iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Mistral開源新版小模型Magistral Small 1.2 新增視覺能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linkedin.com/posts/mistralai_introducing-magistral-small-12-magistral-activity-7374437491921076224-3YrE" target="_blank">法國AI新創公司Mistral AI本周公布</a>並開源新版小語言模型Magistral Small 1.2，除了提升效能，增加視覺編碼功能，也能跑在MacBook電腦上。</p> <p>Magistral Small 1.2為1.1版的升級，<a href="https://huggingface.co/mistralai/Magistral-Small-2509" target="_blank">Mistral說明</a>，它是以Mistral Small 3.2 (2506)為基礎開發，具備推理能力能在回答前執行一長串推理，並且經過監督式微調（SFT），訓練資料來源是推理模型家族的Magistral Medium推論時產生的軌跡，之後又加上強化式學習（RL）優化而成的高效率小型推理模型。Magistral Small 1.2參數量240億，具備最長128K脈絡空間。</p> <p>Magistral Small系列都能於本地部署，經過量化（quantized）後可在Nvidia RTX 4090 GPU平臺的機器或是一臺32GB RAM的MacBook上執行。</p> <p>相較於前一版，Magistral Small 1.2新增視覺編碼器，可接收多模態包括文字和圖片輸入，推理能力也擴及視覺。效能也提升，數學和程式撰寫標竿測試得分成長15%。它也改進了工具使用能力，能利用外部工具上網搜尋、執行程式碼或生成圖片。此外，新模型更人性化，它的回應更清晰、自然，文字排版或符號使用也美觀。</p> <p>Magistral Small 1.2支援20多種語言，包括英、法、德、西、中、日、韓等。</p> <p><a href="https://docs.mistral.ai/getting-started/models/models_overview/" target="_blank">Mistral同時也更新了</a>推理模型Magistral Medium 1.2，新增視覺支援，如同Magistral Small 1.2，Medium版也具備最長128K脈絡空間。二個模型都是以Apache 2.0授權開源，允許商業或非商業用途的使用和修改。</p> </div></div></div>
2025/9/19 12:25作者林妍溱https://www.ithome.com.tw/news/171290
橫掃47家美企與倫敦交通局，19歲駭客面臨95年徒刑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國國家犯罪調查局（National Crime Agency，NCA）本周逮捕了現年19歲的Thalha Jubair與18歲的Owen Flowers，<a href="https://www.nationalcrimeagency.gov.uk/news/two-charged-for-tfl-cyber-attack" target="_blank">在周四（9/18）指控</a>他們在去年入侵了倫敦交通局（Transport of London，TfL）， <a href="https://www.justice.gov/opa/pr/united-kingdom-national-charged-connection-multiple-cyber-attacks-including-critical" target="_blank">同一天美國也起訴了當中的Jubair</a>，宣稱他參與了至少120起電腦網路入侵與勒索案件，涉及47家美國企業。不管是Jubair或Flowers，他們在從事駭客行動時都還是青少年。</p> <p>倫敦交通局（TfL）在去年8月底遭駭客集團Scattered Spider入侵，造成TfL票價與資料系統癱瘓了好幾個月，外洩5,000名乘客的個資，帶來約3,000萬英鎊的損失，而Jubair與Flowers即是涉及此案的Scattered Spider成員。</p> <p>美國司法部指出，Jubair在2022年5月至2025年9月間，透過社交工程取得企業網路存取權限，進而竊取並加密企業資料，再向企業勒索，總計勒索金額高達1.15億美元，並有部分贖金匯入了他所控制的伺服器錢包。在2024年7月伺服器被查扣時，Jubair還轉走了價值840萬美元的加密貨幣，另有3,600萬美元的加密貨幣遭警方沒收。</p> <p>被駭組織包括美國聯邦法院系統、一家美國關鍵基礎設施公司、美國中西部大型醫療集團SSM Health Care Corporation，以及美國加州的大型醫療體系Sutter Health等。其中，Flowers也被控參與SSM Health Care Corporation的攻擊事件。</p> <p>美國檢方已依電腦詐欺共謀、電腦詐欺、電匯詐欺共謀、電匯詐欺及洗錢共謀等罪名起訴Jubair，若全數罪名成立，最高可判處95年徒刑。</p> <p>Scattered Spider是活躍於美國與英語系國家的駭客組織，自2022年起便頻繁透過社交工程、SIM卡置換與竊取憑證等方式入侵大型企業網路、竊取資料並展開勒索，已知的受害者包括米高梅國際酒店集團（MGM Resorts International）、美國連鎖賭場Caesars Entertainment及家庭清潔用品公司高樂氏（Clorox）等。</p> </div></div></div>
2025/9/19 12:42作者陳曉莉https://www.ithome.com.tw/news/171291
GitHub推出MCP Registry，集中收錄AI代理相容伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub<a href="https://github.blog/ai-and-ml/github-copilot/meet-the-github-mcp-registry-the-fastest-way-to-discover-mcp-servers/">推出</a>MCP註冊庫（MCP Registry），作為集中收錄MCP（Model Context Protocol）伺服器的入口，目標是解決開發者在分散環境中探索與安裝的困境。這項服務由GitHub主導並與社群協作，提供官方彙整清單，讓開發者能更快找到並評估合適的伺服器。</p> <p>MCP提供人工智慧代理與工具之間的溝通方式，讓代理能擷取新的執行脈絡、與外部資源互動，並整合至既有系統，也就是說，開發者可透過安裝相容的MCP伺服器來擴展代理能力，並在支援MCP的主機上以標準化協定完成整合。</p> <p>目前MCP伺服器散落於不同的儲存庫與社群貼文，缺乏統一的入口，使用者必須投入額外時間搜尋，伺服器作者則需反覆發布與回答相同的設定問題。GitHub認為這種破碎環境不僅增加探索成本，也潛藏安全風險，而MCP Registry透過集中清單和標準化流程，提供更透明的存取方式，協助開發者快速了解伺服器用途與安裝步驟。</p> <p>MCP Registry與VS Code整合，支援一鍵安裝，並依據GitHub星標數與社群活躍度排序，讓高品質專案更容易被找到。清單中的每個伺服器都連結至GitHub儲存庫，開發者能直接查看技術細節與維護狀態。MCP Registry支援任何相容MCP的主機，降低工具鏈導入門檻。</p> <p>首批合作包含Figma、Postman、HashiCorp與Dynatrace等廠商，另有Remote GitHub MCP Server正式納入，讓代理可直接存取儲存庫、Issue與拉取請求等資訊，支援更複雜的代理工作流程。</p> <p>GitHub也將與Anthropic及MCP Steering Committee合作，打造可與GitHub無縫整合的開源MCP社群註冊庫。未來開發者可自助發布伺服器，條目將自動出現在MCP Registry中，減少重複上架，並透過標準化的後設資料與驗證訊號提升透明度。官方將此視為建立健康開源生態的重要步驟。</p> </div></div></div>
2025/9/19 12:49作者李建興https://www.ithome.com.tw/news/171284
Meta即將開始預覽AI眼鏡開發套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在發布了<a href="https://www.ithome.com.tw/news/171260" target="_blank">一系列的AI眼鏡</a>之後，<a href="https://developers.meta.com/blog/introducing-meta-wearables-device-access-toolkit/?intern_source=blog&intern_content=connect-2025-day-2-keynote-recap-vr-development-use-cases-wearable-device-access-toolkit" target="_blank">Meta周四（9/18）宣布</a>將開始預覽穿戴裝置存取工具包（Meta Wearables Device Access Toolkit），以讓開發人員打造支援這些AI眼鏡的各種應用，涵蓋Ray-Ban Meta、Oakley Meta HSTN、Oakley Meta Vanguard，以及與內建顯示器的Meta Ray-Ban Display。正式版預計會在2026年出爐。</p> <p>Meta表示，Ray-Ban Meta已於全球售出數百萬副，證明這種產品形態是成功的，也代表此一時尚與科技的結合帶動了新的文化潮流，預示著配備開放式喇叭、免持相機及隨身AI助理的AI眼鏡將成為人們日常生活的一部分，因而想建立一個平臺，讓開發者可擴充AI眼鏡的體驗。</p> <p>首版的工具包將開放存取眼鏡上的攝影機，也能透過 iOS/Android藍牙設定檔存取眼鏡上的麥克風與喇叭，但還不能存取Meta AI功能或顯示器，也無法存取肌電圖腕帶Meta Neural Band上的感測器。</p> <p>該工具包支援Android與iOS平臺，開發人員不一定要擁有AI眼鏡，其軟體開發套件（SDK）將包含一個模擬裝置套件（Mock Device Kit），可用來進行自動化與程式測試。此外，就算在沒有開賣Meta AI眼鏡的市場，也能參與此一預覽活動，只是所能存取的功能會受限。</p> </div></div></div>
2025/9/19 11:51作者陳曉莉https://www.ithome.com.tw/news/171286
Google將Gemini整合到美國版Chrome中將加入代理人等能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/new-ai-features-for-chrome/" target="_blank">Google昨（18）日宣布</a>Gemini整合Chrome的多項計畫，包括從美國開始將Gemini整合到Chrome桌機、Android和iOS手機版，Google並將陸續為Gemini in Chrome加入代理人、推理和多模態能力，還能一鍵變更密碼。</p> <p>今天整合Gemini的Chrome Mac及Windows桌機版、Android版就能部署到美國用戶，只要其瀏覽器語言設定為英文。用戶上網時Gemini可回答關於網頁內容的問題。Android手機用戶在使用Chrome或其他App時長按電源鍵可啟動Gemini。iPhone上，Gemini會直接內建到iOS版Chrome中。</p> <p>Google並預告，未來幾個禮拜內，Gemini in Chrome將再加入代理人功能，使Gemini in Chrome功能更強大。對企業用戶而言，幾個星期內Gemini也會部署到Google Workspace，並提供企業等級的資料防護和控制。</p> <p>Gemini in Chrome可使上網蒐集資訊或規劃更輕鬆。例如它支援跨多分頁執行，方便用戶比價、摘要或整合多個網站內容，可減輕像是旅行規劃的麻煩。Gemini in Chrome也藉由和Google原生應用如Calendar、YouTube或Google Maps的深度整合，因此用戶可以教Gemini in Chrome直接搜尋YouTube影片，它會提供連結導引用戶過去。</p> <p>本月底Gemini in Chrome將加入AI Mode，後者是加入推理和多模態能力的Google搜尋。美國版英文用戶本月底使用Chrome的搜尋列（或稱omnibox）就能使用到這強大的搜尋功能。此外，美國版Gemini in Chrome現在已獲得情境建議（contextual suggestion）功能，用戶上網時叫出Gemini問問題時，Gemini可在Chrome側邊欄頂端顯示AI Overview（AI摘要），並提供情境建議，讓用戶無需離開網頁。本項功能幾個禮拜內會新增其他語言支援並推向其他國家。</p> <p>在安全性方面，Chrome的安全上網（Safe Browsing）的進階防護（Enhanced Protection）模式，繼現在使用Gemini Nano來辨識釣魚網站，之後將用它來封鎖下載病毒或詐騙軟體的網站。</p> <p>其次，Gemini in Chrome能學習用戶使用偏好並藉此封鎖網站的垃圾通知，例如當它認為使用者不允許特定網站存取相機、地點等資訊的要求時，會先自動封鎖，並顯示核准對話框讓用戶最終決定。最後，Chrome現在已能autofill網站密碼，但之後Gemini in Chrome將進一步加入密碼代理人能力，讓用戶一鍵完成特定網站的密碼的變更及儲存。支援的網站包括Coursera、Spotify、Duolingo、H&M等。</p> </div></div></div>
2025/9/19 12:14作者林妍溱https://www.ithome.com.tw/news/171287
Google發布Chrome 140更新，修補今年第6個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前Google發布<a href="https://www.ithome.com.tw/news/171194">電腦版、安卓版Chrome 140更新</a>，修補重大層級的Serviceworker元件資安漏洞CVE-2025-10200，本週該公司再度發布緊急更新，緩解已被利用的資安漏洞CVE-2025-10585，這是今年揭露的第6個零時差漏洞。除了Chrome之外，其他採用Chromium為基礎的瀏覽器應該很快就會跟進修補，用戶應留意近期的更新資訊。</p> <p>這項漏洞由Google感脅分析團隊（TAG）在9月16日發現，為JavaScript引擎V8的類型混淆漏洞，Google指出該漏洞為高風險層級，並發布<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_17.html">電腦版140.0.7339.185、140.0.7339.186</a>，以及<a href="https://chromereleases.googleblog.com/2025/09/chrome-for-android-update_17.html">安卓版140.0.7339.155</a>修補，此外，他們也針對ChromeOS、ChromeOS Flex用戶<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-chromeos_18.html">發布16371.49.0版更新</a>，修補這項瀏覽器元件漏洞。</p> <p>對於這項漏洞的細節，Google並未進一步說明，根據資安業者Tenable的評估，<a href="https://www.tenable.com/cve/CVE-2025-10585">此漏洞的CVSS風險值達到8.8</a>（滿分10分）。至於這項漏洞的影響範圍，以及駭客如何利用，有待後續其他資安業者或研究人員揭露。</p> <p>在上述的零時差漏洞之外，本次Google也修補了另外3個高風險漏洞，分別是：Dawn元件記憶體釋放後再存取利用（Use after free）漏洞CVE-2025-10500、WebRTC元件記憶體釋放後再存取利用漏洞CVE-2025-10501，以及Angle元件記憶體堆疊溢位漏洞CVE-2025-10502。</p> </div></div></div>
2025/9/19 10:12作者周峻佑https://www.ithome.com.tw/news/171282
Nvidia斥資50億美元入股英特爾，攜手開發資料中心及PC產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球GPU龍頭Nvidia，以及美國半導體戰略的核心企業英特爾（Intel）<a href="https://nvidianews.nvidia.com/news/nvidia-and-intel-to-develop-ai-infrastructure-and-personal-computing-products" target="_blank">在美東時間周四（9/18）上午7點（臺北時間18日晚上7點）宣布結盟</a>，Nvidia將斥資50億美元，以每股23.28美元的價格購入英特爾普通股，且雙方將在資料中心及PC領域展開合作。</p> <p>根據雙方的協議，它們將利用Nvidia所打造的處理器互聯技術Nvidia NVLink來連結Nvidia與英特爾架構，整合Nvidia的AI/加速運算，以及英特爾的CPU技術與x86生態系統等優勢，替客戶提供尖端解決方案。</p> <p>在資料中心領域，英特爾將替Nvidia客製化與製造x86架構的CPU，以讓Nvidia將這些CPU整合進自家的AI基礎設施平臺上，以Nvidia品牌對外銷售。</p> <p>而在個人電腦領域，英特爾將開發與銷售整合Nvidia RTX GPU晶粒的x86系統單晶片（SOC），這些新的 x86 RTX SOC將用來驅動各種需要同時具備頂級CPU與GPU效能的個人電腦。</p> <p>50億美元約可買到2.148億股的英特爾股票，占英特爾5.1%股份。<a href="https://www.ithome.com.tw/news/170785" target="_blank">美國政府則是在上個月</a>以89億美元的補助款、每股20.47美元的價格換得9.9%的英特爾股份。</p> <p>儘管英特爾這幾天的股價都高於24美元，但與Nvidia的合作所帶來的利多讓英特爾一開盤就大漲25%，反之TSMC及AMD則是一開盤就下跌，反映出市場對此事的看法。</p> </div></div></div>
2025/9/19 08:14作者陳曉莉https://www.ithome.com.tw/news/171281
基礎設施3缺陷影響Claude回應品質，Anthropic完成處置並加強品質檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/engineering/a-postmortem-of-three-recent-issues">公布技術報告</a>說明今年8月至9月初期間，3項基礎設施缺陷交疊，導致Claude的回應品質出現間歇性下降。官方強調這些問題並非因需求、伺服器負載或時段而調降模型水準，而是基礎設施部署與配置的缺陷所致。目前多數修復已完成，並同步推動更嚴格的品質檢測與監控機制。</p> <p>事件起於8月5日，Sonnet 4部分請求被誤導向新一代100萬Token上下文長度伺服群，起初影響比例僅0.8％。但是在8月29日的負載平衡調整放大了流量分配，至8月31日時，受影響比例一度達16％。由於採用具黏著性的路由策略，一旦對話首次被分派至錯誤伺服群，後續請求也更可能持續受到影響。在第三方平臺上，Amazon Bedrock高峰期受影響約0.18％，Google Cloud Vertex AI則比例低於0.0004％。</p> <p>第二個問題出現在8月25日，Claude API的TPU伺服器因部署設定錯誤，導致部分請求在Token生成時出現機率分配異常。表現上，英文回應中可能夾入泰文或中文字符，或程式碼中出現明顯語法錯誤。此問題影響到8月25日至28日的Opus 4.1與Opus 4，以及8月25日至9月2日的Sonnet 4。Anthropic已在9月2日回退相關變更，並新增非預期字元的檢測流程，以降低類似風險。</p> <p>第三個問題則與XLA:TPU編譯器中的近似top-k演算法有關。8月25日部署的新取樣程式觸發潛在錯誤編譯（Miscompilation），已確認影響Haiku 3.5，並推測波及部分Sonnet 4與Opus 3。Anthropic於9月4日先回退Haiku 3.5的變更，9月12日再針對Opus 3處理，對Sonnet 4則採取預防性回退，後續Claude全面改採精確top-k運算，並統一部分運算至fp32精度。</p> <p>Anthropic指出，此次事件難以快速診斷的原因在於3個缺陷同時發生，且在不同平臺上呈現的症狀各異，外觀看似隨機錯誤。現有的評測流程對零星失誤敏感度不足，再加上內部隱私規範限制工程團隊直接存取未經使用者回報的互動內容，增加了問題定位的難度。尤其在8月29日負載平衡調整後，負面回饋同時攀升，進一步模糊了變更與問題的關聯。</p> <p>針對後續改進，Anthropic已提高評測靈敏度，並將評測機制延伸至真實生產環境持續執行，以便在異常發生時能更快捕捉。同時開發除錯工具，讓工程團隊能在不影響使用者隱私的前提下，更有效重現社群回報案例。</p> <p>官方也提醒，因生成流程調整為精確top-k並加強數值精度管理，極少數使用場景可能需要開發者重新微調top-p等參數。至於平臺影響層面，自家服務，包含API、網頁版Claude與Claude Code受影響較明顯，第三方平臺影響範圍則相對有限。目前多數修復已完成，Amazon Bedrock仍在推送，更新稍晚完成。</p> </div></div></div>
2025/9/19 08:17作者李建興https://www.ithome.com.tw/news/171278
SecurityScorecard買下問卷自動化業者HyperComply
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供第三方及供應鏈網路風險評分及監控平臺的美國資安業者<a href="https://securityscorecard.com/blog/securityscorecard-acquires-hypercomply/" target="_blank">SecurityScorecard上周宣布</a>，已經收購了基於AI的問卷自動化業者HyperComply，且HyperComply的數十名員工，包括兩名共同創辦人Amar Chahal與Cody Wright都將加入SecurityScorecard。</p> <p>企業為防範第三方漏洞引發連鎖攻擊，在尋找合作對象時，通常會先委外掃描供應商的外部資安狀況，初步篩選出合格名單，再要求名單上的業者填寫詳細的安全問卷，進行資安審查。</p> <p>2013年成立的SecurityScorecard，主要從外部掃描供應商的網域、IP、漏洞、網路設定與惡意軟體感染狀況，並據此給予安全評分，協助企業掌握並管理供應鏈資安風險，多半負責協助客戶稽核合作對象的安全性，目前擁有逾2,600家企業客戶，員工人數超過500名。</p> <p>至於在2019年創立的HyperComply，則開發了名為RespondAI的問卷自動化引擎，它會先讀取企業既有的安全與合規文件，建立可搜尋的知識庫，再於收到來自合作企業的安全問卷時，透過自然語言技術比對題目，再從知識庫中生成最適合的答案草稿，最後由人工進行審核。相較於人工填寫，RespondAI可減少約92%的作業時間。</p> <p>SecurityScorecard表示，這項收購將把其原本專注於供應商外部風險評分與監控的能力，與HyperComply的問卷自動化技術結合，打造業界首個同時整合持續風險情報與智慧自動化的平臺。讓企業能即時掌握供應商風險、加速合規審查流程，並減輕應對GDPR、DORA與NIS2等法規要求的負擔。</p> <p>SecurityScorecard與HyperComply皆為美國私人公司，並未對外公布交易金額，預計今年就會開始把HyperComply的自動化問卷功能整合進其供應鏈風險評分平臺，讓企業在取得供應商風險評分的同時，也能透過AI工具加速安全審查流程，可望縮短供應商核准週期並降低營運成本。</p> </div></div></div>
2025/9/19 08:01作者陳曉莉https://www.ithome.com.tw/news/171280
從模型卡到ML-BOM
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0919_llmzi_an_jiao_zhan_shou_ce_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年7月，Hugging Face發布了一則推文：「我們正在調查一起事件，一名惡意使用者透過重複使用的員工密碼（這些密碼在其他網站的資料外洩中已被洩漏）控制了Meta/Facebook和Intel的Hub組織。」</p> <p>雖然該事件的全面影響尚不清楚，但它揭示了惡意行為者可能將自己植入供應鏈並更改被認為來自可信來源（在本例中為Meta或Intel）組件的可能性。這事件引發了人工智慧領域關於供應鏈安全一系列廣泛的嚴肅討論。</p> <p>雖然第一起事件並未被廣泛報導，看似是單一個案，但Lasso Security團隊在2023年12月發布的研究表明，超過1,600個Hugging Face API token（存取權杖）被揭露。該團隊可以使用這些API token存取700多個組織的Hugging Face帳戶，其中包括Meta、Microsoft、Google和VMware等主要參與者，這說明了存在明顯的風險：惡意第三方可以將一個知名的、值得信賴的模型替換為經過自己修改的模型──這對於任何可能下載和使用此類模型的應用程式來說都是巨大的風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>模型卡</strong></span></span></p> <p>在前面，我們了解到Hugging Face已經成為交換機器學習模型和訓練集的主要平台。由於需要追蹤重要的模型資訊及相依性，該公司開發了一種稱為模型卡（model Card）的標準化工件。</p> <p>Hugging Face的模型卡在於提供關於其平台上託管的每個AI模型的全面資訊，目標是讓使用者（無論是開發人員、研究人員或最終使用者）清楚了解模型的功能、限制和預期用途，這種方法與AI社群的努力一致，以確保AI模型能被合乎道德和有效的使用。</p> <p>以下是Hugging Face模型卡的幾個重點：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 模型描述</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>每個模型卡通常以模型的描述開始，包括其目的、架構和訓練資料，這讓使用者能夠對模型的設計目的及其工作原理有一個高層次的了解。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 訓練資料</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>模型卡通常會詳細說明用於訓練模型的資料集。了解模型的潛在偏見和限制非常重要，因為訓練資料的性質會顯著地影響模型的表現和行為。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 預期用途</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>模型卡包含有關模型預期用途的資訊，這有助於使用者了解模型預期表現良好的環境。這部分也可能包括使用建議或指南。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 倫理考量</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>許多模型卡都涉及倫理考量層面，例如模型中的潛在偏見及其部署對各利害關係人的影響，這反映出人們越來越看重AI技術對於社會以及永續發展的影響。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 效能指標</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>這些模型卡通常包含各種效能指標，以向使用者展示模型的效能如何。這些指標通常是基於模型在基準資料集或其設計的特定任務上的表現。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 限制 </span> </strong></span>模型卡的關鍵組成部分是對模型限制的討論，這包括模型可能無法如預期執行的領域、某些應用中的潛在風險或模型應謹慎使用的領域。</p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>註：其他LLM供應商（例如AWS）已經開始研發自己的模型卡格式。這個領域可能會出現格式碎片化（fragmentation）的情況，因此你需要依專案需求慎選適合的格式。不過，從概念上來看，你應該會發現它們與上述的討論大同小異。</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>模型卡與SBOM的比對</strong></span></span></p> <p>模型卡和SBOM（軟體物料清單，software bill of material）都是目標在於提高複雜軟體系統（包括AI模型）的透明度和理解性的工具。儘管如此，它們還是有不同的用途，所包含的資訊類型也有所不同。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 目的和重點 </span></strong></span></p> <p>模型卡的主要目的是為機器學習模型的功能、行為和限制提供清晰、易於理解的描述。它們專注於效能、倫理考量、使用範例和訓練模型時使用的資料。模型卡對於需要了解ML模型的操作特徵和道德含義的最終使用者和開發人員來說非常方便。</p> <p>SBOM本質上是所有軟體產品組件的詳細清單。SBOM列出並詳細說明軟體產品中包含的每一個第三方和開源軟體，它們對於理解軟體的組成非常重要，特別是對於追蹤漏洞、授權與相依性。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 內容 </span></strong></span></p> <p>模型卡通常包括模型架構、訓練資料、效能指標、預期用途、倫理考量和限制等資訊。他們還可能提供對模型開發過程以及模型中任何潛在偏見的見解。</p> <p>SBOM包含每個軟體組件、版本、修補程式狀態、授權的詳細列表，有時還包含每個組件的來源。這些資訊對於漏洞管理、合規性檢查和軟體維護是很重要的。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 在安全性及合規性的應用 </span></strong></span></p> <p>雖然模型卡不直接解決安全漏洞，但可以間接表示模型的穩健性和可靠性，這是人工智慧系統安全性的重要關鍵。它們還可以突顯可能會影響安全的道德風險或偏誤。