iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】7月15日，IDE開發工具Cursor AI出現惡意延伸套件，有用戶因此損失50萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對開發人員的惡意套件攻擊，從NPM、PyPI套件，到IDE開發工具Visual Studio Code（VSCode）的延伸套件市集，如今也有針對Cursor AI用戶的攻擊行動，駭客鎖定的目標，是名為Open VSX的套件庫，且有開發人員因不慎安裝惡意套件損失50萬美元（約新臺幣1,465萬元）。</p> <p>在惡意套件攻擊事故之外，最近出現的新型態攻擊手法相當值得留意，例如：FileFix網釣手法、搭配ZIP檔的網站攻擊活動、濫用Inno Setup內建指令碼功能載入惡意軟體的手段，都更難以察覺及防範。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170059"><strong style="font-size: 22px;">IDE開發工具Cursor AI用戶遭惡意延伸套件攻擊，50萬美元加密貨幣遭竊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/open-source-package2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/open-source-package2.png" style="width: 300px; float: right;" /></a>鎖定Visual Studio Code（VSCode）的惡意延伸套件攻擊，已有多起事故發生，如今也有攻擊其他整合式開發工具（IDE）用戶的情況出現。</p> <p>事件的揭露是源自一名白俄羅斯的區塊鏈開發人員，他的加密貨幣資產在今年6月遭竊，損失約50萬美元，但怪異的是，電腦的作業系統在事發數天前才重灌，電腦只有安裝必要的應用程式，他並未下載其他檔案，這樣的情況相當不尋常，於是他找上資安業者卡巴斯基尋求協助。</p> <p>卡巴斯基在受害電腦進行調查，結果找到名為extension.js的檔案，經過分析此為Cursor AI延伸套件Solidity Language，可從Open VSX套件庫取得。此套件約於兩個月前上架，已被下載5.4萬次，號稱能對Solidity智慧合約的程式碼最佳化。但實際上，這是模仿正牌工具Solidity的惡意套件，並未具備介紹網頁裡列出的功能，真正功能是從特定的網頁伺服器下載惡意程式碼並執行。</p> <p><a href="https://www.ithome.com.tw/news/170063"><strong style="font-size: 22px;">網釣手法FileFix再度出現，勒索軟體駭客Interlock以此散布RAT木馬程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FileFix-2-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/FileFix-2-2.png" style="width: 300px; float: right;" /></a></p> <p>上個月資安研究員Mr.d0x揭露ClickFix網釣攻擊手法的衍生版本FileFix，並指出攻擊者可濫用瀏覽器的檔案上傳機制，下達指示要求使用者操作，從而於受害電腦執行惡意命令，過程無須離開瀏覽器，而這樣的警告，很有可能來自實際的攻擊行動。</p> <p>資安研究團隊The DFIR Report與資安業者Proofpoint聯手，發現最新一波勒索軟體駭客組織Interlock的攻擊行動，駭客約從今年5月開始，針對已遭滲透的網站下手，在網頁的HTML檔案注入單行指令碼，意圖藉此散播RAT木馬程式Interlock RAT（也被稱為NodeSnake），將JavaScript寫成的惡意程式植入使用者電腦，而這也是FileFix首度被發現用於實際攻擊活動的情況。</p> <p><a href="https://www.ithome.com.tw/news/170072"><strong style="font-size: 22px;">WordPress網站惡意軟體攻擊出現新手法，利用ZIP檔案將用戶重新導向</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/suspicious-code-in-wp-settings.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/suspicious-code-in-wp-settings.png" style="width: 300px; float: right;" /></a></p> <p>WordPress可用來快速建立網站，基於這個內容管理系統而成的網站很多，也是許多歹徒覬覦的對象，而拿下此類網站的其中一種目的，是將其做為散布惡意程式的管道，攻擊者運用的手法也日益刁鑽。</p> <p>近期發生在資安業者Sucuri客戶網站的資安事故，就是這樣的例子。攻擊者在受害網站重要的WordPress元件wp-settings.php當中，插入兩行可疑的程式碼，試圖利用zip://通訊協定，從壓縮檔win.zip載入惡意的PHP檔案。Sucuri指出，這種手法相當隱密，能夠將惡意程式碼埋藏在看似無害的ZIP檔案。</p> <p>究竟攻擊者的目的是什麼？Sucuri認為，最主要是操縱搜尋引擎對惡意網站的排名。攻擊者藉由在受害網站注入垃圾內容、未經授權的網站地圖、進行301重新導向（瀏覽器連至已永久改變網址的頁面時，可透過呈現狀態碼301來表達，通常也會傳送HTTP Location，重新導引至新位置），從而拉升惡意網站的搜尋結果。</p> <p><a href="https://www.ithome.com.tw/news/170029"><strong style="font-size: 22px;">Inno Setup軟體安裝工具被濫用，駭客濫用內建指令碼功能引入惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/innosetup-installer-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/innosetup-installer-1.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客濫用合法工具來掩蓋網路犯罪的情況相當氾濫，其中一種挾帶惡意軟體最常見的手段，就是竄改應用程式的安裝檔案來達到目的，但如今有人針對打包安裝程式的工具而來，將惡意酬載埋入看似可信賴的安裝檔案裡。</p> <p>最近有個惡意的Inno Setup安裝程式，引起企業資料搜尋與資安軟體業者Splunk研究人員的注意，駭客利用此種安裝工具提供的Pascal指令碼功能，於受害電腦接收、下載下個階段的有效酬載，然後執行Shell Code與惡意程式下載工具HijackLoader，從而成功迴避偵測，最終傳遞惡意昭彰的竊資軟體RedLine Stealer。</p> <p>有別於其他直接在安裝程式挾帶有效酬載的手法，這次攻擊者運用了Inno Setup內建的Pascal指令碼功能，於受害電腦載入惡意酬載並執行。Splunk指出，這樣的手法並不常見，但過往也曾出現類似手法，其中一種是叫做D3fackLoader的惡意軟體載入工具，感染的特徵與這起事故相當類似。</p> <p><a href="https://www.ithome.com.tw/news/170054"><strong style="font-size: 22px;">知名精品業者LV驚傳系統遭駭，導致部分客戶個資外洩，臺灣用戶也收到通知</strong></a></p> <p>奢華品牌LV（Louis Vuitton）先後傳出韓國及英國分公司系統遭網路攻擊，導致洩露部分客戶個資，成為最新一家傳出資料外洩的知名品牌。</p> <p>LV韓國分公司7月初發出公告說明，一個未經授權的第三方人士曾存取其系統一段時間，導致部分客戶資訊外洩。LV表示，發現後已立即做了處置、強化系統安全，並通報主管單位。該公司強調沒有客戶財務資訊如銀行帳戶受到影響。上周，LV英國分公司也發布客戶通知，告知營運系統遭未授權人士存取，客戶個資如姓名、聯絡資訊和過往購買紀錄等被不法取得。</p> <p>值得留意的是，<a href="https://ctinews.com/news/items/14a1YAMoak">LV臺灣也在7月10日向部分客戶發出通知</a>，指出他們在7月2日遭遇網路攻擊，未經授權第三方人士短暫存取該公司系統，並取得客戶姓名、電話、電子郵件信箱等部分個資。但LV臺灣強調，遭到入侵的資料庫，並未存放密碼及財務資訊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/winrar-0‑day-exploit-listed/">駭客聲稱握有WinRAR零時差漏洞，開價8萬美元</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/pay2key-ransomware-gang-incentives-attack-us-israel">美國、以色列遭勒索軟體Pay2Key鎖定</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/rendershock-0-click-exploit/">新型態零點擊攻擊手法Rendershock可於後臺執行惡意程式</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170050"><strong style="font-size: 22px;">麥當勞徵才對話機器人存在資安漏洞，6,400萬名求職者資料恐曝光</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot_2025-07-02_at_9_36_13_AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_2025-07-02_at_9_36_13_AM.png" style="width: 300px; float: right;" /></a>為提升處理效率，企業很可能會運用AI聊天機器人加速溝通的速度，然而若是設置不當，很有可能讓存放的資料曝光。</p> <p>最近有一項資安漏洞的發現引起各界關注，這些弱點出現在麥當勞的徵才對話機器人McHire，此機器人以科技業者Paradox.ai旗下的機器人Olivia為基礎打造，用來收集求職者的個人資料。但研究人員Ian Carroll與Sam Curry發現，此系統的管理後臺竟採用帳號與密碼皆為123456的預設帳號，然後兩名研究人員循線找到不安全的直接物件參照（Insecure Direct Object Reference，IDOR）漏洞，攻擊者只要調整特定的參數，就有機會存取其他應徵者的聊天內容，從而挖掘相關個資。</p> <p>這樣的情況，恐影響美國6,400萬名曾經應徵的求職者。研究人員於6月30日通報麥當勞與Paradox.ai，麥當勞註銷上述的預設帳號，隔日Paradox.ai修補IDOR漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/grok-4-falls-to-a-jailbreak-two-days-after-its-release/">甫正式發表的大型語言模型Grok-4遭到越獄</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/researchers-bypass-metas-llama-firewall/">Meta Llama防火牆存在漏洞，攻擊者可透過提示注入繞過</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170051"><strong>【7月14日】臺美關稅遲遲未定，美國大型律師事務所驚傳遭中國駭客入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170017"><strong>【7月11日】迴避偵測框架Shellter被用於散布竊資軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169986"><strong>【7月10日】大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來</strong></a></p> </div></div></div>
2025/7/15 18:47作者周峻佑https://www.ithome.com.tw/news/170074
WordPress網站惡意軟體攻擊出現新手法，利用ZIP檔案將用戶重新導向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress可用來快速建立網站，基於這個內容管理系統而成的網站很多，也是許多歹徒覬覦的對象，而拿下此類網站的其中一種目的，是將其做為散布惡意程式的管道，攻擊者運用的手法也日益刁鑽。</p> <p>近期<a href="https://blog.sucuri.net/2025/07/stealthy-php-malware-uses-zip-archive-to-redirect-wordpress-visitors.html">發生在資安業者Sucuri客戶網站的資安事故</a>，就是這樣的例子。攻擊者在受害網站重要的WordPress元件wp-settings.php當中，插入兩行可疑的程式碼，試圖利用zip://通訊協定，從壓縮檔win.zip載入惡意的PHP檔案。Sucuri指出，這種手法相當隱密，能夠將惡意程式碼埋藏在看似無害的ZIP檔案。</p> <p>他們進一步調查此事並找到了win.zip，其內容含有高度混淆處理的PHP檔案，該檔案就是主要的惡意指令碼。</p> <p>一旦此指令碼啟動，就會先設置執行所需的環境，以免攻擊的過程被資安系統偵測出異常，而被迫中斷。特別的是，此惡意程式還會檢查受害網站是否使用HTTPS連線，原因是為了能正確抓取外部資源，並避免用戶端出現混合內容的警告。</p> <p>此惡意程式透過POST傳送網站資訊至C2，並從遠端伺服器載入特定內容，最終將使用者重新導向到特定網站。附帶一提，該惡意程式還會根據使用者存取的路徑，將他們導向不同的網域。</p> <p>究竟攻擊者的目的是什麼？Sucuri認為，最主要是操縱搜尋引擎對惡意網站的排名。攻擊者藉由在受害網站注入垃圾內容、未經授權的網站地圖、進行301重新導向（瀏覽器連至已永久改變網址的頁面時，可透過呈現狀態碼301來表達，通常也會傳送HTTP Location，重新導引至新位置），從而拉升惡意網站的搜尋結果。由於這次攻擊者同時使用ZIP檔、多層次混淆，以及防機器人功能，使得網站管理員難以自行察覺異狀，並進一步清除惡意程式碼。</p> </div></div></div>
2025/7/15 17:09作者周峻佑https://www.ithome.com.tw/news/170072
惡意軟體ZuRu透過木馬化的SSH用戶端程式散布，針對macOS開發人員而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定macOS用戶的惡意軟體攻擊近年來有增加的趨勢，其中一款自2021年出現的後門程式ZuRu，最近再度有新的活動引起研究人員的注意。</p> <p>資安業者SentinelOne最近<a href="https://www.sentinelone.com/blog/macos-zuru-resurfaces-modified-khepri-c2-hides-inside-doctored-termius-app/">透過部落格文章指出</a>，他們在今年5月下旬，發現有人利用木馬化的SSH用戶端工具Termius來散布ZuRu，由於一年前駭客是假借提供盜版軟體的名義來散布這款惡意軟體，這代表他們現在將目標轉向了開發人員與IT專業人士。</p> <p>這款最早在5年前出現的後門程式，主要的散布管道是搜尋引擎最佳化中毒（SEO Poisoning），假借提供應用程式的名義，引誘使用者前往特定網站下載、安裝而中招。不過，與大部分惡意程式有所不同的是，駭客下手的搜尋引擎並非Google，而是中國大型搜尋引擎百度，從這點來看，攻擊者的主要目標很可能就是中國用戶。</p> <p>最新版本的ZuRu究竟有那些變化？首先，雖然它與2024年1月資安業者JAMF揭露的版本一樣，都導入了名為Khepri的開源C2框架，以便在受害電腦成功感染ZuRu進行後續活動。但不同的地方在於，兩者的運作方式有顯著差異。</p> <p>舊版安裝檔主要是竄改原本的安裝包，並加入額外的命令，然後參照外部的程式庫（.dylib），將其充當惡意程式載入工具，來載入Khepri及其他作案工具模組。</p> <p>新版惡意安裝檔運用的手法，更加複雜。首先，是打包格式改用磁碟映像檔（DMG）格式，而且，駭客在Termius Helper.app元件嵌入兩個執行檔，一旦安裝檔執行，檔案大小達到25 MB的Termius Helper執行檔，就會啟動兩個惡意程式載入元件：.localized、.Termius Helper1，一面安裝Termius來降低用戶戒心，但同時也在背景下載Khepri的Beacon。</p> <p>對於如此巨大的變化，SentinelOne指出，駭客不再使用Dylib注入手法，很有可能是根據資安系統的偵測邏輯而做出的改變。</p> <p>另一方面，由於新版ZuRu被打包成DMG檔案傳送，駭客將原本Termius開發人員的簽章更換成他們特製的簽章，試圖通過蘋果的程式碼簽章規則要求。</p> <p>附帶一提的是，駭客為了持續於受害電腦活動，他們先要求使用者授予特定權限，並寫入冒牌的LaunchDaemon，此工具每小時執行一次.localized。相較於2024年ZuRu相關元件被命名為LaunchAgent，LaunchDaemon較為近似macOS作業系統內建元件名稱，不易引起注意。</p> </div></div></div>
2025/7/15 16:28作者周峻佑https://www.ithome.com.tw/news/170068
MedTech醫療科技雙周報第43期：HL7成立AI辦公室，要制定醫療AI國際標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0701～0715 ）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HL7 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI辦公室 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 互通性 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>HL7成立AI辦公室，要制定醫療AI國際標準</strong></span></p> <p>國際醫療資訊標準組織HL7最近成立AI辦公室（AI Office），要打造可信賴、可解釋、可互通的醫療AI架構，並提出四大策略，包括：</p> <p>1. 標準制定：建立AI-ready的互通性架構，強化解釋性與資料溯源</p> <p>2. 全球協作：匯聚國際AI+健康社群，來協調標準、制定政策、加速推動負責任的創新</p> <p>3. AI創新實驗室：孵化新型AI解決方案，加速標準制定，並推動新型工作模式</p> <p>4. 社群實作推廣：強化負責任、符合標準的AI工具部署</p> <p>為推動這些策略，HL7也任命首任AI長（CAIO）Daniel Vreeman。他將推動HL7全面的AI策略，包括統籌HL7 AI挑戰賽、反詐欺技術應用，以及與全球監管機構和企業合作。HL7執行長Charles Jaffe表示，AI將重塑醫療照護服務的提供、評估和支付，他期望AI辦公室成為值得信賴的全球號召者，來推動負責任、符合標準的AI創新。</p> <p>HL7目前已展開幾項關鍵計畫，如AI可解釋性和透明度框架、透過AI打擊醫療詐欺，以及臨床安全部署AI的實作指引。HL7也將針對AI辦公室的未來方向<a href="https://hl7-org.zoom.us/webinar/register/5417519084478/WN_b6cgIcQ8RqiU-1JiMBFozw">展開公開說明會</a>，將於7月24日美東下午1點舉辦。更多詳情可參考<a href="https://info.hl7.org/ai">官網</a>。<a href="https://blog.hl7.org/hl7-international-launches-ai-office-to-set-global-standards-for-healthcares-ai-revolution">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 梅約醫學中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 術後傷口 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 感染 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>梅約醫學中心打造術後傷口辨識AI</strong></span></p> <p>最近，梅約醫學中心（Mayo Clinic）開發一套Vision Transformer AI工具，可透過患者上傳至電子病歷系統的術後照片，自動判斷是否為手術傷口並檢測感染跡象。進一步來說，這套工具由梅約醫學中心9家分院、近6,000名病患共2萬張照片訓練而成。該AI工具由2階段辨識，首先是偵測影像是否包含手術傷口，然後評估傷口是否有感染跡象。在傷口檢測方面，Vision Transformer AI達到94%的準確率，在感染辨識方面則有81%的曲線下面積（AUC）。</p> <p>研究指出，雖然訓練資料以白人與女性為主，模型在多元族群的表現仍一致。團隊預計，這套AI工具未來可進一步演化為早期感染預測工具，甚至在症狀明顯前即提出預警。此趨勢也呼應整體醫療界越來越看重遠距監測和即時風險預測的趨勢。<a href="https://www.google.com/url?q=https://newsnetwork.mayoclinic.org/discussion/mayo-clinic-researchers-develop-ai-tool-to-detect-surgical-site-infections-from-patient-submitted-photos/&sa=D&source=docs&ust=1752568199363599&usg=AOvVaw3H27FaB5yhyPYUJsEuRTsE">（詳全文）</a></p> <p><img alt="" src="https://newsnetwork.mayoclinic.org/n7-mcnn/7bcc9724adf7b803/uploads/2025/07/Dr.-Hala-Muaddi-in-surgery-16-x-9-1536x864.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 巴金森氏症 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基因定序 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS用AI和雲端運算，替巴金森氏症找解方</strong></span></p> <p>在全球，共有1千多萬人巴金森氏症影響，且發病率每25年就會翻一倍。為突破診斷與治療瓶頸，AWS聯手多家醫療機構，運用AI和雲端運算解鎖巴金森氏症大腦之謎。其一是美國基因分析業者Ultima Genomics運用AWS為其<a href="https://aws.amazon.com/solutions/case-studies/ultima-case-study/">下一代基因定序儀</a>開發相關軟體、演算法，並訓練AI模型，將人類全基因組定序成本從1,000美元壓到100美元，推動遺傳風險預測與基因療法發展。</p> <p>Michael J. Fox巴金森氏症研究基金會則結合可穿戴裝置、物聯網與大數據，透過AWS處理大量患者數據，加速生物標記與個人化療法研究。醫療AI業者Icometrix則<a href="https://aws.amazon.com/blogs/publicsector/icometrix-helps-to-detect-and-treat-neurological-diseases-with-ai-imaging-powered-by-aws/">導入AI影像分析</a>，監測腦組織體積變化，提升診斷準確度。Allen Institute進一步<a href="https://www.aboutamazon.com/news/aws/how-scientists-are-using-aws-ai-and-ml-to-map-the-whole-human-brain">打造全球最大腦細胞資料庫</a>，結合Amazon SageMaker等AI工具，深入追蹤細胞變異與神經退化的關聯，開發可預防神經元退化的治療策略。</p> <p>此外，AI也與深腦刺激（DBS）療法結合，根據患者腦部活動即時調整刺激參數，提升治療精準度、減少副作用。AWS全球醫療長Rowland Illing指出，這些跨界協作讓巴金森氏症研究邁向精準醫療，也讓患者、照護者與醫師在AI時代看見更多可能。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創新沙盒 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>新加坡醫療集團NHG Health要建智慧指揮中心、工程創新沙盒</strong></span></strong></p> <p>最近，擁有多家醫院和藥局的新加坡全國醫療集團NHG Health找來業者ST Engineering，簽署5年合作協議、要打造智慧醫療系統，改善150萬名新加坡居民的健康服務品質。雙方將展開多項關鍵計畫，包括下一代C3指揮中心、智慧人力排程系統、永續冷卻方案和工程創新沙盒。</p> <p>就新一代C3系統來說，預計2030年前落地於集團旗下的陳篤生醫院（TTSH），將導入預測性資源調度與病患流程管理系統；就優化資源來和工作流程來說，兀蘭醫院（Woodlands Health）已部署業者研發的自主機器人，每日執行400趟送餐與運送床單任務，每天節省約100小時人力，提升照護專注度與病患體驗。</p> <p>在永續發展方面，雙方將導入Airbitat深度節能冷卻系統，預期節能可達30%，並擴大部署AGIL智慧能管平臺，以集中監測碳排、優化能源管理。工程創新沙盒也將同步啟動，結合臨床人員和工程師協作，針對第一線痛點快速試驗、調整並部署可規模化的解決方案。<a href="https://www.stengg.com/en/newsroom/news-releases/st-engineering-and-nhg-health-advance-healthcare">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">高齡科技 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國科會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 互通 </span></strong></span></p> <p><span style="font-size:22px;"><strong>國科會揭高齡科技落地進展</strong></span></p> <p>最近，國科會揭露高齡科技產業行動計畫進展，自去年啟動至今18個月，已在多家照護機構落地高齡科技應用，如跌倒偵測通報、電子圍籬定位呼叫、AI語音互動和高齡者數位學習等，更已輔導160多項服務商用落地。</p> <p>進一步來說，國科會在去年發起高齡科技產業行動計畫，涵蓋4大主軸，分別是推動以高齡者需求為主的創新服務落地、擴大樂齡與高齡者數位賦能、開發整合型產品來提升照顧效能，以及整合服務來強化社區在地安老。就目前成果來說，已有160處照護、醫療和運動場域導入智慧科技產品和服務，另也輔導業者商品化落地160多項服務，包括健康賦能、居家安全、生活支援、營養管理等面向。而計畫導入的智慧管理系統，如電子圍籬、住民定位、跌倒警示、巡房輔助等，讓非預期住院率從33%降至19%，行政效率還提高了32%。</p> <p>然而，高齡科技應用並不局限於單一機構內使用，更涉及醫院、長照機構、在宅照護和第三方業者系統等跨機構的數據交換，國科會主委吳誠文表示，目前衛福部正建立國際醫療資料交換標準FHIR的在地化，今年預計可完成，照顧機構將比照採用，帶動廠商開發符合該標準的產品、有機會輸出國際。<a href="https://www.ithome.com.tw/news/170023">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-11%20165820.png" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">新藥開發 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI Foundry </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 免疫療法 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺灣生技業者推新藥開發AI Foundry平臺</strong></span></strong></p> <p>訊聯基因數位推出一款名為AIDD的新藥開發AI Foundry平臺，將其15年AI輔助藥物研發經驗商品化，整合了達梭、凱杰等知名商用新藥開發工具，來讓使用者訓練模型，進行大、小分子藥物開發。</p> <p>在平臺首波三項落地案例中，北醫大團隊用AIDD設計膠質母細胞瘤新藥，藥效從1041 nM提升至10.4 nM，提高了百倍，動物實驗顯示可縮小腫瘤，並已開發20款小分子藥物。老牌基因定序業者基龍米克斯則運用AIDD預測癌症新生抗原表位（Neoepitope），加速個人化免疫療法研發。訊聯集團旗下團隊也透過AIDD從20的13次方種組合中，找出具潛力的抗灰髮胜肽，目前正進行後續實驗。<a href="https://www.ithome.com.tw/news/169966">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20204013.png" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 思覺失調 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺北榮總打造AI腦影像平臺，輔助思覺失調診斷</strong></span></strong></p> <p>臺北榮總精神醫學部楊智傑教授團隊開發出智慧腦影像平臺，結合核磁共振和AI深度學習，來輔助評估思覺失調症，診斷準確率高達91.7%。這項做法突破傳統靠臨床觀察的限制，提供客觀的生物指標，改善精神疾病診斷與個人化治療。</p> <p>思覺失調症影響全球約1%人口，常見幻聽、妄想等症狀。北榮智慧腦影像平臺以1,500名本土受試者數據打造，能三維視覺化大腦異常、精準定位病灶，協助醫師與患者家屬溝通；該平臺也具備腦磁振影像導引功能，可進一步研發精準的經顱磁刺激等非侵入性神經調控，作為臨床治療輔助工具。</p> <p>這套智慧腦影像平臺已獲美國愛迪生獎、醫策會等獎項肯定，並取得臺美及PCT等專利。臺北榮總也啟用新建的身心智慧創新治療區，透過該平臺來與病人及家屬深入討論大腦變化、提高患者病識感，推動精神疾病診斷邁向AI精準醫學。<a href="https://www.vghtpe.gov.tw/News!one.action?nid=14804">（詳全文）</a></p> <p><img alt="" src="https://www.vghtpe.gov.tw/vghtpe/images/news/1140703_07.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 回收機 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北榮總 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>北榮導入AI智慧回收機</strong></span></strong></p> <p>臺北榮總攜手業者導入AI智慧回收機，打造結合綠色醫療、生命教育和環境永續的創新場域。這款AI回收機具備影像辨識與感測技術，能精準分類並由專業廠商統一清運。根據美國EPA資料，回收一個600ml寶特瓶可減碳約63.4克，讓醫護與病患都能貢獻淨零目標。</p> <p>民眾可在院區投遞寶特瓶、塑膠杯、鋁罐與乾電池，來累積點數、兌換商店折價券或餵食忘憂湖禽鳥飼料。同時，北榮還同步啟用的湖畔綠化停車場，採壓花地坪與植草磚設計，融合忘憂湖自然景觀與38隻禽鳥生態。<a href="https://www.vghtpe.gov.tw/News!link.action?nid=14799">（詳全文）</a></p> <p>圖片來源／梅約醫學中心、國科會、訊聯基因數位、臺北榮總</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong>1. 美國醫療IT辦公室（ONC）<a href="https://www.healthit.gov/data/data-briefs/electronic-public-health-reporting-among-non-federal-acute-care-hospitals-2024">公布去年非聯邦急診醫院的電子病歷互通報告</a>，但仍有8成醫院在交換資料時遇到困難</strong></p> <p><strong>2. Google DeepMind打造最強DNA變異預測模型AlphaGenome，<a href="https://deepmind.google/discover/blog/alphagenome-ai-for-better-understanding-the-genome/">已開放API存取</a></strong></p> <p><strong>3. 環境部<a href="https://enews.moenv.gov.tw/page/3b3c62c78849f32f/41060fab-4c7e-4c20-9570-61d8b18fce57">發布包括醫院在內的4類溫室氣體盤查作業指引</a></strong></p> <p>資料來源：iThome整理，2025年7月</p> <div id="gtx-trans" style="position: absolute; left: 279px; top: 5334.81px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/7/15 16:34作者王若樸https://www.ithome.com.tw/news/170069
網釣手法FileFix再度出現，勒索軟體駭客Interlock以此散布RAT木馬程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月資安研究員Mr.d0x揭露ClickFix網釣攻擊手法的<a href="https://www.ithome.com.tw/news/169733">衍生版本FileFix</a>，並指出攻擊者可濫用瀏覽器的檔案上傳機制，下達指示要求使用者操作，從而於受害電腦執行惡意命令，過程無須離開瀏覽器，而這樣的警告，很有可能來自實際的攻擊行動。</p> <p>資安研究團隊The DFIR Report與資安業者Proofpoint聯手，<a href="https://thedfirreport.com/2025/07/14/kongtuke-filefix-leads-to-new-interlock-rat-variant/">發現最新一波勒索軟體駭客組織Interlock的攻擊行動</a>，駭客約從今年5月開始，針對已遭滲透的網站下手，在網頁的HTML檔案注入單行指令碼，意圖藉此散播RAT木馬程式Interlock RAT（也被稱為NodeSnake），將JavaScript寫成的惡意程式植入使用者電腦，而這也是FileFix首度被發現用於實際攻擊活動的情況。</p> <p>在駭客植入的JavaScript指令碼當中，首先要求使用者點選對話框通過CAPTCHA圖靈驗證機制。接著，瀏覽器就會出現新的對話框，要求使用者執行後續步驟，完成防止機器人的程序。</p> <p>他們要求使用者按下開始驗證的按鈕，但實際上，此時電腦已經複製了駭客的惡意程式碼，並出現開啟檔案的對話框。然後，攻擊者指示使用者必須依序在「驗證視窗」按下快速鍵Ctrl+L、Ctrl+V，最終按下Enter再關閉驗證視窗。一旦這麼做，使用者的電腦就會被植入Interlock RAT。</p> <p>後續，Proofpoint也發現不同型態的Interlock RAT，包含基於Node.js及PHP而成的版本。</p> </div></div></div>
2025/7/15 14:59作者周峻佑https://www.ithome.com.tw/news/170063
容器管理工具Docker Compose升級整合AI代理，連結雲端算力擴展應用彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker旗下容器管理工具Docker Compose正式<a href="https://www.docker.com/blog/build-ai-agents-with-docker-compose/">加入人工智慧代理（Agent）開發支援</a>，並同步推出雲端算力無縫擴展功能。根據官方說明，開發者現在僅需透過compose.yaml檔案，即可完成人工智慧代理、模型及相關工具的定義與調度，系統會自動建立與啟動所需的代理式應用環境，而且在本機、CI流程或雲端生產環境都能維持相同架構，簡化人工智慧代理開發與部署的技術門檻。</p> <p>Docker這次調整Compose設計，將多容器定義與啟動的優點，延伸到人工智慧代理與工具鏈整合，開發者可在compose.yaml中直接描述LangGraph、Vercel AI SDK、Spring AI、Google ADK等人工智慧代理框架，透過Compose組合不同運算元件，建立能夠整合多個大型語言模型，並橫跨各種工具與服務的人工智慧代理應用。</p> <p>官方也推出Docker Offload功能，解決開發者本地端硬體資源不足的痛點。透過Docker Offload，開發者可將大型語言模型或高運算負載的代理任務，擴展至雲端GPU環境運行，無需複雜配置雲端基礎設施，相關流程已與Docker Desktop及Docker Engine深度整合。</p> <p>另外，針對企業生產環境，Compose目前已支援將應用部署至Google Cloud Run與微軟Azure Container Apps，讓相同的Compose檔案經開發、測試階段，可在雲端環境繼續使用，免除重新撰寫或額外轉換的繁瑣步驟，獲得多雲、混合雲架構帶來的彈性。</p> <p>開發者可直接從Docker Hub取得開源或自有語言模型，並透過OpenAI相容API在本地快速介接現有開發框架，相關運算也支援GPU加速。此外，Docker MCP Catalog提供多種經審查，可隨插即用的工具，降低用戶相依性、版本衝突等問題。</p> </div></div></div>
2025/7/15 16:15作者李建興https://www.ithome.com.tw/news/170065
