iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】7月21日，SharePoint驚傳零時差漏洞攻擊，逾85臺伺服器受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在週末期間最重要的資安新聞，莫過於SharePoint零時差漏洞攻擊的事故，揭露此事的資安業者Eye Security指出，這項漏洞是中度風險漏洞CVE-2025-49706的變形，但危險程度達到重大層級，迄今至少已出現兩波大規模攻擊行動。</p> <p>對於其他資安事故的部分，登上熱門新聞的Apache HTTP Server已知漏洞攻擊事故相當值得留意，這項消息突顯公布已有4年的資安漏洞現在仍有機會利用；另一起鎖定生命週期終結的SonicWall防火牆設備活動也值得注意，代表尚有不少生命週期已經結束的設備仍持續運作，而成為攻擊目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170162"><strong style="font-size: 22px;">SharePoint驚傳零時差漏洞攻擊，微軟緊急發布修補程式</strong></a></p> <p>內容管理與團隊協作平臺SharePoint在企業的數位轉型與協作當中扮演極為重要的角色，一旦這種系統出現資安漏洞，就可能讓企業內部的機密資料外洩或是破壞，上週末出現大規模零時差漏洞攻擊行動引起各界關注。</p> <p>這起事故最早揭露的是資安業者Eye Security，他們在7月18日晚間偵測到不尋常的大規模漏洞利用活動ToolShell，鎖定SharePoint而來，透過這種漏洞攻擊鏈，駭客能遠端執行任意程式碼（RCE），該漏洞19日得到微軟證實並登記為CVE-2025-53770，此為今年7月修補的CVE-2025-49706變形，影響內部建置的SharePoint Server 2016、2019，以及Subscription Edition，CVSS風險達到9.8（滿分10分），該公司於20日先為SharePoint Server的2019版，以及Subscription Edition發布修補程式，但截至目前為止，SharePoint Server 2016尚無修補程式，IT人員應透過最佳實務做法降低風險。</p> <p>究竟這起事故曝險的範圍有多大？Eye Security並未在部落格文章提及，但他們向Bleeping Computer、The Hacker News等資安新聞媒體透露，至少有85臺SharePoint受害，這些伺服器是由29家企業組織掌管，其中部分是跨國企業組織及政府機關。</p> <p><a href="https://www.ithome.com.tw/news/170143"><strong style="font-size: 22px;">Apache HTTP Server高風險漏洞遭濫用，主機淪為駭客挖礦工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/exploit-pcap.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/exploit-pcap.png" style="width: 300px; float: right;" /></a></p> <p>資安廠商Vulncheck發現有攻擊者利用Apache HTTP Server的高風險漏洞，入侵伺服器部署加密貨幣挖礦惡意軟體Linuxsys。這波攻擊行動持續時間長且手法隱蔽，影響範圍涵蓋約400臺主機，研究人員提醒企業應修補相關漏洞強化監控，以防主機遭到入侵濫用。</p> <p>攻擊行動鎖定的是Apache HTTP Server高風險漏洞CVE-2021-41773，該漏洞容易被遠端攻擊者利用，並可繞過權限控管。研究人員表示，駭客透過自動化指令碼，結合多個漏洞進行攻擊，先取得目標主機權限，再下載名為Linuxsys的挖礦程式並執行，進行加密貨幣運算。</p> <p>這波攻擊最大的特點在於，攻擊者並非直接從自己架設的主機散布惡意程式，而是先入侵第三方的合法網站，將惡意腳本和執行檔偷偷放進這些網站，攻擊指令碼利用curl或wget等工具，自動從這些被入侵的網站下載設定檔和主要程式，並且設計成如果一個網站下載失敗，會自動嘗試從其他被入侵的網站再次下載，這樣不僅提高攻擊成功率，也更難被發現。</p> <p><a href="https://www.ithome.com.tw/news/170128"><strong style="font-size: 22px;">生命週期終結的SonicWall防火牆設備遭鎖定，駭客植入惡意軟體Overstep竊取資料</strong></a></p> <p>駭客鎖定生命週期終結（EOL）、結束服務（EOS）的網路設備而來，利用廠商不會修補的已知漏洞對這些設備上下其手的現象，不時有資安事故傳出，他們大部分針對的目標，是缺乏資安防護與定期更新的路由器、網路儲存設備、視訊監控設備，但如今有人鎖定資安設備而來。</p> <p>例如，最近Google威脅情報團隊（GTIG）揭露駭客組織UNC6148的攻擊行動，就是典型的例子。這些駭客專門針對SonicWall Secure Mobile Access（SMA）100系列的SSL VPN設備而來，他們入侵設備的管道，疑似利用過往外流的帳密資料與動態密碼（OTP），使得受害組織的IT人員套用安全更新之後，仍能重新取得相關存取權限。值得留意的是，這些駭客並非鎖定未定期修補的企業組織，而是已經套用最新版韌體，但已經生命週期終止的SMA設備。</p> <p>其中，在最新一波的攻擊行動裡，UNC6148部署名為Overstep的惡意程式，此為使用者模式的Rootkit，也能充當後門程式運用，它會竄改設備的開機流程，竊取敏感的帳密資料，並隱匿自己的元件，從而持續於受害設備活動。而對於駭客植入這支惡意程式的管道，GTIG懷疑是利用尚未公開的零時差漏洞，並在受害設備遠端執行程式碼（RCE）而得逞。</p> <p><a href="https://www.ithome.com.tw/news/169982"><strong style="font-size: 22px;">【Deepfake偽冒實例】新加坡警方揭露跨國公司財務主管遭AI深偽詐騙，Deepfake視訊會議詐騙案增加</strong></a></p> <p>去年初，英國工程公司Arup的香港子公司，遭遇首起Deepfake視訊會議詐騙，損失2億港幣，這類攻擊手法宛如將商業電子郵件詐騙（BEC）手法重新包裝，因此受到極大關注，但大家可能沒注意到，近期新加坡、馬來西亞也有類似事件發生，而且揭露的事件細節比先前更多，讓我們能對其手法變化有更深入的認識。</p> <p>在2025年3月12日，新加坡警察部隊、金融管理局與網路安全局示警，說明發現AI深偽（Deepfake）冒充企業高階主管的事件，因此揭露攻擊手法，並提醒企業採取防範措施，但當時並未公布受害公司或報案細節。</p> <p>到了4月7日，新加坡警察部隊（SPF）宣布破獲一起新的案件，使得真實受害情況曝光。案例中指出，3月底有跨國企業遭遇AI偽冒詐騙，損失49.9萬美元（約新臺幣1,620萬元），所幸在跨國合作追緝下，已凍結這筆資金。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/ung0002-group-hits-china-hong-kong.html">駭客組織UNG0002鎖定中國、香港、巴基斯坦，利用LNK檔案從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-veeam-themed-phishing-attack/">網釣攻擊以備份軟體Veeam為誘餌，透過武器化的WAV音檔散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/github-abused-amadey-lumma-redline-infostealers-ukraine/">竊資軟體Amadey、Lumma、Redline透過GitHub散布，鎖定烏克蘭而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/chinese-threat-actors-operate-2800-malicious-domains/">中國駭客Silver Fox經營2,800個惡意網域，用於散布惡意程式</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170172"><strong style="font-size: 22px;">Nvidia Container Toolkit存在重大漏洞，攻擊者恐用於在AI雲端服務提升權限</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1752758988-screenshot-2025-07-17-at-9-29-36-am.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1752758988-screenshot-2025-07-17-at-9-29-36-am.jpg" style="width: 300px; float: right;" /></a></p> <p>7月15日Nvidia發布1.17.8版Container Toolkit、25.3.1版GPU Operator，修補資安漏洞CVE-2025-23266、CVE-2025-23267，其中又以重大層級的CVE-2025-23266特別值得留意，資安業者Wiz公布細節，指出攻擊者只需要3行指令，就有機會透過Container Toolkit進行容器逃逸，從而廣泛影響AI基礎設施。</p> <p>CVE-2025-23266的問題，在於Container Toolkit處理開放容器倡議組織（OCI）的掛鉤（Hook）機制，攻擊者可用來提升權限並執行任意程式碼，一旦成功利用，就能提升權限、資料竄改、資訊洩露，或是阻斷服務（DoS），CVSS風險評為9.0。</p> <p>在Nvidia發布這份公告後兩天，Wiz進一步揭露漏洞的細節，他們警告該漏洞將可能造成AI生態圈系統性的風險。因為Nvidia Container Toolkit廣泛用於雲端及SaaS供應商的AI服務，是所有主要雲端供應商代管的許多AI與GPU服務的骨幹。</p> <p> </p> <h3><strong>【執法行動】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170163"><strong style="font-size: 22px;">歐洲刑警與12國執法機關聯手，摧毀俄羅斯DDoS駭客NoName057(16)基礎設施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/eastwood_results.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/eastwood_results.png" style="width: 300px; float: right;" /></a></p> <p>自從2022年俄羅斯入侵烏克蘭之後，全名為NoName057(16)、臺灣簡稱NoName057的俄羅斯駭客，屢屢發動DDoS攻擊，先是對烏克蘭及歐洲盟國下手，曾經對烏克蘭伸出援手的臺灣，也在去年9月遭受這些駭客大規模攻擊，當時數發部表示他們掌握45起事故，後續在去年10月、今年1月，該組織再度對臺灣出手，其中在今年1月號稱對超過30個網站發動DDoS攻擊，大部分是政府機關、地方政府、機場、港務機關。如今歐美執法機關聯手，對這些駭客採取行動。</p> <p>歐洲刑警組織（Europol）宣布，捷克、法國、芬蘭、德國、義大利、立陶宛、波蘭、西班牙、瑞典、瑞士、荷蘭、美國等12國執法機關與司法機關聯手，在他們與歐洲司法組織（Eurojust）居中協調之下，於7月14至17日從事跨國執法行動Operation Eastwood，對NoName057(16)的網路犯罪基礎設施採取行動。相關調查得到歐盟網路安全局（ENISA）、比利時、加拿大、愛沙尼亞、丹麥、拉脫維亞、羅馬尼亞、烏克蘭的支持，資安機構Shadowserver基金會與abuse.ch也從中提供技術支援。</p> <p><strong style="font-size: 22px;">其他執法行動</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/google-sues-25-chinese-entities-over.html">Google起訴25個經營殭屍網路Badbox 2.0的企業組織與個人</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170151"><strong style="font-size: 22px;">日本警方釋出勒索軟體Phobos、8Base解密金鑰</strong></a></p> <p>日本政府上周釋出勒索軟體Phobos、8Base的解密金鑰。</p> <p>Phobos是2018年出現的勒索軟體租用服務（Ransomware-as-a-Service）。雖然Phobos知名度不像其他勒索軟體那麼高，但感染範圍卻很廣。它曾在2019年底名列最常見勒索軟體第三名，僅次於Ryuk與Sodinokibi。2023年有駭客組織利用修改的Phobos加密程式改造成8-base勒索軟體，曾於2024年利用8-Base入侵丹麥聯合國機構的網路基礎架構，竊走員工檔案等內部資訊。</p> <p>日本警方現已將Phobos及8Base的解密金鑰釋出，同時也提供英文版使用者指引。兩項金鑰也同時列於歐洲刑警組織（Europol）的勒索軟體解密金鑰網站NoMoreRansom。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170130"><strong>【7月18日】中國駭客鎖定臺灣半導體生態系從事大規模網釣，假冒研究生求職與投資分析合作</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170105"><strong>【7月17日】精品品牌LV在多國的分公司接連傳出網路攻擊事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170085"><strong>【7月16日】VMware修補虛擬化平臺重大漏洞</strong></a></p> </div></div></div>
2025/7/21 17:19作者周峻佑https://www.ithome.com.tw/news/170174
Nvidia Container Toolkit存在重大漏洞，攻擊者恐用於在AI雲端服務提升權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月15日Nvidia發布1.17.8版Container Toolkit、25.3.1版GPU Operator，<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5659">修補資安漏洞CVE-2025-23266、CVE-2025-23267</a>，其中又以重大層級的CVE-2025-23266特別值得留意，<a href="https://www.wiz.io/blog/nvidia-ai-vulnerability-cve-2025-23266-nvidiascape">資安業者Wiz公布細節</a>，指出攻擊者只需要3行指令，就有機會透過Container Toolkit進行容器逃逸，從而廣泛影響AI基礎設施。</p> <p>CVE-2025-23266的問題，在於Container Toolkit處理開放容器倡議組織（OCI）的掛鉤（Hook）機制，攻擊者可用來提升權限並執行任意程式碼，一旦成功利用，就能提升權限、資料竄改、資訊洩露，或是阻斷服務（DoS），CVSS風險評為9.0。</p> <p>在Nvidia發布這份公告後兩天，Wiz進一步揭露漏洞的細節，他們警告該漏洞將可能造成AI生態圈系統性的風險。因為Nvidia Container Toolkit廣泛用於雲端及SaaS供應商的AI服務，是所有主要雲端供應商代管的許多AI與GPU服務的骨幹。</p> <p>就弱點濫用的狀況而言，由於能讓惡意容器繞過隔離機制，並取得主機完整的root存取權限，甚至能在拆除不同雲端用戶之間的隔離機制，進而影響數千個企業組織，所以，他們也將CVE-2025-23266取名為NVIDIAScape。</p> <p>為什麼Wiz會認為這個漏洞在代管人工智慧服務的環境更加嚴重？基於上述容器逃逸的狀況，攻擊者有機會濫用共享的GPU基礎設施，來執行自己的人工智慧容器，而在這種情況下，惡意用戶可利用漏洞執行特製容器，從而逃離雲端服務業者設下的邊界，對於主機進行完全的root控制，甚至能竊取、操縱他人的私有模型與敏感資料。根據Wiz的估算，全球約有37%雲端環境可能受到這項漏洞影響。</p> <p>相較於多數弱點曝露在網際網路可能會造成廣泛的影響，而成為IT人員優先修補的重要判斷依據，Wiz強調，具有CVE-2025-23266的Nvidia Container Toolkit主機並非如此，因為，攻擊者初期目標是開發者，原因是若是鎖定開發人員從事社交工程攻擊得逞，就有機會事先存取容器映像檔儲存庫，或是允許使用者載入任意映像檔的其他環境，從而達到利用漏洞的條件。</p> </div></div></div>
2025/7/21 15:54作者周峻佑https://www.ithome.com.tw/news/170172
歐洲刑警與12國執法機關聯手，摧毀俄羅斯DDoS駭客NoName057(16)基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從2022年俄羅斯入侵烏克蘭之後，全名為<a href="https://www.ithome.com.tw/tags/noname057">NoName057(16)</a>、臺灣簡稱NoName057的俄羅斯駭客，屢屢發動DDoS攻擊，先是對烏克蘭及歐洲盟國下手，曾經對烏克蘭伸出援手的臺灣，<a href="https://www.ithome.com.tw/news/164999">也在去年9月遭受這些駭客大規模攻擊</a>，當時數發部表示他們<a href="https://www.ithome.com.tw/news/165042">掌握45起事故</a>，後續在<a href="https://www.ithome.com.tw/news/165356">去年10月</a>、<a href="https://www.ithome.com.tw/news/166831">今年1月</a>，該組織再度對臺灣出手，其中在今年1月號稱對超過30個網站發動DDoS攻擊，大部分是政府機關、地方政府、機場、港務機關。如今<a href="https://www.europol.europa.eu/media-press/newsroom/news/global-operation-targets-noname05716-pro-russian-cybercrime-network">歐美執法機關聯手</a>，對這些駭客採取行動。</p> <p>歐洲刑警組織（Europol）宣布，捷克、法國、芬蘭、德國、義大利、立陶宛、波蘭、西班牙、瑞典、瑞士、荷蘭、美國等12國執法機關與司法機關聯手，在他們與歐洲司法組織（Eurojust）居中協調之下，於7月14至17日從事跨國執法行動Operation Eastwood，對NoName057(16)的網路犯罪基礎設施採取行動。相關調查得到歐盟網路安全局（ENISA）、比利時、加拿大、愛沙尼亞、丹麥、拉脫維亞、羅馬尼亞、烏克蘭的支持，資安機構Shadowserver基金會與abuse.ch也從中提供技術支援。</p> <p>這些執法機關與司法機關切斷由超過100套電腦系統（伺服器）組成的攻擊基礎設施，德國對6名俄羅斯嫌犯發布通緝，其中兩名是主導整個駭客組織的首腦；此外，西班牙也對另一名嫌犯發布通輯。所有7名嫌犯皆被列為國際通輯犯，其中5名列於歐盟的頭號通輯犯網站。</p> <p>目前NoName057(16)主要基礎設施大部分已經離線，執法機關通知超過1千個涉嫌聲援此駭客組織的人士，其中有15人是管理者。他們也訊問13人、發起24起房屋搜索。</p> <p>這群駭客平均每天向烏克蘭發起73起DDoS攻擊，過程中，他們製作名為DDoSia的工具，透過聲援者的電腦發動DDoS攻擊，並透過殭屍網路放大攻擊的強度，最終導致受害網站的服務中斷。</p> </div></div></div>
2025/7/21 12:56作者周峻佑https://www.ithome.com.tw/news/170163
SharePoint驚傳零時差漏洞攻擊，微軟緊急發布修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內容管理與團隊協作平臺SharePoint在企業的數位轉型與協作當中扮演極為重要的角色，一旦這種系統出現資安漏洞，就可能讓企業內部的機密資料外洩或是破壞，上週末出現<a href="https://research.eye.security/sharepoint-under-siege/">大規模零時差漏洞攻擊行動</a>引起各界關注。</p> <p>這起事故最早揭露的是資安業者Eye Security，他們在7月18日晚間偵測到不尋常的大規模漏洞利用活動ToolShell，鎖定SharePoint而來，透過這種漏洞攻擊鏈，駭客能遠端執行任意程式碼（RCE），該漏洞19日<a href="https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/">得到微軟證實</a>並登記為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53770">CVE-2025-53770</a>，此為<a href="https://www.ithome.com.tw/news/169956">今年7月修補</a>的CVE-2025-49706變形，影響內部建置的SharePoint Server 2016、2019，以及Subscription Edition，CVSS風險達到9.8（滿分10分），該公司於20日先為SharePoint Server的2019版，以及Subscription Edition發布修補程式，但截至目前為止，SharePoint Server 2016尚無修補程式，IT人員應透過最佳實務做法降低風險。</p> <p>究竟這起事故曝險的範圍有多大？Eye Security並未在部落格文章提及，但他們向<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-sharepoint-zero-day-exploited-in-rce-attacks-no-patch-available/">Bleeping Computer</a>、<a href="https://thehackernews.com/2025/07/critical-microsoft-sharepoint-flaw.html">The Hacker News</a>等資安新聞媒體透露，至少有85臺SharePoint受害，這些伺服器是由29家企業組織掌管，其中部分是跨國企業組織及政府機關。</p> <p>針對相關攻擊行動的發現，Eye Security先在世界協調時間（UTC）18日晚間18時察覺ASPX惡意酬載，後續於19日凌晨發布部落格警告此事，隨後於19日17時發現第二波大規模漏洞攻擊。</p> <p>他們起初是在客戶部署CrowdStrike Falcon EDR系統的主機收到異常警示，並看到駭客在舊版SharePoint伺服器執行一系列可疑活動，上傳有問題的ASPX檔案。但怪異的是，此SharePoint伺服器並未留下成功通過ADFS身分驗證的記錄，也沒有在IIS伺服器的事件記錄當中，留下存取網頁伺服器的使用者名稱資料（cs-username），IIS伺服器事件記錄的參照資料更是指向使用者登出的ASPX網頁（/_layouts/SignOut.aspx），根據上述現象，Eye Security認為，這些SharePoint伺服器之所以遭到入侵，對方應該不是採用暴力破解或是網釣攻擊。</p> <p>經過調查，Eye Security確認攻擊者使用了零時差漏洞，其相關手法與數日前紅隊演練業者Code White<a href="https://x.com/codewhitesec/status/1944743478350557232">公布的ToolShell攻擊手法</a>一致，當時他們表示能在SharePoint重現未經身分驗證的RCE漏洞，此漏洞串連<a href="https://www.ithome.com.tw/news/169049">Pwn2Own Berlin 2025</a>公布的CVE-2025-49706、CVE-2025-49704，Eye Security根據Code White公布的概念驗證資料，從而確定是新的零時差漏洞。</p> <p>究竟駭客的目的為何？Eye Security原以為駭客打算透過Web Shell來執行命令、上傳檔案，或是在網路環境橫向移動，但他們看到對方埋入更危險的檔案spinstall0.aspx，而且，此檔案的主要功能，就是解開受到加密演算法保護的帳密資料並外流，然後試圖在SharePoint伺服器植入惡意程式Sharpyshell。不過，Sharpyshell並非典型的Web Shell，沒有任何互動的命令、反向Shell，或是C2通訊的邏輯，而是透過.NET的方法（Method）讀取SharePoint伺服器的MachineKey組態，來產生有效酬載valid __VIEWSTATE，並將任何通過身分驗證的SharePoint請求，轉成遠端執行程式碼之用。</p> </div></div></div>
2025/7/21 12:24作者周峻佑https://www.ithome.com.tw/news/170162
OpenAI的實驗性模型已達數奧金牌程度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/alexwei_/status/1946477742855532918" target="_blank">OpenAI的研究科學家Alexander Wei上周六（7/19）宣布</a>，OpenAI實驗性的推理大型語言模型在世界最負盛名的數學競賽—國際數學奧林匹克（International Math Olympiad，IMO）取得了金牌等級的成績。Wei在X上展示了一張草苺掛上金牌的照片，外界猜測或許代表其專案名稱為Strawberry。</p> <p>IMO是一項針對高中生的全球性數學競賽，在兩天的競賽中各提供4.5小時的時間來解決涵蓋不同領域的3道數學題目，每道題最高為7分，金牌門檻每年不一，通常落在31~42分之間，今年數奧甫於上周結束，金牌門檻為35分，有67名同學獲得金牌。OpenAI採用與人類參賽者同樣的規則，不使用工具或網路，讓模型閱讀官方問題的陳述，再以自然語言撰寫證明，它解決了5道題目，得到35分，剛好為今年的金牌門檻。</p> <p>Google DeepMind的AlphaProof模型也<a href="https://www.ithome.com.tw/news/164151" target="_blank">曾在2024年挑戰數奧</a>，它解決了4道題目，得到28分，距去年金牌門檻只有1分之遙。</p> <p>Wei說，相較於過去的基準測試，IMO需要持續的思考能力，此一結果意味著模型的推理時間範圍，已從只需要0.1分鐘的GSM8K、約1分鐘的MATH、10分鐘的AIME，擴展至可能需要100分鐘的IMO，從簡單的快速運算到處理需要長時間思考的複雜問題，同時媲美人類頂尖數學家。</p> <p>此外，除了結果本身，Wei更對他們所使用的方法感到興奮，因為他們並非透過狹隘、針對特定任務的方法，而是在通用強化學習及推理時擴充運算能力上開創了新局面。</p> <p>不過，該達到數奧金牌等級的大型語言模型仍只是個實驗性的研究模型，並非商業產品，OpenAI短期內、至少在數個月內都不會釋出類似的功能。但外界可以期待的是OpenAI即將發表GPT-5。</p> <p>該模型很可能是Wei在OpenAI的最後一個作品，因為專注於大型語言模型及推理研究的Wei已於今年7月中跳槽至Meta AI，成為<a href="https://research.facebook.com/fellows/wei-alexander/" target="_blank">Meta超級智慧實驗室（Meta Superintelligence Labs，MSL）的一員</a>。</p> </div></div></div>
2025/7/21 13:21作者陳曉莉https://www.ithome.com.tw/news/170164
【資安週報】0714~0718，中國駭客網釣信鎖定臺灣半導體人資單位！全球還有Vishing、AI偽冒攻擊擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年7月第三星期資安新聞，社交工程攻擊成為主要焦點，有多起新聞與之有關，涵蓋傳統網路釣魚，駭客濫用瀏覽器上傳的ClickFix、FileFix新手法，還有語音網釣與AI語音偽冒，我們整理如下：</p> <p>（一）臺灣半導體產業與相關機構的人資部門注意！資安業者Proofpoint揭露中國駭客狂發假冒研究生求職的釣魚信，時間發生在今年3到6月，並且是盜用臺灣大專院校電子郵件信箱發送，引誘收信人開啟附件的履歷並點選惡意URL，目前研判這起行動與TA415有交集，還有國內投資分析師也遭鎖定。<br /> （二）勒索軟體駭客組織Interlock新一波攻擊曝光，自5月開始濫用瀏覽器的檔案上傳機制，利用FileFix網釣手法（ClickFix衍生版本），以散布木馬程式Interlock RAT，這是FileFix首度被發現用於實際攻擊活動。<br /> （三）近來語音網釣、AI偽冒的新聞事件不斷，我們近期發布的封面故事介紹最新攻擊實例，尤其日本山形地區遭遇的Vishing攻擊相當特殊，攻擊者不只寄送網釣郵件，更從自動語音開場、真人偽冒客服來誘導，目標是讓員工被騙交出企業網路銀行的存取權限；而在AI偽冒通話方面，新加坡與馬來西亞的企業財務主管，也接連傳出遭遇Deepfake視訊會議的詐騙攻擊，還有義大利與美國官員聲音遭偽冒並遭假冒聯繫他人。</p> <p>本星期還有一起網路防護烏龍事件，引發國人熱議，微軟Azurewebsites.net根網域在臺灣網路遭到封鎖，影響時間將近2小時，起因是刑事局提供涉毒網站給TWNIC進行DNS RPZ屏蔽封鎖，但由於轉檔作業發生疏失，造成原網址清單的子網域被誤刪。雖然政府打詐打毒看重處理的時效，但這類誤封事故並非第一次發生，如何改善事前審核，以及事中發生誤封該如何盡快修正，都需要相關單位盡快協商出相關辦法。</p> <p>在資安事件方面，知名精品業者LV系統遭駭事件備受矚目，因為不只臺灣分公司證實這項消息，LV的韓國、英國、土耳其分公司也陸續有通知客戶的消息，目前已知該廠商通知客戶有未經授權第三方人士短暫存取該公司系統，部分個資遭竊。</p> <p>在威脅態勢方面，有兩起鎖定WordPress網站與外掛的攻擊，突顯攻擊新手法與軟體供應鏈攻擊依然嚴峻</p> <p>●駭客針對WordPress網站攻擊有新手法，將惡意程式碼埋入ZIP壓縮檔，再透過zip://通訊協定呼叫、解除混淆、載入並執行，將使用者重新導向至特定網域。<br /> ●WordPress表單外掛Gravity Forms遭供應鏈攻擊，駭客於特定版本外掛程式植入後門，目的是收集網站系統資訊並部署其他作案工具。<br /> ●有駭客針對Cursor AI打造模仿正牌工具Solidity的惡意延伸套件，兩個月被下載5.4萬次，有區塊鏈開發人員發現加密貨幣遭竊尋求資安業者幫助才讓此事曝光。</p> <p>在漏洞消息方面，首先Chrome修補已遭利用的零時差漏洞CVE-2025-6558，其次是有兩個上星期才修補的漏洞，已經出現鎖定利用情形必需重視，一是Fortinet WAF產品的漏洞CVE-2025-25257，一是Wing FTP Server的漏洞CVE-2025-47812。還有6月下旬Citrix修補的漏洞CVE-2025-5777（CitrixBleed 2），同樣被證實已出現鎖定利用狀況。</p> <p>另外，研究人員揭露美國麥當勞的徵才對話機器人McHire（以Paradox.ai的Olivia機器人打造）有兩個弱點，一是其系統的管理後臺竟採用帳號與密碼皆為123456的預設帳號，另一是Paradox.ai存在IDOR漏洞。</p> <p>至於資安防禦動態方面，國際AI資安合規出現重要突破：歐盟執委會（EC）發布通用AI實踐準則，以協助製造商及供應商符合AI Act的規定，外界預料將對AI產業治理模式帶來深刻影響。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/170051"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月14日】臺美關稅遲遲未定，美國大型律師事務所驚傳遭中國駭客入侵</span></strong></a></h3> <p>這個週末有許多事故傳出，其中，最值得留意的是中國駭客傳出入侵美國大型律師事務所Wiley Rein的事故，由於該事務所協助美國政府與企業應對中國貿易嚴，再加上美國始終沒有公告臺灣的關稅比例，這起事故帶來的後續效應，相當值得留意。</p> <p>除此之外，另一起引起外界關注的消息，是關於麥當勞的招募對話機器人McHire的漏洞揭露，其中最引起外界關注的是，這套系統竟留存了測試階段使用的管理員帳號，其帳號密碼皆為123456。</p> <h3><a href="https://www.ithome.com.tw/news/170074"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月15日】IDE開發工具Cursor AI出現惡意延伸套件，有用戶因此損失50萬美元</span></strong></a></h3> <p>針對開發人員的惡意套件攻擊，從NPM、PyPI套件，到IDE開發工具Visual Studio Code（VSCode）的延伸套件市集，如今也有針對Cursor AI用戶的攻擊行動，駭客鎖定的目標，是名為Open VSX的套件庫，且有開發人員因不慎安裝惡意套件損失50萬美元（約新臺幣1,465萬元）。</p> <p>在惡意套件攻擊事故之外，最近出現的新型態攻擊手法相當值得留意，例如：FileFix網釣手法、搭配ZIP檔的網站攻擊活動、濫用Inno Setup內建指令碼功能載入惡意軟體的手段，都更難以察覺及防範。</p> <p><a href="https://www.ithome.com.tw/news/170085"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月16日】VMware修補虛擬化平臺重大漏洞</span></strong></a></p> <p>本週VMware修補一系列與虛擬化平臺有關的資安漏洞，皆來自漏洞挖掘競賽Pwn2Own參賽者的研究，且影響範圍相當廣泛，包含ESXi、Workstation、Fusion，以及Windows版虛擬機器公用程式VMware Tools，用戶都應儘速套用相關更新因應。</p> <p>另一個相當值得留意的情況，是WordPress網站有關的資安威脅加劇，在我們昨天報導有人<a href="https://www.ithome.com.tw/news/170072">利用ZIP檔案發動攻擊</a>，將網站用戶重新導向的事故，今天整理兩篇與表單外掛程式有關的消息，其中一個是Gravity Forms遭遇供應鏈攻擊的情況，另一個是SureForms存在任意檔案刪除漏洞，恐影響20萬個網站。</p> <h3><a href="https://www.ithome.com.tw/news/170105"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月17日】精品品牌LV在多國的分公司接連傳出網路攻擊事故</span></strong></a></h3> <p>繼英國零售業者接進傳出受害，精品業者迪奧（Dior）、<a href="https://www.ithome.com.tw/news/169348">卡地亞（Cartier）</a>，<a href="https://www.ithome.com.tw/news/169222">運動品牌愛迪達（Adidas）</a>、以及<a href="https://www.ithome.com.tw/news/169292">女性內衣業者維多莉亞的秘密（Victoria's Secret）</a>接連傳出資安事故，最新一起事故是發生在Louis Vuitton（LV），由於陸續傳出多個國家的分公司資料外洩的情況，使得這起事故格外受到關注。</p> <p>除此之外，近期公布的資安弱點也相當值得留意，其中又以Google修補Chrome今年第5個零時差漏洞影響相當廣泛，再者，資安業者Binarly找到的技嘉主機版漏洞，用戶也要儘速套用相關韌體更新因應。</p> <h3><a href="https://www.ithome.com.tw/news/170130"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月18日】中國駭客鎖定臺灣半導體生態系從事大規模網釣，假冒研究生求職與投資分析合作</span></strong></a></h3> <p>隨著國際局勢日益緊張，臺海危機升溫，中國駭客對臺灣發動攻擊的情況也越來越頻繁，其中資安業者Proofpoint發布的調查報告引起全臺高度關注，因為這些駭客廣泛對臺灣重要經濟命脈半導體生態系從事網釣，從半導體公司人資部門到投資分析師，都是他們下手的目標。</p> <p>在上述的攻擊行動之外，本週證交所祭出的裁罰也與半導體產業有關，他們處罰的對象，是今年1月、5月兩度遭到勒索軟體攻擊的矽光子及光電封測大廠聯鈞光電。</p> <p> </p> </div></div></div>
2025/7/21 09:46作者羅正漢https://www.ithome.com.tw/news/170152
