iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 04:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

FBI警示UNC6040與UNC6395駭客組織鎖定Salesforce平臺竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）<a href="https://www.ic3.gov/CSA/2025/250912.pdf">指出</a>，駭客組織UNC6040與UNC6395近期針對企業的Salesforce平臺發動攻擊，透過語音社交工程與遭竊的OAuth權杖取得存取，進一步大規模竊取資料，部分受害者還接到電子郵件勒索。</p> <p>FBI指出，UNC6040自2024年10月以來持續活躍，手法以語音釣魚為主，攻擊者會假冒IT人員致電客服中心，要求員工配合操作或交付登入資訊。一旦取得初始憑證，就會引導受害者在Salesforce的管理介面核准惡意連接應用程式，這些應用多半偽裝成合法的工具，例如修改版的Salesforce Data Loader，實際上在取得OAuth權杖後可直接透過API批次匯出大量資料。由於授權流程來自平臺本身，攻擊活動往往能規避多因素驗證、密碼重設與登入稽核等控管機制，使外洩行為更難被察覺。</p> <p>UNC6395則是在2025年8月被觀測到利用Salesloft的Drift應用遭竊的OAuth權杖，結合第三方整合功能進入企業的Salesforce環境並竊取資料。雖然這個途徑在8月20日已由Salesloft與Salesforce共同撤銷權杖而遭封鎖，但事件也凸顯了第三方整合帶來的潛在風險。FBI強調，即便攻擊鏈已中斷，仍有必要檢查是否存在殘留或不必要的權杖，以防止後續遭濫用。</p> <p>值得注意的是，部分UNC6040的受害組織在資料遭外洩後，還收到自稱ShinyHunters的電子郵件勒索，要求支付加密貨幣以避免公開資料，這代表攻擊並不只是資料竊取，還可能演變成公開威脅與二次勒索。</p> <p>針對駭客組織UNC6040與UNC6395的威脅，FBI提出一系列務實的防護方向，首先，企業應加強客服與第一線人員的社交工程防範訓練，並要求採用具抗釣魚能力的多因素驗證方式。其次，建議落實最小權限原則，並透過驗證、授權與稽核確保使用者與群組存取權限受到有效控管。</p> <p>FBI還建議企業強制採用基於IP的存取限制，並持續監控與偵測API使用是否有不尋常或惡意行為。同時，應全面盤點環境中現有的第三方整合與連接應用，定期輪換API金鑰、密碼與OAuth權杖，並下線來源不明或不再使用的應用程式。除此之外，針對網路與瀏覽器工作階段的監控，也能協助偵測資料外洩跡象。</p> </div></div></div>
2025/9/15 16:13作者李建興https://www.ithome.com.tw/news/171192
OpenAI發表內部育成專案OpenAI Grove，專注腦力激盪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/openai-grove/" target="_blank">OpenAI上周五（9/12）揭露</a>其內部育成專案OpenAI Grove，它與傳統育成專案或是創業加速器不同，鼓勵那些想針對AI展開創業、但還想不到點子的人才參加，目的是協助個人形成創業構想，並建立技術與人才網路。</p> <p>一般的育成或加速器專案都是鎖定那些有創業構想甚至有團隊的創業者加以輔導，有時還會投入資金，但OpenAI Grove所提供的是高密度的人才網路，與OpenAI研究人員共同創業的機會，以及加速使用者創業歷程的資源，總之，這是在尚未形成創業構想之前的腦力激盪，還能獲得OpenAI團隊與Grove社群的指導與交流。</p> <p>第一屆的OpenAI Grove打算招收15名參與者，在OpenAI舊金山總部展開為期5周的課程及活動，內容包括實體工作坊、每周辦公時間，OpenAI技術指導者的一對一指導，並能體驗OpenAI尚未公開的工具及模型，可以單人或團隊報名，截止日為9月24日。</p> <p>有意報名的創業者除了填寫基本資訊之外，也必須提交所屬領域、正在開發的內容、先前開發經驗或是目前想做的事，同時描述想從OpenAI Grove獲得哪些資源。</p> <p>參與者不一定要使用OpenAI API，且在完成課程後，可以選擇募資，或是探索其它發展方向，包括留在OpenAI生態體系與否。</p> <p>市場分析認為，OpenAI透過此一計畫將能更早接觸潛在的創業者與想法，培育早期創業者，同時，所提供內部的資源將能引導創業者思考AI應用及發展方向，更適合那些還在探索階段的創業者。</p> </div></div></div>
2025/9/15 13:46作者陳曉莉https://www.ithome.com.tw/news/171191
【資安週報】0908~0912，再有CRM平臺遭駭客鎖定，Sitecore遭零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年9月第二星期的資安新聞，這一星期多家IT大廠發布安全性更新需要我們趕緊因應，涵蓋微軟、SAP、Adobe等，其中微軟的修補中包括2個已被公開的零時差漏洞，以及1個CVSS滿分10分的重大漏洞，而SAP的修補中也包含CVSS風險達10分、9.9分的兩個重大漏洞。</p> <p>還有多個漏洞利用狀況需要特別關注，其中最嚴峻的是，有攻擊者鎖定客戶體驗管理平臺Sitecore發動零時差漏洞攻擊，該漏洞編號已指派為CVE-2025-53690，揭露攻擊活動的Mandiant更是指出，這起活動的特別之處在於，駭客利用Sitecore在2017年前提供的部署範例machine key，進行網路滲透。</p> <p>至於針對已知漏洞的新攻擊活動，包括：SAP於8月修補的重大漏洞CVE-2025-42950、CVE-2025-42957，達梭系統（Dassault Systèmes）於6月修補製造營運管理軟體DELMIA Apriso的漏洞CVE-2025-5086，以及TP-Link的已知漏洞CVE-2023-50224與CVE-2025-9377，這些漏洞也首次被證實有攻擊者利用於攻擊行動。</p> <p>在資安事件方面，這一星期有不少臺灣資安事故浮上檯面，例如，多家上市櫃公司發布資安重訊，其中揭露的兩起網路攻擊事件，與電子商務有關，還有兩起消息的狀況值得留意，一是從奈米醫材的事故說明來看，應是遭遇商業電子郵件詐騙，只是利用的名目從交易匯款變成股利匯款；而智擎提到網站代管廠商遭DDoS攻擊，但公告中並未明確點名代管廠商為何，目前也還沒有網站代管廠商承認遭DDoS攻擊。</p> <p>●電子商務業者「夠麻吉」表示部分系統遭受駭客網路攻擊<br /> ●鑫聯大投控代子公司「捷元」指出其B2B採購平臺遭受異常下單<br /> ●特殊印刷業者「政伸」說明偵測到資訊系統遭受駭客攻擊<br /> ●醫材業者「奈米醫材」指出旗下AST VisionCare Inc.（ASTVC-US）遭到歹徒冒名，向另一家子公司Millennium Biomedical, Inc.（MBI）寄送電子郵件並提供匯款帳號，導致MBI將原要匯給ASTVC-US的股利款項，匯入歹徒的銀行帳號。<br /> ●生技醫療業「智擎」指出其官方網站代管廠商遭受網路DDoS攻擊</p> <p>中信金代子公司台灣人壽保險也發布與個資保護有關的重訊，當中指出台灣人壽因違反保險法及個人資料保護法相關規定，被金管會依保險法與個資法各自開罰360萬元、10萬元與限期1個月改正。</p> <p>國際間先前有兩起重大資安事故有後續消息傳出，一是Salesloft Drift供應鏈攻擊事故，先前該公司未說明OAuth token遭竊原因，最新調查則揭露，駭客自今年的3月至6月，試圖存取該公司的GitHub儲存庫，最終入侵Drift使用的AWS環境，竊得Drift客戶的OAuth憑證，進而從客戶的環境存取經過Drift整合的資料。</p> <p>另一Nx供應鏈攻擊影響範圍擴大，資安公司Wiz指出，攻擊者除了在初期竊取環境變數與憑證，還進一步濫用外洩的GitHub權杖，目前研判至少有6,700個原本屬於私有的儲存庫遭公開，</p> <p>在資安產業動態方面，國內外有兩則重要消息，一是中華資安正式掛牌上市，成首家上市資安服務業者，另一是日本電子電機巨擘三菱電機（Mitsubishi Electric）宣布以近9億美元的價格，買下OT/IoT資安方案業者Nozomi Networks，以確保其數位平臺的安全性。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月8日】Salesloft揭露供應鏈攻擊事故發生的源頭</span></strong></a></h3> <p>繼先前一連串鎖定知名企業組織的雲端CRM系統Salesforce資料外洩事故，8月下旬駭客組織UNC6395針對Salesloft Drift用戶發動攻擊，從而竊取存放在Salesforce系統的資料，這樣的情況再度引起資安界高度關注，有多家資安業者也證實受到波及。如今Salesloft公布最新的調查結果，透露駭客是從他們的GitHub儲存庫入侵，然後進行一連串的攻擊行動。</p> <p>在Salesloft Drift供應鏈攻擊活動的後續之外，也有其他CRM系統遭到鎖定，而成為上週末的焦點。這次駭客盯上的CRM平臺是Sitecore，這代表除了Salesforce之外，也有攻擊者開始針對其他CRM系統用戶下手的情況，這樣攻擊活動過往並不常見。</p> <p><a href="https://www.ithome.com.tw/news/171077"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月9日】歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙</span></strong></a></p> <p>昨天（8日）下午至傍晚有3家上市櫃公司發布資安重訊，其中最特別的資安事故，是奈米醫材揭露海外投資子公司AST VisionCare Inc.（ASTVC-US）遭到冒名的商業郵件詐騙（BEC），歹徒鎖定的是奈米醫材與ASTVC-US投資的美國公司Millennium Biomedical, Inc.（MBI），看上的是現金股利的款項，這代表歹徒對這些公司的運作觀察相當仔細，而能在MBI發放股利的時候對其下手。</p> <p>在BEC事故之外，鎖定開發人員的攻擊事故，這兩週變得相當頻繁，占據了今天近半數的新聞版面，其中，又以大規模攻擊行動GhostAction非常值得注意，駭客一口氣竊得逾3千組帳密及憑證；再者，Nx供應鏈攻擊事故後續調查結果出爐，駭客公開逾6千個私人GitHub儲存庫；另一方面，有人假冒NPM客戶，要求套件開發者啟用多因素驗證的網釣活動，目前至少有18款套件受害。</p> <h3><a href="https://www.ithome.com.tw/news/171114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月10日】微軟、SAP、Adobe發布9月例行更新</span></strong></a></h3> <p>許多軟體廠商及IT業者在本週二發布9月的例行更新，微軟、SAP、Adobe也都發布相關資安公告，影響大多數使用者的微軟公告特別值得留意，因為這次他們修補兩項已被公開的零時差漏洞，分別影響SMB伺服器、SQL Server，然而，若要修補這個SMB伺服器漏洞，不光是套用更新軟體就能完成，還要檢查是否影響用戶端；而影響SQL Server的資安漏洞存在特定元件，最早於2018年就有資安業者發現。</p> <p>SAP、Adobe本次發布的公告也相當值得留意，其中SAP針對NetWeaver、NetWeaver AS Java修補重大層級漏洞，有1個風險值達到滿分，相當危險；Adobe針對ColdFusion、Adobe Commerce修補重大層級的資安漏洞，並呼籲用戶優先處理。</p> <h3><a href="https://www.ithome.com.tw/news/171140"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月11日】微軟修補近滿分資安漏洞</span></strong></a></h3> <p>在發布每月例行更新（Patch Tuesday）之前，微軟往往還會修補不少資安漏洞，這些漏洞有許多出現在該公司的雲端服務，但並未被列在每月例行更新的資安公告，雖然它們是個別公告的漏洞，仍因爲情節嚴重，吸引資安業者注意，而發出警示，以這個月而言，就有一個出現在Azure Networking的權限提升漏洞，風險值達到10分滿分，使得資安業者Rapid7特別提出警告，並指出用戶可能在遷移雲端資產的過程會需要特別留意。</p> <p>本週消費性電子設備最受到關注的新品，莫過於蘋果新一代iPhone的發表，在相關的功能改進，以及機型規格的調整之餘，他們也透露這次導入記憶體防護強化機制Memory Integrity Enforcement，目的是對抗日益猖獗的間諜軟體攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/171149"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</span></strong></a></h3> <p>資安業者Arctic Wolf於2個月前揭露勒索軟體Akira的攻擊行動，如今仍在持續進行，而且，駭客仍然尋找存在已知漏洞CVE-2024-40766的SonicWall防火牆下手，這樣的情況引起本週澳洲網路安全中心（ACSC）、資安業者Rapid7的關注，並提出警告，Rapid7更進一步推測，駭客可能同時搭配組態配置不當的情形。</p> <p>我們上週報導駭客將AI工具用於實際攻擊行動的情況，不過AI工具本身存在的弱點也相當值得留意。本週資安公司Oasis公布AI加持的IDE工具Cursor的調查結果，指出在預設組態下，攻擊者有機會讓惡意程式於開發者電腦自動執行；另一方面，OpenAI也指出大型語言模型頻繁出現幻覺（Hallucination）的現象，與現有的評估機制有關，使得語言模型採取亂猜的策略來作答。</p> <p> </p> </div></div></div>
2025/9/15 10:20作者羅正漢https://www.ithome.com.tw/news/171185
Tether將發行符合美國規範的新穩定幣USAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tether.io/news/tether-unveils-usat-its-planned-u-s-regulated-dollar-backed-stablecoin-and-will-appoint-bo-hines-as-ceo-of-tether-usat/" target="_blank">全球最大穩定幣USDT發行商Tether上周五（9/12）宣布</a>，打算發行一款符合美國《GENIUS Act》穩定幣監管法令、與美元掛鉤的新穩定幣USAT，將由美國核准的首家加密特許銀行Anchorage Digital Bank擔任發行機構，並將任命Bo Hines擔任Tether US執行長。被視為是Tether在美國市場邁出的重要一步。</p> <p>Tether成立於2014年，有不同的子公司於英屬維京群島及香港註冊，創立同年便發行了美元穩定幣USDT，現在的市場規模為1,700億美元，為全球最熱門的美元穩定幣，遠遠領先第二名、由Circle發行的USDC，目前USDC的市場規模接近732億美元。</p> <p>迄今Tether已發行多種與不同法幣掛鉤的穩定幣，內部並以₮作為穩定幣符號，除了與美元掛鉤的USD₮之外，還有與歐元掛鉤的EUR₮，與離岸人民幣掛鉤的CNH₮，與墨西哥披索掛鉤的MXN₮，以及與英鎊掛鉤的GBP₮等，也把即將發表的美元穩定幣稱為USA₮。不過，Tether曾因準備金的透明度與審計不足，而遭到監管機構的調查。</p> <p>另一項值得注意的是，<a href="https://tether.io/news/tether-hits-13-billion-profits-for-2024-and-all-time-highs-in-u-s-treasury-holdings-usdt-circulation-and-reserve-buffer-in-q4-2024-attestation/" target="_blank">Tether公布了2024年的財務表現</a>，顯示該公司去年獲利超過130億美元，所持有的美國國債則達到1,130億美元。</p> <p>新的USAT將是首款受到美國監督的Tether穩定幣，新任命的Tether US執行長Bo Hines曾是前白宮加密貨幣委員會的執行董事，Hines將會負責組建團隊，建立治理架構，與監管機關協調，確保USAT符合《GENIUS Act》法令，代表Tether正積極準備進入主流的監管體系。</p> <p>Tether表示，USDT為全球使用最廣泛的穩定幣，也是推動數位資產經濟的基礎設施，市值超過1,690億美元，每日交易量甚至超越了頂級信用卡業者，此外，它還是全球新興市場及發展中國家的數位美元，覆蓋全球近5億用戶，特別是那些缺乏銀行帳戶或銀行服務不足的社群。</p> <p>至於USAT將完全受到美國監管，旨於替企業及機構提供現金與傳統支付方式的數位替代方案，希望在嚴格的監管標準及透明儲備的支持下，可替美國穩定幣產業的合規性與可及性樹立全新基準。</p> <p>Tether並未公布USAT發行時間，但外界預期USAT可能會在今年底前問世。</p> </div></div></div>
2025/9/15 12:41作者陳曉莉https://www.ithome.com.tw/news/171189
Go開發者現可用Genkit Go，以型別安全Flow函式封裝AI打造智慧應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出<a href="https://developers.googleblog.com/en/announcing-genkit-go-10-and-enhanced-ai-assisted-development/">Genkit Go 1.0</a>，這是其在Go語言生態開源人工智慧應用框架。Genkit Go 1.0已進入可部署於生產環境的階段，官方也承諾會在1.x系列維持API相容性，既有程式碼能隨後續小版號更新持續編譯與執行。同時，Google也釋出genkit init:ai-tools命令，供開發者將人工智慧程式設計助理直接整合至開發流程。</p> <p>Genkit是一套專為建構全端人工智慧應用而設計的框架，提供統一介面以存取多家模型供應商，並支援多模態內容、結構化輸出、工具呼叫、RAG與代理式工作流等功能。對Go社群而言，最大特點是透過Flow這一概念，將人工智慧應用封裝為型別安全的函式。開發者可利用Go struct定義輸入輸出，並結合JSON Schema進行檢驗，確保生成結果能以既定格式回傳，降低資料不一致或解析錯誤的風險。</p> <p>Flow在Genkit中是一個具名的函式單元，內部處理提示詞與模型推論，外部則可作為HTTP端點提供呼叫。這樣的封裝方式讓人工智慧任務具備可測試、可觀測與可部署特性，與一般服務元件接近，方便版本管理與執行軌跡檢視。開發者可以將Flow視為應用的邏輯單位，方便在專案中組合或重用。</p> <p>模型支援方面，Genkit Go提供統一API與外掛機制提供多家模型供應商選項，包括Google Gemini/Vertex AI、OpenAI，同時支援OpenAI相容端點，因而可連接像Ollama等相容服務，要使用Anthropic Claude，可透過OpenAI相容端點或社群外掛整合，一般情況，開發者僅需調整模型名稱或設定即可在不同供應商間切換，維持程式碼結構穩定。同時，工具呼叫功能讓模型能以結構化方式存取外部服務，例如定義查詢天氣的函式與輸入格式，再由模型在生成過程中呼叫，將模型推論與後端邏輯清楚分離。</p> <p>開發者可用CLI啟動本機應用並呼叫視覺化介面，讓開發者互動測試Flow、調整提示詞與模型設定，或追蹤詳細的執行流程，包括延遲、Token消耗與成本。安裝方式簡單，macOS與Linux用戶可一行指令就完成安裝，Windows則可直接下載，整體工作流程與Go的原生開發習慣相容。</p> <p>新增的genkit init:ai-tools指令則針對人工智慧助理整合，能夠自動檢測既有設定並安裝Genkit MCP伺服器，提供常見工具如查詢文件、列出Flow、執行測試輸入與擷取執行追蹤（Trace），並產生GENKIT.md文件，說明不同語言與工具的整合方式。目前已支援Gemini CLI、Firebase Studio、Claude Code與Cursor，其他工具則可透過通用選項整合。</p> </div></div></div>
2025/9/15 12:50作者李建興https://www.ithome.com.tw/news/171188
AI驅動的人才招募業者Micro1完成3,500萬美元的A輪融資，估值5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供AI驅動人才招募服務的<a href="https://www.micro1.ai/series-a" target="_blank">Micro1上周五（9/12）宣布</a>，已完成3,500萬美元的A輪融資，估值為5億美元，以用來建置新平臺。</p> <p>Micro1是在2022年由Ali Ansari所創辦，最終願景是打造全球最優秀的人類智慧平臺，以讓每個人都能找到最適合自己的工作，第一步即是支援AI實驗室與企業創造通用人工智慧（AGI）。</p> <p>目前Micro1藉由AI面試官來審核人類智慧，以AI執行人才績效管理，並建立一個資料平臺來訓練尖端AI模型。該公司表示，AI面試官（AI Interviewer）讓企業不只看履歷，還能全面呈現候選人的樣貌，把他們與最適合的工作配對；再藉由人才績效管理蒐集到真實的在職表現；並利用這些資料來訓練預測模型。</p> <p>目前該公司的資料平臺已受到許多AI實驗室與Fortune 10企業青睞，將其應用在評估及訓練AI模型。</p> <p>除了AI招募平臺之外，Micro1也協助AI新創尋找及管理資料標記及訓練的人類承包商，<a href="https://www.micro1.ai/model/ava" target="_blank">並於今年8月推出了監控模型Ava</a>，宣稱可逮到93%的作弊者。</p> <p>美國媒體認為Micro1是Scale AI的競爭者，可填補<a href="https://www.ithome.com.tw/news/169561" target="_blank">Scale AI被Meta收編</a>後的空白，<a href="https://www.reuters.com/business/scale-ai-competitor-micro1-raising-funds-500-million-valuation-sources-say-2025-07-28/" target="_blank">路透社（Reuters）還引述消息來源報導</a>，Micro1的年化收入已超過5,000萬美元。</p> </div></div></div>
2025/9/15 13:12作者陳曉莉https://www.ithome.com.tw/news/171190
xAI Grok AI部門裁撤資料標註人員傳500人丟飯碗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/elon-musk-xai-layoffs-data-annotators-2025-9" target="_blank">Business Insider報導</a>，xAI上周因策略改變，裁減了Grok AI模型訓練人員約500名員工。</p> <p>Business Insider報導指出，這波裁員影響xAI資料標註1500人團隊的1/3，他們負責訓練xAI聊天機器人Grok的模型訓練。</p> <p>媒體引述取得xAI的裁員信件報導，該公司基於立即的「策略轉變」，將「加速專家AI導師的擴充和優先順序，同時縮減一般AI導師角色。」因此，該公司說不再需要大部份一般AI導師的職位，意味這些員工工作結束。</p> <p><a href="https://x.com/xai/status/1966677385056841884" target="_blank">xAI證實</a>，表示專家AI教師可增加巨大價值，該公司立即啟動擴大專家AI教師規模10倍。xAI也開始招聘理工科、財經、醫療、安全等領域的專業人才。</p> <p>xAI希望在AI領域能擊敗OpenAI。<a href="https://www.ithome.com.tw/news/170806" target="_blank">xAI及X上個月控告蘋果和OpenAI壟斷市場</a>，指兩者共謀使ChatGPT成為macOS和iOS 唯一聊天機器人，擠壓競爭者的機會。</p> </div></div></div>
2025/9/15 10:23作者林妍溱https://www.ithome.com.tw/news/171186
Apple Watch血壓量測功能獲得美國FDA上市許可
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2025/09/apple-debuts-apple-watch-series-11-featuring-groundbreaking-health-insights/" target="_blank">蘋果預告Apple Watch新增的血壓量測功能</a>，很快將獲得美國、歐盟等醫療主管機關的上市許可，成為最新的醫療級量測功能。</p> <p>蘋果上周發表iPhone 17外，也公布了最新一代Apple Watch Series 11（簡稱Apple Watch 11）。新款Apple Watch採用更耐刮的Ion-X玻璃、支援5G、提升電池續航力最長達24小時，另一特色在新增高血壓通知（Hypertension notification）。</p> <p>蘋果說明，高血壓通知是植基於嚴苛的科學驗證，以進階機器學習和涵括10萬多名受試者的多項研究訓練資料開發而成，並經由2000多名受試者資料的臨床驗證。目前這項通知尚無法偵測所有高血壓事件，但預計第一年內可對超過100萬未經診斷者發送通知。</p> <p>蘋果預計很快會獲得美國食品藥物管理署及其他監管機關的上市許可，本月內將在美國及歐盟等150多個國家地區推出。可獲得高血壓通知功能的Apple Watch為可升級watchOS 26的機種，包括Apple Watch 9以後與Apple Watch Ultra 2以後的產品。</p> <p>如果用戶接到高血壓通知，建議他們使用第三方專業臂帶式血壓計量測血壓7天，並將量測結果分享給專科醫生。</p> <p>此外Apple Watch 11還新增睡眠品質的分析與評分功能。Apple Watch的感測器能在用戶睡眠時蒐集心率、腕部溫度、血壓和呼吸率，而在升級到watchOS 26，Apple Watch將可量測睡眠品質，包含睡眠時間、就寢／起床時間一致性、夜間醒來次數、不同睡眠階段所佔時間等。用戶可在睡醒後從睡眠 App 看到整體評分與細部資訊。</p> <p>這是蘋果最新獲得FDA上市許可的健康功能。在此之前Apple Watch的醫療級功能包括心電圖、心律不整及睡眠呼吸中止症（Sleep Apnea）。</p> <p>蘋果的血氧偵測功能也受注目。2023年被法院判決侵害Masimo專利，<a href="https://www.ithome.com.tw/news/160851" target="_blank">去年初正式從Watch 9和Ultra 2移除</a>。不過在蘋果修改設計，將血氧量測數值移到手機上後，<a href="https://www.ithome.com.tw/news/170626" target="_blank">使其得以經由新版iOS 18.6.1及watchOS 11.6.1重新部署到智慧型手錶上</a>。不過該功能並未獲得FDA上市許可。</p> <p>外傳蘋果還在開發體溫偵測（目前腕部溫度偵測非醫療應用）甚至血糖偵測功能。</p> </div></div></div>
