iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Meta收購OpenAI、Google前員工創立的AI音訊新創公司WaveForms
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/meta-acquires-ai-audio-startup-waveforms" target="_blank">The Information報導</a>，Meta收購了由OpenAI和Google前員工創立的AI新創公司WaveForms，用以加速該公司AI超級智慧（SuperIntelligence）的建構計畫。</p> <p>WaveForms執行長暨創辦人Alexis Conneau為前OpenAI研究員，另一創辦人Coralie Lemaitre則是前Google策略師。<a href="https://techcrunch.com/2025/08/08/meta-acquires-ai-audio-startup-waveforms/" target="_blank">報導指出</a>，Conneau和Lemaitre連同該公司14名其他成員已加入Meta的超級智慧實驗室（Superintelligence Labs）。</p> <p>Conneau之前參與開發GPT-4o的語音模型，該公司研究主軸是克服之前多階段模型生成聲音，以單一模型處理語音生成，聚焦研發能讓AI聲音「接近人類」且「聽不出是AI」。WaveForms AI獲得創投家Andreessen Horowitz 4,000萬美元種子輪基金，該公司去年底稱市值達2億美元，這意味著Meta收購金額可能也達數億水準。</p> <p>不到一個月前，<a href="https://techcrunch.com/2025/07/13/meta-acquires-voice-startup-play-ai/" target="_blank">Meta才傳</a>收購了PlayAI，後者也是專注開發高度逼真的AI人聲科技。二家公司可能將協助強化Meta開發在Meta平臺或裝置上AI內容、人物所用的先進語音AI科技。</p> </div></div></div>
2025/8/11 11:26作者林妍溱https://www.ithome.com.tw/news/170522
GPT-5上路狀況多 OpenAI允許Plus用戶續用舊版模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周公布最新旗艦版模型GPT-5，欲撤除舊版模型，但在使用者反彈下，OpenAI決定暫時延長使用期限。</p> <p>上周正式釋出的GPT-5大幅提升寫作、程式設計能力，且較前代更減少幻覺、強化指令遵循，而且它是第一個整合推理、快速回應、多模態與語言互動能力於一的模型。GPT-5已部署到ChatGPT付費版及免費版。<a href="https://venturebeat.com/ai/chatgpt-users-dismayed-as-openai-pulls-popular-models-gpt-4o-o3-and-more-enterprise-api-remains-for-now/" target="_blank">根據OpenAI的說法</a>，在這些服務中，GPT-5將取代所有之前模型，讓使用者無需再根據任務需求選擇模型。而Enterprise和Edu方案用戶則可多使用60天。</p> <p>但是GPT-5上線第一天狀況連連，令使用者疾呼回復舊模型。<a href="https://www.ft.com/content/554af7b1-588a-47fb-8dc1-fb8fd6ea92f0?utm_source=chatgpt.com" target="_blank">金融時報報導</a>，GPT-5產出誤導的圖表，像是顯示模型準確比較時，69.1%和30.8%以同樣高度的柱狀圖表示，<a href="https://www.techradar.com/ai-platforms-assistants/chatgpt/so-many-chatgpt-users-have-said-theyre-missing-the-older-gpt-4o-model-openai-is-going-to-bring-it-back?utm_source=chatgpt.com" target="_blank">其他用戶反映</a>GPT-5「很糟」、「無理」、態度惡劣，因而希望能回復之前版本。</p> <p><a href="https://x.com/sama/status/1953893841381273969" target="_blank">OpenAI執行長Sam Altman昨日宣布</a>，公司將再讓Plus方案使用者使用4o等模型一段時間，並在部署完成後增加Plus用戶的GPT-5頻寬一倍。不久後，<a href="https://x.com/benhylak/status/1953917855818559567" target="_blank">用戶發現</a>在ChatGPT介面上增加了GPT-5以外的「其他模型」，可以從選擇GPT-4o、4.5、4.1及o3系列。</p> <p class="rtecenter"><a href="http://x.com/sama/status/1953893841381273969" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-GPT-5%20rollout%20updates-0809-sam%20altman.png" style="width: 500px;" /></a></p> <p>Altman解釋GPT-5出包原因，是因為昨日上線之初，它用以切換快速回應及推理能力的機制故障了，導致大半天運作失常，結果是GPT-5變得很笨。雖然上線過程「有點坎坷」，但隨著問題逐步解決，應該會變得聰明許多。OpenAI也在決策邊界（decision boundary）運作做了些變更，可提升它選擇模型的能力。</p> <p>此外，Altman也承諾會強化GPT-5形成答案的透明度，以及變更UI以便使用者更容易手動觸發思考過程。但他強調改進會需要一些時間，因此可能還是會有一些小狀況，OpenAI會持續聽取用戶意見。</p> </div></div></div>
2025/8/11 11:38作者林妍溱https://www.ithome.com.tw/news/170523
日本要求iPhone准許執行非WebKit引擎瀏覽器年底上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼歐盟及英國之後，<a href="https://www.macrumors.com/2025/08/07/japan-non-webkit-browsers-on-iphone/" target="_blank">媒體報導</a>，日本一項新法將在今年底起，要求蘋果不得限制智慧型手機App或用戶使用非自家瀏覽器。</p> <p>日本於2024年6月通過《智慧型手機軟體競爭促進法》，預定2025年12月18日正式實施。該法類似歐盟的數位市場法（Digital Markets Act, DMA）及英國《數位市場競爭與消費者法案》（DMCC Bill 2024），當中有數項法令要求供應OS及應用程式商店的「指定企業」不得阻撓競爭瀏覽器的安裝及運行，<a href="https://www.jftc.go.jp/houdou/pressrelease/2025/mar/250331_smartphone.html" target="_blank">日本公平會進一步於今年3月發布指引</a>，說明指定的企業包含蘋果及Google為OS、應用程式商店、瀏覽器的搜尋引擎。</p> <p>根據日本《智慧型手機軟體競爭促進法》，應用程式商店供應商（即蘋果及Google）不得強制第三方App業者必須使用自家瀏覽器引擎，或以技術限制、施加財務負擔限制第三方應用程式使用替代瀏覽器引擎作為組成，也不得要求他們引導用戶不得使用替代性瀏覽器引擎。</p> <p>雖然日本法令未提及任何瀏覽器或引擎，但非營利組織<a href="https://open-web-advocacy.org/blog/japan-apple-must-lift-engine-ban-by-december/" target="_blank">Open Web Advocacy將本法解讀</a>禁止蘋果在自家應用商店App Store中規定所有瀏覽器App必須使用其WebKit引擎，禁止Firefox、Chrome、Brave等使用自己的引擎。</p> <p><a href="https://www.macrumors.com/2025/08/07/japan-non-webkit-browsers-on-iphone/" target="_blank">MacRumors報導</a>這意謂著年底iPhone可能允許蘋果Safari以外的手機瀏覽器。</p> <p>目前蘋果僅在歐盟版iPhone提供非Webkit的瀏覽器。在歐盟DMA要求下，歐盟版iOS 17.4加入變更，允許用戶手機首次開機時跳出瀏覽器與搜尋引擎選擇畫面，搜尋引擎選項中列出Google、Bing、DuckDuckGo、Ecosia、Yahoo等（具體清單依國家而異），也允許第三方瀏覽器（如Chrome、Firefox）使用自家引擎並設為預設。媒體估計英國是下一個實行地區。</p> <p>事實上，日本新法也和歐盟法案一樣，做了廣泛的要求以防止平臺業者排擠競爭者，而不只限於瀏覽器引擎。例如在瀏覽器方面，日本法律禁止OS供應商（蘋果和Google）阻礙其他廠商使用OS系統功能如API提供同樣效能的App，也要求當使用者轉到其他OS、App及瀏覽器時，兩家大廠必須允許將其資料順利移轉給使用者，以利使用者轉換到其他供應商。</p> </div></div></div>
2025/8/11 11:11作者林妍溱https://www.ithome.com.tw/news/170520
Ripple斥資2億美元收購Rail，擴充穩定幣支付業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20250807771714/en/Ripple-to-Acquire-Rail-for-%24200M-Expanding-Leadership-in-Stablecoin-Payments" target="_blank">美國數位資產基礎設施公司Ripple上周四（8/7）宣布</a>，將以2億美元收購加拿大的支付基礎設施公司Rail，藉此整合雙方優勢，提供市場上最完整的穩定幣跨境支付解決方案。交易仍需取得相關監管機關批准，預計於2025年第4季完成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-Ripple%20to%20Acquire%20Rail.png" style="width: 600px;" /></p> <p>Ripple成立於2012年，總部位於美國舊金山，專注為金融機構提供跨境支付、數位資產託管及穩定幣解決方案，並以自家區塊鏈XRP Ledger及原生代幣XRP支撐交易。隨著川普（Donald Trump）在2024年11月贏得總統大選並釋出支持穩定幣的政策訊號，Ripple在去年12月推出與美元1:1掛鉤的官方穩定幣Ripple USD（RLUSD），強化其在穩定幣市場的布局。<a href="https://coinmarketcap.com/" target="_blank">XRP現為全球第三大加密貨幣</a>，市值為1,897億美元，僅次於比特幣的2.37兆美元及以太幣的5,096億美元；至於甫於去年底推出的RLUSD市值為64.3億美元，在加密貨幣排行榜上名列105，但<a href="https://coinmarketcap.com/view/stablecoin/" target="_blank">在穩定幣排行榜</a>則很快就竄上第8名。</p> <p>而Rail則是在2019年於加拿大成立，該公司整合了法幣與穩定幣支付，並與12家以上的銀行合作，為客戶提供低成本、高效率的全球支付通道，專注於B2B跨境結算。Rail的主要業務是提供單一API即可串接全球法幣與穩定幣支付服務，Ripple看中Rail在虛擬帳戶、自動化後臺與穩定幣入/出金方面的技術與合規能力，能補足自身支付業務在法幣與穩定幣間的即時切換與對帳功能。</p> <p>Ripple總裁Monica Long表示，穩定幣正快速成為現代金融的核心，結合Rail後，Ripple將能推動穩定幣與區塊鏈在全球支付的下一階段創新。Rail執行長Bhanu Kohli則指出，該公司在過去四年打造了最快的國際B2B穩定幣結算方式，2025年預計可處理全球逾10%的B2B穩定幣支付，與Ripple的合作將把這項創新帶給更多國際企業。</p> <p>市場分析認為，這起收購將使Ripple在穩定幣跨境支付領域取得明顯領先地位，並吸引更多不願承擔加密貨幣波動風險的企業客戶。業界預期，整合後的Ripple支付平臺可同時支援XRP與穩定幣結算，降低匯率風險並提升流動性，與Visa、Mastercard以及Circle在穩定幣支付領域展開競爭。</p> </div></div></div>
2025/8/11 08:28作者陳曉莉https://www.ithome.com.tw/news/170513
Claude Code曝高風險漏洞，可被濫用存取檔案與執行未授權命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cymulate<a href="https://cymulate.com/blog/cve-2025-547954-54795-claude-inverseprompt/">揭露</a>Anthropic的人工智慧開發工具Claude Code，存在兩項高風險弱點，分別為<a href="https://github.com/anthropics/claude-code/security/advisories/GHSA-pmw4-pwvc-3hx2">CVE-2025-54794</a>與<a href="https://github.com/anthropics/claude-code/security/advisories/GHSA-x56v-x2h6-7j34">CVE-2025-54795</a>，可被用於繞過目錄範圍限制以讀取檔案，並在無需用戶確認下執行未授權命令。Anthropic已在研究預覽期間接獲通報並完成修補，兩者CVSS分別為7.7與8.7。</p> <p>Claude Code人工智慧開發輔助工具，透過本機CLI/IDE整合連結開發環境，推理則經由Anthropic API等雲端服務執行，用於協助撰寫與理解程式碼、讀寫檔案與執行白名單指令等工作。</p> <p>CVE-2025-54794屬路徑限制繞過漏洞，研究人員指出Claude Code程式以字串字首比對判斷請求是否位於原始當前工作目錄（Current Working Directory，CWD），而非比較正規化後的實體路徑，攻擊者可建立名稱相近的目錄，或結合符號連結，使工具誤判並讀取原本不在允許範圍內的檔案。在特權情境中，此設計缺陷會放大資料外洩與權限濫用風險。</p> <p>CVE-2025-54795則為命令注入漏洞，Claude Code允許部分白名單指令直接執行，例如echo、pwd、whoami。當引數處理缺乏嚴格跳脫時，攻擊者可關閉原本的字串並插入其他殼層指令，使請求表面仍符合白名單規則，實際卻執行任意命令且不觸發同意提示。在系統給予較高權限且存在不受信任輸入的情境下，可能導致本機權限提升。</p> <p>Anthropic已針對兩項問題發布修補版本，路徑限制繞過影響v0.2.111以前版本，命令注入影響v1.0.20以前版本。研究人員建議使用者與團隊立即更新至上述或更高版本，並在更新後檢查工具設定與權限配置。</p> </div></div></div>
2025/8/11 08:00作者李建興https://www.ithome.com.tw/news/170506
【資安日報】8月8日，越南駭客竊資軟體攻擊行動升溫，逾20萬組帳密遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>竊資軟體的攻擊行動不時傳出，其中又以Lumma Stealer、Atomic Stealer（AMOS Stealer）的攻擊行動最為常見，最近有一起竊資軟體的攻擊行動引起資安界關注，原因是這起活動源自越南，自去年開始相關活動後，駭客便不斷改進攻擊手法，而且，這波攻擊目前仍在進行當中。</p> <p>我們先前報導精品業者<a href="https://www.ithome.com.tw/news/170431">香奈兒（Chanel）</a>、<a href="https://www.ithome.com.tw/news/170438">Pandora</a>，以及<a href="https://www.ithome.com.tw/news/170439">科技大廠思科與Google</a>的資料外洩事故，其共通點在於駭客針對第三方雲端平臺下手，如今有類似的資安蜨故發生在航空業，受害企業是歐洲航空巨擘法航（Air France）、荷航（KLM）。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170482"><strong style="font-size: 22px;">越南駭客透過竊資軟體PXA從事大規模攻擊，4,000臺電腦受害、20萬組帳密遭竊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXA-infection-chain-branded-scal.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXA-infection-chain-branded-scal.jpg" style="width: 300px; float: right;" /></a></p> <p>竊資軟體（Infostealer）橫行，其中自2023年開始，多家資安業者揭露越南駭客透過臉書企業帳號散布Ducktail、VietCredCare、SYS01 Stealer的攻擊行動，如今有資安業者指出，在兩年後，越南駭客的手法出現大幅變化，融合更為細致的反分析手法，並採用看起來沒有惡意內容的誘餌，以及建置強化的C2通訊管道，從而延後防守方察覺異狀。</p> <p>資安業者SentinelOne與Beazley Security聯手，針對名為PXA Stealer的竊資軟體進行調查，此惡意程式以Python打造而成，兩家資安業者透過外流的事件記錄資料，確認駭客的攻擊範圍遍及至少62個國家，涉及超過4千個IP位址受害，外流逾20萬組帳密、數百筆信用卡記錄，以及逾400萬個瀏覽器Cookie，受害最嚴重的國家是韓國、美國、荷蘭、匈牙利、奧地利。</p> <p>而對於攻擊者的身分，兩家資安業者指出與使用越南語的網路犯罪生態圈有關，這些駭客透過地下生態系統，以訂閱服務的形式兜售竊得資料換取經濟利益，此生態系統透過Telegram的API，進行自動化銷售及資料運用。</p> <p><a href="https://www.ithome.com.tw/news/170491"><strong style="font-size: 22px;">法航、荷航傳客戶資料外洩，駭客疑似入侵第三方平臺得逞</strong></a></p> <p>歐洲航空巨擘法航（Air France）、荷航（KLM）本周公告其客戶資料庫遭駭客經由第三方平臺竊取，成為近日外洩客戶資料的最新航空公司。</p> <p>根據母公司法荷航集團（KLM）的說明，其安全團隊在其儲存客戶資料的第三方平臺上發現異常活動，導致客戶資料遭未經授權人士存取，該公司IT安全團隊和外部廠商合作立即阻斷本事件，也採取措施預防再次發生。</p> <p>法航和荷航表示其內部系統未受影響，客戶的密碼、旅行詳細資訊、護照、信用卡及常客飛行里程等敏感資料也都完好無損。兩家公司已分別向荷蘭及法國資料保護主管機關通報此事，且發函通知受影響客戶，警告留心可疑電子郵件和電話。</p> <p><a href="https://www.ithome.com.tw/news/170446"><strong style="font-size: 22px;">微軟OAuth應用程式遭冒充，攻擊者以釣魚手法繞過多因素驗證</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-07-29 at 8_29_18 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-07-29%20at%208_29_18%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Proofpoint研究團隊發現，攻擊者持續濫用微軟OAuth應用註冊機制，假冒企業常用的雲端服務，誘導受害者授權偽造應用，再將其導向仿造的微軟登入頁面，藉此攔截帳號密碼及多因素驗證（MFA）連線階段資訊。</p> <p>這波攻擊最明顯的特徵，在於駭客偽裝Adobe、DocuSign、SharePoint、RingCentral等主流雲端服務的應用名稱與授權頁面，利用OAuth權限請求，引導目標用戶同意或拒絕應用存取個人資訊。無論使用者選擇取消或授權，最終都會被重導至偽造的微軟登入頁，而該頁實際上由攻擊者控制，並利用AiTM技術同步攔截所有登入憑證與MFA驗證內容。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-edr-killer-tool-used-by-eight-different-ransomware-groups/">8組勒索軟體駭客透過新的迴避偵測工具繞過EDR防護</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wave-of-150-crypto-draining-extensions-hits-firefox-add-on-store/">150個Firefox市集的延伸套件恐榨乾用戶的加密貨幣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bouygues-telecom-confirms-data-breach-impacting-64-million-customers/">法國電信業者Bouygues Telecom傳出資料外洩，影響640萬名客戶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/mustang-panda-targets-windows-users/">Mustang Panda假借提供瀏覽器安裝程式，意圖散布後門ToneShell</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/storm-2603-deploys-custom-malware-using-byovd/">中國駭客Storm-2603透過自帶驅動程式手法，散布惡意程式ak47c2</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170495"><strong style="font-size: 22px;">CyberArk身分驗證資料管理平臺Conjur存在資安漏洞，攻擊者可進行串連，從而遠端執行任意程式碼</strong></a></p> <p>甫被資安業者Palo Alto Networks買下的身分安全業者CyberArk，成為近來備受矚目的資安公司，在本週舉行的黑帽大會Black Hat USA 2025當中，有資安業者發表演說，公布他們在今年5月通報的CyberArk產品資安漏洞細節，受到各界的關注。</p> <p>資安業者Cyata表示，他們在兩款受到企業廣泛採用的身分驗證資料管理平臺CyberArk Conjur、HashiCorp Vault找到一系列的資安漏洞，其中針對CyberArk Conjur的部分，該公司找到一系列的邏輯缺陷，可形成完整的攻擊鏈，用於進行事先身分驗證，並達到遠端執行任意程式碼（RCE）的目的，Cyata強調，攻擊者無須事先取得帳密資料或Token，也不需要真實的AWS帳號，只需仔細製造一系列特製的請求，就有機會完全控制Conjur，而且都是利用Conjur的預設行為來觸發漏洞。雖然Cyata提及上述缺陷已在6月下旬登記CVE編號，但並未提及相關漏洞編號。</p> <p>對此，我們向CyberArk臺灣分公司進行求證，該公司表示他們在7月15日透過部落格文章進行說明，這些漏洞被登記為CVE-2025-49827、CVE-2025-49828、CVE-2025-49829、CVE-2025-49830、CVE-2025-49831，CVSS風險介於6.0至9.1，影響CyberArk Secrets Manager, Self-Hosted（原名Conjur Enterprise），以及開源版本Conjur Open Source（Conjur OSS），他們在CyberArk Marketplace、GitHub、DockerHub發布修補程式。根據CyberArk掌握的情況，目前這些漏洞尚未出現遭到利用的跡象。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170483"><strong style="font-size: 22px;">Claude Code支援GitHub，AI自動安全審查即時提供漏洞修正建議</strong></a></p> <p>Anthropic宣布旗下Claude Code整合自動安全審查功能，現已全面支援GitHub Actions，並開放所有Claude Code用戶使用。此功能可在開發團隊提交拉取請求（Pull Request，PR）階段，利用人工智慧分析程式碼變更，並於變更程式碼旁提供詳細說明與建議。</p> <p>這項自動安全審查將生成式人工智慧技術結合至GitHub協作流程。當開發人員提出拉取請求時，Claude Code會針對變動檔案進行語意分析，並嘗試檢測常見安全風險，例如SQL注入、跨站腳本（XSS）、身分驗證與授權相關問題等。與傳統以規則為主的SAST工具不同，Claude Code的人工智慧模型具備語意理解能力，能在一定程度上判斷程式碼邏輯與意圖，以協助找出潛在的安全疑慮。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170484"><strong>【8月7日】Linux惡意程式濫用身分驗證模組PAM隱匿行蹤</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170464"><strong>【8月6日】時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月5日】國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當</strong></a></p> </div></div></div>
2025/8/8 13:27作者周峻佑https://www.ithome.com.tw/news/170497
Dell商務筆電特定晶片存在ReVault漏洞，影響逾百款機型恐遭持久控制與資料竊取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cisco旗下威脅情報與資安研究團隊Talos<a href="https://blog.talosintelligence.com/revault-when-your-soc-turns-against-you/">揭露</a>ReVault漏洞組合，涉及戴爾（Dell）採用博通（Broadcom）控制晶片的ControlVault3/3+韌體與Windows API共5項弱點。未修補下，攻擊者可取得持久性控制、繞過Windows登入並竊取敏感資料，整體影響超過100款Latitude與Precision等商務機型。</p> <p>ControlVault為獨立硬體安全模組，裝載在稱為USH（Unified Security Hub）的子卡上，用於在韌體層儲存密碼、生物特徵與安全代碼，並連接指紋、智慧卡與NFC等周邊。現行主流版本為ControlVault3與ControlVault3+，廣見於上述商務與Rugged機型。</p> <p>本次資安漏洞通報包括ControlVault韌體中的越界讀寫CVE-2025-24311、CVE-2025-25050漏洞，任意釋放CVE-2025-25215漏洞，堆疊溢位CVE-2025-24922漏洞，以及影響Windows API的不安全反序列化CVE-2025-24919漏洞。而CVE-2025-24919可被惡意設計的ControlVault回應觸發，進一步在主機上達成任意程式碼執行。</p> <p>其中兩種情境風險特別高，第一種是雖然使用者沒有系統管理員權限，但仍可透過API對ControlVault韌體執行惡意程式碼，竊取加密金鑰，並植入即使重灌Windows也不會消失的韌體後門，之後再利用反序列化漏洞重新入侵Windows。第二種則是當攻擊者能實體接觸筆電，拆開機殼並用USB直接連到ControlVault子卡，就能在不輸入登入密碼或全碟加密金鑰的情況下修改韌體，甚至設定成接受任何人的指紋登入。</p> <p>在防護措施方面，研究人員指出，應先把ControlVault3或ControlVault3+更新到最新韌體版本，雖然Windows Update也能下載更新，但通常Dell官網會更早提供檔案。當用戶沒有使用指紋、智慧卡或NFC等功能，可以透過服務管理員或裝置管理員關閉ControlVault。在環境風險較高的情境，研究人員建議暫時關閉指紋登入，並啟用Windows的Enhanced Sign-in Security，以降低韌體遭不當利用的機會。</p> <p>用戶可以在BIOS中啟用機殼入侵偵測功能，一旦有人打開筆電會發出警示。同時，留意Windows Biometric Service或Credential Vault服務是否發生異常崩潰，當使用Cisco Secure Endpoint，也要注意是否出現bcmbipdll.dll Loaded by Abnormal Process的警示。</p> </div></div></div>
2025/8/8 15:23作者李建興https://www.ithome.com.tw/news/170492
