iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】9月9日，歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨天（8日）下午至傍晚有3家上市櫃公司發布資安重訊，其中最特別的資安事故，是奈米醫材揭露海外投資子公司AST VisionCare Inc.（ASTVC-US）遭到冒名的商業郵件詐騙（BEC），歹徒鎖定的是奈米醫材與ASTVC-US投資的美國公司Millennium Biomedical, Inc.（MBI），看上的是現金股利的款項，這代表歹徒對這些公司的運作觀察相當仔細，而能在MBI發放股利的時候對其下手。</p> <p>在BEC事故之外，鎖定開發人員的攻擊事故，這兩週變得相當頻繁，占據了今天近半數的新聞版面，其中，又以大規模攻擊行動GhostAction非常值得注意，駭客一口氣竊得逾3千組帳密及憑證；再者，Nx供應鏈攻擊事故後續調查結果出爐，駭客公開逾6千個私人GitHub儲存庫；另一方面，有人假冒NPM客戶，要求套件開發者啟用多因素驗證的網釣活動，目前至少有18款套件受害。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171075"><strong style="font-size: 22px;">上櫃公司奈米醫材子公司遭遇商業郵件詐騙，預估損失高達140萬美元</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lqQwvW2fEr.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lqQwvW2fEr.png" style="width: 300px; float: right;" /></a></p> <p>近期上市櫃公司於股市公開觀測站發布資安重訊，大部分與資訊系統遭遇網路攻擊有關，亦有部分是外部網站遭到攻擊而影響運作的情況，但最近有一起重訊涉及商業郵件詐騙（BEC），難得的是，該公司在此清楚描述遇害過程，應該是為了呼籲大家重視這項資安議題，而坦言他們上當的狀況，令人敬佩。</p> <p>週一（9月8日）上櫃公司奈米醫材發布重訊，指出旗下的AST VisionCare Inc.（ASTVC-US）遭到歹徒冒名，向另一家子公司Millennium Biomedical, Inc.（MBI）寄送電子郵件並提供匯款帳號，導致MBI將原本要匯給ASTVC-US的款項，匯入歹徒的銀行帳號。</p> <p>這起事故發生的緣由，是MBI於8月20日董事會決議發放現金股利150萬美元，根據奈米醫材及ASTVC-US持有MBI股票的比例，兩家公司分別應得到7.5萬及142.5萬美元。然而，在ASTVC-US向MBI確認現金股利是否匯出之後，才發覺有異，MBI實際上不慎將款項匯給歹徒的銀行帳號。</p> <p><a href="https://www.ithome.com.tw/news/171071"><strong style="font-size: 22px;">供應鏈攻擊GhostAction鎖定GitHub而來，竊取逾3千個帳密及金鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GhostAction-leaked-secrects-types.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GhostAction-leaked-secrects-types.png" style="width: 300px; float: right;" /></a></p> <p>資安業者GitGuardian揭露發生在9月5日的大規模供應鏈攻擊GhostAction，駭客於GitHub儲存庫注入惡意工作流程，竊得3,325組帳密、憑證或金鑰，影響327名GitHub用戶、817個儲存庫。針對駭客竊得機敏資料，涵蓋能存取PyPI、NPM、DockerHub的憑證，他們透過遠端端點發出HTTP POST請求而得逞。</p> <p>針對這起事故發現的過程，GitGuardian指出他們起初是偵測到與FastUUID專案有關的GitHub疑似遭到入侵的跡象，經調查發現，此專案被注入了惡意的工作流程檔案，而且，維護者Grommash9於9月2日提交（Commit）惡意內容，標題是「新增Github Actions資安工作流程」，內含工作流程檔案，但用途卻是竊取機敏資料。</p> <p>然而後續GitGuardian發現，這實際上是規模更大的攻擊活動，於是進一步根據特徵進行比對，結果找到327個受害的GitHub用戶，並確認有3,325組機敏資料外流，其中最大宗的是DockerHub用戶名稱及憑證，分別有154、149個，其次是GitHub、NPM的憑證，有148、145個，其餘還有Confluence的憑證、URL、使用者名稱，以及AWS存取金鑰與ID等。</p> <p><a href="https://www.ithome.com.tw/news/171070"><strong style="font-size: 22px;">Nx供應鏈攻擊影響範圍擴大，6,700多個GitHub私人儲存庫被公開</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1756904579-s1ngularity-aftermath-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1756904579-s1ngularity-aftermath-2.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Wiz發現Nx供應鏈攻擊影響持續擴大，研究團隊指出，攻擊者除了在初期竊取環境變數與憑證外，還進一步濫用外洩的GitHub權杖，將至少6,700個原本屬於私有的儲存庫遭公開，涉及至少480個帳號，其中三分之二為組織。這些動作讓事件從單純的惡意套件散布，演變為更大規模的資料外洩。</p> <p>事件起點是8月26日，攻擊者濫用GitHub Actions取得Nx套件的NPM發布權杖，釋出惡意版本。安裝後的程式會收集環境變數與憑證，再透過受害者本機的GitHub CLI建立名稱帶有s1ngularity-repository文字的公開儲存庫，以存放外洩資料。</p> <p>在第一階段，至少1,700名使用者的機密資訊被公開，總數超過2,000組可驗證憑證與2萬多個檔案，到UTC時間8月28日清晨，還是有約9成外洩的GitHub權杖仍然有效，雖然GitHub之後展開大規模撤銷，最終僅有約5％仍能使用，但這段時間已讓攻擊者有機會存取並利用資料。Wiz在9月3日發布的分析指出，當時第一階段外洩的NPM權杖超過40％仍有效，接近100組。</p> <p><a href="https://www.ithome.com.tw/news/171063"><strong style="font-size: 22px;">逾18個熱門NPM套件因網釣攻擊而被駭客接管</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68bf028d86e3642f1268253f_050c42b9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68bf028d86e3642f1268253f_050c42b9.png" style="width: 300px; float: right;" /></a></p> <p>比利時資安新創Aikido Security在9月8日揭露，駭客藉由假冒NPM市集的客戶支援部門，向眾多NPM套件開發者發送釣魚郵件以騙取憑證，並成功在至少18個熱門套件植入惡意程式，涵蓋除錯工具、涉及終端機顯示的核心套件，以及CLI工具必備的終端機樣式庫等基礎套件，每周下載量達數十億次。駭客的目的在於，竊取受害者的加密貨幣。</p> <p>根據調查，駭客是在2025年的9月5日才註冊npmjs.help網域名稱，以模仿官方的npmjs.com，接著寄出偽裝為NPM客服的釣魚郵件予套件維護者，通常宣稱帳號有安全問題或需要進行驗證，但郵件中連結是導至駭客偽造的NPM登入頁面，以誘導維護者於該頁面輸入憑證及多因素驗證碼。</p> <p>取得憑證的駭客便登入維護者帳號，釋出植入惡意程式的新版本套件；一旦這些套件被應用在前端專案，並於瀏覽器中執行，惡意程式碼便會自動啟動，以偵測瀏覽器加密貨幣錢包，攔截應用與錢包的互動過程，並伺機竄改交易的目的地位址，把收款方替換成駭客所控制的錢包位址。</p> <p><a href="https://www.ithome.com.tw/news/171064"><strong style="font-size: 22px;">研究人員警告以思科ASA裝置為對象的掃描活動激增</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68b8b7284309e17515059532_GreyNoise-Visualizer-Cisco-ASA-Scanner (1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68b8b7284309e17515059532_GreyNoise-Visualizer-Cisco-ASA-Scanner%20(1).png" style="width: 300px; float: right;" /></a></p> <p>資安廠商GreyNoise警告，近日觀察到網路上針對思科防火牆系統Adaptive Security Appliance（ASA）的掃描活動有激增跡象，研究攻擊者鎖定的目標，是尚未公布的資安漏洞。</p> <p>GreyNoise在8月26日觀察到2波對ASA裝置的掃描活動突然竄升。第一波牽涉超過2.5萬個IP位址，第二波是在隔幾日後，IP位址數量略減，但屬相關聯活動。</p> <p>二次事件都是鎖定ASA網頁管理介面的登入路徑（/+CSCOE+/logon.html），GreyNoise表示，這通常表示有人在對曝露於網上的裝置進行偵察。此外，該公司發現，兩波掃描活動中的部分IP位址，也在掃描GreyNoise的Cisco IOS Telnet/SSH及ASA軟體，意謂著兩波掃描是專門鎖定思科的攻擊行動，而非隨機、亂槍打鳥式的掃描。</p> <p><strong style="font-size: 22px;">特殊印刷業者政伸、電子商務業者夠麻吉發資安重訊，指出資訊系統遭遇網路攻擊</strong></p> <p></p> <p>9月8日<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=115453&SPOKE_DATE=20250908&COMPANY_ID=8481">特殊印刷業者政伸</a>、<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162938&SPOKE_DATE=20250908&COMPANY_ID=8472">數位雲端服務與電子商務夠麻吉</a>發布資安重訊，指出他們偵測到公司有部分資訊系統遭遇網路攻擊的情況，全面啟動相關檢測及防禦機制因應，並邀請外部資安公司協同處理。</p> <p>對於資安事故可能造成的影響，兩家公司皆表示，根據他們的初步評估，對公司運作無重大影響。</p>  <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/mostererat-windows-anydesk-tightvnc-access/">惡意程式MostereRAT透過AnyDesk、TightVNC完全存取受害電腦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/gpugate-malware-uses-google-ads-and.html">惡意軟體GPUGate鎖定IT業者而來，透過廣告及GitHub散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-hijack-npm-packages-with-2-billion-weekly-downloads-in-supply-chain-attack/">熱門NPM套件開發者遭網釣，每週下載26億次的套件面臨供應鏈攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-tp-link-zero-day-surfaces-as-cisa-warns-other-flaws-are-exploited/">TP-Link路由器通訊協定CWMP存在零時差漏洞，該廠商正著手開發新版韌體修補</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/max-severity-argo-cd-api-flaw-leaks-repository-credentials/">Argo CD存在滿分漏洞，API恐洩露儲存庫帳密</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171055"><strong style="font-size: 22px;">數發部長林宜敬以五大政策工具發展AI產業，共築數位韌性社會</strong></a></p> <p>數位發展部於今年8月27日迎來成立屆滿三週年的里程碑，緊接著在9月1日，也正式迎來第三任部長，由原先的數位發展部政務次長林宜敬接任部長一職。</p> <p>為確保政策發展的一致性，林宜敬在上任的媒體茶敘中表示，面對全球數位競爭加劇的挑戰，數位發展部將攜手產官學研，共同打造創新、安全且以民為本的數位國家。他特別提出未來將聚焦四大施政重點：建構臺灣的AI產業生態系、強化資安韌性、持續加強打詐工作，以及強化數位政府建設。</p> <p>這樣的政策發展方針，也與前任部長黃彥男所提的「數位經濟三支箭」政策接軌，展現了數位發展部在面對全球數位競爭浪潮下，持續推進臺灣數位轉型的決心。而在媒體茶敘中，面對媒體質疑林宜敬的施政方針是否是「黃規林隨」？林宜敬對於這樣的說法並不在意。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171054"><strong>【9月8日】Salesloft揭露供應鏈攻擊事故發生的源頭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171021"><strong>【9月5日】大規模DDoS攻擊流量達到11.5 Tbps，再創新高</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171008"><strong>【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> </div></div></div>
2025/9/9 18:09作者周峻佑https://www.ithome.com.tw/news/171077
交通堵塞、機車噪音擾民、工地煙塵怎麼解決？桃園市用AI深化智慧城市發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「如何有效解決市民的問題、提高生活品質，是我們發展智慧城市的目標」，桃園市政府智慧城鄉發展委員會主任委員廖修武近期在一場活動中分享桃園市推動智慧城市的經驗，他點出桃園市所面臨的問題在於，過去十年桃園市的人口成長15%，但是道路、醫療、學校等城市的基礎建設無法快速成長，使得民眾生活環境的壓力增加，1999市民陳情案件增加。</p> <p>除了人口移入造成的生活品質問題，另一個則是產業，由於桃園市內國際機場，加上高速公路運輸發達，吸引製造業、物流業等產業大舉投資，擴大在桃園的營運據點，儘管帶動桃園的經濟民生，也帶來廢氣、廢土等污染；此外，人口的移入也造成營建工地增加，根據市府統計，桃園一年約有4千個工地，這些工地產生的廢土、噪音、煙塵等環境問題，引發民眾的不滿，進而向市府陳情。</p> <p><span style="color:#B22222;"><strong>組織改造成立智慧城鄉發展委員會，加速智慧桃園發展</strong></span></p> <p>由於市府的稽核人力有限，需要以更聰明的方式，提高基礎建設使用效益，並提高市府人員的稽核效率，具有科技背景的桃園市長張善政提出智慧桃園的願景，希望積極借助資訊科技，以更智慧的方式治理城市。</p> <p>廖修武表示，市府內高考具有資訊職系背景的員工約有143人，這些人分散至各單位，要推動整個市府整個組織3.6萬多人的智慧發展並不容易。而在組織架構上，桃園市政府原本設有資訊科技局，主要負責市府內的資訊化發展，如果以資訊科技局推動智慧城市發展，雖然資科局的人力較容易接受資訊科技，但是資科局與教育局、社會局等同為平行單位，不容易讓其他單位配合，而研考會負責政策研究、市政計畫的管考，依研考會的職權，可管制一定經費以上的市政計畫。</p> <p>因此市府將資訊科技局與研考會合併為智慧城鄉發展委員會，統管市府的資訊管理、市政政策研究，以及市府各個機關的市政績效。「自己可以說同時是CIO兼COO的角色」，廖修武說。</p> <p>另外，市府也成立智慧桃園推動會，加速推動桃園向智慧城市發展，由張善政擔任推動會主委，突顯市長對實現智慧桃園的高度重視，智慧桃園推動會研擬市府各機關的智慧化基礎建設、數位服務、人才培養，並透過產官學合作，加速智慧城市發展。</p> <p>廖修武指出，目前推動的幾個面向，包括智慧治理、智慧民生、智慧產業、智慧培力，其中智慧治理為提升市府內部的治理工作，智慧民生則是與民眾生活需求相關的政府服務，智慧產業則推動產業的智慧化發展，智慧培力則培養市民的數位化技能，特別針對新住民或高齡者，希望縮短數位落差。</p> <p><span style="color:#B22222;"><strong>導入智慧號誌提高行車效率，建立智慧路廊縮短救護車抵院時間</strong></span></p> <p>在民眾的各種生活問題中，交通可以說是民眾每天上班、上課都會遭遇的問題，但是要修建新的道路不容易，桃園市政府從提高道路的交通吞吐量著手，主要推動智慧號誌，其概念是判斷某路段沒有車輛行駛，動態控制交通號誌的時制，讓車輛及早通行，減少車輛等待紅燈的時間，提高交通效率。</p> <p>廖修武表示，其他縣市也有智慧號誌，但不同的是，桃園市交通號誌會計算起迄點的最佳時制秒數，再分配給每個路口紅綠燈號誌秒數，目前桃園市的智慧號誌先設計以路廊為主，約90個號誌採用智慧號誌，下一步是在今年底前發展為智慧路網。桃園市推動交通智慧號誌的挑戰，包括不同天候條件下的辨識，通過演算法動態分配號誌秒數，同一個路口在不同的條件下，AI分配的停等秒數會有不同，目前導入智慧號誌的效益，一個路廊總停等最高可省下25%。</p> <p>另外，桃園市政府也將智慧號誌用於緊急救難車輛，例如消防車、救護車，讓緊急車輛有優先通過的權限，目前市府在急救醫院的聖保祿醫院，桃園市約有12.5%的救護車將病患送到聖保祿醫院，該醫院位於陸橋前，由於陸橋上車輛迴避空間有限，常導致救護車被堵塞在路上。</p> <p>他們針對通過救護車至該醫院的行經路段，利用智慧號誌建立路廊，消防局救護車出動後，不斷發送位置資訊給交通局的智慧號誌系統，當救護車經過民族陸橋觸發電子圍籬後，系統會先讓民族陸橋上的車輛淨空，以利救護車通過陸橋，及早抵達醫院，為病患爭取急救時效。</p> <p>廖修武表示，這項計畫促成消防局與交通局的跨局處合作，去年共觸發1,872次，旅行時間平均約4分鐘，最多可節省80%的時間。除了聖保祿醫院，前往敏盛醫院、部立桃園醫院的路口也導入智慧號誌控管的作法。</p> <p><span style="color:#B22222;"><strong>夜晚機車飆車噪音成公害，怎麼解？</strong></span></p> <p>另外，從桃園市1999民眾陳情的資訊來看，有不少是民眾投訴夜晚飆車族機車行駛噪音，夜晚機車行駛的噪音成為桃園市民陳情的公害第1名，影響民眾生活品質。</p> <p>由於機車族數量眾多，傳統以人力攔查機車，往往造成警力和環保人員的工作負擔，出動幾十人，一天攔查下來可能只有告發7件，人力攔查取締的效率並不高；另外，民眾反映某一個路段機車噪音過大，警察到場攔查，飆車族為避免被攔查會暫時降低噪音，使得現場取締工作並不容易。</p> <p>不少縣市會在路口加裝聲音照相設備，加上標示警語，以科技執法來降低人力負擔，但是有經驗的騎士會在行經有照相設備的路段時，暫時降低速度以降低噪音，來規避聲音照相，因此聲音照相可提供一定的幫助，但是取締效果也有限。</p> <p>廖修武表示，經過思考飆車習慣騎士的思維，車輛改裝和噪音有相關性，大多數機車行駛發出的噪音和改裝排氣管有關，希望從取締噪音改為取締改裝排氣管，但是依照法規規定，噪音超出標準才能取締開罰，而改裝排氣管如果沒有上路，也不能開罰，桃園市花費不少時間與行政院溝通，最終獲得修法支持，將噪音超過標準的標準罰，改為取締改裝排氣管的行為罰，只要改裝就能開罰。</p> <p>接下來要解決的問題是，該如何運用科技執法來取締改管，降低人力的工作負擔，同時提高取締開單的效率？</p> <p>廖修武表示，某次市警局向智慧城鄉發展委員會爭取經費，在警車巡邏時，透過iPhone自動辨識路上其他車輛的車牌，以找出失竊車輛或可疑車輛，建議市警局辨識車牌的同時，是否也能辨識機車改管，在經過測試評估後，最後決定改在警用巡邏機車上搭載鏡頭，除了警用機車車頭之外，在其側面也安裝鏡頭，透過視覺辨識模組來取締機車改管。經過統計，每年可透過此方式排查超過17萬輛機車，舉發改管約3千多件，民眾陳情案件也顯著下降。（下圖為資料照片，來源：桃園市政府）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96600(8).jpg" style="width: 600px; height: 576px;" /></p> <p>目前桃園市政府也運用AI視覺辨識技術，解決其他市民的問題，例如應用在工地施工，或是取締隨意丟棄垃圾。</p> <p>在市府工作效率方面，廖修武指出，市府已針對生成式AI進行資料蒐集整理準備工作，目前先提供地端部署的自動會議紀錄，接下來還會用於政策的草稿、活動企畫，以及警政案件、市政數據分析。另外，市府也會開發相關的工具，來降低市府員工的文書作業負擔。</p> <p>廖修武也提醒，運用生成式AI必需解決幻覺的問題，且確保AI所作出的決定能夠回溯及判斷。另外，模型經過微調後，也需注意避免注入攻擊的風險，針對這部分，市府目前採取聯邦式學習或合成數據，確保資料不會外洩出去。他認為市府公部門使用AI，使用什麼模型，可產生什麼效果，這些都必需掌握清楚。「如同市長的鼓勵創新，想像可以很創新，但必需要顧及可能的風險，以比較務實的態度達成目標」。</p> <p> </p> </div></div></div>
2025/9/9 18:09作者蘇文彬https://www.ithome.com.tw/news/171076
上櫃公司奈米醫材子公司遭遇商業郵件詐騙，預估損失高達140萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期上市櫃公司於股市公開觀測站發布資安重訊，大部分與資訊系統遭遇網路攻擊有關，亦有部分是外部網站遭到攻擊而影響運作的情況，但最近有一起重訊涉及<a href="https://www.ithome.com.tw/tags/bec">商業郵件詐騙（BEC）</a>，難得的是，該公司在此清楚描述遇害過程，應該是為了呼籲大家重視這項資安議題，而坦言他們上當的狀況，令人敬佩。</p> <p>週一（9月8日）上櫃公司奈米醫材<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170147&SPOKE_DATE=20250908&COMPANY_ID=6612">發布重訊</a>，指出旗下的AST VisionCare Inc.（ASTVC-US）遭到歹徒冒名，向另一家子公司Millennium Biomedical, Inc.（MBI）寄送電子郵件並提供匯款帳號，導致MBI將原本要匯給ASTVC-US的款項，匯入歹徒的銀行帳號。</p> <p>ASTVC-US是奈米醫材於美國設立的全資子公司，負責執行海外投資活動，ASTVC-US藉由奈米醫材的資金，購買MBI的股票，以拓展奈米醫材的美國市場布局。</p> <p>奈米醫材在昨天發布的資安重大訊息表示，這起事故發生的緣由，是MBI於8月20日董事會決議發放現金股利150萬美元，根據奈米醫材及ASTVC-US持有MBI股票的比例，兩家公司分別應得到7.5萬及142.5萬美元。然而，在ASTVC-US向MBI確認現金股利是否匯出之後，才發覺有異，MBI實際上不慎將款項匯給歹徒的銀行帳號。</p> <p>根據後續調查，8月24日MBI透過電子郵件向ASTVC-US確認匯款資訊，但實際上ASTVC-US並未收到相關信件，後續亦無往來記錄。經過相關人員確認，MBI隔日收到的回覆信件，其實是歹徒冒名ASTVC-US而發送的信件，郵件提及的匯款資料及指示，皆為詐騙訊息。</p> <p>MBI向匯款銀行通報此事，經銀行追查，142.5萬美元已被全數提領，銀行將追查資金的流向；該公司亦向美國聯邦調查局（FBI）報案，假若這些款項無法追回，最大的損失金額為142.5萬美元。</p> <p>值得留意的是，BEC事故出現在資安重訊的情況，已非首例。<a href="https://www.ithome.com.tw/news/163841">去年7月崴寶精密科技指出</a>，他們與客戶遭遇BEC詐騙，歹徒冒名發送電子郵件，要求客戶將原本要給付的1百多萬美元匯至另一帳戶，所幸透過執法單位及時凍結接收匯款的人頭帳戶，並未造成損失。</p> </div></div></div>
2025/9/9 17:27作者周峻佑https://www.ithome.com.tw/news/171075
Anthropic支持加州SB 53法案，AI系統部署前須公開安全評估
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.anthropic.com/news/anthropic-is-endorsing-sb-53">Anthropic宣布支持加州SB 53法案</a>，該項針對尖端人工智慧開發組織的法案，要求在部署具高度影響力的人工智慧系統前，必須公開安全評估與透明度報告，並於發生重大事故後，在規定時限內通報主管機關。該法案以信任但驗證為核心原則，透過揭露與問責取代之前偏重技術規範的立法。</p> <p><a href="https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202520260SB53">SB 53法案</a>鎖定具備龐大資源，能訓練與部署強大模型的開發組織，依照條文，這些公司需制定並公開安全框架，具體說明如何辨識、評估與降低可能導致重大人身或財務損害的災難性風險。在部署新模型前，必須提交透明度報告，涵蓋模型測試、採取的防範措施與部署決策理由，同時，當發生重大安全事故，開發組織須於15日內向州政府通報，在涉及迫切的公共安全威脅，則需在24小時內通報執法或公共安全單位。法案並要求設置吹哨者保護機制，提供匿名檢舉管道，違規者將面臨民事責任與罰鍰。</p> <p>SB 53法案明確聚焦於少數具尖端開發能力的大型公司，避免加重新創團隊負擔，並授權加州司法部長依技術演進調整大型開發組織的定義，使規範能隨著模型能力的進展保持彈性，不致因固定門檻而產生漏洞。同時，法案要求政府建立CalCompute的框架與報告機制，協助學研機構與新創團隊取得高階運算資源，支持安全測試與研究。</p> <p>Anthropic強調，該公司現行的負責任擴展政策（Responsible Scaling Policy）與系統說明卡制度，已包含風險評估、模型能力說明與緩解措施揭露等做法。SB 53能將這些自律措施轉化為法律基準，避免業界在競爭壓力下縮減安全或揭露工作。Anthropic認為，SB 53法案不僅提供清楚的法律責任，也能確保開發組織在持續創新同時維持透明與安全。</p> <p>SB 53可視為對去年SB 1047遭否決後的後續法案。SB 1047因傾向以法律直接規定技術細節而遭州長否決，隨後組成的加州尖端人工智慧政策工作小組建議，改以透明度與問責為核心治理架構，今年新提出的SB 53正是依循該建議設計，並獲得包括Anthropic在內的大型實驗室支持。</p> <p>Anthropic同時提醒，之後仍需進一步規範測試與評估細節，並建立能隨時更新的規則，以跟上快速演進的人工智慧技術。</p> </div></div></div>
2025/9/9 16:21作者李建興https://www.ithome.com.tw/news/171073
供應鏈攻擊GhostAction鎖定GitHub而來，竊取逾3千個帳密及金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定GitHub儲存庫下手，挖掘開發團隊存放的帳密資料的情況，不時有資安事故傳出，但最近有越來越頻繁的現象，例如：有人假冒NPM市集客服，<a href="https://www.ithome.com.tw/news/171063">向套件開發者發送釣魚郵件騙取憑證</a>，並至少在18個熱門套件植入惡意程式，意圖竊取用戶加密貨幣；8月底<a href="https://www.ithome.com.tw/news/170877">知名開源建置工具Nx被發現於NPM上架惡意版本</a>，<a href="https://www.ithome.com.tw/news/171070">超過6千個私人GitHub儲存庫被波及</a>。最近有一起大規模供應鏈攻擊，使得開發安全再度亮起紅燈。</p> <p>資安業者GitGuardian揭露<a href="https://blog.gitguardian.com/ghostaction-campaign-3-325-secrets-stolen/">發生在9月5日的大規模供應鏈攻擊GhostAction</a>，駭客於GitHub儲存庫注入惡意工作流程，竊得3,325組帳密、憑證或金鑰，影響327名GitHub用戶、817個儲存庫。針對駭客竊得機敏資料，涵蓋能存取PyPI、NPM、DockerHub的憑證，他們透過遠端端點發出HTTP POST請求而得逞。</p> <p>針對這起事故發現的過程，GitGuardian指出他們起初是偵測到與FastUUID專案有關的GitHub疑似遭到入侵的跡象，經調查發現，此專案被注入了惡意的工作流程檔案，而且，維護者Grommash9於9月2日提交（Commit）惡意內容，標題是「新增Github Actions資安工作流程」，內含工作流程檔案，但用途卻是竊取機敏資料。</p> <p>GitGuardian解析檔案內容，指出此工作流程會從CI/CD流程截取PyPI憑證，並傳送到攻擊者控制的伺服器。此憑證的用途，是FastUUID專案開發套件所用。雖然該憑證可被用來上傳有問題的FastUUID套件，不過攻擊者並未用來發布惡意套件。該公司在GitHub專案發出問題（Issue）向FastUUID開發團隊提出警告，並向PyPI通報此事，隨後PyPI將專案變更為唯讀狀態，而遭到入侵的GitHub用戶也取消原本發布的惡意內容。</p> <p>不過，FastUUID似乎並非駭客的主要目標，因為在他們在成功入侵的3天後，並未出現進一步的活動。然而後續GitGuardian發現，這實際上是規模更大的攻擊活動，他們後來看到有人將相同的惡意提交內容，推送到5個公開的儲存庫，以及10個私人儲存庫，於是進一步根據特徵進行比對，結果找到327個受害的GitHub用戶，並確認有3,325組機敏資料外流，其中最大宗的是DockerHub用戶名稱及憑證，分別有154、149個，其次是GitHub、NPM的憑證，有148、145個，其餘還有Confluence的憑證、URL、使用者名稱，以及AWS存取金鑰與ID等。</p> <p>於是，GitGuardian決定在817個受影響的儲存庫提交問題來通知開發團隊，結果有100個已採取行動處理，剩下的717個專案當中，他們成功發出573個問題，其餘則是將問題刪除，或是停用相關功能。該公司也通報GitHub、PyPI、NPM的資安團隊，並對受影響的軟體套件進行監控，根據初步調查，有9個NPM套件、15個PyPI套件可能存在相關風險。</p> </div></div></div>
2025/9/9 14:47作者周峻佑https://www.ithome.com.tw/news/171071