2025/9/15 09:29作者林妍溱https://www.ithome.com.tw/news/171183
1.1萬臺物聯網裝置、路由器遭綁架，發動每秒15億個封包的DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月初資安業者Cloudflare揭露<a href="https://www.ithome.com.tw/news/171004">峰值達到11.5 Tbps的DDoS攻擊</a>，封包速率最高達5.1 Bpps，持續約35秒，一開始認為攻擊流量來自Google雲端，後續確認同時來自物聯網裝置及多家雲端服務供應商，如今<a href="https://fastnetmon.com/2025/09/09/press-release-fastnetmon-detects-a-record-scale-ddos-attack/">有其他資安業者發現新一波攻擊行動</a>，但這次主要是針對緩解相關攻擊的服務業者而來。</p> <p>英國資安業者FastNetMon於9月9日指出，他們發現專門針對西歐一家DDoS流量清洗服務業者的DDoS攻擊，封包的速率每秒達到15億個（1.5 Gpps或1.5 Bpps），惡意流量主要是UDP洪水攻擊，由全球1.1萬臺物聯網裝置及路由器等用戶端設備（Customer-Premises Equipment，CPE）產生。由於這起事故發生在Cloudflare揭露的事故數天之後，代表攻擊者現在已經將攻擊流量和封包的規模，提升到另一個境界。</p> <p>針對這樣的現象，FastNetMon認為，當數以萬計的CPE設備被挾持用於如此大規模DDoS攻擊，網際網路服務供應商（ISP）的資安風險就會呈現指數級成長，因此，業者必須在ISP層級實施相關偵測，才有機會在流量膨脹到如此規模之前，攔阻這類攻擊。</p> </div></div></div>
2025/9/15 10:14作者周峻佑https://www.ithome.com.tw/news/171177
針對曝露的Docker API，駭客透過Tor網路發動新一波行動，疑綁架用於殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月資安業者趨勢科技揭露<a href="https://www.ithome.com.tw/news/169786">針對組態配置不當的Docker API挖礦的大規模攻擊行動</a>，駭客將作案工具存放於架設在洋蔥網路（Tor Network）的伺服器，意圖隱匿相關活動，如今有新的發現，指出相關攻擊的威脅加劇。</p> <p>資安業者Akamai今年8月在本身設置的蜜罐陷阱基礎設施，<a href="https://www.akamai.com/blog/security-research/new-malware-targeting-docker-apis-akamai-hunt">發現新一波的攻擊行動</a>，雖然駭客同樣針對曝露在網際網路，且具備弱點而有機會被感染的Docker API而來，但這次使用的初始存取管道有所不同，而且，攻擊者還讓其他人無法透過網際網路存取受害的Docker API。值得留意的是，這波攻擊行動的惡意程式也相當特殊，因為攻擊者並未植入挖礦軟體，而是部署其他工具，疑似打算充當殭屍網路的的基礎設施。</p> <p>Akamai起初偵測到來自數個IP位址的請求，攻擊者疑似想要在其中一臺伺服器建立容器，因而引起他們的注意並著手調查。</p> <p>攻擊者掛載伺服器的檔案系統，並執行經Base64演算法編碼遮蔽的指令碼，意圖建立新的容器，Akamai解析指令碼的內容，確認其功能主要是設定容器組態：部署公用程式curl、tor，並於背景啟動tor處理程序，接著從洋蔥網域取得另一個指令碼docker-init.sh。</p> <p>接著，攻擊者將自己的金鑰加入SSH連線，然後植入一系列工具masscan、libpcap、libpcap-dev、zstd、torsocks，用來迴避偵測、持續活動、以及進行擴散。</p> <p>攻擊者運用cron建立工作排程，針對Docker API使用的連接埠2375埠，設定每分鐘使用多種防火牆工具封鎖，目的是不讓其他人能夠存取受害主機資源。然後才向C2建立通訊，並從另一個Tor服務下載經壓縮處理的二進位檔案。</p> <p>特別的是，其中一個檔案是使用Go語言打造的惡意程式部署工具，執行過程竟出現Emoji表情符號，Akamai推測，可能是因為攻擊者借助大型語言模型（LLM）撰寫程式碼。</p> <p>為了進行橫向感染，攻擊者透過masscan掃描網際網路上開放的2375埠，試圖向其他可公開存取的Docker API擴散，不過值得留意的是，惡意程式的二進位檔案也納入另外兩個連接埠的檢查機制，它們是23埠及9222埠，分別用於Telnet連線，以及Chrome瀏覽器遠端除錯。雖然實際上惡意程式現在只掃描2375埠，但這項發現，很可能與未來即將出現的新功能有關，像是能嘗試使用預設帳密存取路由器、竊取瀏覽器Cookie或信用卡資料、從外部存取雲端中繼資料等受管制的資訊，以及發動DDoS攻擊。</p> </div></div></div>
2025/9/15 10:19作者周峻佑https://www.ithome.com.tw/news/171181
惡意軟體GPUGate鎖定西歐IT業者而來，透過GPU晶片系統資訊迴避沙箱及VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客看上受害電腦的圖形運算晶片（GPU），用於網路犯罪的情況，最常見的手法，是用於挖礦，但也有人用來避免惡意軟體遭到端點防毒系統攔截。</p> <p>最近資安業者Arctic Wolf揭露<a href="https://arcticwolf.com/resources/blog/gpugate-malware-malicious-github-desktop-implants-use-hardware-specific-decryption-abuse-google-ads-target-western-europe/">名為GPUGate的惡意軟體攻擊手法</a>，就是這種型態的例子。這種攻擊手法在8月下旬發現，鎖定西歐的歐盟成員國，針對開發者及IT專業人士而來，企圖竊取帳密資料、散布勒索軟體、進行滲透及橫向移動，甚至是進行供應鏈攻擊。</p> <p>攻擊者購買Google廣告，並利用GirGub儲存庫的結構，將使用者引導到特定網域下載惡意軟體。駭客傳送檔案大小達到128 MB的MSI安裝檔案，目的是迴避大部分的沙箱系統偵測，而最特別的策略，就是駭客運用受害電腦的顯示晶片解密惡意酬載，若是在沒有正常顯示晶片的環境，惡意酬載則維持加密的狀態。</p> <p>針對這起攻擊鏈發生的過程，駭客先購買惡意廣告，聲稱提供GitHub電腦版應用程式（GitHub Desktop），由於該廣告顯示為由GitHub贊助，又出現在搜尋的第一個結果，很容易讓使用者上當。</p> <p>一旦上當點選連結，使用者就會被帶往攻擊者於合法的GitHub儲存庫當中，建立的提交（Commit）內容，駭客在提交內容的說明（Readme）檔案裡，加入惡意下載連結。雖然GitHub會留存所有提交記錄，以供開發人員比對，但現在也被濫用。攻擊者嵌入提交網頁的URL雜湊值，他們就能產生看起來與原本儲存庫相同的網頁。</p> <p>由於GitHub提交頁面顯示真實、合法的資料，包含儲存庫的名稱、URL、分叉版本數量、得到的星號數量、貢獻者等，唯一的差別是在網頁上方出現黃底的警示訊息，提醒使用者正在檢視提交的內容。使用者往往會忽略上述警示訊息，並點選攻擊者埋入的惡意連結，而被導向惡意網域gitpage[.]app。</p> <p>使用者下載初期的可執行檔GitHubDesktopSetup-x64.exe，此為.NET Framework打造，內含171個執行檔，但超過100個實際上是用於混淆視聽的垃圾檔案，目的是消除噪音並膨脹整體的檔案大小，但實際上有問題的檔案是 UpdaterClient.dll，檔案大小約為60 MB。此外，為了防止他人透過公用程式分析，攻擊者也修改了檔案的標頭。</p> <p>有別於其他惡意軟體開發者會盡可能讓程式碼與大部分的電腦相容，但GPUGate並未採取這種策略，而是刻意排除特定硬體環境的電腦。Arctic Wolf指出，原因是未具備正常GPU的電腦，很有可能是虛擬機器（VM）、沙箱環境，或是研究人員用於分析的舊電腦。而駭客判斷的機制有兩個，首先是GPU名稱的字元長度，若是沒有超過10個字元（例如：VMware SVGA），那處理程序就會終止；另一個則是特定的GPU功能，若是沒有，惡意程式也同樣不會運作。</p> <p>惡意軟體開發者在GPUGate實作了兩個階段的OpenCL解密機制，先透過特定金鑰及XOR演算法，透過GPU進行第一階段解密，目的是產生第二階段解密的AES金鑰。</p> <p>接著他們透過上述解密金鑰，並透過解密功能的程式碼來解出惡意程式GPUGate。此惡意軟體透過PowerShell隱密執行，並在受害電腦得到權限提升，攻擊者也在受害電腦建立工作排程，而能在電腦重開機後，以管理權限執行。</p> <p>駭客會根據受害電腦的特徵，下載模組化的有效酬載，這些元件以ZIP檔案打包而成，特別的是，C2伺服器的網域名稱及IP位址橫跨不同的主機代管供應商，目的是避免特定的基礎設施遭到下架而影響活動。</p> </div></div></div>
2025/9/15 10:20作者周峻佑https://www.ithome.com.tw/news/171179
微軟警告Windows 10將在一個月後終止技術支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3656" target="_blank">微軟上周五（9/12）發出通知</a>提醒Windows 10企業及消費者版本將在30日後，即2025年10月14日來到技術支援終點。</p> <p>根據微軟的30-Day提醒，將在下個月14日失去技術支援的包括：Windows 10 22H2 Home、Pro、Enterprise、Education及IoT Enterprise版本，以及Windows 10 2015 LTSB及Windows 10 IoT Enterprise LTSB 2015。10月份的每月安全更新（Patch Tuesday）將是這些版本接獲的最後一次更新。此後，所有執行這些作業系統的裝置，都不會再獲得包含最新威脅防護的安全更新以及預覽版更新。</p> <p>由於Windows 10用戶市占仍然相當大，<a href="https://www.ithome.com.tw/news/165795" target="_blank">微軟去年首度對消費者PC公布付費延伸安全更新</a>（Extended Security Update，ESU）。之前微軟僅對企業版Windows 7提供ESU。今年6月微軟更進一步新增2種ESU方案，一是以Microsoft Rewards 1000點兌換ESU。二是使用Windows Backup功能將Windows設定同步到雲端，使用二種方法皆可不需支付其他費用換取ESU。</p> <p>不過微軟提醒，ESU方案僅針對「重大」安全問題提供安全性更新，不包含技術支援。</p> <p>微軟是透過「大量授權」來銷售ESU授權。企業用戶最多可以買三年ESU（1臺PC授權第一年61美元，第二年122美元，第三年244美元），消費者ESU則只提供1年（費用30美元）。此外，企業授權規定嚴苛，例如第二年才買ESU者，也需支付第一年費用。</p> <p><a href="https://learn.microsoft.com/zh-tw/windows/whats-new/extended-security-updates" target="_blank">根據臺灣微軟網頁</a>，購買ESU後的用戶可從M365系統管理中心取得「多個」啟用金鑰。今年11月就會需啟用第一個ESU更新。第一年個人版ESU提供的安全更新期間到2026年10月13日。</p> <p><a href="https://gs.statcounter.com/windows-version-market-share/desktop/worldwide/" target="_blank">根據市調公司StatCounter的估計</a>，Windows 10在Windows桌機比例達45.7%，Windows 11則為49.0%。</p> <p>微軟同時對Windows 11 23H2 Home、Pro版發出60天支援倒數通知，提醒今年11月11日，這些版本也將終止技術支援，建議用戶升級到最新版本Windows 11。</p> </div></div></div>
2025/9/15 09:14作者林妍溱https://www.ithome.com.tw/news/171182
VS Code 8月更新強化AI聊天功能與代理安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://code.visualstudio.com/updates/v1_104">VS Code 8月更新版</a>，本次更新重點在於人工智慧聊天功能與代理工作流程，包括自動模型選擇、敏感檔案與終端機操作的多層級保護，以及Python、生產力工具與終端機體驗的多項改進。VS Code開發團隊強調，在提升人工智慧自動化效能的同時，也將安全與可控性納入優先考量。</p> <p>VS Code新增自動模型選擇功能，使用者在模型選單中選擇Auto後，系統會自動在Claude Sonnet 4、GPT-5、GPT-5 mini、GPT-4.1與Gemini Pro 2.5之間切換，並顯示實際選用模型與倍率（Multiplier）。此功能將逐步提供給GitHub Copilot使用者，付費用戶則享有10％的請求折扣。</p> <p>另一項實驗性功能是AGENTS.md，當專案根目錄存在該檔案，內容將自動納入聊天上下文，適合需要多人或多代理協作的團隊。開發者還可同時透過新設定，讓自訂提示詞檔案依照特定檔案類型或語言自動出現，提升工作流程的一致性。</p> <p>VS Code的安全限制也更嚴格，代理在嘗試修改系統資料夾、隱藏檔或非工作區檔案時，預設會要求使用者確認，避免關鍵設定被不當變更。終端機自動核准新增明確的啟用流程，使用者需先在聊天檢視的下拉選單中明確開啟此功能，之後便可直接將當次命令加入自動核准規則，並在聊天介面檢視或調整所套用的規則。</p> <p>針對curl、wget或PowerShell的網路存取，系統會顯示額外警告，以降低被惡意指令利用的風險。過去的全域自動核准功能則改名為chat.tools.global.autoApprove，並在首次使用時跳出高風險提示，提醒使用者謹慎操作。此外，要是開發者不希望使用人工智慧功能，可透過chat.disableAIFeatures關閉並同步停用所有Copilot內建功能。</p> <p>在代理協作方面，聊天工作階段（Chat Sessions）檢視整合本機與外部來源的對話，支援多工作階段並能在狀態列追蹤進度。與GitHub程式開發代理的整合更緊密，程式碼中的TODO註解可直接委派給代理處理，並能在新的聊天編輯器中即時查看進度。</p> </div></div></div>
2025/9/14 22:09作者李建興https://www.ithome.com.tw/news/171178
西門子SIMATIC PCS neo工控平臺曝高風險漏洞，恐致遠端程式碼執行與當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西門子（Siemens）ProductCERT發布<a href="https://cert-portal.siemens.com/productcert/html/ssa-722410.html">資安通報</a>，指出整合於SIMATIC PCS neo工控平臺的UMC（User Management Component）存在多項嚴重弱點，未經驗證的遠端攻擊者可透過網路觸發，進而執行任意程式碼或造成系統中斷。官方已釋出修補版本，並呼籲使用者盡速更新，以降低受攻擊的風險。</p> <p>通報指出，所有低於UMC V2.15.1.3的版本均受影響。西門子已推出V2.15.1.3作為修補版本，並建議使用者在可行的情況下立即升級，要是暫時無法更新，官方也提出臨時因應措施，在非網路部署情境，用戶可以直接在安裝UMC的機器上封鎖TCP 4002與4004連接埠。</p> <p>當部署未採用RT Server類型的UMC機器，則可在所有UMC機器類型，包括Server、Ring-Server、Agent上全面封鎖4004連接埠，在不影響其他UMC機器類型網路功能的情況，透過降低攻擊面爭取升級緩衝時間。</p> <p>這次揭露的漏洞包括CVE-2025-40795堆疊緩衝區溢位，以及三項越界讀取CVE-2025-40796、CVE-2025-40797、CVE-2025-40798。CVE-2025-40795可能導致攻擊者遠端執行程式碼或讓服務停擺，後者則可能造成服務阻斷。整體風險評估極高，CVSS v3.1基礎分數達9.8，v4.0評分也高達9.3，代表攻擊條件低且影響範圍廣。</p> <p>西門子同時強調，一般性資安措施仍是基礎防線，包括限制對工控裝置的網路存取，依照工業資安作業指南配置防護環境，並遵循產品手冊中的建議做法。</p> <p>美國網路安全暨基礎設施安全局（CISA）也對這幾個漏洞發布<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-25-254-07">ICS警示</a>，提醒雖然目前尚未觀察到公開利用案例，但仍建議使用者立即升級UMC至最新版本，同時確保工控系統不直接暴露於網際網路，並採取防火牆與VPN等基本防護措施。對PCS neo V4.1與V5.0官方目前未規畫修補，防護以UMC更新與網路面控管為主。</p> </div></div></div>
2025/9/12 19:32作者李建興https://www.ithome.com.tw/news/171175
Google準備關閉工作追蹤工具Tables
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/area120-tables/answer/10831919" target="_blank">Google於9月初宣布</a>，即將於2025年的12月16日關閉工作追蹤工具Tables。</p> <p><a href="https://www.ithome.com.tw/news/140147" target="_blank">2020年9月發表的Tables</a>是個協作式資料庫工具，類似進階版的試算表，可用來建立結構化資料表格，設定不同欄位類型（文字、數字、日期、選項等），支援多人即時協作編輯，可建立自訂檢視和篩選條件，自動化工作流程，適用於專案管理、客戶關係管理、庫存追蹤等需要結構化資料處理的場景。</p> <p>Tables來自Google內部育成中心Area 120，它是由Google資深員工Tim Gleason所建立，Gleason不僅擔任Tables總經理，之後也成為NotebookLM首席技術經理，但已於2024年9月退休。</p> <p>2021年時一度傳出Tables要自Area 120畢業，成為Google Cloud的正式產品，而且Google的確也規畫了付費方案，但從未真正啟動收費機制。</p> <p>Google並未說明關閉Tables的原因，僅說已將Tables的許多功能整合到無程式碼平臺AppSheet上，而且自2023年6月起，Tables的直覺式資料建模及儲存功能便在AppSheet中以AppSheet資料庫的形式推出。AppSheet資料庫提供與Tables類似的資料管理及追蹤體驗，還可與更廣泛的Tables平臺整合，支援自動化建置、行動程式、聊天程式或其它客製化解決方案。</p> <p>若不想遷移到AppSheet，也可選擇移至Google Sheet。</p> <p>目前的Tables已不再接受新註冊，且所有工作空間也都已變成唯讀模式，無法編輯，只能匯出至其它平臺，並將於今年的12月16日關閉服務。</p> </div></div></div>
2025/9/12 18:04作者陳曉莉https://www.ithome.com.tw/news/171176
東元電機如何快速打造關節模組切入機器人市場？饒達仁：用AI縮短最佳化設計所需時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不論是人型機器人還是現在很夯的機器狗，驅動機器人肢體靈活運動自如的關鍵元件是關節模組，一臺機器人或機器狗身上往往需要多個關節模組，國內以生產製造馬達起家的東元電機看準市場商機，近幾年積極投入研發機器人關節模組的研發設計，今年8月才剛在自動化展上秀出機器人關節模組，但是其關節模組設計的背後，AI設計軟體提供不小的助力，東元電機技術長饒達仁近期在一場活動中分享研發關節模組的祕辛。</p> <p>饒達仁今年1月初才加入東元電機，但是他對於機械動力模組的研發並不陌生，在加入東元電機之前，他在工研院擔任機械所所長，曾帶領工研院團隊投入自駕車、無人機，以及後來的機器狗的研發，進入東元電機後擔任技術長，協助東元電機研發國產的旋轉關節模組。</p> <p>饒達仁相信機器人或是四足機器人未來將成為重要的趨勢，從大部分市場研究報告顯示，至少有1000億美元商機，Nvidia執行長黃仁勳也對外說，無人機、機器人、自駕車相關市場商機應有100兆美元商機，這也是吸引東元電機投入原因。</p> <p>他加入東元電機後，結合東元的馬達製造，先投入人型機器人的關節模組研發，至於機器狗的關節模組也與工研院合作，未來將和工研院共同展示機器狗。接下來，人類身上6大關節模組研發，並投入量產，目標是讓關節模組的性能可和歐美的技術比美，而模組的價格必需與紅色供應鏈一樣低，才能競爭世界市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1000003532.jpg" style="width: 600px; height: 450px;" /></p> <p><strong><span style="color:#B22222;">AI設計軟體助攻</span></strong></p> <p>然而傳統的馬達模組和機器人使用的關節模組，在設計上有何不同？機器人關節模組設計上的挑戰有哪些，廠商如何克服？</p> <p>饒達仁指出，儘管機器人用的關節模組結構大同小異，包括馬達、減速器、高精度感測器等，但是因為關節模組的大小不同，放置的位置不同，其設計上也需要作調整，透過設計軟體，甚至運用到最佳化設計。</p> <p>他表示，傳統上馬達有兩個重要參數，一個是轉速（RPM），另一個則是力學上的受力（Torque），一般而言，以轉速和受力兩者互斥，轉速愈高、受力愈小，而轉速愈慢、受力愈大；以往機械手臂的需求是快速精準移動位置，因此轉速要快，但受力不需那麼高，因此以往各種馬達設計上，要求快速移動到精確位置的要求。但是機器人或機械狗，當機器人或狗要向上跳起，關節模組需使機械人或狗能夠撐起跳躍，關節模組轉速和受力都需要提升，這是機器人關節模組內的馬達設計特別之處。此外，除了轉速、受力之外，基於機械狗的型體，還需要考慮不同模組的大小和重量，還有價格要有競爭力。</p> <p>饒達仁進一步說明關節模組研發設計上的複雜性，關節模組除了馬達轉速，力學上的受力，當馬達轉速增加，內部的帶動齒輪機構是否能承受，如果無法承受就可能因此破壞掉，因此需要力學的分析，另一方面當馬達轉速提升後，馬達本身發熱會影響到其性能表現，因此電機、熱學、力學彼此之間是相互聯動的，東元電機透過設計平臺整合這些數據。</p> <p>「透過設計軟體的協助，以及軟體提供的最佳化設計，為設計端節省許多時間，過去可能要花費2、3個月時間，現在一個關節模組可能只要1、2周就能設計出來，並且是最佳化設計」，饒達仁說。</p> <p>為了研發關節模組，饒達仁指出，在研發設計端的挑戰是同時需要模擬電機、機械材料特性及性能，運轉時的震動、噪音、散熱的表現，因每個元件之間聯動，計算出的數據需要換到另一個元件聯動以偵錯實作，透過設計軟體的雲端數據平臺，確保數據不會出錯，不同工程師能夠存取數據，同時也強化資安控管，確保研發數據不會外洩。</p> <p>過去廠商在設計產品時，特別是針對多參數的最佳化設計較棘手，往往需要手動或半自動調整，不斷找出最佳化設計；饒達仁認為，現在透過設計軟體的AI演算法，提供幾個最佳化設計方案的選項，再由設計開發人員決定，節省相當多的時間。在產品開發設計時，目前設計軟體提供的AI工具，從輸入的數據中快速進行分析，為其演算法的優勢，能夠快速提供開發人員最佳化設計，是AI推動產業創新的好處之一。</p> <p>熟悉各家設計軟體的饒達仁舉例說明AI在產品設計上的優勢，當產品需要輕量化設計，例如重量要從2公斤降到1.8公斤，開發設計人員可以由AI從大量的材料數據中進行分析，提供最佳化設計方案讓設計人員參考，可能從廠商既有的材料數據中，協助設計人員找出最佳化設計，或是提出開發人員意想不到的建議。「現在AI真的比以往強太多，它會提出以往想不到的事情」，饒達仁說。</p> <p>換言之，運用AI輔助產品開發設計，可能提供設計人員可能沒有想到的設計概念，另外，AI對使用材料的建議，也可能超出廠商原有的材料數據庫，啟發廠商使用創新的材料或工法。</p> <p>另外，因應ESG的淨零碳排趨勢，材料數據也加入碳費。饒達仁表示，讓開發設計人員除了選擇最佳化設計之外，也能考慮使用哪一種材料，它的碳費成本高低、加工程序，從選擇材料到製造找到最適當的方法。</p> </div></div></div>
2025/9/12 18:05作者蘇文彬https://www.ithome.com.tw/news/171174
Pixel 10相機與相簿啟用C2PA內容憑證，建立可驗證的拍攝與編輯鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2025/09/pixel-android-trusted-images-c2pa-content-credentials.html">Google Pixel 10的相機應用會對每張JPEG寫入C2PA內容憑證，</a>而Google相簿則會讀取與顯示C2PA內容憑證，並在編輯時續寫相應描述。該功能把可驗證的來源與歷程帶進行動攝影生態，Google強調，目的不是區分人工智慧或非人工智慧，而是讓影像的產生與處理步驟可以被查證。</p> <p>C2PA內容憑證是一套產業標準，透過數位簽章把影像的來源、拍攝或編輯步驟嵌入檔案。當支援的檢視工具讀到這些資料，使用者能看見影像是否由相機拍攝、是否經人工智慧或非人工智慧工具處理、處理順序為何。</p> <p>Pixel相機應用通過C2PA一致性計畫的第二級驗證保障（Assurance Level 2），這是目前計畫中最高等級的安全驗證，其達成仰賴Android的硬體安全架構，包括Tensor G5處理器、Titan M2安全晶片，以及Android Key Attestation、遠端金鑰配置（RKP）與StrongBox等功能。Titan M2經過國際安全標準的認證，用於在晶片層級產生並保護簽章金鑰，而Key Attestation則讓憑證機構能確認裝置狀態是否安全，並驗證請求憑證的應用是否為受信任的版本。</p> <p>隱私設計採可驗證、不涉個資的原則，憑證核發在伺服端以硬體支援的匿名證明完成，不需綁定使用者帳號，並避免留下可回推身分的伺服端紀錄。另一個重點則是一次性憑證策略，每張影像使用獨立金鑰與憑證，不重複使用，從密碼學方法阻斷透過金鑰將多張照片彼此關聯的可能性。</p> <p>由於要在離線情境也能維持可驗證性，Pixel 10在裝置側提供可信時間戳功能。受保護的安全時鐘在上線時定期與可信來源同步，離線時仍可維持，按下快門當下便能標註時間戳，即使日後簽章憑證到期，影像的拍攝事實仍可被驗證。</p> <p>Pixel相機應用拍攝時，會對每張JPEG自動寫入內容憑證，當使用者在Google相簿開啟含憑證的影像，系統會在資訊面板顯示來源與編輯摘要，並在使用人工智慧或非人工智慧工具進行編輯時，將新的處理步驟寫入憑證鏈。</p> <p>C2PA內容憑證正成為數位媒體可信度的共同標準，從相機、影像編輯軟體到生成式人工智慧服務都有導入。行動裝置方面，除Pixel 10外，有<a href="https://www.androidauthority.com/galaxy-s25-content-credentials-3523256">外媒報導</a>三星Galaxy S25系列在使用Galaxy AI編輯影像時，會自動加註C2PA內容憑證後設資料，以提升影像來源與編輯可追溯性。</p> </div></div></div>