PyPI推新規防堵ZIP混淆攻擊保護Python套件安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python官方套件庫PyPI<a href="https://blog.pypi.org/posts/2025-08-07-wheel-archive-confusion-attacks/">宣布</a>強化上傳端審核，目標是封鎖利用ZIP解析差異的混淆攻擊。由於常用安裝器uv在解壓ZIP檔時的處理方式，與多數採用標準函式庫zipfile模組的工具不同，攻擊者可能藉由構造特殊或惡意ZIP，讓其在不同安裝工具中解壓出不同內容，進而繞過檢測或審核。</p> <p>PyPI已開始拒收以混淆為目的建構的ZIP與wheel，並預告在2026年2月1日起，凡wheel內檔案與.dist-info目錄中的RECORD檔案不一致將被直接拒收。官方同時表示，目前沒有證據顯示此手法曾在PyPI遭到濫用。</p> <p>Wheel本質是ZIP檔，ZIP標準為了兼顧舊系統相容性，支援追加寫入功能，允許在不重寫整個壓縮檔的情況下在檔尾加入紀錄，這雖然提高了相容性，但也增加實作複雜度。多數Python安裝器慣用流程是先解壓，再於安裝位置生成或修補RECORD檔案以方便解除安裝，並未逐一比對壓縮內容與RECORD是否一致，而形成攻擊面。針對該項風險，uv已釋出修補並對外對應CVE-2025-54368，凸顯安裝器之間對ZIP細節處理仍需一致化。</p> <p>現在PyPI在上傳流程加入多重檢核，以降低軟體供應鏈風險。系統會先依ZIP中央目錄（Central Directory）判斷檔案清單與位移，再比對本地檔案（Local File）檔頭是否一致，當偵測到無效紀錄、重複檔名、中央與本地檔案紀錄不符、檔尾多餘資料或出現多個End of Central Directory，以及EOCD Locator值錯誤就會拒收。此外既有的ZIP與tarball壓縮炸彈（Compression-Bomb）偵測機制仍持續啟用。對於RECORD一致性，PyPI先行寄發警示信，提供6個月過渡期，期滿即切換為強制拒收。</p> <p>官方指出，前1.5萬個下載量最高的專案，多數符合規範且無需改動。官方盤點顯示其中13460個沒有任何RECORD或ZIP問題，僅極少數出現RECORD缺漏、標頭不一致或重複檔名等情況，顯示此一強化措施對主流專案的影響較小。</p> <p>PyPI建議一般使用者將安裝工具維持在最新版本，以取得較一致的ZIP處理與安全行為。套件維護者若上傳遭拒，可依錯誤訊息調整建置腳本或回報至建置工具專案，優先確保RECORD與實際內容對齊。安裝工具開發者則應在解壓前先讀取中央目錄，嚴格比對中央與本地檔案紀錄，並在安裝步驟中驗證RECORD與已展開檔案一致，讓格式與驗證成為預設行為，降低供應鏈攻擊面，同時提升跨工具的一致性與可預期性。</p> </div></div></div>
2025/8/8 14:50作者李建興https://www.ithome.com.tw/news/170489
川普放行401(k)退休基金投資數位資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/fact-sheets/2025/08/fact-sheet-president-donald-j-trump-democratizes-access-to-alternative-assets-for-401k-investors/" target="_blank">美國總統川普（Donald Trump）周四（8/7）簽署行政命令</a>，允許401(k)退休金投資人可投資私募股權、不動產及數位資產等「另類資產」，以增加報酬率與分散風險。此舉被視為川普推動退休制度改革及加強數位資產發展的重要一步。</p> <p>該行政命令要求勞工部重新檢視《僱員退休收入保障法》（ERISA）下的投資受託責任指引，澄清另類資產的適用性與相關程序。同時，勞工部需與財政部、證券交易委員會（SEC）及其他聯邦監管機構協商，探討是否進行平行修法。SEC則被指示修訂規定，促進自我選擇型的確定提撥退休計畫（如401(k)）更容易納入另類資產。</p> <p>401(k)退休帳戶是美國雇主提供的確定提撥型退休儲蓄計畫，員工可將薪資的一定比例投入該帳戶，通常享有稅收優惠，雇主也可能提供相應提撥。參與者可選擇不同投資組合，包括股票、債券及共同基金等。目前全美超過9000萬人參與此類計畫，帳戶總資產規模約達12.5兆美元，是美國退休金制度的重要支柱，為勞工提供長期財務保障。</p> <p>川普表示，目前有超過9000萬名美國人參加雇主提供的確定提撥型退休計畫，但大多數人無法投資另類資產，與富裕投資者及公務員退休計畫相比存在不公平。他認為，另類資產能提供競爭性回報並分散風險，擴大投資選擇有助於確保退休生活的尊嚴與穩定。</p> <p>此一政策在美國金融與政治圈引發兩極反應。支持者認為，開放401(k)投資另類資產可增加報酬來源，並符合川普一貫的去監管、促進資本市場自由化立場，尤其是納入數位資產，被視為對加密貨幣產業的政策利好訊號。反對者則擔憂，另類資產流動性較低、風險較高，缺乏經驗的退休金參與者可能承受重大損失。此外，若市場出現大幅波動，反而削弱退休金保障。</p> </div></div></div>
2025/8/8 14:57作者陳曉莉https://www.ithome.com.tw/news/170502
中國簡訊詐騙集團鎖定全球支付卡，利用數位錢包詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國網路威脅情報供應商<a href="https://www.secalliance.com/blog/the-evolution-of-chinese-smishing-syndicates-and-digital-wallet-fraud" target="_blank">SecAlliance本周公布</a>一源自中國的簡訊詐騙模式，駭客將所盜來的支付卡綁定至Apple Pay和Google Wallet中以繞過傳統的詐欺偵測。同樣位於英國的威脅情報業者<a href="https://www.silentpush.com/blog/smishing-triad/" target="_blank">Silent Push亦曾揭露同一手法</a>，並將此一犯罪聯盟稱為Smishing Triad 。</p> <p>根據這兩家業者的研究，Smishing Triad是自2023年初開始於全球發動簡訊網釣（Smishing）活動，駭客先透過SMS、RCS、iMessage等平臺傳送偽造通知（如包裹配送、銀行異常或帳號安全警示等）；於簡訊中嵌入惡意連結以將使用者引導至網釣網站；這些網頁仿冒了銀行、支付平臺或零售商介面，以蒐集使用者所輸入的支付卡資訊；當銀行要求一次性密碼或推播驗證時，駭客還會誘導受害者輸入驗證碼。</p> <p>在取得受害者的支付卡資訊之後，駭客並不直接拿去消費，而是將它們與自己所擁有的Apple Pay或Google Wallet等數位錢包綁定，以進行高額購物，或藉由非法平臺套現。由於綁定交易後即以代幣化（Tokenized）的憑證進行交易，這是被銀行視為已授權的低風險交易，因而往往能繞過仰賴卡號異常偵測的防詐系統。</p> <p>此外，駭客直接建立了網釣即服務（Phishing-as-a-Service，PhaaS）平臺，供應各種必要套件，可自訂網釣頁面、設定白名單國家、協助處理詐騙流程、協助套現或資金轉移。其假冒的對象涵蓋郵政、物流、電信、交通、金融、零售或公共部門，並已波及121個國家。</p> <p>SecAlliance則說，從2023年7月到2024年10月間，美國可能有1,270萬~1.15億張的支付卡遭到入侵，損失金額高達數十億美元，相信這是有史以來最複雜、財務損失最嚴重的簡訊網釣行動，也創造出一種現有安全框架難以招架的新型金融犯罪。</p> </div></div></div>
2025/8/8 15:12作者陳曉莉https://www.ithome.com.tw/news/170503
Exchange Server混合環境存在重大提權攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53786" target="_blank">微軟本周發出安全公告</a>，警告Exchange Server混合環境存在重大漏洞，可使攻擊者在某些狀況下提高權限，微軟呼籲用戶安裝早先發布的修補程式。</p> <p><a href="https://thehackernews.com/2025/08/microsoft-discloses-exchange-server.html" target="_blank">這項漏洞編號CVE-2025-53786</a>，被列為提權（Elevation of Privilege,EoP）漏洞，風險值8.0。但這並非一項新發現的安全漏洞，而是微軟4月修補，但直到本周公告漏洞編號及其細節。</p> <p>今年4月18日，<a href="https://techcommunity.microsoft.com/blog/exchange/exchange-server-security-changes-for-hybrid-deployments/4396833" target="_blank">微軟宣布變更</a>Exchange Server混合部署的安全設定，同時發布非安全性的Hot Fix，目的是改善Exchange混合部署的整體安全性。微軟聲稱在進一步調查後，發現4月的指引及配置解決了某些安全問題（漏洞）。該漏洞於事後被給予編號<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-53786" target="_blank">CVE-2025-53786</a>，並且在4月18日宣布的安全變更予以解決。</p> <p>微軟解釋這項漏洞風險。在Exchange混合部署環境下，若攻擊者先取得本地部署Exchange Server管理員權限，就可以在其組織連結的雲端環境中升級權限，而且不會留下輕易偵測或稽察到的跡證。由於Exchange Server和Exchange Online在混合環境下共用服務主體（service principal），使雲端版Exchange也可能遭非經授權存取。</p> <p>受影響的產品包括Exchange Server 2016 CU (Cumulative Update) 23、Exchange Server 2019 CU 14/15及部份Exchange Server Subscription Edition (SE) RTM。</p> <p>Exchange Server Subscription Edition (SE) RTM是新近產品卻也包含在這次安全公告中。對此微軟解釋，Exchange Server SE RTM第一個版本已包含專屬的Exchange混合App功能，也可能受影響。如果用戶已升級到最新版本就可免於最新漏洞風險，但用戶仍必須依循指引文件提到的步驟，從共用服務主體清除keyCredentials憑證。</p> <p>微軟強烈建議企業客戶詳讀資訊，並在Exchange Server及混合部署環境安裝4月份及以後的Hot Fix。</p> <p>此外，若企業之前曾設定Exchange混合部署或是Exchange Server及Exchang Online間的OAuth驗證（可跳過密碼驗證），卻未再使用，應重設服務主體的keyCredential。</p> </div></div></div>
2025/8/8 13:39作者林妍溱https://www.ithome.com.tw/news/170498
CyberArk身分驗證資料管理平臺Conjur存在資安漏洞，攻擊者可進行串連，從而遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/170334">甫被</a>資安業者Palo Alto Networks買下的身分安全業者CyberArk，在本週舉行的黑帽大會Black Hat USA 2025當中，<a href="https://www.blackhat.com/us-25/briefings/schedule/index.html#vaulted-severance-your-secrets-are-now-outies-46757">有資安業者發表演說</a>，公布他們在今年5月通報的資安漏洞細節，受到各界的關注。</p> <p>資安業者Cyata表示，他們在兩款受到企業廣泛採用的身分驗證資料管理平臺CyberArk Conjur、HashiCorp Vault找到一系列的資安漏洞，<a href="https://cyata.ai/blog/exploiting-a-full-chain-of-trust-flaws-how-we-went-from-unauthenticated-to-arbitrary-remote-code-execution-rce-in-cyberark-conjur/">其中針對CyberArk Conjur的部分</a>，該公司找到一系列的邏輯缺陷，可形成完整的攻擊鏈，用於進行事先身分驗證，並達到遠端執行任意程式碼（RCE）的目的，Cyata強調，攻擊者無須事先取得帳密資料或Token，也不需要真實的AWS帳號，只需仔細製造一系列特製的請求，就有機會完全控制Conjur，而且都是利用Conjur的預設行為來觸發漏洞。雖然Cyata提及上述缺陷已在6月下旬登記CVE編號，但並未提及相關漏洞編號。</p> <p>對此，我們向CyberArk臺灣分公司進行求證，該公司表示<a href="https://www.cyberark.com/resources/product-insights-blog/addressing-recent-vulnerabilities-and-our-commitment-to-security">他們在7月15日透過部落格文章進行說明</a>，這些漏洞被登記為CVE-2025-49827、CVE-2025-49828、CVE-2025-49829、CVE-2025-49830、CVE-2025-49831，CVSS風險介於6.0至9.1，影響CyberArk Secrets Manager, Self-Hosted（原名Conjur Enterprise），以及開源版本Conjur Open Source（Conjur OSS），他們在<a href="https://www.cyberark.com/ca25-22-Conjur_Enterprise-13.6.1">CyberArk Marketplace</a>、<a href="https://github.com/cyberark/conjur/releases/tag/v1.22.1">GitHub</a>、DockerHub發布修補程式。根據CyberArk掌握的情況，目前這些漏洞尚未出現遭到利用的跡象。</p> <p>什麼是Conjur？這是供企業組織安全儲存、管理機密資料，並進行存取控制的解決方案，保護的範圍涵蓋DevOps及雲端環境使用的敏感帳密、API金鑰、憑證等。此系統通常會用來管控設備與AI的身分識別，並提供CI/CD管道、Kubernetes叢集，以及其他動態環境之間的服務，作為安全存取的媒介。</p> <p>Cyata針對Conjur的身分驗證流程實作、權限強制執行、身分識別模型等內部設計進行調查，結果發現一系列的弱點，這批漏洞形成的攻擊鏈不需依賴記憶體損壞或是競爭條件，都是以邏輯為基礎，結合類型混淆及新的攻擊原語（primitive），從而繞過多層信任機制。他們特別提及，這種手法對於一般的防禦機制而言，通常難以察覺，而且一旦遭到利用，就會具有破壞性。Cyata也說明們如何發現這些漏洞，並展示以預設的AWS整合設定，遠端在Conjur環境執行任意程式碼。</p> </div></div></div>
2025/8/8 12:47作者周峻佑https://www.ithome.com.tw/news/170495
川普要求英特爾執行長陳立武立即辭職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）周四（8/7）透過自家Truth Social平臺呼籲英特爾（Intel）執行長陳立武應該馬上辭職，因為他存在著高度利益衝突。當天英特爾股價下滑了3.14%，以19.77美元作收。</p> <p><a href="https://www.ithome.com.tw/news/167838" target="_blank">今年3月才接任</a>英特爾執行長的陳立武為馬來西亞華僑，他出生於1959年，於1987年成立創投公司Walden International ，專門投資美國及亞洲的高科技新創，並廣泛投資中國半導體產業，包括涉及軍方背景的公司；曾在2009年擔任美國專門提供半導體設計與驗證軟體（EDA軟體）的Cadence執行長，一直到2021年才卸任。</p> <p>由於陳立武擁有超過20年的半導體領域經驗，在他接手後，英特爾股價立即上揚了10%，同時陳立武也開始大刀闊斧地<a href="https://www.ithome.com.tw/news/170263" target="_blank">改革英特爾</a>。</p> <p>川普並未明說陳立武所涉及的利益衝突為何，僅說除了辭職之外，並沒有其它解決此一問題的辦法。</p> <p>外界則猜測這與Walden曾投資中國晶片、EDA軟體及通訊企業，並擁有當地相關人脈有關，因為作為英特爾執行長，陳立武需要接觸大量美國半導體核心技術及政府合作計畫，其中國投資背景可能存在資訊外流風險。</p> <p>至於英特爾則對此<a href="https://newsroom.intel.com/corporate/our-commitment-to-advancing-u-s-national-and-economic-security" target="_blank">發布了官方聲明</a>，表示英特爾、董事會與陳立武都將致力於促進美國的國家與經濟安全利益，並正根據總統的美國優先計畫進行重大投資，期待繼續與美國政府部門保持聯繫。並未正面回應川普的要求。</p> </div></div></div>
2025/8/8 13:19作者陳曉莉https://www.ithome.com.tw/news/170496
越南駭客透過竊資軟體PXA從事大規模攻擊，4,000臺電腦受害、20萬組帳密遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>竊資軟體（Infostealer）橫行，其中自2023年開始，多家資安業者揭露越南駭客透過臉書企業帳號散布<a href="https://www.ithome.com.tw/news/158628">Ducktail</a>、VietCredCare、SYS01 Stealer的攻擊行動，如今有資安業者指出，<a href="https://www.sentinelone.com/labs/ghost-in-the-zip-new-pxa-stealer-and-its-telegram-powered-ecosystem/">在兩年後，越南駭客的手法出現大幅變化</a>，融合更為細致的反分析手法，並採用看起來沒有惡意內容的誘餌，以及建置強化的C2通訊管道，從而延後防守方察覺異狀。</p> <p>資安業者SentinelOne與Beazley Security聯手，針對名為PXA Stealer的竊資軟體進行調查，此惡意程式以Python打造而成，兩家資安業者透過外流的事件記錄資料，確認駭客的攻擊範圍遍及至少62個國家，有超過4千個IP位址外流逾20萬組帳密、數百筆信用卡記錄，以及逾400萬個瀏覽器Cookie，受害最嚴重的國家是韓國、美國、荷蘭、匈牙利、奧地利。</p> <p>而對於攻擊者的身分，兩家資安業者指出與使用越南語的網路犯罪生態圈有關，這些駭客透過地下生態系統，以訂閱服務的形式兜售竊得資料換取經濟利益，此生態系統透過Telegram的API，進行自動化銷售及資料運用。</p> <p>針對此竊資軟體的攻擊行動，兩家資安業者在去年下半察覺並著手調查、追蹤，並指出這波活動仍在持續進行，而且，駭客不停調整惡意程式的散布機制，現在已經演變成高度迴避偵測、多階段的攻擊流程。其中一種導入的攻擊手法，就是透過Microsoft Word 2013，以及以小巧著稱的Haihaisoft PDF Reader，藉由這種具有合法簽章的軟體，側載惡意DLL檔案。</p> <p>這波活動突顯駭客將Telegram、Cloudflare Workers、Dropbox等合法服務武器化，用於竊取資料及變現，同時藉此降低攻擊成本。</p> <p>PXA Stealer的活動大約從去年10月出現，但駭客不斷調整惡意程式的側載機制，並更新以Telegram架設的C2基礎設施。在其中一起發生在今年4月的攻擊當中，受害者被引誘下載壓縮檔，其內容是Haihaisoft PDF Reader主程式及惡意DLL檔案，此惡意檔案透過機碼讓駭客持續在受害電腦活動，並搜尋其他作案工具，其中包含Dropbox代管的有效酬載，最終部署LummaC2（Lumma Stealer）、Rhadamanthys Stealer等竊資軟體。</p> <p>但後續兩家資安業者發現，駭客調整使用的竊資軟體有效酬載，不再使用Windows執行檔，而是以Python打造的有效酬載。這次駭客向受害者傳送大型壓縮檔，內容同樣包含Haihaisoft PDF Reader主程式，以及新的惡意DLL檔。一旦執行，DLL檔就會建立Evidence.cmd，利用公用程式certutil從有問題的PDF文件解出嵌入的RAR檔案，在此同時，Edge瀏覽器也會試圖開啟PDF檔案，但會出現錯誤訊息。</p> <p>後續攻擊者以偽裝成images.png的WinRAR主程式，以命令列解壓縮RAR檔內容，從而於受害電腦植入PXA Stealer。</p> <p>到了7月，這些駭客的手法又出現變化，Beazley Security偵測到類似的感染鏈，但這次駭客改用Word 2013主程式，用於側載惡意檔案msvcr100.dll。附帶一提的是，這次駭客將後續攻擊所需的工具放在名為「_」的資料夾。</p> <p>駭客將Word主程式偽裝成Word文件，一旦執行，電腦就會顯示侵權通知文件Tax-Invoice-EV.docx，不過這個Word文件並未具備巨集或其他可執行指令碼的物件，因此資安業者認為，駭客主要的目的是混淆資安分析師的調查。</p> <p>但在此同時，駭客也在背景執行certutil，將特定ZIP檔案的內容解壓縮到「_」資料夾，後續的攻擊流程，大致就於4月的事故雷同：透過images.png將RAR檔內容解開，從而導致受害電腦感染PXA Stealer。</p> </div></div></div>
2025/8/7 17:05作者周峻佑https://www.ithome.com.tw/news/170482
透過差異化競爭累積自信
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tu_1_gong_cheng_shi_xia_ban_you_yue_tu_pian_lai_yuan_bo_shuo_wen_hua_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「你不用很強，但要夠特別」這個觀念很重要，因為絕大多數人都是普通人，我們沒有過人的天賦，無論多努力也贏不過那些天才。</p> <p>讀高職時儘管學業壓力不大，但家母對我有極高的期待，只要我稍微放鬆，她「愛的叮嚀」便會即時出現。</p> <p>但我又不是一個喜歡唸書的學生，為了讓自己表面上看起來很上進，我選擇去考證照，在高一升高二的暑假，我額外考取了5張證照。</p> <p>說實話，丙級證照只要熟悉術科、背好學科，考試的難度並不高；但真的去考這麼多張證照的人並不多，因為就算考到了，對升學、職涯並沒有太大幫助。</p> <p>但就因為這個特別的舉動，我獲得了意想不到的「機會」。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>獲得機會，跟掌握機會是兩件事</strong></span></span></p> <p>大多數丙級證照的通過率都超過75%，但也有少部份的證照難度較高；其中「電腦軟體設計」是筆者印象最深的證照，因為當時參加的那場通過率只有17%。</p> <p>因為考了很多證照，我因緣巧合地認識了當時擔任圖書館主任的許益財老師，他是我一生的貴人。我在擔任學校圖書館志工時，與老師建立了深厚的聯繫（甚至人生第一次出國，也是老師向學校推薦的，這趟旅程全額補助）。</p> <p>與主任說明我取得了哪些證照後，就被轉介給「電腦研究社」的指導老師，接著被邀請參加當年的「台北市電腦軟體設計競賽」。</p> <p>當初收到這個邀請的時候，其實是想拒絕的，因為我很清楚自己能考取這張證照，是因為把術科全部的程式碼都背下來了。（對！你沒看錯...當年沒有任何程式基礎的我，就是這樣矇混過關的。）</p> <p>不過聽到參加比賽就可以不用上課，還有一個場地讓選手集中培訓後，我就決定參賽了；因為對我來說，「不上課」跟「當選手」這兩件事很特別，比上課讀書更有吸引力。</p> <p>當選手其實比上課讀書更累，記得當年集訓時，要從早上八點一路寫程式到晚上九點，偶爾回教室考試上課反而像是一種放鬆。因為解題的過程每分每秒都在瘋狂消耗腦細胞，這遠比坐在教室聽老師講課，或寫那些代公式就有答案的題目更加勞心費神。</p> <p>這個比賽分為「初賽」和「決賽」兩個階段，因為初賽只有筆試，所以我輕鬆過關；而決賽則是要在現場寫程式解題，儘管經歷過一段時間的特訓，但臨時抱佛腳顯然在正式比賽中沒多大用處，3個小時過去後，我毫無懸念地成為炮灰。</p> <p>不過當年團體賽還是靠隊友拿到了第一名，這是我第一次體會到「抱大腿」的重要性；你未必要成為團隊中最強的人，但一定要進入強者的圈子。</p> <p>在這場比賽中，我有三個收穫：</p> <p>1. 多學幾項技能，有時會獲得意外的機會。</p> <p>2. 運氣可以讓你獲得機會，但沒有實力，給你再多的機會也沒有用處。</p> <p>3. 透過比賽認識的「人脈」，有時比同學間的情誼更加深刻。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>人，需要一場勝利，然後記住這個感覺</strong></span></span></p> <p>比賽輸了後，我又回歸自己平凡的人生；直到某天經過圖書館時，剛好看到同班同學在跟老師討論小論文比賽的最終版本。</p> <p>等同學與老師討論完後，我不知道哪根筋不對，突然向老師詢問：「請問您可以當我小論文的指導老師嗎？」</p> <p>老師應該也被這個問題嚇到了，因為這是我們第一次見面，連彼此的名字都不知道，而且「隔天」就是比賽的截稿日了。</p> <p>但與老師了解完比賽的規則後，我還是決定參賽了（當時的我甚至連題目都還沒想好，這個決定現在回想起來依舊不可思議）。</p> <p>許多人面對機會時總是猶豫不決，而我在面對機會時總是先做再說，至少失敗了不留遺憾。這個人格特質讓我在獲得許多機緣的同時，也讓我失敗的經驗遠超常人。</p> <p>這場比賽我花了一個晚上完成草稿，並在隔天利用下課時間詢問老師的建議，放學優化完細節後就直接上傳小論文了。</p> <p>當時我對這場比賽不抱任何希望，畢竟只是一時隨興的參與，沒有得獎理所當然；結果沒想到公佈成績時竟然得獎了！</p> <p>這邊要特別感謝周佳嵐老師給予的協助，如果當時被拒絕，也許我現在的命運就不一樣了。</p> <p>這個獎對我的人生來說，真的意義非凡，因為：</p> <p>1. 在這之前，我這輩子從來沒有在任何比賽中拿過個人獎項，它幫我打了一劑強心針；不管後續贏了多少場比賽，我都不會忘記這個「起點」。</p> <p>2. 之前當選手時疏於課業導致班排倒數，還因此被家人唸了一頓；但因為這次有得獎，原本希望我乖乖讀書的家人，更願意讓我做多方的嘗試。</p> <p>3. 如果這場比賽沒有得名，我不確定自己未來是否還會主動參賽，畢竟成績下降也讓我蠻恐慌的（但因為接下來持續參賽，所以畢業的名次真的挺難看）。</p> <p>在獲得第一場勝利後，我比賽的竅門彷彿打開了；於是筆者接下來的高職生涯都在參加各種競賽、活動。別人拿市長獎是因為成績第一，而我的市長獎是因為贏得的比賽夠多。</p> <p>【Tips】除非你很有天賦，不然請從小型比賽開始參加；在初期累積自信是最重要的事，如果努力看不到成果，任何事情都很難堅持下去。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>「國文」是影響我一生的科目</strong></span></span></p> <p>有次筆者回大安高工分享自己從高中、大學，到出社會工作的人生經驗。</p> <p>在結尾QA時，有個同學的提問讓我印象深刻：「學長，請問你出社會這幾年來，覺得當初學校教的哪個『科目』對你影響最大？」</p> <p>收到這個問題的時候，我大腦轉了一圈，最終給出了一個連我自己都嚇一跳的答案：「我覺得是國文。」</p> <p>以筆者的從業經驗來說，大多數的工程師在工作4~7年後都具備相當的專業素養，但如果想要在職場上更近一步，「國文」的重要性就變高了。</p> <p>在工作中我們不免要與同事、主管、客戶打交道。好的國文有助於清晰、有效地表達自己的觀點，不但能促進團隊間的合作，還更容易取得好的工作成果。</p> <p>工程師並不是把功能開發完就沒事了，他還要撰寫技術文件（ex：API文件、測試報告）。一份優秀的技術文件，除了能同步技術資訊，還能幫助開發人員日後回憶。</p> <p>如果你負責主持一項專案，那勢必要撰寫提案，並定期向高層報告。如果能在提案與報告時清晰表達自己的思路，那高層會對你印象深刻，增加未來升職與加薪的籌碼。</p> <p>過去我們被交代撰寫技術文件、提案報告的時候可能會不情不願。但該完成的任務還是要完成，反正時間都要花下去，與其寫出一份大家都不滿意的文件，還不如多花點心思，嘗試寫出能幫助大家的文件。培養出這個好習慣後，你會發現，其實這些文件是在幫助未來的自己。<strong>（本文摘錄整理自《工程師下班有約》，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E4%B8%8B%E7%8F%AD%E6%9C%89%E7%B4%84_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 工程師下班有約：企業內訓講師帶你認清職涯真相！</strong></p> <p>林鼎淵(Dean Lin)／著</p> <p>博碩文化出版</p> <p>定價：600元</p> <p><a href="https://medium.com/dean-lin/%E6%88%91%E8%8A%B1%E4%BA%86%E5%8D%81%E4%BA%94%E5%B9%B4%E8%AD%89%E6%98%8E%E8%87%AA%E5%B7%B1-%E6%89%8D%E7%B4%AF%E7%A9%8D%E4%BA%86%E4%B8%80%E6%9C%AC%E6%9B%B8%E7%9A%84%E6%95%85%E4%BA%8B-280b2aeadf2d" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E4%B8%8B%E7%8F%AD%E6%9C%89%E7%B4%84_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%9E%97%E9%BC%8E%E6%B7%B5(Dean%20Lin).png" style="width: 150px;" /></a></p> <p><a href="https://medium.com/dean-lin/%E6%88%91%E8%8A%B1%E4%BA%86%E5%8D%81%E4%BA%94%E5%B9%B4%E8%AD%89%E6%98%8E%E8%87%AA%E5%B7%B1-%E6%89%8D%E7%B4%AF%E7%A9%8D%E4%BA%86%E4%B8%80%E6%9C%AC%E6%9B%B8%E7%9A%84%E6%95%85%E4%BA%8B-280b2aeadf2d" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_林鼎淵(Dean Lin)</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>林鼎淵(Dean Lin)</strong></p> <p>外商公司Software Specialist /生成式AI創新學院發起人/商業周刊&科技島專欄作家</p> <p>做過工程師、專案經理、技術主管等職位，從2020年開始將經手過的問題與技術分享到部落格，至今已發表超過400篇文章，累計瀏覽數超過4,000,000次。</p> </div></div></div>
2025/8/8 11:10未署名https://www.ithome.com.tw/article/170414
