iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

研究人員警告以思科ASA裝置為對象的掃描活動激增可能爆出新漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.greynoise.io/blog/scanning-surge-cisco-asa-devices" target="_blank">資安廠商GreyNoise警告</a>，近日觀察到網路上針對思科防火牆ASA（Adaptive Security Appliance）的掃描活動有激增跡象，可能近日會有新產品漏洞公布。</p> <p>GreyNoise在8月26日觀察到2波對Cisco ASA裝置的掃描活動突然竄升。第一波牽涉超過2.5萬個不重覆IP，第二波是在隔幾日後，數量少一點，但屬相關聯活動。涉及這二波IP的數量大幅超越每日小於500個IP的基準線。</p> <p>二次事件都是鎖定ASA Web Portal登入路徑（/+CSCOE+/logon.html），研究人員表示，這通常表示有人在對曝露於網上的裝置進行偵察（reconnaissance）。此外，研究人員也發現，兩波掃描活動中的一小部份IP也在掃描GreyNoise的Cisco IOS Telnet/SSH及ASA軟體，這意謂著，兩波掃描是專門鎖定思科的攻擊行動，而非隨機、亂槍打鳥式的掃描。</p> <p>經過對來源IP的分析，8月底的掃描活動主要是源自巴西單一殭屍網路群聚系統。研究人員透過篩選特定用戶端指紋及長達2個月的活動資料，判定當天有1.7萬個IP掃描Cisco ASA裝置。其中，有1.4 萬個 IP（約占 80%）來自這個巴西的殭屍網路。特定的指紋一組相近的TCP簽章一起出現，顯示這些節點都使用同樣的工具和網路堆疊，進一步讓研究人員確信是巴西端統一控制的殭屍網路。</p> <p>GreyNoise指出，過去經驗中，該公司偵測掃描Cisco ASA的惡意流量標籤一旦突增，不久後就會發現新的ASA漏洞，2019、2020、2021、2023及2024年都有案例，其中包含Akira、LockBit勒索軟體濫用CVE-2023-20269以及ArcaneDoor網路間諜活動濫用CVE-2024-20353、CVE-2024-20359植入Line Dancer及Line Runner。因此研究人員相信很快就會揭露新的漏洞。CVE-2020-3452也在揭露後被武裝化攻擊全球的思科ASA裝置。</p> <p>研究人員提醒用戶要防止ASA Web portal、Telnet、SSH直接曝露於網際網路，漏洞一有修補程式要儘速安裝，同時也以多因素驗證（MFA）強化遠端存取驗證。</p> </div></div></div>
2025/9/9 10:57作者林妍溱https://www.ithome.com.tw/news/171064
OpenAI發現評測獎勵猜測，促使大型語言模型出現幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在最新<a href="https://openai.com/index/why-language-models-hallucinate/">研究指出</a>，大型語言模型頻繁出現幻覺（Hallucination），主因在於現行評測（Evaluation）與訓練機制設計不當，讓模型在不確定時更傾向猜測而非承認不知道。研究指出，當主流評測榜單只看答對率，模型在不確定時傾向猜測而非承認不知道，最終以更高的自信錯誤（Confident Error）率換取更漂亮的分數。</p> <p>OpenAI主張，評測應對自信錯誤的回答給予更重的懲罰，並對適當的不確定表達給予部分分數，以矯正模型在不確定時傾向亂猜的行為。</p> <p>OpenAI將幻覺定義為看似可信但不正確的回答。研究團隊以實際案例說明其普遍性，例如詢問作者Adam Tauman Kalai的論文題名或生日，當前聊天機器人能給出多個且互相矛盾的答案，這類錯誤在現行只採計準確率的評測中並未被完整反映，因為猜中一次即可提高分數，而誠實以對的「我不確定」則保證拿零分。</p> <p>這就如同選擇題的答題策略，面對不知道的題目，盲猜仍有機會對一題，空白必定得零，如果模型在數千題測試中一律猜測，最終可能比懂得在不確定時收手的模型拿到更高的準確率，卻伴隨更多出錯。</p> <p>OpenAI在GPT5系統說明卡以SimpleQA呈現此矛盾，gpt-5-thinking-mini的棄答率52％、準確率22％、錯誤率26％，而相較之下，OpenAI o4-mini的棄答率僅1％，但準確率24％、錯誤率高達75％。要是只看準確率，o4-mini略勝，但是就自信錯誤率而言，gpt-5-thinking-mini明顯更低，這代表在只注重準確率的基準測試榜單，偏向猜測的模型可能名次更好，但實際使用時更容易產生幻覺。</p> <p>研究也從訓練機制解釋幻覺的來源，大型語言模型預訓練從預測下一字詞中學習，觀察到的大多是流暢語句的正例，缺乏明確標記為錯誤的反例。對於規則明確的任務，例如拼字或括號匹配，模型能隨著規模與資料增加學到穩定模式，錯誤自然會下降，但像某人生日這類低頻且隨機性高的事實，無法從語料分布可靠推斷，因此始終存在一個無法完全消除的最低錯誤率。</p> <p>OpenAI提出的解法著重在改變評測與計分，研究人員建議將主要評測指標改為同時考量準確、錯誤與棄答，把自信且錯誤的回答視為比棄答更嚴重，並對恰當的不確定表達給予部分積分。這種對錯誤給予負分，對不確定回應給予部分分數的方式並不是新概念，一些標準化考試早已採用類似設計，學術界也已提出校準與不確定性導向的評測方法。不過OpenAI指出，如果只在少數評測中加入能容許不確定性的設計，仍不足以改變目前主流榜單只看準確率高低的排序方式。</p> <p>該研究提供數項重要結論，其一，單靠提升準確率無法消滅幻覺，因為真實任務中總有不可回答或需澄清的問題，使準確率難以達到100％。其二，幻覺並非必然，模型可以在不確定時選擇棄答。其三，避免幻覺不必然仰賴更大的模型，小模型在明顯超出能力範圍時更容易說不知道，而良好校準所需計算未必比高準確更高。</p> <p>OpenAI最新模型在推理場景的幻覺率已較以往更低，不過，問題仍未完全解決。</p> </div></div></div>
2025/9/9 09:12作者李建興https://www.ithome.com.tw/news/171052
假PDF編輯器藏惡意軟體TamperedChef，靠Google廣告擴散竊憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Truesec<a href="https://www.truesec.com/hub/blog/tamperedchef-the-bad-pdf-editor">揭露</a>一波大規模惡意軟體散布行動，攻擊者透過Google廣告導流至多個詐騙網站，推廣名為AppSuite PDF Editor的免費工具，藉此誘使用戶下載被植入竊資軟體TamperedChef的安裝檔。這個程式初期表現如同一般PDF編輯器，但在特定時間後，攻擊者會以遠端指令啟用惡意功能，專門竊取瀏覽器憑證與Cookie。Truesec指出，目前已有多家歐洲組織受到影響。</p> <p>研究人員調查顯示，PDF Editor安裝檔最早在5月15日出現在VirusTotal，相關網站與網域自6月26日陸續註冊並開始推廣。一直到8月21日，部分受害機器開始接收到指令，觸發程式的惡意功能。這段期間間隔約56天，接近Google廣告常見的60天投放周期，研究人員認為，攻擊者刻意利用廣告平臺先累積安裝量，再切換為惡意模式，擴大影響範圍。</p> <p>完成安裝後，偽裝的PDF編輯器會與遠端伺服器保持通訊，並在系統內建立持久化機制，確保每次開機都能啟動。初期行為正常，但在遠端指令觸發後，才會下載額外元件並展開竊資行動。</p> <p>一旦惡意功能被啟用，TamperedChef會檢測系統的安全軟體，隨後關閉使用中的瀏覽器，藉此存取原本被鎖定的資料。透過Windows的DPAPI，TamperedChef能直接讀取瀏覽器資料庫中的憑證與Cookie，進而取得帳號登入資訊。研究人員同時發現，攻擊者使用多家公司的數位簽章為安裝檔背書，不少公司網站內容單調缺乏真實性，且有多家公司登記於同一地址可信度低。</p> <p>相關威脅活動可回溯至2024年，並與OneStart、Epibrowser等工具的推廣活動有關，部分樣本使用相同C2網域，可能是同一攻擊者持續演進的作法。在部分案例中，安裝過程還會額外投放名為elevate.exe的檔案，該檔與開源提權工具功能相同，目前尚未觀察到實際運作，可能在為後續攻擊做準備。</p> <p>研究人員提醒，這類延遲啟用的假工具難以僅靠IOC攔截，必須從行為特徵著手偵測。企業可透過AppLocker或同類白名單機制，限制使用者目錄下可執行檔的落地與自動啟動，並導入AdBlocker降低惡意廣告風險。</p> </div></div></div>
2025/9/9 09:16作者李建興https://www.ithome.com.tw/news/171056
【資安日報】9月8日，Salesloft揭露供應鏈攻擊事故發生的源頭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼先前一連串鎖定知名企業組織的雲端CRM系統Salesforce資料外洩事故，8月下旬駭客組織UNC6395針對Salesloft Drift用戶發動攻擊，從而竊取存放在Salesforce系統的資料，這樣的情況再度引起資安界高度關注，有多家資安業者也證實受到波及。如今Salesloft公布最新的調查結果，透露駭客是從他們的GitHub儲存庫入侵，然後進行一連串的攻擊行動。</p> <p>在Salesloft Drift供應鏈攻擊活動的後續之外，也有其他CRM系統遭到鎖定，而成為上週末的焦點。這次駭客盯上的CRM平臺是Sitecore，這代表除了Salesforce之外，也有攻擊者開始針對其他CRM系統用戶下手的情況，這樣攻擊活動過往並不常見。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171051"><strong style="font-size: 22px;">Salesloft Drift供應鏈攻擊事故引爆點找到了！駭客入侵GitHub儲存庫而得逞</strong></a></p> <p>8月底Salesloft Drift供應鏈攻擊事故爆發，導致有許多採用此對話式行銷與客戶互動工具的企業組織，例如資安業者Cloudflare、Palo Alto Networks、Zscaler，他們的雲端CRM系統Salesforce面臨資料外洩的危機，Salesloft與Salesforce兩家公司也撤銷Drift所有的憑證，並自Salesforce AppExchange應用程式市集下架該應用程式，介入調查的Google威脅情報團隊（GTIG）與資安業者Mandiant也透露初步調查結果，駭客組織UNC6395自8月8日開始竊取Drift的OAuth憑證，而能從多家企業截取Salesforce存放的客戶資料，如今這起事故的調查出現新的進展。</p> <p>9月7日Salesloft揭露更多調查結果，指出駭客從今年的3月至6月，試圖存取該公司的GitHub儲存庫，從而能從中下載資料、新增訪客使用者，甚至建立工作流程。這段期間，駭客也試圖在Salesloft與Drift的環境當中進行偵察，最終他們入侵Drift使用的AWS環境，竊得Drift客戶的OAuth憑證，從客戶的環境存取經過Drift整合的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/viewstate-sitecore-fig1_max-900x900.png"><strong style="font-size: 22px;">Sitecore零時差漏洞遭到利用，攻擊者用於植入後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/viewstate-sitecore-fig1_max-900x900.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/viewstate-sitecore-fig1_max-900x900.png" style="width: 300px; float: right;" /></a></p> <p>今年針對Salesforce雲端客戶關係管理平臺（CRM）攻擊行動不斷發生，但如今也有其他CRM平臺遭到鎖定，成為新一波的攻擊目標，引起資安圈的關注，而且，攻擊者找到的弱點，竟是源自廠商提供的部署指引內容。</p> <p>客戶體驗管理平臺Sitecore發布資安公告，該公司旗下多項解決方案存在資安漏洞CVE-2025-53690，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），或是未經授權存取特定資訊，呼籲用戶儘速依照公告的指引採取緩解措施。通報此事的資安業者Mandiant提出警告，他們之所以發現這項漏洞，是因為已經有人用於實際攻擊行動。</p> <p>Mandiant也透過部落格文章揭露發現相關攻擊行動的過程，當時他們看到積極的ViewState反序列化攻擊行動，這起活動的特別之處，在於攻擊者利用了2017年之前的Sitecore部署指引裡面的公開範例金鑰，他們向Sitecore通報此事，該漏洞被登記為CVE-2025-53690列管。</p> <p><a href="https://www.ithome.com.tw/news/171053"><strong style="font-size: 22px;">上個月SAP修補的S/4HANA程式碼注入漏洞傳出已被用於實際攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1anvw8fuas.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1anvw8fuas.jpg" style="width: 300px; float: right;" /></a></p> <p>SAP於8月的每月例行更新（Security Patch Day）當中，修補接近滿分的重大資安漏洞CVE-2025-42950、CVE-2025-42957（CVSS風險皆為9.9），其中，通報CVE-2025-42957資安業者SecurityBridge提出警告，他們發現這項漏洞正遭到實際利用的現象，呼籲IT人員要儘速採取行動，套用修補程式來因應。</p> <p>而對於這項漏洞帶來的影響，SecurityBridge提出進一步說明，一旦攻擊者成功利用，就能得到作業系統層級的存取權限，並完全存取SAP應用系統的所有資料，其中，他們甚至能直接在SAP資料庫刪除或插入資料、透過SAP_ALL建立新的使用者、下載密碼雜湊值，甚至竄改業務流程，換言之，藉由這項漏洞，攻擊者有機會進一步竊取資料、從事間諜活動、部署勒索軟體，或是進行詐欺。</p> <p>雖然攻擊者並未廣泛將其用於攻擊行動，但SecurityBridge已經確認有實際濫用漏洞的現象，這代表已經有人知道如何利用，只要是尚未修補的SAP系統，就有可能曝險。SecurityBridge提及，由於ABAP的程式碼是公開的，想要對修補程式進行逆向工程，算是相對容易。再者，攻擊者只需要得到低階有效帳號，就有機會利用，過程裡完全無須使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/171026"><strong style="font-size: 22px;">美國警告兩項TP-Link路由器的已知漏洞遭到利用</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）將兩項影響TP-Link路由器的弱點，納入已知高風險漏洞（KEV）名單，分別為CVE-2023-50224與CVE-2025-9377，要求聯邦機構於9月24日前完成修補。</p> <p>其中，CVE-2025-9377屬於OS指令注入漏洞，出現在Archer C7（EU）V2與TL-WR841N/ND（MS）V9的家長控制頁面，屬已驗證且需高權限的遠端命令執行，當攻擊者具管理權限，得在裝置上執行任意系統指令。</p> <p>另一項漏洞CVE-2023-50224影響TL-WR841N，屬於驗證繞過問題，成因位於預設監聽TCP連接埠80的httpd服務，其允許網路相鄰的攻擊者，在無需驗證的情況下，透過預設監聽TCP連接埠80的httpd服務，擷取裝置內儲存的憑證。</p> <p><a href="https://www.ithome.com.tw/news/171047"><strong style="font-size: 22px;">從IP攝影機到雲端AI，捷克資安主管機關把對中資料傳輸與遠端維運列高風險威脅</strong></a></p> <p>捷克國家數位資訊安全局（National Cyber and Information Security Agency，NÚKIB）發布資安警示，將兩類行為界定為對國家安全與關鍵營運構成的網路威脅，分別是向中國（含香港、澳門）傳輸系統與用戶資料，以及自該等地進行技術資產遠端維運。受《資安法》納管的機關與業者必須在風險分析中，以高風險等級處置並採取相應安全措施，官方同時澄清，此為風險警示而非直接禁令。</p> <p>NÚKIB綜合捷克國內外情報與非機密資料，認為中國及其特別行政區的法律環境賦予政府當局對企業與資料更高程度介入與要求配合。同時，歐洲與盟國在多起案例中公開認定，攻擊源自與中國政府相關的團體，捷克政府也表示，外交部網路遭受的攻擊由APT31實施，顯示威脅具有持續性與策略性。</p> <p>就技術面影響而論，風險不僅在於可能植入惡意程式，也在於大量裝置與服務會持續產生並外送高密度資料，且遠端維運通道難以被營運單位完全驗證與監督。NÚKIB點名的風險品類已延伸至IP攝影機、太陽能光電變流器（Photovoltaic Inverters）、智慧電表、醫療設備、雲端服務、智慧型手機與連網車輛，也包含大型語言模型等雲端人工智慧服務，評估重點不侷限單一品牌，而是資料流向與維運來源地的可控性。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/noisy-bear-targets-kazakhstan-energy.html">俄羅斯駭客Noisy Bear鎖定哈蕯克能源產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/virustotal-finds-44-undetected-svg.html">惡意軟體分析平臺VirusTotal加入分析SVG圖檔功能，發現假冒哥倫比亞司法單位的網釣攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ai-powered-malware-hit-2-180-github-accounts-in-s1ngularity-attack/">Nx供應鏈攻擊影響範圍擴大，逾2千個GitHub帳號受波及</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/icloud-calendar-abused-to-send-phishing-emails-from-apples-servers/">iCloud行事曆服務遭到濫用，攻擊者以此透過蘋果伺服器寄送釣魚郵件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/scattered-lapsus-hunters-google-fire-experts-data-leak/">Scattered Lapsus$ Hunters要脅Google開除特定資安專家，並停止調查，換取遭竊資料不被外流</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171021"><strong>【9月5日】大規模DDoS攻擊流量達到11.5 Tbps，再創新高</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171008"><strong>【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170992"><strong>【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> </div></div></div>
2025/9/8 17:54作者周峻佑https://www.ithome.com.tw/news/171054
上個月SAP修補的S/4HANA程式碼注入漏洞傳出已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP於<a href="https://www.ithome.com.tw/news/170594">8月的每月例行更新（Security Patch Day）</a>當中，修補接近滿分的重大資安漏洞CVE-2025-42950、CVE-2025-42957（CVSS風險皆為9.9），其中，通報CVE-2025-42957資安業者SecurityBridge提出警告，他們發現<a href="https://securitybridge.com/blog/critical-sap-s-4hana-code-injection-vulnerability-cve-2025-42957/">這項漏洞正遭到實際利用</a>的現象，呼籲IT人員要儘速採取行動，套用修補程式來因應。</p> <p>CVE-2025-42957存在於S/4HANA，為程式碼注入漏洞，攻擊者一旦取得低權限的使用者帳號，就有機會控制SAP應用系統。由於無論是本地建置或是私有雲版本的S/4HANA都受到影響，因此影響的範圍恐怕相當廣泛。</p> <p>而對於這項漏洞帶來的影響，SecurityBridge提出進一步說明，一旦攻擊者成功利用，就能得到作業系統層級的存取權限，並完全存取SAP應用系統的所有資料，其中，他們甚至能直接在SAP資料庫刪除或插入資料、透過SAP_ALL建立新的使用者、下載密碼雜湊值，甚至竄改業務流程，換言之，藉由這項漏洞，攻擊者有機會進一步竊取資料、從事間諜活動、部署勒索軟體，或是進行詐欺。為了證明漏洞造成的影響，SecurityBridge也透過影響展示概念驗證（PoC）。</p> <p>雖然攻擊者並未廣泛將其用於攻擊行動，但SecurityBridge已經確認有實際濫用漏洞的現象，這代表已經有人知道如何利用，只要是尚未修補的SAP系統，就有可能曝險。SecurityBridge提及，由於ABAP的程式碼是公開的，想要對修補程式進行逆向工程，算是相對容易。再者，攻擊者只需要得到低階有效帳號，就有機會利用，過程裡完全無須使用者互動。</p> <p>不過，對於這項漏洞遭到利用情況，SecurityBridge並未進一步說明其他細節。</p> </div></div></div>
2025/9/8 17:21作者周峻佑https://www.ithome.com.tw/news/171053
數發部長林宜敬：以五大政策工具發展AI產業，共築數位韌性社會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部於今年8月27日迎來成立屆滿三週年的里程碑，緊接著在9月1日，也正式迎來第三任部長，由原先的數位發展部政務次長林宜敬接任部長一職。</p> <p>為確保政策發展的一致性，林宜敬在上任的媒體茶敘中表示，面對全球數位競爭加劇的挑戰，數位發展部將攜手產官學研，共同打造創新、安全且以民為本的數位國家。他特別提出未來將聚焦四大施政重點：建構臺灣的AI產業生態系、強化資安韌性、持續加強打詐工作，以及強化數位政府建設。</p> <p>這樣的政策發展方針，也與前任部長黃彥男所提的「數位經濟三支箭」政策接軌，展現了數位發展部在面對全球數位競爭浪潮下，持續推進臺灣數位轉型的決心。而在媒體茶敘中，面對媒體質疑林宜敬的施政方針是否是「黃規林隨」？林宜敬對於這樣的說法並不在意。</p> <p>他回應媒體記者時就表示，「像是這個AI產業政策，就是林宜敬之前在擔任政務次長時，由黃彥男部長交辦給他的任務，」而林宜敬將建構臺灣AI產業生態系作為接下來的施政方針時，「可以說是由黃彥男部長規畫的，也可以說是林宜敬次長所規畫的。」</p> <p>這也體現出，林宜敬接棒黃彥男的部長職務後，對於數位發展部重要施政方針，仍堅守重要政策具有一致性和延續性。「我們也非常認同就是前部長黃彥男所設下的政策方向，」林宜敬強調，接任部長職務後，「最重要的是要加強執行，因為AI對臺灣來講是非常重要的事情。」</p> <p>為了更深入說明林宜敬的施政方針，數位發展部主任秘書胡貝蒂也於8月27日在「數位政府高峰會」中，針對與會的公務人員以「深化AI評測與資料傳輸安全，實現公部門數位智慧化治理」為題，進一步闡述AI產業發展相關政策內容，在新部長施政具有延續性與一致性的前提下，也可作為外界深入了解林宜敬施政方向的補充說明。</p> <h2><strong>五大政策工具發展臺灣AI產業生態系，積極打造主權AI</strong></h2> <p>人工智慧（AI）正以前所未有的速度重塑全球格局，已躍升為國家力量的核心要素，預計到2030年將為全球經濟貢獻15.7兆美元，並提高勞動生產率1.4%，透過自動化，AI能將資本轉化為勞動力，重新定義經濟競爭力的基礎。</p> <p>在這樣的趨勢下，林宜敬強調，數位發展部將透過算力、資料、人才、行銷、資金等五大政策工具，積極建構一個健康的軟體產業生態系，確保臺灣能在AI革命中佔據領先地位。</p> <p>由於各國對於建立和控制國內AI基礎設施，包括先進晶片製造能力和數據中心，都更加重視，主權AI的追求已成為國家安全與經濟影響力的決定因素。</p> <p>首先，針對算力（Compute Power）的部份，政府採取多管齊下的方式，藉此厚植AI運算基石。林宜敬指出，數位發展部將提供免費的GPU算力給臺灣的AI新創團隊，協助他們驗證想法，邁出創業的第一步。</p> <p>胡貝蒂補充說明，除了數發部自身提供算力支持新創外，國家高速網路與計算中心（國網中心）也已購入大量算力晶片，但這遠遠不夠。因此，數位發展部正透過修法，鼓勵民間保險業資金投入算力中心建置。</p> <p>同時，她也說，算力中心也將被納入促進產業升級條例的獎勵項目，並提供租稅優惠，以吸引民間資金加速算力基礎設施的完善。這也是「晶創臺灣計畫」和「大南方新矽谷推動方案」等算力池措施的一部分。</p> <p>其次在資料（Data）方便，林宜敬表示，政府的重點在於建構「臺灣主權AI訓練語料庫」，確保資料安全流通。他認為，資料是AI發展的關鍵，數位發展部將推動法規調整，讓公部門公務員能安心釋放不涉機敏、不涉個資的政府資料；同時，也會藉由籌設「臺灣主權AI訓練語料庫」，確保AI模型具備臺灣觀點並提供充足的訓練資料給新創團隊。</p> <p>胡貝蒂指出，數發部正協助各單位盤點臺灣珍貴的語料，例如原住民族語料，以確保訓練資料的齊備；未來，數發部也將思考如何透過授權方式，鼓勵大家放心貢獻資料，並確保資料傳輸更安全、流通運用更便捷。她表示，這也包含研擬「促進資料創新利用發展條例」和運用隱私強化與後量子密碼學等技術。</p> <p>第三，針對人才（Talent）培養上，林宜敬表示，數發部透過制定「臺灣AI產業人才認定指引」，為臺灣的人才需求、訓練及認證單位提供共同遵循的架構，以建立蓬勃發展的AI人才訓練生態系，滿足臺灣對AI人才的需求。</p> <p>數發部將AI人才認證指引，分為研究、開發與應用三類，這有助於各界更清晰地對標與訓練人才，整合民間力量共同育才。此外，公部門也將與民間機構合作，持續進行人才訓練。</p> <p>第四，則是針對行銷（Marketing）部分，數發部也將藉由媒合商機，幫助臺灣的AI產品走向國際。根據林宜敬的計畫，會依據醫護、長照、製造等產業類別，分批舉辦AI產業媒合會，幫助AI新創團隊迅速獲得大量且穩定的訂單。</p> <p>胡貝蒂補充說明，數發部設有AI能量登錄平臺，讓業者在線上清楚展示其AI能量；同時，雲端服務平臺未來也將推出AI國際版，協助臺灣有實力的資服業者走向國際。</p> <p>她也說，國際上已有其他國家，例如新加坡，對臺灣的AI產品表現出高度興趣，因為這些國家不想購買不可控的美國或中國的AI產品，便想轉而尋求臺灣的解決方案。</p> <p>最後，在資金（Funding）的部份，林宜敬已向國家發展委員會匡列新臺幣一百億元，希望投資具產品與行銷通路的AI公司，助其迅速擴張，打入國際市場，完成公司上市的最後一哩路，透過好的訂單引導資金流入，並透過數位發展部的資金，共同打造良好的AI生態系統。</p> <p>除了善用上述五大政策工具外，數位發展部在AI治理方面也積極部署，以確保AI可以做到「可信任、安心使用」。胡貝蒂指出，數位發展部在法遵層面，先透過制定「AI基本法」作為政府各部會，共同建立AI發展的基礎規範。</p> <p>數位發展部致力於建立「AI風險分類框架」，以「參考指引」方式推動，胡貝蒂認為，不管是框架或是指引的目的並非是監管，而是提供一個具備彈性，可以協助大家識別AI可能存在的風險，並討論不同利害關係人的應對措施。</p> <p>此外，為了確保AI產品品質，數位發展部也在2022年成立了AI評測中心及AI測試實驗室，提供公正的測試與驗證服務。胡貝蒂指出，數位發展部目前已發出多份評測報告，評測重點包括自動化測試、公平性、準確性、可靠性及資料安全性等。評測項目包括：研析歐美AI規範，擬定AI評測項目，並將先以大語言模型（LLM）做為評測的對象。</p> <p>政府已經針對公部門如何使用AI，制定了一份《公部門人工智慧應用手冊》作為行政指導文件，她也說，這也可以協助政府機關在開規格驗收時，了解如何採購、驗收AI產品，並與相關團隊協作。</p> <h2><strong>強化資安韌性，加強打詐並整合通報機制</strong></h2> <p>林宜敬指出，數位發展部將結合臺灣民間資安產業的力量，共同強化政府部門、關鍵基礎設施及產業供應鏈的資安與韌性。臺灣擁有先進且蓬勃的資安軟體產業，是全球衛星產業供應鏈與民主供應鏈核心IC產業的重要一環，數位發展部希望資安及衛星產業在守護臺灣的同時，也能協助相關產業獲得豐厚利潤，形成正向循環。</p> <p>數位發展部為了強化資通安全和通傳韌性，打造了T-Road政府資料傳輸管道，而這個管道基於政府骨幹網路（GSN），採用先進加密技術，所有傳輸資料全程以機關憑證加密，且不留存任何資料內容，僅保存傳輸紀錄，以確保資料傳輸更加安全和不可否認性。</p> <p>胡貝蒂表示，目前已要求47個AI相關機關使用T-Road；此外，有鑑於政府服務上雲的趨勢，數發部也正在規畫建置雲端環境的T-Road，以支持政府上雲的安全需求。近半年來，T-Road平均每月資料傳輸筆數已達150萬以上，尖峰流量單月超過210萬筆，成效顯著。</p> <p>林宜敬強調，數位發展部將從法律面、科技面、商業面三管齊下，迅速反應，阻絕詐騙集團在網路上的各種詐騙管道。</p> <p>他指出，政府法律面已經通過「打詐專法」並實施廣告實名制；在科技面，則已設立「網詐通報查詢網」，並透過物流隱碼、DNS RPZ機制以及「111政府專屬簡訊短碼」等機制防堵詐騙。</p> <p>另外在商業面，他也說，數位發展部積極尋求與Google、Meta、LINE等網路社群平臺合作，要求其在打詐戰爭中扮演積極角色，運用其資源，在不涉隱私和妨礙秘密通訊自由的前提下，透過自動化工具事前預防詐騙發生，事後協助警方將詐騙集團繩之以法。</p> <h2><strong>強化數位政府建設，以民為本的智慧政府服務</strong></h2> <p>林宜敬表示，數位發展部接下來將持續推動「數位憑證皮夾」的建置。他相信數位憑證是未來數位世界的基石，而數位憑證皮夾的「選擇性揭露」功能，將能夠更好地保護民眾隱私，其共通性則能大幅提升臺灣數位經濟的效率。</p> <p>此外，他強調，「數位憑證皮夾」的推動將以「人生事件」為中心的整合服務設計，並讓民眾可以在不同人生階段中，便捷且直觀地獲取所需服務。未來也將逐步導入AI人工智慧技術，進一步提升行政效率，實現更高效的政府服務。</p> <p>為了支持數位政府建設，特別是在政府AI轉型方面，胡貝蒂表示，數位發展部也以「智慧政府幸福臺灣」為願景，規畫了五大戰略。</p> <p>這五大戰略包括：一、發展智慧化為民服務：做到讓民眾「用問的」就能輕鬆利用AI獲取政府服務；二、建構自動化行政任務：利用AI技術協助公務同仁辦理常規、繁雜與耗時的工作，提升內部公文處理、法治運用效率。</p> <p>三、厚植AI應用基礎環境：為AI應用提供安全、合規且運作穩健的基礎環境。這包括打造T-Road加密管道，確保資料傳輸安全，不留存任何資料，並可以支援政府上雲的需求。</p> <p>四、完備AI資料與模型：利用政府資料經緯架構與隱私強化技術，發展政府業務領域AI模型；五、打造數位平權智慧服務：為所有族群提供無障礙且易用的政府服務，實現平權照顧。</p> <p>全球高科技產業尤其是軟體產業的創新與發展，源自民間產業的自由競爭，他認為，數位發展部的核心使命，就是打造一個適合臺灣AI、資安、資訊服務等產業成長茁壯的產業環境，讓資訊產業在解決社會問題的同時，也能獲得豐厚利潤，同時避免產生新的社會問題，共同努力創造更值得重視的數位環境。</p> <p>胡貝蒂補充數位發展部對政策執行的更多細節，除了要「打造有感、數位臺灣」外，臺灣也會推動一系列的政策措施，以期在全球AI治理浪潮中可以占據領先地位。</p> <p>胡貝蒂強調，除了要做到持續領航臺灣數位發展，建構數位信任體系外，也要做到聚焦「強化數位韌性」、「發展數位經濟」及「推動打詐工作」三大目標，未來也會廣納更多元的民間意見，凝聚共識，加速數位轉型，打造具包容與前瞻的數位國家。</p> </div></div></div>