</p> <p>SBOM直接用於安全性和合規性上，對於漏洞管理非常重要，因為安全團隊可以藉由SBOM快速識別第三方組件中新發現的漏洞是否影響其軟體，也被應用於授權合規性和風險管理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 產業應用 </span></strong></span></p> <p>模型卡主要用於人工智慧和機器學習，是Responsible AI（負責任AI）運動的一部分。</p> <p>SBOM廣泛適用於所有軟體開發，並且日益成為軟體文件標準的一部分，特別是在高度重視安全性及合規性的產業中。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>CycloneDX：SBOM的標準</strong></span></span></p> <p>在CycloneDX推出之前，不同工具使用的SBOM格式多樣且不統一，阻礙了共享和互通性。CycloneDX透過提供統一的語言來描述軟體組件解決了這個問題，促進各種工具和平台的無縫整合。</p> <p>作為OWASP管理下的開源專案，CycloneDX受益於社群驅動的方法，這確保它能持續發展以滿足各行業不斷變化的需求，並且每個人都可以使用。清楚了解系統的軟體組件對於有效的漏洞管理和修補至關重要，而CycloneDX簡化了識別和解決漏洞的過程，進而增強了整體資安態勢。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>ML-BOM的興起</strong></span></span></p> <p>CycloneDX 1.5的一項關鍵創新是ML-BOM（機器學習物料清單），它可以說是ML應用程式的重大變革，此功能允許在SBOM中全面列出ML模型、演算法、資料集、訓練管道和框架。它記錄了模型來源、版本控制、依賴關係和效能指標等基本細節，這些資訊有助於機器學習系統的再現性、治理、風險評估和合規性。</p> <p>在透明度和理解方面，ML-BOM讓ML開發和部署所包含的組件和流程清晰可見，這有助於利害關係人掌握機器學習系統的組成、識別潛在風險並考慮道德影響。在安全領域，它可以識別和修復機器學習組件及其依賴組件中的漏洞。</p> <p>合規性是ML-BOM具有重大影響的另一個關鍵領域，它透過確保系統的透明度和治理，來支援遵守GDPR和CCPA等法規要求。</p> <p>除了這些核心領域之外，ML-BOM還提供其他優勢。它提高了再現性，允許複製實驗和結果，這對於機器學習系統的科學嚴謹性和信任至關重要。協力合作也變得更加簡便，因為ML-BOM使團隊和組織之間的專案共享和合作變得更容易。最後，它是知識管理的有效工具，可以保存有關系統的關鍵資訊以供將來維護、更新和稽核。<strong>（本文摘錄整理自《LLM資安教戰手冊》，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0919_LLM%E8%B3%87%E5%AE%89%E6%95%99%E6%88%B0%E6%89%8B%E5%86%8A_600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> LLM資安教戰手冊（The Developer's Playbook for Large Language Model Security）</strong></p> <p>Steve Wilson／著；洪巍恩／譯</p> <p>碁峯資訊出版</p> <p>定價：580元</p> <p><a href="https://www.amazon.com/stores/Steve-Wilson/author/B0D78JT6Q7?language=zh_TW&ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_LLM%E8%B3%87%E5%AE%89%E6%95%99%E6%88%B0%E6%89%8B%E5%86%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 150px;" /></a></p> <p><a href="https://www.amazon.com/stores/Steve-Wilson/author/B0D78JT6Q7?language=zh_TW&ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Steve Wilson</strong></p> <p>Steve Wilson是Exabeam的產品長，也是人工智慧和網路安全領域公認的領導者。他曾服務於Citrix、Oracle和Sun Microsystems等市值數十億美元的科技公司，擁有超過25年建置軟體平台的經驗。Steve也是《Java Platform Performance: Strategies and Tactics》一書的作者。</p> </div></div></div>
2025/9/19 06:00未署名https://www.ithome.com.tw/article/171180
強化邊緣運算與機器人效能，輝達單板電腦邁入Blackwell世代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/jetson_thor-08-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Nvidia推出更多採用Blackwell架構GPU的產品，我們陸續介紹上半年發表的RTX Pro Blackwell系列的專業繪圖加速卡，以及伺服器級資料中心GPU，在8月底，他們的單板電腦產品線，終於也迎來這項加速運算技術，發布Jetson Thor系列，屬於專為物理AI與機器人設計的電腦產品，目前已有多家業者率先採用，像是Boston Dynamics、Amazon Robotics、Agility Robotics、Figure 01。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-J.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-J.jpg" style="width: 600px;" /></a></p> <p>目前Jetson Thor區分為單板電腦模組T5000，每個產品的建議售價為3,199美元，若採購至1千個以上，建議售價為2,999美元，以及搭配T5000而成的開發者套件Jetson AGX Thor Developer Kit，建議售價為3,499美元，可經由Nvidia全球授權經銷商購買，若需要採用正式系統與搭配單板電腦的載板，可洽詢嵌入式系統廠商。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-D.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-D.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2025-7-9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2025-7-9.png" style="width: 600px;" /></a></p> <p>最新上市的Jetson T5000配備128 GB容量的LPDDR5X記憶體（現有Jetson系列最多搭配64 GB記憶體），整合的Arm處理器內建14顆效能優於Neoverse V2架構的Neoverse V3AE核心，效能提升的幅度達到3.1倍，而且，受益於整合Blackwell架構GPU晶片（2,560顆CUDA核心與96顆第五代Tensor核心），用於AI運算時，FP4浮點運算可達2,070 TFLOPS，比起前代單板電腦產品Jetson Orin系列，效能可提升至7.5倍，足以執行各種生成式AI模型，例如，常用的大型語言模型（LLM），如Llama、Gemini、DeepSeek，Nvidia發展的通用機器人基礎模型Isaac GR00T N1.5，以及視覺語言模型（VLM），如Cosmos-Reason1、通義千問（Qwen）。而在耗電量的部分，Jetson Thor系列的功耗最高為130瓦，能源使用效率也增至3.5倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-A.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/arm-neoverse-v3ae-cpu.png" style="width: 198px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-B.jpg" style="width: 600px;" /></p> <p>基本上，Jetson Thor系列可以執行多個AI工作流程，實現具有邏輯推理能力的即時推論處理，這對追求高效能表現的物理AI應用很重要，像是人形機器人、農業與醫療手術輔助，因為機器人需要與人們與物理世界進行即時、聰明的互動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-I.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-I.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-K.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-K.jpg" style="width: 298px;" /></a></p> <p>除了提供強大的硬體運算環境、能用於執行生成式AI模型，Jetson Thor系列可沿用Nvidia長期發展的Jetson軟體堆疊平臺，像是軟體開發套件JetPack，當中整合工具包CUDA、程式庫cnDNN、推論執行環境TensorRT等AI運算堆疊，以及PyTorch、LLM、SGLang、Triton Inference Server等AI框架、Jetson Linux元件與程式庫，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-E.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-F.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-F.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-G.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-G.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-H.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-H.jpg" style="width: 198px;" /></a></p> <p>而且，Jetson Thor系列也支援常見的AI框架，可完整相容橫跨雲端到邊緣環境的Nvidia軟體堆疊，像是用於機器人模擬與開發的Nvidia Isaac平臺、人形機器人基礎模型Isaac GR00T，影像視覺AI應用框架Metropolis，即時處理感測器資料的框架Holoscan。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-4.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-6.jpg" style="width: 298px;" /></a></p> <p><a href="https://forums.developer.nvidia.com/t/jetpack-7-0-jetson-linux-38-2-for-nvidia-jetson-thor-is-now-live/343128">8月底Nvidia</a>正式推出<a href="https://developer.nvidia.com/embedded/jetpack">JetPack</a>的7.0版，支援Jetson T5000與Jetson AGX Thor Developer Kit，當中搭配的作業系統Jetson Linux 38.2，採用6.8版Linux系統核心，以及基於Ubuntu 24.04 LTS而成的根檔案系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson_modules-software_roadmap-2025-7-9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson_modules-software_roadmap-2025-7-9.jpg" style="width: 600px;" /></a></p> <p>至於Jetson AGX Thor Developer Kit，當中包含的元件除了Jetson T5000，還有主動式散熱器、風扇、電源供應器，以及提供豐富連接能力的參考載板，提供USB-A、USB-C、乙太網路（RJ45：5GbE、QSFP28：4個25GbE）、DisplayPort 1.4a、HDMI 2.0b、PCIe 5.0（M.2外形NVMe固態硬碟、Wi-Fi 6E與藍牙模組）等多種連接埠。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-7.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson AGX Thor-IO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20AGX%20Thor-IO.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Nvidia Jetson AGX Thor Developer Kit</span></strong><br /> ●原廠：Nvidia<br /> ●建議售價：Jetson AGX Thor Developer Kit為3,499美元，Jetson T5000為3,199美元<br /> ●搭配單板電腦：Jetson T5000<br /> ●外形尺寸：243.19 x 112.40 x 56.88公釐<br /> ●T5000中央處理器：Arm Neoverse-V3AE，14核心<br /> ●T5000繪圖處理器：Nvidia Blackwell架構，2560個核心搭配96個Tensor Core<br /> ●T5000記憶體：LPDDR5X，128 GB<br /> ●儲存空間：1 TB M.2外形NVMe固態硬碟<br /> ●網路介面：1個RJ-45埠（5GbE）與1個QSFP25埠（4個25 GbE埠）<br /> ●T5000 FP4運算效能：2,070 TFLOPS<br /> ●顯示介面：DisplayPort 1.4a/HDMI 2.1，支援8Kp30解析度<br /> ●連接介面：2個USB 3.2、2個USB-C 3.1<br /> ●耗電量：40瓦至130瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/18 19:22作者李宗翰https://www.ithome.com.tw/review/170954
Momo揭露最新GenAI應用，靠GAI偵測違規商品內容，百萬件商品都能全面品檢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p data-node-id="b154cc97-c3c4-45a9-9dc4-50612695c295" data-node-type="paragraph" data-pm-slice="0 0 []">去年中，Momo富邦媒推出了自己的開店平臺Mo店+，一年來收錄超過百萬件商品，相關產品圖檔更多達數百萬張，如何確保龐大上架商品照片的合規，成了Momo新平臺的挑戰。初起，只能用透過抽樣人工檢查，不只判斷效率不高，也容易有疏漏，直到生成式AI技術的成熟，Momo在一場活動中，首度公開他們如何用生成式AI，從百萬上架商品中，找到違規商品內容的判讀準確率高達99%。</p> <p data-node-id="c3314616-e247-4212-aa95-a5aeefbfbb83" data-node-type="paragraph">早在2022年底ChatGPT上線後，Momo就開始嘗試這項技術，但當時這類技術不夠成熟，Momo只用於內部測試，沒有正式應用到電商業務上。富邦媒體科技資料科學研發課課長謝百恩透露，直到Gemini推出1.5版，Momo才開始正式採用，第一個導入的場景就是商品內容偵測。</p> <p data-node-id="365222ef-09f4-43af-8489-f870582cea81" data-node-type="paragraph">開店平臺的第三方商品圖片多達數百萬張，而且店家還是不時更新圖片，謝百恩表示，為了控管上傳圖檔的品質符合規範，傳統做法是靠人工抽檢，需耗費大量人力，而且不容易抽查到違規的商品圖片。</p> <p data-node-id="5f0aa9ee-1b7c-4c0c-af8d-06c178de0af3" data-node-type="paragraph">對開店平臺來說，管理上百萬款商品有兩大課題，一個是商品分類，這是後續行銷推薦的重要基礎，另一個課題是違規商品偵測，這是電商合規的重要工作。</p> <p data-node-id="b6d27460-4e49-4bb9-bd2a-47aa828b5e77" data-node-type="paragraph">Momo原本就有一套自行訓練的商品分類模型，可以依據上傳商品的描述，來推薦十大建議分類，原本的分類正確率高達94%，但是Momo還不滿意，只靠人工來抽檢，來找出錯誤的分類推薦，不過，人工抽查成效有限，後來，Momo改用Gemini進行複查，重複檢查自家分類模型的建議結果，找出疑似分類錯誤的商品，再由品管人員確認，將商品分類的正確率提高到了99%。</p> <p data-node-id="5ce36e36-6ba0-4b26-aaea-4e6d8f1548cd" data-node-type="paragraph">不只用於商品分類，Momo也同樣用Gemini來偵測違規商品。為了避免違反不同主管機關各類型的法規要求，Momo的「禁止和限制商品政策」相關規範多達50多條，但傳統也只能靠人工把關，很難逐一審查高達百萬件的商品，只能抽樣檢查。</p> <p data-node-id="92210465-d348-40d2-b72f-24f90e9a6a8e" data-node-type="paragraph">Momo改用Gemini技術，依據違規政策，來進行商品資訊的語意判斷，找出疑似違規的商品，再交給品管人員複查，找出違規商品的準確率高達99%。</p> <p data-node-id="b63f561d-fa9d-4837-b102-28c0dc52e4ca" data-node-type="paragraph">不只是商品文字判讀，Momo也開始善用Gemini的多模態理解能力，來設計一個菸品偵測模型。傳統做法只能根據文字來做基本檢查，商品圖片只能靠有限的人工抽查。</p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph">謝百恩舉例，像是有店家上傳了自己拍的椅子商品照片，圖片一角拍到菸品，有可能違反菸害防制法的菸品廣告規範，得面臨高額罰款的風險。</p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph">Momo有一套嚴格的人工審查做法，但靠AI可以找到這套做法的漏網之魚，像是在圖片角落不小心拍到了菸品，也能分辨出來排除。Momo結合了原有的文字模型來識別商品文字資料，搭配Gemini多模態模型來識別商品的圖片，結合兩者結果找出疑似違規的商品，再交給品管人員複查。上線不到半年，到2024年底就發現了24件異常。</p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph"><strong>Momo先將Gemini用於商品分類輔助和商品內容的偵測。</strong></p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph"><img alt="" src="https://s4.itho.me/sites/default/files/images/momo-gai.jpg" /></p> <p data-node-id="aa5a3c54-6a70-4e38-8488-f395ffb78023" data-node-type="paragraph">謝百恩強調，透過生成式AI的做法，可以做到商品全檢的程度，不只是商品上架時檢查，連商品後續更新圖片時，每一次都可以檢查。Momo一個月靠生成式AI進行各種檢查的商品圖片總數，最少數十萬張，最多更可處理高達上百萬張。</p> <p data-node-id="1f5840b8-4275-494e-a423-4bf248dd24dd" data-node-type="paragraph">不只用於商品內容偵測，去年，Ｍomo也用Gemini來提供商品包材的建議，借助Gemini多模態模型，分析商品資料，像是商品描述，商品圖檔，結合包裝資料，包裝策略，針對商品特性來決定是否可用環保袋而不用紙箱包裝。導入三個月就提升了一成的環保袋使用率，減少不少紙箱的消耗。</p> <p data-node-id="01fa98c4-5ab9-4058-b88a-fe6d7152441f" data-node-type="paragraph">除了內部應用外，Momo也用Gemini來優化搜尋功能的個人化推薦能力。過去主要靠推薦詞庫來提供搜尋詞的建議給顧客，Momo現在改用LLM根據消費者的歷史搜尋和購買行為，生成個人化的搜尋詞建議清單，顧客對推薦詞的點擊率比詞庫推薦做法，提高了40%，更能符合顧客的需求。或像是節慶檔期，Momo用Gemini針對數十個商品樂別，自動建立更詳細的商品風格資訊，自動從數萬款商品中進行推薦，再提供給行銷團隊確認AI推薦結果，不用像過去得靠人工從百萬商品中挑選符合活動提的清單，大幅減少了人工作業時間。</p> <p data-node-id="4602ae89-9907-401e-a5b4-6613ff3702fc" data-node-type="paragraph">下一步，謝百恩透露，Momo正在積極實驗AI代理應用，已經展開多項內部專案測試。</p> <p data-node-id="6b1d800c-cb8f-43b0-ad27-d5e8ce02dad5" data-node-type="paragraph">謝百恩表示，AI輔助電商，未來有三大方向，從個人化到預測需求，從效率工具到智慧核心，從技術應用到體驗升級。AI不只是回應消費者已知的需求，還可以精準洞察、預測甚至喚醒消費者的潛在需求。</p> </div></div></div>
2025/9/18 18:53作者王宏仁https://www.ithome.com.tw/news/171279
【資安日報】9月18日，逾500個NPM套件被植入具大量散播能力的蠕蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定軟體套件發布平臺NPM的供應鏈攻擊事故，8月底有開源建置工具Nx被植入惡意程式的情況，後續資安業者Wia發現有超過6,700個GitHub私人儲存庫遭到公開，如今又有大規模攻擊事故出現，揭露此事的資安業者Socket指出，駭客植入會自我散布的蠕蟲，並在2天內感染超過500個套件，而且，這波攻擊很可能還在延續。</p> <p>上週澳洲網路安全中心（ACSC）、資安業者Rapid7<a href="https://www.ithome.com.tw/news/171147">警告勒索軟體Akira針對SonicWall防火牆下手的情況加劇</a>，本週SonicWall對使用雲端組態備份機制MySonicWall的用戶表示，此服務出現資料外洩的情況，攻擊者有機會將相關組態用於對防火牆發動後續攻擊。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171263"><strong style="font-size: 22px;">供應鏈攻擊兩天內急速擴散！逾500個NPM套件被植入具大量散播能力的蠕蟲</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3740dba254a802cbd91562cb1a87b1215b2fea8c-3398x1324.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/3740dba254a802cbd91562cb1a87b1215b2fea8c-3398x1324.png" style="width: 300px; float: right;" /></a></p> <p>軟體供應鏈攻擊的威脅加劇，近期有許多軟體套件發布平臺NPM的套件開發者遭到攻擊，導致他們維護的套件遭到植入惡意軟體的情況，但如今有資安業者也受害，而受到各界關注。</p> <p>資安業者Socket指出，資安業者CrowdStrike用來發布NPM套件的帳號crowdstrike-publisher出現遭到破壞的情況，他們研判很有可能是軟體供應鏈攻擊活動Shai-Hulud的一部分，因為駭客使用的惡意軟體相同，且當中包含名為bundle.js的指令碼。此指令碼的主要用途，包含下載帳密掃描工具TruffleHog並執行，然後搜尋受害電腦存放的憑證及雲端帳密、偵察開發者的CI帳密資料，並在特定的儲存庫建立未經授權的GitHub Actions工作流程，最終將前述提及的敏感資料外流。</p> <p>在經過相關通報之後，受影響的套件NPM已經下架處理，總共約有500個套件受到影響，值得留意的是，不光是CrowdStrike的帳號遭駭，還有Operato、Things Factory等多個企業組織也遇害。</p> <p><a href="https://www.ithome.com.tw/news/171270"><strong style="font-size: 22px;">SonicWall防火牆雲端設定檔備份外洩，要求用戶立即更換憑證</strong></a></p> <p>SonicWall通知其用戶在MySonicWall帳號中儲存的防火牆雲端設定檔備份，曾遭未經授權的存取，這些檔案包含密碼、金鑰與其他敏感資訊，要是落入攻擊者手中，可能降低滲透防火牆的難度。SonicWall表示，事件發現後已關閉未授權的存取點，並與國際執法及資安單位展開調查，同時要求受影響的使用者立即執行隔離與憑證重設。</p> <p>官方強調，影響範圍限於有將設定檔備份在MySonicWall的防火牆。使用者可登入MySonicWall確認狀態，如果帳號頁面以提示橫幅標示受影響的序號，代表這些防火牆必須立即採取修復步驟，當帳號未顯示受影響序號，但過去確曾使用雲端備份，SonicWall將在後續提供判斷方式。</p> <p><a href="https://www.ithome.com.tw/news/171251"><strong style="font-size: 22px;">ShinyHunters宣稱從Salesloft Drift事件竊得15億筆Salesforce資料</strong></a></p> <p>近日涉嫌駭入Google、思科、安聯人壽等知名企業的駭客組織ShinyHunters，本周宣稱已經自Salesloft Drift駭入760家企業的客戶關係管理（CRM）系統Salesforce資料庫，取得近15億筆用戶資料。</p> <p>今年8月起，陸續有思科、安聯人壽公告遭不明人士竊走客戶資料，當時僅有Google說明是Salesforce系統遭駭。Google自家資安團隊及服務部門Mandiant公告調查結果，攻擊者自8月8日至8月18日期間，濫用整合Salesforce的Salesloft Drift OAuth權杖登入其CRM系統，並竊走客戶資料及其他內部系統資料。</p> <p>針對作案的過程，這群駭客聲稱，他們一開始利用開源數據挖掘工具TruffleHog掃瞄，尋找網路上是否有外洩的Salesloft Drift憑證，最後他們找到Salesloft公司的GitHub密碼。</p> <p><a href="https://www.ithome.com.tw/news/171245"><strong style="font-size: 22px;">記憶體攻擊新手法Phoenix，可繞過DDR5的Rowhammer防禦機制</strong></a></p> <p>ETH Zurich與Google研究團隊揭露能在量產DDR5上實際運作的Rowhammer攻擊手法，稱之為Phoenix。研究證實，在一般電腦平臺預設設定下，所有2021年至2024年間出貨的15條SK hynix DDR5 UDIMM都能被攻破，並以分頁表（Page Table）翻轉取得系統控制權，最快僅需109秒即可完成。該研究已在2025年6月6日透過瑞士國家網路安全中心進行通報，並在9月15日解禁，同時登記為CVE-2025-6202。</p> <p>過去TRR被視為阻擋Rowhammer的主要手段，但研究團隊透過逆向工程發現，DDR5在晶片內實作的TRR（Target Row Refresh）其實並不是每次存取都會立即檢查，而是以較稀疏的取樣來判定是否發生Rowhammer。也就是說，TRR的取樣間隔可能長達數百甚至數千個DRAM自動重新整理周期（tREFI）。</p> <p>研究指出，近期的AMD Zen 4、Intel Alder Lake與Raptor Lake的記憶體控制器未使用DDR5的RFM（Refresh Management）指令，現行防護仍高度仰賴各廠商未公開的TRR設計。</p> <p><a href="https://www.ithome.com.tw/news/171272"><strong style="font-size: 22px;">壽司郎傳出個資外洩事故，客戶收到他人點數到期通知</strong></a></p> <p>為了讓顧客經常上門消費，許多餐飲業者都會實施會員集點制度，消費者能透過點數折抵消費或是兌換禮物。但最近有一起資料外洩事故，與業者通知用戶點數到期有關，在客戶於社群網站透露後，引起國內媒體爭相報導。</p> <p>這起事故的主角，是全臺擁有超過50家分店的迴轉壽司店「壽司郎」。事件的揭露，是有人9月14日在社群網站Threads發文指出，壽司郎點數到期通知疑似寄給所有到期的人，並表示他因此知道巷口的阿伯有多少點數。此貼文一出，迄今有超過44萬人看過、4,300人按讚、1,100人轉貼。該名用戶表示，他總共收到64封點數到期通知信。</p> <p>對此，有其他Threads用戶留言表示，他聽聞有人收到600封通知信，並指出這些通知信只有姓名，並未包含其他個資，不然事態可能會更加嚴重。但也有用戶認為，其實姓名和電子郵件信箱都算是個資，這次的壽司郎出錯似乎很嚴重。</p> <p><strong style="font-size: 22px;">半導體測試設備供應商致茂電子遭網路攻擊，勒索軟體Warlock聲稱是他們所為</strong></p> <p>9月17日晚間半導體儀器測試大廠致茂電子<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=184119&SPOKE_DATE=20250917&COMPANY_ID=2360">發布資安重訊</a>，指出他們的資訊系統遭到網路攻擊，事發後資安團隊立即啟動防禦機制因應。而對於這起事故可能會帶來的影響，致茂表示根據初步評估，沒有個資、機密，以及重要的資料文件出現外洩的情況，對於公司營運無重大影響。</p> <p>雖然致茂並未透露遭到的攻擊類型，但根據<a href="https://finance.ftvnews.com.tw/news/detail/2025916W0812">民視新聞網的報導</a>，勒索軟體駭客Warlock聲稱是他們所為。我們也在網路上搜尋，威脅情報網站<a href="https://www.hendryadrian.com/ransom-chroma-com-tw/">CyberSecurity News Everyday</a>、<a href="https://www.hookphish.com/blog/ransomware-group-warlock-hits-chroma-com-tw/">HookPhish</a>、<a href="https://www.ransomware.live/id/Y2hyb21hLmNvbS50d0B3YXJsb2Nr">Ransomware.Live</a>皆發布相關消息，從這些網站的公告也看到Warlock在16日聲稱從該公司竊得資料，但攻擊者手上究竟有多少檔案，仍不得而知。</p> <p>比較特別的是，Ransomware.Live提到，過程裡駭客運用多款竊資軟體犯案的情況，他們疑似運用至少4款惡意程式，包括：Lumma、RedLine、StealC、Raccoon。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182304/apt/china-linked-apt41-targets-government-think-tanks-and-academics-tied-to-us-china-trade-and-policy.html">針對APT41假冒美國議員攻擊與美中貿易談判有關的政府機關、智庫、學者，資安業者Proofpoint揭露相關細節</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/scattered-spider-resurfaces-with.html">ShinyHunters傳出接下來針對金融、科技領域而來，濫用Bland AI進行大規模社交工程攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ta558-uses-ai-generated-scripts-to.html">駭客組織TA588鎖定巴西旅館而來，透過AI生成的指令碼散布木馬Venom RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/muddywater/">伊朗駭客MuddyWater發動新一波攻擊，透過Cloudflare散布多階段惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/microsoft-onedrive-auto-sync-flaw/">微軟雲端檔案共享服務OneDrive的自動同步機制存在缺陷，恐洩露SharePoint Online的企業機密</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171253"><strong style="font-size: 22px;">將中小企業與NGO納入資安防禦網！資安院打造健檢團與服務團，可結合課程讓老師帶學生實務參與</strong></a></p> <p>資安人才短缺是全球性的挑戰，臺灣亦不例外，而如何將資安文化與意識向一般民眾普及，更是一大難題。為建構全民參與的社會資安防護體系，政府與上市櫃公司雖已積極強化資安投入，但中小企業與非營利組織（NGO）也是臺灣創新的重要動力，同樣需要被納入防護網。為此，國家資通安全研究院（資安院）正積極著手發展相關對策。</p> <p>在眾多推動措施中，我們特別關注兩項專案：「資安服務團」與「資安健檢團（Cybersecurity Clinic）」，因為它們都採用實地輔導方式，協助中小企業、微型企業與NGO強化防護能力。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171243"><strong>【9月17日】中國駭客CamoFei利用Roundcube攻擊臺灣教育機構</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171216"><strong>【9月16日】ShinyHunters聲稱駭入擁有多個時尚品牌的公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171199"><strong>【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</strong></a></p> </div></div></div>