法航、荷航也傳客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nieuws.klm.com/klm-informeert-klanten-over-incident-met-persoonsgegevens/#" target="_blank">歐洲航空巨擘法航（Air France）、荷航（KLM）本周公告</a>其客戶資料庫遭駭客經由第三方平臺竊取，成為近日外洩客戶資料的最新航空公司。</p> <p>兩家航空公司母公司法荷航集團（KLM）的說明，其安全團隊在其儲存客戶資料的第三方平臺上發現異常活動，導致客戶資料遭一名未經授權人士存取，該公司IT安全團隊和外部廠商合作立即阻斷本事件，也採取措施預防再次發生。</p> <p>法航和荷航表示其內部系統未受影響，客戶的密碼、旅行詳細資訊、護照、信用卡及常客飛行里程等敏感資料也都完好無損。</p> <p>兩家公司已分別向荷蘭及法國資料保護主管機關通報此事，且己向受到影響的客戶發函通知，警告留心可疑電子郵件和電話。</p> <p>法航與荷航未說明洩露了哪些客戶資料，或是使用什麼樣的第三方系統。但根據二家公司客戶<a href="https://x.com/troyhunt/status/1953181019726856661" target="_blank">在網路上分享的消息</a>，外洩的資料包含客戶的姓名、聯絡資訊、藍天常客飛行計畫的編號、等級，以及通訊郵件主旨等。</p> <p>資安專家Troy Hunt指出，從攻擊者鎖定常客忠誠計畫來看，此次行動和7月<a href="https://www.ithome.com.tw/news/169869" target="_blank">澳航（Qantas）資安事件</a>很類似。駭客利用澳航的一個客服中心獲得該第三方客服平臺的存取權，進而存取儲存在該平臺高達600萬筆客戶資料，包括姓名、電子郵件位址、電話號碼、出生日期，以及常客飛行會員編號。</p> <p>外界猜測這起事件是由駭客組織Scattered Spider所為。</p> <p>澳航、法航及荷航皆未公佈使用的第三方平臺是否為近日接連被竊取資料的Salesforce。近日被駭客存取第三方平臺上的客戶資料的，還有安聯人壽、思科、以及LV、Chanel、Pandora、以及今年初的Christian Dior Couture（Dior）等，這些受害者也都拒絕公佈使用的服務。</p> <p>唯獨<a href="https://www.ithome.com.tw/news/170439" target="_blank">Google坦承</a>駭客從其Salesforce竊取中小企業客戶聯繫資訊。較為特殊的是，駭客利用語音釣魚手法，從員工手上騙取Salesforce憑證進而存取系統。</p> </div></div></div>
2025/8/8 11:28作者林妍溱https://www.ithome.com.tw/news/170491
Gemini CLI GitHub Actions上線，AI助自動化程式開發與團隊協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在GitHub<a href="https://blog.google/technology/developers/introducing-gemini-cli-github-actions/">推出</a>官方Action <a href="https://github.com/google-gemini/gemini-cli-action?utm_source=chatgpt.com">run-gemini-cli</a>，把Gemini CLI直接納入GitHub工作流程，目標是在不改動既有CI的前提下，處理例行且可機械化的協作工作。系統在議題（Issue）與拉取請求（Pull Request）等事件觸發時在背景非同步執行，結合專案脈絡自動進行議題分流、程式碼審查與指令式協作，提供可自訂的開源工作流程。</p> <p>相較於在終端機個人使用的Gemini CLI，這套Action更適用在團隊開發場景，開發者可在議題或拉取請求中以@gemini-cli委派任務，例如要求撰寫測試、解釋改動、產出修正草稿或嘗試修復已確認的錯誤。系統會讀取差異與上下文，並可參考倉庫根目錄的GEMINI.md，以對齊團隊風格與架構規範，在拉取請求上會產出摘要與風險提示，對議題則可自動分類、標籤並建議優先序。</p> <p>導入流程著重可操作性，開發者可直接將範例工作流程放入專案的.github/workflows/，或在本機啟動Gemini後執行/setup-github，由精靈程式生成必要檔案與最小設定。預設可透過GITHUB_TOKEN運作，當需要更嚴謹邊界時，也支援自訂GitHub App與倉庫層級的密鑰與變數，以精細化權限與執行範圍。</p> <p>在資安與控管方面，系統支援Google雲端WIF（Workload Identity Federation），避免長期金鑰駐留。管理者可建立命令與工具的允許清單，限制代理可執行的CLI與shell指令，配合最小權限原則降低風險。可觀測性上，整合OpenTelemetry，能輸出追蹤、指標與日誌至既有的監控平臺如Cloud Monitoring，支援稽核與除錯。</p> <p>官方同時將先前的社群專案封存，轉由google-github-actions/run-gemini-cli統一維護，確保版本發布節奏與支援一致。目前為Beta測試並提供AI Studio免費額度，開發者也可切換使用Vertex AI或Gemini Code Assist。</p> </div></div></div>
2025/8/8 11:08作者李建興https://www.ithome.com.tw/news/170486
OpenAI釋出GPT-5，強化程式開發及代理任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-gpt-5/" target="_blank">OpenAI周四（8/7）正式發表了GPT-5</a>，ChatGPT版本採用統一系統架構，同時整合了快速回應與深度思考模式，並可透過即時路由器自主切換，也提高了整體的性能、效率與可靠性，<a href="https://openai.com/index/introducing-gpt-5-for-developers/" target="_blank">GPT-5 API版本</a>則大幅強化程式開發及代理任務，已被整合到OpenAI API平臺、Codex CLI、Microsoft 365 Copilot、GitHub Copilot及Azure AI Foundry上等平臺上。</p> <p>根據OpenAI的說法，GPT-5提高了ChatGPT中最常見之3種用途的性能，包括寫作、程式設計與健康，亦於減少幻覺、強化指令遵循，以及減少阿諛奉承上有了重大改進。例如只需要一個提示就能生成美觀且回應訊速網站、應用程式及遊戲；在健康上它可主動標記潛在的問題並提出問題，也能有更精確與更可靠的回應；在文字上則具備更有意境的創作風格。</p> <p>GPT-5在有關數學的AIME 2025基準測試分數為94.6%，與程式設計相關的SWE-bench Verified及Aider Polyglot分別達到74.9%與88%，涉及多模態理解的MMMU為84.2%，健康領域的HealthBench Hard為46.2%，以GPT-5 Pro進行科學推理的GPQA為88.4%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-gpt-5-swe%20benchmark.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>相較於OpenAI o3，GPT-5的輸出Token少了50~80%；相較於GPT-4o，GPT-5的事實錯誤少了45%；在開放式的事實查詢中，GPT-5的幻覺率是OpenAI o3的1/6；在缺少圖片的多模態測試中，o3有超過86%的比例會給出虛假答案，GPT-5只有9%；GPT-5的諂媚回應也從GPT-4o的14.5%降至6%以下。</p> <p>OpenAI還開始於GPT-5中預覽不同的聊天機器人個性，包括憤世嫉俗型（Cynic）、機器人型（Robot）、傾聽者型（Listener）與書呆子型（Nerd），初期僅支援文字聊天，之後將支援語音，使用者可自行於設定中調整。</p> <p>而在程式設計上，OpenAI於內部測試GPT-5的前端開發，發現它有70%的時候都優於o3，輸出Token減少了22%，工具呼叫減少了45%，且性能更好。Windsurf說它的工具呼叫錯誤率比其它先進模型少了一半。</p> <p>至於GPT-5在與代理任務有關的τ2-bench telecom基準測試分數為96/7%，Scale MultiChallenge為69.6%，長文本的檢索能力也優於o3及GPT-4.1，代表它能夠更可靠地呼叫並串聯各種工具。</p> <p>GPT-5有3種API規格，包括GPT-5、GPT-5-mini與GPT-5-nano，每100萬個輸入Token的價格分別是1.25/0.25/0.05美元，輸出則是10/2/0.4美元。</p> <p>有些媒體試用後認為GPT-5屬於重大更新，有些則覺得它比不上從GPT-3到GPT-4所帶來的驚喜，<a href="https://www.reuters.com/technology/artificial-intelligencer-cloud-wars-20-2025-08-07/?utm_source=chatgpt.com" target="_blank">而根據路透社（Reuters）的報導</a>，OpenAI內部正在討論如何讓員工手上的股票套現，且對該公司的估值高達5,000億美元。<a href="https://www.ithome.com.tw/news/168182" target="_blank">OpenAI在今年3月底宣布</a>要融資400億美元，融資後的估值為3,000億美元。</p> </div></div></div>
2025/8/8 11:15作者陳曉莉https://www.ithome.com.tw/news/170490
Claude Code支援GitHub，AI自動安全審查即時提供漏洞修正建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.linkedin.com/posts/anthropicresearch_claude-code-can-now-automatically-review-activity-7358892123321954304-ylhA/">宣布</a>旗下Claude Code整合自動安全審查功能，現已全面支援GitHub Actions，並開放所有Claude Code用戶使用。此功能可在開發團隊提交拉取請求（Pull Request，PR）階段，利用人工智慧分析程式碼變更，並於變更程式碼旁提供詳細說明與建議。</p> <p>這項自動安全審查將生成式人工智慧技術結合至GitHub協作流程。當開發人員提出拉取請求時，Claude Code會針對變動檔案進行語意分析，並嘗試檢測常見安全風險，例如SQL注入、跨站腳本（XSS）、身分驗證與授權相關問題等。與傳統以規則為主的SAST工具不同，Claude Code的人工智慧模型具備語意理解能力，能在一定程度上判斷程式碼邏輯與意圖，以協助找出潛在的安全疑慮。</p> <p>分析完成後，Claude Code會將檢測到的問題直接以註解方式標記在GitHub拉取請求畫面中，並附上風險說明與修正方向，方便審查人員即時查看與討論。開發者也可透過命令列工具，例如/security-review在本地或CI環境中執行程式碼檢查，作為拉取請求前的預防性步驟。</p> <p>此外，Claude Code支援自訂排除特定檢查範圍與調整過濾規則，協助團隊減少低風險或不相關的檢測結果，將資源集中於需要關注的部分。由於其採用語意分析架構，並未限定程式語言或開發框架，適用於多元技術堆疊的專案環境。</p> <p>Anthropic表示，該功能已於<a href="https://github.com/anthropics/claude-code-security-review">GitHub開源</a>，採MIT授權。開發者可依官方文件說明，將工作流程設定檔新增至專案並設定API金鑰，即可啟用功能。現有Claude Code用戶無需額外付費或額外申請流程，即可在開發流程中整合此工具。</p> </div></div></div>
2025/8/7 17:06作者李建興https://www.ithome.com.tw/news/170483
Android Studio升級導入Gemini代理模式與XR開發支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式<a href="https://android-developers.googleblog.com/2025/07/android-studio-narwhal-feature-drop-stable-agent-mode.html">發布</a>Android Studio Narwhal Feature Drop穩定版，核心更新圍繞人工智慧協作以及擴增與虛擬實境（XR）應用開發。此次Android Studio Narwhal功能更新，除了將Gemini人工智慧代理模式導入正式版外，也同步強化Kotlin編譯效率、UI預覽功能及Android裝置相容性，提供行動與跨裝置應用更具彈性的開發基礎。</p> <p>新版最大變化在於正式納入Gemini代理模式，可協助開發者處理複雜、多階段的開發任務，例如新增功能、產生單元測試或修復程式錯誤。開發者可於側邊欄開啟Gemini代理模式，描述目標後，人工智慧會主動拆解任務、規畫執行步驟，並結合IDE內建工具進行檔案操作及Gradle流程。</p> <p>整體流程維持開發者主導權，所有人工智慧建議均需人工審核與決策，可根據需求要求人工智慧反覆修正，強調人機協作及開發過程的可控性。</p> <p>目前免費版提供的Gemini模型，受限於較短的上下文長度，對於大型專案可能略顯不足。若需處理高複雜度或大規模程式碼，可設定自有Gemini API金鑰並切換至Gemini 2.5 Pro模型，享有100萬字元的上下文長度，更符合團隊協作及企業級專案需求。</p> <p>Narwhal此次也針對人工智慧互動導入Prompt Library Rules機制，讓開發團隊能事先定義專案標準，例如語言、架構、程式風格或輸出格式。這些規則不僅可套用於個人開發環境，也能同步至專案目錄，方便團隊維護一致性，降低溝通與協作的摩擦。</p> <p>Android Studio Narwhal新版本強化了對XR應用的支援，新版內嵌XR Android Emulator，開發者可在IDE內直接啟動模擬器，並以Embedded Layout Inspector檢視UI結構、最佳化效能，搭配Jetpack XR專案範本，開發者可快速啟動新專案並落實沉浸式體驗設計。</p> <p>Narwhal預設啟用K2 Kotlin編譯器，大幅提升Kotlin專案的建構速度與穩定性，並具備未來語言升級的彈性。考量Android裝置逐步導入16 KB記憶體分頁，本次更新加入分頁大小相容性檢查與Lint警示，協助開發者提前修正原生函式庫可能產生的問題，降低後續上架或硬體遷移的技術風險。</p> <p>Android Studio針對Google雲端服務的功能引入服務相容性政策，降低雲端服務變更對開發專案的影響，明定每個版本約有一年支援期，系統會於30天前提醒升級。</p> </div></div></div>
2025/8/8 08:47作者李建興https://www.ithome.com.tw/news/170485
【資安日報】8月7日，Linux惡意程式濫用身分驗證模組PAM隱匿行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近鎖定Linux作業系統的惡意軟體攻擊頻傳，其中有一起事故的揭露引起許多資安媒體關注，那就是後門程式Plague的活動，揭露此事的資安業者Nextron Systems指出，相關的惡意程式最早在一年前就出現，而且，對於攻擊者的身分，目前仍不得而知。</p> <p>而在漏洞揭露有關的消息，其中又以趨勢科技企業端點防護系統Apex One的重大漏洞相當值得留意，因為目前已有攻擊行動出現；另一個出現攻擊行動的重大漏洞，是存在於WordPress佈景主題Alone的CVE-2025-5394；此外，本週Adobe修補電子表單平臺AEM Forms零時差漏洞，用戶也要特別留意，因為相關資料在修補前已遭公布，而且，其中一個還是危險程度達到滿分的漏洞。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170475"><strong style="font-size: 22px;">後門程式Plague透過SSH入侵Linux伺服器，濫用身分驗證模組PAM匿蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-08-01-at-16_10_29-scaled.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-08-01-at-16_10_29-scaled.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Palo Alto Networks在最近揭露去年中國駭客CL-STA-0969攻擊西亞或中東國家電信產業的事故中，提到駭客藉由插入式身分驗證模組（Pluggable Authentication Module，PAM）框架實作後門，現在有另一家資安業者指出，駭客濫用前述的Linux作業系統身分驗證機制模組，使得打造出來的惡意程式能靜悄悄地繞過系統的身分驗證流程，並能建立持久的SSH存取管道。</p> <p>這支最新發現的Linux惡意程式稱為Plague，相關消息揭露後，多家資安新聞媒體紛紛報導此事。由於以PAM為基礎打造，使得Plague的活動行蹤相當隱密，最近一年以來，其實已有數個版本的Plague被上傳到惡意程式分析平臺VirusTotal，但幾乎沒有防毒引將其視為有害，這樣的情況引起資安業者Nextron Systems注意並介入調查，指出這是首度有人將PAM用於打造Linux惡意程式的攻擊行動。</p> <p>更令人驚恐的部分在於，Nextron Systems找到的Plague惡意程式檔案，最早約在一年前出現，這些檔案大部分從美國上傳至VirusTotal，但也有從中國上傳的檔案。</p> <p><a href="https://www.ithome.com.tw/news/170422"><strong style="font-size: 22px;">WordPress佈景主題Alone存在重大漏洞，已被用於實際攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blocked-attacks-WAF-842.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blocked-attacks-WAF-842.png" style="width: 300px; float: right;" /></a></p> <p>資訊安全公司Wordfence揭露，名為Alone的WordPress佈景主題存在重大安全漏洞CVE-2025-5394，並發現已有攻擊者利用該漏洞攻擊未修補的網站。該漏洞屬於9.8分的重大危險層級，能使未經授權的遠端攻擊者上傳惡意檔案，甚至執行遠端程式碼，最終導致網站被完全控制。Alone主題整體銷售量約9,000份，目前Wordfence已偵測到超過12萬次的相關攻擊嘗試。</p> <p>該漏洞最早由研究人員於5月通報，經驗證後確認屬實，Wordfence便隨即透過其防火牆規則提供防護。不過，攻擊者似乎早已掌握到原始碼變更，趕在開發團隊公開揭露之前，便展開大規模的入侵嘗試。</p> <p>攻擊者透過上傳藏有惡意後門的外掛檔案，植入具有網站管理員權限的帳號或執行後門程式，或是安裝網頁檔案管理工具，以便維持對網站的控制。Wordfence偵測的攻擊資料顯示，數個來自歐洲地區的IP位址特別活躍，其中單一IP位址就曾嘗試入侵超過3萬次，代表這類攻擊已高度自動化且大規模進行。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-ghost-calls-tactic-abuses-zoom-and-microsoft-teams-for-c2-operations/">協作及線上會議平臺遭到濫用，駭客以Zoom及Teams架設C2</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2025/08/06/google_salesforce_attacks/">針對去年的Snowflake供應鏈攻擊事故，駭客也從受害組織的Salesforce實體竊取資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/lazarus-hackers-use-fake-camera-microphone/">視訊鏡頭和麥克風存取通知也有假的！Lazarus用於從事社交工程攻擊，散布PyLangGhost RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/chollima-apt-group-targets-job-seekers-and-organizations/">北韓駭客鎖定軟體開發及IT領域的求職者而來，意圖透過JavaScript惡意軟體滲透美國企業組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/uac-0099-hackers-weaponize-hta-files/">UAC-0099鎖定烏克蘭軍方而來，透過HTA檔案散布惡意程式載入工具MatchBoil</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170467"><strong style="font-size: 22px;">趨勢科技企業端點防護軟體Apex One爆2項RCE漏洞，已發現攻擊行動</strong></a></p> <p>趨勢科技本周公告，企業端點安全產品Apex One產品發現2項重大遠端程式碼執行（RCE）漏洞，而且已經有攻擊行動，趨勢科技剛剛釋出暫時性緩解工具，供內部建置的用戶套用，並預計8月中旬發布正式修補程式。</p> <p>這些漏洞出現在此端點防護產品的管理主控臺，被登記為CVE-2025-54948和CVE-2025-54987，兩者皆為指令注入RCE漏洞，可讓遠端攻擊者不需經過驗證上傳惡意程式碼，在受害系統上執行指令，CVSS風險值都是9.4。趨勢科技指出，CVE-2025-54987和CVE-2025-54948基本上相同，差別是影響不同CPU架構的裝置。</p> <p>值得留意的是，漏洞利用存在先決條件，那就是攻擊者必須實際或遠端存取Apex One管理主控臺，因此，趨勢科技指出，假若用戶的管理主控臺能直接從網際網路存取，最好能限制存取或是暫時關閉來降低風險。</p> <p><a href="https://www.ithome.com.tw/news/170441"><strong style="font-size: 22px;">Adobe緊急修補電子表單平臺AEM Forms零時差漏洞</strong></a></p> <p>8月5日Adobe針對電子表單平臺Adobe Experience Manager Forms（AEM Forms）發布緊急修補，公告兩個資安漏洞，這些漏洞不僅危險，其中一個風險值更達到滿分，而且，相關細節在Adobe發布修補程式之前，就已經被公布，很有可能成為接下來歹徒利用的對象。因此，Adobe認為，雖然目前他們尚未發現漏洞遭到利用的跡象，但用戶應以最優先層級採取因應措施。</p> <p>這兩個漏洞是CVE-2025-54253、CVE-2025-54254，影響6.5.23之前版本的AEM Forms，其中最嚴重的是CVSS評分達到10分的CVE-2025-54253，此漏洞起因是組態不當，可被用於執行任意程式碼，一旦攻擊者成功利用，就有機會繞過安全機制並執行程式碼，而且，過程裡完全無需使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/170455"><strong style="font-size: 22px;">AI程式碼編輯器Cursor存在資安漏洞CurXecute，恐被用於提示注入攻擊</strong></a></p> <p>人工智慧（AI）的整合搭配，對於軟體開發生產力的提升，扮演的角色越來越重要，一旦存在相關漏洞，就有可能讓開發者在編寫程式碼的過程裡，帶入攻擊者的惡意內容，或是進一步對開發環境上下其手。</p> <p>例如，最近資安業者Aim Security揭露的高風險漏洞CurXecute，就是這種型態的例子。這個漏洞出現在AI整合式開發環境（IDE）Cursor，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.6。他們向Cursor開發團隊通報此事，Cursor於7月8日發布1.3.9版修補，並將漏洞登記為CVE-2025-54135列管。</p> <p>Aim Security認為，CurXecute發生的原因牽涉三種層面，分別是MCP自動執行的機制、即時建議的編輯內容，以及提示注入引發RCE的途徑。由於只要發現~/.cursor/mcp.json出現新的內容，Cursor就會在沒有使用者確認的情況下執行，再加上代理程式建議修改mcp.json的內容已存放於磁碟，即便使用者否決還是會照樣執行，因此攻擊者只要透過Slack等MCP支援的外部平臺注入惡意資料，就有機會操控Cursor的AI代理程式，從而執行任意命令。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170465"><strong style="font-size: 22px;">趨勢科技在黑帽大會展現AI資安創新，虛擬紅藍隊為主要焦點，另強調重視資料安全與Agentic SIEM的發展</strong></a></p> <p>【拉斯維加斯直擊】關於生成式AI對網路安全的影響，許多人首先會聯想到的是，攻擊者可藉由AI工具與AI代理技術，擴大攻擊規模並提升資安風險。然而，AI同時也正在賦能防禦者，可使每位資安從業者都能擁有自己的AI代理，有效提升防禦效率。</p> <p>特別的是，在今年黑帽大會（Black Hat USA 2025）活動的AI Summit研討會上，趨勢科技揭露AI資安最新進展與觀察，他們認為，AI不僅正在重新定義防禦方式，讓我們從被動因應轉向可預測攻擊的主動防禦，同時，AI也正在引領資安典範的轉型，從被動轉向主動的風險模擬。</p> <p>此外，趨勢科技也指出AI時代需要新的資料安全方案，以及AI代理促進了Agentic SIEM的演進。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170464"><strong>【8月6日】時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月5日】國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> </div></div></div>
2025/8/7 18:04作者周峻佑https://www.ithome.com.tw/news/170484
微軟公布惡意程式逆向工程AI代理人Project Ire原型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/blog/project-ire-autonomously-identifies-malware-at-scale/" target="_blank">微軟本周公布</a>惡意軟體分類AI代理人系統Project Ire原型。</p> <p><a href="https://www.microsoft.com/en-us/research/project/project-ire/" target="_blank">Project Ire</a>是源自微軟研究院、Microsoft Defender Research、以及Microsoft Discovery& Quantum三個單位的合作計畫，整合安全、操作知識和全球惡意程式遙測（telemetry）及AI的研究，旨在克服惡意程式研究困難且耗時的挑戰，透過代理式AI自動執行完全逆向工程流程，達到大規模、快速、一致性的惡意程式分類。</p> <p>微軟解釋，和資安其他AI應用不同，惡意軟體分類欠缺可運算的檢驗機制，AI必須在沒有明確驗證情況下下判斷，例如軟體許多行為，像是逆向工程防護機制都沒有清楚說明這個程式是良性或惡意的。這使得樣本研究必須逐步累積證據，這個過程既複雜且曠日廢時，也讓分析難以自動化或大規模執行。</p> <p>為解決上述問題，Project Ire的目的在以自動系統運用專門工具進行軟體（包括惡意程式）逆向工程。技術基礎方面，該系統實行多層次推理，從低階二進位檔分析、控制流重建到高階程式碼行為的解譯等。此外它透過API使用內外部工具來協助了解檔案，像是微軟以Project Freta為基礎的記憶體分析沙箱工具、客製工具和開源工具、文件搜尋，以及多種反編譯器（decompiler）等。</p> <p>軟體評估的過程如下。首先是以自動逆向工程工具根據檔案型態、架構等來分類，其次，系統利用angr或Ghidra等框架重建軟體控制流，建立圖表。最後Project Ire的記憶體模型根據流程圖表分析，後者即透過反覆功能分析，以API呼叫工具協助判讀，總結關鍵功能產出報告。每次分析結果都會加入「證據鏈」（chain of evidence），這些詳細紀錄說明將可支援安全團隊次級複檢，而若有誤分類情形也當成系統回饋協助改進。</p> <p>Project Ire也可以呼叫驗證工具交叉比對報告和證據鏈以檢查其發現，最後完成惡意或良性程式樣本分類的正式報告。</p> <p>在測試階段，研究團隊以Project Ire運用公開Windows驅動程式資料集執行測試，正確辨識出90%的惡意程式，僅有2%被誤判為惡性，精準度達0.98、召回率為0.83。其低誤判率顯示有潛力部署於實際安全場景。</p> <p>微軟說Project Ire是該公司第一個能撰寫定罪案例的逆向工程師。微軟並將Project Ire用來分析真實環境近4,000個難以分類、無法被現有自動化工具辨識的高難度檔案。Project Ire完全自動運作，雖然效能還不高，但準確率（Precision）達0.89，召回率（Recall）為0.26，誤判率（False Positive Rate）僅4%。</p> <p>微軟說，依據Project Ire的初步表現，其原型之後會用於Defender部門作為二進位檔分析。微軟計畫提升該系統的速度和準確率，使其準確分類任何來源的檔案，最終希望它能直接偵測到記憶體內的新式惡意程式。</p> </div></div></div>
2025/8/7 16:31作者林妍溱https://www.ithome.com.tw/news/170481