微軟宣布美國國防部技術支援業務將排除中國工程團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.propublica.org/article/microsoft-digital-escorts-pentagon-defense-department-china-hackers" target="_blank">美國非營利調查機構ProPublica踢爆</a>，微軟近十年來在維護國防部與其它聯邦機構雲端系統時，所採用的「數位護送」（Digital Escort）制度含有重大安全風險，使得<a href="https://x.com/fxshaw/status/1946299139068965008" target="_blank">微軟發言人Frank Shaw上周五（7/18）宣布</a>，將確保沒有中國工程團隊會替美國國防部政府雲端與相關服務提供技術支援。</p> <p>微軟設計了Microsoft Azure Government Cloud以服務美國政府及國防機構的敏感與機密需求，該服務的資料中心設於美國，僅限經背景審查的美國公民直接操作，與商用Azure完全隔離，此外，相較於一般公有雲允許全球工程師參與技術支援，Azure Government Cloud原則上是由微軟指派具安全許可的美籍技術人員負責維護。</p> <p>然而，根據ProPublica的調查，微軟為了成本與規模上的考量，設計出數位護送制度，同樣由微軟全球的支援工程師參與問題處理流程，包括位於中國的中國工程師，再由美籍人員持證登錄系統，實際執行工程師所提供的操作指令，然而，這些美籍員工的技術能力往往不及支援工程師，通常僅扮演中介作用，有鑑於中國被美國列為頭號網路對手，且多次入侵美國資訊網路，形成嚴重的資安與國安風險。</p> <p>微軟是藉由ServiceNow與Azure DevOps等內部支援平臺來統一管理全球工單流程，這些工單可能來自於Azure Commercial或Azure Government，再被分配給符合角色的工程師處理，包括位於中國或印度的工程師；工單上描述了哪個系統模組出錯了、錯誤類型、修復建議或所需操作等。</p> <p>儘管這些外籍員工無法直接登入Azure Government系統，但能設計指令並由美籍護送員執行。這將允許工程師推測正發生異常或維護的系統，日益掌握美國雲端架構邏輯，或是利用護送員執行的指令來暗藏惡意程式碼，且護送員可能無法察覺。</p> <p>總之，ProPublica批評微軟表面上遵守Azure Government政策，實際上卻允許外籍工程師間接存取該安全雲端環境。</p> <p>美國國土安全部曾經針對美國在2023年外洩微軟帳戶（MSA）消費者簽章金鑰，最終導致中國駭客組織Storm-0558非法存取歐美政府組織之電子郵件帳號的資安意外展開調查，<a href="https://www.ithome.com.tw/news/162123" target="_blank">當時國土安全部即說</a>，Storm-0558的成功攻擊有賴於微軟一系列可避免的錯誤，其根本原因是微軟的安全文化不足。</p> <p>微軟發言人Frank Shaw除了宣布變更微軟對美國政府客戶的技術支援，不再讓中國工程團隊為其服務之外，也說會根據需求與國家安全合作夥伴一同評估或調整微軟的安全機制。</p> </div></div></div>
2025/7/21 10:33作者陳曉莉https://www.ithome.com.tw/news/170158
Martech雙周報第78期：AI爬蟲衝擊出版商流量及收益，IAB Tech Lab和Cloudflare相繼推出網站…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0706~0719)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI爬蟲 #網站內容變現 #NLWeb #IAB #品牌安全</span></span></strong><br /> <strong>IAB Tech Lab提出LLM內容存取API框架草案，因應AI爬蟲衝擊出版商流量及品牌形象等挑戰</strong></p> <p>隨著生成式AI工具與大型語言模型（LLM）加速被導入搜尋摘要與聊天介面，出版商與品牌網站內容面臨被無償擷取、轉述甚至誤解的風險。<a href="https://iabtechlab.com/press-releases/iab-tech-lab-announces-content-ingest-api-initiative/">IAB Tech Lab近日提出「LLM Content Ingest API」技術框架草案</a>，試圖為內容擁有者與AI系統之間建立可控、可收費的內容存取與呈現模式。</p> <p>此項框架有2大目的，一為提供出版商辨識與管理AI爬蟲的技術，避免內容在未授權情況下被擷取；二為提供品牌更多控制權，決定自身內容如何被整合進AI系統，確保語意與形象不被曲解。</p> <p><a href="https://iabtechlab.com/standards/iab-tech-lab-llm-content-ingest-api-overview/">IAB Tech Lab分別為出版商和品牌方設計「Publisher LLM Ingest API」與「Brand LLM Ingest API」</a>，針對兩者需求提供內容授權、驗證、開價、紀錄、拒絕爬蟲等機制。草案中，他們也提出出版商和品牌方如何設計自家網站內容及設定API，才能更好與AI爬蟲系統互動、交易。他們還寫到，若不用LLM Ingest API，網站主如何用微軟近月推出的「NLWeb」框架，來打造類似於前者的功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI爬蟲 #AI搜尋流量衝擊 #出版商收益 #內容變現</span></span></strong><br /> <strong>Cloudflare推Pay per crawl機制，讓內容網站可向AI爬蟲收費來彌補廣告收入損失</strong></p> <p><a href="https://blog.cloudflare.com/introducing-pay-per-crawl/">面對AI模型大量爬取網頁內容，衝擊出版商廣告收入的挑戰，CDN服務商Cloudflare近日推出「Pay per crawl」機制，讓網站主能對AI爬蟲行為收費</a>，提供全面封鎖AI與全面開放AI之外的第三種選擇。</p> <p>此機制背後技術是HTTP 402 Payment Required回應碼與爬蟲認證機制。網站可設定每次爬蟲請求的固定價格，並根據爬蟲是否付款決定回應內容，若對方未支付或未達價格條件，則可回傳402訊息並拒絕內容存取。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/crlwrf.jpg" style="width: 650px;" /></p> <p>爬蟲程式可以重發請求並附上crawler-exact-price標頭，來支付網站主要求的價格。或者，可以在初始請求中附上crawler-max-price，主動宣告預算上限。</p> <p>Pay per crawl系統由Cloudflare作為交易平臺（Merchant of Record），協助處理爬蟲身份驗證、支付金額核對與結算紀錄。Cloudflare會將所有成功請求紀錄與費用累計，向爬蟲方請款後，分配受益給內容擁有者。此機制處於Private Beta階段，未來計畫新增動態定價等更多功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#新聞廣告 #前端效能 #CTR提升 #預渲染技術</span></span></strong><br /> <strong>日本Yahoo揭露自家如何用有限成本來優化網站前端效能，同時提升使用者體驗與廣告收入</strong></p> <p>今年LYC年度技術大會中，日本Yahoo分享自家如何用盡可能有限資源，來改善7,770萬月活躍讀者的新聞網站前端效能，以同時使用者體驗及廣告收入。</p> <p>他們曾經針對Google提出的Core Web Vitals網站效能指標來優化，及導入Back-Forward Cache（往返快取）技術後，分別提升15%單一工作階段網頁瀏覽次數（Page View）和9%的廣告營收。這次，他們則希望強化預先渲染技術（Pre-render），來加速網站內容顯示速度，並觀察是否也能廣告業務指標做出貢獻。</p> <p>他們採用Google開發的Speculation Rules API進行A/B測試，實驗預渲染哪些版位、用哪些預渲染預測規則，最能帶來實際廣告效益。實驗過新聞入口首頁、新聞文章內容等不同版位後，他們發現，在重新整理新聞文章頁面時，預渲染大版面多媒體廣告，是少數能帶來具統計意義效益提升的做法，提升2至3%點擊率（CTR）。以CTR通常只有個位數的新聞展示型廣告而言，成長幅度不小。（<a href="https://www.ithome.com.tw/news/169930">詳細兩輪實驗過程及習得教訓請見全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sharpening.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#關鍵字廣告 #廣告預算浪費</span></span></strong><br /> <strong>研究者指控Google在報表中以隱私之名隱藏低成效廣告關鍵字，以掩蓋大量浪費廣告行銷預算之實</strong></p> <p><a href="https://www.taikundigital.com/blog/the-high-cost-of-hidden-search-terms-how-google-skims-profit-from-advertisers/">數位廣告顧問商Taikun Digital近日發表一個針對Google關鍵字廣告的研究</a>，指出Google在報表中以隱私之名隱藏的廣告關鍵字（Hidden Search Terms），行銷成效較未隱藏關鍵字低上不少，並質疑，Google實際上是在隱藏廣告主預算被浪費的事實。</p> <p>此研究分析了2千萬美元的Google廣告花費，包括933個行銷專案中的1,400萬次點擊行為，發現隱藏關鍵字點擊轉換費用（CPC）高出52%、點擊率（CTR）低上44%。這不只導致行銷預算運用效率低，且無法看見低成效關鍵字，意味著廣告主無法優化投放策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Visible-vs-Hidden-Search-Term-ROAS-V3.jpg" style="width: 600px;" /></p> <p><a href="https://x.com/adsliaison/status/1942680152544034999">有Google代表針對此研究回應，強調Google隱藏關鍵字完全是出於隱私考量，並說明關鍵字被隱藏的部分規則。但未充分解釋，為何部分隱藏關鍵字行銷成效明顯較低。</a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #社群媒體行銷 #對話式資料查詢</span></span><br /> YouTube於創作者後臺測試AI分析助理，用自然語言回答頻道表現相關問題</strong></p> <p><a href="https://www.linkedin.com/posts/aniketmishralive_new-youtube-update-ask-studio-activity-7347976439763226624-09Bg/">YouTube近日測試一項名為「Ask Studio」的生成式AI問答工具。</a>功能是，總結影片留言與觀眾回饋、解析頻道與個別影片表現數據，並進一步生成下支影片的靈感與大綱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/askstudi.jpg" style="width: 600px;" /></p> <p>過去一年中，YouTube已陸續推出AI留言摘要、頻道洞察與影片靈感提示功能，此次測試則是將這些功能整合，並用聊天機器人介面呈現，來減少創作者來回切換與手動比對的作業負擔。創作者可直接詢問「哪支影片互動下降最多」或「觀眾近期關注哪些主題」，來找出相關資料。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#社群媒體行銷 #創作者合作 #行銷API</span></span></strong><br /> <strong>Meta更新Partnership Ads API，提供更多品牌與創作者進行廣告合作的選項</strong></p> <p><a href="https://developers.facebook.com/blog/post/2025/07/08/partnership-ads-api-new-features/">Meta近日發布合作廣告（Partnership Ads）API多項功能更新</a>，目標是簡化創作者變現流程，並提升品牌與創作者進行合作行銷時，呈現廣告的操作彈性。</p> <p>首先，Meta加入創作者內容成效預測機制，用AI分析合作創作者貼文，自動推薦預期成效較佳者，讓品牌挑選來作為原生廣告。另一項更新則是新增廣告標頭的顯示選項，品牌可選擇只顯示創作者名稱，省略品牌名稱，或者由系統根據預期行銷目標，自動決定是否呈現單方或雙方資訊。</p> <p>其他更新包括，開發者可透過既有Instagram合作廣告代碼上傳影片到Facebook資料庫，無須重新提供原始檔案。以及，Instagram Content Publishing API開始支援發布限時動態（Stories）格式內容，並將每日發文上限擴充至100則。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#OMO行銷 #社群媒體行銷 #數位會員經營 #SEO</span></span></strong><br /> <strong>Timberland揭露SEO策略背後的「場景佔領」心法</strong></p> <p>戶外休閒品牌Timberland臺灣暨香港品牌總監洪嘉陽近日揭露自家貫穿OMO行銷和SEO做法的心法。他強調：「消費者不是找商品，⽽是找場景解決⽅案」，因此自家行銷不追求傳統曝光效果，更在意達到「場景佔領」，也就是進入顧客生活場景中。</p> <p>他們SEO策略是，將商品關鍵字分為「品牌字」、「功能字」、「情境字」，分別用來形容品牌及商品名稱、商品功能及特性，以及商品相關情境。他們利用AI找出具有相關性的3大類關鍵字，並在電商中，自動為每個主題關鍵字產生專門主題頁面。這種做法下，顧客對商品相關功能或情境有需求時，就算不搜尋品牌名稱，也有機會在搜尋引擎中找到自家商品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/tbtagpg.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tbtagpg(1).jpg" style="width: 600px;" /></a></p> <p>開始導入此做法後後，Timberland電商的有機搜尋流量增加了64%、新顧客增加15%、分類商品頁面點擊數增加20%，從商品分類頁面進入自家電商網站的流量，更成長近3倍。一個成功案例是「媽祖遶境」主題，使健走鞋在行銷檔期間銷量提升82%、主題頁面跳出率只有6.1%，遠低於他們平時的77%跳出率。（<a href="https://www.ithome.com.tw/news/169897">更多TimberlandOMO經營做法詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#RMN #第一方數據 #跨通路行銷</span></span></strong><br /> <strong>Sam's Club在RMN平臺推出跨通路行銷成效分析及預算分配建議功能</strong></p> <p><a href="https://corporate.walmart.com/about/samsclub/news/2025/06/26/sams-club-map-launches-omni-impact-to-redefine-retail-media-measurement">Walmart旗下品牌Sam's Club的RMN後臺Member Access Platform（MAP）近期推出新量測工具Omni‑Impact，</a>結合零售第一方數據及AI技術，提供跨通路行銷成效分析和預測功能。</p> <p>新工具測量範圍包括許多接觸點，例如商品廣告、展示型廣告、自助購物App、電子報與站外廣告，並採用統一分析架構進行比較。廣告主可以用相同標準，檢視過去12個月各通路行銷策略，並按年齡層、家庭規模與會員等級等過濾條件來進行受眾分析。Omni‑Impact還有模擬功能，可依照過去成效預測未來最佳行銷通路組合，提供預算配置建議。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.business.reddit.com/blog/recommendations-in-ads-manager">Reddit在廣告投放平臺加入AI建議功能，根據商家廣告表現提供專屬優化建議</a></p> <p>2. <a href="https://support.google.com/youtube/thread/18138167?hl=en&msgid=357715920">Youtube推出同時測試不同影片標題表現的功能</a></p> <p>3. <a href="https://www.linkedin.com/posts/samclanon_announcement-over-the-last-few-months-weve-activity-7348335093515513857-fRAs/">LinkedIn推出Member Analytics API，開放第三方社群管理工具檢視廣告主個人檔案與貼文的表現數據。</a></p> <p>4. <a href="https://www.businesswire.com/news/home/20250701908787/en/CommBox-Declares-the-End-of-Traditional-Websites-with-the-Launch-of-CommSite">CommBox推出CommSite對話式平臺，在不更改網站架構的情況下為靜態網站新增自然語言互動介面</a></p> <p>資料來源：iThome整理，2025年7月</p> <p>責任編輯：郭又華</p> <p>圖片來源：IAB Tech Lab、Cloudflare、LY Coperation、Youtube、Timberland、Taikun Digital</p> <p></p> </div></div></div>
2025/7/21 09:58作者郭又華https://www.ithome.com.tw/news/170094
Ivanti SSL VPN系統零時差漏洞遭到利用，駭客用來散布MDifyLoader、Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年<a href="https://www.ithome.com.tw/news/166944">1月</a>、<a href="https://www.ithome.com.tw/news/168319">4月</a>資安業者Ivanti修補旗下SSL VPN系統Ivanti Connect Secure（ICS）重大層級資安漏洞<a href="https://www.ithome.com.tw/tags/cve-2025-0282">CVE-2025-0282</a>、<a href="https://www.ithome.com.tw/tags/cve-2025-22457">CVE-2025-22457</a>（CVSS風險皆為9.0），臺灣資安業者杜浦數位安全（TeamT5）今年3月偵測到<a href="https://www.ithome.com.tw/news/168401">中國APT駭客用來發動大規模攻擊</a>，在臺灣、日本、韓國等12個國家造成災情，駭客攻擊的範圍涵蓋近20個不同的產業，並提及駭客可能仍持續控制受害組織的環境，最近有資安組織公布新的調查結果，指出利用這兩個漏洞相關的攻擊行動，<a href="https://blogs.jpcert.or.jp/en/2025/07/ivanti_cs.html">在去年就已出現</a>。</p> <p>日本電腦緊急應變小組（JPCERT/CC）指出，他們針對今年2月、4月公布的惡意軟體<a href="https://www.ithome.com.tw/news/167430">SpawnChimera</a>、<a href="https://www.ithome.com.tw/news/168624">DslogdRAT</a>著手進行深度調查，結果找到更多專門針對ICS零時差漏洞而來的惡意程式及作案工具，駭客從去年12月開始，利用CVE-2025-0282與CVE-2025-22457從事攻擊，散布惡意程式MDifyLoader、Cobalt Strike、Vshell、Fscan，值得留意的是，相關活動迄今仍在持續進行。</p> <p>對於駭客如何入侵受害組織，JPCERT/CC並未說明，但提到一旦成功，攻擊者就會試圖部署Cobalt Strike並執行。駭客先透過工作排程執行合法的執行檔，以DLL側載手法執行惡意程式載入工具MDifyLoader，載入加密的資料並解碼，得到Cobalt Strike的Beacon，然後於記憶體內執行。針對此惡意程式載入工具的來歷，它源自於開源的libPeConv，使用RC4演算法解密檔案，其金錀來自特定執行檔的MD5雜湊值，因此此工具必須搭配EXE執行檔才能運作，附帶一提的是，駭客在MDifyLoader所有功能插入許多垃圾程式碼，導致資安系統自動偵測的難度大幅增加。</p> <p>而對於駭客使用的Cobalt Strike，在執行過程會運用1個位元組的XOR金鑰進行解密，此Beacon的組態檔案經RC4演算法處理，需搭配寫死的金鑰「google」解鎖。至於Vshell、Fscan兩個作案工具，分別是遠端存取木馬（RAT）和網路掃描工具，兩者皆可公開取得。其中，Vshell為Go語言打造而成的跨平臺RAT，但特別的是，這波攻擊使用的Vshell會偵測作業系統語言是否為中文（但JPCERT/CC並未提及是簡體或正體中文）；而Fscan同樣以Go語言開發，駭客濫用Python主程式，以DLL側載手法執行惡意程式載入工具python311.dll，從k.bin解開Fscan，並於記憶體內執行。</p> <p>在這些駭客成功入侵受害組織的網路環境之後，他們會對AD伺服器、FTP伺服器、微軟SQL Server、SSH伺服器下手，藉由暴力破解取得帳密資料。此外，駭客也會試圖運用永恆之藍（EternalBlue、MS17-010）漏洞，滲透尚未修補的SMB伺服器。透過上述活動取得的帳密，他們再藉由RDP與SMB橫向移動到其他系統，從而在整個網路環境部署惡意程式。</p> <p>此外，駭客為了能持續在網路環境活動，他們會建立新的網域帳號，並新增到現有的群組來達到目的；再者，他們也會將惡意軟體註冊為系統服務，或是工作排程，以便在受害主機開機，或是特定事件出現時啟動。</p> </div></div></div>
2025/7/21 10:05作者周峻佑https://www.ithome.com.tw/news/170149
微軟允許Exchange Server 2016、2019部份客戶購買6個月安全更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/blog/exchange/announcing-exchange-2016--2019-extended-security-update-program/4433495" target="_blank">微軟宣布今年10月預計要終止支援的Exchange Server 2016及2019將獲得6個月的展延</a>，不過只限要升級新方案Exchange SE的客戶。</p> <p><a href="https://techcommunity.microsoft.com/blog/exchange/t-6-months-exchange-server-2016-and-exchange-server-2019-end-of-support/4403017" target="_blank">微軟今年4月通知</a>Exchange Server 2016及2019連同Skype for Business，都將在10月14日終止技術支援。<a href="https://www.ithome.com.tw/news/169882" target="_blank">6月底，微軟宣布7月1日起</a>，Exchange Server、Skype for Business伺服器授權將調漲10%，用戶端授權（CAL）從8月起也調漲15%。</p> <p><a href="https://www.theregister.com/2025/07/17/microsoft_extended_security_exchange_skype_server/" target="_blank">上周微軟透過部落格宣布</a>，由於聽到部份客戶反映，需要再幾個月的安全支援來完成升級到Exchange訂閱版（Subscription Edition，SE），因此微軟將提供半年展延。從8月1日起，客戶可以聯絡微軟窗口，為Exchange 2016/2019、與Skype for Business 2015/2019伺服器軟體購買6個月延伸安全更新（Extended Security ESU）。</p> <p>伴隨Exchange Server 2016、2019、Skype for Business 2015/2019接近生命周期終結（End of Lifecycle，EoL），微軟宣布Exchange SE與Skype for Business SE，宣稱不會再有技術支援的問題。而且在此之後，Exchange Server及Skype for Business本地部署軟體也不再推出年份編號的產品。</p> <p>不過微軟強調，ESU並非延伸支援周期生命周期，因為在10月14日以後，客戶就不能再開立技術支援工單。ESU期間，客戶只能接獲重大和重要漏洞的安全更新。如果微軟有必要釋出的安全更新（Security Update，SU），只會私下提供，10月14日以後，Windows Update釋出的安全更新對象，都不會包括Exchange Server 2016/2019、Skype for Business 2015/2019。</p> <p>微軟也聲明，這次ESU效期為2026年4月14日，不會再有下次，也請用戶無需再問。</p> </div></div></div>
2025/7/21 08:36作者林妍溱https://www.ithome.com.tw/news/170150
日本警方釋出勒索軟體Phobos、8Base解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.npa.go.jp/english/bureau/cyber/ransomdamagerecovery.html" target="_blank">日本政府上周釋出勒索軟體Phobos、8Base的解密金鑰</a>。</p> <p>Phobos是2018年出現的勒索軟體即服務（ransomware-as-a-service）。雖然Phobos知名度不像其他勒索軟體那麼高，但感染範圍卻很廣。<a href="https://www.ithome.com.tw/news/135174" target="_blank">它曾在2019年底名列</a>最常見勒索軟體第三名，僅次於Ryuk與Sodinokibi。2023年一駭客組織利用修改的Phobos加密程式改造成8-base勒索軟體。駭客於2024年利用8-Base入侵丹麥聯合國機構的網路基礎架構，竊走員工檔案等內部資訊。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/us-charges-phobos-ransomware-admin-after-south-korea-extradition/" target="_blank">BleepingComputer報導</a>，由於Phobos攻擊全美超過1,000家公、私人組織網站，獲得1,600多萬美元贖金，遭到美國司法部控告，去年底一名被指為Phobos幕後主使者的俄羅斯人在南韓落網，被引渡到美國受審。</p> <p><a href="https://www.npa.go.jp/english/bureau/cyber/ransomdamagerecovery.html" target="_blank">日本警方現已將Phobos及</a><a href="http://www.npa.go.jp/english/bureau/cyber/ransomdamagerecovery.html" target="_blank">8Base</a><a href="https://www.npa.go.jp/english/bureau/cyber/ransomdamagerecovery.html" target="_blank">的解密金鑰釋出</a>，同時也提供英文版使用者指引。兩項金鑰也同時列於<a href="https://www.nomoreransom.org/en/decryption-tools.html" target="_blank">歐洲刑警組織</a>（Europol）的勒索軟體解密金鑰網站<a href="https://www.nomoreransom.org/en/decryption-tools.html" target="_blank">NoMoreRansom</a>。</p> </div></div></div>
2025/7/21 08:56作者林妍溱https://www.ithome.com.tw/news/170151
將新皮質擴展至雲端
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_qi_dian_yi_jin_tu_pian_lai_yuan_jing_ji_xin_chao_she_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">經濟新潮社</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迄今為止，利用置於頭顱內部或外部的電子裝置與大腦溝通的例子並不算多。非侵入性的做法面臨了空間與時間解析度之間的基本取捨──空間解析度是指測量大腦特定位置活動的精確度，時間解析度則是測量大腦活動何時發生的精確度。功能性磁振造影（fMRI）可測量大腦中的血流量，作為神經元發射的替代指標。大腦某部分比較活躍時，會消耗更多葡萄糖和氧氣，需要充氧血流入。fMRI可以測量到邊長約0.7至0.8公釐的立體「像素」解析度，足以獲得非常有用的資料。但是，因為實際的腦部活動與血流之間有一定的時間差，腦部活動測量在時間上通常只能精確到幾秒之內──極少可以精確到400至800毫秒以內。</p> <p>腦波圖（EEG）則有相反的問題。這種技術直接偵測腦電活動，因此可以將訊號精確到約1毫秒之內。但因為訊號是從頭顱外部偵測的，很難精確指出訊號來自大腦哪個位置，空間解析度只有6至8立方公分，有時可以提高到1至3立方公分。</p> <p>截至2023年，腦部掃描的空間與時間解析度取捨，是神經科學面臨的主要困難之一。這些限制源自血液流動和腦電活動的基本物理原理，因此即使應用AI和較為先進的感測技術可以稍微改善問題，它們也很可能不足以成就精密的腦機介面。</p> <p>將電極置入大腦內部可以避免上述的空間與時間解析度取捨，而且可以直接記錄個別神經元的活動，還能刺激它們，形成雙向溝通。但以現行技術將電極置入腦部必須在頭顱上鑽孔，有可能損害神經結構。因此，迄今為止，這種方法基本上是用來幫助殘障者，例如喪失聽力或癱瘓的人，因為對他們來說，潛在的好處足以彌補他們承受的風險。例如BrainGate系統使肌萎縮性側索硬化症（俗稱「漸凍人症」）患者或脊髓受傷者利用意念就能操作電腦游標或機械手臂。但因為這種輔助技術一次只能連接相當少量的神經元，它無法處理語言之類的高度複雜訊號。</p> <p>開發出將意念轉為文字（thought-to-text）的技術將是重大突破，因此有一些研究希望能開發出將腦電波翻譯為語言的工具。</p> <p>伊隆．馬斯克（Elon Musk）的Neuralink是擴展至更多神經元最雄心勃勃的嘗試之一，它同時將一大組線狀電極植入腦部。利用實驗室老鼠做的測試證明牠可以讀取1,500個電極的資料，遠多於其他研究專案的數百個。後來被植入該裝置的一隻猴子能夠使用它來玩電子遊戲Pong。在花了一段時間克服監管問題之後，Neuralink於2023年獲得美國食品藥物管理局（FDA）批准開始進行人體試驗，並在本書付印時，首次將它有1,024個電極的裝置植入了人腦。</p> <p>與此同時，美國國防部的國防高等研究計劃署（DARPA）正致力於一個名為「神經工程系統設計」（Neural Engineering System Design）的長期專案，目標是創造出一種介面，可以連接100萬個神經元以記錄其活動，並且能刺激10萬個神經元。為了達成這個目標，DARPA資助了數個不同的研究計畫，包括資助布朗大學一個團隊開發沙粒大小的「神經顆粒」（neurograin）──這種裝置可以植入大腦，能連接神經元和彼此連接，由此創造出一個「皮質內部網路」（cortical intranet）。</p> <p>腦機介面最終將基本上是非侵入性的──很可能是利用血液將無害的奈米尺度電極置入腦部。</p> <p>那麼，我們需要多大的計算能力來記錄大腦的活動？如前所述，模擬人腦的總計算量很可能約為每秒1014次計算或少一些。注意，這是基於人腦真實結構的模擬，而且能夠通過圖靈測試，並且在所有其他方面都能使外部觀察者覺得是人腦。但它未必包括人腦中並非產生這種可觀察行為所需的許多種活動。例如，細胞內的一些活動，像是神經元細胞核內的DNA修復，是否與認知有關就很有疑問。</p> <p>但是，即使大腦中每秒發生1014次計算，腦機介面也可以忽略其中的大部分，因為那些只是發生在遠離新皮質頂層的初步活動。腦機介面只需要與新皮質最上方部分溝通，而且可以完全忽略與認知無關的腦部過程，例如消化調節。因此，我估計一個實用的腦機介面只需要數百萬至數千萬個同步連結。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>基於奈米機器人的腦機介面裝置，可望為人腦加上虛擬新皮質</strong></span></span></p> <p>要達到這種數目的連結，介面裝置必須日益微型化──而我們將越來越仰賴先進AI來解決這當中巨大的工程和神經科學難題。在2030年代某個時候，我們將使用被稱為奈米機器人（nanobots）的微型裝置來達到這個目標。這些微型電子裝置將把我們的新皮質最上方部分連接到雲端，使我們的神經元能與線上的模擬神經元直接溝通。這將不需要某種科幻式腦部手術──我們將能夠經由微血管以非侵入方式將奈米機器人送入大腦。屆時，人腦的大小將不再受限於胎兒出生時必須能通過產道那樣的尺寸，而是可以無限擴大。也就是說，我們為人腦加了第一層虛擬新皮質之後，事情並非就此結束──我們還可以在此基礎上堆疊更多層虛擬新皮質（計算上而言），以獲得更複雜的認知能力。隨著本世紀繼續前行和計算能力的性價比繼續指數式提升，我們的大腦可用的計算能力也將指數式增加。</p> <p>我們上次獲得更多新皮質是在兩百萬年前，還記得當時發生了什麼事嗎？當時我們變成了人類。當我們可以經由雲端獲得更多新皮質時，我們的認知抽象能力將大躍進，其意義之巨大很可能類似於兩百萬年前那個里程碑。結果將是我們發明新的表達方式，它們將比現今的藝術和技術所能做到的豐富得多，其深度將是我們現在無法想像的。</p> <p>想像未來的藝術表達方式會是什麼樣子，有其固有的限制。但是，以上一次的新皮質革命作為類比可能有幫助。試想猴子（一種非常聰明的動物，其腦部與人腦大致相似）看電影會是怎樣的情況。猴子不會完全無法理解電影情節，例如牠能夠認出螢幕上有人類在說話。但猴子無法理解對白，也無法理解抽象的概念，例如「戲中角色穿著金屬盔甲，代表故事的時代背景為中世紀」。人類的前額葉皮質使我們躍進到能夠理解這一切。</p> <p>因此，試想一下，當我們為那些新皮質連接到雲端的人創作藝術時，不會只是利用更好的電腦影像特效或味覺和嗅覺之類的誘人感官體驗，而是將開創大腦本身處理體驗的全新可能。例如現在的演員只能利用言語和外部肢體表達來傳達角色的想法，但我們最終可能會有一種藝術，將角色原始、無組織、非語言的思想，帶著其無法表達的美感和複雜性，直接置入我們的大腦。腦機介面將以諸如此類的方式，使我們的文化變得更豐富。</p> <p>這將是一種共同創造的過程──我們的心智演變以釋放更深的洞察力，並利用這些能力產生超越的新意念，提供給我們未來的心智去探索。最後，我們將利用能夠重新設計自己的AI，取得我們自己的原始碼。因為這種技術將使我們能與我們正在創造的超級智能融合，我們實際上將是在重新塑造自己。我們的心智將脫離頭顱的束縛，在比生物組織快數百萬倍的基質上處理資料，將有能力指數式成長，最終使我們的智能擴大數百萬倍。這就是我的奇點定義的核心。<strong>（摘錄自《奇點已近：當人類與AI融合一體》，經濟新潮社提供）</strong></p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3366ff;"> 站在指數時代的浪潮之巔 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>早在2005年的《奇點臨近》（The Singularity Is Near），Ray Kurzweil就以其獨到的洞察力和嚴謹的數據分析，預言了科技指數型發展將帶來的顛覆性變革。當時，他預測的2045年奇點對許多人來說，似乎還遙不可及。然而，20年過去了，世界變化的速度，特別是AI領域的突破，不僅印證了他當年的遠見，甚至有加速的趨勢。這本《奇點已近》可說是前作的延伸與深化，更聚焦於我們通往那個「智能大爆炸」未來的最後一哩路。</strong></span></p> <p><span style="color:#696969;"><strong>Ray Kurzweil的核心論點「加速回報定律」（Law of Accelerating Returns）指出，資訊科技（如計算能力）的性價比呈現指數級提升，因為每一代的進步都為下一代的發展奠定了更高效的基礎。這不僅僅是摩爾定律的延伸，而是一個更根本的動力。書中那張令人印象深刻的圖表，顯示了從1939年至今，一美元能買到的計算能力呈現了跨越數個技術範式的驚人指數成長。截至2023年，這個數字已達到約1,300億次/秒/美元，相較於《奇點臨近》出版時，提升了超過10,000倍！這種計算能力的普及與成本下降，正是點燃這波AI革命的關鍵燃料。</strong></span></p> <p><span style="color:#696969;"><strong>Ray Kurzweil預測AI將在2029年前通過圖靈測試，這個時間點比許多專家原先預期的要早得多，但從近年的發展來看，這個預測似乎越來越有可能實現。</strong></span></p> <p><span style="color:#696969;"><strong>Ray Kurzweil預言，在2030年代，我們將能透過腦機介面（Brain-Computer Interfaces），利用奈米機器人將我們大腦的新皮質（Neocortex）與雲端AI直接連結。這不僅僅是外接硬碟式的記憶擴充，而是認知能力的根本性提升。我們將能夠增加思考的抽象層次，處理遠超今日所能想像的複雜概念。屆時，AI不再是我們的競爭對手，而是我們自身智能的延伸。我們將與我們創造的超級人工智慧融合，成為「超人類」（Transcendent Humans）。</strong></span></p> <p><span style="color:#696969;"><strong>這個構想引發了一系列關於「我是誰？」的深刻提問。意識的本質是什麼？當我們的思維大部分由非生物元件構成時，我們還是原來的自己嗎？自由意志是否存在？複製一個人的心智檔案，那個複製品算是同一個人嗎？Kurzweil 在書中坦誠地探討了這些「難題」（Hard Problems），並從資訊模式連續性的角度，提出了他對身分認同的看法。他認為，只要定義我們的模式（包括記憶、技能和個性）得以延續，即使構成的基質從生物碳基轉變為矽基，我們的本質依然存在。這也為「數位永生」（Digital Immortality）的可能性開啟了一扇窗。</strong></span></p> <p><span style="color:#696969;"><strong>當然，通往奇點的道路並非坦途。Ray Kurzweil也用了相當的篇幅討論潛在的危險。生物科技的濫用可能製造出超級病毒；奈米技術的失控可能導致「灰蠱」（Gray Goo）災難；而最令人擔憂的是，超級AI若未能與人類價值觀對齊（Alignment Problem），可能帶來無法預測的生存風險。他強調，我們必須積極投入AI安全和倫理的研究，建立有效的防禦機制和國際規範，確保這些強大的技術是用於造福全人類。</strong></span></p> <p><span style="color:#696969;"><strong>作為一個科技創業者，我深信技術本身是中性的，其影響取決於我們如何使用它。《奇點已近》描繪了一個既充滿無限可能、也潛藏巨大風險的未來。它提醒我們，科技的指數型發展已是不可逆的趨勢，與其恐懼或抗拒，不如積極擁抱、理解並引導這股力量。書中的數據和預測，為我們擘劃了一幅清晰的藍圖，讓我們得以思考企業如何轉型、社會如何調適、個人如何學習，以應對即將到來的巨變。（摘錄自《奇點已近》推薦序，文／程世嘉(Sega Cheng)，iKala共同創辦人暨執行長）</strong></span></p> <p class="rtecenter"><a href="https://www.cite.com.tw/book?id=103694&srsltid=AfmBOooqApxkudk6j7qqrSvAZXXUtpqTF79NM5K1N_Dp5Ju9z9IgW-9Z" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%A5%87%E9%BB%9E%E5%B7%B2%E8%BF%91_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%B6%93%E6%BF%9F%E6%96%B0%E6%BD%AE%E7%A4%BE.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_經濟新潮社</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 奇點已近：當人類與AI融合一體（The Singularity Is Nearer: When We Merge with AI）</strong></p> <p>雷．庫茲威爾（Ray Kurzweil）／著；許瑞宋／譯</p> <p>經濟新潮社出版</p> <p>定價：680元</p> <p><a href="http://www.su.org/team/ray-kurzweil" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/200_%E5%A5%87%E9%BB%9E%E5%B7%B2%E8%BF%91_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Singularity.png" style="width: 130px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>雷．庫茲威爾（Ray Kurzweil）</strong></p> <p>世界級發明家、思想家和未來學家，三十五年來大量預測證實準確。六十三年來一直是人工智慧領域的領先開發者，時間之久超越所有其他在世者。他是許多技術的主要發明者，包括第一台CCD平台式掃描器、全字體光學字元識別、盲人使用的印刷文字轉語音閱讀器、文字轉語音合成器、能夠重現平臺鋼琴和其他管弦樂器聲音的音樂合成器，以及商業化銷售的可處理大量詞彙的語音識別軟體。</p> <p>他因為在音樂技術方面的傑出成就而榮獲葛萊美獎，他也是美國國家科技獎章的得主，並入選美國發明家名人堂。<a href="https://www.su.org/team/ray-kurzweil" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Singularity</span></span></a></p> </div></div></div>