2025/9/18 16:56作者周峻佑https://www.ithome.com.tw/news/171274
壽司郎傳出個資外洩事故，客戶收到他人點數到期通知
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓顧客經常上門消費，許多餐飲業者都會實施會員集點制度，消費者能透過點數折抵消費或是兌換禮物。但最近有一起資料外洩事故，與業者通知用戶點數到期有關，在客戶於社群網站透露後，引起國內媒體爭相報導。</p> <p>這起事故的主角，是全臺擁有超過50家分店的迴轉壽司店「壽司郎」。事件的揭露，是有人9月14日<a href="https://www.threads.com/@leo10152/post/DOjPhbWE5Ji?hl=zh-tw&xmt=AQGz-IwJqbeO4vAwb4dcNl5RtyzOM5bPjkvoz6Eg8TiR1Xk">在社群網站Threads發文指出</a>，壽司郎點數到期通知疑似寄給所有到期的人，並表示他因此知道巷口的阿伯有多少點數。此貼文一出，迄今有超過44萬人看過、4,300人按讚、1,100人轉貼。該名用戶表示，他總共收到64封點數到期通知信。</p> <p>對此，有其他Threads用戶留言表示，他聽聞有人收到600封通知信，並指出這些通知信只有姓名，並未包含其他個資，不然事態可能會更加嚴重。但也有用戶認為，其實姓名和電子郵件信箱都算是個資，這次的壽司郎出錯似乎很嚴重。</p> <p>在事故曝光之後，<a href="https://www.threads.com/@sushiro.tw/post/DOkbLCJkqDF/%E8%A6%AA%E6%84%9B%E7%9A%84%E9%A1%A7%E5%AE%A2%E6%82%A8%E5%A5%BD%E5%B0%8D%E6%96%BC%E6%9C%AC%E6%AC%A1%E9%BB%9E%E6%95%B8%E5%88%B0%E6%9C%9F%E9%80%9A%E7%9F%A5%E4%BF%A1%E4%BB%B6%E9%80%A0%E6%88%90%E7%9A%84%E4%B8%8D%E4%BE%BF%E8%88%87%E5%9B%B0%E6%93%BE%E6%88%91%E5%80%91%E6%B7%B1%E6%84%9F%E6%8A%B1%E6%AD%89%E7%B6%93%E6%9F%A5%E7%9B%AE%E5%89%8D%E7%B3%BB%E7%B5%B1%E7%99%BC%E4%BF%A1%E7%A8%8B%E5%BA%8F%E5%87%BA%E7%8F%BE%E7%95%B0%E5%B8%B8%E6%8A%80%E8%A1%93%E5%9C%98%E9%9A%8A%E5%B7%B2%E7%B7%8A%E6%80%A5%E4%BB%8B%E5%85%A5%E8%99%95%E7%90%86%E4%B8%A6%E6%8C%81%E7%BA%8C%E9%87%90%E6%B8%85%E5%95%8F%E9%A1%8C%E6%A0%B9%E6%BA%90%E6%9C%9F%E7%9B%BC%E7%9B%A1%E5%BF%AB%E6%81%A2%E5%BE%A9%E6%AD%A3%E5%B8%B8%E9%81%8B%E4%BD%9C%E8%8B%A5%E6%82%A8%E9%A1%98">壽司郎在該則發文的下面留言回應</a>，表示他們經過調查之後，是系統的發送電子郵件的程序出現異常，技術團隊緊急介入處理，並釐清問題的根源。</p> <p>究竟後續處理的結果如何？壽司郎並未透露，<a href="https://www.threads.com/@leo10152/post/DOlbDjRk68J?xmt=AQF0NgWVzq2WM1A96dsk_imB4NIfdMo_Gb1fH7062oZ3Hg">原先揭露此事的網友表示</a>，他收到壽司郎的通知信，表示這起事故是委外廠商發送通知信的過程出現異常，導致收信人部分資料可能會誤植到通知其他客戶的信件。對此，他們採取應對措施，包含立刻停止異常發信的情況，並尋求第三方單位合作進行檢測，確認未有持續性的外洩風險；該公司也啟動內部稽核機制，檢討對於委外廠商的監督流程。該公司也對於受到影響的客戶，提供500元電子折價券。</p> </div></div></div>
2025/9/18 16:05作者周峻佑https://www.ithome.com.tw/news/171272
資安院推中小企業資安防護指南手冊，預告臺版Cyberseek明年上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推動中小企業強化資安，幫助臺灣資安人才發展，是這些年來政府持續設法在因應的挑戰，近期國家資通安全研究院（資安院）公布新成果，他們不僅已經<a href="https://www.ithome.com.tw/news/171253">打造資安服務團與資安健檢團（Cybersecurity Clinic）</a>，還有兩項重要專案的發展，受到我們關注，分別是資安推廣工具「資安星際指南」手冊，以及臺灣資安人才資源專區。</p> <p>資安院人才培力中心主任鄭瑋表示，由於資安服務團與資安健檢團的規模仍有限，難以觸及所有需求單位，因此資安院在推動擴大規模的同時，同時也將實地輔導課程的教材內容，整理出一系列「資安防護指南」手冊。</p> <p>這套手冊預計將發布5個版本，希望讓所有中小企業、微型企業與非營利組織（NGO）作為強化資安的實用參考工具。目前已發布的兩本為「資安基礎概論篇」、「資通系統安心委外篇」，後續還將推出的是「網路安全管理實務篇」、「資安制度與風險管理篇」，以及「個資管理篇」。</p> <p>資安院人才培力中心經理胡馨元提出更多具體說明，她表示，在這套手冊的設計考量上，他們主要希望藉由故事中職場或日常生活情境，自然引入重要資安觀念，同時也以臺灣特有種為靈感來創造角色，搭配這些淺顯易懂、引人入勝的故事，希望讓廣泛企業老闆與員工都能自我閱讀與學習，降低他們接觸資安的門檻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）資安星際指南_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89%E8%B3%87%E5%AE%89%E6%98%9F%E9%9A%9B%E6%8C%87%E5%8D%97_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 338px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）資安星際指南_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89%E8%B3%87%E5%AE%89%E6%98%9F%E9%9A%9B%E6%8C%87%E5%8D%97_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 338px;" /></a></p> <p>另一個新專案是打造臺灣資安人才資源專區，也就是仿效國際間Cyberseek計畫，建立國內專屬的資源整合網站，目前已在製作階段，當中不僅能夠提供職缺訊息，也會串接人力銀行的資訊，並也特別規畫資安人求職旅程的內容，結合進修、轉職、證照與職缺等訊息。這項計畫預計今年底陸續完成，2026年可以上線。</p> <p>至於未來的願景，資安院人培中心希望，能夠做到整合全國的資安培訓資訊與資源，而這需要與更多相關部會來合作完成。國際間已有實例，像是<a href="https://security-portal.nisc.go.jp/">日本國家網路安全中心（NISC）就有這樣的規畫，建立一個資訊集中的資安資源入口網站</a>，這樣的資源整合將便於擴大使用者參與，像是當中也設計一套網路安全課程，可依目的、關係、角色別，讓不同性質使用者都能找到適當的學習資源。至於何時能夠打造這樣的整合性資安資源平臺？資安院並未說明，而我們也希望這樣的目標能盡早達成。</p> <p> </p> </div></div></div>
2025/9/18 16:31作者羅正漢https://www.ithome.com.tw/news/171261
中國防火長城資料外洩，近600 GB原始碼與內部文件曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國網路審查系統防火長城技術團隊發生資料外洩，9月11日公開的檔案總量接近600 GB，包含原始碼、內部通訊、工作紀錄與打包鏡像（Mirror），顯示其研發與營運細節前所未見。外洩來源為防火長城研發的核心技術團隊，包括積至（Geedge Networks）與中國科學院資訊工程研究所IIE旗下的MESA實驗室。</p> <p>長期追蹤中國網路審查技術研究的獨立報告網站<a href="https://gfw.report/blog/geedge_and_mesa_leak/en/">GFW Report</a>，稱其為防火長城史上最大規模資料外洩，目前沒有明確證據證實是內部故意洩漏或遭駭客入侵。</p> <p>洩漏檔案可透過BitTorrent與HTTPS鏡像下載，最大檔案mirror/repo.tar本身就接近500 GB，為RPM打包伺服器鏡像，另有geedge_docs、mesalab_docs、Jira匯出檔與Git倉庫備分等數十GB檔案。這些內容不僅涵蓋系統模組，還包括套件依賴與版本時間軸，使研究者能從供應鏈角度觀察產品生命周期。此類完整的工程鏡像過去極少外流，這使得外界能夠從程式碼到維運紀錄進行還原。</p> <p>外洩內容顯示，中國的網路封鎖並非單純由內部專案支撐，而是以可重複部署的產品化方式存在。具體例子是名為天狗安全閘道（Tiangou Secure Gateway，TSG）這類商用化平臺， Geedge官方頁面顯示其提供整合深度封包檢測與SSL/TLS加密流量視覺化，具備標準化交付能力，而這打破了外界對防火長城只存在於中國體制內的印象。</p> <p>文件中直接提及緬甸、巴基斯坦、衣索比亞和哈薩克等國，並透露在當地電信與資料中心整合的技術方案。過去關於中國審查技術輸出的報告多屬推測，這次則有明確文件支撐。</p> <p>MESA實驗室與Geedge Networks的關聯，這次也透過文件與Git提交紀錄被清楚對照。從研究人員、學生到後續進入企業的承接過程，外洩材料提供了直觀的佐證，這使得外界能更清楚理解，中國的網路審查技術，如何從學術單位逐步轉化為工程化產品，再透過公司實體對內與對外提供服務。</p> <p>除了技術與供應鏈，外洩檔案還包含會議紀錄與策略文件，談及翻牆工具的研究、建立新疆分中心，以及將流量歸因到真實身分等功能的討論。這些資訊過去也大多僅出現在政策文件或外界臆測，首次以內部文字檔形式出現，提供新的觀察依據。</p> <p>對有意下載並分析這批資料的研究者，操作安全應列為首要考量。GFW Report建議在無網路的隔離虛擬機中分析，以降低風險。另可配合一般數位取證實務，如唯讀掛載、計算雜湊比對、使用多引擎掃描、避免執行未知二進位或含巨集文件、保留取證鏈等動作提高安全性。</p> <p>中國防火長城外洩事件之所以受矚目，不僅在於規模，更在於其讓外界首次得以清楚檢視中國防火長城的工程細節。</p> </div></div></div>
2025/9/18 16:54作者李建興https://www.ithome.com.tw/news/171273
SonicWall防火牆雲端設定檔備份外洩，要求用戶立即更換憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SonicWall<a href="https://www.sonicwall.com/support/knowledge-base/mysonicwall-cloud-backup-file-incident/250915160910330">通知</a>其用戶在MySonicWall帳號中儲存的防火牆雲端設定檔備份，曾遭未經授權的存取，這些檔案包含密碼、金鑰與其他敏感資訊，要是落入攻擊者手中，可能降低滲透防火牆的難度。SonicWall表示，事件發現後已關閉未授權的存取點，並與國際執法及資安單位展開調查，同時要求受影響的使用者立即執行隔離與憑證重設。</p> <p>官方強調，影響範圍限於有將設定檔備份在MySonicWall的防火牆。使用者可登入MySonicWall確認狀態，如果帳號頁面以提示橫幅標示受影響的序號，代表這些防火牆必須立即採取修復步驟，當帳號未顯示受影響序號，但過去確曾使用雲端備份，SonicWall將在後續提供判斷方式。</p> <p>官方提供的標準流程為先隔離（Containment），再重設（Remediation）。管理者應先停用或制來自WAN的管理存取，僅允許可信來源透過HTTP/HTTPS、SSH、SSLVPN、IPsec VPN或SNMP連線。完成隔離後，必須全面更新本地帳號密碼、重綁TOTP、多項金鑰與共享密碼，包括IPsec預共享金鑰、LDAP或RADIUS整合密碼、SNMPv3使用者憑證、DDNS帳號、郵件與FTP服務密碼，以及無線網路的預共享金鑰。</p> <p>對需要快速完成更新的環境，SonicWall提供一份可選的修訂設定檔，當中已自動隨機化本地使用者密碼與IPsec金鑰，並重設TOTP綁定。匯入後防火牆會立即重啟，使用者需重新登入並設定多重驗證。在完成金鑰與密碼重新配置前，IPsec VPN 使用者存取會暫時中斷，官方建議安排在維護時段進行。</p> <p>官方<a href="https://www.sonicwall.com/support/knowledge-base/mysonicwall-cloud-backup-file-incident/250915160910330">說明</a>，事件影響少於整體防火牆安裝基數的5％，目前未發現備份檔遭外流，事件為針對雲端備份服務的暴力破解，非勒索事件。</p> <p>本次事件後續處理不僅是帳號密碼的更新，用戶還需針對跨站VPN、目錄服務整合與郵件通知等依賴SonicOS設定檔的服務進行全面盤點與同步。完成相關設定重設與同步後，官方建議建立新的備份基準，以確保未來復原及維運作業的一致性。</p> <p>目前SonicWall已在官方事件頁持續更新最新狀態，並提供技術文件與支援服務，受影響用戶可透過MySonicWall帳號開立案件，獲得專人協助。</p> </div></div></div>
2025/9/18 15:28作者李建興https://www.ithome.com.tw/news/171270
科學家發表可預測未來疾病的Delphi-2M模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自<a href="https://www.ebi.ac.uk/about/news/research-highlights/ai-model-forecasts-disease-risk-decades-in-advance/" target="_blank">歐洲分子生物實驗室</a>（European Molecular Biology Laboratory，EMBL）、德國癌症研究中心（German Cancer Research Centre，DKFZ）以及哥本哈根大學（University of Copenhagen）的科學家們本周發表了一個可預測未來疾病的Delphi-2M模型，它可根據人類的病史以及生活習慣，以預測未來10年或20年罹患逾1,000種疾病的機率，<a href="https://www.nature.com/articles/s41586-025-09529-3" target="_blank">該研究已登上《自然》（Nature）期刊</a>。</p> <p>Delphi-2M採用類似大型語言模型（LLM）的演算法概念，以英國生物樣本庫（UK Biobank）中40萬名參與者的資料進行訓練，讓它能夠根據個人過往的病史，再加上其年齡、性別、BIM，以及抽菸與喝酒等習慣，一次預測罹患1,258種疾病的風險，例如是否或何時會罹患癌症、糖尿病、心臟病、呼吸系統疾病等各種疾病。它的輸出形式有些像天氣預報，只不過天氣預報系統說的是「這個周末有70%會下雨」，Delphi-2M則說「在未來某年有70%罹患某病的機率。」</p> <p><a href="https://www.nature.com/articles/d41586-025-02993-x" target="_blank">DKFZ科學家Moritz Gerstung表示</a>，過去醫療人員必須跑此數十個模型才能給出完整評估，但Delphi-2M一次就完成。</p> <p>此外，對於大型數疾病，Delphi-2M的預測準確度與目前用來評估單一疾病發病風險的模型相當，甚至更高；而且Delphi-2M的表現也優於使用生物標記（如體內特定分子或化合物濃度）來預測多種疾病風險的機器學習演算法。Gerstung說，它的效果好得驚人。</p> <p>其實科學家也利用丹麥全國患者登錄系統（Danish National Patient Registry）內的190萬筆資料來驗證Delphi-2M的有效性，其結果雖然略遜於UK Biobank樣本，但依然相當準確，代表它具有泛化能力，可適應不同國家的醫療資料。</p> <p>科學家們期望未來Delphi-2M未來可納入更多國家的病歷資料，以及結合更多個人生活與行為資訊，以改善模型，長遠目標則是將它嵌入臨床決策系統，讓醫生在看診時能夠即時獲得長期的風險預測。</p> </div></div></div>
2025/9/18 15:51作者陳曉莉https://www.ithome.com.tw/news/171271
大規模NPM供應鏈攻擊Shai-Hulud逾500個套件被植入具大量散播能力的蠕蟲，CrowdStrike帳號遭挾持受…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈攻擊的威脅加劇，近期有許多軟體套件發布平臺NPM的套件開發者遭到攻擊，導致他們維護的套件遭到植入惡意軟體的情況，但如今有資安業者也受害，而受到各界關注。</p> <p>資安業者Socket指出，<a href="https://socket.dev/blog/ongoing-supply-chain-attack-targets-crowdstrike-npm-packages">資安業者CrowdStrike用來發布NPM套件的帳號crowdstrike-publisher出現遭到破壞的情況</a>，他們研判很有可能是軟體供應鏈攻擊活動<a href="https://socket.dev/blog/tinycolor-supply-chain-attack-affects-40-packages">Shai-Hulud</a>的一部分，因為駭客使用的惡意軟體相同，且當中包含名為bundle.js的指令碼。此指令碼的主要用途，包含下載帳密掃描工具TruffleHog並執行，然後搜尋受害電腦存放的憑證及雲端帳密、偵察開發者的CI帳密資料，並在特定的儲存庫建立未經授權的GitHub Actions工作流程，最終將前述提及的敏感資料外流。</p> <p>在經過相關通報之後，受影響的套件NPM已經下架處理，總共約有500個套件受到影響，值得留意的是，不光是CrowdStrike的帳號遭駭，還有Operato、Things Factory等多個企業組織也遇害。Socket根據他們找到的有效酬載，指出該惡意程式會寫入GitHub Actions工作流程檔案，檔名是shai-hulud-workflow.yml。另一方面，他們也在程式碼儲存庫GitHub找到近700個號稱能用來緩解Shai-Hulud的儲存庫，究竟這些儲存庫的功能為何，Socket根據儲存庫的命名及時間，推測有可能是用來維護自動化的攻擊流程。</p> <p>針對這起攻擊事故的發現，Socket起初在世界協調時間（UTC）9月14日傍晚找到7個被感染的套件，後來在16號凌晨發現有CrowdStrike的套件遭到感染。</p> <p>特別的是，Socket提到在這兩天的時間裡，駭客打造7個版本的惡意程式，而且這些都是能自我散播的蠕蟲。這些版本的差異在於，駭客逐步提升活動的隱匿程度及感染效率。</p> <p>該惡意軟體主要的功能，就是自動竊取帳密資料，然後用於將工作流程植入其他儲存庫，從而達到自我散布的目的。在進行感染的過程裡，此惡意程式會自動竄改並重新發布套件。</p> <p>一旦惡意程式成功竊得帳密資料，就有機會取得寫入及重新發布的能力，並將受害套件解開，置換或建立惡意的bundle.js檔案，並竄改package.json加入預先安裝（postinstall）的指令碼。下游使用者若是下載並安裝這些有問題的NPM套件，惡意的預先安裝指令碼或是注入在bundle.js的程式碼就會執行，並在他們的電腦進行偵察，進一步挖掘其他儲存庫及套件的相關帳密資料。</p> <p>值得留意的是，Socket認為攻擊者可能還有打造其他版本的惡意程式，因為他們看到新版本出現後，有舊版程式再度出現感染的情況，原因是惡意軟體剛好有其他的帳號可以繼續感染。這種情況發生的原因，主要是GitHub Actions的工作流程雖然會觸發事件，但並非連續觸發，使得惡意軟體感染時間會出現明顯的間隔。因此，Socket認為，第7版很有可能不是駭客使用的最新惡意軟體。</p> <p>針對這波軟體供應鏈攻擊，其他資安業者也公布相關發現，例如，<a href="https://www.wiz.io/blog/shai-hulud-npm-supply-chain-attack">Wiz推測</a>很有可能與8月下旬的<a href="https://www.ithome.com.tw/news/170877">Nx供應鏈攻擊</a>有關，<a href="https://unit42.paloaltonetworks.com/npm-supply-chain-attack/">Palo Alto Networks確認有超過180個NPM套件受到影響</a>，並指出蠕蟲程式會透過.npmrc竊取NPM帳號的憑證，並挖掘環境變數與組態設定檔案，搜括GitHun私人存取憑證（PAT），以及AWS、GCP、微軟Azure等雲端服務的API金鑰。</p> </div></div></div>
2025/9/18 14:25作者周峻佑https://www.ithome.com.tw/news/171263
DeepMind與OpenAI都取得程式設計競賽ICPC的金牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI持續藉由間接參與各式競賽來與人腦較勁，<a href="https://www.ithome.com.tw/news/170164" target="_blank">OpenAI</a>及<a href="https://www.ithome.com.tw/news/170184" target="_blank">Google DeepMind</a>繼拿到2025年的國際數學奧林匹亞金牌之後，又在今年9月4日參與了有程式設計奧林匹亞之稱的國際大學生程式設計競賽（International Collegiate Programming Contest，ICPC），雙雙再度奪得金牌。</p> <p>ICPC是全球最具影響力的大學生程式設計競賽之一，旨在展現大學生的創新能力、團隊精神，以及在壓力下寫程式的能力，每個參賽隊伍由3名學生組成，2025年的ICPC有來自全球103個國家、近3,000所大學的隊伍晉級，並有139支隊伍進入總決賽，團隊必須在5小時內完成12道題目，排名依解題數優先，其次依總用時決定。</p> <p><a href="https://icpc.global/worldfinals/results-2025" target="_blank">今年有4組隊伍獲得了金牌</a>，依序是俄羅斯的聖彼得堡國立大學、日本東京大學、中國北京交通大學，以及中國清華大學。</p> <p>其中，<a href="https://deepmind.google/discover/blog/gemini-achieves-gold-level-performance-at-the-international-collegiate-programming-contest-world-finals/" target="_blank">DeepMind團隊</a>是以Gemini 2.5 Deep Think的進階版參賽，他們在主辦方的指導下，依照ICPC規則於遠端進行現場比賽，比人類參賽者晚了10分鐘才開始，正確解決了其中的10道題目。整體而言，Gemini 2.5 Deep Think在667分鐘內解決了10個問題，若與人類隊伍相比，排名第二。</p> <p><a href="https://x.com/MostafaRohani/status/1968360976379703569" target="_blank">至於OpenAI</a>則是以GPT-5及一個實驗性的推理模型來參加比賽，並說該系統在5小時內正確解決了全部的12道題目，甚至超越了冠軍的人類隊伍。</p> <p>DeepMind團隊認為，此一成就顯示AI可以成為程式設計者真正的夥伴，如果結合了比賽中最好的AI與人類解決方案，那麼所有12個題目都會得到完整及正確的解決；而且除了數學與程式碼之外，ICPC還需要系統可以理解複雜的問題、設計一個多步驟的邏輯計畫並完美地實施它，這些技能與科學及工程領域所需的技能相同，包括設計新藥或晶片，代表AI正在從單純的資訊處理，進化成能主動解決複雜問題的智慧系統。</p> </div></div></div>
2025/9/18 14:48作者陳曉莉https://www.ithome.com.tw/news/171264
將中小企業與NGO納入資安防禦網！資安院打造健檢團與服務團，可結合課程讓老師帶學生實務參與
