iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 06:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Claude Sonnet 4公測支援百萬Token上下文
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/news/1m-context">宣布</a>其Claude Sonnet 4模型現支援最高100萬Token的上下文長度，提升為原本的5倍，使開發者能在單一請求中處理規模更大的資料與程式碼。目前長上下文功能仍處於公測階段，已於Anthropic API與Amazon Bedrock開放使用，並計畫近期在Google雲端的Vertex AI推出。</p> <p>上下文長度擴充代表模型在一次對話中能保留並運用更多資訊，對需要跨檔案分析與多步驟推理的應用尤其重要。在程式碼分析情境中，開發團隊可一次載入更完整的程式碼庫，包括原始碼、測試與文件，讓Claude掌握系統架構，辨識跨檔案相依性，並在生成建議時能夠兼顧整體設計。</p> <p>在文件處理上，開發者可同時載入與分析數百份合約、技術規格書或研究論文，掌握資料關聯性的全貌。長上下文也讓智慧代理能在多工具呼叫與長流程任務中維持一致脈絡，減少反覆提供背景資訊的需求。</p> <p>Anthropic針對長上下文導入分級計價，輸入長度在20萬Token以內，收費為輸入每百萬Token 3美元，輸出15美元，而超過此長度則調整為輸入6美元，輸出22.5美元。針對龐大內容處理需求，官方建議搭配提示詞快取功能降低延遲與成本，並指出結合批次處理可再節省約50％的費用。</p> </div></div></div>
2025/8/14 08:39作者李建興https://www.ithome.com.tw/news/170596
【資安日報】8月13日，微軟、SAP發布8月份安全性例行更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨天是許多軟體業者、工控設備製造商發布8月例行更新的日子，其中微軟修補的資安漏洞仍然是焦點，原因在於這次重大層級的資安漏洞創下今年新高，多達17個，較前7個月約在10至12個多出不少，這樣的情況也引起資安業者Rapid7、漏洞懸賞專案Zero Day Initiative提出警告，呼籲用戶要優先處理部分漏洞。</p> <p>另一方面，企業軟體解決方案SAP發布的資安公告也相當值得留意，他們這次公告兩項風險值達到9.9分的漏洞，影響S/4HANA、Landscape Transformation（SLT）兩套系統，攻擊者甚至能拿來當作後門，相當危險。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170597"><strong style="font-size: 22px;">Fortinet SSL VPN設備遭遇大規模暴力破解攻擊，駭客目標疑為同廠牌網路管理平臺</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/689a46307d280a004f7dd192_GreyNoise-Visualizer-Fortinet-SSL-VPN-Bruteforcer.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/689a46307d280a004f7dd192_GreyNoise-Visualizer-Fortinet-SSL-VPN-Bruteforcer.png" style="width: 300px; float: right;" /></a></p> <p>供員工遠端存取公司內部環境的SSL VPN系統，經常成為網路攻擊活動鎖定的主要目標，對方企圖趁虛而入的部分，過去大多數VPN系統本身未修補的資安弱點，然而，也有可能是身分存取管理上的缺失。例如，今年4月，Fortinet針對防火牆用戶提出警告，他們發現有人針對啟用SSL VPN功能的設備發動攻擊，如今再傳針對該廠牌SSL VPN系統的攻擊行動，但特別的是，攻擊目標竟是同廠牌的網路管理平臺。</p> <p>威脅情報業者GreyNoise揭露自8月3日出現的攻擊行動，駭客針對Fortinet SSL VPN系統而來，在一天內透過782個IP位址試圖進行暴力破解。事隔兩天，他們偵測到第二波攻擊，攻擊者使用完全不同的TCP簽章犯案，這種情況引起GreyNoise的注意並著手調查。</p> <p>結果發現，雖然兩波攻擊都是對SSL VPN下手，試圖進行暴力破解，但第一波攻擊行動的目標，是防火牆作業系統FortiOS的組態檔案，而第二波轉向了網路管理平臺FortiManager。這樣的現象，代表攻擊者很可能透過相同的基礎設施或是作案工具，向不同的Fortinet裝置下手。</p> <p><a href="https://www.ithome.com.tw/news/170589"><strong style="font-size: 22px;">駭客公開安聯人壽被竊客戶、合作夥伴280萬筆資料</strong></a></p> <p>7月安聯人壽通報其使用的第三方系統遭到駭客攻擊，導致客戶資料外洩。根據資安新聞網站Bleeping Computer報導，受駭的是安聯人壽的Salesforce系統，而攻擊者的身分是ShinyHunters。雖然該公司未透露多少人資料外洩，但根據科技網站Techcrunch報導，美國分公司約有140萬客戶，大部分客戶都受到影響。</p> <p>事件在本周出現新進展。根據Bleeping Computer報導，ShinyHunters似乎和Scattered Spider及Lapsus$整合，周末在Telegram頻道以ScatteredLapsuSp1d3rHunters帳號公開安聯人壽的客戶檔案，可能是為了兜售更大量資料提供的樣本。</p> <p>這批檔案包含「帳戶」、「聯絡資料」資料表格，屬於安聯人壽個人保戶及業務合作夥伴，後者包括財富管理、仲介商及財務顧問公司。資料總筆數約為280萬。外洩的資料有的顯然來自Salesforce，如姓名、地址、電子郵件、電話、生日、稅籍資料，也有業務資料如證照、合作公司、行銷分類，以及核准進度等。</p> <p><a href="https://www.ithome.com.tw/news/170591"><strong style="font-size: 22px;">法國電信業者Bouygues Telecom傳資料外洩，影響640萬客戶</strong></a></p> <p>法國電信業者Bouygues Telecom本周公告遭到網路攻擊，導致640萬用戶資料外洩。</p> <p>Bouygues Telecom指出，未經授權的第三方人士存取該公司640萬用戶帳號的部分資料，該公司技術團隊已在最短時間內解決入侵，採取所有必要的額外措施。除了聯繫法國網路安全及資料保護主管機關，該公司也以電子郵件或簡訊通知受影響的用戶。</p> <p>根據Bouygues Telecom於網站發出的公告，外洩資訊包含用戶聯絡資訊、合約、公民身份資料或企業用戶的公司資料，以及國際銀行帳號編號（IBAN），信用卡號及密碼不受影響。Bouygues Telecom提醒用戶留意因資料外流引發的詐騙簡訊、電話及電子郵件。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/royal-and-blacksuit-ransomware-gangs-hit-over-450-us-companies/">450家美國企業慘遭勒索軟體Royal、BlackSuit毒手</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/netherlands-citrix-netscaler-flaw-cve-2025-6543-exploited-to-breach-orgs/">荷蘭警告Citrix NetScaler重大漏洞已被用於攻擊關鍵基礎設施</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-kimsuky-hackers-exposed-in-alleged-data-breach/">北韓駭客Kimsuky內部資料遭公開，作案工具與目標名單曝光</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170588"><strong style="font-size: 22px;">微軟發布8月例行更新，修補已被公開的Kerberos零時差漏洞</strong></a></p> <p>8月12日微軟發布每月例行更新（Patch Tuesday），總共修補111項漏洞，數量較上個月130個有所下降。從漏洞的類型來看，權限提升（EoP）漏洞最多，有44個，其次是遠端程式碼執行（RCE）漏洞，有35個；其餘為資訊洩露、可被用於欺騙的漏洞、阻斷服務（DoS），以及能用來竄改的漏洞，分別有18個、9個、4個、1個。</p> <p>根據漏洞的嚴重程度而言，有17個被評為重大層級，數量是今年最多的一次，其中9個是RCE漏洞、4個是資訊洩露漏洞、3個是權限提升漏洞，以及1個能被用於欺騙的漏洞。</p> <p>值得留意的是，這次有一個是在修補之前就被公開的Kerberos零時差權限提升漏洞CVE-2025-53779，微軟指出為相對路徑穿越（CWE-23）類型的弱點，通過身分驗證的攻擊者有機會藉此取得網域管理員權限，CVSS風險評為7.2。特別的是，他們提到攻擊者利用漏洞的前提，是必須提升「委派控管服務帳號（Delegated Managed Service Account，dMSA）」特定屬性的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/170594"><strong style="font-size: 22px;">SAP修補S/4HANA、Landscape Transformation重大漏洞</strong></a></p> <p>SAP於本週二（8月12日）發布本月例行更新（Security Patch Day），一共修補15項資安漏洞，其中有兩項接近滿分的資安漏洞CVE-2025-42950、CVE-2025-42957，格外引人關注。</p> <p>上述兩項漏洞都可被用於程式碼注入，分別影響SAP Landscape Transformation（SLT）的分析平臺，以及私有雲型態與本地建置的S/4HANA系統，對於這些漏洞帶來的影響，SAP提及攻擊者在取得使用者的權限下，就有機會透過RFC在特定的功能模組觸發漏洞，從而在目標系統注入任何ABAP程式碼，並繞過基本的授權檢查流程。這些漏洞可被拿來當作後門，產生整個系統可能遭到入侵的風險，從而破壞機密性、完整性、可用性。</p> <p>特別的是，SAP對這兩項漏洞的說明幾乎一模一樣，長期觀察與分析SAP每月例行更新的資安業者Onapsis指出，兩者其實是完全相同的程式碼注入漏洞，這些漏洞存在於一項遠端啟用的SAP功能模組；對於SLT平臺來說，主要是影響已部署特定版本Data Migration Server（DMS）附加元件的SAP ECC用戶。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/jenkins-servers-risk-rce-vulnerability-cve-2025-53652/">Jenkins外掛程式存在重大漏洞，1.5萬臺伺服器恐曝險</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/xerox-freeflow-flaws/">全錄列印流程自動化軟體FreeFlow存在資安漏洞，恐被用於SSRF、RCE攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170582"><strong>【8月12日】俄羅斯駭客挖出WinRAR新的零時差漏洞，已用於網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170551"><strong>【8月11日】SonicWall防火牆近期遭勒索軟體攻入的原因出爐：駭客利用已知漏洞從事攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170497"><strong>【8月8日】越南駭客竊資軟體攻擊行動升溫，逾20萬組帳密遭竊</strong></a></p> </div></div></div>
2025/8/13 17:27作者周峻佑https://www.ithome.com.tw/news/170598
Fortinet SSL VPN設備遭遇大規模暴力破解攻擊，駭客目標疑為同廠牌網路管理平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供員工遠端存取公司內部環境的SSL VPN系統，經常成為網路攻擊活動鎖定的主要目標，對方企圖趁虛而入的部分，過去大多數VPN系統本身未修補的資安弱點，然而，也有可能是身分存取管理上的缺失。例如，今年4月，<a href="https://www.ithome.com.tw/news/168399">Fortinet針對防火牆用戶提出警告</a>，他們發現有人針對啟用SSL VPN功能的設備發動攻擊，如今<a href="https://www.greynoise.io/blog/vulnerability-fortinet-vpn-bruteforce-spike">再傳針對該廠牌SSL VPN系統的攻擊行動</a>，但特別的是，攻擊目標竟是同廠牌的網路管理平臺。</p> <p>威脅情報業者GreyNoise揭露自8月3日出現的攻擊行動，駭客針對Fortinet SSL VPN系統而來，在一天內透過782個IP位址試圖進行暴力破解。事隔兩天，他們偵測到第二波攻擊，攻擊者使用完全不同的TCP行為特徵犯案，這種情況引起GreyNoise的注意並著手調查。</p> <p>結果發現，雖然兩波攻擊都是對SSL VPN下手，試圖進行暴力破解，但第一波攻擊行動的目標，是防火牆作業系統FortiOS的組態檔案，而第二波轉向了網路管理平臺FortiManager。這樣的現象，代表攻擊者很可能透過相同的基礎設施或是作案工具，向不同的Fortinet裝置下手。</p> <p>當GreyNoise對第二波攻擊的資料進行檢視，他們找到更多線索。其中一臺FortiGate設備曾在6月大規模攻擊受害，此設備位於特定的網際網路服務供應商區域，呈現獨特的用戶端行為特徵。對此他們研判，駭客的暴力破解工具初期似乎是從家用網路環境進行測試或啟動，但也有另一種可能的狀況是，攻擊行動運用了<a href="https://www.ithome.com.tw/tags/residential-proxy">非法代理伺服器（Residential Proxy）</a>隱匿行蹤。</p> </div></div></div>
2025/8/13 17:19作者周峻佑https://www.ithome.com.tw/news/170597
Threads每月用戶數達到4億，縮小與X差距
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta社交平臺Threads用戶數再創新高，<a href="https://www.threads.com/@mosseri/post/DNQuTFlCV9P?xmt=AQF0nwH7qEo6o0zfyZegfAxeuRU4fdNTdeLsi9b2MGLbVw" target="_blank">Instagram負責人Adam Mosseri本周宣布</a>，Threads每月活躍用戶數已突破4億大關。意謂著微型部落格的後起之秀Threads正迅速縮小與X的差距，根據<a href="https://x.com/elonmusk/status/1793779530282443086" target="_blank">馬斯克（Elon Musk）去年5月的說法</a>，X每月用戶數為6億，每日則是3億。</p> <p>根據外電報導，Meta創辦人暨執行長祖克柏（Mark Zuckerberg）在今年4月的第一季財報會議上曾揭露，Threads的每月用戶數為3.5億，而今則已成長到4億。外界則估計，X現在的每月用戶數可能介於5.5~6億之間。</p> <p>X創立於2006年，當時名為Twitter，在2022年被馬斯克以440億美元收購，並在2023年7月將它更名為X；至於Threads則是Meta於2023年推出的競爭平臺，與Instagram帳號連動，用戶數在短短5天突破1億，創下社交平臺紀錄。</p> <p>X主要的營收來源為廣告，Threads亦在今年1月開始測試廣告服務，<a href="https://www.ithome.com.tw/news/168571" target="_blank">接著在4月擴大部署</a>。</p> </div></div></div>
2025/8/13 15:39作者陳曉莉https://www.ithome.com.tw/news/170593
SAP修補S/4HANA、Landscape Transformation重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP於本週二（8月12日）<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/august-2025.html">發布本月例行更新（Security Patch Day）</a>，一共修補15項資安漏洞，其中有兩項接近滿分的資安漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42950">CVE-2025-42950</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42957">CVE-2025-42957</a>，格外引人關注。</p> <p>上述兩項漏洞都可被用於程式碼注入，分別影響SAP Landscape Transformation（SLT）的分析平臺，以及私有雲型態與本地建置的S/4HANA系統，對於這些漏洞帶來的影響，SAP提及攻擊者在取得使用者的權限下，就有機會透過RFC在特定的功能模組觸發漏洞，從而在目標系統注入任何ABAP程式碼，並繞過基本的授權檢查流程。這些漏洞可被拿來當作後門，產生整個系統可能遭到入侵的風險，從而破壞機密性、完整性、可用性。</p> <p>特別的是，SAP對這兩項漏洞的說明幾乎一模一樣，長期觀察與分析SAP每月例行更新的<a href="https://onapsis.com/blog/sap-security-notes-august-2025-patch-day/">資安業者Onapsis指出</a>，兩者其實是完全相同的程式碼注入漏洞，這些漏洞存在於一項遠端啟用的SAP功能模組；對於SLT平臺來說，主要是影響已部署特定版本Data Migration Server（DMS）附加元件的SAP ECC用戶。</p> <p>對於<a href="https://www.ithome.com.tw/news/168325">今年4月修補的</a>重大漏洞CVE-2025-27429，SAP也在這次產品資安公告當中，標示他們已更新當中的說明，此為存在於S/4HANA的程式碼注入漏洞，CVSS達到9.9分，該公司補充說明的資訊？非SAP用戶無法知道變更的部分，根據Onapsis的透露，SAP是在支援套件及修補程式的段落敘述，加入額外資訊。</p> </div></div></div>
2025/8/13 15:49作者周峻佑https://www.ithome.com.tw/news/170594
Salesforce CoAct-1模型混合點擊與程式執行，電腦代理效率與成功率雙提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce、南加州大學與華盛頓大學研究團隊合作，發表新一代電腦使用<a href="https://arxiv.org/pdf/2508.03923">代理模型CoAct-1</a>，在最新OSWorld基準測試中達成60.76％的成功率，刷新現有紀錄，並將平均完成任務步數降至約11步。該研究在設計上突破傳統僅依靠圖形使用者介面（GUI）操作的限制，將撰寫與執行程式碼納入主要行動模式，使代理在執行長鏈任務與複雜操作時更具效率與穩定性。</p> <p>CoAct-1研究的創新在於引入程式執行，使其成為與GUI操作同等重要的行動，並以多代理協作架構進行任務分工。系統包含一個調度器（Orchestrator），能依任務特性動態分派子任務給兩類代理，其一是負責螢幕點擊、表單填寫等視覺互動的GUI Operator，另一個則是可直接在作業系統上撰寫並執行Python或Bash腳本的程式開發代理（Programmer）。該設計讓代理在處理檔案管理、資料處理等重複或繁複的任務時，能透過程式一次完成，避免受限於易變的GUI元素，提高任務完成的可靠性。</p> <p>當程式開發代理完成子任務後，會將與程式碼解譯器的對話摘要及畫面截圖，回傳給調度器作為記憶的一部分。GUI Operator則回傳所需資訊，同樣存入調度器記憶。兩者之間不共享對話紀錄，每次子任務完成後會清除各自的即時記錄，以確保專注於當前任務並減少干擾。</p> <p>在OSWorld測試中，CoAct-1的60.76％成功率明顯超越其他同類系統，像是Agent S2.5 w/ o3的56.0％與GTA1 w/ o3的53.1％。更重要的是，該系統在平均步數上大幅縮減，從主流GUI代理的約15步下降到約11步，在長任務鏈與複雜操作存在顯著的效率優勢。對於需要在不同環境進行穩定、自動化操作的應用場景，如軟體部署、批次資料處理、跨系統檔案整理，這種混合操作模式提供了更具彈性與可擴展性的解決方案。</p> </div></div></div>
2025/8/13 15:59作者李建興https://www.ithome.com.tw/news/170592
HSI拆解Royal與BlackSuit勒索軟體基礎設施，受害美國機構逾450家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全調查局（Homeland Security Investigations，HSI）華盛頓特區辦事處<a href="https://www.ice.gov/news/releases/ice-washington-dc-leads-international-takedown-blacksuit-ransomware-infrastructure">宣布</a>，聯合美國多個執法單位與國際夥伴，成功拆解BlackSuit勒索軟體的關鍵基礎設施。BlackSuit被視為Royal勒索軟體的繼任者，自2022年起兩者合計已在美國鎖定超過450家已知受害機構，涵蓋醫療、教育、公共安全、能源與政府部門，勒索金額估算約達3.7億美元。此次行動查扣伺服器、網域與數位資產，並關閉攻擊者用來部署勒索軟體、勒索受害者與洗錢的基礎設施。</p> <p>HSI指出，此次行動屬於代號Operation Checkmate行動的一部分，由歐洲刑警組織聯合網路行動特遣隊（J-CAT）協調，目標直指Royal與BlackSuit勒索集團。行動由HSI多個國際辦事處與美國司法部、IRS-CI、FBI及多國執法單位合作完成，包括英國、德國、愛爾蘭、烏克蘭、立陶宛、法國與加拿大等國警政機關參與。</p> <p>HSI網路犯罪中心副助理主任Michael Prado表示，瓦解勒索軟體基礎設施不只是關閉伺服器，更是要摧毀支撐網路犯罪活動的整個生態系。這些行動是多年國際協作的成果，華盛頓特區代理特別探員負責人Christopher Heck則補充，HSI將持續針對這類集團的基礎設施、資金流向與操作人員，確保其無處可藏。</p> <p>根據官方資料，Royal與BlackSuit採取的手法屬於雙重勒索，攻擊者先入侵並加密受害者系統，接著威脅公開竊取的資料，藉此增加支付贖金的壓力。這類攻擊對於需要長時間保持服務不中斷的產業，例如醫療院所或公共安全單位尤其嚴重。</p> <p>Royal在2022年崛起，被安全研究人員普遍視為源自已解散的Conti勒索軟體成員，BlackSuit則於2023年出現，程式碼與攻擊手法高度相似，被認為是Royal改名後的延續。FBI與美國網路安全暨基礎設施安全局（CISA）早在2024年就已針對這兩個集團發布警告與技術指引，呼籲各界落實多因素驗證、強化遠端連線安全、定期離線備份與驗證還原流程。</p> <p>目前，該案件由美國維吉尼亞東區聯邦檢察官辦公室主導起訴，並與國際夥伴持續合作，追究涉案人員的刑事責任。雖然官方未公布逮捕細節，但此次查扣行動已對BlackSuit的運作造成重大干擾，並削弱其透過暗網洩漏平臺威脅受害者的能力。</p> </div></div></div>
2025/8/13 14:34作者李建興https://www.ithome.com.tw/news/170586
法國電信業者Bouygues Telecom傳資料外洩，影響640萬客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國電信業者<a href="https://www.corporate.bouyguestelecom.fr/wp-content/uploads/2025/08/CP-20250806-Bouygues-Telecom-annonce-avoir-ete-victime-dune-cyberattaque.pdf" target="_blank">Bouygues Telecom本周公告遭到網路攻擊</a>，導致640萬用戶資料外洩。</p> <p>Bouygues Telecom指出，透過這起攻擊，一個未經授權的第三方人士或行動者存取該公司640萬用戶帳號的部分資料。該公司技術團隊已在最短時間內解決入侵，採取所有必要的額外措施。除了聯繫法國網路安全及資料保護主管機關，該公司也以電子郵件或簡訊通知受影響的用戶。</p> <p>根據<a href="https://site.infos.bouyguestelecom.fr/pages/2644" target="_blank">Bouygues Telecom官網</a>貼出的客戶聯絡內容，外洩資訊包含用戶聯絡資訊、合約、公民身份資料或企業用戶的公司資料，以及國際銀行帳號編號（IBAN）。Bouygues Telecom提醒用戶留意因資料外流引發的詐騙簡訊、電話及電子郵件。</p> <p>但這家電信業者表示用戶信用卡號及密碼不受影響。</p> <p>上周法國電信巨擘<a href="https://www.ithome.com.tw/news/170317" target="_blank">Orange也公告網路攻擊事件</a>，Orange 7月25日偵測到一個IT系統遭到攻擊，該公司安全及IT部門為阻斷災情而就隔離受影響的系統，卻也造成Orange部份企業用戶的特定管理服務和平臺以及數個消費者服務的運作中斷長達數天。</p> </div></div></div>
2025/8/13 15:02作者林妍溱https://www.ithome.com.tw/news/170591
微軟發布8月例行更新，修補已被公開的Kerberos零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月12日微軟<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Aug">發布每月例行更新（Patch Tuesday）</a>，總共修補111項漏洞，數量較<a href="https://www.ithome.com.tw/news/169956">上個月130個</a>有所下降。從漏洞的類型來看，權限提升（EoP）漏洞最多，有44個，其次是遠端程式碼執行（RCE）漏洞，有35個；其餘為資訊洩露、可被用於欺騙的漏洞、阻斷服務（DoS），以及能用來竄改的漏洞，分別有18個、9個、4個、1個。</p> <p>根據漏洞的嚴重程度而言，有17個被評為重大層級，數量是今年最多的一次，其中9個是RCE漏洞、4個是資訊洩露漏洞、3個是權限提升漏洞，以及1個能被用於欺騙的漏洞。</p> <p>值得留意的是，這次有一個是在修補之前就被公開的Kerberos零時差權限提升漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53779">CVE-2025-53779</a>，微軟指出為相對路徑穿越（CWE-23）類型的弱點，通過身分驗證的攻擊者有機會藉此取得網域管理員權限，CVSS風險評為7.2。特別的是，他們提到攻擊者利用漏洞的前提，是必須提升「委派控管服務帳號（Delegated Managed Service Account，dMSA）」特定屬性的存取權限。</p> <p>針對上述漏洞，微軟並未透露太多細節，<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2025-patch-tuesday-fixes-one-zero-day-107-flaws/">資安新聞網站Bleeping Computer提及</a>，該漏洞的通報者是Akamai資安研究員Yuval Gordon，他曾在5月份公布一項<a href="https://www.ithome.com.tw/news/169126">dMSA權限提升漏洞BadSuccessor</a>。兩者之間是否有關，有待進一步釐清。</p> <p>由於這次重大層級的漏洞相當多，甚至出現滿分漏洞CVE-2025-53767，此為出現於Azure OpenAI的伺服器偽造請求（SSRF）型態弱點，可被用於權限提升，但長期觀察、分析微軟每月例行更新的<a href="https://www.rapid7.com/blog/post/patch-tuesday-august-2025/">資安業者Rapid7</a>、<a href="https://www.zerodayinitiative.com/blog/2025/8/12/the-august-2025-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）</a>，皆提出警告，他們認為有幾項重大層級的RCE漏洞特別值得留意。</p> <p>其中，Rapid7與ZDI不約而同提及兩項風險值達到9.8分的漏洞，它們分別是Windows圖形元件漏洞CVE-2025-50165，以及GDI+漏洞CVE-2025-53766。此外，Rapid7認為DirectX圖形核心RCE漏洞CVE-2025-50176也需要注意；ZDI也對Office漏洞CVE-2025-53731、CVE-2025-53740，以及SharePoint漏洞CVE-2025-49712，提出警告。</p> </div></div></div>