微軟與Nebius簽署多年AI雲端運算協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年10月才徹底轉型為AI基礎設施的Nebius，<a href="https://www.sec.gov/Archives/edgar/data/1513845/000110465925088312/tm2525580d1_6k.htm" target="_blank">本周一（9/8）向美國證券交易委員會（SEC）報告</a>，已與微軟簽署合作協議，將在未來5年供應微軟新資料中心的GPU架構，合約價值介於174~194億美元之間。消息發布的當天，Nebius的盤後股價大漲46.58%，衝至93.9美元。</p> <p>Nebius的前身為Yandex，它是俄羅斯最大搜尋引擎Yandex的控股公司，總部設於荷蘭，2011年即登上美國那斯達克股市。然而，2022年爆發的俄烏戰爭令Yandex陷入制裁漩渦，國際業務幾乎停擺，股市交易也被暫停；於是它在2024年7月出售了俄羅斯的本土業務，更名為Nebius，接著全面轉型為AI雲端與基礎設施，同年10月才恢復在那斯達克的交易。</p> <p>值得注意的是，<a href="https://nebius.com/newsroom/nebius-announces-oversubscribed-strategic-equity-financing-of-usd-700-million-to-accelerate-roll-out-of-full-stack-ai-infrastructure" target="_blank">Nebius於2024年透過私募方式進行增資</a>，以每股21美元發行約3,333萬股A類新股，總計募得7億美元。這筆資金主要用於推動全堆疊AI基礎設施建設，包括大型GPU叢集、雲端平臺與AI開發工具。其中，Nvidia亦參與本輪投資，成為股東之一。</p> <p><a href="https://nebius.com/newsroom/nebius-reports-second-quarter-financial-results-and-raises-arr-guidance-for-2025" target="_blank">在今年第二季的財報中</a>，Nebius創下了1.05億美元的營收，比去年同期成長625%，還估計今年底其年化營收（ARR）將達到9億至11億美元。</p> <p>在此次與微軟的協議中，Nebius承諾將在2025年及2026年分批部署GPU服務，到2031年的總合約價值為174億美元，微軟也可追加額外的服務或容量，而讓合約價值增加至194億美元。</p> <p><a href="https://nebius.com/newsroom/nebius-announces-multi-billion-dollar-agreement-with-microsoft-for-ai-infrastructure" target="_blank">Nebius創辦人暨執行長Arkady Volozh表示</a>，該公司核心的AI雲端業務服務對象涵蓋AI新創到大型企業，也期待與AI實驗室及大型科技業者簽訂長期合約，此一交易除了帶來重要的經濟效益外，也將協助Nebius加速未來幾年的AI雲端業務成長。</p> <p>與Nebius類似的AI原生雲端業者還包括CoreWeave及Lambda，其中，微軟、OpenAI及Stability AI都是CoreWeave客戶，而Lambda的客戶多為AI研究實驗室。</p> </div></div></div>
2025/9/9 14:26作者陳曉莉https://www.ithome.com.tw/news/171069
Nx供應鏈攻擊影響範圍擴大，6,700多個GitHub私有儲存庫被公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Wiz<a href="https://www.wiz.io/blog/s1ngularitys-aftermath">發現</a>Nx供應鏈攻擊影響持續擴大，研究團隊指出，攻擊者除了在初期竊取環境變數與憑證外，還進一步濫用外洩的GitHub權杖，將至少6,700個原本屬於私有的儲存庫遭公開，涉及至少480個帳號，其中三分之二為組織。這些動作讓事件從單純的惡意套件散布，演變為更大規模的資料外洩。</p> <p>事件起點是8月26日，攻擊者濫用GitHub Actions取得Nx套件的NPM發布權杖，釋出惡意版本。安裝後的程式會收集環境變數與憑證，再透過受害者本機的GitHub CLI建立名稱帶有s1ngularity-repository文字的公開儲存庫，以存放外洩資料。</p> <p>在第一階段，至少1,700名使用者的機密資訊被公開，總數超過2,000組可驗證憑證與2萬多個檔案，到8月28日清晨（UTC），還是有約9成外洩的GitHub權杖仍然有效，雖然GitHub之後展開大規模撤銷，最終僅有約5％仍能使用，但這段時間已讓攻擊者有機會存取並利用資料。Wiz在9月3日發布的分析指出，當時第一階段外洩的NPM權杖超過40％仍有效，接近100組。</p> <p>第二階段中，攻擊者利用已竊取的GitHub憑證，將私有儲存庫大量公開。這些被公開的儲存庫以s1ngularity-repository-#5letters#為命名規則，有組織單次被公開的數量超過700個。雖然GitHub已經移除這些儲存庫，但機密資料可能已被外部下載與複製。第三階段則發生在8月31日，兩個遭入侵的帳號將單一組織的500多個儲存庫公開上傳，並加上S1ngularity描述與_bak後綴。</p> <p>值得注意的是，惡意程式也偵測了本機是否安裝Claude、Gemini與Amazon Q等人工智慧CLI，並以不同提示詞嘗試建立敏感檔案清單再一併外洩。不過實際成效受限於工具安裝與憑證配置、模型安全防護，以及執行範圍限制等因素，整體成功率不到四分之一。在2萬份外洩檔中僅看到不到100組有效祕密，主要為人工智慧服務與雲端平臺金鑰。此一結果顯示人工智慧雖被納入攻擊鏈，但目前外洩資訊的效果有限且不穩定。</p> <p>研究人員指出，這起事件的特點在於攻擊者能將單一設定疏漏逐步放大，最終造成廣泛的供應鏈影響。企業與開發團隊應立即檢查GitHub Audit Logs，特別是repo.create與repo.access事件中是否含有s1ngularity字串，以及是否有短時間內大量Clone的異常行為。當Audit Logs中出現actor_id為github-staff的org_credential_authorization.deauthorize事件，代表GitHub已針對帳號進行大規模撤銷。</p> <p>同時，研究人員也建議開發者全面輪換受影響的GitHub與NPM憑證，檢查曾被公開的儲存庫是否包含敏感資料，並將權杖管理與最小權限落實到日常流程。如果開發環境內安裝人工智慧CLI，也應審查執行權限與限制，避免成為攻擊者利用的工具。</p> </div></div></div>
2025/9/9 14:46作者李建興https://www.ithome.com.tw/news/171070
英特爾高層變動，新設中央工程部門以開發客製化晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.intel.com/corporate/intel-announces-key-leadership-appointments" target="_blank">英特爾（Intel）周一（9/8）宣布高層變動</a>，不過，有變的並不是被美國總統川普（Donald Trump）<a href="https://www.ithome.com.tw/news/170496" target="_blank">點名</a>的執行長陳立武，而是資料中心部門（Data Center Group，DCG）與用戶端運算部門（ Client Computing Group，CCG）主管，還新設了中央工程部門（Central Engineering Group，CEG）。</p> <p>英特爾的每個營收部門原本就都有專任的總經理，但DCG總經理自2023年後即懸缺迄今，此次正式宣布由來自Arm的Kevork Kechichian接任。Kechichian過去曾擔任Arm工程部的副總裁，負責生態合作夥伴的技術開發，未來將管理英特爾橫跨雲端與大型企業，以及Xeon處理器家族的資料中心業務。</p> <p>至於CCG部門的新任總經理為英特爾老將Jim Johnson，他在英特爾已任職40年，將自產品執行長Michelle Holthaus手上接下CCG。Holthaus則已提出辭呈，在未來幾個月將繼續擔任顧問以協助任務移轉。</p> <p>此外，英特爾的代工業務Intel Foundry原本分為研發/製造，以及業務團隊，分別由Naga Chandrasekaran及Kevin O’Buckley領導，現在則由Chandrasekaran統籌。</p> <p>英特爾還設立了一個全新的中央工程部門，以集中管理DCG、CCG及Foundry的工程資源，同時發展全新的客製化晶片（Custom Silicon）業務，並由今年6月才加入英特爾的Srinivasan Iyengar負責。Iyengar曾負責電子設計自動化（EDA）公司Cadence Design Systems的全球矽工程，專長之一為客製化晶片的開發，也曾與許多大規模資料中心客戶合作，協助客戶優化關鍵任務的解決方案。</p> <p>上述的Kechichian、Johnson、Chandrasekaran與Iyengar都將直接向陳立武彙報，外傳陳立武的留任與董事會對他的支持，以及陳同意<a href="https://www.ithome.com.tw/news/170785" target="_blank">美國政府入股英特爾</a>的政策有關。</p> </div></div></div>
2025/9/9 14:56作者陳曉莉https://www.ithome.com.tw/news/171072
SpaceX以170億美元買下EchoStar的頻譜授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國老牌衛星通訊及網路服務供應商<a href="https://ir.echostar.com/news-releases/news-release-details/echostar-announces-spectrum-sale-and-commercial-agreement-spacex" target="_blank">EchoStar周一（9/8）宣布</a>，將以170億美元的價格將AWS-4及H-block頻譜出售給SpaceX。<a href="https://www.spacex.com/updates#dtc-gen2-spectrum" target="_blank">SpaceX則說</a>，此一交易將使得該公司得以開發及部署下一代的Starlink Direct to Cell衛星星座，提供全球的手機衛星通話服務。</p> <p>EchoStar成立於1980年，業務範圍涵蓋衛星電視服務、串流電視服務，以及衛星網路服務等，但近年來財務狀況不佳，今年第二季的營收為37.2億美元，比去年同期減少5.8%，並虧損了3億美元。</p> <p>此次雙方交易的AWS-4是位於2GHz左右的S頻段，可用於行動衛星服務（Mobile Satellite Service，MSS），覆蓋範圍廣且穿透力佳；H-block亦是接近2GHz的行動通訊頻譜，可搭配AWS-4以提升頻寬與容量，並同時相容於地面網路及衛星通訊。EchoStar所持有的這兩個頻譜授權缺乏大規模的商業應用，被視為EchoStar的沈睡資產。</p> <p>此外，美國聯邦通訊委員會（FCC）近年多次詢問EchoStar有否充分利用所持有的AWS-4與H-block頻譜，質疑該公司囤積頻譜。該交易將可同時替EchoStar的財務與監管困境解套。</p> <p>另一方面，SpaceX將藉由支付85億美元的現金，以及相當於85億美元的SpaceX股票，來買下EchoStar在美國所持有的AWS-4與H-block頻譜，以及其全球MSS頻譜授權，並將這些頻譜當作SpaceX專屬的手機直連通道。由於它們都屬於iPhone與Android手機早就支援的3GPP標準頻段，因此用戶只要能看到天空，就能使用現有手機直連Starlink，使用簡訊、語音及資料傳輸服務。</p> <p>SpaceX是自2024年1月開始部署具備Direct to Cell功能的Starlink衛星，當時可支援未改裝的手機發送簡訊，5月便可支援視訊通話，現在SpaceX已發射逾600顆Starlink Direct to Cell 衛星，成為地球上最大的4G覆蓋供應商，連結逾600萬名使用者。此外，Direct to Cell衛星星座也能透過Starlink雷射網路連結由逾8,000顆衛星組成的Starlink衛星星座，擴大其覆蓋率至全球。</p> <p>而新一代的Direct to Cell衛星將充分利用這些頻譜，搭載SpaceX自行研發的晶片與相控陣天線（phased array antenna），將可同時支援數千條空間波束並提供更高的頻寬，讓單顆衛星的吞吐能力提升20倍，整體系統容量增加100倍以上，在大多數環境下，這將使直連衛星的手機具備完整的5G連線能力，帶來接近地面LTE的體驗。</p> <p>目前SpaceX是與美國電信業者T-Mobile合作，<a href="https://www.ithome.com.tw/news/170264" target="_blank">在美國推出T-Satellite服務</a>，讓使用者可透過衛星網路來傳送簡訊及定位訊息。</p> </div></div></div>
2025/9/9 13:27作者陳曉莉https://www.ithome.com.tw/news/171068
Signal Android測試版安全備份功能上線，支援加密與付費擴充
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私傳訊軟體Signal在Android最新測試版推出<a href="https://signal.org/blog/introducing-secure-backups/">安全備份（Secure Backups）功能</a>，讓使用者能在手機遺失或損毀時保留訊息紀錄。該功能採自願啟用與端對端加密，會以每日自動更新的方式建立備份檔。</p> <p>免費方案可備份最近45天的媒體以及上限100 MiB的訊息本文，選擇每月1.99美元的付費訂閱，則可備份超過45天的媒體歷史，且備份容量上限為100 GB。官方表示，這是Signal第一次引入收費機制，理由在於媒體檔案儲存與傳輸成本高昂，作為不依賴廣告與資料變現的非營利組織，Signal必須以不同的方式分攤支出。</p> <p>安全備份的架構強調隱私優先，系統使用與群組功能相同的零知識（Zero Knowledge）技術，備份檔不會與帳號或付款資訊直接綁定，降低任何中介層級的可辨識性。每位使用者的核心控制點是一組64字元復原金鑰，僅在裝置端生成，不會儲存在伺服器，該金鑰是唯一可解鎖備份的憑證，一旦遺失將無法還原。</p> <p>Signal強調他們無法協助找回金鑰，建議使用者以紙本紀錄或可信的密碼管理器妥善保存。</p> <p>目前安全備份僅限安裝Android測試版的使用者，後續將逐步開放至iOS與桌面版。啟用功能後，系統每天會自動生成新的加密備份，並覆蓋前一日版本，只有持有復原金鑰的使用者本人能解密，訊息還原時將排除單次檢視訊息，與未來24小時內即將消失的訊息。由於備份以日為單位刷新，近24小時內刪除或設定將消失的內容不會保留，與使用者原本的操作意圖一致。</p> <p>Signal指出，這套架構只是第一步，未來將擴展更多選項，例如讓使用者自行決定備份存放位置，或支援跨平臺加密訊息歷史的傳輸，涵蓋Android、iOS與桌面端。這項更新解決了Signal長期存在的痛點，便是當裝置遺失時無法保留訊息，而透過安全備份，用戶得以在不犧牲隱私的前提下，確保重要對話與檔案能夠留存，也替之後的跨平臺備份鋪路。</p> </div></div></div>
2025/9/9 12:38作者李建興https://www.ithome.com.tw/news/171067
Google公布Gemini的每日使用限額
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Gemini雖然推出一年多，也陸續更新其底層模型Gemini，但Google始終未說明Gemini的使用限額。<a href="https://support.google.com/gemini/answer/16275805" target="_blank">Google本周一終於公布</a>Gemini各階層方案的每日輸入提示次數等資訊。</p> <p>Google在最新的<a href="https://support.google.com/gemini/answer/16275805" target="_blank">說明中心頁</a>加入Gemini應用程式的使用限制及Google AI訂閱戶升級資訊，提供對免費版Gemini、付費的Google AI Pro、Ultra版的Gemini App的每日使用限額。其中免費版在最新的Gemini 2.5 Pro模型每日最多輸入5個提示，Pro和Ultra方案則可以最多輸入100個及500個提示。</p> <p>三個等級唯二相同的服務是，都能獲得2.5 Flash Gemini模型正常量的輸入提示，以及每天最多20則語音摘要。</p> <p>在Deep Research方面，免費版每個月可用2.5 Flash製作5份報告，Pro版和Ultra版則每月各可以生成20份和200份報告。至於Deep Think，只有Ultra版每天可輸入10個提示（context windows 19.2萬個token）</p> <p>生成功能方面，免費版每天最多生成100張圖片，沒有影片生成的福利。Pro版和Ultra版每天都能生成1000張圖片，前者每天可用Veo 3 Fast生成3部影片，後者則可獲得5部。</p> <p>Google Gemini和OpenAI ChatGPT相較提供的服務互有高下。其中ChatGPT免費版每日僅能生成2、3張圖片（Gemini可生成100張），但ChatGPT免費版每日有1次的Thinking服務、10次GPT-5提示，略優於Gemini，且ChatGPT Plus和Pro可自由使用Sora生成影片，也優於Google Gemini。</p> <p>Google Gemini另一優勢是整合Workspace如Gmail、Google Docs、Google Photos等服務。但隨著OpenAI成立新的應用部門，未來可能將ChatGPT整合進自己的應用中，<a href="https://www.ithome.com.tw/news/169969" target="_blank">包括傳說中的瀏覽器</a>。</p> </div></div></div>
2025/9/9 10:29作者林妍溱https://www.ithome.com.tw/news/171062
逾18個熱門NPM套件因網釣攻擊而被駭客接管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年於比利時創立的資安新創<a href="https://www.aikido.dev/blog/npm-debug-and-chalk-packages-compromised" target="_blank">Aikido Security在本周一（9/8）揭露</a>，駭客藉由假冒為NPM（Node Package Manager）市集的客戶支援部門，向眾多NPM套件開發者發送釣魚郵件以騙取憑證，並成功在至少18個熱門套件中植入惡意程式，涵蓋除錯工具、涉及終端機顯示的核心套件，以及CLI工具必備的終端機樣式庫等基礎套件，每周下載量達數十億次。駭客的目的在於竊取受害者的加密貨幣。</p> <p>根據調查，駭客是在2025年的9月5日才註冊npmjs.help網域名稱，以模仿官方的npmjs.com，接著寄出偽裝為NPM客服的釣魚郵件予套件維護者，通常宣稱帳號有安全問題或需要進行驗證，但郵件中連結是導至駭客偽造的NPM登入頁面，以誘導維護者於該頁面輸入憑證及多因素驗證碼。</p> <p>取得憑證的駭客便登入維護者帳號，釋出植入惡意程式的新版本套件；一旦這些套件被應用在前端專案，並於瀏覽器中執行，惡意程式碼便會自動啟動，以偵測瀏覽器加密貨幣錢包，攔截應用與錢包的互動過程，並伺機竄改交易的目的地址，把收款方替換成駭客所控制的錢包位址。</p> <p>值得注意的是，駭客似乎鎖定了熱門套件，受害清單上絕大多數都是基礎建設級的元件，包括每周下載量高達3.7億次、提供終端機文字樣式的ansi-styles，每周下載量超過3.5億次的除錯工具debug，或是每周下載量接近3億次的終端機字體上色工具chalk，其它還包括supports-color、strip-ansi、ansi-regex、wrap-ansi、color-convert、color-name、is-arrayish、slice-ansi、error-ex、color-string、simple-swizzle、supports-hyperlinks、has-ansi、chalk-template與backslash等。</p> <p>Aikido的威脅情報系統是在9月8日偵測到NPM有異常新版本，<a href="https://github.com/chalk/chalk/issues/656" target="_blank">之後開始出現套件被危害的討論</a>，維護者才意識到自己被騙輸入憑證，並看到自己NPM後臺的版本發布紀錄出現了不是來自自己的新版本。</p> <p>資安專家建議套件維護者應立即變更所有憑證，強制啟用多因素驗證，撤銷惡意版本並重新發布安全版本/公告，亦應通知下游專案或企業用戶。開發者則應暫停自動升級，展開安全檢測，並重建部署。</p> </div></div></div>
2025/9/9 10:45作者陳曉莉https://www.ithome.com.tw/news/171063
研究人員警告以思科ASA裝置為對象的掃描活動激增可能爆出新漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.greynoise.io/blog/scanning-surge-cisco-asa-devices" target="_blank">資安廠商GreyNoise警告</a>，近日觀察到網路上針對思科防火牆ASA（Adaptive Security Appliance）的掃描活動有激增跡象，可能近日會有新產品漏洞公布。</p> <p>GreyNoise在8月26日觀察到2波對Cisco ASA裝置的掃描活動突然竄升。第一波牽涉超過2.5萬個不重覆IP，第二波是在隔幾日後，數量少一點，但屬相關聯活動。涉及這二波IP的數量大幅超越每日小於500個IP的基準線。</p> <p>二次事件都是鎖定ASA Web Portal登入路徑（/+CSCOE+/logon.html），研究人員表示，這通常表示有人在對曝露於網上的裝置進行偵察（reconnaissance）。此外，研究人員也發現，兩波掃描活動中的一小部份IP也在掃描GreyNoise的Cisco IOS Telnet/SSH及ASA軟體，這意謂著，兩波掃描是專門鎖定思科的攻擊行動，而非隨機、亂槍打鳥式的掃描。</p> <p>經過對來源IP的分析，8月底的掃描活動主要是源自巴西單一殭屍網路群聚系統。研究人員透過篩選特定用戶端指紋及長達2個月的活動資料，判定當天有1.7萬個IP掃描Cisco ASA裝置。其中，有1.4 萬個 IP（約占 80%）來自這個巴西的殭屍網路。特定的指紋一組相近的TCP簽章一起出現，顯示這些節點都使用同樣的工具和網路堆疊，進一步讓研究人員確信是巴西端統一控制的殭屍網路。</p> <p>GreyNoise指出，過去經驗中，該公司偵測掃描Cisco ASA的惡意流量標籤一旦突增，不久後就會發現新的ASA漏洞，2019、2020、2021、2023及2024年都有案例，其中包含Akira、LockBit勒索軟體濫用CVE-2023-20269以及ArcaneDoor網路間諜活動濫用CVE-2024-20353、CVE-2024-20359植入Line Dancer及Line Runner。因此研究人員相信很快就會揭露新的漏洞。CVE-2020-3452也在揭露後被武裝化攻擊全球的思科ASA裝置。</p> <p>研究人員提醒用戶要防止ASA Web portal、Telnet、SSH直接曝露於網際網路，漏洞一有修補程式要儘速安裝，同時也以多因素驗證（MFA）強化遠端存取驗證。</p> </div></div></div>
2025/9/9 10:57作者林妍溱https://www.ithome.com.tw/news/171064
OpenAI發現評測獎勵猜測，促使大型語言模型出現幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在最新<a href="https://openai.com/index/why-language-models-hallucinate/">研究指出</a>，大型語言模型頻繁出現幻覺（Hallucination），主因在於現行評測（Evaluation）與訓練機制設計不當，讓模型在不確定時更傾向猜測而非承認不知道。研究指出，當主流評測榜單只看答對率，模型在不確定時傾向猜測而非承認不知道，最終以更高的自信錯誤（Confident Error）率換取更漂亮的分數。</p> <p>OpenAI主張，評測應對自信錯誤的回答給予更重的懲罰，並對適當的不確定表達給予部分分數，以矯正模型在不確定時傾向亂猜的行為。</p> <p>OpenAI將幻覺定義為看似可信但不正確的回答。研究團隊以實際案例說明其普遍性，例如詢問作者Adam Tauman Kalai的論文題名或生日，當前聊天機器人能給出多個且互相矛盾的答案，這類錯誤在現行只採計準確率的評測中並未被完整反映，因為猜中一次即可提高分數，而誠實以對的「我不確定」則保證拿零分。</p> <p>這就如同選擇題的答題策略，面對不知道的題目，盲猜仍有機會對一題，空白必定得零，如果模型在數千題測試中一律猜測，最終可能比懂得在不確定時收手的模型拿到更高的準確率，卻伴隨更多出錯。</p> <p>OpenAI在GPT5系統說明卡以SimpleQA呈現此矛盾，gpt-5-thinking-mini的棄答率52％、準確率22％、錯誤率26％，而相較之下，OpenAI o4-mini的棄答率僅1％，但準確率24％、錯誤率高達75％。要是只看準確率，o4-mini略勝，但是就自信錯誤率而言，gpt-5-thinking-mini明顯更低，這代表在只注重準確率的基準測試榜單，偏向猜測的模型可能名次更好，但實際使用時更容易產生幻覺。</p> <p>研究也從訓練機制解釋幻覺的來源，大型語言模型預訓練從預測下一字詞中學習，觀察到的大多是流暢語句的正例，缺乏明確標記為錯誤的反例。對於規則明確的任務，例如拼字或括號匹配，模型能隨著規模與資料增加學到穩定模式，錯誤自然會下降，但像某人生日這類低頻且隨機性高的事實，無法從語料分布可靠推斷，因此始終存在一個無法完全消除的最低錯誤率。</p> <p>OpenAI提出的解法著重在改變評測與計分，研究人員建議將主要評測指標改為同時考量準確、錯誤與棄答，把自信且錯誤的回答視為比棄答更嚴重，並對恰當的不確定表達給予部分積分。這種對錯誤給予負分，對不確定回應給予部分分數的方式並不是新概念，一些標準化考試早已採用類似設計，學術界也已提出校準與不確定性導向的評測方法。不過OpenAI指出，如果只在少數評測中加入能容許不確定性的設計，仍不足以改變目前主流榜單只看準確率高低的排序方式。</p> <p>該研究提供數項重要結論，其一，單靠提升準確率無法消滅幻覺，因為真實任務中總有不可回答或需澄清的問題，使準確率難以達到100％。其二，幻覺並非必然，模型可以在不確定時選擇棄答。其三，避免幻覺不必然仰賴更大的模型，小模型在明顯超出能力範圍時更容易說不知道，而良好校準所需計算未必比高準確更高。</p> <p>OpenAI最新模型在推理場景的幻覺率已較以往更低，不過，問題仍未完全解決。</p> </div></div></div>
2025/9/9 09:12作者李建興https://www.ithome.com.tw/news/171052
假PDF編輯器藏惡意軟體TamperedChef，靠Google廣告擴散竊憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Truesec<a href="https://www.truesec.com/hub/blog/tamperedchef-the-bad-pdf-editor">揭露</a>一波大規模惡意軟體散布行動，攻擊者透過Google廣告導流至多個詐騙網站，推廣名為AppSuite PDF Editor的免費工具，藉此誘使用戶下載被植入竊資軟體TamperedChef的安裝檔。這個程式初期表現如同一般PDF編輯器，但在特定時間後，攻擊者會以遠端指令啟用惡意功能，專門竊取瀏覽器憑證與Cookie。Truesec指出，目前已有多家歐洲組織受到影響。</p> <p>研究人員調查顯示，PDF Editor安裝檔最早在5月15日出現在VirusTotal，相關網站與網域自6月26日陸續註冊並開始推廣。一直到8月21日，部分受害機器開始接收到指令，觸發程式的惡意功能。這段期間間隔約56天，接近Google廣告常見的60天投放周期，研究人員認為，攻擊者刻意利用廣告平臺先累積安裝量，再切換為惡意模式，擴大影響範圍。</p> <p>完成安裝後，偽裝的PDF編輯器會與遠端伺服器保持通訊，並在系統內建立持久化機制，確保每次開機都能啟動。初期行為正常，但在遠端指令觸發後，才會下載額外元件並展開竊資行動。</p> <p>一旦惡意功能被啟用，TamperedChef會檢測系統的安全軟體，隨後關閉使用中的瀏覽器，藉此存取原本被鎖定的資料。透過Windows的DPAPI，TamperedChef能直接讀取瀏覽器資料庫中的憑證與Cookie，進而取得帳號登入資訊。研究人員同時發現，攻擊者使用多家公司的數位簽章為安裝檔背書，不少公司網站內容單調缺乏真實性，且有多家公司登記於同一地址可信度低。</p> <p>相關威脅活動可回溯至2024年，並與OneStart、Epibrowser等工具的推廣活動有關，部分樣本使用相同C2網域，可能是同一攻擊者持續演進的作法。在部分案例中，安裝過程還會額外投放名為elevate.exe的檔案，該檔與開源提權工具功能相同，目前尚未觀察到實際運作，可能在為後續攻擊做準備。</p> <p>研究人員提醒，這類延遲啟用的假工具難以僅靠IOC攔截，必須從行為特徵著手偵測。企業可透過AppLocker或同類白名單機制，限制使用者目錄下可執行檔的落地與自動啟動，並導入AdBlocker降低惡意廣告風險。</p> </div></div></div>
2025/9/9 09:16作者李建興https://www.ithome.com.tw/news/171056