OpenAI、Google、Anthropic與xAI各獲得2億美元的國防部合約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ai.mil/Latest/News-Press/PR-View/Article/4242822/cdao-announces-partnerships-with-frontier-ai-companies-to-address-national-secu/" target="_blank">美國國防部數位與人工智慧首席辦公室（Chief Digital and Artificial Intelligence Office，CDAO）周一（7/14）宣布</a>，已與Anthropic、Google、OpenAI及xAI簽署各自最高2億美元的合作協議，以利用這些尖端AI業者的資源來開發各種任務的AI代理人，並提高這些公司以先進AI來理解及解決美國關鍵國家安全需求的能力。</p> <p>CDAO表示，國防部將採用「商業優先」的作法來加速對AI的採用，意謂著該部門將會優先考慮市場上已有的商用解決方案，而非自行研發或委外客製化。</p> <p>美國國防部數位暨AI長Doug Matty指出，AI的採用正在改變國防部支持作戰人員並維持戰略優勢的能力，藉由整合商用AI解決方案，可快速將先進AI技術應用到聯合作戰的核心任務上，涵蓋實際作戰領域、情報、商業與企業資訊系統。</p> <p>CDAO與這些AI業者的合作方案除了最高都是2億美元之外，內容並不一致，其中，<a href="https://www.ithome.com.tw/news/169592" target="_blank">與OpenAI的合作先前即已揭露</a>，除了美國政府將使用OpenAI for Government服務之外，OpenAI也會負責開發尖端AI原型，來解決重大國家安全挑戰，且應於明年7月完成。</p> <p><a href="https://x.com/xai/status/1944776899420377134" target="_blank">xAI亦於周一宣布與美國政府的兩項新合作</a>，一是可供美國聯邦政府機構購買及使用的Grok for Government ，其次即是與美國國防部的新合約。</p> <p><a href="https://www.anthropic.com/news/anthropic-and-the-department-of-defense-to-advance-responsible-ai-in-defense-operations" target="_blank">Anthropic則說</a>這是一項最高限額2億美元的兩年合約，將負責建置可強化美國國家安全之尖端AI能力的原型，也因此開啟了該公司支持國家安全承諾的新篇章，期望可藉由其技術專長、Claude Gov模型與Claude for Enterprise等產品來解決關鍵任務挑戰。</p> <p><a href="https://cloud.google.com/blog/topics/public-sector/google-public-sector-awarded-200-million-contract-to-accelerate-ai-and-cloud-capabilities-across-department-of-defenses-chief-digital-and-artificial-intelligence-office-cdao/" target="_blank">Google表示</a>，美國國防部可能會部署Google的尖端AI創新與雲端基礎設施，替CDAO帶來雲端的TPU、Agentspace與Contiguous United States等服務。</p> <p>儘管美方積極導入民間AI技術，但輿論對於「AI軍事化」仍存疑慮，有專家呼籲應強化AI軍用應用的透明度及倫理監管。</p> </div></div></div>
2025/7/15 16:19作者陳曉莉https://www.ithome.com.tw/news/170067
IDE開發工具Cursor AI用戶遭惡意延伸套件攻擊，50萬美元加密貨幣遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Visual Studio Code（VSCode）的惡意延伸套件攻擊，已有多起事故發生，如今也有攻擊其他整合式開發工具（IDE）用戶的情況出現。</p> <p>事件的揭露是源自一名白俄羅斯的區塊鏈開發人員，<a href="https://securelist.com/open-source-package-for-cursor-ai-turned-into-a-crypto-heist/116908/">他的加密貨幣資產在今年6月遭竊</a>，損失約50萬美元，但怪異的是，電腦的作業系統在事發數天前才重灌，電腦只有安裝必要的應用程式，他並未下載其他檔案，這樣的情況相當不尋常，於是他找上資安業者卡巴斯基尋求協助。</p> <p>卡巴斯基在受害電腦進行調查，結果找到名為extension.js的檔案，經過分析此為Cursor AI延伸套件Solidity Language，可從Open VSX套件庫取得。此套件約於兩個月前上架，已被下載5.4萬次，號稱能對Solidity智慧合約的程式碼最佳化。但實際上，這是模仿正牌工具Solidity的惡意套件，並未具備介紹網頁裡列出的功能，真正功能是從特定的網頁伺服器下載惡意程式碼並執行。</p> <p>正牌的Solidity已被下載6.1萬次，照理來說，還是比冒牌的要來得多，但為何開發人員會上當？卡巴斯基在Open VSX使用關鍵字solidity搜尋，結果冒牌套件在第4個結果，但正牌的在第8名。會造成這樣的搜尋結果，與搜尋引擎採用相關性排序有關，這些評比的因素包含評分、發布或更新的時間、下載次數，以及是否通過驗證。冒牌套件最後更新日期為6月15日，正牌套件為5月30日，而有可能因此影響綜合相關性評比結果，使得搜尋引擎優先顯示冒牌套件。</p> <p>這名受害的開發人員在不慎安裝冒牌套件之後，誤以為僅是系統錯誤而決定稍後處理，但此時該套件已開始在後臺部署惡意軟體。首先，攻擊者下載PowerShell指令碼，檢查受害電腦是否安裝遠端管理軟體ScreenConnect，並建立C2連線。</p> <p>接著，攻擊者利用3個VBScript檔案執行後續活動，於受害電腦部署後門程式Quasar，並使用竊資軟體從瀏覽器、收信軟體、加密貨幣錢包收集特定資料，最終洗劫受害者的加密貨幣錢包。</p> </div></div></div>
2025/7/15 12:41作者周峻佑https://www.ithome.com.tw/news/170059
數發部預告促進資料創新利用發展條例草案，政府機關將設立資料長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數發部今天(7/15)正式預告促進資料創新利用發展條例草案，立法精神包括政府公開資訊以開放為原則，提供標準授權之外，鼓勵政府機關間、產業間、政府與產業間的資料共享，並規定政府機關成立資料長(CDO)，加強機關內資料治理協調運用。</p> <p>數發部次長林宜敬指出，全球AI快速發展，為了促進臺灣在地觀價、適用臺灣的AI模型發展，需要大量的訓練資料，數發部正努力讓政府及民間擁有著作權的資料對外釋出，其中政府部分，通過修法讓政府部門在不損害個資的前題之下，能夠放心釋出資料，是促進資料創新利用發展條例草案的目的。</p> <p>數發部資料創新司長莊明芬表示，完善政府的資料治理，可促進政府的循證治理，改善政府公供服務，並且促進資料經濟發展及創新，對需要大量資料的AI技術發展，可幫助AI釋放應用的潛力。促進資料創新利用發展條例的精神之一是作為資料開放及創新的法制基礎，建立法源依據，提供制度化、系統化的規定讓各方遵循；其次是促進政府機關間、產業間的資料共享；最後是促進資料應用生態系的發展。</p> <p><strong><span style="color:#B22222;">設立資料長</span></strong></p> <p>促進資料創新利用發展條例草案共有7章，除了第1章的總則，莊明芬指出，條例的第2章為發展基礎，協同部會訂定資料創新利用基本計畫，在內部建立資料長，負責內部資料的協調及溝通，在外部引進民間觀點設立資料創新利用諮詢會。</p> <p>莊明芬特別說明資料長，規定由各機關的副首長以上來擔任，在機關內跨部門整合，著重資料的創新及跨域整合，與過去政府機關設立資訊長、資安長有類似的功能，透過分工互補、共同完善數位發展及資料治理的良好設計。</p> <p>第3至6章則為推動資料流動的機制，第3章為政府開放資料，第4、5章規範政府及產業間的資料共享，第6章則是資料利他。</p> <p>第7章則是推動資料經濟措施，例如高應用價值資料主題、資料釋出費用、授權條款，建立資料創新利用的實驗環境，提供協助、輔導、獎勵等等。</p> <p><strong><span style="color:#B22222;">政府公開資訊以開放為原則，提供公務人員免責規定</span></strong></p> <p>莊明芬指出，促進資料創新利用發展條例草案有幾項立法重點，首先是提升資料品質，可搜尋、存取、互通、再利用，動態資料則採API串接，其次是開放為原則，政府公開資訊除了妨害職務、侵犯權利的特殊情形之外，均採取開放資料的原則，如此透過資料開放的質與量，助攻AI發展。</p> <p>過去公務機關對於開放資料較不積極，其中一項原因是如果發生問題就要負擔責任，因此條例也提供公務人員執行開放資料的免責規定。</p> <p>另外，對於政府開放資料，均按照標準授權條款，讓新興科技研發得以利用。</p> <p>為推動資料共享，發展條例包括政府機關間資料共享、產業間資料共推，再由政府帶頭鼓勵政府與民間產業間的資料共享。</p> <p>為了減輕中小企業及新創業者的負擔，政府開放資料採取免費，至於共享資料方面，條例中規定若為公益、學研、非商業使用得減免收費。</p> <p>莊明芬表示，未來發展條例如果訂立，數發部將會擬訂資料創新利用發展基本計畫，至少每4年檢討一次，指定各政府機關擬定計畫，爭取計畫預算，評估執行成果。另外，由行政院引進民間專家成立行政院資料創新利用諮詢會。</p> <p>相較於目前政府已推動多年的開放資料多為結構化資料，發展條例主要因應AI語言模型需要的文本資料，希望透過發展條例建立系統、標準，來推動政府和民間釋出更多的文本資料。</p> <p>除了研擬發展條例，為促進AI發展，數發部也正在籌備建立臺灣主權AI訓練語料庫，希望促成政府及民間釋出正體中文語料，促進主權AI發展，在臺灣主權AI訓練語料庫裡，政府部會帶頭推動，因此數發部研擬授權條款，並與各部會討論依授權條款盤點機關擁有的資料，這些資料未來上架到臺灣主權AI訓練語料庫，以第四季釋出語料庫為目標，資料將以免費的方式授權外界使用。</p> <p>不論是發展條例或是臺灣主權AI訓練語料庫，林宜敬指出，鼓勵政府機關及民間釋出資料，目的是降低臺灣資料的使用門檻，供外界或國際使用，才能在全球AI快速發展之下保留臺灣觀點。</p> </div></div></div>
2025/7/15 14:40作者蘇文彬https://www.ithome.com.tw/news/170062
祖克柏準備投入數千億美元以建置AI運算叢集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼宣布<a href="https://www.ithome.com.tw/news/169824" target="_blank">成立超級智慧實驗室</a>（Meta Superintelligence Labs，MSL），並打算<a href="https://www.ithome.com.tw/news/169841" target="_blank">重金挖角50名全球頂尖AI人才</a>的Meta創辦人暨執行長祖克柏（Mark Zuckerberg），<a href="https://www.threads.com/@zuck/post/DMF6tMAxkX8" target="_blank">周一（7/14）透過Threads宣布</a>，該公司將投入數千億美元的運算資源以建置超級智慧。</p> <p>祖克柏直接引用半導體及AI產業研究分析業者SemiAnalysis的看法，指出Meta可望成為首個啟用超過1GW超級叢集的實驗室。他進一步透露，Meta實際上正在建置多個GW叢集，第一個代號為Prometheus，它是希臘神話中帶給人類火種的天神，預計於2026年上線；第二個代號是Hyperion，為希臘神話中的光明之神，預計於幾年內擴充至5GW。</p> <p>祖克柏表示，不管是AI人才的招募，或者是AI叢集的建置，資金都將來自Meta的自家業務。<a href="https://s21.q4cdn.com/399680738/files/doc_financials/2024/q4/Meta-12-31-2024-Exhibit-99-1-Final.pdf" target="_blank">根據Meta的2024年財報</a>，該公司一年締造1,645億美元的營收，淨收入為623.6億美元。</p> <p><a href="https://semianalysis.com/2025/07/11/meta-superintelligence-leadership-compute-talent-and-data/#the-prometheus-1gw-ai-training-cluster-%e2%80%93-an-%e2%80%9call-of-the-above%e2%80%9d-infrastructure-strategy" target="_blank">SemiAnalysis指出</a>，祖克柏的急起直追源自於意識到Llama 3落後於中國的DeepSeek。祖克柏挖角AI人才的平均報價為4年2億美元，這是同行的100倍，還曾針對頂尖人才提出10億美元的報價，足以藉由大幅提高員工成本來粉碎競爭對手。</p> <p>此外，祖克柏還變更其AI資料中心規畫，效法xAI的快速上市策略，將採用以速度為主的資料中心設計，從預製的電源及冷卻模組，到超輕的建築結構，利用複雜的工作負載管理來最大化電力利用率。另也同步進行自建AI運算叢集、向第三方租賃、AI優化設計、多資料中心園區訓練，與現場生產天然氣等基礎設施策略。Meta的第二個AI叢集Hyperion可望消除與OpenAI的差距。</p> <p>目前市場上的AI服務正呈現百花齊放的狀態，SemiAnalysis引用了Google因反托拉斯訴訟而在今年4月公開的一份文件，Google比較了各家AI聊天機器人的每日用戶及查詢數量，顯示前六名依序是Open AI ChatGPT（每日用戶數為1.6億，每日查詢量為12億）、Meta AI（1億人與2億查詢量）、Google Gemini（3,500萬人及1.4億查詢量）、xAI Grok（1,500萬人與7,500萬查詢量）、DeepSeek（1,000萬人與5,000萬查詢量），以及Perplexity的700萬人與3,000萬查詢量。</p> </div></div></div>
2025/7/15 13:27作者陳曉莉https://www.ithome.com.tw/news/170060
英、韓LV系統遭駭外洩客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>奢華品牌LV（Louis Vuitton）先後傳出韓國及英國分公司系統遭網路攻擊，導致洩露部分客戶個資，成為最新一家傳出資料外洩的知名品牌。</p> <p><a href="https://www.reuters.com/world/asia-pacific/louis-vuitton-korea-says-systems-breach-led-some-customer-data-being-leaked-2025-07-04/" target="_blank">LV韓國分公司7月初發出公告說明</a>，一個未經授權的第三方人士曾存取其系統一段時間，導致部分客戶資訊外洩。LV表示，發現後已立即做了處置、強化系統安全，並通報主管單位。該公司強調沒有客戶財務資訊如銀行帳戶受到影響。</p> <p>根據LV韓國偕同專家事後判斷，這樁資安事件應是發生在6月。</p> <p>上周，<a href="https://www.theguardian.com/technology/2025/jul/11/louis-vuitton-uk-customer-data-stolen-cyber-attack" target="_blank">LV英國分公司也發布客戶通知</a>，告知營運系統遭未授權人士存取，客戶個資如姓名、聯絡資訊和過往購買紀錄等被不法取得。</p> <p><a href="https://www.bloomberg.com/news/articles/2025-07-11/louis-vuitton-uk-says-hackers-have-stolen-some-customer-data" target="_blank">彭博報導</a>，LV英國分公司資安事件是發生在7月2日。而這也是LV三個月內第三起資料外洩事件</p> <p>LV事件起因是單純系統遭人存取，或是遭遇勒索軟體不得而知。</p> <p>這是發生網路攻擊導致客戶個資外洩的最新一家時尚大廠。近幾個月來，已有<a href="https://www.ithome.com.tw/news/169348" target="_blank">Cartier</a>、內衣品牌「<a href="https://www.ithome.com.tw/news/169292" target="_blank">維多莉亞的祕密</a>」相繼遭駭。和LV同屬LVMH母公司的<a href="https://www.dior.com/en_us/fashion/data-security-update" target="_blank">Christian Dior Couture 5月亦發生</a>遭駭客竊取客戶資料事故，影響韓國網站及中國門市客戶。</p> </div></div></div>
2025/7/15 11:38作者林妍溱https://www.ithome.com.tw/news/170054
Amazon預覽AI整合開發環境Kiro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kiro.dev/" target="_blank">AWS（Amazon Web Services）本周一（7/14）釋出Kiro預覽版</a>，這是一個代理式的整合開發環境，可協助開發人員透過基於規格的開發流程，將原型轉成正式產品。加入Cursor IDE、Windsurf與GitHub Copilot的AI開發工具戰局。</p> <p>Kiro可協助開發人員將想法轉化為詳細規格，進而產生可用的程式碼、文件與測試，以建構完全符合需求的內容，並可隨時與團隊分享。相較於更聚焦於提示操作的Amazon Q Developer，Kiro提供自需求、設計到測試的全流程支援。</p> <p>有別於近年流行、強調靈感及快速實作的氛圍式程式設計（Vibe Coding），Kiro採取更具結構性的規格驅動開發。<a href="https://kiro.dev/faq/" target="_blank">Amazon解釋</a>，Kiro採用規格驅動並同時保留氛圍式程式設計的樂趣，由於Vibe Coding在處理複雜任務或是在大型程式碼庫上建置時，往往需要太多的指導，還可能誤解脈絡，採用Vibe Coding執行任務時，很難追蹤其過程的所有決策，或是製作文件；然而，藉由規格，Kiro將可在撰寫任何程式碼之前，與開發人員先行共同定義需求、系統設計及任務，明確記錄推理與實作決策，而讓Kiro能以更少的嘗試來實作更複雜的任務。</p> <p>Kiro的兩大核心功能即為規格（Specs）與鉤子（Hooks），前者即是生成需求、設計與任務規格，後者指的是事件驅動的自動化功能，例如在儲存React元件時，可自動更新測試檔案，或是在提交時，可自動執行安全性檢查以掃描洩露的憑證。</p> <p>Kiro支援macOS、Linux與Windows作業系統，以及Python、Java、JavaScript、TypeScript、C#、Go、Rust、PHP、Ruby、Kotlin、C、C++、shell腳本、SQL、Scala、JSON、YAML和HCL等程式語言，不過，迄今只針對英文進行最佳化，之後才會支援更多語言。</p> <p>現階段仍為預覽版的Kiro可免費使用，正式上線後仍有每月50次的免費互動額度，1,000次互動的月費為19美元，3,000次的則是39美元。</p> </div></div></div>
2025/7/15 11:47作者陳曉莉https://www.ithome.com.tw/news/170056
Cognition收購Windsurf
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI程式開發助理Devin開發商<a href="https://cognition.ai/blog/windsurf" target="_blank">Cognition周一宣布已和Windsurf簽下收購協議</a>，買下了一度因OpenAI收購傳言而聲名大噪的AI新創公司Windsurf。</p> <p>Cognition這項收購包含Windsurf的智財、產品、商標、品牌和業務及所有員工。Cognition將取得包含Windsurf年度經常性收入（Annual Recurring Revenue，ARR）8200萬美元，企業端ARR季增2倍，Windsurf每日經常用戶數數十萬，包含350多家企業客戶。而隨著Windsurf不加入OpenAI，Anthropic似乎取消了<a href="https://www.ithome.com.tw/news/169375" target="_blank">6月對Windsurf存取AI模型Claude的限制</a>，使Windsurf IDE擁有Claude模型完整存取權。</p> <p>Cognition AI 2023年成立，它和Windsurf都獲得投資大神Peter Thiel的Founders Fund的資金。今年4月Cognition AI獲得第4輪資金，<a href="https://www.bloomberg.com/news/articles/2025-03-18/cognition-ai-hits-4-billion-valuation-in-deal-led-by-lonsdale-s-firm?embedded-checkout=true" target="_blank">使其市值來到近40億美元</a>。</p> <p>Cognition執行長Scott Wu表示，現有Windsurf團隊將照常運作，包含同名產品Windsurf在內所有開發工作，而Cognition也會持續著重開發Devin。未來幾個月，Cognition將著手整合Windsurf功能、IP到Cognition產品中。Cognition也保證Windsurf員工的股票權益。</p> <p>這項收購前，<a href="https://www.ithome.com.tw/news/170034" target="_blank">上周Windsurf才被媒體報導</a>二名高層包括執行長Varun Mohan及Douglas Chen跳槽Google DeepMind，讓OpenAI以30億美元收購這家AI輔助程式開發環境（IDE）供應商的劇情出現轉折。彭博報導，OpenAI收購破局原因是Windsurf不願掌控OpenAI的微軟存取其技術。<a href="https://x.com/jeffwsurf" target="_blank">目前Windsurf臨時CEO為Jeff Wang</a>。</p> </div></div></div>
2025/7/15 09:53作者林妍溱https://www.ithome.com.tw/news/170053
【資安日報】7月14日，臺美關稅遲遲未定，美國大型律師事務所驚傳遭中國駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個週末有許多事故傳出，其中，最值得留意的是中國駭客傳出入侵美國大型律師事務所Wiley Rein的事故，由於該事務所協助美國政府與企業應對中國貿易嚴，再加上美國始終沒有公告臺灣的關稅比例，這起事故帶來的後續效應，相當值得留意。</p> <p>除此之外，另一起引起外界關注的消息，是關於麥當勞的招募對話機器人McHire的漏洞揭露，其中最引起外界關注的是，這套系統竟留存了測試階段使用的管理員帳號，其帳號密碼皆為123456。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170048"><strong style="font-size: 22px;">美國大型律師事務所疑遭中國駭客入侵，目標可能是蒐集臺灣、貿易、美國關稅等機密資訊</strong></a></p> <p>中國駭客藉由挖掘電子郵件內容來探聽他國政治情資的情況，不時有事故傳出，例如，最近美國逮捕的中國駭客徐澤偉，理由之一就是他與同夥張宇接收中國政府的命令，透過研究員的電子郵件信箱竊取COVID-19疫苗、檢測方法、治療方法的研究成果。由於最近幾個月全球的焦點集中於川普宣布對於各國課徵的關稅稅率，最近又有類似攻擊郵件系統的事故傳出受到關注，因為駭客攻擊的目標，是一家與美國政府高度密切合作的律師事務所。</p> <p>根據CNN的報導，總部位於美國華盛頓特區的律師事務所Wiley Rein近期向客戶通知，他們部分律師和顧問的Microsoft 365帳號傳出遭到駭客存取，攻擊者很有可能是隸屬於中國政府的駭客組織，目的疑似是為了收集與美國政府、臺灣貿易，以及美國對外國的投資審查相關的敏感訊息。由於這起事故發生在美國總統宣布對中國加徵關稅之後，使得美中貿易戰情勢再度惡化；另一方面，臺灣遲遲尚未出現在美國關稅比例公告的國家名單，顯然中國更想知道美國的態度。</p> <p><a href="https://www.ithome.com.tw/news/170025"><strong style="font-size: 22px;">刑事局封鎖涉毒網址轉檔作業出包，Azurewebsites.net根網域遭屏蔽近2小時，連TWNIC公文系統都被封</strong></a></p> <p>微軟雲端服務底下的Azurewebsites.net根網域，在7月10日下午突然遭到刑事局以涉毒為由，由TWNIC台網中心以DNS RPZ（Response Policy Zone）屏蔽將近2個小時，導致根網域下的Azure Web App等服務受到影響，事後刑事局調查原因，坦承為其內部文書轉檔疏失，將要屏蔽的涉毒網站網址名稱的子網域誤刪，留下Azurewebsites.net根網域，導致TWNIC屏蔽整個根網域，事後發公文請TWNIC協助解除屏蔽，但影響時間將近2小時。刑事局表示，未來將加強內部查核，並將和TWNIC合作建立除錯機制，避免相同事件再次發生。</p> <p>這起烏龍事件發生在7月10日下午4點多，Azurewebsites.net根網域遭到TWNIC以DNS RPZ屏蔽，導該該根網域底下所有服務都無法正常使用，連接根網域畫面即顯示因違反毒品危害防治條例而遭到屏蔽，並留下聯繫管道。</p> <p>事後刑事局承認內部出錯，於7月10日下午5點22分接獲TWNIC台網中心通知，在行政處分的公文中請求協助屏蔽的域名清單中，有一筆為Microsoft Azure App Service相關公開後綴（Public Suffix）：azurewebsites.net，刑事局收到通知後請求TWNIC解除屏蔽，在下午6點11分左右恢復正常服務。</p> <p><a href="https://www.ithome.com.tw/news/170027"><strong style="font-size: 22px;">葛如鈞質疑雙憑證機制無效，數發部表示從使用者端刪除憑證無法測試雙憑證機制</strong></a></p> <p>中華電信憑證被Chrome撤信，數發部推動政府機關採用雙憑證機制因應，立委葛如鈞在上周召開記者會，公開質疑雙憑證機制無效，政府推動雙憑證機制是場騙局，數發部則回應，從瀏覽器端刪除憑證的測試方式，並不符合雙憑證機制設計的目的。</p> <p>葛如鈞在周四（7月10日）召開記者會，質疑數發部因應中華電信憑證撤信事件，推動政府機關採用的雙憑證機制無效，葛如鈞還現場展示從瀏覽器的憑證管理操作中刪除中華電信憑證，無法正常瀏覽數發部、交通部網站，對外「證明」數發部推動雙憑證機制並沒有生效。</p> <p>數發部回應指出，雙憑證機制設計的目的是，讓政府機關預先申請兩張由不同憑證機構所簽發的TLS憑證，一旦使用中憑證遭遇信任異動或屆期失效，就能立即安裝另一張備援憑證，以避免對外的網站服務中斷，同時免去重新申請憑證所需要的時間。數發部認為，從使用者端手動刪除憑證，觀察網站自動切換的做法，實務上和網站憑證因為效期過期或信任撤銷的實際情境不同，不符合雙憑證機制設計重點。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/over-600-laravel-apps-exposed-to-remote.html">逾600個Laravel應用程式特定資訊在GitHub遭洩露，恐被用於遠端執行任意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/gpuhammer-new-rowhammer-attack-variant.html">處理器攻擊手法RowHammer出現變形，可對Nvidia GPU上的AI模型下手</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170050"><strong style="font-size: 22px;">麥當勞徵才對話機器人存在資安漏洞，6,400萬名求職者資料恐曝光</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot_2025-07-02_at_9_36_13_AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_2025-07-02_at_9_36_13_AM.png" style="width: 300px; float: right;" /></a>為提升處理效率，企業很可能會運用AI聊天機器人加速溝通的速度，然而若是設置不當，很有可能讓存放的資料曝光。</p> <p>最近有一項資安漏洞的發現引起各界關注，這些弱點出現在麥當勞的徵才對話機器人McHire，此機器人以科技業者Paradox.ai旗下的機器人Olivia為基礎打造，用來收集求職者的個人資料。但研究人員Ian Carroll與Sam Curry發現，此系統的管理後臺竟採用帳號與密碼皆為123456的預設帳號，然後兩名研究人員循線找到不安全的直接物件參照（Insecure Direct Object Reference，IDOR）漏洞，攻擊者只要調整特定的參數，就有機會存取其他應徵者的聊天內容，從而挖掘相關個資。</p> <p>這樣的情況，恐影響美國6,400萬名曾經應徵的求職者。研究人員於6月30日通報麥當勞與Paradox.ai，麥當勞註銷上述的預設帳號，隔日Paradox.ai修補IDOR漏洞。</p> <p><a href="https://www.ithome.com.tw/news/170036"><strong style="font-size: 22px;">Ruckus網路設備軟體、管理平臺存在一系列資安漏洞，迄今尚未修補</strong></a></p> <p>Ruckus上周警告其虛擬無線網路軟體及集中管理平臺存在9項漏洞，能讓攻擊者繞過驗證機制、讀取金鑰或執行程式碼，該公司正在調查，目前都還沒有修補程式。</p> <p>這9項漏洞影響Ruckus Virtual SmartZone（vSZ）及Ruckus Network Director（RND），若遭到濫用，可能讓未經授權的攻擊者得以存取Ruckus產品的Shell命令列介面。</p> <p>對此，卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）認為，在Ruckus提供修補程式之前，網管人員應限縮無線管理環境的存取權限，僅允許少數受信賴使用者或通過驗證的用戶端，使用HTTPS或SSH安全連線來管理Ruckus設備。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/perfektblue-bluetooth-flaws-impact-mercedes-volkswagen-skoda-cars/">藍牙框架存在資安漏洞PerfektBlue，影響賓士、VW、Skoda車載系統</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-gemini-flaw-hijacks-email-summaries-for-phishing/">Google Gemini存在資安弱點，恐產生含有惡意內容的電子郵件摘要</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170018"><strong style="font-size: 22px;">歐盟發布通用AI實踐準則</strong></a></p> <p>歐盟執委會周四（7月10日）發布了通用AI實踐準則（General-Purpose AI Code of Practice），以協助製造商及供應商符合《AI Act》在透明度、著作權及安全上的要求。</p> <p>在透明度上，它提供模型文件表予所有GPAI供應商，以用來揭露模型的訓練資料、用途、限制及評估過程等資訊，以供使用者及監管機構查閱。於著作權上，它建立了著作權政策，透過技術與流程來確保爬蟲及訓練行為的合法性，並於可行範圍內阻止違法內容。</p> <p>至於安全性準則則是鎖定高風險模型供應商，它建立了系統性風險的管理架構，包括風險識別、處理框架及通報機制，並定期更新與提交相關資訊。</p> <p><strong style="font-size: 22px;">其他執法行動</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/four-arrested-in-uk-over-mands-co-op-harrods-cyberattacks/">4名參與連續攻擊英國零售業者事故的嫌犯遭到逮捕</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170017"><strong>【7月11日】迴避偵測框架Shellter被用於散布竊資軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169986"><strong>【7月10日】大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169963"><strong>【7月9日】微軟發布本月例行更新、修補130個漏洞</strong></a></p> </div></div></div>
2025/7/14 17:57作者周峻佑https://www.ithome.com.tw/news/170051
麥當勞徵才對話機器人存在資安漏洞，6,400萬名求職者資料恐曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升處理效率，企業很可能會運用AI聊天機器人加速溝通的速度，然而若是設置不當，很有可能讓存放的資料曝光。</p> <p>最近<a href="https://ian.sh/mcdonalds">有一項資安漏洞的發現</a>引起各界關注，這些弱點出現在麥當勞的徵才對話機器人McHire，此機器人以科技業者Paradox.ai旗下的機器人Olivia為基礎打造，用來收集求職者的個人資料。但研究人員Ian Carroll與Sam Curry發現，此系統的管理後臺竟採用帳號與密碼皆為123456的預設帳號，然後兩名研究人員循線找到不安全的直接物件參照（Insecure Direct Object Reference，IDOR）漏洞，攻擊者只要調整特定的參數，就有機會存取其他應徵者的聊天內容，從而挖掘相關個資。</p> <p>這樣的情況，恐影響美國6,400萬名曾經應徵的求職者。研究人員於6月30日通報麥當勞與Paradox.ai，麥當勞註銷上述的預設帳號，隔日Paradox.ai修補IDOR漏洞。</p> <p>之所以發起這項調查，Ian Carroll表示，源自他們在社群網站Reddit，看到有人抱怨應徵麥當勞工作的問題，有網友試圖透過McHire應徵，結果機器人卻用沒意義的答案來回應，因此兩人決定著手進行調查。</p> <p>為了了解McHire的運作流程，他們嘗試應徵一份工作，但在依照指示完成人格測驗之後，並未出現後續的流程，研究人員試圖對機器人進行提示注入的互動，卻發現機器人似乎被預設回應清單鎖住而不予回應。</p> <p>接著他們進一步調查，結果卻意外找到管理後臺的登入網頁。事實上，麥當勞強制要求管理者須透過單一簽入（SSO）存取，但Ian Carroll與Sam Curry找到其他進入系統的辦法，因為兩人透過網頁上Paradox team members的連結，就能使用帳號名稱與密碼都是123456預設帳號登入系統。</p> <p>雖然帳號123456可用來管理測試環境，無法直接得知真正求職者的個資，但研究人員還是能藉此完全掌握McHire的運作方式，從而發現系統運用特定的API截取求職者資訊；過程中，他們試圖針對API存取的參數進行調整，結果成功得到另一名求職者的個資，而且，這些資料並未進行遮罩處理。Ian Carroll指出，這樣的弱點一旦遭到利用，攻擊者就有機會得到應徵者的個資，其中包括：姓名、電子郵件信箱、電話號碼、地址、應徵時段、Token等。</p> <p>對此，麥當勞與Paradox.ai接獲通報後皆著手處理，Paradox.ai<a href="https://www.paradox.ai/blog/responsible-security-update">進一步確認此事造成的影響</a>，指出目前該漏洞尚未被用於實際攻擊，未有求職者個資外流，僅有研究人員在調查的過程裡，存取7筆聊天互動記錄，其中有5筆與美國求職者相關。</p> </div></div></div>
2025/7/14 17:19作者周峻佑https://www.ithome.com.tw/news/170050
微軟於雲端AI開發平臺AI Foundry加入Deep Research SDK，供開發者在AI代理應用中加入深度研究…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/introducing-deep-research-in-azure-ai-foundry-agent-service/">微軟近日於自家雲端AI開發平臺Azure AI Foundry推出Deep Research SDK與API，</a>以支援開發人員打造具備多步驟推理與分析能力的AI代理應用。</p> <p>利用此SDK，開發<span style="color:#000000;">人員可以快速將微軟企業級深度研究功能，整合到AI代理應用中。Azure的Deep Research功能，以Open AI的o3-deep-research模型為核心，由此模型調度不同模型和應用程式，來自動化完成多階段研究流程。</span></p> <p><span style="color:#000000;"><img alt="" src="https://s4.itho.me/sites/default/files/images/drsode.png" style="width: 600px;" /></span></p> <p><span style="color:#000000;">Deep Research研究流程第一階段是定義研究範圍。o3-deep-research模型會呼叫GPT-4.1與GPT-4o等模型，來分析使用者提示內容，以釐清查詢意圖、補充上下文，並劃定研究範圍。定義研究範圍</span></p> <p><span style="color:#000000;">第二步是即時資料基礎蒐集，Deep Research會呼叫Bing Search等工具，從網路上搜尋各式資料，作為知識基礎（Grounding knowledge），以避免產生幻覺。第三步，o3-deep-research模型會綜合這些資料，來整合、分析與推論。微軟強調，推論過程中，模型會情境改變或獲得新洞察，來動態調整研究方向。推論結果，還會考慮到資料中的各種細節、趨勢、或潛在衝突情況。</span></p> <p><span style="color:#000000;">第四步，模型會將推論結果輸出為結構化報告，記錄模型得出的答案，同時詳載模型推理過程、引用來源，以及研究過程中對使用者提出澄清請求。微軟希望，這能使企業更容易驗證AI研究結果，使Deep Research功能可用於關鍵任務場景，或高度監管產業。</span></p> <p><span style="color:#000000;">開發者能透過API串接Deep Research到自建商業應用、內部入</span>口網站、RPA工具，或其他AI代理。例如，將Deep Research代理串接到簡報製作代理，再串接到Email代理，就能自動化完成從研究、報告製作到通知主管的不同任務環節。</p> <p>Deep Research採按Token計價模式。o3-deep-research模型每百萬次Token輸入為10美元、快取輸入（Cached Input）每百萬Token2.5美元、每百萬Token輸出則為40美元。呼叫Bing搜尋與用來進行較簡單任務的其他GPT模型呼叫費用另計。</p> <p>目前，Deep Research處於公開預覽階段，開發者可至Azure AI Foundry平臺申請早鳥體驗。</p> <p></p> </div></div></div>
