iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 13篇
近 24 小時: 29篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

後門程式Plague透過SSH入侵Linux伺服器，濫用身分驗證模組PAM匿蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks在最近揭露去年<a href="https://www.ithome.com.tw/news/170407">中國駭客CL-STA-0969攻擊西亞或中東國家電信產業</a>的事故中，提到駭客藉由插入式身分驗證模組（Pluggable Authentication Module，PAM）框架實作後門，現在有另一家資安業者指出，<a href="https://www.nextron-systems.com/2025/08/01/plague-a-newly-discovered-pam-based-backdoor-for-linux/">駭客濫用Linux作業系統的身分驗證機制模組</a>，使得打造出來的惡意程式能靜悄悄地繞過系統的身分驗證流程，並能建立持久的SSH存取管道。</p> <p>最近一款名為Plague的後門程式引起資安圈的注意，多家資安新聞媒體紛紛報導此事。駭客以PAM為基礎打造，使得該惡意程式的行蹤相當隱密，最近一年有數個版本被上傳到惡意程式分析平臺VirusTotal，但幾乎沒有防毒引將其視為有害，這樣的情況引起資安業者Nextron Systems注意並介入調查，指出這是首度有人將PAM用於打造Linux惡意程式的攻擊行動。</p> <p>PAM是將多種低階身分驗證機制整合到API的模組，最早由Sun Microsystems於1995年提出，目的是讓需要通過驗證的應用程式只需透過API，就能使用各種驗證方法，而無須實作低階的驗證功能。因此在Linux環境裡，管理者可利用PAM決定應用程式進行驗證的方法，從而強化此作業系統的驗證彈性及安全。</p> <p>然而，由於Plague深度整合到PAM的身分驗證堆疊，不僅在系統更新之後不會受到影響，而且幾乎沒有留下任何活動的跡象，再加上駭客採取多層混淆機制，以及竄改環境變數，使得一般的資安工具難以偵測此惡意程式的存在。</p> <p>Nextron Systems找到的惡意程式檔案最早約在一年前出現，這些檔案大部分從美國上傳至VirusTotal，但也有從中國上傳的檔案。對於攻擊者的身分，該公司表示目前仍不清楚，但駭客在部分檔案留下了1995年電影《網路駭客（Hacker）》臺詞作為彩蛋，可能想要表明自己相當高深莫測。</p> <p>究竟這後門程式有那些功能？Nextron Systems提及主要有4種，分別是阻礙分析及逆向工程的Antidebug，以及保護敏感字串及組態來干擾分析的字串混淆功能，再者，該後門具備能用入侵的靜態密碼，以及抹除駭客行蹤的「隱藏連線階段元件（Hidden Session Artifacts）」。</p> <p>駭客濫用Linux作業系統內建的元件來迴避偵測的情況，已有前例，例如，今年4月資安業者Armo揭露的Rootkit攻擊手法，就是<a href="https://www.ithome.com.tw/news/168650">利用名為io_uring高效能非同步I/O核心API</a>，從而繞過防毒軟體、EDR等端點防護系統偵測。</p> </div></div></div>
2025/8/7 15:04作者周峻佑https://www.ithome.com.tw/news/170475
Google的AI程式代理人Jules正式版出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/google-labs/jules-now-available/" target="_blank">Google周三（8/6）宣布</a>，AI程式代理人Jules正式脫離測試階段，全面開放基於Gemini 2.5 Pro的Jules工具。</p> <p>Google是在去年12月透過Google Labs首度展示Jules，宣稱這是個真正的程式代理人，不只是副手或協助完成程式碼的助手，而是一個能夠讀懂開發人員的程式碼，理解開發人員的意圖，並開始作業的自主代理人。<a href="https://blog.google/technology/google-labs/jules/" target="_blank">Jules在今年5月邁入公開測試</a>。</p> <p>在實作上，Jules會將程式碼複製到一個安全的Google Cloud VM中，在理解整個專案的脈絡後可撰寫測試程式，建立新功能，提供語音版的變更紀錄，修補臭蟲，以及更新相依套件版本，它是以非同步方式運作，意味著它在執行任務時，開發人員仍可繼續進行其它工作。</p> <p>Google指出，被歸類為代理式開發（Agentic Development）的Jules具備最先進的程式推理能力，再搭配雲端VM架構，將使它得以精準且快速處理跨檔案的複雜任務及多重的並行請求。</p> <p>根據Google的統計，有成千上萬名開發人員在測試Jules期間執行了數以萬計的任務，並公開分享了超過14萬項的程式碼改善，這些回饋意見讓Google改善其使用者介面，解決了數百個臭蟲，還推出了新功能，包括重新使用過去的設定以加速新任務的執行，直接整合至GitHub工作流程，以及新增對多模態的支援等。</p> <p><a href="https://jules.google/docs/usage-limits/" target="_blank">開發人員只要登入Google帳號就能使用免費版的Jules</a>，每日最多可執行15個任務與3項並行任務；付費方案則有每月19.99美元的Google AI Pro或是每月124.99美元的Google AI Ultra，前者每天可處理100個任務及同時最多15項並行任務，後者每天可處理300個任務及同時60個並行任務。</p> </div></div></div>
2025/8/7 16:09作者陳曉莉https://www.ithome.com.tw/news/170479
OpenAI讓美國政府機關一年只要支付1美元就能使用ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI for Government與美國總務管理局（U.S. General Services Administration，GSA）<a href="https://openai.com/index/providing-chatgpt-to-the-entire-us-federal-workforce/" target="_blank">周三（8/6）宣布建立新的合作關係</a>，自明年起，美國每個聯邦機構都能以1美元的年費使用ChatGPT Enterprise，幾乎等於免費提供，但為期僅一年。若包含所有行政單位、獨立機構及附屬辦公室，估計約有400個聯邦機構受惠。</p> <p>ChatGPT Enterprise是OpenAI專為企業與機構推出的進階版ChatGPT，強調安全性、可管理性與高效能。它支援最強的模型，無使用上限或速率限制，支援32k個Token的輸入長度，提供進階資料分析與客製化GPT；此外，它符合安全/隱私/機密等合規標準，支援單一登入及用戶管理，承諾不使用組織資料來訓練模型；可集中管理使用者並自訂知識庫。OpenAI並未公布ChatGPT Enterprise的固定價格，但根據媒體報導，ChatGPT Enterprise每名使用者的每月費率約落在60~100美元之間。</p> <p><a href="https://www.gsa.gov/about-us/newsroom/news-releases/gsa-announces-new-partnership-with-openai-delivering-deep-discount-to-chatgpt-08062025" target="_blank">GSA表示</a>，該合作直接支持白宮所提出的<a href="https://www.ithome.com.tw/news/170242" target="_blank">AI Action Plan</a>，反映出GSA與OpenAI對實現政府運作現代化、支援聯邦雇員以及替美國納稅人提供更好服務的共同承諾。</p> <p>除了每個參與的聯邦機構都能以象徵性的1美元存取ChatGPT Enterprise之外，還有額外60天的時間能夠無限制地使用各種進階功能，像是深度研究或先進語音模式。OpenAI也會提供客製化的培訓平臺及引導式學習，等於是替這些公務人員進行AI教育訓練。</p> <p>市場分析認為，若有大量的美國政府機構採用了ChatGPT Enterprise，等於是替OpenAI背書，可成為其它國家的借鏡；橫跨數百個機構、承載不同任務的美國聯邦政府，將替OpenAI帶來更多元的應用場景及使用者行為資料，協助OpenAI改善服務；亦可望奠定公部門市場的領導地位，或是對未來的公部門合約有所幫助。</p> </div></div></div>
2025/8/7 15:10作者陳曉莉https://www.ithome.com.tw/news/170476
從臺日集團合併到赴美上市，關鍵評論網IT成溝通與法遵推手
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業出海，甚至上市，對營運、財務都將帶來翻天覆地的變化。服務內容、財務管理、法規遵循，無不使企業上下需要快速適應。TNL Mediagene（關鍵評論網媒體集團）技術長李致緯，則在短短2年間，深刻體會到公司快速成長時，技術上如何經歷一系列劇烈適應。</p> <p>2022年，李致緯將旗下食譜網站愛料理（iCook）賣到關鍵評論網集團後，也加入集團擔任技術長。隔年，集團隨即和日本媒體集團Mediagene合併，後於2024年上市。短短兩年間從擔任一間中小型媒體的CTO，一路當上臺日30多間旗下事業的美國上市集團CTO，李致緯說，他必須面對兩大轉變，及衍生出的挑戰。</p> <p>首先是業態轉變。他從單純媒體業務及小型電商，延伸到行銷科技、廣告聯播網等更多元的商業模式。另一轉變則是與日本企業合併後，必須接觸更多產品線，還要跨越語言、文化、技術上的隔閡。</p> <p>這兩大轉變，帶來人才招募、技術整合，以及將IT決策對齊跨國集團商業邏輯等挑戰。第一是人才招募挑戰。李致緯觀察，軟體開發在日本非熱門職業。自身是內容媒體而非純科技公司，更使集團在日本和臺灣招募、培育並留住人才都是至今難解之題。</p> <p>第二個挑戰是技術整合。李致緯需要快速熟悉其他業態的技術，以及日本方的技術和IT架構，才能帶領不同子公司，以及主導兩家集團合併。</p> <p>李致緯回憶，從愛料理加入關鍵評論網時，兩者同為媒體，技術整合相對簡單，只需將前者App開發與電商應用等強項帶入集團，來發揮媒體品牌資源共享的綜效。不過隨著集團擴大，李致緯還需要快速熟悉集團內數位行銷子公司的行銷科技技術領域，包括數位行銷技術、超大規模數據處理、聯播網流量管理等。</p> <p>不同於原本小型品牌的B2C產品開發，集團的B2B Martech服務，開發模式需要顧及SLA/SLO水準維護、法規與資料處理合規做法、大規模成本與效能管理等。集團工作模式對應不同商業模式，使李致緯需要謹慎拿捏不同開發團隊的編制方法、開發彈性及責任歸屬。</p> <p>與日本企業合併後，他們還需要面臨更多異質系統與IT架構，並整合重複功能團隊。</p> <p>李致緯說，日本團隊導入許多SaaS服務，包括ERP、CRM、簽核，以及各式各樣營運用系統，且使用非常熟練，臺灣團隊需要快速跟進，一同使用SaaS服務。這過程中，即面臨不少問題。</p> <p>舉例來說，日本方導入SaaS工具時流程非常嚴謹。同款服務，臺灣方習慣兩、三個月就完成導入，日本方得花上一年評估。整併時，需要妥善溝通臺日雙方習慣和決策，否則容易讓其中一方感到難以適應。</p> <p>技術整合另一個問題是，有些臺日端都有使用的商業軟體或雲端服務，廠商無法由單一窗口，即時提供臺日團隊技術支援。TNL Mediagene常需要將使用該服務的開發團隊，也集中在臺灣或日本其中一方，而無法跨國合作。「這也使我們找未來技術廠商時，更重視跨國支援能力。」李致緯補充。</p> <p>第三個李致緯面臨的挑戰是，集團成為跨國上市公司後，IT決策必須對齊商業邏輯及監管規範，決策變得更加複雜，需要更加嚴謹。</p> <p>作為集團CTO，如何率領IT對齊集團商業目標及監管法規？李致緯也要用技術來實現這個管理目標。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>靠打造統一數據平臺，用資料培養員工商業意識</strong></span></span></p> <p>李致緯商業面職責包括主導跨國IT資源管理與整合，例如整合雲供應商、與廠商談判價格等。同時，負責與其他部門一級主管協作、溝通，包括產品、行銷、財會等，釐清技術如何和集團商業需求對齊。</p> <p>不只與其他部門溝通，他也向IT部門上下，溝通技術背後的商業價值。</p> <p>李致緯指出：「目前表現較傑出的團隊，成員都對於業績和市場價值更加敏感。」他希望，從各階主管到基層員工，都能感受到商業價值的重要性，並以公司成長的角度，來主動設定自己工作內容與方向。</p> <p>強化員工商業意識的關鍵做法是，可以建立橫跨臺日兩端的企業數據平臺。「要感受到商業價值，首先要先看得到數字。」李致緯說，他們會將許多數據分享給公司上下，目的是促使所有人具體感受到商業數據的變化。</p> <p>舉例來說，就連實習生，都可以看到自家與外部電商合作導購專案的相關商業數據。他鼓勵員工用這些數據，作為調整工作內容，或實驗不同做法的具體依據。</p> <p>TNL Mediagene旗下光是媒體品牌就有22個，一個品牌還有多個通路，包括網站、Youtube、Podcast、Tiktok、社群媒體等，都有互動、業務、使用者等不同面向資料，集團另有電商、Martech、市調、傳播等其他子公司的業務資料，需整合的資料來源多不勝數。</p> <p>2023年初，他們以自家旗下Martech公司的數據平臺產品為基礎，打造出集團內部數據平臺，開始逐步整合這些數據來源，以及部分外部數據來源。2年間，增加資料來源同時，也不斷根據臺日雙方語言和資料定義差異，來校正資料誤差。</p> <p>李致緯希望，透過統一的數據平臺，能更方便對公司上下溝通商業相關數據、降低員工能自主存取所需數據的成本、提升高層用數據來輔助決策的效率，同時降低應用數據時人為輸入錯誤的風險。這些資料用法除了作為日常工作參考，更會直接用於自家廣告聯播網的廣告投放等實際商業活動。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>上市監管需求衝擊IT，下一步要打造內部法遵平臺</strong></span></span></p> <p>不只IT決策要以商業價值為導向，在美國上市，意味著李致緯更要讓集團商業活動可追蹤、可量化。</p> <p>李致緯說，美國對外國公司的財務真實性和可驗證性要求極高，規定所有財務、金流、操作紀錄系統需彼此串聯且可追蹤。</p> <p>舉例來說，需能查到每一張發票對應金流紀錄、廣告點擊紀錄，甚至是某位用戶的訂閱記錄、操作過程等。這意味著，多套系統需要大幅加強記錄與追溯機制。</p> <p>不只公司每筆財務進出，都要有完整來龍去脈。連軟體開發過程，都深受監管機制影響。「監管單位會抽查Git的某個Commit。誰決定這樣做、審核流程是什麼，我們都得報告。」李致緯說。</p> <p>這種高強度的監管下，不只需要在許多系統加入大量審計和紀錄機制，還需要調整開發制度。舉例來說，針對審計需求高的系統及管制較鬆的系統，制定不同開發流程。前者必須從產品發想、設計，到開發、維運，都加入審計與合規做法。</p> <p>工程師需要學會與財會、法務、審計部門溝通，來設計出利於配合審查的產品與開發流程。PM也需要學習，如何描述系統機制與資料邏輯，讓審計人員能理解。</p> <p>同時，他們內部開始應用更多雲原生工具，因為大型雲端業者提供的服務，大多已經符合常見資安和審計標準。出於相同考量，他們近一年還開始將部分開源軟體，改用大型CSP的版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1246-CTO-600-JPG.jpg" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造沙盒環境，顧及監管及穩定性需求同時維持創新動能</strong></span></span></p> <p>在愛料理時期，李致緯非常喜歡實驗新科技，來探索創新做法。不過，在跨國上市集團，如何維持上市企業規格的IT穩定性、顧及法遵與審計需求，又能嘗試創新，成為重要課題。</p> <p>揹著跨國上市集團的包袱，「核心系統不可能快速改動。」李致緯說：「但必需打造環境，讓創新的動能得以發揮。」</p> <p>李致緯做法是，將系統架構劃分為穩定區和實驗區，前者用來執行高穩定要求的核心系統，後者則是沙盒環境，容許實驗較為創新但不穩定的專案。</p> <p>例如，他們近月與電商進行導購合作，嘗試透過媒體內容行銷，來促使讀者消費。在沙盒區，他們便能快速實驗各種資料模型和追蹤邏輯，來分析多媒體品牌的資料與電商銷售資料，以嘗試歸因行銷成效、優化行銷方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造內部平臺，來促成資訊互通</strong></span></span></p> <p>關鍵評論網與Mediagene集團整併後，如何促成從臺灣到日本、從一級主管到實習生、從財會到IT部門，都能共享所需資訊，是李致緯作為集團技術長的重要課題。</p> <p>李致緯習慣做法是打造內部平臺，來作為對應用途所需資料的單一資料來源（Single source of truth）。例如先前提及的企業數據平臺，從2023年初上線，年底開始加入日本端資料，至今仍在持續收錄更多企業資料。</p> <p>隨著資料量增加，他們還發現臺灣和日本雙方語言和資料定義差異，會造成資料誤差或認知歧異，於是開始校正既有資料。</p> <p>為了臺灣與日本的編輯人員可以共同管理、交流、翻譯媒體素材和內容，他們還打造出用於跨語系媒體經營的平臺Potluck。</p> <p>運用Potluck上一系列AI工具，TNL Mediagene已經開始將日本方兩款雜誌，利用生成式AI翻譯、改寫、編輯成中文內容，以打入臺灣市場。李致緯說，有AI協助，編輯翻譯和改寫外語文章的效率大幅提升。從1至2小時完成一篇，降至1小時可以完成數篇。</p> <p>他們也預計將此平臺用於共享採訪素材等媒體資源，來降低產製內容時的跨國溝通成本。李致緯舉例，只要集團內單個品牌的編輯前往大型活動，再上傳所有蒐集到的素材到平臺。可供臺日辦公室其他編輯，根據媒體及地區特性，自行取用素材來撰文。</p> <p>未來，李致緯還計畫利用打造平臺的方式，來解決其他集團需求。其中一個重要需求，是公司接受監管機關時的大量資料撈取。目前，面臨審計需求時，他們仍需從多個系統手動撈取資料。</p> <p>不過，李致緯認為審計需求未來會只增不減，因而計畫打造即時、集中化的合規平臺，讓財會、法務、技術部門能共享相關資料，減少一一手動查找、串聯資料的需求。</p> <p>李致緯說：「上市伴隨而來的資料合規需求不是CTO一個人能解決，必須促成多個部門從基層到高層緊密合作，才能因應。」打造平臺來促成內部合作與資訊流通的模式，也體現出他身為集團CTO的使命：用科技來大力支援媒體經營、商業發展、內部溝通及上市合規等重要事務。文⊙郭又華</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>TNL Mediagene技術長李致緯</strong></p> <p>學歷：政治大學資訊科學系學士</p> <p>經歷：共同創辦兩家媒體公司Inside和iCook，擔任技術長。相繼出售兩間媒體到關鍵評論網後，也加入擔任集團技術長。公司作為TNL Mediagene合併、上市後，管理30多間子公司IT業務及支援集團上市的IT面事務</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1246-CTO-600-2.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>TNL Mediagene關鍵評論網媒體集團</strong></p> <p>●成立時間：前身關鍵評論網成立於2013年，2023年則由關鍵評論網和日本Mediagene合併成TNL Mediagene</p> <p>●員工人數：約500人</p> <p>●董事長：Marcus Brauchli</p> <p>●執行長：鍾子偉</p> <p>●營收：約14億元</p> <p>●主要業務：旗下擁有多個日文、中文與英文的原創與授權媒體品牌，內容主題橫跨新聞、商業、科技、科學、美食、運動與生活風格等領域。傳播類服務包括廣告服務、行銷科技平臺、電子商務與創新解決方案等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●2013年：推出網路平臺「關鍵評論網」，以中英雙語報導與評論為主要內容</p> <p>●2018年：併購科技媒體「INSIDE」；接手體育社群平臺「運動視界」</p> <p>●2019年：併購科技與生活風格媒體</p> <p>●2022年：收購食譜平臺「愛料理」</p> <p>●2023年：關鍵評論網媒體集團與日本Mediagene正式合併，成立跨國集團 TNL Mediagene；宣布進軍東南亞與歐美市場</p> <p>●2024年：在美國NASDAQ上市</p> <p>●2025年：整併旗下臺灣2間媒體品牌至旗下「Roomie國際中文版」品牌</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1246-cto-960.jpg" width="960" height="420" alt="" title="TNL Mediagene技術長李致緯" /></div></div></div>
2025/8/7 12:00作者郭又華https://www.ithome.com.tw/people/170430
OpenAI最新開放權重模型登上Windows 11 PC、AWS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI最新開放權重模型gpt-oss系列除了原本的Hugging Face外，並新增Windows邊緣開發平臺及AWS二個新通路。</p> <p><a href="https://www.ithome.com.tw/news/170433" target="_blank">OpenAI昨日公布的</a>gpt-oss-120b和gpt-oss-20b為GPT-2推出6年後首個開放權重的基礎語言模型，其中gpt-oss-120b是該公司最強大的開放權重模型，適合單一H100 GPU平臺。gpt-oss-20b適合低延遲性應用，甚至可在消費型筆電上執行。</p> <p>兩款模型是OpenAI回應美國業界及政府對其開源研發成果，以促進美國AI應用普及、進而對抗中國競爭的期望。OpenAI表示，開放模型允許政府或講求資料安全的組織自建模型及AI應用。</p> <p>相應於普及推廣的策略方向，gpt-oss模型也分別首次在微軟平臺以及Amazon Web Services（AWS）上架。<a href="https://azure.microsoft.com/en-us/blog/openais-open%e2%80%91source-model-gpt%e2%80%91oss-on-azure-ai-foundry-and-windows-ai-foundry/" target="_blank">微軟宣布</a>，新模型將在Azure AI Foundry及Windows AI Foundry提供給開發人員。其中Windows AI Foundry允許開發人員將開源碼模型執行在邊緣裝置的AI平臺，聲稱可支援在Windows平臺上的低延遲性本地AI部署。</p> <p><a href="https://www.ithome.com.tw/news/169045" target="_blank">微軟今年5月宣布</a>Windows AI Foundry，它將微軟模型目錄Foundry Local整合到Windows 11中，用以管理和執行開源LLM，也能整合第三方的模型目錄如Ollama和Nvidia NIM以便在本地App中使用、測試模型、或與模型互動。微軟說，這是OpenAI模型（即gpt-oss-120b及gpt-oss-20b）首次能在本地模型執行。</p> <p>另一方面，<a href="https://www.aboutamazon.com/news/aws/openai-models-amazon-bedrock-sagemaker" target="_blank">AWS本周宣布</a>，gpt-oss-120b及gpt-oss-20b首度Amazon Bedrock和Amazon SageMaker AI上架。開發人員可在Amazon Bedrock平臺上執行以API呼叫gpt-oss模型，也可以在機器學習平臺Amazon SageMaker AI上訓練或客製、微調模型。</p> <p>AWS宣稱，OpenAI二個開放模型的Bedrock平臺上的效能價格比，是同等規模的Gemini模型的10倍，DeepSeek R1的18倍及OpenAI o4的7倍。</p> <p>AWS也是OpenAI在微軟之外，尋求的最新雲端合作夥伴。在此之前是甲骨文；<a href="https://blogs.oracle.com/integration/post/new-adapters-and-connectivity-enhancements-in-oracle-integration-2506" target="_blank">6月甲骨文宣布</a>新服務OpenAI Adapter，使企業可在Oracle Integration Cloud中使用OpenAI Adapter呼叫OpenAI模型。</p> </div></div></div>
2025/8/7 12:38作者林妍溱https://www.ithome.com.tw/news/170474
蘋果在美投資總額擴大至6,000億美元，要在美國建置端至端晶片供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/167536" target="_blank">繼於今年2月宣布</a>要在未來4年於美國投入5,000億美元之後，蘋果周三（8/6）<a href="https://www.apple.com/newsroom/2025/08/apple-increases-us-commitment-to-600-billion-usd-announces-ambitious-program/" target="_blank">揭露了「美國製造計畫」</a>（American Manufacturing Program），表示要將投資金額擴大至6,000億美元，於美國建置端至端的晶片供應鏈，且將iPhone與Apple Watch上的玻璃蓋板<a href="https://www.apple.com/newsroom/2025/08/apple-corning-to-manufacture-all-iphone-apple-watch-cover-glass-in-kentucky/" target="_blank">全數移回美國製造</a>。美國總統川普（Donald Trump）與蘋果執行長庫克（Tim Cook）<a href="https://www.youtube.com/watch?v=J6SK7lotKZQ" target="_blank">還共同召開了記者會</a>（並說美國將對進口晶片與半導體徵收100%的關稅，除非它們在美國建廠與投資。</p> <p>蘋果新提出的美國製造計畫將與10家業者結盟，以生產蘋果產品所需的元件，包括生產玻璃蓋板的康寧（Corning）、生產Face ID所需元件的Coherent、晶圓供應商GlobalWafers America、半導體設備供應商Applied Materials、德州儀器（Texas Instruments）、三星、晶圓代工業者GlobalFoundries、封裝及測試業者Amkor、博通Broadcom及稀土生產商MP Materials。</p> <p>庫克說，蘋果正在美國本地建置端到端的晶片供應鏈，從設計、設備製造、晶圓生產、晶片製造，再到封裝，將更多先進製程帶到美國，光是在2025年，美國製造商便預計會在24個工廠中為蘋果生產190億顆晶片。</p> <p>今年7月蘋果已與MP Materials簽署5億美元的<a href="https://www.ithome.com.tw/news/170080" target="_blank">合作協議</a>，共同於加州的Mountain Pass工廠建立一條尖端的稀土回收線，並承諾要購買MP Materials在美國製造的稀土磁鐵。</p> <p>本周蘋果再擴大與Corning的合作，承諾要以25億美元購買Corning於肯德基州Harrodsburg工廠所生產的玻璃蓋板，讓iPhone與Apple Watch上的玻璃蓋板100%來自美國製造。</p> <p>根據蘋果的統計，6,000億美元的本土投資推動該公司與美國的數千家供應商合作，提供45萬個工作機會，且蘋果也會在未來4年於美國招聘2萬名員工，且絕大多數都將專注於研發、晶圓工程、軟體開發、AI及機器學習等領域。</p> <p>川普則持續呼籲所有的製造業都應回到美國，並表示保證會對所有進口至美國晶片及半導體徵收100%的關稅，除非業者是在美國本土建廠，即使仍處於建廠階段，還沒量產或尚未創造大量就業機會，只要是在建設中，就不會被課稅；但如果最後沒有完成建廠，那麼美國將會追究先前應繳的關稅。</p> <p>多數分析師認為這是蘋果向川普示好的政策調整，有助於蘋果未來的發展，當天蘋果股價一反先前的停滯狀態，上漲5.09%，以213.25美元作收。</p> </div></div></div>
2025/8/7 11:46作者陳曉莉https://www.ithome.com.tw/news/170472
Google擴大全球教育布局，AI工具Gemini與NotebookLM全面開放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google企圖將AI從消費者及企業推廣至教育界，先是<a href="https://workspaceupdates.googleblog.com/2025/08/notebooklm-is-now-available-to-all.html" target="_blank">在周一（8/4）宣布</a>讓所有Google Workspace for Education用戶都能使用NotebookLM ，<a href="https://blog.google/products/gemini/google-ai-pro-students-learning/" target="_blank">周三（8/6）開放</a>美國及日本等特定國家18歲以上的學生免費註冊一年的Google AI Pro方案，同時在Gemini中推出了<a href="https://blog.google/outreach-initiatives/education/guided-learning/" target="_blank">Guided Learning模式</a>，以協助學生學習。</p> <p>NotebookLM為Google所開發的AI輔助筆記與學習工具，它讓使用者可上傳筆記、講義、PDF或Google文件等內容，再根據這些內容建立模型以回答基於相關內容的問題，也能生成摘要、筆記或練習題，支援包括中文在內的逾80種語言。先前NotebookLM一直採用邀請制，而且還有地區上的限制，本周則全面開放給全球所有Google Workspace for Education用戶使用，涵蓋Education Fundamentals、Standard或Plus方案。</p> <p>此外，<a href="https://support.google.com/googleone/answer/16417758#aip_student_trial_availability&zippy=%2Clist-of-countries-regions-where-the-google-ai-pro-student-trial-is-available" target="_blank">Google周三開放</a>7個國家、年滿18歲以上的學生或居民可以免費註冊一年的Google AI Pro服務，涵蓋美國、墨西哥、巴西、印度、印尼、日本及南韓。</p> <p>Google AI提供Google AI Pro及Google AI Ultra2<a href="https://one.google.com/about/google-ai-plans/?utm_source=chatgpt.com" target="_blank">兩種訂閱方案</a>，前者的月費為19.99美元，有2TB的儲存空間，可使用Gemini模型、AI電影制作工具Flow4、圖片轉影片工具Whisk、NotebookLM、AI程式碼工具Jules、Gemini版的Gmail與Google文件等服務，以及Gemini版的Chrome瀏覽器。</p> <p>至於在Gemini模型中推出的Guided Learning則是類似OpenAI日前才發表的<a href="https://www.ithome.com.tw/news/170315" target="_blank">ChatGPT Study Mode</a>。Guided Learning建立在Google自家開發的LearnLM模型基礎上，並整合至Gemini 2.5，號稱是全球最強的學習模型，它強調互動、引導及深度理解，而非單純地快速提供答案。</p> <p>Guided Learning可根據使用者的需求調整解釋方式，並透過逐步拆解問題與開放式提問來引導使用者探索知識。</p> <p>除了上述之外，Google亦宣布將斥資10億美元來支持美國的AI教育、職訓計畫及研究，包括透過AI for Education Accelerator提供美國大學生免費的AI服務與職業訓練，並已有超過100所大學登記。</p> </div></div></div>
