iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客取得Google執法請求系統帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織Scattered Lapsus$ Hunters上周四（9/11）透過BreachForums駭客論壇張貼了一張截圖，<a href="https://lers.google.com/signup_v2/landing" target="_blank">宣稱它們取得了Google執法請求系統（Law Enforcement Request System，LERS）的帳號</a>，隨後Google向<a href="https://www.bleepingcomputer.com/news/security/google-confirms-fraudulent-account-created-in-law-enforcement-portal/" target="_blank">BleepingComputer</a>與<a href="https://www.theregister.com/2025/09/16/google_confirms_crims_accessed_lers/" target="_blank">The Register</a>證實，的確在LERS系統上發現一個詐欺帳號，並已將它停用。</p> <p>LERS允許經過驗證的執法人員提交合法的用戶資料申請，查看申請案件的處理狀態，以及下載Google所提供的回應資料；具備正式執法權力以及正在辦案的政府官員都可透過該系統提交申請。取得帳號代表駭客將能冒充警察或檢調機關，要求Google提供用戶的詳細資訊。</p> <p>駭客展示的螢幕截圖顯示他收到了來自Google的郵件，證實已取得LERS帳號，Google還要求他在7天內建立個人密碼。不過，Google向媒體表示，此一帳號並未提出任何請求，也未存取任何資料，而且已被停用。</p> <p>不過，Google並未揭露駭客是透過何種方式取得LERS帳號。</p> <p>Scattered Lapsus$ Hunters是今年才出現的駭客組織，自稱成員分別來自Scattered Spider、ShinyHunters與Lapsus$等知名組織，主要手法之一為冒充IT人員，誘騙企業員工在電腦上啟用Salesforce Data Loader並登入公司帳號，再透過遠端軟體或竊取存取Token，以批次匯出Salesforce雲端中的客戶資料，受害企業涵蓋Google、Allianz、思科、Louis Vuitton、Tiffany & Co及Cloudflare等。</p> </div></div></div>
2025/9/18 08:05作者陳曉莉https://www.ithome.com.tw/news/171247
F5買下AI安全領域的元老級公司CalypsoAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.f5.com/company/news/press-releases/f5-to-acquire-calypsoai-to-bring-advanced-ai-guardrails-to-large-enterprises" target="_blank">美國資安業者F5上周宣布</a>，將以1.8億美元買下AI安全領域的元老級公司CalypsoAI，雙方預計於9月底前完成交易。</p> <p>CalypsoAI是由曾任職於美國國防部及情報社群（Intelligence Community，IC）的Neil Serebryany在2018年所創立，當時Serebryany因看到國防部導入AI過程的安全缺口及攻擊風險，興起了創業念頭，目標是打造可專門保障AI模型推論層安全的技術，堪稱是AI安全領域的元老級公司。根據外電報導，CalypsoAI自成立以來約募集逾4,000萬美元資金，員工不到100名。</p> <p>CalypsoAI可偵測並攔截模型回應中的提示注入、越獄、機密資料外洩及有害內容，並透過大規模紅隊測試產出風險評分；能記錄並審查跨模型互動，並提供中央控制臺統一監督所有AI系統的運作。</p> <p>至於1996年成立的F5則是全球應用程式及API交付與安全解決方案供應商，提供應用程式流量管理、API安全、Web應用防火牆、Bot防禦、DDoS防護及雲端及邊緣的部署支援等功能，可在地端、雲端、邊緣及混合雲等環境中提供一致的應用及安全保護。</p> <p>F5執行長François Locoh-Donou表示，AI正在重新定義企業架構，同時企業也必須防範相關的攻擊面，傳統的防火牆及單點解決方案已無法跟上步伐，F5將整合CalypsoAI的專業能力，成為客戶在AI時代的安全夥伴。特別是在不管客戶使用哪種模型或雲端服務，都能藉由CalypsoAI的自適應AI安全能力，來提供主動及持續的AI保護。</p> </div></div></div>
2025/9/18 08:07作者陳曉莉https://www.ithome.com.tw/news/171248
CrowdStrike買下Pangea，進軍AI偵測與回應領域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/en-us/press-releases/crowdstrike-to-acquire-pangea-to-secure-every-layer-of-enterprise-ai/" target="_blank">專注於雲端資安服務的CrowdStrike本周宣布將買下AI資安新創Pangea</a>，雙方並未公布交易金額或完成時間，但<a href="https://www.wsj.com/articles/crowdstrike-to-buy-ai-security-company-pangea-a82946e9" target="_blank">華爾街日報（Wall Street Journal，WSJ）報導</a>，該交易價值2.6億美元。</p> <p>創立於2021年的Pangea主要專注於生成式AI與AI代理人應用的互動層安全性，所開發的產品包括可掃描及阻擋不當提示的AI Guard，能檢查與遮蔽敏感資訊的Prompt Guard，AI存取控制，以及可檢視AI互動與資料流的AI Visibility，目的在於防範提示注入、模型越獄與資料外洩，還能過濾有害的輸入/輸出內容，以及控管代理人與外部工具的調用。</p> <p>至於2011年創立的CrowdStrike則定位為雲端原生資安平臺，提供端點偵測與回應（EDR）、延伸偵測與回應（XDR）、威脅情報、身分保護及雲端工作負載等安全功能，打算藉由收編Pangea進軍AI偵測與回應（AI Detection and Response，AIDR）領域。</p> <p>傳統資安業者對於AI的看法大致相同，都認為AI正快速改寫企業攻擊面，讓每個提示都成為駭客的切入點。CrowdStrik創辦人暨執行長 George Kurtz 表示，Pangea將讓CrowdStrike能夠保護AI的完整生命周期，檢測風險，執行防護措施，並確保合規性，以讓客戶能夠安心地建置、部署與擴展AI。</p> </div></div></div>
2025/9/18 08:20作者陳曉莉https://www.ithome.com.tw/news/171249
Check Point買下AI資安業者Lakera
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.checkpoint.com/press-releases/check-point-acquires-lakera-to-deliver-end-to-end-ai-security-for-enterprises/" target="_blank">以色列資安業者Check Point周二（9/16）宣布</a>，已與AI資安新創Lakera達成收購協議，預計於今年第四季完成交易。雙方並未公布交易金額，但外電報導該交易價值3億美元。這已是這一周以來繼<a href="https://www.ithome.com.tw/news/171248" target="_blank">F5與CalypsoAI</a>、<a href="https://www.ithome.com.tw/news/171249" target="_blank">CrowdStrike與Pangea</a>的第三起傳統資安加上AI資安的併購組合。</p> <p>2021年創立的Lakera擁有瑞士及美國雙總部，定位為維護AI原生安全的資安公司，專注於保護大型語言模型（LLM）、生成式AI及代理人，主要產品為部署前的安全態勢評估Lakera Red，以及執行期的即時防護Lakera Guard，支援逾100種語言。</p> <p>此外，Lakera也建立一個全球對抗式AI社群Gandalf，以遊戲化的方式蒐集與生成針對LLM及AI代理人的攻擊樣式，包括注入、越獄、資料外洩誘導等對抗測試，迄今已累積逾8,000萬種攻擊樣式。Lakera將這些樣式整合至安全平臺，以讓防護系統可持續學習最新威脅，即時偵測並阻擋攻擊。</p> <p>Check Point所提供的則是涵蓋網路、雲端、端點及行動裝置的整合式資安平臺，在全球擁有超過10萬家的企業客戶，於防火牆及端點保護領域表現出色。</p> <p>Check Point執行長Nadav Zafrir表示，AI正在改變每一個業務流程，也帶來新的攻擊面，未來將與Lakera共同為企業如何採用及信任AI樹立標準。未來Check Point計畫把Lakera的執行期防護技術整合到自家的Infinity架構上，提供可保障AI模型、代理人及資料的全生命周期安全。</p> </div></div></div>
2025/9/18 08:30作者陳曉莉https://www.ithome.com.tw/news/171250
吳誠文：加速矽光子技術研發促產業升級，2年後預估單通道傳輸可達400Gbps速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院推動AI新十大建設，其中一項重要建設為發展矽光子技術，國科會已與經濟部合作，共同推動國內產學界加速發展高速的矽光子技術。國科會主委吳誠文指出，目前技術上已可達到單通道200Gbps，2年後預期將可達到400Gbps，以帶動AI資料中心高速、節能發展。</p> <p>國科會今天（9/17）召開第17次委員會議，分別由經濟部報告我國推動矽光子技術的策略及規畫，衛福部食藥署報告「生技醫藥結合健康照護共創健康臺灣的策略及規畫」，國科會以科技預算補助兩項計畫，推動臺灣在半導體矽光子前瞻技術及產業發展，還有在民眾健康方面，結合法規調適，簡化新藥審查程序及時間、智慧醫材的最新進展。</p> <p><strong style="color: rgb(178, 34, 34);">加速國內矽光子技術發展，引導產業再升級</strong></p> <p>在矽光子方面，原本在晶創臺灣就包括投資矽光子技術，在行政院今年祭出AI新十大建設，其中一項建設就是加碼矽光子技術，國科會再加碼科技預算協助經濟部推動矽光子技術及產業。</p> <p>經濟部技術司副司長周崇斌指出，傳統架構上，一般光纖僅到伺服器外部，透過伺服器電路板、基板，再到處理器，儘管現今的矽技術已發展很好，但是仍有傳輸瓶頸，單通道速度上限為100Gbps，最多8個通道，總傳輸速度上限為25.6Tbps。而依照Nvidia的願景，因應AI的資料吞吐需求，提出2028年單通道達到400Gbps，光纖通道數增至80通道，總傳輸速度達到409.6Tbps。</p> <p>要實現此速度，需要靠新的矽光子技術，未來將光晶片、電晶片以異質封裝技術封裝在一起，與處理器共用同一個基板，以前光纖傳輸較遠距離才到處理器，新的矽光子技術縮短光纖到處理器的距離。</p> <p>周崇斌表示，目前國際公認矽光子為最可能解決高速傳輸問題的技術，也是臺灣產業發展的機會，帶動半導體產業升級，故行政院將發展矽光子技術列為AI新十大建設之一。國科會與經濟部合作，在技術研發方面，由法人與產業界共同合作，研發符合Nvidia提出的單通道400Gbps以上高速傳輸。為此，經濟部以補助鼓勵業者投入單通道400G以上相關技術，包括IC設計業者，例如補助聯發科研發光晶片、電晶片，以及相關的基板技術、材料技術的研發。</p> <p>為讓IC設計業可以試產，由法人建立小型的光晶片試產線，以滿足光晶片的相關開發環境，並且由法人設立矽光子驗證實驗室，降低業者6成驗證成本，以成為國際的第三方驗證中心為目標。經濟部產發署也會補助相關材料及設備的開發。</p> <p>去年已由法人協助產業公會成立矽光子聯盟，在SEMI之下，由工研院電光所、台積電、日月光、聯發科等業者加入，制定技術藍圖，並釐清產業的技術缺口，研擬政策工具協助開發，推動光、電晶片、材料及設備的開發，以及累計200人次的矽光子人才培育。</p> <p>國科會主委吳誠文表示，在原來的晶創臺灣計畫中，發展矽光子為計畫的一部分，AI新十大建設後，國科會以科技預算加碼，協助經濟部推動矽光子技術發展，政府推動產業發展矽光子技術，因臺灣具有的半導體優勢，吸引國際業者希望與國內產業合作。目前在技術上已能達到單通道200Gbps，2年後預期達到400Gbps。未來矽光子技術不只可用於AI資料中心，也有助於邊緣運算，提升運算效能，還具有降低能耗的節能優點。</p> <p><strong><span style="color:#B22222;">福福部主責推動健康臺灣願景</span></strong></p> <p>至於另一項由衛福部推動的「生技醫藥結合健康照護共創健康臺灣的策略及規畫」，主要為符合賴總統提出健康臺灣的願景，衛福部提出Healthy Taiwan for All 4.0，從5大策略推動臺灣生醫業創新發展，5大策略包括政策支持、法規輔導、技術領航、行銷拓域、資源投入。</p> <p>衛福部食藥署長姜至剛提到衛福部推動健康臺灣的願景，結合近期的BTC會議提出的建議，5大政策中，從政策法規，例如「再生醫療法」、「全民健康保險資料管理條例」草案等等。在新藥審查方面，希望簡化新藥的審查，過去審查可能需要12個月，新藥開發在先進國家落地，基於國際信賴審查，簡化在臺灣的審查時間至8個月，甚至在條件符合下降到4個月。</p> <p>另外，為推動智慧醫療，衛福部已成立智慧醫材辦公室，輔導智慧醫材取證落地，應用於病人端，同時為確立AI的可用性，建置3大AI中心推動負責任的AI，從AI的取證、認證、落地、影響力等，未來也將與國際合作，將智慧醫材輸出到其他國家。</p> <p>在擴大醫療資源投入方面，姜至剛提到，政府投入百億元癌症基金，希望2030年癌症死亡率減少三分之一，為此，將擴大癌症篩檢、降低篩檢年齡層，並且對癌症用藥積極給予補助，及早診斷、給予醫療支持。未來希望透過5大策略，讓臺灣的生醫產業創新發展及永續。</p> <p> </p> </div></div></div>
2025/9/17 19:25作者蘇文彬https://www.ithome.com.tw/news/171246
【資安日報】9月17日，中國駭客CamoFei利用Roundcube攻擊臺灣教育機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>郵件伺服器<a href="https://www.ithome.com.tw/tags/roundcube">Roundcube</a>遭到鎖定的情況，過往駭客大多在歐洲地區犯案，其中俄羅斯駭客APT28利用相關漏洞從事攻擊行動，<a href="https://www.ithome.com.tw/news/168676">法國政府</a>、<a href="https://www.ithome.com.tw/news/168993">資安業者ESET</a>先後提出警告，但現在亞洲地區也出現相關事故，中國駭客CamoFei（ChamelGang）將其用於攻擊臺灣、巴基斯坦、緬甸，他們利用的漏洞，就是今年6月資安業者Fears Off揭露的CVE-2025-49113。</p> <p>在針對郵件伺服器Roundcube已知漏洞的攻擊行動揭露之外，今天有兩則新聞報導提到的攻擊過程裡，駭客都運用隱寫術（Steganography）手法，透過看似無害的圖檔挾帶惡意酬載，其中一起是運用網釣手法FileFix散布竊資軟體StealC，另一起則是大規模廣告詐欺攻擊行動SlopAds，駭客也運用這種手法於安卓裝置植入惡意程式。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171242"><strong style="font-size: 22px;">針對郵件伺服器Roundcube近滿分漏洞，中國駭客CamoFei已用於實際攻擊行動，臺灣有教育機構受害</strong></a></p> <p>今年6月資安業者Fears Off揭露郵件伺服器系統Roundcube後身分驗證漏洞CVE-2025-49113（CVSS風險評為9.9分），後續他們透露已有駭客在暗網兜售利用的方法，呼籲IT人員要儘速處理。由於這項漏洞影響近10年的Roundcube系統，而且更可怕的是，有許多管理工具內建這款郵件伺服器平臺，也有許多雲端服務業者、主機代管業者採用，影響範圍相當廣泛，如今有資安業者提出警告，這項漏洞早在公布之前就已被用於實際攻擊。</p> <p>臺灣資安業者TeamT5杜浦數位安全本週指出，他們發現中國駭客組織CamoFei（或稱ChamelGang）積極利用這項漏洞的情況，一旦成功入侵Roundcube，就會部署網頁後門及惡意程式，其中包含名為Godzilla的後門程式，以及RAT木馬Pupy。這起攻擊最早可追溯至4月，值得留意的是，受害企業組織涵蓋臺灣教育機構，以及巴基斯坦及緬甸政府機關。</p> <p><a href="https://www.ithome.com.tw/news/171235"><strong style="font-size: 22px;">新型態網釣手法FileFix聲稱臉書用戶帳號將被停用，意圖散布竊資軟體StealC</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ab3a346ebf31d0146401ed1401dca303.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ab3a346ebf31d0146401ed1401dca303.png" style="width: 300px; float: right;" /></a></p> <p>今年6月資安研究員Mr.d0x揭露ClickFix網釣手法的變形版本「FileFix」，此手法濫用瀏覽器呼叫檔案上傳的功能，駭客誘導使用者將惡意命令貼上Windows檔案總管的網址列並執行，使得整個過程無須離開瀏覽器，最近開始有駭客將FileFix用於實際攻擊。</p> <p>資安業者Acronis揭露有人積極從事FileFix網釣攻擊的現象，他們看到駭客打造冒牌的臉書安全通知網頁，聲稱用戶的帳號即將遭到刪除，必須依照PDF檔案指示的方法提出申訴。然而實際上若是照做，受害者就會被引導貼上並執行惡意命令，觸發感染鏈，最終於電腦植入竊資軟體StealC。</p> <p>這波攻擊採用的手法相當刁鑽，首先，駭客架設複雜的網路釣魚基礎設施，建置多達16種語言的釣魚網站，並導入反分析技術及混淆手法來迴避偵測；再者，他們透過隱寫術（Steganography）手法，將第二階段的PowerShell指令碼與經加密處理的有效酬載，埋入看似無害的JPG圖片。</p> <p><a href="https://www.ithome.com.tw/news/171240"><strong style="font-size: 22px;">大規模廣告詐欺SlopAds透過224款惡意安卓App，一天可點擊2.3億次廣告牟利</strong></a></p> <p>駭客假借提供應用程式，在用戶不知情的情況下，暗中進行廣告點擊活動，向廣告服務供應商騙取點擊費用的攻擊手法，過往資安業者已揭露數起，這些事故多半針對Windows電腦而來，但近期有一波資安事故，是鎖定安卓裝置，引起研究人員的關注。</p> <p>資安業者Human揭露名為SlopAds的廣告詐欺及點擊詐欺活動，駭客於Google Play市集上架多達224款應用程式，這些App已被下載超過3,800萬次，使用者遍布全球228個國家及地區。駭客透過應用程式做為傳送作案工具的管道，並搭配隱寫術（Steganography）手法，藉由PNG圖檔將詐欺酬載送到受害的安卓裝置。接著，他們建立隱藏的WebView視窗，存取攻擊者控制的網站來牟利。在攻擊行動達到高峰的時期，一天有23億次的廣告播放請求，流量主要來自美國、印度、巴西，分別占整體的30%、10%、7%。</p> <p>值得留意的是，這波攻擊行動與過往最大的不同之處，在於駭客會根據應用程式的安裝來源，決定是否啟動廣告詐欺的行為，條件是：只有透過廣告點擊下載應用程式的用戶，攻擊者才會執行後續的活動，這種運用市場行銷相關技術決定下個階段目標的手法，相當罕見。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SlopAds-Diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SlopAds-Diagram.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/171214"><strong style="font-size: 22px;">蘋果今年四度發出威脅通知，法國電腦緊急應變小組籲受害者優先保全證據</strong></a></p> <p>法國電腦緊急應變小組（CERT-FR）發布威脅與事件報告，彙整蘋果向特定高風險人士發出的威脅通知，並提醒收件者第一時間應保存證據，避免自行操作裝置，以利後續調查，報告指出，2025年已有4波通知，分別出現在3月5日、4月29日、6月25日及9月3日。</p> <p>目前清單僅限CERT-FR掌握的案例，並非完整統計，受攻擊目標多因職務或身分而受到關注的人士，包括記者、律師、維權人士、政治人物、政府高階官員，以及戰略產業決策者。</p> <p>根據CERT-FR說明，收到蘋果威脅通知意味著至少有一臺綁定該iCloud帳號的裝置曾遭針對性攻擊，並可能已經受到影響。通知通常透過iMessage與電子郵件送達，用戶在登入iCloud時也會看到警示橫幅。從攻擊發生到收到通知可能相隔數月，時間長短依個案而異，CERT-FR提醒，使用者一旦接獲通知，務必立即採取相關步驟因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/self-propagating-supply-chain-attack-hits-187-npm-packages/">NPM套件供應鏈攻擊開始出現新手法，惡意套件能自行感染其他套件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chatgpts-new-calendar-integration-can-be-abused-to-steal-emails/">ChatGPT近期整合行事曆的機制存在弱點，攻擊者有機會用來竊取電子郵件</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182189/cyber-crime/shinyhunters-attack-national-credit-information-center-of-vietnam.html">越南國家信用資訊中心傳出遭ShinyHunters攻擊，個資出現未經授權存取</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/jaguar-land-rover-extends-shutdown-after-cyberattack-by-another-week/">針對網路攻擊事故的後續處理，Jaguar Land Rover決定延長暫停生產的時間因應</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171238"><strong style="font-size: 22px;">系統穩定性及除錯測試平臺Chaos Mesh存在重大漏洞，恐導致Kubernetes叢集被挾持</strong></a></p> <p>隨著愈來愈多企業組織採用雲端原生架構及容器服務，與Kubernetes有關的應用系統安全性也跟著受到重視，因為一旦這些系統存在弱點，攻擊者就有機會對Kubernetes環境上下其手，而對於企業組織帶來危害。例如，最近資安業者JFrog揭露的資安漏洞Chaotic Deputy，就是這種型態的例子。</p> <p>這批漏洞被登記為CVE-2025-59358、CVE-2025-59360、CVE-2025-59361，以及CVE-2025-59359，存在於Kubernetes系統穩定性及除錯測試平臺Chaos Mesh，一旦遭到利用，就有機會導致Kubernetes叢集被挾持，攻擊者可輕易利用，在叢集任意節點執行程式碼。值得留意的是，部分漏洞相當危險，因為其中有3個CVSS風險評分達到9.8（滿分10分）。對此，開發團隊發布2.7.3版予以修補，若是無法即時套用新版程式，JFrog也提供緩解措施，用戶應儘速採取行動因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apple-backports-zero-day-patches-to-older-iphones-and-ipads/">蘋果為較舊版本iPhone、iPad修補Image I/O框架零時差漏洞</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171206"><strong style="font-size: 22px;">微軟郵件伺服器Exchange Server、辦公室軟體套件Offfice，2016及2019版皆將於10月14日終止支援</strong></a></p> <p>微軟在2025年10月14日終止支援的不只有Windows 10，用戶眾多的Exchange Server 2016、2019，以及Office 2016、2019，同樣也會在隔天後無法再獲得安全更新。</p> <p>微軟於周末發布提醒，Exchange Server 2016和2019將一個月後的10月14日來到支援生命周期終點。如同在Windows 10公告內容提及，微軟再次警告，隔日起不會再獲得功能與品質更新、安全更新、時區更新。</p> <p>雖然屆時二項產品雖然還能繼續運作，但可能面臨安全風險，強烈建議用戶及早轉移到Exchange Online與Microsoft 365，或升級到Exchange Server Subscription Edition（SE）。Exchange Server 2019可以就地升級到Exchange Server SE，但Server 2016則必須循Side-by-side更新指引，先架設新的Exchange Server SE伺服器，再將現有的Exchange Server資源轉移過去。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171216"><strong>【9月16日】ShinyHunters聲稱駭入擁有多個時尚品牌的公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171199"><strong>【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171149"><strong>【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</strong></a></p> </div></div></div>
2025/9/17 17:18作者周峻佑https://www.ithome.com.tw/news/171243
