iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

川普要求英特爾執行長陳立武立即辭職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）周四（8/7）透過自家Truth Social平臺呼籲英特爾（Intel）執行長陳立武應該馬上辭職，因為他存在著高度利益衝突。當天英特爾股價下滑了3.14%，以19.77美元作收。</p> <p><a href="https://www.ithome.com.tw/news/167838" target="_blank">今年3月才接任</a>英特爾執行長的陳立武為馬來西亞華僑，他出生於1959年，於1987年成立創投公司Walden International ，專門投資美國及亞洲的高科技新創，並廣泛投資中國半導體產業，包括涉及軍方背景的公司；曾在2009年擔任美國專門提供半導體設計與驗證軟體（EDA軟體）的Cadence執行長，一直到2021年才卸任。</p> <p>由於陳立武擁有超過20年的半導體領域經驗，在他接手後，英特爾股價立即上揚了10%，同時陳立武也開始大刀闊斧地<a href="https://www.ithome.com.tw/news/170263" target="_blank">改革英特爾</a>。</p> <p>川普並未明說陳立武所涉及的利益衝突為何，僅說除了辭職之外，並沒有其它解決此一問題的辦法。</p> <p>外界則猜測這與Walden曾投資中國晶片、EDA軟體及通訊企業，並擁有當地相關人脈有關，因為作為英特爾執行長，陳立武需要接觸大量美國半導體核心技術及政府合作計畫，其中國投資背景可能存在資訊外流風險。</p> <p>至於英特爾則對此<a href="https://newsroom.intel.com/corporate/our-commitment-to-advancing-u-s-national-and-economic-security" target="_blank">發布了官方聲明</a>，表示英特爾、董事會與陳立武都將致力於促進美國的國家與經濟安全利益，並正根據總統的美國優先計畫進行重大投資，期待繼續與美國政府部門保持聯繫。並未正面回應川普的要求。</p> </div></div></div>
2025/8/8 13:19作者陳曉莉https://www.ithome.com.tw/news/170496
越南駭客透過竊資軟體PXA從事大規模攻擊，4,000臺電腦受害、20萬組帳密遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>竊資軟體（Infostealer）橫行，其中自2023年開始，多家資安業者揭露越南駭客透過臉書企業帳號散布<a href="https://www.ithome.com.tw/news/158628">Ducktail</a>、VietCredCare、SYS01 Stealer的攻擊行動，如今有資安業者指出，<a href="https://www.sentinelone.com/labs/ghost-in-the-zip-new-pxa-stealer-and-its-telegram-powered-ecosystem/">在兩年後，越南駭客的手法出現大幅變化</a>，融合更為細致的反分析手法，並採用看起來沒有惡意內容的誘餌，以及建置強化的C2通訊管道，從而延後防守方察覺異狀。</p> <p>資安業者SentinelOne與Beazley Security聯手，針對名為PXA Stealer的竊資軟體進行調查，此惡意程式以Python打造而成，兩家資安業者透過外流的事件記錄資料，確認駭客的攻擊範圍遍及至少62個國家，有超過4千個IP位址外流逾20萬組帳密、數百筆信用卡記錄，以及逾400萬個瀏覽器Cookie，受害最嚴重的國家是韓國、美國、荷蘭、匈牙利、奧地利。</p> <p>而對於攻擊者的身分，兩家資安業者指出與使用越南語的網路犯罪生態圈有關，這些駭客透過地下生態系統，以訂閱服務的形式兜售竊得資料換取經濟利益，此生態系統透過Telegram的API，進行自動化銷售及資料運用。</p> <p>針對此竊資軟體的攻擊行動，兩家資安業者在去年下半察覺並著手調查、追蹤，並指出這波活動仍在持續進行，而且，駭客不停調整惡意程式的散布機制，現在已經演變成高度迴避偵測、多階段的攻擊流程。其中一種導入的攻擊手法，就是透過Microsoft Word 2013，以及以小巧著稱的Haihaisoft PDF Reader，藉由這種具有合法簽章的軟體，側載惡意DLL檔案。</p> <p>這波活動突顯駭客將Telegram、Cloudflare Workers、Dropbox等合法服務武器化，用於竊取資料及變現，同時藉此降低攻擊成本。</p> <p>PXA Stealer的活動大約從去年10月出現，但駭客不斷調整惡意程式的側載機制，並更新以Telegram架設的C2基礎設施。在其中一起發生在今年4月的攻擊當中，受害者被引誘下載壓縮檔，其內容是Haihaisoft PDF Reader主程式及惡意DLL檔案，此惡意檔案透過機碼讓駭客持續在受害電腦活動，並搜尋其他作案工具，其中包含Dropbox代管的有效酬載，最終部署LummaC2（Lumma Stealer）、Rhadamanthys Stealer等竊資軟體。</p> <p>但後續兩家資安業者發現，駭客調整使用的竊資軟體有效酬載，不再使用Windows執行檔，而是以Python打造的有效酬載。這次駭客向受害者傳送大型壓縮檔，內容同樣包含Haihaisoft PDF Reader主程式，以及新的惡意DLL檔。一旦執行，DLL檔就會建立Evidence.cmd，利用公用程式certutil從有問題的PDF文件解出嵌入的RAR檔案，在此同時，Edge瀏覽器也會試圖開啟PDF檔案，但會出現錯誤訊息。</p> <p>後續攻擊者以偽裝成images.png的WinRAR主程式，以命令列解壓縮RAR檔內容，從而於受害電腦植入PXA Stealer。</p> <p>到了7月，這些駭客的手法又出現變化，Beazley Security偵測到類似的感染鏈，但這次駭客改用Word 2013主程式，用於側載惡意檔案msvcr100.dll。附帶一提的是，這次駭客將後續攻擊所需的工具放在名為「_」的資料夾。</p> <p>駭客將Word主程式偽裝成Word文件，一旦執行，電腦就會顯示侵權通知文件Tax-Invoice-EV.docx，不過這個Word文件並未具備巨集或其他可執行指令碼的物件，因此資安業者認為，駭客主要的目的是混淆資安分析師的調查。</p> <p>但在此同時，駭客也在背景執行certutil，將特定ZIP檔案的內容解壓縮到「_」資料夾，後續的攻擊流程，大致就於4月的事故雷同：透過images.png將RAR檔內容解開，從而導致受害電腦感染PXA Stealer。</p> </div></div></div>
2025/8/7 17:05作者周峻佑https://www.ithome.com.tw/news/170482
透過差異化競爭累積自信
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tu_1_gong_cheng_shi_xia_ban_you_yue_tu_pian_lai_yuan_bo_shuo_wen_hua_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「你不用很強，但要夠特別」這個觀念很重要，因為絕大多數人都是普通人，我們沒有過人的天賦，無論多努力也贏不過那些天才。</p> <p>讀高職時儘管學業壓力不大，但家母對我有極高的期待，只要我稍微放鬆，她「愛的叮嚀」便會即時出現。</p> <p>但我又不是一個喜歡唸書的學生，為了讓自己表面上看起來很上進，我選擇去考證照，在高一升高二的暑假，我額外考取了5張證照。</p> <p>說實話，丙級證照只要熟悉術科、背好學科，考試的難度並不高；但真的去考這麼多張證照的人並不多，因為就算考到了，對升學、職涯並沒有太大幫助。</p> <p>但就因為這個特別的舉動，我獲得了意想不到的「機會」。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>獲得機會，跟掌握機會是兩件事</strong></span></span></p> <p>大多數丙級證照的通過率都超過75%，但也有少部份的證照難度較高；其中「電腦軟體設計」是筆者印象最深的證照，因為當時參加的那場通過率只有17%。</p> <p>因為考了很多證照，我因緣巧合地認識了當時擔任圖書館主任的許益財老師，他是我一生的貴人。我在擔任學校圖書館志工時，與老師建立了深厚的聯繫（甚至人生第一次出國，也是老師向學校推薦的，這趟旅程全額補助）。</p> <p>與主任說明我取得了哪些證照後，就被轉介給「電腦研究社」的指導老師，接著被邀請參加當年的「台北市電腦軟體設計競賽」。</p> <p>當初收到這個邀請的時候，其實是想拒絕的，因為我很清楚自己能考取這張證照，是因為把術科全部的程式碼都背下來了。（對！你沒看錯...當年沒有任何程式基礎的我，就是這樣矇混過關的。）</p> <p>不過聽到參加比賽就可以不用上課，還有一個場地讓選手集中培訓後，我就決定參賽了；因為對我來說，「不上課」跟「當選手」這兩件事很特別，比上課讀書更有吸引力。</p> <p>當選手其實比上課讀書更累，記得當年集訓時，要從早上八點一路寫程式到晚上九點，偶爾回教室考試上課反而像是一種放鬆。因為解題的過程每分每秒都在瘋狂消耗腦細胞，這遠比坐在教室聽老師講課，或寫那些代公式就有答案的題目更加勞心費神。</p> <p>這個比賽分為「初賽」和「決賽」兩個階段，因為初賽只有筆試，所以我輕鬆過關；而決賽則是要在現場寫程式解題，儘管經歷過一段時間的特訓，但臨時抱佛腳顯然在正式比賽中沒多大用處，3個小時過去後，我毫無懸念地成為炮灰。</p> <p>不過當年團體賽還是靠隊友拿到了第一名，這是我第一次體會到「抱大腿」的重要性；你未必要成為團隊中最強的人，但一定要進入強者的圈子。</p> <p>在這場比賽中，我有三個收穫：</p> <p>1. 多學幾項技能，有時會獲得意外的機會。</p> <p>2. 運氣可以讓你獲得機會，但沒有實力，給你再多的機會也沒有用處。</p> <p>3. 透過比賽認識的「人脈」，有時比同學間的情誼更加深刻。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>人，需要一場勝利，然後記住這個感覺</strong></span></span></p> <p>比賽輸了後，我又回歸自己平凡的人生；直到某天經過圖書館時，剛好看到同班同學在跟老師討論小論文比賽的最終版本。</p> <p>等同學與老師討論完後，我不知道哪根筋不對，突然向老師詢問：「請問您可以當我小論文的指導老師嗎？」</p> <p>老師應該也被這個問題嚇到了，因為這是我們第一次見面，連彼此的名字都不知道，而且「隔天」就是比賽的截稿日了。</p> <p>但與老師了解完比賽的規則後，我還是決定參賽了（當時的我甚至連題目都還沒想好，這個決定現在回想起來依舊不可思議）。</p> <p>許多人面對機會時總是猶豫不決，而我在面對機會時總是先做再說，至少失敗了不留遺憾。這個人格特質讓我在獲得許多機緣的同時，也讓我失敗的經驗遠超常人。</p> <p>這場比賽我花了一個晚上完成草稿，並在隔天利用下課時間詢問老師的建議，放學優化完細節後就直接上傳小論文了。</p> <p>當時我對這場比賽不抱任何希望，畢竟只是一時隨興的參與，沒有得獎理所當然；結果沒想到公佈成績時竟然得獎了！</p> <p>這邊要特別感謝周佳嵐老師給予的協助，如果當時被拒絕，也許我現在的命運就不一樣了。</p> <p>這個獎對我的人生來說，真的意義非凡，因為：</p> <p>1. 在這之前，我這輩子從來沒有在任何比賽中拿過個人獎項，它幫我打了一劑強心針；不管後續贏了多少場比賽，我都不會忘記這個「起點」。</p> <p>2. 之前當選手時疏於課業導致班排倒數，還因此被家人唸了一頓；但因為這次有得獎，原本希望我乖乖讀書的家人，更願意讓我做多方的嘗試。</p> <p>3. 如果這場比賽沒有得名，我不確定自己未來是否還會主動參賽，畢竟成績下降也讓我蠻恐慌的（但因為接下來持續參賽，所以畢業的名次真的挺難看）。</p> <p>在獲得第一場勝利後，我比賽的竅門彷彿打開了；於是筆者接下來的高職生涯都在參加各種競賽、活動。別人拿市長獎是因為成績第一，而我的市長獎是因為贏得的比賽夠多。</p> <p>【Tips】除非你很有天賦，不然請從小型比賽開始參加；在初期累積自信是最重要的事，如果努力看不到成果，任何事情都很難堅持下去。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>「國文」是影響我一生的科目</strong></span></span></p> <p>有次筆者回大安高工分享自己從高中、大學，到出社會工作的人生經驗。</p> <p>在結尾QA時，有個同學的提問讓我印象深刻：「學長，請問你出社會這幾年來，覺得當初學校教的哪個『科目』對你影響最大？」</p> <p>收到這個問題的時候，我大腦轉了一圈，最終給出了一個連我自己都嚇一跳的答案：「我覺得是國文。」</p> <p>以筆者的從業經驗來說，大多數的工程師在工作4~7年後都具備相當的專業素養，但如果想要在職場上更近一步，「國文」的重要性就變高了。</p> <p>在工作中我們不免要與同事、主管、客戶打交道。好的國文有助於清晰、有效地表達自己的觀點，不但能促進團隊間的合作，還更容易取得好的工作成果。</p> <p>工程師並不是把功能開發完就沒事了，他還要撰寫技術文件（ex：API文件、測試報告）。一份優秀的技術文件，除了能同步技術資訊，還能幫助開發人員日後回憶。</p> <p>如果你負責主持一項專案，那勢必要撰寫提案，並定期向高層報告。如果能在提案與報告時清晰表達自己的思路，那高層會對你印象深刻，增加未來升職與加薪的籌碼。</p> <p>過去我們被交代撰寫技術文件、提案報告的時候可能會不情不願。但該完成的任務還是要完成，反正時間都要花下去，與其寫出一份大家都不滿意的文件，還不如多花點心思，嘗試寫出能幫助大家的文件。培養出這個好習慣後，你會發現，其實這些文件是在幫助未來的自己。<strong>（本文摘錄整理自《工程師下班有約》，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E4%B8%8B%E7%8F%AD%E6%9C%89%E7%B4%84_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 工程師下班有約：企業內訓講師帶你認清職涯真相！</strong></p> <p>林鼎淵(Dean Lin)／著</p> <p>博碩文化出版</p> <p>定價：600元</p> <p><a href="https://medium.com/dean-lin/%E6%88%91%E8%8A%B1%E4%BA%86%E5%8D%81%E4%BA%94%E5%B9%B4%E8%AD%89%E6%98%8E%E8%87%AA%E5%B7%B1-%E6%89%8D%E7%B4%AF%E7%A9%8D%E4%BA%86%E4%B8%80%E6%9C%AC%E6%9B%B8%E7%9A%84%E6%95%85%E4%BA%8B-280b2aeadf2d" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E4%B8%8B%E7%8F%AD%E6%9C%89%E7%B4%84_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%9E%97%E9%BC%8E%E6%B7%B5(Dean%20Lin).png" style="width: 150px;" /></a></p> <p><a href="https://medium.com/dean-lin/%E6%88%91%E8%8A%B1%E4%BA%86%E5%8D%81%E4%BA%94%E5%B9%B4%E8%AD%89%E6%98%8E%E8%87%AA%E5%B7%B1-%E6%89%8D%E7%B4%AF%E7%A9%8D%E4%BA%86%E4%B8%80%E6%9C%AC%E6%9B%B8%E7%9A%84%E6%95%85%E4%BA%8B-280b2aeadf2d" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_林鼎淵(Dean Lin)</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>林鼎淵(Dean Lin)</strong></p> <p>外商公司Software Specialist /生成式AI創新學院發起人/商業周刊&科技島專欄作家</p> <p>做過工程師、專案經理、技術主管等職位，從2020年開始將經手過的問題與技術分享到部落格，至今已發表超過400篇文章，累計瀏覽數超過4,000,000次。</p> </div></div></div>
2025/8/8 11:10未署名https://www.ithome.com.tw/article/170414
法航、荷航也傳客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nieuws.klm.com/klm-informeert-klanten-over-incident-met-persoonsgegevens/#" target="_blank">歐洲航空巨擘法航（Air France）、荷航（KLM）本周公告</a>其客戶資料庫遭駭客經由第三方平臺竊取，成為近日外洩客戶資料的最新航空公司。</p> <p>兩家航空公司母公司法荷航集團（KLM）的說明，其安全團隊在其儲存客戶資料的第三方平臺上發現異常活動，導致客戶資料遭一名未經授權人士存取，該公司IT安全團隊和外部廠商合作立即阻斷本事件，也採取措施預防再次發生。</p> <p>法航和荷航表示其內部系統未受影響，客戶的密碼、旅行詳細資訊、護照、信用卡及常客飛行里程等敏感資料也都完好無損。</p> <p>兩家公司已分別向荷蘭及法國資料保護主管機關通報此事，且己向受到影響的客戶發函通知，警告留心可疑電子郵件和電話。</p> <p>法航與荷航未說明洩露了哪些客戶資料，或是使用什麼樣的第三方系統。但根據二家公司客戶<a href="https://x.com/troyhunt/status/1953181019726856661" target="_blank">在網路上分享的消息</a>，外洩的資料包含客戶的姓名、聯絡資訊、藍天常客飛行計畫的編號、等級，以及通訊郵件主旨等。</p> <p>資安專家Troy Hunt指出，從攻擊者鎖定常客忠誠計畫來看，此次行動和7月<a href="https://www.ithome.com.tw/news/169869" target="_blank">澳航（Qantas）資安事件</a>很類似。駭客利用澳航的一個客服中心獲得該第三方客服平臺的存取權，進而存取儲存在該平臺高達600萬筆客戶資料，包括姓名、電子郵件位址、電話號碼、出生日期，以及常客飛行會員編號。</p> <p>外界猜測這起事件是由駭客組織Scattered Spider所為。</p> <p>澳航、法航及荷航皆未公佈使用的第三方平臺是否為近日接連被竊取資料的Salesforce。近日被駭客存取第三方平臺上的客戶資料的，還有安聯人壽、思科、以及LV、Chanel、Pandora、以及今年初的Christian Dior Couture（Dior）等，這些受害者也都拒絕公佈使用的服務。</p> <p>唯獨<a href="https://www.ithome.com.tw/news/170439" target="_blank">Google坦承</a>駭客從其Salesforce竊取中小企業客戶聯繫資訊。較為特殊的是，駭客利用語音釣魚手法，從員工手上騙取Salesforce憑證進而存取系統。</p> </div></div></div>
2025/8/8 11:28作者林妍溱https://www.ithome.com.tw/news/170491
Gemini CLI GitHub Actions上線，AI助自動化程式開發與團隊協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在GitHub<a href="https://blog.google/technology/developers/introducing-gemini-cli-github-actions/">推出</a>官方Action <a href="https://github.com/google-gemini/gemini-cli-action?utm_source=chatgpt.com">run-gemini-cli</a>，把Gemini CLI直接納入GitHub工作流程，目標是在不改動既有CI的前提下，處理例行且可機械化的協作工作。系統在議題（Issue）與拉取請求（Pull Request）等事件觸發時在背景非同步執行，結合專案脈絡自動進行議題分流、程式碼審查與指令式協作，提供可自訂的開源工作流程。</p> <p>相較於在終端機個人使用的Gemini CLI，這套Action更適用在團隊開發場景，開發者可在議題或拉取請求中以@gemini-cli委派任務，例如要求撰寫測試、解釋改動、產出修正草稿或嘗試修復已確認的錯誤。系統會讀取差異與上下文，並可參考倉庫根目錄的GEMINI.md，以對齊團隊風格與架構規範，在拉取請求上會產出摘要與風險提示，對議題則可自動分類、標籤並建議優先序。</p> <p>導入流程著重可操作性，開發者可直接將範例工作流程放入專案的.github/workflows/，或在本機啟動Gemini後執行/setup-github，由精靈程式生成必要檔案與最小設定。預設可透過GITHUB_TOKEN運作，當需要更嚴謹邊界時，也支援自訂GitHub App與倉庫層級的密鑰與變數，以精細化權限與執行範圍。</p> <p>在資安與控管方面，系統支援Google雲端WIF（Workload Identity Federation），避免長期金鑰駐留。管理者可建立命令與工具的允許清單，限制代理可執行的CLI與shell指令，配合最小權限原則降低風險。可觀測性上，整合OpenTelemetry，能輸出追蹤、指標與日誌至既有的監控平臺如Cloud Monitoring，支援稽核與除錯。</p> <p>官方同時將先前的社群專案封存，轉由google-github-actions/run-gemini-cli統一維護，確保版本發布節奏與支援一致。目前為Beta測試並提供AI Studio免費額度，開發者也可切換使用Vertex AI或Gemini Code Assist。</p> </div></div></div>
2025/8/8 11:08作者李建興https://www.ithome.com.tw/news/170486
OpenAI釋出GPT-5，強化程式開發及代理任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-gpt-5/" target="_blank">OpenAI周四（8/7）正式發表了GPT-5</a>，ChatGPT版本採用統一系統架構，同時整合了快速回應與深度思考模式，並可透過即時路由器自主切換，也提高了整體的性能、效率與可靠性，<a href="https://openai.com/index/introducing-gpt-5-for-developers/" target="_blank">GPT-5 API版本</a>則大幅強化程式開發及代理任務，已被整合到OpenAI API平臺、Codex CLI、Microsoft 365 Copilot、GitHub Copilot及Azure AI Foundry上等平臺上。</p> <p>根據OpenAI的說法，GPT-5提高了ChatGPT中最常見之3種用途的性能，包括寫作、程式設計與健康，亦於減少幻覺、強化指令遵循，以及減少阿諛奉承上有了重大改進。例如只需要一個提示就能生成美觀且回應訊速網站、應用程式及遊戲；在健康上它可主動標記潛在的問題並提出問題，也能有更精確與更可靠的回應；在文字上則具備更有意境的創作風格。</p> <p>GPT-5在有關數學的AIME 2025基準測試分數為94.6%，與程式設計相關的SWE-bench Verified及Aider Polyglot分別達到74.9%與88%，涉及多模態理解的MMMU為84.2%，健康領域的HealthBench Hard為46.2%，以GPT-5 Pro進行科學推理的GPQA為88.4%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-gpt-5-swe%20benchmark.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>相較於OpenAI o3，GPT-5的輸出Token少了50~80%；相較於GPT-4o，GPT-5的事實錯誤少了45%；在開放式的事實查詢中，GPT-5的幻覺率是OpenAI o3的1/6；在缺少圖片的多模態測試中，o3有超過86%的比例會給出虛假答案，GPT-5只有9%；GPT-5的諂媚回應也從GPT-4o的14.5%降至6%以下。</p> <p>OpenAI還開始於GPT-5中預覽不同的聊天機器人個性，包括憤世嫉俗型（Cynic）、機器人型（Robot）、傾聽者型（Listener）與書呆子型（Nerd），初期僅支援文字聊天，之後將支援語音，使用者可自行於設定中調整。</p> <p>而在程式設計上，OpenAI於內部測試GPT-5的前端開發，發現它有70%的時候都優於o3，輸出Token減少了22%，工具呼叫減少了45%，且性能更好。Windsurf說它的工具呼叫錯誤率比其它先進模型少了一半。</p> <p>至於GPT-5在與代理任務有關的τ2-bench telecom基準測試分數為96/7%，Scale MultiChallenge為69.6%，長文本的檢索能力也優於o3及GPT-4.1，代表它能夠更可靠地呼叫並串聯各種工具。</p> <p>GPT-5有3種API規格，包括GPT-5、GPT-5-mini與GPT-5-nano，每100萬個輸入Token的價格分別是1.25/0.25/0.05美元，輸出則是10/2/0.4美元。</p> <p>有些媒體試用後認為GPT-5屬於重大更新，有些則覺得它比不上從GPT-3到GPT-4所帶來的驚喜，<a href="https://www.reuters.com/technology/artificial-intelligencer-cloud-wars-20-2025-08-07/?utm_source=chatgpt.com" target="_blank">而根據路透社（Reuters）的報導</a>，OpenAI內部正在討論如何讓員工手上的股票套現，且對該公司的估值高達5,000億美元。<a href="https://www.ithome.com.tw/news/168182" target="_blank">OpenAI在今年3月底宣布</a>要融資400億美元，融資後的估值為3,000億美元。</p> </div></div></div>
2025/8/8 11:15作者陳曉莉https://www.ithome.com.tw/news/170490
Claude Code支援GitHub，AI自動安全審查即時提供漏洞修正建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.linkedin.com/posts/anthropicresearch_claude-code-can-now-automatically-review-activity-7358892123321954304-ylhA/">宣布</a>旗下Claude Code整合自動安全審查功能，現已全面支援GitHub Actions，並開放所有Claude Code用戶使用。此功能可在開發團隊提交拉取請求（Pull Request，PR）階段，利用人工智慧分析程式碼變更，並於變更程式碼旁提供詳細說明與建議。</p> <p>這項自動安全審查將生成式人工智慧技術結合至GitHub協作流程。當開發人員提出拉取請求時，Claude Code會針對變動檔案進行語意分析，並嘗試檢測常見安全風險，例如SQL注入、跨站腳本（XSS）、身分驗證與授權相關問題等。與傳統以規則為主的SAST工具不同，Claude Code的人工智慧模型具備語意理解能力，能在一定程度上判斷程式碼邏輯與意圖，以協助找出潛在的安全疑慮。</p> <p>分析完成後，Claude Code會將檢測到的問題直接以註解方式標記在GitHub拉取請求畫面中，並附上風險說明與修正方向，方便審查人員即時查看與討論。開發者也可透過命令列工具，例如/security-review在本地或CI環境中執行程式碼檢查，作為拉取請求前的預防性步驟。</p> <p>此外，Claude Code支援自訂排除特定檢查範圍與調整過濾規則，協助團隊減少低風險或不相關的檢測結果，將資源集中於需要關注的部分。由於其採用語意分析架構，並未限定程式語言或開發框架，適用於多元技術堆疊的專案環境。</p> <p>Anthropic表示，該功能已於<a href="https://github.com/anthropics/claude-code-security-review">GitHub開源</a>，採MIT授權。開發者可依官方文件說明，將工作流程設定檔新增至專案並設定API金鑰，即可啟用功能。現有Claude Code用戶無需額外付費或額外申請流程，即可在開發流程中整合此工具。</p> </div></div></div>
2025/8/7 17:06作者李建興https://www.ithome.com.tw/news/170483
Android Studio升級導入Gemini代理模式與XR開發支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式<a href="https://android-developers.googleblog.com/2025/07/android-studio-narwhal-feature-drop-stable-agent-mode.html">發布</a>Android Studio Narwhal Feature Drop穩定版，核心更新圍繞人工智慧協作以及擴增與虛擬實境（XR）應用開發。此次Android Studio Narwhal功能更新，除了將Gemini人工智慧代理模式導入正式版外，也同步強化Kotlin編譯效率、UI預覽功能及Android裝置相容性，提供行動與跨裝置應用更具彈性的開發基礎。</p> <p>新版最大變化在於正式納入Gemini代理模式，可協助開發者處理複雜、多階段的開發任務，例如新增功能、產生單元測試或修復程式錯誤。開發者可於側邊欄開啟Gemini代理模式，描述目標後，人工智慧會主動拆解任務、規畫執行步驟，並結合IDE內建工具進行檔案操作及Gradle流程。</p> <p>整體流程維持開發者主導權，所有人工智慧建議均需人工審核與決策，可根據需求要求人工智慧反覆修正，強調人機協作及開發過程的可控性。</p> <p>目前免費版提供的Gemini模型，受限於較短的上下文長度，對於大型專案可能略顯不足。若需處理高複雜度或大規模程式碼，可設定自有Gemini API金鑰並切換至Gemini 2.5 Pro模型，享有100萬字元的上下文長度，更符合團隊協作及企業級專案需求。</p> <p>Narwhal此次也針對人工智慧互動導入Prompt Library Rules機制，讓開發團隊能事先定義專案標準，例如語言、架構、程式風格或輸出格式。這些規則不僅可套用於個人開發環境，也能同步至專案目錄，方便團隊維護一致性，降低溝通與協作的摩擦。</p> <p>Android Studio Narwhal新版本強化了對XR應用的支援，新版內嵌XR Android Emulator，開發者可在IDE內直接啟動模擬器，並以Embedded Layout Inspector檢視UI結構、最佳化效能，搭配Jetpack XR專案範本，開發者可快速啟動新專案並落實沉浸式體驗設計。</p> <p>Narwhal預設啟用K2 Kotlin編譯器，大幅提升Kotlin專案的建構速度與穩定性，並具備未來語言升級的彈性。考量Android裝置逐步導入16 KB記憶體分頁，本次更新加入分頁大小相容性檢查與Lint警示，協助開發者提前修正原生函式庫可能產生的問題，降低後續上架或硬體遷移的技術風險。</p> <p>Android Studio針對Google雲端服務的功能引入服務相容性政策，降低雲端服務變更對開發專案的影響，明定每個版本約有一年支援期，系統會於30天前提醒升級。</p> </div></div></div>
