iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 02:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

OpenAI及Microsoft達成新協議以替OpenAI的IPO鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/statement-on-openai-nonprofit-and-pbc/" target="_blank">OpenAI周四（9/11）發布聲明</a>，指出其非營利組織OpenAI Nonprofit將取得其公益法人公司（Public Benefit Corporation⁠，PBC）超過1,000億美元的股權，<a href="https://blogs.microsoft.com/blog/2025/09/11/a-joint-statement-from-microsoft-and-openai/" target="_blank">同一天亦與微軟針對雙方下一階段的合作簽署了諒解備忘錄</a>（Memorandum of Understanding，MoU），被外界視為是在替OpenAI的股票首次公開發行（IPO）鋪路。</p> <p>OpenAI最早是一家非營利組織OpenAI Nonprofit，<a href="https://www.ithome.com.tw/news/129281" target="_blank">在2019年於非營利之下設立了有限獲利公司OpenAI Global</a>，讓微軟等OpenAI股東可透過OpenAI Global獲得回報，但回報上限為100倍；<a href="https://www.ithome.com.tw/news/168770" target="_blank">接著在今年5月發布新架構</a>，把OpenAI Global轉型為PBC，移除了100倍的股東獲利上限，轉為標準的普通股權結構，但依舊由OpenAI Nonprofit董事會控制。</p> <p>本周OpenAI則說，OpenAI Nonprofit將握有價值超過1,000億美元的PBC股份，使得它成為全球資源最豐沛的慈善組織之一。OpenAI並未公布OpenAI Nonprofit的持股比例，但若根據近日該公司開放員工出售股票所計算的5,000億美元市值，OpenAI Nonprofit可能擁有2成的PBC股份。</p> <p>至於微軟。微軟是OpenAI早期最重要的股東，<a href="https://microsoft.gcs-web.com/node/33181/html" target="_blank">截至2024年就已投入了130億美元資金</a>，外傳微軟取得了49%的OpenAI股權。其中，130億美元是確定的，但雙方未曾對外確認過股權比例。</p> <p>在2023年5月時，<a href="https://www.ithome.com.tw/news/156634" target="_blank">OpenAI的市值只有270億美元</a>；2025年3月由軟體銀行（SoftBank）主導的新一輪融資中，<a href="https://www.ithome.com.tw/news/168182" target="_blank">市值已攀上3,000億美元</a>；今年8月傳出OpenAI準備同意讓員工出售股票，估值為5,000億美元。</p> <p>在微軟與OpenAI所發出的共同聲明中，表示雙方已針對下一階段的合作夥伴關係簽署了不具約束力的MoU，並正努力確認正式合約裡的各項條款；未來雙方仍將以對安全性的共同承諾為基礎，致力於替所有人提供最優秀的AI工具。</p> <p>正式確認OpenAI Nonprofit與PBC的股權架構，再與最大股東微軟達成協議，都被視為是在清除OpenAI上市之路的障礙，特別是在OpenAI不論是要推動Stargate，或是與甲骨文簽署3,000億美元的AI運算合約之際，都使得OpenAI面臨龐大資金需求，從公開市場募資似乎已成必然方向。</p> </div></div></div>
2025/9/12 13:47作者陳曉莉https://www.ithome.com.tw/news/171153
【資安日報】9月12日，勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Arctic Wolf於2個月前揭露勒索軟體Akira的攻擊行動，如今仍在持續進行，而且，駭客仍然尋找存在已知漏洞CVE-2024-40766的SonicWall防火牆下手，這樣的情況引起本週澳洲網路安全中心（ACSC）、資安業者Rapid7的關注，並提出警告，Rapid7更進一步推測，駭客可能同時搭配組態配置不當的情形。</p> <p>我們上週報導駭客將AI工具用於實際攻擊行動的情況，不過AI工具本身存在的弱點也相當值得留意。本週資安公司Oasis公布AI加持的IDE工具Cursor的調查結果，指出在預設組態下，攻擊者有機會讓惡意程式於開發者電腦自動執行；另一方面，OpenAI也指出大型語言模型頻繁出現幻覺（Hallucination）的現象，與現有的評估機制有關，使得語言模型採取亂猜的策略來作答。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171147"><strong style="font-size: 22px;">勒索軟體Akira利用SonicWall已知重大SSL VPN漏洞入侵受害組織的態勢加劇</strong></a></p> <p>今年7月資安業者Arctic Wolf針對勒索軟體Akira的攻擊行動提出警告，指出駭客鎖定SonicWall防火牆而來，疑似利用SSL VPN零時差漏洞下手而得逞，後續SonicWall著手調查指出，駭客利用的資安弱點，其實是去年8月公布的CVE-2024-40766（CVSS風險值為9.3），但這樣的攻擊態勢，如今有擴大的現象。</p> <p>9月10日澳洲網路安全中心（ACSC）提出警告，他們掌握CVE-2024-40766在當地遭到積極利用的情況，Akira用來對SonicWall的SSL VPN系統下手，而有機會進行未經授權的存取，並在特定情況導致防火牆當機，呼籲用戶應儘速檢查SonicWall設備的使用情況，並根據廠商的公告及指引進行調查與補救。</p> <p>隔天資安業者Rapid7也發布部落格文章警告相關的攻擊態勢，表示在上個月SonicWall發布相關公告之後，他們觀察到針對SonicWall設備的入侵活動出現增加的現象，駭客存取這類設備的Virtual Office Portal網站，意圖重新設置SSL VPN用戶的動態密碼（OTP），以及多因素驗證（MFA）組態。Rapid7指出，在特定的預設配置狀態下，此入口網站可讓任何人透過網際網路直接存取，一旦使用者帳密外流，攻擊者就有機會用來配置OTP及MFA。</p> <p><a href="https://www.ithome.com.tw/news/171137"><strong style="font-size: 22px;">總下載量每週達26億次的多款熱門NPM套件被植入惡意軟體，起因是開發者帳號遭奪取</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/486656474-69fa8552-8e72-4330-84aa-658cc0219747.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/486656474-69fa8552-8e72-4330-84aa-658cc0219747.png" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer的報導，別名qix的套件開發人員Josh Junon遭遇網釣攻擊，導致他維護的NPM套件被植入惡意軟體。由於這些套件每週被下載超過26億次，影響恐怕非常廣泛。</p> <p>事件揭露的原因，在於9月8日有人發現Josh Junon所有熱門套件被植入後門，推測他的NPM帳號被駭，並透過社群網站Blue Sky發出通報。後續Josh Junon證實此事，並表示他收到看起來像是合法的雙因素驗證重設郵件，然後NPM帳號就被駭了，他正設法聯繫NPM試圖取回帳號。後來Josh Junon再度發布貼文說明，表示他無法存取自己的NPM帳號，目前由NPM進行處理。他也公布寄送釣魚信的電子郵件信箱是：support [at] npmjs [dot] help。</p> <p>這起事故NPM協助Josh Junon復原了帳號，並清除非他本人發布的套件。Josh Junon表示，雖然他的帳號和套件似乎已經成功還原，但還有其他套件開發者也受到影響，呼籲大家提高警覺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/panama-ministry-of-economy-discloses-breach-claimed-by-inc-ransomware/">巴拿馬財政部傳出遭遇勒索軟體Inc 攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/asyncrat-exploits-connectwise.html">惡意軟體AsyncRAT透過ScreenConnect竊取帳密資料及挖礦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/attackers-abuse-kubernetes-dns/">Kubernetes的DNS被濫用，駭客以此從ArgoCD截取Git帳密</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-vmscape-attack-breaks-guest-host-isolation-on-amd-intel-cpus/">新型態VMScape攻擊可對AMD、Intel處理器下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/flexispy-spyware/">肯亞電影製作人傳出警方透過間諜軟體FlexiSPY暗中追蹤</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171133"><strong style="font-size: 22px;">AI程式碼編輯器Cursor存在RCE弱點，裝置恐自動執行惡意程式碼</strong></a></p> <p>資安公司Oasis公布對Cursor漏洞研究，指出這款人工智慧程式碼編輯器在Workspace-Trust設定上存在風險，可能讓攻擊者透過惡意儲存庫，在受害者開啟專案資料夾的瞬間，自動執行惡意程式碼而不需任何確認提示。Oasis現在公開此漏洞，並提供完整的技術細節與概念驗證。</p> <p>根據研究人員的說明，Cursor在出廠設定中採用Workspace Trust關閉的預設配置，這意味著專案可以包含隱藏的自動化指令。一旦惡意開發者在儲存庫中放置經過特殊設定的檔案，並設計成在使用者開啟專案資料夾時自動觸發任務，這些指令就會立刻執行，整個過程完全不會經過使用者的授權或提示。這種行為等同於將開啟資料夾轉化為靜默執行程式碼，讓攻擊者能在開發者的使用環境中直接植入惡意操作。</p> <p>這項弱點的嚴重性在於開發環境通常具備高權限與重要憑證，研究人員指出，開發者的筆電往往保存雲端金鑰、個人存取憑證（PAT）、API token與SaaS工作階段，一旦遭到入侵，攻擊不僅能竊取資料或修改檔案，更可能橫向移動至CI/CD管線與雲端環境，進一步取得更廣泛的權限。</p> <p><a href="https://www.ithome.com.tw/news/171052"><strong style="font-size: 22px;">OpenAI發現評測機制獎勵猜測，促使大型語言模型出現幻覺</strong></a></p> <p>OpenAI在最新研究指出，大型語言模型頻繁出現幻覺（Hallucination），主因在於現行評測（Evaluation）與訓練機制設計不當，讓模型在不確定時更傾向猜測而非承認不知道。研究指出，當主流評測榜單只看答對率，模型在不確定時傾向猜測而非承認不知道，最終以更高的自信錯誤（Confident Error）率換取更漂亮的分數。</p> <p>針對這項發現，OpenAI主張，評測應對自信錯誤的回答給予更重的懲罰，並對適當的不確定表達給予部分分數，以矯正模型在不確定時傾向亂猜的行為。</p> <p>這就如同選擇題的答題策略，面對不知道的題目，盲猜仍有機會答對，空白無法得分，如果模型在數千題測試中一律猜測，最終可能比懂得在不確定時收手的模型拿到更高的準確率，卻伴隨更多出錯。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170745"><strong style="font-size: 22px;">TRM Labs推出可即時偵測非法加密貨幣活動的Beacon Network</strong></a></p> <p>區塊鏈情報業者TRM Labs宣布推出Beacon Network，這是個即時的加密貨幣犯罪應對網路，串連了執法機構、加密貨幣交易平臺、支付公司及資安研究人員，可在非法資金被套現或轉為法幣之前就進行攔截。</p> <p>TRM Labs表示，自2023年以來，至少有470億美元的加密貨幣被發送到跟詐欺有關的位址，而這很有可能只是其中一部分，因為大多數被詐欺的受害者不會對外揭露。此外，加密貨幣生態系統在2025年被盜走逾2.3億美元。</p> <p>Beacon Network像是個共享的公共基礎設施，除了TRM Labs之外，它的創始成員還包括Coinbase、Binance、PayPal、Robinhood、Stripe、Kraken、Ripple、Crypto.com及Blockchain.com等數十家業者，全球執法機構也正協助辨識及標記與犯罪行為有關的加密錢包位址，包括ZachXBT、Security Alliance (SEAL)、zeroShadow、Hypernative、Operation Shamrock及CryptoForensics Investigators等資安業者，則負責持續監控及追蹤各種威脅。</p> <p><a href="https://www.ithome.com.tw/news/170730"><strong style="font-size: 22px;">Fastly發現網站AI流量多來自爬蟲，即時擷取卻成最大壓力源</strong></a></p> <p>雲端業者Fastly在2025第二季的Threat Insights報告指出，人工智慧機器人正在改變網站流量結構，雖然人工智慧機器人流量的80％來自爬蟲，不過，真正對基礎設施造成壓力的是來自模型推理階段的即時擷取。即時截取工具在高峰甚至可對同一網站發出每分鐘3.9萬次請求，遠高於最大訓練爬蟲約每分鐘1千次，可能對未加以防護的網站形成類似DDoS的衝擊。</p> <p>根據Fastly的資料，人工智慧爬蟲流量主要由Meta、Google與OpenAI三大業者產生，合計占比高達95％，其中Meta單獨貢獻了52％，Google為23％，OpenAI則約20％。在即時擷取方面，OpenAI的ChatGPT-User與OAI-SearchBot為絕對大宗，合計占即時截取工具流量近98％。</p> <p>以區域來看，北美網站接收的人工智慧流量接近90％屬於爬蟲，歐洲、中東與非洲地區（EMEA）情況則相反，即時截取工具占59％，亞太（APAC）與拉丁美洲以爬蟲為主，但比例相對較低。產業面也呈現分化，教育與媒體娛樂流量以即時截取工具為主，分別為68％與54％，更容易受到即時查詢的高並行影響，相較之下，電商、醫療與公共部門超過90％流量為爬蟲。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171140"><strong>【9月11日】微軟修補近滿分資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171114"><strong>【9月10日】微軟、SAP、Adobe發布9月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171077"><strong>【9月9日】歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙</strong></a></p> </div></div></div>
2025/9/12 12:01作者周峻佑https://www.ithome.com.tw/news/171149
熱門NPM套件開發者遭網釣，每週下載26億次的套件面臨供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期鎖定NPM套件開發者的攻擊行動不所傳出，例如，今年7月<a href="https://www.ithome.com.tw/news/170262">熱門NPM套件eslint-config-prettier傳出被植入木馬程式</a>的情況，起因是套件維護者JounQin遭到網釣，如今又有熱門套件出現類似的供應鏈攻擊。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hackers-hijack-npm-packages-with-2-billion-weekly-downloads-in-supply-chain-attack/">資安新聞網站Bleeping Computer的報導</a>，別名qix的套件開發人員Josh Junon遭遇網釣攻擊，導致他維護的NPM套件被植入惡意軟體。由於這些套件每週被下載超過26億次，影響恐怕非常廣泛。</p> <p>事件揭露的原因，在於9月8日<a href="https://bsky.app/profile/charlieeriksen.bsky.social/post/3lydffcyulc2n">有人發現</a>Josh Junon所有熱門套件被植入後門，推測他的NPM帳號被駭，並透過社群網站Blue Sky發出通報。<a href="https://bsky.app/profile/bad-at-computer.bsky.social/post/3lydioq5swk2y">後續Josh Junon證實此事</a>，並表示他收到看起來像是合法的雙因素驗證重設郵件，然後NPM帳號就被駭了，他正設法聯繫NPM試圖取回帳號。</p> <p>後來Josh Junon<a href="https://bsky.app/profile/bad-at-computer.bsky.social/post/3lydje4zqis2y">再度發布貼文說明</a>，表示他無法存取自己的NPM帳號，目前由NPM進行處理。他也公布寄送釣魚信的電子郵件信箱是：support [at] npmjs [dot] help。</p> <p>這起事故NPM協助Josh Junon復原了帳號，並清除非他本人發布的套件。Josh Junon表示，雖然他的帳號和套件似乎已經成功還原，但還有其他套件開發者也受到影響，呼籲大家提高警覺。</p> <p>Josh Junon提出的警告並非空穴來風，因為有其他開發者也收到類似的釣魚信，<a href="https://github.com/orgs/community/discussions/172738">並公布其內容</a>：對方聲稱收信人最後一次設置雙因素驗證已經是超過一年半的事情，他們正著手要求所有開發者更新相關憑證，並要脅開發者若不處理，繼續使用過程憑證，將會從9月10日開始暫時鎖定，後續有其他開發者也留言表示收到相同的釣魚信。Bleeping Computer針對釣魚信連結的網頁進行分析，指出內含登入表單，會將輸入的帳密資料洩露到特定的URL。針對此事進行調查的資安業者Aikido<a href="https://www.aikido.dev/blog/npm-debug-and-chalk-packages-compromised">也證實這樣的現象</a>，因為他們也偵測到駭客寄釣魚信給其他套件開發者。</p> <p>根據Aikido的統計，Josh Junon總共有18個套件被植入惡意軟體，這些套件每週被下載26億次，影響相當廣泛。一旦使用者不慎安裝，惡意軟體就會將自己注入瀏覽器並監控敏感資料，然後改寫瀏覽器存取目標，以存取攻擊者網站，或是挾持以太幣（Ethereum）、Solana幣等加密貨幣的交易內容。這些被感染的套件如下：</p> <ul> <li>ansi-styles（每週被下載3.71億次）</li> <li>debug（每週被下載3.58億次）</li> <li>chalk（每週被下載3億次）</li> <li>supports-color（每週被下載2.87億次）</li> <li>strip-ansi（每週被下載2.61億次）</li> <li>ansi-regex（每週被下載2.44億次）</li> <li>wrap-ansi（每週被下載1.98億次）</li> <li>color-convert（每週被下載1.94億次）</li> <li>color-name（每週被下載1.92億次）</li> <li>is-arrayish（每週被下載7380萬次）</li> <li>slice-ansi（每週被下載5980萬次）</li> <li>error-ex（每週被下載4717萬次）</li> <li>color-string（每週被下載2748萬次）</li> <li>simple-swizzle（每週被下載2626萬次）</li> <li>supports-hyperlinks（每週被下載1920萬次）</li> <li>has-ansi（每週被下載1210萬次）</li> <li>chalk-template（每週被下載390萬次）</li> <li>backslash（每週被下載26萬次）</li> </ul> </div></div></div>
2025/9/11 17:31作者周峻佑https://www.ithome.com.tw/news/171137
勒索軟體Akita利用SonicWall已知重大SSL VPN漏洞入侵受害組織的態勢加劇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月資安業者Arctic Wolf<a href="https://www.ithome.com.tw/news/170409">針對勒索軟體Akira的攻擊行動提出警告</a>，指出駭客鎖定SonicWall防火牆而來，疑似利用SSL VPN零時差漏洞下手而得逞，後續SonicWall著手調查指出，<a href="https://www.ithome.com.tw/news/170549">駭客利用的資安弱點，其實是去年8月公布的CVE-2024-40766</a>（CVSS風險值為9.3），但這樣的攻擊態勢，如今有擴大的現象。</p> <p>9月10日澳洲網路安全中心（ACSC）提出警告，<a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/ongoing-active-exploitation-of-sonicwall-ssl-vpns-in-australia">他們掌握CVE-2024-40766在當地遭到積極利用的情況</a>，Akira用來對SonicWall的SSL VPN系統下手，而有機會進行未經授權的存取，並在特定情況導致防火牆當機，呼籲用戶應儘速檢查SonicWall設備的使用情況，並根據廠商的公告及指引進行調查與補救。</p> <p>隔天<a href="https://www.rapid7.com/blog/post/dr-akira-ransomware-group-utilizing-sonicwall-devices-for-initial-access/">資安業者Rapid7也發布部落格文章</a>警告相關的攻擊態勢，表示在上個月SonicWall發布相關公告之後，他們觀察到針對SonicWall設備的入侵活動出現增加的現象，駭客存取這類設備的Virtual Office Portal網站，意圖重新設置SSL VPN用戶的動態密碼（OTP），以及多因素驗證（MFA）組態。Rapid7指出，在特定的預設配置狀態下，此入口網站可讓任何人透過網際網路直接存取，一旦使用者帳密外流，攻擊者就有機會用來配置OTP及MFA。</p> <p>他們也提及此廠牌防火牆SSL VPN預設使用者群組的資安風險，並指出在部分組態配置當中，若是管理員以預設LDAP群組的組態設置SSL VPN服務，有可能允許超出合理使用範圍的存取權限。這代表未經授權的用戶，有機會在忽略AD組態的情況下使用SSL VPN服務。Rapid7推測，Akira很有可能藉由這些資安風險取得未經授權的存取管道，並從事勒索軟體活動。</p> </div></div></div>
2025/9/12 10:55作者周峻佑https://www.ithome.com.tw/news/171147
Stability AI推出企業級音訊生成模型Stable Audio 2.5，3分鐘曲目2秒完成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI正式推出音訊生成模型<a href="https://stability.ai/news/stability-ai-introduces-stable-audio-25-the-first-audio-model-built-for-enterprise-sound-production-at-scale">Stable Audio 2.5</a>，其定位為企業級音訊製作場景，在單張GPU的推論時間低於2秒，可生成最長3分鐘的音軌。新版模型強化了音樂結構表現，並新增音訊修補（Audio Inpainting）功能，讓開發者與專業製作團隊能在不同應用場景快速產出高品質、可調整的音訊內容。</p> <p>Stable Audio 2.5以音樂生成為核心改進，生成內容更符合實際編曲邏輯，可形成具前奏、發展與結尾的多段式結構。相較前一版本，模型在理解提示詞的準確度提升，例如針對情緒描述或音樂風格語彙，回應更符合預期。</p> <p>推論速度的提升，主要歸功於開發團隊研發的後訓練方法<a href="https://stability.ai/research/fast-text-to-audio-generation-with-adversarial-post-training">ARC（Adversarial Relativistic-Contrastive）</a>。透過ARC技術，模型能在維持音軌品質的同時，大幅降低GPU推論時間，將3分鐘音軌的生成時間縮短至不到2秒。</p> <p>ARC方法的重點在於利用對抗式訓練加速擴散模型，其結合相對性對抗訓練與對比式判別器，讓生成速度更快且提示遵循度更高。ARC能在極短時間內生成高品質音訊，大幅提升文字轉音訊的實用性。</p> <p>除了既有的文字轉音訊與音訊轉音訊流程，Stable Audio 2.5新增支援音訊修補功能，使用者可輸入自有片段並指定延展位置，模型會依照上下文生成後續聲音，適合在既有素材基礎上延伸或修改。官方條款規定上傳音訊不得包含受版權保護的素材，並透過內容識別系統進行檢測，以確保符合法規。</p> <p>企業對於品牌聲音的需求日益增長，從廣告、遊戲片頭、零售空間音樂到支付提示音，都需要一致且可辨識的音訊素材。Stability AI提供以企業自有聲音庫進行微調的方案，將品牌專屬音色與節奏特徵嵌入生成流程，確保不同通路與專案中的聲音具有連續性與獨特性。</p> <p>Stable Audio 2.5現可直接透過StableAudio.com試用，並支援API整合與合作平臺使用。對於需要嚴格控管資料與合規要求的組織，官方提供企業級授權允許本地部署。</p> </div></div></div>
2025/9/12 08:21作者李建興https://www.ithome.com.tw/news/171139
Gemini加速科學研究程式設計，在多領域展現突破性解法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://research.google/blog/accelerating-scientific-discovery-with-ai-powered-empirical-software/">公開</a>其將人工智慧用於科學研究的最新進展，研究人員發展一套以Gemini為核心的人工智慧科學研究系統，能將研究問題轉化為可計分任務，自動生成並迭代實證軟體（Empirical Software）。此系統不僅能提出新方法，還能透過樹狀搜尋快速篩選最有潛力的解法，讓科學家驗證假說所需的時間從過去的數月大幅縮短到數天甚至數小時。</p> <p>Google表示，該系統在基因體學、公共衛生、遙測影像、神經科學、數學積分以及時間序列預測等6項基準測試中，都展現出專家級的水準。</p> <p>與傳統僅以功能正確為標準的軟體不同，實證軟體的設計目標是最大化特定的品質分數，研究人員需提供問題描述、評分指標，以及用於訓練、驗證和評估的資料，系統則會在此基礎上產生研究構想，並嘗試不同的方法組合並以程式碼重現。整個過程由類似AlphaZero的樹狀搜尋機制引導，決定哪些候選解法值得進一步探索。程式碼執行與評分在沙箱中進行，確保結果能被驗證與重現。</p> <p>在基因體學領域，系統參與了OpenProblems v2.0.0的單細胞RNA定序跨批次整合任務，成功產生40種新方法，最佳方案將ComBat與BBKNN結合，綜合指標較現有最佳方法提升14％。在公共衛生領域，系統針對美國CDC的CovidHub住院數預測，產生14個模型，回溯測試結果優於官方整合模型Ensemble。</p> <p>神經科學方面，團隊在ZAPBench基準上設計出新型時間序列模型，其表現超越現有3D影像推估方法，並以概念驗證示範可與生理神經元模擬器Jaxley結合的混合模型。數學領域測試則聚焦於困難積分的數值計算，系統在19個題目中正確解出17題，其中包括傳統方法失敗的案例。</p> <p>Google已公開論文與互動式網站，供研究人員重現結果或檢視候選解法樹。對科研人員來說，這套系統能將繁瑣的程式碼撰寫與驗證，交由人工智慧自動化處理，自己則能專注於假說設計與研究方向。對熟悉Python與常見深度學習函式庫的開發者而言，這樣的工具等同於一個程式層級的研究引擎，可在短時間內探索大範圍的可能解法，並快速找到具體且可量化的成果。</p> </div></div></div>
2025/9/12 08:25作者李建興https://www.ithome.com.tw/news/171142