【資安日報】9月8日，Salesloft揭露供應鏈攻擊事故發生的源頭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼先前一連串鎖定知名企業組織的雲端CRM系統Salesforce資料外洩事故，8月下旬駭客組織UNC6395針對Salesloft Drift用戶發動攻擊，從而竊取存放在Salesforce系統的資料，這樣的情況再度引起資安界高度關注，有多家資安業者也證實受到波及。如今Salesloft公布最新的調查結果，透露駭客是從他們的GitHub儲存庫入侵，然後進行一連串的攻擊行動。</p> <p>在Salesloft Drift供應鏈攻擊活動的後續之外，也有其他CRM系統遭到鎖定，而成為上週末的焦點。這次駭客盯上的CRM平臺是Sitecore，這代表除了Salesforce之外，也有攻擊者開始針對其他CRM系統用戶下手的情況，這樣攻擊活動過往並不常見。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171051"><strong style="font-size: 22px;">Salesloft Drift供應鏈攻擊事故引爆點找到了！駭客入侵GitHub儲存庫而得逞</strong></a></p> <p>8月底Salesloft Drift供應鏈攻擊事故爆發，導致有許多採用此對話式行銷與客戶互動工具的企業組織，例如資安業者Cloudflare、Palo Alto Networks、Zscaler，他們的雲端CRM系統Salesforce面臨資料外洩的危機，Salesloft與Salesforce兩家公司也撤銷Drift所有的憑證，並自Salesforce AppExchange應用程式市集下架該應用程式，介入調查的Google威脅情報團隊（GTIG）與資安業者Mandiant也透露初步調查結果，駭客組織UNC6395自8月8日開始竊取Drift的OAuth憑證，而能從多家企業截取Salesforce存放的客戶資料，如今這起事故的調查出現新的進展。</p> <p>9月7日Salesloft揭露更多調查結果，指出駭客從今年的3月至6月，試圖存取該公司的GitHub儲存庫，從而能從中下載資料、新增訪客使用者，甚至建立工作流程。這段期間，駭客也試圖在Salesloft與Drift的環境當中進行偵察，最終他們入侵Drift使用的AWS環境，竊得Drift客戶的OAuth憑證，從客戶的環境存取經過Drift整合的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/viewstate-sitecore-fig1_max-900x900.png"><strong style="font-size: 22px;">Sitecore零時差漏洞遭到利用，攻擊者用於植入後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/viewstate-sitecore-fig1_max-900x900.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/viewstate-sitecore-fig1_max-900x900.png" style="width: 300px; float: right;" /></a></p> <p>今年針對Salesforce雲端客戶關係管理平臺（CRM）攻擊行動不斷發生，但如今也有其他CRM平臺遭到鎖定，成為新一波的攻擊目標，引起資安圈的關注，而且，攻擊者找到的弱點，竟是源自廠商提供的部署指引內容。</p> <p>客戶體驗管理平臺Sitecore發布資安公告，該公司旗下多項解決方案存在資安漏洞CVE-2025-53690，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），或是未經授權存取特定資訊，呼籲用戶儘速依照公告的指引採取緩解措施。通報此事的資安業者Mandiant提出警告，他們之所以發現這項漏洞，是因為已經有人用於實際攻擊行動。</p> <p>Mandiant也透過部落格文章揭露發現相關攻擊行動的過程，當時他們看到積極的ViewState反序列化攻擊行動，這起活動的特別之處，在於攻擊者利用了2017年之前的Sitecore部署指引裡面的公開範例金鑰，他們向Sitecore通報此事，該漏洞被登記為CVE-2025-53690列管。</p> <p><a href="https://www.ithome.com.tw/news/171053"><strong style="font-size: 22px;">上個月SAP修補的S/4HANA程式碼注入漏洞傳出已被用於實際攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1anvw8fuas.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1anvw8fuas.jpg" style="width: 300px; float: right;" /></a></p> <p>SAP於8月的每月例行更新（Security Patch Day）當中，修補接近滿分的重大資安漏洞CVE-2025-42950、CVE-2025-42957（CVSS風險皆為9.9），其中，通報CVE-2025-42957資安業者SecurityBridge提出警告，他們發現這項漏洞正遭到實際利用的現象，呼籲IT人員要儘速採取行動，套用修補程式來因應。</p> <p>而對於這項漏洞帶來的影響，SecurityBridge提出進一步說明，一旦攻擊者成功利用，就能得到作業系統層級的存取權限，並完全存取SAP應用系統的所有資料，其中，他們甚至能直接在SAP資料庫刪除或插入資料、透過SAP_ALL建立新的使用者、下載密碼雜湊值，甚至竄改業務流程，換言之，藉由這項漏洞，攻擊者有機會進一步竊取資料、從事間諜活動、部署勒索軟體，或是進行詐欺。</p> <p>雖然攻擊者並未廣泛將其用於攻擊行動，但SecurityBridge已經確認有實際濫用漏洞的現象，這代表已經有人知道如何利用，只要是尚未修補的SAP系統，就有可能曝險。SecurityBridge提及，由於ABAP的程式碼是公開的，想要對修補程式進行逆向工程，算是相對容易。再者，攻擊者只需要得到低階有效帳號，就有機會利用，過程裡完全無須使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/171026"><strong style="font-size: 22px;">美國警告兩項TP-Link路由器的已知漏洞遭到利用</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）將兩項影響TP-Link路由器的弱點，納入已知高風險漏洞（KEV）名單，分別為CVE-2023-50224與CVE-2025-9377，要求聯邦機構於9月24日前完成修補。</p> <p>其中，CVE-2025-9377屬於OS指令注入漏洞，出現在Archer C7（EU）V2與TL-WR841N/ND（MS）V9的家長控制頁面，屬已驗證且需高權限的遠端命令執行，當攻擊者具管理權限，得在裝置上執行任意系統指令。</p> <p>另一項漏洞CVE-2023-50224影響TL-WR841N，屬於驗證繞過問題，成因位於預設監聽TCP連接埠80的httpd服務，其允許網路相鄰的攻擊者，在無需驗證的情況下，透過預設監聽TCP連接埠80的httpd服務，擷取裝置內儲存的憑證。</p> <p><a href="https://www.ithome.com.tw/news/171047"><strong style="font-size: 22px;">從IP攝影機到雲端AI，捷克資安主管機關把對中資料傳輸與遠端維運列高風險威脅</strong></a></p> <p>捷克國家數位資訊安全局（National Cyber and Information Security Agency，NÚKIB）發布資安警示，將兩類行為界定為對國家安全與關鍵營運構成的網路威脅，分別是向中國（含香港、澳門）傳輸系統與用戶資料，以及自該等地進行技術資產遠端維運。受《資安法》納管的機關與業者必須在風險分析中，以高風險等級處置並採取相應安全措施，官方同時澄清，此為風險警示而非直接禁令。</p> <p>NÚKIB綜合捷克國內外情報與非機密資料，認為中國及其特別行政區的法律環境賦予政府當局對企業與資料更高程度介入與要求配合。同時，歐洲與盟國在多起案例中公開認定，攻擊源自與中國政府相關的團體，捷克政府也表示，外交部網路遭受的攻擊由APT31實施，顯示威脅具有持續性與策略性。</p> <p>就技術面影響而論，風險不僅在於可能植入惡意程式，也在於大量裝置與服務會持續產生並外送高密度資料，且遠端維運通道難以被營運單位完全驗證與監督。NÚKIB點名的風險品類已延伸至IP攝影機、太陽能光電變流器（Photovoltaic Inverters）、智慧電表、醫療設備、雲端服務、智慧型手機與連網車輛，也包含大型語言模型等雲端人工智慧服務，評估重點不侷限單一品牌，而是資料流向與維運來源地的可控性。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/noisy-bear-targets-kazakhstan-energy.html">俄羅斯駭客Noisy Bear鎖定哈蕯克能源產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/virustotal-finds-44-undetected-svg.html">惡意軟體分析平臺VirusTotal加入分析SVG圖檔功能，發現假冒哥倫比亞司法單位的網釣攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ai-powered-malware-hit-2-180-github-accounts-in-s1ngularity-attack/">Nx供應鏈攻擊影響範圍擴大，逾2千個GitHub帳號受波及</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/icloud-calendar-abused-to-send-phishing-emails-from-apples-servers/">iCloud行事曆服務遭到濫用，攻擊者以此透過蘋果伺服器寄送釣魚郵件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/scattered-lapsus-hunters-google-fire-experts-data-leak/">Scattered Lapsus$ Hunters要脅Google開除特定資安專家，並停止調查，換取遭竊資料不被外流</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171021"><strong>【9月5日】大規模DDoS攻擊流量達到11.5 Tbps，再創新高</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171008"><strong>【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170992"><strong>【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> </div></div></div>
2025/9/8 17:54作者周峻佑https://www.ithome.com.tw/news/171054
上個月SAP修補的S/4HANA程式碼注入漏洞傳出已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP於<a href="https://www.ithome.com.tw/news/170594">8月的每月例行更新（Security Patch Day）</a>當中，修補接近滿分的重大資安漏洞CVE-2025-42950、CVE-2025-42957（CVSS風險皆為9.9），其中，通報CVE-2025-42957資安業者SecurityBridge提出警告，他們發現<a href="https://securitybridge.com/blog/critical-sap-s-4hana-code-injection-vulnerability-cve-2025-42957/">這項漏洞正遭到實際利用</a>的現象，呼籲IT人員要儘速採取行動，套用修補程式來因應。</p> <p>CVE-2025-42957存在於S/4HANA，為程式碼注入漏洞，攻擊者一旦取得低權限的使用者帳號，就有機會控制SAP應用系統。由於無論是本地建置或是私有雲版本的S/4HANA都受到影響，因此影響的範圍恐怕相當廣泛。</p> <p>而對於這項漏洞帶來的影響，SecurityBridge提出進一步說明，一旦攻擊者成功利用，就能得到作業系統層級的存取權限，並完全存取SAP應用系統的所有資料，其中，他們甚至能直接在SAP資料庫刪除或插入資料、透過SAP_ALL建立新的使用者、下載密碼雜湊值，甚至竄改業務流程，換言之，藉由這項漏洞，攻擊者有機會進一步竊取資料、從事間諜活動、部署勒索軟體，或是進行詐欺。為了證明漏洞造成的影響，SecurityBridge也透過影響展示概念驗證（PoC）。</p> <p>雖然攻擊者並未廣泛將其用於攻擊行動，但SecurityBridge已經確認有實際濫用漏洞的現象，這代表已經有人知道如何利用，只要是尚未修補的SAP系統，就有可能曝險。SecurityBridge提及，由於ABAP的程式碼是公開的，想要對修補程式進行逆向工程，算是相對容易。再者，攻擊者只需要得到低階有效帳號，就有機會利用，過程裡完全無須使用者互動。</p> <p>不過，對於這項漏洞遭到利用情況，SecurityBridge並未進一步說明其他細節。</p> </div></div></div>
2025/9/8 17:21作者周峻佑https://www.ithome.com.tw/news/171053
數發部長林宜敬：以五大政策工具發展AI產業，共築數位韌性社會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部於今年8月27日迎來成立屆滿三週年的里程碑，緊接著在9月1日，也正式迎來第三任部長，由原先的數位發展部政務次長林宜敬接任部長一職。</p> <p>為確保政策發展的一致性，林宜敬在上任的媒體茶敘中表示，面對全球數位競爭加劇的挑戰，數位發展部將攜手產官學研，共同打造創新、安全且以民為本的數位國家。他特別提出未來將聚焦四大施政重點：建構臺灣的AI產業生態系、強化資安韌性、持續加強打詐工作，以及強化數位政府建設。</p> <p>這樣的政策發展方針，也與前任部長黃彥男所提的「數位經濟三支箭」政策接軌，展現了數位發展部在面對全球數位競爭浪潮下，持續推進臺灣數位轉型的決心。而在媒體茶敘中，面對媒體質疑林宜敬的施政方針是否是「黃規林隨」？林宜敬對於這樣的說法並不在意。</p> <p>他回應媒體記者時就表示，「像是這個AI產業政策，就是林宜敬之前在擔任政務次長時，由黃彥男部長交辦給他的任務，」而林宜敬將建構臺灣AI產業生態系作為接下來的施政方針時，「可以說是由黃彥男部長規畫的，也可以說是林宜敬次長所規畫的。」</p> <p>這也體現出，林宜敬接棒黃彥男的部長職務後，對於數位發展部重要施政方針，仍堅守重要政策具有一致性和延續性。「我們也非常認同就是前部長黃彥男所設下的政策方向，」林宜敬強調，接任部長職務後，「最重要的是要加強執行，因為AI對臺灣來講是非常重要的事情。」</p> <p>為了更深入說明林宜敬的施政方針，數位發展部主任秘書胡貝蒂也於8月27日在「數位政府高峰會」中，針對與會的公務人員以「深化AI評測與資料傳輸安全，實現公部門數位智慧化治理」為題，進一步闡述AI產業發展相關政策內容，在新部長施政具有延續性與一致性的前提下，也可作為外界深入了解林宜敬施政方向的補充說明。</p> <h2><strong>五大政策工具發展臺灣AI產業生態系，積極打造主權AI</strong></h2> <p>人工智慧（AI）正以前所未有的速度重塑全球格局，已躍升為國家力量的核心要素，預計到2030年將為全球經濟貢獻15.7兆美元，並提高勞動生產率1.4%，透過自動化，AI能將資本轉化為勞動力，重新定義經濟競爭力的基礎。</p> <p>在這樣的趨勢下，林宜敬強調，數位發展部將透過算力、資料、人才、行銷、資金等五大政策工具，積極建構一個健康的軟體產業生態系，確保臺灣能在AI革命中佔據領先地位。</p> <p>由於各國對於建立和控制國內AI基礎設施，包括先進晶片製造能力和數據中心，都更加重視，主權AI的追求已成為國家安全與經濟影響力的決定因素。</p> <p>首先，針對算力（Compute Power）的部份，政府採取多管齊下的方式，藉此厚植AI運算基石。林宜敬指出，數位發展部將提供免費的GPU算力給臺灣的AI新創團隊，協助他們驗證想法，邁出創業的第一步。</p> <p>胡貝蒂補充說明，除了數發部自身提供算力支持新創外，國家高速網路與計算中心（國網中心）也已購入大量算力晶片，但這遠遠不夠。因此，數位發展部正透過修法，鼓勵民間保險業資金投入算力中心建置。</p> <p>同時，她也說，算力中心也將被納入促進產業升級條例的獎勵項目，並提供租稅優惠，以吸引民間資金加速算力基礎設施的完善。這也是「晶創臺灣計畫」和「大南方新矽谷推動方案」等算力池措施的一部分。</p> <p>其次在資料（Data）方便，林宜敬表示，政府的重點在於建構「臺灣主權AI訓練語料庫」，確保資料安全流通。他認為，資料是AI發展的關鍵，數位發展部將推動法規調整，讓公部門公務員能安心釋放不涉機敏、不涉個資的政府資料；同時，也會藉由籌設「臺灣主權AI訓練語料庫」，確保AI模型具備臺灣觀點並提供充足的訓練資料給新創團隊。</p> <p>胡貝蒂指出，數發部正協助各單位盤點臺灣珍貴的語料，例如原住民族語料，以確保訓練資料的齊備；未來，數發部也將思考如何透過授權方式，鼓勵大家放心貢獻資料，並確保資料傳輸更安全、流通運用更便捷。她表示，這也包含研擬「促進資料創新利用發展條例」和運用隱私強化與後量子密碼學等技術。</p> <p>第三，針對人才（Talent）培養上，林宜敬表示，數發部透過制定「臺灣AI產業人才認定指引」，為臺灣的人才需求、訓練及認證單位提供共同遵循的架構，以建立蓬勃發展的AI人才訓練生態系，滿足臺灣對AI人才的需求。</p> <p>數發部將AI人才認證指引，分為研究、開發與應用三類，這有助於各界更清晰地對標與訓練人才，整合民間力量共同育才。此外，公部門也將與民間機構合作，持續進行人才訓練。</p> <p>第四，則是針對行銷（Marketing）部分，數發部也將藉由媒合商機，幫助臺灣的AI產品走向國際。根據林宜敬的計畫，會依據醫護、長照、製造等產業類別，分批舉辦AI產業媒合會，幫助AI新創團隊迅速獲得大量且穩定的訂單。</p> <p>胡貝蒂補充說明，數發部設有AI能量登錄平臺，讓業者在線上清楚展示其AI能量；同時，雲端服務平臺未來也將推出AI國際版，協助臺灣有實力的資服業者走向國際。</p> <p>她也說，國際上已有其他國家，例如新加坡，對臺灣的AI產品表現出高度興趣，因為這些國家不想購買不可控的美國或中國的AI產品，便想轉而尋求臺灣的解決方案。</p> <p>最後，在資金（Funding）的部份，林宜敬已向國家發展委員會匡列新臺幣一百億元，希望投資具產品與行銷通路的AI公司，助其迅速擴張，打入國際市場，完成公司上市的最後一哩路，透過好的訂單引導資金流入，並透過數位發展部的資金，共同打造良好的AI生態系統。</p> <p>除了善用上述五大政策工具外，數位發展部在AI治理方面也積極部署，以確保AI可以做到「可信任、安心使用」。胡貝蒂指出，數位發展部在法遵層面，先透過制定「AI基本法」作為政府各部會，共同建立AI發展的基礎規範。</p> <p>數位發展部致力於建立「AI風險分類框架」，以「參考指引」方式推動，胡貝蒂認為，不管是框架或是指引的目的並非是監管，而是提供一個具備彈性，可以協助大家識別AI可能存在的風險，並討論不同利害關係人的應對措施。</p> <p>此外，為了確保AI產品品質，數位發展部也在2022年成立了AI評測中心及AI測試實驗室，提供公正的測試與驗證服務。胡貝蒂指出，數位發展部目前已發出多份評測報告，評測重點包括自動化測試、公平性、準確性、可靠性及資料安全性等。評測項目包括：研析歐美AI規範，擬定AI評測項目，並將先以大語言模型（LLM）做為評測的對象。</p> <p>政府已經針對公部門如何使用AI，制定了一份《公部門人工智慧應用手冊》作為行政指導文件，她也說，這也可以協助政府機關在開規格驗收時，了解如何採購、驗收AI產品，並與相關團隊協作。</p> <h2><strong>強化資安韌性，加強打詐並整合通報機制</strong></h2> <p>林宜敬指出，數位發展部將結合臺灣民間資安產業的力量，共同強化政府部門、關鍵基礎設施及產業供應鏈的資安與韌性。臺灣擁有先進且蓬勃的資安軟體產業，是全球衛星產業供應鏈與民主供應鏈核心IC產業的重要一環，數位發展部希望資安及衛星產業在守護臺灣的同時，也能協助相關產業獲得豐厚利潤，形成正向循環。</p> <p>數位發展部為了強化資通安全和通傳韌性，打造了T-Road政府資料傳輸管道，而這個管道基於政府骨幹網路（GSN），採用先進加密技術，所有傳輸資料全程以機關憑證加密，且不留存任何資料內容，僅保存傳輸紀錄，以確保資料傳輸更加安全和不可否認性。</p> <p>胡貝蒂表示，目前已要求47個AI相關機關使用T-Road；此外，有鑑於政府服務上雲的趨勢，數發部也正在規畫建置雲端環境的T-Road，以支持政府上雲的安全需求。近半年來，T-Road平均每月資料傳輸筆數已達150萬以上，尖峰流量單月超過210萬筆，成效顯著。</p> <p>林宜敬強調，數位發展部將從法律面、科技面、商業面三管齊下，迅速反應，阻絕詐騙集團在網路上的各種詐騙管道。</p> <p>他指出，政府法律面已經通過「打詐專法」並實施廣告實名制；在科技面，則已設立「網詐通報查詢網」，並透過物流隱碼、DNS RPZ機制以及「111政府專屬簡訊短碼」等機制防堵詐騙。</p> <p>另外在商業面，他也說，數位發展部積極尋求與Google、Meta、LINE等網路社群平臺合作，要求其在打詐戰爭中扮演積極角色，運用其資源，在不涉隱私和妨礙秘密通訊自由的前提下，透過自動化工具事前預防詐騙發生，事後協助警方將詐騙集團繩之以法。</p> <h2><strong>強化數位政府建設，以民為本的智慧政府服務</strong></h2> <p>林宜敬表示，數位發展部接下來將持續推動「數位憑證皮夾」的建置。他相信數位憑證是未來數位世界的基石，而數位憑證皮夾的「選擇性揭露」功能，將能夠更好地保護民眾隱私，其共通性則能大幅提升臺灣數位經濟的效率。</p> <p>此外，他強調，「數位憑證皮夾」的推動將以「人生事件」為中心的整合服務設計，並讓民眾可以在不同人生階段中，便捷且直觀地獲取所需服務。未來也將逐步導入AI人工智慧技術，進一步提升行政效率，實現更高效的政府服務。</p> <p>為了支持數位政府建設，特別是在政府AI轉型方面，胡貝蒂表示，數位發展部也以「智慧政府幸福臺灣」為願景，規畫了五大戰略。</p> <p>這五大戰略包括：一、發展智慧化為民服務：做到讓民眾「用問的」就能輕鬆利用AI獲取政府服務；二、建構自動化行政任務：利用AI技術協助公務同仁辦理常規、繁雜與耗時的工作，提升內部公文處理、法治運用效率。</p> <p>三、厚植AI應用基礎環境：為AI應用提供安全、合規且運作穩健的基礎環境。這包括打造T-Road加密管道，確保資料傳輸安全，不留存任何資料，並可以支援政府上雲的需求。</p> <p>四、完備AI資料與模型：利用政府資料經緯架構與隱私強化技術，發展政府業務領域AI模型；五、打造數位平權智慧服務：為所有族群提供無障礙且易用的政府服務，實現平權照顧。</p> <p>全球高科技產業尤其是軟體產業的創新與發展，源自民間產業的自由競爭，他認為，數位發展部的核心使命，就是打造一個適合臺灣AI、資安、資訊服務等產業成長茁壯的產業環境，讓資訊產業在解決社會問題的同時，也能獲得豐厚利潤，同時避免產生新的社會問題，共同努力創造更值得重視的數位環境。</p> <p>胡貝蒂補充數位發展部對政策執行的更多細節，除了要「打造有感、數位臺灣」外，臺灣也會推動一系列的政策措施，以期在全球AI治理浪潮中可以占據領先地位。</p> <p>胡貝蒂強調，除了要做到持續領航臺灣數位發展，建構數位信任體系外，也要做到聚焦「強化數位韌性」、「發展數位經濟」及「推動打詐工作」三大目標，未來也會廣納更多元的民間意見，凝聚共識，加速數位轉型，打造具包容與前瞻的數位國家。</p> </div></div></div>
2025/9/8 18:07作者黃彥棻https://www.ithome.com.tw/news/171055
Salesloft Drift供應鏈攻擊事故引爆點找到了！駭客入侵GitHub儲存庫而得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月底<a href="https://www.ithome.com.tw/news/170866">Salesloft Drift供應鏈攻擊事故爆發</a>，導致有許多採用此對話式行銷與客戶互動工具的企業組織，例如資安業者<a href="https://www.ithome.com.tw/news/170989">Cloudflare、Palo Alto Networks</a>、<a href="https://www.ithome.com.tw/news/170937">Zscaler</a>，他們的雲端CRM系統<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>面臨資料外洩的危機，Salesloft與Salesforce兩家公司也撤銷Drift所有的憑證，並自Salesforce AppExchange應用程式市集下架該應用程式，介入調查的Google威脅情報團隊（GTIG）與資安業者Mandiant也透露初步調查結果，駭客組織UNC6395自8月8日開始竊取Drift的OAuth憑證，而能從多家企業截取Salesforce存放的客戶資料，如今這起事故的調查出現新的進展。</p> <p>9月7日Salesloft<a href="https://trust.salesloft.com/?uid=Update+on+Mandiant+Drift+and+Salesloft+Application+Investigations">揭露更多調查結果</a>，指出駭客從今年的3月至6月，試圖存取該公司的GitHub儲存庫，從而能從中下載資料、新增訪客使用者，甚至建立工作流程。這段期間，駭客也試圖在Salesloft與Drift的環境當中進行偵察，最終他們入侵Drift使用的AWS環境，竊得Drift客戶的OAuth憑證，從客戶的環境存取經過Drift整合的資料。</p> <p>察覺遭到網路攻擊之後，Salesloft隨即採取多項應變措施，遏止及根除相關活動。其中，他們隔離了Drift基礎設施、應用程式，以及程式碼，從市集下架應用程式，並輪替受影響的金錀。</p> <p>而對於Salesloft自己本身的應用環境當中，該公司也同樣輪替了金鑰，根據駭客手法強化防護，利用Mandiant威脅情報平臺分析事件相關的高風險身分，以及規避公司安全控管的活動，判斷是否仍有潛在危險，並進行威脅獵捕工作。</p> <p>值得留意的是，8月28日GTIG與Mandiant指出，<a href="https://www.ithome.com.tw/news/170911">有部分Google Workspace企業用戶受到影響</a>，根據SaaS資安業者Nudge Security的調查，估計<a href="https://www.nudgesecurity.com/post/breach-of-salesloft-drift-oauth-tokens-leads-to-salesforce-data-theft">至少有超過750家企業組織受到影響</a>，後續發展有待進一步追蹤。</p> </div></div></div>
2025/9/8 15:53作者周峻佑https://www.ithome.com.tw/news/171051
Databricks發表資料科學代理，自動化Notebook與SQL分析任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks<a href="https://www.databricks.com/blog/introducing-databricks-assistant-data-science-agent">宣布</a>在其智慧助理（Assistant）加入代理模式，推出資料科學代理（Data Science Agent），主打在Notebook與SQL編輯器自動化完成從資料探索、程式碼生成與執行，到機器學習訓練與結果說明等一連串工作。官方提到，Data Science Agent目的並非取代人力，而是在治理與可追溯的前提，將發現問題到分析的流程縮短為數分鐘。此功能目前為預覽階段，需由工作區管理者啟用。</p> <p>開發者在助理面板啟動代理模式後，輸入明確任務即可讓代理規畫並執行。Agent能針對指定資料表進行探索性分析，支援以表格名稱快速指向資料資產，能在Notebook或SQL編輯器生成並執行SQL或Python程式碼，遇到例外時可呼叫既有的錯誤診斷機制，嘗試修正並反覆驗證直至排除問題。</p> <p>當任務包含模型訓練與評估，代理會視需求結合機器學習工作流平臺MLflow，以追蹤訓練流程並記錄結果，並可依指示調整模型類型或超參數，完成後再以重點式摘要回報分析結果或建議後續步驟。</p> <p>資料科學代理以Unity Catalog統一資料管理平臺為基礎，沿用權限控制、資料脈絡與商業語義，代理在尋找可用資料表、筆記本與程式碼片段時會以使用者可存取範圍為界線。同時官方也保留使用者的控制權，在執行程式碼前，代理會請求授權，使用者可選擇僅允許一次、在當次對話持續允許，或長期允許。系統另設有保護機制以避免如誤刪資料表等高風險操作，不過，官方還是建議在涉及生產資料時，用戶應審查代理生成的程式碼與動作。</p> <p>在多步驟或跨階段的分析用例，使用者可啟用Planner，系統會先生成詳細步驟計畫，並在必要時提出澄清問題，經確認後逐步執行與檢視輸出，最後整理結論。這對於需要依序進行資料清理、特徵工程、模型訓練與評估的流程，有助於明確界定每一步的輸入、輸出與評估標準，並讓團隊更容易追蹤分析脈絡。</p> <p>在導入與維運面，資料科學代理管理者透過預覽入口啟用代理模式後，使用者即可直接在Notebook與SQL編輯器中操作，不需要進行額外安裝或改變工作流程。代理運作會遵循Unity Catalog的治理範圍，當資料資產的命名與欄位註解越完整，代理在探索資料與搜尋資產時的效果也越好。</p> <p>Databricks也預告資料科學代理後續發展方向，包括引入MCP以擴充上下文取得的廣度，改善代理的指令記憶與可編輯性，並加速資產搜尋體驗。</p> </div></div></div>
2025/9/8 15:54作者李建興https://www.ithome.com.tw/news/171049
Rust基金會成立創新實驗室，TLS函式庫Rustls為託管首案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust基金會宣布<a href="https://rustfoundation.org/media/rust-foundation-launches-rust-innovation-lab-with-rustls-as-inaugural-project/">成立Rust創新實驗室（Rust Innovation Lab）</a>，向已具資源或可持續財務模式的開源專案，提供財務託管與營運支持計畫。基金會表示，隨著Rust在產業與開源社群的採用加速，許多以Rust撰寫的元件已成為軟體基礎設施的一環，社群需要中立、社群導向的治理與可信賴的制度作為後盾，確保專案在安全與永續上能長期維持並避免被單一供應商綁定。</p> <p>Rust創新實驗室的服務包含財務託管、治理諮詢、法務支援、人脈連結、行銷與行政等項目，由基金會以非營利且中立的架構協助專案處理資金與營運事務。基金會強調，參與的專案需具備既有資金或明確的可持續財務模式，透過專業分工讓專案團隊專注於技術路線與維護實務，同時提升社群可見度與產業協作效率。</p> <p>第一個託管專案為TLS函式庫Rustls。Rustls以記憶體安全與效率為設計重點，針對安全性與穩定性要求較高的情境，適用於安全性要求嚴格的情境。基金會指出，市場對記憶體安全且高效能的TLS需求上升，而Rustls展現了在關鍵基礎設施中，同時兼顧安全與效能的可行路徑。Rustls創辦人Joseph Birr-Pixton表示，加入Rust創新實驗室有助於專案在長期維運與開發節奏上取得更穩定的支持，團隊將與基金會合作推動後續目標。</p> <p>基金會同時提到，Rustls先前曾獲得Internet Security Research Group的Prossimo計畫與德國Sovereign Tech Agency的支持，基金會對這些支持開源的組織表達肯定。之後Rust創新實驗室將持續與具備資金來源或商業可行性的開源專案接洽，提供在治理、法務與行政面向的制度化協助。</p> <p>Rust創新實驗室把社群常見但耗時的營運與合規工作集中由專業團隊處理，替成熟度逐步提升的Rust生態建立一條穩健的專案運營方法。在技術團隊可持續投入程式碼與維護，而基金會負責制度與資金管理的分工，Rust生態中具影響力的基礎元件能以更可預期的節奏發展。</p> </div></div></div>
2025/9/8 15:01作者李建興https://www.ithome.com.tw/news/171048