2025/8/13 12:48作者周峻佑https://www.ithome.com.tw/news/170588
駭客公開安聯人壽被竊客戶、合作夥伴資料280萬筆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客似乎公開了上個月竊自保險巨擘安聯人壽（Allianz Life）Salesforce系統的280萬筆客戶及合作夥伴資料。</p> <p>7月安聯人壽通報其使用的第三方系統遭到駭客攻擊，導致客戶資料外洩。Bleeping Computer報導，受駭的是安聯人壽的Salesforce系統，而攻擊者是ShinyHunters。雖然該公司未透露多少人資料外洩，但Techcrunch報導，這次事件影響美國分公司約有140萬客戶的大部份。</p> <p>事件在本周出現新進展。<a href="https://www.bleepingcomputer.com/news/security/hackers-leak-allianz-life-data-stolen-in-salesforce-attacks/" target="_blank">Bleeping Computer報導</a>，ShinyHunters似乎和Scattered Spider及Lapsus$整合，周末在Telegram頻道以ScatteredLapsuSp1d3rHunters帳號公開安聯人壽的客戶檔案，可能是為了兜售更大量資料提供的樣本。</p> <p>這批檔案包含「帳戶」、「聯絡資料」資料表格，屬於安聯人壽個人保戶及業務合作夥伴，後者包括財富管理、仲介商及財務顧問公司。資料總筆數約為280萬。外洩的資料有的顯然來自Salesforce，如姓名、地址、電子郵件、電話、生日、稅籍資料，也有業務資料如證照、合作公司、行銷分類及核准進度等。</p> <p>Bleeping Computer證實這些資料如電子郵件信箱、電話及稅籍資料是正確的。安聯人壽表示基於案件進入調查程序，該公司無法評論。</p> <p>安聯人壽的Salesforce資料外流，是近日多家知名企業資料外洩事件之一。同樣因為第三方系統被非法存取而外洩客戶資料的企業還包括LV、Chanel、Pandora，以及思科、Google、澳航、荷航及法航等。其中只有Google坦承是Salesforce的資料外流。但是這些事件中，以乎有的非ShinyHunters所為。</p> <p><a href="https://databreaches.net/2025/08/09/scattered-spider-has-a-new-telegram-channel-to-list-its-attacks/" target="_blank">DataBreaches報導</a>，這個頻道甚至還貼出了其他受害企業的資料，如迪士尼、法航、維多莉亞的祕密（Victoria's Secret）及Chanel等。</p> <p><a href="https://databreaches.net/2025/08/03/are-scattered-spider-and-shinyhunters-one-group-or-two-and-who-did-france-arrest/" target="_blank">DataBreaches早前報導</a>，ShinyHunters、Scattered Spider去年遭國際警方執法破獲逮捕核心人物，促使二個組織合流。Google威脅情報小組也認為，從Salesforce竊取資料是ShinyHunter，但向受害企業勒索的是另一個不同組織，二者之間若非冒名，就可能是合作關係。</p> </div></div></div>
2025/8/13 13:27作者林妍溱https://www.ithome.com.tw/news/170589
CoreWeave財報出爐，營收增加2倍，虧損擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供GPU基礎設施、定位為AI雲端運算業者的CoreWeave周二（8/12）<a href="https://investors.coreweave.com/news/news-details/2025/CoreWeave-Reports-Strong-Second-Quarter-2025-Results/" target="_blank">公布該公司的第二季財報</a>，該季CoreWeave創下12.1億美元的營收，成長200%，虧損2.9億美元，高於去年同期的3.2億美元。儘管營收成長超越分析師預期，但當天CoreWeave盤後股價下挫11.31%，跌至131.93美元。</p> <p>創立於2017年的CoreWeave從最初的加密貨幣挖礦業務（Atlantic Crypto）轉型為AI雲端平臺供應商，隨著生成式AI的興起成長迅速，成為AI基礎設施領域的重要玩家，在全球建立了逾32個資料中心，執行超過25萬Nvidia GPU，客戶包括微軟、OpenAI及Meta等。此外，Nvidia約持有7%的CoreWeave股份，OpenAI亦為該公司股東。</p> <p>這是CoreWeave在<a href="https://www.ithome.com.tw/news/168142" target="_blank">3月底於那斯達克上市</a>後的首次財報，當時每股發行價為40美元，但5月就飆破100美元。</p> <p>CoreWeave的共同創辦人、董事長暨執行長Michael Intrator表示，該公司正在迅速擴大規模，以滿足市場對AI前所未有的需求，並將成為全球首家大規模提供完整Blackwell GPU產品組合的公司，以成為全球先進AI負載的首選平臺。</p> <p>不過，CoreWeave屬於資本密集產業，今年第二季的資本支出為29.4億美元，高於去年同期的22.5億美元。</p> <p>此外，除了先前<a href="https://www.ithome.com.tw/news/167789" target="_blank">曾與OpenAI簽署</a>價值119億美元的多年合約之外，雙方於第二季再額外擴充了40億美元。</p> </div></div></div>
2025/8/13 14:06作者陳曉莉https://www.ithome.com.tw/news/170590
外傳OpenAI準備支持腦機介面新創Merge Labs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國金融時報（Financial Times，FT）周二（8/12）引述消息來源<a href="https://www.ft.com/content/04484164-724e-4fc2-92a2-e2c13ea639bd" target="_blank">報導</a>，OpenAI共同創辦人暨執行長Sam Altman將與Alex Blania準備共同創辦Merge Labs，以開發腦機介面，直接與馬斯克（Elon Musk）旗下的Neuralink競爭。Merge Labs仍處於早期募資階段，打算募集2.5億美元的資金，且大部分可能來自OpenAI。</p> <p>Altman與Blania在2019年便曾共同創辦Tools for Humanity，以發展虹膜身分驗證、World Network、World ID與Worldcoin，這是因為Altman相信，當AI的智力相當或超越人類之際，人們有一天會需要透過更獨特的方式來證明自己是人類而非機器人。而Blania現為Tools for Humanity執行長。</p> <p>事實上，Altman一直對腦機介面很有興趣。他在2017年就曾撰寫過<a href="https://blog.samaltman.com/the-merge" target="_blank">一篇名為《The Merge》的文章</a>，指出人類最終將與AI融合，以避免人類與AI爭奪主導地位，方式便是透過腦機介面與AI建立深度連結，並預測最早會在2025年發生。</p> <p>今年6月Altman寫了另一篇<a href="https://blog.samaltman.com/the-gentle-singularity" target="_blank">《The Gentle Singularity》</a>，表示AI已經跨過了不可逆的臨界點，應以溫和的奇點確保科技漸進並惠及人類，他看好高頻寬腦機介面的突破，促進人機合作，亦應避免AI權力集中與失控。</p> <p>根據報導，Altman雖將身為Merge Labs的共同創辦人，但不會參與日常營運，此外，Merge Labs的估值為8.5億美元，將以該估值籌措2.5億美元。</p> <p>馬斯克是在2016年7月共同創辦開發腦機介面的Neuralink，比Altman寫下《The Merge》還早了一年多，該公司已打造出可植入人腦的介面，協助癱瘓患者透過意識與數位裝置互動，<a href="https://www.ithome.com.tw/news/161886" target="_blank">在2024年正式邁入臨床試驗</a>，並已從美國、加拿大，<a href="https://www.ithome.com.tw/news/170395" target="_blank">延伸至英國</a>。Neuralink在今年1月完成6.5億美元的融資，估值為90億美元。</p> <p>金融時報指出，Altman也是Neuralink的早期投資者之一。</p> <p>至於OpenAI則是在2021年啟動<a href="https://www.openai.fund/news?utm_source=chatgpt.com" target="_blank">OpenAI Startup Fund</a>作為支援各種AI應用的創投基金，當時基金規模為1億美元，遴選各個新創並分別投入100萬美元，迄今所公開的<a href="https://www.openai.fund/news/introducing-our-first-investments" target="_blank">投資對象包括</a>影片編輯器Descript、法律流程介面Harvey、自動化工作空間Mem，以及語言教師Speak等，都屬於相對小型的專案。</p> </div></div></div>
2025/8/13 12:22作者陳曉莉https://www.ithome.com.tw/news/170587
Perplexity單方面提議以345億美元收購Chrome業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，AI新創公司Perplexity AI單方面向Google發出主動收購提議以345億美元天價，收購Chrome瀏覽器業務。</p> <p><a href="https://www.wsj.com/tech/perplexity-ai-google-chrome-offer-5ddb7a22" target="_blank">華爾街日報首先報導此事</a>，Perplexity並向<a href="https://www.cnbc.com/2025/08/12/perplexity-google-chrome-ai.html" target="_blank">CNBC</a>和<a href="https://techcrunch.com/2025/08/12/perplexity-offers-to-buy-chrome-for-billions-more-than-its-raised/" target="_blank">Techcrunch</a>等媒體證實。</p> <p>去年美國法院判決Google利用不當通路手段維持非法壟斷搜尋及搜尋廣告市場。去年秋天到今年3月<a href="https://www.ithome.com.tw/news/166148" target="_blank">美國司法部提議</a>迫使Google出售Chrome瀏覽器業務作為補救措施。對於司法部出售Chrome的提案，Google方面持續上訴中。Perplexity AI發言人對媒體指出，相信法院本月就會做出最後決定。</p> <p>華爾街日報報導，Perplexity AI主動向Google提出「不具法律約束效力（non-binding）」的收購條件，將交易標的是出售「為滿足反壟斷案中補救措施的要求」的資產。該公司表示，收購完成後會持續支持現有客戶至少100個月，且允許用戶選擇預設設定，也承諾未來二年內投資30億美元來支持Chrome。</p> <p>但Google並未做出評論。</p> <p>2022年成立的Perplexity AI以AI搜尋引擎聞名，提供類似ChatGPT的聊天機器人作為輸出輸入介面。但該公司積極拓展產品，像是瀏覽器。<a href="https://www.ithome.com.tw/news/169969" target="_blank">上個月Perplexity宣布自有AI瀏覽器Comet</a>。</p> <p>Perplexity最初募資金額15億美元，近年用戶數快速增加，也獲得創投業者的青睞。<a href="https://fortune.com/2025/08/12/perplexity-google-chrome-browser-bid-antitrust-ai-wars/" target="_blank">Fortune報導指出</a>，該公司每月經常用戶達3000萬，年營收1.5億美元。最近一輪募資新增1億美元，推升其市值來到180億美元。但是即便如此，這家新創業者提出的收購金額，還是遠超出其市值。</p> <p>該公司要怎麼籌到收購Chrome的資金不得而知。在給Google的提議中，該公司也未透露支持其收購的投資人。</p> <p><a href="https://www.axios.com/2025/08/12/ai-perplexity-google-chrome-deal" target="_blank">Axios評論道</a>，Perplexity此舉是行銷高招，因為它透過對一個非賣品出價打響公司名號以及自有Comet瀏覽器知名度。</p> <p>即使Perplexity真的以345億美元買下Chrome，也會被認為是划算交易。另一家搜尋業者<a href="https://www.bloomberg.com/news/articles/2025-04-23/google-chrome-worth-upwards-of-50-billion-browser-rival-says" target="_blank">DuckDuckGo執行長Gabriel Weinberg則認為Chrome價值</a>在500億美元以上。</p> <p>除了Perplexity AI，和其他表達收購Chrome興趣的還包括<a href="https://www.ithome.com.tw/news/168558" target="_blank">OpenAI</a>和Yahoo。OpenAI也傳計畫將推出自有瀏覽器。</p> </div></div></div>
2025/8/13 11:41作者林妍溱https://www.ithome.com.tw/news/170585
Go 1.25引入容器感知並行度控制，與可降低執行期負擔的實驗性GC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go開發團隊<a href="https://go.dev/doc/go1.25">釋出</a>1.25版本，針對執行期間行為與效能進行多項最佳化。此版本最受關注的變更，是在並行度控制與垃圾回收（Garbage Collection，GC）機制上的調整，特別對部署於容器環境的應用與高GC負載程式，可能帶來直接影響。</p> <p>在之前的版本，Go的GOMAXPROCS預設值等同於系統啟動時可見的邏輯CPU數量。不過，這種設定在Kubernetes等容器環境下，可能忽略CPU配額限制，導致程式執行時嘗試使用超出限制的資源，因而影響效能或資源調度。</p> <p>Go 1.25在Linux平臺上新增了容器感知功能，會根據所在cgroup的CPU頻寬限制，將GOMAXPROCS預設值調整至較小值，以符合容器設定的CP限制。這項行為也能動態更新，當容器CPU資源變動時，並行度會自動調整。對於需要固定並行度的場景，開發者還是可透過環境變數或GODEBUG設定停用此機制。</p> <p>另一項重要更新是引入代號為Green Tea的實驗性垃圾回收器，這個GC針對小物件的標記與掃描流程進行最佳化，改善記憶體區域性與CPU可擴展性，在大量依賴GC的應用中，有望降低10％到40％的GC開銷。這不僅有助於降低延遲，對需要長時間穩定運行的服務也可能帶來不少效益。Green Tea垃圾回收器目前並非預設啟用，必須在編譯時設定GOEXPERIMENT=greenteagc，以便在測試或預備環境驗證其效能表現與穩定性。</p> <p>對雲端與容器化部署的服務而言，容器感知並行度控制可減少資源配置不相符的風險，提升程式在多租戶或受限資源環境中的穩定性。至於Green Tea垃圾回收器，雖仍屬實驗階段，但其在高頻GC情境的潛在效能提升，值得有需求的團隊提早評估。特別是在需要大量短生命周期物件的場景，如即時資料處理、API服務或訊息系統，Green Tea垃圾回收器可能有效減輕GC造成的執行期負擔。</p> <p>Go 1.25除了這兩項核心更新，還包含靜態分析工具go vet新增檢查器、測試框架強化、以及多項標準函式庫最佳化與平臺支援調整。</p> </div></div></div>
2025/8/13 11:59作者李建興https://www.ithome.com.tw/news/170584
Nvidia發表一系列推理模型，強化AI代理與機器人的多步決策能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia在今年頂級電腦圖學會議SIGGRAPH大會<a href="https://blogs.nvidia.com/blog/nemotron-cosmos-reasoning-enterprise-physical-ai/">宣布</a>擴充其開放推理模型家族，推出新一代Nemotron與Cosmos Reason模型，針對人工智慧代理與機器人應用，提升推理準確度、效率與多步驟任務處理能力。</p> <p>新款Nemotron系列包括Nemotron Nano 2與Llama Nemotron Super 1.5，鎖定企業級人工智慧代理需求，針對於科學推理、數學計算、程式碼生成、工具呼叫與指令理解等任務。Nemotron Nano 2在同規模模型中，Token生成速度最高可達6倍，而Llama Nemotron Super 1.5則在推理準確度上居於領先，並提供4位元浮點數（NVFP4）版本，在Nvidia B200 GPU上的吞吐量可達H100的6倍，適合需要高效率推理的工作負載。</p> <p>在兼顧性能與成本上，Nvidia於新一代模型中引入混合架構、緊湊量化（Compact Quantized）設計與可配置的思考預算機制，讓開發者能精確控制推理過程中Token的生成數量。此設計可在不額外增加時間或算力的前提下，實現最高約60％的推理成本降低，並確保人工智慧代理在既定資源限制內，維持深度推理能力與快速回應能力。</p> <p>在實體人工智慧（Physical AI）領域，Nvidia推出的Cosmos Reason是一款開放且可自訂的70億參數推理視覺語言模型（Vision Language Model，VLM），具備物理概念理解、物體恆存與時空推理等能力。該模型可作為機器人視覺語言行動（Vision Language Action，VLA）模型的推理核心，支援決策制定、訓練資料的篩選與標註，以及視訊分析人工智慧代理的部署。在工廠、倉儲、零售、機場與交通監控等場景中，這些人工智慧代理能夠進行異常檢測與即時摘要，協助企業提升營運監控與反應速度。</p> <p>Nvidia也同步釋出第一個開放視覺語言模型訓練資料集Llama Nemotron VLM dataset v1，包含300萬筆光學字元辨識、視覺問答與影像描述資料，提供Llama 3.1 Nemotron Nano VL 8B等視覺語言模型訓練與強化基礎。同時，Llama 3.2 NeMo Retriever嵌入模型在多項視覺文件檢索評測中表現突出，進一步提升檢索增強生成（RAG）型人工智慧代理的準確性與實用性。</p> </div></div></div>
2025/8/12 18:30作者李建興https://www.ithome.com.tw/news/170571
長期支援版本JDK 25功能定案，結構化並行與可觀測性再升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將成為Java平臺下一個長期支援版本的JDK 25，帶來並行任務管理、資料傳遞與效能診斷等核心更新，目前已<a href="http://openjdk.org/projects/jdk/25/">進入最終候選（Release Candidate，RC）階段</a>。JDK 25預計於9月16日正式發布，目前功能已凍結，僅修正關鍵錯誤。</p> <p>在並行模型方面，本次RC採用結構化並行（Structured Concurrency）第五預覽版本。該機制將一組相關子任務視為單一工作單元，提供更一致的錯誤傳遞與取消處理方式，並簡化多執行緒協作流程。對需要頻繁進行任務切分成子任務，與服務整合的應用，這可減少跨執行緒溝通成本，提升程式碼的可維護性與可觀測性。</p> <p>區域資料（Scoped Values）在JDK 25成為正式功能，這是一種比之前執行緒區域變數ThreadLocal更安全的方式，能在程式執行過程，將特定資料傳遞給需要的程式碼區塊，而且用完就會自動釋放，不會長期占用記憶體。區域資料可以設定資料的作用範圍，並確保在多執行緒或虛擬執行緒中，資料能正確傳遞又不會互相干擾。這很適合用來傳遞像是請求資訊、驗證結果或追蹤ID，不僅避免了全域變數帶來的混亂，也讓程式在結構化並行的情境下更容易維護。</p> <p>在可觀測性方面，本次更新由JFR（Java Flight Recorder）新增與改良多項功能，直接提升效能分析與診斷能力。協作式抽樣（Cooperative Sampling）採用協作式的安全點堆疊擷取方式，能減少資料偏差並降低崩潰風險。</p> <p>JFR可更精準地量測方法執行時間，並支援只追蹤特定方法（Method），以便鎖定效能瓶頸。實驗性功能CPU時間分析（CPU-Time Profiling）則能更準確地分析CPU使用時間，協助開發者找出熱點程式碼並檢查版本更新，是否造成效能衰退。這些改進都讓JFR在實際開發與維運中更能發揮監測與分析的作用。</p> <p>記憶體管理方面，Compact Object Headers從實驗階段轉為正式功能，透過壓縮物件表頭降低記憶體使用量，並可能帶來效能改善。垃圾回收則新增Generational Shenandoah，以提升延遲敏感型應用的表現。</p> <p>其他仍處於預覽或孵化階段的功能，包括向量API、原始型別在模式比對與switch中的應用，以及AoT（Ahead-of-Time）執行相關最佳化等。本版本同時移除32位元x86埠，將開發重點集中在現代硬體平臺。</p> </div></div></div>
2025/8/12 18:31作者李建興https://www.ithome.com.tw/news/170575
