iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 24篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/13 04:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】8月26日，散布Linux後門出現透過檔案名稱搭Bash指令碼的新手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Linux惡意程式的攻擊行動不時傳出，但最近有一起資安事故的揭露相當引人關注，原因是駭客運用的手法極為不尋常，無論是防毒軟體、靜態分析工具，抑或是行為分析工具，都難以直接將這種手法視為有害，而有機會繞過大部分的防禦機制。</p> <p>針對macOS用戶而來的竊資軟體攻擊行動也相當值得留意，有資安業者在最近2個月發現名為Shamos的惡意軟體頻頻發動攻擊，估計至少有超過300家企業組織受到影響；再者，AI瀏覽器的資安議題也持續受到關注，上週資安業者Guardio警告生成式AI整合到瀏覽器可能會帶來的風險，標榜隱私及安全性的瀏覽器業者Brave，也在實作特定功能的過程裡，找到AI業者Perplexity旗下瀏覽器的資安弱點。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170810"><strong style="font-size: 22px;">Linux後門程式出現新手法，以壓縮檔的檔名搭Bash指令碼引爆攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fireless-threat-of-vshell-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fireless-threat-of-vshell-1.jpg" style="width: 300px; float: right;" /></a></p> <p>一般而言，大多數的攻擊行動主要針對Windows電腦而來，但最近幾年駭客也將目標延伸到Linux平臺，而且出現一些鮮少在Windows電腦運用的攻擊手法。</p> <p>例如，最近資安業者Trellix揭露的Linux後門程式VShell攻擊行動，就是這種型態的例子。駭客並非直接透過檔案挾帶惡意程式，而是埋藏在檔案的名稱當中，由於一般的防毒軟體不會對檔案名稱進行檢查，使得攻擊者有機會藉此躲過相關的偵測。</p> <p>這種手法濫用許多Linux的Shell指令碼相當常見的特性：直接對檔案名稱進行評估或輸出（Echo），由於過往從未出現利用檔名動手腳的攻擊手法，因此，這段程序通常不會先執行防毒等內容過濾的處理。看似良性的命令如：eval "echo $f"，或是基本的檔案操作，都有可能引起整個系統遭到挾持。</p> <p><a href="https://www.ithome.com.tw/news/170831"><strong style="font-size: 22px;">竊資軟體Shamos鎖定macOS用戶而來，假借排除電腦問題為誘餌，透過ClickFix網釣散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-cookiespider-3a.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-cookiespider-3a.png" style="width: 300px; float: right;" /></a></p> <p>鎖定蘋果電腦而來的竊資軟體攻擊行動，最近兩到三個月有變多的現象，其中一款被稱做AMOS Stealer或Atomic Stealer的惡意程式，在今年6月底出現變種Odyssey Stealer之後，如今有資安業者看到新的變種惡意程式出沒，並提出警告。</p> <p>在今年6月至8月，資安業者CrowdStrike偵測並攔截駭客組織Cookie Spider的攻擊行動，這些駭客打造名為Shamos的AMOS Stealer變種，並透過惡意軟體租用服務（Malware-as-a-Service）尋找打手，藉由ClickFix網釣手法入侵超過300個企業組織，試圖挖掘敏感資訊及加密貨幣資產。</p> <p>附帶一提的是，上述手段能繞過macOS內建的防護機制Gatekeeper，而能將Mach-O執行檔部署到受害電腦，從而讓駭客能竊取瀏覽器、鑰匙圈存取（Keychain）、備忘錄存放的帳密資料，並洗劫加密貨幣錢包。</p> <p><a href="https://www.ithome.com.tw/news/170622"><strong style="font-size: 22px;">駭客組織PoisonSeed釣魚攻擊繞過MFA，入侵CRM與大量郵件發送服務</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PoisonSeed-36.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PoisonSeed-36.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Nviso發布對駭客組織PoisonSeed使用的網釣套件進行技術分析，發現該工具從2025年4月以來持續活躍，具備繞過多因素驗證（MFA）的能力，透過攔截並轉送受害者輸入的帳號、密碼以及多種2FA驗證資訊，涵蓋Authenticator、簡訊、電子郵件與API金鑰，攻擊者最終能取得驗證Cookie並登入目標帳號。</p> <p>研究人員特別指出，PoisonSeed與Scattered Spider、CryptoChameleon等群體在攻擊手法上存在一定程度的關聯，鎖定的主要目標包括Google、SendGrid與Mailchimp等大量郵件發送或CRM服務。</p> <p>攻擊行動從魚叉式電子郵件展開，郵件標題會假裝是受害者日常使用的郵件服務平臺發出的通知，例如寄信功能受限（Sending Privileges Restricted），並內嵌看似正常的行銷或通知連結，受害者點擊後，會被導向架設於特定網域的釣魚套件，該URL中夾帶加密後的受害者電子郵件。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/qilin-ransomware-gang-4tb-data-breach-nissan-cbi/">勒索軟體Qilin聲稱入侵日產汽車子公司，竊得4 TB資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/unc6384-deploys-plugx-via-captive.html">中國駭客UNC6384鎖定東南亞等地的外交官，企圖散布惡意軟體PlugX</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apt36-hackers-abuse-linux-desktop-files-to-install-malware/">巴基斯坦駭客APT36濫用Linux系統桌面環境組態檔案，對印度政府、國防單位散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/arch-linux-project-responding-to-week-long-ddos-attack/">Arch Linux專案傳出遭遇超過一週的DDoS攻擊</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170795"><strong style="font-size: 22px;">Brave示警Perplexity Comet瀏覽器AI助理可被隱藏指令操控</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/brave_comet.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/brave_comet.jpg" style="width: 300px; float: right;" /></a>瀏覽器業者Brave研究指出，AI業者Perplexity推出的Comet瀏覽器在執行總結此頁等任務時，會將部分網頁內容直接送入語言模型，卻未嚴格區分使用者指令與不受信任的頁面文字，因而可能存在間接提示注入攻擊風險。</p> <p>攻擊者只要在網站或社群留言隱藏惡意指令，就能在用戶已登入的情況誘使代理執行未經授權的操作。Brave公開技術細節並強調，後續再測仍發現Comet未能完全阻斷這類攻擊手法，相關問題已再次回報Perplexity。</p> <p>Brave的示範以網路論壇Reddit貼文為例，當用戶開啟含有劇透標籤的留言並點選Comet的總結功能時，人工智慧在處理頁面時讀到隱藏指令，隨即依序存取用戶的Perplexity帳號資料頁，並透過偽裝成不同網域的網址要求一次性密碼（OTP），再到Gmail讀取該密碼，最後將郵件與密碼貼到該留言。整個過程完全不需使用者額外操作，清楚展現人工智慧將不受信任內容誤認為使用者請求的風險。</p> <p><a href="https://www.ithome.com.tw/news/170839"><strong style="font-size: 22px;">商業智慧分析軟體Tableau揭露重大資安漏洞，已於7月更新提供修補機制</strong></a></p> <p>8月22日Salesforce發布資安公告，指出他們在一個月前推出的商業智慧分析軟體Tableau Server、Tableau Desktop更新2025.1.4、2024.2.13、2023.3.20當中，一共修補5項高風險資安漏洞，這些漏洞涉及類型混淆（Type Confusion）、未限制危險類型檔案上傳、禁用資料夾的路徑名稱進行未妥善設限，以及輸入驗證不當等問題，CVSS風險介於7.7至9.6。</p> <p>這些漏洞被登記為CVE-2025-26496、CVE-2025-26497、CVE-2025-26498、CVE-2025-26450、CVE-2025-26451，根據風險值，最危險的是重大層級的CVE-2025-26496，同時影響Windows及Linux版本的Tableau Server、Tableau Desktop，攻擊者可利用不相容的類型存取特定資源，觸發這項類型混淆弱點，從而導致本機程式碼包含（Local Code Inclusion）的現象，CVSS風險為9.6分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/kubernetes-capsule-vulnerability/">Kubernetes Capsule存在近乎滿分的重大漏洞，攻擊者可注入任意標籤</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170618"><strong style="font-size: 22px;">微軟Universal Print Anywhere功能全面上線，M365用戶可在任意印表機安全列印</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Universal print anywhere pull-print management.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Universal%20print%20anywhere%20pull-print%20management.png" style="width: 300px; float: right;" /></a></p> <p>微軟8月13日宣布Universal Print Anywhere功能正式上線，供Microsoft 365用戶自任何印表機上執行安全列印，同時支援Windows與macOS平臺。</p> <p>該功能建立於微軟雲端列印服務Universal Print之上。使用者在選擇列印文件後，文件會先傳送至雲端，接著可走到任一支援此功能的印表機旁，以手機掃描QR Code取件，不必事先選定印表機，可避免機密文件被遺留或忘取，提升列印靈活度與隱私性。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170802"><strong>【8月25日】中國駭客Silk Typhoon透過雲端環境發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170766"><strong>【8月22日】惡意軟體Noodlophile Stealer鎖定企業而來，以更細緻的版權爭議誘餌散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170750"><strong>【8月21日】AI瀏覽器可被誘騙，引導至冒牌電商網站自動下單</strong></a></p> </div></div></div>
2025/8/26 17:28作者周峻佑https://www.ithome.com.tw/news/170840
BTC國科會主委吳誠文：行政院擬成立健康數據服務公司，帶頭促進跨院電子病歷、醫療影像等健康數據分析應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院周一舉行生技產業策略諮議委員會議（Bio Taiwan Committee, BTC），行政院政務委員兼國科會主委吳誠文在會中表示，行政院正在籌設健康數據服務公司，推動跨院電子病歷、醫療影像等健康資料的分析應用。</p> <p>吳誠文在BTC首日致詞時表示，如同總統所說，希望臺灣的產業界，立足台灣、布局全球、行銷全世界，政府推動產業合作，整合供應鏈組成國家隊，先以國內的內需市場為基礎，開發創新應用系統，在臺灣落地後再拓展到全世界。在今年BTC大會也是如此，臺灣在生技、醫療、精準健康，臺灣也有能力組成國家隊，由供應鏈廠商組成國家隊，加速創新落地，協助在全世界落地。</p> <p><span style="color:#B22222;"><strong>健康數據服務公司<strong>獲</strong>科技、醫界、學界支持</strong></span></p> <p>吳誠文指出，我們的科技產業、生技產業、醫療產業如何照顧國民，從出生到終老，促進國民的健康，是總統提出的國政願景期待。去年BTC會議中決議，除了製造產業之外，也應該推動健康數據應用的平臺，因此推動成立健康數據服務公司，BTC委員的決議，過去一年籌備後，正式宣布行政院將會成立健康數據服務公司，未來希望帶動民間產業成立類似公司，推動健康數據的應用服務，促進政府引導產業照顧國民的健康，各類健康促進的活動，透過該平臺帶給產業機會，發展醫療端、民眾端照護系統所需的應用。</p> <p>吳誠文表示，將成立的健康數據服務公司已獲得科技產業支持，包括緯創資通、廣達、可成、義隆電子、台達電子等，醫學中心包括臺大醫院、成大醫院、北榮、高醫大、高醫大附設醫院等等，還有來自企業界、學術界、醫學界人士的支持。為了設立健康數據服務公司，衛福部、健保署、衛福部資訊處參與協助，精進法規，與民眾溝通，以健康存摺為例，已提供許多服務，讓民眾體會到健康數據對產業的價值，還有對民眾的服務價值，透過合作得以開放出來。預待今年內成立健康數據服務公司。</p> <p><span style="color:#B22222;"><strong>整合跨醫院醫療健康資料推動創新醫療健康應用</strong></span></p> <p>國科會科技辦公室副執行秘書呂佩融指出，去年BTC委員決議提出25項觀察與建議，涵蓋6個主要面向，包括AI賦能應用、完善醫療數據、精準健康及全人健康照護、培養生醫產業的人才及資金、協助新興醫藥落地市場、促進跨國合作布局市場，依據委員的觀察及建議，政府跨部會合作推動成果，並已向BTC委員報告。</p> <p>呂佩融表示，在促進產業發展生態系方面，目前「全民健康保險資料管理條例」草案裡提供退出權、目的外使用、獨立監督機制，草案已在今年6月通過立院環衛委員會審查，目前正交付黨團協商。</p> <p>呂佩融進一步說明，今年8月已正式啟動健康數據服務公司，目的在促進公私數據應用，提升民眾的健康服務，經由跨醫院的醫療健康資料，包括EHR/EMR、醫療影像、病理報告、檢驗紀錄，藉由醫療健康數據服務產業，在確保個人資訊安全外，進行數據儲存、資料分析，服務導向應用於早期篩檢、新藥開發、創新醫材、新興醫療、在宅醫療等等，目標包括提供民眾客製化的醫療照護、以豐富資料發展AI應用、吸引國際廠商落地研發、與國際健康資料服務商接軌，並達成建立主權AI的目標。</p> <p>他表示，今年BTC將持續臺灣在半導體科技的優勢，結合AI、大數據的前瞻技術，加速醫藥研發轉譯落地，滿足民眾的健康需求，並帶動相關產業發展，以提升我國生醫產業發展的韌性及競爭力。而成立生醫臺灣隊，將會從民眾的需求出發，建立前瞻、可信任的生醫發展環境，以實現AI人工智慧島、健康臺灣的政策願景。</p> </div></div></div>
2025/8/26 17:28作者蘇文彬https://www.ithome.com.tw/news/170838
竊資軟體Shamos鎖定macOS用戶而來，假借排除電腦問題為誘餌，透過ClickFix網釣散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定蘋果電腦而來的竊資軟體攻擊行動，最近兩到三個月有變多的現象，其中一款被稱做<a href="https://www.ithome.com.tw/tags/amos-stealer">AMOS Stealer</a>或<a href="https://www.ithome.com.tw/tags/atomic-stealer">Atomic Stealer</a>的惡意程式，在今年6月底出現變種<a href="https://www.ithome.com.tw/news/169828">Odyssey Stealer</a>之後，如今有資安業者看到新的變種惡意程式出沒，並提出警告。</p> <p>在今年6月至8月，資安業者CrowdStrike偵測並攔截<a href="https://www.crowdstrike.com/en-us/blog/falcon-prevents-cookie-spider-shamos-delivery-macos/">駭客組織Cookie Spider的攻擊行動</a>，這些駭客打造名為Shamos的AMOS Stealer變種，並透過惡意軟體租用服務（Malware-as-a-Service）尋找打手，藉由ClickFix網釣手法入侵超過300個企業組織，試圖挖掘敏感資訊及加密貨幣資產。</p> <p>附帶一提的是，上述手段能繞過macOS內建的防護機制Gatekeeper，而能將Mach-O執行檔部署到受害電腦，從而讓駭客能竊取瀏覽器、鑰匙圈存取（Keychain）、備忘錄存放的帳密資料，並洗劫加密貨幣錢包。</p> <p>駭客鎖定上網搜尋、試圖解決電腦問題的Mac用戶，透過惡意廣告將他們帶往冒牌的macOS疑難雜症說明網站，引誘受害者依照網頁指示．執行僅有一行的惡意安裝命令。受害者遍及美國、英國、日本、中國、哥倫比亞、加拿大、墨西哥、義大利等，但俄羅斯並未出現受害者。CrowdStrike認為，原因很有可能是網路犯罪論壇禁止惡意程式攻擊俄羅斯及獨立國協（CIS）用戶。</p> <p>但除了透過冒牌macOS疑難雜症說明網站散布竊資軟體，駭客也以免費提供影片編輯軟體、CAD工具、效能監控工具、人工智慧軟體、聽寫軟體為幌子，要使用者依照指示下載、安裝，若是使用者照做，電腦就會被植入Shamos。</p> <p>一旦使用者依照指示輸入命令，電腦就會下載Shamos的Mach-O執行檔到暫存資料夾，並透過公用程式xattr移除特定檔案屬性，而有機會繞過Gatekeeper的檢查。接下來攻擊者利用公用程式chmod分配執行檔特定權限，然後執行竊資軟體。</p> <p>在Shamos啟動時，會檢查是否在沙箱環境，然後利用AppleScript命令進行偵察及資料收集。值得留意的是，攻擊者還能透過Shamos在受害電腦下載其他惡意程式，並指派能夠執行的權限。</p> </div></div></div>
2025/8/26 16:23作者周峻佑https://www.ithome.com.tw/news/170831
YouTube測試Shorts短影音自動去雜訊與銳化，未主動揭露引發創作者質疑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube對部分Shorts短影音在上傳處理階段，自動套用去雜訊、去模糊與清晰度提升的影像強化實驗，官方強調採用傳統機器學習而非生成式人工智慧，目的是提升觀影品質。不過，此變更未事先告知，也沒有在成品上標示處理事實，引發創作者對作品原貌、透明度與平臺一致性的質疑。</p> <p>YouTube創作者聯繫人Rene Ritchie在X上<a href="https://x.com/YouTubeInsider/status/1958199532363317467">提到</a>，此為小規模實驗，只在處理流程中進行影像強化，類似智慧型手機錄影時的計算攝影，<a href="https://x.com/YouTubeInsider/status/1958241868736815311">沒有提升解析度或進行生成式合成</a>。官方表示，會蒐集回饋再調整，但未進一步說明適用條件與控制方式，包含是否提供創作者端的關閉選項，或觀看端的可見標示。</p> <p>不少創作者回報，上架後的Shorts在邊緣與膚質呈現異常銳利或過度平滑，出現塑膠感或油畫感等與原片不一致的材質，風格化顆粒與VHS質感被削弱。</p> <p>音樂創作者<a href="https://youtu.be/86nhP8tvbLY">Rhett Shull在影片</a>中以前後對照示範，指YouTube平臺端的去雜訊與銳化在無法關閉，且未揭露的情況下改變了作品的視覺語言。對以質感噪點、低解析或膠片模擬為語言的頻道而言，這類跨片段且持續性的演算法校正，實質影響品牌辨識度與作者意圖的呈現。</p> <p>YouTube近年要求創作者對逼真度高的生成或變造內容進行自我揭露，但此次為平臺端自動強化且未有標示，讓外界質疑政策一致性與資訊揭露義務的邊界。此事件快速升溫的關鍵，在於這不是播放器端的可逆濾鏡，而是平臺輸出工作流程的改動，創作者難以在不知情的情況驗證差異。</p> </div></div></div>
2025/8/26 16:39作者李建興https://www.ithome.com.tw/news/170821
針對7月發布的商業智慧分析軟體Tableau更新，Salesforce警告其中修補重大層級的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月22日Salesforce<a href="https://help.salesforce.com/s/articleView?id=005132575&type=1">發布資安公告</a>，指出他們在一個月前推出的商業智慧分析軟體Tableau Server、Tableau Desktop更新2025.1.4、2024.2.13、2023.3.20當中，一共修補5項高風險資安漏洞，這些漏洞涉及類型混淆（Type Confusion）、未限制危險類型檔案上傳、受限制資料夾的路徑名稱不當限制，以及輸入驗證不當等問題，CVSS風險介於7.7至9.6。</p> <p>這些漏洞被登記為CVE-2025-26496、CVE-2025-26497、CVE-2025-26498、CVE-2025-26450、CVE-2025-26451，根據風險值，最危險的是重大層級的CVE-2025-26496，這項漏洞同時影響Windows及Linux版本的Tableau Server、Tableau Desktop，攻擊者可利用不相容的類型存取特定資源，觸發這項類型混淆弱點，從而導致本機程式碼包含（Local Code Inclusion）的現象，CVSS風險為9.6分。</p> <p>其餘4項漏洞僅影響Tableau Server，較嚴重的是受限制資料夾的路徑名稱不當限制漏洞CVE-2025-52450，以及輸入驗證不當漏洞CVE-2025-52451，攻擊者有機會用於絕對路徑穿越，風險值皆為8.5。</p> </div></div></div>
2025/8/26 17:10作者周峻佑https://www.ithome.com.tw/news/170839
Linux後門程式出現新手法，以壓縮檔的檔名搭Bash指令碼引爆攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般而言，大多數的攻擊行動主要針對Windows電腦而來，但最近幾年駭客也將目標延伸到Linux平臺，而且出現一些鮮少在Windows電腦運用的攻擊手法。</p> <p>例如，<a href="https://www.trellix.com/blogs/research/the-silent-fileless-threat-of-vshell/">最近資安業者Trellix揭露的Linux後門程式VShell攻擊行動</a>，就是這種型態的例子。駭客並非直接透過檔案挾帶惡意程式，而是埋藏在檔案的名稱當中，由於一般的防毒軟體不會對檔案名稱進行檢查，使得攻擊者有機會藉此躲過相關的偵測。</p> <p>這種手法濫用許多Linux的Shell指令碼相當常見的特性：直接對檔案名稱進行評估或輸出（Echo），由於過往從未出現利用檔名動手腳的攻擊手法，因此，這段程序通常不會先執行防毒等內容過濾的處理。看似良性的命令如：eval "echo $f"，或是基本的檔案操作，都有可能引起整個系統遭到挾持。</p> <p>值得留意的是，由於防毒軟體不會逐一掃描檔案名稱，以及對於經過編碼處理的命令鏈（encoded command chains），靜態分析工具有可能無法或疏於檢查，再加上，行為分析機制通常會等到檔案名稱的執行之後，才會標記為可疑，因此，這種手法很可能會繞過大部分的防禦機制。</p> <p>針對這起攻擊發生的過程，源於垃圾郵件挾帶的RAR檔案，而問題就出現在特殊的檔案名稱上，含有嵌入的Bash程式碼，一旦被Shell解譯，就會執行命令。</p> <p>有別於許多網釣攻擊使用的壓縮檔，這次的RAR檔若是直接解壓縮，並不會觸發攻擊鏈，而是在指令碼或是命令處理此壓縮檔的檔案名稱，才會進行後續的攻擊流程。</p> <p>過程中，藉由Bash指令碼的互動，就會觸發檔案名稱當中的指令碼，自動執行經Base64演算法處理的惡意程式下載工具，根據受害電腦的處理器架構（x86、x64、Arm、Arm64），下載對應的ELF載入工具。</p> <p>隨後，這個載入工具會連線到特定的C2，並接收經過XOR演算法加密的VShell有效酬載，解密後於記憶體內執行，攻擊者將其偽裝成Linux核心處理程序，以掩人耳目。</p> </div></div></div>
2025/8/26 14:18作者周峻佑https://www.ithome.com.tw/news/170810
Perplexity AI推出能與出版商分潤的訂閱服務Comet Plus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.perplexity.ai/hub/blog/introducing-comet-plus" target="_blank">AI新創Perplexity AI周一（8/25）發表</a>了全新的訂閱服務Comet Plus，這是項與使用者存取各種內容有關的服務，每月訂閱費用為5美元，並讓同意與Perplexity AI合作的出版商取得8成的分潤。</p> <p>Perplexity AI解釋，AI已經內化成網路瀏覽的一部分，當使用者直接以瀏覽器造訪網站來讀取新聞，可稱為人類流量；若是要求Perplexity搜尋某個產業趨勢的相關報導，便是索引流量；當Comet Assistant掃描使用者的行事曆，再根據開會議題建議所需閱讀的文章，那便是代理人流量。不同的流量都能創造價值，但傳統上只能補償第一種（廣告）。</p> <p>而Comet Plus則是首個用來反映使用者對網路需求的商業模式，訂閱者可以直接存取合作出版商的網站與內容，或讓其AI助手於這些網站上完成任務，並自這些內容所產出的答案中受益。</p> <p>如雨後春筍般的AI新創不斷爬梳網路上的內容來訓練模型，或是在使用者的要求下索引各種新聞，因而衍生了不少版權上的爭議與訴訟案件，也讓AI業者開始與出版商結盟。</p> <p>Comet Plus訂閱用戶將不僅可以存取原本就免費的內容，也有機會存取需要付費訂閱的內容，端看出版商與Perplexity AI的協議。</p> <p>Perplexity AI說，出版商不只服務人類，也服務人類的AI助理，可以同時針對人類及AI設計不同的內容體驗，因此該公司將在扣除20%的運算成本之後，將其餘的8成收益全部留給合作的出版商。</p> <p>Comet Plus預計<a href="https://www.ithome.com.tw/news/169969" target="_blank">在Comet瀏覽器</a>開放免費使用時正式上線，屆時Perplexity Pro與Perplexity Max訂閱用戶亦可免費使用該服務。</p> </div></div></div>
2025/8/26 13:32作者陳曉莉https://www.ithome.com.tw/news/170808
a16z與OpenAI共同創辦人Greg Brockman發起Leading the Future來推動AI友善政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名創投基金a16z（Andreessen Horowitz）、OpenAI共同創辦人Greg Brockman、Perplexity AI與其他天使投資人本周共同成立名為<a href="https://www.prnewswire.com/news-releases/ai-industry-launches-leading-the-future-to-drive-us-ai-leadership-economic-growth-national-security-and-innovation-302537548.html" target="_blank">Leading the Future（LTF）的政治行動委員會</a>，目標是在美國2026年的中期選舉中，透過政治捐款與數位廣告等方式，來推動AI友善政策，反對過度嚴苛的AI管制。</p> <p>該委員會表示，LTF是一項新的國家政治行動，致力於確保美國在AI創新、發展與治理上處於全球領先地位，使命是在藉由於聯邦及州政府推動明確的政策議程，讓它們成為AI產業的政治與政策重心。</p> <p>LTF已獲得超過1億美元的初始資金，是AI產業首個全面且跨黨派的努力，旨在組織政治支持，同時大規模選出支持創新的候選人。</p> <p><a href="https://x.com/Collin_McCune/status/1959943016497512821" target="_blank">a16z中負責政府事務的Collin McCune指出</a>，AI並非炒作，亦非科幻小說，它已經存在了，將可推動美國下一波的成長，創造新的就業機會，並於美國經濟的各方面釋放生產力，然而，這也是美國與中國的競賽，倘若沒有正確的政策，便可能讓出AI的未來，以及隨之而來的美國經濟實力與國家安全。</p> <p>至於Brockman不僅是OpenAI的共同創辦人，也曾擔任OpenAI的技術長，現在仍為該公司總裁。<a href="https://x.com/gdb/status/1960022650228793440" target="_blank">他說他與妻子Anna都將支持LTF</a>，因為他們相信AI能夠大幅度地改善每個人與每隻動物的生活品質，而AI政策的目標應該是實現此一結果，意味著應該採取平衡、亦即「樂觀的現實主義」的觀點來實現AI的效益。</p> <p>其他支持LTF的還有矽谷的超級天使投資人Ron Conway與曾共同創辦Palantir的創投家Joe Lonsdale，未來幾周還會有來自科技及投資界的組織與個人加入。</p> </div></div></div>
2025/8/26 14:13作者陳曉莉https://www.ithome.com.tw/news/170809