AI程式碼編輯器Cursor存在RCE弱點，裝置恐自動執行惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Oasis<a href="https://www.oasis.security/blog/cursor-security-flaw">公布</a>一項Cursor漏洞研究，指出這款人工智慧程式碼編輯器在Workspace-Trust設定上存在風險，可能讓攻擊者透過惡意儲存庫，在受害者開啟專案資料夾的瞬間，自動執行惡意程式碼而不需任何確認提示。Oasis現在公開此漏洞，並提供完整的技術細節與概念驗證。</p> <p>根據研究人員的說明，Cursor在出廠設定中採用Workspace Trust關閉的預設配置，這意味著專案可以包含隱藏的自動化指令。一旦惡意開發者在儲存庫中放置經過特殊設定的檔案，並設計成在使用者開啟專案資料夾時自動觸發任務，這些指令就會立刻執行，整個過程完全不會經過使用者的授權或提示。這種行為等同於將開啟資料夾轉化為靜默執行程式碼，讓攻擊者能在開發者的使用環境中直接植入惡意操作。</p> <p>這項弱點的嚴重性在於開發環境通常具備高權限與重要憑證，研究人員指出，開發者的筆電往往保存雲端金鑰、個人存取憑證（PAT）、API token與SaaS工作階段，一旦遭到入侵，攻擊不僅能竊取資料或修改檔案，更可能橫向移動至CI/CD管線與雲端環境，進一步取得更廣泛的權限。</p> <p>就受影響範圍而言，Cursor使用者在預設情況下均存在風險。相較之下，VS Code因為Workspace Trust預設開啟，會在執行自動任務前向提示使用者確認，在使用者未明確授權前，這類自動執行任務不會啟動，因此風險較低。Cursor方面則表示，使用者可手動啟用Workspace Trust功能，並承諾將在近期更新安全指引。</p> <p>Oasis Security建議開發團隊立即採取幾項資安防護措施，以降低因Cursor預設設定可能帶來的風險。首先，應啟用Workspace Trust，並要求每次開啟專案時顯示信任提示，避免程式碼在未經確認的情況下自動執行。其次，建議在設定中停用自動化任務功能，防止不明任務自動執行。</p> <p>對於來源不明的程式碼儲存庫，則可選擇僅用檢視模式的編輯器，或在隔離的容器及虛擬機環境開啟，以減少潛在風險。此外，開發者也應定期檢查專案是否存在會在開啟資料夾時，自動啟動的任務設定，並持續監控開啟專案後是否出現IDE啟動的殼層或命令列程序，異常的對外連線行為，以便儘早發現可疑活動。</p> </div></div></div>
2025/9/12 08:18作者李建興https://www.ithome.com.tw/news/171133
【資安週報】0901~0905，已棄用的輸入法軟體更新伺服器遭挾持，駭客用於對臺發動目標式攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年9月第一星期資安新聞，臺灣的資安防護動向有多項消息值得關注，包括《資通安全管理法》的修法正式三讀通過，以及資安署揭示新的策略。</p> <p>（一）我國《資安法》修法有新進展，自2024年7月行政院將修正草案送交立法院通過一讀，2025年8月29日，立法院三讀通過資通安全管理法修正條文，</p> <p>（二）在今年數位政府高峰會上，資安署長蔡福隆揭示我國最新資通安全發展，強調政府應減少繁瑣資安應辦事項要求、加強技術處理能力，並希望從2026年起推動分級稽核，第1級檢測執行EASM外部曝險檢測，第2級是內部檢測及AI場外稽核，第3級是技術檢測及實地稽核。</p> <p>最近我們也發布封面故事，揭露iThome 2025企業資安大調查的結果，呈現國內企業組織資安防護現況。今年有幾項重要發現，例如，有高達6成企業將老舊系統的更新，視為推動資安往成熟發展的挑戰，還有今年資安預算平均金額突破2千萬創新高，而且占IT預算比例快要接近1成，顯現企業對資安投入是持續提升。</p> <p>在資安威脅焦點方面，有兩起重大事件引發大家關注：</p> <p>●搜狗注音輸入法早在2019年停止維護，趨勢科技發現有攻擊者挾持更新伺服器並註冊網域，對臺灣用戶散布多種惡意軟體，目的是網路間諜活動，趨勢科技呼籲用戶務必認知：該輸入法的更新機制現已被駭客全面接管。</p> <p>●Salesloft Drift串聯Salesforce的OAuth權杖被竊事件擴大，這樣的供應鏈攻擊情形，已有受害者浮上檯面，包括資安業者Zscaler、Palo Alto Networks，Cloudflare都發出公告，受害規模恐再擴大。另一方面，Salesloft Drift供應鏈攻擊事故的影響範圍，並非只有整合Salesforce的用戶，有部分用於整合Google Workspace的企業，也遭到波及。</p> <p>此外，國家級駭客的攻擊行動也相當值得留意，包括俄羅斯駭客APT28鎖定收信軟體Outlook部署後門、APT29發動水坑式攻擊竊取微軟帳號，以及北韓駭客Lazarus散布多款RAT木馬、APT37對國防情資研究機構下手的事故。</p> <p>值得留意的是，本週針對汽車產業的網路攻擊有兩起，分別是塔塔旗下的英國車廠Jaguar Land Rover（JLR），以及輪胎大廠普利司通的北美分公司傳出受害，導致兩家公司皆傳出生產受到影響的現象。</p> <p>●英國車廠Jaguar Land Rover發布公告表示遭遇資安事故，為控制事故影響範圍，該公司關閉部分系統因應，但這也導致他們的生產及零售面臨中斷。</p> <p>●普利司通北美分公司（Bridgestone Americas，BSA）遭遇網路攻擊，美國喬治亞州、加拿大魁北克省媒體報導指出，該公司當地工廠出現暫停營運的現象，但實際影響的規模及範圍，有待進一步釐清。</p> <p>一般來說，網釣攻擊當中駭客最常以電子郵件接觸受害者，但如今有新的手法出現，那就是假冒合作廠商，填寫企業網站的「聯絡我們」表單，讓受害企業對攻擊者寄送電子郵件，以利相關往來郵件不被資安系統攔截。</p> <p>將AI用於網路犯罪，過往最常見的手法是利用AI機器人製作釣魚信、釣魚網站，或是產生程式碼，但如今出現駭客直接將AI滲透測試自動化平臺HexStrike-AI用於實際攻擊，找出利用弱點的方法，以及掃描、尋找下手目標。此外，AI業者Anthropic近期發布的威脅情報調查報告也提及，他們發現有人將人工智慧代理置入攻擊鏈，從事Vibe Hacking活動，利用Claude Code的終端環境自動化偵察、憑證蒐集、網路滲透與橫向移動，對目標企業展開資料勒索。</p> <p>●AI滲透測試自動化平臺HexStrike-AI正式推出後不久就出現遭濫用的情況，駭客快速將Citrix NetScaler零時差漏洞CVE-2025-7775用於實際攻擊，並在受害設備植入Web Shell。</p> <p>●AI業者Anthropic發布8月份人工智慧威脅情報，警告駭客已將AI用於實際攻擊行動，其中一種是把Claude Code用於Vibe Hacking活動，竊取受害企業組織資料並進行勒索，而且，相關活動以自動化的方式進行。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/170931"><strong style="font-size: 22px;">【9月1日】已棄用的輸入法更新伺服器被用於攻擊特定臺灣用戶</strong></a></p> <p>在軟體供應鏈攻擊當中，駭客鎖定NPM、PyPI套件，以及Visual Studio Code（VS Code）延伸套件使用者發動攻擊的手法，有一種是使用已下架的套件名稱，藉由註冊相關名稱及網域，對原本的使用者發動攻擊，為此近期PyPI軟體基金會（PSF）祭出新的措施，他們將每天追蹤網域名稱的使用情況，封鎖無效網域名稱有關帳號，但如今有人將這樣的伎倆，用於已終止維護的應用程式上，對仍在使用該軟體的使用者發動攻擊。</p> <p>近期趨勢科技揭露針對臺灣使用者的攻擊行動Taoth，就是這種型態的例子，駭客鎖定於2019年停止維護的搜狗注音輸入法（Sogou Zhuyin IME），挾持更新伺服器並註冊網域，用來散布惡意程式。值得留意的是，這款輸入法在臺灣的知名度有限，再加上使用者多半都有自己偏好的輸入法，不會輕易更換，顯然這起攻擊行動相當有針對性。</p> <p><a href="https://www.ithome.com.tw/news/170956"><strong style="font-size: 22px;">【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> <p>駭客接觸企業組織最常見的管道，莫過於電子郵件，但如今有人使用相當不尋常的做法引起資安業者的注意，因為這些駭客先是填寫企業網站上的「聯絡我們」表單，讓企業寄送電子郵件進行後續的溝通，使得相關電子郵件難以被視為有害，然後待機會成熟，駭客才發動第二波網釣，寄送惡意程式。</p> <p>但在網釣手法的變化之外，駭客之間的結盟方式也出現新的做法，最近有專門鎖定亞太地區及中亞國家政府機關的駭客組織，但特別的是，這組人馬同時有使用簡體中文和俄文的駭客，這樣的情況並不常見。</p> <p><a href="https://www.ithome.com.tw/news/170992"><strong style="font-size: 22px;">【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> <p>8月下旬傳出的Salesloft Drift供應鏈攻擊事故，先是介入調查的Mandiant透露影響範圍不光與之串連的Salesforce，接著有多家資安業者表明他們的雲端CRM系統資料外洩，本週Cloudflare、Palo Alto Networks發布聲明證實此事，並透露影響的範圍，強調不影響自家產品、系統，以及服務。</p> <p>另一個受到全球關注的事故，是最近一個星期傳聞影響25億Gmail用戶的嚴重漏洞，許多科技網站、金融新聞網站紛紛呼籲用戶，要儘速更換密碼因應。對此，Google發布簡短說明，表示上述的說法並不正確。</p> <p><a href="https://www.ithome.com.tw/news/171008"><strong style="font-size: 22px;">【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> <p>今天的資安新聞主要與人工智慧有關，其中最受到關注的部分，是資安業者Check Point揭露駭客濫用滲透測試自動化平臺HexStrike-AI的情況，由於這款工具發布不久就被用於將漏洞打造成武器，並用於實際攻擊行動，這樣的現象相當值得留意，因為駭客可藉由這類工具大幅縮短準備時間，也能藉由自動化大規模掃描，廣泛尋找下手目標。</p> <p>另一項消息是涉及大型語言模型（LLM）不設防的現象，思科透過物聯網搜尋引擎發現，全球有超過1千臺Ollama伺服器曝露在網際網路上，可公開存取，其中有近2成模型可在無須通過身分驗證的情況下，回應請求並執行模型推論，而形成可被濫用的攻擊面。</p> <p><a href="https://www.ithome.com.tw/news/171021"><strong style="font-size: 22px;">【9月5日】大規模DDoS攻擊流量達到11.5 Tbps，再創新高</strong></a></p> <p>大規模分散式阻斷服務（DDoS）攻擊事故本週再度出現在新聞版面而受到關注，但本週資安業者Cloudflare揭露的事故相當特別，因為不只是流量再度增加，從5月的7.3 Tbps增加至11.5 Tbps，更值得留意的是，流量來源的判定可能也變得更加困難，因為，該公司一開始認為主要來自Google的雲端環境，後續才改口表示，實際上來自多家雲端供應商及物聯網裝置。</p> <p>在癱瘓網站運作的事故之外，國家級APT駭客的攻擊活動也是需要加以防範的對象，例如：俄羅斯駭客APT28在收信軟體Outlook部署後門程式NotDoor、北韓駭客Lazarus鎖定金融與加密貨幣產業的攻擊行動，還有中國駭客Silver Fox發動自帶驅動程式攻擊（BYOVD）的現象，都需要用戶提高警覺。</p> </div></div></div>
2025/9/11 21:01作者周峻佑https://www.ithome.com.tw/news/171141
【資安日報】9月11日，微軟修補近滿分資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在發布每月例行更新（Patch Tuesday）之前，微軟往往還會修補不少資安漏洞，這些漏洞有許多出現在該公司的雲端服務，但並未被列在每月例行更新的資安公告，然而有些資安漏洞相當嚴重，還是引起資安業者提出警告，以這個月而言，就有一個出現在Azure Networking的權限提升漏洞，風險值達到10分滿分，使得資安業者Rapid7特別提出警告，並指出用戶可能在遷移雲端資產的過程會需要特別留意。</p> <p>本週消費性電子設備最受到關注的新品，莫過於蘋果新一代iPhone的發表，在相關的功能改進，以及機型規格的調整之餘，他們也透露這次導入記憶體防護強化機制Memory Integrity Enforcement，目的是對抗日益猖獗的間諜軟體攻擊。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171132"><strong style="font-size: 22px;">中美貿易談判前夕傳出APT41試圖探聽敵情，假冒美國議員從事網釣攻擊</strong></a></p> <p>今年美國與中國對於關稅問題先後在日內瓦、倫敦、斯德哥爾摩進行多次談判，如今傳出在第3次談判的前夕，中國疑似藉由APT駭客監視相關人士，企圖掌握美國政府政策制訂環節當中的敏感資訊。</p> <p>資安新聞網站SecurityWeek引述華爾街日報的報導指出，美國和中國即將於瑞典舉行會議的前幾天，傳出美國政府機關、律師事務所、與貿易有關的團體收到冒名美國眾議員寄送的電子郵件，要求收信人對於中國制裁的草案提供意見，然而實際上若是收信人依照指示開啟附件，電腦就有可能被植入間諜軟體。</p> <p>這封有問題的電子郵件假冒美國眾議員John Moolenaar寄送，但因為寄件人的電子郵件信箱並非美國政府所有，而被察覺有異。駭客挾帶了看似立法草案的資料，但實際上內含惡意軟體，經分析與中國駭客APT41有關。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ddos-defender-targeted-in-15-bpps-denial-of-service-attack/">物聯網裝置、MikroTik路由器遭綁架，發動1.5 Bpps大規模DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/jaguar-land-rover-jlr-confirms-data-theft-after-recent-cyberattack/">針對近期的資安事故，英國車廠Jaguar Land Rover證實部分資料外洩</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/chillyhell-macos-backdoor-and-zynorrat.html">RAT木馬ZynorRAT、後門程式ChillyHell鎖定Windows、Linux、macOS電腦而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/buterat-backdoor-malware-enterprise-govt-networks/">後門程式Buterat在企業組織及政府網路環境流竄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182063/cyber-crime/killsec-ransomware-is-attacking-healthcare-institutions-in-brazil.html">勒索軟體Killsec攻擊巴西醫療保健機構</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171128"><strong style="font-size: 22px;">微軟修補近乎滿分的權限提升、遠端程式碼執行漏洞</strong></a></p> <p>微軟在9月例行更新（Patch Tuesday）當中，一共公布及修補86個資安漏洞，其中包含81個新登記CVE編號的漏洞，以及5個出現在微軟產品採用的第三方元件漏洞。長期分析微軟每月例行更新的資安業者Rapid7在本次對於9月例行更新的觀察當中指出，這次其實微軟總共修補了176個漏洞，其中很大一部分，與雲端服務有關，其中最危險的資安漏洞，更達到CVSS評分10分的危險程度。</p> <p>這項風險值滿分的資安漏洞是CVE-2025-54914，出現在Azure Networking，可被用於權限提升，為存取控制不當的弱點（CWE-284），並指出該漏洞CVSS評分達到10分，相當危險。微軟強調，使用者無須採用行動，他們記錄這個漏洞的主要目的，就是提供後續追蹤的透明度。</p> <p>從CVSS評分來看，另一個接近滿分的資安漏洞CVE-2025-55232，也相當值得留意。此為遠端程式碼執行（RCE）漏洞，出現在Azure高效能運算（High Performance Compute，HPC）套件，CVSS風險評為9.8。此為不受信任資料的反序列化處理過程出現，未經驗證的攻擊者可透過網路環境執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/171081"><strong style="font-size: 22px;">TP-Link路由器曝CWMP漏洞，影響Archer AX10與AX1500機型</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1PmsiX2D32sH52f-8KHJaRA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1PmsiX2D32sH52f-8KHJaRA.png" style="width: 300px; float: right;" /></a></p> <p>資安公司ByteRay技術長Mehrun Parchebafieh發文揭露，TP-Link在其路由器的CWMP/TR-069通訊協定實作當中，存在堆疊式緩衝區溢位漏洞CVE-2025-9961，影響包括Archer AX10與AX1500等機型。研究人員透過自動化汙點分析工具發現漏洞，於5月11日通報TP-Link，並在9月1日公開漏洞細節，而TP-Link則趕緊在9月5日釋出完整修補程式。</p> <p>該漏洞問題出在路由器處理CWMP的SetParameterValues訊息時，相關函式直接將使用者輸入的長度參數套用至strncpy函式，卻僅配置3,072位元組的堆疊緩衝區，且缺乏邊界檢查。研究人員使用GenieACS伺服器發送惡意SOAP負載驗證漏洞，超過4,096位元組的輸入即可造成服務崩潰，而約3,112位元組的資料則足以覆寫程式計數器，證明攻擊者能夠控制執行流程。</p> <p>實際受影響的裝置包含Archer AX10多個硬體版本與對應韌體版本，AX1500因共用相同的CWMP執行檔也受到影響。研究者以FOFA搜尋引擎檢索，有超過4,200個對外公開的IP位址疑似曝險。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.chtsecurity.com/news/e1e4bf10-f351-43e8-b61a-89f969c9dfad"><strong style="font-size: 22px;">中華資安正式掛牌上市，成首家上市資安服務業者</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1757304182445.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1757304182445.jpeg" style="width: 300px; float: right;" /></a></p> <p>9月8日資安服務業者中華資安以每股238元的價格正式掛牌，股票代號為7765，成為國內第一家上市的資安業者，董長陳明仕帶領經營團隊出席上市掛牌典禮。根據他們8月13日上市前業績發表會公布的資料，今年上半營收為新臺幣9.8億元，年增14%，稅後每股盈餘達6.01元，年增12%。</p> <p>回顧過去，聚焦資安服務的臺灣廠商上市櫃的情況如何？全國第一家上櫃的資安業者是安碁資訊，該公司在2019年通過櫃買中心上櫃董事會審議，為首家以資安服務代管業者（Managed Security Service Provider，MSSP）上櫃的資安公司。</p> <p><a href="https://www.ithome.com.tw/news/171131"><strong style="font-size: 22px;">iPhone 17系列搭載全新MIE，預設啟用更強健的記憶體安全防護</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/small_advanced-memory-integrity-dark.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/small_advanced-memory-integrity-dark.png" style="width: 300px; float: right;" /></a></p> <p>蘋果透露在近日發表的智慧型手機iPhone 17系列與iPhone Air當中，導入了記憶體完整性強制保護機制（Memory Integrity Enforcement，MIE），MIE結合處理器A19與A19 Pro的硬體能力與作業系統安全設計，作為全時預設的記憶體安全防護，覆蓋關鍵攻擊面，包括系統核心與超過70個使用者空間程序（Userland Processes），目標是降低記憶體破壞漏洞被利用的可能性，特別是緩衝區溢位與釋放後使用（Use-after-free）。該公司號稱，此為消費型作業系統歷來最重大的記憶體安全升級。</p> <p>MIE的基礎來自蘋果近年推行的型別安全分配器（Allocator），包括核心的kalloc_type、使用者層的xzone malloc，以及WebKit的libpas。這些分配器會依照型別資訊決定記憶體配置方式，降低攻擊者藉由精準控制配置位置，來製造漏洞利用的機會。不過，分配器在頁面層級能提供的保護仍有限，因此該公司進一步引入Enhanced Memory Tagging Extension（EMTE），透過標籤檢查將防護細緻到單一配置的層次。</p> <p><a href="https://www.ithome.com.tw/news/171067"><strong style="font-size: 22px;">Signal安卓版安全備份功能進入測試階段，支援加密與付費擴充</strong></a></p> <p>隱私傳訊軟體Signal在安卓測試版推出安全備份（Secure Backups）功能，讓使用者能在手機遺失或損毀時保留訊息紀錄。該功能採自願啟用與端對端加密，會以每日自動更新的方式建立備份檔。</p> <p>免費方案可備份最近45天的媒體以及上限100 MiB的訊息本文，選擇每月1.99美元的付費訂閱，則可備份超過45天的媒體歷史，且備份容量上限為100 GB。官方表示，這是Signal第一次引入收費機制，理由在於媒體檔案儲存與傳輸成本高昂，作為不依賴廣告與資料變現的非營利組織，Signal必須以不同的方式分攤支出。</p> <p>目前安全備份僅限安卓測試版的使用者，後續將逐步開放至iOS與電腦版。啟用功能後，系統每天會自動生成新的加密備份，並覆蓋前一日版本，只有持有復原金鑰的使用者本人能解密，訊息還原時將排除單次檢視訊息，與未來24小時內即將消失的訊息。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171114"><strong>【9月10日】微軟、SAP、Adobe發布9月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171077"><strong>【9月9日】歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171054"><strong>【9月8日】Salesloft揭露供應鏈攻擊事故發生的源頭</strong></a></p> </div></div></div>
2025/9/11 18:09作者周峻佑https://www.ithome.com.tw/news/171140
中美貿易談判前夕傳出APT41試圖探聽敵情，假冒美國議員從事網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年美國與中國對於關稅問題先後在日內瓦、倫敦、斯德哥爾摩進行多次談判，如今傳出在第3次談判的前夕，<a href="https://www.securityweek.com/chinese-spies-impersonated-us-lawmaker-to-deliver-malware-to-trade-groups-report/">中國疑似藉由APT駭客監視相關人士</a>，企圖掌握美國政府政策制訂環節當中的敏感資訊。</p> <p>資安新聞網站SecurityWeek引述華爾街日報的報導指出，美國和中國即將於瑞典舉行會議的前幾天，傳出美國政府機關、律師事務所、與貿易有關的團體收到冒名美國眾議員寄送的電子郵件，要求收信人對於中國制裁的草案提供意見，然而實際上若是收信人依照指示開啟附件，電腦就有可能被植入間諜軟體。</p> <p>這封有問題的電子郵件假冒美國眾議員John Moolenaar寄送，這名眾議員是美國眾議院美國與中國共產黨戰略競爭特設委員會（United States House Select Committee on Strategic Competition between the United States and the Chinese Communist Party）主席，因此駭客以他的名義向上述團體寄送電子郵件，但因為寄件人的電子郵件信箱並非美國政府所有，而被察覺有異。駭客挾帶了看似立法草案的資料，但實際上內含惡意軟體，經分析與中國駭客APT41有關。</p> <p>目前傳出Google旗下的資安業者Mandiant已介入調查此事，並發現此惡意軟體能讓駭客建立受害組織的存取管道。究竟有多少企業組織受害，仍不得而知。</p> <p>值得留意的是，有人冒充美國政治人物，意圖收集美國政府的情報，已非首例。今年7月傳出<a href="https://www.ithome.com.tw/news/169958">有人冒充國務卿盧比奧（Marco Rubio）</a>，運用AI技術文字訊息及Signal語音郵件，至少試圖接觸了5名官員。</p> </div></div></div>
2025/9/11 16:12作者周峻佑https://www.ithome.com.tw/news/171132
iPhone 17系列搭載全新MIE，預設啟用更強健的記憶體安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在新推出的iPhone 17系列與iPhone Air<a href="https://security.apple.com/blog/memory-integrity-enforcement/">導入MIE（Memory Integrity Enforcement）</a>，MIE結合A19與A19 Pro的硬體能力與作業系統安全設計，作為全時預設的記憶體安全防護，覆蓋關鍵攻擊面，包括系統核心與超過70個使用者空間程序（Userland Processes），目標是降低記憶體破壞漏洞被利用的可能性，特別是緩衝區溢位與釋放後使用（Use-after-free）。Apple稱其為消費型作業系統歷來最重大的記憶體安全升級。</p> <p>MIE的基礎來自Apple近年推行的型別安全分配器（Allocator），包括核心的kalloc_type、使用者層的xzone malloc，以及WebKit的libpas。這些分配器會依照型別資訊決定記憶體配置方式，降低攻擊者藉由精準控制配置位置，來製造漏洞利用的機會。不過，分配器在頁面層級能提供的保護仍有限，因此Apple進一步引入Enhanced Memory Tagging Extension(EMTE)，透過標籤檢查將防護細緻到單一配置的層次。</p> <p>EMTE以同步模式運作，確保每次記憶體存取都會立即進行標籤驗證，當存取跨越到不同標籤的區塊，硬體會阻擋並由作業系統終止程序。記憶體被釋放並重新配置時，系統會重新指派標籤，任何以舊標籤進行的存取都會被阻止，減少釋放後使用的利用可能性。另針對未標籤的記憶體，例如全域變數，Apple規定從已標籤的區域去存取未標籤記憶體時，必須知道該區域的標籤，避免藉此繞過檢查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Capture%20202%20-%20Memory%20Integrity%20Enforcement_%20A%20complete%20vision%20for%20memory%20safety%20in%20Apple%20d_%20-%20%5Bsecurity_apple_com%5D.jpg" style="width: 580px;" /></p> <p>為了避免記憶體標籤資訊被旁路攻擊或CPU推測執行洩漏，Apple設計了名為標籤機密防護（Tag Confidentiality Enforcement）的機制，透過搭配安全分頁表監控（Secure Page Table Monitor），將標籤與配置的底層資料與應用程式隔離，即使系統核心遭入侵，標籤仍受保護。同時，系統會頻繁為選取標籤的偽隨機產生器更新隨機種子，降低被攻擊者猜中的可能性。針對Spectre V1這類漏洞，也提供幾乎零額外CPU成本的緩解措施。</p> <p>在硬體實現上，A19與A19 Pro專為MIE預留更多CPU面積、時脈資源，以及標籤儲存用記憶體，讓同步檢查能全時啟用而不影響效能。Apple的部署策略是先由型別分配器在頁面層級提供防護，再由EMTE補足較小配置的檢查需求，將效能成本降到最低。</p> <p>此設計延續自A12晶片導入PAC（Pointer Authentication Codes）以來，將安全功能緊密結合軟硬體的方向。相較於他平臺多將MTE視為偵錯用途，MIE將其轉化為系統級且預設啟用的防禦機制，Apple並強調，MIE能在攻擊鏈的早期階段就切斷可行性，使許多傳統的漏洞利用路徑難以維繫，讓攻擊者難以透過替換漏洞來重建攻擊鏈。</p> <p>Xcode已提供Enhanced Security設定，允許在支援EMTE的硬體上進行測試，協助驗證應用程式是否能在這種環境下穩定運作，而對於尚未支援EMTE的既有裝置，型別分配器等既有強化機制仍可提供保護。</p> </div></div></div>
2025/9/11 16:56作者李建興https://www.ithome.com.tw/news/171131