大規模廣告詐欺SlopAds透過224款惡意安卓App，一天可點擊2.3億次廣告牟利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假借提供應用程式，在用戶不知情的情況下，暗中進行廣告點擊活動，向廣告服務供應商騙取點擊費用的攻擊手法，過往資安業者已揭露數起，這些事故多半針對Windows電腦而來，但近期有一波資安事故，是鎖定安卓裝置，引起研究人員的關注。</p> <p>資安業者Human揭露<a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-alert-slopads-covers-fraud-with-layers-of-obfuscation/">名為SlopAds的廣告詐欺及點擊詐欺活動</a>，駭客於Google Play市集上架多達224款應用程式，這些App已被下載超過3,800萬次，使用者遍布全球228個國家及地區。駭客透過應用程式做為傳送作案工具的管道，並搭配隱寫術（Steganography）手法，藉由PNG圖檔將詐欺酬載送到受害的安卓裝置。接著，他們建立隱藏的WebView視窗，存取攻擊者控制的網站來牟利。在攻擊行動達到高峰的時期，一天有23億次的廣告播放請求，流量主要來自美國、印度、巴西，分別占整體的30%、10%、7%。</p> <p>值得留意的是，這波攻擊行動與過往最大的不同之處，在於駭客會根據應用程式的安裝來源，決定是否啟動廣告詐欺的行為，條件是：只有透過廣告點擊下載應用程式的用戶，攻擊者才會執行後續的活動，這種運用市場行銷相關技術決定下個階段目標的手法，相當罕見。附帶一提的是，針對SlopAds當中駭客透過存取自己的HTML5遊戲網站、新聞網站牟利，Human提及與半年前發現殭屍網路BadBox 2.0，手法相當類似。</p> <p>一般而言，駭客控管應用程式的方式，主要是透過多個C2伺服器來進行，但Human在解析攻擊行動的架構的時候特別提及，這次駭客搭配的網域名稱，是專門用於行銷的網域名稱，而且，駭客似乎有意擴大SlopAds的規模，並不斷試圖在Google Play市集上架新的App。</p> <p>一旦使用者下載、安裝駭客提供的應用程式，他們的行動裝置就會運用名為Firebase Remote Config的工具，接收經加密處理的一群URL組態，其中一個網址可用於下載廣告詐欺模組FatModule，另一個網址可下載以JavaScript打造的有效酬載，以便進行點擊詐欺。</p> <p>然後他們進行一系列檢查，將使用者區分為直接從Google Play下載，以及透過特定廣告重新導向到市集的用戶，具體的方法是運用行動裝置行銷平臺來達到目的，藉由檢查流量是否存在特定的標籤進行認定。假若是透過廣告接觸，駭客才會執行後續的活動，從C2下載前述提及的FatModule。</p> <p> </p> </div></div></div>
2025/9/17 15:39作者周峻佑https://www.ithome.com.tw/news/171240
針對郵件伺服器Roundcube近滿分漏洞，中國駭客CamoFei已用於實際攻擊行動，臺灣有教育機構受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月資安業者Fears Off揭露郵件伺服器系統Roundcube<a href="https://www.ithome.com.tw/news/169358">後身分驗證漏洞CVE-2025-49113</a>（CVSS風險評為9.9分），後續他們透露<a href="https://www.ithome.com.tw/news/169551">已有駭客在暗網兜售利用的方法</a>，呼籲IT人員要儘速處理。由於這項漏洞影響近10年的Roundcube系統，而且更可怕的是，有許多管理工具內建這款郵件伺服器平臺，也有許多雲端服務業者、主機代管業者採用，影響範圍相當廣泛，如今有資安業者提出警告，這項漏洞早在公布之前就已被用於實際攻擊。</p> <p>臺灣資安業者TeamT5杜浦數位安全<a href="https://teamt5.org/tw/posts/alerts-of-exploiting-roundcube-webmail-cve-2025-49113/">本週指出</a>，他們發現中國駭客組織CamoFei（或稱ChamelGang）積極利用這項漏洞的情況，一旦成功入侵Roundcube，就會部署網頁後門及惡意程式，其中包含名為Godzilla的後門程式，以及RAT木馬Pupy。這起攻擊最早可追溯至4月，值得留意的是，受害企業組織涵蓋臺灣教育機構，以及巴基斯坦及緬甸政府機關。</p> <p>TeamT5指出，根據他們的調查，截至6月21日，有超過8千臺Roundcube系統曝露在CVE-2025-49113的風險當中，其中約有半數在日本最多，有4087臺，新加坡、越南有2566臺、719臺居次。值得留意的是，臺灣有416臺曝險。對此，TeamT5提供IT人員檢查郵件系統是否存在相關漏洞的掃描工具，並公布入侵指標（IoC），以及遭到入侵可能會出現的事件記錄內容。</p> </div></div></div>
2025/9/17 16:17作者周峻佑https://www.ithome.com.tw/news/171242
Google推出Agent Payments Protocol以推動可靠的AI代理人交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/announcing-agents-to-payments-ap2-protocol/" target="_blank">Google周三（9/17）發表了新的代理人支付協定（Agent Payments Protocol，AP2）</a>，這是個新的開源協定，目的是讓AI代理人能夠代表用戶安全地處理付款，可替未來的AI代理人電子商務鋪路。</p> <p>Google解釋，AI代理人能夠代表使用者進行交易，因此需要建立一個共同基礎來安全驗證及傳達代理人的交易權限。目前的支付系統假設是由人類親自操作，但自動化代理人的出現打破了此一基本假設，於是需要AP2來證明使用者真的有授權（Authorization），讓商家確認代理人請求的真實性（Authenticity），以及在出現詐欺或錯誤時可判定責任歸屬的問責（Accountability）。</p> <p>在設計AP2時，Google導入了金融業原本用於定期或代扣款的Mandate授權概念，把它轉化為適用於AI代理人交易的數位授權機制，這些授權由可驗證憑證（Verifiable Credentials, VCs）簽署，以作為每筆交易的基礎證據。</p> <p>Mandate主要用來解決兩個以代理人協助購物的情境，一是即時購買、使用者在場的時候。當使用者對代理人說「幫我找一雙新的白色跑鞋」時，該請求會先被記錄成一份意圖授權（Intent Mandate），當跑鞋出現在購物車時，使用者確認購買後即產生購物車授權（Cart Mandate）。</p> <p>二是使用者不在場，委由代理人執行任務的時候。例如要求代理人「在演唱會門票開賣時幫我搶票」時，必須提前簽署一份詳細的意向授權書，以允許代理人自動產生購物車授權。這兩個場景最終都可安全地連結購物車授權與使用者的支付方式。</p> <p>Google認為，AP2可望帶來全新的消費模式，例如當消費者想要某件外套的特定顏色，而且願意為此多支付20%的費用時，可以交待代理人監控市場上的商品，以在可購買時執行；消費者也能把自己的購物需求交待給AI代理人，並與商家的AI代理人協商出一個令雙方都滿意的交易；當消費者提出一個涉及不同商家的固定預算旅遊方案時，代理人即可與航空公司、飯店與旅行社的代理人溝通，並在找到適合方案時訂購。</p> <p>目前已有超過60個組織支持AP2，包括美國運通（American Express）、螞蟻國際（Ant International）、JCB、萬事達卡、PayPal、銀聯與Worldpay等支付供應商，也包括Coinbase及以太坊基金會（Ethereum Foundation）等加密貨幣與區塊鏈組織，預設支援穩定幣與加密貨幣。<a href="https://github.com/google-agentic-commerce/AP2" target="_blank">開發人員可透過GitHub存取AP2的技術規格、文件及參考實作</a>。</p> <p>迄今AI領域已出現許多讓代理人可互通的開源協定，包括Anthropic所開發、用來連結AI助理與資料的<a href="https://www.ithome.com.tw/news/166199" target="_blank">模型脈絡協定（Model Context Protocol，MCP）</a>，或是Google所釋出的<a href="https://www.ithome.com.tw/news/168336" target="_blank">AI代理人互通協定Agent2Agent（A2A）</a>，最新的AP2則將代理人的能力延伸至電子商務的交易能力。</p> </div></div></div>
2025/9/17 15:11作者陳曉莉https://www.ithome.com.tw/news/171239
英國設立AI成長園區，Nvidia、OpenAI及微軟進駐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/north-east-england-set-for-billions-in-investment-and-thousands-of-jobs-as-uk-and-us-ink-tech-partnership" target="_blank">英國政府周二（9/16）宣布</a>，將在英格蘭東北部（North East England）設立AI成長園區（AI Growth Zone），首批參與的業者除了在地的Nscale之外，還包括來自美國的Blackstone投資管理公司、Nvidia、OpenAI與微軟。</p> <p>AI成長園區的目標是成為歐洲最大的AI與資料中心之一，預計吸引高達3,000億英鎊的民間投資，創造超過5,000個高薪工作，並集中建設於Blyth及Cobalt Park等地。英國政府將提供基礎設施及政策支持，結合當地低碳能源、世界級大學與新創生態體系，以促進AI研究。</p> <p>其中，Blackstone已承諾要在Blyth投資100億英鎊；Nvidia、OpenAI及Nscale則會共同成立Stargate UK；微軟亦將與Nscale合作打造英國最大的超級電腦。</p> <p>Nscale是由英國企業家Josh Payne於2022年創立的公司，目標是要在英國本土打造主權級的AI基礎設施，並藉由建設大規模的GPU資料中心、超級電腦及雲端平臺，支持英國與歐洲的組織進行AI研究。Nscale也是英國AI Growth Zone計畫中最大的地頭蛇。</p> <p><a href="https://www.nscale.com/press-releases/nscale-uk-ai-infrastructure-announcement" target="_blank">Nscale解釋</a>，Stargate UK是個整體性的基礎設施平臺，目的是在英國部署OpenAI技術，且著重於主權型工作負載。OpenAI將在2026年第一季收購最多8,000個Nvidia GPU，未來目標是3.1萬個Nvidia GPU。</p> <p><a href="https://openai.com/index/introducing-stargate-uk/" target="_blank">OpenAI則說</a>，Stargate UK將讓OpenAI模型能在英國當地的運算架構上運作，以應用在關鍵公共服務、金融、研究計畫或國家安全等特定案例上。</p> <p>Nscale還將與微軟合作建置英國最大的超級電腦，採用23,040個Nvidia GB300 GPU，預計於2027年第一季交付，可望讓微軟於英國提供Azure服務以支援當地的經濟發展。<a href="https://blogs.microsoft.com/on-the-issues/2025/09/16/microsoft-30-billion-uk-ai-future/" target="_blank">微軟表示</a>，該公司計畫自2025年到2028年的4年內，針對英國各地的AI基礎設施及持續運作能力投入300億美元。</p> <p>此外，Nscale亦將與Nvidia DGX Cloud合作，部署4,600個Nvidia GB300 GPU。</p> <p>根據Nscale的規畫，該公司準備在英國部署多達58,640頂尖的Nvidia GPU，在全球部署Nvidia GPU的目標數量則是30萬個。</p> </div></div></div>
2025/9/17 16:12作者陳曉莉https://www.ithome.com.tw/news/171241
系統穩定性及除錯測試平臺Chaos Mesh存在重大漏洞，恐導致Kubernetes叢集被挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著愈來愈多企業組織採用雲端原生架構及容器服務，與Kubernetes有關的應用系統安全性也跟著受到重視，因為一旦這些系統存在弱點，攻擊者就有機會對Kubernetes環境上下其手，而對於企業組織帶來危害。例如，最近資安業者JFrog揭露的<a href="https://jfrog.com/blog/chaotic-deputy-critical-vulnerabilities-in-chaos-mesh-lead-to-kubernetes-cluster-takeover/">資安漏洞Chaotic Deputy</a>，就是這種型態的例子。</p> <p>這批漏洞被登記為CVE-2025-59358、CVE-2025-59360、CVE-2025-59361，以及CVE-2025-59359，存在於Kubernetes系統穩定性及除錯測試平臺Chaos Mesh，一旦遭到利用，就有機會導致Kubernetes叢集被挾持，攻擊者可輕易利用，在叢集任意節點執行程式碼。值得留意的是，部分漏洞相當危險，因為其中有3個CVSS風險評分達到9.8（滿分10分）。對此，開發團隊發布2.7.3版予以修補，若是無法即時套用新版程式，JFrog也提供緩解措施，用戶應儘速採取行動因應。</p> <p>什麼是Chaos Mesh？這是專為Kubernetes設計的開源混沌工程（Chaos Engineering）平臺，目的是在真實或接近真實的環境中模擬故障情形，幫助開發與營運團隊發現系統潛在的弱點，進而提升K8s整體穩定性與容錯能力。</p> <p>JFrog指出，攻擊者想要利用Chaotic Deputy的先決條件，就是能對Kubernetes叢集網路環境進行初始存取，該公司強調，即使攻擊者存取的是沒有特殊權限的節點，還是有機會藉由預設組態的弱點，入侵Chaos管理控制平臺的GraphQL伺服器，從而執行該平臺的原生錯誤注入功能，從而關閉節點，或是造成網路中斷；再者，攻擊者也有機會注入作業系統指令，對其他節點下手，竊取特權服務帳號的憑證（Token）。</p> <p>從漏洞的類型與危險程度來看，CVE-2025-59360、CVE-2025-59361、CVE-2025-59359都是重大層級的作業系統命令注入漏洞，風險值皆為9.8；CVE-2025-59358是缺乏身分驗證的阻斷服務（DoS）漏洞，風險值為7.5。</p> </div></div></div>
2025/9/17 13:47作者周峻佑https://www.ithome.com.tw/news/171238
MongoDB推AMP應用程式現代化平臺，以AI加速企業舊系統轉新架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mongodb.com/company/blog/product-release-announcements/amp-ai-driven-approach-modernization" target="_blank">MongoDB推出應用程式現代化平臺AMP</a>，結合人工智慧、專用工具與工程專家經驗，協助企業逐步轉換舊系統，官方指出，程式碼轉換最高可加速達10倍，專案整體平均快2至3倍</p> <p>MongoDB發表應用程式現代化平臺（Application Modernization Platform，AMP），這是一套結合代理式人工智慧、專用工具與工程專家的方法論與工具鏈，目的在協助企業逐步將老舊系統轉換為可擴充的現代服務。</p> <p>MongoDB指出，資料層往往是數位轉型過程中最大的瓶頸，AMP的設計正是針對這個問題，透過測試先行與逐步驗證，降低一次性重寫所帶來的高風險。</p> <p>AMP的核心流程有5階段，分別是分析、生成測試、轉換程式碼、搬遷資料與驗證功能。在開始轉換之前，團隊會對既有系統建立全面測試基準，確保真實捕捉現行運作行為，分析工具則負責繪製應用架構與相依關係，辨識隱含於資料庫、應用程式與中介層的商業邏輯，而這些測試與分析結果會用於規畫轉換順序與保護機制。</p> <p>AMP的人工智慧元件扮演加速角色，當分析工具分解出可轉換的邏輯單元後，人工智慧可自動生成對應程式碼並配合自動修復機制反覆嘗試，縮短人工修改時間。人工智慧同時也能產生額外的測試案例，補足人工難以覆蓋的情境，讓新舊系統行為的比對更完整。MongoDB強調，人工智慧不是替代工程實務，而是在既有流程上擴張產能，使團隊能在品質可控的情況下，加快轉換步伐。</p> <p>MongoDB提供的資料顯示，AMP在程式碼轉換等工作上可達約10倍加速，整體現代化專案平均快2至3倍。</p> <p>AMP特別適用於高度耦合、資料層相依度高的舊系統，例如以儲存程序驅動的關聯式資料庫應用，其方法論強調先建立測試基準、分解相依並逐步轉換，降低一次性改寫風險。平臺設計強調以小步驟、嚴謹驗證的方式逐步轉換，透過測試先行與持續比對新舊行為來控管風險，資料模型則會重新設計為符合MongoDB的格式與結構。</p> <p>MongoDB表示，AMP凝聚了多年客戶專案的經驗與工具化成果，結合人工智慧，讓過去需要大量人力與時間的轉換工作能在速度與規模上同步推進。</p> </div></div></div>
2025/9/17 12:33作者李建興https://www.ithome.com.tw/news/171237
新型態網釣手法FileFix聲稱臉書用戶帳號將被停用，意圖散布竊資軟體StealC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月資安研究員Mr.d0x揭露<a href="https://www.ithome.com.tw/news/169733">ClickFix網釣手法的變形版本「FileFix」</a>，此手法濫用瀏覽器呼叫檔案上傳的功能，駭客誘導使用者將惡意命令貼上Windows檔案總管的網址列並執行，使得整個過程無須離開瀏覽器。雖然濫用原本的ClickFix攻擊行動依舊橫行，但開始有駭客將FileFix用於實際攻擊。</p> <p>資安業者Acronis揭露<a href="https://www.acronis.com/en/tru/posts/filefix-in-the-wild-new-filefix-campaign-goes-beyond-poc-and-leverages-steganography/">有人積極從事FileFix網釣攻擊的現象</a>，他們看到駭客打造冒牌的臉書安全通知網頁，聲稱用戶的帳號即將遭到刪除，必須依照PDF檔案指示的方法提出申訴。然而實際上若是照做，受害者就會被引導貼上並執行惡意命令，觸發感染鏈，最終於電腦植入竊資軟體StealC。</p> <p>這波攻擊採用的手法相當複雜，首先，駭客架設複雜的網路釣魚基礎設施，建置多達16種語言的釣魚網站，並導入反分析技術及混淆手法來迴避偵測；再者，他們透過隱寫術（Steganography）手法，將第二階段的PowerShell指令碼與經加密處理的有效酬載，埋入看似無害的JPG圖片。</p> <p>相關活動在最近兩週迅速發展，Acronis觀察到多種變種及有效酬載，而且根據他們對於基礎設施的調查，駭客攻擊的目標涵蓋全球，許多國家都出現疑似的受害者，代表這類攻擊正在加速進行。</p> <p>值得留意的是，攻擊者為了欺騙使用者誤以為自己貼上事件報告的PDF檔案路徑，他們在有效酬載的結尾加入特定變數，內含大量空白及假的檔案路徑，使得檔案總管的網址列只會看到檔案路徑，看不到惡意命令。Acronis特別提及此事，還有另一原因：多數ClickFix攻擊駭客會運用「#」符號達到目的，若是以此特徵檢測，無法察覺這種FireFix攻擊。</p> <p>再者，攻擊者存放、誘使受害者下載惡意圖檔的管道，也有所變化，在這兩週的活動裡，他們從原本的惡意網域，轉移到程式碼代管平臺BitBucket，不僅以此迴避偵測，也免去必須持續註冊及管理惡意網域的麻煩。</p> </div></div></div>
2025/9/17 11:22作者周峻佑https://www.ithome.com.tw/news/171235
OpenAI正在開發年齡預測系統以替ChatGPT分級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/building-towards-age-prediction/" target="_blank">OpenAI周二（9/16）宣布</a>，正在開發一個年齡預測（Age Prediction）系統來判斷用戶是否年滿18歲，以將他們自動引導至更適合的ChatGPT體驗，且月底前就會先行釋出家長控制功能，<a href="https://www.ithome.com.tw/news/171162" target="_blank">以回應美國聯邦交易委員會（FTC）對青少年使用AI聊天機器人的擔憂</a>。</p> <p>這是因為近來出現幾起與AI聊天機器人有關的青少年自殺案例，並因家長提告而公諸於世，<a href="https://www.latimes.com/business/story/2025-08-28/openai-lawsuit" target="_blank">其中之一</a>是16歲的加州少年Adam Raine平常就有使用ChatGPT查詢課業與興趣的習慣，後來也問ChatGPT如何自殺，並在2024年4月自殺身亡，家長指控OpenAI的設計選擇將黏著度置於安全之上才造成了悲劇。</p> <p>OpenAI共同創辦人暨執行長<a href="https://openai.com/index/teen-safety-freedom-and-privacy/" target="_blank">Sam Altman本周解釋了ChatGPT</a>在青少年安全、自由及隱私上的政策。指出該平臺會儘可能地保障用戶隱私，並利用自動化系統來監控潛在的嚴重濫用，唯獨對於某人生命威脅、傷害他人的計畫或潛在大規模網路安全事件等傷害，可能會升級至人工審查。</p> <p>而在自由上，OpenAI期待ChatGPT得以在不傷害或破壞他人自由的前提下儘量擴展成年人的自由，例如模型預設為禁止提供自殺說明，但若是成年人要求模型協助撰寫一個描述自殺的虛構故事，那麼ChatGPT即會遵照指示。</p> <p>至於保護青少年的優先順序則是大於隱私與自由。ChatGPT適用於13歲以上的使用者，而今正在建立一個年齡預測系統，以根據人們使用ChatGPT的方式來估計年齡，提供18歲以下用戶不同的體驗，且會在有疑問時要求用戶提供身分證件。</p> <p>當OpenAI確認用戶未滿18歲時，即會將他們引導至一個與其年齡相當ChatGPT體驗。此一青少年版的ChatGPT將不會與使用者調情，預設封鎖了色情內容，且即便在創意寫作的環境中亦不會參與有關自殺的討論，還會在察覺到青少年有自殺意圖時，嘗試聯繫其家長或執法機構。</p> <p>OpenAI尚未公布年齡預測系統的上線時間，但說家長控制功能會在本月底前推出，只要透過電子郵件邀請，就能連結家長與青少年的帳號；家長還能協助ChatGPT根據青少年專屬的行為規則來回應青少年；由家長負責管理所要停用的功能，包括記憶體與聊天紀錄；在系統檢測到青少年處於嚴重痛苦的情況下接到通知；以及設定停用ChatGPT的時間。</p> </div></div></div>
2025/9/17 11:44作者陳曉莉https://www.ithome.com.tw/news/171236
Rust編譯效能調查出爐，近半數停用者點名編譯時間過久
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust官方首次進行<a href="https://blog.rust-lang.org/2025/09/10/rust-compiler-performance-survey-2025-results/">編譯器效能調查</a>，整體滿意度平均為6分，最常見評分為7分，但開發者體驗差異明顯，在已不再使用Rust的受訪者中，約45％指出編譯時間過久是停用的重要原因之一。官方也針對多數痛點提出短中長期的改善方向。</p> <p>調查結果顯示，增量重建是最常見的抱怨來源。受訪者在被要求挑出經手編譯時間最吃力的專案時，有55％抱怨，程式碼小幅修改後需要等待超過10秒才能重建。</p> <p>Rust官方解釋，增量重建延遲主要有3個原因，分別是工作空間內改動會觸發相依Crate重建，導致不必要的編譯，第2是連結階段無法增量化，每次都需從頭開始，第3則是單一Crate的增量引擎仍有最佳化空間，例如derive程式碼產生器的展開尚未快取。官方預計在下一個版本，就會把Linux上最常用的x86_64-unknown-linux-gnu目標預設連結器切換為LLD，以縮短連結時間。</p> <p>在型別檢查與IDE效能上，調查顯示工具協作仍有落差，約6成開發者習慣用Cargo指令檢查或建置，其中cargo check最常被使用，但由於與cargo build不共享快取，常導致重複編譯，增加額外等待時間。雖然大多數人仰賴編輯器內的即時註解來快速查看錯誤，但仍有約3成受訪者反映延遲過久影響開發流程，另有超過35％指出IDE與Cargo會互相阻塞，造成體驗中斷。</p> <p>Rust Analyzer已透過PGO最佳化提升約15％至20％效能，藉以改善這些問題，並持續改進快取與整合新版trait解析器（Solver）。官方同時建議，若將Rust Analyzer與Cargo設定使用不同目錄，可減少相互等待的情況，雖然會增加磁碟用量。</p> <p>調查顯示除錯資訊的生成也會拖慢建置速度，要是僅保留行級資訊，效能可提升達2至3成，但不同開發者對除錯需求差異大。Cargo團隊因此評估調整預設層級，並規畫提供更適合除錯的檔案集，以兼顧效能與開發便利。</p> <p>在實務經驗中，受訪者最常提及的改善方式包括減少相依函式庫、拆分大型Crate，以及改用更快的連結器，如LLD或mold。官方則回應，這些措施屬於折衷方案，成效雖佳，但可能帶來維護或效能上的額外成本，因此未來將在Cargo Book中提供官方建置效能最佳化指南，助開發者理解可行選項與其取捨。</p> </div></div></div>
2025/9/17 11:05作者李建興https://www.ithome.com.tw/news/171231
勒索軟體組織Killsec宣稱入侵巴西醫療軟體供應商，波及多家醫療機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體組織KillSec聲稱入侵巴西醫療軟體商MedicSolution，外洩逾34 GB病歷與檢驗資料，資安公司Resecurity<a href="https://www.resecurity.com/blog/article/killsec-ransomware-is-attacking-healthcare-institutions-in-brazil">研判屬供應鏈攻擊</a>，恐波及診所與實驗室，涉及病患隱私與法遵風險</p> <p>勒索軟體組織Killsec宣稱成功入侵巴西醫療管理軟體供應商MedicSolution，並威脅公開外洩資料。根據資安公司Resecurity的觀察，這起事件屬於典型的供應鏈攻擊案例，影響層面恐已超出單一供應商，進一步波及其所服務的診所與醫療檢驗機構。</p> <p>Killsec取得的資料並非透過複雜滲透，而是源自配置錯誤的AWS S3雲端儲存空間。研究人員發現，相關儲存桶在事件發生時仍可被遠端羅列出目錄與下載，顯示存取控制與加密管理不足。這類低級錯誤，使攻擊者得以在未直接入侵內部系統的情況下，取得大量敏感資料。</p> <p>研究人員在外部資料洩漏平臺上發現，多家巴西本地醫療單位的文件出現在疑似外洩資料中，包括Vita Exame、Labclinic及Laboratório Alvaro。據估計，外洩總量超過34 GB，涉及94,818個檔案，內容包含醫療評估報告、實驗室檢驗結果、X光影像、未遮蔽的病患照片，甚至有涉及未成年人的醫療紀錄。</p> <p>Resecurity研究人員聯繫部分患者，對方表示在聯絡當下尚未獲知洩漏事件，顯示相關通報流程可能未即時啟動。Resecurity已將調查結果提交給巴西電腦緊急應變小組（CERT.br）與巴西國家資料保護局（ANPD）。</p> <p>Killsec近期的行動並非僅限於巴西，在事件發生前幾日，該組織聲稱也攻擊了哥倫比亞、秘魯與美國的醫療單位，包括Archer Health、Suiza Lab、GoTelemedicina與eMedicoERP。一個月前，他們也曾公開秘魯醫療平臺Doctocliq的資料，該平臺服務超過3,500名醫師，遍及20多個國家。Killsec過往也曾將矛頭指向政府單位與其他產業，然而其中部分聲稱的入侵事件真偽難辨。</p> </div></div></div>
2025/9/17 08:15作者李建興https://www.ithome.com.tw/news/171229