OpenAI收編Alex Codes開發團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.alexcodes.app/blog/alex-team-joins-openai" target="_blank">Alex Codes創辦人Daniel Edrisian上周宣布</a>，他們將加入OpenAI的Codex團隊。</p> <p>2024年推出的<a href="https://www.alexcodes.app/" target="_blank">Alex Codes</a>是一款專為iOS與macOS開發者設計的AI助手，主要用於提升Xcode開發效率與體驗。該工具透過側邊欄直接與Xcode整合，提供AI自動補全、錯誤自動修復、圖片轉程式碼、模擬器控制及語法搜尋等功能，月費依使用容量分為30美元及200美元兩種方案。</p> <p>Edrisian則把Alex Codes定位為Xcode上的Cursor，向VS Code上的AI編輯器Cursor致敬。</p> <p>目前的計畫是打算繼續服務現有的Alex Codes用戶，但會在10月1日停止該應用程式的新下載，未來也不會再發布任何的新功能。</p> <p>不管是Edrisian或OpenAI都未公布此次的交易金額或細節，但根據<a href="https://nextunicorn.ventures/openai-welcomes-alex-codes-team-to-enhance-ai-coding-capabilities/" target="_blank">Next Unicorn</a>及<a href="https://techcrunch.com/2025/09/05/openai-hires-the-team-behind-xcode-coding-assistant-alex-codes/" target="_blank">TechCrunch</a>的報導，這是一起收購+雇用（Acqui-Hire）交易，OpenAI相中的是人才，而不見得是產品或業務，如同<a href="https://www.ithome.com.tw/news/170034" target="_blank">Google以24億美元買下WindSurf的技術與人才</a>，或是<a href="https://www.ithome.com.tw/news/169561" target="_blank">Meta投資Scale AI並換來該公司創辦人Alexandr Wang為其效力</a>。</p> </div></div></div>
2025/9/8 15:16作者陳曉莉https://www.ithome.com.tw/news/171050
從IP攝影機到雲端AI，捷克資安主管機關把對中資料傳輸與遠端維運列高風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>捷克國家數位資訊安全局（National Cyber and Information Security Agency，NÚKIB）<a href="https://nukib.gov.cz/en/infoservis-en/news/2295-nukib-warns-against-the-transfer-of-the-data-to-and-remote-administration-from-people-s-republic-of-china/">發布資安警示</a>，將兩類行為界定為對國家安全與關鍵營運構成的網路威脅，分別是向中國（含香港、澳門）傳輸系統與用戶資料，以及自該等地進行技術資產遠端維運。受《資安法》納管的機關與業者必須在風險分析中，以高風險等級處置並採取相應安全措施，官方同時澄清，此為風險警示而非直接禁令。</p> <p>NÚKIB指出，當前關鍵基礎設施日益依賴雲端儲存與連網維運，供應商因而能影響系統運作並接觸重要資料，資料跨境與維運來源地的可信度成為治理核心。NÚKIB將該威脅評級為高，對應發生機率介於可能（likely）至非常可能（very likely），適用對象為受捷克《資安法》納管之單位，例如關鍵資訊基礎設施與重要資訊系統等。</p> <p>NÚKIB綜合捷克國內外情報與非機密資料，認為中國及其特別行政區的法律環境賦予政府當局對企業與資料更高程度介入與要求配合。同時，歐洲與盟國在多起案例中公開認定，攻擊源自與中國政府相關的團體，捷克政府也表示，外交部網路遭受的攻擊由APT31實施，顯示威脅具有持續性與策略性。</p> <p>就技術面影響而論，風險不僅在於可能植入惡意程式，也在於大量裝置與服務會持續產生並外送高密度資料，且遠端維運通道難以被營運單位完全驗證與監督。NÚKIB點名的風險品類已延伸至IP攝影機、太陽能光電變流器（Photovoltaic Inverters）、智慧電表、醫療設備、雲端服務、智慧型手機與連網車輛，也包含大型語言模型等雲端人工智慧服務，評估重點不侷限單一品牌，而是資料流向與維運來源地的可控性。</p> <p>NÚKIB要求受監管單位將本次警示納入正式風險管理流程，依識別結果布建相對應的安全措施，並提醒一般民眾與企業在採用產品與雲端服務時，也應審視其資料存取權限與最終傳輸落點，避免無意間將敏感資訊置於受中國法域約束的環境。</p> </div></div></div>
2025/9/8 12:19作者李建興https://www.ithome.com.tw/news/171047
Google Deepmind與倫敦大學開發讓機器人協作的RoboBallet技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ucl.ac.uk/news/2025/sep/robots-learn-work-together-well-choreographed-dance" target="_blank">倫敦大學學院（University College London，UCL）</a>與Alphabet旗下的AI公司<a href="https://deepmind.google/research/publications/111579/" target="_blank">DeepMind</a>、機器人公司<a href="https://www.intrinsic.ai/blog/posts/specialized-ai-for-scalable-and-adaptive-multi-robot-orchestration" target="_blank">Intrinsic</a>上周共同揭露了RoboBallet技術，這是一個新的AI演算法，讓大型機器人能夠在繁忙的工業環境中協作而不衝突，<a href="https://www.science.org/doi/10.1126/scirobotics.ads1204" target="_blank">並已於《Science Robotics》期刊上發表</a>。</p> <p>RoboBallet的任務在於幫助在生產線與廠房之間工作的機器人，能夠自動規畫它們的任務與動作，而不互相或與周圍環境碰撞；目前該任務通常是由經過專門培訓的人類手動完成，是個既繁瑣又容易出現錯誤的過程，一組完整的任務規畫往往需要耗費數百小時的人力時間。</p> <p>而RoboBallet是個結合強化學習（RL）的圖像神經網路（GNN），先藉由GNN理解空間障礙與機器人之間的關係，再透過RL學習如何高效完成任務，並以「避免碰撞、快速完成」獲得獎勵，而讓機器人能在幾秒內自動生成數十個機械手臂的協同動作計畫，比傳統作法快了數百倍，可應用在汽車製造、電子組裝或建築領域上。</p> <p>在實驗中，僅經過幾天的培訓，RoboBallet就可在幾秒內生成高品質的規畫，還能超越原本所學習的布局，以8個機械手臂解決最多40項任務。</p> <p>該報告的主要作者Matthew Lai表示，RoboBallet把工業機器人轉變為精心編排的舞碼，每隻手臂都精確且有目的的移動，還可意識到同伴；它不僅能夠避免碰撞，還能實現大規模的協作，這是他們第一次能夠像舞蹈一樣優雅與快速地自動化複雜的多機器人規畫，提升工廠的效率與適應能力。</p> </div></div></div>
2025/9/8 10:34作者陳曉莉https://www.ithome.com.tw/news/171045
Sitecore零時差漏洞遭到利用，攻擊者用於植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年針對<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>雲端客戶關係管理平臺（CRM）攻擊行動不斷發生，但如今也有其他CRM平臺遭到鎖定，成為新一波的攻擊目標引起資安圈的關注，而且，攻擊者找到的弱點，竟是源自廠商提供的部署指引內容。</p> <p>客戶體驗管理平臺Sitecore<a href="https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1003865">發布資安公告</a>，該公司旗下多項解決方案存在資安漏洞CVE-2025-53690，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），或是未經授權存取特定資訊，呼籲用戶儘速依照公告的指引採取緩解措施。<a href="https://cloud.google.com/blog/topics/threat-intelligence/viewstate-deserialization-zero-day-vulnerability/">通報此事的資安業者Mandiant提出警告</a>，他們發現在這項漏洞的緣由，就是已經有人用於實際攻擊行動。</p> <p>CVE-2025-53690是未受信任資料反序列化造成的漏洞，影響Experience Manager（XM）、Experience Platform（XP）、Experience Commerce（XC），以及Managed Cloud等產品，CVSS風險評為9.0分（滿分10分）。</p> <p>Mandiant也透過部落格文章發現相關攻擊行動的過程，當時他們發現積極的ViewState反序列化攻擊行動，這起活動的特別之處，在於攻擊者利用了2017年之前的Sitecore部署指引裡面的公開範例金鑰，他們向Sitecore通報此事，該漏洞被登記為CVE-2025-53690列管。Mandiant指出，使用Sitecore公開部署指引當中範例金鑰的多項產品，就有可能受到影響，尤其是採用XP 9.0及Active Directory 1.4之前版本的用戶。</p> <p>雖然Mandiant成功中斷攻擊行動，而無法觀察、確認整個攻擊流程，但根據他們進一步的調查，這些駭客在網際網路上找尋存在弱點的目標，觸發漏洞而能遠端執行程式碼，然後解密ViewState有效酬載，產生惡意程式WeepSteel進行內部偵察。</p> <p>接著攻擊者存取網頁應用程式的根資料夾收集敏感資料，然後運用開源工具進行後續活動，包含網路隧道工具EarthWorm、遠端存取工具Dwagent、AD偵察工具SharpHound。</p> <p>這些駭客最初發出HTTP請求探測目標網頁伺服器，然後鎖定/sitecore/blocked.aspx網頁，由於此網頁使用隱藏的ViewState表單，加上無須身分驗證就能存取，而成為攻擊者下手的潛在目標。</p> <p>而對於這波活動使用的作案工具WeepSteel，與後門程式GhostContainer、ExchangeCmdPy有相似之處，主要功能是收集系統、網路、使用者資訊，並透過偽裝的ViewState進行傳輸。</p> </div></div></div>
2025/9/6 18:49作者周峻佑https://www.ithome.com.tw/news/171041
Google網路廣告科技被認壟斷歐盟重罰30億歐元川普揚言報復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會上周基於Google廣告科技扭曲市場競爭違反歐盟反托拉斯法，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_25_1992" target="_blank">對Google判罰29.5億歐元</a>。美國總統川普周日表示，一旦歐盟決心罰款，美國政府將祭301法案來「抵銷」損害。</p> <p><a href="https://www.ithome.com.tw/news/145181" target="_blank">這是歐盟於2021年6月正式啟動調查後的結果</a>。歐盟指Google偏私自家線上顯示型廣告服務，損害廣告技術服務競爭者、廣告主及線上出版商的利益。歐盟執委會命令Google終止自肥行為，並導入停止內部利益衝突的措施，並在60天內報告其計畫。</p> <p>Google在網站及行動App廣告業務提供了三種服務中介廣告主和出版商。它提供的2種廣告購買工具包括Google Ads和DV 360、出版商廣告管理伺服器DFP（DoubleClick For Publishers）及交易平臺AdX。</p> <p>歐盟執委會調查發現，Google至少從2014年到今天，都濫用其壟斷市場的出版商廣告工具DFP和廣告購買工具Google Ads和DV 360來自利。像是它的DFP廣告管理系統會告知AdX其對手底價，使AdX輕鬆贏得拍賣。其二，它的廣告購買工具Google Ads避免對手廣告交易平臺，而主要在自己的AdX投標，使後者成為最受歡迎的交易平臺。歐盟認為，Google有意偏袒自家AdX，排擠競爭平臺，進而鞏固AdX在廣告供應鏈的關鍵地位，也提高Google服務定價的能力。</p> <p>歐盟潔淨、公正和競爭轉型委員會副總裁Teresa Ribera說，Google必須提交認真的矯治計畫來解決利益衝突，若Google未能滿足要求，歐盟將施加激烈的矯治措施。</p> <p><a href="https://www.wsj.com/tech/google-fined-3-5-billion-by-eu-over-ad-tech-business-72521802" target="_blank">Google向華爾街日報發出聲明</a>，指該公司提供廣告主及銷售者服務的作法完全沒有危害競爭的手段，而且業界競爭者只有更多沒有更少。Google表示將提上訴。</p> <p>這不是歐盟第一次向美國科技公司索討巨額罰款，<a href="https://arstechnica.com/gadgets/2025/09/europe-slaps-google-with-2-95b-euro-fine-over-advertising-monopoly/" target="_blank">但是媒體Ars Technica分析</a>，這可能是歐盟第一次因此將面對美國政府報復。</p> <p>川普政府和歐盟在關稅問題上關係緊張，7月川普和歐盟主席Ursula Gertrud von der Leyen會談時，就歐盟對美國科技公司如 Meta、Google、Apple等的數位規範（如Digital Services Act、Digital Markets Act）進行討論，但歐盟表示無可退讓。川普揚言歐盟如果再持續為難美國公司，就會提高經濟制裁。</p> <p>果不其然，就在歐盟宣布罰款後，<a href="https://truthsocial.com/@realDonaldTrump/posts/115153232183118149" target="_blank">川普在其Truth Social 上說</a>，這是美國科技公司又一次受罰最高，這令人無法忍受。他說不能坐視優秀的美國人才受到此等待遇，如果真的發生，他將被迫啟動301條款以抵銷這些美國公司受到的不公平處罰。</p> <p>歐盟是否會因此改變其決定有待觀察。<a href="https://www.ithome.com.tw/news/170966" target="_blank">Google上周才獲得美國法院輕饒</a>，逃過強制出售拆分Chrome瀏覽器或Android平臺的命運。</p> </div></div></div>
2025/9/8 09:40作者林妍溱https://www.ithome.com.tw/news/171042
微軟開源比爾蓋茲寫的MOS 6502 BASIC程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://opensource.microsoft.com/blog/2025/09/03/microsoft-open-source-historic-6502-basic/" target="_blank">微軟上周開源了</a>Windows出現之前、創辦人比爾蓋茲等人撰寫的MOS 6502 BASIC程式原始碼。</p> <p>多年來電腦玩家是在網路上搜尋及下載MOS 6502 BASIC非官方或斷簡殘篇版本，將之重建並執行在現代電腦上，而電腦博物館收藏的也是不完整版。這是微軟官方首次公布完整6502 BASIC程式原始碼。</p> <p>微軟二位創辦人比爾蓋茲（Bill Gates）和保羅艾倫（Paul Allen）於1975年寫出Intel 8080處理器專用的BASIC組譯器，後來改寫成適用其他處理器的版本，包括MOS 6502及Motorola 6800及6809。</p> <p>1976年蓋茲和另一元老Ric Weiland完成在MOS 6502 8-bit CPU的移植（版號BASIC M6502 8K VER 1.1）。6502 BASIC為具有浮點運算演算法的完整BASIC組譯器。它本身為8KB，可以燒錄於ROM晶片中，也可以由磁碟載入RAM執行。</p> <p>1977年Commodore公司以25,000美元授權本軟體，推出Commodore PET，以及暢銷的VIC-20及Commodore 64等早期個人電腦。6502 BASIC在1978年又移植到蘋果Apple II上（名為AppleSoft BASIC），成為後來Apple II主要執行語言。部分遊戲機透過擴充卡匣（如Atari BASIC、Family BASIC）則提供改編的6502 BASIC，讓玩家能寫小程式或簡單遊戲。</p> <p>6502 BASIC提供浮點數運算、基本流程控制、字串與陣列操作，但尚無法實現高級圖形、聲音與結構化語言功能。但微軟說這個BASIC組譯器是早期個人電腦的軟體基礎，允許非工程人員透過簡單英文程式語言即可存取操作。這軟體大大改寫了個人電腦發展的進程。</p> <p>微軟這次開源的6502 BASIC（Microsoft BASIC for 6502 Microprocessor）1.1版是對當時版本garbage collector的修補，修補程式來自蓋茲和Commodore工程師。不但是出貨到PET電腦的版本（當時名為BASIC V2）本尊，也包含了蓋茲彩蛋，藏在STORDO和STORD0標籤後（如MICROSOFT! COPYRIGHT 1977 BY BILL GATES的字樣）。<a href="https://www.pagetable.com/?p=43#comment-1033" target="_blank">蓋茲本人於2010年證實</a>。</p> <p><a href="https://github.com/microsoft/BASIC-M6502" target="_blank">本專案採用MIT授權在GitHub開源</a>，允許開發人員或使用者修改、分享。</p> <p>2025年隨著FPGA晶片技術、模擬器（emulator）專案及社群人士推動了復古運算，<a href="https://www.commodore.net/" target="_blank">Commodore並且推出</a>了新的FPGA Commodore 64系統。</p> <p><a href="https://github.com/microsoft/GW-BASIC" target="_blank">微軟2020年也開源了GW-BASIC</a>，這是和6502 BASIC系出同源，出貨到IBM PC的版本。後者衍生為QBASIC，之後又再間接演變成Visual Basic。</p> </div></div></div>
2025/9/8 09:57作者林妍溱https://www.ithome.com.tw/news/171043
尼泊爾封鎖臉書、YouTube及Reddit等逾20個社交平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>尼泊爾政府在上周四（9/4）封鎖了境內的Facebook、Instagram、YouTube、X、Reddit、LinkedIn、WhatsApp、Discord、Pinterest、Signal、Threads、微信、Quora及Tumblr等逾20個社交平臺，原因是它們並未依法於當地註冊。</p> <p>根據<a href="https://www.jurist.org/news/2025/09/nepal-blocks-26-social-media-platforms-in-historic-crackdown/" target="_blank">Jurist</a>、<a href="https://techcrunch.com/2025/09/04/nepal-blocks-facebook-instagram-youtube-x-over-rule-breach-amid-censorship-concerns/" target="_blank">TechCrunch</a>及<a href="https://kathmandupost.com/national/2025/09/05/only-hamro-patro-x-respond-as-nepal-blocks-26-social-media-platforms-1757082149" target="_blank">Kathmandu Post</a>等媒體的報導，尼泊爾在2023年實施了《社交媒體使用規範指令》（Directive on Regulating the Use of Social Media），要求社交平臺必須於當地註冊，設立辦公室，指派一名當地代表，也必須施行自律機制，並在8月25日下了最後通碟，要求所有社交媒體必須在7天內註冊，期限為上周三（9/3）。</p> <p>於是尼泊爾電信管理局（Nepal Telecommunications Authority，NTA）與尼泊爾網路服務供應商協會（Internet Service Provider Association of Nepal，ISPAN）周四即開始封鎖名單上的26個社交平臺。</p> <p><a href="https://en.setopati.com/social/165133" target="_blank">根據當地媒體Setopati的報導</a>，名單上並未包含Viber、WeTalk、TikTok、Nimbuzz與Poppo Live，因為它們已經註冊，也未包含早在7月便被封鎖的Telegram，而位於名單上的X則是在上周五（9/5）緊急註冊。</p> <p>TechCrunch解釋，尼泊爾最高法院是在上個月決定維持當地政府所要求的註冊規定，目的是為了阻止不實資訊的散布，但法院僅說「在法律框架內立即作出適當的法律安排」，並未明確命令政府封鎖那些未註冊的平臺。</p> <p>尼泊爾雖然是個民主國家，但專門捍衛全球數位權利的非營利組織<a href="https://www.accessnow.org/press-release/keepiton-nepals-telegram-ban-is-a-dangerous-escalation-of-digital-censorship/" target="_blank">Access Now在尼泊爾封鎖Telegram時便曾警告</a>，Telegram被禁可能是由於該平臺涉嫌拒絕將用戶資料移交給當局而引發的，這嚴重侵犯了民眾的言論自由、資訊存取及隱私權，透露出數位治理領域行政越權的現象愈來愈嚴重。</p> </div></div></div>
2025/9/8 10:09作者陳曉莉https://www.ithome.com.tw/news/171044
Anthropic強化區域限制，中國企業持股過半之公司不得使用其服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/updating-restrictions-of-sales-to-unsupported-regions">Anthropic更新服務條款</a>，擴大對不支援地區的限制。新規定明確指出，只要是受中國等不支援地區的企業直接或間接控制的公司或組織，不論註冊地點，均不得使用Anthropic的人工智慧服務，其中包含由不支援地區企業直接或間接持股超過50％的實體。</p> <p>Anthropic表示，此舉是為了回應現實的國安風險，避免先進人工智慧技術被威權體制利用於軍事或情報用途。</p> <p>這次更新不僅針對直接客戶，也涵蓋透過在他國設立子公司等間接途徑，存取Anthropic服務的情況。Anthropic指出，即使企業在其他國家設立子公司或透過複雜的股權結構運作，只要最終控制權落在不支援地區，實際風險仍舊存在，官方強調，部分國家法律可能要求企業共享資料或配合情報機構，這些規範使得相關公司難以拒絕政府要求。</p> <p>Anthropic還點出另一項風險，當這些公司能使用其模型，可能透過蒸餾等技術複製模型能力，進而推進該國的人工智慧研發，甚至在國際市場與美國及其盟國企業競爭。官方表示，強化限制的目的，是確保具變革性的人工智慧能力服務於民主陣營與美國及其盟國的戰略利益。</p> <p>這項強化屬於Anthropic在合約層面的自我規範，但方向上呼應了美國近年在人工智慧和高效能運算領域的出口管制與擴散防範政策，官方並持續主張強化出口管制等措施。</p> </div></div></div>
2025/9/8 08:22作者李建興https://www.ithome.com.tw/news/171038
Angular夏季更新，Zoneless變更偵測與原生動畫API正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.angular.dev/angular-summer-update-2025-1987592a0b42" target="_blank">Angular接連發布了20.1與20.2版本</a>，重點包括Zoneless變更偵測正式推出已可用於生產，以及新增以原生CSS為基礎的進出場動畫API。這些更新的目標改善效能、降低維護成本，降低對框架附加機制的依賴，改以瀏覽器原生功能為主。</p> <p>Zoneless的推出使開發者不再必須依賴zones驅動變更偵測。過去這種機制雖然方便，但在大型專案中容易導致除錯困難與打包檔案過大，而現在開發者只要在啟動應用程式時，加入對應的方法即可採用新的運作模式，既有使用zone.js的程式碼仍受支援，開發者可分階段進行轉換。這項改動有助於讓狀態更新的來源更透明，也能提升應用程式的可預測性。</p> <p>動畫部分則新增animate.enter與animate.leave兩個API，允許直接在模板中指定元素進入或離開時應套用的CSS類別，像是常見的淡入或滑入效果，現在可以不依賴額外函式庫就完成。過去的@angular/animations套件已進入棄用階段，未來預期會逐步由CSS與新API取代。官方同時強調，這些API可與GSAP、anime.js等函式庫並用，提供更多彈性。</p> <p>在開發工具方面，Angular DevTools新增路由樹視覺化與Signal相依圖（Signal Graph）。前者能以圖形方式呈現應用程式的路由結構，後者則協助追蹤訊號之間的資料流，對於複雜應用的狀態分析更為直觀。此外，測試流程也獲得簡化，建立測試元件時，開發者現在可以直接把輸入值當參數傳入，開發者不必再額外建立包裝元件（Wrapper component）進行測試。</p> <p>另外，官方的元件測試工具也同步強化，提供更精確的檢索能力。開發者可以透過指定索引位置、計算元件數量，或依據浮動標籤文字進行篩選，來定位特定的元件實例。</p> <p>除了框架核心的更新，Angular團隊也持續推進人工智慧整合，官方在angular.dev/ai提供教學與範例，涵蓋Genkit、Firebase AI Logic與Gemini API等技術，並提供IDE規則檔以改善大型語言模型產生程式碼的品質，同時也支援在Gemini Canvas與Google AI Studio產生Angular專案。</p> </div></div></div>
2025/9/8 08:26作者李建興https://www.ithome.com.tw/news/171030
強化LLM應用效能與資安防護，F5推出容器化部署的AI閘道