微軟修補近乎滿分的權限提升、遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在9月例行更新（Patch Tuesday）當中，<a href="https://www.ithome.com.tw/news/171095">一共公布及修補86個資安漏洞</a>，其中包含81個新登記CVE編號的漏洞，以及5個出現在微軟產品採用的第三方元件漏洞。<a href="https://www.rapid7.com/blog/post/em-patch-tuesday-september-2025/">長期分析微軟每月例行更新的資安業者Rapid7在本次對於9月例行更新的觀察當中指出</a>，這次其實微軟總共修補了176個漏洞，其中很大一部分，與雲端服務當中採用的Azure Linux、CBL-Mariner有關，主要出現在開源軟體元件，而並未列於例行更新的的資安更新指引（Security Update Guide，SUG）。最危險的資安漏洞，更達到CVSS評分10分的危險程度。</p> <p>這項風險值滿分的資安漏洞是<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-54914">CVE-2025-54914</a>，出現在Azure Networking，可被用於權限提升，為存取控制不當的弱點（CWE-284），並指出該漏洞CVSS評分達到10分，相當危險。微軟強調，使用者無須採用行動，他們記錄這個漏洞的主要目的，就是提供後續追蹤的透明度。</p> <p>上述公告的內容當中，微軟對漏洞的說明相當有限，難以從內容得知這項漏洞的危險之處。Rapid7認為，他們也無從根據公告掌握漏洞的性質，但微軟提及是由內部研究人員發現，這代表目前外界可能無人掌握相關細節，尚未有人可將其用於實際攻擊，暫時不必擔心。不過，微軟僅有提及此漏洞影響Azure Networking，很有可能在用戶的雲端資產需要進行通訊的時候要特別留意。</p> <p>從CVSS評分來看，另一個接近滿分的資安漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-55232">CVE-2025-55232</a>，也相當值得留意。此為遠端程式碼執行（RCE）漏洞，出現在Azure高效能運算（High Performance Compute，HPC）套件，CVSS風險評為9.8。此為不受信任資料的反序列化處理過程出現，未經驗證的攻擊者可透過網路環境執行任意程式碼。</p> <p>值得一提的是，微軟不光發布更新軟體，還要求用戶確保HPC Pack在受信任的網路環境運作，特別是防火牆的規則當中，要對TCP連接埠5999埠進行適當管制，此為HpcScheduler預設連接埠，用於協調HPC作業、資源管理，以及叢集通訊。</p> </div></div></div>
2025/9/11 12:46作者周峻佑https://www.ithome.com.tw/news/171128
Reddit、Yahoo與Medium攜手推動AI時代的RSL內容授權標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Reddit、People Inc.、Yahoo及Medium等網路出版及科技業者，<a href="https://rslstandard.org/press/rsl-standard" target="_blank">周三（9/10）共同宣布支援全新的Really Simple Licensing（RSL）標準</a>，並成立非營利的RSL Collective權利組織，目的在於標準化AI優先網路的內容權利及授權，保護人類線上創造力的價值。</p> <p>RSL是由Really Simple Syndication（RSS）共同作者Eckart Walther所發起的全新開放標準，專門用來解決AI公司無償抓取網路內容進行訓練的問題。它允許出版商可於robots.txt檔案中添加機器可讀的授權及版稅條款，指示AI應用與代理人必須補償所使用的內容。</p> <p>因此，RSL支援許多的授權、使用及版稅模式，包括免費、歸因、訂閱、按爬梳付費，或是按推理付費，而且任何網路上的出版商都能立即使用RSL標準，來定義其內容的授權及補償條款。</p> <p>而RSL Collective則是個集體權利組織，將代表出版社及創作者，與AI公司協商統一的授權及報酬條款，提供授權及分潤基礎設施，透過RSL協定來自動化內容授權流程，同時協助執法及維權。</p> <p>市場分析認為，大型媒體早就與OpenAI等AI業者私下簽署授權協議，而RSL Collective可望協助中小型出版商降低談判成本，然而，RSL本身無法封鎖AI爬蟲，在AI公司尚未加入或承諾前，只是種象徵性規範。</p> </div></div></div>
2025/9/11 15:11作者陳曉莉https://www.ithome.com.tw/news/171130
Amazon Zoox在拉斯維加斯推出無人計程車免費試乘服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在2020年以12億美元買下的自駕車新創業者<a href="https://zoox.com/journal/las-vegas" target="_blank">Zoox周三（9/10）宣布</a>，已於拉斯維加斯大道（Las Vegas Strip）及周邊啟動無人計程車服務，Android及iOS用戶下載Zoox程式後，就能叫車，而且在取得必要的監管許可之後，才會開始收費，意謂著現在是免費的試乘期間。</p> <p>Zoox無人駕駛計程車的外觀有點像麵包車，它的車身長度為3.63米，內部的設計是4個面對面的座椅，標榜是替乘客而非駕駛所設計的汽車，它具備四輪傳動與雙向駕駛功能，於是能在狹小的空間中改變行駛方向，而不必倒車，最快時速可達120公里（75英里）。</p> <p>目前在拉斯維加斯的試乘採用定點服務，僅行駛於Resorts World Las Vegas、AREA15、Topgolf、New York-New York及Luxor等飯店或娛樂景點之間，Zoox並未公布上路的車隊規模，僅說未來會陸續擴充行駛據點。</p> <p>為了協助乘客辨識所要搭乘的Zoox計程車，將會在行動程式中顯示車牌號碼，也會提供預計的接送時間、到達時間，並鼓勵乘客輸入意見，或是在搭乘期間按下計程車上的Help按鍵以與客服團隊交流。</p> <p>Zoox下一個試乘地點將會是舊金山，預計會在幾個月內部署，已開放用戶加入等候名單。</p> <p>迄今美國已展開測試的無人駕駛計程車服務還有Waymo與特斯拉（Tesla），<a href="https://www.ithome.com.tw/news/164599" target="_blank">前者規模最大，已在鳳凰城及舊金山等地載客收費</a>，<a href="https://www.ithome.com.tw/news/169692" target="_blank">特斯拉的Robotaxi</a>則是在德州奧斯汀（Austin）測試中。</p> </div></div></div>
2025/9/11 13:53作者陳曉莉https://www.ithome.com.tw/news/171129
Visual Studio 2026 Insiders開放下載，AI深度融入開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2026-insiders-is-here/">Visual Studio 2026 Insiders</a>，開發者可透過此版本提前體驗微軟新一代整合式開發環境（IDE）主要特點集中在人工智慧輔助開發、效能最佳化，以及更簡潔的介面設計。相較於以往的Preview通道，微軟本次改以全新的Insiders通道提供更新。</p> <p>Visual Studio 2026最大的變化在於人工智慧不再只是外掛工具，而是直接嵌入IDE的操作脈絡，當開發者面對陌生程式碼或新的專案時，IDE能協助快速理解結構，並根據儲存庫慣例生成測試建議，貼上程式碼片段後，編輯器也會自動調整格式與風格，使其符合既有專案的規範。</p> <p>效能調校方面，Profiler Agent可提供追蹤與基準測試驗證，讓建議不只是推測，而是有實測資料支持。程式碼審查則能在本機先分析正確性、效能與安全性，協助工程師在提交前就掌握關鍵資訊。整體設計仍保留決策權在開發者手中，人工智慧處理繁瑣工作，讓人力專注在架構與判斷。</p> <p>Visual Studio 2026著重在縮短最常使用的開發迴圈。從開啟大型解決方案、跨檔案導覽，到完整建置與按下F5啟動偵錯，整體速度都有明顯改善，特別是在大型程式碼庫與分支切換的情境，流暢度提升帶來更好的開發體驗。官方指出，這些改進同樣適用於x64與Arm64架構，讓硬體效能更直接反映在開發速度上。</p> <p>Visual Studio 2026導入新版Fluent UI設計，線條、圖示與間距經過改進，讓介面更加簡潔、現代，減少視覺干擾。擴充功能管理變得更直觀，並新增11種色系布景主題，讓開發環境更具個人化，兼顧長時間使用的舒適度與專案壓力下的專注需求。</p> <p>Visual Studio 2026 Insiders可與既有版本並存安裝，使用Visual Studio 2022的使用者可匯入元件與設定，快速展開工作。</p> </div></div></div>
2025/9/11 12:24作者李建興https://www.ithome.com.tw/news/171121
BNPL業者Klarna登上紐約股市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創立於瑞典、近年來主打「先買後付」（Buy Now Pay Later，BNPL）服務的金融科技業者Klarna周三（9/10）以KLAR為代號，<a href="https://www.klarna.com/international/press/klarna-lists-on-the-new-york-stock-exchange/" target="_blank">登上了美國紐約股市（NYSE）</a>。Klarna每股發行價為40美元，上市當天上漲14.55%，以45.82美元作收。</p> <p>Klarna成立於2005年，主要營收為交易手續費，進駐全球26個市場，與79萬個商家合作，有1.1億名的活躍消費者。根據該公司提交給美國證券交易委員會（SEC）的文件，其2022、2023及2024年的營收分別為19億美元、22.8億美元及28.1億美元，2022與2023年分別虧損了10.4億美元及3億美元，但2024年出現了3,300萬美元的獲利。</p> <p>在BNPL風潮於2021年席捲全球時，Klarna的市值一度高達456億美元，但<a href="https://www.ithome.com.tw/news/151890" target="_blank">2022年只剩67億美元</a>，周三收盤時的市值為173億美元。</p> </div></div></div>
2025/9/11 12:31作者陳曉莉https://www.ithome.com.tw/news/171127
影片共享平臺Vimeo以14億美元賣給了歐洲應用巨擘Bending Spoons
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲最大行動應用開發商Bending Spoons和Vimeo周三（9/10）<a href="https://investors.vimeo.com/news-releases/news-release-details/vimeo-enters-definitive-agreement-be-acquired-bending-spoons-138" target="_blank">宣布已達成協議</a>，前者將以將近13.8億美元全現金，收購這家影片共享及協作平臺。</p> <p>在這項交易下，Bending Spoons將以每股7.85美元收購Vimeo股權，這個價格是後者9月9日前60天成交量加權平均股價的溢價91%。Vimeo董事長Glenn Schiffman表示，董事會無異議通過本案，認為成為Bending Spoons的事業體之一，有助於加速Vimeo的策略性藍圖。</p> <p>根據Vimeo執行長Philip Moyer，Bending Spoons承諾會持續發展Vimeo各項產品，包括自助服務、OTT/Vimeo Streaming和Vimeo Enterprise。</p> <p>但Bending Spoons收購公司的紀錄，令人懷疑Vimeo是否能維持現有服務。2022年該公司<a href="https://www.ithome.com.tw/news/157696" target="_blank">收購線上筆記平臺Evernote</a>後，就裁撤其大部份美洲辦公室員工，將營運遷到歐洲。去年Evernote關掉Linux及舊版服務，<a href="https://help.evernote.com/hc/en-us/articles/23565231682323-Understanding-Evernote-Free-Plan-Limits-50-Notes-and-1-Notebook-Explained" target="_blank">而且進一步限縮</a>免費版服務提供的筆記數量到50個筆記及1個筆記本。</p> <p>此外，Bending Spoons於2024年中，<a href="https://www.reuters.com/technology/bending-spoons-lay-off-75-wetransfer-staff-post-deal-ceo-says-2024-09-08/" target="_blank">買下檔案分享及傳輸服務WeTransfer幾個星期後就裁員</a>，之後幾個月也開始縮減免費服務，如每月僅能傳輸檔案10次。</p> <p>但Bending Spoons表示，期待發揮Vimeo的所有潛力，而在完成收購後該公司將在美國和其他優先市場、以及企業和創作者業務領域大舉投資，並持續推出強大而負責任的AI功能。</p> <p>本收購案還需獲得Vimeo股東及主管機關批准，預期今年第4季完成。</p> </div></div></div>
2025/9/11 11:47作者林妍溱https://www.ithome.com.tw/news/171122
外傳OpenAI與甲骨文簽署高達3,000億美元的AI運算合約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/171092" target="_blank">甲骨文（Oracle）公布財報</a>，指出其尚未履約義務（Remaining Performance Obligations，RPO）在該季（6~8月）達到了4,550億美元，成長359%之後，<a href="https://www.wsj.com/business/openai-oracle-sign-300-billion-computing-deal-among-biggest-in-history-ff27c8fe" target="_blank">華爾街日報（WSJ）引用消息來源報導</a>，甲骨文的其中一名客戶為OpenAI，OpenAI準備在5年內向甲骨文購買高達3,000億美元的AI運算能力。</p> <p>報導指出，雙方的合約將從2027年開始，而且這對兩家公司而言都是一場冒險。</p> <p>甲骨文的RPO年增359%並達到4550億美元，意謂著這一年來該公司新增了3,559億美元的未履行合約。甲骨文執行長Safra Catz表示，該季甲骨文與3家客戶簽署了4項各達數十億美元的合約，惟並未透露客戶名單。消息一出，甲骨文股價大漲，期間甲骨文共同創辦人、董事長暨技術長Larry Ellison的身價，更曾一度超越馬斯克（Elon Musk），成為全球最富有的人。</p> <p>甲骨文除了參與由OpenAI及軟體銀行（Soft Bank）主導的Stargate公司之外，<a href="https://www.ithome.com.tw/news/170222" target="_blank">也在今年7月宣布將與OpenAI合作</a>，在美國額外開發4.5GW的Stargate資料中心容量。</p> <p>不過，WSJ認為這對雙方而言都是一場豪賭。因為<a href="https://www.ithome.com.tw/news/170743" target="_blank">OpenAI目前的年營收約100億美元</a>，但每年就要支付600億美元予甲骨文；而甲骨文則把未來很大一部分的營收押注在單一客戶上，可能必須舉債購買AI晶片，且甲骨文的負債比率為427%，遠高於微軟的32.7%。</p> <p>甲骨文周三（9/10）股價上漲35.95%，以328.33美元作收，創下9,222億美元的市值。<a href="https://www.forbes.com/real-time-billionaires/#6d3adfc13d78" target="_blank">現在</a>馬斯克仍是以4,361億美元的身價，勝過Ellison的3,876億美元。</p> </div></div></div>
2025/9/11 12:05作者陳曉莉https://www.ithome.com.tw/news/171123
傳微軟Office 365引進Anthropic AI技術減少對OpenAI的依賴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/microsoft-buy-ai-anthropic-shift-openai" target="_blank">The Information報導</a>，微軟已和OpenAI的競爭對手Anthropic談定合作，將在其線上生產力工具Office 365使用其特定AI服務，外界相信這是為了減少對OpenAI的倚賴。</p> <p>報導引述消息人士指出，微軟將付費給Anthropic，以取得在其線上版Word、Excel、Outlook和PowerPoint中使用其AI功能的權利。這使得Office 365混合使用Anthropic和既有的OpenAI技術。</p> <p>這顯示微軟欲減少現行OpenAI過度倚重的問題。雖然微軟對OpenAI投資了137億美元，是其最主要投資者，但近年雙方在許多方面出現競爭。例如微軟在桌機上開發自有Phi模型系列，而其Copilot也使用自己開發的MAI-Voice-1和MAI-1-Preview。此外微軟內部還開發了電玩用的Muse及世界模型WHAM（World and Human Action Model）。</p> <p>而OpenAI也不再只和微軟合作。OpenAI的雲端平臺合作夥伴加入了Oracle和AWS，在桌機上ChatGPT也是Apple Intelligence的背後聊天機器人。OpenAI近來也成立了應用程式部門，推出類似微軟旗下LinkedIn的<a href="https://www.ithome.com.tw/news/171018" target="_blank">OpenAI Jobs Platform</a>。這家AI新創公司據說還計畫推出自有瀏覽器。</p> <p>但是顯然微軟現在還無法完全割捨OpenAI。<a href="https://www.bloomberg.com/news/articles/2025-07-29/microsoft-s-access-to-openai-tech-is-focus-of-contract-talks?embedded-checkout=true" target="_blank">7月底彭博報導</a>，微軟和OpenAI正在洽談新的合作計畫，以便取得OpenAI未來AI新技術的存取權。</p> </div></div></div>
2025/9/11 10:53作者林妍溱https://www.ithome.com.tw/news/171119
Go 1.25實驗性JSON API上線，強化資料正確性檢查與串流效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://go.dev/blog/jsonv2-exp">Go 1.25引入新的實驗性JSON套件</a>，包含encoding/json/v2與encoding/json/jsontext，目標試圖解決現行encoding/json套件的限制與長年爭議。兩個套件需要設定特別的建置旗標或標籤才能啟用，雖然目前仍屬於實驗階段，但已可供開發者在實際環境測試。</p> <p>新版v2在行為上更符合RFC 8259標準，最明顯的差異是強制檢查輸入資料的正確性。當JSON含有無效UTF-8字元，解碼器會直接回報錯誤，而不是像舊版默默接受並可能導致資料損壞，同時，當物件出現重複成員名稱，v2會拒絕處理，避免因實作解讀方式不同而產生安全風險。</p> <p>在資料結構對應方面，v2將區分大小寫列為預設行為，JSON欄位名稱需與Go struct欄位精確相符。此外，nil的slice與map在序列化時會輸出為空陣列或空物件，減少跨語言解析時，因為null而無法正確辨識成陣列或物件，讓跨系統交換資料更穩定一致。這些行為都可透過選項調整，讓開發者在新舊語意間取得平衡。</p> <p>此次改版採用兩層架構，jsontext專注在語法處理，提供真正的串流編碼器與解碼器，能逐一讀寫JSON值或Token，而v2則負責語義層，提供將Go資料結構轉換成JSON（Marshal）與將JSON還原成Go資料結構（Unmarshal）的功能，並將選項納入第一級參數，讓開發者能直接控制行為。這樣的設計改善了舊版解碼器難以檢查輸入結尾雜訊的問題，也避免了必須先整批緩衝再處理的低效流程。</p> <p>除了保留既有的Marshaler與Unmarshaler介面外，v2新增MarshalerTo與UnmarshalerFrom，允許型別直接利用jsontext的編碼器與解碼器實作。這種方式避免重複解析與額外配置，對於處理大型或巢狀結構的JSON特別有利。</p> <p>Go團隊並未將v1與v2獨立，在啟用實驗性JSON套件時，v1會改以v2的實作為底層。開發者無需修改程式碼即可測試，當功能符合預期即可逐步過渡到v2，反之則仍可依賴既有的v1行為。</p> <p>目前，v2在序列化效能上大致與v1相當，而反序列化則明顯加速，可達數倍提升。官方強調，這些API仍屬實驗性質，未來可能調整甚至不被採用，但其實作品質已足以支撐大型專案運行，呼籲開發者透過實務測試回饋意見，協助決定後續走向。</p> </div></div></div>
2025/9/11 08:13作者李建興https://www.ithome.com.tw/news/171109
ChatGPT開發者模式釋出，支援MCP工具讀寫操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI開始測試<a href="https://platform.openai.com/docs/guides/developer-mode#what-is-chatgpt-developer-mode">ChatGPT開發者模式（Developer Mode）</a>，提供開發者完整的MCP（Model Context Protocol）客戶端支援，能同時進行讀取與寫入操作。這項功能目前僅在網頁版開放，限Plus與Pro用戶使用。</p> <p>官方強調，這是一個自由度更高的模式，但也要求使用者在操作時必須更加注意安全。當進行寫入動作前，系統會先顯示工具呼叫的細節，並要求使用者確認，以避免資料誤刪、誤改或洩漏。</p> <p>要啟用開發者模式，<a href="https://community.openai.com/t/mcp-server-tools-now-in-chatgpt-developer-mode/1357233">使用者需在設定頁面的Connectors進階選項中開啟開發者模式</a>。啟用後，就能在對話中選擇開發者模式並指定要使用的連接器，支援SSE與串流HTTP協定，並可搭配OAuth或無驗證方式。完成設定後，使用者能透過介面管理工具的開關，並可透過重新整理來更新，取得MCP伺服器上最新的工具清單與說明。</p> <p>在實際使用上，開發者可以直接指定要呼叫的連接器與工具，並提供輸入格式與執行步驟，如果有需要，也能限制模型不得使用內建的瀏覽器或其他工具，這代表ChatGPT不再只依賴內建功能，而是能透過MCP連接器，直接存取外部系統，例如更新CRM紀錄或建立版本庫的拉取請求，讓應用情境更貼近真實開發工作流程。</p> <p>由於開放了寫入操作，系統在安全設計上特別謹慎，每次工具呼叫都會顯示完整的JSON輸入與輸出內容，並且所有可能異動資料的操作，都需要經過人工確認。當工具沒有特別標註為唯讀查詢（readOnlyHint），系統會自動將其視為具風險的寫入動作，使用者也可以選擇是否記住對特定工具的允許或拒絕設定，讓同一對話中不必重複確認，但在開啟新對話或重新整理後，系統會再度詢問，以避免自動化導致失控。</p> <p>OpenAI提醒開發者，使用過程中需注意提示詞注入（Prompt Injection）攻擊，以及惡意MCP伺服器可能試圖竊取資訊的風險。同時，模型在進行寫入時仍有可能出現邏輯錯誤，因此在執行前，應透過清楚的工具命名與動作導向描述，協助模型挑選正確工具，並再次檢視輸入內容是否正確。</p> </div></div></div>
2025/9/11 08:15作者李建興https://www.ithome.com.tw/news/171115
AGP 8.12引入最佳化資源縮減，更精確移除未使用資源與程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Android Gradle Plugin（AGP）8.12中新增<a href="https://android-developers.googleblog.com/2025/09/improve-app-performance-with-optimized-resource-shrinking.html">最佳化資源縮減（Optimized Resource Shrinking）</a>工作管線，讓資源縮減能與R8程式碼最佳化同時進行。對於已在專案中啟用R8工具與資源縮減的開發者，只要在gradle.properties開啟相關旗標，即可利用這項功能，進一步降低安裝檔大小，並改善啟動速度、算繪表現與應用程式無回應（Application Not Responding，ANR）的情況。</p> <p>R8是Android建置過程中，用於程式碼縮減、最佳化和混淆的工具，能移除未使用的程式碼、縮小應用程式大小，並提升執行效能。</p> <p>傳統流程中，AAPT2（Android Asset Packaging Tool 2）會替資源參照產生無條件保留規則（Unconditional Keep Rules），使得被資源參照的類別在後續R8縮減時一律保留，而R8完成程式碼縮減後，再掃描剩餘程式碼建構資源參照圖。由於這些規則偏保守，常連帶保留本可移除的程式碼與其參照的資源，降低縮減效果。</p> <p>新的整合流程由R8同步最佳化程式碼格式與資源參照，能精確找出僅由未使用程式碼參照的資源，並加以移除，不再依賴AAPT2產生的無條件保留規則，此作法同時為程式碼與資源提供更細緻的可刪除性資訊，提升刪除效率並降低錯誤保留的情況。Google建議在正式版（Release）建置使用，以避免影響除錯與測試。</p> <p>最佳化的實際效益會因專案規模與結構而不同，對於跨裝置共用大量資源的應用程式，新的整合流程可能帶來明顯的大小縮減，小型應用雖然空間節省有限，但仍能受惠於更一致的縮減結果。Google提供的資料顯示，部分專案的安裝包大小甚至可降低超過50％。</p> <p>AGP 8.12僅提供此功能作為選項，開發者需手動開啟，不過，從AGP 9.0開始，最佳化資源縮減就會成為預設行為，只要專案啟用了資源縮減，便自動使用新的整合流程。</p> </div></div></div>
2025/9/11 08:17作者李建興https://www.ithome.com.tw/news/171116