2025/8/7 12:07作者陳曉莉https://www.ithome.com.tw/news/170473
讀取效能高達28 GB/s與550萬IOPS，美光PCIe 6 SSD登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_9650_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月底美光發表新一代資料中心固態硬碟，共通點是採用去年量產的Micron G9 NAND快閃記憶體技術，我們先前介紹鎖定主流市場需求的款式7600，現在看看另一款強調高效能取向的9650，號稱是業界首款支援PCIe 6.0介面的資料中心固態硬碟產品。</p> <p>9650的最大賣點在於，提供破紀錄的存取效能。以循序讀取作業而言，無論讀取密集型款式9650 Pro或混合型款式9650 Max，均可達到28,000 MB/s，而在循序寫入作業方面，皆為14,000 MB/s。相較之下，市面上的PCIe 5.0固態硬碟產品，循序讀取效能最高可達14 GB/s，回顧我們過去的產品快報介紹，具備這個等級效能的產品不少，像是：<a href="https://www.ithome.com.tw/review/159046">Kioxia CM7</a>、<a href="https://www.ithome.com.tw/review/162973">Phison X200</a>、<a href="https://www.ithome.com.tw/review/163573">三星PM1743</a>、<a href="https://www.ithome.com.tw/review/164160">美光9550</a>、<a href="https://www.ithome.com.tw/review/164407">Phison Pascari D200V</a>、<a href="https://www.ithome.com.tw/review/164414">Solidigm D7-PS1010</a>、<a href="https://www.ithome.com.tw/review/167093">Phison Pascari D205V</a>、<a href="https://www.ithome.com.tw/review/168362">金士頓DC3000ME</a>、<a href="https://www.ithome.com.tw/review/169146">宜鼎5TS-P</a>。</p> <p>若是隨機讀取作業而言，美光9650全系列的效能是540萬IOPS或550萬IOPS；至於隨機寫入作業的部分，9650 Max均為90萬IOPS，9650 Pro最高為57萬IOPS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20PERFORMANCE.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-chart-01a-micron-9650-unlocking-potential.jpg" style="width: 600px;" /></p> <p>具有更高的能源使用效率，也是9650的重要特色。比起前一代同樣高效能取向、支援PCIe 5.0介面的款式（美光9550），這款PCIe 6.0固態硬碟在執行隨機讀取作業時，每瓦效能領先幅度為67％，隨機寫入的每瓦效能方面，領先幅度則是25％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/9650 energy efficiency.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20energy%20efficiency.png" style="width: 600px;" /></a></p> <p>之所以能有這樣的性能突破，我們推測可能有兩個因素支撐，一個是產品採用新世代的技術規格，包括支援PCIe 6.0存取介面，以及Micron G9 NAND帶來3.6 GB/s的I/O存取速度；另一個是耗電量維持不變，新推出的9650和既有的9550，在隨機存取作業的實際平均耗電（RMS）規格的標示上，均為18瓦（讀取）和16瓦（寫入）。</p> <p>除此之外，美光9650在9650 Pro系列的7.68 TB款式和15.36 TB款式，額外提供E1.S厚9.5公釐的外形選擇，可支援水冷板的設置，用於導入液態冷卻機制的AI伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20forms.png" style="width: 500px;" /></p> <p>關於裝置的儲存容量方面，9650系列與9550系列、9400系列一樣，Pro款式最高可配備30.72 TB，Max款式最高可配備25.6 TB。相較於同樣採用Micron G9 NAND技術的7600系列，Pro款式最高可配備15.36 TB， Max款式最高可配備12.8 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20Form%20and%20capacities.png" style="width: 600px;" /></p> <p>值得注意的是，目前並無市售的伺服器處理器平臺支援PCIe 6.0。以英特爾而言，<a href="https://www.ithome.com.tw/review/169146">今年6月在自家產品支援論壇的回覆，表示尚無規畫</a>，不過，7月有<a href="https://www.tomshardware.com/pc-components/cpus/intels-xeon-7-diamond-rapids-to-reportedly-pack-192-cores-16-memory-channels-and-500-watts-of-power-consumption">科技媒體</a>報導<a href="https://x.com/x86deadandback/status/1941808014865899878">網路傳言</a>，揭露2026年可能推出代號為Diamond Rapids的Xeon 7，而且這個處理器將支援PCIe 6.0。AMD方面，在6月舉行的PCI-SIG開發者大會上，有<a href="https://overclock3d.net/news/misc/amd-demos-full-speed-pcie-6-0-with-its-next-gen-server-cpus/">科技媒體</a>報導他們與電子測試與量測設備廠商<a href="https://www.keysight.com/us/en/about/newsroom/news-releases/2025/0618-pr25-keysight-enables-amd-to-showcase-electrical-pci-express-compliance-up-to-64-gts.html">Keysight</a>合作，展示採用Zen 6架構的AMD EPYC處理器平臺，印證可相容於PCIe 6.0。</p> <p>CPU平臺之外，傳輸介面廠商也有相關動作。例如，Astera Labs和美光合作展示PCIe 6.0解決方案，9650正是主角之一，在1月<a href="https://www.asteralabs.com/accelerating-the-pcie-6-x-ecosystem-industry-first-pcie-6-x-interop-demonstration-at-designcon/">DesignCon大會</a>、5月<a href="https://www.tomshardware.com/pc-components/ssds/pcie-6-0-ssd-with-30-25-gb-s-speeds-debuts-at-computex-release-date-is-still-a-long-way-off">台北國際電腦展</a>，都有亮相，當中採用<a href="https://www.asteralabs.com/videos/accelerating-the-pcie-6-ecosystem">Astera Labs的Scorpio P系列Fabric Switch</a>，連接兩臺E3.S外形的美光PCIe 6.0固態硬碟，以及1張Nvidia H100 GPU，替GPU與SSD建立Nvidia GPUDirect Storage的直連路徑，提供27 GB/s循序讀取效能；而在8月<a href="https://www.asteralabs.com/breaking-the-100-gb-s-barrier-astera-labs-and-micron-demonstrate-production-ready-pcie-6-storage-performance-at-fms-2025/">FMS大會</a>上，他們將規模擴充一倍，搭配兩臺PCIe交換器、4臺美光9650、兩張GPU，循序讀取效能超過100 GB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-07-Micron 9650-gds-io-path.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-Micron%209650-gds-io-path.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Micron 9650</strong></span><br /> ●原廠：美光<br /> ●建議售價：廠商未提供<br /> ●儲存容量：9650 Pro提供7.68 TB、15.36 TB、30.72 TB，9650 Max提供6.4 TB、12.8 TB、25.6 TB<br /> ●外形：E3.S、E1.S厚9.5公釐、E1.S厚15公釐<br /> ●儲存媒體：3D NAND，TLC，Micron G9 NAND<br /> ●最高讀寫速度：循序28,000 MB/s與14,000 MB/s，隨機550萬IOPS與90萬IOPS<br /> ●使用介面：PCIe 6.2 x4<br /> ●耐用度：每日寫入量9650 Pro為1，9650 Max為3<br /> ●可靠度：250萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/8/7 12:13作者李宗翰https://www.ithome.com.tw/review/170426
趨勢科技在黑帽大會展現AI資安創新，虛擬紅藍隊為主要焦點，另強調重視資料安全與Agentic SIEM的發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【拉斯維加斯直擊】關於生成式AI對網路安全的影響，許多人首先會聯想到的是，攻擊者可藉由AI工具與AI代理技術，擴大攻擊規模並提升資安風險。然而，AI同時也正在賦能防禦者，可使每位資安從業者都能擁有自己的AI代理，有效提升防禦效率。</p> <p>特別的是，在今年黑帽大會（Black Hat USA 2025）活動的AI Summit研討會上，趨勢科技揭露AI資安最新進展與觀察，他們認為，AI不僅正在重新定義防禦方式，讓我們從被動因應轉向可預測攻擊的主動防禦，同時，AI也正在引領資安典範的轉型，從被動轉向主動的風險模擬。</p> <p>此外，趨勢科技也指出AI時代需要新的資料安全方案，以及AI代理促進了Agentic SIEM的演進。</p> <h3><strong>結合10種類型資料與3種AI代理，以Digital Twin概念開創全新虛擬紅藍隊演練</strong></h3> <p>今年的AI Summit活動再次於黑帽大會登場，突顯AI在資安領域日益重要的地位，趨勢科技也在這場AI 盛會中發表演說，介紹AI正在重塑資安運作邏輯的最新方向──透過打造Digital Twin與運用AI代理（AI Agent），讓企業紅藍隊攻防演練可以有全新模式。</p> <p>事實上，這項應用今年6月在臺舉行的Computex 2025中已初步曝光，當時仍處於研發階段，如今開放預覽版本供大家測試，因此得以揭露更多這方面的細節。</p> <p>對於如何用AI革新紅藍攻防演練，趨勢科技企業平臺長Rachel Jin（金靜秀）指出，AI代理固然是核心，但要真正實現這項應用還有兩個不可或缺的要素：「資料」與「Digital Twin」。</p> <p>她進一步解釋，資料是數位時代的命脈，在AI時代更顯其關鍵性。若是沒有資料，AI就只是個昂貴的「猜測機器」；至於數位孿生（Digital Twin），這並非新的概念，過去已用於模擬實體世界，像是製造業建立實體工廠前先進行數位模擬與規畫。</p> <p>在這兩者的結合應用下，帶來的顯著效益就是，可透過所有真實的商業資料流來繪製企業數位世界地圖。Rachel Jin強調，其中的「資訊流」至關重要，其涵蓋面必須足夠廣泛，才能呈現企業營運與流程的全貌，進而實現更精準的風險管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Black Hat 2025_AI Summit_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Black%20Hat%202025_AI%20Summit_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>有哪些重要資訊流？Rachel Jin在會中進一步揭露了具體內容，共有10大構面，涵蓋：網路活動、權限管理（Entitlement）、敏感資料、偵測與漏洞及錯誤配置、社交圖譜、資產拓撲、使用者行為、資產概況、威脅情資、業務概況。</p> <p>另外她也強調，系統提供的管理機制也要跟著進化，因為現在的資料互動要有新的方式，例如，並非僅依賴儀表板，而是要能夠直接與資料互動，以及應該根據使用者角色，提供客製化的見解與報告。</p> <p>更重要的是，有了Digital Twin資訊流，我們可以發想出極具潛力的應用實例，也就是網路戰模擬遊戲（Cyber War Gaming），此方式可類比實體紅藍隊演練，讓風險模擬更為主動，而AI代理也是能驅動這項應用的重要關鍵。</p> <p>透過這樣的高程度模擬環境，Rachel Jin進一步解釋，「代理紅隊」將可利用威脅情資與情資代理，在Digital Twin環境中自動執行攻擊；「藍隊代理」則可偵測並運用趨勢科技本身的專業知識與威脅情資，在Digital Twin環境中規畫防禦；另外還有「白隊代理」，負責判斷攻擊／防禦是否成功。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）Black Hat 2025_Digital Twin_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>整體而言，這開啟了一條截然不同的演練途徑。她解釋，傳統實體紅藍隊演練雖然是驗證組織風險暴露的有效方式之一，但往往會對業務營運造成干擾，無法每天或每月進行。相對地，透過高度模擬企業IT環境的Digital Twin，不僅能避免對實體環境造成影響，更能協助精準識別優先處理的風險項目，實現主動式決策，而且還可以更好做到「持續」演練。</p> <p>Rachel Jine更是形容，這就像我們擁有了一顆「水晶球」，能透過 AI 技術與威脅情報，更準確地預測未來的風險樣態與攻擊場景。這個形容簡單卻具畫面感，讓我們印象深刻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）Black Hat 2025_Digital Twin_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）Black Hat 2025_Digital Twin_趨勢科技_攝影羅正漢(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖7）Black Hat 2025_Digital Twin_趨勢科技_iThome擷取.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_iThome%E6%93%B7%E5%8F%96.jpg" style="width: 295px;" /></a></p> <p><span style="color:#808080;"><strong>在今年黑帽大會（Black Hat USA 2025）活動現場，趨勢科技首次對外展示了用於紅藍演練的Digital Twin實際畫面，就目前設計來看，代理紅隊、藍隊代理、白隊代理都將在背後執行，還能結合趨勢科技自身所發展的Trend Cybertron LLM，加上對話式的介面，可將儀表版背後的資訊以另一種更直接的方式展現。</strong></span></p> <h3><strong>闡釋AI架構的運作之餘，新世代資料安全與Agentic SIEM發展亦成新焦點</strong></h3> <p>隨著AI技術快速導入資安領域，企業面對的威脅樣態與風險評估方式也正發生結構性的轉變，如何在這樣的變化中發展AI架構，已成為業界關注的焦點，Rachel Jin也特別闡釋了這方面的議題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）Black Hat 2025_AI Summit_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Black%20Hat%202025_AI%20Summit_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>她將AI架構的運作描繪成一個三角形，由下而上可簡單分為三個層次，包括：資料層（Data Layer）、智慧層（Intelligence Layer）、代理式AI（Agentic），讓大家能簡單理解不同層次的差異。她並表示，趨勢科技也是依循這樣的概念來發展資安平臺。</p> <p>簡單來說，最底層是資料層，涵蓋所有最基礎的資料，從多種管道（端點、雲端、網路、Email、身分、第三方等）蒐集資料，形成一座可供分析的Data Lake。特別的是，目前他們的平臺已支援近1,000種不同類型的日誌格式。</p> <p>往上是情境智慧層，即上述談到的Digital Twin模擬應用，能更精準理解、可視化並推論資料，並且能夠進一步結合SIEM、CRQ（網路風險量化）、XDR來分析統整。</p> <p>而在最上層則是Agentic，藉由多個特定領域專用的AI代理協同運作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）Black Hat 2025_AI Summit_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Black%20Hat%202025_AI%20Summit_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>綜上所述，朝向單一安全平臺發展，的確是這幾年許多資安業者都強調的重要發展方向，趨勢科技也有同樣的發展策略，而且，不僅要做到橫向整合，現在還有了AI和Digital Twins的幫忙，看來還能進一步拓展縱向應用。</p> <p>回顧過去，趨勢科技自2021年打造Trend Vision One平臺，當時是基於XDR為核心來發展，但從上述Rachel Jin提到的平臺結構來看，整體能力持續擴展變得更為豐富，涵蓋識別、防護、偵測與回應，因此我們會後也詢問Rachel Jin，平臺經過這幾年不斷整合強化，2025 年有哪些技術重點值得關注？</p> <p>她提到兩個重點，一是資料安全，一是Agentic SIEM。</p> <p>以資料安全而言，Rachel Jin指出，在AI時代，我們需要發展具潛力的新世代資料安全方案，以取代傳統DLP方案。</p> <p>她指出，這兩年趨勢科技是持續投入相關技術研發，未來將於平臺新增資料安全模組，其中資料安全態勢管理（DSPM）也將成為關鍵能力之一。她並透露，目前這項技術雖然才剛剛進入預覽階段，尚未正式宣傳，但已有大量用戶開始嘗試使用。</p> <p>由於一年多前趨勢科技曾經表示，現在的資料安全解決方案未能與AI有很好的整合串連，顯然該公司不只看好這方面的技術演進，現在也已有初步成果展現。</p> <p>以Agentic SIEM而言，這項發展既令人驚訝，又在意料之中。一方面是我們過去很少聽聞趨勢科技談及SIEM，一方面是我們看到許多資安廠商發展雲原生SIEM，或是併購SIEM解決方案。</p> <p>Rachel Jin坦言，早期他們的平臺是以XDR為核心，當時與傳統 SIEM功能部分重疊，但兩者應用仍有差異，不過市場上使用者有不同的需求存在，隨著Agentic AI的興起，讓他們有了新的契機，因此打造出新世代的Agentic SIEM。她並指出，這項新方案其實是在黑帽大會舉行的前幾日（8月4日）才發布，而前述提到該公司的AI架構運作，能支援近千種不同日誌格式，也就是基於這項最新技術，同時也提供了彈性的資料保存方式，支援分析型與歸檔型資料的匯入，分析形資料最長可保留2年，歸檔用資料最長可保留7年。</p> </div></div></div>
2025/8/7 08:24作者羅正漢https://www.ithome.com.tw/news/170465
管理網頁機器人程式的兩難
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於數位內容產業而言，AI帶來許多新的挑戰，例如，ChatGPT等線上服務崛起後，新聞網站均面臨瀏覽流量大幅下降的危機，近期登場的Google搜尋引擎提供的AI摘要，也明顯減少使用者點擊搜尋結果列出的網址連結，在<a href="https://www.ithome.com.tw/news/170268" target="_blank"><span style="color:#3366ff;">Pew Research Center上個月底發布的研究報告</span></a>當中，已具體呈現這樣的狀況。</p> <p>除了形同被架空，許多網站現在也面臨更多未經站方同意的內容擷取行為，以前要應付網頁內容擷取程式（Web crawlers），如今又多了AI網頁內容擷取（AI crawlers），目的是訓練AI模型。針對這樣的局面，身兼CDN與雲端服務業者身分的CloudFlare，在7月初實施新政策，他們表示預設將封鎖AI網頁機器人程式，除非AI業者付費給創作者、以便取得內容使用授權，各種數位內容既然支撐AI引擎的運作，創作者也必須直接獲得合理補償，才算公平。</p> <p>祭出禁令的同時，CloudFlare也企圖建立內容擷取的付費體制，他們宣布名為<a href="https://developers.cloudflare.com/ai-audit/features/pay-per-crawl/what-is-pay-per-crawl/" target="_blank"><span style="color:#3366ff;">Pay per crawl</span></a>的計費支付方案，屬於該公司平臺AI Audit功能的一部分，目前是封閉測試階段。</p> <p>除了網頁機器人程式擷取網頁內容的爭議，有AI業者以API存取其他AI業者的模型。例如，這幾天就有兩則新聞，突顯相關的衝突正在升溫。</p> <p>首先是Anthropic針對OpenAI透過API存取Claude模型的行為予以封鎖，理由是這個舉動違反該公司的服務條款，僅允許OpenAI對其執行基準測試和安全評估。</p> <p>另一個消息是CloudFlare指控AI新創Perplexity，運用隱藏、未宣告的網頁機器人程式，迴避網站發出的禁止擷取指令要求，他們發現Perplexity一開始雖然從他們宣告的使用者代理進行網頁內容擷取，不過，一旦遇到網路阻擋存取時，他們會隱匿擷取程式的身分、試圖規避網站設定，具體行為在於Perplexity持續修改使用者代理、變更自治系統編號（ASNs）來源，進而藏匿網頁擷取活動，並且無視、甚至不存取網站宣告的機器人程式內容存取指引檔案robots.txt。</p> <p>無論仗義執言或是有其他商業競爭考量，上述狀況反映的共通問題，在於企業與組織該如何看待本身公開在網站的內容，以及能否定義、進而限制適當的使用方式。</p> <p>而在資安廠商的年度資安報告當中，也可以看到這方面的趨勢。</p> <p>根據Akamai提出的《State of Apps and API Security 2025》指出，AI技術支持的機器人程式（Bot），可協助攻擊者發動自動化攻擊與大規模攻擊；而且，在零售資安領域，機器人已成為主要的攻擊面向，能被用來執行帳號強佔（account takeover）、信用卡詐騙，以及禮品卡濫用。</p> <p>他們認為，Bot之所以能夠發動攻擊，主因在於先從遭駭網站偷到個資，之後以此執行帳密填充攻擊（credential stuffing），進而產生複合成效，促使線上詐騙活動形成產業，協助全球犯罪生態體系運用自動化工具，得以大幅擴充營運規模，遠遠超越原本透過手動操作能達到的程度。</p> <p>在另一家資安廠商Thales發布的《2025 Imperva Bad Bot Report》，也顯示幾個驚人的統計數據。首先，2024年所有網頁流量當中，自動化流量占比為51％，首次超越人為流量(49％)，就全球網際網路流量而言，善意機器人程式（Good Bot）流量占14％、惡意機器人程式（Bad Bot）流量占37％。</p> <p>他們的報告也指出AI的影響，因為各種生成式AI工具的崛起，固然提供許多好處，也被用於發動網路攻擊，例如，攻擊者經常將惡意機器人程式偽裝成網頁擷取程式，以便迴避偵測，並且繞過網頁擷取程式白名單的安全管制。</p> <p>綜合這些觀察，對於企業與組織而言，維護自家網站應用系統的安全與穩定供應服務，設法避免受到惡意機器人程式的侵擾仍是重點，我們須持續關注、掌握自動化存取行為的合理範疇，另一方面，對於來自外部AI服務的網頁內容擷取行為，也必須思考應採取何種態度，現在大家還沒找到合適答案。因為管制設限地過於嚴苛，可能失去本身的品牌能見度；若放任不管，形同白白替各種AI作嫁，令所有內容創作者無法接受，需要各界集思廣益，替使用方與供應方解套，建立合理制度。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%87%AA%E5%8B%95%E5%8C%96%E6%94%BB%E6%93%8A">自動化攻擊</a></div><div class="field-item odd"><a href="/tags/%E6%83%A1%E6%84%8F%E6%A9%9F%E5%99%A8%E4%BA%BA%E7%A8%8B%E5%BC%8F">惡意機器人程式</a></div><div class="field-item even"><a href="/tags/bad-bot">Bad Bot</a></div><div class="field-item odd"><a href="/tags/ai%E7%B6%B2%E9%A0%81%E5%85%A7%E5%AE%B9%E6%93%B7%E5%8F%96">AI網頁內容擷取</a></div><div class="field-item even"><a href="/tags/ai-crawlers">AI crawlers</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/%E6%B5%81%E9%87%8F">流量</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E5%85%A7%E5%AE%B9%E7%94%A2%E6%A5%AD">數位內容產業</a></div><div class="field-item even"><a href="/tags/ai%E7%B6%B2%E9%A0%81%E6%A9%9F%E5%99%A8%E4%BA%BA%E7%A8%8B%E5%BC%8F">AI網頁機器人程式</a></div><div class="field-item odd"><a href="/tags/perplexity">Perplexity</a></div><div class="field-item even"><a href="/tags/openai">OpenAI</a></div><div class="field-item odd"><a href="/tags/anthropic">Anthropic</a></div></div></div>
2025/8/7 10:56作者李宗翰https://www.ithome.com.tw/voice/170468
趨勢科技端點防護軟體爆2項RCE漏洞已發現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://success.trendmicro.com/en-US/solution/KA-0020652" target="_blank">趨勢科技（Trend Micro）本周公告</a>，端點安全產品Apex One產品發現2項重大遠端程式執行（RCE）漏洞，而且已經有攻擊行動，趨勢科技剛剛釋出暫時性緩解工具保護部份沒有修補程式的產品。</p> <p>漏洞出現在端點防護產品Apex One Management Console。這2項漏洞分別是CVE-2025-54948和CVE-2025-54987。其中CVE-2025-54948為指令注入RCE漏洞，可讓遠端攻擊者不需經過驗證上傳惡意程式碼，在受害系統上執行指令。CVE-2025-54987和CVE-2025-54948基本上相同，差別是鎖定不同CPU架構的裝置。2漏洞風險值皆高達CVSS score 9.4。</p> <p>漏洞影響Apex One本地部署版本、Apex One as a Service、Trend Vision One端點安全標準端點防護（Trend Vision One Endpoint Security - Standard Endpoint Protection）。</p> <p>趨勢科技目前已觀測到至少1起試圖濫用漏洞的行為，因而該公司已緊急修補。Apex One as a Service、Trend Vision One 端點安全標準端點防護二項產品已在7月31日釋出修補程式解決。但針對本地部署版本，趨勢科技8月5日釋出暫時性修補工具（fix tool）在某些非標準配置環境下失效，隔日（8月6日）又再發布一次。</p> <p>趨勢科技強調，目前針對Management Console本地部署版釋出的是短期緩解工具，而且有些缺點。雖然短期修補工具能提供完整防護，卻會關閉管理員利用遠端安全代理（Remote Install Agent）功能從管理控制臺部署代理人的功能。趨勢科技預定8月中釋出正式版修補程式。</p> <p>在正式修補程式釋出前，趨勢科技呼籲管理員安裝暫時修補工具，確保安全政策及周邊防護軟體升級到最新版。此外，由於攻擊者必須實體或遠端存取Apex One Management Console，廠商建議企業用戶若IP位址對外曝露，應考慮非必要應先關閉或限制存取。</p> </div></div></div>
2025/8/7 09:59作者林妍溱https://www.ithome.com.tw/news/170467
TypeScript 5.9讓專案設定更簡單，並支援延遲載入模組提升啟動效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TypeScript 5.9<a href="https://devblogs.microsoft.com/typescript/announcing-typescript-5-9/#optimizations">正式發布</a>，此次更新重點在於改進開發流程與提升效能，特別針對專案初始化、自動化模組載入與現代JavaScript應用的相容性，進行多項強化。新版特色在於降低初學者上手門檻，同時確保資深開發者於大型專案環境下也能獲得更好的開發體驗。</p> <p>開發團隊長期蒐集用戶回饋與實務需求，在TypeScript 5.9版本將tsc --init初始化專案時所產生的tsconfig.json設定檔進行大幅簡化，僅保留最常用且具實質效益的預設選項，並刪除繁瑣的註解與冗餘設定，提升整體設定流程的效率與可維護性。將預設值如module設為nodenext、target為esnext，啟用嚴格型別檢查與略過第三方型別檢查，以及將types設為空陣列，有助於新舊專案快速完成基礎設置。</p> <p>TypeScript 5.9正式支援ECMAScript的import defer語法。開發者可利用import defer * as feature from “./some-feature.js"，讓模組於載入時先準備好資源，但延後到實際存取成員時才執行初始化動作。此設計有助於降低大型應用初始啟動時的效能負擔，並在條件載入或需延遲副作用發生的情境下提供更好的彈性。</p> <p>新版本引入module node20設定，明確與Node.js 20的模組行為對齊，對於需要長期穩定維運或多環境部署的專案特別有用。與nodenext模式會隨標準調整不同，node20提供一個固定參照，有利於維護程式碼一致性。啟用node20時，target自動設為es2023，省去手動調整，有效降低開發與測試成本。</p> <p>TypeScript 5.9也改進了開發者在IDE中的體驗，lib.d.ts現已整合MDN文件摘要，使用者於編輯器中可即時取得DOM API主要功能說明，提升查詢效率。可展開型別快顯（Expandable Hovers）功能預覽上線，讓開發者能即時展開檢視型別細節，減少反覆跳轉定義的需求。此外，新版支援快顯訊息長度自訂，避免複雜型別資訊遭截斷。</p> <p>型別系統方面，本次針對映射器（Mapper）型別實例化流程增加快取機制，大幅減少重複運算，特別適合依賴泛型與複雜型別計算的應用。檔案存在性檢查也調整函式分配邏輯，根據開發者實測，在大型專案下可提升11％的編譯效能。</p> </div></div></div>