2025/9/8 18:07作者黃彥棻https://www.ithome.com.tw/news/171055
Salesloft Drift供應鏈攻擊事故引爆點找到了！駭客入侵GitHub儲存庫而得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月底<a href="https://www.ithome.com.tw/news/170866">Salesloft Drift供應鏈攻擊事故爆發</a>，導致有許多採用此對話式行銷與客戶互動工具的企業組織，例如資安業者<a href="https://www.ithome.com.tw/news/170989">Cloudflare、Palo Alto Networks</a>、<a href="https://www.ithome.com.tw/news/170937">Zscaler</a>，他們的雲端CRM系統<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>面臨資料外洩的危機，Salesloft與Salesforce兩家公司也撤銷Drift所有的憑證，並自Salesforce AppExchange應用程式市集下架該應用程式，介入調查的Google威脅情報團隊（GTIG）與資安業者Mandiant也透露初步調查結果，駭客組織UNC6395自8月8日開始竊取Drift的OAuth憑證，而能從多家企業截取Salesforce存放的客戶資料，如今這起事故的調查出現新的進展。</p> <p>9月7日Salesloft<a href="https://trust.salesloft.com/?uid=Update+on+Mandiant+Drift+and+Salesloft+Application+Investigations">揭露更多調查結果</a>，指出駭客從今年的3月至6月，試圖存取該公司的GitHub儲存庫，從而能從中下載資料、新增訪客使用者，甚至建立工作流程。這段期間，駭客也試圖在Salesloft與Drift的環境當中進行偵察，最終他們入侵Drift使用的AWS環境，竊得Drift客戶的OAuth憑證，從客戶的環境存取經過Drift整合的資料。</p> <p>察覺遭到網路攻擊之後，Salesloft隨即採取多項應變措施，遏止及根除相關活動。其中，他們隔離了Drift基礎設施、應用程式，以及程式碼，從市集下架應用程式，並輪替受影響的金錀。</p> <p>而對於Salesloft自己本身的應用環境當中，該公司也同樣輪替了金鑰，根據駭客手法強化防護，利用Mandiant威脅情報平臺分析事件相關的高風險身分，以及規避公司安全控管的活動，判斷是否仍有潛在危險，並進行威脅獵捕工作。</p> <p>值得留意的是，8月28日GTIG與Mandiant指出，<a href="https://www.ithome.com.tw/news/170911">有部分Google Workspace企業用戶受到影響</a>，根據SaaS資安業者Nudge Security的調查，估計<a href="https://www.nudgesecurity.com/post/breach-of-salesloft-drift-oauth-tokens-leads-to-salesforce-data-theft">至少有超過750家企業組織受到影響</a>，後續發展有待進一步追蹤。</p> </div></div></div>
2025/9/8 15:53作者周峻佑https://www.ithome.com.tw/news/171051
Databricks發表資料科學代理，自動化Notebook與SQL分析任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks<a href="https://www.databricks.com/blog/introducing-databricks-assistant-data-science-agent">宣布</a>在其智慧助理（Assistant）加入代理模式，推出資料科學代理（Data Science Agent），主打在Notebook與SQL編輯器自動化完成從資料探索、程式碼生成與執行，到機器學習訓練與結果說明等一連串工作。官方提到，Data Science Agent目的並非取代人力，而是在治理與可追溯的前提，將發現問題到分析的流程縮短為數分鐘。此功能目前為預覽階段，需由工作區管理者啟用。</p> <p>開發者在助理面板啟動代理模式後，輸入明確任務即可讓代理規畫並執行。Agent能針對指定資料表進行探索性分析，支援以表格名稱快速指向資料資產，能在Notebook或SQL編輯器生成並執行SQL或Python程式碼，遇到例外時可呼叫既有的錯誤診斷機制，嘗試修正並反覆驗證直至排除問題。</p> <p>當任務包含模型訓練與評估，代理會視需求結合機器學習工作流平臺MLflow，以追蹤訓練流程並記錄結果，並可依指示調整模型類型或超參數，完成後再以重點式摘要回報分析結果或建議後續步驟。</p> <p>資料科學代理以Unity Catalog統一資料管理平臺為基礎，沿用權限控制、資料脈絡與商業語義，代理在尋找可用資料表、筆記本與程式碼片段時會以使用者可存取範圍為界線。同時官方也保留使用者的控制權，在執行程式碼前，代理會請求授權，使用者可選擇僅允許一次、在當次對話持續允許，或長期允許。系統另設有保護機制以避免如誤刪資料表等高風險操作，不過，官方還是建議在涉及生產資料時，用戶應審查代理生成的程式碼與動作。</p> <p>在多步驟或跨階段的分析用例，使用者可啟用Planner，系統會先生成詳細步驟計畫，並在必要時提出澄清問題，經確認後逐步執行與檢視輸出，最後整理結論。這對於需要依序進行資料清理、特徵工程、模型訓練與評估的流程，有助於明確界定每一步的輸入、輸出與評估標準，並讓團隊更容易追蹤分析脈絡。</p> <p>在導入與維運面，資料科學代理管理者透過預覽入口啟用代理模式後，使用者即可直接在Notebook與SQL編輯器中操作，不需要進行額外安裝或改變工作流程。代理運作會遵循Unity Catalog的治理範圍，當資料資產的命名與欄位註解越完整，代理在探索資料與搜尋資產時的效果也越好。</p> <p>Databricks也預告資料科學代理後續發展方向，包括引入MCP以擴充上下文取得的廣度，改善代理的指令記憶與可編輯性，並加速資產搜尋體驗。</p> </div></div></div>
2025/9/8 15:54作者李建興https://www.ithome.com.tw/news/171049
Rust基金會成立創新實驗室，TLS函式庫Rustls為託管首案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust基金會宣布<a href="https://rustfoundation.org/media/rust-foundation-launches-rust-innovation-lab-with-rustls-as-inaugural-project/">成立Rust創新實驗室（Rust Innovation Lab）</a>，向已具資源或可持續財務模式的開源專案，提供財務託管與營運支持計畫。基金會表示，隨著Rust在產業與開源社群的採用加速，許多以Rust撰寫的元件已成為軟體基礎設施的一環，社群需要中立、社群導向的治理與可信賴的制度作為後盾，確保專案在安全與永續上能長期維持並避免被單一供應商綁定。</p> <p>Rust創新實驗室的服務包含財務託管、治理諮詢、法務支援、人脈連結、行銷與行政等項目，由基金會以非營利且中立的架構協助專案處理資金與營運事務。基金會強調，參與的專案需具備既有資金或明確的可持續財務模式，透過專業分工讓專案團隊專注於技術路線與維護實務，同時提升社群可見度與產業協作效率。</p> <p>第一個託管專案為TLS函式庫Rustls。Rustls以記憶體安全與效率為設計重點，針對安全性與穩定性要求較高的情境，適用於安全性要求嚴格的情境。基金會指出，市場對記憶體安全且高效能的TLS需求上升，而Rustls展現了在關鍵基礎設施中，同時兼顧安全與效能的可行路徑。Rustls創辦人Joseph Birr-Pixton表示，加入Rust創新實驗室有助於專案在長期維運與開發節奏上取得更穩定的支持，團隊將與基金會合作推動後續目標。</p> <p>基金會同時提到，Rustls先前曾獲得Internet Security Research Group的Prossimo計畫與德國Sovereign Tech Agency的支持，基金會對這些支持開源的組織表達肯定。之後Rust創新實驗室將持續與具備資金來源或商業可行性的開源專案接洽，提供在治理、法務與行政面向的制度化協助。</p> <p>Rust創新實驗室把社群常見但耗時的營運與合規工作集中由專業團隊處理，替成熟度逐步提升的Rust生態建立一條穩健的專案運營方法。在技術團隊可持續投入程式碼與維護，而基金會負責制度與資金管理的分工，Rust生態中具影響力的基礎元件能以更可預期的節奏發展。</p> </div></div></div>
2025/9/8 15:01作者李建興https://www.ithome.com.tw/news/171048
OpenAI收編Alex Codes開發團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.alexcodes.app/blog/alex-team-joins-openai" target="_blank">Alex Codes創辦人Daniel Edrisian上周宣布</a>，他們將加入OpenAI的Codex團隊。</p> <p>2024年推出的<a href="https://www.alexcodes.app/" target="_blank">Alex Codes</a>是一款專為iOS與macOS開發者設計的AI助手，主要用於提升Xcode開發效率與體驗。該工具透過側邊欄直接與Xcode整合，提供AI自動補全、錯誤自動修復、圖片轉程式碼、模擬器控制及語法搜尋等功能，月費依使用容量分為30美元及200美元兩種方案。</p> <p>Edrisian則把Alex Codes定位為Xcode上的Cursor，向VS Code上的AI編輯器Cursor致敬。</p> <p>目前的計畫是打算繼續服務現有的Alex Codes用戶，但會在10月1日停止該應用程式的新下載，未來也不會再發布任何的新功能。</p> <p>不管是Edrisian或OpenAI都未公布此次的交易金額或細節，但根據<a href="https://nextunicorn.ventures/openai-welcomes-alex-codes-team-to-enhance-ai-coding-capabilities/" target="_blank">Next Unicorn</a>及<a href="https://techcrunch.com/2025/09/05/openai-hires-the-team-behind-xcode-coding-assistant-alex-codes/" target="_blank">TechCrunch</a>的報導，這是一起收購+雇用（Acqui-Hire）交易，OpenAI相中的是人才，而不見得是產品或業務，如同<a href="https://www.ithome.com.tw/news/170034" target="_blank">Google以24億美元買下WindSurf的技術與人才</a>，或是<a href="https://www.ithome.com.tw/news/169561" target="_blank">Meta投資Scale AI並換來該公司創辦人Alexandr Wang為其效力</a>。</p> </div></div></div>
2025/9/8 15:16作者陳曉莉https://www.ithome.com.tw/news/171050
從IP攝影機到雲端AI，捷克資安主管機關把對中資料傳輸與遠端維運列高風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>捷克國家數位資訊安全局（National Cyber and Information Security Agency，NÚKIB）<a href="https://nukib.gov.cz/en/infoservis-en/news/2295-nukib-warns-against-the-transfer-of-the-data-to-and-remote-administration-from-people-s-republic-of-china/">發布資安警示</a>，將兩類行為界定為對國家安全與關鍵營運構成的網路威脅，分別是向中國（含香港、澳門）傳輸系統與用戶資料，以及自該等地進行技術資產遠端維運。受《資安法》納管的機關與業者必須在風險分析中，以高風險等級處置並採取相應安全措施，官方同時澄清，此為風險警示而非直接禁令。</p> <p>NÚKIB指出，當前關鍵基礎設施日益依賴雲端儲存與連網維運，供應商因而能影響系統運作並接觸重要資料，資料跨境與維運來源地的可信度成為治理核心。NÚKIB將該威脅評級為高，對應發生機率介於可能（likely）至非常可能（very likely），適用對象為受捷克《資安法》納管之單位，例如關鍵資訊基礎設施與重要資訊系統等。</p> <p>NÚKIB綜合捷克國內外情報與非機密資料，認為中國及其特別行政區的法律環境賦予政府當局對企業與資料更高程度介入與要求配合。同時，歐洲與盟國在多起案例中公開認定，攻擊源自與中國政府相關的團體，捷克政府也表示，外交部網路遭受的攻擊由APT31實施，顯示威脅具有持續性與策略性。</p> <p>就技術面影響而論，風險不僅在於可能植入惡意程式，也在於大量裝置與服務會持續產生並外送高密度資料，且遠端維運通道難以被營運單位完全驗證與監督。NÚKIB點名的風險品類已延伸至IP攝影機、太陽能光電變流器（Photovoltaic Inverters）、智慧電表、醫療設備、雲端服務、智慧型手機與連網車輛，也包含大型語言模型等雲端人工智慧服務，評估重點不侷限單一品牌，而是資料流向與維運來源地的可控性。</p> <p>NÚKIB要求受監管單位將本次警示納入正式風險管理流程，依識別結果布建相對應的安全措施，並提醒一般民眾與企業在採用產品與雲端服務時，也應審視其資料存取權限與最終傳輸落點，避免無意間將敏感資訊置於受中國法域約束的環境。</p> </div></div></div>
2025/9/8 12:19作者李建興https://www.ithome.com.tw/news/171047
Google Deepmind與倫敦大學開發讓機器人協作的RoboBallet技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ucl.ac.uk/news/2025/sep/robots-learn-work-together-well-choreographed-dance" target="_blank">倫敦大學學院（University College London，UCL）</a>與Alphabet旗下的AI公司<a href="https://deepmind.google/research/publications/111579/" target="_blank">DeepMind</a>、機器人公司<a href="https://www.intrinsic.ai/blog/posts/specialized-ai-for-scalable-and-adaptive-multi-robot-orchestration" target="_blank">Intrinsic</a>上周共同揭露了RoboBallet技術，這是一個新的AI演算法，讓大型機器人能夠在繁忙的工業環境中協作而不衝突，<a href="https://www.science.org/doi/10.1126/scirobotics.ads1204" target="_blank">並已於《Science Robotics》期刊上發表</a>。</p> <p>RoboBallet的任務在於幫助在生產線與廠房之間工作的機器人，能夠自動規畫它們的任務與動作，而不互相或與周圍環境碰撞；目前該任務通常是由經過專門培訓的人類手動完成，是個既繁瑣又容易出現錯誤的過程，一組完整的任務規畫往往需要耗費數百小時的人力時間。</p> <p>而RoboBallet是個結合強化學習（RL）的圖像神經網路（GNN），先藉由GNN理解空間障礙與機器人之間的關係，再透過RL學習如何高效完成任務，並以「避免碰撞、快速完成」獲得獎勵，而讓機器人能在幾秒內自動生成數十個機械手臂的協同動作計畫，比傳統作法快了數百倍，可應用在汽車製造、電子組裝或建築領域上。</p> <p>在實驗中，僅經過幾天的培訓，RoboBallet就可在幾秒內生成高品質的規畫，還能超越原本所學習的布局，以8個機械手臂解決最多40項任務。</p> <p>該報告的主要作者Matthew Lai表示，RoboBallet把工業機器人轉變為精心編排的舞碼，每隻手臂都精確且有目的的移動，還可意識到同伴；它不僅能夠避免碰撞，還能實現大規模的協作，這是他們第一次能夠像舞蹈一樣優雅與快速地自動化複雜的多機器人規畫，提升工廠的效率與適應能力。</p> </div></div></div>
2025/9/8 10:34作者陳曉莉https://www.ithome.com.tw/news/171045
Sitecore零時差漏洞遭到利用，攻擊者用於植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年針對<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>雲端客戶關係管理平臺（CRM）攻擊行動不斷發生，但如今也有其他CRM平臺遭到鎖定，成為新一波的攻擊目標引起資安圈的關注，而且，攻擊者找到的弱點，竟是源自廠商提供的部署指引內容。</p> <p>客戶體驗管理平臺Sitecore<a href="https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1003865">發布資安公告</a>，該公司旗下多項解決方案存在資安漏洞CVE-2025-53690，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），或是未經授權存取特定資訊，呼籲用戶儘速依照公告的指引採取緩解措施。<a href="https://cloud.google.com/blog/topics/threat-intelligence/viewstate-deserialization-zero-day-vulnerability/">通報此事的資安業者Mandiant提出警告</a>，他們發現在這項漏洞的緣由，就是已經有人用於實際攻擊行動。</p> <p>CVE-2025-53690是未受信任資料反序列化造成的漏洞，影響Experience Manager（XM）、Experience Platform（XP）、Experience Commerce（XC），以及Managed Cloud等產品，CVSS風險評為9.0分（滿分10分）。</p> <p>Mandiant也透過部落格文章發現相關攻擊行動的過程，當時他們發現積極的ViewState反序列化攻擊行動，這起活動的特別之處，在於攻擊者利用了2017年之前的Sitecore部署指引裡面的公開範例金鑰，他們向Sitecore通報此事，該漏洞被登記為CVE-2025-53690列管。Mandiant指出，使用Sitecore公開部署指引當中範例金鑰的多項產品，就有可能受到影響，尤其是採用XP 9.0及Active Directory 1.4之前版本的用戶。</p> <p>雖然Mandiant成功中斷攻擊行動，而無法觀察、確認整個攻擊流程，但根據他們進一步的調查，這些駭客在網際網路上找尋存在弱點的目標，觸發漏洞而能遠端執行程式碼，然後解密ViewState有效酬載，產生惡意程式WeepSteel進行內部偵察。</p> <p>接著攻擊者存取網頁應用程式的根資料夾收集敏感資料，然後運用開源工具進行後續活動，包含網路隧道工具EarthWorm、遠端存取工具Dwagent、AD偵察工具SharpHound。</p> <p>這些駭客最初發出HTTP請求探測目標網頁伺服器，然後鎖定/sitecore/blocked.aspx網頁，由於此網頁使用隱藏的ViewState表單，加上無須身分驗證就能存取，而成為攻擊者下手的潛在目標。</p> <p>而對於這波活動使用的作案工具WeepSteel，與後門程式GhostContainer、ExchangeCmdPy有相似之處，主要功能是收集系統、網路、使用者資訊，並透過偽裝的ViewState進行傳輸。</p> </div></div></div>
2025/9/6 18:49作者周峻佑https://www.ithome.com.tw/news/171041
Google網路廣告科技被認壟斷歐盟重罰30億歐元川普揚言報復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會上周基於Google廣告科技扭曲市場競爭違反歐盟反托拉斯法，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_25_1992" target="_blank">對Google判罰29.5億歐元</a>。美國總統川普周日表示，一旦歐盟決心罰款，美國政府將祭301法案來「抵銷」損害。</p> <p><a href="https://www.ithome.com.tw/news/145181" target="_blank">這是歐盟於2021年6月正式啟動調查後的結果</a>。歐盟指Google偏私自家線上顯示型廣告服務，損害廣告技術服務競爭者、廣告主及線上出版商的利益。歐盟執委會命令Google終止自肥行為，並導入停止內部利益衝突的措施，並在60天內報告其計畫。</p> <p>Google在網站及行動App廣告業務提供了三種服務中介廣告主和出版商。它提供的2種廣告購買工具包括Google Ads和DV 360、出版商廣告管理伺服器DFP（DoubleClick For Publishers）及交易平臺AdX。</p> <p>歐盟執委會調查發現，Google至少從2014年到今天，都濫用其壟斷市場的出版商廣告工具DFP和廣告購買工具Google Ads和DV 360來自利。像是它的DFP廣告管理系統會告知AdX其對手底價，使AdX輕鬆贏得拍賣。其二，它的廣告購買工具Google Ads避免對手廣告交易平臺，而主要在自己的AdX投標，使後者成為最受歡迎的交易平臺。歐盟認為，Google有意偏袒自家AdX，排擠競爭平臺，進而鞏固AdX在廣告供應鏈的關鍵地位，也提高Google服務定價的能力。</p> <p>歐盟潔淨、公正和競爭轉型委員會副總裁Teresa Ribera說，Google必須提交認真的矯治計畫來解決利益衝突，若Google未能滿足要求，歐盟將施加激烈的矯治措施。</p> <p><a href="https://www.wsj.com/tech/google-fined-3-5-billion-by-eu-over-ad-tech-business-72521802" target="_blank">Google向華爾街日報發出聲明</a>，指該公司提供廣告主及銷售者服務的作法完全沒有危害競爭的手段，而且業界競爭者只有更多沒有更少。Google表示將提上訴。</p> <p>這不是歐盟第一次向美國科技公司索討巨額罰款，<a href="https://arstechnica.com/gadgets/2025/09/europe-slaps-google-with-2-95b-euro-fine-over-advertising-monopoly/" target="_blank">但是媒體Ars Technica分析</a>，這可能是歐盟第一次因此將面對美國政府報復。</p> <p>川普政府和歐盟在關稅問題上關係緊張，7月川普和歐盟主席Ursula Gertrud von der Leyen會談時，就歐盟對美國科技公司如 Meta、Google、Apple等的數位規範（如Digital Services Act、Digital Markets Act）進行討論，但歐盟表示無可退讓。川普揚言歐盟如果再持續為難美國公司，就會提高經濟制裁。</p> <p>果不其然，就在歐盟宣布罰款後，<a href="https://truthsocial.com/@realDonaldTrump/posts/115153232183118149" target="_blank">川普在其Truth Social 上說</a>，這是美國科技公司又一次受罰最高，這令人無法忍受。他說不能坐視優秀的美國人才受到此等待遇，如果真的發生，他將被迫啟動301條款以抵銷這些美國公司受到的不公平處罰。</p> <p>歐盟是否會因此改變其決定有待觀察。<a href="https://www.ithome.com.tw/news/170966" target="_blank">Google上周才獲得美國法院輕饒</a>，逃過強制出售拆分Chrome瀏覽器或Android平臺的命運。</p> </div></div></div>
2025/9/8 09:40作者林妍溱https://www.ithome.com.tw/news/171042
微軟開源比爾蓋茲寫的MOS 6502 BASIC程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://opensource.microsoft.com/blog/2025/09/03/microsoft-open-source-historic-6502-basic/" target="_blank">微軟上周開源了</a>Windows出現之前、創辦人比爾蓋茲等人撰寫的MOS 6502 BASIC程式原始碼。</p> <p>多年來電腦玩家是在網路上搜尋及下載MOS 6502 BASIC非官方或斷簡殘篇版本，將之重建並執行在現代電腦上，而電腦博物館收藏的也是不完整版。這是微軟官方首次公布完整6502 BASIC程式原始碼。</p> <p>微軟二位創辦人比爾蓋茲（Bill Gates）和保羅艾倫（Paul Allen）於1975年寫出Intel 8080處理器專用的BASIC組譯器，後來改寫成適用其他處理器的版本，包括MOS 6502及Motorola 6800及6809。</p> <p>1976年蓋茲和另一元老Ric Weiland完成在MOS 6502 8-bit CPU的移植（版號BASIC M6502 8K VER 1.1）。6502 BASIC為具有浮點運算演算法的完整BASIC組譯器。它本身為8KB，可以燒錄於ROM晶片中，也可以由磁碟載入RAM執行。</p> <p>1977年Commodore公司以25,000美元授權本軟體，推出Commodore PET，以及暢銷的VIC-20及Commodore 64等早期個人電腦。6502 BASIC在1978年又移植到蘋果Apple II上（名為AppleSoft BASIC），成為後來Apple II主要執行語言。部分遊戲機透過擴充卡匣（如Atari BASIC、Family BASIC）則提供改編的6502 BASIC，讓玩家能寫小程式或簡單遊戲。</p> <p>6502 BASIC提供浮點數運算、基本流程控制、字串與陣列操作，但尚無法實現高級圖形、聲音與結構化語言功能。但微軟說這個BASIC組譯器是早期個人電腦的軟體基礎，允許非工程人員透過簡單英文程式語言即可存取操作。這軟體大大改寫了個人電腦發展的進程。</p> <p>微軟這次開源的6502 BASIC（Microsoft BASIC for 6502 Microprocessor）1.1版是對當時版本garbage collector的修補，修補程式來自蓋茲和Commodore工程師。不但是出貨到PET電腦的版本（當時名為BASIC V2）本尊，也包含了蓋茲彩蛋，藏在STORDO和STORD0標籤後（如MICROSOFT! COPYRIGHT 1977 BY BILL GATES的字樣）。<a href="https://www.pagetable.com/?p=43#comment-1033" target="_blank">蓋茲本人於2010年證實</a>。</p> <p><a href="https://github.com/microsoft/BASIC-M6502" target="_blank">本專案採用MIT授權在GitHub開源</a>，允許開發人員或使用者修改、分享。</p> <p>2025年隨著FPGA晶片技術、模擬器（emulator）專案及社群人士推動了復古運算，<a href="https://www.commodore.net/" target="_blank">Commodore並且推出</a>了新的FPGA Commodore 64系統。</p> <p><a href="https://github.com/microsoft/GW-BASIC" target="_blank">微軟2020年也開源了GW-BASIC</a>，這是和6502 BASIC系出同源，出貨到IBM PC的版本。後者衍生為QBASIC，之後又再間接演變成Visual Basic。</p> </div></div></div>