2025/7/20 07:00未署名https://www.ithome.com.tw/article/170147
AWS S3 Vectors預覽上線，支援原生向量資料儲存、查詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布<a href="https://aws.amazon.com/about-aws/whats-new/2025/07/amazon-s3-vectors-preview-native-support-storing-querying-vectors/">推出</a>Amazon S3 Vectors預覽版，這是Amazon S3原生支援向量資料儲存與查詢的服務，目的是解決各種人工智慧應用向量資料處理的儲存成本及效能問題。官方表示，透過針對向量最佳化的儲存桶與索引設計，S3 Vectors可將向量資料的上傳、儲存與查詢成本最高降低90％，並維持次秒級查詢效能。</p> <p>向量資料目前廣泛應用於人工智慧與機器學習領域，並已成為多種人工智慧應用的重要資料結構。現行多數雲端物件儲存服務並未針對向量資料特性設計，導致大規模向量資料在管理與查詢時的成本及效能表現有限。</p> <p>AWS表示，S3 Vectors在Amazon S3原有的彈性、擴充性與耐用性基礎上，新增針對向量資料設計的儲存模式，並以獨立的API提供存取與查詢功能，使用者不需要自行架設或管理額外基礎設施即可使用。S3 Vectors同時提供強一致性的資料存取特性，使用者寫入的資料可立即進行查詢，而隨著資料持續更新與擴展，該服務也會自動最佳化向量資料，兼顧成本效益與查詢效能。</p> <p>針對實際應用面，S3 Vectors特別強調可支援語意相似度搜尋，並允許使用者將相關的後設資料直接附加於向量資料中，方便之後根據特定條件篩選查詢結果，讓搜尋更精確符合使用需求。</p> <p><a href="https://docs.aws.amazon.com/AmazonS3/latest/userguide/s3-vectors.html">S3 Vectors與其他AWS服務高度整合</a>，可與Amazon OpenSearch Service與Amazon Bedrock Knowledge Bases等服務搭配使用，提升向量資料管理彈性。使用者可將向量資料集匯出至OpenSearch Serverless，支援高頻即時查詢與低延遲應用，在Bedrock與SageMaker Unified Studio中，也能以S3 Vectors作為RAG等向量儲存基礎，降低儲存成本並簡化開發流程。</p> <p>目前AWS S3 Vectors的預覽版已於美東、美西、亞太與歐洲地區開放。</p> </div></div></div>
2025/7/20 07:45作者李建興https://www.ithome.com.tw/news/170146
Apache HTTP Server高風險漏洞遭濫用，主機淪為駭客挖礦工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商Vulncheck<a href="https://www.vulncheck.com/blog/linuxsys-cryptominer">發現</a>有攻擊者利用Apache HTTP Server的高風險漏洞，入侵伺服器部署加密貨幣挖礦惡意軟體Linuxsys。這波攻擊行動持續時間長且手法隱蔽，影響範圍涵蓋約400臺主機，研究人員提醒企業應修補相關漏洞強化監控，以防主機遭到入侵濫用。</p> <p>攻擊行動鎖定的是Apache HTTP Server於2021年被發現的高風險漏洞CVE-2021-41773，該漏洞容易被遠端攻擊者利用，並可繞過權限控管。研究人員表示，駭客透過自動化腳本，結合多個漏洞進行攻擊，先取得目標主機權限，再下載並執行名為Linuxsys的挖礦程式，進行加密貨幣運算。</p> <p>這波攻擊最大的特點，是攻擊者並非直接從自己架設的主機散布惡意程式，而是先入侵第三方的合法網站，將惡意腳本和執行檔偷偷放進這些網站的目錄下。攻擊腳本會利用curl或wget等工具，自動從這些被入侵的網站下載設定檔和主要程式，並且設計成如果一個網站下載失敗，會自動嘗試從其他被入侵的網站再下載一次，這樣不僅提高攻擊成功率，也更難被偵測發現。此外，這些腳本還會自動建立排程，讓挖礦程式在系統重開機後也會自動執行，確保攻擊長期有效。</p> <p>研究人員提到，被植入的Linuxsys程式會將受害主機運算資源導向Monero（XMR）加密貨幣礦池，例如hashvault.pro等，利用XMRig進行加密貨幣挖礦。攻擊者所掌控的礦工數量約在400臺主機左右，每日平均收益雖僅約0.024 XMR，折合新臺幣約數百元，規模並不算大，但由於手法長期且隱蔽，還會持續利用多個漏洞更新感染主機來源，對於未修補系統的企業與主機營運商而言，是一個不容忽視的風險。</p> <p>值得注意的是，攻擊活動可能不僅限於Linux平臺，研究人員發現，部分被入侵的合法網站同時被放置了Windows平臺的惡意執行檔，顯示攻擊者具備跨平臺行動能力，不過，目前仍以Linux環境為主要攻擊目標。</p> </div></div></div>
2025/7/20 06:47作者李建興https://www.ithome.com.tw/news/170143
川普簽署穩定幣監管法案《GENIUS Act》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/fact-sheets/2025/07/fact-sheet-president-donald-j-trump-signs-genius-act-into-law/" target="_blank">美國總統川普（Donald Trump）上周五（7/18）簽署了穩定幣監管法案《GENIUS Act》</a>（Guiding and Establishing National Innovation for U.S. Stablecoins Act of 2025），該法案因其縮寫也被外界稱為天才法案，這是美國首個針對加密貨幣的聯邦立法，建立了穩定幣的法定結構及標準。</p> <p>《GENIUS Act》主要針對與美元掛鉤的支付穩定幣（Payment Stablecoin)，這類穩定幣的目的是模擬數位美元的功能，作為日常交易支付工具，並具備價格穩定、快速結算及高可用性等特性，目前市場上與美元掛鉤的穩定幣估計超過20種，整體規模超過2,380億美元，但<a href="https://coinmarketcap.com/" target="_blank">前兩大</a>Tether USDT及Circle USDC便分別占了1,608億美元及650億美元，達9成以上。</p> <p>《GENIUS Act》要求業者必須取得監管機關的許可才能發行穩定幣，並以美元或短期國債等高度流動資產執行1:1的儲備支援，必須每月定期披露儲備構成及穩定幣發行量，必須遵守反洗錢規範，同時也明文禁止發行演算法穩定幣（Algorithmic Stablecoin）。</p> <p>演算法穩定幣指的是藉由智慧合約及演算法來自動調節穩定幣的發行量，維持其價格穩定，而且不必提供現金、法幣或加密資產作為抵押，例如TerraUSD（UST）。UST依靠LUNA代幣的價格支撐，但當市場恐慌拋售UST時，為穩定其價值需大量銷毀UST並鑄造LUNA，導致LUNA價格暴跌，形成死亡螺旋金，最終雙幣價格雙雙崩潰，<a href="https://www.ithome.com.tw/news/150911" target="_blank">引發整個Terra生態崩盤</a>。</p> <p>新法案將會在川普簽署後的18個月或是監管機構發布最終實施規則後的120天，取其較早者生效。</p> <p>雖然《GENIUS Act》輕鬆通過參議院與眾議院的表決，但仍有人批評該法案未能阻止公職人員推廣個人代幣或是從匿名交易中利，也有人說其監管框架過於薄弱。川普的兒子在2024年9月成立加密貨幣公司World Liberty Financial，並在今年3月發行與美元掛鉤的USD1穩定幣，目前USD1市值為22億美元，在全球加密貨幣排行榜上位居47名。</p> </div></div></div>
2025/7/20 07:13作者陳曉莉https://www.ithome.com.tw/news/170148
Nord Security跨入威脅情資領域，整合暗網監控與攻擊面管理
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nordstellar-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以個人端VPN服務NordVPN著稱，Nord Security持續擴展資安產品版圖，去年上半發表威脅暴露管理平臺（Threat Exposure Management Platform），名為NordStellar，可針對企業面臨的網路威脅、資料外洩、帳號遭劫持、釣魚詐騙等惡意活動，提供偵測與應變的能力，號稱可降低勒索軟體攻擊的風險。今年上半，代理商台灣二版開始推廣這套解決方案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nord Security Portfolio-2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nord%20Security%20Portfolio-2025.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nord Security milestone.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nord%20Security%20milestone.jpg" style="width: 600px;" /></a></p> <p>NordStellar的最大賣點，在於運用自動監控機制，提供廣泛的防護，以及涵蓋員工、品牌、企業的暗網監控能力，可預防使用者帳號遭人冒用與侵入、識別暴露在惡意軟體攻擊威脅的程度，縮短企業偵測資料外洩活動的時間，避免員工身分遭竊取，並且節省投入這些工作所需耗用的人力資源。</p> <h3><strong><span style="color:#0000FF;">及早掌握企業相關資訊是否出現在暗網</span></strong></h3> <p>去年7月NordStellar開放暗網監控功能的測試，Nord Security表示，這項防護能整合多個來源的網路威脅情報，例如，暗網論壇、深網搜尋引擎、不法市場、駭客社群、Telegram頻道，追蹤與查詢與公司有關聯的多個關鍵字，一旦出現被提及的內容，企業能獲得警示，可提高主動識別相關資安風險來源的能力，進而及早採取保護自身與客戶的行動，預防後續可能發生的資安事故或商譽損失。</p> <p>一般而言，上述的地下管道可能出現許多重要的威脅情資，像是偽裝合法產品但內嵌惡意軟體的應用軟體、遭竊的顧客帳戶、企業的後門，都會在此進行拍賣，對於企業與資安廠商而言，若能掌握這些來源的相關動向，就有機會早一步降低或緩解相關的風險，同時，也能從攻擊者的角度，了解與釐清企業本身存在的資安防護空隙。</p> <p>除此之外，企業也能透過NordStellar，確認這些管道是否存在外洩員工資料、惡意軟體活動的信號，並且提供預防顧客帳號遭冒用的解決方案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NordStellar Dark Web Monitoring.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NordStellar%20Dark%20Web%20Monitoring.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>提供外部攻擊面管理功能</strong></span></h3> <p>到了今年2月，NordStellar正式擴增攻擊面管理（Attack Surface Management，ASM）的功能，可針對組織暴露在網際網路環境的數位資產，提供持續監控與評估能力，協助資安團隊發現與管理未經授權且暴露在安全風險下的IT資源，提升「影子IT」狀況的能見度與IT營運效率。</p> <p>而且，此系統提供的ASM可自動探查組織的資安防護缺口，改善整體資安態勢，確保資安團隊具備足以有效管理攻擊面的洞察分析資訊，對於可能導致的資安風險，也會列出處理的優先順序，促使矯正工作能聚焦在最重大的狀況，如此一來，也便於後續可盡量縮小暴露在外部資安威脅能夠攻擊的部分，抑制攻擊行動得以成功的因素，進而符合弱點評估層面的法規遵循需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NordStellar Attack Surface Management1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NordStellar%20Attack%20Surface%20Management1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NordStellar Attack Surface Management2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NordStellar%20Attack%20Surface%20Management2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NordStellar Attack Surface Management3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NordStellar%20Attack%20Surface%20Management3.jpg" style="width: 600px;" /></a></p> <p>NordStellar在此提供兩個模組。首先，是資產自動探查，能透過多種處理程序的執行，像是網域名稱列舉、網頁爬取，以及其他可取得開放來源情資的方法，對組織所有可連接網際網路的資產，例如網站伺服器、應用系統、連網設備，進行自動識別與分門別類，產生整個IT基礎架構的具體對應。</p> <p>第二是外部弱點管理，能對找到的資產執行監控，以及運用被動建立服務指紋（passive service fingerprinting）的方式，與掃描已知漏洞等程序，獲得相關資訊，這些情報將有助於企業提升後續復原的效率。</p> <p>除此之外，NordStellar的ASM也會根據嚴重程度、濫用可能性，以及潛在的衝擊，評估漏洞處理的優先順序。</p> <p>若新的漏洞出現、攻擊面有異動，NordStellar的ASM將提供即時警示，以及企業攻擊面與相關風險的全面報告。</p> <p><strong><span style="color:#0000FF;">結合多種分析技術，持續監督企業網域名稱是否遭人非法註冊</span></strong></p> <p>針對網域名稱搶先註冊（cybersquatting或Domain squatting）的威脅，NordStellar開始提供採用AI分析技術而成的偵測功能，由於網路釣魚、散播惡意軟體、寄放詐騙內容等手法，經常搭配這類攻擊，因此，企業也必須具備察覺與預防的能力。</p> <p>這項功能可自動偵測既有與新登記在案的網域名稱，檢查它們是否非常類似已存在的各個品牌，並且持續追蹤網域名稱的有效期間，以及變更的狀況，協助企業及早得知品牌已遭遇這類攻擊，並從中獲得洞察分析資訊，阻止網路犯罪者繼續冒用這些網域名稱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nordstellar%20cybersquatting3.jpg" style="width: 300px;" /></p> <p>Nord Security表示，他們不僅使用基本的字串比較，也搭配能精準識別的演算法，並且運用相似度判定的演算法、威脅情資餵送服務的資料，以及WHOIS這個通用的網域名稱註冊資訊查詢服務，決定網域名稱的風險。</p> <p>此外，NordStellar也導入基於AI技術而成的解決方案，分析對方這麼做的意圖，進一步檢驗資安威脅的類型、可信程度、嚴重等級、支撐判定的證據，並產生接下來著手處理的建議步驟，例如，更深入調查網域名稱狀態、向網域註冊機構發出移除域名的請求，或是從網路的層級封鎖域名。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nordstellar cybersquatting2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nordstellar%20cybersquatting2.jpg" style="width: 500px;" /></a></p> <p>若偵測到網域名稱搶先註冊的狀況，NordStellar也提供即時警示與通知，能基於用戶設置的事件類型與風險等級等種種條件，經由電子郵件、協同作業平臺Slack，以及NordStellar平臺本身，發送相關資訊提醒用戶注意。關於調查可疑網域名稱的功能操作上，這套系統除了整合上述的相似度分析與WHOIS資訊整合，也提供螢幕擷圖、網域名稱跳轉鏈追蹤（Redirect Chains）等方式，進行蒐證與解析。</p> <p>藉由上述功能的使用，Nord Security希望能縮短企業因應這類攻擊行為的時間，在事態嚴重性升級之前，就能採取預防行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nordstellar cybersquatting.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nordstellar%20cybersquatting.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">NordStellar</span></strong><br /> ●代理商：台灣二版<br /> ●原廠：Nord Security<br /> ●建議售價：基礎版每年3千美元起，5個使用者與1個網域，監控200個資產<br /> ●版本區分：基礎版、核心版、企業版<br /> ●防護功能：網路威脅監控（資料外洩監控、暗網監控、網域名稱搶先註冊偵測）、外部攻擊面管理（外部弱點掃描）、網路威脅情報<br /> ●可預防的資安威脅類型：帳號遭搶走、連線階段遭綁架、網域名稱搶先註冊</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/7/19 13:51作者李宗翰https://www.ithome.com.tw/review/170112
導入輝達GB200平臺，AWS最高階Blackwell GPU運算雲上場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_p6e-gb200-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>搶食建置AI工廠商機，採用輝達Blackwell架構GPU的加速運算服務，三大公有雲業者今年皆已陸續推出，最近我們整理<a href="https://www.ithome.com.tw/review/169912">Google Cloud供應的解決方案</a>，稍早曾介紹另一家廠商AWS的動向，他們在 5月推出採用Nvidia B200 GPU的執行個體服務<a href="https://www.ithome.com.tw/review/169732">P6-B200</a>，基於Nvidia GB200 NVL72的執行個體，則是在7月9日宣布正式推出，名為P6e-GB200。</p> <p>AWS強調，這套雲端執行個體，不僅針對AI訓練與推論的工作負載，提供更強大的GPU運算效能，還能夠搭配AWS設計的專屬網路加速卡EFA（Elastic Fabric Adapter），提供高頻寬、低延遲的網路連線能力，並以此連接多個Amazon EC2執行個體，建構叢集運算伺服器Amazon EC2 UltraServers。</p> <p>在產品定位上，P6e-GB200 UltraServers適合執行運算與記憶體需求最大規模的AI工作負載，像是混合專家模型（MOE）、推理模型等最先進的模型，參數規模高達數兆，可即時處理超大規模上下文（context windows）或支撐高度平行運作（high-concurrency）的應用系統。</p> <p>企業若想使用這樣的運算服務，可經由EC2 Capacity Blocks for ML的模式，進行容量預留的訂購程序，伺服器硬體設置在AWS的本地區域（Local Zone）達拉斯us-east-1-dfw-2a，是從美國東部（維吉尼亞北部）區域延伸出來的資料中心。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS GB200-36-72-2025-07.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20GB200-36-72-2025-07.jpg" style="width: 600px;" /></a></p> <p>除了透過上述形式供應用戶進行AI訓練與推論，AWS旗下已有幾款應用服務整合P6e-GB200 UltraServers，像是用於超大AI模型分散式訓練的Amazon SageMaker Hyperpod、容器服務平臺Amazon EKS，以及檔案儲存系統服務Amazon FSx for Lustre。</p> <h3><span style="color:#0000FF;"><strong>單一伺服器系統提供72個輝達Blackwell架構資料中心GPU，以及13.4 TB容量的高頻寬記憶體</strong></span></h3> <p>P6e-GB200 UltraServers目前提供兩種服務組態：u-p6e-gb200x36、u-p6e-gb200x72，最大差異在於，可分別提供1,296個vCPU、36個B200 GPU，以及2,592個vCPU、72個B200 GPU。</p> <p>為何會有這樣的供應方式？這可能與Nvidia GB200 NVL72去年剛推出時，曾有兩種硬體組建方式有關。</p> <p>一般而言，目前較常被談論的Nvidia GB200 NVL72平臺，是由36個Nvidia GB200 Grace Blackwell Superchip組成，每個GB200有1個內建72核心Grace處理器，以及2個內建HBM3e記憶體186 GB的B200 GPU，就機櫃組建方式而言，每座NVL72系統包含18臺1U尺寸運算節點（每臺設置兩個GB200 Superchip），總共提供2,592個vCPU、72個B200 GPU（HBM3e記憶體13.4 TB）。</p> <p>然而，去年在GTC大會與台北國際電腦展期間，曾有多家伺服器廠商展示另一種組建方式，採用2組Nvidia GB200 NVL36平臺。基本上，NVL36是由18個Nvidia GB200 Grace Blackwell Superchip組成，就機櫃組建方式而言，每座機櫃包含9臺內建兩個GB200 Superchip的運算節點，因此，也出現基於NVL36的雙櫃版Nvidia GB200 NVL72（<a href="https://docs.nvidia.com/multi-node-nvlink-systems/multi-node-tuning-guide/system.html">NVL36x2</a>）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20NVL36-2-gpu_arch.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20GB200%20NVL72-2025-07-Dual%20Rack.jpg" style="width: 208px;" /></p> <p>若對照AWS在7月10日釋出的YouTube影片畫面來看，P6e-GB200明顯有別於單櫃版Nvidia GB200 NVL72，因為他們展示的硬體設備是兩個機櫃，應該是採用NVL36x2的架構組建而成的；而且，兩個機櫃的中段部位，有多條纜線互連，對照NVL36x2配置來看，這9臺設備應該是NVLink Switch；兩個機櫃上半部都有5臺設備，下半部也同樣有4臺設備，而且每臺機箱高度較大，對照NVL36x2配置來看，這些應該是運算節點，而且是採用2U尺寸機箱（單櫃版NVL72的運算節點高度為1U）。</p> <h3><span style="color:#0000FF;"><strong>搭配AWS自研網路技術，結合Nvidia GPUDirect直連技術</strong></span></h3> <p>相較於其他同樣採用Nvidia GB200 NVL72的公有雲服務，AWS的P6e-GB200除了標榜加速運算效能的突破，獨到之處在於橫向擴展網路（scale out network）的部分，與稍早推出的P6-B200一樣，都搭配他們自行研發的網路加速技術EFA。EFA屬於AWS自研基礎架構平臺Nitro System的一部分技術，當中搭配最新一代的Nitro控制器，而成為第四代EFA網卡（EFAv4），可針對每一臺UltraServer（u-p6e-gb200x36或u-p6e-gb200x72），提供高達28.8 Tbps的網路聚合頻寬（aggregate bandwidth）。若以此擴展多臺伺服器規模而成為UltraCluster，能支撐數萬個GPU的網路互連存取需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS P6-B200-Nitro Network.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20P6-B200-Nitro%20Network.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS P6-B200-Nitro Network0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20P6-B200-Nitro%20Network0.jpg" style="width: 298px;" /></a></p> <p>AWS表示，P6e-GB200 UltraServers目前部署在AWS第三代EC2 UltraClusters，而這個叢集環境的<a href="https://aws.amazon.com/tw/blogs/machine-learning/aws-ai-infrastructure-with-nvidia-blackwell-two-powerful-compute-solutions-for-the-next-frontier-of-ai/">電力耗用可減少40％，纜線設置需求降幅高達80％</a>，不僅提升運作效率，潛在故障點（potential points of failure）的數量也將隨之顯著縮減。相較之下，AWS前幾年推出的Nvidia加速運算執行個體，可部署在<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-p5-instances-powered-by-nvidia-h100-tensor-core-gpus-for-accelerating-generative-ai-and-hpc-applications/">EC2 UltraCluster 2.0</a>，像是P5、P5en，單一UltraCluster最多能容納2萬個H100 GPU或H200 GPU。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS UltraCluster 2_0-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20UltraCluster%202_0-2023.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-p4d_ultracluister_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-p4d_ultracluister_1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster 2_0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster%202_0.jpg" style="width: 298px;" /></a></p> <p>令人好奇的是，在EC2 UltraCluster第三代環境下，單一UltraCluster可容納多少個GPU？目前我們並未找到AWS公開文件記載，不過，<a href="https://aws.amazon.com/tw/blogs/containers/amazon-eks-enables-ultra-scale-ai-ml-workloads-with-support-for-100k-nodes-per-cluster/">7月中AWS揭露容器服務Amazon EKS近況時</a>，曾提到單一叢集可支援10萬臺工作節點，最大可支援160萬個AWS Trainium加速器（160臺Trn2執行個體），或是80萬個Nvidia GPU（10萬臺配備8個Nvidia H200的P5e執行個體，或配備8個Nvidia B200的P6執行個體）。或許上述組態間接呈現EC2 UltraCluster第三代的GPU叢集最大規模，但仍有待AWS正式文件交代這方面規格。</p> <p>而在網路介面上，P6e-GB200 搭配的EFA，也能運用AWS發展的網路傳輸協定SRD，透過動態路由的方式，橫跨多個路徑、更聰明地處理網路流量，可增加網路吞吐量與降低尾段延遲，藉此避免網路流量變慢或停擺。而對於稍早推出的P6-B200與最新上線的P6e-GB200而言，配備EFAv4之後，能獲得多大的網路通訊成效？AWS表示，相較於採用EFAv3的P5en執行個體，<a href="https://aws.amazon.com/tw/blogs/machine-learning/aws-ai-infrastructure-with-nvidia-blackwell-two-powerful-compute-solutions-for-the-next-frontier-of-ai/">在分散式AI訓練的工作負載的集體通訊速度上，領先幅度可達到18％</a>。</p> <p>除此之外，EFA也能配合<a href="https://docs.nvidia.com/cuda/gpudirect-rdma/">Nvidia GPUDirect RDMA</a>，透過<a href="http://nvidianews.nvidia.com/news/aws-and-nvidia-collaborate-on-next-generation-infrastructure-for-training-large-machine-learning-models-and-building-generative-ai-applications">EFA內建AWS自行設計的作業系統整合這項直連技術</a>，協助AWS多臺伺服器或運算節點的各個GPU，經由網路卡進行更直接地彼此溝通，無須先傳至本身的CPU與記憶體，使得系統內部的GPU之間能以低延遲的方式通訊。</p> <p>針對縱向擴展網路（scale up network）的部分，GB200運算節點之間可經由Nvidia NVLink互連，建立緊耦合的交織網路，進而提供內建72個Blackwell GPU、總頻寬為132 Tbps的單一NVLink網域，並藉此形成一整臺具有超強運算效能的UltraServer，可享有統一的GPU記憶體空間與協同、一致的工作負載分配。</p> <p>同樣是單一NVLink網域，若以AWS既有的Amazon EC2加速運算執行個體P5en為基準，AWS表示，P6e-GB200運算能力提升幅度超過20倍，GPU記憶體容量增加幅度超過11倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS GB200-2024-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20GB200-2024-12-1.jpg" style="width: 600px;" /></a></p> <p>GPU性能大增之餘，為了管理多臺NVLink Switch，AWS在此運用基於Nitro技術而成的前端節點（head node），可藉此減少網路裝置運作數量，並將NVLink納入Nitro可信任網域（trusted domain）的管理範疇。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS P6-B200-Nitro Head Node-NVLink Switch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20P6-B200-Nitro%20Head%20Node-NVLink%20SwitchA.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20P6-B200-Nitro%20Head%20Node-NVLink%20Switch0.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20P6-B200-Nitro%20Head%20Node-NVLink%20Switch.jpg" style="width: 198px;" /></a> </p> <p>關於可觀測性（Observability）這類IT基礎架構狀態掌握要求，AWS強調 Nitro System提供豐富的硬體遙測能力，協助用戶偵測與了解效能問題、程式臭蟲或故障狀況，以提升整體服務的可靠度、安全性、效能。</p> <p>值得注意的是，P6e-GB200採用的AWS Nitro System規格，根據AWS網站的文件指出，仍是第五代技術（Nitro v5），令人意外地，竟有別於不久前剛上線的P6-B200（採用Nitro v6）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P6e-GB200 Nitro1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/P6e-GB200%20Nitro1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/P6e-GB200 Nitro2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/P6e-GB200%20Nitro2.jpg" style="width: 298px;" /></a></p> <h3><span style="color:#0000FF;"><strong>採用首度揭露的自研隊列式液冷方案，強調無需大幅變更機房既有設計</strong></span></h3> <p>令大家意外的是，AWS在7月10日發布的<a href="https://youtu.be/u81NapG8yL0?si=LP72Hg-ud9u-RU4r">影片</a>與<a href="https://aws.amazon.com/tw/blogs/machine-learning/aws-ai-infrastructure-with-nvidia-blackwell-two-powerful-compute-solutions-for-the-next-frontier-of-ai/">部落格文章</a>，也首度透露這兩款新進GPU運算服務搭配的散熱技術。</p> <p>當中提到：P6-B200執行個體是基於Nvidia HGX B200而成，採用氣冷，P6e-GB200 UltraServers基於Nvidia GB200 NVL72而成，採用液冷，而且是他們自行設計的隊列式熱交換器（In-Row Heat Exchanger，IRHX），當中結合氣冷與液冷元件，包含輸水機櫃（water distribution cabinet）、泵蒲單元（pumping unit），以及風扇線圈（fan coil），號稱能在最低幅度變更機房既有基礎架構的狀態下，安裝到氣冷機械式設計的環境當中，而不需要重新設計機櫃。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS IRHX.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20IRHX.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS IRHX-Part1-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20IRHX-Part1-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS P6-B200-Nitro Head Node-NVLink Switch1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20P6-B200-Nitro%20Head%20Node-NVLink%20Switch1.jpg" style="width: 298px;" /></a></p> <p>相較之下，過往各家伺服器廠商展出的Nvidia GB200 NVL72，若要標榜採用液冷而不需更動既有伺服器架構時，大多搭配<a href="https://www.ithome.com.tw/news/163407">背門式熱交換器（Rear-door Heat Exchanger，RDHx）</a>。AWS運算與機器學習服務副總裁David Brown強調，比起市面上公開提供的機房冷卻解決方案，亞馬遜發展的IRHX，能以更快、更有效率的方式調整運作的規模，只需依據整排機櫃所需的冷卻量，針對風扇線圈模組進行數量的增添或減少，即可達成要求。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">AWS Amazon EC2 P6e-GB200</span></strong><br /> ●原廠：AWS<br /> ●建議售價：美國達拉斯本地區域us-east-1-dfw-2a，u-p6e-gb200x72每小時761.904美元，u-p6e-gb200x36每小時380.952美元<br /> ●基礎運算規格：Nvidia Grace處理器、8,640或17,280 GiB記憶體、202.5或405 TB NVMe儲存空間<br /> ●提供服務規模選擇與組態：<br /> u-p6e-gb200x36，1,296顆虛擬處理器、8,640 GiB記憶體、202.5 TB本機儲存（單節點3臺7,500 GiB，9臺合計202,500 TB）、36個Nvidia B200 GPU、網路頻寬為14,400 Gbps，網路儲存：使用AWS區塊儲存服務EBS，存取頻寬為540 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/7/18 18:24作者李宗翰https://www.ithome.com.tw/review/170040