2025/8/7 10:15作者李建興https://www.ithome.com.tw/news/170466
JetBrains發表Kineto，強調零程式基礎也可快速產出網頁應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains<a href="https://blog.jetbrains.com/kineto/2025/08/make-your-ideas-clickable-with-kineto-by-jetbrains/">發表</a>無程式碼應用程式建置平臺Kineto，強調透過自然語言提示，協助沒有程式經驗的用戶在約20分鐘內完成一個可用的網站或網頁應用。Kineto有別於傳統的網站產生器或流程自動化工具，而是進一步將需求敘述、架構設計、功能實現到應用發布的多個環節加以自動化，讓應用建置過程更加直覺。</p> <p>過去十多年，隨著雲端運算普及，市面上出現各式低程式碼、無程式碼平臺，雖降低了部分開發門檻，實務上還是需要具備一定技術能力，例如多數平臺採用拖曳式介面，仍需使用者理解元件關聯，甚至在某些階段需撰寫JavaScript或SQL等語法。</p> <p>JetBrains強調，Kineto的目標是讓使用者完全不需要撰寫任何程式碼，只需以自然語言描述所需功能和操作情境，由Kineto自動解析需求，完成前端介面、後端邏輯與資料庫整合。開發團隊指出，Kineto背後整合了JetBrains在程式設計工具、IDE與自動化開發累積的技術經驗，他們將這些能力融入自動應用生成流程。</p> <p>在操作流程上，Kineto的建置過程從需求敘述開始，用戶僅需描述預期應用的主要功能，例如日程規畫、健身追蹤、簡易個人部落格等，Kineto會依據描述自動產生原型，包括使用者介面、資料流程、權限設定及基本互動邏輯。</p> <p>當後續需調整功能或介面，用戶可啟用Meta Layer模式，透過自然語言調整使用者角色、規則或增修功能，無需重複整體說明。這種互動方式有別於傳統網站建置器需反覆操作或設定參數，能有效降低細節修改的複雜度。</p> <p>目前Kineto鎖定小型應用場景，例如個人或團隊內部工具、活動登記、簡易問卷、知識庫或小型社群網站，強調可於20分鐘內產生可用成品並直接發布。JetBrains表示，未來計畫擴充支援更複雜的應用開發，加入自動代管、效能建議等功能。</p> <p>現階段Kineto提供早期搶先體驗，全球用戶可申請等候名單，優先開放給具明確構想且無程式背景的使用者，入選者將獲團隊協助建置與完善應用。</p> </div></div></div>
2025/8/7 08:19作者李建興https://www.ithome.com.tw/news/170457
【資安日報】8月6日，時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼時尚精品業者路易威登（Louis Vuitton，LV）、<a href="https://www.ithome.com.tw/news/170278">保險業者安聯（Allianz Life）</a>傳出資料外洩事故，本週有更多公司傳出類似事故，其中包含時尚精品業者香奈兒（Chanel）、Pandora，讓人懷疑這些精品業者的資安防護不足；但就連科技大廠也Google、思科，也證實遭遇相關攻擊而面臨資料外洩，這樣的情況很可能是一連串的攻擊行動。</p> <p>而在國內的資安新聞當中，自由時報報導勒索軟體DevMan聲稱對臺灣4家公司下手，但特別的是，駭客並未公布受害公司的全名，資安專家根據贖金的金額推測，這些很可能都是上市櫃公司。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170431"><strong style="font-size: 22px;">時尚精品業者香奈兒發生資料外洩事故，傳出是該公司的Salesforce帳密遭駭所致</strong></a></p> <p>時尚精品業者迪奧（Christian Dior Couture）、路易威登（Louis Vuitton，LV）先後在5月、7月傳出資料外洩的情況，兩起事故都出現包含臺灣在內的多個國家分公司客戶受到影響，其中LV傳出歹徒是存取第三方廠商的資料庫而得逞，突顯時尚精品業者對於客戶的個資保護不力，如今時尚精品業者香奈兒（Chanel）也傳出資料外洩的事故。</p> <p>這起事故的公開，最早是時尚新聞網站Women's Wear Daily（WWD）報導此事，香奈兒於7月25日偵測到駭客入侵第三方服務供應商代管的資料庫，影響美國客戶，曝露他們的個人聯絡資訊。</p> <p>針對這起資料外洩事故的其他細節，香奈兒並未進一步說明，但資安新聞網站Bleeping Computer取得相關資訊表示，外流的資料攻擊者是從香奈兒的Salesforce執行個體竊得。</p> <p><a href="https://www.ithome.com.tw/news/170438"><strong style="font-size: 22px;">丹麥精品業者</strong></a><a href="https://www.ithome.com.tw/news/170438"><strong style="font-size: 22px;">Pandora資料外洩，恐為Salesforce相關事件最新受害品牌</strong></a></p> <p>丹麥精品業者Pandora近日傳出資安事件，被駭客竊取客戶姓名及電子郵件等個資，成為最新資料外洩的精品業者。</p> <p>財星雜誌首先報導，Pandora以郵件通知顧客外洩事件，Pandora也證實此事。事件起因是這家精品業者使用的第三方系統遭非授權存取，致使客戶資料遭存取。Pandora說，除了顧客姓名與電子郵件之外，其餘敏感資料如：密碼、ID、信用卡與財務資訊，都不受影響。</p> <p>法國精品業者Chanel也在本周向媒體證實7月25日有類似的資安事件。Chanel代管在第三方業者平臺上的客戶資料，包括姓名、電話及住家地址遭攻擊者存取。該公司表示本次事件只影響美國客戶。雖然兩家公司都未透露第三方系統為何，但Bleeping Computer取得消息指出，兩家公司都使用Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/170439"><strong style="font-size: 22px;">思科、Google雙雙發生員工遭網釣事故，致CRM資料外洩</strong></a></p> <p>網路及伺服器大廠思科及Google雙雙公告其雲端CRM系統遭駭客入侵，竊走部分客戶資訊。</p> <p>思科上周說明，該公司7月24日得知一名思科客戶代表遭語音釣魚（vishing）鎖定得逞，因而得以從該公司使用的第三方雲端平臺客戶關係管理（CRM）系統的一個執行個體當中，存取並外洩部分用戶資訊。</p> <p>同時間，Google亦在8月5日公告類似的攻擊。6月間，Google使用的一個企業Salesforce執行個體遭到駭客存取。該系統是用於儲存中小企業聯絡資料及相關資訊。攻擊者在「一小段時間」得以存取資訊，被存取的是基本與常見商務資訊，如公司名稱和聯絡資訊。雖然兩家公司並未透露CRM系統的名稱，但外界推測很有可能就是Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/170434"><strong style="font-size: 22px;">四大SharePoint零時差漏洞ToolShell遭4L4MD4R勒索軟體濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-07-31-TTI-post-image-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-31-TTI-post-image-01.png" style="width: 300px; float: right;" /></a></p> <p>Palo Alto Networks旗下Unit 42威脅情報團隊揭露，攻擊者正大規模利用微軟SharePoint多項高風險零時差漏洞，針對在地端部署環境展開入侵行動。這波攻擊涉及4個被統稱為ToolShell的嚴重漏洞，分別為CVE-2025-49704、CVE-2025-49706、CVE-2025-53770、CVE-2025-53771。</p> <p>這些漏洞涵蓋程式碼注入、身分驗證不當、反序列化及路徑走訪限制等多種弱點，最高CVSS風險分數達9.8。根據最新監測顯示，勒索軟體4L4MD4R已開始利用這些漏洞攻擊暴露於網際網路的SharePoint Server，對政府、醫療、教育和企業環境構成實質衝擊。</p> <p>研究人員指出，攻擊活動自7月中明顯升溫，攻擊者運用自動化工具針對全球多個地端SharePoint伺服器進行版本偵測與弱點測試。受影響產品以2016、2019版SharePoint Enterprise Server及訂閱版本為主，Microsoft 365中的SharePoint Online則未受影響。這些漏洞均允許未授權攻擊者遠端執行任意程式碼或繞過身分驗證，單一主機遭入侵後，攻擊面將擴及組織其他整合式服務。</p> <p><a href="https://www.ithome.com.tw/news/170463"><strong style="font-size: 22px;">勒索軟體DevMan聲稱一口氣對4家臺灣企業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/4c93b57a0f24e8cd5e8941e6d62fbef1-156.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/4c93b57a0f24e8cd5e8941e6d62fbef1-156.jpg" style="width: 300px; float: right;" /></a></p> <p>從今年開始，勒索軟體駭客CrazyHunter、NightSpire接連針對多家臺灣上市櫃公司發動攻擊，使得上市櫃公司的資安防護議題再度浮上檯面，只要有勒索軟體駭客聲稱他們攻擊臺灣企業組織，就會格外引起臺灣各界的關注，如今有駭客組織一口氣聲稱對4家臺灣公司下手，這樣的情況相當罕見。 </p> <p>根據自由時報的報導，DevMan近期在暗網公布4家臺灣受害企業，並聲稱握有這些公司200 GB至960 GB不等的資料，並索討1百萬至6百萬美元（約新臺幣2,997萬至1.8億元）。他們取得資安專家的說法，如此高額的贖金，受害企業很可能都是上市櫃公司。但與許多勒索軟體組織有所不同的是，他們並未公布受害組織全名，而是以星號遮蓋部分字母。</p> <p>資安專家認為，DevMan在一天內聲稱攻擊了4家臺灣企業，且開出不同級距的贖金，這些駭客的操作，很可能代表三件事，首先，駭客可能掌握特定漏洞，能夠大規模滲透同類型目標；再者，他們鎖定特定產業鏈或供應鏈節點，而能一口氣攻擊多家公司。此外，駭客有可能將臺灣特定產業當試驗場，嘗試進行區域性勒索活動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/sonicwall-investigating-potential-ssl.html">針對勒索軟體Akira疑似鎖定SonicWall防火牆零時差漏洞的攻擊行動，有新的調查結果出爐</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/vietnamese-hackers-use-pxa-stealer-hit.html">越南駭客透過竊資軟體PXA，攻擊4,000個IP位址、竊得20萬組帳密</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/google-fixes-3-android-vulnerabilities.html">Google發布8月安卓例行更新，修補兩項已遭利用的高通晶片漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/dell-laptop-models-vulnerabilities-impacting-millions/">Dell商務筆電特定晶片存在漏洞，攻擊者恐藉此竊取敏感資料，影響逾100款機種、數百萬臺電腦曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pwn2own-hacking-contest-pays-1-million-for-whatsapp-exploit/">漏洞挖掘競賽Pwn2Own Ireland 2025將於10月舉行，預告為WhatApp零點擊RCE漏洞祭出最高百萬美元獎勵</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月5日】國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> </div></div></div>
2025/8/6 18:21作者周峻佑https://www.ithome.com.tw/news/170464
勒索軟體DevMan聲稱一口氣對4家臺灣企業下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年開始，勒索軟體駭客<a href="https://www.ithome.com.tw/tags/crazyhunter">CrazyHunter</a>、NightSpire接連針對多家臺灣上市櫃公司發動攻擊，使得上市櫃公司的資安防護議題再度浮上檯面，只要有勒索軟體駭客聲稱他們攻擊臺灣企業組織，就會格外引起臺灣各界的關注，如今有駭客組織一口氣聲稱對4家臺灣公司下手，這樣的情況相當罕見。 </p> <p>根據自由時報的報導，<a href="https://ec.ltn.com.tw/article/breakingnews/5133891">DevMan近期在暗網公布4家臺灣受害企業</a>，並聲稱握有這些公司200 GB至960 GB不等的資料，並索討1百萬至6百萬美元（約新臺幣2,997萬至1.8億元）。他們取得資安專家的說法，如此高額的贖金，受害企業很可能都是上市櫃公司。但與許多勒索軟體組織有所不同的是，他們並未公布受害組織全名，而是以星號遮蓋部分字母。</p> <p>資安專家認為，DevMan在一天內聲稱攻擊了4家臺灣企業，且開出不同級距的贖金，這些駭客的操作，很可能代表三件事，首先，駭客可能掌握特定漏洞，能夠大規模滲透同類型目標；再者，他們鎖定特定產業鏈或供應鏈節點，而能一口氣攻擊多家公司。此外，駭客有可能將臺灣特定產業當試驗場，嘗試進行區域性勒索活動。</p> <p>我們也在網路上搜尋相關資料，恰巧看到威脅情報網站Cybersecurity News Everyday、威脅情報業者DeXpose指出，他們發現DevMan於8月1日公布4家受害的臺灣公司，他們是：<a href="https://www.dexpose.io/devman-ransomware-attack-on-bul-corp/">BUL Corp</a>（<a href="https://www.hendryadrian.com/ransom-bul-tw/">b*u*l*****.tw</a>）、<a href="https://www.dexpose.io/devman-ransomware-attack-targets-kw-international/">KW International</a>（<a href="https://www.hendryadrian.com/ransom-kw-tw/">kw****.tw</a>）、<a href="https://www.dexpose.io/devman-ransomware-targets-prowess-corp-in-taiwan/">Prowess Corp</a>（<a href="https://www.hendryadrian.com/ransom-pr-tw/">pr*****.tw</a>），以及一家<a href="https://www.dexpose.io/devman-ransomware-attack-on-com-tw-in-taiwan/">僅有公布為臺灣公司</a>（<a href="https://www.hendryadrian.com/ransom-cm-tw/">***.c*m.tw</a>）的受害企業，駭客索討的金額分別是110萬美元、100萬美元、105萬美元，以及600萬美元。</p> <p>針對這個勒索軟體駭客組織的來歷，<a href="https://cyble.com/blog/top-ransomware-groups-may-2025-safepay-devman-rise/">最早由資安業者Cyble發現並提出警告</a>，DevMan約在今年5月開始活動，聲稱在5月就有13家受害的企業組織，而引起他們的注意，其中一起攻擊泰國媒體的事故裡，駭客聲稱將所有的系統與NAS設備檔案加密。該組織與Qilin、Apos、DragonForce、RansomHub等勒索軟體租用服務（Ransomware-as-a-Service）有合作關係。</p> <p>資安業者Check Point揭露另一起<a href="https://research.checkpoint.com/2025/21st-july-threat-intelligence-report/">針對泰國勞動部的資安事故</a>，當時他們的網站遭到破壞，駭客聲稱竊得300 GB敏感資料，他們入侵2千臺筆電、數十臺伺服器，並將檔案加密。DevMan向泰國勞動部勒索1,500萬美元贖金。</p> <p>Any.Run對DevMan的加密工具進行分析，<a href="https://medium.com/@anyrun/devman-ransomware-analysis-of-new-dragonforce-variant-ede707fd30b1">指出該組織的加密工具源自於DragonForce</a>，大多重覆使用DragonForce的程式碼基礎（Codebase），雖然大部分的防毒引擎會將其標記為DragonForce或是Conti，但DevMan的加密工具存在獨有的行為，使得他們認為這群駭客並非單純的DragonForce加盟主。附帶一提的是，除了透過SMB進行偵察，DevMan的惡意程式大多惡意活動都是離線進行，而且，他們發現這款加密工具並未出現對外的C2通訊。這些駭客主要的攻擊目標是亞洲和非洲，但拉丁美洲與歐洲也有受害組織，</p> </div></div></div>
2025/8/6 17:55作者周峻佑https://www.ithome.com.tw/news/170463
臺灣Foodpanda衝高平臺交易量新招，用10億筆訂單數據免費提供餐廳數據分析及顧問服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣Foodpanda宣布「餐飲錢力股計畫」，與亞太行銷數位轉型聯盟協會（AMT）合作，免費提供餐飲商家經營診斷、客製化報告製作、顧問指導、經營課程等服務。臺灣Foodpanda商務總監簡紫涵表示，這是臺灣Foodpanda於集團全球市場中首先發起的商家經營模式。</p> <p>此計畫主要鎖定中小型餐飲商家，具體做法分為3階段。首先，他們根據經濟部「數位轉型評量指南」製作簡短測驗給商家，快速評估商家對數位化的認知及可能優化方向。接著，用Foodpanda平臺訂單數據，為商家製作專屬報表及建議改善方針。最後，邀請商家參與由Foodpanda及AMT共同舉辦的行銷及經營課程，並派顧問團隊，輔導商家數位行銷及經營Foodpanda商務。</p> <p>Foodpanda會從自家10億筆訂單數據中，替商家分析出熱門餐點組合、同業定價策略、區域消費行為、鄰近競爭對手關係等資訊，來提供在Foodpanda上的經營建議。例如，建議商家根據自家販售及周邊競爭情況調整菜單。或者，建議回購率高、新客流量低的商家將行銷預算集中在新客群促銷。</p> <p>雖然Foodpanda報表只會使用自家平臺上數據，不過，AMT創會會長高端訓指出，就算商家在Foodpanda平臺累積的數據量不大，還是能透過Foodpanda窺見附近其他商家數據，作為調整經營和行銷的參考。例如，所在區域消費情況、鄰近競爭商家數據概況，就是只有Foodpanda能掌握的數據。</p> <p>Foodpanda過往已經利用自家平臺上數據，打造RMN等數位行銷業務。簡紫涵說明，RMN主要服務大型品牌，如大型食品公司、金融業等。這次利用數據發展數據分析及顧問服務，則是鎖定財力、人力和IT力較有限的中小型餐飲商家，提供免費服務。他們期望，透過數據來強化商家經營，能同時提升商家在Foodpanda的業績，進而從平臺交易量增加來受益。</p> <p></p> </div></div></div>
2025/8/6 18:42作者郭又華https://www.ithome.com.tw/news/170462
Adobe緊急修補電子表單平臺AEM Forms零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日Adobe針對電子表單平臺Adobe Experience Manager Forms（AEM Forms）<a href="https://helpx.adobe.com/security/products/aem-forms/apsb25-82.html">發布緊急修補</a>，公告兩個資安漏洞，這些漏洞不僅危險，其中一個風險值更達到滿分，而且，相關細節在Adobe發布修補程式之前，就已經被公布，很有可能成為接下來歹徒利用的對象。因此，Adobe認為，雖然目前他們尚未發現漏洞遭到利用的跡象，但用戶應以最優先層級採取因應措施。</p> <p>這兩個漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-54253">CVE-2025-54253</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-54254">CVE-2025-54254</a>，影響6.5.23之前版本的AEM Forms，其中最嚴重的是CVSS評分達到10分的CVE-2025-54253，此漏洞起因是組態不當，可被用於執行任意程式碼，一旦攻擊者成功用，就有機會繞過安全機制並執行程式碼，而且，過程裡完全無需使用者互動。</p> <p>另一個資安漏洞CVE-2025-54254，攻擊者可用於任意檔案系統讀取，起因是XML外部實體參照（XXE）限制不當，攻擊者有機會以此存取本機檔案系統的敏感檔案，利用漏洞過程也不需要使用者互動，CVSS風險為8.6。</p> </div></div></div>
2025/8/6 14:47作者周峻佑https://www.ithome.com.tw/news/170441
國內首次啟動災害漫遊機制，臺南七股、嘉義布袋8月7日將啟動災害漫遊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>颱風及西南氣流帶來的豪雨，造成臺灣南部地區災情，為因應災區的通訊需求，NCC宣布已與三大電信協調，將在8月7日下午3點於臺南七股、嘉義布袋兩地及周邊啟動災害漫遊機制，讓當地民眾可漫遊其他電信商的行動網路，加強災區的通訊品質。</p> <p>國內是在2年前推動災害漫遊，當發生重大災害時，在特定的區域範圍內，協調電信業者建立漫遊機制，讓災區的民眾在原有的電信商網路無法提供服務之下，可以漫遊機制來使用其他電信商仍提供服務的網路。災害漫遊機制是在國定主導下，電信商配合建立的機制，確保民眾在重大災難發生或緊急情況下，仍能使用基本通訊服務。2023年數發部曾對外展示災害漫遊機制。</p> <p>本周NCC邀請數發部、內政部、消防署、公平交易委員會、臺灣電信產業協會及三大電信業者開會，會中取得共識，將在8月7日下午3點，於臺南的七股、嘉義的布袋兩地及周邊啟動災害漫遊機制，強化災害發生時的通訊韌性，視各家電信商評估基地臺修復的進度，災害漫遊最晚到今年的10月31日止。</p> <p>NCC指出，這次颱風及豪雨，造成嘉義及臺南地區1,293座基地臺因電力中斷或風雨造成毀損，電信業者加派人力及資源，例如行動基地臺、調整周邊基地臺天線方向等方式，盡力恢復災區通訊服務，已接近災害發生前的水準，NCC與電信業者開會取得共識，決定先導性實施災害漫遊，因此擇定在臺南七股、嘉義布袋兩個地區及周邊啟動災害漫遊機制。</p> <p>相較於先前概念及技術展示，這是首次在真實的災害下啟動災害漫遊機制，在災害漫遊機制期間，協調三家電信業者開放非自家用戶存取使用網路，以中華電信為例，原先只開放自家用戶存取網路，而在災害漫遊機制啟動後，當地的遠傳、台灣大哥大用戶將可以漫遊的方式來使用中華電信的網路。</p> <p>在8月7日下午3點之後，臺西七股、嘉義布袋地區啟動災害漫遊機制後，當地民眾只要手機開啟漫遊機制，手機就會自動搜尋附近訊號最好的行動電信網路，確保民眾可以獲得較佳的通訊品質，包括語音電話及行動數據上網。值得注意的是，災害漫遊機制為為災害期間的特殊情況，並非開放民眾無限制地使用，因此電信商雖然開放災害漫遊，但是會控制漫遊用戶所能夠使用的網路資源多寡，避免發生濫用的情形。</p> <p>另外，當地民眾在災害漫遊機制啟用期間，使用其他家電信商的網路，並不會有額外的漫遊費用產生。</p> <p>NCC表示，區漫游機制對緊急電話應接、電信打詐，關係到民眾的生命及財產安全，目前在技術上仍有待精進，故先以臺南、嘉義部分地區啟動，至於高雄市、臺東縣發生災情的偏鄉地區，未來在先導災害漫遊實施之後，通過技術測試，視需要再推動到其他地區。</p> <p>這次在臺南、嘉義部分區域啟動災害漫遊機制，為先導性實施，國內尚未建立通案實施的標準程序，因此NCC未來會再和相關部會、單位開會，依災害防治法建立通案實施的標準，以強化國內災害應變的制度化作業。</p> </div></div></div>
2025/8/6 15:36作者蘇文彬https://www.ithome.com.tw/news/170448
ElevenLabs推出音樂生成模型Eleven Music
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發各種AI音訊產品的<a href="https://elevenlabs.io/blog/eleven-music-is-here" target="_blank">ElevenLabs在本周二（8/5）發表了Eleven Music</a>，這是個文字轉音樂模型，能夠生成任何風格的錄音室等級音樂，同時提供免費與付費版本，後者可應用於商業上。</p> <p>Eleven Music是在2022年由Mati Staniszewski與Piotr Dąbkowski在紐約共同創立，其中，Staniszewski曾是Palantir部署策略師，Dąbkowski則曾為Google的機器學習工程師，他們兩個都是波蘭人，創業靈感來自於波蘭電影的配音質感低落，因而想打造音質更自然流暢的語音AI系統。所開發的平臺已支援文字轉語音、聲音克隆、文字生成聲音及自動配音等。最近一次的融資是今年1月底完成的1.8億美元的C輪融資，完成後的估值為33億美元。</p> <p>Eleven Music能夠呈現使用者所描述的各種音樂流派、風格或結構；也能選擇人聲或樂器；目前支援英文、西班牙文、德文及日文等；也允許使用者在生成之後編輯部分或整首音樂的聲音與歌詞。</p> <p>在該實驗所展示的例子中，在下了「夢幻、迷幻、緩慢獨立搖滾、有空間感的人聲、復古鍵盤樂器、朗朗上口的副歌、懷舊及國歌」等提示之後，Eleven Music就能生成足以公開發表的音樂。它所生成的音樂長度介於10秒至5分鐘之間，採用MP3格式，取樣率為音樂CD等級的44.1kHz，比特率則落在128至192kbps之間。</p> <p>ElevenLabs表示，Eleven Music是與唱片公司、出版社及藝術家合作建置的，幾乎可用於所有商業用途，從電視、電影、電視、播客到社交媒體影片等，或是從廣告到遊戲。</p> <p><a href="https://elevenlabs.io/pricing" target="_blank">Eleven Music所提供的訂閱方案</a>從免費到每月1,320美元不等，其中，免費版不可商用，每月5美元的Starter方案只支援社交媒體及廣告等商業用途，更廣泛的商業用途則必須訂閱每月11美元、Creator方案以上的版本。</p> <p>此外，不管是免費版或是付費版都必須遵守<a href="https://elevenlabs.io/music-terms" target="_blank">Eleven Music的服務條款</a>，明文規定使用者不得利用它來建立商業音樂庫；也不能應用在武器、禁藥、成人娛樂、宗教及政府宣傳上；亦不得在輸入提示中使用任何藝人的名字、任何歌曲名稱、任何專輯名稱或任何音樂出版商的名字。</p> <p><a href="https://www.wsj.com/articles/voice-startup-elevenlabs-launches-ai-music-service-8a546cef?st=LGDyUY&reflink=desktopwebshare_permalink" target="_blank">華爾街日報（WSJ）引用Futurum Group執行長Daniel Newman的看法指出</a>，過去許多廣告配樂或版權音樂都需經過昂貴且複雜的授權程序，AI的出現讓它們能以遠低於傳統成本的費用取得，對資源有限的公司格外有利。</p> </div></div></div>
2025/8/6 15:38作者陳曉莉https://www.ithome.com.tw/news/170449
AI程式碼編輯器Cursor存在資安漏洞CurXecute，恐被用於提示注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧（AI）的整合搭配，對於軟體開發生產力的提升，扮演的角色越來越重要，一旦存在相關漏洞，就有可能讓開發者在編寫程式碼的過程裡，帶入攻擊者的惡意內容，或是進一步對開發環境上下其手。</p> <p>例如，最近資安業者Aim Security揭露的<a href="https://www.aim.security/lp/aim-labs-curxecute-blogpost">高風險漏洞CurXecute</a>，就是這種型態的例子。這個漏洞出現在AI整合式開發環境（IDE）Cursor，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.6。他們向Cursor開發團隊通報此事，Cursor於7月8日發布1.3.9版修補，並將漏洞登記為CVE-2025-54135列管。</p> <p>這個漏洞的發現，與6月Aim Security揭露的Microsoft 365 Copilot<a href="https://www.ithome.com.tw/news/169500">零點擊漏洞EchoLeak</a>有關，當時他們對相關問題的理解，在於：只要提供AI機器人不受信任的內容，就有機會在無須使用者互動的情況下，挾持大型語言模型（LLM）的內部迴圈，從而洩露模型能夠看到的資料。</p> <p>基於這樣的認知，他們對Cursor進行調查，由於該IDE工具支援模型內容通訊協定（Model Context Protocol，MCP），可藉由自然語言，存取Slack主機、GitHub儲存庫，或其他的資料庫，將本機代理程式變成像瑞士刀的萬用工具。然而，MCP會將代理程式曝露於外部及不受信任的資料而產生危險，影響代理程式的流程控制，一旦攻擊者挾持代理程式的連線階段（Session），就有機會藉由代理程式的權限冒充使用者。</p> <p>Aim Security認為，CurXecute發生的原因牽涉三種層面，分別是MCP自動執行的機制、即時建議的編輯內容，以及提示注入引發RCE的途徑。由於只要發現~/.cursor/mcp.json出現新的內容，Cursor就會在沒有使用者確認的情況下執行，再加上代理程式建議修改mcp.json的內容已存放於磁碟，即便使用者否決還是會照樣執行，因此攻擊者只要透過Slack等MCP支援的外部平臺注入惡意資料，就有機會操控Cursor的AI代理程式，從而執行任意命令。</p> <p>為了讓更多人了解這個漏洞，Aim Security也透過影片展示概念驗證（PoC），並指出當中呈現的攻擊面，源自於處理外部內容的任意第三方MCP伺服器，包括：問題追蹤工具、客戶支援信箱，甚至是搜尋引擎，而且，只要一個中毒的文件，就有機會將AI代理程式變成本機的Shell。</p> </div></div></div>