Martech新創漸強實驗室以4策略擁抱AI，結合雲端及AI發表DAAC數據分析服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼MAAC、CAAC等行銷、客服、銷售工具服務之後，Martech新創漸強實驗室今天(9/16)發表結合AI數據分析的DAAC，讓企業可透過和AI對話的方式，檢視動態的銷售數據，提供戰情室，協助針對特定的客戶擬定行銷計畫方案。針對AI工具服務導入，漸強實驗室也提供AI顧問服務。</p> <p>漸強實驗室共同創辦人暨執行長薛覲表示，AI帶來搜尋行為、購物行為、工作行為3個行為上的改變。以搜尋行為為例，過去消費者利用搜尋引擎研究產品，愈來愈多開始利用AI搜尋相關資訊，目前AI搜尋約占有1成搜尋；購物行為改變則是利用AI對感興趣的商品進行研究；至於工作方式改變則是導入AI，重新設計工作流程。</p> <p>鑑於AI愈來愈普及，薛覲表示，漸強積極擁抱AI，目前該公司在臺灣、新加坡、日本、泰國約有100名員工，內部正推動4大AI First策略，包括使用AI提升個人效率、用AI做流程改造、用AI開發產品，以及開發AI產品。</p> <p>首先在使用AI提升個人效率方面，例如員工個人運用ChatGPT、Gemini產生文案來提高效率；其次的AI做流程改造方面，該公司運用Google Agentspace，結合傳統搜尋、對話式AI、AI代理，從電子郵件、PDF文件等不同的內容，回答內部的各種問題，過去員工要自己找答案或透過內部的Q&A問答機制獲得解答，「我們希望未來員工的問題可以先問AI」，薛覲說。</p> <p>另外，漸強也用AI開發產品策略方面，薛覲指出，目前公司內部90%的Code由AI寫，或是由工程師與AI協作完成，預估開發速度提升46%，確實幫工程師提高效率，呼應先前科技業者運用AI提升開發效率的說法。</p> <p>最後是開發AI產品策略上，漸強原本就推出的Martech行銷及商業溝通工具MAAC，以及整合銷售與客服的CAAC，在雲端及AI愈來愈成熟之下，MAAC及CAAC隨著更新添加AI功能，漸強提出AI Communication Cloud，例如MAAC定位為自動化的AI行銷平臺，可運用生成式AI，自動生成具有品牌特色的文案，而CAAC則以AI客服協助解決客戶進線客服約7到8成的重覆性問題，例如常見的進線預約服務，來減輕真人客服的工作負擔。</p> <p>此外，結合Cloud及AI技術的數據服務DAAC，主要可提供對話式AI、即時情報、戰情儀表板等功能，不同於傳統上使用BI報表呈現商業智慧，報表呈現的資訊可能有落差，DAAC強調可以對話的方式，請求AI提出即時的銷售數據表現，或是提出特定客戶或客群的數據表現。</p> <p>漸強實驗室表示，過去行銷人員的資料分析需求，需要資料分析的專門人員協助，需要等待較長的時間，最後還可能因為資料分析的需求描述不夠明確，一來一往花費更多時間才能取得分析結果。</p> <p>而透過DAAC可串接分析廣告、電商、POS、顧客等的數據，讓使用者與AI對話，要求提供上述數據的即時分析，或是管理高層要求AI提供報表，或是銷售數據的戰情室，檢視不同產品的銷售數據。DAAC的收費方式採取訂閱制度，依客戶的需求分級收費。</p> <p>除了MAAC、CAAC及DAAC三大服務，漸強也整合自身內部經驗，提供AI顧問服務，包括AI導入、工作流程改造等。</p> </div></div></div>
2025/9/16 18:54作者蘇文彬https://www.ithome.com.tw/news/171230
Anthropic公布Claude使用調查，撰寫程式碼占了36%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創Anthropic自今年以來，每季都會公布與旗下聊天機器人Claude有關的經濟指數報告《Anthropic Economic Index》，<a href="https://www.anthropic.com/research/anthropic-economic-index-september-2025-report" target="_blank">在周二（9/16）發表的第三份報告中</a>，指出利用Claude撰寫程式碼依然占了總樣本數的主導地位，達36%，而且自動化（Automation）的需求（49.1%）已超過協作（Augmentation，47%）。Anthropic的調查結果跟OpenAI很不同，因為後者發現利用ChatGPT來撰寫程式碼的比例只有4.2%。</p> <p>雙方調查的差別主要在於，OpenAI調查的是免費及付費的消費者用戶，並未涉及企業，而Anthropic則是同時調查個人及企業用戶。</p> <p>Anthropic說，從歷史來看，新技術通常需要經歷數十年才能被廣泛使用，例如在城市電氣化之後，電力是在30年後才到達農村；或者是當個人電腦於1981年進入早期採用後，經過20年才普及；就算是採用算快速的網路，也花了5年的時間才達到AI只用了2年便創造的採用率。今年美國就有40%的員工在工作上採用AI，兩年前時該比例只有20%。</p> <p>Anthropic的調查涵蓋了全球市場，發現美國使用Claude的次數遠遠超過其它國家，占了21.6%，第二名是印度的7.2%，之後的巴西、日本與南韓都各占3.7%。若計算人口規模，那麼Claude採用率最高的前五名國家則是以色列、新加坡、澳洲、紐西蘭與南韓，美國則排名第六。</p> <p>使用者最常利用Claude來執行的任務類別為程式碼，占了36%；教育及教學占了12.4%；自然及社會科學占了7.2%；商業與財務分析占了3%；管理也占3%；藝術及娛樂占了8%。</p> <p>此外，在與使用者的互動方式中，今年初還是由協作領先，亦即使用者會與Claude多次來回討論，到了第三季，自動化即占了49.1%，超越協作的47%，意謂著使用者愈來愈信任AI，把任務直接交給AI完成。</p> <p>《Anthropic Economic Index》中還有一個有趣的數據，是能夠呈現每一個市場或區域的Claude使用特性，例如夏威夷用戶最常用它來規畫旅行，麻州用戶最常用它來進行科學研究，印度用戶最常它來建立Web應用程式，而且巴西人用Claude來翻譯或學習語言的次數是全球平均的6倍。Anthropic已建立<a href="https://www.anthropic.com/economic-index#us-usage" target="_blank">Anthropic Economic Index網站</a>讓人們追蹤不同地方的Claude使用狀況，目前僅支援美國市場，很快便會延伸至全球市場。</p> </div></div></div>
2025/9/16 16:24作者陳曉莉https://www.ithome.com.tw/news/171226
Google釋出VaultGemma，全球最大差分隱私語言模型開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出<a href="https://research.google/blog/vaultgemma-the-worlds-most-capable-differentially-private-llm/">VaultGemma</a>，這是一個目前最大擁有10億參數，從頭以差分隱私方法訓練的語言模型。該模型的特色在於提供序列層級的隱私保護，實測顯示，在以50 Token前綴檢測背誦時，未觀察到模型複製訓練樣本。Google同步將權重釋出至Hugging Face與Kaggle，方便研究人員與開發者下載與實驗。</p> <p>Google在推出VaultGemma的同時，同時發表了一項新的研究成果，稱為差分隱私語言模型的擴展定律。研究指出，當在訓練大型語言模型時引入差分隱私，傳統的規模越大、表現越好的定律會受到擾動。</p> <p>研究團隊以模型大小、迭代次數與雜訊批次比（Noise-batch Ratio）作為主要變數，建構一套能準確預測訓練損失的模型。實驗結果顯示，要在差分隱私的條件下維持學習穩定度，應採用較小的模型，並搭配大幅放大的批次與適當的迭代次數，而該方法有別於一般非差分隱私訓練模型的最佳化配置。</p> <p>在訓練過程中，Google團隊必須解決差分隱私SGD（DP-SGD）的實務挑戰。傳統的固定批次方式無法提供最佳的隱私保護，因此研究人員改採Poisson取樣，讓每次抽出的批次更隨機，不過，這種方法會導致批次大小不一致，資料處理順序也變得不可預測，增加了訓練的複雜度。</p> <p>由於要兼顧效率與隱私，研究團隊引入先前提出的Scalable DP-SGD技術，透過在批次中加入填充或刪減的方式，將不同大小的批次轉換成固定大小，確保隱私會計（Privacy Accounting）仍然嚴謹，並讓訓練流程保持穩定。除此之外，團隊還將預訓練序列長度設為1,024 Token，以便能使用更大的批次規模，並延續Gemma 2所採用的資料混合方式。</p> <p>效能評估顯示，VaultGemma在HellaSwag、BoolQ、PIQA、SocialIQA、TriviaQA與ARC等標準基準測試上的表現，低於同樣規模的非DP版本Gemma 3 1B（10億），但與5年前的GPT-2 1.5B（15億）相當，也就是說，當前差分隱私訓練在效能上仍存在落差，卻也展現了模型在問答、推理、閱讀理解等基礎任務上的可用性。</p> <p>在隱私單位的選擇上，VaultGemma採序列層級的差分隱私，對應到異質且長度不一的文件組合。官方也提醒，在一些應用情境中，當資料能直接對應至單一使用者，則以使用者層級的差分隱私會更為合適。</p> <p>VaultGemma的價值不在於與最新非差分隱私模型競爭，而是提供一個有理論支持、實測驗證且公開可用的基礎，讓開發者在隱私保護與效能之間有更明確的參考點。Google此次釋出的模型卡與技術報告，詳細列出隱私會計方式、訓練架構與效能基準，協助研究人員理解當前隱私與效能的權衡。</p> </div></div></div>
2025/9/16 16:40作者李建興https://www.ithome.com.tw/news/171225
【資安日報】9月16日，ShinyHunters聲稱駭入擁有多個時尚品牌的公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近半年精品業者遭遇網路攻擊導致資料外洩的情況頻傳，包括Cartier、迪奧（Christian Dior Couture）、Pandora、香奈兒（Chanel），其中部分傳出是駭客組織<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>（<a href="https://www.ithome.com.tw/tags/unc6040">UNC6040</a>）所為，如今又有精品業者受害，這次是旗下有Gucci、Balenciaga、YSL等品牌的Kering，但是否如同最近頻傳資安事故，攻擊者從該公司的<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>系統竊得資料，有待進一步釐清。</p> <p>昨天我們報導<a href="https://www.ithome.com.tw/news/171177">綁架1萬多臺物聯網裝置及路由器</a>的大規模DDoS攻擊行動，今天又有資安業者公布新的發現，他們看到綁架576萬臺裝置的大型DDoS殭屍網路，駭客半年內已策畫至少3次攻擊行動，特別的是，在最近一次攻擊當中，他們採取兩階段調度的做法，相當罕見。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171203"><strong style="font-size: 22px;">精品業者Gucci、YSL、Balenciaga母公司證實遭駭，ShinyHunters宣稱犯案</strong></a></p> <p>擁有Gucci、Balenciaga、YSL等精品品牌的法國零售業巨人Kering證實遭駭，犯案者可能是前科累累的ShinyHunters（UNC6040）。這項消息的傳出，最早是BBC首先報導，ShinyHunters日前在駭客論壇宣稱駭入Kering，並竊得740萬筆電子郵件。</p> <p>Kering向媒體證實遭駭導致資料外洩，該公司者在6月間發現系統遭未經授權的第三方人士短暫存取，並存取了部分業務單位的客戶資料，外流的資料包含姓名、電子郵件、電話及住家地址。</p> <p>這家法國精品業者強調，沒有信用卡、銀行帳號、身分證等財務資訊被竊，該公司也未說明外洩資料的數量，資料新舊，或是攻擊事件是否為勒索軟體或是用戶憑證外洩所致。</p> <p><a href="https://www.ithome.com.tw/news/171200"><strong style="font-size: 22px;">大型L7的DDoS殭屍網路綁架576萬臺物聯網裝置，攻擊政府機關</strong></a></p> <p>資安公司Qrator Labs在9月1日，偵測並成功緩解最大規模網路應用層（L7）DDoS攻擊，目標為政府機構，參與來源累計達576萬個IP位址。這場攻擊採兩階段調度，先投入約280萬個IP位址，約1小時後再增加約300萬個IP位址，顯示其指揮與擴編能力成熟，能在短時間內提升壓力與覆蓋面。</p> <p>這支殭屍網路在半年3度出手且持續擴張，受害面向由線上服務延伸至政府領域。研究人員指出，今年3月26日，殭屍網路首次現形，鎖定線上博弈業者，當時約有133萬個IP位址參與，5月16日，再度攻擊政府部門，規模已擴至約460萬個IP位址，9月1日第3次針對政府部門行動，這次累計動員576萬個IP位址。</p> <p>9月這場應用層L7 DDoS攻擊的地理分布，惡意IP位址主要集中在巴西、越南、美國、印度與阿根廷。與前兩次相比，越南與印度的參與IP位址數量成長幅度明顯，分別增加83％與202％，顯示該殭屍網路在不同區域的滲透速度不一，且可能同時動員家用網路、資料中心與開放代理等多類型節點。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=174216&SPOKE_DATE=20250912&COMPANY_ID=3709"><strong style="font-size: 22px;">捷元B2B採購平臺出現異常下單，母公司鑫聯發資安重訊證實</strong></a></p> <p>上市櫃公司針對網站遭到攻擊發布資安重訊的情況，最常見的是遭遇DDoS攻擊而面臨運作受到影響，如今有一起重訊與電商網站出現異常有關，這樣的事故相當罕見。</p> <p>異業控股業者鑫聯大投控於9月12日傍晚發布資安重訊，指出旗下子公司捷元電腦的B2B採購平臺出現異常下單的現象，該公司察覺後啟動應變機制，並配合公司內外技術專家清查受影響的範圍。</p> <p>而對於這起事故可能帶來的影響，該公司表示根據初步評估，目前對捷元電腦的營運無重大影響。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213035&SPOKE_DATE=20250911&COMPANY_ID=4162"><strong style="font-size: 22px;">智擎發布資安重訊，網站代管業者遭受DDoS攻擊</strong></a></p> <p></p> <p>上市櫃公司因網站遭遇DDoS攻擊的情況已有數起，但如今發生主機代管業者遭遇相關攻擊而受到影響的事故。</p> <p>智擎生技製藥指出，他們在9月11日偵測到代管公司網站主機的業者遭受攻擊的情況，該公司隨即啟動相關防禦機制及復原作業。而對於可能造成的影響，根據智擎的初步評估，對公司營運無影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/great-firewall-of-china-data-published-largest-leak/">中國防火牆相關資料傳出資料外洩，近600 GB原始碼、內部通訊、事件記錄</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/mustang-panda-deploys-snakedisk-usb.html">中國駭客Mustang Panda鎖定泰國而來，散布USB蠕蟲SnakeDisk</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/hiddengh0st-winos-and-kkrat-exploit-seo.html">中國駭客透過SEO、GitHub散布惡意程式HiddenGh0st、Winos、kkRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-confirms-fraudulent-account-created-in-law-enforcement-portal/">Google的執法請求系統遭駭，駭客設置用於詐欺的帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ai-powered-villager-pen-testing-tool.html">AI滲透測試工具Villager在PyPI下載急劇增加，恐被用於網路犯罪</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171201"><strong style="font-size: 22px;">國際半導體展資安合作再升級，SEMI E187認驗證制度正式啟動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3s0ojtmy_bbl.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/3s0ojtmy_bbl.jpg" style="width: 300px; float: right;" /></a></p> <p>由臺灣主導的半導體設備資安標準SEMI E187，自2022年正式發布後，該標準的落地與推廣進展持續受關注，繼兩年前完成SEMI E187檢核清單制定，推動合格性驗證（VoC），如今該標準在認驗證制度建立上，有了更進一步的拓展。</p> <p>在今年SEMICON Taiwan 2025的半導體資安趨勢高峰論壇上，舉辦了SEMI E187認驗證制度啟動儀式，由數位發展部數位產業署署長林俊秀與SEMI全球行銷長暨臺灣區總裁曹世綸，代表雙方簽署合作備忘錄，共同宣示半導體產業資安認驗證制度的推動，已邁出關鍵一步，將為半導體供應鏈韌性強化與接軌國際奠定基礎。</p> <p><a href="https://www.ithome.com.tw/news/171182"><strong style="font-size: 22px;">微軟警告Windows 10將在一個月後終止技術支援</strong></a></p> <p>微軟上周發出通知，提醒Windows 10企業及消費者版本將在30日後，即2025年10月14日來到技術支援終點。</p> <p>將在下個月14日失去技術支援的版本包括：Windows 10 22H2 Home、Pro、Enterprise、Education、IoT Enterprise版本，以及Windows 10 2015 LTSB及Windows 10 IoT Enterprise LTSB 2015。10月份的每月安全更新（Patch Tuesday）將是這些版本接收的最後一次更新。此後，所有執行這些作業系統的裝置，都不會再獲得包含最新威脅防護的安全更新以及預覽版更新。</p> <p>由於Windows 10用戶市占仍然相當大，微軟去年首度對消費者PC公布付費延伸安全更新（Extended Security Update，ESU）。之前微軟僅對企業用戶提供ESU。今年6月微軟更進一步新增2種ESU方案，一是以Microsoft Rewards 1000點兌換ESU。二是使用Windows Backup功能將Windows設定同步到雲端，使用二種方法皆可不需支付其他費用換取ESU。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171199"><strong>【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171149"><strong>【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171140"><strong>【9月11日】微軟修補近滿分資安漏洞</strong></a></p> </div></div></div>
2025/9/16 14:40作者周峻佑https://www.ithome.com.tw/news/171216
蘋果AI全面升級，Apple Intelligence統一部署於五大平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/tw/newsroom/2025/09/new-versions-of-apples-software-platforms-are-now-available/" target="_blank">蘋果周一（9/15）同步更新了iOS、iPadOS、macOS、watchOS、tvOS與visionOS等作業系統</a>，首次在所有平臺上採用一致性的Liquid Glass介面設計，<a href="https://www.apple.com/tw/newsroom/2025/09/new-apple-intelligence-features-are-available-today/" target="_blank">也全面整合了最新的Apple Intelligence智慧功能</a>，大多數簡單的AI任務可直接於裝置上完成，複雜請求則透過Private Cloud Compute私有雲處理，強調隱私優先。</p> <p>其中，Liquid Glass為蘋果新的介面設計，具備半透明效果，可反射與折射周遭環境，還能動態轉換，以更清楚的方式呈現內容，被應用在蘋果與第三方程式的控制選項、導航、App圖示及小工具上。新設計已部署於iOS、iPadOS、macOS、watchOS及tvOS等除了visionOS之外的平臺。</p> <p>Apple Intelligence則被整合在除了tvOS以外的其它平臺。其核心功能包括即時翻譯（Live Translation）、影像智慧（Visual Intelligence)、Genmoji及影像樂園（Image Playground）、健身工具Workout Buddy，以及智慧捷徑（Shortcuts）等，而且將新增對繁體中文的支援。</p> <p>Apple Intelligence原本支援英、法、德、義大利、葡萄牙、西班牙、日、韓及簡體中文等語言，這次宣布將在年底前新增對丹麥、荷蘭、挪威、瑞典、土耳其、越南與繁體中文等新語言的支援。</p> <p>全新的即時翻譯功能是利用裝置上內建的LLM來分析語音與文字內容，可支援各種情境，包括電話交談、FaceTime、Messages或AirPods等。例如在Messages中，使用者輸入回覆時，該功能可自動將訊息翻譯成對方的語言並傳送；在FaceTime時，使用者可一邊聽見親友的聲音，並同步看到即時翻譯的文字；講電話的時候則會聽到即時翻譯的語音。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20intelligence%20translate.png" style="width: 550px;" /></p> <p>影像智慧則能理解螢幕內容，可用來搜尋相似圖片，詢問ChatGPT，摘要或翻譯文字，或是一鍵加入行事曆。Genmoji及影像樂園便是用來生成全新的表情符號或是風格化圖像。Workout Buddy可用來分析使用者的體能訓練資料及健身紀錄，同時根據心率、配速、距離、活動紀錄或個人健身里程碑等資料，於運動過程中提供個人化的語音激勵內容；不過，它初期只有英文。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20intelligence-%E5%BD%B1%E5%83%8F%E6%99%BA%E6%85%A7.png" style="width: 600px;" /></p> <p>Shortcuts則是用來把多個操作流程串成一鍵執行的流程腳本，支援iOS、iPadOS與macOS。例如製作一個「Hold That Thought」的捷徑，它會截圖螢幕，儲存剪貼簿內容，匯出未來一小時的行事曆，以及將上述整理成一個提醒事項，之後在使用者臨時被打擾時就能執行它，以便事後可立即接續。也能設計成尋找家中物品或打包行李的助手。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20intelligence-shortcuts.png" style="width: 600px;" /></p> <p>值得注意的是，蘋果開放第三方開發者存取Apple Intelligence在裝置上所使用的大型語言模型，以保護使用者隱私並降低開發者門檻。</p> <p>除了Apple Intelligence與Liquid Glass之外，各個平臺也有不同的改善，例如iOS 26提供了陌生來電過濾（Call Screening）功能，在使用者撥打客服電話時可以代為等候的Hold Assist，也於Apple Music新增了歌詞翻譯與發音功能；日記（Journal）功能登上了iPadOS 26；以及macOS Tahoe強化了與iPhone的整合。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/9/16 14:25作者陳曉莉https://www.ithome.com.tw/news/171213
Apple今年四度發出威脅通知，法國電腦緊急應變團隊籲受害者優先保全證據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國電腦緊急應變團隊（CERT-FR）<a href="https://cert.ssi.gouv.fr/cti/CERTFR-2025-CTI-010/">發布威脅與事件報告</a>，彙整Apple向特定高風險人士發出的威脅通知，並提醒收件者第一時間應保存證據，避免自行操作裝置，以利後續調查，報告指出，2025年已有4波通知，分別出現在3月5日、4月29日、6月25日及9月3日。</p> <p>目前清單僅限CERT-FR掌握的案例，並非完整統計，受攻擊目標多因職務或身分而受到關注的人士，包括記者、律師、維權人士、政治人物、政府高階官員及戰略產業決策者。</p> <p>根據CERT-FR說明，收到Apple威脅通知意味著至少有一臺綁定該iCloud帳號的裝置曾遭針對性攻擊，並可能已經受到影響。通知通常透過iMessage與電子郵件送達，寄件地址為<a href="mailto:[email protected]">[email protected]</a>或<a href="mailto:[email protected]">[email protected]</a>，用戶在登入iCloud時也會看到警示橫幅。從攻擊發生到收到通知可能相隔數月，時間長短依個案而異，CERT-FR提醒，使用者一旦接獲通知，務必立即採取正確步驟。</p> <p>CERT-FR同時強調，收到通知後的首要行動是聯繫權責單位，並妥善保留通知郵件與相關資訊。應避免自行重置、刪除應用程式、更新系統或重新開機，這些操作可能破壞數位鑑識所需的線索，導致調查受阻。對新聞、法律或公共事務領域人士而言，確保證據完整性尤其重要。</p> <p>攻擊技術方面，這些事件多利用零時差漏洞，甚至是零點擊攻擊手法，常見間諜軟體家族包括Pegasus、Predator、Graphite與Triangulation。由於這類軟體高度隱蔽且難以偵測，用戶在處理時需要仰賴專業支援。先聯繫權責單位並妥善保留通知郵件與相關資訊，完成必要的鑑識資料保存或取得專業指示後，再將系統更新至最新版本並啟用自動更新。</p> <p>對高風險族群而言，啟用<a href="https://support.apple.com/en-us/105120">封閉模式（Lockdown Mode）</a>可進一步縮減攻擊面，同時養成每日重新開機的習慣，有助降低部分惡意常駐程式的持續性。此外，將個人與工作用途區隔，最好採用不同裝置，可避免資訊混用帶來的額外風險。</p> <p>在組織層面，CERT-FR建議提供專用且受管控的工作裝置，並建立對威脅通知郵件的辨識與應對流程，特別關注上述兩個Apple官方寄件地址。針對高敏感性會議，必要時應要求與會者將電子裝置留置會議室外，日常操作仍應遵循資訊安全基本原則，不開啟來源不明的連結或附件，使用強而獨特的裝置密碼，開啟雙因素驗證，並避免安裝來源不明的應用程式。</p> </div></div></div>
2025/9/16 15:10作者李建興https://www.ithome.com.tw/news/171214