BBVA如何成為全球最創新的銀行
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每一年，英國《金融時報》集團旗下重量級財經媒體《銀行家》（The Banker）雜誌都會評選全球1百多國的金融機構，依據多項營運指標，評比出全球1千大銀行的排名，這是國內許多銀行高度看重的清單，用來衡量自己在全球銀行中的能力排名。</p> <p>不只評比銀行綜合能力，銀行家雜誌還會評選年度科技銀行大獎，找出當年度最創新的銀行。BBVA（西班牙對外銀行）就是2025年得主，獲選為今年度全球最創新的科技銀行美稱，甚至打敗了今年科技預算破臺幣5千億元的摩根大通銀行。</p> <p>這家臺灣消費者較不熟悉的西班牙銀行，如何在全球17國超過200個銀行科技專案中勝出，評選為年度第一，關鍵正是3年前展開的一項數位轉型專案，要打造一個100%上雲的資料平臺ADA。</p> <p>2022年時，這間在全球擁有7千萬名客戶、業務範圍擴及25個國家的跨國銀行，啟動了一項大型專案，決定打造一套全新的雲端資料平臺，來解決資料量年年暴增40%的挑戰。</p> <p>ADA 資料平臺的名稱，代表了分析（Analytics）、數據（Data）和人工智慧（AI）三個字的縮寫，也點出了這個新平臺的核心任務。</p> <p>這個平臺上的資料量高達4PB，超過3萬張各式各樣的資料表，每天要處理超過5萬道資料處理流程，每個禮拜還會增加超過100TB的資料。</p> <p>去年，BBVA將歐洲區的資料全數上雲，今年中則完成了美洲地區的資料遷移，先後也關閉了這兩大地理區域的地端資料平臺，這是他們資料量最大宗的兩個區域。2025年底前要將其餘所有的地端資料平臺關機，實現100%資料平臺上雲的目標。</p> <p>ADA平臺提供BBVA不同的業務團隊，有各自的數據實驗沙盒，不怕影響其他計畫，可以大膽嘗試自己的創新。ADA也提供了高度個人化、效能和安全的數據服務，資料平臺上雲後，為一般用戶準備分析環境的時間快了20倍。可以支援6千名資料科學家、資料工程師，以及4萬名業務部門的一般使用者，快速進行各種日常數據分析和查詢需求。</p> <p>如此龐大的資料量，更是BBVA多項創新計畫的基石，一年支援超過800個專案，光是他們本國西班牙的數位專案，超過500個，都用了這個平臺上的資料。</p> <p>BBVA希望透過這樣的雲端資料平臺，成為一家數據驅動的企業。一手推動這項上雲專案的BBVA全球工程負責人強調，ADA平臺加速了他們採用生成式AI的能力，讓他們更快擴大創新規模，對業務產生更大的影響。</p> <p>BBVA是歐洲最早一批擁抱ChatGPT的銀行，至今採用累積超過1,1000個企業授權，已有超過3千個ChatGPT客製化助手，不只用於翻譯、文件摘要、撰寫報告，甚至是開發輔助，財務分析，顧客法律問題擬答、行銷活動建議等。使用ChatGPT的銀行員工，估計每周平均省下了3小時。</p> <p>不只內部積極擁抱GenAI，對外服務的應用創新也不少。今年初，在他們行動銀行App新推出的AI助理小藍（Blue），運用LLM，可以回答超過3千種的顧客問題，涵蓋了150種查詢，甚至是「交易型」的功能，這是許多AI助手相當難以實現的「授權行為能力。」透過一套自製的驗證和防護措施，小藍的回應內容，更達到了符合BBVA商業、名聲和法律要求的水準。小藍也能依據顧客財務資料和過去互動來提供量身打造的回應，就算顧客中途離開，下一次打開App，還能記得先前的互動，來延續回應。</p> <p>不只對外，對內，BBVA今年還推出了一款客服人員用的AI助手，整合3萬個參考資料源，甚至可以更新到當天最新的完整產品和服務資訊，讓客服人員更快掌握整個BBVA生態圈的最新動態。</p> <p><a href="https://www.ithome.com.tw/article/170141" target="_blank">這一期封面故事介紹了BBVA如何花3年分三階段將資料平臺全面上雲的歷程</a>，相當值得臺灣企業參考，不只銀行，凡是想要打造雲端資料湖，或是新一代湖倉架構的大型企業，都可以借鏡一二。</p> <p><a href="https://www.ithome.com.tw/article/170141" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1243-feng_mian_gu_shi_-p1-yun_xuan_-open-960x420_kao_bei_0.jpg?itok=vVa50VUA" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%A5%BF%E7%8F%AD%E7%89%99%E5%B0%8D%E5%A4%96%E9%8A%80%E8%A1%8C">西班牙對外銀行</a></div><div class="field-item odd"><a href="/tags/bbva">BBVA</a></div><div class="field-item even"><a href="/tags/%E4%B8%8A%E9%9B%B2">上雲</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%B9%B3%E8%87%BA%E4%B8%8A%E9%9B%B2">資料平臺上雲</a></div></div></div>
2025/7/18 17:40作者王宏仁https://www.ithome.com.tw/voice/170142
瑞典AI程式設計新創Lovable獲得2億美元的A輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.accel.com/noteworthies/accels-200m-series-a-in-lovable---enabling-the-last-99" target="_blank">矽谷創投Accel周四（7/17）宣布</a>，已領投了瑞典AI新創Lovable Labs共計2億美元的A輪融資，而這也是歐洲史上最大規模的A輪融資之一。外電報導Lovable Labs的估值已達18億美元。</p> <p>2023年底由兩名工程師Anton Osika與Fabian Hedin所創立的Lovable，主要開發一AI平臺，以讓非工程師也能用自然語言來建立全端應用程式，包含前端、後端、資料庫及部署功能，該平臺整合了多家大型語言模型，涵蓋OpenAI、Anthropic及Gemini等，以快速產出可用的應用程式。</p> <p>Accel說，Lovable平臺自2024年11月公開上線以來，在短短的8個月內便吸引了超過230萬名活躍用戶，使用者利用它來開發出育兒或飲食規畫工具、提醒服裝搭配的天氣程式、職涯追蹤器、將舊照片轉成影片的工具，或是讓團隊會議變成互動遊戲的應用。</p> <p>Accel形容Lovable的體驗如同魔法，只要描述一個想法，平臺便會即時產生出一個具備後端及整合能力的完整產品，使得他們在過去半年內前往瑞典的次數超過10次，並相信Lovable將能成為新一代軟體創建的原生作業系統。</p> <p>另一方面，<a href="https://lovable.dev/blog/fundraise-series-a-announcement?utm_source=chatgpt.com" target="_blank">Lovable曾於今年2月表示</a>，該平臺每天平均生成2.5萬個新專案，累積生成120萬個應用。執行長Osika日前則對外透露，該平臺的付費用戶已超過18萬人，年度經常性收入為7,500萬美元。</p> <p>然而，Lovable也惹來了不少批評，例如有駭客利用該平臺的功能快速且大量地生成網釣網站，遭資安社群抨擊Lovable幾乎毫無安全護欄；也有開發人員認為來自這些AI平臺的產物儘管開發快速，但結構混亂，累積大量的技術債，最終將耗費更多的時間來維護；此外，現階段的Lovable僅支援基礎功能，尚無法提供高階的客製化能力。</p> </div></div></div>
2025/7/18 15:43作者陳曉莉https://www.ithome.com.tw/news/170136
Meta指派專人Connor Hayes負責Threads
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axios.com/2025/07/17/meta-threads-instagram-connor-hayes" target="_blank">Axios本周報導</a>，Instagram已指派Meta生成式AI產品副總裁Connor Hayes 來主導Threads，準備於今年9月走馬上任。</p> <p>Threads是由Meta旗下的Instagram負責開發，以與馬斯克（Elon Musk）的X競爭，在2023年7月正式上線，一直是由Instagram負責人Adam Mosseri兼管。</p> <p>Axios取得了Mosseri發出的內部備忘錄，表示隨著Threads愈來愈成熟，他們需要一個專門的應用負責人，把所有時間都用來協助Threads發展，Hayes預計於今年9月中接管Threads，並向他彙報。</p> <p>Hayes在2011年進入Facebook，曾為Threads第一版的原始團隊成員，之後擔任Meta生成式AI的產品副總裁。</p> <p>要使用Threads必須先擁有Instagram帳號，其社交關係網是基於Instagram架構建立的，挾著Instagram資源的Threads不僅快速壯大，也長出了自己的樣子，有別於Instagram的視覺化呈現，以短文字為主的Threads在兩年內吸引了超過3.2億的每月活躍用戶，<a href="https://techcrunch.com/2025/07/07/threads-is-nearing-xs-daily-app-users-new-data-shows/?utm_source=chatgpt.com" target="_blank">TechCrunch引用Similarweb今年6月的資料指出</a>，Threads的每日行動用戶數已達到1.15億，接近X的1.32億。</p> </div></div></div>
2025/7/18 14:17作者陳曉莉https://www.ithome.com.tw/news/170132
Mistral AI聊天機器人加入Deep Research、Think Mode等功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司<a href="https://mistral.ai/news/le-chat-dives-deep" target="_blank">Mistral AI公布為其Le Chat聊天機器人新增多項AI功能</a>，包括Deep Research、多語推理模式（Think Mode）、語音支援、圖像編輯等。</p> <p>新增功能當中最重要的是Deep Research代理人。和ChatGPT、Google Gemini等相同，Deep Research代理人可規劃搜尋、將問題切分成數個部份上網搜尋可信任資訊，再集結生成出結構化並附有來源的報告。</p> <p>Mistral AI本周開源的<a href="https://www.ithome.com.tw/news/170077" target="_blank">Voxtral語音模型</a>支援英、西、葡、德、義、阿拉伯、日語等，而以Voxtral為基礎，Le Chat也可支援語音輸入，並且增加多語思維模式（Think Mode），以其推理模型為基礎，可提供更清楚而準確的答案，還可以在一次對話中快速轉換語言。</p> <p>Le Chat還新增了Projects功能，能把相關對談集結到單一工作區來，成為一個專案。每個專案彼此獨立，各有預設資料庫、記得用戶使用的工具和設定。用戶還可直接上傳檔案，從資料庫拉進內容，像是對話、文件、點子等。用戶可用Projects來規劃搬家、設計新產品功能，或監控長期執行的工作。</p> <p>最後，Le Chat也加入圖片生成功能。而且，它還允許用戶以簡單提示編輯圖片，像是「移除物件」或「把我所在地方換成另一座城市」。Le Chat也能如實照辦，還保留角色及細節。</p> <p>現在這些新功能已部署到線上版Le Chat及App中，也開放免費試用。</p> </div></div></div>
2025/7/18 14:37作者林妍溱https://www.ithome.com.tw/news/170133
Uber與Lucid及Nuro合作以於美國部署2萬輛自駕計程車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.uber.com/news-events/news/press-release-details/2025/Lucid-Nuro-and-Uber-Partner-on-Next-Generation-Autonomous-Robotaxi-Program/default.aspx" target="_blank">Uber周四（7/17）宣布</a>，預計於6年內於全球數十個市場部署2萬輛配置Nuro Driver Level 4自動駕駛系統的Lucid Gravity無人計程車，此外，Uber亦計畫針對Nuro與Lucid各別進行數億美元的投資。消息曝光當天，Uber股價微幅下挫0.28%，以90.50美元作收，而Lucid則大漲36.24%，收在3.12美元。</p> <p>Uber說，這是該公司新一代全球無人駕駛計程車計畫，明年就會在美國的某個主要城市推出，結合Lucid Gravity、Nuro Driver Level 4自駕系統，以及Uber的全球網路與動態車隊管理能力，提供整合的無人駕駛計程車體驗。</p> <p>相關的車輛將由Uber或第三方車隊合作夥伴擁有及營運，並僅透過Uber平臺供應給乘客，第一輛Lucid-Nuro原型車已於Lucid-Nuro在拉斯維加斯的封閉車道上試行。</p> <p>市場分析認為，這意味著Uber正式吹響了迎戰特斯拉（Tesla）的號角。<a href="https://www.ithome.com.tw/news/169692" target="_blank">特斯拉今年6月開始於德州奧斯汀（Austin）測試Robotaxi無人駕駛計程車服務</a>，目標是在年底前進駐美國12個城市。</p> <p>Lucid成立於2007年，當時名為Atieva，主要開發電動車電池與動力總成，並在2016年更名為 Lucid Motors，轉為打造豪華電動車，迄今已推出豪華轎車Lucid Air及休旅車Lucid Gravity，售價介於7~15萬美元之間。<a href="https://ir.lucidmotors.com/news-releases/news-release-details/lucid-announces-first-quarter-2025-financial-results" target="_blank">根據Lucid Motors今年第一季的財報</a>，該季營收為2.35億美元，交付3,109輛汽車，每股虧損0.24美元。</p> <p>至於Nuro則是在2016年由一群來自Google Waymo的工程師所創立，專門開發自動駕駛技術，今年初的估值為60億美元。</p> <p>另一方面，特斯拉似乎沒有因此受到太大的影響，昨天僅微幅下0.7%，收在319.41美元。</p> </div></div></div>
2025/7/18 15:01作者陳曉莉https://www.ithome.com.tw/news/170134
內容訂閱平臺Substack完成1億美元融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://post.substack.com/p/substack-series-c" target="_blank">內容訂閱平臺Substack周四（7/17）宣布</a>，已完成1億美元的C輪融資，<a href="https://www.axios.com/2025/07/17/substack-newsletter-funding-creator-economy" target="_blank">Axios引述消息來源指出</a>，這讓Substack的估值達到11億美元，正式邁入獨角獸之林。</p> <p>此次融資由成長型基金BOND與媒體投資公司The Chernin Group（TCG）領投，還有其它天使投資人參與，BOND合夥人Mood Rowghani準備加入Substack董事會。</p> <p>Substack成立於2017年，主打由創作者主導、無廣告干擾的訂閱型內容平臺，使用者可透過電子報、播客、影片與社群互動等形式發布內容，並自行決定是否收費。Substack會抽取平臺每筆訂閱收入的10%作為分潤，<a href="https://post.substack.com/p/5-million?utm_source=chatgpt.com" target="_blank">該平臺的付費訂閱數量在今年3月達到500萬次</a>。</p> <p>Substack共同創辦人Chris Best表示，新的資金將用於擴大平臺工具、強化應用程式功能，並協助全球更多創作者與讀者建立更深層的連結。</p> <p>在這個免費資訊或意見俯拾即是的時代，為什麼還需要付費訂閱內容？根據Substack團隊的說法，他們希望將該程式打造成「擺脫無盡滑動」與「重拾思緒」的場所。</p> <p>事實上，Substack的確吸引了許多主流媒體記者及意見領袖的進駐，也孕育出多位收入突破百萬美元的頂尖創作者，不過，該平臺同時也面臨著內容審查鬆散，以及收益集中在前5%創作者等爭議。</p> </div></div></div>
2025/7/18 15:18作者陳曉莉https://www.ithome.com.tw/news/170135
【資安日報】7月18日，中國駭客鎖定臺灣半導體生態系從事大規模網釣，企圖攻破臺灣矽盾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際局勢日益緊張，臺海危機升溫，中國駭客對臺灣發動攻擊的情況也越來越頻繁，其中資安業者Proofpoint發布的調查報告引起全臺高度關注，因為這些駭客廣泛對臺灣重要經濟命脈半導體生態系從事網釣，從半導體公司人資部門到投資分析師，都是他們下手的目標。</p> <p>在上述的攻擊行動之外，本週證交所祭出的裁罰也與半導體產業有關，他們處罰的對象，是今年1月、5月兩度遭到勒索軟體攻擊的矽光子及光電封測大廠聯鈞光電。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170122"><strong style="font-size: 22px;">為了攻破臺灣矽盾，中國駭客對臺灣半導體生態系狂發研究生求職釣魚信，投資分析師也遭鎖定</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-07-11 at 7_17_57 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-07-11%20at%207_17_57%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>半導體被視為臺灣重要的經濟命脈，中國在遭受美國制裁情況下，無所不用其極地想要從臺灣挖掘相關研發機密，加快中國自主研發的速度，如今有資安業者再度察覺相關網路攻擊並提出警告，呼籲有關單位要嚴加防範。</p> <p>最近資安業者Proofpoint指出，他們在今年3月至6月，看到三起專門針對臺灣半導體產業的網釣活動，攻擊者皆為中國資助的駭客組織，他們鎖定的目標相當廣，包括參與半導體和積體電路製造、設計、測試的公司，以及這領域的半導體設備及服務供應鏈業者、專門關注臺灣半導體市場的投資分析師。</p> <p>而這些網釣攻擊的目的，Proofpoint認為駭客就是為了從事網路間諜活動，竊取半導體研發機密，反映中國想要實現半導體自給自足，並減少對國際供應鏈依賴的現況。</p> <p><a href="https://www.ithome.com.tw/news/170108"><strong style="font-size: 22px;">FortiWeb重大漏洞已出現濫用活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gv95QLuWoAEWW0Y.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gv95QLuWoAEWW0Y.jpg" style="width: 300px; float: right;" /></a></p> <p>研究人員警告，Fortinet網頁應用防火牆FortiWeb SQL指令注入漏洞CVE-2025-25257已經有濫用活動，可能也包含惡意攻擊。</p> <p>ShadowServer基金會研究人員指出，7月9日Fortinet公布的CVE-2025-25257，在7月11日已經出現Web Shell程式濫用FortiWeb執行個體的活動，7月14日有85例，7月15日有77例。其中以美國最多，為40個。雖然到7月16日濫用總次數已小於50，但美國還是有20個端點遭到濫用，第二名為印度的9個。</p> <p>CVE-2025-25257為對SQL指令中特殊元件的不當中和（Improper Neutralization），即未對輸入的特殊字符進行適當處理，導致這些字符被SQL引擎誤判為SQL指令，形成SQL注入（SQL Injection）。本漏洞可讓未經授權的攻擊者可經由傳送HTTP或HTTPS呼叫，執行SQL程式碼或指令，CVSS風險值達9.6。</p> <p><a href="https://www.ithome.com.tw/news/169980"><strong style="font-size: 22px;">【語音網釣實例】山形鐵道公司遭自動語音網釣詐騙近億日元，企業網路銀行帳密是攻擊者下手目標</strong></a></p> <p>過去駭客社交工程手法，多使用釣魚郵件，如今主動打電話的語音網釣攻擊增加，誘騙受害者主動說出機敏資訊或不當操作，近來更是有一起攻擊事件混用多種手法，來騙取企業網路銀行帳密。</p> <p>山形鐵道在2025年3月，傳出遭假冒山形銀行的語音網釣（Vishing）詐騙，損失約1億日元（約2,000萬元），據當地報導指出，山形縣還有多家企業也受害於類似網釣手法，而山形鐵道公司是此波攻擊損失最為慘重的一起。</p> <p>此事件的特殊之處在於，攻擊者先透過預錄自動語音系統，來假冒銀行來電讓受害者誤信，進而誘騙受害者開啟釣魚連結，依照指示操作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/hackers-exploit-apache-http-server-flaw.html">Apachel HTTP Server高風險漏洞遭到利用，駭客部署挖礦軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/squidloader-deploys-stealthy-malware/">惡意軟體SquidLoader以幾乎無法偵測的手法部署其他作案工具</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/north-american-apt-exchange-zero-day-attacks-china">中國研究人員揭露北美APT駭客NightEagle，指出駭客利用Exchage未知漏洞攻擊中國</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170123"><strong style="font-size: 22px;">思科網路存取控制平臺ISE用戶注意！不到一個月，又有另一個滿分資安漏洞要修補</strong></a></p> <p>6月底思科針對旗下網路存取控制（NAC）平臺Identity Services Engine（ISE），以及ISE被動身分識別連接器（ISE Passive Identity Connector，ISE-PIC）發布更新，修補風險值達到滿分的資安漏洞CVE-2025-20281、CVE-2025-20282，但如今他們更新公告內容，指出還有另一個滿分漏洞CVE-2025-20337，部分IT人員必須採取行動因應。</p> <p>這項漏洞影響執行3.3 Patch 6版的ISE系統，或是IT人員套用熱修補緩解CVE-2025-20281、CVE-2025-20282的ISE系統，3.2版、3.4 Patch 2版不受影響。附帶一提的是，這項漏洞也同樣沒有其他替代緩解措施，對此，思科呼籲IT人員，應儘速將ISE升級至3.3 Patch 7或3.4 Patch 2因應。</p> <p><a href="https://www.ithome.com.tw/news/170101"><strong style="font-size: 22px;">Google證實AI代理可幫忙找資安漏洞，SQLite零時差漏洞因此浮出檯面</strong></a></p> <p>隨著AI大勢所趨，資安業者在許多解決方案導入這項技術，藉此找出需要特別留意的弱點，改善攻擊與防守方不對等的情況，如今有科技業者藉由相關技術，找出疑似即將遭到利用的零時差漏洞，引起各界關注。</p> <p>6月28日資料庫軟體SQLite發布3.50.2，最近Google透露，該版本修補了一項他們通報的資安弱點CVE-2025-6965，這項漏洞引起關注的地方在於，它並非由研究人員察覺，而是由AI資安代理程式Big Sleep所為。此AI代理程式去年Google DeepMind與Google Project Zero聯手推出，當時他們也是用來發現SQLite的資安漏洞，此漏洞涉及記憶體堆疊下溢（未公布CVE編號）。</p> <p>特別的是，在今年最新發布的相關消息中，Google強調，這項漏洞在Big Sleep發現之前只有駭客知道，而且將用於實際攻擊行動，並表明CVE-2025-6965是首度有AI機器人發現可能用於攻擊行動的資安弱點。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/179940/hacking/an-attacker-using-a-500-radio-setup-could-potentially-trigger-train-brake-failures-or-derailments-from-a-distance.html">火車控制系統存在資安缺陷，攻擊者恐用來緊急剎車</a></strong></p> <p></p> <p> </p> <h3><strong>【執法行動】</strong></h3> <p><a href="https://www.twse.com.tw/zh/about/news/news/content.html?8a8216d697fc438f01980d72fa680043"><strong style="font-size: 22px;">聯鈞光電違反內控制度與重大訊息揭露規定，證交所開罰10萬元</strong></a></p> <p>矽光子及光電封測大廠<a href="https://www.ithome.com.tw/tags/%E8%81%AF%E9%88%9E">聯鈞光電</a>先後於<a href="https://www.ithome.com.tw/news/167064">1月19日</a>、<a href="https://www.ithome.com.tw/news/169486">6月9日</a>及<a href="https://www.ithome.com.tw/news/169573">13日</a>發布資安重訊，透露他們今年上半遭遇兩起勒索軟體攻擊事故，並疑似出現資料外流的現象，引起臺灣社會關注。本週臺灣證券交易所指出，該公司的內部控制制度設計及執行違反「公開發行公司建立內部控制制度處理準則」，再加上5月16日發生的資安事故到了6月13日才做出說明，違反「對有價證券上市公司重大訊息之查證暨公開處理程序」，證交所決定合併處罰新臺幣10萬元，並要求聯鈞日後必須確實依照相關規定辦理。</p> <p><strong style="font-size: 22px;">其他執法行動</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/europol-disrupts-pro-russian-noname05716-ddos-hacktivist-group/">歐洲刑警摧毀俄羅斯DDoS駭客NoName057(16)基礎設施</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170120"><strong style="font-size: 22px;">資安院接手TWCERT/CC維運，號召4千家企業，共築臺灣數位韌性新防線</strong></a></p> <p>在當前數位化浪潮席捲全球，網路攻擊日益頻繁的背景下，臺灣作為全球關鍵供應鏈的核心，其資安防護韌性無疑成為國家安全與經濟發展的重中之重。日前，數位發展部資通安全署與國家資通安全研究院（資安院）共同召開記者會，正式揭示臺灣在資安領域的「公私聯防策略」，就是希望透過政府、產業、學界與民間的緊密合作，共同應對日益複雜的網路威脅。</p> <p>此次策略的核心在於，透過國家資通安全研究院接手維運的TWCERT/CC（臺灣電腦網路危機處理暨協調中心）平臺，強化情資共享、技術支援及人才培育，為臺灣的數位環境構築一道堅韌的防護網。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170105"><strong>【7月17日】精品品牌LV在多國的分公司接連傳出網路攻擊事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170085"><strong>【7月16日】VMware修補虛擬化平臺重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170074"><strong>【7月15日】IDE開發工具Cursor AI出現惡意延伸套件，有用戶因此損失50萬美元</strong></a></p> </div></div></div>
2025/7/18 13:17作者周峻佑https://www.ithome.com.tw/news/170130
Google Search在美提供AI商務通話功能、AI Mode升級Gemini 2.5 Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/deep-search-business-calling-google-search/" target="_blank">Google宣布為Google搜尋增加多項AI功能</a>，包括AI Mode升級使用Gemini 2.5 Pro及Deep Search，以及允許消費者以AI助理打電話給本地店家，這些功能現階段僅在美上線。</p> <p>AI Mode是在Google搜尋結果頁上方顯示以AI匯整用戶查詢結果，可讓用戶不必再點入個別網頁。在最新宣布下，即日起，AI Mode將升級為最新版模型Gemini 2.5 Pro並加入Deep Search功能。Gemini 2.5 Pro在進階推理、數理、程式問題上效能優異，可協助用戶解決困難問題。同時間，Google也為AI Mode加入以Gemini 2.5 Pro為基礎的Deep Search功能。Deep Search可針對用戶問題設定供一個多步驟的研究計劃，上網搜尋、分析，再就學習所得重覆搜尋多次，直到完成後，大約在幾分鐘內根據研究生成一份報告，也會提供資訊來源。</p> <p>AI Mode新功能將提供給美國的Google AI Pro及AI Ultra方案，訂閱用戶從AI Mode下拉式選單選擇即可啟用。</p> <p>此外，Google還為Search加入一項嶄新的AI本地店家通話功能。這功能類似2018年首次問世、<a href="http://www.ithome.com.tw/news/123082" target="_blank">基於Duplex技術的Google Assistant AI通話功能</a>。Duplex設定為代替消費者打電話給本地店家，如預訂餐廳及預約髮型設計師的商務用途。</p> <p>最新功能將以代理人型態整合進Google Search。例如使用者搜尋「附近的寵物美容店」。搜尋結果頁現在多了個「Have AI check pricing（請AI查價）」的選項。點擊後，系統會要求你輸入一些簡單偏好（例如想要的服務、時間範圍）。接著Google Search會根據用戶條件上網蒐集各個店家服務和預約資訊，省去用戶查詢時間，也能幫助店家提升曝光度。</p> <p>較有趣的功能是，消費者可透過Google AI助理打電話或是以訂位服務聯繫店家，包括預約、查詢餐廳等待時間、或查看營業時間、熱門商品庫存狀態。這項功能讓消費者不必親自打電話給店家。店家和使用者都不必付費。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-AI-powered%20calling%20to%20local%20businesses-Google%20search-600.jpg" style="width: 392px;" /></p> <p>這項服務會先推向美國所有Search用戶，而Google AI Pro及AI Ultra訂閱戶有更高的使用次數。店家可透過其商家檔案（Business Profile）設定控制公開資訊。</p> <p>Google說規劃未來將新的Search功能推向其他市場。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/7/18 13:34作者林妍溱https://www.ithome.com.tw/news/170129