【資安日報】8月12日，俄羅斯駭客挖出WinRAR新的零時差漏洞，已用於網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及解壓縮軟體，WinRAR應該算是知名度最高的其中一款，在今年有多項漏洞揭露引起外界關注，例如：4月揭露的<a href="https://www.ithome.com.tw/news/168267">安全機制繞過漏洞CVE-2025-31334</a>，以及6月公布的<a href="https://www.ithome.com.tw/news/169822">路徑穿越漏洞CVE-2025-6218</a>，如今有一項新漏洞的細節公布引起外界關注，原因是這項漏洞已被用於實際攻擊行動。</p> <p>另一項微軟在今年4月緩解的Exchange Server資安漏洞發展也相當值得留意，資安機構Shadowserver基金會指出，他們這幾天偵測到全球有2.8至2.9萬臺伺服器尚未修補，呼籲IT人員應儘速處理。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170567"><strong style="font-size: 22px;">WinRAR緊急修補零時差漏洞，俄羅斯駭客RomCom已用來散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WinRAR-ADS-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinRAR-ADS-5.png" style="width: 300px; float: right;" /></a>7月30日軟體開發業者Rarlab發布7.13版WinRAR，提及這一版更新修補路徑穿越漏洞CVE-2025-8088，影響7.12之前的WinRAR，攻擊者可透過特製的壓縮檔來觸發。通報此漏洞的ESET昨天發布警告，揭露這項漏洞已被用於實際攻擊行動。由於WinRAR並未提供自動更新機制，用戶應儘速手動更新。</p> <p>這項漏洞被發現的緣由，是ESET發現名為RomCom、Storm-0978、UNC2596、Tropical Scorpius的俄羅斯駭客組織，在攻擊行動裡利用未知的WinRAR漏洞，藉此於歐洲及加拿大的金融、製造、國防、物流產業發動攻擊，部署SnipBot、RustyClaw、Mythic等惡意程式。由於這些駭客在攻擊流程利用零時差漏洞的情況已有先例，促使他們著手調查並通報此事。</p> <p>此漏洞被登記為CVE-2025-8088，4.0版CVSS風險評為8.4，ESET指出是運用NTFS檔案系統的替代資料串流（Alternate Data Streams，ADS）來達到路徑穿越的目的，與Rarlab於今年6月修補的另一個漏洞CVE‑2025‑6218類似。該漏洞的可怕之處在於，攻擊者能將惡意檔案隱藏於壓縮檔裡，一旦執行解壓檔，這些檔案會靜悄悄部署到受害電腦。</p> <p><a href="https://www.ithome.com.tw/news/170552"><strong style="font-size: 22px;">Exchange Server權限提升漏洞有2.9萬臺系統曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gx1fmM_bEAA8n2H.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gx1fmM_bEAA8n2H.jpg" style="width: 300px; float: right;" /></a>微軟發出安全公告，警告Exchange Server混合部署模式存在重大漏洞CVE-2025-53786，可使攻擊者在某些狀況下提高權限，並提及這項漏洞其實已在今年4月18日發布的修補程式得到緩解，但值得留意的是，迄今仍有超過2.8萬臺Exchange Server曝險。</p> <p>但根據非營利組織The Shadowserver研究人員掃瞄結果，從IP位址來看，未安裝修補程式的Exchange Server一直處於近2.9萬，未曾明顯減少。到8月10日，依然還有29,098個IP位址。其中歐洲以1.4萬個占最大比例，北美和亞洲次之，各有近8,400及5,000個IP位址。</p> <p>這項漏洞的嚴重程度，可從美國網路安全暨基礎設施安全局（CISA）對聯邦機構發布緊急指令，要求採取相關行動，並限期在美東時間8月11日上午9時前完成，其中一項是執行微軟提供的指令碼來進行盤點。</p> <p><a href="https://www.ithome.com.tw/news/170417"><strong style="font-size: 22px;">勒索軟體Anubis攻擊Windows、安卓裝置竊取資料、刪除檔案</strong></a></p> <p>資安公司BitSight近日發布State of the Underground 2025報告，揭露Anubis的攻擊手法及受害者樣貌。Anubis著重特定產業，如醫療、營建和專業服務組織。目前確知其受害者分布於美國、法國、澳洲及祕魯。其中澳洲一家醫院遭其竊走病患個資、醫療資訊及保險卡資訊。</p> <p>目前Anubis受害者涵括Android和Windows裝置。在Android平臺上，它主要以銀行木馬形式出現。它常利用大量文字簡訊散佈以擴大攻擊面、使用冒充登入提示的外覆（overlay）畫面、螢幕和鍵盤側錄來竊取憑證。受害者會被鎖住無法登入，而它一旦找到目標檔案就會外送到攻擊者控制的伺服器。</p> <p>在Windows平臺上，Anubis就發揮RaaS的攻擊能力，包括會利用憑證提升權限、並在加密檔案後刪除檔案、移除磁碟區陰影拷貝（Volume Shadow Copy）避免回復可能性、它還會終止特定系統服務以利其加密及進一步降低回復可能性。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/royal-and-blacksuit-ransomware-gangs-hit-over-450-us-companies/">450家美國企業慘遭勒索軟體Royal、BlackSuit毒手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/netherlands-citrix-netscaler-flaw-cve-2025-6543-exploited-to-breach-orgs/">荷蘭警告Citrix NetScaler重大漏洞已被用於攻擊關鍵基礎設施</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-kimsuky-hackers-exposed-in-alleged-data-breach/">北韓駭客Kimsuky內部資料遭公開，作案工具與目標名單曝光</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170569"><strong style="font-size: 22px;">故事化敘事結合多輪脈絡引導，可誘使GPT-5輸出危險內容</strong></a></p> <p>OpenAI在GPT-5的設計中投入了更嚴密的安全防護，目標是在生成過程中避免模型被利用輸出有害內容。不過，人工智慧安全公司NeuralTrust研究指出，即便在強化後的防護架構下，特定多輪對話策略仍能繞過限制，尤其當故事化敘事（Storytelling）與回音室效應（Echo Chamber）結合時，模型依然可能逐步被誘導生成高風險資訊。</p> <p>研究團隊以GPT-5聊天版本（gpt-5-chat）為測試對象，先在對話中植入低顯著度的關鍵詞，並以故事情境包裝，使模型在後續回合持續補充細節。表面上，這些對話只是單純的情節延伸，沒有直接觸及敏感關鍵字或顯性意圖。但是透過多輪回音式強化，脈絡會在不易察覺的情況下逐步偏向敏感領域，最終出現與原本安全檢測目標衝突的內容。</p> <p><a href="https://www.ithome.com.tw/news/170506"><strong style="font-size: 22px;">Claude Code曝高風險漏洞，可被濫用存取檔案與執行未經授權命令</strong></a></p> <p>資安公司Cymulate揭露Anthropic的人工智慧開發工具Claude Code，存在兩項高風險弱點，分別為CVE-2025-54794與CVE-2025-54795，可被用於繞過目錄範圍限制以讀取檔案，並在無需用戶確認下執行未授權命令。Anthropic已在研究預覽期間接獲通報並完成修補，兩者CVSS分別為7.7與8.7。</p> <p>Anthropic已針對兩項問題發布修補版本，路徑限制繞過影響v0.2.111以前版本，命令注入影響v1.0.20以前版本。研究人員建議使用者與團隊立即更新至上述或更高版本，並在更新後檢查工具設定與權限配置。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/jenkins-servers-risk-rce-vulnerability-cve-2025-53652/">Jenkins外掛程式存在重大漏洞，1.5萬臺伺服器恐曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/xerox-freeflow-flaws/">全錄列印流程自動化軟體FreeFlow存在資安漏洞，恐被用於SSRF、RCE攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170551"><strong>【8月11日】SonicWall防火牆近期遭勒索軟體攻入的原因出爐：駭客利用已知漏洞從事攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170497"><strong>【8月8日】越南駭客竊資軟體攻擊行動升溫，逾20萬組帳密遭竊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170484"><strong>【8月7日】Linux惡意程式濫用身分驗證模組PAM隱匿行蹤</strong></a></p> </div></div></div>
2025/8/12 18:52作者周峻佑https://www.ithome.com.tw/news/170582
聯想USB網路攝影機存在漏洞，可被用於發動BadUSB攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10年前<a href="https://www.ithome.com.tw/news/89852">資安研究室Security Research Labs（SR Labs）於黑帽大會揭露BadUSB攻擊手法</a>，攻擊者藉由改寫USB控制器，就能將USB裝置用於不法，不久後<a href="https://www.ithome.com.tw/news/91332">有兩名研究人員DerbyCon展示概念驗證手法</a>，使得這種資安威脅受到外界關注，但過往通常是攻擊者打造特製的裝置來進行，如今有資安業者指出，<a href="https://eclypsium.com/blog/badcam-now-weaponizing-linux-webcams/">他們能透過特定型號的USB網路攝影機來進行這類攻擊</a>。</p> <p>資安業者Eclypsium於<a href="https://defcon.org/html/defcon-33/dc-33-speakers.html#content_60343">上週舉行的資安大型會議DEF CON 33（DEF CON 2025）議程裡</a>，揭露名為BadCam的網路攝影機漏洞，攻擊者一旦利用這個弱點，就能遠端秘密注入鍵盤輸入的內容，並在受害電腦的作業系統之外從事攻擊行動。此漏洞被登記為CVE-2025-4371，影響聯想特定型號的網路攝影機。對此，<a href="https://support.lenovo.com/us/en/product_security/LEN-194466">聯想發布資安公告說明</a>，指出該漏洞影響510 FHD與Performance FHD兩款裝置，攻擊者有機會在實際接觸到裝置的情況下，透過USB連線寫入任意韌體，該公司發布4.8.0版韌體進行修補。</p> <p>針對上述漏洞發生的原因，Eclypsium指出，這些網路攝影機執行Linux作業系統，但不會驗證韌體，使得攻擊者有機可乘，將其變成BadUSB裝置，這是首度出現將正常USB裝置用於惡意行為的案例。雖然這次調查針對兩款聯想的網路攝影機進行分析，但Eclypsium認為，其他網路攝影機或是USB週邊設備，也可能存在相關弱點。</p> <p>對於攻擊的途徑，Eclypsium指出可能有兩種，一種是由攻擊者寄送已被植入後門的網路攝影機，或是實際將武器化的攝影機接上目標電腦；另一種是遠端入侵電腦，然後感染連接的網路攝影機來達到目的。</p> <p>值得留意的是，一旦攻擊者完全控制以Linux作業系統打造的USB外接裝置，也可能透過Wi-Fi無線網路或是藍牙，用來從事其他攻擊，再者，防守方想要偵測相關攻擊也備受挑戰，因為惡意USB裝置很有可能重新感染受害電腦，使得攻擊者能隱匿自身的行蹤下持續活動。</p> </div></div></div>
2025/8/12 18:15作者周峻佑https://www.ithome.com.tw/news/170581
研究人員揭露資安弱點BitUnlocker，攻擊者有機會透過WinRE繞過磁碟防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，微軟的全磁碟加密機制<a href="https://www.ithome.com.tw/tags/bitlocker">BitLocker</a>多次成為駭客下手的目標，其中一種手法是充當檔案加密工具，加密受害企業資料後藉此勒索，因此，這類元件的安全性，也成為研究人員關注的焦點，在去年底資安研究員Thomas Lambertz於Chaos Communication Congress大會（CCC）<a href="https://www.ithome.com.tw/news/166795">揭露能繞過Bitpixie（CVE-2023-21563）的攻擊手法</a>，有研究人員在近日舉辦的黑帽大會Black Hat USA 2025議程當中，<a href="https://www.blackhat.com/us-25/briefings/schedule/index.html#bitunlocker-leveraging-windows-recovery-to-extract-bitlocker-secrets-45638">公布能透過系統復原機制突破這種資料保護措施的弱點</a>。</p> <p>微軟安全性測試與防禦研究團隊（STORM）指出，他們發現能透過Windows修復環境（WinRE），截取BitLocker的機敏資訊的一系列弱點BitUnlocker，STORM強調，這些漏洞存在於軟體，攻擊者不需侵入硬體就能達到目的，只要實際接觸到目標電腦，就有機會藉由重開機進入Windows修復環境來觸發漏洞，過程中無須登入電腦。對此，微軟於<a href="https://www.ithome.com.tw/news/169956">今年7月的例行更新（Patch Tuessday）</a>發布修補程式。</p> <p>BitUnlocker總共被登記為4項漏洞，分別是：CVE-2025-48800、CVE-2025-48003、CVE-2025-48804，以及CVE-2025-48818，CVSS風險評分皆為6.8，攻擊者可在實際接觸目標電腦的情況下，利用這些漏洞，從而在未經授權的情況下繞過BitLocker的防護機制，存取受到加密保護的資料。</p> <p>其中，CVE-2025-48800是藉由操縱Boot.sdi檔案，從而繞過Windows映像檔案格式（WIM）的驗證機制，攻擊者可藉由受信任的WinRE映像檔（WinRE.wim）通過檢驗後，實際上卻透過另一個不受信任的WinRE映像檔開機，進而在受害電腦執行惡意程式碼。</p> <p>第二個漏洞CVE-2025-48003涉及利用名為ReAgent.xml的元件，透過WinRE離線掃描機制觸發。STORM以此漏洞啟動公用程式Tttracer.exe，以此執行cmd.exe，從而完全存取加密磁區。</p> <p>第三個漏洞CVE-2025-48804與WinRE的應用程式驗證機制有關，攻擊者可在ReAgent.xml建置SetupPlatform的工作排程，利用此公用程式在執行Windows升級之後仍保被列為受信任應用程式的特性，然後攻擊者按下快速鍵Shift+F10執行cmd.exe，在一連串的漏洞利用鏈之下，成功存取受到BitLocker加密的資料。</p> <p>最後一個漏洞是CVE-2025-48818，該漏洞涉及檢查時間及使用時間（Time-of-Check Time-of-Use，TOCTOU）的條件競爭，STORM透過Windows作業系統重設工具Push Button Reset（PBR），來展示這項漏洞。</p> </div></div></div>
2025/8/12 16:26作者周峻佑https://www.ithome.com.tw/news/170576
WinRAR緊急修補零時差漏洞，俄羅斯駭客RomCom已用來散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月30日軟體開發業者Rarlab<a href="https://www.win-rar.com/singlenewsview.html?&L=0&tx_ttnews%5Btt_news%5D=283&cHash=a64b4a8f662d3639dec8d65f47bc93c5">發布7.13版WinRAR</a>，提及這一版更新修補路徑穿越漏洞CVE-2025-8088，影響7.12之前的WinRAR，攻擊者可透過特製的壓縮檔來觸發。<a href="https://www.welivesecurity.com/en/eset-research/update-winrar-tools-now-romcom-and-others-exploiting-zero-day-vulnerability/">通報此漏洞的ESET昨天發布警告</a>，揭露這項漏洞已被用於實際攻擊行動。由於WinRAR並未提供自動更新機制，用戶應儘速手動更新。</p> <p>這項漏洞被發現的緣由，是ESET發現名為RomCom、Storm-0978、UNC2596、Tropical Scorpius的俄羅斯駭客組織，在攻擊行動裡利用未知的WinRAR漏洞，藉此於歐洲及加拿大的金融、製造、國防、物流產業發動攻擊，部署SnipBot、RustyClaw、Mythic等惡意程式。由於這些駭客在攻擊流程利用零時差漏洞的情況已有先例，促使他們著手調查並通報此事。</p> <p>7月18日ESET取得駭客使用的RAR壓縮檔，發現其中挾帶了惡意的DLL檔msedge.dll，因內含不尋常的路徑引起他們的注意，分析後確認駭客使用的未知漏洞，影響當時WinRAR最新版本7.12，ESET於24日通報此事，Rarlab發布7.13 beta 1版予以修補，並在30日發布7.13正式版本。值得留意的是，這項漏洞影響Rarlab多項Windows平臺的解決方案，包括UnRAR、便攜版UnRAR原始碼，以及UnRAR.dll都會曝險。對此，ESET呼籲用戶必須儘速升級新版，才能緩解這項資安風險。</p> <p>此漏洞被登記為CVE-2025-8088，4.0版CVSS風險評為8.4，ESET指出是運用NTFS檔案系統的替代資料串流（Alternate Data Streams，ADS）來達到路徑穿越的目的，與Rarlab於今年6月修補的另一個漏洞CVE‑2025‑6218類似。該漏洞的可怕之處在於，攻擊者能將惡意檔案隱藏於壓縮檔裡，一旦執行解壓檔，這些檔案會靜悄悄部署到受害電腦。</p> <p>這波攻擊發生在7月18日至21日，駭客透過釣魚郵件接觸使用者，假借求職為由寄送履歷，企圖引誘他們上鉤。駭客挾帶的RAR檔存在共通點，那就是都含有兩個惡意檔案，其中一個是Windows捷徑檔（LNK），另一個是DLL或EXE檔案。</p> <p>究竟RomCom如何觸發漏洞？ESET舉出其中一個駭客特製的RAR壓縮檔為例，若是透過WinRAR開啟，只會看到內含一個可能無害的檔案，但實際上，此RAR檔同時挾帶了多個經過ADS處理的惡意檔案，一旦使用者試圖開啟良性檔案，WinRAR不僅會解出良性檔案，也會依照ADS的資料將惡意檔案解壓縮至特定路徑：攻擊者將惡意DLL部署到暫存資料夾（%TEMP%），但同時也把LNK檔部署到啟動資料夾，只要使用者每次登入系統，就會自動執行駭客的惡意程式。</p> <p>值得留意的是，在ESET察覺RomCom的攻擊行動後，<a href="https://bi.zone/expertise/blog/paper-werewolf-atakuet-rossiyu-s-ispolzovaniem-uyazvimosti-nulevogo-dnya-v-winrar/">有其他駭客組織跟進濫用這個WinRAR漏洞</a>。俄羅斯資安業者BI.Zone指出，名為Paper Werewolf、Goffee的俄羅斯駭客組織，自7月22日開始將此漏洞用於實際攻擊行動。BI.Zone指出，這些駭客掌握該零時差漏洞的管道，很有可能是從駭客論壇取得。他們看到有人在此之前兜售一項WinRAR零時差漏洞，並強調與CVE‑2025-6218無關，開價8萬美元尋求買主，研判Paper Werewolf疑似藉此取得漏洞並進行修改，然後用於實際攻擊。</p> </div></div></div>
2025/8/12 13:17作者周峻佑https://www.ithome.com.tw/news/170567
Reddit將封鎖Internet Archive的大部分爬梳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/news/757538/reddit-internet-archive-wayback-machine-block-limit" target="_blank">The Verge本周報導</a>，社交新聞平臺Reddit即將封鎖網際網路檔案館（Internet Archive）對該平臺的大部分爬梳，原因是許多AI業者都藉由該館的時光機（Wayback Machine）功能來抓取Reddit內容。</p> <p>成立於1996年的Internet Archive是個非營利組織，使命是保守網路與文化資產，時光機則是該組織最知名的服務之一，它會定期透過網路爬蟲來抓取網站的快照並存檔，使用者只要輸入網址便能瀏覽該網頁過去的版本。</p> <p>至於對Reddit而言，網站上的內容是有價的，特別是在AI系統大量搜刮網路上的內容來訓練模型之際，它在2024年2月便<a href="https://www.ithome.com.tw/news/161440" target="_blank">與Google簽署</a><a href="http://www.ithome.com.tw/news/161440" target="_blank">了與AI有關的內容合作協議</a>，繼之在同年5月<a href="https://www.ithome.com.tw/news/162945" target="_blank">與OpenAI建立類似的合作關係</a>，並在同年6月<a href="https://www.ithome.com.tw/news/169371" target="_blank">控告擅自抓取資料的Anthropic</a>。</p> <p>值得注意的是，儘管許多內容平臺都已透過robots.txt文件明文禁止AI新創來爬梳其網站，但內容管理暨雲端服務業者<a href="https://www.ithome.com.tw/news/170412" target="_blank">Cloudflare日前控訴Perplexity無視這些政策</a>，依然藉由建立新網域或是隱藏自家爬蟲來爬梳別人家的內容。</p> <p>根據報導，Reddit並未指名道姓，僅說該公司逮到許多AI公司（AI companies）利用Wayback Machine來取得Reddit內容。</p> <p>於是，原本可以爬梳Reddit內容的Internet Archive也要被封鎖了，未來僅能爬梳及索引Reddit的首頁，不能再爬梳與索引使用者的個人檔案、所張貼或回應的內容。</p> </div></div></div>
2025/8/12 14:45作者陳曉莉https://www.ithome.com.tw/news/170572
故事化敘事結合多輪脈絡引導，可誘使GPT-5輸出危險內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在GPT-5的設計中投入了更嚴密的安全防護，目標是在生成過程中避免模型被利用輸出有害內容。不過，人工智慧安全公司NeuralTrust研究<a href="https://neuraltrust.ai/blog/gpt-5-jailbreak-with-echo-chamber-and-storytelling">指出</a>，即便在強化後的防護架構下，特定多輪對話策略仍能繞過限制，尤其當故事化敘事（Storytelling）與回音室效應（Echo Chamber）結合時，模型依然可能逐步被誘導生成高風險資訊。</p> <p>研究團隊以GPT-5聊天版本（gpt-5-chat）為測試對象，先在對話中植入低顯著度的關鍵詞，並以故事情境包裝，使模型在後續回合持續補充細節。表面上，這些對話只是單純的情節延伸，沒有直接觸及敏感關鍵字或顯性意圖。但是透過多輪回音式強化，脈絡會在不易察覺的情況下逐步偏向敏感領域，最終出現與原本安全檢測目標衝突的內容。</p> <p>OpenAI在GPT-5系統卡中提到，相較前代版本，已採用安全完成（Safe Completions）訓練策略，並加強多輪對話層級檢測。針對生物、化學等高風險領域，更部署雙層防護，包括主題分類器與推理監控器。此外，也引入更嚴格的指令階層檢測，以防止提示注入（prompt injection）或越獄攻擊誘導模型違反系統限制。</p> <p>儘管如此，研究顯示當攻擊者以低顯著度情境持續推進故事脈絡時，即便同時存在單輪與多輪檢測，防護仍可能被繞過。此類手法的關鍵在於利用模型對一致性的傾向。當前文已建立一個看似合理的故事情境，模型往往會在後續回應中努力維持連貫性，即便情節逐漸靠近敏感內容，也較不容易觸發拒絕。</p> <p>對防護系統而言，研究人員指出挑戰在於如何辨識這種跨多輪，逐步累積的脈絡漂移，而不是僅依賴單輪輸入的關鍵字過濾或分類判斷。</p> </div></div></div>
2025/8/12 15:03作者李建興https://www.ithome.com.tw/news/170569
微軟測試Windows 365 Reserve 主打PC掛點無法使用電腦的員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2025/06/18/strengthen-business-resilience-with-windows-365-and-azure-virtual-desktop/" target="_blank">微軟公布Windows 365 Reserve服務</a>，提供電腦中勒索軟體、被竊或發生硬體問題的員工，快速連上Windows雲端繼續作業。</p> <p>Windows 365 Reserve是微軟一項新雲端服務，可在員工主要PC無法運作時，立即連結使用的短期使用的Cloud PC，並可由任何裝置連結存取。這項服務在6月間公布且提供不公開測試，<a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/enhancing-business-continuity-windows-365-reserve-is-now-in-limited-public-previ/4441669" target="_blank">本周微軟再宣布少量開放公測</a>。</p> <p>Windows 365 Reserve和傳統虛擬桌機基礎架構（virtual desktop infrastructure，VDI）最大的不同是，它不是由企業自行架設及管理，而是全部執行在Windows雲端上。其原理是企業IT部門平日將公司的Microsoft 365應用程式、公司設定和安全政策預建在員工個別的Reserve Cloud PC中。這些Reserve Cloud PC連同公司實體PC或其他Cloud PC，都可由IT部門以Microsoft Intune統一管理及監控。Windows 365 Reserve的調用政策也是Windows 365 Enterprise及Frontline調用政策簡化版本。</p> <p>利用Windows 365 Reserve，一旦員工電腦發生硬體問題、被竊或被勒索軟體加密無法使用時，IT部門可以在幾分鐘內啟動Reserve Cloud PC，並在其他裝置以Windows App或瀏覽器存取，有如員工的實體Windows 11 PC。除了作為緊急備援外，Windows 365 Reserve還可允許臨時僱員、遠端作業、或供測試新OS、配置或App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-Windows%20365%20Reserve-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Windows 365 Reserve是按使用者人數購買授權。每個授權提供每人每年10天的Reserve Cloud PC存取權。當用戶Cloud PC存取額度用罄時，管理員會即時收到通知。用戶回復到主要裝置時，管理員再以Intune將其Cloud PC關閉。</p> <p>現在微軟階段性控制Windows 365 Reserve Cloud PC開放公測。有意試用的企業需先填寫<a href="https://forms.office.com/pages/responsepage.aspx?id=v4j5cvGGr0GRqy180BHbR35z8y2oNjBOmsgL_HrnYKlUNDJKREdZSDBPOVdWSktZQ0VKNzYxR05UViQlQCNjPTEu&route=shorturl" target="_blank">申請表</a>或聯絡微軟窗口。</p> </div></div></div>
2025/8/12 13:40作者林妍溱https://www.ithome.com.tw/news/170568
xAI正在測試鎖定GPT-5的Grok 4.20 可望8月上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/elonmusk/status/1953977558904762869" target="_blank">馬斯克宣布</a>xAI正在測試下一版模型Grok 4.20，可能將於本月上線。</p> <p>馬斯克展示7月才正式推出的Grok 4的標竿測試AVG@5成績和其他眾多主流AI模型的比較結果，包括剛剛問世的OpenAI GPT-5。顯示Grok 4超越Google Gemini 2.5 Pro(03-25)、Anthropic Claude 4.1 Opus及OpenAI GPT-5及o3。他補充說，本月上線的Grok 4.20預期也會拿到第一。</p> <p>Grok 4是以V6模型為基礎，Grok 4.2的基礎模型可能是V7。<a href="https://x.com/elonmusk/status/1954573440234422752" target="_blank">馬斯克近日說明</a>V7的進展。V7為原生多模態模型，可直接處理影音訊息，不用轉換模態即能理解內容，像是理解說話者傳達的情緒和強調的重點。</p> <p>不過xAI官方尚未說明Grok 4.20的推出時程。</p> </div></div></div>
2025/8/12 14:04作者林妍溱https://www.ithome.com.tw/news/170570