2025/8/6 15:56作者周峻佑https://www.ithome.com.tw/news/170455
DeepMind發表可以生成數分鐘3D虛擬世界的Genie 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepmind.google/discover/blog/genie-3-a-new-frontier-for-world-models/" target="_blank">Google DeepMind於周二（8/5）發表</a>全新AI世界模型Genie 3，可根據文字提示即時生成互動式3D世界。相較於去年11月釋出、僅能維持10~20秒互動的<a href="https://www.ithome.com.tw/news/166457" target="_blank">Genie 2</a>，Genie 3支援長達數分鐘的連續互動，還能記住場景以維持畫面及環境的連貫性。</p> <p>Genie 3是DeepMind自2023年以來持續開發的世界模型系列第三代，可以每秒24幀與720p的解析度執行。它能夠模擬火山地形、水流或光影等真實世界的物理現象，亦可再現冰川或熱帶雨林等自然生態，還能以幻想及動畫風格創作，或是重建地理及歷史場景。</p> <p>此外，Genie 3還支援「可提示的世界事件」（promptable world events），讓使用者得以即時透過文字變更世界條件，例如改變天氣、增加角色或新場景，讓生成世界不僅可互動，還能持續演變。</p> <p>Genie系列與傳統的影片生成不同，它讓使用者進入一個由AI生成的世界，還能與場景互動，這種動態操控的能力，使其特別適合用於代理人訓練、自主系統模擬、教育模擬，以及創意應用。</p> <p>世界模型被視為邁向通用人工智慧（AGI）的一個關鍵技術，允許AI不必依靠真實世界資料，便能於虛擬世界中進行各種練習與學習。DeepMind表示，他們已經利用Genie 3所創造的虛擬世界來測試自家的SIMA代理人，看看它在不同任務下能否學會解決問題。</p> <p><a href="https://www.ithome.com.tw/news/161777" target="_blank">SIMA（Scalable, Instructable, Multiworld Agent）</a>是Google DeepMind所開發的一款通用型AI代理人，目標是讓它能在各種3D虛擬環境中完成多樣化任務。</p> <p>目前Genie 3尚未開放一般大眾使用，而是以「限量研究預覽」方式提供少數學術研究人員與創作者試用，並蒐集回饋以評估潛在風險與負責任的使用方式。Google也坦承，該模型仍存在如互動範圍受限、無法完美模擬真實地點，以及文字生成效果不穩定等限制。</p> </div></div></div>
2025/8/6 14:46作者陳曉莉https://www.ithome.com.tw/news/170440
微軟OAuth應用程式遭冒充，攻擊者以釣魚手法繞過多因素驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Proofpoint研究團隊<a href="https://www.proofpoint.com/us/blog/threat-insight/microsoft-oauth-app-impersonation-campaign-leads-mfa-phishing">發現</a>，攻擊者持續濫用微軟OAuth應用註冊機制，假冒企業常用的雲端服務，誘導受害者授權偽造應用，再將其導向仿造的微軟登入頁面，藉此攔截帳號密碼及多因素驗證（MFA）會話資訊。</p> <p>隨著MFA逐漸成為雲端帳號的標準防護措施，攻擊者結合攻擊者中介（AiTM）釣魚框架，例如Tycoon與ODx，已能即時攔截使用者輸入的驗證資訊及工作階段Cookie，突破MFA防線，對雲端服務構成實質威脅。</p> <p>這波攻擊最明顯的特徵，在於駭客偽裝Adobe、DocuSign、SharePoint、RingCentral等主流雲端服務的應用名稱與授權頁面，利用OAuth權限請求，引導目標用戶同意或拒絕應用存取個人資訊。無論使用者選擇取消或授權，最終都會被重導至偽造的微軟登入頁，而該頁實際上由攻擊者控制，並利用AiTM技術同步攔截所有登入憑證與MFA驗證內容。</p> <p>研究人員指出，攻擊流量普遍帶有Axios用戶代理特徵，攻擊後階段經常試圖變更受害者帳號的安全設定，以維持存取權限。根據統計，2025年Tycoon攻擊已針對超過900個Microsoft 365租戶、近3,000個帳號發動攻擊，並取得逾五成的入侵成功率。</p> <p>攻擊者的投遞策略也越來越成熟，研究人員觀察到，多數釣魚郵件來自先前遭入侵的企業帳號，郵件主題常涉及報價、合約及文件簽核等商業情境，以提升誘騙成功率。郵件中的連結會引導收件者進入偽造的微軟OAuth授權頁，之後再重導至攻擊者掌控的登入頁面。2025年4月後，攻擊者基礎設施從原本的俄羅斯主機，轉移至美國資料中心託管服務，其持續調整行動以降低被偵測風險。</p> <p>微軟在6月宣布，從7月中至8月，將分階段封鎖舊式驗證協定，並強制第三方應用程式取得管理員同意，研究人員認為，這些調整有助於阻止假冒OAuth應用程式的相關攻擊，同時建議企業資安團隊仍須主動檢視雲端環境授權政策，加強異常行為監控，及時辨識可疑應用程式授權。</p> <p>使用者教育同樣不可或缺，應針對OAuth授權頁與雲端登入頁面設計進行基礎風險識別訓練，針對敏感帳號，研究人員建議導入FIDO實體金鑰等更高強度的多因素驗證，以降低會話資訊遭攔截的風險。</p> </div></div></div>
2025/8/6 15:20作者李建興https://www.ithome.com.tw/news/170446
思科、Google雙雙發生員工遭網釣致CRM資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路及伺服器大廠思科及Google雙雙公告其雲端CRM系統遭駭客入侵，竊走一部份客戶資訊。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/resources/CRM-vishing" target="_blank">思科上周說明</a>，該公司7月24日得知一名思科客戶代表遭語音釣魚（vishing）鎖定得逞，因而得以從該公司使用的第三方雲端平臺客戶關係管理（CRM）系統的一個執行個體中存取並外洩一部份用戶資訊。</p> <p>同時間，<a href="https://cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion" target="_blank">Google亦在昨（5）日公告類似的攻擊</a>。6月間，Google使用的一個企業Salesforce執行個體遭到駭客存取。該系統是用於儲存中小企業聯絡資料及相關資訊。攻擊者在「一小段時間」得以存取資訊，被存取的是基本與常見商務資訊，如公司名稱和聯絡資訊。</p> <p>思科則說，調查顯示外洩的資料為Cisco.com註冊帳號的基本客戶資訊，如姓名、組織、地址、客戶ID、電話、電子郵件信箱及帳號相關meta data如帳號建立日期。</p> <p>如同Google，思科也說攻擊者並沒有取得任何客戶機密或專屬資訊、密碼、或其他敏感資訊。思科並強調，該CRM沒有其他執行個體CRM受影響，他們也沒有發現此事對其產品和服務的影響。</p> <p>思科並沒說明該CRM系統為何，但是根據其描述，很可能也是近日有如瘟疫般爆發的Salesforce資料外洩。</p> <p>媒體及資安業者將這幾波攻擊事件元兇指向ShinyHunters組織，Google則以UNC6040指稱攻擊者，Google威脅情報小組研究，發動語音釣魚攻擊的UNC6040，也是Google最新資安事件的元兇。此外Google相信，近日自稱ShinyHunters勒索受害者的是另一個代號UNC6240的組織，為冒用ShinyHunters名義行動，或是兩個組織有合作關係。</p> <p>除了二家科技公司，近日已經有Chanel、LV、Pandora、安聯等也都傳可能是經由Salesforce API竊取資料。Salesforce對媒體發出聲明表示，在這些事件中Salesforce系統並未被駭入，事件也非其任何該平臺漏洞所致，而是出於用戶遭社交工程攻擊導致。</p> </div></div></div>
2025/8/6 13:53作者林妍溱https://www.ithome.com.tw/news/170439
SharePoint四大零時差漏洞ToolShell遭4L4MD4R勒索軟體濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Palo Alto Networks旗下Unit 42威脅情報團隊<a href="https://unit42.paloaltonetworks.com/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/#post-147463-_50343o6a6han&:~:text=If%20you%20have%20SharePoint,fully%20evict%20the%20threat">揭露</a>，攻擊者正大規模利用微軟SharePoint多項高風險零時差漏洞，針對在地端部署環境展開入侵行動。這波攻擊涉及4個被統稱為ToolShell的嚴重漏洞，分別為CVE-2025-49704、CVE-2025-49706、CVE-2025-53770、CVE-2025-53771。</p> <p>這些漏洞涵蓋程式碼注入、身分驗證不當、反序列化及路徑走訪限制等多種弱點，最高CVSS風險分數達9.8。根據最新監測顯示，勒索軟體4L4MD4R已開始利用這些漏洞攻擊暴露於網際網路的SharePoint Server，對政府、醫療、教育和企業環境構成實質衝擊。</p> <p>研究人員指出，攻擊活動自7月中明顯升溫，攻擊者運用自動化工具針對全球多個地端SharePoint伺服器進行版本偵測與弱點測試。受影響產品以2016、2019版SharePoint Enterprise Server及訂閱版本為主，Microsoft 365中的SharePoint Online則未受影響。這些漏洞均允許未授權攻擊者遠端執行任意程式碼或繞過身分驗證，單一主機遭入侵後，攻擊面將擴及組織其他整合式服務。</p> <p>攻擊者首先利用漏洞取得伺服器存取權，隨即執行PowerShell命令關閉防護功能，並從指定遠端位置下載UPX壓縮且以Go語言撰寫的勒索軟體4L4MD4R。該勒索軟體於受害主機記憶體中解密、載入並加密檔案，之後在桌面生成贖金說明與加密檔案清單，要求受害者以比特幣支付贖金。技術分析顯示，攻擊過程中還會竊取MachineKey等憑證資訊，增加攻擊者橫向移動及存取Teams、OneDrive和Outlook等服務的可能性。</p> <p>此外，攻擊者不僅能繞過多重身分驗證與單一登入，還根據攻擊行動進度與外部公開情報靈活調整工具與策略，例如初期以.NET自訂模組竊取加密金鑰，當相關Web Shell手法曝光後，迅速切換回.NET模組，提升存活率與隱匿性。Unit 42比對活動來源，發現多起攻擊與微軟追蹤的Storm-2603組織相關聯，顯示具備高度組織化與持續作戰能力。</p> <p>鑑於此次攻擊規模與風險，研究人員建議所有運作在地端SharePoint環境之組織，應優先假設主機已遭入侵，並立即執行下列行動，第一是斷開易受攻擊伺服器對外連線，防止進一步入侵或資料外洩；第二，依據微軟最新公告安裝所有修補程式，且重設ASP.NET MachineKey、所有加密金鑰與密碼資料，並重啟IIS服務；第三，主動進行威脅獵捕及全面弱點檢查，確認是否存在Web Shell或異常連線，必要時委託專業事件應變團隊執行全面調查與處理。</p> </div></div></div>
2025/8/6 14:08作者李建興https://www.ithome.com.tw/news/170434
阿里巴巴開源首個圖像生成模型Qwen-Image
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里巴巴旗下的AI團隊通義千問（Tongyi Qianwen，Qwen）繼開源Qwen語言模型、多模態模型Qwen-VL之後，<a href="https://qwenlm.github.io/blog/qwen-image/" target="_blank">周一（8/4）開源了首個圖像生成模型Qwen-Image</a>。</p> <p>Qwen-Image採用MMDiT（Masked Multimodal Diffusion Transformer）架構，具備200億個參數，支援使用者輸入文字或圖像以產生圖像，也能控制圖像的樣式，並針對於圖像中嵌入中文及英文進行了最佳化。</p> <p>在Qwen-Image執行的許多圖像生成與圖像編輯基準測試中，它都輕易地超越了GPT Image 1、Seedream 3.0或Bagel等競爭對手，也在中/英文字渲染的基準測試表現亮眼。</p> <p>Qwen團隊特別展示了如何以文字提示要求Qwen-Image生成含有大量文字的圖像，以展示該模型的確能夠根據提示生成正確的文字，不管是中文還是英文。</p> <p><a href="https://medium.com/data-science-in-your-pocket/qwen-image-best-open-sourced-ai-image-generation-is-here-d09b6e7f6c71" target="_blank">科技專欄作家Mehul Gupta認為</a>，Qwen-Image是少數能夠準確對齊看板文字、正確渲染文字，同時兼顧風格與結構的開源圖像生成模型，而且具備商用品質，可比美封閉API。</p> <p>使用者可直接透過<a href="https://chat.qwen.ai/" target="_blank">Qwen Chat</a>平臺試用Qwen-Image，或是藉由<a href="https://huggingface.co/Qwen/Qwen-Image" target="_blank">Hugging Face</a>與<a href="https://github.com/QwenLM/Qwen-Image" target="_blank">GitHub</a>下載。Qwen團隊亦提供了完整的<a href="https://arxiv.org/abs/2508.02324" target="_blank">Qwen-Image技術報告</a>。</p> </div></div></div>
2025/8/6 11:55作者陳曉莉https://www.ithome.com.tw/news/170437
Pandora資料外洩可能為Salesforce相關事件最新受害品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥精品業者Pandora近日傳出資安事件，被駭客竊取客戶姓名及電子郵件等個資，成為最新資料外洩的精品業者。</p> <p><a href="https://www.forbes.com/sites/daveywinder/2025/08/05/pandora-confirms-cyberattackwhat-you-need-to-know/" target="_blank">財星雜誌首先報導</a>，Pandora以郵件通知顧客外洩事件，Pandora也證實此事。事件起因是這家精品業者使用的第三方系統遭非授權存取，致使客戶資料遭存取。Pandora說，除了顧客姓名、電子郵件，密碼、ID、信用卡等財務資訊都不受影響。</p> <p>法國精品業者<a href="https://wwd.com/business-news/retail/chanel-data-break-u-s-client-database-1238026491/" target="_blank">Chanel也在本周向媒體證實</a>7月25日有類似的資安事件。Chanel代管在第三方業者平臺上的客戶資料，包括姓名、電話及住家地址遭攻擊者存取。<a href="https://www.ithome.com.tw/news/170431" target="_blank">該公司表示</a>本次事件只影響美國客戶。</p> <p>雖然兩家公司都未透露第三方系統為何，但<a href="https://www.bleepingcomputer.com/news/security/pandora-confirms-data-breach-amid-ongoing-salesforce-data-theft-attacks/" target="_blank">Bleeping Computer取得消息報導</a>，兩家公司都是使用Salesforce。</p> <p>更早之前，LV、Cartier、愛迪達、安聯人壽等大型企業也相繼傳出資料外洩。</p> <p><span style="color:#B22222;"><strong>結合社交工程的攻擊得逞</strong></span></p> <p>雖然媒體及資安業者將這波攻擊事件元兇指向ShinyHunters組織，<a href="https://cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion" target="_blank">但Google分析攻擊者來自代號UNC6040的另一個組織</a>，可能只是借用ShinyHunter之名，或是兩個組織有合作關係。</p> <p>就犯案手法而言，Google認為攻擊者是利用語音釣魚（vishing），冒充IT人員誘騙不知情的員工下載Salesforce一個假的Salesforce Data Loader連接程式，並引導員工同意核准OAuth授權，使該假App可長期不經驗證直接存取Salesforce，種下禍根。駭客之後即可調用Salesforce API，竊取其儲存的客戶資料。</p> <p>因此這幾次事件並非Salesforce系統有漏洞遭濫用。Salesforce對媒體表示，Salesforce系統並未被存取，本事件也非其平臺漏洞所致。雖然其平臺內建企業級安全，但客戶才是確保資料安全的關鍵，尤其是面對釣魚及社交工程攻擊。</p> </div></div></div>
2025/8/6 12:06作者林妍溱https://www.ithome.com.tw/news/170438
6年後 OpenAI再釋出開放權重的語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在公眾期待下，在GPT-2推出6年後，OpenAI昨（5）日<a href="https://openai.com/global-affairs/open-weights-and-ai-for-all/" target="_blank">宣布釋出2款開放權重的模型</a><a href="http://openai.com/global-affairs/open-weights-and-ai-for-all/" target="_blank">gpt-oss</a><a href="https://openai.com/global-affairs/open-weights-and-ai-for-all/" target="_blank">系列</a>，目前僅支援文字，但具備高效能及推理能力。</p> <p>最新釋出的模型包含<a href="https://huggingface.co/openai/gpt-oss-120b" target="_blank">gpt-oss-120b</a>及<a href="https://huggingface.co/openai/gpt-oss-20b" target="_blank">gpt-oss-20b</a>。gpt-oss-120b號稱是該公司最強大的開放權重模型，適合單一H100 GPU平臺。gpt-oss-20b則為中等規模的開放模型，適合低延遲性應用。二者都是以寬鬆Apache 2.0授權開放，允許使用者自由開放，適合實驗、客製或商用部署。</p> <p><a href="https://platform.openai.com/docs/models" target="_blank">功能面</a>而言，目前gpt-oss-120b和gpt-oss-20b都僅支援文字輸出輸入（尚不支援影音）和基礎的回應，但是效能強大：提供131,072 context window，最大輸出131,072 token，也雙雙使用完整思維鏈可提升除錯和輸出品質，並且都具備代理人能力，支援函式呼叫、上網、Python程式碼執行及結構化輸出。此外，兩模型都允許依據應用場景和延遲性需求，調整推理能力強度、或微調參數。</p> <p>OpenAI也提供二個模型和旗艦模型OpenAI o3和o4-mini的比較。作為免費模型，gpt-oss-120b在推理與知識、數學緊追封閉模型，甚至在標竿測試AIME 2024中還超越o3及o4-mini。</p> <p>這是繼2019年的GPT-2、2021的CLIP和2022年的Whisper開放計畫之後，再度釋出開放權重的重要模型。今年初中國DeepSeek引發關注，掀起美國業界討論必須以開放模式加速AI普及，使OpenAI備受開放模型的壓力。今年3月執行長Sam Altman<a href="https://x.com/sama/status/1906793591944646898" target="_blank">承諾</a>會釋出開放權重模型。</p> <p>透過最新公布，OpenAI說開放模型允許政府或講求資料安全的組織自建模型及AI應用，該公司也計畫把二個模型整合到今年5月宣布的<a href="https://openai.com/zh-Hant/global-affairs/openai-for-countries/" target="_blank">OpenAI for Countries</a>（國家合作計畫），協助各國政府（第一個是美國）打造AI資料中心並確保資料主權。</p> </div></div></div>
2025/8/6 10:50作者林妍溱https://www.ithome.com.tw/news/170433
Ollama推出Turbo雲端服務，加速開源模型推論並支援大型模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ollama<a href="https://ollama.com/turbo">推出Turbo雲端服務</a>，將資料中心等級的運算資源整合進現有產品線，協助用戶提升開源大型語言模型的推論效率，並解決本地端硬體資源不足造成的效能瓶頸。該服務初期支援gpt-oss-20b及gpt-oss-120b等開源模型，採訂閱制收費模式，讓使用者以相對平價的方式，獲得穩定且高速的雲端推論能力。</p> <p>Ollama定位是提供本地部署開源語言模型的平臺，讓開發者能在Mac、Windows及Linux等環境，快速安裝並執行多種開源人工智慧模型。Ollama強調用戶資料隱私與模型運算自主控制，因此在企業內部或法規要求較高的應用場景具有一定市場需求。不過，隨著語言模型規模成長，參數數量動輒數十億上百億，超越多數消費級GPU的記憶體與算力負荷，這使得模型執行與推論速度大幅下降，甚至無法在標準個人電腦上正常運作。</p> <p>Ollama推出Turbo雲端服務回應上述挑戰，讓用戶可直接透過Ollama App、CLI或API切換至Turbo模式，由遠端資料中心負責模型推論運算。這一設計降低了本地端設備的運算壓力，提升大型模型的推論速度，並減少軟硬體升級所需的成本與時間。</p> <p>Turbo服務所有伺服器皆設置於美國，官方明確表示不會儲存或記錄用戶查詢內容，維持原有的隱私承諾。服務現階段以固定月費方式提供，並設有小時與每日使用配額，以確保系統穩定運作。後續預計引入用量計費模式，以因應不同類型用戶的彈性需求。</p> <p>Turbo雲端服務讓開發團隊不必再受限個人設備的GPU規格，即可評估、部署與測試大型開源語言模型，這對於中小型企業、教育機構或個人開發者降低進入人工智慧領域的門檻，並加速模型在實際專案中的落地。隨著支援的模型類型增加，將可涵蓋更多語言模型及生成式人工智慧應用場景。</p> </div></div></div>
2025/8/6 11:14作者李建興https://www.ithome.com.tw/news/170432
Anthropic釋出Claude Opus 4.1，強化代理任務、程式碼與推理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/claude-opus-4-1" target="_blank">Anthropic周二（8/5）釋出Claude Opus 4.1</a>，稱其為Claude Opus 4在代理任務、真實世界程式碼撰寫與推理能力上的升級版，並預告將在未來數周發表更大幅度的模型升級。</p> <p>Opus系列是Claude模型家族中最強的等級。根據Anthropic公布的基準測試結果，Claude Opus 4.1在多數項目中表現超越Opus 4，並於代理程式碼任務（SWE-bench Verified、Terminal-Bench）、代理工具使用（TAU-bench）、以及多語言問答任務（MMMU）等測試中，領先OpenAI的o3與Gemini 2.5 Pro。</p> <p>Claude Opus 4.1被視為當前最強的程式碼模型之一，可更準確地辨識並修復錯誤、有效處理多檔案重構，並減少冗贅與錯誤的產生。</p> <p>目前Claude Opus 4.1已可透過Claude Code、API、Amazon Bedrock與Google Cloud Vertex AI等平臺存取，並已在GitHub Copilot中開放預覽，預計兩周後將正式取代Opus 4。定價維持不變，每百萬個Token輸入15美元、輸出75美元。</p> </div></div></div>
2025/8/6 11:18作者陳曉莉https://www.ithome.com.tw/news/170435
Google更新V8引擎，物件序列化速度翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下的V8引擎開發團隊在最新釋出的13.8版本中，針對JavaScript語言內建的JSON序列化功能進行多項底層<a href="https://v8.dev/blog/json-stringify">最佳化</a>，使物件序列化效能超過原本的兩倍速。此項更新將隨著Chrome 138版推送至全球使用者，同時惠及所有以V8為基礎的應用環境，包括Node.js與Deno平臺。</p> <p>此次V8引擎的改進重點，在於對JSON.stringify函式建立了一條快速且無副作用的執行路徑，讓序列化過程不再需要進行複雜的副作用檢查或垃圾回收觸發判斷，進一步降低系統開銷。過去當開發者使用JSON.stringify轉換物件成JSON格式時，V8引擎必須透過遞迴方式處理資料，且每一層的巢狀結構都可能產生昂貴的執行成本或觸發堆疊溢位問題。而透過新的迭代式設計，開發者能處理更深的巢狀資料結構，且執行成本明顯降低。</p> <p>此外，V8開發團隊也針對字串序列化效率進行改善，透過提供專門的ASCII與非ASCII字元處理路徑，避免了頻繁的執行期間判斷。新版本中更引入了SIMD指令與SWAR（SIMD Within A Register）技術，能夠一次處理多個字元，快速偵測是否含有必須進行特殊跳脫的字元，進一步提高序列化的效率。</p> <p>不只如此，開發團隊也針對JavaScript物件的隱藏類別（Hidden Class）最佳化，V8引擎新增了fast-json-iterable的標記，只要物件經過一次完整序列化，確認不含Symbol鍵名、非列舉屬性，且鍵名不需跳脫特殊字元，即可被標記為快速可迭代。這表示在後續相同類型的物件序列化中，引擎可直接略過上述檢查步驟，大幅提升效能。此項技術不僅限於JSON.stringify，連JSON.parse函式也能受益於相同概念，縮短物件轉換的時間。</p> <p>數值轉字串的效能也同樣獲得提升，V8過去使用的Grisu3演算法，在處理特定數字時可能需要較多時間，團隊在新版選用新興的Dragonbox演算法取代，使數值到字串的轉換過程更快、更有效率。</p> <p>開發團隊也重新設計了序列化過程中使用的暫存緩衝區，原本的緩衝區設計為單一連續記憶體區塊，當資料量較大時必須多次重新配置更大空間並複製原資料，造成大量的記憶體使用量與CPU負載。新的設計採用多段式緩衝區，以V8內部的Zone記憶體區塊為基礎，當單一緩衝區填滿時直接增加新的一段，不再需要頻繁的記憶體複製，大幅降低資源消耗。</p> <p>V8官方透過JetStream2基準測試指出，新版引擎在json-stringify-inspector項目的測試，各平臺普遍呈現兩倍以上的效能改善。此次升級適用於多數典型使用情境，大部分開發者不需修改程式，即可獲得新版V8引擎性能提升的好處。</p> </div></div></div>
2025/8/6 09:31作者李建興https://www.ithome.com.tw/news/170425
時尚精品業者香奈兒發生資料外洩事故，傳出是該公司的Salesforce帳密遭駭所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時尚<a href="https://www.ithome.com.tw/news/170260">精品業者迪奧（Christian Dior Couture）</a>、<a href="https://www.ithome.com.tw/news/170106">路易威登（Louis Vuitton，LV）</a>先後在5月、7月傳出資料外洩的情況，兩起事故都出現<a href="https://www.ftnn.com.tw/news/446751">包含臺灣</a>在內的多個國家分公司客戶受到影響，其中LV傳出歹徒是存取第三方廠商的資料庫而得逞，如今時尚精品業者香奈兒（Chanel）也傳出資料外洩的事故。</p> <p>這起事故的公開，最早是<a href="https://wwd.com/business-news/retail/chanel-data-break-u-s-client-database-1238026491/">時尚新聞網站Women's Wear Daily（WWD）報導此事</a>，香奈兒於7月25日偵測到駭客入侵第三方服務供應商代管的資料庫，影響美國客戶，曝露他們的個人聯絡資訊。</p> <p>香奈兒發言人向WWD透露，根據初步調查結果，未經授權的外部人士取得相當有限的個資，這些受影響的客戶曾聯繫他們美國的客戶服務中心，曝險的資料包含姓名、電子郵件信箱、寄件地址，以及電話號碼。</p> <p>究竟攻擊者的身分為何？香奈兒並未說明，但<a href="https://www.bleepingcomputer.com/news/security/fashion-giant-chanel-hit-in-wave-of-salesforce-data-theft-attacks/">資安新聞網站Bleeping Computer取得相關資訊表示</a>，外流的資料來自香奈兒的Salesforce平臺，攻擊者的身分是勒索軟體駭客組織ShinyHunters。Bleeping Computer提及這些駭客入侵的手法，就如同Google上個月揭露UNC6040行動，是透過語音網釣（Vishing）而得逞，他們藉此竊取帳密資料，或是欺騙員工對惡意OAuth應用程式授予權限，從而入侵受害組織的Salesforce入口網站。</p> </div></div></div>
2025/8/6 09:36作者周峻佑https://www.ithome.com.tw/news/170431
WordPress布景主題Alone存在重大漏洞，已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資訊安全公司Wordfence<a href="https://www.wordfence.com/blog/2025/07/attackers-actively-exploiting-critical-vulnerability-in-alone-theme/">揭露</a>，一款名為Alone的WordPress布景主題存在重大安全漏洞CVE-2025-5394，並發現已有攻擊者利用該漏洞攻擊未修補的網站。該漏洞屬於9.8分的高危險性，能使未經授權的遠端攻擊者上傳惡意檔案，甚至執行遠端程式碼，最終導致網站被完全控制。Alone主題整體銷售量不大約9,000份，但目前Wordfence防火牆已偵測到超過12萬次的相關攻擊嘗試。</p> <p>Wordfence指出，該漏洞最早由研究人員於5月通報，經驗證後確認屬實，便隨即透過其防火牆規則提供防護。不過，攻擊者似乎早已掌握到原始碼變更，趕在官方公開揭露之前，便展開大規模的入侵嘗試。</p> <p>CVE-2025-5394漏洞出現在Alone布景主題提供的外掛安裝功能中，原本應有的權限檢查以及防止偽造請求的Nonce驗證機制，在特定功能alone_import_pack_install_plugin中皆缺乏實作，加上此功能透過WordPress AJAX API以nopriv模式開放，使得未經登入認證的攻擊者可直接執行，允許從遠端URL下載惡意壓縮檔並安裝，進一步導致遠端程式碼執行。</p> <p>攻擊者透過上傳藏有惡意後門的壓縮外掛檔案，植入具有網站管理員權限的帳號或執行後門程式，或是安裝網頁檔案管理工具，以便維持對網站的控制。Wordfence防火牆偵測的攻擊資料顯示，數個來自歐洲地區的IP位址特別活躍，其中單一IP就曾嘗試入侵超過3萬次，代表這類攻擊已高度自動化且大規模進行。</p> <p>CVE-2025-5394漏洞的修補版本為7.8.5，Alone主題開發者已於6月16日發布該修正版本。即使網站已透過Wordfence防火牆阻擋攻擊，研究人員仍建議所有網站管理人員立即更新主題至最新版本，確保網站運作與安全防護能力。</p> </div></div></div>