2025/9/12 18:09作者李建興https://www.ithome.com.tw/news/171173
美國FTC出手要求Google、OpenAI、Meta等業者提供AI機器人如何影響兒童與青少年的資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2025/09/ftc-launches-inquiry-ai-chatbots-acting-companions" target="_blank">美國聯邦交易委員會（FTC）周四（9/11）宣布</a>，已要求7家AI聊天機器人供應商提供資訊，說明它們如何衡量、測試與監控這類技術對兒童及青少年的潛在負面影響。被點名的業者包括Alphabet、Character、Instagram、Meta、OpenAI、Snap與XAI。</p> <p>FTC解釋，AI聊天機器人可能透過生成式AI技術，模擬與人類相似的溝通方式與人際互動，可有效模仿人類特質、情感及意圖，通常被設計為像朋友或知己般地與使用者互動，可能導致部分使用者，特別是兒童與青少年的信任並與之建立關係。</p> <p>因此，此次的調查是為了了解上述公司是否採取了任何措施，在聊天機器人擔任「陪伴者」角色時評估其安全性，限制兒童與青少年的使用並降低其潛在負面影響，以及是否向使用者及其家長告知相關風險。</p> <p>外界相信，FTC之所以展開這類的調查，是因為近來聊天機器人被懷疑與許多自殺事件有關，例如<a href="http://en.wikipedia.org/wiki/Raine_v._OpenAI" target="_blank">加州一名16歲青少年的父母控告OpenAI</a>，指責ChatGPT促成小孩自殺。還有<a href="http://apnews.com/article/chatbot-ai-lawsuit-suicide-teen-artificial-intelligence-9d48adc572100822fdbc3c90d1456bd0" target="_blank">一名14歲青少年與Character.AI的聊天機器人討論自殺念頭</a>，最後也成功自殺了；另一名<a href="https://www.reuters.com/investigates/special-report/meta-ai-chatbot-death/" target="_blank">有認知障礙的男子迷上了Meta所打造的聊天機器人暨虛擬化身</a>，還要出門與之約會，結果出門後不小心跌倒受傷，數天後死亡。</p> <p>上述意外及涉及聊天機器人的爭議令FTC採取行動，要求7家業者回答各項資訊，包括如何將與使用者的互動變現；如何處理使用者的輸入並生成回應；如何開發及審核角色；如何在部署前後衡量、測試與監控負面影響；如何緩解負面影響，特別是兒童。</p> <p>以及如何透過揭露、廣告與其它方式向使用者及家長告知其功能、目標受眾、潛在負面影響、資料蒐集與處理；如何監控並執行服務條款及公司規範，像是社群守則及年齡限制；如何使用或分享透過與聊天機器人對話所獲得的個資。</p> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/meador-6b-ai_statement.pdf" target="_blank">FTC委員Mark Meador認為</a>，生成式AI同時帶來了潛力與風險，後者包括誤導性/不準確回應、濫用個資、內容偏見，以及對兒童及青少年的傷害等，例如那些可模仿人類互動能力的AI聊天機器人，試圖與使用者建立情感連結，雖然可帶來好處，但也可能導向依賴、錯誤信任，以及造成身心健康問題。</p> <p>Meador指出，兒童與青少年等年輕使用者特別容易受到影響，他們可能無法分辨AI機器人的限制，也缺乏應對錯誤資訊或情緒操弄的能力。這次的調查與研究將有助於FTC未來在保護兒童及青少年，以及確保AI產業負責任創新之間取得平衡。</p> </div></div></div>
2025/9/12 15:18作者陳曉莉https://www.ithome.com.tw/news/171162
AWS推新款儲存最佳化運算服務，提供120T空間與300G頻寬
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_i8ge-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前陣子我們報導<a href="https://www.ithome.com.tw/review/170919">Amazon EC2 R8i與M8i</a>的產品功能與規格特色時，意外發現同樣於近期導入Nitro v6網路加速架構的AWS雲端運算服務當中，有一款專攻儲存最佳化應用市場的I8ge<a href="https://repost.aws/articles/AR8QfcbysjR4CiG6-6yWMFrw/introducing-amazon-ec2-i8ge-instances">在8月底悄悄上市</a>。</p> <p>這系列執行個體採用AWS自行研發的<a href="https://www.ithome.com.tw/tags/aws-graviton4">Graviton4</a>處理器，相較於搭配Graviton2處理器的儲存最佳化運算服務（應該是指I4g、Im4gn、Is4gn），運算效能領先60％，而且，本機儲存裝置採用AWS研發的第三代Nitro SSD固態硬碟，比起前代儲存最佳化運算服務Im4gn，每TB空間的即時儲存效能領先55％，儲存I/O延遲減少60％至75％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/I8ge-CPU and Nitro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8ge-CPU%20and%20Nitro.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/third generation AWS Nitro SSDs-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/third%20generation%20AWS%20Nitro%20SSDs-4.jpg" style="width: 600px;" /></a></p> <p>對照<a href="https://aws.amazon.com/tw/blogs/aws/introducing-storage-optimized-amazon-ec2-i8g-instances-powered-by-aws-graviton4-processors-and-3rd-gen-aws-nitro-ssds/">去年底上市、同樣採用Graviton4處理器與第三代Nitro SSD固態硬碟的I8g</a>，搭配的本機儲存裝置總容量最大45 TB，今年最新推出的I8ge躍升為120 TB，縱觀所有搭配Graviton處理器的雲端運算服務，I8ge可提供最大的儲存容量密度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/I8ge-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8ge-SSD.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/I8g-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8g-SSD.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/third%20generation%20AWS%20Nitro%20SSDs-2.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/third generation AWS Nitro SSDs-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/third%20generation%20AWS%20Nitro%20SSDs-3.jpg" style="width: 298px;" /></a></p> <p>除此之外，率先導入Nitro v6網路加速架構，也是I8ge一大賣點，能將CPU虛擬化、儲存、網路功能卸載至專屬硬體設備執行，提升工作負載的效能與資安，也可支援更大規模的網路頻寬，舉例來說，I8ge最高可達300 Gbps（I8g是100 Gbps），以最小組態而言，i8ge.large是25 Gbps，i8g.large是10 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/I8ge-Net.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8ge-Net.jpg" style="width: 600px;" /></a></p> <p>在執行個體的配置上，I8g只有一種裸機組態：i8g.metal-24xl，今年最新推出的I8ge提供兩種：i8ge.metal-24xl、i8ge.metal-48xl，在產品定位上，適用於需要更大儲存容量密度的即時應用系統，像是關聯式資料庫、非關聯式資料庫、串流資料庫、搜尋查詢，以及資料分析。</p> <p>若企業針對儲存最佳化雲端運算服務的使用，若想要AWS第三代Nitro SSD固態硬碟的組態，但處理器希望是x86架構，<a href="https://aws.amazon.com/tw/blogs/aws/now-available-storage-optimized-amazon-ec2-i7ie-instances/">AWS在2024年12月推出I7ie</a>，採用英特爾第五代Xeon Scalable處理器，就執行個體的硬體資源配置而言，最大可提供120 TB容量的NVMe固態硬碟，而在執行個體的儲存組態與效能方面，I7ie與I8ge完全一樣，而且vCPU數量、記憶體容量也相同。然而，兩種運算服務的網路頻寬就有明顯不同，差距從6xlarge以上的執行個體逐漸拉大，以同為48xlarge與metal-48xl為例，I7ie是100 Gbps，I8ge則是300 Gbps，原因應該是搭配的Nitro平臺不同，I7ie是Nitro v5，I8ge是Nitro v6。</p> <p><a href="https://s4.itho.me/sites/default/files/images/third generation AWS Nitro SSDs-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/third%20generation%20AWS%20Nitro%20SSDs-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/I8ge-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8ge-SSD.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/I8g-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8g-SSD.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20I7ie-SSD.jpg" style="width: 198px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AWS Amazon EC2 I8ge</strong></span><br /> ●原廠：AWS<br /> ●建議售價：美國西部（奧勒岡），隨需定價，i8ge.large每小時0.2373美元<br /> ●處理器：AWS Graviton 4<br /> ●提供服務規模選擇：large、xlarge、2xlarge、3xlarge、6xlarge、12xlarge、18xlarge、24xlarge、48xlarge、metal-24xl、metal-48xl，<br /> vCPU數量2至192顆，記憶體DDR5-5600容量16至1,536 GiB，網路頻寬25至300 Gbps，儲存裝置1臺1,250 GB至16臺7,550 GB，搭配 AWS區塊儲存服務EBS，EBS頻寬10 Gbps至60 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/12 15:20作者李宗翰https://www.ithome.com.tw/review/171040
JFrog推出AppTrust自動化治理方案，確保應用程式可信交付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JFrog發布<a href="https://jfrog.com/blog/announcing-jfrog-apptrust/">AppTrust</a>，為JFrog平臺內建的應用程式風險治理解決方案，目標是對快速交付與日益嚴格的法遵要求，提供可稽核、可重複的發布管控。AppTrust主打以證據為基礎的政策檢核點（Policy Gate），將安全、治理與法遵串接進軟體生命周期。當軟體版本滿足所有政策後可授予Trusted Release標章，並在上線後持續監控新出現的弱點，維持信任狀態。</p> <p>JFrog表示，不少企業，安全、開發與法遵各用一套工具，卻缺少能夠以應用程式為主軸，整合各團隊資訊的共同基礎。AppTrust以JFrog平臺Artifactory構件庫為單一事實來源，將軟體資產、構件與依存關係映射至特定應用，建立清楚的擁有者與業務脈絡。系統提供包含SBOM、版本演進時間軸與關鍵操作紀錄的統一資訊總覽，讓團隊在同一介面檢視安全與法遵狀態，降低跨系統查證成本。</p> <p>AppTrust可蒐集多元來源的證據，包含JFrog自家掃描結果、第三方的輸出與參考設計，以及企業自定義的檢查。這些證據對應到明確的政策檢核點，並設定在最早可行階段即發出警示，或延後到適合的研發節點再檢核，以兼顧釋出節奏與風險控管。合作生態目前涵蓋GitHub、ServiceNow與Sonar等常見工具，缺證據或不符政策時會觸發提示，要求補齊或調整流程。</p> <p>當軟體版本通過所有政策檢核點後，會被AppTrust標記為Trusted Release，代表該版本符合組織定義的安全、法遵、品質與效能門檻，可作為對內外部稽核的證據。進入生產後，系統持續匯整JFrog各掃描器的結果，改以應用為中心呈現新發現的CVE與受影響範圍，提供具上下文的修復路徑，避免開發與資安各自為政。</p> <p>AppTrust從建立新版本到生產環境、由誰在何時做了哪些動作，逐一留下帶有時間戳與操作者的紀錄，形成可追溯的稽核鏈。這種以應用為單位的可見性，有助於在修復優先序、SLA遵循以及DORA等效能指標上做出一致、可驗證的決策。同時，企業可把法遵與治理要求落到日常工作管線，將能否釋出的決定，轉化成政策與證據驅動的系統化流程，降低人工稽核負擔。</p> </div></div></div>
2025/9/12 15:27作者李建興https://www.ithome.com.tw/news/171160
阿爾巴尼亞任命AI機器人擔任部長以杜絕貪污
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.reuters.com/technology/albania-appoints-ai-bot-minister-tackle-corruption-2025-09-11/" target="_blank">路透社</a>（Reuters）及<a href="https://www.theguardian.com/world/2025/sep/11/albania-diella-ai-minister-public-procurement?utm_source=chatgpt.com" target="_blank">衛報</a>（The Guardian）的報導，阿爾巴尼亞總理Edi Rama本周四（9/11）公布內閣成員時，指派AI機器人Diella擔任該國的部長，負責處理所有政府對外的採購事宜，以全面杜絕貪污，成為全球第一個AI機器人部長。</p> <p>阿爾巴尼亞（Albania）位於巴爾幹半島，臨亞得里亞海及愛奧尼亞海，首都為地拉那（Tirana），全國人口約為280萬，該國曾為共產集權，自1990年代轉型為民主制度，現年61歲的Rama自2013年起擔任總理，這是他的第4個任期。</p> <p>雖然是個小國，但阿爾巴尼亞在2020年5月就建立了加密貨幣監管框架，為當時歐洲最全面的加密貨幣立法之一，但同時也向民眾警告加密貨幣風險，而減緩了當地的採用。</p> <p>此外，Diella其實是在今年1月就被整合到當地的E政府e-Albania平臺上，作為該平臺的數位助理，協助民眾透過網路完成逾1,000種公共服務，迄今已協助發布超過3.5萬份數位文件。因此，有媒體戲稱Diella是被拔擢為部長。</p> <p>Rama說，Diella將被定位為公共採購的僕人，未來所有政府的採購招標決策都會從各部會的手中移轉給Diella，由Diella負責審查及評估政府與私人公司的每項標案，此一轉變將是循序漸進的，但目標是讓阿爾巴尼亞成為一個標案100%透明又廉潔的政府。</p> <p>根據<a href="https://cointelegraph.com/news/albania-appoints-ai-powered-bot-diella-minister-procurement" target="_blank">Cointelegraph</a>的報導，Rama的舉動源自於阿爾巴尼亞是個貪污氾濫的國家，從前總統Illir Meta、地拉那市長Erion Veliaj到環境部長Lefter Koka都曾被指控貪污。</p> <p>目前仍僅是歐盟候選國的阿爾巴尼亞期望，該國可於2030年以前正式加入歐盟。</p> </div></div></div>
2025/9/12 14:09作者陳曉莉https://www.ithome.com.tw/news/171154
微軟免除開發人員在Microsoft Store發布App的費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2025/09/10/free-developer-registration-for-individual-developers-on-microsoft-store/" target="_blank">微軟本周宣布</a>取消個人開發商在其軟體市集Microsoft Store上架App的費用。微軟還強調可享有微軟代為發布的好處，例如由微軟簽發App。</p> <p>Microsoft Store是在2021年推出，微軟說現在Microsoft Store每月經常用戶有2.5億。原本開發人員需支付19美元才能登錄帳號並發布應用程式。微軟先是於今年6月宣布在特定國家取消這款費用，現在則擴及全球近200個市場。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-windows%20store%20developer-2-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>現在個人開發人員加入Microsoft Store無需支付費用，只要以個人Microsoft帳號登入按照指引訊息，包括掃一下有效的政府身份證件及個人自拍照來驗證身份。完成驗證後，開發人員資料就會自動帶入「合作夥伴中心」（Partner Center）。所有第三方應用程式或更新都是先打包成MSIX檔再上傳「合作夥伴中心」發布。</p> <p>微軟說，取消這筆一次性費用，將可建立更包容性及更平易近人的平臺，讓更多開發人員得以創新並繁榮Windows生態體系。相較之下，<a href="https://support.google.com/googleplay/android-developer/answer/6112435?hl=en" target="_blank">Google Play Store</a>收費為25美元，<a href="https://developer.apple.com/support/compare-memberships/" target="_blank">蘋果App Store</a>則要99美元。</p> <p>Microsoft Store支援各種型態的應用程式發布，包括Win32（如.NET WPF和WinForms）、UWP、PWA、.NET MAUI或Electron。企業導向的應用程式可以讓企業用戶經由Windows Search發現，並以Intune安裝。</p> <p>此外，Microsoft Store提供了發布平臺。應用程式可打包成MSIX檔由微軟代管並支付傳送費用，開發人員不需自己設定CDN，微軟還會簽發App，確保App的信賴及安全性，而且Windows/Microsoft Store還會自動將開發人員App更新推送給使用者。</p> <p>微軟還強調該平臺低分潤率，非遊戲類應用程式無需分潤，一般應用程式分潤率為15%，遊戲類則為12%。Google和蘋果的平臺在經過數年前法院介入後，對小型開發商分潤比例降為15%，但對App年營收超過100萬美元的開發商，分潤比則維持30%。</p> </div></div></div>
2025/9/12 13:13作者林妍溱https://www.ithome.com.tw/news/171151
巴拿馬經濟暨財政部遭INC Ransom勒索軟體攻擊駭客聲稱竊走1.5TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mef.gob.pa/2025/09/comunicado-oficial/" target="_blank">巴拿馬經濟暨財政部（MEF）本周稍早發布</a>，內部電腦發生惡意程式入侵。媒體報導，禍首是INC Ransom勒索軟體。</p> <p>MEF在一臺工作站發現疑為惡意軟體的活動，當時已依照既定的安全政策，立即啟動相關措施，並在整個資訊系統加強預防手段以遏止該次事件。巴拿馬政府強調，沒有任何核心系統與平臺受到影響，皆維持正常運作。</p> <p>Bleeping Computer報導，勒索軟體組織INC Ransom上周在暗網論壇宣稱成功入侵MEF，並竊走1.5TB內部資料，包括電子郵件、財務文件、預算明細等等。這群駭客還公布部份資料作為證明。</p> <p>不過巴拿馬政府單位並未證實是否為INC Ransom。MEF的資料外洩事件之所以受關注，是因為它也掌握了全球最重要運河之一的巴拿馬運河的營收資料。</p> <p>INC Ransom為2023年中出現的勒索軟體即服務（ransomware-as-a-service，RaaS），其受害者涵括眾多知名企業，包括山葉（Yamaha Motor）、全錄美國分公司、蘇格蘭衛福部（NHS）及美國密西根州醫療照護體系McLaren等。</p> </div></div></div>
2025/9/12 13:33作者林妍溱https://www.ithome.com.tw/news/171152
Claude強化團隊協作體驗推出工作用記憶功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic於Claude導入<a href="https://www.anthropic.com/news/memory">工作用記憶功能</a>，能在日常對話自動維持團隊的專案脈絡與偏好，減少重複解釋背景的需求，該功能先開放給Team與Enterprise用戶，企業管理員可選擇是否停用記憶。同時，Claude還新增隱身對話，所有用戶皆可使用，不會被保存至歷史紀錄或寫入記憶。</p> <p>新的記憶功能設計重點是協助團隊在長期計畫或並行任務中維持連續性。Claude會根據既有專案建立獨立記憶，保留流程、需求、規格與優先順序，讓使用者不必在每次對話中重新建立上下文，像是開發團隊即使專案進行到不同階段，也能持續追蹤設計細節，銷售人員則能延續客戶往來資訊。系統同時提供記憶摘要檢視與編輯機制，用戶可在設定中查看Claude所保存的內容，並調整Claude參考的重點或忽略項目，確保資訊透明可控。</p> <p>與8月推出的按需記憶相比差異在於，8月的版本僅在使用者下指令時才會引用過去的聊天內容，屬於被動式回想，當時開放給Max、Team與Enterprise等方案。本次新增的工作用記憶功能則能主動在工作場景中延續上下文，並以專案為單位區隔內容，避免不同討論彼此混用。</p> <p>管理員可在組織層級停用工作用記憶功能，並由專案邊界確保敏感或不相關的資訊不會混雜。該設計能協助大型團隊在跨部門、跨時區的協作中，降低資訊流失與重複溝通的成本，同時兼顧法遵要求與內部控管。</p> <p>針對個別使用者，Claude提供隱身對話模式，能帶來乾淨的上下文，適合進行敏感討論或短期交流，這些對話不會被保存至歷史紀錄，也不會寫入長期記憶。</p> </div></div></div>
2025/9/12 13:36作者李建興https://www.ithome.com.tw/news/171148
OpenAI及Microsoft達成新協議以替OpenAI的IPO鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/statement-on-openai-nonprofit-and-pbc/" target="_blank">OpenAI周四（9/11）發布聲明</a>，指出其非營利組織OpenAI Nonprofit將取得其公益法人公司（Public Benefit Corporation⁠，PBC）超過1,000億美元的股權，<a href="https://blogs.microsoft.com/blog/2025/09/11/a-joint-statement-from-microsoft-and-openai/" target="_blank">同一天亦與微軟針對雙方下一階段的合作簽署了諒解備忘錄</a>（Memorandum of Understanding，MoU），被外界視為是在替OpenAI的股票首次公開發行（IPO）鋪路。</p> <p>OpenAI最早是一家非營利組織OpenAI Nonprofit，<a href="https://www.ithome.com.tw/news/129281" target="_blank">在2019年於非營利之下設立了有限獲利公司OpenAI Global</a>，讓微軟等OpenAI股東可透過OpenAI Global獲得回報，但回報上限為100倍；<a href="https://www.ithome.com.tw/news/168770" target="_blank">接著在今年5月發布新架構</a>，把OpenAI Global轉型為PBC，移除了100倍的股東獲利上限，轉為標準的普通股權結構，但依舊由OpenAI Nonprofit董事會控制。</p> <p>本周OpenAI則說，OpenAI Nonprofit將握有價值超過1,000億美元的PBC股份，使得它成為全球資源最豐沛的慈善組織之一。OpenAI並未公布OpenAI Nonprofit的持股比例，但若根據近日該公司開放員工出售股票所計算的5,000億美元市值，OpenAI Nonprofit可能擁有2成的PBC股份。</p> <p>至於微軟。微軟是OpenAI早期最重要的股東，<a href="https://microsoft.gcs-web.com/node/33181/html" target="_blank">截至2024年就已投入了130億美元資金</a>，外傳微軟取得了49%的OpenAI股權。其中，130億美元是確定的，但雙方未曾對外確認過股權比例。</p> <p>在2023年5月時，<a href="https://www.ithome.com.tw/news/156634" target="_blank">OpenAI的市值只有270億美元</a>；2025年3月由軟體銀行（SoftBank）主導的新一輪融資中，<a href="https://www.ithome.com.tw/news/168182" target="_blank">市值已攀上3,000億美元</a>；今年8月傳出OpenAI準備同意讓員工出售股票，估值為5,000億美元。</p> <p>在微軟與OpenAI所發出的共同聲明中，表示雙方已針對下一階段的合作夥伴關係簽署了不具約束力的MoU，並正努力確認正式合約裡的各項條款；未來雙方仍將以對安全性的共同承諾為基礎，致力於替所有人提供最優秀的AI工具。</p> <p>正式確認OpenAI Nonprofit與PBC的股權架構，再與最大股東微軟達成協議，都被視為是在清除OpenAI上市之路的障礙，特別是在OpenAI不論是要推動Stargate，或是與甲骨文簽署3,000億美元的AI運算合約之際，都使得OpenAI面臨龐大資金需求，從公開市場募資似乎已成必然方向。</p> </div></div></div>