2025/9/8 09:57作者林妍溱https://www.ithome.com.tw/news/171043
尼泊爾封鎖臉書、YouTube及Reddit等逾20個社交平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>尼泊爾政府在上周四（9/4）封鎖了境內的Facebook、Instagram、YouTube、X、Reddit、LinkedIn、WhatsApp、Discord、Pinterest、Signal、Threads、微信、Quora及Tumblr等逾20個社交平臺，原因是它們並未依法於當地註冊。</p> <p>根據<a href="https://www.jurist.org/news/2025/09/nepal-blocks-26-social-media-platforms-in-historic-crackdown/" target="_blank">Jurist</a>、<a href="https://techcrunch.com/2025/09/04/nepal-blocks-facebook-instagram-youtube-x-over-rule-breach-amid-censorship-concerns/" target="_blank">TechCrunch</a>及<a href="https://kathmandupost.com/national/2025/09/05/only-hamro-patro-x-respond-as-nepal-blocks-26-social-media-platforms-1757082149" target="_blank">Kathmandu Post</a>等媒體的報導，尼泊爾在2023年實施了《社交媒體使用規範指令》（Directive on Regulating the Use of Social Media），要求社交平臺必須於當地註冊，設立辦公室，指派一名當地代表，也必須施行自律機制，並在8月25日下了最後通碟，要求所有社交媒體必須在7天內註冊，期限為上周三（9/3）。</p> <p>於是尼泊爾電信管理局（Nepal Telecommunications Authority，NTA）與尼泊爾網路服務供應商協會（Internet Service Provider Association of Nepal，ISPAN）周四即開始封鎖名單上的26個社交平臺。</p> <p><a href="https://en.setopati.com/social/165133" target="_blank">根據當地媒體Setopati的報導</a>，名單上並未包含Viber、WeTalk、TikTok、Nimbuzz與Poppo Live，因為它們已經註冊，也未包含早在7月便被封鎖的Telegram，而位於名單上的X則是在上周五（9/5）緊急註冊。</p> <p>TechCrunch解釋，尼泊爾最高法院是在上個月決定維持當地政府所要求的註冊規定，目的是為了阻止不實資訊的散布，但法院僅說「在法律框架內立即作出適當的法律安排」，並未明確命令政府封鎖那些未註冊的平臺。</p> <p>尼泊爾雖然是個民主國家，但專門捍衛全球數位權利的非營利組織<a href="https://www.accessnow.org/press-release/keepiton-nepals-telegram-ban-is-a-dangerous-escalation-of-digital-censorship/" target="_blank">Access Now在尼泊爾封鎖Telegram時便曾警告</a>，Telegram被禁可能是由於該平臺涉嫌拒絕將用戶資料移交給當局而引發的，這嚴重侵犯了民眾的言論自由、資訊存取及隱私權，透露出數位治理領域行政越權的現象愈來愈嚴重。</p> </div></div></div>
2025/9/8 10:09作者陳曉莉https://www.ithome.com.tw/news/171044
Anthropic強化區域限制，中國企業持股過半之公司不得使用其服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/updating-restrictions-of-sales-to-unsupported-regions">Anthropic更新服務條款</a>，擴大對不支援地區的限制。新規定明確指出，只要是受中國等不支援地區的企業直接或間接控制的公司或組織，不論註冊地點，均不得使用Anthropic的人工智慧服務，其中包含由不支援地區企業直接或間接持股超過50％的實體。</p> <p>Anthropic表示，此舉是為了回應現實的國安風險，避免先進人工智慧技術被威權體制利用於軍事或情報用途。</p> <p>這次更新不僅針對直接客戶，也涵蓋透過在他國設立子公司等間接途徑，存取Anthropic服務的情況。Anthropic指出，即使企業在其他國家設立子公司或透過複雜的股權結構運作，只要最終控制權落在不支援地區，實際風險仍舊存在，官方強調，部分國家法律可能要求企業共享資料或配合情報機構，這些規範使得相關公司難以拒絕政府要求。</p> <p>Anthropic還點出另一項風險，當這些公司能使用其模型，可能透過蒸餾等技術複製模型能力，進而推進該國的人工智慧研發，甚至在國際市場與美國及其盟國企業競爭。官方表示，強化限制的目的，是確保具變革性的人工智慧能力服務於民主陣營與美國及其盟國的戰略利益。</p> <p>這項強化屬於Anthropic在合約層面的自我規範，但方向上呼應了美國近年在人工智慧和高效能運算領域的出口管制與擴散防範政策，官方並持續主張強化出口管制等措施。</p> </div></div></div>
2025/9/8 08:22作者李建興https://www.ithome.com.tw/news/171038
Angular夏季更新，Zoneless變更偵測與原生動畫API正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.angular.dev/angular-summer-update-2025-1987592a0b42" target="_blank">Angular接連發布了20.1與20.2版本</a>，重點包括Zoneless變更偵測正式推出已可用於生產，以及新增以原生CSS為基礎的進出場動畫API。這些更新的目標改善效能、降低維護成本，降低對框架附加機制的依賴，改以瀏覽器原生功能為主。</p> <p>Zoneless的推出使開發者不再必須依賴zones驅動變更偵測。過去這種機制雖然方便，但在大型專案中容易導致除錯困難與打包檔案過大，而現在開發者只要在啟動應用程式時，加入對應的方法即可採用新的運作模式，既有使用zone.js的程式碼仍受支援，開發者可分階段進行轉換。這項改動有助於讓狀態更新的來源更透明，也能提升應用程式的可預測性。</p> <p>動畫部分則新增animate.enter與animate.leave兩個API，允許直接在模板中指定元素進入或離開時應套用的CSS類別，像是常見的淡入或滑入效果，現在可以不依賴額外函式庫就完成。過去的@angular/animations套件已進入棄用階段，未來預期會逐步由CSS與新API取代。官方同時強調，這些API可與GSAP、anime.js等函式庫並用，提供更多彈性。</p> <p>在開發工具方面，Angular DevTools新增路由樹視覺化與Signal相依圖（Signal Graph）。前者能以圖形方式呈現應用程式的路由結構，後者則協助追蹤訊號之間的資料流，對於複雜應用的狀態分析更為直觀。此外，測試流程也獲得簡化，建立測試元件時，開發者現在可以直接把輸入值當參數傳入，開發者不必再額外建立包裝元件（Wrapper component）進行測試。</p> <p>另外，官方的元件測試工具也同步強化，提供更精確的檢索能力。開發者可以透過指定索引位置、計算元件數量，或依據浮動標籤文字進行篩選，來定位特定的元件實例。</p> <p>除了框架核心的更新，Angular團隊也持續推進人工智慧整合，官方在angular.dev/ai提供教學與範例，涵蓋Genkit、Firebase AI Logic與Gemini API等技術，並提供IDE規則檔以改善大型語言模型產生程式碼的品質，同時也支援在Gemini Canvas與Google AI Studio產生Angular專案。</p> </div></div></div>
2025/9/8 08:26作者李建興https://www.ithome.com.tw/news/171030
強化LLM應用效能與資安防護，F5推出容器化部署的AI閘道
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/f5_ai_gateway-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無庸置疑，生成式AI已躋身當代應用程式主流，作為長期發展應用程式遞送控制器（ADC）產品的F5，去年11月釋出他們開發的AI閘道系統0.1版，希望能在應用程式、API、大型語言模型（LLM）驅動企業AI採用的環境當中，提供加速彼此互動的軟體系統，F5將提供兼具效能最佳化、提升可觀測性，以及多種保護功能的容器化解決方案，期盼能降低使用AI的成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-AIG2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-08-AIG2.jpg" style="width: 600px;" /></a><br /> 在這個版本當中，F5 AI Gateway能將生成式AI流量轉送至適當的後端LLM，並保護這些流量免於常見資安威脅的侵擾，舉例來說，可檢測與過濾LLM的個人端請求與回應，預防惡意輸入的提示進到LLM後端系統，確保LLM的回答能安全送至個人端，以及防禦敏感資訊、以免外洩。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-AIG3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AIG%20Demo3.jpg" style="width: 600px;" /></a><br /> 而且，也奠定F5 AI Gateway基本運作架構。例如，系統本身是在Kubernetes容器環境執行的獨立產品，區分為兩大元件：AI Gateway Core、AI Gateway Processors。</p> <p>所謂的核心，是指專攻生成式AI流量的特製Proxy代理系統，可採用多個AI閘道處理器，實現流量的防護，過程中，可處理發送至某個LLM後端的HTTP或HTTPS請求，像是身分驗證與授權的檢查、個人端請求內容的剖析與基本驗證、修改或拒絕個人端請求等。F5 AI Gateway在此支援多種LLM API，像是OpenAI、Microsoft Azure OpenAI Service、Anthropic，以及Ollama，可在硬碟記錄與儲存每個請求與回應，且能匯出至AWS S3或相容S3的儲存系統服務，也能藉由OpenTelemetry產生與匯出可觀測性資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 AI Gateway Components.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AIG-2025-01.jpg" style="width: 600px;" /></a></p> <p>至於處理器，是獨立於核心的動作處理機制，可檢測個人端請求與處理LLM後端的回應，提供修改（像是改寫信用卡卡號）、拒絕（中止請求或回應）、加上註解（例如增添標籤或詮釋資料），實現AI相關的防護機制，F5 AI Gateway在此提供4種處理器，包含：語言編號、提示管制（Prompt enforcement）、提示注入偵測、重複偵測，針對基於AI模型而成的處理器，可提供GPU支援。企業若需要自行建立處理器邏輯，可運用F5 AI Gateway Python SDK開發AI閘道處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 AI Gateway Components.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AI%20Gateway%20Components.png" style="width: 600px;" /></a></p> <p>在此同時，這套產品也將整合F5既有的產品，經由改善的資料輸出品質與絕佳的使用者體驗，協助企業的資安與IT營運團隊，順利推動AI服務的導入。F5預告，這套AI閘道可部署在任何雲端服務或資料中心，而且將原生整合該公司旗下兩大應用程式平臺：Nginx、Big-IP，期望能在傳統IT、多雲或邊緣環境當中，善用他們發展的應用程式遞送與防護技術，同時，提供開放的擴充能力，使企業能在AI閘道當中，開發與自定可程式化的功能，以及強制控管的機制，而且這些處理機制能輕鬆更新與動態套用，促成快速遵循資安政策與法規要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-AIG1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-08-AIG1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-08-AIG1.jpg" style="width: 600px;" /></a><br /> 針對強化AI使用體驗的部分，F5 AI Gateway能用來調校內部系統與第三方LLM服務的流量負載平衡、流量路由、流量傳輸率設限，維持服務的可用度與提升效能，也可以執行語意快取，藉此分攤LLM的重複工作，進而強化操作體驗、縮減營運成本。關於降低整合負擔的需求，F5 AI Gateway可提供更順暢的操作方式，使開發者能聚焦AI應用系統的組建，而不必為了管理複雜的IT基礎架構，被迫耗費許多心力研究與實踐，此外，這套系統也提供單一API介面，便於開發者用於存取他們想要存取的AI模型。<br /> 在資安與法規政策的遵循與強制方面，F5 AI Gateway提供自動偵測與矯正功能，可防護OWASP組織訂定的十大LLM應用程式風險類型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-AIG4.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-08-AIG3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-08-AIG3.jpg" style="width: 600px;" /></a><br /> 到了今年，F5 AI Gateway在2月正式推出1.0版，AI Gateway Core可匯出OpenTelemetry Metrics量測資訊，簡化路由綱要組態設定，AI Gateway Processors的部分，將內建的4種處理器修訂為提示注入、系統提示、語言編號、重複偵測。後續F5 AI Gateway仍不斷發布更新，最新版本是1.2版，當中除了改良兩大元件，也擴充整體套件與細部元件，例如，AI Gateway Helm chart，以及Data Security處理器、Prompt Guard Labs處理器、Topic Detect Labs處理器、Content Guard Labs處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 AI Gateway-ADC 3_0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AI%20Gateway-ADC%203_0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 AIG Demo2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AIG%20Demo2.jpg" style="width: 600px;" /></a></p> <p>關於F5 AI Gateway在臺灣市場的推廣，F5在去年11月底全國大專院校資訊行政研討會（CCDS），率先介紹相關內容，到了今年，陸續在多場活動發表專題介紹演講，像是<a href="https://cybersec.ithome.com.tw/2025/session-page/3468">4月臺灣資安大會</a>、8月底<a href="https://egov.ithome.com.tw/2025/index.html">數位政府高峰會</a>，以及9月初F5 Solution Day 2025 Taipei大會。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-09-04-F5 AIG-TAPEI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-04-F5%20AIG-TAPEI1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025-09-04-F5 AIG-TAPEI2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-04-F5%20AIG-TAPEI2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-09-04-F5 AIG-TAPEI3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-04-F5%20AIG-TAPEI3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025-09-04-F5 AIG-TAPEI4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-04-F5%20AIG-TAPEI4.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">F5 AI Gateway 1.2</span></strong><br /> ●原廠：F5<br /> ●建議售價：廠商未提供<br /> ●產品形式：可移植的微服務架構（Helm Chart），涵蓋Nginx Plus、Big-IP Next LTM、Distributed Cloud App Stack，能在任何Kubernetes環境部署AI應用<br /> ●組成元件：核心（路由、服務、政策、設定）、處理器<br /> ●相容的公有雲服務：AWS、Azure、Google Cloud<br /> ●支援AI模型與相關工具：Anthropic、OpenAI、Ollama<br /> ●可觀測性整合技術與系統類型：採用Open Telemetry，而能整合SIEM、SOAR<br /> ●核心功能：AI流量安全、資料外洩防護、企業安全架構、AI整合、自定營運方式、強化可觀測性與治理、AI資源耗用最佳化、模型路由</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/6 12:42作者李宗翰https://www.ithome.com.tw/review/171025
臺灣人工智慧學校：大型企業與中小企業間形成AI發展數位鴻溝，聯合大學、資服業者設區域創新中心加速AI落地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「不會用、不敢用、用不起，是現今中小企業導入AI普遍碰到的問題」，臺灣人工智慧學校（AIA）校務長蔡明順近期在一場活動中點出推動產業AI發展時，中小企業所面臨的難題。</p> <p>臺灣人工智慧學校從2017年成立，致力於推動產業AI人才發展，目前已有超過2,300家企業參與訓練，涵蓋相近15個產業，訓練學生已超過13,000名，其培養的人力，成為國內各產業AI發展的基礎，為臺灣產業AI化的垂要推手之一。然而，這些年來儘管AIA培育人才成績斐然，但是在產業AI的發展上推動的成效如何？特別是讓中小型企業也能導入AI轉型，對推動百工百業AI的臺灣人工智慧學校而言相當重要。</p> <p>臺灣人工智慧學校校務長蔡明順表示，從科技或是股價的熱度角度來看，現在大多認為我們已進入AI的紀元，AI在國內外的發展相當蓬勃，但是各產業對於AI的認識仍不足夠，部分產業尚未開始。從多個產業分析報告來看，約有50%到60%大型企業如100大、200大企業，他們對人工智慧已有嘗試、POC或是導入在產線上實際應用，但是國內企業占比高達98%的中小企業卻只有約5%，顯示大多數的中小企業處於觀望，甚至不知道如何著手進行。</p> <p>中小企業面臨資源不足、企業規模不足，還有人才不足，相較之下，大型企業擁有許多資源，甚至設立專責部門啟動應用，使得大型企業和中小企業在AI推動上呈現兩樣情，這種起步上的落差形成數位鴻溝；「數位落差相當大，尤其是推動AI，企業如果沒有足夠的基礎建設，包括資料、算法、人才，企業沒有數位化很難推動AI化」，蔡明順說。</p> <p>儘管政府投入許多資源，例如由國發會、國科會、數發部、經濟會推動各項計畫，儘管推動上聲勢壯大，蔡明順認為，政府資源分散且碎片化，缺乏統合性導入評估框架，以及後續追蹤機制。</p> <p>政府推動AI產業及產業AI化，對資通服務產業而言是機會。</p> <p>「我們最害怕的是，當推動AI如同ESG推動綠能只是議題，沒有實際落地，對資通訊產業不是好事」，蔡明順說。</p> <p><span style="color:#B22222;"><strong>產業AI發展3個挑戰</strong></span></p> <p>他歸納國內產業AI發展的3個難題，首先是缺乏產業共通的AI導入評估機制與分級工具；其次是中小企業如何運用政府資源，或是運用資通訊業的能量，需要專後的顧問，技術和商業轉換能力；最後是各產業領域的知識、商業痛點不同，難以泛用化及規模化，發展人工智慧技術要達到規模化，才能產生經濟效益，展現AI的效益。</p> <p>回顧臺灣人工智慧學校成立7年來，AI發展相當快速，從人工智慧學校成立之初，AI被認為實驗室的技術，發展到教室，進入辦公室、生產線，運用AI的高門檻也在幾年前出現變化，過去發展AI應用需要技術背景，生成式AI的出現降低進入門檻，即使是文法商背景，會運用ChatGPT都能使用AI。</p> <p>人工智慧學校提出百工百業AI，從發展或引進工具平臺、應用流程再造、案例方法論、建立示範性的領域場景、治理法規的基礎建設，不同的業者、政府在生態中扮演不同角色。蔡明順認為，目前人工智慧迭代發展相當快速，在技術還沒有定型、標準化之前，先不要談方法論或最佳實踐，應該去思考如何運用AI。</p> <p><span style="color:#B22222;"><strong>以AIEP飛輪模式的6步驟推動AI生態發展</strong></span></p> <p>蔡明順談到，臺灣人工智慧學校近三年努力將痛點轉化為行動，包括將碎片化的資源、資料、算力集中起來一起推動，推動各產業AI落地，以及如何運用開源技術擴散，還有人才的轉型及識別。</p> <p>他認為臺灣需要一套全國性的AI推動框架，讓不同的角色在框架中彼此分工協作，讓不同的政策資源可整合推動發展，並促成產業升級、人才及數位公平。其中包括商業場景、技術擴散、生態發展3個關鍵策略，在商業場景，協助企業辨識應用場景，將企業的需求轉譯，透過媒合技術後，創造效益擴大導入。</p> <p>至於技術擴散，採用開源技術、模組化，提供AI工具能夠應用快速落地。蔡明順表示，技術擴散也可運用雲端技術，今年AI發展有3個趨勢，包括Agentic AI、模型縮小化、多模態，其中模型的縮小化得以落地至邊緣端、裝置端，多模態發展則涵蓋語音、圖片、文字的處理。生態發展則是串連科技大學、軟硬體產業，共同研發AI應用。</p> <p>他也分享臺灣人工智慧學校的策略，以全國性框架為核心，規畫AIEP(AI Ecosystem Platform)，願景是希望在2030年前協助50%的企業導入AI，並且有實質成效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%963600(1).jpg" style="width: 600px; height: 366px;" /></p> <p>AIEP有6項具體的目標或步驟推動企業從未知AI到認知AI，導入示範應用到AI成熟的循環發展，這6項步驟包括示範導入與標竿案例、建立資料共享機制及場景共創、標準制定與合規指引、導入顧問及人才支持、建立商業化與激勵機制、建立評估機制與回饋強化。</p> <p>蔡明順指出，AIEP的6個步驟可形成內外循環的飛輪成長模式，企業可運用6個目標建立內部的檢核機制，而外循環也能運用6個目標建立生態系。另外，AIEP也參考新加坡的AIRI（Readiness Index），AIEP的6個目標可對應AIRI的6個模式，先推動技術和認知的成熟度後，再大力推動AI，代表任何社會發展AI需經歷的階段與痛點。</p> <p>蔡明順指出，參考AIRI的作法，企業有不同大小規模、產業特性，可建立AIEP的成熟分數（Readiness Score），對企業進行分級，再依分級來配置資源；針對各產業建立示範案例應用，對於企業從未知AI進階到認知AI，讓示範案例應用啟動轉型，如果成為商學院教材，更易於讓決策者採納、擴散。</p> <p>參考AIRI的「測試-導入-回饋」循環調整，AIEP的飛輪模式可以6個步驟滾動調整，不只單一的企業，產官學研也可以參考AIEP的6個作法，循序漸進發展為生態體系；蔡明順以方程式解釋AIEP推動AI發展的概念，為AI+D（Domain）*T（可為Technology、Talents、Training、Tools等）發展。</p> <p><span style="color:#B22222;"><strong>建立AI創新中心帶動產業聚落AI化</strong></span></p> <p>由於臺灣在不同地理區域發展不同的產業聚落，目前臺灣人工智慧學校為推動跨產業、跨地理區域的AI應用，人工智慧學校在台北、台中、台南設有3個校區，以涵蓋北中南，和區域內的產業公會、地區內的研究型或科技大學、地區性資服業者合作，共同組成產業聚落AI創新中心。</p> <p>蔡明順也建議，企業如果與大學合作，最好能選擇科技大學，因為研究型大學中老師專注在研究及論文，科大的老師對產學合作比較積極，較有意願針對企業的需要設計解決方案。至於產業聚落AI創新中心以大學輻輳，在車程1小時或2小時的範圍內建立區域型的Hub，提供解決方案、人才及技術。在產業聚落AI創新中心裡，大學、資服業者、垂直領域三方扮演不同角色，針對產業聚落的特性，由大學與資服提供技術移轉、顧問輔導，先推動示範應用，再擴大整個產業聚落採用。</p> <p>如同前面提到大型企業有足夠的資源自行發展AI應用，因此產業中心的目標為50到500人的中小規模企業，包含有意願數位化中小微企業、績優上市櫃公司的隱形冠軍，或是規畫拓展海外市場的企業，「這3類是目前最需AI，也最缺乏協助及資源的企業」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96600(7).jpg" style="width: 600px; height: 361px;" /></p> <p>在技術面上，蔡明順指出，先依照產業的性質區分製造業與非製造業，瓦製造端的中小型企業，他建議採用開源模式，強調模組共享、資料本地化、可微調，需要SI客製化導入及協助維運；至於非製造業類型，即服務端中小微企業，為快速導入、降低門檻，他建議可採用雲端SaaS，例如產、銷、人、發、財開始，「使用就緒的AI服務，先從企業裡找到好的切入點，帶動前進的力量，否則只是口頭上的願景，沒有實際落地的解決方案」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%962600.jpg" style="width: 600px; height: 372px;" />。</p> <p>為推動開源和產業結合，人工智慧學校每一季舉行工作坊，他們也和中研院合作，推廣以開源語言模型開發的行政業務AI應用。蔡明順建議，目前國內已有開源模型，包括TAIDE及聯發科的Breeze模型已開源且可在地端執行，國內企業可以在地端部署，相較於國外的方案，可降低資安風險，其次是採用本土語料，在語言上更精準符合在地的需求。</p> <p>人工智慧學校推動之下，現在已有一些產業應用成果，例如醫療產業運用AI輔助決策及產生報告，成效是診斷時間縮短30%，產生一致性的報告外，也減輕醫護的人力壓力；另一案例是高科技服務業，運用AI在客服及技術文件自動撰寫，將客服回覆時效提升50%，人力節省30%；物流業則運用AI作路線預測、自動排程，提升配送效率15%，將人力、車隊利用率最佳化。</p> <p>蔡明順也分享他的觀察，大家對於AI的認知及素養還不足夠，例如將BI包裝為AI，或是LLM需要資料庫，忽視底層邏輯和技術本質，在AI的時代下，不論是個人或企業都必需建立對AI的基礎素養，瞭解AI的能與不能、風險、底層邏輯等等，其次是具備使用能力，例如使用ChatGPT、Gemini，「當別人已穿上盔甲，你還要肉身和他博鬥嗎？」</p> <p>他也提醒在企業內，一個人使用能提升效率，但是當多個人使用AI時，工作流程則需要重新思考調整。</p> <p>國科會主委吳成文曾外解釋，臺灣要成為AI科技島，要成為AI產業運用的大國，需要推廣應用AI、開發AI、研究AI，個人或企業認知素養屬於應用AI的範籌；至於研發AI的能力，臺灣人工智慧學校今年上半年已和數發部合作，制定AI人才職務及發展確立發展路徑，數發部也公布「AI產業人才認定指引」。</p> <p>蔡明順表示，AI人才認定指引如同過去的電腦化發展，對不同職務的人才能力及認定，作為企業徵才、詮敘用留、人資管理的依據，AI人才認定指引不只是推向企業，也推到政府機關，建立一致的AI人才認定，讓企業和政府機關在共同人才認定基礎上推動AI。</p> <p>人工智慧學校將AI的人才分為使用AI、實作AI、管理AI三大類，使用AI需具備使用能力及素養，占約9成的AI人才，實作AI則是工程實作開發AI產品或服務者，約占8到9%，管理AI的人才為規範及治理AI，約為1到2%。目前AIA在認證上，分別對應AIA素養級、工程級、管理級三個認證。目前已有超過1,500名取得素養級、工程級認證。</p> <p> </p> </div></div></div>
2025/9/5 18:43作者蘇文彬https://www.ithome.com.tw/news/171039