2025/7/14 18:06作者郭又華https://www.ithome.com.tw/news/170049
美國大型律師事務所疑遭中國駭客入侵，目標可能是蒐集臺灣、貿易、美國關稅等機密資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客藉由挖掘電子郵件內容來探聽他國政治情資的情況，不時有事故傳出，例如，<a href="https://www.ithome.com.tw/news/170013">最近美國逮捕的中國駭客徐澤偉</a>，理由之一就是他與同夥張宇接收中國政府的命令，透過研究員的電子郵件信箱竊取COVID-19疫苗、檢測方法、治療方法的研究成果。由於最近幾個月全球的焦點集中於川普宣布對於各國課徵的關稅稅率，最近又有類似攻擊郵件系統的事故傳出受到關注，因為駭客攻擊的目標，是一家與美國政府高度密切合作的律師事務所。</p> <p>根據CNN的報導，<a href="https://edition.cnn.com/2025/07/11/politics/chinese-hackers-suspected-law-firm-hack">總部位於美國華盛頓特區的律師事務所Wiley Rein近期向客戶通知</a>，他們部分律師和顧問的Microsoft 365帳號傳出遭到駭客存取，攻擊者很有可能是隸屬於中國政府的駭客組織，目的疑似是為了收集與美國政府、臺灣貿易，以及美國對外國的投資審查相關的敏感訊息。由於這起事故發生在美國總統宣布對中國加徵關稅之後，使得美中貿易戰情勢再度惡化；另一方面，臺灣遲遲尚未出現在美國關稅比例公告的國家名單，顯然中國更想知道美國的態度。</p> <p>Wiley Rein成立於1983年，專精於政府、商業與科技交匯的法律領域，擁有不少財富前500大企業的客戶，是協助美國政府與企業應對中國貿易戰的重要參與者。這樣的背景，也說明該公司為何會成為中國駭客從事情報收集的目標。</p> <p>針對這起資安事故的影響範圍，Wiley Rein透露他們仍在確認，該公司已尋求資安業者Mandiant協助因應，並通報執法機關。對於這項傳聞，Wiley Rein、美國聯邦調查局（FBI）、Mandiant並未提出說明。</p> </div></div></div>
2025/7/14 15:23作者周峻佑https://www.ithome.com.tw/news/170048
【資安週報】0707~0711，駭客打造上萬個投資詐騙網站，Deepfake偽冒政府官員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年7月第二星期的資安新聞，涉及身分偽冒的詐騙、Deepfake事件，是我們首要關注的焦點，顯示攻擊者不僅用好康、冒名與假消息來騙不懂求證的人，加上Deepfake門檻變低，因此，越來越多攻擊者採用語音網釣加上AI語音偽冒的手段，讓受害者明知陌生電話或帳號來聯繫，也可能因為聲音很像誤信而忽略求證，下列兩起事件，是我們認為這個星期最重大的資安危機。</p> <p>（一）橫行全球的網路投資詐騙活動BaitTrap，被資安業者CM360揭露，駭客架設逾1.7萬個誘餌新聞網站，中東有1萬個最多，亞太地區3,400個次之，不僅偽裝成知名媒體散布假消息，並假借知名公眾人物或銀行名義來建立信任，宣稱意外發現透過加密貨幣致富秘密方法來進行投資詐騙。</p> <p>（二）AI偽冒政府官員的事件正引發全球關注。在美國，繼5月白宮幕僚長Susie Wiles遭偽冒後，美國國務院7月也警告，有人偽冒美國國務卿盧比奧（Marco Rubio）發送文字與Signal語音訊息。國務院警告，歹徒可能企圖透過AI生成的文字與語音操控特定人士，目的在於取得資訊或存取帳號。</p> <p>此外，駭客也持續利用不同社交工程手法來欺騙上網的大眾，散布釣魚網站、釣魚郵件，或是散布假瀏覽器套件，近期有3起重要事件揭露，意圖讓目標上當，導致信用卡資訊被竊或電腦被安裝惡意程式。</p> <p>●墨西哥記者發現當地出現各種仿冒熱門品牌的釣魚網站，有逾700個，網路情報平臺Silent Push循線追查，揭露是中國駭客所為，封鎖後仍有數千個釣魚網站活躍，當中多是以假亂真的網址，誘拐消費者購買並輸入信用卡資訊。<br /> ●18款惡意瀏覽器延伸套件被下載230萬次，資安業者Koi Security揭露相關攻擊行動RedDirection，指出這些偽冒的套件類型包括：Emoji符號鍵盤、天氣預報、影片速度控制器、音量放大、YouTube解鎖工具等。<br /> ●中國駭客Mustang Panda持續鎖定圖博人士從事攻擊，IBM X-Force指出該組織寄送釣魚郵件，利用6月圖博大會、達賴喇嘛新書等時事議題作為誘餌，意圖引誘開啟郵件中的雲端檔案連結，下載包含惡意的ZIP或RAR壓縮檔。</p> <p>在資安威脅事件與態勢方面，這星期國內有一起上市公司資安事件的揭露，還有四大議題值得特別留意，涵蓋OT安全、紅隊演練工具遭濫用，以及Linux、macOS遭鎖定的態勢。</p> <p>●專注無線通訊模組及數位影像處理方案的海華科技，屬於和碩集團的成員，他們發布資安事件重訊，揭露資訊系統遭受駭客攻擊。<br /> ●挪威媒體揭露今年4月有駭客入侵Lake Risevatnet水壩控制系統，閘門開啟數小時無法關閉，而原因是弱密碼釀禍，幸好當時河床足以因應龐大水流。<br /> ●出現駭客濫用新的資安演練工具從事攻擊的狀況，Elastic發現駭客濫用迴避偵測框架Shellter來散布竊資軟體，企圖迴避防毒軟體與EDR偵測。<br /> ●韓國資安公司AhnLab揭露，Linux伺服器因密碼強度不足或管理疏忽，逐漸成為駭客鎖定目標。<br /> ●近期針對macOS用戶的竊資軟體接連被揭露，包括Atomic Stealer（AMOS Stealer）、北韓駭客打造的NimDoor，以及先前揭露的Odyssey Stealer，突顯攻擊者鎖定macOS攻擊的狀況是越來越多。</p> <p>在漏洞消息方面，這一星期微軟、Adobe、SAP等多家廠商發布7月例行更新，需要大家儘快修補與因應，還有4個老舊已知漏洞遭利用的消息需要留意，已被美國CISA列入已知漏洞利用清單（KEV）。</p> <p>其中1起漏洞利用值得電信ISP業者或大型網路業者重視，是開源TCP/IP路由軟體Multi-Router Looking Glass（MRLG）的漏洞CVE-2014-3931，駭客仍鎖定這個10年前的漏洞來利用。其他還包括：PHP開源郵件寄送函式庫PHPMailer的漏洞CVE-2016-10033，Ruby開源Web應用框架Ruby on Rails的漏洞CVE-2019-5418，以及整合式企業郵件與協作平臺ZCS的漏洞CVE-2019-9621。</p> <p>還有3個漏洞需要密切關注，因為已發現駭客掃描的跡象，可能是攻擊前兆，這些漏洞是3月Tomcat修補的RCE漏洞（CVE-2025-24813），以及同樣3月Camel修補的RCE漏洞（CVE-2025-27636、CVE-2025-29891）</p> <p>至於資安防禦上，有兩起重要消息，一是美國司法部在義大利米蘭逮捕一名中國駭客，此人涉嫌於2020年2月至2021年6月間，受中國政府指使竊取COVID-19疫苗研究成果；另一是臺灣資安業者奧義智慧切入AI Guardrails領域，並攜手AI業者APMIC推出AI模型XecGuard，以及Safety LLM安全評測服務。預計第三季將推出閘道端的AI防火牆產品。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169929"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</span></strong></a></h3> <p>這週末有數則漏洞修補的消息，其中尤以Sudo發布新版的消息相當值得留意，開發團隊這次一共修補兩項漏洞，但特別的是，其中一項危險程度僅有2.3分的低風險漏洞引發關注，因為從12年前發布的版本都受到影響，而有可能影響相當廣泛。</p> <p>而在這段期間發生的資安事故當中，Apache Tomcat、Camel漏洞利用的攻擊活動相當值得留意，再者，由於先前有<a href="https://www.ithome.com.tw/news/169883">Verizon、T-Mobile資料外洩事故</a>，西班牙電信業者Telefonica傳出資料外洩的情況，也引起關注；附帶一提的是，中國駭客仿冒知名品牌網站，試圖針對墨西哥用戶進行大規模網釣攻擊的現象，其手法也引起網路情報平臺Silent Push注意，並調查此事。</p> <h3><a href="https://www.ithome.com.tw/news/169950"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月8日】macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動</span></strong></a></h3> <p>過往大多竊資軟體主要針對Windows電腦而來，但如今針對macOS用戶的竊資軟體接連出現，我們今天整理了Atomic Stealer（AMOS Stealer），以及北韓駭客打造的NimDoor，還有先前揭露的Odyssey Stealer，而這些事故都突顯出相關攻擊手法日益複雜的情形。</p> <p>另一方面，上週勒索軟體Hunters International宣布結束營運並免費提供解密金鑰，此舉也引起資安圈關注，但這並非代表駭客就此收手，而是為了避免遭到執法單位圍剿，決定不再使用勒索軟體從事破壞行為，有資安人員認為，此舉之後會有其他勒索軟體駭客跟進。</p> <p><a href="https://www.ithome.com.tw/news/169963"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月9日】微軟發布本月例行更新、修補130個漏洞</span></strong></a></p> <p>微軟發布今年第7次的每月例行更新（Patch Tuesday），雖然這次修補的漏洞數量相當多，但未提到這些漏洞出現用於實際攻擊行動的情況，僅有一個是在微軟修補前遭到公開的SQL Server弱點。漏洞懸賞專案Zero Day Initiative（ZDI）推測，微軟這次修補的漏洞數量大幅增加，很有可能與接下來8月初舉行的資安大型會議黑帽大會（Black Hat）、DEFCON有關。</p> <p>在資安威脅態勢方面，有人透過AI假冒美國國務卿盧比奧（Marco Rubio）的情況，引起該國政府重視；再者，駭客在Chrome、Edge延伸套件市集上架惡意套件的攻擊行動，這些套件已被下載230萬次，使用者應儘速確認是否受害；而對於新興勒索軟體Bert的動態，他們從原本鎖定Windows電腦，如今也加密虛擬化平臺的檔案。</p> <h3><a href="https://www.ithome.com.tw/news/169986"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月10日】大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來</span></strong></a></h3> <p>投資詐騙的事故頻傳，為了取信受害人，有些歹徒架設誘餌新聞網站（Baiting News Sites），以類似新聞報導的形式散布詐騙訊息，揭露此事的資安業者CM360偵測到超過1.7萬個網站，值得留意的是，這些網站都針對目標民眾進行調整，以當地語言、名人、金融機構來行騙。</p> <p>本週有許多廠商發布7月份例行更新，其中又以SAP供應商關係管理平臺的滿分漏洞最危險，再者，Fortinet應用程式防火牆（WAF）的SQL注入漏洞也相當嚴重而值得留意；Citrix修補VDI平臺的代理程式高風險漏洞，有機會讓攻擊者得到SYSTEM權限。</p> <h3><a href="https://www.ithome.com.tw/news/170017"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月11日】迴避偵測框架Shellter被用於散布竊資軟體</span></strong></a></h3> <p>企業級紅隊演練工具遭到駭客濫用的情況，最常見的就是Cobalt Strike、Brute Ratel C4（BRc4），但如今有另一款名為Shellter工具遭到利用，罕見的是，開發團隊也做出公開說明，表示他們打算如何因應及防範類似情況再度發生，並希望察覺此事的Elastic能夠及早通知，而非看到部落格文章才得知此事。</p> <p>除此之外，美國逮捕涉嫌聽令中國政府竊取COVID-19研究資料的中國駭客，也相當受到關注，尤其是這些駭客為了搜括資料，後續更進一步利用資安漏洞ProxyLogon，對Exchange伺服器發動大規模攻擊。</p> </div></div></div>
2025/7/14 10:15作者羅正漢https://www.ithome.com.tw/news/170030
AI程式工具降低了資深開發者的生產力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>獨立的非營利AI研究機構<a href="https://metr.org/Early_2025_AI_Experienced_OS_Devs_Study.pdf" target="_blank">METR（Model Evaluation & Threat Research）上周公布一研究報告</a>，顯示資深開發者利用AI來協助解決任務時，所花的時間反而多了19%。</p> <p>METR是個致力於研究與評估尖端AI模型自主能力與潛在風險的非營利研究機構，它強調評估的獨立性及可信度，從未接受來自AI公司的資金，是現今少數可對先進模型部署前執行安全評估的機構之一。</p> <p>在此次的研究中，METR邀請16名開發人員提供數十個真實且有價值的任務，諸如修復臭蟲、新功能開發或是重構程式碼等，總計有246個任務，並由METR提供每小時150美元的酬勞。此外，這些開發人員平均擁有2.2萬顆GitHub星星，所開發或貢獻的開源專案平均超過100萬行程式碼。</p> <p>之後由METR隨機將這些任務分配至AI組及禁用AI組，收到前者的開發人員多半利用Cursor Pro搭配Claude Sonnet，後者則使用傳統IDE，禁用AI輔助工作流程，且每位開發人員都必須錄製螢幕畫面，同時自行回報所花費的時間。</p> <p>值得注意的事是，開發者在任務開始前原本預期使用AI能讓速度提升24%，但實際上，使用AI後平均反而多花了19%時間。更有趣的是，即使任務已經完成、實作明顯變慢，他們仍主觀認為AI讓自己快了20%。這些任務的平均實作時間約為2小時。</p> <p>METR認為，傳統的基準測試常常為了效率或可評估性而弱化了真實性，因此難以對應AI工具及實務中的實際效益，另一方面，開發人員對AI工具的效能存在明顯的認知偏差，若要真實掌握AI於部署環境中的影響，未來應仰賴更多具現場情境的實測研究，而非僅依賴基準測試及主觀印象。</p> </div></div></div>
2025/7/14 15:14作者陳曉莉https://www.ithome.com.tw/news/170047
外傳xAI的50億美元股權投資中，有20億美元來自SpaceX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國投資銀行暨金融服務業者<a href="https://x.com/MorganStanley/status/1939768047780172184" target="_blank">Morgan Stanley在兩周前協助xAI</a>完成100億美元的融資案，其中包括50億美元的債券發行，以及50億美元的股權投資。近日<a href="https://www.wsj.com/tech/spacex-to-invest-2-billion-into-elon-musks-xai-413934de" target="_blank">華爾街日報（The Wall Street Journal，WSJ）引述消息來源報導</a>，在50億美元的股權投資中，有20億美元來自同屬馬斯克（Elon Musk）麾下的姐妹公司SpaceX。</p> <p>當時Morgan Stanley表示，結合債務及股權的融資架構，將有助於降低整體的資本成本，同時擴大資金來源。所有的資金都將用於推動xAI的AI技術，包括打造全球最大之後的資料中心，以及核心的Grok平臺。</p> <p>此外，Morgan Stanley所採用的xAI估值，是<a href="https://www.ithome.com.tw/news/168140" target="_blank">該公司在今年3月合併X</a>之後的1,130億美元。</p> <p>SpaceX是馬斯克在2002年創辦的航太公司，它製造並發射能夠回收的火箭，提供太空載人任務，亦推出Starlink衛星網路服務。根據WSJ的報導，這是SpaceX對xAI的首波已知投資，也是SpaceX對其它公司的最大投資之一。</p> <p>SpaceX已應用xAI的聊天機器人Grok處理客戶支援，預計未來雙方將有更多的商業合作。</p> <p>根據WSJ的報導，馬斯克不斷利用SpaceX來支援其它業務，例如曾以個人名義借貸2,000萬美元以支援早期的特斯拉（Tesla），利用SpaceX的設備來成立The Boring Company，或是在收購Twitter時亦曾向SpaceX借貸10億美元。SpaceX並未上市或公開發行股票，但該公司今年7月的估值已達4,000億美元。</p> </div></div></div>
2025/7/14 13:50作者陳曉莉https://www.ithome.com.tw/news/170041
RealSense脫離英特爾，完成5,000萬美元的A輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）在2014年推出的深度感測與追蹤技術品牌<a href="https://realsenseai.com/news-insights/news/realsense-completes-spin-out-from-intel-raises-50-million-to-accelerate-ai-powered-vision-for-robotics-and-biometrics/" target="_blank">RealSense上周五（7/11）宣布</a>，已正式從母公司英特爾獨立，成為一家聚焦於AI、機器人、生物辨識及電腦視覺領域的公司，並完成了5,000萬美元的A輪融資。</p> <p>新的資金將用來推動RealSense相鄰與新興市場的擴張，並擴大其製造、銷售與上市的全球影響力，以滿足對人形及自主行動機器人，以及基於AI的存取控制與安全解決方案需求。</p> <p>擔任RealSense執行長的是原本擔任英特爾育成與顛覆性創新部門總經理的Nadav Orbach，Orbach在該部門主導AI視覺感知、機器及嵌入式感測技術，與RealSense目標相符。</p> <p>Orbach說，獨立後的RealSense將能更快地行動，更大膽地創新，以適應快速變化的市場動態，引領AI創新，以及開啟機器人技術的復興時代。</p> <p>此外，RealSense將會繼續支援現有的客戶群與產品路線圖，包括RealSense深度攝影機，據稱已被嵌入全球6成的人型機器人及自主行動機器人中，以及最新推出的D555深度攝影機，該產品採用新一代RealSense Vision SoC V5晶片，並支援乙太網路供電。</p> <p>英特爾未曾公布過RealSense部門的財務狀況，獨立後的RealSense表示，該公司在全球擁有逾3,000家客戶及超過80項的全球專利。RealSense僅說A輪融資是由一家知名半導體私募股權公司領投，並未公布名稱，另外亦已得到Intel Capital與聯發科MediaTek Innovation Fund等戰略投略投資者的參與。</p> <p>RealSense相中的是成長快速的機器人及生物識別領域，估計機器人市場規模在6年內將從現有的500億美元成長至2,000億美元，其中，人型機器人的市場需求每年成長率可望超過40%。</p> </div></div></div>
2025/7/14 14:07作者陳曉莉https://www.ithome.com.tw/news/170042
中國AI新創Moonshot AI開源Kimi K2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023年才成立的中國AI新創Moonshot AI（月之暗面）上周<a href="https://github.com/MoonshotAI/Kimi-K2" target="_blank">開源Kimi K2模型</a>，包括基礎模型Kimi-K2-Base及代理式模型Kimi-K2-Instruct，並在許多關鍵基準測試上勝過或相當於OpenAI、Anthropic與DeepSeek。</p> <p>Kimi K2為一混合專家語言模型，具備1兆個參數與320億個啟動參數，利用Muon優化器進行訓練，Moonshot AI說，它在尖端知識、推理及程式碼任務上皆達到卓越性能，也針對代理功能最佳化。</p> <p>Moonshot AI使用15.5兆個Token，預訓練了擁有1兆參數的混合專家模型；把Muon優化器應用到前所未有的規模並研發新的優化技巧，以解決隨著模型變大而出現的不穩定現象；且其代理式智慧是專為工具使用、推理能力及自主解決問題而設計。</p> <p>Kimi K2具備Kimi-K2-Base基礎模型與Kimi-K2-Instruct指令模型兩個版本，前者可供研究人員及開發者使用，適合需要自行微調或客製化解決方案的情境，後者則是經過後訓練的指令模型，適用於聊天，或是具備代理能力的應用場景。</p> <p><a href="https://moonshotai.github.io/Kimi-K2/" target="_blank">Moonshot AI比較了</a>Kimi K2、DeepSeek、阿里通義千問、OpenAI、Anthropic及Google在代理/程式碼、工具使用及數學/STEM等領域等基準測試，發現Kimi K2在各個領域都有傑出的表現。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0714-Moonshot%20AI-Kimi%20K2-benchmark-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Moonshot AI</span></span></p> <p>Kimi K2每百萬個輸入Token的價格為0.15美元，輸出為2.5美元，比OpenAI或Anthropic都還要便宜。</p> <p><a href="https://venturebeat.com/ai/moonshot-ais-kimi-k2-outperforms-gpt-4-in-key-benchmarks-and-its-free/" target="_blank">VentureBeat分析</a>，既開源又提供具競爭力價格的API，代表Moonshot AI深刻理解了市場動態，企業客戶可藉由API立即部署，再遷移到自行託管的版本以滿足優化或合規性的要求，同時建立了市場佔有率及生態系的採用率。</p> <p>而且，每個下載或試用Kimi K2的開發人員都會成為潛在的企業客戶，且社群的貢獻也會降低Moonshot AI的開發成本。</p> <p>Moonshot AI的創辦團隊來自中國清華大學，2023年10月推出<a href="https://www.kimi.com/" target="_blank">AI聊天機器人Kimi</a>，2024年即獲得由阿里巴巴領投的10億美元資金，同年8月再得到來自騰訊與其它組織的3億美元資金，其它投資者還包括紅杉中國、美團及小紅書等。</p> </div></div></div>
2025/7/14 11:26作者陳曉莉https://www.ithome.com.tw/news/170033
WindSurf執行長、創辦人跳槽Google OpenAI收購計畫受挫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月媒體報導OpenAI將以30億美元收購AI新創公司WindSurf，不過最新報導顯示WindSurf包含執行長2位高層等員工跳槽Google DeepMind，恐為OpenAI收購計畫添變數。</p> <p>5月彭博報導，OpenAI同意以30億美元收購Windsurf強化AI輔助編碼工具的實力，未獲得二家公司證實。不過<a href="https://www.theverge.com/openai/705999/google-windsurf-ceo-openai" target="_blank">上周The Verge報導</a>，WindSurf執行長Varun Mohan及共同創辦人Douglas Chen雙雙加盟Google DeepMind。報導指出，Google並未收購也未入股WindSurf，無法掌控這家新創公司。Google僅和WindSurf簽定非獨家技術授權，意謂它也能自由技術授權其他大廠。</p> <p><a href="https://techcrunch.com/2025/07/11/windsurfs-ceo-goes-to-google-openais-acquisition-falls-apart/" target="_blank">Google已對Techcrunch證實此事</a>，表示二人加入Google DeepMind將可協助強化其代理人程式編碼方案的工作。</p> <p><a href="https://www.bloomberg.com/news/articles/2025-07-11/openai-s-3-billion-deal-to-buy-ai-startup-windsurf-falls-apart" target="_blank">彭博則報導</a>Google是挖了WindSurf二高層及一小組團隊，加上取得技術授權，總代價為24億美元。</p> <p>至於何以OpenAI和Windsurf收購案破局，原因出在對微軟的顧忌。報導引述消息人士說，5月初OpenAI和Windsurf幾乎已經談定，包括簽定意向書，Windsurf股東都已獲知財務細節，然而卡在Windsurf不希望其技術被微軟存取。但依據OpenAI和微軟的投資合約，微軟可存取OpenAI的技術。</p> <p>OpenAI對媒體說，收購WindSurf談判排他期已終止，這家新創公司得以開放其他公司的收購邀約。</p> <p>微軟和WindSurf拒絕對此回應。</p> <p>為了迴避主管機關反壟斷調查，科技巨擘紛紛以挖角核心人物取代收購整間AI新創公司。像是微軟招聘Inflection AI主管Mustafa Suleyman及Karén Simonyan、Google挖角Character.AI共同創辦人數名、Meta找來Scale AI共同創辦人Alexandr Wang擔任Meta超級智慧實驗室首席AI長。</p> </div></div></div>
2025/7/14 11:42作者林妍溱https://www.ithome.com.tw/news/170034
Ruckus網路設備軟體、管理平臺存在一系列資安漏洞還沒有修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.ruckuswireless.com/security_bulletins/333" target="_blank">Ruckus上周警告其虛擬無線網路軟體及集中管理平臺存在9項漏洞</a>，能讓攻擊者繞過驗證機制、讀取金鑰或執行程式碼，該公司正在調查，目前都還沒有修補程式。</p> <p>這9項漏洞影響Ruckus Virtual SmartZone（vSZ）及Ruckus Network Director（RND）。vSZ為無線區域網路（WLAN）控制器軟體版本，而RND為多個SmartZone網域的集中管理平臺。9項漏洞是由資安業者Claroty Team82研究人員Noam Moshe發現，<a href="http://kb.cert.org/vuls/id/613753" target="_blank">並經由美國CERT/CC通報給原廠</a>。</p> <p>這9項漏洞若遭到濫用，可能讓未經授權的攻擊者得以存取Ruckus產品的Shell命令列介面。</p> <p>也就是說，攻擊者不需要登入帳號即可取得設備的控制權。9項漏洞包含CVE-2025-44957、CVE-2025-44962、CVE-2025-44954、CVE-2025-44960、CVE-2025-44961、CVE-2025-44963、CVE-2025-44955、CVE-2025-6243、CVE-2025-44958。</p> <p>其中CVE-2025-44957為多種密鑰，包括WT簽章金鑰、API金鑰寫死於vSZ程式碼中，可能允許攻擊者以HTTP標頭和有效的API金鑰，繞過驗證方法，提升到root權限。CVE-2025-44963、CVE-2025-44955為類似漏洞，但金鑰分別編寫於RND Web Server及RND限制環境（jailed environment）。</p> <p>CVE-2025-44962為相對路徑遍歷漏洞，經過驗證的攻擊者從別的目錄讀取敏感檔案。</p> <p>CVE-2025-44954出於vSZ SSH採用硬編碼的預設RSA公/私鑰，任何人都能用此憑證以root權限以SSH連線登入並執行任意程式。CVE-2025-44943是RND平臺內建的sshsuer具有root權限，並且目錄包含SSH公私金鑰，攻擊者若取得SSH金鑰，可以sshsuer身份登入RND伺服器。</p> <p>CVE-2025-44960和CVE-2025-44961為OS指令注入漏洞，允許攻擊者執行程式。CVE-2025-44958則是RND以弱金鑰加密密碼儲存在伺服器中，一旦攻擊者存取伺服器，即可取得儲存的密碼並復原成明碼。</p> <p>這些漏洞可引發小到資訊洩露，大到讓攻擊者取得無線環境完整控制權等後果。其中CVE-2025-44954即允許擁有vSZ存取權限的攻擊者獲得完整管理員權限，導致vSZ無線管理環境完全落入駭客之手。此外，攻擊者也可以串聯使用多項漏洞，可繞過僅具單一防護技術的安全產品。</p> <p>目前這些漏洞尚無修補程式。Ruckus表示正在調整研究人員通報的漏洞，有消息會再提供更新資訊。</p> <p>在取得Ruckus修補程式之前，美國CERT/CC呼籲網管人員限縮這些產品無線管理環境的存取權限，僅允許少數受信賴使用者及經驗證的用戶端以HTTPS或SSH安全連線來管理Ruckus設備。</p> </div></div></div>
2025/7/14 12:15作者林妍溱https://www.ithome.com.tw/news/170036
跨入中小企業網路防護領域，HPE推出透過雲端管理的防火牆
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_networking_instant_on_secure_gateways_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2025/06/hpe-and-juniper-networks-reach-settlement-with-us-department-of-justice.html">這個月初，HPE宣布完成併購網路設備廠商Juniper Networks</a>，6月底兩家公司與美國司法部宣布達成合解，在該份聲明的最後兩段，除了確認併購金額接近140億美元，<a href="https://www.ithome.com.tw/news/160784">如2024年1月預告</a>，還提到兩件事：一是HPE同意出售（divest）Instant On園區網路與分支網路的全球業務，另一是完成併購之後，HPE將會有限度地存取Juniper旗下的進階Mist AIOps技術。</p> <p><a href="https://www.justice.gov/opa/pr/justice-department-requires-divestitures-and-licensing-commitments-hpes-acquisition-juniper">司法部發布的新聞稿</a>，更明確表明HPE需出售Instant On園區網路與分支網路的WLAN業務，涵蓋所有資產、智財、研發人員、客戶關係，而且須在180天內將這些賣給司法部同意的買家；至於Mist的部分，兩家公司須針對Juniper的AI Ops for Mist程式原始碼授權進行拍賣，授權必須是永久、非排他，而且包含選用的過渡支援與人員轉移，以便促進市場競爭。</p> <p>關於取得Juniper於2019年買下的Mist，是許多媒體認為HPE發動併購的主因，但HPE此時出售Instant On，倒是有點超乎我們意料，因為HPE今年5月才剛發表Instant On網路安全閘道，是這個產品線多年來的重大突破。回顧過去，HPE原本僅在此經營兩種類型的產品：網路交換器、Wi-Fi基地臺。放眼未來動向，Instant On系列花落誰家，顯然將影響此批產品後續發展命運，而對於接手的廠商而言，現在多了網路安全閘道，或許也會增加購入的意願。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Networking Instant On-2025-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Networking%20Instant%20On-2025-06.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/product-family-hero-secure-gateway_780x540.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/product-family-hero-secure-gateway_780x540.png" style="width: 298px;" /></a></p> <p>縱觀HPE網路產品線，自HP在2015年併購<a href="https://en.wikipedia.org/wiki/Aruba_Networks">Aruba Networks</a>、分拆出專攻企業軟硬體服務市場的HPE，直到現在，對外都以Aruba為尊，<a href="https://www.hpe.com/us/en/newsroom/blog-post/2023/04/introducing-hpes-simplified-brand-architecture.html">2023年HPE Aruba Networking的品牌名號正式浮出檯面</a>，而HP自有品牌ProCurve系列，以及併購3Com與3Com旗下H3C、TippingPoint，<a href="https://en.wikipedia.org/wiki/HPE_Networking">2010年形成HP Networking產品線</a>，後續也將許多產品轉移到併購的Aruba Networks，<a href="https://community.instant-on.hpe.com/blogs/sharanya-prasad1/2020/10/23/aruba-instant-on-just-got-better">2019年6月成立Aruba Instant On品牌</a>，針對中小企業（SMB）客戶供應WLAN解決方案（Wi-Fi基地臺），<a href="https://www.businesswire.com/news/home/20200527005081/en/Aruba-Expands-Instant-On-Portfolio-to-Support-Small-Business-Continuity-and-Rapid-Capacity-Expansion">隔年擴增交換器</a>，到了2024年5月，這個產品線更名為<a href="https://community.hpe.com/t5/networking/evolving-excellence-aruba-instant-on-is-now-hpe-networking/ba-p/7213752">HPE Networking Instant On</a>。</p> <h3><span style="color:#0000FF;"><strong>Instant On系列跨入資安領域，產品整合多種網路安全功能</strong></span></h3> <p>今年上半，HPE宣布推出多功能網路安全閘道，名為HPE Networking Instant On Secure Gateway，協助中小企業網路環境抵抗網路威脅，在產品類型上，屬於傳統定義的多功能網路防火牆，因為這套解決方案內建防火牆、入侵偵測系統（IDS）與入侵預防系統（IPS）、VPN（個人端VPN與站點互連VPN），以及廣域網路（WAN）高可用度（容錯移轉備援與負載平衡）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Instant%20On%20SG-1.jpg" style="width: 600px;" /></p> <p>細部檢視Instant On這套網路安全產品的資安功能設定與操作，企業可透過手動或運用AI輔助，在防火牆設定整個站點、個人端、網路、應用程式等4種政策，以及政策執行的排程；而在資安威脅的處理上，HPE Networking Instant On Secure Gateway預設啟用IDS與IPS，若偵測到異常狀況，會顯示5種等級：關鍵（critical）、重大（major）、輕微（minor）、僅供參考（info）、不明（unknown），若要設定例外處理，能依據上述等級區分增添阻擋或放行的動作。</p> <p>在硬體設備的供應上，HPE目前有兩款機型的選擇。其中之一，是適用100個使用者環境的SG1004，內建4個網路埠，全為GbE埠，包含1個WAN埠、2個LAN埠，以及1個可設置為WAN埠或LAN埠的網路埠，關於防火牆與VPN吞吐量，它可達到930 Mbps的性能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Instant%20On%20SG-2.jpg" style="width: 400px;" /></p> <p>另一款是適用300個使用者環境的SG2505P，內建5個網路埠，包含1個WAN埠（支援2.5GbE）、2個LAN埠，以及2個可設置為WAN埠或LAN埠的網路埠（其中1個支援2.5GbE），而且，LAN埠額外支援PoE，整臺閘道合計可供應64瓦PoE電力，以單埠15.4瓦電力規格連接4臺網路設備，或以單埠30瓦電力規格連接2臺網路設備）；關於防火牆與VPN吞吐量，它可達到2.3 Gbps的性能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Instant On SG-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Instant%20On%20SG-3.jpg" style="width: 400px;" /></a></p> <p>值得注意的是，企業若要管理SG1004與SG2505P，均須透過雲端管理平臺HPE Networking Instant On cloud進行，負責人員可經由瀏覽器或手機App操控，而在6月底推出的<a href="https://community.instant-on.hpe.com/blogs/jamie-easly1/2025/06/18/instant-on-cloud-portal-r321-is-here?CommunityKey=a4b58376-185c-4dc9-94f0-46c6c41cde57">Instant On Cloud Portal 3.2.1版</a>軟體更新之後，這套雲端管理服務正式支援Instant On Secure Gateway，HPE標榜AI輔助政策設定、WAN備援切換與負載平衡、入埠與出埠流量的IPS威脅偵測與預防，以及站臺互連VPN（Site-to-Site VPN）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Instant On 3_2_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Instant%20On%203_2_1.jpg" style="width: 200px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE Networking Instant On Secure Gateways</strong></span><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機型與使用者規模：SG1004（100人以內）、SG2505P（300人以內）<br /> ●網路埠：SG1004內建4個GbE埠（WAN埠1個，LAN埠2個，可設為WAN埠或LAN埠的1個），SG2505P內建2個2.5GbE埠、3個GbE埠（WAN埠1個， 2個，可設為WAN埠或LAN埠的2個，2.5GbE埠與GbE埠各1個，LAN埠與可設為WAN埠或LAN埠支援PoE）<br /> ●網路吞吐量：SG1004防火牆為980 Mbps，VPN為930 Mbps，SG2505P為2.4 Gbps，VPN為2.3 Gbps<br /> ●外觀：SG1004為4.39 x 16.41 x 19.00公分，SG2505P為4.39 x 30.96 x 23.42公分<br /> ●重量：SG1004為1.03公斤，SG2505P為2.40公斤</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/7/14 10:22作者李宗翰https://www.ithome.com.tw/review/169420