2025/9/12 13:47作者陳曉莉https://www.ithome.com.tw/news/171153
【資安日報】9月12日，勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Arctic Wolf於2個月前揭露勒索軟體Akira的攻擊行動，如今仍在持續進行，而且，駭客仍然尋找存在已知漏洞CVE-2024-40766的SonicWall防火牆下手，這樣的情況引起本週澳洲網路安全中心（ACSC）、資安業者Rapid7的關注，並提出警告，Rapid7更進一步推測，駭客可能同時搭配組態配置不當的情形。</p> <p>我們上週報導駭客將AI工具用於實際攻擊行動的情況，不過AI工具本身存在的弱點也相當值得留意。本週資安公司Oasis公布AI加持的IDE工具Cursor的調查結果，指出在預設組態下，攻擊者有機會讓惡意程式於開發者電腦自動執行；另一方面，OpenAI也指出大型語言模型頻繁出現幻覺（Hallucination）的現象，與現有的評估機制有關，使得語言模型採取亂猜的策略來作答。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171147"><strong style="font-size: 22px;">勒索軟體Akira利用SonicWall已知重大SSL VPN漏洞入侵受害組織的態勢加劇</strong></a></p> <p>今年7月資安業者Arctic Wolf針對勒索軟體Akira的攻擊行動提出警告，指出駭客鎖定SonicWall防火牆而來，疑似利用SSL VPN零時差漏洞下手而得逞，後續SonicWall著手調查指出，駭客利用的資安弱點，其實是去年8月公布的CVE-2024-40766（CVSS風險值為9.3），但這樣的攻擊態勢，如今有擴大的現象。</p> <p>9月10日澳洲網路安全中心（ACSC）提出警告，他們掌握CVE-2024-40766在當地遭到積極利用的情況，Akira用來對SonicWall的SSL VPN系統下手，而有機會進行未經授權的存取，並在特定情況導致防火牆當機，呼籲用戶應儘速檢查SonicWall設備的使用情況，並根據廠商的公告及指引進行調查與補救。</p> <p>隔天資安業者Rapid7也發布部落格文章警告相關的攻擊態勢，表示在上個月SonicWall發布相關公告之後，他們觀察到針對SonicWall設備的入侵活動出現增加的現象，駭客存取這類設備的Virtual Office Portal網站，意圖重新設置SSL VPN用戶的動態密碼（OTP），以及多因素驗證（MFA）組態。Rapid7指出，在特定的預設配置狀態下，此入口網站可讓任何人透過網際網路直接存取，一旦使用者帳密外流，攻擊者就有機會用來配置OTP及MFA。</p> <p><a href="https://www.ithome.com.tw/news/171137"><strong style="font-size: 22px;">總下載量每週達26億次的多款熱門NPM套件被植入惡意軟體，起因是開發者帳號遭奪取</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/486656474-69fa8552-8e72-4330-84aa-658cc0219747.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/486656474-69fa8552-8e72-4330-84aa-658cc0219747.png" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer的報導，別名qix的套件開發人員Josh Junon遭遇網釣攻擊，導致他維護的NPM套件被植入惡意軟體。由於這些套件每週被下載超過26億次，影響恐怕非常廣泛。</p> <p>事件揭露的原因，在於9月8日有人發現Josh Junon所有熱門套件被植入後門，推測他的NPM帳號被駭，並透過社群網站Blue Sky發出通報。後續Josh Junon證實此事，並表示他收到看起來像是合法的雙因素驗證重設郵件，然後NPM帳號就被駭了，他正設法聯繫NPM試圖取回帳號。後來Josh Junon再度發布貼文說明，表示他無法存取自己的NPM帳號，目前由NPM進行處理。他也公布寄送釣魚信的電子郵件信箱是：support [at] npmjs [dot] help。</p> <p>這起事故NPM協助Josh Junon復原了帳號，並清除非他本人發布的套件。Josh Junon表示，雖然他的帳號和套件似乎已經成功還原，但還有其他套件開發者也受到影響，呼籲大家提高警覺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/panama-ministry-of-economy-discloses-breach-claimed-by-inc-ransomware/">巴拿馬財政部傳出遭遇勒索軟體Inc 攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/asyncrat-exploits-connectwise.html">惡意軟體AsyncRAT透過ScreenConnect竊取帳密資料及挖礦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/attackers-abuse-kubernetes-dns/">Kubernetes的DNS被濫用，駭客以此從ArgoCD截取Git帳密</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-vmscape-attack-breaks-guest-host-isolation-on-amd-intel-cpus/">新型態VMScape攻擊可對AMD、Intel處理器下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/flexispy-spyware/">肯亞電影製作人傳出警方透過間諜軟體FlexiSPY暗中追蹤</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171133"><strong style="font-size: 22px;">AI程式碼編輯器Cursor存在RCE弱點，裝置恐自動執行惡意程式碼</strong></a></p> <p>資安公司Oasis公布對Cursor漏洞研究，指出這款人工智慧程式碼編輯器在Workspace-Trust設定上存在風險，可能讓攻擊者透過惡意儲存庫，在受害者開啟專案資料夾的瞬間，自動執行惡意程式碼而不需任何確認提示。Oasis現在公開此漏洞，並提供完整的技術細節與概念驗證。</p> <p>根據研究人員的說明，Cursor在出廠設定中採用Workspace Trust關閉的預設配置，這意味著專案可以包含隱藏的自動化指令。一旦惡意開發者在儲存庫中放置經過特殊設定的檔案，並設計成在使用者開啟專案資料夾時自動觸發任務，這些指令就會立刻執行，整個過程完全不會經過使用者的授權或提示。這種行為等同於將開啟資料夾轉化為靜默執行程式碼，讓攻擊者能在開發者的使用環境中直接植入惡意操作。</p> <p>這項弱點的嚴重性在於開發環境通常具備高權限與重要憑證，研究人員指出，開發者的筆電往往保存雲端金鑰、個人存取憑證（PAT）、API token與SaaS工作階段，一旦遭到入侵，攻擊不僅能竊取資料或修改檔案，更可能橫向移動至CI/CD管線與雲端環境，進一步取得更廣泛的權限。</p> <p><a href="https://www.ithome.com.tw/news/171052"><strong style="font-size: 22px;">OpenAI發現評測機制獎勵猜測，促使大型語言模型出現幻覺</strong></a></p> <p>OpenAI在最新研究指出，大型語言模型頻繁出現幻覺（Hallucination），主因在於現行評測（Evaluation）與訓練機制設計不當，讓模型在不確定時更傾向猜測而非承認不知道。研究指出，當主流評測榜單只看答對率，模型在不確定時傾向猜測而非承認不知道，最終以更高的自信錯誤（Confident Error）率換取更漂亮的分數。</p> <p>針對這項發現，OpenAI主張，評測應對自信錯誤的回答給予更重的懲罰，並對適當的不確定表達給予部分分數，以矯正模型在不確定時傾向亂猜的行為。</p> <p>這就如同選擇題的答題策略，面對不知道的題目，盲猜仍有機會答對，空白無法得分，如果模型在數千題測試中一律猜測，最終可能比懂得在不確定時收手的模型拿到更高的準確率，卻伴隨更多出錯。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170745"><strong style="font-size: 22px;">TRM Labs推出可即時偵測非法加密貨幣活動的Beacon Network</strong></a></p> <p>區塊鏈情報業者TRM Labs宣布推出Beacon Network，這是個即時的加密貨幣犯罪應對網路，串連了執法機構、加密貨幣交易平臺、支付公司及資安研究人員，可在非法資金被套現或轉為法幣之前就進行攔截。</p> <p>TRM Labs表示，自2023年以來，至少有470億美元的加密貨幣被發送到跟詐欺有關的位址，而這很有可能只是其中一部分，因為大多數被詐欺的受害者不會對外揭露。此外，加密貨幣生態系統在2025年被盜走逾2.3億美元。</p> <p>Beacon Network像是個共享的公共基礎設施，除了TRM Labs之外，它的創始成員還包括Coinbase、Binance、PayPal、Robinhood、Stripe、Kraken、Ripple、Crypto.com及Blockchain.com等數十家業者，全球執法機構也正協助辨識及標記與犯罪行為有關的加密錢包位址，包括ZachXBT、Security Alliance (SEAL)、zeroShadow、Hypernative、Operation Shamrock及CryptoForensics Investigators等資安業者，則負責持續監控及追蹤各種威脅。</p> <p><a href="https://www.ithome.com.tw/news/170730"><strong style="font-size: 22px;">Fastly發現網站AI流量多來自爬蟲，即時擷取卻成最大壓力源</strong></a></p> <p>雲端業者Fastly在2025第二季的Threat Insights報告指出，人工智慧機器人正在改變網站流量結構，雖然人工智慧機器人流量的80％來自爬蟲，不過，真正對基礎設施造成壓力的是來自模型推理階段的即時擷取。即時截取工具在高峰甚至可對同一網站發出每分鐘3.9萬次請求，遠高於最大訓練爬蟲約每分鐘1千次，可能對未加以防護的網站形成類似DDoS的衝擊。</p> <p>根據Fastly的資料，人工智慧爬蟲流量主要由Meta、Google與OpenAI三大業者產生，合計占比高達95％，其中Meta單獨貢獻了52％，Google為23％，OpenAI則約20％。在即時擷取方面，OpenAI的ChatGPT-User與OAI-SearchBot為絕對大宗，合計占即時截取工具流量近98％。</p> <p>以區域來看，北美網站接收的人工智慧流量接近90％屬於爬蟲，歐洲、中東與非洲地區（EMEA）情況則相反，即時截取工具占59％，亞太（APAC）與拉丁美洲以爬蟲為主，但比例相對較低。產業面也呈現分化，教育與媒體娛樂流量以即時截取工具為主，分別為68％與54％，更容易受到即時查詢的高並行影響，相較之下，電商、醫療與公共部門超過90％流量為爬蟲。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171140"><strong>【9月11日】微軟修補近滿分資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171114"><strong>【9月10日】微軟、SAP、Adobe發布9月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171077"><strong>【9月9日】歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙</strong></a></p> </div></div></div>
2025/9/12 12:01作者周峻佑https://www.ithome.com.tw/news/171149
熱門NPM套件開發者遭網釣，每週下載26億次的套件面臨供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期鎖定NPM套件開發者的攻擊行動不所傳出，例如，今年7月<a href="https://www.ithome.com.tw/news/170262">熱門NPM套件eslint-config-prettier傳出被植入木馬程式</a>的情況，起因是套件維護者JounQin遭到網釣，如今又有熱門套件出現類似的供應鏈攻擊。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hackers-hijack-npm-packages-with-2-billion-weekly-downloads-in-supply-chain-attack/">資安新聞網站Bleeping Computer的報導</a>，別名qix的套件開發人員Josh Junon遭遇網釣攻擊，導致他維護的NPM套件被植入惡意軟體。由於這些套件每週被下載超過26億次，影響恐怕非常廣泛。</p> <p>事件揭露的原因，在於9月8日<a href="https://bsky.app/profile/charlieeriksen.bsky.social/post/3lydffcyulc2n">有人發現</a>Josh Junon所有熱門套件被植入後門，推測他的NPM帳號被駭，並透過社群網站Blue Sky發出通報。<a href="https://bsky.app/profile/bad-at-computer.bsky.social/post/3lydioq5swk2y">後續Josh Junon證實此事</a>，並表示他收到看起來像是合法的雙因素驗證重設郵件，然後NPM帳號就被駭了，他正設法聯繫NPM試圖取回帳號。</p> <p>後來Josh Junon<a href="https://bsky.app/profile/bad-at-computer.bsky.social/post/3lydje4zqis2y">再度發布貼文說明</a>，表示他無法存取自己的NPM帳號，目前由NPM進行處理。他也公布寄送釣魚信的電子郵件信箱是：support [at] npmjs [dot] help。</p> <p>這起事故NPM協助Josh Junon復原了帳號，並清除非他本人發布的套件。Josh Junon表示，雖然他的帳號和套件似乎已經成功還原，但還有其他套件開發者也受到影響，呼籲大家提高警覺。</p> <p>Josh Junon提出的警告並非空穴來風，因為有其他開發者也收到類似的釣魚信，<a href="https://github.com/orgs/community/discussions/172738">並公布其內容</a>：對方聲稱收信人最後一次設置雙因素驗證已經是超過一年半的事情，他們正著手要求所有開發者更新相關憑證，並要脅開發者若不處理，繼續使用過程憑證，將會從9月10日開始暫時鎖定，後續有其他開發者也留言表示收到相同的釣魚信。Bleeping Computer針對釣魚信連結的網頁進行分析，指出內含登入表單，會將輸入的帳密資料洩露到特定的URL。針對此事進行調查的資安業者Aikido<a href="https://www.aikido.dev/blog/npm-debug-and-chalk-packages-compromised">也證實這樣的現象</a>，因為他們也偵測到駭客寄釣魚信給其他套件開發者。</p> <p>根據Aikido的統計，Josh Junon總共有18個套件被植入惡意軟體，這些套件每週被下載26億次，影響相當廣泛。一旦使用者不慎安裝，惡意軟體就會將自己注入瀏覽器並監控敏感資料，然後改寫瀏覽器存取目標，以存取攻擊者網站，或是挾持以太幣（Ethereum）、Solana幣等加密貨幣的交易內容。這些被感染的套件如下：</p> <ul> <li>ansi-styles（每週被下載3.71億次）</li> <li>debug（每週被下載3.58億次）</li> <li>chalk（每週被下載3億次）</li> <li>supports-color（每週被下載2.87億次）</li> <li>strip-ansi（每週被下載2.61億次）</li> <li>ansi-regex（每週被下載2.44億次）</li> <li>wrap-ansi（每週被下載1.98億次）</li> <li>color-convert（每週被下載1.94億次）</li> <li>color-name（每週被下載1.92億次）</li> <li>is-arrayish（每週被下載7380萬次）</li> <li>slice-ansi（每週被下載5980萬次）</li> <li>error-ex（每週被下載4717萬次）</li> <li>color-string（每週被下載2748萬次）</li> <li>simple-swizzle（每週被下載2626萬次）</li> <li>supports-hyperlinks（每週被下載1920萬次）</li> <li>has-ansi（每週被下載1210萬次）</li> <li>chalk-template（每週被下載390萬次）</li> <li>backslash（每週被下載26萬次）</li> </ul> </div></div></div>
2025/9/11 17:31作者周峻佑https://www.ithome.com.tw/news/171137
勒索軟體Akita利用SonicWall已知重大SSL VPN漏洞入侵受害組織的態勢加劇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月資安業者Arctic Wolf<a href="https://www.ithome.com.tw/news/170409">針對勒索軟體Akira的攻擊行動提出警告</a>，指出駭客鎖定SonicWall防火牆而來，疑似利用SSL VPN零時差漏洞下手而得逞，後續SonicWall著手調查指出，<a href="https://www.ithome.com.tw/news/170549">駭客利用的資安弱點，其實是去年8月公布的CVE-2024-40766</a>（CVSS風險值為9.3），但這樣的攻擊態勢，如今有擴大的現象。</p> <p>9月10日澳洲網路安全中心（ACSC）提出警告，<a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/ongoing-active-exploitation-of-sonicwall-ssl-vpns-in-australia">他們掌握CVE-2024-40766在當地遭到積極利用的情況</a>，Akira用來對SonicWall的SSL VPN系統下手，而有機會進行未經授權的存取，並在特定情況導致防火牆當機，呼籲用戶應儘速檢查SonicWall設備的使用情況，並根據廠商的公告及指引進行調查與補救。</p> <p>隔天<a href="https://www.rapid7.com/blog/post/dr-akira-ransomware-group-utilizing-sonicwall-devices-for-initial-access/">資安業者Rapid7也發布部落格文章</a>警告相關的攻擊態勢，表示在上個月SonicWall發布相關公告之後，他們觀察到針對SonicWall設備的入侵活動出現增加的現象，駭客存取這類設備的Virtual Office Portal網站，意圖重新設置SSL VPN用戶的動態密碼（OTP），以及多因素驗證（MFA）組態。Rapid7指出，在特定的預設配置狀態下，此入口網站可讓任何人透過網際網路直接存取，一旦使用者帳密外流，攻擊者就有機會用來配置OTP及MFA。</p> <p>他們也提及此廠牌防火牆SSL VPN預設使用者群組的資安風險，並指出在部分組態配置當中，若是管理員以預設LDAP群組的組態設置SSL VPN服務，有可能允許超出合理使用範圍的存取權限。這代表未經授權的用戶，有機會在忽略AD組態的情況下使用SSL VPN服務。Rapid7推測，Akira很有可能藉由這些資安風險取得未經授權的存取管道，並從事勒索軟體活動。</p> </div></div></div>
2025/9/12 10:55作者周峻佑https://www.ithome.com.tw/news/171147
Stability AI推出企業級音訊生成模型Stable Audio 2.5，3分鐘曲目2秒完成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI正式推出音訊生成模型<a href="https://stability.ai/news/stability-ai-introduces-stable-audio-25-the-first-audio-model-built-for-enterprise-sound-production-at-scale">Stable Audio 2.5</a>，其定位為企業級音訊製作場景，在單張GPU的推論時間低於2秒，可生成最長3分鐘的音軌。新版模型強化了音樂結構表現，並新增音訊修補（Audio Inpainting）功能，讓開發者與專業製作團隊能在不同應用場景快速產出高品質、可調整的音訊內容。</p> <p>Stable Audio 2.5以音樂生成為核心改進，生成內容更符合實際編曲邏輯，可形成具前奏、發展與結尾的多段式結構。相較前一版本，模型在理解提示詞的準確度提升，例如針對情緒描述或音樂風格語彙，回應更符合預期。</p> <p>推論速度的提升，主要歸功於開發團隊研發的後訓練方法<a href="https://stability.ai/research/fast-text-to-audio-generation-with-adversarial-post-training">ARC（Adversarial Relativistic-Contrastive）</a>。透過ARC技術，模型能在維持音軌品質的同時，大幅降低GPU推論時間，將3分鐘音軌的生成時間縮短至不到2秒。</p> <p>ARC方法的重點在於利用對抗式訓練加速擴散模型，其結合相對性對抗訓練與對比式判別器，讓生成速度更快且提示遵循度更高。ARC能在極短時間內生成高品質音訊，大幅提升文字轉音訊的實用性。</p> <p>除了既有的文字轉音訊與音訊轉音訊流程，Stable Audio 2.5新增支援音訊修補功能，使用者可輸入自有片段並指定延展位置，模型會依照上下文生成後續聲音，適合在既有素材基礎上延伸或修改。官方條款規定上傳音訊不得包含受版權保護的素材，並透過內容識別系統進行檢測，以確保符合法規。</p> <p>企業對於品牌聲音的需求日益增長，從廣告、遊戲片頭、零售空間音樂到支付提示音，都需要一致且可辨識的音訊素材。Stability AI提供以企業自有聲音庫進行微調的方案，將品牌專屬音色與節奏特徵嵌入生成流程，確保不同通路與專案中的聲音具有連續性與獨特性。</p> <p>Stable Audio 2.5現可直接透過StableAudio.com試用，並支援API整合與合作平臺使用。對於需要嚴格控管資料與合規要求的組織，官方提供企業級授權允許本地部署。</p> </div></div></div>
2025/9/12 08:21作者李建興https://www.ithome.com.tw/news/171139
Gemini加速科學研究程式設計，在多領域展現突破性解法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://research.google/blog/accelerating-scientific-discovery-with-ai-powered-empirical-software/">公開</a>其將人工智慧用於科學研究的最新進展，研究人員發展一套以Gemini為核心的人工智慧科學研究系統，能將研究問題轉化為可計分任務，自動生成並迭代實證軟體（Empirical Software）。此系統不僅能提出新方法，還能透過樹狀搜尋快速篩選最有潛力的解法，讓科學家驗證假說所需的時間從過去的數月大幅縮短到數天甚至數小時。</p> <p>Google表示，該系統在基因體學、公共衛生、遙測影像、神經科學、數學積分以及時間序列預測等6項基準測試中，都展現出專家級的水準。</p> <p>與傳統僅以功能正確為標準的軟體不同，實證軟體的設計目標是最大化特定的品質分數，研究人員需提供問題描述、評分指標，以及用於訓練、驗證和評估的資料，系統則會在此基礎上產生研究構想，並嘗試不同的方法組合並以程式碼重現。整個過程由類似AlphaZero的樹狀搜尋機制引導，決定哪些候選解法值得進一步探索。程式碼執行與評分在沙箱中進行，確保結果能被驗證與重現。</p> <p>在基因體學領域，系統參與了OpenProblems v2.0.0的單細胞RNA定序跨批次整合任務，成功產生40種新方法，最佳方案將ComBat與BBKNN結合，綜合指標較現有最佳方法提升14％。在公共衛生領域，系統針對美國CDC的CovidHub住院數預測，產生14個模型，回溯測試結果優於官方整合模型Ensemble。</p> <p>神經科學方面，團隊在ZAPBench基準上設計出新型時間序列模型，其表現超越現有3D影像推估方法，並以概念驗證示範可與生理神經元模擬器Jaxley結合的混合模型。數學領域測試則聚焦於困難積分的數值計算，系統在19個題目中正確解出17題，其中包括傳統方法失敗的案例。</p> <p>Google已公開論文與互動式網站，供研究人員重現結果或檢視候選解法樹。對科研人員來說，這套系統能將繁瑣的程式碼撰寫與驗證，交由人工智慧自動化處理，自己則能專注於假說設計與研究方向。對熟悉Python與常見深度學習函式庫的開發者而言，這樣的工具等同於一個程式層級的研究引擎，可在短時間內探索大範圍的可能解法，並快速找到具體且可量化的成果。</p> </div></div></div>
2025/9/12 08:25作者李建興https://www.ithome.com.tw/news/171142