CISA示警TP-Link Archer C7、TL-WR841N兩漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局CISA將兩項影響TP-Link路由器的弱點，<a href="https://www.cisa.gov/news-events/alerts/2025/09/03/cisa-adds-two-known-exploited-vulnerabilities-catalog">納入</a>已知高風險漏洞(Known Exploited Vulnerabilities，KEV) 名單，分別為<a href="https://www.cve.org/CVERecord?id=CVE-2023-50224">CVE-2023-50224</a>與<a href="https://www.cve.org/CVERecord?id=CVE-2025-9377">CVE-2025-9377</a>。</p> <p>CISA表示，這些漏洞已出現實際攻擊跡象，要求聯邦文官體系美國聯邦文職行政部門（Federal Civilian Executive Branch，FCEB）必須在9月24日前依廠商指示完成修補，當無法修補應採取緩解措施或停用受影響設備。同時，CISA也呼籲一般組織將KEV列為弱點管理的優先處理項目，以降低系統暴露風險。</p> <p>CVE-2025-9377屬於OS指令注入，出現在Archer C7（EU）V2與TL-WR841N/ND（MS）V9的家長控制頁面，屬已驗證且需高權限的遠端命令執行，當攻擊者具管理權限，得在裝置上執行任意系統指令。</p> <p>另一項漏洞CVE-2023-50224影響TL-WR841N，屬於驗證繞過問題，成因位於預設監聽TCP連接埠80的httpd服務，其允許網路相鄰的攻擊者，在無需驗證的情況下，透過預設監聽TCP連接埠80的httpd服務，擷取裝置內儲存的憑證。</p> <p>根據CISA的BOD 22-01指令，只要被列入KEV的漏洞皆被視為已知遭利用，且對聯邦企業環境具有重大風險，FCEB機關必須依CISA指定的期限採取修補或替代措施，以確保網路安全。雖然該指令僅適用於FCEB，但CISA建議所有企業與組織比照辦理，將KEV納入修補排程與風險控管流程，以避免因管理介面外露或存取控制不足而遭受攻擊。</p> </div></div></div>
2025/9/5 16:27作者李建興https://www.ithome.com.tw/news/171026
JetBlue成為首家採用Amazon Project Kuiper衛星網路的航空公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/jetblue-amazon-project-kuiper-in-flight-wifi-partnership" target="_blank">Amazon周四（9/4）宣布</a>，美國廉價航空公司JetBlue將在2027年導入Project Kuiper衛星技術，強化其機上免費Fly-Fi無線網路服務，成為首家採用Kuiper衛星網路的航空業者。</p> <p>Amazon於2019年發表的Project Kuiper衛星專案，計畫於離地球590~630公里的軌道上部署3,236顆衛星，其單一裝置下載速度最高可達1Gbps。</p> <p>JetBlue自2013年便推出免費的Wi-Fi網路，未來將藉由Kuiper持續該服務。JetBlue總裁Marty George表示，這是機上連線的一大飛躍，讓乘客無論是追劇、與親友保持聯繫，或完成工作，都能保持高效。<a href="https://www.wsj.com/business/telecom/amazons-satellite-internet-venture-signs-up-its-first-airline-42b3264a?st=5kX5E1&reflink=desktopwebshare_permalink" target="_blank">根據華爾街日報（WSJ）的報導</a>，JetBlue將在25%的飛機中導入Kuiper衛星網路。</p> <p>除了JetBlue之外，Amazon最近也與歐洲飛機製造商Airbus簽署合作協議，把Kuiper連線解決方案納入飛機產品選項。迄今Amazon已透過4次火箭發射將超過100顆Kuiper衛星送入軌道，並持續加速生產與部署，目標是在今年內向首批客戶提供服務，並逐步擴大覆蓋範圍。</p> <p>至於其主要競爭對手SpaceX的Starlink衛星軌道高度，則介於340~550公里之間，已部署超過6,000顆衛星，目標是1.2萬到3.44萬顆，迄今已於許多國家推出服務，全球訂閱用戶數已突破400萬。Starlink衛星連網服務有一個349美元的一次性硬體費用，月租費則介於80~120美元之間。此外，包括夏威夷航空（Hawaiian Airlines）、達美航空（Delta Air Lines）、airBaltic、LOT Polish Airlines及卡達航空（Qatar Airways）都已採用Starlink服務。</p> </div></div></div>
2025/9/5 16:37作者陳曉莉https://www.ithome.com.tw/news/171028
Tempo啟動封測，Stripe與Paradigm聯手打造穩定幣支付公鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stripe與Paradigm共同宣布<a href="https://www.paradigm.xyz/2025/09/tempo-payments-first-blockchain">推出</a>Tempo，這是一條以支付為優先考量的區塊鏈，並啟動封測計畫。Tempo針對穩定幣及真實世界支付，嘗試解決當前區塊鏈多偏向交易場景設計，卻在支付領域缺乏專門基礎設施的問題。官方強調<a href="https://tempo.xyz/">Tempo</a>不是單純的新公鏈實驗，而是Stripe在全球支付網路多年經驗，與Paradigm在加密研究與開發專長的結合成果。</p> <p>Stripe在全球擁有龐大的支付網路，服務對象涵蓋各類商家與開發者，熟悉跨境收付、法遵與清算機制，而Paradigm則長期投入加密產業投資與技術建設，除了資金支持，也參與開發與研究。Tempo正是這兩方背景融合的產物，目標將支付場景下的實務需求，融入區塊鏈層級設計，提供比現有通用公鏈更適合支付的解決方案。</p> <p>穩定幣是一類與美元、歐元或黃金等資產掛鉤的加密貨幣，目標是維持幣值穩定，避免比特幣或以太幣的劇烈波動。常見用途包括跨境匯款、交易所資金結算，以及企業支付工具，因此被視為區塊鏈走向實際支付的關鍵。</p> <p>Tempo要讓穩定幣能更廣泛應用於日常與企業支付，涵蓋跨境匯款、薪資發放、代幣化存款（Tokenized Deposit）的即時結算、內嵌金融帳戶（Embedded Financial Account）、微支付與代理式（Agentic）支付等情境。與以交易撮合為核心的鏈上設計不同，Tempo關注成本可控、交易最終性（Finality），以及對帳和法遵整合的便利性等，例如支援付款備註符合ISO 20022、法遵整合機制與可預期的低費率。</p> <p>官方進一步解釋Tempo為EVM相容的L1公有鏈，設計上不意圖取代通用公鏈，而是針對高頻支付做取捨與強化。驗證節點將由多家獨立實體，包括部分設計夥伴先行運行，後續過渡到無許可的驗證模型。</p> <p>由於要確保系統架構能符合產業規模的要求，Tempo在設計階段就引入多方回饋，合作單位包括Anthropic、Coupang、Deutsche Bank、Nubank、OpenAI、Revolut、Shopify與Visa等，橫跨人工智慧、電商、銀行與支付服務，從不同角度提供開發團隊意見，避免區塊鏈的設計侷限於單一技術觀點。</p> <p>Tempo是一家獨立的新公司，由Paradigm共同創辦人Matt Huang領導，他同時仍與Alana Palmedo共同負責Paradigm。Paradigm強調，孵化像Tempo這樣的公司並非常態，而是基於穩定幣快速普及所帶來的新需求，才選擇成立專門團隊推動。官方也強調Tempo將與既有基礎設施互補，目的在於推動更多企業採用鏈上支付工具，而不是取代既有生態。</p> </div></div></div>
2025/9/5 16:52作者李建興https://www.ithome.com.tw/news/171027
奈米香蕉模型爆紅，上線10天生成破2億張圖，下周小改版將支援更高解析度的圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>奈米香蕉模型大爆紅，Google公布這款新模型的最新使用數據，上線十天，已經生成超過2億張圖片，尤其是亞太地區參與度最積極，甚至領導了全世界的用法。臺灣爆紅的「公仔提示」，正是奈米香蕉（Nano Banana）模型生成圖片的第一名提示。</p> <p>Google早在3月時，就發表了第一款圖片編輯模型Gemini 2.0 Flash，可以透過多輪的對話，來修改圖片的內容，這款模型大受好評，但是用戶希望有更好的圖片編輯能力，特別想保留自己的模樣。</p> <p>上週二(8/26)，Google推出了新款的圖片編輯模型Gemini 2.5 Flash Image，也就是大家熱烈討論的Nano Banana模型，負責Gemini應用多模態生成技術的Google產品經理David Sharon表示：「這款模型最大的突破點是，可以保留原圖的相似性和臉部特徵，讓使用者可以用全新的方式想像自己。」</p> <p>新款模型大受好評，上線才十天，全球爆量生成了超過2億張圖片，Gemini應用程式也多了1千萬名新用戶。Google特別對亞太區用戶的參與程度感到驚訝，特別是泰國、印尼和菲律賓。菲律賓生成超過2千5百萬張圖片，印尼2千萬張，泰國也多達1850萬張之多。David Sharon強調：「亞太地區領導了全世界怎麼使用這款新模型。」</p> <p>像是，有人會生成自己在不同年齡的模樣，或是自己身處在不同年代，60、70、80年代，或是在知名電影場景中的模樣。在泰國、印尼和菲律賓最瘋傳的就是「公仔提示」，把自己變成一個3D公仔和包裝盒，這是目前第一名的提示指令。</p> <p>Nano Banana模型背後包括了兩套模型，一款是專門生成圖片的擴散模型(Diffusion Model)，也就是可以產生高度擬真圖片的Imagen 4，另一套則是Gemini模型，像是Gemini Flash 2.5或Pro 2.5，透過Gemini模型的邏輯、推理、程式開發和世界知識，來教導擴散模型如何生成圖片。這款模型也是一個多工模型，可以用來做不同的任務。</p> <p>目前的奈米香蕉模型版本，還沒釋出Google計畫提供的最佳解析度版本，David Sharon透露，模型端和用戶端還有一些問題需要處理，預計下周的模型更新，就可以提供比現在更高解析度的圖片，也開放下載，至於4K解析度等更好畫質的版本，則還沒有釋出的計畫。 </p> <p>每一張從Google模型生成的圖片，都會隱藏了SynthID的隱形數位浮水印，可以用來判斷一張圖是否是Googel的AI所生成。凡是透過Google任何服務，進行任何處理的AI圖片，都會保留原始的浮水印。Google正在開發一款消費端工具，可以讓一般用上傳圖片來檢查。</p> <p>為了避免圖片生成工具遭到濫用，Google內部進行了大量紅隊測試、評估和政策討論，也提供許多防護柵欄和安全過濾器，SynthID數位浮水印也是其中一項因應機制。</p> <p>Google透露，未來半年的首頁目標是服務使用者，因為用戶成長速度非常驚人，我們正全力跟上這個需求，並根據用戶回饋的問題來改善。目前這款模型還有一些前瞻挑戰有待解決，像是一張圖多次對話修改後品質下滑的問題，或是同一場景中多個角色的圖像品質改善等。目前，Gemini應用App是Nano Banana的主要消費端平臺，還沒有將這款模型發展成獨立App的規畫。</p> <p>David Sharon透露，我們很興奮地嘗試和致力於可以讓Gemini生成的圖片能自動製作影片，從圖片到影片的跨模態運用這項功能是我們的關注範圍，但是目前沒有時間表。</p> <p> </p> </div></div></div>
2025/9/5 16:54作者王宏仁https://www.ithome.com.tw/news/171029
輪胎大廠普利司通遭遇網路攻擊，生產受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週汽車製造商Jaguar Land Rover<a href="https://www.ithome.com.tw/news/170991">發布聲明表示發生資安事故</a>，但在此同時，也有零件製造商也傳出工廠遭遇網路攻擊的情況。</p> <p>根據資安新聞網站<a href="https://www.bleepingcomputer.com/news/security/tire-giant-bridgestone-confirms-cyberattack-impacts-manufacturing/">Bleeping Computer</a>、<a href="https://www.darkreading.com/cyberattacks-data-breaches/bridgestone-americas-cyberattack">Dark Reading</a>、<a href="https://gbhackers.com/bridgestone-confirms-cyberattack/">Gbhackers</a>的報導，輪胎大廠普利司通北美分公司（Bridgestone Americas，BSA）遭遇網路攻擊，影響該公司的工廠營運。</p> <p>這波網路攻擊事故的揭露，最早在9月2日<a href="https://www.wrdw.com/2025/09/01/bridgestone-americas-confirms-cyber-attack-some-facilities/">美國喬治亞州電視臺WRDW-TV的報導指出</a>，BSA有兩座位於艾坎郡（Aiken County）的工廠遭遇局部的資安事故，影響部分生產設備。BSA全面啟動調查，並表示情況已經受到控制。雖然該公司透露他們的業務運作正常，但也指出工作受到影響的人員，可選擇留在公司上班執行預防性維護，或是回家放無薪假。此外，該公司初步認為客戶資料未受到波及。</p> <p>隔天<a href="https://monjoliette.com/cyberincident-chez-bridgestone-joliette/">加拿大新聞網站MonJoliette報導指出</a>，BSA位於魁北克省喬利埃特的輪胎製造工廠，也因網路攻擊暫停營運，喬利埃特市長Pierre-Luc Bellerose透露，這起事故恐影響普利司通北美所有工廠，在喬利埃特市估計有1,400名員工受到影響，這起事故的整體影響範圍及復原時間，目前仍不得而知。BSA向該新聞網站證實，他們正著手調查，現階段客戶資料尚未受到攻擊影響。</p> <p>值得留意的是，BSA並非首度遭受網路攻擊。2022年該公司發生資安事故，<a href="https://www.bleepingcomputer.com/news/security/bridgestone-americas-confirms-ransomware-attack-lockbit-leaks-data/">勒索軟體駭客組織LockBit聲稱是他們所為</a>，並竊得內部資料。</p> </div></div></div>
2025/9/5 10:49作者周峻佑https://www.ithome.com.tw/news/171016
俄羅斯駭客APT28鎖定北約成員國而來，對收信軟體Outlook用戶部署後門NotDoor
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前俄羅斯駭客APT28鎖定收信軟體Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8），<a href="https://www.ithome.com.tw/news/160246">針對北約組織（NATO）成員國下手</a>，目的是挾持Exchange電子郵件信箱帳號，如今這些駭客使用新的後門程式犯案，引起資安業者的注意。</p> <p>資安業者S2 Grupo指出，APT28近期<a href="https://lab52.io/blog/analyzing-notdoor-inside-apt28s-expanding-arsenal/">使用名為NotDoor的後門程式</a>，對北約成員國的企業組織發動攻擊，此後門實際上是Outlook的VBA巨集，功能是監控傳入的電子郵件，一旦出現特定的文字，就會試圖接收攻擊者的命令，然後竊取資料、上傳檔案，或是在受害電腦執行命令。</p> <p>為了迴邀偵測，駭客濫用微軟檔案共享服務OneDrive的應用程式執行檔，透過DLL側載手法載入惡意檔案SSPICLI.dll，於受害電腦植入NotDoor，並停用巨集防護機制。過程中惡意程式載入工具會執行經Base64處理的PowerShell命令，以便達成目的。</p> <p>此後門程式相當隱密，S2 Grupo上傳至VirusTotal，64個防毒引擎僅有4個將其視為有害。而對於該後門的運作方式，主要是在Outlook啟動或是收到新郵件的時候，透過特定的事件來觸發、執行程式碼。NotDoor有4項功能，分別是執行命令、執行命令並透過郵件附件回傳結果、外洩受害電腦資料，以及上傳檔案到受害電腦。</p> </div></div></div>
2025/9/5 11:22作者周峻佑https://www.ithome.com.tw/news/171020
【資安日報】9月5日，大規模DDoS攻擊流量達到11.5 Tbps，再創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大規模分散式阻斷服務（DDoS）攻擊事故本週再度出現在新聞版面而受到關注，但本週資安業者Cloudflare揭露的事故相當特別，因為不只是流量再度增加，從5月的7.3 Tbps增加至11.5 Tbps，更值得留意的是，流量來源的判定可能也變得更加困難，因為，該公司一開始認為主要來自Google的雲端環境，後續才改口表示，實際上來自多家雲端供應商及物聯網裝置。</p> <p>在癱瘓網站運作的事故之外，國家級APT駭客的攻擊活動也是需要加以防範的對象，例如：俄羅斯駭客APT28在收信軟體Outlook部署後門程式NotDoor、北韓駭客Lazarus鎖定金融與加密貨幣產業的攻擊行動，還有中國駭客Silver Fox發動自帶驅動程式攻擊（BYOVD）的現象，都需要用戶提高警覺。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171004"><strong style="font-size: 22px;">Cloudflare阻擋11.5 Tbps超高流量DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gzxpms8XQAA9x6H.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gzxpms8XQAA9x6H.jpg" style="width: 300px; float: right;" /></a></p> <p>最近Cloudflare自動化防禦在短短數十秒內，攔下峰值11.5 Tbps的DDoS攻擊，封包速率最高達5.1 Bpps，官方說明這是一場UDP洪水攻擊，持續約35秒。此外，過去數周Cloudflare自動化防禦，也已持續攔截數百起超高流量（Hyper-volumetric）攻擊。</p> <p>事件最初Cloudflare在X提到攻擊流量「主要來自Google雲端」，但官方其後在社群更新，改口指出11.5 Tbps流量其實同時來自多個IoT裝置與多家雲端供應商，Google雲端只是其中之一，並非主要來源。</p> <p>因UDP無需連線交握，攻擊者能在極短時間內把龐大流量，推送邊界路由器或上游連線，讓正常連線擁塞、丟包，服務對外呈現不可用。這種攻擊多半鎖定L3/L4層，需要在網路邊界採取即時自動化偵測與限速策略，才能在秒級爆量時維持可用性。</p> <p><a href="https://www.ithome.com.tw/news/171016"><strong style="font-size: 22px;">輪胎大廠普利司通遭遇網路攻擊，生產受到影響</strong></a></p> <p>根據資安新聞網站Bleeping Computer、Dark Reading、Gbhackers的報導，輪胎大廠普利司通北美分公司（Bridgestone Americas，BSA）遭遇網路攻擊，影響該公司的工廠營運。</p> <p>這波網路攻擊事故的揭露，最早在9月2日美國喬治亞州電視臺WRDW-TV的報導指出，BSA有兩座位於艾坎郡（Aiken County）的工廠遭遇局部的資安事故，影響部分生產設備。BSA全面啟動調查，並表示情況已經受到控制。雖然該公司透露他們的業務運作正常，但也指出工作受到影響的人員，可選擇留在公司上班執行預防性維護，或是回家放無薪假。此外，該公司初步認為客戶資料未受到波及。</p> <p>隔天加拿大新聞網站MonJoliette報導指出，BSA位於魁北克省喬利埃特的輪胎製造工廠，也因網路攻擊暫停營運，喬利埃特市長Pierre-Luc Bellerose透露，這起事故恐影響普利司通北美所有工廠，在喬利埃特市估計有1,400名員工受到影響，這起事故的整體影響範圍及復原時間，目前仍不得而知。BSA向該新聞網站證實，他們正著手調查，現階段客戶資料尚未受到攻擊影響。</p> <p><a href="https://www.ithome.com.tw/news/171020"><strong style="font-size: 22px;">俄羅斯駭客APT28鎖定北約成員國而來，對收信軟體Outlook用戶部署後門NotDoor</strong></a></p> <p>兩年前俄羅斯駭客APT28鎖定收信軟體Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8），針對北約組織（NATO）成員國下手，目的是挾持Exchange電子郵件信箱帳號，如今這些駭客使用新的後門程式犯案，引起資安業者的注意。</p> <p>資安業者S2 Grupo指出，APT28近期使用名為NotDoor的後門程式，對北約成員國的企業組織發動攻擊，此後門實際上是Outlook的VBA巨集，功能是監控傳入的電子郵件，一旦出現特定的文字，就會試圖接收攻擊者的命令，然後竊取資料、上傳檔案，或是在受害電腦執行命令。</p> <p>為了迴邀偵測，駭客濫用微軟檔案共享服務OneDrive的應用程式執行檔，透過DLL側載手法載入惡意檔案SSPICLI.dll，於受害電腦植入NotDoor，並停用巨集防護機制。過程中惡意程式載入工具會執行經Base64處理的PowerShell命令，以便達成目的。</p> <p><a href="https://www.ithome.com.tw/news/171005"><strong style="font-size: 22px;">北韓駭客Lazarus運用PondRAT、ThemeForestRAT、RemotePE對金融與加密貨幣產業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lazarus-attack-overview.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lazarus-attack-overview.png" style="width: 300px; float: right;" /></a></p> <p>惡名昭彰的北韓駭客組織Lazarus，繼今年5月傳出攻擊臺灣加密貨幣交易所幣託（BitoPro）引起關注，最近有資安業者針對駭客使用的作案工具公布調查結果，指出Lazarus旗下團隊去年先後使用3款遠端存取木馬（RAT）犯案，使得攻擊行動變得更加隱密且難以捉摸。</p> <p>資安業者Fox-IT、NCC Group聯手，在最近幾年針對北韓駭客組織Lazarus旗下的特定團體進行追蹤，發現這些駭客涉嫌犯下多起資安事故，主要目標是金融與加密貨幣產業，特別的是，這些駭客在活動裡會運用多款RAT木馬，包括：PondRAT、ThemeForestRAT，以及RemotePE。</p> <p>在去年一起針對去中心化金融（DeFi）組織的資安事故裡，駭客先是在Telegram假冒貿易公司的員工，透過假的會議網站接觸員工，接著，該名員工的電腦遭到入侵，被植入PondRAT，雖然Fox-IT推測駭客使用了Chrome零時差漏洞，但無法確認入侵的手法。</p> <p><a href="https://www.ithome.com.tw/news/170993"><strong style="font-size: 22px;">中國駭客Silver Fox濫用微軟簽署的驅動程式，散布ValleyRAT木馬</strong></a></p> <p>資安公司Check Point研究人員揭露，中國APT駭客組織Silver Fox在近期攻擊活動中，利用一款由微軟簽署，卻未列入任何封鎖清單的WatchDog Antimalware驅動程式，繞過Windows10與11的安全機制，進一步關閉防毒與EDR等防護工具，最後植入遠端存取木馬ValleyRAT。</p> <p>研究人員觀察到，攻擊者準備了兩種驅動程式，以因應不同版本的Windows版本，在Windows 7等舊版系統，他們載入早已知名且被列管的Zemana驅動程式ZAM.exe 3.0.0.000，而在新版Windows10與11上，則使用之前未被發現有問題的WatchDog驅動程式amsdk.sys 1.0.600。兩者皆能繞過作業系統的受保護程序（PP/PPL）機制，直接終止EDR或防毒軟體的關鍵服務。當安全工具被迫關閉後，惡意程式得以不受干擾地進行下一步操作。</p> <p>駭客攻擊流程通常由多功能惡意載入器啟動，惡意載入器在執行時會先檢查是否處於虛擬環境或沙箱，以規避分析。當判斷為安全環境，便會載入相應驅動，進行程序終止，再下載並啟動ValleyRAT。研究人員也指出，惡意程式具備持久化機制，確保受害電腦重新開機後仍會繼續執行。</p> <p><a href="https://www.ithome.com.tw/news/170855"><strong style="font-size: 22px;">Anatsa安卓金融木馬再擴散，鎖定攻擊831款財務與加密貨幣App</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anatsa_2025_figure_2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/anatsa_2025_figure_2.png" style="width: 300px; float: right;" /></a>資安公司Zscaler研究團隊指出，Android銀行木馬Anatsa（又稱TeaBot）持續活躍，並透過偽裝成文件閱讀器等工具型應用程式上架至Google Play，以規避檢測並吸引用戶下載。最新研究顯示，Anatsa目前針對的金融與加密貨幣應用已達831款，顯示其投遞手法與反分析技術再度升級。</p> <p>為避免被發現，Anatsa在啟動前會先檢查裝置是否為模擬器或測試環境，如果發現異常，就只顯示檔案管理介面，維持正常App的假象。一旦確認環境安全，便會釋出木馬惡意酬載進一步展開行動。</p> <p>核心攻擊手法在於竊取金融憑證，當Anatsa偵測到手機內安裝了特定銀行或交易App時，會從C2伺服器下載與該App介面相似的偽造登入頁面，誘騙使用者輸入帳號與密碼，再將這些資訊回傳給攻擊者。研究人員指出，目前Anatsa能對831款金融與加密服務進行此類攻擊，覆蓋歐洲與美國，且本輪新增納入德國與韓國，並擴及多個加密貨幣平臺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploited-sitecore-zero-day-flaw-to-deploy-backdoors/">Sitecore零時差漏洞遭到利用，攻擊者用於植入後門</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/181886/hacking/u-s-cisa-adds-tp-link-archer-c7eu-and-tl-wr841n-flaws-to-its-known-exploited-vulnerabilities-catalog.html">美國指出TP-Link Archer C7、TL-WR841N已知漏洞遭到利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ghostredirector-hacks-65-windows.html">駭客組織GhostRedirector鎖定65臺伺服器下手，散布後門程式Rungan、IIS模組Gamshen</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/noisybear-exploits-zip-files/">駭客組織NoisyBear透過ZIP檔案散布PowerShell載入工具，並進行資料外洩</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/article/170892"><strong style="font-size: 22px;">【iThome 2025企業資安大調查｜企業資安人力】三分之一企業有意招募資安人才，服務業需求程度遠超以往</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1249-封面-5-資安人力-600-2-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1249-%E5%B0%81%E9%9D%A2-5-%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-2-PNG.png" style="width: 300px; float: right;" /></a>儘管生成式AI興起後，預期有助於緩解資安產業的人力不足，但企業防守方的資安人力剛性需求依舊存在。根據iThome 2025年資安大調查，以臺灣大型企業而言，今年要招募資安人才的企業，整體比例為3成2，也就是每3家企業就有1家企業要徵求資安人才，需求不低。若與近三年概況相比，自2022年首次突破3成比例以來，2023年增至3成7，2024年更是來到4成2的比例，這也突顯去年多家企業大舉招聘資安人才後，今年需求有放緩的態勢。</p> <p>從產業別來看，最特別是服務業，今年有4成服務業要招募資安人才，等於每5家企業就有2家企業要找資安人才，顯現出與過往不同的態勢，高科技業亦有3成3比例的水準；不過，金融招募人才的企業比例大幅降低，從前幾年高達7成降至今年的5成，至於醫療業與一般製造業的比例則在2成左右或不到。</p> <p>從資安人力數量需求來看，今年的人力剛性需求更是體現於此，去年臺灣大型企業平均擴編了約2.7名資安人員，而今年預計將再增加2.9名，這顯示出資安人力需求仍在，需求增長率約6％。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/apple-seeks-researchers-for-2026-iphone-security-program/">蘋果開放申請2026年iPhone資安研究專案</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171008"><strong>【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170992"><strong>【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170956"><strong>【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> </div></div></div>