【資安日報】9月10日，微軟、SAP、Adobe發布9月例行更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多軟體廠商及IT業者在本週二發布9月的例行更新，微軟、SAP、Adobe也都發布相關資安公告，影響大多數使用者的微軟公告特別值得留意，因為這次他們修補兩項已被公開的零時差漏洞，分別影響SMB伺服器、SQL Server，然而，若要修補這個SMB伺服器漏洞，不光是套用更新軟體就能完成，還要檢查是否影響用戶端；而影響SQL Server的資安漏洞存在特定元件，最早於2018年就有資安業者發現。</p> <p>SAP、Adobe本次發布的公告也相當值得留意，其中SAP針對NetWeaver、NetWeaver AS Java修補重大層級漏洞，有1個風險值達到滿分，相當危險；Adobe針對ColdFusion、Adobe Commerce修補重大層級的資安漏洞，並呼籲用戶優先處理。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171056"><strong style="font-size: 22px;">假PDF編輯器藏惡意軟體TamperedChef，靠Google廣告擴散竊憑證</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pdf-editor-appsuite.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/pdf-editor-appsuite.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Truesec揭露一波大規模惡意軟體散布行動，攻擊者透過Google廣告導流至多個詐騙網站，推廣名為AppSuite PDF Editor的免費工具，藉此誘使用戶下載被植入竊資軟體TamperedChef的安裝檔。這個程式初期表現如同一般PDF編輯器，但在特定時間後，攻擊者會以遠端指令啟用惡意功能，專門竊取瀏覽器憑證與Cookie。Truesec指出，目前已有多家歐洲組織受到影響。</p> <p>研究人員調查顯示，PDF Editor安裝檔最早在5月15日出現在VirusTotal，相關網站與網域自6月26日陸續註冊並開始推廣。一直到8月21日，部分受害機器開始接收到指令，觸發程式的惡意功能。這段期間間隔約56天，接近Google廣告常見的60天投放周期，研究人員認為，攻擊者刻意利用廣告平臺先累積安裝量，再切換為惡意模式，擴大影響範圍。</p> <p>完成安裝後，偽裝的PDF編輯器會與遠端伺服器保持通訊，並在系統內建立持久化機制，確保每次開機都能啟動。初期行為正常，但在遠端指令觸發後，才會下載額外元件並展開竊資行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/axios-abuse-and-salty-2fa-kits-fuel.html">駭客濫用公用程式Axios與網釣工具包Salty 2FA，意圖挾持M365帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-hide-behind-tor-in-exposed-docker-api-breaches/">針對曝露的Docker API攻擊行動升級，駭客透過Tor網路犯案，疑綁架用於殭屍網路</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/45-previously-unreported-domains-expose.html https://www.silentpush.com/blog/salt-typhoon-2025/">中國駭客Salt Typhoon疑與鎖定Barracuda漏洞的駭客共用基礎設施</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171095"><strong style="font-size: 22px;">微軟9月例行更新來了！當中修補兩個已公開的零時差漏洞</strong></a></p> <p>本週二（9月9日）微軟發布本月例行更新（Patch Tuesday），總共修補81項資安漏洞，較7月、8月的130個及111個再度減少。從漏洞的類型來看，權限提升（EoP）漏洞最多，有38個，其次是遠端程式碼執行（RCE）及資訊洩露（ID）漏洞，有22個、14個；安全繞過及阻斷服務（DoS）漏洞各有3個，另有1個是可被用於欺騙的漏洞。</p> <p>值得留意的是，有項漏洞CVE-2025-55234，其實在這次修補之前就已經被公開，屬於SMB權限提升弱點，CVSS風險評為8.8分。該漏洞有可能導致SMB伺服器面臨中繼攻擊，攻擊者有機會濫用特定物件進行權限提升，以取得受害使用者的權限。微軟提及目前SMB伺服器已具備簽章功能，以及身分驗證延伸防護（Extended Protection for Authentication，EPA），而能夠防範這類中繼攻擊。由於啟用這些強化防護的機制，可能會衍生相容性的問題，這次發布的修補程式，也支援稽核SMB用戶端對上述兩種防護的相容性。</p> <p>另一個是已公開漏洞：由去年資安業者VulnCheck揭露的CVE-2024-21907，這次微軟也著手修補而受到關注。這項漏洞影響SQL Server 2016至SQL Server 2022，為Newtonsoft.Json元件的例外條件不當處理漏洞，而有可能導致阻斷服務。此漏洞存在於該元件低於13.0.1版的版本。</p> <p><a href="https://www.ithome.com.tw/news/171090"><strong style="font-size: 22px;">SAP修補NetWeaver、NetWeaver AS Java重大層級漏洞</strong></a></p> <p>9月9日SAP發布本月例行更新（Security Patch Day），總共修補21項資安漏洞（上個月是15個），值得留意的是，當中包含3個危險程度達到重大層級的漏洞，其中1個達到滿分（10分）、1個接近滿分，相當危險。</p> <p>上述重大層級漏洞當中最危險的是CVE-2025-42944，此為NetWeaver反序列化漏洞，攻擊者可在未經授權的情況下，透過特定的公開連接埠傳送惡意酬載，而有機會藉由RMI-P4模組觸發漏洞，CVSS風險達到10分。一旦不受信任的Java物件面臨反序列化處理，就有可能用於執行任意作業系統的命令，嚴重危害應用系統的機密性、完整性、可用性。長期解析SAP每月例行更新的資安業者Onapsis指出，攻擊者若是成功利用，就有可能完全入侵整個應用程式；若暫時無法套用修補程式，IT人員應管制P4連接埠因應。</p> <p>另一個風險接近滿分的漏洞是CVE-2025-42922，存在於NetWeaver AS Java，攻擊者取得非管理員的使用者身分，在通過身分驗證的情況下，可藉存在特定服務的弱點而上傳任意檔案，有可能完全入侵系統，嚴重破壞資安，風險值為9.9。</p> <p><a href="https://www.ithome.com.tw/news/171108"><strong style="font-size: 22px;">Adobe修補應用程式開發平臺、電子商務管理平臺重大層級資安漏洞</strong></a></p> <p>Adobe昨天（9日）發布9月份每月例行更新，對旗下9款應用程式發布修補程式，其中應用程式開發平臺ColdFusion、電子商務管理平臺Adobe Commerce的重大漏洞，特別值得留意，Adobe呼籲用戶應優先處理。</p> <p>首先要緩解的產品是ColdFusion，這次Adobe揭露的漏洞編號為CVE-2025-54261，此為路徑遍歷（Path Traversal）弱點，攻擊者有機會藉此寫入任意系統檔案，影響2021、2023、2025版ColdFusion，CVSS風險評為9.0（滿分10分）。值得留意的是，Adobe將其評為優先程度第1級的資安公告，代表這項漏洞帶來的資安風險較高，雖然目前尚未發現遭到利用的跡象，但他們還是呼籲IT人員要儘速處理。</p> <p>另一個需要優先處理的重大層級漏洞CVE-2025-54236（又被稱為SessionReaper），出現在Adobe Commerce及Magento Open Source，為輸入驗證不當漏洞，可用於繞過安全功能，而且，攻擊者想要利用這項漏洞，無須取得管理員權限，甚至不需通過身分驗證。此漏洞風險值為9.1，Adobe將其修補的優先程度列為第2級。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-40795-cvss-9-8-critical-flaw-in-siemens-sivaas-exposes-network-share-without-authentication/">西門子修補SIVaaS的使用者管理元件重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-7350-critical-rce-flaw-in-rockwell-stratix-switches-scores-cvss-9-6/">Rockwell修補工控交換器重大漏洞</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171087"><strong style="font-size: 22px;">三菱電機9億美元買下資安廠商Nozomi Networks</strong></a></p> <p>日本電子電機巨擘三菱電機（Mitsubishi Electric）本周宣布以近9億美元的價格，買下操作科技及物聯網（OT/IoT）資安方案業者Nozomi Networks，以確保其數位平臺的安全性。</p> <p>根據三菱電機的財報文件，收購金額為8.83億美元，未來三菱電機將把Nozomi資產整合到三菱電機的協同設計數位平臺Serendie，範圍涵蓋Nozomi的SaaS產品、雲端基礎架構和AI技術。</p> <p>本案預計在今年第4季完成。併購完成後，Nozomi將成為三菱電機全資子公司，不過，Nozomi仍會維持獨立營運，發展藍圖、服務體系及合作夥伴也都不會改變，總部留在現有的舊金山，研發也將留在瑞士。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171077"><strong>【9月9日】歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171054"><strong>【9月8日】Salesloft揭露供應鏈攻擊事故發生的源頭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171021"><strong>【9月5日】大規模DDoS攻擊流量達到11.5 Tbps，再創新高</strong></a></p> </div></div></div>
2025/9/10 17:43作者周峻佑https://www.ithome.com.tw/news/171114
Adobe修補應用程式開發平臺、電子商務管理平臺重大層級資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/tags/adobe">Adobe</a>昨天（9日）發布9月份每月例行更新，對旗下9款應用程式發布修補程式，其中<a href="https://helpx.adobe.com/security/products/coldfusion/apsb25-93.html">應用程式開發平臺ColdFusion</a>、<a href="https://helpx.adobe.com/security/products/magento/apsb25-88.html">電子商務管理平臺Adobe Commerce</a>的重大漏洞，特別值得留意，Adobe呼籲用戶應優先處理。</p> <p>首先要緩解的產品是ColdFusion，這次Adobe揭露的漏洞編號為CVE-2025-54261，此為路徑遍歷（Path Traversal）弱點，攻擊者有機會藉此寫入任意系統檔案，影響2021、2023、2025版ColdFusion，CVSS風險評為9.0（滿分10分）。值得留意的是，Adobe將其評為優先程度第1級的資安公告，代表這項漏洞帶來的資安風險較高，雖然目前尚未發現遭到利用的跡象，但他們還是呼籲IT人員要儘速處理。有鑑於Adobe要求用戶優先處理ColdFusion資安漏洞的狀況並非首例，今年他們就在<a href="https://www.ithome.com.tw/news/168338">4月</a>、<a href="https://www.ithome.com.tw/news/168958">5月</a>提出類似警告，因此這樣的情況不能掉以輕心。</p> <p>另一個需要優先處理的重大層級漏洞CVE-2025-54236（<a href="https://sansec.io/research/sessionreaper">又被稱為SessionReaper</a>），出現在Adobe Commerce及Magento Open Source，為輸入驗證不當漏洞，可用於繞過安全功能，而且，攻擊者想要利用這項漏洞，無須取得管理員權限，甚至不需通過身分驗證。此漏洞風險值為9.1，Adobe將其修補的優先程度列為第2級。</p> <p>雖然Adobe並未透露其他細節，但提供Magento防護的資安業者Sansec<a href="https://sansec.io/research/sessionreaper">提出警告</a>，這項漏洞有可能導致未經授權的攻擊者奪走電子商城的控制權，駭客恐怕會透過自動化的方式將漏洞用於攻擊活動，呼籲商家最好立即採取行動。</p> <p>Sansec指出另一項不尋常的地方，那就是這項漏洞Adobe已在正式發布資安公告前，向部分客戶提供修補程式。8月下旬Adobe接獲通報後，9月4日就通知部分用戶。</p> <p>而對於這項漏洞帶來的影響，他們也引述通報者Blaklis的說法，攻擊者可用於發動遠端執行任意程式碼（RCE）攻擊，Adobe的公告並未提及此事。</p> </div></div></div>
2025/9/10 16:42作者周峻佑https://www.ithome.com.tw/news/171108
微軟9月例行更新修補已公開的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（9月9日）<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-sep">微軟發布本月例行更新（Patch Tuesday）</a>，總共修補81項資安漏洞，較<a href="https://www.ithome.com.tw/news/169956">7月</a>、<a href="https://www.ithome.com.tw/news/170588">8月</a>的130個及111個再度減少。從漏洞的類型來看，權限提升（EoP）漏洞最多，有38個，其次是遠端程式碼執行（RCE）及資訊洩露（ID）漏洞，有22個、14個；安全繞過及阻斷服務（DoS）漏洞各有3個，另有1個是可被用於欺騙的漏洞。</p> <p>根據漏洞的嚴重程度與類型來看，這次有8個被評為重大層級，RCE漏洞最多，有5個，2個權限提升漏洞、1個資訊洩露漏洞。</p> <p>值得留意的是，這次有一項漏洞在修補之前就已經被公開的漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-55234">CVE-2025-55234</a>，屬於SMB權限提升弱點，CVSS風險評為8.8分。該漏洞有可能導致SMB伺服器面臨中繼攻擊，攻擊者有機會濫用特定物件進行權限提升，以取得受害使用者的權限。微軟提及目前SMB伺服器已具備簽章功能，以及身分驗證延伸防護（Extended Protection for Authentication，EPA），而能夠防範這類中繼攻擊。由於啟用這些強化防護的機制，可能會衍生相容性的問題，這次發布的修補程式，也支援稽核SMB用戶端對上述兩種防護的相容性。</p> <p>長期分析微軟每月例行更新的<a href="https://www.rapid7.com/blog/post/em-patch-tuesday-september-2025/">資安業者Rapid7強調</a>，這項漏洞光是套用更新程式不足以緩解，若不處理，攻擊者有機會透過ARP欺騙、DNS中毒，或其他手法假冒合法伺服器，而且，他們還可能利用資安人員熟悉的開源工具Responder來簡化攻擊流程，並設法破解雜湊值而得到密碼。Rapid7強調，這次微軟提及的都是已被公開的攻擊手法，因此他們認為，嚴格來說，CVE-2025-55234並非真正的零時差漏洞。</p> <p>另一個是已公開漏洞：由去年資安業者VulnCheck揭露的<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-21907">CVE-2024-21907</a>，這次微軟也著手修補而受到關注。這項漏洞影響SQL Server 2016至SQL Server 2022，為Newtonsoft.Json元件的例外條件不當處理漏洞，而有可能導致阻斷服務。此漏洞存在於該元件低於13.0.1版的版本。</p> <p>Rapid7指出，這項漏洞並非出現在SQL Server本身，而是用於處理.NET應用程式JSON檔案的標準元件ewtonsoft.Json，雖然這項漏洞是VulnCheck在去年1月登記CVE編號，但最早是另一家資安業者Aleph Security於2018年察覺。為何微軟現在才做出處理，目前仍不得而知。</p> </div></div></div>
2025/9/10 15:42作者周峻佑https://www.ithome.com.tw/news/171095
Mistral AI完成17億歐元C輪融資，投後估值117億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國新創Mistral AI<a href="https://mistral.ai/news/mistral-ai-raises-1-7-b-to-accelerate-technological-progress-with-ai">完成17億歐元C輪融資</a>，投後估值達117億歐元，約137億美元，領投方為荷蘭半導體設備商ASML。Mistral表示，資金將投入先進人工智慧的科學研究與企業級方案落地，聚焦解決戰略產業的高難度工程問題，並維持公司獨立性。</p> <p>ASML執行長Christophe Fouquet表示，透過此次合作，ASML希望將人工智慧能力融入自家產品與解決方案，同時展開聯合研究應對未來挑戰。<a href="https://markets.businessinsider.com/news/stocks/asml-mistral-ai-enter-strategic-partnership-1035126462">ASML在C輪融資投資13億歐元</a>，取得約11％股權成為Mistral的重要股東之一，ASML CFO Roger Dassen也將加入Mistral策略委員會，成為策略與技術決策的諮詢角色。</p> <p>Mistral執行長Arthur Mensch指出，此次投資是人工智慧與半導體價值鏈融合的一步，公司將協助ASML及其合作夥伴面對工程難題，進一步拓展人工智慧在產業中的應用範疇。</p> <p>Mistral表示，將持續發展去中心化的先進人工智慧解決方案，結合大型模型、客製化技術與高效能運算基礎設施，協助企業與公共部門解決複雜的工程問題。Mistral過去兩年已與多家企業與工業夥伴建立合作，累積應用經驗，此輪資金將加速研究進展與落地實踐。</p> <p>本輪融資的投資方除ASML外，還包括DST Global、Andreessen Horowitz、Bpifrance、General Catalyst、Index Ventures、Lightspeed與Nvidia等既有股東，代表其財務與戰略投資的延續性。</p> <p>在估值方面，Mistral約137億美元讓其成為歐洲人工智慧新創中估值最高的公司之一，但與美國主要業者仍有明顯差距。<a href="http://www.reuters.com/business/openai-eyes-500-billion-valuation-potential-employee-share-sale-source-says-2025-08-06/">外媒近期報導</a>OpenAI員工持股交易的市場估值約5,000億美元，Anthropic則在最新一輪融資後估值達1,830億美元，相較之下，Mistral規模仍小得多。</p> </div></div></div>
2025/9/10 16:27作者李建興https://www.ithome.com.tw/news/171094
瞄準行動裝置端低延遲、省電AI應用，Arm推出全新的Lumex CSS運算平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準行動裝置端的AI應用潛力，Arm發表新的Lumex運算子系統(Compute Subsystem，CSS)，一舉更新旗下的行動CPU、GPU，搭配新的SME2(Scalable Matrix Extension 2)可擴充延伸指令集，宣稱AI效能最高提升5倍。</p> <p>Arm手機策略總監蔡武男表示，現今世代已習慣在智慧型手機螢幕觸控，但是未來AI在行動裝置的普及，帶來新的人機互動，未來新世代可能不再使用觸控，而是透過語音和手機對話，要求AI或是由AI依據你的需求執行任務。儘管行動裝置可仰賴雲端來執行AI推論，但是手機移動性難免處在行動網路不穩定的情形，沒有行動網路或是訊號較差的環境，將影響行動裝置上的AI使用體驗，此外，完全依賴雲端來執行AI推論，對服務提供商而言，成本也會高昂。</p> <p>鑑於AI將會愈來愈重要，在行動裝置端執行AI應用，即時性、低延遲特別重要，且因為手機使用電池，還需要更高的能源效率，Arm發表全新的Lumex CSS運算平臺，搭載新的SME2指令集，這個新的矩陣延伸指令集，使得Lumex CSS提升CPU的AI處理效能最高達5倍，對於語音類的工作負載延遲可降低4.7倍，音訊生成速度則提升2.8倍。(下圖來源：Arm)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-09-10%20%E4%B8%8B%E5%8D%884_43_24.jpeg" style="width: 600px; height: 308px;" /></p> <p>Arm以運動App「智慧瑜伽教練」為例，在SME2指令集的加速下，文字轉語音生成速度可提升2.4倍，使用者可以更即時得到AI的瑜伽指導。</p> <p>而根據Arm展示的AI加速效果，沒有搭載SME2指令集的CPU，在達行神經網路的工作處理中，遠低於GPU，但是搭載SME2指令集的CPU，明顯提高神經網路的處理效能，縮短CPU與GPU間的效能落差，在一部分的測試項目中還超越GPU。</p> <p>為吸引軟體開發者，Arm也提供KleidiAI函式庫，希望能讓裝置發揮SME2。目前KleidiAI支援AI框架，如PyTorch ExecuTorch、Google LiteRT、ONNX Runtime等。</p> <p>Arm預期未來讓SME2擴展到各個CPU平臺，同時預期到了2030年，搭載SME與SME2的裝置將會為超過30億臺裝置新增加逾100億TOPS。(下圖來源：Arm)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-09-10%20%E4%B8%8B%E5%8D%884_46_53.jpeg" style="width: 600px; height: 323px;" /></p> <p><span style="color:#B22222;"><strong>更新CPU及GPU</strong></span></p> <p>Lumex CSS目前針對3奈米製程最佳化實體實作，Lumex CSS包括採用SME2的Armv9.3 CPU叢集，還有宣稱提升2倍的光線追蹤效能的Arm Mali G1-Ultra GPU，以及DSU(Arm C1-DSU), KleidiAI函式庫。</p> <p>至於CPU方面，Lumex CSS更新Arm原有的行動CPU命名及分類方式，過去Arm CPU採用的Cortex命名，現在在Lumex中CPU採用C1命名，將CPU分為5個種類等級。</p> <p>這5種類的CPU，包括Arm C1-Ultra，C1-Pro、C1-Premium、C1-Pro、C1-Nano、Pico。其中的C1-Ultra定位為旗艦級效能，相當於先前的Cortex-X925，在SME2加持下，Arm稱其單執行緒效能提升25%，適用於大模型的推論、內容創作、生成式AI、運算攝影等等。</p> <p>而C1-Pro為能耗核心，即扮演過去的小核角色，持續效能提升16%，在行動裝置中用於輔助C1-Ultra效能核心(大核)，C1-Pro適用於影片播放、串流推論等工作負載處理。</p> <p>C1-Premium兼顧C1-Ultra的效能，但面積減少35%，適用於次一級的旗艦級行動裝置，適合語音助理、多工處理。</p> <p>至於C1-Nano強調能效，Arm宣稱其效率提升26%，但面積更小，因此適合行動穿戴裝置或小型裝置使用。最後是Pico，強調超低功耗，適用於物聯網裝置。</p> <p>蔡武男指出，在今年5月Arm宣布轉型後，將從過去只提供IP，轉型為提供整合及彈性的平臺方案，加速合作夥伴推出產品至市場的速度。</p> <p>Arm針對不同市場提供運算平臺方案，除了Lumex CSS運算平臺鎖定的行動裝置外，還有以資料中心為目標的Arm Neoverse，瞄準汽車領域的Arm Zena，專門為PC設計的Arm Niva，以及適用於IoT物聯網的Arm Orbis。</p> </div></div></div>
2025/9/10 16:47作者蘇文彬https://www.ithome.com.tw/news/171111
Anthropic的Claude開始支援用戶建立PDF、試算表與簡報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/create-files" target="_blank">Anthropic本周開始透過旗下的Claude聊天機器人預覽檔案生成功能</a>，它不僅允許使用者編輯所上傳的PDF、Excel、PowerPoint等檔案，也可直接生成或轉換成相關檔案，初期僅供Max、Team與Enterprise用戶預覽，未來幾周將開放給Pro用戶試用，並未提及免費用戶。</p> <p>這對辦公室用戶來說應該是個很有用的功能，因為Claude可根據使用者的指示來建立實際檔案，不管是利用使用者所上傳的檔案、各種研究資訊，或是從頭建立新檔案。像是把原始資料變成統計分析數據、圖表或見解；或是描述所需的內容直接建立試算表；也能跨格式運作，要求Claude把所上傳的PDF檔轉成PowerPoint簡報。</p> <p>Anthropic說，此一文件建立功能把通常需要具備程式設計及統計等專業知識，再加上數小時努力的專案，在幾分鐘內完成。</p> <p><a href="https://support.anthropic.com/en/articles/12143746-create-and-edit-files-with-claude-to-eliminate-hours-of-busy-work" target="_blank">根據該功能的詳細說明</a>，使用者可用它來建置Excel模型，產生各種文件，執行內容分析，製作PowerPoint簡報，填寫PDF表單，還能合併多個來源的資料，轉換內容格式，或是將同一內容以不同的格式呈現，也能標準化內容的格式或命名慣例。</p> <p>目前提供類似功能的有Google Gemini，但Gemini所生成的是符合Google Docs格式的檔案、簡報與試算表，需要再轉成PDF、PowerPoint或Excel；微軟的作法則是在Microsoft 365的各種應用中直接整合Copilot；至於OpenAI的ChatGPT則還在測試相關功能。</p> <p>不過，<a href="https://simonwillison.net/2025/Sep/9/claude-code-interpreter/" target="_blank">研究人員Simon Willison提醒</a>，此一新功能本質上就是Anthropic版的ChatGPT Code Interpreter，Claude於伺服器端的沙箱中執行各種程式碼來處理資料問題，以根據使用者的要求生成檔案，技術上很強大，卻將其簡化為「檔案建立」功能。由於該沙箱具備有限的網路存取權限，<a href="https://support.anthropic.com/en/articles/12111783-create-and-edit-files-with-claude" target="_blank">而可能暗藏提示注入（Prompt Injection）風險</a>，使用者應多加留意。</p> </div></div></div>
2025/9/10 15:17作者陳曉莉https://www.ithome.com.tw/news/171093
Perl重返TIOBE指數前十名，Python則繼續遙遙領先
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.tiobe.com/tiobe-index/">TIOBE 2025年9月程式語言流行度指數公布</a>，Perl從1年前的第27名大幅上升至第10名，評分2.03％，成為本期最顯著的變動。TIOBE官方說明，名次提升與其在Amazon書籍數量有關，Perl相關書籍數量約為PHP的4倍、Rust的7倍，因此帶動評分增加。</p> <p>TIOBE創辦人Paul Jansen提到，Perl 5近年釋出節奏加快，社群逐漸把其視為主要分支，而原本寄望的Perl 6在經過長年開發後已更名為Raku，如今僅排名第129，對生態的影響有限。該社群動態讓Perl 5重新獲得關注與人氣，成為TIOBE指數排名大幅上升的主因。</p> <p>整體榜單中，前三名的格局保持不變，但差距有所調整。Python以25.98％穩居首位，年增5.81％，持續擴大領先優勢。C++以8.80％排第2，較去年下降1.94％，C則以8.65％續居第3，年減0.24％，Java以8.35％列第4，持續與C語言家族競爭。這四大語言依舊占據開發領域的核心位置，影響力延伸至系統軟體、企業應用與跨平臺開發。</p> <p>C#以6.38％穩居在第5，JavaScript以3.22％位居第6，與去年相比下滑0.70％，Visual Basic以2.84％名列第7，Go則以2.32％續排第8，表現穩定，Delphi/Object Pascal上升至第9，評分2.26％。</p> <p>第10名之後多為小幅調整，SQL以1.86％降至第11，Fortran排第12，而R語言升至第13名，Ada前進至第14名，其中Fortran為科學計算領域愛用語言，Ada則多為安全關鍵與嵌入式應用，反映專業領域的長尾需求，R主要對應統計與資料科學，SQL則屬資料庫與企業應用。Rust回落至第18，評分降至1.01％，Kotlin則以0.95％排名第20。整體來看，老牌語言在垂直領域維持影響力，新興語言受生態與教學資源牽動。</p> <p>Perl重返前10主要反映出其教材資源與社群能見度的提升。需注意的是，TIOBE指數衡量的是程式語言的關注度，其依據來自搜尋引擎能見度、課程數量與第三方供應商支持等指標，並非程式效能或實際使用規模的排名。</p> </div></div></div>
2025/9/10 13:59作者李建興https://www.ithome.com.tw/news/171091
AI前景讓甲骨文股價飆上歷史新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球第二大軟體業者<a href="https://investor.oracle.com/investor-news/news-details/2025/Oracle-Announces-Fiscal-Year-2026-First-Quarter-Financial-Results/default.aspx" target="_blank">甲骨文（Oracle）周二（9/9）公布其2026財年第一季財報</a>，該季甲骨文創下149億美元的營收，成長12%，每股盈餘為1.47美元，皆低於分析師預期，但與AI有關的尚未履約義務（Remaining Performance Obligations，RPO）在該季達到了4,550億美元，成長359%，讓甲骨文當天盤後股價上飆30.51%，漲至315.2美元。</p> <p>甲骨文的營收主要來自雲端、軟體、硬體及服務，在149億美元的營收中，雲端占了總營收的48%，約71.9億美元，成長28%；軟體為57.2億美元，下滑1%；硬體為6.7億美元，成長2%；服務營收為13.5億美元，成長7%。</p> <p>目前甲骨文所提供的雲端服務包含雲端基礎設施（IaaS）及雲端應用（SaaS），IaaS占了33億美元，成長55%，SaaS則占38億美元，成長17%。對該季IaaS成長貢獻最大的是MultiCloud Database，這是在Google、微軟與Amazon的資料中心隔壁建置Oracle Database的專屬基礎設施，以讓共同客戶得以就近執行資料庫服務，該季相關營收成長了1,529%。</p> <p>甲骨文技術長Larry Ellison預期，MultiCloud Database業務在未來幾年內的每一季都會持續大幅成長，該公司計畫再交付37座資料中心予上述3大合作夥伴，讓總數達到71座。</p> <p>SaaS服務中則包括了10億美元的Fusion Cloud ERP，成長17%，以及10億美元的NetSuite Cloud ERP，成長16%，以及其它約18億美元的HCM、CX、SCM等應用。</p> <p>儘管該季甲骨文的營收及每股盈餘都低於分析師預期，不過，甲骨文執行長Safra Catz表示，該季與3個不同的客戶簽署了4個分別價值數十億美元的合約，使其RPO增加了359%，達到4,550億美元，而且市場對甲骨文雲端基礎設施（Oracle Cloud Infrastructure，OCI）的需求還在成長。未來幾個月甲骨文應該還會再簽下幾個價值數十億美元的客戶，讓RPO突破5,000億美元。</p> <p>RPO的大規模成長，也讓甲骨文準備在下個月舉行的分析師會議上，上修2026會計年度的雲端基礎設施營收，估計可成長77%，達到180億美元，且接下來的4年，也將分別成長至320億美元、730億美元、1,140億美元與1,440億美元，而且相關的預測大多數都來自甲骨文已經公布的RPO數字。</p> <p>此外，甲骨文將在下個月舉行的Oracle AI World大會上，推出全新的雲端基礎設施服務Oracle AI Database，以讓甲骨文的資料庫用戶能夠藉由最先進的Gemini、ChatGPT或Grok等AI服務來存取並分析資料。Ellison說，Oracle AI Database與MultiCloud Database都將在未來幾年帶來雲端需求與消費，AI改變了一切。</p> </div></div></div>