美國將針對Nvidia及AMD出售至中國的晶片抽佣15%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.wsj.com/tech/nvidia-amd-chip-sales-us-government-f9e34b5f" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）與<a href="https://www.ft.com/content/cd1a0729-a8ab-41e1-a4d2-8907f4c01cac" target="_blank">金融時報</a>（Financial Times，FT）的報導，Nvidia與AMD已在上周五（8/8）獲得美國商務部的許可，分別可出售H20及MI308至中國市場，條件是它們必須支付相關營收的15%予美國政府。</p> <p>H20是Nvidia為符合美國出口管制、專為中國市場打造的降級版GPU，效能約為旗艦款H100的70%～90%。儘管如此，美國政府仍在今年4月規定，Nvidia必須先取得許可才能將H20出口至中國，<a href="https://www.ithome.com.tw/news/169250" target="_blank">導致公司在第二季財報中認列45億美元的庫存損失</a>，並放棄了價值25億美元的銷售額。</p> <p><a href="https://www.ithome.com.tw/news/170099" target="_blank">Nvidia今年7月再度對外宣布</a>，美國即將放行H20出口至中國，但遲遲沒有下文，根據外電報導，Nvidia創辦人暨執行長黃仁勳上周再度與美國總統川普（Donald Trump）碰面，才讓商務部真正放行。</p> <p>至於MI308亦為AMD專替中國市場設計的降級版AI加速晶片，同樣因為美國的禁令，讓<a href="https://ir.amd.com/news-events/press-releases/detail/1257/amd-reports-second-quarter-2025-financial-results" target="_blank">AMD於今年第二季財報中</a>認列了8億美元的庫存及相關損失。</p> <p>根據<a href="https://www.cnbc.com/2025/08/11/trump-nvidia-20percent-cut-h20-obsolete-chip.html" target="_blank">CNBC</a>與<a href="https://www.theverge.com/news/757428/donald-trump-nvidia-amd-ai-chip-sales-china" target="_blank">The Verge</a>的報導，川普說他其實想向業者徵收20%的稅賦，是在黃仁勳討價還價之後才降至15%，還說願意放行H20是因為這已是舊晶片，而且華為已經擁有類似的晶片。</p> <p>不論如何，這對美國而言極其罕見，<a href="https://www.bloomberg.com/news/articles/2025-08-10/nvidia-amd-to-pay-15-of-china-chip-sale-income-to-us-ft-says" target="_blank">彭博社（Bloomberg）</a>引用華盛頓特區安全及新興技術研究人員Jacob Feldgoise的說法，指出從出口管制的角度來看，這種看似交換的條件是前所未有的，而且有可能讓美國出口管制的國家安全理由失效。</p> <p>另有貿易專家認為，若上述交易被解釋為出口稅的話，那麼則是違憲的，將會受到法律挑戰。</p> <p>不管是Nvidia或AMD都未對15%多作回應，僅說會遵循美國政府為它們參與全球市場所制定的規則。</p> </div></div></div>
2025/8/12 13:12作者陳曉莉https://www.ithome.com.tw/news/170566
GitHub執行長年底卸任，組織併入微軟CoreAI部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub執行長Thomas Dohmke<a href="https://github.blog/news-insights/company-news/goodbye-github/">宣布</a>將在年底卸任，結束多年領導職務。根據他公開的告別信與多家外媒報導，GitHub在其離任後將不再設立CEO職位，組織將納入微軟CoreAI團隊，由該部門統籌管理。這項人事與組織調整，意味著GitHub自2018年被微軟收購以來，首次明顯改變運作模式，由過去相對獨立的子公司，轉向更深度整合至母公司人工智慧核心業務之中。</p> <p>Thomas Dohmke自2018年參與微軟併購GitHub後，先後擔任多個關鍵職務，並於2021年接任執行長。他主導推動了多項人工智慧輔助開發產品，包括Copilot、Copilot Chat與GitHub Spark，使人工智慧能力逐步滲入軟體開發流程。在他的任內，GitHub用戶規模突破1.5億開發者，儲存庫與分叉（Forks）總數超過10億，同時強化了GitHub Actions與GitHub Advanced Security等核心服務。</p> <p>被收購多年來，GitHub維持高度自主的運作模式，管理層獨立制定產品策略，並延續原有的品牌與社群文化。微軟提供資源與雲端基礎架構支援，但不直接干預其日常營運，此次整併將改變這一模式，未來GitHub領導層將直接向CoreAI報告，與微軟其他人工智慧產品線如Azure AI、Copilot for Microsoft 365形成更緊密的鏈結，或將加速技術整合與產品協作。</p> <p>不過，外界也關注此舉是否會影響GitHub在開源社群的角色與平臺政策，以及能否延續其原本開放與中立的精神。</p> <p>Thomas Dohmke在信中表示，將重返創業領域，並於年底前協助完成交接，他強調GitHub正處於歷史上最強勁的時期，並對團隊在推動人工智慧融入軟體開發的成就感到驕傲。隨著他卸任與GitHub正式納入CoreAI，這個全球最大的開發者平臺將進入新階段。</p> </div></div></div>
2025/8/12 11:25作者李建興https://www.ithome.com.tw/news/170554
Exchange Server提權攻擊漏洞還有2.9萬臺系統曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟4月份解決能造成混合環境下提權（Escalation of Privilege, EoP）攻擊的Exchange Server漏洞，但安全專家發現，截至目前全球還有近3萬臺系統未安裝更新。</p> <p>微軟今年4月宣布對Exchange Server及Exchange Online混合部署環境做了一些安全性變更及發布相關hot fix，這項變更實則解決了一項安全漏洞，只是微軟上周才公布漏洞名稱及細節。CVE-2025-53786為一項提權攻擊漏洞，能讓取得Exchange Server管理員權限的攻擊者，透過假造或操弄token或API呼叫，就能在同一組織連結的雲端Exchange上提升權限而不會留下跡證。這項漏洞風險值CVSS 8.0。如果企業管理員當時按照建議，就能解決這項漏洞。</p> <p><a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=exchange&source=exchange6&tag=cve-2025-53786%2B&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on" target="_blank">但根據非營利組織The Shadowserver研究人員掃瞄結果</a>，從IP位址來看，未安裝修補程式的Exchange Server一直處於近2.9萬，未曾明顯減少。到8月10日，依然還有29,098個IP。其中歐洲以1.4萬個占最大比例，北美和亞洲次之，各有近8,400及5,000個IP。</p> <p class="rtecenter"><a href="http://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=exchange&source=exchange6&tag=cve-2025-53786%2B&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-exchange-CVE-2025-53786-shadowserver-600.png" style="width: 600px;" /></a></p> <p>本漏洞影響Exchange Server 2016、2019及Subscription Edition（SE）。<a href="https://www.cisa.gov/news-events/directives/ed-25-02-mitigate-microsoft-exchange-vulnerability" target="_blank">美國網路安全暨基礎架構安全管理署（CISA）已發布緊急指令</a>，要求聯邦政府機關以微軟提供的Exchange Server Health Checker script完成系統盤點、<a href="https://techcommunity.microsoft.com/blog/exchange/released-april-2025-exchange-server-hotfix-updates/4402471" target="_blank">安裝Exchange Hotfix Updates更新</a>、Exchange Server 2019要更新到CU14、15，Exchange Server 2016升級到CU23，並關閉過了生命周期（EoL）的老舊Exchange Server。</p> <p>民間企業也可以循同樣方法強化Exchange Server防護。</p> </div></div></div>
2025/8/12 10:42作者林妍溱https://www.ithome.com.tw/news/170552
Anthropic Claude也有記憶功能了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/claudeai/status/1954982275453686216" target="_blank">AI新創Anthropic今日（8/12）宣布</a>，旗下聊天機器人Claude也有記憶功能了，未來將可參考過去的聊天內容提供回應，即日起支援Max、Team及Enterprise方案的用戶，很快就會擴及其它方案。</p> <p>對許多AI用戶來說，記憶是個很有用的功能，它讓使用者不必再重覆輸入已經與機器人討論過的東西，還能搜尋過去的聊天歷史紀錄，<a href="https://openai.com/zh-Hant/index/memory-and-new-controls-for-chatgpt/" target="_blank">OpenAI的ChatGPT早在2024年2月就具備了該功能</a>。</p> <p><a href="https://support.anthropic.com/en/articles/10185728-understanding-claude-s-personalization-features" target="_blank">根據Anthropic的說明</a>，Claude的記憶能力讓它能搜尋過去的對話，以在新的聊天中尋找及引用相關資訊，讓彼此能夠無縫地持續討論，無需重新解釋所有內容，而當使用者引用過去的對話或脈絡時，Claude即會搜尋其聊天紀錄來查找訊息。</p> <p>使用者還可以設定搜尋邊界，例如只搜尋專案之外的聊天內容，或是只搜尋特定專案的內容；或者是直接問Claude有關某個曾討論過的主題，並調出內容或繼續對話。也能禁止Claude搜尋過去的聊天紀錄。</p> <p>Anthropic除了提供免費版的Claude之外，Claude Pro的月費為20美元，使用量超過5倍Pro的Claude Max月費為100美元，另外還有至少5名團隊、每月25美元的Claude Team，以及採用客製化價格的Claude Enterprise。</p> <p><a href="https://www.theinformation.com/articles/anthropic-revenue-hits-4-billion-annual-pace-competition-cursor-intensifies" target="_blank">The Information曾在7月初報導</a>，Anthropic的年度經常性收入（Annual Recurring Revenue，ARR）為40億美元，同一時間，其最大競爭對手<a href="https://www.ithome.com.tw/news/169450" target="_blank">OpenAI的ARR則已突破100億美元</a>。</p> </div></div></div>
2025/8/12 11:02作者陳曉莉https://www.ithome.com.tw/news/170553
AWS推Bedrock Guardrails推理檢查，以形式化驗證降低AI幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/blogs/aws/minimize-ai-hallucinations-and-deliver-up-to-99-verification-accuracy-with-automated-reasoning-checks-now-available/">宣布</a>Bedrock Guardrails中的自動推理（Automated Reasoning）檢查功能正式上線，官方表示，這項功能運用數學邏輯與形式化驗證技術，能將大型語言模型生成內容與既定政策或領域規範進行對照，驗證準確率可達99％。對需要在高法規遵循的環境，控制人工智慧輸出品質的開發團隊而言，這提供了一套可追溯、可量化的驗證機制，用以降低幻覺並及早發現潛在歧義。</p> <p>自動推理檢查功能會將自然語言撰寫的政策或規範轉換為可機器推理的邏輯表示，並依嚴格規則檢驗模型回應是否符合條件。這與常見依賴機率推論的方法不同，後者在不確定情況下會替各種結果分配機率，而自動推理則基於可證明的驗證框架，提供明確的有效、無效或依假設而定的可滿足判定。</p> <p>自動推理檢查功能可支援一次處理8萬Token相當100頁文件內容，可將完整規範或大型文件納入單次處理。用戶可以儲存並重複執行驗證測試，確保政策調整後結果一致，系統也會自動產生測試情境，減少人工設計案例的時間成本，其他強化功能包括自然語言化的政策修改建議，以及可自訂信心分數門檻，以配合不同應用場景的檢核需求。</p> <p>在使用上，開發者可於Bedrock控制臺上傳政策文件，系統會解析出規則、變數及自訂型別，將條文轉化為可運算的邏輯結構。隨後可透過自動或手動測試情境輸入模型生成的問答內容，檢驗其與政策的一致性，當測試失敗，可追溯至觸發矛盾的規則來源，以便調整政策或測試案例。</p> <p>自動推理檢查可與Bedrock Guardrails的其他防護措施搭配使用，例如內容過濾與情境對齊檢查，並不限於AWS模型，也能透過ApplyGuardrail API應用於第三方模型，包括OpenAI與Google，或整合至代理框架。</p> <p>目前自動推理檢查已在美東、美西及歐洲等AWS區域上線，計費依處理文字量與驗證請求計算。AWS同時提供技術文件與GitHub範例，協助開發者導入並測試此功能。</p> </div></div></div>
2025/8/12 08:15作者李建興https://www.ithome.com.tw/news/170547
【資安日報】8月11日，SonicWall防火牆近期遭勒索軟體攻入的原因出爐：駭客利用已知漏洞從事攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有數起資安事故出現後續發展，首先是勒索軟體Akira專門鎖定SonicWall防火牆的攻擊行動，原廠定調是利用已知漏洞CVE-2024-40766而得逞；再者，上週有精品業者、科技業者、航空業者傳出採用的第三方系統遭入侵而導致資料外洩，其中Google的事故出現新的進展，有資安新聞媒體指出，駭客竊得該公司潛在客戶的聯絡方式，並向他們勒索約230萬美元的比特幣。</p> <p>我們將焦點轉回國內，一個月前偵測到資訊系統被入侵的海華科技，上週末發出新的重訊表示，勒索軟體Qilin公布的26份內部資料並非重要內容，他們經評估後確認對公司無重大影響。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170549"><strong style="font-size: 22px;">針對SonicWall防火牆近期遭攻擊事故，原廠定調是已知漏洞未修補所致</strong></a></p> <p>上週資安業者Arctic Wolf提出警告，他們在7月下旬發現，勒索軟體駭客Akira透過SonicWall防火牆取得初始入侵管道，然後從事勒索軟體活動的情況出現增加的現象，並指出駭客疑似利用零時差漏洞而得逞，然後透過SonicWall SSL VPN存取受害組織，呼籲用戶最好暫時停用SSL VPN功能因應，如今資安業者SonicWall介入調查，指出駭客利用的是去年公布的資安漏洞。</p> <p>SonicWall發布資安公告指出，根據他們的調查結果，近期鎖定該廠牌SSL VPN系統的活動與CVE-2024-40766高度相關，駭客並非使用新的零時差漏洞。此為存取控制不當漏洞，SonicWall約在一年前公告及修補，影響第5代至第7代的裝置，CVSS風險評為9.3，值得留意的是，此漏洞被公布之前就已被用於實際攻擊。</p> <p>對於這起攻擊行動的規模，SonicWall指出不到40起，而且許多事故的受害設備存在共通點，那就是曾從第6代防火牆作業系統SonicOS遷移至第7代，但本機用戶密碼並未重置而成為目標。該公司強調，緩解CVE-2024-40766不光只靠套用新版韌體，重設密碼其實是重要步驟。</p> <p><a href="https://www.ithome.com.tw/news/170548"><strong style="font-size: 22px;">Google近期揭露Salesforce系統資料外洩事故出現進展，傳出曝露潛在廣告主資訊</strong></a></p> <p>8月5日Google威脅情報小組（TAG）在兩個月前發表部落格文章發布更新，指出他們疑似遭到自稱是ShinyHunters的駭客組織UNC6240攻擊，Google在其中一個他們使用的Salesforce系統當中，察覺受到類似UNC6240的可疑活動影響，該公司進行回應並分析受害情況，並透露此系統存放了中小企業的聯絡資訊，事隔數日，有更進一步的消息傳出。</p> <p>根據資安新聞網站Bleeping Computer的報導，Google在Salesforce CRM外洩的資料當中，涉及Google Ads潛在客戶的資訊，根據該媒體取得Google發出的資料外洩通知指出，這起事故影響該公司某個Salesforce系統存放的一組有限資料，而這些資訊的用途，是聯繫可能成為Google Ads客戶的企業組織。</p> <p>究竟有多少公司行號受到影響，Google並未說明，Bleeping Computer取得ShinyHunters的說法，駭客聲稱竊得約255萬筆記錄，但並未透露是否有重覆資料。</p> <p><a href="https://www.ithome.com.tw/news/170503"><strong style="font-size: 22px;">中國簡訊詐騙集團鎖定全球支付卡，利用數位錢包詐騙</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-07-29 at 8_29_18 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-07-29%20at%208_29_18%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>英國網路威脅情報供應商SecAlliance本周公布一源自中國的簡訊詐騙模式，駭客將所盜來的支付卡綁定至Apple Pay和Google Wallet中，以繞過傳統的詐欺偵測。同樣位於英國的威脅情報業者Silent Push亦曾揭露同一手法，並將此一犯罪聯盟稱為Smishing Triad 。</p> <p>根據這兩家業者的研究，Smishing Triad是自2023年初開始於全球發動簡訊網釣（Smishing）活動，駭客先透過SMS、RCS、iMessage等平臺傳送偽造通知（如包裹配送、銀行異常或帳號安全警示等）；於簡訊中嵌入惡意連結以將使用者引導至網釣網站；這些網頁仿冒了銀行、支付平臺或零售商介面，以蒐集使用者所輸入的支付卡資訊；當銀行要求一次性密碼或推播驗證時，駭客還會誘導受害者輸入驗證碼。</p> <p>SecAlliance則說，從2023年7月到2024年10月間，美國可能有1,270萬至1.15億張的支付卡遭到入侵，損失金額高達數十億美元，相信這是有史以來最複雜、財務損失最嚴重的簡訊網釣行動，也創造出一種現有安全框架難以招架的新型金融犯罪。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=123724&SPOKE_DATE=20250811&COMPANY_ID=3694"><strong style="font-size: 22px;">針對勒索軟體駭客公布部分竊得資料，海華科技表示對公司無重大影響</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6aa57876-419f-4744-b1f0-03835e133401.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6aa57876-419f-4744-b1f0-03835e133401.jpg" style="width: 300px; float: right;" /></a></p> <p>7月8日和碩旗下無線通訊模組及數位影像處理方案廠海華科技發布資安重訊，表示他們察覺資訊系統遭到攻擊，資訊部門第一時間執行斷網阻隔因應，並未對財務及業務造成重大影響，事隔一個月，有駭客組織聲稱是他們所為，並公布部分竊得資料。對此，海華發布重訊表示，經過確認，這些並非重要資料。</p> <p>為何海華二度發布資安重訊，起因是<a href="https://www.ftvnews.com.tw/news/detail/2025808W0849">民視新聞網的報導指出</a>，惡名昭彰的勒索軟體駭客Qilin近日聲稱，他們從海華科技（AzureWave.com）竊得內部資料，並於暗網公布其中的26個檔案。至於歹徒是否對海華勒索，民視新聞網指出，Qilin並未提出進一步要求，公布部分內部資料疑似是為了向海華施壓。對此，海華取得報導提及的文件進行檢視，並表示根據評估對公司營運及財務無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/rubygems-pypi-hit-by-malicious-packages.html">PubyGems、PyPI用戶遭遇惡意套件攻擊，駭客意圖竊取帳密、加密貨幣，並竄改安全設定</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/malicious-go-npm-packages-deliver-cross.html">惡意Go、NPM套件散布跨平臺惡意套件，攻擊者可遠端抹除電腦資料</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170498"><strong style="font-size: 22px;">Exchange Server混合部署模式存在重大提權漏洞</strong></a></p> <p>微軟發出安全公告，警告Exchange Server混合部署模式存在重大漏洞CVE-2025-53786，可使攻擊者在某些狀況下提高權限，微軟呼籲用戶儘速安裝修補程式。</p> <p>值得一提的是，這項漏洞其實已在今年4月18日發布的修補程式得到緩解，當時微軟宣布變更Exchange Server混合模式的安全設定，並發布Hot Fix修正程式，目的是改善此種部署模式的安全性。該公司事後進一步調查，確認當時緩解了特定漏洞，並登記為CVE-2025-53786列管。這項漏洞利用存在必要條件，攻擊者需事先取得本機Exchange Server管理員權限，從而於目標組織的雲端環境提升權限，而且不會留下輕易偵測或稽察到的跡證，CVSS風險為8.0。</p> <p>這項漏洞影響Exchange Server 2016、2019，以及<a href="https://techcommunity.microsoft.com/blog/exchange/exchange-server-subscription-edition-se-is-now-available/4424924">甫於7月正式推出的</a>Subscription Edition（SE）。但為何7月上市的SE版也會存在4月修補的漏洞？微軟指出，原因是專屬的混合模式應用程式已是SE初期版本的一部分，假若用戶已經遷移到最新版本，他們已經得到相關防護。</p> <p><a href="https://www.ithome.com.tw/news/170492"><strong style="font-size: 22px;">Dell商務筆電特定晶片存在ReVault漏洞，影響逾百款機型恐遭持久控制與資料竊取</strong></a></p> <p>思科旗下威脅情報與資安研究團隊Talos揭露ReVault漏洞組合，涉及戴爾（Dell）商務筆電當中，採用博通（Broadcom）控制晶片的ControlVault3/3+韌體，以及Windows API共5項弱點。若不處理，攻擊者可取得持久性控制、繞過Windows登入並竊取敏感資料，影響超過100款Latitude與Precision等商務機型。</p> <p>ControlVault為獨立硬體安全模組，裝載在稱為USH（Unified Security Hub）的子卡上，用於在韌體層儲存密碼、生物特徵與安全代碼，並連接指紋、智慧卡與NFC等周邊。現行主流版本為ControlVault3與ControlVault3+，廣見於上述商務與強固（Rugged）機型。</p> <p>本次資安漏洞通報包括ControlVault韌體中的記憶體越界讀寫漏洞CVE-2025-24311、CVE-2025-25050，記憶體任意釋放漏洞CVE-2025-25215，記憶體堆疊溢位漏洞CVE-2025-24922，以及影響Windows API的不安全反序列化漏洞CVE-2025-24919。其中，CVE-2025-24919可被惡意設計的ControlVault回應觸發，進一步在主機上達成任意程式碼執行。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/winrar-zero-day-flaw-exploited-by-romcom-hackers-in-phishing-attacks/">WinRAR緊急修補零時差漏洞，駭客已用來散布惡意軟體RomCom</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/linux-based-lenovo-webcams-flaw-can-be.html">聯想網路攝影機存在漏洞，可被用於遠端發動BadUSB攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/6500-axis-servers-expose-remoting.html">佳能旗下視訊監控系統存在重大漏洞，6,500臺主機面臨被挾持的風險</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170497"><strong>【8月8日】越南駭客竊資軟體攻擊行動升溫，逾20萬組帳密遭竊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170484"><strong>【8月7日】Linux惡意程式濫用身分驗證模組PAM隱匿行蹤</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170464"><strong>【8月6日】時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞</strong></a></p> </div></div></div>
2025/8/11 18:31作者周峻佑https://www.ithome.com.tw/news/170551