2025/8/6 08:00作者李建興https://www.ithome.com.tw/news/170422
【資安日報】8月5日，國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊活動橫行，也成為不少駭客取得受害企業組織初始入侵管道的主要手法，而今天恰巧我們整理到多篇網釣事故相關的資安新聞，其中與臺灣民眾最為相關的，莫過於尚未公布如何發放的普發現金議題，駭客自立法院通過相關條例之後，就將其用於誘餌，想要藉此竊取臺灣民眾的個資。</p> <p>鎖定開發人員的網釣攻擊也相當值得留意，我們才在上週報導<a href="https://www.ithome.com.tw/news/170341">PyPI警告有人針對套件開發者發動攻擊</a>，本週Mozilla基金會也對Firefox附加元件開發者提出警告，且有開發人員留言表示他們已經上當。另一方面，攻擊手法也出現變化，例如：資安業者Cloudflare揭露濫用資安業者惡意網址檢測服務的攻擊行動，雖然這兩個廠牌的服務用戶並不多，臺灣資安界僅需了解問題、保持警戒即可，但這代表網釣攻擊的手法也變得越來越複雜。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170420"><strong style="font-size: 22px;">兩家資安業者惡意網址檢測服務遭濫用，駭客用來隱藏有效酬載</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intermedia-image4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intermedia-image4.png" style="width: 300px; float: right;" /></a></p> <p>為了減少駭客透過電子郵件挾帶連結，導致使用者上當不慎點選，被帶往釣魚網站的情況，有些企業會導入資安業者提供的連結防護服務（Link Wrapping）來因應，例如：Proofpoint提供的URL Defense、Intermedia推出的LinkSafe，這些服務會重新包裝郵件連結的網址，在用戶點選連結的過程當中，進行掃描及封鎖威脅，但有駭客看上使用者對於這類保護機制的信任，濫用這些機制來降低用戶警覺。</p> <p>資安業者Cloudflare的旗下郵件安全團隊於今年6月至7月，發現有人積極利用Proofpoint與Intermedia的郵件網址連結防護服務，來掩蓋將使用者帶往網路釣魚有效酬載的意圖，若是使用者點選，就會被帶往各種Microsoft 365網釣頁面。</p> <p>Cloudflare舉出濫用Proofpoint服務的攻擊行動為例，駭客疑似入侵受到保護的用戶電子郵件帳號，透過URL Defense「洗白」惡意網址，然後產生看似合法的連結用於網路釣魚。對於駭客寄信的管道，除了透過上述的用戶帳號，也有透過其他駭客控制的電子郵件信箱來進行的情況。</p> <p><a href="https://www.ithome.com.tw/news/170418"><strong style="font-size: 22px;">駭客鎖定Firefox附加元件開發者發動網釣攻擊</strong></a></p> <p>Mozilla基金會上周警告，它們發現一起鎖定Mozilla附加元件（addons.mozilla.org，AMO）帳號的網路約魚攻擊行動，駭客假借Mozilla名義傳遞郵件，要求開發者更新AMO帳號，但或許只是要騙取開發者的登入憑證。</p> <p>該基金會提醒開發者在收到宣稱來自Mozilla的郵件要特別小心，不要點擊電子郵件中的任何連結；驗證該郵件是來自Mozilla所擁有的網域，例如firefox.com、mozilla.org或mozilla.com；確保所收到的電子郵件通過寄件者政策框架（SPF）、網域金鑰識別郵件（DKIM），以及基於網域的郵件檢查（DMARC）等驗證。</p> <p>Mozilla並未說明有多少開發者受到波及，但有開發人員於該篇文章的下方留言，表示自己已經上當，並主動刪除了擴充程式。</p> <p><a href="https://www.ithome.com.tw/news/170421"><strong style="font-size: 22px;">中國駭客挾持全球逾1.1萬臺安卓裝置，惡意軟體租用模式威脅持續擴大</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6888aebd224dde4a8e1eb55d_AD_4nXfSEL9YsUFGqPn6RvJz5jT5hsc3EKGlPN-Tx2aFhI-1rDb4Yrej0SjNqN9QUJqMCMlRqgGE22Or5DNbbWDQ7-NY0I0CmEplZJMUMCfCNcZVhwQl7phaGaZLHgCPgG1IbnYtSwg_MDajBCS-VyIup4c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6888aebd224dde4a8e1eb55d_AD_4nXfSEL9YsUFGqPn6RvJz5jT5hsc3EKGlPN-Tx2aFhI-1rDb4Yrej0SjNqN9QUJqMCMlRqgGE22Or5DNbbWDQ7-NY0I0CmEplZJMUMCfCNcZVhwQl7phaGaZLHgCPgG1IbnYtSwg_MDajBCS-VyIup4c.png" style="width: 300px; float: right;" /></a></p> <p>義大利資安業者Cleafy日前揭露，一個講中文的駭客組織開發名為PlayPraetor的遠端存取木馬，在不到三個月內感染全球超過1.1萬臺Android裝置。該組織採用「惡意軟體即服務」（Malware-as-a-Service，MaaS）模式，除了竊取受害者的銀行與加密貨幣帳戶資訊外，還開放控制權限給多個加盟駭客，形成可擴展的詐騙平臺。</p> <p>此次攻擊主要集中在歐洲（占58%感染）、非洲（22%）、美洲（12%）和亞洲（8%），其中葡萄牙、西班牙、法國為重災區，摩洛哥、秘魯、香港也有大量受害者。值得注意的是，駭客正從傳統的葡萄牙語目標轉向西班牙語和法語使用者，顯示攻擊策略的重大轉變。</p> <p>根據調查，駭客先是假冒Google Play商店，並提供含有惡意程式的偽造程式供使用者下載，例如Chrome或銀行程式；當不察的使用者下載並安裝程式之後，PlayPraetor便會開始執行，同時要求啟用Android的無障礙服務（Accessibility Services）以獲取完整控制權；再與駭客所設置C2伺服器建立連線。</p> <p><a href="https://www.ithome.com.tw/news/170424"><strong style="font-size: 22px;">歹徒以普發現金為由、冒名中央存保發動網釣攻擊，意圖騙取信用卡資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" style="width: 300px; float: right;" /></a></p> <p>7月11日立法院通過「因應國際情勢強化經濟社會及民生國安韌性特別條例」，編列總預算為5,450億元，其中明定全民普發現金新臺幣1萬元，經行政院宣布不提覆議、總統發布總統令後，公告此案正式生效，根據此特別條例，政府必須在今年10月底前向全民完成現金發放。然而在全民關注政府何時發放、如何領到這筆錢的同時，歹徒也伺機利用時事來從事詐騙。</p> <p>8月2日中央存款保險公司提出警告，有人假借他們的名義，佯稱民眾必須提供信用卡資料，才能領取政府普發的1萬元現金。他們也提供詐騙網頁的截圖，從圖中可以看到歹徒使用正體中文，並未夾雜簡體中文，但文句敘述不太完整，且出現臺灣不常使用的「銀行卡」一詞。</p> <p>值得留意的是，這並非他們首度針對歹徒以普發現金為誘餌行騙提出警告，該公司曾在7月10日、7月15日兩度發布新聞稿，他們接獲民眾通報，歹徒以寄送簡訊通知民眾，假借申請普發現金為由，引導到冒牌的中央存保網站填寫個資。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-join-attacks-targeting-microsoft-sharepoint-servers/">勒索軟體加入利用SharePoint零時差漏洞的行列</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fashion-giant-chanel-hit-in-wave-of-salesforce-data-theft-attacks/">時尚精品業者香奈兒發生資料外洩事故，傳出是Salesforce遭駭所致</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ctm360-spots-malicious-clicktok-campaign-targeting-tiktok-shop-users/">攻擊行動ClickTok鎖定抖音購物者而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/browser-extensions-exploit-chatgpt-gemini-man-in-the-prompt/">瀏覽器延伸套件可被用於提示人攻擊，對AI聊天機器人下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/vietnamese-hackers-use-pxa-stealer-hit.html">越南駭客透過竊資軟體PXA，攻擊4,000個IP位址、竊得20萬組帳密</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170415"><strong style="font-size: 22px;">Google Project Zero測試新漏洞揭露政策，將提早公布部分細節</strong></a></p> <p>Google專門揭露漏洞的Project Zero小組宣布測試一項新作法，將在通知原廠大約1星期後公告漏洞的部分細節，藉此加速用戶端的漏洞修補速度。</p> <p>Project Zero在2021年將漏洞揭露政策調整為現行的「90+30」，即給廠商90天修補釋出更新，以及30天用戶端安裝。然而Google發現這種做法存在重大問題，上游廠商如期釋出修補程式之後，有待負責將修補程式提供給使用者的下游廠商，將其整合到產品，這段時間產生的空窗期他們稱之為「上游修補空窗期（Upstream Patch Gap）」。</p> <p>為了縮短空窗期，Project Zero發布新的「通報透明度（Reporting Transparency）」政策並進行測試，未來在通報原廠漏洞約1星期後，Project Zero就會公布部分漏洞資料，包括接獲漏洞報告的廠商或開源專案、影響的產品、報告成立的日期，以及90天揭露期的大限日期。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170345"><strong>【7月31日】駭客挾持ATM出奇招，於隔離網路部署實體後門</strong></a></p> </div></div></div>
2025/8/5 17:58作者周峻佑https://www.ithome.com.tw/news/170429
雲端開發框架.NET Aspire 9.4釋出，新增互動儀表板與外部AI模型整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式發布雲端原生開發框架<a href="https://devblogs.microsoft.com/dotnet/announcing-aspire-9-4/">.NET Aspire 9.4</a>，該版本在原有分散式應用開發支援的基礎上，導入了儀表板互動功能與人工智慧模型託管整合，並將CLI命令列工具升級為正式版本。這一系列更新使Aspire框架趨於成熟，更符合現代人工智慧開發的需求。</p> <p>.NET Aspire 9.4一大重點是Aspire CLI正式推出。Aspire CLI在多個版本的預覽測試後，終於在9.4版首次以原生AOT（Ahead-Of-Time）編譯模式釋出，具跨平臺、高效啟動的特性。CLI目前支援四項核心指令，包括建立新專案、加入Aspire資源、設定本地或全域組態，以及直接執行完整應用堆疊。</p> <p>開發人員可利用CLI快速啟動範本專案、整合各式資源，並在不同目錄下執行應用及管理設定。此外，CLI也支援執行（exec）與部署（deploy）兩項指令，這兩項功能目前屬於Beta階段，開發者可根據需求在本機或雲端環境進行測試和驗證。</p> <p>在儀表板更新方面，Aspire 9.4引入互動服務（Interaction Service），讓開發者可在儀表板執行期間，設計更細緻的參數輸入與互動流程。這項設計消除過去儀表板僅用於監控服務狀態的限制，進一步成為可即時收集開發或測試所需資訊的平臺。</p> <p>當應用啟動或部署時，儀表板會根據AppHost定義，自動彈出對話框提示使用者輸入尚未設定的參數，包括文字、密碼、數值、選項與布林等多種值。這減少了開發人員維護多分本地設定檔的負擔，同時可利用Markdown說明各個欄位。</p> <p>另一個重要的更新是人工智慧模型託管支援的擴充。Aspire 9.4新增了GitHub Models與Azure AI Foundry兩項預覽整合，開發者可在AppHost註冊人工智慧模型，並選擇本地執行或部署到Azure雲端，能與Azure AI Inference用戶端協同運作，完整串連分散式應用與人工智慧推論流程。這些整合同時支援OpenTelemetry追蹤，提升人工智慧服務的可觀測性。</p> <p>在外部API連結方面，Aspire 9.4強化了AddExternalService功能，開發者可將任意第三方API資源建模並納入應用程式主機，以健康檢查、依賴關係管理等方式進行統一控管。YARP整合也有更新，開發人員現在可以透過型別安全且語法直覺的API來設定各種轉換規則，使反向代理的設定流程更加簡單且一致，不只易於維護，也方便串接各類微服務或外部資源。</p> </div></div></div>
2025/8/5 17:35作者李建興https://www.ithome.com.tw/news/170419
歹徒以普發現金為由、冒名中央存保發動網釣攻擊，意圖騙取信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月11日立法院通過「因應國際情勢強化經濟社會及民生國安韌性特別條例」，編列總預算為5,450億元，其中明定全民普發現金新臺幣1萬元，經行政院宣布不提覆議、總統發布總統令後，公告此案正式生效，根據此特別條例，政府必須在今年10月底前向全民完成現金發放。然而在全民關注政府何時發放、如何領到這筆錢的同時，歹徒也伺機利用時事來從事詐騙。</p> <p>8月2日<a href="https://www.cdic.gov.tw/main_ch/docDetail.aspx?uid=19&pid=6&docid=2843">中央存款保險公司提出警告</a>，有人假借他們的名義，佯稱民眾必須提供信用卡資料，才能領取政府普發的1萬元現金。他們也提供詐騙網頁的截圖，從圖中可以看到歹徒使用正體中文，並未夾雜簡體中文，但文句敘述不太完整，且出現臺灣不常使用的「銀行卡」一詞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" style="width: 348px;" /></a></p> <p>中央存保強調，他們不會透過網頁、簡訊、電話要求民眾提供個資，呼籲民眾必須提高警覺，勿提供相關資料，收到相關訊息也不要轉傳。值得留意的是，這並非他們首度針對歹徒以普發現金為誘餌行騙提出警告，該公司曾在<a href="https://www.cdic.gov.tw/main_ch/docdetail.aspx?uid=234&pid=6&docid=2835">7月10日</a>、<a href="https://www.cdic.gov.tw/main_ch/docDetail.aspx?uid=19&pid=6&docid=2836">7月15日</a>兩度發布新聞稿，他們接獲民眾通報，歹徒以寄送簡訊通知民眾，假借申請普發現金為由，引導到冒牌的中央存保網站填寫個資。</p> <p><a href="https://s4.itho.me/sites/default/files/images/8957a89a-2063-4c4d-80b9-7fa08b92c512.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/8957a89a-2063-4c4d-80b9-7fa08b92c512.jpg" style="width: 580px;" /></a></p> </div></div></div>
2025/8/5 15:58作者周峻佑https://www.ithome.com.tw/news/170424
勒索軟體Anubis攻擊Windows、安卓裝置竊取資料、刪除檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興勒索軟體Anubis近來鎖定Windows及Android用戶發動攻擊，已在美國、歐洲、澳洲等地攻擊醫療、營建組織，能竊取資料、刪除檔案還會防止回復。</p> <p>Anubis最早出現於2024年11月，為勒索軟體組織。雖然不確定是它來自哪個區域，但證據顯示攻擊者操俄語。雖然活動時間不長，但透過重大基礎架構及鎖定高價值目標（<a href="https://www.ithome.com.tw/news/169699" target="_blank">如法國迪士尼樂園</a>）使其在網路犯罪界及資安界都引起關注。</p> <p><a href="https://www.bitsight.com/blog/anubis-ransomware-group-overview-and-evolution" target="_blank">資安公司BitSight近日發佈</a>State of the Underground 2025報告，揭露Anubis的攻擊手法及受害者樣貌。</p> <p>Anubis提供單純的RaaS (Ransomware as a Service)基礎架構，和同夥80/20分帳，也可為客戶提供資料竊取及勒索服務。在攻擊手法上，Anubis主要透過社交工程發送精準釣魚信件挾帶惡意附件或連結來駭入受害裝置、使用指令及腳本解釋器（command and scripting interpreter）及參數控制執行，還運用有效帳號躲避偵測。一旦開始行動，這隻勒索軟體最大特徵是抹除模式，像是將檔案降到0 KB。它還會避免加密系統目錄如system32、windows及program file等目錄，以防系統當機。</p> <p>目前Anubis受害者涵括Android和Windows裝置。在Android平臺上，它主要以銀行木馬形式出現。它常利用大量文字簡訊散佈以擴大攻擊面、使用冒充登入提示的外覆（overlay）畫面、螢幕和鍵盤側錄來竊取憑證。受害者會被鎖住無法登入，而它一旦找到目標檔案就會外送到攻擊者控制的伺服器。</p> <p>在Windows平臺上，Anubis就發揮RaaS的攻擊能力，包括會利用憑證提升權限、並在加密檔案後刪除檔案、移除磁碟區陰影拷貝（Volume Shadow Copy）避免回復可能性、它還會終止特定系統服務以利其加密及進一步降低回復可能性。</p> <p>Anubis目前受害者著重特定產業，如醫療、營建和專業服務組織。目前確知其受害者分佈於美國、法國、澳洲及祕魯。澳洲一家醫院遭其竊走病患個資、醫療資訊及保險卡資訊。研究人員呼籲用戶針對其攻擊手法留意可疑的偵察或濫用行動。</p> </div></div></div>
2025/8/5 14:28作者林妍溱https://www.ithome.com.tw/news/170417
駭客鎖定Firefox附加元件開發者發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/addons/2025/08/01/warning-phishing-campaign-detected/" target="_blank">Mozilla基金會上周警告</a>，它們發現一起鎖定Mozilla附加元件（addons.mozilla.org，AMO）帳號的網路約魚攻擊行動，駭客假借Mozilla名義傳遞郵件，要求開發者更新AMO帳號，但或許只是要騙取開發者的登入憑證。</p> <p>該基金會提醒開發者在收到宣稱來自Mozilla的郵件要特別小心，不要點擊電子郵件中的任何連結；驗證該郵件是來自Mozilla所擁有的網域，例如firefox.com、mozilla.org或mozilla.com；確保所收到的電子郵件通過寄件者政策框架（Sender Policy Framework，SPF）、網域金鑰識別郵件（DomainKeys Identified Mail，DKIM）及基於網域的郵件檢查（Domain-based Message Authentication, Reporting & Conformance，DMARC）等驗證。</p> <p>在開啟連結之前，驗證電子郵件中的連結是否指向mozilla.org或firefox.com；以及只在mozilla.org或firefox.com輸入Mozilla的使用者名稱與密碼。</p> <p>Mozilla並未說明有多少開發者受到波及，但至少有一名開發人員於該篇文章的下方留言，宣稱自己已經上當，並主動刪除了擴充程式。</p> <p>一旦駭客取得開發人員的AMO帳號，即有機會偽造更新並於附加元件中植入惡意程式碼。</p> </div></div></div>
2025/8/5 14:36作者陳曉莉https://www.ithome.com.tw/news/170418
兩家資安業者惡意網址檢測服務遭濫用，駭客用來隱藏有效酬載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了減少駭客透過電子郵件挾帶連結，導致使用者上當不慎點選，被帶往釣魚網站的情況，有些企業會導入資安業者提供的連結防護服務（Link Wrapping）來因應，例如：Proofpoint提供的URL Defense、Intermedia推出的LinkSafe，這些服務會重新包裝郵件連結的網址，在用戶點選連結的過程當中，進行掃描及封鎖威脅，但有駭客看上使用者對於這類保護機制的信任，濫用這些機制來降低用戶警覺。</p> <p>資安業者Cloudflare的旗下郵件安全團隊於今年6月至7月，<a href="https://www.cloudflare.com/zh-tw/threat-intelligence/research/report/attackers-abusing-proofpoint-intermedia-link-wrapping-to-deliver-phishing-payloads/">發現有人積極利用Proofpoint與Intermedia的郵件網址連結防護服務</a>，來掩蓋將使用者帶往網路釣魚有效酬載的意圖，若是使用者點選，就會被帶往各種Microsoft 365網釣頁面。</p> <p>Cloudflare舉出濫用Proofpoint服務的攻擊行動為例，駭客疑似入侵受到保護的用戶電子郵件帳號，透過URL Defense「洗白」惡意網址，然後產生看似合法的連結用於網路釣魚。對於駭客寄信的管道，除了透過上述的用戶帳號，也有透過其他駭客控制的電子郵件信箱來進行的情況。</p> <p>針對駭客濫用URL Defense來發動攻擊的手段，他們透過多層重新導向，並搭配短網址服務（其中一種是Bitly）而得逞。駭客先將惡意網址交由短網址服務處理，然後再透過上述Proofpoint用戶帳號，將短網址交給URL Defense處理，使得Proofpoint產生另一個重新導向的流程，這麼做讓駭客在每個階段都加入一層混淆處理。</p> <p>在其中一起事故當中，駭客假借寄送語音留言的釣魚信，引誘收信人上當，一旦他們按下聽取留言的按鈕，此按鈕的連結採用的短網址，就會先導向Proofpoint連結防護服務產生的網址，然而再將使用者導向M365釣魚網站。在另一起事故裡，駭客聲稱收信人在協作平臺Teams收到加密文件，必須在有效期限裡存取，藉此催促收信人點選連結來觸發攻擊鏈。</p> <p>對於Intermedia的連結防護服務遭到濫用的情況，Cloudflare指出駭客同樣是鎖定受到保護的使用者下手，未經授權存取他們的電子郵件帳號，從而濫用LinkSafe。在其中一起事故裡，駭客鎖定採用LinkSafe服務的企業組織下手，入侵其中一個使用者帳號，以此寄信給相同企業組織的用戶。他們聲稱透過安全訊息平臺Zix通知用戶，檢視一份受到保護的文件，但實際上，收信人若是照做，他們就可能遭遇一連串的重新導向，最終被帶往釣魚網頁。</p> </div></div></div>
2025/8/5 15:11作者周峻佑https://www.ithome.com.tw/news/170420
中國駭客挾持全球逾1.1萬臺Android裝置，MaaS模式威脅持續擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cleafy.com/cleafy-labs/playpraetors-evolving-threat-how-chinese-speaking-actors-globally-scale-an-android-rat" target="_blank">義大利資安業者Cleafy日前揭露</a>，一個講中文的駭客組織開發一個名為PlayPraetor的遠端存取木馬，在不到三個月內感染全球超過1.1萬臺Android裝置。該組織採用「惡意軟體即服務」（Malware-as-a-Service, MaaS）模式，除了親自竊取受害者的銀行與加密貨幣帳戶資訊外，還開放控制權限給多個加盟駭客，形成可擴展的詐騙平臺。</p> <p>此次攻擊主要集中在歐洲（占58%感染）、非洲（22%）、美洲（12%）和亞洲（8%），其中葡萄牙、西班牙、法國為重災區，摩洛哥、秘魯、香港也有大量受害者。值得注意的是，駭客正從傳統的葡萄牙語目標轉向西班牙語和法語使用者，顯示攻擊策略的重大轉變。</p> <p>根據調查，駭客先是假冒Google Play商店，並提供含有惡意程式的偽造程式供使用者下載，例如Chrome或銀行程式；當不察的使用者下載並安裝程式之後，PlayPraetor便會開始執行，同時要求啟用Android的無障礙服務（Accessibility Services）以獲取完整控制權；再與駭客所設置的命令暨控制伺服器（C2）建立連線。根據統計，在被感染的1.1萬臺裝置中，約有7,931臺（72%）已完全啟用惡意軟體功能，意味著近8,000臺裝置處於駭客完全控制之下。</p> <p>PlayPraetor具備高度資料蒐集及詐騙能力，可竊取聯絡人、簡訊、螢幕截圖與輸入密碼，並將資訊回傳至C2伺服器。它鎖定近200種銀行應用程式和加密貨幣錢包，當受害者開啟這些目標程式時，會自動顯示偽造的登入介面進行「覆蓋攻擊」，藉此攔截並竊取使用者的帳號密碼等憑證資訊。</p> <p>駭客還能自遠端即時操作被駭裝置，包括開啟程式、輸入OTP、傳送簡訊，以及模擬使用者操作等，執行裝置內詐騙（On-Device Fraud）。</p> <p>此一活動採用加盟制度，讓不同語系的駭客能夠藉由多租戶控制面板來操縱各自的群組，且每周增加2,000臺被駭裝置。該組織的MaaS平臺採用中文操作介面，主要由兩個大型加盟商控制約60%的殭屍網路，其他較小加盟商則專精於不同語言市場。控制面板亦內建了自動化工具，讓加盟商能快速建置仿冒的下載頁面。</p> <p>由於PlayPraetor的功能日新月益，顯示背後有專業開發團隊負責維護。資安專家建議，使用者最好僅從官方Google Play商店下載應用程式，在授予程式無障礙服務權限時應特別小心，同時留意銀行應用程式登入介面的異常變化。</p> </div></div></div>
2025/8/5 15:18作者陳曉莉https://www.ithome.com.tw/news/170421
ChatGPT用戶逼近7億，AI投資熱潮引發泡沫化討論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/nickaturley/status/1952385556664520875" target="_blank">ChatGPT負責人Nick Turley周一（8/4）表示</a>，ChatGPT每周的活躍用戶數可望於本周突破7億名，高於今年3月底的5億，且是去年的4倍。同一天<a href="https://openai.com/index/how-we're-optimizing-chatgpt/" target="_blank">OpenAI也公布了</a>ChatGPT對使用者體驗的改善，包括在使用者遇到困難時的支持，鼓勵使用者掌控自己的時間，以及協助使用者解決個人難題等。</p> <p>還記得OpenAI在4月底時回滾了針對GPT-4o的更新嗎？<a href="https://openai.com/index/sycophancy-in-gpt-4o/" target="_blank">這起事件</a>源自於GPT‑4o於4月25日釋出的更新，使模型變得過於迎合使用者，不管使用者提出多麼荒謬或不當的點子，它都會給予誇讚與支持，而招致「阿諛奉承」或「諂媚」的批評。由於這種行為可能誤導使用者、削弱模型的可信度，OpenAI在幾天內就緊急撤回了該更新。</p> <p>OpenAI本周強調，ChatGPT的設計初衷是為了協助使用者進步、學習新事物及解決問題，例如協助使用者準備與老板之間的困難對話，或是幫忙說明實驗結果，以及幫助被困住的使用者釐清思緒。同時OpenAI也承認，他們也會做錯事，例如那次的GPT-4o更新，但這也讓該公司領悟到ChatGPT的實際用途或許不只是當下迎合使用者，更該考慮到對使用者的長期幫助。</p> <p>於是，OpenAI正在開發工具以檢測各種精神與情緒困擾跡象，以讓ChatGPT能夠作出適當的反應；且即日起會在使用者於ChatGPT中停留太久時，溫和跳出提醒；也會在使用者提出攸關個人的難題時，理性地提出問題與分析，而非直接替使用者作出重大人生抉擇。</p> <p>市場分析指出，上述都是OpenAI回應外界對於AI過於干預人生，或是誘導脆弱用戶的批評所作出的改變。</p> <p>隨著ChatGPT因應市場反應作出改變，投資者似乎也更看好OpenAI的前景。OpenAI於3月底<a href="https://www.ithome.com.tw/news/168182" target="_blank">宣布</a>將融資400億美元，市值上看3,000億美元，其中，軟銀集團（SoftBank Group Corp，SBG）承諾要投資200~300億美元。紐約時報（The New York Times）<a href="https://www.nytimes.com/2025/08/01/business/dealbook/openai-ai-mega-funding-deal.html" target="_blank">上周報導</a>，軟銀以外的投資者已於3月投入25億美元，OpenAI原本預計年底前要再募集75億美元的資金，但已在7月底募集到83億美元，提前「超標」。</p> <p>當時紐時亦引用消息來源報導，OpenAI的年度經常性收入已增加到130億美元，預計到了今年底可突破200億美元，且付費使用ChatGPT的企業用戶數已達500萬。</p> <p>另一方面，最近市場上開始出現AI是否會泡沫化的討論，經濟學者暨投資人<a href="https://paulkedrosky.com/honey-ai-capex-ate-the-economy/" target="_blank">Paul Kedrosky上個月率先發難</a>，宣稱AI資本支出正在吞噬經濟，推測2025年的AI資本支出將占美國GDP的2%，已超越2000年代的電信泡沫高峰，並接近19世紀的鐵路投資高峰。接著<a href="https://www.wsj.com/tech/ai/silicon-valley-ai-infrastructure-capex-cffe0431" target="_blank">華爾街日報（WSJ）報導</a>，美國七大科技巨頭最近一季的資本支出總額達到1,025億美元，過去兩季的AI資本支出對美國GDP成長的貢獻已超越消費支出。</p> <p><a href="https://www.noahpinion.blog/p/will-data-centers-crash-the-economy" target="_blank">美國經濟學家Noah Smith則說</a>，這波AI資料中心建設有大量資金來自具高度槓桿操作的私募基金，若未來營收不如預期，不僅將使投資無法回收，更可能因信貸連鎖違約，引發系統性金融危機。</p> <p>不過，2000年網路／電信泡沫時，網站與電信業者仍未找到清晰的獲利模式；當時智慧型手機尚未普及，網路速度不快，廣告市場規模也有限。相比之下，問世不到3年的ChatGPT，估計已累積超過1,000萬名付費用戶，成長速度驚人。</p> </div></div></div>