2025/8/8 08:47作者李建興https://www.ithome.com.tw/news/170485
【資安日報】8月7日，Linux惡意程式濫用身分驗證模組PAM隱匿行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近鎖定Linux作業系統的惡意軟體攻擊頻傳，其中有一起事故的揭露引起許多資安媒體關注，那就是後門程式Plague的活動，揭露此事的資安業者Nextron Systems指出，相關的惡意程式最早在一年前就出現，而且，對於攻擊者的身分，目前仍不得而知。</p> <p>而在漏洞揭露有關的消息，其中又以趨勢科技企業端點防護系統Apex One的重大漏洞相當值得留意，因為目前已有攻擊行動出現；另一個出現攻擊行動的重大漏洞，是存在於WordPress佈景主題Alone的CVE-2025-5394；此外，本週Adobe修補電子表單平臺AEM Forms零時差漏洞，用戶也要特別留意，因為相關資料在修補前已遭公布，而且，其中一個還是危險程度達到滿分的漏洞。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170475"><strong style="font-size: 22px;">後門程式Plague透過SSH入侵Linux伺服器，濫用身分驗證模組PAM匿蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-08-01-at-16_10_29-scaled.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-08-01-at-16_10_29-scaled.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Palo Alto Networks在最近揭露去年中國駭客CL-STA-0969攻擊西亞或中東國家電信產業的事故中，提到駭客藉由插入式身分驗證模組（Pluggable Authentication Module，PAM）框架實作後門，現在有另一家資安業者指出，駭客濫用前述的Linux作業系統身分驗證機制模組，使得打造出來的惡意程式能靜悄悄地繞過系統的身分驗證流程，並能建立持久的SSH存取管道。</p> <p>這支最新發現的Linux惡意程式稱為Plague，相關消息揭露後，多家資安新聞媒體紛紛報導此事。由於以PAM為基礎打造，使得Plague的活動行蹤相當隱密，最近一年以來，其實已有數個版本的Plague被上傳到惡意程式分析平臺VirusTotal，但幾乎沒有防毒引將其視為有害，這樣的情況引起資安業者Nextron Systems注意並介入調查，指出這是首度有人將PAM用於打造Linux惡意程式的攻擊行動。</p> <p>更令人驚恐的部分在於，Nextron Systems找到的Plague惡意程式檔案，最早約在一年前出現，這些檔案大部分從美國上傳至VirusTotal，但也有從中國上傳的檔案。</p> <p><a href="https://www.ithome.com.tw/news/170422"><strong style="font-size: 22px;">WordPress佈景主題Alone存在重大漏洞，已被用於實際攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blocked-attacks-WAF-842.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blocked-attacks-WAF-842.png" style="width: 300px; float: right;" /></a></p> <p>資訊安全公司Wordfence揭露，名為Alone的WordPress佈景主題存在重大安全漏洞CVE-2025-5394，並發現已有攻擊者利用該漏洞攻擊未修補的網站。該漏洞屬於9.8分的重大危險層級，能使未經授權的遠端攻擊者上傳惡意檔案，甚至執行遠端程式碼，最終導致網站被完全控制。Alone主題整體銷售量約9,000份，目前Wordfence已偵測到超過12萬次的相關攻擊嘗試。</p> <p>該漏洞最早由研究人員於5月通報，經驗證後確認屬實，Wordfence便隨即透過其防火牆規則提供防護。不過，攻擊者似乎早已掌握到原始碼變更，趕在開發團隊公開揭露之前，便展開大規模的入侵嘗試。</p> <p>攻擊者透過上傳藏有惡意後門的外掛檔案，植入具有網站管理員權限的帳號或執行後門程式，或是安裝網頁檔案管理工具，以便維持對網站的控制。Wordfence偵測的攻擊資料顯示，數個來自歐洲地區的IP位址特別活躍，其中單一IP位址就曾嘗試入侵超過3萬次，代表這類攻擊已高度自動化且大規模進行。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-ghost-calls-tactic-abuses-zoom-and-microsoft-teams-for-c2-operations/">協作及線上會議平臺遭到濫用，駭客以Zoom及Teams架設C2</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2025/08/06/google_salesforce_attacks/">針對去年的Snowflake供應鏈攻擊事故，駭客也從受害組織的Salesforce實體竊取資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/lazarus-hackers-use-fake-camera-microphone/">視訊鏡頭和麥克風存取通知也有假的！Lazarus用於從事社交工程攻擊，散布PyLangGhost RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/chollima-apt-group-targets-job-seekers-and-organizations/">北韓駭客鎖定軟體開發及IT領域的求職者而來，意圖透過JavaScript惡意軟體滲透美國企業組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/uac-0099-hackers-weaponize-hta-files/">UAC-0099鎖定烏克蘭軍方而來，透過HTA檔案散布惡意程式載入工具MatchBoil</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170467"><strong style="font-size: 22px;">趨勢科技企業端點防護軟體Apex One爆2項RCE漏洞，已發現攻擊行動</strong></a></p> <p>趨勢科技本周公告，企業端點安全產品Apex One產品發現2項重大遠端程式碼執行（RCE）漏洞，而且已經有攻擊行動，趨勢科技剛剛釋出暫時性緩解工具，供內部建置的用戶套用，並預計8月中旬發布正式修補程式。</p> <p>這些漏洞出現在此端點防護產品的管理主控臺，被登記為CVE-2025-54948和CVE-2025-54987，兩者皆為指令注入RCE漏洞，可讓遠端攻擊者不需經過驗證上傳惡意程式碼，在受害系統上執行指令，CVSS風險值都是9.4。趨勢科技指出，CVE-2025-54987和CVE-2025-54948基本上相同，差別是影響不同CPU架構的裝置。</p> <p>值得留意的是，漏洞利用存在先決條件，那就是攻擊者必須實際或遠端存取Apex One管理主控臺，因此，趨勢科技指出，假若用戶的管理主控臺能直接從網際網路存取，最好能限制存取或是暫時關閉來降低風險。</p> <p><a href="https://www.ithome.com.tw/news/170441"><strong style="font-size: 22px;">Adobe緊急修補電子表單平臺AEM Forms零時差漏洞</strong></a></p> <p>8月5日Adobe針對電子表單平臺Adobe Experience Manager Forms（AEM Forms）發布緊急修補，公告兩個資安漏洞，這些漏洞不僅危險，其中一個風險值更達到滿分，而且，相關細節在Adobe發布修補程式之前，就已經被公布，很有可能成為接下來歹徒利用的對象。因此，Adobe認為，雖然目前他們尚未發現漏洞遭到利用的跡象，但用戶應以最優先層級採取因應措施。</p> <p>這兩個漏洞是CVE-2025-54253、CVE-2025-54254，影響6.5.23之前版本的AEM Forms，其中最嚴重的是CVSS評分達到10分的CVE-2025-54253，此漏洞起因是組態不當，可被用於執行任意程式碼，一旦攻擊者成功利用，就有機會繞過安全機制並執行程式碼，而且，過程裡完全無需使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/170455"><strong style="font-size: 22px;">AI程式碼編輯器Cursor存在資安漏洞CurXecute，恐被用於提示注入攻擊</strong></a></p> <p>人工智慧（AI）的整合搭配，對於軟體開發生產力的提升，扮演的角色越來越重要，一旦存在相關漏洞，就有可能讓開發者在編寫程式碼的過程裡，帶入攻擊者的惡意內容，或是進一步對開發環境上下其手。</p> <p>例如，最近資安業者Aim Security揭露的高風險漏洞CurXecute，就是這種型態的例子。這個漏洞出現在AI整合式開發環境（IDE）Cursor，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.6。他們向Cursor開發團隊通報此事，Cursor於7月8日發布1.3.9版修補，並將漏洞登記為CVE-2025-54135列管。</p> <p>Aim Security認為，CurXecute發生的原因牽涉三種層面，分別是MCP自動執行的機制、即時建議的編輯內容，以及提示注入引發RCE的途徑。由於只要發現~/.cursor/mcp.json出現新的內容，Cursor就會在沒有使用者確認的情況下執行，再加上代理程式建議修改mcp.json的內容已存放於磁碟，即便使用者否決還是會照樣執行，因此攻擊者只要透過Slack等MCP支援的外部平臺注入惡意資料，就有機會操控Cursor的AI代理程式，從而執行任意命令。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170465"><strong style="font-size: 22px;">趨勢科技在黑帽大會展現AI資安創新，虛擬紅藍隊為主要焦點，另強調重視資料安全與Agentic SIEM的發展</strong></a></p> <p>【拉斯維加斯直擊】關於生成式AI對網路安全的影響，許多人首先會聯想到的是，攻擊者可藉由AI工具與AI代理技術，擴大攻擊規模並提升資安風險。然而，AI同時也正在賦能防禦者，可使每位資安從業者都能擁有自己的AI代理，有效提升防禦效率。</p> <p>特別的是，在今年黑帽大會（Black Hat USA 2025）活動的AI Summit研討會上，趨勢科技揭露AI資安最新進展與觀察，他們認為，AI不僅正在重新定義防禦方式，讓我們從被動因應轉向可預測攻擊的主動防禦，同時，AI也正在引領資安典範的轉型，從被動轉向主動的風險模擬。</p> <p>此外，趨勢科技也指出AI時代需要新的資料安全方案，以及AI代理促進了Agentic SIEM的演進。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170464"><strong>【8月6日】時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月5日】國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> </div></div></div>
2025/8/7 18:04作者周峻佑https://www.ithome.com.tw/news/170484
微軟公布惡意程式逆向工程AI代理人Project Ire原型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/blog/project-ire-autonomously-identifies-malware-at-scale/" target="_blank">微軟本周公布</a>惡意軟體分類AI代理人系統Project Ire原型。</p> <p><a href="https://www.microsoft.com/en-us/research/project/project-ire/" target="_blank">Project Ire</a>是源自微軟研究院、Microsoft Defender Research、以及Microsoft Discovery& Quantum三個單位的合作計畫，整合安全、操作知識和全球惡意程式遙測（telemetry）及AI的研究，旨在克服惡意程式研究困難且耗時的挑戰，透過代理式AI自動執行完全逆向工程流程，達到大規模、快速、一致性的惡意程式分類。</p> <p>微軟解釋，和資安其他AI應用不同，惡意軟體分類欠缺可運算的檢驗機制，AI必須在沒有明確驗證情況下下判斷，例如軟體許多行為，像是逆向工程防護機制都沒有清楚說明這個程式是良性或惡意的。這使得樣本研究必須逐步累積證據，這個過程既複雜且曠日廢時，也讓分析難以自動化或大規模執行。</p> <p>為解決上述問題，Project Ire的目的在以自動系統運用專門工具進行軟體（包括惡意程式）逆向工程。技術基礎方面，該系統實行多層次推理，從低階二進位檔分析、控制流重建到高階程式碼行為的解譯等。此外它透過API使用內外部工具來協助了解檔案，像是微軟以Project Freta為基礎的記憶體分析沙箱工具、客製工具和開源工具、文件搜尋，以及多種反編譯器（decompiler）等。</p> <p>軟體評估的過程如下。首先是以自動逆向工程工具根據檔案型態、架構等來分類，其次，系統利用angr或Ghidra等框架重建軟體控制流，建立圖表。最後Project Ire的記憶體模型根據流程圖表分析，後者即透過反覆功能分析，以API呼叫工具協助判讀，總結關鍵功能產出報告。每次分析結果都會加入「證據鏈」（chain of evidence），這些詳細紀錄說明將可支援安全團隊次級複檢，而若有誤分類情形也當成系統回饋協助改進。</p> <p>Project Ire也可以呼叫驗證工具交叉比對報告和證據鏈以檢查其發現，最後完成惡意或良性程式樣本分類的正式報告。</p> <p>在測試階段，研究團隊以Project Ire運用公開Windows驅動程式資料集執行測試，正確辨識出90%的惡意程式，僅有2%被誤判為惡性，精準度達0.98、召回率為0.83。其低誤判率顯示有潛力部署於實際安全場景。</p> <p>微軟說Project Ire是該公司第一個能撰寫定罪案例的逆向工程師。微軟並將Project Ire用來分析真實環境近4,000個難以分類、無法被現有自動化工具辨識的高難度檔案。Project Ire完全自動運作，雖然效能還不高，但準確率（Precision）達0.89，召回率（Recall）為0.26，誤判率（False Positive Rate）僅4%。</p> <p>微軟說，依據Project Ire的初步表現，其原型之後會用於Defender部門作為二進位檔分析。微軟計畫提升該系統的速度和準確率，使其準確分類任何來源的檔案，最終希望它能直接偵測到記憶體內的新式惡意程式。</p> </div></div></div>
2025/8/7 16:31作者林妍溱https://www.ithome.com.tw/news/170481
Apache Flink 2.1加入AI模型管理與即時推論功能，升級資料串流處理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源串流處理框架Apache Flink官方正式<a href="https://flink.apache.org/2025/07/31/apache-flink-2.1.0-ushers-in-a-new-era-of-unified-real-time-data--ai-with-comprehensive-upgrades/">發表</a>2.1版，此次更新強化人工智慧與資料流整合能力，並進一步提升串流處理平臺的技術深度與彈性。新版本由全球116名貢獻者協力完成，共實作16項FLIP，修正超過220個議題，這反映出Flink社群的穩定發展與活躍。</p> <p>Flink 2.1最重要的技術升級，是於資料流平臺中直接納入人工智慧模型管理機制。新版允許開發者透過Flink SQL及Table API定義與維護人工智慧模型，支援以程式碼或SQL指令方式註冊、設定並呼叫模型，減少跨平臺整合的技術障礙，例如企業可將OpenAI等主流模型服務註冊於Flink執行環境，將即時資料串流導入人工智慧推論，即時整合資料取得與推論。</p> <p>在即時推論功能上，Flink 2.1進一步擴充ML_PREDICT表格數值函式，讓開發者能於SQL查詢階段，直接呼叫人工智慧模型對串流資料進行推論。此設計降低了將資料流接入外部推論服務的複雜度，並可根據不同資料來源與應用場景進行彈性設定，提升串流處理架構下，人工智慧應用的即時性與可維運性。</p> <p>此次更新針對半結構化資料處理需求，加入VARIANT型別，允許系統以更靈活方式儲存及查詢JSON等多層結構資料，並透過PARSE_JSON函式實現字串至VARIANT的轉換。對於需支援湖倉架構如Apache Paimon的開發者而言，該設計有助於降低異質資料整合的技術門檻。</p> <p>此外，Flink 2.1開放於CREATE TABLE DDL階段宣告自訂結構型別，簡化資料表與業務物件間的型別映射過程。Process Table Function（PTF）也於本次正式納入，開發者可依據業務邏輯設計自訂函式，利用Flink內建狀態管理、事件時間與計時器等機制，增強SQL在串流處理領域的應用範圍。</p> <p>針對大規模串流處理實務場景，Flink 2.1在JOIN機制進行多項最佳化。DeltaJoin設計有效減少狀態數量，有助於改善檢查點延遲與系統資源消耗。StreamingMultiJoinOperator則可將多個連續JOIN合併執行，降低中介狀態儲存需求，進一步提升整體處理效能。</p> <p>非同步Lookup Join最佳化後，可於允許無序輸出模式下提升資料流吞吐量。對於採用部分更新寫入的資料湖場景，新版規畫Sink Reuse自動合併相同欄位目標的INSERT INTO操作，簡化維運工作。</p> </div></div></div>
2025/8/7 16:57作者李建興https://www.ithome.com.tw/news/170480
後門程式Plague透過SSH入侵Linux伺服器，濫用身分驗證模組PAM匿蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks在最近揭露去年<a href="https://www.ithome.com.tw/news/170407">中國駭客CL-STA-0969攻擊西亞或中東國家電信產業</a>的事故中，提到駭客藉由插入式身分驗證模組（Pluggable Authentication Module，PAM）框架實作後門，現在有另一家資安業者指出，<a href="https://www.nextron-systems.com/2025/08/01/plague-a-newly-discovered-pam-based-backdoor-for-linux/">駭客濫用Linux作業系統的身分驗證機制模組</a>，使得打造出來的惡意程式能靜悄悄地繞過系統的身分驗證流程，並能建立持久的SSH存取管道。</p> <p>最近一款名為Plague的後門程式引起資安圈的注意，多家資安新聞媒體紛紛報導此事。駭客以PAM為基礎打造，使得該惡意程式的行蹤相當隱密，最近一年有數個版本被上傳到惡意程式分析平臺VirusTotal，但幾乎沒有防毒引將其視為有害，這樣的情況引起資安業者Nextron Systems注意並介入調查，指出這是首度有人將PAM用於打造Linux惡意程式的攻擊行動。</p> <p>PAM是將多種低階身分驗證機制整合到API的模組，最早由Sun Microsystems於1995年提出，目的是讓需要通過驗證的應用程式只需透過API，就能使用各種驗證方法，而無須實作低階的驗證功能。因此在Linux環境裡，管理者可利用PAM決定應用程式進行驗證的方法，從而強化此作業系統的驗證彈性及安全。</p> <p>然而，由於Plague深度整合到PAM的身分驗證堆疊，不僅在系統更新之後不會受到影響，而且幾乎沒有留下任何活動的跡象，再加上駭客採取多層混淆機制，以及竄改環境變數，使得一般的資安工具難以偵測此惡意程式的存在。</p> <p>Nextron Systems找到的惡意程式檔案最早約在一年前出現，這些檔案大部分從美國上傳至VirusTotal，但也有從中國上傳的檔案。對於攻擊者的身分，該公司表示目前仍不清楚，但駭客在部分檔案留下了1995年電影《網路駭客（Hacker）》臺詞作為彩蛋，可能想要表明自己相當高深莫測。</p> <p>究竟這後門程式有那些功能？Nextron Systems提及主要有4種，分別是阻礙分析及逆向工程的Antidebug，以及保護敏感字串及組態來干擾分析的字串混淆功能，再者，該後門具備能用入侵的靜態密碼，以及抹除駭客行蹤的「隱藏連線階段元件（Hidden Session Artifacts）」。</p> <p>駭客濫用Linux作業系統內建的元件來迴避偵測的情況，已有前例，例如，今年4月資安業者Armo揭露的Rootkit攻擊手法，就是<a href="https://www.ithome.com.tw/news/168650">利用名為io_uring高效能非同步I/O核心API</a>，從而繞過防毒軟體、EDR等端點防護系統偵測。</p> </div></div></div>
2025/8/7 15:04作者周峻佑https://www.ithome.com.tw/news/170475
Google的AI程式代理人Jules正式版出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/google-labs/jules-now-available/" target="_blank">Google周三（8/6）宣布</a>，AI程式代理人Jules正式脫離測試階段，全面開放基於Gemini 2.5 Pro的Jules工具。</p> <p>Google是在去年12月透過Google Labs首度展示Jules，宣稱這是個真正的程式代理人，不只是副手或協助完成程式碼的助手，而是一個能夠讀懂開發人員的程式碼，理解開發人員的意圖，並開始作業的自主代理人。<a href="https://blog.google/technology/google-labs/jules/" target="_blank">Jules在今年5月邁入公開測試</a>。</p> <p>在實作上，Jules會將程式碼複製到一個安全的Google Cloud VM中，在理解整個專案的脈絡後可撰寫測試程式，建立新功能，提供語音版的變更紀錄，修補臭蟲，以及更新相依套件版本，它是以非同步方式運作，意味著它在執行任務時，開發人員仍可繼續進行其它工作。</p> <p>Google指出，被歸類為代理式開發（Agentic Development）的Jules具備最先進的程式推理能力，再搭配雲端VM架構，將使它得以精準且快速處理跨檔案的複雜任務及多重的並行請求。</p> <p>根據Google的統計，有成千上萬名開發人員在測試Jules期間執行了數以萬計的任務，並公開分享了超過14萬項的程式碼改善，這些回饋意見讓Google改善其使用者介面，解決了數百個臭蟲，還推出了新功能，包括重新使用過去的設定以加速新任務的執行，直接整合至GitHub工作流程，以及新增對多模態的支援等。</p> <p><a href="https://jules.google/docs/usage-limits/" target="_blank">開發人員只要登入Google帳號就能使用免費版的Jules</a>，每日最多可執行15個任務與3項並行任務；付費方案則有每月19.99美元的Google AI Pro或是每月124.99美元的Google AI Ultra，前者每天可處理100個任務及同時最多15項並行任務，後者每天可處理300個任務及同時60個並行任務。</p> </div></div></div>
2025/8/7 16:09作者陳曉莉https://www.ithome.com.tw/news/170479
OpenAI讓美國政府機關一年只要支付1美元就能使用ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI for Government與美國總務管理局（U.S. General Services Administration，GSA）<a href="https://openai.com/index/providing-chatgpt-to-the-entire-us-federal-workforce/" target="_blank">周三（8/6）宣布建立新的合作關係</a>，自明年起，美國每個聯邦機構都能以1美元的年費使用ChatGPT Enterprise，幾乎等於免費提供，但為期僅一年。若包含所有行政單位、獨立機構及附屬辦公室，估計約有400個聯邦機構受惠。</p> <p>ChatGPT Enterprise是OpenAI專為企業與機構推出的進階版ChatGPT，強調安全性、可管理性與高效能。它支援最強的模型，無使用上限或速率限制，支援32k個Token的輸入長度，提供進階資料分析與客製化GPT；此外，它符合安全/隱私/機密等合規標準，支援單一登入及用戶管理，承諾不使用組織資料來訓練模型；可集中管理使用者並自訂知識庫。OpenAI並未公布ChatGPT Enterprise的固定價格，但根據媒體報導，ChatGPT Enterprise每名使用者的每月費率約落在60~100美元之間。</p> <p><a href="https://www.gsa.gov/about-us/newsroom/news-releases/gsa-announces-new-partnership-with-openai-delivering-deep-discount-to-chatgpt-08062025" target="_blank">GSA表示</a>，該合作直接支持白宮所提出的<a href="https://www.ithome.com.tw/news/170242" target="_blank">AI Action Plan</a>，反映出GSA與OpenAI對實現政府運作現代化、支援聯邦雇員以及替美國納稅人提供更好服務的共同承諾。</p> <p>除了每個參與的聯邦機構都能以象徵性的1美元存取ChatGPT Enterprise之外，還有額外60天的時間能夠無限制地使用各種進階功能，像是深度研究或先進語音模式。OpenAI也會提供客製化的培訓平臺及引導式學習，等於是替這些公務人員進行AI教育訓練。</p> <p>市場分析認為，若有大量的美國政府機構採用了ChatGPT Enterprise，等於是替OpenAI背書，可成為其它國家的借鏡；橫跨數百個機構、承載不同任務的美國聯邦政府，將替OpenAI帶來更多元的應用場景及使用者行為資料，協助OpenAI改善服務；亦可望奠定公部門市場的領導地位，或是對未來的公部門合約有所幫助。</p> </div></div></div>
2025/8/7 15:10作者陳曉莉https://www.ithome.com.tw/news/170476
從臺日集團合併到赴美上市，關鍵評論網IT成溝通與法遵推手