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/f5_ai_gateway-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無庸置疑，生成式AI已躋身當代應用程式主流，作為長期發展應用程式遞送控制器（ADC）產品的F5，去年11月釋出他們開發的AI閘道系統0.1版，希望能在應用程式、API、大型語言模型（LLM）驅動企業AI採用的環境當中，提供加速彼此互動的軟體系統，F5將提供兼具效能最佳化、提升可觀測性，以及多種保護功能的容器化解決方案，期盼能降低使用AI的成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-AIG2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-08-AIG2.jpg" style="width: 600px;" /></a><br /> 在這個版本當中，F5 AI Gateway能將生成式AI流量轉送至適當的後端LLM，並保護這些流量免於常見資安威脅的侵擾，舉例來說，可檢測與過濾LLM的個人端請求與回應，預防惡意輸入的提示進到LLM後端系統，確保LLM的回答能安全送至個人端，以及防禦敏感資訊、以免外洩。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-AIG3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AIG%20Demo3.jpg" style="width: 600px;" /></a><br /> 而且，也奠定F5 AI Gateway基本運作架構。例如，系統本身是在Kubernetes容器環境執行的獨立產品，區分為兩大元件：AI Gateway Core、AI Gateway Processors。</p> <p>所謂的核心，是指專攻生成式AI流量的特製Proxy代理系統，可採用多個AI閘道處理器，實現流量的防護，過程中，可處理發送至某個LLM後端的HTTP或HTTPS請求，像是身分驗證與授權的檢查、個人端請求內容的剖析與基本驗證、修改或拒絕個人端請求等。F5 AI Gateway在此支援多種LLM API，像是OpenAI、Microsoft Azure OpenAI Service、Anthropic，以及Ollama，可在硬碟記錄與儲存每個請求與回應，且能匯出至AWS S3或相容S3的儲存系統服務，也能藉由OpenTelemetry產生與匯出可觀測性資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 AI Gateway Components.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AIG-2025-01.jpg" style="width: 600px;" /></a></p> <p>至於處理器，是獨立於核心的動作處理機制，可檢測個人端請求與處理LLM後端的回應，提供修改（像是改寫信用卡卡號）、拒絕（中止請求或回應）、加上註解（例如增添標籤或詮釋資料），實現AI相關的防護機制，F5 AI Gateway在此提供4種處理器，包含：語言編號、提示管制（Prompt enforcement）、提示注入偵測、重複偵測，針對基於AI模型而成的處理器，可提供GPU支援。企業若需要自行建立處理器邏輯，可運用F5 AI Gateway Python SDK開發AI閘道處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 AI Gateway Components.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AI%20Gateway%20Components.png" style="width: 600px;" /></a></p> <p>在此同時，這套產品也將整合F5既有的產品，經由改善的資料輸出品質與絕佳的使用者體驗，協助企業的資安與IT營運團隊，順利推動AI服務的導入。F5預告，這套AI閘道可部署在任何雲端服務或資料中心，而且將原生整合該公司旗下兩大應用程式平臺：Nginx、Big-IP，期望能在傳統IT、多雲或邊緣環境當中，善用他們發展的應用程式遞送與防護技術，同時，提供開放的擴充能力，使企業能在AI閘道當中，開發與自定可程式化的功能，以及強制控管的機制，而且這些處理機制能輕鬆更新與動態套用，促成快速遵循資安政策與法規要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-AIG1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-AIG1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-08-AIG1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-08-AIG1.jpg" style="width: 600px;" /></a><br /> 針對強化AI使用體驗的部分，F5 AI Gateway能用來調校內部系統與第三方LLM服務的流量負載平衡、流量路由、流量傳輸率設限，維持服務的可用度與提升效能，也可以執行語意快取，藉此分攤LLM的重複工作，進而強化操作體驗、縮減營運成本。關於降低整合負擔的需求，F5 AI Gateway可提供更順暢的操作方式，使開發者能聚焦AI應用系統的組建，而不必為了管理複雜的IT基礎架構，被迫耗費許多心力研究與實踐，此外，這套系統也提供單一API介面，便於開發者用於存取他們想要存取的AI模型。<br /> 在資安與法規政策的遵循與強制方面，F5 AI Gateway提供自動偵測與矯正功能，可防護OWASP組織訂定的十大LLM應用程式風險類型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-AIG4.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-08-AIG3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-08-AIG3.jpg" style="width: 600px;" /></a><br /> 到了今年，F5 AI Gateway在2月正式推出1.0版，AI Gateway Core可匯出OpenTelemetry Metrics量測資訊，簡化路由綱要組態設定，AI Gateway Processors的部分，將內建的4種處理器修訂為提示注入、系統提示、語言編號、重複偵測。後續F5 AI Gateway仍不斷發布更新，最新版本是1.2版，當中除了改良兩大元件，也擴充整體套件與細部元件，例如，AI Gateway Helm chart，以及Data Security處理器、Prompt Guard Labs處理器、Topic Detect Labs處理器、Content Guard Labs處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 AI Gateway-ADC 3_0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AI%20Gateway-ADC%203_0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 AIG Demo2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20AIG%20Demo2.jpg" style="width: 600px;" /></a></p> <p>關於F5 AI Gateway在臺灣市場的推廣，F5在去年11月底全國大專院校資訊行政研討會（CCDS），率先介紹相關內容，到了今年，陸續在多場活動發表專題介紹演講，像是<a href="https://cybersec.ithome.com.tw/2025/session-page/3468">4月臺灣資安大會</a>、8月底<a href="https://egov.ithome.com.tw/2025/index.html">數位政府高峰會</a>，以及9月初F5 Solution Day 2025 Taipei大會。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-09-04-F5 AIG-TAPEI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-04-F5%20AIG-TAPEI1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025-09-04-F5 AIG-TAPEI2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-04-F5%20AIG-TAPEI2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-09-04-F5 AIG-TAPEI3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-04-F5%20AIG-TAPEI3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025-09-04-F5 AIG-TAPEI4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-09-04-F5%20AIG-TAPEI4.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">F5 AI Gateway 1.2</span></strong><br /> ●原廠：F5<br /> ●建議售價：廠商未提供<br /> ●產品形式：可移植的微服務架構（Helm Chart），涵蓋Nginx Plus、Big-IP Next LTM、Distributed Cloud App Stack，能在任何Kubernetes環境部署AI應用<br /> ●組成元件：核心（路由、服務、政策、設定）、處理器<br /> ●相容的公有雲服務：AWS、Azure、Google Cloud<br /> ●支援AI模型與相關工具：Anthropic、OpenAI、Ollama<br /> ●可觀測性整合技術與系統類型：採用Open Telemetry，而能整合SIEM、SOAR<br /> ●核心功能：AI流量安全、資料外洩防護、企業安全架構、AI整合、自定營運方式、強化可觀測性與治理、AI資源耗用最佳化、模型路由</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/6 12:42作者李宗翰https://www.ithome.com.tw/review/171025
臺灣人工智慧學校：大型企業與中小企業間形成AI發展數位鴻溝，聯合大學、資服業者設區域創新中心加速AI落地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「不會用、不敢用、用不起，是現今中小企業導入AI普遍碰到的問題」，臺灣人工智慧學校（AIA）校務長蔡明順近期在一場活動中點出推動產業AI發展時，中小企業所面臨的難題。</p> <p>臺灣人工智慧學校從2017年成立，致力於推動產業AI人才發展，目前已有超過2,300家企業參與訓練，涵蓋相近15個產業，訓練學生已超過13,000名，其培養的人力，成為國內各產業AI發展的基礎，為臺灣產業AI化的垂要推手之一。然而，這些年來儘管AIA培育人才成績斐然，但是在產業AI的發展上推動的成效如何？特別是讓中小型企業也能導入AI轉型，對推動百工百業AI的臺灣人工智慧學校而言相當重要。</p> <p>臺灣人工智慧學校校務長蔡明順表示，從科技或是股價的熱度角度來看，現在大多認為我們已進入AI的紀元，AI在國內外的發展相當蓬勃，但是各產業對於AI的認識仍不足夠，部分產業尚未開始。從多個產業分析報告來看，約有50%到60%大型企業如100大、200大企業，他們對人工智慧已有嘗試、POC或是導入在產線上實際應用，但是國內企業占比高達98%的中小企業卻只有約5%，顯示大多數的中小企業處於觀望，甚至不知道如何著手進行。</p> <p>中小企業面臨資源不足、企業規模不足，還有人才不足，相較之下，大型企業擁有許多資源，甚至設立專責部門啟動應用，使得大型企業和中小企業在AI推動上呈現兩樣情，這種起步上的落差形成數位鴻溝；「數位落差相當大，尤其是推動AI，企業如果沒有足夠的基礎建設，包括資料、算法、人才，企業沒有數位化很難推動AI化」，蔡明順說。</p> <p>儘管政府投入許多資源，例如由國發會、國科會、數發部、經濟會推動各項計畫，儘管推動上聲勢壯大，蔡明順認為，政府資源分散且碎片化，缺乏統合性導入評估框架，以及後續追蹤機制。</p> <p>政府推動AI產業及產業AI化，對資通服務產業而言是機會。</p> <p>「我們最害怕的是，當推動AI如同ESG推動綠能只是議題，沒有實際落地，對資通訊產業不是好事」，蔡明順說。</p> <p><span style="color:#B22222;"><strong>產業AI發展3個挑戰</strong></span></p> <p>他歸納國內產業AI發展的3個難題，首先是缺乏產業共通的AI導入評估機制與分級工具；其次是中小企業如何運用政府資源，或是運用資通訊業的能量，需要專後的顧問，技術和商業轉換能力；最後是各產業領域的知識、商業痛點不同，難以泛用化及規模化，發展人工智慧技術要達到規模化，才能產生經濟效益，展現AI的效益。</p> <p>回顧臺灣人工智慧學校成立7年來，AI發展相當快速，從人工智慧學校成立之初，AI被認為實驗室的技術，發展到教室，進入辦公室、生產線，運用AI的高門檻也在幾年前出現變化，過去發展AI應用需要技術背景，生成式AI的出現降低進入門檻，即使是文法商背景，會運用ChatGPT都能使用AI。</p> <p>人工智慧學校提出百工百業AI，從發展或引進工具平臺、應用流程再造、案例方法論、建立示範性的領域場景、治理法規的基礎建設，不同的業者、政府在生態中扮演不同角色。蔡明順認為，目前人工智慧迭代發展相當快速，在技術還沒有定型、標準化之前，先不要談方法論或最佳實踐，應該去思考如何運用AI。</p> <p><span style="color:#B22222;"><strong>以AIEP飛輪模式的6步驟推動AI生態發展</strong></span></p> <p>蔡明順談到，臺灣人工智慧學校近三年努力將痛點轉化為行動，包括將碎片化的資源、資料、算力集中起來一起推動，推動各產業AI落地，以及如何運用開源技術擴散，還有人才的轉型及識別。</p> <p>他認為臺灣需要一套全國性的AI推動框架，讓不同的角色在框架中彼此分工協作，讓不同的政策資源可整合推動發展，並促成產業升級、人才及數位公平。其中包括商業場景、技術擴散、生態發展3個關鍵策略，在商業場景，協助企業辨識應用場景，將企業的需求轉譯，透過媒合技術後，創造效益擴大導入。</p> <p>至於技術擴散，採用開源技術、模組化，提供AI工具能夠應用快速落地。蔡明順表示，技術擴散也可運用雲端技術，今年AI發展有3個趨勢，包括Agentic AI、模型縮小化、多模態，其中模型的縮小化得以落地至邊緣端、裝置端，多模態發展則涵蓋語音、圖片、文字的處理。生態發展則是串連科技大學、軟硬體產業，共同研發AI應用。</p> <p>他也分享臺灣人工智慧學校的策略，以全國性框架為核心，規畫AIEP(AI Ecosystem Platform)，願景是希望在2030年前協助50%的企業導入AI，並且有實質成效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%963600(1).jpg" style="width: 600px; height: 366px;" /></p> <p>AIEP有6項具體的目標或步驟推動企業從未知AI到認知AI，導入示範應用到AI成熟的循環發展，這6項步驟包括示範導入與標竿案例、建立資料共享機制及場景共創、標準制定與合規指引、導入顧問及人才支持、建立商業化與激勵機制、建立評估機制與回饋強化。</p> <p>蔡明順指出，AIEP的6個步驟可形成內外循環的飛輪成長模式，企業可運用6個目標建立內部的檢核機制，而外循環也能運用6個目標建立生態系。另外，AIEP也參考新加坡的AIRI（Readiness Index），AIEP的6個目標可對應AIRI的6個模式，先推動技術和認知的成熟度後，再大力推動AI，代表任何社會發展AI需經歷的階段與痛點。</p> <p>蔡明順指出，參考AIRI的作法，企業有不同大小規模、產業特性，可建立AIEP的成熟分數（Readiness Score），對企業進行分級，再依分級來配置資源；針對各產業建立示範案例應用，對於企業從未知AI進階到認知AI，讓示範案例應用啟動轉型，如果成為商學院教材，更易於讓決策者採納、擴散。</p> <p>參考AIRI的「測試-導入-回饋」循環調整，AIEP的飛輪模式可以6個步驟滾動調整，不只單一的企業，產官學研也可以參考AIEP的6個作法，循序漸進發展為生態體系；蔡明順以方程式解釋AIEP推動AI發展的概念，為AI+D（Domain）*T（可為Technology、Talents、Training、Tools等）發展。</p> <p><span style="color:#B22222;"><strong>建立AI創新中心帶動產業聚落AI化</strong></span></p> <p>由於臺灣在不同地理區域發展不同的產業聚落，目前臺灣人工智慧學校為推動跨產業、跨地理區域的AI應用，人工智慧學校在台北、台中、台南設有3個校區，以涵蓋北中南，和區域內的產業公會、地區內的研究型或科技大學、地區性資服業者合作，共同組成產業聚落AI創新中心。</p> <p>蔡明順也建議，企業如果與大學合作，最好能選擇科技大學，因為研究型大學中老師專注在研究及論文，科大的老師對產學合作比較積極，較有意願針對企業的需要設計解決方案。至於產業聚落AI創新中心以大學輻輳，在車程1小時或2小時的範圍內建立區域型的Hub，提供解決方案、人才及技術。在產業聚落AI創新中心裡，大學、資服業者、垂直領域三方扮演不同角色，針對產業聚落的特性，由大學與資服提供技術移轉、顧問輔導，先推動示範應用，再擴大整個產業聚落採用。</p> <p>如同前面提到大型企業有足夠的資源自行發展AI應用，因此產業中心的目標為50到500人的中小規模企業，包含有意願數位化中小微企業、績優上市櫃公司的隱形冠軍，或是規畫拓展海外市場的企業，「這3類是目前最需AI，也最缺乏協助及資源的企業」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96600(7).jpg" style="width: 600px; height: 361px;" /></p> <p>在技術面上，蔡明順指出，先依照產業的性質區分製造業與非製造業，瓦製造端的中小型企業，他建議採用開源模式，強調模組共享、資料本地化、可微調，需要SI客製化導入及協助維運；至於非製造業類型，即服務端中小微企業，為快速導入、降低門檻，他建議可採用雲端SaaS，例如產、銷、人、發、財開始，「使用就緒的AI服務，先從企業裡找到好的切入點，帶動前進的力量，否則只是口頭上的願景，沒有實際落地的解決方案」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%962600.jpg" style="width: 600px; height: 372px;" />。</p> <p>為推動開源和產業結合，人工智慧學校每一季舉行工作坊，他們也和中研院合作，推廣以開源語言模型開發的行政業務AI應用。蔡明順建議，目前國內已有開源模型，包括TAIDE及聯發科的Breeze模型已開源且可在地端執行，國內企業可以在地端部署，相較於國外的方案，可降低資安風險，其次是採用本土語料，在語言上更精準符合在地的需求。</p> <p>人工智慧學校推動之下，現在已有一些產業應用成果，例如醫療產業運用AI輔助決策及產生報告，成效是診斷時間縮短30%，產生一致性的報告外，也減輕醫護的人力壓力；另一案例是高科技服務業，運用AI在客服及技術文件自動撰寫，將客服回覆時效提升50%，人力節省30%；物流業則運用AI作路線預測、自動排程，提升配送效率15%，將人力、車隊利用率最佳化。</p> <p>蔡明順也分享他的觀察，大家對於AI的認知及素養還不足夠，例如將BI包裝為AI，或是LLM需要資料庫，忽視底層邏輯和技術本質，在AI的時代下，不論是個人或企業都必需建立對AI的基礎素養，瞭解AI的能與不能、風險、底層邏輯等等，其次是具備使用能力，例如使用ChatGPT、Gemini，「當別人已穿上盔甲，你還要肉身和他博鬥嗎？」</p> <p>他也提醒在企業內，一個人使用能提升效率，但是當多個人使用AI時，工作流程則需要重新思考調整。</p> <p>國科會主委吳成文曾外解釋，臺灣要成為AI科技島，要成為AI產業運用的大國，需要推廣應用AI、開發AI、研究AI，個人或企業認知素養屬於應用AI的範籌；至於研發AI的能力，臺灣人工智慧學校今年上半年已和數發部合作，制定AI人才職務及發展確立發展路徑，數發部也公布「AI產業人才認定指引」。</p> <p>蔡明順表示，AI人才認定指引如同過去的電腦化發展，對不同職務的人才能力及認定，作為企業徵才、詮敘用留、人資管理的依據，AI人才認定指引不只是推向企業，也推到政府機關，建立一致的AI人才認定，讓企業和政府機關在共同人才認定基礎上推動AI。</p> <p>人工智慧學校將AI的人才分為使用AI、實作AI、管理AI三大類，使用AI需具備使用能力及素養，占約9成的AI人才，實作AI則是工程實作開發AI產品或服務者，約占8到9%，管理AI的人才為規範及治理AI，約為1到2%。目前AIA在認證上，分別對應AIA素養級、工程級、管理級三個認證。目前已有超過1,500名取得素養級、工程級認證。</p> <p> </p> </div></div></div>
2025/9/5 18:43作者蘇文彬https://www.ithome.com.tw/news/171039
CISA示警TP-Link Archer C7、TL-WR841N兩漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局CISA將兩項影響TP-Link路由器的弱點，<a href="https://www.cisa.gov/news-events/alerts/2025/09/03/cisa-adds-two-known-exploited-vulnerabilities-catalog">納入</a>已知高風險漏洞(Known Exploited Vulnerabilities，KEV) 名單，分別為<a href="https://www.cve.org/CVERecord?id=CVE-2023-50224">CVE-2023-50224</a>與<a href="https://www.cve.org/CVERecord?id=CVE-2025-9377">CVE-2025-9377</a>。</p> <p>CISA表示，這些漏洞已出現實際攻擊跡象，要求聯邦文官體系美國聯邦文職行政部門（Federal Civilian Executive Branch，FCEB）必須在9月24日前依廠商指示完成修補，當無法修補應採取緩解措施或停用受影響設備。同時，CISA也呼籲一般組織將KEV列為弱點管理的優先處理項目，以降低系統暴露風險。</p> <p>CVE-2025-9377屬於OS指令注入，出現在Archer C7（EU）V2與TL-WR841N/ND（MS）V9的家長控制頁面，屬已驗證且需高權限的遠端命令執行，當攻擊者具管理權限，得在裝置上執行任意系統指令。</p> <p>另一項漏洞CVE-2023-50224影響TL-WR841N，屬於驗證繞過問題，成因位於預設監聽TCP連接埠80的httpd服務，其允許網路相鄰的攻擊者，在無需驗證的情況下，透過預設監聽TCP連接埠80的httpd服務，擷取裝置內儲存的憑證。</p> <p>根據CISA的BOD 22-01指令，只要被列入KEV的漏洞皆被視為已知遭利用，且對聯邦企業環境具有重大風險，FCEB機關必須依CISA指定的期限採取修補或替代措施，以確保網路安全。雖然該指令僅適用於FCEB，但CISA建議所有企業與組織比照辦理，將KEV納入修補排程與風險控管流程，以避免因管理介面外露或存取控制不足而遭受攻擊。</p> </div></div></div>
2025/9/5 16:27作者李建興https://www.ithome.com.tw/news/171026
JetBlue成為首家採用Amazon Project Kuiper衛星網路的航空公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/jetblue-amazon-project-kuiper-in-flight-wifi-partnership" target="_blank">Amazon周四（9/4）宣布</a>，美國廉價航空公司JetBlue將在2027年導入Project Kuiper衛星技術，強化其機上免費Fly-Fi無線網路服務，成為首家採用Kuiper衛星網路的航空業者。</p> <p>Amazon於2019年發表的Project Kuiper衛星專案，計畫於離地球590~630公里的軌道上部署3,236顆衛星，其單一裝置下載速度最高可達1Gbps。</p> <p>JetBlue自2013年便推出免費的Wi-Fi網路，未來將藉由Kuiper持續該服務。JetBlue總裁Marty George表示，這是機上連線的一大飛躍，讓乘客無論是追劇、與親友保持聯繫，或完成工作，都能保持高效。<a href="https://www.wsj.com/business/telecom/amazons-satellite-internet-venture-signs-up-its-first-airline-42b3264a?st=5kX5E1&reflink=desktopwebshare_permalink" target="_blank">根據華爾街日報（WSJ）的報導</a>，JetBlue將在25%的飛機中導入Kuiper衛星網路。</p> <p>除了JetBlue之外，Amazon最近也與歐洲飛機製造商Airbus簽署合作協議，把Kuiper連線解決方案納入飛機產品選項。迄今Amazon已透過4次火箭發射將超過100顆Kuiper衛星送入軌道，並持續加速生產與部署，目標是在今年內向首批客戶提供服務，並逐步擴大覆蓋範圍。</p> <p>至於其主要競爭對手SpaceX的Starlink衛星軌道高度，則介於340~550公里之間，已部署超過6,000顆衛星，目標是1.2萬到3.44萬顆，迄今已於許多國家推出服務，全球訂閱用戶數已突破400萬。Starlink衛星連網服務有一個349美元的一次性硬體費用，月租費則介於80~120美元之間。此外，包括夏威夷航空（Hawaiian Airlines）、達美航空（Delta Air Lines）、airBaltic、LOT Polish Airlines及卡達航空（Qatar Airways）都已採用Starlink服務。</p> </div></div></div>
2025/9/5 16:37作者陳曉莉https://www.ithome.com.tw/news/171028
Tempo啟動封測，Stripe與Paradigm聯手打造穩定幣支付公鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stripe與Paradigm共同宣布<a href="https://www.paradigm.xyz/2025/09/tempo-payments-first-blockchain">推出</a>Tempo，這是一條以支付為優先考量的區塊鏈，並啟動封測計畫。Tempo針對穩定幣及真實世界支付，嘗試解決當前區塊鏈多偏向交易場景設計，卻在支付領域缺乏專門基礎設施的問題。官方強調<a href="https://tempo.xyz/">Tempo</a>不是單純的新公鏈實驗，而是Stripe在全球支付網路多年經驗，與Paradigm在加密研究與開發專長的結合成果。</p> <p>Stripe在全球擁有龐大的支付網路，服務對象涵蓋各類商家與開發者，熟悉跨境收付、法遵與清算機制，而Paradigm則長期投入加密產業投資與技術建設，除了資金支持，也參與開發與研究。Tempo正是這兩方背景融合的產物，目標將支付場景下的實務需求，融入區塊鏈層級設計，提供比現有通用公鏈更適合支付的解決方案。</p> <p>穩定幣是一類與美元、歐元或黃金等資產掛鉤的加密貨幣，目標是維持幣值穩定，避免比特幣或以太幣的劇烈波動。常見用途包括跨境匯款、交易所資金結算，以及企業支付工具，因此被視為區塊鏈走向實際支付的關鍵。</p> <p>Tempo要讓穩定幣能更廣泛應用於日常與企業支付，涵蓋跨境匯款、薪資發放、代幣化存款（Tokenized Deposit）的即時結算、內嵌金融帳戶（Embedded Financial Account）、微支付與代理式（Agentic）支付等情境。與以交易撮合為核心的鏈上設計不同，Tempo關注成本可控、交易最終性（Finality），以及對帳和法遵整合的便利性等，例如支援付款備註符合ISO 20022、法遵整合機制與可預期的低費率。</p> <p>官方進一步解釋Tempo為EVM相容的L1公有鏈，設計上不意圖取代通用公鏈，而是針對高頻支付做取捨與強化。驗證節點將由多家獨立實體，包括部分設計夥伴先行運行，後續過渡到無許可的驗證模型。</p> <p>由於要確保系統架構能符合產業規模的要求，Tempo在設計階段就引入多方回饋，合作單位包括Anthropic、Coupang、Deutsche Bank、Nubank、OpenAI、Revolut、Shopify與Visa等，橫跨人工智慧、電商、銀行與支付服務，從不同角度提供開發團隊意見，避免區塊鏈的設計侷限於單一技術觀點。</p> <p>Tempo是一家獨立的新公司，由Paradigm共同創辦人Matt Huang領導，他同時仍與Alana Palmedo共同負責Paradigm。Paradigm強調，孵化像Tempo這樣的公司並非常態，而是基於穩定幣快速普及所帶來的新需求，才選擇成立專門團隊推動。官方也強調Tempo將與既有基礎設施互補，目的在於推動更多企業採用鏈上支付工具，而不是取代既有生態。</p> </div></div></div>
2025/9/5 16:52作者李建興https://www.ithome.com.tw/news/171027
奈米香蕉模型爆紅，上線10天生成破2億張圖，下周小改版將支援更高解析度的圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>奈米香蕉模型大爆紅，Google公布這款新模型的最新使用數據，上線十天，已經生成超過2億張圖片，尤其是亞太地區參與度最積極，甚至領導了全世界的用法。臺灣爆紅的「公仔提示」，正是奈米香蕉（Nano Banana）模型生成圖片的第一名提示。</p> <p>Google早在3月時，就發表了第一款圖片編輯模型Gemini 2.0 Flash，可以透過多輪的對話，來修改圖片的內容，這款模型大受好評，但是用戶希望有更好的圖片編輯能力，特別想保留自己的模樣。</p> <p>上週二(8/26)，Google推出了新款的圖片編輯模型Gemini 2.5 Flash Image，也就是大家熱烈討論的Nano Banana模型，負責Gemini應用多模態生成技術的Google產品經理David Sharon表示：「這款模型最大的突破點是，可以保留原圖的相似性和臉部特徵，讓使用者可以用全新的方式想像自己。」</p> <p>新款模型大受好評，上線才十天，全球爆量生成了超過2億張圖片，Gemini應用程式也多了1千萬名新用戶。Google特別對亞太區用戶的參與程度感到驚訝，特別是泰國、印尼和菲律賓。菲律賓生成超過2千5百萬張圖片，印尼2千萬張，泰國也多達1850萬張之多。David Sharon強調：「亞太地區領導了全世界怎麼使用這款新模型。」</p> <p>像是，有人會生成自己在不同年齡的模樣，或是自己身處在不同年代，60、70、80年代，或是在知名電影場景中的模樣。在泰國、印尼和菲律賓最瘋傳的就是「公仔提示」，把自己變成一個3D公仔和包裝盒，這是目前第一名的提示指令。</p> <p>Nano Banana模型背後包括了兩套模型，一款是專門生成圖片的擴散模型(Diffusion Model)，也就是可以產生高度擬真圖片的Imagen 4，另一套則是Gemini模型，像是Gemini Flash 2.5或Pro 2.5，透過Gemini模型的邏輯、推理、程式開發和世界知識，來教導擴散模型如何生成圖片。這款模型也是一個多工模型，可以用來做不同的任務。</p> <p>目前的奈米香蕉模型版本，還沒釋出Google計畫提供的最佳解析度版本，David Sharon透露，模型端和用戶端還有一些問題需要處理，預計下周的模型更新，就可以提供比現在更高解析度的圖片，也開放下載，至於4K解析度等更好畫質的版本，則還沒有釋出的計畫。 </p> <p>每一張從Google模型生成的圖片，都會隱藏了SynthID的隱形數位浮水印，可以用來判斷一張圖是否是Googel的AI所生成。凡是透過Google任何服務，進行任何處理的AI圖片，都會保留原始的浮水印。Google正在開發一款消費端工具，可以讓一般用上傳圖片來檢查。</p> <p>為了避免圖片生成工具遭到濫用，Google內部進行了大量紅隊測試、評估和政策討論，也提供許多防護柵欄和安全過濾器，SynthID數位浮水印也是其中一項因應機制。</p> <p>Google透露，未來半年的首頁目標是服務使用者，因為用戶成長速度非常驚人，我們正全力跟上這個需求，並根據用戶回饋的問題來改善。目前這款模型還有一些前瞻挑戰有待解決，像是一張圖多次對話修改後品質下滑的問題，或是同一場景中多個角色的圖像品質改善等。目前，Gemini應用App是Nano Banana的主要消費端平臺，還沒有將這款模型發展成獨立App的規畫。</p> <p>David Sharon透露，我們很興奮地嘗試和致力於可以讓Gemini生成的圖片能自動製作影片，從圖片到影片的跨模態運用這項功能是我們的關注範圍，但是目前沒有時間表。</p> <p> </p> </div></div></div>
2025/9/5 16:54作者王宏仁https://www.ithome.com.tw/news/171029
輪胎大廠普利司通遭遇網路攻擊，生產受到影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週汽車製造商Jaguar Land Rover<a href="https://www.ithome.com.tw/news/170991">發布聲明表示發生資安事故</a>，但在此同時，也有零件製造商也傳出工廠遭遇網路攻擊的情況。</p> <p>根據資安新聞網站<a href="https://www.bleepingcomputer.com/news/security/tire-giant-bridgestone-confirms-cyberattack-impacts-manufacturing/">Bleeping Computer</a>、<a href="https://www.darkreading.com/cyberattacks-data-breaches/bridgestone-americas-cyberattack">Dark Reading</a>、<a href="https://gbhackers.com/bridgestone-confirms-cyberattack/">Gbhackers</a>的報導，輪胎大廠普利司通北美分公司（Bridgestone Americas，BSA）遭遇網路攻擊，影響該公司的工廠營運。</p> <p>這波網路攻擊事故的揭露，最早在9月2日<a href="https://www.wrdw.com/2025/09/01/bridgestone-americas-confirms-cyber-attack-some-facilities/">美國喬治亞州電視臺WRDW-TV的報導指出</a>，BSA有兩座位於艾坎郡（Aiken County）的工廠遭遇局部的資安事故，影響部分生產設備。BSA全面啟動調查，並表示情況已經受到控制。雖然該公司透露他們的業務運作正常，但也指出工作受到影響的人員，可選擇留在公司上班執行預防性維護，或是回家放無薪假。此外，該公司初步認為客戶資料未受到波及。</p> <p>隔天<a href="https://monjoliette.com/cyberincident-chez-bridgestone-joliette/">加拿大新聞網站MonJoliette報導指出</a>，BSA位於魁北克省喬利埃特的輪胎製造工廠，也因網路攻擊暫停營運，喬利埃特市長Pierre-Luc Bellerose透露，這起事故恐影響普利司通北美所有工廠，在喬利埃特市估計有1,400名員工受到影響，這起事故的整體影響範圍及復原時間，目前仍不得而知。BSA向該新聞網站證實，他們正著手調查，現階段客戶資料尚未受到攻擊影響。</p> <p>值得留意的是，BSA並非首度遭受網路攻擊。2022年該公司發生資安事故，<a href="https://www.bleepingcomputer.com/news/security/bridgestone-americas-confirms-ransomware-attack-lockbit-leaks-data/">勒索軟體駭客組織LockBit聲稱是他們所為</a>，並竊得內部資料。</p> </div></div></div>