2025/8/5 14:15作者陳曉莉https://www.ithome.com.tw/news/170416
第三方支付公會正式成立，綠界、Line Pay、momo等都加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國內第三方支付的蓬勃發展，第三方支付正式成立公協會，包括綠界、藍新、紅陽、Line Pay、momo等業者加入公會。</p> <p>第三方支付公會本周一在數發部數產署長林俊秀，以及內政部、立委等代表見證下，舉行第一次會員大會，完成理監事選舉、組織架構建立，並宣布正式成立公會，第一屆的理事長由綠界科技總經理劉士維擔任。</p> <p>在數發部支持下成立的第三方支付公會，想要加入的業者必需完成能量登錄始具有加入會員資格。在籌備階段即由劉士維擔任主任委員主持，並在公會正式成立後擔任理事長，藍新科技總經理鍾興博擔任副理事長，公會下設法規、業務、風險、創新4個委員會，其中Oen應援科技參與籌備階段，由該公司的總經理蕭新晟出任理事及新創及資安委員會主任委員，推動第三方支付產業資安標準、創新應用政策建議。</p> <p>這次第三方支付公會成立共有40家業者參與，包括藍新、綠界、紅陽、富邦媒體科技（momo）、連加網路（Line Pay）、優食台灣（Uber Eats）、拍付國際（Pi錢包）、九易宇軒（91APP）、統一數發（PAYUNi）等等。</p> <p>第三方支付公會表示，公會成立之初獲得40家業者加入，占所有業者的7成，顯示獲得一定比例的業者支持，未來將扮演政府和產業間的橋樑，凝聚產業共識、反映意見，並且嚮應政府政策，參與法規調適。</p> <p>公會的成立象徵為國內第三方支付產業建立組織、制度化的推動，該公會計畫在今年底之前提出第三方支付業者的自律公約，涵蓋的面向有資訊安全、服務品質、消費者保護等，以業者的共識來建立產業遵循的標準。</p> <p>在公會正式成立之前，第三方支付業者就在籌備階段<a href="https://www.ithome.com.tw/news/169893">先一步嚮應數發部防詐政策</a>，在7月初配合數發部，針對近期詐騙集團偽冒第三方支付業者網站、客服，向民眾進行詐騙的手法，掃描偽冒網站、加強防詐宣傳，展現公會在籌備期間，強化產業溝通、協作共同防詐的效益。</p> </div></div></div>
2025/8/5 10:57作者蘇文彬https://www.ithome.com.tw/news/170413
Google Project Zero測試新漏洞揭露政策，將提早公布部份細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://googleprojectzero.blogspot.com/2025/07/reporting-transparency.html" target="_blank">Google專門揭露漏洞的Project Zero小組宣布測試一項新作法</a>，將在通知原廠大約1星期後公告漏洞的部分細節，即使正常延遲揭露期大限還沒到，藉此加速用戶端的漏洞修補速度。</p> <p>Google Project Zero在2021年更新漏洞揭露政策成為現行的「90+30」，即給廠商90天修補釋出更新，以及30天用戶端安裝更新版，以加速廠商修補漏洞的速度。然而Google發現這存在一項重大問題，稱之為「上游修補空窗」（upstream patch gap），這是出於上游廠商釋出修補程式，但負責將修補程式提供給使用者的下游廠商尚未將其整合到產品產生的空白期。</p> <p>為了縮短這個空窗期，Project Zero發布了新的測試政策，稱為通報透明度（Reporting Transparency）。新政策即日開始。</p> <p>新的通報透明度政策下，Google計畫在通報原廠漏洞約1星期後，Project Zero就會公布部份漏洞資料。這些資訊包括接獲漏洞報告的廠商或開源專案、影響的產品、報告成立的日期，以及90天揭露期的大限日期。</p> <p>Google強調，新政策並不影響現行揭露時程，廠商和開源專案仍然獲得90+30的揭露延遲期。而Google AI抓漏工具<a href="https://www.ithome.com.tw/news/165835" target="_blank">Big Sleep</a>，也將包含在這次測試中。</p> <p>Google相信這能提早告知下游廠商相關風險、縮短上游修補空窗，Google也會針對Project Zero處理的漏洞，對下游廠商提供額外資訊來源，用以追蹤可能影響其用戶的問題。</p> <p>Google Project Zero單方面啟動這項計畫，可能引發廠商的反彈。例如可能幫助駭客更早發現漏洞，對此Google補充，他們不會提供技術細節、概念驗證程式碼或任何他們認為會加速漏洞曝光的資訊。該公司了解有部份廠商並沒有下游生態體系，消息公布會引發爭議，並危及他們獨家修補的計畫。但Google說這些廠商只佔Project Zero處理漏洞的少數，「簡單、公平、一致化、透明」政策的好處將能合理化對少數廠商的不便。但Google表示，會持續監控實施效果。</p> <p><a href="https://x.com/argvee/status/1952390039700431184" target="_blank">Google本周並宣布</a>，AI抓漏專案Big Sleep已經找到20項漏洞。但基於漏洞揭露政策，Google並未說明是哪些漏洞。</p> </div></div></div>
2025/8/5 11:26作者林妍溱https://www.ithome.com.tw/news/170415
Cloudflare指控Perplexity偷耙人家網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供網站安全、DDoS防禦、內容管理與雲端服務的<a href="https://blog.cloudflare.com/perplexity-is-using-stealth-undeclared-crawlers-to-evade-website-no-crawl-directives/" target="_blank">Cloudflare周一（8/4）指控</a>，AI新創Perplexity忽視網站禁止其爬梳的政策，並反覆修改其使用者代理（User Agent）與自治系統編號（Autonomous System Number，ASN）來逃避封鎖。</p> <p>Cloudflare說，該平臺最初是收到客戶的投訴，表示他們在網站的robots.txt文件中明文禁止Perplexity的爬梳行為，也透過網頁應用程式的防火牆（Web Application Firewall，WAF）規則來過濾及封鎖Perplexity所公開的兩個爬蟲：PerplexityBot與Perplexity-User，然而，Perplexity卻依然存取了該平臺的內容。</p> <p>為了驗證客戶的說法，Cloudflare建立了多個全新的網域，這些網域未曾公開，因此也未曾被搜尋引擎索引，尚未被連結或曝光，同時在這些網域用來宣告是否願意被爬梳的robots.txt文件中載明禁止所有爬蟲的存取，同時於WAF規則中封鎖了來自Perplexity的爬蟲。</p> <p>接著研究人員向Perplexity聊天機器人詢問這些網站上的私密內容，Perplexity則回答了正確的資訊，顯示它的確曾違反robots.txt文件，還繞過WAF規則來存取內容。</p> <p>研究人員發現，Perplexity使用了許多未公開列出的IP位址來爬梳網站，以繞過網站對該公司的限制，甚至將自己偽裝成macOS上的Chrome瀏覽器。</p> <p>Cloudflare表示，有鑑於Perplexity既未遵守robots.txt，使用未聲明的使用者代理，使用未公開的IP位址，企圖繞過封鎖，還偽裝成Chrome，違反了爬蟲所應具備的透明原則，使得該平臺直接將Perplexity自「已驗證機器人」名單中除名。Cloudflare所驗證的機器人被視為立意良善的好爬蟲，可被許多網站放行，<a href="https://radar.cloudflare.com/bots" target="_blank">目前名單上</a>包括Google的Googlebot、Microsoft的Bingbot、OpenAI的GPTBot與ChatGPT-User，以及蘋果的Applebot等。</p> <p>至於Perplexity則尚未公開回應此事。</p> </div></div></div>
2025/8/5 10:20作者陳曉莉https://www.ithome.com.tw/news/170412
【資安日報】8月4日，西亞電信業去年遭中國駭客組織長期網攻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定全球各地電信業者的網路間諜活動，自去年爆發Salt Typhoon攻擊美國電信業者的事故之後，後續有Liminal Panda攻擊南亞和非洲，近期資安業者Palo Alto Networks揭露名為CL-STA-0969的駭客組織攻擊行動，是針對西亞的電信業者而來，但這份調查報告具體交代更多細節，例如，提及駭客使用的迴避偵測手法相當嚴密，使得相關攻擊難以察覺。</p> <p>除了鎖定電信業者的攻擊行動之外，鎖定SonicWall防火牆零時差漏洞的勒索軟體攻擊態勢，相當值得留意，原因是駭客鎖定的弱點與SSL VPN模組有關，而對於該廠牌SSL VPN系統的資安事故，7月已有數起消息傳出，因此用戶也要提高警覺，採取相關防護措施因應。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170407"><strong style="font-size: 22px;">西亞電信業去年遭中國駭客CL-STA-0969長期網攻，採用近10種專屬工具輪番滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-1348-148315-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-1348-148315-1.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客組織鎖定電信業者從事大規模網路間諜活動，藉此針對特定的政治人物進行情報收集，這樣的事故又以去年9月爆發的Salt Typhoon駭客攻擊行動受到高度關注，不僅傳出AT&T、Verizon、Lumen等多家大型業者受害，相關攻擊亦得到美國政府的證實，後續更傳出這些駭客也對其他國家電信業者下手的情況；另有資安業者揭露專門攻擊南亞、非洲電信業者的駭客組織Liminal Panda，如今又有資安業者揭露相關事故的最新調查結果。</p> <p>上週資安業者Palo Alto Networks發布調查報告指出，名為CL-STA-0969的駭客於去年2月至11月，鎖定西亞電信產業發動數起攻擊行動，他們部署多種工具與通訊機制，以便透過更為彈性的方法來遠端控制特定物件。其中一種作案工具是Cordscan，用途是收集行動裝置地理位置的資料，因此該公司推測，駭客有可能以此跟蹤受害者。</p> <p>針對這些駭客的來歷，Palo Alto Networks推測是與Liminal Panda高度相關的國家級駭客，但也有部分工具來自其他組織，例如：LightBasin、UNC3886、UNC2891，以及UNC1945。</p> <p><a href="https://www.ithome.com.tw/news/170409"><strong style="font-size: 22px;">SonicWall防火牆零時差漏洞攻擊升溫，勒索軟體Akira加入戰局</strong></a></p> <p>7月中旬Google威脅情報團隊（GTIG）揭露鎖定SonicWall SSL VPN設備的攻擊行動，駭客企圖部署惡意軟體Overstep，後續駭客組織World Leaks聲稱駭入電腦大廠Dell內部的產品展示及測試的環境，傳出入侵的管道，很可能就是上述的SSL VPN設備。如今資安業者Arctic Wolf指出，勒索軟體Akira也加入攻擊該廠牌的SSL VPN系統的行列。</p> <p>Arctic Wolf指出，7月下旬駭客透過SonicWall防火牆取得初始入侵管道的勒索軟體活動，出現增加的跡象，這些事故的共通點在於，所有的入侵都是透過防火牆的SSL VPN系統進行存取。根據他們掌握的證據，駭客疑似使用零時差漏洞而得逞，但不排除有暴力破解、字典攻擊、帳號填充攻擊的情況。。對此，他們認為在SonicWall尚未發布修補程式之前，最好暫時停用SSL VPN服務因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/180630/hacking/attackers-actively-exploit-critical-zero-day-in-alone-wordpress-theme.html">WordPress佈景主題Alone存在重大漏洞，已被用於實際攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apt36-hackers-target-indian-railways-oil-and-government-systems/">巴基斯坦駭客APT36鎖定印度鐵路、石油、政府系統而來，利用惡意PDF檔案犯案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/threat-actors-impersonate-microsoft-oauth-apps/">微軟OAuth應用程式遭冒充，駭客意圖竊取多因素驗證資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/silver-fox-hackers-exploit-weaponized-google-translate-tools/">中國駭客Silver Fox聲稱提供Google翻譯工具，意圖散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/anubis-ransomware-targets-android-and-windows-users/">Windows、安卓用戶遭到勒索軟體Anubis鎖定，駭客不僅加密檔案，也竊取帳密</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170408"><strong style="font-size: 22px;">蘋果發布多個作業系統平臺更新，修補已遭利用的Chrome零時差漏洞</strong></a></p> <p>兩週前Google發布Chrome 138電腦版更新138.0.7204.157、138.0.7204.158，修補6項資安漏洞，其中存在於ANGLE（Almost Native Graphics Layer Engine）及GPU元件的高風險漏洞CVE-2025-6558，已經出現實際遭到利用的跡象，但這項漏洞並非只影響Chromium為基礎打造的瀏覽器，後續有其他科技業者跟進，修補這項資安漏洞。</p> <p>蘋果於7月29、30日，針對旗下的行動裝置、電腦、穿戴裝置、電視盒，發布iOS 18.6、iPadOS 18.6與17.7.9、macOS Sequoia 15.6、watchOS 11.6、visionOS 2.6、tvOS 18.6，並為macOS Ventura與Sonoma用戶發布瀏覽器更新Safari 18.6，其中一項修補的資安漏洞，就是存在於Safari排版引擎WebKit的CVE-2025-6558，並指出一旦瀏覽器處理特製的惡意網頁內容，就有機會導致無預期當機的現象。蘋果提及此漏洞出現在他們採用的開放原始碼內容，由Google威脅分析團隊（TAG）通報。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170400"><strong style="font-size: 22px;">美國CISA開源Thorium惡意程式分析平臺</strong></a></p> <p>美國網路安全暨基礎架構管理署（CISA）宣布，開源自動化檔案分析平臺Thorium，將開放給政府機關及民間用於惡意程式和鑑識分析。</p> <p>這項計畫是CISA和美國桑迪亞國家實驗室（Sandia National Laboratories）合作。Thorium為自動化檔案分析及資料生成的高擴充性分散式平臺，它允許分析團隊操作及整合任意商業、開源及自訂工具，自動化執行分析工作流程，支援軟體分析、數位鑑識和事件回應。</p> <p>Thorium的整合性平臺上，允許分析人員上傳程式檔案，以Docker映像檔及VM形式整合指令行工具、利用標籤和全文搜尋篩選結果，並嚴格以群組為基礎的核准規則來管理存取。</p> <p><a href="https://www.ithome.com.tw/news/169959"><strong style="font-size: 22px;">IBM宣稱新一代Power11伺服器可在1分鐘內偵測勒索軟體</strong></a></p> <p>IBM發表其新一代的Power11伺服器，宣稱其正常運作時間達99.9999%，強調零停機維運能力，且搭配IBM Power Cyber Vault資安解決方案，能在1分鐘以內偵測到勒索軟體。IBM 預計於7月25日同步推出Power 11的入門、中階、高階及虛擬伺服器。</p> <p>上一次IBM更新其Power伺服器是在2020年推出的Power 10，新登場的Power 11效能提升了10~20%，入門與中階系統擁有更多的核心數量，運算規模最高提升45%，並將成為首款支援 IBM Spyre Accelerator的IBM Power伺服器。</p> <p>IBM Spyre Accelerator為該公司所開發的AI推論專用晶片，專為企業於混合雲環境中部署AI密集應用而設計，預計於今年第四季上市。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170345"><strong>【7月31日】駭客挾持ATM出奇招，於隔離網路部署實體後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170328"><strong>【7月30日】美國明尼蘇達州首府遭到網攻，進入緊急狀態、動員國民兵因應</strong></a></p> </div></div></div>
2025/8/4 18:03作者周峻佑https://www.ithome.com.tw/news/170411
SonicWall防火牆零時差漏洞攻擊升溫，勒索軟體Akira加入戰局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月中旬Google威脅情報團隊（GTIG）揭露鎖定<a href="https://www.ithome.com.tw/tags/sonicwall">SonicWall</a> SSL VPN設備的攻擊行動，<a href="https://www.ithome.com.tw/news/170128">駭客企圖部署惡意軟體Overstep</a>，後續<a href="https://www.ithome.com.tw/news/170190">駭客組織World Leaks聲稱駭入電腦大廠Dell內部的產品展示及測試的環境</a>，傳出入侵的管道，很可能就是上述的SSL VPN設備。如今資安業者Arctic Wolf指出，<a href="https://arcticwolf.com/resources/blog/arctic-wolf-observes-july-2025-uptick-in-akira-ransomware-activity-targeting-sonicwall-ssl-vpn/">勒索軟體Akira也加入攻擊該廠牌的SSL VPN系統的行列</a>。</p> <p>Arctic Wolf指出，7月下旬駭客透過SonicWall防火牆取得初始入侵管道的勒索軟體活動，出現增加的跡象，這些事故的共通點在於，所有的入侵都是透過防火牆的SSL VPN系統進行存取。根據他們掌握的證據，駭客疑似使用零時差漏洞而得逞，但不排除有暴力破解、字典攻擊、帳號填充攻擊的情況。為何Arctic Wolf會認定是零時差漏洞？他們提及兩種現象，首先，在部分事故當中，受害的SonicWall設備已經完整套用所有修補程式，並進行帳密輪替，但還是無法倖免；部分受害組織雖然採用以時間為基礎的動態密碼（TOTP），進行多因素驗證（MFA），仍發生帳號遭到入侵的現象。對此，他們認為在SonicWall尚未發布修補程式之前，最好暫時停用SSL VPN服務因應。</p> <p>這波攻擊行動約從7月15日開始，一旦攻擊者成功存取SSL VPN帳號，很快就會執行勒索軟體加密檔案的程序。而駭客登入VPN系統的作法也與一般正常的管道不同，他們多半透過虛疑專用伺服器（VPS）來進行，而非像合法登入會透過網際網路服務供應商（ISP）。</p> <p>勒索軟體Akira鎖定SonicWall防火牆發動攻擊的情況，已非首例。<a href="https://www.ithome.com.tw/news/165817">去年10月</a>，有兩款勒索軟體針對SonicWall防火牆而來，疑似利用該廠牌防火牆作業系統SonicOS重大層級漏洞CVE-2024-40766，其中一組人馬就是Akira。</p> </div></div></div>
2025/8/4 16:27作者周峻佑https://www.ithome.com.tw/news/170409
英國標準協會BSI東北亞區高層世代交替，引領組織邁向新篇章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國標準協會（BSI）東北亞區近期宣布一項重要人事異動，原任BSI臺灣分公司營運長謝君豪於2025年8月1日起，正式接任BSI東北亞區董事總經理一職，將全面領導臺灣與韓國團隊，開啟BSI在該區域的全新篇章。</p> <p>與此同時，服務多年的原任東北亞區董事總經理蒲樹盛，則於2025年7月31日退休，並在BSI總部邀請之下，接下來將繼續擔任BSI總裁策略顧問（Strategy Advisor to Divisional President），以更高的視角和不同身分，協助英國總部在全球推動國際標準的實踐。此次人事異動，不僅意味著世代交替，也預告BSI東北亞區在數位信任與永續治理領域將邁入新的發展階段。</p> <p>BSI臺灣分公司於1996年成立以來，蒲樹盛長期協助臺灣企業透過引進各種國際標準與國際接軌，並引導企業從傳統的ISO品質管理，進一步邁向數位信任與永續治理，並打造成具備韌性的企業組織。而在蒲樹盛擔任東北亞區董事總經理期間，他更成為BSI協助臺灣企業轉型升級的關鍵推手，深受產官學研各界的肯定。</p> <p>蒲樹盛帶領BSI臺灣及東北亞區期間，更秉持著「以人為本」的管理信念，不僅帶領團隊連年榮獲BSI全球內部多項管理績效大獎，更在同仁心中樹立了亦師亦友的典範，。</p> <p>謝君豪原任BSI臺灣分公司營運長，一路從基層稽核員做起，迄今已逾二十年，在BSI工作期間，他陸續擔任過講師、產品經理等不同職務，更在BSI核心的驗證部擔任十年以上的協理職務，並於2018年接任全新職務的臺灣營運長一職迄今。</p> <p>長期以來，謝君豪致力推動各種國際標準的應用與創造客戶價值，專業能力與貢獻廣受產官學研各界信任，並累積豐富的實務經驗與產業洞察。此次，謝君豪接任蒲樹盛榮退後遺缺──BSI東北亞區董事總經理，也經歷層層關卡，在各方面的專業能力評估之下，順利脫穎而出。</p> <p>BSI此次東北亞區的人事布局，也成功整合臺灣與韓國的組織與業務發展，對謝君豪而言，必須在原先帶領臺灣團隊的經驗基礎上，重新整合臺灣與韓國的組織團隊，協助企業透過標準推動的力量，因應全球變局，創造永續與更具韌性的未來。</p> </div></div></div>
2025/8/4 17:54作者黃彥棻https://www.ithome.com.tw/news/170410
蘋果發布多個作業系統平臺更新，修補已遭利用的Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩週前Google<a href="https://www.ithome.com.tw/news/170078">發布Chrome 138電腦版更新</a>138.0.7204.157、138.0.7204.158，修補6項資安漏洞，其中存在於ANGLE（Almost Native Graphics Layer Engine）及GPU元件的高風險漏洞CVE-2025-6558，已經出現實際遭到利用的跡象，但這項漏洞並非只影響Chromium為基礎打造的瀏覽器，後續有其他科技業者跟進，修補這項資安漏洞。</p> <p>蘋果於7月29、30日，針對旗下的行動裝置、電腦、穿戴裝置、電視盒，發布<a href="https://support.apple.com/en-us/124147">iOS 18.6、iPadOS 18.6</a>與<a href="https://support.apple.com/en-us/124148">17.7.9</a>、<a href="https://support.apple.com/en-us/124149">macOS Sequoia 15.6</a>、<a href="https://support.apple.com/en-us/124155">watchOS 11.6</a>、<a href="https://support.apple.com/en-us/124154">visionOS 2.6</a>、<a href="https://support.apple.com/en-us/124153">tvOS 18.6</a>，並為macOS Ventura與Sonoma用戶發布<a href="https://support.apple.com/en-us/124152">瀏覽器更新Safari 18.6</a>，其中一項修補的資安漏洞，就是存在於Safari排版引擎WebKit的CVE-2025-6558，並指出一旦瀏覽器處理特製的惡意網頁內容，就有機會導致無預期當機的現象。蘋果提及此漏洞出現在他們採用的開放原始碼內容，由Google威脅分析團隊（TAG）通報。</p> <p>究竟這項漏洞有多危險？蘋果並未說明，但根據Google通報<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-6558">美國國家漏洞資料庫（NVD）的資料</a>，CVSS風險評為8.8分，為高風險層級。美國網路安全暨基礎設施安全局（CISA）於7月22日將其列入已遭利用漏洞列表（KEV），要求聯邦機構於8月12日前完成修補。</p> </div></div></div>
2025/8/4 15:11作者周峻佑https://www.ithome.com.tw/news/170408
中國駭客CL-STA-0969鎖定電信業者而來，從事為期10個月的網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織鎖定<a href="https://www.ithome.com.tw/tags/%E9%9B%BB%E4%BF%A1%E6%A5%AD%E8%80%85">電信業者</a>從事大規模網路間諜活動，藉此針對特定的政治人物進行情報收集，這樣的事故又以<a href="https://www.ithome.com.tw/news/165354">去年9月爆發</a>的<a href="https://www.ithome.com.tw/tags/salt-typhoon">Salt Typhoon</a>駭客攻擊行動受到高度關注，不僅傳出AT&T、Verizon、Lumen等多家大型業者受害，相關攻擊<a href="https://www.ithome.com.tw/news/165750">亦得到美國政府的證實</a>，後續更傳出這些駭客也對其他國家電信業者下手的情況；另有資安業者揭露專門攻擊南亞、非洲電信業者的駭客組織<a href="https://www.ithome.com.tw/news/166128">Liminal Panda</a>，如今又有資安業者揭露相關事故的最新調查結果。</p> <p>上週資安業者Palo Alto Networks發布調查報告指出，<a href="https://unit42.paloaltonetworks.com/infiltration-of-global-telecom-networks/">名為CL-STA-0969的駭客於去年2月至11月</a>，鎖定西南亞電信產業發動數起攻擊行動，他們部署多種工具與通訊機制，以便透過更為彈性的方法來遠端控制特定物件。其中一種作案工具是Cordscan，用途是收集行動裝置地理位置的資料，因此該公司推測，駭客有可能以此跟蹤受害者。</p> <p>針對這些駭客的來歷，Palo Alto Networks推測是與Liminal Panda高度相關的國家級駭客，但也有部分工具來自其他組織的情況，而這些組織是：<a href="https://www.ithome.com.tw/tags/lightbasin">LightBasin</a>、<a href="https://www.ithome.com.tw/tags/unc3886">UNC3886</a>、<a href="https://www.ithome.com.tw/tags/unc2891">UNC2891</a>，以及<a href="https://www.ithome.com.tw/tags/unc1945">UNC1945</a>。</p> <p>而對於駭客使用的作案工具，Palo Alto Networks提及是專門為電信環境所打造，包含：AuthDoor、GTPDoor、ChronosRAT、NoDepDNS，這些工具濫用SSH、ICMP、DNS、GTP等常見的通訊協定，讓駭客能用來建立存取管道、執行命令，以及建立C2通訊連線。此外，他們也運用多項可公開取得的應用程式，例如：代理伺服器工具Microsocks Proxy、Fast Reverse Proxy（FRP），以及網路掃描工具Fscan、廣播名稱解析工具Responder。</p> <p>再者，他們也打造能觸發已知漏洞的工具，被利用的漏洞包括：Linux核心權限提升漏洞<a href="https://www.ithome.com.tw/news/109228">Dirty COW（CVE-2016-5195）</a>、Pkexec權限提升漏洞<a href="https://www.ithome.com.tw/news/149096">PwnKit（CVE-2021-4034）</a>、Sudo權限提升漏洞<a href="https://www.ithome.com.tw/news/142469">CVE-2021-3156</a>。</p> <p>附帶一提的是，這些駭客為了避免東窗事發，他們也持續維護本身的營運安全防護（OpSec）保持在高效率運作的狀態，而且運用多種迴避防禦的伎倆，避免被偵測到相關活動，像是使用DNS隧道引導流量、透過其他行動裝置操作環境路由流量、清除身分驗證事件記錄，以及偽裝處理程序的名稱。此外，他們也會停用SELinux迴避偵測，並使用可移除的身分驗證模組（Pluggable Authentication Module）當作後門。</p> </div></div></div>
2025/8/4 14:33作者周峻佑https://www.ithome.com.tw/news/170407
美國CISA開源Thorium惡意程式分析平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/alerts/2025/07/31/thorium-platform-public-availability" target="_blank">美國網路安全暨基礎架構管理署（CISA）上周宣布</a>，開源自動化檔案分析平臺Thorium開放給政府及民間用於惡意程式和鑑識分析。</p> <p class="rtecenter"><a href="https://github.com/cisagov/thorium" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-cisa%20gov%20thorium-GitHub.jpg" style="width: 600px;" /></a></p> <p>這項計畫是CISA和美國桑迪亞國家實驗室（Sandia National Laboratories）合作。Thorium為自動化檔案分析及資料生成的高擴充性分散式平臺，它允許分析團隊操作及整合任意商業、開源及自訂工具，自動化執行分析工作流程，支援軟體分析、數位鑑識和事件回應。</p> <p><a href="https://www.sandia.gov/labnews/2024/09/05/cybersecurity-suite-now-on-duty-defending-the-nation/" target="_blank">Thorium</a>起於桑迪亞實驗室2017年自行開發的自動化惡意程式分析平臺專案，而在CISA的贊助下，啟動威脅逆向工程（Threat Focused Reverse Engineering）專案，旨在以拆解惡意程式支持打擊防禦。</p> <p>Thorium的整合性平臺上，允許分析人員上傳程式檔案，以Docker映像檔及VM形式整合指令行工具、利用標籤和全文搜尋篩選結果，並嚴格以群組為基礎的核准規則來管理存取。</p> <p>Thorium是利用Kubernetes和ScyllaDB以硬體擴充，具高度可擴充性，每個核准群組每小時能接受超過1000萬個檔案而仍然維持高速查詢效能。它還讓使用者定義事件觸發器和工具執行序列、以RESTful API控制平臺，並且集結輸出結果進一步分析，或是匯整進下游流程。</p> <p>CISA鼓勵政府或民間企業資安團隊<a href="https://cisagov.github.io/thorium/getting_started/getting_started.html" target="_blank">試用Thorium</a>並提供回饋意見。目前Thorium內不包含任何工具，但<a href="https://github.com/cisagov/thorium" target="_blank">CISA表示</a>計畫過陣子會發布一些工具，包括來自業界捐贈的工具。</p> </div></div></div>