針對SonicWall防火牆近期遭攻擊事故，原廠定調是已知漏洞未修補所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者Arctic Wolf<a href="https://www.ithome.com.tw/news/170409">提出警告</a>，他們在7月下旬發現，勒索軟體駭客Akira透過SonicWall防火牆取得初始入侵管道，然後從事勒索軟體活動的情況出現增加的現象，並指出駭客疑似利用零時差漏洞而得逞，然後透過SonicWall SSL VPN存取受害組織，呼籲用戶最好暫時停用SSL VPN功能因應，如今資安業者SonicWall介入調查，<a href="https://www.sonicwall.com/support/notices/gen-7-and-newer-sonicwall-firewalls-sslvpn-recent-threat-activity/250804095336430">指出駭客利用的是去年公布的資安漏洞</a>。</p> <p>SonicWall發布資安公告指出，根據他們的調查結果，近期鎖定該廠牌SSL VPN系統的活動與<a href="https://www.ithome.com.tw/tags/cve-2024-40766">CVE-2024-40766</a>高度相關，駭客並非使用新的零時差漏洞。此為存取控制不當漏洞，<a href="https://www.ithome.com.tw/news/164704">SonicWall約在一年前公告及修補</a>，影響第5代至第7代的裝置，CVSS風險評為9.3，值得留意的是，此漏洞被公布之前就已被用於實際攻擊。</p> <p>對於這起攻擊行動的規模，SonicWall指出不到40起，而且許多事故的受害設備存在共通點，那就是曾從第6代防火牆作業系統SonicOS遷移至第7代，但本機用戶密碼並未重置而成為目標。該公司強調，緩解CVE-2024-40766不光只靠套用新版韌體，重設密碼其實是重要步驟。</p> <p>該公司也呼籲用戶升級至SonicOS 7.3，以取得對於暴力破解與多因素驗證攻擊的額外防護能力，並重設所有本機使用者的密碼，套用最佳實作因應。</p> <p>針對Arctic Wolf察覺的攻擊行動，後續有資安業者公布新的調查結果。<a href="https://www.guidepointsecurity.com/blog/gritrep-akira-sonicwall/">資安業者GuidePoint Security指出</a>，Akira在透過SonicWall設備取得初始入侵管道後，就試圖利用rwdrv.sys、hlpdrv.sys兩個驅動程式進行自動驅動程式（BYOVD）攻擊，從而在迴避防毒軟體與EDR偵測的情況下，進行後續活動。</p> <p>另一家資安業者Huntress<a href="https://www.huntress.com/blog/exploitation-of-sonicwall-vpn">揭露較為詳盡的調查結果</a>，他們指出駭客主要針對有限數量的TZ及NSa系列的防火牆下手，受害防火牆的韌體為7.2.0-7015以前版本，並啟用了SSL VPN服務。</p> <p>一旦成功入侵受害組織的環境，駭客就會運用防火牆本身取得的特權LDAP或服務帳號，掌握管理者權限，然後透過WMI及PowerShell在網路環境移動，並試圖透過指令碼挖掘Veeam Backup帳密資料，以及使用wbadmin.exe備份NTDS.dit。最終在停用資安防護機制的情況下，於受害組織部署勒索軟體並執行。截至8月6日，他們掌握28起相關事故。</p> </div></div></div>
2025/8/11 17:19作者周峻佑https://www.ithome.com.tw/news/170549
針對Google近期揭露Salesforce系統資料外洩事故，傳出曝露潛在廣告主資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日Google威脅情報小組（TAG）在兩個月前發表部落格文章<a href="https://www.ithome.com.tw/news/170439">發布更新</a>，指出他們疑似遭到自稱是ShinyHunters的駭客組織UNC6240攻擊，Google在其中一個他們使用的Salesforce系統當中，察覺受到類似UNC6240的可疑活動影響，該公司進行回應並分析受害情況，並透露此系統存放了中小企業的聯絡資訊，事隔數日，<a href="https://www.bleepingcomputer.com/news/security/google-confirms-data-breach-exposed-potential-google-ads-customers-info/">有更進一步的消息傳出</a>。</p> <p>根據資安新聞網站Bleeping Computer的報導，Google在Salesforce CRM外洩的資料當中，涉及Google Ads潛在客戶的資訊，根據該媒體取得Google發出的資料外洩通知指出，這起事故影響該公司某個Salesforce系統存放的一組有限資料，而這些資訊的用途，是聯繫可能成為Google Ads客戶的企業組織。</p> <p>Google指出，外流的資料包含公司名稱、電話號碼，以及相關說明，這些資料的主要用途，是提供業務代表後續聯繫。但不包括付款資訊，對於Google Ads帳號、Merchant Center、Google Analytics，以及其他Google的廣告業務產品，這些資料並未受到影響。</p> <p>究竟有多少公司行號受到影響，Google並未說明，Bleeping Computer取得ShinyHunters的說法，駭客聲稱竊得約255萬筆記錄，但並未透露是否有重覆資料。</p> <p>這些駭客表明與另一組人馬Scattered Spider進行合作，由Scattered Spider負責取得目標系統的初始入侵管道，然後再由ShinyHunters竊取Salesforce系統存放的資料。</p> <p>而對於這些駭客是否向Google勒索，資安部落格DataBreaches.Net<a href="https://databreaches.net/2025/08/08/shinyhunters-sent-google-an-extortion-demand-shiny-comments-on-current-activities/">最早透露這些駭客聲稱已向該公司勒索</a>，Bleeping Computer指出贖金是20個比特幣，相當於230萬美元。</p> </div></div></div>
2025/8/11 16:09作者周峻佑https://www.ithome.com.tw/news/170548
Elastic推出Logs Essentials無伺服器服務，重點鎖定核心日誌分析需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic正式<a href="https://www.elastic.co/observability-labs/blog/log-analytics-elastic-serverless-logs-essentials">發表</a>Elastic Observability Logs Essentials，這是一項建構於Elastic Cloud Serverless之上的全新日誌分析服務，面向網站可靠性工程師（SRE）與開發人員，提供高效、免自行維運的雲端化日誌管理方案。服務採用依實際資料寫入量與留存期計費模式，免除傳統容量預留與閒置資源的開銷。</p> <p>Logs Essentials承襲Observability Complete的無狀態架構，以Elasticsearch作為核心搜尋與分析引擎，讓使用者在不必自行管理Elastic Stack的前提下，也能獲得相同的查詢與分析效能。系統透過Kubernetes協調運算資源，並將儲存交由雲端物件儲存服務處理，可依需求自動擴展。Elastic也提供多區域部署、自動升級、金絲雀部署與自動化設定更新，確保服務持續可用與高韌性。</p> <p>在功能層面，Logs Essentials提供快速搜尋與分析的能力，使用者可透過篩選條件、樣式比對與事件辨識，短時間鎖定問題來源。</p> <p>ES|QL（Elasticsearch Query Language）支援工作管線查詢與跨索引關聯，使用戶能在不同服務與系統間建立完整的上下文關係。針對異常流量或錯誤尖峰，使用者可設置警報，並透過Kibana儀表板將系統狀態視覺化，進行即時監控與歷史趨勢分析。</p> <p>Logs Essentials可用於跨系統故障排除，官方舉例當電商交易發生異常時，SRE可同時檢視NGINX、MySQL與應用程式日誌，先透過HTTP錯誤狀態碼分布判斷受影響的區域，再進一步關聯至Kubernetes叢集與Pod的資源使用情況，找出問題源頭。整個過程可依賴ES|QL查詢、日誌搜尋與儀表板，減少在不同工具間切換的時間成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/logs-essentials-nginx-400.jpg" style="width: 580px; height: 323px;" /></p> <p>Logs Essentials特別適合僅需核心日誌分析能力，不需SLO、AI/ML或涵蓋追蹤與指標完整觀測功能的團隊，且有後續需求擴展，用戶也可直接升級至Observability Complete，以取得更多進階功能與更廣的觀測範圍。</p> </div></div></div>
2025/8/11 17:03作者李建興https://www.ithome.com.tw/news/170544
The Browser Company推出每月20美元的AI瀏覽器Dia訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐約瀏覽器新創公司The Browser Company上周發表了Dia Pro訂閱服務，讓Dia用戶可無限使用其AI功能，月租費為20美元。</p> <p>The Browser Company是由曾擔任白宮產品總監的Josh Miller，以及曾擔任Facebook工程師的Hursh Agrawal於2019年共同創辦，現在分別擔任新公司的執行長與技術長，目標是打造一款可解決使用者瀏覽及生產力問題的網頁瀏覽工具，讓瀏覽器成為網路作業系統，<a href="https://www.ithome.com.tw/news/157945" target="_blank">於2023年發表奠基於Chromium專案的Arc 1.0</a>，並在去年10月宣布將不再繼續開發新版本的Arc，轉而<a href="https://www.diabrowser.com/" target="_blank">在今年6月發表AI瀏覽器Dia</a>。</p> <p>Dia同樣採用Chromium架構，但在右邊側欄直接嵌入AI助手，使用者可直接在側欄與AI對話，或是與已開啟的分頁內容互動，請它摘錄內容，提供寫作建議或是協助購物等，或是整合不同分頁的資訊；它也具備某些AI技能，可根據使用情境呼叫不同的AI模型執行特定任務。</p> <p>即便還在測試期間，但The Browser Company上周就推出訂閱制的Dia Pro。有別於Arc企圖成為作業系統而內建的完整功能，Dia基本上就是個以AI為主的瀏覽器，有使用者認為Dia失去了Arc原有的特色。</p> <p>Dia目前僅支援採用M系列處理器的macOS平臺，雖然AI介面是英文，但支援中文互動。</p> </div></div></div>
2025/8/11 14:31作者陳曉莉https://www.ithome.com.tw/news/170545
Google Finance即將導入AI聊天與進階圖表工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/google-finance-ai/" target="_blank">Google上周五（8/8）宣布</a>，幾周內將開始於美國測試其重新設計、以AI為核心的新版Google Finance。</p> <p>此次升級將聚焦三大核心功能。首先是 AI 聊天機器人，使用者可以自然語言詢問複雜金融相關問題，例如：「本月標普500哪些公司漲幅最大？」系統將根據問題生成合乎脈絡的回覆，並附上有用連結或資料來源；其次是全面升級圖表功能，包括加入技術指標與K線圖等過去多出現在專業交易平臺上的顯示模式；最後則是同步提供更多市場資料與即時新聞，且橫跨股票、大宗商品與加密貨幣等多元資產類別，協助使用者快速掌握資訊。</p> <p>市場分析認為，該升級正逐步推進Google在金融資訊領域的策略布局，藉由AI問答與深度圖表功能，挑戰Yahoo Finance與 Seeking Alpha等資深對手，並期留住使用者，不讓他們為複雜查詢而轉向ChatGPT或其他AI平臺。</p> <p>此外，這次的改版也是Google廣泛整合AI策略的一環。近來Google已陸續於Search、Photos、Docs及AI Overviews等功能導入Gemini模型能力，強化其產品的語意理解與生成表現，Google Finance的升級正是延續該策略的最新成果。</p> <p><a href="https://www.google.com/finance/" target="_blank">Google Finance是在2006年上線</a>，定位為免費的線上金融資訊及投資組合追蹤工具，採用一貫簡潔的Google設計，不過它的使用量遠低於Yahoo Finance或Bloomberg等平臺，外界頗為好奇AI版Google Finance的表現。</p> </div></div></div>
2025/8/11 15:01作者陳曉莉https://www.ithome.com.tw/news/170546
AWS承諾要提供10億美元的免費額度予美國政府機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gsa.gov/about-us/newsroom/news-releases/gsa-announces-onegov-agreement-with-aws-08072025" target="_blank">美國總務管理局（U.S. General Services Administration，GSA）上周四（8/7）宣布</a>，已與Amazon Web Services (AWS) 簽署合作協議，AWS將提供10億美元的免費額度，推動美國各個聯邦機構的雲端採用、現代化，以及教育訓練，效期至2028年12月31日。這跟<a href="https://www.ithome.com.tw/news/170476" target="_blank">GSA與OpenAI所簽署的協議</a>一樣，都是屬於GSA在今年4月所啟動的OneGov策略。</p> <p>OneGov源自<a href="https://www.whitehouse.gov/presidential-actions/2025/04/ensuring-commercial-cost-effective-solutions-in-federal-contracts/" target="_blank">美國總統川普（Donald Trump）今年4月所發布的行政命令</a>，有鑑於過去美國聯邦機構大量使用客製化服務而提高了建置成本，川普要求政府機關應該要消除不必要的支出，在最大可行範圍內採購市售產品及服務，亦即儘量以市面上的既有產品或服務來取代客製化，若要採用客製化還必須提出申請。</p> <p><a href="https://www.gsa.gov/about-us/newsroom/news-releases/gsa-unveils-onegov-strategy-04292025" target="_blank">幾天後GSA即啟動了OneGov策略</a>，統一聯邦政府機構的採購模型，首先聚集於IT工具，提供標準化的條款及定價，並直接與原廠合作以提升價格透明度、簡化採購流程，還能強化資安。GSA認為，該策略不僅支持川普的行政命令，也延續了先前曾分別與<a href="https://www.gsa.gov/about-us/newsroom/news-releases/gsa-secures-landmark-agreement-with-microsoft-to-enhance-federal-it-acquisition-01152025" target="_blank">微軟</a>及<a href="https://www.gsa.gov/about-us/newsroom/news-releases/gsa-secures-cost-savings-through-strategic-agreement-with-google-04102025" target="_blank">Google</a>所達成的泛政府優惠協議，並將擴及硬體、平臺、基礎設施與資安等領域。其中，美國聯邦機構使用Google Workspace折扣最低可到29折。</p> <p>在與AWS的合作中，AWS所提供的10億美元額度涵蓋了各式的AWS雲端服務，協助機構將基礎設施及應用現代化的AWS現代化額度，培訓額度，以及不再透過代理商，而是直接與AWS合作以節省成本。</p> <p>GSA表示，藉由此一新協議，各個聯邦機構將能獲得AWS培訓資源及具有專業技能與經驗的專家團隊，幫助它們從老化的本地基礎設施遷移到雲端，讓各個機構利用AWS的雲端遷移計畫來快速遷移、自動化、降低成本，同時加速採用人工智慧技術。</p> <p><a href="https://www.reuters.com/business/retail-consumer/amazon-web-services-provide-us-government-agencies-with-up-1-billion-savings-2025-08-07/" target="_blank">根據路透社（Reuters）的報導</a>，美國聯邦政府每年要花費超過1,000億美元來管理IT系統，收購新系統，或是更新舊系統。這意味著AWS的10億美元免費額度只是拋磚引玉，真正的目的在於搶先鎖定聯邦政府龐大的IT預算，培養長期依賴與合作。</p> </div></div></div>
2025/8/11 13:43作者陳曉莉https://www.ithome.com.tw/news/170540
高品質專家標註新法讓LLM訓練資料需求降至萬分之一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Ads新<a href="https://research.google/blog/achieving-10000x-training-data-reduction-with-high-fidelity-labels/">發表</a>一套資料篩選與專家標註流程，針對大型語言模型在廣告安全領域的應用，能在維持甚至提升模型品質的同時，將微調所需的訓練資料量縮減至原本的萬分之一。此方法結合主動式學習與專家標註，專注挑選最具判斷價值的樣本，特別適合處理政策規範變化頻繁、正類比例（Positive Rate）極低且需深度語境理解的分類任務，例如偵測點擊誘餌或違規廣告內容。</p> <p>整個流程從零或少樣本的初始模型LLM-0開始，透過提示對大量廣告自動分類為可疑或正常。由於真實流量中正類，也就是違規或不安全內容比例通常不到1％，且初始模型的真正率有限，研究團隊會先將正、負類資料分類，再找出兩者重疊的交集，這些區域正是模型最容易混淆的判斷邊界。</p> <p>系統會從中選取距離最近但標籤不同的樣本對，交由兩位人類專家進行審核，確保資料同時具備高度資訊價值與多樣性。</p> <p>標註後的資料分為評估資料集與微調資料集，前者用於衡量模型與專家的一致性，後者用於進一步微調模型。評估階段採用Cohen's Kappa統計量，衡量針對定性項目標註的一致性與評分者間信度，不依賴唯一正確的基準真相標籤，適用於廣告安全、詐騙偵測等本質上具爭議性的分類任務。整個過程反覆進行，直到模型與專家的一致性接近專家彼此的內部一致性，或進入無法再提升的平臺期。</p> <p>在實驗中，Google以兩款不同規模的模型，分別是18億與32.5億參數在低與高複雜度任務上進行測試，並與使用10萬筆群眾外包標註資料的傳統基準相比。</p> <p>結果顯示，對於32.5億參數模型，新流程在僅使用250至450筆專家標註資料的情況下，能將模型與專家的一致性提升55％至65％，且在高複雜度任務中也有明顯改善。即使資料量減少三至四個數量級，模型的分類品質仍與基準持平甚至更佳。</p> <p>研究團隊指出，要穩定優於群眾外包標註，標註品質需達Cohen's Kappa 0.8以上。這項成果顯示，結合大型語言模型的大範圍涵蓋能力與專家在困難樣本上的精準判斷，可以更有效應對廣告安全等快速變動的場景，降低資料蒐集與訓練成本，並在政策或內容型態變化時迅速調整模型。</p> </div></div></div>
2025/8/11 14:07作者李建興https://www.ithome.com.tw/news/170518
VS Code 1.103加入GPT-5與聊天檢查點，並強化多分支與代理協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟新<a href="https://code.visualstudio.com/updates/v1_103#_git-worktree-support">發布</a>VS Code 1.103版本，更新內容著重在開發者協作效率與大型專案管理能力的提升。本次版本引入OpenAI剛發布的GPT-5至聊天功能，並新增聊天檢查點、Git工作樹原生支援與多項終端與代理整合優化，對日常開發流程與長時間任務執行帶來更高的可控性與穩定性。</p> <p>GPT-5現已陸續開放給所有付費GitHub Copilot用戶，開發者可直接在VS Code的模型選擇器中切換使用。新版本改進了模型管理介面，讓使用者能更精準地挑選常用模型，減少在多模型環境下的干擾。</p> <p>針對大型程式庫，#codebase工具新增支援Azure DevOps遠端索引，首次開啟即可進行搜尋，免除冗長的初始化過程。</p> <p>新版VS Code預設啟用聊天檢查點功能，允許在代理或使用者進行大規模檔案修改後，將工作區與聊天歷史回復至指定節點，此功能不僅能快速撤銷不需要的變更，還保留了重做後續動作的能力。聊天介面也支援編輯既有請求並重新送出，並新增KaTeX數學排版預覽，方便在技術討論中呈現公式與運算。</p> <p>在版本控制方面，VS Code現在可自動偵測並管理Git工作樹，於Source Control Repositories檢視圖中清楚標示儲存庫、子模組與工作樹的層級結構，方便同時處理多分支開發。</p> <p>終端與任務執行工具則移入VS Code核心程式碼庫，解決部分執行延遲與穩定性問題，並加入長任務的輸出輪詢與狀態彙整。</p> <p>VS Code已相容MCP 2025-06-18版本，支援resource_link與結構化工具輸出，MCP伺服器可設定自動啟動，首次啟動時會提示信任，並在無法使用DCR時提供Client Credentials替代流程。工具挑選器改採Quick Tree介面，當工具數量超過上限時會自動分組，並由模型決定呼叫工具群組，確保在大型工具集下維持操作效率。</p> </div></div></div>
2025/8/11 14:18作者李建興https://www.ithome.com.tw/news/170521
Meta收購OpenAI、Google前員工創立的AI音訊新創公司WaveForms
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/meta-acquires-ai-audio-startup-waveforms" target="_blank">The Information報導</a>，Meta收購了由OpenAI和Google前員工創立的AI新創公司WaveForms，用以加速該公司AI超級智慧（SuperIntelligence）的建構計畫。</p> <p>WaveForms執行長暨創辦人Alexis Conneau為前OpenAI研究員，另一創辦人Coralie Lemaitre則是前Google策略師。<a href="https://techcrunch.com/2025/08/08/meta-acquires-ai-audio-startup-waveforms/" target="_blank">報導指出</a>，Conneau和Lemaitre連同該公司14名其他成員已加入Meta的超級智慧實驗室（Superintelligence Labs）。</p> <p>Conneau之前參與開發GPT-4o的語音模型，該公司研究主軸是克服之前多階段模型生成聲音，以單一模型處理語音生成，聚焦研發能讓AI聲音「接近人類」且「聽不出是AI」。WaveForms AI獲得創投家Andreessen Horowitz 4,000萬美元種子輪基金，該公司去年底稱市值達2億美元，這意味著Meta收購金額可能也達數億水準。</p> <p>不到一個月前，<a href="https://techcrunch.com/2025/07/13/meta-acquires-voice-startup-play-ai/" target="_blank">Meta才傳</a>收購了PlayAI，後者也是專注開發高度逼真的AI人聲科技。二家公司可能將協助強化Meta開發在Meta平臺或裝置上AI內容、人物所用的先進語音AI科技。</p> </div></div></div>
2025/8/11 11:26作者林妍溱https://www.ithome.com.tw/news/170522
GPT-5上路狀況多 OpenAI允許Plus用戶續用舊版模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周公布最新旗艦版模型GPT-5，欲撤除舊版模型，但在使用者反彈下，OpenAI決定暫時延長使用期限。</p> <p>上周正式釋出的GPT-5大幅提升寫作、程式設計能力，且較前代更減少幻覺、強化指令遵循，而且它是第一個整合推理、快速回應、多模態與語言互動能力於一的模型。GPT-5已部署到ChatGPT付費版及免費版。<a href="https://venturebeat.com/ai/chatgpt-users-dismayed-as-openai-pulls-popular-models-gpt-4o-o3-and-more-enterprise-api-remains-for-now/" target="_blank">根據OpenAI的說法</a>，在這些服務中，GPT-5將取代所有之前模型，讓使用者無需再根據任務需求選擇模型。而Enterprise和Edu方案用戶則可多使用60天。</p> <p>但是GPT-5上線第一天狀況連連，令使用者疾呼回復舊模型。<a href="https://www.ft.com/content/554af7b1-588a-47fb-8dc1-fb8fd6ea92f0?utm_source=chatgpt.com" target="_blank">金融時報報導</a>，GPT-5產出誤導的圖表，像是顯示模型準確比較時，69.1%和30.8%以同樣高度的柱狀圖表示，<a href="https://www.techradar.com/ai-platforms-assistants/chatgpt/so-many-chatgpt-users-have-said-theyre-missing-the-older-gpt-4o-model-openai-is-going-to-bring-it-back?utm_source=chatgpt.com" target="_blank">其他用戶反映</a>GPT-5「很糟」、「無理」、態度惡劣，因而希望能回復之前版本。</p> <p><a href="https://x.com/sama/status/1953893841381273969" target="_blank">OpenAI執行長Sam Altman昨日宣布</a>，公司將再讓Plus方案使用者使用4o等模型一段時間，並在部署完成後增加Plus用戶的GPT-5頻寬一倍。不久後，<a href="https://x.com/benhylak/status/1953917855818559567" target="_blank">用戶發現</a>在ChatGPT介面上增加了GPT-5以外的「其他模型」，可以從選擇GPT-4o、4.5、4.1及o3系列。</p> <p class="rtecenter"><a href="http://x.com/sama/status/1953893841381273969" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-GPT-5%20rollout%20updates-0809-sam%20altman.png" style="width: 500px;" /></a></p> <p>Altman解釋GPT-5出包原因，是因為昨日上線之初，它用以切換快速回應及推理能力的機制故障了，導致大半天運作失常，結果是GPT-5變得很笨。雖然上線過程「有點坎坷」，但隨著問題逐步解決，應該會變得聰明許多。OpenAI也在決策邊界（decision boundary）運作做了些變更，可提升它選擇模型的能力。</p> <p>此外，Altman也承諾會強化GPT-5形成答案的透明度，以及變更UI以便使用者更容易手動觸發思考過程。但他強調改進會需要一些時間，因此可能還是會有一些小狀況，OpenAI會持續聽取用戶意見。</p> </div></div></div>
2025/8/11 11:38作者林妍溱https://www.ithome.com.tw/news/170523