AI程式碼編輯器Cursor存在RCE弱點，裝置恐自動執行惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Oasis<a href="https://www.oasis.security/blog/cursor-security-flaw">公布</a>一項Cursor漏洞研究，指出這款人工智慧程式碼編輯器在Workspace-Trust設定上存在風險，可能讓攻擊者透過惡意儲存庫，在受害者開啟專案資料夾的瞬間，自動執行惡意程式碼而不需任何確認提示。Oasis現在公開此漏洞，並提供完整的技術細節與概念驗證。</p> <p>根據研究人員的說明，Cursor在出廠設定中採用Workspace Trust關閉的預設配置，這意味著專案可以包含隱藏的自動化指令。一旦惡意開發者在儲存庫中放置經過特殊設定的檔案，並設計成在使用者開啟專案資料夾時自動觸發任務，這些指令就會立刻執行，整個過程完全不會經過使用者的授權或提示。這種行為等同於將開啟資料夾轉化為靜默執行程式碼，讓攻擊者能在開發者的使用環境中直接植入惡意操作。</p> <p>這項弱點的嚴重性在於開發環境通常具備高權限與重要憑證，研究人員指出，開發者的筆電往往保存雲端金鑰、個人存取憑證（PAT）、API token與SaaS工作階段，一旦遭到入侵，攻擊不僅能竊取資料或修改檔案，更可能橫向移動至CI/CD管線與雲端環境，進一步取得更廣泛的權限。</p> <p>就受影響範圍而言，Cursor使用者在預設情況下均存在風險。相較之下，VS Code因為Workspace Trust預設開啟，會在執行自動任務前向提示使用者確認，在使用者未明確授權前，這類自動執行任務不會啟動，因此風險較低。Cursor方面則表示，使用者可手動啟用Workspace Trust功能，並承諾將在近期更新安全指引。</p> <p>Oasis Security建議開發團隊立即採取幾項資安防護措施，以降低因Cursor預設設定可能帶來的風險。首先，應啟用Workspace Trust，並要求每次開啟專案時顯示信任提示，避免程式碼在未經確認的情況下自動執行。其次，建議在設定中停用自動化任務功能，防止不明任務自動執行。</p> <p>對於來源不明的程式碼儲存庫，則可選擇僅用檢視模式的編輯器，或在隔離的容器及虛擬機環境開啟，以減少潛在風險。此外，開發者也應定期檢查專案是否存在會在開啟資料夾時，自動啟動的任務設定，並持續監控開啟專案後是否出現IDE啟動的殼層或命令列程序，異常的對外連線行為，以便儘早發現可疑活動。</p> </div></div></div>
2025/9/12 08:18作者李建興https://www.ithome.com.tw/news/171133
【資安週報】0901~0905，已棄用的輸入法軟體更新伺服器遭挾持，駭客用於對臺發動目標式攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年9月第一星期資安新聞，臺灣的資安防護動向有多項消息值得關注，包括《資通安全管理法》的修法正式三讀通過，以及資安署揭示新的策略。</p> <p>（一）我國《資安法》修法有新進展，自2024年7月行政院將修正草案送交立法院通過一讀，2025年8月29日，立法院三讀通過資通安全管理法修正條文，</p> <p>（二）在今年數位政府高峰會上，資安署長蔡福隆揭示我國最新資通安全發展，強調政府應減少繁瑣資安應辦事項要求、加強技術處理能力，並希望從2026年起推動分級稽核，第1級檢測執行EASM外部曝險檢測，第2級是內部檢測及AI場外稽核，第3級是技術檢測及實地稽核。</p> <p>最近我們也發布封面故事，揭露iThome 2025企業資安大調查的結果，呈現國內企業組織資安防護現況。今年有幾項重要發現，例如，有高達6成企業將老舊系統的更新，視為推動資安往成熟發展的挑戰，還有今年資安預算平均金額突破2千萬創新高，而且占IT預算比例快要接近1成，顯現企業對資安投入是持續提升。</p> <p>在資安威脅焦點方面，有兩起重大事件引發大家關注：</p> <p>●搜狗注音輸入法早在2019年停止維護，趨勢科技發現有攻擊者挾持更新伺服器並註冊網域，對臺灣用戶散布多種惡意軟體，目的是網路間諜活動，趨勢科技呼籲用戶務必認知：該輸入法的更新機制現已被駭客全面接管。</p> <p>●Salesloft Drift串聯Salesforce的OAuth權杖被竊事件擴大，這樣的供應鏈攻擊情形，已有受害者浮上檯面，包括資安業者Zscaler、Palo Alto Networks，Cloudflare都發出公告，受害規模恐再擴大。另一方面，Salesloft Drift供應鏈攻擊事故的影響範圍，並非只有整合Salesforce的用戶，有部分用於整合Google Workspace的企業，也遭到波及。</p> <p>此外，國家級駭客的攻擊行動也相當值得留意，包括俄羅斯駭客APT28鎖定收信軟體Outlook部署後門、APT29發動水坑式攻擊竊取微軟帳號，以及北韓駭客Lazarus散布多款RAT木馬、APT37對國防情資研究機構下手的事故。</p> <p>值得留意的是，本週針對汽車產業的網路攻擊有兩起，分別是塔塔旗下的英國車廠Jaguar Land Rover（JLR），以及輪胎大廠普利司通的北美分公司傳出受害，導致兩家公司皆傳出生產受到影響的現象。</p> <p>●英國車廠Jaguar Land Rover發布公告表示遭遇資安事故，為控制事故影響範圍，該公司關閉部分系統因應，但這也導致他們的生產及零售面臨中斷。</p> <p>●普利司通北美分公司（Bridgestone Americas，BSA）遭遇網路攻擊，美國喬治亞州、加拿大魁北克省媒體報導指出，該公司當地工廠出現暫停營運的現象，但實際影響的規模及範圍，有待進一步釐清。</p> <p>一般來說，網釣攻擊當中駭客最常以電子郵件接觸受害者，但如今有新的手法出現，那就是假冒合作廠商，填寫企業網站的「聯絡我們」表單，讓受害企業對攻擊者寄送電子郵件，以利相關往來郵件不被資安系統攔截。</p> <p>將AI用於網路犯罪，過往最常見的手法是利用AI機器人製作釣魚信、釣魚網站，或是產生程式碼，但如今出現駭客直接將AI滲透測試自動化平臺HexStrike-AI用於實際攻擊，找出利用弱點的方法，以及掃描、尋找下手目標。此外，AI業者Anthropic近期發布的威脅情報調查報告也提及，他們發現有人將人工智慧代理置入攻擊鏈，從事Vibe Hacking活動，利用Claude Code的終端環境自動化偵察、憑證蒐集、網路滲透與橫向移動，對目標企業展開資料勒索。</p> <p>●AI滲透測試自動化平臺HexStrike-AI正式推出後不久就出現遭濫用的情況，駭客快速將Citrix NetScaler零時差漏洞CVE-2025-7775用於實際攻擊，並在受害設備植入Web Shell。</p> <p>●AI業者Anthropic發布8月份人工智慧威脅情報，警告駭客已將AI用於實際攻擊行動，其中一種是把Claude Code用於Vibe Hacking活動，竊取受害企業組織資料並進行勒索，而且，相關活動以自動化的方式進行。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/170931"><strong style="font-size: 22px;">【9月1日】已棄用的輸入法更新伺服器被用於攻擊特定臺灣用戶</strong></a></p> <p>在軟體供應鏈攻擊當中，駭客鎖定NPM、PyPI套件，以及Visual Studio Code（VS Code）延伸套件使用者發動攻擊的手法，有一種是使用已下架的套件名稱，藉由註冊相關名稱及網域，對原本的使用者發動攻擊，為此近期PyPI軟體基金會（PSF）祭出新的措施，他們將每天追蹤網域名稱的使用情況，封鎖無效網域名稱有關帳號，但如今有人將這樣的伎倆，用於已終止維護的應用程式上，對仍在使用該軟體的使用者發動攻擊。</p> <p>近期趨勢科技揭露針對臺灣使用者的攻擊行動Taoth，就是這種型態的例子，駭客鎖定於2019年停止維護的搜狗注音輸入法（Sogou Zhuyin IME），挾持更新伺服器並註冊網域，用來散布惡意程式。值得留意的是，這款輸入法在臺灣的知名度有限，再加上使用者多半都有自己偏好的輸入法，不會輕易更換，顯然這起攻擊行動相當有針對性。</p> <p><a href="https://www.ithome.com.tw/news/170956"><strong style="font-size: 22px;">【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> <p>駭客接觸企業組織最常見的管道，莫過於電子郵件，但如今有人使用相當不尋常的做法引起資安業者的注意，因為這些駭客先是填寫企業網站上的「聯絡我們」表單，讓企業寄送電子郵件進行後續的溝通，使得相關電子郵件難以被視為有害，然後待機會成熟，駭客才發動第二波網釣，寄送惡意程式。</p> <p>但在網釣手法的變化之外，駭客之間的結盟方式也出現新的做法，最近有專門鎖定亞太地區及中亞國家政府機關的駭客組織，但特別的是，這組人馬同時有使用簡體中文和俄文的駭客，這樣的情況並不常見。</p> <p><a href="https://www.ithome.com.tw/news/170992"><strong style="font-size: 22px;">【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> <p>8月下旬傳出的Salesloft Drift供應鏈攻擊事故，先是介入調查的Mandiant透露影響範圍不光與之串連的Salesforce，接著有多家資安業者表明他們的雲端CRM系統資料外洩，本週Cloudflare、Palo Alto Networks發布聲明證實此事，並透露影響的範圍，強調不影響自家產品、系統，以及服務。</p> <p>另一個受到全球關注的事故，是最近一個星期傳聞影響25億Gmail用戶的嚴重漏洞，許多科技網站、金融新聞網站紛紛呼籲用戶，要儘速更換密碼因應。對此，Google發布簡短說明，表示上述的說法並不正確。</p> <p><a href="https://www.ithome.com.tw/news/171008"><strong style="font-size: 22px;">【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> <p>今天的資安新聞主要與人工智慧有關，其中最受到關注的部分，是資安業者Check Point揭露駭客濫用滲透測試自動化平臺HexStrike-AI的情況，由於這款工具發布不久就被用於將漏洞打造成武器，並用於實際攻擊行動，這樣的現象相當值得留意，因為駭客可藉由這類工具大幅縮短準備時間，也能藉由自動化大規模掃描，廣泛尋找下手目標。</p> <p>另一項消息是涉及大型語言模型（LLM）不設防的現象，思科透過物聯網搜尋引擎發現，全球有超過1千臺Ollama伺服器曝露在網際網路上，可公開存取，其中有近2成模型可在無須通過身分驗證的情況下，回應請求並執行模型推論，而形成可被濫用的攻擊面。</p> <p><a href="https://www.ithome.com.tw/news/171021"><strong style="font-size: 22px;">【9月5日】大規模DDoS攻擊流量達到11.5 Tbps，再創新高</strong></a></p> <p>大規模分散式阻斷服務（DDoS）攻擊事故本週再度出現在新聞版面而受到關注，但本週資安業者Cloudflare揭露的事故相當特別，因為不只是流量再度增加，從5月的7.3 Tbps增加至11.5 Tbps，更值得留意的是，流量來源的判定可能也變得更加困難，因為，該公司一開始認為主要來自Google的雲端環境，後續才改口表示，實際上來自多家雲端供應商及物聯網裝置。</p> <p>在癱瘓網站運作的事故之外，國家級APT駭客的攻擊活動也是需要加以防範的對象，例如：俄羅斯駭客APT28在收信軟體Outlook部署後門程式NotDoor、北韓駭客Lazarus鎖定金融與加密貨幣產業的攻擊行動，還有中國駭客Silver Fox發動自帶驅動程式攻擊（BYOVD）的現象，都需要用戶提高警覺。</p> </div></div></div>
2025/9/11 21:01作者周峻佑https://www.ithome.com.tw/news/171141
【資安日報】9月11日，微軟修補近滿分資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在發布每月例行更新（Patch Tuesday）之前，微軟往往還會修補不少資安漏洞，這些漏洞有許多出現在該公司的雲端服務，但並未被列在每月例行更新的資安公告，然而有些資安漏洞相當嚴重，還是引起資安業者提出警告，以這個月而言，就有一個出現在Azure Networking的權限提升漏洞，風險值達到10分滿分，使得資安業者Rapid7特別提出警告，並指出用戶可能在遷移雲端資產的過程會需要特別留意。</p> <p>本週消費性電子設備最受到關注的新品，莫過於蘋果新一代iPhone的發表，在相關的功能改進，以及機型規格的調整之餘，他們也透露這次導入記憶體防護強化機制Memory Integrity Enforcement，目的是對抗日益猖獗的間諜軟體攻擊。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171132"><strong style="font-size: 22px;">中美貿易談判前夕傳出APT41試圖探聽敵情，假冒美國議員從事網釣攻擊</strong></a></p> <p>今年美國與中國對於關稅問題先後在日內瓦、倫敦、斯德哥爾摩進行多次談判，如今傳出在第3次談判的前夕，中國疑似藉由APT駭客監視相關人士，企圖掌握美國政府政策制訂環節當中的敏感資訊。</p> <p>資安新聞網站SecurityWeek引述華爾街日報的報導指出，美國和中國即將於瑞典舉行會議的前幾天，傳出美國政府機關、律師事務所、與貿易有關的團體收到冒名美國眾議員寄送的電子郵件，要求收信人對於中國制裁的草案提供意見，然而實際上若是收信人依照指示開啟附件，電腦就有可能被植入間諜軟體。</p> <p>這封有問題的電子郵件假冒美國眾議員John Moolenaar寄送，但因為寄件人的電子郵件信箱並非美國政府所有，而被察覺有異。駭客挾帶了看似立法草案的資料，但實際上內含惡意軟體，經分析與中國駭客APT41有關。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ddos-defender-targeted-in-15-bpps-denial-of-service-attack/">物聯網裝置、MikroTik路由器遭綁架，發動1.5 Bpps大規模DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/jaguar-land-rover-jlr-confirms-data-theft-after-recent-cyberattack/">針對近期的資安事故，英國車廠Jaguar Land Rover證實部分資料外洩</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/chillyhell-macos-backdoor-and-zynorrat.html">RAT木馬ZynorRAT、後門程式ChillyHell鎖定Windows、Linux、macOS電腦而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/buterat-backdoor-malware-enterprise-govt-networks/">後門程式Buterat在企業組織及政府網路環境流竄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182063/cyber-crime/killsec-ransomware-is-attacking-healthcare-institutions-in-brazil.html">勒索軟體Killsec攻擊巴西醫療保健機構</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171128"><strong style="font-size: 22px;">微軟修補近乎滿分的權限提升、遠端程式碼執行漏洞</strong></a></p> <p>微軟在9月例行更新（Patch Tuesday）當中，一共公布及修補86個資安漏洞，其中包含81個新登記CVE編號的漏洞，以及5個出現在微軟產品採用的第三方元件漏洞。長期分析微軟每月例行更新的資安業者Rapid7在本次對於9月例行更新的觀察當中指出，這次其實微軟總共修補了176個漏洞，其中很大一部分，與雲端服務有關，其中最危險的資安漏洞，更達到CVSS評分10分的危險程度。</p> <p>這項風險值滿分的資安漏洞是CVE-2025-54914，出現在Azure Networking，可被用於權限提升，為存取控制不當的弱點（CWE-284），並指出該漏洞CVSS評分達到10分，相當危險。微軟強調，使用者無須採用行動，他們記錄這個漏洞的主要目的，就是提供後續追蹤的透明度。</p> <p>從CVSS評分來看，另一個接近滿分的資安漏洞CVE-2025-55232，也相當值得留意。此為遠端程式碼執行（RCE）漏洞，出現在Azure高效能運算（High Performance Compute，HPC）套件，CVSS風險評為9.8。此為不受信任資料的反序列化處理過程出現，未經驗證的攻擊者可透過網路環境執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/171081"><strong style="font-size: 22px;">TP-Link路由器曝CWMP漏洞，影響Archer AX10與AX1500機型</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1PmsiX2D32sH52f-8KHJaRA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1PmsiX2D32sH52f-8KHJaRA.png" style="width: 300px; float: right;" /></a></p> <p>資安公司ByteRay技術長Mehrun Parchebafieh發文揭露，TP-Link在其路由器的CWMP/TR-069通訊協定實作當中，存在堆疊式緩衝區溢位漏洞CVE-2025-9961，影響包括Archer AX10與AX1500等機型。研究人員透過自動化汙點分析工具發現漏洞，於5月11日通報TP-Link，並在9月1日公開漏洞細節，而TP-Link則趕緊在9月5日釋出完整修補程式。</p> <p>該漏洞問題出在路由器處理CWMP的SetParameterValues訊息時，相關函式直接將使用者輸入的長度參數套用至strncpy函式，卻僅配置3,072位元組的堆疊緩衝區，且缺乏邊界檢查。研究人員使用GenieACS伺服器發送惡意SOAP負載驗證漏洞，超過4,096位元組的輸入即可造成服務崩潰，而約3,112位元組的資料則足以覆寫程式計數器，證明攻擊者能夠控制執行流程。</p> <p>實際受影響的裝置包含Archer AX10多個硬體版本與對應韌體版本，AX1500因共用相同的CWMP執行檔也受到影響。研究者以FOFA搜尋引擎檢索，有超過4,200個對外公開的IP位址疑似曝險。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.chtsecurity.com/news/e1e4bf10-f351-43e8-b61a-89f969c9dfad"><strong style="font-size: 22px;">中華資安正式掛牌上市，成首家上市資安服務業者</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1757304182445.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1757304182445.jpeg" style="width: 300px; float: right;" /></a></p> <p>9月8日資安服務業者中華資安以每股238元的價格正式掛牌，股票代號為7765，成為國內第一家上市的資安業者，董長陳明仕帶領經營團隊出席上市掛牌典禮。根據他們8月13日上市前業績發表會公布的資料，今年上半營收為新臺幣9.8億元，年增14%，稅後每股盈餘達6.01元，年增12%。</p> <p>回顧過去，聚焦資安服務的臺灣廠商上市櫃的情況如何？全國第一家上櫃的資安業者是安碁資訊，該公司在2019年通過櫃買中心上櫃董事會審議，為首家以資安服務代管業者（Managed Security Service Provider，MSSP）上櫃的資安公司。</p> <p><a href="https://www.ithome.com.tw/news/171131"><strong style="font-size: 22px;">iPhone 17系列搭載全新MIE，預設啟用更強健的記憶體安全防護</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/small_advanced-memory-integrity-dark.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/small_advanced-memory-integrity-dark.png" style="width: 300px; float: right;" /></a></p> <p>蘋果透露在近日發表的智慧型手機iPhone 17系列與iPhone Air當中，導入了記憶體完整性強制保護機制（Memory Integrity Enforcement，MIE），MIE結合處理器A19與A19 Pro的硬體能力與作業系統安全設計，作為全時預設的記憶體安全防護，覆蓋關鍵攻擊面，包括系統核心與超過70個使用者空間程序（Userland Processes），目標是降低記憶體破壞漏洞被利用的可能性，特別是緩衝區溢位與釋放後使用（Use-after-free）。該公司號稱，此為消費型作業系統歷來最重大的記憶體安全升級。</p> <p>MIE的基礎來自蘋果近年推行的型別安全分配器（Allocator），包括核心的kalloc_type、使用者層的xzone malloc，以及WebKit的libpas。這些分配器會依照型別資訊決定記憶體配置方式，降低攻擊者藉由精準控制配置位置，來製造漏洞利用的機會。不過，分配器在頁面層級能提供的保護仍有限，因此該公司進一步引入Enhanced Memory Tagging Extension（EMTE），透過標籤檢查將防護細緻到單一配置的層次。</p> <p><a href="https://www.ithome.com.tw/news/171067"><strong style="font-size: 22px;">Signal安卓版安全備份功能進入測試階段，支援加密與付費擴充</strong></a></p> <p>隱私傳訊軟體Signal在安卓測試版推出安全備份（Secure Backups）功能，讓使用者能在手機遺失或損毀時保留訊息紀錄。該功能採自願啟用與端對端加密，會以每日自動更新的方式建立備份檔。</p> <p>免費方案可備份最近45天的媒體以及上限100 MiB的訊息本文，選擇每月1.99美元的付費訂閱，則可備份超過45天的媒體歷史，且備份容量上限為100 GB。官方表示，這是Signal第一次引入收費機制，理由在於媒體檔案儲存與傳輸成本高昂，作為不依賴廣告與資料變現的非營利組織，Signal必須以不同的方式分攤支出。</p> <p>目前安全備份僅限安卓測試版的使用者，後續將逐步開放至iOS與電腦版。啟用功能後，系統每天會自動生成新的加密備份，並覆蓋前一日版本，只有持有復原金鑰的使用者本人能解密，訊息還原時將排除單次檢視訊息，與未來24小時內即將消失的訊息。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171114"><strong>【9月10日】微軟、SAP、Adobe發布9月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171077"><strong>【9月9日】歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171054"><strong>【9月8日】Salesloft揭露供應鏈攻擊事故發生的源頭</strong></a></p> </div></div></div>
2025/9/11 18:09作者周峻佑https://www.ithome.com.tw/news/171140
中美貿易談判前夕傳出APT41試圖探聽敵情，假冒美國議員從事網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年美國與中國對於關稅問題先後在日內瓦、倫敦、斯德哥爾摩進行多次談判，如今傳出在第3次談判的前夕，<a href="https://www.securityweek.com/chinese-spies-impersonated-us-lawmaker-to-deliver-malware-to-trade-groups-report/">中國疑似藉由APT駭客監視相關人士</a>，企圖掌握美國政府政策制訂環節當中的敏感資訊。</p> <p>資安新聞網站SecurityWeek引述華爾街日報的報導指出，美國和中國即將於瑞典舉行會議的前幾天，傳出美國政府機關、律師事務所、與貿易有關的團體收到冒名美國眾議員寄送的電子郵件，要求收信人對於中國制裁的草案提供意見，然而實際上若是收信人依照指示開啟附件，電腦就有可能被植入間諜軟體。</p> <p>這封有問題的電子郵件假冒美國眾議員John Moolenaar寄送，這名眾議員是美國眾議院美國與中國共產黨戰略競爭特設委員會（United States House Select Committee on Strategic Competition between the United States and the Chinese Communist Party）主席，因此駭客以他的名義向上述團體寄送電子郵件，但因為寄件人的電子郵件信箱並非美國政府所有，而被察覺有異。駭客挾帶了看似立法草案的資料，但實際上內含惡意軟體，經分析與中國駭客APT41有關。</p> <p>目前傳出Google旗下的資安業者Mandiant已介入調查此事，並發現此惡意軟體能讓駭客建立受害組織的存取管道。究竟有多少企業組織受害，仍不得而知。</p> <p>值得留意的是，有人冒充美國政治人物，意圖收集美國政府的情報，已非首例。今年7月傳出<a href="https://www.ithome.com.tw/news/169958">有人冒充國務卿盧比奧（Marco Rubio）</a>，運用AI技術文字訊息及Signal語音郵件，至少試圖接觸了5名官員。</p> </div></div></div>
2025/9/11 16:12作者周峻佑https://www.ithome.com.tw/news/171132