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業出海，甚至上市，對營運、財務都將帶來翻天覆地的變化。服務內容、財務管理、法規遵循，無不使企業上下需要快速適應。TNL Mediagene（關鍵評論網媒體集團）技術長李致緯，則在短短2年間，深刻體會到公司快速成長時，技術上如何經歷一系列劇烈適應。</p> <p>2022年，李致緯將旗下食譜網站愛料理（iCook）賣到關鍵評論網集團後，也加入集團擔任技術長。隔年，集團隨即和日本媒體集團Mediagene合併，後於2024年上市。短短兩年間從擔任一間中小型媒體的CTO，一路當上臺日30多間旗下事業的美國上市集團CTO，李致緯說，他必須面對兩大轉變，及衍生出的挑戰。</p> <p>首先是業態轉變。他從單純媒體業務及小型電商，延伸到行銷科技、廣告聯播網等更多元的商業模式。另一轉變則是與日本企業合併後，必須接觸更多產品線，還要跨越語言、文化、技術上的隔閡。</p> <p>這兩大轉變，帶來人才招募、技術整合，以及將IT決策對齊跨國集團商業邏輯等挑戰。第一是人才招募挑戰。李致緯觀察，軟體開發在日本非熱門職業。自身是內容媒體而非純科技公司，更使集團在日本和臺灣招募、培育並留住人才都是至今難解之題。</p> <p>第二個挑戰是技術整合。李致緯需要快速熟悉其他業態的技術，以及日本方的技術和IT架構，才能帶領不同子公司，以及主導兩家集團合併。</p> <p>李致緯回憶，從愛料理加入關鍵評論網時，兩者同為媒體，技術整合相對簡單，只需將前者App開發與電商應用等強項帶入集團，來發揮媒體品牌資源共享的綜效。不過隨著集團擴大，李致緯還需要快速熟悉集團內數位行銷子公司的行銷科技技術領域，包括數位行銷技術、超大規模數據處理、聯播網流量管理等。</p> <p>不同於原本小型品牌的B2C產品開發，集團的B2B Martech服務，開發模式需要顧及SLA/SLO水準維護、法規與資料處理合規做法、大規模成本與效能管理等。集團工作模式對應不同商業模式，使李致緯需要謹慎拿捏不同開發團隊的編制方法、開發彈性及責任歸屬。</p> <p>與日本企業合併後，他們還需要面臨更多異質系統與IT架構，並整合重複功能團隊。</p> <p>李致緯說，日本團隊導入許多SaaS服務，包括ERP、CRM、簽核，以及各式各樣營運用系統，且使用非常熟練，臺灣團隊需要快速跟進，一同使用SaaS服務。這過程中，即面臨不少問題。</p> <p>舉例來說，日本方導入SaaS工具時流程非常嚴謹。同款服務，臺灣方習慣兩、三個月就完成導入，日本方得花上一年評估。整併時，需要妥善溝通臺日雙方習慣和決策，否則容易讓其中一方感到難以適應。</p> <p>技術整合另一個問題是，有些臺日端都有使用的商業軟體或雲端服務，廠商無法由單一窗口，即時提供臺日團隊技術支援。TNL Mediagene常需要將使用該服務的開發團隊，也集中在臺灣或日本其中一方，而無法跨國合作。「這也使我們找未來技術廠商時，更重視跨國支援能力。」李致緯補充。</p> <p>第三個李致緯面臨的挑戰是，集團成為跨國上市公司後，IT決策必須對齊商業邏輯及監管規範，決策變得更加複雜，需要更加嚴謹。</p> <p>作為集團CTO，如何率領IT對齊集團商業目標及監管法規？李致緯也要用技術來實現這個管理目標。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>靠打造統一數據平臺，用資料培養員工商業意識</strong></span></span></p> <p>李致緯商業面職責包括主導跨國IT資源管理與整合，例如整合雲供應商、與廠商談判價格等。同時，負責與其他部門一級主管協作、溝通，包括產品、行銷、財會等，釐清技術如何和集團商業需求對齊。</p> <p>不只與其他部門溝通，他也向IT部門上下，溝通技術背後的商業價值。</p> <p>李致緯指出：「目前表現較傑出的團隊，成員都對於業績和市場價值更加敏感。」他希望，從各階主管到基層員工，都能感受到商業價值的重要性，並以公司成長的角度，來主動設定自己工作內容與方向。</p> <p>強化員工商業意識的關鍵做法是，可以建立橫跨臺日兩端的企業數據平臺。「要感受到商業價值，首先要先看得到數字。」李致緯說，他們會將許多數據分享給公司上下，目的是促使所有人具體感受到商業數據的變化。</p> <p>舉例來說，就連實習生，都可以看到自家與外部電商合作導購專案的相關商業數據。他鼓勵員工用這些數據，作為調整工作內容，或實驗不同做法的具體依據。</p> <p>TNL Mediagene旗下光是媒體品牌就有22個，一個品牌還有多個通路，包括網站、Youtube、Podcast、Tiktok、社群媒體等，都有互動、業務、使用者等不同面向資料，集團另有電商、Martech、市調、傳播等其他子公司的業務資料，需整合的資料來源多不勝數。</p> <p>2023年初，他們以自家旗下Martech公司的數據平臺產品為基礎，打造出集團內部數據平臺，開始逐步整合這些數據來源，以及部分外部數據來源。2年間，增加資料來源同時，也不斷根據臺日雙方語言和資料定義差異，來校正資料誤差。</p> <p>李致緯希望，透過統一的數據平臺，能更方便對公司上下溝通商業相關數據、降低員工能自主存取所需數據的成本、提升高層用數據來輔助決策的效率，同時降低應用數據時人為輸入錯誤的風險。這些資料用法除了作為日常工作參考，更會直接用於自家廣告聯播網的廣告投放等實際商業活動。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>上市監管需求衝擊IT，下一步要打造內部法遵平臺</strong></span></span></p> <p>不只IT決策要以商業價值為導向，在美國上市，意味著李致緯更要讓集團商業活動可追蹤、可量化。</p> <p>李致緯說，美國對外國公司的財務真實性和可驗證性要求極高，規定所有財務、金流、操作紀錄系統需彼此串聯且可追蹤。</p> <p>舉例來說，需能查到每一張發票對應金流紀錄、廣告點擊紀錄，甚至是某位用戶的訂閱記錄、操作過程等。這意味著，多套系統需要大幅加強記錄與追溯機制。</p> <p>不只公司每筆財務進出，都要有完整來龍去脈。連軟體開發過程，都深受監管機制影響。「監管單位會抽查Git的某個Commit。誰決定這樣做、審核流程是什麼，我們都得報告。」李致緯說。</p> <p>這種高強度的監管下，不只需要在許多系統加入大量審計和紀錄機制，還需要調整開發制度。舉例來說，針對審計需求高的系統及管制較鬆的系統，制定不同開發流程。前者必須從產品發想、設計，到開發、維運，都加入審計與合規做法。</p> <p>工程師需要學會與財會、法務、審計部門溝通，來設計出利於配合審查的產品與開發流程。PM也需要學習，如何描述系統機制與資料邏輯，讓審計人員能理解。</p> <p>同時，他們內部開始應用更多雲原生工具，因為大型雲端業者提供的服務，大多已經符合常見資安和審計標準。出於相同考量，他們近一年還開始將部分開源軟體，改用大型CSP的版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1246-CTO-600-JPG.jpg" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造沙盒環境，顧及監管及穩定性需求同時維持創新動能</strong></span></span></p> <p>在愛料理時期，李致緯非常喜歡實驗新科技，來探索創新做法。不過，在跨國上市集團，如何維持上市企業規格的IT穩定性、顧及法遵與審計需求，又能嘗試創新，成為重要課題。</p> <p>揹著跨國上市集團的包袱，「核心系統不可能快速改動。」李致緯說：「但必需打造環境，讓創新的動能得以發揮。」</p> <p>李致緯做法是，將系統架構劃分為穩定區和實驗區，前者用來執行高穩定要求的核心系統，後者則是沙盒環境，容許實驗較為創新但不穩定的專案。</p> <p>例如，他們近月與電商進行導購合作，嘗試透過媒體內容行銷，來促使讀者消費。在沙盒區，他們便能快速實驗各種資料模型和追蹤邏輯，來分析多媒體品牌的資料與電商銷售資料，以嘗試歸因行銷成效、優化行銷方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造內部平臺，來促成資訊互通</strong></span></span></p> <p>關鍵評論網與Mediagene集團整併後，如何促成從臺灣到日本、從一級主管到實習生、從財會到IT部門，都能共享所需資訊，是李致緯作為集團技術長的重要課題。</p> <p>李致緯習慣做法是打造內部平臺，來作為對應用途所需資料的單一資料來源（Single source of truth）。例如先前提及的企業數據平臺，從2023年初上線，年底開始加入日本端資料，至今仍在持續收錄更多企業資料。</p> <p>隨著資料量增加，他們還發現臺灣和日本雙方語言和資料定義差異，會造成資料誤差或認知歧異，於是開始校正既有資料。</p> <p>為了臺灣與日本的編輯人員可以共同管理、交流、翻譯媒體素材和內容，他們還打造出用於跨語系媒體經營的平臺Potluck。</p> <p>運用Potluck上一系列AI工具，TNL Mediagene已經開始將日本方兩款雜誌，利用生成式AI翻譯、改寫、編輯成中文內容，以打入臺灣市場。李致緯說，有AI協助，編輯翻譯和改寫外語文章的效率大幅提升。從1至2小時完成一篇，降至1小時可以完成數篇。</p> <p>他們也預計將此平臺用於共享採訪素材等媒體資源，來降低產製內容時的跨國溝通成本。李致緯舉例，只要集團內單個品牌的編輯前往大型活動，再上傳所有蒐集到的素材到平臺。可供臺日辦公室其他編輯，根據媒體及地區特性，自行取用素材來撰文。</p> <p>未來，李致緯還計畫利用打造平臺的方式，來解決其他集團需求。其中一個重要需求，是公司接受監管機關時的大量資料撈取。目前，面臨審計需求時，他們仍需從多個系統手動撈取資料。</p> <p>不過，李致緯認為審計需求未來會只增不減，因而計畫打造即時、集中化的合規平臺，讓財會、法務、技術部門能共享相關資料，減少一一手動查找、串聯資料的需求。</p> <p>李致緯說：「上市伴隨而來的資料合規需求不是CTO一個人能解決，必須促成多個部門從基層到高層緊密合作，才能因應。」打造平臺來促成內部合作與資訊流通的模式，也體現出他身為集團CTO的使命：用科技來大力支援媒體經營、商業發展、內部溝通及上市合規等重要事務。文⊙郭又華</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>TNL Mediagene技術長李致緯</strong></p> <p>學歷：政治大學資訊科學系學士</p> <p>經歷：共同創辦兩家媒體公司Inside和iCook，擔任技術長。相繼出售兩間媒體到關鍵評論網後，也加入擔任集團技術長。公司作為TNL Mediagene合併、上市後，管理30多間子公司IT業務及支援集團上市的IT面事務</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1246-CTO-600-2.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>TNL Mediagene關鍵評論網媒體集團</strong></p> <p>●成立時間：前身關鍵評論網成立於2013年，2023年則由關鍵評論網和日本Mediagene合併成TNL Mediagene</p> <p>●員工人數：約500人</p> <p>●董事長：Marcus Brauchli</p> <p>●執行長：鍾子偉</p> <p>●營收：約14億元</p> <p>●主要業務：旗下擁有多個日文、中文與英文的原創與授權媒體品牌，內容主題橫跨新聞、商業、科技、科學、美食、運動與生活風格等領域。傳播類服務包括廣告服務、行銷科技平臺、電子商務與創新解決方案等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●2013年：推出網路平臺「關鍵評論網」，以中英雙語報導與評論為主要內容</p> <p>●2018年：併購科技媒體「INSIDE」；接手體育社群平臺「運動視界」</p> <p>●2019年：併購科技與生活風格媒體</p> <p>●2022年：收購食譜平臺「愛料理」</p> <p>●2023年：關鍵評論網媒體集團與日本Mediagene正式合併，成立跨國集團 TNL Mediagene；宣布進軍東南亞與歐美市場</p> <p>●2024年：在美國NASDAQ上市</p> <p>●2025年：整併旗下臺灣2間媒體品牌至旗下「Roomie國際中文版」品牌</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1246-cto-960.jpg" width="960" height="420" alt="" title="TNL Mediagene技術長李致緯" /></div></div></div>
2025/8/7 12:00作者郭又華https://www.ithome.com.tw/people/170430
OpenAI最新開放權重模型登上Windows 11 PC、AWS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI最新開放權重模型gpt-oss系列除了原本的Hugging Face外，並新增Windows邊緣開發平臺及AWS二個新通路。</p> <p><a href="https://www.ithome.com.tw/news/170433" target="_blank">OpenAI昨日公布的</a>gpt-oss-120b和gpt-oss-20b為GPT-2推出6年後首個開放權重的基礎語言模型，其中gpt-oss-120b是該公司最強大的開放權重模型，適合單一H100 GPU平臺。gpt-oss-20b適合低延遲性應用，甚至可在消費型筆電上執行。</p> <p>兩款模型是OpenAI回應美國業界及政府對其開源研發成果，以促進美國AI應用普及、進而對抗中國競爭的期望。OpenAI表示，開放模型允許政府或講求資料安全的組織自建模型及AI應用。</p> <p>相應於普及推廣的策略方向，gpt-oss模型也分別首次在微軟平臺以及Amazon Web Services（AWS）上架。<a href="https://azure.microsoft.com/en-us/blog/openais-open%e2%80%91source-model-gpt%e2%80%91oss-on-azure-ai-foundry-and-windows-ai-foundry/" target="_blank">微軟宣布</a>，新模型將在Azure AI Foundry及Windows AI Foundry提供給開發人員。其中Windows AI Foundry允許開發人員將開源碼模型執行在邊緣裝置的AI平臺，聲稱可支援在Windows平臺上的低延遲性本地AI部署。</p> <p><a href="https://www.ithome.com.tw/news/169045" target="_blank">微軟今年5月宣布</a>Windows AI Foundry，它將微軟模型目錄Foundry Local整合到Windows 11中，用以管理和執行開源LLM，也能整合第三方的模型目錄如Ollama和Nvidia NIM以便在本地App中使用、測試模型、或與模型互動。微軟說，這是OpenAI模型（即gpt-oss-120b及gpt-oss-20b）首次能在本地模型執行。</p> <p>另一方面，<a href="https://www.aboutamazon.com/news/aws/openai-models-amazon-bedrock-sagemaker" target="_blank">AWS本周宣布</a>，gpt-oss-120b及gpt-oss-20b首度Amazon Bedrock和Amazon SageMaker AI上架。開發人員可在Amazon Bedrock平臺上執行以API呼叫gpt-oss模型，也可以在機器學習平臺Amazon SageMaker AI上訓練或客製、微調模型。</p> <p>AWS宣稱，OpenAI二個開放模型的Bedrock平臺上的效能價格比，是同等規模的Gemini模型的10倍，DeepSeek R1的18倍及OpenAI o4的7倍。</p> <p>AWS也是OpenAI在微軟之外，尋求的最新雲端合作夥伴。在此之前是甲骨文；<a href="https://blogs.oracle.com/integration/post/new-adapters-and-connectivity-enhancements-in-oracle-integration-2506" target="_blank">6月甲骨文宣布</a>新服務OpenAI Adapter，使企業可在Oracle Integration Cloud中使用OpenAI Adapter呼叫OpenAI模型。</p> </div></div></div>
2025/8/7 12:38作者林妍溱https://www.ithome.com.tw/news/170474
蘋果在美投資總額擴大至6,000億美元，要在美國建置端至端晶片供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/167536" target="_blank">繼於今年2月宣布</a>要在未來4年於美國投入5,000億美元之後，蘋果周三（8/6）<a href="https://www.apple.com/newsroom/2025/08/apple-increases-us-commitment-to-600-billion-usd-announces-ambitious-program/" target="_blank">揭露了「美國製造計畫」</a>（American Manufacturing Program），表示要將投資金額擴大至6,000億美元，於美國建置端至端的晶片供應鏈，且將iPhone與Apple Watch上的玻璃蓋板<a href="https://www.apple.com/newsroom/2025/08/apple-corning-to-manufacture-all-iphone-apple-watch-cover-glass-in-kentucky/" target="_blank">全數移回美國製造</a>。美國總統川普（Donald Trump）與蘋果執行長庫克（Tim Cook）<a href="https://www.youtube.com/watch?v=J6SK7lotKZQ" target="_blank">還共同召開了記者會</a>（並說美國將對進口晶片與半導體徵收100%的關稅，除非它們在美國建廠與投資。</p> <p>蘋果新提出的美國製造計畫將與10家業者結盟，以生產蘋果產品所需的元件，包括生產玻璃蓋板的康寧（Corning）、生產Face ID所需元件的Coherent、晶圓供應商GlobalWafers America、半導體設備供應商Applied Materials、德州儀器（Texas Instruments）、三星、晶圓代工業者GlobalFoundries、封裝及測試業者Amkor、博通Broadcom及稀土生產商MP Materials。</p> <p>庫克說，蘋果正在美國本地建置端到端的晶片供應鏈，從設計、設備製造、晶圓生產、晶片製造，再到封裝，將更多先進製程帶到美國，光是在2025年，美國製造商便預計會在24個工廠中為蘋果生產190億顆晶片。</p> <p>今年7月蘋果已與MP Materials簽署5億美元的<a href="https://www.ithome.com.tw/news/170080" target="_blank">合作協議</a>，共同於加州的Mountain Pass工廠建立一條尖端的稀土回收線，並承諾要購買MP Materials在美國製造的稀土磁鐵。</p> <p>本周蘋果再擴大與Corning的合作，承諾要以25億美元購買Corning於肯德基州Harrodsburg工廠所生產的玻璃蓋板，讓iPhone與Apple Watch上的玻璃蓋板100%來自美國製造。</p> <p>根據蘋果的統計，6,000億美元的本土投資推動該公司與美國的數千家供應商合作，提供45萬個工作機會，且蘋果也會在未來4年於美國招聘2萬名員工，且絕大多數都將專注於研發、晶圓工程、軟體開發、AI及機器學習等領域。</p> <p>川普則持續呼籲所有的製造業都應回到美國，並表示保證會對所有進口至美國晶片及半導體徵收100%的關稅，除非業者是在美國本土建廠，即使仍處於建廠階段，還沒量產或尚未創造大量就業機會，只要是在建設中，就不會被課稅；但如果最後沒有完成建廠，那麼美國將會追究先前應繳的關稅。</p> <p>多數分析師認為這是蘋果向川普示好的政策調整，有助於蘋果未來的發展，當天蘋果股價一反先前的停滯狀態，上漲5.09%，以213.25美元作收。</p> </div></div></div>
2025/8/7 11:46作者陳曉莉https://www.ithome.com.tw/news/170472
Google擴大全球教育布局，AI工具Gemini與NotebookLM全面開放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google企圖將AI從消費者及企業推廣至教育界，先是<a href="https://workspaceupdates.googleblog.com/2025/08/notebooklm-is-now-available-to-all.html" target="_blank">在周一（8/4）宣布</a>讓所有Google Workspace for Education用戶都能使用NotebookLM ，<a href="https://blog.google/products/gemini/google-ai-pro-students-learning/" target="_blank">周三（8/6）開放</a>美國及日本等特定國家18歲以上的學生免費註冊一年的Google AI Pro方案，同時在Gemini中推出了<a href="https://blog.google/outreach-initiatives/education/guided-learning/" target="_blank">Guided Learning模式</a>，以協助學生學習。</p> <p>NotebookLM為Google所開發的AI輔助筆記與學習工具，它讓使用者可上傳筆記、講義、PDF或Google文件等內容，再根據這些內容建立模型以回答基於相關內容的問題，也能生成摘要、筆記或練習題，支援包括中文在內的逾80種語言。先前NotebookLM一直採用邀請制，而且還有地區上的限制，本周則全面開放給全球所有Google Workspace for Education用戶使用，涵蓋Education Fundamentals、Standard或Plus方案。</p> <p>此外，<a href="https://support.google.com/googleone/answer/16417758#aip_student_trial_availability&zippy=%2Clist-of-countries-regions-where-the-google-ai-pro-student-trial-is-available" target="_blank">Google周三開放</a>7個國家、年滿18歲以上的學生或居民可以免費註冊一年的Google AI Pro服務，涵蓋美國、墨西哥、巴西、印度、印尼、日本及南韓。</p> <p>Google AI提供Google AI Pro及Google AI Ultra2<a href="https://one.google.com/about/google-ai-plans/?utm_source=chatgpt.com" target="_blank">兩種訂閱方案</a>，前者的月費為19.99美元，有2TB的儲存空間，可使用Gemini模型、AI電影制作工具Flow4、圖片轉影片工具Whisk、NotebookLM、AI程式碼工具Jules、Gemini版的Gmail與Google文件等服務，以及Gemini版的Chrome瀏覽器。</p> <p>至於在Gemini模型中推出的Guided Learning則是類似OpenAI日前才發表的<a href="https://www.ithome.com.tw/news/170315" target="_blank">ChatGPT Study Mode</a>。Guided Learning建立在Google自家開發的LearnLM模型基礎上，並整合至Gemini 2.5，號稱是全球最強的學習模型，它強調互動、引導及深度理解，而非單純地快速提供答案。</p> <p>Guided Learning可根據使用者的需求調整解釋方式，並透過逐步拆解問題與開放式提問來引導使用者探索知識。</p> <p>除了上述之外，Google亦宣布將斥資10億美元來支持美國的AI教育、職訓計畫及研究，包括透過AI for Education Accelerator提供美國大學生免費的AI服務與職業訓練，並已有超過100所大學登記。</p> </div></div></div>
2025/8/7 12:07作者陳曉莉https://www.ithome.com.tw/news/170473
讀取效能高達28 GB/s與550萬IOPS，美光PCIe 6 SSD登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_9650_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月底美光發表新一代資料中心固態硬碟，共通點是採用去年量產的Micron G9 NAND快閃記憶體技術，我們先前介紹鎖定主流市場需求的款式7600，現在看看另一款強調高效能取向的9650，號稱是業界首款支援PCIe 6.0介面的資料中心固態硬碟產品。</p> <p>9650的最大賣點在於，提供破紀錄的存取效能。以循序讀取作業而言，無論讀取密集型款式9650 Pro或混合型款式9650 Max，均可達到28,000 MB/s，而在循序寫入作業方面，皆為14,000 MB/s。相較之下，市面上的PCIe 5.0固態硬碟產品，循序讀取效能最高可達14 GB/s，回顧我們過去的產品快報介紹，具備這個等級效能的產品不少，像是：<a href="https://www.ithome.com.tw/review/159046">Kioxia CM7</a>、<a href="https://www.ithome.com.tw/review/162973">Phison X200</a>、<a href="https://www.ithome.com.tw/review/163573">三星PM1743</a>、<a href="https://www.ithome.com.tw/review/164160">美光9550</a>、<a href="https://www.ithome.com.tw/review/164407">Phison Pascari D200V</a>、<a href="https://www.ithome.com.tw/review/164414">Solidigm D7-PS1010</a>、<a href="https://www.ithome.com.tw/review/167093">Phison Pascari D205V</a>、<a href="https://www.ithome.com.tw/review/168362">金士頓DC3000ME</a>、<a href="https://www.ithome.com.tw/review/169146">宜鼎5TS-P</a>。</p> <p>若是隨機讀取作業而言，美光9650全系列的效能是540萬IOPS或550萬IOPS；至於隨機寫入作業的部分，9650 Max均為90萬IOPS，9650 Pro最高為57萬IOPS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20PERFORMANCE.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-chart-01a-micron-9650-unlocking-potential.jpg" style="width: 600px;" /></p> <p>具有更高的能源使用效率，也是9650的重要特色。比起前一代同樣高效能取向、支援PCIe 5.0介面的款式（美光9550），這款PCIe 6.0固態硬碟在執行隨機讀取作業時，每瓦效能領先幅度為67％，隨機寫入的每瓦效能方面，領先幅度則是25％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/9650 energy efficiency.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20energy%20efficiency.png" style="width: 600px;" /></a></p> <p>之所以能有這樣的性能突破，我們推測可能有兩個因素支撐，一個是產品採用新世代的技術規格，包括支援PCIe 6.0存取介面，以及Micron G9 NAND帶來3.6 GB/s的I/O存取速度；另一個是耗電量維持不變，新推出的9650和既有的9550，在隨機存取作業的實際平均耗電（RMS）規格的標示上，均為18瓦（讀取）和16瓦（寫入）。</p> <p>除此之外，美光9650在9650 Pro系列的7.68 TB款式和15.36 TB款式，額外提供E1.S厚9.5公釐的外形選擇，可支援水冷板的設置，用於導入液態冷卻機制的AI伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20forms.png" style="width: 500px;" /></p> <p>關於裝置的儲存容量方面，9650系列與9550系列、9400系列一樣，Pro款式最高可配備30.72 TB，Max款式最高可配備25.6 TB。相較於同樣採用Micron G9 NAND技術的7600系列，Pro款式最高可配備15.36 TB， Max款式最高可配備12.8 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20Form%20and%20capacities.png" style="width: 600px;" /></p> <p>值得注意的是，目前並無市售的伺服器處理器平臺支援PCIe 6.0。以英特爾而言，<a href="https://www.ithome.com.tw/review/169146">今年6月在自家產品支援論壇的回覆，表示尚無規畫</a>，不過，7月有<a href="https://www.tomshardware.com/pc-components/cpus/intels-xeon-7-diamond-rapids-to-reportedly-pack-192-cores-16-memory-channels-and-500-watts-of-power-consumption">科技媒體</a>報導<a href="https://x.com/x86deadandback/status/1941808014865899878">網路傳言</a>，揭露2026年可能推出代號為Diamond Rapids的Xeon 7，而且這個處理器將支援PCIe 6.0。AMD方面，在6月舉行的PCI-SIG開發者大會上，有<a href="https://overclock3d.net/news/misc/amd-demos-full-speed-pcie-6-0-with-its-next-gen-server-cpus/">科技媒體</a>報導他們與電子測試與量測設備廠商<a href="https://www.keysight.com/us/en/about/newsroom/news-releases/2025/0618-pr25-keysight-enables-amd-to-showcase-electrical-pci-express-compliance-up-to-64-gts.html">Keysight</a>合作，展示採用Zen 6架構的AMD EPYC處理器平臺，印證可相容於PCIe 6.0。</p> <p>CPU平臺之外，傳輸介面廠商也有相關動作。例如，Astera Labs和美光合作展示PCIe 6.0解決方案，9650正是主角之一，在1月<a href="https://www.asteralabs.com/accelerating-the-pcie-6-x-ecosystem-industry-first-pcie-6-x-interop-demonstration-at-designcon/">DesignCon大會</a>、5月<a href="https://www.tomshardware.com/pc-components/ssds/pcie-6-0-ssd-with-30-25-gb-s-speeds-debuts-at-computex-release-date-is-still-a-long-way-off">台北國際電腦展</a>，都有亮相，當中採用<a href="https://www.asteralabs.com/videos/accelerating-the-pcie-6-ecosystem">Astera Labs的Scorpio P系列Fabric Switch</a>，連接兩臺E3.S外形的美光PCIe 6.0固態硬碟，以及1張Nvidia H100 GPU，替GPU與SSD建立Nvidia GPUDirect Storage的直連路徑，提供27 GB/s循序讀取效能；而在8月<a href="https://www.asteralabs.com/breaking-the-100-gb-s-barrier-astera-labs-and-micron-demonstrate-production-ready-pcie-6-storage-performance-at-fms-2025/">FMS大會</a>上，他們將規模擴充一倍，搭配兩臺PCIe交換器、4臺美光9650、兩張GPU，循序讀取效能超過100 GB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-07-Micron 9650-gds-io-path.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-Micron%209650-gds-io-path.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Micron 9650</strong></span><br /> ●原廠：美光<br /> ●建議售價：廠商未提供<br /> ●儲存容量：9650 Pro提供7.68 TB、15.36 TB、30.72 TB，9650 Max提供6.4 TB、12.8 TB、25.6 TB<br /> ●外形：E3.S、E1.S厚9.5公釐、E1.S厚15公釐<br /> ●儲存媒體：3D NAND，TLC，Micron G9 NAND<br /> ●最高讀寫速度：循序28,000 MB/s與14,000 MB/s，隨機550萬IOPS與90萬IOPS<br /> ●使用介面：PCIe 6.2 x4<br /> ●耐用度：每日寫入量9650 Pro為1，9650 Max為3<br /> ●可靠度：250萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/8/7 12:13作者李宗翰https://www.ithome.com.tw/review/170426