OpenAI公布ChatGPT使用調查：女性用戶過半，七成與工作無關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/how-people-are-using-chatgpt/" target="_blank">哈佛大學經濟學家David Deming與OpenAI經濟研究團隊周一（9/15）發布《How People Use ChatGPT》研究</a>，調查ChatGPT免費與付費消費者帳號的使用行為，發現消費者主要用它來寫作，占了40%，其次是指引的29%，而撰寫程式只占了4.2%。此外，ChatGPT上線近3年來，性別差距幾近消失，估計有52%的用戶為女性。<a href="https://www.nber.org/system/files/working_papers/w34255/w34255.pdf" target="_blank">該報告已以美國國家經濟研究局（NBER）工作論文的形式發表</a>。</p> <p>截至今年7月，ChatGPT的每周活躍用戶已超過7億人，約占全球成年人口的10%，每日訊息量超過26億則。此一調查分析了2024年5月至2025年7月間，來自ChatGPT免費及付費消費者帳號的逾110萬筆對話，目的在於釐清ChatGPT的實際使用方式及使用者輪廓。</p> <p>調查發現使用者主要利用ChatGPT來寫作，包括寫信、翻譯或摘要等，占了40%；居次的是實用指引，包括教學、如何執行或是協助創意發想等，占了29%；還有24%以ChatGPT來查詢人物、時事、產品或食譜。</p> <p>若依消費者的使用意圖，有49%是用來詢問以支援資訊蒐集或決策，40%被歸類為實作，請AI直接產出結果，還有11%是單純想向AI表達想法或情緒。</p> <p>在這期間非工作用途的占比從53%成長至73%；女性用戶從37%增加到52%；46%的訊息來自18~25歲族群；中低收入國家成長最快。</p> </div></div></div>
2025/9/16 15:19作者陳曉莉https://www.ithome.com.tw/news/171221
GPT-5-Codex出爐，變身為更完整的開發代理系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-upgrades-to-codex/" target="_blank">OpenAI於9月15日發表了GPT-5-Codex</a>，它是基於GPT-5的程式開發工具Codex的最新版本。這一代的Codex已經強化了環境整合與持續脈絡追蹤能力，並具備較強的代理人行為，被視為從單純模型向具備代理功能系統（agentic system）的一大轉變，OpenAI稱它是「更可靠的隊友」。</p> <p>GPT-5-Codex的重大升級之一是強化了環境整合能力：它現在能在命令列介面（CLI）、整合開發環境（IDE）、雲端／網頁端、GitHub、甚至ChatGPT app等地方使用，且工作進度與專案脈絡可以在這些環境中無縫保留。</p> <p>具體而言，開發者可以先在CLI啟動一個重構任務，之後轉到VS Code或IDE擴充功能中預覽或修改，再切換到雲端／網頁版本進行較複雜的結構調整，整個過程中GPT-5-Codex能維持對專案狀態與文件內容的理解。</p> <p>GPT-5-Codex也能在不同環境中理解並利用特有的脈絡資訊。例如，在IDE中，它會參考開啟的檔案與被選取的程式碼片段；在雲端環境中，能掃描專案結構，了解依賴關係，執行測試，並在程式庫中尋找錯誤。</p> <p>此外，GPT-5-Codex表現出較強的主動執行與監控開發任務能力。當任務簡單時，它回應快速；當任務複雜、重構範圍大或涉及多文件時，它會投入更多思考。在測試中，有超過七小時連續自主工作、修正測試失敗、最終成功交付實作的案例。</p> <p>GPT-5-Codex在程式碼庫上也能主動瀏覽、分析相依性、執行測試來驗證程式碼正確性，並在發現潛在問題時提供具體修改建議。</p> <p>在性能與準確度的量化比較上，GPT-5-Codex的重構任務準確率為51.3%，高於GPT-5的33.9%；其用來評估真實軟體開發任務的SWE-bench Verified成績為74.5%，高過GPT-5的72.8%；在簡單任務上，GPT-5-Codex使用的Token比GPT-5少了93.7%，而在最複雜的任務上，GPT-5-Codex思考的時間則是GPT-5的兩倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-GPT%E2%80%915-Codex-benchmark.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> </div></div></div>
2025/9/16 11:49作者陳曉莉https://www.ithome.com.tw/news/171209
VS Code Python與Pylance擴充9月更新，著重AI摘要與環境管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在VS Code<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-september-2025-release/">釋出</a>最新的Python、Pylance與Jupyter擴充套件9月更新，主軸在於程式碼理解與環境管理。這波更新透過人工智慧摘要、程式碼片段執行工具與Python Environments功能，嘗試改善開發者在日常編輯與測試中的體驗。</p> <p>在Pylance擴充套件預覽版中，開發者可透過GitHub Copilot啟用相關設定，在游標懸停在未撰寫說明的程式元素（Symbol）時，自動取得人工智慧生成的摘要。該實驗性功能目前僅提供給GitHub Copilot Pro、Pro+與Enterprise用戶，目標是降低開發者進入陌生專案時的理解門檻，微軟也預告將來會推送至穩定版本。</p> <p>另一項Pylance新功能人工智慧工具是Run Code Snippets，讓Copilot可以直接在記憶體中執行Python程式碼片段，無需建立暫存檔或依賴python -c命令，其會自動使用工作區配置的直譯器，並讓標準輸出（stdout）與錯誤輸出（stderr）照著實際發生的順序顯示，適合在VS Code Chat或代理模式下測試小段程式碼、匯入模組或驗證表達式，藉此縮短開發者從嘗試到驗證的迴圈。</p> <p>在新版Python擴充套件部分， Environments功能進一步提升相容性與診斷能力，開發者可於設定檔啟用該擴充功能。這次調整重點包括改善Conda環境啟用與記錄行為，並修正複製直譯器路徑會返回conda run包裝命令的問題，現在能正確指向實際的Python執行檔。同時，擴充已能偵測並列出Pipenv環境，讓多種環境工具能在統一的介面下管理，減少跨專案切換時的摩擦。</p> <p>針對疑難排解，Python擴充新增一個在終端執行的環境診斷指令，讓開發者能手動觸發後端偵測作業，並觀察輸出與日誌，用來快速找出缺少可執行檔或預設環境失效等問題。此外，日常的環境刷新、直譯器路徑解析與.env檔案注入邏輯也經過調整，提升透明度與可控性。</p> <p>至於Jupyter擴充套件，本次僅同步版本更新，未有新的主要功能。</p> </div></div></div>
2025/9/16 12:10作者李建興https://www.ithome.com.tw/news/171208
Exchange Server 2016/2019、Office 2016/2019也要在10/14終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在2025年10月14日終止支援的不只有Windows 10，用戶眾多的Exchange Server 2016/2019和Office 2016/2019也會在隔天後無法再獲得安全更新。</p> <p><a href="https://learn.microsoft.com/en-us/lifecycle/end-of-support/end-of-support-2025#products-reaching-end-of-support" target="_blank">微軟於周末發布提醒</a>，Exchange Server 2016和2019將一個月後的10月14日來到支援生命周期終點。如同在Windows 10的更新提醒所說，微軟再次警告，隔日起不會再獲得功能與品質更新、安全更新、時區更新。</p> <p>微軟說屆時二項產品雖然還能繼續運作，但可能面臨安全風險，強烈建議用戶及早轉移到Exchange Online/Microsoft 365，或升級到Exchange Server Subscription Edition（SE）。Exchange Server 2019可以就地升級到Exchange Server SE，但Server 2016則必須循side-by-side更新，新建一個或多個搭載Exchange SE的伺服器（可以是新的硬體或新的作業系統），即先架Exchange Server SE伺服器，再將現有的Exchange Server郵箱或其他資源轉移過去。</p> <p><a href="https://support.microsoft.com/en-us/office/end-of-support-for-office-2016-and-office-2019-818c68bc-d5e5-47e5-b52f-ddf636cf8e16#id0ebbd=office_2016_or_office_2019_at_work_or_school" target="_blank">微軟網頁說明</a>，Office 2016/2019用戶也得要採取行動。Office 2016和Office 2019分別在2020年10月13日及2023年10月10日終止主流支援，迄今微軟都是以延伸更新型態提供安全及功能修補程式。微軟說，10月14日隔天起二個Office版都不會再提供延長更新了。</p> <p>針對家用版用戶，微軟建議升級到最新版（如Office 2021及2024），或改用Microsoft 365。而企業或教育版用戶，微軟則建議IT管理員為用戶端升級到更新版本。</p> <p><a href="https://learn.microsoft.com/en-us/lifecycle/end-of-support/end-of-support-2025#products-reaching-end-of-support" target="_blank">根據微軟網頁</a>，其他在同一天來到支援終點的還有Skype for Business 2016/2019、Visio 2016/2019、Windows Server 2012/2012 R2 ESU第二年等。</p> </div></div></div>
2025/9/16 10:35作者林妍溱https://www.ithome.com.tw/news/171206
Gucci、YSL、Balenciaga母公司證實遭駭 ShinyHunters宣稱犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有Gucci、Balenciaga、YSL等精品品牌的法國零售業巨人Kering證實遭駭，犯案者可能是前科累累的ShinyHunters。</p> <p><a href="https://www.bbc.com/news/articles/crl5j8ld615o" target="_blank">BBC首先報導</a>ShinyHunters日前在駭客論壇宣稱駭入Kering，並竊得740萬筆電子郵件。</p> <p>Kering向媒體證實遭駭導致資料外洩。業者在6月間發現系統遭未經授權的第三方人士短暫存取，並存取了部份業務單位的客戶資料，外流的資料包含姓名、電子郵件、電話及住家地址。</p> <p>但這家法國精品業者說，沒有信用卡、銀行帳號、身份證等財務資訊被竊。Kering也未說明外洩資料的數量，資料新舊，或是攻擊事件是否為勒索軟體或是用戶憑證外洩所致。</p> <p>媒體從駭客手上取得作為樣本的部份外洩資料，包括交易明細，證實資料可能為真。</p> <p>ShinyHunters宣稱4月間經由Kering系統駭入旗下品牌。據說駭客6月間與受害企業連繫贖款事宜。但Kering否認和歹徒有過交涉。</p> <p>Kering是最新發生資料外洩的知名精品品牌。半年來已經有<a href="https://www.ithome.com.tw/news/169348" target="_blank">Cartier</a>、<a href="https://www.ithome.com.tw/news/170260" target="_blank">Christian Dior Couture</a>、<a href="https://www.ithome.com.tw/news/170438" target="_blank">Pandora</a>、<a href="https://www.ithome.com.tw/news/170431" target="_blank">Chanel</a>等，以及<a href="https://www.ithome.com.tw/news/170548" target="_blank">Google</a>、<a href="https://www.ithome.com.tw/news/170439" target="_blank">思科</a>、<a href="https://www.ithome.com.tw/news/170589" target="_blank">安聯人壽</a>等遭駭，其中許多被認為是ShinyHunters的傑作。</p> <p>此外，這些知名企業資料外洩管道可能是用戶的CRM系統Salesforce或Salesloft Drift憑證外流，使駭客得以登堂入室存取客戶資料。Kering是否也是如此尚不得而知。</p> </div></div></div>
2025/9/16 09:44作者林妍溱https://www.ithome.com.tw/news/171203
DirectX將統一矩陣與向量運算，加速GPU AI工作負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/directx/shader-model-6-9-and-the-future-of-cooperative-vector/">宣布</a>Direct3D的<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/cooperative-vectors-demo.html">協同向量（Cooperative Vector）</a>功能將進行統一設計，把既有的向量乘矩陣能力，與即將加入的矩陣乘矩陣合併，讓著色器能更有效率地執行大型張量運算。</p> <p>該變化主要針對人工智慧與機器學習的計算需求，包括超解析度、語言模型推論與電腦視覺等情境，期望進一步提升GPU在圖形工作管線內處理這類工作負載的效率。</p> <p>現行的Cooperative Vector仍屬實驗性功能，主要在著色器中提供向量乘矩陣（Vector-Matrix）的線性代數能力，讓開發者能以較輕量的方式在GPU上處理基礎AI/ML運算，其介面與語意已可支援在計算著色器內進行這類運算，但適用範圍仍以中小型資料為主。</p> <p>之所以微軟要推動統一設計，是因為AI/ML的核心計算多依賴大規模矩陣乘法（Matrix-Matrix），僅靠向量乘矩陣難以擴展到更大的工作負載，容易在平行度與記憶體存取上遇到瓶頸。新的統一設計將把矩陣乘矩陣納入，並與既有的向量乘矩陣合併為單一設計，讓計算著色器能以更大的資料區塊與更一致的資料版面配置執行張量與線性代數運算，同時有利於編譯器與驅動在DXIL層做一致的最佳化。</p> <p>這項統一設計不會隨Shader Model 6.9一起推出，而是規畫在後續的Shader Model中實現，微軟強調，功能開發已轉移到新的統一規格提案，舊版的Cooperative Vector規格將標註為待棄用。在此之前，開發者仍可持續試用現行的實驗性功能並回饋意見，等到正式版本釋出時，微軟也會提供搬遷指南，協助既有程式碼過渡。</p> <p>另一方面，Shader Model 6.9的其他更新則已確定時程，計畫於2026年第一季提供零售版本，更新內容包含Opacity Micromaps、Shader Execution Reordering、Native與Long Vectors，以及16-bit浮點數的特殊狀態支援，這些功能已陸續公布技術細節，並透過預覽資源提供給引擎與工具鏈，方便開發者進行測試與相容性驗證。</p> </div></div></div>
2025/9/16 08:24作者李建興https://www.ithome.com.tw/news/171202
Kotlin 2.2.20強化WebAssembly例外處理與瀏覽器除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kotlin開發團隊發布<a href="https://kotlinlang.org/docs/whatsnew2220.html#support-for-debugging-in-browsers-without-configuration">2.2.20版本</a>，本次更新聚焦在Web開發體驗，Kotlin/Wasm正式邁入Beta測試階段，並在例外處理與瀏覽器除錯上帶來明顯改進。對於需要在JavaScript與WebAssembly之間跨界協作的開發者而言，這些改動有助於提升程式行為的可預測性與除錯效率，降低維護負擔。</p> <p>過去JavaScript拋出的錯誤在傳入Kotlin/Wasm時，往往因資訊缺失而難以分析，反向傳遞時也可能被包裝成不透明的WebAssembly例外，而這個問題在新版獲得改善，JavaScript錯誤能在Kotlin端更完整呈現，而Kotlin例外則能在JavaScript端以一般錯誤捕捉，不再丟失細節。這項改善相依於WebAssembly.JSTag，目前已由Chrome 115、Firefox 129與Safari 18.4等以上版本瀏覽器支援，確保在新版本環境中能直接受益，而舊版瀏覽器則維持既有相容性。</p> <p>瀏覽器除錯流程也獲得簡化，之前要在瀏覽器中追蹤Kotlin/Wasm程式碼，開發者必須在Gradle的Webpack開發伺服器設定中額外提供原始碼路徑，步驟繁瑣。不過，從Kotlin 2.2.20開始，執行*DevRun這類任務時，Gradle外掛會自動將原始碼送到瀏覽器，讓開發者能直接設定斷點、檢視變數並逐步執行程式，官方同時提醒，此功能僅適合本地開發環境使用，以避免原始碼在非預期情境下被公開。</p> <p>新版本還調整了Kotlin/Wasm的NPM相依項目管理方式，Kotlin工具鏈相依與專案自有相依分開配置，專案內的鎖定檔僅記錄實際使用的套件，而這使得專案版本控制更乾淨，減少因工具鏈更新導致的無關變動，對團隊協作與CI流程而言，能更清楚分辨工具更新與專案變更，避免不必要的檔案衝突。</p> <p>在程式碼架構上，使用預設階層樣板（Default Hierarchy Template）時，Kotlin 2.2.20新增了預設的webMain與webTest程式碼共享區，專門讓JavaScript與WebAssembly目標可以共用同一份程式碼。</p> <p>以往要同時支援這兩個平臺，開發者必須在兩邊各寫一次相似的程式碼，或自行建立額外設定，維護成本高，但現在只要把共用邏輯放進webMain或webTest，就能同時被JavaScript與WebAssembly使用。對於需要同時支援不同瀏覽器，或開發跨平臺Web應用的人來說，這不僅能減少重複撰寫，專案結構也會更一致容易維護。</p> </div></div></div>
2025/9/16 08:16作者李建興https://www.ithome.com.tw/news/171198
最大L7 DDoS殭屍網路動員，576萬IP攻擊政府機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Qrator Labs在9月1日，偵測並成功緩解一場目前觀測到<a href="https://qrator.net/blog/details/massive-l7-ddos-botnet-expands-to-576m-devices-qra">最大規模應用層L7 DDoS攻擊，</a>目標為政府機構，參與來源累計達576萬個IP。這場攻擊採兩階段調度，先投入約280萬個IP，約1小時後再增加約300萬個IP，顯示其指揮與擴編能力成熟，能在短時間內提升壓力與覆蓋面。</p> <p>這支殭屍網路在半年3度出手且持續擴張，受害面向由線上服務延伸至政府領域。研究人員指出，今年3月26日，殭屍網路首次現形，鎖定線上博弈業者，當時約有133萬個IP參與，5月16日，再度攻擊政府部門，規模已擴至約460萬個IP，9月1日第3次針對政府部門行動，這次累計動員576萬個唯一 IP。</p> <p>9月這場應用層L7 DDoS攻擊的地理分布，惡意IP主要集中在巴西、越南、美國、印度與阿根廷。與前兩次相比，越南與印度的參與IP數成長幅度明顯，分別增加83％與202％，顯示該殭屍網路在不同區域的滲透速度不一，且可能同時動員住宅網路、資料中心與開放代理等多類型節點。</p> <p>L7攻擊的破壞力並非以Tbps或封包數衡量，而是以每秒請求數與應用端資源消耗為主，當大量請求模仿真實使用者路徑並跨多個URI時，常見的快取與固定規則WAF容易失去效果，瓶頸會落在前端連線維持、TLS終結、應用執行緒與資料庫連線池。</p> <p>Qrator Labs技術長Andrey Leskin表示，這類殭屍網路在未受保護或保護薄弱的環境中，能在短時間內產生每秒數千萬次請求，使伺服器於數分鐘內喪失可用性，也非所有供應商都有能力承受同時面向多客戶的大規模L7洪水攻擊。</p> <p>這類應用層請求洪水只是DDoS攻擊的一種型態，近期在網路層同樣出現極端案例，9月初Cloudflare也曾<a href="https://www.ithome.com.tw/news/171004">公開</a>自動攔截了一場高達11.5 Tbps的UDP洪水攻擊，封包速率一度達到5.1 Bpps。與L7攻擊相比，這類L3/L4層頻寬型洪水並非模仿真實使用者行為，而是透過龐大的流量量級壓垮網路與設備。</p> </div></div></div>
2025/9/16 08:20作者李建興https://www.ithome.com.tw/news/171200
國際半導體展資安合作再升級，SEMI E187認驗證制度正式啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由<a href="https://www.ithome.com.tw/news/148631">臺灣主導的半導體設備資安標準SEMI E187，自2022年正式發布</a>後，該標準的落地與推廣進展持續受關注，繼兩年前完成SEMI E187檢核清單制定，推動合格性驗證（VoC），如今該標準在認驗證制度建立上，有了更進一步的拓展。</p> <p>在今年SEMICON Taiwan 2025的半導體資安趨勢高峰論壇上，舉辦了SEMI E187認驗證制度啟動儀式，由數位發展部數位產業署長林俊秀與SEMI全球行銷長暨臺灣區總裁曹世綸，代表雙方簽署合作備忘錄，共同宣示半導體產業資安認驗證制度的推動，已邁出關鍵一步，將為半導體供應鏈韌性強化與接軌國際奠定基礎。</p> <h3><strong>已有11家設備商通過VoC合格性驗證，預計年底正式建立SEMI E187認證制度</strong></h3> <p>在這場SEMI E187認證啟動儀式上，曹世綸強調，這項標準不僅是國家級的重大成就，更彰顯了產業界主動引領全球資安規範的強烈決心。他指出，隨著本次認證機制的正式啟動，SEMI已成功將願景轉化為具體行動，確保半導體供應鏈中的所有利害關係人，在落實設備資安措施時，都能與全球標準保持高度一致。</p> <p>SEMI資安委員會主席暨台積電企業資訊安全處長屠震也進一步指出，為加速推動SEMI E187在全球的普及與採用，引入第三方認證制度以建立產業互信，將是至關重要的一步。</p> <p>事實上，為了建立SEMI E187標準的認驗證制度，臺灣在兩年前已先展開實驗室合格性驗證（Verification of Conformity，VoC），這不僅提供了寶貴的實務經驗，並有實際成功案例作為基礎。</p> <p>根據數產署的資料顯示，他們已協助國內11家半導體設備業者通過VoC，除了我們<a href="https://www.ithome.com.tw/news/158627">先前報導</a>的2家業者均豪精密、東捷科技，這兩年來國內陸續還有9家業者導入，包括：志聖、台達集團、歐美科技、天虹科技、凱諾科技、晶彩科技、河洛半導體、威力工業，以及偉勝乾燥。這顯示更多臺灣半導體設備商在資安上的積極投入，也為 SEMI E187標準的全球推廣奠定基礎。</p> <p>在這次SEMI E187認證正式啟動後，代表認驗證制度正逐步邁入軌道。具體而言，之後將依循國際標準流程進行：由標準組織制定規範，再由全國認證基金會（TAF）負責認可合格的檢測與驗證機構，最後由認可實驗室來驗證產品，預計今年底會有成果。換言之，隨著認驗證制度的逐步建構與發展，未來，更可以幫助推動SEMI E187在全球產業鏈中廣泛應用。</p> <p>此外，現場多位專家與政府代表亦強調SEMI E187標準的價值與力量，在於它是由各方協調努力，共同推動整個半導體設備生態系的持續進化。更重要的是，這套標準提醒我們，必須從一開始就把安全納入設計，這將比問題發生後再修補更具成本效益。而且，隨著我國大力推動SEMI E187，也將帶動國內設備商加速導入國際資安標準、提升半導體設備產業競爭力，並強化臺灣半導體產業資安韌性。</p> <p>另一方面，在今年SEMICON Taiwan 2025的展覽攤位現場，我們注意到已有多家臺灣業者發展SEMI E187合規工具或服務。</p> <p>例如，從EDR與AI資安科技起家的奧義智慧科技，也跨足半導體資安領域，他們展示自家開發的E187合規檢測工具：今年4月由工研院Spin-off的一安智能（Janus），也在現場展示其E187認證服務方案；還有電源管理與散熱大廠台達（Delta），該公司在展示其多款半導體產業資安解決方案時，其服務內容也涵蓋E187資安評測與顧問服務。</p> </div></div></div>
2025/9/15 17:44作者羅正漢https://www.ithome.com.tw/news/171201