2025/9/5 11:50作者周峻佑https://www.ithome.com.tw/news/171021
軟體業者Atlassian宣布買下The Browser Company
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.atlassian.com/news/news-details/2025/Atlassian-Enters-Into-Definitive-Agreement-to-Acquire-The-Browser-Company-of-New-York/default.aspx" target="_blank">軟體業者Atlassian周四（9/4）宣布</a>，已與The Browser Company達成最終收購協議，將以6.1億美元的現金買下The Browser Company，預計於今年第四季完成交易。</p> <p>2002年成立的Atlassian總部位於澳洲，在2015年於美國那斯達克（Nasdaq）上市，主要開發團隊協作與開發工具，知名產品包括Jira、Confluence、Trello及Bitbucket等，被廣泛應用在專案管理、文件協作、程式碼管理及敏捷開發上，採用SaaS訂閱模式，全球客戶超過30萬家，包括8成的Fortune 500企業。</p> <p>至於The Browser Company是由曾擔任白宮產品總監的Josh Miller，以及曾擔任Facebook工程師的Hursh Agrawal於2019年共同創辦，現在分別擔任執行長與技術長，目的是打造一款可解決使用者瀏覽及生產力問題的網頁瀏覽工具，讓瀏覽器成為網路作業系統，於2023年發表奠基於Chromium專案的Arc 1.0，並在去年10月宣布將不再繼續開發新版本的Arc，轉而在今年6月發表AI瀏覽器Dia。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-how-to-web%20Skill%20by%20Team%20Dia_Dia%20Browser-The%20Browser%20Company%20of%20New%20York.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-mobile_browser-arc_search-the_browser_company_of_new_york-600%5B1%5D.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／The Browser Company</span></span></p> <p><a href="https://www.atlassian.com/blog/announcements/atlassian-acquires-the-browser-company" target="_blank">Atlassian共同創辦人暨執行長Mike Cannon-Brookes表示</a>，現代的瀏覽器通常是為了瀏覽而非工作而設計的，他們想讓Dia成為知識工作者的瀏覽器，針對SaaS應用進行最佳化，內含各種AI技能與工作記憶，同時具備信任與安全。</p> <p><a href="https://browsercompany.substack.com/p/your-tuesday-in-2030" target="_blank">至於Miller則說</a>，瀏覽器是現代生活中最重要也最被忽視的軟體，它是電腦的重心，但已超過10年沒有進展了，在加入Atlassian之後，他與Agrawal將繼續留任執行長與技術長，將保留Arc與Arc Search，並專注於開發Dia，打造一個不受平臺限制、功能完整的瀏覽器。</p> <p>6.1億美元的價格計入了The Browser Company既有的現金，此一收購案預計於Atlassian在2026財年的第二季完成，約莫是今年第四季。</p> </div></div></div>
2025/9/5 12:02作者陳曉莉https://www.ithome.com.tw/news/171023
Google釋出嵌入模型EmbeddingGemma，主打裝置端離線RAG與語義搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布開源嵌入模型<a href="https://developers.googleblog.com/en/introducing-embeddinggemma/">EmbeddingGemma</a>，定位在裝置端離線情境下，提供語義搜尋與檢索增強生成（RAG）所需的文字向量。官方指出，該模型以3.08億（308M）參數在MTEB多語榜單中，為5億（500M）參數以下的開源模型最高排名，支援100多種語言，並透過量化感知訓練降低記憶體占用，可在低於200 MB記憶體環境執行，目標是讓行動裝置、筆電與桌機在無網路下也能完成檢索與問答。</p> <p>EmbeddingGemma以Gemma 3架構為基礎，由約1億（100M）模型參數與約2億（200M）嵌入參數組成。模型提供約2,000 Token上下文長度，並與Gemma 3n共用分詞器，便於在同一裝置上以EmbeddingGemma完成檢索，再交由Gemma 3或Gemma 3n生成回答，縮短系統整體記憶體使用量。官方強調在EdgeTPU上處理256 Token輸入時，嵌入推論延遲可低於15 ms，對即時互動式應用具參考價值。</p> <p>EmbeddingGemma採用Matryoshka Representation Learning（MRL），單一模型即可輸出多種維度的向量，提供768、512、256與128等尺寸選擇，讓開發者在檢索品質、延遲與儲存成本之間調整取捨。對RAG流程而言，檢索階段的相似度計算仰賴嵌入品質，嵌入越能刻畫語意與語境，越有助於找出與查詢最相關的段落並減少離題或錯誤回答。</p> <p>EmbeddingGemma以離線與隱私為設計重點，文件與查詢的向量化皆在本地硬體完成，可用於搜尋個人檔案、簡訊、電子郵件與通知等資料來源，或建立企業知識庫本地檢索入口。模型與常見工具鏈整合，包含llama.cpp、MLX、Ollama、transformers.js、LM Studio、LlamaIndex與LangChain，並提供瀏覽器端的互動展示以視覺化文字嵌入。</p> <p>Google將EmbeddingGemma定位為裝置端的嵌入解決方案，對需要離線運作、注重資料主權或希望在終端快速回應的應用較為合適，而面向大規模伺服器端服務，官方建議改採Gemini Embedding。</p> </div></div></div>
2025/9/5 12:27作者李建興https://www.ithome.com.tw/news/171022
華納兄弟探索控告Midjourney侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華納兄弟探索（Warner Bros. Discovery）本周<a href="https://s3.documentcloud.org/documents/26083934/wb-v-midjourney.pdf" target="_blank">控告美國AI新創Midjourney侵權</a>，加入<a href="https://www.ithome.com.tw/news/169505" target="_blank">華特迪士尼（Walt Disney Company）及環球影業（Universal Pictures）</a>的行列。</p> <p>Midjourney是在2022年，由Leap Motion的共同創辦人David Holz所創立，主要提供圖像生成服務，於2022年所生成的作品便獲得<a href="https://www.ithome.com.tw/news/152875" target="_blank">科羅拉多州當地美術競賽數位藝術組冠軍</a>，繼之於2025年6月推出<a href="https://www.ithome.com.tw/news/169628" target="_blank">影片生成模型V1</a>。不過，迪士尼與環球影業在今年聯手控告Midjourney侵權，原因是Midjourney在未取得授權的情況下，利用它們所創造的角色來訓練模型，也允許生成採用其角色的作品。</p> <p>而華納兄弟探索的控訴也相去不遠，指控Midjourney使用未經授權的華納作品來訓練模型，並允許使用者生成包含華納角色的圖片及影片，還能公開展示、分發與下載，使用者還透過各種管道公開展示所生成的侵權內容，涵蓋Midjourney Explore、Midjourney TV、YouTube、Discord、Reddit或其它社交媒體等。</p> <p>該公司所主張的著作權資產包括超人、蝙蝠俠、神力女超人、兔巴哥、湯姆與傑利、史酷比及飛天小女警等。</p> <p>華納兄弟探索認為，Midjourney曾經短暫阻止影片生成華納角色，證明該公司有能力辨識及限制侵權，但之後卻移除了相關限制，並讓消費者誤以為輸出內容獲得授權。此外，Midjourney在2023年創造了2億美元的營收，隔年增加至3億美元，應與其大量利用受保護的角色有直接關聯。</p> <p>迄今Midjourney並未對外回應此一新的訴訟案，不過根據外電報導，先前Midjourney曾主張使用受保護作品來訓練AI屬於合理使用原則。</p> </div></div></div>
2025/9/5 12:37作者陳曉莉https://www.ithome.com.tw/news/171024
OpenAI計畫推出AI人才媒合平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI剛上任的<a href="https://www.ithome.com.tw/news/168850" target="_blank">應用執行長Fidji Simo</a>周四（9/4）宣布，為了擴大人工智慧（AI）的經濟機會，<a href="https://openai.com/index/expanding-economic-opportunity-with-ai/" target="_blank">該公司將推動OpenAI證書（OpenAI Certifications），並建立AI人才媒合平臺OpenAI Jobs Platform</a>。</p> <p>根據外電報導，OpenAI證書今年就會推出，OpenAI Jobs Platform則會於明年上線。</p> <p><a href="https://www.bcg.com/publications/2024/gen-ai-increases-productivity-and-expands-capabilities" target="_blank">OpenAI在2024年委由波士頓顧問公司（BCG）進行一項實驗性研究</a>，要求逾480名的BCG顧問完成3項資料科學相關任務，包括撰寫Python程式，建立機器學習預測模型，以及驗證及修正統計分析結果，其中有一半使用生成式AI（GenAI），另一半則否。結果顯示利用GenAI的顧問就算毫無程式經驗，也能完成程式任務，平均達到專業資料科學家水準的84%以上，而未使用GenAI的顧問平均只有29%。</p> <p>這使得OpenAI在今年推出免費<a href="https://academy.openai.com/" target="_blank">線上學習平臺OpenAI Academy</a>，提供AI課程與社群資源，已吸引超過200萬人參與，並將讓它成為OpenAI證書的基礎。</p> <p>Simo說明，OpenAI將在Academy上推出不同等級的OpenAI證書，從AI的基礎使用到進階的提示工程，任何人都能透過ChatGPT的學習模式（Study Mode）準備並完成測驗，計畫在2030年前，替1,000萬名美國人提供認證。</p> <p>Walmart將是OpenAI認證的合作夥伴之一，準備把OpenAI Academy及Certifications導入員工訓練，讓員工都能具備AI技能。Walmart執行長John Furner認為，零售業未來的競爭優勢不只在於技術，而是讓員工真正能運用這些工具。</p> <p>OpenAI的新聞稿並未著墨太多OpenAI Jobs Platform，<a href="https://www.bloomberg.com/news/articles/2025-09-04/openai-unveils-jobs-platform-certification-program-for-ai-roles" target="_blank">但根據彭博社（Bloomberg）的報導</a>，OpenAI打算利用AI來替政府與企業尋找適合的人才，成為LinkedIn的競爭者。</p> </div></div></div>
2025/9/5 11:17作者陳曉莉https://www.ithome.com.tw/news/171018
LangChain 1.0引入統一代理設計，提升代理開發一致性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LangChain團隊<a href="https://blog.langchain.com/langchain-langchain-1-0-alpha-releases/">正式推出LangChain與LangGraph的1.0 Alpha版本</a>，支援Python與JavaScript。此次更新以代理為核心，將LangChain重新定位為高階框架，建立在LangGraph代理執行時系統（Agent Runtime）之上，並在LangChain Core導入標準化的訊息內容區塊。官方表示目前仍處於Alpha測試階段，穩定版預計在10月下旬釋出。</p> <p>LangChain是目前人工智慧應用領域相當受歡迎的開發函式庫與框架，提供標準化的模型抽象、工具呼叫、記憶與資料連接功能，協助開發者把大型語言模型，組裝成可落地的代理與工作流程，並降低對單一供應商的依賴。</p> <p>過去LangChain有以鏈（Chain）或是代理（Agent）為主的兩種使用方式，新版本則透過create_agent提供統一入口。在新架構下，開發者仍然可以透過既有的方式建置人工智慧助手，也就是先將一組工具提供給模型，模型再依情境決定是否需要呼叫這些工具，執行後回傳結果並持續推進，直到最終完成指定任務，只不過現在底層由LangGraph接手執行與管理狀態。官方表示將推出langchain-legacy套件，以降低升級衝擊，讓既有專案在過渡期仍能維持原有功能。</p> <p>LangGraph在此次更新中升至1.0，並未帶來破壞性變更。其角色是低階代理調度框架，提供持久執行、短期記憶、人類介入與串流等能力，目標是讓複雜代理系統能在生產環境中長時間運作。官方指出，該框架已在Uber、LinkedIn、Klarna等公司使用並驗證，顯示其穩定性與實用性。</p> <p>隨著各家大型語言模型API逐步採用內容區塊回傳結果，LangChain Core引入.content_blocks屬性，以更結構化的方式呈現文字、工具呼叫與回傳內容。該改動向下相容，既有依賴舊訊息格式的程式仍可正常執行，但開發者可逐步轉向內容區塊，以利未來支援更複雜的互動情境。</p> <p>開發團隊提醒，Alpha版本仍可能有介面調整，建議開發者在新專案中逐步嘗試，現有系統則可先透過langchain-legacy維持穩定，再視正式版進展規畫升級。配合LangChain新版釋出，官方也更新文件網站，將各開源專案說明集中，並提供Python與JavaScript同頁切換功能，讓開發者能更快速對照學習。</p> </div></div></div>
2025/9/5 08:18作者李建興https://www.ithome.com.tw/news/171014
北韓駭客Lazarus運用PondRAT、ThemeForestRAT、RemotePE對金融與加密貨幣產業下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的北韓駭客組織<a href="https://www.ithome.com.tw/tags/lazarus">Lazarus</a>，繼<a href="https://www.ithome.com.tw/news/169681">今年5月</a>傳出攻擊臺灣加密貨幣交易所幣託（BitoPro）引起關注，最近有資安業者針對駭客使用的作案工具公布調查結果，指出Lazarus旗下團隊去年先後使用3款遠端存取木馬（RAT）犯案，使得攻擊行動變得更加隱密且難以捉摸。</p> <p>資安業者Fox-IT、NCC Group聯手，<a href="https://blog.fox-it.com/2025/09/01/three-lazarus-rats-coming-for-your-cheese/">在最近幾年針對北韓駭客組織Lazarus旗下的特定團體進行追蹤</a>，發現這些駭客涉嫌犯下多起資安事故，主要目標是金融與加密貨幣產業，特別的是，這些駭客在活動裡會運用多款RAT木馬，包括：PondRAT、ThemeForestRAT，以及RemotePE。</p> <p>對於這個團體的來歷，Fox-IT指出與AppleJeus、Citrine Sleet、UNC4736，以及Gleaming Pisces等北韓駭客組織有所交集。</p> <p>其中，PondRAT去年<a href="https://www.ithome.com.tw/news/165168">因駭客組織AppleJeus用於攻擊行動</a>，而受到較多的關注，Fox-IT指出與另一支木馬PoolRAT（SimpleTea）存在許多相似之處；ThemeForestRAT在記憶體內執行，使用超過6年，直到最近才被揭露。</p> <p>至於最後一款木馬程式RemotePE，Fox-IT指出是這組人馬手上最先進的武器，在其中一起發生在2024年的資安事故裡，他們看到駭客先使用了前兩款木馬程式之後，最後清除相關元件及檔案，然後植入RemotePE，這代表攻擊者打算進行下個階段的活動。</p> <p>不過，上述木馬這些駭客並非每次犯案都會全部使用，但無論他們使用那些木馬程式犯案，都會透過社交工程取得初期的存取管道，在其中一起事故當中，駭客疑似利用零時差漏洞，而能在受害電腦執行程式碼。</p> <p>在去年一起針對去中心化金融（DeFi）組織的資安事故裡，駭客先是在Telegram假冒貿易公司的員工，透過假的會議網站接觸員工，接著，該名員工的電腦遭到入侵，被植入PondRAT，雖然Fox-IT推測駭客使用了Chrome零時差漏洞，但無法確認入侵的手法。</p> <p>後續這些駭客運用各式工具進行偵察，觀察受害組織的網路環境，以及他們日常活動。事隔3個月，駭客才再度行動，但他們先移除了PerfhLoader、PondRAT、ThemeForestRAT等作案工具，最終部署RemotePE。</p> <p>為了持續在受害組織活動，駭客濫用名為SessionEnv的Windows服務來達到目的，藉由這項服務執行Phantom DLL loading手法，載入惡意程式載入工具PerfhLoader。此外，他們竄改機碼提升權限，從而載入核心驅動程式，並用來繞過或停用EDR代理程式。</p> <p>但為何攻擊者要清除原本的木馬程式，並更換為RemotePE？原因很有可能要採取更高的安全層級，避免被防守方察覺。RemotePE透過惡意程式下載工具RemotePELoader從C2取得、部署，此下載工具駭客以Windows資料保護API（DPAPI）進行加密處理，然後運用DPAPILoader載入、執行。採用DPAPI的做法，將使得研究人員想要還原有效酬載變得更加困難。不過，針對RemotePE這支惡意程式，Fox-IT並未公布太多細節，僅有提及駭客以C++打造而成，承諾他們未來將公布更多調查結果。</p> </div></div></div>
2025/9/4 15:26作者周峻佑https://www.ithome.com.tw/news/171005
【資安日報】9月4日，AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天的資安新聞主要與人工智慧有關，其中最受到關注的部分，是資安業者Check Point揭露駭客濫用滲透測試自動化平臺HexStrike-AI的情況，由於這款工具發布不久就被用於將漏洞打造成武器，並用於實際攻擊行動，這樣的現象相當值得留意，因為駭客可藉由這類工具大幅縮短準備時間，也能藉由自動化大規模掃描，廣泛尋找下手目標。</p> <p>另一項消息是涉及大型語言模型（LLM）不設防的現象，思科透過物聯網搜尋引擎發現，全球有超過1千臺Ollama伺服器曝露在網際網路上，可公開存取，其中有近2成模型可在無須通過身分驗證的情況下，回應請求並執行模型推論，而形成可被濫用的攻擊面。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171001"><strong style="font-size: 22px;">AI滲透測試自動化平臺HexStrike-AI遭濫用，駭客快速將Citrix NetScaler零時差漏洞用於實際攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hexstrike-AI-pic-6.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hexstrike-AI-pic-6.jpg" style="width: 300px; float: right;" /></a>在資安攻防當中，生成式AI已具有舉足輕重的地位，許多資安防護解決方案都導入這種技術，雖然導入AI能夠協助資安人員更有效率地處理相關工作，然而一旦這類工具遭到駭客利用，也同樣可能導致資安威脅加劇。</p> <p>例如，號稱能整合超過150款資安工具，以及12款AI代理的自動化資安防禦框架Hexstrike-AI，就是這種型態的例子，資安業者Check Point發現，在這款框架首度推出正式版本（編按：應為8月中旬發布的6.0版）之後不久，地下論壇出現嘗試拿來利用零時差漏洞的討論，甚至用於實際的攻擊行動。</p> <p>然而，這樣的高度自動化工具，也成為駭客試圖利用的目標。Check Point發現，在Hexstrike-AI正式推出數個小時之後，暗網的聊天室有駭客嘗試拿來追蹤近期公布的零時差漏洞，後續更用於實際攻擊行動，在受害系統植入Web Shell，以便遠端進行未經身分驗證的程式碼執行。Check Point強調，這次駭客運用的漏洞其實很複雜，正常來說需要相當高深的技術才能利用，但駭客聲稱，原本需要好幾天的時間才能找到利用漏洞的方法，他們借助Hexstrike-AI之後，只花費不到10分鐘。</p> <p><a href="https://www.ithome.com.tw/news/170999"><strong style="font-size: 22px;">逾千臺Ollama伺服器曝露，近2成無須通過認證就能用於執行模型推論</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/llm_vulnerability_checker_design.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/llm_vulnerability_checker_design.png" style="width: 300px; float: right;" /></a>思科近日透過Shodan搜尋引擎搭配自製Python工具，檢測到1,139臺Ollama伺服器對外開放，其中214臺能在無須任何認證的情況下，回應請求並執行模型推論，約占18.8％。這項調查結果顯示，不少企業與個人部署大型語言模型（LLM）時忽視存取控制與網路隔離，形成可被濫用的攻擊面。</p> <p>研究人員採取被動式檢測，以降低觸發入侵偵測或侵犯使用政策的風險。第一階段使用Shodan查詢，鎖定Ollama常見的11434埠號與服務橫幅，再結合關鍵字比對，研究人員發現，許多實例在HTTP標頭中顯示Server為Uvicorn，這一指標被用來強化指紋辨識。第二階段，研究團隊以極簡測試，請求驗證伺服器是否要求認證，當伺服器回應HTTP 200並正確回覆測試結果，表示可在未經認證下接受並執行模型推論請求，安全風險極高。</p> <p>結果顯示，這些外曝伺服器分布廣泛，美國占36.6％，中國占22.5％，德國占8.9％，其中約8成雖未載入模型，但仍能對外接受連線，潛在風險包括被未授權上傳模型、配置修改或進行資源耗竭攻擊。另一項值得注意的是，88.89％端點使用OpenAI相容路徑，如v1/chat/completions，而這樣的標準化雖有利於應用整合，但也使攻擊者能快速橫向濫用不同平臺。</p> <p><a href="https://www.ithome.com.tw/news/170994"><strong style="font-size: 22px;">5年前公開的TP-Link無線Wi-Fi訊號延伸器漏洞遭到利用</strong></a></p> <p>9月2日美國網路安全暨基礎設施安全局（CISA）提出警告，TP-Link無線Wi-Fi訊號延伸器資安漏洞CVE-2020-24363已遭利用，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構限期在9月23日前完成修補。</p> <p>此漏洞影響無線Wi-Fi訊號延伸器TL-WA855RE，當時TP-Link已發布相關韌體修補，攻擊者有機會在未經授權的情況下，發出特製的TDDP_RESET POST請求，讓延伸器重開機並恢復原廠設定，並設置新的管理員密碼以便進行不少存取控制，CVSS風險為8.8分。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/threat-actors-abuse-xs-grok-ai-to-spread-malicious-links/">社群網站X的Grok AI遭濫用，駭客以此散布惡意連結</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/saas-giant-workiva-discloses-data-breach-after-salesforce-attack/">SaaS業者Workiva客戶資料外洩，攻擊者存取Salesforce系統得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/onedrive-phishing-attack/">OneDrive網釣鎖定高階主管而來，假借薪資為幌子，意圖竊取帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/android-droppers-now-deliver-sms.html">安卓惡意軟體載入工具投放金融木馬、間諜軟體、竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-sues-robot-toy-maker-for-exposing-childrens-data-to-chinese-devs/">美國指控機器人玩具製造商Apitor將孩童資料送至中國</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170996"><strong style="font-size: 22px;">Google發布安卓9月例行更新，修補112項漏洞</strong></a></p> <p>9月2日Google發布安卓作業系統的每月例行更新，修補112個資安漏洞。值得留意的是，這次修補的漏洞有4個為重大層級，這些是：安卓系統的遠端程式碼執行（RCE）漏洞CVE-2025-48539，以及存在於高通元件的CVE-2025-21450、CVE-2025-21483、CVE-2025-27034。雖然Google公布的資訊相當有限，無從得知其他細節，不過有鑑於這些漏洞被評為重大風險，代表可能相當容易利用，且影響非常嚴重，用戶還是要儘速套用相關更新，也有待後續有研究人員進一步揭露其他資訊。</p> <p>在上述漏洞之外，本次有兩項高風險漏洞被用於針對性攻擊，這些漏洞是CVE-2025-38352、CVE-2025-48543，皆能被用於提升權限，攻擊者利用的過程不需額外的權限，也無需使用者互動。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170990"><strong style="font-size: 22px;">林宜敬接任數發部長，續推AI產業發展、強化資安韌性、打詐，加速數位政府建設</strong></a></p> <p>9月3日數發部長林宜敬舉行媒體茶敘，強調將延續數發部先前的施政方針，持續推動AI產業、資安韌性、打詐等政策針，作為數位政府的推手，數發部將加速數位憑證皮夾等數位政府建設。</p> <p>林宜敬過去擔任數發部次長時，多次代表數發部推動AI產業生態、打詐、資通安全等活動，而在接替黃彥男帶領數發部，林宜敬直言未來將會延續數發部目前推動的政策，持續推動國內AI產業發展，強化資安韌性，與平臺業者合作祭出各種打詐措施。</p> <p>首先是AI方面，數發部已研擬AI基本法草案，近期獲得行政院通過，將送立法院審查。另外，數發部也扮演火車頭的角色，除了推動政府公務機關導入AI，也推動數位經濟發展，特別是AI的產業化，以及產業的AI化。</p> <p><a href="https://www.ithome.com.tw/news/171003"><strong style="font-size: 22px;">Varonis買下郵件安全業者SlashNext</strong></a></p> <p>專注於資料安全與治理的美國資安業者Varonis Systems於周二（9月2日）宣布，已買下AI原生電子郵件安全業者SlashNext，外傳該交易最多價值1.5億美元。</p> <p>針對買下SlashNext的動機，Varonis則說，SlashNext所採用的預測性AI模型能透過電腦視覺、自然語言處理與虛擬瀏覽器等技術，以避免使用者受到社交工程的攻擊；而且SlashNext擁有全球最好的檢測引擎，在Tolly Group針對雲端電子郵件安全供應商所進行的測試中，SlashNext的整體檢測準確率高達99%，對商業電子郵件詐騙（BEC）及QR code攻擊的檢測率更是高達100%，領先Abnormal Security與Mimecast等競爭對手。</p> <p><a href="https://www.ithome.com.tw/news/170992"><strong style="font-size: 22px;">【iThome 2025企業資安大調查｜新興資安投資】IT供應鏈風險管理達兩成，企業瀏覽器與雲端災難復原漸受重視</strong></a></p> <p>為了應對日益嚴峻的資安威脅，新興解決方案亦受企業看重，在2025年iThome CIO暨資安大調查中，我們不只觀察臺灣大型企業的資安投資重點項目，也特別關注對於新興方案的採用趨勢。</p> <p>在這次新興資安投資重點排行中，今年我們特別將調查結果畫分3大類，以保護領域的前五名而言，第一名是API Protection，要投資此方案的企業比例已達28％；名列第二的OT安全算是部分產業專屬議題，有4成醫療業、3成高科技製造看重，但金融業為0，因此整體平均約2成。值得注意的是，SSE/SASE的比例僅有15％，比例不算高，由於市場上已有相當多業者聚焦於此，後續市場採用動向值得關注。</p> <p><a href="https://s4.itho.me/sites/default/files/files/1249-封面-4-新興投資-600-1-BIG-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/files/1249-%E5%B0%81%E9%9D%A2-4-%E6%96%B0%E8%88%88%E6%8A%95%E8%B3%87-600-1-BIG-PNG.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170992"><strong>【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170956"><strong>【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170931"><strong>【9月1日】已棄用的輸入法更新伺服器被用於攻擊特定臺灣用戶</strong></a></p> </div></div></div>