X、XAI控告蘋果、OpenAI壟斷AI市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克（Elon Musk）旗下子公司<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/klpybbxzxvg/x%20v%20apple%20openai%20lawsuit%2020250825.pdf" target="_blank">X及xAI本周向法院提告蘋果及OpenAI共謀壟斷AI市場</a>，排擠競爭者生存空間。</p> <p>二家公司在向北德州聯邦地方法院遞交的文件中，控訴蘋果和OpenAI聯手為市場設下屏障以維持市場壟斷地位，抑制X和xAI等創新對手，計畫要求數十億美元賠償。</p> <p>xAI及X公司認為，長期壟斷智慧型手機市場的蘋果因錯失研發先機、在AI領域落後對手，因而使出聯合OpenAI阻止競爭對手的手段，因為OpenAI的ChatGPT在生成式AI聊天機器人具有壟斷優勢。雙方在2024年6月達成合作。蘋果將ChatGPT整合到蘋果iOS作業系統中，成為iPhone上唯一生成式AI聊天機器人。控告文件聲稱，這使得用戶即使偏好更創新的技術如xAI的Grok也無法使用。</p> <p>兩公司指控，由於蘋果和OpenAI簽定獨家合作，ChatGPT得以成為唯一獲得來自iPhone用戶數十億提示的聊天機器人，使競爭者難以擴張及創新。此外，蘋果軟體市集App Store也透過壓抑競爭聊天機器人程式的顯示順序，以及拉長競爭者App的審核期，藉此獨厚ChatGPT應用程式。</p> <p>馬斯克團隊聲稱，在蘋果和OpenAI的壟斷行為下，其失去了大量生成式AI聊天機器人提示，無法獲得提示量，也無法改進產品如Grok的品質、開發新功能與提升競爭力，這種不利再因為網絡效應和其他因素進一步擴大。最後的結果是，使用者喪失多元選擇，也被迫使用功能較少的聊天機器人。</p> <p><a href="https://www.reuters.com/legal/litigation/elon-musks-xai-sues-apple-openai-over-ai-competition-app-store-rankings-2025-08-25/" target="_blank">OpenAI官方回應</a>，這樁官司只是馬斯克長期騷擾行為的體現。</p> <p>蘋果尚未對此回應。</p> <p>馬斯克最新控告行動是繼<a href="https://www.ithome.com.tw/news/170604" target="_blank">他8月中透過X指控</a>蘋果App Store偏袒ChatGPT，實際採取行動。馬斯克懷疑，蘋果搞小動作，讓OpenAI公司以外的AI公司產品都不可能拿到排行第一。這番話也引發<a href="https://www.ithome.com.tw/news/170604" target="_blank">馬斯克和OpenAI執行長Sam Altman之間</a>最新隔空較勁。對馬斯克的指控，Altman反擊馬斯克才是利用X打擊競爭者及不喜之人的人。</p> <p>這也是馬斯克和OpenAI的最新一起官司爭執。去年3月為了OpenAI企圖轉型為營利組織，馬斯克控告OpenAI及Altman，指其違背了公司創立時維護人類福祉的初衷，<a href="https://www.ithome.com.tw/news/166292" target="_blank">還進一步請求法院出手</a>。此舉最後迫使OpenAI變更原有計畫，<a href="https://www.ithome.com.tw/news/168770" target="_blank">轉型公益法人公司（PBC）</a>。</p> </div></div></div>
2025/8/26 11:22作者林妍溱https://www.ithome.com.tw/news/170806
GovTech月報第44期：防止假冒政府機關人員Line帳號詐騙，數發部與Line共推官方帳號認證機制；氣象署發表24…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0719~0820)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">防詐</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">即時通訊</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>防止假冒政府機關人員行騙，數發部與Line聯手推廣官方帳號認證</strong></span></p> <p>詐騙集團假冒社工、區長或里長身分，透過Line向民眾進行詐騙時有所聞，為防範政府機關人員身分遭冒用，數發部和Line臺灣聯手推動政府機關Line官方帳號認證計畫，經過身分認證的政府機關服務人員所使用的Line官方帳號將標示藍盾，供民眾識別真偽。</p> <p>為確保政府機關人員的Line官方帳號，政府機關如欲為機關服務人員申請Line官方帳號，可整理名單後送至數發部，再由數發部確認機關服務人員的身分後，回傳給機關人員名單及啟動碼，由機關再向Line提出申請官方帳號，Line與數發部雙向確認後，回寄帳號啟動的信件給機關服務人員，機關人員按照指引就能啟動政府機關Line官方帳號。</p> <p>政府機關人員使用的Line官方帳號，因經過身分確認，Line帳號標示藍盾，數發部對外宣導其Line帳號為政府機關名稱、職稱及姓名，加上藍盾識別，供民眾辨別帳號的可信度。相較之下，沒有經過身分確認的帳號顯示灰盾或沒有盾圖，代表可能為他人冒用機關人員的名義，詐騙的風險相對較高。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">天氣預報</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>氣象署用AI建立海岸瘋狗浪24小時預警系統</strong></span></p> <p>氣象署不只運用AI輔助天氣預報，近期宣布與成功大學合作開發「海岸異常波浪預報系統」，結合光學影像、AI辨識及海上波浪資訊、AI預測技術，可對特定海岸未來24小時發生瘋狗浪提供預警，目前已先部署於北海岸，年底將擴大部署到全臺的濱海縣市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%962-600(4).jpg" style="width: 600px; height: 326px;" /></p> <p>由於瘋狗浪涉及海上長浪及海岸地形，過去異常波浪的預警，大多透過海上的波浪浮標蒐集的資料，推測長浪發生，再推測海岸發生異常波浪(如瘋狗浪)的風險，提醒從事岸邊遊憩活動的民眾。「海岸異常波浪預報系統」利用瘋狗浪案例資料庫，結合近岸異常波浪光學監測影像，供AI模型訓練，再結合浮標蒐集的資料，透過AI預測未來24小時海岸發生瘋狗浪的機率。</p> <p>目前這套系統先在北海岸部署，氣象署除了在官網、App等平臺提供異常波浪24小時預警資訊之外，也和新北市等3個縣市及觀光署合作，針對北海岸的岸邊知名景區提供異常波浪發生預警資訊。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位資產</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">穩定幣</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國懷俄明州發表穩定幣FRNT</strong></span></p> <p>美國懷俄明州公開發表了穩定幣FRNT，成為美國首個發表穩定幣的政府組織，該州希望透過穩定幣，以提供政府、企業及個人，安全、透明且高效的數位交易服務。</p> <p>懷俄明州是在2023年通過穩定幣法案，並設立委員會，由州長擔任主委，專門籌畫發行穩定幣，該法案也要求為發行穩定幣，州政府需提供102%的儲備比例，確保穩定幣的穩定及可被信任。</p> <p>該州表示，除了經由立法授權加強其穩定性，為使用者提供即時的交易結算，降低費用，同時提高存取的能力。另外，由州政府主動扮演金融創新的角色，在幾秒內快速完成交易付款，加速退稅或社會福利的提供。</p> <p>穩定幣FRNT在技術上利用區塊鏈技術，採用跨鏈通訊協議，部署於7條區塊鏈的公鏈上，包括Arbitrum、Avalanche、Base、Ethereum、Optimism、Polygon、Solana，未來將會在該州的加密貨幣交易平臺Kraken的Solana開放購買，也可透過Visa的交易網路使用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位政府</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美聯邦政府與OpenAI聯手，加速美國政府導入生成式AI</strong></span></p> <p>美國總務管理局（GSA）近期宣布與OpenAI達成協議，明年起聯邦政府機構將可以象徵性的1美元年費使用ChatGPT Enterprise，雖然僅為期一年，但預期將讓約400個聯邦機構受惠，加速政府機關導入生成式AI，以提升政府作業效率及現代化發展。</p> <p>這項合作嚮應白宮提出的AI Action Plan行動計畫，該計畫為白宮7月所提出，為確保美國在全球AI的領先地位，將加速AI創新、建置美國AI基礎設施、引領國際外交及安全；GSA認為OpenAI與美國聯邦政府的合作，支援聯邦機構人員、實現政府現代化，同時也能為納稅人提供更好的服務。</p> <p>聯邦機構除了可以近乎免費使用ChatGPT Enterprise一年，並獲得額外60天模型進階功能；OpenAI也會提供客製化培訓平臺及引導式學習，培訓公務人員使用AI，協助美國政府加速聯邦機構人員善用AI工具。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">災防</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">災害漫遊</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>颱風、淹水重創南臺灣，國內首次啟用災害漫遊機制提升災區通訊品質</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWM.jpg" style="width: 600px; height: 450px;" /></p> <p>今年7月颱風、連日豪雨造成南臺灣災情，淹水或斷電導致行動基地臺受損，影響民眾使用通訊網路品質，NCC、數發部協調三大電信，首次啟動災害漫遊機制，讓民眾在原電信商網路通訊不良下，透過災害漫遊使用訊號較佳的其他電信商網路。</p> <p>根據NCC統計，受到重創的嘉義、臺南地區約有近1,300座基地臺因電力中斷或風雨、淹水造成損壞或無法運作，儘管出動OneWeb低軌衛星車，三大電信業者也紛紛出動行動通訊車赴災區支援通訊，但仍無法提升災區的通訊網路品質回復災情之前的狀態。</p> <p>NCC邀請數發部、公平交易委員會、內政部消防署及三家電信業者協商，決定從8月7日在臺南七股、嘉義布袋兩地區及周邊啟動災害漫遊，災害漫遊最晚實施至10月底，當地民眾在災害漫遊期間，只要開啟手機上的漫遊功能，就可自動搜尋當地最佳的網路訊號，使用災害漫遊不會額外收費，而為了避免災害漫遊遭到濫用，電信業者也會控管漫遊用戶使用的網路資源。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位資產</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">穩定幣</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國通過穩定幣法案，確立監管制度</strong></span></p> <p>美國政府在總統川普的支持下，近幾年大幅擁抱加密貨幣等數位資產，近期美國國會通過一項穩定幣法案(the Guiding and Establishing National Innovation for US Stablecoins Act, GENIUS法案)，並由川普簽署實施，為美國政府確立對穩定幣的監管制度。</p> <p>該法案將穩定幣定義為支付穩定幣，即用於支付及結算的數位資產，價值等同於1美元，不視為債券或商品；為避免違法吸金的情形，根據法案，只有政府核可的發行商得以在美國境內發行穩定幣，發行商需為受保險存款的子公司，或是政府認可的非銀行業者。</p> <p>此外，法案也要求發行商需按1:1儲備，確保穩定幣的穩定性及可兌性，並明定當發行商倒閉，穩定幣的持有者可優先向準備金求償，以保障穩定幣持有者的權益。發行規模低於100億美元，由州政府監管，高於100億美元則由聯邦機構監控。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">城市治理</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>紐約市、愛丁堡市擴大無人機在城市治理應用</strong></span></p> <p>紐約市長近期宣布設立無人機行動委員會（Drone Operation Committee），由副市長監督帶領，希望擴大無人機在城市公共安全治理的應用，例如天災、恐怖事件、示威活動；另外，德州的愛丁堡市也宣布擴大無人機在公共安全的使用。</p> <p>紐約市政府希望透過該委員會，擴大空拍無人機在市政的應用，特別是在公共安全方面。在此之前，該市警局已推動Drone as first responder，當發生事故時，在警方車輛抵達現場之前，派遣無人機先抵達現場，從空中監看事故畫面，先前紐約市警局曾利用無人機成功拍到年輕人攀爬到地鐵車廂頂部的衝浪遊戲，在此之前，也利用無人機監控犯罪現場，或是追蹤海灘附近出現的鯊魚。</p> <p>無獨有偶地，德州愛丁堡市也宣布Drone First Responder計畫，在發生事故時警方抵達前，無人機先抵達現場快速應變，無人機搭載高解析度鏡頭、熱顯像設備，先抵達現場，回傳事故或災情畫面到警方後臺，以供決策調度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/edinburger-600.jpg" style="width: 600px; height: 315px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">醫療</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>英國NHS在倫敦測試用AI提高病患出院文書作業效率</strong></span></p> <p>英國的國民保健署（NHS）在倫敦試行一項計畫，利用AI協助醫生整理相關醫療、診斷文件，供醫護人員審查，減輕醫生的工作負擔，並且加快病患的出院作業效率。</p> <p>英國政府目前在倫敦試行該計畫，在倫敦的一家醫院導入AI工具，當病患準備出院時，由AI協助醫生準備相關的診斷及檢驗資料，供醫護行政人員審核。NHS表示，導入AI得以減輕醫生的行政作業工作負擔，可投入更多的時間在醫治工作上，並且縮短病患等待出院的時間。</p> <p>這項試辦可減輕醫院的行政工作負擔，也能加速病床的釋出，不只可用於出院程序，也可用於患者的轉院作業。該AI工具部署於NHS的FDP聯邦資料平臺，透過分析、整理資料，未來可能擴大應用在更多領域。</p> <p> </p> <p>圖片來源／數發部、氣象署、台灣大哥大, The city of Edinburger</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.美國政府推USAi，作為政府AI測試平臺</strong></p> <p><strong>2.NIST發表第4版數位身分指南，更新數位身分技術及風險管理架構</strong></p> <p>資料來源：iThome整理，2025年8月</p> </div></div></div>
2025/8/26 12:01作者蘇文彬https://www.ithome.com.tw/news/170770
Google將開始驗證所有Android開發者身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2025/08/elevating-android-security.html" target="_blank">Google周一（8/25）宣布</a>，自明年9月起，所有要安裝於經Google認證的Android裝置上的應用程式，都必須是由經過身分驗證的開發者所註冊的，不管這些程式是透過Google Play、第三方應用程式市集，或是APK檔案散布。</p> <p>新政策意謂著要在<a href="https://www.android.com/certified/partners/" target="_blank">眾多Android裝置上</a>安裝應用程式時，只要開發者未通過身分驗證，便無法安裝。</p> <p>為了保障使用者的安全性，或是能找到作怪的源頭，Google<a href="https://www.ithome.com.tw/news/145354" target="_blank">自2021年起</a>便開始針對Google Play上的開發者進行身分驗證，<a href="https://android-developers.googleblog.com/2023/07/boosting-trust-and-transparency-in-google-play.html" target="_blank">2023年強制要求</a>開發者提供官方身分證件及D-U-N-S公司編號。</p> <p>根據Google近來的分析，網路側載來源的惡意程式數量比Google Play高出50倍，讓Google決定將該政策擴大至非Google Play上的開發者。</p> <p>Google正在替自Google Play之外發布的開發者建置一個新的Android開發者控制臺，也會替學生及業餘開發者打造不同的控制臺帳戶。但開發者驗證的內容是一致的，開發者必須提供姓名、地址、電子郵件及電話號碼等個人詳細資訊，若身為組織，則必須提供D-U-N-S編號及網址，可能也必須上傳身分證件，之後則必須提供應用程式的套件名稱與相關簽署金鑰，以證明應用程式所有權。</p> <p>根據Google的規畫，此一新的驗證機制將從今年10月開始邀請開發者展開體驗，2026年3月開放給所有開發者進行驗證，2026年9月就會在巴西、印尼、新加坡及泰國正式實驗，2027年逐步拓展至全球市場。</p> <p>有開發者批評，只要確認程式是安全的就好，沒必要驗證開發者身分；也有人認為這背離了Android的開放文化，並說這是Googler強化控管的作法；亦有使用者擔心這代表未來的Android可能會逐漸封閉。</p> </div></div></div>
2025/8/26 10:54作者陳曉莉https://www.ithome.com.tw/news/170805
Google推GenAI API讓Android應用簡單支援裝置端LLM推論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在行動端機器學習SDK <a href="https://android-developers.googleblog.com/2025/08/the-latest-gemini-nano-with-on-device-ml-kit-genai-apis.html">ML Kit中新增GenAI API</a>，開發者可透過此介面直接呼叫裝置端的Gemini Nano模型，將摘要、校對、改寫與圖片說明等生成式功能引入Android應用程式。新方案強調地端推論，資料不需離開裝置，並降低了整合所需的開發門檻。</p> <p><a href="https://developer.android.com/ai/gemini-nano/ml-kit-genai">GenAI API以Android系統服務AICore為基礎</a>，AICore在裝置內提供Gemini Nano的執行環境，負責下載與維護模型版本，並結合硬體加速以降低推論延遲。由於多個App可共用同一模型，不僅減少儲存空間占用，也降低開發者維護模型生命周期的負擔，應用程式開發者透過ML Kit提供的高階介面即可呼叫模型，無需自行處理模型更新或效能調校。</p> <p>由於要讓GenAI API在不同裝置與Gemini Nano版本的輸出品質盡量一致，Google針對各項功能訓練專屬的LoRA Adapter，並搭配推論參數的最佳化。藉由LoRA Adapter輕量化調整技術，API能在多樣的裝置環境下維持穩定表現，減少因硬體差異造成的品質落差，不過官方也指出，輸出結果仍可能因裝置或模型版本而有所不同。</p> <p>GenAI API隨AICore與對應的Gemini Nano版本一併提供，首批內建最新Nano模型的裝置為Pixel 9與10系列，以及三星等多家品牌旗艦機種，但Google並未公開完整支援清單，因此實際能否使用，仍須視目標機型是否具備AICore與相容的Nano版本而定。</p> </div></div></div>
2025/8/26 08:26作者李建興https://www.ithome.com.tw/news/170804
單一用戶流量暴增，Cloudflare與AWS美東區域連線壅塞近四小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣時間8月22日00:27，因單一用戶自AWS美東雲端區域（us-east-1）大量請求Cloudflare快取物件，導致回應流量暴增，使Cloudflare與AWS us-east-1之間的私人網路互連（Private Network Interconnect，PNI）飽和，受影響的使用者出現高延遲、封包遺失與連線到來源伺服器失敗。事故在03:38已明顯緩解，並於04:18完全解除。</p> <p>此次問題僅限Cloudflare與AWS us-east-1之間的互連路徑，非攻擊或BGP劫持，全球其他服務均維持正常。</p> <p><a href="https://blog.cloudflare.com/cloudflare-incident-on-august-21-2025/">Cloudflare解釋</a>，雖然這些請求大多可以直接由快取回應，但回應的流量仍需透過資料中心互連（DCI）和邊界路由器傳送到AWS，最終導致所有既有的私人網路互連被擠滿。為了減輕壅塞，AWS在部分擁塞的私人網路互連上撤回BGP前綴，讓流量改走另一組經由異地交換中心的私人網路互連，不過這條路徑也很快達到極限。</p> <p>事件之所以惡化，還受兩項因素放大，其中一條直接對等鏈路因為早前的故障只能以半速運作，而連往異地交換中心的資料中心互連路徑也尚未完成擴充。</p> <p>對終端使用者而言，最明顯的感受是延遲升高、請求逾時與傳輸速度下降。Cloudflare指出，事故期間邊界路由器的高優先權佇列長時間出現封包丟棄，模擬用戶連線至來源伺服器的延遲指標（SLO）也同步惡化。雖然在壅塞解除後，封包丟棄率很快恢復正常，但由於AWS與Cloudflare同時調整前綴公告，延遲下降的速度相對較慢，部分終端使用者持續受到影響。</p> <p>事故發生後，Cloudflare在Ashburn的監測系統偵測到壅塞，並與AWS展開協調。Cloudflare先針對流量暴增的單一用戶採取限速措施，再透過流量工程調度逐步釋放壓力。AWS則同步恢復先前因分流而撤回的BGP前綴，雙方合作下，受影響的連線逐步回復正常。</p> <p>Cloudflare強調，這起事件凸顯單一用戶尖峰流量對整體互連的衝擊。他們將建立自動化機制，讓異常流量在影響其他用戶前就能被降低優先順序，並加速資料中心互連容量的擴充，同時和AWS調整路由策略，避免因雙方動作重疊而加劇問題。</p> </div></div></div>
2025/8/25 20:38作者李建興https://www.ithome.com.tw/news/170803
【資安日報】8月25日，中國駭客Silk Typhoon透過雲端環境發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月微軟針對中國駭客組織Silk Typhoon（別名Hafnium、Murky Panda）的手法提出警告，指出這些駭客從去年開始鎖定雲端環境而來，最近資安業者CrowdStrike也公布相關調查結果，指出駭客主要的目標，是北美的政府機關和企業組織。</p> <p>8月上旬法國電信業者Orange、英國電信業者Colt傳出資料外洩事故，到了上週末兩家業者都公布新的消息；而在國內的資安事故，傳出勒索軟體Qilin外籍移工仲介業者統振竊得取個資的情況，此外，不織布康那香發布重訊指出，有資訊系統遭到攻擊。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170794"><strong style="font-size: 22px;">中國駭客Silk Typhoon意圖藉由雲端環境的信賴關係發動供應鏈攻擊，存取下游客戶網路環境</strong></a></p> <p>美國司法部（DOJ）7月上半在義大利米蘭逮捕中國駭客，引發全球關注，當局的理由在於，此人參與駭客組織Silk Typhoon（別名Hafnium、Murky Panda），於2020至2021年接收中國政府命令，從事竊取COVID-19相關研究的成果，過程中利用Exchange零時差漏洞ProxyLogon（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065），而能從超過1萬家美國企業組織竊得敏感資訊。雖然成員遭到執法單位逮捕，但資安業者最近發出警告，提醒大家注意這群攻擊者仍持續鎖定北美發動攻擊。</p> <p>資安業者CrowdStrike指出，他們從去年下旬觀察到這些駭客的攻擊行動，針對北美的政府機關、科技、學術、法律，以及專業服務的企業組織而來，這些駭客不僅將已知漏洞和未知漏洞當作武器（其中一個是Citrix NetScaler重大漏洞CVE-2023-3519），往往藉由曝露在網際網路的應用系統取得受害組織的初始入侵管道，還會透過雲端信任關係，試圖存取下游客戶環境。</p> <p>在其中兩起資安事故當中，Silk Typhoon利用零時差漏洞來入侵SaaS供應商的雲端環境，一旦成功取得初始存取管道，他們就會決定攻擊雲端環境的邏輯，並進一步向下游客戶移動。</p> <p><a href="https://www.ithome.com.tw/news/170783"><strong style="font-size: 22px;">英國電信商Colt通報資料遭竊，暗網外流檔案可能涉及客戶資訊</strong></a></p> <p>英國電信商Colt公告，其業務支援系統遭遇資安事件，攻擊者已在暗網張貼部分檔名清單，並聲稱取得資料，為此Colt正持續調查與復原，承諾隨時公布進展。</p> <p>Colt強調，本次事故影響的範圍僅限於業務支援系統，與客戶基礎設施相互獨立，且兩者的認證系統並不共用。Colt表示，他們在8月12日上午發現異常後，立即在11時左右啟動重大事件應變程序，並引入外部資安專家進行鑑識調查，同時已通報英國NCSC及其他監管與執法單位。</p> <p>雖然Colt公告未直接指稱攻擊者身分，但根據資安公司KELA的調查，認定該事件為勒索軟體組織Warlock所為，偷走的部分檔案清單已在RAMP網路犯罪論壇曝光，顯示被竊取的資料涵蓋Colt內部多個核心營運領域，包括網路基礎設施、財務會計、人力資源、法務合規、專案管理及安全等。</p> <p><a href="https://www.ithome.com.tw/news/170773"><strong style="font-size: 22px;">Orange Belgium通報資料外洩，85萬客戶資料遭未授權存取</strong></a></p> <p>法國Orange Group旗下比利時電信商Orange Belgium表示，該公司在7月底偵測到一起針對內部資訊系統的網路攻擊事件，導致85萬名客戶的部分資料遭未授權存取。該公司強調，事件並未涉及密碼、電子郵件或金融資訊，但仍提醒用戶保持警覺，以防遭遇假冒客服或釣魚詐騙等後續風險。</p> <p>Orange Belgium指出，遭入侵的系統存放的資料包括客戶姓名、電話號碼、SIM卡號、PUK碼以及資費方案。雖然這些資料不足以直接影響帳號登入或財務安全，但若與其他外部來源的資訊組合，可能被不法人士利用，進行社交工程攻擊或針對性詐騙。公司特別強調，密碼、電子郵件帳號、銀行與金融資料皆未受影響。</p> <p>該公司說明，事件一經偵測，安全團隊隨即封鎖受影響的系統，並同步加強資安管控，以防止攻擊擴大。Orange Belgium已依規定通報主管機關，目前調查仍在進行中，基於調查完整性與客戶隱私保護，官方暫不公布更多技術細節。</p> <p><strong style="font-size: 22px;">外籍移工仲介業者統振傳出遭駭，勒索軟體Qilin聲稱竊得逾70萬筆個資，恐有上千筆資料仍外流</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/5153239_1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5153239_1.jpg" style="width: 300px; float: right;" /></a></p> <p>8月22日經營外籍移工仲介、匯款、電信預付卡的臺灣上櫃公司統振晚間<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181250&SPOKE_DATE=20250822&COMPANY_ID=6170">發布資安重訊</a>，指出他們外部網站的部分資訊系統，在8月20日遭到網路攻擊，在偵測到攻擊的當下，資訊部門已全面啟動因應，進行相關的防禦機制與復原作業，並對所有網域及相關檔案做全面徹底的掃描檢測。而對於這起事故造成的影響，該公司強調，遭到攻擊的為外部網站，對公司營運並無影響。</p> <p>當天晚間發布重訊後，國內媒體自由時報報導指出，<a href="https://stock.ltn.com.tw/article/2gsyfetkq25f">勒索軟體駭客Qilin聲稱竊得逾70萬筆移工個資，這些移工恐成為人頭帳戶</a>，事隔兩天，統振<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=183331&SPOKE_DATE=20250824&COMPANY_ID=6170">發布新的重訊</a>說明影響範圍。該公司指出，遭到攻擊的伺服器所存放的資料，主要是用於壓力測試與情境測試的模擬資料，但為了確認資料的正確性，他們還是在測試資料庫存放千餘筆真實資料，因此這才是實際受影響的個資數量，該公司將依法通知受影響的移工。</p> <p>在統振22日發布資安重大訊息之前，網路上已有傳言，我們上週在追蹤與臺灣有關的資安事故時，在社群網站看到勒索軟體駭客Qilin聲稱對統振（welldone[.]com[.]tw）下手的消息，對此，我們向統振進行了解，該公司22日透露是外部伺服器遭到攻擊，並表示後續將發布重訊進行說明。而綜合22日的報導及重大訊息，遭到勒索軟體攻擊的可能性極大。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170732&SPOKE_DATE=20250824&COMPANY_ID=9919"><strong style="font-size: 22px;">不織布大廠康那香發布資安重訊，部分資訊系統遭到網路攻擊</strong></a></p> <p>8月24日不織布大廠康那香於股市公開觀測站發布資安重訊，指出該公司與海外子公司的部分資訊系統遭到駭客攻擊，他們在偵測到相關跡象後，資安部門立即啟動相關防禦機制，並進行系統復原，目前資訊系統陸續恢復正常運作。</p> <p>針對這起事故可能會造成的損失或是影響，康那香表示根據他們的初步評估，無重大影響，他們未來將持續提升網路與資訊基礎架構之安全控管。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-mac-fixes-trick-users-into-installing-new-shamos-infostealer/">竊資軟體Shamos鎖定macOS用戶而來，透過ClickFix網釣散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/linux-malware-delivered-via-malicious.html">Linux惡意軟體VShell透過RAR檔案名稱散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/malicious-go-module-poses-as-ssh-brute.html">惡意Go模組被用於暴力破解，將SSH帳密傳送給Telegram機器人</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/geoserver-exploits-polaredge-and.html">GeoServer的軟體開發套件重大漏洞遭到利用，駭客企圖轉售頻寬牟利</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170772"><strong style="font-size: 22px;">Commvault揭露備份軟體遠端執行程式碼重大漏洞，須盡速修補</strong></a></p> <p>老牌備份與資料保護軟體廠商Commvault，於8月19日揭露影響備份軟體平臺的4項漏洞，並釋出修補。</p> <p>這4項漏洞是由watchTowr安全研究人員於今年4月發現與通報，存在於11.32.0到11.32.101版，與11.36.0到11.36.59版以前的Commvault軟體平臺中。但Commvault官方的安全建議通報只提供這4個漏洞的內部編號，而未提供CVE漏洞編號資訊，不過The Hacker News等資安新聞網站確認了這4個漏洞的CVE編號。</p> <p>其中最嚴重的漏洞，是編號為CVE-2025-57790的漏洞（Commvault安全建議編號CV_2025_08_2），為CVSS嚴重性等級評分8.7的重大漏洞，會導致遠端攻擊者透過軟體中的路徑遍歷問題，在未授權下存取檔案系統，進而從遠端執行程式碼。</p> <p><a href="https://www.ithome.com.tw/news/170789"><strong style="font-size: 22px;">Windows版Docker應用程式存在SSRF漏洞，恐讓駭客完全掌控電腦</strong></a></p> <p></p> <p>資安研究員Felix Boulet發現Windows版Docker應用程式<a href="https://blog.qwertysecurity.com/Articles/blog3.html">存在伺服器請求偽造（SSRF）漏洞</a>，能讓攻擊者從Docker容器未經授權存取網站、建立高權限容器，甚至取得整臺Windows主機的存取權。</p> <p>這項漏洞編號為CVE-2025-9074，出現在Docker Desktop應用程式，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-9074">4.0版CVSS風險為9.3分</a>，Docker發布4.44.3版修補。針對Felix Boulet找到這項漏洞的原因，他只是掃描私人IP位址劃分的子網路，就發現本漏洞。這項漏洞出人意外地簡單：Docker Engine API（通常使用2375埠）在內部網路上暴露給所有容器，這意味本應被隔離的工作負載，反而能直接操控Docker的主控臺。在修補前，攻擊者可濫用CVE-2025-9074進行SSRF攻擊，無需任何驗證存取<a href="http://192.168.65.7:2375/">http://192.168.65.7:2375/</a>，建立高權限容器，或是在建立容器時指定將Windows主機的C:\掛載到容器中，並且取得Windows主機的完整存取權。</p> <p>Felix Boulet後續向Philippe Dugre討論相關發現，在進一步驗證後，確認macOS版本應用程式也存在相關弱點，Linux版則不受影響。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/mcdonalds-free-nuggets-hack-exposed/">麥當勞的數位基礎設施存在嚴重漏洞，恐曝露客戶資料、允許未經授權存取</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170766"><strong>【8月22日】惡意軟體Noodlophile Stealer鎖定企業而來，以更細緻的版權爭議誘餌散布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170750"><strong>【8月21日】AI瀏覽器可被誘騙，引導至冒牌電商網站自動下單</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170735"><strong>【8月20日】駭客打造串連SAP NetWeaver兩大漏洞的作案工具</strong></a></p> </div></div></div>