2025/9/10 14:15作者陳曉莉https://www.ithome.com.tw/news/171092
三菱電機9億美元收購OT/IoT資安廠商Nozomi Networks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本電子電機巨擘<a href="https://www.mitsubishielectric.com/en/pr/2025/pdf/0909-2.pdf" target="_blank">三菱電機（Mitsubishi Electric）本周宣布以近9億美元收購</a>營運科技及物聯網（OT/IoT）資安方案業者Nozomi Networks，以確保其數位平臺的安全性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0910-Mitsubishi%20Electric-Acquire-Nozomi%20Networks-by%20Nozomi%20Networks-960.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nozomi Networks</span></span></p> <p>創立於2016年的Nozomi提供基礎架構安全防護，產品包含網路及端點可視化監控、威脅偵測及AI分析。雙方表示，結合三菱電機百年全球工業專精與Nozomi的資料科學、AI/ML和工業網路安全創新技術，將可建立以強化網路與作業的AI解決方案，支援各種OT和IoT應用場景與產業。</p> <p>根據三菱電機的財報文件，收購金額為8.83億美元，而本案將可把Nozomi資產包含SaaS產品、雲端基礎架構和AI技術，整合到三菱電機的協同設計數位平臺Serendie。Serendie提供單一數位化資料平臺，允許設計、製造、營運和維護單位模擬、優化甚至協同建立解決方案。</p> <p>三菱電機Serendie用戶涵括鐵路公司、能源業者、工廠、大樓營造業，<a href="https://emea.mitsubishielectric.com/en/news/releases/global/2025/0114-a/index.html" target="_blank">今年也簽下AWS資料中心</a>，以整合後者的空調、UPS、配電系統，提升節能及營運效率。三菱電機希望能藉數位方案的強化有助於拓展新客戶。</p> <p>本案預計在今年第4季完成。收購完成後，Nozomi將成為三菱電機全資子公司，但本案不影響其營運。Nozomi將維持獨立營運，發展藍圖、服務體系及合作夥伴也都不會改變，總部留在現有的舊金山，研發也將留在瑞士。</p> </div></div></div>
2025/9/10 11:31作者林妍溱https://www.ithome.com.tw/news/171087
蘋果iPhone 17系列出爐，僅有eSIM的iPhone Air登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周二（9/9）發表了新一代的iPhone手機，包括標準版的<a href="https://www.apple.com/newsroom/2025/09/apple-debuts-iphone-17/" target="_blank">iPhone 17</a>、超輕薄的<a href="https://www.apple.com/newsroom/2025/09/introducing-iphone-air-a-powerful-new-iphone-with-a-breakthrough-design/" target="_blank">iPhone Air</a>，以及高階版的<a href="https://www.apple.com/newsroom/2025/09/apple-unveils-iphone-17-pro-and-iphone-17-pro-max/" target="_blank">iPhone 17 Pro與iPhone 17 Pro Max</a>，預計於本周五（9/12）開放預訂，下周五（9/19）開始出貨。</p> <p>使用者可以直接從<a href="https://www.apple.com/tw/iphone/compare/" target="_blank">蘋果網站比較全新系列的規格</a>，其中，iPhone 17具備6.3吋螢幕，採用A19處理器；而iPhone Air為6.5吋螢幕，與6.3吋的iPhone 17 Pro及6.9吋的iPhone 17 Pro Max都是採用A19 Pro處理器，它們播放影片的電池續航力依序是30小時、27小時、31小時與37小時。</p> <p>A19跟上一代的A18一樣，都是採用台積電的3奈米製程，內建6核心的CPU與5核心GPU，也有16核心的核心神經網路引擎。不過，A19的CPU單核效能比A18提高了10~15%；在GPU上，標準版提升了20%，Pro版則提升40%；A19的神經網路引擎則專門針對即時翻譯及影像生成等AI運算進行最佳化。</p> <p>iPhone 17系列也採用全新的、蘋果自行設計的無線網路晶片N1，可支援Wi-Fi 7、Bluetooth 6及Thread等協定，也提升了個人熱點與AirDrop等功能的整體效能及可靠性。新系列亦全面導入120Hz ProMotion 及Ceramic Shield 2面板，提升螢幕效果與耐用性。</p> <p>這次蘋果全新發表的iPhone Air則是鎖定輕薄，在6.5吋的螢幕下，它的厚度只有0.56公分，重量為165公克，還被視為是蘋果推出摺疊機的前鋒。</p> <p>不過，為了維持輕薄，iPhone Air犧牲了某些功能，例如它不再具備實體SIM卡插槽，僅能使用eSIM；電池續航力還低於iPhone 17；且背後只有一顆鏡頭，缺乏iPhone 17與iPhone 17 Pro都具備的微距攝影鏡頭。但它最低999美元（36,900元新臺幣）的價格還是高於iPhone 17的799美元（29,900元新臺幣）。</p> <p>至於iPhone 17 Pro與iPhone 17 Pro Max的最低售價，則分別是1,099美元（39,900元新臺幣）與1,199美元（44,900元新臺幣）。</p> <p>今年新系列的另一個特色是顏色上的變化，例如標準版推出了薰衣草紫及鼠尾草綠，iPhone Air則有天藍與淺金色，Pro與Pro Max則多出了橙色。</p> </div></div></div>
2025/9/10 11:40作者陳曉莉https://www.ithome.com.tw/news/171088
百度開放文心Ernie-4.5模型給企業使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/baidu/ERNIE-4.5-21B-A3B-Thinking" target="_blank">中國網路巨人百度本周宣布</a>將具備思維能力的210億參數大語言模型文心（Ernie）4.5版，開放給企業和開發商使用。</p> <p>百度<a href="https://www.ithome.com.tw/news/167912" target="_blank">今年初宣布</a>Ernie-4.5挑戰GPT 4.5及DeepSeek R1。Ernie 4.5具備多模態能力，能同時理解文字、圖像、音訊及影片內容。<a href="https://yiyan.baidu.com/blog/zh/posts/ernie4.5/" target="_blank">百度在今年6月</a>一舉開源了10款Ernie模型，參數量小至0.3B，大到424B，並包含2款混合專家（MOE）模型。</p> <p>百度指出，三個月來該公司持續擴大這款模型的思維能力，使其思考品質和深度都見提升，因此使旗下輕量模型都能勝任複雜思考任務。</p> <p>最新釋出的模型是<a href="https://huggingface.co/baidu/ERNIE-4.5-21B-A3B-Thinking" target="_blank">ERNIE-4.5-21B-A3B</a>，為文字混合專家模型，包含210億參數，每token啟用30億參數。其特色包括大幅提高邏輯思考、數學、科學、編程、文字生成等一般需要人類的思考任務運作效能、具有128k長脈絡的理解能力、而且還能使用工具。根據百度文件，ERNIE-4.5-21B-A3B支援簡中及英文。</p> <p>ERNIE-4.5-21B-A3B-Thinking在多項推理繁重的任務中表現出色，特別是在ZebraLogic上得分為89.8，在BBH（Big-Bench Hard）上得分為87.77，在WritingBench上得分為86.5。在HumanEval+和MBPP這兩個常用的程式設計標竿測試中，得分分別超過90和80，顯示紮實的程式碼合成和函數生成能力。</p> <p>ERNIE-4.5-21B-A3B-思考效能方面，在學術式數學任務（AIME2025）和科學QA（BFCL、MUSR）中，該模型略落後於Gemini 2.5 Pro，但仍具有競爭力。它在WritingBench和IF-Eval（指令遵循評估）方面居於領先，突顯了其在遵循結構化提示和產生連貫回應方面的能力。有趣的是，它在ChineseSimpleQA中的表現相對較低，為49.06，這顯示它在深度推理專業化和一般多語言效能之間的權衡。</p> <p>欲執行這款模型，需要硬體具備80GB記憶體的單一GPU，以及FastDeploy 2.2環境。</p> <p>該模型可在Apache 2.0許可下使用，使其可以免費用於研究和商業用途。百度已透過Hugging Face和<a href="https://github.com/PaddlePaddle/ERNIE" target="_blank">GitHub</a>發布。</p> </div></div></div>
2025/9/10 11:55作者林妍溱https://www.ithome.com.tw/news/171089
SAP修補NetWeaver、NetWeaver AS Java重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月9日SAP發布本月例行更新（Security Patch Day），總共修補21項資安漏洞（<a href="https://www.ithome.com.tw/news/170594">上個月</a>是15個），值得留意的是，當中包含3個危險程度達到重大層級的漏洞，其中1個達到滿分（10分）、1個接近滿分，相當危險。</p> <p>上述重大層級漏洞當中最危險的是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42944">CVE-2025-42944</a>，此為NetWeaver反序列化漏洞，攻擊者可在未經授權的情況下，透過特定的公開連接埠傳送惡意酬載，而有機會藉由RMI-P4模組觸發漏洞，CVSS風險達到10分。一旦不受信任的Java物件面臨反序列化處理，就有可能用於執行任意作業系統的命令，嚴重危害應用系統的機密性、完整性、可用性。長期解析SAP每月例行更新的<a href="https://onapsis.com/blog/sap-security-notes-september-2025-patch-day/">資安業者Onapsis指出</a>，攻擊者若是成功利用，就有可能完全入侵整個應用程式；若暫時無法套用修補程式，IT人員應管制P4連接埠因應。</p> <p>另一個風險接近滿分的漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42922">CVE-2025-42922</a>，存在於NetWeaver AS Java，攻擊者取得非管理員的使用者身分，在通過身分驗證的情況下，可藉存在特定服務的弱點而上傳任意檔案，有可能完全入侵系統，嚴重破壞資安，風險值為9.9。</p> <p>第3個重大漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42958">CVE-2025-42958</a>，為NetWeaver缺乏身分驗證檢查造成的弱點，影響執行在IBM i系列作業系統的NetWeaver，具有高權限的使用者，能在未經授權的情況下存取管理員或特權功能，而能對於敏感資訊進行讀取、修改，或是刪除，風險值為9.1。</p> <p>這次SAP也對2023年3月揭露的CVE-2023-27500更新公告內容，此漏洞存在於NetWeaver AS for ABAP及ABAP平臺，風險值為9.6。該公司補充說明了哪些資訊？非SAP用戶無法知道變更的部分，根據Onapsis的透露，主要是新增修正版的指引。</p> </div></div></div>
2025/9/10 11:56作者周峻佑https://www.ithome.com.tw/news/171090
Veo 3和Veo 3 Fas API降價，支援直式與1080p高畫質影片輸出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://developers.googleblog.com/en/veo-3-and-veo-3-fast-new-pricing-new-configurations-and-better-resolution/">宣布</a>Veo 3與Veo 3 Fast正式在Gemini API全面提供穩定版本，並同步調整價格與功能，包含新增直式9:16比例輸出以及1080p解析度選項。這使得開發者在正式產品或平臺中導入生成影片的成本更低，且輸出規格更符合行動與社群應用需求。</p> <p>在價格調整方面，Veo 3費率由每秒0.75美元降至0.40美元，Veo 3 Fast則由每秒0.40美元降至0.15美元。以目前單段生成上限8秒計算，一段Veo 3影片約需3.20美元，而Veo 3 Fast僅需1.20美元，對於需要批次生成或大量測試的場景，成本壓力明顯降低。</p> <p>新功能的重點在於輸出格式，開發者現在可在API呼叫中設定長寬比（aspectRatio）參數為9:16，以生成直式影片，這對短影音或以手機為主的社群平臺特別實用。同時，系統也支援輸出1080p畫質，不過目前1080p僅適用於16:9比例，直式影片仍維持在720p。Veo 3系列影片長度限制依舊為單段8秒，幀率為24 fps，並具備原生音訊輸出能力。</p> <p>Veo 3與Veo 3 Fast分別對應veo-3.0-generate-001與veo-3.0-fast-generate-001兩個模型代號，API設計採非同步工作模式，開發者需透過輪詢方式等待影片生成完成後再下載檔案。Google提供Python與JavaScript範例程式碼，可作為導入的參考。主要設定參數包含提示詞、長寬比與解析度，並可搭配反向提示詞過濾不需要的內容。</p> <p>使用者在AI Studio或Gemini API中進行付費層呼叫前，必須綁定啟用計費的Google雲端專案，要是企業應用，也能透過Vertex AI進行整合，以便管理權限與部署治理。所有由Veo生成的影片均會嵌入SynthID數位浮水印，使生成的內容具可追溯性。</p> </div></div></div>
2025/9/10 08:26作者李建興https://www.ithome.com.tw/news/171074
TP-Link路由器曝CWMP漏洞，影響Archer AX10與AX1500機型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ByteRay資安公司技術長Mehrun Parchebafieh<a href="https://blog.byteray.co.uk/zero-day-alert-automated-discovery-of-critical-cwmp-stack-overflow-in-tp-link-routers-0bc495a08679">發文揭露</a>，TP-Link在其路由器的CWMP/TR-069協定實作，存在堆疊式緩衝區溢位漏洞CVE-2025-9961，影響包括Archer AX10與AX1500等機型。研究人員透過自動化汙點分析工具發現漏洞，於5月11日通報TP-Link，並在9月1日公開漏洞細節，而<a href="https://www.tp-link.com/us/support/faq/4647/">TP-Link則趕緊在9月5日釋出完整修補程式</a>。</p> <p>該漏洞問題出在路由器處理CWMP的SetParameterValues訊息時，相關函式直接將使用者輸入的長度參數套用至strncpy函式，卻僅配置3,072位元組的堆疊緩衝區，且缺乏邊界檢查。研究人員使用GenieACS伺服器發送惡意SOAP負載驗證漏洞，超過4,096位元組的輸入即可造成服務崩潰，而約3,112位元組的資料則足以覆寫程式計數器，證明攻擊者能夠控制執行流程。</p> <p>實際受影響的裝置包含Archer AX10多個硬體版本與對應韌體版本，AX1500因共用相同的CWMP執行檔也受到影響。研究者以FOFA搜尋引擎檢索，有超過4,200個對外公開的IP位址疑似曝露於此漏洞之下。</p> <p>研究人員強調最可能的攻擊情境，是攻擊者先取得路由器設定權限，將設備的ACS伺服器URL指向惡意伺服器。由於許多使用者未更改預設管理密碼，或仍使用弱密碼，加上路由器常有其他既有漏洞或可被社交工程誘導，取得設定權限的門檻相對不高。一旦連線至惡意ACS伺服器，裝置將依協定接受參數推送，進而觸發漏洞並讓攻擊者以Root權限執行任意程式。</p> <p>TP-Link已針對CVE-2025-9961漏洞釋出修補韌體，Archer AX10只要升級至1.2.1 版以上，Archer AX1500升級至1.3.12版以上，即可免受該漏洞影響。TP-Link強調，該漏洞僅能在中間人攻擊情境，且攻擊者已通過認證的前提下被利用，且CWMP功能預設為停用。</p> </div></div></div>
2025/9/10 08:28作者李建興https://www.ithome.com.tw/news/171081
【資安日報】9月9日，歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨天（8日）下午至傍晚有3家上市櫃公司發布資安重訊，其中最特別的資安事故，是奈米醫材揭露海外投資子公司AST VisionCare Inc.（ASTVC-US）遭到冒名的商業郵件詐騙（BEC），歹徒鎖定的是奈米醫材與ASTVC-US投資的美國公司Millennium Biomedical, Inc.（MBI），看上的是現金股利的款項，這代表歹徒對這些公司的運作觀察相當仔細，而能在MBI發放股利的時候對其下手。</p> <p>在BEC事故之外，鎖定開發人員的攻擊事故，這兩週變得相當頻繁，占據了今天近半數的新聞版面，其中，又以大規模攻擊行動GhostAction非常值得注意，駭客一口氣竊得逾3千組帳密及憑證；再者，Nx供應鏈攻擊事故後續調查結果出爐，駭客公開逾6千個私人GitHub儲存庫；另一方面，有人假冒NPM客戶，要求套件開發者啟用多因素驗證的網釣活動，目前至少有18款套件受害。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171075"><strong style="font-size: 22px;">上櫃公司奈米醫材子公司遭遇商業郵件詐騙，預估損失高達140萬美元</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lqQwvW2fEr.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lqQwvW2fEr.png" style="width: 300px; float: right;" /></a></p> <p>近期上市櫃公司於股市公開觀測站發布資安重訊，大部分與資訊系統遭遇網路攻擊有關，亦有部分是外部網站遭到攻擊而影響運作的情況，但最近有一起重訊涉及商業郵件詐騙（BEC），難得的是，該公司在此清楚描述遇害過程，應該是為了呼籲大家重視這項資安議題，而坦言他們上當的狀況，令人敬佩。</p> <p>週一（9月8日）上櫃公司奈米醫材發布重訊，指出旗下的AST VisionCare Inc.（ASTVC-US）遭到歹徒冒名，向另一家子公司Millennium Biomedical, Inc.（MBI）寄送電子郵件並提供匯款帳號，導致MBI將原本要匯給ASTVC-US的款項，匯入歹徒的銀行帳號。</p> <p>這起事故發生的緣由，是MBI於8月20日董事會決議發放現金股利150萬美元，根據奈米醫材及ASTVC-US持有MBI股票的比例，兩家公司分別應得到7.5萬及142.5萬美元。然而，在ASTVC-US向MBI確認現金股利是否匯出之後，才發覺有異，MBI實際上不慎將款項匯給歹徒的銀行帳號。</p> <p><a href="https://www.ithome.com.tw/news/171071"><strong style="font-size: 22px;">供應鏈攻擊GhostAction鎖定GitHub而來，竊取逾3千個帳密及金鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GhostAction-leaked-secrects-types.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GhostAction-leaked-secrects-types.png" style="width: 300px; float: right;" /></a></p> <p>資安業者GitGuardian揭露發生在9月5日的大規模供應鏈攻擊GhostAction，駭客於GitHub儲存庫注入惡意工作流程，竊得3,325組帳密、憑證或金鑰，影響327名GitHub用戶、817個儲存庫。針對駭客竊得機敏資料，涵蓋能存取PyPI、NPM、DockerHub的憑證，他們透過遠端端點發出HTTP POST請求而得逞。</p> <p>針對這起事故發現的過程，GitGuardian指出他們起初是偵測到與FastUUID專案有關的GitHub疑似遭到入侵的跡象，經調查發現，此專案被注入了惡意的工作流程檔案，而且，維護者Grommash9於9月2日提交（Commit）惡意內容，標題是「新增Github Actions資安工作流程」，內含工作流程檔案，但用途卻是竊取機敏資料。</p> <p>然而後續GitGuardian發現，這實際上是規模更大的攻擊活動，於是進一步根據特徵進行比對，結果找到327個受害的GitHub用戶，並確認有3,325組機敏資料外流，其中最大宗的是DockerHub用戶名稱及憑證，分別有154、149個，其次是GitHub、NPM的憑證，有148、145個，其餘還有Confluence的憑證、URL、使用者名稱，以及AWS存取金鑰與ID等。</p> <p><a href="https://www.ithome.com.tw/news/171070"><strong style="font-size: 22px;">Nx供應鏈攻擊影響範圍擴大，6,700多個GitHub私人儲存庫被公開</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1756904579-s1ngularity-aftermath-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1756904579-s1ngularity-aftermath-2.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Wiz發現Nx供應鏈攻擊影響持續擴大，研究團隊指出，攻擊者除了在初期竊取環境變數與憑證外，還進一步濫用外洩的GitHub權杖，將至少6,700個原本屬於私有的儲存庫遭公開，涉及至少480個帳號，其中三分之二為組織。這些動作讓事件從單純的惡意套件散布，演變為更大規模的資料外洩。</p> <p>事件起點是8月26日，攻擊者濫用GitHub Actions取得Nx套件的NPM發布權杖，釋出惡意版本。安裝後的程式會收集環境變數與憑證，再透過受害者本機的GitHub CLI建立名稱帶有s1ngularity-repository文字的公開儲存庫，以存放外洩資料。</p> <p>在第一階段，至少1,700名使用者的機密資訊被公開，總數超過2,000組可驗證憑證與2萬多個檔案，到UTC時間8月28日清晨，還是有約9成外洩的GitHub權杖仍然有效，雖然GitHub之後展開大規模撤銷，最終僅有約5％仍能使用，但這段時間已讓攻擊者有機會存取並利用資料。Wiz在9月3日發布的分析指出，當時第一階段外洩的NPM權杖超過40％仍有效，接近100組。</p> <p><a href="https://www.ithome.com.tw/news/171063"><strong style="font-size: 22px;">逾18個熱門NPM套件因網釣攻擊而被駭客接管</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68bf028d86e3642f1268253f_050c42b9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68bf028d86e3642f1268253f_050c42b9.png" style="width: 300px; float: right;" /></a></p> <p>比利時資安新創Aikido Security在9月8日揭露，駭客藉由假冒NPM市集的客戶支援部門，向眾多NPM套件開發者發送釣魚郵件以騙取憑證，並成功在至少18個熱門套件植入惡意程式，涵蓋除錯工具、涉及終端機顯示的核心套件，以及CLI工具必備的終端機樣式庫等基礎套件，每周下載量達數十億次。駭客的目的在於，竊取受害者的加密貨幣。</p> <p>根據調查，駭客是在2025年的9月5日才註冊npmjs.help網域名稱，以模仿官方的npmjs.com，接著寄出偽裝為NPM客服的釣魚郵件予套件維護者，通常宣稱帳號有安全問題或需要進行驗證，但郵件中連結是導至駭客偽造的NPM登入頁面，以誘導維護者於該頁面輸入憑證及多因素驗證碼。</p> <p>取得憑證的駭客便登入維護者帳號，釋出植入惡意程式的新版本套件；一旦這些套件被應用在前端專案，並於瀏覽器中執行，惡意程式碼便會自動啟動，以偵測瀏覽器加密貨幣錢包，攔截應用與錢包的互動過程，並伺機竄改交易的目的地位址，把收款方替換成駭客所控制的錢包位址。</p> <p><a href="https://www.ithome.com.tw/news/171064"><strong style="font-size: 22px;">研究人員警告以思科ASA裝置為對象的掃描活動激增</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68b8b7284309e17515059532_GreyNoise-Visualizer-Cisco-ASA-Scanner (1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68b8b7284309e17515059532_GreyNoise-Visualizer-Cisco-ASA-Scanner%20(1).png" style="width: 300px; float: right;" /></a></p> <p>資安廠商GreyNoise警告，近日觀察到網路上針對思科防火牆系統Adaptive Security Appliance（ASA）的掃描活動有激增跡象，研究攻擊者鎖定的目標，是尚未公布的資安漏洞。</p> <p>GreyNoise在8月26日觀察到2波對ASA裝置的掃描活動突然竄升。第一波牽涉超過2.5萬個IP位址，第二波是在隔幾日後，IP位址數量略減，但屬相關聯活動。</p> <p>二次事件都是鎖定ASA網頁管理介面的登入路徑（/+CSCOE+/logon.html），GreyNoise表示，這通常表示有人在對曝露於網上的裝置進行偵察。此外，該公司發現，兩波掃描活動中的部分IP位址，也在掃描GreyNoise的Cisco IOS Telnet/SSH及ASA軟體，意謂著兩波掃描是專門鎖定思科的攻擊行動，而非隨機、亂槍打鳥式的掃描。</p> <p><strong style="font-size: 22px;">特殊印刷業者政伸、電子商務業者夠麻吉發資安重訊，指出資訊系統遭遇網路攻擊</strong></p> <p></p> <p>9月8日<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=115453&SPOKE_DATE=20250908&COMPANY_ID=8481">特殊印刷業者政伸</a>、<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162938&SPOKE_DATE=20250908&COMPANY_ID=8472">數位雲端服務與電子商務夠麻吉</a>發布資安重訊，指出他們偵測到公司有部分資訊系統遭遇網路攻擊的情況，全面啟動相關檢測及防禦機制因應，並邀請外部資安公司協同處理。</p> <p>對於資安事故可能造成的影響，兩家公司皆表示，根據他們的初步評估，對公司運作無重大影響。</p>  <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/mostererat-windows-anydesk-tightvnc-access/">惡意程式MostereRAT透過AnyDesk、TightVNC完全存取受害電腦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/gpugate-malware-uses-google-ads-and.html">惡意軟體GPUGate鎖定IT業者而來，透過廣告及GitHub散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-hijack-npm-packages-with-2-billion-weekly-downloads-in-supply-chain-attack/">熱門NPM套件開發者遭網釣，每週下載26億次的套件面臨供應鏈攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-tp-link-zero-day-surfaces-as-cisa-warns-other-flaws-are-exploited/">TP-Link路由器通訊協定CWMP存在零時差漏洞，該廠商正著手開發新版韌體修補</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/max-severity-argo-cd-api-flaw-leaks-repository-credentials/">Argo CD存在滿分漏洞，API恐洩露儲存庫帳密</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171055"><strong style="font-size: 22px;">數發部長林宜敬以五大政策工具發展AI產業，共築數位韌性社會</strong></a></p> <p>數位發展部於今年8月27日迎來成立屆滿三週年的里程碑，緊接著在9月1日，也正式迎來第三任部長，由原先的數位發展部政務次長林宜敬接任部長一職。</p> <p>為確保政策發展的一致性，林宜敬在上任的媒體茶敘中表示，面對全球數位競爭加劇的挑戰，數位發展部將攜手產官學研，共同打造創新、安全且以民為本的數位國家。他特別提出未來將聚焦四大施政重點：建構臺灣的AI產業生態系、強化資安韌性、持續加強打詐工作，以及強化數位政府建設。</p> <p>這樣的政策發展方針，也與前任部長黃彥男所提的「數位經濟三支箭」政策接軌，展現了數位發展部在面對全球數位競爭浪潮下，持續推進臺灣數位轉型的決心。而在媒體茶敘中，面對媒體質疑林宜敬的施政方針是否是「黃規林隨」？林宜敬對於這樣的說法並不在意。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171054"><strong>【9月8日】Salesloft揭露供應鏈攻擊事故發生的源頭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171021"><strong>【9月5日】大規模DDoS攻擊流量達到11.5 Tbps，再創新高</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171008"><strong>【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> </div></div></div>