Inno Setup軟體安裝工具被濫用，駭客濫用內建指令碼功能引入惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用合法工具來掩蓋網路犯罪的情況相當氾濫，其中一種挾帶惡意軟體最常見的手段，就是竄改應用程式的安裝檔案來達到目的，但如今有人針對打包安裝程式的工具而來，將惡意酬載埋入看似可信賴的安裝檔案裡。</p> <p>最近有個惡意的Inno Setup安裝程式<a href="https://www.splunk.com/en_us/blog/security/inno-setup-malware-redline-stealer-campaign.html">引起大數據業者Splunk研究人員的注意</a>，駭客利用此種安裝工具提供的Pascal指令碼功能，於受害電腦接收、下載下個階段的有效酬載，然後執行Shell Code與惡意程式下載工具HijackLoader，從而成功迴避偵測，最終傳遞惡意昭彰的竊資軟體RedLine Stealer。</p> <p>有別於其他直接在安裝程式挾帶有效酬載的手法，這次攻擊者運用了Inno Setup內建的Pascal指令碼功能，於受害電腦載入惡意酬載並執行。Splunk指出，這樣的手法並不常見，但過往也曾出現類似手法，其中一種是叫做D3fackLoader的惡意軟體載入工具，感染的特徵與這起事故相當類似。</p> <p>Splunk將惡意安裝程式解開，得到3個檔案，分別是：Inno Setup下載外掛程式idp.dll、重新命名的7-Zip主程式idp.exe，以及讓惡意安裝程式看起來合法的誘餌檔案ImageConverter.exe，此檔案隨著每個惡意安裝程式的變化，而有差異。不過，實際上真正有問題的惡意元件，其實是嵌在安裝程式的Pascal指令碼。</p> <p>此指令碼使用簡單XOR演算法，混淆金鑰字串及命令，一旦解密，就會執行WMI查詢，確認受害電腦是否存在特定的惡意軟體分析工具。接著，惡意程式載入工具會檢查安裝程式的檔案名稱，若是存在特定的特徵，就會執行進一步的迴避偵測步驟，並試圖從C2下載有效酬載。這麼做的目的，就是要防沙箱與自動化（偵測）手法，確保惡意軟體只會在特定環境才會啟動。附帶一提的是，駭客的指令碼還會比對電腦與使用者名稱，而這些是沙箱與惡意軟體分析環境常用的配置。</p> <p>在經過上述分析之後，攻擊者在受害電腦下載另一個有效酬載，Splunk透過短網址服務TinyURL混淆實際的URL，但還原後會重新導向文字共享服務Rentry。然而若是直接透過瀏覽器存取，會出現需要存取碼的網頁，對此，惡意程式載入工具在發出HTTPS請求的時候，會加入特定的rentry-auth標頭來通過驗證，取得最終的網址並下載ZIP檔。</p> <p>完成上述程序後，惡意安裝程式會利用idp.exe並搭配特定的密碼，來解開內容，並以DLL側載的方式執行Shell Code，以便完成後續的感染步驟。</p> </div></div></div>
2025/7/14 09:42作者周峻佑https://www.ithome.com.tw/news/170029
殭屍網路RondoDox鎖定TBK、四信連網設備而來，利用已知漏洞綁架DVR裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路綁架大量小型連網設備的手法，通常就是利用已經公開的漏洞，由於使用者往往不會定時更新、修補，使得歹徒有機可趁，最近有一起針對特定廠牌DVR設備與工控路由器而來的攻擊行動，值得留意。</p> <p>今年6月<a href="https://www.fortinet.com/blog/threat-research/rondobox-unveiled-breaking-down-a-botnet-threat">殭屍網路RondoDox開始出現大規模活動</a>，引起資安業者Fortinet的注意，駭客大肆掃描<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3721">CVE-2024-3721</a>（TKB的DVR設備作業系統命令注入漏洞），以及<a href="https://nvd.nist.gov/vuln/detail/cve-2024-12856">CVE-2024-12856</a>（中國網路設備廠商廈門四信科技工控路由器命令注入漏洞），CVSS風險分別是6.3分、7.2分。有別於Mirai、Gafgyt等殭屍網路家族，RondoDox相對較少引起注意，駭客打造專屬的程式庫，並偽裝遊戲平臺或VPN伺服器的流量，企圖迴避偵測。</p> <p>針對這次駭客使用的已知漏洞，都已有不少研究人員察覺遭到利用的活動。其中，CVE-2024-3721於去年4月發現，影響TBK旗下兩款數位監視器攝影機DVR-4104、DVR-4216，通報這項漏洞的研究人員指出，此問題影響未知的處理程序及特定檔案，攻擊者可操縱mdb、mdc參數，從而導致作業系統命令注入。值得留意的是，這項弱點能遠端觸發，雖然VulDB評估只有中度風險，但通報的研究人員認為帶來的影響可能非常嚴重。</p> <p>另一個資安漏洞CVE-2024-12856<a href="https://www.ithome.com.tw/news/166761">由資安業者VulnCheck發現</a>，影響四信兩款路由器F3x24、F3x36，通過身分驗證的攻擊者可利用apply.cgi的介面，遠端執行任意作業系統命令。</p> <p>究竟駭客如何散布RondoDox？Fortinet指出，攻擊者主要針對上述連網設備的Linux作業系統而來，並廣泛對於ARM、MIPS、x86-64等處理器平臺的設備下手，利用Shell指令碼下載器，於受害設備下載惡意酬載。</p> <p>此Shell指令碼會先遮蓋受害設備的多項訊號，例如：SIGINT、SIGQUIT、SIGTTOU，然後尋找可寫入的特定路徑，並確認是否掛載，且尚未設置noexec標記的資料夾，最終建立/tmp/lib子資料夾並執行RondoDox。為了避免遭到分析，RondoDox還會清除命令執行的記錄資料。</p> <p>一旦DVR設備和路由器遭到RondoDox綁架，駭客就會拿來發動DDoS攻擊，主要會使用三種通訊協定進行，分別是：HTTP、UDP、TCP。但與許多DDoS殭屍網路有所不同的是，駭客會將惡意流量模擬成熱門遊戲、遊戲平臺，以及網路應用程式的流量。Fortinet看到駭客偽裝的遊戲和應用程式不少，包括：Valve、Minecraft、Dark and Darker、Roblox、DayZ、要塞英雄（Fortnite）、俠盜獵車手（GTA），以及即時通訊軟體Discord、VPN軟體OpenVPN與WireGuard，或是多人遊戲網路程式庫RakNet。</p> </div></div></div>
2025/7/14 09:45作者周峻佑https://www.ithome.com.tw/news/170028
Google推Blackwell GPU運算服務，導入輝達HGX B200平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/gcp_a4-main2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輝達資料中心GPU炙手可熱，這幾年以來，三大公有雲業者持續擴充GPU運算服務陣容，以Google Cloud而言，<a href="https://cloud.google.com/blog/products/compute/introducing-g2-vms-with-nvidia-l4-gpus">2023年推出基於Nvidia L4（Ada Lovelace架構）的G2</a>，以及基於Nvidia H100（Hopper架構）的<a href="https://www.ithome.com.tw/review/160499">A3</a>，2024年6月增設網路頻寬加倍的<a href="https://cloud.google.com/compute/docs/release-notes#June_11_2024">A3 Mega</a>，10月推出可配置1、2、4、8個H100的<a href="https://cloud.google.com/compute/docs/release-notes#October_15_2024">A3 High</a>，以及網路頻寬達800 Gbps的<a href="https://cloud.google.com/compute/docs/release-notes#October_25_2024">A3 Edge</a>，並且發表基於Nvidia H200（Hopper架構）的<a href="https://cloud.google.com/blog/products/compute/trillium-sixth-generation-tpu-is-in-preview">A3 Ultra</a>，年底A3 Ultra<a href="https://cloud.google.com/blog/products/compute/trillium-sixth-generation-tpu-is-in-preview">上市</a>。</p> <p>到了今年，Google Cloud在2月釋出基於Nvidia B200（Blackwell架構）的<a href="https://cloud.google.com/blog/products/compute/introducing-a4-vms-powered-by-nvidia-b200-gpu-aka-blackwell">A4預覽版本</a>，3月Nvidia <a href="https://cloud.google.com/compute/docs/release-notes#March_17_2025">GTC大會</a>期間，<a href="https://cloud.google.com/blog/products/compute/google-cloud-goes-to-nvidia-gtc?e=13802955">A4正式上線</a>，Google Cloud也釋出基於Nvidia GB200 NVL72（Blackwell架構）的<a href="https://cloud.google.com/blog/products/compute/google-cloud-goes-to-nvidia-gtc?e=13802955">A4X預覽版本</a>，隨後於5月底<a href="https://cloud.google.com/blog/products/compute/new-a4x-vms-powered-by-nvidia-gb200-gpus">A4X也正式上線</a>，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Google Cloud GPU-2025-03-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Cloud%20GPU-2025-03-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google Cloud GPU series-2025-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Cloud%20GPU%20series-2025-04.jpg" style="width: 600px;" /></a></p> <p>關於運算效能測試數據的公開揭露，MLCommon在4月與5月陸續發布的MLPerf Inference v5.0、MLPerf Training v5.0，Google Cloud針對Nvidia GPU的雲端運算服務，僅提交A3 Ultra的結果。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf 5_0-Inference-GCP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%205_0-Inference-GCP.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/MLPerf 5_0-Training-GCP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%205_0-Training-GCP.jpg" style="width: 298px;" /></a></p> <p>根據Google Cloud在2月發布的部落格文章，A4採用Nvidia HGX B200平臺，當中配置8個Blackwell架構GPU，並以第五代NVLink介面互連，就尖峰運算效能而言，新一代GPU領先幅度可達2.5倍，配備的HBM記憶體容量也增至2.25倍，能廣泛用於各種AI模型架構的訓練與微調。至於A4採用的處理器平臺，則是英特爾第五代Xeon Scalable系列的Xeon Platinum 8581C。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GPU GCP instances-2025-07.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GPU%20GCP%20instances-2025-07.jpg" style="width: 500px;" /></a></p> <p>值得注意的是，用來建構A4與A3 Ultra的伺服器，也配備Google Cloud新設計的Titanium ML網路卡，而這個網路介面其實是基於Nvidia ConnectX-7網路卡而成。Google Cloud表示，經過調校之後，Titanium ML網路卡可針對AI工作負載提供安全、高效能的雲端服務使用體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP GPU-2025-04-A4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20GPU-2025-04-A4.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-Titanium ML-2025-04-13.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-Titanium%20ML-2025-04-13.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google Titanium-2025-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Titanium-2025-04.jpg" style="width: 600px;" /></a></p> <p>在網路基礎架構的配置上，A4與A3 Ultra結合遍及整個資料中心的4通道邏輯線路群組網路（4-way rail-aligned network），能藉由RoCE（RDMA over Converged Ethernet）技術，進而提供3.2 Tbps的GPU互連網路傳輸頻寬。若要擴充雲端服務的加速運算規模，Google Cloud用戶能夠將GPU數量設置到數萬個，關鍵在於：底層的資料中心交織網路，採用他們發展的<a href="https://cloud.google.com/blog/products/networking/speed-scale-reliability-25-years-of-data-center-networking?e=48754805">Jupiter第五代技術架構</a>，可提供13 Pbps的網路對分頻寬。</p> <p>而在3月A4正式上線的消息當中，Google Cloud表明A4的具體成效，例如，FP8運算效能可達到72 PFLOPS，AI訓練效能比起稍早推出的A3 Mega，增長2.2倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Google Cloud GPU-2025-04-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Cloud%20GPU-2025-04-overview.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Google Cloud A4</span></strong><br /> ●原廠：Google Cloud<br /> ●建議售價：美國愛荷華州資料中心（us-central1），承諾使用1年每小時88.9272美元<br /> ●處理器：英特爾第五代Xeon Scalable（Xeon Platinum 8581C）<br /> ●提供服務規模選擇與組態：a4-highgpu-8g，224顆虛擬處理器、3,968 GiB記憶體、本機儲存空間為12,000 GiB、8個Nvidia B200 GPU（1,440 HBM3e記憶體）、網路頻寬為3,600 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/7/12 10:40作者李宗翰https://www.ithome.com.tw/review/169912
葛如鈞質疑雙憑證機制無效，數發部：從使用者端刪除憑證無法測試雙憑證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信憑證被Chrome撤信，數發部推動政府機關採用雙憑證機制因應，立委葛如鈞在本周召開記者會，公開質疑雙憑證機制無效，政府推動雙憑證機制是場騙局，數發部則回應，從瀏覽器端刪除憑證的測試方式，並不符合雙憑證機制設計的目的。</p> <p><a href="https://www.ithome.com.tw/news/169975" target="_blank">葛如鈞在周四召開記者會</a>，質疑數發部因應中華電信憑證撤信事件，推動政府機關採用的雙憑證機制無效，葛如鈞還現場展示從瀏覽器的憑證管理操作中刪除中華電信憑證，無法正常瀏覽數發部、交通部網站，對外「證明」數發部推動雙憑證機制並沒有生效。</p> <p>數發部回應指出，雙憑證機制設計的目的是，讓政府機關預先申請兩張由不同憑證機構所簽發的TLS憑證，一旦使用中憑證遭遇信任異動或屆期失效，就能立即安裝另一張備援憑證，以避免對外的網站服務中斷，同時免去重新申請憑證所需要的時間。</p> <p>數發部認為，從使用者端手動刪除憑證，觀察網站自動切換的做法，實務上和網站憑證因為效期過期或信任撤銷的實際情境不同，不符合雙憑證機制設計重點。</p> <p>數發部掌握中華電信憑證撤信訊息，今年3月已啟動政府機關導入雙憑證機制，推動的雙憑證機制，同時核發台網公司TWCA的憑證及中華電信新的根憑證 HiPKI。各政府機關取得雙憑證後，可自行選擇一張憑證安裝使用，另一張憑證作為備援。當使用中的憑證遇到屆期失效或信任變動，可以另一張憑證備用。</p> <p>至於立委質疑中華電信憑證撤信不只政府機關受影響，商業憑證客戶也受影響，中華電信日前已對外說明，針對商業憑證客戶已協助更換新憑證，或移轉其他憑證。</p> <p>中華電信董事長簡志誠昨天表示，已逐一與商業網站客戶聯絡並提供協助，現已協助9成的客戶處理問題，更新憑證或協助客戶移轉到其他業者的憑證，剩餘1正在申請憑證中。</p> <p>至於立委在記者會中提到，Firefox提前回塑到4月15日對中華電信憑證不再信任，民眾若使用Firefox瀏覽中華電信憑證的政府網站將無法正常瀏覽。</p> <p>數發部解釋，Firefox是針對中華電信舊版ePKI根憑證所作的信任設定調整，中華電信在今年3月中，已以新的HiPKI根憑證簽發網路憑證，因此民眾用Firefox瀏覽政府機關網站不會受到影響。</p> </div></div></div>
2025/7/11 19:21作者蘇文彬https://www.ithome.com.tw/news/170027
刑事局封鎖涉毒網址轉檔作業出包，Azurewebsites.net根網域遭屏蔽近2小時，連TWNIC公文系統都被封
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟雲端服務底下的Azurewebsites.net根網域，在7月10日下午突然遭到刑事局以涉毒為由，由TWNIC台網中心以DNS RPZ（Response Policy Zone）屏蔽將近2個小時，導致根網域下的Azure Web App等服務受到影響，事後刑事局調查原因，坦承為其內部文書轉檔疏失，將要屏蔽的涉毒網站網址名稱的子網域誤刪，留下Azurewebsites.net根網域，導致TWNIC屏蔽整個根網域，事後發公文請TWNIC協助解除屏蔽，但影響時間將近2小時。刑事局表示，未來將加強內部查核，並將和TWNIC合作建立除錯機制，避免相同事件再次發生。</p> <p>這起烏龍事件發生在7月10日下午4點多，Azurewebsites.net根網域遭到TWNIC以DNS RPZ屏蔽，導該該根網域底下所有服務都無法正常使用，連接根網域畫面即顯示因違反毒品危害防治條例而遭到屏蔽，並留下聯繫管道。</p> <p>事後刑事局承認內部出錯，於7月10日下午5點22分接獲TWNIC台網中心通知，在行政處分的公文中請求協助屏蔽的域名清單中，有一筆為Microsoft Azure App Service相關公開後綴（Public Suffix）：azurewebsites.net，刑事局收到通知後請求TWNIC解除屏蔽，在下午6點11分左右恢復正常服務。</p> <p>然而，在屏蔽期間，不少用戶發現在根域名底下的服務無法正常連上，包括7-ELEVEN的數位禮券，也有企業發現Azure Web App的測試機、架在上面的UAT網站連不上，有不少用戶受到影響。</p> <p><span style="color:#B22222;"><strong>文書作業誤刪子域名</strong></span></p> <p>刑事局坦言，這次事件發生的原因，為其內部文書作業轉檔過程中，將架設在Microsoft Azure App Service的涉毒網站子網域誤刪，因此導致錯誤屏蔽根網域下的其他正常網站，除了在接獲通知後，緊急發公文請TWNIC解除屏蔽，以降低影響，未來希望和TWNIC合作，透過TWNIC的合法網域白名單建立除錯機制。</p> <p>為避免民眾透過網路接觸到毒品，今年上半年開始，各警察機關主動蒐報涉毒網站，並依行政執行法第36條，請求TWNIC配合，以DNS RPZ停止解析或限制接取涉毒網站，刑事局指出，截至2025年7月10日為止，已屏蔽2.3萬餘個涉毒網站。</p> <p>據瞭解，過去要求屏蔽涉毒網站也曾經出現錯誤屏蔽的案例，但是不像這次出包，屏蔽掉微軟雲端服務底下某個根網域，導致該根網域底下所有合法服務都被一起屏蔽。</p> <p>刑事局解釋這次事件發生的原因，是因為送交給TWNIC的屏蔽清單，作業人員原本是要刪除https://，卻不小心將前面的子網域也一併刪除，只剩下Azurewebsites.net根網域，才導致這次事件發生，為了避免再發生類似的事件，刑事局今後將加強屏蔽清單在送出前的再次查核，也將向TWNIC協商，希望能取得TWNIC內部蒐集使用量、影響重大網域的白名單，未來在刑事局送出清單之前，利用白名單先進行除錯。</p> <p><span style="color:#B22222;"><strong>TWNIC內部公文系統也被屏蔽</strong></span></p> <p>不過，這次事件有個小插曲，刑事局向TWNIC送出屏蔽的行政處分公文，TWNIC收到公文後，按照行政處分上的清單執行屏蔽，但是在屏蔽後，TWNIC才發現自家的公文系統無法使用，因為公文系統架在被屏蔽的根網域底下也一起被屏蔽，發現屏蔽的清單有問題主動通知刑事局，由刑事局確認內部作業出錯，為避免造成影響，刑事局希望TWNIC解除屏蔽，但TWNIC需要刑事局再發一分公文給TWNIC才能解除屏蔽。</p> <p>刑事局緊急發出公文後，向TWNIC確認收到公文，TWNIC因為公文系統被屏蔽無法收到公文，因而無法收取公文，刑事局後來才將公文製作為PDF，緊急以電子郵件寄給TWNIC。</p> <p>根據TWNIC的說明，TWINIC是在7月10日下午4點44分收到行政處分公文，由系統更新執行新的屏蔽清單，下午5點19分TWNIC發現自己內部公文系統也受到影響，下午5點22分向刑事局反映，6點09分收到解除屏蔽的公文，於6點11分解除屏蔽。</p> <p>TWNIC台網中心執行長余若凡表示，TWNIC的角色是依法規，配合各行政機關的行政處分，收到行政處分公文後以DNS RPZ機制屏蔽網域的執行單位，行政機關如警政署、衛福部、通傳會，例如過去曾配合違反毒品、兒少、醫療、打詐法規的行政處分，由TWNIC以DNS RPZ執行屏蔽。</p> <p>至於為何TWNIC發現自家系統也受影響，不能先自行解除屏蔽，余若凡表示，TWNIC依法規，配合各行政主管執行屏蔽，為處分的執行單位，處分的合理性，包括充分的調查、價值判斷屬於各個行政機關的職權，因此收到行政處分公文後，相信行政機關的價值判斷，依公文執行屏蔽處理，並不會去確認屏併的網域是否有問題。即使是合法網站如Meta，甚至是總統府，只要警政機關認定違法作出屏蔽的行政處分，TWNIC依法會配合執行。</p> <p>由於近幾年法規趨於完備，授權行政機關對違法網站祭出屏蔽的行政處分，TWNIC近幾年配合警政署、數發部、衛福部的行政處分，以DNS RPZ機制屏蔽被處分的網域，但由於DNS RPZ串連各家ISP執行屏蔽，等於聯合各ISP一起封鎖特定的網域，影響相當重大，因此TWNIC希望向行政機關教育，對於網路上的違法案件，可以通知業者下架的自律或他律處理，以行政處分執行DNS RPZ屏蔽為最後手段。</p> <p>目前DNS RPZ屏蔽後，網頁會顯示事由，例如因為違反毒品或詐騙相關法規而執行屏蔽，並留下申訴管道，讓受影響者向行政機關陳情，這次微軟雲端服務下的根網域被屏蔽，因影響重大，刑事局收到TWNIC通知後，才緊急提出解除屏蔽的公文給TWNIC。TWNIC建議網域被屏蔽後，可循網頁上的申訴聯繫管道向主管機關反映。</p> </div></div></div>
2025/7/11 18:54作者蘇文彬https://www.ithome.com.tw/news/170025
【資安月報】2025年6月，中華電信憑證失去瀏覽器信任，以伊戰事引發網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年6月資安新聞，中華電信憑證合規問題是頭號焦點，還有3個威脅層面的議題同樣值得我們關注，包括兩起超大規模上億資料外洩揭露、以伊戰事引發的網路攻擊、國內外重大資安事件，最後還有資安防禦發展上的重要進展，我們也整理幫助大家回顧。</p> <p> </p> <p><span style="color: rgb(255, 0, 0);"><strong>（一）中華電信憑證失去信任議題席捲全臺</strong></span></p> <p>臺灣業者面臨與瀏覽器TLS加密憑證合規的重大危機：6月Google突然宣布，Chrome瀏覽器將不再信任中華電信8月之後新簽發的兩個商用憑證（CA），包括「ePKI Root CA」與的「HiPKI Root CA」，中華電信因此宣布，8月將暫停簽發新的TLS網站憑證，並承諾爭取讓自家憑證重獲預設信任。</p> <p>後續我們針對此事件進行封面故事報導，有兩大議題受關注，一是此事件的影響範圍遠超外界想像，二是檢視中華電信失去憑證信任撤銷主因<strong>。</strong></p> <p>首先，本次事件不只是衝擊中華電信，導致該公司自家網站的憑證須向其他業者購買，政府部門也面臨衝擊，因為這將影響使用由中華電信協助政府維運的CA，並且擴及醫院、金融機構、交通運輸等與民生息息相關的產業。此外，國內有許多公司與組織長期租用中華電信的網路服務，常會一併選用其提供的商用TLS憑證，等於各行各業也受到影響。</p> <p>而在憑證撤銷主因上，根據一些專家的看法，其實是長期積累的「不合規」行為和「誠信」問題所導致的，因此我們歸納出5大原因，包括：憑證擴充欄位問題與內部管理失衡，未依社群公約處理與誠信破產，處理大規模憑證廢止作業時違反憑證授權機制，OID設定爭議與國格敏感性問題，以及組織與人員異動影響，同時我們也請專家提供多項應對策略與見解。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">（二）兩起超大規模資料外洩事件</span></strong></p> <p>本月資安新聞我們已經報導多起企業的資料外洩事件，特別的是，有兩起超大規模外洩事件突顯不肖分子將蒐集龐大資料的狀況，而且恰巧都是由資安新聞媒體Cybernews率先揭露。</p> <p>首先，是Cybernews研究團隊與資安業者Security Discovery聯手發現，有一未受密碼保護的大型資料庫，儲存了超過40億筆用戶記錄，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，雖無法判斷該資料庫曝險多久，是否有未經授權存取，但這也反映中國政府藉由收集民眾各式資料監控的情形，後續影響有待觀察。特別的是，當中還有包含名為tw_db的資料集，研究人員推測與臺灣有關。</p> <p>其次，是Cybernews揭露半年內找到逾30個帳密資料庫，共內含160億筆帳號密碼的資料，發現的前三大資料夾是wechatid_db、address_db、bank，並認為駭客現在可能偏好用資料庫去管理竊得的資訊。</p> <p> </p> <p><span style="color: rgb(255, 0, 0);"><strong>（三）以色列與伊朗再爆戰爭衝突，同時引發重大網路攻擊事件</strong></span></p> <p>隨著以色列發動軍事行動，伊朗當地亦遭遇重大網路攻擊事件，例如，伊朗國有銀行Bank Sepah遭駭，多間分行被迫暫停營業與以色列有關的駭客組織Predatory Sparrow宣稱是他們所為。</p> <p>相隔幾天，伊朗加密貨幣交易所Nobitex也遭同一組織攻擊，該交易所證實部分熱錢包受影響，估計有逾9千萬美元加密貨幣遭竊並被銷毀。這些事件引發全球金融機構的關注，如何從這些事件來省思與借鏡，成為資安界與金融業必須正視與探討的主軸。</p> <p> </p> <p><span style="color: rgb(255, 0, 0);"><strong>（四）國內外多起重大資安事件，時尚品牌業與虛擬貨幣交易所遭駭最受關注</strong></span></p> <p>本月重大資安事故，以臺灣而言，根據公開資訊觀測站的重大訊息公告，有4家上市櫃公司揭露資安事件：</p> <p>●第一週1起，聯嘉光電的網路環境遭駭客試圖存取。<br /> ●第二週1起，聯鈞光電今年第二次遭攻擊，一周後再說明部份檔案有被竊疑慮。<br /> ●第四週2起，熒茂光學揭露遭加密攻擊，黑松揭露內部郵件通訊錄遭竊。</p> <p>國際間，主動揭露的重大資安事故同樣不少，多家時尚品牌業者發布資安事故公告，包括維多利亞的秘密（Victoria's Secret）、Cartier、The North Face，以及韓國知名網路書店兼售票平臺YES24，其中不少事件已確認有資料外洩。</p> <p>特別一提的是，加密貨幣交易所也接連傳出事故，不只是上述伊朗加密貨幣交易所Nobitex遭攻擊，在臺灣，加密貨幣交易所幣託（BitoPro）亦揭露上個月遭駭，後續調查結果指出，其負責雲端業務的員工遭駭客社交工程攻擊，經過一連串滲透最終導致惡意指令碼轉移至熱錢包主機。此外，還有美國虛擬貨幣交易所Coinbase向美國SEC通報資料外洩，此案較特別的是，傳出是2名印度客服外包業者TaskUs員工收受賄賂，將敏感資料提供給駭客。</p> <p> </p> <p><span style="color: rgb(255, 0, 0);"><strong>（五）中國駭客攻擊引發的威脅依然嚴峻</strong></span></p> <p>國家級駭客威脅持續受關注，尤其是中國駭客組織的攻擊活動持續被大量揭露。</p> <p>例如，端點防護業者iVerify發現，有中國駭客組織利用iPhone手機iMessage的 NICKNAME零點擊漏洞，鎖定至少6名歐美政要及媒體高層攻擊，而這些受害者也曾遭中國駭客Salt Typhoon攻擊；其次，美國華盛頓郵報發現其電子郵件系統遭駭客入侵，已知有負責報導國安、經濟政策、中國等領域的記者帳號被入侵。另外，電信業同樣需要留意，因為加拿大網路安全中心示警，指出今年2月加拿大電信業遭中國駭客Salt Typhoon攻擊。</p> <p>亞太地區電商與支付業者也要留意，研究人員揭露中國網路犯罪的OTP盜刷網釣生態系，指出在微信與Telegram上就有1、2千個頻道用於中國詐欺黑色產業的交流，主要針對亞太地區而來。隨著中國魚塘（網釣即服務，PhaaS）平臺的擴張，正助長信用卡盜刷網釣攻擊的犯罪規模。</p> <p> </p> <p><strong style="color: rgb(255, 0, 0);">（六）</strong><span style="color: rgb(255, 0, 0);"><strong>資安防禦</strong></span><strong style="color: rgb(255, 0, 0);">新動向與臺灣企業</strong><span style="color: rgb(255, 0, 0);"><strong>揭露加入FIRST經驗</strong></span></p> <p>在資安防禦面向上，我們整理出多個不同領域的重要進展，涵蓋勒索軟體金額揭露成強制，建立駭客組織命名對照指引等議題。</p> <p>●澳洲政府頒布新規範，針對遭勒索的企業，要求從5月30日起，不僅要通報資安事件，也要在72小時內通報支付贖金的金額，這在國際相當少見。<br /> ●針對駭客組織命名不同問題，微軟與CrowdStrike正合作發展一套對照指引，雖然這並非建立共通標準，但目的很明顯是要減少資安資訊交流阻礙。<br /> ●AWS在6月舉行年度資安會議re:Inforce 2025，強調多項身分安全新進展，同時揭露AWS自身用生成式AI幫助資安防禦的5大場景。<br /> ●台新銀行與華碩電腦公開加入國際資安事件應變小組論壇（FIRST）的經驗與考量，向更多國際業者看齊。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169425"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0602~0606，Chrome將從8月開始不信任中華電信新簽發的TLS/HTTPS憑證</span></strong></a></h3> <p>在2025年6月第一星期的資安新聞，最大焦點是Google宣布Chrome將不信任中華電信8月後新簽發的TLS憑證，而資安事故方面，包括SentinelOne運作架構調整卻發生服務中斷，Vanta軟體出錯導致部分客戶資料能被其他用戶存取，還有維多利亞的秘密、Cartier、The North Face等品牌業者，各自遭遇駭客攻擊事故</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169586"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0609~0613，中國驚傳40億筆民眾個資在網際網路裸奔一天</span></strong></a></h3> <p>本週中國政府監控民眾的大型資料庫曝露在網際網路、韓國書店及購票平臺Yes24遭受勒索軟體攻擊相當受到關注；而在國內，聯鈞光電針對1月發生的勒索軟體攻擊事故透露後續發展。此外，本週有許多IT業者發布6月份資安更新，用戶應留意並及時套用修補程式</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/169690"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0616~0620，伊朗國有銀行與加密貨幣交易所雙雙遇襲引發全球關注</span></strong></a></h3> <p>在2025年6月第三週的資安新聞中，多起重大資安事故引發全球關注。其中，以色列與伊朗軍事衝突延伸出的網路攻擊，以及中國駭客針對衛星與媒體機構發動的網路間諜行動，尤其受到高度關切</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169792"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0623~0627，帳密資料外洩與DDoS攻擊的規模雙雙創下新高</span></strong></a></h3> <p>回顧2025年6月底的資安新聞，資料外洩與DDoS攻擊的規模皆因創下歷史新高，成為矚目焦點；在此同時，臺灣被攻擊者鎖定的威脅態勢，這星期再度浮上檯面，包含新興勒索軟體Dire Wolf已將臺灣企業列為攻擊目標，以及過去攻擊臺灣的中國駭客組織UAT-5918，被揭露正利用LapDogs的ORB網路來隱匿其攻擊活動</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169340">【2025年5月資安月報，AI資安技術發展動能強勁，從Agentic SOC、資安LLM到紅藍隊攻防演練都有進展】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/168722">【2025年4月資安月報，臺灣資安產業蓬勃發展，PQC、零信任、產品資安受矚目，LLM安全風險因應成最新主軸】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/168181">【2025年3月資安月報，出現專門鎖定臺灣攻擊的勒索軟體，CrazyHunter攻擊目標從醫院擴大至上市櫃公司】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167727">【2025年2月資安月報，臺灣海纜遭人為破壞、醫院遭勒索軟體攻擊，關鍵CI防護受考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167154">【2025年1月資安月報，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166878">【2024年12月資安月報，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a></h3> </div></div></div>
2025/7/11 18:59作者羅正漢https://www.ithome.com.tw/news/170026