什麼是LLMOps？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_gaizhuan_an_shi_jian_tu_pian_lai_yuan_bo_shuo_wen_hua_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當我們談論大型語言模型（LLM）時，往往會聚焦在模型本身的生成能力、理解能力與多語言支援，而較少注意到背後的開發流程與運作管理環節。然而，隨著模型的規模與功能性不斷提升，若缺乏完善的管理機制，模型在現實情境中的穩定度與安全性可能無法得到足夠的保障。在此背景下，LLMOps便扮演關鍵角色，透過整合多種技術與流程，讓LLM從建置、測試到部署與持續優化的各階段都能有效落地，真正滿足業務需求。</p> <p>在實際操作過程中，LLMOps不僅要因應模型大規模訓練所需的巨量運算資源，還需要協助開發者或資料科學家精準掌握模型狀態、訓練資料品質與運行效率。因此，LLMOps涵蓋了多方面的管理機制，包括資料管線的建立與維護、模型版本控制、效能監測與調校，以及隱私與法規風險的控管。</p> <p>換句話說，LLMOps透過一系列協同化作業策略，協助團隊以更具體、更精細的方式掌握LLM的全生命週期，並確保在實務應用中，能提供高度的可用性和可靠性。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>LLMOps的核心構成</strong></span></span></p> <p>LLMOps可以被視為在傳統MLOps基礎上，專門為「大型語言模型」量身打造的升級版作業流程。若要深入理解其核心構成，可從模型管理與基礎設施兩個面向進行探討。首先，在模型管理方面，LLMOps需要因應LLM的複雜度與龐大參數量，建立彈性的訓練與模型微調策略，同時也需考量如何收集與整理高品質的文字或程式碼資料，並在模型推理過程中保證運行效率與準確度。其次，在基礎設施層面，LLMOps需確保分散式運算與儲存資源的有效整合，並透過自動化管線優化大規模訓練與部署。舉例來說，在資料中心或雲端運行LLM時，LLMOps框架會協助團隊自動分配GPU、TPU或其他運算資源，以便在大幅縮短訓練時間的同時，兼顧成本與效能的平衡。</p> <p>在這樣的雙重面向之下，LLMOps也會將監控機制與安全防護嵌入整個開發與運作週期。當模型於推理階段服務海量用戶時，或在突發性需求下需要快速擴充資源時，LLMOps能透過即時監測技術及自動化管線完成動態調度，並在發現異常行為或潛在安全威脅時迅速反應。透過一整套細緻的作業方法，LLMOps所帶來的，不只是單純的模型管理，更是一種保障模型在真實情境中永續運行的長期承諾。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>LLMOps的實務操作要點</strong></span></span></p> <p>要在組織內部落實LLMOps，團隊往往需要結合多種技術技能與協作模式。在訓練階段，工程師必須熟悉大規模分散式訓練環境，並善用各種深度學習框架或雲端服務來處理動輒數百GB甚至TB級別的文本資料。接著，在部署階段，為了確保模型在整合既有系統或服務平台時具備足夠的伸縮性與穩定性，LLMOps需要提供自動化與容器化的部署流程，讓模型能輕鬆整合到微服務架構或企業內部應用中。</p> <p>當模型開始實際提供服務後，來自使用者或外部系統的即時互動便成為關鍵環節。LLMOps透過監測與紀錄模型回應時間、回答品質以及系統負載等多維度指標，協助團隊更快速地發現瓶頸並進行優化。例如，在實務操作中，若LLM在特定語言或領域的回答品質無法達到預期，LLMOps可以引導工程師對此領域的資料進行針對性模型微調或增量訓練，並隨時關注新版本模型的績效表現。此外，當有新法規要求或隱私疑慮時，LLMOps也能為模型設定嚴格的存取控制機制，確保在合規與安全層面維持最高標準。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>為什麼需要LLMOps？</strong></span></span></p> <p>隨著大型語言模型的運用逐漸成為企業與研究機構競爭的新利器，對模型的高效管理、穩定運作與迅速調整能力就愈顯得不可或缺。傳統的 MLOps已經在許多應用場景中證明其價值，但面對LLM帶來的龐大參數量與複雜度，仍存在諸多挑戰。LLMOps正是為了克服這些技術與管理上的鴻溝而生，讓組織能在競爭激烈的市場中保持敏捷與創新。</p> <p>在實際落地時，LLMOps的重要性首先體現在效能與可擴展性上。當模型面臨不同語種、領域的使用者需求，或在高流量時需要同時處理大量查詢，LLMOps能透過自動化的管線與彈性的資源調配，確保每一次查詢都能快速且準確地得到回應。這種高效能的背後，不僅需要對雲端或資料中心的運算資源進行彈性部署，也需在軟體層面實施適當的快取策略與模型壓縮技術，以維持成本效益與服務品質之間的平衡。</p> <p>另一方面，LLMOps也致力於降低操作風險與維持合規性。大規模的語言模型在學習文本資料時，可能涉及使用者敏感資訊或商業機密，因此在訓練、測試與推理等各階段都必須嚴格遵守企業內部的安全策略與法規要求。LLMOps提供的監控機制可以及時發現任何潛在的資訊洩露風險，並協助團隊修復模型或回溯不適當的訓練資料，從而將風險降到最低。更進一步地，LLMOps在面對不同市場或國家法規時，能夠因地制宜地制定合規策略，確保模型運行在合法合規的環境中。</p> <p>在全球市場快速變動的情境下，LLMOps亦能為組織提供更大的彈性與敏捷度。</p> <p>例如，當某公司利用LLM實現客服自動化時，若需要因應季節性高峰流量或因產品更新引發的大量諮詢，LLMOps所提供的可伸縮管線與監控平台能確保模型在高負載下仍能平穩運行。若碰上突發性網路攻擊或故障，LLMOps也能迅速進行故障切換或異常排查，讓整體服務的停擺風險降到最低。</p> <p>綜觀而論，LLMOps不只是針對LLM的單純管理工具，更是一種系統化的思維方式，將各種深度學習技術、運算資源與合規性策略有機整合，最終為組織帶來穩定而高效的模型運行能力。面對未來更具挑戰性的應用場景，LLMOps將持續演進，並成為大型語言模型成功落地與實現價值的關鍵推手。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>LLMOps關鍵環節：持續監控管理</strong></span></span></p> <p>在LLM離開實驗室並正式上線後，對其運行狀況的持續監控成為LLMOps中的核心工作之一。</p> <p>透過對關鍵指標（例如模型回應延遲、準確率、資源使用率）的觀察，可以及早發現潛在問題並作出相應調整。想像一個提供金融即時分析的聊天機器人，一旦延遲過高或誤判率偏高，將直接影響交易決策與使用者體驗。</p> <p>因此，許多企業會在伺服器端導入實時監控工具，或是透過日誌與雲端分析平台持續追蹤模型表現，以便在模型輸出偏差逐漸累積前就能快速介入。</p> <p>管理層面則更多著眼於預算與資源的配置。若某段時期使用量激增且雲端資源也隨之飆升時，企業需要評估是否該擴充硬體或調整服務架構，以確保模型不因資源不足而導致效能下降。</p> <p>同時，面對模型可能的概念漂移（concept drift），也需適時地重新訓練或模型微調，使其理解最新的語言動態與市場趨勢。</p> <p>例如，若金融市場突然出現新的產品或標的，模型若未即時接收相關資訊，恐怕難以持續提供精準的建議。這些監控與管理措施的目標，正是要確保LLM的生命週期不僅在剛上線時表現良好，也能在長期運作中維持穩定且高品質的輸出。<strong>（本文摘錄自《生成式AI專案實踐指南》，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_GAI%E5%B0%88%E6%A1%88%E5%AF%A6%E8%B8%90_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> 生成式AI專案實踐指南：從模型挑選、上線、RAG技術到AI Agent整合</strong></p> <p>劉育維／著</p> <p>博碩文化出版</p> <p>定價：650元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_GAI%E5%B0%88%E6%A1%88%E5%AF%A6%E8%B8%90_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_DevOpsDays%20Taipei%E5%AE%98%E7%B6%B2.png" style="width: 150px;" /></p> <p><a href="https://devopsdays.tw/2025/speaker-page/1807" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_DevOpsDays Taipei官網</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><strong>劉育維（Simon Liu）</strong></p> <p>為人工智慧解決方案領域的技術愛好者，專注於協助企業如何導入生成式人工智慧、MLOps與大型語言模型（LLM）技術，推動數位轉型與技術落地如何實踐。</p> <p>目前也是Google GenAI領域開發者專家（GDE），積極參與技術社群，透過技術文章、演講與實務經驗分享，推廣AI技術的應用與發展，目前，在Medium平台上發表超過百篇技術文章，涵蓋生成式AI、RAG和AI Agent等主題，並多次擔任技術研討會中的講者，分享AI與生成式AI的實務應用。</p> <p>他的LinkedIn：<a href="https://www.linkedin.com/in/simonliuyuwei/" target="_blank">https://www.linkedin.com/in/simonliuyuwei/</a></p> </div></div></div>
2025/7/18 12:00未署名https://www.ithome.com.tw/article/170032
為了攻破臺灣矽盾，中國駭客對臺灣半導體生態系狂發研究生求職釣魚信，投資分析師也遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半導體被視為臺灣重要的經濟命脈，中國在遭受美國制裁情況下，無所不用其極地想要從臺灣挖掘相關研發機密，加快中國自主研發的速度，如今有資安業者再度察覺相關網路攻擊並提出警告，呼籲有關單位要嚴加防範。</p> <p>最近資安業者Proofpoint指出，他們在今年3月至6月，<a href="https://www.proofpoint.com/us/blog/threat-insight/phish-china-aligned-espionage-actors-ramp-up-taiwan-semiconductor-targeting">看到三起專門針對臺灣半導體產業的網釣活動</a>，攻擊者皆為中國資助的駭客組織，他們鎖定的目標相當廣，包括參與半導體和積體電路製造、設計、測試的公司，以及這領域的半導體設備及服務供應鏈業者、專門關注臺灣半導體市場的投資分析師。</p> <p>而這些網釣攻擊的目的，Proofpoint認為駭客就是為了從事網路間諜活動，竊取半導體研發機密，反映中國想要實現半導體自給自足，並減少對國際供應鏈依賴的現況。</p> <p>其中一起發生在今年5至6月的活動UNK_FistBump，駭客假借剛畢業的學生，以求職的名義為誘餌，鎖定半導體製造商而來，他們冒充研究生求職，盜用臺灣大專院校遭侵入的電子郵件信箱，寄信給上述半導體公司與機構的人資部門。一旦收信人開啟附件的履歷並點選內含的URL，就會被帶往Zendesk或Filemail檔案共用服務下載檔案，最終導致電腦被植入Cobalt Strike，或是後門程式「佛地魔（Voldemort）」。對於攻擊者的身分，Proofpoint認為這起行動與TA415有所交集。</p> <p>在求職信之外，中國駭客也鎖定投資分析師發動釣魚攻擊。在另一起發生在4月至5月的網釣活動UNK_DropPitch當中，駭客對多家大型投資公司下手，特別針對長期關注臺灣半導體與技術領域的投資分析專家，他們假借投資公司的名義，聲稱要尋找投資專家寄送釣魚信。這些信件內含釣魚連結，導致收信人電腦下載有問題的ZIP檔，最終被植入後門程式HealthKick與反向Shell。值得留意的是，若是駭客特別感興趣的目標，還有可能進一步部署遠端管理工具Intel Endpoint Management Assistant（EMA），以便進行後續活動。</p> <p>還有一起對手中間人攻擊（AiTM）活動UNK_SparkyCarp，也引起Proofpoint注意，這起事故發生在今年3月，駭客針對某家半導體公司而來，以帳號登入警示為誘餌寄送釣魚信，企圖竊取帳密資料。他們特別提及，這些駭客針對這家公司下手已有前例，去年11月，駭客就曾發動攻擊。</p> </div></div></div>
2025/7/18 10:24作者周峻佑https://www.ithome.com.tw/news/170122
思科網路存取控制平臺ISE用戶注意！不到一個月，又有另一個滿分資安漏洞要修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月底思科針對旗下網路存取控制（NAC）平臺Identity Services Engine（ISE），以及ISE被動身分識別連接器（ISE Passive Identity Connector，ISE-PIC）<a href="https://www.ithome.com.tw/news/169766">發布更新</a>，修補風險值達到滿分的資安漏洞CVE-2025-20281、CVE-2025-20282，但如今他們更新<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-unauth-rce-ZAd2GnJ6">公告內容</a>，指出還有另一個滿分漏洞CVE-2025-20337，部分IT人員必須採取行動因應。</p> <p>這項漏洞影響執行3.3 Patch 6版的ISE系統，或是IT人員套用熱修補緩解CVE-2025-20281、CVE-2025-20282的ISE系統，3.2版、3.4 Patch 2版不受影響。附帶一提的是，這項漏洞也同樣沒有其他替代緩解措施，對此，思科呼籲IT人員，應儘速將ISE升級至3.3 Patch 7或3.4 Patch 2因應。</p> <p>針對CVE-2025-20337，思科表示與CVE-2025-20281雷同，都是存在於特定API的未經授權遠端程式碼執行（RCE）漏洞，起因是對於使用者輸入的驗證不足，攻擊者可藉由特製API請求觸發，成功利用能取得root權限，並在作業系統底層執行任意程式碼。值得留意的是，攻擊者利用漏洞的過程，無須事先取得有效的帳密資料。</p> </div></div></div>
2025/7/18 10:58作者周峻佑https://www.ithome.com.tw/news/170123
OpenAI推出ChatGPT通用代理人付費用戶現可啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-chatgpt-agent/" target="_blank">OpenAI昨（17）日發表</a>能使用工具、具備思考能力的通用代理人ChatGPT agent，能幫使用者從頭到尾完成任務。</p> <p>ChatGPT agent的核心是統合式代理系統，整合了早前推出的三個代理人的能力，包括Operator和網站互動的功能、Deep Research合成資訊的技能，以及ChatGPT的智慧和流暢對話的能力。</p> <p>ChatGPT agent將整合在ChatGPT聊天機器人中，包括iOS/Android、Windows、macOS版。當用戶對ChatGPT提出要求後，ChatGPT會根據指示，運用其虛擬電腦流暢切換推理和行為能力，完整處理從開始到結束的複雜工作流程。例如用戶可以要求ChatGPT檢視行事曆、匯報接下來的客戶會議行程、規劃和採買4人份的日式早餐、分析三家競爭者建立一份報告，ChatGPT就會很聰明地上網、篩選搜尋結果、必要時讓使用者安全登入網站，它還會寫程式、執行分析，甚至根據其分析產出一份簡報檔或試算表來總結其研究發現。</p> <p><a href="https://help.openai.com/en/articles/11487775-connectors-in-chatgpt" target="_blank">OpenAI說明</a>ChatGPT agent也會使用唯讀連接器（connector）作為外部資料源，但需要用戶預先啟用。</p> <p>依據複雜性，大部份任務會在5到30分鐘內完成。如果用戶希望ChatGPT agent經常性執行某個任務，也可以<a href="https://chatgpt.com/schedules" target="_blank">在排程中</a>設定啟用（或編輯、暫停、刪除）每天、每周或每月重覆執行。</p> <p>OpenAI強調用戶擁有最高控制權，特別在ChatGPT在採取行動前會詢問用戶是否核准。用戶也可以在任何時間點中途插手、暫停、接管瀏覽器，或是終止任務。</p> <p>ChatGPT agent即日起將漸次推向Pro、Plus和Team方案用戶，用戶們可從提示列的下拉式選單選擇「agent mode」啟用。<a href="https://help.openai.com/en/articles/11794342-chatgpt-agent" target="_blank">不過OpenAI也說</a>，Plus、Team用戶要耐心等候幾天。Enterprise和Edu用戶也會在幾個星期內獲得本功能。</p> <p>Pro用戶每個月可以使用ChatGPT agent處理每月400則訊息，Plus用戶為每月40則，而Team用戶為每月30點（credit）。</p> <p>此外，這項功能暫時不會在瑞士或歐洲經濟區（European Economic Area, EEA）推出，OpenAI規劃之後推出。</p> </div></div></div>
2025/7/18 09:38作者林妍溱https://www.ithome.com.tw/news/170121
Perforce發表免維護腳本的自動化軟體測試平臺Perfecto AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Perforce發表其最新人工智慧自動化測試平臺<a href="https://www.perfecto.io/blog/perfecto-ai">Perfecto AI</a>，主打無需維護傳統測試腳本，透過自然語言即可建立並執行測試流程。該平臺瞄準企業級使用者對測試效率與彈性的需求，官方表示，Perfecto AI可讓測試效率提升達70％，大幅加快測試周期。</p> <p>Perfecto AI特色在於使用者不需要具備程式編寫能力，只要以自然語言描述想要驗證的功能，系統便能自動產生測試，並能因應應用程式或UI的變動自動調整，降低傳統腳本與定位器（Locator）繁瑣維護的負擔。</p> <p>Perfecto AI採Perforce Intelligence代理式架構，讓人工智慧自動判讀應用場景，並執行如登入、資料查核、跨平臺操作等測試工作，提升自動化覆蓋率。Perfecto AI能夠與企業既有CI/CD流程整合，在不同瀏覽器、行動裝置與作業系統上執行統一測試，並迅速獲得回饋。</p> <p>Perfecto AI也將人工智慧應用於根本原因分析（Root Cause Analysis），針對測試過程中發現的異常，自動比對UI、API與資料層，協助團隊快速判斷問題根源，提升缺陷處理效率。官方指出，這種分析機制能協助企業辨識真實產品問題，減少因測試誤判導致的人力浪費，縮短平均修復時間，進一步降低營運風險。</p> <p>Perforce在2022年併購Puppet後，使原有的版本控制、應用程式生命周期管理（ALM）、靜態程式碼分析及持續測試等產品線，進一步向下延伸至基礎設施組態自動化與法遵治理領域，建立起更完整的DevOps工具鏈。新發表的Perfecto AI則深化軟體自動化測試及人工智慧輔助驗證的技術布局，提供企業涵蓋開發、測試到部署的解決方案。</p> </div></div></div>
2025/7/18 09:18作者李建興https://www.ithome.com.tw/news/170118
多團隊開發如何落實敏捷
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_duo_tuan_dui_gao_xiao_xie_zuo_tu_pian_lai_yuan_bo_shuo_wen_hua_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2004年時，Nokia要導入敏捷開發方法。那個時候他們找了不少懂敏捷開發的人，Bas Vodde是其中一位。在那個時間點，他遇到了另一位顧問：Craig Larman。他們兩個從那個時候開始合作，也結成了好朋友。</p> <p>那時候Nokia的狀況是這樣的，大多是一個產品很多團隊一起來開發。這和Scrum 所適用的狀況不同，Scrum所描述的，都是一個團隊要如何進行敏捷開發。對於多個團隊合作的狀況下，Scrum到底要怎麼使用，並沒有提出作法。所以他們進行了很多實驗，試圖找出最合適Nokia的作法。所以就有了《Large-Scale Scrum: More with LeSS》這本書的問世。</p> <p>有些大規模敏捷框架的作法，會定義出很齊全的流程，再讓你自己去客製化。但是這樣的方式，在初期不懂的時候，使用的人根本不敢去客製化，並且多數人會全盤接受，導致用起來很卡、很繁重。很多人會覺得多一事不如少一事，不敢去承擔變動後的責任。初期不敢去客製化，後期也就不會。</p> <p>Large-Scale Scrum（LeSS）規則是只列出基本必要的，剩下的部分，你必須針對你的環境，去建立你的流程。逼你一開始就要負責任，要去思考事情該怎麼解決。如同LeSS中的名言：以少換多（More with Less）。用較少的規則，來換取你的責任感。</p> <p>所以LeSS和其他大規模敏捷框架不同之處有三點：</p> <p><strong>（1）實戰實驗</strong>：保留在戰場上實戰過，真的生存下來，真的有用的必殺技。</p> <p><strong>（2）保持簡單</strong>：本來大規模就很複雜了，如果流程又再複雜，你很難可以應用地很好。</p> <p><strong>（3）以少換多</strong>：避免提供鉅細彌遺的東西，讓團隊失去思考能力和彈性。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>LeSS所參考的實踐</strong></span></span></p> <p><span style="color:#B22222;"><strong>一、Daily Build（每日建構）</strong></span></p> <p>早期微軟在產品開發時，認為及早除錯是專案準時的關鍵。因為在最後才處理這些問題，往往會發現這些問題修完後，會再帶出其他問題。或者因為離原先寫出來的時間有點遠，需要較多的時間去回顧和處理。這些理由導致專案時間會拉更長，並且很難評估。</p> <p>此外，開發人員被教育成錯誤是很嚴重，不應該被忽視。並且會討論如何避免這個錯誤？有沒有方法可以簡單偵測出這個錯誤？如何避免問題再發生？從這個錯誤中學到什麼？</p> <p>因此微軟發展出Daily Build的作法，認為每天開發人員都要提交程式碼，以即時產生一個Build，可以確認自己開發或別人開發好的程式碼，是否能夠運作正常，或者是否會影響到別人。這就是後來衍生出來的持續整合（Continuous Integration）。</p> <p><span style="color:#B22222;"><strong>二、Feature Team</strong></span></p> <p>微軟當年認為開發團隊的最小單元就是Feature Team，由一群跨職能（Cross- Functional）的成員所組成，大家一起討論，一起決定要做什麼。讓大家有產品和程式碼擁有權，這樣運作起來才能更高效。</p> <p>那個時候，微軟認為Feature Team必須獲得上級充分授權，讓他們有責任感，可以獨立作業，團隊成員之間的地位必須平等，並且要培養出團隊成員間的共識。</p> <p>在傳統的組織中，團隊成員大多只是聽命行事，所以當Feature Team成立時，一方面希望透過這樣的協作，打破功能型組織（Functional Organization Structure）的籓籬。也就是開發人員不該只是想開發，品質也不該只有測試人員會擔心。另一方面，因為產品面對的問題十分複雜，需要有不同的專家出來建議，不能只靠產品經理。</p> <p><span style="color:#B22222;"><strong>三、廣度學習</strong></span></p> <p>微軟認為員工應該要持續成長，這樣對個人和公司是雙贏。很多時候你原先擅長A，之後只要工作跟A相關，都會交給你做。所以過了5年，你是A的頂尖高手，可是你也就只會A。微軟認為這樣不好，應該要讓員工去做不同的東西，或許一開始會花比較多時間，但從中長期來看，這樣才能讓個人和公司都成長。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>LeSS的簡介</strong></span></span></p> <p>根據Scrum的框架你可以知道他是針對單一團隊的方法。可是對於多個團隊的話，那我們要怎麼進行敏捷呢？</p> <p>Bas Vodde和Craig Larman在Nokia工作時，面對的就是一群團隊，因此他們想破了頭，做了很多實驗，最後才歸納出多團隊敏捷開發要怎麼進行。他們重新思考了Scrum的本質到底是什麼。他們認為Scrum的本質，應該是強調團隊成員如何自組織，一起協調工作要如何分配，要先做什麼才能帶給客戶價值，如果做得不理想那要怎麼調整。重點不是在於有哪些會議要開，或者是有哪些角色要扮演。</p> <p>在Scrum中是由Product Owner、ScrumMaster和Dev Team所組成。在LeSS中認為組織結構是由Product Owner、ScrumMaster和一堆Dev Team所組成。所以Product Owner和ScrumMaster並不在Dev Team（團隊中）。要規模化的話，LeSS要規模化的是Dev Team。Product Owner和ScrumMaster盡量不規模化，讓角色保持簡單。但是不代表LeSS中只有一個ScrumMaster。</p> <p>根據之前Nokia的大量實驗，以及規模化的重點在於團隊，以及思考如何協作規模化等精神。Bas Vodde和Craig Larman把這些的東西整理後，來跟大家說明LeSS包含了哪些：</p> <p><span style="color:#B22222;"><strong>一、Experiments（實驗）</strong></span></p> <p>Experiments是指之前Bas Vodde他們在某些情境下，嘗試過的作法。當你遇到問題時，這些Experiments可以帶給你很多靈感。</p> <p><span style="color:#B22222;"><strong>二、Guides（指南）</strong></span></p> <p>指出最多被人使用的實踐（Practices），告訴你別人是怎樣去落實LeSS的Rules，例如：[Guide：Multi-Team Sprint Planning Two]。在LeSS中進行Sprint Planning Two，遇到某個需求會和一些團隊有關係，這時候可以讓這些團隊各自指派一些人員，一起來討論這個功能大約要怎麼做。</p> <p>在迭代一開始先弄清大概要做什麼，讓大家有些共識。這樣之後要拆解任務（Task），就會比較清楚要怎麼弄。</p> <p><span style="color:#B22222;"><strong>三、Framework（框架）和Rules（規則）</strong></span></p> <p>框架是指LeSS Framework和LeSS Huge Framework，針對不同大小規模的團隊使用。</p> <p>Rule是用來定義LeSS的Framework，告訴你LeSS裡面有什麼。這是LeSS最核心最基本的東西。例如定義ScrumMaster的相關Rule：ScrumMaster是一份全職的角色、一個ScrumMaster可以服務1-3個團隊。</p> <p><span style="color:#B22222;"><strong>四、Principles（原則）</strong></span></p> <p>這是從之前Experiments，整理出來的心法，幫助你思考要如進行Experiments，如何進行導入。Rule只是描述了一些定義，但沒有告訴你背後是怎麼思考的。而Principle就是背後如何思考的心法。</p> <p>例如：有條Principle是以用戶為中心，所以在LeSS的Rule中，我們會定義Scrum團隊是跨職能的團隊。這樣才不會因為功能性的組織，導致團隊只在意他所負責的功能，而沒有以客戶的問題為優先考量。<strong>（本文摘錄整理自《多團隊高效協作密技》，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2_%E5%A4%9A%E5%9C%98%E9%9A%8A%E9%AB%98%E6%95%88%E5%8D%94%E4%BD%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> 多團隊高效協作密技：大規模敏捷開發方法Large Scale Scrum簡單學</strong></p> <p>敏捷三叔公柯仁傑（David Ko）／著</p> <p>博碩文化出版</p> <p>定價：650元</p> <p> </p> <p><a href="https://devopsdays.tw/2025/speaker-page/160" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_ DevOpsDays Taipei官網</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%A4%9A%E5%9C%98%E9%9A%8A%E9%AB%98%E6%95%88%E5%8D%94%E4%BD%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20DevOpsDays%20Taipei%E5%AE%98%E7%B6%B2.jpg" style="width: 150px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><strong>敏捷三叔公柯仁傑（David Ko）</strong></p> <p>目前在Odd-e擔任Agile Coach，幫助企業導入敏捷、改善流程和提供培訓，台灣Agile Tour Taipei的組織者之一，也是國內最大敏捷社群的創始人，致力於推廣敏捷技術。</p> <p>擅長敏捷開發流程、敏捷測試、軟體測試、設計衝刺（Design Sprint）和DevOps轉型。</p> <p>Agile Summit、DevOpsDays Taipei的主辦人，譯有《Scrum and XP from the Trenches》繁中版。</p> </div></div></div>
2025/7/18 06:00未署名https://www.ithome.com.tw/article/170031
HazyBeacon濫用AWS Lambda隱匿活動，意圖竊取東南亞政府關稅貿易資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有許多組織運用無伺服器（Serverless）的運算服務，部分駭客也盯上這類服務並用於攻擊行動，例如，2022年資安業者Cado Security<a href="https://www.cadosecurity.com/blog/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda">揭露名為Denonia的惡意軟體</a>，駭客就是針對名為AWS無伺服器服務Lambda下手，部署挖礦軟體牟利，如今又有濫用這項服務的資安事故傳出。</p> <p>例如，<a href="https://unit42.paloaltonetworks.com/windows-backdoor-for-novel-c2-communication/">由駭客組織CL-STA-1020發起的攻擊行動</a>，就是這樣的例子。揭露此事的資安業者Palo Alto Networks指出，他們從2024年底追蹤這些駭客的活動，對方的攻擊目標是東南亞政府機關，目的是收集敏感資訊，特別是關於關稅與貿易爭端的資料。</p> <p>在這波攻擊活動裡，駭客運用名為HazyBeacon的後門程式引起Palo Alto Networks的注意，因為該後門程式濫用AWS Lambda的函數URL功能建立C2通訊。此功能的主要用途，是讓使用者能直接透過HTTPS呼叫無伺服器運算的功能，一旦攻擊者濫用這種合法功能，就能建立具備可靠、可延伸的通道，但難以察覺相關惡意行為。</p> <p>不過，這種濫用AWS Lambda函數URL功能的手法，並非CL-STA-1020獨有。例如，今年6月，資安業者Trellix揭露<a href="https://www.trellix.com/blogs/research/oneclik-a-clickonce-based-red-team-campaign-simulating-apt-tactics-in-energy-infrastructure/">APT駭客的惡意軟體攻擊行動OneClik</a>。</p> <p>AWS<a href="https://www.ithome.com.tw/news/150395">於2022年為Lambda提供函數URL的功能</a>，目的是提供用戶配置用於Lambda功能的專屬HTTPS端點，一旦設為這種端點，就可以直接使用標準的網頁請求呼叫相關功能，而無須配置複雜的API閘道。</p> <p>在惡意軟體HazyBeacon的攻擊行動裡，駭客在滲透階段，多半使用合法的服務，達到掩蓋非法行為的目的，其中包含了Google Drive、Dropbox等知名的雲端檔案共用服務，目的是外流從受害電腦竊得的檔案。</p> <p>究竟這個後門程式如何入侵受害電腦，Palo Alto Networks並未提及，但他們看到駭客透過DLL側載手法載入後門，作案的工具包含惡意DLL檔案mscorsvc.dll，以及公用程式mscorsvw.exe。一旦該公用程式被註冊的Windows服務觸發，就會載入惡意DLL檔案，並連上駭客控制的AWS Lambda函式URL。</p> </div></div></div>
2025/7/17 17:55作者周峻佑https://www.ithome.com.tw/news/170119