Apache Flink 2.1加入AI模型管理與即時推論功能，升級資料串流處理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源串流處理框架Apache Flink官方正式<a href="https://flink.apache.org/2025/07/31/apache-flink-2.1.0-ushers-in-a-new-era-of-unified-real-time-data--ai-with-comprehensive-upgrades/">發表</a>2.1版，此次更新強化人工智慧與資料流整合能力，並進一步提升串流處理平臺的技術深度與彈性。新版本由全球116名貢獻者協力完成，共實作16項FLIP，修正超過220個議題，這反映出Flink社群的穩定發展與活躍。</p> <p>Flink 2.1最重要的技術升級，是於資料流平臺中直接納入人工智慧模型管理機制。新版允許開發者透過Flink SQL及Table API定義與維護人工智慧模型，支援以程式碼或SQL指令方式註冊、設定並呼叫模型，減少跨平臺整合的技術障礙，例如企業可將OpenAI等主流模型服務註冊於Flink執行環境，將即時資料串流導入人工智慧推論，即時整合資料取得與推論。</p> <p>在即時推論功能上，Flink 2.1進一步擴充ML_PREDICT表格數值函式，讓開發者能於SQL查詢階段，直接呼叫人工智慧模型對串流資料進行推論。此設計降低了將資料流接入外部推論服務的複雜度，並可根據不同資料來源與應用場景進行彈性設定，提升串流處理架構下，人工智慧應用的即時性與可維運性。</p> <p>此次更新針對半結構化資料處理需求，加入VARIANT型別，允許系統以更靈活方式儲存及查詢JSON等多層結構資料，並透過PARSE_JSON函式實現字串至VARIANT的轉換。對於需支援湖倉架構如Apache Paimon的開發者而言，該設計有助於降低異質資料整合的技術門檻。</p> <p>此外，Flink 2.1開放於CREATE TABLE DDL階段宣告自訂結構型別，簡化資料表與業務物件間的型別映射過程。Process Table Function（PTF）也於本次正式納入，開發者可依據業務邏輯設計自訂函式，利用Flink內建狀態管理、事件時間與計時器等機制，增強SQL在串流處理領域的應用範圍。</p> <p>針對大規模串流處理實務場景，Flink 2.1在JOIN機制進行多項最佳化。DeltaJoin設計有效減少狀態數量，有助於改善檢查點延遲與系統資源消耗。StreamingMultiJoinOperator則可將多個連續JOIN合併執行，降低中介狀態儲存需求，進一步提升整體處理效能。</p> <p>非同步Lookup Join最佳化後，可於允許無序輸出模式下提升資料流吞吐量。對於採用部分更新寫入的資料湖場景，新版規畫Sink Reuse自動合併相同欄位目標的INSERT INTO操作，簡化維運工作。</p> </div></div></div>
2025/8/7 16:57作者李建興https://www.ithome.com.tw/news/170480
後門程式Plague透過SSH入侵Linux伺服器，濫用身分驗證模組PAM匿蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks在最近揭露去年<a href="https://www.ithome.com.tw/news/170407">中國駭客CL-STA-0969攻擊西亞或中東國家電信產業</a>的事故中，提到駭客藉由插入式身分驗證模組（Pluggable Authentication Module，PAM）框架實作後門，現在有另一家資安業者指出，<a href="https://www.nextron-systems.com/2025/08/01/plague-a-newly-discovered-pam-based-backdoor-for-linux/">駭客濫用Linux作業系統的身分驗證機制模組</a>，使得打造出來的惡意程式能靜悄悄地繞過系統的身分驗證流程，並能建立持久的SSH存取管道。</p> <p>最近一款名為Plague的後門程式引起資安圈的注意，多家資安新聞媒體紛紛報導此事。駭客以PAM為基礎打造，使得該惡意程式的行蹤相當隱密，最近一年有數個版本被上傳到惡意程式分析平臺VirusTotal，但幾乎沒有防毒引將其視為有害，這樣的情況引起資安業者Nextron Systems注意並介入調查，指出這是首度有人將PAM用於打造Linux惡意程式的攻擊行動。</p> <p>PAM是將多種低階身分驗證機制整合到API的模組，最早由Sun Microsystems於1995年提出，目的是讓需要通過驗證的應用程式只需透過API，就能使用各種驗證方法，而無須實作低階的驗證功能。因此在Linux環境裡，管理者可利用PAM決定應用程式進行驗證的方法，從而強化此作業系統的驗證彈性及安全。</p> <p>然而，由於Plague深度整合到PAM的身分驗證堆疊，不僅在系統更新之後不會受到影響，而且幾乎沒有留下任何活動的跡象，再加上駭客採取多層混淆機制，以及竄改環境變數，使得一般的資安工具難以偵測此惡意程式的存在。</p> <p>Nextron Systems找到的惡意程式檔案最早約在一年前出現，這些檔案大部分從美國上傳至VirusTotal，但也有從中國上傳的檔案。對於攻擊者的身分，該公司表示目前仍不清楚，但駭客在部分檔案留下了1995年電影《網路駭客（Hacker）》臺詞作為彩蛋，可能想要表明自己相當高深莫測。</p> <p>究竟這後門程式有那些功能？Nextron Systems提及主要有4種，分別是阻礙分析及逆向工程的Antidebug，以及保護敏感字串及組態來干擾分析的字串混淆功能，再者，該後門具備能用入侵的靜態密碼，以及抹除駭客行蹤的「隱藏連線階段元件（Hidden Session Artifacts）」。</p> <p>駭客濫用Linux作業系統內建的元件來迴避偵測的情況，已有前例，例如，今年4月資安業者Armo揭露的Rootkit攻擊手法，就是<a href="https://www.ithome.com.tw/news/168650">利用名為io_uring高效能非同步I/O核心API</a>，從而繞過防毒軟體、EDR等端點防護系統偵測。</p> </div></div></div>
2025/8/7 15:04作者周峻佑https://www.ithome.com.tw/news/170475
Google的AI程式代理人Jules正式版出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/google-labs/jules-now-available/" target="_blank">Google周三（8/6）宣布</a>，AI程式代理人Jules正式脫離測試階段，全面開放基於Gemini 2.5 Pro的Jules工具。</p> <p>Google是在去年12月透過Google Labs首度展示Jules，宣稱這是個真正的程式代理人，不只是副手或協助完成程式碼的助手，而是一個能夠讀懂開發人員的程式碼，理解開發人員的意圖，並開始作業的自主代理人。<a href="https://blog.google/technology/google-labs/jules/" target="_blank">Jules在今年5月邁入公開測試</a>。</p> <p>在實作上，Jules會將程式碼複製到一個安全的Google Cloud VM中，在理解整個專案的脈絡後可撰寫測試程式，建立新功能，提供語音版的變更紀錄，修補臭蟲，以及更新相依套件版本，它是以非同步方式運作，意味著它在執行任務時，開發人員仍可繼續進行其它工作。</p> <p>Google指出，被歸類為代理式開發（Agentic Development）的Jules具備最先進的程式推理能力，再搭配雲端VM架構，將使它得以精準且快速處理跨檔案的複雜任務及多重的並行請求。</p> <p>根據Google的統計，有成千上萬名開發人員在測試Jules期間執行了數以萬計的任務，並公開分享了超過14萬項的程式碼改善，這些回饋意見讓Google改善其使用者介面，解決了數百個臭蟲，還推出了新功能，包括重新使用過去的設定以加速新任務的執行，直接整合至GitHub工作流程，以及新增對多模態的支援等。</p> <p><a href="https://jules.google/docs/usage-limits/" target="_blank">開發人員只要登入Google帳號就能使用免費版的Jules</a>，每日最多可執行15個任務與3項並行任務；付費方案則有每月19.99美元的Google AI Pro或是每月124.99美元的Google AI Ultra，前者每天可處理100個任務及同時最多15項並行任務，後者每天可處理300個任務及同時60個並行任務。</p> </div></div></div>
2025/8/7 16:09作者陳曉莉https://www.ithome.com.tw/news/170479
OpenAI讓美國政府機關一年只要支付1美元就能使用ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI for Government與美國總務管理局（U.S. General Services Administration，GSA）<a href="https://openai.com/index/providing-chatgpt-to-the-entire-us-federal-workforce/" target="_blank">周三（8/6）宣布建立新的合作關係</a>，自明年起，美國每個聯邦機構都能以1美元的年費使用ChatGPT Enterprise，幾乎等於免費提供，但為期僅一年。若包含所有行政單位、獨立機構及附屬辦公室，估計約有400個聯邦機構受惠。</p> <p>ChatGPT Enterprise是OpenAI專為企業與機構推出的進階版ChatGPT，強調安全性、可管理性與高效能。它支援最強的模型，無使用上限或速率限制，支援32k個Token的輸入長度，提供進階資料分析與客製化GPT；此外，它符合安全/隱私/機密等合規標準，支援單一登入及用戶管理，承諾不使用組織資料來訓練模型；可集中管理使用者並自訂知識庫。OpenAI並未公布ChatGPT Enterprise的固定價格，但根據媒體報導，ChatGPT Enterprise每名使用者的每月費率約落在60~100美元之間。</p> <p><a href="https://www.gsa.gov/about-us/newsroom/news-releases/gsa-announces-new-partnership-with-openai-delivering-deep-discount-to-chatgpt-08062025" target="_blank">GSA表示</a>，該合作直接支持白宮所提出的<a href="https://www.ithome.com.tw/news/170242" target="_blank">AI Action Plan</a>，反映出GSA與OpenAI對實現政府運作現代化、支援聯邦雇員以及替美國納稅人提供更好服務的共同承諾。</p> <p>除了每個參與的聯邦機構都能以象徵性的1美元存取ChatGPT Enterprise之外，還有額外60天的時間能夠無限制地使用各種進階功能，像是深度研究或先進語音模式。OpenAI也會提供客製化的培訓平臺及引導式學習，等於是替這些公務人員進行AI教育訓練。</p> <p>市場分析認為，若有大量的美國政府機構採用了ChatGPT Enterprise，等於是替OpenAI背書，可成為其它國家的借鏡；橫跨數百個機構、承載不同任務的美國聯邦政府，將替OpenAI帶來更多元的應用場景及使用者行為資料，協助OpenAI改善服務；亦可望奠定公部門市場的領導地位，或是對未來的公部門合約有所幫助。</p> </div></div></div>
2025/8/7 15:10作者陳曉莉https://www.ithome.com.tw/news/170476
從臺日集團合併到赴美上市，關鍵評論網IT成溝通與法遵推手
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業出海，甚至上市，對營運、財務都將帶來翻天覆地的變化。服務內容、財務管理、法規遵循，無不使企業上下需要快速適應。TNL Mediagene（關鍵評論網媒體集團）技術長李致緯，則在短短2年間，深刻體會到公司快速成長時，技術上如何經歷一系列劇烈適應。</p> <p>2022年，李致緯將旗下食譜網站愛料理（iCook）賣到關鍵評論網集團後，也加入集團擔任技術長。隔年，集團隨即和日本媒體集團Mediagene合併，後於2024年上市。短短兩年間從擔任一間中小型媒體的CTO，一路當上臺日30多間旗下事業的美國上市集團CTO，李致緯說，他必須面對兩大轉變，及衍生出的挑戰。</p> <p>首先是業態轉變。他從單純媒體業務及小型電商，延伸到行銷科技、廣告聯播網等更多元的商業模式。另一轉變則是與日本企業合併後，必須接觸更多產品線，還要跨越語言、文化、技術上的隔閡。</p> <p>這兩大轉變，帶來人才招募、技術整合，以及將IT決策對齊跨國集團商業邏輯等挑戰。第一是人才招募挑戰。李致緯觀察，軟體開發在日本非熱門職業。自身是內容媒體而非純科技公司，更使集團在日本和臺灣招募、培育並留住人才都是至今難解之題。</p> <p>第二個挑戰是技術整合。李致緯需要快速熟悉其他業態的技術，以及日本方的技術和IT架構，才能帶領不同子公司，以及主導兩家集團合併。</p> <p>李致緯回憶，從愛料理加入關鍵評論網時，兩者同為媒體，技術整合相對簡單，只需將前者App開發與電商應用等強項帶入集團，來發揮媒體品牌資源共享的綜效。不過隨著集團擴大，李致緯還需要快速熟悉集團內數位行銷子公司的行銷科技技術領域，包括數位行銷技術、超大規模數據處理、聯播網流量管理等。</p> <p>不同於原本小型品牌的B2C產品開發，集團的B2B Martech服務，開發模式需要顧及SLA/SLO水準維護、法規與資料處理合規做法、大規模成本與效能管理等。集團工作模式對應不同商業模式，使李致緯需要謹慎拿捏不同開發團隊的編制方法、開發彈性及責任歸屬。</p> <p>與日本企業合併後，他們還需要面臨更多異質系統與IT架構，並整合重複功能團隊。</p> <p>李致緯說，日本團隊導入許多SaaS服務，包括ERP、CRM、簽核，以及各式各樣營運用系統，且使用非常熟練，臺灣團隊需要快速跟進，一同使用SaaS服務。這過程中，即面臨不少問題。</p> <p>舉例來說，日本方導入SaaS工具時流程非常嚴謹。同款服務，臺灣方習慣兩、三個月就完成導入，日本方得花上一年評估。整併時，需要妥善溝通臺日雙方習慣和決策，否則容易讓其中一方感到難以適應。</p> <p>技術整合另一個問題是，有些臺日端都有使用的商業軟體或雲端服務，廠商無法由單一窗口，即時提供臺日團隊技術支援。TNL Mediagene常需要將使用該服務的開發團隊，也集中在臺灣或日本其中一方，而無法跨國合作。「這也使我們找未來技術廠商時，更重視跨國支援能力。」李致緯補充。</p> <p>第三個李致緯面臨的挑戰是，集團成為跨國上市公司後，IT決策必須對齊商業邏輯及監管規範，決策變得更加複雜，需要更加嚴謹。</p> <p>作為集團CTO，如何率領IT對齊集團商業目標及監管法規？李致緯也要用技術來實現這個管理目標。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>靠打造統一數據平臺，用資料培養員工商業意識</strong></span></span></p> <p>李致緯商業面職責包括主導跨國IT資源管理與整合，例如整合雲供應商、與廠商談判價格等。同時，負責與其他部門一級主管協作、溝通，包括產品、行銷、財會等，釐清技術如何和集團商業需求對齊。</p> <p>不只與其他部門溝通，他也向IT部門上下，溝通技術背後的商業價值。</p> <p>李致緯指出：「目前表現較傑出的團隊，成員都對於業績和市場價值更加敏感。」他希望，從各階主管到基層員工，都能感受到商業價值的重要性，並以公司成長的角度，來主動設定自己工作內容與方向。</p> <p>強化員工商業意識的關鍵做法是，可以建立橫跨臺日兩端的企業數據平臺。「要感受到商業價值，首先要先看得到數字。」李致緯說，他們會將許多數據分享給公司上下，目的是促使所有人具體感受到商業數據的變化。</p> <p>舉例來說，就連實習生，都可以看到自家與外部電商合作導購專案的相關商業數據。他鼓勵員工用這些數據，作為調整工作內容，或實驗不同做法的具體依據。</p> <p>TNL Mediagene旗下光是媒體品牌就有22個，一個品牌還有多個通路，包括網站、Youtube、Podcast、Tiktok、社群媒體等，都有互動、業務、使用者等不同面向資料，集團另有電商、Martech、市調、傳播等其他子公司的業務資料，需整合的資料來源多不勝數。</p> <p>2023年初，他們以自家旗下Martech公司的數據平臺產品為基礎，打造出集團內部數據平臺，開始逐步整合這些數據來源，以及部分外部數據來源。2年間，增加資料來源同時，也不斷根據臺日雙方語言和資料定義差異，來校正資料誤差。</p> <p>李致緯希望，透過統一的數據平臺，能更方便對公司上下溝通商業相關數據、降低員工能自主存取所需數據的成本、提升高層用數據來輔助決策的效率，同時降低應用數據時人為輸入錯誤的風險。這些資料用法除了作為日常工作參考，更會直接用於自家廣告聯播網的廣告投放等實際商業活動。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>上市監管需求衝擊IT，下一步要打造內部法遵平臺</strong></span></span></p> <p>不只IT決策要以商業價值為導向，在美國上市，意味著李致緯更要讓集團商業活動可追蹤、可量化。</p> <p>李致緯說，美國對外國公司的財務真實性和可驗證性要求極高，規定所有財務、金流、操作紀錄系統需彼此串聯且可追蹤。</p> <p>舉例來說，需能查到每一張發票對應金流紀錄、廣告點擊紀錄，甚至是某位用戶的訂閱記錄、操作過程等。這意味著，多套系統需要大幅加強記錄與追溯機制。</p> <p>不只公司每筆財務進出，都要有完整來龍去脈。連軟體開發過程，都深受監管機制影響。「監管單位會抽查Git的某個Commit。誰決定這樣做、審核流程是什麼，我們都得報告。」李致緯說。</p> <p>這種高強度的監管下，不只需要在許多系統加入大量審計和紀錄機制，還需要調整開發制度。舉例來說，針對審計需求高的系統及管制較鬆的系統，制定不同開發流程。前者必須從產品發想、設計，到開發、維運，都加入審計與合規做法。</p> <p>工程師需要學會與財會、法務、審計部門溝通，來設計出利於配合審查的產品與開發流程。PM也需要學習，如何描述系統機制與資料邏輯，讓審計人員能理解。</p> <p>同時，他們內部開始應用更多雲原生工具，因為大型雲端業者提供的服務，大多已經符合常見資安和審計標準。出於相同考量，他們近一年還開始將部分開源軟體，改用大型CSP的版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1246-CTO-600-JPG.jpg" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造沙盒環境，顧及監管及穩定性需求同時維持創新動能</strong></span></span></p> <p>在愛料理時期，李致緯非常喜歡實驗新科技，來探索創新做法。不過，在跨國上市集團，如何維持上市企業規格的IT穩定性、顧及法遵與審計需求，又能嘗試創新，成為重要課題。</p> <p>揹著跨國上市集團的包袱，「核心系統不可能快速改動。」李致緯說：「但必需打造環境，讓創新的動能得以發揮。」</p> <p>李致緯做法是，將系統架構劃分為穩定區和實驗區，前者用來執行高穩定要求的核心系統，後者則是沙盒環境，容許實驗較為創新但不穩定的專案。</p> <p>例如，他們近月與電商進行導購合作，嘗試透過媒體內容行銷，來促使讀者消費。在沙盒區，他們便能快速實驗各種資料模型和追蹤邏輯，來分析多媒體品牌的資料與電商銷售資料，以嘗試歸因行銷成效、優化行銷方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造內部平臺，來促成資訊互通</strong></span></span></p> <p>關鍵評論網與Mediagene集團整併後，如何促成從臺灣到日本、從一級主管到實習生、從財會到IT部門，都能共享所需資訊，是李致緯作為集團技術長的重要課題。</p> <p>李致緯習慣做法是打造內部平臺，來作為對應用途所需資料的單一資料來源（Single source of truth）。例如先前提及的企業數據平臺，從2023年初上線，年底開始加入日本端資料，至今仍在持續收錄更多企業資料。</p> <p>隨著資料量增加，他們還發現臺灣和日本雙方語言和資料定義差異，會造成資料誤差或認知歧異，於是開始校正既有資料。</p> <p>為了臺灣與日本的編輯人員可以共同管理、交流、翻譯媒體素材和內容，他們還打造出用於跨語系媒體經營的平臺Potluck。</p> <p>運用Potluck上一系列AI工具，TNL Mediagene已經開始將日本方兩款雜誌，利用生成式AI翻譯、改寫、編輯成中文內容，以打入臺灣市場。李致緯說，有AI協助，編輯翻譯和改寫外語文章的效率大幅提升。從1至2小時完成一篇，降至1小時可以完成數篇。</p> <p>他們也預計將此平臺用於共享採訪素材等媒體資源，來降低產製內容時的跨國溝通成本。李致緯舉例，只要集團內單個品牌的編輯前往大型活動，再上傳所有蒐集到的素材到平臺。可供臺日辦公室其他編輯，根據媒體及地區特性，自行取用素材來撰文。</p> <p>未來，李致緯還計畫利用打造平臺的方式，來解決其他集團需求。其中一個重要需求，是公司接受監管機關時的大量資料撈取。目前，面臨審計需求時，他們仍需從多個系統手動撈取資料。</p> <p>不過，李致緯認為審計需求未來會只增不減，因而計畫打造即時、集中化的合規平臺，讓財會、法務、技術部門能共享相關資料，減少一一手動查找、串聯資料的需求。</p> <p>李致緯說：「上市伴隨而來的資料合規需求不是CTO一個人能解決，必須促成多個部門從基層到高層緊密合作，才能因應。」打造平臺來促成內部合作與資訊流通的模式，也體現出他身為集團CTO的使命：用科技來大力支援媒體經營、商業發展、內部溝通及上市合規等重要事務。文⊙郭又華</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>TNL Mediagene技術長李致緯</strong></p> <p>學歷：政治大學資訊科學系學士</p> <p>經歷：共同創辦兩家媒體公司Inside和iCook，擔任技術長。相繼出售兩間媒體到關鍵評論網後，也加入擔任集團技術長。公司作為TNL Mediagene合併、上市後，管理30多間子公司IT業務及支援集團上市的IT面事務</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1246-CTO-600-2.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>TNL Mediagene關鍵評論網媒體集團</strong></p> <p>●成立時間：前身關鍵評論網成立於2013年，2023年則由關鍵評論網和日本Mediagene合併成TNL Mediagene</p> <p>●員工人數：約500人</p> <p>●董事長：Marcus Brauchli</p> <p>●執行長：鍾子偉</p> <p>●營收：約14億元</p> <p>●主要業務：旗下擁有多個日文、中文與英文的原創與授權媒體品牌，內容主題橫跨新聞、商業、科技、科學、美食、運動與生活風格等領域。傳播類服務包括廣告服務、行銷科技平臺、電子商務與創新解決方案等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●2013年：推出網路平臺「關鍵評論網」，以中英雙語報導與評論為主要內容</p> <p>●2018年：併購科技媒體「INSIDE」；接手體育社群平臺「運動視界」</p> <p>●2019年：併購科技與生活風格媒體</p> <p>●2022年：收購食譜平臺「愛料理」</p> <p>●2023年：關鍵評論網媒體集團與日本Mediagene正式合併，成立跨國集團 TNL Mediagene；宣布進軍東南亞與歐美市場</p> <p>●2024年：在美國NASDAQ上市</p> <p>●2025年：整併旗下臺灣2間媒體品牌至旗下「Roomie國際中文版」品牌</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1246-cto-960.jpg" width="960" height="420" alt="" title="TNL Mediagene技術長李致緯" /></div></div></div>
2025/8/7 12:00作者郭又華https://www.ithome.com.tw/people/170430
OpenAI最新開放權重模型登上Windows 11 PC、AWS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI最新開放權重模型gpt-oss系列除了原本的Hugging Face外，並新增Windows邊緣開發平臺及AWS二個新通路。</p> <p><a href="https://www.ithome.com.tw/news/170433" target="_blank">OpenAI昨日公布的</a>gpt-oss-120b和gpt-oss-20b為GPT-2推出6年後首個開放權重的基礎語言模型，其中gpt-oss-120b是該公司最強大的開放權重模型，適合單一H100 GPU平臺。gpt-oss-20b適合低延遲性應用，甚至可在消費型筆電上執行。</p> <p>兩款模型是OpenAI回應美國業界及政府對其開源研發成果，以促進美國AI應用普及、進而對抗中國競爭的期望。OpenAI表示，開放模型允許政府或講求資料安全的組織自建模型及AI應用。</p> <p>相應於普及推廣的策略方向，gpt-oss模型也分別首次在微軟平臺以及Amazon Web Services（AWS）上架。<a href="https://azure.microsoft.com/en-us/blog/openais-open%e2%80%91source-model-gpt%e2%80%91oss-on-azure-ai-foundry-and-windows-ai-foundry/" target="_blank">微軟宣布</a>，新模型將在Azure AI Foundry及Windows AI Foundry提供給開發人員。其中Windows AI Foundry允許開發人員將開源碼模型執行在邊緣裝置的AI平臺，聲稱可支援在Windows平臺上的低延遲性本地AI部署。</p> <p><a href="https://www.ithome.com.tw/news/169045" target="_blank">微軟今年5月宣布</a>Windows AI Foundry，它將微軟模型目錄Foundry Local整合到Windows 11中，用以管理和執行開源LLM，也能整合第三方的模型目錄如Ollama和Nvidia NIM以便在本地App中使用、測試模型、或與模型互動。微軟說，這是OpenAI模型（即gpt-oss-120b及gpt-oss-20b）首次能在本地模型執行。</p> <p>另一方面，<a href="https://www.aboutamazon.com/news/aws/openai-models-amazon-bedrock-sagemaker" target="_blank">AWS本周宣布</a>，gpt-oss-120b及gpt-oss-20b首度Amazon Bedrock和Amazon SageMaker AI上架。開發人員可在Amazon Bedrock平臺上執行以API呼叫gpt-oss模型，也可以在機器學習平臺Amazon SageMaker AI上訓練或客製、微調模型。</p> <p>AWS宣稱，OpenAI二個開放模型的Bedrock平臺上的效能價格比，是同等規模的Gemini模型的10倍，DeepSeek R1的18倍及OpenAI o4的7倍。</p> <p>AWS也是OpenAI在微軟之外，尋求的最新雲端合作夥伴。在此之前是甲骨文；<a href="https://blogs.oracle.com/integration/post/new-adapters-and-connectivity-enhancements-in-oracle-integration-2506" target="_blank">6月甲骨文宣布</a>新服務OpenAI Adapter，使企業可在Oracle Integration Cloud中使用OpenAI Adapter呼叫OpenAI模型。</p> </div></div></div>
2025/8/7 12:38作者林妍溱https://www.ithome.com.tw/news/170474
蘋果在美投資總額擴大至6,000億美元，要在美國建置端至端晶片供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/167536" target="_blank">繼於今年2月宣布</a>要在未來4年於美國投入5,000億美元之後，蘋果周三（8/6）<a href="https://www.apple.com/newsroom/2025/08/apple-increases-us-commitment-to-600-billion-usd-announces-ambitious-program/" target="_blank">揭露了「美國製造計畫」</a>（American Manufacturing Program），表示要將投資金額擴大至6,000億美元，於美國建置端至端的晶片供應鏈，且將iPhone與Apple Watch上的玻璃蓋板<a href="https://www.apple.com/newsroom/2025/08/apple-corning-to-manufacture-all-iphone-apple-watch-cover-glass-in-kentucky/" target="_blank">全數移回美國製造</a>。美國總統川普（Donald Trump）與蘋果執行長庫克（Tim Cook）<a href="https://www.youtube.com/watch?v=J6SK7lotKZQ" target="_blank">還共同召開了記者會</a>（並說美國將對進口晶片與半導體徵收100%的關稅，除非它們在美國建廠與投資。</p> <p>蘋果新提出的美國製造計畫將與10家業者結盟，以生產蘋果產品所需的元件，包括生產玻璃蓋板的康寧（Corning）、生產Face ID所需元件的Coherent、晶圓供應商GlobalWafers America、半導體設備供應商Applied Materials、德州儀器（Texas Instruments）、三星、晶圓代工業者GlobalFoundries、封裝及測試業者Amkor、博通Broadcom及稀土生產商MP Materials。</p> <p>庫克說，蘋果正在美國本地建置端到端的晶片供應鏈，從設計、設備製造、晶圓生產、晶片製造，再到封裝，將更多先進製程帶到美國，光是在2025年，美國製造商便預計會在24個工廠中為蘋果生產190億顆晶片。</p> <p>今年7月蘋果已與MP Materials簽署5億美元的<a href="https://www.ithome.com.tw/news/170080" target="_blank">合作協議</a>，共同於加州的Mountain Pass工廠建立一條尖端的稀土回收線，並承諾要購買MP Materials在美國製造的稀土磁鐵。</p> <p>本周蘋果再擴大與Corning的合作，承諾要以25億美元購買Corning於肯德基州Harrodsburg工廠所生產的玻璃蓋板，讓iPhone與Apple Watch上的玻璃蓋板100%來自美國製造。</p> <p>根據蘋果的統計，6,000億美元的本土投資推動該公司與美國的數千家供應商合作，提供45萬個工作機會，且蘋果也會在未來4年於美國招聘2萬名員工，且絕大多數都將專注於研發、晶圓工程、軟體開發、AI及機器學習等領域。</p> <p>川普則持續呼籲所有的製造業都應回到美國，並表示保證會對所有進口至美國晶片及半導體徵收100%的關稅，除非業者是在美國本土建廠，即使仍處於建廠階段，還沒量產或尚未創造大量就業機會，只要是在建設中，就不會被課稅；但如果最後沒有完成建廠，那麼美國將會追究先前應繳的關稅。</p> <p>多數分析師認為這是蘋果向川普示好的政策調整，有助於蘋果未來的發展，當天蘋果股價一反先前的停滯狀態，上漲5.09%，以213.25美元作收。</p> </div></div></div>