2025/9/5 10:49作者周峻佑https://www.ithome.com.tw/news/171016
俄羅斯駭客APT28鎖定北約成員國而來，對收信軟體Outlook用戶部署後門NotDoor
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前俄羅斯駭客APT28鎖定收信軟體Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8），<a href="https://www.ithome.com.tw/news/160246">針對北約組織（NATO）成員國下手</a>，目的是挾持Exchange電子郵件信箱帳號，如今這些駭客使用新的後門程式犯案，引起資安業者的注意。</p> <p>資安業者S2 Grupo指出，APT28近期<a href="https://lab52.io/blog/analyzing-notdoor-inside-apt28s-expanding-arsenal/">使用名為NotDoor的後門程式</a>，對北約成員國的企業組織發動攻擊，此後門實際上是Outlook的VBA巨集，功能是監控傳入的電子郵件，一旦出現特定的文字，就會試圖接收攻擊者的命令，然後竊取資料、上傳檔案，或是在受害電腦執行命令。</p> <p>為了迴邀偵測，駭客濫用微軟檔案共享服務OneDrive的應用程式執行檔，透過DLL側載手法載入惡意檔案SSPICLI.dll，於受害電腦植入NotDoor，並停用巨集防護機制。過程中惡意程式載入工具會執行經Base64處理的PowerShell命令，以便達成目的。</p> <p>此後門程式相當隱密，S2 Grupo上傳至VirusTotal，64個防毒引擎僅有4個將其視為有害。而對於該後門的運作方式，主要是在Outlook啟動或是收到新郵件的時候，透過特定的事件來觸發、執行程式碼。NotDoor有4項功能，分別是執行命令、執行命令並透過郵件附件回傳結果、外洩受害電腦資料，以及上傳檔案到受害電腦。</p> </div></div></div>
2025/9/5 11:22作者周峻佑https://www.ithome.com.tw/news/171020
【資安日報】9月5日，大規模DDoS攻擊流量達到11.5 Tbps，再創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大規模分散式阻斷服務（DDoS）攻擊事故本週再度出現在新聞版面而受到關注，但本週資安業者Cloudflare揭露的事故相當特別，因為不只是流量再度增加，從5月的7.3 Tbps增加至11.5 Tbps，更值得留意的是，流量來源的判定可能也變得更加困難，因為，該公司一開始認為主要來自Google的雲端環境，後續才改口表示，實際上來自多家雲端供應商及物聯網裝置。</p> <p>在癱瘓網站運作的事故之外，國家級APT駭客的攻擊活動也是需要加以防範的對象，例如：俄羅斯駭客APT28在收信軟體Outlook部署後門程式NotDoor、北韓駭客Lazarus鎖定金融與加密貨幣產業的攻擊行動，還有中國駭客Silver Fox發動自帶驅動程式攻擊（BYOVD）的現象，都需要用戶提高警覺。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171004"><strong style="font-size: 22px;">Cloudflare阻擋11.5 Tbps超高流量DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gzxpms8XQAA9x6H.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gzxpms8XQAA9x6H.jpg" style="width: 300px; float: right;" /></a></p> <p>最近Cloudflare自動化防禦在短短數十秒內，攔下峰值11.5 Tbps的DDoS攻擊，封包速率最高達5.1 Bpps，官方說明這是一場UDP洪水攻擊，持續約35秒。此外，過去數周Cloudflare自動化防禦，也已持續攔截數百起超高流量（Hyper-volumetric）攻擊。</p> <p>事件最初Cloudflare在X提到攻擊流量「主要來自Google雲端」，但官方其後在社群更新，改口指出11.5 Tbps流量其實同時來自多個IoT裝置與多家雲端供應商，Google雲端只是其中之一，並非主要來源。</p> <p>因UDP無需連線交握，攻擊者能在極短時間內把龐大流量，推送邊界路由器或上游連線，讓正常連線擁塞、丟包，服務對外呈現不可用。這種攻擊多半鎖定L3/L4層，需要在網路邊界採取即時自動化偵測與限速策略，才能在秒級爆量時維持可用性。</p> <p><a href="https://www.ithome.com.tw/news/171016"><strong style="font-size: 22px;">輪胎大廠普利司通遭遇網路攻擊，生產受到影響</strong></a></p> <p>根據資安新聞網站Bleeping Computer、Dark Reading、Gbhackers的報導，輪胎大廠普利司通北美分公司（Bridgestone Americas，BSA）遭遇網路攻擊，影響該公司的工廠營運。</p> <p>這波網路攻擊事故的揭露，最早在9月2日美國喬治亞州電視臺WRDW-TV的報導指出，BSA有兩座位於艾坎郡（Aiken County）的工廠遭遇局部的資安事故，影響部分生產設備。BSA全面啟動調查，並表示情況已經受到控制。雖然該公司透露他們的業務運作正常，但也指出工作受到影響的人員，可選擇留在公司上班執行預防性維護，或是回家放無薪假。此外，該公司初步認為客戶資料未受到波及。</p> <p>隔天加拿大新聞網站MonJoliette報導指出，BSA位於魁北克省喬利埃特的輪胎製造工廠，也因網路攻擊暫停營運，喬利埃特市長Pierre-Luc Bellerose透露，這起事故恐影響普利司通北美所有工廠，在喬利埃特市估計有1,400名員工受到影響，這起事故的整體影響範圍及復原時間，目前仍不得而知。BSA向該新聞網站證實，他們正著手調查，現階段客戶資料尚未受到攻擊影響。</p> <p><a href="https://www.ithome.com.tw/news/171020"><strong style="font-size: 22px;">俄羅斯駭客APT28鎖定北約成員國而來，對收信軟體Outlook用戶部署後門NotDoor</strong></a></p> <p>兩年前俄羅斯駭客APT28鎖定收信軟體Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8），針對北約組織（NATO）成員國下手，目的是挾持Exchange電子郵件信箱帳號，如今這些駭客使用新的後門程式犯案，引起資安業者的注意。</p> <p>資安業者S2 Grupo指出，APT28近期使用名為NotDoor的後門程式，對北約成員國的企業組織發動攻擊，此後門實際上是Outlook的VBA巨集，功能是監控傳入的電子郵件，一旦出現特定的文字，就會試圖接收攻擊者的命令，然後竊取資料、上傳檔案，或是在受害電腦執行命令。</p> <p>為了迴邀偵測，駭客濫用微軟檔案共享服務OneDrive的應用程式執行檔，透過DLL側載手法載入惡意檔案SSPICLI.dll，於受害電腦植入NotDoor，並停用巨集防護機制。過程中惡意程式載入工具會執行經Base64處理的PowerShell命令，以便達成目的。</p> <p><a href="https://www.ithome.com.tw/news/171005"><strong style="font-size: 22px;">北韓駭客Lazarus運用PondRAT、ThemeForestRAT、RemotePE對金融與加密貨幣產業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lazarus-attack-overview.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lazarus-attack-overview.png" style="width: 300px; float: right;" /></a></p> <p>惡名昭彰的北韓駭客組織Lazarus，繼今年5月傳出攻擊臺灣加密貨幣交易所幣託（BitoPro）引起關注，最近有資安業者針對駭客使用的作案工具公布調查結果，指出Lazarus旗下團隊去年先後使用3款遠端存取木馬（RAT）犯案，使得攻擊行動變得更加隱密且難以捉摸。</p> <p>資安業者Fox-IT、NCC Group聯手，在最近幾年針對北韓駭客組織Lazarus旗下的特定團體進行追蹤，發現這些駭客涉嫌犯下多起資安事故，主要目標是金融與加密貨幣產業，特別的是，這些駭客在活動裡會運用多款RAT木馬，包括：PondRAT、ThemeForestRAT，以及RemotePE。</p> <p>在去年一起針對去中心化金融（DeFi）組織的資安事故裡，駭客先是在Telegram假冒貿易公司的員工，透過假的會議網站接觸員工，接著，該名員工的電腦遭到入侵，被植入PondRAT，雖然Fox-IT推測駭客使用了Chrome零時差漏洞，但無法確認入侵的手法。</p> <p><a href="https://www.ithome.com.tw/news/170993"><strong style="font-size: 22px;">中國駭客Silver Fox濫用微軟簽署的驅動程式，散布ValleyRAT木馬</strong></a></p> <p>資安公司Check Point研究人員揭露，中國APT駭客組織Silver Fox在近期攻擊活動中，利用一款由微軟簽署，卻未列入任何封鎖清單的WatchDog Antimalware驅動程式，繞過Windows10與11的安全機制，進一步關閉防毒與EDR等防護工具，最後植入遠端存取木馬ValleyRAT。</p> <p>研究人員觀察到，攻擊者準備了兩種驅動程式，以因應不同版本的Windows版本，在Windows 7等舊版系統，他們載入早已知名且被列管的Zemana驅動程式ZAM.exe 3.0.0.000，而在新版Windows10與11上，則使用之前未被發現有問題的WatchDog驅動程式amsdk.sys 1.0.600。兩者皆能繞過作業系統的受保護程序（PP/PPL）機制，直接終止EDR或防毒軟體的關鍵服務。當安全工具被迫關閉後，惡意程式得以不受干擾地進行下一步操作。</p> <p>駭客攻擊流程通常由多功能惡意載入器啟動，惡意載入器在執行時會先檢查是否處於虛擬環境或沙箱，以規避分析。當判斷為安全環境，便會載入相應驅動，進行程序終止，再下載並啟動ValleyRAT。研究人員也指出，惡意程式具備持久化機制，確保受害電腦重新開機後仍會繼續執行。</p> <p><a href="https://www.ithome.com.tw/news/170855"><strong style="font-size: 22px;">Anatsa安卓金融木馬再擴散，鎖定攻擊831款財務與加密貨幣App</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anatsa_2025_figure_2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/anatsa_2025_figure_2.png" style="width: 300px; float: right;" /></a>資安公司Zscaler研究團隊指出，Android銀行木馬Anatsa（又稱TeaBot）持續活躍，並透過偽裝成文件閱讀器等工具型應用程式上架至Google Play，以規避檢測並吸引用戶下載。最新研究顯示，Anatsa目前針對的金融與加密貨幣應用已達831款，顯示其投遞手法與反分析技術再度升級。</p> <p>為避免被發現，Anatsa在啟動前會先檢查裝置是否為模擬器或測試環境，如果發現異常，就只顯示檔案管理介面，維持正常App的假象。一旦確認環境安全，便會釋出木馬惡意酬載進一步展開行動。</p> <p>核心攻擊手法在於竊取金融憑證，當Anatsa偵測到手機內安裝了特定銀行或交易App時，會從C2伺服器下載與該App介面相似的偽造登入頁面，誘騙使用者輸入帳號與密碼，再將這些資訊回傳給攻擊者。研究人員指出，目前Anatsa能對831款金融與加密服務進行此類攻擊，覆蓋歐洲與美國，且本輪新增納入德國與韓國，並擴及多個加密貨幣平臺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploited-sitecore-zero-day-flaw-to-deploy-backdoors/">Sitecore零時差漏洞遭到利用，攻擊者用於植入後門</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/181886/hacking/u-s-cisa-adds-tp-link-archer-c7eu-and-tl-wr841n-flaws-to-its-known-exploited-vulnerabilities-catalog.html">美國指出TP-Link Archer C7、TL-WR841N已知漏洞遭到利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ghostredirector-hacks-65-windows.html">駭客組織GhostRedirector鎖定65臺伺服器下手，散布後門程式Rungan、IIS模組Gamshen</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/noisybear-exploits-zip-files/">駭客組織NoisyBear透過ZIP檔案散布PowerShell載入工具，並進行資料外洩</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/article/170892"><strong style="font-size: 22px;">【iThome 2025企業資安大調查｜企業資安人力】三分之一企業有意招募資安人才，服務業需求程度遠超以往</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1249-封面-5-資安人力-600-2-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1249-%E5%B0%81%E9%9D%A2-5-%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-2-PNG.png" style="width: 300px; float: right;" /></a>儘管生成式AI興起後，預期有助於緩解資安產業的人力不足，但企業防守方的資安人力剛性需求依舊存在。根據iThome 2025年資安大調查，以臺灣大型企業而言，今年要招募資安人才的企業，整體比例為3成2，也就是每3家企業就有1家企業要徵求資安人才，需求不低。若與近三年概況相比，自2022年首次突破3成比例以來，2023年增至3成7，2024年更是來到4成2的比例，這也突顯去年多家企業大舉招聘資安人才後，今年需求有放緩的態勢。</p> <p>從產業別來看，最特別是服務業，今年有4成服務業要招募資安人才，等於每5家企業就有2家企業要找資安人才，顯現出與過往不同的態勢，高科技業亦有3成3比例的水準；不過，金融招募人才的企業比例大幅降低，從前幾年高達7成降至今年的5成，至於醫療業與一般製造業的比例則在2成左右或不到。</p> <p>從資安人力數量需求來看，今年的人力剛性需求更是體現於此，去年臺灣大型企業平均擴編了約2.7名資安人員，而今年預計將再增加2.9名，這顯示出資安人力需求仍在，需求增長率約6％。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/apple-seeks-researchers-for-2026-iphone-security-program/">蘋果開放申請2026年iPhone資安研究專案</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171008"><strong>【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170992"><strong>【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170956"><strong>【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> </div></div></div>
2025/9/5 11:50作者周峻佑https://www.ithome.com.tw/news/171021
軟體業者Atlassian宣布買下The Browser Company
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.atlassian.com/news/news-details/2025/Atlassian-Enters-Into-Definitive-Agreement-to-Acquire-The-Browser-Company-of-New-York/default.aspx" target="_blank">軟體業者Atlassian周四（9/4）宣布</a>，已與The Browser Company達成最終收購協議，將以6.1億美元的現金買下The Browser Company，預計於今年第四季完成交易。</p> <p>2002年成立的Atlassian總部位於澳洲，在2015年於美國那斯達克（Nasdaq）上市，主要開發團隊協作與開發工具，知名產品包括Jira、Confluence、Trello及Bitbucket等，被廣泛應用在專案管理、文件協作、程式碼管理及敏捷開發上，採用SaaS訂閱模式，全球客戶超過30萬家，包括8成的Fortune 500企業。</p> <p>至於The Browser Company是由曾擔任白宮產品總監的Josh Miller，以及曾擔任Facebook工程師的Hursh Agrawal於2019年共同創辦，現在分別擔任執行長與技術長，目的是打造一款可解決使用者瀏覽及生產力問題的網頁瀏覽工具，讓瀏覽器成為網路作業系統，於2023年發表奠基於Chromium專案的Arc 1.0，並在去年10月宣布將不再繼續開發新版本的Arc，轉而在今年6月發表AI瀏覽器Dia。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-how-to-web%20Skill%20by%20Team%20Dia_Dia%20Browser-The%20Browser%20Company%20of%20New%20York.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-mobile_browser-arc_search-the_browser_company_of_new_york-600%5B1%5D.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／The Browser Company</span></span></p> <p><a href="https://www.atlassian.com/blog/announcements/atlassian-acquires-the-browser-company" target="_blank">Atlassian共同創辦人暨執行長Mike Cannon-Brookes表示</a>，現代的瀏覽器通常是為了瀏覽而非工作而設計的，他們想讓Dia成為知識工作者的瀏覽器，針對SaaS應用進行最佳化，內含各種AI技能與工作記憶，同時具備信任與安全。</p> <p><a href="https://browsercompany.substack.com/p/your-tuesday-in-2030" target="_blank">至於Miller則說</a>，瀏覽器是現代生活中最重要也最被忽視的軟體，它是電腦的重心，但已超過10年沒有進展了，在加入Atlassian之後，他與Agrawal將繼續留任執行長與技術長，將保留Arc與Arc Search，並專注於開發Dia，打造一個不受平臺限制、功能完整的瀏覽器。</p> <p>6.1億美元的價格計入了The Browser Company既有的現金，此一收購案預計於Atlassian在2026財年的第二季完成，約莫是今年第四季。</p> </div></div></div>
2025/9/5 12:02作者陳曉莉https://www.ithome.com.tw/news/171023
Google釋出嵌入模型EmbeddingGemma，主打裝置端離線RAG與語義搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布開源嵌入模型<a href="https://developers.googleblog.com/en/introducing-embeddinggemma/">EmbeddingGemma</a>，定位在裝置端離線情境下，提供語義搜尋與檢索增強生成（RAG）所需的文字向量。官方指出，該模型以3.08億（308M）參數在MTEB多語榜單中，為5億（500M）參數以下的開源模型最高排名，支援100多種語言，並透過量化感知訓練降低記憶體占用，可在低於200 MB記憶體環境執行，目標是讓行動裝置、筆電與桌機在無網路下也能完成檢索與問答。</p> <p>EmbeddingGemma以Gemma 3架構為基礎，由約1億（100M）模型參數與約2億（200M）嵌入參數組成。模型提供約2,000 Token上下文長度，並與Gemma 3n共用分詞器，便於在同一裝置上以EmbeddingGemma完成檢索，再交由Gemma 3或Gemma 3n生成回答，縮短系統整體記憶體使用量。官方強調在EdgeTPU上處理256 Token輸入時，嵌入推論延遲可低於15 ms，對即時互動式應用具參考價值。</p> <p>EmbeddingGemma採用Matryoshka Representation Learning（MRL），單一模型即可輸出多種維度的向量，提供768、512、256與128等尺寸選擇，讓開發者在檢索品質、延遲與儲存成本之間調整取捨。對RAG流程而言，檢索階段的相似度計算仰賴嵌入品質，嵌入越能刻畫語意與語境，越有助於找出與查詢最相關的段落並減少離題或錯誤回答。</p> <p>EmbeddingGemma以離線與隱私為設計重點，文件與查詢的向量化皆在本地硬體完成，可用於搜尋個人檔案、簡訊、電子郵件與通知等資料來源，或建立企業知識庫本地檢索入口。模型與常見工具鏈整合，包含llama.cpp、MLX、Ollama、transformers.js、LM Studio、LlamaIndex與LangChain，並提供瀏覽器端的互動展示以視覺化文字嵌入。</p> <p>Google將EmbeddingGemma定位為裝置端的嵌入解決方案，對需要離線運作、注重資料主權或希望在終端快速回應的應用較為合適，而面向大規模伺服器端服務，官方建議改採Gemini Embedding。</p> </div></div></div>
2025/9/5 12:27作者李建興https://www.ithome.com.tw/news/171022
華納兄弟探索控告Midjourney侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華納兄弟探索（Warner Bros. Discovery）本周<a href="https://s3.documentcloud.org/documents/26083934/wb-v-midjourney.pdf" target="_blank">控告美國AI新創Midjourney侵權</a>，加入<a href="https://www.ithome.com.tw/news/169505" target="_blank">華特迪士尼（Walt Disney Company）及環球影業（Universal Pictures）</a>的行列。</p> <p>Midjourney是在2022年，由Leap Motion的共同創辦人David Holz所創立，主要提供圖像生成服務，於2022年所生成的作品便獲得<a href="https://www.ithome.com.tw/news/152875" target="_blank">科羅拉多州當地美術競賽數位藝術組冠軍</a>，繼之於2025年6月推出<a href="https://www.ithome.com.tw/news/169628" target="_blank">影片生成模型V1</a>。不過，迪士尼與環球影業在今年聯手控告Midjourney侵權，原因是Midjourney在未取得授權的情況下，利用它們所創造的角色來訓練模型，也允許生成採用其角色的作品。</p> <p>而華納兄弟探索的控訴也相去不遠，指控Midjourney使用未經授權的華納作品來訓練模型，並允許使用者生成包含華納角色的圖片及影片，還能公開展示、分發與下載，使用者還透過各種管道公開展示所生成的侵權內容，涵蓋Midjourney Explore、Midjourney TV、YouTube、Discord、Reddit或其它社交媒體等。</p> <p>該公司所主張的著作權資產包括超人、蝙蝠俠、神力女超人、兔巴哥、湯姆與傑利、史酷比及飛天小女警等。</p> <p>華納兄弟探索認為，Midjourney曾經短暫阻止影片生成華納角色，證明該公司有能力辨識及限制侵權，但之後卻移除了相關限制，並讓消費者誤以為輸出內容獲得授權。此外，Midjourney在2023年創造了2億美元的營收，隔年增加至3億美元，應與其大量利用受保護的角色有直接關聯。</p> <p>迄今Midjourney並未對外回應此一新的訴訟案，不過根據外電報導，先前Midjourney曾主張使用受保護作品來訓練AI屬於合理使用原則。</p> </div></div></div>
2025/9/5 12:37作者陳曉莉https://www.ithome.com.tw/news/171024
OpenAI計畫推出AI人才媒合平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI剛上任的<a href="https://www.ithome.com.tw/news/168850" target="_blank">應用執行長Fidji Simo</a>周四（9/4）宣布，為了擴大人工智慧（AI）的經濟機會，<a href="https://openai.com/index/expanding-economic-opportunity-with-ai/" target="_blank">該公司將推動OpenAI證書（OpenAI Certifications），並建立AI人才媒合平臺OpenAI Jobs Platform</a>。</p> <p>根據外電報導，OpenAI證書今年就會推出，OpenAI Jobs Platform則會於明年上線。</p> <p><a href="https://www.bcg.com/publications/2024/gen-ai-increases-productivity-and-expands-capabilities" target="_blank">OpenAI在2024年委由波士頓顧問公司（BCG）進行一項實驗性研究</a>，要求逾480名的BCG顧問完成3項資料科學相關任務，包括撰寫Python程式，建立機器學習預測模型，以及驗證及修正統計分析結果，其中有一半使用生成式AI（GenAI），另一半則否。結果顯示利用GenAI的顧問就算毫無程式經驗，也能完成程式任務，平均達到專業資料科學家水準的84%以上，而未使用GenAI的顧問平均只有29%。</p> <p>這使得OpenAI在今年推出免費<a href="https://academy.openai.com/" target="_blank">線上學習平臺OpenAI Academy</a>，提供AI課程與社群資源，已吸引超過200萬人參與，並將讓它成為OpenAI證書的基礎。</p> <p>Simo說明，OpenAI將在Academy上推出不同等級的OpenAI證書，從AI的基礎使用到進階的提示工程，任何人都能透過ChatGPT的學習模式（Study Mode）準備並完成測驗，計畫在2030年前，替1,000萬名美國人提供認證。</p> <p>Walmart將是OpenAI認證的合作夥伴之一，準備把OpenAI Academy及Certifications導入員工訓練，讓員工都能具備AI技能。Walmart執行長John Furner認為，零售業未來的競爭優勢不只在於技術，而是讓員工真正能運用這些工具。</p> <p>OpenAI的新聞稿並未著墨太多OpenAI Jobs Platform，<a href="https://www.bloomberg.com/news/articles/2025-09-04/openai-unveils-jobs-platform-certification-program-for-ai-roles" target="_blank">但根據彭博社（Bloomberg）的報導</a>，OpenAI打算利用AI來替政府與企業尋找適合的人才，成為LinkedIn的競爭者。</p> </div></div></div>
2025/9/5 11:17作者陳曉莉https://www.ithome.com.tw/news/171018
LangChain 1.0引入統一代理設計，提升代理開發一致性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LangChain團隊<a href="https://blog.langchain.com/langchain-langchain-1-0-alpha-releases/">正式推出LangChain與LangGraph的1.0 Alpha版本</a>，支援Python與JavaScript。此次更新以代理為核心，將LangChain重新定位為高階框架，建立在LangGraph代理執行時系統（Agent Runtime）之上，並在LangChain Core導入標準化的訊息內容區塊。官方表示目前仍處於Alpha測試階段，穩定版預計在10月下旬釋出。</p> <p>LangChain是目前人工智慧應用領域相當受歡迎的開發函式庫與框架，提供標準化的模型抽象、工具呼叫、記憶與資料連接功能，協助開發者把大型語言模型，組裝成可落地的代理與工作流程，並降低對單一供應商的依賴。</p> <p>過去LangChain有以鏈（Chain）或是代理（Agent）為主的兩種使用方式，新版本則透過create_agent提供統一入口。在新架構下，開發者仍然可以透過既有的方式建置人工智慧助手，也就是先將一組工具提供給模型，模型再依情境決定是否需要呼叫這些工具，執行後回傳結果並持續推進，直到最終完成指定任務，只不過現在底層由LangGraph接手執行與管理狀態。官方表示將推出langchain-legacy套件，以降低升級衝擊，讓既有專案在過渡期仍能維持原有功能。</p> <p>LangGraph在此次更新中升至1.0，並未帶來破壞性變更。其角色是低階代理調度框架，提供持久執行、短期記憶、人類介入與串流等能力，目標是讓複雜代理系統能在生產環境中長時間運作。官方指出，該框架已在Uber、LinkedIn、Klarna等公司使用並驗證，顯示其穩定性與實用性。</p> <p>隨著各家大型語言模型API逐步採用內容區塊回傳結果，LangChain Core引入.content_blocks屬性，以更結構化的方式呈現文字、工具呼叫與回傳內容。該改動向下相容，既有依賴舊訊息格式的程式仍可正常執行，但開發者可逐步轉向內容區塊，以利未來支援更複雜的互動情境。</p> <p>開發團隊提醒，Alpha版本仍可能有介面調整，建議開發者在新專案中逐步嘗試，現有系統則可先透過langchain-legacy維持穩定，再視正式版進展規畫升級。配合LangChain新版釋出，官方也更新文件網站，將各開源專案說明集中，並提供Python與JavaScript同頁切換功能，讓開發者能更快速對照學習。</p> </div></div></div>