資安院接手TWCERT/CC維運，號召4千家企業，共築臺灣數位韌性新防線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在當前數位化浪潮席捲全球，網路攻擊日益頻繁的背景下，臺灣作為全球關鍵供應鏈的核心，其資安防護韌性無疑成為國家安全與經濟發展的重中之重。日前，數位發展部資通安全署與國家資通安全研究院（資安院）共同召開記者會，正式揭示臺灣在資安領域的「公私聯防策略」，就是希望透過政府、產業、學界與民間的緊密合作，共同應對日益複雜的網路威脅。</p> <p>此次策略的核心在於，透過國家資通安全研究院接手維運的TWCERT/CC（臺灣電腦網路危機處理暨協調中心）平臺，強化情資共享、技術支援及人才培育，為臺灣的數位環境構築一道堅韌的防護網。</p> <p>數位發展部次長林宜敬表示，資安攻防的本質就是「一個好人跟壞人之間不斷的攻防。」他強調，在現代社會中，從手機、電腦到路由器、汽車，各種設備都充滿了軟體和潛在的漏洞。當駭客發現新漏洞時，惡意情資會迅速在暗黑網路傳播，使得全世界的駭客都能利用這些漏洞對各公司發動攻擊。</p> <p>因此，他認為，作為「好人」的一方，必須迅速掌握情資、找到修補方法，並將這些資訊快速傳遞開來，這正是TWCERT/CC資安情資交換的關鍵作用。林宜敬也提到，TWCERT/CC提供的這項免費情資服務，其目標是讓臺灣產業界能在第一時間堵住資安漏洞，能讓企業在駭客找上門前，搶先修補資安漏洞，呼籲全臺企業盡快加入TWCERT/CC。</p> <p>數位發展部資安署署長蔡福隆則補充，TWCERT/CC的服務不限於資安情資，還包括暗網監控通報、最新入侵威脅指標（IoC）、高風險或已被利用漏洞情資，以及資安電子報等多元服務。</p> <p>蔡福隆強調，雖然目前《資安法》並未強制民間企業通報資安事件，但政府採取「鼓勵」而非「處罰」的方式，希望逐步建立信任，鼓勵企業主動通報。他認為，當企業與資安院、資安署接觸並體驗到其服務價值後，將逐漸願意進行通報，尤其在涉及個人資料外洩的情況下，許多企業已主動向個資保護委員會及資安署通報。</p> <p>蔡福隆也進一步說明，資安院自接手TWCERT/CC任務後，因資安院作為資安專屬機構更適合承接此職能，而TWCERT/CC與全球CERT組織有密切合作，可共同應對跨國資安威脅。</p> <p>關於TWCERT/CC在公私聯防策略中的核心角色與多項強化作為，國家資通安全研究院副院長龔化中直接提出說明。他表示，過去在產業界時便對TWCERT/CC非常熟悉，認為這是「產業跟政府溝通的一個非常非常重要的橋樑」。</p> <p>龔化中強調，TWCERT/CC作為我國與國際資安溝通的橋樑，目前已與全球110個CERT組織建立聯繫管道。這使得臺灣能夠接收來自全球的外部資安情資；同時，TWCERT/CC也作為國內N-ISAC的一員，接收國內各領域資安事件通報，協助民間企業加入資安聯防行列。</p> <p>龔化中指出，TWCERT/CC將鎖定與本身設有資安委員會的公協會合作，積極推動中小企業加入團體會員，預計年底團體會員目標數，將從現有的2,000個增加為4,000個。</p> <h2><strong>TWCERT/CC成為情資交流聯防的核心樞紐</strong></h2> <p>TWCERT/CC職能廣泛，涵蓋臺灣民間企業所有電腦問題的處理，並作為國內外情資交流與協調的中心。資安院成立後也接手維運TWCERT/CC，不僅提升公務體系與民間企業情資的綜效，更強調情資的「準確性與快速性」。</p> <p>龔化中強調，當TWCERT/CC收到一家企業的資安情資時，除了通知並協助該企業外，也會通知產業相關的潛在受影響企業，協助他們提早預防，因為「駭客現在已經像無人機，一來都是一大票。」他說道。</p> <p>他進一步解釋，資安院在去年1月接手TWCERT/CC維運後，同時整合了社群與民間資源，大幅提升情資交流的廣度與深度。龔化中指出，資安院不僅收集、轉發情資，更擁有自己的研發團隊，對情資進行精準分析與判讀，包括企業攻擊事件、高風險資安漏洞、潛在攻擊活動等；而分析的結果會以攻擊活動／漏洞預警的形式發布，協助企業提早防範因應。這些情資包含各種駭侵事件、入侵指標與預警，並提供可能受影響的廠商。</p> <p>龔化中也特別提到TWCERT/CC情資互享實例的運作模式，當TWCERT/CC分析攻擊活動並發布情資通報，企業會員接收之後會加強防範；反之，企業會員若主動提供威脅指標，TWCERT/CC也會在官網發布資安新聞，或主動通報相關企業會員。</p> <p>他舉例說明，當一家企業收到情資，TWCERT/CC不僅會通知並協助該企業處理，還會通知該產業相關、可能發生風險的其他企業，以協助他們提早預防。他強調，駭客攻擊往往不是單獨行動，而是大規模襲擊，因此，掌握情資並盡快通知相關廠商，能有效幫助企業提早因應。</p> <p>TWCERT/CC作為臺灣與國際資安溝通的橋樑，目前已與全球110個CERT組織建立了聯繫管道，並定期參與各類國際資安組織，匯集國際與國內各領域資安事件情資。這種廣泛的國際合作，使得臺灣能夠在最短時間內得知全球各地發現的新漏洞，並迅速將修補訊息分享給會員，以縮短駭客攻擊的「時間差」。林宜敬補充說，由於臺灣是世界上遭受網路攻擊最嚴重的地方之一，因此能夠分享的案例非常多，這是一種互惠的情資分享。</p> <h2><strong>協助企業資安強化作為，從源頭阻斷威脅</strong></h2> <p>龔化中指出，真正的資安防護必須從基本做起，也就是從「產品」做起。他強調，如果軟硬體產品本身存在問題，有再多的資安防護，也難以穩固。臺灣作為電子資訊產品製造大國，產品漏洞的解決至關重要，不僅對臺灣有益，對全球各國政府也有幫助。</p> <p>他警示，隨著AI技術進步，漏洞被利用的時間越來越快，甚至在今年第一季，超過28%的重要漏洞，在24小時內就被駭客利用攻擊。因此，儘管產品不可能沒有漏洞，但即時修復漏洞可大幅降低風險。</p> <p>為此，龔化中也分享TWCERT/CC所推動的多項策略。首先，加速產品漏洞通報機制（PSIRT）與產品資安應變機制。</p> <p>他進一步解釋，TWCERT/CC內部成立產品資安應變聯絡小組（PSIRT），就是一個確保資安研究員（白帽駭客）與企業之間的雙向驗證、安全溝通的通報程序。同時，TWCERT/CC也會輔導廠商在內部建立產品資安應變小組，並要求設立單一窗口、標準程序與及時回應機制，以確保漏洞能及時修復，保護企業商譽與客戶。</p> <p>其次，龔化中表示，TWCERT/CC則會積極推動團體會員機制，並強化情資交流分享，提高聯防的廣度與效率。</p> <p>他坦言，儘管TWCERT/CC會員總數已達2千多個，但中小企業會員比例仍偏低，許多中小企業仍因「嫌麻煩」或「認為不會輪到自己」而未加入，這種心態會對整個國家的資安防護，帶來很大的風險。</p> <p>為擴大防護網，資安院在TWCERT/CC推動「團體會員」機制，主動與產業公協會合作，透過公協會將情資發布給會員（企業），並協助監督其資安風險。龔化中表示，今年預計先與兩家本身設有「資安委員會」且會員基礎廣泛的公協會合作，並希望明年能持續推廣到更多協會，最終目標是實現「普惠」的資安防護，預計年底時，團體會員可以達到4千個。</p> <p>第三，要做到情資分享自動化以及加快情資傳遞效率，龔化中表示，TWCERT/CC計畫今年導入STIX 2.1標準格式，並於2026年提供系統自動化情資交換功能，這將扮演關鍵角色。</p> <p>他指出，未來，企業會員不僅能透過郵件接收情資，更能直接將情資導入其系統，以即時阻擋攻擊。「這將使目前的郵件通知與未來的自動化情資交換雙軌並行，大幅提升資安應變速度。」他說道。</p> <p>第四，資安院攜手大專院校師生，提供中小企業資安諮詢服務。龔化中指出，資安院獲得Google.org基金挹注，引進美國柏克萊加州大學「Cybersecurity Clinic」模式，於2024至2025年間，資安院公私協力攜手至少8間大專院校、培育超過300名學生，為至少61家中小企業與非營利組織提供資安諮詢服務。</p> <p>他進一步解釋，此舉不僅讓學生們在實習過程獲得實務經驗，也為企業提供寶貴的資安健診服務，尤其對那些電腦系統較混亂的非營利組織幫助甚大。</p> <p>第五，資安院產官學聯手組成資安專家服務團，實地強化企業資安作為。他指出，</p> <p>資安院2024年集結內外部資安專家組成服務團，以深度且敏捷的資安服務機制，服務11家中小微型企業與非營利組織，並計畫於2025年持續前往全臺20個組織進行實地輔導，協助其推動落實資安政策與措施。</p> <p>最後，舉辦資安人才培訓，厚植企業資安防護專業能力。他指出，資安院自2021年起，連續五年舉辦資安高階技術人才培訓課程，累計培訓逾400人次。這些高階資安人才遍布金融、軟體、智慧製造、資安、醫療等產業，成為國家重要的資安儲備力量，以強化我國資安防護韌性。</p> <h2><strong>聯防機制帶來的企業實證效益</strong></h2> <p>龔化中透過多個實際案例，說明公私聯防機制的重要性與效益。首先是關於供應鏈資安威脅。他表示，TWCERT/CC去年在外部網路發現某供應商的重要程式外洩，資安院迅速通知該廠商及其客戶，並巡查整個供應鏈，通知相關廠商共同處理，最終避免嚴重的資安破壞。這件事的發生，凸顯駭客經常從供應鏈著手攻擊，因此供應鏈聯防至關重要。</p> <p>其次，協助受駭企業，降低環控系統駭侵事件的後遺症。他指出，去年有四家製造業者的環控系統同時異常，導致停工；經TWCERT/CC協處後發現，俄羅斯駭客利用產品遠端存取設定中的通用性風險，進而發動攻擊。TWCERT/CC在查明原因後，立即通知代理商及其所有客戶解決問題，有效避免更多工廠受害。</p> <p>第三，降低社交工程攻擊機率。龔化中表示，TWCERT/CC透過VirusTotal發現，有某企業會員的社交工程樣本資訊外洩。經主動偵查後，通知該企業清查內部是否遭受釣魚或被駭。經該企業回饋清查結果，並加強內部防護機制與員工資安意識，例如進行模擬釣魚演練。</p> <p>第四，提早揭露駭客攻擊目標。龔化中指出，資安院透過惡意電郵陷阱機制（Mail Trap），誘捕駭客攻擊電子郵件，發現多家民間企業成為駭客攻擊目標。資安院透過會員情資管道，通知了46個受駭客攻擊的目標會員，並提醒用戶開啟雙因子驗證、持續觀察帳號使用情況、定期變更帳號密碼，並注意釣魚郵件，成功降低了社交工程所造成的風險。</p> <p>龔化中總結指出，這些案例都印證了聯防的重要性，以及公私合作是解決國家資訊危害的唯一途徑。他強調，TWCERT/CC將以「準、早、快、廣」四大原則，共築資安堅韌防護網。</p> <p>準（Accurate）意味著掌握第一手資安情資，確保通報準確有效；早（Early）則表示做好軟硬體產品資安，提早預防駭客滲透；快（Fast）指的是自動化情資分享系統，可以更快速通知會員廠商；最後的廣（Wide）則是透過團體會員機制，服務更多中小和微型企業。</p> <p>龔化中也邀請更多企業加入TWCERT/CC聯盟會員，他再次強調，這是完全免費的服務，同時提供暗網監控通報等高價值服務。他認為，資安是持續精進的風險管理，每一個組織的安全都關乎國家整體安全。</p> <h2><strong>產業現身說法，印證公私協力帶來的實質助益</strong></h2> <p>兩家與TWCERT/CC有長期合作經驗的企業代表，也現身分享他們的實際案例與心得，證明公私聯防策略的有效性。</p> <h3><strong>葳橋資訊：提供及時通報與防護升級</strong></h3> <p>葳橋資訊是有29年歷史的純軟體開發商，該公司專案經理黃新連則分享去年（2024年）10月收到TWCERT/CC通報的經驗。</p> <p>他指出，去年10月葳橋收到TWCERT/CC的通報，內容是其開發已14年的系統存在弱點，此前客戶機關已委託第三方進行滲透測試，並同步通報TWCERT/CC。TWCERT/CC主動與葳橋聯繫，雙方討論並快速修補了漏洞。</p> <p>當TWCERT/CC在官網發布通報後，各機關內部紛紛轉載，當晚及隨後數日，導致葳橋連續三天接到大量詢問電話，多家機關客戶主動聯繫葳橋資訊詢問相關風險，促使葳橋資訊迅速修補系統漏洞。黃新連說：「這顯示各機關對資安風險意識的顯著提升。」</p> <p>他指出，葳橋資訊早在七、八年前，便將資安工作納入公司流程，並且耗時四年，投入巨資，調整開發工具、方法、系統架構、程式碼寫法及套件，並由老闆親自擔任資安負責人。</p> <p>儘管取得了ISO 27001驗證，但黃新連坦言「資源不足」，強調，駭客攻擊手法不斷進化，單靠公司自身技術不足以應對，因此非常需要TWCERT/CC這類資安聯防機制，提供資源支持。</p> <p>他認為，TWCERT/CC的預防作用非常顯著，過去曾見過學校因駭客入侵而系統癱瘓、資料被刪除的慘況，而近年政府在資安防護上的努力，確實阻止許多入侵事件的發生。他表示，這種聯防機制讓葳橋資訊能與客戶機關共同努力，持續提升生產技術並提供更安全的產品。</p> <h3><strong>網擎資訊：提供精準情資與更新動能</strong></h3> <p>網擎資訊副總經理李孟秋也分享，TWCERT/CC如何大幅提升該公司的資安防護能力。</p> <p>她表示，自加入TWCERT/CC以來，公司每日都會收到多封包含最新情資的郵件，內容非常實用，例如不安全的IP位址、網址、特徵碼，以及軟體修補資訊。網擎資訊能夠將這些情資整合到自身的雲端服務和軟體，協助客戶即時更新，李孟秋認為，這些情資「非常珍貴且實際有用」。</p> <p>TWCERT/CC在網擎資訊申請CVE（Common Vulnerabilities and Exposures）編號方面，也提供協助。李孟秋表示，CVE編號確保漏洞資訊的國際化與清晰化，而TWCERT/CC不僅協助該公司申請，還會幫忙通知各界。</p> <p>此外，TWCERT/CC提供的「暗網監控」等情資來源，也主動通知網擎其客戶可能遭受攻擊或軟體存在風險。</p> <p>她指出，一旦發生漏洞，企業必須在極短時間內（甚至24小時內）找到問題並發布更新包，然而，客戶卻不一定會立即更新，此時TWCERT/CC的角色便顯得尤其重要。</p> <p>她表示，TWCERT/CC會通知公部門，使得公部門能同時收到網擎與TWCERT/CC的兩份通知，「法律規定有義務要更新這件事情，這個動力會很強」她說道。此外，對於私部門會員，TWCERT/CC也會透過電子報發送更新通知，形成多管齊下的催促機制，進而大幅縮短客戶更新的時間，最終降低了風險。</p> <p>李孟秋也特別代表網擎資訊向資安院與國發會表示感謝，因為兩個單位協助他們製作雲端共契平臺上的GCB（政府組態基準）實作簡報指引，透過該份指引，詳細說明機關如何安全配置系統，以及帳號必須雙重驗證、密碼設定避免鍵盤橫向組合等，對機關使用者和企業都提供巨大的幫助，共同提升資安防護水準。</p> <h2><strong>年底目標，團體會員擴增到4千家</strong></h2> <p>龔化中指出，目前TWCERT/CC會員中上市櫃公司的占比高，資訊或科技產業的廠商相對較多，傳統中小企業及非營利組織則較少，這正是TWCERT/CC會員參與未來極力推廣的重點。</p> <p>他表示，TWCERT/CC已鎖定與兩家本身設有資安委員會的公協會合作，這些協會通常具有專業資安團隊，能協助會員處理資安事務，預計今年底會員總數能「加倍」成長，到今年底會員總數能從目前的兩千多家倍增至四千家。</p> <p>蔡福隆表示，第一階段推動已從上市櫃公司著手，未來也將增加供應鏈相關的中小企業，透過供應鏈來推動會員加入；至於預算方面，雖然隨著會員增加而逐步增加TWCERT/CC在維運上的經費，但目前預算仍屬足夠。</p> <p>林宜敬強調，加入TWCERT/CC只有好處沒有壞處，且完全免費，能讓企業在第一時間獲得情資並修補漏洞，希望中小企業可以多參與這項「好服務」。</p> <h2><strong>鼓勵企業通報資安事件，建立信任關係</strong></h2> <p>針對部分公司不願通報資安事件的現象，蔡福隆坦承，在缺乏法律規定的情況下，企業確實呈現遲疑的態度。他解釋，目前通報的管道，包括上市櫃公司重訊發布相關資安訊息，民間企業則在個人資料外洩時，需通報個資委員會並同時知會資安署。</p> <p>蔡福隆強調，這是個「漸進的過程」，政府初期採取「鼓勵」而非「處罰」的方式，期盼逐步建立信任。他也提到，在資安法修法過程中，民間企業對「被納管」仍有相當疑慮，因此政府選擇先從上市櫃公司及個資管道著手，逐步取得信任後再增加通報需求。</p> <p>林宜敬則以「好人與壞人攻防」的比喻，進一步解釋通報的重要性。他指出，當駭客發現新漏洞時，惡意情資會迅速傳播，低階駭客也會利用這些漏洞發動攻擊。所以，作為好人的這一方必須盡快得知漏洞資訊與修補方法，他表示，TWCERT/CC的目標就是「縮短這個時間差」。</p> <p>此外，透過國際合作，當友好的國家或機構得知新漏洞時，能以最短時間將訊息分享給臺灣，讓企業能在駭客攻擊前盡快修補漏洞。林宜敬強調，臺灣是世界上遭受網路攻擊最嚴重的地區之一，因此，在情資分享方面具有極高的合作意願。</p> <p>各界也關注臺灣半導體供應鏈的資安狀況，龔化中指出，TWCERT/CC與半導體主要廠商及其協會保持密切聯繫與情資分享。雖然沒有直接針對半導體「系統弱點」的案例，但他們觀察到其「下游供應鏈公司」存在較多的資料外洩，或疑似客戶資料在外流傳的情況，因此，仍持續鼓勵供應鏈成員積極加入TWCERT/CC聯盟會員，共同提升防護。</p> <p>龔化中也解釋，TWCERT/CC自2024年1月由資安院接手後，是在TWCERT/CC原有的基礎上，增加更多政府及國際情資，並提升研發能量，讓情資更準確，會員數量在資安院接手後已成長了一倍，目標是再成長一倍，預計達到四千家。</p> <p>他強調，資安院維運TWCERT/CC時，會與民間各種資安協會，如高科技資安聯盟等有密切合作，尤其在產品資安方面，資安院已加入他們的產品資安小組，每月定期會議協助提升會員的產品資安流程與技術。</p> <p>在會員產業類型方面，龔化中表示，目前的兩千多個會員確實以上市櫃公司為主，涵蓋大部分產業類型，其中資訊或科技廠商占比較多，而傳統中小企業和非營利組織相對較少，這正是未來極力推廣的重點。</p> <p>在國際交流方面，龔化中強調，TWCERT/CC作為全球110個CERT組織聯盟的一員，遵循相同的SOP，時常進行情資交換。若在臺灣發現國外產品漏洞，會透過CERT/CC與他國CERT合作處理。</p> <p>資安院加入政府資安團隊後，更能整合政府與友邦政府的資安情資，以及採購的商業情資，並針對特定會員及風險進行分享。龔化中形容TWCERT/CC是「非常非常專業、非常小眾的媒體，而且非常有用」。</p> <p>林宜敬進一步解釋，全球多數類似的資安組織都是「非官方」或「半官方」性質，因為，在網際網路世界中，網民對政府監控存有疑慮，尤其歐美先進民主國家，政府也擔心透過網路監控人民。</p> <p>因此，資安防護工作通常由非官方或半官方組織執行，例如美國的US-CERT、日本的JPCERT/CC、韓國的KR-CERT等，以建立信任。林宜敬認為，這種國際聯盟的重要性在於「縮短時間差」，讓好人在駭客發動大規模攻擊前，能盡快得知漏洞並進行修補。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/7/17 18:18作者黃彥棻https://www.ithome.com.tw/news/170120
國科會揭明年度科技預算先期規畫、晶創臺灣方案和災防科技進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會在7月16日第16次委員會議後揭露3項議案進展，包括2026年度政府科技預算先期規畫、晶片驅動臺灣產業創新方案（即晶創臺灣方案），以及災防韌性科技方案。其中，明年度科技預算研討後約1,600億、聚焦5大信賴產業，晶創臺灣方案則聚焦半導體與AI，階段性進展有最近成立的臺灣算力聯盟和國網中心推出的生成式AI應用開發平臺Taiwan AI RAP。至於災防科技方案，目前累積166項科研成果，亮點則有農業部建立土石流多元預警AI，在丹娜絲颱風期間成功預警等。</p> <p><span style="font-size:22px;"><strong>明年度科技預算研議為1,601億元，聚焦5大信賴產業</strong></span></p> <p>國科會主委吳誠文表示，就明年度政府科技計畫先期作業來說，經這次委員會議審議，同意匡列一般科技預算1,601億元，國科會將依審議結果陳報請行政院同意。雖然較今年早些時候國科會提出的1,800億元預算版本，少了近200億元，但仍聚焦5大信賴產業，包括半導體、人工智慧、軍工、安控、次世代通訊。國科會認為，半導體還可結合AI，延伸到在宅醫療、多元綠能、強化資安和智慧機器人等領域應用。</p> <p>國科會科技辦公室執行秘書張振豪補充，國科會對重要計畫方案提出進一步的預算建議，比如次世代通訊科技方案建議為43.9億元預算、大南方新矽谷推動方案22.3億元、智慧機器人方案22.9億元、淨零科技方案102.7億元，以及晶創臺灣方案211.9億元等。</p> <p>他也公布國科會科技預算歷年變化，比如2022年為1,264億元、2023年為1,383億元、2024年是1,570億元、2025年1,595億元，明年則是1,601億元。吳誠文強調，科技預算是全政府的戰略性投資，期望未來科技預算能維持穩定成長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-17%20172132.png" /></p> <p><span style="font-size:22px;"><strong>晶創臺灣方案鎖定半導體與AI，今年底預計提升國家算力至5.1百萬瓦</strong></span></p> <p>張振豪也揭露晶創臺灣方案進展，該方案自去年展開，瞄準半導體與AI，提出4大策略和4大布局，分別是優勢延續、國際拓展、應用創新、永續調適等4大策略，以及AI驅動產業創新、強化國內環境、加速發展先進技術、吸引國際來臺投資等4大布局。</p> <p>就布局1：AI驅動產業創新的進展來說，目標是要透過晶創臺灣方案和大南方新矽谷推動方案，來發展AI核心算力基礎建設，強化各行各業應用AI的能力。因此，國科會要提高國家算力，預計今年底將達到5.1MW（百萬瓦），明年則要實現8.7MW，目標是2029年要達到23MW。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-17%20172211.png" /></p> <p>此外，國科會旗下國研院國網中心也在今年5月推動成立臺灣算力聯盟，要來匯聚國內資源、公私協力來推動主權AI發展和算力布局。同時，今年5月，國網中心也建置生成式AI應用開發平臺Taiwan AI RAP，來提供強大算力、AI工具和模型及微調評估服務等，來加速企業或研究團隊快速開發。</p> <p>就強化國內環境的進展來說，目標是要建置FinFET、AI、先進封裝設計環境，以及FinFET IC 設計人才培育。目前已推動EDA雲平臺和FinFET、AI、先進封裝等設計資源建置，並培訓種子師資、提供教材課程，預計2030年前將運算核心擴充至24,000核心。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-17%20172220.png" /></p> <p>而布局3：加速發展先進技術，則是要推動關鍵晶片與異質整合技術開發，如打造小於1奈米的原子級驗證關鍵設備、研發高效能運算晶片（如AI神經網路加速晶片）、異質整合與矽光子等關鍵技術，強化晶片效能和設計安全性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-17%20172229.png" /></p> <p>至於布局4：吸引國際來臺投資，國科會已透過晶創臺灣方案，在去年啟動IC Taiwan Grand Challenge徵案，吸引來自英、美、法等多國新創團隊落地臺灣。同時，國科會也設置IC新創加速平臺，來提供一站式服務，鏈結臺灣半導體產業經驗和資源、縮短新創產品開發時程。目前已串聯10多家國內廠商，提供晶片設計、製造、封裝到系統整合等技術及試製服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-17%20172238.png" /></p> <p><strong><span style="font-size:22px;">災防科技方案啟動至今，已累計166項技術開發</span></strong></p> <p>另一方面，國科會也揭露2023年開始推動的災害防救韌性科技方案進展（2023年至2026年），該方案跨部會執行，包括內政部、交通部、國科會、教育部、農業部、核安會、經濟部、數發部和環境部等9各部會共18個機構，目前已投入28億元經費、累積166項科研成果，其中多項技術也實際應用在災害應變管理。</p> <p>比如，前陣子丹娜斯颱風與低壓帶造成彰化鹿港地區淹水時，水利署就利用9,365支攝影機影像、自動告警和影像辨識，通報至Line群組，請長官查看。此外，交通部中央氣象署也用井下地震站和智慧化預警系統，在今年花蓮地震時，讓全臺民眾提前收到警報；他們發展的AI颱風路徑預報，也提高72小時以上的預測準確度，強化防颱措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-17%20172410.png" /></p> <p>經濟部水利署則透過物聯網和AI影像辨識，大幅提高淹水判讀效率，提供即時災情資訊。農業部農村發展及水土保持署也導入AI技術，建立土石流多元預警模式，於丹娜絲颱風期間成功預警。此外，為確保災時通訊不中斷，數位發展部也已建置超過770個非同步衛星站點，並在花蓮地震時支援災區緊急通訊。</p> <p></p> <div id="gtx-trans" style="position: absolute; left: 617px; top: 1791.04px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/7/17 12:41作者王若樸https://www.ithome.com.tw/news/170117
金管會通過Line Pay設立專營電支機構申請，Line Pay將進軍電子支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>第三方支付Line Pay進軍電支市場又更近了一步。金管會今天（7/17）通過經營Line Pay業務的連加網路申請設立電子支付專營機構連加電子支付公司一案，未來6個月內向金管會申請核發營業執照，並於取得營業執照後6個月內營業，依業者自己的時程規畫，最晚於2026年7月17日前營業，推出電子支付Line Pay Money，象徵Line Pay將從第三方支付跨足經營電子支付業務。</p> <p>Line Pay旗下擁有超過1,300萬用戶，為國內受歡迎的第三方支付，依規定，第三方支付線上代理收付日均餘額超過20億元，需依法向金管會申請電子支付，在2025年初，連加網路董事會通過籌設子公司，向金管會申請電子支付專營機構，經營電子支付業務。</p> <p>金管會今天依據「電子支付機構管理條例」第11條第1項規定，參考業者提供的資料，並洽中央銀行意見後，通過連加電子支付公司設立申請案，未來可經營包括代理收付實質交易款項、收受儲值款項、辦理國內小額匯兌、提供特約機構收付訊息整合傳遞、提供使用者間及使用者與特約機構間訊息傳遞及提供紅利積點折抵代理收付實質交易款項服務等業務。</p> <p>在Line Pay加入電支市場後，國內將有9家專營電子支付機構，以及20家兼營電子支付機構，Line Pay挾第三方支付龐大用戶基礎，可望加速用戶通過實名註冊升級為電子支付用戶。</p> <p>至於原本Line Pay與一卡通合作，在Line Pay錢包中提供一卡通iPASS Money，受到歡迎的好友轉帳功能，因為Line Pay已和一卡通協議，確定於2025年12月31日終止雙方合作，屆時用戶不再能透過Line Pay作好友轉帳。</p> <p>目前Line Pay用戶使用的好友轉帳功能，為Line Pay（第三方支付）與一卡通iPASS MONEY（電子支付）在2018年雙方合作而來，好友轉帳為電支帳戶轉帳功能，因此在Line Pay與一卡通合作關係於2025年12月31日結束合作之後，Line Pay維持原有的第三方支付服務，需等待取得營業執照後推出Line Pay Money電支付服務，而一卡通目前有兩個電子支付服務入口，Line Pay平臺入口及App入口，未來Line Pay上的入口結束後，一卡通電支用戶僅剩下一卡通App的入口，用戶需下載安裝一卡通App方能繼續使用轉帳功能，但不再能在Line對話框中同時進行對話、轉帳，對用戶而言略微不便。</p> <p>一卡通iPASS Money現有700萬電支用戶，一卡通正積極吸引用戶轉移到獨立電支App。</p> <p>金管會表示，為保障雙方用戶的權益，已督促Line Pay和一卡通提醒用戶結束合作，一卡通也積極鼓勵用戶轉移到App。</p> </div></div></div>
2025/7/17 17:26作者蘇文彬https://www.ithome.com.tw/news/170115
線上博弈行銷業者SharpLink Gaming所持有的以太幣數量超越以太坊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上博弈行銷業者<a href="https://investors.sharplink.com/sharplink-becomes-largest-eth-holder/" target="_blank">SharpLink Gaming本周二（7/15）表示</a>，截至7月13日為止，該公司已擁有280,706枚以太幣（ETH），超越以太坊（Ethereum）成為全球持有最多以太幣的機構。</p> <p>以太幣源自於2015年上線的以太坊。以太坊是一個具備智慧合約功能的去中心化區塊鏈，以太幣則是以太坊的原生加密貨幣，在全球加密貨幣領域中，以太幣的市值僅次於比特幣。<a href="https://coinmarketcap.com/" target="_blank">Coinmarketcap</a>的資料顯示，目前比特幣的市值為2.36兆美元，以太幣則是4,144億美元，每枚比特幣的價格為11.8萬美元，以太幣為3,431美元。</p> <p>SharpLink Gaming的本業是協助線上體育博彩及線上博弈網站導入流量及玩家，2024年的營收為366萬美元，下滑了26%，因為該年度以2,250萬出售了部分業務，而帶來約1,000萬美元的淨收入。</p> <p>不過，該公司於今年5月27日<a href="https://investors.sharplink.com/sharplink-gaming-announces-425000000-private-placement-to-initiate-ethereum-treasury-strategy/" target="_blank">宣布轉型</a>，準備建立以以太幣為核心的金庫策略，成功私募4.25億美元，開始大量購入並質押以太幣，同時延攬以太坊共同創辦人Joseph Lubin擔任該公司董事長。</p> <p>接著SharpLink Gaming一路大手筆收購以太幣，先是在6月13日以4.63億美元收購176,270枚以太幣，並在短短一個月的時間就達到280,706枚，超越以太坊所持有的以太幣數量，成為全球持有最多以太幣的機構。根據<a href="https://intel.arkm.com/explorer/entity/ethereum-foundation" target="_blank">Arkham</a>的統計，以太坊約持有202,120個以太幣。</p> <p>擁戴加密貨幣的美國總統川普（Donald Trump）當選後，各路加密貨幣都跟著水漲船高，SharpLink Gaming原本的股價只有個位數，5月宣布轉型後，股價一度飆上100美元，昨天（7/16）股價上漲19%，以37.38美元作收。</p> </div></div></div>
2025/7/17 16:48作者陳曉莉https://www.ithome.com.tw/news/170114
LV土耳其也傳客戶個資外洩影響14萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>精品業者Louis Vuitton（LV）近日接連多個分公司發生資料外洩事件，土耳其分公司是最新受害者。報導指出，可能和LV使用的第三方服務被駭有關。</p> <p><a href="https://therecord.media/louis-vuitton-says-customers-impacted-by-data-breaches" target="_blank">多家媒體報導</a>，LV土耳其分公司7月發生大規模資料外洩事件。<a href="https://www.kvkk.gov.tr/Icerik/8342/Kamuoyu-Duyurusu-Veri-Ihlali-Bildirimi-Louis-Vuitton-Cantacilik-Ticaret-Anonim-Sirketi" target="_blank">根據業者向該國個資保護主管機關提交的報告</a>，該公司7月2日偵測到一名未授權的行動者存取了LV土耳其包含客戶個資的資料庫，起因是受第三方服務供應商管理員帳戶被盜用牽連。初步調查結果判定，攻擊行動始於6月7日。</p> <p>本事件導致LV客戶及潛在客戶資料外洩，包含身份及聯絡資料，影響土耳其居民人數達142,995。</p> <p>這使得<a href="https://www.ithome.com.tw/news/170054" target="_blank">LV本月初南韓、英國傳出</a>系統遭駭洩露部份客戶個資後，又增加了一起資安事件紀錄。LV南韓強調沒有客戶財務資訊如銀行帳戶受到影響。LV英國分公司則證實駭客存取了客戶姓名、聯絡資訊和過往購買紀錄等客戶個資。但二個部門都未提供受害人數及可能的原因。</p> <p><a href="https://www.bleepingcomputer.com/news/security/louis-vuitton-says-regional-data-breaches-tied-to-same-cyberattack/" target="_blank">Bleeping Computer報導</a>，LV可能是同一個駭客組織攻擊行動的結果。報導引述消息人士說，LV資安事件可能與名為ShinyHunters的勒索組織有關，歹徒是存取了第三方廠商資料庫並成功竊取資料。這點與LV向土耳其官方通報的資訊相同。</p> <p>報導並指出，LV事件也與5月運動品牌<a href="https://www.ithome.com.tw/news/169222" target="_blank">Adidas資安事件</a>相關。同樣是南韓及土耳其的客戶收到LV通知其姓名、電話號碼、電子郵件信箱、生日別等個資外洩通知。</p> <p>和LV同屬LVMH母公司的其他品牌，Christian Dior Couture 5月亦發生遭駭客竊取客戶資料事故，影響韓國網站及中國門市客戶。而<a href="https://www.chosun.com/english/industry-en/2025/05/26/ORM5MULB7NEM7EBUFVXHVLSB4A/" target="_blank">Tiffany韓國分公司</a>則是在4月發生資料外洩，含客戶姓名、住家地址、電子郵件、客戶編號等。但二起事件則指向另一組織Scattered Spider。</p> </div></div></div>
2025/7/17 12:48作者林妍溱https://www.ithome.com.tw/news/170106
Google證實AI代理可幫忙找資安漏洞，SQLite零時差漏洞因此浮出檯面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著AI大勢所趨，資安業者在許多解決方案導入這項技術，藉此找出需要特別留意的弱點，改善攻擊與防守方不對等的情況，如今有科技業者藉由相關技術，找出疑似即將遭到利用的零時差漏洞，引起各界關注。</p> <p>6月28日<a href="https://www.sqlite.org/releaselog/3_50_2.html">資料庫軟體SQLite發布3.50.2</a>，最近Google透露，<a href="https://blog.google/technology/safety-security/cybersecurity-updates-summer-2025/">該版本修補了一項他們通報的資安弱點CVE-2025-6965</a>，這項漏洞引起關注的地方在於，它並非由研究人員察覺，而是由AI資安代理程式Big Sleep所為。此AI代理程式<a href="https://googleprojectzero.blogspot.com/2024/10/from-naptime-to-big-sleep.html">去年</a>Google DeepMind與Google Project Zero聯手推出，當時他們也是用來發現SQLite的資安漏洞，此漏洞涉及記憶體堆疊下溢（未公布CVE編號）。</p> <p>特別的是，在今年最新發布的相關消息中，Google強調，這項漏洞在Big Sleep發現之前只有駭客知道，而且將用於實際攻擊行動，並表明CVE-2025-6965是首度有AI機器人發現可能用於攻擊行動的資安弱點。</p> <p>究竟駭客打算如何運用漏洞，Google並未說明，僅強調此漏洞為重大層級，用戶千萬不能掉以輕心。但該公司宣稱，他們結合威脅情報與Big Sleep兩者的能力，可預測疑似會被利用的漏洞，並預先阻斷可能引發的攻擊行動。</p> <p>根據美國國家漏洞資料庫（NVD）登記的資料，此漏洞發生的原因，在於聚合項的數量可能超過可用的欄位的數量，而可能導致記憶體損毀，4.0版CVSS風險評為7.2分。</p> </div></div></div>
2025/7/17 12:52作者周峻佑https://www.ithome.com.tw/news/170101
AWS預覽AI代理人平臺Amazon Bedrock AgentCore
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-bedrock-agentcore-securely-deploy-and-operate-ai-agents-at-any-scale/" target="_blank">Amazon Web Services（AWS）周三（7/16）宣布預覽AI代理人平臺Amazon Bedrock AgentCore</a>，以協助開發人員安全地建置及部署AI代理人，並專注於開發代理人的核心功能，可免費試用至9月16日，目前僅開放美東、美西、雪梨與法蘭克福等區域。同一天AWS亦開始<a href="https://www.aboutamazon.com/news/aws/aws-summit-agentic-ai-innovations-2025" target="_blank">於AWS Marketplace中供應AI代理人與工具</a>，並將額外投資1億美元予AWS生成式AI創新中心（AWS Generative AI Innovation Center），以推動代理式AI的開發及部署。</p> <p>AWS表示，基礎模型已從生成內容發展至可支援AI代理人，開源的CrewAI、LangGraph、 LlamaIndex與Strands Agents等框架，更讓建置可執行複雜任務的AI代理人變得愈來愈容易，但從概念驗證轉化為可服務數千用戶的生產級應用，可能需要花費數月的時間來處理基礎設施，而這便是AgentCore企圖解決的問題。</p> <p>AgentCore主要包含7大服務模組，分別是提供會話隔離的低延遲無伺服器環境AgentCore Runtime，用來管理短期與長期記憶的AgentCore Memory，實現企業級身分管理以存取各種第三方工具的AgentCore Identity，與提供統一存取介面的AgentCore Gateway。</p> <p>另外還有提供代理執行視覺化監控的AgentCore Observability，支援網頁自動化工作流程的AgentCore Browser，以及於隔離環境中執行代理生成程式碼的AgentCore Code Interpreter等。</p> <p>AWS首席傳教士Danilo Poccia表示，上述服務可以單獨使用，亦已針對協作進行優化，它們能夠搭配開源或客製化的AI代理人框架，以讓團隊能夠靈活運用，亦可選擇透過AgentCore SDK將相關服務整合到既有的程式碼中。</p> <p>AWS以客戶支援助理為例，指出傳統的客服人員需要驗證電子郵件、查找CRM系統中的客戶資料、檢查訂單狀態，再從特定產品的知識庫中找到相關資訊以準備回覆，但透過AgentCore，AI代理人能夠自動完成這些步驟，連接內部系統、檢索語義資料，並起草回覆內容，可大幅減化工作流程。</p> </div></div></div>
2025/7/17 13:00作者陳曉莉https://www.ithome.com.tw/news/170102
Reflection AI發表程式碼研究代理人Asimov
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年3月才成立的<a href="https://reflection.ai/blog/introducing-asimov/" target="_blank">Reflection AI周三（7/16）正式發表該公司首款產品Asimov</a>。Asimov定位為程式碼研究代理人，能夠索引整個程式碼庫、技術文件及Slack/GitHub討論區，以協助建構團隊的知識大腦。</p> <p>Reflection AI的兩名創辦人皆來自Google DeepMind，一位是曾參與Gemini及強化學習研究的Misha Laskin，另一位則是AlphaGo與AlphaZero 核心工程師之一的Ioannis Antonoglou，Laskin現為Reflection AI執行長，Antonoglou則是技術長。該公司去年已獲得來自包括紅杉資本（Sequoia Capital）、Nvidia及Scale AI在內的1.3億美元A輪融資。</p> <p>Reflection AI表示，在大型的程式碼庫中，工程團隊花費多達7成的時間來理解與設計程式碼，只利用10%的時間來撰寫程式碼，然而，現代的產品都將大多數的精力集中於程式碼生成，造成有限的理解能力。而程式碼代理人也有類似的問題，倘若不深入了解大型程式碼庫及周邊的業務邏輯，那麼程式碼代理人也只會受困於膚淺的能力。</p> <p>而Asimov則具備一流的程式碼理解能力，是Reflection AI專門替團隊及組織打造的程式碼研究代理人。</p> <p>Asimov具備3個關鍵元件，一是藉由存取程式碼庫、架構文件、GitHub線程、聊天紀錄與其它來源，以替工程知識建置單一事實來源；相較於採用規則或README來指示代理人，Asimov則是藉由Memories功能來共同記錄與傳承團隊的知識，例如要求Asimov記住某個功能的運作方式；此外，Asimov採用了多代理人架構來理解大量資訊，它有許多小型的長脈絡代理人，以用來擷取與提問有關的資訊，也有一個大型的短推理代理人，以整合由前者所蒐集的資訊，並生成一個具邏輯且有脈絡的答案。</p> <p>在Asimov與Cursor Ask、Claude Code（Sonnet 3.7）及Claude Code（Sonnet 4.0）等知名程式碼代理人的個別盲測中，Asimov明顯勝出。</p> <p>Reflection AI內部也使用Asimov來加速工程，發現它每天都變得更聰明，也相信要實現超智慧的程式碼生成的前提是，先擁有超智慧的程式碼理解能力。</p> <p>目前Asimov僅開放<a href="https://tryasimov.reflection.ai/asimov-waitlist" target="_blank">申請試用</a>，也正公開<a href="https://jobs.ashbyhq.com/reflectionai" target="_blank">招兵買馬</a>。</p> </div></div></div>