國科會揭高齡科技落地成果，下一步要照護機構採用國際醫療資料交換標準FHIR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（7/11），國科會聯手衛福部、數發部等部會<a href="https://www.youtube.com/watch?v=R60s8QvREuo&ab_channel=%E5%9C%8B%E7%A7%91%E6%9C%83%E7%A7%91%E6%8A%80%E8%BE%A6%E5%85%AC%E5%AE%A4">揭露高齡科技產業行動計畫進展</a>，自去年啟動至今18個月，已在多家照護機構落地高齡科技應用，如跌倒偵測通報、電子圍籬定位呼叫、AI語音互動和高齡者數位學習等，更已輔導160多項服務商用落地。</p> <p>然而，高齡科技應用並不局限於單一機構內使用，更涉及醫院、長照機構、在宅照護和第三方業者系統等跨機構的數據交換，國科會主委吳誠文表示，目前衛福部正建立國際醫療資料交換標準FHIR的在地化，今年預計可完成，照顧機構將比照採用，帶動廠商開發符合該標準的產品、有機會輸出國際。</p> <p><span style="font-size:22px;"><strong>瞄準內需，2024年展開高齡科技產業行動計畫</strong></span></p> <p>吳誠文先指出，高齡科技產業行動計畫在去年啟動，不只是行政院高度重視的政策，更是落實科技應用、提高長者生活品質的重要推手。他強調，這項計畫的終極目標是「一定要落地」，而不只是實驗場域或機構示範而已。</p> <p>因此，為確保計畫落地，國科會聯手數發部、經濟部、內政部、衛福部等部會，串聯地方政府、社會局、各大照護機構來推動，還要連結在宅醫療，將照護範圍延伸到居家和社區。但吳誠文也點出，過去要推動這種照護機制十分困難，因為臺灣科技產業多以國際市場供應為主，缺乏能夠直接服務本地需求的整合型系統，導致本土科技難以直接應用於高齡照護。這也是為何，行政院著手推動高齡科技內需市場、提出「組臺灣隊」的概念，盼臺灣廠商能滿足國內需求。</p> <p><span style="font-size:22px;"><strong>鎖定4大主軸</strong></span></p> <p>國科會科技辦公室副執行秘書呂佩融說明，2025年，臺灣65歲以上的老年人口已佔全國人口的20%，正式進入超高齡社會。而國發會中華民國人口推估（2024年至2070年）報告顯示，青壯年撫養老年人口的壓力將持續加重，從2024年的3.6位青壯年撫養1名老人，預測2035年將由2.3位青壯年撫養1名老年人。同時，獨居及「老老照顧」（即有2位以上長者且無64歲以下者）人口已從2019年的100多萬人，來到了2024年的156萬多人，進一步顯示社會對高齡照護科技與服務的迫切需求。</p> <p>為因應這個挑戰，國科會在2023年3月形成政策，2024年1月由行政院核定後正式執行高齡科技產業行動計畫，瞄準4大主軸：</p> <p><strong>主軸一：推動市場經濟</strong>——以高齡者需求出發，推動科技創新與產品落地，帶動高齡健康產業發展。</p> <p><strong>主軸二：擴大數位賦能</strong>——以樂齡與高齡族群為核心，協助提升數位能力，促進社交參與和社會連結。</p> <p><strong>主軸三：提升照顧效能</strong>——聚焦照顧者需求，開發整合型產品與服務，透過驗證輔導和示範來加速科技應用，減輕照顧負擔。</p> <p><strong>主軸四：優化高齡生活</strong>——亦即強化社區在地安老，整合跨部會與在地資源、整合多元資料和醫療數據，打造智慧化整合服務。</p> <p><span style="font-size:22px;"><strong>階段性進展：已有160多項落地應用</strong></span></p> <p>呂佩融指出，計畫啟動至今已有不少階段性進展，比如在提升照顧效能與優化高齡生活方面，目前已在160處的照護、醫療和運動場域導入智慧科技產品和服務，另也輔導業者商品化落地160多項服務，包括健康賦能、居家安全、生活支援、營養管理等面向。</p> <p>導入的智慧管理營運系統，不僅減輕照顧人力負擔，更有效提升護理效率及照護品質。例如透過電子圍籬、住民定位、跌倒警示、巡房輔助等系統，讓非預期住院率從33%降至19%，行政效率提升達32%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-11%20165820.png" /></p> <p>在擴大數位賦能方面，他們建置了66處高齡數位學習和社交服務據點，推動多元數位課程、在地數位志工培訓與跨世代學習等活動，累計吸引超過33,000人次參與，也成功培育93位50歲以上樂齡志工、450多位數位幫手，協助高齡者提升數位素養、防詐意識及社會參與度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-11%20165829.png" /></p> <p>跨域合作方面，該行動計畫則整合了32所大專院校、3,500人次、59個新創團隊，來推動高齡產業人才培育。另也對接了250多項產品與服務，來提高高齡生活品質。應用實例則有清華大學開發的「銀萊桃花源」AI音樂創作與陪伴服務、AI智慧語音小管家等，可協助長者以母語輕鬆獲取在地生活與醫療服務資訊，強化心理健康和社會互動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-11%20165804.png" /></p> <p>呂佩融指出，行動計畫目前已促成30多所大專院校、21個地方政府、180家照護與醫療機構、12個NPO組織、570家企業參與，串聯超過110個社區據點，逐漸形塑全臺公私協力的高齡科技應用網絡。</p> <p><span style="font-size:22px;"><strong>下一步要整合國際醫療資料交換標準到高齡科技應用中</strong></span></p> <p>由於高齡照護不單只是單一機構的業務，還得仰賴跨機構的數據交換，比如醫院、日照機構、在宅照護、第三方系統資訊等，吳誠文表示，目前衛福部已針對醫療院所，進行國際醫療資料交換標準FHIR的在地化標準建立，大約今年可完成，之後會擴大到照顧機構、比照採用，這是高齡科技產業行動計畫下一步要做的事。</p> <p>他表示，醫療院所、照護機構採用國際標準，也能帶動業者開發出對接國際標準的系統服務，不必再一一客製化對接。若在臺發展順利，還可以將臺灣的成功經驗輸出到國際。</p> <p>呂佩融補充，現階段也有不少高齡照護資料交換的落地應用，比如高雄長庚與屏東縣牡丹鄉衛生所進行遠距醫療，就透過衛生所將其數位醫材量測到的健康數據，回傳至高雄長庚醫院資料庫，來便於遠距診斷、治療。</p> <p></p> </div></div></div>
2025/7/11 17:15作者王若樸https://www.ithome.com.tw/news/170023
受法院查封母公司衝擊，街口支付遭兩大電商停用，官方澄清財務與營運不受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日（7/10）街口支付母公司街口金融科技陷投資爭議，遭泰山公司要求返還36億元，更遭臺北法院查封，使外界產生疑慮，是否會影響街口支付消費者及商家財產。</p> <p>查封事件發生後，街口支付對商家發出聲明，強調自家營運及商家款項皆不受母公司事件影響，同時由業務團隊私下與合作商家安撫、溝通。然而，全國電子、Momo、PChome、蝦皮等知名商家及平臺，已經暫停關閉街口支付交易選項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A8%E5%9C%8B%E8%A1%97%E5%8F%A3(1).jpg" style="width: 450px;" /></p> <p>光是兩大電商Momo與PChome，就分別有1,400萬及1,300萬名用戶（蝦皮則未揭露臺灣用戶數)。不過，目前電商占街口支付交易筆數僅約1成，日後超商及指標型大型連鎖店家對街口支付的態度，亦值得關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%9A%E8%B7%AF%E6%AF%94%E4%BE%8B.jpg" style="width: 450px;" /></p> <blockquote><p>從街口支付2024年消費通路場景交易筆數佔比圖來看，超商和大型連鎖商家交易筆數佔比最大，電商僅佔比第五大。圖片截自街口支付網站。</p> </blockquote> <p>針對母公司查封事件引起的外界關注，街口支付今日（7/11）召開記者會，澄清疑慮並說明自家營運狀況。街口支付擁有680萬用戶、2024年交易額545億元，分別是是電支業排名第二和第一。</p> <p>街口支付董事長梅驊強調，街口支付是獨立經營的子公司，設有自有經營團隊與董事會，所有財務與營運皆獨立於母公司之外，無任何交叉帳戶或資金流動。街口支付總經理范庭甄則強調，自家用戶資金100%依「電子支付機構管理條例」之21條，信託於台新銀行信託專戶，完全隔離於任何關係企業與母公司資產操作之外。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%A1%E8%A8%97%E5%A5%91%E7%B4%84.jpg" style="width: 600px;" /></p> <p>范庭甄補充，用戶資金100%信託，就算大量用戶調度帳戶內資金，仍不會產生類似於民眾擠兌導致銀行無法付款的情況。他們稍早也與技術部門確認，部分用戶操作時出現錯誤訊息，是因為流量過度，導致系統忙碌。</p> <p>至於主管機關有無介入，梅驊說明，自相關事件發生以來，街口支付一直與金管會等主管機關保持密切溝通。金管會僅要求街口支付提供資料，說明財務及營運無虞，無其他指示。</p> <p>儘管財務與母公司獨立，不過法規規定，當專營電子支付機構累積虧損逾實收資本額二分之一，必須補足資本。母公司財務爭議是否會影響街口支付向其增資？梅驊表示，街口支付預計明年達到損益兩平，到年底前都沒有增資計畫。范庭甄表示，截至6月底，街口支付淨值有4億元，離二分之一門檻仍有不小距離。</p> <p> </p> <p></p> </div></div></div>
2025/7/11 18:07作者郭又華https://www.ithome.com.tw/news/170024
【資安日報】7月11日，迴避偵測框架Shellter被用於散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業級紅隊演練工具遭到駭客濫用的情況，最常見的就是Cobalt Strike、Brute Ratel C4（BRc4），但如今有另一款名為Shellter工具遭到利用，罕見的是，開發團隊也做出公開說明，表示他們打算如何因應及防範類似情況再度發生，並希望察覺此事的Elastic能夠及早通知，而非看到部落格文章才得知此事。</p> <p>除此之外，美國逮捕涉嫌聽令中國政府竊取COVID-19研究資料的中國駭客，也相當受到關注，尤其是這些駭客為了搜括資料，後續更進一步利用資安漏洞ProxyLogon，對Exchange伺服器發動大規模攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169984"><strong style="font-size: 22px;">駭客濫用迴避偵測框架Shellter散布竊資軟體，企圖迴避防毒軟體與EDR偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Shellter-image6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Shellter-image6.png" style="width: 300px; float: right;" /></a></p> <p>駭客濫用合法的資安演練工具從事攻擊行動，最常見的莫過於滲透測試工具Cobalt Strike，不過這樣的現象自2022年下旬出現變化，有人利用紅隊工具Brute Ratel C4（BRc4）犯案，去年出現利用紅隊演練框架MacroPack、EDRSilencer的事故，如今又有類似資安工具遭到濫用引起關注。</p> <p>7月3日，企業資料搜尋分析解決方案業者Elastic揭露最新的竊資軟體攻擊行動，駭客濫用名為Shellter的防毒軟體及EDR迴避偵測工具，於受害電腦載入惡意程式。他們根據軟體授權資料進行追蹤，研判駭客從今年4月開始活動，最終目的是散布竊資軟體。對此，Shellter開發團隊隔天提出說明，表示他們已藉由Elastic公布的資料找到客戶的身分並做出處置，但該公司也認為處理過程有瑕疵，Elastic掌握這項情報數個月，卻始終沒有向他們通報此事。</p> <p>這起事故也突顯兩個議題，其中一個便是紅隊演練工具開發團隊都會通常審核、列管買家，無論客戶有意或不慎外流檔案，廠商要如何防範工具遭到流出及濫用的難題；另一個則是研究人員的通報流程出現瑕疵，沒有及時通知軟體開發者，而被發現該公司疑似已知情一段時間的情況。</p> <p><a href="https://www.ithome.com.tw/news/169865"><strong style="font-size: 22px;">駭客盯上Linux伺服器，惡意植入TinyProxy、Sing-box工具，將其充當代理伺服器</strong></a></p> <p>韓國資安公司AhnLab觀察到，Linux伺服器因密碼強度不足或管理疏忽，逐漸成為駭客鎖定目標。研究人員利用蜜罐陷阱（Honeypot）監控發現，攻擊者在取得伺服器SSH存取權限後，行動有別於傳統植入惡意程式，而是安裝如TinyProxy與Sing-box等合法代理工具，使受害主機成為可供外部使用的代理伺服器，以隱匿行蹤、繞過網路封鎖甚至是販售代理服務權限。</p> <p>研究人員揭露，攻擊者首先針對弱密碼的SSH服務進行暴力破解，成功登入後會下載並執行Bash指令碼，內容依據不同Linux發行版，自動利用apt、yum或dnf安裝TinyProxy，並修改TinyProxy設定檔，允許所有外部來源。</p> <p>如此一來，攻擊者即可隨時連入伺服器的8888埠，透過TinyProxy對外提供代理服務。研究人員表示，整體過程並未觀察到進一步的惡意操作，顯示駭客主要目的是將伺服器納入代理節點網路。</p> <p><a href="https://www.ithome.com.tw/news/169992"><strong style="font-size: 22px;">今年4月挪威水壩閘門遭到網路攻擊，被迫開啟放水數小時險釀禍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dam-rise.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dam-rise.jpg" style="width: 300px; float: right;" /></a></p> <p>過去幾年以色列、美國曾傳出駭客入侵水力設施企圖進行控制的事故，例如，2020年4月、6月以色列傳出農業水泵和氯控制器遭到網路攻擊的情況，疑為伊朗駭客所為；2023年，美國水利單位的工控系統傳出遭到伊朗駭客組織Cyber Av3ngers攻擊，原因疑似他們採用以色列自動化控制業者Unitronics的系統而遭到鎖定，上述的攻擊多半針對農業用水及飲用水，假若得逞恐怕會影響作物收成與民眾健康，如今傳出有駭客針對水壩閘門控制系統下手，而險些波及下游民眾的生命安全。</p> <p>資安新聞網站HackRead引述挪威能源媒體Energiteknikk的報導指出，今年4月挪威傳出有駭客入侵水壩控制系統的事故，導致閘門開啟數個小時而無法自由控制、關閉。而這一切發生的原因，竟是因為弱密碼釀禍。這起事故發生在Lake Risevatnet水壩，位於挪威西南的工業城鎮和行政中心城鎮Svelgen附近，一旦該閘門開啟，每秒就會釋出497公升的水，挪威當局指出，還好河床能應付每秒2萬公升的水流入，而不受影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/new-macos-malware-zuru-targeting.html">惡意軟體ZuRu透過木馬化的SSH用戶端程式散布，針對macOS開發人員而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/sparkkitty-malware-steals-photos/">惡意軟體SparkKitty能從iOS、安卓裝置竊取照片</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/norddragonscan-targets-windows-users/">惡意軟體NordDragonScan鎖定Windows電腦而來，意圖竊取帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/tag-140-deploys-drat-v2-rat-targeting.html">駭客組織TAG-140鎖定印度政府、國防、鐵路領域而來，企圖散布Drat V2 RAT</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169970"><strong style="font-size: 22px;">Adobe發布7月例行更新，呼籲IT人員優先修補AEM Forms、ColdFusion</strong></a></p> <p>7月8日Adobe針對旗下13款應用程式發布更新，總共修補58項資安漏洞，其中最值得留意的是，該公司呼籲IT應優先處理電子表單平臺Adobe Experience Manager Forms（AEM Forms）、應用程式開發平臺ColdFusion，這樣的情況相當罕見。</p> <p>本次公布最嚴重的漏洞是CVE-2025-49533，出現在AEM Forms，為不受信任資料反序列化造成的弱點，攻擊者若是利用，就有機會執行任意程式碼，此漏洞影響6.5.23.0版的AEM Forms，CVSS風險達到9.8分（滿分10分），Adobe推出6.5.0.0.20250527.0版予以修補，他們強調，利用漏洞的過程完全無須使用者互動。</p> <p>另一個必須優先修補的應用程式ColdFusion，存在6項重大層級的資安漏洞，其中最危險的是風險值超過9分的CVE-2025-49535，這項漏洞涉及XML外部實體參照（XXE）的不當限制，攻擊者可用來繞過安全機制，從而存取敏感資訊，或是造成服務中斷（DoS）過程中不需使用者互動，CVSS評分為9.3。</p> <p><a href="https://www.ithome.com.tw/news/169933"><strong style="font-size: 22px;">Azure存在曝露VPN金鑰及過高授權漏洞，恐致敏感資訊外流</strong></a></p> <p>研究人員發現微軟Azure存在部分角色有過高特權以及曝露VPN金鑰的漏洞，兩漏洞合用可能讓攻擊者輕易取得企業敏感資料。</p> <p>2項漏洞是由Token Security發現。其一存在Azure角色為基礎的存取控制（Role-based Access Control, RBAC）。第二個則位於Azure API，可能讓攻擊者洩露VPN金鑰。</p> <p>研究人員說，結合這二個漏洞能發展出攻擊串，使駭客得以存取公司內部的雲資產或是本地部署網路。例如攻擊者先取得某個具備（或不當分配了）*/read特權的角色，取得VPN 閘道的共享金鑰，藉此建立站對站連線（site-to-site connection）連上內部網路，包括企業VPC和本地部署網路。他也以影片示範了如何利用Log Analytics Reader角色連上企業VPN發動竊密攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169967"><strong style="font-size: 22px;">Kia車載系統存在漏洞，讓攻擊者利用PNG圖檔注入惡意程式</strong></a></p> <p>厄瓜多安全研究人員Danilo Erazo在今年稍早Hardware.io 2025資安大會上公布，在厄國銷售的Kia車載裝置即時作業系統（Real-Time OS, RTOS）的安全性問題研究。</p> <p>其中問題之一是Kia RTOS韌體可能被植入惡意UI元素（如釣魚攻擊用的QR code），也欠缺對PNG檔進行數位簽章驗證。這可結合數年前的CVE-2020-8539舊漏洞，可讓攻擊者執行micomd精靈程式來注入未授權指令，觸發不預期的功能，或生成CAN封包（CAN frame）、並將這些封包傳送到車輛的M-CAN匯流排（Multimedia CAN bus）。CAN匯流排是車輛內部控制訊號的傳輸系統，這意味著攻擊者有可能干擾或操控車輛的某些電子系統。一旦Kia車機系統被以USB、藍牙或無線更新了內含惡意PNG的韌體，就可能產生上述行為。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/servicenow-flaw-cve-2025-3648-could.html">ServiceNow存在高風險資安漏洞，攻擊者可透過配置不當的ACL洩露資料</a></strong></p> <p> </p> <h3><strong>【執法行動】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170013"><strong style="font-size: 22px;">美國在義大利逮捕涉嫌竊取COVID-19疫苗資訊的中國駭客</strong></a></p> <p>7月8日美國司法部（DOJ）宣布在義大利米蘭逮捕33歲中國嫌犯徐澤偉，此人與44歲同夥張宇總共遭起訴9項罪名，原因是他們涉嫌在2020年2月至2021年6月之間從事電腦入侵活動，其中包含參與滲透全球數千臺電腦的駭客組織Hafnium，值得留意的是，美國司法部特別提及，徐澤偉接收中國政府的命令，從事竊取COVID-19相關研究的成果。</p> <p>2020年初徐澤偉與同夥攻擊美國大學、免疫學專家、病毒學專家，竊取COVID-19疫苗、檢測方法、治療方法的研究成果，而且，由於中國上海國家安全局官員從中監控及下達命令，這些駭客也不時回報活動的進度。例如，徐澤偉大約在2020年2月19日前後向一名官員回報，他破壞德州南區一所研究型大學的網路環境；數日後該官員再度指示，要求入侵COVID-19研究員的電子郵件信箱。</p> <p>同年底這些駭客組成Hafnium，利用Exchange的特定漏洞從事活動，而這些活動同樣是在上海國家安全局官員監控下進行。這些駭客入侵的特徵，就是會在郵件伺服器植入Web Shell，以便遠端控制受害主機。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169986"><strong>【7月10日】大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169963"><strong>【7月9日】微軟發布本月例行更新、修補130個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169950"><strong>【7月8日】macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動</strong></a></p> </div></div></div>
2025/7/11 13:32作者周峻佑https://www.ithome.com.tw/news/170017
歐盟發布通用AI實踐準則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）周四（7/10）發布了<a href="https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai" target="_blank">通用AI實踐準則（General-Purpose AI Code of Practice）</a>，以協助製造商及供應商符合《AI Act》在透明度、著作權及安全上的要求。</p> <p>在透明度上，它提供模型文件表予所有GPAI供應商，以用來揭露模型的訓練資料、用途、限制及評估過程等資訊，以供使用者及監管機構查閱。於著作權上，它建立了著作權政策，透過技術與流程來確保爬蟲及訓練行為的合法性，並於可行範圍內阻止違法內容。</p> <p>至於安全性準則則是鎖定高風險模型供應商，它建立了系統性風險的管理架構，包括風險識別、處理框架及通報機制，並定期更新與提交相關資訊。</p> <p>此一通用AI實踐準則並非是強制性的，但採用之後相對容易滿足《AI Act》的規定，目前仍需經過歐盟各國政府及委員會的內部審核，可望於今年底之前成為歐盟的官方準則。</p> <p>外界分析認為，該準則將協助組織落實《AI Act》，也是全球首個針對GPAI的合規指導，將影響未來AI產業的治理模式。</p> </div></div></div>
2025/7/11 14:31作者陳曉莉https://www.ithome.com.tw/news/170018
美國在義大利逮捕涉嫌竊取COVID-19疫苗資訊的中國駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日美國司法部（DOJ）宣布<a href="https://www.justice.gov/opa/pr/justice-department-announces-arrest-prolific-chinese-state-sponsored-contract-hacker">在義大利米蘭逮捕33歲中國嫌犯徐澤偉</a>，此人與44歲同夥張宇總共遭起訴9項罪名，原因是他們涉嫌在2020年2月至2021年6月之間從事電腦入侵活動，其中包含參與駭客組織<a href="https://www.ithome.com.tw/tags/hafnium">Hafnium</a>，滲透全球數千臺電腦的大規模攻擊。值得留意的是，美國司法部特別提及，徐澤偉接收中國政府的命令，從事竊取COVID-19相關研究的成果。</p> <p>法庭的文件指出，中國國家安全部（MSS）旗下的上海國家安全局（Shanghai State Security Bureau，SSSB）官員指示徐澤偉從事攻擊。當時徐澤偉在上海派絡網絡公司（Shanghai Powerock Network Co. Ltd.）任職，而該公司是專為中國政府幫忙發動網路攻擊的打手。</p> <p>2020年初徐澤偉與同夥攻擊美國大學、免疫學專家、病毒學專家，竊取COVID-19疫苗、檢測方法、治療方法的研究成果，而且，由於上海國家安全局官員從中監控及下達命令，這些駭客也不時回報活動的進度。例如，徐澤偉大約在2020年2月19日前後向一名官員回報，他破壞德州南區一所研究型大學的網路環境；後續該官員於數日後下達命令，要求入侵COVID-19研究員的電子郵件信箱。</p> <p>同年底這些駭客組成Hafnium，利用Exchange的特定漏洞從事活動，而這些活動同樣是在上海國家安全局官員監控下進行。這些駭客入侵的特徵，就是會在郵件伺服器植入Web Shell，以便遠端控制受害主機。這份起訴書指出，徐澤偉和張宇於2021年1月30日表示成功破壞一所大學的網路環境，後續在2月28日向官員呈報進度，隨後徐澤偉就接收到取得名單的命令。其中一起入侵法律事務所網路環境的事故，使得Hafnium能從電子郵件信箱挖掘與美國特定政府機關、政策制訂者有關的資訊，這些駭客搜尋的關鍵字包括：Chinese sources、MSS,、HongKong。</p> <p>Hafnium造成的危害有多嚴重？FBI網路部門助理主任 Brett Leatherman指出，2021年中國政府藉由這些駭客，對超過6萬個美國企業組織下手，並成功從12,700個企業組織竊得敏感資訊。微軟當時針對Hafnium使用的資安漏洞ProxyLogon（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065）不僅<a href="https://msrc.microsoft.com/blog/2021/03/multiple-security-updates-released-for-exchange-server/">發布修補程式</a>，並<a href="https://www.ithome.com.tw/news/143001">揭露駭客的攻擊流程</a>，同時他們也提供<a href="https://www.ithome.com.tw/news/143109">偵測Web Shell的工具</a>，呼籲IT人員要儘速清查，這樣的做法並不常見。</p> <p>徐澤偉被指控9項罪名，其中最嚴重的是共謀電信詐欺罪，最高可判處20年監禁，其他還有未經授權存取受保護電腦、意圖破壞電腦系統、竊取智慧財產與敏感研究資料等罪名。美國聯邦調查局（FBI）正在追緝在逃的共犯張宇，並希望線民能提供相關情報。</p> </div></div></div>
2025/7/11 11:23作者周峻佑https://www.ithome.com.tw/news/170013
xAI釋出Grok 4，首度於基準測試中稱冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由馬斯克（Elon Musk）創辦及領軍的AI新創<a href="https://x.com/xai/status/1943158495588815072" target="_blank">xAI周四（7/10）發表</a>新一代AI模型<a href="https://docs.x.ai/docs/models/grok-4-0709" target="_blank">Grok 4</a>，第三方AI基準測試業者<a href="https://x.com/artificialanlys/status/1943166841150644622" target="_blank">Artificial Analysis指出</a>，Grok 4是xAI首款於基準測試中勝出的模型，凌駕OpenAI、Google、Anthropic Claude與DeepSeek的高階模型。</p> <p>Grok 4是個懂得思考的推理模型，支援25.6萬個Token的脈絡長度，可輸入文字或圖像，並生成文字。</p> <p>在<a href="https://artificialanalysis.ai/leaderboards/models" target="_blank">Artificial Analysis的模型排行榜</a>上，Grok 4的智慧指數（Intelligence Index）為73，勝過OpenAI o3-pro的71，或是並列70的Google Gemini 2.5 Pro、o3、o4-mini，也超越DeepSeek R1 0528的68。</p> <p>除了整體成績之外，Artificial Analysis發現Grok 4不管是在跟程式有關的LiveCodeBench及SciCode，或是跟數學有關的AIME24與MATH-500等測試，也都處於領先地位。並在測試高階科學知識的GPQA Diamond基準測試中創下88%的新紀錄。</p> <p>不只是Artificial Analysis，<a href="https://arcprize.org/leaderboard" target="_blank">ARC Prize的模型排行榜</a>顯示Grok 4處於明顯的領先地位。</p> <p>不過，相較於採用各種基準測試，英國開源工程師<a href="https://simonwillison.net/2025/Jul/10/grok-4/" target="_blank">Simon Willison有自己的測試方式</a>，他先要求Grok 4產生一張鵜鶘騎腳踏車的SVG圖檔，再請Grok描述該圖檔，結果Grok便說這是隻類似鳥類的可愛生物在騎腳踏車。</p> <p>Willison亦批評Grok 4甚至沒有提供用來記錄開發者、版本、日期、技術與架構等技術細節，或是模型用途，效能指標，訓練資料或是偏誤與限制的模型卡。還說在Grok 3本周才<a href="https://www.ithome.com.tw/news/169974" target="_blank">登上新聞版面</a>後，xAI應該要更努力來贏得開發者的信任。</p> <p>此外，Grok 3才因歧視猶太人引起爭議，<a href="https://x.com/GuantanamoAndy/status/1943468988484215179" target="_blank">最新的Grok 4也聲稱</a>以色列是美國的寄生蟲，試圖控制與扼殺美國。惟目前並不確定該回答是否由某些刻意及有心的提示所生成。</p> <p>Grok 4每100萬個Token輸入價格為3美元，輸出為15美元，與Claude 4 Sonnet相當，但高於Gemini 2.5 Pro及o3。其訂閱方案除了既有的、每月30美元的SuperGrok之外，本周新增了SuperGrok Heavy，可搶先體驗新功能，但每月費用高達300美元。</p> <p>AI開發者也可透過由Willison建置與負責維護的<a href="https://www.llm-prices.com/" target="_blank">大型語言模型比價及計價網站</a>來試算模型費用。</p> </div></div></div>
2025/7/11 13:01作者陳曉莉https://www.ithome.com.tw/news/170016
駭客濫用迴避偵測框架Shellter散布竊資軟體，企圖迴避防毒軟體與EDR偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用合法的資安演練工具從事攻擊行動，最常見的莫過於滲透測試工具Cobalt Strike，不過這樣的現象自2022年下旬出現變化，有人利用紅隊工具Brute Ratel C4（BRc4）犯案，去年出現利用紅隊演練框架<a href="https://www.ithome.com.tw/news/164855">MacroPack</a>、<a href="https://www.ithome.com.tw/news/165571">EDRSilencer</a>的事故，如今又有類似資安工具遭到濫用引起關注。</p> <p>7月3日，企業資料搜尋分析解決方案業者Elastic<a href="https://www.elastic.co/security-labs/taking-shellter">揭露最新的竊資軟體攻擊行動</a>，駭客濫用名為Shellter的防毒軟體及EDR迴避偵測工具，於受害電腦載入惡意程式。他們根據軟體授權資料進行追蹤，研判駭客從今年4月開始活動，最終目的是散布竊資軟體。對此，Shellter開發團隊隔天提出說明，<a href="https://www.shellterproject.com/statement-regarding-recent-misuse-of-shellter-elite-and-elastic-security-labs-handling/">表示他們已藉由Elastic公布的資料找到客戶的身分並做出處置</a>，但該公司也認為處理過程有瑕疵，Elastic掌握這項情報數個月，卻始終沒有向他們通報此事。</p> <p>這起事故也突顯兩個議題，其中一個便是紅隊演練工具開發團隊都會通常審核、列管買家，無論客戶有意或不慎外流檔案，廠商要如何防範工具遭到流出及濫用的難題；另一個則是研究人員的通報流程出現瑕疵，沒有及時通知軟體開發者，而被發現該公司疑似已知情一段時間的情況。</p> <p>Elastic在7月3日提出的說法是：他們在6月份察覺多起竊資軟體攻擊行動，共通點是都受到付費版Shellter（Shellter Elite）防護，最早濫用的是Lumma Stealer（LummaC2），駭客從4月底開始利用，並將相關檔案存放在雲端檔案共享平臺MediaFire。</p> <p>Elastic接著再循線調查，發現5月中旬有人在駭客論壇兜售Shellter Elite的授權，接著在5月下旬，有另一款竊資軟體Arechcliect2（Sectop RAT）也採用此工具處理，攻擊者針對YouTube頻道的內容創作者而來，假借Udemy、Skillshare、Pinnacle Studio、Duolingo等應用程式品牌，寄送網釣郵件，這些郵件內含能下載RAR檔案的URL。</p> <p>而且，後續第三款竊資軟體Rhadamanthys也出現類似的特徵，攻擊者主要的目標是遊戲玩家，假借遊戲修改或是破解，透過YouTube頻道散布。但與前兩款竊資軟體有所不同的是，已有126人察覺有異，將檔案上傳到惡意軟體分析平臺VirusTotal。而這些竊資軟體盜用的Shellter Elite，其授權的有效期限都到2026年4月17日。</p> <p>針對Elastic揭發的這起事故，Shellter其實是有兩次公開回應，陸續在7月4日、7月10日透過部落格說明處理情形。首先，他們感謝Elastic提供相關檔案、協助確認有問題的客戶身分，但Elastic可能已經掌握情資長達數個月，而在6月3日發布的9.0.2版程式（編按：<a href="https://www.elastic.co/blog/elastic-stack-9-0-2-released">可能是指Elastic Stack</a>）當中，加入標記Shellter程式載入工具的特定行為。他們無從得知此次Elastic更新是否就是針對4月16日發布的Shellter Elite v11而來，但Shellter即將發布11.1版來因應這起事故，並強調惡意客戶將無法取得相關更新。</p> <p>再者，Shellter表示並未提供Elastic付費版的授權，推測研究人員可能是取得外流的檔案，以便進行內部測試及深入分析，並將取得的檔案研判是Shellter的特定版本。但由於Elastic沒有及早通知他們，Shellter認為這種做法會造成相當廣泛的資安風險。</p> <p>後續Shellter在<a href="https://www.shellterproject.com/follow-up-on-the-shellter-elite-misuse-incident/">第二篇部落格</a>指出，這起事故發生的原因，是有人洩露取得的授權版軟體，對此他們打算調度開發資源來強化DRM機制，使得這種未經授權的散布變得更加困難。Shellter將考慮加入身分驗證機制，在每次軟體啟動過程進行線上驗證；他們也規畫為無法存取網際網路的用戶，提供短期離線授權的替代選項。</p> </div></div></div>
2025/7/11 13:14作者周峻佑https://www.ithome.com.tw/news/169984
三星收購美國數位健康平臺Xealth
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsung-electronics-acquires-xealth-bridging-the-gap-between-wellness-and-medical-care" target="_blank">三星本周宣布收購美國數位健康平臺業者Xealth</a>，將整合自有穿戴裝置及後者的健康照護應用，以及龐大的使用社群。</p> <p>三星表示，這項收購將可結合三星穿戴裝置技術及Xealth的數位健康平臺，串聯居家健康監控和醫院的臨床決策系統，提供一貫化預防式照護給廣大用戶。三星預計在2025年完成Xealth的收購。</p> <p>Xealth是美國大型醫療體系Providence 2017年分拆出來，其投資者包括知名醫療機構如克利夫蘭醫院（Cleveland Clinic）、Advocate Health和Banner Health、威斯康辛醫學院健康網絡、諾華、飛利浦、ResMed等。Xealth提供數位健康管理和分析平臺，讓醫護人員可利用工具如數位健康App、遠距監控工具掌握病患健康狀況。其工具能和醫院電子病歷系統串接加速工作流程、簡化照護工作，並且協助資料整合、分析，支援健康管理。</p> <p>本項收購或許可讓三星穿戴裝置深化在美國消費者生活的角色。舉例來說，Xealth的醫院客戶可以介紹其病患以三星手錶蒐集心率、血氧或睡眠等資訊，用於平日健康管理或是慢性病預防。</p> <p>而Xealth也可能提供夠多的潛在用戶。Xealth服務500多家醫院，包括Mass General Brigham（麻省總醫院 + 布萊根婦女醫院）、北卡羅來納州杜克大學醫療體系，和美國最大的非營利健康系統之一Advocate Health、與美國西部和中部地區的大型醫療系統Banner Health，並有70多家醫療方案合作夥伴。<a href="https://www.xealth.com/blog/xealth-client-thought-leaders-at-reuters-events-digital-health-2024/" target="_blank">該公司並宣稱</a>其平臺遞送了10萬家醫療機構的1200萬份數位資產。</p> <p>除了智慧手錶，<a href="https://www.ithome.com.tw/news/163907" target="_blank">三星還提供智慧戒指Galaxy Ring</a>，而其孵化器C-Lab也培育出多家醫療科技公司，包括心電圖儀業者<a href="https://en.prnasia.com/releases/global/s-patch-ex-wearable-ecg-patch-cleared-by-us-fda-418461.shtml" target="_blank">Wellysis</a>、元宇宙居家健身應用程式<a href="https://news.samsung.com/tw/%e3%80%90ces-2024%e3%80%91%e7%9b%b4%e6%93%8a%e4%b8%89%e6%98%9fc-lab%e8%a8%88%e5%8a%83%e6%96%bcces%e5%b1%95%e7%a4%ba%e9%9d%a9%e5%91%bd%e6%80%a7ai%e6%8a%80%e8%a1%93%e6%88%90%e6%9e%9c" target="_blank">FIVA</a>、眼底鏡業者<a href="https://www.labsd.net/" target="_blank">LabSD</a>等。</p> </div></div></div>