2025/9/9 18:09作者周峻佑https://www.ithome.com.tw/news/171077
交通堵塞、機車噪音擾民、工地煙塵怎麼解決？桃園市用AI深化智慧城市發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「如何有效解決市民的問題、提高生活品質，是我們發展智慧城市的目標」，桃園市政府智慧城鄉發展委員會主任委員廖修武近期在一場活動中分享桃園市推動智慧城市的經驗，他點出桃園市所面臨的問題在於，過去十年桃園市的人口成長15%，但是道路、醫療、學校等城市的基礎建設無法快速成長，使得民眾生活環境的壓力增加，1999市民陳情案件增加。</p> <p>除了人口移入造成的生活品質問題，另一個則是產業，由於桃園市內國際機場，加上高速公路運輸發達，吸引製造業、物流業等產業大舉投資，擴大在桃園的營運據點，儘管帶動桃園的經濟民生，也帶來廢氣、廢土等污染；此外，人口的移入也造成營建工地增加，根據市府統計，桃園一年約有4千個工地，這些工地產生的廢土、噪音、煙塵等環境問題，引發民眾的不滿，進而向市府陳情。</p> <p><span style="color:#B22222;"><strong>組織改造成立智慧城鄉發展委員會，加速智慧桃園發展</strong></span></p> <p>由於市府的稽核人力有限，需要以更聰明的方式，提高基礎建設使用效益，並提高市府人員的稽核效率，具有科技背景的桃園市長張善政提出智慧桃園的願景，希望積極借助資訊科技，以更智慧的方式治理城市。</p> <p>廖修武表示，市府內高考具有資訊職系背景的員工約有143人，這些人分散至各單位，要推動整個市府整個組織3.6萬多人的智慧發展並不容易。而在組織架構上，桃園市政府原本設有資訊科技局，主要負責市府內的資訊化發展，如果以資訊科技局推動智慧城市發展，雖然資科局的人力較容易接受資訊科技，但是資科局與教育局、社會局等同為平行單位，不容易讓其他單位配合，而研考會負責政策研究、市政計畫的管考，依研考會的職權，可管制一定經費以上的市政計畫。</p> <p>因此市府將資訊科技局與研考會合併為智慧城鄉發展委員會，統管市府的資訊管理、市政政策研究，以及市府各個機關的市政績效。「自己可以說同時是CIO兼COO的角色」，廖修武說。</p> <p>另外，市府也成立智慧桃園推動會，加速推動桃園向智慧城市發展，由張善政擔任推動會主委，突顯市長對實現智慧桃園的高度重視，智慧桃園推動會研擬市府各機關的智慧化基礎建設、數位服務、人才培養，並透過產官學合作，加速智慧城市發展。</p> <p>廖修武指出，目前推動的幾個面向，包括智慧治理、智慧民生、智慧產業、智慧培力，其中智慧治理為提升市府內部的治理工作，智慧民生則是與民眾生活需求相關的政府服務，智慧產業則推動產業的智慧化發展，智慧培力則培養市民的數位化技能，特別針對新住民或高齡者，希望縮短數位落差。</p> <p><span style="color:#B22222;"><strong>導入智慧號誌提高行車效率，建立智慧路廊縮短救護車抵院時間</strong></span></p> <p>在民眾的各種生活問題中，交通可以說是民眾每天上班、上課都會遭遇的問題，但是要修建新的道路不容易，桃園市政府從提高道路的交通吞吐量著手，主要推動智慧號誌，其概念是判斷某路段沒有車輛行駛，動態控制交通號誌的時制，讓車輛及早通行，減少車輛等待紅燈的時間，提高交通效率。</p> <p>廖修武表示，其他縣市也有智慧號誌，但不同的是，桃園市交通號誌會計算起迄點的最佳時制秒數，再分配給每個路口紅綠燈號誌秒數，目前桃園市的智慧號誌先設計以路廊為主，約90個號誌採用智慧號誌，下一步是在今年底前發展為智慧路網。桃園市推動交通智慧號誌的挑戰，包括不同天候條件下的辨識，通過演算法動態分配號誌秒數，同一個路口在不同的條件下，AI分配的停等秒數會有不同，目前導入智慧號誌的效益，一個路廊總停等最高可省下25%。</p> <p>另外，桃園市政府也將智慧號誌用於緊急救難車輛，例如消防車、救護車，讓緊急車輛有優先通過的權限，目前市府在急救醫院的聖保祿醫院，桃園市約有12.5%的救護車將病患送到聖保祿醫院，該醫院位於陸橋前，由於陸橋上車輛迴避空間有限，常導致救護車被堵塞在路上。</p> <p>他們針對通過救護車至該醫院的行經路段，利用智慧號誌建立路廊，消防局救護車出動後，不斷發送位置資訊給交通局的智慧號誌系統，當救護車經過民族陸橋觸發電子圍籬後，系統會先讓民族陸橋上的車輛淨空，以利救護車通過陸橋，及早抵達醫院，為病患爭取急救時效。</p> <p>廖修武表示，這項計畫促成消防局與交通局的跨局處合作，去年共觸發1,872次，旅行時間平均約4分鐘，最多可節省80%的時間。除了聖保祿醫院，前往敏盛醫院、部立桃園醫院的路口也導入智慧號誌控管的作法。</p> <p><span style="color:#B22222;"><strong>夜晚機車飆車噪音成公害，怎麼解？</strong></span></p> <p>另外，從桃園市1999民眾陳情的資訊來看，有不少是民眾投訴夜晚飆車族機車行駛噪音，夜晚機車行駛的噪音成為桃園市民陳情的公害第1名，影響民眾生活品質。</p> <p>由於機車族數量眾多，傳統以人力攔查機車，往往造成警力和環保人員的工作負擔，出動幾十人，一天攔查下來可能只有告發7件，人力攔查取締的效率並不高；另外，民眾反映某一個路段機車噪音過大，警察到場攔查，飆車族為避免被攔查會暫時降低噪音，使得現場取締工作並不容易。</p> <p>不少縣市會在路口加裝聲音照相設備，加上標示警語，以科技執法來降低人力負擔，但是有經驗的騎士會在行經有照相設備的路段時，暫時降低速度以降低噪音，來規避聲音照相，因此聲音照相可提供一定的幫助，但是取締效果也有限。</p> <p>廖修武表示，經過思考飆車習慣騎士的思維，車輛改裝和噪音有相關性，大多數機車行駛發出的噪音和改裝排氣管有關，希望從取締噪音改為取締改裝排氣管，但是依照法規規定，噪音超出標準才能取締開罰，而改裝排氣管如果沒有上路，也不能開罰，桃園市花費不少時間與行政院溝通，最終獲得修法支持，將噪音超過標準的標準罰，改為取締改裝排氣管的行為罰，只要改裝就能開罰。</p> <p>接下來要解決的問題是，該如何運用科技執法來取締改管，降低人力的工作負擔，同時提高取締開單的效率？</p> <p>廖修武表示，某次市警局向智慧城鄉發展委員會爭取經費，在警車巡邏時，透過iPhone自動辨識路上其他車輛的車牌，以找出失竊車輛或可疑車輛，建議市警局辨識車牌的同時，是否也能辨識機車改管，在經過測試評估後，最後決定改在警用巡邏機車上搭載鏡頭，除了警用機車車頭之外，在其側面也安裝鏡頭，透過視覺辨識模組來取締機車改管。經過統計，每年可透過此方式排查超過17萬輛機車，舉發改管約3千多件，民眾陳情案件也顯著下降。（下圖為資料照片，來源：桃園市政府）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96600(8).jpg" style="width: 600px; height: 576px;" /></p> <p>目前桃園市政府也運用AI視覺辨識技術，解決其他市民的問題，例如應用在工地施工，或是取締隨意丟棄垃圾。</p> <p>在市府工作效率方面，廖修武指出，市府已針對生成式AI進行資料蒐集整理準備工作，目前先提供地端部署的自動會議紀錄，接下來還會用於政策的草稿、活動企畫，以及警政案件、市政數據分析。另外，市府也會開發相關的工具，來降低市府員工的文書作業負擔。</p> <p>廖修武也提醒，運用生成式AI必需解決幻覺的問題，且確保AI所作出的決定能夠回溯及判斷。另外，模型經過微調後，也需注意避免注入攻擊的風險，針對這部分，市府目前採取聯邦式學習或合成數據，確保資料不會外洩出去。他認為市府公部門使用AI，使用什麼模型，可產生什麼效果，這些都必需掌握清楚。「如同市長的鼓勵創新，想像可以很創新，但必需要顧及可能的風險，以比較務實的態度達成目標」。</p> <p> </p> </div></div></div>
2025/9/9 18:09作者蘇文彬https://www.ithome.com.tw/news/171076
上櫃公司奈米醫材子公司遭遇商業郵件詐騙，預估損失高達140萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期上市櫃公司於股市公開觀測站發布資安重訊，大部分與資訊系統遭遇網路攻擊有關，亦有部分是外部網站遭到攻擊而影響運作的情況，但最近有一起重訊涉及<a href="https://www.ithome.com.tw/tags/bec">商業郵件詐騙（BEC）</a>，難得的是，該公司在此清楚描述遇害過程，應該是為了呼籲大家重視這項資安議題，而坦言他們上當的狀況，令人敬佩。</p> <p>週一（9月8日）上櫃公司奈米醫材<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170147&SPOKE_DATE=20250908&COMPANY_ID=6612">發布重訊</a>，指出旗下的AST VisionCare Inc.（ASTVC-US）遭到歹徒冒名，向另一家子公司Millennium Biomedical, Inc.（MBI）寄送電子郵件並提供匯款帳號，導致MBI將原本要匯給ASTVC-US的款項，匯入歹徒的銀行帳號。</p> <p>ASTVC-US是奈米醫材於美國設立的全資子公司，負責執行海外投資活動，ASTVC-US藉由奈米醫材的資金，購買MBI的股票，以拓展奈米醫材的美國市場布局。</p> <p>奈米醫材在昨天發布的資安重大訊息表示，這起事故發生的緣由，是MBI於8月20日董事會決議發放現金股利150萬美元，根據奈米醫材及ASTVC-US持有MBI股票的比例，兩家公司分別應得到7.5萬及142.5萬美元。然而，在ASTVC-US向MBI確認現金股利是否匯出之後，才發覺有異，MBI實際上不慎將款項匯給歹徒的銀行帳號。</p> <p>根據後續調查，8月24日MBI透過電子郵件向ASTVC-US確認匯款資訊，但實際上ASTVC-US並未收到相關信件，後續亦無往來記錄。經過相關人員確認，MBI隔日收到的回覆信件，其實是歹徒冒名ASTVC-US而發送的信件，郵件提及的匯款資料及指示，皆為詐騙訊息。</p> <p>MBI向匯款銀行通報此事，經銀行追查，142.5萬美元已被全數提領，銀行將追查資金的流向；該公司亦向美國聯邦調查局（FBI）報案，假若這些款項無法追回，最大的損失金額為142.5萬美元。</p> <p>值得留意的是，BEC事故出現在資安重訊的情況，已非首例。<a href="https://www.ithome.com.tw/news/163841">去年7月崴寶精密科技指出</a>，他們與客戶遭遇BEC詐騙，歹徒冒名發送電子郵件，要求客戶將原本要給付的1百多萬美元匯至另一帳戶，所幸透過執法單位及時凍結接收匯款的人頭帳戶，並未造成損失。</p> </div></div></div>
2025/9/9 17:27作者周峻佑https://www.ithome.com.tw/news/171075
Anthropic支持加州SB 53法案，AI系統部署前須公開安全評估
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.anthropic.com/news/anthropic-is-endorsing-sb-53">Anthropic宣布支持加州SB 53法案</a>，該項針對尖端人工智慧開發組織的法案，要求在部署具高度影響力的人工智慧系統前，必須公開安全評估與透明度報告，並於發生重大事故後，在規定時限內通報主管機關。該法案以信任但驗證為核心原則，透過揭露與問責取代之前偏重技術規範的立法。</p> <p><a href="https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202520260SB53">SB 53法案</a>鎖定具備龐大資源，能訓練與部署強大模型的開發組織，依照條文，這些公司需制定並公開安全框架，具體說明如何辨識、評估與降低可能導致重大人身或財務損害的災難性風險。在部署新模型前，必須提交透明度報告，涵蓋模型測試、採取的防範措施與部署決策理由，同時，當發生重大安全事故，開發組織須於15日內向州政府通報，在涉及迫切的公共安全威脅，則需在24小時內通報執法或公共安全單位。法案並要求設置吹哨者保護機制，提供匿名檢舉管道，違規者將面臨民事責任與罰鍰。</p> <p>SB 53法案明確聚焦於少數具尖端開發能力的大型公司，避免加重新創團隊負擔，並授權加州司法部長依技術演進調整大型開發組織的定義，使規範能隨著模型能力的進展保持彈性，不致因固定門檻而產生漏洞。同時，法案要求政府建立CalCompute的框架與報告機制，協助學研機構與新創團隊取得高階運算資源，支持安全測試與研究。</p> <p>Anthropic強調，該公司現行的負責任擴展政策（Responsible Scaling Policy）與系統說明卡制度，已包含風險評估、模型能力說明與緩解措施揭露等做法。SB 53能將這些自律措施轉化為法律基準，避免業界在競爭壓力下縮減安全或揭露工作。Anthropic認為，SB 53法案不僅提供清楚的法律責任，也能確保開發組織在持續創新同時維持透明與安全。</p> <p>SB 53可視為對去年SB 1047遭否決後的後續法案。SB 1047因傾向以法律直接規定技術細節而遭州長否決，隨後組成的加州尖端人工智慧政策工作小組建議，改以透明度與問責為核心治理架構，今年新提出的SB 53正是依循該建議設計，並獲得包括Anthropic在內的大型實驗室支持。</p> <p>Anthropic同時提醒，之後仍需進一步規範測試與評估細節，並建立能隨時更新的規則，以跟上快速演進的人工智慧技術。</p> </div></div></div>
2025/9/9 16:21作者李建興https://www.ithome.com.tw/news/171073
供應鏈攻擊GhostAction鎖定GitHub而來，竊取逾3千個帳密及金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定GitHub儲存庫下手，挖掘開發團隊存放的帳密資料的情況，不時有資安事故傳出，但最近有越來越頻繁的現象，例如：有人假冒NPM市集客服，<a href="https://www.ithome.com.tw/news/171063">向套件開發者發送釣魚郵件騙取憑證</a>，並至少在18個熱門套件植入惡意程式，意圖竊取用戶加密貨幣；8月底<a href="https://www.ithome.com.tw/news/170877">知名開源建置工具Nx被發現於NPM上架惡意版本</a>，<a href="https://www.ithome.com.tw/news/171070">超過6千個私人GitHub儲存庫被波及</a>。最近有一起大規模供應鏈攻擊，使得開發安全再度亮起紅燈。</p> <p>資安業者GitGuardian揭露<a href="https://blog.gitguardian.com/ghostaction-campaign-3-325-secrets-stolen/">發生在9月5日的大規模供應鏈攻擊GhostAction</a>，駭客於GitHub儲存庫注入惡意工作流程，竊得3,325組帳密、憑證或金鑰，影響327名GitHub用戶、817個儲存庫。針對駭客竊得機敏資料，涵蓋能存取PyPI、NPM、DockerHub的憑證，他們透過遠端端點發出HTTP POST請求而得逞。</p> <p>針對這起事故發現的過程，GitGuardian指出他們起初是偵測到與FastUUID專案有關的GitHub疑似遭到入侵的跡象，經調查發現，此專案被注入了惡意的工作流程檔案，而且，維護者Grommash9於9月2日提交（Commit）惡意內容，標題是「新增Github Actions資安工作流程」，內含工作流程檔案，但用途卻是竊取機敏資料。</p> <p>GitGuardian解析檔案內容，指出此工作流程會從CI/CD流程截取PyPI憑證，並傳送到攻擊者控制的伺服器。此憑證的用途，是FastUUID專案開發套件所用。雖然該憑證可被用來上傳有問題的FastUUID套件，不過攻擊者並未用來發布惡意套件。該公司在GitHub專案發出問題（Issue）向FastUUID開發團隊提出警告，並向PyPI通報此事，隨後PyPI將專案變更為唯讀狀態，而遭到入侵的GitHub用戶也取消原本發布的惡意內容。</p> <p>不過，FastUUID似乎並非駭客的主要目標，因為在他們在成功入侵的3天後，並未出現進一步的活動。然而後續GitGuardian發現，這實際上是規模更大的攻擊活動，他們後來看到有人將相同的惡意提交內容，推送到5個公開的儲存庫，以及10個私人儲存庫，於是進一步根據特徵進行比對，結果找到327個受害的GitHub用戶，並確認有3,325組機敏資料外流，其中最大宗的是DockerHub用戶名稱及憑證，分別有154、149個，其次是GitHub、NPM的憑證，有148、145個，其餘還有Confluence的憑證、URL、使用者名稱，以及AWS存取金鑰與ID等。</p> <p>於是，GitGuardian決定在817個受影響的儲存庫提交問題來通知開發團隊，結果有100個已採取行動處理，剩下的717個專案當中，他們成功發出573個問題，其餘則是將問題刪除，或是停用相關功能。該公司也通報GitHub、PyPI、NPM的資安團隊，並對受影響的軟體套件進行監控，根據初步調查，有9個NPM套件、15個PyPI套件可能存在相關風險。</p> </div></div></div>
2025/9/9 14:47作者周峻佑https://www.ithome.com.tw/news/171071
微軟與Nebius簽署多年AI雲端運算協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年10月才徹底轉型為AI基礎設施的Nebius，<a href="https://www.sec.gov/Archives/edgar/data/1513845/000110465925088312/tm2525580d1_6k.htm" target="_blank">本周一（9/8）向美國證券交易委員會（SEC）報告</a>，已與微軟簽署合作協議，將在未來5年供應微軟新資料中心的GPU架構，合約價值介於174~194億美元之間。消息發布的當天，Nebius的盤後股價大漲46.58%，衝至93.9美元。</p> <p>Nebius的前身為Yandex，它是俄羅斯最大搜尋引擎Yandex的控股公司，總部設於荷蘭，2011年即登上美國那斯達克股市。然而，2022年爆發的俄烏戰爭令Yandex陷入制裁漩渦，國際業務幾乎停擺，股市交易也被暫停；於是它在2024年7月出售了俄羅斯的本土業務，更名為Nebius，接著全面轉型為AI雲端與基礎設施，同年10月才恢復在那斯達克的交易。</p> <p>值得注意的是，<a href="https://nebius.com/newsroom/nebius-announces-oversubscribed-strategic-equity-financing-of-usd-700-million-to-accelerate-roll-out-of-full-stack-ai-infrastructure" target="_blank">Nebius於2024年透過私募方式進行增資</a>，以每股21美元發行約3,333萬股A類新股，總計募得7億美元。這筆資金主要用於推動全堆疊AI基礎設施建設，包括大型GPU叢集、雲端平臺與AI開發工具。其中，Nvidia亦參與本輪投資，成為股東之一。</p> <p><a href="https://nebius.com/newsroom/nebius-reports-second-quarter-financial-results-and-raises-arr-guidance-for-2025" target="_blank">在今年第二季的財報中</a>，Nebius創下了1.05億美元的營收，比去年同期成長625%，還估計今年底其年化營收（ARR）將達到9億至11億美元。</p> <p>在此次與微軟的協議中，Nebius承諾將在2025年及2026年分批部署GPU服務，到2031年的總合約價值為174億美元，微軟也可追加額外的服務或容量，而讓合約價值增加至194億美元。</p> <p><a href="https://nebius.com/newsroom/nebius-announces-multi-billion-dollar-agreement-with-microsoft-for-ai-infrastructure" target="_blank">Nebius創辦人暨執行長Arkady Volozh表示</a>，該公司核心的AI雲端業務服務對象涵蓋AI新創到大型企業，也期待與AI實驗室及大型科技業者簽訂長期合約，此一交易除了帶來重要的經濟效益外，也將協助Nebius加速未來幾年的AI雲端業務成長。</p> <p>與Nebius類似的AI原生雲端業者還包括CoreWeave及Lambda，其中，微軟、OpenAI及Stability AI都是CoreWeave客戶，而Lambda的客戶多為AI研究實驗室。</p> </div></div></div>
2025/9/9 14:26作者陳曉莉https://www.ithome.com.tw/news/171069
Nx供應鏈攻擊影響範圍擴大，6,700多個GitHub私有儲存庫被公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Wiz<a href="https://www.wiz.io/blog/s1ngularitys-aftermath">發現</a>Nx供應鏈攻擊影響持續擴大，研究團隊指出，攻擊者除了在初期竊取環境變數與憑證外，還進一步濫用外洩的GitHub權杖，將至少6,700個原本屬於私有的儲存庫遭公開，涉及至少480個帳號，其中三分之二為組織。這些動作讓事件從單純的惡意套件散布，演變為更大規模的資料外洩。</p> <p>事件起點是8月26日，攻擊者濫用GitHub Actions取得Nx套件的NPM發布權杖，釋出惡意版本。安裝後的程式會收集環境變數與憑證，再透過受害者本機的GitHub CLI建立名稱帶有s1ngularity-repository文字的公開儲存庫，以存放外洩資料。</p> <p>在第一階段，至少1,700名使用者的機密資訊被公開，總數超過2,000組可驗證憑證與2萬多個檔案，到8月28日清晨（UTC），還是有約9成外洩的GitHub權杖仍然有效，雖然GitHub之後展開大規模撤銷，最終僅有約5％仍能使用，但這段時間已讓攻擊者有機會存取並利用資料。Wiz在9月3日發布的分析指出，當時第一階段外洩的NPM權杖超過40％仍有效，接近100組。</p> <p>第二階段中，攻擊者利用已竊取的GitHub憑證，將私有儲存庫大量公開。這些被公開的儲存庫以s1ngularity-repository-#5letters#為命名規則，有組織單次被公開的數量超過700個。雖然GitHub已經移除這些儲存庫，但機密資料可能已被外部下載與複製。第三階段則發生在8月31日，兩個遭入侵的帳號將單一組織的500多個儲存庫公開上傳，並加上S1ngularity描述與_bak後綴。</p> <p>值得注意的是，惡意程式也偵測了本機是否安裝Claude、Gemini與Amazon Q等人工智慧CLI，並以不同提示詞嘗試建立敏感檔案清單再一併外洩。不過實際成效受限於工具安裝與憑證配置、模型安全防護，以及執行範圍限制等因素，整體成功率不到四分之一。在2萬份外洩檔中僅看到不到100組有效祕密，主要為人工智慧服務與雲端平臺金鑰。此一結果顯示人工智慧雖被納入攻擊鏈，但目前外洩資訊的效果有限且不穩定。</p> <p>研究人員指出，這起事件的特點在於攻擊者能將單一設定疏漏逐步放大，最終造成廣泛的供應鏈影響。企業與開發團隊應立即檢查GitHub Audit Logs，特別是repo.create與repo.access事件中是否含有s1ngularity字串，以及是否有短時間內大量Clone的異常行為。當Audit Logs中出現actor_id為github-staff的org_credential_authorization.deauthorize事件，代表GitHub已針對帳號進行大規模撤銷。</p> <p>同時，研究人員也建議開發者全面輪換受影響的GitHub與NPM憑證，檢查曾被公開的儲存庫是否包含敏感資料，並將權杖管理與最小權限落實到日常流程。如果開發環境內安裝人工智慧CLI，也應審查執行權限與限制，避免成為攻擊者利用的工具。</p> </div></div></div>
2025/9/9 14:46作者李建興https://www.ithome.com.tw/news/171070
英特爾高層變動，新設中央工程部門以開發客製化晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.intel.com/corporate/intel-announces-key-leadership-appointments" target="_blank">英特爾（Intel）周一（9/8）宣布高層變動</a>，不過，有變的並不是被美國總統川普（Donald Trump）<a href="https://www.ithome.com.tw/news/170496" target="_blank">點名</a>的執行長陳立武，而是資料中心部門（Data Center Group，DCG）與用戶端運算部門（ Client Computing Group，CCG）主管，還新設了中央工程部門（Central Engineering Group，CEG）。</p> <p>英特爾的每個營收部門原本就都有專任的總經理，但DCG總經理自2023年後即懸缺迄今，此次正式宣布由來自Arm的Kevork Kechichian接任。Kechichian過去曾擔任Arm工程部的副總裁，負責生態合作夥伴的技術開發，未來將管理英特爾橫跨雲端與大型企業，以及Xeon處理器家族的資料中心業務。</p> <p>至於CCG部門的新任總經理為英特爾老將Jim Johnson，他在英特爾已任職40年，將自產品執行長Michelle Holthaus手上接下CCG。Holthaus則已提出辭呈，在未來幾個月將繼續擔任顧問以協助任務移轉。</p> <p>此外，英特爾的代工業務Intel Foundry原本分為研發/製造，以及業務團隊，分別由Naga Chandrasekaran及Kevin O’Buckley領導，現在則由Chandrasekaran統籌。</p> <p>英特爾還設立了一個全新的中央工程部門，以集中管理DCG、CCG及Foundry的工程資源，同時發展全新的客製化晶片（Custom Silicon）業務，並由今年6月才加入英特爾的Srinivasan Iyengar負責。Iyengar曾負責電子設計自動化（EDA）公司Cadence Design Systems的全球矽工程，專長之一為客製化晶片的開發，也曾與許多大規模資料中心客戶合作，協助客戶優化關鍵任務的解決方案。</p> <p>上述的Kechichian、Johnson、Chandrasekaran與Iyengar都將直接向陳立武彙報，外傳陳立武的留任與董事會對他的支持，以及陳同意<a href="https://www.ithome.com.tw/news/170785" target="_blank">美國政府入股英特爾</a>的政策有關。</p> </div></div></div>
2025/9/9 14:56作者陳曉莉https://www.ithome.com.tw/news/171072