2025/8/4 11:08作者林妍溱https://www.ithome.com.tw/news/170400
Google Gemini Deep Think提供給AI Ultra方案用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/gemini-2-5-deep-think/" target="_blank">Google宣布</a>將Gemini的Deep Think功能推向最高階方案Google AI Ultra的用戶，可幫用戶解決需要創意及策略規劃的困難問題。此外，Google也宣布不久前取得國際數學奧林匹亞（International Mathematical Olympiad，IMO）金牌的Gemini模型也開放特定數學家使用。</p> <p>Google於今年在I/O大會上公布Deep Think。最新釋出的版本具備IMO銅牌水準，雖然解決困難數學題的能力遜於金牌版本，但執行速度更快，適合用於解決日常問題。</p> <p>Deep Think推升思考能力的關鍵在於平行思維技術，使Gemini能針對一項問題生成多個想法、同時考量，甚至會在過程中修改、比較不同想法，最後產生最佳答案。Google還延長了模型推論時間或該公司稱的思考時間（thinking time），讓它針對複雜問題有更多時間探索不同假設，產出創意解決方案。Google並為Deep Think開發新式增強學習技巧，鼓勵模型使用更長的推理路徑，使其用得愈久，愈能長成天生解決問題的高手。</p> <p>Deep Think可幫助使用者解決需要創意、策略規劃的困難問題，而且能逐步改進。其能力包括迭代開發和設計，像是一步步提升網頁開發的美學及功能；其推理解決複雜問題的能力，適合形成並探究數學猜想（conjecture）及整合科學文獻加速研究發現，以及開發演算法與撰寫程式。在Humanity's Last Exam、LiveCodeBench、IMO 2025與AIME 2025等標竿測試下，Gemini Deep Think表現都超越Gemini 2.5 Pro、OpenAI o3和Grok 4。</p> <p>Deep Think已在上周推向250美元月費的AI Ultra方案訂閱用戶。用戶使用Gemini App時，選擇2.5 Pro時可在提示輸入列啟動Deep Think功能。程式執行和Google Search等功能將自動適用Deep Think，產生更長的回應。</p> <p>Google計畫再幾個星期會透過Gemini API將使用及不使用工具的Deep Think開放特定夥伴，以了解開發上和企業場景的可使用性。</p> <p>此外，繼<a href="https://www.ithome.com.tw/news/170184" target="_blank">上周宣布</a>Gemini Deep Think能力達到國際數學奧林匹亞金牌後，Google也宣布將Gemini 2.5 Deep Think完整版模型開放一小部份數學家及研究人員，測試數學猜想（conjecture）的能力。</p> <p>OpenAI同樣以實驗版GPT取得數奧金牌成績，但OpenAI執行長Sam Altman說至少短間內不打算公開。</p> </div></div></div>
2025/8/4 09:24作者林妍溱https://www.ithome.com.tw/news/170397
Anthropic拒絕讓OpenAI以API存取Claude 理由是違反服務條款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic上周證實封鎖競爭者OpenAI以API存取Claude模型，理由是違反服務條款。</p> <p><a href="https://www.wired.com/story/anthropic-revokes-openais-access-to-claude/" target="_blank">Wired上周引述消息人士報導</a>，OpenAI開發團隊透過API存取Claude，以測試比較Claude和自家模型在某些能力的差異，像是程式撰寫、創意寫作，以及因應兒童性剝削、自殘、誹謗等安全相關提示的回應內容。</p> <p>Anthropic發言人向Wired證實此事，說其Claude Code是業界開發人員的首選，OpenAI的技術人員使用其Claude並不令人意外，但是此舉違反了該公司的服務條款。Anthropic的服務條款禁止客戶使用其服務來開發競爭產品或服務，包括訓練競爭AI模型、逆向工程、或複製等行為。</p> <p>但同時Anthropic也說，會確保OpenAI基於標竿測試和安全評估的API存取。</p> <p>OpenAI對Wired表示，AI廠商使用競爭者AI系統進行標竿測試、改善安全本來就是業界標準行為。OpenAI也開放Anthropic以API存取其模型，因此該公司雖然尊重Anthropic的決定，但仍然感到失望。</p> <p>Anthropic的說法看似矛盾、令人困惑，不過考慮到業界競爭，其行為或許不難理解。OpenAI執行長<a href="https://www.ithome.com.tw/news/170276" target="_blank">Sam Altman 7月底預告</a>即將推出下一代旗艦模型GPT-5，而The Verge報導時間點最快在8月初。OpenAI一度計畫收購Windsurf來強化GPT模型的程式撰寫能力，這也被視為希望挑戰Claude的策略性收購。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/169375" target="_blank">6月Anthropic也曾經</a>被指控限制供應AI開發工具的新創公司Windsurf存取其Claude，原因明顯是Windsurf之前和OpenAI的收購傳聞。Anthropic的禁令在Windsurf兩名創辦人突然跳槽Google DeepMind，而在隔周末戲劇性和Cognition合併後，Anthropic才取消了其限制措施。</p> </div></div></div>
2025/8/4 09:40作者林妍溱https://www.ithome.com.tw/news/170398
Neuralink將於英國展開臨床實驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由馬斯克（Elon Musk）共同創立的神經科技公司<a href="https://neuralink.com/updates/gb-prime-study-launch/" target="_blank">Neuralink上周四（7/31）宣布</a>，已通過英國藥品與健康產品管理局（Medicines and Healthcare products Regulatory Agency，MHRA）與衛生研究管理局（Health Research Authority，HRA）等主管機關的批准，正式於英國展開植入式無線腦機介面（Brain-Computer Interface，BCI）的臨床試驗，此一名為GB-PRIME的專案已開始招募當地符合資格的病患。</p> <p>Neuralink開發了名為Link的晶片（N1），它有如硬幣大小，藉由手術機器人R1，植入病患的腦中；該公司所推出的首款應用為Telepathy，能夠解讀及轉換自Link晶片上所接收到的腦神經訊號，並讓使用者透過思考來控制手機或電腦，在2023年9月<a href="https://www.ithome.com.tw/news/158837" target="_blank">率先於美國</a>開放病患申請臨床試驗，2024年3月<a href="https://neuralink.com/updates/neuralinks-patient-registry-opens-to-canada/" target="_blank">進入加拿大</a>，現則擴大至英國。</p> <p>GB-PRIME與美國的PRIME（Precise Robotically Implanted Brain-Computer Interface）研究一致，都是為了評估植入晶片及手術機器人的安全性，以及BCI的初始功能，以讓嚴重的癱瘓患者能夠透過思想來控制裝置並參與數位世界，現已開放脊髓損傷或肌萎縮性脊髓側索硬化症（ALS）而無法使用雙手的英國居民申請。</p> <p>Link是在64條幾乎不可見的細線（Thread）上分布了1,024個電極，藉由這些電極來記錄腦內的神經活動，再將相關訊號傳送到行動程式上以控制外部裝置。</p> <p>目前已知至少有5名原本癱瘓的患者接受Link植入手術，能夠透過意念控制手機、電腦及電視，於數位裝置上寫字、玩遊戲及畫畫。</p> </div></div></div>
2025/8/4 08:41作者陳曉莉https://www.ithome.com.tw/news/170395
微軟將在明年終止對Windows 11 SE的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/education/windows/windows-11-se-faq" target="_blank">微軟近日宣布</a>，將於2026年10月終止對Windows 11 SE的支援。Windows 11 SE是微軟專門針對美國14歲以下的教育學程（K-8）所設計的作業系統，以與Google的Chrome OS競爭，<a href="https://www.ithome.com.tw/news/147755" target="_blank">在2021年11月首度亮相</a>，當時還同步發表了搭載Windows 11 SE、售價只要249美元的Surface Laptop SE筆電。</p> <p>根據微軟的說明，Windows 11 SE的最後一個更新版本將是Windows 11 24H，相關支援將在2026年的10月結束，屆時將不再有針對該版本的軟體更新、技術協助或安全修補。儘管使用者的裝置還能繼續運作，但微軟建議使用者遷移到其它的Windows 11版本，以確保持續獲得支援與安全性。</p> <p>由於Windows 11 SE是個類似Chrome OS的雲端優先作業系統，提供瀏覽器、Microsoft Office與各種精簡的應用，並未提供應用程式商店，也未直接對外銷售，只透過OEM業者預先安裝在特定的教育裝置上，包括Surface、Acer、Asus、Dell、HP、Lenovo及Dynabook等品牌，都有推出售價相對低廉的Windows 11 SE筆電，主打教育市場。</p> <p>微軟未曾公布Windows 11 SE筆電的銷售量，外界猜測微軟應該是要直接終止Windows 11 SE產品線，並說服學校直接採用完整版的Windows 11。</p> </div></div></div>
2025/8/4 08:57作者陳曉莉https://www.ithome.com.tw/news/170396
率先採用Xeon 6 P-core處理器，Google擴C4運算服務陣容
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cloud_c4-main2025-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月英特爾發表伺服器處理器平臺Xeon 6，當時推出代號為Sierra Forest、採用E-core的產品，<a href="https://www.ithome.com.tw/news/165180">9月發表代號為Granite Rapids、採用P-core的產品</a>，截至目前為止，他們總共推出4條產品線：Xeon 6900系列鎖定雲端、人工智慧、高效能運算環境，提供最大效能；Xeon 6700系列對應資料中心與電信環境，提供強化的效能；Xeon 6500系列專攻主流伺服器與邊緣環境，提供基礎的效能；Xeon 6300系列適合中小企業環境，提供入門等級的效能。</p> <p>市面上，各家伺服器廠商依循往例，陸續在這一年內宣布推出搭配Xeon 6的產品，但公有雲業者採用的腳步相當緩慢，直到最近，終於有公有雲業者宣布推出搭配Xeon 6的運算服務，Google Cloud在既有的<a href="https://www.ithome.com.tw/review/164059">C4系列執行個體</a>當中，除了繼續提供搭配第五代Xeon Scalable處理器的組態，也特別增設搭配代號為Granite Rapids的Xeon 6處理器、次世代Titanium SSD，以及裸機型態的組態，總共提供多達5大類（新增2類）、55個執行個體配置（新增29個），目前已於19個雲端區域上線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C4 Google Cloud config-2025-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4%20Google%20Cloud%20config-2025-08.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/C4--288CPUs.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4--288CPUs.jpg" style="width: 600px;" /></a></p> <p>基於上述的硬體搭配，能夠替加入生力軍的C4雲端運算服務，帶來哪些突破？</p> <p>以搭配第四代Xeon Scalable處理器C3執行個體的高階組態為基準（c3-standard-176），處理一般用途的運算工作負載時，最新推出、搭配Xeon 6的C4執行個體，單就每核心的效能而言，可獲得30％的提升（CPU整數效能測試SPECrate 2017_int_base）；若用於機器學習推薦的工作負載時，搭配Xeon 6的C4執行個體效能領先幅度可達60％；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/C4-Xeon%206%20performance.png" style="width: 600px;" /></p> <p>關於硬碟資料存取的表現上，搭配Titanium SSD的C4執行個體，可縮短35％的延遲。</p> <p>配備Xeon 6的C4之所以具有更大的運算效能，原因不只是新一代Xeon處理器內建的核心數量更多，使得C4提供搭配144顆虛擬處理器的半臺實體主機組態，以及288顆虛擬處理器的1臺實體主機組態，而且，Google Cloud還透露C4新搭配的處理器Xeon Platinum 6985P-C，運作時脈最高為4.2 GHz（這是指單一核心進入Turbo Boost模式的時脈，基礎時脈為2.8 GHz，全部核心進入Turbo Boost模式的時脈為3.9 GHz），居Google Compute Engine所有VM服務之冠，而且，處理器本身具有更大的L3快取，存取系統記憶體的頻寬也增加至1.35倍（應該是指Xeon 6支援6400 MT/s）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Gen4%20VM.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20Cloud%20VM%20spec-C4.jpg" style="width: 600px;" /></p> <p>在此同時，搭配採用P-core的Xeon 6處理器，本身內建的進階矩陣延伸指令集（AMX）支援的資料型別，不只是INT8、BF16，還包括FP16，能夠更充分用在以FP16這個型別訓練的AI模型，為AI加速提供更多選擇。</p> <p>C4這次的陣容擴充，也新提供兩類搭配Titanium SSD作為本機硬碟的組態，這些服務名稱均以-lssd作為結尾（表示搭配Local SSD），Google Cloud表示，它們的讀取效能最高可達720萬IOPS，相當於其他雲端服務業者儲存裝置效能的3倍，而且，能大幅改善讀寫延遲，對比Google Cloud搭配上一代固態硬碟的組態，C4新搭配Titanium SSD的存取延遲可降低35％。</p> <p>Titanium SSD先前浮上檯面，主要是今年1月，<a href="https://www.ithome.com.tw/review/166989">採用Google Cloud自研Arm處理器Axion的C4A</a>正式宣布上線，當時也提到這款雲端運算服務搭配本機固態硬碟Titanium SSD，它們也是Google Cloud第一代自研SSD，整合Google發展的卸載晶片Titanium，能夠將本機硬碟的處理從CPU卸載至固態硬碟本身，以強化儲存裝置存取的資安與效能，號稱可提供240萬IOPS的隨機讀取效能。而C4最近擴增更多組態的消息提到的Titanium SSD，應該是下一代自研固態硬碟，因為Google Cloud表示，讀取效能高達720萬IOPS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Titanium%20Local%20SSD-2025-04.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#000080;"><strong>Google Cloud C4</strong></span><br /> ●原廠：Google Cloud<br /> ●建議售價：asia-southeast1（新加坡）、c4-standard-4-lssd每月預估287.12美元<br /> ●採用處理器：英特爾第五代Xeon Scalable系列Xeon Platinum 8581C、英特爾Xeon 6系列Xeon Platinum 6985P-C<br /> ●提供服務規模選擇：C4 standard、C4 highcpu、C4 highmem、C4 standard with Local SSD、C4 highmem with Local SSD，最大組態c4-highmem-288-lssd，288顆虛擬處理器、2,232 GB記憶體、網路頻寬最高為200 Gbps，儲存搭配Titanium SSD（每臺虛擬機器搭配48臺375 GiB固態硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/8/4 01:07作者李宗翰https://www.ithome.com.tw/review/170393
【資安週報】0728~0801，鎖定IT服務臺的Vishing攻擊擴大，更多駭客組織以語音網釣作為初始入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年7月底的資安新聞的最大焦點，是透過語音網釣（Vishing）作為入侵企業開端的威脅擴大，我們<a href="https://www.ithome.com.tw/news/169977#MGM">月初曾發布這方面的封面故事報導</a>，月底再有多起新聞事件與之有關。</p> <p>其中駭客組織Scattered Spider（0ktapus、UNC3944、Octo Tempest）的動向備受關注，<a href="http://www.ithome.com.tw/news/169977#MGM">多家資安業者2023年指出多家飯店當時遭駭的初始入侵狀況</a>，就是該組織作為IAB掮客的身分發動的Vishing攻擊，他們假冒員工鎖定企業IT支援服務臺（IT Help Desk）撥打電話騙取系統存取權限，要求重設密碼新增MFA裝置。今年該組織攻擊更擴大至零售業、航空業，6月底<a href="https://www.ithome.com.tw/news/169977#FBI">美FBI也特別呼籲</a>各界，要多加防範Scattered Spider攻擊，在此同時，還有其他消息顯示，有更多駭客組織以Vishing攻擊作為初始入侵開端。</p> <p>（一）Google公布UNC3944駭客作案流程，鎖定IT Help Desk發動Vishing，之後透過LoL攻擊手法滲透AD，再對VMware vSphere環境部署勒索軟體。<br /> （二）思科揭露新的Chaos勒索軟體RaaS平臺，指出疑似勒索軟體BlackSuit的前成員建立，當中並提到其初始入侵手法，是以洪水式垃圾郵件搭配Vishing攻擊。<br /> （三）安聯人壽美國分公司傳出遭勒索軟體ShinyHunters攻擊，該公司使用的客戶管理系統（CRM）資料被竊取。由於6月Google曾揭露<a href="https://www.ithome.com.tw/news/169977#UNC6040">UNC6040駭客擅長Vishing，而且竟是針對企業的Salesforce資料而來</a>，因此促使我們認為這些活動彼此相關，Bleeping Computer也找到知情人士，並指出安聯事故與該則Google警告有關，可惜未說明兩個組織之間的關聯。</p> <p>在資安事故方面，這一星期有多起資安事故消息浮上檯面，其中兩起與臺灣有關，國際間則有多個重大事故揭露，受影響產業涵蓋電信、國防、政府機關與航空業。</p> <p>●易飛網發布資安事件重訊，表示少數客戶反映疑似個資外洩並接到電話聯繫，目前持續調查中，以查證此次事件與今年1月的發生資安事件是否有關聯。<br /> ●刑事警察局宣布破獲徵信社販售個資案，查出有徵信社分公司負責人透過其工程師從駭客論壇購買9,300萬筆民眾個資，且該工程師亦在網路上轉售這些資料。<br /> ●法國大型電信商Orange揭露7月25日發現IT系統遭受攻擊，當下已隔離受影響系統，但此舉也導致部分企業與消費者服務中斷。<br /> ●法國國防業者Naval Group傳出遭駭，駭客聲稱竊得1 TB內部資料，該公司表示未發現入侵跡象，有媒體推測資料可能來自3年前Thales遭攻擊的外洩事件。<br /> ●美國明尼蘇達州聖保羅遭駭客入侵，後續更是全面關閉其其資訊系統來因應，使得當地多項政府服務中斷，甚至宣布動員國民兵的網路防護部隊協助因應。<br /> ●俄羅斯航空（Aeroflot）遭受網路攻擊，導致數千臺系統運作中斷，並造成80多航班被迫取消或延遲，事後有白俄羅斯反對派駭客與烏克蘭駭客宣稱是其所為。</p> <p>至於最新威脅態勢方面，有兩則重要消息，包括新發現透過ISP發動AiTM網釣，以及利用樹莓派ATM的實體後門的揭露。</p> <p>一是微軟揭露俄羅斯駭客Secret Blizzard（Turla）的AiTM網釣攻擊手法，是利用當地ISP業者的網路層級能力來劫持，主要針對位於莫斯科各國大使館與外交機構，將目標導向偽裝成公共Wi-Fi的Captive Portal的惡意頁面。</p> <p>另一是Group-IB揭露駭客組織UNC2891滲透銀行ATM設備有特殊方法，是將樹莓派裝置部署於銀行內網，連結ATM使用的交換器並透過4G網路遠端存取，以避過防禦機制，但報告中未說明攻擊者如何能夠將樹莓派部署於銀行內部。</p> <p>此外，還有資安業者ESET揭露開源木馬程式AsyncRAT的最新發展，指出已經衍生逾30款分支惡意軟體，包括受廣泛利用的變種DCRat與VenomRAT。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/170280"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月28日】勒索軟體ShinyHunters傳出對保險公司安聯人壽發動攻擊</span></strong></a></h3> <p>上週末有兩則重大的消息引起資安圈關注，其中一起是安聯人壽美國分公司因遭受網路攻擊向美國政府通報資料外洩事故的情況，另一則消息則與北韓IT工作者有關，美國政府逮捕一名涉嫌經營筆電農場協助犯案的女性共犯。</p> <p>回顧這幾天國內發生的資安新聞，有一個消息與個資外洩有關：易飛旅遊（易飛網）上週五突然發布資安重訊，原因是他們獲報部分客戶發現自己個資外流的現象，但是否與今年1月發生的供應鏈攻擊有關，有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/170302"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月29日】Scattered Spider鎖定VMware虛擬化平臺而來，並使用勒索軟體加密檔案</span></strong></a></p> <p>惡意昭彰的駭客組織Scattered Spider（0ktapus、UNC3944、Octo Tempest），從今年4月攻擊多家英國零售業者引起關注，後續該組織又將範圍延伸到美國，究竟這些駭客如何得逞？這段期間曾多次提出警告的Google，近日公布調查結果。</p> <p>另一方面，與中國有關的駭客組織Sliver Fox，也有研究人員公布長期追蹤的結果，指出這些駭客在2年裡設置逾2,800個網域名稱，用來散布多種惡意程式，其中仍有近十分之一的網域迄今仍被用於攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/170328"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月30日】美國明尼蘇達州首府遭到網攻，進入緊急狀態、動員國民兵因應</span></strong></a></h3> <p>從上週末到今天，在法國、俄羅斯、美國發生多起與關鍵基礎設施（CI）有關的網路攻擊事故，其中苦主包含了俄羅斯航空業者Aeroflot、法國電信公司Orange、國防承包商Naval Group，以及美國明尼蘇達州首府聖保羅。</p> <p>其中，Aeroflot、Orange、聖保羅皆傳出影響運作的情況，最特別的是聖保羅的資安事故，由於事件規模及複雜程度已超出市政府的因應能力，明尼蘇達州州長罕見動員美國國民兵部隊來因應這起事故。</p> <h3><a href="https://www.ithome.com.tw/news/170345"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月31日】駭客挾持ATM出奇招，於隔離網路部署實體後門</span></strong></a></h3> <p>本週有多家資安業者公布資安事故的調查結果，其中最為特別的是針對ATM的攻擊行動，揭露此事的資安業者Group-IB發現，駭客組織UNC2891透過嵌入式設備當做實體後門，從而對受害銀行的ATM系統上下其手，不過他們如何將設備部署到銀行內部？<a href="https://www.bleepingcomputer.com/news/security/hackers-plant-4g-raspberry-pi-on-bank-network-in-failed-atm-heist/">資安新聞網站Bleeping Computer推測</a>，很可能是收買員工來達到目的。</p> <p>鎖定軟體套件開發者的攻擊行動也相當值得留意，我們上週報導針對NPM套件開發者的網釣攻擊，本週PyPI針對套件維護者提出警告，他們發現有人打造假的PyPI網站，想要騙取帳密資料。再者，利用SAP NetWeaver滿分漏洞，以及VMware虛擬化平臺已知漏洞的攻擊手法，也有資安業者公布新的調查結果。</p> <h3><a href="https://www.ithome.com.tw/news/170359"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</span></strong></a></h3> <p>為了掌握其他國家的情報，國家級駭客從事網路間諜活動的情況，在國際局勢不斷升溫之際，一直有相關資安事故傳出，但最近微軟揭露的攻擊行動相當特別，俄羅斯駭客針對各國駐俄外交單位下手，而且，他們動用了ISP與電信業者的環境來接觸攻擊目標。</p> <p>近期遭受執法壓力的勒索軟體BlackSuit也是本週受到關注的焦點，原因是思科發現，這些駭客早就做好準備，即使執法單位破壞他們的暗網網站，這些駭客疑似幾個月前就已另外成立新組織Chaos，並在駭客論壇尋找新的加盟主進行合作。</p> </div></div></div>
2025/8/2 15:53作者羅正漢https://www.ithome.com.tw/news/170394
一手掌握1PB儲存空間