【資安日報】9月15日，美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩至三個月，駭客組織<a href="https://www.ithome.com.tw/tags/unc6040">UNC6040</a>（<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>）鎖定雲端CRM平臺<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>系統而來的攻擊行動不時傳出，近期更出現Salesloft Drift供應鏈攻擊，駭客組織<a href="https://www.ithome.com.tw/tags/unc6395">UNC6395</a>入侵Salesloft的GitHub帳號，從而竊得採用Drift整合元件的企業組織憑證（Token），從而入侵並竊取存放在Salesforce平臺的資料，這樣的現象也引起美國聯邦調查局機（FBI）警告，並呼籲企業組織要嚴加防範。</p> <p>另一個引起各界高度關注的消息，是近日三星為旗下安卓裝置修補零時差漏洞CVE-2025-21043，並表示已被用於實際攻擊行動。由於通報此事的Meta與WhatsApp資安團隊表示，他們是在調查一起高度針對性的攻擊事故發現漏洞，不禁讓人好奇，該漏洞是否如之前蘋果、Meta先前修補的零時差漏洞，被用於攻擊三星裝置的WhatsApp用戶。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171192"><strong style="font-size: 22px;">FBI針對UNC6040與UNC6395駭客組織活動提出警告，目標是從企業組織的Salesforce平臺竊取資料</strong></a></p> <p>美國聯邦調查局（FBI）指出，駭客組織UNC6040與UNC6395近期針對企業的Salesforce平臺發動攻擊，透過語音社交工程與遭竊的OAuth權杖取得存取，進一步大規模竊取資料，部分受害者還接到電子郵件勒索。</p> <p>FBI指出，UNC6040自2024年10月以來持續活躍，手法以語音釣魚為主，攻擊者會假冒IT人員致電客服中心，要求員工配合操作或交付登入資訊。一旦取得初始憑證，就會引導受害者在Salesforce的管理介面核准惡意連接應用程式，這些應用多半偽裝成合法的工具，例如修改版的Salesforce Data Loader，實際上在取得OAuth權杖後可直接透過API批次匯出大量資料。由於授權流程來自平臺本身，攻擊活動往往能規避多因素驗證、密碼重設與登入稽核等控管機制，使外洩行為更難被察覺。</p> <p>UNC6395則是在2025年8月被觀測到利用Salesloft的Drift應用遭竊的OAuth權杖，結合第三方整合功能進入企業的Salesforce環境並竊取資料。雖然這個途徑在8月20日已由Salesloft與Salesforce共同撤銷權杖而遭封鎖，但事件也凸顯了第三方整合帶來的潛在風險。FBI強調，即便攻擊鏈已中斷，仍有必要檢查是否存在殘留或不必要的權杖，以防止後續遭濫用。</p> <p><a href="https://www.ithome.com.tw/news/171152"><strong style="font-size: 22px;">巴拿馬財政部遭INC Ransom勒索軟體攻擊，駭客聲稱竊走1.5 TB資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/panama-mef-tor-incransom.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/panama-mef-tor-incransom.jpg" style="width: 300px; float: right;" /></a></p> <p>巴拿馬經濟暨財政部（MEF）近日透露，內部電腦發生惡意程式入侵事故。根據媒體報導，禍首是INC Ransom勒索軟體。</p> <p>MEF在一臺工作站發現疑為惡意軟體的活動，當時已依照既定的安全政策，立即啟動相關措施，並在整個資訊系統加強預防手段以遏止該次事件。巴拿馬政府強調，沒有任何核心系統與平臺受到影響，皆維持正常運作。</p> <p>根據資安新聞網站Bleeping Computer報導，勒索軟體組織INC Ransom在暗網論壇宣稱成功入侵MEF，並竊走1.5 TB內部資料，包括電子郵件、財務文件、預算明細等等。為取信買家，這群駭客還公布部分資料作為證明。</p> <p><a href="https://www.ithome.com.tw/news/171181"><strong style="font-size: 22px;">針對曝露的Docker API，駭客透過Tor網路發動新一波行動，疑綁架用於殭屍網路</strong></a></p> <p>今年6月資安業者趨勢科技揭露針對組態配置不當的Docker API挖礦的大規模攻擊行動，駭客將作案工具存放於架設在洋蔥網路（Tor Network）的伺服器，意圖隱匿相關活動，如今有新的發現，指出相關攻擊的威脅加劇。</p> <p>資安業者Akamai今年8月在本身設置的蜜罐陷阱基礎設施，發現新一波的攻擊行動，雖然駭客同樣針對曝露在網際網路，且具備弱點而有機會被感染的Docker API而來，但這次使用的初始存取管道有所不同，而且，攻擊者還讓其他人無法透過網際網路存取受害的Docker API。值得留意的是，這波攻擊行動的惡意程式也相當特殊，因為攻擊者並未植入挖礦軟體，而是部署其他工具，疑似打算充當殭屍網路的基礎設施。</p> <p>特別的是，其中一個檔案是使用Go語言打造的惡意程式部署工具，執行過程竟出現Emoji表情符號，Akamai推測，可能是因為攻擊者借助大型語言模型（LLM）撰寫程式碼，目前許多LLM生成程式碼時經常會出現表情符號，有人認為是操作者刻意用表情符號，意圖繞過系統的輸入檢查，也有人認為是LLM訓練時學到這種風格，而在操作者會強制禁用的狀況下，產生帶有表情符號的程式碼內容。</p> <p><a href="https://www.ithome.com.tw/news/171177"><strong style="font-size: 22px;">1.1萬臺物聯網裝置、路由器遭綁架，發動每秒15億個封包的DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Detected-and-mitigated-DDoS-attack-traffic-FastNetMon-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Detected-and-mitigated-DDoS-attack-traffic-FastNetMon-1.jpg" style="width: 300px; float: right;" /></a></p> <p>9月初資安業者Cloudflare揭露峰值達到11.5 Tbps的DDoS攻擊，封包速率最高達5.1 Bpps，持續約35秒，一開始認為攻擊流量來自Google雲端，後續確認同時來自物聯網裝置及多家雲端服務供應商，如今有其他資安業者發現新一波攻擊行動，但這次主要是針對緩解相關攻擊的服務業者而來。</p> <p>英國資安業者FastNetMon於9月9日指出，他們發現專門針對西歐一家DDoS流量清洗服務業者的DDoS攻擊，封包的速率每秒達到15億個（1.5 Gpps或1.5 Bpps），惡意流量主要是UDP洪水攻擊，由全球1.1萬臺物聯網裝置及路由器等用戶端設備（Customer-Premises Equipment，CPE）產生。由於這起事故發生在Cloudflare揭露的事故數天之後，代表攻擊者現在已經將攻擊流量和封包的規模，提升到另一個境界。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-hybridpetya-ransomware-can-bypass-uefi-secure-boot/">勒索軟體HybridPetya可繞過安全開機防護機制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-voidproxy-phishing-service-targets-microsoft-365-google-accounts/">網釣服務VoidProxy鎖定M365、Google帳號而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/whitecobra-floods-vscode-market-with-crypto-stealing-extensions/">駭客組織WhiteCobra鎖定VS Code、Cursor、Windsurf用戶而來，上架惡意套件意圖挖礦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apple-warns-customers-targeted-in-recent-spyware-attacks/">法國警告蘋果用戶成為一系列間諜軟體的攻擊目標</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171197"><strong style="font-size: 22px;">三星為安卓裝置修補已遭積極利用的零時差漏洞</strong></a></p> <p>8月下旬，蘋果修補已被用於實際攻擊的零時差漏洞CVE-2025-43300，後來Meta也為iOS及macOS版WhatsApp修補零時差漏洞CVE-2025-55177，並指出兩項漏洞已被串連，用於針對特定使用者發起複雜的攻擊行動，近期三星也修補Meta與WhatsApp聯手通報的零時差漏洞，並表示已有被用於攻擊的情況，而引起資安界高度關注。</p> <p>三星發布行動裝置9月例行更新SMR Sep-2025 Release 1，修補一系列的資安漏洞，其中最引起關注的部分，是重大層級的CVE-2025-21043，此漏洞出現在名為libimagecodec.quram.so的元件，為記憶體越界寫入漏洞，影響執行安卓13至16版的裝置，一旦攻擊者成功觸發，就有機會遠端執行任意程式碼，CVSS風險為8.8。三星發布修補程式，修正不正確的實作。值得留意的是，他們特別提到已接獲該弱點被實際利用的情形。</p> <p>針對這項漏洞，三星並未透露其他細節，然而由於這項漏洞由Meta及WhatsApp資安團隊於8月上旬通報，外界很難不與前述蘋果及WhatsApp修補的零時差漏洞聯想在一起，而被猜測可能是用來對三星裝置的WhatsApp用戶下手。對此，Meta發言人向媒體透露，這項漏洞的發現，源自於他們在夏季一場高度針對性攻擊極積調查的結果，並將相關發現與業界的合作夥伴分享，其中包含蘋果和三星。</p> <p><a href="https://www.ithome.com.tw/news/171194"><strong style="font-size: 22px;">Google修補Chrome 140重大漏洞</strong></a></p> <p>Google於9月9日發布電腦版、安卓版Chrome 140更新，修補兩項資安漏洞CVE-2025-10200、CVE-2025-10201，值得留意的是，CVE-2025-10200被評為重大漏洞，相當危險，用戶應儘速套用更新。</p> <p>這項重大層級漏洞出現在Serviceworker元件，為記憶體使用之後釋放再度利用（Use After Free）的弱點，由資安研究員Looben Yang於8月22日通報，美國網路安全暨基礎設施安全局（CISA）評估其CVSS風險值為8.8（滿分10分），Google頒發4.3萬美元獎勵給Looben Yang。</p> <p>而對於這項漏洞帶來的影響，攻擊者只要藉由特製的HTML網頁，就有機會從遠端導致Chrome出現記憶體中斷的現象，Google發布Windows版140.0.7339.127、140.0.7339.128，Linux版140.0.7339.127、macOS版140.0.7339.132、140.0.7339.133，以及安卓版140.0.7339.123，來修補這項漏洞。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/f5-calypsoai-advanced-ai-security-capabilities">F5買下AI資安業者CalypsoAI</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171149"><strong>【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171140"><strong>【9月11日】微軟修補近滿分資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171114"><strong>【9月10日】微軟、SAP、Adobe發布9月例行更新</strong></a></p> </div></div></div>
2025/9/15 17:00作者周峻佑https://www.ithome.com.tw/news/171199
Google修補Chrome 140重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於9月9日發布<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_9.html">電腦版</a>、<a href="https://chromereleases.googleblog.com/2025/09/chrome-for-android-update_9.html">安卓版</a>Chrome 140更新，修補兩項資安漏洞CVE-2025-10200、CVE-2025-10201，值得留意的是，CVE-2025-10200被評為重大漏洞，相當危險，用戶應儘速套用更新。</p> <p>這項重大層級漏洞出現在Serviceworker元件，為記憶體使用之後釋放再度利用（Use After Free）的弱點，由資安研究員Looben Yang於8月22日通報，美國網路安全暨基礎設施安全局（CISA）評估其<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-10200">CVSS風險值為8.8</a>（滿分10分），Google頒發4.3萬美元獎勵給Looben Yang。</p> <p>而對於這項漏洞帶來的影響，攻擊者只要藉由特製的HTML網頁，就有機會從遠端導致Chrome出現記憶體中斷的現象，Google發布Windows版140.0.7339.127、140.0.7339.128，Linux版140.0.7339.127、macOS版140.0.7339.132、140.0.7339.133，以及安卓版140.0.7339.123，來修補這項漏洞。</p> <p>本次Google也修補另一項高風險漏洞CVE-2025-10201，起因是Mojo元件不當實作產生，影響Linux、ChromeOS，以及安卓版的用戶。攻擊者同樣能藉由特製的HTML網頁觸發，從而繞過網站隔離機制。值得留意的是，雖然Google評估該漏洞為高風險層級，但CISA評估其風險值與重大漏洞CVE-2025-10200相同，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-10201">為8.8分</a>。</p> <p>在Google修補上述漏洞後，多家採用Chromium為基礎的瀏覽器也跟進。其中，最早處理漏洞的是<a href="https://brave.com/latest/">Brave</a>，他們在9月10日發布1.82.166版因應；9月12日，微軟發布140.0.3485.66版Edge更新，修補<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-10200">CVE-2025-10200</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-10201">CVE-2025-10201</a>；同日Vivaldi發布<a href="https://vivaldi.com/blog/desktop/minor-update-ten-7-5/">電腦版</a>、<a href="https://vivaldi.com/blog/android/minor-update7-android-7-5/">安卓版</a>更新，修補CVE-2025-10200。</p> <p><a href="https://s4.itho.me/sites/default/files/images/yepmP3FXns.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/yepmP3FXns.jpg" style="width: 580px;" /></a></p> </div></div></div>
2025/9/15 15:34作者周峻佑https://www.ithome.com.tw/news/171194
三星為安卓裝置修補已遭積極利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月下旬，蘋果修補已被用於實際攻擊的零時差漏洞<a href="https://www.ithome.com.tw/news/170738">CVE-2025-43300</a>，後來Meta也為iOS及macOS版WhatsApp修補零時差漏洞<a href="https://www.ithome.com.tw/news/170921">CVE-2025-55177</a>，並指出兩項漏洞已被串連，用於針對特定使用者發起複雜的攻擊行動，近期三星也修補Meta與WhatsApp聯手通報的零時差漏洞，並表示已有被用於攻擊的情況，而引起資安界高度關注。</p> <p>三星發布行動裝置<a href="https://security.samsungmobile.com/securityUpdate.smsb?year=2025&month=09">9月例行更新</a>SMR Sep-2025 Release 1，修補一系列的資安漏洞，其中最引起關注的部分，是重大層級的CVE-2025-21043，此漏洞出現在名為libimagecodec.quram.so的元件，為記憶體越界寫入漏洞，影響執行安卓13至16版的裝置，一旦攻擊者成功觸發，就有機會遠端執行任意程式碼，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-21043">CVSS風險為8.8</a>。三星發布修補程式，修正不正確的實作。值得留意的是，他們特別提到已接獲該弱點被實際利用的情形。</p> <p>針對這項漏洞，三星並未透露其他細節，然而由於這項漏洞由Meta及WhatsApp資安團隊於8月上旬通報，外界很難不與前述蘋果及WhatsApp修補的零時差漏洞聯想在一起，而被猜測可能是用來對三星裝置的WhatsApp用戶下手。對此，<a href="https://www.bleepingcomputer.com/news/security/samsung-patches-actively-exploited-zero-day-reported-by-whatsapp/">Meta發言人向媒體透露</a>，這項漏洞的發現，源自於他們在夏季一場高度針對性攻擊極積調查的結果，並將相關發現與業界的合作夥伴分享，其中包含蘋果和三星。</p> <p>雖然這樣的說法，很可能代表攻擊者同時針對蘋果和三星的裝置而來，但是否有其他廠牌的裝置受害，以及CVE-2025-21043是否也影響其他安卓裝置，目前仍不得而知。</p> </div></div></div>
2025/9/15 16:38作者周峻佑https://www.ithome.com.tw/news/171197
FBI警示UNC6040與UNC6395駭客組織鎖定Salesforce平臺竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）<a href="https://www.ic3.gov/CSA/2025/250912.pdf">指出</a>，駭客組織UNC6040與UNC6395近期針對企業的Salesforce平臺發動攻擊，透過語音社交工程與遭竊的OAuth權杖取得存取，進一步大規模竊取資料，部分受害者還接到電子郵件勒索。</p> <p>FBI指出，UNC6040自2024年10月以來持續活躍，手法以語音釣魚為主，攻擊者會假冒IT人員致電客服中心，要求員工配合操作或交付登入資訊。一旦取得初始憑證，就會引導受害者在Salesforce的管理介面核准惡意連接應用程式，這些應用多半偽裝成合法的工具，例如修改版的Salesforce Data Loader，實際上在取得OAuth權杖後可直接透過API批次匯出大量資料。由於授權流程來自平臺本身，攻擊活動往往能規避多因素驗證、密碼重設與登入稽核等控管機制，使外洩行為更難被察覺。</p> <p>UNC6395則是在2025年8月被觀測到利用Salesloft的Drift應用遭竊的OAuth權杖，結合第三方整合功能進入企業的Salesforce環境並竊取資料。雖然這個途徑在8月20日已由Salesloft與Salesforce共同撤銷權杖而遭封鎖，但事件也凸顯了第三方整合帶來的潛在風險。FBI強調，即便攻擊鏈已中斷，仍有必要檢查是否存在殘留或不必要的權杖，以防止後續遭濫用。</p> <p>值得注意的是，部分UNC6040的受害組織在資料遭外洩後，還收到自稱ShinyHunters的電子郵件勒索，要求支付加密貨幣以避免公開資料，這代表攻擊並不只是資料竊取，還可能演變成公開威脅與二次勒索。</p> <p>針對駭客組織UNC6040與UNC6395的威脅，FBI提出一系列務實的防護方向，首先，企業應加強客服與第一線人員的社交工程防範訓練，並要求採用具抗釣魚能力的多因素驗證方式。其次，建議落實最小權限原則，並透過驗證、授權與稽核確保使用者與群組存取權限受到有效控管。</p> <p>FBI還建議企業強制採用基於IP的存取限制，並持續監控與偵測API使用是否有不尋常或惡意行為。同時，應全面盤點環境中現有的第三方整合與連接應用，定期輪換API金鑰、密碼與OAuth權杖，並下線來源不明或不再使用的應用程式。除此之外，針對網路與瀏覽器工作階段的監控，也能協助偵測資料外洩跡象。</p> </div></div></div>
2025/9/15 16:13作者李建興https://www.ithome.com.tw/news/171192
OpenAI發表內部育成專案OpenAI Grove，專注腦力激盪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/openai-grove/" target="_blank">OpenAI上周五（9/12）揭露</a>其內部育成專案OpenAI Grove，它與傳統育成專案或是創業加速器不同，鼓勵那些想針對AI展開創業、但還想不到點子的人才參加，目的是協助個人形成創業構想，並建立技術與人才網路。</p> <p>一般的育成或加速器專案都是鎖定那些有創業構想甚至有團隊的創業者加以輔導，有時還會投入資金，但OpenAI Grove所提供的是高密度的人才網路，與OpenAI研究人員共同創業的機會，以及加速使用者創業歷程的資源，總之，這是在尚未形成創業構想之前的腦力激盪，還能獲得OpenAI團隊與Grove社群的指導與交流。</p> <p>第一屆的OpenAI Grove打算招收15名參與者，在OpenAI舊金山總部展開為期5周的課程及活動，內容包括實體工作坊、每周辦公時間，OpenAI技術指導者的一對一指導，並能體驗OpenAI尚未公開的工具及模型，可以單人或團隊報名，截止日為9月24日。</p> <p>有意報名的創業者除了填寫基本資訊之外，也必須提交所屬領域、正在開發的內容、先前開發經驗或是目前想做的事，同時描述想從OpenAI Grove獲得哪些資源。</p> <p>參與者不一定要使用OpenAI API，且在完成課程後，可以選擇募資，或是探索其它發展方向，包括留在OpenAI生態體系與否。</p> <p>市場分析認為，OpenAI透過此一計畫將能更早接觸潛在的創業者與想法，培育早期創業者，同時，所提供內部的資源將能引導創業者思考AI應用及發展方向，更適合那些還在探索階段的創業者。</p> </div></div></div>
2025/9/15 13:46作者陳曉莉https://www.ithome.com.tw/news/171191
【資安週報】0908~0912，再有CRM平臺遭駭客鎖定，Sitecore遭零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年9月第二星期的資安新聞，這一星期多家IT大廠發布安全性更新需要我們趕緊因應，涵蓋微軟、SAP、Adobe等，其中微軟的修補中包括2個已被公開的零時差漏洞，以及1個CVSS滿分10分的重大漏洞，而SAP的修補中也包含CVSS風險達10分、9.9分的兩個重大漏洞。</p> <p>還有多個漏洞利用狀況需要特別關注，其中最嚴峻的是，有攻擊者鎖定客戶體驗管理平臺Sitecore發動零時差漏洞攻擊，該漏洞編號已指派為CVE-2025-53690，揭露攻擊活動的Mandiant更是指出，這起活動的特別之處在於，駭客利用Sitecore在2017年前提供的部署範例machine key，進行網路滲透。</p> <p>至於針對已知漏洞的新攻擊活動，包括：SAP於8月修補的重大漏洞CVE-2025-42950、CVE-2025-42957，達梭系統（Dassault Systèmes）於6月修補製造營運管理軟體DELMIA Apriso的漏洞CVE-2025-5086，以及TP-Link的已知漏洞CVE-2023-50224與CVE-2025-9377，這些漏洞也首次被證實有攻擊者利用於攻擊行動。</p> <p>在資安事件方面，這一星期有不少臺灣資安事故浮上檯面，例如，多家上市櫃公司發布資安重訊，其中揭露的兩起網路攻擊事件，與電子商務有關，還有兩起消息的狀況值得留意，一是從奈米醫材的事故說明來看，應是遭遇商業電子郵件詐騙，只是利用的名目從交易匯款變成股利匯款；而智擎提到網站代管廠商遭DDoS攻擊，但公告中並未明確點名代管廠商為何，目前也還沒有網站代管廠商承認遭DDoS攻擊。</p> <p>●電子商務業者「夠麻吉」表示部分系統遭受駭客網路攻擊<br /> ●鑫聯大投控代子公司「捷元」指出其B2B採購平臺遭受異常下單<br /> ●特殊印刷業者「政伸」說明偵測到資訊系統遭受駭客攻擊<br /> ●醫材業者「奈米醫材」指出旗下AST VisionCare Inc.（ASTVC-US）遭到歹徒冒名，向另一家子公司Millennium Biomedical, Inc.（MBI）寄送電子郵件並提供匯款帳號，導致MBI將原要匯給ASTVC-US的股利款項，匯入歹徒的銀行帳號。<br /> ●生技醫療業「智擎」指出其官方網站代管廠商遭受網路DDoS攻擊</p> <p>中信金代子公司台灣人壽保險也發布與個資保護有關的重訊，當中指出台灣人壽因違反保險法及個人資料保護法相關規定，被金管會依保險法與個資法各自開罰360萬元、10萬元與限期1個月改正。</p> <p>國際間先前有兩起重大資安事故有後續消息傳出，一是Salesloft Drift供應鏈攻擊事故，先前該公司未說明OAuth token遭竊原因，最新調查則揭露，駭客自今年的3月至6月，試圖存取該公司的GitHub儲存庫，最終入侵Drift使用的AWS環境，竊得Drift客戶的OAuth憑證，進而從客戶的環境存取經過Drift整合的資料。</p> <p>另一Nx供應鏈攻擊影響範圍擴大，資安公司Wiz指出，攻擊者除了在初期竊取環境變數與憑證，還進一步濫用外洩的GitHub權杖，目前研判至少有6,700個原本屬於私有的儲存庫遭公開，</p> <p>在資安產業動態方面，國內外有兩則重要消息，一是中華資安正式掛牌上市，成首家上市資安服務業者，另一是日本電子電機巨擘三菱電機（Mitsubishi Electric）宣布以近9億美元的價格，買下OT/IoT資安方案業者Nozomi Networks，以確保其數位平臺的安全性。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月8日】Salesloft揭露供應鏈攻擊事故發生的源頭</span></strong></a></h3> <p>繼先前一連串鎖定知名企業組織的雲端CRM系統Salesforce資料外洩事故，8月下旬駭客組織UNC6395針對Salesloft Drift用戶發動攻擊，從而竊取存放在Salesforce系統的資料，這樣的情況再度引起資安界高度關注，有多家資安業者也證實受到波及。如今Salesloft公布最新的調查結果，透露駭客是從他們的GitHub儲存庫入侵，然後進行一連串的攻擊行動。</p> <p>在Salesloft Drift供應鏈攻擊活動的後續之外，也有其他CRM系統遭到鎖定，而成為上週末的焦點。這次駭客盯上的CRM平臺是Sitecore，這代表除了Salesforce之外，也有攻擊者開始針對其他CRM系統用戶下手的情況，這樣攻擊活動過往並不常見。</p> <p><a href="https://www.ithome.com.tw/news/171077"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月9日】歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙</span></strong></a></p> <p>昨天（8日）下午至傍晚有3家上市櫃公司發布資安重訊，其中最特別的資安事故，是奈米醫材揭露海外投資子公司AST VisionCare Inc.（ASTVC-US）遭到冒名的商業郵件詐騙（BEC），歹徒鎖定的是奈米醫材與ASTVC-US投資的美國公司Millennium Biomedical, Inc.（MBI），看上的是現金股利的款項，這代表歹徒對這些公司的運作觀察相當仔細，而能在MBI發放股利的時候對其下手。</p> <p>在BEC事故之外，鎖定開發人員的攻擊事故，這兩週變得相當頻繁，占據了今天近半數的新聞版面，其中，又以大規模攻擊行動GhostAction非常值得注意，駭客一口氣竊得逾3千組帳密及憑證；再者，Nx供應鏈攻擊事故後續調查結果出爐，駭客公開逾6千個私人GitHub儲存庫；另一方面，有人假冒NPM客戶，要求套件開發者啟用多因素驗證的網釣活動，目前至少有18款套件受害。</p> <h3><a href="https://www.ithome.com.tw/news/171114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月10日】微軟、SAP、Adobe發布9月例行更新</span></strong></a></h3> <p>許多軟體廠商及IT業者在本週二發布9月的例行更新，微軟、SAP、Adobe也都發布相關資安公告，影響大多數使用者的微軟公告特別值得留意，因為這次他們修補兩項已被公開的零時差漏洞，分別影響SMB伺服器、SQL Server，然而，若要修補這個SMB伺服器漏洞，不光是套用更新軟體就能完成，還要檢查是否影響用戶端；而影響SQL Server的資安漏洞存在特定元件，最早於2018年就有資安業者發現。</p> <p>SAP、Adobe本次發布的公告也相當值得留意，其中SAP針對NetWeaver、NetWeaver AS Java修補重大層級漏洞，有1個風險值達到滿分，相當危險；Adobe針對ColdFusion、Adobe Commerce修補重大層級的資安漏洞，並呼籲用戶優先處理。</p> <h3><a href="https://www.ithome.com.tw/news/171140"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月11日】微軟修補近滿分資安漏洞</span></strong></a></h3> <p>在發布每月例行更新（Patch Tuesday）之前，微軟往往還會修補不少資安漏洞，這些漏洞有許多出現在該公司的雲端服務，但並未被列在每月例行更新的資安公告，雖然它們是個別公告的漏洞，仍因爲情節嚴重，吸引資安業者注意，而發出警示，以這個月而言，就有一個出現在Azure Networking的權限提升漏洞，風險值達到10分滿分，使得資安業者Rapid7特別提出警告，並指出用戶可能在遷移雲端資產的過程會需要特別留意。</p> <p>本週消費性電子設備最受到關注的新品，莫過於蘋果新一代iPhone的發表，在相關的功能改進，以及機型規格的調整之餘，他們也透露這次導入記憶體防護強化機制Memory Integrity Enforcement，目的是對抗日益猖獗的間諜軟體攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/171149"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</span></strong></a></h3> <p>資安業者Arctic Wolf於2個月前揭露勒索軟體Akira的攻擊行動，如今仍在持續進行，而且，駭客仍然尋找存在已知漏洞CVE-2024-40766的SonicWall防火牆下手，這樣的情況引起本週澳洲網路安全中心（ACSC）、資安業者Rapid7的關注，並提出警告，Rapid7更進一步推測，駭客可能同時搭配組態配置不當的情形。</p> <p>我們上週報導駭客將AI工具用於實際攻擊行動的情況，不過AI工具本身存在的弱點也相當值得留意。本週資安公司Oasis公布AI加持的IDE工具Cursor的調查結果，指出在預設組態下，攻擊者有機會讓惡意程式於開發者電腦自動執行；另一方面，OpenAI也指出大型語言模型頻繁出現幻覺（Hallucination）的現象，與現有的評估機制有關，使得語言模型採取亂猜的策略來作答。</p> <p> </p> </div></div></div>