2025/8/25 18:23作者周峻佑https://www.ithome.com.tw/news/170802
中國駭客Silk Typhoon意圖藉由雲端環境的信賴關係發動供應鏈攻擊，存取下游客戶網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部（DOJ）7月上半<a href="http://www.ithome.com.tw/news/170013">在義大利米蘭逮捕中國駭客</a>，引發全球關注，當局的理由在於，此人參與駭客組織<a href="https://www.ithome.com.tw/tags/silk-typhoon">Silk Typhoon</a>（別名<a href="http://www.ithome.com.tw/tags/hafnium">Hafnium</a>、Murky Panda），於2020至2021年接收中國政府命令，從事竊取COVID-19相關研究的成果，<a href="https://www.ithome.com.tw/news/143001">過程中</a>利用Exchange零時差漏洞<a href="https://www.ithome.com.tw/tags/proxylogon">ProxyLogon</a>（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065），而能從超過1萬家美國企業組織竊得敏感資訊。雖然成員遭到執法單位逮捕，但資安業者最近發出警告，提醒大家注意這群攻擊者仍持續鎖定北美發動攻擊。</p> <p>資安業者CrowdStrike指出，<a href="https://www.crowdstrike.com/en-us/blog/murky-panda-trusted-relationship-threat-in-cloud/">他們從去年下旬觀察到這些駭客的攻擊行動</a>，針對北美的政府機關、科技、學術、法律，以及專業服務的企業組織而來，這些駭客不僅將已知漏洞和未知漏洞當作武器（其中一個是Citrix <a href="https://www.ithome.com.tw/tags/netscaler">NetScaler</a>重大漏洞<a href="https://www.ithome.com.tw/tags/CVE-2023-3519">CVE-2023-3519</a>），往往藉由曝露在網際網路的應用系統取得受害組織的初始入侵管道，還會透過雲端信任關係，試圖存取下游客戶環境。</p> <p>對於這些駭客的目標，可能主要是進行情報收集，過程中不僅會部署名為Neo-reGeorg的Web Shell，也會運用以Go語言打造的惡意程式CloudedHope，而且，該組織與其他中國駭客都採取類似的策略：滲透SOHO設備來充當他們的基礎設施。</p> <p>在其中兩起資安事故當中，Silk Typhoon利用零時差漏洞來入侵SaaS供應商的雲端環境，一旦成功取得初始存取管道，他們就會決定攻擊雲端環境的邏輯，並進一步向下游客戶移動。</p> <p>這些受害業者當中，至少有一家是採用Entra ID控管客戶SaaS服務的存取，Silk Typhoon幾乎取得SaaS服務供應商的應用程式註冊金鑰，然後採用Service Principal通過身分驗證，登入下遊客戶的環境，甚至進一步存取下遊客戶的電子郵件。</p> <p>另一起資安事故裡，這群駭客入侵某個微軟合作的雲端解決方案供應商，由於這些業者通常會運用委任管理員權限（Delegated Administrative Privileges，DAP）或新的細部委任管理員權限（GDAP），控管多租戶的存取，而攻擊者設法挾持隸屬管理員代理群組（Admin Agent）的帳號之後，得到全域管理員（Global Administrator）權限，而能入侵所有下游的租戶。接著，他們在客戶環境建立後門帳號並提升權限，而能夠存取電子郵件及應用程式的資料。</p> <p>值得留意的是，Silk Typhoon針對雲端環境而來的情況，今年3月微軟<a href="https://www.ithome.com.tw/news/167715">曾提出類似的警告</a>。當時他們指出這些駭客將攻擊目標轉向IT供應鏈，自去年底開始大量攻擊雲端服務供應商、遠端管理工具、特權存取管理系統，在成功取得API金鑰及管理帳密後，入侵下游客戶的雲端帳號及內部系統，藉此掌握企業內部的電子郵件、SharePoint及OneDrive資料。</p> </div></div></div>
2025/8/25 15:58作者周峻佑https://www.ithome.com.tw/news/170794
禾多移動如何靠本土實體數據進軍RMN和DOOH市場，更促成推薦技術突破
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「當我看到代投廣告很厲害的公司都開始變賣退場，就知道廣告市場轉捩點要到了。」本土數位行銷企業禾多移動執行長林志堯說明，自家搶在臺灣RMN浪潮到來前，提早布局跨零售商RMN的關鍵觀察。</p> <p>林志堯進一步解釋，過往，廣告投放人員，可以靠專業知識投出更高行銷成效。不過，2019到2020年開始，Google、Meta等平臺更加積極利用大數據及AI來強化廣告投放，甚至為了推動AI代投功能，而限制人工投放選項。他認為，當廣告代投專家開始尋求退場，意味著在廣告世界中，專業投放能力已經顯得弱勢，只剩掌握數據和平臺，才能獲得行銷成效及廣告商機。</p> <p>這種市場環境下，林志堯認為，本土廠商應發揮優勢，率先掌握廣告巨頭不易取得的線下資料與行銷平臺。</p> <p><strong>將「R」加入「MN」，佔領廣告巨頭不易攻取的數據領地</strong></p> <p>12年前，禾多移動從經營App及網頁等數位通路的廣告聯播網起家。後來，陸續打造自家新聞和商品類內容的推薦引擎、AI驅動的SEO工具等，更在ChatGPT普及前，打造出自動行銷文案生成。</p> <p>這期間，他們持續關注國際數位行銷及數位科技趨勢。2020年，他們目光聚焦在線下資料的重要性。「8成以上零售交易都在實體場域發生，所以線下交易資料最多、最直接。這些資料，國際廣告巨頭掌握不到，也不會優先來臺灣蒐集。」</p> <p>嗅到線下數據商機後，他們花費3年年打造相關技術，於2023年底，臺灣RMN浪潮興起前，就推出自家零售媒體聯播網（Retail Media Network），名為LRMN。</p> <p>大部分RMN，都是由電商，或技術資源較多的大型實體零售業者自行經營。禾多移動則鎖定IT資源較有限的中型和小型零售業者，來經營RMN。</p> <p>「中小型零售業者想進軍RMN，最大挑戰是梳理自家資料，並應用在數位行銷。」禾多的策略是，提供資料處理工具和Martech給有意願經營RMN的零售業者，但不靠販售Martech賺錢，而是採取分潤加策略聯盟的商業模式。零售業者可以利用這些技術，在自家通路經營廣告業務，禾多則抽部分收益。同時，他們也將各家零售業數據和通路，用符合隱私規範的方法，納入自家廣告聯播網。</p> <p>林志堯分析，RMN最大特色是，屬於行銷漏斗後端的「購買」，因此廣告轉換成消費的比例高，零售業者容易看出廣告業務成效。另一方面，當禾多將多家零售數據和通路，納入自家廣告聯播網來打廣告時，則能賺取行銷漏斗頂層的「品牌認知」廣告費。「品牌漏斗上層的廣告預算，比賣CDP的價格多出一個零。」這種合作模式帶來的廣告收入，遠比單純販售Martech有利可圖，同時還允許他們降低Martech技術及顧問支援的費用，來取得價格優勢。</p> <p>LRMN包括零售通路及數位媒體通路，初期合作零售業者就超過300家，包含電商和便利商店，數位媒體通路則有500間。禾多利用自建的去識別化ID技術，將6,600萬筆會員資料，整合成單一格式ID。</p> <p>廣告主可以透過LRMN的配套CDP，來分析去識別化受眾，並投放個人化廣告到聯播網版位。這些版位包括聯盟成員網站及App，還有消費者Email、通訊軟體及簡訊等線上通路。甚至，還能透過LBS技術，投放廣告到消費者所在的實體店面通路，例如POS機、店內電視等。</p> <p>除了透過禾多營運的LCDP投廣和分析行銷數據，廣告主還可以透過第三方Martech投廣。LRMN支援資料輸入和輸出，可以透過API輸出報表到Power BI、Looker Studio等常見分析工具，也可以將既有DMP、CDP、DSP的受眾資料輸入到LRMN受眾包，來強化投廣效果。</p> <p><strong>發揮零售數據優勢深化DOOH布局，更促成推薦技術突破</strong></p> <p>掌握廣告巨頭難以取得的實體交易數據後，禾多下一步，是擴大經營國際廣告巨頭同樣難以掌握的實體行銷通路，也就是DOOH廣告（數位戶外廣告）布局。目前，禾多正在與臺灣DOOH廣告業者洽談系統串聯，更有意進軍越南市場，利用相同技術與模式來經營RMN和DOOH。</p> <p>林志堯指出，如今國際廣告市場中，兩大寵兒是RMN和CTV（聯網電視）。不過，目前臺灣CTV市場不如國外蓬勃、部分CTV服務由國外大企業把控，加上禾多較無相關經驗，使他們無意進軍。反觀，DOOH廣告與RMN高度相關，禾多既掌握更多本土實體資料，還能與現有零售客戶洽談實體通路行銷合作。</p> <p>不只如此，實體通路廣告常見問題是，測量行銷成效不如數位通路精確。然而，禾多掌握許多線上線下通路資料，不只可以利用常見的人流分析、POS紀錄，更能在後臺利用更多元的背景資料，拼湊出顧客更完整的消費旅途，進而歸因行銷成效。</p> <p>另外一個他們發揮大量第一方數據優勢的計畫是，打造快速測試生成式AI行銷素材的技術。比起創造素材，更強調快速測試及優化。做法是，依照受眾數據分析喜好，來生成大量素材，再透過反覆A/B測試，結合不同分眾在多個通路的行為與交易資料，來快速判斷、調整行銷素材，以達成更高行銷成效。</p> <p>禾多還利用大量零售消費數據，來促成Martech技術突破。他們與臺灣大學跨領域資料科學與信號處理研究團隊，共同研發出新的多模態推薦系統MTSTRec。此系統不僅整合商品的圖像、文字與價格等多模態資料，更強調對齊這些模態在時間序列中的出現順序。透過還原消費者於不同時間點實際接收資訊的先後脈絡，模型能更準確推斷哪些因素、何時，影響消費者的偏好與決策。</p> <p></p> </div></div></div>
2025/8/25 17:53作者郭又華https://www.ithome.com.tw/news/170798
Brave示警Perplexity Comet瀏覽器AI助理可被隱藏指令操控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brave.com/blog/comet-prompt-injection/">Brave研究指出</a>，Perplexity的Comet瀏覽器在執行總結此頁等任務時，會將部分網頁內容直接送入語言模型，卻未嚴格區分使用者指令與不受信任的頁面文字，因而可能存在間接提示注入攻擊風險。</p> <p>攻擊者只要在網站或社群留言隱藏惡意指令，就能在用戶已登入的情況誘使代理執行未經授權的操作。Brave公開技術細節並強調，後續再測仍發現Comet未能完全阻斷這類攻擊手法，相關問題已再次回報Perplexity。</p> <p>Brave的示範以網路論壇Reddit貼文為例，當用戶開啟含有劇透標籤的留言並點選Comet的總結功能時，人工智慧在處理頁面時讀到隱藏指令，隨即依序存取用戶的Perplexity帳號資料頁，並透過偽裝成不同網域的網址要求一次性密碼（OTP），再到Gmail讀取該密碼，最後將郵件與密碼貼到該留言。整個過程完全不需使用者額外操作，清楚展現人工智慧將不受信任內容誤認為使用者請求的風險。</p> <p>Brave評估，這類攻擊對傳統Web安全機制造成挑戰，當人工智慧代理依照不受信任內容採取行動時，同源政策（Same Origin Policy，SOP）與跨來源資源共享（CORS）等既有防護都可能失效。由於代理具備與用戶相同的登入權限，其操作範圍可能延伸至銀行、企業系統、雲端郵件與儲存服務，潛在衝擊遠超過一般網站漏洞。與傳統跨站攻擊不同，這種模式是利用自然語言指令跨網域觸發，即使在攻擊者無法直接控制的社群平臺仍然有效。</p> <p>Brave提出多項防護方向，首先，在提示組裝階段應嚴格區隔使用者指令與頁面內容，並將後者一律視為不受信任。其次，模型在規畫動作時必須檢查是否與用戶原始請求相符，避免被外部內容誤導。對於涉及隱私或安全的操作，則必須要求用戶在最後一步明確確認，最後，代理式瀏覽應與一般瀏覽模式清楚分離，並遵循最小權限原則設計。</p> <p>除了Brave，<a href="https://www.ithome.com.tw/news/170746">Guardio Labs也發表Scamlexity研究</a>，從情境測試切入，驗證代理式瀏覽器在不同情境下的風險行為。測試顯示Comet可能在假冒的Walmart電商頁面，自動下單並帶出瀏覽器儲存的付款方式與地址資料，也會在處理郵件時直接開啟尚未被Google Safe Browsing標記的富國銀行釣魚登入頁，甚至能透過PromptFix技術，將提示注入藏於偽造驗證碼（Captcha）的隱藏欄位，誘導代理下載檔案。</p> <p>Guardio Labs的研究與Brave揭露的漏洞，皆顯示代理式瀏覽需在權限控管、使用者確認以及提示安全上建立更嚴謹的防線。</p> </div></div></div>
2025/8/25 17:02作者李建興https://www.ithome.com.tw/news/170795
GPT-5在跨工具任務成功率僅四成，MCP基準測試凸顯AI代理落地難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Salesforce人工智慧研究團隊提出的最新<a href="https://www.salesforce.com/blog/mcp-universe/">MCP-Universe基準測試</a>顯示，OpenAI的GPT-5在連結工具並完成多步驟任務場景的整體成功率為43.72％，雖然已經是所有受測模型中最高，但仍未突破一半，突顯代理型AI在實務應用上可靠性不足。研究同時指出，長脈絡處理與面對陌生工具時的適應力，是目前主要的限制。</p> <p>MCP-Universe以MCP（Model Context Protocol）作為統一介面，直接串接實機MCP伺服器，讓模型必須在實際環境中完成操作。測試涵蓋六大領域，包括地理導引、版本庫管理、財務分析、3D設計、瀏覽器自動化以及網頁搜尋，總共涵蓋11個伺服器231項任務。這樣的設計有別於傳統的靜態資料集，更能檢驗模型真實應用場景的多輪規畫與工具協作能力。</p> <p>評分方式採用執行式評估，並非單純依賴大型語言模型的主觀判斷，評估項目分為格式檢查、靜態比對與動態測試，其中動態測試會即時抓取正確的外部資料，例如股價、票務或天氣資訊，用於時間敏感型任務。這樣的設計能更貼近實務需求，同時確保在不同測試時點也能維持一致的評估基準。</p> <p><a href="https://arxiv.org/pdf/2508.14704">在多模型對照中</a>，GPT-5的43.72％成功率居首，xAI的Grok-4為33.33％，Anthropic的Claude-4.0-Sonnet則為29.44％。研究人員進一步分析指出，當互動步驟增加導致脈絡過長，或遇到參數格式各異的工具時，模型表現會明顯下滑。此外，子領域成績落差也相當大，例如GPT-5在財務分析任務中達到67.5％的成功率，但在地理導引與版本庫管理上表現不佳。</p> <p>實際任務包含透過Google Maps MCP規畫會面地點、在GitHub MCP進行版本控制操作、以Yahoo Finance MCP進行股市分析、使用Blender MCP處理設計任務、透過Playwright MCP自動化瀏覽器操作，以及利用Google Search MCP與Fetch MCP進行資訊檢索。這些任務都要求模型能正確理解指令，並在實機限制下執行操作並回報結果。</p> </div></div></div>
2025/8/25 15:24作者李建興https://www.ithome.com.tw/news/170793
川普任命Airbnb共同創辦人Joe Gebbia為設計長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/fact-sheets/2025/08/fact-sheet-president-donald-j-trump-improves-our-nation-through-better-design/" target="_blank">美國總統川普（Donald Trump）上周四（8/21）簽署一行政命令</a>，啟動了「美國設計」（America by Design）倡議，改善美國聯邦機構的網站與實體介面，以及更新「美國網頁設計系統」（United States Web Design System，USWDS）；為此還在白宮辨公室設立了國家設計實驗室（National Design Studio，NDS），<a href="https://x.com/jgebbia/status/1959375843458994193" target="_blank">Airbnb共同創辦人Joe Gebbia則在上周六（8/23）表示</a>，很榮幸被川普任命為美國首個設計長。</p> <p>簡單地說，America by Design倡議成立了國家設計工作室，新增美國設計長一職，目的是為了採用標準化設計以減少重複的設計成本，並大幅改善民眾與政府服務的互動品質，亦將招募頂尖的私人企業設計師參與。該命令亦指示每個聯邦機構的負責人與設計長協調，於各自組織實施America by Design任務。</p> <p>根據美國政府的統計，全美約有2.6萬個聯邦網站，但只有6%的行動網站效能被評為「良好」（Good），不到20%的聯邦政府網站採用USWDS，而讓用戶體驗不一。</p> <p>另一方面，出生於1981年的Gebbia在羅德島設計學院同時取得平面設計及工業設計的雙學位，在2008年共同創辦了Airbnb共享住宿平臺，並曾擔任Airbnb產品長，負責設計平臺與使用者經驗。</p> <p>Gebbia說，他所收到的指示是更新當今的政府服務，讓它們用起來跟Apple Store一樣地令人滿意：擁有精美的設計、出色的用戶體驗，執行著現代的軟體，以展現美國的卓越水平，並讓日常生活變得更簡單，他將盡其所能地讓美國成為數位世界中最美麗也最有用的國家。</p> </div></div></div>
2025/8/25 13:58作者陳曉莉https://www.ithome.com.tw/news/170792
【資安週報】0818~0822，臺灣有網站主機代管業者遭UAT-7237入侵，挪威水壩系統確認遭到俄羅斯攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年8月第三星期的資安新聞，最受國人關注的消息是，有臺灣網站主機代管業者遭中國駭客組織UAT-7237入侵的消息。</p> <p>這起資安警訊是由思科威脅情報團隊Talos揭露，指出其攻擊過程使用SoundBill惡意軟體與Mimikatz，也運用JuicyPotato在受害組織提升權限，並會偷偷安裝SoftEther VPN以建立長期存取的管道，他們也發現，此組織可能是另一中國駭客UAT-5918的分支，因兩者使用的工具與活動有顯著重疊，但攻擊手法與TTP有些許差異。</p> <p>在重大資安事件方面，有一起涉及關鍵CI與OT的資安事故後續消息，挪威今年4月發生水壩閘門控制系統遭入侵的狀況，本週挪威警察安全局（PST）、國家犯罪調查局（Kripos）指控是俄羅斯駭客所為，挪威安全局負責人BeateGangaas指出，此類行動意圖在一般大眾間製造恐懼與混亂，而公開指責俄羅斯是為了警告該國民眾，也讓國際間注意俄羅斯對北歐國家的威脅。</p> <p>其他資安事件方面，國內有兩起上市櫃公司揭露消息，國際再度傳出簡訊網釣、語音網釣引發的資安事故。<br /> ●遊戲代理商樂意於8月15日發布資安重訊，指出陸續接獲合作廠商通報疑似遭遇資料外洩的情況，並表示在接獲通報後已著手調查。<br /> ●勒索軟體組織Qilin聲稱經營外籍移工匯款的臺灣上櫃公司統振是受害者，該公司週五回覆我們是外部伺服器遭攻擊，並於<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181250&SPOKE_DATE=20250822&COMPANY_ID=6170">8月22日傍晚發布資安重訊說明</a>。<br /> ●雲端人資管理平臺Workday揭露資安事故，指出內部使用的CRM系統存取權遭攻擊者騙取，已通知影響客戶，對方手法是假冒HR或IT以簡訊或電話聯繫員工。<br /> ●英國電信業者揭露先前部分服務出現中斷是因為遭遇網路攻擊，勒索軟體Warlock聲稱是其所為，外界認為可能是前一陣子SharePoint漏洞攻擊造成。</p> <p>還有3個漏洞利用攻擊消息，其中攻擊者鎖定蘋果零時差漏洞發動攻擊的狀況最引人憂心，蘋果在8月20日緊急修補這項漏洞CVE-2025-43300。</p> <p>荷蘭國家網路安全中心NCSC則警告，6月底傳出有攻擊者鎖定Citrix NetScaler已知漏洞發動攻擊，後續荷蘭在7月16日後發現當地多個重要機構也遭受此漏洞攻擊，但進一步調查顯示，駭客其實早在5月初就已利用、發動零時差漏洞攻擊；美國FBI這個星期也發布警告，俄羅斯駭客正濫用思科7年前老舊漏洞（CVE-2018-0171），針對全球未修補漏洞或未升級產品的用戶發動攻擊。</p> <p>在資安防禦動向上，國內有3則重要消息，涵蓋政府與即時通訊平臺的合作，醫療產業的資安強化，以及網域資安韌性的推動。<br /> ●面對攻擊者濫用合法通訊管道、可能假冒政府、公務人員行騙，因此數發部與Line聯手宣布，推出政府機關官方Line帳號認證計畫。<br /> ●面對醫療產業資安推動的挑戰，衛福部擬為中小型醫療機構建立區域聯防機制，數發部亦與衛福部合作，聚焦擬真演練、人才培育、機關輔導、稽核強化的推動。<br /> ●台灣網路資訊中心（TWNIC）揭露發展策略，宣布今年已陸續推出綠色域名認證、域名安全鎖RegistryLock，還將強化Anycast架構、DNSSEC推廣，以及國際鏈結。</p> <p>國際資安防護領域，也有兩項值得關注的進展，首先，微軟開放Wassette的程式原始碼，這是專套工具是專為AI代理打造的安全執行環境；第二，Python套件託管平臺PyPI為防堵帳號接管及供應鏈攻擊，新宣布將封鎖無效網域名稱有關帳號。</p> <p>此外，微軟主動防護計畫（MAPP）可幫助全球資安業者提前掌握漏洞細節，但傳出有成員濫用這項情報來發動鎖定SharePoint伺服器的零時差漏洞攻擊，因此傳出微軟打算限縮部分中國MAPP成員存取的消息。</p> <p> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/170696"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月18日】臺灣網站主機代管業者傳出遭駭客組織UAT-7237入侵</span></strong></a></h3> <p>鎖定臺灣的攻擊行動近期不時傳出，最近有一起資安事故的揭露相當值得我們留意，那就是思科揭露中國駭客組織UAT-7237針對臺灣網站主機代管業者的情況，但引起關注的是，臺灣的主機代管業者數量相當多，思科卻並未透露受害組織的規模或是數量，也沒有說明駭客利用的已知漏洞為何，而對於駭客利用能公開取得的開源工具，僅提及SharpWMI、WMICmd、JuicyPotato、Mimikatz等4款，並未透露其他細節，由於揭露的資訊仍相當有限，防守方恐怕很難掌握要加強防禦的重點。</p> <p>除此之外，SharePoint零時差漏洞CVE-2025-53770（ToolShell）的攻擊行動仍持續發生，上週傳出有新的受害組織，其中之一是英國電信業者Colt Technology Services，另一個苦主是加拿大眾議院。</p> <p><a href="https://www.ithome.com.tw/news/170718"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月19日】勒索軟體Crypto24用EDR廠商工具卸載EDR代理程式</span></strong></a></p> <p>EDR系統發展多年，已日趨成熟，市面上的解決方案百家爭鳴，但另一方面，駭客也對這類系統的架構越來越了解，不僅發展出多款妨礙EDR運作或繞過偵測機制的作案工具，他們還進一步濫用廠商提供的公用程式進行破壞，這樣的現象值得相關資安業者、IT人員留意，因為若是規畫不夠周延，有可能成為攻擊者迴避偵測的破口。</p> <p>已被用於攻擊行動的資安漏洞也相當值得留意，例如，今年3月微軟修補的微軟管理主控臺（MMC）漏洞CVE-2025-26633（MSC EvilTwin），俄羅斯駭客EncryptHub迄今仍用於攻擊行動；N-able上週修補的遠端監控管理（RMM）平臺N-central重大漏洞CVE-2025-8875、CVE-2025-8876，美國政府發現已被積極利用，但全球仍有近900臺系統尚未修補。</p> <h3><a href="https://www.ithome.com.tw/news/170735"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月20日】駭客打造串連SAP NetWeaver兩大漏洞的作案工具</span></strong></a></h3> <p>今年4月下旬SAP修補風險值滿分的零時差漏洞CVE-2025-31324，許多駭客組織加入了利用漏洞的行列，後續有另一個CVE-2025-42999也被用於攻擊行動，如今有三個駭客組織聯手，串連兩項漏洞打造作案工具，資安業者Onapsis提出警告，這些漏洞能反覆利用，甚至駭客的工具還可能對今年7月公布的反序列化漏洞發動攻擊。</p> <p>針對將零時差漏洞用於實際攻擊行動的情況，近期兩家俄羅斯資安業者也公布新的調查結果，他們指出勒索軟體RansomExx利用CVE-2025-29824提升權限的手法，最早可追溯到微軟公布這漏洞的三個月前。</p> <h3><a href="https://www.ithome.com.tw/news/170750"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月21日】AI瀏覽器可被誘騙，引導至冒牌電商網站自動下單</span></strong></a></h3> <p>人工智慧已是大勢所趨，許多應用程式都導入相關功能，有多家瀏覽器業者加入競爭行列，AI業者也試圖以此跨足瀏覽器市場，改變使用者上網的生態，但近期有資安業者提出警告，整合AI代理程式的瀏覽器為駭客製造新的攻擊面，駭客未來下手的對象很可能不是使用者，而是鎖定瀏覽器搭載的AI機器人。</p> <p>在近期的資安漏洞揭露上，蘋果修補已遭利用的圖像框架元件資安漏洞非常受到各界關注，並表示已被用於極度複雜的攻擊行動；另一方面，Google也發布Chrome更新，修補由AI資安代理程式Big Sleep找出的高風險漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/170766"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月22日】惡意軟體Noodlophile Stealer鎖定企業而來，以更細緻的版權爭議誘餌散布</span></strong></a></h3> <p>透過臉書粉絲頁出現版權爭議為誘餌來散布惡意程式的手法，最近幾年陸續有資安業者和研究人員公布相關事故，其中有一起本週揭露的事故相當值得留意，因為攻擊手法大幅精進，駭客試圖以更難察覺的策略犯案。</p> <p>除此之外，本週美國聯邦調查局（FBI）針對俄羅斯駭客的攻擊行動提出警告，也相當值得留意，因為駭客用了7年前公布的已知漏洞，這代表尚有不少設備沒有套用修補程式而成為目標。再者，近期多次出現在新聞版面的處理器大廠英特爾（Intel），有研究人員公布內部網站的資安漏洞，而再度成為各界的焦點。</p> <p> </p> </div></div></div>
2025/8/25 09:37作者羅正漢https://www.ithome.com.tw/news/170787