2025/9/5 08:18作者李建興https://www.ithome.com.tw/news/171014
北韓駭客Lazarus運用PondRAT、ThemeForestRAT、RemotePE對金融與加密貨幣產業下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的北韓駭客組織<a href="https://www.ithome.com.tw/tags/lazarus">Lazarus</a>，繼<a href="https://www.ithome.com.tw/news/169681">今年5月</a>傳出攻擊臺灣加密貨幣交易所幣託（BitoPro）引起關注，最近有資安業者針對駭客使用的作案工具公布調查結果，指出Lazarus旗下團隊去年先後使用3款遠端存取木馬（RAT）犯案，使得攻擊行動變得更加隱密且難以捉摸。</p> <p>資安業者Fox-IT、NCC Group聯手，<a href="https://blog.fox-it.com/2025/09/01/three-lazarus-rats-coming-for-your-cheese/">在最近幾年針對北韓駭客組織Lazarus旗下的特定團體進行追蹤</a>，發現這些駭客涉嫌犯下多起資安事故，主要目標是金融與加密貨幣產業，特別的是，這些駭客在活動裡會運用多款RAT木馬，包括：PondRAT、ThemeForestRAT，以及RemotePE。</p> <p>對於這個團體的來歷，Fox-IT指出與AppleJeus、Citrine Sleet、UNC4736，以及Gleaming Pisces等北韓駭客組織有所交集。</p> <p>其中，PondRAT去年<a href="https://www.ithome.com.tw/news/165168">因駭客組織AppleJeus用於攻擊行動</a>，而受到較多的關注，Fox-IT指出與另一支木馬PoolRAT（SimpleTea）存在許多相似之處；ThemeForestRAT在記憶體內執行，使用超過6年，直到最近才被揭露。</p> <p>至於最後一款木馬程式RemotePE，Fox-IT指出是這組人馬手上最先進的武器，在其中一起發生在2024年的資安事故裡，他們看到駭客先使用了前兩款木馬程式之後，最後清除相關元件及檔案，然後植入RemotePE，這代表攻擊者打算進行下個階段的活動。</p> <p>不過，上述木馬這些駭客並非每次犯案都會全部使用，但無論他們使用那些木馬程式犯案，都會透過社交工程取得初期的存取管道，在其中一起事故當中，駭客疑似利用零時差漏洞，而能在受害電腦執行程式碼。</p> <p>在去年一起針對去中心化金融（DeFi）組織的資安事故裡，駭客先是在Telegram假冒貿易公司的員工，透過假的會議網站接觸員工，接著，該名員工的電腦遭到入侵，被植入PondRAT，雖然Fox-IT推測駭客使用了Chrome零時差漏洞，但無法確認入侵的手法。</p> <p>後續這些駭客運用各式工具進行偵察，觀察受害組織的網路環境，以及他們日常活動。事隔3個月，駭客才再度行動，但他們先移除了PerfhLoader、PondRAT、ThemeForestRAT等作案工具，最終部署RemotePE。</p> <p>為了持續在受害組織活動，駭客濫用名為SessionEnv的Windows服務來達到目的，藉由這項服務執行Phantom DLL loading手法，載入惡意程式載入工具PerfhLoader。此外，他們竄改機碼提升權限，從而載入核心驅動程式，並用來繞過或停用EDR代理程式。</p> <p>但為何攻擊者要清除原本的木馬程式，並更換為RemotePE？原因很有可能要採取更高的安全層級，避免被防守方察覺。RemotePE透過惡意程式下載工具RemotePELoader從C2取得、部署，此下載工具駭客以Windows資料保護API（DPAPI）進行加密處理，然後運用DPAPILoader載入、執行。採用DPAPI的做法，將使得研究人員想要還原有效酬載變得更加困難。不過，針對RemotePE這支惡意程式，Fox-IT並未公布太多細節，僅有提及駭客以C++打造而成，承諾他們未來將公布更多調查結果。</p> </div></div></div>
2025/9/4 15:26作者周峻佑https://www.ithome.com.tw/news/171005
【資安日報】9月4日，AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天的資安新聞主要與人工智慧有關，其中最受到關注的部分，是資安業者Check Point揭露駭客濫用滲透測試自動化平臺HexStrike-AI的情況，由於這款工具發布不久就被用於將漏洞打造成武器，並用於實際攻擊行動，這樣的現象相當值得留意，因為駭客可藉由這類工具大幅縮短準備時間，也能藉由自動化大規模掃描，廣泛尋找下手目標。</p> <p>另一項消息是涉及大型語言模型（LLM）不設防的現象，思科透過物聯網搜尋引擎發現，全球有超過1千臺Ollama伺服器曝露在網際網路上，可公開存取，其中有近2成模型可在無須通過身分驗證的情況下，回應請求並執行模型推論，而形成可被濫用的攻擊面。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171001"><strong style="font-size: 22px;">AI滲透測試自動化平臺HexStrike-AI遭濫用，駭客快速將Citrix NetScaler零時差漏洞用於實際攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hexstrike-AI-pic-6.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hexstrike-AI-pic-6.jpg" style="width: 300px; float: right;" /></a>在資安攻防當中，生成式AI已具有舉足輕重的地位，許多資安防護解決方案都導入這種技術，雖然導入AI能夠協助資安人員更有效率地處理相關工作，然而一旦這類工具遭到駭客利用，也同樣可能導致資安威脅加劇。</p> <p>例如，號稱能整合超過150款資安工具，以及12款AI代理的自動化資安防禦框架Hexstrike-AI，就是這種型態的例子，資安業者Check Point發現，在這款框架首度推出正式版本（編按：應為8月中旬發布的6.0版）之後不久，地下論壇出現嘗試拿來利用零時差漏洞的討論，甚至用於實際的攻擊行動。</p> <p>然而，這樣的高度自動化工具，也成為駭客試圖利用的目標。Check Point發現，在Hexstrike-AI正式推出數個小時之後，暗網的聊天室有駭客嘗試拿來追蹤近期公布的零時差漏洞，後續更用於實際攻擊行動，在受害系統植入Web Shell，以便遠端進行未經身分驗證的程式碼執行。Check Point強調，這次駭客運用的漏洞其實很複雜，正常來說需要相當高深的技術才能利用，但駭客聲稱，原本需要好幾天的時間才能找到利用漏洞的方法，他們借助Hexstrike-AI之後，只花費不到10分鐘。</p> <p><a href="https://www.ithome.com.tw/news/170999"><strong style="font-size: 22px;">逾千臺Ollama伺服器曝露，近2成無須通過認證就能用於執行模型推論</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/llm_vulnerability_checker_design.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/llm_vulnerability_checker_design.png" style="width: 300px; float: right;" /></a>思科近日透過Shodan搜尋引擎搭配自製Python工具，檢測到1,139臺Ollama伺服器對外開放，其中214臺能在無須任何認證的情況下，回應請求並執行模型推論，約占18.8％。這項調查結果顯示，不少企業與個人部署大型語言模型（LLM）時忽視存取控制與網路隔離，形成可被濫用的攻擊面。</p> <p>研究人員採取被動式檢測，以降低觸發入侵偵測或侵犯使用政策的風險。第一階段使用Shodan查詢，鎖定Ollama常見的11434埠號與服務橫幅，再結合關鍵字比對，研究人員發現，許多實例在HTTP標頭中顯示Server為Uvicorn，這一指標被用來強化指紋辨識。第二階段，研究團隊以極簡測試，請求驗證伺服器是否要求認證，當伺服器回應HTTP 200並正確回覆測試結果，表示可在未經認證下接受並執行模型推論請求，安全風險極高。</p> <p>結果顯示，這些外曝伺服器分布廣泛，美國占36.6％，中國占22.5％，德國占8.9％，其中約8成雖未載入模型，但仍能對外接受連線，潛在風險包括被未授權上傳模型、配置修改或進行資源耗竭攻擊。另一項值得注意的是，88.89％端點使用OpenAI相容路徑，如v1/chat/completions，而這樣的標準化雖有利於應用整合，但也使攻擊者能快速橫向濫用不同平臺。</p> <p><a href="https://www.ithome.com.tw/news/170994"><strong style="font-size: 22px;">5年前公開的TP-Link無線Wi-Fi訊號延伸器漏洞遭到利用</strong></a></p> <p>9月2日美國網路安全暨基礎設施安全局（CISA）提出警告，TP-Link無線Wi-Fi訊號延伸器資安漏洞CVE-2020-24363已遭利用，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構限期在9月23日前完成修補。</p> <p>此漏洞影響無線Wi-Fi訊號延伸器TL-WA855RE，當時TP-Link已發布相關韌體修補，攻擊者有機會在未經授權的情況下，發出特製的TDDP_RESET POST請求，讓延伸器重開機並恢復原廠設定，並設置新的管理員密碼以便進行不少存取控制，CVSS風險為8.8分。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/threat-actors-abuse-xs-grok-ai-to-spread-malicious-links/">社群網站X的Grok AI遭濫用，駭客以此散布惡意連結</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/saas-giant-workiva-discloses-data-breach-after-salesforce-attack/">SaaS業者Workiva客戶資料外洩，攻擊者存取Salesforce系統得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/onedrive-phishing-attack/">OneDrive網釣鎖定高階主管而來，假借薪資為幌子，意圖竊取帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/android-droppers-now-deliver-sms.html">安卓惡意軟體載入工具投放金融木馬、間諜軟體、竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-sues-robot-toy-maker-for-exposing-childrens-data-to-chinese-devs/">美國指控機器人玩具製造商Apitor將孩童資料送至中國</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170996"><strong style="font-size: 22px;">Google發布安卓9月例行更新，修補112項漏洞</strong></a></p> <p>9月2日Google發布安卓作業系統的每月例行更新，修補112個資安漏洞。值得留意的是，這次修補的漏洞有4個為重大層級，這些是：安卓系統的遠端程式碼執行（RCE）漏洞CVE-2025-48539，以及存在於高通元件的CVE-2025-21450、CVE-2025-21483、CVE-2025-27034。雖然Google公布的資訊相當有限，無從得知其他細節，不過有鑑於這些漏洞被評為重大風險，代表可能相當容易利用，且影響非常嚴重，用戶還是要儘速套用相關更新，也有待後續有研究人員進一步揭露其他資訊。</p> <p>在上述漏洞之外，本次有兩項高風險漏洞被用於針對性攻擊，這些漏洞是CVE-2025-38352、CVE-2025-48543，皆能被用於提升權限，攻擊者利用的過程不需額外的權限，也無需使用者互動。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170990"><strong style="font-size: 22px;">林宜敬接任數發部長，續推AI產業發展、強化資安韌性、打詐，加速數位政府建設</strong></a></p> <p>9月3日數發部長林宜敬舉行媒體茶敘，強調將延續數發部先前的施政方針，持續推動AI產業、資安韌性、打詐等政策針，作為數位政府的推手，數發部將加速數位憑證皮夾等數位政府建設。</p> <p>林宜敬過去擔任數發部次長時，多次代表數發部推動AI產業生態、打詐、資通安全等活動，而在接替黃彥男帶領數發部，林宜敬直言未來將會延續數發部目前推動的政策，持續推動國內AI產業發展，強化資安韌性，與平臺業者合作祭出各種打詐措施。</p> <p>首先是AI方面，數發部已研擬AI基本法草案，近期獲得行政院通過，將送立法院審查。另外，數發部也扮演火車頭的角色，除了推動政府公務機關導入AI，也推動數位經濟發展，特別是AI的產業化，以及產業的AI化。</p> <p><a href="https://www.ithome.com.tw/news/171003"><strong style="font-size: 22px;">Varonis買下郵件安全業者SlashNext</strong></a></p> <p>專注於資料安全與治理的美國資安業者Varonis Systems於周二（9月2日）宣布，已買下AI原生電子郵件安全業者SlashNext，外傳該交易最多價值1.5億美元。</p> <p>針對買下SlashNext的動機，Varonis則說，SlashNext所採用的預測性AI模型能透過電腦視覺、自然語言處理與虛擬瀏覽器等技術，以避免使用者受到社交工程的攻擊；而且SlashNext擁有全球最好的檢測引擎，在Tolly Group針對雲端電子郵件安全供應商所進行的測試中，SlashNext的整體檢測準確率高達99%，對商業電子郵件詐騙（BEC）及QR code攻擊的檢測率更是高達100%，領先Abnormal Security與Mimecast等競爭對手。</p> <p><a href="https://www.ithome.com.tw/news/170992"><strong style="font-size: 22px;">【iThome 2025企業資安大調查｜新興資安投資】IT供應鏈風險管理達兩成，企業瀏覽器與雲端災難復原漸受重視</strong></a></p> <p>為了應對日益嚴峻的資安威脅，新興解決方案亦受企業看重，在2025年iThome CIO暨資安大調查中，我們不只觀察臺灣大型企業的資安投資重點項目，也特別關注對於新興方案的採用趨勢。</p> <p>在這次新興資安投資重點排行中，今年我們特別將調查結果畫分3大類，以保護領域的前五名而言，第一名是API Protection，要投資此方案的企業比例已達28％；名列第二的OT安全算是部分產業專屬議題，有4成醫療業、3成高科技製造看重，但金融業為0，因此整體平均約2成。值得注意的是，SSE/SASE的比例僅有15％，比例不算高，由於市場上已有相當多業者聚焦於此，後續市場採用動向值得關注。</p> <p><a href="https://s4.itho.me/sites/default/files/files/1249-封面-4-新興投資-600-1-BIG-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/files/1249-%E5%B0%81%E9%9D%A2-4-%E6%96%B0%E8%88%88%E6%8A%95%E8%B3%87-600-1-BIG-PNG.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170992"><strong>【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170956"><strong>【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170931"><strong>【9月1日】已棄用的輸入法更新伺服器被用於攻擊特定臺灣用戶</strong></a></p> </div></div></div>
2025/9/4 17:15作者周峻佑https://www.ithome.com.tw/news/171008
Cloudflare自動阻擋11.5 Tbps超高流量DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近Cloudflare自動化防禦在短短數十秒內，攔下峰值11.5 Tbps的DDoS攻擊，封包速率最高達5.1 Bpps，官方說明這是一場UDP洪水攻擊，持續約35秒。此外，過去數周Cloudflare自動化防禦，也已持續攔截數百起超高流量（Hyper-volumetric）攻擊。</p> <p>事件最初Cloudflare<a href="https://x.com/Cloudflare/status/1962953494459252843">在X提到</a>攻擊流量「主要來自Google雲端」，但官方其後在社群更新，改口指出11.5 Tbps流量其實同時來自多個IoT裝置與多家雲端供應商，Google雲端只是其中之一，並非主要來源。</p> <p>因UDP無需連線交握，攻擊者能在極短時間內把龐大流量，推送邊界路由器或上游連線，讓正常連線擁塞、丟包，服務對外呈現不可用。這種攻擊多半鎖定L3/L4層，需要在網路邊界採取即時自動化偵測與限速策略，才能在秒級爆量時維持可用性。</p> <p>Cloudflare過去已多次披露相近規模的案例，如今年<a href="https://www.ithome.com.tw/news/169668">5月中攔截7.3 Tbps攻擊</a>，顯示超高流量攻擊事件正成為常見威脅型態。根據<a href="https://blog.cloudflare.com/ddos-threat-report-for-2025-q2/?utm_source=chatgpt.com/">Cloudflare威脅報告</a>，超高流量（Hyper-volumetric）攻擊指L3/L4攻擊頻寬超過1 Tbps、封包速率超過1 Bpps，或HTTP攻擊每秒請求數超過1 Mrps。這類攻擊多於短時間內爆發，且強度極高。</p> <p>此次攻擊由Cloudflare自動化防禦系統偵測並緩解，官方未說明是否對服務造成影響，來源分布與向量等細節，仍待後續報告。</p> </div></div></div>
2025/9/4 16:24作者李建興https://www.ithome.com.tw/news/171004
4萬臺永久授權的舊版vSphere主機無法升級，英國連鎖超市Tesco控告博通違約求償1億英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2025/09/03/tesco_sues_vmware_broadcom_computacenter/?td=rt-3a" target="_blank">英國媒體The Register周三（9/3）報導</a>，英國超市集團Tesco已針對VMware、博通（Broadcom）及經銷商Computacenter提出訴訟，指控廠商違反Tesco原本所購VMware產品的永久授權合約，要求各自承擔至少1億英鎊（1.34億美元）的損失。</p> <p>博通在2023年11月正式以610億美元的現金及股票<a href="https://www.ithome.com.tw/news/151167" target="_blank">收購了VMware</a>，<a href="https://www.ithome.com.tw/news/160441" target="_blank">隔月即宣布</a>不再提供永久授權版，全面轉型為訂閱制。</p> <p>另一方面，創立於1919年的Tesco是英國最大的零售與超市業者，也是全球前十大零售商，在英國擁有近3,000家實體門市，包括大型綜合超市Tesco Extra、標準型超市Tesco Superstore、社區便利商店Tesco Express及連鎖便利商店One Stop等。Tesco在2021年1月買下了VMware的vSphere Foundation與Cloud Foundation的永久授權，也訂閱了VMware Tanzu套件，同時簽訂了一份合約，保障支援服務及軟體升級直至2026年，當時VMware還同意提供一個再延長4年支援服務的選項。</p> <p>然而，博通買下VMware之後所實施的新政策讓Tesco感到被迫重複付費；博通也不再提供永久授權的獨立支援服務；當初的合約原本涵蓋了軟體升級權利，但博通不允許Tesco的永久授權升級至Cloud Foundation 9；新政策也讓非訂閱用戶無法獲得完整的臭蟲及安全修補。</p> <p>Tesco認為，上述不僅違反合約，也可能危及該公司的營運，因為VMware支撐了Tesco約4萬個伺服器的工作負載，連接收銀及物流系統，若系統失效便可能影響食品供應。</p> <p>取消永久授權替博通帶來許多合約糾紛，而且範圍涉及全球市場，除了英國的Tesco與美國的<a href="https://www.theregister.com/2024/10/01/att_broadcom_filings_update/" target="_blank">AT&T</a>提告之外，德國的<a href="https://www.theregister.com/2025/06/16/vmware_vs_siemens/" target="_blank">西門子（Siemens）則被VMware控告</a>涉嫌未授權使用軟體。</p> </div></div></div>
2025/9/4 16:33作者陳曉莉https://www.ithome.com.tw/news/171006
Zed開源ACP橋接器整合Claude Code，支援跨檔修改與多檔案審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zed<a href="https://zed.dev/blog/claude-code-via-acp">公開測試</a>以開放協定ACP（Agent Client Protocol）整合Claude Code，使用者可在Zed內直接啟動代理進行跨檔案即時編輯，並追蹤多檔案修改。官方指出此為Zed端透過ACP完成的整合，非Anthropic讓Claude Code原生支援ACP。</p> <p>ACP定位為一套標準化的通訊協定，目的是讓任一代理可介接所有支援ACP的編輯器，避免每次都需要獨立開發外掛。<a href="https://www.ithome.com.tw/news/170873">Google的Gemini CLI率先完成實作</a>，展示代理透過ACP與Zed溝通的模式，而現在Claude Code加入，使ACP生態進一步擴大，開始涵蓋不同來源的主流代理。</p> <p>Zed以ACP作為代理與編輯器之間的通訊介面，推出以JSON-RPC為基礎的Claude Code橋接器，包覆Claude Code SDK並轉譯為ACP事件。Zed將此Claude Code橋接器以Apache-2.0授權開源，供任何採用ACP的編輯器重用。</p> <p>使用者更新至Zed最新版本後，從代理面板（Agent Panel）即可選用Claude Code開始新工作。在編輯體驗上具有語法突出顯示與語言伺服器支援，能同步呈現跨檔案的候選修改，而多檔案（Multibuffer）審查流程可針對個別程式碼區塊逐一核准或退回，避免一次大量變更破壞原有程式碼的完整性。另外，新功能還支援Claude Code的自訂斜線指令以定義常見開發任務，讓生成、修改、審查與提交的路徑維持在編輯器中完成。</p> <p>Claude Code整合範圍目前以SDK可覆蓋項目為主，Zed官方表示，Plan模式等功能將陸續補上，其他內建斜線指令尚待SDK支援才能經由ACP使用。由於Neovim編輯器的CodeCompanion外掛已採用ACP，透過這套開源橋接器，Claude Code同樣也可於Neovim運作。</p> </div></div></div>
2025/9/4 16:45作者李建興https://www.ithome.com.tw/news/171007
Google發布安卓9月例行更新，修補已被積極利用的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月2日Google發布安卓作業系統的每月例行更新，<a href="https://source.android.com/docs/security/bulletin/2025-09-01">修補112個資安漏洞</a>，並指出其中有2個已遭到積極利用。</p> <p>這些漏洞是CVE-2025-38352、CVE-2025-48543，皆能被用於提升權限，其中，CVE-2025-38352是本機權限提升漏洞，出現在作業系統的核心，為高風險弱點，Google提及，攻擊者利用的過程不需額外的權限，也無需使用者互動。不過，這項漏洞並非Google首度揭露，最早在今年7月公布，該漏洞存在於Linux核心的posix-cpu-timers模組，涉及條件競爭（Race Condition），<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-38352">CVSS風險值為7.4</a>。</p> <p>另一個遭到利用的漏洞CVE-2025-48543，同時出現在安卓執行環境（Runtime），以及Google Play的ART元件，被評為高風險層級。攻擊者可用於提升本機權限，而且無須事先取得特定的執行權限，也不需要使用者互動。</p> <p>附帶一提的是，這次修補的漏洞有4個為重大層級，這些是：安卓系統的遠端程式碼執行（RCE）漏洞CVE-2025-48539，以及存在於高通元件的CVE-2025-21450、CVE-2025-21483、CVE-2025-27034。</p> </div></div></div>
2025/9/4 11:07作者周峻佑https://www.ithome.com.tw/news/170996
AI滲透測試自動化平臺HexStrike-AI遭濫用，駭客快速將Citrix NetScaler零時差漏洞用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資安攻防當中，生成式AI已具有舉足輕重的地位，許多資安防護解決方案都導入這種技術，雖然導入AI能夠協助資安人員更有效率地處理相關工作，然而一旦這類工具遭到駭客利用，也同樣可能導致資安威脅加劇。</p> <p>例如，號稱能整合超過150款資安工具，以及12款AI代理的自動化資安防禦框架Hexstrike-AI，就是這種型態的例子，<a href="https://blog.checkpoint.com/executive-insights/hexstrike-ai-when-llms-meet-zero-day-exploitation/">資安業者Check Point發現</a>，在這款框架首度推出正式版本（編按：應為<a href="https://cybersecuritynews.com/hexstrike-ai/">8月中旬發布的6.0版</a>）之後不久，地下論壇出現嘗試拿來利用零時差漏洞的討論，甚至用於實際的攻擊行動。</p> <p>什麼是Hexstrike-AI？這是結合AI的滲透測試模型內容協定（MCP）框架，能將多種大型語言模型（LLM）及AI代理用於自動化執行複雜的資安測試工作，此框架支援多個AI代理架構，用於進行情報的解析及決策、即時弱點分析，號稱還能進一步自動化資安專家的工作，像是滲透測試、漏洞挖掘，甚至能進行CTF搶旗賽，將原本透過專家需要人工、手動執行數個小時的工作，縮短到數十分鐘就能完成。</p> <p>然而，這樣的高度自動化工具，也成為駭客試圖利用的目標。Check Point發現，在Hexstrike-AI正式推出數個小時之後，暗網的聊天室有駭客嘗試拿來追蹤近期公布的零時差漏洞，後續更用於實際攻擊行動，在受害系統植入Web Shell，以便遠端進行未經身分驗證的程式碼執行。Check Point強調，這次駭客運用的漏洞其實很複雜，正常來說需要相當高深的技術才能利用，但駭客聲稱，原本需要好幾天的時間才能找到利用漏洞的方法，他們借助Hexstrike-AI之後，只花費不到10分鐘。</p> <p>這項被駭客拿來研究的資安漏洞，是<a href="https://www.ithome.com.tw/news/170844">8月26日Citrix揭露的NetScaler零時差漏洞</a>，根據Citrix的資安公告，這項漏洞應為CVE-2025-7775，此為記憶體溢位弱點，攻擊者有可能用於遠端執行任意程式碼（RCE），或是造成服務中斷（DoS），4.0版CVSS風險評為9.2，為重大層級。</p> <p>但除此之外，Check Point指出駭客似乎也利用了另外兩個Citrix同時公告的漏洞CVE-2025-7776、CVE-2025-8424，並強調利用這些漏洞並不容易，攻擊者必須熟悉記憶體的運作機制、繞過身分驗證，以及了解NetScaler的整體架構，從過往的資安事故來看，這種漏洞攻擊者不僅需要高深的技能，往往也需要數個星期的開發，才能用於實際行動。</p> <p>如今有了Hexstrike-AI，攻擊者在不到半天的時間內，就開始討論如何透過這套滲透測試工具，掃描存在上述漏洞的NetScaler設備，並對其發動攻擊。此外，已有多組人馬透過Hexstrike-AI找到存在漏洞的實體，並兜售相關名單。Check Point指出，這項發現的影響相當深遠，因為駭客不僅大幅縮短準備工作的時間，並能利用AI代理進行大規模掃描，若是漏洞利用失敗，AI代理還能進行微調，而有機會不斷嘗試到成功為止。</p> </div></div></div>
2025/9/4 13:42作者周峻佑https://www.ithome.com.tw/news/171001
Varonis買下郵件安全業者SlashNext