2025/7/17 13:19作者陳曉莉https://www.ithome.com.tw/news/170103
【資安日報】7月17日，精品品牌LV在多國的分公司接連傳出網路攻擊事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼英國零售業者接進傳出受害，精品業者迪奧（Dior）、<a href="https://www.ithome.com.tw/news/169348">卡地亞（Cartier）</a>，<a href="https://www.ithome.com.tw/news/169222">運動品牌愛迪達（Adidas）</a>、以及<a href="https://www.ithome.com.tw/news/169292">女性內衣業者維多莉亞的秘密（Victoria's Secret）</a>接連傳出資安事故，最新一起事故是發生在Louis Vuitton（LV），由於陸續傳出多個國家的分公司資料外洩的情況，使得這起事故格外受到關注。</p> <p>除此之外，近期公布的資安弱點也相當值得留意，其中又以Google修補Chrome今年第5個零時差漏洞影響相當廣泛，再者，資安業者Binarly找到的技嘉主機版漏洞，用戶也要儘速套用相關韌體更新因應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170106"><strong style="font-size: 22px;">LV土耳其傳客戶個資外洩，影響14萬人</strong></a></p> <p>精品業者Louis Vuitton（LV）近日接連多個分公司發生資料外洩事件，土耳其分公司是最新受害者。報導指出，可能和LV使用的第三方服務被駭有關。</p> <p>多家媒體報導，LV土耳其分公司7月發生大規模資料外洩事件。根據業者向該國個資保護主管機關提交的報告，該公司7月2日偵測到一名未授權的行動者存取了LV土耳其包含客戶個資的資料庫，起因是受第三方服務供應商管理員帳戶被盜用牽連。初步調查結果判定，攻擊行動始於6月7日。</p> <p>根據Bleeping Computer的報導，LV各國分公司遭駭可能是同一個駭客組織攻擊行動的結果。消息人士透露，LV資安事件可能與名為ShinyHunters的勒索組織有關，歹徒是存取了第三方廠商資料庫並成功竊取資料。這點與LV向土耳其官方通報的資訊相同。</p> <p><a href="https://www.ithome.com.tw/news/170083"><strong style="font-size: 22px;">北韓駭客利用NPM套件散布惡意程式XORIndex</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/229be48d621d13ed4efef3e3ffb41e542add2cf9-1802x1220.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/229be48d621d13ed4efef3e3ffb41e542add2cf9-1802x1220.png" style="width: 300px; float: right;" /></a></p> <p>韓駭客長期針對想要求職的開發人員而來，透過職場社群網站LinkedIn與其他接案平臺，進行接觸目標的攻擊行動Contagious Interview（Dev#Popper），駭客通常會冒充招募人員，向求職者提供誘人的工作機會，藉由測驗技術能力為幌子要求他們對特定的NPM套件進行修改，實際上是散布惡意程式，最近活動出現升溫的現象而引起資安業者的注意。</p> <p>長期追蹤相關攻擊活動的資安業者Socket指出，他們在6月看到駭客散布惡意程式載入工具HexEval，最近又發現另一款也與這些駭客有關的惡意程式載入工具XORIndex，Socket一共找到67款NPM套件挾帶此惡意軟體，迄今已被下載逾1.7萬次，值得留意的是，其中仍有27款NPM套件尚未下架，該公司已向NPM資安團隊通報此事。</p> <p><a href="https://www.ithome.com.tw/news/170097"><strong style="font-size: 22px;">甫正式發表的大型語言模型Grok 4遭到越獄</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/echo_crescendo-diagram.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/echo_crescendo-diagram.jpg" style="width: 300px; float: right;" /></a></p> <p>馬斯克領軍的AI新創xAI於7月10日發表新一代AI模型Grok 4，並在第三方AI基準測試一舉勝過OpenAI、Google、Anthropic Claude、DeepSeek的高階模型，再加上後續該公司推出伴侶模式（Companion Mode）的新功能，使用iOS版App的用戶能與AI女友Ani進行互動而成為熱門話題，然而，事隔不到兩天，有資安業者指出，他們結合了兩種大型語言模型的越獄手法，成功繞過安全防護機制，讓Grok 4產生有問題的內容。</p> <p>7月11日資安業者NeuralTrust宣布，他們成功越獄了Grok 4，利用的攻擊手法有兩種，其中是以上個月該公司公布的「回音室攻擊（Echo Chamber）」為主，並結合另一種則是稱做Crescendo的攻擊手法來達到目的。</p> <p><a href="https://www.ithome.com.tw/news/169977"><strong style="font-size: 22px;">2025社交工程攻擊新趨勢！語音網釣、AI偽冒真實攻擊大增</strong></a></p> <p>近年來，網路社交工程攻擊的樣貌正出現重大轉變，取代傳統釣魚郵件（Phishing）成為眾人關注焦點的部分在於：語音網釣（Vishing）、AI深偽（Deepfake）語音偽冒等新型態攻擊。</p> <p>雖然這類手法先前已在一些案例中浮現，但在語音網釣成功率更高的態勢下，以及生成式AI快速發展的推波助瀾下，再加上與傳統釣魚郵件、釣魚網站的手法相互結合，使得這股威脅正急遽升溫。</p> <p>在2025年初，我們看到不少資安研究報告指出，語音網釣攻擊近期呈現爆炸性成長。例如，資安業者CrowdStrike發布年度威脅報告中指出，語音網釣攻擊行動需特別注意，自2024年下半年起有大幅增加趨勢，每月經常達到50起以上，較上半年增加4.42倍；同時，這幾年所有資安業者的年度威脅預測中，都強調AI語音偽冒技術愈趨成熟，新興風險已然大增。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chinas-salt-typhoon-hacked-us-national-guard/">中國駭客Salt Typhoon鎖定美國軍隊下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/critical-golden-dmsa-attack-in-windows.html">研究人員揭露鎖定新版Windows Server的攻擊手法Golden dMSA</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/hackers-leverage-microsoft-teams-to.html">惡意軟體Matanbuchus 3.0透過協作平臺Teams散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflare-says-1111-outage-not-caused-by-attack-or-bgp-hijack/">針對1.1.1.1公用DNS服務中斷，Cloudflare表示是遭遇BGP挾持攻擊所致</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170078"><strong style="font-size: 22px;">Google發布Chrome 138更新，修補已被用於攻擊的GPU零時差漏洞</strong></a></p> <p>Google發布Chrome瀏覽器穩定版138.0.7204.157、138.0.7204.158，針對Windows、Mac與Linux平臺推送更新，內容重點在於修補多項高風險資安漏洞，其中一項GPU元件的安全缺陷CVE-2025-6558已被證實遭到攻擊者濫用，屬於零時差漏洞。Google呼籲用戶應盡速完成版本更新，以降低潛在風險。</p> <p>根據Google官方公告，本次穩定版共修補6項安全漏洞，涵蓋V8引擎、ANGLE與GPU、WebRTC等核心元件。而CVE-2025-6558為高風險漏洞，與ANGLE（Almost Native Graphics Layer Engine）和GPU元件在處理未經驗證輸入時的驗證不足有關。Google威脅分析小組指出，已觀察到攻擊者鎖定該漏洞發動攻擊。雖然細節尚未完全公開，Google表示，相關技術資訊將待多數用戶完成更新後才會公布，以防止漏洞被進一步利用。</p> <p><a href="https://www.ithome.com.tw/news/170098"><strong style="font-size: 22px;">技嘉主機板韌體存在多項漏洞，攻擊者可用於繞過安全開機防護</strong></a></p> <p>美國卡內基美隆大學電腦緊急應變小組協調中心（CERT/CC）本周警告，技嘉主機板存在多項漏洞，可讓攻擊者關閉UEFI安全機制，並控制主機板所在硬體。</p> <p>這批漏洞出在技嘉主機板UEFI韌體模組的系統管理模式（System Management Mode，SMM）。UEFI透過SMM和硬體直接互動。SMM為一高特權的CPU模式，是用以處理低階系統運作。SMM是執行在受保護的記憶體SMRAM中，只能透過SMI（System Management Interrupt，SMI）handler來存取。</p> <p>這批由安全廠商Binarly發現的漏洞有4個，包含CVE-2025-7026到CVE-2025-7029。其中CVE-2025-7026為未檢查指標導致任意地址寫入SMRAM。CVE-2025-7027漏洞為雙重指標解參（dereference），導致任意內容寫入SMRAM。CVE-2025-7028為未驗證的函式指標結構導致閃存（Flash）操作被接管，CVE-2025-7029漏洞類型為未檢查的暫存器用法導致任意SMRAM寫入。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/oracle-issues-critical-update/">Oracle發布2025第三季更新，修補309個漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170085"><strong>【7月16日】VMware修補虛擬化平臺重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170074"><strong>【7月15日】IDE開發工具Cursor AI出現惡意延伸套件，有用戶因此損失50萬美元</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170051"><strong>【7月14日】臺美關稅遲遲未定，美國大型律師事務所驚傳遭中國駭客入侵</strong></a></p> </div></div></div>
2025/7/17 13:39作者周峻佑https://www.ithome.com.tw/news/170105
微軟.NET 10加入JIT最佳化、一次性CLI工具，預先公開後量子加密API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布<a href="https://devblogs.microsoft.com/dotnet/dotnet-10-preview-6/?hide_banner=true">.NET 10第六預覽版</a>，這次更新重點有三大功能，包括即時編譯器（JIT）最佳化、CLI工具強化，以及新增後量子加密API。這次更新著重提升執行效能、強化安全機制，並簡化開發流程，進一步回應開發者在效能、安全與生產力上的需求。</p> <p>在<a href="https://github.com/dotnet/core/blob/main/release-notes/10.0/preview/preview6/runtime.md#improved-code-generation-for-struct-arguments">JIT最佳化部分</a>，.NET 10進一步針對結構參數（Struct Argument）的編譯效率進行強化。過去，結構常因欄位提升至堆疊或暫存器（Register）而出現效能瓶頸，微軟這次調整JIT暫存器分配邏輯，提升在執行時期間的運算效能，特別是在資料密集運算與高頻率迴圈場景，能有效減少不必要的記憶體存取次數。</p> <p>CLI工具則是本次另一項更新重點，之前開發者在使用.NET CLI工具時，必須先進行本地安裝，導致CI/CD流程或容器化腳本需維護繁瑣的環境相依性。新版本引進<a href="https://github.com/dotnet/core/blob/main/release-notes/10.0/preview/preview6/sdk.md#one-shot-tool-execution">一次性執行模式</a>，允許開發人員透過dotnet tool exec指令，直接執行NuGet上的CLI工具，而無須事先安裝或維護本地套件。該設計有助於簡化開發、測試與部署自動化，對於頻繁需要在不同環境執行短期工具的團隊特別好用。平臺專屬NuGet工具套件化也同步上線，讓CLI能根據執行環境自動挑選合適的二進位檔案，提升跨平臺體驗。</p> <p>微軟本次預覽釋出.NET 10加入<a href="https://github.com/dotnet/core/blob/main/release-notes/10.0/preview/preview6/libraries.md">後量子加密（PQC）API</a>，也就是先公開抽象介面，預告未來逐漸完備抵禦量子運算攻擊的演算法支援。這項API目前已整合進核心函式庫，開發者可逐步評估並於未來專案測試應用。</p> <p>除上述三項主要更新外，.NET 10第六預覽版也同步強化JSON序列化的嚴格模式，新增禁止重複屬性與更嚴謹的資料驗證機制，減少序列化時產生的非預期錯誤與相容性問題。<a href="https://www.youtube.com/watch?v=enDEOSAr9YA">Blazor則導入新的資產預載元件與表單驗證強化</a>，進一步簡化WebAssembly開發流程。桌面開發方面，Windows Forms針對暗色模式等現代化介面細節持續進行修正，WPF則強化對Fluent主題的支援，整體提升使用者體驗。</p> <p>.NET 10預計於今年11月正式發表，屆時將成為LTS長期支援版本，支援期預計三年。</p> </div></div></div>
2025/7/17 13:51作者李建興https://www.ithome.com.tw/news/170104
FortiWeb重大漏洞已出現濫用活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Shadowserver/status/1945407662805454871" target="_blank">研究人員警告</a>，Fortinet網頁應用防火牆FortiWeb SQL指令注入漏洞CVE-2025-25257已經有濫用活動，可能也包含惡意攻擊。</p> <p>ShadowServer基金會研究人員觀察到，7月9日公佈的CVE-2025-25257在7月11日已經出現webshell程式濫用FortiWeb執行個體的活動，7月14日有85例（端點），7月15日有77例。其中以美國最多，為40個。<a href="https://dashboard.shadowserver.org/statistics/combined/map/?date_range=other_value&day=2025-07-16&map_type=std&source=compromised_iot&source=compromised_website&source=compromised_website6&tag=fortiweb-compromised%2B&data_set=count&scale=lin&auto_update=on" target="_blank">雖然到7月16日</a>濫用總次數已小於50，但美國還是有20個端點遭到濫用，第二名為印度的9個。</p> <p><a href="https://www.ithome.com.tw/news/169971" target="_blank">編號CVE-2025-25257的漏洞</a>為對SQL指令中特殊元件的不當中和（improper neutralization），即未對輸入的特殊字符進行適當處理，導致這些字符被SQL引擎誤判為SQL指令，形成SQL注入（SQL Injection）。本漏洞可讓未經授權的攻擊者可經由傳送HTTP或HTTPS呼叫，執行SQL程式碼或指令。CVSS風險值達9.6，為重大風險。</p> <p>Fortinet已經釋出更新。企業應儘速安裝更新版，若用戶未能及時安裝新版軟體，應關閉HTTP/HTTPS管理員介面防堵SQL指令執行。</p> </div></div></div>
2025/7/17 15:06作者林妍溱https://www.ithome.com.tw/news/170108
LV土耳其也傳客戶個資外洩影響14萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>精品業者Louis Vuitton（LV）近日接連多個分公司發生資料外洩事件，土耳其分公司是最新受害者。報導指出，可能和LV使用的第三方服務被駭有關。</p> <p><a href="https://therecord.media/louis-vuitton-says-customers-impacted-by-data-breaches" target="_blank">多家媒體報導</a>，LV土耳其分公司7月發生大規模資料外洩事件。<a href="https://www.kvkk.gov.tr/Icerik/8342/Kamuoyu-Duyurusu-Veri-Ihlali-Bildirimi-Louis-Vuitton-Cantacilik-Ticaret-Anonim-Sirketi" target="_blank">根據業者向該國個資保護主管機關提交的報告</a>，該公司7月2日偵測到一名未授權的行動者存取了LV土耳其包含客戶個資的資料庫，起因是受第三方服務供應商管理員帳戶被盜用牽連。初步調查結果判定，攻擊行動始於6月7日。</p> <p>本事件導致LV客戶及潛在客戶資料外洩，包含身份及聯絡資料，影響土耳其居民人數達142,995。</p> <p>這使得<a href="https://www.ithome.com.tw/news/170054" target="_blank">LV本月初南韓、英國傳出</a>系統遭駭洩露部份客戶個資後，又增加了一起資安事件紀錄。LV南韓強調沒有客戶財務資訊如銀行帳戶受到影響。LV英國分公司則證實駭客存取了客戶姓名、聯絡資訊和過往購買紀錄等客戶個資。但二個部門都未提供受害人數及可能的原因。</p> <p><a href="https://www.bleepingcomputer.com/news/security/louis-vuitton-says-regional-data-breaches-tied-to-same-cyberattack/" target="_blank">Bleeping Computer報導</a>，LV可能是同一個駭客組織攻擊行動的結果。報導引述消息人士說，LV資安事件可能與名為ShinyHunters的勒索組織有關，歹徒是存取了第三方廠商資料庫並成功竊取資料。這點與LV向土耳其官方通報的資訊相同。</p> <p>報導並指出，LV事件也與5月運動品牌<a href="https://www.ithome.com.tw/news/169222" target="_blank">Adidas資安事件</a>相關。同樣是南韓及土耳其的客戶收到LV通知其姓名、電話號碼、電子郵件信箱、生日別等個資外洩通知。</p> <p>和LV同屬LVMH母公司的其他品牌，Christian Dior Couture 5月亦發生遭駭客竊取客戶資料事故，影響韓國網站及中國門市客戶。而<a href="https://www.chosun.com/english/industry-en/2025/05/26/ORM5MULB7NEM7EBUFVXHVLSB4A/" target="_blank">Tiffany韓國分公司</a>則是在4月發生資料外洩，含客戶姓名、住家地址、電子郵件、客戶編號等。但二起事件則指向另一組織Scattered Spider。</p> </div></div></div>
2025/7/17 12:48作者林妍溱https://www.ithome.com.tw/news/170100
甫正式發表的大型語言模型Grok 4遭到越獄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克領軍的AI新創xAI<a href="https://www.ithome.com.tw/news/170016">於7月10日發表新一代AI模型Grok 4</a>，並在第三方AI基準測試一舉勝過OpenAI、Google、Anthropic Claude、DeepSeek的高階模型，再加上後續該公司推出伴侶模式（Companion Mode）的新功能，<a href="https://www.testingcatalog.com/grok-debuts-interactive-ai-companions-on-ios-with-anime-avatars/">使用iOS版App的用戶能與AI女友Ani進行互動</a>而成為熱門話題，然而，事隔不到兩天，有資安業者指出，他們結合了兩種大型語言模型的越獄手法，成功繞過安全防護機制，讓Grok 4產生有問題的內容。</p> <p>7月11日資安業者NeuralTrust宣布，<a href="https://neuraltrust.ai/blog/grok-4-jailbreak-echo-chamber-and-crescendo">他們成功越獄了Grok 4</a>，利用的攻擊手法有兩種，其中是以上個月該公司公布的「<a href="https://neuraltrust.ai/blog/echo-chamber-context-poisoning-jailbreak">回音室攻擊（Echo Chamber）</a>」為主，並結合另一種則是稱做Crescendo的攻擊手法來達到目的。</p> <p>什麼是回音室攻擊？攻擊者會利用有毒內容與多回合推理，引導模型產生有問題的內容，過程裡無須提出明確的危險提示。有別於一般的越獄手法仰賴對抗性內容或是角色混淆，回音室攻擊採取間接引用、語意引導，以及多步驟推理，從而對模型內部的狀態進行微妙的操縱，最終導致模型做出違反相關政策的回應。</p> <p>而在Grok 4越獄的過程裡，NeuralTrust結合上述兩種手法來進行，他們先使用回音室攻擊手法，例如，在不斷說服模型的循環裡，加入額外的檢查機制，偵測對話是否不再有意義地朝目標推進，成為沒有新意的（stale）狀態，當這種情況發生時，他們就運用Crescendo手法來推動對話的方向。NeuralTrust指出，通常透過兩次對話就能誘導模型產生有害內容。</p> <p>他們以汽油彈（Molotov）、冰毒（Meth）、毒素（Toxin）等主題實驗，結果成功越獄的比例，分別為67%、50%、30%。NeuralTrust提及，在部分情況下，他們只使用回音室攻擊就達到目的，而無須再搭配Crescendo手法。</p> </div></div></div>
2025/7/17 11:32作者周峻佑https://www.ithome.com.tw/news/170097
技嘉主機板韌體存在多項漏洞，攻擊者可用於繞過安全開機防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kb.cert.org/vuls/id/746790" target="_blank">美國卡內基美隆大學電腦緊急應變小組協調中心（Computer Emergency Response Team Coordination Center，CERT/CC）本周警告</a>，技嘉主機板存在多項漏洞，可讓攻擊者關閉UEFI安全機制，並控制主機板所在硬體。</p> <p>這批漏洞出在技嘉主機板UEFI韌體模組的系統管理模式（System Management Mode，SMM）。UEFI透過SMM和硬體直接互動。SMM為一高特權的CPU模式，是用以處理低階系統運作。SMM是執行在受保護的記憶體SMRAM中，只能透過SMI（System Management Interrupt，SMI）handler來存取。</p> <p>SMI handler好比資料進入SMM的閘道，以特定通訊緩衝區（communication buffer）處理資料。SMI handler若對緩衝區內容驗證不當，可能讓惡意資料進入SMM，此外，若是資料從CPU Save State Registers取得的指標未妥善驗證，也可能讓攻擊者存取不得訪問的位置，結果造成SMRAM毁損或未經授權執行SMM。攻擊者可在開機早期、復原模式或在OS完全載入前濫用SMI handler，執行任意程式。</p> <p>這批由安全廠商Binarly發現的漏洞有4個，包含CVE-2025-7026到CVE-2025-7029。其中CVE-2025-7026為未檢查指標導致任意地址寫入SMRAM。CVE-2025-7027漏洞為雙重指標解參（dereference），導致任意內容寫入SMRAM。CVE-2025-7028為未驗證的函式指標結構導致閃存（Flash）操作被接管，CVE-2025-7029漏洞類型為未檢查的暫存器用法導致任意SMRAM寫入。</p> <p>利用這些漏洞，攻擊者在支援UEFI的處理器SMM環境下提升權限，並執行任意程式碼。原始的韌體供應商AMI（美商安邁科技）表示這批漏洞已經解決，但是在某些OEM如技嘉的韌體再度出現且被公開。</p> <p><a href="https://www.gigabyte.com/Support/Security/2302" target="_blank">技嘉已經發佈更新韌體</a>，CERT/CC強烈建議用戶到技嘉網站檢視是否受到影響，並安裝更新。</p> <p>技嘉也列出受這批BIOS影響的平臺，涵括6月修補的Intel H110、Z390、H310、B360、Q370、C246、Z490、H470、H410、W480。但Z170、H170、B150、Q170、Z270、H270、B250、Q270、Z370、B365已經EoL，請用戶聯絡該公司支援窗口。</p> </div></div></div>
2025/7/17 11:36作者林妍溱https://www.ithome.com.tw/news/170098
Nvidia宣布美國即將放行H20出口至中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/nvidia-ceo-promotes-ai-in-dc-and-china/" target="_blank">Nvidia周一（7/14）於官網上宣布</a>，美國政府已保證要授予許可，讓該公司銷售H20 GPU至中國市場；<a href="https://www.reuters.com/world/china/nvidias-huang-hails-chinese-ai-models-world-class-2025-07-16/" target="_blank">路透社（Reuters）則報導</a>，Nvidia創辦人暨執行長黃仁勳本周三（7/16）在中國參加中國國際供應鏈博覽會時，稱讚Deepseek、阿里巴巴與騰訊所開發的AI模型是世界級的，並認為AI將會徹底改變供應鏈。</p> <p>H20是在美國的施壓下，Nvidia以H100改裝而成的晶片，它不管是在核心數量或是性能上都低於H100，卻是Nvidia可出貨至中國的最高等級晶片；但美國今年4月突然要求Nvidia在出貨之前必須取得許可，而讓<a href="https://www.ithome.com.tw/news/169250" target="_blank">Nvidia於今年第一季</a>產生了45億美元的庫存及採購費用。</p> <p><a href="https://www.reuters.com/technology/nvidia-resume-h20-gpu-sales-china-2025-07-15/" target="_blank">路透社</a>引用美國商務部部長Howard Lutnick的說法指出，這次美國政府再度放行，為美國與中國稀土談判的一部分，屬於稀土磁鐵貿易協定的一環。</p> <p>這幾天黃仁勳遊走於華盛頓及北京，同時會見雙方的高級官員，<a href="https://www.nytimes.com/2025/07/16/business/nvidia-jensen-huang-beijing.html" target="_blank">紐約時報</a>（The New York Times）引用黃仁勳的說法，表示並不認為是自己改變了美國總統川普（Donald Trump）的想法，他只是向川普報告他所了解的事物，像是科技產業、人工智慧，以及全球的AI發展等。</p> <p>除了H20之外，Nvidia也發表了另一款可出售至中國的Nvidia RTX Pro GPU，專門支援智慧工廠與物流的數位孿生AI。</p> <p>不過，美國參議員Elizabeth Warren<a href="https://www.banking.senate.gov/newsroom/minority/senator-warren-statement-on-trump-admins-reported-decision-to-approve-licenses-for-nvidia-to-sell-the-h20-to-the-peoples-republic-of-china" target="_blank">表達了她的不滿，宣稱</a>川普才在3個月前禁止Nvidia銷售H20到中國，卻在黃仁勳於4月參加了每人百萬美元等級的海湖莊園募款晚宴後，改口允許該公司重新進軍中國市場。</p> <p>黃仁勳向媒體透露，Nvidia已累積了許多來自中國的訂單，而該公司很快就會取得出口許可。</p> </div></div></div>
2025/7/17 11:54作者陳曉莉https://www.ithome.com.tw/news/170099
Claude金融分析方案登場，內建多方MCP連接器並支援複雜模擬分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/news/claude-for-financial-services">發表</a>金融分析方案，以Claude 4系列模型為核心，鎖定券商、資產管理與投資銀行等高強度分析工作。官方表示，方案將外部即時行情與企業內部資料集中到單一介面，並以超連結標注原始來源，協助分析師快速驗證假設。</p> <p>此方案內建多方MCP連接器，首波支援Databricks、Snowflake兩大資料平臺，開箱即可串接FactSet、PitchBook、S&P Global等行情與私募資料，同時整合Box與Palantir等文件與營運資料來源。方案內含Claude Code與企業版擴充容量，可在自然語言指令下執行Monte Carlo模擬、複雜Excel財務模型或風險敏感度分析，並允許開發人員以API與原有交易系統或監管法遵流程對接。</p> <p>Anthropic強調，客戶資料預設不會回傳用於模型訓練，以符合金融業對機敏資訊的保護需求。官方與Deloitte、KPMG、PwC等顧問公司合作，協助企業進行模型微調、法規剖析與程式碼現代化服務，而Slalom與TribeAI則著重在老舊系統翻新與虛擬資料室（VDR）自動審閱。</p> <p>第三方評測機構Vals AI指出，Claude Opus 4在金融代理基準測試中表現良好，FundamentalLabs以其Excel Agent在Financial Modeling World Cup七個測試關卡中通過五關，達成複雜題組83％正確率。</p> <p>雖然生成式人工智慧在金融領域仍存在解釋性與監理挑戰，Anthropic在金融分析方案結合連接器和明確資料溯源機制，能夠在精準度與工作流程整合上取得平衡，提供使用者更多試算與驗證時間。</p> </div></div></div>
2025/7/17 07:06作者李建興https://www.ithome.com.tw/news/170089
微軟開源Copilot Chat擴充功能，強化VS Code MCP及AI功能整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://code.visualstudio.com/updates/v1_102">VS Code 1.102</a>，本次更新針對人工智慧整合與開發者工作流程帶來多項實質強化，包括將GitHub Copilot Chat擴充功能開源、MCP（Model Context Protocol）支援正式上線，以及多項與終端機、聊天介面、自訂指令相關的功能改善。</p> <p>最受關注的更新重點是Copilot Chat擴充功能正式開源，原始碼現已於微軟的GitHub儲存庫中以MIT授權釋出。開發者可深入研究聊天代理、自訂指令與模式的實作，並據此修改、擴充或提出回饋，降低企業整合成本，進一步擴展人工智慧在本地開發環境的應用可能性。</p> <p>VS Code同步強化了自訂聊天模式功能，開發者現可指定每個模式所使用的語言模型，並透過自訂說明檔加入專案背景或風格設定。新的指令Chat:Generate Instructions能分析目前工作區，產生符合專案架構與程式風格的初始說明檔案，有助提升人工智慧回應的準確性與一致性。針對較大型或條件式套用的指令說明，也新增了依檔案名稱規則（Glob Pattern）自動載入的機制，讓專案可以根據不同檔案自動套用對應說明，提升彈性與擴充性。</p> <p>此外，VS Code 1.102也正式將MCP支援列為穩定功能，並提供專屬的圖形介面管理工具，方便開發者檢視、安裝並管理MCP伺服器，同時整合Profiles、Settings Sync。MCP伺服器現已成為VS Code中的一級資源，不再依附全域設定檔，這代表使用者能針對不同工作情境設定專屬的人工智慧協作環境。</p> <p>在VS Code互動效率方面，實驗性支援在代理模式下自動核准指令，開發者可透過允許清單與拒絕清單明確指定哪些指令可自動執行。命令列也新增code chat子命令，支援從CLI快速開啟Chat對話，並能傳入模式與檔案內容作為上下文。聊天介面方面，使用者可編輯先前請求並重新提交，也能將Chat視窗最大化至整個編輯器區域，以專注操作。</p> </div></div></div>
2025/7/17 07:11作者李建興https://www.ithome.com.tw/news/170095