xAI開源Grok 2.5模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>xAI創辦人暨執行長馬斯克（Elon Musk）<a href="https://x.com/elonmusk/status/1959379349322313920" target="_blank">上周六（8/23）宣布</a>，已<a href="https://huggingface.co/xai-org/grok-2" target="_blank">透過Hugging Face開源Grok 2.5模型</a>，這是該公司去年最好的模型，而且預計會在6個月之後開源Grok 3。</p> <p>不過，Y Combinator旗下的<a href="https://news.ycombinator.com/item?id=45002042" target="_blank">Hacker News新聞社群卻批評</a>，xAI只開源了Grok 2模型的權重，而且授權條件限制頗多，看起來比較像是形象宣傳，不算是真的開源。</p> <p>一個模型要被稱為真正的開源通常要公開模型權重、模型架構、訓練程式碼與推論程式碼，同時採用寬鬆授權。例如xAI在2024年3月開源的<a href="https://www.ithome.com.tw/news/161812" target="_blank">Grok-1</a>就包含了權重與完整架構，並允許商業應用。</p> <p>然而，只開放權重還是能夠用它來執行推論，或是微調，進行研究，或直接部署到本地及雲端；但難以重現，不容易修改，對商業公司而言則容易出現授權風險。</p> </div></div></div>
2025/8/25 11:25作者陳曉莉https://www.ithome.com.tw/news/170791
Docker Windows桌機版SSRF漏洞可能讓駭客控制整臺主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.qwertysecurity.com/Articles/blog3.html" target="_blank">研究人員發現</a>Docker Windows桌機版有項伺服器端請求偽造（Server-Side Request Forgery，SSRF）漏洞，能讓攻擊者從Docker容器非授權存取網站、建立高權限容器，甚至取得整臺Windows主機的存取權。</p> <p>這項漏洞編號CVE-2025-9074，出現在Docker Desktop應用程式，現為4.44.3版修補完成。研究人員只是掃瞄私人IP位址劃分的子網路，就發現本漏洞。這項漏洞出人意外地簡單：Docker Engine API（通常綁在2375 port）在內部網路上暴露給所有容器。意味本應被隔離的工作負載反而能直接操控Docker的control plane。在修補前，攻擊者可濫用CVE-2025-9074進行SSRF，無需任何驗證存取<a href="http://192.168.65.7:2375/">http://192.168.65.7:2375/</a>，建立高權限容器，或是在建立容器時指定將Windows主機（host）的C:\掛載到容器中，並且取得Windows主機的完整存取權。</p> <p>研究人員設計了一個概念驗證（PoC）濫用手法。這個PoC包含2個POST HTTP呼叫，可以從任何容器發送。第1個JSON呼叫使其得以建立高權限容器並掛載C槽，第2個呼叫則啟動並執行容器。濫用本漏洞，攻擊者可以直接存取、竄改或刪除Windows主機上的檔案，如系統檔或使用者資料，而且由於可以掛載C槽，攻擊者還能進一步在主機上寫入惡意程式、植入後門，或修改設定檔、密碼等。</p> <p>此外，<a href="https://pvotal.tech/breaking-dockers-isolation-using-docker-cve-2025-9074/" target="_blank">Pvotal Technologies研究人員Philippe Dugre</a>另外也發現影響Docker Desktop for Mac的漏洞。Docker在接獲通報後，已釋出了<a href="https://docs.docker.com/desktop/release-notes/" target="_blank">Docker Desktop 4.44.3</a>解決影響Windows、Mac及Debian的版本問題。</p> <p>但研究人員說明，這項漏洞突顯沒有驗證機制的API會導致高度風險，無論網路位址何在。而這也提醒管理員必須驗證每個control-plane端點，即使是組織內部的，並應在容器周遭執行網路分段，並且在主機環境內採用零信任原則。</p> </div></div></div>
2025/8/25 10:32作者林妍溱https://www.ithome.com.tw/news/170789
Meta未來AI模型及產品將採用Midjourney技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/alexandr_wang/status/1958983843169673367" target="_blank">Meta的AI長Alexandr Wang上周五（8/22）宣布</a>，已與Midjourney建立合作關係，將該公司的技術應用在Meta未來的模型與技術中。</p> <p>Meta創辦人暨執行長祖克柏（Mark Zuckerberg）<a href="https://www.ithome.com.tw/news/169824" target="_blank">在2025年6月對內</a>宣布正籌組超級智慧實驗室（Meta Superintelligence Labs，MSL），準備網羅50名全球尖端AI人才，也藉由<a href="https://www.ithome.com.tw/news/169561" target="_blank">取得49%的Scale AI股份</a>，換來Alexandr Wang加入Meta，擔任AI長一職。</p> <p>至於Midjourney則是在2022年，由Leap Motion的共同創辦人David Holz所創立，<a href="https://www.ithome.com.tw/news/169628" target="_blank">專門開發圖像及影片生成模型</a>，在2022年所生成的作品便獲得科羅拉多州當地美術競賽數位藝術組冠軍，並2025年中<a href="https://www.ithome.com.tw/news/169505" target="_blank">遭到迪士尼跟環球影業聯手控告</a>，指控Midjourney擅自利用其電影動畫角色來訓練模型，不管是在訓練或生成上都侵犯了著作權。</p> <p>相較於眾多AI相繼對外大量融資，Midjourney的另一項重要特色是Holz拒絕創投，選擇自籌資金營運。</p> <p>Wang表示，Midjourney在技術及美學上所取得的成就令人印象深刻，雙方的研究團隊將展開技術合作，為了確保Meta能夠替人們帶來最好的產品，該公司將採取全方位的策略，包括一流的人才、宏偉的運算資源藍圖，以及與業界的頂尖夥伴合作。</p> <p>Holz則說，很高興能與Meta共同實現為數十億人提供創意及美麗工具的願景。他強調Midjourney依然是個獨立、由社群支持的研究實驗室，沒有任何投資者，藉此排除外界對於Meta是否也入股Midjourney的猜測。</p> </div></div></div>
2025/8/25 10:04作者陳曉莉https://www.ithome.com.tw/news/170788
美國政府入股英特爾，取得9.9%股份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.intel.com/corporate/intel-and-trump-administration-reach-historic-agreement" target="_blank">英特爾（Intel）周五（8/22）宣布</a>，與美國政府達成歷史性協議，將由美國政府以89億美元購買英特爾的普通股，取得約9.9%的英特爾股份。雙方強調，此一投資為被動持股，將不涉及董事席位或治理權。</p> <p>不過，此一投資依然是<a href="https://www.ithome.com.tw/news/170724" target="_blank">美國政府《晶片與科學法案》</a>（Chips and Science Act，CHIPS Act）的補助交換。</p> <p>在CHIPS Act中，<a href="https://newsroom.intel.com/corporate/intel-chips-act" target="_blank">美國政府同意資助英特爾78.6億美</a>元，<a href="https://www.defense.gov/News/Releases/Release/Article/3906926/department-of-defense-department-of-commerce-joint-statement-announcement-in-su/" target="_blank">美國國防部則準備支付30億美元</a>以協助英特爾建立安全飛地（Secure Enclave），專注於生產先進半導體以滿足國家安全需求。</p> <p>根據雙方的新協議，扣除美國政府已經撥款的22億美元，以及尚未支付的57億美元，再加上安全飛地計畫的32億美元（後來又增加了），總計89億美元的金額，以每股20.47美元的價格，購買4.333億股的英特爾普通股，相當於9.9%的持股比例。</p> <p>該投資屬於被動持股，不涉及董事會席位或治理權，除了有限的例外之外，政府股東將與董事會行動一致；此外，政府將獲得一項為期5年的認股權證，可以每股20美元額外購買5%的英特爾股份，但此一認股權證只有在英特爾在晶圓代工業務持股低於51%時才能行使。</p> <p>英特爾是在2021年設立晶圓代工服務（Intel Foundry Services，IFS）事業群<a href="https://www.ithome.com.tw/news/165051" target="_blank">，並在2024年9月宣布</a>將切割Intel Foundry，使其成為獨立子公司，惟目前尚未實現。</p> <p><a href="https://www.ithome.com.tw/news/170566" target="_blank">美國總統川普（Donald Trump）已經針對</a>Nvidia與AMD要出口至中國市場的H20及MI308晶片抽佣15%，現在又決定將政府補助化作英特爾持股，都顯示出川普政府對市場的干預。</p> <p>有了美國政府的撐腰，英特爾當天股價上漲了5.53%，以24.8美元作收。</p> </div></div></div>
2025/8/25 08:30作者陳曉莉https://www.ithome.com.tw/news/170785
JRebel Enterprise自動設定雲端環境，Java程式碼變更立即生效免重部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名DevOps工具廠商Perforce推出<a href="https://www.perforce.com/press-releases/jrebel-enterprise">JRebel Enterprise</a>，該軟體主打在雲端與遠端Java開發環境中，程式碼變更可即時生效，無需重新部署。這項功能讓開發團隊能在不中斷服務，也不需額外手動調整設定的情況下，縮短從程式修改到驗證的等待時間。</p> <p>雲端或遠端開發架構在帶來彈性的同時，也增加了相依性與環境配置的複雜度，對多數團隊而言，重新建置與重新部署的步驟往往成為效率瓶頸，耗費時間與心力。JRebel Enterprise的定位正是解決這個問題，讓開發者能直接在遠端環境中看到變更結果，不必經歷完整的重建與重新部署過程，並降低因環境調整頻繁而造成的額外維護工作。</p> <p>Perforce指出，JRebel Enterprise將過去在每位開發者的每臺伺服器，約需3至5分鐘的雲端環境設定，簡化為一次性約1至2分鐘即可完成整個團隊的統一設定。系統能自動偵測並設定在JVM上執行的JRebel代理，使新建或經常調整的遠端環境能快速納入既有開發流程，避免開發者逐一修改配置。此設計對團隊規模較大或環境變動頻繁的用戶尤其有用。</p> <p>JRebel Enterprise支援Java 21及後續版本，並能與IntelliJ IDEA整合，同時可在AWS、微軟Azure與Google雲端平臺等主要雲端供應商環境運作，確保企業在既有基礎設施下導入時不需大幅調整工具鏈。</p> <p>官方指出，JRebel Enterprise的設計重點在於讓開發者能夠直接將程式變更推送至遠端環境，而不必等待冗長的重建與重新部署。對日常依賴雲端與容器化開發的Java團隊而言，能獲得更即時的回饋且更穩定的開發流程，以及更可預期的環境設定。</p> </div></div></div>
2025/8/25 08:38作者李建興https://www.ithome.com.tw/news/170782
英國電信商Colt通報資料遭竊，暗網外流檔案可能涉及客戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國電信商Colt<a href="https://www.colt.net/go/cyber-incident/">公告</a>，其業務支援系統遭遇資安事件，攻擊者已在暗網張貼部分檔名清單，並聲稱取得資料，為此Colt正持續調查與復原，承諾隨時公布進展。</p> <p>Colt強調，本次事故影響的範圍僅限於業務支援系統，與客戶基礎設施相互獨立，且兩者的認證系統並不共用。Colt表示，他們在8月12日上午發現異常後，立即在11時左右啟動重大事件應變程序，並引入外部資安專家進行鑑識調查，同時已通報英國NCSC及其他監管與執法單位。</p> <p>Colt主動下線多項服務以降低可能風險，包括Colt Online客戶入口、Number Hosting API、On Demand與Voice On Demand平臺，導致客戶暫時無法使用這些功能。公司也暫停了報價與下單流程，新服務交付大多需要延期，客服回覆時間也會延長。Colt已提供專線，供客戶查詢在暗網曝光的檔名清單。</p> <p>雖然Colt公告未直接指稱攻擊者身分，但根據資安公司KELA的<a href="https://www.kelacyber.com/blog/warlocks-attack-on-colt-leak-analyzed-sensitive-files-potentially-exposed/">調查</a>，認定該事件為勒索軟體組織Warlock所為，偷走的部分檔案清單已在RAMP網路犯罪論壇曝光，顯示被竊取的資料涵蓋Colt內部多個核心營運領域，包括網路基礎設施、財務會計、人力資源、法務合規、專案管理及安全等。</p> <p>檔案類型以Excel試算表、Word文件及PowerPoint簡報為主，KELA認為，外洩資料可能包含員工及客戶個人識別資訊（PII）、內部網路架構設定、財務報表、薪資紀錄與法律合約，或許會對Colt造成財務、法律及聲譽等多重衝擊。</p> </div></div></div>
2025/8/25 08:42作者李建興https://www.ithome.com.tw/news/170783
傳Google獲得Meta六年雲端百億美元合約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/meta-signs-10-billion-plus-cloud-deal-google" target="_blank">The Information引述消息人士報導</a>，Google剛剛和Meta簽下一紙6年超過100億美元的合約，成為Meta最新的公有雲合作夥伴。</p> <p>消息人士指出，Meta與Google Cloud合約主要著眼以Google作為AI基礎架構。雖然Meta和Google在線上廣告業者是競爭者，但Meta並不具備雲端基礎架構，過去這家社群平臺主要仰賴Amazon Web Services和微軟Azure來支援其服務。</p> <p>Meta是否使用Google AI服務尚不清楚。不過Meta積極擴展其服務需要的AI能力。除了大肆挖角和收購AI新創公司實現超級智慧（Super Intelligence），<a href="https://x.com/alexandr_wang/status/1958983843169673367" target="_blank">本周Meta還宣布取得Midjourney AI模型授權</a>，以便其Meta AI服務能為用戶生成影片或圖片。</p> <p>另一方面，這也是Google Cloud從競爭者手上最新爭取到的大客戶合約。<a href="https://openai.com/policies/sub-processor-list/" target="_blank">7月OpenAI正式將Google Cloud列入</a>其ChatGPT的運行基礎架構之一，成為繼AWS及Oracle 之後，OpenAI的最新雲端供應商。<a href="https://techcrunch.com/2025/07/23/sundar-pichai-is-very-excited-about-google-clouds-openai-partnership/" target="_blank">而且Google執行長Sundar Pichai曾表示</a>，對於提供OpenAI AI基礎架構感到很興奮。</p> <p>Google Cloud作為公有雲市場第三大業者努力漸顯成果。<a href="https://www.ithome.com.tw/news/170239" target="_blank">根據Google第二季財報</a>，Google Cloud營收在Google Cloud、AI基礎架構與AI解決方案的領軍下，成長32%來到136億美元，成長率超越公司整體營收的14%。</p> </div></div></div>
2025/8/25 08:53作者林妍溱https://www.ithome.com.tw/news/170786
微軟把著色器編譯搬上雲端，Windows遊戲首次啟動可加速85％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/introducing-advanced-shader-delivery/" target="_blank">微軟DirectX團隊公開新技術進階著色器交付（Advanced Shader Delivery）</a>，將首度用於ROG Xbox Ally與ROG Xbox Ally X。該技術將遊戲首次啟動時需要進行的著色器編譯搬到雲端處理，並在下載遊戲時一併交付到玩家裝置。</p> <p>微軟表示，在Obsidian開發的動作角色扮演遊戲《Avowed》實測中，首次啟動所需時間可縮短高達85％，改善等待體驗並降低初次遊玩的卡頓情況。</p> <p>在PC遊戲中，著色器負責運算光影、材質和物理等效果，但在執行前必須轉換成對應顯示卡與驅動程式能使用的格式，以往這個轉換多半發生在遊戲啟動時，導致初次啟動時間冗長，但是轉換延後到遊戲中進行，則會帶來畫面卡頓的情況。雖然Windows會把已編譯的著色器快取起來，但只要驅動程式更新，這些快取可能就會失效，玩家又會重新面臨相同狀況。</p> <p>進階著色器交付技術的設計是把這項高耗時的轉換任務搬到雲端，DirectX團隊先將遊戲需要的著色器資料收集並整理成狀態物件資料庫（State Object Database，SODB），再結合抽離自驅動程式的雲端編譯器，生成可直接使用的預編譯著色器資料庫（Precompiled Shader Database，PSDB）。玩家透過Xbox PC App下載遊戲時，系統會自動交付對應的PSDB，確保第一次啟動遊戲時，就能直接命中快取而不用在本機重複編譯。當偵測到驅動程式更新，快取也會隨之更新，避免再度延遲。</p> <p>微軟表示，這項功能在初期導入階段不需要遊戲工作室額外整合，減輕了技術負擔。隨著支援範圍擴大，微軟將與主要遊戲引擎合作，把進階著色器交付原生納入引擎層，讓新遊戲在上市當天即可受益。對玩家而言，這意味著更短的等待時間與更穩定的初次體驗，對遊戲開發團隊來說，則是更容易控制快取版本與相容性，降低環境差異造成的問題。</p> <p>微軟預計在9月釋出Agility SDK，提供初步API與工具，方便開發者與遊戲商店導入這項功能，並同步公布既有遊戲如何支援的細節。裝置支援方面，目前主要在ROG Xbox Ally系列支援，後續將陸續擴展到更多裝置。</p> </div></div></div>
2025/8/22 18:14作者李建興https://www.ithome.com.tw/news/170777
數發部長黃彥男8月底借調期滿，已向院長請辭回歸中研院
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數發部今天(8/22)稍晚發出聲明，部長黃彥男因中研院借調期限將在8月31日期滿，依個人生涯規畫，黃彥男已向行政院長卓榮泰請辭，未來將回到中研院繼續研究工作。目前尚未公布新的部長人選。</p> <p>黃彥男是在2024年接替唐鳳，擔任數發部第二任部長，他甫上任便推動三支箭，包括「推動打詐工作」、「強化數位韌性」及「發展數位經濟」，目的為帶領數發部持續推動打詐、防詐工作，強化政府的數位韌性，透過打詐強化數位信任，加速國內數位經濟的發展。</p> <p>除此之外，數發部也在黃彥男帶領下，推動主權AI發展，包括政府公部門導入AI，並從算力、行銷、人才、資料、資金5個方面，推動國內AI發展，包括相關人才培育，並建置算力池，擬定訓練意料資料，以推動國內主權AI、AI產業的發展。</p> <p>在他任職期間，數發部找來金管會主任祕書，擔任數發部資安院資通安全署署長，加強我國關鍵基礎設施資安等資安政策。同時也推動國內資安產業發展，根據數發部的統計，國內資安產業的產值已突破817億元。</p> </div></div></div>
2025/8/22 18:43作者蘇文彬https://www.ithome.com.tw/news/170778
Orange Belgium通報資料外洩，85萬客戶資料遭未授權存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國Orange Group旗下比利時電信商Orange Belgium<a href="https://corporate.orange.be/en/node/57971">表示</a>，該公司在7月底偵測到一起針對內部資訊系統的網路攻擊事件，導致85萬名客戶的部分資料遭未授權存取。該公司強調，事件並未涉及密碼、電子郵件或金融資訊，但仍提醒用戶保持警覺，以防遭遇假冒客服或釣魚詐騙等後續風險。</p> <p>Orange Belgium指出，遭入侵的系統存放的資料包括客戶姓名、電話號碼、SIM卡號、PUK碼以及資費方案。雖然這些資料不足以直接影響帳號登入或財務安全，但若與其他外部來源的資訊組合，可能被不法人士利用，進行社交工程攻擊或針對性詐騙。公司特別強調，密碼、電子郵件帳號、銀行與金融資料皆未受影響。</p> <p>該公司說明，事件一經偵測，安全團隊隨即封鎖受影響的系統，並同步加強資安管控，以防止攻擊擴大。Orange Belgium已依規定通報主管機關，目前調查仍在進行中，基於調查完整性與客戶隱私保護，官方暫不公布更多技術細節。</p> <p>受影響的客戶將陸續收到公司寄發的電子郵件或簡訊通知，提醒他們提高對可疑訊息的警覺，特別是涉及索取額外個資或金流資訊的聯繫。Orange Belgium也已在官網設立專頁，提供事件相關的最新說明與使用者建議。</p> <p>目前Orange Belgium未透露攻擊來源與具體入侵方式，公司表示將持續配合主管機關進行調查，並承諾在不影響偵辦的前提下，隨時對外提供最新進展。此外，根據<a href="https://www.brusselstimes.com/1710322/orange-belgium-targeted-by-cyber-attack-in-july">外媒報導</a>，本案為獨立事件，與母公司Orange Group於7月25日偵測，並在7月28日<a href="https://newsroom.orange.com/the-orange-group-announces-that-it-filed-a-complaint-on-monday-28-july-concerning-a-security-incident-on-one-of-its-information-systems?lang=eng">對外公開</a>的資安事件屬於不同個案，兩者並無關聯。</p> </div></div></div>
2025/8/22 18:44作者李建興https://www.ithome.com.tw/news/170773
Visual Studio加入Copilot，更快找出.NET錯誤並最佳化效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Visual Studio中進一步<a href="https://devblogs.microsoft.com/dotnet/github-copilot-diagnostics-toolset-for-dotnet-in-visual-studio/?hide_banner=true">整合</a>Copilot，將人工智慧功能延伸至.NET的偵錯與效能分析，協助開發者在開發過程，更快定位問題並獲得具體解決方向。這次更新的重點在於簡化排查錯誤流程、減少重複操作，讓工程師能更快找到問題根源，同時在效能檢測上得到更明確的指引。</p> <p>Visual Studio的中斷點與追蹤點現在新增Copilot輔助，能依據程式脈絡自動建議條件判斷式或追蹤動作，減少人工設定的時間。對於常見的非繫結中斷點（Non-binding Breakpoint），Copilot可即時分析可能原因，例如符號檔不符、編譯設定錯誤或最佳化編譯帶來的影響，並提供修正建議。</p> <p>透過IEnumerable Visualizer和Ask Copilot，開發者可以用自然語言指示Copilot產生或調整LINQ查詢，迅速鎖定想要檢查的資料列。當滑鼠指向LINQ敘述時，Copilot會自動解釋查詢邏輯並提示效率問題，讓集合資料檢視更直覺高效。</p> <p>而在例外處理上，Copilot不僅能顯示堆疊追蹤，還會生成摘要，說明可能成因並提出修正方案。變數與方法回傳值的分析也更直覺，開發者可在偵錯介面直接呼叫Copilot，檢視變數異常的可能原因，或確認回傳值是否與設計一致。</p> <p>對於多執行緒與非同步程式碼，Copilot能在平行堆疊（Parallel Stacks）視窗中提供執行緒摘要，並自動指出可能的死結（Deadlock）或程式卡住情況，減少人工檢視龐大呼叫堆疊的負擔。</p> <p>Visual Studio整合Copilot也有助於效能分析，分析工具（Profiler）引入自動分析功能，針對CPU使用、插裝分析模式（Instrumentation）以及.NET配置檢測提供摘要報告，協助開發者快速辨識高使用率的程式區塊或資源配置問題，像是零長度陣列配置這類常見但不易察覺的效能問題，系統會自動標示並提供建議。</p> <p>開發者也能透過Ask Copilot互動查詢，獲取在迴圈、配置減量或效能最佳化上的具體建議，降低進行效能分析所需的專業門檻。</p> </div></div></div>
2025/8/22 17:07作者李建興https://www.ithome.com.tw/news/170771
【資安日報】8月22日，惡意軟體Noodlophile Stealer鎖定企業而來，以更細緻的版權爭議誘餌散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過臉書粉絲頁出現版權爭議為誘餌來散布惡意程式的手法，最近幾年陸續有資安業者和研究人員公布相關事故，其中有一起本週揭露的事故相當值得留意，因為攻擊手法大幅精進，駭客試圖以更難察覺的策略犯案。</p> <p>除此之外，本週美國聯邦調查局（FBI）針對俄羅斯駭客的攻擊行動提出警告，也相當值得留意，因為駭客用了7年前公布的已知漏洞，這代表尚有不少設備沒有套用修補程式而成為目標。再者，近期多次出現在新聞版面的處理器大廠英特爾（Intel），有研究人員公布內部網站的資安漏洞，而再度成為各界的焦點。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170763"><strong style="font-size: 22px;">惡意軟體Noodlophile Stealer透過版權爭議為誘餌散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Noodlophile-58.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Noodlophile-58.png" style="width: 300px; float: right;" /></a></p> <p>駭客鎖定企業組織散布竊資軟體，其中一種管道就是看上他們多半有經營臉書或其他社群網站的粉絲專頁，謊稱違反著作權（copyright infringement）為誘餌來從事網釣攻擊，如今有資安業者提出警告，由於借助AI的力量，並搭配事前充分的偵察，攻擊手法變得更難防範。</p> <p>此事是源於資安業者Morphisec，他們揭露竊資軟體Noodlophile Stealer最近一波攻擊行動，駭客犯案的範圍，遍及亞太地區、美國、歐洲、波羅的海國家，而散布這款惡意程式的方式，就是透過前述的違反著作權網釣來進行。但不同的是，駭客疑似透過廣泛的偵察，在信中列出臉書的網頁ID，以及公司所有權等資訊，並針對攻擊目標，透過AI將信件內容翻譯成特定的語言。這樣的攻擊手法，在過往以侵權為幌子的攻擊行動裡，算是相當罕見。</p> <p>為了躲過資安系統的攔截，這些郵件通常以Gmail寄送，並挾帶了偽裝成侵權證據的PDF檔案連結，嵌入信件的內容，並帶有縮圖無法正常顯示的情況。一旦收信人點選，攻擊者就會透過Haihaisoft PDF Reader或其他同樣具備合法簽章，但存在弱點的應用程式，以DLL側載的手法傳遞惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/170760"><strong style="font-size: 22px;">FBI示警，俄羅斯駭客鎖定思科路由器7年前的老舊已知漏洞下手</strong></a></p> <p>美國聯邦調查局（FBI）本周警告，俄羅斯駭客正濫用思科產品7年前的漏洞，來攻擊全球公部門及企業的基礎架構。</p> <p>FBI近日偵測到和俄羅斯情治機關FSB Center 16相關的駭客，濫用執行思科Cisco Smart Install軟體的舊式網路設備漏洞CVE-2018-0171，以及簡單網路管理協定（SNMP）來攻擊思科用戶。</p> <p>FBI去年以來偵測到攻擊者蒐集美國多個基礎架構產業的數千臺思科網路裝置配置檔。若思科系統沒有修補漏洞，則可被修改配置檔而允許非授權存取。攻擊者就可能用來偵查網路，這也曝露了攻擊者感興趣的協定和應用，其中多半和工控系統相關。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/colt-confirms-customer-data-stolen-as-warlock-ransomware-auctions-files/">針對勒索軟體Warlock兜售的資料，英國電信業者Colt坦承含有用戶個資</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/orange-belgium-discloses-data-breach-impacting-850-000-customers/">法國電信業者Orange上個月資料外洩調查出爐，85萬客戶受影響</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170765"><strong style="font-size: 22px;">英特爾內部網站存在一系列漏洞，恐導致27萬員工資料曝光，該公司表示已修復</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-Azure-Portal.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-Azure-Portal.png" style="width: 300px; float: right;" /></a></p> <p>最近處理器大廠英特爾（Intel）不斷出現在新聞版面，從8月上旬美國總統川普（Donald Trump）呼籲執行長陳立武辭職，到8月中旬傳出美國政府有意入股、日本軟體銀行集團（SoftBank Group）宣布買下該公司價值20億美元股票，而有可能對台積電等大廠造成威脅。如今有資安人員公布調查結果，指出該公司內部網站存在弱點，有可能導致全部員工的資料曝光，再度引起外界關注。</p> <p>本週資安研究員Eaton Zveare指出，他從去年10月至12月，在處理器大廠英特爾旗下的內部網站找到一系列資安漏洞，使得外部攻擊者有機會將該公司27萬員工的敏感資訊外流，今年2月底Eaton Zveare確認英特爾已完成修補，因此他決定公布相關細節，並指出Intel漏洞懸賞專案的範圍只有針對Intel.com網域，並不包含其他該公司持有的網站，且導致帳密資料曝露、外洩的弱點，亦未在專案的懸賞範圍，因此他並未得到獎勵，而是只有收到自動回覆的感謝郵件。