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安人才短缺是全球性的挑戰，臺灣亦不例外，而如何將資安文化與意識向一般民眾普及，更是一大難題。為建構全民參與的社會資安防護體系，政府與上市櫃公司雖已積極強化資安投入，但中小企業與非營利組織（NGO）也是臺灣創新的重要動力，同樣需要被納入防護網。為此，國家資通安全研究院（資安院）正積極著手發展相關對策。</p> <p>自2022年以來，資安院正持續著手建立<a href="https://www.ithome.com.tw/news/158498">我國網路安全人才技能框架</a>，設計職能課綱並與民間訓練機構合作，還要建立訓練機構與推動種子教師培育。</p> <p>除了持續建構上述資安職能人培體系，還有更廣泛的全社會防禦人培計畫也在發展。資安院於8月底舉行的2025全社會資安韌性推動實務研討會，揭露3大拓展方向與初步成果，包括：（一）公民意識圈：目標強化社會大眾與學子資安意識，（二）實務應用圈：目標強化企業內部資安運作與事件應變能力，（三）核心戰略圈：目標建立具備防禦韌性國家級資安人才。</p> <p>在眾多推動措施中，我們特別關注兩項專案：「資安服務團」與「資安健檢團（Cybersecurity Clinic）」，因為它們都採用實地輔導方式，協助中小企業、微型企業與NGO強化防護能力。</p> <h3><strong>幫助中小企業與NGO有新方法，不僅推動資安服務團，更發展結合校園能量的資安健檢團</strong></h3> <p>對於推動全社會資安韌性，資安院院長林盈達語重心長表示，我們需要做的事其實非常之多，這次公布的成果是一部分，主要<a href="https://www.ithome.com.tw/news/160192">來自資安院在Google.org支持下啟動的「NICS台灣資安計畫」，協助對象為臺灣中小企業與非營利組織</a>。</p> <p>其中，有兩項重點專案有初步成果，分別是資安健檢團與資安服務團。林盈達表示，資安院正透過這些專案，逐步累積實務經驗，嘗試描繪出中小微型企業的防護基準，這將有助於未來將計畫擴大規模，讓更多業者與單位因此受惠。</p> <p>當前整體資安防禦面臨的重大挑戰，在於資源分配存在落差。儘管近年大型企業已不斷強化資安防禦，或因應法規要求提升防護等級，但中小企業與非營利組織往往因為資源有限，難以要求他們做到同等水準的防護。因此，如何透過政策協助這些單位強化資安能量，已成為提升整體資安韌性的關鍵。</p> <p>這次新推動的資安服務團與資安健檢團有何特色？資安院人才培力中心經理胡馨元提出具體的說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖6）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%966%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以「資安服務團」而言，胡馨元表示，過去政府機關推動資安都會有輔導過程，以及稽核是否符合資安法，因此，資安服務團也藉助了這樣的概念，由資安院與外部資安專業人員組成服務團，來提供深度服務。</p> <p>過去兩年來，資安服務團已經深入協助30家企業與組織，服務範圍亦涵蓋全國13個縣市。胡馨元表示，在服務過程中，團隊會實地前往組織兩天，提供基礎資安防護、網路安全管理的建議與協助，也會顧及資安治理基礎，涵蓋資安法規遵循、內部管理制度、資產盤點與個資保護等面向，同時也觸及系統開發與委外安全，例如安全軟體開發生命週期（SSDLC）、委外管理原則，以及供應鏈資安。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖5）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以「資安健檢團」而言，其串聯合作方式相當特別，能讓學生實際接觸企業防禦所面臨的挑戰，也同時將資安觀念回饋到小型企業與NGO。對於這樣的做法，我們認為，有機會形成兼顧人才培育並連結社會的模式。</p> <p>胡馨元解釋，資安院主要透過媒合國內各大專院校資工或資管系的老師，在校內開設公益性的資安服務課程。一開始，學生先要在課堂中學習基礎資安技術，之後由授課教師、助教與學生共同組成資安健檢團，實地走入企業組織，了解其面臨的資安挑戰，並提供建議與解決方案，同時也培養諮詢與溝通上的軟實力。</p> <p>甚至，他們也鼓勵學校老師可找不同科系背景的學生加入課程，不論是資管系、圖資系、法律系等各種，之後分組到不同組織去服務時，可以激發出更多元的想法。</p> <p>目前，資安健檢團與全國10間大專院校合作，已經開設3個學期總計12門課程，帶領400位學生參與，並且服務範圍涵蓋8個縣市的70多家企業組織。</p> <p>上述模式與概念其實並非資安院獨創，而是源自柏克萊加州大學長期網路安全研究中心（CLTC）的Cybersecurity Clinic課程課綱。胡馨元表示，這種作法已在美國當地發展出「美國網路安全診所的聯盟」，並吸引多所頂尖大學參與。</p> <p>值得一提的是，臺灣在去年也加入該聯盟，首批會員包括逢甲大學、臺灣大學與陽明交通大學。胡馨元指出，臺灣是該聯盟在美國之外的首個海外成員，而臺灣的經驗也為聯盟帶來啟發。因此今年該聯盟於亞太地區積極行動，將Cybersecurity Clinic的概念，引入到新加坡、斯里蘭卡等國家。</p> <p>不過，帶領學生團隊進入企業健檢是否存在挑戰與風險要注意？這是大家都會設想的問題，現場也有這方面的提問。</p> <p>逢甲大學專任講師陳子皓說明了資安健檢團服務經驗，他表示，這樣的課程對學生幫助很大，因為傳統大學課程多半偏重理論，透過實務參與，學生能更清楚理解企業真正需要的資安服務與防禦措施，這與參加校園黑客社或CTF競賽的訓練方向是截然不同。</p> <p>陳子皓並強調，更重要的是，必須引導學生正確使用技術。在課程開始前，會先訂立規範並簽署保密協定（NDA），他在課程與健檢過程中也會不斷提醒「要保持善良」，持續讓學生在過程中學會思考與理解資安專業倫理界線。由於學生仍處於探索社會、形成價值觀的階段，這會是帶領過程中需要持續注意的一環。</p> <p>另外他也觀察到，目前這些被輔導的中小型企業與NGO，普遍職員不到20人，或是僅有5到6名正職人員，而且許多中小公司的資安觀念也相對停滯，認為只要「內網」就等同於安全，像是一家傳產CNC製造業，20多年來從未接觸過任何資安服務，至於NGO人力更有限，資安意識也相對薄弱，因此他們認為，未來更需要先做好更多觀念溝通，可以讓輔導過程更加順利。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在上述兩項重點專案之外，還有幾個資安人才培育的重要發展項目，我們認為同樣值得關注。例如，資安院人才培力中心主任鄭瑋指出他們正發展一系列「資安防護指南」手冊，以及臺版Cyberseek計畫已在進行，預計在明年上線</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖10）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%9610%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">至於其他更進階的國家級人才推動策略，除了先前開設資安長課程，資安院也推動資安策略演練，這部分會透過桌上兵推方式來建立協助概念。資安院人才培力中心經理鄭翔云也介紹各類桌上推演的定位，指出資安院NICS OTEX桌上推演重視策略策略層級演練，目標是企業決策層主管與資安長。</span></strong></p> <p> </p> </div></div></div>
2025/9/18 14:48作者羅正漢https://www.ithome.com.tw/news/171253
Meta更新AI眼鏡產品線，發表首款內建顯示器的Meta Ray-Ban Display
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在周三（9/17）舉行的Meta Connect年度開發者暨產品發表大會上更新旗下的AI眼鏡產品線，推出全新的、內建顯示器的<a href="https://about.fb.com/news/2025/09/meta-ray-ban-display-ai-glasses-emg-wristband/" target="_blank">Meta Ray-Ban Display</a>，以及第二款運動系列AI眼鏡<a href="https://about.fb.com/news/2025/09/oakley-meta-vanguard-performance-ai-glasses-sports/" target="_blank">Oakley Meta Vanguard</a>，還有具備更長電池續航力的<a href="https://about.fb.com/news/2025/09/ray-ban-meta-gen-2-better-battery-life-video-capture/" target="_blank">Ray-Ban Meta 2</a>。</p> <p>現階段Meta只與全球最大眼鏡製造商EssilorLuxottica合作，一同規畫了兩個AI眼鏡產品線，一是可搭配日常穿搭的Ray-Ban Meta系列，二是鎖定運動風的Oakley Meta系列，不管是Ray-Ban Meta 2或Meta Ray-Ban Display都屬於前者，Oakley Meta Vanguard則是繼<a href="https://www.ithome.com.tw/news/169677" target="_blank">Oakley Meta HSTN</a>之後的第二款運動風AI眼鏡。</p> <p>最受外界矚目的是Meta Ray-Ban Display，它在眼鏡上整合了麥克風、喇叭、攝影機，以及顯示器，且每副眼鏡都搭配了可用手部動作控制的肌電圖腕帶Meta Neural Band。意味著使用者可藉由鏡框觸控、語音或是Meta Neural Band來控制各種功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-Meta%20Ray-Ban%20Display-2.png" style="width: 465px;" /></p> <p>Meta並未公布有關Meta Ray-Ban Display顯示器的技術細節，僅說它是個全彩且高解析度的螢幕，只有在使用者需要它時才會出現，它不會妨礙使用者的視線，並可用來察看消息、縮放、預覽照片、導航、閱讀翻譯，或是取得Meta AI的協助等。</p> <p>而Meta多年前就著手開發以供AR裝置使用的<a href="https://www.ithome.com.tw/news/143329" target="_blank">智慧腕帶輸入裝置</a>，現在則首度落實在Meta Ray-Ban Display上，Meta Neural Band能感應手部肌肉的微妙運動而發出捲動或點擊的命令，以手腕上的感測器取代了觸控螢幕、按鍵及轉盤。</p> <p>這是個全新的技術，且人們肌肉的差異很大，但因有接近20萬名使用者參與Meta Neural Band研究，使得Meta強調Meta Neural Band幾乎適用於任何人，開箱即用。Meta Neural Band是以太空及登山領域所使用的Vectran纖維製成，防水等級為 IPX7，有3種尺寸，電池續航力為18小時。</p> <p>至於眼鏡本身則採用Transitions變色鏡片，因此白天跟晚上都可配戴，電池續航力為6小時，若搭配充電眼鏡盒，最長可使用30小時，有黑色與沙色兩種選擇。</p> <p><a href="https://www.meta.com/tw/ai-glasses/meta-ray-ban-display-glasses-and-neural-band/" target="_blank">Meta Ray-Ban Display的售價為799美元</a>，9月30日將率先於美國特定的Best Buy、LensCrafters、Sunglass Hut與Ray-Ban商店上架，之後擴大部署至Verizon商店，計畫在2026年初推廣至加拿大、法國、義大利與英國等其它市場。</p> <p>專為高強度或極限運動設計的Oakley Meta Vanguard支援IP67防護等級，它採用包覆式鏡片、Oakley PRIZM鏡片，而且可抗風沙，還有3款鼻墊可供置換，內建運動專用相機，強力開放式喇叭，也能透過Meta AI即時查詢心率及配速等資料，電池續航力為9小時，充電眼鏡盒則可額外提供36小時電力，售價為499美元，預計於10月21日在美國、加拿大、英國、澳洲及歐洲市場推出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-Oakley%20Meta%20Vanguard.png" style="width: 600px;" /></p> <p>第二代的Ray-Ban Meta將電池續航力從4小時提升到8小時，充電盒可額外提供48小時電力；新增3K Ultra HD錄影功能，且計畫藉由韌體更新提供慢動作及縮時攝影模式；除了英、法、義大利及西班牙文之外，新增德文與葡萄牙文的雙向即時翻譯功能；另亦新增更多的鏡框選擇。Ray-Ban Meta 2的最低售價也從第一代的299美元提高到379美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-ay-Ban%20Meta%20(Gen%202).png" style="width: 600px;" /></p> <p>Ray-Ban Meta是Meta與EssilorLuxottica在2023年10月推出的AI眼鏡，迄今已售出數百萬副，是全球最暢銷的AI眼鏡。EssilorLuxottica在公布2025年上半年財報時，透露出Ray-Ban Meta的營收比前一年同期增加了200%。</p> <p>不過，上述產品皆未鋪貨至臺灣市場，也尚無時間表。</p> </div></div></div>
2025/9/18 12:41作者陳曉莉https://www.ithome.com.tw/news/171260
WebAssembly 3.0定版，強化支援高階語言與更大規模應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://webassembly.org/news/2025-09-17-wasm-3.0/">WebAssembly（Wasm）3.0</a>已正式上線，成為新的標準版本。這次是自2.0完成以來最大幅度的更新，目標是讓高階語言更容易映射到Wasm，並在效能、可移植性與可擴充性之間取得平衡。新版引入64位元位址空間、多重記憶體與垃圾回收等核心機制，並補強尾呼叫（Tail Call）、原生例外處理、向量指令、決定性執行等能力，同時增添自訂註解與JavaScript介接支援，為更大規模、更複雜的應用奠定基礎。</p> <p>在記憶體模型方面，memory64與table64讓模組可使用64位元索引，突破以往4 GB記憶體的限制。雖然瀏覽器出於安全與資源管理仍維持16 GB上限，但在非網頁環境，應用可視硬體條件擴展至更大資料集。</p> <p>另一項更新是多重記憶體。過去雖然Wasm應用可以同時使用多個記憶體物件，但必須分別宣告在不同模組中，而現在單一模組可同時宣告與存取多個線性記憶體，並能直接在不同記憶體之間複製資料，這有助於在應用中隔離敏感資料、建立高效率緩衝區，或在工具鏈靜態合併模組時減少限制。</p> <p>記憶體管理也獲得強化，Wasm 3.0新增垃圾收集（GC）支援，讓編譯器可用結構（Struct）與陣列（Array）定義資料結構，配置與釋放則交由執行時處理，減輕語言前端需要攜帶自家垃圾回收系統的負擔。搭配更精細的型別化參照，函式可透過call_ref在靜態型別保證下進行間接呼叫，無需執行期型別或邊界檢查。對Java、Kotlin、Dart、Scala或OCaml等具GC語言而言，這代表模組體積縮小與啟動速度提升。</p> <p>效能方面，Wasm 2.0引入的SIMD在3.0中獲得擴充，Relaxed SIMD允許少數狀況交由硬體自行決定結果，標準只規定結果必須落在可接受的範圍內，藉此提升整體速度。對需要完全可重現的應用，如區塊鏈或重播系統（Replayable System），標準提供決定性設定檔，確保跨平臺執行結果一致。</p> <p>在工具與開發便利性上，Wasm文本格式新增自訂註解語法，可攜帶額外後設資料而不影響語意，方便編譯器與除錯工具使用。對於嵌入到JavaScript的應用，則增加了JavaScript API的字串內建函式庫，讓Wasm可直接操作傳入的JavaScript字串值，降低跨執行環境的資料轉換成本。此次3.0也是首度以SpecTec工具鏈產製的標準文件，提升規格一致性與可靠性。</p> <p>這些改進帶來的實際效益是模組更小、載入與初始化更快，應用也會更穩定，並能承載更大資料集。影音處理、遊戲、科學計算或前端編輯器等場景，都能透過GC、例外處理與SIMD的改善獲得更佳體驗。官方表示，Wasm 3.0已在多數主流瀏覽器支援，獨立引擎如Wasmtime也即將完成相容。</p> </div></div></div>
2025/9/18 12:05作者李建興https://www.ithome.com.tw/news/171256
ShinyHunters宣稱從Drift駭入事件竊得15億筆Salesforce資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日涉嫌駭入Google、思科、安聯人壽等知名企業的<a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claims-15-billion-salesforce-records-stolen-in-drift-hacks/" target="_blank">駭客組織ShinyHunters本周宣稱</a>，已經自Salesloft Drift駭入760家企業Salesforce資料庫，取得近15億筆用戶資料。</p> <p>今年8月起，陸續有思科、安聯人壽公告遭不明人士竊走客戶資料，當時僅有Google說明是客戶關係管理（CRM）系統Salesforce遭駭。Google自家資安團隊及服務部門Mandiant公告調查結果，攻擊者自8月8日至8月18日期間，濫用整合Salesforce的Salesloft Drift OAuth權杖登入其CRM系統，並竊走客戶資料及其他內部系統資料。</p> <p>Mandiant研究人員將這群攻擊者命名為UNC6040 及 UNC6395。犯案歹徒自稱是ShinyHunters、Scattered Spiders，據信是以ShinyHunters為主要成員，不過後來宣稱ShinyHunters、Scattered Spiders及Lapsus$三者已整合，名為Scattered Lapsus$ Hunters。</p> <p>ShinyHunters本周對資安媒體<a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claims-15-billion-salesforce-records-stolen-in-drift-hacks/" target="_blank">BleepingComputer</a>透露其作案細節。這群駭客一開始利用開源數據挖掘工具TruffleHog掃瞄網路上是否有外洩的Salesloft Drift憑證。最後他們找到Salesloft公司的GitHub密碼。</p> <p>這點也和Salesloft的調查相符，<a href="https://www.ithome.com.tw/news/171051" target="_blank">這家開發商調查發現</a>駭客今年3月到6月份存取了該公司的GitHub儲存庫，當中包含該公司程式原始碼。這使得駭客得以取得API密鑰、權杖和密碼。</p> <p>隨後，駭客取得了Salesloft Drift串聯其他知名系統的憑證，包括Salesforce的OAuth存取憑證，進而竊走客戶資料庫資料。ShinyHunters聲稱從760家公司的Salesforce系統取得「帳號」、「聯絡人」、「案例」、「機會」和「使用者」等物件表格各千萬筆到數億筆不等的紀錄。ShinyHunters也向媒體提供了包含原始碼的文字檔以資證明。</p> <p><a href="https://cloud.google.com/blog/topics/threat-intelligence/data-theft-salesforce-instances-via-salesloft-drift?e=48754805" target="_blank">Google Mandiant在最新研究中也有類似發現</a>。其中「案例」是客戶向Salesforce請求支援的紀錄，可能包含重要系統如AWS的憑證、Snowflake的驗證權杖、存取金鑰等機密資訊。因此除了Salesforce內的客戶資訊，受害者的重要營運系統和機密資料都可能遭竊。而且駭客還相當謹慎，刪除查詢紀錄以免被發現。</p> <p>透過外洩的Salesloft Drift和Drift Email憑證，這群駭客接連駭入多家企業，其中不乏資安業者包括Google、Cloudflare、Zscaler、Tenable、CyberArk、Elastic、BeyondTrust、Proofpoint、Palo Alto Networks等。</p> <p><a href="https://www.ithome.com.tw/news/171247" target="_blank">本周Google也證實</a>，攻擊者在其執法請求系統（Law Enforcement Request System，LERS）建立了假帳號。</p> </div></div></div>
2025/9/18 10:34作者林妍溱https://www.ithome.com.tw/news/171251
微軟10月將自動在Microsoft 365安裝Copilot App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟10月將主動在消費者Microsoft 365安裝聊天機器人Copilot。而企業用戶本周也會自動獲得Copilot Chat App。</p> <p>微軟兩周前說，安裝Microsoft 365（簡稱M365）桌機版應用程式的Windows裝置，將自動安裝M365 Copilot App。安裝過程將由背景執行，不會干擾用戶。微軟當時說M365安裝將從秋天開始，但<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-rolls-out-copilot-chat-to-microsoft-365-office-apps/" target="_blank">Bleeping Computer</a>報導，微軟在M365訊息中心管理公告，時間點落在10月開始。</p> <p>這個安裝為全球性規劃，歐盟經濟區將可獲得倖免。使用者還是有方法阻止它下載。方法是以管理員帳號登入M365 App，在「自訂」>「裝置配置」>「現代App設定」>選擇M365 Copilot App，然後在「啟動自動安裝M365 Copilot App」取消勾選。</p> <p>另一方面，<a href="https://learn.microsoft.com/en-us/copilot/manage#microsoft-365--chat-eligibility" target="_blank">微軟同時宣布</a>對企業或教育版M365安裝Copilot Chat。Copilot Chat為網頁版AI聊天機器人，安裝後將整合到M365的使用，它能了解用戶正在進行的活動，且根據用戶開啟的檔案提供最佳答案。</p> <p>不過不同於M365 Copilot能存取用戶的企業內容，Copilot Chat只能「看」及處理網頁內容。</p> <p>微軟將對具有Entra帳號的M365用戶安裝Copilot Chat，只要他們的授權是以下其中一種，就可免費獲得安裝：M365 A1/A3/A5、M365 Business Basic/Business Standard/Business Premium或是E3/E5、F1/F3、Microsoft Teams、Office 365。</p> <p><a href="https://www.ithome.com.tw/news/170294" target="_blank">8月微軟已先宣布</a>另一整合作業，將從九月底把M365 Copilot整合到Edge側邊欄。</p> </div></div></div>
2025/9/18 10:47作者林妍溱https://www.ithome.com.tw/news/171252
記憶體攻擊新手法Phoenix，可繞過DDR5的Rowhammer防禦機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ETH Zurich與Google研究團隊<a href="https://comsec-files.ethz.ch/papers/phoenix_sp26.pdf">揭露</a>一種能在量產DDR5上實際運作的Rowhammer攻擊，稱之為Phoenix。研究證實，在一般桌機平臺預設設定下，所有2021年至2024年間出貨的15條SK hynix DDR5 UDIMM都能被攻破，並以分頁表（Page Table）翻轉取得系統控制權，最快僅需109秒即可完成。該研究已在2025年6月6日透過瑞士國家網路安全中心進行通報，並在9月15日解禁，同時登記為CVE-2025-6202。</p> <p>Rowhammer是一種針對DRAM的硬體擾動攻擊，攻擊者在極短時間內反覆存取同一記憶體列（Aggressor Row），會造成鄰近列電荷受到干擾而位元翻轉。只要翻轉發生在關鍵資料，例如分頁表（Page Table），就可能升級權限取得系統控制權。</p> <p>過去TRR被視為阻擋Rowhammer的主要手段，但研究團隊透過逆向工程發現，DDR5在晶片內實作的TRR（Target Row Refresh）其實並不是每次存取都會立即檢查，而是以較稀疏的取樣來判定是否發生Rowhammer。也就是說，TRR的取樣間隔可能長達數百甚至數千個DRAM自動重新整理周期（tREFI）。</p> <p>在所謂輕取樣區間內，TRR主要會在每個tREFI的最後一次啟動（ACT）進行取樣，而攻擊者可避開該時槽，或在該槽放入誘餌存取以規避偵測，讓長周期的敲擊行為得以累積並最終造成位元翻轉（Bit Flip）。</p> <p>研究人員據此設計兩種長周期樣式，分別對應128與2,608個tREFI，能避開TRR檢測並造成位元翻轉。這套方法在FPGA平臺與伺服器級RDIMM測試中同樣有效，進一步顯示DDR5的TRR仍存在設計上的盲點。</p> <p>要在真實系統中維持攻擊效果，研究團隊引入自我校正同步機制，用以偵測被跳過的重新整理周期並即時補償，確保長周期的敲擊序列不會因時序偏移而不同步。這項作法解決了過去在數千個重新整理周期中難以維持節奏的問題，使Phoenix能穩定重現並展現出實際威脅。實驗也顯示，部分DDR5模組的刷新時窗遠大於標準，例如測得高達16,582個tREFI，等於給攻擊者更充裕的時間來累積效果。</p> <p>在作者測試的系統上，將刷新率提高3倍即可抑制Phoenix，但卻會帶來8.4％的效能開銷。另一條可能緩解路徑是啟用DDR5標準中的精細度刷新（FGR），研究人員指出，部分AMD消費級處理器已透過BIOS更新提供切換至FGR的選項，但實際能否帶來有效防護仍有待觀察。此外，在<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">Intel</span>平臺上還須同時考量處理器內的<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">pTRR</span>（<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">in‑CPU TRR</span>）機制，平臺差異可能影響最終成效。</p> <p>研究指出，近期的AMD Zen 4、Intel Alder Lake與Raptor Lake的記憶體控制器未使用DDR5的RFM（Refresh Management）指令，現行防護仍高度仰賴各廠商未公開的TRR設計。</p> <p>研究人員建議，未來應朝具原理保證的防護機制發展，例如JEDEC提出的逐列啟動計數（Per Row Activation Counting），避免僅依靠不透明的廠商自訂機制。對於伺服器端常見的錯誤修正機制Rank-level ECC，雖能提高攻擊成本，但仍不足以完全防堵。</p> <p>Phoenix研究顯示，即便DDR5導入多層防護，Rowhammer仍非過去式。對企業與開發者而言，這代表在硬體、韌體到系統層級都必須重新評估防護策略，尤其在高安全性環境下，如何平衡效能與記憶體完整性，將是不可迴避的課題。</p> </div></div></div>
2025/9/18 08:00作者李建興https://www.ithome.com.tw/news/171245
駭客取得Google執法請求系統帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織Scattered Lapsus$ Hunters上周四（9/11）透過BreachForums駭客論壇張貼了一張截圖，<a href="https://lers.google.com/signup_v2/landing" target="_blank">宣稱它們取得了Google執法請求系統（Law Enforcement Request System，LERS）的帳號</a>，隨後Google向<a href="https://www.bleepingcomputer.com/news/security/google-confirms-fraudulent-account-created-in-law-enforcement-portal/" target="_blank">BleepingComputer</a>與<a href="https://www.theregister.com/2025/09/16/google_confirms_crims_accessed_lers/" target="_blank">The Register</a>證實，的確在LERS系統上發現一個詐欺帳號，並已將它停用。</p> <p>LERS允許經過驗證的執法人員提交合法的用戶資料申請，查看申請案件的處理狀態，以及下載Google所提供的回應資料；具備正式執法權力以及正在辦案的政府官員都可透過該系統提交申請。取得帳號代表駭客將能冒充警察或檢調機關，要求Google提供用戶的詳細資訊。</p> <p>駭客展示的螢幕截圖顯示他收到了來自Google的郵件，證實已取得LERS帳號，Google還要求他在7天內建立個人密碼。不過，Google向媒體表示，此一帳號並未提出任何請求，也未存取任何資料，而且已被停用。</p> <p>不過，Google並未揭露駭客是透過何種方式取得LERS帳號。</p> <p>Scattered Lapsus$ Hunters是今年才出現的駭客組織，自稱成員分別來自Scattered Spider、ShinyHunters與Lapsus$等知名組織，主要手法之一為冒充IT人員，誘騙企業員工在電腦上啟用Salesforce Data Loader並登入公司帳號，再透過遠端軟體或竊取存取Token，以批次匯出Salesforce雲端中的客戶資料，受害企業涵蓋Google、Allianz、思科、Louis Vuitton、Tiffany & Co及Cloudflare等。</p> </div></div></div>
2025/9/18 08:05作者陳曉莉https://www.ithome.com.tw/news/171247
F5買下AI安全領域的元老級公司CalypsoAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.f5.com/company/news/press-releases/f5-to-acquire-calypsoai-to-bring-advanced-ai-guardrails-to-large-enterprises" target="_blank">美國資安業者F5上周宣布</a>，將以1.8億美元買下AI安全領域的元老級公司CalypsoAI，雙方預計於9月底前完成交易。</p> <p>CalypsoAI是由曾任職於美國國防部及情報社群（Intelligence Community，IC）的Neil Serebryany在2018年所創立，當時Serebryany因看到國防部導入AI過程的安全缺口及攻擊風險，興起了創業念頭，目標是打造可專門保障AI模型推論層安全的技術，堪稱是AI安全領域的元老級公司。根據外電報導，CalypsoAI自成立以來約募集逾4,000萬美元資金，員工不到100名。</p> <p>CalypsoAI可偵測並攔截模型回應中的提示注入、越獄、機密資料外洩及有害內容，並透過大規模紅隊測試產出風險評分；能記錄並審查跨模型互動，並提供中央控制臺統一監督所有AI系統的運作。</p> <p>至於1996年成立的F5則是全球應用程式及API交付與安全解決方案供應商，提供應用程式流量管理、API安全、Web應用防火牆、Bot防禦、DDoS防護及雲端及邊緣的部署支援等功能，可在地端、雲端、邊緣及混合雲等環境中提供一致的應用及安全保護。</p> <p>F5執行長François Locoh-Donou表示，AI正在重新定義企業架構，同時企業也必須防範相關的攻擊面，傳統的防火牆及單點解決方案已無法跟上步伐，F5將整合CalypsoAI的專業能力，成為客戶在AI時代的安全夥伴。特別是在不管客戶使用哪種模型或雲端服務，都能藉由CalypsoAI的自適應AI安全能力，來提供主動及持續的AI保護。</p> </div></div></div>