SpaceX以170億美元買下EchoStar的頻譜授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國老牌衛星通訊及網路服務供應商<a href="https://ir.echostar.com/news-releases/news-release-details/echostar-announces-spectrum-sale-and-commercial-agreement-spacex" target="_blank">EchoStar周一（9/8）宣布</a>，將以170億美元的價格將AWS-4及H-block頻譜出售給SpaceX。<a href="https://www.spacex.com/updates#dtc-gen2-spectrum" target="_blank">SpaceX則說</a>，此一交易將使得該公司得以開發及部署下一代的Starlink Direct to Cell衛星星座，提供全球的手機衛星通話服務。</p> <p>EchoStar成立於1980年，業務範圍涵蓋衛星電視服務、串流電視服務，以及衛星網路服務等，但近年來財務狀況不佳，今年第二季的營收為37.2億美元，比去年同期減少5.8%，並虧損了3億美元。</p> <p>此次雙方交易的AWS-4是位於2GHz左右的S頻段，可用於行動衛星服務（Mobile Satellite Service，MSS），覆蓋範圍廣且穿透力佳；H-block亦是接近2GHz的行動通訊頻譜，可搭配AWS-4以提升頻寬與容量，並同時相容於地面網路及衛星通訊。EchoStar所持有的這兩個頻譜授權缺乏大規模的商業應用，被視為EchoStar的沈睡資產。</p> <p>此外，美國聯邦通訊委員會（FCC）近年多次詢問EchoStar有否充分利用所持有的AWS-4與H-block頻譜，質疑該公司囤積頻譜。該交易將可同時替EchoStar的財務與監管困境解套。</p> <p>另一方面，SpaceX將藉由支付85億美元的現金，以及相當於85億美元的SpaceX股票，來買下EchoStar在美國所持有的AWS-4與H-block頻譜，以及其全球MSS頻譜授權，並將這些頻譜當作SpaceX專屬的手機直連通道。由於它們都屬於iPhone與Android手機早就支援的3GPP標準頻段，因此用戶只要能看到天空，就能使用現有手機直連Starlink，使用簡訊、語音及資料傳輸服務。</p> <p>SpaceX是自2024年1月開始部署具備Direct to Cell功能的Starlink衛星，當時可支援未改裝的手機發送簡訊，5月便可支援視訊通話，現在SpaceX已發射逾600顆Starlink Direct to Cell 衛星，成為地球上最大的4G覆蓋供應商，連結逾600萬名使用者。此外，Direct to Cell衛星星座也能透過Starlink雷射網路連結由逾8,000顆衛星組成的Starlink衛星星座，擴大其覆蓋率至全球。</p> <p>而新一代的Direct to Cell衛星將充分利用這些頻譜，搭載SpaceX自行研發的晶片與相控陣天線（phased array antenna），將可同時支援數千條空間波束並提供更高的頻寬，讓單顆衛星的吞吐能力提升20倍，整體系統容量增加100倍以上，在大多數環境下，這將使直連衛星的手機具備完整的5G連線能力，帶來接近地面LTE的體驗。</p> <p>目前SpaceX是與美國電信業者T-Mobile合作，<a href="https://www.ithome.com.tw/news/170264" target="_blank">在美國推出T-Satellite服務</a>，讓使用者可透過衛星網路來傳送簡訊及定位訊息。</p> </div></div></div>
2025/9/9 13:27作者陳曉莉https://www.ithome.com.tw/news/171068
Signal Android測試版安全備份功能上線，支援加密與付費擴充
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私傳訊軟體Signal在Android最新測試版推出<a href="https://signal.org/blog/introducing-secure-backups/">安全備份（Secure Backups）功能</a>，讓使用者能在手機遺失或損毀時保留訊息紀錄。該功能採自願啟用與端對端加密，會以每日自動更新的方式建立備份檔。</p> <p>免費方案可備份最近45天的媒體以及上限100 MiB的訊息本文，選擇每月1.99美元的付費訂閱，則可備份超過45天的媒體歷史，且備份容量上限為100 GB。官方表示，這是Signal第一次引入收費機制，理由在於媒體檔案儲存與傳輸成本高昂，作為不依賴廣告與資料變現的非營利組織，Signal必須以不同的方式分攤支出。</p> <p>安全備份的架構強調隱私優先，系統使用與群組功能相同的零知識（Zero Knowledge）技術，備份檔不會與帳號或付款資訊直接綁定，降低任何中介層級的可辨識性。每位使用者的核心控制點是一組64字元復原金鑰，僅在裝置端生成，不會儲存在伺服器，該金鑰是唯一可解鎖備份的憑證，一旦遺失將無法還原。</p> <p>Signal強調他們無法協助找回金鑰，建議使用者以紙本紀錄或可信的密碼管理器妥善保存。</p> <p>目前安全備份僅限安裝Android測試版的使用者，後續將逐步開放至iOS與桌面版。啟用功能後，系統每天會自動生成新的加密備份，並覆蓋前一日版本，只有持有復原金鑰的使用者本人能解密，訊息還原時將排除單次檢視訊息，與未來24小時內即將消失的訊息。由於備份以日為單位刷新，近24小時內刪除或設定將消失的內容不會保留，與使用者原本的操作意圖一致。</p> <p>Signal指出，這套架構只是第一步，未來將擴展更多選項，例如讓使用者自行決定備份存放位置，或支援跨平臺加密訊息歷史的傳輸，涵蓋Android、iOS與桌面端。這項更新解決了Signal長期存在的痛點，便是當裝置遺失時無法保留訊息，而透過安全備份，用戶得以在不犧牲隱私的前提下，確保重要對話與檔案能夠留存，也替之後的跨平臺備份鋪路。</p> </div></div></div>
2025/9/9 12:38作者李建興https://www.ithome.com.tw/news/171067
Google公布Gemini的每日使用限額
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Gemini雖然推出一年多，也陸續更新其底層模型Gemini，但Google始終未說明Gemini的使用限額。<a href="https://support.google.com/gemini/answer/16275805" target="_blank">Google本周一終於公布</a>Gemini各階層方案的每日輸入提示次數等資訊。</p> <p>Google在最新的<a href="https://support.google.com/gemini/answer/16275805" target="_blank">說明中心頁</a>加入Gemini應用程式的使用限制及Google AI訂閱戶升級資訊，提供對免費版Gemini、付費的Google AI Pro、Ultra版的Gemini App的每日使用限額。其中免費版在最新的Gemini 2.5 Pro模型每日最多輸入5個提示，Pro和Ultra方案則可以最多輸入100個及500個提示。</p> <p>三個等級唯二相同的服務是，都能獲得2.5 Flash Gemini模型正常量的輸入提示，以及每天最多20則語音摘要。</p> <p>在Deep Research方面，免費版每個月可用2.5 Flash製作5份報告，Pro版和Ultra版則每月各可以生成20份和200份報告。至於Deep Think，只有Ultra版每天可輸入10個提示（context windows 19.2萬個token）</p> <p>生成功能方面，免費版每天最多生成100張圖片，沒有影片生成的福利。Pro版和Ultra版每天都能生成1000張圖片，前者每天可用Veo 3 Fast生成3部影片，後者則可獲得5部。</p> <p>Google Gemini和OpenAI ChatGPT相較提供的服務互有高下。其中ChatGPT免費版每日僅能生成2、3張圖片（Gemini可生成100張），但ChatGPT免費版每日有1次的Thinking服務、10次GPT-5提示，略優於Gemini，且ChatGPT Plus和Pro可自由使用Sora生成影片，也優於Google Gemini。</p> <p>Google Gemini另一優勢是整合Workspace如Gmail、Google Docs、Google Photos等服務。但隨著OpenAI成立新的應用部門，未來可能將ChatGPT整合進自己的應用中，<a href="https://www.ithome.com.tw/news/169969" target="_blank">包括傳說中的瀏覽器</a>。</p> </div></div></div>
2025/9/9 10:29作者林妍溱https://www.ithome.com.tw/news/171062
逾18個熱門NPM套件因網釣攻擊而被駭客接管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年於比利時創立的資安新創<a href="https://www.aikido.dev/blog/npm-debug-and-chalk-packages-compromised" target="_blank">Aikido Security在本周一（9/8）揭露</a>，駭客藉由假冒為NPM（Node Package Manager）市集的客戶支援部門，向眾多NPM套件開發者發送釣魚郵件以騙取憑證，並成功在至少18個熱門套件中植入惡意程式，涵蓋除錯工具、涉及終端機顯示的核心套件，以及CLI工具必備的終端機樣式庫等基礎套件，每周下載量達數十億次。駭客的目的在於竊取受害者的加密貨幣。</p> <p>根據調查，駭客是在2025年的9月5日才註冊npmjs.help網域名稱，以模仿官方的npmjs.com，接著寄出偽裝為NPM客服的釣魚郵件予套件維護者，通常宣稱帳號有安全問題或需要進行驗證，但郵件中連結是導至駭客偽造的NPM登入頁面，以誘導維護者於該頁面輸入憑證及多因素驗證碼。</p> <p>取得憑證的駭客便登入維護者帳號，釋出植入惡意程式的新版本套件；一旦這些套件被應用在前端專案，並於瀏覽器中執行，惡意程式碼便會自動啟動，以偵測瀏覽器加密貨幣錢包，攔截應用與錢包的互動過程，並伺機竄改交易的目的地址，把收款方替換成駭客所控制的錢包位址。</p> <p>值得注意的是，駭客似乎鎖定了熱門套件，受害清單上絕大多數都是基礎建設級的元件，包括每周下載量高達3.7億次、提供終端機文字樣式的ansi-styles，每周下載量超過3.5億次的除錯工具debug，或是每周下載量接近3億次的終端機字體上色工具chalk，其它還包括supports-color、strip-ansi、ansi-regex、wrap-ansi、color-convert、color-name、is-arrayish、slice-ansi、error-ex、color-string、simple-swizzle、supports-hyperlinks、has-ansi、chalk-template與backslash等。</p> <p>Aikido的威脅情報系統是在9月8日偵測到NPM有異常新版本，<a href="https://github.com/chalk/chalk/issues/656" target="_blank">之後開始出現套件被危害的討論</a>，維護者才意識到自己被騙輸入憑證，並看到自己NPM後臺的版本發布紀錄出現了不是來自自己的新版本。</p> <p>資安專家建議套件維護者應立即變更所有憑證，強制啟用多因素驗證，撤銷惡意版本並重新發布安全版本/公告，亦應通知下游專案或企業用戶。開發者則應暫停自動升級，展開安全檢測，並重建部署。</p> </div></div></div>
2025/9/9 10:45作者陳曉莉https://www.ithome.com.tw/news/171063
研究人員警告以思科ASA裝置為對象的掃描活動激增可能爆出新漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.greynoise.io/blog/scanning-surge-cisco-asa-devices" target="_blank">資安廠商GreyNoise警告</a>，近日觀察到網路上針對思科防火牆ASA（Adaptive Security Appliance）的掃描活動有激增跡象，可能近日會有新產品漏洞公布。</p> <p>GreyNoise在8月26日觀察到2波對Cisco ASA裝置的掃描活動突然竄升。第一波牽涉超過2.5萬個不重覆IP，第二波是在隔幾日後，數量少一點，但屬相關聯活動。涉及這二波IP的數量大幅超越每日小於500個IP的基準線。</p> <p>二次事件都是鎖定ASA Web Portal登入路徑（/+CSCOE+/logon.html），研究人員表示，這通常表示有人在對曝露於網上的裝置進行偵察（reconnaissance）。此外，研究人員也發現，兩波掃描活動中的一小部份IP也在掃描GreyNoise的Cisco IOS Telnet/SSH及ASA軟體，這意謂著，兩波掃描是專門鎖定思科的攻擊行動，而非隨機、亂槍打鳥式的掃描。</p> <p>經過對來源IP的分析，8月底的掃描活動主要是源自巴西單一殭屍網路群聚系統。研究人員透過篩選特定用戶端指紋及長達2個月的活動資料，判定當天有1.7萬個IP掃描Cisco ASA裝置。其中，有1.4 萬個 IP（約占 80%）來自這個巴西的殭屍網路。特定的指紋一組相近的TCP簽章一起出現，顯示這些節點都使用同樣的工具和網路堆疊，進一步讓研究人員確信是巴西端統一控制的殭屍網路。</p> <p>GreyNoise指出，過去經驗中，該公司偵測掃描Cisco ASA的惡意流量標籤一旦突增，不久後就會發現新的ASA漏洞，2019、2020、2021、2023及2024年都有案例，其中包含Akira、LockBit勒索軟體濫用CVE-2023-20269以及ArcaneDoor網路間諜活動濫用CVE-2024-20353、CVE-2024-20359植入Line Dancer及Line Runner。因此研究人員相信很快就會揭露新的漏洞。CVE-2020-3452也在揭露後被武裝化攻擊全球的思科ASA裝置。</p> <p>研究人員提醒用戶要防止ASA Web portal、Telnet、SSH直接曝露於網際網路，漏洞一有修補程式要儘速安裝，同時也以多因素驗證（MFA）強化遠端存取驗證。</p> </div></div></div>
2025/9/9 10:57作者林妍溱https://www.ithome.com.tw/news/171064
OpenAI發現評測獎勵猜測，促使大型語言模型出現幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在最新<a href="https://openai.com/index/why-language-models-hallucinate/">研究指出</a>，大型語言模型頻繁出現幻覺（Hallucination），主因在於現行評測（Evaluation）與訓練機制設計不當，讓模型在不確定時更傾向猜測而非承認不知道。研究指出，當主流評測榜單只看答對率，模型在不確定時傾向猜測而非承認不知道，最終以更高的自信錯誤（Confident Error）率換取更漂亮的分數。</p> <p>OpenAI主張，評測應對自信錯誤的回答給予更重的懲罰，並對適當的不確定表達給予部分分數，以矯正模型在不確定時傾向亂猜的行為。</p> <p>OpenAI將幻覺定義為看似可信但不正確的回答。研究團隊以實際案例說明其普遍性，例如詢問作者Adam Tauman Kalai的論文題名或生日，當前聊天機器人能給出多個且互相矛盾的答案，這類錯誤在現行只採計準確率的評測中並未被完整反映，因為猜中一次即可提高分數，而誠實以對的「我不確定」則保證拿零分。</p> <p>這就如同選擇題的答題策略，面對不知道的題目，盲猜仍有機會對一題，空白必定得零，如果模型在數千題測試中一律猜測，最終可能比懂得在不確定時收手的模型拿到更高的準確率，卻伴隨更多出錯。</p> <p>OpenAI在GPT5系統說明卡以SimpleQA呈現此矛盾，gpt-5-thinking-mini的棄答率52％、準確率22％、錯誤率26％，而相較之下，OpenAI o4-mini的棄答率僅1％，但準確率24％、錯誤率高達75％。要是只看準確率，o4-mini略勝，但是就自信錯誤率而言，gpt-5-thinking-mini明顯更低，這代表在只注重準確率的基準測試榜單，偏向猜測的模型可能名次更好，但實際使用時更容易產生幻覺。</p> <p>研究也從訓練機制解釋幻覺的來源，大型語言模型預訓練從預測下一字詞中學習，觀察到的大多是流暢語句的正例，缺乏明確標記為錯誤的反例。對於規則明確的任務，例如拼字或括號匹配，模型能隨著規模與資料增加學到穩定模式，錯誤自然會下降，但像某人生日這類低頻且隨機性高的事實，無法從語料分布可靠推斷，因此始終存在一個無法完全消除的最低錯誤率。</p> <p>OpenAI提出的解法著重在改變評測與計分，研究人員建議將主要評測指標改為同時考量準確、錯誤與棄答，把自信且錯誤的回答視為比棄答更嚴重，並對恰當的不確定表達給予部分積分。這種對錯誤給予負分，對不確定回應給予部分分數的方式並不是新概念，一些標準化考試早已採用類似設計，學術界也已提出校準與不確定性導向的評測方法。不過OpenAI指出，如果只在少數評測中加入能容許不確定性的設計，仍不足以改變目前主流榜單只看準確率高低的排序方式。</p> <p>該研究提供數項重要結論，其一，單靠提升準確率無法消滅幻覺，因為真實任務中總有不可回答或需澄清的問題，使準確率難以達到100％。其二，幻覺並非必然，模型可以在不確定時選擇棄答。其三，避免幻覺不必然仰賴更大的模型，小模型在明顯超出能力範圍時更容易說不知道，而良好校準所需計算未必比高準確更高。</p> <p>OpenAI最新模型在推理場景的幻覺率已較以往更低，不過，問題仍未完全解決。</p> </div></div></div>
2025/9/9 09:12作者李建興https://www.ithome.com.tw/news/171052
假PDF編輯器藏惡意軟體TamperedChef，靠Google廣告擴散竊憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Truesec<a href="https://www.truesec.com/hub/blog/tamperedchef-the-bad-pdf-editor">揭露</a>一波大規模惡意軟體散布行動，攻擊者透過Google廣告導流至多個詐騙網站，推廣名為AppSuite PDF Editor的免費工具，藉此誘使用戶下載被植入竊資軟體TamperedChef的安裝檔。這個程式初期表現如同一般PDF編輯器，但在特定時間後，攻擊者會以遠端指令啟用惡意功能，專門竊取瀏覽器憑證與Cookie。Truesec指出，目前已有多家歐洲組織受到影響。</p> <p>研究人員調查顯示，PDF Editor安裝檔最早在5月15日出現在VirusTotal，相關網站與網域自6月26日陸續註冊並開始推廣。一直到8月21日，部分受害機器開始接收到指令，觸發程式的惡意功能。這段期間間隔約56天，接近Google廣告常見的60天投放周期，研究人員認為，攻擊者刻意利用廣告平臺先累積安裝量，再切換為惡意模式，擴大影響範圍。</p> <p>完成安裝後，偽裝的PDF編輯器會與遠端伺服器保持通訊，並在系統內建立持久化機制，確保每次開機都能啟動。初期行為正常，但在遠端指令觸發後，才會下載額外元件並展開竊資行動。</p> <p>一旦惡意功能被啟用，TamperedChef會檢測系統的安全軟體，隨後關閉使用中的瀏覽器，藉此存取原本被鎖定的資料。透過Windows的DPAPI，TamperedChef能直接讀取瀏覽器資料庫中的憑證與Cookie，進而取得帳號登入資訊。研究人員同時發現，攻擊者使用多家公司的數位簽章為安裝檔背書，不少公司網站內容單調缺乏真實性，且有多家公司登記於同一地址可信度低。</p> <p>相關威脅活動可回溯至2024年，並與OneStart、Epibrowser等工具的推廣活動有關，部分樣本使用相同C2網域，可能是同一攻擊者持續演進的作法。在部分案例中，安裝過程還會額外投放名為elevate.exe的檔案，該檔與開源提權工具功能相同，目前尚未觀察到實際運作，可能在為後續攻擊做準備。</p> <p>研究人員提醒，這類延遲啟用的假工具難以僅靠IOC攔截，必須從行為特徵著手偵測。企業可透過AppLocker或同類白名單機制，限制使用者目錄下可執行檔的落地與自動啟動，並導入AdBlocker降低惡意廣告風險。</p> </div></div></div>
2025/9/9 09:16作者李建興https://www.ithome.com.tw/news/171056
【資安日報】9月8日，Salesloft揭露供應鏈攻擊事故發生的源頭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼先前一連串鎖定知名企業組織的雲端CRM系統Salesforce資料外洩事故，8月下旬駭客組織UNC6395針對Salesloft Drift用戶發動攻擊，從而竊取存放在Salesforce系統的資料，這樣的情況再度引起資安界高度關注，有多家資安業者也證實受到波及。如今Salesloft公布最新的調查結果，透露駭客是從他們的GitHub儲存庫入侵，然後進行一連串的攻擊行動。</p> <p>在Salesloft Drift供應鏈攻擊活動的後續之外，也有其他CRM系統遭到鎖定，而成為上週末的焦點。這次駭客盯上的CRM平臺是Sitecore，這代表除了Salesforce之外，也有攻擊者開始針對其他CRM系統用戶下手的情況，這樣攻擊活動過往並不常見。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171051"><strong style="font-size: 22px;">Salesloft Drift供應鏈攻擊事故引爆點找到了！駭客入侵GitHub儲存庫而得逞</strong></a></p> <p>8月底Salesloft Drift供應鏈攻擊事故爆發，導致有許多採用此對話式行銷與客戶互動工具的企業組織，例如資安業者Cloudflare、Palo Alto Networks、Zscaler，他們的雲端CRM系統Salesforce面臨資料外洩的危機，Salesloft與Salesforce兩家公司也撤銷Drift所有的憑證，並自Salesforce AppExchange應用程式市集下架該應用程式，介入調查的Google威脅情報團隊（GTIG）與資安業者Mandiant也透露初步調查結果，駭客組織UNC6395自8月8日開始竊取Drift的OAuth憑證，而能從多家企業截取Salesforce存放的客戶資料，如今這起事故的調查出現新的進展。</p> <p>9月7日Salesloft揭露更多調查結果，指出駭客從今年的3月至6月，試圖存取該公司的GitHub儲存庫，從而能從中下載資料、新增訪客使用者，甚至建立工作流程。這段期間，駭客也試圖在Salesloft與Drift的環境當中進行偵察，最終他們入侵Drift使用的AWS環境，竊得Drift客戶的OAuth憑證，從客戶的環境存取經過Drift整合的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/viewstate-sitecore-fig1_max-900x900.png"><strong style="font-size: 22px;">Sitecore零時差漏洞遭到利用，攻擊者用於植入後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/viewstate-sitecore-fig1_max-900x900.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/viewstate-sitecore-fig1_max-900x900.png" style="width: 300px; float: right;" /></a></p> <p>今年針對Salesforce雲端客戶關係管理平臺（CRM）攻擊行動不斷發生，但如今也有其他CRM平臺遭到鎖定，成為新一波的攻擊目標，引起資安圈的關注，而且，攻擊者找到的弱點，竟是源自廠商提供的部署指引內容。</p> <p>客戶體驗管理平臺Sitecore發布資安公告，該公司旗下多項解決方案存在資安漏洞CVE-2025-53690，一旦攻擊者成功利用，就有機會遠端執行任意程式碼（RCE），或是未經授權存取特定資訊，呼籲用戶儘速依照公告的指引採取緩解措施。通報此事的資安業者Mandiant提出警告，他們之所以發現這項漏洞，是因為已經有人用於實際攻擊行動。</p> <p>Mandiant也透過部落格文章揭露發現相關攻擊行動的過程，當時他們看到積極的ViewState反序列化攻擊行動，這起活動的特別之處，在於攻擊者利用了2017年之前的Sitecore部署指引裡面的公開範例金鑰，他們向Sitecore通報此事，該漏洞被登記為CVE-2025-53690列管。</p> <p><a href="https://www.ithome.com.tw/news/171053"><strong style="font-size: 22px;">上個月SAP修補的S/4HANA程式碼注入漏洞傳出已被用於實際攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1anvw8fuas.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1anvw8fuas.jpg" style="width: 300px; float: right;" /></a></p> <p>SAP於8月的每月例行更新（Security Patch Day）當中，修補接近滿分的重大資安漏洞CVE-2025-42950、CVE-2025-42957（CVSS風險皆為9.9），其中，通報CVE-2025-42957資安業者SecurityBridge提出警告，他們發現這項漏洞正遭到實際利用的現象，呼籲IT人員要儘速採取行動，套用修補程式來因應。</p> <p>而對於這項漏洞帶來的影響，SecurityBridge提出進一步說明，一旦攻擊者成功利用，就能得到作業系統層級的存取權限，並完全存取SAP應用系統的所有資料，其中，他們甚至能直接在SAP資料庫刪除或插入資料、透過SAP_ALL建立新的使用者、下載密碼雜湊值，甚至竄改業務流程，換言之，藉由這項漏洞，攻擊者有機會進一步竊取資料、從事間諜活動、部署勒索軟體，或是進行詐欺。</p> <p>雖然攻擊者並未廣泛將其用於攻擊行動，但SecurityBridge已經確認有實際濫用漏洞的現象，這代表已經有人知道如何利用，只要是尚未修補的SAP系統，就有可能曝險。SecurityBridge提及，由於ABAP的程式碼是公開的，想要對修補程式進行逆向工程，算是相對容易。再者，攻擊者只需要得到低階有效帳號，就有機會利用，過程裡完全無須使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/171026"><strong style="font-size: 22px;">美國警告兩項TP-Link路由器的已知漏洞遭到利用</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）將兩項影響TP-Link路由器的弱點，納入已知高風險漏洞（KEV）名單，分別為CVE-2023-50224與CVE-2025-9377，要求聯邦機構於9月24日前完成修補。</p> <p>其中，CVE-2025-9377屬於OS指令注入漏洞，出現在Archer C7（EU）V2與TL-WR841N/ND（MS）V9的家長控制頁面，屬已驗證且需高權限的遠端命令執行，當攻擊者具管理權限，得在裝置上執行任意系統指令。</p> <p>另一項漏洞CVE-2023-50224影響TL-WR841N，屬於驗證繞過問題，成因位於預設監聽TCP連接埠80的httpd服務，其允許網路相鄰的攻擊者，在無需驗證的情況下，透過預設監聽TCP連接埠80的httpd服務，擷取裝置內儲存的憑證。</p> <p><a href="https://www.ithome.com.tw/news/171047"><strong style="font-size: 22px;">從IP攝影機到雲端AI，捷克資安主管機關把對中資料傳輸與遠端維運列高風險威脅</strong></a></p> <p>捷克國家數位資訊安全局（National Cyber and Information Security Agency，NÚKIB）發布資安警示，將兩類行為界定為對國家安全與關鍵營運構成的網路威脅，分別是向中國（含香港、澳門）傳輸系統與用戶資料，以及自該等地進行技術資產遠端維運。受《資安法》納管的機關與業者必須在風險分析中，以高風險等級處置並採取相應安全措施，官方同時澄清，此為風險警示而非直接禁令。</p> <p>NÚKIB綜合捷克國內外情報與非機密資料，認為中國及其特別行政區的法律環境賦予政府當局對企業與資料更高程度介入與要求配合。同時，歐洲與盟國在多起案例中公開認定，攻擊源自與中國政府相關的團體，捷克政府也表示，外交部網路遭受的攻擊由APT31實施，顯示威脅具有持續性與策略性。</p> <p>就技術面影響而論，風險不僅在於可能植入惡意程式，也在於大量裝置與服務會持續產生並外送高密度資料，且遠端維運通道難以被營運單位完全驗證與監督。NÚKIB點名的風險品類已延伸至IP攝影機、太陽能光電變流器（Photovoltaic Inverters）、智慧電表、醫療設備、雲端服務、智慧型手機與連網車輛，也包含大型語言模型等雲端人工智慧服務，評估重點不侷限單一品牌，而是資料流向與維運來源地的可控性。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/noisy-bear-targets-kazakhstan-energy.html">俄羅斯駭客Noisy Bear鎖定哈蕯克能源產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/virustotal-finds-44-undetected-svg.html">惡意軟體分析平臺VirusTotal加入分析SVG圖檔功能，發現假冒哥倫比亞司法單位的網釣攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ai-powered-malware-hit-2-180-github-accounts-in-s1ngularity-attack/">Nx供應鏈攻擊影響範圍擴大，逾2千個GitHub帳號受波及</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/icloud-calendar-abused-to-send-phishing-emails-from-apples-servers/">iCloud行事曆服務遭到濫用，攻擊者以此透過蘋果伺服器寄送釣魚郵件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/scattered-lapsus-hunters-google-fire-experts-data-leak/">Scattered Lapsus$ Hunters要脅Google開除特定資安專家，並停止調查，換取遭竊資料不被外流</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171021"><strong>【9月5日】大規模DDoS攻擊流量達到11.5 Tbps，再創新高</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171008"><strong>【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170992"><strong>【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> </div></div></div>