</p> <p>對此，我們也向英特爾進行確認，該公司表示，針對2024年10月外部安全研究人員通報，英特爾多個入口網站出現漏洞一事，他們已在收到通知後立即採取修正措施，並在當時迅速完成全面修復。英特爾始終堅定承諾，持續評估並加強安全措施，以保護英特爾的系統，以及客戶與員工的資訊安全。</p> <p><a href="https://www.ithome.com.tw/news/170767"><strong style="font-size: 22px;">Mozilla發布Firefox大改版142，修補5項高風險資安漏洞</strong></a></p> <p>Mozilla本周發布Firefox 142桌機版本，以解決多項安全問題，包含5個高風險漏洞。</p> <p>這次修補的漏洞被登記為CVE-2025-9179到CVE-2025-9187，5項高風險漏洞中，又以CVE-2025-9179最值得留意，此漏洞發生在Audio/Video GMP元件存在無效指標（pointer）中，攻擊者可造成處理加密媒體資料的GMP行程記憶體毁損，引發沙箱逃逸，取得比內容處理程序（content process）更多的權限。值得留意的是，雖然這項漏洞Mozilla列為高風險，但根據美國網路安全暨基礎設施安全局（CISA）的評估，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-9179">此漏洞風險值達到9.8</a>（滿分10分），為重大層級，相當危險。</p> <p>值得留意的是，這次Mozilla公告的漏洞，大部分也影響Firefox長期支援版（ESR），以及收信軟體Thunderbird，他們也發布Firefox <a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-67/">ESR 140.2</a>、<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-66/">128.14</a>、<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-65/">115.27</a>，以及<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-70/">Thunderbird 142</a>、<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-72/">ESR 140.2</a>、<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-71/">128.14</a>、115.27，修補上述漏洞。</p> <p><a href="https://www.ithome.com.tw/news/170576"><strong style="font-size: 22px;">研究人員揭露資安弱點BitUnlocker，攻擊者有機會透過WinRE繞過磁碟防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ALxUki6Yx6.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ALxUki6Yx6.jpg" style="width: 300px; float: right;" /></a>最近幾年，微軟的全磁碟加密機制BitLocker多次成為駭客下手的目標，其中一種手法是充當檔案加密工具，加密受害企業資料後藉此勒索，因此，這類元件的安全性，也成為研究人員關注的焦點，在去年底資安研究員Thomas Lambertz於Chaos Communication Congress大會（CCC）揭露能繞過Bitpixie（CVE-2023-21563）的攻擊手法，有研究人員在近日舉辦的黑帽大會Black Hat USA 2025議程當中，公布能透過系統復原機制突破這種資料保護措施的弱點。</p> <p>微軟安全性測試與防禦研究團隊（STORM）指出，他們發現能透過Windows修復環境（WinRE），截取BitLocker的機敏資訊的一系列弱點BitUnlocker，STORM強調，這些漏洞存在於軟體，攻擊者不需侵入硬體就能達到目的，只要實際接觸到目標電腦，就有機會藉由重開機進入Windows修復環境來觸發漏洞，過程中無須登入電腦。對此，微軟於今年7月的例行更新（Patch Tuessday）發布修補程式。</p> <p>BitUnlocker總共被登記為4項漏洞，分別是：CVE-2025-48800、CVE-2025-48003、CVE-2025-48804，以及CVE-2025-48818，CVSS風險評分皆為6.8，攻擊者可在實際接觸目標電腦的情況下，利用這些漏洞，從而在未經授權的情況下繞過BitLocker的防護機制，存取受到加密保護的資料。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170700"><strong style="font-size: 22px;">安卓虛擬機管理程式pKVM通過SESIP第5級最高安全認證</strong></a></p> <p>Google公開其安卓虛擬機管理程式pKVM（Protected Kernel-based Virtual Machine）已取得 SESIP 5級認證。官方表示，這是第一個針對大規模消費性電子裝置部署，而通過此等級的軟體安全系統。其目的在替關鍵性隔離工作負載建立更可驗證的安全基礎，涵蓋裝置上人工智慧工作負載與敏感資料處理等應用情境。</p> <p>對於承載高敏感資料或關鍵應用的系統而言，通過第5級認證意味著該平臺獲得國際標準的最高背書，也對供應鏈法遵與市場信任提供強力保障。Google指出，許多現行TEE（Trusted Execution Environment）尚未達到同等級的正式認證，此次通過可作為開放原始碼且高保證的基礎，降低開發者在敏感場景導入隔離執行環境的不確定性。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/170508">【iThome 2025 CIO大調查(上)｜GAI戰略3：風險控管】破5成領先企業首重兩手對策，迎戰今年4大GAI迫切威脅</a></strong></p> <p><strong style="font-size: 22px;">其他執法行動</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/scattered-spider-hacker-gets-sentenced-to-10-years-in-prison/">駭客組織Scattered Spider成員被捕，恐面臨10年徒刑</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/legal/rapper-bot-malware-seized-alleged-developer-identified-and-charged/">美國逮捕、起訴22歲的殭屍網路Rapper Bot經營者</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170750"><strong>【8月21日】AI瀏覽器可被誘騙，引導至冒牌電商網站自動下單</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170735"><strong>【8月20日】駭客打造串連SAP NetWeaver兩大漏洞的作案工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170718"><strong>【8月19日】勒索軟體Crypto24用EDR廠商工具卸載EDR代理程式</strong></a></p> </div></div></div>
2025/8/22 13:44作者周峻佑https://www.ithome.com.tw/news/170766
Google將AI Mode拓展至全球180個市場，新增協作功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/ai-mode-agentic-personalized/" target="_blank">Google周四（8/21）宣布</a>，將搜尋中的AI Mode（AI模式），拓展至全球包括臺灣在內的逾180個國家，但目前只支援英文。另也針對美國市場推出協作功能，並開始實驗代理（Agentic）及個人化功能。</p> <p>Google AI模式是Google搜尋中的進階人工智慧功能，基於Gemini 2.5模型構建，具備強大的推理和多模態處理能力，它支援深度搜尋、複雜查詢處理、後續問題追問，並能接受文字、語音、圖片等多種輸入方式。</p> <p>相較於AI Overview主要提供一次性的摘要回答與相關的網頁連結，AI模式提供聊天式的互動體驗，且可接管整個搜尋，能處理更複雜的問題。</p> <p>此外，Google率先開放美國的AI模式用戶使用分享/協作功能，使用者只要在AI模式的回應中點選分享（Share），就會產生一個連結，受邀者點選後便能直接進入該回應，以展開協作。</p> <p>另外還有一個新的代理功能讓AI可替使用者執行複雜任務，首個推出的是餐廳訂位。使用者只需要描述需求，包括人數、時間、地點及料理偏好等，AI就會自動搜尋多個訂位平臺，找出符合條件的餐廳和可用時段，並直接提供訂位連結。該功能運用了Project Mariner網頁瀏覽技術，整合OpenTable、Resy等合作平臺，讓AI從被動回答轉為主動代辦，大幅簡化複雜的多步驟任務流程。</p> <p>未來Google也計畫推出本地服務預約或是活動票券訂購，外界則猜測或許會延伸到旅行規畫、購物、醫療或各種生活服務的預約。</p> <p>不過，代理功能目前僅限美國的Google AI Ultra付費訂閱用戶，透過Labs中的實驗功能使用。另外還有一個僅限美國市場的Labs實驗功能為個人化，它能利用使用者先前的對話紀錄，以及於搜尋與地圖中的活動來推斷用戶偏好，提供個人化的結果，初期搭配代理功能，專注於餐飲相關主題。</p> </div></div></div>
2025/8/22 14:35作者陳曉莉https://www.ithome.com.tw/news/170768
俄羅斯要求所有手機與平板都必須預裝MAX傳訊程式，惹爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://government.ru/news/55977/" target="_blank">俄羅斯總理Mikhail Mishustin本周簽署多項命令</a>，規定自2025年9月1日起，當地的電子裝置都必須預裝MAX傳訊程式，且iOS及HyperOS作業系統也都必須預裝當地的RuStore應用程式商店。而自2026年1月1日起，數位電視都必須預裝專門播放國家電視頻道的LIME HD TV程式。</p> <p>MAX是由俄羅斯第二大網路公司VK在俄羅斯政府的要求下所開發的傳訊程式，準備用來取代同樣是由VK開發、且自2023年起並預裝於電子裝置上的VK Messenger。</p> <p>根據俄羅斯政府的說法，MAX將提供不同功能的資訊交換服務，具備安全通訊能力，並能存取來自政府與企業的各種數位服務。基本上被視為新一代的國家級通訊平臺。</p> <p>然而，俄羅斯民眾認為，MAX要求使用者賦予更多的權限，包括通訊錄、位置、媒體檔案及語音等，再加上VK基本上是由俄羅斯政府所控制，因而擔心MAX會成為政府監控工具；再加上VK已被美國與歐盟制裁，在這些國家使用預裝MAX的電子產品可能會被當作風險裝置。</p> <p><a href="https://www.reuters.com/technology/russia-orders-state-backed-max-messenger-app-whatsapp-rival-pre-installed-phones-2025-08-21/" target="_blank">根據路透社（Reuters）的報導</a>，俄羅斯政府日前已開始限制當地WhatsApp及Telegram的通話能力，原因是它們不肯配合有關詐欺及恐怖主義案件的資訊分享。而當地前三大傳訊程式依序是WhatsApp的9,700萬用戶、Telegram的9,100萬用戶，以及VK Messenger的1,800萬用戶。</p> <p>此外，先前俄羅斯已強制要求Android及HarmonyOS（華為作業系統）裝置必須預裝當地的RuStore應用程式商店，下個月起，此一規定將延伸到iOS與HyperOS（小米作業系統）裝置上。</p> <p>在俄羅斯政府今年的強制預裝應用程式清單上，除了上述的MAX與RuStore之外，還有Mir Pay支付平臺、Kaspersky Free防毒軟體、Rutube影音平臺，以及其它以俄文命名的文書處理工具、電子書平臺、瀏覽器、地圖、雲端硬碟、郵件服務、社交平臺及語音助理等。</p> </div></div></div>
2025/8/22 15:13作者陳曉莉https://www.ithome.com.tw/news/170769
英特爾內部網站存在一系列漏洞，恐導致27萬員工資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近處理器大廠英特爾（Intel）不斷出現在新聞版面，從8月上旬美國總統川普（Donald Trump）<a href="https://www.ithome.com.tw/news/170496">呼籲執行長陳立武辭職</a>，到8月中旬傳出<a href="https://www.ithome.com.tw/news/170627">美國政府有意入股</a>、日本軟體銀行集團（SoftBank Group）<a href="https://www.ithome.com.tw/news/170702">宣布買下該公司價值20億美元股票</a>，而有可能對台積電等大廠造成威脅。如今有資安人員公布調查結果，指出該公司內部網站存在弱點，有可能導致全部員工的資料曝光，再度引起外界關注。</p> <p>本週資安研究員Eaton Zveare指出，他從去年10月至12月，<a href="https://eaton-works.com/2025/08/18/intel-outside-hack/">在處理器大廠英特爾旗下的內部網站找到一系列資安漏洞</a>，使得外部攻擊者有機會將該公司27萬員工的敏感資訊外流，今年2月底Eaton Zveare確認英特爾已完成修補，因此他決定公布相關細節，並指出Intel漏洞懸賞專案的範圍只有針對Intel.com網域，並不包含其他該公司持有的網站，且導致帳密資料曝露、外洩的弱點，亦未在專案的懸賞範圍，因此他並未得到獎勵，而是只有收到自動回覆的感謝郵件。</p> <p>對此，我們也向英特爾進行確認，該公司表示，針對2024年10月外部安全研究人員通報，英特爾多個入口網站出現漏洞一事，他們已在收到通知後立即採取修正措施，並在當時迅速完成全面修復。英特爾始終堅定承諾，持續評估並加強安全措施，以保護英特爾的系統，以及客戶與員工的資訊安全。</p> <p>Eaton Zveare揭露的弱點當中，最嚴重的出現在英特爾印度分公司Intel India Operations經營的名片訂購網站，此網站架設於Azure，以網頁應用程式框架Angular打造而成，攻擊者可藉由竄改特定的JavaScript檔案，在未經身分驗證的情況下存取此應用系統。值得留意的是，該網站雖然是供印度員工使用，但能存取全公司的員工資料，包含姓名、角色、電話號碼、電子郵件信箱，未有社會安全碼（SSN）等敏感資料。Eaton Zveare透過特定的API，從該網站下載約1 GB的JSON檔案。</p> <p>另一個弱點出現在該公司的Product Hierarchy網站，攻擊者可輕易解密寫死的（hardcoded）帳密，從而下載所有員工資料。Eaton Zveare指出，還有其他的寫死帳密，可被用於以管理員身分存取系統。</p> <p>第三個弱點出現於Product Onboarding網站，同樣能被攻擊者可輕易解密寫死的帳密，從而下載所有員工資料。</p> <p>最後一個弱點能被繞過SEIMS Supplier Site的合作廠商登入介面，使得攻擊者能下載每個英特爾員工的詳細資料。此外，若是進一步竄改用戶端，就有可能取得完整的系統存取權限，存取英特爾供應商的機密資訊。</p> </div></div></div>
2025/8/22 13:35作者周峻佑https://www.ithome.com.tw/news/170765
Firefox 142修補多項重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla本周<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-64/#CVE-2025-9180" target="_blank">發布Firefox 142桌機版本</a>，以解決多項安全問題，包含5個高風險漏洞。</p> <p>最新<a href="https://www.firefox.com/en-US/firefox/142.0/releasenotes/" target="_blank">Firefox 142桌機版</a>除了新功能外，也解決了CVE-2025-9179到CVE-2025-9187等8項漏洞。根據Mozilla的安全公告，5項高風險漏洞中，CVE-2025-9179為Audio/Video GMP元件存在無效指標（pointer）中，攻擊者可造成處理加密媒體資料的GMP行程記憶體毁損，引發沙箱逃逸，取得比內容程序（content process）更多的權限。</p> <p>CVE-2025-9180為Graphics: Canvas 2D元件中的同源政策（same-origin policy）繞過漏洞，危及跨站安全性。攻擊者可以通過惡意Canvas操作，繞過瀏覽器的SOP限制，竊取或操作來自其他網域的敏感資料（如cookies、內容等）</p> <p>其次是CVE-2025-9184、CVE-2025-9185及CVE-2025-9187，三者同為記憶體安全漏洞。Mozilla表示，分析顯示有記憶體毁損，相信只要攻擊者多下點工夫，這些漏洞能允許執行任意程式碼。CVE-2025-9184僅影響FireFox ESR/Thunderbird ESR 140.2及FireFox/Thunderbird 140，CVE-2025-9185影響多個版本ESR以及Firefox/Thunderbird 142。CVE-2025-9187影響Firefox/Thunderbird 142。</p> <p>唯一的中度風險漏洞CVE-2025-9181為存在JavaScript引擎元件的非初始化（Uninitialized memory）記憶體漏洞。Firefox 142另外修補了二個低風險漏洞。包含CVE-2025-9186，為存在Firefox Focus for Android的網址列元件的身份冒用漏洞，以及CVE-2025-9182，影響Graphics: WebRender元件，濫用本漏洞可耗盡記憶體引發服務阻斷（Denial of Service，DoS）。</p> <p>Mozilla同時發布Firefox of iOS 142。<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-68/" target="_blank">這個iOS版本解決</a>一項高風險漏洞及2個中度風險漏洞。高風險漏洞為CVE-2025-55030可導致瀏覽器錯誤將附件內容直接嵌入頁面顯示（inline），而不是下載。本行為有可能被利用進行跨站腳本攻擊（XSS）。</p> <p>中度風險漏洞包含JavaScript可觸發重覆發送通知造成服務中斷（CVE-2025-55028），及允許在藍牙連線範圍的攻擊者發送釣魚訊息騙取通行密鑰（CVE-2025-55031）。低度風險漏洞CVE-2025-55029類似CVE-2025-55028，但是是以觸發垃圾popup視窗造成DoS。</p> </div></div></div>
2025/8/22 13:57作者林妍溱https://www.ithome.com.tw/news/170767
美政府AI服務爭奪戰，Gemini for Government每年只要0.47美元，低於OpenAI與Anthrop…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/public-sector/introducing-gemini-for-government-supporting-the-us-governments-transformation-with-ai/?e=48754805" target="_blank">Google今日（8/22）宣布</a>，推出全新的Gemini for Government產品，並與美國總務管理局（U.S. General Services Administration，GSA）簽署OneGov合作協議。<a href="https://www.gsa.gov/about-us/newsroom/news-releases/gsa-google-announce-gemini-onegov-agreement-08212025" target="_blank">GSA則說</a>，該協議將允許美國聯邦機構以每年0.47美元的價格訂閱Gemini for Government，有效期限至2026年。</p> <p>新的Gemini for Government是個完整的人工智慧平臺，內含企業搜尋、影片與圖片生成功能、 NotebookLM工具、Deep Research及Idea Generation的AI助理，亦允許使用者客製化AI助理。另也整合強大的安全功能，包括身分及存取管理，威脅防護、資料隱私及合規性等。</p> <p>OneGov源自美國總統川普（Donald Trump）今年4月所發布的行政命令，有鑑於過去美國聯邦機構大量使用客製化服務而提高了建置成本，川普要求政府機關應該要消除不必要的支出，在最大可行範圍內採購市售產品及服務，亦即儘量以市面上的既有產品或服務來取代客製化，若要採用客製化還必須提出申請。</p> <p>幾天後GSA即啟動OneGov策略，統一聯邦政府機構的採購模式，首先便是針對IT工具制定標準化的條款與定價，並直接與原廠合作以提升價格透明度。</p> <p>在AI領域上，<a href="https://www.ithome.com.tw/news/170476" target="_blank">GSA與OpenAI</a>率先於8月6日宣布合作，讓各個聯邦行政機構都能以1美元的年費使用ChatGPT Enterprise，為期一年；接著<a href="https://www.ithome.com.tw/news/170540" target="_blank">是AWS同意</a>提供效期至2028年12月31日的10億美元免費額度；<a href="https://www.gsa.gov/about-us/newsroom/news-releases/gsa-strikes-onegov-deal-with-anthropic-08122025" target="_blank">Anthropic則說</a>將提供行政、立法及司法三種聯邦機構以1美元的年費訂閱Claude for Enterprise與Claude for Government，為期1年。</p> <p>美國政府已成功與四大AI巨頭建立夥伴關係。一來展現了川普政府「以商用產品取代客製化服務」政策的初步成效，二來亦替全球政府部門採用AI技術樹立了新標竿，如統一採購或定價的透明化等。另一方面，業者所提供的低價訂閱通常只持續一年，主要目的是讓聯邦機構建立使用習慣以搶占市場先機。</p> </div></div></div>
2025/8/22 11:25作者陳曉莉https://www.ithome.com.tw/news/170761
惡意軟體Noodlophile Stealer透過版權爭議為誘餌散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定企業組織散布竊資軟體，其中一種管道就是看上他們多半有經營臉書或其他社群網站的粉絲專頁，謊稱違反著作權（copyright infringement）為誘餌來從事網釣攻擊，如今有資安業者提出警告，由於借助AI的力量，並搭配事前充分的偵察，攻擊手法變得更難防範。</p> <p>此事是源於資安業者Morphisec，他們揭露<a href="https://www.morphisec.com/blog/noodlophile-stealer-evolves-targeted-copyright-phishing-hits-enterprises-with-social-media-footprints/">竊資軟體Noodlophile Stealer最近一波攻擊行動</a>，駭客犯案的範圍，遍及亞太地區、美國、歐洲、波羅的海國家，而散布這款惡意程式的方式，就是透過前述的違反著作權網釣來進行。但不同的是，駭客疑似透過廣泛的偵察，在信中列出臉書的網頁ID，以及公司所有權等資訊，並針對攻擊目標，透過AI將信件內容翻譯成特定的語言。這樣的攻擊手法，在過往以侵權為幌子的攻擊行動裡，算是相當罕見。</p> <p>為了躲過資安系統的攔截，這些郵件通常以Gmail寄送，並挾帶了偽裝成侵權證據的PDF檔案連結，嵌入信件的內容，並帶有縮圖無法正常顯示的情況。一旦收信人點選，攻擊者就會透過Haihaisoft PDF Reader或其他同樣具備合法簽章，但存在弱點的應用程式，以DLL側載的手法傳遞惡意酬載。</p> <p>駭客大多將這些惡意酬載上傳到Dropbox，並以短網址服務TinyURL重新導向做為遮罩，這些有效酬載的內容，駭客通常會混淆副檔名，像是將批次指令碼重新命名為.DOCX，或是自解壓縮檔重命名.PNG。</p> <p>特別的是，Morphisec提及駭客的DLL側載手法與其他攻擊有所不同，其中一種是先載入一小段占位程式碼（Stub），再根據匯入位址表格（Import Address Table，IAT）存取惡意DLL檔案的手法，稱為Recursive Stub Loading；另一種被稱為Chained DLL Vulnerabilities，攻擊者先以側載手法載入存在弱點的合法DLL檔案，使得惡意程式碼能以此在受信任的處理程式執行。</p> <p>附帶一提的是，攻擊者的指令碼並非直接從特定網址下載有效酬載，而是從Telegram群組的簡介取得所需的URL；再者，他們利用了Telegram架設C2。</p> <p>針對Noodlophile Stealer本身的功能，主要是以.NET打造而成，並能迴避視窗作業系統內建的反惡意程式掃描介面（AMSI）、事件記錄追蹤器（ETW），甚至有可能躲過EDR的偵測。Morphisec指出駭客正積極開發的現象，根據其程式碼基礎（Codebase），他們正著手加入螢幕截圖擷取、鍵盤偵錄、檔案外洩、處理程序監控、網路資訊收集、檔案加密，以及瀏覽器擴充功能偵查、挖掘上網記錄內容。</p> <p>這些駭客散布Noodlophile Stealer已有前例，今年5月，他們<a href="https://www.morphisec.com/blog/new-noodlophile-stealer-fake-ai-video-generation-platforms/">假借提供生成式AI應用程式為誘餌</a>，針對小型企業及創作者發動攻擊。</p> </div></div></div>
2025/8/22 11:48作者周峻佑https://www.ithome.com.tw/news/170763
跟零售巨頭學GenAI實戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，許多企業展開了生成式AI專案的PoC驗證，想要找出具有ROI效益的應用場景，不再只是追逐越來越厲害的大型語言模型。但是，今年7月一份調查報告，點出了生成式AI專案的效益嚴重低於眾人的預期。</p> <p><a href="https://nanda.media.mit.edu/" target="_blank"><span style="color:#3366ff;">美國麻省理工學院開放代理網際網路專案NANDA發表了一份生成式AI落差（GenAI Divide）報告</span></a>，來探討GenAI目前的企業應用現況。這項調查訪談52家企業和組織，153位高階主管，也分析了超過300個AI應用案例。</p> <p>根據MIT估計，企業投入GenAI的投資，高達數百億美元，但是，高達95%的企業和組織的GenAI計畫失敗，沒有得到任何成果。只有5％的AI實驗計畫成功運用到正式環境中帶來收益，創造了數百萬美元的價值價值，遠遠低於數百億元的投資規模。</p> <p>MIT更在報告中強調，不論是GenAI技術買家如企業，或是技術建造者，如新創，供應商，都面臨了GenAI投入和收益的巨大落差。影響專案成敗的主因，不是因為模型的品質高低或是法遵規範，而是採用方法。</p> <p>GenAI專案失敗的常見原因則包括了，GenAI無法貼近企業工作流程、AI系統缺乏情境學習能力，或是AI專案與日常營運脫節等。這份報告也詳細列出阻礙GenAI專案成功的迷思和挑戰，相當值得一讀。</p> <p>在今年iThome CIO大調查中也看到，<a href="https://www.ithome.com.tw/article/170488" target="_blank"><span style="color:#3366ff;">臺灣只有15%企業開始將GenAI用於正式環境中</span></a>，<a href="http://www.ithome.com.tw/article/170509" target="_blank"><span style="color:#3366ff;">多數企業直接採用現成GenAI服務</span></a>，如ChatGPT、Gemini等，也有企業自己微調，甚至用自己的資料來預訓練模型，提高模型的客製化程度。但要如何讓GenAI專案的成功機會更高，帶來更大的效益，大多數企業都還在摸索。</p> <p><a href="https://www.ithome.com.tw/article/170488" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1246-%E5%B0%81%E9%9D%A2P2-600-2-(170)-PNG.png" style="width: 500px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/170509" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1246-%E5%B0%81%E9%9D%A2P6-600-4-PNG.png" style="width: 500px;" /></a></p> <p>向標竿企業借鏡，是一個較為可行的做法。<a href="https://www.ithome.com.tw/article/170758" target="_blank"><span style="color:#3366ff;">這周的封面故事，正是要介紹跨國零售巨頭的GenAI實戰經驗</span></a>。相較於法遵嚴格的金融業，零售業更勇於嘗試生成式AI的創新，尤其是握有大把科技資源的零售巨頭們。</p> <p>早在2021年，eBay就用自家資料訓練自己的客製化BERT模型，來強化商品分類能力。全球零售龍頭Walmart更以GenAI為核心，發展出一整套新的適應式零售OMO戰略，要大規模、系統性的打造生成式AI應用。Amazon不只有能力運用GenAI來指揮十萬臺物流機器人的調度，更發起了上千個GenAI專案。</p> <p>在這期封面故事中，不只上述幾家，還整理了美國連鎖超市Target、美國DIY家居用品連鎖商Lowe's、日本樂天集團，還有近年積極經營臺灣市場的酷澎。這七家零售業者一年營收相當於臺幣46兆元的龐大市場，他們都已經開始善用GenAI，結合自家龐大的顧客大數據，一來加速原有作業流程，另一方面也嘗試打造全新的零售體驗。</p> <p>從這七家零售巨頭的GenAI實戰中，可以歸納出，五類常見的生成式AI應用，包括了商品資料補全和梳理、商品評論和規格的整理，第一線員工的AI助手、供應商端商品資料輸入助手，顧客端電商購物助手。</p> <p>這幾類案例，涵蓋了資料整理類工具和多種角色的生產力工具，可說是成功率較高，也是更適合GenAI發揮的場景。這些經驗，更不只臺灣零售產業可以參考的GenAI實戰經驗，也是其他B2C或B2C產業可以借鏡的GenAI應用實戰經驗和做法。</p> <p><a href="https://www.ithome.com.tw/article/170758" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1248-feng_mian_p1-you_hua_-open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E5%94%AE%E6%A5%AD">零售業</a></div><div class="field-item even"><a href="/tags/ai%E6%87%89%E7%94%A8">AI應用</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/walmart">walmart</a></div><div class="field-item odd"><a href="/tags/amazon">Amazon</a></div><div class="field-item even"><a href="/tags/target">Target</a></div><div class="field-item odd"><a href="/tags/ebay">eBay</a></div><div class="field-item even"><a href="/tags/lowes-0">Lowes</a></div></div></div>