2025/9/15 10:20作者羅正漢https://www.ithome.com.tw/news/171185
Tether將發行符合美國規範的新穩定幣USAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tether.io/news/tether-unveils-usat-its-planned-u-s-regulated-dollar-backed-stablecoin-and-will-appoint-bo-hines-as-ceo-of-tether-usat/" target="_blank">全球最大穩定幣USDT發行商Tether上周五（9/12）宣布</a>，打算發行一款符合美國《GENIUS Act》穩定幣監管法令、與美元掛鉤的新穩定幣USAT，將由美國核准的首家加密特許銀行Anchorage Digital Bank擔任發行機構，並將任命Bo Hines擔任Tether US執行長。被視為是Tether在美國市場邁出的重要一步。</p> <p>Tether成立於2014年，有不同的子公司於英屬維京群島及香港註冊，創立同年便發行了美元穩定幣USDT，現在的市場規模為1,700億美元，為全球最熱門的美元穩定幣，遠遠領先第二名、由Circle發行的USDC，目前USDC的市場規模接近732億美元。</p> <p>迄今Tether已發行多種與不同法幣掛鉤的穩定幣，內部並以₮作為穩定幣符號，除了與美元掛鉤的USD₮之外，還有與歐元掛鉤的EUR₮，與離岸人民幣掛鉤的CNH₮，與墨西哥披索掛鉤的MXN₮，以及與英鎊掛鉤的GBP₮等，也把即將發表的美元穩定幣稱為USA₮。不過，Tether曾因準備金的透明度與審計不足，而遭到監管機構的調查。</p> <p>另一項值得注意的是，<a href="https://tether.io/news/tether-hits-13-billion-profits-for-2024-and-all-time-highs-in-u-s-treasury-holdings-usdt-circulation-and-reserve-buffer-in-q4-2024-attestation/" target="_blank">Tether公布了2024年的財務表現</a>，顯示該公司去年獲利超過130億美元，所持有的美國國債則達到1,130億美元。</p> <p>新的USAT將是首款受到美國監督的Tether穩定幣，新任命的Tether US執行長Bo Hines曾是前白宮加密貨幣委員會的執行董事，Hines將會負責組建團隊，建立治理架構，與監管機關協調，確保USAT符合《GENIUS Act》法令，代表Tether正積極準備進入主流的監管體系。</p> <p>Tether表示，USDT為全球使用最廣泛的穩定幣，也是推動數位資產經濟的基礎設施，市值超過1,690億美元，每日交易量甚至超越了頂級信用卡業者，此外，它還是全球新興市場及發展中國家的數位美元，覆蓋全球近5億用戶，特別是那些缺乏銀行帳戶或銀行服務不足的社群。</p> <p>至於USAT將完全受到美國監管，旨於替企業及機構提供現金與傳統支付方式的數位替代方案，希望在嚴格的監管標準及透明儲備的支持下，可替美國穩定幣產業的合規性與可及性樹立全新基準。</p> <p>Tether並未公布USAT發行時間，但外界預期USAT可能會在今年底前問世。</p> </div></div></div>
2025/9/15 12:41作者陳曉莉https://www.ithome.com.tw/news/171189
Go開發者現可用Genkit Go，以型別安全Flow函式封裝AI打造智慧應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出<a href="https://developers.googleblog.com/en/announcing-genkit-go-10-and-enhanced-ai-assisted-development/">Genkit Go 1.0</a>，這是其在Go語言生態開源人工智慧應用框架。Genkit Go 1.0已進入可部署於生產環境的階段，官方也承諾會在1.x系列維持API相容性，既有程式碼能隨後續小版號更新持續編譯與執行。同時，Google也釋出genkit init:ai-tools命令，供開發者將人工智慧程式設計助理直接整合至開發流程。</p> <p>Genkit是一套專為建構全端人工智慧應用而設計的框架，提供統一介面以存取多家模型供應商，並支援多模態內容、結構化輸出、工具呼叫、RAG與代理式工作流等功能。對Go社群而言，最大特點是透過Flow這一概念，將人工智慧應用封裝為型別安全的函式。開發者可利用Go struct定義輸入輸出，並結合JSON Schema進行檢驗，確保生成結果能以既定格式回傳，降低資料不一致或解析錯誤的風險。</p> <p>Flow在Genkit中是一個具名的函式單元，內部處理提示詞與模型推論，外部則可作為HTTP端點提供呼叫。這樣的封裝方式讓人工智慧任務具備可測試、可觀測與可部署特性，與一般服務元件接近，方便版本管理與執行軌跡檢視。開發者可以將Flow視為應用的邏輯單位，方便在專案中組合或重用。</p> <p>模型支援方面，Genkit Go提供統一API與外掛機制提供多家模型供應商選項，包括Google Gemini/Vertex AI、OpenAI，同時支援OpenAI相容端點，因而可連接像Ollama等相容服務，要使用Anthropic Claude，可透過OpenAI相容端點或社群外掛整合，一般情況，開發者僅需調整模型名稱或設定即可在不同供應商間切換，維持程式碼結構穩定。同時，工具呼叫功能讓模型能以結構化方式存取外部服務，例如定義查詢天氣的函式與輸入格式，再由模型在生成過程中呼叫，將模型推論與後端邏輯清楚分離。</p> <p>開發者可用CLI啟動本機應用並呼叫視覺化介面，讓開發者互動測試Flow、調整提示詞與模型設定，或追蹤詳細的執行流程，包括延遲、Token消耗與成本。安裝方式簡單，macOS與Linux用戶可一行指令就完成安裝，Windows則可直接下載，整體工作流程與Go的原生開發習慣相容。</p> <p>新增的genkit init:ai-tools指令則針對人工智慧助理整合，能夠自動檢測既有設定並安裝Genkit MCP伺服器，提供常見工具如查詢文件、列出Flow、執行測試輸入與擷取執行追蹤（Trace），並產生GENKIT.md文件，說明不同語言與工具的整合方式。目前已支援Gemini CLI、Firebase Studio、Claude Code與Cursor，其他工具則可透過通用選項整合。</p> </div></div></div>
2025/9/15 12:50作者李建興https://www.ithome.com.tw/news/171188
AI驅動的人才招募業者Micro1完成3,500萬美元的A輪融資，估值5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供AI驅動人才招募服務的<a href="https://www.micro1.ai/series-a" target="_blank">Micro1上周五（9/12）宣布</a>，已完成3,500萬美元的A輪融資，估值為5億美元，以用來建置新平臺。</p> <p>Micro1是在2022年由Ali Ansari所創辦，最終願景是打造全球最優秀的人類智慧平臺，以讓每個人都能找到最適合自己的工作，第一步即是支援AI實驗室與企業創造通用人工智慧（AGI）。</p> <p>目前Micro1藉由AI面試官來審核人類智慧，以AI執行人才績效管理，並建立一個資料平臺來訓練尖端AI模型。該公司表示，AI面試官（AI Interviewer）讓企業不只看履歷，還能全面呈現候選人的樣貌，把他們與最適合的工作配對；再藉由人才績效管理蒐集到真實的在職表現；並利用這些資料來訓練預測模型。</p> <p>目前該公司的資料平臺已受到許多AI實驗室與Fortune 10企業青睞，將其應用在評估及訓練AI模型。</p> <p>除了AI招募平臺之外，Micro1也協助AI新創尋找及管理資料標記及訓練的人類承包商，<a href="https://www.micro1.ai/model/ava" target="_blank">並於今年8月推出了監控模型Ava</a>，宣稱可逮到93%的作弊者。</p> <p>美國媒體認為Micro1是Scale AI的競爭者，可填補<a href="https://www.ithome.com.tw/news/169561" target="_blank">Scale AI被Meta收編</a>後的空白，<a href="https://www.reuters.com/business/scale-ai-competitor-micro1-raising-funds-500-million-valuation-sources-say-2025-07-28/" target="_blank">路透社（Reuters）還引述消息來源報導</a>，Micro1的年化收入已超過5,000萬美元。</p> </div></div></div>
2025/9/15 13:12作者陳曉莉https://www.ithome.com.tw/news/171190
xAI Grok AI部門裁撤資料標註人員傳500人丟飯碗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/elon-musk-xai-layoffs-data-annotators-2025-9" target="_blank">Business Insider報導</a>，xAI上周因策略改變，裁減了Grok AI模型訓練人員約500名員工。</p> <p>Business Insider報導指出，這波裁員影響xAI資料標註1500人團隊的1/3，他們負責訓練xAI聊天機器人Grok的模型訓練。</p> <p>媒體引述取得xAI的裁員信件報導，該公司基於立即的「策略轉變」，將「加速專家AI導師的擴充和優先順序，同時縮減一般AI導師角色。」因此，該公司說不再需要大部份一般AI導師的職位，意味這些員工工作結束。</p> <p><a href="https://x.com/xai/status/1966677385056841884" target="_blank">xAI證實</a>，表示專家AI教師可增加巨大價值，該公司立即啟動擴大專家AI教師規模10倍。xAI也開始招聘理工科、財經、醫療、安全等領域的專業人才。</p> <p>xAI希望在AI領域能擊敗OpenAI。<a href="https://www.ithome.com.tw/news/170806" target="_blank">xAI及X上個月控告蘋果和OpenAI壟斷市場</a>，指兩者共謀使ChatGPT成為macOS和iOS 唯一聊天機器人，擠壓競爭者的機會。</p> </div></div></div>
2025/9/15 10:23作者林妍溱https://www.ithome.com.tw/news/171186
Apple Watch血壓量測功能獲得美國FDA上市許可
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2025/09/apple-debuts-apple-watch-series-11-featuring-groundbreaking-health-insights/" target="_blank">蘋果預告Apple Watch新增的血壓量測功能</a>，很快將獲得美國、歐盟等醫療主管機關的上市許可，成為最新的醫療級量測功能。</p> <p>蘋果上周發表iPhone 17外，也公布了最新一代Apple Watch Series 11（簡稱Apple Watch 11）。新款Apple Watch採用更耐刮的Ion-X玻璃、支援5G、提升電池續航力最長達24小時，另一特色在新增高血壓通知（Hypertension notification）。</p> <p>蘋果說明，高血壓通知是植基於嚴苛的科學驗證，以進階機器學習和涵括10萬多名受試者的多項研究訓練資料開發而成，並經由2000多名受試者資料的臨床驗證。目前這項通知尚無法偵測所有高血壓事件，但預計第一年內可對超過100萬未經診斷者發送通知。</p> <p>蘋果預計很快會獲得美國食品藥物管理署及其他監管機關的上市許可，本月內將在美國及歐盟等150多個國家地區推出。可獲得高血壓通知功能的Apple Watch為可升級watchOS 26的機種，包括Apple Watch 9以後與Apple Watch Ultra 2以後的產品。</p> <p>如果用戶接到高血壓通知，建議他們使用第三方專業臂帶式血壓計量測血壓7天，並將量測結果分享給專科醫生。</p> <p>此外Apple Watch 11還新增睡眠品質的分析與評分功能。Apple Watch的感測器能在用戶睡眠時蒐集心率、腕部溫度、血壓和呼吸率，而在升級到watchOS 26，Apple Watch將可量測睡眠品質，包含睡眠時間、就寢／起床時間一致性、夜間醒來次數、不同睡眠階段所佔時間等。用戶可在睡醒後從睡眠 App 看到整體評分與細部資訊。</p> <p>這是蘋果最新獲得FDA上市許可的健康功能。在此之前Apple Watch的醫療級功能包括心電圖、心律不整及睡眠呼吸中止症（Sleep Apnea）。</p> <p>蘋果的血氧偵測功能也受注目。2023年被法院判決侵害Masimo專利，<a href="https://www.ithome.com.tw/news/160851" target="_blank">去年初正式從Watch 9和Ultra 2移除</a>。不過在蘋果修改設計，將血氧量測數值移到手機上後，<a href="https://www.ithome.com.tw/news/170626" target="_blank">使其得以經由新版iOS 18.6.1及watchOS 11.6.1重新部署到智慧型手錶上</a>。不過該功能並未獲得FDA上市許可。</p> <p>外傳蘋果還在開發體溫偵測（目前腕部溫度偵測非醫療應用）甚至血糖偵測功能。</p> </div></div></div>
2025/9/15 09:29作者林妍溱https://www.ithome.com.tw/news/171183
1.1萬臺物聯網裝置、路由器遭綁架，發動每秒15億個封包的DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月初資安業者Cloudflare揭露<a href="https://www.ithome.com.tw/news/171004">峰值達到11.5 Tbps的DDoS攻擊</a>，封包速率最高達5.1 Bpps，持續約35秒，一開始認為攻擊流量來自Google雲端，後續確認同時來自物聯網裝置及多家雲端服務供應商，如今<a href="https://fastnetmon.com/2025/09/09/press-release-fastnetmon-detects-a-record-scale-ddos-attack/">有其他資安業者發現新一波攻擊行動</a>，但這次主要是針對緩解相關攻擊的服務業者而來。</p> <p>英國資安業者FastNetMon於9月9日指出，他們發現專門針對西歐一家DDoS流量清洗服務業者的DDoS攻擊，封包的速率每秒達到15億個（1.5 Gpps或1.5 Bpps），惡意流量主要是UDP洪水攻擊，由全球1.1萬臺物聯網裝置及路由器等用戶端設備（Customer-Premises Equipment，CPE）產生。由於這起事故發生在Cloudflare揭露的事故數天之後，代表攻擊者現在已經將攻擊流量和封包的規模，提升到另一個境界。</p> <p>針對這樣的現象，FastNetMon認為，當數以萬計的CPE設備被挾持用於如此大規模DDoS攻擊，網際網路服務供應商（ISP）的資安風險就會呈現指數級成長，因此，業者必須在ISP層級實施相關偵測，才有機會在流量膨脹到如此規模之前，攔阻這類攻擊。</p> </div></div></div>
2025/9/15 10:14作者周峻佑https://www.ithome.com.tw/news/171177
針對曝露的Docker API，駭客透過Tor網路發動新一波行動，疑綁架用於殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月資安業者趨勢科技揭露<a href="https://www.ithome.com.tw/news/169786">針對組態配置不當的Docker API挖礦的大規模攻擊行動</a>，駭客將作案工具存放於架設在洋蔥網路（Tor Network）的伺服器，意圖隱匿相關活動，如今有新的發現，指出相關攻擊的威脅加劇。</p> <p>資安業者Akamai今年8月在本身設置的蜜罐陷阱基礎設施，<a href="https://www.akamai.com/blog/security-research/new-malware-targeting-docker-apis-akamai-hunt">發現新一波的攻擊行動</a>，雖然駭客同樣針對曝露在網際網路，且具備弱點而有機會被感染的Docker API而來，但這次使用的初始存取管道有所不同，而且，攻擊者還讓其他人無法透過網際網路存取受害的Docker API。值得留意的是，這波攻擊行動的惡意程式也相當特殊，因為攻擊者並未植入挖礦軟體，而是部署其他工具，疑似打算充當殭屍網路的的基礎設施。</p> <p>Akamai起初偵測到來自數個IP位址的請求，攻擊者疑似想要在其中一臺伺服器建立容器，因而引起他們的注意並著手調查。</p> <p>攻擊者掛載伺服器的檔案系統，並執行經Base64演算法編碼遮蔽的指令碼，意圖建立新的容器，Akamai解析指令碼的內容，確認其功能主要是設定容器組態：部署公用程式curl、tor，並於背景啟動tor處理程序，接著從洋蔥網域取得另一個指令碼docker-init.sh。</p> <p>接著，攻擊者將自己的金鑰加入SSH連線，然後植入一系列工具masscan、libpcap、libpcap-dev、zstd、torsocks，用來迴避偵測、持續活動、以及進行擴散。</p> <p>攻擊者運用cron建立工作排程，針對Docker API使用的連接埠2375埠，設定每分鐘使用多種防火牆工具封鎖，目的是不讓其他人能夠存取受害主機資源。然後才向C2建立通訊，並從另一個Tor服務下載經壓縮處理的二進位檔案。</p> <p>特別的是，其中一個檔案是使用Go語言打造的惡意程式部署工具，執行過程竟出現Emoji表情符號，Akamai推測，可能是因為攻擊者借助大型語言模型（LLM）撰寫程式碼。</p> <p>為了進行橫向感染，攻擊者透過masscan掃描網際網路上開放的2375埠，試圖向其他可公開存取的Docker API擴散，不過值得留意的是，惡意程式的二進位檔案也納入另外兩個連接埠的檢查機制，它們是23埠及9222埠，分別用於Telnet連線，以及Chrome瀏覽器遠端除錯。雖然實際上惡意程式現在只掃描2375埠，但這項發現，很可能與未來即將出現的新功能有關，像是能嘗試使用預設帳密存取路由器、竊取瀏覽器Cookie或信用卡資料、從外部存取雲端中繼資料等受管制的資訊，以及發動DDoS攻擊。</p> </div></div></div>
2025/9/15 10:19作者周峻佑https://www.ithome.com.tw/news/171181
惡意軟體GPUGate鎖定西歐IT業者而來，透過GPU晶片系統資訊迴避沙箱及VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客看上受害電腦的圖形運算晶片（GPU），用於網路犯罪的情況，最常見的手法，是用於挖礦，但也有人用來避免惡意軟體遭到端點防毒系統攔截。</p> <p>最近資安業者Arctic Wolf揭露<a href="https://arcticwolf.com/resources/blog/gpugate-malware-malicious-github-desktop-implants-use-hardware-specific-decryption-abuse-google-ads-target-western-europe/">名為GPUGate的惡意軟體攻擊手法</a>，就是這種型態的例子。這種攻擊手法在8月下旬發現，鎖定西歐的歐盟成員國，針對開發者及IT專業人士而來，企圖竊取帳密資料、散布勒索軟體、進行滲透及橫向移動，甚至是進行供應鏈攻擊。</p> <p>攻擊者購買Google廣告，並利用GirGub儲存庫的結構，將使用者引導到特定網域下載惡意軟體。駭客傳送檔案大小達到128 MB的MSI安裝檔案，目的是迴避大部分的沙箱系統偵測，而最特別的策略，就是駭客運用受害電腦的顯示晶片解密惡意酬載，若是在沒有正常顯示晶片的環境，惡意酬載則維持加密的狀態。</p> <p>針對這起攻擊鏈發生的過程，駭客先購買惡意廣告，聲稱提供GitHub電腦版應用程式（GitHub Desktop），由於該廣告顯示為由GitHub贊助，又出現在搜尋的第一個結果，很容易讓使用者上當。</p> <p>一旦上當點選連結，使用者就會被帶往攻擊者於合法的GitHub儲存庫當中，建立的提交（Commit）內容，駭客在提交內容的說明（Readme）檔案裡，加入惡意下載連結。雖然GitHub會留存所有提交記錄，以供開發人員比對，但現在也被濫用。攻擊者嵌入提交網頁的URL雜湊值，他們就能產生看起來與原本儲存庫相同的網頁。</p> <p>由於GitHub提交頁面顯示真實、合法的資料，包含儲存庫的名稱、URL、分叉版本數量、得到的星號數量、貢獻者等，唯一的差別是在網頁上方出現黃底的警示訊息，提醒使用者正在檢視提交的內容。使用者往往會忽略上述警示訊息，並點選攻擊者埋入的惡意連結，而被導向惡意網域gitpage[.]app。</p> <p>使用者下載初期的可執行檔GitHubDesktopSetup-x64.exe，此為.NET Framework打造，內含171個執行檔，但超過100個實際上是用於混淆視聽的垃圾檔案，目的是消除噪音並膨脹整體的檔案大小，但實際上有問題的檔案是 UpdaterClient.dll，檔案大小約為60 MB。此外，為了防止他人透過公用程式分析，攻擊者也修改了檔案的標頭。</p> <p>有別於其他惡意軟體開發者會盡可能讓程式碼與大部分的電腦相容，但GPUGate並未採取這種策略，而是刻意排除特定硬體環境的電腦。Arctic Wolf指出，原因是未具備正常GPU的電腦，很有可能是虛擬機器（VM）、沙箱環境，或是研究人員用於分析的舊電腦。而駭客判斷的機制有兩個，首先是GPU名稱的字元長度，若是沒有超過10個字元（例如：VMware SVGA），那處理程序就會終止；另一個則是特定的GPU功能，若是沒有，惡意程式也同樣不會運作。</p> <p>惡意軟體開發者在GPUGate實作了兩個階段的OpenCL解密機制，先透過特定金鑰及XOR演算法，透過GPU進行第一階段解密，目的是產生第二階段解密的AES金鑰。</p> <p>接著他們透過上述解密金鑰，並透過解密功能的程式碼來解出惡意程式GPUGate。此惡意軟體透過PowerShell隱密執行，並在受害電腦得到權限提升，攻擊者也在受害電腦建立工作排程，而能在電腦重開機後，以管理權限執行。</p> <p>駭客會根據受害電腦的特徵，下載模組化的有效酬載，這些元件以ZIP檔案打包而成，特別的是，C2伺服器的網域名稱及IP位址橫跨不同的主機代管供應商，目的是避免特定的基礎設施遭到下架而影響活動。</p> </div></div></div>
2025/9/15 10:20作者周峻佑https://www.ithome.com.tw/news/171179
微軟警告Windows 10將在一個月後終止技術支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3656" target="_blank">微軟上周五（9/12）發出通知</a>提醒Windows 10企業及消費者版本將在30日後，即2025年10月14日來到技術支援終點。</p> <p>根據微軟的30-Day提醒，將在下個月14日失去技術支援的包括：Windows 10 22H2 Home、Pro、Enterprise、Education及IoT Enterprise版本，以及Windows 10 2015 LTSB及Windows 10 IoT Enterprise LTSB 2015。10月份的每月安全更新（Patch Tuesday）將是這些版本接獲的最後一次更新。此後，所有執行這些作業系統的裝置，都不會再獲得包含最新威脅防護的安全更新以及預覽版更新。</p> <p>由於Windows 10用戶市占仍然相當大，<a href="https://www.ithome.com.tw/news/165795" target="_blank">微軟去年首度對消費者PC公布付費延伸安全更新</a>（Extended Security Update，ESU）。之前微軟僅對企業版Windows 7提供ESU。今年6月微軟更進一步新增2種ESU方案，一是以Microsoft Rewards 1000點兌換ESU。二是使用Windows Backup功能將Windows設定同步到雲端，使用二種方法皆可不需支付其他費用換取ESU。</p> <p>不過微軟提醒，ESU方案僅針對「重大」安全問題提供安全性更新，不包含技術支援。</p> <p>微軟是透過「大量授權」來銷售ESU授權。企業用戶最多可以買三年ESU（1臺PC授權第一年61美元，第二年122美元，第三年244美元），消費者ESU則只提供1年（費用30美元）。此外，企業授權規定嚴苛，例如第二年才買ESU者，也需支付第一年費用。</p> <p><a href="https://learn.microsoft.com/zh-tw/windows/whats-new/extended-security-updates" target="_blank">根據臺灣微軟網頁</a>，購買ESU後的用戶可從M365系統管理中心取得「多個」啟用金鑰。今年11月就會需啟用第一個ESU更新。第一年個人版ESU提供的安全更新期間到2026年10月13日。</p> <p><a href="https://gs.statcounter.com/windows-version-market-share/desktop/worldwide/" target="_blank">根據市調公司StatCounter的估計</a>，Windows 10在Windows桌機比例達45.7%，Windows 11則為49.0%。</p> <p>微軟同時對Windows 11 23H2 Home、Pro版發出60天支援倒數通知，提醒今年11月11日，這些版本也將終止技術支援，建議用戶升級到最新版本Windows 11。</p> </div></div></div>