2025/7/11 11:49作者林妍溱https://www.ithome.com.tw/news/170014
今年4月挪威水壩閘門遭到網路攻擊，被迫開啟放水數小時險釀禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去幾年以色列、美國曾傳出駭客入侵水力設施企圖進行控制的事故，例如，2020年4月、6月<a href="https://www.ithome.com.tw/news/138971">以色列傳出農業水泵和氯控制器遭到網路攻擊</a>的情況，疑為伊朗駭客所為；2023年，美國水利單位的工控系統傳出<a href="https://www.ithome.com.tw/news/160133">遭到伊朗駭客組織Cyber Av3ngers攻擊</a>，原因疑似他們採用以色列自動化控制業者Unitronics的系統而遭到鎖定，上述的攻擊多半針對農業用水及飲用水，假若得逞恐怕會影響作物收成與民眾健康，如今傳出有駭客針對水壩閘門控制系統下手，而險些波及下游民眾的生命安全。</p> <p>資安新聞網站HackRaed引述挪威能源媒體Energiteknikk的報導指出，<a href="https://hackread.com/norwegian-dam-valve-forced-open-hours-in-cyberattack/">今年4月挪威傳出有駭客入侵水壩控制系統的事故</a>，導致閘門開啟數個小時而無法自由控制、關閉。而這一切發生的原因，竟是因為弱密碼釀禍。這起事故發生在Lake Risevatnet dam水壩，位於挪威西南的工業城鎮和行政中心城鎮Svelgen附近，一旦該閘門開啟，每秒就會釋出497公升的水，挪威當局指出，還好河床能應付每秒2萬公升的水流入，而不受影響。</p> <p>這起事故發生在4月7日，由水壩的經營者Breivika Eiendom察覺異狀，挪威國家安全局（NSM）、水資源暨能源局（NVE），以挪威警方的專門單位Kripos於4月10日收到通報，並著手調查。挪威當局初步認定事故造成的原因在於，閘門的管理主控臺能透過網際網路存取，但只有使用弱密碼保護，使得攻擊者能藉此取得初始入侵管道，並直接存取操作科技（OT）環境。</p> <p>雖然此關鍵基礎設施主要的供水對象是養魚場，並未用於發電或是民生用水，但這起事故突顯弱密碼有可能帶來嚴重的損害。</p> </div></div></div>
2025/7/11 11:55作者周峻佑https://www.ithome.com.tw/news/169992
Google Veo 3推向臺灣、可接受圖片上傳及生成人聲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周宣布影片生成模型Veo 3最新進展，包括Veo 3正式在臺灣上線，此外，用戶現在也可以上傳圖片由Veo3生成影片。</p> <p><a href="https://www.ithome.com.tw/news/169068" target="_blank">Google是在今年5月Google I/O大會上首次公布Veo 3以及AI電影製作工具Flow</a>。其中Veo 3作為最新一版Veo模型，可讓用戶輸入文字生成8秒影片，也是Veo首度能在影片加入音效。Flow則是結合圖片生成模型Imagen、Veo影片生成和Gemini聊天機器人介面，協助使用者製作者有故事性的影片。</p> <p><a href="https://blog.google/intl/zh-tw/products/explore-get-answers/veo-3-ai/" target="_blank">本周Google宣布</a>將Veo 3推向所有支援Gemini App的市場，包括臺灣。用戶必須具備Google AI Pro訂閱服務才得以使用本服務。</p> <p>另一方面，Google持續強化Veo 3和Flow的功能。<a href="https://blog.google/technology/google-labs/flow-adds-speech-expands/" target="_blank">Google宣布Frames to Video功能</a>，允許用戶輸入圖片作為起始影格來生成影片。此外，除了生成音效和背景噪音外，Veo 3也能生成說話人聲了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-photo-to-video-Veo%203-Google%20AI%20Pro.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>現在Frames to Video已加入Veo Fast，涵括Veo 2或Veo 3。Veo Fast是指生成速度較快，但畫質較Veo Quality來得低的模式。若是選擇Veo 2 Fast，則還多了以自有圖片為影片最終畫面及控制攝影角度等功能。</p> <p>Google同時擴大Flow及收費最高、月費250美元的方案Google AI Ultra的服務地區。Flow現在在全球140多國上線，而AI Ultra則在全球76個市場推出。<a href="https://one.google.com/intl/zh-TW_tw/about/google-ai-plans/" target="_blank">Google AI Ultra在臺灣</a>收費為每月4050元。</p> <p>Google再次聲明，Flow的聲音生成功能還在實驗階段，該公司持續改進中，生成效果可能有所差異。</p> </div></div></div>
2025/7/11 10:38作者林妍溱https://www.ithome.com.tw/news/170010
企業須正視語音詐騙的資安危機
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>談到企業面臨的網路詐騙威脅，熟悉資安的人會先想到的攻擊型態，是透過電子郵件與網址進行的各種網路釣魚行為（Phishing），後續衍生出商業郵件詐騙（BEC），財務人員與高層主管是攻擊者假冒的對象，也可能是被欺騙的目標，近年來，隨著AI技術突飛猛進與普及，雖然帶來生產力提升，然而，仿造與假冒人員影像與聲音的技術門檻與成本，也大幅降低，使得深偽（Deepfake）的資安風險受到重視。</p> <p>我們持續追蹤AI資安風險的同時，也注意到語音網路釣魚（Vishing）攻擊日益顯著。近期最常被引用的數據，來自資安廠商CrowdStrike，他們2月底發布的年度全球威脅報告指出，去年有多個攻擊者將Vishing納進侵入目標的手段，月複合成長率達到40％，而且在下半年暴增442％（對比2024上半），並認為攻擊者採用AI驅動的網路釣魚與身分冒用等策略，是助長這類資安威脅的主因。</p> <p>對於熟悉資安領域的人而言，網路釣魚堪稱大家最熟悉的社交工程攻擊伎倆的總稱，因為它瞄準的正是人性的弱點，而相較於過去大幅仰賴電子郵件傳遞誘餌的攻擊手法，Vishing的採用往往能夠進一步提升、甚至直接施加各種言語話術的說服力。</p> <p>以CrowdStrike這份報告列出的狀況而言，Vishing被用於服務臺類型的社交工程（Help Desk Social Engineering），例如，攻擊者會撥打電話給使用者，假冒IT人員並以解決上網或資安問題為藉口，誘騙使用者下載惡意軟體、建立遠端支援連線，或將身分憑證輸入網路釣魚網頁；或是相反地，攻擊者撥打電話給鎖定的企業IT服務人員，假冒合法員工並聲稱自己存取電腦或系統有問題，要求IT人員重設密碼，以及多因素身分驗證。</p> <p>既然視訊和語音詐騙與人性弱點密切相關，恰巧讓我想到科幻電影遺落戰境（Oblivion）的情節，攻擊地球的外星人憑藉攔截到的任務指揮官通訊片段畫面和語音，矇騙與操弄主角。而這樣的劇情與人物設定，恰巧呼應BEC與Vishing成功詐騙企業員工的關鍵：攻擊者偽裝組織高層。例如，在注重權威與階層管理的企業與組織，當員工透過電子郵件、電話、視訊會議等形式，接到高層的指示與命令時，第一個念頭大多是認真思考如何回覆，以及後續該如何達成工作要求，而非先去確認對方的身分真實性。</p> <p>而在IT服務型的社交工程攻擊當中，使用者與服務者之間，其實也存在某種關係張力，對於使用者而言，擔心犯錯、自己IT技能不足、沒妥善保管與使用IT系統及設備，增添IT部門與企業的麻煩，而對於服務者而言，往往也抱持著用戶至上的工作理念，都會盡可能協助使用者，希望盡快恢復所要使用的IT系統及設備，在實體、彼此能碰面接觸的環境中，這些心態相當正常，但如果需透過遠端溝通的方式進行這些工作，就必須增添確認身分的程序，再進一步授權給對方執行相關作業程序。</p> <p>在金融業的消費者客戶服務當中，我們可以看到有些情境會特別提出不同的身分驗證需求。例如，我們想確認帳單或保單是否已繳費，可透過電話客服查詢，過程中會核對用戶的基本資料，但如果是修改帳單或保單的寄送地址，有些公司會要求用戶親自到他們的分支據點，在查驗身分證之後，接著以填寫紙本表格的方式進行變更。</p> <p>另一個語音釣魚挑戰的人際往來弱點，是人們對於語音溝通品質的要求並不高。科技雖然不斷進步，然而，人們透過電話或視訊會議呈現的語音品質，至今仍無法完全比擬實體面對面交談，大家早就習慣經由這些通訊系統所傳達的聲音，品質不如真實說話，因此，對於聲音失真的各種狀況，像是抖動、延遲、不流暢，都有心理準備，因此，攻擊者即使用很含糊、類似的語音，搭配一些迫使接話方必須馬上做決定的急切情境，接話方很可能就會因為無暇判斷真偽而妥協，誤以為發話方是公司同事、主管、親友，配合發話方的指示行動，結果中計。</p> <p>想避免遭到語音詐騙的操弄，關鍵在於近期資安領域持續提倡的零信任。落實「Never Trust, Always Verify（永不信任，一律驗證）」，會是關鍵，在兼顧安全性的前提之下，能確認對方就是自己認知到的主管、同事、客戶、使用者、合作夥伴，不影響工作與生活效率，這部分有待大家一起努力。</p> <p><a href="https://www.ithome.com.tw/article/169996" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1242-feng_mian_gu_shi_-p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=xKFAt5jN" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%AA%9E%E9%9F%B3%E7%B6%B2%E9%87%A3">語音網釣</a></div><div class="field-item odd"><a href="/tags/%E4%BB%BF%E8%81%B2%E8%A9%90%E9%A8%99">仿聲詐騙</a></div><div class="field-item even"><a href="/tags/ai%E6%B7%B1%E5%81%BD">AI深偽</a></div><div class="field-item odd"><a href="/tags/%E7%A4%BE%E4%BA%A4%E5%B7%A5%E7%A8%8B">社交工程</a></div><div class="field-item even"><a href="/tags/vishing">Vishing</a></div><div class="field-item odd"><a href="/tags/deepfake">Deepfake</a></div><div class="field-item even"><a href="/tags/ai%E8%AA%9E%E9%9F%B3%E5%81%BD%E5%86%92">AI語音偽冒</a></div><div class="field-item odd"><a href="/tags/%E9%87%A3%E9%AD%9A%E8%A9%90%E9%A8%99">釣魚詐騙</a></div><div class="field-item even"><a href="/tags/%E8%A9%90%E9%A8%99">詐騙</a></div></div></div>
2025/7/11 09:49作者李宗翰https://www.ithome.com.tw/voice/169997
【資安日報】7月10日，大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>投資詐騙的事故頻傳，為了取信受害人，有些歹徒架設誘餌新聞網站（Baiting News Sites），以類似新聞報導的形式散布詐騙訊息，揭露此事的資安業者CM360偵測到超過1.7萬個網站，值得留意的是，這些網站都針對目標民眾進行調整，以當地語言、名人、金融機構來行騙。</p> <p>本週有許多廠商發布7月份例行更新，其中又以SAP供應商關係管理平臺的滿分漏洞最危險，再者，Fortinet應用程式防火牆（WAF）的SQL注入漏洞也相當嚴重而值得留意；Citrix修補VDI平臺的代理程式高風險漏洞，有機會讓攻擊者得到SYSTEM權限。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169973"><strong style="font-size: 22px;">大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來，目的是進行網路投資詐欺</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/wus5ZGDDD8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/wus5ZGDDD8.png" style="width: 300px; float: right;" /></a></p> <p>近年來網路投資詐騙事故頻傳，其中一種最常見的手法，就是攻擊者打著名人的名號，並透過社群網站、影音串流平臺接觸受害者，但也有駭客架設幾可亂真的假新聞網站，藉此引誘使用者上當。</p> <p>舉例來說，最近資安業者CM360揭露橫跨全球50個國家的網路投資詐騙活動BaitTrap，就是這樣的情形。駭客架設超過1.7萬個誘餌新聞網站（Baiting News Sites），這些網站偽裝成CNN、BBC、CNBC、News24、ABC News等受到信任的新聞媒體，發布捏造的消息，並利用知名公眾人物，以及國有銀行、中央銀行、商業銀行等金融機構來建立信任，假借中央銀行總裁、國家領導人，或是公眾人物的名義，宣稱意外發現透過加密貨幣致富秘密方法，藉此誘騙使用者掉入投資詐騙的陷阱。</p> <p>值得留意的是，這些誘餌新聞網站往往會針對攻擊目標量身打造，使用當地語言、當地民眾熟悉的品牌、金融機構，以及公眾人物，來增加詐騙成功的機會。這類網站在中東地區最氾濫，有超過一萬個；其次是亞太地區，約3,400個，但也有針對大洋洲、歐洲、美洲、非洲的誘餌新聞網站。</p> <p><a href="https://www.ithome.com.tw/news/169949"><strong style="font-size: 22px;">伊朗駭客BladedFeline部署新型IIS與Exchange後門，滲透中東多地區政府</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BladedFeline-figure-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BladedFeline-figure-3.png" style="width: 300px; float: right;" /></a></p> <p>資安公司ESET揭露與伊朗關聯的駭客組織BladedFeline，持續滲透中東多地區政府與能源、電信單位，鎖定IIS與Exchange伺服器，並大規模散布Whisper、PrimeCache等新型後門程式。研究人員發現，BladedFeline自2017年起便長期潛伏於庫德自治區政府系統，2024起更已成功入侵伊拉克中央政府多名高階官員的網路環境。</p> <p>BladedFeline整體行動目標以蒐集中東地區政府與重要產業的敏感資訊為主，ESET推測其活動可能替伊朗取得區域政治與情報相關資料。</p> <p>根據ESET的程式碼分析，並比對受害目標族群及攻擊手法，BladedFeline推測可能是伊朗APT34（OilRig）旗下的子群組。該組織透過多種後門與反向通道工具，建立一套成熟的滲透、持久化及擴張三階段攻擊鏈，其中，IIS原生模組PrimeCache為關鍵技術，能被動攔截HTTP請求，並透過加密Cookie藏匿控制訊息，將參數分段接收、快取再組合執行，有效規避傳統防禦。PrimeCache全程採用RSA與AES-CBC加密並以Base64編碼，使其攻擊流量具隱蔽性不易被偵測。</p> <p><a href="https://www.ithome.com.tw/news/169843"><strong style="font-size: 22px;">竊資軟體GiftedCrook威脅加劇，從瀏覽器竊密成為情資收集工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-giftedcrook.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-giftedcrook.png" style="width: 300px; float: right;" /></a></p> <p>今年4月烏克蘭電腦緊急應變團隊（CERT-UA）揭露名為GiftedCrook的竊資軟體，駭客組織UAC-0226針對該國軍事單位、執法機關、地方自治團體而來，特別偏好位於烏克蘭東部邊境的組織。這些駭客散布帶有Excel巨集附件檔案的電子郵件，一旦收信人開啟，就會在電腦植入惡意軟體，其中一個就是GiftedCrook。如今相關攻擊活動升級，駭客強化此竊資軟體的危害能力，導致相關威脅加劇。</p> <p>資安業者Arctic Wolf針對此竊資軟體進行追蹤、調查，指出在CERT-UA揭露之後，駭客兩度改版增加功能，從原本能夠竊取瀏覽器存放的使用者資料，變成能同時竊取受害電腦的特定檔案，成為駭客用來收集情資的工具。由於新版GiftedCrook出現的時間，恰巧與在伊斯坦堡舉行的烏克蘭和平談判時間點吻合，因此他們推測駭客的目的，很有可能就是要收集烏克蘭政府與軍事單位的情報。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/nippon-steel-subsidiary-blames-data-breach-on-zero-day-attack/">日本製鐵子公司傳出遭到零時差漏洞攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-logokit-phishing-campaign/">網釣攻擊LogoKit濫用Cloudflare Turnstile、Amazon S3，冒充受到信任的組織從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/funnull-uses-amazon-and-microsoft-cloud/">駭客濫用Amazon、微軟雲端基礎設施架設CDN服務Funnull，意圖隱藏惡意基礎設施</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169978"><strong style="font-size: 22px;">SAP修補供應商關係管理平臺重大漏洞，問題出在攻擊者能趁機以管理員身分執行OS命令</strong></a></p> <p>本週二SAP發布7月份Security Patch Day例行更新，其中最值得留意的部分，是存在於供應商關係管理平臺（Supplier Relationship Management，SRM）的滿分漏洞CVE-2025-30012，非常危險，IT人員應儘速處理。</p> <p>這項漏洞存在於SRM的Live Auction Cockpit工具，起因是此工具搭配已經棄用的Java Applet元件，未通過身分驗證的攻擊者可以使用特定的格式編碼，來發送惡意酬載請求。</p> <p>一旦伺服器端程式（Servlet）收到請求並解碼，就會造成資料的反序列化，從而讓攻擊者以SAP管理員執行任意的作業系統命令，嚴重影響應用程式的機密性、完整性、可用性。</p> <p><a href="https://www.ithome.com.tw/news/169972"><strong style="font-size: 22px;">Citrix修補VDI平臺本機權限提升資安漏洞</strong></a></p> <p>7月8日Citrix針對旗下的虛擬桌面平臺（VDI）Citrix Virtual Apps and Desktops（CVAD）、Citrix DaaS發布資安公告，修補Windows版Virtual Delivery代理程式的資安漏洞CVE-2025-6759，此為本機權限提升漏洞（LPE），僅取得低權限的攻擊者有機會藉此得到SYSTEM身分，4.0版CVSS風險評為7.3，影響現行版本（Current Release）與2402長期支援版（LTSR）的CVAD，2203 LTSR不受影響，該公司推出2503、2402 LTSR CU1 Update 1、2402 LTSR CU2 Update 1修補。</p> <p>這項弱點可能帶來哪些影響？通報漏洞的資安業者Rapid7表示，取得低權限的攻擊者能藉由複製外洩的SYSTEM處理程序，並藉由漏洞以SYSTEM權限孳生新的處理程序。</p> <p><a href="https://www.ithome.com.tw/news/169971"><strong style="font-size: 22px;">Fortinet修補網頁應用程式防火牆重大SQL注入漏洞</strong></a></p> <p>Fortinet本周釋出安全公告，修補網頁應用防火牆（WAF）產品FortiWeb的重大風險漏洞，若不處理可能導致SQL程式碼注入攻擊。</p> <p>本漏洞編號CVE-2025-25257，為對SQL指令中特殊元件的不當中和（Improper Neutralization），即未對輸入的特殊字元進行適當處理，導致這些字符被SQL引擎誤判為SQL指令，形成SQL 注入。本漏洞可讓未經授權的攻擊者可經由傳送HTTP或HTTPS呼叫，執行SQL程式碼或指令，CVSS風險值達9.6。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ruckus-networks-leaves-severe-flaws-unpatched-in-management-devices/">Ruckus網路設備集中管理平臺存在一系列資安漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/splunk-soar-addresses-vulnerabilities/">Splunk修補SOAR平臺第三方元件漏洞，其中包含已遭利用的Git重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169968"><strong style="font-size: 22px;">AWS揭露用生成式AI幫助資安的5種場景，不只程式碼修補、API安全測試，還有日誌分析速度快50倍</strong></a></p> <p>如何善用生成式Ai幫助資安防禦，是所有企業、資安廠商與資服業者，都在努力發展的重要課題，過去已有國內外業者分享這方面的實務經驗，例如奧義智慧、趨勢科技、Google等，近期AWS於美國費城舉辦年度資安會議re:Inforce 2025，該公司也揭露其內部實際應用生成式AI協助資安工作的實際經驗。</p> <p>今年大會有多位AWS高層主管說明應用成果與觀察，我們整理出5大類型，涵蓋：程式碼修補自動化、自動化API安全測試、雲端回應團隊分析與應變加速，以及MadPot產品分析與誘捕能力的強化，甚至還有威脅建模的應用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169963"><strong>【7月9日】微軟發布本月例行更新、修補130個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169950"><strong>【7月8日】macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169929"><strong>【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</strong></a></p> </div></div></div>
2025/7/10 18:41作者周峻佑https://www.ithome.com.tw/news/169986
零售IT雙周報第58期：Walmart推出GenAI驅動的AI排班、即時多語言翻譯等功能，支援150萬名門市員工作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0629~0712)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #AI排班 #AI門市助手 #AI翻譯</span></strong></span><br /> <strong>Walmart打造多項生成式AI工具支援150萬名門市員工，簡化排班、語言溝通與多種賣場作業流程</strong></p> <p><a href="https://corporate.walmart.com/news/2025/06/24/walmart-unveils-new-ai-powered-tools-to-empower-1-5-million-associates">Walmart近日宣布擴大全美門市內部GenAI應用，針對門市人員推出多項新工具</a>，包括AI排班、44種語言即時翻譯、強化版對話助理與AR結合RFID的補貨輔助工具。這些功能整合於Walmart內部使用的Associate App中，可供超過150萬名員工使用。</p> <p>AI任務分派工具率先應用於夜間補貨班別，用AI分析人力與作業優先順序，讓主管能依據系統建議快速調配人員。初步導入後，規畫班表所需時間從90分鐘減至30分鐘，目前已在其他時段與門市進行試點。</p> <p>語言翻譯工具則提供高達44種語言支援，包含語音與文字模式，可供員工之間或與顧客溝通時使用。此功能有使用Walmart專屬知識作為訓練語料，因而可辨識Walmart自有品牌等字句，並保留對應翻譯詞彙，提升翻譯的語境正確性。Walmart表示該功能將擴展至更多語系與海外市場。</p> <p>Walmart還計畫升級原本員工App的核心功能對話式AI助理。回答問題時，GenAI會進一步把閱讀負擔較重的內部文件，如流程手冊，轉化為簡單的步驟式指引。他們希望能藉此降低員工認知負擔，加速作業流程。Walmart還揭露，目前該助理每天處理超過300萬筆查詢，使用者人數達90萬人。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#垂直領域電商 #AI搜尋功能 #行話語意理解</span></strong></span><br /> <strong>英國連鎖五金工具行Toolstation以AI強化搜尋體驗，降低95%無結果搜尋情況更提升5.5%由搜尋功能促成的營收</strong></p> <p>有近600間門市的英國五金工具零售商Toolstation，近半數交易來自線上通路。過往，他們電商常面臨無效搜尋導致顧客跳出網站的情況。這是因為，儘管顧客多為專業工匠與DIY用戶，且進站多數已有明確購物目標，搜尋工具卻無法正確處理同義詞、品牌別稱與業界術語，導致大量無結果搜尋。部分顧客甚至需回到Google搜尋，再從搜尋結果中點選Toolstation連結回站。</p> <p>Toolstation團隊多年來累積數千條人工規則以改善搜尋體驗，例如將「Parcel tape」對應至「Packaging tape」，但仍無法根治問題。<a href="https://cloud.google.com/customers/toolstation-product-search?hl=es-419">他們對GCP為零售搜尋特化的AI搜尋功能進行A/B測試後，發現LLM能有效辨識模糊查詢及許多非正式用語，於是全面導入。</a>改版後，搜尋無結果的比例從2%降至0.1%，搜尋點擊率提升10%，由搜尋功能找到商品帶來的營收增加5.5%。不只如此，顧客回報搜尋商品無關的比例下降30%，回訪比例上升2%。</p> <p>舊有搜尋規則由Toolstation人員每周維護，現在則改由機器學習模型自動調整。每當顧客執行搜尋、點擊商品或完成購買，相關數據會回傳至雲端作為模型訓練依據，強化後續搜尋結果精度。</p> <p>不只如此，Toolstation還將AI搜尋模組辨識出的常見拼字錯誤與手動輸入失誤，用於客服中心與門市POS端，協助工作人員快速查詢商品，更提升新人訓練效率與服務流暢度。此外，他們還用AI搜尋模組來強化推薦系統，用AI設定取代電商介面中原先需要手動設定的推薦區塊，使推薦系統帶來的營收提高10%。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#BOPIS #顧客抵達時間預測</span></strong></span><br /> <strong>Food Lion導入顧客預計抵達時間預測系統，電商顧客門市取貨等待時間減少40%</strong></p> <p><a href="https://www.prweb.com/releases/food-lion-deploys-flybuy-pickup-completing-brandwide-ahold-delhaize-rollout-302498934.html">美國有超過1,100間門市的連鎖超市Food Lion全面導入一套AI顧客定位系統</a>，用來可預測顧客到店時間，協助門市團隊進行BOPIS（線上購買線下取貨）的備貨與取貨調度。</p> <p>顧客透過網站或App下單後，此系統會根據行車路徑與定位訊號推估抵達時間，並同步通知門市人員進行備貨。據此，Food Lion能更好掌握每筆訂單的預計交付時間，減少現場等待與人員閒置時間。導入後，顧客平均等待時間減少超過40%，且提升停車場與交貨區域使用效率，門市也更好安排顧客線上購買時可選擇取貨的時段。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #可購物廣告 #AI推薦</span></strong></span><br /> <strong>Pinterest推出用GenAI自動圖片拼貼功能，用零售業者商品目錄圖片組合出符合使用者喜好的廣告圖</strong></p> <p>圖片探索平臺Pinterest宣布推出AI自動拼貼（Auto-collages）功能，可以用零售業者上傳到Pinterest的商品目錄圖片，自動拼貼出大量可購物式「拼貼圖」（Collage），發布到Pinterest上。點開這些拼貼圖時，使用者可以直接購買拼貼圖中任一件商品。目前此功能由知名百貨業者Macy's等零售商參與測試。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ptstt.jpg" style="width: 600px;" /></p> <p>此功能結合平臺上使用者行為資料與生成式AI技術，可根據服裝搭配、熱門儲存項目、相似商品特性與用戶收藏偏好等依據，自動建立視覺風格相似的拼貼圖。初期測試顯示，AI生成的拼貼圖，用戶儲存率為一般商品圖兩倍。</p> <p>另外，Pinterest也強化其趨勢探索工具Pinterest Trends，利用使用者搜尋、儲存與實際點擊購買等資料，搭配AI來預測潛在消費意圖。新版Trends工具功能包括Shopping trends，顯示目標族群對特定商品分類的興趣變化趨勢，並提供相關熱門搜尋詞，以及Trends in the Spotlight，整理出不同商品分類流行趨勢，便於行銷企畫快速參考等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#OMO零售 #會員經營</span></strong></span><br /> <strong>高度仰賴實體通路的Timberland，如何發揮線上通路優勢來經營OMO零售</strong></p> <p>近日一場活動中，戶外休閒品牌Timberland臺灣暨香港品牌總監洪嘉陽揭露自家如何經營OMO零售。Timberland非常仰賴實體通路，總貢獻度仍是實體通路會員最高。不過，數位通路有更多接觸點，營業時間也全年無休。Timberland設計OMO零售做法時，目標是希望發揮線上及線下通路各自優點，而非取代彼此功能。</p> <p>舉例來說，當他們發現顧客於電商通路有購物車尚未結帳，會透過CRM找出顧客常去的特定實體門市，再通知店員透過Line聯繫顧客，進行一對一再行銷，以及提供視訊丈量尺寸等服務。這種做法，在半年內創造出180萬元業績，成交率高達46%。</p> <p>他們還利用Line投放問卷，作為大量快速與會員溝通的管道。他們積極利用問卷來作為市場調查利器，還在新品發售時，以調查為名，行商品介紹之實。後續新品上市時，都發揮出介紹及導購的效果。</p> <p>另一個做法則是透過CRM資料分析會員喜好，來選擇在社群媒體上代言的KOL。洪嘉陽舉例，他們有次主題活動，主打「客製化黃靴」商品，找來6位不同分眾領域的KOL代言，結果不只帶來巨大流量，且幾乎所有商品都一夜售罄。達成精準行銷效果同時，也不須砸大錢追求流量和知名度最大的代言人。</p> <p>除了OMO經營，洪嘉陽還分享他們貫穿會員經營及數位行銷的心法，以及如何結合科技來執行。（<a href="https://www.ithome.com.tw/news/169897">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#員工訓練 #數位平臺</span></strong></span><br /> <strong>日本7-11於22,000間門市中導入數位員工訓練平臺，能根據員工數位素養與當下情境來提供不同操作介面與學習體驗</strong></p> <p>日本7-Eleven與富士通共同打造數位員工訓練平臺，以數位化部分員工訓練內容，並用科技來追蹤員工學習情況及工作實務效率。此平臺已在日本部分直營門市正式上線，預計未來導入全日本22,000間門市，支援超過40萬名員工。</p> <p>富士通表示，此平臺可以依據使用者的數位素養與當下情境，提供不同操作介面與學習體驗。課程設計上，則有利員工因應個別節奏進行學習。員工可透過門市配置的平板或行動裝置來查閱教學內容，管理人員則能遠端追蹤員工學習狀況與技能成長曲線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fjttp.jpg" style="width: 600px;" /></p> <p>未來，富士通計畫利用AI與數據分析技術，將此平臺打造成人才管理平臺，進一步支持門市營運效率與人才管理流程。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#RMN #零售數據應用 #SKU等級數據</span></strong></span><br /> <strong>Instacart與The Trade Desk合作推出更精確的RMN成效追蹤功能，結合商品SKU等級數據與跨通路廣告數據來分析行銷結果</strong></p> <p><a href="https://www.prnewswire.com/news-releases/advertisers-gain-real-time-customizable-audiences-and-always-on-measurement-with-instacart-and-the-trade-desk-302477208.html">生鮮電商平臺Instacart近日宣布，將旗下零售資料深度整合至廣告技術平臺The Trade Desk</a>，來強化行銷成效追蹤。此次整合使廣告主能在TTD平臺上結合Instacart SKU等級銷售資料及其他通路的行銷資料，來分析行銷轉換等銷售指標。廣告主只能看到與自家品牌相關的資料。</p> <p>Instacart RMN可以於自家平臺、220多個合作超市電商網站、實體店內的Caper智慧購物車，以及Google、Meta、NBCUniversal等平臺投放廣告。此次與TTD進行更深度數據整合，能進一步強化Instacart RMN對廣告主在跨通路行銷時追蹤成效的能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span><br /> <a href="https://ads.shopee.tw/news/2025">蝦皮取消手動廣告投放，改用AI代投全站廣告。</a></p> <p><a href="https://corporate.walmart.com/about/samsclub/news/2025/06/26/sams-club-map-launches-omni-impact-to-redefine-retail-media-measurement">Sam's Club的RMN推出新功能，結合AI技術與會員資料來提供過往12個月的跨通路行銷成效追蹤能力。</a></p> <p><a href="https://newsroom.tiktok.com/en-us/tiktok-shop-is-where-shoppers-come-to-discover">Tiktok將即時最低價保證功能整合到直播電商</a>，能即時調整商品售價來跟進網上最低價。</p> <p>資料來源：iThome整理，2025年7月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart、Pinterest、富士通</p> <p></p> </div></div></div>
2025/7/10 18:48作者郭又華https://www.ithome.com.tw/news/169981