趨勢科技在黑帽大會展現AI資安創新，虛擬紅藍隊為主要焦點，另強調重視資料安全與Agentic SIEM的發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【拉斯維加斯直擊】關於生成式AI對網路安全的影響，許多人首先會聯想到的是，攻擊者可藉由AI工具與AI代理技術，擴大攻擊規模並提升資安風險。然而，AI同時也正在賦能防禦者，可使每位資安從業者都能擁有自己的AI代理，有效提升防禦效率。</p> <p>特別的是，在今年黑帽大會（Black Hat USA 2025）活動的AI Summit研討會上，趨勢科技揭露AI資安最新進展與觀察，他們認為，AI不僅正在重新定義防禦方式，讓我們從被動因應轉向可預測攻擊的主動防禦，同時，AI也正在引領資安典範的轉型，從被動轉向主動的風險模擬。</p> <p>此外，趨勢科技也指出AI時代需要新的資料安全方案，以及AI代理促進了Agentic SIEM的演進。</p> <h3><strong>結合10種類型資料與3種AI代理，以Digital Twin概念開創全新虛擬紅藍隊演練</strong></h3> <p>今年的AI Summit活動再次於黑帽大會登場，突顯AI在資安領域日益重要的地位，趨勢科技也在這場AI 盛會中發表演說，介紹AI正在重塑資安運作邏輯的最新方向──透過打造Digital Twin與運用AI代理（AI Agent），讓企業紅藍隊攻防演練可以有全新模式。</p> <p>事實上，這項應用今年6月在臺舉行的Computex 2025中已初步曝光，當時仍處於研發階段，如今開放預覽版本供大家測試，因此得以揭露更多這方面的細節。</p> <p>對於如何用AI革新紅藍攻防演練，趨勢科技企業平臺長Rachel Jin（金靜秀）指出，AI代理固然是核心，但要真正實現這項應用還有兩個不可或缺的要素：「資料」與「Digital Twin」。</p> <p>她進一步解釋，資料是數位時代的命脈，在AI時代更顯其關鍵性。若是沒有資料，AI就只是個昂貴的「猜測機器」；至於數位孿生（Digital Twin），這並非新的概念，過去已用於模擬實體世界，像是製造業建立實體工廠前先進行數位模擬與規畫。</p> <p>在這兩者的結合應用下，帶來的顯著效益就是，可透過所有真實的商業資料流來繪製企業數位世界地圖。Rachel Jin強調，其中的「資訊流」至關重要，其涵蓋面必須足夠廣泛，才能呈現企業營運與流程的全貌，進而實現更精準的風險管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Black Hat 2025_AI Summit_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Black%20Hat%202025_AI%20Summit_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>有哪些重要資訊流？Rachel Jin在會中進一步揭露了具體內容，共有10大構面，涵蓋：網路活動、權限管理（Entitlement）、敏感資料、偵測與漏洞及錯誤配置、社交圖譜、資產拓撲、使用者行為、資產概況、威脅情資、業務概況。</p> <p>另外她也強調，系統提供的管理機制也要跟著進化，因為現在的資料互動要有新的方式，例如，並非僅依賴儀表板，而是要能夠直接與資料互動，以及應該根據使用者角色，提供客製化的見解與報告。</p> <p>更重要的是，有了Digital Twin資訊流，我們可以發想出極具潛力的應用實例，也就是網路戰模擬遊戲（Cyber War Gaming），此方式可類比實體紅藍隊演練，讓風險模擬更為主動，而AI代理也是能驅動這項應用的重要關鍵。</p> <p>透過這樣的高程度模擬環境，Rachel Jin進一步解釋，「代理紅隊」將可利用威脅情資與情資代理，在Digital Twin環境中自動執行攻擊；「藍隊代理」則可偵測並運用趨勢科技本身的專業知識與威脅情資，在Digital Twin環境中規畫防禦；另外還有「白隊代理」，負責判斷攻擊／防禦是否成功。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）Black Hat 2025_Digital Twin_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>整體而言，這開啟了一條截然不同的演練途徑。她解釋，傳統實體紅藍隊演練雖然是驗證組織風險暴露的有效方式之一，但往往會對業務營運造成干擾，無法每天或每月進行。相對地，透過高度模擬企業IT環境的Digital Twin，不僅能避免對實體環境造成影響，更能協助精準識別優先處理的風險項目，實現主動式決策，而且還可以更好做到「持續」演練。</p> <p>Rachel Jine更是形容，這就像我們擁有了一顆「水晶球」，能透過 AI 技術與威脅情報，更準確地預測未來的風險樣態與攻擊場景。這個形容簡單卻具畫面感，讓我們印象深刻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）Black Hat 2025_Digital Twin_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）Black Hat 2025_Digital Twin_趨勢科技_攝影羅正漢(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖7）Black Hat 2025_Digital Twin_趨勢科技_iThome擷取.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_iThome%E6%93%B7%E5%8F%96.jpg" style="width: 295px;" /></a></p> <p><span style="color:#808080;"><strong>在今年黑帽大會（Black Hat USA 2025）活動現場，趨勢科技首次對外展示了用於紅藍演練的Digital Twin實際畫面，就目前設計來看，代理紅隊、藍隊代理、白隊代理都將在背後執行，還能結合趨勢科技自身所發展的Trend Cybertron LLM，加上對話式的介面，可將儀表版背後的資訊以另一種更直接的方式展現。</strong></span></p> <h3><strong>闡釋AI架構的運作之餘，新世代資料安全與Agentic SIEM發展亦成新焦點</strong></h3> <p>隨著AI技術快速導入資安領域，企業面對的威脅樣態與風險評估方式也正發生結構性的轉變，如何在這樣的變化中發展AI架構，已成為業界關注的焦點，Rachel Jin也特別闡釋了這方面的議題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）Black Hat 2025_AI Summit_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Black%20Hat%202025_AI%20Summit_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>她將AI架構的運作描繪成一個三角形，由下而上可簡單分為三個層次，包括：資料層（Data Layer）、智慧層（Intelligence Layer）、代理式AI（Agentic），讓大家能簡單理解不同層次的差異。她並表示，趨勢科技也是依循這樣的概念來發展資安平臺。</p> <p>簡單來說，最底層是資料層，涵蓋所有最基礎的資料，從多種管道（端點、雲端、網路、Email、身分、第三方等）蒐集資料，形成一座可供分析的Data Lake。特別的是，目前他們的平臺已支援近1,000種不同類型的日誌格式。</p> <p>往上是情境智慧層，即上述談到的Digital Twin模擬應用，能更精準理解、可視化並推論資料，並且能夠進一步結合SIEM、CRQ（網路風險量化）、XDR來分析統整。</p> <p>而在最上層則是Agentic，藉由多個特定領域專用的AI代理協同運作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）Black Hat 2025_AI Summit_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Black%20Hat%202025_AI%20Summit_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>綜上所述，朝向單一安全平臺發展，的確是這幾年許多資安業者都強調的重要發展方向，趨勢科技也有同樣的發展策略，而且，不僅要做到橫向整合，現在還有了AI和Digital Twins的幫忙，看來還能進一步拓展縱向應用。</p> <p>回顧過去，趨勢科技自2021年打造Trend Vision One平臺，當時是基於XDR為核心來發展，但從上述Rachel Jin提到的平臺結構來看，整體能力持續擴展變得更為豐富，涵蓋識別、防護、偵測與回應，因此我們會後也詢問Rachel Jin，平臺經過這幾年不斷整合強化，2025 年有哪些技術重點值得關注？</p> <p>她提到兩個重點，一是資料安全，一是Agentic SIEM。</p> <p>以資料安全而言，Rachel Jin指出，在AI時代，我們需要發展具潛力的新世代資料安全方案，以取代傳統DLP方案。</p> <p>她指出，這兩年趨勢科技是持續投入相關技術研發，未來將於平臺新增資料安全模組，其中資料安全態勢管理（DSPM）也將成為關鍵能力之一。她並透露，目前這項技術雖然才剛剛進入預覽階段，尚未正式宣傳，但已有大量用戶開始嘗試使用。</p> <p>由於一年多前趨勢科技曾經表示，現在的資料安全解決方案未能與AI有很好的整合串連，顯然該公司不只看好這方面的技術演進，現在也已有初步成果展現。</p> <p>以Agentic SIEM而言，這項發展既令人驚訝，又在意料之中。一方面是我們過去很少聽聞趨勢科技談及SIEM，一方面是我們看到許多資安廠商發展雲原生SIEM，或是併購SIEM解決方案。</p> <p>Rachel Jin坦言，早期他們的平臺是以XDR為核心，當時與傳統 SIEM功能部分重疊，但兩者應用仍有差異，不過市場上使用者有不同的需求存在，隨著Agentic AI的興起，讓他們有了新的契機，因此打造出新世代的Agentic SIEM。她並指出，這項新方案其實是在黑帽大會舉行的前幾日（8月4日）才發布，而前述提到該公司的AI架構運作，能支援近千種不同日誌格式，也就是基於這項最新技術，同時也提供了彈性的資料保存方式，支援分析型與歸檔型資料的匯入，分析形資料最長可保留2年，歸檔用資料最長可保留7年。</p> </div></div></div>
2025/8/7 08:24作者羅正漢https://www.ithome.com.tw/news/170465
管理網頁機器人程式的兩難
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於數位內容產業而言，AI帶來許多新的挑戰，例如，ChatGPT等線上服務崛起後，新聞網站均面臨瀏覽流量大幅下降的危機，近期登場的Google搜尋引擎提供的AI摘要，也明顯減少使用者點擊搜尋結果列出的網址連結，在<a href="https://www.ithome.com.tw/news/170268" target="_blank"><span style="color:#3366ff;">Pew Research Center上個月底發布的研究報告</span></a>當中，已具體呈現這樣的狀況。</p> <p>除了形同被架空，許多網站現在也面臨更多未經站方同意的內容擷取行為，以前要應付網頁內容擷取程式（Web crawlers），如今又多了AI網頁內容擷取（AI crawlers），目的是訓練AI模型。針對這樣的局面，身兼CDN與雲端服務業者身分的CloudFlare，在7月初實施新政策，他們表示預設將封鎖AI網頁機器人程式，除非AI業者付費給創作者、以便取得內容使用授權，各種數位內容既然支撐AI引擎的運作，創作者也必須直接獲得合理補償，才算公平。</p> <p>祭出禁令的同時，CloudFlare也企圖建立內容擷取的付費體制，他們宣布名為<a href="https://developers.cloudflare.com/ai-audit/features/pay-per-crawl/what-is-pay-per-crawl/" target="_blank"><span style="color:#3366ff;">Pay per crawl</span></a>的計費支付方案，屬於該公司平臺AI Audit功能的一部分，目前是封閉測試階段。</p> <p>除了網頁機器人程式擷取網頁內容的爭議，有AI業者以API存取其他AI業者的模型。例如，這幾天就有兩則新聞，突顯相關的衝突正在升溫。</p> <p>首先是Anthropic針對OpenAI透過API存取Claude模型的行為予以封鎖，理由是這個舉動違反該公司的服務條款，僅允許OpenAI對其執行基準測試和安全評估。</p> <p>另一個消息是CloudFlare指控AI新創Perplexity，運用隱藏、未宣告的網頁機器人程式，迴避網站發出的禁止擷取指令要求，他們發現Perplexity一開始雖然從他們宣告的使用者代理進行網頁內容擷取，不過，一旦遇到網路阻擋存取時，他們會隱匿擷取程式的身分、試圖規避網站設定，具體行為在於Perplexity持續修改使用者代理、變更自治系統編號（ASNs）來源，進而藏匿網頁擷取活動，並且無視、甚至不存取網站宣告的機器人程式內容存取指引檔案robots.txt。</p> <p>無論仗義執言或是有其他商業競爭考量，上述狀況反映的共通問題，在於企業與組織該如何看待本身公開在網站的內容，以及能否定義、進而限制適當的使用方式。</p> <p>而在資安廠商的年度資安報告當中，也可以看到這方面的趨勢。</p> <p>根據Akamai提出的《State of Apps and API Security 2025》指出，AI技術支持的機器人程式（Bot），可協助攻擊者發動自動化攻擊與大規模攻擊；而且，在零售資安領域，機器人已成為主要的攻擊面向，能被用來執行帳號強佔（account takeover）、信用卡詐騙，以及禮品卡濫用。</p> <p>他們認為，Bot之所以能夠發動攻擊，主因在於先從遭駭網站偷到個資，之後以此執行帳密填充攻擊（credential stuffing），進而產生複合成效，促使線上詐騙活動形成產業，協助全球犯罪生態體系運用自動化工具，得以大幅擴充營運規模，遠遠超越原本透過手動操作能達到的程度。</p> <p>在另一家資安廠商Thales發布的《2025 Imperva Bad Bot Report》，也顯示幾個驚人的統計數據。首先，2024年所有網頁流量當中，自動化流量占比為51％，首次超越人為流量(49％)，就全球網際網路流量而言，善意機器人程式（Good Bot）流量占14％、惡意機器人程式（Bad Bot）流量占37％。</p> <p>他們的報告也指出AI的影響，因為各種生成式AI工具的崛起，固然提供許多好處，也被用於發動網路攻擊，例如，攻擊者經常將惡意機器人程式偽裝成網頁擷取程式，以便迴避偵測，並且繞過網頁擷取程式白名單的安全管制。</p> <p>綜合這些觀察，對於企業與組織而言，維護自家網站應用系統的安全與穩定供應服務，設法避免受到惡意機器人程式的侵擾仍是重點，我們須持續關注、掌握自動化存取行為的合理範疇，另一方面，對於來自外部AI服務的網頁內容擷取行為，也必須思考應採取何種態度，現在大家還沒找到合適答案。因為管制設限地過於嚴苛，可能失去本身的品牌能見度；若放任不管，形同白白替各種AI作嫁，令所有內容創作者無法接受，需要各界集思廣益，替使用方與供應方解套，建立合理制度。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%87%AA%E5%8B%95%E5%8C%96%E6%94%BB%E6%93%8A">自動化攻擊</a></div><div class="field-item odd"><a href="/tags/%E6%83%A1%E6%84%8F%E6%A9%9F%E5%99%A8%E4%BA%BA%E7%A8%8B%E5%BC%8F">惡意機器人程式</a></div><div class="field-item even"><a href="/tags/bad-bot">Bad Bot</a></div><div class="field-item odd"><a href="/tags/ai%E7%B6%B2%E9%A0%81%E5%85%A7%E5%AE%B9%E6%93%B7%E5%8F%96">AI網頁內容擷取</a></div><div class="field-item even"><a href="/tags/ai-crawlers">AI crawlers</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/%E6%B5%81%E9%87%8F">流量</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E5%85%A7%E5%AE%B9%E7%94%A2%E6%A5%AD">數位內容產業</a></div><div class="field-item even"><a href="/tags/ai%E7%B6%B2%E9%A0%81%E6%A9%9F%E5%99%A8%E4%BA%BA%E7%A8%8B%E5%BC%8F">AI網頁機器人程式</a></div><div class="field-item odd"><a href="/tags/perplexity">Perplexity</a></div><div class="field-item even"><a href="/tags/openai">OpenAI</a></div><div class="field-item odd"><a href="/tags/anthropic">Anthropic</a></div></div></div>
2025/8/7 10:56作者李宗翰https://www.ithome.com.tw/voice/170468
趨勢科技端點防護軟體爆2項RCE漏洞已發現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://success.trendmicro.com/en-US/solution/KA-0020652" target="_blank">趨勢科技（Trend Micro）本周公告</a>，端點安全產品Apex One產品發現2項重大遠端程式執行（RCE）漏洞，而且已經有攻擊行動，趨勢科技剛剛釋出暫時性緩解工具保護部份沒有修補程式的產品。</p> <p>漏洞出現在端點防護產品Apex One Management Console。這2項漏洞分別是CVE-2025-54948和CVE-2025-54987。其中CVE-2025-54948為指令注入RCE漏洞，可讓遠端攻擊者不需經過驗證上傳惡意程式碼，在受害系統上執行指令。CVE-2025-54987和CVE-2025-54948基本上相同，差別是鎖定不同CPU架構的裝置。2漏洞風險值皆高達CVSS score 9.4。</p> <p>漏洞影響Apex One本地部署版本、Apex One as a Service、Trend Vision One端點安全標準端點防護（Trend Vision One Endpoint Security - Standard Endpoint Protection）。</p> <p>趨勢科技目前已觀測到至少1起試圖濫用漏洞的行為，因而該公司已緊急修補。Apex One as a Service、Trend Vision One 端點安全標準端點防護二項產品已在7月31日釋出修補程式解決。但針對本地部署版本，趨勢科技8月5日釋出暫時性修補工具（fix tool）在某些非標準配置環境下失效，隔日（8月6日）又再發布一次。</p> <p>趨勢科技強調，目前針對Management Console本地部署版釋出的是短期緩解工具，而且有些缺點。雖然短期修補工具能提供完整防護，卻會關閉管理員利用遠端安全代理（Remote Install Agent）功能從管理控制臺部署代理人的功能。趨勢科技預定8月中釋出正式版修補程式。</p> <p>在正式修補程式釋出前，趨勢科技呼籲管理員安裝暫時修補工具，確保安全政策及周邊防護軟體升級到最新版。此外，由於攻擊者必須實體或遠端存取Apex One Management Console，廠商建議企業用戶若IP位址對外曝露，應考慮非必要應先關閉或限制存取。</p> </div></div></div>
2025/8/7 09:59作者林妍溱https://www.ithome.com.tw/news/170467
TypeScript 5.9讓專案設定更簡單，並支援延遲載入模組提升啟動效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TypeScript 5.9<a href="https://devblogs.microsoft.com/typescript/announcing-typescript-5-9/#optimizations">正式發布</a>，此次更新重點在於改進開發流程與提升效能，特別針對專案初始化、自動化模組載入與現代JavaScript應用的相容性，進行多項強化。新版特色在於降低初學者上手門檻，同時確保資深開發者於大型專案環境下也能獲得更好的開發體驗。</p> <p>開發團隊長期蒐集用戶回饋與實務需求，在TypeScript 5.9版本將tsc --init初始化專案時所產生的tsconfig.json設定檔進行大幅簡化，僅保留最常用且具實質效益的預設選項，並刪除繁瑣的註解與冗餘設定，提升整體設定流程的效率與可維護性。將預設值如module設為nodenext、target為esnext，啟用嚴格型別檢查與略過第三方型別檢查，以及將types設為空陣列，有助於新舊專案快速完成基礎設置。</p> <p>TypeScript 5.9正式支援ECMAScript的import defer語法。開發者可利用import defer * as feature from “./some-feature.js"，讓模組於載入時先準備好資源，但延後到實際存取成員時才執行初始化動作。此設計有助於降低大型應用初始啟動時的效能負擔，並在條件載入或需延遲副作用發生的情境下提供更好的彈性。</p> <p>新版本引入module node20設定，明確與Node.js 20的模組行為對齊，對於需要長期穩定維運或多環境部署的專案特別有用。與nodenext模式會隨標準調整不同，node20提供一個固定參照，有利於維護程式碼一致性。啟用node20時，target自動設為es2023，省去手動調整，有效降低開發與測試成本。</p> <p>TypeScript 5.9也改進了開發者在IDE中的體驗，lib.d.ts現已整合MDN文件摘要，使用者於編輯器中可即時取得DOM API主要功能說明，提升查詢效率。可展開型別快顯（Expandable Hovers）功能預覽上線，讓開發者能即時展開檢視型別細節，減少反覆跳轉定義的需求。此外，新版支援快顯訊息長度自訂，避免複雜型別資訊遭截斷。</p> <p>型別系統方面，本次針對映射器（Mapper）型別實例化流程增加快取機制，大幅減少重複運算，特別適合依賴泛型與複雜型別計算的應用。檔案存在性檢查也調整函式分配邏輯，根據開發者實測，在大型專案下可提升11％的編譯效能。</p> </div></div></div>
2025/8/7 10:15作者李建興https://www.ithome.com.tw/news/170466
JetBrains發表Kineto，強調零程式基礎也可快速產出網頁應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains<a href="https://blog.jetbrains.com/kineto/2025/08/make-your-ideas-clickable-with-kineto-by-jetbrains/">發表</a>無程式碼應用程式建置平臺Kineto，強調透過自然語言提示，協助沒有程式經驗的用戶在約20分鐘內完成一個可用的網站或網頁應用。Kineto有別於傳統的網站產生器或流程自動化工具，而是進一步將需求敘述、架構設計、功能實現到應用發布的多個環節加以自動化，讓應用建置過程更加直覺。</p> <p>過去十多年，隨著雲端運算普及，市面上出現各式低程式碼、無程式碼平臺，雖降低了部分開發門檻，實務上還是需要具備一定技術能力，例如多數平臺採用拖曳式介面，仍需使用者理解元件關聯，甚至在某些階段需撰寫JavaScript或SQL等語法。</p> <p>JetBrains強調，Kineto的目標是讓使用者完全不需要撰寫任何程式碼，只需以自然語言描述所需功能和操作情境，由Kineto自動解析需求，完成前端介面、後端邏輯與資料庫整合。開發團隊指出，Kineto背後整合了JetBrains在程式設計工具、IDE與自動化開發累積的技術經驗，他們將這些能力融入自動應用生成流程。</p> <p>在操作流程上，Kineto的建置過程從需求敘述開始，用戶僅需描述預期應用的主要功能，例如日程規畫、健身追蹤、簡易個人部落格等，Kineto會依據描述自動產生原型，包括使用者介面、資料流程、權限設定及基本互動邏輯。</p> <p>當後續需調整功能或介面，用戶可啟用Meta Layer模式，透過自然語言調整使用者角色、規則或增修功能，無需重複整體說明。這種互動方式有別於傳統網站建置器需反覆操作或設定參數，能有效降低細節修改的複雜度。</p> <p>目前Kineto鎖定小型應用場景，例如個人或團隊內部工具、活動登記、簡易問卷、知識庫或小型社群網站，強調可於20分鐘內產生可用成品並直接發布。JetBrains表示，未來計畫擴充支援更複雜的應用開發，加入自動代管、效能建議等功能。</p> <p>現階段Kineto提供早期搶先體驗，全球用戶可申請等候名單，優先開放給具明確構想且無程式背景的使用者，入選者將獲團隊協助建置與完善應用。</p> </div></div></div>
2025/8/7 08:19作者李建興https://www.ithome.com.tw/news/170457