2025/9/15 09:14作者林妍溱https://www.ithome.com.tw/news/171182
VS Code 8月更新強化AI聊天功能與代理安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://code.visualstudio.com/updates/v1_104">VS Code 8月更新版</a>，本次更新重點在於人工智慧聊天功能與代理工作流程，包括自動模型選擇、敏感檔案與終端機操作的多層級保護，以及Python、生產力工具與終端機體驗的多項改進。VS Code開發團隊強調，在提升人工智慧自動化效能的同時，也將安全與可控性納入優先考量。</p> <p>VS Code新增自動模型選擇功能，使用者在模型選單中選擇Auto後，系統會自動在Claude Sonnet 4、GPT-5、GPT-5 mini、GPT-4.1與Gemini Pro 2.5之間切換，並顯示實際選用模型與倍率（Multiplier）。此功能將逐步提供給GitHub Copilot使用者，付費用戶則享有10％的請求折扣。</p> <p>另一項實驗性功能是AGENTS.md，當專案根目錄存在該檔案，內容將自動納入聊天上下文，適合需要多人或多代理協作的團隊。開發者還可同時透過新設定，讓自訂提示詞檔案依照特定檔案類型或語言自動出現，提升工作流程的一致性。</p> <p>VS Code的安全限制也更嚴格，代理在嘗試修改系統資料夾、隱藏檔或非工作區檔案時，預設會要求使用者確認，避免關鍵設定被不當變更。終端機自動核准新增明確的啟用流程，使用者需先在聊天檢視的下拉選單中明確開啟此功能，之後便可直接將當次命令加入自動核准規則，並在聊天介面檢視或調整所套用的規則。</p> <p>針對curl、wget或PowerShell的網路存取，系統會顯示額外警告，以降低被惡意指令利用的風險。過去的全域自動核准功能則改名為chat.tools.global.autoApprove，並在首次使用時跳出高風險提示，提醒使用者謹慎操作。此外，要是開發者不希望使用人工智慧功能，可透過chat.disableAIFeatures關閉並同步停用所有Copilot內建功能。</p> <p>在代理協作方面，聊天工作階段（Chat Sessions）檢視整合本機與外部來源的對話，支援多工作階段並能在狀態列追蹤進度。與GitHub程式開發代理的整合更緊密，程式碼中的TODO註解可直接委派給代理處理，並能在新的聊天編輯器中即時查看進度。</p> </div></div></div>
2025/9/14 22:09作者李建興https://www.ithome.com.tw/news/171178
西門子SIMATIC PCS neo工控平臺曝高風險漏洞，恐致遠端程式碼執行與當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西門子（Siemens）ProductCERT發布<a href="https://cert-portal.siemens.com/productcert/html/ssa-722410.html">資安通報</a>，指出整合於SIMATIC PCS neo工控平臺的UMC（User Management Component）存在多項嚴重弱點，未經驗證的遠端攻擊者可透過網路觸發，進而執行任意程式碼或造成系統中斷。官方已釋出修補版本，並呼籲使用者盡速更新，以降低受攻擊的風險。</p> <p>通報指出，所有低於UMC V2.15.1.3的版本均受影響。西門子已推出V2.15.1.3作為修補版本，並建議使用者在可行的情況下立即升級，要是暫時無法更新，官方也提出臨時因應措施，在非網路部署情境，用戶可以直接在安裝UMC的機器上封鎖TCP 4002與4004連接埠。</p> <p>當部署未採用RT Server類型的UMC機器，則可在所有UMC機器類型，包括Server、Ring-Server、Agent上全面封鎖4004連接埠，在不影響其他UMC機器類型網路功能的情況，透過降低攻擊面爭取升級緩衝時間。</p> <p>這次揭露的漏洞包括CVE-2025-40795堆疊緩衝區溢位，以及三項越界讀取CVE-2025-40796、CVE-2025-40797、CVE-2025-40798。CVE-2025-40795可能導致攻擊者遠端執行程式碼或讓服務停擺，後者則可能造成服務阻斷。整體風險評估極高，CVSS v3.1基礎分數達9.8，v4.0評分也高達9.3，代表攻擊條件低且影響範圍廣。</p> <p>西門子同時強調，一般性資安措施仍是基礎防線，包括限制對工控裝置的網路存取，依照工業資安作業指南配置防護環境，並遵循產品手冊中的建議做法。</p> <p>美國網路安全暨基礎設施安全局（CISA）也對這幾個漏洞發布<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-25-254-07">ICS警示</a>，提醒雖然目前尚未觀察到公開利用案例，但仍建議使用者立即升級UMC至最新版本，同時確保工控系統不直接暴露於網際網路，並採取防火牆與VPN等基本防護措施。對PCS neo V4.1與V5.0官方目前未規畫修補，防護以UMC更新與網路面控管為主。</p> </div></div></div>
2025/9/12 19:32作者李建興https://www.ithome.com.tw/news/171175
Google準備關閉工作追蹤工具Tables
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/area120-tables/answer/10831919" target="_blank">Google於9月初宣布</a>，即將於2025年的12月16日關閉工作追蹤工具Tables。</p> <p><a href="https://www.ithome.com.tw/news/140147" target="_blank">2020年9月發表的Tables</a>是個協作式資料庫工具，類似進階版的試算表，可用來建立結構化資料表格，設定不同欄位類型（文字、數字、日期、選項等），支援多人即時協作編輯，可建立自訂檢視和篩選條件，自動化工作流程，適用於專案管理、客戶關係管理、庫存追蹤等需要結構化資料處理的場景。</p> <p>Tables來自Google內部育成中心Area 120，它是由Google資深員工Tim Gleason所建立，Gleason不僅擔任Tables總經理，之後也成為NotebookLM首席技術經理，但已於2024年9月退休。</p> <p>2021年時一度傳出Tables要自Area 120畢業，成為Google Cloud的正式產品，而且Google的確也規畫了付費方案，但從未真正啟動收費機制。</p> <p>Google並未說明關閉Tables的原因，僅說已將Tables的許多功能整合到無程式碼平臺AppSheet上，而且自2023年6月起，Tables的直覺式資料建模及儲存功能便在AppSheet中以AppSheet資料庫的形式推出。AppSheet資料庫提供與Tables類似的資料管理及追蹤體驗，還可與更廣泛的Tables平臺整合，支援自動化建置、行動程式、聊天程式或其它客製化解決方案。</p> <p>若不想遷移到AppSheet，也可選擇移至Google Sheet。</p> <p>目前的Tables已不再接受新註冊，且所有工作空間也都已變成唯讀模式，無法編輯，只能匯出至其它平臺，並將於今年的12月16日關閉服務。</p> </div></div></div>
2025/9/12 18:04作者陳曉莉https://www.ithome.com.tw/news/171176
東元電機如何快速打造關節模組切入機器人市場？饒達仁：用AI縮短最佳化設計所需時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不論是人型機器人還是現在很夯的機器狗，驅動機器人肢體靈活運動自如的關鍵元件是關節模組，一臺機器人或機器狗身上往往需要多個關節模組，國內以生產製造馬達起家的東元電機看準市場商機，近幾年積極投入研發機器人關節模組的研發設計，今年8月才剛在自動化展上秀出機器人關節模組，但是其關節模組設計的背後，AI設計軟體提供不小的助力，東元電機技術長饒達仁近期在一場活動中分享研發關節模組的祕辛。</p> <p>饒達仁今年1月初才加入東元電機，但是他對於機械動力模組的研發並不陌生，在加入東元電機之前，他在工研院擔任機械所所長，曾帶領工研院團隊投入自駕車、無人機，以及後來的機器狗的研發，進入東元電機後擔任技術長，協助東元電機研發國產的旋轉關節模組。</p> <p>饒達仁相信機器人或是四足機器人未來將成為重要的趨勢，從大部分市場研究報告顯示，至少有1000億美元商機，Nvidia執行長黃仁勳也對外說，無人機、機器人、自駕車相關市場商機應有100兆美元商機，這也是吸引東元電機投入原因。</p> <p>他加入東元電機後，結合東元的馬達製造，先投入人型機器人的關節模組研發，至於機器狗的關節模組也與工研院合作，未來將和工研院共同展示機器狗。接下來，人類身上6大關節模組研發，並投入量產，目標是讓關節模組的性能可和歐美的技術比美，而模組的價格必需與紅色供應鏈一樣低，才能競爭世界市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1000003532.jpg" style="width: 600px; height: 450px;" /></p> <p><strong><span style="color:#B22222;">AI設計軟體助攻</span></strong></p> <p>然而傳統的馬達模組和機器人使用的關節模組，在設計上有何不同？機器人關節模組設計上的挑戰有哪些，廠商如何克服？</p> <p>饒達仁指出，儘管機器人用的關節模組結構大同小異，包括馬達、減速器、高精度感測器等，但是因為關節模組的大小不同，放置的位置不同，其設計上也需要作調整，透過設計軟體，甚至運用到最佳化設計。</p> <p>他表示，傳統上馬達有兩個重要參數，一個是轉速（RPM），另一個則是力學上的受力（Torque），一般而言，以轉速和受力兩者互斥，轉速愈高、受力愈小，而轉速愈慢、受力愈大；以往機械手臂的需求是快速精準移動位置，因此轉速要快，但受力不需那麼高，因此以往各種馬達設計上，要求快速移動到精確位置的要求。但是機器人或機械狗，當機器人或狗要向上跳起，關節模組需使機械人或狗能夠撐起跳躍，關節模組轉速和受力都需要提升，這是機器人關節模組內的馬達設計特別之處。此外，除了轉速、受力之外，基於機械狗的型體，還需要考慮不同模組的大小和重量，還有價格要有競爭力。</p> <p>饒達仁進一步說明關節模組研發設計上的複雜性，關節模組除了馬達轉速，力學上的受力，當馬達轉速增加，內部的帶動齒輪機構是否能承受，如果無法承受就可能因此破壞掉，因此需要力學的分析，另一方面當馬達轉速提升後，馬達本身發熱會影響到其性能表現，因此電機、熱學、力學彼此之間是相互聯動的，東元電機透過設計平臺整合這些數據。</p> <p>「透過設計軟體的協助，以及軟體提供的最佳化設計，為設計端節省許多時間，過去可能要花費2、3個月時間，現在一個關節模組可能只要1、2周就能設計出來，並且是最佳化設計」，饒達仁說。</p> <p>為了研發關節模組，饒達仁指出，在研發設計端的挑戰是同時需要模擬電機、機械材料特性及性能，運轉時的震動、噪音、散熱的表現，因每個元件之間聯動，計算出的數據需要換到另一個元件聯動以偵錯實作，透過設計軟體的雲端數據平臺，確保數據不會出錯，不同工程師能夠存取數據，同時也強化資安控管，確保研發數據不會外洩。</p> <p>過去廠商在設計產品時，特別是針對多參數的最佳化設計較棘手，往往需要手動或半自動調整，不斷找出最佳化設計；饒達仁認為，現在透過設計軟體的AI演算法，提供幾個最佳化設計方案的選項，再由設計開發人員決定，節省相當多的時間。在產品開發設計時，目前設計軟體提供的AI工具，從輸入的數據中快速進行分析，為其演算法的優勢，能夠快速提供開發人員最佳化設計，是AI推動產業創新的好處之一。</p> <p>熟悉各家設計軟體的饒達仁舉例說明AI在產品設計上的優勢，當產品需要輕量化設計，例如重量要從2公斤降到1.8公斤，開發設計人員可以由AI從大量的材料數據中進行分析，提供最佳化設計方案讓設計人員參考，可能從廠商既有的材料數據中，協助設計人員找出最佳化設計，或是提出開發人員意想不到的建議。「現在AI真的比以往強太多，它會提出以往想不到的事情」，饒達仁說。</p> <p>換言之，運用AI輔助產品開發設計，可能提供設計人員可能沒有想到的設計概念，另外，AI對使用材料的建議，也可能超出廠商原有的材料數據庫，啟發廠商使用創新的材料或工法。</p> <p>另外，因應ESG的淨零碳排趨勢，材料數據也加入碳費。饒達仁表示，讓開發設計人員除了選擇最佳化設計之外，也能考慮使用哪一種材料，它的碳費成本高低、加工程序，從選擇材料到製造找到最適當的方法。</p> </div></div></div>
2025/9/12 18:05作者蘇文彬https://www.ithome.com.tw/news/171174
Pixel 10相機與相簿啟用C2PA內容憑證，建立可驗證的拍攝與編輯鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2025/09/pixel-android-trusted-images-c2pa-content-credentials.html">Google Pixel 10的相機應用會對每張JPEG寫入C2PA內容憑證，</a>而Google相簿則會讀取與顯示C2PA內容憑證，並在編輯時續寫相應描述。該功能把可驗證的來源與歷程帶進行動攝影生態，Google強調，目的不是區分人工智慧或非人工智慧，而是讓影像的產生與處理步驟可以被查證。</p> <p>C2PA內容憑證是一套產業標準，透過數位簽章把影像的來源、拍攝或編輯步驟嵌入檔案。當支援的檢視工具讀到這些資料，使用者能看見影像是否由相機拍攝、是否經人工智慧或非人工智慧工具處理、處理順序為何。</p> <p>Pixel相機應用通過C2PA一致性計畫的第二級驗證保障（Assurance Level 2），這是目前計畫中最高等級的安全驗證，其達成仰賴Android的硬體安全架構，包括Tensor G5處理器、Titan M2安全晶片，以及Android Key Attestation、遠端金鑰配置（RKP）與StrongBox等功能。Titan M2經過國際安全標準的認證，用於在晶片層級產生並保護簽章金鑰，而Key Attestation則讓憑證機構能確認裝置狀態是否安全，並驗證請求憑證的應用是否為受信任的版本。</p> <p>隱私設計採可驗證、不涉個資的原則，憑證核發在伺服端以硬體支援的匿名證明完成，不需綁定使用者帳號，並避免留下可回推身分的伺服端紀錄。另一個重點則是一次性憑證策略，每張影像使用獨立金鑰與憑證，不重複使用，從密碼學方法阻斷透過金鑰將多張照片彼此關聯的可能性。</p> <p>由於要在離線情境也能維持可驗證性，Pixel 10在裝置側提供可信時間戳功能。受保護的安全時鐘在上線時定期與可信來源同步，離線時仍可維持，按下快門當下便能標註時間戳，即使日後簽章憑證到期，影像的拍攝事實仍可被驗證。</p> <p>Pixel相機應用拍攝時，會對每張JPEG自動寫入內容憑證，當使用者在Google相簿開啟含憑證的影像，系統會在資訊面板顯示來源與編輯摘要，並在使用人工智慧或非人工智慧工具進行編輯時，將新的處理步驟寫入憑證鏈。</p> <p>C2PA內容憑證正成為數位媒體可信度的共同標準，從相機、影像編輯軟體到生成式人工智慧服務都有導入。行動裝置方面，除Pixel 10外，有<a href="https://www.androidauthority.com/galaxy-s25-content-credentials-3523256">外媒報導</a>三星Galaxy S25系列在使用Galaxy AI編輯影像時，會自動加註C2PA內容憑證後設資料，以提升影像來源與編輯可追溯性。</p> </div></div></div>
2025/9/12 18:09作者李建興https://www.ithome.com.tw/news/171173
美國FTC出手要求Google、OpenAI、Meta等業者提供AI機器人如何影響兒童與青少年的資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2025/09/ftc-launches-inquiry-ai-chatbots-acting-companions" target="_blank">美國聯邦交易委員會（FTC）周四（9/11）宣布</a>，已要求7家AI聊天機器人供應商提供資訊，說明它們如何衡量、測試與監控這類技術對兒童及青少年的潛在負面影響。被點名的業者包括Alphabet、Character、Instagram、Meta、OpenAI、Snap與XAI。</p> <p>FTC解釋，AI聊天機器人可能透過生成式AI技術，模擬與人類相似的溝通方式與人際互動，可有效模仿人類特質、情感及意圖，通常被設計為像朋友或知己般地與使用者互動，可能導致部分使用者，特別是兒童與青少年的信任並與之建立關係。</p> <p>因此，此次的調查是為了了解上述公司是否採取了任何措施，在聊天機器人擔任「陪伴者」角色時評估其安全性，限制兒童與青少年的使用並降低其潛在負面影響，以及是否向使用者及其家長告知相關風險。</p> <p>外界相信，FTC之所以展開這類的調查，是因為近來聊天機器人被懷疑與許多自殺事件有關，例如<a href="http://en.wikipedia.org/wiki/Raine_v._OpenAI" target="_blank">加州一名16歲青少年的父母控告OpenAI</a>，指責ChatGPT促成小孩自殺。還有<a href="http://apnews.com/article/chatbot-ai-lawsuit-suicide-teen-artificial-intelligence-9d48adc572100822fdbc3c90d1456bd0" target="_blank">一名14歲青少年與Character.AI的聊天機器人討論自殺念頭</a>，最後也成功自殺了；另一名<a href="https://www.reuters.com/investigates/special-report/meta-ai-chatbot-death/" target="_blank">有認知障礙的男子迷上了Meta所打造的聊天機器人暨虛擬化身</a>，還要出門與之約會，結果出門後不小心跌倒受傷，數天後死亡。</p> <p>上述意外及涉及聊天機器人的爭議令FTC採取行動，要求7家業者回答各項資訊，包括如何將與使用者的互動變現；如何處理使用者的輸入並生成回應；如何開發及審核角色；如何在部署前後衡量、測試與監控負面影響；如何緩解負面影響，特別是兒童。</p> <p>以及如何透過揭露、廣告與其它方式向使用者及家長告知其功能、目標受眾、潛在負面影響、資料蒐集與處理；如何監控並執行服務條款及公司規範，像是社群守則及年齡限制；如何使用或分享透過與聊天機器人對話所獲得的個資。</p> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/meador-6b-ai_statement.pdf" target="_blank">FTC委員Mark Meador認為</a>，生成式AI同時帶來了潛力與風險，後者包括誤導性/不準確回應、濫用個資、內容偏見，以及對兒童及青少年的傷害等，例如那些可模仿人類互動能力的AI聊天機器人，試圖與使用者建立情感連結，雖然可帶來好處，但也可能導向依賴、錯誤信任，以及造成身心健康問題。</p> <p>Meador指出，兒童與青少年等年輕使用者特別容易受到影響，他們可能無法分辨AI機器人的限制，也缺乏應對錯誤資訊或情緒操弄的能力。這次的調查與研究將有助於FTC未來在保護兒童及青少年，以及確保AI產業負責任創新之間取得平衡。</p> </div></div></div>
2025/9/12 15:18作者陳曉莉https://www.ithome.com.tw/news/171162
AWS推新款儲存最佳化運算服務，提供120T空間與300G頻寬
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_i8ge-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前陣子我們報導<a href="https://www.ithome.com.tw/review/170919">Amazon EC2 R8i與M8i</a>的產品功能與規格特色時，意外發現同樣於近期導入Nitro v6網路加速架構的AWS雲端運算服務當中，有一款專攻儲存最佳化應用市場的I8ge<a href="https://repost.aws/articles/AR8QfcbysjR4CiG6-6yWMFrw/introducing-amazon-ec2-i8ge-instances">在8月底悄悄上市</a>。</p> <p>這系列執行個體採用AWS自行研發的<a href="https://www.ithome.com.tw/tags/aws-graviton4">Graviton4</a>處理器，相較於搭配Graviton2處理器的儲存最佳化運算服務（應該是指I4g、Im4gn、Is4gn），運算效能領先60％，而且，本機儲存裝置採用AWS研發的第三代Nitro SSD固態硬碟，比起前代儲存最佳化運算服務Im4gn，每TB空間的即時儲存效能領先55％，儲存I/O延遲減少60％至75％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/I8ge-CPU and Nitro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8ge-CPU%20and%20Nitro.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/third generation AWS Nitro SSDs-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/third%20generation%20AWS%20Nitro%20SSDs-4.jpg" style="width: 600px;" /></a></p> <p>對照<a href="https://aws.amazon.com/tw/blogs/aws/introducing-storage-optimized-amazon-ec2-i8g-instances-powered-by-aws-graviton4-processors-and-3rd-gen-aws-nitro-ssds/">去年底上市、同樣採用Graviton4處理器與第三代Nitro SSD固態硬碟的I8g</a>，搭配的本機儲存裝置總容量最大45 TB，今年最新推出的I8ge躍升為120 TB，縱觀所有搭配Graviton處理器的雲端運算服務，I8ge可提供最大的儲存容量密度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/I8ge-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8ge-SSD.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/I8g-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8g-SSD.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/third%20generation%20AWS%20Nitro%20SSDs-2.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/third generation AWS Nitro SSDs-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/third%20generation%20AWS%20Nitro%20SSDs-3.jpg" style="width: 298px;" /></a></p> <p>除此之外，率先導入Nitro v6網路加速架構，也是I8ge一大賣點，能將CPU虛擬化、儲存、網路功能卸載至專屬硬體設備執行，提升工作負載的效能與資安，也可支援更大規模的網路頻寬，舉例來說，I8ge最高可達300 Gbps（I8g是100 Gbps），以最小組態而言，i8ge.large是25 Gbps，i8g.large是10 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/I8ge-Net.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8ge-Net.jpg" style="width: 600px;" /></a></p> <p>在執行個體的配置上，I8g只有一種裸機組態：i8g.metal-24xl，今年最新推出的I8ge提供兩種：i8ge.metal-24xl、i8ge.metal-48xl，在產品定位上，適用於需要更大儲存容量密度的即時應用系統，像是關聯式資料庫、非關聯式資料庫、串流資料庫、搜尋查詢，以及資料分析。</p> <p>若企業針對儲存最佳化雲端運算服務的使用，若想要AWS第三代Nitro SSD固態硬碟的組態，但處理器希望是x86架構，<a href="https://aws.amazon.com/tw/blogs/aws/now-available-storage-optimized-amazon-ec2-i7ie-instances/">AWS在2024年12月推出I7ie</a>，採用英特爾第五代Xeon Scalable處理器，就執行個體的硬體資源配置而言，最大可提供120 TB容量的NVMe固態硬碟，而在執行個體的儲存組態與效能方面，I7ie與I8ge完全一樣，而且vCPU數量、記憶體容量也相同。然而，兩種運算服務的網路頻寬就有明顯不同，差距從6xlarge以上的執行個體逐漸拉大，以同為48xlarge與metal-48xl為例，I7ie是100 Gbps，I8ge則是300 Gbps，原因應該是搭配的Nitro平臺不同，I7ie是Nitro v5，I8ge是Nitro v6。</p> <p><a href="https://s4.itho.me/sites/default/files/images/third generation AWS Nitro SSDs-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/third%20generation%20AWS%20Nitro%20SSDs-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/I8ge-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8ge-SSD.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/I8g-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/I8g-SSD.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20I7ie-SSD.jpg" style="width: 198px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AWS Amazon EC2 I8ge</strong></span><br /> ●原廠：AWS<br /> ●建議售價：美國西部（奧勒岡），隨需定價，i8ge.large每小時0.2373美元<br /> ●處理器：AWS Graviton 4<br /> ●提供服務規模選擇：large、xlarge、2xlarge、3xlarge、6xlarge、12xlarge、18xlarge、24xlarge、48xlarge、metal-24xl、metal-48xl，<br /> vCPU數量2至192顆，記憶體DDR5-5600容量16至1,536 GiB，網路頻寬25至300 Gbps，儲存裝置1臺1,250 GB至16臺7,550 GB，搭配 AWS區塊儲存服務EBS，EBS頻寬10 Gbps至60 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/12 15:20作者李宗翰https://www.ithome.com.tw/review/171040