2025/9/4 17:15作者周峻佑https://www.ithome.com.tw/news/171008
Cloudflare自動阻擋11.5 Tbps超高流量DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近Cloudflare自動化防禦在短短數十秒內，攔下峰值11.5 Tbps的DDoS攻擊，封包速率最高達5.1 Bpps，官方說明這是一場UDP洪水攻擊，持續約35秒。此外，過去數周Cloudflare自動化防禦，也已持續攔截數百起超高流量（Hyper-volumetric）攻擊。</p> <p>事件最初Cloudflare<a href="https://x.com/Cloudflare/status/1962953494459252843">在X提到</a>攻擊流量「主要來自Google雲端」，但官方其後在社群更新，改口指出11.5 Tbps流量其實同時來自多個IoT裝置與多家雲端供應商，Google雲端只是其中之一，並非主要來源。</p> <p>因UDP無需連線交握，攻擊者能在極短時間內把龐大流量，推送邊界路由器或上游連線，讓正常連線擁塞、丟包，服務對外呈現不可用。這種攻擊多半鎖定L3/L4層，需要在網路邊界採取即時自動化偵測與限速策略，才能在秒級爆量時維持可用性。</p> <p>Cloudflare過去已多次披露相近規模的案例，如今年<a href="https://www.ithome.com.tw/news/169668">5月中攔截7.3 Tbps攻擊</a>，顯示超高流量攻擊事件正成為常見威脅型態。根據<a href="https://blog.cloudflare.com/ddos-threat-report-for-2025-q2/?utm_source=chatgpt.com/">Cloudflare威脅報告</a>，超高流量（Hyper-volumetric）攻擊指L3/L4攻擊頻寬超過1 Tbps、封包速率超過1 Bpps，或HTTP攻擊每秒請求數超過1 Mrps。這類攻擊多於短時間內爆發，且強度極高。</p> <p>此次攻擊由Cloudflare自動化防禦系統偵測並緩解，官方未說明是否對服務造成影響，來源分布與向量等細節，仍待後續報告。</p> </div></div></div>
2025/9/4 16:24作者李建興https://www.ithome.com.tw/news/171004
4萬臺永久授權的舊版vSphere主機無法升級，英國連鎖超市Tesco控告博通違約求償1億英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2025/09/03/tesco_sues_vmware_broadcom_computacenter/?td=rt-3a" target="_blank">英國媒體The Register周三（9/3）報導</a>，英國超市集團Tesco已針對VMware、博通（Broadcom）及經銷商Computacenter提出訴訟，指控廠商違反Tesco原本所購VMware產品的永久授權合約，要求各自承擔至少1億英鎊（1.34億美元）的損失。</p> <p>博通在2023年11月正式以610億美元的現金及股票<a href="https://www.ithome.com.tw/news/151167" target="_blank">收購了VMware</a>，<a href="https://www.ithome.com.tw/news/160441" target="_blank">隔月即宣布</a>不再提供永久授權版，全面轉型為訂閱制。</p> <p>另一方面，創立於1919年的Tesco是英國最大的零售與超市業者，也是全球前十大零售商，在英國擁有近3,000家實體門市，包括大型綜合超市Tesco Extra、標準型超市Tesco Superstore、社區便利商店Tesco Express及連鎖便利商店One Stop等。Tesco在2021年1月買下了VMware的vSphere Foundation與Cloud Foundation的永久授權，也訂閱了VMware Tanzu套件，同時簽訂了一份合約，保障支援服務及軟體升級直至2026年，當時VMware還同意提供一個再延長4年支援服務的選項。</p> <p>然而，博通買下VMware之後所實施的新政策讓Tesco感到被迫重複付費；博通也不再提供永久授權的獨立支援服務；當初的合約原本涵蓋了軟體升級權利，但博通不允許Tesco的永久授權升級至Cloud Foundation 9；新政策也讓非訂閱用戶無法獲得完整的臭蟲及安全修補。</p> <p>Tesco認為，上述不僅違反合約，也可能危及該公司的營運，因為VMware支撐了Tesco約4萬個伺服器的工作負載，連接收銀及物流系統，若系統失效便可能影響食品供應。</p> <p>取消永久授權替博通帶來許多合約糾紛，而且範圍涉及全球市場，除了英國的Tesco與美國的<a href="https://www.theregister.com/2024/10/01/att_broadcom_filings_update/" target="_blank">AT&T</a>提告之外，德國的<a href="https://www.theregister.com/2025/06/16/vmware_vs_siemens/" target="_blank">西門子（Siemens）則被VMware控告</a>涉嫌未授權使用軟體。</p> </div></div></div>
2025/9/4 16:33作者陳曉莉https://www.ithome.com.tw/news/171006
Zed開源ACP橋接器整合Claude Code，支援跨檔修改與多檔案審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zed<a href="https://zed.dev/blog/claude-code-via-acp">公開測試</a>以開放協定ACP（Agent Client Protocol）整合Claude Code，使用者可在Zed內直接啟動代理進行跨檔案即時編輯，並追蹤多檔案修改。官方指出此為Zed端透過ACP完成的整合，非Anthropic讓Claude Code原生支援ACP。</p> <p>ACP定位為一套標準化的通訊協定，目的是讓任一代理可介接所有支援ACP的編輯器，避免每次都需要獨立開發外掛。<a href="https://www.ithome.com.tw/news/170873">Google的Gemini CLI率先完成實作</a>，展示代理透過ACP與Zed溝通的模式，而現在Claude Code加入，使ACP生態進一步擴大，開始涵蓋不同來源的主流代理。</p> <p>Zed以ACP作為代理與編輯器之間的通訊介面，推出以JSON-RPC為基礎的Claude Code橋接器，包覆Claude Code SDK並轉譯為ACP事件。Zed將此Claude Code橋接器以Apache-2.0授權開源，供任何採用ACP的編輯器重用。</p> <p>使用者更新至Zed最新版本後，從代理面板（Agent Panel）即可選用Claude Code開始新工作。在編輯體驗上具有語法突出顯示與語言伺服器支援，能同步呈現跨檔案的候選修改，而多檔案（Multibuffer）審查流程可針對個別程式碼區塊逐一核准或退回，避免一次大量變更破壞原有程式碼的完整性。另外，新功能還支援Claude Code的自訂斜線指令以定義常見開發任務，讓生成、修改、審查與提交的路徑維持在編輯器中完成。</p> <p>Claude Code整合範圍目前以SDK可覆蓋項目為主，Zed官方表示，Plan模式等功能將陸續補上，其他內建斜線指令尚待SDK支援才能經由ACP使用。由於Neovim編輯器的CodeCompanion外掛已採用ACP，透過這套開源橋接器，Claude Code同樣也可於Neovim運作。</p> </div></div></div>
2025/9/4 16:45作者李建興https://www.ithome.com.tw/news/171007
Google發布安卓9月例行更新，修補已被積極利用的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月2日Google發布安卓作業系統的每月例行更新，<a href="https://source.android.com/docs/security/bulletin/2025-09-01">修補112個資安漏洞</a>，並指出其中有2個已遭到積極利用。</p> <p>這些漏洞是CVE-2025-38352、CVE-2025-48543，皆能被用於提升權限，其中，CVE-2025-38352是本機權限提升漏洞，出現在作業系統的核心，為高風險弱點，Google提及，攻擊者利用的過程不需額外的權限，也無需使用者互動。不過，這項漏洞並非Google首度揭露，最早在今年7月公布，該漏洞存在於Linux核心的posix-cpu-timers模組，涉及條件競爭（Race Condition），<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-38352">CVSS風險值為7.4</a>。</p> <p>另一個遭到利用的漏洞CVE-2025-48543，同時出現在安卓執行環境（Runtime），以及Google Play的ART元件，被評為高風險層級。攻擊者可用於提升本機權限，而且無須事先取得特定的執行權限，也不需要使用者互動。</p> <p>附帶一提的是，這次修補的漏洞有4個為重大層級，這些是：安卓系統的遠端程式碼執行（RCE）漏洞CVE-2025-48539，以及存在於高通元件的CVE-2025-21450、CVE-2025-21483、CVE-2025-27034。</p> </div></div></div>
2025/9/4 11:07作者周峻佑https://www.ithome.com.tw/news/170996
AI滲透測試自動化平臺HexStrike-AI遭濫用，駭客快速將Citrix NetScaler零時差漏洞用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資安攻防當中，生成式AI已具有舉足輕重的地位，許多資安防護解決方案都導入這種技術，雖然導入AI能夠協助資安人員更有效率地處理相關工作，然而一旦這類工具遭到駭客利用，也同樣可能導致資安威脅加劇。</p> <p>例如，號稱能整合超過150款資安工具，以及12款AI代理的自動化資安防禦框架Hexstrike-AI，就是這種型態的例子，<a href="https://blog.checkpoint.com/executive-insights/hexstrike-ai-when-llms-meet-zero-day-exploitation/">資安業者Check Point發現</a>，在這款框架首度推出正式版本（編按：應為<a href="https://cybersecuritynews.com/hexstrike-ai/">8月中旬發布的6.0版</a>）之後不久，地下論壇出現嘗試拿來利用零時差漏洞的討論，甚至用於實際的攻擊行動。</p> <p>什麼是Hexstrike-AI？這是結合AI的滲透測試模型內容協定（MCP）框架，能將多種大型語言模型（LLM）及AI代理用於自動化執行複雜的資安測試工作，此框架支援多個AI代理架構，用於進行情報的解析及決策、即時弱點分析，號稱還能進一步自動化資安專家的工作，像是滲透測試、漏洞挖掘，甚至能進行CTF搶旗賽，將原本透過專家需要人工、手動執行數個小時的工作，縮短到數十分鐘就能完成。</p> <p>然而，這樣的高度自動化工具，也成為駭客試圖利用的目標。Check Point發現，在Hexstrike-AI正式推出數個小時之後，暗網的聊天室有駭客嘗試拿來追蹤近期公布的零時差漏洞，後續更用於實際攻擊行動，在受害系統植入Web Shell，以便遠端進行未經身分驗證的程式碼執行。Check Point強調，這次駭客運用的漏洞其實很複雜，正常來說需要相當高深的技術才能利用，但駭客聲稱，原本需要好幾天的時間才能找到利用漏洞的方法，他們借助Hexstrike-AI之後，只花費不到10分鐘。</p> <p>這項被駭客拿來研究的資安漏洞，是<a href="https://www.ithome.com.tw/news/170844">8月26日Citrix揭露的NetScaler零時差漏洞</a>，根據Citrix的資安公告，這項漏洞應為CVE-2025-7775，此為記憶體溢位弱點，攻擊者有可能用於遠端執行任意程式碼（RCE），或是造成服務中斷（DoS），4.0版CVSS風險評為9.2，為重大層級。</p> <p>但除此之外，Check Point指出駭客似乎也利用了另外兩個Citrix同時公告的漏洞CVE-2025-7776、CVE-2025-8424，並強調利用這些漏洞並不容易，攻擊者必須熟悉記憶體的運作機制、繞過身分驗證，以及了解NetScaler的整體架構，從過往的資安事故來看，這種漏洞攻擊者不僅需要高深的技能，往往也需要數個星期的開發，才能用於實際行動。</p> <p>如今有了Hexstrike-AI，攻擊者在不到半天的時間內，就開始討論如何透過這套滲透測試工具，掃描存在上述漏洞的NetScaler設備，並對其發動攻擊。此外，已有多組人馬透過Hexstrike-AI找到存在漏洞的實體，並兜售相關名單。Check Point指出，這項發現的影響相當深遠，因為駭客不僅大幅縮短準備工作的時間，並能利用AI代理進行大規模掃描，若是漏洞利用失敗，AI代理還能進行微調，而有機會不斷嘗試到成功為止。</p> </div></div></div>
2025/9/4 13:42作者周峻佑https://www.ithome.com.tw/news/171001
Varonis買下郵件安全業者SlashNext
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於資料安全與治理的美國資安業者<a href="https://www.varonis.com/blog/varonis-to-acquire-slash-next-email-security" target="_blank">Varonis Systems周二（9/2）宣布</a>，已買下AI原生電子郵件安全業者SlashNext，<a href="https://www.securityweek.com/varonis-acquires-email-security-firm-slashnext/" target="_blank">外傳該交易最多價值1.5億美元</a>。</p> <p>SlashNext是在2015年由FireEye研究人員Atif Mushtaq所創立，專注於電子郵件安全及對抗網路釣魚，透過大型語言模型及機器學習技術來偵測URL、電子郵件、行動裝置簡訊、傳訊程式、廣告、及協作工具訊息中的網釣攻擊，強調零時差防護，以在威脅尚未被傳統黑名單收錄前便予以攔截，可透過API或雲端服務形式交付。</p> <p>Varonis則說，SlashNext所採用的預測性AI模型能透過電腦視覺、自然語言處理與虛擬瀏覽器等技術，以避免使用者受到社交工程的攻擊；而且SlashNext擁有全球最好的檢測引擎，在Tolly Group針對雲端電子郵件安全供應商所進行的測試中，SlashNext的整體檢測準確率高達99%，對商業電子郵件詐騙（BEC）及QR code攻擊的檢測率更是高達100%，領先Abnormal Security與Mimecast等競爭對手。</p> <p>Varonis還特別介紹了Mushtaq，說在FireEye任職9年的他是惡意軟體檢測技術的主要架構師之一，並將相關經驗應用在電子郵件網釣與社交工程背後的心理學，與SlashNext團隊共同設計了一種技術，得以分辨語氣及風格等特徵，進而揭露駭客的意圖及動機，再針對其核心威脅與可能產生的各種變體自我訓練，使其比市場上任何其它技術都更能準確地偵測到由專家或AI建立的社交工程威脅。</p> <p>此一收購可望結合SlashNext的多通道網釣防禦及Varonis的端對端資料安全方法，包括AI安全與身分保護，讓Varonis客戶能在資料受到影響之前，檢測早期入侵跡象並阻止攻擊。</p> </div></div></div>
2025/9/4 14:26作者陳曉莉https://www.ithome.com.tw/news/171003
滿足快速反應的市場期待
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假日在河濱公園運動時，瞥見母親帶著小男孩和小女孩騎乘腳踏車出遊，母親載著女孩在前方等待，男孩騎著另一部單車，突然遇到一個短坡，因自身腿力不足而卡在坡上，頻頻叫喚母親，似乎是希望她幫忙，母親耐心等著男孩騎上來，不久，換成女孩騎上這部單車，男孩則坐上母親單車的後座，女孩緩緩前行，眼睛卻一直盯著腳下，似乎是不習慣踩踏板的方式，而無暇直視前方道路前行。</p> <p>這讓我想到人們學習新的技能時，經常需要克服許多大大小小的困難，我們當下第一個舉動可能是向其他人求助，然而，大多數時候仍要靠自己鼓起所有力氣、運用身體與大腦的記憶，採取適合行動，持續嘗試、練習，才能跨越一個個門檻或爬坡，進而抵達下一個目標；另一個挑戰在於，我們可能過度在意目前正在操作的程序與步驟，而沒分出一些心神，去察覺行進方向出現的各種事物，想想看，低頭只看地上前進，這舉動無論快慢都很危險。</p> <p>面對資訊與科技大爆炸的當代工作環境，所有人的步調不斷加快，都希望能夠馬上看到成效。但在「開快車」之前，我們本身還是需要具備一定程度的能力，就像運動需要足夠的體力，掌握基本知識、各種動作訣竅，以及自我保護的方法，而且，要眼觀四面、耳聽八方，打開所有身體的感官，做出最佳判斷。</p> <p>關鍵在於我們需要更多的練習與實作，如同《你只是還沒開始》這本書提到的：「如果我選擇不斷向上提升，那就不存在極限。我並非天生具備驚人的才能。我的秘密在於時間。」，以及「這需要時間。你不能像這個年代的所有人那樣，期待能立刻獲得滿足感，在一夜之間就看到成效。」</p> <p>隨著好幾波數位化浪潮來襲，每個人現在使用任何系統或服務時，都會希望獲得即時回應，好處是大幅縮短無謂的等待時間，當消費者與客戶猶豫的時間變短，商家與企業可以更快收到錢，然而，當這樣的互動體驗變得普遍、理所當然時，副作用是大家都變得很沒有耐性，對於各種延遲、不順利的狀況感到不耐煩，無形中也造成許多第一線人員的沉重負擔。</p> <p>針對客戶提出的需求，業者若能做到快速反應，當然是一大賣點，然而，如何兼顧專業、品質與誠信，又是一大挑戰。例如，對於生成式AI，大家越來越熟悉其特性，已逐漸找到合適的使用方法。</p> <p>以與AI進行互動問答的情境而言，很多人都認為提問方式、問對問題很重要，並體認到要對AI提供的答案與結果有分辨能力，也有一些專家呼籲要有獨立思考的能力，而且，在互動過程中，我們不只是評估AI提出的答案是否合理、準確，也必須重視「問題背後的問題（QBQ）」思維，而非僅處理到表面的狀況。</p> <p>除此之外，AI可以涵蓋廣泛的知識，達到常人所難以想像的各種領域，然而，不同專業工作者持續累積與培養的知識體系、人脈、看待與分析議題的角度與立場，仍是非常獨特的。</p> <p>也有人認為Integrity是AI難以取代的，因為誠信、正直、操守、負責這些道德理念，還是仰賴人去實踐。因為相關技術的不確定性，AI可能會失控、會胡說八道地編造內容，雖然被加上某些使用護欄（guardrails）的設限，然而，它不會刻意堅持某種信念，主動違抗、拒絕執行使用者提出的命令（對於全靠人或程式操控的系統，更是指令照單全收地執行），而且，AI傾向提供多數人認可的建議，相對而言，也將導致使用者的決策過於類似、集中，而產生其他副作用。</p> <p>當然，使用者也能透過刻意引導的方式，請它提供具有創意、創新的思考方向，在人機合作之下，的確也是有機會能夠產生意想不到的新思路。因此，會造成善用或濫用結果的關鍵，仍回到人們的心念與認知，我們必須時時自問：求快、省時省力的最終目的是什麼？</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/%E4%BA%BA%E6%A9%9F%E5%90%88%E4%BD%9C">人機合作</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2025/9/4 13:51作者李宗翰https://www.ithome.com.tw/voice/171002
OpenAI開放免費用戶使用ChatGPT Projects
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI今天（9/4）正式<a href="https://x.com/OpenAI/status/1963329936368046111" target="_blank">開放免費用戶使用ChatGPT專案服務ChatGPT Projects</a>。</p> <p>Projects是OpenAI於去年底<a href="https://www.ithome.com.tw/news/166526" target="_blank">發表的服務</a>，定義為<a href="https://help.openai.com/en/articles/10169521-projects-in-chatgpt" target="_blank">智慧工作空間</a>，當使用者發起一個專案後，即可於同一個專案空間存放聊天內容、上傳檔案，以及添加客製化的指令，它們多半圍繞在同一個主題，而且具備記憶及脈絡能力，適合寫作、研究或規畫等重複並不斷發展的任務。</p> <p>例如使用者可以用它來寫論文，制定行銷計畫，或是籌備婚禮，而且可於手機與電腦上切換，也能針對每個專案設定不同的顏色及圖示，以及個別的AI回應風格。</p> <p>現在免費用戶最多可上傳5個文件至單一專案中，Plus用戶可上傳25個，Pro用戶可上傳40個。初期先支援網頁與Android版，未來幾天便會支援iOS平臺。</p> </div></div></div>
2025/9/4 12:27作者陳曉莉https://www.ithome.com.tw/news/171000
傳聞蘋果將以Google AI技術全面改造Siri
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-09-03/apple-plans-ai-search-engine-for-siri-to-rival-openai-google-siri-talks-advance" target="_blank">彭博社（Bloomberg）周三（9/3）引述消息來源報導</a>，蘋果將在明年春天推出基於AI的網路搜尋工具World Knowledge Answers，並打算將它整合到Siri中，且可能會仰賴Google的AI模型。</p> <p>蘋果或Siri的AI能力一直落後市場，蘋果亦積極尋找AI合作夥伴，根據報導，蘋果的第一選擇是Anthropic，但Anthropic開出每年15億美元的高額價碼，反之Google則對價格抱持著開放態度，這使得雙方在本周簽署了合作協議，蘋果將評估Google所開發的AI模型能否適用於Siri。</p> <p>World Knowledge Answers的功能類似ChatGPT或Google AI Overviews，可輸入文字、照片或影片，還能整合附近的地點資訊，同時具備一個AI摘要系統，以大幅提升Siri的回應能力。</p> <p>全新的Siri將有3個核心元件，它們是規畫器、搜尋系統與摘要器，將分別用來解釋語音與文字輸入，搜尋網路或裝置，以及彙整出答案。</p> <p>此外，蘋果也在考慮是否將World Knowledge Answers延伸到Safari或作業系統的Spotlight中。</p> <p>不管是蘋果或Google皆未回應彭博社的報導，不過當天它們的股價雙雙上漲，蘋果漲了3.81%，以238.47美元作收，Google則因同時受到<a href="https://www.ithome.com.tw/news/170966" target="_blank">反壟斷官司有利裁決</a>的激勵，大漲9.01%，收在231.1美元。</p> </div></div></div>
2025/9/4 11:27作者陳曉莉https://www.ithome.com.tw/news/170997
Cisco揭露逾千臺Ollama伺服器外曝，近2成免認證可執行模型推論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cisco透過Shodan搜尋引擎搭配自製Python工具，<a href="https://blogs.cisco.com/security/detecting-exposed-llm-servers-shodan-case-study-on-ollama">檢測</a>到1,139臺Ollama伺服器對外開放，其中214臺能在無任何認證下回應請求並執行模型推論，約占18.8％。不少企業與個人部署大型語言模型（LLM）時忽視存取控制與網路隔離，形成可被濫用的攻擊面。</p> <p>Shodan是一個專門索引網際網路上公開連線設備與服務的搜尋引擎，能發現對外開放的埠號與伺服器橫幅資訊（Banner Information），經常被研究人員用來盤點外曝系統。Ollama則是一套能在本地端執行大型語言模型的熱門開源框架，可方便開發者下載與操作各式模型，並支援OpenAI相容的API介面，預設運作於11434連接埠。</p> <p>研究人員採取被動式檢測，以降低觸發入侵偵測或侵犯使用政策的風險。第一階段使用Shodan查詢，鎖定Ollama常見的11434埠號與服務橫幅，再結合關鍵字比對，研究人員發現，許多實例在HTTP標頭中顯示Server為Uvicorn，這一指標被用來強化指紋辨識。第二階段，研究團隊以極簡測試，請求驗證伺服器是否要求認證，當伺服器回應HTTP 200並正確回覆測試結果，表示可在未經認證下接受並執行模型推論請求，安全風險極高。</p> <p>結果顯示，這些外曝伺服器分布廣泛，美國占36.6％，中國占22.5％，德國占8.9％，其中約8成雖未載入模型，但仍能對外接受連線，潛在風險包括被未授權上傳模型、配置修改或進行資源耗竭攻擊。另一項值得注意的是，88.89％端點使用OpenAI相容路徑，如v1/chat/completions，而這樣的標準化雖有利於應用整合，但也使攻擊者能快速橫向濫用不同平臺。</p> <p>外曝的大語言模型伺服器可能遭遇多種攻擊，包括未授權API使用、模型抽取、提示詞注入產生不當內容、資源劫持導致成本上升，甚至透過模型上傳機制注入後門。對於目前尚未啟用模型的伺服器，攻擊者同樣能利用其開放端點進行破壞或濫用。</p> <p>研究人員建議企業採取分層式防護措施。首先，必須強制啟用API金鑰或OAuth2認證，並搭配角色導向存取控制（RBAC）。其次，應將伺服器部署於私有子網，並透過VPN或防火牆限制來源。對於API流量，需導入速率限制、異常行為偵測與稽核紀錄保存。</p> <p>同時，也建議調整預設埠號並隱藏服務橫幅，以降低識別風險。針對模型上傳功能，應加入簽章或雜湊驗證，避免惡意檔案被植入，最後，企業應透過Shodan或自動化工具持續檢測與稽核曝露端點，確保服務不會意外對外公開。</p> </div></div></div>
2025/9/4 12:19作者李建興https://www.ithome.com.tw/news/170999