【資安日報】8月6日，時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼時尚精品業者路易威登（Louis Vuitton，LV）、<a href="https://www.ithome.com.tw/news/170278">保險業者安聯（Allianz Life）</a>傳出資料外洩事故，本週有更多公司傳出類似事故，其中包含時尚精品業者香奈兒（Chanel）、Pandora，讓人懷疑這些精品業者的資安防護不足；但就連科技大廠也Google、思科，也證實遭遇相關攻擊而面臨資料外洩，這樣的情況很可能是一連串的攻擊行動。</p> <p>而在國內的資安新聞當中，自由時報報導勒索軟體DevMan聲稱對臺灣4家公司下手，但特別的是，駭客並未公布受害公司的全名，資安專家根據贖金的金額推測，這些很可能都是上市櫃公司。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170431"><strong style="font-size: 22px;">時尚精品業者香奈兒發生資料外洩事故，傳出是該公司的Salesforce帳密遭駭所致</strong></a></p> <p>時尚精品業者迪奧（Christian Dior Couture）、路易威登（Louis Vuitton，LV）先後在5月、7月傳出資料外洩的情況，兩起事故都出現包含臺灣在內的多個國家分公司客戶受到影響，其中LV傳出歹徒是存取第三方廠商的資料庫而得逞，突顯時尚精品業者對於客戶的個資保護不力，如今時尚精品業者香奈兒（Chanel）也傳出資料外洩的事故。</p> <p>這起事故的公開，最早是時尚新聞網站Women's Wear Daily（WWD）報導此事，香奈兒於7月25日偵測到駭客入侵第三方服務供應商代管的資料庫，影響美國客戶，曝露他們的個人聯絡資訊。</p> <p>針對這起資料外洩事故的其他細節，香奈兒並未進一步說明，但資安新聞網站Bleeping Computer取得相關資訊表示，外流的資料攻擊者是從香奈兒的Salesforce執行個體竊得。</p> <p><a href="https://www.ithome.com.tw/news/170438"><strong style="font-size: 22px;">丹麥精品業者</strong></a><a href="https://www.ithome.com.tw/news/170438"><strong style="font-size: 22px;">Pandora資料外洩，恐為Salesforce相關事件最新受害品牌</strong></a></p> <p>丹麥精品業者Pandora近日傳出資安事件，被駭客竊取客戶姓名及電子郵件等個資，成為最新資料外洩的精品業者。</p> <p>財星雜誌首先報導，Pandora以郵件通知顧客外洩事件，Pandora也證實此事。事件起因是這家精品業者使用的第三方系統遭非授權存取，致使客戶資料遭存取。Pandora說，除了顧客姓名與電子郵件之外，其餘敏感資料如：密碼、ID、信用卡與財務資訊，都不受影響。</p> <p>法國精品業者Chanel也在本周向媒體證實7月25日有類似的資安事件。Chanel代管在第三方業者平臺上的客戶資料，包括姓名、電話及住家地址遭攻擊者存取。該公司表示本次事件只影響美國客戶。雖然兩家公司都未透露第三方系統為何，但Bleeping Computer取得消息指出，兩家公司都使用Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/170439"><strong style="font-size: 22px;">思科、Google雙雙發生員工遭網釣事故，致CRM資料外洩</strong></a></p> <p>網路及伺服器大廠思科及Google雙雙公告其雲端CRM系統遭駭客入侵，竊走部分客戶資訊。</p> <p>思科上周說明，該公司7月24日得知一名思科客戶代表遭語音釣魚（vishing）鎖定得逞，因而得以從該公司使用的第三方雲端平臺客戶關係管理（CRM）系統的一個執行個體當中，存取並外洩部分用戶資訊。</p> <p>同時間，Google亦在8月5日公告類似的攻擊。6月間，Google使用的一個企業Salesforce執行個體遭到駭客存取。該系統是用於儲存中小企業聯絡資料及相關資訊。攻擊者在「一小段時間」得以存取資訊，被存取的是基本與常見商務資訊，如公司名稱和聯絡資訊。雖然兩家公司並未透露CRM系統的名稱，但外界推測很有可能就是Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/170434"><strong style="font-size: 22px;">四大SharePoint零時差漏洞ToolShell遭4L4MD4R勒索軟體濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-07-31-TTI-post-image-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-31-TTI-post-image-01.png" style="width: 300px; float: right;" /></a></p> <p>Palo Alto Networks旗下Unit 42威脅情報團隊揭露，攻擊者正大規模利用微軟SharePoint多項高風險零時差漏洞，針對在地端部署環境展開入侵行動。這波攻擊涉及4個被統稱為ToolShell的嚴重漏洞，分別為CVE-2025-49704、CVE-2025-49706、CVE-2025-53770、CVE-2025-53771。</p> <p>這些漏洞涵蓋程式碼注入、身分驗證不當、反序列化及路徑走訪限制等多種弱點，最高CVSS風險分數達9.8。根據最新監測顯示，勒索軟體4L4MD4R已開始利用這些漏洞攻擊暴露於網際網路的SharePoint Server，對政府、醫療、教育和企業環境構成實質衝擊。</p> <p>研究人員指出，攻擊活動自7月中明顯升溫，攻擊者運用自動化工具針對全球多個地端SharePoint伺服器進行版本偵測與弱點測試。受影響產品以2016、2019版SharePoint Enterprise Server及訂閱版本為主，Microsoft 365中的SharePoint Online則未受影響。這些漏洞均允許未授權攻擊者遠端執行任意程式碼或繞過身分驗證，單一主機遭入侵後，攻擊面將擴及組織其他整合式服務。</p> <p><a href="https://www.ithome.com.tw/news/170463"><strong style="font-size: 22px;">勒索軟體DevMan聲稱一口氣對4家臺灣企業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/4c93b57a0f24e8cd5e8941e6d62fbef1-156.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/4c93b57a0f24e8cd5e8941e6d62fbef1-156.jpg" style="width: 300px; float: right;" /></a></p> <p>從今年開始，勒索軟體駭客CrazyHunter、NightSpire接連針對多家臺灣上市櫃公司發動攻擊，使得上市櫃公司的資安防護議題再度浮上檯面，只要有勒索軟體駭客聲稱他們攻擊臺灣企業組織，就會格外引起臺灣各界的關注，如今有駭客組織一口氣聲稱對4家臺灣公司下手，這樣的情況相當罕見。 </p> <p>根據自由時報的報導，DevMan近期在暗網公布4家臺灣受害企業，並聲稱握有這些公司200 GB至960 GB不等的資料，並索討1百萬至6百萬美元（約新臺幣2,997萬至1.8億元）。他們取得資安專家的說法，如此高額的贖金，受害企業很可能都是上市櫃公司。但與許多勒索軟體組織有所不同的是，他們並未公布受害組織全名，而是以星號遮蓋部分字母。</p> <p>資安專家認為，DevMan在一天內聲稱攻擊了4家臺灣企業，且開出不同級距的贖金，這些駭客的操作，很可能代表三件事，首先，駭客可能掌握特定漏洞，能夠大規模滲透同類型目標；再者，他們鎖定特定產業鏈或供應鏈節點，而能一口氣攻擊多家公司。此外，駭客有可能將臺灣特定產業當試驗場，嘗試進行區域性勒索活動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/sonicwall-investigating-potential-ssl.html">針對勒索軟體Akira疑似鎖定SonicWall防火牆零時差漏洞的攻擊行動，有新的調查結果出爐</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/vietnamese-hackers-use-pxa-stealer-hit.html">越南駭客透過竊資軟體PXA，攻擊4,000個IP位址、竊得20萬組帳密</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/google-fixes-3-android-vulnerabilities.html">Google發布8月安卓例行更新，修補兩項已遭利用的高通晶片漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/dell-laptop-models-vulnerabilities-impacting-millions/">Dell商務筆電特定晶片存在漏洞，攻擊者恐藉此竊取敏感資料，影響逾100款機種、數百萬臺電腦曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pwn2own-hacking-contest-pays-1-million-for-whatsapp-exploit/">漏洞挖掘競賽Pwn2Own Ireland 2025將於10月舉行，預告為WhatApp零點擊RCE漏洞祭出最高百萬美元獎勵</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月5日】國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> </div></div></div>
2025/8/6 18:21作者周峻佑https://www.ithome.com.tw/news/170464
勒索軟體DevMan聲稱一口氣對4家臺灣企業下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年開始，勒索軟體駭客<a href="https://www.ithome.com.tw/tags/crazyhunter">CrazyHunter</a>、NightSpire接連針對多家臺灣上市櫃公司發動攻擊，使得上市櫃公司的資安防護議題再度浮上檯面，只要有勒索軟體駭客聲稱他們攻擊臺灣企業組織，就會格外引起臺灣各界的關注，如今有駭客組織一口氣聲稱對4家臺灣公司下手，這樣的情況相當罕見。 </p> <p>根據自由時報的報導，<a href="https://ec.ltn.com.tw/article/breakingnews/5133891">DevMan近期在暗網公布4家臺灣受害企業</a>，並聲稱握有這些公司200 GB至960 GB不等的資料，並索討1百萬至6百萬美元（約新臺幣2,997萬至1.8億元）。他們取得資安專家的說法，如此高額的贖金，受害企業很可能都是上市櫃公司。但與許多勒索軟體組織有所不同的是，他們並未公布受害組織全名，而是以星號遮蓋部分字母。</p> <p>資安專家認為，DevMan在一天內聲稱攻擊了4家臺灣企業，且開出不同級距的贖金，這些駭客的操作，很可能代表三件事，首先，駭客可能掌握特定漏洞，能夠大規模滲透同類型目標；再者，他們鎖定特定產業鏈或供應鏈節點，而能一口氣攻擊多家公司。此外，駭客有可能將臺灣特定產業當試驗場，嘗試進行區域性勒索活動。</p> <p>我們也在網路上搜尋相關資料，恰巧看到威脅情報網站Cybersecurity News Everyday、威脅情報業者DeXpose指出，他們發現DevMan於8月1日公布4家受害的臺灣公司，他們是：<a href="https://www.dexpose.io/devman-ransomware-attack-on-bul-corp/">BUL Corp</a>（<a href="https://www.hendryadrian.com/ransom-bul-tw/">b*u*l*****.tw</a>）、<a href="https://www.dexpose.io/devman-ransomware-attack-targets-kw-international/">KW International</a>（<a href="https://www.hendryadrian.com/ransom-kw-tw/">kw****.tw</a>）、<a href="https://www.dexpose.io/devman-ransomware-targets-prowess-corp-in-taiwan/">Prowess Corp</a>（<a href="https://www.hendryadrian.com/ransom-pr-tw/">pr*****.tw</a>），以及一家<a href="https://www.dexpose.io/devman-ransomware-attack-on-com-tw-in-taiwan/">僅有公布為臺灣公司</a>（<a href="https://www.hendryadrian.com/ransom-cm-tw/">***.c*m.tw</a>）的受害企業，駭客索討的金額分別是110萬美元、100萬美元、105萬美元，以及600萬美元。</p> <p>針對這個勒索軟體駭客組織的來歷，<a href="https://cyble.com/blog/top-ransomware-groups-may-2025-safepay-devman-rise/">最早由資安業者Cyble發現並提出警告</a>，DevMan約在今年5月開始活動，聲稱在5月就有13家受害的企業組織，而引起他們的注意，其中一起攻擊泰國媒體的事故裡，駭客聲稱將所有的系統與NAS設備檔案加密。該組織與Qilin、Apos、DragonForce、RansomHub等勒索軟體租用服務（Ransomware-as-a-Service）有合作關係。</p> <p>資安業者Check Point揭露另一起<a href="https://research.checkpoint.com/2025/21st-july-threat-intelligence-report/">針對泰國勞動部的資安事故</a>，當時他們的網站遭到破壞，駭客聲稱竊得300 GB敏感資料，他們入侵2千臺筆電、數十臺伺服器，並將檔案加密。DevMan向泰國勞動部勒索1,500萬美元贖金。</p> <p>Any.Run對DevMan的加密工具進行分析，<a href="https://medium.com/@anyrun/devman-ransomware-analysis-of-new-dragonforce-variant-ede707fd30b1">指出該組織的加密工具源自於DragonForce</a>，大多重覆使用DragonForce的程式碼基礎（Codebase），雖然大部分的防毒引擎會將其標記為DragonForce或是Conti，但DevMan的加密工具存在獨有的行為，使得他們認為這群駭客並非單純的DragonForce加盟主。附帶一提的是，除了透過SMB進行偵察，DevMan的惡意程式大多惡意活動都是離線進行，而且，他們發現這款加密工具並未出現對外的C2通訊。這些駭客主要的攻擊目標是亞洲和非洲，但拉丁美洲與歐洲也有受害組織，</p> </div></div></div>
2025/8/6 17:55作者周峻佑https://www.ithome.com.tw/news/170463
臺灣Foodpanda衝高平臺交易量新招，用10億筆訂單數據免費提供餐廳數據分析及顧問服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣Foodpanda宣布「餐飲錢力股計畫」，與亞太行銷數位轉型聯盟協會（AMT）合作，免費提供餐飲商家經營診斷、客製化報告製作、顧問指導、經營課程等服務。臺灣Foodpanda商務總監簡紫涵表示，這是臺灣Foodpanda於集團全球市場中首先發起的商家經營模式。</p> <p>此計畫主要鎖定中小型餐飲商家，具體做法分為3階段。首先，他們根據經濟部「數位轉型評量指南」製作簡短測驗給商家，快速評估商家對數位化的認知及可能優化方向。接著，用Foodpanda平臺訂單數據，為商家製作專屬報表及建議改善方針。最後，邀請商家參與由Foodpanda及AMT共同舉辦的行銷及經營課程，並派顧問團隊，輔導商家數位行銷及經營Foodpanda商務。</p> <p>Foodpanda會從自家10億筆訂單數據中，替商家分析出熱門餐點組合、同業定價策略、區域消費行為、鄰近競爭對手關係等資訊，來提供在Foodpanda上的經營建議。例如，建議商家根據自家販售及周邊競爭情況調整菜單。或者，建議回購率高、新客流量低的商家將行銷預算集中在新客群促銷。</p> <p>雖然Foodpanda報表只會使用自家平臺上數據，不過，AMT創會會長高端訓指出，就算商家在Foodpanda平臺累積的數據量不大，還是能透過Foodpanda窺見附近其他商家數據，作為調整經營和行銷的參考。例如，所在區域消費情況、鄰近競爭商家數據概況，就是只有Foodpanda能掌握的數據。</p> <p>Foodpanda過往已經利用自家平臺上數據，打造RMN等數位行銷業務。簡紫涵說明，RMN主要服務大型品牌，如大型食品公司、金融業等。這次利用數據發展數據分析及顧問服務，則是鎖定財力、人力和IT力較有限的中小型餐飲商家，提供免費服務。他們期望，透過數據來強化商家經營，能同時提升商家在Foodpanda的業績，進而從平臺交易量增加來受益。</p> <p></p> </div></div></div>
2025/8/6 18:42作者郭又華https://www.ithome.com.tw/news/170462
Adobe緊急修補電子表單平臺AEM Forms零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日Adobe針對電子表單平臺Adobe Experience Manager Forms（AEM Forms）<a href="https://helpx.adobe.com/security/products/aem-forms/apsb25-82.html">發布緊急修補</a>，公告兩個資安漏洞，這些漏洞不僅危險，其中一個風險值更達到滿分，而且，相關細節在Adobe發布修補程式之前，就已經被公布，很有可能成為接下來歹徒利用的對象。因此，Adobe認為，雖然目前他們尚未發現漏洞遭到利用的跡象，但用戶應以最優先層級採取因應措施。</p> <p>這兩個漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-54253">CVE-2025-54253</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-54254">CVE-2025-54254</a>，影響6.5.23之前版本的AEM Forms，其中最嚴重的是CVSS評分達到10分的CVE-2025-54253，此漏洞起因是組態不當，可被用於執行任意程式碼，一旦攻擊者成功用，就有機會繞過安全機制並執行程式碼，而且，過程裡完全無需使用者互動。</p> <p>另一個資安漏洞CVE-2025-54254，攻擊者可用於任意檔案系統讀取，起因是XML外部實體參照（XXE）限制不當，攻擊者有機會以此存取本機檔案系統的敏感檔案，利用漏洞過程也不需要使用者互動，CVSS風險為8.6。</p> </div></div></div>
2025/8/6 14:47作者周峻佑https://www.ithome.com.tw/news/170441
國內首次啟動災害漫遊機制，臺南七股、嘉義布袋8月7日將啟動災害漫遊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>颱風及西南氣流帶來的豪雨，造成臺灣南部地區災情，為因應災區的通訊需求，NCC宣布已與三大電信協調，將在8月7日下午3點於臺南七股、嘉義布袋兩地及周邊啟動災害漫遊機制，讓當地民眾可漫遊其他電信商的行動網路，加強災區的通訊品質。</p> <p>國內是在2年前推動災害漫遊，當發生重大災害時，在特定的區域範圍內，協調電信業者建立漫遊機制，讓災區的民眾在原有的電信商網路無法提供服務之下，可以漫遊機制來使用其他電信商仍提供服務的網路。災害漫遊機制是在國定主導下，電信商配合建立的機制，確保民眾在重大災難發生或緊急情況下，仍能使用基本通訊服務。2023年數發部曾對外展示災害漫遊機制。</p> <p>本周NCC邀請數發部、內政部、消防署、公平交易委員會、臺灣電信產業協會及三大電信業者開會，會中取得共識，將在8月7日下午3點，於臺南的七股、嘉義的布袋兩地及周邊啟動災害漫遊機制，強化災害發生時的通訊韌性，視各家電信商評估基地臺修復的進度，災害漫遊最晚到今年的10月31日止。</p> <p>NCC指出，這次颱風及豪雨，造成嘉義及臺南地區1,293座基地臺因電力中斷或風雨造成毀損，電信業者加派人力及資源，例如行動基地臺、調整周邊基地臺天線方向等方式，盡力恢復災區通訊服務，已接近災害發生前的水準，NCC與電信業者開會取得共識，決定先導性實施災害漫遊，因此擇定在臺南七股、嘉義布袋兩個地區及周邊啟動災害漫遊機制。</p> <p>相較於先前概念及技術展示，這是首次在真實的災害下啟動災害漫遊機制，在災害漫遊機制期間，協調三家電信業者開放非自家用戶存取使用網路，以中華電信為例，原先只開放自家用戶存取網路，而在災害漫遊機制啟動後，當地的遠傳、台灣大哥大用戶將可以漫遊的方式來使用中華電信的網路。</p> <p>在8月7日下午3點之後，臺西七股、嘉義布袋地區啟動災害漫遊機制後，當地民眾只要手機開啟漫遊機制，手機就會自動搜尋附近訊號最好的行動電信網路，確保民眾可以獲得較佳的通訊品質，包括語音電話及行動數據上網。值得注意的是，災害漫遊機制為為災害期間的特殊情況，並非開放民眾無限制地使用，因此電信商雖然開放災害漫遊，但是會控制漫遊用戶所能夠使用的網路資源多寡，避免發生濫用的情形。</p> <p>另外，當地民眾在災害漫遊機制啟用期間，使用其他家電信商的網路，並不會有額外的漫遊費用產生。</p> <p>NCC表示，區漫游機制對緊急電話應接、電信打詐，關係到民眾的生命及財產安全，目前在技術上仍有待精進，故先以臺南、嘉義部分地區啟動，至於高雄市、臺東縣發生災情的偏鄉地區，未來在先導災害漫遊實施之後，通過技術測試，視需要再推動到其他地區。</p> <p>這次在臺南、嘉義部分區域啟動災害漫遊機制，為先導性實施，國內尚未建立通案實施的標準程序，因此NCC未來會再和相關部會、單位開會，依災害防治法建立通案實施的標準，以強化國內災害應變的制度化作業。</p> </div></div></div>
2025/8/6 15:36作者蘇文彬https://www.ithome.com.tw/news/170448
ElevenLabs推出音樂生成模型Eleven Music
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發各種AI音訊產品的<a href="https://elevenlabs.io/blog/eleven-music-is-here" target="_blank">ElevenLabs在本周二（8/5）發表了Eleven Music</a>，這是個文字轉音樂模型，能夠生成任何風格的錄音室等級音樂，同時提供免費與付費版本，後者可應用於商業上。</p> <p>Eleven Music是在2022年由Mati Staniszewski與Piotr Dąbkowski在紐約共同創立，其中，Staniszewski曾是Palantir部署策略師，Dąbkowski則曾為Google的機器學習工程師，他們兩個都是波蘭人，創業靈感來自於波蘭電影的配音質感低落，因而想打造音質更自然流暢的語音AI系統。所開發的平臺已支援文字轉語音、聲音克隆、文字生成聲音及自動配音等。最近一次的融資是今年1月底完成的1.8億美元的C輪融資，完成後的估值為33億美元。</p> <p>Eleven Music能夠呈現使用者所描述的各種音樂流派、風格或結構；也能選擇人聲或樂器；目前支援英文、西班牙文、德文及日文等；也允許使用者在生成之後編輯部分或整首音樂的聲音與歌詞。</p> <p>在該實驗所展示的例子中，在下了「夢幻、迷幻、緩慢獨立搖滾、有空間感的人聲、復古鍵盤樂器、朗朗上口的副歌、懷舊及國歌」等提示之後，Eleven Music就能生成足以公開發表的音樂。它所生成的音樂長度介於10秒至5分鐘之間，採用MP3格式，取樣率為音樂CD等級的44.1kHz，比特率則落在128至192kbps之間。</p> <p>ElevenLabs表示，Eleven Music是與唱片公司、出版社及藝術家合作建置的，幾乎可用於所有商業用途，從電視、電影、電視、播客到社交媒體影片等，或是從廣告到遊戲。</p> <p><a href="https://elevenlabs.io/pricing" target="_blank">Eleven Music所提供的訂閱方案</a>從免費到每月1,320美元不等，其中，免費版不可商用，每月5美元的Starter方案只支援社交媒體及廣告等商業用途，更廣泛的商業用途則必須訂閱每月11美元、Creator方案以上的版本。</p> <p>此外，不管是免費版或是付費版都必須遵守<a href="https://elevenlabs.io/music-terms" target="_blank">Eleven Music的服務條款</a>，明文規定使用者不得利用它來建立商業音樂庫；也不能應用在武器、禁藥、成人娛樂、宗教及政府宣傳上；亦不得在輸入提示中使用任何藝人的名字、任何歌曲名稱、任何專輯名稱或任何音樂出版商的名字。</p> <p><a href="https://www.wsj.com/articles/voice-startup-elevenlabs-launches-ai-music-service-8a546cef?st=LGDyUY&reflink=desktopwebshare_permalink" target="_blank">華爾街日報（WSJ）引用Futurum Group執行長Daniel Newman的看法指出</a>，過去許多廣告配樂或版權音樂都需經過昂貴且複雜的授權程序，AI的出現讓它們能以遠低於傳統成本的費用取得，對資源有限的公司格外有利。</p> </div></div></div>
2025/8/6 15:38作者陳曉莉https://www.ithome.com.tw/news/170449
AI程式碼編輯器Cursor存在資安漏洞CurXecute，恐被用於提示注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧（AI）的整合搭配，對於軟體開發生產力的提升，扮演的角色越來越重要，一旦存在相關漏洞，就有可能讓開發者在編寫程式碼的過程裡，帶入攻擊者的惡意內容，或是進一步對開發環境上下其手。</p> <p>例如，最近資安業者Aim Security揭露的<a href="https://www.aim.security/lp/aim-labs-curxecute-blogpost">高風險漏洞CurXecute</a>，就是這種型態的例子。這個漏洞出現在AI整合式開發環境（IDE）Cursor，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.6。他們向Cursor開發團隊通報此事，Cursor於7月8日發布1.3.9版修補，並將漏洞登記為CVE-2025-54135列管。</p> <p>這個漏洞的發現，與6月Aim Security揭露的Microsoft 365 Copilot<a href="https://www.ithome.com.tw/news/169500">零點擊漏洞EchoLeak</a>有關，當時他們對相關問題的理解，在於：只要提供AI機器人不受信任的內容，就有機會在無須使用者互動的情況下，挾持大型語言模型（LLM）的內部迴圈，從而洩露模型能夠看到的資料。</p> <p>基於這樣的認知，他們對Cursor進行調查，由於該IDE工具支援模型內容通訊協定（Model Context Protocol，MCP），可藉由自然語言，存取Slack主機、GitHub儲存庫，或其他的資料庫，將本機代理程式變成像瑞士刀的萬用工具。然而，MCP會將代理程式曝露於外部及不受信任的資料而產生危險，影響代理程式的流程控制，一旦攻擊者挾持代理程式的連線階段（Session），就有機會藉由代理程式的權限冒充使用者。</p> <p>Aim Security認為，CurXecute發生的原因牽涉三種層面，分別是MCP自動執行的機制、即時建議的編輯內容，以及提示注入引發RCE的途徑。由於只要發現~/.cursor/mcp.json出現新的內容，Cursor就會在沒有使用者確認的情況下執行，再加上代理程式建議修改mcp.json的內容已存放於磁碟，即便使用者否決還是會照樣執行，因此攻擊者只要透過Slack等MCP支援的外部平臺注入惡意資料，就有機會操控Cursor的AI代理程式，從而執行任意命令。</p> <p>為了讓更多人了解這個漏洞，Aim Security也透過影片展示概念驗證（PoC），並指出當中呈現的攻擊面，源自於處理外部內容的任意第三方MCP伺服器，包括：問題追蹤工具、客戶支援信箱，甚至是搜尋引擎，而且，只要一個中毒的文件，就有機會將AI代理程式變成本機的Shell。</p> </div></div></div>
2025/8/6 15:56作者周峻佑https://www.ithome.com.tw/news/170455
DeepMind發表可以生成數分鐘3D虛擬世界的Genie 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepmind.google/discover/blog/genie-3-a-new-frontier-for-world-models/" target="_blank">Google DeepMind於周二（8/5）發表</a>全新AI世界模型Genie 3，可根據文字提示即時生成互動式3D世界。相較於去年11月釋出、僅能維持10~20秒互動的<a href="https://www.ithome.com.tw/news/166457" target="_blank">Genie 2</a>，Genie 3支援長達數分鐘的連續互動，還能記住場景以維持畫面及環境的連貫性。</p> <p>Genie 3是DeepMind自2023年以來持續開發的世界模型系列第三代，可以每秒24幀與720p的解析度執行。它能夠模擬火山地形、水流或光影等真實世界的物理現象，亦可再現冰川或熱帶雨林等自然生態，還能以幻想及動畫風格創作，或是重建地理及歷史場景。</p> <p>此外，Genie 3還支援「可提示的世界事件」（promptable world events），讓使用者得以即時透過文字變更世界條件，例如改變天氣、增加角色或新場景，讓生成世界不僅可互動，還能持續演變。</p> <p>Genie系列與傳統的影片生成不同，它讓使用者進入一個由AI生成的世界，還能與場景互動，這種動態操控的能力，使其特別適合用於代理人訓練、自主系統模擬、教育模擬，以及創意應用。</p> <p>世界模型被視為邁向通用人工智慧（AGI）的一個關鍵技術，允許AI不必依靠真實世界資料，便能於虛擬世界中進行各種練習與學習。DeepMind表示，他們已經利用Genie 3所創造的虛擬世界來測試自家的SIMA代理人，看看它在不同任務下能否學會解決問題。</p> <p><a href="https://www.ithome.com.tw/news/161777" target="_blank">SIMA（Scalable, Instructable, Multiworld Agent）</a>是Google DeepMind所開發的一款通用型AI代理人，目標是讓它能在各種3D虛擬環境中完成多樣化任務。</p> <p>目前Genie 3尚未開放一般大眾使用，而是以「限量研究預覽」方式提供少數學術研究人員與創作者試用，並蒐集回饋以評估潛在風險與負責任的使用方式。Google也坦承，該模型仍存在如互動範圍受限、無法完美模擬真實地點，以及文字生成效果不穩定等限制。</p> </div></div></div>
2025/8/6 14:46作者陳曉莉https://www.ithome.com.tw/news/170440
微軟OAuth應用程式遭冒充，攻擊者以釣魚手法繞過多因素驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Proofpoint研究團隊<a href="https://www.proofpoint.com/us/blog/threat-insight/microsoft-oauth-app-impersonation-campaign-leads-mfa-phishing">發現</a>，攻擊者持續濫用微軟OAuth應用註冊機制，假冒企業常用的雲端服務，誘導受害者授權偽造應用，再將其導向仿造的微軟登入頁面，藉此攔截帳號密碼及多因素驗證（MFA）會話資訊。</p> <p>隨著MFA逐漸成為雲端帳號的標準防護措施，攻擊者結合攻擊者中介（AiTM）釣魚框架，例如Tycoon與ODx，已能即時攔截使用者輸入的驗證資訊及工作階段Cookie，突破MFA防線，對雲端服務構成實質威脅。</p> <p>這波攻擊最明顯的特徵，在於駭客偽裝Adobe、DocuSign、SharePoint、RingCentral等主流雲端服務的應用名稱與授權頁面，利用OAuth權限請求，引導目標用戶同意或拒絕應用存取個人資訊。無論使用者選擇取消或授權，最終都會被重導至偽造的微軟登入頁，而該頁實際上由攻擊者控制，並利用AiTM技術同步攔截所有登入憑證與MFA驗證內容。</p> <p>研究人員指出，攻擊流量普遍帶有Axios用戶代理特徵，攻擊後階段經常試圖變更受害者帳號的安全設定，以維持存取權限。根據統計，2025年Tycoon攻擊已針對超過900個Microsoft 365租戶、近3,000個帳號發動攻擊，並取得逾五成的入侵成功率。</p> <p>攻擊者的投遞策略也越來越成熟，研究人員觀察到，多數釣魚郵件來自先前遭入侵的企業帳號，郵件主題常涉及報價、合約及文件簽核等商業情境，以提升誘騙成功率。郵件中的連結會引導收件者進入偽造的微軟OAuth授權頁，之後再重導至攻擊者掌控的登入頁面。2025年4月後，攻擊者基礎設施從原本的俄羅斯主機，轉移至美國資料中心託管服務，其持續調整行動以降低被偵測風險。</p> <p>微軟在6月宣布，從7月中至8月，將分階段封鎖舊式驗證協定，並強制第三方應用程式取得管理員同意，研究人員認為，這些調整有助於阻止假冒OAuth應用程式的相關攻擊，同時建議企業資安團隊仍須主動檢視雲端環境授權政策，加強異常行為監控，及時辨識可疑應用程式授權。</p> <p>使用者教育同樣不可或缺，應針對OAuth授權頁與雲端登入頁面設計進行基礎風險識別訓練，針對敏感帳號，研究人員建議導入FIDO實體金鑰等更高強度的多因素驗證，以降低會話資訊遭攔截的風險。</p> </div></div></div>
2025/8/6 15:20作者李建興https://www.ithome.com.tw/news/170446