JFrog推出AppTrust自動化治理方案，確保應用程式可信交付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JFrog發布<a href="https://jfrog.com/blog/announcing-jfrog-apptrust/">AppTrust</a>，為JFrog平臺內建的應用程式風險治理解決方案，目標是對快速交付與日益嚴格的法遵要求，提供可稽核、可重複的發布管控。AppTrust主打以證據為基礎的政策檢核點（Policy Gate），將安全、治理與法遵串接進軟體生命周期。當軟體版本滿足所有政策後可授予Trusted Release標章，並在上線後持續監控新出現的弱點，維持信任狀態。</p> <p>JFrog表示，不少企業，安全、開發與法遵各用一套工具，卻缺少能夠以應用程式為主軸，整合各團隊資訊的共同基礎。AppTrust以JFrog平臺Artifactory構件庫為單一事實來源，將軟體資產、構件與依存關係映射至特定應用，建立清楚的擁有者與業務脈絡。系統提供包含SBOM、版本演進時間軸與關鍵操作紀錄的統一資訊總覽，讓團隊在同一介面檢視安全與法遵狀態，降低跨系統查證成本。</p> <p>AppTrust可蒐集多元來源的證據，包含JFrog自家掃描結果、第三方的輸出與參考設計，以及企業自定義的檢查。這些證據對應到明確的政策檢核點，並設定在最早可行階段即發出警示，或延後到適合的研發節點再檢核，以兼顧釋出節奏與風險控管。合作生態目前涵蓋GitHub、ServiceNow與Sonar等常見工具，缺證據或不符政策時會觸發提示，要求補齊或調整流程。</p> <p>當軟體版本通過所有政策檢核點後，會被AppTrust標記為Trusted Release，代表該版本符合組織定義的安全、法遵、品質與效能門檻，可作為對內外部稽核的證據。進入生產後，系統持續匯整JFrog各掃描器的結果，改以應用為中心呈現新發現的CVE與受影響範圍，提供具上下文的修復路徑，避免開發與資安各自為政。</p> <p>AppTrust從建立新版本到生產環境、由誰在何時做了哪些動作，逐一留下帶有時間戳與操作者的紀錄，形成可追溯的稽核鏈。這種以應用為單位的可見性，有助於在修復優先序、SLA遵循以及DORA等效能指標上做出一致、可驗證的決策。同時，企業可把法遵與治理要求落到日常工作管線，將能否釋出的決定，轉化成政策與證據驅動的系統化流程，降低人工稽核負擔。</p> </div></div></div>
2025/9/12 15:27作者李建興https://www.ithome.com.tw/news/171160
阿爾巴尼亞任命AI機器人擔任部長以杜絕貪污
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.reuters.com/technology/albania-appoints-ai-bot-minister-tackle-corruption-2025-09-11/" target="_blank">路透社</a>（Reuters）及<a href="https://www.theguardian.com/world/2025/sep/11/albania-diella-ai-minister-public-procurement?utm_source=chatgpt.com" target="_blank">衛報</a>（The Guardian）的報導，阿爾巴尼亞總理Edi Rama本周四（9/11）公布內閣成員時，指派AI機器人Diella擔任該國的部長，負責處理所有政府對外的採購事宜，以全面杜絕貪污，成為全球第一個AI機器人部長。</p> <p>阿爾巴尼亞（Albania）位於巴爾幹半島，臨亞得里亞海及愛奧尼亞海，首都為地拉那（Tirana），全國人口約為280萬，該國曾為共產集權，自1990年代轉型為民主制度，現年61歲的Rama自2013年起擔任總理，這是他的第4個任期。</p> <p>雖然是個小國，但阿爾巴尼亞在2020年5月就建立了加密貨幣監管框架，為當時歐洲最全面的加密貨幣立法之一，但同時也向民眾警告加密貨幣風險，而減緩了當地的採用。</p> <p>此外，Diella其實是在今年1月就被整合到當地的E政府e-Albania平臺上，作為該平臺的數位助理，協助民眾透過網路完成逾1,000種公共服務，迄今已協助發布超過3.5萬份數位文件。因此，有媒體戲稱Diella是被拔擢為部長。</p> <p>Rama說，Diella將被定位為公共採購的僕人，未來所有政府的採購招標決策都會從各部會的手中移轉給Diella，由Diella負責審查及評估政府與私人公司的每項標案，此一轉變將是循序漸進的，但目標是讓阿爾巴尼亞成為一個標案100%透明又廉潔的政府。</p> <p>根據<a href="https://cointelegraph.com/news/albania-appoints-ai-powered-bot-diella-minister-procurement" target="_blank">Cointelegraph</a>的報導，Rama的舉動源自於阿爾巴尼亞是個貪污氾濫的國家，從前總統Illir Meta、地拉那市長Erion Veliaj到環境部長Lefter Koka都曾被指控貪污。</p> <p>目前仍僅是歐盟候選國的阿爾巴尼亞期望，該國可於2030年以前正式加入歐盟。</p> </div></div></div>
2025/9/12 14:09作者陳曉莉https://www.ithome.com.tw/news/171154
微軟免除開發人員在Microsoft Store發布App的費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2025/09/10/free-developer-registration-for-individual-developers-on-microsoft-store/" target="_blank">微軟本周宣布</a>取消個人開發商在其軟體市集Microsoft Store上架App的費用。微軟還強調可享有微軟代為發布的好處，例如由微軟簽發App。</p> <p>Microsoft Store是在2021年推出，微軟說現在Microsoft Store每月經常用戶有2.5億。原本開發人員需支付19美元才能登錄帳號並發布應用程式。微軟先是於今年6月宣布在特定國家取消這款費用，現在則擴及全球近200個市場。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-windows%20store%20developer-2-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>現在個人開發人員加入Microsoft Store無需支付費用，只要以個人Microsoft帳號登入按照指引訊息，包括掃一下有效的政府身份證件及個人自拍照來驗證身份。完成驗證後，開發人員資料就會自動帶入「合作夥伴中心」（Partner Center）。所有第三方應用程式或更新都是先打包成MSIX檔再上傳「合作夥伴中心」發布。</p> <p>微軟說，取消這筆一次性費用，將可建立更包容性及更平易近人的平臺，讓更多開發人員得以創新並繁榮Windows生態體系。相較之下，<a href="https://support.google.com/googleplay/android-developer/answer/6112435?hl=en" target="_blank">Google Play Store</a>收費為25美元，<a href="https://developer.apple.com/support/compare-memberships/" target="_blank">蘋果App Store</a>則要99美元。</p> <p>Microsoft Store支援各種型態的應用程式發布，包括Win32（如.NET WPF和WinForms）、UWP、PWA、.NET MAUI或Electron。企業導向的應用程式可以讓企業用戶經由Windows Search發現，並以Intune安裝。</p> <p>此外，Microsoft Store提供了發布平臺。應用程式可打包成MSIX檔由微軟代管並支付傳送費用，開發人員不需自己設定CDN，微軟還會簽發App，確保App的信賴及安全性，而且Windows/Microsoft Store還會自動將開發人員App更新推送給使用者。</p> <p>微軟還強調該平臺低分潤率，非遊戲類應用程式無需分潤，一般應用程式分潤率為15%，遊戲類則為12%。Google和蘋果的平臺在經過數年前法院介入後，對小型開發商分潤比例降為15%，但對App年營收超過100萬美元的開發商，分潤比則維持30%。</p> </div></div></div>
2025/9/12 13:13作者林妍溱https://www.ithome.com.tw/news/171151
巴拿馬經濟暨財政部遭INC Ransom勒索軟體攻擊駭客聲稱竊走1.5TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mef.gob.pa/2025/09/comunicado-oficial/" target="_blank">巴拿馬經濟暨財政部（MEF）本周稍早發布</a>，內部電腦發生惡意程式入侵。媒體報導，禍首是INC Ransom勒索軟體。</p> <p>MEF在一臺工作站發現疑為惡意軟體的活動，當時已依照既定的安全政策，立即啟動相關措施，並在整個資訊系統加強預防手段以遏止該次事件。巴拿馬政府強調，沒有任何核心系統與平臺受到影響，皆維持正常運作。</p> <p>Bleeping Computer報導，勒索軟體組織INC Ransom上周在暗網論壇宣稱成功入侵MEF，並竊走1.5TB內部資料，包括電子郵件、財務文件、預算明細等等。這群駭客還公布部份資料作為證明。</p> <p>不過巴拿馬政府單位並未證實是否為INC Ransom。MEF的資料外洩事件之所以受關注，是因為它也掌握了全球最重要運河之一的巴拿馬運河的營收資料。</p> <p>INC Ransom為2023年中出現的勒索軟體即服務（ransomware-as-a-service，RaaS），其受害者涵括眾多知名企業，包括山葉（Yamaha Motor）、全錄美國分公司、蘇格蘭衛福部（NHS）及美國密西根州醫療照護體系McLaren等。</p> </div></div></div>
2025/9/12 13:33作者林妍溱https://www.ithome.com.tw/news/171152
Claude強化團隊協作體驗推出工作用記憶功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic於Claude導入<a href="https://www.anthropic.com/news/memory">工作用記憶功能</a>，能在日常對話自動維持團隊的專案脈絡與偏好，減少重複解釋背景的需求，該功能先開放給Team與Enterprise用戶，企業管理員可選擇是否停用記憶。同時，Claude還新增隱身對話，所有用戶皆可使用，不會被保存至歷史紀錄或寫入記憶。</p> <p>新的記憶功能設計重點是協助團隊在長期計畫或並行任務中維持連續性。Claude會根據既有專案建立獨立記憶，保留流程、需求、規格與優先順序，讓使用者不必在每次對話中重新建立上下文，像是開發團隊即使專案進行到不同階段，也能持續追蹤設計細節，銷售人員則能延續客戶往來資訊。系統同時提供記憶摘要檢視與編輯機制，用戶可在設定中查看Claude所保存的內容，並調整Claude參考的重點或忽略項目，確保資訊透明可控。</p> <p>與8月推出的按需記憶相比差異在於，8月的版本僅在使用者下指令時才會引用過去的聊天內容，屬於被動式回想，當時開放給Max、Team與Enterprise等方案。本次新增的工作用記憶功能則能主動在工作場景中延續上下文，並以專案為單位區隔內容，避免不同討論彼此混用。</p> <p>管理員可在組織層級停用工作用記憶功能，並由專案邊界確保敏感或不相關的資訊不會混雜。該設計能協助大型團隊在跨部門、跨時區的協作中，降低資訊流失與重複溝通的成本，同時兼顧法遵要求與內部控管。</p> <p>針對個別使用者，Claude提供隱身對話模式，能帶來乾淨的上下文，適合進行敏感討論或短期交流，這些對話不會被保存至歷史紀錄，也不會寫入長期記憶。</p> </div></div></div>
2025/9/12 13:36作者李建興https://www.ithome.com.tw/news/171148
OpenAI及Microsoft達成新協議以替OpenAI的IPO鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/statement-on-openai-nonprofit-and-pbc/" target="_blank">OpenAI周四（9/11）發布聲明</a>，指出其非營利組織OpenAI Nonprofit將取得其公益法人公司（Public Benefit Corporation⁠，PBC）超過1,000億美元的股權，<a href="https://blogs.microsoft.com/blog/2025/09/11/a-joint-statement-from-microsoft-and-openai/" target="_blank">同一天亦與微軟針對雙方下一階段的合作簽署了諒解備忘錄</a>（Memorandum of Understanding，MoU），被外界視為是在替OpenAI的股票首次公開發行（IPO）鋪路。</p> <p>OpenAI最早是一家非營利組織OpenAI Nonprofit，<a href="https://www.ithome.com.tw/news/129281" target="_blank">在2019年於非營利之下設立了有限獲利公司OpenAI Global</a>，讓微軟等OpenAI股東可透過OpenAI Global獲得回報，但回報上限為100倍；<a href="https://www.ithome.com.tw/news/168770" target="_blank">接著在今年5月發布新架構</a>，把OpenAI Global轉型為PBC，移除了100倍的股東獲利上限，轉為標準的普通股權結構，但依舊由OpenAI Nonprofit董事會控制。</p> <p>本周OpenAI則說，OpenAI Nonprofit將握有價值超過1,000億美元的PBC股份，使得它成為全球資源最豐沛的慈善組織之一。OpenAI並未公布OpenAI Nonprofit的持股比例，但若根據近日該公司開放員工出售股票所計算的5,000億美元市值，OpenAI Nonprofit可能擁有2成的PBC股份。</p> <p>至於微軟。微軟是OpenAI早期最重要的股東，<a href="https://microsoft.gcs-web.com/node/33181/html" target="_blank">截至2024年就已投入了130億美元資金</a>，外傳微軟取得了49%的OpenAI股權。其中，130億美元是確定的，但雙方未曾對外確認過股權比例。</p> <p>在2023年5月時，<a href="https://www.ithome.com.tw/news/156634" target="_blank">OpenAI的市值只有270億美元</a>；2025年3月由軟體銀行（SoftBank）主導的新一輪融資中，<a href="https://www.ithome.com.tw/news/168182" target="_blank">市值已攀上3,000億美元</a>；今年8月傳出OpenAI準備同意讓員工出售股票，估值為5,000億美元。</p> <p>在微軟與OpenAI所發出的共同聲明中，表示雙方已針對下一階段的合作夥伴關係簽署了不具約束力的MoU，並正努力確認正式合約裡的各項條款；未來雙方仍將以對安全性的共同承諾為基礎，致力於替所有人提供最優秀的AI工具。</p> <p>正式確認OpenAI Nonprofit與PBC的股權架構，再與最大股東微軟達成協議，都被視為是在清除OpenAI上市之路的障礙，特別是在OpenAI不論是要推動Stargate，或是與甲骨文簽署3,000億美元的AI運算合約之際，都使得OpenAI面臨龐大資金需求，從公開市場募資似乎已成必然方向。</p> </div></div></div>
2025/9/12 13:47作者陳曉莉https://www.ithome.com.tw/news/171153
【資安日報】9月12日，勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Arctic Wolf於2個月前揭露勒索軟體Akira的攻擊行動，如今仍在持續進行，而且，駭客仍然尋找存在已知漏洞CVE-2024-40766的SonicWall防火牆下手，這樣的情況引起本週澳洲網路安全中心（ACSC）、資安業者Rapid7的關注，並提出警告，Rapid7更進一步推測，駭客可能同時搭配組態配置不當的情形。</p> <p>我們上週報導駭客將AI工具用於實際攻擊行動的情況，不過AI工具本身存在的弱點也相當值得留意。本週資安公司Oasis公布AI加持的IDE工具Cursor的調查結果，指出在預設組態下，攻擊者有機會讓惡意程式於開發者電腦自動執行；另一方面，OpenAI也指出大型語言模型頻繁出現幻覺（Hallucination）的現象，與現有的評估機制有關，使得語言模型採取亂猜的策略來作答。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171147"><strong style="font-size: 22px;">勒索軟體Akira利用SonicWall已知重大SSL VPN漏洞入侵受害組織的態勢加劇</strong></a></p> <p>今年7月資安業者Arctic Wolf針對勒索軟體Akira的攻擊行動提出警告，指出駭客鎖定SonicWall防火牆而來，疑似利用SSL VPN零時差漏洞下手而得逞，後續SonicWall著手調查指出，駭客利用的資安弱點，其實是去年8月公布的CVE-2024-40766（CVSS風險值為9.3），但這樣的攻擊態勢，如今有擴大的現象。</p> <p>9月10日澳洲網路安全中心（ACSC）提出警告，他們掌握CVE-2024-40766在當地遭到積極利用的情況，Akira用來對SonicWall的SSL VPN系統下手，而有機會進行未經授權的存取，並在特定情況導致防火牆當機，呼籲用戶應儘速檢查SonicWall設備的使用情況，並根據廠商的公告及指引進行調查與補救。</p> <p>隔天資安業者Rapid7也發布部落格文章警告相關的攻擊態勢，表示在上個月SonicWall發布相關公告之後，他們觀察到針對SonicWall設備的入侵活動出現增加的現象，駭客存取這類設備的Virtual Office Portal網站，意圖重新設置SSL VPN用戶的動態密碼（OTP），以及多因素驗證（MFA）組態。Rapid7指出，在特定的預設配置狀態下，此入口網站可讓任何人透過網際網路直接存取，一旦使用者帳密外流，攻擊者就有機會用來配置OTP及MFA。</p> <p><a href="https://www.ithome.com.tw/news/171137"><strong style="font-size: 22px;">總下載量每週達26億次的多款熱門NPM套件被植入惡意軟體，起因是開發者帳號遭奪取</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/486656474-69fa8552-8e72-4330-84aa-658cc0219747.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/486656474-69fa8552-8e72-4330-84aa-658cc0219747.png" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer的報導，別名qix的套件開發人員Josh Junon遭遇網釣攻擊，導致他維護的NPM套件被植入惡意軟體。由於這些套件每週被下載超過26億次，影響恐怕非常廣泛。</p> <p>事件揭露的原因，在於9月8日有人發現Josh Junon所有熱門套件被植入後門，推測他的NPM帳號被駭，並透過社群網站Blue Sky發出通報。後續Josh Junon證實此事，並表示他收到看起來像是合法的雙因素驗證重設郵件，然後NPM帳號就被駭了，他正設法聯繫NPM試圖取回帳號。後來Josh Junon再度發布貼文說明，表示他無法存取自己的NPM帳號，目前由NPM進行處理。他也公布寄送釣魚信的電子郵件信箱是：support [at] npmjs [dot] help。</p> <p>這起事故NPM協助Josh Junon復原了帳號，並清除非他本人發布的套件。Josh Junon表示，雖然他的帳號和套件似乎已經成功還原，但還有其他套件開發者也受到影響，呼籲大家提高警覺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/panama-ministry-of-economy-discloses-breach-claimed-by-inc-ransomware/">巴拿馬財政部傳出遭遇勒索軟體Inc 攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/asyncrat-exploits-connectwise.html">惡意軟體AsyncRAT透過ScreenConnect竊取帳密資料及挖礦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/attackers-abuse-kubernetes-dns/">Kubernetes的DNS被濫用，駭客以此從ArgoCD截取Git帳密</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-vmscape-attack-breaks-guest-host-isolation-on-amd-intel-cpus/">新型態VMScape攻擊可對AMD、Intel處理器下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/flexispy-spyware/">肯亞電影製作人傳出警方透過間諜軟體FlexiSPY暗中追蹤</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171133"><strong style="font-size: 22px;">AI程式碼編輯器Cursor存在RCE弱點，裝置恐自動執行惡意程式碼</strong></a></p> <p>資安公司Oasis公布對Cursor漏洞研究，指出這款人工智慧程式碼編輯器在Workspace-Trust設定上存在風險，可能讓攻擊者透過惡意儲存庫，在受害者開啟專案資料夾的瞬間，自動執行惡意程式碼而不需任何確認提示。Oasis現在公開此漏洞，並提供完整的技術細節與概念驗證。</p> <p>根據研究人員的說明，Cursor在出廠設定中採用Workspace Trust關閉的預設配置，這意味著專案可以包含隱藏的自動化指令。一旦惡意開發者在儲存庫中放置經過特殊設定的檔案，並設計成在使用者開啟專案資料夾時自動觸發任務，這些指令就會立刻執行，整個過程完全不會經過使用者的授權或提示。這種行為等同於將開啟資料夾轉化為靜默執行程式碼，讓攻擊者能在開發者的使用環境中直接植入惡意操作。</p> <p>這項弱點的嚴重性在於開發環境通常具備高權限與重要憑證，研究人員指出，開發者的筆電往往保存雲端金鑰、個人存取憑證（PAT）、API token與SaaS工作階段，一旦遭到入侵，攻擊不僅能竊取資料或修改檔案，更可能橫向移動至CI/CD管線與雲端環境，進一步取得更廣泛的權限。</p> <p><a href="https://www.ithome.com.tw/news/171052"><strong style="font-size: 22px;">OpenAI發現評測機制獎勵猜測，促使大型語言模型出現幻覺</strong></a></p> <p>OpenAI在最新研究指出，大型語言模型頻繁出現幻覺（Hallucination），主因在於現行評測（Evaluation）與訓練機制設計不當，讓模型在不確定時更傾向猜測而非承認不知道。研究指出，當主流評測榜單只看答對率，模型在不確定時傾向猜測而非承認不知道，最終以更高的自信錯誤（Confident Error）率換取更漂亮的分數。</p> <p>針對這項發現，OpenAI主張，評測應對自信錯誤的回答給予更重的懲罰，並對適當的不確定表達給予部分分數，以矯正模型在不確定時傾向亂猜的行為。</p> <p>這就如同選擇題的答題策略，面對不知道的題目，盲猜仍有機會答對，空白無法得分，如果模型在數千題測試中一律猜測，最終可能比懂得在不確定時收手的模型拿到更高的準確率，卻伴隨更多出錯。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170745"><strong style="font-size: 22px;">TRM Labs推出可即時偵測非法加密貨幣活動的Beacon Network</strong></a></p> <p>區塊鏈情報業者TRM Labs宣布推出Beacon Network，這是個即時的加密貨幣犯罪應對網路，串連了執法機構、加密貨幣交易平臺、支付公司及資安研究人員，可在非法資金被套現或轉為法幣之前就進行攔截。</p> <p>TRM Labs表示，自2023年以來，至少有470億美元的加密貨幣被發送到跟詐欺有關的位址，而這很有可能只是其中一部分，因為大多數被詐欺的受害者不會對外揭露。此外，加密貨幣生態系統在2025年被盜走逾2.3億美元。</p> <p>Beacon Network像是個共享的公共基礎設施，除了TRM Labs之外，它的創始成員還包括Coinbase、Binance、PayPal、Robinhood、Stripe、Kraken、Ripple、Crypto.com及Blockchain.com等數十家業者，全球執法機構也正協助辨識及標記與犯罪行為有關的加密錢包位址，包括ZachXBT、Security Alliance (SEAL)、zeroShadow、Hypernative、Operation Shamrock及CryptoForensics Investigators等資安業者，則負責持續監控及追蹤各種威脅。</p> <p><a href="https://www.ithome.com.tw/news/170730"><strong style="font-size: 22px;">Fastly發現網站AI流量多來自爬蟲，即時擷取卻成最大壓力源</strong></a></p> <p>雲端業者Fastly在2025第二季的Threat Insights報告指出，人工智慧機器人正在改變網站流量結構，雖然人工智慧機器人流量的80％來自爬蟲，不過，真正對基礎設施造成壓力的是來自模型推理階段的即時擷取。即時截取工具在高峰甚至可對同一網站發出每分鐘3.9萬次請求，遠高於最大訓練爬蟲約每分鐘1千次，可能對未加以防護的網站形成類似DDoS的衝擊。</p> <p>根據Fastly的資料，人工智慧爬蟲流量主要由Meta、Google與OpenAI三大業者產生，合計占比高達95％，其中Meta單獨貢獻了52％，Google為23％，OpenAI則約20％。在即時擷取方面，OpenAI的ChatGPT-User與OAI-SearchBot為絕對大宗，合計占即時截取工具流量近98％。</p> <p>以區域來看，北美網站接收的人工智慧流量接近90％屬於爬蟲，歐洲、中東與非洲地區（EMEA）情況則相反，即時截取工具占59％，亞太（APAC）與拉丁美洲以爬蟲為主，但比例相對較低。產業面也呈現分化，教育與媒體娛樂流量以即時截取工具為主，分別為68％與54％，更容易受到即時查詢的高並行影響，相較之下，電商、醫療與公共部門超過90％流量為爬蟲。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171140"><strong>【9月11日】微軟修補近滿分資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171114"><strong>【9月10日】微軟、SAP、Adobe發布9月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171077"><strong>【9月9日】歹徒冒名奈米醫材旗下投資公司發動商業郵件詐騙</strong></a></p> </div></div></div>
2025/9/12 12:01作者周峻佑https://www.ithome.com.tw/news/171149