TP-Link 5年前的Wi-Fi網路設備漏洞發生濫用活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/alerts/2025/09/02/cisa-adds-two-known-exploited-vulnerabilities-catalog" target="_blank">美國網路安全暨基礎架構安全管理署（CISA）本周警告</a>，TP-Link Wi-Fi網路設備軟體一項5年前的老漏洞正遭到濫用，攻擊已EoL的產品。</p> <p>TP-Link的CVE-2020-24363是被列入CISA已知濫用漏洞（Known Exploited Vulnerabilities）名單的漏洞。</p> <p><a href="https://www.cve.org/CVERecord?id=CVE-2020-24363" target="_blank">這項漏洞</a>允許同一網路上非經驗證的攻擊者發送TDDP_RESET POST請求，進行出廠重設（factory reset）及重開機。攻擊者可藉此設定新的管理員密碼而得以存取控制裝置，為風險值8.8的漏洞。</p> <p>不過CISA並未說明本漏洞的濫用細節，包括是駭客攻擊或是惡意程式。</p> <p>5年前公布時，CVE-2020-24363影響的是 TP-Link TL-WA855RE V5使用的韌體。TL-WA855RE V5為Wi-Fi訊號網路延伸器。當時業者已經釋出TL-WA855RE(EU)_V5_200731更新版韌體修補。不過這款產品雖然現在在網路上還在銷售，<a href="https://www.tp-link.com/nordic/support/faq/3562/" target="_blank">但根據TP-Link網站</a>，該裝置已經是EoL（End of Life）產品，這意謂著業者不會再發佈任何更新版軟體。用戶最好換成新產品以策安全。</p> <p>CISA最新公告還包含Meta WhatsApp的CVE-2025-55177及Citrix Netscaler 的CVE-2025-7775。WhatsApp的CVE-2025-55177近日被用以對iPhone感染間諜程式以竊聽通訊內容。<a href="https://www.ithome.com.tw/news/170921" target="_blank">WhatsApp已在上周修補了iOS及macOS版WhatsApp的漏洞</a>。Citrix Netscaler的CVE-2025-7775影響Citrix NetScaler ADC與NetScaler Gateway，可被觸發記憶體溢位導致遠端執行任意程式碼或阻斷服務（DoS），<a href="https://www.ithome.com.tw/news/170844" target="_blank">Citrix也已發布新版軟體修補</a>。</p> </div></div></div>
2025/9/4 09:23作者林妍溱https://www.ithome.com.tw/news/170994
Silver Fox APT濫用微軟簽署的驅動程式，入侵Windows植入ValleyRAT木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Check Point研究人員<a href="https://research.checkpoint.com/2025/silver-fox-apt-vulnerable-drivers/">揭露</a>，駭客組織Silver Fox APT在近期攻擊活動中，利用一款由微軟簽署，卻未列入任何封鎖清單的WatchDog Antimalware驅動程式，繞過Windows10與11的安全機制，進一步關閉防毒與EDR等防護工具，最後植入遠端存取木馬ValleyRAT。</p> <p>研究人員觀察到，攻擊者準備了兩種驅動程式，以因應不同版本的Windows版本，在Windows 7等舊版系統，他們載入早已知名且被列管的Zemana驅動程式ZAM.exe 3.0.0.000，而在新版Windows10與11上，則使用之前未被發現有問題的WatchDog驅動程式amsdk.sys 1.0.600。兩者皆能繞過作業系統的受保護程序（PP/PPL）機制，直接終止EDR或防毒軟體的關鍵服務。當安全工具被迫關閉後，惡意程式得以不受干擾地進行下一步操作。</p> <p>駭客攻擊流程通常由多功能惡意載入器啟動，惡意載入器在執行時會先檢查是否處於虛擬環境或沙箱，以規避分析。當判斷為安全環境，便會載入相應驅動，進行程序終止，再下載並啟動ValleyRAT。研究人員也指出，惡意程式具備持久化機制，確保受害電腦重新開機後仍會繼續執行。</p> <p>WatchDog在接獲通報後，推出新版驅動試圖修補問題並加強權限控制。不過，研究人員又發現該版本仍未檢查PP/PPL，還是允許攻擊者關閉防毒軟體程序，而且Silver Fox APT也很快地修改了新版驅動的簽章屬性，透過極小幅度的變動改變檔案雜湊值，成功避開雜湊比對式的封鎖機制，同時保留微軟簽章的有效性。</p> <p>駭客的最終目標是部署ValleyRAT，這是一款已知與Silver Fox APT高度關聯的後門程式，能進行遠端控制、資料竊取與持續監控。研究人員指出，相關C2伺服器位於中國境內，並鎖定亞洲地區常用的防毒軟體為主要攻擊對象，顯示其行動具有針對性。</p> <p>研究人員建議，企業應確保套用新版封鎖清單，並搭配行為式偵測與監控，例如偵測受保護程序遭異常終止或關鍵安全服務被停用，同時也可套用Check Point提供的YARA規則。</p> </div></div></div>
2025/9/4 08:00作者李建興https://www.ithome.com.tw/news/170993
【資安日報】9月3日，資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月下旬傳出的Salesloft Drift供應鏈攻擊事故，先是介入調查的Mandiant透露影響範圍不光與之串連的Salesforce，接著有多家資安業者表明他們的雲端CRM系統資料外洩，本週Cloudflare、Palo Alto Networks發布聲明證實此事，並透露影響的範圍，強調不影響自家產品、系統，以及服務。</p> <p>另一個受到全球關注的事故，是最近一個星期傳聞影響25億Gmail用戶的嚴重漏洞，許多科技網站、金融新聞網站紛紛呼籲用戶，要儘速更換密碼因應。對此，Google發布簡短說明，表示上述的說法並不正確。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170989"><strong style="font-size: 22px;">Salesloft Drift供應鏈攻擊事故受害範圍擴大，Cloudflare、Palo Alto Networks證實其雲端CRM系統資料外洩</strong></a></p> <p>針對Salesloft旗下的對話行銷暨客戶互動平臺Drift傳出的供應鏈攻擊事故，駭客組織UNC6395自8月8日至18日，透過竊得的應用程式OAuth憑證（Token），成功存取並匯出多家企業的Salesforce資料，繼8月底資安業者Zscaler證實受害，本週又有兩家資安業者發布聲明，表示他們也面臨資料外洩的情況。</p> <p>9月2日Cloudflare表示他們上週接獲通報，由於該公司的Salesforce系統主要用於客戶支援，以及內部的客戶案件管理，大部分的資料是客戶聯絡資訊及基本的支援案例資料，但部分互動內容有可能會洩露客戶的配置資訊，甚至可能包含憑證等敏感資料。對此，他們認為客戶在尋求支援過程裡提供的事件記錄、憑證、密碼等資料，都應視為已經外洩，強烈要求用戶輪換相關憑證。</p> <p>同日Palo Alto Networks也發出聲明，證實他們也是遭到供應鏈攻擊影響的客戶，導致該公司Salesforce系統的資料外洩。Palo Alto Networks迅速控制事件，並從Salesforce環境停用了Salesloft Drift。根據該公司的威脅情報團隊Unit 42進行調查後確認，這起事故並未影響Palo Alto Networks任何產品、系統，以及服務。攻擊者主要竊取了業務聯絡人和相關帳戶資訊，以及內部銷售帳號記錄和基本案件數據。該公司正在通知所有受影響的客戶。</p> <p><a href="https://www.ithome.com.tw/news/170985"><strong style="font-size: 22px;">Google發布聲明，駁斥Gmail資料外洩而要求25億用戶重設密碼的傳言</strong></a></p> <p>最近一個多禮拜，有多家科技新聞網站、金融新聞網站紛紛報導，因今年6月Salesforce系統遭到入侵，Google警告25億Gmail用戶恐受到波及，應儘速更換密碼、啟動多因素驗證（MFA），這種不尋常的情況引起我們的注意及追蹤。根據資安新聞網站Bleeping Computer、Gbhackers的報導，Google本週發出聲明駁斥，表示他們的防護措施強大且有效，Gmail出現重大安全問題的說法並不正確。</p> <p>9月1日Google發布簡短聲明表示，他們的保護措施能阻止99.9%的網路釣魚及惡意軟體到達用戶端。近期有數起不精確的傳聞指出，該公司向所有Gmail用戶警告此郵件平臺出現嚴重的資安問題，是完全錯誤的資訊。</p> <p>Google強調他們相當嚴肅看待相關資訊安全問題，團隊投入大量資金並不斷創新，並就現有的風險及防護機制，進行徹底、全面的溝通。該公司也呼籲用戶採取最佳實務來強化防護，其中一項是採用Passkey等加強密碼防護的措施。</p> <p><a href="https://www.ithome.com.tw/news/170991"><strong style="font-size: 22px;">汽車業者Jaguar Land Rover遭遇網路攻擊，銷售、生產受到影響</strong></a></p> <p>9月2日印度塔塔（Tata）集團旗下的英國汽車公司Jaguar Land Rover（JLR）發布聲明，指出他們受到資安事故影響，事發後隨即採取行動，主動關閉部分系統減緩造成的影響。該公司目前正在他們控制的狀態下，重新啟動該公司的全球應用程式，並強調尚未出現客戶資料遭竊的跡象，但該公司的銷售及生產業務面臨嚴重的中斷。</p> <p>雖然這則公告並未透露攻擊類型與其他細節，但根據英國廣播公司（BBC）的報導，這起事故在9月1日傳出。JLR在週日遭遇網路攻擊，週一早上在當地希爾活（Halewood）工廠上班的員工收到電子郵件通知，要求不要前往工廠。另一座位於索利赫爾（Solihull）的工廠也受到影響，員工被送回家。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/silver-fox-exploits-microsoft-signed.html">中國駭客Silver Fox發動自帶驅動程式攻擊，透過防毒軟體元件散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/lazarus-group-expands-malware-arsenal.html">北韓駭客Lazarus散布跨平臺惡意軟體PondRAT、ThemeForestRAT、RemotePE</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/researchers-warn-of-mystrodx-backdoor.html">新型態後門MystRodX運用DNS和ICMP隱匿行蹤，暗中竊取資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ukrainian-network-fdn3-launches-massive.html">烏克蘭網路傳出對SSL VPN、RDP系統發動大規模暴力破解攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflare-blocks-record-breaking-115-tbps-ddos-attack/">資安業者Cloudflare揭露流量達到11.5 Tbps的DDoS攻擊事故</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170963"><strong style="font-size: 22px;">微軟10月將強制以MFA登入Azure服務</strong></a></p> <p>微軟近日宣布將從10月1日起，強制要求所有登入Azure服務的行為都必須完成多因素驗證（MFA），才能執行新增、修改或刪除作業。這項宣布是微軟繼去年首度宣布Azure的登入安全新政策後，正式全面實施MFA。</p> <p>微軟自家研究顯示，實施MFA能防範99.2%的帳號駭入攻擊，因此微軟在去年8月宣布以兩階段推動強制性MFA登入Azure服務。第一階段實施標的為2024年10月涵括Azure入口網站（portal）、微軟Entra及Intune管理中心。</p> <p>第二階段實施標的為 Azure CLI、 Azure PowerShell、Azure SDK、Azure行動App以及IaC（Infrastructure as Code）及REST API端點。</p> <p><a href="https://www.ithome.com.tw/news/170680"><strong style="font-size: 22px;">Claude Opus 4具自我防護機制，遭持續辱罵將自動結束對話</strong></a></p> <p>Anthropic在消費端聊天介面的Claude Opus 4與4.1，加入在罕見且極端情境下自動結束對話的能力，該機制針對持續有害或辱罵的互動，僅在多次拒絕與重導無效後才會啟動。官方強調，這是探索人工智慧福祉與模型防護的一部分，並非針對一般使用者的日常對話，預期絕大多數人不會遇到這項情境。</p> <p>該機制的觸發條件非常嚴格，當系統判斷用戶存在即時的自傷或他傷風險，Claude不得使用結束對話功能，避免阻斷必要的求助或干預機會，只有當用戶持續要求生成明顯有害的內容，且多次拒絕與重導都無效時，模型才會選擇中止互動。另外，當用戶明確提出結束對話，Claude也會直接回應要求。</p> <p><a href="https://www.ithome.com.tw/article/170889"><strong style="font-size: 22px;">【iThome 2025企業資安大調查｜資安投資概況】持續布局資安保護與資安偵測，技術領域加碼DevSecOps、FIDO</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1249-封面-3-資安投資概況-600-1-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1249-%E5%B0%81%E9%9D%A2-3-%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E6%A6%82%E6%B3%81-600-1-PNG.png" style="width: 300px; float: right;" /></a></p> <p>關於2025年企業資安投資策略與重點，在金年的調查中，我們特別以美國NIST CSF 2.0資安框架的六大核心構面，從治理、識別、保護、偵測、應變、復原的角度，讓資安長自評2025年在六大領域的投資配重。</p> <p>從調查結果可以看到，「保護」的占比達24％為最高，符合我們的預期；「偵測」、「應變」在今年加總達到30％，這可能與近年各種偵測與應變解決方案普及有關，未來我們則看好「識別」領域的成長，目前雖僅有15％，但隨著近年攻擊面管理、安全態勢管理解決方案已然興起，企業後續可能加重這方面的布局。</p> <p>至於「復原」領域，由於這些年勒索軟體攻擊猖獗，我們認為企業多已加重這方面投資，不過從今年調查結果來看，一般製造業、醫療業仍視為今年需要重點強化的方向，相較其他產業更憂心自身在復原能力上的不足。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170956"><strong>【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170931"><strong>【9月1日】已棄用的輸入法更新伺服器被用於攻擊特定臺灣用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170910"><strong>【8月29日】刑事局運用AI從源頭阻斷詐騙人頭帳戶</strong></a></p> </div></div></div>
2025/9/3 18:43作者周峻佑https://www.ithome.com.tw/news/170992
HDR影像技術Dolby Vision 2發布，採用新影像引擎與雙向色調映射強化畫質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dolby推出HDR技術重大升級<a href="https://news.dolby.com/en-WW/253671-dolby-unveils-dolby-vision-2-a-new-era-for-tv-picture-quality/">Dolby Vision 2</a>，其核心為重新設計的影像引擎與內容智慧（Content Intelligence）框架，並加入雙向色調映射（Bi-directional Tone Mapping）與創作者可控的動態處理工具，讓高亮度、廣色域電視可展現更高亮度層次、對比深度與色彩飽和。</p> <p>新版Dolby影像引擎（Image Engine）經過重新設計，與既有的Dolby Vision內容生態結合，Dolby強調這將能進一步發揮現代電視的硬體能力。該公司指出，隨著電影、電視節目、體育轉播與遊戲內容不斷增加，這套新引擎可在更廣泛的應用情境中展現HDR畫質的優勢。</p> <p>Content Intelligence用於加強內容端與顯示端的協同運作，Precision Black針對畫面過暗的困擾提升暗部清晰度並維持創作者的意圖，而Light Sense透過進階環境光偵測，與內容端參考光源資料微調整體畫面。Sports and Gaming Optimization則加入白點調整與動態控制，針對體育直播與遊戲場景，調整顏色與動態表現，以因應快速移動影像的需求。</p> <p>雙向色調映射針對高階顯示器而來，相較傳統多由顯示器單向處理的作法，Dolby Vision 2讓創作者取得更多色彩與亮度分配控制，配合高峰值亮度與廣色域面板，提升亮度、對比與飽和，同時保留細節與層次。</p> <p>在動態處理上，Dolby提出Authentic Motion，這是一套逐鏡頭的動態控制工具。Dolby表示，此功能可降低顫動或抖動，使畫面保持穩定，同時保留創作端設定的節奏感，與一般電視端的運動補償不同，這項技術由內容製作端主導，減少播放端因過度插補影格造成的視覺差異。</p> <p>Dolby Vision 2將依據顯示器硬體能力分為兩個層級，Dolby Vision 2 Max針對頂級顯示器設計，開放更多功能以發揮面板特性，而Dolby Vision 2則面向主流電視，提供新影像引擎與Content Intelligence等核心功能。兩個層級皆與既有Dolby Vision內容相容，只有部分進階功能需要支援Dolby Vision 2的顯示器，並仰賴新增的內容端資料才能啟用。</p> <p>Dolby指出，隨著製作工具更新，未來在Dolby Vision規格下完成的內容，在支援Dolby Vision 2的顯示器上將能展現更完整的亮度與色彩表現。Hisense確認將在其高階電視導入Dolby Vision 2，法國媒體與娛樂公司CANAL+也宣布支援，至於上市時程、機種與功能差異，仍有待各廠商後續公布。</p> </div></div></div>
2025/9/3 19:59作者李建興https://www.ithome.com.tw/news/170988
汽車業者Jaguar Land Rover遭遇網路攻擊，銷售、生產受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>汽車產業遭到針對的情況，近年來不時有事故傳出，例如，勒索軟體駭客組織Qilin<a href="https://www.ithome.com.tw/news/170849">聲稱入侵日產汽車旗下設計公司Creative Box Inc.（CBI）</a>，竊得規模4 TB的內部資料，如今又有汽車業者遭受網路攻擊，並影響營運。</p> <p>9月2日印度塔塔（Tata）集團旗下的<a href="https://media.jaguarlandrover.com/news/2025/09/statement-cyber-incident">英國汽車公司Jaguar Land Rover（JLR）發布聲明</a>，指出他們受到資安事故影響，事發後隨即採取行動，主動關閉部分系統減緩造成的影響。該公司目前正在他們控制的狀態下，重新啟動該公司的全球應用程式，並強調尚未出現客戶資料遭竊的跡象，但該公司的銷售及生產業務面臨嚴重的中斷。</p> <p>雖然這則公告並未透露攻擊類型與其他細節，但根據<a href="https://www.bbc.com/news/articles/c9wywvllq7wo">英國廣播公司（BBC）的報導</a>，這起事故在9月1日傳出。JLR在週日遭遇網路攻擊，週一早上在當地希爾活（Halewood）工廠上班的員工收到電子郵件通知，要求不要前往工廠。另一座位於索利赫爾（Solihull）的工廠也受到影響，員工被送回家。此外，母公司塔塔汽車也向孟買證券交易所通報這起資安事故，並透露在全球造成影響。</p> </div></div></div>
2025/9/3 18:26作者周峻佑https://www.ithome.com.tw/news/170991
Salesloft Drift供應鏈攻擊事故受害範圍擴大，Cloudflare、Palo Alto Networks證…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Salesloft旗下的<a href="https://www.ithome.com.tw/news/170866">對話行銷暨客戶互動平臺Drift傳出的供應鏈攻擊事故</a>，駭客組織UNC6395自8月8日至18日，透過竊得的應用程式OAuth憑證（Token），成功存取並匯出多家企業的Salesforce資料，繼<a href="https://www.ithome.com.tw/news/170937">8月底資安業者Zscaler證實受害</a>，本週又有兩家資安業者發布聲明，表示他們也面臨資料外洩的情況。</p> <p>9月2日<a href="https://blog.cloudflare.com/response-to-salesloft-drift-incident/">Cloudflare</a>、<a href="https://www.paloaltonetworks.com/blog/2025/09/salesforce-third-party-application-incident-response/">Palo Alto Networks</a>發布聲明表示，兩家公司都受到Salesloft Drift漏洞影響，導致外部人士能存取他們的Salesforce系統。不過，這兩家公司也強調，這起事故主要影響的是客戶聯絡資訊，他們旗下的產品或服務並未受到波及。</p> <p>Cloudflare表示他們上週接獲通報，由於該公司的Salesforce系統主要用於客戶支援，以及內部的客戶案件管理，大部分的資料是客戶聯絡資訊及基本的支援案例資料，但部分互動內容有可能會洩露客戶的配置資訊，甚至可能包含憑證等敏感資料。對此，他們認為客戶在尋求支援過程裡提供的事件記錄、憑證、密碼等資料，都應視為已經外洩，強烈要求用戶輪換相關憑證。</p> <p>此外，該公司也對此事著手調查，找到104個可能受到影響的API憑證，並表示雖然他們並未發現用於可疑活動，但為求謹慎皆已經進行輪替。Cloudflare也通知資料受到損害的客戶，強調他們的服務或基礎架構並未受到損害。該公司也透露調查事故的過程與方法。</p> <p>同日Palo Alto Networks也發出聲明，證實他們也是遭到供應鏈攻擊影響的客戶，導致該公司Salesforce系統的資料外洩。Palo Alto Networks迅速控制事件，並從Salesforce環境停用了Salesloft Drift。根據該公司的威脅情報團隊Unit 42進行調查後確認，這起事故並未影響Palo Alto Networks任何產品、系統，以及服務。攻擊者主要竊取了業務聯絡人和相關帳戶資訊，以及內部銷售帳號記錄和基本案件數據。該公司正在通知所有受影響的客戶。</p> <p>針對這起事故，<a href="https://unit42.paloaltonetworks.com/threat-brief-compromised-salesforce-instances/">Unit 42也發布部落格文章透露調查結果</a>，指出駭客企圖從Salesforce物件大量洩露敏感資料，這些包含帳號、聯絡人、案件、機會（Opportunity）的紀錄，並積極從竊得資料挖掘帳密資料，以便發展進一步攻擊，或是延伸存取範圍。在此同時，駭客還刪除查詢記錄，抹除作案行蹤。對於其他採用Drift與Salesforce整合的企業組織，Unit 42也列出因應措施，呼籲IT人員儘速處理。</p> </div></div></div>
2025/9/3 17:01作者周峻佑https://www.ithome.com.tw/news/170989
新任數發部長林宜敬：續推AI產業發展、強化資安韌性、打詐，加速數位政府建設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數發部長林宜敬今天(9/3)舉行媒體茶敘，強調將延續數發部先前的施政方針，持續推動AI產業、資安韌性、打詐等政策針，作為數位政府的推手，數發部將加速數位憑證皮夾等數位政府建設。</p> <p>林宜敬過去擔任數發部次長時，多次代表數發部推動AI產業生態、打詐、資通安全等活動，而在接替黃彥男帶領數發部，林宜敬直言未來將會延續數發部目前推動的政策，持續推動國內AI產業發展，強化資安韌性，與平臺業者合作祭出各種打詐措施。</p> <p>首先是AI方面，數發部已研擬AI基本法草案，近期獲得行政院通過，將送立法院審查。另外，數發部也扮演火車頭的角色，除了推動政府公務機關導入AI，也推動數位經濟發展，特別是AI的產業化，以及產業的AI化。</p> <p><span style="color:#B22222;"><strong>算力、人才、資料等5方針推動AI產業發展</strong></span></p> <p>林宜敬指出，數發部會持續從算力、人才、資料、行銷、資金5大政策工具，建構AI軟體產業生態系，首先是算力部分，數發部會提供免費GPU算力資源，讓AI新創團隊驗證他們的想法，開始創業的第一哩路；資料部分，透過修法讓公務人員能夠放心將不涉機密、個資的資料釋出，並且設立臺灣主權AI訓練語料庫，供民間獲得足夠的訓練資料，讓訓練出的AI模型保有臺灣的觀點。</p> <p>至於人才方面，林宜敬提到，數發部將會訂定臺灣AI產業人才認定指引，讓AI人才的需求、訓練、認證單位有一致的共同遵循架構，來滿足AI人才訓練的生態系發展，同時也滿足產業對人才的需求。</p> <p>為協助AI產業發展，數發部也協助業者行銷產品或服務。數發部會依製造、醫療等類別舉辦產業媒合會，以協助新創團隊獲得大量且穩定的訂單。對於新創業者需要的資金，數發部為扶植產業發展，去年已向國發會匡列100億元的資金，林宜敬指出，數發部未來會協助具有產品及行銷能力的AI業者迅速擴張，並打進國際市場，完成公司上市的最後一哩路。</p> <p>在加強資安韌性上，數發部則希望結合民間資安產業的力量，共同加強守護政府部門、關鍵基礎設施、產業供應鏈的資安韌性。林宜敬認為臺灣有先進、蓬勃發展的資安軟體產業，是全球衛星供應鏈中的重要一環，並有民主供應鏈中最核心的IC產業，透過民間蓬勃的資安產業加強守護臺灣的資安韌性，讓業者得以獲得豐厚利潤，使資安產業透過正向循環發展進一步壯大。</p> <p><strong style="color: rgb(178, 34, 34);">從法律、科技、商業3方面多管齊下打詐</strong></p> <p>隨著數位經濟發展，詐騙盛行造成企業商譽、民眾財產的損失，甚至導致民眾因此輕生，因此打詐已成為政府各部會在各自主管的業務領域內重要的施政目標，數發部身為數位經濟的推動者，肩負起推動數位平臺打詐、防詐的重責大任。</p> <p>林宜敬表示，未來會從法律面、科技面、商業面三管齊下，阻絕網路詐騙的各種管道，數發部已有推動成果，在法律面制定的打詐專法，要求網路平臺落實廣告實名制；技術面上，數發部已推動通報網、DNS RPZ封鎖涉詐網站、物流隱碼、政府機關簡訊短碼等措施，推動打詐、防詐的工作。</p> <p>在商業面，林宜敬認為，打詐是一場好人與壞人的戰爭，網路平臺業者擁有最多資源，在不涉及用戶的隱私之下，網路業者掌握涉詐帳號的資料，不應扮演旁觀者的角色，業者應該積極參與這場戰爭，邀請他們加入好人的一方，共同對抗網路詐騙，目前數發部已與Google、Meta、Line等網路業者合作，在事前防止詐騙發生，在事後協助警方偵辦。 </p> <p>數位政府建設方面，林宜敬明言，數發部會持續推動數位憑證皮夾，相信數位憑證皮夾會是數位世界的基石，數位憑證皮夾的選擇性揭露功能，可保障民眾的隱私，未來數位憑證皮夾建立共同性，更可改善臺灣數位經濟的效益。「數發部最大的職責是創造適合AI、資安、資訊服務等產業成長茁壯的環境，讓資訊產業幫我解決問題的同時，可獲得豐厚利潤，也不會為社會帶來問題」。</p> <p>據瞭解，目前數位憑證皮夾正在試驗階段，預計今年底將先試營運，勞動部、交通部、教育部、經濟部將參與試驗，將技術士證照、駕照、畢業證書、工商憑證整合進數位憑證皮夾裡，兩大超商也參與試驗，預期在試營運將展示數位皮夾應用。</p> </div></div></div>
2025/9/3 17:33作者蘇文彬https://www.ithome.com.tw/news/170990
Google Gemini進駐分散式雲端服務GDC，擴增本地端AI部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://cloud.google.com/blog/topics/hybrid-cloud/gemini-is-now-available-anywhere">宣布</a>Gemini現已可於其分散式雲端服務（Google Distributed Cloud，GDC）本地端執行，此次更新涵蓋兩種模式，其一是正式推出的GDC離線隔離模式（Air-gapped），提供與公開網際網路隔離、無對外連線的部署選項，其二則是預覽階段的GDC連網模式（Connected），支援連網情境。</p> <p>Gemini在GDC上並非單純上架模型，而是以完整人工智慧平臺形式提供，Google在客戶或其合作夥伴機房內提供受託管Gemini端點，採用零接觸更新機制，並透過第7層負載平衡及自動擴展技術，確保運算效能與服務可用性。硬體部分，GDC支援最新一代Nvidia GPU加速器，包括Hopper與Blackwell架構，滿足大規模模型推論及多模態處理需求。</p> <p>安全性與治理為此方案核心，平臺具備稽核紀錄與存取控管，讓企業可掌握進出本地人工智慧環境的所有資料流量，以符合法規要求。GDC也支援機密運算，降低機敏資料於運行期間遭竄改或外洩的風險，CPU端採用Intel TDX，GPU端則搭配Nvidia機密運算功能。</p> <p>在模型與服務層面，GDC支援Gemini 2.5 Pro與Flash，同時整合Vertex AI的任務型服務，包括翻譯、光學字元辨識（OCR）、語音轉文字及嵌入向量產生，此外，也支援Google開源Gemma模型，提供更彈性的部署選擇。基礎設施層則提供受託管VM規格A3與A4，以及Kubernetes叢集，允許企業在同一平臺上執行開源或自己開發的模型，並透過Vertex AI的受託管推論服務引擎與資料連接器簡化上線作業。企業搜尋方面，預覽中的Agentspace搜尋則可在本地資料建立統一搜尋與問答體驗。</p> <p>企業可運用本地Gemini進行多語跨區協作、文件摘要、情緒分析及專有資料分析等功能，加速決策流程，也可於客服及內部支援導入智慧助理，或在軟體開發情境中應用自動程式碼產生、智慧完成與主動偵測錯誤，以提升開發效率，而安全層面則可運用人工智慧協助內容過濾及政策遵循，降低營運風險。</p> </div></div></div>