思科、Google雙雙發生員工遭網釣致CRM資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路及伺服器大廠思科及Google雙雙公告其雲端CRM系統遭駭客入侵，竊走一部份客戶資訊。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/resources/CRM-vishing" target="_blank">思科上周說明</a>，該公司7月24日得知一名思科客戶代表遭語音釣魚（vishing）鎖定得逞，因而得以從該公司使用的第三方雲端平臺客戶關係管理（CRM）系統的一個執行個體中存取並外洩一部份用戶資訊。</p> <p>同時間，<a href="https://cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion" target="_blank">Google亦在昨（5）日公告類似的攻擊</a>。6月間，Google使用的一個企業Salesforce執行個體遭到駭客存取。該系統是用於儲存中小企業聯絡資料及相關資訊。攻擊者在「一小段時間」得以存取資訊，被存取的是基本與常見商務資訊，如公司名稱和聯絡資訊。</p> <p>思科則說，調查顯示外洩的資料為Cisco.com註冊帳號的基本客戶資訊，如姓名、組織、地址、客戶ID、電話、電子郵件信箱及帳號相關meta data如帳號建立日期。</p> <p>如同Google，思科也說攻擊者並沒有取得任何客戶機密或專屬資訊、密碼、或其他敏感資訊。思科並強調，該CRM沒有其他執行個體CRM受影響，他們也沒有發現此事對其產品和服務的影響。</p> <p>思科並沒說明該CRM系統為何，但是根據其描述，很可能也是近日有如瘟疫般爆發的Salesforce資料外洩。</p> <p>媒體及資安業者將這幾波攻擊事件元兇指向ShinyHunters組織，Google則以UNC6040指稱攻擊者，Google威脅情報小組研究，發動語音釣魚攻擊的UNC6040，也是Google最新資安事件的元兇。此外Google相信，近日自稱ShinyHunters勒索受害者的是另一個代號UNC6240的組織，為冒用ShinyHunters名義行動，或是兩個組織有合作關係。</p> <p>除了二家科技公司，近日已經有Chanel、LV、Pandora、安聯等也都傳可能是經由Salesforce API竊取資料。Salesforce對媒體發出聲明表示，在這些事件中Salesforce系統並未被駭入，事件也非其任何該平臺漏洞所致，而是出於用戶遭社交工程攻擊導致。</p> </div></div></div>
2025/8/6 13:53作者林妍溱https://www.ithome.com.tw/news/170439
SharePoint四大零時差漏洞ToolShell遭4L4MD4R勒索軟體濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Palo Alto Networks旗下Unit 42威脅情報團隊<a href="https://unit42.paloaltonetworks.com/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/#post-147463-_50343o6a6han&:~:text=If%20you%20have%20SharePoint,fully%20evict%20the%20threat">揭露</a>，攻擊者正大規模利用微軟SharePoint多項高風險零時差漏洞，針對在地端部署環境展開入侵行動。這波攻擊涉及4個被統稱為ToolShell的嚴重漏洞，分別為CVE-2025-49704、CVE-2025-49706、CVE-2025-53770、CVE-2025-53771。</p> <p>這些漏洞涵蓋程式碼注入、身分驗證不當、反序列化及路徑走訪限制等多種弱點，最高CVSS風險分數達9.8。根據最新監測顯示，勒索軟體4L4MD4R已開始利用這些漏洞攻擊暴露於網際網路的SharePoint Server，對政府、醫療、教育和企業環境構成實質衝擊。</p> <p>研究人員指出，攻擊活動自7月中明顯升溫，攻擊者運用自動化工具針對全球多個地端SharePoint伺服器進行版本偵測與弱點測試。受影響產品以2016、2019版SharePoint Enterprise Server及訂閱版本為主，Microsoft 365中的SharePoint Online則未受影響。這些漏洞均允許未授權攻擊者遠端執行任意程式碼或繞過身分驗證，單一主機遭入侵後，攻擊面將擴及組織其他整合式服務。</p> <p>攻擊者首先利用漏洞取得伺服器存取權，隨即執行PowerShell命令關閉防護功能，並從指定遠端位置下載UPX壓縮且以Go語言撰寫的勒索軟體4L4MD4R。該勒索軟體於受害主機記憶體中解密、載入並加密檔案，之後在桌面生成贖金說明與加密檔案清單，要求受害者以比特幣支付贖金。技術分析顯示，攻擊過程中還會竊取MachineKey等憑證資訊，增加攻擊者橫向移動及存取Teams、OneDrive和Outlook等服務的可能性。</p> <p>此外，攻擊者不僅能繞過多重身分驗證與單一登入，還根據攻擊行動進度與外部公開情報靈活調整工具與策略，例如初期以.NET自訂模組竊取加密金鑰，當相關Web Shell手法曝光後，迅速切換回.NET模組，提升存活率與隱匿性。Unit 42比對活動來源，發現多起攻擊與微軟追蹤的Storm-2603組織相關聯，顯示具備高度組織化與持續作戰能力。</p> <p>鑑於此次攻擊規模與風險，研究人員建議所有運作在地端SharePoint環境之組織，應優先假設主機已遭入侵，並立即執行下列行動，第一是斷開易受攻擊伺服器對外連線，防止進一步入侵或資料外洩；第二，依據微軟最新公告安裝所有修補程式，且重設ASP.NET MachineKey、所有加密金鑰與密碼資料，並重啟IIS服務；第三，主動進行威脅獵捕及全面弱點檢查，確認是否存在Web Shell或異常連線，必要時委託專業事件應變團隊執行全面調查與處理。</p> </div></div></div>
2025/8/6 14:08作者李建興https://www.ithome.com.tw/news/170434
阿里巴巴開源首個圖像生成模型Qwen-Image
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里巴巴旗下的AI團隊通義千問（Tongyi Qianwen，Qwen）繼開源Qwen語言模型、多模態模型Qwen-VL之後，<a href="https://qwenlm.github.io/blog/qwen-image/" target="_blank">周一（8/4）開源了首個圖像生成模型Qwen-Image</a>。</p> <p>Qwen-Image採用MMDiT（Masked Multimodal Diffusion Transformer）架構，具備200億個參數，支援使用者輸入文字或圖像以產生圖像，也能控制圖像的樣式，並針對於圖像中嵌入中文及英文進行了最佳化。</p> <p>在Qwen-Image執行的許多圖像生成與圖像編輯基準測試中，它都輕易地超越了GPT Image 1、Seedream 3.0或Bagel等競爭對手，也在中/英文字渲染的基準測試表現亮眼。</p> <p>Qwen團隊特別展示了如何以文字提示要求Qwen-Image生成含有大量文字的圖像，以展示該模型的確能夠根據提示生成正確的文字，不管是中文還是英文。</p> <p><a href="https://medium.com/data-science-in-your-pocket/qwen-image-best-open-sourced-ai-image-generation-is-here-d09b6e7f6c71" target="_blank">科技專欄作家Mehul Gupta認為</a>，Qwen-Image是少數能夠準確對齊看板文字、正確渲染文字，同時兼顧風格與結構的開源圖像生成模型，而且具備商用品質，可比美封閉API。</p> <p>使用者可直接透過<a href="https://chat.qwen.ai/" target="_blank">Qwen Chat</a>平臺試用Qwen-Image，或是藉由<a href="https://huggingface.co/Qwen/Qwen-Image" target="_blank">Hugging Face</a>與<a href="https://github.com/QwenLM/Qwen-Image" target="_blank">GitHub</a>下載。Qwen團隊亦提供了完整的<a href="https://arxiv.org/abs/2508.02324" target="_blank">Qwen-Image技術報告</a>。</p> </div></div></div>
2025/8/6 11:55作者陳曉莉https://www.ithome.com.tw/news/170437
Pandora資料外洩可能為Salesforce相關事件最新受害品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥精品業者Pandora近日傳出資安事件，被駭客竊取客戶姓名及電子郵件等個資，成為最新資料外洩的精品業者。</p> <p><a href="https://www.forbes.com/sites/daveywinder/2025/08/05/pandora-confirms-cyberattackwhat-you-need-to-know/" target="_blank">財星雜誌首先報導</a>，Pandora以郵件通知顧客外洩事件，Pandora也證實此事。事件起因是這家精品業者使用的第三方系統遭非授權存取，致使客戶資料遭存取。Pandora說，除了顧客姓名、電子郵件，密碼、ID、信用卡等財務資訊都不受影響。</p> <p>法國精品業者<a href="https://wwd.com/business-news/retail/chanel-data-break-u-s-client-database-1238026491/" target="_blank">Chanel也在本周向媒體證實</a>7月25日有類似的資安事件。Chanel代管在第三方業者平臺上的客戶資料，包括姓名、電話及住家地址遭攻擊者存取。<a href="https://www.ithome.com.tw/news/170431" target="_blank">該公司表示</a>本次事件只影響美國客戶。</p> <p>雖然兩家公司都未透露第三方系統為何，但<a href="https://www.bleepingcomputer.com/news/security/pandora-confirms-data-breach-amid-ongoing-salesforce-data-theft-attacks/" target="_blank">Bleeping Computer取得消息報導</a>，兩家公司都是使用Salesforce。</p> <p>更早之前，LV、Cartier、愛迪達、安聯人壽等大型企業也相繼傳出資料外洩。</p> <p><span style="color:#B22222;"><strong>結合社交工程的攻擊得逞</strong></span></p> <p>雖然媒體及資安業者將這波攻擊事件元兇指向ShinyHunters組織，<a href="https://cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion" target="_blank">但Google分析攻擊者來自代號UNC6040的另一個組織</a>，可能只是借用ShinyHunter之名，或是兩個組織有合作關係。</p> <p>就犯案手法而言，Google認為攻擊者是利用語音釣魚（vishing），冒充IT人員誘騙不知情的員工下載Salesforce一個假的Salesforce Data Loader連接程式，並引導員工同意核准OAuth授權，使該假App可長期不經驗證直接存取Salesforce，種下禍根。駭客之後即可調用Salesforce API，竊取其儲存的客戶資料。</p> <p>因此這幾次事件並非Salesforce系統有漏洞遭濫用。Salesforce對媒體表示，Salesforce系統並未被存取，本事件也非其平臺漏洞所致。雖然其平臺內建企業級安全，但客戶才是確保資料安全的關鍵，尤其是面對釣魚及社交工程攻擊。</p> </div></div></div>
2025/8/6 12:06作者林妍溱https://www.ithome.com.tw/news/170438
6年後 OpenAI再釋出開放權重的語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在公眾期待下，在GPT-2推出6年後，OpenAI昨（5）日<a href="https://openai.com/global-affairs/open-weights-and-ai-for-all/" target="_blank">宣布釋出2款開放權重的模型</a><a href="http://openai.com/global-affairs/open-weights-and-ai-for-all/" target="_blank">gpt-oss</a><a href="https://openai.com/global-affairs/open-weights-and-ai-for-all/" target="_blank">系列</a>，目前僅支援文字，但具備高效能及推理能力。</p> <p>最新釋出的模型包含<a href="https://huggingface.co/openai/gpt-oss-120b" target="_blank">gpt-oss-120b</a>及<a href="https://huggingface.co/openai/gpt-oss-20b" target="_blank">gpt-oss-20b</a>。gpt-oss-120b號稱是該公司最強大的開放權重模型，適合單一H100 GPU平臺。gpt-oss-20b則為中等規模的開放模型，適合低延遲性應用。二者都是以寬鬆Apache 2.0授權開放，允許使用者自由開放，適合實驗、客製或商用部署。</p> <p><a href="https://platform.openai.com/docs/models" target="_blank">功能面</a>而言，目前gpt-oss-120b和gpt-oss-20b都僅支援文字輸出輸入（尚不支援影音）和基礎的回應，但是效能強大：提供131,072 context window，最大輸出131,072 token，也雙雙使用完整思維鏈可提升除錯和輸出品質，並且都具備代理人能力，支援函式呼叫、上網、Python程式碼執行及結構化輸出。此外，兩模型都允許依據應用場景和延遲性需求，調整推理能力強度、或微調參數。</p> <p>OpenAI也提供二個模型和旗艦模型OpenAI o3和o4-mini的比較。作為免費模型，gpt-oss-120b在推理與知識、數學緊追封閉模型，甚至在標竿測試AIME 2024中還超越o3及o4-mini。</p> <p>這是繼2019年的GPT-2、2021的CLIP和2022年的Whisper開放計畫之後，再度釋出開放權重的重要模型。今年初中國DeepSeek引發關注，掀起美國業界討論必須以開放模式加速AI普及，使OpenAI備受開放模型的壓力。今年3月執行長Sam Altman<a href="https://x.com/sama/status/1906793591944646898" target="_blank">承諾</a>會釋出開放權重模型。</p> <p>透過最新公布，OpenAI說開放模型允許政府或講求資料安全的組織自建模型及AI應用，該公司也計畫把二個模型整合到今年5月宣布的<a href="https://openai.com/zh-Hant/global-affairs/openai-for-countries/" target="_blank">OpenAI for Countries</a>（國家合作計畫），協助各國政府（第一個是美國）打造AI資料中心並確保資料主權。</p> </div></div></div>
2025/8/6 10:50作者林妍溱https://www.ithome.com.tw/news/170433
Ollama推出Turbo雲端服務，加速開源模型推論並支援大型模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ollama<a href="https://ollama.com/turbo">推出Turbo雲端服務</a>，將資料中心等級的運算資源整合進現有產品線，協助用戶提升開源大型語言模型的推論效率，並解決本地端硬體資源不足造成的效能瓶頸。該服務初期支援gpt-oss-20b及gpt-oss-120b等開源模型，採訂閱制收費模式，讓使用者以相對平價的方式，獲得穩定且高速的雲端推論能力。</p> <p>Ollama定位是提供本地部署開源語言模型的平臺，讓開發者能在Mac、Windows及Linux等環境，快速安裝並執行多種開源人工智慧模型。Ollama強調用戶資料隱私與模型運算自主控制，因此在企業內部或法規要求較高的應用場景具有一定市場需求。不過，隨著語言模型規模成長，參數數量動輒數十億上百億，超越多數消費級GPU的記憶體與算力負荷，這使得模型執行與推論速度大幅下降，甚至無法在標準個人電腦上正常運作。</p> <p>Ollama推出Turbo雲端服務回應上述挑戰，讓用戶可直接透過Ollama App、CLI或API切換至Turbo模式，由遠端資料中心負責模型推論運算。這一設計降低了本地端設備的運算壓力，提升大型模型的推論速度，並減少軟硬體升級所需的成本與時間。</p> <p>Turbo服務所有伺服器皆設置於美國，官方明確表示不會儲存或記錄用戶查詢內容，維持原有的隱私承諾。服務現階段以固定月費方式提供，並設有小時與每日使用配額，以確保系統穩定運作。後續預計引入用量計費模式，以因應不同類型用戶的彈性需求。</p> <p>Turbo雲端服務讓開發團隊不必再受限個人設備的GPU規格，即可評估、部署與測試大型開源語言模型，這對於中小型企業、教育機構或個人開發者降低進入人工智慧領域的門檻，並加速模型在實際專案中的落地。隨著支援的模型類型增加，將可涵蓋更多語言模型及生成式人工智慧應用場景。</p> </div></div></div>
2025/8/6 11:14作者李建興https://www.ithome.com.tw/news/170432
Anthropic釋出Claude Opus 4.1，強化代理任務、程式碼與推理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/claude-opus-4-1" target="_blank">Anthropic周二（8/5）釋出Claude Opus 4.1</a>，稱其為Claude Opus 4在代理任務、真實世界程式碼撰寫與推理能力上的升級版，並預告將在未來數周發表更大幅度的模型升級。</p> <p>Opus系列是Claude模型家族中最強的等級。根據Anthropic公布的基準測試結果，Claude Opus 4.1在多數項目中表現超越Opus 4，並於代理程式碼任務（SWE-bench Verified、Terminal-Bench）、代理工具使用（TAU-bench）、以及多語言問答任務（MMMU）等測試中，領先OpenAI的o3與Gemini 2.5 Pro。</p> <p>Claude Opus 4.1被視為當前最強的程式碼模型之一，可更準確地辨識並修復錯誤、有效處理多檔案重構，並減少冗贅與錯誤的產生。</p> <p>目前Claude Opus 4.1已可透過Claude Code、API、Amazon Bedrock與Google Cloud Vertex AI等平臺存取，並已在GitHub Copilot中開放預覽，預計兩周後將正式取代Opus 4。定價維持不變，每百萬個Token輸入15美元、輸出75美元。</p> </div></div></div>
2025/8/6 11:18作者陳曉莉https://www.ithome.com.tw/news/170435
Google更新V8引擎，物件序列化速度翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下的V8引擎開發團隊在最新釋出的13.8版本中，針對JavaScript語言內建的JSON序列化功能進行多項底層<a href="https://v8.dev/blog/json-stringify">最佳化</a>，使物件序列化效能超過原本的兩倍速。此項更新將隨著Chrome 138版推送至全球使用者，同時惠及所有以V8為基礎的應用環境，包括Node.js與Deno平臺。</p> <p>此次V8引擎的改進重點，在於對JSON.stringify函式建立了一條快速且無副作用的執行路徑，讓序列化過程不再需要進行複雜的副作用檢查或垃圾回收觸發判斷，進一步降低系統開銷。過去當開發者使用JSON.stringify轉換物件成JSON格式時，V8引擎必須透過遞迴方式處理資料，且每一層的巢狀結構都可能產生昂貴的執行成本或觸發堆疊溢位問題。而透過新的迭代式設計，開發者能處理更深的巢狀資料結構，且執行成本明顯降低。</p> <p>此外，V8開發團隊也針對字串序列化效率進行改善，透過提供專門的ASCII與非ASCII字元處理路徑，避免了頻繁的執行期間判斷。新版本中更引入了SIMD指令與SWAR（SIMD Within A Register）技術，能夠一次處理多個字元，快速偵測是否含有必須進行特殊跳脫的字元，進一步提高序列化的效率。</p> <p>不只如此，開發團隊也針對JavaScript物件的隱藏類別（Hidden Class）最佳化，V8引擎新增了fast-json-iterable的標記，只要物件經過一次完整序列化，確認不含Symbol鍵名、非列舉屬性，且鍵名不需跳脫特殊字元，即可被標記為快速可迭代。這表示在後續相同類型的物件序列化中，引擎可直接略過上述檢查步驟，大幅提升效能。此項技術不僅限於JSON.stringify，連JSON.parse函式也能受益於相同概念，縮短物件轉換的時間。</p> <p>數值轉字串的效能也同樣獲得提升，V8過去使用的Grisu3演算法，在處理特定數字時可能需要較多時間，團隊在新版選用新興的Dragonbox演算法取代，使數值到字串的轉換過程更快、更有效率。</p> <p>開發團隊也重新設計了序列化過程中使用的暫存緩衝區，原本的緩衝區設計為單一連續記憶體區塊，當資料量較大時必須多次重新配置更大空間並複製原資料，造成大量的記憶體使用量與CPU負載。新的設計採用多段式緩衝區，以V8內部的Zone記憶體區塊為基礎，當單一緩衝區填滿時直接增加新的一段，不再需要頻繁的記憶體複製，大幅降低資源消耗。</p> <p>V8官方透過JetStream2基準測試指出，新版引擎在json-stringify-inspector項目的測試，各平臺普遍呈現兩倍以上的效能改善。此次升級適用於多數典型使用情境，大部分開發者不需修改程式，即可獲得新版V8引擎性能提升的好處。</p> </div></div></div>
2025/8/6 09:31作者李建興https://www.ithome.com.tw/news/170425
時尚精品業者香奈兒發生資料外洩事故，傳出是該公司的Salesforce帳密遭駭所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時尚<a href="https://www.ithome.com.tw/news/170260">精品業者迪奧（Christian Dior Couture）</a>、<a href="https://www.ithome.com.tw/news/170106">路易威登（Louis Vuitton，LV）</a>先後在5月、7月傳出資料外洩的情況，兩起事故都出現<a href="https://www.ftnn.com.tw/news/446751">包含臺灣</a>在內的多個國家分公司客戶受到影響，其中LV傳出歹徒是存取第三方廠商的資料庫而得逞，如今時尚精品業者香奈兒（Chanel）也傳出資料外洩的事故。</p> <p>這起事故的公開，最早是<a href="https://wwd.com/business-news/retail/chanel-data-break-u-s-client-database-1238026491/">時尚新聞網站Women's Wear Daily（WWD）報導此事</a>，香奈兒於7月25日偵測到駭客入侵第三方服務供應商代管的資料庫，影響美國客戶，曝露他們的個人聯絡資訊。</p> <p>香奈兒發言人向WWD透露，根據初步調查結果，未經授權的外部人士取得相當有限的個資，這些受影響的客戶曾聯繫他們美國的客戶服務中心，曝險的資料包含姓名、電子郵件信箱、寄件地址，以及電話號碼。</p> <p>究竟攻擊者的身分為何？香奈兒並未說明，但<a href="https://www.bleepingcomputer.com/news/security/fashion-giant-chanel-hit-in-wave-of-salesforce-data-theft-attacks/">資安新聞網站Bleeping Computer取得相關資訊表示</a>，外流的資料來自香奈兒的Salesforce平臺，攻擊者的身分是勒索軟體駭客組織ShinyHunters。Bleeping Computer提及這些駭客入侵的手法，就如同Google上個月揭露UNC6040行動，是透過語音網釣（Vishing）而得逞，他們藉此竊取帳密資料，或是欺騙員工對惡意OAuth應用程式授予權限，從而入侵受害組織的Salesforce入口網站。</p> </div></div></div>
2025/8/6 09:36作者周峻佑https://www.ithome.com.tw/news/170431
WordPress布景主題Alone存在重大漏洞，已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資訊安全公司Wordfence<a href="https://www.wordfence.com/blog/2025/07/attackers-actively-exploiting-critical-vulnerability-in-alone-theme/">揭露</a>，一款名為Alone的WordPress布景主題存在重大安全漏洞CVE-2025-5394，並發現已有攻擊者利用該漏洞攻擊未修補的網站。該漏洞屬於9.8分的高危險性，能使未經授權的遠端攻擊者上傳惡意檔案，甚至執行遠端程式碼，最終導致網站被完全控制。Alone主題整體銷售量不大約9,000份，但目前Wordfence防火牆已偵測到超過12萬次的相關攻擊嘗試。</p> <p>Wordfence指出，該漏洞最早由研究人員於5月通報，經驗證後確認屬實，便隨即透過其防火牆規則提供防護。不過，攻擊者似乎早已掌握到原始碼變更，趕在官方公開揭露之前，便展開大規模的入侵嘗試。</p> <p>CVE-2025-5394漏洞出現在Alone布景主題提供的外掛安裝功能中，原本應有的權限檢查以及防止偽造請求的Nonce驗證機制，在特定功能alone_import_pack_install_plugin中皆缺乏實作，加上此功能透過WordPress AJAX API以nopriv模式開放，使得未經登入認證的攻擊者可直接執行，允許從遠端URL下載惡意壓縮檔並安裝，進一步導致遠端程式碼執行。</p> <p>攻擊者透過上傳藏有惡意後門的壓縮外掛檔案，植入具有網站管理員權限的帳號或執行後門程式，或是安裝網頁檔案管理工具，以便維持對網站的控制。Wordfence防火牆偵測的攻擊資料顯示，數個來自歐洲地區的IP位址特別活躍，其中單一IP就曾嘗試入侵超過3萬次，代表這類攻擊已高度自動化且大規模進行。</p> <p>CVE-2025-5394漏洞的修補版本為7.8.5，Alone主題開發者已於6月16日發布該修正版本。即使網站已透過Wordfence防火牆阻擋攻擊，研究人員仍建議所有網站管理人員立即更新主題至最新版本，確保網站運作與安全防護能力。</p> </div></div></div>
2025/8/6 08:00作者李建興https://www.ithome.com.tw/news/170422