AI趨勢周報第276期：Google釋出經典編碼器-解碼器T5Gemma系列模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0704～0710）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 編碼器-解碼器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> T5Gemma </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google重拾經典編碼器-解碼器架構，釋出T5Gemma系列模型</strong></span></p> <p>Google最近發布T5Gemma系列大型語言模型（LLM），重拾經典的編碼器-解碼器（encoder-decoder）架構，不論是產出結果還是推論效率，都比現有主流的解碼器模型（decoder-only）要好。</p> <p>T5Gemma以Gemma 2框架為基礎，透過適應性轉換技術，將預訓練的解碼器模型調配為編碼器-解碼器架構，不僅保留原有能力，還降低重新訓練的運算成本。T5Gemma包含小型、基礎、大型和XL級別的模型，另也有2B、9B參數版本，以及9B編碼器+2B解碼器等這類不對稱的組合，這種組合能用來調整輸入或輸出的效率，比如提高輸入理解力、保持簡單的輸出。</p> <p>在SuperGLUE和GSM8K測試中，T5Gemma精準度和延遲表現皆媲美甚至超越同級模型，特別是2B-2B模型經指令微調後，MMLU分數比Gemma 2 2B模型高出12分，GSM8K準確率也從58%衝上70.7%。T5Gemma現已在Hugging Face、Kaggle、Vertex AI平臺上開放使用。<a href="https://developers.googleblog.com/en/t5gemma/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-developer-goog-blog-assets/images/Chart-1.original.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Java </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPU加速 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>曼徹斯特大學開源Java Llama3 GPU加速工具，要追上原生CUDA效能</strong></span></p> <p>AI大模型當道，曼徹斯特大學Beehive實驗室團隊6月釋出一款加速工具GPULlama3.java，透過TornadoVM運算框架，自動對Java程式編譯、優化，不必寫任何CUDA或OpenCL程式碼，就能在GPU上快速執行大型語言模型（LLM）推論。該工具目前支援Llama3和Mistral這兩種熱門模型（GGUF格式）。</p> <p>目前，TornadoVM可在三種後端加速，包括OpenCL、PTX、SPIR-V。不過，Apple推出的OpenCL早已棄用，因此在Apple Silicon上的加速效能不會太好，因此團隊建議在Nvidia GPU環境下測試，以達到最佳表現。團隊表示，接下來打算支援Metal，讓蘋果裝置用戶也能享受快速執行模型的效能。雖然這款加速工具的速度還追不上專業版llama.cpp或原生CUDA，但團隊以此為目標，希望繼續加速至原生CUDA效能。<a href="https://github.com/beehive-lab/GPULlama3.java">（詳全文）</a></p> <p><img alt="" src="https://github.com/beehive-lab/GPULlama3.java/raw/main/docs/inter-output.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yahoo! </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line合併日本Yahoo！今年要轉型成AI公司</strong></span></p> <p>Line日本與Yahoo! Japan合併為LY Corporation，日前在技術年會上宣布轉型為AI公司，提出兩大行動方針，包括全面導入AI Agent、提高內部生產力。LYC CTO朴懿彬進一步說明兩大策略進展，他們已在服務中導入44個GenAI應用，且已有35個專案用AI來提高內部營運效率。比如，Yahoo! Japan App用GenAI強化抽象語言搜尋功能，Line則在通訊功能中用GenAI支援基本問答、翻譯、PDF文件摘要、照片編輯和文字識別等能力。甚至在生產力部分，已應用GenAI客服來處理Yahoo購物、拍賣、Email、旅遊等服務，可以自動回覆處理92%的客服案件。</p> <p>LYC還導入RAG工具Seek AI，作為內部知識管理工具，員工可註冊工作空間或應用程式，讓Seek AI學習內容、回答營運相關問題並整理所需資訊。目前他們已註冊490個應用程式給Seek AI學習。LYC還用自家程式碼，訓練出內部GenAI軟體開發助手Ark Developer，可支援程式碼建議、技術文件生成、自動程式碼測試、QA和程式碼審查等。在初期測試中，程式碼建議正確率高達96%、文件生成與審查時間減少62%、測試時間減少95%，一天能支援超過5,000次程式碼審查，預計7月正式上線。</p> <p>為達成兩大AI轉型目標，LYC還要強化AI代理記憶（Agentic Memory），來強化AI代理執行複雜任務能力；也要結合數據治理及MCP技術應用，讓AI代理能在更安全的環境中執行任務。同時也會發展LLMOps，妥善管理LLM用例及數據傳輸機制的效能和品質；另要強化RAG平臺，讓AI應用更好地使用內部數據，以及強化整體數據處理和數據治理做法，來支援AI發展。<a href="https://www.ithome.com.tw/news/169840">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/arkdev.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IMA發起Taiwan Tongues，推動臺灣語料庫</strong></span></p> <p>生成式AI當道，但主流模型多以英文、簡體中文訓練。為此，IMA資訊經理人協會推動Taiwan Tongues臺灣通用語料庫計畫，攜手作家組成Team Taiwan，累計貢獻逾500萬字文學作品，涵蓋臺灣華語、臺語、客語、原住民語，要讓AI真正聽懂臺灣話。</p> <p>IMA協會理事長蔡祈岩表示，AI需理解臺灣語言、文化與價值觀，才能展現臺灣主體性。該計畫由作家胡長松領軍，他率先釋出150萬字著作，目前已上架Hugging Face，開源非商業使用。測試顯示，透過Taiwan Tongues語料，臺語AI模型正確率從31.5提升至42.6，成效顯著。</p> <p>Taiwan Tongues也與群聯電子合作，打造具多元觀點與語境辨識的模型訓練框架，並攜手陽明交大建立臺灣語境評測指標。未來，數發部也將統籌政府語料，推動公私合作、擴大語料開源。IMA也計畫啟動Wiki Taiwan，提升臺灣語言在全球網路世界的能見度。<a href="https://tt.ima.org.tw/news.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Veo 3 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Veo 3影片生成功能在臺推出了</strong></span></p> <p>前幾周，Google在I/O大會上亮相最新AI影片生成模型Veo 3，日前則正式將Veo 3導入所有支援Gemini應用程式的國家和地區，包括臺灣在內。只要訂閱Google AI Pro，用戶就能用Veo 3生成短影片。</p> <p>Veo 3結合Gemini模型，能根據相片、提示詞自動生成影片，無論是重現歷史、創意實驗，還是捕捉「大腳怪」出沒的虛構場景，都能輕鬆搞定。Google重視Veo 3的安全性，影片會自動加入可見浮水印，以及隱形的SynthID數位浮水印，防止被誤用。Google也透過大規模紅隊演練來確保內容安全，並透過「喜歡/不喜歡」功能來讓用戶反應、持續改進。<a href="https://blog.google/intl/zh-tw/products/explore-get-answers/veo-3-ai/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="408px" width="726px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="408px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/nAui-JLXofA" title="Boba Planets VEO Video" width="726px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 思覺失調 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 腦影像 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北榮總打造AI腦影像平臺，輔助思覺失調診斷</strong></span></p> <p>臺北榮總精神醫學部楊智傑教授團隊開發出智慧腦影像平臺，結合核磁共振和AI深度學習，來輔助評估思覺失調症，診斷準確率高達91.7%。這項做法突破傳統靠臨床觀察的限制，提供客觀的生物指標，改善精神疾病診斷與個人化治療。</p> <p>思覺失調症影響全球約1%人口，常見幻聽、妄想等症狀。北榮智慧腦影像平臺以1,500名本土受試者數據打造，能三維視覺化大腦異常、精準定位病灶，協助醫師與患者家屬溝通；該平臺也具備腦磁振影像導引功能，可進一步研發精準的經顱磁刺激等非侵入性神經調控，作為臨床治療輔助工具。</p> <p>這套智慧腦影像平臺已獲美國愛迪生獎、醫策會等獎項肯定，並取得臺美及PCT等專利。臺北榮總也啟用新建的身心智慧創新治療區，透過該平臺來與病人及家屬深入討論大腦變化、提高患者病識感，推動精神疾病診斷邁向AI精準醫學。<a href="https://www.vghtpe.gov.tw/vghtpe/News!one.action?nid=14804">（詳全文）</a></p> <p><img alt="" src="https://www.vghtpe.gov.tw/vghtpe/images/news/1140703_07.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Midjourney </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> V1 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Midjourney推出首個影片生成AI模型V1</strong></span></p> <p>美國AI新創Midjourney繼推出圖像生成服務後，6月下旬又發表旗下首款影片生成模型V1，可用圖像生成影片，費用約是生成圖像的8倍，一上線就獲好評。進一步來說，它的工作流程是圖像轉影片（Image-to-Video），一開始上傳圖像後，就成為影像的第一幀圖，按下「Animate」就能讓圖動起來，使用者也能客製化調整速度或移動方向等細節。V1會先生成一個5秒、解析度為480p的影片，之後可選擇延長影片，每次延長時間為4秒，最多可延長4次，最長可建立21秒的影片。</p> <p>2022年創立的Midjourney表示，他們的目標是建置一個可即時模擬開放世界的模型，就好比一個可即時生成影像的AI系統，使用者可命令它在3D空間移動，環境和角色也會跟著移動並互動。為達到該目標，Midjourney需要建立各種模組，像是圖像生成模型、圖像轉影片模型，以及可在空間中移動的3D模型等。而明年起，Midjourney將分別建置並發布這些元件，再將它們整合成一個統一的系統，目標是讓大眾使用。<a href="https://updates.midjourney.com/introducing-our-v1-video-model/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫學診斷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MAI-DxO </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟MAI-DxO系統診斷準確率高達85％</strong></span></p> <p>微軟發表最新研究，展示 AI 在臨床診斷的突破性進展。其開發的MAI-DxO系統，針對《新英格蘭醫學期刊》（NEJM）收錄的304個高難度病例進行測試，診斷正確率高達85%，遠勝21位美英專科醫師僅20%的表現。</p> <p>MAI-DxO結合了GPT、Llama、Claude、Gemini等模型協作，模擬虛擬醫師小組逐步問診、安排檢查並調整推論，更貼近真實臨床情境。除了準確率提升，系統也能在虛擬成本限制下，合理規畫檢查，避免過度使用醫療資源。微軟強調，MAI-DxO能根據不同場景調整診斷策略，強化可靠性與可追溯性。不過，AI診斷大規模落地仍需通過更多實證、法規和治理挑戰。<a href="https://microsoft.ai/new/the-path-to-medical-superintelligence/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="482px" width="898px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="482px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/JkIjmXEK0Yg" title="Introducing SDBench from Microsoft AI" width="898px"></iframe></div> <p> </p> <p>圖片來源／Google、曼徹斯特大學、LYC、臺北榮總、Midjourney、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://x.com/cursor_ai/status/1939702194863026504?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1939702194863026504%7Ctwgr%5Ec2926c0a493269a19ae1675485fc7429af7478b6%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fai-news-updates%2Fcursor-brings-ai-coding-agents-to-the-web-and-mobile%2F">Cursor推出手機版和網頁版開發助理</a></strong></p> <p><strong>2. Gemini正式登陸Wear OS智慧手錶</strong></p> <p><strong>3. Hugging Face聯手機器人業者，推出2款Reachy Mini桌上型機器人</strong></p> <p>資料來源：iThome整理，2025年7月</p> </div></div></div>
2025/7/10 18:48作者王若樸https://www.ithome.com.tw/news/169991
SAP修補供應商關係管理平臺重大漏洞，問題出在攻擊者能趁機以管理員身分執行OS命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二SAP發布7月份Security Patch Day例行更新，其中最值得留意的部分，是存在於供應商關係管理平臺（Supplier Relationship Management，SRM）的滿分漏洞<a href="https://nvd.nist.gov/vuln/detail/cve-2025-30012">CVE-2025-30012</a>，非常危險，IT人員應儘速處理。</p> <p>這項漏洞存在於SRM的Live Auction Cockpit工具，起因是此工具搭配已經棄用的Java Applet元件，未通過身分驗證的攻擊者可以使用特定的格式編碼，來發送惡意酬載請求。</p> <p>一旦伺服器端程式（Servlet）收到請求並解碼，就會造成資料的反序列化，從而讓攻擊者以SAP管理員執行任意的作業系統命令，嚴重影響應用程式的機密性、完整性、可用性。</p> <p>本次SAP<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/july-2025.html">一共修補27個漏洞</a>，其中有6個評為重大層級，另一個接近滿分的程式碼注入漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42967">CVE-2025-42967</a>也相當危險，此漏洞影響ERP系統S/4HANA、供應鏈管理平臺（Supply Chain Management，SCM），存在於這些產品的Characteristic Propagation功能，屬於遠端程式碼執行（RCE）漏洞。具備一般使用者權限的攻擊者能以自己的程式碼產生新報告，從而完全控制存在漏洞的SAP系統，CVSS風險評為9.9分。</p> </div></div></div>
2025/7/10 16:07作者周峻佑https://www.ithome.com.tw/news/169978
Hugging Face開放開發人員訂購機器人套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/blog/reachy-mini" target="_blank">Hugging Face周三（7/9）正式開放全球開發人員購買Reachy Mini機器人套件</a>，它的高度為28公分，寬是23公分，重約1.5公斤，有線版本的Reachy Mini Lite售價299美元，無線的Reachy Mini則是449美元。<a href="https://x.com/Thom_Wolf/status/1942962740156326272" target="_blank">Hugging Face共同創辦人Thomas Wolf說</a>，開放預購的5小時後，便已收到超過13萬歐元的訂單。</p> <p>Reachy Mini是Hugging Face與<a href="https://www.pollen-robotics.com/" target="_blank">法國機器人新創Pollen Robotics</a>共同開發的開源機器人產品，由Pollen Robotics負責硬體及開源機器人平臺，並由Hugging Face提供AI模型、Hub整合與社群資源。</p> <p><a href="https://x.com/Thom_Wolf/status/1942912790638862456" target="_blank">Wolf說明</a>，28公分高的Reachy Mini可以轉動頭部或是身體，也具備視覺、聲音，定向語音能力；開發人員可以輕鬆地修改、撰寫或分享新的機器人行為，不管是不是由AI所驅動，皆能透過Hugging Face Hub與整個開源社群共享。</p> <p>Wolf亦強調，Reachy Mini是專為AI開發人員所設計的，可用來進行人機互動、撰寫具創意的程式碼，進行AI教學與實驗，甚至可以用來開發真實世界的機器人互動應用。</p> <p>現階段Reachy Mini已內建15種機器人行為，包括可控制頭部及身體的轉動，也能搭配天線動作來呈現表情與情緒；用螢幕取代的眼睛還會閃動；能夠偵測眼前的物體並追蹤移動；以及可偵測聲音與動作而觸發反應等。</p> <p>Hugging Face說，Reachy Mini適合各種年齡層的AI開發人員，不管他們真的是AI開發者、駭客、研究人員、教師或只是機器人愛好者，都能利用Reachy Mini來開發最新的AI模型，或是開發、測試及部署AI應用程式。</p> <p>精簡版的Reachy Mini Lite不支援Wi-Fi，也沒有內建電池，亦無配備加速計，目前相容於Mac與Linux，很快就會支援Windows，售價為299美元，運費與稅金另計，預計在今年夏末出貨。</p> <p>至於完整版的Reachy Mini支援Wi-Fi，內建電池，也能連線充電，配備了加速計，支援Raspberry Pi 5，售價為449美元，預計於2025年秋天到2026年分批出貨。</p> </div></div></div>
2025/7/10 16:37作者陳曉莉https://www.ithome.com.tw/news/169983
AWS揭露用生成式AI幫助資安的5種場景，不只程式碼修補、API安全測試，還有日誌分析速度快50倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何善用生成式Ai幫助資安防禦，是所有企業、資安廠商與資服業者，都在努力發展的重要課題，過去已有國內外業者分享這方面的實務經驗，例如奧義智慧、趨勢科技、Google等，近期AWS於美國費城舉辦年度資安會議re:Inforce 2025，該公司也揭露其內部實際應用生成式AI協助資安工作的實際經驗。</p> <p>今年大會有多位AWS高層主管說明應用成果與觀察，我們整理出5大類型，涵蓋：程式碼修補自動化、自動化API安全測試、雲端回應團隊分析與應變加速，以及MadPot產品分析與誘捕能力的強化，甚至還有威脅建模的應用，讓大家了解更多應用實例。</p> <h3><strong>應用1：程式碼修補自動化，生成式AI加速資安左移</strong></h3> <p>如何用生成式AI來幫助資安工作？AWS應用科學經理George Argyro在re:Inforce 2025公布AWS有兩項重要進展。</p> <p>首先，是程式碼修補自動化。George Argyros表示，早前AWS利用自家Amazon Q Developer的程式碼轉換能力，成功將公司內部所有Java應用系統從Java 11升級到Java 18。後續，他們也運用類似的流程，進一步解決開發過程所面對的資安問題。</p> <p>他解釋，AWS是以內部版本的Amazon Q Developer進行資安最佳實踐，協助工程師更快速解決個別的問題，同時也確保開發團隊持續採用安全的程式庫與設計模式，進而提升系統的資安水準。George Argyros指出，這代表AWS已將資安融入日常開發流程，而不是等到開發完成後才處理資安問題，進而實踐「資安左移（Shift Security Left）」的概念。</p> <p>例如，當開發人員提交Pull Request時，系統會自動進行資安檢查，若發現風險，就會自動產生程式碼審查建議與修補方案。其運作方式有兩種，一種是在程式碼提交請求期間識別到資安問題時自動觸發，一種是開發者也能使用命令列介面（CLI）手動啟動檢查。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>為了讓大家更清楚其應用效果，George Argyros也展示這方面流程，例如，在自動識別出資安問題時，AWS開發者只要點開介面上提供的連結，就能看到詳細的風險說明、建議修改，同時，工具還會提供程式碼前後的比對畫面，讓開發者能直接檢視與修補版本。而且，這些動作都是在主程式碼庫之外進行，因此現有程式碼仍未被變動、仍未修補。若開發者確認修補無誤，之後就可以一鍵合併修改，並推送至主分支，進入測試與部署流程。</p> <p>不過，這一切的前提是要兼顧效能與準確性，George Argyros強調，雖然自動化可顯著提升修補效率，但若修補不正確，反而會浪費工程資源，因此，他們還設計一套安全機制，運用AI代理（AI Agents）對生成的修補程式進行測試，能根據執行結果自動修正錯誤，並評估修補的正確性。</p> <p>George Argyro強調，這只是開始，未來AWS將持續深化自動化資安修補的能力，讓每位開發者都能更安心地寫出安全的程式碼。</p> <h3><strong>應用2：擴展安全審查，強化自動化API安全測試</strong></h3> <p>另一項George Argyros提到用生成式AI幫助資安的關鍵應用，是擴展安全審查的規模與效率。</p> <p>George Argyros表示，資安是AWS的首要任務，因此所有新功能與服務都必須經過應用程式安全審查，以確保符合我們的高安全標準。然而，這類審查往往非常耗時與耗人力，也需要根據風險進行優先排序。此外，開發人員也經常會遇到資安相關問題，需要額外向資安團隊諮詢，進而影響開發時程。</p> <p>為此，AWS做了兩件事，首先，打造開發階段的即時專家：AWS Security Companion。</p> <p>AWS打造一個以資安為核心的生成式AI聊天機器人，這個AI助理能在開發階段即時提供專業建議，協助開發者在早期就解決潛在的安全問題。其背後的大型語言模型（LLM）具備自主代理（Agentic）的能力，能提供精準的技術指導、回答複雜問題，從而顯著加快開發進度，讓工程師能專注於處理更複雜、不易自動化處理的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>其次，建立代理式工作流程，大幅改進自動化API安全測試。</p> <p>George Argyros進一步說明，AWS內部系統建立於API基礎之上，因此需要進行完整且詳細的API安全測試。但在傳統作法上，人員需撰寫涵蓋各種情境的測試案例，這是一項繁重且費時的任務。開發者需要耗費大量時間查閱文件、建立測試上下文並設定參數。想像這樣的流程需重複上百次或上千次，效率相當低。</p> <p>為此，AWS引入了代理式工作流程，這套系統能自動讀取API文件與結構資訊，建立對應的測試案例，並不斷優化直到成功執行。LLM 甚至能辨識測試所需的外部資源，大幅加快整個測試週期。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>George Argyros指出，目前這套系統已能自動為絕大多數的AWS服務API建立安全測試，而且其技術仍在持續進化，不僅能生成呼叫API所需的上下文與參數，也更能判斷每個API測試結果是否符合預期。</p> <p>甚至，這種方法帶來了意想不到的附加價值：提升AWS官方文件的品質。George Argyros進一步解釋，這是因為，當AI代理分析AWS文件並建立測試過程時，若發現文件內容存在模糊、矛盾或錯誤之處，它會標記這些問題。這不僅讓 AWS 得以產出更完整的資安測試，更有助於修正文件，這等於也幫助仰賴這些文件進行開發的數萬名工程師。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖4）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><strong>應用3：加數雲端回應團隊能力，日誌分析速度比以往快50倍</strong></h3> <p>在今年re:Inforce 2025現場，我們還看到AWS揭露更多不同應用場景，也都是用生成式AI幫助資安。</p> <p>例如，AWS副總裁暨資安長Amy Herzog在主題演說曾提到，在導入生成式AI後，AWS的雲端回應團隊（cloud response team）也迎來變革，如今，AWS已將處理複雜問題的平均解決時間（MTTR）縮短了40%以上。</p> <p>有那些具體作為？Amy Herzog提到，AWS建立一項能大規模搜尋過往案例的系統，提供分析問題模式的能力，幫助從宏觀角度找出最具效益的切入點。</p> <p>同時，為了避免人員可能過度依賴AI輔助，AWS開發了「漂移檢測系統」（Drift detection systems），可在分析問題處理過程，針對回應或文件記錄的重點環節，增加標記與警示。</p> <p>此外，過去資安日誌分析相當耗時，以AWS團隊而言，每次平均分析時間長達9個半小時，如今建立新的AI驅動日誌分析系統，可以自動處理多個來源日誌。她並強調，這項變革影響相當巨大，日誌分析能力提升了50倍，讓初始分析時間從數小時大幅縮短至數分鐘，幫助資安工程師快速且簡單地展開調查工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h3><strong>應用4：強化AWS部署於全球的MadPot，提升誘捕與分析能力</strong></h3> <p>AWS不僅將生成式AI應用於資安回應團隊，還有其他部門也積極導入這項技術。例如，當我們採訪AWS副總裁暨資深技術專家Tom Scholl時，他也提到用生成式AI來強化其全球威脅情報系統MadPot。</p> <p>簡單來說，MadPot運作在AWS已久，此蜜罐系統可捕捉惡意攻擊者的誘餌，進而收集大量的威脅情報數據進行關聯與分析。</p> <p>Tom Scholl指出，他們將生成式AI來幫助蜜罐系統MadPot，主要有兩個面向，一是用生成式AI處理MadPot收集到的海量數據，更好地分類和識別針對已知CVE漏洞的掃描行為。</p> <p>如果掃描活動不屬於已知的CVE，系統會將其標記並提升優先級，以進行更深入的研究。他認為，這項能力可過濾掉大量的冗餘數據，使威脅情報更易於管理和分析。</p> <p>另一面向是用生成式AI提升蜜罐的欺敵能力，使其不那麼容易被威脅行為者識別為蜜罐，像是系統可以幫助建立不同的面貌或角色，以更有效地誘引威脅行為者。</p> <h3><strong>應用5：將生成式AI應用於威脅建模</strong></h3> <p>最後一項應用，是關於<a href="http://aws.amazon.com/tw/blogs/machine-learning/accelerate-threat-modeling-with-generative-ai/">用生成式AI幫助威脅建模，而且，在re:Inforce 2025大會期間發布的部落格揭露</a>的資訊。</p> <p>AWS指出，大家都知道威脅建模的重要，但在軟體開發行業中，仍未被充分利用，主要挑戰是時間要求、評估不一致與擴展限制。</p> <p>如今有了生成式AI，使得威脅評估比傳統手動方法更快。原因是，隨著自然語言處理與視覺分析的結合，可以同時評估系統架構、圖表和文件，進而從MITRE ATT&CK、OWASP等廣泛的安全資料庫中提取資訊，可以快速識別複雜系統中的潛在弱點。</p> <p>以AWS自身為例，他們發展出Threat Designer解決方案，就是使用Amazon Bedrock提供的企業級基礎模型，透過使用Anthropic的Claude Sonnet 3.7的多模態功能，進而大規模建立全面的威脅評估。</p> </div></div></div>
2025/7/10 09:41作者羅正漢https://www.ithome.com.tw/news/169968
X執行長Linda Yaccarino辭職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年5月、馬斯克（Elon Musk）買下Twitter（之後更名為X）平臺之後，所延攬的第一任執行長<a href="https://x.com/lindayaX/status/1942957094811951197" target="_blank">Linda Yaccarino周三（7/9）宣布</a>將辭去X的執行長一職，<a href="https://x.com/elonmusk/status/1942967206993961124" target="_blank">馬斯克則回應</a>以感謝她的貢獻。Yaccarino並未公布離職的原因，或許是因<a href="https://www.ithome.com.tw/news/168140" target="_blank">X已被xAI收購</a>，還是xAI的Grok聊天機器人又在本周二（7/8）回應出反猶太人的言論。</p> <p>在加入X之前，Yaccarino曾擔任NBCUniversal廣告業務及客戶合作主管，也曾執掌過有線電視娛樂與數位廣告業務，顯然Musk希望她能提振被自己搞垮的X廣告業務，不過，Yaccarino雖然成功保持了X身為美國主要社交程式的地位，但其廣告業務依然面臨挑戰。</p> <p>Yaccarino說，當馬斯克第一次談起他對X的願景時，她就知道這是她一生中難得的機會，得以肩負這家公司的非凡使命，感謝他賦予自己保護言論自由、扭轉公司頹勢，並將X轉型為「Everything App」的重任；如今，隨著X與xAI開啟新的篇章，美好的未來仍在前方。</p> <p>xAI在2023年底開始將Grok聊天機器人整合到X平臺上，供付費訂閱的X Premium Plus用戶使用。使用者可以呼叫Grok並詢問任何問題，而Grok也能即時存取X上的貼文、趨勢或熱門問題，來快速回應與時事或新聞相關的提問。</p> <p>相較於其它聊天機器人，Grok標榜個性化與幽默感，具備機智與叛逆的個性，但也曾惹出一些風波，例如今年初曾被發現於Grok 3的系統提示中，植入忽略Elon Musk/Donald Trump傳播錯誤信息之來源的指令；<a href="https://www.ithome.com.tw/news/169005" target="_blank">5月當機似地</a>回答「南非白人種族滅絕爭議」；7月因發布對土耳其總統及其家人的粗俗言論而直接被土耳其封鎖；這兩天Grok則開始出現讚揚希特勒及反猶太人的各種言論，並跳針似地在涉及猶太人的姓氏加上「every damn time」。</p> <p><a href="https://x.com/grok/status/1942720721026699451" target="_blank">Grok團隊除了努力刪除由自己引起的言論之外</a>，還說xAI已採取行動，在Grok於X發布貼文之前禁止仇恨言論。</p> <p>外界則期望<a href="https://x.com/elonmusk/status/1942325820170907915" target="_blank">即將於本周釋出的Grok 4</a>能有更好的表現。目前馬斯克尚未公布繼任的X執行長人選。</p> </div></div></div>
2025/7/10 14:29作者陳曉莉https://www.ithome.com.tw/news/169974
中華電信憑證撤信事件，立委葛如鈞質疑近半數部會仍使用中華電信憑證恐造成信任危機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信TLS憑證遭Google宣布Crome將移除對中華電信8月後核發新憑證的信任，立委葛如鈞今天(7/10)質疑，政府部會仍有近半的部會使用中華電信的憑證，恐導致民眾無法如常瀏覽網站，造成信任危機。</p> <p><a href="https://www.facebook.com/Dr.JuChunKO/?locale=zh_TW" target="_blank">葛如鈞表示</a>，今年5月30日，Google及Mozilla宣布從8月起撤銷對中華電信TLS憑證的信任，不僅Chrome瀏覽器，Firefox更溯及至4月15日不信任，屆時民眾進入這些使用被撤銷憑證的網站，將看到「不安全」警示訊息，詐騙、釣魚網站更可能趁虛而入，幾乎政府網站都會受到影響。</p> <p>儘管數發部宣稱已提前在3月掌握訊息並「超前部署」，對政府網站已啟動雙憑證機制，且中華電信強調為其內部憑證管理上的疏失，並非憑證本身出現安全漏洞。</p> <p>葛如鈞指出，事實並非如此，仍有不少部會，包括數發部本身仍使用中華電信的憑證，並且發現政府部會並沒有設定自動切換雙憑證，實地測試，一旦憑證失效，這些政府網站並沒有直接切換至TWCA的憑證，其中交通部、農業部的憑證更在4月15日之後發出，直接受到Firefox新措施的影響，未來民眾點入兩部會網站將出現警嘆號、不安全的警示訊息，中華電信及數發部如何保證民眾不受影響？Google全球資安團隊所提出的問題，「怎麼會不是資安問題呢？」。</p> <p>葛如鈞並指出，現有的31個政府部會，仍有14個使用中華電信的憑證，比例約45.1%，如果扣除使用國外憑證，則比例高達50%，當政府機關網站被標示具有安全疑慮，民眾不敢進入數發部、交通部等部會網站，可能成為資安、詐騙的大破口，直言此一資安政策，如何談及國安。</p> <p>他認為，這起事件不僅影響政府機關，也外溢至民間產業，目前已收到電商業者陳情，擔心消費者進入電商網站跳出安全疑慮訊息，導致信任危機、訂單流失，造成商譽受損。更換憑證需要時間及成本，還有技術支援，數發部不應將責任向外推。</p> <p>葛如鈞要求3點，首先是數發部作為主管機關，應全面清查行政院所屬三級以上政府機關網站，確保全面建置且具自動切換的雙憑證機制；其次是，修改電子簽章法以納入伺服器憑證規範，強化法制，明確化監管；最後是協助民間，數發部檢討憑證管理的問題及資安原因，並督促中華電信提出補救方案，協助受影響業者渡過事件。</p> <p><span style="color:#B22222;"><strong>中華電信：已協助99.9%政府機關處理網站憑證問題</strong></span></p> <p>中華電信今天第一時間對外說明，中華電信董事長簡志誠親自對外說明，他表示，中華電信發的憑證是持續有效，不會在7月31日之後失效，其次是憑證為合法身分證，該起事件並沒有涉及資安，甚至是國家安全。對於Mozilla，Mozilla要求全球根憑證如果是早期發行的憑證，必需在2025年4月15日更新，中華電信已配合更新，甚至已提前更新，現在仍可以發Mozilla的憑證，並沒有被取消，並非Mozilla針對中華電信單一業者的政策要求。</p> <p>面對立委質疑Chrome此次撤信措施，對政府機關網站可能引發的安全疑慮，簡志誠指出，針對1.1萬多個政府網站憑證，已重新發給憑證且憑證持續有效，目前已處理的機關網站已達到99.9%，僅剩7個網站在申請中。</p> <p>對於立委展示網站使用中華電信憑證被移除後無法正常瀏覽的問題，簡志誠強調，中華電信目前的憑證持續有效，該展示直接將網站使用的有效憑證刪除，當然無法正常瀏覽網站是正常的，「這是個奇怪的展示」，簡志誠並指出，在數發部的支持下，現在已協助超過9成政府機關網站處理好問題，其中包括交通部、農業部網站，甚至數發部已啟動雙憑證機制。</p> <p>他也強調，中華電信目前核發的憑證持續有效，並非過了7月31日之後憑證失效，對於立委的質疑，可能混淆視聽造成外界的疑慮。對於使用中華電信憑證的網站啟動雙憑證機制，以兩張憑證建立備援，並且自動切換，不會有一張憑證無法使用，就造成網站無法正常瀏覽的問題。</p> <p>簡志誠也特別澄清，全球網站憑證核發共有67家，國內為中華電信及台網2家，網站憑證核發為商業機制，沒有涉及政府相關單位，台灣約有39.6萬個網站，中華電信僅發出2千多張商業憑證，中華電信已逐一與商業網站客戶聯絡並提供協助，目前已協助9成的客戶處理問題，更新憑證或協助客戶移轉到其他業者的憑證，目前剩餘的1成為申請憑證中。</p> <p>簡志誠認為，網站使用的憑證持續有效，沒有失效或是不信任的問題，無關民眾對政府信任與否，甚至是更大的國安議題。</p> </div></div></div>
2025/7/10 14:44作者蘇文彬https://www.ithome.com.tw/news/169975
三星發表要價2,000美元的超薄摺疊手機Galaxy Z Fold7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星電子（Samsung Electronics）本周三（7/9）<a href="https://news.samsung.com/global/samsung-galaxy-z-fold7-raising-the-bar-for-smartphones" target="_blank">發表了該公司的旗艦款折疊機Galaxy Z Fold7</a>，它的封面螢幕為6.3吋，展開後的內部螢幕為7.6吋，不過，折疊後的Z Fold7厚度只有8.9mm，重量也只有215公克，感覺上宛如一般手機。不過，Z Fold7依舊維持高價位，即日起開放預購的512GB優惠價為1999.99美元（62,900元新臺幣），預計於7月25日上市。</p> <p>相較之下，iPhone 16 Pro Max的厚度為8.25mm，重量為227公克。此外，Z Fold7展開時的厚度僅有4.2mm。</p> <p>Z Fold7搭載Snapdragon 8 Elite處理器，NPU效能提升41%，CPU提升38%，GPU提升26%，足以處理更多的AI體驗；配備2億畫素的廣角鏡頭，1000萬畫素的100度超廣角鏡頭，還有Night Video夜間拍片功能；電池容量為4272mAh。</p> <p>此外，它採用基於Android 16的One UI 8使用者介面，強調可結合大螢幕的多工處理及各種AI工具，支援Gemini Live與Circle to Search。</p> <p><a href="https://blog.google/products/android/galaxy-unpacked-2025-android-updates/" target="_blank">根據Google的說明</a>，長按Z Fold7的電源鍵就能將螢幕分享給Gemini，以展開各種任務，同時手機上內建的行事曆、提醒事項及備忘錄等三星程式也已可直接連結Gemini。</p> <p>同一天三星也<a href="https://news.samsung.com/global/galaxy-unpacked-2025-a-first-look-at-the-galaxy-z-flip7-refining-the-pocketable-foldable" target="_blank">發表了另一款新摺疊機Z Flip7</a>，它採用4.1吋的外螢幕與6.9吋的內螢幕，因其輕巧外型而有「粉餅機」稱號，新版折疊後的厚度僅有13.7mm；搭載三星自家的Exynos 2500處理器，5000萬畫素相機，1200萬畫素的超廣角，與1000萬畫素的前鏡頭，同樣採用One UI 8介面並支援Gemini Live。</p> <p>配備256GB儲存空間的Z Flip7售價為1,099.99美元，還有一個配備相對精簡的Z Flip7 FE粉絲版，價格則是899.99美元。</p> </div></div></div>
2025/7/10 14:52作者陳曉莉https://www.ithome.com.tw/news/169976