2025/8/7 11:46作者陳曉莉https://www.ithome.com.tw/news/170472
Google擴大全球教育布局，AI工具Gemini與NotebookLM全面開放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google企圖將AI從消費者及企業推廣至教育界，先是<a href="https://workspaceupdates.googleblog.com/2025/08/notebooklm-is-now-available-to-all.html" target="_blank">在周一（8/4）宣布</a>讓所有Google Workspace for Education用戶都能使用NotebookLM ，<a href="https://blog.google/products/gemini/google-ai-pro-students-learning/" target="_blank">周三（8/6）開放</a>美國及日本等特定國家18歲以上的學生免費註冊一年的Google AI Pro方案，同時在Gemini中推出了<a href="https://blog.google/outreach-initiatives/education/guided-learning/" target="_blank">Guided Learning模式</a>，以協助學生學習。</p> <p>NotebookLM為Google所開發的AI輔助筆記與學習工具，它讓使用者可上傳筆記、講義、PDF或Google文件等內容，再根據這些內容建立模型以回答基於相關內容的問題，也能生成摘要、筆記或練習題，支援包括中文在內的逾80種語言。先前NotebookLM一直採用邀請制，而且還有地區上的限制，本周則全面開放給全球所有Google Workspace for Education用戶使用，涵蓋Education Fundamentals、Standard或Plus方案。</p> <p>此外，<a href="https://support.google.com/googleone/answer/16417758#aip_student_trial_availability&zippy=%2Clist-of-countries-regions-where-the-google-ai-pro-student-trial-is-available" target="_blank">Google周三開放</a>7個國家、年滿18歲以上的學生或居民可以免費註冊一年的Google AI Pro服務，涵蓋美國、墨西哥、巴西、印度、印尼、日本及南韓。</p> <p>Google AI提供Google AI Pro及Google AI Ultra2<a href="https://one.google.com/about/google-ai-plans/?utm_source=chatgpt.com" target="_blank">兩種訂閱方案</a>，前者的月費為19.99美元，有2TB的儲存空間，可使用Gemini模型、AI電影制作工具Flow4、圖片轉影片工具Whisk、NotebookLM、AI程式碼工具Jules、Gemini版的Gmail與Google文件等服務，以及Gemini版的Chrome瀏覽器。</p> <p>至於在Gemini模型中推出的Guided Learning則是類似OpenAI日前才發表的<a href="https://www.ithome.com.tw/news/170315" target="_blank">ChatGPT Study Mode</a>。Guided Learning建立在Google自家開發的LearnLM模型基礎上，並整合至Gemini 2.5，號稱是全球最強的學習模型，它強調互動、引導及深度理解，而非單純地快速提供答案。</p> <p>Guided Learning可根據使用者的需求調整解釋方式，並透過逐步拆解問題與開放式提問來引導使用者探索知識。</p> <p>除了上述之外，Google亦宣布將斥資10億美元來支持美國的AI教育、職訓計畫及研究，包括透過AI for Education Accelerator提供美國大學生免費的AI服務與職業訓練，並已有超過100所大學登記。</p> </div></div></div>
2025/8/7 12:07作者陳曉莉https://www.ithome.com.tw/news/170473
讀取效能高達28 GB/s與550萬IOPS，美光PCIe 6 SSD登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_9650_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月底美光發表新一代資料中心固態硬碟，共通點是採用去年量產的Micron G9 NAND快閃記憶體技術，我們先前介紹鎖定主流市場需求的款式7600，現在看看另一款強調高效能取向的9650，號稱是業界首款支援PCIe 6.0介面的資料中心固態硬碟產品。</p> <p>9650的最大賣點在於，提供破紀錄的存取效能。以循序讀取作業而言，無論讀取密集型款式9650 Pro或混合型款式9650 Max，均可達到28,000 MB/s，而在循序寫入作業方面，皆為14,000 MB/s。相較之下，市面上的PCIe 5.0固態硬碟產品，循序讀取效能最高可達14 GB/s，回顧我們過去的產品快報介紹，具備這個等級效能的產品不少，像是：<a href="https://www.ithome.com.tw/review/159046">Kioxia CM7</a>、<a href="https://www.ithome.com.tw/review/162973">Phison X200</a>、<a href="https://www.ithome.com.tw/review/163573">三星PM1743</a>、<a href="https://www.ithome.com.tw/review/164160">美光9550</a>、<a href="https://www.ithome.com.tw/review/164407">Phison Pascari D200V</a>、<a href="https://www.ithome.com.tw/review/164414">Solidigm D7-PS1010</a>、<a href="https://www.ithome.com.tw/review/167093">Phison Pascari D205V</a>、<a href="https://www.ithome.com.tw/review/168362">金士頓DC3000ME</a>、<a href="https://www.ithome.com.tw/review/169146">宜鼎5TS-P</a>。</p> <p>若是隨機讀取作業而言，美光9650全系列的效能是540萬IOPS或550萬IOPS；至於隨機寫入作業的部分，9650 Max均為90萬IOPS，9650 Pro最高為57萬IOPS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20PERFORMANCE.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-chart-01a-micron-9650-unlocking-potential.jpg" style="width: 600px;" /></p> <p>具有更高的能源使用效率，也是9650的重要特色。比起前一代同樣高效能取向、支援PCIe 5.0介面的款式（美光9550），這款PCIe 6.0固態硬碟在執行隨機讀取作業時，每瓦效能領先幅度為67％，隨機寫入的每瓦效能方面，領先幅度則是25％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/9650 energy efficiency.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20energy%20efficiency.png" style="width: 600px;" /></a></p> <p>之所以能有這樣的性能突破，我們推測可能有兩個因素支撐，一個是產品採用新世代的技術規格，包括支援PCIe 6.0存取介面，以及Micron G9 NAND帶來3.6 GB/s的I/O存取速度；另一個是耗電量維持不變，新推出的9650和既有的9550，在隨機存取作業的實際平均耗電（RMS）規格的標示上，均為18瓦（讀取）和16瓦（寫入）。</p> <p>除此之外，美光9650在9650 Pro系列的7.68 TB款式和15.36 TB款式，額外提供E1.S厚9.5公釐的外形選擇，可支援水冷板的設置，用於導入液態冷卻機制的AI伺服器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20forms.png" style="width: 500px;" /></p> <p>關於裝置的儲存容量方面，9650系列與9550系列、9400系列一樣，Pro款式最高可配備30.72 TB，Max款式最高可配備25.6 TB。相較於同樣採用Micron G9 NAND技術的7600系列，Pro款式最高可配備15.36 TB， Max款式最高可配備12.8 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9650%20Form%20and%20capacities.png" style="width: 600px;" /></p> <p>值得注意的是，目前並無市售的伺服器處理器平臺支援PCIe 6.0。以英特爾而言，<a href="https://www.ithome.com.tw/review/169146">今年6月在自家產品支援論壇的回覆，表示尚無規畫</a>，不過，7月有<a href="https://www.tomshardware.com/pc-components/cpus/intels-xeon-7-diamond-rapids-to-reportedly-pack-192-cores-16-memory-channels-and-500-watts-of-power-consumption">科技媒體</a>報導<a href="https://x.com/x86deadandback/status/1941808014865899878">網路傳言</a>，揭露2026年可能推出代號為Diamond Rapids的Xeon 7，而且這個處理器將支援PCIe 6.0。AMD方面，在6月舉行的PCI-SIG開發者大會上，有<a href="https://overclock3d.net/news/misc/amd-demos-full-speed-pcie-6-0-with-its-next-gen-server-cpus/">科技媒體</a>報導他們與電子測試與量測設備廠商<a href="https://www.keysight.com/us/en/about/newsroom/news-releases/2025/0618-pr25-keysight-enables-amd-to-showcase-electrical-pci-express-compliance-up-to-64-gts.html">Keysight</a>合作，展示採用Zen 6架構的AMD EPYC處理器平臺，印證可相容於PCIe 6.0。</p> <p>CPU平臺之外，傳輸介面廠商也有相關動作。例如，Astera Labs和美光合作展示PCIe 6.0解決方案，9650正是主角之一，在1月<a href="https://www.asteralabs.com/accelerating-the-pcie-6-x-ecosystem-industry-first-pcie-6-x-interop-demonstration-at-designcon/">DesignCon大會</a>、5月<a href="https://www.tomshardware.com/pc-components/ssds/pcie-6-0-ssd-with-30-25-gb-s-speeds-debuts-at-computex-release-date-is-still-a-long-way-off">台北國際電腦展</a>，都有亮相，當中採用<a href="https://www.asteralabs.com/videos/accelerating-the-pcie-6-ecosystem">Astera Labs的Scorpio P系列Fabric Switch</a>，連接兩臺E3.S外形的美光PCIe 6.0固態硬碟，以及1張Nvidia H100 GPU，替GPU與SSD建立Nvidia GPUDirect Storage的直連路徑，提供27 GB/s循序讀取效能；而在8月<a href="https://www.asteralabs.com/breaking-the-100-gb-s-barrier-astera-labs-and-micron-demonstrate-production-ready-pcie-6-storage-performance-at-fms-2025/">FMS大會</a>上，他們將規模擴充一倍，搭配兩臺PCIe交換器、4臺美光9650、兩張GPU，循序讀取效能超過100 GB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-07-Micron 9650-gds-io-path.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-Micron%209650-gds-io-path.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Micron 9650</strong></span><br /> ●原廠：美光<br /> ●建議售價：廠商未提供<br /> ●儲存容量：9650 Pro提供7.68 TB、15.36 TB、30.72 TB，9650 Max提供6.4 TB、12.8 TB、25.6 TB<br /> ●外形：E3.S、E1.S厚9.5公釐、E1.S厚15公釐<br /> ●儲存媒體：3D NAND，TLC，Micron G9 NAND<br /> ●最高讀寫速度：循序28,000 MB/s與14,000 MB/s，隨機550萬IOPS與90萬IOPS<br /> ●使用介面：PCIe 6.2 x4<br /> ●耐用度：每日寫入量9650 Pro為1，9650 Max為3<br /> ●可靠度：250萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/8/7 12:13作者李宗翰https://www.ithome.com.tw/review/170426
趨勢科技在黑帽大會展現AI資安創新，虛擬紅藍隊為主要焦點，另強調重視資料安全與Agentic SIEM的發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【拉斯維加斯直擊】關於生成式AI對網路安全的影響，許多人首先會聯想到的是，攻擊者可藉由AI工具與AI代理技術，擴大攻擊規模並提升資安風險。然而，AI同時也正在賦能防禦者，可使每位資安從業者都能擁有自己的AI代理，有效提升防禦效率。</p> <p>特別的是，在今年黑帽大會（Black Hat USA 2025）活動的AI Summit研討會上，趨勢科技揭露AI資安最新進展與觀察，他們認為，AI不僅正在重新定義防禦方式，讓我們從被動因應轉向可預測攻擊的主動防禦，同時，AI也正在引領資安典範的轉型，從被動轉向主動的風險模擬。</p> <p>此外，趨勢科技也指出AI時代需要新的資料安全方案，以及AI代理促進了Agentic SIEM的演進。</p> <h3><strong>結合10種類型資料與3種AI代理，以Digital Twin概念開創全新虛擬紅藍隊演練</strong></h3> <p>今年的AI Summit活動再次於黑帽大會登場，突顯AI在資安領域日益重要的地位，趨勢科技也在這場AI 盛會中發表演說，介紹AI正在重塑資安運作邏輯的最新方向──透過打造Digital Twin與運用AI代理（AI Agent），讓企業紅藍隊攻防演練可以有全新模式。</p> <p>事實上，這項應用今年6月在臺舉行的Computex 2025中已初步曝光，當時仍處於研發階段，如今開放預覽版本供大家測試，因此得以揭露更多這方面的細節。</p> <p>對於如何用AI革新紅藍攻防演練，趨勢科技企業平臺長Rachel Jin（金靜秀）指出，AI代理固然是核心，但要真正實現這項應用還有兩個不可或缺的要素：「資料」與「Digital Twin」。</p> <p>她進一步解釋，資料是數位時代的命脈，在AI時代更顯其關鍵性。若是沒有資料，AI就只是個昂貴的「猜測機器」；至於數位孿生（Digital Twin），這並非新的概念，過去已用於模擬實體世界，像是製造業建立實體工廠前先進行數位模擬與規畫。</p> <p>在這兩者的結合應用下，帶來的顯著效益就是，可透過所有真實的商業資料流來繪製企業數位世界地圖。Rachel Jin強調，其中的「資訊流」至關重要，其涵蓋面必須足夠廣泛，才能呈現企業營運與流程的全貌，進而實現更精準的風險管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Black Hat 2025_AI Summit_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Black%20Hat%202025_AI%20Summit_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>有哪些重要資訊流？Rachel Jin在會中進一步揭露了具體內容，共有10大構面，涵蓋：網路活動、權限管理（Entitlement）、敏感資料、偵測與漏洞及錯誤配置、社交圖譜、資產拓撲、使用者行為、資產概況、威脅情資、業務概況。</p> <p>另外她也強調，系統提供的管理機制也要跟著進化，因為現在的資料互動要有新的方式，例如，並非僅依賴儀表板，而是要能夠直接與資料互動，以及應該根據使用者角色，提供客製化的見解與報告。</p> <p>更重要的是，有了Digital Twin資訊流，我們可以發想出極具潛力的應用實例，也就是網路戰模擬遊戲（Cyber War Gaming），此方式可類比實體紅藍隊演練，讓風險模擬更為主動，而AI代理也是能驅動這項應用的重要關鍵。</p> <p>透過這樣的高程度模擬環境，Rachel Jin進一步解釋，「代理紅隊」將可利用威脅情資與情資代理，在Digital Twin環境中自動執行攻擊；「藍隊代理」則可偵測並運用趨勢科技本身的專業知識與威脅情資，在Digital Twin環境中規畫防禦；另外還有「白隊代理」，負責判斷攻擊／防禦是否成功。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）Black Hat 2025_Digital Twin_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>整體而言，這開啟了一條截然不同的演練途徑。她解釋，傳統實體紅藍隊演練雖然是驗證組織風險暴露的有效方式之一，但往往會對業務營運造成干擾，無法每天或每月進行。相對地，透過高度模擬企業IT環境的Digital Twin，不僅能避免對實體環境造成影響，更能協助精準識別優先處理的風險項目，實現主動式決策，而且還可以更好做到「持續」演練。</p> <p>Rachel Jine更是形容，這就像我們擁有了一顆「水晶球」，能透過 AI 技術與威脅情報，更準確地預測未來的風險樣態與攻擊場景。這個形容簡單卻具畫面感，讓我們印象深刻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）Black Hat 2025_Digital Twin_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）Black Hat 2025_Digital Twin_趨勢科技_攝影羅正漢(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖7）Black Hat 2025_Digital Twin_趨勢科技_iThome擷取.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Black%20Hat%202025_Digital%20Twin_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_iThome%E6%93%B7%E5%8F%96.jpg" style="width: 295px;" /></a></p> <p><span style="color:#808080;"><strong>在今年黑帽大會（Black Hat USA 2025）活動現場，趨勢科技首次對外展示了用於紅藍演練的Digital Twin實際畫面，就目前設計來看，代理紅隊、藍隊代理、白隊代理都將在背後執行，還能結合趨勢科技自身所發展的Trend Cybertron LLM，加上對話式的介面，可將儀表版背後的資訊以另一種更直接的方式展現。</strong></span></p> <h3><strong>闡釋AI架構的運作之餘，新世代資料安全與Agentic SIEM發展亦成新焦點</strong></h3> <p>隨著AI技術快速導入資安領域，企業面對的威脅樣態與風險評估方式也正發生結構性的轉變，如何在這樣的變化中發展AI架構，已成為業界關注的焦點，Rachel Jin也特別闡釋了這方面的議題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）Black Hat 2025_AI Summit_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Black%20Hat%202025_AI%20Summit_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>她將AI架構的運作描繪成一個三角形，由下而上可簡單分為三個層次，包括：資料層（Data Layer）、智慧層（Intelligence Layer）、代理式AI（Agentic），讓大家能簡單理解不同層次的差異。她並表示，趨勢科技也是依循這樣的概念來發展資安平臺。</p> <p>簡單來說，最底層是資料層，涵蓋所有最基礎的資料，從多種管道（端點、雲端、網路、Email、身分、第三方等）蒐集資料，形成一座可供分析的Data Lake。特別的是，目前他們的平臺已支援近1,000種不同類型的日誌格式。</p> <p>往上是情境智慧層，即上述談到的Digital Twin模擬應用，能更精準理解、可視化並推論資料，並且能夠進一步結合SIEM、CRQ（網路風險量化）、XDR來分析統整。</p> <p>而在最上層則是Agentic，藉由多個特定領域專用的AI代理協同運作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）Black Hat 2025_AI Summit_趨勢科技_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Black%20Hat%202025_AI%20Summit_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>綜上所述，朝向單一安全平臺發展，的確是這幾年許多資安業者都強調的重要發展方向，趨勢科技也有同樣的發展策略，而且，不僅要做到橫向整合，現在還有了AI和Digital Twins的幫忙，看來還能進一步拓展縱向應用。</p> <p>回顧過去，趨勢科技自2021年打造Trend Vision One平臺，當時是基於XDR為核心來發展，但從上述Rachel Jin提到的平臺結構來看，整體能力持續擴展變得更為豐富，涵蓋識別、防護、偵測與回應，因此我們會後也詢問Rachel Jin，平臺經過這幾年不斷整合強化，2025 年有哪些技術重點值得關注？</p> <p>她提到兩個重點，一是資料安全，一是Agentic SIEM。</p> <p>以資料安全而言，Rachel Jin指出，在AI時代，我們需要發展具潛力的新世代資料安全方案，以取代傳統DLP方案。</p> <p>她指出，這兩年趨勢科技是持續投入相關技術研發，未來將於平臺新增資料安全模組，其中資料安全態勢管理（DSPM）也將成為關鍵能力之一。她並透露，目前這項技術雖然才剛剛進入預覽階段，尚未正式宣傳，但已有大量用戶開始嘗試使用。</p> <p>由於一年多前趨勢科技曾經表示，現在的資料安全解決方案未能與AI有很好的整合串連，顯然該公司不只看好這方面的技術演進，現在也已有初步成果展現。</p> <p>以Agentic SIEM而言，這項發展既令人驚訝，又在意料之中。一方面是我們過去很少聽聞趨勢科技談及SIEM，一方面是我們看到許多資安廠商發展雲原生SIEM，或是併購SIEM解決方案。</p> <p>Rachel Jin坦言，早期他們的平臺是以XDR為核心，當時與傳統 SIEM功能部分重疊，但兩者應用仍有差異，不過市場上使用者有不同的需求存在，隨著Agentic AI的興起，讓他們有了新的契機，因此打造出新世代的Agentic SIEM。她並指出，這項新方案其實是在黑帽大會舉行的前幾日（8月4日）才發布，而前述提到該公司的AI架構運作，能支援近千種不同日誌格式，也就是基於這項最新技術，同時也提供了彈性的資料保存方式，支援分析型與歸檔型資料的匯入，分析形資料最長可保留2年，歸檔用資料最長可保留7年。</p> </div></div></div>
2025/8/7 08:24作者羅正漢https://www.ithome.com.tw/news/170465
管理網頁機器人程式的兩難
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於數位內容產業而言，AI帶來許多新的挑戰，例如，ChatGPT等線上服務崛起後，新聞網站均面臨瀏覽流量大幅下降的危機，近期登場的Google搜尋引擎提供的AI摘要，也明顯減少使用者點擊搜尋結果列出的網址連結，在<a href="https://www.ithome.com.tw/news/170268" target="_blank"><span style="color:#3366ff;">Pew Research Center上個月底發布的研究報告</span></a>當中，已具體呈現這樣的狀況。</p> <p>除了形同被架空，許多網站現在也面臨更多未經站方同意的內容擷取行為，以前要應付網頁內容擷取程式（Web crawlers），如今又多了AI網頁內容擷取（AI crawlers），目的是訓練AI模型。針對這樣的局面，身兼CDN與雲端服務業者身分的CloudFlare，在7月初實施新政策，他們表示預設將封鎖AI網頁機器人程式，除非AI業者付費給創作者、以便取得內容使用授權，各種數位內容既然支撐AI引擎的運作，創作者也必須直接獲得合理補償，才算公平。</p> <p>祭出禁令的同時，CloudFlare也企圖建立內容擷取的付費體制，他們宣布名為<a href="https://developers.cloudflare.com/ai-audit/features/pay-per-crawl/what-is-pay-per-crawl/" target="_blank"><span style="color:#3366ff;">Pay per crawl</span></a>的計費支付方案，屬於該公司平臺AI Audit功能的一部分，目前是封閉測試階段。</p> <p>除了網頁機器人程式擷取網頁內容的爭議，有AI業者以API存取其他AI業者的模型。例如，這幾天就有兩則新聞，突顯相關的衝突正在升溫。</p> <p>首先是Anthropic針對OpenAI透過API存取Claude模型的行為予以封鎖，理由是這個舉動違反該公司的服務條款，僅允許OpenAI對其執行基準測試和安全評估。</p> <p>另一個消息是CloudFlare指控AI新創Perplexity，運用隱藏、未宣告的網頁機器人程式，迴避網站發出的禁止擷取指令要求，他們發現Perplexity一開始雖然從他們宣告的使用者代理進行網頁內容擷取，不過，一旦遇到網路阻擋存取時，他們會隱匿擷取程式的身分、試圖規避網站設定，具體行為在於Perplexity持續修改使用者代理、變更自治系統編號（ASNs）來源，進而藏匿網頁擷取活動，並且無視、甚至不存取網站宣告的機器人程式內容存取指引檔案robots.txt。</p> <p>無論仗義執言或是有其他商業競爭考量，上述狀況反映的共通問題，在於企業與組織該如何看待本身公開在網站的內容，以及能否定義、進而限制適當的使用方式。</p> <p>而在資安廠商的年度資安報告當中，也可以看到這方面的趨勢。</p> <p>根據Akamai提出的《State of Apps and API Security 2025》指出，AI技術支持的機器人程式（Bot），可協助攻擊者發動自動化攻擊與大規模攻擊；而且，在零售資安領域，機器人已成為主要的攻擊面向，能被用來執行帳號強佔（account takeover）、信用卡詐騙，以及禮品卡濫用。</p> <p>他們認為，Bot之所以能夠發動攻擊，主因在於先從遭駭網站偷到個資，之後以此執行帳密填充攻擊（credential stuffing），進而產生複合成效，促使線上詐騙活動形成產業，協助全球犯罪生態體系運用自動化工具，得以大幅擴充營運規模，遠遠超越原本透過手動操作能達到的程度。</p> <p>在另一家資安廠商Thales發布的《2025 Imperva Bad Bot Report》，也顯示幾個驚人的統計數據。首先，2024年所有網頁流量當中，自動化流量占比為51％，首次超越人為流量(49％)，就全球網際網路流量而言，善意機器人程式（Good Bot）流量占14％、惡意機器人程式（Bad Bot）流量占37％。</p> <p>他們的報告也指出AI的影響，因為各種生成式AI工具的崛起，固然提供許多好處，也被用於發動網路攻擊，例如，攻擊者經常將惡意機器人程式偽裝成網頁擷取程式，以便迴避偵測，並且繞過網頁擷取程式白名單的安全管制。</p> <p>綜合這些觀察，對於企業與組織而言，維護自家網站應用系統的安全與穩定供應服務，設法避免受到惡意機器人程式的侵擾仍是重點，我們須持續關注、掌握自動化存取行為的合理範疇，另一方面，對於來自外部AI服務的網頁內容擷取行為，也必須思考應採取何種態度，現在大家還沒找到合適答案。因為管制設限地過於嚴苛，可能失去本身的品牌能見度；若放任不管，形同白白替各種AI作嫁，令所有內容創作者無法接受，需要各界集思廣益，替使用方與供應方解套，建立合理制度。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%87%AA%E5%8B%95%E5%8C%96%E6%94%BB%E6%93%8A">自動化攻擊</a></div><div class="field-item odd"><a href="/tags/%E6%83%A1%E6%84%8F%E6%A9%9F%E5%99%A8%E4%BA%BA%E7%A8%8B%E5%BC%8F">惡意機器人程式</a></div><div class="field-item even"><a href="/tags/bad-bot">Bad Bot</a></div><div class="field-item odd"><a href="/tags/ai%E7%B6%B2%E9%A0%81%E5%85%A7%E5%AE%B9%E6%93%B7%E5%8F%96">AI網頁內容擷取</a></div><div class="field-item even"><a href="/tags/ai-crawlers">AI crawlers</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/%E6%B5%81%E9%87%8F">流量</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E5%85%A7%E5%AE%B9%E7%94%A2%E6%A5%AD">數位內容產業</a></div><div class="field-item even"><a href="/tags/ai%E7%B6%B2%E9%A0%81%E6%A9%9F%E5%99%A8%E4%BA%BA%E7%A8%8B%E5%BC%8F">AI網頁機器人程式</a></div><div class="field-item odd"><a href="/tags/perplexity">Perplexity</a></div><div class="field-item even"><a href="/tags/openai">OpenAI</a></div><div class="field-item odd"><a href="/tags/anthropic">Anthropic</a></div></div></div>