【資安日報】8月5日，國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊活動橫行，也成為不少駭客取得受害企業組織初始入侵管道的主要手法，而今天恰巧我們整理到多篇網釣事故相關的資安新聞，其中與臺灣民眾最為相關的，莫過於尚未公布如何發放的普發現金議題，駭客自立法院通過相關條例之後，就將其用於誘餌，想要藉此竊取臺灣民眾的個資。</p> <p>鎖定開發人員的網釣攻擊也相當值得留意，我們才在上週報導<a href="https://www.ithome.com.tw/news/170341">PyPI警告有人針對套件開發者發動攻擊</a>，本週Mozilla基金會也對Firefox附加元件開發者提出警告，且有開發人員留言表示他們已經上當。另一方面，攻擊手法也出現變化，例如：資安業者Cloudflare揭露濫用資安業者惡意網址檢測服務的攻擊行動，雖然這兩個廠牌的服務用戶並不多，臺灣資安界僅需了解問題、保持警戒即可，但這代表網釣攻擊的手法也變得越來越複雜。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170420"><strong style="font-size: 22px;">兩家資安業者惡意網址檢測服務遭濫用，駭客用來隱藏有效酬載</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intermedia-image4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intermedia-image4.png" style="width: 300px; float: right;" /></a></p> <p>為了減少駭客透過電子郵件挾帶連結，導致使用者上當不慎點選，被帶往釣魚網站的情況，有些企業會導入資安業者提供的連結防護服務（Link Wrapping）來因應，例如：Proofpoint提供的URL Defense、Intermedia推出的LinkSafe，這些服務會重新包裝郵件連結的網址，在用戶點選連結的過程當中，進行掃描及封鎖威脅，但有駭客看上使用者對於這類保護機制的信任，濫用這些機制來降低用戶警覺。</p> <p>資安業者Cloudflare的旗下郵件安全團隊於今年6月至7月，發現有人積極利用Proofpoint與Intermedia的郵件網址連結防護服務，來掩蓋將使用者帶往網路釣魚有效酬載的意圖，若是使用者點選，就會被帶往各種Microsoft 365網釣頁面。</p> <p>Cloudflare舉出濫用Proofpoint服務的攻擊行動為例，駭客疑似入侵受到保護的用戶電子郵件帳號，透過URL Defense「洗白」惡意網址，然後產生看似合法的連結用於網路釣魚。對於駭客寄信的管道，除了透過上述的用戶帳號，也有透過其他駭客控制的電子郵件信箱來進行的情況。</p> <p><a href="https://www.ithome.com.tw/news/170418"><strong style="font-size: 22px;">駭客鎖定Firefox附加元件開發者發動網釣攻擊</strong></a></p> <p>Mozilla基金會上周警告，它們發現一起鎖定Mozilla附加元件（addons.mozilla.org，AMO）帳號的網路約魚攻擊行動，駭客假借Mozilla名義傳遞郵件，要求開發者更新AMO帳號，但或許只是要騙取開發者的登入憑證。</p> <p>該基金會提醒開發者在收到宣稱來自Mozilla的郵件要特別小心，不要點擊電子郵件中的任何連結；驗證該郵件是來自Mozilla所擁有的網域，例如firefox.com、mozilla.org或mozilla.com；確保所收到的電子郵件通過寄件者政策框架（SPF）、網域金鑰識別郵件（DKIM），以及基於網域的郵件檢查（DMARC）等驗證。</p> <p>Mozilla並未說明有多少開發者受到波及，但有開發人員於該篇文章的下方留言，表示自己已經上當，並主動刪除了擴充程式。</p> <p><a href="https://www.ithome.com.tw/news/170421"><strong style="font-size: 22px;">中國駭客挾持全球逾1.1萬臺安卓裝置，惡意軟體租用模式威脅持續擴大</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6888aebd224dde4a8e1eb55d_AD_4nXfSEL9YsUFGqPn6RvJz5jT5hsc3EKGlPN-Tx2aFhI-1rDb4Yrej0SjNqN9QUJqMCMlRqgGE22Or5DNbbWDQ7-NY0I0CmEplZJMUMCfCNcZVhwQl7phaGaZLHgCPgG1IbnYtSwg_MDajBCS-VyIup4c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6888aebd224dde4a8e1eb55d_AD_4nXfSEL9YsUFGqPn6RvJz5jT5hsc3EKGlPN-Tx2aFhI-1rDb4Yrej0SjNqN9QUJqMCMlRqgGE22Or5DNbbWDQ7-NY0I0CmEplZJMUMCfCNcZVhwQl7phaGaZLHgCPgG1IbnYtSwg_MDajBCS-VyIup4c.png" style="width: 300px; float: right;" /></a></p> <p>義大利資安業者Cleafy日前揭露，一個講中文的駭客組織開發名為PlayPraetor的遠端存取木馬，在不到三個月內感染全球超過1.1萬臺Android裝置。該組織採用「惡意軟體即服務」（Malware-as-a-Service，MaaS）模式，除了竊取受害者的銀行與加密貨幣帳戶資訊外，還開放控制權限給多個加盟駭客，形成可擴展的詐騙平臺。</p> <p>此次攻擊主要集中在歐洲（占58%感染）、非洲（22%）、美洲（12%）和亞洲（8%），其中葡萄牙、西班牙、法國為重災區，摩洛哥、秘魯、香港也有大量受害者。值得注意的是，駭客正從傳統的葡萄牙語目標轉向西班牙語和法語使用者，顯示攻擊策略的重大轉變。</p> <p>根據調查，駭客先是假冒Google Play商店，並提供含有惡意程式的偽造程式供使用者下載，例如Chrome或銀行程式；當不察的使用者下載並安裝程式之後，PlayPraetor便會開始執行，同時要求啟用Android的無障礙服務（Accessibility Services）以獲取完整控制權；再與駭客所設置C2伺服器建立連線。</p> <p><a href="https://www.ithome.com.tw/news/170424"><strong style="font-size: 22px;">歹徒以普發現金為由、冒名中央存保發動網釣攻擊，意圖騙取信用卡資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" style="width: 300px; float: right;" /></a></p> <p>7月11日立法院通過「因應國際情勢強化經濟社會及民生國安韌性特別條例」，編列總預算為5,450億元，其中明定全民普發現金新臺幣1萬元，經行政院宣布不提覆議、總統發布總統令後，公告此案正式生效，根據此特別條例，政府必須在今年10月底前向全民完成現金發放。然而在全民關注政府何時發放、如何領到這筆錢的同時，歹徒也伺機利用時事來從事詐騙。</p> <p>8月2日中央存款保險公司提出警告，有人假借他們的名義，佯稱民眾必須提供信用卡資料，才能領取政府普發的1萬元現金。他們也提供詐騙網頁的截圖，從圖中可以看到歹徒使用正體中文，並未夾雜簡體中文，但文句敘述不太完整，且出現臺灣不常使用的「銀行卡」一詞。</p> <p>值得留意的是，這並非他們首度針對歹徒以普發現金為誘餌行騙提出警告，該公司曾在7月10日、7月15日兩度發布新聞稿，他們接獲民眾通報，歹徒以寄送簡訊通知民眾，假借申請普發現金為由，引導到冒牌的中央存保網站填寫個資。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-join-attacks-targeting-microsoft-sharepoint-servers/">勒索軟體加入利用SharePoint零時差漏洞的行列</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fashion-giant-chanel-hit-in-wave-of-salesforce-data-theft-attacks/">時尚精品業者香奈兒發生資料外洩事故，傳出是Salesforce遭駭所致</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ctm360-spots-malicious-clicktok-campaign-targeting-tiktok-shop-users/">攻擊行動ClickTok鎖定抖音購物者而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/browser-extensions-exploit-chatgpt-gemini-man-in-the-prompt/">瀏覽器延伸套件可被用於提示人攻擊，對AI聊天機器人下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/vietnamese-hackers-use-pxa-stealer-hit.html">越南駭客透過竊資軟體PXA，攻擊4,000個IP位址、竊得20萬組帳密</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170415"><strong style="font-size: 22px;">Google Project Zero測試新漏洞揭露政策，將提早公布部分細節</strong></a></p> <p>Google專門揭露漏洞的Project Zero小組宣布測試一項新作法，將在通知原廠大約1星期後公告漏洞的部分細節，藉此加速用戶端的漏洞修補速度。</p> <p>Project Zero在2021年將漏洞揭露政策調整為現行的「90+30」，即給廠商90天修補釋出更新，以及30天用戶端安裝。然而Google發現這種做法存在重大問題，上游廠商如期釋出修補程式之後，有待負責將修補程式提供給使用者的下游廠商，將其整合到產品，這段時間產生的空窗期他們稱之為「上游修補空窗期（Upstream Patch Gap）」。</p> <p>為了縮短空窗期，Project Zero發布新的「通報透明度（Reporting Transparency）」政策並進行測試，未來在通報原廠漏洞約1星期後，Project Zero就會公布部分漏洞資料，包括接獲漏洞報告的廠商或開源專案、影響的產品、報告成立的日期，以及90天揭露期的大限日期。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170345"><strong>【7月31日】駭客挾持ATM出奇招，於隔離網路部署實體後門</strong></a></p> </div></div></div>
2025/8/5 17:58作者周峻佑https://www.ithome.com.tw/news/170429
雲端開發框架.NET Aspire 9.4釋出，新增互動儀表板與外部AI模型整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式發布雲端原生開發框架<a href="https://devblogs.microsoft.com/dotnet/announcing-aspire-9-4/">.NET Aspire 9.4</a>，該版本在原有分散式應用開發支援的基礎上，導入了儀表板互動功能與人工智慧模型託管整合，並將CLI命令列工具升級為正式版本。這一系列更新使Aspire框架趨於成熟，更符合現代人工智慧開發的需求。</p> <p>.NET Aspire 9.4一大重點是Aspire CLI正式推出。Aspire CLI在多個版本的預覽測試後，終於在9.4版首次以原生AOT（Ahead-Of-Time）編譯模式釋出，具跨平臺、高效啟動的特性。CLI目前支援四項核心指令，包括建立新專案、加入Aspire資源、設定本地或全域組態，以及直接執行完整應用堆疊。</p> <p>開發人員可利用CLI快速啟動範本專案、整合各式資源，並在不同目錄下執行應用及管理設定。此外，CLI也支援執行（exec）與部署（deploy）兩項指令，這兩項功能目前屬於Beta階段，開發者可根據需求在本機或雲端環境進行測試和驗證。</p> <p>在儀表板更新方面，Aspire 9.4引入互動服務（Interaction Service），讓開發者可在儀表板執行期間，設計更細緻的參數輸入與互動流程。這項設計消除過去儀表板僅用於監控服務狀態的限制，進一步成為可即時收集開發或測試所需資訊的平臺。</p> <p>當應用啟動或部署時，儀表板會根據AppHost定義，自動彈出對話框提示使用者輸入尚未設定的參數，包括文字、密碼、數值、選項與布林等多種值。這減少了開發人員維護多分本地設定檔的負擔，同時可利用Markdown說明各個欄位。</p> <p>另一個重要的更新是人工智慧模型託管支援的擴充。Aspire 9.4新增了GitHub Models與Azure AI Foundry兩項預覽整合，開發者可在AppHost註冊人工智慧模型，並選擇本地執行或部署到Azure雲端，能與Azure AI Inference用戶端協同運作，完整串連分散式應用與人工智慧推論流程。這些整合同時支援OpenTelemetry追蹤，提升人工智慧服務的可觀測性。</p> <p>在外部API連結方面，Aspire 9.4強化了AddExternalService功能，開發者可將任意第三方API資源建模並納入應用程式主機，以健康檢查、依賴關係管理等方式進行統一控管。YARP整合也有更新，開發人員現在可以透過型別安全且語法直覺的API來設定各種轉換規則，使反向代理的設定流程更加簡單且一致，不只易於維護，也方便串接各類微服務或外部資源。</p> </div></div></div>
2025/8/5 17:35作者李建興https://www.ithome.com.tw/news/170419
歹徒以普發現金為由、冒名中央存保發動網釣攻擊，意圖騙取信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月11日立法院通過「因應國際情勢強化經濟社會及民生國安韌性特別條例」，編列總預算為5,450億元，其中明定全民普發現金新臺幣1萬元，經行政院宣布不提覆議、總統發布總統令後，公告此案正式生效，根據此特別條例，政府必須在今年10月底前向全民完成現金發放。然而在全民關注政府何時發放、如何領到這筆錢的同時，歹徒也伺機利用時事來從事詐騙。</p> <p>8月2日<a href="https://www.cdic.gov.tw/main_ch/docDetail.aspx?uid=19&pid=6&docid=2843">中央存款保險公司提出警告</a>，有人假借他們的名義，佯稱民眾必須提供信用卡資料，才能領取政府普發的1萬元現金。他們也提供詐騙網頁的截圖，從圖中可以看到歹徒使用正體中文，並未夾雜簡體中文，但文句敘述不太完整，且出現臺灣不常使用的「銀行卡」一詞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" style="width: 348px;" /></a></p> <p>中央存保強調，他們不會透過網頁、簡訊、電話要求民眾提供個資，呼籲民眾必須提高警覺，勿提供相關資料，收到相關訊息也不要轉傳。值得留意的是，這並非他們首度針對歹徒以普發現金為誘餌行騙提出警告，該公司曾在<a href="https://www.cdic.gov.tw/main_ch/docdetail.aspx?uid=234&pid=6&docid=2835">7月10日</a>、<a href="https://www.cdic.gov.tw/main_ch/docDetail.aspx?uid=19&pid=6&docid=2836">7月15日</a>兩度發布新聞稿，他們接獲民眾通報，歹徒以寄送簡訊通知民眾，假借申請普發現金為由，引導到冒牌的中央存保網站填寫個資。</p> <p><a href="https://s4.itho.me/sites/default/files/images/8957a89a-2063-4c4d-80b9-7fa08b92c512.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/8957a89a-2063-4c4d-80b9-7fa08b92c512.jpg" style="width: 580px;" /></a></p> </div></div></div>
2025/8/5 15:58作者周峻佑https://www.ithome.com.tw/news/170424
勒索軟體Anubis攻擊Windows、安卓裝置竊取資料、刪除檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興勒索軟體Anubis近來鎖定Windows及Android用戶發動攻擊，已在美國、歐洲、澳洲等地攻擊醫療、營建組織，能竊取資料、刪除檔案還會防止回復。</p> <p>Anubis最早出現於2024年11月，為勒索軟體組織。雖然不確定是它來自哪個區域，但證據顯示攻擊者操俄語。雖然活動時間不長，但透過重大基礎架構及鎖定高價值目標（<a href="https://www.ithome.com.tw/news/169699" target="_blank">如法國迪士尼樂園</a>）使其在網路犯罪界及資安界都引起關注。</p> <p><a href="https://www.bitsight.com/blog/anubis-ransomware-group-overview-and-evolution" target="_blank">資安公司BitSight近日發佈</a>State of the Underground 2025報告，揭露Anubis的攻擊手法及受害者樣貌。</p> <p>Anubis提供單純的RaaS (Ransomware as a Service)基礎架構，和同夥80/20分帳，也可為客戶提供資料竊取及勒索服務。在攻擊手法上，Anubis主要透過社交工程發送精準釣魚信件挾帶惡意附件或連結來駭入受害裝置、使用指令及腳本解釋器（command and scripting interpreter）及參數控制執行，還運用有效帳號躲避偵測。一旦開始行動，這隻勒索軟體最大特徵是抹除模式，像是將檔案降到0 KB。它還會避免加密系統目錄如system32、windows及program file等目錄，以防系統當機。</p> <p>目前Anubis受害者涵括Android和Windows裝置。在Android平臺上，它主要以銀行木馬形式出現。它常利用大量文字簡訊散佈以擴大攻擊面、使用冒充登入提示的外覆（overlay）畫面、螢幕和鍵盤側錄來竊取憑證。受害者會被鎖住無法登入，而它一旦找到目標檔案就會外送到攻擊者控制的伺服器。</p> <p>在Windows平臺上，Anubis就發揮RaaS的攻擊能力，包括會利用憑證提升權限、並在加密檔案後刪除檔案、移除磁碟區陰影拷貝（Volume Shadow Copy）避免回復可能性、它還會終止特定系統服務以利其加密及進一步降低回復可能性。</p> <p>Anubis目前受害者著重特定產業，如醫療、營建和專業服務組織。目前確知其受害者分佈於美國、法國、澳洲及祕魯。澳洲一家醫院遭其竊走病患個資、醫療資訊及保險卡資訊。研究人員呼籲用戶針對其攻擊手法留意可疑的偵察或濫用行動。</p> </div></div></div>
2025/8/5 14:28作者林妍溱https://www.ithome.com.tw/news/170417
駭客鎖定Firefox附加元件開發者發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/addons/2025/08/01/warning-phishing-campaign-detected/" target="_blank">Mozilla基金會上周警告</a>，它們發現一起鎖定Mozilla附加元件（addons.mozilla.org，AMO）帳號的網路約魚攻擊行動，駭客假借Mozilla名義傳遞郵件，要求開發者更新AMO帳號，但或許只是要騙取開發者的登入憑證。</p> <p>該基金會提醒開發者在收到宣稱來自Mozilla的郵件要特別小心，不要點擊電子郵件中的任何連結；驗證該郵件是來自Mozilla所擁有的網域，例如firefox.com、mozilla.org或mozilla.com；確保所收到的電子郵件通過寄件者政策框架（Sender Policy Framework，SPF）、網域金鑰識別郵件（DomainKeys Identified Mail，DKIM）及基於網域的郵件檢查（Domain-based Message Authentication, Reporting & Conformance，DMARC）等驗證。</p> <p>在開啟連結之前，驗證電子郵件中的連結是否指向mozilla.org或firefox.com；以及只在mozilla.org或firefox.com輸入Mozilla的使用者名稱與密碼。</p> <p>Mozilla並未說明有多少開發者受到波及，但至少有一名開發人員於該篇文章的下方留言，宣稱自己已經上當，並主動刪除了擴充程式。</p> <p>一旦駭客取得開發人員的AMO帳號，即有機會偽造更新並於附加元件中植入惡意程式碼。</p> </div></div></div>
2025/8/5 14:36作者陳曉莉https://www.ithome.com.tw/news/170418
兩家資安業者惡意網址檢測服務遭濫用，駭客用來隱藏有效酬載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了減少駭客透過電子郵件挾帶連結，導致使用者上當不慎點選，被帶往釣魚網站的情況，有些企業會導入資安業者提供的連結防護服務（Link Wrapping）來因應，例如：Proofpoint提供的URL Defense、Intermedia推出的LinkSafe，這些服務會重新包裝郵件連結的網址，在用戶點選連結的過程當中，進行掃描及封鎖威脅，但有駭客看上使用者對於這類保護機制的信任，濫用這些機制來降低用戶警覺。</p> <p>資安業者Cloudflare的旗下郵件安全團隊於今年6月至7月，<a href="https://www.cloudflare.com/zh-tw/threat-intelligence/research/report/attackers-abusing-proofpoint-intermedia-link-wrapping-to-deliver-phishing-payloads/">發現有人積極利用Proofpoint與Intermedia的郵件網址連結防護服務</a>，來掩蓋將使用者帶往網路釣魚有效酬載的意圖，若是使用者點選，就會被帶往各種Microsoft 365網釣頁面。</p> <p>Cloudflare舉出濫用Proofpoint服務的攻擊行動為例，駭客疑似入侵受到保護的用戶電子郵件帳號，透過URL Defense「洗白」惡意網址，然後產生看似合法的連結用於網路釣魚。對於駭客寄信的管道，除了透過上述的用戶帳號，也有透過其他駭客控制的電子郵件信箱來進行的情況。</p> <p>針對駭客濫用URL Defense來發動攻擊的手段，他們透過多層重新導向，並搭配短網址服務（其中一種是Bitly）而得逞。駭客先將惡意網址交由短網址服務處理，然後再透過上述Proofpoint用戶帳號，將短網址交給URL Defense處理，使得Proofpoint產生另一個重新導向的流程，這麼做讓駭客在每個階段都加入一層混淆處理。</p> <p>在其中一起事故當中，駭客假借寄送語音留言的釣魚信，引誘收信人上當，一旦他們按下聽取留言的按鈕，此按鈕的連結採用的短網址，就會先導向Proofpoint連結防護服務產生的網址，然而再將使用者導向M365釣魚網站。在另一起事故裡，駭客聲稱收信人在協作平臺Teams收到加密文件，必須在有效期限裡存取，藉此催促收信人點選連結來觸發攻擊鏈。</p> <p>對於Intermedia的連結防護服務遭到濫用的情況，Cloudflare指出駭客同樣是鎖定受到保護的使用者下手，未經授權存取他們的電子郵件帳號，從而濫用LinkSafe。在其中一起事故裡，駭客鎖定採用LinkSafe服務的企業組織下手，入侵其中一個使用者帳號，以此寄信給相同企業組織的用戶。他們聲稱透過安全訊息平臺Zix通知用戶，檢視一份受到保護的文件，但實際上，收信人若是照做，他們就可能遭遇一連串的重新導向，最終被帶往釣魚網頁。</p> </div></div></div>
2025/8/5 15:11作者周峻佑https://www.ithome.com.tw/news/170420
中國駭客挾持全球逾1.1萬臺Android裝置，MaaS模式威脅持續擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cleafy.com/cleafy-labs/playpraetors-evolving-threat-how-chinese-speaking-actors-globally-scale-an-android-rat" target="_blank">義大利資安業者Cleafy日前揭露</a>，一個講中文的駭客組織開發一個名為PlayPraetor的遠端存取木馬，在不到三個月內感染全球超過1.1萬臺Android裝置。該組織採用「惡意軟體即服務」（Malware-as-a-Service, MaaS）模式，除了親自竊取受害者的銀行與加密貨幣帳戶資訊外，還開放控制權限給多個加盟駭客，形成可擴展的詐騙平臺。</p> <p>此次攻擊主要集中在歐洲（占58%感染）、非洲（22%）、美洲（12%）和亞洲（8%），其中葡萄牙、西班牙、法國為重災區，摩洛哥、秘魯、香港也有大量受害者。值得注意的是，駭客正從傳統的葡萄牙語目標轉向西班牙語和法語使用者，顯示攻擊策略的重大轉變。</p> <p>根據調查，駭客先是假冒Google Play商店，並提供含有惡意程式的偽造程式供使用者下載，例如Chrome或銀行程式；當不察的使用者下載並安裝程式之後，PlayPraetor便會開始執行，同時要求啟用Android的無障礙服務（Accessibility Services）以獲取完整控制權；再與駭客所設置的命令暨控制伺服器（C2）建立連線。根據統計，在被感染的1.1萬臺裝置中，約有7,931臺（72%）已完全啟用惡意軟體功能，意味著近8,000臺裝置處於駭客完全控制之下。</p> <p>PlayPraetor具備高度資料蒐集及詐騙能力，可竊取聯絡人、簡訊、螢幕截圖與輸入密碼，並將資訊回傳至C2伺服器。它鎖定近200種銀行應用程式和加密貨幣錢包，當受害者開啟這些目標程式時，會自動顯示偽造的登入介面進行「覆蓋攻擊」，藉此攔截並竊取使用者的帳號密碼等憑證資訊。</p> <p>駭客還能自遠端即時操作被駭裝置，包括開啟程式、輸入OTP、傳送簡訊，以及模擬使用者操作等，執行裝置內詐騙（On-Device Fraud）。</p> <p>此一活動採用加盟制度，讓不同語系的駭客能夠藉由多租戶控制面板來操縱各自的群組，且每周增加2,000臺被駭裝置。該組織的MaaS平臺採用中文操作介面，主要由兩個大型加盟商控制約60%的殭屍網路，其他較小加盟商則專精於不同語言市場。控制面板亦內建了自動化工具，讓加盟商能快速建置仿冒的下載頁面。</p> <p>由於PlayPraetor的功能日新月益，顯示背後有專業開發團隊負責維護。資安專家建議，使用者最好僅從官方Google Play商店下載應用程式，在授予程式無障礙服務權限時應特別小心，同時留意銀行應用程式登入介面的異常變化。</p> </div></div></div>
2025/8/5 15:18作者陳曉莉https://www.ithome.com.tw/news/170421
ChatGPT用戶逼近7億，AI投資熱潮引發泡沫化討論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/nickaturley/status/1952385556664520875" target="_blank">ChatGPT負責人Nick Turley周一（8/4）表示</a>，ChatGPT每周的活躍用戶數可望於本周突破7億名，高於今年3月底的5億，且是去年的4倍。同一天<a href="https://openai.com/index/how-we're-optimizing-chatgpt/" target="_blank">OpenAI也公布了</a>ChatGPT對使用者體驗的改善，包括在使用者遇到困難時的支持，鼓勵使用者掌控自己的時間，以及協助使用者解決個人難題等。</p> <p>還記得OpenAI在4月底時回滾了針對GPT-4o的更新嗎？<a href="https://openai.com/index/sycophancy-in-gpt-4o/" target="_blank">這起事件</a>源自於GPT‑4o於4月25日釋出的更新，使模型變得過於迎合使用者，不管使用者提出多麼荒謬或不當的點子，它都會給予誇讚與支持，而招致「阿諛奉承」或「諂媚」的批評。由於這種行為可能誤導使用者、削弱模型的可信度，OpenAI在幾天內就緊急撤回了該更新。</p> <p>OpenAI本周強調，ChatGPT的設計初衷是為了協助使用者進步、學習新事物及解決問題，例如協助使用者準備與老板之間的困難對話，或是幫忙說明實驗結果，以及幫助被困住的使用者釐清思緒。同時OpenAI也承認，他們也會做錯事，例如那次的GPT-4o更新，但這也讓該公司領悟到ChatGPT的實際用途或許不只是當下迎合使用者，更該考慮到對使用者的長期幫助。</p> <p>於是，OpenAI正在開發工具以檢測各種精神與情緒困擾跡象，以讓ChatGPT能夠作出適當的反應；且即日起會在使用者於ChatGPT中停留太久時，溫和跳出提醒；也會在使用者提出攸關個人的難題時，理性地提出問題與分析，而非直接替使用者作出重大人生抉擇。</p> <p>市場分析指出，上述都是OpenAI回應外界對於AI過於干預人生，或是誘導脆弱用戶的批評所作出的改變。</p> <p>隨著ChatGPT因應市場反應作出改變，投資者似乎也更看好OpenAI的前景。OpenAI於3月底<a href="https://www.ithome.com.tw/news/168182" target="_blank">宣布</a>將融資400億美元，市值上看3,000億美元，其中，軟銀集團（SoftBank Group Corp，SBG）承諾要投資200~300億美元。紐約時報（The New York Times）<a href="https://www.nytimes.com/2025/08/01/business/dealbook/openai-ai-mega-funding-deal.html" target="_blank">上周報導</a>，軟銀以外的投資者已於3月投入25億美元，OpenAI原本預計年底前要再募集75億美元的資金，但已在7月底募集到83億美元，提前「超標」。</p> <p>當時紐時亦引用消息來源報導，OpenAI的年度經常性收入已增加到130億美元，預計到了今年底可突破200億美元，且付費使用ChatGPT的企業用戶數已達500萬。</p> <p>另一方面，最近市場上開始出現AI是否會泡沫化的討論，經濟學者暨投資人<a href="https://paulkedrosky.com/honey-ai-capex-ate-the-economy/" target="_blank">Paul Kedrosky上個月率先發難</a>，宣稱AI資本支出正在吞噬經濟，推測2025年的AI資本支出將占美國GDP的2%，已超越2000年代的電信泡沫高峰，並接近19世紀的鐵路投資高峰。接著<a href="https://www.wsj.com/tech/ai/silicon-valley-ai-infrastructure-capex-cffe0431" target="_blank">華爾街日報（WSJ）報導</a>，美國七大科技巨頭最近一季的資本支出總額達到1,025億美元，過去兩季的AI資本支出對美國GDP成長的貢獻已超越消費支出。</p> <p><a href="https://www.noahpinion.blog/p/will-data-centers-crash-the-economy" target="_blank">美國經濟學家Noah Smith則說</a>，這波AI資料中心建設有大量資金來自具高度槓桿操作的私募基金，若未來營收不如預期，不僅將使投資無法回收，更可能因信貸連鎖違約，引發系統性金融危機。</p> <p>不過，2000年網路／電信泡沫時，網站與電信業者仍未找到清晰的獲利模式；當時智慧型手機尚未普及，網路速度不快，廣告市場規模也有限。相比之下，問世不到3年的ChatGPT，估計已累積超過1,000萬名付費用戶，成長速度驚人。</p> </div></div></div>
2025/8/5 14:15作者陳曉莉https://www.ithome.com.tw/news/170416
第三方支付公會正式成立，綠界、Line Pay、momo等都加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國內第三方支付的蓬勃發展，第三方支付正式成立公協會，包括綠界、藍新、紅陽、Line Pay、momo等業者加入公會。</p> <p>第三方支付公會本周一在數發部數產署長林俊秀，以及內政部、立委等代表見證下，舉行第一次會員大會，完成理監事選舉、組織架構建立，並宣布正式成立公會，第一屆的理事長由綠界科技總經理劉士維擔任。</p> <p>在數發部支持下成立的第三方支付公會，想要加入的業者必需完成能量登錄始具有加入會員資格。在籌備階段即由劉士維擔任主任委員主持，並在公會正式成立後擔任理事長，藍新科技總經理鍾興博擔任副理事長，公會下設法規、業務、風險、創新4個委員會，其中Oen應援科技參與籌備階段，由該公司的總經理蕭新晟出任理事及新創及資安委員會主任委員，推動第三方支付產業資安標準、創新應用政策建議。</p> <p>這次第三方支付公會成立共有40家業者參與，包括藍新、綠界、紅陽、富邦媒體科技（momo）、連加網路（Line Pay）、優食台灣（Uber Eats）、拍付國際（Pi錢包）、九易宇軒（91APP）、統一數發（PAYUNi）等等。</p> <p>第三方支付公會表示，公會成立之初獲得40家業者加入，占所有業者的7成，顯示獲得一定比例的業者支持，未來將扮演政府和產業間的橋樑，凝聚產業共識、反映意見，並且嚮應政府政策，參與法規調適。</p> <p>公會的成立象徵為國內第三方支付產業建立組織、制度化的推動，該公會計畫在今年底之前提出第三方支付業者的自律公約，涵蓋的面向有資訊安全、服務品質、消費者保護等，以業者的共識來建立產業遵循的標準。</p> <p>在公會正式成立之前，第三方支付業者就在籌備階段<a href="https://www.ithome.com.tw/news/169893">先一步嚮應數發部防詐政策</a>，在7月初配合數發部，針對近期詐騙集團偽冒第三方支付業者網站、客服，向民眾進行詐騙的手法，掃描偽冒網站、加強防詐宣傳，展現公會在籌備期間，強化產業溝通、協作共同防詐的效益。</p> </div></div></div>
2025/8/5 10:57作者蘇文彬https://www.ithome.com.tw/news/170413