2025/9/18 08:07作者陳曉莉https://www.ithome.com.tw/news/171248
CrowdStrike買下Pangea，進軍AI偵測與回應領域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/en-us/press-releases/crowdstrike-to-acquire-pangea-to-secure-every-layer-of-enterprise-ai/" target="_blank">專注於雲端資安服務的CrowdStrike本周宣布將買下AI資安新創Pangea</a>，雙方並未公布交易金額或完成時間，但<a href="https://www.wsj.com/articles/crowdstrike-to-buy-ai-security-company-pangea-a82946e9" target="_blank">華爾街日報（Wall Street Journal，WSJ）報導</a>，該交易價值2.6億美元。</p> <p>創立於2021年的Pangea主要專注於生成式AI與AI代理人應用的互動層安全性，所開發的產品包括可掃描及阻擋不當提示的AI Guard，能檢查與遮蔽敏感資訊的Prompt Guard，AI存取控制，以及可檢視AI互動與資料流的AI Visibility，目的在於防範提示注入、模型越獄與資料外洩，還能過濾有害的輸入/輸出內容，以及控管代理人與外部工具的調用。</p> <p>至於2011年創立的CrowdStrike則定位為雲端原生資安平臺，提供端點偵測與回應（EDR）、延伸偵測與回應（XDR）、威脅情報、身分保護及雲端工作負載等安全功能，打算藉由收編Pangea進軍AI偵測與回應（AI Detection and Response，AIDR）領域。</p> <p>傳統資安業者對於AI的看法大致相同，都認為AI正快速改寫企業攻擊面，讓每個提示都成為駭客的切入點。CrowdStrik創辦人暨執行長 George Kurtz 表示，Pangea將讓CrowdStrike能夠保護AI的完整生命周期，檢測風險，執行防護措施，並確保合規性，以讓客戶能夠安心地建置、部署與擴展AI。</p> </div></div></div>
2025/9/18 08:20作者陳曉莉https://www.ithome.com.tw/news/171249
Check Point買下AI資安業者Lakera
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.checkpoint.com/press-releases/check-point-acquires-lakera-to-deliver-end-to-end-ai-security-for-enterprises/" target="_blank">以色列資安業者Check Point周二（9/16）宣布</a>，已與AI資安新創Lakera達成收購協議，預計於今年第四季完成交易。雙方並未公布交易金額，但外電報導該交易價值3億美元。這已是這一周以來繼<a href="https://www.ithome.com.tw/news/171248" target="_blank">F5與CalypsoAI</a>、<a href="https://www.ithome.com.tw/news/171249" target="_blank">CrowdStrike與Pangea</a>的第三起傳統資安加上AI資安的併購組合。</p> <p>2021年創立的Lakera擁有瑞士及美國雙總部，定位為維護AI原生安全的資安公司，專注於保護大型語言模型（LLM）、生成式AI及代理人，主要產品為部署前的安全態勢評估Lakera Red，以及執行期的即時防護Lakera Guard，支援逾100種語言。</p> <p>此外，Lakera也建立一個全球對抗式AI社群Gandalf，以遊戲化的方式蒐集與生成針對LLM及AI代理人的攻擊樣式，包括注入、越獄、資料外洩誘導等對抗測試，迄今已累積逾8,000萬種攻擊樣式。Lakera將這些樣式整合至安全平臺，以讓防護系統可持續學習最新威脅，即時偵測並阻擋攻擊。</p> <p>Check Point所提供的則是涵蓋網路、雲端、端點及行動裝置的整合式資安平臺，在全球擁有超過10萬家的企業客戶，於防火牆及端點保護領域表現出色。</p> <p>Check Point執行長Nadav Zafrir表示，AI正在改變每一個業務流程，也帶來新的攻擊面，未來將與Lakera共同為企業如何採用及信任AI樹立標準。未來Check Point計畫把Lakera的執行期防護技術整合到自家的Infinity架構上，提供可保障AI模型、代理人及資料的全生命周期安全。</p> </div></div></div>
2025/9/18 08:30作者陳曉莉https://www.ithome.com.tw/news/171250
吳誠文：加速矽光子技術研發促產業升級，2年後預估單通道傳輸可達400Gbps速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院推動AI新十大建設，其中一項重要建設為發展矽光子技術，國科會已與經濟部合作，共同推動國內產學界加速發展高速的矽光子技術。國科會主委吳誠文指出，目前技術上已可達到單通道200Gbps，2年後預期將可達到400Gbps，以帶動AI資料中心高速、節能發展。</p> <p>國科會今天（9/17）召開第17次委員會議，分別由經濟部報告我國推動矽光子技術的策略及規畫，衛福部食藥署報告「生技醫藥結合健康照護共創健康臺灣的策略及規畫」，國科會以科技預算補助兩項計畫，推動臺灣在半導體矽光子前瞻技術及產業發展，還有在民眾健康方面，結合法規調適，簡化新藥審查程序及時間、智慧醫材的最新進展。</p> <p><strong style="color: rgb(178, 34, 34);">加速國內矽光子技術發展，引導產業再升級</strong></p> <p>在矽光子方面，原本在晶創臺灣就包括投資矽光子技術，在行政院今年祭出AI新十大建設，其中一項建設就是加碼矽光子技術，國科會再加碼科技預算協助經濟部推動矽光子技術及產業。</p> <p>經濟部技術司副司長周崇斌指出，傳統架構上，一般光纖僅到伺服器外部，透過伺服器電路板、基板，再到處理器，儘管現今的矽技術已發展很好，但是仍有傳輸瓶頸，單通道速度上限為100Gbps，最多8個通道，總傳輸速度上限為25.6Tbps。而依照Nvidia的願景，因應AI的資料吞吐需求，提出2028年單通道達到400Gbps，光纖通道數增至80通道，總傳輸速度達到409.6Tbps。</p> <p>要實現此速度，需要靠新的矽光子技術，未來將光晶片、電晶片以異質封裝技術封裝在一起，與處理器共用同一個基板，以前光纖傳輸較遠距離才到處理器，新的矽光子技術縮短光纖到處理器的距離。</p> <p>周崇斌表示，目前國際公認矽光子為最可能解決高速傳輸問題的技術，也是臺灣產業發展的機會，帶動半導體產業升級，故行政院將發展矽光子技術列為AI新十大建設之一。國科會與經濟部合作，在技術研發方面，由法人與產業界共同合作，研發符合Nvidia提出的單通道400Gbps以上高速傳輸。為此，經濟部以補助鼓勵業者投入單通道400G以上相關技術，包括IC設計業者，例如補助聯發科研發光晶片、電晶片，以及相關的基板技術、材料技術的研發。</p> <p>為讓IC設計業可以試產，由法人建立小型的光晶片試產線，以滿足光晶片的相關開發環境，並且由法人設立矽光子驗證實驗室，降低業者6成驗證成本，以成為國際的第三方驗證中心為目標。經濟部產發署也會補助相關材料及設備的開發。</p> <p>去年已由法人協助產業公會成立矽光子聯盟，在SEMI之下，由工研院電光所、台積電、日月光、聯發科等業者加入，制定技術藍圖，並釐清產業的技術缺口，研擬政策工具協助開發，推動光、電晶片、材料及設備的開發，以及累計200人次的矽光子人才培育。</p> <p>國科會主委吳誠文表示，在原來的晶創臺灣計畫中，發展矽光子為計畫的一部分，AI新十大建設後，國科會以科技預算加碼，協助經濟部推動矽光子技術發展，政府推動產業發展矽光子技術，因臺灣具有的半導體優勢，吸引國際業者希望與國內產業合作。目前在技術上已能達到單通道200Gbps，2年後預期達到400Gbps。未來矽光子技術不只可用於AI資料中心，也有助於邊緣運算，提升運算效能，還具有降低能耗的節能優點。</p> <p><strong><span style="color:#B22222;">福福部主責推動健康臺灣願景</span></strong></p> <p>至於另一項由衛福部推動的「生技醫藥結合健康照護共創健康臺灣的策略及規畫」，主要為符合賴總統提出健康臺灣的願景，衛福部提出Healthy Taiwan for All 4.0，從5大策略推動臺灣生醫業創新發展，5大策略包括政策支持、法規輔導、技術領航、行銷拓域、資源投入。</p> <p>衛福部食藥署長姜至剛提到衛福部推動健康臺灣的願景，結合近期的BTC會議提出的建議，5大政策中，從政策法規，例如「再生醫療法」、「全民健康保險資料管理條例」草案等等。在新藥審查方面，希望簡化新藥的審查，過去審查可能需要12個月，新藥開發在先進國家落地，基於國際信賴審查，簡化在臺灣的審查時間至8個月，甚至在條件符合下降到4個月。</p> <p>另外，為推動智慧醫療，衛福部已成立智慧醫材辦公室，輔導智慧醫材取證落地，應用於病人端，同時為確立AI的可用性，建置3大AI中心推動負責任的AI，從AI的取證、認證、落地、影響力等，未來也將與國際合作，將智慧醫材輸出到其他國家。</p> <p>在擴大醫療資源投入方面，姜至剛提到，政府投入百億元癌症基金，希望2030年癌症死亡率減少三分之一，為此，將擴大癌症篩檢、降低篩檢年齡層，並且對癌症用藥積極給予補助，及早診斷、給予醫療支持。未來希望透過5大策略，讓臺灣的生醫產業創新發展及永續。</p> <p> </p> </div></div></div>
2025/9/17 19:25作者蘇文彬https://www.ithome.com.tw/news/171246
【資安日報】9月17日，中國駭客CamoFei利用Roundcube攻擊臺灣教育機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>郵件伺服器<a href="https://www.ithome.com.tw/tags/roundcube">Roundcube</a>遭到鎖定的情況，過往駭客大多在歐洲地區犯案，其中俄羅斯駭客APT28利用相關漏洞從事攻擊行動，<a href="https://www.ithome.com.tw/news/168676">法國政府</a>、<a href="https://www.ithome.com.tw/news/168993">資安業者ESET</a>先後提出警告，但現在亞洲地區也出現相關事故，中國駭客CamoFei（ChamelGang）將其用於攻擊臺灣、巴基斯坦、緬甸，他們利用的漏洞，就是今年6月資安業者Fears Off揭露的CVE-2025-49113。</p> <p>在針對郵件伺服器Roundcube已知漏洞的攻擊行動揭露之外，今天有兩則新聞報導提到的攻擊過程裡，駭客都運用隱寫術（Steganography）手法，透過看似無害的圖檔挾帶惡意酬載，其中一起是運用網釣手法FileFix散布竊資軟體StealC，另一起則是大規模廣告詐欺攻擊行動SlopAds，駭客也運用這種手法於安卓裝置植入惡意程式。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171242"><strong style="font-size: 22px;">針對郵件伺服器Roundcube近滿分漏洞，中國駭客CamoFei已用於實際攻擊行動，臺灣有教育機構受害</strong></a></p> <p>今年6月資安業者Fears Off揭露郵件伺服器系統Roundcube後身分驗證漏洞CVE-2025-49113（CVSS風險評為9.9分），後續他們透露已有駭客在暗網兜售利用的方法，呼籲IT人員要儘速處理。由於這項漏洞影響近10年的Roundcube系統，而且更可怕的是，有許多管理工具內建這款郵件伺服器平臺，也有許多雲端服務業者、主機代管業者採用，影響範圍相當廣泛，如今有資安業者提出警告，這項漏洞早在公布之前就已被用於實際攻擊。</p> <p>臺灣資安業者TeamT5杜浦數位安全本週指出，他們發現中國駭客組織CamoFei（或稱ChamelGang）積極利用這項漏洞的情況，一旦成功入侵Roundcube，就會部署網頁後門及惡意程式，其中包含名為Godzilla的後門程式，以及RAT木馬Pupy。這起攻擊最早可追溯至4月，值得留意的是，受害企業組織涵蓋臺灣教育機構，以及巴基斯坦及緬甸政府機關。</p> <p><a href="https://www.ithome.com.tw/news/171235"><strong style="font-size: 22px;">新型態網釣手法FileFix聲稱臉書用戶帳號將被停用，意圖散布竊資軟體StealC</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ab3a346ebf31d0146401ed1401dca303.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ab3a346ebf31d0146401ed1401dca303.png" style="width: 300px; float: right;" /></a></p> <p>今年6月資安研究員Mr.d0x揭露ClickFix網釣手法的變形版本「FileFix」，此手法濫用瀏覽器呼叫檔案上傳的功能，駭客誘導使用者將惡意命令貼上Windows檔案總管的網址列並執行，使得整個過程無須離開瀏覽器，最近開始有駭客將FileFix用於實際攻擊。</p> <p>資安業者Acronis揭露有人積極從事FileFix網釣攻擊的現象，他們看到駭客打造冒牌的臉書安全通知網頁，聲稱用戶的帳號即將遭到刪除，必須依照PDF檔案指示的方法提出申訴。然而實際上若是照做，受害者就會被引導貼上並執行惡意命令，觸發感染鏈，最終於電腦植入竊資軟體StealC。</p> <p>這波攻擊採用的手法相當刁鑽，首先，駭客架設複雜的網路釣魚基礎設施，建置多達16種語言的釣魚網站，並導入反分析技術及混淆手法來迴避偵測；再者，他們透過隱寫術（Steganography）手法，將第二階段的PowerShell指令碼與經加密處理的有效酬載，埋入看似無害的JPG圖片。</p> <p><a href="https://www.ithome.com.tw/news/171240"><strong style="font-size: 22px;">大規模廣告詐欺SlopAds透過224款惡意安卓App，一天可點擊2.3億次廣告牟利</strong></a></p> <p>駭客假借提供應用程式，在用戶不知情的情況下，暗中進行廣告點擊活動，向廣告服務供應商騙取點擊費用的攻擊手法，過往資安業者已揭露數起，這些事故多半針對Windows電腦而來，但近期有一波資安事故，是鎖定安卓裝置，引起研究人員的關注。</p> <p>資安業者Human揭露名為SlopAds的廣告詐欺及點擊詐欺活動，駭客於Google Play市集上架多達224款應用程式，這些App已被下載超過3,800萬次，使用者遍布全球228個國家及地區。駭客透過應用程式做為傳送作案工具的管道，並搭配隱寫術（Steganography）手法，藉由PNG圖檔將詐欺酬載送到受害的安卓裝置。接著，他們建立隱藏的WebView視窗，存取攻擊者控制的網站來牟利。在攻擊行動達到高峰的時期，一天有23億次的廣告播放請求，流量主要來自美國、印度、巴西，分別占整體的30%、10%、7%。</p> <p>值得留意的是，這波攻擊行動與過往最大的不同之處，在於駭客會根據應用程式的安裝來源，決定是否啟動廣告詐欺的行為，條件是：只有透過廣告點擊下載應用程式的用戶，攻擊者才會執行後續的活動，這種運用市場行銷相關技術決定下個階段目標的手法，相當罕見。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SlopAds-Diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SlopAds-Diagram.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/171214"><strong style="font-size: 22px;">蘋果今年四度發出威脅通知，法國電腦緊急應變小組籲受害者優先保全證據</strong></a></p> <p>法國電腦緊急應變小組（CERT-FR）發布威脅與事件報告，彙整蘋果向特定高風險人士發出的威脅通知，並提醒收件者第一時間應保存證據，避免自行操作裝置，以利後續調查，報告指出，2025年已有4波通知，分別出現在3月5日、4月29日、6月25日及9月3日。</p> <p>目前清單僅限CERT-FR掌握的案例，並非完整統計，受攻擊目標多因職務或身分而受到關注的人士，包括記者、律師、維權人士、政治人物、政府高階官員，以及戰略產業決策者。</p> <p>根據CERT-FR說明，收到蘋果威脅通知意味著至少有一臺綁定該iCloud帳號的裝置曾遭針對性攻擊，並可能已經受到影響。通知通常透過iMessage與電子郵件送達，用戶在登入iCloud時也會看到警示橫幅。從攻擊發生到收到通知可能相隔數月，時間長短依個案而異，CERT-FR提醒，使用者一旦接獲通知，務必立即採取相關步驟因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/self-propagating-supply-chain-attack-hits-187-npm-packages/">NPM套件供應鏈攻擊開始出現新手法，惡意套件能自行感染其他套件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chatgpts-new-calendar-integration-can-be-abused-to-steal-emails/">ChatGPT近期整合行事曆的機制存在弱點，攻擊者有機會用來竊取電子郵件</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182189/cyber-crime/shinyhunters-attack-national-credit-information-center-of-vietnam.html">越南國家信用資訊中心傳出遭ShinyHunters攻擊，個資出現未經授權存取</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/jaguar-land-rover-extends-shutdown-after-cyberattack-by-another-week/">針對網路攻擊事故的後續處理，Jaguar Land Rover決定延長暫停生產的時間因應</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171238"><strong style="font-size: 22px;">系統穩定性及除錯測試平臺Chaos Mesh存在重大漏洞，恐導致Kubernetes叢集被挾持</strong></a></p> <p>隨著愈來愈多企業組織採用雲端原生架構及容器服務，與Kubernetes有關的應用系統安全性也跟著受到重視，因為一旦這些系統存在弱點，攻擊者就有機會對Kubernetes環境上下其手，而對於企業組織帶來危害。例如，最近資安業者JFrog揭露的資安漏洞Chaotic Deputy，就是這種型態的例子。</p> <p>這批漏洞被登記為CVE-2025-59358、CVE-2025-59360、CVE-2025-59361，以及CVE-2025-59359，存在於Kubernetes系統穩定性及除錯測試平臺Chaos Mesh，一旦遭到利用，就有機會導致Kubernetes叢集被挾持，攻擊者可輕易利用，在叢集任意節點執行程式碼。值得留意的是，部分漏洞相當危險，因為其中有3個CVSS風險評分達到9.8（滿分10分）。對此，開發團隊發布2.7.3版予以修補，若是無法即時套用新版程式，JFrog也提供緩解措施，用戶應儘速採取行動因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apple-backports-zero-day-patches-to-older-iphones-and-ipads/">蘋果為較舊版本iPhone、iPad修補Image I/O框架零時差漏洞</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171206"><strong style="font-size: 22px;">微軟郵件伺服器Exchange Server、辦公室軟體套件Offfice，2016及2019版皆將於10月14日終止支援</strong></a></p> <p>微軟在2025年10月14日終止支援的不只有Windows 10，用戶眾多的Exchange Server 2016、2019，以及Office 2016、2019，同樣也會在隔天後無法再獲得安全更新。</p> <p>微軟於周末發布提醒，Exchange Server 2016和2019將一個月後的10月14日來到支援生命周期終點。如同在Windows 10公告內容提及，微軟再次警告，隔日起不會再獲得功能與品質更新、安全更新、時區更新。</p> <p>雖然屆時二項產品雖然還能繼續運作，但可能面臨安全風險，強烈建議用戶及早轉移到Exchange Online與Microsoft 365，或升級到Exchange Server Subscription Edition（SE）。Exchange Server 2019可以就地升級到Exchange Server SE，但Server 2016則必須循Side-by-side更新指引，先架設新的Exchange Server SE伺服器，再將現有的Exchange Server資源轉移過去。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171216"><strong>【9月16日】ShinyHunters聲稱駭入擁有多個時尚品牌的公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171199"><strong>【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171149"><strong>【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</strong></a></p> </div></div></div>
2025/9/17 17:18作者周峻佑https://www.ithome.com.tw/news/171243
大規模廣告詐欺SlopAds透過224款惡意安卓App，一天可點擊2.3億次廣告牟利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假借提供應用程式，在用戶不知情的情況下，暗中進行廣告點擊活動，向廣告服務供應商騙取點擊費用的攻擊手法，過往資安業者已揭露數起，這些事故多半針對Windows電腦而來，但近期有一波資安事故，是鎖定安卓裝置，引起研究人員的關注。</p> <p>資安業者Human揭露<a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-alert-slopads-covers-fraud-with-layers-of-obfuscation/">名為SlopAds的廣告詐欺及點擊詐欺活動</a>，駭客於Google Play市集上架多達224款應用程式，這些App已被下載超過3,800萬次，使用者遍布全球228個國家及地區。駭客透過應用程式做為傳送作案工具的管道，並搭配隱寫術（Steganography）手法，藉由PNG圖檔將詐欺酬載送到受害的安卓裝置。接著，他們建立隱藏的WebView視窗，存取攻擊者控制的網站來牟利。在攻擊行動達到高峰的時期，一天有23億次的廣告播放請求，流量主要來自美國、印度、巴西，分別占整體的30%、10%、7%。</p> <p>值得留意的是，這波攻擊行動與過往最大的不同之處，在於駭客會根據應用程式的安裝來源，決定是否啟動廣告詐欺的行為，條件是：只有透過廣告點擊下載應用程式的用戶，攻擊者才會執行後續的活動，這種運用市場行銷相關技術決定下個階段目標的手法，相當罕見。附帶一提的是，針對SlopAds當中駭客透過存取自己的HTML5遊戲網站、新聞網站牟利，Human提及與半年前發現殭屍網路BadBox 2.0，手法相當類似。</p> <p>一般而言，駭客控管應用程式的方式，主要是透過多個C2伺服器來進行，但Human在解析攻擊行動的架構的時候特別提及，這次駭客搭配的網域名稱，是專門用於行銷的網域名稱，而且，駭客似乎有意擴大SlopAds的規模，並不斷試圖在Google Play市集上架新的App。</p> <p>一旦使用者下載、安裝駭客提供的應用程式，他們的行動裝置就會運用名為Firebase Remote Config的工具，接收經加密處理的一群URL組態，其中一個網址可用於下載廣告詐欺模組FatModule，另一個網址可下載以JavaScript打造的有效酬載，以便進行點擊詐欺。</p> <p>然後他們進行一系列檢查，將使用者區分為直接從Google Play下載，以及透過特定廣告重新導向到市集的用戶，具體的方法是運用行動裝置行銷平臺來達到目的，藉由檢查流量是否存在特定的標籤進行認定。假若是透過廣告接觸，駭客才會執行後續的活動，從C2下載前述提及的FatModule。</p> <p> </p> </div></div></div>
2025/9/17 15:39作者周峻佑https://www.ithome.com.tw/news/171240
針對郵件伺服器Roundcube近滿分漏洞，中國駭客CamoFei已用於實際攻擊行動，臺灣有教育機構受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月資安業者Fears Off揭露郵件伺服器系統Roundcube<a href="https://www.ithome.com.tw/news/169358">後身分驗證漏洞CVE-2025-49113</a>（CVSS風險評為9.9分），後續他們透露<a href="https://www.ithome.com.tw/news/169551">已有駭客在暗網兜售利用的方法</a>，呼籲IT人員要儘速處理。由於這項漏洞影響近10年的Roundcube系統，而且更可怕的是，有許多管理工具內建這款郵件伺服器平臺，也有許多雲端服務業者、主機代管業者採用，影響範圍相當廣泛，如今有資安業者提出警告，這項漏洞早在公布之前就已被用於實際攻擊。</p> <p>臺灣資安業者TeamT5杜浦數位安全<a href="https://teamt5.org/tw/posts/alerts-of-exploiting-roundcube-webmail-cve-2025-49113/">本週指出</a>，他們發現中國駭客組織CamoFei（或稱ChamelGang）積極利用這項漏洞的情況，一旦成功入侵Roundcube，就會部署網頁後門及惡意程式，其中包含名為Godzilla的後門程式，以及RAT木馬Pupy。這起攻擊最早可追溯至4月，值得留意的是，受害企業組織涵蓋臺灣教育機構，以及巴基斯坦及緬甸政府機關。</p> <p>TeamT5指出，根據他們的調查，截至6月21日，有超過8千臺Roundcube系統曝露在CVE-2025-49113的風險當中，其中約有半數在日本最多，有4087臺，新加坡、越南有2566臺、719臺居次。值得留意的是，臺灣有416臺曝險。對此，TeamT5提供IT人員檢查郵件系統是否存在相關漏洞的掃描工具，並公布入侵指標（IoC），以及遭到入侵可能會出現的事件記錄內容。</p> </div></div></div>
2025/9/17 16:17作者周峻佑https://www.ithome.com.tw/news/171242
Google推出Agent Payments Protocol以推動可靠的AI代理人交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/announcing-agents-to-payments-ap2-protocol/" target="_blank">Google周三（9/17）發表了新的代理人支付協定（Agent Payments Protocol，AP2）</a>，這是個新的開源協定，目的是讓AI代理人能夠代表用戶安全地處理付款，可替未來的AI代理人電子商務鋪路。</p> <p>Google解釋，AI代理人能夠代表使用者進行交易，因此需要建立一個共同基礎來安全驗證及傳達代理人的交易權限。目前的支付系統假設是由人類親自操作，但自動化代理人的出現打破了此一基本假設，於是需要AP2來證明使用者真的有授權（Authorization），讓商家確認代理人請求的真實性（Authenticity），以及在出現詐欺或錯誤時可判定責任歸屬的問責（Accountability）。</p> <p>在設計AP2時，Google導入了金融業原本用於定期或代扣款的Mandate授權概念，把它轉化為適用於AI代理人交易的數位授權機制，這些授權由可驗證憑證（Verifiable Credentials, VCs）簽署，以作為每筆交易的基礎證據。</p> <p>Mandate主要用來解決兩個以代理人協助購物的情境，一是即時購買、使用者在場的時候。當使用者對代理人說「幫我找一雙新的白色跑鞋」時，該請求會先被記錄成一份意圖授權（Intent Mandate），當跑鞋出現在購物車時，使用者確認購買後即產生購物車授權（Cart Mandate）。</p> <p>二是使用者不在場，委由代理人執行任務的時候。例如要求代理人「在演唱會門票開賣時幫我搶票」時，必須提前簽署一份詳細的意向授權書，以允許代理人自動產生購物車授權。這兩個場景最終都可安全地連結購物車授權與使用者的支付方式。</p> <p>Google認為，AP2可望帶來全新的消費模式，例如當消費者想要某件外套的特定顏色，而且願意為此多支付20%的費用時，可以交待代理人監控市場上的商品，以在可購買時執行；消費者也能把自己的購物需求交待給AI代理人，並與商家的AI代理人協商出一個令雙方都滿意的交易；當消費者提出一個涉及不同商家的固定預算旅遊方案時，代理人即可與航空公司、飯店與旅行社的代理人溝通，並在找到適合方案時訂購。</p> <p>目前已有超過60個組織支持AP2，包括美國運通（American Express）、螞蟻國際（Ant International）、JCB、萬事達卡、PayPal、銀聯與Worldpay等支付供應商，也包括Coinbase及以太坊基金會（Ethereum Foundation）等加密貨幣與區塊鏈組織，預設支援穩定幣與加密貨幣。<a href="https://github.com/google-agentic-commerce/AP2" target="_blank">開發人員可透過GitHub存取AP2的技術規格、文件及參考實作</a>。</p> <p>迄今AI領域已出現許多讓代理人可互通的開源協定，包括Anthropic所開發、用來連結AI助理與資料的<a href="https://www.ithome.com.tw/news/166199" target="_blank">模型脈絡協定（Model Context Protocol，MCP）</a>，或是Google所釋出的<a href="https://www.ithome.com.tw/news/168336" target="_blank">AI代理人互通協定Agent2Agent（A2A）</a>，最新的AP2則將代理人的能力延伸至電子商務的交易能力。</p> </div></div></div>