2025/9/3 16:46作者李建興https://www.ithome.com.tw/news/170981
Visual Studio更新引進GPT‑5與MCP支援，開放自帶AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/the-visual-studio-august-update-is-here-smarter-ai-better-debugging-and-more-control/">Visual Studio 2022 v17.14正式推出</a>，更新重點在於提升開發效率，並強化人工智慧輔助能力。此次版本亮點之一是把GPT-5模型納入開發環境，開發者可在Copilot Chat及程式碼建議中直接選用GPT-5，藉由更精準的語境理解與程式碼生成，協助處理複雜邏輯、重構大型程式碼庫或快速構思新功能。</p> <p>另一項關鍵更新是正式發布MCP（Model Context Protocol）。MCP作為人工智慧代理與外部工具間的橋樑，可將資料庫、程式碼搜尋、部署系統等資源整合至Visual Studio，省去分別替每個工具撰寫整合程式碼的需求。新流程支援任意OAuth供應商，開發者可直接透過網頁新增MCP伺服器，無須手動編輯JSON設定，並能在Copilot Chat工具選擇器中完成新增與連線。對企業而言，透過GitHub政策設定可集中管控MCP存取權限，強化法遵與治理。</p> <p>本次更新也開放自帶人工智慧模型功能，開發者可選擇以OpenAI、Google或Anthropic等API金鑰連接偏好的語言模型至Visual Studio Chat，依需求在效能、隱私或試驗間切換，提升人工智慧輔助的自主性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0903-ring%20your%20own%20AI%20model.png" style="width: 366px;" /></p> <p>Copilot Chat現在具備更好的主動判斷能力，系統可依據使用者提問內容自動判定是否需檢索程式碼，並於方案或工作區中搜尋並比對相關檔案，即使以自然語句描述也能定位至適當程式碼片段，有效減少人工逐一走訪與頻繁視窗切換。註冊流程也同步簡化，開發者可直接以Google帳號啟用Copilot，縮短導入時間。</p> <p>編輯體驗方面，Visual Studio提供更細緻的控制選項，使用者可關閉自動顯示的Copilot建議，改以快捷鍵在需要時手動請求，下一個編輯建議（Next Edit Suggestions）預設收合，僅以邊界指示提示存在，減少視覺干擾。程式碼完成則支援部分接受，開發者可逐字或逐行採納建議，避免一次引入過多內容而破壞程式完整性與格式。</p> <p>版本控制整合也有所強化，Copilot Chat能理解Git脈絡，引用提交與未提交變更，協助產生工作摘要、更新說明或測試案例，開發者無需離開編輯器即可查閱紀錄，對於需要頻繁回顧差異與撰寫變更說明的團隊而言，能有效節省時間。</p> <p>針對遊戲開發者與C++工程師，Visual Studio現已支援在同一除錯工作階段，同步偵錯Unreal Engine的Blueprint腳本與原生C++程式碼。開發者可直接在Blueprint中設置中斷點，並於呼叫堆疊與區域變數視窗查看Blueprint資料，無需切換工具或多次操作，即可完整掌握腳本與原生層的互動流程，協助迅速定位與解決問題。</p> </div></div></div>
2025/9/3 17:00作者李建興https://www.ithome.com.tw/news/170984
針對Salesforce供應鏈攻擊事故，Google強調未要求25億Gmail用戶重設密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月20日美國科技業者Salesloft發布資安公告，指出旗下的行銷與客戶互動應用程式Drift存在資安問題，該公司主動撤銷Drift與CRM平臺Salesforce之間的連線，並要求Drift的管理員重新進行身分驗證來因應。<a href="http://www.ithome.com.tw/news/170866">27日參與調查的Google威脅情報團隊（GTIG）與資安業者Mandiant指出</a>，攻擊者的身分是UNC6395，<a href="https://www.ithome.com.tw/news/170911">隔天GTIG透露新的調查結果</a>，受影響的範圍不光Drift與Salesforce之間的整合，他們也確認這些駭客入侵Drift郵件整合的OAuth憑證，並存取極少數量的Google Workspace帳號，在此同時，另也傳出Gmail用戶都疑似曝險的情況，25億用戶都應該要提高警覺。對此，<a href="https://blog.google/products/workspace/gmail-security-protections/">Google本週發出聲明</a>，表示他們的防護措施強大且有效，Gmail出現重大安全問題的說法並不正確。</p> <p>9月1日Google發布簡短聲明表示，他們的保護措施能阻止99.9%的網路釣魚及惡意軟體到達用戶端。近期有數起不精確的傳聞指出，該公司向所有Gmail用戶警告此郵件平臺出現嚴重的資安問題，是完全錯誤的資訊。</p> <p>Google強調他們相當嚴肅看待相關資訊安全問題，團隊投入大量資金並不斷創新，並就現有的風險及防護機制，進行徹底、全面的溝通。該公司也呼籲用戶採取最佳實務來強化防護，其中一項是採用Passkey等加強密碼防護的措施。</p> <p>究竟Google指的傳聞為何？很有可能與一項引起全球媒體報導的「Google之母資料外洩」事故有關，這項消息最早是8月22日<a href="https://www.dailymail.co.uk/sciencetech/article-15022913/Google-database-hacked-2-5-BILLION-users.html">每日郵報（Daily Mail）報導</a>，指出駭客組織ShinyHunters在<a href="https://www.ithome.com.tw/news/170548">今年6月入侵Google的Salesforce系統</a>的事故當中，竊取了客戶聯絡方式、公司名單等大量商業資料，歹徒藉由這些資料向客戶撥打電話及發送惡意電子郵件，企圖存取用戶的Google帳號及個人資料，全球25億Gmail用戶都有可能受到波及。</p> <p>他們引述資安專家James Knight的說法，這波事故對任何持有Gmail帳號的使用者都會造成影響，呼籲所有用戶都應該立刻採取行動，確認採用多因素驗證，並更換、採用高強度密碼，再者，也要對於聲稱是Google打來的電話提高警覺，不要提供替代驗證碼等資料。</p> <p>這樣的消息後續也引起<a href="https://www.forbes.com/sites/zakdoffman/2025/08/25/google-warns-most-gmail-users-must-change-passwords/">富比士（Forbes）</a>、<a href="https://economictimes.indiatimes.com/news/international/global-trends/us-news-googles-urgent-alert-to-over-2-5-billion-gmail-users-to-update-password-how-can-you-change-it-check-steps/articleshow/123602275.cms2275.cms">經濟時報（The Economic Times）</a>跟進報導，但他們的說法就有所變化，變成Google已經證實「25億Gmail用戶大部分都應該要更換密碼」。</p> </div></div></div>
2025/9/3 15:55作者周峻佑https://www.ithome.com.tw/news/170985
加密貨幣交易平臺Gemini Space Station申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密貨幣交易平臺<a href="https://www.sec.gov/Archives/edgar/data/2055592/000110465925079323/tm255912-12_drsa.htm" target="_blank">Gemini Space Station（Gemini）周二（9/2）向美國證券交易委員會（SEC）申請首次公開發行股票（IPO）</a>，打算以GEMI為代號，進駐美國那斯達克股市，預計發行16,666,667股，每股價格介於17~19美元之間，可望成為繼Coinbase之後，第二家登上美國股市的加密貨幣交易平臺。</p> <p>Gemini是由一對雙胞胎兄弟Cameron Winklevoss與Tyler Winklevoss在2014年共同創立，為全球知名的加密貨幣及託管平臺之一，提供買賣、託管、衍生品及質押等多元服務，並在2018年發行與美元1:1掛鉤的穩定幣Gemini Dollar（GUSD）。</p> <p>該平臺的主要營收為交易手續費，在2024年的全年營收為1.422億美元，其中的交易手續費占了70%，該年虧損了1.59億美元；今年上半年的營收為6,860萬美元，交易手續費占了66%，虧損2.8億美元。</p> <p>Gemini的交易量與市占率遠不及Coinbase與幣安（Binance），<a href="https://s27.q4cdn.com/397450999/files/doc_financials/2025/q2/Q2-25-Earnings-Call-Transcript.pdf" target="_blank">且根據Coinbase今年第二季的財報</a>，在Coinbase該季的15億美元營收中，約有一半（7.64億美元）來自於交易手續費，另有6.56億美元來自訂閱及各種服務，而該季的14億美元淨收入則主要來自對Circle的投資及加密資產的投資利得，若不計算一次性收益，調整後的淨收入則為3,300萬美元。</p> <p>川普政府對加密貨幣的支持，讓美國的相關企業身價都跟著水漲船高，例如Coinbase去年9月的股價不到200美元，今年卻曾多次衝破400美元；在今年6月以31美元發行價登上紐約股市的USDC穩定幣開發商Circle，最高曾衝破200美元，現在則回落至120美元左右。</p> </div></div></div>
2025/9/3 13:40作者陳曉莉https://www.ithome.com.tw/news/170971
Anthropic的F輪融資創下1,830億美元的估值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創立於2021年的AI新創<a href="https://www.anthropic.com/news/anthropic-raises-series-f-at-usd183b-post-money-valuation" target="_blank">Anthropic周二（9/2）宣布</a>，已完成由ICONIQ領投的130億美元F輪融資，這筆交易讓Anthropic估值達到1,830億美元。新資金將用來擴大Anthropic的能力，以滿足不斷成長的企業需求，強化其安全研究並支援國際上的擴張。</p> <p>Anthropic是由OpenAI的前員工創立，包括Dario Amodei與Daniela Amodei兄妹檔，主要開發名為Claude的大型語言模型，被視為OpenAI主要的競爭對手之一，且Amazon與Google皆為該公司股東。</p> <p>Anthropic財務長Krishna Rao表示，它們的客戶涵蓋了Fortune 500與AI新創，仰賴其尖端模型與平臺產品來完成關鍵任務，且整個客戶群的需求呈指數成長，此次的融資證明了投資人對其業績與財務表現的信心。</p> <p>該公司是在2023年3月推出Claude，至2025年初的年度化營收（Run Rate）約為10億美元，到了2025年8月便成長至50億美元；此外，目前Anthropic擁有超過30萬家的企業客戶，且大型客戶（每家客戶的年度化營收超過10萬美元）的數量在過去一年成長近7倍。</p> <p>此外，Anthropic在2025年5月推出的Claude Code也已帶來超過5億美元的年度化營收，使用量在3個月內成長10倍以上。</p> <p>相較之下，<a href="https://www.ithome.com.tw/news/170743" target="_blank">OpenAI</a>在今年7月的單月營收已突破10億美元，年度化營收超過120億美元，估值則已達到5,000億美元。</p> </div></div></div>
2025/9/3 12:51作者陳曉莉https://www.ithome.com.tw/news/170970
Mistral Le Chat新增MCP連接器目錄與可控隱私記憶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mistral<a href="https://mistral.ai/news/le-chat-mcp-connectors-memories">發布</a>聊天機器人Le Chat重大更新，推出以MCP為基礎的連接器目錄Beta測試版，涵蓋超過20項企業級連接器，並同步上線可控隱私的記憶（Memories）功能。這兩項新功能對所有用戶開放，包含免費方案，目標提供用戶將常用工作流程整合至單一助理介面，提升查詢、摘要與執行動作的方便性。</p> <p>MCP連接器目錄橫跨資料、生產力、開發、自動化及金流等關鍵領域，支援如Prisma Postgres、Box、Notion、Atlassian Jira、Confluence、GitHub、Cloudflare開發平臺，以及Stripe、PayPal、Square等主流工具，部分服務如Databricks及Snowflake則標示為即將推出，官方強調，使用者可在對話中直接以MCP連接器進行搜尋、摘要與其他操作，簡化跨系統流程。</p> <p>除預設連接器外，企業也可自訂擴充，連接任何遠端MCP伺服器，將內部系統或專有流程納入同一平臺，實現查詢、交互比對與動作執行的統一連接層。該設計有助於降低各系統API維運成本，並提供自動化及代理式操作更多的彈性。</p> <p>管理與權限方面，Le Chat允許管理者細緻控管連接器的使用範圍，並支援代理驗證（On-behalf Authentication），確保使用者僅能存取授權資料。部署方式具高度彈性，支援自管、私有雲、公有雲及Mistral Cloud代管，組織可依資安與法遵需求選擇。</p> <p>Memories功能目前也為Beta測試版本，強調跨對話脈絡，儲存使用者偏好、事實及決策點，以提升回應的相關性與一致性。官方明確指出，系統會避免儲存敏感或短暫資訊，降低誤存風險。使用者可隨時新增、編輯或移除記憶項目，並支援從ChatGPT快速匯入，方便既有使用者搬遷與比對。</p> </div></div></div>
2025/9/3 12:58作者李建興https://www.ithome.com.tw/news/170969
法官裁定Google不必剝離Chrome或Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國地方法院法官Amit Mehta周二（9/2）<a href="https://storage.courtlistener.com/recap/gov.uscourts.dcd.223205/gov.uscourts.dcd.223205.1436.0.pdf" target="_blank">針對Google反壟斷一案作出裁決</a>，指出Google無需拆分Chrome瀏覽器或Android平臺，但必須與競爭對手分享搜尋索引及與用戶的互動資料。當天Google的盤後股價上漲了6.57%，達225.92美元。</p> <p>這起案件始於2020年，當時美國司法部於11州針對Google<a href="https://www.ithome.com.tw/news/140636" target="_blank">提出反托拉斯訴訟</a>，同年另有38州也提出訴訟，主要皆是指控Google搜尋壟斷市場，隨後法院將兩案合併審理，<a href="https://www.ithome.com.tw/news/164309" target="_blank">並在2024年8月判決Google敗訴</a>，指稱Google透過獨家通路協議，於一般搜尋及一般文字廣告上維持壟斷地位。</p> <p>在進入案件的補救措施審理階段之後，<a href="https://www.ithome.com.tw/news/166148" target="_blank">美國司法部甚至提議</a>Google出售Chrome或Android業務，以有效解決Google的壟斷行為。當時Google認為此舉是在玩火，可能會導致Chromium專案開始收費，或是無法維持該專案的運作，進而危及整個瀏覽器產業。</p> <p>此外，擁有全球近7成市占率的Chrome瀏覽器<a href="https://www.ithome.com.tw/news/168619" target="_blank">令許多業者躍躍欲試</a>，包括OpenAI、Perplexity AI、Yahoo與DuckDuckGo等業者都對Chrome有興趣，<a href="https://www.ithome.com.tw/news/170585" target="_blank">Perplexity AI</a>甚至喊出了345億美元的價碼。</p> <p>然而，Mehta表示，Google的主要違法行為在於透過預設協議排除競爭者，而非Chrome或Android本身的存在，補救措施必須與確立的違法行為直接相關，拆分是過度且不成比例的措施。此外，Mehta也認為，強制剝離Chrome或Android會對消費者、合作夥伴及整個生態體系造成巨大干擾，可能破壞數以億計的裝置穩定性及相容性，不符合「恢復競爭」的必要性。</p> <p>因此，Mehta僅要求Google不得強制合作夥伴排除其它搜尋或AI產品；也必須向合格的競爭者提供搜尋索引及與用戶互動的資料，但不包含廣告資料；要求Google公開披露廣告拍賣的重大變更，防止私下調整價格；同時成立技術委員會以協助Google執行最終裁定，有效期為6年。</p> <p><a href="https://x.com/AAGSlater/status/1963001522641633652" target="_blank">司法部負責反托拉斯的助理司法部長Abigail Slater指出</a>，網路搜尋的競爭已經凍結了20年，Google的策略排除了競爭，損及消費者並減緩創新，此次的補求命令意謂著法院也同意應該恢復長期被壟斷的搜尋市場競爭，司法部正在評估法官所裁定的內容，以決定是否採取其它行動。</p> <p><a href="https://blog.google/outreach-initiatives/public-policy/doj-search-decision-sept-2025/" target="_blank">Google則說</a>，法院承認了生成式AI將帶來更多獲取資訊的方式，且Google反對法院在去年8月的判決；新的裁決限制了Google散布服務的方式，還要求Google與競爭者分享搜尋資料，他們擔心這可能會影響用戶隱私，也正在仔細審查裁決內容。</p> <p>市場認為這對Google而言是項勝利，<a href="https://www.ithome.com.tw/news/162634" target="_blank">代表它可以繼續每年支付龐大金額</a>以成為各家瀏覽器的預設搜尋引擎，只要不要禁止這些瀏覽器同時提供其它搜尋引擎選項即可。</p> </div></div></div>
2025/9/3 12:14作者陳曉莉https://www.ithome.com.tw/news/170966
2U機箱容納32臺E3.S或E3.L固態硬碟，營邦推出新款JBOF
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ying_bang_f2032_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底，我們曾介紹2U雙節點快閃儲存櫃，最大特色是搭配36臺E3外形NVMe固態硬碟，以及<a href="https://www.ithome.com.tw/review/156209">Nvidia BlueField-3資料處理器</a>，名為<a href="https://www.ithome.com.tw/review/166177">Supermicro SSG-229J-5BE36JBF</a>，今年另一家伺服器廠商營邦（AIC），也推出<a href="https://developer.nvidia.com/blog/supermicro-launches-nvidia-bluefield-powered-jbof-to-optimize-ai-storage/">這類型產品</a>F2032-01-G5。</p> <p>他們在5月舉行的台北國際電腦展，率先展示搭配群聯E3.S固態硬碟Pascari D200V（61.44 TB）與Pascari D205V（122.88 TB）的組態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-05-1747753813859-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-05-1747753813859-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F2032-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F2032-2025-01.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/F2032-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F2032-2025-02.jpg" style="width: 198px;" /></a></p> <p>到了8月未來記憶體與儲存大會（FMS 2025），營邦與美光（Micron）合作展示，將F2032-01-G5搭配該公司7月底發表的超大容量固態硬碟<a href="https://investors.micron.com/news-releases/news-release-details/micron-unveils-portfolio-industry-first-ssds-power-ai-revolution">6600 ION</a>，由於這款儲存裝置最大容量可達245 TB，因此，若是整座機櫃都採用F2032-01-G5，且全部都裝滿Micron 6600 ION，總共可提供140 PB以上的固態儲存容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-08-1754943162461-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-08-1754943162461-2.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AIC F2032 %2B Micron 6600-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIC%20F2032%20%2B%20Micron%206600-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AIC F2032 %2B Micron 6600 %40FMS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIC%20F2032%20%2B%20Micron%206600%20%40FMS.jpg" style="width: 298px;" /></a></p> <p>值得注意的是，營邦在他們的<a href="https://www.linkedin.com/posts/aicinc_fms2025-fms-futurememory-activity-7359287576718954496-fJCO/?utm_source=share&utm_medium=member_desktop&rcm=ACoAABO49rEB_XcR5tLyq9lkQKvasoroFrBEYzI">社群媒體Linked專頁</a>表示，F2032-01-G5是在搭配Nvidia BlueField-3資料處理器的狀態下，進行合作開發，因此，他們也在FMS大會展出這類儲存設備搭配NVMe解決方案與CXL記憶體共享架構，以及內部環境自建AI代理系統的應用方式。</p> <p>從儲存裝置規格來看，兩款產品各有擅場。營邦F2032-01-G5不僅能搭配E3.S外形固態硬碟（長112.75公釐），也能額外搭配E3.L外形固態硬碟（長142.2公釐），但相對地，它的機箱深度（784公釐）也超越SSG-229J-5BE36JBF （762公釐）；就同為2U尺寸機箱機箱所能容納的E3外形固態硬碟數量而言，營邦F2032-01-G5是32臺，Supermicro SSG-229J-5BE36JBF是36臺。</p> <p>在周邊裝置的擴充能力上，營邦F2032-01-G5的兩臺節點採用上下橫列的設置方式，每臺節點可搭配4張PCIe 5.0 x16的介面卡，整臺伺服器可搭配8張PCIe 5.0 x16的介面卡，最多能搭配4張Nvidia BlueField-3資料處理器。相較之下，Supermicro SSG-229J-5BE36JBF的兩臺節點採用左右並列的設置方式，每臺節點可搭配3張PCIe 5.0 x16的全高全長尺寸介面卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F2032-Front-Rear-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F2032-Front-Rear-2.jpg" style="width: 600px;" /></a></p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/SSG-229J-5BE36JBF-Front-Rear.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SSG-229J-5BE36JBF-Front-Rear.jpg" style="width: 600px;" /></a></p> <p> </p> <p>用戶若需要與F2032-01-G5同樣配置的伺服器系統，營邦也將提供HA2032-HC，主打高可用性儲存伺服器（High Availability Storage Server）應用，當中將搭配AMD EPYC 9000系列處理器，每臺節點可搭配3張全高半長的PCI 5.0 x16介面卡，他們在2025年度型錄預告第三季將提供樣品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AIC HA2032-HC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIC%20HA2032-HC.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>營邦F2032-01-G5</strong></span><br /> ●原廠：營邦<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（438 x 88 x 784公釐）<br /> ●儲存媒體容量：32臺E3.S 1T、E3.L 1T外形NVMe固態硬碟<br /> ●系統組成：2臺節點<br /> ●每臺節點的擴充介面：每節點4個PCIe 5.0 x16，整臺系統可安裝4張DPU<br /> ●PCIe交換器：Broadcom PEX 89144<br /> ●電源供應器：2臺3200瓦（1+1備援）<br /> ●散熱風扇：每節點7臺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/3 10:22作者李宗翰https://www.ithome.com.tw/review/170920
微軟10月將強制以MFA登入Azure服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mandatory-multifactor-authentication?tabs=dotnet" target="_blank">微軟近日宣布將從10月1日起</a>，強制要求所有登入Azure服務的行為都必須完成多因素驗證（multi-factor authentication，MFA）以執行新增、修改或刪除作業。</p> <p>這項宣布是微軟繼<a href="https://www.ithome.com.tw/news/162962" target="_blank">去年首度宣布Azure的登入安全新政策</a>後，正式全面實施MFA。</p> <p>微軟自家研究顯示，實施MFA能防範99.2%的帳號駭入攻擊，因此<a href="https://azure.microsoft.com/en-us/blog/announcing-mandatory-multi-factor-authentication-for-azure-sign-in/" target="_blank">微軟在去年8月宣布</a>以兩階段推動強制性MFA登入Azure服務。第一階段實施標的為2024年10月涵括Azure入口網站（portal）、微軟Entra及Intune管理中心。</p> <p>第二階段實施標的為 Azure CLI、 Azure PowerShell、Azure SDK、Azure行動App以及IaC (Infrastructure as Code)及REST API端點。時程上，原本微軟規畫在今年初實施，因故延後為今年10月1日。從10月1日起，所有登入這些服務以進行新增、更新或刪改作業者，都必須完成MFA登入。純讀取則無需完成MFA。微軟會從10月起逐步推向全球所有Azure租戶。</p> <p>有些企業用戶會以Entra ID的用戶帳號作為服務帳號，微軟建議將以使用者為基礎的服務帳號，改成更為安全整合工作負載（workload）身份的雲端服務帳號。</p> </div></div></div>
2025/9/3 10:51作者林妍溱https://www.ithome.com.tw/news/170963