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於資料安全與治理的美國資安業者<a href="https://www.varonis.com/blog/varonis-to-acquire-slash-next-email-security" target="_blank">Varonis Systems周二（9/2）宣布</a>，已買下AI原生電子郵件安全業者SlashNext，<a href="https://www.securityweek.com/varonis-acquires-email-security-firm-slashnext/" target="_blank">外傳該交易最多價值1.5億美元</a>。</p> <p>SlashNext是在2015年由FireEye研究人員Atif Mushtaq所創立，專注於電子郵件安全及對抗網路釣魚，透過大型語言模型及機器學習技術來偵測URL、電子郵件、行動裝置簡訊、傳訊程式、廣告、及協作工具訊息中的網釣攻擊，強調零時差防護，以在威脅尚未被傳統黑名單收錄前便予以攔截，可透過API或雲端服務形式交付。</p> <p>Varonis則說，SlashNext所採用的預測性AI模型能透過電腦視覺、自然語言處理與虛擬瀏覽器等技術，以避免使用者受到社交工程的攻擊；而且SlashNext擁有全球最好的檢測引擎，在Tolly Group針對雲端電子郵件安全供應商所進行的測試中，SlashNext的整體檢測準確率高達99%，對商業電子郵件詐騙（BEC）及QR code攻擊的檢測率更是高達100%，領先Abnormal Security與Mimecast等競爭對手。</p> <p>Varonis還特別介紹了Mushtaq，說在FireEye任職9年的他是惡意軟體檢測技術的主要架構師之一，並將相關經驗應用在電子郵件網釣與社交工程背後的心理學，與SlashNext團隊共同設計了一種技術，得以分辨語氣及風格等特徵，進而揭露駭客的意圖及動機，再針對其核心威脅與可能產生的各種變體自我訓練，使其比市場上任何其它技術都更能準確地偵測到由專家或AI建立的社交工程威脅。</p> <p>此一收購可望結合SlashNext的多通道網釣防禦及Varonis的端對端資料安全方法，包括AI安全與身分保護，讓Varonis客戶能在資料受到影響之前，檢測早期入侵跡象並阻止攻擊。</p> </div></div></div>
2025/9/4 14:26作者陳曉莉https://www.ithome.com.tw/news/171003
滿足快速反應的市場期待
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假日在河濱公園運動時，瞥見母親帶著小男孩和小女孩騎乘腳踏車出遊，母親載著女孩在前方等待，男孩騎著另一部單車，突然遇到一個短坡，因自身腿力不足而卡在坡上，頻頻叫喚母親，似乎是希望她幫忙，母親耐心等著男孩騎上來，不久，換成女孩騎上這部單車，男孩則坐上母親單車的後座，女孩緩緩前行，眼睛卻一直盯著腳下，似乎是不習慣踩踏板的方式，而無暇直視前方道路前行。</p> <p>這讓我想到人們學習新的技能時，經常需要克服許多大大小小的困難，我們當下第一個舉動可能是向其他人求助，然而，大多數時候仍要靠自己鼓起所有力氣、運用身體與大腦的記憶，採取適合行動，持續嘗試、練習，才能跨越一個個門檻或爬坡，進而抵達下一個目標；另一個挑戰在於，我們可能過度在意目前正在操作的程序與步驟，而沒分出一些心神，去察覺行進方向出現的各種事物，想想看，低頭只看地上前進，這舉動無論快慢都很危險。</p> <p>面對資訊與科技大爆炸的當代工作環境，所有人的步調不斷加快，都希望能夠馬上看到成效。但在「開快車」之前，我們本身還是需要具備一定程度的能力，就像運動需要足夠的體力，掌握基本知識、各種動作訣竅，以及自我保護的方法，而且，要眼觀四面、耳聽八方，打開所有身體的感官，做出最佳判斷。</p> <p>關鍵在於我們需要更多的練習與實作，如同《你只是還沒開始》這本書提到的：「如果我選擇不斷向上提升，那就不存在極限。我並非天生具備驚人的才能。我的秘密在於時間。」，以及「這需要時間。你不能像這個年代的所有人那樣，期待能立刻獲得滿足感，在一夜之間就看到成效。」</p> <p>隨著好幾波數位化浪潮來襲，每個人現在使用任何系統或服務時，都會希望獲得即時回應，好處是大幅縮短無謂的等待時間，當消費者與客戶猶豫的時間變短，商家與企業可以更快收到錢，然而，當這樣的互動體驗變得普遍、理所當然時，副作用是大家都變得很沒有耐性，對於各種延遲、不順利的狀況感到不耐煩，無形中也造成許多第一線人員的沉重負擔。</p> <p>針對客戶提出的需求，業者若能做到快速反應，當然是一大賣點，然而，如何兼顧專業、品質與誠信，又是一大挑戰。例如，對於生成式AI，大家越來越熟悉其特性，已逐漸找到合適的使用方法。</p> <p>以與AI進行互動問答的情境而言，很多人都認為提問方式、問對問題很重要，並體認到要對AI提供的答案與結果有分辨能力，也有一些專家呼籲要有獨立思考的能力，而且，在互動過程中，我們不只是評估AI提出的答案是否合理、準確，也必須重視「問題背後的問題（QBQ）」思維，而非僅處理到表面的狀況。</p> <p>除此之外，AI可以涵蓋廣泛的知識，達到常人所難以想像的各種領域，然而，不同專業工作者持續累積與培養的知識體系、人脈、看待與分析議題的角度與立場，仍是非常獨特的。</p> <p>也有人認為Integrity是AI難以取代的，因為誠信、正直、操守、負責這些道德理念，還是仰賴人去實踐。因為相關技術的不確定性，AI可能會失控、會胡說八道地編造內容，雖然被加上某些使用護欄（guardrails）的設限，然而，它不會刻意堅持某種信念，主動違抗、拒絕執行使用者提出的命令（對於全靠人或程式操控的系統，更是指令照單全收地執行），而且，AI傾向提供多數人認可的建議，相對而言，也將導致使用者的決策過於類似、集中，而產生其他副作用。</p> <p>當然，使用者也能透過刻意引導的方式，請它提供具有創意、創新的思考方向，在人機合作之下，的確也是有機會能夠產生意想不到的新思路。因此，會造成善用或濫用結果的關鍵，仍回到人們的心念與認知，我們必須時時自問：求快、省時省力的最終目的是什麼？</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/%E4%BA%BA%E6%A9%9F%E5%90%88%E4%BD%9C">人機合作</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2025/9/4 13:51作者李宗翰https://www.ithome.com.tw/voice/171002
OpenAI開放免費用戶使用ChatGPT Projects
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI今天（9/4）正式<a href="https://x.com/OpenAI/status/1963329936368046111" target="_blank">開放免費用戶使用ChatGPT專案服務ChatGPT Projects</a>。</p> <p>Projects是OpenAI於去年底<a href="https://www.ithome.com.tw/news/166526" target="_blank">發表的服務</a>，定義為<a href="https://help.openai.com/en/articles/10169521-projects-in-chatgpt" target="_blank">智慧工作空間</a>，當使用者發起一個專案後，即可於同一個專案空間存放聊天內容、上傳檔案，以及添加客製化的指令，它們多半圍繞在同一個主題，而且具備記憶及脈絡能力，適合寫作、研究或規畫等重複並不斷發展的任務。</p> <p>例如使用者可以用它來寫論文，制定行銷計畫，或是籌備婚禮，而且可於手機與電腦上切換，也能針對每個專案設定不同的顏色及圖示，以及個別的AI回應風格。</p> <p>現在免費用戶最多可上傳5個文件至單一專案中，Plus用戶可上傳25個，Pro用戶可上傳40個。初期先支援網頁與Android版，未來幾天便會支援iOS平臺。</p> </div></div></div>
2025/9/4 12:27作者陳曉莉https://www.ithome.com.tw/news/171000
傳聞蘋果將以Google AI技術全面改造Siri
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-09-03/apple-plans-ai-search-engine-for-siri-to-rival-openai-google-siri-talks-advance" target="_blank">彭博社（Bloomberg）周三（9/3）引述消息來源報導</a>，蘋果將在明年春天推出基於AI的網路搜尋工具World Knowledge Answers，並打算將它整合到Siri中，且可能會仰賴Google的AI模型。</p> <p>蘋果或Siri的AI能力一直落後市場，蘋果亦積極尋找AI合作夥伴，根據報導，蘋果的第一選擇是Anthropic，但Anthropic開出每年15億美元的高額價碼，反之Google則對價格抱持著開放態度，這使得雙方在本周簽署了合作協議，蘋果將評估Google所開發的AI模型能否適用於Siri。</p> <p>World Knowledge Answers的功能類似ChatGPT或Google AI Overviews，可輸入文字、照片或影片，還能整合附近的地點資訊，同時具備一個AI摘要系統，以大幅提升Siri的回應能力。</p> <p>全新的Siri將有3個核心元件，它們是規畫器、搜尋系統與摘要器，將分別用來解釋語音與文字輸入，搜尋網路或裝置，以及彙整出答案。</p> <p>此外，蘋果也在考慮是否將World Knowledge Answers延伸到Safari或作業系統的Spotlight中。</p> <p>不管是蘋果或Google皆未回應彭博社的報導，不過當天它們的股價雙雙上漲，蘋果漲了3.81%，以238.47美元作收，Google則因同時受到<a href="https://www.ithome.com.tw/news/170966" target="_blank">反壟斷官司有利裁決</a>的激勵，大漲9.01%，收在231.1美元。</p> </div></div></div>
2025/9/4 11:27作者陳曉莉https://www.ithome.com.tw/news/170997
Cisco揭露逾千臺Ollama伺服器外曝，近2成免認證可執行模型推論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cisco透過Shodan搜尋引擎搭配自製Python工具，<a href="https://blogs.cisco.com/security/detecting-exposed-llm-servers-shodan-case-study-on-ollama">檢測</a>到1,139臺Ollama伺服器對外開放，其中214臺能在無任何認證下回應請求並執行模型推論，約占18.8％。不少企業與個人部署大型語言模型（LLM）時忽視存取控制與網路隔離，形成可被濫用的攻擊面。</p> <p>Shodan是一個專門索引網際網路上公開連線設備與服務的搜尋引擎，能發現對外開放的埠號與伺服器橫幅資訊（Banner Information），經常被研究人員用來盤點外曝系統。Ollama則是一套能在本地端執行大型語言模型的熱門開源框架，可方便開發者下載與操作各式模型，並支援OpenAI相容的API介面，預設運作於11434連接埠。</p> <p>研究人員採取被動式檢測，以降低觸發入侵偵測或侵犯使用政策的風險。第一階段使用Shodan查詢，鎖定Ollama常見的11434埠號與服務橫幅，再結合關鍵字比對，研究人員發現，許多實例在HTTP標頭中顯示Server為Uvicorn，這一指標被用來強化指紋辨識。第二階段，研究團隊以極簡測試，請求驗證伺服器是否要求認證，當伺服器回應HTTP 200並正確回覆測試結果，表示可在未經認證下接受並執行模型推論請求，安全風險極高。</p> <p>結果顯示，這些外曝伺服器分布廣泛，美國占36.6％，中國占22.5％，德國占8.9％，其中約8成雖未載入模型，但仍能對外接受連線，潛在風險包括被未授權上傳模型、配置修改或進行資源耗竭攻擊。另一項值得注意的是，88.89％端點使用OpenAI相容路徑，如v1/chat/completions，而這樣的標準化雖有利於應用整合，但也使攻擊者能快速橫向濫用不同平臺。</p> <p>外曝的大語言模型伺服器可能遭遇多種攻擊，包括未授權API使用、模型抽取、提示詞注入產生不當內容、資源劫持導致成本上升，甚至透過模型上傳機制注入後門。對於目前尚未啟用模型的伺服器，攻擊者同樣能利用其開放端點進行破壞或濫用。</p> <p>研究人員建議企業採取分層式防護措施。首先，必須強制啟用API金鑰或OAuth2認證，並搭配角色導向存取控制（RBAC）。其次，應將伺服器部署於私有子網，並透過VPN或防火牆限制來源。對於API流量，需導入速率限制、異常行為偵測與稽核紀錄保存。</p> <p>同時，也建議調整預設埠號並隱藏服務橫幅，以降低識別風險。針對模型上傳功能，應加入簽章或雜湊驗證，避免惡意檔案被植入，最後，企業應透過Shodan或自動化工具持續檢測與稽核曝露端點，確保服務不會意外對外公開。</p> </div></div></div>
2025/9/4 12:19作者李建興https://www.ithome.com.tw/news/170999
TP-Link 5年前的Wi-Fi網路設備漏洞發生濫用活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/alerts/2025/09/02/cisa-adds-two-known-exploited-vulnerabilities-catalog" target="_blank">美國網路安全暨基礎架構安全管理署（CISA）本周警告</a>，TP-Link Wi-Fi網路設備軟體一項5年前的老漏洞正遭到濫用，攻擊已EoL的產品。</p> <p>TP-Link的CVE-2020-24363是被列入CISA已知濫用漏洞（Known Exploited Vulnerabilities）名單的漏洞。</p> <p><a href="https://www.cve.org/CVERecord?id=CVE-2020-24363" target="_blank">這項漏洞</a>允許同一網路上非經驗證的攻擊者發送TDDP_RESET POST請求，進行出廠重設（factory reset）及重開機。攻擊者可藉此設定新的管理員密碼而得以存取控制裝置，為風險值8.8的漏洞。</p> <p>不過CISA並未說明本漏洞的濫用細節，包括是駭客攻擊或是惡意程式。</p> <p>5年前公布時，CVE-2020-24363影響的是 TP-Link TL-WA855RE V5使用的韌體。TL-WA855RE V5為Wi-Fi訊號網路延伸器。當時業者已經釋出TL-WA855RE(EU)_V5_200731更新版韌體修補。不過這款產品雖然現在在網路上還在銷售，<a href="https://www.tp-link.com/nordic/support/faq/3562/" target="_blank">但根據TP-Link網站</a>，該裝置已經是EoL（End of Life）產品，這意謂著業者不會再發佈任何更新版軟體。用戶最好換成新產品以策安全。</p> <p>CISA最新公告還包含Meta WhatsApp的CVE-2025-55177及Citrix Netscaler 的CVE-2025-7775。WhatsApp的CVE-2025-55177近日被用以對iPhone感染間諜程式以竊聽通訊內容。<a href="https://www.ithome.com.tw/news/170921" target="_blank">WhatsApp已在上周修補了iOS及macOS版WhatsApp的漏洞</a>。Citrix Netscaler的CVE-2025-7775影響Citrix NetScaler ADC與NetScaler Gateway，可被觸發記憶體溢位導致遠端執行任意程式碼或阻斷服務（DoS），<a href="https://www.ithome.com.tw/news/170844" target="_blank">Citrix也已發布新版軟體修補</a>。</p> </div></div></div>
2025/9/4 09:23作者林妍溱https://www.ithome.com.tw/news/170994
Silver Fox APT濫用微軟簽署的驅動程式，入侵Windows植入ValleyRAT木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Check Point研究人員<a href="https://research.checkpoint.com/2025/silver-fox-apt-vulnerable-drivers/">揭露</a>，駭客組織Silver Fox APT在近期攻擊活動中，利用一款由微軟簽署，卻未列入任何封鎖清單的WatchDog Antimalware驅動程式，繞過Windows10與11的安全機制，進一步關閉防毒與EDR等防護工具，最後植入遠端存取木馬ValleyRAT。</p> <p>研究人員觀察到，攻擊者準備了兩種驅動程式，以因應不同版本的Windows版本，在Windows 7等舊版系統，他們載入早已知名且被列管的Zemana驅動程式ZAM.exe 3.0.0.000，而在新版Windows10與11上，則使用之前未被發現有問題的WatchDog驅動程式amsdk.sys 1.0.600。兩者皆能繞過作業系統的受保護程序（PP/PPL）機制，直接終止EDR或防毒軟體的關鍵服務。當安全工具被迫關閉後，惡意程式得以不受干擾地進行下一步操作。</p> <p>駭客攻擊流程通常由多功能惡意載入器啟動，惡意載入器在執行時會先檢查是否處於虛擬環境或沙箱，以規避分析。當判斷為安全環境，便會載入相應驅動，進行程序終止，再下載並啟動ValleyRAT。研究人員也指出，惡意程式具備持久化機制，確保受害電腦重新開機後仍會繼續執行。</p> <p>WatchDog在接獲通報後，推出新版驅動試圖修補問題並加強權限控制。不過，研究人員又發現該版本仍未檢查PP/PPL，還是允許攻擊者關閉防毒軟體程序，而且Silver Fox APT也很快地修改了新版驅動的簽章屬性，透過極小幅度的變動改變檔案雜湊值，成功避開雜湊比對式的封鎖機制，同時保留微軟簽章的有效性。</p> <p>駭客的最終目標是部署ValleyRAT，這是一款已知與Silver Fox APT高度關聯的後門程式，能進行遠端控制、資料竊取與持續監控。研究人員指出，相關C2伺服器位於中國境內，並鎖定亞洲地區常用的防毒軟體為主要攻擊對象，顯示其行動具有針對性。</p> <p>研究人員建議，企業應確保套用新版封鎖清單，並搭配行為式偵測與監控，例如偵測受保護程序遭異常終止或關鍵安全服務被停用，同時也可套用Check Point提供的YARA規則。</p> </div></div></div>
2025/9/4 08:00作者李建興https://www.ithome.com.tw/news/170993
【資安日報】9月3日，資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月下旬傳出的Salesloft Drift供應鏈攻擊事故，先是介入調查的Mandiant透露影響範圍不光與之串連的Salesforce，接著有多家資安業者表明他們的雲端CRM系統資料外洩，本週Cloudflare、Palo Alto Networks發布聲明證實此事，並透露影響的範圍，強調不影響自家產品、系統，以及服務。</p> <p>另一個受到全球關注的事故，是最近一個星期傳聞影響25億Gmail用戶的嚴重漏洞，許多科技網站、金融新聞網站紛紛呼籲用戶，要儘速更換密碼因應。對此，Google發布簡短說明，表示上述的說法並不正確。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170989"><strong style="font-size: 22px;">Salesloft Drift供應鏈攻擊事故受害範圍擴大，Cloudflare、Palo Alto Networks證實其雲端CRM系統資料外洩</strong></a></p> <p>針對Salesloft旗下的對話行銷暨客戶互動平臺Drift傳出的供應鏈攻擊事故，駭客組織UNC6395自8月8日至18日，透過竊得的應用程式OAuth憑證（Token），成功存取並匯出多家企業的Salesforce資料，繼8月底資安業者Zscaler證實受害，本週又有兩家資安業者發布聲明，表示他們也面臨資料外洩的情況。</p> <p>9月2日Cloudflare表示他們上週接獲通報，由於該公司的Salesforce系統主要用於客戶支援，以及內部的客戶案件管理，大部分的資料是客戶聯絡資訊及基本的支援案例資料，但部分互動內容有可能會洩露客戶的配置資訊，甚至可能包含憑證等敏感資料。對此，他們認為客戶在尋求支援過程裡提供的事件記錄、憑證、密碼等資料，都應視為已經外洩，強烈要求用戶輪換相關憑證。</p> <p>同日Palo Alto Networks也發出聲明，證實他們也是遭到供應鏈攻擊影響的客戶，導致該公司Salesforce系統的資料外洩。Palo Alto Networks迅速控制事件，並從Salesforce環境停用了Salesloft Drift。根據該公司的威脅情報團隊Unit 42進行調查後確認，這起事故並未影響Palo Alto Networks任何產品、系統，以及服務。攻擊者主要竊取了業務聯絡人和相關帳戶資訊，以及內部銷售帳號記錄和基本案件數據。該公司正在通知所有受影響的客戶。</p> <p><a href="https://www.ithome.com.tw/news/170985"><strong style="font-size: 22px;">Google發布聲明，駁斥Gmail資料外洩而要求25億用戶重設密碼的傳言</strong></a></p> <p>最近一個多禮拜，有多家科技新聞網站、金融新聞網站紛紛報導，因今年6月Salesforce系統遭到入侵，Google警告25億Gmail用戶恐受到波及，應儘速更換密碼、啟動多因素驗證（MFA），這種不尋常的情況引起我們的注意及追蹤。根據資安新聞網站Bleeping Computer、Gbhackers的報導，Google本週發出聲明駁斥，表示他們的防護措施強大且有效，Gmail出現重大安全問題的說法並不正確。</p> <p>9月1日Google發布簡短聲明表示，他們的保護措施能阻止99.9%的網路釣魚及惡意軟體到達用戶端。近期有數起不精確的傳聞指出，該公司向所有Gmail用戶警告此郵件平臺出現嚴重的資安問題，是完全錯誤的資訊。</p> <p>Google強調他們相當嚴肅看待相關資訊安全問題，團隊投入大量資金並不斷創新，並就現有的風險及防護機制，進行徹底、全面的溝通。該公司也呼籲用戶採取最佳實務來強化防護，其中一項是採用Passkey等加強密碼防護的措施。</p> <p><a href="https://www.ithome.com.tw/news/170991"><strong style="font-size: 22px;">汽車業者Jaguar Land Rover遭遇網路攻擊，銷售、生產受到影響</strong></a></p> <p>9月2日印度塔塔（Tata）集團旗下的英國汽車公司Jaguar Land Rover（JLR）發布聲明，指出他們受到資安事故影響，事發後隨即採取行動，主動關閉部分系統減緩造成的影響。該公司目前正在他們控制的狀態下，重新啟動該公司的全球應用程式，並強調尚未出現客戶資料遭竊的跡象，但該公司的銷售及生產業務面臨嚴重的中斷。</p> <p>雖然這則公告並未透露攻擊類型與其他細節，但根據英國廣播公司（BBC）的報導，這起事故在9月1日傳出。JLR在週日遭遇網路攻擊，週一早上在當地希爾活（Halewood）工廠上班的員工收到電子郵件通知，要求不要前往工廠。另一座位於索利赫爾（Solihull）的工廠也受到影響，員工被送回家。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/silver-fox-exploits-microsoft-signed.html">中國駭客Silver Fox發動自帶驅動程式攻擊，透過防毒軟體元件散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/lazarus-group-expands-malware-arsenal.html">北韓駭客Lazarus散布跨平臺惡意軟體PondRAT、ThemeForestRAT、RemotePE</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/researchers-warn-of-mystrodx-backdoor.html">新型態後門MystRodX運用DNS和ICMP隱匿行蹤，暗中竊取資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ukrainian-network-fdn3-launches-massive.html">烏克蘭網路傳出對SSL VPN、RDP系統發動大規模暴力破解攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflare-blocks-record-breaking-115-tbps-ddos-attack/">資安業者Cloudflare揭露流量達到11.5 Tbps的DDoS攻擊事故</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170963"><strong style="font-size: 22px;">微軟10月將強制以MFA登入Azure服務</strong></a></p> <p>微軟近日宣布將從10月1日起，強制要求所有登入Azure服務的行為都必須完成多因素驗證（MFA），才能執行新增、修改或刪除作業。這項宣布是微軟繼去年首度宣布Azure的登入安全新政策後，正式全面實施MFA。</p> <p>微軟自家研究顯示，實施MFA能防範99.2%的帳號駭入攻擊，因此微軟在去年8月宣布以兩階段推動強制性MFA登入Azure服務。第一階段實施標的為2024年10月涵括Azure入口網站（portal）、微軟Entra及Intune管理中心。</p> <p>第二階段實施標的為 Azure CLI、 Azure PowerShell、Azure SDK、Azure行動App以及IaC（Infrastructure as Code）及REST API端點。</p> <p><a href="https://www.ithome.com.tw/news/170680"><strong style="font-size: 22px;">Claude Opus 4具自我防護機制，遭持續辱罵將自動結束對話</strong></a></p> <p>Anthropic在消費端聊天介面的Claude Opus 4與4.1，加入在罕見且極端情境下自動結束對話的能力，該機制針對持續有害或辱罵的互動，僅在多次拒絕與重導無效後才會啟動。官方強調，這是探索人工智慧福祉與模型防護的一部分，並非針對一般使用者的日常對話，預期絕大多數人不會遇到這項情境。</p> <p>該機制的觸發條件非常嚴格，當系統判斷用戶存在即時的自傷或他傷風險，Claude不得使用結束對話功能，避免阻斷必要的求助或干預機會，只有當用戶持續要求生成明顯有害的內容，且多次拒絕與重導都無效時，模型才會選擇中止互動。另外，當用戶明確提出結束對話，Claude也會直接回應要求。</p> <p><a href="https://www.ithome.com.tw/article/170889"><strong style="font-size: 22px;">【iThome 2025企業資安大調查｜資安投資概況】持續布局資安保護與資安偵測，技術領域加碼DevSecOps、FIDO</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1249-封面-3-資安投資概況-600-1-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1249-%E5%B0%81%E9%9D%A2-3-%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E6%A6%82%E6%B3%81-600-1-PNG.png" style="width: 300px; float: right;" /></a></p> <p>關於2025年企業資安投資策略與重點，在金年的調查中，我們特別以美國NIST CSF 2.0資安框架的六大核心構面，從治理、識別、保護、偵測、應變、復原的角度，讓資安長自評2025年在六大領域的投資配重。</p> <p>從調查結果可以看到，「保護」的占比達24％為最高，符合我們的預期；「偵測」、「應變」在今年加總達到30％，這可能與近年各種偵測與應變解決方案普及有關，未來我們則看好「識別」領域的成長，目前雖僅有15％，但隨著近年攻擊面管理、安全態勢管理解決方案已然興起，企業後續可能加重這方面的布局。</p> <p>至於「復原」領域，由於這些年勒索軟體攻擊猖獗，我們認為企業多已加重這方面投資，不過從今年調查結果來看，一般製造業、醫療業仍視為今年需要重點強化的方向，相較其他產業更憂心自身在復原能力上的不足。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170956"><strong>【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170931"><strong>【9月1日】已棄用的輸入法更新伺服器被用於攻擊特定臺灣用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170910"><strong>【8月29日】刑事局運用AI從源頭阻斷詐騙人頭帳戶</strong></a></p> </div></div></div>
2025/9/3 18:43作者周峻佑https://www.ithome.com.tw/news/170992
HDR影像技術Dolby Vision 2發布，採用新影像引擎與雙向色調映射強化畫質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dolby推出HDR技術重大升級<a href="https://news.dolby.com/en-WW/253671-dolby-unveils-dolby-vision-2-a-new-era-for-tv-picture-quality/">Dolby Vision 2</a>，其核心為重新設計的影像引擎與內容智慧（Content Intelligence）框架，並加入雙向色調映射（Bi-directional Tone Mapping）與創作者可控的動態處理工具，讓高亮度、廣色域電視可展現更高亮度層次、對比深度與色彩飽和。</p> <p>新版Dolby影像引擎（Image Engine）經過重新設計，與既有的Dolby Vision內容生態結合，Dolby強調這將能進一步發揮現代電視的硬體能力。該公司指出，隨著電影、電視節目、體育轉播與遊戲內容不斷增加，這套新引擎可在更廣泛的應用情境中展現HDR畫質的優勢。</p> <p>Content Intelligence用於加強內容端與顯示端的協同運作，Precision Black針對畫面過暗的困擾提升暗部清晰度並維持創作者的意圖，而Light Sense透過進階環境光偵測，與內容端參考光源資料微調整體畫面。Sports and Gaming Optimization則加入白點調整與動態控制，針對體育直播與遊戲場景，調整顏色與動態表現，以因應快速移動影像的需求。</p> <p>雙向色調映射針對高階顯示器而來，相較傳統多由顯示器單向處理的作法，Dolby Vision 2讓創作者取得更多色彩與亮度分配控制，配合高峰值亮度與廣色域面板，提升亮度、對比與飽和，同時保留細節與層次。</p> <p>在動態處理上，Dolby提出Authentic Motion，這是一套逐鏡頭的動態控制工具。Dolby表示，此功能可降低顫動或抖動，使畫面保持穩定，同時保留創作端設定的節奏感，與一般電視端的運動補償不同，這項技術由內容製作端主導，減少播放端因過度插補影格造成的視覺差異。</p> <p>Dolby Vision 2將依據顯示器硬體能力分為兩個層級，Dolby Vision 2 Max針對頂級顯示器設計，開放更多功能以發揮面板特性，而Dolby Vision 2則面向主流電視，提供新影像引擎與Content Intelligence等核心功能。兩個層級皆與既有Dolby Vision內容相容，只有部分進階功能需要支援Dolby Vision 2的顯示器，並仰賴新增的內容端資料才能啟用。</p> <p>Dolby指出，隨著製作工具更新，未來在Dolby Vision規格下完成的內容，在支援Dolby Vision 2的顯示器上將能展現更完整的亮度與色彩表現。Hisense確認將在其高階電視導入Dolby Vision 2，法國媒體與娛樂公司CANAL+也宣布支援，至於上市時程、機種與功能差異，仍有待各廠商後續公布。</p> </div></div></div>
2025/9/3 19:59作者李建興https://www.ithome.com.tw/news/170988