iPhone 17系列搭載全新MIE，預設啟用更強健的記憶體安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在新推出的iPhone 17系列與iPhone Air<a href="https://security.apple.com/blog/memory-integrity-enforcement/">導入MIE（Memory Integrity Enforcement）</a>，MIE結合A19與A19 Pro的硬體能力與作業系統安全設計，作為全時預設的記憶體安全防護，覆蓋關鍵攻擊面，包括系統核心與超過70個使用者空間程序（Userland Processes），目標是降低記憶體破壞漏洞被利用的可能性，特別是緩衝區溢位與釋放後使用（Use-after-free）。Apple稱其為消費型作業系統歷來最重大的記憶體安全升級。</p> <p>MIE的基礎來自Apple近年推行的型別安全分配器（Allocator），包括核心的kalloc_type、使用者層的xzone malloc，以及WebKit的libpas。這些分配器會依照型別資訊決定記憶體配置方式，降低攻擊者藉由精準控制配置位置，來製造漏洞利用的機會。不過，分配器在頁面層級能提供的保護仍有限，因此Apple進一步引入Enhanced Memory Tagging Extension(EMTE)，透過標籤檢查將防護細緻到單一配置的層次。</p> <p>EMTE以同步模式運作，確保每次記憶體存取都會立即進行標籤驗證，當存取跨越到不同標籤的區塊，硬體會阻擋並由作業系統終止程序。記憶體被釋放並重新配置時，系統會重新指派標籤，任何以舊標籤進行的存取都會被阻止，減少釋放後使用的利用可能性。另針對未標籤的記憶體，例如全域變數，Apple規定從已標籤的區域去存取未標籤記憶體時，必須知道該區域的標籤，避免藉此繞過檢查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Capture%20202%20-%20Memory%20Integrity%20Enforcement_%20A%20complete%20vision%20for%20memory%20safety%20in%20Apple%20d_%20-%20%5Bsecurity_apple_com%5D.jpg" style="width: 580px;" /></p> <p>為了避免記憶體標籤資訊被旁路攻擊或CPU推測執行洩漏，Apple設計了名為標籤機密防護（Tag Confidentiality Enforcement）的機制，透過搭配安全分頁表監控（Secure Page Table Monitor），將標籤與配置的底層資料與應用程式隔離，即使系統核心遭入侵，標籤仍受保護。同時，系統會頻繁為選取標籤的偽隨機產生器更新隨機種子，降低被攻擊者猜中的可能性。針對Spectre V1這類漏洞，也提供幾乎零額外CPU成本的緩解措施。</p> <p>在硬體實現上，A19與A19 Pro專為MIE預留更多CPU面積、時脈資源，以及標籤儲存用記憶體，讓同步檢查能全時啟用而不影響效能。Apple的部署策略是先由型別分配器在頁面層級提供防護，再由EMTE補足較小配置的檢查需求，將效能成本降到最低。</p> <p>此設計延續自A12晶片導入PAC（Pointer Authentication Codes）以來，將安全功能緊密結合軟硬體的方向。相較於他平臺多將MTE視為偵錯用途，MIE將其轉化為系統級且預設啟用的防禦機制，Apple並強調，MIE能在攻擊鏈的早期階段就切斷可行性，使許多傳統的漏洞利用路徑難以維繫，讓攻擊者難以透過替換漏洞來重建攻擊鏈。</p> <p>Xcode已提供Enhanced Security設定，允許在支援EMTE的硬體上進行測試，協助驗證應用程式是否能在這種環境下穩定運作，而對於尚未支援EMTE的既有裝置，型別分配器等既有強化機制仍可提供保護。</p> </div></div></div>
2025/9/11 16:56作者李建興https://www.ithome.com.tw/news/171131
微軟修補近乎滿分的權限提升、遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在9月例行更新（Patch Tuesday）當中，<a href="https://www.ithome.com.tw/news/171095">一共公布及修補86個資安漏洞</a>，其中包含81個新登記CVE編號的漏洞，以及5個出現在微軟產品採用的第三方元件漏洞。<a href="https://www.rapid7.com/blog/post/em-patch-tuesday-september-2025/">長期分析微軟每月例行更新的資安業者Rapid7在本次對於9月例行更新的觀察當中指出</a>，這次其實微軟總共修補了176個漏洞，其中很大一部分，與雲端服務當中採用的Azure Linux、CBL-Mariner有關，主要出現在開源軟體元件，而並未列於例行更新的的資安更新指引（Security Update Guide，SUG）。最危險的資安漏洞，更達到CVSS評分10分的危險程度。</p> <p>這項風險值滿分的資安漏洞是<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-54914">CVE-2025-54914</a>，出現在Azure Networking，可被用於權限提升，為存取控制不當的弱點（CWE-284），並指出該漏洞CVSS評分達到10分，相當危險。微軟強調，使用者無須採用行動，他們記錄這個漏洞的主要目的，就是提供後續追蹤的透明度。</p> <p>上述公告的內容當中，微軟對漏洞的說明相當有限，難以從內容得知這項漏洞的危險之處。Rapid7認為，他們也無從根據公告掌握漏洞的性質，但微軟提及是由內部研究人員發現，這代表目前外界可能無人掌握相關細節，尚未有人可將其用於實際攻擊，暫時不必擔心。不過，微軟僅有提及此漏洞影響Azure Networking，很有可能在用戶的雲端資產需要進行通訊的時候要特別留意。</p> <p>從CVSS評分來看，另一個接近滿分的資安漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-55232">CVE-2025-55232</a>，也相當值得留意。此為遠端程式碼執行（RCE）漏洞，出現在Azure高效能運算（High Performance Compute，HPC）套件，CVSS風險評為9.8。此為不受信任資料的反序列化處理過程出現，未經驗證的攻擊者可透過網路環境執行任意程式碼。</p> <p>值得一提的是，微軟不光發布更新軟體，還要求用戶確保HPC Pack在受信任的網路環境運作，特別是防火牆的規則當中，要對TCP連接埠5999埠進行適當管制，此為HpcScheduler預設連接埠，用於協調HPC作業、資源管理，以及叢集通訊。</p> </div></div></div>
2025/9/11 12:46作者周峻佑https://www.ithome.com.tw/news/171128
Reddit、Yahoo與Medium攜手推動AI時代的RSL內容授權標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Reddit、People Inc.、Yahoo及Medium等網路出版及科技業者，<a href="https://rslstandard.org/press/rsl-standard" target="_blank">周三（9/10）共同宣布支援全新的Really Simple Licensing（RSL）標準</a>，並成立非營利的RSL Collective權利組織，目的在於標準化AI優先網路的內容權利及授權，保護人類線上創造力的價值。</p> <p>RSL是由Really Simple Syndication（RSS）共同作者Eckart Walther所發起的全新開放標準，專門用來解決AI公司無償抓取網路內容進行訓練的問題。它允許出版商可於robots.txt檔案中添加機器可讀的授權及版稅條款，指示AI應用與代理人必須補償所使用的內容。</p> <p>因此，RSL支援許多的授權、使用及版稅模式，包括免費、歸因、訂閱、按爬梳付費，或是按推理付費，而且任何網路上的出版商都能立即使用RSL標準，來定義其內容的授權及補償條款。</p> <p>而RSL Collective則是個集體權利組織，將代表出版社及創作者，與AI公司協商統一的授權及報酬條款，提供授權及分潤基礎設施，透過RSL協定來自動化內容授權流程，同時協助執法及維權。</p> <p>市場分析認為，大型媒體早就與OpenAI等AI業者私下簽署授權協議，而RSL Collective可望協助中小型出版商降低談判成本，然而，RSL本身無法封鎖AI爬蟲，在AI公司尚未加入或承諾前，只是種象徵性規範。</p> </div></div></div>
2025/9/11 15:11作者陳曉莉https://www.ithome.com.tw/news/171130
Amazon Zoox在拉斯維加斯推出無人計程車免費試乘服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在2020年以12億美元買下的自駕車新創業者<a href="https://zoox.com/journal/las-vegas" target="_blank">Zoox周三（9/10）宣布</a>，已於拉斯維加斯大道（Las Vegas Strip）及周邊啟動無人計程車服務，Android及iOS用戶下載Zoox程式後，就能叫車，而且在取得必要的監管許可之後，才會開始收費，意謂著現在是免費的試乘期間。</p> <p>Zoox無人駕駛計程車的外觀有點像麵包車，它的車身長度為3.63米，內部的設計是4個面對面的座椅，標榜是替乘客而非駕駛所設計的汽車，它具備四輪傳動與雙向駕駛功能，於是能在狹小的空間中改變行駛方向，而不必倒車，最快時速可達120公里（75英里）。</p> <p>目前在拉斯維加斯的試乘採用定點服務，僅行駛於Resorts World Las Vegas、AREA15、Topgolf、New York-New York及Luxor等飯店或娛樂景點之間，Zoox並未公布上路的車隊規模，僅說未來會陸續擴充行駛據點。</p> <p>為了協助乘客辨識所要搭乘的Zoox計程車，將會在行動程式中顯示車牌號碼，也會提供預計的接送時間、到達時間，並鼓勵乘客輸入意見，或是在搭乘期間按下計程車上的Help按鍵以與客服團隊交流。</p> <p>Zoox下一個試乘地點將會是舊金山，預計會在幾個月內部署，已開放用戶加入等候名單。</p> <p>迄今美國已展開測試的無人駕駛計程車服務還有Waymo與特斯拉（Tesla），<a href="https://www.ithome.com.tw/news/164599" target="_blank">前者規模最大，已在鳳凰城及舊金山等地載客收費</a>，<a href="https://www.ithome.com.tw/news/169692" target="_blank">特斯拉的Robotaxi</a>則是在德州奧斯汀（Austin）測試中。</p> </div></div></div>
2025/9/11 13:53作者陳曉莉https://www.ithome.com.tw/news/171129
Visual Studio 2026 Insiders開放下載，AI深度融入開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2026-insiders-is-here/">Visual Studio 2026 Insiders</a>，開發者可透過此版本提前體驗微軟新一代整合式開發環境（IDE）主要特點集中在人工智慧輔助開發、效能最佳化，以及更簡潔的介面設計。相較於以往的Preview通道，微軟本次改以全新的Insiders通道提供更新。</p> <p>Visual Studio 2026最大的變化在於人工智慧不再只是外掛工具，而是直接嵌入IDE的操作脈絡，當開發者面對陌生程式碼或新的專案時，IDE能協助快速理解結構，並根據儲存庫慣例生成測試建議，貼上程式碼片段後，編輯器也會自動調整格式與風格，使其符合既有專案的規範。</p> <p>效能調校方面，Profiler Agent可提供追蹤與基準測試驗證，讓建議不只是推測，而是有實測資料支持。程式碼審查則能在本機先分析正確性、效能與安全性，協助工程師在提交前就掌握關鍵資訊。整體設計仍保留決策權在開發者手中，人工智慧處理繁瑣工作，讓人力專注在架構與判斷。</p> <p>Visual Studio 2026著重在縮短最常使用的開發迴圈。從開啟大型解決方案、跨檔案導覽，到完整建置與按下F5啟動偵錯，整體速度都有明顯改善，特別是在大型程式碼庫與分支切換的情境，流暢度提升帶來更好的開發體驗。官方指出，這些改進同樣適用於x64與Arm64架構，讓硬體效能更直接反映在開發速度上。</p> <p>Visual Studio 2026導入新版Fluent UI設計，線條、圖示與間距經過改進，讓介面更加簡潔、現代，減少視覺干擾。擴充功能管理變得更直觀，並新增11種色系布景主題，讓開發環境更具個人化，兼顧長時間使用的舒適度與專案壓力下的專注需求。</p> <p>Visual Studio 2026 Insiders可與既有版本並存安裝，使用Visual Studio 2022的使用者可匯入元件與設定，快速展開工作。</p> </div></div></div>
2025/9/11 12:24作者李建興https://www.ithome.com.tw/news/171121
BNPL業者Klarna登上紐約股市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創立於瑞典、近年來主打「先買後付」（Buy Now Pay Later，BNPL）服務的金融科技業者Klarna周三（9/10）以KLAR為代號，<a href="https://www.klarna.com/international/press/klarna-lists-on-the-new-york-stock-exchange/" target="_blank">登上了美國紐約股市（NYSE）</a>。Klarna每股發行價為40美元，上市當天上漲14.55%，以45.82美元作收。</p> <p>Klarna成立於2005年，主要營收為交易手續費，進駐全球26個市場，與79萬個商家合作，有1.1億名的活躍消費者。根據該公司提交給美國證券交易委員會（SEC）的文件，其2022、2023及2024年的營收分別為19億美元、22.8億美元及28.1億美元，2022與2023年分別虧損了10.4億美元及3億美元，但2024年出現了3,300萬美元的獲利。</p> <p>在BNPL風潮於2021年席捲全球時，Klarna的市值一度高達456億美元，但<a href="https://www.ithome.com.tw/news/151890" target="_blank">2022年只剩67億美元</a>，周三收盤時的市值為173億美元。</p> </div></div></div>
2025/9/11 12:31作者陳曉莉https://www.ithome.com.tw/news/171127
影片共享平臺Vimeo以14億美元賣給了歐洲應用巨擘Bending Spoons
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲最大行動應用開發商Bending Spoons和Vimeo周三（9/10）<a href="https://investors.vimeo.com/news-releases/news-release-details/vimeo-enters-definitive-agreement-be-acquired-bending-spoons-138" target="_blank">宣布已達成協議</a>，前者將以將近13.8億美元全現金，收購這家影片共享及協作平臺。</p> <p>在這項交易下，Bending Spoons將以每股7.85美元收購Vimeo股權，這個價格是後者9月9日前60天成交量加權平均股價的溢價91%。Vimeo董事長Glenn Schiffman表示，董事會無異議通過本案，認為成為Bending Spoons的事業體之一，有助於加速Vimeo的策略性藍圖。</p> <p>根據Vimeo執行長Philip Moyer，Bending Spoons承諾會持續發展Vimeo各項產品，包括自助服務、OTT/Vimeo Streaming和Vimeo Enterprise。</p> <p>但Bending Spoons收購公司的紀錄，令人懷疑Vimeo是否能維持現有服務。2022年該公司<a href="https://www.ithome.com.tw/news/157696" target="_blank">收購線上筆記平臺Evernote</a>後，就裁撤其大部份美洲辦公室員工，將營運遷到歐洲。去年Evernote關掉Linux及舊版服務，<a href="https://help.evernote.com/hc/en-us/articles/23565231682323-Understanding-Evernote-Free-Plan-Limits-50-Notes-and-1-Notebook-Explained" target="_blank">而且進一步限縮</a>免費版服務提供的筆記數量到50個筆記及1個筆記本。</p> <p>此外，Bending Spoons於2024年中，<a href="https://www.reuters.com/technology/bending-spoons-lay-off-75-wetransfer-staff-post-deal-ceo-says-2024-09-08/" target="_blank">買下檔案分享及傳輸服務WeTransfer幾個星期後就裁員</a>，之後幾個月也開始縮減免費服務，如每月僅能傳輸檔案10次。</p> <p>但Bending Spoons表示，期待發揮Vimeo的所有潛力，而在完成收購後該公司將在美國和其他優先市場、以及企業和創作者業務領域大舉投資，並持續推出強大而負責任的AI功能。</p> <p>本收購案還需獲得Vimeo股東及主管機關批准，預期今年第4季完成。</p> </div></div></div>
2025/9/11 11:47作者林妍溱https://www.ithome.com.tw/news/171122
外傳OpenAI與甲骨文簽署高達3,000億美元的AI運算合約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/171092" target="_blank">甲骨文（Oracle）公布財報</a>，指出其尚未履約義務（Remaining Performance Obligations，RPO）在該季（6~8月）達到了4,550億美元，成長359%之後，<a href="https://www.wsj.com/business/openai-oracle-sign-300-billion-computing-deal-among-biggest-in-history-ff27c8fe" target="_blank">華爾街日報（WSJ）引用消息來源報導</a>，甲骨文的其中一名客戶為OpenAI，OpenAI準備在5年內向甲骨文購買高達3,000億美元的AI運算能力。</p> <p>報導指出，雙方的合約將從2027年開始，而且這對兩家公司而言都是一場冒險。</p> <p>甲骨文的RPO年增359%並達到4550億美元，意謂著這一年來該公司新增了3,559億美元的未履行合約。甲骨文執行長Safra Catz表示，該季甲骨文與3家客戶簽署了4項各達數十億美元的合約，惟並未透露客戶名單。消息一出，甲骨文股價大漲，期間甲骨文共同創辦人、董事長暨技術長Larry Ellison的身價，更曾一度超越馬斯克（Elon Musk），成為全球最富有的人。</p> <p>甲骨文除了參與由OpenAI及軟體銀行（Soft Bank）主導的Stargate公司之外，<a href="https://www.ithome.com.tw/news/170222" target="_blank">也在今年7月宣布將與OpenAI合作</a>，在美國額外開發4.5GW的Stargate資料中心容量。</p> <p>不過，WSJ認為這對雙方而言都是一場豪賭。因為<a href="https://www.ithome.com.tw/news/170743" target="_blank">OpenAI目前的年營收約100億美元</a>，但每年就要支付600億美元予甲骨文；而甲骨文則把未來很大一部分的營收押注在單一客戶上，可能必須舉債購買AI晶片，且甲骨文的負債比率為427%，遠高於微軟的32.7%。</p> <p>甲骨文周三（9/10）股價上漲35.95%，以328.33美元作收，創下9,222億美元的市值。<a href="https://www.forbes.com/real-time-billionaires/#6d3adfc13d78" target="_blank">現在</a>馬斯克仍是以4,361億美元的身價，勝過Ellison的3,876億美元。</p> </div></div></div>
2025/9/11 12:05作者陳曉莉https://www.ithome.com.tw/news/171123
傳微軟Office 365引進Anthropic AI技術減少對OpenAI的依賴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/microsoft-buy-ai-anthropic-shift-openai" target="_blank">The Information報導</a>，微軟已和OpenAI的競爭對手Anthropic談定合作，將在其線上生產力工具Office 365使用其特定AI服務，外界相信這是為了減少對OpenAI的倚賴。</p> <p>報導引述消息人士指出，微軟將付費給Anthropic，以取得在其線上版Word、Excel、Outlook和PowerPoint中使用其AI功能的權利。這使得Office 365混合使用Anthropic和既有的OpenAI技術。</p> <p>這顯示微軟欲減少現行OpenAI過度倚重的問題。雖然微軟對OpenAI投資了137億美元，是其最主要投資者，但近年雙方在許多方面出現競爭。例如微軟在桌機上開發自有Phi模型系列，而其Copilot也使用自己開發的MAI-Voice-1和MAI-1-Preview。此外微軟內部還開發了電玩用的Muse及世界模型WHAM（World and Human Action Model）。</p> <p>而OpenAI也不再只和微軟合作。OpenAI的雲端平臺合作夥伴加入了Oracle和AWS，在桌機上ChatGPT也是Apple Intelligence的背後聊天機器人。OpenAI近來也成立了應用程式部門，推出類似微軟旗下LinkedIn的<a href="https://www.ithome.com.tw/news/171018" target="_blank">OpenAI Jobs Platform</a>。這家AI新創公司據說還計畫推出自有瀏覽器。</p> <p>但是顯然微軟現在還無法完全割捨OpenAI。<a href="https://www.bloomberg.com/news/articles/2025-07-29/microsoft-s-access-to-openai-tech-is-focus-of-contract-talks?embedded-checkout=true" target="_blank">7月底彭博報導</a>，微軟和OpenAI正在洽談新的合作計畫，以便取得OpenAI未來AI新技術的存取權。</p> </div></div></div>
2025/9/11 10:53作者林妍溱https://www.ithome.com.tw/news/171119
Go 1.25實驗性JSON API上線，強化資料正確性檢查與串流效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://go.dev/blog/jsonv2-exp">Go 1.25引入新的實驗性JSON套件</a>，包含encoding/json/v2與encoding/json/jsontext，目標試圖解決現行encoding/json套件的限制與長年爭議。兩個套件需要設定特別的建置旗標或標籤才能啟用，雖然目前仍屬於實驗階段，但已可供開發者在實際環境測試。</p> <p>新版v2在行為上更符合RFC 8259標準，最明顯的差異是強制檢查輸入資料的正確性。當JSON含有無效UTF-8字元，解碼器會直接回報錯誤，而不是像舊版默默接受並可能導致資料損壞，同時，當物件出現重複成員名稱，v2會拒絕處理，避免因實作解讀方式不同而產生安全風險。</p> <p>在資料結構對應方面，v2將區分大小寫列為預設行為，JSON欄位名稱需與Go struct欄位精確相符。此外，nil的slice與map在序列化時會輸出為空陣列或空物件，減少跨語言解析時，因為null而無法正確辨識成陣列或物件，讓跨系統交換資料更穩定一致。這些行為都可透過選項調整，讓開發者在新舊語意間取得平衡。</p> <p>此次改版採用兩層架構，jsontext專注在語法處理，提供真正的串流編碼器與解碼器，能逐一讀寫JSON值或Token，而v2則負責語義層，提供將Go資料結構轉換成JSON（Marshal）與將JSON還原成Go資料結構（Unmarshal）的功能，並將選項納入第一級參數，讓開發者能直接控制行為。這樣的設計改善了舊版解碼器難以檢查輸入結尾雜訊的問題，也避免了必須先整批緩衝再處理的低效流程。</p> <p>除了保留既有的Marshaler與Unmarshaler介面外，v2新增MarshalerTo與UnmarshalerFrom，允許型別直接利用jsontext的編碼器與解碼器實作。這種方式避免重複解析與額外配置，對於處理大型或巢狀結構的JSON特別有利。</p> <p>Go團隊並未將v1與v2獨立，在啟用實驗性JSON套件時，v1會改以v2的實作為底層。開發者無需修改程式碼即可測試，當功能符合預期即可逐步過渡到v2，反之則仍可依賴既有的v1行為。</p> <p>目前，v2在序列化效能上大致與v1相當，而反序列化則明顯加速，可達數倍提升。官方強調，這些API仍屬實驗性質，未來可能調整甚至不被採用，但其實作品質已足以支撐大型專案運行，呼籲開發者透過實務測試回饋意見，協助決定後續走向。</p> </div></div></div>
2025/9/11 08:13作者李建興https://www.ithome.com.tw/news/171109
ChatGPT開發者模式釋出，支援MCP工具讀寫操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI開始測試<a href="https://platform.openai.com/docs/guides/developer-mode#what-is-chatgpt-developer-mode">ChatGPT開發者模式（Developer Mode）</a>，提供開發者完整的MCP（Model Context Protocol）客戶端支援，能同時進行讀取與寫入操作。這項功能目前僅在網頁版開放，限Plus與Pro用戶使用。</p> <p>官方強調，這是一個自由度更高的模式，但也要求使用者在操作時必須更加注意安全。當進行寫入動作前，系統會先顯示工具呼叫的細節，並要求使用者確認，以避免資料誤刪、誤改或洩漏。</p> <p>要啟用開發者模式，<a href="https://community.openai.com/t/mcp-server-tools-now-in-chatgpt-developer-mode/1357233">使用者需在設定頁面的Connectors進階選項中開啟開發者模式</a>。啟用後，就能在對話中選擇開發者模式並指定要使用的連接器，支援SSE與串流HTTP協定，並可搭配OAuth或無驗證方式。完成設定後，使用者能透過介面管理工具的開關，並可透過重新整理來更新，取得MCP伺服器上最新的工具清單與說明。</p> <p>在實際使用上，開發者可以直接指定要呼叫的連接器與工具，並提供輸入格式與執行步驟，如果有需要，也能限制模型不得使用內建的瀏覽器或其他工具，這代表ChatGPT不再只依賴內建功能，而是能透過MCP連接器，直接存取外部系統，例如更新CRM紀錄或建立版本庫的拉取請求，讓應用情境更貼近真實開發工作流程。</p> <p>由於開放了寫入操作，系統在安全設計上特別謹慎，每次工具呼叫都會顯示完整的JSON輸入與輸出內容，並且所有可能異動資料的操作，都需要經過人工確認。當工具沒有特別標註為唯讀查詢（readOnlyHint），系統會自動將其視為具風險的寫入動作，使用者也可以選擇是否記住對特定工具的允許或拒絕設定，讓同一對話中不必重複確認，但在開啟新對話或重新整理後，系統會再度詢問，以避免自動化導致失控。</p> <p>OpenAI提醒開發者，使用過程中需注意提示詞注入（Prompt Injection）攻擊，以及惡意MCP伺服器可能試圖竊取資訊的風險。同時，模型在進行寫入時仍有可能出現邏輯錯誤，因此在執行前，應透過清楚的工具命名與動作導向描述，協助模型挑選正確工具，並再次檢視輸入內容是否正確。</p> </div></div></div>