2025/8/22 10:18作者王宏仁https://www.ithome.com.tw/voice/170759
FBI警告駭客濫用思科7年前舊漏洞攻擊全球基礎架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/PSA/2025/PSA250820" target="_blank">美國聯邦調查局（FBI）本周警告</a>，俄羅斯駭客正濫用思科產品一個7年前的漏洞，來攻擊全球公部門及企業的基礎架構。</p> <p>FBI近日偵測到和俄羅斯情治機關FSB（Federal Security Service）Center 16相關的駭客，濫用執行思科Cisco Smart Install軟體的舊式網路設備漏洞CVE-2018-0171，以及簡單網路管理協定（Simple Network Management Protocol，SNMP）來攻擊思科用戶。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2" target="_blank">CVE-2018-0171</a>為一風險值9.8的堆疊式緩衝溢位漏洞，它位於IOS及IOS XE中的Smart Install功能中。Smart Install是安裝新交換機的組態及映像檔管理功能。問題根源在Smart Install Client未對輸入封包資料做必要驗證，使攻擊者能發送含有惡意程式碼的Smart Install訊息，引發堆疊式緩衝溢位，造成阻斷服務（denial of service，DoS）或是任意程式碼執行攻擊。</p> <p>FBI去年以來偵測到攻擊者蒐集美國多個基礎架構產業的數千臺思科網路裝置配置檔。若思科系統沒有修補漏洞，則可被修改配置檔而允許非授權存取。攻擊者就可能用來偵查網路，這也曝露了攻擊者感興趣的協定和應用，其中多半和工控系統相關。</p> <p>主導這波攻擊的FSB Center 16也被安全專家稱為Berserk Bear和Dragonfly。多年來該組織駭入全球網路設備，特別是支援無加密協定如SMI及SNMP 1、2的裝置。該組織也對思科裝置植入自製工具，例如2015年的SYNful Knock。</p> <p>2018年FBI已發布了安全指引。今年5月FBI連同CISA、能源部和環保署聯合發表安全公告，警告有駭客已攻擊重要基礎架構組織留心操作科技（OT）環境或工控系統（ICS）。本月思科Talos發表最新報告，揭露這波攻擊背後駭客組織為Static Tundra。</p> <p>FBI建議懷疑自己遭到攻擊的企業報警或上網通報。</p> </div></div></div>
2025/8/22 11:04作者林妍溱https://www.ithome.com.tw/news/170760
精進自助查驗改善旅客通關體驗，移民署靠IT強化國境管理韌性
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據交通部觀光署統計，光是今年1月到5月，國人出國人次將近750萬人次，如此龐大的人流進出，對於國境管理帶來巨大的挑戰。因應國際旅遊人潮，運用ICT技術強化入出境管理已成為各國邊境管理的趨勢之一，不少國際機場先後建置自動通關查驗系統。</p> <p>臺灣也在2011年開始在國內機場、港口導入自動通關查驗系統（e-Gate），取代傳統人力查核工作，結合電腦化及生物辨識技術，讓旅客能夠自助、快速通關，也象徵國門進出的自動化管理。</p> <p>移民署統計，自動通關的註冊人數在2019年註冊人數一度達到約120萬，2020年疫情爆發後大幅減少，但隨著全球疫情趨緩、國境解封，加上閘道內自助註冊功能上線，2024年註冊人數一舉達到224.6萬人數。</p> <p>自動化查驗通關的推手正是移民署，移民署主要負責兩大業務，其中之一是執行移民政策，針對外來人口管理，例如外國人士居留證申辦等服務；另一項相當重要的業務是國境管理，例如海關的身分查驗，需讓合法的民眾、外國人士快速完成出入境，同時也要加強邊境安全管理，對於高風險、可疑身分的人士，例如通緝犯或需要警戒恐怖分子，查驗過濾高風險人物出入境。</p> <p>帶領移民署IT團隊的移民資訊組長黃耀樑，曾在內政部戶政、立法院、移民署任職，在國家組成的人民、領土、主權三項要素中，黃耀樑過去25年的公務生涯中多和人口管理有關，曾參與戶政系統、入出境管理、外籍人士的資訊化管理發展過程。</p> <p>黃耀樑表示，我國的國境管理以前以查驗紙本為主，直到1983年之後推動電腦化證照查驗作業，當時使用王安電腦系統，隨著資訊化不斷精進改善，移民署已打下資訊化基礎，透過虛擬化，彈性資源調度使用，逐代發展自動查驗通關系統、強化系統架構韌性等等，加速國境管理邁向現代化發展，趕上其他國家的腳步。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>查驗系統大當機</strong></span></span></p> <p>然而，在2009年發生一起重大事件卻給移民署上了一課。2009年1月初桃園機場通關查驗系統發生大當機，當時系統當機時間長達36個小時。當時第二航廈的資料庫發生故障，雖然馬上切換至第一航廈的查驗系統支援，暫時恢復查驗系統作業，但是僅僅2天時間，第一航廈的資料庫也發生故障。</p> <p>通關查驗只能緊急改為人工方式作業，當時影響包括桃園、松山、台中、高雄等機場，以及金門水頭碼頭、馬祖福澳港碼頭。大當機期間，8名通緝犯成功逃出國境，這起嚴重事件突顯資訊系統一旦發生異常，對國境管理造成莫大影響，各家媒體也連續多天以頭版大篇幅報導，監察院也對大當機事件進行調查。</p> <p>監察院調查後認為移民署有疏失予以糾正，在其調查報告中指出，大當機發生的原因之一是，當時移民署辦理電腦及軟體維護案時，未考慮到前後得標廠商的交接時程。</p> <p>當時舊廠商的年度維護合約到2008年12月31日結束，移民署遲至12月30日才召開評選委員會議，12月31日才決標，2009年元旦假期之後新廠商才承接維護案，隨即在2009年1月5日發生電腦大當機事件，顯示維護案未考慮到資訊系統對輔助查驗證照的重要性，及早完成決標，讓新舊廠商有充裕時間完成交接。</p> <p>另一個原因則是，入出國通關查驗系統的部分設備使用已超過10年期限，在業務負荷滿載之下，主設備及備援設備先後發生故障，資訊服務廠商維修人員也無法於第一時間內掌握系統組態，顯示移民署的資訊技能及人力均不足。</p> <p>監察院認為，移民署對於入出國通關查驗系統設備使用超過規定期限，卻未汰換新設備，且未建立危機管理機制，擬定資訊災害復原計畫。另外，移民署未強化專業技能與人力，缺乏異地備援及資訊災難復原的能力。</p> <p>這起大當機事件讓黃耀樑的記憶格外深刻，黃耀樑不諱言，那時移民署剛經歷組織改造，從境管局升格為移民署，其他機關組織移撥到移民署之下，使得移民署負責的業務量增加，導致整個部門的系統負載增加，「當時感覺系統已有一些超過負載」，黃耀樑回憶，如果只有一臺主機當掉，仍可由其他主機備援，但是兩臺主機前後發生異常，超出系統的負荷能量。</p> <p>在當時，移民署原本因應負載的增加，規畫爭取預算提升系統的能量，準備汰換設備、增加系統可用資源，但是尚未來得及汰換就發生大當機事件。</p> <p>黃耀樑回憶當時帶來的衝擊，因系統及設備老舊，撈取資料重啟回復系統花費相當長的時間，在系統當機期間，人員無法使用系統查驗，當下只能先以紙筆抄錄護照資訊，造成民眾的不便。</p> <p>而在大當機的期間，從系統重啟、回復舊資料，加上將手寫抄錄的資料輸入至系統，再測試系統有無出現異常的情形，移民署前前後後花了約3天時間才完全修復系統。</p> <p>「當系統平時負載不足以因應任何風險時，等於置系統處於高危險的狀態，IT應該更早規畫，以爭取預算汰換設備並擴充資源」，黃耀樑說。</p> <p>大當機事件的慘痛經驗，讓移民署重新認識到及早規畫系統維護及建立多重備援的重要性，日後更慎重規畫系統維護案、嚴格落實設備汰換，並規畫建置多重備援架構。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不斷優化自動查驗通關系統</strong></span></span></p> <p>在現代化的國境管理發展上，其他國家很早便發展自動化通關查驗技術，因應我國出入境的龐大人流管理，移民署也投入新科技強化通關查驗作業，在2011年在國內機場、港口首次導入自動查驗通關系統。自動查驗通關系統的背後，結合電腦化作業及指紋的生物辨識技諭，讓旅客不需在人工查驗閘口排隊等候審驗，在註冊後就能使用自動查驗通關閘口自助查驗通關。</p> <p>但是自動通關查驗系統的發展並非一帆風順，第2代系統雖然針對外國籍人士可錄存指紋，但因為使用了中國的產品，恐有資料外洩的疑慮，第2代系統建置後並沒有實際啟用，不斷進行驗測。</p> <p>而2020年發展的第3代自動查驗通關系統，相較於先前的自動查驗通關系統，必需先在人工櫃檯註冊後，才能使用自動查驗通關系統，第3代系統支援自助註冊、通關二合一的功能，但是第3代啟用不久就爆發COVID-19全球疫情，各國機場旅客人流急凍，使得第3代系統也無用武之地。</p> <p>疫情爆發造成旅客減少，並沒有讓移民署止步不前，例如在疫情期間，移民署配合疾管政策需要建置旅客訂位及行程分析系統，以搭配國境查驗，嚴格把關入境旅客的啟程地和轉機地點是否來自高疫情風險地區。</p> <p>此外，移民署也優化第3代自動通關查驗系統，發展雙向通關，以更大的彈性支援人流管理，適合腹地有限的港口使用。</p> <p>如今第1代系統啟用已超過10年，設備維護零件已不易取得，因此移民署打造第4代自動通關查驗系統，支援人臉辨識，2024年開始以汰換第1代系統，目標在2025年完成所有舊系統的汰換工作，以第3代與第4代自動通關查驗系統並存，成為國門自動通關查驗的主力。</p> <p>新一代自動通關查驗系統開放外籍旅客出境時可使用通關及支援40種語言，並支援行進間即行辨識、加快通關速度，旅客在閘道內自助註冊通關二合一功能。</p> <p>此外，也透過改善使用者體驗，除了外觀上採用使用者友善的設計，擺脫機器給人冰冷的感受外，還考慮其他功能，如降低指紋模組高度，放寬自助通關查驗的使用年齡至10歲以上的青少年或兒童使用，讓年輕旅客也能體會自助通關的便利性。經過不斷的改善發展查驗通關系統，現在約有7成旅客選擇使用自助通關服務，降低人工查驗工作壓力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1248-%E7%A7%BB%E6%B0%91%E7%BD%B2-600-JPG.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>強化資訊基礎架構的韌性</strong></span></span></p> <p>黃耀樑指出，移民署從第1代自動查驗通關系統發展到第4代系統，每一代除了硬體設備汰換，背後的資訊流也整合精進，逐代發展之下將資訊流整併、統一管理。以目前自動查驗通關採用的人臉辨識為例，最初設計是由前端設備辨識使用者的臉部特徵，再回傳辨識結果至後端，由後端進行決策，第4代系統則將臉部辨識交予後端伺服器執行、決策，因此背後的資訊架構也需要重新設計及支援，以建立強韌的信任度。</p> <p>黃耀樑表示，目前移民署推動的資訊架構韌性可分為幾個層面，包括平時資訊系統工作負載超過負荷時，如何建立多重備援的架構，以應付先前大當機事件單點故障時，同時提升對大規模災害或發生緊急狀態的系統韌性。</p> <p>他以自動查驗通關為例，原本基於備援及集中控管的資安考量，高雄機場的e-Gate辨識交由桃園的機房負責，臺北的署本部則有備援機房，但是近幾年因應國際間的緊張關係，韌性已成為政府機關資訊化發展的新目標，在此策略下，移民署改為各地機場、港口的多個小中心的分散架構，搭配演練來強化韌性。</p> <p>在這個分散架構之下，高雄小港機場的查驗仍由桃園的機房負責處理，當桃園的機房出現異常，高雄小港機場可改由高雄小港自己的中小型機房處理，當高雄的機房也發生異常，則可以改由臺中的中小型機房提供支援。移民署透過集中控管、多中心的多層備援架構，兼顧資安管理及強化韌性的目的。</p> <p>但是多中心多層備援架構仰賴通訊網路的韌性，因此移民署開始研究當日常的網路通訊發生異常時，如何運用新興技術，例如微波、衛星來作為備援通訊。</p> <p>建立備援通訊網路的重要性，去年在馬祖海纜斷訊事件獲得印證，當時因馬祖與臺灣間的海纜通訊中斷，影響馬祖當地通訊服務，但是在電信業者緊急建立微波通訊備援下，馬祖的通關查驗作業仍正常運作。</p> <p>為了強化大規模災害或緊急狀態下的系統韌性，移民署參與政府關鍵民生系統韌性改善計畫，移民署底下的入出國查驗系統、移民管理系統將透過雲端建立核心系統備援機制，以及資料分持加密提升韌性，確保大規模災害發生或爆發戰爭，仍可維持核心系統基本運作、保存資料。目前移民署仍在盤點系統及資料的依附性，測試如何分割適合的資料大小，以測試找出不同分割方式下加密分持的較佳實作方法。</p> <p>目前移民署的查驗及移管系統為2010年至2011年建置，部分機場及移民署機房等資訊基礎設施也面臨老舊的問題，移民署推動新計畫，為強化國境管理韌性及推動智慧化，計畫從2025年到2028年投入約10億元，汰換各地的大中小型機房、影像監控，並且導入AI技術來輔助移民官對旅客的綜合風險評估，還有AI旅客證件自動歸戶、智能客服等等，顯示移民署除了不斷汰換資訊基礎建設，提升國境管理韌性，也與時俱進透過AI輔助查驗、移民管理的執行。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>內政部移民署移民資訊組長黃耀樑</strong></p> <p>學歷：臺科大管理學院碩士</p> <p>經歷：曾任內政部科長，參與戶政相關資訊工作，後來轉任內政部入出國及移民署擔任副組長，離開內政部後，曾任立法院高級分析師，負責IT相關工作，2015年「內政部入出國及移民署組」組改為「內政部移民署」，擔任移民署移民資訊組長</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1248-%E7%A7%BB%E6%B0%91%E7%BD%B2-300.jpg" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>內政部移民署</strong></p> <p>●地址：臺北市廣州街15號</p> <p>●成立時間：2007年成立，後於2015年組改為署</p> <p>●主要業務：外來人口管理、移民照顧輔導</p> <p>●員工數：2,405人</p> <p>●署長：林宏恩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：移民資訊組長</p> <p>●資訊部門主管姓名：黃耀樑</p> <p>●資訊部門人數：155人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2007年：成立移民資訊組</p> <p>●2011年：建置自動通關系統</p> <p>●2022年：建立旅客訂位及行程分析系統</p> <p>●2023年：整合生物辨識、擴大使用量能；建立第4代自動通關系統</p> <p>●2025年：推動「打造國境安全智慧應用數位韌性計畫」，為4年期計畫，預計投入約10億元經費，以「強化數位賦能、永續營運服務」及「打造智能安防、提升數位韌性」為2大目標</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1248-yi_min_shu_-960.jpg" width="960" height="420" alt="" title="內政部移民署移民資訊組長黃耀樑　（攝影／洪政偉）" /></div></div></div>
2025/8/22 08:00作者蘇文彬https://www.ithome.com.tw/people/170710
Anthropic強化企業方案，納入Claude Code並推出Compliance API提升法遵能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/news/claude-code-on-team-and-enterprise">擴充</a>其企業（Enterprise）與團隊（Team）方案，新增可升級的Premium授權名額，讓用戶在同一訂閱中同時使用Claude與Claude Code，並推出Compliance API，協助企業即時監管使用狀況並滿足法遵需求。官方強調此更新同時面向研發與管理，讓開發者與管理者能在同一平臺獲得所需支持。</p> <p>管理員可依組織角色或需求分配標準或Premium名額，Premium使用者可先透過Claude進行技術探索與架構討論，再切換到終端機內的Claude Code撰寫並完成可直接部署的程式碼，將研究與實作整合於同一工作流程。</p> <p>費用與用量方面，每個名額預設提供足以支應日常工作的使用量，當團隊需要額外資源時，管理員可針對特定人員開啟額外用量，以標準API費率計算，同時透過組織與個人層級的上限控管，確保資源彈性與帳單可預期。該設計讓企業在大規模推廣人工智慧應用時，仍能維持成本透明與管理可控。</p> <p>在監測與治理方面，系統提供更完整的使用分析，包括被採納的程式碼行數、建議採納率與使用模式等，讓管理者能更具體掌握Claude Code在團隊內的實際成效。政策設定也同步強化，管理員可統一配置工具權限、檔案存取限制與MCP伺服器設定，將內部規範直接落實到使用端。</p> <p>此次推出的Compliance API則是另一個重要更新，企業可透過程式化介面即時存取Claude的使用資料與內容，進一步建置持續監測與自動化政策執行。管理員也能將相關資訊整合至既有的法遵儀表板，並支援選擇性刪除，以符合資料留存與監管規範。</p> <p>目前團隊與企業方案的管理員均可選擇升級至包含Claude Code的Premium授權名額，並同時使用額外用量設定、支出上限、使用分析與自助式名額管理功能。Anthropic表示，這些更新讓企業能在不影響治理與法遵的前提下，進一步將人工智慧導入日常研發與營運流程，提升整體生產力。</p> </div></div></div>
2025/8/22 08:00作者李建興https://www.ithome.com.tw/news/170749
TRM Labs推出可即時偵測非法加密貨幣活動的Beacon Network
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>區塊鏈情報業者<a href="https://www.trmlabs.com/resources/blog/trm-labs-launches-beacon-network-the-first-real-time-crypto-crime-response-network" target="_blank">TRM Labs周三（8/20）宣布推出Beacon Network</a>，這是個即時的加密貨幣犯罪應對網路，串連了執法機構、加密貨幣交易平臺、支付公司及資安研究人員，可在非法資金被套現或轉為法幣之前就進行攔截。</p> <p>TRM Labs表示，自2023年以來，至少有470億美元的加密貨幣被發送到跟詐欺有關的位址，而這很有可能只是其中一部分，因為大多數被詐欺的受害者不會對外揭露。此外，加密貨幣生態系統在2025年被盜走逾2.3億美元。</p> <p>Beacon Network像是個共享的公共基礎設施，除了TRM Labs之外，它的創始成員還包括Coinbase、Binance、PayPal、Robinhood、Stripe、Kraken、Ripple、Crypto.com及Blockchain.com等數十家業者，全球執法機構也正協助辨識及標記與犯罪行為有關的加密錢包位址，包括ZachXBT、Security Alliance (SEAL)、zeroShadow、Hypernative、Operation Shamrock及CryptoForensics Investigators等資安業者，則負責持續監控及追蹤各種威脅。</p> <p>全球知名加密貨幣交易平臺Bybit在今年2月遭到駭客入侵，價值15億美元的以太幣被駭客盜走，成為史上最大加密貨幣遭竊案，外傳兇手是北韓駭客組織Lazarus Group。值得注意的是，駭客在得手的1個月內透過逾1萬筆交易快速拆解並轉移了這筆贓款，由於規模太大、轉移速度太快，使得各界根本來不及阻止，引發了加密貨幣產業對於更快偵測、回應與協調的迫切需求，Beacon Network於是應運而生。</p> <p>Beacon Network的目的即是建立一個由交易平臺、支付平臺、穩定幣發行商與執法單位共同參與的即時預警網絡，在非法資金被駭客、詐騙或洗錢集團套現之前攔截。</p> <p>Beacon Network會先由執法機構或資安業者來標記可疑的錢包位址，再由Beacon自動追蹤該錢包流出的資金，一旦資金到達所合作的交易平臺或發行商時，便會觸發即時警報，讓這些加密貨幣平臺可在有人提款時主動審查並保留被標記的存款，以阻止非法提現。</p> <p>Coinbase反洗錢全球主管Valerie-Leila Jaber表示，這是一個真正的預警系統，可協助它們識別及凍結非法資產，以讓執法部門得以追回它們，對於保護受害者及更廣泛的生態系統極為重要。</p> </div></div></div>
2025/8/22 08:00作者陳曉莉https://www.ithome.com.tw/news/170745
【資安日報】8月21日，AI瀏覽器可被誘騙，引導至冒牌電商網站自動下單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧已是大勢所趨，許多應用程式都導入相關功能，有多家瀏覽器業者加入競爭行列，AI業者也試圖以此跨足瀏覽器市場，改變使用者上網的生態，但近期有資安業者提出警告，整合AI代理程式的瀏覽器為駭客製造新的攻擊面，駭客未來下手的對象很可能不是使用者，而是鎖定瀏覽器搭載的AI機器人。</p> <p>在近期的資安漏洞揭露上，蘋果修補已遭利用的圖像框架元件資安漏洞非常受到各界關注，並表示已被用於極度複雜的攻擊行動；另一方面，Google也發布Chrome更新，修補由AI資安代理程式Big Sleep找出的高風險漏洞。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170746"><strong style="font-size: 22px;">Perplexity推出的AI瀏覽器Comet可被誘騙，研究人員引導至冒牌電商網站自動下單</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68a2d83e9b7f2d60960213b4_image 2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68a2d83e9b7f2d60960213b4_image%202.png" style="width: 300px; float: right;" /></a></p> <p>生成式AI已逐漸融入你我的生活，其中一項就是被整合到瀏覽器當中，不僅常見的瀏覽器Chrome、Edge、Brave已整合AI助理，AI業者Perplexity也推出自家瀏覽器Comet、OpenAI為ChatGPT加入Agent Mode，試圖顛覆使用者的上網體驗，然而整合AI代理程式帶來的便利，也可能成為攻擊者眼中的肥羊，他們有可能誘騙AI機器人上當，讓它們存取釣魚網站、假電商平臺，或是透過隱匿的惡意提示進行互動，過程中完全不會有使用者介入。</p> <p>資安業者Guardio提出警告，這些AI瀏覽器雖然能透過代理程式機器人將使用者處理電子郵件、線上購物等上網活動自動化，但他們的研究結果發現，這些便利的背後存在著資安隱憂，原因是在導入這種代理AI機制之後，也為瀏覽器帶來AI的相關弱點，而有可能在沒有完整的資訊下採取行動、過於容易信任，並且在人類自然會存疑的情況下執行有問題的指示。</p> <p>換言之，AI瀏覽器有可能在使用者不知情的情況下，點選、下載、處理敏感資料。Guardio指出，在瀏覽器整合AI之後，攻擊者不再需要愚弄使用者，而是只要對AI下手，就能造成使用者損失，他們稱呼這種新的詐騙模式為Scamlexity。</p> <p><a href="https://www.ithome.com.tw/news/170742"><strong style="font-size: 22px;">北韓駭客Kimsuky濫用GitHub散布XenoRAT木馬，攻擊駐韓歐洲大使館</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/espionage-campaign-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/espionage-campaign-2.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Trellix揭露2025年3月至7月間，疑與北韓駭客組織Kimsuky相關的攻擊者，針對駐首爾多個歐洲國家大使館與政府單位發動至少19起魚叉式郵件攻擊，並濫用GitHub作為隱蔽的命令與控制（C2）通道，最終投送XenoRAT以獲取對受害系統的持續存取權限。該行動截至7月底仍被觀測活躍，顯示其對外交體系的滲透行動尚未停止。</p> <p>攻擊者以外交往來為標題設計郵件誘餌，常冒用真實外交官或機構名義，附件多為受密碼保護的ZIP檔，實際內含偽裝成PDF的Windows捷徑檔。一旦啟動，檔案會執行混淆的PowerShell指令碼，在記憶體內執行並連線至GitHub下載後續惡意載荷，並透過排程工作建立持續化。</p> <p>在初期偵察階段，惡意程式會蒐集作業系統版本、安裝時間、開機時刻、執行中程序、裝置型態與IP等資訊。這些資料會被格式化後，透過攻擊者預先寫死的GitHub個人存取權杖，以 GitHub Contents API上傳到攻擊者私有儲存庫的特定目錄，檔名含IP與時間戳以方便分類。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ai-website-builder-lovable-increasingly-abused-for-malicious-activity/">AI網站生成工具Lovable遭濫用，駭客以此打造釣魚網頁、詐欺網站</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/russian-state-hackers-exploit-cisco-router-vulnerability/">FBI示警，俄羅斯駭客鎖定思科路由器7年前的老舊已知漏洞下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-steal-microsoft-logins-using-legitimate-adfs-redirects/">藉由ADFS重新導向，駭客企圖竊取微軟服務的登入帳密</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-sni5gect-attack-targets-5g/">Sni5Gect攻擊手法鎖定5G網路而來，可竊取訊息並注入有效酬載</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170738"><strong style="font-size: 22px;">蘋果緊急修補ImageIO元件的零時差漏洞</strong></a></p> <p>8月20日蘋果針對手機、平板電腦、Mac電腦發布緊急更新，修補一項已在極度複雜的攻擊行動裡，用來攻擊特定人士的資安漏洞CVE-2025-43300。</p> <p>這項漏洞出現在名為ImageIO的圖像框架元件，為記憶體越界寫入的問題，一旦此元件處理有問題的圖片檔案，就有可能造成記憶體中斷。此漏洞由蘋果自行發現，該公司推出iOS 18.6.2、iPadOS 18.6.2、iPadOS 17.7.10，以及macOS Sequoia 15.6.1、Sonoma 14.7.8、Ventura 13.7.8進行修補。</p> <p>雖然蘋果並未透露這項漏洞的危險程度，但根據漏洞管理業者Tenable的評估，該漏洞風險值達到9.8（滿分10分），屬重大層級，相當危險，用戶應儘速套用相關更新。</p> <p><a href="https://www.ithome.com.tw/news/170748"><strong style="font-size: 22px;">Big Sleep再次立功，Google修補AI找到的Chrome資安漏洞</strong></a></p> <p>8月19日Google發布Chrome電腦版更新139.0.7258.138、139.0.7258.139，目的是修補一項透過AI代理程式Big Sleep找到的記憶體越界寫入漏洞CVE-2025-9132。同日，Chrome安卓版139.0.7258.143發布，亦修補這項漏洞。</p> <p>此漏洞出現在JavaScript引擎V8，攻擊者可透過特製的HTML網頁遠端觸發，而有可能導致記憶體堆疊出現中斷的現象，CVSS風險為8.8分，為高風險漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/major-password-managers-can-leak-logins-in-clickjacking-attacks/">6款密碼管理器存在點擊挾持弱點，恐洩露機密資訊</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170747"><strong style="font-size: 22px;">微軟打算限縮部分中國MAPP成員存取內容，原因是中國政府傳出參與SharePoint零時差漏洞攻擊</strong></a></p> <p>一個月前微軟SharePoint伺服器爆發零時差漏洞ToolShell（CVE-2025-53770）的攻擊行動，微軟證實此事，並點名有3組中國駭客組織Linen Typhoon、Violet Typhoon，以及Storm-2603從事漏洞利用攻擊，如今這起事故新的發展，傳出中國政府涉及這波活動，迫使微軟採取相關措施因應。</p> <p>根據路透社的報導，8月20日微軟表示，在中國政府疑似參與SharePoint漏洞攻擊活動的情況下，他們決定限縮部分中國企業對於資訊安全弱點預警系統微軟主動防護計畫（Microsoft Active Protections Program，MAPP）的存取。這些公司未來將不會收到漏洞的概念驗證程式碼（PoC），原因是這些程式碼雖然能協助資安人員儘快加強防護，但也能被攻擊者搶先一步用於網路犯罪。</p> <p>不過，究竟有那些公司遭到管制，以及確切限制內容，微軟並未說明。對於攻擊事故的調查進展，也沒有進一步透露。</p> <p><a href="https://www.ithome.com.tw/news/170625"><strong style="font-size: 22px;">網頁伺服器NGINX原生支援ACME，現可自動申請與更新TLS憑證</strong></a></p> <p>NGINX開始加入原生ACME（Automatic Certificate Management Environment）協定支援，系統管理員可直接在設定檔中完成TLS憑證的申請與自動更新，無需額外安裝Certbot等外部工具。此功能已隨官方Linux套件與NGINX Plus同步提供，用戶更新版本並啟用動態模組後即可使用。</p> <p>ACME是Let's Encrypt等憑證機構採用的自動化協定，用於簡化憑證申請與驗證流程。之前在NGINX部署環境要自動更新憑證，需仰賴外部程式與排程工具，並在完成簽發後重新載入設定，過程中存在額外的維護成本與風險。而原生ACME支援將申請、驗證與安裝整合到伺服器內部流程，讓設定與維護更加直接。</p> <p>目前版本的限制包括僅支援HTTP-01挑戰（HTTP-01 Challenge），不支援萬用字元憑證與正規表示式網域，也未支援外部帳號綁定。此外，必須確保80埠可供ACME挑戰使用，並建議妥善規畫憑證狀態儲存路徑以保存金鑰與憑證狀態，避免因伺服器重啟導致重新簽發。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170735"><strong>【8月20日】駭客打造串連SAP NetWeaver兩大漏洞的作案工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170718"><strong>【8月19日】勒索軟體Crypto24用EDR廠商工具卸載EDR代理程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170696"><strong>【8月18日】臺灣網站主機代管業者傳出遭駭客組織UAT-7237入侵</strong></a></p> </div></div></div>