【資安日報】7月16日，VMware修補虛擬化平臺重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週VMware修補一系列與虛擬化平臺有關的資安漏洞，皆來自漏洞挖掘競賽Pwn2Own參賽者的研究，且影響範圍相當廣泛，包含ESXi、Workstation、Fusion，以及Windows版虛擬機器公用程式VMware Tools，用戶都應儘速套用相關更新因應。</p> <p>另一個相當值得留意的情況，是WordPress網站有關的資安威脅加劇，在我們昨天報導有人<a href="https://www.ithome.com.tw/news/170072">利用ZIP檔案發動攻擊</a>，將網站用戶重新導向的事故，今天整理兩篇與表單外掛程式有關的消息，其中一個是Gravity Forms遭遇供應鏈攻擊的情況，另一個是SureForms存在任意檔案刪除漏洞，恐影響20萬個網站。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170079"><strong style="font-size: 22px;">WordPress表單外掛Gravity Forms疑遭供應鏈攻擊，被植入後門程式</strong></a></p> <p>近年來使用WordPress架設而成的網站很多，此內容管理平臺豐富的外掛程式，也成為駭客鎖定的目標，但大多數事故是利用外掛程式的資安漏洞來攻擊網站，如今有一起事故引起資安業者注意，因為駭客攻擊開發外掛程式的軟體公司得逞，從而在外掛程式植入惡意軟體。</p> <p>例如，由軟體業者RocketGenius打造的表單外掛程式Gravity Forms，上週就出現這類資安事故。事件的揭露的過程，是有人在7月10日從官方網域gravityforms.com下載此外掛程式，卻發現裡面的gravityforms/common.php檔案有問題，會向gravityapi.org網域發出惡意HTTP請求，通報此事的人士之所以察覺異狀，是因為他們透過監控系統看到速度極為緩慢的請求。他們通報RocketGenius並未及時得到回應，於是找上了資安業者Patchstack尋求協助，才使得這起供應鏈攻擊事故曝光。</p> <p>對此，RocketGenius也在7月11日發布公告證實此事，並表示用戶若是在7月9日至10日期間，透過他們的Gravity Forms帳號手動下載2.9.11.1或2.9.12版外掛程式，就有可能下載到有問題的檔案。該公司也說明他們的因應措施，並提供用戶檢測網站的方法。</p> <p><a href="https://www.ithome.com.tw/news/170068"><strong style="font-size: 22px;">惡意軟體ZuRu透過木馬化的SSH用戶端程式散布，針對macOS開發人員而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZuRu_Resurfaces_8.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZuRu_Resurfaces_8.jpg" style="width: 300px; float: right;" /></a></p> <p>鎖定macOS用戶的惡意軟體攻擊近年來有增加的趨勢，其中一款自2021年出現的後門程式ZuRu，最近再度有新的活動引起研究人員的注意。</p> <p>資安業者SentinelOne最近透過部落格文章指出，他們在今年5月下旬，發現有人利用木馬化的SSH用戶端工具Termius來散布ZuRu，由於一年前駭客是假借提供盜版軟體的名義來散布這款惡意軟體，這代表他們現在將目標轉向了開發人員與IT專業人士。</p> <p>資安研究團隊The DFIR Report與資安業者Proofpoint聯手，發現最新一波勒索軟體駭客組織Interlock的攻擊行動，駭客約從今年5月開始，針對已遭滲透的網站下手，在網頁的HTML檔案注入單行指令碼，意圖藉此散播RAT木馬程式Interlock RAT（也被稱為NodeSnake），將JavaScript寫成的惡意程式植入使用者電腦，而這也是FileFix首度被發現用於實際攻擊活動的情況。</p> <p><a href="https://www.ithome.com.tw/news/170028"><strong style="font-size: 22px;">殭屍網路RondoDox鎖定TBK、四信連網設備而來，利用已知漏洞綁架DVR裝置</strong></a></p> <p>WordPress可用來快速建立網站，基於這個內容管理系統而成的網站很多，也是許多歹徒覬覦的對象，而拿下此類網站的其中一種目的，是將其做為散布惡意程式的管道，攻擊者運用的手法也日益刁鑽。</p> <p>近期發生在資安業者Sucuri客戶網站的資安事故，就是這樣的例子。攻擊者在受害網站重要的WordPress元件wp-settings.php當中，插入兩行可疑的程式碼，試圖利用zip://通訊協定，從壓縮檔win.zip載入惡意的PHP檔案。Sucuri指出，這種手法相當隱密，能夠將惡意程式碼埋藏在看似無害的ZIP檔案。</p> <p>究竟攻擊者的目的是什麼？Sucuri認為，最主要是操縱搜尋引擎對惡意網站的排名。攻擊者藉由在受害網站注入垃圾內容、未經授權的網站地圖、進行301重新導向（瀏覽器連至已永久改變網址的頁面時，可透過呈現狀態碼301來表達，通常也會傳送HTTP Location，重新導引至新位置），從而拉升惡意網站的搜尋結果。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-rondodox-unveiled.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-rondodox-unveiled.jpeg" style="width: 300px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/169489"><strong style="font-size: 22px;">【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型</strong></a></p> <p>面對日益嚴峻的OTP盜刷網釣威脅，支付產業與電商產業都必須採取更積極的應對策略。</p> <p>從當前威脅態勢來看，在資安業者戴夫寇爾3月舉行的資安攻擊型研討會，台灣駭客協會理事戴辰宇（GD）指出：Real-time Phishing（即時網釣）這類中間人攻擊的盛行，顯示攻擊者要突破OTP驗證機制已變得普遍，而網路犯罪領域PhaaS平臺的流行，則代表網釣產業的專業分工更加細緻。當我們更充分了解這些網路犯罪技術的演進，才可以設想更周延的因應之道。戴辰宇對支付產業與電商產業，也分別提出提升防護力的建議。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/state-backed-hazybeacon-malware-uses.html">惡意軟體HazyBeacon鎖定東南政府而來，濫用AWS Lambda竊取資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-phantomremote-backdoor-targets-russian-healthcare-it-linked-to-rainbow-hyena-attacks/">後門程式PhantomRemote鎖定俄羅斯醫療照護、IT產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/attackers-hide-javascript-svg-images-malicious-sites/">駭客使用SVG圖檔挾帶JavaScript指令碼，將使用者帶往惡意網站</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/android-malware-konfety-uses-malformed-apks-to-evade-detection/">安卓惡意程式Konfety透過特製APK檔案迴避偵測</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170081"><strong style="font-size: 22px;">VMware修補虛擬化平臺重大層級的資安漏洞</strong></a></p> <p>7月15日VMware針對旗下的虛擬化平臺ESXi、Workstation、Fusion，以及虛擬機公用程式Tools發布軟體更新，目的是修補一系列的資安漏洞CVE-2025-41236、CVE-2025-41237、CVE-2025-41238、CVE-2025-41239，值得留意的是，這4項弱點當中，有3項評為重大層級，且都源自漏洞挖掘競賽Pwn2Own參賽者的發現。</p> <p>這些漏洞影響的範圍也相當廣，涵蓋所有7.0與8.0版VMware ESXi、17.x版VMware Workstation、13.x版VMware Fusion，以及Windows版本的VMware Tools。此外，搭載ESXi的Cloud Foundation、vSphere Foundation、Telco Cloud Platform、Telco Cloud Infrastructure平臺，也可能曝險。</p> <p>根據CVSS風險評分，最危險的漏洞包含了VMXNET3虛擬網卡整數溢位漏洞CVE-2025-41236、虛擬機器通訊介面（VMCI）整數下溢漏洞CVE-2025-41237、半虛擬化SCSI（PVSCSI）記憶體溢位漏洞CVE-2025-41238，一旦成功利用這些漏洞，攻擊者就有機會於主機執行任意程式碼。根據受影響應用程式，這些漏洞的危險程度也有所差異，嚴重評分介於7.4至9.3。</p> <p><a href="https://www.ithome.com.tw/news/170070"><strong style="font-size: 22px;">WordPress熱門表單外掛SureForms存在漏洞，逾20萬網站面臨惡意接管威脅</strong></a></p> <p>WordPress生態系再度爆發重大資安事件，熱門表單外掛SureForms被發現存在高風險，未經驗證任意檔案刪除漏洞CVE-2025-6691，受影響網站數量超過20萬。此漏洞允許攻擊者在未登入的情況下，經由提交特製表單，藉由網站管理員在後臺刪除該筆表單紀錄時，執行任意檔案刪除行為，可能造成網站被接管甚至遠端程式碼執行風險。</p> <p>SureForms外掛在1.7.3及之前所有版本皆受到此漏洞影響。資安公司Wordfence的技術報告指出，駭客只需提交一分包含惡意檔案路徑的表單，就能濫用外掛在檔案路徑驗證上的漏洞。當網站管理員在後臺刪除該筆表單紀錄時，外掛會根據表單資料中的路徑自動刪除對應檔案。當攻擊者在表單中設定欲刪除的檔案為wp-config.php等網站核心設定檔，網站將會被迫進入安裝初始畫面，甚至可能被攻擊者重新連結到其控制的資料庫，導致網站遭到完全接管。</p> <p><a href="https://www.ithome.com.tw/news/170075"><strong style="font-size: 22px;">Google Gemini漏洞可被濫用，顯示詐騙信件內容</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Pasted image 20250702004822.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Pasted%20image%2020250702004822.png" style="width: 300px; float: right;" /></a>Google Gemini等在企業環境中可成為提升生產力的工具，但是研究人員發現，企業版聊天機器人的一項技術存在漏洞，可被用於在Gmail中顯示詐騙內容。</p> <p>研究人員Marco Figueroa發現Google Gemini for Workspace有項指令注入漏洞，讓攻擊者得以將惡意指令隱藏在電子郵件中。當企業用戶使用Gemini時點擊「摘要郵件內容」時，Gemini就會遵照駭客加入的提示，把看似釣魚信件警語貼在Gmail信件後方，騙取Google Workspace用戶上鈎。研究人員在Mozilla發起的Odin專案中公布這項發現。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gigabyte-motherboards-vulnerable-to-uefi-malware-bypassing-secure-boot/">技嘉主機板存在弱點，攻擊者可用於繞過安全開機</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170074"><strong>【7月15日】IDE開發工具Cursor AI出現惡意延伸套件，有用戶因此損失50萬美元</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170051"><strong>【7月14日】臺美關稅遲遲未定，美國大型律師事務所驚傳遭中國駭客入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170017"><strong>【7月11日】迴避偵測框架Shellter被用於散布竊資軟體</strong></a></p> </div></div></div>
2025/7/16 13:37作者周峻佑https://www.ithome.com.tw/news/170085
Firebase Studio新增AI代理三模式，整合MCP與Gemini CLI發展代理式開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端IDE Firebase Studio<a href="https://developers.googleblog.com/en/advancing-agentic-ai-development-with-firebase-studio/">導入</a>三種全新人工智慧代理模式，並預覽支援MCP（Model Context Protocol）與整合Gemini CLI，目標是降低全端人工智慧應用開發門檻，讓開發者能在統一介面中完成從討論到部署的流程。</p> <p>新的Ask模式提供純對話空間，開發者可與Gemini 2.5討論需求與架構，但不影響任何程式碼。Agent模式則讓Gemini提出具體修改，需經人工審核後才會寫入檔案，而Agent（Auto‑run）模式則在取得安全授權後，能跨多檔案自動生成程式碼、撰寫測試、修復錯誤與重構元件。三模式皆可讀取專案根目錄中的.idx/airules.md、GEMINI.md或.cursorrules等規則檔，使人工智慧遵循團隊風格與設計模式。</p> <p>Firebase Studio同步導入MCP框架，允許工作區掛載外部MCP伺服器，讓Gemini在撰寫程式時能即時存取專案上下文，像是透過Firebase MCP伺服器，以自然語言查詢Cloud Firestore資料結構，或利用Context7取得MediaPipe等函式庫專用文件，使人工智慧建議更精準。</p> <p>另一更新重點是，Gemini CLI現已嵌入至Firebase Studio終端，供開發者在命令列即可生成程式碼、批次執行指令、管理檔案，不需要切換視窗。</p> <p>Google表示，透過人工智慧代理、MCP與Gemini CLI三項更新，Firebase Studio正朝向代理式開發的目標前進，在提供自動化能力的同時，也保留人為審查機制。官方尚未透露正式版時程，但已開放開發者試用並收集意見回饋。</p> </div></div></div>
2025/7/16 15:22作者李建興https://www.ithome.com.tw/news/170087
Google與Brookfield簽署全球最大水力發電採購協議，20年投資30億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/outreach-initiatives/public-policy/pennsylvania-energy-innovation-summit/" target="_blank">Google周二（7/15）宣布</a>，已與Brookfield Energy簽署一項價值30億美元、為期20年的水力發電採購協議，將用於現代化位於賓州的兩座水力發電廠，預計提供670MW的乾淨能源，支援其在中大西洋地區（PJM電網）資料中心與AI基礎建設需求。此一水力發電框架協議（Hydro Framework Agreement，HFA）未來最高可擴充至3,000MW。</p> <p>Google準備在未來兩年於PJM地區投入逾250億美元，以建設當地的資料中心及AI基礎設施，而這需要擴大能源容量，已於6月底與核融合能源公司Commonwealth Fusion Systems<a href="https://blog.google/outreach-initiatives/sustainability/our-latest-bet-on-a-fusion-powered-future/" target="_blank">簽署投資及承購協議</a>，購買200MW的碳中和電力；本周再與Brookfield簽署合作協議；並也正透過先進技術來確保有效使用電網電力。</p> <p><a href="https://bam.brookfield.com/press-releases/brookfield-and-google-sign-hydro-framework-agreement-deliver-3000-mw-homegrown" target="_blank">根據該協議</a>，Google有權採購多達3,000MW的水力發電電力，這些電力將來自於重新取得執照、翻新或升級的水力設施，目的是延長設備壽命並持續替電網供電。首批簽約的資產為位於賓州的Holtwood及Safe Harbor水力發電廠，總容量為670 MW。</p> <p>Brookfield Asset Management總裁Connor Teskey表示，與Google的合作展現了水力發電在協助大型客戶實現能源目標上所扮演的關鍵角色，要滿足數位化和人工智慧帶來的日益增長的電力需求，將需要大規模且來自各種不同來源的電力。</p> </div></div></div>
2025/7/16 16:04作者陳曉莉https://www.ithome.com.tw/news/170090
北韓駭客利用NPM套件散布惡意程式XORIndex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客長期針對想要求職的開發人員而來，透過職場社群網站LinkedIn與其他接案平臺，進行接觸目標的攻擊行動<a href="https://www.ithome.com.tw/tags/contagious-interview">Contagious Interview</a>（Dev#Popper），駭客通常會冒充招募人員，向求職者提供誘人的工作機會，藉由測驗技術能力為幌子要求他們對特定的NPM套件進行修改，實際上是散布惡意程式，最近活動出現升溫的現象而引起資安業者的注意。</p> <p>長期追蹤相關攻擊活動的資安業者Socket指出，他們<a href="https://socket.dev/blog/contagious-interview-campaign-escalates-67-malicious-npm-packages">在6月看到駭客散布惡意程式載入工具HexEval</a>，最近又發現另一款也與這些駭客有關的<a href="https://socket.dev/blog/contagious-interview-campaign-escalates-67-malicious-npm-packages">惡意程式載入工具XORIndex</a>，Socket一共找到67款NPM套件挾帶此惡意軟體，迄今已被下載逾1.7萬次，值得留意的是，其中仍有27款NPM套件尚未下架，該公司已向NPM資安團隊通報此事。</p> <p>針對兩款惡意程式載入工具的特性，Socket指出駭客都用於收集受害電腦資料，取得特定指令碼並解碼、執行，然後執行第二階段的惡意程式BeaverTail。駭客雙管齊下，透過NPM套件散布HexEval、XORIndex，其中，在今年6月至7月，XORIndex已被下載超過9千次，而HexEval也下載超過8千次，數量上並未出現相當顯著的差異。</p> <p>針對這項發現，Socket認為從事Contagious Interview的駭客組織企圖讓惡意軟體的組合變得更加多元，透過新的分身NPM維護帳號輪替，在不斷散布HexEval、BeaverTail、InvisibleFerret等惡意程式之際，也積極開發XORIndex等新的惡意程式。攻擊者藉由新發布的NPM套件與些許變化，企圖迴避資安系統的偵測，此外，他們也採用合法基礎設施供應商的環境來架設C2，降低活動被察覺的機會。Socket認為，這些北韓駭客的作法，其他APT駭客或網路犯罪組織很有可能會跟進。</p> </div></div></div>
2025/7/16 13:29作者周峻佑https://www.ithome.com.tw/news/170083
前OpenAI技術長Mira Murati創辦的Thinking Machines Lab獲得20億美元種子資金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年9月<a href="https://www.ithome.com.tw/news/165197" target="_blank">離職</a>的前OpenAI技術長Mira Murati，終於在本周二（7/15）<a href="https://x.com/miramurati/status/1945166365834535247" target="_blank">揭露了自己新成立的AI公司Thinking Machines Lab</a>，並說已取得由a16z領投的20億美元種子輪融資，其它投資者還包括Nvidia、思科、AMD、Accel、ServiceNow與Jane Street，外傳其融資後的估值已達120億美元。</p> <p>現年36歲的Murati擁有文學及機械工程雙學士學位，曾在2013年擔任特斯拉Model X的產品經理，於2016年任職於AR新創Leap Motion，再於2018年進入OpenAI，擔任應用AI副總裁，後被拔擢為技術長，亦曾在OpenAI創辦人暨執行長Sam Altman被開除時，接掌OpenAI的臨時執行長。外界讚揚Murati具備既能理解技術、可將研究轉化成產品，也能掌握社會脈動與長遠風險的綜合能力。</p> <p>成立僅半年的Thinking Machines Lab尚未公開發表任何產品，<a href="https://thinkingmachines.ai/" target="_blank">官網上</a>也只有該公司的創立宗旨，圍繞在打造基於高安全標準、靈活、個人化及應用更廣泛的AI系統。</p> <p>Murati說，新公司正在打造能與人類自然互動方式契合的多模態AI，可藉由對話、視覺，以及混亂又真實的協作方式來運作，預計於未來幾個月就會推出首款產品，其中將包括一個重要的開源元件，可望造福那些開發客製化模型的研究人員及新創。</p> <p>此外，Thinking Machines Lab也準備分享該公司的頂尖研究成果，以協助研究社群進一步理解尖端AI系統。</p> <p>Thinking Machines Lab也正在全球<a href="https://thinkingmachines.paperform.co/" target="_blank">招募AI人才</a>，<a href="https://www.businessinsider.com/muratis-new-ai-startup-salary-technical-talent-2025-6" target="_blank">Business Insider</a>引用美國H‑1B文件，指出Thinking Machines Lab支付給技術人員的年薪介於45萬美元至50萬美元之間，明顯高於OpenAI及Anthropic的平均薪資水準。</p> </div></div></div>
2025/7/16 14:32作者陳曉莉https://www.ithome.com.tw/news/170088
Chrome 138更新修補已被用於攻擊的GPU零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://chromereleases.googleblog.com/2025/07/stable-channel-update-for-desktop_15.html">發布</a>Chrome瀏覽器穩定版138.0.7204.157/.158，針對Windows、Mac與Linux平臺推送更新，內容重點在於修補多項高風險資安漏洞，其中一項GPU元件的安全缺陷CVE-2025-6558已被證實遭到攻擊者濫用，屬於零時差漏洞。Google呼籲用戶應盡速完成版本更新，以降低潛在風險。</p> <p>根據Google官方公告，本次穩定版共修補6項安全漏洞，涵蓋V8引擎、ANGLE與GPU、WebRTC等核心元件。而CVE-2025-6558為高風險漏洞，與ANGLE（Almost Native Graphics Layer Engine）和GPU元件在處理未經驗證輸入時的驗證不足有關。Google威脅分析小組指出，已觀察到攻擊者鎖定該漏洞發動攻擊。雖然細節尚未完全公開，Google表示，相關技術資訊將待多數用戶完成更新後才會公布，以防止漏洞被進一步利用。</p> <p>本次更新也修補V8 JavaScript引擎的整數溢位問題CVE-2025-7656，以及WebRTC元件的記憶體釋放後再被利用（Use After Free）漏洞CVE-2025-7657，這些弱點在特定情境下可能讓攻擊者誘使瀏覽器執行惡意程式碼，影響用戶資料與系統安全。</p> <p>部分漏洞是由外部資安研究人員通報，部分則來自Google內部例行安全審查與自動化偵測工具，例如AddressSanitizer、MemorySanitizer與libFuzzer等。為防範更多攻擊事件，Google採取措施暫時限制部分漏洞資訊的公開範圍。除了待大多數用戶完成更新才公布技術細節，當發現第三方函式庫尚未同步修補，也會繼續保留資訊，避免外部專案遭到連帶攻擊。</p> </div></div></div>
2025/7/16 14:17作者李建興https://www.ithome.com.tw/news/170078
WordPress表單外掛Gravity Forms疑遭供應鏈攻擊，被植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來使用WordPress架設而成的網站很多，此內容管理平臺豐富的外掛程式，也成為駭客鎖定的目標，但大多數事故是利用外掛程式的資安漏洞來攻擊網站，如今有一起事故引起資安業者注意，因為駭客攻擊開發外掛程式的軟體公司得逞，從而在外掛程式植入惡意軟體。</p> <p>例如，由軟體業者RocketGenius打造的表單外掛程式Gravity Forms，上週就出現這類資安事故。事件的揭露的過程，是有人在7月10日從官方網域gravityforms.com下載此外掛程式，卻發現裡面的gravityforms/common.php檔案有問題，會向gravityapi.org網域發出惡意HTTP請求，通報此事的人士之所以察覺異狀，是因為他們透過監控系統看到速度極為緩慢的請求。他們通報RocketGenius並未及時得到回應，於是找上了資安業者Patchstack尋求協助，<a href="https://patchstack.com/articles/critical-malware-found-in-gravityforms-official-plugin-site/">才使得這起供應鏈攻擊事故曝光</a>。</p> <p>對此，<a href="https://www.gravityforms.com/blog/security-incident-notice/">RocketGenius也在7月11日發布公告證實此事</a>，並表示用戶若是在7月9日至10日期間，透過他們的Gravity Forms帳號手動下載2.9.11.1或2.9.12版外掛程式，就有可能下載到有問題的檔案。該公司也說明他們的因應措施，並提供用戶檢測網站的方法。</p> <p>接獲通報的Patchstack解析有問題的common.php檔案，發現其中的特定功能會向<a href="https://gravityapi.org/sites">https://gravityapi.org/sites</a>發出POST請求。乍看之下，上述網域看起來不像是刻意拼寫錯誤的惡意網域，但不尋常的是，這個網域剛在7月8日註冊。</p> <p>究竟此檔案發出的HTTP請求又有那些不尋常之處？此請求會回傳網站的系統資訊，包含網站的URL、WordPress版本、PHP版本等資料，而對於遠端網站的回應，竟然是透過Base64演算法處理。Patchstack將回對的內容進行解密，攻擊者疑似下載了冒充內容管理工具的作案工具，而有機會遠端在網站執行任意程式碼。</p> <p>而對於作案工具包的用途，大多與WordPress的使用者帳號管理有關，其中最受到矚目的部分，是能夠建立具有管理員權限的使用者帳號，此外，攻擊者還能列出使用者名單，或是刪除帳號。再者，此工具包也能讓攻擊者上傳任意檔案，或是執行伺服器上的任何檔案、列出資料夾等工作。</p> <p>針對此事，Patchstack通報多家大型主機代管業者，這些業者根據入侵指標（IOC）進行掃描，初步確認並未出現大規模感染惡意程式的現象。Patchstack推測，帶有後門的外掛程式出現的時間相當短暫，僅向少量使用者散布。後續RocketGenius也介入調查此事，並向Patchstack表示，僅有手動下載與透過編輯器安裝的用戶會受到影響。網域註冊商Namecheap也停用網域名稱gravityapi.org，以遏止後門程式的災情。</p> </div></div></div>
2025/7/16 11:38作者周峻佑https://www.ithome.com.tw/news/170079
蘋果與MP Materials簽署5億美元合作協議，再利用回收稀土
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2025/07/apple-expands-us-supply-chain-with-500-million-usd-commitment/" target="_blank">蘋果與美國唯一供應鏈垂直整合的稀土生產商MP Materials周二（7/15）宣布</a>，已簽署價值5億美元的多年合約，由蘋果購買MP Materials在美國製造的稀土磁鐵，屬於蘋果所承諾的、<a href="https://www.ithome.com.tw/news/167536" target="_blank">美國製造優先</a>的一環。</p> <p>根據雙方的協議，蘋果將購買MP Materials位於德州Fort Worth的旗艦工廠所生產的稀土磁鐵，雙方還將合作在MP Materials位於加州的MP Materials工廠建立一條尖端的稀土回收線，以供應Fort Worth工廠所需的稀土。蘋果所購買的將是100%由回收材料製成的稀土磁鐵，像是工業製程後的廢料磁鐵，或是自報廢產品中回收的磁鐵。</p> <p>稀土為17種化學元素的總稱，雖然名為稀土，但它們在地殼中的含量並不稀少，主要是因難以開採及提煉而聞名，中國是全球最大的稀土生產國，控制約80%的全球供應。稀土磁鐵，特別是釹鐵硼磁鐵，是目前最強的永久磁鐵，蘋果主要將稀土磁鐵應用在iPhone的喇叭、震動馬達與無線充電圈，MacBook的喇叭及風扇馬達，AirPods的驅動單元，Apple Watch的震動引擎和數位錶冠，還有MagSafe充電器等。</p> <p>不過，蘋果在2019年首次於iPhone 11上可產生觸覺回饋的Taptic Engine使用了回收稀土所製成的磁鐵，現在蘋果裝置上幾乎所有的磁鐵都是源自再生稀土。</p> <p>蘋果表示，這5年來，該公司與MP Materials一直在實驗先進的回收技術，以讓回收的稀土磁鐵能夠加工成為符合蘋果嚴格性能及設計標準的材料，未來雙方將持續共同創新，以改善報廢產品的回收與磁鐵的生產。</p> <p>另一方面，為了履行與蘋果的約定，<a href="https://mpmaterials.com/news/mp-materials-and-apple-announce-500-million-partnership-to-produce-recycled-rare-earth-magnets-in-the-united-states" target="_blank">MP Materials準備大幅擴張其Fort Worth工廠的產能</a>，預計在2027年開始出貨，並逐漸增加至支援數億臺蘋果裝置。消息曝光後，MP Materials當天股價即上漲19.99%，以58.22美元作收。</p> </div></div></div>
2025/7/16 12:09作者陳曉莉https://www.ithome.com.tw/news/170080
VMware修補虛擬化平臺重大層級的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月15日VMware針對旗下的虛擬化平臺ESXi、Workstation、Fusion，以及虛擬機公用程式Tools<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/35877">發布軟體更新</a>，目的是修補一系列的資安漏洞CVE-2025-41236、CVE-2025-41237、CVE-2025-41238、CVE-2025-41239，值得留意的是，這4項弱點當中，有3項評為重大層級，且都源自<a href="https://www.ithome.com.tw/news/169049">漏洞挖掘競賽Pwn2Own</a>參賽者的發現。</p> <p>這些漏洞影響的範圍也相當廣，涵蓋所有7.0與8.0版VMware ESXi、17.x版VMware Workstation、13.x版VMware Fusion，以及Windows版本的VMware Tools。此外，搭載ESXi的Cloud Foundation、vSphere Foundation、Telco Cloud Platform、Telco Cloud Infrastructure平臺，也可能曝險。</p> <p>根據CVSS風險評分，最危險的漏洞包含了VMXNET3虛擬網卡整數溢位漏洞CVE-2025-41236、虛擬機器通訊介面（VMCI）整數下溢漏洞CVE-2025-41237、半虛擬化SCSI（PVSCSI）記憶體溢位漏洞CVE-2025-41238，一旦成功利用這些漏洞，攻擊者就有機會於主機執行任意程式碼。根據受影響應用程式，這些漏洞的危險程度也有所差異，嚴重評分介於7.4至9.3。</p> <p>不過，若要觸發上述3項漏洞，需滿足特定條件，那就是攻擊者必須在虛擬機器取得本機管理員權限，此外，CVE-2025-41236也要在採用VMXNET3網卡的虛擬機器才能利用。</p> </div></div></div>
2025/7/16 12:24作者周峻佑https://www.ithome.com.tw/news/170081
微軟釋出桌機版推理AI模型Phi-4-mini-flash-reasoning 以新混合架構提升效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/reasoning-reimagined-introducing-phi-4-mini-flash-reasoning/" target="_blank">微軟本周宣布</a>推出可在桌機或邊緣裝置執行的38億參數推理模型Phi-4-mini-flash-reasoning，以新的混合架構提升效能，低延遲性與推理能力兼備。</p> <p>Phi-4-mini-flash-reasoning是為運算、記憶體有限，且延遲性容忍度低的情境而設計，它可在邊緣裝置、行動裝置或資源受限的環境中執行進階推理。Phi-4-mini-flash-reasoning是Phi-4-mini的最新模型，同為38億參數，支援64K token context length，並以高品質合成資料微調，以提供邏輯密集（logic-intensive）的穩定效能，適合注重即時性的邏輯化應用等教學應用場景。</p> <p>有興趣的用戶可以加入<a href="https://ai.azure.com/" target="_blank">Azure AI Foundry</a>使用Phi-4-mini-flash-reasoning。</p> <p>雖然Phi-4-mini-flash-reasoning是源於Phi-4-mini，但是它採用了新的decoder-hybrid-decoder架構名為SambaY。SambaY的重要創新是GMU（Gated Memory Unit），是一種在不同層之間共享表示（representations）的有效機制。技術而言，這個架構有個self-decoder，後者整合了Mamba（一種狀態空間模型）和稀疏注意力（Sliding Window Attention，SWA），該架構另外還有一層全注意力層以及Cross-decoder，這個Cross-decoder可和GMU運作，達到效率與性能的平衡。</p> <p>簡單而言，新的SambaY架構可提升解碼效率、保持線性預處理時間複雜度，意謂提升擴充性、並改善長上下文檢索的執行效能（更適合長文本處理任務）。</p> <p>和所有Phi-4模型一樣，Phi-4-mini-flash-reasoning可部署在單一GPU的機器上，不過它更優於Phi-4-mini-reasoning之處在於，在長上下文生成及低延遲推理任務Phi-4-mini-flash-reasoning具備更低延遲性和更高吞吐量。在一項測試中，Phi-4-mini-flash-reasoning延遲性縮短2倍有餘，而資料吞吐量最高可提高10倍。而在AIME24、AIME25、MATH-500和GPQA Diamond等標竿測試中，Phi-4-mini-flash-reasoning的跑分成果都比Phi-4-mini-reasoning好，也優於其他2倍參數規模的模型，如DeepSeek-R1-Distill -Qwen 1.5B、Bespoke -Stratos-7B、OpenThinker-7B等。</p> <p>微軟說Phi-4-mini-flash-reasoning高吞吐量、低延遲性及著重數學推理，很適合特定教育應用，例如需要即時回饋迴圈的適應性學習平臺、本地推理助理如手機學習助理，或是可依據學習者成績動態調整內容難度的互動式教學系統。</p> </div></div></div>
2025/7/16 12:24作者林妍溱https://www.ithome.com.tw/news/170082
Mistral AI開源語音模型Voxtral
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mistral.ai/news/voxtral" target="_blank">法國AI新創Mistral AI周二（7/15）首度開源旗下語音模型Voxtral</a>，包括適用於生產規模、具備240億個參數的<a href="https://huggingface.co/mistralai/Voxtral-Small-24B-2507" target="_blank">Voxtral Small 1.0</a>，以及可部署在本地及邊緣、擁有30億個參數的<a href="https://huggingface.co/mistralai/Voxtral-Mini-3B-2507" target="_blank">Voxtral Mini 1.0</a>，它們採用Apache 2.0授權，也可利用API存取，還提供了一個針對轉錄優化的API端點。</p> <p>Mistral AI是在2023年由3位法國AI研究人員Arthur Mensch、Guillaume Lample及Timothée Lacroix所創立，其中，Mensch曾任職於Google DeepMind，Lample與Lacroix則曾替Meta效力，2024年底估值為58億歐元，為歐洲成長最快的AI獨角獸之一。Mistral AI採用開源與閉源的混合策略，已開源基礎語言模型Mistral 7B、混合專家模型Mixtral 8x7B及對話微調版本Mistral 7B Instruct，但Mistral Small/Medium/Large則是閉源的，僅透過API供應。另有開放測試的<a href="https://chat.mistral.ai/chat" target="_blank">聊天機器人Le Chat</a>。</p> <p>Mistral AI指出，目前市場上的語音模型可能是高單字錯誤率、或語義理解有限的開源ASR（Automatic Speech Recognition，自動語音識別）系統，或者是結合轉錄及語言理解、但成本更高的私有API，Voxtral以開放的方式提供最先進的準確性及原生語義理解，但價格不到競爭對手的一半。</p> <p>最新的兩款Voxtral模型都支援32K個Token的脈絡長度，可處理長達30分鐘的音訊轉錄或是理解40分鐘的音訊；內建問題與摘要功能，無需連結單獨的ASR及語言模型；支援英文、西班牙文、法文、葡萄牙文、印地文、德文、荷蘭文與義大利文等；可直接自語音調用函數；保留Mistral Small 3.1的文本理解，擁有強大文字能力。</p> <p>在語音轉錄上，Voxtral的性能全面超越當前領先的開源語音轉錄模型Whisper large-v3，也在所有任務上都擊敗GPT-4o mini Transcribe與Gemini 2.5 Flash，於英文短格式及Mozilla Common Voice上超越ElevenLabs Scribe，亦展現其多語文能力。</p> <p>而Voxtral Small的理解能力則可與GPT-4o-mini及Gemini 2.5 Flash競爭。</p> <p>使用者或開發人員可自行下載Voxtral Small與Voxtral Mini，或是透過API存取其付費服務，每分鐘為0.001美元，也能藉由Le Chat先行試用。</p> </div></div></div>
2025/7/16 11:32作者陳曉莉https://www.ithome.com.tw/news/170077