2025/9/11 08:15作者李建興https://www.ithome.com.tw/news/171115
AGP 8.12引入最佳化資源縮減，更精確移除未使用資源與程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Android Gradle Plugin（AGP）8.12中新增<a href="https://android-developers.googleblog.com/2025/09/improve-app-performance-with-optimized-resource-shrinking.html">最佳化資源縮減（Optimized Resource Shrinking）</a>工作管線，讓資源縮減能與R8程式碼最佳化同時進行。對於已在專案中啟用R8工具與資源縮減的開發者，只要在gradle.properties開啟相關旗標，即可利用這項功能，進一步降低安裝檔大小，並改善啟動速度、算繪表現與應用程式無回應（Application Not Responding，ANR）的情況。</p> <p>R8是Android建置過程中，用於程式碼縮減、最佳化和混淆的工具，能移除未使用的程式碼、縮小應用程式大小，並提升執行效能。</p> <p>傳統流程中，AAPT2（Android Asset Packaging Tool 2）會替資源參照產生無條件保留規則（Unconditional Keep Rules），使得被資源參照的類別在後續R8縮減時一律保留，而R8完成程式碼縮減後，再掃描剩餘程式碼建構資源參照圖。由於這些規則偏保守，常連帶保留本可移除的程式碼與其參照的資源，降低縮減效果。</p> <p>新的整合流程由R8同步最佳化程式碼格式與資源參照，能精確找出僅由未使用程式碼參照的資源，並加以移除，不再依賴AAPT2產生的無條件保留規則，此作法同時為程式碼與資源提供更細緻的可刪除性資訊，提升刪除效率並降低錯誤保留的情況。Google建議在正式版（Release）建置使用，以避免影響除錯與測試。</p> <p>最佳化的實際效益會因專案規模與結構而不同，對於跨裝置共用大量資源的應用程式，新的整合流程可能帶來明顯的大小縮減，小型應用雖然空間節省有限，但仍能受惠於更一致的縮減結果。Google提供的資料顯示，部分專案的安裝包大小甚至可降低超過50％。</p> <p>AGP 8.12僅提供此功能作為選項，開發者需手動開啟，不過，從AGP 9.0開始，最佳化資源縮減就會成為預設行為，只要專案啟用了資源縮減，便自動使用新的整合流程。</p> </div></div></div>
2025/9/11 08:17作者李建興https://www.ithome.com.tw/news/171116
【資安日報】9月10日，微軟、SAP、Adobe發布9月例行更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多軟體廠商及IT業者在本週二發布9月的例行更新，微軟、SAP、Adobe也都發布相關資安公告，影響大多數使用者的微軟公告特別值得留意，因為這次他們修補兩項已被公開的零時差漏洞，分別影響SMB伺服器、SQL Server，然而，若要修補這個SMB伺服器漏洞，不光是套用更新軟體就能完成，還要檢查是否影響用戶端；而影響SQL Server的資安漏洞存在特定元件，最早於2018年就有資安業者發現。</p> <p>SAP、Adobe本次發布的公告也相當值得留意，其中SAP針對NetWeaver、NetWeaver AS Java修補重大層級漏洞，有1個風險值達到滿分，相當危險；Adobe針對ColdFusion、Adobe Commerce修補重大層級的資安漏洞，並呼籲用戶優先處理。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171056"><strong style="font-size: 22px;">假PDF編輯器藏惡意軟體TamperedChef，靠Google廣告擴散竊憑證</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pdf-editor-appsuite.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/pdf-editor-appsuite.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Truesec揭露一波大規模惡意軟體散布行動，攻擊者透過Google廣告導流至多個詐騙網站，推廣名為AppSuite PDF Editor的免費工具，藉此誘使用戶下載被植入竊資軟體TamperedChef的安裝檔。這個程式初期表現如同一般PDF編輯器，但在特定時間後，攻擊者會以遠端指令啟用惡意功能，專門竊取瀏覽器憑證與Cookie。Truesec指出，目前已有多家歐洲組織受到影響。</p> <p>研究人員調查顯示，PDF Editor安裝檔最早在5月15日出現在VirusTotal，相關網站與網域自6月26日陸續註冊並開始推廣。一直到8月21日，部分受害機器開始接收到指令，觸發程式的惡意功能。這段期間間隔約56天，接近Google廣告常見的60天投放周期，研究人員認為，攻擊者刻意利用廣告平臺先累積安裝量，再切換為惡意模式，擴大影響範圍。</p> <p>完成安裝後，偽裝的PDF編輯器會與遠端伺服器保持通訊，並在系統內建立持久化機制，確保每次開機都能啟動。初期行為正常，但在遠端指令觸發後，才會下載額外元件並展開竊資行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/axios-abuse-and-salty-2fa-kits-fuel.html">駭客濫用公用程式Axios與網釣工具包Salty 2FA，意圖挾持M365帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-hide-behind-tor-in-exposed-docker-api-breaches/">針對曝露的Docker API攻擊行動升級，駭客透過Tor網路犯案，疑綁架用於殭屍網路</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/45-previously-unreported-domains-expose.html https://www.silentpush.com/blog/salt-typhoon-2025/">中國駭客Salt Typhoon疑與鎖定Barracuda漏洞的駭客共用基礎設施</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171095"><strong style="font-size: 22px;">微軟9月例行更新來了！當中修補兩個已公開的零時差漏洞</strong></a></p> <p>本週二（9月9日）微軟發布本月例行更新（Patch Tuesday），總共修補81項資安漏洞，較7月、8月的130個及111個再度減少。從漏洞的類型來看，權限提升（EoP）漏洞最多，有38個，其次是遠端程式碼執行（RCE）及資訊洩露（ID）漏洞，有22個、14個；安全繞過及阻斷服務（DoS）漏洞各有3個，另有1個是可被用於欺騙的漏洞。</p> <p>值得留意的是，有項漏洞CVE-2025-55234，其實在這次修補之前就已經被公開，屬於SMB權限提升弱點，CVSS風險評為8.8分。該漏洞有可能導致SMB伺服器面臨中繼攻擊，攻擊者有機會濫用特定物件進行權限提升，以取得受害使用者的權限。微軟提及目前SMB伺服器已具備簽章功能，以及身分驗證延伸防護（Extended Protection for Authentication，EPA），而能夠防範這類中繼攻擊。由於啟用這些強化防護的機制，可能會衍生相容性的問題，這次發布的修補程式，也支援稽核SMB用戶端對上述兩種防護的相容性。</p> <p>另一個是已公開漏洞：由去年資安業者VulnCheck揭露的CVE-2024-21907，這次微軟也著手修補而受到關注。這項漏洞影響SQL Server 2016至SQL Server 2022，為Newtonsoft.Json元件的例外條件不當處理漏洞，而有可能導致阻斷服務。此漏洞存在於該元件低於13.0.1版的版本。</p> <p><a href="https://www.ithome.com.tw/news/171090"><strong style="font-size: 22px;">SAP修補NetWeaver、NetWeaver AS Java重大層級漏洞</strong></a></p> <p>9月9日SAP發布本月例行更新（Security Patch Day），總共修補21項資安漏洞（上個月是15個），值得留意的是，當中包含3個危險程度達到重大層級的漏洞，其中1個達到滿分（10分）、1個接近滿分，相當危險。</p> <p>上述重大層級漏洞當中最危險的是CVE-2025-42944，此為NetWeaver反序列化漏洞，攻擊者可在未經授權的情況下，透過特定的公開連接埠傳送惡意酬載，而有機會藉由RMI-P4模組觸發漏洞，CVSS風險達到10分。一旦不受信任的Java物件面臨反序列化處理，就有可能用於執行任意作業系統的命令，嚴重危害應用系統的機密性、完整性、可用性。長期解析SAP每月例行更新的資安業者Onapsis指出，攻擊者若是成功利用，就有可能完全入侵整個應用程式；若暫時無法套用修補程式，IT人員應管制P4連接埠因應。</p> <p>另一個風險接近滿分的漏洞是CVE-2025-42922，存在於NetWeaver AS Java，攻擊者取得非管理員的使用者身分，在通過身分驗證的情況下，可藉存在特定服務的弱點而上傳任意檔案，有可能完全入侵系統，嚴重破壞資安，風險值為9.9。</p> <p><a href="https://www.ithome.com.tw/news/171108"><strong style="font-size: 22px;">Adobe修補應用程式開發平臺、電子商務管理平臺重大層級資安漏洞</strong></a></p> <p>Adobe昨天（9日）發布9月份每月例行更新，對旗下9款應用程式發布修補程式，其中應用程式開發平臺ColdFusion、電子商務管理平臺Adobe Commerce的重大漏洞，特別值得留意，Adobe呼籲用戶應優先處理。</p> <p>首先要緩解的產品是ColdFusion，這次Adobe揭露的漏洞編號為CVE-2025-54261，此為路徑遍歷（Path Traversal）弱點，攻擊者有機會藉此寫入任意系統檔案，影響2021、2023、2025版ColdFusion，CVSS風險評為9.0（滿分10分）。值得留意的是，Adobe將其評為優先程度第1級的資安公告，代表這項漏洞帶來的資安風險較高，雖然目前尚未發現遭到利用的跡象，但他們還是呼籲IT人員要儘速處理。</p> <p>另一個需要優先處理的重大層級漏洞CVE-2025-54236（又被稱為SessionReaper），出現在Adobe Commerce及Magento Open Source，為輸入驗證不當漏洞，可用於繞過安全功能，而且，攻擊者想要利用這項漏洞，無須取得管理員權限，甚至不需通過身分驗證。此漏洞風險值為9.1，Adobe將其修補的優先程度列為第2級。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-40795-cvss-9-8-critical-flaw-in-siemens-sivaas-exposes-network-share-without-authentication/">西門子修補SIVaaS的使用者管理元件重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-7350-critical-rce-flaw-in-rockwell-stratix-switches-scores-cvss-9-6/">Rockwell修補工控交換器重大漏洞</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171087"><strong style="font-size: 22px;">三菱電機9億美元買下資安廠商Nozomi Networks</strong></a></p> <p>日本電子電機巨擘三菱電機（Mitsubishi Electric）本周宣布以近9億美元的價格，買下操作科技及物聯網（OT/IoT）資安方案業者Nozomi Networks，以確保其數位平臺的安全性。</p> <p>根據三菱電機的財報文件，收購金額為8.83億美元，未來三菱電機將把Nozomi資產整合到三菱電機的協同設計數位平臺Serendie，範圍涵蓋Nozomi的SaaS產品、雲端基礎架構和AI技術。</p> <p>本案預計在今年第4季完成。併購完成後，Nozomi將成為三菱電機全資子公司，不過，Nozomi仍會維持獨立營運，發展藍圖、服務體系及合作夥伴也都不會改變，總部留在現有的舊金山，研發也將留在瑞士。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171077"><strong>【9月9日】歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171054"><strong>【9月8日】Salesloft揭露供應鏈攻擊事故發生的源頭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171021"><strong>【9月5日】大規模DDoS攻擊流量達到11.5 Tbps，再創新高</strong></a></p> </div></div></div>
2025/9/10 17:43作者周峻佑https://www.ithome.com.tw/news/171114
Adobe修補應用程式開發平臺、電子商務管理平臺重大層級資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/tags/adobe">Adobe</a>昨天（9日）發布9月份每月例行更新，對旗下9款應用程式發布修補程式，其中<a href="https://helpx.adobe.com/security/products/coldfusion/apsb25-93.html">應用程式開發平臺ColdFusion</a>、<a href="https://helpx.adobe.com/security/products/magento/apsb25-88.html">電子商務管理平臺Adobe Commerce</a>的重大漏洞，特別值得留意，Adobe呼籲用戶應優先處理。</p> <p>首先要緩解的產品是ColdFusion，這次Adobe揭露的漏洞編號為CVE-2025-54261，此為路徑遍歷（Path Traversal）弱點，攻擊者有機會藉此寫入任意系統檔案，影響2021、2023、2025版ColdFusion，CVSS風險評為9.0（滿分10分）。值得留意的是，Adobe將其評為優先程度第1級的資安公告，代表這項漏洞帶來的資安風險較高，雖然目前尚未發現遭到利用的跡象，但他們還是呼籲IT人員要儘速處理。有鑑於Adobe要求用戶優先處理ColdFusion資安漏洞的狀況並非首例，今年他們就在<a href="https://www.ithome.com.tw/news/168338">4月</a>、<a href="https://www.ithome.com.tw/news/168958">5月</a>提出類似警告，因此這樣的情況不能掉以輕心。</p> <p>另一個需要優先處理的重大層級漏洞CVE-2025-54236（<a href="https://sansec.io/research/sessionreaper">又被稱為SessionReaper</a>），出現在Adobe Commerce及Magento Open Source，為輸入驗證不當漏洞，可用於繞過安全功能，而且，攻擊者想要利用這項漏洞，無須取得管理員權限，甚至不需通過身分驗證。此漏洞風險值為9.1，Adobe將其修補的優先程度列為第2級。</p> <p>雖然Adobe並未透露其他細節，但提供Magento防護的資安業者Sansec<a href="https://sansec.io/research/sessionreaper">提出警告</a>，這項漏洞有可能導致未經授權的攻擊者奪走電子商城的控制權，駭客恐怕會透過自動化的方式將漏洞用於攻擊活動，呼籲商家最好立即採取行動。</p> <p>Sansec指出另一項不尋常的地方，那就是這項漏洞Adobe已在正式發布資安公告前，向部分客戶提供修補程式。8月下旬Adobe接獲通報後，9月4日就通知部分用戶。</p> <p>而對於這項漏洞帶來的影響，他們也引述通報者Blaklis的說法，攻擊者可用於發動遠端執行任意程式碼（RCE）攻擊，Adobe的公告並未提及此事。</p> </div></div></div>
2025/9/10 16:42作者周峻佑https://www.ithome.com.tw/news/171108
微軟9月例行更新修補已公開的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（9月9日）<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-sep">微軟發布本月例行更新（Patch Tuesday）</a>，總共修補81項資安漏洞，較<a href="https://www.ithome.com.tw/news/169956">7月</a>、<a href="https://www.ithome.com.tw/news/170588">8月</a>的130個及111個再度減少。從漏洞的類型來看，權限提升（EoP）漏洞最多，有38個，其次是遠端程式碼執行（RCE）及資訊洩露（ID）漏洞，有22個、14個；安全繞過及阻斷服務（DoS）漏洞各有3個，另有1個是可被用於欺騙的漏洞。</p> <p>根據漏洞的嚴重程度與類型來看，這次有8個被評為重大層級，RCE漏洞最多，有5個，2個權限提升漏洞、1個資訊洩露漏洞。</p> <p>值得留意的是，這次有一項漏洞在修補之前就已經被公開的漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-55234">CVE-2025-55234</a>，屬於SMB權限提升弱點，CVSS風險評為8.8分。該漏洞有可能導致SMB伺服器面臨中繼攻擊，攻擊者有機會濫用特定物件進行權限提升，以取得受害使用者的權限。微軟提及目前SMB伺服器已具備簽章功能，以及身分驗證延伸防護（Extended Protection for Authentication，EPA），而能夠防範這類中繼攻擊。由於啟用這些強化防護的機制，可能會衍生相容性的問題，這次發布的修補程式，也支援稽核SMB用戶端對上述兩種防護的相容性。</p> <p>長期分析微軟每月例行更新的<a href="https://www.rapid7.com/blog/post/em-patch-tuesday-september-2025/">資安業者Rapid7強調</a>，這項漏洞光是套用更新程式不足以緩解，若不處理，攻擊者有機會透過ARP欺騙、DNS中毒，或其他手法假冒合法伺服器，而且，他們還可能利用資安人員熟悉的開源工具Responder來簡化攻擊流程，並設法破解雜湊值而得到密碼。Rapid7強調，這次微軟提及的都是已被公開的攻擊手法，因此他們認為，嚴格來說，CVE-2025-55234並非真正的零時差漏洞。</p> <p>另一個是已公開漏洞：由去年資安業者VulnCheck揭露的<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-21907">CVE-2024-21907</a>，這次微軟也著手修補而受到關注。這項漏洞影響SQL Server 2016至SQL Server 2022，為Newtonsoft.Json元件的例外條件不當處理漏洞，而有可能導致阻斷服務。此漏洞存在於該元件低於13.0.1版的版本。</p> <p>Rapid7指出，這項漏洞並非出現在SQL Server本身，而是用於處理.NET應用程式JSON檔案的標準元件ewtonsoft.Json，雖然這項漏洞是VulnCheck在去年1月登記CVE編號，但最早是另一家資安業者Aleph Security於2018年察覺。為何微軟現在才做出處理，目前仍不得而知。</p> </div></div></div>
2025/9/10 15:42作者周峻佑https://www.ithome.com.tw/news/171095
Mistral AI完成17億歐元C輪融資，投後估值117億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國新創Mistral AI<a href="https://mistral.ai/news/mistral-ai-raises-1-7-b-to-accelerate-technological-progress-with-ai">完成17億歐元C輪融資</a>，投後估值達117億歐元，約137億美元，領投方為荷蘭半導體設備商ASML。Mistral表示，資金將投入先進人工智慧的科學研究與企業級方案落地，聚焦解決戰略產業的高難度工程問題，並維持公司獨立性。</p> <p>ASML執行長Christophe Fouquet表示，透過此次合作，ASML希望將人工智慧能力融入自家產品與解決方案，同時展開聯合研究應對未來挑戰。<a href="https://markets.businessinsider.com/news/stocks/asml-mistral-ai-enter-strategic-partnership-1035126462">ASML在C輪融資投資13億歐元</a>，取得約11％股權成為Mistral的重要股東之一，ASML CFO Roger Dassen也將加入Mistral策略委員會，成為策略與技術決策的諮詢角色。</p> <p>Mistral執行長Arthur Mensch指出，此次投資是人工智慧與半導體價值鏈融合的一步，公司將協助ASML及其合作夥伴面對工程難題，進一步拓展人工智慧在產業中的應用範疇。</p> <p>Mistral表示，將持續發展去中心化的先進人工智慧解決方案，結合大型模型、客製化技術與高效能運算基礎設施，協助企業與公共部門解決複雜的工程問題。Mistral過去兩年已與多家企業與工業夥伴建立合作，累積應用經驗，此輪資金將加速研究進展與落地實踐。</p> <p>本輪融資的投資方除ASML外，還包括DST Global、Andreessen Horowitz、Bpifrance、General Catalyst、Index Ventures、Lightspeed與Nvidia等既有股東，代表其財務與戰略投資的延續性。</p> <p>在估值方面，Mistral約137億美元讓其成為歐洲人工智慧新創中估值最高的公司之一，但與美國主要業者仍有明顯差距。<a href="http://www.reuters.com/business/openai-eyes-500-billion-valuation-potential-employee-share-sale-source-says-2025-08-06/">外媒近期報導</a>OpenAI員工持股交易的市場估值約5,000億美元，Anthropic則在最新一輪融資後估值達1,830億美元，相較之下，Mistral規模仍小得多。</p> </div></div></div>
2025/9/10 16:27作者李建興https://www.ithome.com.tw/news/171094
瞄準行動裝置端低延遲、省電AI應用，Arm推出全新的Lumex CSS運算平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準行動裝置端的AI應用潛力，Arm發表新的Lumex運算子系統(Compute Subsystem，CSS)，一舉更新旗下的行動CPU、GPU，搭配新的SME2(Scalable Matrix Extension 2)可擴充延伸指令集，宣稱AI效能最高提升5倍。</p> <p>Arm手機策略總監蔡武男表示，現今世代已習慣在智慧型手機螢幕觸控，但是未來AI在行動裝置的普及，帶來新的人機互動，未來新世代可能不再使用觸控，而是透過語音和手機對話，要求AI或是由AI依據你的需求執行任務。儘管行動裝置可仰賴雲端來執行AI推論，但是手機移動性難免處在行動網路不穩定的情形，沒有行動網路或是訊號較差的環境，將影響行動裝置上的AI使用體驗，此外，完全依賴雲端來執行AI推論，對服務提供商而言，成本也會高昂。</p> <p>鑑於AI將會愈來愈重要，在行動裝置端執行AI應用，即時性、低延遲特別重要，且因為手機使用電池，還需要更高的能源效率，Arm發表全新的Lumex CSS運算平臺，搭載新的SME2指令集，這個新的矩陣延伸指令集，使得Lumex CSS提升CPU的AI處理效能最高達5倍，對於語音類的工作負載延遲可降低4.7倍，音訊生成速度則提升2.8倍。(下圖來源：Arm)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-09-10%20%E4%B8%8B%E5%8D%884_43_24.jpeg" style="width: 600px; height: 308px;" /></p> <p>Arm以運動App「智慧瑜伽教練」為例，在SME2指令集的加速下，文字轉語音生成速度可提升2.4倍，使用者可以更即時得到AI的瑜伽指導。</p> <p>而根據Arm展示的AI加速效果，沒有搭載SME2指令集的CPU，在達行神經網路的工作處理中，遠低於GPU，但是搭載SME2指令集的CPU，明顯提高神經網路的處理效能，縮短CPU與GPU間的效能落差，在一部分的測試項目中還超越GPU。</p> <p>為吸引軟體開發者，Arm也提供KleidiAI函式庫，希望能讓裝置發揮SME2。目前KleidiAI支援AI框架，如PyTorch ExecuTorch、Google LiteRT、ONNX Runtime等。</p> <p>Arm預期未來讓SME2擴展到各個CPU平臺，同時預期到了2030年，搭載SME與SME2的裝置將會為超過30億臺裝置新增加逾100億TOPS。(下圖來源：Arm)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-09-10%20%E4%B8%8B%E5%8D%884_46_53.jpeg" style="width: 600px; height: 323px;" /></p> <p><span style="color:#B22222;"><strong>更新CPU及GPU</strong></span></p> <p>Lumex CSS目前針對3奈米製程最佳化實體實作，Lumex CSS包括採用SME2的Armv9.3 CPU叢集，還有宣稱提升2倍的光線追蹤效能的Arm Mali G1-Ultra GPU，以及DSU(Arm C1-DSU), KleidiAI函式庫。</p> <p>至於CPU方面，Lumex CSS更新Arm原有的行動CPU命名及分類方式，過去Arm CPU採用的Cortex命名，現在在Lumex中CPU採用C1命名，將CPU分為5個種類等級。</p> <p>這5種類的CPU，包括Arm C1-Ultra，C1-Pro、C1-Premium、C1-Pro、C1-Nano、Pico。其中的C1-Ultra定位為旗艦級效能，相當於先前的Cortex-X925，在SME2加持下，Arm稱其單執行緒效能提升25%，適用於大模型的推論、內容創作、生成式AI、運算攝影等等。</p> <p>而C1-Pro為能耗核心，即扮演過去的小核角色，持續效能提升16%，在行動裝置中用於輔助C1-Ultra效能核心(大核)，C1-Pro適用於影片播放、串流推論等工作負載處理。</p> <p>C1-Premium兼顧C1-Ultra的效能，但面積減少35%，適用於次一級的旗艦級行動裝置，適合語音助理、多工處理。</p> <p>至於C1-Nano強調能效，Arm宣稱其效率提升26%，但面積更小，因此適合行動穿戴裝置或小型裝置使用。最後是Pico，強調超低功耗，適用於物聯網裝置。</p> <p>蔡武男指出，在今年5月Arm宣布轉型後，將從過去只提供IP，轉型為提供整合及彈性的平臺方案，加速合作夥伴推出產品至市場的速度。</p> <p>Arm針對不同市場提供運算平臺方案，除了Lumex CSS運算平臺鎖定的行動裝置外，還有以資料中心為目標的Arm Neoverse，瞄準汽車領域的Arm Zena，專門為PC設計的Arm Niva，以及適用於IoT物聯網的Arm Orbis。</p> </div></div></div>