2025/9/8 17:54作者周峻佑https://www.ithome.com.tw/news/171054
上個月SAP修補的S/4HANA程式碼注入漏洞傳出已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP於<a href="https://www.ithome.com.tw/news/170594">8月的每月例行更新（Security Patch Day）</a>當中，修補接近滿分的重大資安漏洞CVE-2025-42950、CVE-2025-42957（CVSS風險皆為9.9），其中，通報CVE-2025-42957資安業者SecurityBridge提出警告，他們發現<a href="https://securitybridge.com/blog/critical-sap-s-4hana-code-injection-vulnerability-cve-2025-42957/">這項漏洞正遭到實際利用</a>的現象，呼籲IT人員要儘速採取行動，套用修補程式來因應。</p> <p>CVE-2025-42957存在於S/4HANA，為程式碼注入漏洞，攻擊者一旦取得低權限的使用者帳號，就有機會控制SAP應用系統。由於無論是本地建置或是私有雲版本的S/4HANA都受到影響，因此影響的範圍恐怕相當廣泛。</p> <p>而對於這項漏洞帶來的影響，SecurityBridge提出進一步說明，一旦攻擊者成功利用，就能得到作業系統層級的存取權限，並完全存取SAP應用系統的所有資料，其中，他們甚至能直接在SAP資料庫刪除或插入資料、透過SAP_ALL建立新的使用者、下載密碼雜湊值，甚至竄改業務流程，換言之，藉由這項漏洞，攻擊者有機會進一步竊取資料、從事間諜活動、部署勒索軟體，或是進行詐欺。為了證明漏洞造成的影響，SecurityBridge也透過影響展示概念驗證（PoC）。</p> <p>雖然攻擊者並未廣泛將其用於攻擊行動，但SecurityBridge已經確認有實際濫用漏洞的現象，這代表已經有人知道如何利用，只要是尚未修補的SAP系統，就有可能曝險。SecurityBridge提及，由於ABAP的程式碼是公開的，想要對修補程式進行逆向工程，算是相對容易。再者，攻擊者只需要得到低階有效帳號，就有機會利用，過程裡完全無須使用者互動。</p> <p>不過，對於這項漏洞遭到利用情況，SecurityBridge並未進一步說明其他細節。</p> </div></div></div>
2025/9/8 17:21作者周峻佑https://www.ithome.com.tw/news/171053
數發部長林宜敬：以五大政策工具發展AI產業，共築數位韌性社會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部於今年8月27日迎來成立屆滿三週年的里程碑，緊接著在9月1日，也正式迎來第三任部長，由原先的數位發展部政務次長林宜敬接任部長一職。</p> <p>為確保政策發展的一致性，林宜敬在上任的媒體茶敘中表示，面對全球數位競爭加劇的挑戰，數位發展部將攜手產官學研，共同打造創新、安全且以民為本的數位國家。他特別提出未來將聚焦四大施政重點：建構臺灣的AI產業生態系、強化資安韌性、持續加強打詐工作，以及強化數位政府建設。</p> <p>這樣的政策發展方針，也與前任部長黃彥男所提的「數位經濟三支箭」政策接軌，展現了數位發展部在面對全球數位競爭浪潮下，持續推進臺灣數位轉型的決心。而在媒體茶敘中，面對媒體質疑林宜敬的施政方針是否是「黃規林隨」？林宜敬對於這樣的說法並不在意。</p> <p>他回應媒體記者時就表示，「像是這個AI產業政策，就是林宜敬之前在擔任政務次長時，由黃彥男部長交辦給他的任務，」而林宜敬將建構臺灣AI產業生態系作為接下來的施政方針時，「可以說是由黃彥男部長規畫的，也可以說是林宜敬次長所規畫的。」</p> <p>這也體現出，林宜敬接棒黃彥男的部長職務後，對於數位發展部重要施政方針，仍堅守重要政策具有一致性和延續性。「我們也非常認同就是前部長黃彥男所設下的政策方向，」林宜敬強調，接任部長職務後，「最重要的是要加強執行，因為AI對臺灣來講是非常重要的事情。」</p> <p>為了更深入說明林宜敬的施政方針，數位發展部主任秘書胡貝蒂也於8月27日在「數位政府高峰會」中，針對與會的公務人員以「深化AI評測與資料傳輸安全，實現公部門數位智慧化治理」為題，進一步闡述AI產業發展相關政策內容，在新部長施政具有延續性與一致性的前提下，也可作為外界深入了解林宜敬施政方向的補充說明。</p> <h2><strong>五大政策工具發展臺灣AI產業生態系，積極打造主權AI</strong></h2> <p>人工智慧（AI）正以前所未有的速度重塑全球格局，已躍升為國家力量的核心要素，預計到2030年將為全球經濟貢獻15.7兆美元，並提高勞動生產率1.4%，透過自動化，AI能將資本轉化為勞動力，重新定義經濟競爭力的基礎。</p> <p>在這樣的趨勢下，林宜敬強調，數位發展部將透過算力、資料、人才、行銷、資金等五大政策工具，積極建構一個健康的軟體產業生態系，確保臺灣能在AI革命中佔據領先地位。</p> <p>由於各國對於建立和控制國內AI基礎設施，包括先進晶片製造能力和數據中心，都更加重視，主權AI的追求已成為國家安全與經濟影響力的決定因素。</p> <p>首先，針對算力（Compute Power）的部份，政府採取多管齊下的方式，藉此厚植AI運算基石。林宜敬指出，數位發展部將提供免費的GPU算力給臺灣的AI新創團隊，協助他們驗證想法，邁出創業的第一步。</p> <p>胡貝蒂補充說明，除了數發部自身提供算力支持新創外，國家高速網路與計算中心（國網中心）也已購入大量算力晶片，但這遠遠不夠。因此，數位發展部正透過修法，鼓勵民間保險業資金投入算力中心建置。</p> <p>同時，她也說，算力中心也將被納入促進產業升級條例的獎勵項目，並提供租稅優惠，以吸引民間資金加速算力基礎設施的完善。這也是「晶創臺灣計畫」和「大南方新矽谷推動方案」等算力池措施的一部分。</p> <p>其次在資料（Data）方便，林宜敬表示，政府的重點在於建構「臺灣主權AI訓練語料庫」，確保資料安全流通。他認為，資料是AI發展的關鍵，數位發展部將推動法規調整，讓公部門公務員能安心釋放不涉機敏、不涉個資的政府資料；同時，也會藉由籌設「臺灣主權AI訓練語料庫」，確保AI模型具備臺灣觀點並提供充足的訓練資料給新創團隊。</p> <p>胡貝蒂指出，數發部正協助各單位盤點臺灣珍貴的語料，例如原住民族語料，以確保訓練資料的齊備；未來，數發部也將思考如何透過授權方式，鼓勵大家放心貢獻資料，並確保資料傳輸更安全、流通運用更便捷。她表示，這也包含研擬「促進資料創新利用發展條例」和運用隱私強化與後量子密碼學等技術。</p> <p>第三，針對人才（Talent）培養上，林宜敬表示，數發部透過制定「臺灣AI產業人才認定指引」，為臺灣的人才需求、訓練及認證單位提供共同遵循的架構，以建立蓬勃發展的AI人才訓練生態系，滿足臺灣對AI人才的需求。</p> <p>數發部將AI人才認證指引，分為研究、開發與應用三類，這有助於各界更清晰地對標與訓練人才，整合民間力量共同育才。此外，公部門也將與民間機構合作，持續進行人才訓練。</p> <p>第四，則是針對行銷（Marketing）部分，數發部也將藉由媒合商機，幫助臺灣的AI產品走向國際。根據林宜敬的計畫，會依據醫護、長照、製造等產業類別，分批舉辦AI產業媒合會，幫助AI新創團隊迅速獲得大量且穩定的訂單。</p> <p>胡貝蒂補充說明，數發部設有AI能量登錄平臺，讓業者在線上清楚展示其AI能量；同時，雲端服務平臺未來也將推出AI國際版，協助臺灣有實力的資服業者走向國際。</p> <p>她也說，國際上已有其他國家，例如新加坡，對臺灣的AI產品表現出高度興趣，因為這些國家不想購買不可控的美國或中國的AI產品，便想轉而尋求臺灣的解決方案。</p> <p>最後，在資金（Funding）的部份，林宜敬已向國家發展委員會匡列新臺幣一百億元，希望投資具產品與行銷通路的AI公司，助其迅速擴張，打入國際市場，完成公司上市的最後一哩路，透過好的訂單引導資金流入，並透過數位發展部的資金，共同打造良好的AI生態系統。</p> <p>除了善用上述五大政策工具外，數位發展部在AI治理方面也積極部署，以確保AI可以做到「可信任、安心使用」。胡貝蒂指出，數位發展部在法遵層面，先透過制定「AI基本法」作為政府各部會，共同建立AI發展的基礎規範。</p> <p>數位發展部致力於建立「AI風險分類框架」，以「參考指引」方式推動，胡貝蒂認為，不管是框架或是指引的目的並非是監管，而是提供一個具備彈性，可以協助大家識別AI可能存在的風險，並討論不同利害關係人的應對措施。</p> <p>此外，為了確保AI產品品質，數位發展部也在2022年成立了AI評測中心及AI測試實驗室，提供公正的測試與驗證服務。胡貝蒂指出，數位發展部目前已發出多份評測報告，評測重點包括自動化測試、公平性、準確性、可靠性及資料安全性等。評測項目包括：研析歐美AI規範，擬定AI評測項目，並將先以大語言模型（LLM）做為評測的對象。</p> <p>政府已經針對公部門如何使用AI，制定了一份《公部門人工智慧應用手冊》作為行政指導文件，她也說，這也可以協助政府機關在開規格驗收時，了解如何採購、驗收AI產品，並與相關團隊協作。</p> <h2><strong>強化資安韌性，加強打詐並整合通報機制</strong></h2> <p>林宜敬指出，數位發展部將結合臺灣民間資安產業的力量，共同強化政府部門、關鍵基礎設施及產業供應鏈的資安與韌性。臺灣擁有先進且蓬勃的資安軟體產業，是全球衛星產業供應鏈與民主供應鏈核心IC產業的重要一環，數位發展部希望資安及衛星產業在守護臺灣的同時，也能協助相關產業獲得豐厚利潤，形成正向循環。</p> <p>數位發展部為了強化資通安全和通傳韌性，打造了T-Road政府資料傳輸管道，而這個管道基於政府骨幹網路（GSN），採用先進加密技術，所有傳輸資料全程以機關憑證加密，且不留存任何資料內容，僅保存傳輸紀錄，以確保資料傳輸更加安全和不可否認性。</p> <p>胡貝蒂表示，目前已要求47個AI相關機關使用T-Road；此外，有鑑於政府服務上雲的趨勢，數發部也正在規畫建置雲端環境的T-Road，以支持政府上雲的安全需求。近半年來，T-Road平均每月資料傳輸筆數已達150萬以上，尖峰流量單月超過210萬筆，成效顯著。</p> <p>林宜敬強調，數位發展部將從法律面、科技面、商業面三管齊下，迅速反應，阻絕詐騙集團在網路上的各種詐騙管道。</p> <p>他指出，政府法律面已經通過「打詐專法」並實施廣告實名制；在科技面，則已設立「網詐通報查詢網」，並透過物流隱碼、DNS RPZ機制以及「111政府專屬簡訊短碼」等機制防堵詐騙。</p> <p>另外在商業面，他也說，數位發展部積極尋求與Google、Meta、LINE等網路社群平臺合作，要求其在打詐戰爭中扮演積極角色，運用其資源，在不涉隱私和妨礙秘密通訊自由的前提下，透過自動化工具事前預防詐騙發生，事後協助警方將詐騙集團繩之以法。</p> <h2><strong>強化數位政府建設，以民為本的智慧政府服務</strong></h2> <p>林宜敬表示，數位發展部接下來將持續推動「數位憑證皮夾」的建置。他相信數位憑證是未來數位世界的基石，而數位憑證皮夾的「選擇性揭露」功能，將能夠更好地保護民眾隱私，其共通性則能大幅提升臺灣數位經濟的效率。</p> <p>此外，他強調，「數位憑證皮夾」的推動將以「人生事件」為中心的整合服務設計，並讓民眾可以在不同人生階段中，便捷且直觀地獲取所需服務。未來也將逐步導入AI人工智慧技術，進一步提升行政效率，實現更高效的政府服務。</p> <p>為了支持數位政府建設，特別是在政府AI轉型方面，胡貝蒂表示，數位發展部也以「智慧政府幸福臺灣」為願景，規畫了五大戰略。</p> <p>這五大戰略包括：一、發展智慧化為民服務：做到讓民眾「用問的」就能輕鬆利用AI獲取政府服務；二、建構自動化行政任務：利用AI技術協助公務同仁辦理常規、繁雜與耗時的工作，提升內部公文處理、法治運用效率。</p> <p>三、厚植AI應用基礎環境：為AI應用提供安全、合規且運作穩健的基礎環境。這包括打造T-Road加密管道，確保資料傳輸安全，不留存任何資料，並可以支援政府上雲的需求。</p> <p>四、完備AI資料與模型：利用政府資料經緯架構與隱私強化技術，發展政府業務領域AI模型；五、打造數位平權智慧服務：為所有族群提供無障礙且易用的政府服務，實現平權照顧。</p> <p>全球高科技產業尤其是軟體產業的創新與發展，源自民間產業的自由競爭，他認為，數位發展部的核心使命，就是打造一個適合臺灣AI、資安、資訊服務等產業成長茁壯的產業環境，讓資訊產業在解決社會問題的同時，也能獲得豐厚利潤，同時避免產生新的社會問題，共同努力創造更值得重視的數位環境。</p> <p>胡貝蒂補充數位發展部對政策執行的更多細節，除了要「打造有感、數位臺灣」外，臺灣也會推動一系列的政策措施，以期在全球AI治理浪潮中可以占據領先地位。</p> <p>胡貝蒂強調，除了要做到持續領航臺灣數位發展，建構數位信任體系外，也要做到聚焦「強化數位韌性」、「發展數位經濟」及「推動打詐工作」三大目標，未來也會廣納更多元的民間意見，凝聚共識，加速數位轉型，打造具包容與前瞻的數位國家。</p> </div></div></div>
2025/9/8 18:07作者黃彥棻https://www.ithome.com.tw/news/171055
Salesloft Drift供應鏈攻擊事故引爆點找到了！駭客入侵GitHub儲存庫而得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月底<a href="https://www.ithome.com.tw/news/170866">Salesloft Drift供應鏈攻擊事故爆發</a>，導致有許多採用此對話式行銷與客戶互動工具的企業組織，例如資安業者<a href="https://www.ithome.com.tw/news/170989">Cloudflare、Palo Alto Networks</a>、<a href="https://www.ithome.com.tw/news/170937">Zscaler</a>，他們的雲端CRM系統<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>面臨資料外洩的危機，Salesloft與Salesforce兩家公司也撤銷Drift所有的憑證，並自Salesforce AppExchange應用程式市集下架該應用程式，介入調查的Google威脅情報團隊（GTIG）與資安業者Mandiant也透露初步調查結果，駭客組織UNC6395自8月8日開始竊取Drift的OAuth憑證，而能從多家企業截取Salesforce存放的客戶資料，如今這起事故的調查出現新的進展。</p> <p>9月7日Salesloft<a href="https://trust.salesloft.com/?uid=Update+on+Mandiant+Drift+and+Salesloft+Application+Investigations">揭露更多調查結果</a>，指出駭客從今年的3月至6月，試圖存取該公司的GitHub儲存庫，從而能從中下載資料、新增訪客使用者，甚至建立工作流程。這段期間，駭客也試圖在Salesloft與Drift的環境當中進行偵察，最終他們入侵Drift使用的AWS環境，竊得Drift客戶的OAuth憑證，從客戶的環境存取經過Drift整合的資料。</p> <p>察覺遭到網路攻擊之後，Salesloft隨即採取多項應變措施，遏止及根除相關活動。其中，他們隔離了Drift基礎設施、應用程式，以及程式碼，從市集下架應用程式，並輪替受影響的金錀。</p> <p>而對於Salesloft自己本身的應用環境當中，該公司也同樣輪替了金鑰，根據駭客手法強化防護，利用Mandiant威脅情報平臺分析事件相關的高風險身分，以及規避公司安全控管的活動，判斷是否仍有潛在危險，並進行威脅獵捕工作。</p> <p>值得留意的是，8月28日GTIG與Mandiant指出，<a href="https://www.ithome.com.tw/news/170911">有部分Google Workspace企業用戶受到影響</a>，根據SaaS資安業者Nudge Security的調查，估計<a href="https://www.nudgesecurity.com/post/breach-of-salesloft-drift-oauth-tokens-leads-to-salesforce-data-theft">至少有超過750家企業組織受到影響</a>，後續發展有待進一步追蹤。</p> </div></div></div>
2025/9/8 15:53作者周峻佑https://www.ithome.com.tw/news/171051
Databricks發表資料科學代理，自動化Notebook與SQL分析任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks<a href="https://www.databricks.com/blog/introducing-databricks-assistant-data-science-agent">宣布</a>在其智慧助理（Assistant）加入代理模式，推出資料科學代理（Data Science Agent），主打在Notebook與SQL編輯器自動化完成從資料探索、程式碼生成與執行，到機器學習訓練與結果說明等一連串工作。官方提到，Data Science Agent目的並非取代人力，而是在治理與可追溯的前提，將發現問題到分析的流程縮短為數分鐘。此功能目前為預覽階段，需由工作區管理者啟用。</p> <p>開發者在助理面板啟動代理模式後，輸入明確任務即可讓代理規畫並執行。Agent能針對指定資料表進行探索性分析，支援以表格名稱快速指向資料資產，能在Notebook或SQL編輯器生成並執行SQL或Python程式碼，遇到例外時可呼叫既有的錯誤診斷機制，嘗試修正並反覆驗證直至排除問題。</p> <p>當任務包含模型訓練與評估，代理會視需求結合機器學習工作流平臺MLflow，以追蹤訓練流程並記錄結果，並可依指示調整模型類型或超參數，完成後再以重點式摘要回報分析結果或建議後續步驟。</p> <p>資料科學代理以Unity Catalog統一資料管理平臺為基礎，沿用權限控制、資料脈絡與商業語義，代理在尋找可用資料表、筆記本與程式碼片段時會以使用者可存取範圍為界線。同時官方也保留使用者的控制權，在執行程式碼前，代理會請求授權，使用者可選擇僅允許一次、在當次對話持續允許，或長期允許。系統另設有保護機制以避免如誤刪資料表等高風險操作，不過，官方還是建議在涉及生產資料時，用戶應審查代理生成的程式碼與動作。</p> <p>在多步驟或跨階段的分析用例，使用者可啟用Planner，系統會先生成詳細步驟計畫，並在必要時提出澄清問題，經確認後逐步執行與檢視輸出，最後整理結論。這對於需要依序進行資料清理、特徵工程、模型訓練與評估的流程，有助於明確界定每一步的輸入、輸出與評估標準，並讓團隊更容易追蹤分析脈絡。</p> <p>在導入與維運面，資料科學代理管理者透過預覽入口啟用代理模式後，使用者即可直接在Notebook與SQL編輯器中操作，不需要進行額外安裝或改變工作流程。代理運作會遵循Unity Catalog的治理範圍，當資料資產的命名與欄位註解越完整，代理在探索資料與搜尋資產時的效果也越好。</p> <p>Databricks也預告資料科學代理後續發展方向，包括引入MCP以擴充上下文取得的廣度，改善代理的指令記憶與可編輯性，並加速資產搜尋體驗。</p> </div></div></div>
2025/9/8 15:54作者李建興https://www.ithome.com.tw/news/171049
Rust基金會成立創新實驗室，TLS函式庫Rustls為託管首案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust基金會宣布<a href="https://rustfoundation.org/media/rust-foundation-launches-rust-innovation-lab-with-rustls-as-inaugural-project/">成立Rust創新實驗室（Rust Innovation Lab）</a>，向已具資源或可持續財務模式的開源專案，提供財務託管與營運支持計畫。基金會表示，隨著Rust在產業與開源社群的採用加速，許多以Rust撰寫的元件已成為軟體基礎設施的一環，社群需要中立、社群導向的治理與可信賴的制度作為後盾，確保專案在安全與永續上能長期維持並避免被單一供應商綁定。</p> <p>Rust創新實驗室的服務包含財務託管、治理諮詢、法務支援、人脈連結、行銷與行政等項目，由基金會以非營利且中立的架構協助專案處理資金與營運事務。基金會強調，參與的專案需具備既有資金或明確的可持續財務模式，透過專業分工讓專案團隊專注於技術路線與維護實務，同時提升社群可見度與產業協作效率。</p> <p>第一個託管專案為TLS函式庫Rustls。Rustls以記憶體安全與效率為設計重點，針對安全性與穩定性要求較高的情境，適用於安全性要求嚴格的情境。基金會指出，市場對記憶體安全且高效能的TLS需求上升，而Rustls展現了在關鍵基礎設施中，同時兼顧安全與效能的可行路徑。Rustls創辦人Joseph Birr-Pixton表示，加入Rust創新實驗室有助於專案在長期維運與開發節奏上取得更穩定的支持，團隊將與基金會合作推動後續目標。</p> <p>基金會同時提到，Rustls先前曾獲得Internet Security Research Group的Prossimo計畫與德國Sovereign Tech Agency的支持，基金會對這些支持開源的組織表達肯定。之後Rust創新實驗室將持續與具備資金來源或商業可行性的開源專案接洽，提供在治理、法務與行政面向的制度化協助。</p> <p>Rust創新實驗室把社群常見但耗時的營運與合規工作集中由專業團隊處理，替成熟度逐步提升的Rust生態建立一條穩健的專案運營方法。在技術團隊可持續投入程式碼與維護，而基金會負責制度與資金管理的分工，Rust生態中具影響力的基礎元件能以更可預期的節奏發展。</p> </div></div></div>
2025/9/8 15:01作者李建興https://www.ithome.com.tw/news/171048
OpenAI收編Alex Codes開發團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.alexcodes.app/blog/alex-team-joins-openai" target="_blank">Alex Codes創辦人Daniel Edrisian上周宣布</a>，他們將加入OpenAI的Codex團隊。</p> <p>2024年推出的<a href="https://www.alexcodes.app/" target="_blank">Alex Codes</a>是一款專為iOS與macOS開發者設計的AI助手，主要用於提升Xcode開發效率與體驗。該工具透過側邊欄直接與Xcode整合，提供AI自動補全、錯誤自動修復、圖片轉程式碼、模擬器控制及語法搜尋等功能，月費依使用容量分為30美元及200美元兩種方案。</p> <p>Edrisian則把Alex Codes定位為Xcode上的Cursor，向VS Code上的AI編輯器Cursor致敬。</p> <p>目前的計畫是打算繼續服務現有的Alex Codes用戶，但會在10月1日停止該應用程式的新下載，未來也不會再發布任何的新功能。</p> <p>不管是Edrisian或OpenAI都未公布此次的交易金額或細節，但根據<a href="https://nextunicorn.ventures/openai-welcomes-alex-codes-team-to-enhance-ai-coding-capabilities/" target="_blank">Next Unicorn</a>及<a href="https://techcrunch.com/2025/09/05/openai-hires-the-team-behind-xcode-coding-assistant-alex-codes/" target="_blank">TechCrunch</a>的報導，這是一起收購+雇用（Acqui-Hire）交易，OpenAI相中的是人才，而不見得是產品或業務，如同<a href="https://www.ithome.com.tw/news/170034" target="_blank">Google以24億美元買下WindSurf的技術與人才</a>，或是<a href="https://www.ithome.com.tw/news/169561" target="_blank">Meta投資Scale AI並換來該公司創辦人Alexandr Wang為其效力</a>。</p> </div></div></div>
2025/9/8 15:16作者陳曉莉https://www.ithome.com.tw/news/171050
從IP攝影機到雲端AI，捷克資安主管機關把對中資料傳輸與遠端維運列高風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>捷克國家數位資訊安全局（National Cyber and Information Security Agency，NÚKIB）<a href="https://nukib.gov.cz/en/infoservis-en/news/2295-nukib-warns-against-the-transfer-of-the-data-to-and-remote-administration-from-people-s-republic-of-china/">發布資安警示</a>，將兩類行為界定為對國家安全與關鍵營運構成的網路威脅，分別是向中國（含香港、澳門）傳輸系統與用戶資料，以及自該等地進行技術資產遠端維運。受《資安法》納管的機關與業者必須在風險分析中，以高風險等級處置並採取相應安全措施，官方同時澄清，此為風險警示而非直接禁令。</p> <p>NÚKIB指出，當前關鍵基礎設施日益依賴雲端儲存與連網維運，供應商因而能影響系統運作並接觸重要資料，資料跨境與維運來源地的可信度成為治理核心。NÚKIB將該威脅評級為高，對應發生機率介於可能（likely）至非常可能（very likely），適用對象為受捷克《資安法》納管之單位，例如關鍵資訊基礎設施與重要資訊系統等。</p> <p>NÚKIB綜合捷克國內外情報與非機密資料，認為中國及其特別行政區的法律環境賦予政府當局對企業與資料更高程度介入與要求配合。同時，歐洲與盟國在多起案例中公開認定，攻擊源自與中國政府相關的團體，捷克政府也表示，外交部網路遭受的攻擊由APT31實施，顯示威脅具有持續性與策略性。</p> <p>就技術面影響而論，風險不僅在於可能植入惡意程式，也在於大量裝置與服務會持續產生並外送高密度資料，且遠端維運通道難以被營運單位完全驗證與監督。NÚKIB點名的風險品類已延伸至IP攝影機、太陽能光電變流器（Photovoltaic Inverters）、智慧電表、醫療設備、雲端服務、智慧型手機與連網車輛，也包含大型語言模型等雲端人工智慧服務，評估重點不侷限單一品牌，而是資料流向與維運來源地的可控性。</p> <p>NÚKIB要求受監管單位將本次警示納入正式風險管理流程，依識別結果布建相對應的安全措施，並提醒一般民眾與企業在採用產品與雲端服務時，也應審視其資料存取權限與最終傳輸落點，避免無意間將敏感資訊置於受中國法域約束的環境。</p> </div></div></div>
2025/9/8 12:19作者李建興https://www.ithome.com.tw/news/171047
Google Deepmind與倫敦大學開發讓機器人協作的RoboBallet技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ucl.ac.uk/news/2025/sep/robots-learn-work-together-well-choreographed-dance" target="_blank">倫敦大學學院（University College London，UCL）</a>與Alphabet旗下的AI公司<a href="https://deepmind.google/research/publications/111579/" target="_blank">DeepMind</a>、機器人公司<a href="https://www.intrinsic.ai/blog/posts/specialized-ai-for-scalable-and-adaptive-multi-robot-orchestration" target="_blank">Intrinsic</a>上周共同揭露了RoboBallet技術，這是一個新的AI演算法，讓大型機器人能夠在繁忙的工業環境中協作而不衝突，<a href="https://www.science.org/doi/10.1126/scirobotics.ads1204" target="_blank">並已於《Science Robotics》期刊上發表</a>。</p> <p>RoboBallet的任務在於幫助在生產線與廠房之間工作的機器人，能夠自動規畫它們的任務與動作，而不互相或與周圍環境碰撞；目前該任務通常是由經過專門培訓的人類手動完成，是個既繁瑣又容易出現錯誤的過程，一組完整的任務規畫往往需要耗費數百小時的人力時間。</p> <p>而RoboBallet是個結合強化學習（RL）的圖像神經網路（GNN），先藉由GNN理解空間障礙與機器人之間的關係，再透過RL學習如何高效完成任務，並以「避免碰撞、快速完成」獲得獎勵，而讓機器人能在幾秒內自動生成數十個機械手臂的協同動作計畫，比傳統作法快了數百倍，可應用在汽車製造、電子組裝或建築領域上。</p> <p>在實驗中，僅經過幾天的培訓，RoboBallet就可在幾秒內生成高品質的規畫，還能超越原本所學習的布局，以8個機械手臂解決最多40項任務。</p> <p>該報告的主要作者Matthew Lai表示，RoboBallet把工業機器人轉變為精心編排的舞碼，每隻手臂都精確且有目的的移動，還可意識到同伴；它不僅能夠避免碰撞，還能實現大規模的協作，這是他們第一次能夠像舞蹈一樣優雅與快速地自動化複雜的多機器人規畫，提升工廠的效率與適應能力。</p> </div></div></div>
2025/9/8 10:34作者陳曉莉https://www.ithome.com.tw/news/171045