2025/9/17 15:11作者陳曉莉https://www.ithome.com.tw/news/171239
英國設立AI成長園區，Nvidia、OpenAI及微軟進駐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/north-east-england-set-for-billions-in-investment-and-thousands-of-jobs-as-uk-and-us-ink-tech-partnership" target="_blank">英國政府周二（9/16）宣布</a>，將在英格蘭東北部（North East England）設立AI成長園區（AI Growth Zone），首批參與的業者除了在地的Nscale之外，還包括來自美國的Blackstone投資管理公司、Nvidia、OpenAI與微軟。</p> <p>AI成長園區的目標是成為歐洲最大的AI與資料中心之一，預計吸引高達3,000億英鎊的民間投資，創造超過5,000個高薪工作，並集中建設於Blyth及Cobalt Park等地。英國政府將提供基礎設施及政策支持，結合當地低碳能源、世界級大學與新創生態體系，以促進AI研究。</p> <p>其中，Blackstone已承諾要在Blyth投資100億英鎊；Nvidia、OpenAI及Nscale則會共同成立Stargate UK；微軟亦將與Nscale合作打造英國最大的超級電腦。</p> <p>Nscale是由英國企業家Josh Payne於2022年創立的公司，目標是要在英國本土打造主權級的AI基礎設施，並藉由建設大規模的GPU資料中心、超級電腦及雲端平臺，支持英國與歐洲的組織進行AI研究。Nscale也是英國AI Growth Zone計畫中最大的地頭蛇。</p> <p><a href="https://www.nscale.com/press-releases/nscale-uk-ai-infrastructure-announcement" target="_blank">Nscale解釋</a>，Stargate UK是個整體性的基礎設施平臺，目的是在英國部署OpenAI技術，且著重於主權型工作負載。OpenAI將在2026年第一季收購最多8,000個Nvidia GPU，未來目標是3.1萬個Nvidia GPU。</p> <p><a href="https://openai.com/index/introducing-stargate-uk/" target="_blank">OpenAI則說</a>，Stargate UK將讓OpenAI模型能在英國當地的運算架構上運作，以應用在關鍵公共服務、金融、研究計畫或國家安全等特定案例上。</p> <p>Nscale還將與微軟合作建置英國最大的超級電腦，採用23,040個Nvidia GB300 GPU，預計於2027年第一季交付，可望讓微軟於英國提供Azure服務以支援當地的經濟發展。<a href="https://blogs.microsoft.com/on-the-issues/2025/09/16/microsoft-30-billion-uk-ai-future/" target="_blank">微軟表示</a>，該公司計畫自2025年到2028年的4年內，針對英國各地的AI基礎設施及持續運作能力投入300億美元。</p> <p>此外，Nscale亦將與Nvidia DGX Cloud合作，部署4,600個Nvidia GB300 GPU。</p> <p>根據Nscale的規畫，該公司準備在英國部署多達58,640頂尖的Nvidia GPU，在全球部署Nvidia GPU的目標數量則是30萬個。</p> </div></div></div>
2025/9/17 16:12作者陳曉莉https://www.ithome.com.tw/news/171241
系統穩定性及除錯測試平臺Chaos Mesh存在重大漏洞，恐導致Kubernetes叢集被挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著愈來愈多企業組織採用雲端原生架構及容器服務，與Kubernetes有關的應用系統安全性也跟著受到重視，因為一旦這些系統存在弱點，攻擊者就有機會對Kubernetes環境上下其手，而對於企業組織帶來危害。例如，最近資安業者JFrog揭露的<a href="https://jfrog.com/blog/chaotic-deputy-critical-vulnerabilities-in-chaos-mesh-lead-to-kubernetes-cluster-takeover/">資安漏洞Chaotic Deputy</a>，就是這種型態的例子。</p> <p>這批漏洞被登記為CVE-2025-59358、CVE-2025-59360、CVE-2025-59361，以及CVE-2025-59359，存在於Kubernetes系統穩定性及除錯測試平臺Chaos Mesh，一旦遭到利用，就有機會導致Kubernetes叢集被挾持，攻擊者可輕易利用，在叢集任意節點執行程式碼。值得留意的是，部分漏洞相當危險，因為其中有3個CVSS風險評分達到9.8（滿分10分）。對此，開發團隊發布2.7.3版予以修補，若是無法即時套用新版程式，JFrog也提供緩解措施，用戶應儘速採取行動因應。</p> <p>什麼是Chaos Mesh？這是專為Kubernetes設計的開源混沌工程（Chaos Engineering）平臺，目的是在真實或接近真實的環境中模擬故障情形，幫助開發與營運團隊發現系統潛在的弱點，進而提升K8s整體穩定性與容錯能力。</p> <p>JFrog指出，攻擊者想要利用Chaotic Deputy的先決條件，就是能對Kubernetes叢集網路環境進行初始存取，該公司強調，即使攻擊者存取的是沒有特殊權限的節點，還是有機會藉由預設組態的弱點，入侵Chaos管理控制平臺的GraphQL伺服器，從而執行該平臺的原生錯誤注入功能，從而關閉節點，或是造成網路中斷；再者，攻擊者也有機會注入作業系統指令，對其他節點下手，竊取特權服務帳號的憑證（Token）。</p> <p>從漏洞的類型與危險程度來看，CVE-2025-59360、CVE-2025-59361、CVE-2025-59359都是重大層級的作業系統命令注入漏洞，風險值皆為9.8；CVE-2025-59358是缺乏身分驗證的阻斷服務（DoS）漏洞，風險值為7.5。</p> </div></div></div>
2025/9/17 13:47作者周峻佑https://www.ithome.com.tw/news/171238
MongoDB推AMP應用程式現代化平臺，以AI加速企業舊系統轉新架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mongodb.com/company/blog/product-release-announcements/amp-ai-driven-approach-modernization" target="_blank">MongoDB推出應用程式現代化平臺AMP</a>，結合人工智慧、專用工具與工程專家經驗，協助企業逐步轉換舊系統，官方指出，程式碼轉換最高可加速達10倍，專案整體平均快2至3倍</p> <p>MongoDB發表應用程式現代化平臺（Application Modernization Platform，AMP），這是一套結合代理式人工智慧、專用工具與工程專家的方法論與工具鏈，目的在協助企業逐步將老舊系統轉換為可擴充的現代服務。</p> <p>MongoDB指出，資料層往往是數位轉型過程中最大的瓶頸，AMP的設計正是針對這個問題，透過測試先行與逐步驗證，降低一次性重寫所帶來的高風險。</p> <p>AMP的核心流程有5階段，分別是分析、生成測試、轉換程式碼、搬遷資料與驗證功能。在開始轉換之前，團隊會對既有系統建立全面測試基準，確保真實捕捉現行運作行為，分析工具則負責繪製應用架構與相依關係，辨識隱含於資料庫、應用程式與中介層的商業邏輯，而這些測試與分析結果會用於規畫轉換順序與保護機制。</p> <p>AMP的人工智慧元件扮演加速角色，當分析工具分解出可轉換的邏輯單元後，人工智慧可自動生成對應程式碼並配合自動修復機制反覆嘗試，縮短人工修改時間。人工智慧同時也能產生額外的測試案例，補足人工難以覆蓋的情境，讓新舊系統行為的比對更完整。MongoDB強調，人工智慧不是替代工程實務，而是在既有流程上擴張產能，使團隊能在品質可控的情況下，加快轉換步伐。</p> <p>MongoDB提供的資料顯示，AMP在程式碼轉換等工作上可達約10倍加速，整體現代化專案平均快2至3倍。</p> <p>AMP特別適用於高度耦合、資料層相依度高的舊系統，例如以儲存程序驅動的關聯式資料庫應用，其方法論強調先建立測試基準、分解相依並逐步轉換，降低一次性改寫風險。平臺設計強調以小步驟、嚴謹驗證的方式逐步轉換，透過測試先行與持續比對新舊行為來控管風險，資料模型則會重新設計為符合MongoDB的格式與結構。</p> <p>MongoDB表示，AMP凝聚了多年客戶專案的經驗與工具化成果，結合人工智慧，讓過去需要大量人力與時間的轉換工作能在速度與規模上同步推進。</p> </div></div></div>
2025/9/17 12:33作者李建興https://www.ithome.com.tw/news/171237
新型態網釣手法FileFix聲稱臉書用戶帳號將被停用，意圖散布竊資軟體StealC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月資安研究員Mr.d0x揭露<a href="https://www.ithome.com.tw/news/169733">ClickFix網釣手法的變形版本「FileFix」</a>，此手法濫用瀏覽器呼叫檔案上傳的功能，駭客誘導使用者將惡意命令貼上Windows檔案總管的網址列並執行，使得整個過程無須離開瀏覽器。雖然濫用原本的ClickFix攻擊行動依舊橫行，但開始有駭客將FileFix用於實際攻擊。</p> <p>資安業者Acronis揭露<a href="https://www.acronis.com/en/tru/posts/filefix-in-the-wild-new-filefix-campaign-goes-beyond-poc-and-leverages-steganography/">有人積極從事FileFix網釣攻擊的現象</a>，他們看到駭客打造冒牌的臉書安全通知網頁，聲稱用戶的帳號即將遭到刪除，必須依照PDF檔案指示的方法提出申訴。然而實際上若是照做，受害者就會被引導貼上並執行惡意命令，觸發感染鏈，最終於電腦植入竊資軟體StealC。</p> <p>這波攻擊採用的手法相當複雜，首先，駭客架設複雜的網路釣魚基礎設施，建置多達16種語言的釣魚網站，並導入反分析技術及混淆手法來迴避偵測；再者，他們透過隱寫術（Steganography）手法，將第二階段的PowerShell指令碼與經加密處理的有效酬載，埋入看似無害的JPG圖片。</p> <p>相關活動在最近兩週迅速發展，Acronis觀察到多種變種及有效酬載，而且根據他們對於基礎設施的調查，駭客攻擊的目標涵蓋全球，許多國家都出現疑似的受害者，代表這類攻擊正在加速進行。</p> <p>值得留意的是，攻擊者為了欺騙使用者誤以為自己貼上事件報告的PDF檔案路徑，他們在有效酬載的結尾加入特定變數，內含大量空白及假的檔案路徑，使得檔案總管的網址列只會看到檔案路徑，看不到惡意命令。Acronis特別提及此事，還有另一原因：多數ClickFix攻擊駭客會運用「#」符號達到目的，若是以此特徵檢測，無法察覺這種FireFix攻擊。</p> <p>再者，攻擊者存放、誘使受害者下載惡意圖檔的管道，也有所變化，在這兩週的活動裡，他們從原本的惡意網域，轉移到程式碼代管平臺BitBucket，不僅以此迴避偵測，也免去必須持續註冊及管理惡意網域的麻煩。</p> </div></div></div>
2025/9/17 11:22作者周峻佑https://www.ithome.com.tw/news/171235
OpenAI正在開發年齡預測系統以替ChatGPT分級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/building-towards-age-prediction/" target="_blank">OpenAI周二（9/16）宣布</a>，正在開發一個年齡預測（Age Prediction）系統來判斷用戶是否年滿18歲，以將他們自動引導至更適合的ChatGPT體驗，且月底前就會先行釋出家長控制功能，<a href="https://www.ithome.com.tw/news/171162" target="_blank">以回應美國聯邦交易委員會（FTC）對青少年使用AI聊天機器人的擔憂</a>。</p> <p>這是因為近來出現幾起與AI聊天機器人有關的青少年自殺案例，並因家長提告而公諸於世，<a href="https://www.latimes.com/business/story/2025-08-28/openai-lawsuit" target="_blank">其中之一</a>是16歲的加州少年Adam Raine平常就有使用ChatGPT查詢課業與興趣的習慣，後來也問ChatGPT如何自殺，並在2024年4月自殺身亡，家長指控OpenAI的設計選擇將黏著度置於安全之上才造成了悲劇。</p> <p>OpenAI共同創辦人暨執行長<a href="https://openai.com/index/teen-safety-freedom-and-privacy/" target="_blank">Sam Altman本周解釋了ChatGPT</a>在青少年安全、自由及隱私上的政策。指出該平臺會儘可能地保障用戶隱私，並利用自動化系統來監控潛在的嚴重濫用，唯獨對於某人生命威脅、傷害他人的計畫或潛在大規模網路安全事件等傷害，可能會升級至人工審查。</p> <p>而在自由上，OpenAI期待ChatGPT得以在不傷害或破壞他人自由的前提下儘量擴展成年人的自由，例如模型預設為禁止提供自殺說明，但若是成年人要求模型協助撰寫一個描述自殺的虛構故事，那麼ChatGPT即會遵照指示。</p> <p>至於保護青少年的優先順序則是大於隱私與自由。ChatGPT適用於13歲以上的使用者，而今正在建立一個年齡預測系統，以根據人們使用ChatGPT的方式來估計年齡，提供18歲以下用戶不同的體驗，且會在有疑問時要求用戶提供身分證件。</p> <p>當OpenAI確認用戶未滿18歲時，即會將他們引導至一個與其年齡相當ChatGPT體驗。此一青少年版的ChatGPT將不會與使用者調情，預設封鎖了色情內容，且即便在創意寫作的環境中亦不會參與有關自殺的討論，還會在察覺到青少年有自殺意圖時，嘗試聯繫其家長或執法機構。</p> <p>OpenAI尚未公布年齡預測系統的上線時間，但說家長控制功能會在本月底前推出，只要透過電子郵件邀請，就能連結家長與青少年的帳號；家長還能協助ChatGPT根據青少年專屬的行為規則來回應青少年；由家長負責管理所要停用的功能，包括記憶體與聊天紀錄；在系統檢測到青少年處於嚴重痛苦的情況下接到通知；以及設定停用ChatGPT的時間。</p> </div></div></div>
2025/9/17 11:44作者陳曉莉https://www.ithome.com.tw/news/171236
Rust編譯效能調查出爐，近半數停用者點名編譯時間過久
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust官方首次進行<a href="https://blog.rust-lang.org/2025/09/10/rust-compiler-performance-survey-2025-results/">編譯器效能調查</a>，整體滿意度平均為6分，最常見評分為7分，但開發者體驗差異明顯，在已不再使用Rust的受訪者中，約45％指出編譯時間過久是停用的重要原因之一。官方也針對多數痛點提出短中長期的改善方向。</p> <p>調查結果顯示，增量重建是最常見的抱怨來源。受訪者在被要求挑出經手編譯時間最吃力的專案時，有55％抱怨，程式碼小幅修改後需要等待超過10秒才能重建。</p> <p>Rust官方解釋，增量重建延遲主要有3個原因，分別是工作空間內改動會觸發相依Crate重建，導致不必要的編譯，第2是連結階段無法增量化，每次都需從頭開始，第3則是單一Crate的增量引擎仍有最佳化空間，例如derive程式碼產生器的展開尚未快取。官方預計在下一個版本，就會把Linux上最常用的x86_64-unknown-linux-gnu目標預設連結器切換為LLD，以縮短連結時間。</p> <p>在型別檢查與IDE效能上，調查顯示工具協作仍有落差，約6成開發者習慣用Cargo指令檢查或建置，其中cargo check最常被使用，但由於與cargo build不共享快取，常導致重複編譯，增加額外等待時間。雖然大多數人仰賴編輯器內的即時註解來快速查看錯誤，但仍有約3成受訪者反映延遲過久影響開發流程，另有超過35％指出IDE與Cargo會互相阻塞，造成體驗中斷。</p> <p>Rust Analyzer已透過PGO最佳化提升約15％至20％效能，藉以改善這些問題，並持續改進快取與整合新版trait解析器（Solver）。官方同時建議，若將Rust Analyzer與Cargo設定使用不同目錄，可減少相互等待的情況，雖然會增加磁碟用量。</p> <p>調查顯示除錯資訊的生成也會拖慢建置速度，要是僅保留行級資訊，效能可提升達2至3成，但不同開發者對除錯需求差異大。Cargo團隊因此評估調整預設層級，並規畫提供更適合除錯的檔案集，以兼顧效能與開發便利。</p> <p>在實務經驗中，受訪者最常提及的改善方式包括減少相依函式庫、拆分大型Crate，以及改用更快的連結器，如LLD或mold。官方則回應，這些措施屬於折衷方案，成效雖佳，但可能帶來維護或效能上的額外成本，因此未來將在Cargo Book中提供官方建置效能最佳化指南，助開發者理解可行選項與其取捨。</p> </div></div></div>
2025/9/17 11:05作者李建興https://www.ithome.com.tw/news/171231
勒索軟體組織Killsec宣稱入侵巴西醫療軟體供應商，波及多家醫療機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體組織KillSec聲稱入侵巴西醫療軟體商MedicSolution，外洩逾34 GB病歷與檢驗資料，資安公司Resecurity<a href="https://www.resecurity.com/blog/article/killsec-ransomware-is-attacking-healthcare-institutions-in-brazil">研判屬供應鏈攻擊</a>，恐波及診所與實驗室，涉及病患隱私與法遵風險</p> <p>勒索軟體組織Killsec宣稱成功入侵巴西醫療管理軟體供應商MedicSolution，並威脅公開外洩資料。根據資安公司Resecurity的觀察，這起事件屬於典型的供應鏈攻擊案例，影響層面恐已超出單一供應商，進一步波及其所服務的診所與醫療檢驗機構。</p> <p>Killsec取得的資料並非透過複雜滲透，而是源自配置錯誤的AWS S3雲端儲存空間。研究人員發現，相關儲存桶在事件發生時仍可被遠端羅列出目錄與下載，顯示存取控制與加密管理不足。這類低級錯誤，使攻擊者得以在未直接入侵內部系統的情況下，取得大量敏感資料。</p> <p>研究人員在外部資料洩漏平臺上發現，多家巴西本地醫療單位的文件出現在疑似外洩資料中，包括Vita Exame、Labclinic及Laboratório Alvaro。據估計，外洩總量超過34 GB，涉及94,818個檔案，內容包含醫療評估報告、實驗室檢驗結果、X光影像、未遮蔽的病患照片，甚至有涉及未成年人的醫療紀錄。</p> <p>Resecurity研究人員聯繫部分患者，對方表示在聯絡當下尚未獲知洩漏事件，顯示相關通報流程可能未即時啟動。Resecurity已將調查結果提交給巴西電腦緊急應變小組（CERT.br）與巴西國家資料保護局（ANPD）。</p> <p>Killsec近期的行動並非僅限於巴西，在事件發生前幾日，該組織聲稱也攻擊了哥倫比亞、秘魯與美國的醫療單位，包括Archer Health、Suiza Lab、GoTelemedicina與eMedicoERP。一個月前，他們也曾公開秘魯醫療平臺Doctocliq的資料，該平臺服務超過3,500名醫師，遍及20多個國家。Killsec過往也曾將矛頭指向政府單位與其他產業，然而其中部分聲稱的入侵事件真偽難辨。</p> </div></div></div>
2025/9/17 08:15作者李建興https://www.ithome.com.tw/news/171229
Martech新創漸強實驗室以4策略擁抱AI，結合雲端及AI發表DAAC數據分析服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼MAAC、CAAC等行銷、客服、銷售工具服務之後，Martech新創漸強實驗室今天(9/16)發表結合AI數據分析的DAAC，讓企業可透過和AI對話的方式，檢視動態的銷售數據，提供戰情室，協助針對特定的客戶擬定行銷計畫方案。針對AI工具服務導入，漸強實驗室也提供AI顧問服務。</p> <p>漸強實驗室共同創辦人暨執行長薛覲表示，AI帶來搜尋行為、購物行為、工作行為3個行為上的改變。以搜尋行為為例，過去消費者利用搜尋引擎研究產品，愈來愈多開始利用AI搜尋相關資訊，目前AI搜尋約占有1成搜尋；購物行為改變則是利用AI對感興趣的商品進行研究；至於工作方式改變則是導入AI，重新設計工作流程。</p> <p>鑑於AI愈來愈普及，薛覲表示，漸強積極擁抱AI，目前該公司在臺灣、新加坡、日本、泰國約有100名員工，內部正推動4大AI First策略，包括使用AI提升個人效率、用AI做流程改造、用AI開發產品，以及開發AI產品。</p> <p>首先在使用AI提升個人效率方面，例如員工個人運用ChatGPT、Gemini產生文案來提高效率；其次的AI做流程改造方面，該公司運用Google Agentspace，結合傳統搜尋、對話式AI、AI代理，從電子郵件、PDF文件等不同的內容，回答內部的各種問題，過去員工要自己找答案或透過內部的Q&A問答機制獲得解答，「我們希望未來員工的問題可以先問AI」，薛覲說。</p> <p>另外，漸強也用AI開發產品策略方面，薛覲指出，目前公司內部90%的Code由AI寫，或是由工程師與AI協作完成，預估開發速度提升46%，確實幫工程師提高效率，呼應先前科技業者運用AI提升開發效率的說法。</p> <p>最後是開發AI產品策略上，漸強原本就推出的Martech行銷及商業溝通工具MAAC，以及整合銷售與客服的CAAC，在雲端及AI愈來愈成熟之下，MAAC及CAAC隨著更新添加AI功能，漸強提出AI Communication Cloud，例如MAAC定位為自動化的AI行銷平臺，可運用生成式AI，自動生成具有品牌特色的文案，而CAAC則以AI客服協助解決客戶進線客服約7到8成的重覆性問題，例如常見的進線預約服務，來減輕真人客服的工作負擔。</p> <p>此外，結合Cloud及AI技術的數據服務DAAC，主要可提供對話式AI、即時情報、戰情儀表板等功能，不同於傳統上使用BI報表呈現商業智慧，報表呈現的資訊可能有落差，DAAC強調可以對話的方式，請求AI提出即時的銷售數據表現，或是提出特定客戶或客群的數據表現。</p> <p>漸強實驗室表示，過去行銷人員的資料分析需求，需要資料分析的專門人員協助，需要等待較長的時間，最後還可能因為資料分析的需求描述不夠明確，一來一往花費更多時間才能取得分析結果。</p> <p>而透過DAAC可串接分析廣告、電商、POS、顧客等的數據，讓使用者與AI對話，要求提供上述數據的即時分析，或是管理高層要求AI提供報表，或是銷售數據的戰情室，檢視不同產品的銷售數據。DAAC的收費方式採取訂閱制度，依客戶的需求分級收費。</p> <p>除了MAAC、CAAC及DAAC三大服務，漸強也整合自身內部經驗，提供AI顧問服務，包括AI導入、工作流程改造等。</p> </div></div></div>
2025/9/16 18:54作者蘇文彬https://www.ithome.com.tw/news/171230
Anthropic公布Claude使用調查，撰寫程式碼占了36%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創Anthropic自今年以來，每季都會公布與旗下聊天機器人Claude有關的經濟指數報告《Anthropic Economic Index》，<a href="https://www.anthropic.com/research/anthropic-economic-index-september-2025-report" target="_blank">在周二（9/16）發表的第三份報告中</a>，指出利用Claude撰寫程式碼依然占了總樣本數的主導地位，達36%，而且自動化（Automation）的需求（49.1%）已超過協作（Augmentation，47%）。Anthropic的調查結果跟OpenAI很不同，因為後者發現利用ChatGPT來撰寫程式碼的比例只有4.2%。</p> <p>雙方調查的差別主要在於，OpenAI調查的是免費及付費的消費者用戶，並未涉及企業，而Anthropic則是同時調查個人及企業用戶。</p> <p>Anthropic說，從歷史來看，新技術通常需要經歷數十年才能被廣泛使用，例如在城市電氣化之後，電力是在30年後才到達農村；或者是當個人電腦於1981年進入早期採用後，經過20年才普及；就算是採用算快速的網路，也花了5年的時間才達到AI只用了2年便創造的採用率。今年美國就有40%的員工在工作上採用AI，兩年前時該比例只有20%。</p> <p>Anthropic的調查涵蓋了全球市場，發現美國使用Claude的次數遠遠超過其它國家，占了21.6%，第二名是印度的7.2%，之後的巴西、日本與南韓都各占3.7%。若計算人口規模，那麼Claude採用率最高的前五名國家則是以色列、新加坡、澳洲、紐西蘭與南韓，美國則排名第六。</p> <p>使用者最常利用Claude來執行的任務類別為程式碼，占了36%；教育及教學占了12.4%；自然及社會科學占了7.2%；商業與財務分析占了3%；管理也占3%；藝術及娛樂占了8%。</p> <p>此外，在與使用者的互動方式中，今年初還是由協作領先，亦即使用者會與Claude多次來回討論，到了第三季，自動化即占了49.1%，超越協作的47%，意謂著使用者愈來愈信任AI，把任務直接交給AI完成。</p> <p>《Anthropic Economic Index》中還有一個有趣的數據，是能夠呈現每一個市場或區域的Claude使用特性，例如夏威夷用戶最常用它來規畫旅行，麻州用戶最常用它來進行科學研究，印度用戶最常它來建立Web應用程式，而且巴西人用Claude來翻譯或學習語言的次數是全球平均的6倍。Anthropic已建立<a href="https://www.anthropic.com/economic-index#us-usage" target="_blank">Anthropic Economic Index網站</a>讓人們追蹤不同地方的Claude使用狀況，目前僅支援美國市場，很快便會延伸至全球市場。</p> </div></div></div>
2025/9/16 16:24作者陳曉莉https://www.ithome.com.tw/news/171226
Google釋出VaultGemma，全球最大差分隱私語言模型開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出<a href="https://research.google/blog/vaultgemma-the-worlds-most-capable-differentially-private-llm/">VaultGemma</a>，這是一個目前最大擁有10億參數，從頭以差分隱私方法訓練的語言模型。該模型的特色在於提供序列層級的隱私保護，實測顯示，在以50 Token前綴檢測背誦時，未觀察到模型複製訓練樣本。Google同步將權重釋出至Hugging Face與Kaggle，方便研究人員與開發者下載與實驗。</p> <p>Google在推出VaultGemma的同時，同時發表了一項新的研究成果，稱為差分隱私語言模型的擴展定律。研究指出，當在訓練大型語言模型時引入差分隱私，傳統的規模越大、表現越好的定律會受到擾動。</p> <p>研究團隊以模型大小、迭代次數與雜訊批次比（Noise-batch Ratio）作為主要變數，建構一套能準確預測訓練損失的模型。實驗結果顯示，要在差分隱私的條件下維持學習穩定度，應採用較小的模型，並搭配大幅放大的批次與適當的迭代次數，而該方法有別於一般非差分隱私訓練模型的最佳化配置。</p> <p>在訓練過程中，Google團隊必須解決差分隱私SGD（DP-SGD）的實務挑戰。傳統的固定批次方式無法提供最佳的隱私保護，因此研究人員改採Poisson取樣，讓每次抽出的批次更隨機，不過，這種方法會導致批次大小不一致，資料處理順序也變得不可預測，增加了訓練的複雜度。</p> <p>由於要兼顧效率與隱私，研究團隊引入先前提出的Scalable DP-SGD技術，透過在批次中加入填充或刪減的方式，將不同大小的批次轉換成固定大小，確保隱私會計（Privacy Accounting）仍然嚴謹，並讓訓練流程保持穩定。除此之外，團隊還將預訓練序列長度設為1,024 Token，以便能使用更大的批次規模，並延續Gemma 2所採用的資料混合方式。</p> <p>效能評估顯示，VaultGemma在HellaSwag、BoolQ、PIQA、SocialIQA、TriviaQA與ARC等標準基準測試上的表現，低於同樣規模的非DP版本Gemma 3 1B（10億），但與5年前的GPT-2 1.5B（15億）相當，也就是說，當前差分隱私訓練在效能上仍存在落差，卻也展現了模型在問答、推理、閱讀理解等基礎任務上的可用性。</p> <p>在隱私單位的選擇上，VaultGemma採序列層級的差分隱私，對應到異質且長度不一的文件組合。官方也提醒，在一些應用情境中，當資料能直接對應至單一使用者，則以使用者層級的差分隱私會更為合適。</p> <p>VaultGemma的價值不在於與最新非差分隱私模型競爭，而是提供一個有理論支持、實測驗證且公開可用的基礎，讓開發者在隱私保護與效能之間有更明確的參考點。Google此次釋出的模型卡與技術報告，詳細列出隱私會計方式、訓練架構與效能基準，協助研究人員理解當前隱私與效能的權衡。</p> </div></div></div>
2025/9/16 16:40作者李建興https://www.ithome.com.tw/news/171225