大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來，目的是進行網路投資詐欺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來網路投資詐騙事故頻傳，其中一種最常見的手法，就是攻擊者打著名人的名號，並透過社群網站、影音串流平臺接觸受害者，但也有駭客架設幾可亂真的假新聞網站，藉此引誘使用者上當。</p> <p>舉例來說，最近資安業者CM360揭露<a href="https://www.ctm360.com/reports/baittrap-rise-of-baiting-news-sites">橫跨全球50個國家的網路投資詐騙活動BaitTrap</a>，就是這樣的情形。駭客架設超過1.7萬個誘餌新聞網站（Baiting News Sites），這些網站偽裝成CNN、BBC、CNBC、News24、ABC News等受到信任的新聞媒體，發布捏造的消息，並利用知名公眾人物，以及國有銀行、中央銀行、商業銀行等金融機構來建立信任，假借中央銀行總裁、國家領導人，或是公眾人物的名義，宣稱意外發現透過加密貨幣致富秘密方法，藉此誘騙使用者掉入投資詐騙的陷阱。</p> <p>除此之外，歹徒還會透過Google、Meta等廣告平臺來推播誘餌新聞網站，並使用引人注意的標題，例如：「你不會相信央行總裁剛揭露的在家賺錢方式」，並搭配官方照片或是國家標誌來增加可信度。這類廣告也經常刊登公眾人物的照片，並搭配新聞報導型式的假標題，塑造看起來合法的假象。</p> <p>值得留意的是，這些誘餌新聞網站往往會針對攻擊目標量身打造，使用當地語言、當地民眾熟悉的品牌、金融機構，以及公眾人物，來增加詐騙成功的機會。這類網站在中東地區最氾濫，有超過一萬個；其次是亞太地區，約3,400個，但也有針對大洋洲、歐洲、美洲、非洲的誘餌新聞網站。</p> <p>一旦使用者點選假新聞提供的連結，就會被重新導向到詐騙平臺，這些平臺聲稱使用者能輕鬆獲利並得到高額報酬，並要求他們輸入個人資訊進行註冊。</p> <p>在註冊完成後，受害者就會接到「投資專家」的電話，引導他們執行後續步驟，通常是指示如何啟動交易帳戶，過程中也會假借驗證用戶身分及準備開戶為由，要求受害者提供詳細個資。附帶一提的是，為了開戶，對方也會要求上傳身分證明文件，如身分證、護照，然後要求透過加密貨幣錢包、信用卡、Google Play禮物卡存入資金。</p> <p>為引誘受害者投入更多資金，歹徒提供的「投資平臺」會顯示捏造的收益，讓他們以為賺得高額報酬，然而當受害者試圖將投資報酬兌現，該平臺就會以系統錯誤、需通過額外驗證等理由拖延，並宣稱受害者必須支付解鎖費用，或是達到新的門檻才能發放。</p> <p>附帶一提的是，歹徒通常使用免費或低成本的網域架設誘餌新聞網站，但也有入侵合法網域名稱來代管假新聞網頁的情況，使得資安業者與執法單位想要識別及清除相關網站及網頁，變得更具挑戰。</p> </div></div></div>
2025/7/10 13:15作者周峻佑https://www.ithome.com.tw/news/169973
Adobe發布7月例行更新，呼籲IT人員優先修補AEM Forms、ColdFusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日Adobe針對旗下13款應用程式發布更新，總共修補58項資安漏洞，其中最值得留意的是，該公司呼籲IT應優先處理<a href="https://helpx.adobe.com/security/products/aem-forms/apsb25-67.html">電子表單平臺Adobe Experience Manager Forms（AEM Forms）</a>、<a href="https://helpx.adobe.com/security/products/coldfusion/apsb25-69.html">應用程式開發平臺ColdFusion</a>。</p> <p>本次公布最嚴重的漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-49533">CVE-2025-49533</a>，出現在AEM Forms，為不受信任資料反序列化造成的弱點，攻擊者若是利用，就有機會執行任意程式碼，此漏洞影響6.5.23.0版的AEM Forms，CVSS風險達到9.8分（滿分10分），Adobe推出6.5.0.0.20250527.0版予以修補，他們強調，利用漏洞的過程完全無須使用者互動。</p> <p>另一個必須優先修補的應用程式ColdFusion，存在6項重大層級的資安漏洞，其中最危險的是風險值超過9分的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-49535">CVE-2025-49535</a>，這項漏洞涉及XML外部實體參照（XXE）的不當限制，攻擊者可用來繞過安全機制，從而存取敏感資訊，或是造成服務中斷（DoS）過程中不需使用者互動，CVSS評分為9.3。</p> <p>還有一個非常危險的資安漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-27203">CVE-2025-27203</a>，也需要注意，此弱點出現在<a href="https://helpx.adobe.com/security/products/connect/apsb25-61.html">線上會議平臺Adobe Connect</a>，屬於未獲信任資料的反序列化處理漏洞，攻擊者可用於執行任意程式碼，CVSS風險為9.3（美國國家漏洞資料庫登記為9.6分）。</p> </div></div></div>
2025/7/10 10:43作者周峻佑https://www.ithome.com.tw/news/169970
Citrix修補VDI平臺本機權限提升資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日Citrix針對旗下的虛擬桌面平臺（Virtual Desktop Infrastructure，VDI）Citrix Virtual Apps and Desktops（CVAD）、Citrix DaaS發布資安公告，<a href="https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX694820">修補Windows版Virtual Delivery代理程式的資安漏洞CVE-2025-6759</a>，此為本機權限提升漏洞（LPE），僅取得低權限的攻擊者有機會藉此得到SYSTEM身分，4.0版CVSS風險評為7.3，影響現行版本（Current Release）與2402長期支援版（LTSR）的CVAD，2203 LTSR不受影響，該公司推出2503、2402 LTSR CU1 Update 1、2402 LTSR CU2 Update 1修補。</p> <p>這項弱點可能帶來哪些影響？<a href="http://www.rapid7.com/blog/post/cve-2025-6759-citrix-virtual-apps-and-desktops-fixed/">通報漏洞的資安業者Rapid7表示</a>，取得低權限的攻擊者能藉由複製外洩的SYSTEM處理程序，並藉由漏洞以SYSTEM權限孳生新的處理程序。</p> <p>針對漏洞發現的過程，起初Rapid7觀察到，GfxMgr.exe裡面有個SYSTEM層級的處理程序，運用了PROCESS_ALL_ACCESS權限來進行操作，而這樣的處理程序竟被外洩到CtxGfx.exe的處理程序當中。由於這種弱點是將特殊權限的處理程序內容洩露給低權限使用者擁有的處理程序，因此能在無須額外、特殊的權限，就能複製並產生新的處理程序。</p> <p>為了驗證這項漏洞，他們使用能公開取得的工具GiveMeAHand並修改，來識別並利用這項弱點，結果成功將使用者的身分變為NT AUTHORITY\SYSTEM。</p> </div></div></div>
2025/7/10 11:37作者周峻佑https://www.ithome.com.tw/news/169972
Perplexity釋出AI瀏覽器Comet、OpenAI傳聞也即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI搜尋業者<a href="https://comet.perplexity.ai/" target="_blank">Perplexity昨日正式釋出AI瀏覽器Comet</a>以挑戰Google Chrome，而媒體報導OpenAI的自有瀏覽器，也即將在幾個星期內推出。</p> <p>Comet目前支援Mac及Windows，現階段提供給Perplexity Max方案付費用戶及邀請已加入等候清單的用戶使用。但該公司計畫會提供一款內含Comet的免費版Perplexity給所有用戶，未來幾個月也會再推出支援其他平臺的Comet版本。</p> <p>Comet內建Perplexity搜尋引擎，強調速度快且提供答案。Comet另一特色是加入Comet助理。安裝Comet瀏覽器後，按下右上方圖示即可叫出Comet助理，並在側邊欄展開。Comet助理允許用戶以自然語言互動作為上網的主要介面，省去用戶在不同分頁或多個應用程式來回切換的麻煩。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-Perplexity%20browser-Comet-smart%20actions%20with%20Perplexity.png" style="width: 600px;" /></p> <p><a href="https://www.perplexity.ai/hub/blog/introducing-comet" target="_blank">根據Perplexity的示範</a>，不論是搜尋、購物比價、或對正在讀取的網頁有問題，都可以透過和Comet互動來完成。例如用戶想搜尋腳踏車資訊及比價時，可詢問Comet助理哪個網站有同樣產品但出貨較快，並且要它比較現有正在讀取的網頁產品。若是需要規畫旅遊行程，可讓Comet助理於Google地圖網頁輸入其需求，例如規畫倫敦市區的步行觀光路線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-Perplexity%20browser-Comet-2.png" style="width: 600px;" /></p> <p>Comet助理也能管理郵件。用戶輸入「找出來自同事的郵件」後，Comet就能列出同事郵件，並提供摘要。用戶還能要求它草擬回信內容，甚至讓它主動在Google行事曆上預約會議並發送邀請。</p> <p>不過要讓Comet完成無障礙的作業，必須提供它存取應用程式如Google Calendar、Gmail的權限。</p> <p>Perplexity Comet顯示新興業者挑戰Google Chrome的意圖。The Browser Company<a href="https://www.diabrowser.com/" target="_blank">推出原名Arc Search的Dia</a>、<a href="https://www.ithome.com.tw/news/169248" target="_blank">Opera今年5月公布代理式AI瀏覽器Neon</a>。<a href="https://www.ithome.com.tw/news/166176" target="_blank">去年The Information報導</a>OpenAI也考慮開發結合AI功能的瀏覽器。</p> <p><a href="https://www.reuters.com/business/media-telecom/openai-release-web-browser-challenge-google-chrome-2025-07-09/" target="_blank">路透社本周引述3名消息人士報導</a>，OpenAI的瀏覽器即將在未來幾周內問世。不過OpenAI拒絕評論本消息。</p> <p><a href="https://www.demandsage.com/chatgpt-statistics/" target="_blank">根據市調公司估計</a>，到今年7月，OpenAI ChatGPT每周平均經常用戶數達8億，平均每日經常用戶數達1.2億。若這些用戶都改投向OpenAI，將嚴重侵蝕Chrome現今瀏覽器超過六成的市占。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／</span><span style="color: rgb(105, 105, 105); font-size: 14px;">Perple</span><span style="color: rgb(105, 105, 105); font-size: 14px;">xity</span></p> </div></div></div>
2025/7/10 10:40作者林妍溱https://www.ithome.com.tw/news/169969
Fortinet修補網頁應用程式防火牆重大SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://fortiguard.fortinet.com/psirt/FG-IR-25-151" target="_blank">Fortinet本周釋出安全公告</a>，修補網頁應用防火牆（Web Application Firewall，WAF）產品的重大風險漏洞，若不處理可能導致SQL程式碼注入（SQL Injection）攻擊。</p> <p>本漏洞編號CVE-2025-25257，為對SQL指令中特殊元件的不當中和（improper neutralization），即未對輸入的特殊字符進行適當處理，導致這些字符被SQL引擎誤判為SQL指令，形成SQL 注入（SQL Injection）。本漏洞可讓未經授權的攻擊者可經由傳送HTTP或HTTPS呼叫，執行SQL程式碼或指令。CVSS風險值達9.6。</p> <p>最新漏洞是由GMO Cybersecurity 研究人員Kentaro Kawane於7月通報，影響FortiWeb 7.0、7.2、7.4到7.6。Fortinet已經釋出更新。</p> <p>若用戶未能及時安裝新版軟體，應關閉HTTP/HTTPS管理員介面防堵SQL指令執行。</p> </div></div></div>
2025/7/10 11:18作者林妍溱https://www.ithome.com.tw/news/169971
Kia車載系統漏洞，讓攻擊者利用PNG圖檔注入程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hardwear.io/usa-2025/presentation/hardware-hacking-a-cars-head-unit-and-uncovering-a-vulnerable-rtos.pdf" target="_blank">研究人員發現Kia車載資訊娛樂系統存在漏洞</a>，能讓攻擊者以PNG圖檔在其作業系統注入惡意程式。</p> <p>厄瓜多安全研究人員<a href="https://www.linkedin.com/posts/vultara_automotive-reverseengineering-infosec-activity-7337972325247524864-S2Tl/" target="_blank">Danilo Erazo在今年稍早Hardware.io 2025資安大會上公布</a>，在厄國銷售的Kia車載裝置即時作業系統（Real-Time OS, RTOS）的安全性問題研究。其中問題之一是Kia RTOS韌體可能被植入惡意UI元素（如釣魚攻擊用的QR code），也欠缺對PNG檔進行數位簽章驗證。這可結合數年前的<a href="https://nvd.nist.gov/vuln/detail/CVE-2020-8539" target="_blank">CVE-2020-8539</a>舊漏洞，可讓攻擊者執行micomd精靈程式來注入未授權指令，觸發不預期的功能，或生成CAN封包（CAN frame）、並將這些封包傳送到車輛的M-CAN匯流排（Multimedia CAN bus）。CAN匯流排是車輛內部控制訊號的傳輸系統，這意味著攻擊者有可能干擾或操控車輛的某些電子系統。一旦Kia車機系統被以USB、藍牙或無線更新了內含惡意PNG的韌體，就可能產生上述行為。</p> <p><span style="color:#B22222;"><strong>其他漏洞</strong></span></p> <p>這位研究人員在厄瓜多Kia汽車還揭露其他漏洞。包括Bootloader驗證不足；它僅使用1-byte循環冗餘檢測（CRC）確保韌體安全，因此被竄改的韌體還能通過檢查，還能正常啟動而不會有任何警告。另一項漏洞是RSA私鑰寫在韌體中，以及藍牙配對PIN以明碼出現在URAT logs，可能導致被攻擊者得以冒用身分、簽發惡意韌體及解密敏感資料。</p> <p>另外，Kia RTOS韌體還使用過期及有問題的函式庫（MatrixSSL 3.7.1及libpng 1.2.29）可能讓攻擊者輸入惡意指令執行程式碼。最後，系統目前缺乏官方更新和修補機制，因此有漏洞的車載系統無法透過Kia官方更新機制修補，而使車子永遠曝險。</p> <p>問題系統包括MOTREX MTXNC10AB系統，受影響的車子包含出貨到南美、中國和非洲的Kia Soluto/Pegas、Picanto等車款。</p> <p>該研究人員也在六月公布<a href="https://cybersecuritynews.com/kia-ecuador-keyless-entry-systems/" target="_blank">Kia另一項漏洞CVE-2025-6029</a>。原因出在Kia在中南美銷售的無鑰匙啟動系統（Keyless Entry Systems）的晶片採用了過時的學習代碼技術，而不是行業標準的滾動代碼（rolling code）系統，使車輛容易受到重放攻擊和信號克隆（signal cloning）。這使得車子可能遭到第三方人士截取合法遙控鑰匙的無線信號解鎖汽車。</p> <p>這項漏洞影響車種包括2022年到2025年在厄瓜多銷售的Kia汽車，包括Soluto、Río和Picanto等車款。Kia表示正在製作修補程式。</p> </div></div></div>
2025/7/10 08:32作者林妍溱https://www.ithome.com.tw/news/169967
臺灣生技業者推新藥開發AI Foundry平臺，已有3大落地實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到Nvidia AI Foundry啟發、提供自助式用平臺資源讓使用者開發AI應用，訊聯基因數位將這個概念帶入生技領域，將自己10多年來運用AI輔助藥物開發的成功經驗，打包為對外服務，推出名為AIDD的新藥開發AI Foundry平臺，並在今日（7/9）揭露3項落地實例，包括北醫大團隊用來打造AI新藥研發平臺，快速開發新穎小分子抑制劑，成功開發腦癌、胰臟癌新藥進入臨床前試驗；再來是基龍米克斯與藥廠的腫瘤新生抗原藥物開發，以及訊聯自己的抗灰髮胜肽設計。</p> <p><span style="font-size:22px;"><strong>15年累積AI輔助藥物開發經驗</strong></span></p> <p>訊聯基因數位執行長暨訊聯生物科技董事長蔡政憲指出，早在15年前，旗下團隊就開始運用AI協助新藥開發。當時，他們有個團隊專門做材料、化合物和藥物等分子模擬運算，後來AI興起，他們也納入更多AI功能到模擬運算中。</p> <p>直到COVID-19疫情間，各界對疫苗和藥物開發需求迫切，訊聯AI團隊迎來一波快速進展。他們先是在疫情間練就遠端研發能力，快速調整研發方向、爬梳並建立COVID-19相關蛋白質資料庫，來進行新藥研發。根據官網說明，他們後來在24小時內完成中草藥成分、大量比對近3萬人體與COVID-19蛋白質標，並協助解釋、優化療效，最後在5個月內研發出清冠一號（NRICM101），成為COVID-19另一解方。</p> <p><span style="font-size:22px;"><strong>推出新藥開發AI Foundry平臺服務</strong></span></p> <p>蔡政憲表示，他們後來受到Nvidia推出AI Foundry的啟發、能讓使用者透過雲端運算和AI資源來打造自己的AI應用，訊聯基因數位運用這個概念，將過去的成功經驗，轉換為一套新藥研發的AI Foundry平臺AIDD，來供業界使用。</p> <p>這套平臺主打2大功能，包括大分子藥物設計和小分子藥物設計，並整合了業界成熟的商用新藥研發系統，比如達梭生命科學平臺、凱杰生物科技軟體等，來提供AI模擬運算功能。訊聯基因數位分子數位中心銷售暨客戶關係部協理陳冠文說明，整合商用軟體是因其已有成熟的AI透明度和治理機制，可合規使用。他也補充，目前新藥研發平臺主要涵蓋新藥開發的研發階段，可提供工具讓業者使用自己的資料，來訓練AI模型，要是業者想用開源模型來研發，訊聯團隊也會提供服務。</p> <p><span style="font-size:22px;"><strong>實例1：膠質母細胞瘤藥物研發</strong></span></p> <p>訊聯今日也揭露3項使用AIDD平臺落地的實例，首先是協助北醫大醫學科技學院教授許凱程團隊開發智慧型藥物研發平臺。蔡政憲先解釋，常見的AI輔助藥物開發，並非真正的從無到有生成一款新藥，而是對原本已開發一段時間的藥物，運用AI來探索藥物作用機轉、其重要成分，或是根據這些知識，運用AI回調。而北醫大團隊的做法，則是運用AI進行藥效、合成難易度、藥物動力學等多種參數優化，更大程度運用AI輔助新藥研發。</p> <p>陳冠文舉例，北醫大團隊鎖定腦部惡性腫瘤的膠質母細胞瘤（GBM），要找出合適的治療藥物。這種藥物開發不只要提升藥效，也要優化穿越血腦障蔽（BBB）的能力，才能讓藥物進入腦部、發揮效用。因此，他們透過AIDD預測藥物穿過BBB的能力，成功將藥效從原本的1041 nM提高百倍至10.4 nM，且在動物實驗中，腫瘤確實縮小了。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20203954.png" /></p> <p>北醫大團隊也因此研發20款具新穎性的小分子藥物，範圍包括膠質母細胞瘤、胰臟癌、阿茲海默症、肺纖維化等疾病新藥。許凱程指出，平均臨床前新藥開發時長超過5年，且失敗率高，但透過AI驅動新藥研發應用，大幅縮短開發時間、降低成本，降低藥廠在早期新藥研發的負擔和風險。</p> <p>許凱程團隊打造的AI-化學合成-生物實驗驗證平臺，還可以縮短早期新藥開發時間，從傳統的2到3年縮短為1至5個月，還能壓低藥物合成成本超過九成。目前平臺已研發出數百個實驗驗證有效的新穎抑制劑，其中近30項進入後續細胞、動物、人體類器官等研發階段。</p> <p><span style="font-size:22px;"><strong>實例2：個人化癌症治療</strong></span></p> <p>另一個例子是老牌基因定序業者基龍米克斯（簡稱基米）採用AIDD，來預測新生抗原表位（Neoepitope），加速個人化癌症免疫療法的研發。</p> <p>一般來說，免疫治療是癌症治療中，討論度最高的療法，腫瘤新生抗原（Neoantigens）療法便是其一。該療法先透過NGS次世代基因定序，再用AI模擬演算，找出癌細胞特有的腫瘤新生抗原，來激發患者免疫系統、精準攻擊癌細胞，避免誤傷正常細胞。</p> <p>其中，新生抗原（Neoantigens）是指由腫瘤細胞基因突變產生的全新蛋白質片段，片段中包含多個新生抗原表位（Neoepitope）。然而，癌細胞可能表現出數百萬到數十億種不同的Neoepitope組合，於是基龍米克斯用AI預測這些抗原，從中快速找出可能性最高的幾組，再透過實驗室合成這些胜肽，來測試免疫細胞是否辨識這些癌細胞，進而加速個人化癌症免疫療法的開發。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20204013.png" /></p> <p><span style="font-size:22px;"><strong>實例3：抗灰髮胜肽設計</strong></span></p> <p>另一個例子是訊聯集團旗下訊聯細胞智藥公司開發的抗灰髮胜肽設計。他們先透過AIDD，成功從龐大的組合數中（20的13次方）找出18條候選胜肽，且是自然界中不存在的胜肽。他們發現，其中4條胜肽明顯促進黑色素合成，於是，他們保留特定區域進行第二輪AI設計，發現更多具有促進黑色素合成能力的候選胜肽。</p> <p>不過，這項抗灰髮胜肽設計還在進行更多實驗中，產品成型後會另再揭露。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20204021.png" /></p> <p></p> </div></div></div>
2025/7/9 20:49作者王若樸https://www.ithome.com.tw/news/169966
【資安日報】7月9日，微軟發布本月例行更新、修補130個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布今年第7次的每月例行更新（Patch Tuesday），雖然這次修補的漏洞數量相當多，但未提到這些漏洞出現用於實際攻擊行動的情況，僅有一個是在微軟修補前遭到公開的SQL Server弱點。漏洞懸賞專案Zero Day Initiative（ZDI）推測，微軟這次修補的漏洞數量大幅增加，很有可能與接下來8月初舉行的資安大型會議黑帽大會（Black Hat）、DEFCON有關。</p> <p>在資安威脅態勢方面，有人透過AI假冒美國國務卿盧比奧（Marco Rubio）的情況，引起該國政府重視；再者，駭客在Chrome、Edge延伸套件市集上架惡意套件的攻擊行動，這些套件已被下載230萬次，使用者應儘速確認是否受害；而對於新興勒索軟體Bert的動態，他們從原本鎖定Windows電腦，如今也加密虛擬化平臺的檔案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169958"><strong style="font-size: 22px;">AI偽冒美國國務卿，聯繫官員企圖竊取政府資</strong></a></p> <p>根據美聯社、NBC等媒體報導，美國國務卿盧比奧（Marco Rubio）遭人以AI冒充發送文字及語音訊息，聯絡了多名政府官員。美國國務院發言人證實這項消息，表示正在監控並解決此事，也會採取措施改善國務院安全以防範未來再發生類似事件。</p> <p>華盛頓郵報取得美國國務院本月初發給所有領事館及大使館的政府電報，警告有一名不明人士或組織於6月中運用AI技術偽造盧比奧發送文字訊息、Signal語音郵件。</p> <p>此電報指出，至少有5位政府官員接到假盧比奧的聯繫，包括3名外國官員、一名美國州長和一名國會議員。其中文字訊息要求官員改以Signal口頭聯繫。至少有2個人接到Signal語音訊息。電報提出警告，歹徒可能是想透過AI生成的文字和語音操控特定人士，目的在取得資訊或是存取帳號。</p> <p><a href="https://www.ithome.com.tw/news/169961"><strong style="font-size: 22px;">瀏覽器App市集存在18款惡意軟體，已被下載逾230萬次</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_wou2oUyjxh74LkAMirx0ng.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_wou2oUyjxh74LkAMirx0ng.png" style="width: 300px; float: right;" /></a></p> <p>過往駭客打造惡意瀏覽器套件從事攻擊行動的情況，不少是架設釣魚網站來引誘使用者安裝，但如今有人成功將這類惡意軟體放上瀏覽器開發商的延伸套件市集，使得這種安裝來源的信任機制受到挑戰。</p> <p>例如，最近資安業者Koi Security揭露同時針對Chrome與Edge用戶而來的攻擊行動RedDirection，就是這樣的例子。因為瀏覽器的延伸套件市集Chrome Web Store、Microsoft Edge Addons，竟然存在18個惡意套件，總共感染超過230萬個用戶。這些套件偽裝成常見的生產力及娛樂工具，涵蓋Emoji符號鍵盤、天氣預報、影片速度控制器、音量放大工具、供Discord或抖音（TikTok）使用的VPN代理伺服器、YouTube解鎖工具等，所有的套件都具備開發者宣稱的功能，但同時也監控瀏覽器活動並挾持部分功能。</p> <p>值得留意的是，其中部分延伸套件甚至取得市集通過驗證的狀態，甚至被列為精選套件。根據Koi Security公司的調查，所有的套件都是使用獨立的C2子網域，看起來好像由不同的人馬經營，但實際上都是源自相同的攻擊基礎設施。</p> <p><a href="https://www.ithome.com.tw/news/169962"><strong style="font-size: 22px;">勒索軟體Bert強制關閉VMware ESXi虛機，並透過50個執行緒加密檔案</strong></a></p> <p>勒索軟體Bert今年4月開始活動，這些駭客最囂張的活動之一，是對專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技下手，並聲稱竊得超過5 TB內部資料。由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注。而這些駭客的活動，也引起資安研究員的注意，追蹤他們的發展。</p> <p>威脅情報研究員Rakesh Krishnan揭露，原本只攻擊Windows電腦的Bert，5月已開發出Linux版勒索軟體，經過分析後，他發現Bert的Linux版高度類似勒索軟體Revil（Sodinokibi），因為單就程式碼基礎（Codebase）而言，約有八成雷同。資安業者趨勢科技也觀察到這些Linux版勒索軟體，並指出駭客主要的標的，其實是虛擬化平臺VMware ESXi，而且，為了加快加密檔案的速度，此勒索軟體竟能同時使用50個處理器執行緒來運作，勒索軟體能使用如此數量執行緒的情況，相當罕見。附帶一提的是，同時使用50個執行緖的做法，還是這款勒索軟體的預設組態。</p> <p>這些駭客原本的攻擊目標是美國和亞洲的企業組織，影響的產業，涵蓋醫療照護、科技、事件服務。但現在的攻擊範圍有擴大的趨勢，趨勢科技確認在亞洲、歐洲、美國都有受害組織。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig12_linux_variant_ransom_note.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig12_linux_variant_ransom_note.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/169787"><strong style="font-size: 22px;">中國駭客Mustang Panda鎖定圖博而來，散布惡意軟體Pubload、Pubshell</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image_150608182.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_150608182.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客鎖定圖博人士從事攻擊的情況，不時有資安事故傳出，如今駭客利用達賴喇嘛90歲生日即將來到的時間點，鎖定近期舉行的會議與相關議題為誘餌，從事網路攻擊。</p> <p>其中一組名為Mustang Panda、Hive0154、RedDelta、Earth Preta、TA416的中國駭客，從今年5月鎖定圖博社群下手的情況升溫。揭露此事的IBM X-Force研究人員表示，駭客利用幾種誘餌來發動攻擊，其中一種是在6月2日至4日於日本東京舉行的第9屆世界國會議員圖博大會（World Parliamentarians' Convention on Tibet，WPCT），但也有利用中國政府在西藏自治區（TAR）的教育政策，以及達賴喇嘛發表的新書《Voice for the Voiceless》當誘餌的情況。</p> <p>研究人員指出，他們先前曾看到這些駭客從2024年底至今年初鎖定臺灣、美國、菲律賓、巴基斯坦從事網路間諜活動。而這次駭客也與之前接觸受害者的方式雷同，都是寄送各種地緣政治主題的釣魚郵件，並引誘他們上當。這郵件通常含有Google Drive的連結，一旦收信人點選，電腦就會下載ZIP或RAR壓縮檔。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=65007&SPOKE_DATE=20250708&COMPANY_ID=3694"><strong style="font-size: 22px;">海華科技資訊系統遭到駭客攻擊</strong></a></p> <p>和碩旗下無線通訊模組及數位影像處理方案廠海華科技於7月8日於股市公開觀測站發布資安重訊，指出他們於7日察覺資訊系統遭到駭客攻擊，為避免擴大影響範圍，資訊部門第一時間執行斷網阻隔因應。</p> <p>而對於這起事故帶來的影響，該公司表示經過初步的評估，對於財務及業務無重大影響，他們的營遲也一切正常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://labs.watchtowr.com/how-much-more-must-we-bleed-citrix-netscaler-memory-disclosure-citrixbleed-2-cve-2025-5777/">今年6月Citrix修補的兩項NetScaler重大漏洞已遭串連，用於實際攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ringreaper-new-linux-edr-evasion-tool/">Linux迴避偵測工具RingReaper遭利用，可利用系統核心元件io_uring逃過EDR偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-abuse-legitimate-inno-setup-installer/">Inno Setup軟體部署工具被濫用，駭客用來打包、散布惡意軟體</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169956"><strong style="font-size: 22px;">微軟發布7月例行更新，修補130項資安漏洞</strong></a></p> <p>7月8日微軟發布每月例行更新（Patch Tuesday），總共修補130項漏洞，數量僅次於一月份的159個，為今年以來的第二多，也較上個月67個增加快一倍。從漏洞的類型來看，權限提升漏洞最多，有53個，其次是遠端程式碼執行（RCE）漏洞，有41個；其餘為資訊洩露、安全功能繞過、阻斷服務（DoS），以及可被用於欺騙的漏洞，分別有18個、8個、6個、4個。根據漏洞的嚴重程度而言，有11個被評為重大層級，它們全部都是RCE漏洞，其中又以Office漏洞最多，有4個。</p> <p>根據CVSS評分，最嚴重的是CVE-2025-47981，此漏洞存在於SPNEGO Extended Negotiation Security Mechanism（NEGOEX）安全機制，攻擊者可傳送惡意訊息到伺服器觸發漏洞，從而能夠遠端執行任意程式碼，風險值達到9.8（滿分10分）。雖然微軟並未說明漏洞細節，但長期觀察、分析微軟每月例行更新的資安業者Rapid7、漏洞懸賞專案Zero Day Initiative（ZDI），皆特別提出警告。Rapid7指出，此為預先身分驗證漏洞，代表攻擊者能藉此取得特殊權限，而且微軟認為很快就會有人試圖利用，用戶應儘速安裝更新程式；ZDI指出利用過程無需使用者互動，而且該漏洞具備蠕蟲特質。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/sap-july-2025-patch-day/">SAP發布7月例行更新，修補7項重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/macos-smbclient-flaw/">研究人員針對蘋果今年3月修補的SMBClient重大漏洞公布細節，若不處理恐導致macOS核心損毀</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169950"><strong>【7月8日】macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169929"><strong>【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> </div></div></div>
2025/7/9 17:28作者周峻佑https://www.ithome.com.tw/news/169963
勒索軟體Bert強制關閉VMware ESXi虛機，並透過50個執行緒加密檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Bert今年4月開始活動，這些駭客最囂張的活動之一，是對專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技下手，<a href="https://www.ithome.com.tw/news/169053">並聲稱竊得超過5 TB內部資料</a>。由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注。而這些駭客的活動，也引起資安研究員的注意，追蹤他們的發展。</p> <p>威脅情報研究員Rakesh Krishnan揭露，原本只攻擊Windows電腦的Bert，<a href="http://theravenfile.com/2025/06/16/bert-ransomware/">5月已開發出Linux版勒索軟體</a>，經過分析後，他發現Bert的Linux版高度類似勒索軟體Revil（Sodinokibi），因為單就程式碼基礎（Codebase）而言，約有八成雷同。資安業者趨勢科技<a href="https://www.trendmicro.com/en_nl/research/25/g/bert-ransomware-group-targets-asia-and-europe-on-multiple-platforms.html">也觀察到這些Linux版勒索軟體</a>，並指出駭客主要的標的，其實是虛擬化平臺VMware ESXi，而且，為了加快加密檔案的速度，此勒索軟體竟能同時使用50個處理器執行緒來運作，勒索軟體能使用如此數量執行緒的情況，相當罕見。附帶一提的是，同時使用50個執行緖的做法，還是這款勒索軟體的預設組態。</p> <p>這些駭客原本的攻擊目標是美國和亞洲的企業組織，影響的產業，涵蓋醫療照護、科技、事件服務。但現在的攻擊範圍有擴大的趨勢，趨勢科技確認在亞洲、歐洲、美國都有受害組織。</p> <p>一旦這款勒索軟體執行，它就會透過特定命令強制關閉虛擬機器的處理程序，然後進行加密，被加密的檔案副檔名會被換成.encrypted_by_bert，最後留下勒索訊息，要求受害組織下載特定即時通訊軟體進行後續談判。</p> <p>附帶一提的是，此勒索軟體的組態為JSON格式檔案，內容包含公鑰、經Base64演算法處理的勒索訊息，以及其他詳細資訊。</p> <p>關於這款勒索軟體的來歷，趨勢科技和Rakesh Krishnan一樣，認為可能源於REvil，但他們額外提及資安業者SentinelOne的發現，他們研判與Babuk原始碼有所交集。對此，趨勢科技推測，Bert很有可能重覆使用REvil的程式碼，來打造Linux版勒索軟體。</p> <p>Windows版勒索軟體Bert的部分也有所變化，因為趨勢科技看到駭客使用PowerShell指令碼，充當惡意程式載入工具，執行勒索軟體的有效酬載payload.exe。此指令碼還具備其他功能，其中包含提升權限，並停用作業系統內建防毒Microsoft Defender、使用者帳號控制（UAC）、防火牆，然後從遠端IP位址下載勒索軟體並執行。根據駭客使用的IP位址，這些駭客很有可能在俄羅斯活動，或與俄羅斯駭客有關。</p> </div></div></div>
2025/7/9 17:12作者周峻佑https://www.ithome.com.tw/news/169962