2025/8/7 10:56作者李宗翰https://www.ithome.com.tw/voice/170468
趨勢科技端點防護軟體爆2項RCE漏洞已發現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://success.trendmicro.com/en-US/solution/KA-0020652" target="_blank">趨勢科技（Trend Micro）本周公告</a>，端點安全產品Apex One產品發現2項重大遠端程式執行（RCE）漏洞，而且已經有攻擊行動，趨勢科技剛剛釋出暫時性緩解工具保護部份沒有修補程式的產品。</p> <p>漏洞出現在端點防護產品Apex One Management Console。這2項漏洞分別是CVE-2025-54948和CVE-2025-54987。其中CVE-2025-54948為指令注入RCE漏洞，可讓遠端攻擊者不需經過驗證上傳惡意程式碼，在受害系統上執行指令。CVE-2025-54987和CVE-2025-54948基本上相同，差別是鎖定不同CPU架構的裝置。2漏洞風險值皆高達CVSS score 9.4。</p> <p>漏洞影響Apex One本地部署版本、Apex One as a Service、Trend Vision One端點安全標準端點防護（Trend Vision One Endpoint Security - Standard Endpoint Protection）。</p> <p>趨勢科技目前已觀測到至少1起試圖濫用漏洞的行為，因而該公司已緊急修補。Apex One as a Service、Trend Vision One 端點安全標準端點防護二項產品已在7月31日釋出修補程式解決。但針對本地部署版本，趨勢科技8月5日釋出暫時性修補工具（fix tool）在某些非標準配置環境下失效，隔日（8月6日）又再發布一次。</p> <p>趨勢科技強調，目前針對Management Console本地部署版釋出的是短期緩解工具，而且有些缺點。雖然短期修補工具能提供完整防護，卻會關閉管理員利用遠端安全代理（Remote Install Agent）功能從管理控制臺部署代理人的功能。趨勢科技預定8月中釋出正式版修補程式。</p> <p>在正式修補程式釋出前，趨勢科技呼籲管理員安裝暫時修補工具，確保安全政策及周邊防護軟體升級到最新版。此外，由於攻擊者必須實體或遠端存取Apex One Management Console，廠商建議企業用戶若IP位址對外曝露，應考慮非必要應先關閉或限制存取。</p> </div></div></div>
2025/8/7 09:59作者林妍溱https://www.ithome.com.tw/news/170467
TypeScript 5.9讓專案設定更簡單，並支援延遲載入模組提升啟動效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TypeScript 5.9<a href="https://devblogs.microsoft.com/typescript/announcing-typescript-5-9/#optimizations">正式發布</a>，此次更新重點在於改進開發流程與提升效能，特別針對專案初始化、自動化模組載入與現代JavaScript應用的相容性，進行多項強化。新版特色在於降低初學者上手門檻，同時確保資深開發者於大型專案環境下也能獲得更好的開發體驗。</p> <p>開發團隊長期蒐集用戶回饋與實務需求，在TypeScript 5.9版本將tsc --init初始化專案時所產生的tsconfig.json設定檔進行大幅簡化，僅保留最常用且具實質效益的預設選項，並刪除繁瑣的註解與冗餘設定，提升整體設定流程的效率與可維護性。將預設值如module設為nodenext、target為esnext，啟用嚴格型別檢查與略過第三方型別檢查，以及將types設為空陣列，有助於新舊專案快速完成基礎設置。</p> <p>TypeScript 5.9正式支援ECMAScript的import defer語法。開發者可利用import defer * as feature from “./some-feature.js"，讓模組於載入時先準備好資源，但延後到實際存取成員時才執行初始化動作。此設計有助於降低大型應用初始啟動時的效能負擔，並在條件載入或需延遲副作用發生的情境下提供更好的彈性。</p> <p>新版本引入module node20設定，明確與Node.js 20的模組行為對齊，對於需要長期穩定維運或多環境部署的專案特別有用。與nodenext模式會隨標準調整不同，node20提供一個固定參照，有利於維護程式碼一致性。啟用node20時，target自動設為es2023，省去手動調整，有效降低開發與測試成本。</p> <p>TypeScript 5.9也改進了開發者在IDE中的體驗，lib.d.ts現已整合MDN文件摘要，使用者於編輯器中可即時取得DOM API主要功能說明，提升查詢效率。可展開型別快顯（Expandable Hovers）功能預覽上線，讓開發者能即時展開檢視型別細節，減少反覆跳轉定義的需求。此外，新版支援快顯訊息長度自訂，避免複雜型別資訊遭截斷。</p> <p>型別系統方面，本次針對映射器（Mapper）型別實例化流程增加快取機制，大幅減少重複運算，特別適合依賴泛型與複雜型別計算的應用。檔案存在性檢查也調整函式分配邏輯，根據開發者實測，在大型專案下可提升11％的編譯效能。</p> </div></div></div>
2025/8/7 10:15作者李建興https://www.ithome.com.tw/news/170466
JetBrains發表Kineto，強調零程式基礎也可快速產出網頁應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains<a href="https://blog.jetbrains.com/kineto/2025/08/make-your-ideas-clickable-with-kineto-by-jetbrains/">發表</a>無程式碼應用程式建置平臺Kineto，強調透過自然語言提示，協助沒有程式經驗的用戶在約20分鐘內完成一個可用的網站或網頁應用。Kineto有別於傳統的網站產生器或流程自動化工具，而是進一步將需求敘述、架構設計、功能實現到應用發布的多個環節加以自動化，讓應用建置過程更加直覺。</p> <p>過去十多年，隨著雲端運算普及，市面上出現各式低程式碼、無程式碼平臺，雖降低了部分開發門檻，實務上還是需要具備一定技術能力，例如多數平臺採用拖曳式介面，仍需使用者理解元件關聯，甚至在某些階段需撰寫JavaScript或SQL等語法。</p> <p>JetBrains強調，Kineto的目標是讓使用者完全不需要撰寫任何程式碼，只需以自然語言描述所需功能和操作情境，由Kineto自動解析需求，完成前端介面、後端邏輯與資料庫整合。開發團隊指出，Kineto背後整合了JetBrains在程式設計工具、IDE與自動化開發累積的技術經驗，他們將這些能力融入自動應用生成流程。</p> <p>在操作流程上，Kineto的建置過程從需求敘述開始，用戶僅需描述預期應用的主要功能，例如日程規畫、健身追蹤、簡易個人部落格等，Kineto會依據描述自動產生原型，包括使用者介面、資料流程、權限設定及基本互動邏輯。</p> <p>當後續需調整功能或介面，用戶可啟用Meta Layer模式，透過自然語言調整使用者角色、規則或增修功能，無需重複整體說明。這種互動方式有別於傳統網站建置器需反覆操作或設定參數，能有效降低細節修改的複雜度。</p> <p>目前Kineto鎖定小型應用場景，例如個人或團隊內部工具、活動登記、簡易問卷、知識庫或小型社群網站，強調可於20分鐘內產生可用成品並直接發布。JetBrains表示，未來計畫擴充支援更複雜的應用開發，加入自動代管、效能建議等功能。</p> <p>現階段Kineto提供早期搶先體驗，全球用戶可申請等候名單，優先開放給具明確構想且無程式背景的使用者，入選者將獲團隊協助建置與完善應用。</p> </div></div></div>
2025/8/7 08:19作者李建興https://www.ithome.com.tw/news/170457
【資安日報】8月6日，時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼時尚精品業者路易威登（Louis Vuitton，LV）、<a href="https://www.ithome.com.tw/news/170278">保險業者安聯（Allianz Life）</a>傳出資料外洩事故，本週有更多公司傳出類似事故，其中包含時尚精品業者香奈兒（Chanel）、Pandora，讓人懷疑這些精品業者的資安防護不足；但就連科技大廠也Google、思科，也證實遭遇相關攻擊而面臨資料外洩，這樣的情況很可能是一連串的攻擊行動。</p> <p>而在國內的資安新聞當中，自由時報報導勒索軟體DevMan聲稱對臺灣4家公司下手，但特別的是，駭客並未公布受害公司的全名，資安專家根據贖金的金額推測，這些很可能都是上市櫃公司。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170431"><strong style="font-size: 22px;">時尚精品業者香奈兒發生資料外洩事故，傳出是該公司的Salesforce帳密遭駭所致</strong></a></p> <p>時尚精品業者迪奧（Christian Dior Couture）、路易威登（Louis Vuitton，LV）先後在5月、7月傳出資料外洩的情況，兩起事故都出現包含臺灣在內的多個國家分公司客戶受到影響，其中LV傳出歹徒是存取第三方廠商的資料庫而得逞，突顯時尚精品業者對於客戶的個資保護不力，如今時尚精品業者香奈兒（Chanel）也傳出資料外洩的事故。</p> <p>這起事故的公開，最早是時尚新聞網站Women's Wear Daily（WWD）報導此事，香奈兒於7月25日偵測到駭客入侵第三方服務供應商代管的資料庫，影響美國客戶，曝露他們的個人聯絡資訊。</p> <p>針對這起資料外洩事故的其他細節，香奈兒並未進一步說明，但資安新聞網站Bleeping Computer取得相關資訊表示，外流的資料攻擊者是從香奈兒的Salesforce執行個體竊得。</p> <p><a href="https://www.ithome.com.tw/news/170438"><strong style="font-size: 22px;">丹麥精品業者</strong></a><a href="https://www.ithome.com.tw/news/170438"><strong style="font-size: 22px;">Pandora資料外洩，恐為Salesforce相關事件最新受害品牌</strong></a></p> <p>丹麥精品業者Pandora近日傳出資安事件，被駭客竊取客戶姓名及電子郵件等個資，成為最新資料外洩的精品業者。</p> <p>財星雜誌首先報導，Pandora以郵件通知顧客外洩事件，Pandora也證實此事。事件起因是這家精品業者使用的第三方系統遭非授權存取，致使客戶資料遭存取。Pandora說，除了顧客姓名與電子郵件之外，其餘敏感資料如：密碼、ID、信用卡與財務資訊，都不受影響。</p> <p>法國精品業者Chanel也在本周向媒體證實7月25日有類似的資安事件。Chanel代管在第三方業者平臺上的客戶資料，包括姓名、電話及住家地址遭攻擊者存取。該公司表示本次事件只影響美國客戶。雖然兩家公司都未透露第三方系統為何，但Bleeping Computer取得消息指出，兩家公司都使用Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/170439"><strong style="font-size: 22px;">思科、Google雙雙發生員工遭網釣事故，致CRM資料外洩</strong></a></p> <p>網路及伺服器大廠思科及Google雙雙公告其雲端CRM系統遭駭客入侵，竊走部分客戶資訊。</p> <p>思科上周說明，該公司7月24日得知一名思科客戶代表遭語音釣魚（vishing）鎖定得逞，因而得以從該公司使用的第三方雲端平臺客戶關係管理（CRM）系統的一個執行個體當中，存取並外洩部分用戶資訊。</p> <p>同時間，Google亦在8月5日公告類似的攻擊。6月間，Google使用的一個企業Salesforce執行個體遭到駭客存取。該系統是用於儲存中小企業聯絡資料及相關資訊。攻擊者在「一小段時間」得以存取資訊，被存取的是基本與常見商務資訊，如公司名稱和聯絡資訊。雖然兩家公司並未透露CRM系統的名稱，但外界推測很有可能就是Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/170434"><strong style="font-size: 22px;">四大SharePoint零時差漏洞ToolShell遭4L4MD4R勒索軟體濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-07-31-TTI-post-image-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-31-TTI-post-image-01.png" style="width: 300px; float: right;" /></a></p> <p>Palo Alto Networks旗下Unit 42威脅情報團隊揭露，攻擊者正大規模利用微軟SharePoint多項高風險零時差漏洞，針對在地端部署環境展開入侵行動。這波攻擊涉及4個被統稱為ToolShell的嚴重漏洞，分別為CVE-2025-49704、CVE-2025-49706、CVE-2025-53770、CVE-2025-53771。</p> <p>這些漏洞涵蓋程式碼注入、身分驗證不當、反序列化及路徑走訪限制等多種弱點，最高CVSS風險分數達9.8。根據最新監測顯示，勒索軟體4L4MD4R已開始利用這些漏洞攻擊暴露於網際網路的SharePoint Server，對政府、醫療、教育和企業環境構成實質衝擊。</p> <p>研究人員指出，攻擊活動自7月中明顯升溫，攻擊者運用自動化工具針對全球多個地端SharePoint伺服器進行版本偵測與弱點測試。受影響產品以2016、2019版SharePoint Enterprise Server及訂閱版本為主，Microsoft 365中的SharePoint Online則未受影響。這些漏洞均允許未授權攻擊者遠端執行任意程式碼或繞過身分驗證，單一主機遭入侵後，攻擊面將擴及組織其他整合式服務。</p> <p><a href="https://www.ithome.com.tw/news/170463"><strong style="font-size: 22px;">勒索軟體DevMan聲稱一口氣對4家臺灣企業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/4c93b57a0f24e8cd5e8941e6d62fbef1-156.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/4c93b57a0f24e8cd5e8941e6d62fbef1-156.jpg" style="width: 300px; float: right;" /></a></p> <p>從今年開始，勒索軟體駭客CrazyHunter、NightSpire接連針對多家臺灣上市櫃公司發動攻擊，使得上市櫃公司的資安防護議題再度浮上檯面，只要有勒索軟體駭客聲稱他們攻擊臺灣企業組織，就會格外引起臺灣各界的關注，如今有駭客組織一口氣聲稱對4家臺灣公司下手，這樣的情況相當罕見。 </p> <p>根據自由時報的報導，DevMan近期在暗網公布4家臺灣受害企業，並聲稱握有這些公司200 GB至960 GB不等的資料，並索討1百萬至6百萬美元（約新臺幣2,997萬至1.8億元）。他們取得資安專家的說法，如此高額的贖金，受害企業很可能都是上市櫃公司。但與許多勒索軟體組織有所不同的是，他們並未公布受害組織全名，而是以星號遮蓋部分字母。</p> <p>資安專家認為，DevMan在一天內聲稱攻擊了4家臺灣企業，且開出不同級距的贖金，這些駭客的操作，很可能代表三件事，首先，駭客可能掌握特定漏洞，能夠大規模滲透同類型目標；再者，他們鎖定特定產業鏈或供應鏈節點，而能一口氣攻擊多家公司。此外，駭客有可能將臺灣特定產業當試驗場，嘗試進行區域性勒索活動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/sonicwall-investigating-potential-ssl.html">針對勒索軟體Akira疑似鎖定SonicWall防火牆零時差漏洞的攻擊行動，有新的調查結果出爐</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/vietnamese-hackers-use-pxa-stealer-hit.html">越南駭客透過竊資軟體PXA，攻擊4,000個IP位址、竊得20萬組帳密</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/google-fixes-3-android-vulnerabilities.html">Google發布8月安卓例行更新，修補兩項已遭利用的高通晶片漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/dell-laptop-models-vulnerabilities-impacting-millions/">Dell商務筆電特定晶片存在漏洞，攻擊者恐藉此竊取敏感資料，影響逾100款機種、數百萬臺電腦曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pwn2own-hacking-contest-pays-1-million-for-whatsapp-exploit/">漏洞挖掘競賽Pwn2Own Ireland 2025將於10月舉行，預告為WhatApp零點擊RCE漏洞祭出最高百萬美元獎勵</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月5日】國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> </div></div></div>
2025/8/6 18:21作者周峻佑https://www.ithome.com.tw/news/170464
勒索軟體DevMan聲稱一口氣對4家臺灣企業下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年開始，勒索軟體駭客<a href="https://www.ithome.com.tw/tags/crazyhunter">CrazyHunter</a>、NightSpire接連針對多家臺灣上市櫃公司發動攻擊，使得上市櫃公司的資安防護議題再度浮上檯面，只要有勒索軟體駭客聲稱他們攻擊臺灣企業組織，就會格外引起臺灣各界的關注，如今有駭客組織一口氣聲稱對4家臺灣公司下手，這樣的情況相當罕見。 </p> <p>根據自由時報的報導，<a href="https://ec.ltn.com.tw/article/breakingnews/5133891">DevMan近期在暗網公布4家臺灣受害企業</a>，並聲稱握有這些公司200 GB至960 GB不等的資料，並索討1百萬至6百萬美元（約新臺幣2,997萬至1.8億元）。他們取得資安專家的說法，如此高額的贖金，受害企業很可能都是上市櫃公司。但與許多勒索軟體組織有所不同的是，他們並未公布受害組織全名，而是以星號遮蓋部分字母。</p> <p>資安專家認為，DevMan在一天內聲稱攻擊了4家臺灣企業，且開出不同級距的贖金，這些駭客的操作，很可能代表三件事，首先，駭客可能掌握特定漏洞，能夠大規模滲透同類型目標；再者，他們鎖定特定產業鏈或供應鏈節點，而能一口氣攻擊多家公司。此外，駭客有可能將臺灣特定產業當試驗場，嘗試進行區域性勒索活動。</p> <p>我們也在網路上搜尋相關資料，恰巧看到威脅情報網站Cybersecurity News Everyday、威脅情報業者DeXpose指出，他們發現DevMan於8月1日公布4家受害的臺灣公司，他們是：<a href="https://www.dexpose.io/devman-ransomware-attack-on-bul-corp/">BUL Corp</a>（<a href="https://www.hendryadrian.com/ransom-bul-tw/">b*u*l*****.tw</a>）、<a href="https://www.dexpose.io/devman-ransomware-attack-targets-kw-international/">KW International</a>（<a href="https://www.hendryadrian.com/ransom-kw-tw/">kw****.tw</a>）、<a href="https://www.dexpose.io/devman-ransomware-targets-prowess-corp-in-taiwan/">Prowess Corp</a>（<a href="https://www.hendryadrian.com/ransom-pr-tw/">pr*****.tw</a>），以及一家<a href="https://www.dexpose.io/devman-ransomware-attack-on-com-tw-in-taiwan/">僅有公布為臺灣公司</a>（<a href="https://www.hendryadrian.com/ransom-cm-tw/">***.c*m.tw</a>）的受害企業，駭客索討的金額分別是110萬美元、100萬美元、105萬美元，以及600萬美元。</p> <p>針對這個勒索軟體駭客組織的來歷，<a href="https://cyble.com/blog/top-ransomware-groups-may-2025-safepay-devman-rise/">最早由資安業者Cyble發現並提出警告</a>，DevMan約在今年5月開始活動，聲稱在5月就有13家受害的企業組織，而引起他們的注意，其中一起攻擊泰國媒體的事故裡，駭客聲稱將所有的系統與NAS設備檔案加密。該組織與Qilin、Apos、DragonForce、RansomHub等勒索軟體租用服務（Ransomware-as-a-Service）有合作關係。</p> <p>資安業者Check Point揭露另一起<a href="https://research.checkpoint.com/2025/21st-july-threat-intelligence-report/">針對泰國勞動部的資安事故</a>，當時他們的網站遭到破壞，駭客聲稱竊得300 GB敏感資料，他們入侵2千臺筆電、數十臺伺服器，並將檔案加密。DevMan向泰國勞動部勒索1,500萬美元贖金。</p> <p>Any.Run對DevMan的加密工具進行分析，<a href="https://medium.com/@anyrun/devman-ransomware-analysis-of-new-dragonforce-variant-ede707fd30b1">指出該組織的加密工具源自於DragonForce</a>，大多重覆使用DragonForce的程式碼基礎（Codebase），雖然大部分的防毒引擎會將其標記為DragonForce或是Conti，但DevMan的加密工具存在獨有的行為，使得他們認為這群駭客並非單純的DragonForce加盟主。附帶一提的是，除了透過SMB進行偵察，DevMan的惡意程式大多惡意活動都是離線進行，而且，他們發現這款加密工具並未出現對外的C2通訊。這些駭客主要的攻擊目標是亞洲和非洲，但拉丁美洲與歐洲也有受害組織，</p> </div></div></div>
2025/8/6 17:55作者周峻佑https://www.ithome.com.tw/news/170463
臺灣Foodpanda衝高平臺交易量新招，用10億筆訂單數據免費提供餐廳數據分析及顧問服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣Foodpanda宣布「餐飲錢力股計畫」，與亞太行銷數位轉型聯盟協會（AMT）合作，免費提供餐飲商家經營診斷、客製化報告製作、顧問指導、經營課程等服務。臺灣Foodpanda商務總監簡紫涵表示，這是臺灣Foodpanda於集團全球市場中首先發起的商家經營模式。</p> <p>此計畫主要鎖定中小型餐飲商家，具體做法分為3階段。首先，他們根據經濟部「數位轉型評量指南」製作簡短測驗給商家，快速評估商家對數位化的認知及可能優化方向。接著，用Foodpanda平臺訂單數據，為商家製作專屬報表及建議改善方針。最後，邀請商家參與由Foodpanda及AMT共同舉辦的行銷及經營課程，並派顧問團隊，輔導商家數位行銷及經營Foodpanda商務。</p> <p>Foodpanda會從自家10億筆訂單數據中，替商家分析出熱門餐點組合、同業定價策略、區域消費行為、鄰近競爭對手關係等資訊，來提供在Foodpanda上的經營建議。例如，建議商家根據自家販售及周邊競爭情況調整菜單。或者，建議回購率高、新客流量低的商家將行銷預算集中在新客群促銷。</p> <p>雖然Foodpanda報表只會使用自家平臺上數據，不過，AMT創會會長高端訓指出，就算商家在Foodpanda平臺累積的數據量不大，還是能透過Foodpanda窺見附近其他商家數據，作為調整經營和行銷的參考。例如，所在區域消費情況、鄰近競爭商家數據概況，就是只有Foodpanda能掌握的數據。</p> <p>Foodpanda過往已經利用自家平臺上數據，打造RMN等數位行銷業務。簡紫涵說明，RMN主要服務大型品牌，如大型食品公司、金融業等。這次利用數據發展數據分析及顧問服務，則是鎖定財力、人力和IT力較有限的中小型餐飲商家，提供免費服務。他們期望，透過數據來強化商家經營，能同時提升商家在Foodpanda的業績，進而從平臺交易量增加來受益。</p> <p></p> </div></div></div>
2025/8/6 18:42作者郭又華https://www.ithome.com.tw/news/170462
Adobe緊急修補電子表單平臺AEM Forms零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日Adobe針對電子表單平臺Adobe Experience Manager Forms（AEM Forms）<a href="https://helpx.adobe.com/security/products/aem-forms/apsb25-82.html">發布緊急修補</a>，公告兩個資安漏洞，這些漏洞不僅危險，其中一個風險值更達到滿分，而且，相關細節在Adobe發布修補程式之前，就已經被公布，很有可能成為接下來歹徒利用的對象。因此，Adobe認為，雖然目前他們尚未發現漏洞遭到利用的跡象，但用戶應以最優先層級採取因應措施。</p> <p>這兩個漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-54253">CVE-2025-54253</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-54254">CVE-2025-54254</a>，影響6.5.23之前版本的AEM Forms，其中最嚴重的是CVSS評分達到10分的CVE-2025-54253，此漏洞起因是組態不當，可被用於執行任意程式碼，一旦攻擊者成功用，就有機會繞過安全機制並執行程式碼，而且，過程裡完全無需使用者互動。</p> <p>另一個資安漏洞CVE-2025-54254，攻擊者可用於任意檔案系統讀取，起因是XML外部實體參照（XXE）限制不當，攻擊者有機會以此存取本機檔案系統的敏感檔案，利用漏洞過程也不需要使用者互動，CVSS風險為8.6。</p> </div></div></div>
2025/8/6 14:47作者周峻佑https://www.ithome.com.tw/news/170441
國內首次啟動災害漫遊機制，臺南七股、嘉義布袋8月7日將啟動災害漫遊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>颱風及西南氣流帶來的豪雨，造成臺灣南部地區災情，為因應災區的通訊需求，NCC宣布已與三大電信協調，將在8月7日下午3點於臺南七股、嘉義布袋兩地及周邊啟動災害漫遊機制，讓當地民眾可漫遊其他電信商的行動網路，加強災區的通訊品質。</p> <p>國內是在2年前推動災害漫遊，當發生重大災害時，在特定的區域範圍內，協調電信業者建立漫遊機制，讓災區的民眾在原有的電信商網路無法提供服務之下，可以漫遊機制來使用其他電信商仍提供服務的網路。災害漫遊機制是在國定主導下，電信商配合建立的機制，確保民眾在重大災難發生或緊急情況下，仍能使用基本通訊服務。2023年數發部曾對外展示災害漫遊機制。</p> <p>本周NCC邀請數發部、內政部、消防署、公平交易委員會、臺灣電信產業協會及三大電信業者開會，會中取得共識，將在8月7日下午3點，於臺南的七股、嘉義的布袋兩地及周邊啟動災害漫遊機制，強化災害發生時的通訊韌性，視各家電信商評估基地臺修復的進度，災害漫遊最晚到今年的10月31日止。</p> <p>NCC指出，這次颱風及豪雨，造成嘉義及臺南地區1,293座基地臺因電力中斷或風雨造成毀損，電信業者加派人力及資源，例如行動基地臺、調整周邊基地臺天線方向等方式，盡力恢復災區通訊服務，已接近災害發生前的水準，NCC與電信業者開會取得共識，決定先導性實施災害漫遊，因此擇定在臺南七股、嘉義布袋兩個地區及周邊啟動災害漫遊機制。</p> <p>相較於先前概念及技術展示，這是首次在真實的災害下啟動災害漫遊機制，在災害漫遊機制期間，協調三家電信業者開放非自家用戶存取使用網路，以中華電信為例，原先只開放自家用戶存取網路，而在災害漫遊機制啟動後，當地的遠傳、台灣大哥大用戶將可以漫遊的方式來使用中華電信的網路。</p> <p>在8月7日下午3點之後，臺西七股、嘉義布袋地區啟動災害漫遊機制後，當地民眾只要手機開啟漫遊機制，手機就會自動搜尋附近訊號最好的行動電信網路，確保民眾可以獲得較佳的通訊品質，包括語音電話及行動數據上網。值得注意的是，災害漫遊機制為為災害期間的特殊情況，並非開放民眾無限制地使用，因此電信商雖然開放災害漫遊，但是會控制漫遊用戶所能夠使用的網路資源多寡，避免發生濫用的情形。</p> <p>另外，當地民眾在災害漫遊機制啟用期間，使用其他家電信商的網路，並不會有額外的漫遊費用產生。</p> <p>NCC表示，區漫游機制對緊急電話應接、電信打詐，關係到民眾的生命及財產安全，目前在技術上仍有待精進，故先以臺南、嘉義部分地區啟動，至於高雄市、臺東縣發生災情的偏鄉地區，未來在先導災害漫遊實施之後，通過技術測試，視需要再推動到其他地區。</p> <p>這次在臺南、嘉義部分區域啟動災害漫遊機制，為先導性實施，國內尚未建立通案實施的標準程序，因此NCC未來會再和相關部會、單位開會，依災害防治法建立通案實施的標準，以強化國內災害應變的制度化作業。</p> </div></div></div>