【資安日報】9月16日，ShinyHunters聲稱駭入擁有多個時尚品牌的公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近半年精品業者遭遇網路攻擊導致資料外洩的情況頻傳，包括Cartier、迪奧（Christian Dior Couture）、Pandora、香奈兒（Chanel），其中部分傳出是駭客組織<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>（<a href="https://www.ithome.com.tw/tags/unc6040">UNC6040</a>）所為，如今又有精品業者受害，這次是旗下有Gucci、Balenciaga、YSL等品牌的Kering，但是否如同最近頻傳資安事故，攻擊者從該公司的<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>系統竊得資料，有待進一步釐清。</p> <p>昨天我們報導<a href="https://www.ithome.com.tw/news/171177">綁架1萬多臺物聯網裝置及路由器</a>的大規模DDoS攻擊行動，今天又有資安業者公布新的發現，他們看到綁架576萬臺裝置的大型DDoS殭屍網路，駭客半年內已策畫至少3次攻擊行動，特別的是，在最近一次攻擊當中，他們採取兩階段調度的做法，相當罕見。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171203"><strong style="font-size: 22px;">精品業者Gucci、YSL、Balenciaga母公司證實遭駭，ShinyHunters宣稱犯案</strong></a></p> <p>擁有Gucci、Balenciaga、YSL等精品品牌的法國零售業巨人Kering證實遭駭，犯案者可能是前科累累的ShinyHunters（UNC6040）。這項消息的傳出，最早是BBC首先報導，ShinyHunters日前在駭客論壇宣稱駭入Kering，並竊得740萬筆電子郵件。</p> <p>Kering向媒體證實遭駭導致資料外洩，該公司者在6月間發現系統遭未經授權的第三方人士短暫存取，並存取了部分業務單位的客戶資料，外流的資料包含姓名、電子郵件、電話及住家地址。</p> <p>這家法國精品業者強調，沒有信用卡、銀行帳號、身分證等財務資訊被竊，該公司也未說明外洩資料的數量，資料新舊，或是攻擊事件是否為勒索軟體或是用戶憑證外洩所致。</p> <p><a href="https://www.ithome.com.tw/news/171200"><strong style="font-size: 22px;">大型L7的DDoS殭屍網路綁架576萬臺物聯網裝置，攻擊政府機關</strong></a></p> <p>資安公司Qrator Labs在9月1日，偵測並成功緩解最大規模網路應用層（L7）DDoS攻擊，目標為政府機構，參與來源累計達576萬個IP位址。這場攻擊採兩階段調度，先投入約280萬個IP位址，約1小時後再增加約300萬個IP位址，顯示其指揮與擴編能力成熟，能在短時間內提升壓力與覆蓋面。</p> <p>這支殭屍網路在半年3度出手且持續擴張，受害面向由線上服務延伸至政府領域。研究人員指出，今年3月26日，殭屍網路首次現形，鎖定線上博弈業者，當時約有133萬個IP位址參與，5月16日，再度攻擊政府部門，規模已擴至約460萬個IP位址，9月1日第3次針對政府部門行動，這次累計動員576萬個IP位址。</p> <p>9月這場應用層L7 DDoS攻擊的地理分布，惡意IP位址主要集中在巴西、越南、美國、印度與阿根廷。與前兩次相比，越南與印度的參與IP位址數量成長幅度明顯，分別增加83％與202％，顯示該殭屍網路在不同區域的滲透速度不一，且可能同時動員家用網路、資料中心與開放代理等多類型節點。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=174216&SPOKE_DATE=20250912&COMPANY_ID=3709"><strong style="font-size: 22px;">捷元B2B採購平臺出現異常下單，母公司鑫聯發資安重訊證實</strong></a></p> <p>上市櫃公司針對網站遭到攻擊發布資安重訊的情況，最常見的是遭遇DDoS攻擊而面臨運作受到影響，如今有一起重訊與電商網站出現異常有關，這樣的事故相當罕見。</p> <p>異業控股業者鑫聯大投控於9月12日傍晚發布資安重訊，指出旗下子公司捷元電腦的B2B採購平臺出現異常下單的現象，該公司察覺後啟動應變機制，並配合公司內外技術專家清查受影響的範圍。</p> <p>而對於這起事故可能帶來的影響，該公司表示根據初步評估，目前對捷元電腦的營運無重大影響。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213035&SPOKE_DATE=20250911&COMPANY_ID=4162"><strong style="font-size: 22px;">智擎發布資安重訊，網站代管業者遭受DDoS攻擊</strong></a></p> <p></p> <p>上市櫃公司因網站遭遇DDoS攻擊的情況已有數起，但如今發生主機代管業者遭遇相關攻擊而受到影響的事故。</p> <p>智擎生技製藥指出，他們在9月11日偵測到代管公司網站主機的業者遭受攻擊的情況，該公司隨即啟動相關防禦機制及復原作業。而對於可能造成的影響，根據智擎的初步評估，對公司營運無影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/great-firewall-of-china-data-published-largest-leak/">中國防火牆相關資料傳出資料外洩，近600 GB原始碼、內部通訊、事件記錄</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/mustang-panda-deploys-snakedisk-usb.html">中國駭客Mustang Panda鎖定泰國而來，散布USB蠕蟲SnakeDisk</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/hiddengh0st-winos-and-kkrat-exploit-seo.html">中國駭客透過SEO、GitHub散布惡意程式HiddenGh0st、Winos、kkRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-confirms-fraudulent-account-created-in-law-enforcement-portal/">Google的執法請求系統遭駭，駭客設置用於詐欺的帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ai-powered-villager-pen-testing-tool.html">AI滲透測試工具Villager在PyPI下載急劇增加，恐被用於網路犯罪</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171201"><strong style="font-size: 22px;">國際半導體展資安合作再升級，SEMI E187認驗證制度正式啟動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3s0ojtmy_bbl.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/3s0ojtmy_bbl.jpg" style="width: 300px; float: right;" /></a></p> <p>由臺灣主導的半導體設備資安標準SEMI E187，自2022年正式發布後，該標準的落地與推廣進展持續受關注，繼兩年前完成SEMI E187檢核清單制定，推動合格性驗證（VoC），如今該標準在認驗證制度建立上，有了更進一步的拓展。</p> <p>在今年SEMICON Taiwan 2025的半導體資安趨勢高峰論壇上，舉辦了SEMI E187認驗證制度啟動儀式，由數位發展部數位產業署署長林俊秀與SEMI全球行銷長暨臺灣區總裁曹世綸，代表雙方簽署合作備忘錄，共同宣示半導體產業資安認驗證制度的推動，已邁出關鍵一步，將為半導體供應鏈韌性強化與接軌國際奠定基礎。</p> <p><a href="https://www.ithome.com.tw/news/171182"><strong style="font-size: 22px;">微軟警告Windows 10將在一個月後終止技術支援</strong></a></p> <p>微軟上周發出通知，提醒Windows 10企業及消費者版本將在30日後，即2025年10月14日來到技術支援終點。</p> <p>將在下個月14日失去技術支援的版本包括：Windows 10 22H2 Home、Pro、Enterprise、Education、IoT Enterprise版本，以及Windows 10 2015 LTSB及Windows 10 IoT Enterprise LTSB 2015。10月份的每月安全更新（Patch Tuesday）將是這些版本接收的最後一次更新。此後，所有執行這些作業系統的裝置，都不會再獲得包含最新威脅防護的安全更新以及預覽版更新。</p> <p>由於Windows 10用戶市占仍然相當大，微軟去年首度對消費者PC公布付費延伸安全更新（Extended Security Update，ESU）。之前微軟僅對企業用戶提供ESU。今年6月微軟更進一步新增2種ESU方案，一是以Microsoft Rewards 1000點兌換ESU。二是使用Windows Backup功能將Windows設定同步到雲端，使用二種方法皆可不需支付其他費用換取ESU。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171199"><strong>【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171149"><strong>【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171140"><strong>【9月11日】微軟修補近滿分資安漏洞</strong></a></p> </div></div></div>
2025/9/16 14:40作者周峻佑https://www.ithome.com.tw/news/171216
蘋果AI全面升級，Apple Intelligence統一部署於五大平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/tw/newsroom/2025/09/new-versions-of-apples-software-platforms-are-now-available/" target="_blank">蘋果周一（9/15）同步更新了iOS、iPadOS、macOS、watchOS、tvOS與visionOS等作業系統</a>，首次在所有平臺上採用一致性的Liquid Glass介面設計，<a href="https://www.apple.com/tw/newsroom/2025/09/new-apple-intelligence-features-are-available-today/" target="_blank">也全面整合了最新的Apple Intelligence智慧功能</a>，大多數簡單的AI任務可直接於裝置上完成，複雜請求則透過Private Cloud Compute私有雲處理，強調隱私優先。</p> <p>其中，Liquid Glass為蘋果新的介面設計，具備半透明效果，可反射與折射周遭環境，還能動態轉換，以更清楚的方式呈現內容，被應用在蘋果與第三方程式的控制選項、導航、App圖示及小工具上。新設計已部署於iOS、iPadOS、macOS、watchOS及tvOS等除了visionOS之外的平臺。</p> <p>Apple Intelligence則被整合在除了tvOS以外的其它平臺。其核心功能包括即時翻譯（Live Translation）、影像智慧（Visual Intelligence)、Genmoji及影像樂園（Image Playground）、健身工具Workout Buddy，以及智慧捷徑（Shortcuts）等，而且將新增對繁體中文的支援。</p> <p>Apple Intelligence原本支援英、法、德、義大利、葡萄牙、西班牙、日、韓及簡體中文等語言，這次宣布將在年底前新增對丹麥、荷蘭、挪威、瑞典、土耳其、越南與繁體中文等新語言的支援。</p> <p>全新的即時翻譯功能是利用裝置上內建的LLM來分析語音與文字內容，可支援各種情境，包括電話交談、FaceTime、Messages或AirPods等。例如在Messages中，使用者輸入回覆時，該功能可自動將訊息翻譯成對方的語言並傳送；在FaceTime時，使用者可一邊聽見親友的聲音，並同步看到即時翻譯的文字；講電話的時候則會聽到即時翻譯的語音。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20intelligence%20translate.png" style="width: 550px;" /></p> <p>影像智慧則能理解螢幕內容，可用來搜尋相似圖片，詢問ChatGPT，摘要或翻譯文字，或是一鍵加入行事曆。Genmoji及影像樂園便是用來生成全新的表情符號或是風格化圖像。Workout Buddy可用來分析使用者的體能訓練資料及健身紀錄，同時根據心率、配速、距離、活動紀錄或個人健身里程碑等資料，於運動過程中提供個人化的語音激勵內容；不過，它初期只有英文。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20intelligence-%E5%BD%B1%E5%83%8F%E6%99%BA%E6%85%A7.png" style="width: 600px;" /></p> <p>Shortcuts則是用來把多個操作流程串成一鍵執行的流程腳本，支援iOS、iPadOS與macOS。例如製作一個「Hold That Thought」的捷徑，它會截圖螢幕，儲存剪貼簿內容，匯出未來一小時的行事曆，以及將上述整理成一個提醒事項，之後在使用者臨時被打擾時就能執行它，以便事後可立即接續。也能設計成尋找家中物品或打包行李的助手。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20intelligence-shortcuts.png" style="width: 600px;" /></p> <p>值得注意的是，蘋果開放第三方開發者存取Apple Intelligence在裝置上所使用的大型語言模型，以保護使用者隱私並降低開發者門檻。</p> <p>除了Apple Intelligence與Liquid Glass之外，各個平臺也有不同的改善，例如iOS 26提供了陌生來電過濾（Call Screening）功能，在使用者撥打客服電話時可以代為等候的Hold Assist，也於Apple Music新增了歌詞翻譯與發音功能；日記（Journal）功能登上了iPadOS 26；以及macOS Tahoe強化了與iPhone的整合。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/9/16 14:25作者陳曉莉https://www.ithome.com.tw/news/171213
Apple今年四度發出威脅通知，法國電腦緊急應變團隊籲受害者優先保全證據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國電腦緊急應變團隊（CERT-FR）<a href="https://cert.ssi.gouv.fr/cti/CERTFR-2025-CTI-010/">發布威脅與事件報告</a>，彙整Apple向特定高風險人士發出的威脅通知，並提醒收件者第一時間應保存證據，避免自行操作裝置，以利後續調查，報告指出，2025年已有4波通知，分別出現在3月5日、4月29日、6月25日及9月3日。</p> <p>目前清單僅限CERT-FR掌握的案例，並非完整統計，受攻擊目標多因職務或身分而受到關注的人士，包括記者、律師、維權人士、政治人物、政府高階官員及戰略產業決策者。</p> <p>根據CERT-FR說明，收到Apple威脅通知意味著至少有一臺綁定該iCloud帳號的裝置曾遭針對性攻擊，並可能已經受到影響。通知通常透過iMessage與電子郵件送達，寄件地址為<a href="mailto:[email protected]">[email protected]</a>或<a href="mailto:[email protected]">[email protected]</a>，用戶在登入iCloud時也會看到警示橫幅。從攻擊發生到收到通知可能相隔數月，時間長短依個案而異，CERT-FR提醒，使用者一旦接獲通知，務必立即採取正確步驟。</p> <p>CERT-FR同時強調，收到通知後的首要行動是聯繫權責單位，並妥善保留通知郵件與相關資訊。應避免自行重置、刪除應用程式、更新系統或重新開機，這些操作可能破壞數位鑑識所需的線索，導致調查受阻。對新聞、法律或公共事務領域人士而言，確保證據完整性尤其重要。</p> <p>攻擊技術方面，這些事件多利用零時差漏洞，甚至是零點擊攻擊手法，常見間諜軟體家族包括Pegasus、Predator、Graphite與Triangulation。由於這類軟體高度隱蔽且難以偵測，用戶在處理時需要仰賴專業支援。先聯繫權責單位並妥善保留通知郵件與相關資訊，完成必要的鑑識資料保存或取得專業指示後，再將系統更新至最新版本並啟用自動更新。</p> <p>對高風險族群而言，啟用<a href="https://support.apple.com/en-us/105120">封閉模式（Lockdown Mode）</a>可進一步縮減攻擊面，同時養成每日重新開機的習慣，有助降低部分惡意常駐程式的持續性。此外，將個人與工作用途區隔，最好採用不同裝置，可避免資訊混用帶來的額外風險。</p> <p>在組織層面，CERT-FR建議提供專用且受管控的工作裝置，並建立對威脅通知郵件的辨識與應對流程，特別關注上述兩個Apple官方寄件地址。針對高敏感性會議，必要時應要求與會者將電子裝置留置會議室外，日常操作仍應遵循資訊安全基本原則，不開啟來源不明的連結或附件，使用強而獨特的裝置密碼，開啟雙因素驗證，並避免安裝來源不明的應用程式。</p> </div></div></div>
2025/9/16 15:10作者李建興https://www.ithome.com.tw/news/171214
OpenAI公布ChatGPT使用調查：女性用戶過半，七成與工作無關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/how-people-are-using-chatgpt/" target="_blank">哈佛大學經濟學家David Deming與OpenAI經濟研究團隊周一（9/15）發布《How People Use ChatGPT》研究</a>，調查ChatGPT免費與付費消費者帳號的使用行為，發現消費者主要用它來寫作，占了40%，其次是指引的29%，而撰寫程式只占了4.2%。此外，ChatGPT上線近3年來，性別差距幾近消失，估計有52%的用戶為女性。<a href="https://www.nber.org/system/files/working_papers/w34255/w34255.pdf" target="_blank">該報告已以美國國家經濟研究局（NBER）工作論文的形式發表</a>。</p> <p>截至今年7月，ChatGPT的每周活躍用戶已超過7億人，約占全球成年人口的10%，每日訊息量超過26億則。此一調查分析了2024年5月至2025年7月間，來自ChatGPT免費及付費消費者帳號的逾110萬筆對話，目的在於釐清ChatGPT的實際使用方式及使用者輪廓。</p> <p>調查發現使用者主要利用ChatGPT來寫作，包括寫信、翻譯或摘要等，占了40%；居次的是實用指引，包括教學、如何執行或是協助創意發想等，占了29%；還有24%以ChatGPT來查詢人物、時事、產品或食譜。</p> <p>若依消費者的使用意圖，有49%是用來詢問以支援資訊蒐集或決策，40%被歸類為實作，請AI直接產出結果，還有11%是單純想向AI表達想法或情緒。</p> <p>在這期間非工作用途的占比從53%成長至73%；女性用戶從37%增加到52%；46%的訊息來自18~25歲族群；中低收入國家成長最快。</p> </div></div></div>
2025/9/16 15:19作者陳曉莉https://www.ithome.com.tw/news/171221
GPT-5-Codex出爐，變身為更完整的開發代理系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-upgrades-to-codex/" target="_blank">OpenAI於9月15日發表了GPT-5-Codex</a>，它是基於GPT-5的程式開發工具Codex的最新版本。這一代的Codex已經強化了環境整合與持續脈絡追蹤能力，並具備較強的代理人行為，被視為從單純模型向具備代理功能系統（agentic system）的一大轉變，OpenAI稱它是「更可靠的隊友」。</p> <p>GPT-5-Codex的重大升級之一是強化了環境整合能力：它現在能在命令列介面（CLI）、整合開發環境（IDE）、雲端／網頁端、GitHub、甚至ChatGPT app等地方使用，且工作進度與專案脈絡可以在這些環境中無縫保留。</p> <p>具體而言，開發者可以先在CLI啟動一個重構任務，之後轉到VS Code或IDE擴充功能中預覽或修改，再切換到雲端／網頁版本進行較複雜的結構調整，整個過程中GPT-5-Codex能維持對專案狀態與文件內容的理解。</p> <p>GPT-5-Codex也能在不同環境中理解並利用特有的脈絡資訊。例如，在IDE中，它會參考開啟的檔案與被選取的程式碼片段；在雲端環境中，能掃描專案結構，了解依賴關係，執行測試，並在程式庫中尋找錯誤。</p> <p>此外，GPT-5-Codex表現出較強的主動執行與監控開發任務能力。當任務簡單時，它回應快速；當任務複雜、重構範圍大或涉及多文件時，它會投入更多思考。在測試中，有超過七小時連續自主工作、修正測試失敗、最終成功交付實作的案例。</p> <p>GPT-5-Codex在程式碼庫上也能主動瀏覽、分析相依性、執行測試來驗證程式碼正確性，並在發現潛在問題時提供具體修改建議。</p> <p>在性能與準確度的量化比較上，GPT-5-Codex的重構任務準確率為51.3%，高於GPT-5的33.9%；其用來評估真實軟體開發任務的SWE-bench Verified成績為74.5%，高過GPT-5的72.8%；在簡單任務上，GPT-5-Codex使用的Token比GPT-5少了93.7%，而在最複雜的任務上，GPT-5-Codex思考的時間則是GPT-5的兩倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-GPT%E2%80%915-Codex-benchmark.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> </div></div></div>
2025/9/16 11:49作者陳曉莉https://www.ithome.com.tw/news/171209
VS Code Python與Pylance擴充9月更新，著重AI摘要與環境管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在VS Code<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-september-2025-release/">釋出</a>最新的Python、Pylance與Jupyter擴充套件9月更新，主軸在於程式碼理解與環境管理。這波更新透過人工智慧摘要、程式碼片段執行工具與Python Environments功能，嘗試改善開發者在日常編輯與測試中的體驗。</p> <p>在Pylance擴充套件預覽版中，開發者可透過GitHub Copilot啟用相關設定，在游標懸停在未撰寫說明的程式元素（Symbol）時，自動取得人工智慧生成的摘要。該實驗性功能目前僅提供給GitHub Copilot Pro、Pro+與Enterprise用戶，目標是降低開發者進入陌生專案時的理解門檻，微軟也預告將來會推送至穩定版本。</p> <p>另一項Pylance新功能人工智慧工具是Run Code Snippets，讓Copilot可以直接在記憶體中執行Python程式碼片段，無需建立暫存檔或依賴python -c命令，其會自動使用工作區配置的直譯器，並讓標準輸出（stdout）與錯誤輸出（stderr）照著實際發生的順序顯示，適合在VS Code Chat或代理模式下測試小段程式碼、匯入模組或驗證表達式，藉此縮短開發者從嘗試到驗證的迴圈。</p> <p>在新版Python擴充套件部分， Environments功能進一步提升相容性與診斷能力，開發者可於設定檔啟用該擴充功能。這次調整重點包括改善Conda環境啟用與記錄行為，並修正複製直譯器路徑會返回conda run包裝命令的問題，現在能正確指向實際的Python執行檔。同時，擴充已能偵測並列出Pipenv環境，讓多種環境工具能在統一的介面下管理，減少跨專案切換時的摩擦。</p> <p>針對疑難排解，Python擴充新增一個在終端執行的環境診斷指令，讓開發者能手動觸發後端偵測作業，並觀察輸出與日誌，用來快速找出缺少可執行檔或預設環境失效等問題。此外，日常的環境刷新、直譯器路徑解析與.env檔案注入邏輯也經過調整，提升透明度與可控性。</p> <p>至於Jupyter擴充套件，本次僅同步版本更新，未有新的主要功能。</p> </div></div></div>
2025/9/16 12:10作者李建興https://www.ithome.com.tw/news/171208
Exchange Server 2016/2019、Office 2016/2019也要在10/14終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在2025年10月14日終止支援的不只有Windows 10，用戶眾多的Exchange Server 2016/2019和Office 2016/2019也會在隔天後無法再獲得安全更新。</p> <p><a href="https://learn.microsoft.com/en-us/lifecycle/end-of-support/end-of-support-2025#products-reaching-end-of-support" target="_blank">微軟於周末發布提醒</a>，Exchange Server 2016和2019將一個月後的10月14日來到支援生命周期終點。如同在Windows 10的更新提醒所說，微軟再次警告，隔日起不會再獲得功能與品質更新、安全更新、時區更新。</p> <p>微軟說屆時二項產品雖然還能繼續運作，但可能面臨安全風險，強烈建議用戶及早轉移到Exchange Online/Microsoft 365，或升級到Exchange Server Subscription Edition（SE）。Exchange Server 2019可以就地升級到Exchange Server SE，但Server 2016則必須循side-by-side更新，新建一個或多個搭載Exchange SE的伺服器（可以是新的硬體或新的作業系統），即先架Exchange Server SE伺服器，再將現有的Exchange Server郵箱或其他資源轉移過去。</p> <p><a href="https://support.microsoft.com/en-us/office/end-of-support-for-office-2016-and-office-2019-818c68bc-d5e5-47e5-b52f-ddf636cf8e16#id0ebbd=office_2016_or_office_2019_at_work_or_school" target="_blank">微軟網頁說明</a>，Office 2016/2019用戶也得要採取行動。Office 2016和Office 2019分別在2020年10月13日及2023年10月10日終止主流支援，迄今微軟都是以延伸更新型態提供安全及功能修補程式。微軟說，10月14日隔天起二個Office版都不會再提供延長更新了。</p> <p>針對家用版用戶，微軟建議升級到最新版（如Office 2021及2024），或改用Microsoft 365。而企業或教育版用戶，微軟則建議IT管理員為用戶端升級到更新版本。</p> <p><a href="https://learn.microsoft.com/en-us/lifecycle/end-of-support/end-of-support-2025#products-reaching-end-of-support" target="_blank">根據微軟網頁</a>，其他在同一天來到支援終點的還有Skype for Business 2016/2019、Visio 2016/2019、Windows Server 2012/2012 R2 ESU第二年等。</p> </div></div></div>
2025/9/16 10:35作者林妍溱https://www.ithome.com.tw/news/171206
Gucci、YSL、Balenciaga母公司證實遭駭 ShinyHunters宣稱犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有Gucci、Balenciaga、YSL等精品品牌的法國零售業巨人Kering證實遭駭，犯案者可能是前科累累的ShinyHunters。</p> <p><a href="https://www.bbc.com/news/articles/crl5j8ld615o" target="_blank">BBC首先報導</a>ShinyHunters日前在駭客論壇宣稱駭入Kering，並竊得740萬筆電子郵件。</p> <p>Kering向媒體證實遭駭導致資料外洩。業者在6月間發現系統遭未經授權的第三方人士短暫存取，並存取了部份業務單位的客戶資料，外流的資料包含姓名、電子郵件、電話及住家地址。</p> <p>但這家法國精品業者說，沒有信用卡、銀行帳號、身份證等財務資訊被竊。Kering也未說明外洩資料的數量，資料新舊，或是攻擊事件是否為勒索軟體或是用戶憑證外洩所致。</p> <p>媒體從駭客手上取得作為樣本的部份外洩資料，包括交易明細，證實資料可能為真。</p> <p>ShinyHunters宣稱4月間經由Kering系統駭入旗下品牌。據說駭客6月間與受害企業連繫贖款事宜。但Kering否認和歹徒有過交涉。</p> <p>Kering是最新發生資料外洩的知名精品品牌。半年來已經有<a href="https://www.ithome.com.tw/news/169348" target="_blank">Cartier</a>、<a href="https://www.ithome.com.tw/news/170260" target="_blank">Christian Dior Couture</a>、<a href="https://www.ithome.com.tw/news/170438" target="_blank">Pandora</a>、<a href="https://www.ithome.com.tw/news/170431" target="_blank">Chanel</a>等，以及<a href="https://www.ithome.com.tw/news/170548" target="_blank">Google</a>、<a href="https://www.ithome.com.tw/news/170439" target="_blank">思科</a>、<a href="https://www.ithome.com.tw/news/170589" target="_blank">安聯人壽</a>等遭駭，其中許多被認為是ShinyHunters的傑作。</p> <p>此外，這些知名企業資料外洩管道可能是用戶的CRM系統Salesforce或Salesloft Drift憑證外流，使駭客得以登堂入室存取客戶資料。Kering是否也是如此尚不得而知。</p> </div></div></div>
2025/9/16 09:44作者林妍溱https://www.ithome.com.tw/news/171203