日本要求iPhone准許執行非WebKit引擎瀏覽器年底上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼歐盟及英國之後，<a href="https://www.macrumors.com/2025/08/07/japan-non-webkit-browsers-on-iphone/" target="_blank">媒體報導</a>，日本一項新法將在今年底起，要求蘋果不得限制智慧型手機App或用戶使用非自家瀏覽器。</p> <p>日本於2024年6月通過《智慧型手機軟體競爭促進法》，預定2025年12月18日正式實施。該法類似歐盟的數位市場法（Digital Markets Act, DMA）及英國《數位市場競爭與消費者法案》（DMCC Bill 2024），當中有數項法令要求供應OS及應用程式商店的「指定企業」不得阻撓競爭瀏覽器的安裝及運行，<a href="https://www.jftc.go.jp/houdou/pressrelease/2025/mar/250331_smartphone.html" target="_blank">日本公平會進一步於今年3月發布指引</a>，說明指定的企業包含蘋果及Google為OS、應用程式商店、瀏覽器的搜尋引擎。</p> <p>根據日本《智慧型手機軟體競爭促進法》，應用程式商店供應商（即蘋果及Google）不得強制第三方App業者必須使用自家瀏覽器引擎，或以技術限制、施加財務負擔限制第三方應用程式使用替代瀏覽器引擎作為組成，也不得要求他們引導用戶不得使用替代性瀏覽器引擎。</p> <p>雖然日本法令未提及任何瀏覽器或引擎，但非營利組織<a href="https://open-web-advocacy.org/blog/japan-apple-must-lift-engine-ban-by-december/" target="_blank">Open Web Advocacy將本法解讀</a>禁止蘋果在自家應用商店App Store中規定所有瀏覽器App必須使用其WebKit引擎，禁止Firefox、Chrome、Brave等使用自己的引擎。</p> <p><a href="https://www.macrumors.com/2025/08/07/japan-non-webkit-browsers-on-iphone/" target="_blank">MacRumors報導</a>這意謂著年底iPhone可能允許蘋果Safari以外的手機瀏覽器。</p> <p>目前蘋果僅在歐盟版iPhone提供非Webkit的瀏覽器。在歐盟DMA要求下，歐盟版iOS 17.4加入變更，允許用戶手機首次開機時跳出瀏覽器與搜尋引擎選擇畫面，搜尋引擎選項中列出Google、Bing、DuckDuckGo、Ecosia、Yahoo等（具體清單依國家而異），也允許第三方瀏覽器（如Chrome、Firefox）使用自家引擎並設為預設。媒體估計英國是下一個實行地區。</p> <p>事實上，日本新法也和歐盟法案一樣，做了廣泛的要求以防止平臺業者排擠競爭者，而不只限於瀏覽器引擎。例如在瀏覽器方面，日本法律禁止OS供應商（蘋果和Google）阻礙其他廠商使用OS系統功能如API提供同樣效能的App，也要求當使用者轉到其他OS、App及瀏覽器時，兩家大廠必須允許將其資料順利移轉給使用者，以利使用者轉換到其他供應商。</p> </div></div></div>
2025/8/11 11:11作者林妍溱https://www.ithome.com.tw/news/170520
Ripple斥資2億美元收購Rail，擴充穩定幣支付業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20250807771714/en/Ripple-to-Acquire-Rail-for-%24200M-Expanding-Leadership-in-Stablecoin-Payments" target="_blank">美國數位資產基礎設施公司Ripple上周四（8/7）宣布</a>，將以2億美元收購加拿大的支付基礎設施公司Rail，藉此整合雙方優勢，提供市場上最完整的穩定幣跨境支付解決方案。交易仍需取得相關監管機關批准，預計於2025年第4季完成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-Ripple%20to%20Acquire%20Rail.png" style="width: 600px;" /></p> <p>Ripple成立於2012年，總部位於美國舊金山，專注為金融機構提供跨境支付、數位資產託管及穩定幣解決方案，並以自家區塊鏈XRP Ledger及原生代幣XRP支撐交易。隨著川普（Donald Trump）在2024年11月贏得總統大選並釋出支持穩定幣的政策訊號，Ripple在去年12月推出與美元1:1掛鉤的官方穩定幣Ripple USD（RLUSD），強化其在穩定幣市場的布局。<a href="https://coinmarketcap.com/" target="_blank">XRP現為全球第三大加密貨幣</a>，市值為1,897億美元，僅次於比特幣的2.37兆美元及以太幣的5,096億美元；至於甫於去年底推出的RLUSD市值為64.3億美元，在加密貨幣排行榜上名列105，但<a href="https://coinmarketcap.com/view/stablecoin/" target="_blank">在穩定幣排行榜</a>則很快就竄上第8名。</p> <p>而Rail則是在2019年於加拿大成立，該公司整合了法幣與穩定幣支付，並與12家以上的銀行合作，為客戶提供低成本、高效率的全球支付通道，專注於B2B跨境結算。Rail的主要業務是提供單一API即可串接全球法幣與穩定幣支付服務，Ripple看中Rail在虛擬帳戶、自動化後臺與穩定幣入/出金方面的技術與合規能力，能補足自身支付業務在法幣與穩定幣間的即時切換與對帳功能。</p> <p>Ripple總裁Monica Long表示，穩定幣正快速成為現代金融的核心，結合Rail後，Ripple將能推動穩定幣與區塊鏈在全球支付的下一階段創新。Rail執行長Bhanu Kohli則指出，該公司在過去四年打造了最快的國際B2B穩定幣結算方式，2025年預計可處理全球逾10%的B2B穩定幣支付，與Ripple的合作將把這項創新帶給更多國際企業。</p> <p>市場分析認為，這起收購將使Ripple在穩定幣跨境支付領域取得明顯領先地位，並吸引更多不願承擔加密貨幣波動風險的企業客戶。業界預期，整合後的Ripple支付平臺可同時支援XRP與穩定幣結算，降低匯率風險並提升流動性，與Visa、Mastercard以及Circle在穩定幣支付領域展開競爭。</p> </div></div></div>
2025/8/11 08:28作者陳曉莉https://www.ithome.com.tw/news/170513
Claude Code曝高風險漏洞，可被濫用存取檔案與執行未授權命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cymulate<a href="https://cymulate.com/blog/cve-2025-547954-54795-claude-inverseprompt/">揭露</a>Anthropic的人工智慧開發工具Claude Code，存在兩項高風險弱點，分別為<a href="https://github.com/anthropics/claude-code/security/advisories/GHSA-pmw4-pwvc-3hx2">CVE-2025-54794</a>與<a href="https://github.com/anthropics/claude-code/security/advisories/GHSA-x56v-x2h6-7j34">CVE-2025-54795</a>，可被用於繞過目錄範圍限制以讀取檔案，並在無需用戶確認下執行未授權命令。Anthropic已在研究預覽期間接獲通報並完成修補，兩者CVSS分別為7.7與8.7。</p> <p>Claude Code人工智慧開發輔助工具，透過本機CLI/IDE整合連結開發環境，推理則經由Anthropic API等雲端服務執行，用於協助撰寫與理解程式碼、讀寫檔案與執行白名單指令等工作。</p> <p>CVE-2025-54794屬路徑限制繞過漏洞，研究人員指出Claude Code程式以字串字首比對判斷請求是否位於原始當前工作目錄（Current Working Directory，CWD），而非比較正規化後的實體路徑，攻擊者可建立名稱相近的目錄，或結合符號連結，使工具誤判並讀取原本不在允許範圍內的檔案。在特權情境中，此設計缺陷會放大資料外洩與權限濫用風險。</p> <p>CVE-2025-54795則為命令注入漏洞，Claude Code允許部分白名單指令直接執行，例如echo、pwd、whoami。當引數處理缺乏嚴格跳脫時，攻擊者可關閉原本的字串並插入其他殼層指令，使請求表面仍符合白名單規則，實際卻執行任意命令且不觸發同意提示。在系統給予較高權限且存在不受信任輸入的情境下，可能導致本機權限提升。</p> <p>Anthropic已針對兩項問題發布修補版本，路徑限制繞過影響v0.2.111以前版本，命令注入影響v1.0.20以前版本。研究人員建議使用者與團隊立即更新至上述或更高版本，並在更新後檢查工具設定與權限配置。</p> </div></div></div>
2025/8/11 08:00作者李建興https://www.ithome.com.tw/news/170506
【資安日報】8月8日，越南駭客竊資軟體攻擊行動升溫，逾20萬組帳密遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>竊資軟體的攻擊行動不時傳出，其中又以Lumma Stealer、Atomic Stealer（AMOS Stealer）的攻擊行動最為常見，最近有一起竊資軟體的攻擊行動引起資安界關注，原因是這起活動源自越南，自去年開始相關活動後，駭客便不斷改進攻擊手法，而且，這波攻擊目前仍在進行當中。</p> <p>我們先前報導精品業者<a href="https://www.ithome.com.tw/news/170431">香奈兒（Chanel）</a>、<a href="https://www.ithome.com.tw/news/170438">Pandora</a>，以及<a href="https://www.ithome.com.tw/news/170439">科技大廠思科與Google</a>的資料外洩事故，其共通點在於駭客針對第三方雲端平臺下手，如今有類似的資安蜨故發生在航空業，受害企業是歐洲航空巨擘法航（Air France）、荷航（KLM）。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170482"><strong style="font-size: 22px;">越南駭客透過竊資軟體PXA從事大規模攻擊，4,000臺電腦受害、20萬組帳密遭竊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXA-infection-chain-branded-scal.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXA-infection-chain-branded-scal.jpg" style="width: 300px; float: right;" /></a></p> <p>竊資軟體（Infostealer）橫行，其中自2023年開始，多家資安業者揭露越南駭客透過臉書企業帳號散布Ducktail、VietCredCare、SYS01 Stealer的攻擊行動，如今有資安業者指出，在兩年後，越南駭客的手法出現大幅變化，融合更為細致的反分析手法，並採用看起來沒有惡意內容的誘餌，以及建置強化的C2通訊管道，從而延後防守方察覺異狀。</p> <p>資安業者SentinelOne與Beazley Security聯手，針對名為PXA Stealer的竊資軟體進行調查，此惡意程式以Python打造而成，兩家資安業者透過外流的事件記錄資料，確認駭客的攻擊範圍遍及至少62個國家，涉及超過4千個IP位址受害，外流逾20萬組帳密、數百筆信用卡記錄，以及逾400萬個瀏覽器Cookie，受害最嚴重的國家是韓國、美國、荷蘭、匈牙利、奧地利。</p> <p>而對於攻擊者的身分，兩家資安業者指出與使用越南語的網路犯罪生態圈有關，這些駭客透過地下生態系統，以訂閱服務的形式兜售竊得資料換取經濟利益，此生態系統透過Telegram的API，進行自動化銷售及資料運用。</p> <p><a href="https://www.ithome.com.tw/news/170491"><strong style="font-size: 22px;">法航、荷航傳客戶資料外洩，駭客疑似入侵第三方平臺得逞</strong></a></p> <p>歐洲航空巨擘法航（Air France）、荷航（KLM）本周公告其客戶資料庫遭駭客經由第三方平臺竊取，成為近日外洩客戶資料的最新航空公司。</p> <p>根據母公司法荷航集團（KLM）的說明，其安全團隊在其儲存客戶資料的第三方平臺上發現異常活動，導致客戶資料遭未經授權人士存取，該公司IT安全團隊和外部廠商合作立即阻斷本事件，也採取措施預防再次發生。</p> <p>法航和荷航表示其內部系統未受影響，客戶的密碼、旅行詳細資訊、護照、信用卡及常客飛行里程等敏感資料也都完好無損。兩家公司已分別向荷蘭及法國資料保護主管機關通報此事，且發函通知受影響客戶，警告留心可疑電子郵件和電話。</p> <p><a href="https://www.ithome.com.tw/news/170446"><strong style="font-size: 22px;">微軟OAuth應用程式遭冒充，攻擊者以釣魚手法繞過多因素驗證</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-07-29 at 8_29_18 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-07-29%20at%208_29_18%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Proofpoint研究團隊發現，攻擊者持續濫用微軟OAuth應用註冊機制，假冒企業常用的雲端服務，誘導受害者授權偽造應用，再將其導向仿造的微軟登入頁面，藉此攔截帳號密碼及多因素驗證（MFA）連線階段資訊。</p> <p>這波攻擊最明顯的特徵，在於駭客偽裝Adobe、DocuSign、SharePoint、RingCentral等主流雲端服務的應用名稱與授權頁面，利用OAuth權限請求，引導目標用戶同意或拒絕應用存取個人資訊。無論使用者選擇取消或授權，最終都會被重導至偽造的微軟登入頁，而該頁實際上由攻擊者控制，並利用AiTM技術同步攔截所有登入憑證與MFA驗證內容。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-edr-killer-tool-used-by-eight-different-ransomware-groups/">8組勒索軟體駭客透過新的迴避偵測工具繞過EDR防護</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wave-of-150-crypto-draining-extensions-hits-firefox-add-on-store/">150個Firefox市集的延伸套件恐榨乾用戶的加密貨幣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bouygues-telecom-confirms-data-breach-impacting-64-million-customers/">法國電信業者Bouygues Telecom傳出資料外洩，影響640萬名客戶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/mustang-panda-targets-windows-users/">Mustang Panda假借提供瀏覽器安裝程式，意圖散布後門ToneShell</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/storm-2603-deploys-custom-malware-using-byovd/">中國駭客Storm-2603透過自帶驅動程式手法，散布惡意程式ak47c2</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170495"><strong style="font-size: 22px;">CyberArk身分驗證資料管理平臺Conjur存在資安漏洞，攻擊者可進行串連，從而遠端執行任意程式碼</strong></a></p> <p>甫被資安業者Palo Alto Networks買下的身分安全業者CyberArk，成為近來備受矚目的資安公司，在本週舉行的黑帽大會Black Hat USA 2025當中，有資安業者發表演說，公布他們在今年5月通報的CyberArk產品資安漏洞細節，受到各界的關注。</p> <p>資安業者Cyata表示，他們在兩款受到企業廣泛採用的身分驗證資料管理平臺CyberArk Conjur、HashiCorp Vault找到一系列的資安漏洞，其中針對CyberArk Conjur的部分，該公司找到一系列的邏輯缺陷，可形成完整的攻擊鏈，用於進行事先身分驗證，並達到遠端執行任意程式碼（RCE）的目的，Cyata強調，攻擊者無須事先取得帳密資料或Token，也不需要真實的AWS帳號，只需仔細製造一系列特製的請求，就有機會完全控制Conjur，而且都是利用Conjur的預設行為來觸發漏洞。雖然Cyata提及上述缺陷已在6月下旬登記CVE編號，但並未提及相關漏洞編號。</p> <p>對此，我們向CyberArk臺灣分公司進行求證，該公司表示他們在7月15日透過部落格文章進行說明，這些漏洞被登記為CVE-2025-49827、CVE-2025-49828、CVE-2025-49829、CVE-2025-49830、CVE-2025-49831，CVSS風險介於6.0至9.1，影響CyberArk Secrets Manager, Self-Hosted（原名Conjur Enterprise），以及開源版本Conjur Open Source（Conjur OSS），他們在CyberArk Marketplace、GitHub、DockerHub發布修補程式。根據CyberArk掌握的情況，目前這些漏洞尚未出現遭到利用的跡象。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170483"><strong style="font-size: 22px;">Claude Code支援GitHub，AI自動安全審查即時提供漏洞修正建議</strong></a></p> <p>Anthropic宣布旗下Claude Code整合自動安全審查功能，現已全面支援GitHub Actions，並開放所有Claude Code用戶使用。此功能可在開發團隊提交拉取請求（Pull Request，PR）階段，利用人工智慧分析程式碼變更，並於變更程式碼旁提供詳細說明與建議。</p> <p>這項自動安全審查將生成式人工智慧技術結合至GitHub協作流程。當開發人員提出拉取請求時，Claude Code會針對變動檔案進行語意分析，並嘗試檢測常見安全風險，例如SQL注入、跨站腳本（XSS）、身分驗證與授權相關問題等。與傳統以規則為主的SAST工具不同，Claude Code的人工智慧模型具備語意理解能力，能在一定程度上判斷程式碼邏輯與意圖，以協助找出潛在的安全疑慮。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170484"><strong>【8月7日】Linux惡意程式濫用身分驗證模組PAM隱匿行蹤</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170464"><strong>【8月6日】時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月5日】國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當</strong></a></p> </div></div></div>
2025/8/8 13:27作者周峻佑https://www.ithome.com.tw/news/170497
Dell商務筆電特定晶片存在ReVault漏洞，影響逾百款機型恐遭持久控制與資料竊取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cisco旗下威脅情報與資安研究團隊Talos<a href="https://blog.talosintelligence.com/revault-when-your-soc-turns-against-you/">揭露</a>ReVault漏洞組合，涉及戴爾（Dell）採用博通（Broadcom）控制晶片的ControlVault3/3+韌體與Windows API共5項弱點。未修補下，攻擊者可取得持久性控制、繞過Windows登入並竊取敏感資料，整體影響超過100款Latitude與Precision等商務機型。</p> <p>ControlVault為獨立硬體安全模組，裝載在稱為USH（Unified Security Hub）的子卡上，用於在韌體層儲存密碼、生物特徵與安全代碼，並連接指紋、智慧卡與NFC等周邊。現行主流版本為ControlVault3與ControlVault3+，廣見於上述商務與Rugged機型。</p> <p>本次資安漏洞通報包括ControlVault韌體中的越界讀寫CVE-2025-24311、CVE-2025-25050漏洞，任意釋放CVE-2025-25215漏洞，堆疊溢位CVE-2025-24922漏洞，以及影響Windows API的不安全反序列化CVE-2025-24919漏洞。而CVE-2025-24919可被惡意設計的ControlVault回應觸發，進一步在主機上達成任意程式碼執行。</p> <p>其中兩種情境風險特別高，第一種是雖然使用者沒有系統管理員權限，但仍可透過API對ControlVault韌體執行惡意程式碼，竊取加密金鑰，並植入即使重灌Windows也不會消失的韌體後門，之後再利用反序列化漏洞重新入侵Windows。第二種則是當攻擊者能實體接觸筆電，拆開機殼並用USB直接連到ControlVault子卡，就能在不輸入登入密碼或全碟加密金鑰的情況下修改韌體，甚至設定成接受任何人的指紋登入。</p> <p>在防護措施方面，研究人員指出，應先把ControlVault3或ControlVault3+更新到最新韌體版本，雖然Windows Update也能下載更新，但通常Dell官網會更早提供檔案。當用戶沒有使用指紋、智慧卡或NFC等功能，可以透過服務管理員或裝置管理員關閉ControlVault。在環境風險較高的情境，研究人員建議暫時關閉指紋登入，並啟用Windows的Enhanced Sign-in Security，以降低韌體遭不當利用的機會。</p> <p>用戶可以在BIOS中啟用機殼入侵偵測功能，一旦有人打開筆電會發出警示。同時，留意Windows Biometric Service或Credential Vault服務是否發生異常崩潰，當使用Cisco Secure Endpoint，也要注意是否出現bcmbipdll.dll Loaded by Abnormal Process的警示。</p> </div></div></div>
2025/8/8 15:23作者李建興https://www.ithome.com.tw/news/170492
PyPI推新規防堵ZIP混淆攻擊保護Python套件安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python官方套件庫PyPI<a href="https://blog.pypi.org/posts/2025-08-07-wheel-archive-confusion-attacks/">宣布</a>強化上傳端審核，目標是封鎖利用ZIP解析差異的混淆攻擊。由於常用安裝器uv在解壓ZIP檔時的處理方式，與多數採用標準函式庫zipfile模組的工具不同，攻擊者可能藉由構造特殊或惡意ZIP，讓其在不同安裝工具中解壓出不同內容，進而繞過檢測或審核。</p> <p>PyPI已開始拒收以混淆為目的建構的ZIP與wheel，並預告在2026年2月1日起，凡wheel內檔案與.dist-info目錄中的RECORD檔案不一致將被直接拒收。官方同時表示，目前沒有證據顯示此手法曾在PyPI遭到濫用。</p> <p>Wheel本質是ZIP檔，ZIP標準為了兼顧舊系統相容性，支援追加寫入功能，允許在不重寫整個壓縮檔的情況下在檔尾加入紀錄，這雖然提高了相容性，但也增加實作複雜度。多數Python安裝器慣用流程是先解壓，再於安裝位置生成或修補RECORD檔案以方便解除安裝，並未逐一比對壓縮內容與RECORD是否一致，而形成攻擊面。針對該項風險，uv已釋出修補並對外對應CVE-2025-54368，凸顯安裝器之間對ZIP細節處理仍需一致化。</p> <p>現在PyPI在上傳流程加入多重檢核，以降低軟體供應鏈風險。系統會先依ZIP中央目錄（Central Directory）判斷檔案清單與位移，再比對本地檔案（Local File）檔頭是否一致，當偵測到無效紀錄、重複檔名、中央與本地檔案紀錄不符、檔尾多餘資料或出現多個End of Central Directory，以及EOCD Locator值錯誤就會拒收。此外既有的ZIP與tarball壓縮炸彈（Compression-Bomb）偵測機制仍持續啟用。對於RECORD一致性，PyPI先行寄發警示信，提供6個月過渡期，期滿即切換為強制拒收。</p> <p>官方指出，前1.5萬個下載量最高的專案，多數符合規範且無需改動。官方盤點顯示其中13460個沒有任何RECORD或ZIP問題，僅極少數出現RECORD缺漏、標頭不一致或重複檔名等情況，顯示此一強化措施對主流專案的影響較小。</p> <p>PyPI建議一般使用者將安裝工具維持在最新版本，以取得較一致的ZIP處理與安全行為。套件維護者若上傳遭拒，可依錯誤訊息調整建置腳本或回報至建置工具專案，優先確保RECORD與實際內容對齊。安裝工具開發者則應在解壓前先讀取中央目錄，嚴格比對中央與本地檔案紀錄，並在安裝步驟中驗證RECORD與已展開檔案一致，讓格式與驗證成為預設行為，降低供應鏈攻擊面，同時提升跨工具的一致性與可預期性。</p> </div></div></div>
2025/8/8 14:50作者李建興https://www.ithome.com.tw/news/170489
川普放行401(k)退休基金投資數位資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/fact-sheets/2025/08/fact-sheet-president-donald-j-trump-democratizes-access-to-alternative-assets-for-401k-investors/" target="_blank">美國總統川普（Donald Trump）周四（8/7）簽署行政命令</a>，允許401(k)退休金投資人可投資私募股權、不動產及數位資產等「另類資產」，以增加報酬率與分散風險。此舉被視為川普推動退休制度改革及加強數位資產發展的重要一步。</p> <p>該行政命令要求勞工部重新檢視《僱員退休收入保障法》（ERISA）下的投資受託責任指引，澄清另類資產的適用性與相關程序。同時，勞工部需與財政部、證券交易委員會（SEC）及其他聯邦監管機構協商，探討是否進行平行修法。SEC則被指示修訂規定，促進自我選擇型的確定提撥退休計畫（如401(k)）更容易納入另類資產。</p> <p>401(k)退休帳戶是美國雇主提供的確定提撥型退休儲蓄計畫，員工可將薪資的一定比例投入該帳戶，通常享有稅收優惠，雇主也可能提供相應提撥。參與者可選擇不同投資組合，包括股票、債券及共同基金等。目前全美超過9000萬人參與此類計畫，帳戶總資產規模約達12.5兆美元，是美國退休金制度的重要支柱，為勞工提供長期財務保障。</p> <p>川普表示，目前有超過9000萬名美國人參加雇主提供的確定提撥型退休計畫，但大多數人無法投資另類資產，與富裕投資者及公務員退休計畫相比存在不公平。他認為，另類資產能提供競爭性回報並分散風險，擴大投資選擇有助於確保退休生活的尊嚴與穩定。</p> <p>此一政策在美國金融與政治圈引發兩極反應。支持者認為，開放401(k)投資另類資產可增加報酬來源，並符合川普一貫的去監管、促進資本市場自由化立場，尤其是納入數位資產，被視為對加密貨幣產業的政策利好訊號。反對者則擔憂，另類資產流動性較低、風險較高，缺乏經驗的退休金參與者可能承受重大損失。此外，若市場出現大幅波動，反而削弱退休金保障。</p> </div></div></div>
2025/8/8 14:57作者陳曉莉https://www.ithome.com.tw/news/170502