2025/8/6 15:36作者蘇文彬https://www.ithome.com.tw/news/170448
ElevenLabs推出音樂生成模型Eleven Music
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發各種AI音訊產品的<a href="https://elevenlabs.io/blog/eleven-music-is-here" target="_blank">ElevenLabs在本周二（8/5）發表了Eleven Music</a>，這是個文字轉音樂模型，能夠生成任何風格的錄音室等級音樂，同時提供免費與付費版本，後者可應用於商業上。</p> <p>Eleven Music是在2022年由Mati Staniszewski與Piotr Dąbkowski在紐約共同創立，其中，Staniszewski曾是Palantir部署策略師，Dąbkowski則曾為Google的機器學習工程師，他們兩個都是波蘭人，創業靈感來自於波蘭電影的配音質感低落，因而想打造音質更自然流暢的語音AI系統。所開發的平臺已支援文字轉語音、聲音克隆、文字生成聲音及自動配音等。最近一次的融資是今年1月底完成的1.8億美元的C輪融資，完成後的估值為33億美元。</p> <p>Eleven Music能夠呈現使用者所描述的各種音樂流派、風格或結構；也能選擇人聲或樂器；目前支援英文、西班牙文、德文及日文等；也允許使用者在生成之後編輯部分或整首音樂的聲音與歌詞。</p> <p>在該實驗所展示的例子中，在下了「夢幻、迷幻、緩慢獨立搖滾、有空間感的人聲、復古鍵盤樂器、朗朗上口的副歌、懷舊及國歌」等提示之後，Eleven Music就能生成足以公開發表的音樂。它所生成的音樂長度介於10秒至5分鐘之間，採用MP3格式，取樣率為音樂CD等級的44.1kHz，比特率則落在128至192kbps之間。</p> <p>ElevenLabs表示，Eleven Music是與唱片公司、出版社及藝術家合作建置的，幾乎可用於所有商業用途，從電視、電影、電視、播客到社交媒體影片等，或是從廣告到遊戲。</p> <p><a href="https://elevenlabs.io/pricing" target="_blank">Eleven Music所提供的訂閱方案</a>從免費到每月1,320美元不等，其中，免費版不可商用，每月5美元的Starter方案只支援社交媒體及廣告等商業用途，更廣泛的商業用途則必須訂閱每月11美元、Creator方案以上的版本。</p> <p>此外，不管是免費版或是付費版都必須遵守<a href="https://elevenlabs.io/music-terms" target="_blank">Eleven Music的服務條款</a>，明文規定使用者不得利用它來建立商業音樂庫；也不能應用在武器、禁藥、成人娛樂、宗教及政府宣傳上；亦不得在輸入提示中使用任何藝人的名字、任何歌曲名稱、任何專輯名稱或任何音樂出版商的名字。</p> <p><a href="https://www.wsj.com/articles/voice-startup-elevenlabs-launches-ai-music-service-8a546cef?st=LGDyUY&reflink=desktopwebshare_permalink" target="_blank">華爾街日報（WSJ）引用Futurum Group執行長Daniel Newman的看法指出</a>，過去許多廣告配樂或版權音樂都需經過昂貴且複雜的授權程序，AI的出現讓它們能以遠低於傳統成本的費用取得，對資源有限的公司格外有利。</p> </div></div></div>
2025/8/6 15:38作者陳曉莉https://www.ithome.com.tw/news/170449
AI程式碼編輯器Cursor存在資安漏洞CurXecute，恐被用於提示注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧（AI）的整合搭配，對於軟體開發生產力的提升，扮演的角色越來越重要，一旦存在相關漏洞，就有可能讓開發者在編寫程式碼的過程裡，帶入攻擊者的惡意內容，或是進一步對開發環境上下其手。</p> <p>例如，最近資安業者Aim Security揭露的<a href="https://www.aim.security/lp/aim-labs-curxecute-blogpost">高風險漏洞CurXecute</a>，就是這種型態的例子。這個漏洞出現在AI整合式開發環境（IDE）Cursor，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.6。他們向Cursor開發團隊通報此事，Cursor於7月8日發布1.3.9版修補，並將漏洞登記為CVE-2025-54135列管。</p> <p>這個漏洞的發現，與6月Aim Security揭露的Microsoft 365 Copilot<a href="https://www.ithome.com.tw/news/169500">零點擊漏洞EchoLeak</a>有關，當時他們對相關問題的理解，在於：只要提供AI機器人不受信任的內容，就有機會在無須使用者互動的情況下，挾持大型語言模型（LLM）的內部迴圈，從而洩露模型能夠看到的資料。</p> <p>基於這樣的認知，他們對Cursor進行調查，由於該IDE工具支援模型內容通訊協定（Model Context Protocol，MCP），可藉由自然語言，存取Slack主機、GitHub儲存庫，或其他的資料庫，將本機代理程式變成像瑞士刀的萬用工具。然而，MCP會將代理程式曝露於外部及不受信任的資料而產生危險，影響代理程式的流程控制，一旦攻擊者挾持代理程式的連線階段（Session），就有機會藉由代理程式的權限冒充使用者。</p> <p>Aim Security認為，CurXecute發生的原因牽涉三種層面，分別是MCP自動執行的機制、即時建議的編輯內容，以及提示注入引發RCE的途徑。由於只要發現~/.cursor/mcp.json出現新的內容，Cursor就會在沒有使用者確認的情況下執行，再加上代理程式建議修改mcp.json的內容已存放於磁碟，即便使用者否決還是會照樣執行，因此攻擊者只要透過Slack等MCP支援的外部平臺注入惡意資料，就有機會操控Cursor的AI代理程式，從而執行任意命令。</p> <p>為了讓更多人了解這個漏洞，Aim Security也透過影片展示概念驗證（PoC），並指出當中呈現的攻擊面，源自於處理外部內容的任意第三方MCP伺服器，包括：問題追蹤工具、客戶支援信箱，甚至是搜尋引擎，而且，只要一個中毒的文件，就有機會將AI代理程式變成本機的Shell。</p> </div></div></div>
2025/8/6 15:56作者周峻佑https://www.ithome.com.tw/news/170455
DeepMind發表可以生成數分鐘3D虛擬世界的Genie 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepmind.google/discover/blog/genie-3-a-new-frontier-for-world-models/" target="_blank">Google DeepMind於周二（8/5）發表</a>全新AI世界模型Genie 3，可根據文字提示即時生成互動式3D世界。相較於去年11月釋出、僅能維持10~20秒互動的<a href="https://www.ithome.com.tw/news/166457" target="_blank">Genie 2</a>，Genie 3支援長達數分鐘的連續互動，還能記住場景以維持畫面及環境的連貫性。</p> <p>Genie 3是DeepMind自2023年以來持續開發的世界模型系列第三代，可以每秒24幀與720p的解析度執行。它能夠模擬火山地形、水流或光影等真實世界的物理現象，亦可再現冰川或熱帶雨林等自然生態，還能以幻想及動畫風格創作，或是重建地理及歷史場景。</p> <p>此外，Genie 3還支援「可提示的世界事件」（promptable world events），讓使用者得以即時透過文字變更世界條件，例如改變天氣、增加角色或新場景，讓生成世界不僅可互動，還能持續演變。</p> <p>Genie系列與傳統的影片生成不同，它讓使用者進入一個由AI生成的世界，還能與場景互動，這種動態操控的能力，使其特別適合用於代理人訓練、自主系統模擬、教育模擬，以及創意應用。</p> <p>世界模型被視為邁向通用人工智慧（AGI）的一個關鍵技術，允許AI不必依靠真實世界資料，便能於虛擬世界中進行各種練習與學習。DeepMind表示，他們已經利用Genie 3所創造的虛擬世界來測試自家的SIMA代理人，看看它在不同任務下能否學會解決問題。</p> <p><a href="https://www.ithome.com.tw/news/161777" target="_blank">SIMA（Scalable, Instructable, Multiworld Agent）</a>是Google DeepMind所開發的一款通用型AI代理人，目標是讓它能在各種3D虛擬環境中完成多樣化任務。</p> <p>目前Genie 3尚未開放一般大眾使用，而是以「限量研究預覽」方式提供少數學術研究人員與創作者試用，並蒐集回饋以評估潛在風險與負責任的使用方式。Google也坦承，該模型仍存在如互動範圍受限、無法完美模擬真實地點，以及文字生成效果不穩定等限制。</p> </div></div></div>
2025/8/6 14:46作者陳曉莉https://www.ithome.com.tw/news/170440
微軟OAuth應用程式遭冒充，攻擊者以釣魚手法繞過多因素驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Proofpoint研究團隊<a href="https://www.proofpoint.com/us/blog/threat-insight/microsoft-oauth-app-impersonation-campaign-leads-mfa-phishing">發現</a>，攻擊者持續濫用微軟OAuth應用註冊機制，假冒企業常用的雲端服務，誘導受害者授權偽造應用，再將其導向仿造的微軟登入頁面，藉此攔截帳號密碼及多因素驗證（MFA）會話資訊。</p> <p>隨著MFA逐漸成為雲端帳號的標準防護措施，攻擊者結合攻擊者中介（AiTM）釣魚框架，例如Tycoon與ODx，已能即時攔截使用者輸入的驗證資訊及工作階段Cookie，突破MFA防線，對雲端服務構成實質威脅。</p> <p>這波攻擊最明顯的特徵，在於駭客偽裝Adobe、DocuSign、SharePoint、RingCentral等主流雲端服務的應用名稱與授權頁面，利用OAuth權限請求，引導目標用戶同意或拒絕應用存取個人資訊。無論使用者選擇取消或授權，最終都會被重導至偽造的微軟登入頁，而該頁實際上由攻擊者控制，並利用AiTM技術同步攔截所有登入憑證與MFA驗證內容。</p> <p>研究人員指出，攻擊流量普遍帶有Axios用戶代理特徵，攻擊後階段經常試圖變更受害者帳號的安全設定，以維持存取權限。根據統計，2025年Tycoon攻擊已針對超過900個Microsoft 365租戶、近3,000個帳號發動攻擊，並取得逾五成的入侵成功率。</p> <p>攻擊者的投遞策略也越來越成熟，研究人員觀察到，多數釣魚郵件來自先前遭入侵的企業帳號，郵件主題常涉及報價、合約及文件簽核等商業情境，以提升誘騙成功率。郵件中的連結會引導收件者進入偽造的微軟OAuth授權頁，之後再重導至攻擊者掌控的登入頁面。2025年4月後，攻擊者基礎設施從原本的俄羅斯主機，轉移至美國資料中心託管服務，其持續調整行動以降低被偵測風險。</p> <p>微軟在6月宣布，從7月中至8月，將分階段封鎖舊式驗證協定，並強制第三方應用程式取得管理員同意，研究人員認為，這些調整有助於阻止假冒OAuth應用程式的相關攻擊，同時建議企業資安團隊仍須主動檢視雲端環境授權政策，加強異常行為監控，及時辨識可疑應用程式授權。</p> <p>使用者教育同樣不可或缺，應針對OAuth授權頁與雲端登入頁面設計進行基礎風險識別訓練，針對敏感帳號，研究人員建議導入FIDO實體金鑰等更高強度的多因素驗證，以降低會話資訊遭攔截的風險。</p> </div></div></div>
2025/8/6 15:20作者李建興https://www.ithome.com.tw/news/170446
思科、Google雙雙發生員工遭網釣致CRM資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路及伺服器大廠思科及Google雙雙公告其雲端CRM系統遭駭客入侵，竊走一部份客戶資訊。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/resources/CRM-vishing" target="_blank">思科上周說明</a>，該公司7月24日得知一名思科客戶代表遭語音釣魚（vishing）鎖定得逞，因而得以從該公司使用的第三方雲端平臺客戶關係管理（CRM）系統的一個執行個體中存取並外洩一部份用戶資訊。</p> <p>同時間，<a href="https://cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion" target="_blank">Google亦在昨（5）日公告類似的攻擊</a>。6月間，Google使用的一個企業Salesforce執行個體遭到駭客存取。該系統是用於儲存中小企業聯絡資料及相關資訊。攻擊者在「一小段時間」得以存取資訊，被存取的是基本與常見商務資訊，如公司名稱和聯絡資訊。</p> <p>思科則說，調查顯示外洩的資料為Cisco.com註冊帳號的基本客戶資訊，如姓名、組織、地址、客戶ID、電話、電子郵件信箱及帳號相關meta data如帳號建立日期。</p> <p>如同Google，思科也說攻擊者並沒有取得任何客戶機密或專屬資訊、密碼、或其他敏感資訊。思科並強調，該CRM沒有其他執行個體CRM受影響，他們也沒有發現此事對其產品和服務的影響。</p> <p>思科並沒說明該CRM系統為何，但是根據其描述，很可能也是近日有如瘟疫般爆發的Salesforce資料外洩。</p> <p>媒體及資安業者將這幾波攻擊事件元兇指向ShinyHunters組織，Google則以UNC6040指稱攻擊者，Google威脅情報小組研究，發動語音釣魚攻擊的UNC6040，也是Google最新資安事件的元兇。此外Google相信，近日自稱ShinyHunters勒索受害者的是另一個代號UNC6240的組織，為冒用ShinyHunters名義行動，或是兩個組織有合作關係。</p> <p>除了二家科技公司，近日已經有Chanel、LV、Pandora、安聯等也都傳可能是經由Salesforce API竊取資料。Salesforce對媒體發出聲明表示，在這些事件中Salesforce系統並未被駭入，事件也非其任何該平臺漏洞所致，而是出於用戶遭社交工程攻擊導致。</p> </div></div></div>
2025/8/6 13:53作者林妍溱https://www.ithome.com.tw/news/170439
SharePoint四大零時差漏洞ToolShell遭4L4MD4R勒索軟體濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Palo Alto Networks旗下Unit 42威脅情報團隊<a href="https://unit42.paloaltonetworks.com/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/#post-147463-_50343o6a6han&:~:text=If%20you%20have%20SharePoint,fully%20evict%20the%20threat">揭露</a>，攻擊者正大規模利用微軟SharePoint多項高風險零時差漏洞，針對在地端部署環境展開入侵行動。這波攻擊涉及4個被統稱為ToolShell的嚴重漏洞，分別為CVE-2025-49704、CVE-2025-49706、CVE-2025-53770、CVE-2025-53771。</p> <p>這些漏洞涵蓋程式碼注入、身分驗證不當、反序列化及路徑走訪限制等多種弱點，最高CVSS風險分數達9.8。根據最新監測顯示，勒索軟體4L4MD4R已開始利用這些漏洞攻擊暴露於網際網路的SharePoint Server，對政府、醫療、教育和企業環境構成實質衝擊。</p> <p>研究人員指出，攻擊活動自7月中明顯升溫，攻擊者運用自動化工具針對全球多個地端SharePoint伺服器進行版本偵測與弱點測試。受影響產品以2016、2019版SharePoint Enterprise Server及訂閱版本為主，Microsoft 365中的SharePoint Online則未受影響。這些漏洞均允許未授權攻擊者遠端執行任意程式碼或繞過身分驗證，單一主機遭入侵後，攻擊面將擴及組織其他整合式服務。</p> <p>攻擊者首先利用漏洞取得伺服器存取權，隨即執行PowerShell命令關閉防護功能，並從指定遠端位置下載UPX壓縮且以Go語言撰寫的勒索軟體4L4MD4R。該勒索軟體於受害主機記憶體中解密、載入並加密檔案，之後在桌面生成贖金說明與加密檔案清單，要求受害者以比特幣支付贖金。技術分析顯示，攻擊過程中還會竊取MachineKey等憑證資訊，增加攻擊者橫向移動及存取Teams、OneDrive和Outlook等服務的可能性。</p> <p>此外，攻擊者不僅能繞過多重身分驗證與單一登入，還根據攻擊行動進度與外部公開情報靈活調整工具與策略，例如初期以.NET自訂模組竊取加密金鑰，當相關Web Shell手法曝光後，迅速切換回.NET模組，提升存活率與隱匿性。Unit 42比對活動來源，發現多起攻擊與微軟追蹤的Storm-2603組織相關聯，顯示具備高度組織化與持續作戰能力。</p> <p>鑑於此次攻擊規模與風險，研究人員建議所有運作在地端SharePoint環境之組織，應優先假設主機已遭入侵，並立即執行下列行動，第一是斷開易受攻擊伺服器對外連線，防止進一步入侵或資料外洩；第二，依據微軟最新公告安裝所有修補程式，且重設ASP.NET MachineKey、所有加密金鑰與密碼資料，並重啟IIS服務；第三，主動進行威脅獵捕及全面弱點檢查，確認是否存在Web Shell或異常連線，必要時委託專業事件應變團隊執行全面調查與處理。</p> </div></div></div>
2025/8/6 14:08作者李建興https://www.ithome.com.tw/news/170434
阿里巴巴開源首個圖像生成模型Qwen-Image
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里巴巴旗下的AI團隊通義千問（Tongyi Qianwen，Qwen）繼開源Qwen語言模型、多模態模型Qwen-VL之後，<a href="https://qwenlm.github.io/blog/qwen-image/" target="_blank">周一（8/4）開源了首個圖像生成模型Qwen-Image</a>。</p> <p>Qwen-Image採用MMDiT（Masked Multimodal Diffusion Transformer）架構，具備200億個參數，支援使用者輸入文字或圖像以產生圖像，也能控制圖像的樣式，並針對於圖像中嵌入中文及英文進行了最佳化。</p> <p>在Qwen-Image執行的許多圖像生成與圖像編輯基準測試中，它都輕易地超越了GPT Image 1、Seedream 3.0或Bagel等競爭對手，也在中/英文字渲染的基準測試表現亮眼。</p> <p>Qwen團隊特別展示了如何以文字提示要求Qwen-Image生成含有大量文字的圖像，以展示該模型的確能夠根據提示生成正確的文字，不管是中文還是英文。</p> <p><a href="https://medium.com/data-science-in-your-pocket/qwen-image-best-open-sourced-ai-image-generation-is-here-d09b6e7f6c71" target="_blank">科技專欄作家Mehul Gupta認為</a>，Qwen-Image是少數能夠準確對齊看板文字、正確渲染文字，同時兼顧風格與結構的開源圖像生成模型，而且具備商用品質，可比美封閉API。</p> <p>使用者可直接透過<a href="https://chat.qwen.ai/" target="_blank">Qwen Chat</a>平臺試用Qwen-Image，或是藉由<a href="https://huggingface.co/Qwen/Qwen-Image" target="_blank">Hugging Face</a>與<a href="https://github.com/QwenLM/Qwen-Image" target="_blank">GitHub</a>下載。Qwen團隊亦提供了完整的<a href="https://arxiv.org/abs/2508.02324" target="_blank">Qwen-Image技術報告</a>。</p> </div></div></div>
2025/8/6 11:55作者陳曉莉https://www.ithome.com.tw/news/170437
Pandora資料外洩可能為Salesforce相關事件最新受害品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥精品業者Pandora近日傳出資安事件，被駭客竊取客戶姓名及電子郵件等個資，成為最新資料外洩的精品業者。</p> <p><a href="https://www.forbes.com/sites/daveywinder/2025/08/05/pandora-confirms-cyberattackwhat-you-need-to-know/" target="_blank">財星雜誌首先報導</a>，Pandora以郵件通知顧客外洩事件，Pandora也證實此事。事件起因是這家精品業者使用的第三方系統遭非授權存取，致使客戶資料遭存取。Pandora說，除了顧客姓名、電子郵件，密碼、ID、信用卡等財務資訊都不受影響。</p> <p>法國精品業者<a href="https://wwd.com/business-news/retail/chanel-data-break-u-s-client-database-1238026491/" target="_blank">Chanel也在本周向媒體證實</a>7月25日有類似的資安事件。Chanel代管在第三方業者平臺上的客戶資料，包括姓名、電話及住家地址遭攻擊者存取。<a href="https://www.ithome.com.tw/news/170431" target="_blank">該公司表示</a>本次事件只影響美國客戶。</p> <p>雖然兩家公司都未透露第三方系統為何，但<a href="https://www.bleepingcomputer.com/news/security/pandora-confirms-data-breach-amid-ongoing-salesforce-data-theft-attacks/" target="_blank">Bleeping Computer取得消息報導</a>，兩家公司都是使用Salesforce。</p> <p>更早之前，LV、Cartier、愛迪達、安聯人壽等大型企業也相繼傳出資料外洩。</p> <p><span style="color:#B22222;"><strong>結合社交工程的攻擊得逞</strong></span></p> <p>雖然媒體及資安業者將這波攻擊事件元兇指向ShinyHunters組織，<a href="https://cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion" target="_blank">但Google分析攻擊者來自代號UNC6040的另一個組織</a>，可能只是借用ShinyHunter之名，或是兩個組織有合作關係。</p> <p>就犯案手法而言，Google認為攻擊者是利用語音釣魚（vishing），冒充IT人員誘騙不知情的員工下載Salesforce一個假的Salesforce Data Loader連接程式，並引導員工同意核准OAuth授權，使該假App可長期不經驗證直接存取Salesforce，種下禍根。駭客之後即可調用Salesforce API，竊取其儲存的客戶資料。</p> <p>因此這幾次事件並非Salesforce系統有漏洞遭濫用。Salesforce對媒體表示，Salesforce系統並未被存取，本事件也非其平臺漏洞所致。雖然其平臺內建企業級安全，但客戶才是確保資料安全的關鍵，尤其是面對釣魚及社交工程攻擊。</p> </div></div></div>
2025/8/6 12:06作者林妍溱https://www.ithome.com.tw/news/170438
6年後 OpenAI再釋出開放權重的語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在公眾期待下，在GPT-2推出6年後，OpenAI昨（5）日<a href="https://openai.com/global-affairs/open-weights-and-ai-for-all/" target="_blank">宣布釋出2款開放權重的模型</a><a href="http://openai.com/global-affairs/open-weights-and-ai-for-all/" target="_blank">gpt-oss</a><a href="https://openai.com/global-affairs/open-weights-and-ai-for-all/" target="_blank">系列</a>，目前僅支援文字，但具備高效能及推理能力。</p> <p>最新釋出的模型包含<a href="https://huggingface.co/openai/gpt-oss-120b" target="_blank">gpt-oss-120b</a>及<a href="https://huggingface.co/openai/gpt-oss-20b" target="_blank">gpt-oss-20b</a>。gpt-oss-120b號稱是該公司最強大的開放權重模型，適合單一H100 GPU平臺。gpt-oss-20b則為中等規模的開放模型，適合低延遲性應用。二者都是以寬鬆Apache 2.0授權開放，允許使用者自由開放，適合實驗、客製或商用部署。</p> <p><a href="https://platform.openai.com/docs/models" target="_blank">功能面</a>而言，目前gpt-oss-120b和gpt-oss-20b都僅支援文字輸出輸入（尚不支援影音）和基礎的回應，但是效能強大：提供131,072 context window，最大輸出131,072 token，也雙雙使用完整思維鏈可提升除錯和輸出品質，並且都具備代理人能力，支援函式呼叫、上網、Python程式碼執行及結構化輸出。此外，兩模型都允許依據應用場景和延遲性需求，調整推理能力強度、或微調參數。</p> <p>OpenAI也提供二個模型和旗艦模型OpenAI o3和o4-mini的比較。作為免費模型，gpt-oss-120b在推理與知識、數學緊追封閉模型，甚至在標竿測試AIME 2024中還超越o3及o4-mini。</p> <p>這是繼2019年的GPT-2、2021的CLIP和2022年的Whisper開放計畫之後，再度釋出開放權重的重要模型。今年初中國DeepSeek引發關注，掀起美國業界討論必須以開放模式加速AI普及，使OpenAI備受開放模型的壓力。今年3月執行長Sam Altman<a href="https://x.com/sama/status/1906793591944646898" target="_blank">承諾</a>會釋出開放權重模型。</p> <p>透過最新公布，OpenAI說開放模型允許政府或講求資料安全的組織自建模型及AI應用，該公司也計畫把二個模型整合到今年5月宣布的<a href="https://openai.com/zh-Hant/global-affairs/openai-for-countries/" target="_blank">OpenAI for Countries</a>（國家合作計畫），協助各國政府（第一個是美國）打造AI資料中心並確保資料主權。</p> </div></div></div>
2025/8/6 10:50作者林妍溱https://www.ithome.com.tw/news/170433
Ollama推出Turbo雲端服務，加速開源模型推論並支援大型模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ollama<a href="https://ollama.com/turbo">推出Turbo雲端服務</a>，將資料中心等級的運算資源整合進現有產品線，協助用戶提升開源大型語言模型的推論效率，並解決本地端硬體資源不足造成的效能瓶頸。該服務初期支援gpt-oss-20b及gpt-oss-120b等開源模型，採訂閱制收費模式，讓使用者以相對平價的方式，獲得穩定且高速的雲端推論能力。</p> <p>Ollama定位是提供本地部署開源語言模型的平臺，讓開發者能在Mac、Windows及Linux等環境，快速安裝並執行多種開源人工智慧模型。Ollama強調用戶資料隱私與模型運算自主控制，因此在企業內部或法規要求較高的應用場景具有一定市場需求。不過，隨著語言模型規模成長，參數數量動輒數十億上百億，超越多數消費級GPU的記憶體與算力負荷，這使得模型執行與推論速度大幅下降，甚至無法在標準個人電腦上正常運作。</p> <p>Ollama推出Turbo雲端服務回應上述挑戰，讓用戶可直接透過Ollama App、CLI或API切換至Turbo模式，由遠端資料中心負責模型推論運算。這一設計降低了本地端設備的運算壓力，提升大型模型的推論速度，並減少軟硬體升級所需的成本與時間。</p> <p>Turbo服務所有伺服器皆設置於美國，官方明確表示不會儲存或記錄用戶查詢內容，維持原有的隱私承諾。服務現階段以固定月費方式提供，並設有小時與每日使用配額，以確保系統穩定運作。後續預計引入用量計費模式，以因應不同類型用戶的彈性需求。</p> <p>Turbo雲端服務讓開發團隊不必再受限個人設備的GPU規格，即可評估、部署與測試大型開源語言模型，這對於中小型企業、教育機構或個人開發者降低進入人工智慧領域的門檻，並加速模型在實際專案中的落地。隨著支援的模型類型增加，將可涵蓋更多語言模型及生成式人工智慧應用場景。</p> </div></div></div>