2025/9/10 16:47作者蘇文彬https://www.ithome.com.tw/news/171111
Anthropic的Claude開始支援用戶建立PDF、試算表與簡報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/create-files" target="_blank">Anthropic本周開始透過旗下的Claude聊天機器人預覽檔案生成功能</a>，它不僅允許使用者編輯所上傳的PDF、Excel、PowerPoint等檔案，也可直接生成或轉換成相關檔案，初期僅供Max、Team與Enterprise用戶預覽，未來幾周將開放給Pro用戶試用，並未提及免費用戶。</p> <p>這對辦公室用戶來說應該是個很有用的功能，因為Claude可根據使用者的指示來建立實際檔案，不管是利用使用者所上傳的檔案、各種研究資訊，或是從頭建立新檔案。像是把原始資料變成統計分析數據、圖表或見解；或是描述所需的內容直接建立試算表；也能跨格式運作，要求Claude把所上傳的PDF檔轉成PowerPoint簡報。</p> <p>Anthropic說，此一文件建立功能把通常需要具備程式設計及統計等專業知識，再加上數小時努力的專案，在幾分鐘內完成。</p> <p><a href="https://support.anthropic.com/en/articles/12143746-create-and-edit-files-with-claude-to-eliminate-hours-of-busy-work" target="_blank">根據該功能的詳細說明</a>，使用者可用它來建置Excel模型，產生各種文件，執行內容分析，製作PowerPoint簡報，填寫PDF表單，還能合併多個來源的資料，轉換內容格式，或是將同一內容以不同的格式呈現，也能標準化內容的格式或命名慣例。</p> <p>目前提供類似功能的有Google Gemini，但Gemini所生成的是符合Google Docs格式的檔案、簡報與試算表，需要再轉成PDF、PowerPoint或Excel；微軟的作法則是在Microsoft 365的各種應用中直接整合Copilot；至於OpenAI的ChatGPT則還在測試相關功能。</p> <p>不過，<a href="https://simonwillison.net/2025/Sep/9/claude-code-interpreter/" target="_blank">研究人員Simon Willison提醒</a>，此一新功能本質上就是Anthropic版的ChatGPT Code Interpreter，Claude於伺服器端的沙箱中執行各種程式碼來處理資料問題，以根據使用者的要求生成檔案，技術上很強大，卻將其簡化為「檔案建立」功能。由於該沙箱具備有限的網路存取權限，<a href="https://support.anthropic.com/en/articles/12111783-create-and-edit-files-with-claude" target="_blank">而可能暗藏提示注入（Prompt Injection）風險</a>，使用者應多加留意。</p> </div></div></div>
2025/9/10 15:17作者陳曉莉https://www.ithome.com.tw/news/171093
Perl重返TIOBE指數前十名，Python則繼續遙遙領先
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.tiobe.com/tiobe-index/">TIOBE 2025年9月程式語言流行度指數公布</a>，Perl從1年前的第27名大幅上升至第10名，評分2.03％，成為本期最顯著的變動。TIOBE官方說明，名次提升與其在Amazon書籍數量有關，Perl相關書籍數量約為PHP的4倍、Rust的7倍，因此帶動評分增加。</p> <p>TIOBE創辦人Paul Jansen提到，Perl 5近年釋出節奏加快，社群逐漸把其視為主要分支，而原本寄望的Perl 6在經過長年開發後已更名為Raku，如今僅排名第129，對生態的影響有限。該社群動態讓Perl 5重新獲得關注與人氣，成為TIOBE指數排名大幅上升的主因。</p> <p>整體榜單中，前三名的格局保持不變，但差距有所調整。Python以25.98％穩居首位，年增5.81％，持續擴大領先優勢。C++以8.80％排第2，較去年下降1.94％，C則以8.65％續居第3，年減0.24％，Java以8.35％列第4，持續與C語言家族競爭。這四大語言依舊占據開發領域的核心位置，影響力延伸至系統軟體、企業應用與跨平臺開發。</p> <p>C#以6.38％穩居在第5，JavaScript以3.22％位居第6，與去年相比下滑0.70％，Visual Basic以2.84％名列第7，Go則以2.32％續排第8，表現穩定，Delphi/Object Pascal上升至第9，評分2.26％。</p> <p>第10名之後多為小幅調整，SQL以1.86％降至第11，Fortran排第12，而R語言升至第13名，Ada前進至第14名，其中Fortran為科學計算領域愛用語言，Ada則多為安全關鍵與嵌入式應用，反映專業領域的長尾需求，R主要對應統計與資料科學，SQL則屬資料庫與企業應用。Rust回落至第18，評分降至1.01％，Kotlin則以0.95％排名第20。整體來看，老牌語言在垂直領域維持影響力，新興語言受生態與教學資源牽動。</p> <p>Perl重返前10主要反映出其教材資源與社群能見度的提升。需注意的是，TIOBE指數衡量的是程式語言的關注度，其依據來自搜尋引擎能見度、課程數量與第三方供應商支持等指標，並非程式效能或實際使用規模的排名。</p> </div></div></div>
2025/9/10 13:59作者李建興https://www.ithome.com.tw/news/171091
AI前景讓甲骨文股價飆上歷史新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球第二大軟體業者<a href="https://investor.oracle.com/investor-news/news-details/2025/Oracle-Announces-Fiscal-Year-2026-First-Quarter-Financial-Results/default.aspx" target="_blank">甲骨文（Oracle）周二（9/9）公布其2026財年第一季財報</a>，該季甲骨文創下149億美元的營收，成長12%，每股盈餘為1.47美元，皆低於分析師預期，但與AI有關的尚未履約義務（Remaining Performance Obligations，RPO）在該季達到了4,550億美元，成長359%，讓甲骨文當天盤後股價上飆30.51%，漲至315.2美元。</p> <p>甲骨文的營收主要來自雲端、軟體、硬體及服務，在149億美元的營收中，雲端占了總營收的48%，約71.9億美元，成長28%；軟體為57.2億美元，下滑1%；硬體為6.7億美元，成長2%；服務營收為13.5億美元，成長7%。</p> <p>目前甲骨文所提供的雲端服務包含雲端基礎設施（IaaS）及雲端應用（SaaS），IaaS占了33億美元，成長55%，SaaS則占38億美元，成長17%。對該季IaaS成長貢獻最大的是MultiCloud Database，這是在Google、微軟與Amazon的資料中心隔壁建置Oracle Database的專屬基礎設施，以讓共同客戶得以就近執行資料庫服務，該季相關營收成長了1,529%。</p> <p>甲骨文技術長Larry Ellison預期，MultiCloud Database業務在未來幾年內的每一季都會持續大幅成長，該公司計畫再交付37座資料中心予上述3大合作夥伴，讓總數達到71座。</p> <p>SaaS服務中則包括了10億美元的Fusion Cloud ERP，成長17%，以及10億美元的NetSuite Cloud ERP，成長16%，以及其它約18億美元的HCM、CX、SCM等應用。</p> <p>儘管該季甲骨文的營收及每股盈餘都低於分析師預期，不過，甲骨文執行長Safra Catz表示，該季與3個不同的客戶簽署了4個分別價值數十億美元的合約，使其RPO增加了359%，達到4,550億美元，而且市場對甲骨文雲端基礎設施（Oracle Cloud Infrastructure，OCI）的需求還在成長。未來幾個月甲骨文應該還會再簽下幾個價值數十億美元的客戶，讓RPO突破5,000億美元。</p> <p>RPO的大規模成長，也讓甲骨文準備在下個月舉行的分析師會議上，上修2026會計年度的雲端基礎設施營收，估計可成長77%，達到180億美元，且接下來的4年，也將分別成長至320億美元、730億美元、1,140億美元與1,440億美元，而且相關的預測大多數都來自甲骨文已經公布的RPO數字。</p> <p>此外，甲骨文將在下個月舉行的Oracle AI World大會上，推出全新的雲端基礎設施服務Oracle AI Database，以讓甲骨文的資料庫用戶能夠藉由最先進的Gemini、ChatGPT或Grok等AI服務來存取並分析資料。Ellison說，Oracle AI Database與MultiCloud Database都將在未來幾年帶來雲端需求與消費，AI改變了一切。</p> </div></div></div>
2025/9/10 14:15作者陳曉莉https://www.ithome.com.tw/news/171092
三菱電機9億美元收購OT/IoT資安廠商Nozomi Networks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本電子電機巨擘<a href="https://www.mitsubishielectric.com/en/pr/2025/pdf/0909-2.pdf" target="_blank">三菱電機（Mitsubishi Electric）本周宣布以近9億美元收購</a>營運科技及物聯網（OT/IoT）資安方案業者Nozomi Networks，以確保其數位平臺的安全性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0910-Mitsubishi%20Electric-Acquire-Nozomi%20Networks-by%20Nozomi%20Networks-960.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nozomi Networks</span></span></p> <p>創立於2016年的Nozomi提供基礎架構安全防護，產品包含網路及端點可視化監控、威脅偵測及AI分析。雙方表示，結合三菱電機百年全球工業專精與Nozomi的資料科學、AI/ML和工業網路安全創新技術，將可建立以強化網路與作業的AI解決方案，支援各種OT和IoT應用場景與產業。</p> <p>根據三菱電機的財報文件，收購金額為8.83億美元，而本案將可把Nozomi資產包含SaaS產品、雲端基礎架構和AI技術，整合到三菱電機的協同設計數位平臺Serendie。Serendie提供單一數位化資料平臺，允許設計、製造、營運和維護單位模擬、優化甚至協同建立解決方案。</p> <p>三菱電機Serendie用戶涵括鐵路公司、能源業者、工廠、大樓營造業，<a href="https://emea.mitsubishielectric.com/en/news/releases/global/2025/0114-a/index.html" target="_blank">今年也簽下AWS資料中心</a>，以整合後者的空調、UPS、配電系統，提升節能及營運效率。三菱電機希望能藉數位方案的強化有助於拓展新客戶。</p> <p>本案預計在今年第4季完成。收購完成後，Nozomi將成為三菱電機全資子公司，但本案不影響其營運。Nozomi將維持獨立營運，發展藍圖、服務體系及合作夥伴也都不會改變，總部留在現有的舊金山，研發也將留在瑞士。</p> </div></div></div>
2025/9/10 11:31作者林妍溱https://www.ithome.com.tw/news/171087
蘋果iPhone 17系列出爐，僅有eSIM的iPhone Air登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周二（9/9）發表了新一代的iPhone手機，包括標準版的<a href="https://www.apple.com/newsroom/2025/09/apple-debuts-iphone-17/" target="_blank">iPhone 17</a>、超輕薄的<a href="https://www.apple.com/newsroom/2025/09/introducing-iphone-air-a-powerful-new-iphone-with-a-breakthrough-design/" target="_blank">iPhone Air</a>，以及高階版的<a href="https://www.apple.com/newsroom/2025/09/apple-unveils-iphone-17-pro-and-iphone-17-pro-max/" target="_blank">iPhone 17 Pro與iPhone 17 Pro Max</a>，預計於本周五（9/12）開放預訂，下周五（9/19）開始出貨。</p> <p>使用者可以直接從<a href="https://www.apple.com/tw/iphone/compare/" target="_blank">蘋果網站比較全新系列的規格</a>，其中，iPhone 17具備6.3吋螢幕，採用A19處理器；而iPhone Air為6.5吋螢幕，與6.3吋的iPhone 17 Pro及6.9吋的iPhone 17 Pro Max都是採用A19 Pro處理器，它們播放影片的電池續航力依序是30小時、27小時、31小時與37小時。</p> <p>A19跟上一代的A18一樣，都是採用台積電的3奈米製程，內建6核心的CPU與5核心GPU，也有16核心的核心神經網路引擎。不過，A19的CPU單核效能比A18提高了10~15%；在GPU上，標準版提升了20%，Pro版則提升40%；A19的神經網路引擎則專門針對即時翻譯及影像生成等AI運算進行最佳化。</p> <p>iPhone 17系列也採用全新的、蘋果自行設計的無線網路晶片N1，可支援Wi-Fi 7、Bluetooth 6及Thread等協定，也提升了個人熱點與AirDrop等功能的整體效能及可靠性。新系列亦全面導入120Hz ProMotion 及Ceramic Shield 2面板，提升螢幕效果與耐用性。</p> <p>這次蘋果全新發表的iPhone Air則是鎖定輕薄，在6.5吋的螢幕下，它的厚度只有0.56公分，重量為165公克，還被視為是蘋果推出摺疊機的前鋒。</p> <p>不過，為了維持輕薄，iPhone Air犧牲了某些功能，例如它不再具備實體SIM卡插槽，僅能使用eSIM；電池續航力還低於iPhone 17；且背後只有一顆鏡頭，缺乏iPhone 17與iPhone 17 Pro都具備的微距攝影鏡頭。但它最低999美元（36,900元新臺幣）的價格還是高於iPhone 17的799美元（29,900元新臺幣）。</p> <p>至於iPhone 17 Pro與iPhone 17 Pro Max的最低售價，則分別是1,099美元（39,900元新臺幣）與1,199美元（44,900元新臺幣）。</p> <p>今年新系列的另一個特色是顏色上的變化，例如標準版推出了薰衣草紫及鼠尾草綠，iPhone Air則有天藍與淺金色，Pro與Pro Max則多出了橙色。</p> </div></div></div>
2025/9/10 11:40作者陳曉莉https://www.ithome.com.tw/news/171088
百度開放文心Ernie-4.5模型給企業使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/baidu/ERNIE-4.5-21B-A3B-Thinking" target="_blank">中國網路巨人百度本周宣布</a>將具備思維能力的210億參數大語言模型文心（Ernie）4.5版，開放給企業和開發商使用。</p> <p>百度<a href="https://www.ithome.com.tw/news/167912" target="_blank">今年初宣布</a>Ernie-4.5挑戰GPT 4.5及DeepSeek R1。Ernie 4.5具備多模態能力，能同時理解文字、圖像、音訊及影片內容。<a href="https://yiyan.baidu.com/blog/zh/posts/ernie4.5/" target="_blank">百度在今年6月</a>一舉開源了10款Ernie模型，參數量小至0.3B，大到424B，並包含2款混合專家（MOE）模型。</p> <p>百度指出，三個月來該公司持續擴大這款模型的思維能力，使其思考品質和深度都見提升，因此使旗下輕量模型都能勝任複雜思考任務。</p> <p>最新釋出的模型是<a href="https://huggingface.co/baidu/ERNIE-4.5-21B-A3B-Thinking" target="_blank">ERNIE-4.5-21B-A3B</a>，為文字混合專家模型，包含210億參數，每token啟用30億參數。其特色包括大幅提高邏輯思考、數學、科學、編程、文字生成等一般需要人類的思考任務運作效能、具有128k長脈絡的理解能力、而且還能使用工具。根據百度文件，ERNIE-4.5-21B-A3B支援簡中及英文。</p> <p>ERNIE-4.5-21B-A3B-Thinking在多項推理繁重的任務中表現出色，特別是在ZebraLogic上得分為89.8，在BBH（Big-Bench Hard）上得分為87.77，在WritingBench上得分為86.5。在HumanEval+和MBPP這兩個常用的程式設計標竿測試中，得分分別超過90和80，顯示紮實的程式碼合成和函數生成能力。</p> <p>ERNIE-4.5-21B-A3B-思考效能方面，在學術式數學任務（AIME2025）和科學QA（BFCL、MUSR）中，該模型略落後於Gemini 2.5 Pro，但仍具有競爭力。它在WritingBench和IF-Eval（指令遵循評估）方面居於領先，突顯了其在遵循結構化提示和產生連貫回應方面的能力。有趣的是，它在ChineseSimpleQA中的表現相對較低，為49.06，這顯示它在深度推理專業化和一般多語言效能之間的權衡。</p> <p>欲執行這款模型，需要硬體具備80GB記憶體的單一GPU，以及FastDeploy 2.2環境。</p> <p>該模型可在Apache 2.0許可下使用，使其可以免費用於研究和商業用途。百度已透過Hugging Face和<a href="https://github.com/PaddlePaddle/ERNIE" target="_blank">GitHub</a>發布。</p> </div></div></div>
2025/9/10 11:55作者林妍溱https://www.ithome.com.tw/news/171089
SAP修補NetWeaver、NetWeaver AS Java重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月9日SAP發布本月例行更新（Security Patch Day），總共修補21項資安漏洞（<a href="https://www.ithome.com.tw/news/170594">上個月</a>是15個），值得留意的是，當中包含3個危險程度達到重大層級的漏洞，其中1個達到滿分（10分）、1個接近滿分，相當危險。</p> <p>上述重大層級漏洞當中最危險的是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42944">CVE-2025-42944</a>，此為NetWeaver反序列化漏洞，攻擊者可在未經授權的情況下，透過特定的公開連接埠傳送惡意酬載，而有機會藉由RMI-P4模組觸發漏洞，CVSS風險達到10分。一旦不受信任的Java物件面臨反序列化處理，就有可能用於執行任意作業系統的命令，嚴重危害應用系統的機密性、完整性、可用性。長期解析SAP每月例行更新的<a href="https://onapsis.com/blog/sap-security-notes-september-2025-patch-day/">資安業者Onapsis指出</a>，攻擊者若是成功利用，就有可能完全入侵整個應用程式；若暫時無法套用修補程式，IT人員應管制P4連接埠因應。</p> <p>另一個風險接近滿分的漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42922">CVE-2025-42922</a>，存在於NetWeaver AS Java，攻擊者取得非管理員的使用者身分，在通過身分驗證的情況下，可藉存在特定服務的弱點而上傳任意檔案，有可能完全入侵系統，嚴重破壞資安，風險值為9.9。</p> <p>第3個重大漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42958">CVE-2025-42958</a>，為NetWeaver缺乏身分驗證檢查造成的弱點，影響執行在IBM i系列作業系統的NetWeaver，具有高權限的使用者，能在未經授權的情況下存取管理員或特權功能，而能對於敏感資訊進行讀取、修改，或是刪除，風險值為9.1。</p> <p>這次SAP也對2023年3月揭露的CVE-2023-27500更新公告內容，此漏洞存在於NetWeaver AS for ABAP及ABAP平臺，風險值為9.6。該公司補充說明了哪些資訊？非SAP用戶無法知道變更的部分，根據Onapsis的透露，主要是新增修正版的指引。</p> </div></div></div>
2025/9/10 11:56作者周峻佑https://www.ithome.com.tw/news/171090
Veo 3和Veo 3 Fas API降價，支援直式與1080p高畫質影片輸出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://developers.googleblog.com/en/veo-3-and-veo-3-fast-new-pricing-new-configurations-and-better-resolution/">宣布</a>Veo 3與Veo 3 Fast正式在Gemini API全面提供穩定版本，並同步調整價格與功能，包含新增直式9:16比例輸出以及1080p解析度選項。這使得開發者在正式產品或平臺中導入生成影片的成本更低，且輸出規格更符合行動與社群應用需求。</p> <p>在價格調整方面，Veo 3費率由每秒0.75美元降至0.40美元，Veo 3 Fast則由每秒0.40美元降至0.15美元。以目前單段生成上限8秒計算，一段Veo 3影片約需3.20美元，而Veo 3 Fast僅需1.20美元，對於需要批次生成或大量測試的場景，成本壓力明顯降低。</p> <p>新功能的重點在於輸出格式，開發者現在可在API呼叫中設定長寬比（aspectRatio）參數為9:16，以生成直式影片，這對短影音或以手機為主的社群平臺特別實用。同時，系統也支援輸出1080p畫質，不過目前1080p僅適用於16:9比例，直式影片仍維持在720p。Veo 3系列影片長度限制依舊為單段8秒，幀率為24 fps，並具備原生音訊輸出能力。</p> <p>Veo 3與Veo 3 Fast分別對應veo-3.0-generate-001與veo-3.0-fast-generate-001兩個模型代號，API設計採非同步工作模式，開發者需透過輪詢方式等待影片生成完成後再下載檔案。Google提供Python與JavaScript範例程式碼，可作為導入的參考。主要設定參數包含提示詞、長寬比與解析度，並可搭配反向提示詞過濾不需要的內容。</p> <p>使用者在AI Studio或Gemini API中進行付費層呼叫前，必須綁定啟用計費的Google雲端專案，要是企業應用，也能透過Vertex AI進行整合，以便管理權限與部署治理。所有由Veo生成的影片均會嵌入SynthID數位浮水印，使生成的內容具可追溯性。</p> </div></div></div>
2025/9/10 08:26作者李建興https://www.ithome.com.tw/news/171074
TP-Link路由器曝CWMP漏洞，影響Archer AX10與AX1500機型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ByteRay資安公司技術長Mehrun Parchebafieh<a href="https://blog.byteray.co.uk/zero-day-alert-automated-discovery-of-critical-cwmp-stack-overflow-in-tp-link-routers-0bc495a08679">發文揭露</a>，TP-Link在其路由器的CWMP/TR-069協定實作，存在堆疊式緩衝區溢位漏洞CVE-2025-9961，影響包括Archer AX10與AX1500等機型。研究人員透過自動化汙點分析工具發現漏洞，於5月11日通報TP-Link，並在9月1日公開漏洞細節，而<a href="https://www.tp-link.com/us/support/faq/4647/">TP-Link則趕緊在9月5日釋出完整修補程式</a>。</p> <p>該漏洞問題出在路由器處理CWMP的SetParameterValues訊息時，相關函式直接將使用者輸入的長度參數套用至strncpy函式，卻僅配置3,072位元組的堆疊緩衝區，且缺乏邊界檢查。研究人員使用GenieACS伺服器發送惡意SOAP負載驗證漏洞，超過4,096位元組的輸入即可造成服務崩潰，而約3,112位元組的資料則足以覆寫程式計數器，證明攻擊者能夠控制執行流程。</p> <p>實際受影響的裝置包含Archer AX10多個硬體版本與對應韌體版本，AX1500因共用相同的CWMP執行檔也受到影響。研究者以FOFA搜尋引擎檢索，有超過4,200個對外公開的IP位址疑似曝露於此漏洞之下。</p> <p>研究人員強調最可能的攻擊情境，是攻擊者先取得路由器設定權限，將設備的ACS伺服器URL指向惡意伺服器。由於許多使用者未更改預設管理密碼，或仍使用弱密碼，加上路由器常有其他既有漏洞或可被社交工程誘導，取得設定權限的門檻相對不高。一旦連線至惡意ACS伺服器，裝置將依協定接受參數推送，進而觸發漏洞並讓攻擊者以Root權限執行任意程式。</p> <p>TP-Link已針對CVE-2025-9961漏洞釋出修補韌體，Archer AX10只要升級至1.2.1 版以上，Archer AX1500升級至1.3.12版以上，即可免受該漏洞影響。TP-Link強調，該漏洞僅能在中間人攻擊情境，且攻擊者已通過認證的前提下被利用，且CWMP功能預設為停用。</p> </div></div></div>
2025/9/10 08:28作者李建興https://www.ithome.com.tw/news/171081