中國簡訊詐騙集團鎖定全球支付卡，利用數位錢包詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國網路威脅情報供應商<a href="https://www.secalliance.com/blog/the-evolution-of-chinese-smishing-syndicates-and-digital-wallet-fraud" target="_blank">SecAlliance本周公布</a>一源自中國的簡訊詐騙模式，駭客將所盜來的支付卡綁定至Apple Pay和Google Wallet中以繞過傳統的詐欺偵測。同樣位於英國的威脅情報業者<a href="https://www.silentpush.com/blog/smishing-triad/" target="_blank">Silent Push亦曾揭露同一手法</a>，並將此一犯罪聯盟稱為Smishing Triad 。</p> <p>根據這兩家業者的研究，Smishing Triad是自2023年初開始於全球發動簡訊網釣（Smishing）活動，駭客先透過SMS、RCS、iMessage等平臺傳送偽造通知（如包裹配送、銀行異常或帳號安全警示等）；於簡訊中嵌入惡意連結以將使用者引導至網釣網站；這些網頁仿冒了銀行、支付平臺或零售商介面，以蒐集使用者所輸入的支付卡資訊；當銀行要求一次性密碼或推播驗證時，駭客還會誘導受害者輸入驗證碼。</p> <p>在取得受害者的支付卡資訊之後，駭客並不直接拿去消費，而是將它們與自己所擁有的Apple Pay或Google Wallet等數位錢包綁定，以進行高額購物，或藉由非法平臺套現。由於綁定交易後即以代幣化（Tokenized）的憑證進行交易，這是被銀行視為已授權的低風險交易，因而往往能繞過仰賴卡號異常偵測的防詐系統。</p> <p>此外，駭客直接建立了網釣即服務（Phishing-as-a-Service，PhaaS）平臺，供應各種必要套件，可自訂網釣頁面、設定白名單國家、協助處理詐騙流程、協助套現或資金轉移。其假冒的對象涵蓋郵政、物流、電信、交通、金融、零售或公共部門，並已波及121個國家。</p> <p>SecAlliance則說，從2023年7月到2024年10月間，美國可能有1,270萬~1.15億張的支付卡遭到入侵，損失金額高達數十億美元，相信這是有史以來最複雜、財務損失最嚴重的簡訊網釣行動，也創造出一種現有安全框架難以招架的新型金融犯罪。</p> </div></div></div>
2025/8/8 15:12作者陳曉莉https://www.ithome.com.tw/news/170503
Exchange Server混合環境存在重大提權攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53786" target="_blank">微軟本周發出安全公告</a>，警告Exchange Server混合環境存在重大漏洞，可使攻擊者在某些狀況下提高權限，微軟呼籲用戶安裝早先發布的修補程式。</p> <p><a href="https://thehackernews.com/2025/08/microsoft-discloses-exchange-server.html" target="_blank">這項漏洞編號CVE-2025-53786</a>，被列為提權（Elevation of Privilege,EoP）漏洞，風險值8.0。但這並非一項新發現的安全漏洞，而是微軟4月修補，但直到本周公告漏洞編號及其細節。</p> <p>今年4月18日，<a href="https://techcommunity.microsoft.com/blog/exchange/exchange-server-security-changes-for-hybrid-deployments/4396833" target="_blank">微軟宣布變更</a>Exchange Server混合部署的安全設定，同時發布非安全性的Hot Fix，目的是改善Exchange混合部署的整體安全性。微軟聲稱在進一步調查後，發現4月的指引及配置解決了某些安全問題（漏洞）。該漏洞於事後被給予編號<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-53786" target="_blank">CVE-2025-53786</a>，並且在4月18日宣布的安全變更予以解決。</p> <p>微軟解釋這項漏洞風險。在Exchange混合部署環境下，若攻擊者先取得本地部署Exchange Server管理員權限，就可以在其組織連結的雲端環境中升級權限，而且不會留下輕易偵測或稽察到的跡證。由於Exchange Server和Exchange Online在混合環境下共用服務主體（service principal），使雲端版Exchange也可能遭非經授權存取。</p> <p>受影響的產品包括Exchange Server 2016 CU (Cumulative Update) 23、Exchange Server 2019 CU 14/15及部份Exchange Server Subscription Edition (SE) RTM。</p> <p>Exchange Server Subscription Edition (SE) RTM是新近產品卻也包含在這次安全公告中。對此微軟解釋，Exchange Server SE RTM第一個版本已包含專屬的Exchange混合App功能，也可能受影響。如果用戶已升級到最新版本就可免於最新漏洞風險，但用戶仍必須依循指引文件提到的步驟，從共用服務主體清除keyCredentials憑證。</p> <p>微軟強烈建議企業客戶詳讀資訊，並在Exchange Server及混合部署環境安裝4月份及以後的Hot Fix。</p> <p>此外，若企業之前曾設定Exchange混合部署或是Exchange Server及Exchang Online間的OAuth驗證（可跳過密碼驗證），卻未再使用，應重設服務主體的keyCredential。</p> </div></div></div>
2025/8/8 13:39作者林妍溱https://www.ithome.com.tw/news/170498
CyberArk身分驗證資料管理平臺Conjur存在資安漏洞，攻擊者可進行串連，從而遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/170334">甫被</a>資安業者Palo Alto Networks買下的身分安全業者CyberArk，在本週舉行的黑帽大會Black Hat USA 2025當中，<a href="https://www.blackhat.com/us-25/briefings/schedule/index.html#vaulted-severance-your-secrets-are-now-outies-46757">有資安業者發表演說</a>，公布他們在今年5月通報的資安漏洞細節，受到各界的關注。</p> <p>資安業者Cyata表示，他們在兩款受到企業廣泛採用的身分驗證資料管理平臺CyberArk Conjur、HashiCorp Vault找到一系列的資安漏洞，<a href="https://cyata.ai/blog/exploiting-a-full-chain-of-trust-flaws-how-we-went-from-unauthenticated-to-arbitrary-remote-code-execution-rce-in-cyberark-conjur/">其中針對CyberArk Conjur的部分</a>，該公司找到一系列的邏輯缺陷，可形成完整的攻擊鏈，用於進行事先身分驗證，並達到遠端執行任意程式碼（RCE）的目的，Cyata強調，攻擊者無須事先取得帳密資料或Token，也不需要真實的AWS帳號，只需仔細製造一系列特製的請求，就有機會完全控制Conjur，而且都是利用Conjur的預設行為來觸發漏洞。雖然Cyata提及上述缺陷已在6月下旬登記CVE編號，但並未提及相關漏洞編號。</p> <p>對此，我們向CyberArk臺灣分公司進行求證，該公司表示<a href="https://www.cyberark.com/resources/product-insights-blog/addressing-recent-vulnerabilities-and-our-commitment-to-security">他們在7月15日透過部落格文章進行說明</a>，這些漏洞被登記為CVE-2025-49827、CVE-2025-49828、CVE-2025-49829、CVE-2025-49830、CVE-2025-49831，CVSS風險介於6.0至9.1，影響CyberArk Secrets Manager, Self-Hosted（原名Conjur Enterprise），以及開源版本Conjur Open Source（Conjur OSS），他們在<a href="https://www.cyberark.com/ca25-22-Conjur_Enterprise-13.6.1">CyberArk Marketplace</a>、<a href="https://github.com/cyberark/conjur/releases/tag/v1.22.1">GitHub</a>、DockerHub發布修補程式。根據CyberArk掌握的情況，目前這些漏洞尚未出現遭到利用的跡象。</p> <p>什麼是Conjur？這是供企業組織安全儲存、管理機密資料，並進行存取控制的解決方案，保護的範圍涵蓋DevOps及雲端環境使用的敏感帳密、API金鑰、憑證等。此系統通常會用來管控設備與AI的身分識別，並提供CI/CD管道、Kubernetes叢集，以及其他動態環境之間的服務，作為安全存取的媒介。</p> <p>Cyata針對Conjur的身分驗證流程實作、權限強制執行、身分識別模型等內部設計進行調查，結果發現一系列的弱點，這批漏洞形成的攻擊鏈不需依賴記憶體損壞或是競爭條件，都是以邏輯為基礎，結合類型混淆及新的攻擊原語（primitive），從而繞過多層信任機制。他們特別提及，這種手法對於一般的防禦機制而言，通常難以察覺，而且一旦遭到利用，就會具有破壞性。Cyata也說明們如何發現這些漏洞，並展示以預設的AWS整合設定，遠端在Conjur環境執行任意程式碼。</p> </div></div></div>
2025/8/8 12:47作者周峻佑https://www.ithome.com.tw/news/170495
川普要求英特爾執行長陳立武立即辭職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）周四（8/7）透過自家Truth Social平臺呼籲英特爾（Intel）執行長陳立武應該馬上辭職，因為他存在著高度利益衝突。當天英特爾股價下滑了3.14%，以19.77美元作收。</p> <p><a href="https://www.ithome.com.tw/news/167838" target="_blank">今年3月才接任</a>英特爾執行長的陳立武為馬來西亞華僑，他出生於1959年，於1987年成立創投公司Walden International ，專門投資美國及亞洲的高科技新創，並廣泛投資中國半導體產業，包括涉及軍方背景的公司；曾在2009年擔任美國專門提供半導體設計與驗證軟體（EDA軟體）的Cadence執行長，一直到2021年才卸任。</p> <p>由於陳立武擁有超過20年的半導體領域經驗，在他接手後，英特爾股價立即上揚了10%，同時陳立武也開始大刀闊斧地<a href="https://www.ithome.com.tw/news/170263" target="_blank">改革英特爾</a>。</p> <p>川普並未明說陳立武所涉及的利益衝突為何，僅說除了辭職之外，並沒有其它解決此一問題的辦法。</p> <p>外界則猜測這與Walden曾投資中國晶片、EDA軟體及通訊企業，並擁有當地相關人脈有關，因為作為英特爾執行長，陳立武需要接觸大量美國半導體核心技術及政府合作計畫，其中國投資背景可能存在資訊外流風險。</p> <p>至於英特爾則對此<a href="https://newsroom.intel.com/corporate/our-commitment-to-advancing-u-s-national-and-economic-security" target="_blank">發布了官方聲明</a>，表示英特爾、董事會與陳立武都將致力於促進美國的國家與經濟安全利益，並正根據總統的美國優先計畫進行重大投資，期待繼續與美國政府部門保持聯繫。並未正面回應川普的要求。</p> </div></div></div>
2025/8/8 13:19作者陳曉莉https://www.ithome.com.tw/news/170496
越南駭客透過竊資軟體PXA從事大規模攻擊，4,000臺電腦受害、20萬組帳密遭竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>竊資軟體（Infostealer）橫行，其中自2023年開始，多家資安業者揭露越南駭客透過臉書企業帳號散布<a href="https://www.ithome.com.tw/news/158628">Ducktail</a>、VietCredCare、SYS01 Stealer的攻擊行動，如今有資安業者指出，<a href="https://www.sentinelone.com/labs/ghost-in-the-zip-new-pxa-stealer-and-its-telegram-powered-ecosystem/">在兩年後，越南駭客的手法出現大幅變化</a>，融合更為細致的反分析手法，並採用看起來沒有惡意內容的誘餌，以及建置強化的C2通訊管道，從而延後防守方察覺異狀。</p> <p>資安業者SentinelOne與Beazley Security聯手，針對名為PXA Stealer的竊資軟體進行調查，此惡意程式以Python打造而成，兩家資安業者透過外流的事件記錄資料，確認駭客的攻擊範圍遍及至少62個國家，有超過4千個IP位址外流逾20萬組帳密、數百筆信用卡記錄，以及逾400萬個瀏覽器Cookie，受害最嚴重的國家是韓國、美國、荷蘭、匈牙利、奧地利。</p> <p>而對於攻擊者的身分，兩家資安業者指出與使用越南語的網路犯罪生態圈有關，這些駭客透過地下生態系統，以訂閱服務的形式兜售竊得資料換取經濟利益，此生態系統透過Telegram的API，進行自動化銷售及資料運用。</p> <p>針對此竊資軟體的攻擊行動，兩家資安業者在去年下半察覺並著手調查、追蹤，並指出這波活動仍在持續進行，而且，駭客不停調整惡意程式的散布機制，現在已經演變成高度迴避偵測、多階段的攻擊流程。其中一種導入的攻擊手法，就是透過Microsoft Word 2013，以及以小巧著稱的Haihaisoft PDF Reader，藉由這種具有合法簽章的軟體，側載惡意DLL檔案。</p> <p>這波活動突顯駭客將Telegram、Cloudflare Workers、Dropbox等合法服務武器化，用於竊取資料及變現，同時藉此降低攻擊成本。</p> <p>PXA Stealer的活動大約從去年10月出現，但駭客不斷調整惡意程式的側載機制，並更新以Telegram架設的C2基礎設施。在其中一起發生在今年4月的攻擊當中，受害者被引誘下載壓縮檔，其內容是Haihaisoft PDF Reader主程式及惡意DLL檔案，此惡意檔案透過機碼讓駭客持續在受害電腦活動，並搜尋其他作案工具，其中包含Dropbox代管的有效酬載，最終部署LummaC2（Lumma Stealer）、Rhadamanthys Stealer等竊資軟體。</p> <p>但後續兩家資安業者發現，駭客調整使用的竊資軟體有效酬載，不再使用Windows執行檔，而是以Python打造的有效酬載。這次駭客向受害者傳送大型壓縮檔，內容同樣包含Haihaisoft PDF Reader主程式，以及新的惡意DLL檔。一旦執行，DLL檔就會建立Evidence.cmd，利用公用程式certutil從有問題的PDF文件解出嵌入的RAR檔案，在此同時，Edge瀏覽器也會試圖開啟PDF檔案，但會出現錯誤訊息。</p> <p>後續攻擊者以偽裝成images.png的WinRAR主程式，以命令列解壓縮RAR檔內容，從而於受害電腦植入PXA Stealer。</p> <p>到了7月，這些駭客的手法又出現變化，Beazley Security偵測到類似的感染鏈，但這次駭客改用Word 2013主程式，用於側載惡意檔案msvcr100.dll。附帶一提的是，這次駭客將後續攻擊所需的工具放在名為「_」的資料夾。</p> <p>駭客將Word主程式偽裝成Word文件，一旦執行，電腦就會顯示侵權通知文件Tax-Invoice-EV.docx，不過這個Word文件並未具備巨集或其他可執行指令碼的物件，因此資安業者認為，駭客主要的目的是混淆資安分析師的調查。</p> <p>但在此同時，駭客也在背景執行certutil，將特定ZIP檔案的內容解壓縮到「_」資料夾，後續的攻擊流程，大致就於4月的事故雷同：透過images.png將RAR檔內容解開，從而導致受害電腦感染PXA Stealer。</p> </div></div></div>
2025/8/7 17:05作者周峻佑https://www.ithome.com.tw/news/170482
透過差異化競爭累積自信
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tu_1_gong_cheng_shi_xia_ban_you_yue_tu_pian_lai_yuan_bo_shuo_wen_hua_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「你不用很強，但要夠特別」這個觀念很重要，因為絕大多數人都是普通人，我們沒有過人的天賦，無論多努力也贏不過那些天才。</p> <p>讀高職時儘管學業壓力不大，但家母對我有極高的期待，只要我稍微放鬆，她「愛的叮嚀」便會即時出現。</p> <p>但我又不是一個喜歡唸書的學生，為了讓自己表面上看起來很上進，我選擇去考證照，在高一升高二的暑假，我額外考取了5張證照。</p> <p>說實話，丙級證照只要熟悉術科、背好學科，考試的難度並不高；但真的去考這麼多張證照的人並不多，因為就算考到了，對升學、職涯並沒有太大幫助。</p> <p>但就因為這個特別的舉動，我獲得了意想不到的「機會」。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>獲得機會，跟掌握機會是兩件事</strong></span></span></p> <p>大多數丙級證照的通過率都超過75%，但也有少部份的證照難度較高；其中「電腦軟體設計」是筆者印象最深的證照，因為當時參加的那場通過率只有17%。</p> <p>因為考了很多證照，我因緣巧合地認識了當時擔任圖書館主任的許益財老師，他是我一生的貴人。我在擔任學校圖書館志工時，與老師建立了深厚的聯繫（甚至人生第一次出國，也是老師向學校推薦的，這趟旅程全額補助）。</p> <p>與主任說明我取得了哪些證照後，就被轉介給「電腦研究社」的指導老師，接著被邀請參加當年的「台北市電腦軟體設計競賽」。</p> <p>當初收到這個邀請的時候，其實是想拒絕的，因為我很清楚自己能考取這張證照，是因為把術科全部的程式碼都背下來了。（對！你沒看錯...當年沒有任何程式基礎的我，就是這樣矇混過關的。）</p> <p>不過聽到參加比賽就可以不用上課，還有一個場地讓選手集中培訓後，我就決定參賽了；因為對我來說，「不上課」跟「當選手」這兩件事很特別，比上課讀書更有吸引力。</p> <p>當選手其實比上課讀書更累，記得當年集訓時，要從早上八點一路寫程式到晚上九點，偶爾回教室考試上課反而像是一種放鬆。因為解題的過程每分每秒都在瘋狂消耗腦細胞，這遠比坐在教室聽老師講課，或寫那些代公式就有答案的題目更加勞心費神。</p> <p>這個比賽分為「初賽」和「決賽」兩個階段，因為初賽只有筆試，所以我輕鬆過關；而決賽則是要在現場寫程式解題，儘管經歷過一段時間的特訓，但臨時抱佛腳顯然在正式比賽中沒多大用處，3個小時過去後，我毫無懸念地成為炮灰。</p> <p>不過當年團體賽還是靠隊友拿到了第一名，這是我第一次體會到「抱大腿」的重要性；你未必要成為團隊中最強的人，但一定要進入強者的圈子。</p> <p>在這場比賽中，我有三個收穫：</p> <p>1. 多學幾項技能，有時會獲得意外的機會。</p> <p>2. 運氣可以讓你獲得機會，但沒有實力，給你再多的機會也沒有用處。</p> <p>3. 透過比賽認識的「人脈」，有時比同學間的情誼更加深刻。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>人，需要一場勝利，然後記住這個感覺</strong></span></span></p> <p>比賽輸了後，我又回歸自己平凡的人生；直到某天經過圖書館時，剛好看到同班同學在跟老師討論小論文比賽的最終版本。</p> <p>等同學與老師討論完後，我不知道哪根筋不對，突然向老師詢問：「請問您可以當我小論文的指導老師嗎？」</p> <p>老師應該也被這個問題嚇到了，因為這是我們第一次見面，連彼此的名字都不知道，而且「隔天」就是比賽的截稿日了。</p> <p>但與老師了解完比賽的規則後，我還是決定參賽了（當時的我甚至連題目都還沒想好，這個決定現在回想起來依舊不可思議）。</p> <p>許多人面對機會時總是猶豫不決，而我在面對機會時總是先做再說，至少失敗了不留遺憾。這個人格特質讓我在獲得許多機緣的同時，也讓我失敗的經驗遠超常人。</p> <p>這場比賽我花了一個晚上完成草稿，並在隔天利用下課時間詢問老師的建議，放學優化完細節後就直接上傳小論文了。</p> <p>當時我對這場比賽不抱任何希望，畢竟只是一時隨興的參與，沒有得獎理所當然；結果沒想到公佈成績時竟然得獎了！</p> <p>這邊要特別感謝周佳嵐老師給予的協助，如果當時被拒絕，也許我現在的命運就不一樣了。</p> <p>這個獎對我的人生來說，真的意義非凡，因為：</p> <p>1. 在這之前，我這輩子從來沒有在任何比賽中拿過個人獎項，它幫我打了一劑強心針；不管後續贏了多少場比賽，我都不會忘記這個「起點」。</p> <p>2. 之前當選手時疏於課業導致班排倒數，還因此被家人唸了一頓；但因為這次有得獎，原本希望我乖乖讀書的家人，更願意讓我做多方的嘗試。</p> <p>3. 如果這場比賽沒有得名，我不確定自己未來是否還會主動參賽，畢竟成績下降也讓我蠻恐慌的（但因為接下來持續參賽，所以畢業的名次真的挺難看）。</p> <p>在獲得第一場勝利後，我比賽的竅門彷彿打開了；於是筆者接下來的高職生涯都在參加各種競賽、活動。別人拿市長獎是因為成績第一，而我的市長獎是因為贏得的比賽夠多。</p> <p>【Tips】除非你很有天賦，不然請從小型比賽開始參加；在初期累積自信是最重要的事，如果努力看不到成果，任何事情都很難堅持下去。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>「國文」是影響我一生的科目</strong></span></span></p> <p>有次筆者回大安高工分享自己從高中、大學，到出社會工作的人生經驗。</p> <p>在結尾QA時，有個同學的提問讓我印象深刻：「學長，請問你出社會這幾年來，覺得當初學校教的哪個『科目』對你影響最大？」</p> <p>收到這個問題的時候，我大腦轉了一圈，最終給出了一個連我自己都嚇一跳的答案：「我覺得是國文。」</p> <p>以筆者的從業經驗來說，大多數的工程師在工作4~7年後都具備相當的專業素養，但如果想要在職場上更近一步，「國文」的重要性就變高了。</p> <p>在工作中我們不免要與同事、主管、客戶打交道。好的國文有助於清晰、有效地表達自己的觀點，不但能促進團隊間的合作，還更容易取得好的工作成果。</p> <p>工程師並不是把功能開發完就沒事了，他還要撰寫技術文件（ex：API文件、測試報告）。一份優秀的技術文件，除了能同步技術資訊，還能幫助開發人員日後回憶。</p> <p>如果你負責主持一項專案，那勢必要撰寫提案，並定期向高層報告。如果能在提案與報告時清晰表達自己的思路，那高層會對你印象深刻，增加未來升職與加薪的籌碼。</p> <p>過去我們被交代撰寫技術文件、提案報告的時候可能會不情不願。但該完成的任務還是要完成，反正時間都要花下去，與其寫出一份大家都不滿意的文件，還不如多花點心思，嘗試寫出能幫助大家的文件。培養出這個好習慣後，你會發現，其實這些文件是在幫助未來的自己。<strong>（本文摘錄整理自《工程師下班有約》，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E4%B8%8B%E7%8F%AD%E6%9C%89%E7%B4%84_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 工程師下班有約：企業內訓講師帶你認清職涯真相！</strong></p> <p>林鼎淵(Dean Lin)／著</p> <p>博碩文化出版</p> <p>定價：600元</p> <p><a href="https://medium.com/dean-lin/%E6%88%91%E8%8A%B1%E4%BA%86%E5%8D%81%E4%BA%94%E5%B9%B4%E8%AD%89%E6%98%8E%E8%87%AA%E5%B7%B1-%E6%89%8D%E7%B4%AF%E7%A9%8D%E4%BA%86%E4%B8%80%E6%9C%AC%E6%9B%B8%E7%9A%84%E6%95%85%E4%BA%8B-280b2aeadf2d" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E4%B8%8B%E7%8F%AD%E6%9C%89%E7%B4%84_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%9E%97%E9%BC%8E%E6%B7%B5(Dean%20Lin).png" style="width: 150px;" /></a></p> <p><a href="https://medium.com/dean-lin/%E6%88%91%E8%8A%B1%E4%BA%86%E5%8D%81%E4%BA%94%E5%B9%B4%E8%AD%89%E6%98%8E%E8%87%AA%E5%B7%B1-%E6%89%8D%E7%B4%AF%E7%A9%8D%E4%BA%86%E4%B8%80%E6%9C%AC%E6%9B%B8%E7%9A%84%E6%95%85%E4%BA%8B-280b2aeadf2d" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_林鼎淵(Dean Lin)</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>林鼎淵(Dean Lin)</strong></p> <p>外商公司Software Specialist /生成式AI創新學院發起人/商業周刊&科技島專欄作家</p> <p>做過工程師、專案經理、技術主管等職位，從2020年開始將經手過的問題與技術分享到部落格，至今已發表超過400篇文章，累計瀏覽數超過4,000,000次。</p> </div></div></div>
2025/8/8 11:10未署名https://www.ithome.com.tw/article/170414
法航、荷航也傳客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nieuws.klm.com/klm-informeert-klanten-over-incident-met-persoonsgegevens/#" target="_blank">歐洲航空巨擘法航（Air France）、荷航（KLM）本周公告</a>其客戶資料庫遭駭客經由第三方平臺竊取，成為近日外洩客戶資料的最新航空公司。</p> <p>兩家航空公司母公司法荷航集團（KLM）的說明，其安全團隊在其儲存客戶資料的第三方平臺上發現異常活動，導致客戶資料遭一名未經授權人士存取，該公司IT安全團隊和外部廠商合作立即阻斷本事件，也採取措施預防再次發生。</p> <p>法航和荷航表示其內部系統未受影響，客戶的密碼、旅行詳細資訊、護照、信用卡及常客飛行里程等敏感資料也都完好無損。</p> <p>兩家公司已分別向荷蘭及法國資料保護主管機關通報此事，且己向受到影響的客戶發函通知，警告留心可疑電子郵件和電話。</p> <p>法航與荷航未說明洩露了哪些客戶資料，或是使用什麼樣的第三方系統。但根據二家公司客戶<a href="https://x.com/troyhunt/status/1953181019726856661" target="_blank">在網路上分享的消息</a>，外洩的資料包含客戶的姓名、聯絡資訊、藍天常客飛行計畫的編號、等級，以及通訊郵件主旨等。</p> <p>資安專家Troy Hunt指出，從攻擊者鎖定常客忠誠計畫來看，此次行動和7月<a href="https://www.ithome.com.tw/news/169869" target="_blank">澳航（Qantas）資安事件</a>很類似。駭客利用澳航的一個客服中心獲得該第三方客服平臺的存取權，進而存取儲存在該平臺高達600萬筆客戶資料，包括姓名、電子郵件位址、電話號碼、出生日期，以及常客飛行會員編號。</p> <p>外界猜測這起事件是由駭客組織Scattered Spider所為。</p> <p>澳航、法航及荷航皆未公佈使用的第三方平臺是否為近日接連被竊取資料的Salesforce。近日被駭客存取第三方平臺上的客戶資料的，還有安聯人壽、思科、以及LV、Chanel、Pandora、以及今年初的Christian Dior Couture（Dior）等，這些受害者也都拒絕公佈使用的服務。</p> <p>唯獨<a href="https://www.ithome.com.tw/news/170439" target="_blank">Google坦承</a>駭客從其Salesforce竊取中小企業客戶聯繫資訊。較為特殊的是，駭客利用語音釣魚手法，從員工手上騙取Salesforce憑證進而存取系統。</p> </div></div></div>