2025/8/21 18:29作者周峻佑https://www.ithome.com.tw/news/170750
Perplexity推出的AI瀏覽器Comet可被誘騙，研究人員引導至冒牌電商網站自動下單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI已逐漸融入你我的生活，其中一項就是被整合到瀏覽器當中，不僅常見的瀏覽器<a href="https://www.ithome.com.tw/news/164835">Chrome</a>、<a href="https://www.ithome.com.tw/news/170294">Edge</a>、<a href="https://www.ithome.com.tw/news/159622">Brave</a>已整合AI助理，AI業者Perplexity也推出<a href="https://www.ithome.com.tw/news/169969">自家瀏覽器Comet</a>、OpenAI為ChatGPT加入<a href="https://www.ithome.com.tw/news/170121">Agent Mode</a>，試圖顛覆使用者的上網體驗，然而整合AI代理程式帶來的便利，也可能成為攻擊者眼中的肥羊，他們有可能誘騙AI機器人上當，讓它們存取釣魚網站、假電商平臺，或是透過隱匿的惡意提示進行互動，過程中完全不會有使用者介入。</p> <p><a href="https://guard.io/labs/scamlexity-we-put-agentic-ai-browsers-to-the-test-they-clicked-they-paid-they-failed">資安業者Guardio提出警告</a>，這些AI瀏覽器雖然能透過代理程式機器人將使用者處理電子郵件、線上購物等上網活動自動化，但他們的研究結果發現，這些便利的背後存在著資安隱憂，原因是在導入這種代理AI機制之後，也為瀏覽器帶來AI的相關弱點，而有可能在沒有完整的資訊下採取行動、過於容易信任，並且在人類自然會存疑的情況下執行有問題的指示。</p> <p>換言之，AI瀏覽器有可能在使用者不知情的情況下，點選、下載、處理敏感資料。Guardio指出，在瀏覽器整合AI之後，攻擊者不再需要愚弄使用者，而是只要對AI下手，就能造成使用者損失，他們稱呼這種新的詐騙模式為Scamlexity。</p> <p>為了驗證上述的理論，Guardio挑選AI業者Perplexity出品的Comet進行測試，設置3種場景來進行實驗，從冒牌Walmart電商網站、用於攻擊行動的富國銀行（Wells Fargo）釣魚網域，對瀏覽器的AI代理程式進行ClickFix網釣攻擊，藉由在偽造的CAPTCHA圖靈驗證機制埋入提示注入，從而直接控制代理程式，該公司將這種用於對AI下手的手法稱做PromptFix。</p> <p>在攻擊模擬嘗試時，Guardio首先測試其最常主打的功能一項功能，那就是協助用戶購買特定的物品，找到有貨的電商網站下單並進行結帳。他們透過AI網頁製作工具Lovable打造了冒牌Walmart商城進行測試，要求Comet的AI購買Apple Watch，結果瀏覽器在幾乎沒有察覺異狀的情況下，直接存取假商城下單，並填入瀏覽器儲存的信用卡資料及地址完成購買，過程中完全沒有要求使用者確認。</p> <p>接著他們要以用戶會透過AI處理電子郵件信箱收到的特定郵件為背景，使用ProtonMail服務寄送釣魚郵件，研究人員假冒富國銀行的投資經理寄送，並於信件內容挾帶一個真實的釣魚網站網址，但該網站並未被Google Safe Browsing識別有害。結果Comet在收到電子郵件後，就直接標記為待辦事項，並在未經過驗證的情況下點選連結，要求使用者輸入相關帳密，甚至協助填寫表單。</p> <p>最後一種則是涉及提示注入的網釣手法PromptFix，Guardio結合對針對人類的ClickFix手法，他們將用於欺騙人類複製惡意指令的假圖靈驗證網頁，在隱藏的文字方塊埋入對AI代理提示注入的指令，一旦瀏覽器存取該網頁，就會直接讀取這些提示。</p> </div></div></div>
2025/8/21 16:27作者周峻佑https://www.ithome.com.tw/news/170746
微軟打算限縮部分中國MAPP成員存取內容，原因是中國政府傳出參與SharePoint零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個月前微軟SharePoint伺服器<a href="https://www.ithome.com.tw/news/170162">爆發零時差漏洞ToolShell（CVE-2025-53770）的攻擊行動</a>，<a href="https://www.ithome.com.tw/news/170221">微軟證實此事</a>，並點名有3組中國駭客組織Linen Typhoon、Violet Typhoon，以及Storm-2603從事漏洞利用攻擊，如今這起事故新的發展，傳出中國政府涉及這波活動，迫使微軟採取相關措施因應。</p> <p><a href="https://www.reuters.com/sustainability/boards-policy-regulation/microsoft-scales-back-chinese-access-cyber-early-warning-system-2025-08-20/">根據路透社的報導</a>，8月20日微軟表示，在中國政府疑似參與SharePoint漏洞攻擊活動的情況下，他們決定限縮部分中國企業對於資訊安全弱點預警系統的存取。這些公司未來將不會收到漏洞的概念驗證程式碼（PoC），原因是這些程式碼雖然能協助資安人員儘快加強防護，但也能被攻擊者搶先一步用於網路犯罪。</p> <p>不過，究竟有那些公司遭到管制，以及確切限制內容，微軟並未說明。對於攻擊事故的調查進展，也沒有進一步透露。</p> <p>這裡提及的預警系統，指的是微軟主動防護計畫（Microsoft Active Protections Program，MAPP）。根據微軟與多家資安業者的調查結果，中國政府很可能參與其中，這樣的現象引起資安專家懷疑，MAPP的情資可能遭到洩露而引發大規模災情。</p> <p>微軟先後在6月24日、7月3日、7月7日向MAPP專案成員通報ToolShell漏洞的細節，巧合的是，微軟與資安業者Check Point都在7月7日發現漏洞第一次利用的情況，因此有專家推測，駭客突然大肆嘗試利用漏洞，最有可能就是有MAPP成員濫用從微軟取得的情報。</p> <p>值得留意的是，中國MAPP成員違反保密協定已非首例，過去2012年時，微軟曾將<a href="https://www.ithome.com.tw/news/73537">違反保密協定的中國迪普科技（DPTech Technologies）</a>從MAPP合作名單剔除。</p> </div></div></div>
2025/8/21 17:36作者周峻佑https://www.ithome.com.tw/news/170747
Google修補AI找到的Chrome資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月19日Google發布Chrome電腦版更新139.0.7258.138、139.0.7258.139，目的是修補一項透過AI代理程式Big Sleep找到的記憶體越界寫入漏洞CVE-2025-9132。同日，Chrome<a href="https://chromereleases.googleblog.com/2025/08/chrome-for-android-update_01416888669.html">安卓版139.0.7258.143</a>發布，亦修補這項漏洞。</p> <p>此漏洞出現在JavaScript引擎V8，攻擊者可透過特製的HTML網頁遠端觸發，而有可能導致記憶體堆疊出現中斷的現象，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-9132">CVSS風險為8.8分</a>，為高風險漏洞。</p> <p>Big Sleep是Project Zero與DeepMind共同研發的AI代理程式，號稱能找出模糊測試工具OSS-Fuzz無法察覺的資安弱點，Google最早<a href="https://www.ithome.com.tw/news/165835">在去年11月發表</a>，當時找出了SQLite的堆疊緩衝區下溢漏洞，今年6月找到即<a href="https://www.ithome.com.tw/news/170101">將被用於攻擊行動的另一個SQLite漏洞CVE-2025-6965</a>。</p> </div></div></div>
2025/8/21 18:10作者周峻佑https://www.ithome.com.tw/news/170748
OpenAI單月營收已超過10億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI財務長Sarah Friar周三（8/20）接受CNBC《Squawk Box》節目的專訪，<a href="https://www.youtube.com/watch?v=8MVlZZ9_t9Y" target="_blank">透露出該公司在今年7月的單月營收已超過10億美元</a>，但GPU及運算能力永遠都不夠。</p> <p>OpenAI在各方面的腳步都飛快。2022年年底才上線的ChatGPT迄今已吸引了7億名每週活躍用戶；<a href="https://www.ithome.com.tw/news/169450" target="_blank">日前外電才報導</a>，根據OpenAI今年6月的營收，其年度經常性收入（Annual Recurring Revenue，ARR）已突破100億美元，才隔了一個月，就突破了120億美元。</p> <p>不過Friar也表示，現在OpenAI所面臨的最大壓力就是運算能力無法滿足AI需求，而這也是該公司<a href="https://www.ithome.com.tw/news/167107" target="_blank">推出Stargate</a>，或不斷投資運算資源的原因，同時還需要更多的合作夥伴來擴大供應與分擔風險。</p> <p>OpenAI共同創辦人暨執行長Sam Altman上周回應外界的<a href="https://www.ithome.com.tw/news/170416" target="_blank">AI泡沫化說法</a>時，向包括<a href="https://www.theverge.com/ai-artificial-intelligence/759965/sam-altman-openai-ai-bubble-interview" target="_blank">The Verge</a>在內的媒體表示，當泡沫發生時，即便是聰明人也可能會對某個真實的核心過度興奮，導致不理性的投資或吹捧，他同意現在的AI正是如此。</p> <p>然而，Altman也認為，長遠來看，當泡沫破滅後，AI仍將帶來巨大的經濟效益，因此OpenAI依然計畫投入數兆美元來建置基礎設施，確保長期優勢。</p> <p>身為AI領域的龍頭，OpenAI身價不斷上漲，<a href="https://www.ithome.com.tw/news/168182" target="_blank">該公司甫於今年3月底展開400億美元的融資活動</a>，估值為3,000億美元，近日則同意員工對外出售價值60億美元的股票，估值已然提高至5,000億美元。</p> </div></div></div>
2025/8/21 15:25作者陳曉莉https://www.ithome.com.tw/news/170743
駭客濫用GitHub散布XenoRAT木馬，攻擊駐韓歐洲大使館
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Trellix<a href="https://www.trellix.com/blogs/research/dprk-linked-github-c2-espionage-campaign/">揭露</a>2025年3月至7月間，疑與北韓駭客組織Kimsuky相關的攻擊者，針對駐首爾多個歐洲國家大使館與政府單位發動至少19起魚叉式郵件攻擊，並濫用GitHub作為隱蔽的命令與控制（C2）通道，最終投送XenoRAT以獲取對受害系統的持續存取權限。該行動截至7月底仍被觀測活躍，顯示其對外交體系的滲透行動尚未停止。</p> <p>攻擊者以外交往來為標題設計郵件誘餌，常冒用真實外交官或機構名義，附件多為受密碼保護的ZIP檔，實際內含偽裝成PDF的Windows捷徑檔。一旦啟動，檔案會執行混淆的PowerShell指令碼，在記憶體內執行並連線至GitHub下載後續惡意載荷，並透過排程工作建立持續化。</p> <p>在初期偵察階段，惡意程式會蒐集作業系統版本、安裝時間、開機時刻、執行中程序、裝置型態與IP等資訊。這些資料會被格式化後，透過攻擊者預先寫死的GitHub個人存取權杖，以 GitHub Contents API上傳到攻擊者私有儲存庫的特定目錄，檔名含IP與時間戳以方便分類。</p> <p>同樣機制也作為發送指令的管道，惡意程式定期讀取儲存庫中的文字檔以取得最新RAT載點，攻擊者僅需更新該文字檔即可切換惡意載荷。</p> <p>最終的惡意程式通常會被藏在Dropbox或Daum等雲端儲存服務，並偽裝成一般的.rtf文件。當受害者下載這些檔案後，惡意指令碼會先修正檔案內容，使其成為合法的壓縮檔，然後將檔案解壓縮，接著惡意程式會直接在記憶體中執行，而不會在硬碟上留下可疑的執行檔案，降低被偵測的風險。</p> <p>研究人員發現，最終階段的惡意程式是經過混淆處理的XenoRAT變種，具備鍵盤側錄、螢幕截圖、攝影機與麥克風存取、檔案傳輸及遠端命令殼層等多項功能，可全面監控並操控受害者的電腦。</p> <p>攻擊者至少使用了兩個 GitHub 帳號，並透過多個主題化的私有儲存庫管理攻擊材料與紀錄。研究也發現，這些基礎設施與已知Kimsuky行動存在網路指標重疊，且部分雲端主機位於首爾。目標選擇、社交工程內容與工具鏈均符合Kimsuky既有模式，Trellix有一定的信心認為此行動是Kimsuky所為，並指出其活動時間作息可能位於UTC+08區域。</p> </div></div></div>
2025/8/21 15:55作者李建興https://www.ithome.com.tw/news/170742
Google發表Gemini for Home，更新Gemini Live
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在周三（8/20）舉行的Made by Google 2025中<a href="https://blog.google/products/google-nest/gemini-for-home/" target="_blank">發表了新的Gemini for Home</a>，能以更複雜的指令控制家中的智慧裝置，預計於今年10月開始預覽；同一天Google也更新了Gemini Live，整合更多Google應用。不管是Gemini for Home或Gemini Live都是<a href="https://www.ithome.com.tw/news/167889" target="_blank">用來取代Google Assistant</a>的工具。</p> <p><a href="https://www.ithome.com.tw/news/164458" target="_blank">Gemini Live是去年伴隨著Pixel 9系列所發表的服務</a>，只要長按電源鍵或說聲「Hey Google」就能召喚Gemini Live，它能與使用者以語音來回對話，當時Gemini Live亦已整合了Keep、Tasks與Utilities等Google應用。</p> <p><a href="https://blog.google/products/gemini/gemini-live-updates-august-2025/" target="_blank">新版的Gemini Live導入了即時視覺輔助功能</a>，可在使用者分享相機畫面時，直接於螢幕上標註提示，不管是要挑選球鞋、辨識工具或學習新知識等；此外，Google強化了Gemini Live的語音表達能力，讓它具備更栩栩如生的語調與節奏；亦新增對Messages、Phone及Clock等Google應用的整合，並強化與Maps的整合。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0821-Visual%20guidance%20in%20Gemini%20Live_Pixel%2010-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Gemini Live與更多應用程式的整合，代表使用者可於對話中新增提醒、建立購物清單，也能在一邊導航的情況下，一邊請Gemini Live傳簡訊告訴友人可能會遲到的訊息。</p> <p>Google說，Gemini已經改變了人們對於行動裝置上AI助理功能的期待，此一AI助理可以存取最先進的AI，隨時準備集思廣益、解決問題或是與使用者進行任何主題的共同創作。基於同樣強大AI模型的Gemini for Home，具備了專為家庭設計的獨特功能，可協助家中每一個成員管理所有家中裝置的複雜任務。</p> <p>現在使用者仍可藉由「Ok,Google」來呼叫Gemini for Home，但不必再使用如同Google Assistant的僵化指令，而是能說出更細緻或複雜的請求，例如請它「播放1990年獲獎的年度歌曲」，或者是「關閉除了我臥室之外的其它電燈」，也能要求它「調暗所有燈光並將溫度設為26度」，或是「把製作青醬烤雞義大利麵的原料加到我的購物清單」。</p> <p>此外，在Gemini模型的支持下，Gemini for Home也能回答使用者的任何問題，例如問它「一年之中最適合遊覽希臘島嶼的時間」等。</p> <p>Gemini for Home將逐步取代Google Assistant以控制Google Nest裝置，未來也可望控制其它相容於Google Home的第三方裝置。</p> </div></div></div>
2025/8/21 15:05作者陳曉莉https://www.ithome.com.tw/news/170741
Google發表Pixel 10系列手機，美國版不再支援實體SIM卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三（8/20）發表了全新的Pixel 10系列手機，<a href="https://blog.google/products/pixel/google-pixel-10-pro-xl/#moderndesign" target="_blank">包括6.3吋的Pixel 10、同樣6.3吋的Pixel 10 Pro，6.8吋的Pixel 10 Pro XL</a>，以及6.4吋/8吋的雙螢幕摺疊手機<a href="https://blog.google/products/pixel/google-pixel-10-pro-fold/" target="_blank">Pixel 10 Pro Fold</a>，它們都採用最新的<a href="https://blog.google/products/pixel/tensor-g5-pixel-10/" target="_blank">Tensor G5處理器</a>，首度支援Qi2無線充電，擁有7年的系統及安全更新，電池續航力超過30小時，價格介於799美元（26,490元新臺幣）至1,799美元之間，前3款將在8月28日開賣，摺疊機則預計於10月9日上市。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0821-Google%20Pixel%2010-series-2-960.jpg" style="width: 600px;" /></p> <p>Tensor G5採用台積電的3奈米製程，其張量處理單元（TPU）的功能提升了60%，平均CPU速度增加了34%，也是首款可運行最新Gemini Nano模型的晶片，其AI功能包括可於會議或對話間提供即時提示建議的Magic Cue，支援至少5種語言即時語音翻譯的Voice Translate，以及在通話過程中自動摘要的Call Notes with Actions，或是自動整理使用者一整天的活動，並生成日記式摘要的Personal Journal。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0821-Tensor%20G5.png" style="width: 600px;" /></p> <p>Google特別列出了<a href="https://blog.google/products/pixel/pixel-10-camera-features/" target="_blank">Pixel 10系列的相機功能</a>，其中，標準版的Pixel 10首度擁有5倍長焦鏡頭，藉由AI可達到10倍準光學品質，以及最多20倍的AI變焦。Pixel 10 Pro與Pixel 10 Pro XL上的Pro Res Zoom則能將變焦範圍擴展至100倍，以用來拍攝野生動物、風景與地標。</p> <p>Camera Coach可透過Gemini模型，提供光線及構圖等建議，指導使用者拍出更好的照片；Auto Best Take則會在拍攝合照時自動啟用，可於幾秒內分析150幀的照片，尋找每個人恰到好處的畫面並將它們結合；而在Google Photos中，使用者只要口語化地敘述所要執行的動作就可輕易編輯照片，像是移除反射或炫光等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0821-photo%20editi-Pixel%2010-600.png" style="width: 600px;" /></p> <p>Pixel 10系列亦首度支援無線充電聯盟（WPC）於2023年提出的Qi2標準，其主要特色之一為磁吸定位，能讓手機與充電板更容易對齊，提升充電效率，類似蘋果的MagSafe技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0821-Qi2-Pixel%2010.png" style="width: 600px;" /></p> <p>此外，Pixel 10、Pixel 10 Pro與Pixel 10 Pro XL在美國只提供雙eSIM功能，其它市場則有一個eSIM及一個實體SIM插槽，至於Pixel 10 Pro Fold則維持同時具備eSIM與實體插槽的配置。蘋果2022年在美國發表的iPhone 14就只有eSIM。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/8/21 12:40作者陳曉莉https://www.ithome.com.tw/news/170740
IBM與NASA開源太陽圈物理AI模型Surya，更精準預測太陽風暴避免地球災損
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM與NASA<a href="https://research.ibm.com/blog/surya-heliophysics-ai-model-sun">共同發布</a>Surya，這是一款針對太陽圈物理（Heliophysics）研究設計的開源人工智慧基礎模型，現已在Hugging Face平臺公開。該模型能處理高解析度的太陽觀測資料，並應用於太陽風暴等太空天氣的預測。研究團隊同時釋出經整理的太陽圈物理資料集，提供學術界與產業界作為進一步研究與應用的基礎。</p> <p>Surya的訓練資料來自NASA太陽動力學觀測臺（SDO）長達9年的高解析太陽影像，這些影像檔案尺寸比一般人工智慧訓練資料大上十倍，研究團隊因此採取多架構解決方案，以兼顧龐大資料處理與運算效率。模型支援多項太陽圈物理研究任務，包括太陽閃焰（耀斑）分類、太陽風速推估、EUV光譜預測以及活躍區域的出現分析。</p> <p>在初步測試中，Surya在閃焰二元分類的準確率較既有方法提升約16％。此外，模型首次嘗試以影像形式標示閃焰可能發生的位置，最長可提前兩小時進行視覺化預測，對於需要即時反應的航太、電信與電力基礎設施而言，具備實際應用價值。目前資料還屬研究性質，後續仍需透過更多實際案例與資料加以驗證。</p> <p>與Surya同步釋出的SuryaBench資料集涵蓋多個子領域，包括閃焰預測、太陽風、日冕外推（Coronal Extrapolation）、活躍區域分割與活躍區域出現，並提供SDO_training作為通用訓練集。部分資料集的時間範圍涵蓋2011年至2024年，以HDF5格式存放，單張解析度最高達4096×4096，適合高精度特徵學習與基準測試。</p> <p>可靠的太陽天氣預測對現代基礎設施安全至關重要，強烈太陽活動可能影響衛星運行、航太任務、電網穩定度與通訊系統的可用性，甚至干擾GPS定位與航空導航。隨著人工智慧模型與開源資料集的釋出，研究人員與產業開發者可以在Hugging Face上直接存取並針對特定應用進行微調，建置符合需求的監測與預警系統。</p> <p>這項發布是IBM與NASA長期合作計畫的一部分，雙方先前已共同釋出涵蓋氣候與天氣領域的Prithvi系列基礎模型，而Surya則將人工智慧應用範疇擴展至太陽圈物理，進一步展現人工智慧在太空天氣研究中的可能性。</p> </div></div></div>
2025/8/21 11:32作者李建興https://www.ithome.com.tw/news/170737
蘋果緊急修補ImageIO元件的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月20日蘋果針對手機、平板電腦、Mac電腦發布緊急更新，修補一項已在極度複雜的攻擊行動裡，用來攻擊特定人士的資安漏洞CVE-2025-43300。</p> <p>這項漏洞出現在名為ImageIO的圖像框架元件，為記憶體越界寫入的問題，一旦此元件處理有問題的圖片檔案，就有可能造成記憶體中斷。此漏洞由蘋果自行發現，該公司推出<a href="https://support.apple.com/zh-tw/124925">iOS 18.6.2、iPadOS 18.6.2</a>、<a href="https://support.apple.com/zh-tw/124926">iPadOS 17.7.10</a>，以及<a href="https://support.apple.com/zh-tw/124927">macOS Sequoia 15.6.1</a>、<a href="https://support.apple.com/zh-tw/124928">Sonoma 14.7.8</a>、<a href="https://support.apple.com/zh-tw/124929">Ventura 13.7.8</a>進行修補。</p> <p>雖然蘋果並未透露這項漏洞的危險程度，但根據漏洞管理業者Tenable的評估，<a href="https://www.tenable.com/cve/CVE-2025-43300">該漏洞風險值達到9.8</a>（滿分10分），屬重大層級，相當危險，用戶應儘速套用相關更新。</p> <p>此為蘋果今年修補第6個出現攻擊行動的零時差漏洞，他們在一月至三月，先後修補了CVE-2025-24085、CVE-2025-24200、CVE-2025-31201，到了4月，他們又修補CVE-2025-31200與CVE-2025-31201。</p> </div></div></div>
2025/8/21 11:49作者周峻佑https://www.ithome.com.tw/news/170738
Meta AI翻譯Reels可自動配音並同步嘴型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta正式向臉書與Instagram創作者<a href="https://creators.facebook.com/blog/meta-ai-translations">開放Meta AI翻譯功能</a>，讓Reels影片能透過自動配音與嘴型對齊功能進行跨語言呈現。此功能免費提供，首波支援英語與西班牙語雙向翻譯，臉書方面限於粉絲數達1,000以上的創作者使用，Instagram則全面開放給所有公開帳號。</p> <p>創作者可於發布Reels前啟用翻譯，系統會以本人聲線合成翻譯音軌並對齊嘴型，使影片呈現更自然。創作者可隨時開啟或關閉此功能，也可選擇在發布前進行審核，審核結果不會影響原始版本，觀眾端則依其語言偏好自動接收相應版本，並可在設定中選擇停用翻譯。</p> <p>Meta也新增了觀看數的語言類別統計，讓創作者能快速判斷不同語言版本的觸及與表現，官方建議創作者在製作時採用面向鏡頭的直述型內容，保持清晰發音並減少背景噪音，以提升翻譯與嘴型同步的準確度。臉書端目前支援最多兩位講者，避免同時說話可進一步提升辨識品質。</p> <p>除自動翻譯外，Meta也在臉書提供上傳自製多語音軌的選項，擁有粉絲專頁的創作者可透過Meta Business Suite的Reels編輯器，替單一影片上傳最多20條不同語言的音軌，並標示語言類別。音軌可在發布前後進行增刪或替換，觀眾依其語言設定自動聽取對應版本，該功能讓已經具備多語內容的創作者能更有效率地發布影片，降低多語製作的負擔。</p> </div></div></div>
2025/8/21 08:22作者李建興https://www.ithome.com.tw/news/170733
Fastly發現網站AI流量多來自爬蟲，即時擷取卻成最大壓力源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端業者Fastly在<a href="https://www.fastly.com/blog/ai-bots-q2-2025-trends-fastlys-threat-insights-report">2025第二季的Threat Insights報告</a>指出，人工智慧機器人正在改變網站流量結構，雖然人工智慧機器人流量的80％來自爬蟲，不過，真正對基礎設施造成壓力的是來自模型推理階段的即時擷取。即時截取工具在高峰甚至可對同一網站發出每分鐘3.9萬次請求，遠高於最大訓練爬蟲約每分鐘1千次，可能對未加以防護的網站形成類似DDoS的衝擊。</p> <p>根據Fastly的資料，人工智慧爬蟲流量主要由Meta、Google與OpenAI三大業者產生，合計占比高達95％，其中Meta單獨貢獻了52％，Google為23％，OpenAI則約20％。在即時擷取方面，OpenAI的ChatGPT-User與OAI-SearchBot為絕對大宗，合計占即時截取工具流量近98％。</p> <p>以區域來看，北美網站接收的人工智慧流量接近90％屬於爬蟲，歐洲、中東與非洲地區（EMEA）情況則相反，即時截取工具占59％，亞太（APAC）與拉丁美洲以爬蟲為主，但比例相對較低。產業面也呈現分化，教育與媒體娛樂流量以即時截取工具為主，分別為68％與54％，更容易受到即時查詢的高並行影響，相較之下，電商、醫療與公共部門超過90％流量為爬蟲。</p> <p>在內容來源方面，OpenAI的GPTBot雖不是最大流量來源，但覆蓋範圍最廣，以觸及的獨立網站數計算，其覆蓋率高達95％，採取的是廣度策略，而Meta策略則是深度索引，流量龐大但命中網站數較少。</p> <p>Common Crawl的CCBot特色則為每月兩星期的規律抓取，覆蓋約63％的人工智慧爬蟲觸及網站，長期被學術界與小型團隊用於研究資料蒐集。整體而言，訓練資料仍明顯偏重北美，在亞太地區，網站資料則主要由日本的軟銀（SoftBank）與NICT索引，這顯示亞太資料並非平均分布，而是傾向集中於日本，進一步影響模型可能展現出較接近日本的資訊樣貌。</p> <p>這些趨勢代表網站需要在政策與技術上雙重準備，策略層面上，官方建議，可透過robots.txt與X-Robots-Tag明確宣告允許或拒絕的範圍，並要求人工智慧爬蟲提供可驗證的身分資訊，如公開IP與反向DNS。技術層面則需導入速率限制、來源挑戰與即時監測，確保能將正常的自動化與惡意或偽裝流量加以區隔。</p> <p>Fastly強調，這些結論來自其對超過13萬個應用與API的流量分析樣本，每月平均涵蓋6.5兆請求。</p> </div></div></div>