DirectX將統一矩陣與向量運算，加速GPU AI工作負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/directx/shader-model-6-9-and-the-future-of-cooperative-vector/">宣布</a>Direct3D的<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/cooperative-vectors-demo.html">協同向量（Cooperative Vector）</a>功能將進行統一設計，把既有的向量乘矩陣能力，與即將加入的矩陣乘矩陣合併，讓著色器能更有效率地執行大型張量運算。</p> <p>該變化主要針對人工智慧與機器學習的計算需求，包括超解析度、語言模型推論與電腦視覺等情境，期望進一步提升GPU在圖形工作管線內處理這類工作負載的效率。</p> <p>現行的Cooperative Vector仍屬實驗性功能，主要在著色器中提供向量乘矩陣（Vector-Matrix）的線性代數能力，讓開發者能以較輕量的方式在GPU上處理基礎AI/ML運算，其介面與語意已可支援在計算著色器內進行這類運算，但適用範圍仍以中小型資料為主。</p> <p>之所以微軟要推動統一設計，是因為AI/ML的核心計算多依賴大規模矩陣乘法（Matrix-Matrix），僅靠向量乘矩陣難以擴展到更大的工作負載，容易在平行度與記憶體存取上遇到瓶頸。新的統一設計將把矩陣乘矩陣納入，並與既有的向量乘矩陣合併為單一設計，讓計算著色器能以更大的資料區塊與更一致的資料版面配置執行張量與線性代數運算，同時有利於編譯器與驅動在DXIL層做一致的最佳化。</p> <p>這項統一設計不會隨Shader Model 6.9一起推出，而是規畫在後續的Shader Model中實現，微軟強調，功能開發已轉移到新的統一規格提案，舊版的Cooperative Vector規格將標註為待棄用。在此之前，開發者仍可持續試用現行的實驗性功能並回饋意見，等到正式版本釋出時，微軟也會提供搬遷指南，協助既有程式碼過渡。</p> <p>另一方面，Shader Model 6.9的其他更新則已確定時程，計畫於2026年第一季提供零售版本，更新內容包含Opacity Micromaps、Shader Execution Reordering、Native與Long Vectors，以及16-bit浮點數的特殊狀態支援，這些功能已陸續公布技術細節，並透過預覽資源提供給引擎與工具鏈，方便開發者進行測試與相容性驗證。</p> </div></div></div>
2025/9/16 08:24作者李建興https://www.ithome.com.tw/news/171202
Kotlin 2.2.20強化WebAssembly例外處理與瀏覽器除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kotlin開發團隊發布<a href="https://kotlinlang.org/docs/whatsnew2220.html#support-for-debugging-in-browsers-without-configuration">2.2.20版本</a>，本次更新聚焦在Web開發體驗，Kotlin/Wasm正式邁入Beta測試階段，並在例外處理與瀏覽器除錯上帶來明顯改進。對於需要在JavaScript與WebAssembly之間跨界協作的開發者而言，這些改動有助於提升程式行為的可預測性與除錯效率，降低維護負擔。</p> <p>過去JavaScript拋出的錯誤在傳入Kotlin/Wasm時，往往因資訊缺失而難以分析，反向傳遞時也可能被包裝成不透明的WebAssembly例外，而這個問題在新版獲得改善，JavaScript錯誤能在Kotlin端更完整呈現，而Kotlin例外則能在JavaScript端以一般錯誤捕捉，不再丟失細節。這項改善相依於WebAssembly.JSTag，目前已由Chrome 115、Firefox 129與Safari 18.4等以上版本瀏覽器支援，確保在新版本環境中能直接受益，而舊版瀏覽器則維持既有相容性。</p> <p>瀏覽器除錯流程也獲得簡化，之前要在瀏覽器中追蹤Kotlin/Wasm程式碼，開發者必須在Gradle的Webpack開發伺服器設定中額外提供原始碼路徑，步驟繁瑣。不過，從Kotlin 2.2.20開始，執行*DevRun這類任務時，Gradle外掛會自動將原始碼送到瀏覽器，讓開發者能直接設定斷點、檢視變數並逐步執行程式，官方同時提醒，此功能僅適合本地開發環境使用，以避免原始碼在非預期情境下被公開。</p> <p>新版本還調整了Kotlin/Wasm的NPM相依項目管理方式，Kotlin工具鏈相依與專案自有相依分開配置，專案內的鎖定檔僅記錄實際使用的套件，而這使得專案版本控制更乾淨，減少因工具鏈更新導致的無關變動，對團隊協作與CI流程而言，能更清楚分辨工具更新與專案變更，避免不必要的檔案衝突。</p> <p>在程式碼架構上，使用預設階層樣板（Default Hierarchy Template）時，Kotlin 2.2.20新增了預設的webMain與webTest程式碼共享區，專門讓JavaScript與WebAssembly目標可以共用同一份程式碼。</p> <p>以往要同時支援這兩個平臺，開發者必須在兩邊各寫一次相似的程式碼，或自行建立額外設定，維護成本高，但現在只要把共用邏輯放進webMain或webTest，就能同時被JavaScript與WebAssembly使用。對於需要同時支援不同瀏覽器，或開發跨平臺Web應用的人來說，這不僅能減少重複撰寫，專案結構也會更一致容易維護。</p> </div></div></div>
2025/9/16 08:16作者李建興https://www.ithome.com.tw/news/171198
最大L7 DDoS殭屍網路動員，576萬IP攻擊政府機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Qrator Labs在9月1日，偵測並成功緩解一場目前觀測到<a href="https://qrator.net/blog/details/massive-l7-ddos-botnet-expands-to-576m-devices-qra">最大規模應用層L7 DDoS攻擊，</a>目標為政府機構，參與來源累計達576萬個IP。這場攻擊採兩階段調度，先投入約280萬個IP，約1小時後再增加約300萬個IP，顯示其指揮與擴編能力成熟，能在短時間內提升壓力與覆蓋面。</p> <p>這支殭屍網路在半年3度出手且持續擴張，受害面向由線上服務延伸至政府領域。研究人員指出，今年3月26日，殭屍網路首次現形，鎖定線上博弈業者，當時約有133萬個IP參與，5月16日，再度攻擊政府部門，規模已擴至約460萬個IP，9月1日第3次針對政府部門行動，這次累計動員576萬個唯一 IP。</p> <p>9月這場應用層L7 DDoS攻擊的地理分布，惡意IP主要集中在巴西、越南、美國、印度與阿根廷。與前兩次相比，越南與印度的參與IP數成長幅度明顯，分別增加83％與202％，顯示該殭屍網路在不同區域的滲透速度不一，且可能同時動員住宅網路、資料中心與開放代理等多類型節點。</p> <p>L7攻擊的破壞力並非以Tbps或封包數衡量，而是以每秒請求數與應用端資源消耗為主，當大量請求模仿真實使用者路徑並跨多個URI時，常見的快取與固定規則WAF容易失去效果，瓶頸會落在前端連線維持、TLS終結、應用執行緒與資料庫連線池。</p> <p>Qrator Labs技術長Andrey Leskin表示，這類殭屍網路在未受保護或保護薄弱的環境中，能在短時間內產生每秒數千萬次請求，使伺服器於數分鐘內喪失可用性，也非所有供應商都有能力承受同時面向多客戶的大規模L7洪水攻擊。</p> <p>這類應用層請求洪水只是DDoS攻擊的一種型態，近期在網路層同樣出現極端案例，9月初Cloudflare也曾<a href="https://www.ithome.com.tw/news/171004">公開</a>自動攔截了一場高達11.5 Tbps的UDP洪水攻擊，封包速率一度達到5.1 Bpps。與L7攻擊相比，這類L3/L4層頻寬型洪水並非模仿真實使用者行為，而是透過龐大的流量量級壓垮網路與設備。</p> </div></div></div>
2025/9/16 08:20作者李建興https://www.ithome.com.tw/news/171200
國際半導體展資安合作再升級，SEMI E187認驗證制度正式啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由<a href="https://www.ithome.com.tw/news/148631">臺灣主導的半導體設備資安標準SEMI E187，自2022年正式發布</a>後，該標準的落地與推廣進展持續受關注，繼兩年前完成SEMI E187檢核清單制定，推動合格性驗證（VoC），如今該標準在認驗證制度建立上，有了更進一步的拓展。</p> <p>在今年SEMICON Taiwan 2025的半導體資安趨勢高峰論壇上，舉辦了SEMI E187認驗證制度啟動儀式，由數位發展部數位產業署長林俊秀與SEMI全球行銷長暨臺灣區總裁曹世綸，代表雙方簽署合作備忘錄，共同宣示半導體產業資安認驗證制度的推動，已邁出關鍵一步，將為半導體供應鏈韌性強化與接軌國際奠定基礎。</p> <h3><strong>已有11家設備商通過VoC合格性驗證，預計年底正式建立SEMI E187認證制度</strong></h3> <p>在這場SEMI E187認證啟動儀式上，曹世綸強調，這項標準不僅是國家級的重大成就，更彰顯了產業界主動引領全球資安規範的強烈決心。他指出，隨著本次認證機制的正式啟動，SEMI已成功將願景轉化為具體行動，確保半導體供應鏈中的所有利害關係人，在落實設備資安措施時，都能與全球標準保持高度一致。</p> <p>SEMI資安委員會主席暨台積電企業資訊安全處長屠震也進一步指出，為加速推動SEMI E187在全球的普及與採用，引入第三方認證制度以建立產業互信，將是至關重要的一步。</p> <p>事實上，為了建立SEMI E187標準的認驗證制度，臺灣在兩年前已先展開實驗室合格性驗證（Verification of Conformity，VoC），這不僅提供了寶貴的實務經驗，並有實際成功案例作為基礎。</p> <p>根據數產署的資料顯示，他們已協助國內11家半導體設備業者通過VoC，除了我們<a href="https://www.ithome.com.tw/news/158627">先前報導</a>的2家業者均豪精密、東捷科技，這兩年來國內陸續還有9家業者導入，包括：志聖、台達集團、歐美科技、天虹科技、凱諾科技、晶彩科技、河洛半導體、威力工業，以及偉勝乾燥。這顯示更多臺灣半導體設備商在資安上的積極投入，也為 SEMI E187標準的全球推廣奠定基礎。</p> <p>在這次SEMI E187認證正式啟動後，代表認驗證制度正逐步邁入軌道。具體而言，之後將依循國際標準流程進行：由標準組織制定規範，再由全國認證基金會（TAF）負責認可合格的檢測與驗證機構，最後由認可實驗室來驗證產品，預計今年底會有成果。換言之，隨著認驗證制度的逐步建構與發展，未來，更可以幫助推動SEMI E187在全球產業鏈中廣泛應用。</p> <p>此外，現場多位專家與政府代表亦強調SEMI E187標準的價值與力量，在於它是由各方協調努力，共同推動整個半導體設備生態系的持續進化。更重要的是，這套標準提醒我們，必須從一開始就把安全納入設計，這將比問題發生後再修補更具成本效益。而且，隨著我國大力推動SEMI E187，也將帶動國內設備商加速導入國際資安標準、提升半導體設備產業競爭力，並強化臺灣半導體產業資安韌性。</p> <p>另一方面，在今年SEMICON Taiwan 2025的展覽攤位現場，我們注意到已有多家臺灣業者發展SEMI E187合規工具或服務。</p> <p>例如，從EDR與AI資安科技起家的奧義智慧科技，也跨足半導體資安領域，他們展示自家開發的E187合規檢測工具：今年4月由工研院Spin-off的一安智能（Janus），也在現場展示其E187認證服務方案；還有電源管理與散熱大廠台達（Delta），該公司在展示其多款半導體產業資安解決方案時，其服務內容也涵蓋E187資安評測與顧問服務。</p> </div></div></div>
2025/9/15 17:44作者羅正漢https://www.ithome.com.tw/news/171201
【資安日報】9月15日，美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩至三個月，駭客組織<a href="https://www.ithome.com.tw/tags/unc6040">UNC6040</a>（<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>）鎖定雲端CRM平臺<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>系統而來的攻擊行動不時傳出，近期更出現Salesloft Drift供應鏈攻擊，駭客組織<a href="https://www.ithome.com.tw/tags/unc6395">UNC6395</a>入侵Salesloft的GitHub帳號，從而竊得採用Drift整合元件的企業組織憑證（Token），從而入侵並竊取存放在Salesforce平臺的資料，這樣的現象也引起美國聯邦調查局機（FBI）警告，並呼籲企業組織要嚴加防範。</p> <p>另一個引起各界高度關注的消息，是近日三星為旗下安卓裝置修補零時差漏洞CVE-2025-21043，並表示已被用於實際攻擊行動。由於通報此事的Meta與WhatsApp資安團隊表示，他們是在調查一起高度針對性的攻擊事故發現漏洞，不禁讓人好奇，該漏洞是否如之前蘋果、Meta先前修補的零時差漏洞，被用於攻擊三星裝置的WhatsApp用戶。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171192"><strong style="font-size: 22px;">FBI針對UNC6040與UNC6395駭客組織活動提出警告，目標是從企業組織的Salesforce平臺竊取資料</strong></a></p> <p>美國聯邦調查局（FBI）指出，駭客組織UNC6040與UNC6395近期針對企業的Salesforce平臺發動攻擊，透過語音社交工程與遭竊的OAuth權杖取得存取，進一步大規模竊取資料，部分受害者還接到電子郵件勒索。</p> <p>FBI指出，UNC6040自2024年10月以來持續活躍，手法以語音釣魚為主，攻擊者會假冒IT人員致電客服中心，要求員工配合操作或交付登入資訊。一旦取得初始憑證，就會引導受害者在Salesforce的管理介面核准惡意連接應用程式，這些應用多半偽裝成合法的工具，例如修改版的Salesforce Data Loader，實際上在取得OAuth權杖後可直接透過API批次匯出大量資料。由於授權流程來自平臺本身，攻擊活動往往能規避多因素驗證、密碼重設與登入稽核等控管機制，使外洩行為更難被察覺。</p> <p>UNC6395則是在2025年8月被觀測到利用Salesloft的Drift應用遭竊的OAuth權杖，結合第三方整合功能進入企業的Salesforce環境並竊取資料。雖然這個途徑在8月20日已由Salesloft與Salesforce共同撤銷權杖而遭封鎖，但事件也凸顯了第三方整合帶來的潛在風險。FBI強調，即便攻擊鏈已中斷，仍有必要檢查是否存在殘留或不必要的權杖，以防止後續遭濫用。</p> <p><a href="https://www.ithome.com.tw/news/171152"><strong style="font-size: 22px;">巴拿馬財政部遭INC Ransom勒索軟體攻擊，駭客聲稱竊走1.5 TB資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/panama-mef-tor-incransom.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/panama-mef-tor-incransom.jpg" style="width: 300px; float: right;" /></a></p> <p>巴拿馬經濟暨財政部（MEF）近日透露，內部電腦發生惡意程式入侵事故。根據媒體報導，禍首是INC Ransom勒索軟體。</p> <p>MEF在一臺工作站發現疑為惡意軟體的活動，當時已依照既定的安全政策，立即啟動相關措施，並在整個資訊系統加強預防手段以遏止該次事件。巴拿馬政府強調，沒有任何核心系統與平臺受到影響，皆維持正常運作。</p> <p>根據資安新聞網站Bleeping Computer報導，勒索軟體組織INC Ransom在暗網論壇宣稱成功入侵MEF，並竊走1.5 TB內部資料，包括電子郵件、財務文件、預算明細等等。為取信買家，這群駭客還公布部分資料作為證明。</p> <p><a href="https://www.ithome.com.tw/news/171181"><strong style="font-size: 22px;">針對曝露的Docker API，駭客透過Tor網路發動新一波行動，疑綁架用於殭屍網路</strong></a></p> <p>今年6月資安業者趨勢科技揭露針對組態配置不當的Docker API挖礦的大規模攻擊行動，駭客將作案工具存放於架設在洋蔥網路（Tor Network）的伺服器，意圖隱匿相關活動，如今有新的發現，指出相關攻擊的威脅加劇。</p> <p>資安業者Akamai今年8月在本身設置的蜜罐陷阱基礎設施，發現新一波的攻擊行動，雖然駭客同樣針對曝露在網際網路，且具備弱點而有機會被感染的Docker API而來，但這次使用的初始存取管道有所不同，而且，攻擊者還讓其他人無法透過網際網路存取受害的Docker API。值得留意的是，這波攻擊行動的惡意程式也相當特殊，因為攻擊者並未植入挖礦軟體，而是部署其他工具，疑似打算充當殭屍網路的基礎設施。</p> <p>特別的是，其中一個檔案是使用Go語言打造的惡意程式部署工具，執行過程竟出現Emoji表情符號，Akamai推測，可能是因為攻擊者借助大型語言模型（LLM）撰寫程式碼，目前許多LLM生成程式碼時經常會出現表情符號，有人認為是操作者刻意用表情符號，意圖繞過系統的輸入檢查，也有人認為是LLM訓練時學到這種風格，而在操作者會強制禁用的狀況下，產生帶有表情符號的程式碼內容。</p> <p><a href="https://www.ithome.com.tw/news/171177"><strong style="font-size: 22px;">1.1萬臺物聯網裝置、路由器遭綁架，發動每秒15億個封包的DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Detected-and-mitigated-DDoS-attack-traffic-FastNetMon-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Detected-and-mitigated-DDoS-attack-traffic-FastNetMon-1.jpg" style="width: 300px; float: right;" /></a></p> <p>9月初資安業者Cloudflare揭露峰值達到11.5 Tbps的DDoS攻擊，封包速率最高達5.1 Bpps，持續約35秒，一開始認為攻擊流量來自Google雲端，後續確認同時來自物聯網裝置及多家雲端服務供應商，如今有其他資安業者發現新一波攻擊行動，但這次主要是針對緩解相關攻擊的服務業者而來。</p> <p>英國資安業者FastNetMon於9月9日指出，他們發現專門針對西歐一家DDoS流量清洗服務業者的DDoS攻擊，封包的速率每秒達到15億個（1.5 Gpps或1.5 Bpps），惡意流量主要是UDP洪水攻擊，由全球1.1萬臺物聯網裝置及路由器等用戶端設備（Customer-Premises Equipment，CPE）產生。由於這起事故發生在Cloudflare揭露的事故數天之後，代表攻擊者現在已經將攻擊流量和封包的規模，提升到另一個境界。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-hybridpetya-ransomware-can-bypass-uefi-secure-boot/">勒索軟體HybridPetya可繞過安全開機防護機制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-voidproxy-phishing-service-targets-microsoft-365-google-accounts/">網釣服務VoidProxy鎖定M365、Google帳號而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/whitecobra-floods-vscode-market-with-crypto-stealing-extensions/">駭客組織WhiteCobra鎖定VS Code、Cursor、Windsurf用戶而來，上架惡意套件意圖挖礦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apple-warns-customers-targeted-in-recent-spyware-attacks/">法國警告蘋果用戶成為一系列間諜軟體的攻擊目標</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171197"><strong style="font-size: 22px;">三星為安卓裝置修補已遭積極利用的零時差漏洞</strong></a></p> <p>8月下旬，蘋果修補已被用於實際攻擊的零時差漏洞CVE-2025-43300，後來Meta也為iOS及macOS版WhatsApp修補零時差漏洞CVE-2025-55177，並指出兩項漏洞已被串連，用於針對特定使用者發起複雜的攻擊行動，近期三星也修補Meta與WhatsApp聯手通報的零時差漏洞，並表示已有被用於攻擊的情況，而引起資安界高度關注。</p> <p>三星發布行動裝置9月例行更新SMR Sep-2025 Release 1，修補一系列的資安漏洞，其中最引起關注的部分，是重大層級的CVE-2025-21043，此漏洞出現在名為libimagecodec.quram.so的元件，為記憶體越界寫入漏洞，影響執行安卓13至16版的裝置，一旦攻擊者成功觸發，就有機會遠端執行任意程式碼，CVSS風險為8.8。三星發布修補程式，修正不正確的實作。值得留意的是，他們特別提到已接獲該弱點被實際利用的情形。</p> <p>針對這項漏洞，三星並未透露其他細節，然而由於這項漏洞由Meta及WhatsApp資安團隊於8月上旬通報，外界很難不與前述蘋果及WhatsApp修補的零時差漏洞聯想在一起，而被猜測可能是用來對三星裝置的WhatsApp用戶下手。對此，Meta發言人向媒體透露，這項漏洞的發現，源自於他們在夏季一場高度針對性攻擊極積調查的結果，並將相關發現與業界的合作夥伴分享，其中包含蘋果和三星。</p> <p><a href="https://www.ithome.com.tw/news/171194"><strong style="font-size: 22px;">Google修補Chrome 140重大漏洞</strong></a></p> <p>Google於9月9日發布電腦版、安卓版Chrome 140更新，修補兩項資安漏洞CVE-2025-10200、CVE-2025-10201，值得留意的是，CVE-2025-10200被評為重大漏洞，相當危險，用戶應儘速套用更新。</p> <p>這項重大層級漏洞出現在Serviceworker元件，為記憶體使用之後釋放再度利用（Use After Free）的弱點，由資安研究員Looben Yang於8月22日通報，美國網路安全暨基礎設施安全局（CISA）評估其CVSS風險值為8.8（滿分10分），Google頒發4.3萬美元獎勵給Looben Yang。</p> <p>而對於這項漏洞帶來的影響，攻擊者只要藉由特製的HTML網頁，就有機會從遠端導致Chrome出現記憶體中斷的現象，Google發布Windows版140.0.7339.127、140.0.7339.128，Linux版140.0.7339.127、macOS版140.0.7339.132、140.0.7339.133，以及安卓版140.0.7339.123，來修補這項漏洞。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/f5-calypsoai-advanced-ai-security-capabilities">F5買下AI資安業者CalypsoAI</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171149"><strong>【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171140"><strong>【9月11日】微軟修補近滿分資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171114"><strong>【9月10日】微軟、SAP、Adobe發布9月例行更新</strong></a></p> </div></div></div>
2025/9/15 17:00作者周峻佑https://www.ithome.com.tw/news/171199
Google修補Chrome 140重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於9月9日發布<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_9.html">電腦版</a>、<a href="https://chromereleases.googleblog.com/2025/09/chrome-for-android-update_9.html">安卓版</a>Chrome 140更新，修補兩項資安漏洞CVE-2025-10200、CVE-2025-10201，值得留意的是，CVE-2025-10200被評為重大漏洞，相當危險，用戶應儘速套用更新。</p> <p>這項重大層級漏洞出現在Serviceworker元件，為記憶體使用之後釋放再度利用（Use After Free）的弱點，由資安研究員Looben Yang於8月22日通報，美國網路安全暨基礎設施安全局（CISA）評估其<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-10200">CVSS風險值為8.8</a>（滿分10分），Google頒發4.3萬美元獎勵給Looben Yang。</p> <p>而對於這項漏洞帶來的影響，攻擊者只要藉由特製的HTML網頁，就有機會從遠端導致Chrome出現記憶體中斷的現象，Google發布Windows版140.0.7339.127、140.0.7339.128，Linux版140.0.7339.127、macOS版140.0.7339.132、140.0.7339.133，以及安卓版140.0.7339.123，來修補這項漏洞。</p> <p>本次Google也修補另一項高風險漏洞CVE-2025-10201，起因是Mojo元件不當實作產生，影響Linux、ChromeOS，以及安卓版的用戶。攻擊者同樣能藉由特製的HTML網頁觸發，從而繞過網站隔離機制。值得留意的是，雖然Google評估該漏洞為高風險層級，但CISA評估其風險值與重大漏洞CVE-2025-10200相同，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-10201">為8.8分</a>。</p> <p>在Google修補上述漏洞後，多家採用Chromium為基礎的瀏覽器也跟進。其中，最早處理漏洞的是<a href="https://brave.com/latest/">Brave</a>，他們在9月10日發布1.82.166版因應；9月12日，微軟發布140.0.3485.66版Edge更新，修補<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-10200">CVE-2025-10200</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-10201">CVE-2025-10201</a>；同日Vivaldi發布<a href="https://vivaldi.com/blog/desktop/minor-update-ten-7-5/">電腦版</a>、<a href="https://vivaldi.com/blog/android/minor-update7-android-7-5/">安卓版</a>更新，修補CVE-2025-10200。</p> <p><a href="https://s4.itho.me/sites/default/files/images/yepmP3FXns.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/yepmP3FXns.jpg" style="width: 580px;" /></a></p> </div></div></div>
2025/9/15 15:34作者周峻佑https://www.ithome.com.tw/news/171194
三星為安卓裝置修補已遭積極利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月下旬，蘋果修補已被用於實際攻擊的零時差漏洞<a href="https://www.ithome.com.tw/news/170738">CVE-2025-43300</a>，後來Meta也為iOS及macOS版WhatsApp修補零時差漏洞<a href="https://www.ithome.com.tw/news/170921">CVE-2025-55177</a>，並指出兩項漏洞已被串連，用於針對特定使用者發起複雜的攻擊行動，近期三星也修補Meta與WhatsApp聯手通報的零時差漏洞，並表示已有被用於攻擊的情況，而引起資安界高度關注。</p> <p>三星發布行動裝置<a href="https://security.samsungmobile.com/securityUpdate.smsb?year=2025&month=09">9月例行更新</a>SMR Sep-2025 Release 1，修補一系列的資安漏洞，其中最引起關注的部分，是重大層級的CVE-2025-21043，此漏洞出現在名為libimagecodec.quram.so的元件，為記憶體越界寫入漏洞，影響執行安卓13至16版的裝置，一旦攻擊者成功觸發，就有機會遠端執行任意程式碼，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-21043">CVSS風險為8.8</a>。三星發布修補程式，修正不正確的實作。值得留意的是，他們特別提到已接獲該弱點被實際利用的情形。</p> <p>針對這項漏洞，三星並未透露其他細節，然而由於這項漏洞由Meta及WhatsApp資安團隊於8月上旬通報，外界很難不與前述蘋果及WhatsApp修補的零時差漏洞聯想在一起，而被猜測可能是用來對三星裝置的WhatsApp用戶下手。對此，<a href="https://www.bleepingcomputer.com/news/security/samsung-patches-actively-exploited-zero-day-reported-by-whatsapp/">Meta發言人向媒體透露</a>，這項漏洞的發現，源自於他們在夏季一場高度針對性攻擊極積調查的結果，並將相關發現與業界的合作夥伴分享，其中包含蘋果和三星。</p> <p>雖然這樣的說法，很可能代表攻擊者同時針對蘋果和三星的裝置而來，但是否有其他廠牌的裝置受害，以及CVE-2025-21043是否也影響其他安卓裝置，目前仍不得而知。</p> </div></div></div>
2025/9/15 16:38作者周峻佑https://www.ithome.com.tw/news/171197