2025/8/6 11:14作者李建興https://www.ithome.com.tw/news/170432
Anthropic釋出Claude Opus 4.1，強化代理任務、程式碼與推理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/claude-opus-4-1" target="_blank">Anthropic周二（8/5）釋出Claude Opus 4.1</a>，稱其為Claude Opus 4在代理任務、真實世界程式碼撰寫與推理能力上的升級版，並預告將在未來數周發表更大幅度的模型升級。</p> <p>Opus系列是Claude模型家族中最強的等級。根據Anthropic公布的基準測試結果，Claude Opus 4.1在多數項目中表現超越Opus 4，並於代理程式碼任務（SWE-bench Verified、Terminal-Bench）、代理工具使用（TAU-bench）、以及多語言問答任務（MMMU）等測試中，領先OpenAI的o3與Gemini 2.5 Pro。</p> <p>Claude Opus 4.1被視為當前最強的程式碼模型之一，可更準確地辨識並修復錯誤、有效處理多檔案重構，並減少冗贅與錯誤的產生。</p> <p>目前Claude Opus 4.1已可透過Claude Code、API、Amazon Bedrock與Google Cloud Vertex AI等平臺存取，並已在GitHub Copilot中開放預覽，預計兩周後將正式取代Opus 4。定價維持不變，每百萬個Token輸入15美元、輸出75美元。</p> </div></div></div>
2025/8/6 11:18作者陳曉莉https://www.ithome.com.tw/news/170435
Google更新V8引擎，物件序列化速度翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下的V8引擎開發團隊在最新釋出的13.8版本中，針對JavaScript語言內建的JSON序列化功能進行多項底層<a href="https://v8.dev/blog/json-stringify">最佳化</a>，使物件序列化效能超過原本的兩倍速。此項更新將隨著Chrome 138版推送至全球使用者，同時惠及所有以V8為基礎的應用環境，包括Node.js與Deno平臺。</p> <p>此次V8引擎的改進重點，在於對JSON.stringify函式建立了一條快速且無副作用的執行路徑，讓序列化過程不再需要進行複雜的副作用檢查或垃圾回收觸發判斷，進一步降低系統開銷。過去當開發者使用JSON.stringify轉換物件成JSON格式時，V8引擎必須透過遞迴方式處理資料，且每一層的巢狀結構都可能產生昂貴的執行成本或觸發堆疊溢位問題。而透過新的迭代式設計，開發者能處理更深的巢狀資料結構，且執行成本明顯降低。</p> <p>此外，V8開發團隊也針對字串序列化效率進行改善，透過提供專門的ASCII與非ASCII字元處理路徑，避免了頻繁的執行期間判斷。新版本中更引入了SIMD指令與SWAR（SIMD Within A Register）技術，能夠一次處理多個字元，快速偵測是否含有必須進行特殊跳脫的字元，進一步提高序列化的效率。</p> <p>不只如此，開發團隊也針對JavaScript物件的隱藏類別（Hidden Class）最佳化，V8引擎新增了fast-json-iterable的標記，只要物件經過一次完整序列化，確認不含Symbol鍵名、非列舉屬性，且鍵名不需跳脫特殊字元，即可被標記為快速可迭代。這表示在後續相同類型的物件序列化中，引擎可直接略過上述檢查步驟，大幅提升效能。此項技術不僅限於JSON.stringify，連JSON.parse函式也能受益於相同概念，縮短物件轉換的時間。</p> <p>數值轉字串的效能也同樣獲得提升，V8過去使用的Grisu3演算法，在處理特定數字時可能需要較多時間，團隊在新版選用新興的Dragonbox演算法取代，使數值到字串的轉換過程更快、更有效率。</p> <p>開發團隊也重新設計了序列化過程中使用的暫存緩衝區，原本的緩衝區設計為單一連續記憶體區塊，當資料量較大時必須多次重新配置更大空間並複製原資料，造成大量的記憶體使用量與CPU負載。新的設計採用多段式緩衝區，以V8內部的Zone記憶體區塊為基礎，當單一緩衝區填滿時直接增加新的一段，不再需要頻繁的記憶體複製，大幅降低資源消耗。</p> <p>V8官方透過JetStream2基準測試指出，新版引擎在json-stringify-inspector項目的測試，各平臺普遍呈現兩倍以上的效能改善。此次升級適用於多數典型使用情境，大部分開發者不需修改程式，即可獲得新版V8引擎性能提升的好處。</p> </div></div></div>
2025/8/6 09:31作者李建興https://www.ithome.com.tw/news/170425
時尚精品業者香奈兒發生資料外洩事故，傳出是該公司的Salesforce帳密遭駭所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時尚<a href="https://www.ithome.com.tw/news/170260">精品業者迪奧（Christian Dior Couture）</a>、<a href="https://www.ithome.com.tw/news/170106">路易威登（Louis Vuitton，LV）</a>先後在5月、7月傳出資料外洩的情況，兩起事故都出現<a href="https://www.ftnn.com.tw/news/446751">包含臺灣</a>在內的多個國家分公司客戶受到影響，其中LV傳出歹徒是存取第三方廠商的資料庫而得逞，如今時尚精品業者香奈兒（Chanel）也傳出資料外洩的事故。</p> <p>這起事故的公開，最早是<a href="https://wwd.com/business-news/retail/chanel-data-break-u-s-client-database-1238026491/">時尚新聞網站Women's Wear Daily（WWD）報導此事</a>，香奈兒於7月25日偵測到駭客入侵第三方服務供應商代管的資料庫，影響美國客戶，曝露他們的個人聯絡資訊。</p> <p>香奈兒發言人向WWD透露，根據初步調查結果，未經授權的外部人士取得相當有限的個資，這些受影響的客戶曾聯繫他們美國的客戶服務中心，曝險的資料包含姓名、電子郵件信箱、寄件地址，以及電話號碼。</p> <p>究竟攻擊者的身分為何？香奈兒並未說明，但<a href="https://www.bleepingcomputer.com/news/security/fashion-giant-chanel-hit-in-wave-of-salesforce-data-theft-attacks/">資安新聞網站Bleeping Computer取得相關資訊表示</a>，外流的資料來自香奈兒的Salesforce平臺，攻擊者的身分是勒索軟體駭客組織ShinyHunters。Bleeping Computer提及這些駭客入侵的手法，就如同Google上個月揭露UNC6040行動，是透過語音網釣（Vishing）而得逞，他們藉此竊取帳密資料，或是欺騙員工對惡意OAuth應用程式授予權限，從而入侵受害組織的Salesforce入口網站。</p> </div></div></div>
2025/8/6 09:36作者周峻佑https://www.ithome.com.tw/news/170431
WordPress布景主題Alone存在重大漏洞，已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資訊安全公司Wordfence<a href="https://www.wordfence.com/blog/2025/07/attackers-actively-exploiting-critical-vulnerability-in-alone-theme/">揭露</a>，一款名為Alone的WordPress布景主題存在重大安全漏洞CVE-2025-5394，並發現已有攻擊者利用該漏洞攻擊未修補的網站。該漏洞屬於9.8分的高危險性，能使未經授權的遠端攻擊者上傳惡意檔案，甚至執行遠端程式碼，最終導致網站被完全控制。Alone主題整體銷售量不大約9,000份，但目前Wordfence防火牆已偵測到超過12萬次的相關攻擊嘗試。</p> <p>Wordfence指出，該漏洞最早由研究人員於5月通報，經驗證後確認屬實，便隨即透過其防火牆規則提供防護。不過，攻擊者似乎早已掌握到原始碼變更，趕在官方公開揭露之前，便展開大規模的入侵嘗試。</p> <p>CVE-2025-5394漏洞出現在Alone布景主題提供的外掛安裝功能中，原本應有的權限檢查以及防止偽造請求的Nonce驗證機制，在特定功能alone_import_pack_install_plugin中皆缺乏實作，加上此功能透過WordPress AJAX API以nopriv模式開放，使得未經登入認證的攻擊者可直接執行，允許從遠端URL下載惡意壓縮檔並安裝，進一步導致遠端程式碼執行。</p> <p>攻擊者透過上傳藏有惡意後門的壓縮外掛檔案，植入具有網站管理員權限的帳號或執行後門程式，或是安裝網頁檔案管理工具，以便維持對網站的控制。Wordfence防火牆偵測的攻擊資料顯示，數個來自歐洲地區的IP位址特別活躍，其中單一IP就曾嘗試入侵超過3萬次，代表這類攻擊已高度自動化且大規模進行。</p> <p>CVE-2025-5394漏洞的修補版本為7.8.5，Alone主題開發者已於6月16日發布該修正版本。即使網站已透過Wordfence防火牆阻擋攻擊，研究人員仍建議所有網站管理人員立即更新主題至最新版本，確保網站運作與安全防護能力。</p> </div></div></div>
2025/8/6 08:00作者李建興https://www.ithome.com.tw/news/170422
【資安日報】8月5日，國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊活動橫行，也成為不少駭客取得受害企業組織初始入侵管道的主要手法，而今天恰巧我們整理到多篇網釣事故相關的資安新聞，其中與臺灣民眾最為相關的，莫過於尚未公布如何發放的普發現金議題，駭客自立法院通過相關條例之後，就將其用於誘餌，想要藉此竊取臺灣民眾的個資。</p> <p>鎖定開發人員的網釣攻擊也相當值得留意，我們才在上週報導<a href="https://www.ithome.com.tw/news/170341">PyPI警告有人針對套件開發者發動攻擊</a>，本週Mozilla基金會也對Firefox附加元件開發者提出警告，且有開發人員留言表示他們已經上當。另一方面，攻擊手法也出現變化，例如：資安業者Cloudflare揭露濫用資安業者惡意網址檢測服務的攻擊行動，雖然這兩個廠牌的服務用戶並不多，臺灣資安界僅需了解問題、保持警戒即可，但這代表網釣攻擊的手法也變得越來越複雜。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170420"><strong style="font-size: 22px;">兩家資安業者惡意網址檢測服務遭濫用，駭客用來隱藏有效酬載</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intermedia-image4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intermedia-image4.png" style="width: 300px; float: right;" /></a></p> <p>為了減少駭客透過電子郵件挾帶連結，導致使用者上當不慎點選，被帶往釣魚網站的情況，有些企業會導入資安業者提供的連結防護服務（Link Wrapping）來因應，例如：Proofpoint提供的URL Defense、Intermedia推出的LinkSafe，這些服務會重新包裝郵件連結的網址，在用戶點選連結的過程當中，進行掃描及封鎖威脅，但有駭客看上使用者對於這類保護機制的信任，濫用這些機制來降低用戶警覺。</p> <p>資安業者Cloudflare的旗下郵件安全團隊於今年6月至7月，發現有人積極利用Proofpoint與Intermedia的郵件網址連結防護服務，來掩蓋將使用者帶往網路釣魚有效酬載的意圖，若是使用者點選，就會被帶往各種Microsoft 365網釣頁面。</p> <p>Cloudflare舉出濫用Proofpoint服務的攻擊行動為例，駭客疑似入侵受到保護的用戶電子郵件帳號，透過URL Defense「洗白」惡意網址，然後產生看似合法的連結用於網路釣魚。對於駭客寄信的管道，除了透過上述的用戶帳號，也有透過其他駭客控制的電子郵件信箱來進行的情況。</p> <p><a href="https://www.ithome.com.tw/news/170418"><strong style="font-size: 22px;">駭客鎖定Firefox附加元件開發者發動網釣攻擊</strong></a></p> <p>Mozilla基金會上周警告，它們發現一起鎖定Mozilla附加元件（addons.mozilla.org，AMO）帳號的網路約魚攻擊行動，駭客假借Mozilla名義傳遞郵件，要求開發者更新AMO帳號，但或許只是要騙取開發者的登入憑證。</p> <p>該基金會提醒開發者在收到宣稱來自Mozilla的郵件要特別小心，不要點擊電子郵件中的任何連結；驗證該郵件是來自Mozilla所擁有的網域，例如firefox.com、mozilla.org或mozilla.com；確保所收到的電子郵件通過寄件者政策框架（SPF）、網域金鑰識別郵件（DKIM），以及基於網域的郵件檢查（DMARC）等驗證。</p> <p>Mozilla並未說明有多少開發者受到波及，但有開發人員於該篇文章的下方留言，表示自己已經上當，並主動刪除了擴充程式。</p> <p><a href="https://www.ithome.com.tw/news/170421"><strong style="font-size: 22px;">中國駭客挾持全球逾1.1萬臺安卓裝置，惡意軟體租用模式威脅持續擴大</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6888aebd224dde4a8e1eb55d_AD_4nXfSEL9YsUFGqPn6RvJz5jT5hsc3EKGlPN-Tx2aFhI-1rDb4Yrej0SjNqN9QUJqMCMlRqgGE22Or5DNbbWDQ7-NY0I0CmEplZJMUMCfCNcZVhwQl7phaGaZLHgCPgG1IbnYtSwg_MDajBCS-VyIup4c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6888aebd224dde4a8e1eb55d_AD_4nXfSEL9YsUFGqPn6RvJz5jT5hsc3EKGlPN-Tx2aFhI-1rDb4Yrej0SjNqN9QUJqMCMlRqgGE22Or5DNbbWDQ7-NY0I0CmEplZJMUMCfCNcZVhwQl7phaGaZLHgCPgG1IbnYtSwg_MDajBCS-VyIup4c.png" style="width: 300px; float: right;" /></a></p> <p>義大利資安業者Cleafy日前揭露，一個講中文的駭客組織開發名為PlayPraetor的遠端存取木馬，在不到三個月內感染全球超過1.1萬臺Android裝置。該組織採用「惡意軟體即服務」（Malware-as-a-Service，MaaS）模式，除了竊取受害者的銀行與加密貨幣帳戶資訊外，還開放控制權限給多個加盟駭客，形成可擴展的詐騙平臺。</p> <p>此次攻擊主要集中在歐洲（占58%感染）、非洲（22%）、美洲（12%）和亞洲（8%），其中葡萄牙、西班牙、法國為重災區，摩洛哥、秘魯、香港也有大量受害者。值得注意的是，駭客正從傳統的葡萄牙語目標轉向西班牙語和法語使用者，顯示攻擊策略的重大轉變。</p> <p>根據調查，駭客先是假冒Google Play商店，並提供含有惡意程式的偽造程式供使用者下載，例如Chrome或銀行程式；當不察的使用者下載並安裝程式之後，PlayPraetor便會開始執行，同時要求啟用Android的無障礙服務（Accessibility Services）以獲取完整控制權；再與駭客所設置C2伺服器建立連線。</p> <p><a href="https://www.ithome.com.tw/news/170424"><strong style="font-size: 22px;">歹徒以普發現金為由、冒名中央存保發動網釣攻擊，意圖騙取信用卡資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" style="width: 300px; float: right;" /></a></p> <p>7月11日立法院通過「因應國際情勢強化經濟社會及民生國安韌性特別條例」，編列總預算為5,450億元，其中明定全民普發現金新臺幣1萬元，經行政院宣布不提覆議、總統發布總統令後，公告此案正式生效，根據此特別條例，政府必須在今年10月底前向全民完成現金發放。然而在全民關注政府何時發放、如何領到這筆錢的同時，歹徒也伺機利用時事來從事詐騙。</p> <p>8月2日中央存款保險公司提出警告，有人假借他們的名義，佯稱民眾必須提供信用卡資料，才能領取政府普發的1萬元現金。他們也提供詐騙網頁的截圖，從圖中可以看到歹徒使用正體中文，並未夾雜簡體中文，但文句敘述不太完整，且出現臺灣不常使用的「銀行卡」一詞。</p> <p>值得留意的是，這並非他們首度針對歹徒以普發現金為誘餌行騙提出警告，該公司曾在7月10日、7月15日兩度發布新聞稿，他們接獲民眾通報，歹徒以寄送簡訊通知民眾，假借申請普發現金為由，引導到冒牌的中央存保網站填寫個資。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-join-attacks-targeting-microsoft-sharepoint-servers/">勒索軟體加入利用SharePoint零時差漏洞的行列</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fashion-giant-chanel-hit-in-wave-of-salesforce-data-theft-attacks/">時尚精品業者香奈兒發生資料外洩事故，傳出是Salesforce遭駭所致</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ctm360-spots-malicious-clicktok-campaign-targeting-tiktok-shop-users/">攻擊行動ClickTok鎖定抖音購物者而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/browser-extensions-exploit-chatgpt-gemini-man-in-the-prompt/">瀏覽器延伸套件可被用於提示人攻擊，對AI聊天機器人下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/vietnamese-hackers-use-pxa-stealer-hit.html">越南駭客透過竊資軟體PXA，攻擊4,000個IP位址、竊得20萬組帳密</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170415"><strong style="font-size: 22px;">Google Project Zero測試新漏洞揭露政策，將提早公布部分細節</strong></a></p> <p>Google專門揭露漏洞的Project Zero小組宣布測試一項新作法，將在通知原廠大約1星期後公告漏洞的部分細節，藉此加速用戶端的漏洞修補速度。</p> <p>Project Zero在2021年將漏洞揭露政策調整為現行的「90+30」，即給廠商90天修補釋出更新，以及30天用戶端安裝。然而Google發現這種做法存在重大問題，上游廠商如期釋出修補程式之後，有待負責將修補程式提供給使用者的下游廠商，將其整合到產品，這段時間產生的空窗期他們稱之為「上游修補空窗期（Upstream Patch Gap）」。</p> <p>為了縮短空窗期，Project Zero發布新的「通報透明度（Reporting Transparency）」政策並進行測試，未來在通報原廠漏洞約1星期後，Project Zero就會公布部分漏洞資料，包括接獲漏洞報告的廠商或開源專案、影響的產品、報告成立的日期，以及90天揭露期的大限日期。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170345"><strong>【7月31日】駭客挾持ATM出奇招，於隔離網路部署實體後門</strong></a></p> </div></div></div>
2025/8/5 17:58作者周峻佑https://www.ithome.com.tw/news/170429
雲端開發框架.NET Aspire 9.4釋出，新增互動儀表板與外部AI模型整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式發布雲端原生開發框架<a href="https://devblogs.microsoft.com/dotnet/announcing-aspire-9-4/">.NET Aspire 9.4</a>，該版本在原有分散式應用開發支援的基礎上，導入了儀表板互動功能與人工智慧模型託管整合，並將CLI命令列工具升級為正式版本。這一系列更新使Aspire框架趨於成熟，更符合現代人工智慧開發的需求。</p> <p>.NET Aspire 9.4一大重點是Aspire CLI正式推出。Aspire CLI在多個版本的預覽測試後，終於在9.4版首次以原生AOT（Ahead-Of-Time）編譯模式釋出，具跨平臺、高效啟動的特性。CLI目前支援四項核心指令，包括建立新專案、加入Aspire資源、設定本地或全域組態，以及直接執行完整應用堆疊。</p> <p>開發人員可利用CLI快速啟動範本專案、整合各式資源，並在不同目錄下執行應用及管理設定。此外，CLI也支援執行（exec）與部署（deploy）兩項指令，這兩項功能目前屬於Beta階段，開發者可根據需求在本機或雲端環境進行測試和驗證。</p> <p>在儀表板更新方面，Aspire 9.4引入互動服務（Interaction Service），讓開發者可在儀表板執行期間，設計更細緻的參數輸入與互動流程。這項設計消除過去儀表板僅用於監控服務狀態的限制，進一步成為可即時收集開發或測試所需資訊的平臺。</p> <p>當應用啟動或部署時，儀表板會根據AppHost定義，自動彈出對話框提示使用者輸入尚未設定的參數，包括文字、密碼、數值、選項與布林等多種值。這減少了開發人員維護多分本地設定檔的負擔，同時可利用Markdown說明各個欄位。</p> <p>另一個重要的更新是人工智慧模型託管支援的擴充。Aspire 9.4新增了GitHub Models與Azure AI Foundry兩項預覽整合，開發者可在AppHost註冊人工智慧模型，並選擇本地執行或部署到Azure雲端，能與Azure AI Inference用戶端協同運作，完整串連分散式應用與人工智慧推論流程。這些整合同時支援OpenTelemetry追蹤，提升人工智慧服務的可觀測性。</p> <p>在外部API連結方面，Aspire 9.4強化了AddExternalService功能，開發者可將任意第三方API資源建模並納入應用程式主機，以健康檢查、依賴關係管理等方式進行統一控管。YARP整合也有更新，開發人員現在可以透過型別安全且語法直覺的API來設定各種轉換規則，使反向代理的設定流程更加簡單且一致，不只易於維護，也方便串接各類微服務或外部資源。</p> </div></div></div>
2025/8/5 17:35作者李建興https://www.ithome.com.tw/news/170419
歹徒以普發現金為由、冒名中央存保發動網釣攻擊，意圖騙取信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月11日立法院通過「因應國際情勢強化經濟社會及民生國安韌性特別條例」，編列總預算為5,450億元，其中明定全民普發現金新臺幣1萬元，經行政院宣布不提覆議、總統發布總統令後，公告此案正式生效，根據此特別條例，政府必須在今年10月底前向全民完成現金發放。然而在全民關注政府何時發放、如何領到這筆錢的同時，歹徒也伺機利用時事來從事詐騙。</p> <p>8月2日<a href="https://www.cdic.gov.tw/main_ch/docDetail.aspx?uid=19&pid=6&docid=2843">中央存款保險公司提出警告</a>，有人假借他們的名義，佯稱民眾必須提供信用卡資料，才能領取政府普發的1萬元現金。他們也提供詐騙網頁的截圖，從圖中可以看到歹徒使用正體中文，並未夾雜簡體中文，但文句敘述不太完整，且出現臺灣不常使用的「銀行卡」一詞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" style="width: 348px;" /></a></p> <p>中央存保強調，他們不會透過網頁、簡訊、電話要求民眾提供個資，呼籲民眾必須提高警覺，勿提供相關資料，收到相關訊息也不要轉傳。值得留意的是，這並非他們首度針對歹徒以普發現金為誘餌行騙提出警告，該公司曾在<a href="https://www.cdic.gov.tw/main_ch/docdetail.aspx?uid=234&pid=6&docid=2835">7月10日</a>、<a href="https://www.cdic.gov.tw/main_ch/docDetail.aspx?uid=19&pid=6&docid=2836">7月15日</a>兩度發布新聞稿，他們接獲民眾通報，歹徒以寄送簡訊通知民眾，假借申請普發現金為由，引導到冒牌的中央存保網站填寫個資。</p> <p><a href="https://s4.itho.me/sites/default/files/images/8957a89a-2063-4c4d-80b9-7fa08b92c512.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/8957a89a-2063-4c4d-80b9-7fa08b92c512.jpg" style="width: 580px;" /></a></p> </div></div></div>
2025/8/5 15:58作者周峻佑https://www.ithome.com.tw/news/170424
勒索軟體Anubis攻擊Windows、安卓裝置竊取資料、刪除檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興勒索軟體Anubis近來鎖定Windows及Android用戶發動攻擊，已在美國、歐洲、澳洲等地攻擊醫療、營建組織，能竊取資料、刪除檔案還會防止回復。</p> <p>Anubis最早出現於2024年11月，為勒索軟體組織。雖然不確定是它來自哪個區域，但證據顯示攻擊者操俄語。雖然活動時間不長，但透過重大基礎架構及鎖定高價值目標（<a href="https://www.ithome.com.tw/news/169699" target="_blank">如法國迪士尼樂園</a>）使其在網路犯罪界及資安界都引起關注。</p> <p><a href="https://www.bitsight.com/blog/anubis-ransomware-group-overview-and-evolution" target="_blank">資安公司BitSight近日發佈</a>State of the Underground 2025報告，揭露Anubis的攻擊手法及受害者樣貌。</p> <p>Anubis提供單純的RaaS (Ransomware as a Service)基礎架構，和同夥80/20分帳，也可為客戶提供資料竊取及勒索服務。在攻擊手法上，Anubis主要透過社交工程發送精準釣魚信件挾帶惡意附件或連結來駭入受害裝置、使用指令及腳本解釋器（command and scripting interpreter）及參數控制執行，還運用有效帳號躲避偵測。一旦開始行動，這隻勒索軟體最大特徵是抹除模式，像是將檔案降到0 KB。它還會避免加密系統目錄如system32、windows及program file等目錄，以防系統當機。</p> <p>目前Anubis受害者涵括Android和Windows裝置。在Android平臺上，它主要以銀行木馬形式出現。它常利用大量文字簡訊散佈以擴大攻擊面、使用冒充登入提示的外覆（overlay）畫面、螢幕和鍵盤側錄來竊取憑證。受害者會被鎖住無法登入，而它一旦找到目標檔案就會外送到攻擊者控制的伺服器。</p> <p>在Windows平臺上，Anubis就發揮RaaS的攻擊能力，包括會利用憑證提升權限、並在加密檔案後刪除檔案、移除磁碟區陰影拷貝（Volume Shadow Copy）避免回復可能性、它還會終止特定系統服務以利其加密及進一步降低回復可能性。</p> <p>Anubis目前受害者著重特定產業，如醫療、營建和專業服務組織。目前確知其受害者分佈於美國、法國、澳洲及祕魯。澳洲一家醫院遭其竊走病患個資、醫療資訊及保險卡資訊。研究人員呼籲用戶針對其攻擊手法留意可疑的偵察或濫用行動。</p> </div></div></div>
2025/8/5 14:28作者林妍溱https://www.ithome.com.tw/news/170417
駭客鎖定Firefox附加元件開發者發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/addons/2025/08/01/warning-phishing-campaign-detected/" target="_blank">Mozilla基金會上周警告</a>，它們發現一起鎖定Mozilla附加元件（addons.mozilla.org，AMO）帳號的網路約魚攻擊行動，駭客假借Mozilla名義傳遞郵件，要求開發者更新AMO帳號，但或許只是要騙取開發者的登入憑證。</p> <p>該基金會提醒開發者在收到宣稱來自Mozilla的郵件要特別小心，不要點擊電子郵件中的任何連結；驗證該郵件是來自Mozilla所擁有的網域，例如firefox.com、mozilla.org或mozilla.com；確保所收到的電子郵件通過寄件者政策框架（Sender Policy Framework，SPF）、網域金鑰識別郵件（DomainKeys Identified Mail，DKIM）及基於網域的郵件檢查（Domain-based Message Authentication, Reporting & Conformance，DMARC）等驗證。</p> <p>在開啟連結之前，驗證電子郵件中的連結是否指向mozilla.org或firefox.com；以及只在mozilla.org或firefox.com輸入Mozilla的使用者名稱與密碼。</p> <p>Mozilla並未說明有多少開發者受到波及，但至少有一名開發人員於該篇文章的下方留言，宣稱自己已經上當，並主動刪除了擴充程式。</p> <p>一旦駭客取得開發人員的AMO帳號，即有機會偽造更新並於附加元件中植入惡意程式碼。</p> </div></div></div>
2025/8/5 14:36作者陳曉莉https://www.ithome.com.tw/news/170418