2025/8/8 11:28作者林妍溱https://www.ithome.com.tw/news/170491
Gemini CLI GitHub Actions上線，AI助自動化程式開發與團隊協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在GitHub<a href="https://blog.google/technology/developers/introducing-gemini-cli-github-actions/">推出</a>官方Action <a href="https://github.com/google-gemini/gemini-cli-action?utm_source=chatgpt.com">run-gemini-cli</a>，把Gemini CLI直接納入GitHub工作流程，目標是在不改動既有CI的前提下，處理例行且可機械化的協作工作。系統在議題（Issue）與拉取請求（Pull Request）等事件觸發時在背景非同步執行，結合專案脈絡自動進行議題分流、程式碼審查與指令式協作，提供可自訂的開源工作流程。</p> <p>相較於在終端機個人使用的Gemini CLI，這套Action更適用在團隊開發場景，開發者可在議題或拉取請求中以@gemini-cli委派任務，例如要求撰寫測試、解釋改動、產出修正草稿或嘗試修復已確認的錯誤。系統會讀取差異與上下文，並可參考倉庫根目錄的GEMINI.md，以對齊團隊風格與架構規範，在拉取請求上會產出摘要與風險提示，對議題則可自動分類、標籤並建議優先序。</p> <p>導入流程著重可操作性，開發者可直接將範例工作流程放入專案的.github/workflows/，或在本機啟動Gemini後執行/setup-github，由精靈程式生成必要檔案與最小設定。預設可透過GITHUB_TOKEN運作，當需要更嚴謹邊界時，也支援自訂GitHub App與倉庫層級的密鑰與變數，以精細化權限與執行範圍。</p> <p>在資安與控管方面，系統支援Google雲端WIF（Workload Identity Federation），避免長期金鑰駐留。管理者可建立命令與工具的允許清單，限制代理可執行的CLI與shell指令，配合最小權限原則降低風險。可觀測性上，整合OpenTelemetry，能輸出追蹤、指標與日誌至既有的監控平臺如Cloud Monitoring，支援稽核與除錯。</p> <p>官方同時將先前的社群專案封存，轉由google-github-actions/run-gemini-cli統一維護，確保版本發布節奏與支援一致。目前為Beta測試並提供AI Studio免費額度，開發者也可切換使用Vertex AI或Gemini Code Assist。</p> </div></div></div>
2025/8/8 11:08作者李建興https://www.ithome.com.tw/news/170486
OpenAI釋出GPT-5，強化程式開發及代理任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-gpt-5/" target="_blank">OpenAI周四（8/7）正式發表了GPT-5</a>，ChatGPT版本採用統一系統架構，同時整合了快速回應與深度思考模式，並可透過即時路由器自主切換，也提高了整體的性能、效率與可靠性，<a href="https://openai.com/index/introducing-gpt-5-for-developers/" target="_blank">GPT-5 API版本</a>則大幅強化程式開發及代理任務，已被整合到OpenAI API平臺、Codex CLI、Microsoft 365 Copilot、GitHub Copilot及Azure AI Foundry上等平臺上。</p> <p>根據OpenAI的說法，GPT-5提高了ChatGPT中最常見之3種用途的性能，包括寫作、程式設計與健康，亦於減少幻覺、強化指令遵循，以及減少阿諛奉承上有了重大改進。例如只需要一個提示就能生成美觀且回應訊速網站、應用程式及遊戲；在健康上它可主動標記潛在的問題並提出問題，也能有更精確與更可靠的回應；在文字上則具備更有意境的創作風格。</p> <p>GPT-5在有關數學的AIME 2025基準測試分數為94.6%，與程式設計相關的SWE-bench Verified及Aider Polyglot分別達到74.9%與88%，涉及多模態理解的MMMU為84.2%，健康領域的HealthBench Hard為46.2%，以GPT-5 Pro進行科學推理的GPQA為88.4%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-gpt-5-swe%20benchmark.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>相較於OpenAI o3，GPT-5的輸出Token少了50~80%；相較於GPT-4o，GPT-5的事實錯誤少了45%；在開放式的事實查詢中，GPT-5的幻覺率是OpenAI o3的1/6；在缺少圖片的多模態測試中，o3有超過86%的比例會給出虛假答案，GPT-5只有9%；GPT-5的諂媚回應也從GPT-4o的14.5%降至6%以下。</p> <p>OpenAI還開始於GPT-5中預覽不同的聊天機器人個性，包括憤世嫉俗型（Cynic）、機器人型（Robot）、傾聽者型（Listener）與書呆子型（Nerd），初期僅支援文字聊天，之後將支援語音，使用者可自行於設定中調整。</p> <p>而在程式設計上，OpenAI於內部測試GPT-5的前端開發，發現它有70%的時候都優於o3，輸出Token減少了22%，工具呼叫減少了45%，且性能更好。Windsurf說它的工具呼叫錯誤率比其它先進模型少了一半。</p> <p>至於GPT-5在與代理任務有關的τ2-bench telecom基準測試分數為96/7%，Scale MultiChallenge為69.6%，長文本的檢索能力也優於o3及GPT-4.1，代表它能夠更可靠地呼叫並串聯各種工具。</p> <p>GPT-5有3種API規格，包括GPT-5、GPT-5-mini與GPT-5-nano，每100萬個輸入Token的價格分別是1.25/0.25/0.05美元，輸出則是10/2/0.4美元。</p> <p>有些媒體試用後認為GPT-5屬於重大更新，有些則覺得它比不上從GPT-3到GPT-4所帶來的驚喜，<a href="https://www.reuters.com/technology/artificial-intelligencer-cloud-wars-20-2025-08-07/?utm_source=chatgpt.com" target="_blank">而根據路透社（Reuters）的報導</a>，OpenAI內部正在討論如何讓員工手上的股票套現，且對該公司的估值高達5,000億美元。<a href="https://www.ithome.com.tw/news/168182" target="_blank">OpenAI在今年3月底宣布</a>要融資400億美元，融資後的估值為3,000億美元。</p> </div></div></div>
2025/8/8 11:15作者陳曉莉https://www.ithome.com.tw/news/170490
Claude Code支援GitHub，AI自動安全審查即時提供漏洞修正建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.linkedin.com/posts/anthropicresearch_claude-code-can-now-automatically-review-activity-7358892123321954304-ylhA/">宣布</a>旗下Claude Code整合自動安全審查功能，現已全面支援GitHub Actions，並開放所有Claude Code用戶使用。此功能可在開發團隊提交拉取請求（Pull Request，PR）階段，利用人工智慧分析程式碼變更，並於變更程式碼旁提供詳細說明與建議。</p> <p>這項自動安全審查將生成式人工智慧技術結合至GitHub協作流程。當開發人員提出拉取請求時，Claude Code會針對變動檔案進行語意分析，並嘗試檢測常見安全風險，例如SQL注入、跨站腳本（XSS）、身分驗證與授權相關問題等。與傳統以規則為主的SAST工具不同，Claude Code的人工智慧模型具備語意理解能力，能在一定程度上判斷程式碼邏輯與意圖，以協助找出潛在的安全疑慮。</p> <p>分析完成後，Claude Code會將檢測到的問題直接以註解方式標記在GitHub拉取請求畫面中，並附上風險說明與修正方向，方便審查人員即時查看與討論。開發者也可透過命令列工具，例如/security-review在本地或CI環境中執行程式碼檢查，作為拉取請求前的預防性步驟。</p> <p>此外，Claude Code支援自訂排除特定檢查範圍與調整過濾規則，協助團隊減少低風險或不相關的檢測結果，將資源集中於需要關注的部分。由於其採用語意分析架構，並未限定程式語言或開發框架，適用於多元技術堆疊的專案環境。</p> <p>Anthropic表示，該功能已於<a href="https://github.com/anthropics/claude-code-security-review">GitHub開源</a>，採MIT授權。開發者可依官方文件說明，將工作流程設定檔新增至專案並設定API金鑰，即可啟用功能。現有Claude Code用戶無需額外付費或額外申請流程，即可在開發流程中整合此工具。</p> </div></div></div>
2025/8/7 17:06作者李建興https://www.ithome.com.tw/news/170483
Android Studio升級導入Gemini代理模式與XR開發支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式<a href="https://android-developers.googleblog.com/2025/07/android-studio-narwhal-feature-drop-stable-agent-mode.html">發布</a>Android Studio Narwhal Feature Drop穩定版，核心更新圍繞人工智慧協作以及擴增與虛擬實境（XR）應用開發。此次Android Studio Narwhal功能更新，除了將Gemini人工智慧代理模式導入正式版外，也同步強化Kotlin編譯效率、UI預覽功能及Android裝置相容性，提供行動與跨裝置應用更具彈性的開發基礎。</p> <p>新版最大變化在於正式納入Gemini代理模式，可協助開發者處理複雜、多階段的開發任務，例如新增功能、產生單元測試或修復程式錯誤。開發者可於側邊欄開啟Gemini代理模式，描述目標後，人工智慧會主動拆解任務、規畫執行步驟，並結合IDE內建工具進行檔案操作及Gradle流程。</p> <p>整體流程維持開發者主導權，所有人工智慧建議均需人工審核與決策，可根據需求要求人工智慧反覆修正，強調人機協作及開發過程的可控性。</p> <p>目前免費版提供的Gemini模型，受限於較短的上下文長度，對於大型專案可能略顯不足。若需處理高複雜度或大規模程式碼，可設定自有Gemini API金鑰並切換至Gemini 2.5 Pro模型，享有100萬字元的上下文長度，更符合團隊協作及企業級專案需求。</p> <p>Narwhal此次也針對人工智慧互動導入Prompt Library Rules機制，讓開發團隊能事先定義專案標準，例如語言、架構、程式風格或輸出格式。這些規則不僅可套用於個人開發環境，也能同步至專案目錄，方便團隊維護一致性，降低溝通與協作的摩擦。</p> <p>Android Studio Narwhal新版本強化了對XR應用的支援，新版內嵌XR Android Emulator，開發者可在IDE內直接啟動模擬器，並以Embedded Layout Inspector檢視UI結構、最佳化效能，搭配Jetpack XR專案範本，開發者可快速啟動新專案並落實沉浸式體驗設計。</p> <p>Narwhal預設啟用K2 Kotlin編譯器，大幅提升Kotlin專案的建構速度與穩定性，並具備未來語言升級的彈性。考量Android裝置逐步導入16 KB記憶體分頁，本次更新加入分頁大小相容性檢查與Lint警示，協助開發者提前修正原生函式庫可能產生的問題，降低後續上架或硬體遷移的技術風險。</p> <p>Android Studio針對Google雲端服務的功能引入服務相容性政策，降低雲端服務變更對開發專案的影響，明定每個版本約有一年支援期，系統會於30天前提醒升級。</p> </div></div></div>
2025/8/8 08:47作者李建興https://www.ithome.com.tw/news/170485
【資安日報】8月7日，Linux惡意程式濫用身分驗證模組PAM隱匿行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近鎖定Linux作業系統的惡意軟體攻擊頻傳，其中有一起事故的揭露引起許多資安媒體關注，那就是後門程式Plague的活動，揭露此事的資安業者Nextron Systems指出，相關的惡意程式最早在一年前就出現，而且，對於攻擊者的身分，目前仍不得而知。</p> <p>而在漏洞揭露有關的消息，其中又以趨勢科技企業端點防護系統Apex One的重大漏洞相當值得留意，因為目前已有攻擊行動出現；另一個出現攻擊行動的重大漏洞，是存在於WordPress佈景主題Alone的CVE-2025-5394；此外，本週Adobe修補電子表單平臺AEM Forms零時差漏洞，用戶也要特別留意，因為相關資料在修補前已遭公布，而且，其中一個還是危險程度達到滿分的漏洞。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170475"><strong style="font-size: 22px;">後門程式Plague透過SSH入侵Linux伺服器，濫用身分驗證模組PAM匿蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-08-01-at-16_10_29-scaled.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-08-01-at-16_10_29-scaled.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Palo Alto Networks在最近揭露去年中國駭客CL-STA-0969攻擊西亞或中東國家電信產業的事故中，提到駭客藉由插入式身分驗證模組（Pluggable Authentication Module，PAM）框架實作後門，現在有另一家資安業者指出，駭客濫用前述的Linux作業系統身分驗證機制模組，使得打造出來的惡意程式能靜悄悄地繞過系統的身分驗證流程，並能建立持久的SSH存取管道。</p> <p>這支最新發現的Linux惡意程式稱為Plague，相關消息揭露後，多家資安新聞媒體紛紛報導此事。由於以PAM為基礎打造，使得Plague的活動行蹤相當隱密，最近一年以來，其實已有數個版本的Plague被上傳到惡意程式分析平臺VirusTotal，但幾乎沒有防毒引將其視為有害，這樣的情況引起資安業者Nextron Systems注意並介入調查，指出這是首度有人將PAM用於打造Linux惡意程式的攻擊行動。</p> <p>更令人驚恐的部分在於，Nextron Systems找到的Plague惡意程式檔案，最早約在一年前出現，這些檔案大部分從美國上傳至VirusTotal，但也有從中國上傳的檔案。</p> <p><a href="https://www.ithome.com.tw/news/170422"><strong style="font-size: 22px;">WordPress佈景主題Alone存在重大漏洞，已被用於實際攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blocked-attacks-WAF-842.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blocked-attacks-WAF-842.png" style="width: 300px; float: right;" /></a></p> <p>資訊安全公司Wordfence揭露，名為Alone的WordPress佈景主題存在重大安全漏洞CVE-2025-5394，並發現已有攻擊者利用該漏洞攻擊未修補的網站。該漏洞屬於9.8分的重大危險層級，能使未經授權的遠端攻擊者上傳惡意檔案，甚至執行遠端程式碼，最終導致網站被完全控制。Alone主題整體銷售量約9,000份，目前Wordfence已偵測到超過12萬次的相關攻擊嘗試。</p> <p>該漏洞最早由研究人員於5月通報，經驗證後確認屬實，Wordfence便隨即透過其防火牆規則提供防護。不過，攻擊者似乎早已掌握到原始碼變更，趕在開發團隊公開揭露之前，便展開大規模的入侵嘗試。</p> <p>攻擊者透過上傳藏有惡意後門的外掛檔案，植入具有網站管理員權限的帳號或執行後門程式，或是安裝網頁檔案管理工具，以便維持對網站的控制。Wordfence偵測的攻擊資料顯示，數個來自歐洲地區的IP位址特別活躍，其中單一IP位址就曾嘗試入侵超過3萬次，代表這類攻擊已高度自動化且大規模進行。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-ghost-calls-tactic-abuses-zoom-and-microsoft-teams-for-c2-operations/">協作及線上會議平臺遭到濫用，駭客以Zoom及Teams架設C2</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2025/08/06/google_salesforce_attacks/">針對去年的Snowflake供應鏈攻擊事故，駭客也從受害組織的Salesforce實體竊取資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/lazarus-hackers-use-fake-camera-microphone/">視訊鏡頭和麥克風存取通知也有假的！Lazarus用於從事社交工程攻擊，散布PyLangGhost RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/chollima-apt-group-targets-job-seekers-and-organizations/">北韓駭客鎖定軟體開發及IT領域的求職者而來，意圖透過JavaScript惡意軟體滲透美國企業組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/uac-0099-hackers-weaponize-hta-files/">UAC-0099鎖定烏克蘭軍方而來，透過HTA檔案散布惡意程式載入工具MatchBoil</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170467"><strong style="font-size: 22px;">趨勢科技企業端點防護軟體Apex One爆2項RCE漏洞，已發現攻擊行動</strong></a></p> <p>趨勢科技本周公告，企業端點安全產品Apex One產品發現2項重大遠端程式碼執行（RCE）漏洞，而且已經有攻擊行動，趨勢科技剛剛釋出暫時性緩解工具，供內部建置的用戶套用，並預計8月中旬發布正式修補程式。</p> <p>這些漏洞出現在此端點防護產品的管理主控臺，被登記為CVE-2025-54948和CVE-2025-54987，兩者皆為指令注入RCE漏洞，可讓遠端攻擊者不需經過驗證上傳惡意程式碼，在受害系統上執行指令，CVSS風險值都是9.4。趨勢科技指出，CVE-2025-54987和CVE-2025-54948基本上相同，差別是影響不同CPU架構的裝置。</p> <p>值得留意的是，漏洞利用存在先決條件，那就是攻擊者必須實際或遠端存取Apex One管理主控臺，因此，趨勢科技指出，假若用戶的管理主控臺能直接從網際網路存取，最好能限制存取或是暫時關閉來降低風險。</p> <p><a href="https://www.ithome.com.tw/news/170441"><strong style="font-size: 22px;">Adobe緊急修補電子表單平臺AEM Forms零時差漏洞</strong></a></p> <p>8月5日Adobe針對電子表單平臺Adobe Experience Manager Forms（AEM Forms）發布緊急修補，公告兩個資安漏洞，這些漏洞不僅危險，其中一個風險值更達到滿分，而且，相關細節在Adobe發布修補程式之前，就已經被公布，很有可能成為接下來歹徒利用的對象。因此，Adobe認為，雖然目前他們尚未發現漏洞遭到利用的跡象，但用戶應以最優先層級採取因應措施。</p> <p>這兩個漏洞是CVE-2025-54253、CVE-2025-54254，影響6.5.23之前版本的AEM Forms，其中最嚴重的是CVSS評分達到10分的CVE-2025-54253，此漏洞起因是組態不當，可被用於執行任意程式碼，一旦攻擊者成功利用，就有機會繞過安全機制並執行程式碼，而且，過程裡完全無需使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/170455"><strong style="font-size: 22px;">AI程式碼編輯器Cursor存在資安漏洞CurXecute，恐被用於提示注入攻擊</strong></a></p> <p>人工智慧（AI）的整合搭配，對於軟體開發生產力的提升，扮演的角色越來越重要，一旦存在相關漏洞，就有可能讓開發者在編寫程式碼的過程裡，帶入攻擊者的惡意內容，或是進一步對開發環境上下其手。</p> <p>例如，最近資安業者Aim Security揭露的高風險漏洞CurXecute，就是這種型態的例子。這個漏洞出現在AI整合式開發環境（IDE）Cursor，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.6。他們向Cursor開發團隊通報此事，Cursor於7月8日發布1.3.9版修補，並將漏洞登記為CVE-2025-54135列管。</p> <p>Aim Security認為，CurXecute發生的原因牽涉三種層面，分別是MCP自動執行的機制、即時建議的編輯內容，以及提示注入引發RCE的途徑。由於只要發現~/.cursor/mcp.json出現新的內容，Cursor就會在沒有使用者確認的情況下執行，再加上代理程式建議修改mcp.json的內容已存放於磁碟，即便使用者否決還是會照樣執行，因此攻擊者只要透過Slack等MCP支援的外部平臺注入惡意資料，就有機會操控Cursor的AI代理程式，從而執行任意命令。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170465"><strong style="font-size: 22px;">趨勢科技在黑帽大會展現AI資安創新，虛擬紅藍隊為主要焦點，另強調重視資料安全與Agentic SIEM的發展</strong></a></p> <p>【拉斯維加斯直擊】關於生成式AI對網路安全的影響，許多人首先會聯想到的是，攻擊者可藉由AI工具與AI代理技術，擴大攻擊規模並提升資安風險。然而，AI同時也正在賦能防禦者，可使每位資安從業者都能擁有自己的AI代理，有效提升防禦效率。</p> <p>特別的是，在今年黑帽大會（Black Hat USA 2025）活動的AI Summit研討會上，趨勢科技揭露AI資安最新進展與觀察，他們認為，AI不僅正在重新定義防禦方式，讓我們從被動因應轉向可預測攻擊的主動防禦，同時，AI也正在引領資安典範的轉型，從被動轉向主動的風險模擬。</p> <p>此外，趨勢科技也指出AI時代需要新的資料安全方案，以及AI代理促進了Agentic SIEM的演進。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170464"><strong>【8月6日】時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月5日】國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> </div></div></div>
2025/8/7 18:04作者周峻佑https://www.ithome.com.tw/news/170484
微軟公布惡意程式逆向工程AI代理人Project Ire原型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/blog/project-ire-autonomously-identifies-malware-at-scale/" target="_blank">微軟本周公布</a>惡意軟體分類AI代理人系統Project Ire原型。</p> <p><a href="https://www.microsoft.com/en-us/research/project/project-ire/" target="_blank">Project Ire</a>是源自微軟研究院、Microsoft Defender Research、以及Microsoft Discovery& Quantum三個單位的合作計畫，整合安全、操作知識和全球惡意程式遙測（telemetry）及AI的研究，旨在克服惡意程式研究困難且耗時的挑戰，透過代理式AI自動執行完全逆向工程流程，達到大規模、快速、一致性的惡意程式分類。</p> <p>微軟解釋，和資安其他AI應用不同，惡意軟體分類欠缺可運算的檢驗機制，AI必須在沒有明確驗證情況下下判斷，例如軟體許多行為，像是逆向工程防護機制都沒有清楚說明這個程式是良性或惡意的。這使得樣本研究必須逐步累積證據，這個過程既複雜且曠日廢時，也讓分析難以自動化或大規模執行。</p> <p>為解決上述問題，Project Ire的目的在以自動系統運用專門工具進行軟體（包括惡意程式）逆向工程。技術基礎方面，該系統實行多層次推理，從低階二進位檔分析、控制流重建到高階程式碼行為的解譯等。此外它透過API使用內外部工具來協助了解檔案，像是微軟以Project Freta為基礎的記憶體分析沙箱工具、客製工具和開源工具、文件搜尋，以及多種反編譯器（decompiler）等。</p> <p>軟體評估的過程如下。首先是以自動逆向工程工具根據檔案型態、架構等來分類，其次，系統利用angr或Ghidra等框架重建軟體控制流，建立圖表。最後Project Ire的記憶體模型根據流程圖表分析，後者即透過反覆功能分析，以API呼叫工具協助判讀，總結關鍵功能產出報告。每次分析結果都會加入「證據鏈」（chain of evidence），這些詳細紀錄說明將可支援安全團隊次級複檢，而若有誤分類情形也當成系統回饋協助改進。</p> <p>Project Ire也可以呼叫驗證工具交叉比對報告和證據鏈以檢查其發現，最後完成惡意或良性程式樣本分類的正式報告。</p> <p>在測試階段，研究團隊以Project Ire運用公開Windows驅動程式資料集執行測試，正確辨識出90%的惡意程式，僅有2%被誤判為惡性，精準度達0.98、召回率為0.83。其低誤判率顯示有潛力部署於實際安全場景。</p> <p>微軟說Project Ire是該公司第一個能撰寫定罪案例的逆向工程師。微軟並將Project Ire用來分析真實環境近4,000個難以分類、無法被現有自動化工具辨識的高難度檔案。Project Ire完全自動運作，雖然效能還不高，但準確率（Precision）達0.89，召回率（Recall）為0.26，誤判率（False Positive Rate）僅4%。</p> <p>微軟說，依據Project Ire的初步表現，其原型之後會用於Defender部門作為二進位檔分析。微軟計畫提升該系統的速度和準確率，使其準確分類任何來源的檔案，最終希望它能直接偵測到記憶體內的新式惡意程式。</p> </div></div></div>
2025/8/7 16:31作者林妍溱https://www.ithome.com.tw/news/170481