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI驅動當前整個IT領域的發展，已是不爭的事實，諸如AI模型、加速運算平臺、代理型AI、擷取增強生成（RAG）、模型上下文協定（MCP）、AI輔助開發工具等相關應用，話題不斷。</p> <p>對於一般使用者而言，如果想要搭上這個技術特快車，可直接採用服務業者代管的平臺，使用門檻並不高，然而，對於企業而言，需要更大的技術自主空間、具有更高的機密防護，以及尋求更多降低總體成本的可能性，因此，仍有不少公司決定採用混合式架構、甚至自行建置相關基礎架構的方式，來獲得這些好處，而在這樣的考量之下，我們需要的，不只是採購、建置、維運高效能AI加速運算伺服器，還需要兼具功能強大、具有延展性、便於管理的AI資料平臺。</p> <p>為了搶佔這塊市場的龐大商機，已有幾家廠商推出解決方案，像是：伺服器與儲存大廠Dell在2024年提出<a href="https://www.dell.com/zh-tw/blog/dell-ai-ready-data-platform-your-ai-innovations-start-here/" target="_blank"><span style="color:#3366ff;">AI-Ready Data Platform</span></a>，強調整合資料查詢分析平臺Starburst，可協助企業建構資料湖倉環境（Data Lakehouse），以及Databricks、Snowflake、Teradata、Cloudera等資料平臺廠商合作。<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2025~05~dell-technologies-and-nvidia-unveil-next-generation-enterprise-ai-solutions.htm#/filter-on/Country:en-us" target="_blank"><span style="color:#3366ff;">到了今年上半</span></a>，Dell正式推出<a href="https://www.dell.com/en-us/blog/elevating-innovation-with-dell-s-ai-data-platform/" target="_blank"><span style="color:#3366ff;">AI Data Platform</span></a>，7月在力麗科技與戴爾科技合辦的研討會上，也正式將這套平臺介紹到臺灣，並具體說明Dell Data Lakehouse，以及新發展的高效能解決方案——此產品涵蓋Dell旗下兩大企業級儲存系統：PowerScale、ObjectScale，正在發展的高速存取平行檔案系統Project Lightning，以及AI加速伺服器PowerEdge XE系列。</p> <p>另一個要角是GPU大廠Nvidia，今年3月GTC大會期間，他們宣布推出<a href="https://nvidianews.nvidia.com/news/nvidia-and-storage-industry-leaders-unveil-new-class-of-enterprise-infrastructure-for-the-age-of-ai" target="_blank"><span style="color:#3366ff;">AI Data Platform</span></a>，號召多家儲存大廠與其合作打造AI資料平臺，他們組成的陣容相當龐大，成員包括：DDN、Dell、HPE、Hitachi Vantara、IBM、NetApp、Nutanix、Pure Storage、VAST Data、WEKA。</p> <p>除了系統與平臺層級的供應、支援與協同合作，若純粹從硬體設備的層面而言，為了滿足上層源源不絕且日益嚴苛的使用需求，基礎架構的規格也必須持續追求突破，以免影響IT操作體驗。</p> <p>單就最底層的資料儲存媒體領域而言，這幾年以來，儲存裝置的最大容量屢創新高。</p> <p>像是資料中心硬碟，三大廠商都面臨必須端出30 TB容量以上產品的壓力，而目前已經有兩家廠商能做到，Toshiba去年聲稱他們採用HAMR技術、能用10碟片架構提供32 TB容量，預計今年提供樣品，而且，也驗證MAMR技術的採用、成功用11碟片架構實作提供32 TB容量的產品。</p> <p>固態硬碟方面，在7月22日這天，鎧俠（Kioxia）宣布推出新款PCIe 5.0企業級SSD產品LC9系列，提供3種外形，E3.S的最大容量為122.88 TB，打平目前市場上其他的競爭產品，但更令人震撼的是，針對2.5吋和E3.L這兩種外形，LC9系列的最大容量高達<a href="https://www.kioxia.com/en-jp/business/news/2025/20250722-1.html" target="_blank"><span style="color:#3366ff;">245.76 TB</span></a>，這意味著疊上4臺這樣的儲存裝置，總容量直逼1 PB，一般人單用一隻手是可以拿得動這些裝置的。</p> <p>若以2U尺寸、可容納24臺2.5吋儲存裝置的伺服器或儲存櫃來看，如果單臺設備的儲存槽全部裝上<a href="https://www.kioxia.com/en-jp/business/news/2025/20250722-1.html" target="_blank"><span style="color:#3366ff;">245.76 TB</span></a>的固態硬碟，原生儲存容量將達到5.76 PB。</p> <p>鎧俠預告在8月初舉行的Future of Memory and Storage（FMS）年度大會，將會揭露更多關於LC9系列的細部資訊。</p> <p>相隔一週，記憶體與固態儲存大廠<a href="https://investors.micron.com/news-releases/news-release-details/micron-unveils-portfolio-industry-first-ssds-power-ai-revolution" target="_blank"><span style="color:#3366ff;">美光</span></a>，也發表新資料中心SSD的消息。其中主打大容量的新產品6600 ION最引人注目，因為他們預告2026年上半也會推出245TB容量的SSD</p> <p>而在今年的第三季，6600 ION系列將提供E3.S外形、容量為122 TB的款式，疊上10臺這樣的儲存裝置，總容量超過1 PB，一般人應該可用兩隻手捧住它們。</p> <p>若以2U尺寸、可容納36個E3.S儲存裝置的伺服器或儲存櫃來看，如果單臺設備的儲存槽全部裝上122 TB的固態硬碟，原生儲存容量將超過4 PB。</p> <p>當上述兩家廠商將資料中心固態硬碟的最大容量，拉升至200 TB的新尺度之後，其他廠商勢必跟進，且看群聯（Phison）、Solidigm、三星這幾家公司如何回應，FMS大會若來不及提出他們的市場對策，後續到10月OCP全球高峰會、11月SC大會，記憶體與儲存裝置廠商們仍會被追問這個議題。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/170391" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1245-feng_mian_gu_shi_-p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=SM81oVyF" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%AB%98%E5%AE%B9%E9%87%8F%E5%84%B2%E5%AD%98%E5%AA%92%E9%AB%94">高容量儲存媒體</a></div><div class="field-item odd"><a href="/tags/pb">PB</a></div><div class="field-item even"><a href="/tags/dell">Dell</a></div><div class="field-item odd"><a href="/tags/ai-ready-data-platform">AI-Ready Data Platform</a></div><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%84%B2%E5%AD%98%E5%AA%92%E9%AB%94">資料儲存媒體</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E7%A1%AC%E7%A2%9F">資料中心硬碟</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E5%9B%BA%E6%85%8B%E7%A1%AC%E7%A2%9F">資料中心固態硬碟</a></div><div class="field-item even"><a href="/tags/hamr">HAMR</a></div><div class="field-item odd"><a href="/tags/%E9%8E%A7%E4%BF%A0">鎧俠</a></div><div class="field-item even"><a href="/tags/kioxia">Kioxia</a></div><div class="field-item odd"><a href="/tags/%E7%BE%8E%E5%85%89">美光</a></div></div></div>
2025/8/1 19:00作者李宗翰https://www.ithome.com.tw/voice/170392
美光主流資料中心SSD進PCIe 5世代，能源效率與存取效能大增
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_7600_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球固態儲存領域年度大活動FMS，即將於8月初舉行，幾家廠商搶先在7月底釋出新產品消息，例如，美光一口氣發表三款資料中心NVMe固態硬碟，都採用<a href="https://investors.micron.com/news-releases/news-release-details/micron-announces-volume-production-ninth-generation-nand-flash">去年7月量產的Micron G9 NAND快閃記憶體技術</a>。這當中有兩款現在開始提供樣品，我們先來介紹7600。</p> <p>在此之前，美光對於鎖定主流市場需求的7000系列，陸續推出NAND快閃記憶體採用176層堆疊的<a href="https://www.ithome.com.tw/review/150002">7450</a>，以及採用232層堆疊的<a href="https://www.ithome.com.tw/review/159364">7500</a>，這兩批產品的I/O介面皆為PCIe 4.0。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micro Data Center SSD Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micro%20Data%20Center%20SSD%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>到了去年7月，美光推出首款基於Micron G9 NAND的<a href="https://www.micron.com/products/storage/ssd/client-ssd/2650-ssd">個人端NVMe固態硬碟2650</a>，並在產品規格文件當中，標示採用276層TLC NAND、PCIe 4.0介面，而在一年後、美光最新推出的7600，成為首批採用Micron G9 NAND的資料中心SSD產品之一，I/O介面改用PCIe 5.0，存取效能比起前代產品大幅提升，例如，循序讀取效能暴增至12,000 MB/s，循序寫入效能最高可達7,000 MB/s。相較之下，7500循序讀寫效能為7,000 MB/s與5,900 MB/s，而且，比起其他同樣鎖定主流市場需求的PCIe 5.0資料中心固態硬碟，美光7600的循序寫入效能領先幅度將近27％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/product-7600-ssd-group-black-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/product-7600-ssd-group-black-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 7600 SSD key specifications.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%207600%20SSD%20key%20specifications.jpg" style="width: 600px;" /></a></p> <p>在隨機讀取效能的部分，7600最高為210萬IOPS，隨機寫入效能為67.5萬IOPS，相較之下，7500隨機讀寫效能為110萬IOPS與41萬IOPS，比起其他同樣標榜主流產品定位的資料中心固態硬碟，美光表示，7600也在隨機讀取效能的項目取得領先。</p> <p>關於存取延遲方面，7600的讀取與寫入延遲規格標示為75微秒、15微秒，而在面對相同的讀寫混合工作負載時，美光表示，比起其他主流PCIe 5.0固態硬碟產品，7600的讀取延遲更低，差距幅度介於55％至67％。</p> <p>為了展現7600的能耐，美光也公開與其他競爭產品用於鍵值資料庫RocksDB的測試結果，對比的產品包含三星PM9D3a、鎧俠CD8P-R、美光7600 Pro，皆為專攻讀取密集工作負載的機型，而且，三款裝置的儲存容量均為7.68 TB。而不論執行隨機讀取工作負載，或同時執行寫入與隨機讀取的狀況下，美光7600 Pro均優於其他兩款產品，例如，讀取效能最高皆可領先21％，存取延遲減少59％、76％，能源使用效率（耗電量）表現最突出，最大可節省78％、79％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-07-7600-chart-03-micron-7600-energy-efficient.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-7600-chart-03-micron-7600-energy-efficient.jpg" style="width: 600px;" /></a></p> <p>何以7600具有更高的能源使用效率？美光表示，採用PCIe 5.0介面之後，雖然使得7600在低負載狀態的耗電量增加，但導入Micron G9 NAND、I/O傳輸率上看3.6 GB/s，再加上儲存控制器也經過調校，結果為其帶來更高的每瓦效能。舉例來說，在耗電量為25瓦的狀態下，美光7600的4K隨機寫入效能可達40萬IOPS，相較之下，某些競爭產品的每瓦效能卻只有7600的一半。</p> <p>支援資料中心與資安標準，也是美光7600的賣點之一。美光表示，這款產品支援OCP Datacenter NVMe SSD 2.6、NVMe 2.0b，以及<a href="https://www.ithome.com.tw/tags/dmtf-spdm">SPDM</a> 1.2、TCP Opal 2.02等規格，以及美光發展的安全加密隔離環境（SEE），可透過產品內建的專屬安全處理晶片取得實體隔離能力，進而能遵循多種國家級產品資安標準的要求，像是CNSA 2.0、<a href="https://www.ithome.com.tw/tags/fips-140-3">FIPS 140-3</a> Level 2。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micro%207600-Secure%20Features.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Micron 7600</strong></span><br /> ●原廠：美光<br /> ●建議售價：廠商未提供<br /> ●儲存容量：7600 Pro提供1.92 TB、3.84 TB、7.68 TB、15.36 TB，7600 Max提供1.6 TB、3.2 TB、6.4 TB、12.8 TB<br /> ●外形：2.5吋U.2、E3.S、E1.S<br /> ●儲存媒體：3D NAND，TLC，Micron G9 NAND<br /> ●最高讀寫速度：循序12,000 MB/s與7,000 MB/s，隨機210萬IOPS與67.5萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量7600 Pro為1，7600 Max為3<br /> ●可靠度：250萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/8/1 17:48作者李宗翰https://www.ithome.com.tw/review/170342
文化部提出文化藝術應用生成式AI指引，說明生成式AI應用潛在風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>文化部公布<a href=" https://www.moc.gov.tw/News.aspx?n=9149&sms=16053" target="_blank">「藝術應用生成式AI指引」</a>，針對生成式AI蒐集網路上的訓練資料，運用生成式AI產生特殊內容，例如吉卜力畫風內容是否違法等問題，提供指引參考資訊，說明潛在的法律風險。</p> <p>藝術應用生成式AI指引涵蓋創作人、作品著作權人、文化藝術事業不同角度，從不同角度的立場，說明應用生成式AI所可能遭遇的法律風險。文化部指出，研擬指引的目的在於協助文化藝術工作者或事業，對應用生成式AI進行創作，可能涉及到的著作權、公平交易法等法律風險，指引為行政指導的性質，不具有法律拘束力，提醒讀者仍需注意GAI的法律規範，例如AI基本法，以及最新的司法判例。</p> <p>文化部在指引中開宗明義提到，GAI的應用涉及對生成能力的調校及結果進行增強，從蒐集、掃描、歸類，到輸入提示，生成內容結果，將其散布至網路或是出版，涉及著作權法的「重製」、「改作」、「編輯」、「公開傳輸」。</p> <p><span style="color:#B22222;"><strong>蒐集網路上的資料需獲授權或符合合理使用</strong></span></p> <p>生成式AI蒐集資料，需要複製資料，因此涉及「重製」，如果未經授權，且不符合著作權法第44到65條的合理使用規定，即可能侵害著作權，但目前著作權法中對「重製」他人作品，創作人輸入資料，以調校生成能力、增強結果，使用網路上的任何人可接觸的作品，作為GAI的資料，涉及著作的「重製」行為，但是目前沒有明文的合規使用規定，需視個案判定是否符合著作權法第65條第2項的一般合理使用規定，國內目前還沒有相關的司法判決案例。</p> <p>但是，如果為基於新聞報導、學術引用等非商業或個人使用目的，依使用事實及參考性資料，加上對商業市場影響較低，比較容易主張合理使用；而如果以破解或避開防護的方式取得資料，則有侵害作著權的風險。</p> <p>另一個情境是，在GAI服務平臺上，如果使用他人的圖片，要求GAI改以攝影寫實來呈現或是修改為其作場景，因為涉及著作權法的「重製」、「改作」他人著作行為，如果不符合著作權法第44到64條合理使用規定，有侵害著作權的風險。</p> <p><span style="color:#B22222;"><strong>上傳圖片產生吉卜力動畫風格創作圖片不違著作權法</strong></span></p> <p>至於利用GAI服務，上傳照片，利用AI瀘鏡產生知名電影動畫風格的圖片，例如前一陣子相當流行，上傳圖片至GAI，以產生吉卜力動畫風格的生成內容，文化部在指引中表示，著作權法保護的是「表達方式」（例如一幅畫作），而非觀念或構想（例如畫風或風格），雖然要求GAI產生類似畫家畫風的新作品，只要沒有模仿畫作的「表達方式」，則不會侵害著作權，但仍可能存在負面評價或爭議的風險。</p> <p>除了著作權法，如果創作人為文化藝術事業經營者，GAI產生的相似結果可能引人錯誤，可能還會涉及公平交易法、消保法，其中公平交易法對於虛偽不實或引人錯誤的資訊，因為GAI產生相似大師的畫風內容作為行銷內容，可能引人錯誤，需要「標示」創作內容的來源，例如為GAI生成的相似內容，以和大師的作品區隔。</p> <p><strong><span style="color:#B22222;">使用GAI偽造變臉、說如及動作，除了涉及人格權，也可能違反公平交易法、消保法</span></strong></p> <p>另外，訓練資料中使用未經授權的個人資料，來產生相似人事物的內容，則可能因為偽冒肖像、聲音，而有侵害人格權的風險，甚至偽冒知名人士背書，可能因此違反公平交易法。</p> <p>至於利用GAI的深偽技術來改變影片中人物的臉，或是修改該人物的說話和動作，可能違反著作權的「重製」、「公開傳輸」之外，還涉及著作人格權的「禁止不當變更權」，甚至被變更臉部的受害人，還可以肖像權，依民法人格權要求損害賠償。</p> <p><span style="color:#B22222;"><strong>建議多使用CC0授權資料</strong></span></p> <p>對於蒐集資料用於GAI，該指引建議在未取授權之下，優先採用在授權條款中聲明永久放棄作品權利、開放自由使用的CC0（Creative Commons）的資料集，不宜對已採取防護措施，如限制網路爬蟲、內容加密等方式來取得資料，可能侵害重製權的風險。</p> <p>指引也建議在商業使用下，儘可能促使著作權人主動參與提供，並提供合理的利益分配，降低糾紛發生的可能性。如權利人不明，可透過著作權專責機關尋找管道，並提醒當作著權人不明時，依我國著作權法推定為未獲授權，授權時也要明確載明作品用途、範圍及使用限制。</p> <p>另一個建議則是，除非事先確定可主張合理使用或取得權利人的授權，為避免日後的糾紛，應避免要求或以提示引導GAI模仿特定人的人格特徵、創作及表演風格或再現特定的作品。</p> <p>其他創作人應用GAI應注意之處，包括利用GAI產生相似人類的作品，應該以明確的標示哪些部分為GAI所生成。另外，使用GAI創作，為避免糾紛，可紀錄下提示指令、中間內容的GAI服務，並選擇有歷程紀錄的GAI服務較佳，供日後發生糾紛時舉證之用。</p> <p><span style="color:#B22222;"><strong>以GAI創作是否有著作權？</strong></span></p> <p>隨著GAI應用的盛行，除了應用上應注意的侵權、糾紛等風險之外，使用GAI創作的作品，例如透過提示引導GAI生成奇幻冒險故事，這個由GAI創作的故事是否也受到著作權法的保護？</p> <p>在指引裡，依著作權法規定，「著作」為人類思想或情感的創作性表達，GAI單獨產生的內容，缺少人類精神的創作，GAI也非著作權法中主張權利的主體（沒有法律上的人格），因此生成的著作沒有著作權，也因此使用GAI創作的創作人也不能主張為著作權人。</p> <p>但是，如果使用GAI作為創作工具，在創作過程中，創作人與GAI之間人機頻繁的互動，不斷創作、編修過程，例如請GAI產生動人的冒險故事，對內容要求調整，並對產生的圖片人物要求修改，則可提升GAI創作作品的著作權保護，著作權則由投入創意的自然人所有。與前者的差別在於，GAI單獨隨機產生作品不能享有著作權，而後者因為人類的創意投入，有更強的主導GAI創作意圖而享有著作權保護。</p> </div></div></div>
2025/8/1 15:46作者蘇文彬https://www.ithome.com.tw/news/170362
【資安日報】8月1日，俄羅斯駭客針對當地外交單位從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了掌握其他國家的情報，國家級駭客從事網路間諜活動的情況，在國際局勢不斷升溫之際，一直有相關資安事故傳出，但最近微軟揭露的攻擊行動相當特別，俄羅斯駭客針對各國駐俄外交單位下手，而且，他們動用了ISP與電信業者的環境來接觸攻擊目標。</p> <p>近期遭受執法壓力的勒索軟體BlackSuit也是本週受到關注的焦點，原因是思科發現，這些駭客早就做好準備，即使執法單位破壞他們的暗網網站，這些駭客疑似幾個月前就已另外成立新組織Chaos，並在駭客論壇尋找新的加盟主進行合作。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170343"><strong style="font-size: 22px;">俄羅斯駭客Secret Blizzard鎖定大使館而來，濫用ISP發動AiTM網釣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Secret-Blizzard-AiTM-i.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Secret-Blizzard-AiTM-i.png" style="width: 300px; float: right;" /></a></p> <p>自俄羅斯入侵烏克蘭之後，俄羅斯國家級駭客就不斷對協助烏克蘭的國家發動網路攻擊，如今他們為了收集其他國家的情報，竟然打算對各國駐俄大使館及外交單位，從事網路間諜活動，而且，還動用到網際網路服務供應商（ISP）的層級來犯案。</p> <p>微軟揭露俄羅斯駭客自2024年開始的一系列網路間諜活動，發起這些攻擊的團體被稱為Secret Blizzard、Turla、Waterbug、Venomous Bear，他們利用對手中間人（AiTM）手法，攻擊位於莫斯科的大使館、外交單位，以及其他敏感的組織，散布名為ApolloShadow的惡意程式。這些被駭客鎖定的目標存在共通點，就是他們相當仰賴當地的網際網路服務供應商。微軟強調，這是他們首度看到Secret Blizzard將攻擊行動提升到ISP層級的情況，代表使用當地ISP或是電信服務的外交人員，都有可能是這些駭客下手的目標。</p> <p>這起事故被發現的時間在今年2月，當時微軟觀察到該組織針對位於莫斯科的大使館從事網路間諜活動，而最引起研究人員注意的部分，在於駭客假借卡巴斯基防毒軟體的名義，在受害電腦安裝根憑證，因為這麼做駭客有機會突破TLS及SSL加密防護機制，以明文的方式存取受害者的上網內容，甚至能進一步取得他們的Token或是帳密資料。</p> <p><a href="https://www.ithome.com.tw/news/170323"><strong style="font-size: 22px;">勒索軟體BlackSuit成員傳出另起爐灶，打造Chaos並提供租用服務</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-bc13f8bb-852d-4a0d-84c0-4f9d26c215d2.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-bc13f8bb-852d-4a0d-84c0-4f9d26c215d2.jpeg" style="width: 300px; float: right;" /></a></p> <p>駭客組織遭受執法單位的壓力，在即將遭到圍剿的前夕另起爐灶，這樣的情況不時傳出，例如，7月宣布關閉業務的勒索軟體駭客組織Hunter International，今年初傳出已使用World Leaks的名號成立新的團隊，如今有另一個興起的勒索軟體Chaos，很可能就是近期執法單位出手的勒索軟體BlackSuit（Royal）前成員組成。</p> <p>思科旗下的威脅情報團隊Talos近期揭露Chaos的攻擊手法，這些駭客通常運用洪水式垃圾郵件攻擊手法接觸受害者，藉著語音網釣得到受害組織的初期存取管道，並濫用遠端管理工具（RMM）持續連線，以及透過檔案共享軟體外傳竊得資料，這些駭客聲稱，他們大部分的受害組織位於美國，但英國、紐西蘭、印度也有企業組織受害。</p> <p>針對攻擊者的身分，Talos指出，這個駭客組織與先前使用相同名稱的殭屍網路沒有直接關聯，他們根據勒索軟體加密機制、勒索訊息的結構、駭客使用的工具集，推測Chaos可能是BlackSuit前成員組成的新團體。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/170351"><strong style="font-size: 22px;">ChatGPT分享連結功能可讓Google搜尋到用戶對話，OpenAI緊急關閉</strong></a></p> <p>一般而言，Google能搜尋到X或臉書平臺上張貼的內容，但如今Google竟然也可以搜尋到某些人和ChatGPT的私人對話，原因出在用戶使用了分享連結（share link）實驗性功能。</p> <p>分享連結功能是ChatGPT的功能之一。分享連結允許用戶將他和這個聊天機器人的對話以連結形式分享給他人。擁有這個連結的人就能讀取這些對話內容。雖然OpenAI提醒使用者不要將隱私資訊輸入ChatGPT，但總是會有用戶忽略這項警告。如果用戶使用分享連結功能產生URL，並將URL張貼在社群網站或其他公開平臺上，就可能被Google或其他搜尋引擎索引，變成可被公開搜尋的內容。</p> <p>近日Reddit用戶發現，只要在Google搜尋上限定搜尋「site:chatgpt/share」網站，再加上想要的關鍵詞，即可搜尋到其他用戶的ChatGPT對話內容。用戶運用這方法找到7萬多則內容，一旦這些內容被索引，用戶本人即使刪除自己的帳號，也無法收回已公開的資訊內容。消息曝光後，OpenAI已經將分享連結功能移除。</p> <p><a href="https://www.ithome.com.tw/news/170093"><strong style="font-size: 22px;">開源木馬程式AsyncRAT衍生逾30款分支惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AsyncRAT-figure-8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AsyncRAT-figure-8.png" style="width: 300px; float: right;" /></a></p> <p>許多自由軟體採用開放原始碼的方式，賦與使用者高度自由，不僅能夠使用，甚至能進一步修改、複製，以及散布，從而促使有能力開發的使用者加入改良的行列，而能夠帶來創新、降低成本、提升軟體的品質，然而這種開源的做法若是用於惡意軟體，就有可能加速這類工具的散布，導致造成的威脅變得更加廣泛。</p> <p>例如，最近資安業者ESET公布對於惡意軟體AsyncRAT的身世調查，就是典型的例子。AsyncRAT是非同步遠端存取木馬程式的縮寫，以C#開發而成，於2019年在GitHub儲存庫發表，如今至少衍生出超過30款惡意程式，其中最廣泛受到利用的變種是DCRat和VenomRAT。</p> <p>ESET特別提及，惡意程式數量居次的DCRat，其開發團隊對於AsyncRAT改良多項功能，其中一項是用於傳輸的資料結構，他們導入了另一個開源程式庫MessagePack，使得二進位資料序列化處理更有效率。</p> <p><a href="https://www.ithome.com.tw/news/170357"><strong style="font-size: 22px;">徵信社從駭客網站取得臺灣民眾個資，並轉賣給他人牟利</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/20250718-.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/20250718-.jpg" style="width: 300px; float: right;" /></a></p> <p>2022年10月傳出有人在駭客論壇BreachForums兜售我國的戶政資料，引發軒然大波，後來一名電腦工程師因好奇買來比對遭到檢察管起訴，事隔兩年，有人透過創世紀市集（Genesis Market）取得國人個資，且其中資料範圍相當廣，涵蓋身分證字號、手機號碼、社群網站存取權限，以及電商網站蝦皮、露天的帳密資料，但嫌犯取得這些個資的目的尚不得而知，如今有徵信社購買這類資料用於相關業務，甚至進一步在網站上兜售牟利。</p> <p>7月18日內政部警政署刑事警察局宣布，他們破獲徵信社販售個資的案件，曾擔任徵信社分公司的陳姓負責人透過公司雇用的工程師，於駭客網站買到9,300萬筆民眾個資，提供員工使用，並涉嫌在公司網站兜售。刑事局逮捕10人並移送檢方偵訊。</p> <p>針對這起事故的調查緣由，刑事局表示他們接獲情資，有不法集團將非法取得的民眾個資存放於特定的私人網站主機，經過專案小組調查後發現，此資料庫為臺中知名徵信社所有，為廖姓網站工程師透過非法管道購買，以約新臺幣15萬元的加密貨幣的代價，購得逾9,300萬筆個資。該工程師架設網站並建置系統，只要有徵信社員工有業務需求，就能透過該系統調閱民眾個資進行徵信。此外，該名工程師也在網站上標售這批資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/alerts/2025/07/29/cisa-and-partners-release-updated-advisory-scattered-spider-group">美國警告Scattered Spider攻擊升溫，鎖定外包IT服務供應商而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/chinese-firms-linked-to-silk-typhoon.html">與駭客組織Silk Typhoon有關的中國公司為網路間諜工具申請專利</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/hackers-use-facebook-ads-to-spread.html">惡意軟體Jsceal冒充加密貨幣交易工具，透過臉書廣告散布</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-macos-sploitlight-flaw-leaks-apple-intelligence-data/">針對今年3月修補的macOS資安漏洞Sploitlight，通報此事的微軟公布細節</a></strong></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-open-sources-thorium-platform-for-malware-forensic-analysis/">CISA開源惡意軟體鑑識平臺Thorium</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170345"><strong>【7月31日】駭客挾持ATM出奇招，於隔離網路部署實體後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170328"><strong>【7月30日】美國明尼蘇達州首府遭到網攻，進入緊急狀態、動員國民兵因應</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170302"><strong>【7月29日】Scattered Spider鎖定VMware虛擬化平臺而來，並使用勒索軟體加密檔案</strong></a></p> </div></div></div>
2025/8/1 14:02作者周峻佑https://www.ithome.com.tw/news/170359
Figma上市首日飆漲250%，市值達470億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用者介面（UI）設計軟體公司Figma<a href="https://www.figma.com/blog/figma-ipo-founder-letter/" target="_blank">於本周四（7/31）以每股33美元登上美國紐約證券交易所</a>，<a href="https://www.cnbc.com/2025/07/31/figma-fig-starts-trading-on-nyse-after-ipo.html" target="_blank">首日股價大漲250%</a>，收在115.5美元，市值衝上470億美元，遠高於原先Adobe擬以200億美元收購的估值。當天盤後股價續漲24.2%，達143.45美元。</p> <p>Figma成立於2016年，提供線上介面設計與即時協作服務，也推出支援macOS與Windows的桌面應用程式，目前擁有約1,300萬名每月活躍用戶。該公司2024年營收達7.49億美元，年增48%，但因認列一次性員工股票補償費用，帳面虧損約7.3億美元。2025年第一季，Figma營收達2.28億美元，年增46%，淨收入為4,490萬美元。</p> <p>市場普遍認為，Figma的成功上市將為圖像設計平臺Canva、AI與資料工程服務商Databricks，以及客戶服務自動化公司Genesys等SaaS獨角獸鋪路，重新點燃科技IPO市場熱度。</p> </div></div></div>
2025/8/1 14:39作者陳曉莉https://www.ithome.com.tw/news/170360