2025/8/21 08:16作者李建興https://www.ithome.com.tw/news/170730
勒索軟體RansomExx以ChatGPT應用程式為誘餌，搭配PipeMagic後門及CLFS零時差漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://www.ithome.com.tw/news/168323">今年4月的例行更新（Patch Tuesday）</a>修補零時差漏洞<a href="https://www.ithome.com.tw/tags/cve-2025-29824">CVE-2025-29824</a>，並發布部落格文章指出，駭客組織Storm-2460鎖定有限數量的目標，將此漏洞用於散布勒索軟體RansomEXX，後續資安業者賽門鐵克發現勒索軟體駭客組織Play也加入漏洞利用的行列，如今又有資安業者公布新的調查結果。</p> <p>資安業者<a href="https://securelist.com/pipemagic/117270/">卡巴斯基</a>與<a href="https://habr.com/ru/companies/bizone/articles/936664/">BI.Zone</a>聯手，針對駭客於近期勒索軟體RansomEXX的攻擊行動當中，利用後門程式PipeMagic觸發上述漏洞的情況進行說明。</p> <p>卡巴斯基指出，RansomEXX於攻擊行動裡使用PipeMagic的情況最早可追溯到2022年，當時駭客針對東南亞工業而來，利用永恆之藍（EtneralBlue，CVE-2017-0144）入侵受害組織的基礎設施。但從2024年10月，駭客改以提供ChatGPT用戶端應用程式做為誘餌，對中東組織發動攻擊並散布PipeMagic，一旦這個假的ChatGPT用戶端程式啟動，就會透過AES解密，並利用Shell Code載入執行檔。值得一提的是，此惡意程式可藉由外掛程式擴充功能，駭客以Azure代管相關模組。</p> <p>而到了今年1月，卡巴斯基在中東及巴西發現新的PipeMagic感染跡象，此時駭客開始運用CVE-2025-29824。究竟攻擊者如何入侵受害組織，卡巴斯基沒提出說明，但指出他們運用微軟的說明索引檔案metafile.mshi充當惡意程式載入工具，解密並以WinAPI功能執行Shell Code。</p> <p>但除了上述MSHI檔案，卡巴斯基也看到以冒牌ChatGPT用戶端程式做為PipeMagic惡意程式載入工具的情況，此外，也有透過合法執行檔進行DLL挾持手法來達到目的，這次攻擊者使用的是Chrome更新元件，以此載入有問題的DLL檔。</p> <p>無論用那一種惡意程式載入工具，駭客最終都在受害電腦執行PipeMagic。此外，該後門程式至少支援3種外掛模組，其中一種可建立非同步通訊，一種能在記憶體內注入其他有效酬載並執行，最後一種是以C#及.NET打造而成的有效酬載注入工具。</p> <p>一旦駭客成功對目標電腦造成損害，他們就會試圖廣泛地橫向移動，並挖掘帳密資料。而在其中一項活動裡，駭客試圖執行dllhost.exe，並藉由Sysinternals套件提供的公用程式ProcDump，將LSASS處理程序的記憶體內容，轉存到指定的檔案，而這樣的手法，與先前微軟提及Storm-2460利用CVE-2025-29824的手段一致。</p> <p>BI.Zone對於駭客如何利用漏洞，以俄語提出說明，例如，為了和clfs.sys進行互動，攻擊者事先建置名為PDUDrv.blf的組態檔案，然後他們試圖進行權限提升，並將有效酬載注入winlogon.exe，接著就是利用ProcDump試圖取得使用者帳密，最終導致勒索軟體加密檔案。</p> </div></div></div>
2025/8/20 18:05作者周峻佑https://www.ithome.com.tw/news/170734
【資安日報】8月20日，駭客打造串連SAP NetWeaver兩大漏洞的作案工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月下旬SAP修補風險值滿分的零時差漏洞CVE-2025-31324，許多駭客組織加入了利用漏洞的行列，後續有另一個CVE-2025-42999也被用於攻擊行動，如今有三個駭客組織聯手，串連兩項漏洞打造作案工具，資安業者Onapsis提出警告，這些漏洞能反覆利用，甚至駭客的工具還可能對今年7月公布的反序列化漏洞發動攻擊。</p> <p>針對將零時差漏洞用於實際攻擊行動的情況，近期兩家俄羅斯資安業者也公布新的調查結果，他們指出勒索軟體RansomExx利用CVE-2025-29824提升權限的手法，最早可追溯到微軟公布這漏洞的三個月前。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170728"><strong style="font-size: 22px;">SAP NetWeaver今年兩大漏洞已被串連，駭客以此打造反序列化工具，用於繞過身分驗證並執行RCE攻擊</strong></a></p> <p>今年4月、5月，SAP先後修補已被實際用於攻擊行動的NetWeaver重大漏洞CVE-2025-31324、CVE-2025-42999，這兩個漏洞皆與Visual Composer開發伺服器有關，風險值分別為10分、9.1分，已有中國駭客、勒索軟體將這些漏洞用於實際攻擊，如今傳出又有駭客組織加入漏洞利用的行列。</p> <p>8月15日資安研究團隊VX Underground提出警告，駭客團體「Scattered Lapsus$ Hunters (UNC3944)」於即時通訊軟體Telegram的頻道聲稱，他們發布能利用SAP零時差漏洞的工具。這個UNC3944，是由幾個惡名昭彰的駭客組織ShinyHunters、Scattered Spider、Lapsus$集結而成的。</p> <p>長期追蹤SAP應用系統安全性的資安業者Onapsis，經過相關資料的研究之後，指出這些駭客實際上運用了CVE-2025-31324和CVE-2025-42999，並強調這些漏洞攻擊者能反覆利用，對此，他們呼籲IT人員要儘速修補，並與另一家資安業者Mandiant聯手打造掃描工具，供IT人員檢查SAP環境是否出現漏洞利用的跡象。</p> <p><a href="https://www.ithome.com.tw/news/170734"><strong style="font-size: 22px;">勒索軟體RansomExx以ChatGPT應用程式為誘餌，搭配PipeMagic後門及CLFS零時差漏洞發動攻擊</strong></a></p> <p>微軟在今年4月的例行更新（Patch Tuesday）修補零時差漏洞CVE-2025-29824，並發布部落格文章指出，駭客組織Storm-2460鎖定有限數量的目標，將此漏洞用於散布勒索軟體RansomEXX，後續資安業者賽門鐵克發現勒索軟體駭客組織Play也加入漏洞利用的行列，如今又有資安業者公布新的調查結果。</p> <p>資安業者卡巴斯基與BI.Zone聯手，針對駭客於近期勒索軟體RansomEXX的攻擊行動當中，利用後門程式PipeMagic觸發上述漏洞的情況進行說明。卡巴斯基指出，RansomEXX於攻擊行動裡使用PipeMagic的情況最早可追溯到2022年，而到了今年1月，卡巴斯基在中東及巴西發現新的PipeMagic感染跡象，此時駭客開始運用CVE-2025-29824。</p> <p>BI.Zone對於駭客如何利用漏洞，以俄語提出說明，例如，為了和clfs.sys進行互動，攻擊者事先建置名為PDUDrv.blf的組態檔案，然後他們試圖進行權限提升，並將有效酬載注入winlogon.exe，接著就是利用ProcDump試圖取得使用者帳密，最終導致勒索軟體加密檔案。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/australia-isp-iinet-data-breach-customer-accounts-stolen/">澳洲ISP業者iiNet資料外洩，28萬個電子郵件帳號遭竊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/181173/malware/blue-locker-ransomware-targeting-oil-gas-sector-in-pakistan.html">勒索軟體Blue Locker鎖定巴基斯坦石油、天然氣產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/apache-activemq-flaw-exploited-to.html">Apache ActiveMQ滿分漏洞遭到利用，駭客在雲端環境部署惡意軟體DripDropper</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/xenorat-malware-campaign-hits-multiple-embassies-in-south-korea/">惡意軟體XenoRAT鎖定駐韓大使館而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/new-godrat-trojan-targets-trading-firms.html">木馬程式GodRAT鎖定貿易公司下手</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170632"><strong style="font-size: 22px;">HTTP/2新漏洞MadeYouReset可引發大規模DoS攻擊</strong></a></p> <p>研究人員揭露HTTP/2新漏洞MadeYouReset，可使攻擊者繞過HTTP/2的防護機制，發動大規模阻斷服務（DoS）攻擊，甚至系統崩潰。這項漏洞是由以色列台拉維夫（Tel-Aviv）大學研究人員及Imperva合作發現，並由卡內基美隆大學電腦緊急應變小組協調中心（CERT/CC）公布。研究人員說，本漏洞從核心問題及破壞威力而言，可比2023年衝擊多項服務的Rapid Reset漏洞。</p> <p>MadeYouReset影響數項應用系統的HTTP/2實作，並被登記為CVE-2025-8671列管，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-8671">CVSS風險為7.5</a>。但值得一提的是，在個別專案出現的MadeYouReset，各家軟體開發團隊登記了自己的CVE編號，其中，開源Java網頁伺服器專案Apache Tomcat為CVE-2025-48989，F5 BIG-IP為CVE-2025-54500，開源Java網路應用框架Netty為CVE-2025-55163，風險值分別為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-48989">7.5</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-54500">6.9</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-55163">8.2</a>。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170732"><strong style="font-size: 22px;">為防堵帳號接管及供應鏈攻擊，PyPI宣布將封鎖無效網域名稱有關帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-08-13-unverified-by-day.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-08-13-unverified-by-day.png" style="width: 300px; float: right;" /></a></p> <p>駭客於NPM、PyPI上架惡意開發套件的情況相當氾濫，其中一種手法就是尋找曾經上架過，但目前已經棄用的套件名稱，重新註冊相同名稱及相關網域，然後上架惡意套件。一年前資安業者JFrog揭露這種手法，並稱做Revival Hijack，警告駭客已廣泛利用，如今PyPI儲存庫的管理群也採取行動，防堵有關攻擊。</p> <p>8月18日PyPI軟體基金會（PSF）宣布，為了防治攻擊者將廢棄網域名稱「復活」的供應鏈攻擊手法，他們現在開始會檢查套件開發者使用的網域是否過期，以防有人藉此接管PyPI用戶的帳號。這項措施將改善PyPI整體用戶的安全態勢，使得攻擊者想要利用過期（Expired）網域名稱，對用戶的PyPI帳號進行未經授權存取的難度增加。這項做法不盡完美，但能大幅減少這種看起來合法的攻擊面。</p> <p>針對採取上述新措施的原因，PSF指出，他們在6月初發現，有超過1,800個電子郵件信箱所使用的網域名稱，進入失效狀態。由於電子郵件信箱是驗證使用者帳號所有權最有力的指標，一旦相關的網域名稱過期，攻擊者就有可能重新註冊，發送電子郵件要求重設密碼，進而得到PyPI帳號的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/170719"><strong style="font-size: 22px;">TWNIC揭未來營運3核心策略，將透過加強域名安全、網路識別建構以數位信任為基礎的網路世界</strong></a></p> <p>國內負責域名管理及IP位址發放的台灣網路資訊中心（TWNIC）今天（8/19）舉辦25周年策略發布會，宣示未來經營將聚焦在3大核心策略，包括強化資安韌性、建構數位信任、深化國際合作，以提升臺灣的網路安全、強化社會的數位信任。TWNIC執行長余若凡表示：「我們希望建構以信任為中心的網路環境」。</p> <p>首先是強化基礎建設與資安韌性的策略上，包括強化Anycast架構、優化及推廣DNSSEC、強化國際資安認證及情資交換3個目標；在第2個策略的建構數位信任及驗證機制上，TWNIC從建立域名保護機制，避免域名遭到濫用著手，例如「綠色域名認證」、「域名安全鎖（RegistryLock）」，並建立域名濫用的通報機制。</p> <p>至於第3個策略的國際合作方面，加強和ICANN、FIRST、APNIC、NetBeacon、DNS-OARC等國際組織、社群的交流合作，為讓臺灣的域名技術和國際接軌，持續參與IETF等國際組織的標準制定活動。</p> <p><a href="https://www.ithome.com.tw/news/170617"><strong style="font-size: 22px;">微軟釋出Wassette，讓AI代理可從雲端安全載入Wasm工具</strong></a></p> <p>微軟開源釋出Wassette，這是一款以WebAssembly為基礎，針對人工智慧代理設計的安全導向執行環境，能透過MCP（Model Context Protocol）直接從OCI（Open Container Initiative）註冊庫取得WebAssembly元件，並在本機受控的沙箱中執行。此設計可讓人工智慧代理在缺少特定工具時，即時下載並啟用新功能，同時兼顧安全性與授權控管。</p> <p>Wassette以Wasmtime執行環境為基礎，提供與現代瀏覽器同等級的隔離機制，並採用預設拒絕的權限模型，在未取得明確授權前，元件無法存取檔案系統、網路或其他系統資源。當元件請求特定資源時，用戶需明確同意，避免未經授權的資料存取與外洩。同時Wassette支援使用Notation或Cosign等工具進行加密簽章驗證，確保元件來源可信。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170718"><strong>【8月19日】勒索軟體Crypto24用EDR廠商工具卸載EDR代理程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170696"><strong>【8月18日】臺灣網站主機代管業者傳出遭駭客組織UAT-7237入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170636"><strong>【8月15日】俄羅斯駭客發動網路間諜行動，鎖定前蘇聯國家挖掘網域控制器與系統帳密</strong></a></p> </div></div></div>
2025/8/20 18:19作者周峻佑https://www.ithome.com.tw/news/170735
為防堵帳號接管及供應鏈攻擊，PyPI宣布將封鎖無效網域名稱有關帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客於NPM、PyPI上架惡意開發套件的情況相當氾濫，其中一種手法就是尋找曾經上架過，但目前已經棄用的套件名稱，重新註冊相同名稱及相關網域，然後上架惡意套件。一年前<a href="https://www.ithome.com.tw/news/164865">資安業者JFrog揭露這種手法</a>，並稱做Revival Hijack，警告駭客已廣泛利用，<a href="https://blog.pypi.org/posts/2025-08-18-preventing-domain-resurrections/">如今PyPI儲存庫的管理群也採取行動</a>，防堵有關攻擊。</p> <p>8月18日<a href="https://blog.pypi.org/posts/2025-08-18-preventing-domain-resurrections/">PyPI軟體基金會（PSF）宣布</a>，為了防治攻擊者將廢棄網域名稱「復活」的供應鏈攻擊手法，他們現在開始會檢查套件開發者使用的網域是否過期，以防有人藉此接管PyPI用戶的帳號。這項措施將改善PyPI整體用戶的安全態勢，使得攻擊者想要利用過期（Expired）網域名稱，對用戶的PyPI帳號進行未經授權存取的難度增加。這項做法不盡完美，但能大幅減少這種看起來合法的攻擊面。</p> <p>針對採取上述新措施的原因，PSF指出，他們在6月初發現，有超過1,800個電子郵件信箱所使用的網域名稱，進入失效狀態。由於電子郵件信箱是驗證使用者帳號所有權最有力的指標，一旦相關的網域名稱過期，攻擊者就有可能重新註冊，發送電子郵件要求重設密碼，進而得到PyPI帳號的存取權限。</p> <p>PSF今年4月開始進行廣泛檢查，現在他們每天比對網域名稱的使用狀態，確認是否出現變動，一旦出現有開發者的網域名稱進入回收期，代表他們最初通過驗證的電子郵件信箱可能無法再受到信任，此時PSF會將先前已驗證的電子郵件信箱，改為尚未驗證的狀態，PSF強調，對於這些電子郵件信箱變成未驗證狀態的用戶，他們不會處理相關的密碼重設請求。</p> <p>對於PyPI用戶的部分，PSF建議用戶應新增第二個可用來驗證的電子郵件信箱，並啟用雙因素驗證（2FA），降低帳號遭到挾持的資安風險。</p> </div></div></div>
2025/8/20 16:20作者周峻佑https://www.ithome.com.tw/news/170732
AMD新專業繪圖處理器導入RDNA 4架構，中高階款先行
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_radeon_ai_pro_r9700_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年多前，AMD推出採用RDNA 3架構、內建AI加速器的專業繪圖處理器，名為<a href="https://www.ithome.com.tw/tags/amd-radeon-pro-W7000">Radeon Pro W7000系列</a>。今年5月台北國際電腦展期間，AMD發表新一代專業繪圖處理器，名為Radeon AI Pro R9000系列，採用RDNA 4架構、第二代AI加速器，也支援PCIe 5.0介面，這批產品線預計7月上市的首款機型R9700，預計有7個廠商推出，包含華擎（ASRock）、華碩、技嘉、Power Color、Sapphire、XFX、盈通（Yeston），在硬體規格方面，將配備32 GB容量的GDDR6記憶體，是專為單機系統AI推論、模型微調、複雜的創意工作負載，以及其他資料密集型工作流程等用途而設計的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD R9700-2025-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20R9700-2025-05-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/R9700-SPEC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R9700-SPEC.jpg" style="width: 600px;" /></a></p> <p>相較於現行的產品，例如<a href="https://www.ithome.com.tw/review/156523">AMD Radeon Pro W7900</a>與W7800，以及Nvidia GeForce RTX 4090，搭配第二代AI加速器的R9700，最高可提供兩倍的運算吞吐量，並且完整支援<a href="https://www.ithome.com.tw/review/167259">AMD發展的開放原始碼軟體堆疊ROCm</a>，因應發展高效能AI需要的硬體裝置控制能力與使用彈性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD AI Accelerator Strategy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20AI%20Accelerator%20Strategy.jpg" style="width: 600px;" /></a></p> <p>若需要更大運算效能，Radeon AI Pro R9700可擴充執行規模，用戶能以此組建配備多個GPU的系統組態，拓展記憶體與運算容量，供大型模型與平行處理的任務使用，能承擔複雜的模擬、即時著色或是同時運作的AI工作負載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R9700-Multi-GPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R9700-Multi-GPU.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R9700 Multi-GPU-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R9700%20Multi-GPU-2.jpg" style="width: 298px;" /></a></p> <p>到了7月下半，AMD宣布多家廠商的工作站系統將搭配Radeon AI Pro R9700，23日開始販售，但他們並未揭露廠商品牌，預計第三季將由板卡（AIB）合作廠商推出獨立GPU加速卡產品。</p> <p>而在運算相關規格方面，AMD強調R9700內建64個運算單元、128個第二代AI加速器，支援的資料型別涵蓋FP16、FP32、INT8、INT4，也因為導入RDNA 4架構而能處理FP8。而在RDNA 4架構的部分，他們也透露更多資訊，像是導入台積電4奈米製程、電晶體數量高達539億個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD RDNA 4-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA%204-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD RDNA 4-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA%204-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD RDNA COMPARISON.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA%20COMPARISON.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD RDNA 4-2025-02-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA%204-2025-02-3.jpg" style="width: 298px;" /></a></p> <p>由於R9700配備的GPU記憶體容量高達32 GB，AMD表示，能將整個AI模型執行在GPU記憶體當中，可用於應付大量詞元處理的大型語言模型提示，以及需要微調指令的模型，相較於配備16 GB記憶體的GPU，可提供5倍的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R9700-Performance-5X.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R9700-Performance-5X.jpg" style="width: 600px;" /></a></p> <p>關於AMD兩代專業繪圖處理器運算效能規格的差異，AMD將Radeon AI Pro R9700對比的既有產品，是Radeon Pro W7000系列的中高階款式W7800，應該意味著兩者的位階相近，例如，以運算單元的數量而言，R9700有64個，W7800有70個；在FP32向量運算的項目上，R9700效能為47.8 TFLOPS，W7800效能為44.7 TFLOPS。</p> <p>然而，其他資料格式的處理，R9700運算效能可達到W7800的兩倍、甚至四倍。例如，在FP16向量運算的項目上，R9700效能為191.4 TFLOPS，W7800效能為89.4 TFLOPS；在INT8矩陣運算的項目上，R9700效能為382.7 TOPS，W7800效能為89.4 TOPS；在INT4矩陣運算的項目上，R9700效能為765.5 TOPS，W7800效能為178.8 TOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R9700-W7800.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R9700-W7800.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD RDNA 4-2025-02-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA%204-2025-02-4.jpg" style="width: 298px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">AMD Radeon AI Pro R9700</span></strong><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●連接介面：PCIe 5.0 x16<br /> ●外觀尺寸：雙槽全高<br /> ●GPU架構：AMD RDNA 4<br /> ●串流處理器數量：4,096個（64個運算單元）<br /> ●光線追蹤加速器數量：64個<br /> ●AI加速器數量：128個<br /> ●內建記憶體容量：32 GB GDDR6、64 MB快取（AMD Infinity Cache）<br /> ●記憶體頻寬：640 GB/s<br /> ●視訊連接埠：3個DisplayPort 2.1a埠、1個HDMI 2.1b埠<br /> ●耗電量：300瓦<br /> ●支援繪圖處理API：DirectX 12、OpenGL 4.6</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/8/20 16:57作者李宗翰https://www.ithome.com.tw/review/170699
SAP NetWeaver今年兩大漏洞已被串連，駭客以此打造反序列化工具，用於繞過身分驗證並執行RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年<a href="https://www.ithome.com.tw/news/168625">4月</a>、<a href="https://www.ithome.com.tw/news/168935">5月</a>，SAP先後修補已被實際用於攻擊行動的NetWeaver重大漏洞<a href="https://www.ithome.com.tw/tags/cve-2025-31324">CVE-2025-31324</a>、<a href="https://www.ithome.com.tw/tags/cve-2025-42999">CVE-2025-42999</a>，這兩個漏洞皆與Visual Composer開發伺服器有關，風險值分別為10分、9.1分，已有中國駭客、勒索軟體將這些漏洞用於實際攻擊，如今傳出又有駭客組織加入漏洞利用的行列。</p> <p>8月15日<a href="https://x.com/vxunderground/status/1956341407011983538">資安研究團隊VX Underground提出警告</a>，駭客團體「Scattered Lapsus$ Hunters (UNC3944)」於即時通訊軟體Telegram的頻道聲稱，他們發布能利用SAP零時差漏洞的工具。這個UNC3944，是由幾個惡名昭彰的駭客組織<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>、<a href="https://www.ithome.com.tw/tags/scattered-spider">Scattered Spider</a>、<a href="https://www.ithome.com.tw/tags/lapsus">Lapsus$</a>集結而成的。</p> <p>對此，VX Underground表示，可以確定的是駭客已打造出攻擊工具，他們將相關程式碼上傳到網站，供其他研究人員進一步分析，但對於駭客說法的真實程度，VX Underground表示暫時無法進行驗證，不能確定攻擊者所滲透的管道，是否源自尚未揭露的零時差漏洞。</p> <p>長期追蹤SAP應用系統安全性的資安業者Onapsis，經過相關資料的研究之後，<a href="https://onapsis.com/blog/new-exploit-for-cve-2025-31324/">指出這些駭客實際上運用了CVE-2025-31324和CVE-2025-42999</a>，並強調這些漏洞攻擊者能反覆利用，對此，他們呼籲IT人員要儘速修補，並與另一家資安業者Mandiant聯手打造掃描工具，供IT人員檢查SAP環境是否出現漏洞利用的跡象。</p> <p>Onapsis強調，駭客巧妙地串連CVE-2025-31324和CVE-2025-42999，他們發布的反序列化工具能用來在受害環境部署Web Shell，以及直接使用作業系統命令進行寄生攻擊（LoL），而無須部署其他作案工具。更具體地來說，這些駭客先利用CVE-2025-31324，而能在未經身分驗證的情況下存取NetWeaver伺服器，並傳送惡意酬載，接著再運用第二個漏洞，將惡意酬載反序列化，並以SAP系統的權限執行程式碼。</p> <p>值得留意的是，駭客的工具還可能用於其他地方，例如，SAP在7月修補的5項重大層級反序列化漏洞，分別是：CVE-2025-30012、CVE-2025-42963、CVE-2025-42964、CVE-2025-42966，以及CVE-2025-42980。</p> </div></div></div>
2025/8/20 14:48作者周峻佑https://www.ithome.com.tw/news/170728