Google Project Zero測試新漏洞揭露政策，將提早公布部份細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://googleprojectzero.blogspot.com/2025/07/reporting-transparency.html" target="_blank">Google專門揭露漏洞的Project Zero小組宣布測試一項新作法</a>，將在通知原廠大約1星期後公告漏洞的部分細節，即使正常延遲揭露期大限還沒到，藉此加速用戶端的漏洞修補速度。</p> <p>Google Project Zero在2021年更新漏洞揭露政策成為現行的「90+30」，即給廠商90天修補釋出更新，以及30天用戶端安裝更新版，以加速廠商修補漏洞的速度。然而Google發現這存在一項重大問題，稱之為「上游修補空窗」（upstream patch gap），這是出於上游廠商釋出修補程式，但負責將修補程式提供給使用者的下游廠商尚未將其整合到產品產生的空白期。</p> <p>為了縮短這個空窗期，Project Zero發布了新的測試政策，稱為通報透明度（Reporting Transparency）。新政策即日開始。</p> <p>新的通報透明度政策下，Google計畫在通報原廠漏洞約1星期後，Project Zero就會公布部份漏洞資料。這些資訊包括接獲漏洞報告的廠商或開源專案、影響的產品、報告成立的日期，以及90天揭露期的大限日期。</p> <p>Google強調，新政策並不影響現行揭露時程，廠商和開源專案仍然獲得90+30的揭露延遲期。而Google AI抓漏工具<a href="https://www.ithome.com.tw/news/165835" target="_blank">Big Sleep</a>，也將包含在這次測試中。</p> <p>Google相信這能提早告知下游廠商相關風險、縮短上游修補空窗，Google也會針對Project Zero處理的漏洞，對下游廠商提供額外資訊來源，用以追蹤可能影響其用戶的問題。</p> <p>Google Project Zero單方面啟動這項計畫，可能引發廠商的反彈。例如可能幫助駭客更早發現漏洞，對此Google補充，他們不會提供技術細節、概念驗證程式碼或任何他們認為會加速漏洞曝光的資訊。該公司了解有部份廠商並沒有下游生態體系，消息公布會引發爭議，並危及他們獨家修補的計畫。但Google說這些廠商只佔Project Zero處理漏洞的少數，「簡單、公平、一致化、透明」政策的好處將能合理化對少數廠商的不便。但Google表示，會持續監控實施效果。</p> <p><a href="https://x.com/argvee/status/1952390039700431184" target="_blank">Google本周並宣布</a>，AI抓漏專案Big Sleep已經找到20項漏洞。但基於漏洞揭露政策，Google並未說明是哪些漏洞。</p> </div></div></div>
2025/8/5 11:26作者林妍溱https://www.ithome.com.tw/news/170415
Cloudflare指控Perplexity偷耙人家網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供網站安全、DDoS防禦、內容管理與雲端服務的<a href="https://blog.cloudflare.com/perplexity-is-using-stealth-undeclared-crawlers-to-evade-website-no-crawl-directives/" target="_blank">Cloudflare周一（8/4）指控</a>，AI新創Perplexity忽視網站禁止其爬梳的政策，並反覆修改其使用者代理（User Agent）與自治系統編號（Autonomous System Number，ASN）來逃避封鎖。</p> <p>Cloudflare說，該平臺最初是收到客戶的投訴，表示他們在網站的robots.txt文件中明文禁止Perplexity的爬梳行為，也透過網頁應用程式的防火牆（Web Application Firewall，WAF）規則來過濾及封鎖Perplexity所公開的兩個爬蟲：PerplexityBot與Perplexity-User，然而，Perplexity卻依然存取了該平臺的內容。</p> <p>為了驗證客戶的說法，Cloudflare建立了多個全新的網域，這些網域未曾公開，因此也未曾被搜尋引擎索引，尚未被連結或曝光，同時在這些網域用來宣告是否願意被爬梳的robots.txt文件中載明禁止所有爬蟲的存取，同時於WAF規則中封鎖了來自Perplexity的爬蟲。</p> <p>接著研究人員向Perplexity聊天機器人詢問這些網站上的私密內容，Perplexity則回答了正確的資訊，顯示它的確曾違反robots.txt文件，還繞過WAF規則來存取內容。</p> <p>研究人員發現，Perplexity使用了許多未公開列出的IP位址來爬梳網站，以繞過網站對該公司的限制，甚至將自己偽裝成macOS上的Chrome瀏覽器。</p> <p>Cloudflare表示，有鑑於Perplexity既未遵守robots.txt，使用未聲明的使用者代理，使用未公開的IP位址，企圖繞過封鎖，還偽裝成Chrome，違反了爬蟲所應具備的透明原則，使得該平臺直接將Perplexity自「已驗證機器人」名單中除名。Cloudflare所驗證的機器人被視為立意良善的好爬蟲，可被許多網站放行，<a href="https://radar.cloudflare.com/bots" target="_blank">目前名單上</a>包括Google的Googlebot、Microsoft的Bingbot、OpenAI的GPTBot與ChatGPT-User，以及蘋果的Applebot等。</p> <p>至於Perplexity則尚未公開回應此事。</p> </div></div></div>
2025/8/5 10:20作者陳曉莉https://www.ithome.com.tw/news/170412
【資安日報】8月4日，西亞電信業去年遭中國駭客組織長期網攻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定全球各地電信業者的網路間諜活動，自去年爆發Salt Typhoon攻擊美國電信業者的事故之後，後續有Liminal Panda攻擊南亞和非洲，近期資安業者Palo Alto Networks揭露名為CL-STA-0969的駭客組織攻擊行動，是針對西亞的電信業者而來，但這份調查報告具體交代更多細節，例如，提及駭客使用的迴避偵測手法相當嚴密，使得相關攻擊難以察覺。</p> <p>除了鎖定電信業者的攻擊行動之外，鎖定SonicWall防火牆零時差漏洞的勒索軟體攻擊態勢，相當值得留意，原因是駭客鎖定的弱點與SSL VPN模組有關，而對於該廠牌SSL VPN系統的資安事故，7月已有數起消息傳出，因此用戶也要提高警覺，採取相關防護措施因應。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170407"><strong style="font-size: 22px;">西亞電信業去年遭中國駭客CL-STA-0969長期網攻，採用近10種專屬工具輪番滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-1348-148315-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-1348-148315-1.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客組織鎖定電信業者從事大規模網路間諜活動，藉此針對特定的政治人物進行情報收集，這樣的事故又以去年9月爆發的Salt Typhoon駭客攻擊行動受到高度關注，不僅傳出AT&T、Verizon、Lumen等多家大型業者受害，相關攻擊亦得到美國政府的證實，後續更傳出這些駭客也對其他國家電信業者下手的情況；另有資安業者揭露專門攻擊南亞、非洲電信業者的駭客組織Liminal Panda，如今又有資安業者揭露相關事故的最新調查結果。</p> <p>上週資安業者Palo Alto Networks發布調查報告指出，名為CL-STA-0969的駭客於去年2月至11月，鎖定西亞電信產業發動數起攻擊行動，他們部署多種工具與通訊機制，以便透過更為彈性的方法來遠端控制特定物件。其中一種作案工具是Cordscan，用途是收集行動裝置地理位置的資料，因此該公司推測，駭客有可能以此跟蹤受害者。</p> <p>針對這些駭客的來歷，Palo Alto Networks推測是與Liminal Panda高度相關的國家級駭客，但也有部分工具來自其他組織，例如：LightBasin、UNC3886、UNC2891，以及UNC1945。</p> <p><a href="https://www.ithome.com.tw/news/170409"><strong style="font-size: 22px;">SonicWall防火牆零時差漏洞攻擊升溫，勒索軟體Akira加入戰局</strong></a></p> <p>7月中旬Google威脅情報團隊（GTIG）揭露鎖定SonicWall SSL VPN設備的攻擊行動，駭客企圖部署惡意軟體Overstep，後續駭客組織World Leaks聲稱駭入電腦大廠Dell內部的產品展示及測試的環境，傳出入侵的管道，很可能就是上述的SSL VPN設備。如今資安業者Arctic Wolf指出，勒索軟體Akira也加入攻擊該廠牌的SSL VPN系統的行列。</p> <p>Arctic Wolf指出，7月下旬駭客透過SonicWall防火牆取得初始入侵管道的勒索軟體活動，出現增加的跡象，這些事故的共通點在於，所有的入侵都是透過防火牆的SSL VPN系統進行存取。根據他們掌握的證據，駭客疑似使用零時差漏洞而得逞，但不排除有暴力破解、字典攻擊、帳號填充攻擊的情況。。對此，他們認為在SonicWall尚未發布修補程式之前，最好暫時停用SSL VPN服務因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/180630/hacking/attackers-actively-exploit-critical-zero-day-in-alone-wordpress-theme.html">WordPress佈景主題Alone存在重大漏洞，已被用於實際攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apt36-hackers-target-indian-railways-oil-and-government-systems/">巴基斯坦駭客APT36鎖定印度鐵路、石油、政府系統而來，利用惡意PDF檔案犯案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/threat-actors-impersonate-microsoft-oauth-apps/">微軟OAuth應用程式遭冒充，駭客意圖竊取多因素驗證資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/silver-fox-hackers-exploit-weaponized-google-translate-tools/">中國駭客Silver Fox聲稱提供Google翻譯工具，意圖散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/anubis-ransomware-targets-android-and-windows-users/">Windows、安卓用戶遭到勒索軟體Anubis鎖定，駭客不僅加密檔案，也竊取帳密</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170408"><strong style="font-size: 22px;">蘋果發布多個作業系統平臺更新，修補已遭利用的Chrome零時差漏洞</strong></a></p> <p>兩週前Google發布Chrome 138電腦版更新138.0.7204.157、138.0.7204.158，修補6項資安漏洞，其中存在於ANGLE（Almost Native Graphics Layer Engine）及GPU元件的高風險漏洞CVE-2025-6558，已經出現實際遭到利用的跡象，但這項漏洞並非只影響Chromium為基礎打造的瀏覽器，後續有其他科技業者跟進，修補這項資安漏洞。</p> <p>蘋果於7月29、30日，針對旗下的行動裝置、電腦、穿戴裝置、電視盒，發布iOS 18.6、iPadOS 18.6與17.7.9、macOS Sequoia 15.6、watchOS 11.6、visionOS 2.6、tvOS 18.6，並為macOS Ventura與Sonoma用戶發布瀏覽器更新Safari 18.6，其中一項修補的資安漏洞，就是存在於Safari排版引擎WebKit的CVE-2025-6558，並指出一旦瀏覽器處理特製的惡意網頁內容，就有機會導致無預期當機的現象。蘋果提及此漏洞出現在他們採用的開放原始碼內容，由Google威脅分析團隊（TAG）通報。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170400"><strong style="font-size: 22px;">美國CISA開源Thorium惡意程式分析平臺</strong></a></p> <p>美國網路安全暨基礎架構管理署（CISA）宣布，開源自動化檔案分析平臺Thorium，將開放給政府機關及民間用於惡意程式和鑑識分析。</p> <p>這項計畫是CISA和美國桑迪亞國家實驗室（Sandia National Laboratories）合作。Thorium為自動化檔案分析及資料生成的高擴充性分散式平臺，它允許分析團隊操作及整合任意商業、開源及自訂工具，自動化執行分析工作流程，支援軟體分析、數位鑑識和事件回應。</p> <p>Thorium的整合性平臺上，允許分析人員上傳程式檔案，以Docker映像檔及VM形式整合指令行工具、利用標籤和全文搜尋篩選結果，並嚴格以群組為基礎的核准規則來管理存取。</p> <p><a href="https://www.ithome.com.tw/news/169959"><strong style="font-size: 22px;">IBM宣稱新一代Power11伺服器可在1分鐘內偵測勒索軟體</strong></a></p> <p>IBM發表其新一代的Power11伺服器，宣稱其正常運作時間達99.9999%，強調零停機維運能力，且搭配IBM Power Cyber Vault資安解決方案，能在1分鐘以內偵測到勒索軟體。IBM 預計於7月25日同步推出Power 11的入門、中階、高階及虛擬伺服器。</p> <p>上一次IBM更新其Power伺服器是在2020年推出的Power 10，新登場的Power 11效能提升了10~20%，入門與中階系統擁有更多的核心數量，運算規模最高提升45%，並將成為首款支援 IBM Spyre Accelerator的IBM Power伺服器。</p> <p>IBM Spyre Accelerator為該公司所開發的AI推論專用晶片，專為企業於混合雲環境中部署AI密集應用而設計，預計於今年第四季上市。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170345"><strong>【7月31日】駭客挾持ATM出奇招，於隔離網路部署實體後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170328"><strong>【7月30日】美國明尼蘇達州首府遭到網攻，進入緊急狀態、動員國民兵因應</strong></a></p> </div></div></div>
2025/8/4 18:03作者周峻佑https://www.ithome.com.tw/news/170411
SonicWall防火牆零時差漏洞攻擊升溫，勒索軟體Akira加入戰局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月中旬Google威脅情報團隊（GTIG）揭露鎖定<a href="https://www.ithome.com.tw/tags/sonicwall">SonicWall</a> SSL VPN設備的攻擊行動，<a href="https://www.ithome.com.tw/news/170128">駭客企圖部署惡意軟體Overstep</a>，後續<a href="https://www.ithome.com.tw/news/170190">駭客組織World Leaks聲稱駭入電腦大廠Dell內部的產品展示及測試的環境</a>，傳出入侵的管道，很可能就是上述的SSL VPN設備。如今資安業者Arctic Wolf指出，<a href="https://arcticwolf.com/resources/blog/arctic-wolf-observes-july-2025-uptick-in-akira-ransomware-activity-targeting-sonicwall-ssl-vpn/">勒索軟體Akira也加入攻擊該廠牌的SSL VPN系統的行列</a>。</p> <p>Arctic Wolf指出，7月下旬駭客透過SonicWall防火牆取得初始入侵管道的勒索軟體活動，出現增加的跡象，這些事故的共通點在於，所有的入侵都是透過防火牆的SSL VPN系統進行存取。根據他們掌握的證據，駭客疑似使用零時差漏洞而得逞，但不排除有暴力破解、字典攻擊、帳號填充攻擊的情況。為何Arctic Wolf會認定是零時差漏洞？他們提及兩種現象，首先，在部分事故當中，受害的SonicWall設備已經完整套用所有修補程式，並進行帳密輪替，但還是無法倖免；部分受害組織雖然採用以時間為基礎的動態密碼（TOTP），進行多因素驗證（MFA），仍發生帳號遭到入侵的現象。對此，他們認為在SonicWall尚未發布修補程式之前，最好暫時停用SSL VPN服務因應。</p> <p>這波攻擊行動約從7月15日開始，一旦攻擊者成功存取SSL VPN帳號，很快就會執行勒索軟體加密檔案的程序。而駭客登入VPN系統的作法也與一般正常的管道不同，他們多半透過虛疑專用伺服器（VPS）來進行，而非像合法登入會透過網際網路服務供應商（ISP）。</p> <p>勒索軟體Akira鎖定SonicWall防火牆發動攻擊的情況，已非首例。<a href="https://www.ithome.com.tw/news/165817">去年10月</a>，有兩款勒索軟體針對SonicWall防火牆而來，疑似利用該廠牌防火牆作業系統SonicOS重大層級漏洞CVE-2024-40766，其中一組人馬就是Akira。</p> </div></div></div>
2025/8/4 16:27作者周峻佑https://www.ithome.com.tw/news/170409
英國標準協會BSI東北亞區高層世代交替，引領組織邁向新篇章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國標準協會（BSI）東北亞區近期宣布一項重要人事異動，原任BSI臺灣分公司營運長謝君豪於2025年8月1日起，正式接任BSI東北亞區董事總經理一職，將全面領導臺灣與韓國團隊，開啟BSI在該區域的全新篇章。</p> <p>與此同時，服務多年的原任東北亞區董事總經理蒲樹盛，則於2025年7月31日退休，並在BSI總部邀請之下，接下來將繼續擔任BSI總裁策略顧問（Strategy Advisor to Divisional President），以更高的視角和不同身分，協助英國總部在全球推動國際標準的實踐。此次人事異動，不僅意味著世代交替，也預告BSI東北亞區在數位信任與永續治理領域將邁入新的發展階段。</p> <p>BSI臺灣分公司於1996年成立以來，蒲樹盛長期協助臺灣企業透過引進各種國際標準與國際接軌，並引導企業從傳統的ISO品質管理，進一步邁向數位信任與永續治理，並打造成具備韌性的企業組織。而在蒲樹盛擔任東北亞區董事總經理期間，他更成為BSI協助臺灣企業轉型升級的關鍵推手，深受產官學研各界的肯定。</p> <p>蒲樹盛帶領BSI臺灣及東北亞區期間，更秉持著「以人為本」的管理信念，不僅帶領團隊連年榮獲BSI全球內部多項管理績效大獎，更在同仁心中樹立了亦師亦友的典範，。</p> <p>謝君豪原任BSI臺灣分公司營運長，一路從基層稽核員做起，迄今已逾二十年，在BSI工作期間，他陸續擔任過講師、產品經理等不同職務，更在BSI核心的驗證部擔任十年以上的協理職務，並於2018年接任全新職務的臺灣營運長一職迄今。</p> <p>長期以來，謝君豪致力推動各種國際標準的應用與創造客戶價值，專業能力與貢獻廣受產官學研各界信任，並累積豐富的實務經驗與產業洞察。此次，謝君豪接任蒲樹盛榮退後遺缺──BSI東北亞區董事總經理，也經歷層層關卡，在各方面的專業能力評估之下，順利脫穎而出。</p> <p>BSI此次東北亞區的人事布局，也成功整合臺灣與韓國的組織與業務發展，對謝君豪而言，必須在原先帶領臺灣團隊的經驗基礎上，重新整合臺灣與韓國的組織團隊，協助企業透過標準推動的力量，因應全球變局，創造永續與更具韌性的未來。</p> </div></div></div>
2025/8/4 17:54作者黃彥棻https://www.ithome.com.tw/news/170410
蘋果發布多個作業系統平臺更新，修補已遭利用的Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩週前Google<a href="https://www.ithome.com.tw/news/170078">發布Chrome 138電腦版更新</a>138.0.7204.157、138.0.7204.158，修補6項資安漏洞，其中存在於ANGLE（Almost Native Graphics Layer Engine）及GPU元件的高風險漏洞CVE-2025-6558，已經出現實際遭到利用的跡象，但這項漏洞並非只影響Chromium為基礎打造的瀏覽器，後續有其他科技業者跟進，修補這項資安漏洞。</p> <p>蘋果於7月29、30日，針對旗下的行動裝置、電腦、穿戴裝置、電視盒，發布<a href="https://support.apple.com/en-us/124147">iOS 18.6、iPadOS 18.6</a>與<a href="https://support.apple.com/en-us/124148">17.7.9</a>、<a href="https://support.apple.com/en-us/124149">macOS Sequoia 15.6</a>、<a href="https://support.apple.com/en-us/124155">watchOS 11.6</a>、<a href="https://support.apple.com/en-us/124154">visionOS 2.6</a>、<a href="https://support.apple.com/en-us/124153">tvOS 18.6</a>，並為macOS Ventura與Sonoma用戶發布<a href="https://support.apple.com/en-us/124152">瀏覽器更新Safari 18.6</a>，其中一項修補的資安漏洞，就是存在於Safari排版引擎WebKit的CVE-2025-6558，並指出一旦瀏覽器處理特製的惡意網頁內容，就有機會導致無預期當機的現象。蘋果提及此漏洞出現在他們採用的開放原始碼內容，由Google威脅分析團隊（TAG）通報。</p> <p>究竟這項漏洞有多危險？蘋果並未說明，但根據Google通報<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-6558">美國國家漏洞資料庫（NVD）的資料</a>，CVSS風險評為8.8分，為高風險層級。美國網路安全暨基礎設施安全局（CISA）於7月22日將其列入已遭利用漏洞列表（KEV），要求聯邦機構於8月12日前完成修補。</p> </div></div></div>
2025/8/4 15:11作者周峻佑https://www.ithome.com.tw/news/170408
中國駭客CL-STA-0969鎖定電信業者而來，從事為期10個月的網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織鎖定<a href="https://www.ithome.com.tw/tags/%E9%9B%BB%E4%BF%A1%E6%A5%AD%E8%80%85">電信業者</a>從事大規模網路間諜活動，藉此針對特定的政治人物進行情報收集，這樣的事故又以<a href="https://www.ithome.com.tw/news/165354">去年9月爆發</a>的<a href="https://www.ithome.com.tw/tags/salt-typhoon">Salt Typhoon</a>駭客攻擊行動受到高度關注，不僅傳出AT&T、Verizon、Lumen等多家大型業者受害，相關攻擊<a href="https://www.ithome.com.tw/news/165750">亦得到美國政府的證實</a>，後續更傳出這些駭客也對其他國家電信業者下手的情況；另有資安業者揭露專門攻擊南亞、非洲電信業者的駭客組織<a href="https://www.ithome.com.tw/news/166128">Liminal Panda</a>，如今又有資安業者揭露相關事故的最新調查結果。</p> <p>上週資安業者Palo Alto Networks發布調查報告指出，<a href="https://unit42.paloaltonetworks.com/infiltration-of-global-telecom-networks/">名為CL-STA-0969的駭客於去年2月至11月</a>，鎖定西南亞電信產業發動數起攻擊行動，他們部署多種工具與通訊機制，以便透過更為彈性的方法來遠端控制特定物件。其中一種作案工具是Cordscan，用途是收集行動裝置地理位置的資料，因此該公司推測，駭客有可能以此跟蹤受害者。</p> <p>針對這些駭客的來歷，Palo Alto Networks推測是與Liminal Panda高度相關的國家級駭客，但也有部分工具來自其他組織的情況，而這些組織是：<a href="https://www.ithome.com.tw/tags/lightbasin">LightBasin</a>、<a href="https://www.ithome.com.tw/tags/unc3886">UNC3886</a>、<a href="https://www.ithome.com.tw/tags/unc2891">UNC2891</a>，以及<a href="https://www.ithome.com.tw/tags/unc1945">UNC1945</a>。</p> <p>而對於駭客使用的作案工具，Palo Alto Networks提及是專門為電信環境所打造，包含：AuthDoor、GTPDoor、ChronosRAT、NoDepDNS，這些工具濫用SSH、ICMP、DNS、GTP等常見的通訊協定，讓駭客能用來建立存取管道、執行命令，以及建立C2通訊連線。此外，他們也運用多項可公開取得的應用程式，例如：代理伺服器工具Microsocks Proxy、Fast Reverse Proxy（FRP），以及網路掃描工具Fscan、廣播名稱解析工具Responder。</p> <p>再者，他們也打造能觸發已知漏洞的工具，被利用的漏洞包括：Linux核心權限提升漏洞<a href="https://www.ithome.com.tw/news/109228">Dirty COW（CVE-2016-5195）</a>、Pkexec權限提升漏洞<a href="https://www.ithome.com.tw/news/149096">PwnKit（CVE-2021-4034）</a>、Sudo權限提升漏洞<a href="https://www.ithome.com.tw/news/142469">CVE-2021-3156</a>。</p> <p>附帶一提的是，這些駭客為了避免東窗事發，他們也持續維護本身的營運安全防護（OpSec）保持在高效率運作的狀態，而且運用多種迴避防禦的伎倆，避免被偵測到相關活動，像是使用DNS隧道引導流量、透過其他行動裝置操作環境路由流量、清除身分驗證事件記錄，以及偽裝處理程序的名稱。此外，他們也會停用SELinux迴避偵測，並使用可移除的身分驗證模組（Pluggable Authentication Module）當作後門。</p> </div></div></div>
2025/8/4 14:33作者周峻佑https://www.ithome.com.tw/news/170407
美國CISA開源Thorium惡意程式分析平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/alerts/2025/07/31/thorium-platform-public-availability" target="_blank">美國網路安全暨基礎架構管理署（CISA）上周宣布</a>，開源自動化檔案分析平臺Thorium開放給政府及民間用於惡意程式和鑑識分析。</p> <p class="rtecenter"><a href="https://github.com/cisagov/thorium" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-cisa%20gov%20thorium-GitHub.jpg" style="width: 600px;" /></a></p> <p>這項計畫是CISA和美國桑迪亞國家實驗室（Sandia National Laboratories）合作。Thorium為自動化檔案分析及資料生成的高擴充性分散式平臺，它允許分析團隊操作及整合任意商業、開源及自訂工具，自動化執行分析工作流程，支援軟體分析、數位鑑識和事件回應。</p> <p><a href="https://www.sandia.gov/labnews/2024/09/05/cybersecurity-suite-now-on-duty-defending-the-nation/" target="_blank">Thorium</a>起於桑迪亞實驗室2017年自行開發的自動化惡意程式分析平臺專案，而在CISA的贊助下，啟動威脅逆向工程（Threat Focused Reverse Engineering）專案，旨在以拆解惡意程式支持打擊防禦。</p> <p>Thorium的整合性平臺上，允許分析人員上傳程式檔案，以Docker映像檔及VM形式整合指令行工具、利用標籤和全文搜尋篩選結果，並嚴格以群組為基礎的核准規則來管理存取。</p> <p>Thorium是利用Kubernetes和ScyllaDB以硬體擴充，具高度可擴充性，每個核准群組每小時能接受超過1000萬個檔案而仍然維持高速查詢效能。它還讓使用者定義事件觸發器和工具執行序列、以RESTful API控制平臺，並且集結輸出結果進一步分析，或是匯整進下游流程。</p> <p>CISA鼓勵政府或民間企業資安團隊<a href="https://cisagov.github.io/thorium/getting_started/getting_started.html" target="_blank">試用Thorium</a>並提供回饋意見。目前Thorium內不包含任何工具，但<a href="https://github.com/cisagov/thorium" target="_blank">CISA表示</a>計畫過陣子會發布一些工具，包括來自業界捐贈的工具。</p> </div></div></div>
2025/8/4 11:08作者林妍溱https://www.ithome.com.tw/news/170400