iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 129篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 19:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 129 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安週報】0915~0919，中國駭客組織CamoFei鎖定郵件伺服器系統Roundcube漏洞攻擊，臺灣有教育機構…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年9月第三星期的資安新聞中，中國駭客組織CamoFei的攻擊動向最受關注，主要利用郵件伺服器系統Roundcube在6月揭露的重大漏洞CVE-2025-49113入侵多國政府機構，臺灣資安業者TeamT5杜浦數位安全最近揭露，國內教育機構也是受害者，並指出攻擊者入侵後，部署名為Godzilla的後門程式，以及RAT木馬Pupy。</p> <p>在資安事故方面，臺灣有兩起資安事故浮上檯面，國際間則有政府與醫療業的重大消息引發關注，我們整理如下：</p> <p>●上市公司致茂發布資安重訊，說明資訊系統遭受駭客網路攻擊，我們在網路上發現多個勒索軟體威脅情報網站的資訊，指出Warlock聲稱是他們攻擊致茂。<br /> ●臺灣壽司郎傳個資外洩事故，有客戶在社群平臺指出收到他人點數到期通知，壽司郎Threads官方帳號在相關貼文下面回覆：經查為系統發信程序出現異常，技術團隊已緊急介入處理。<br /> ●巴拿馬財政部揭露遭遇網路攻擊事件，INC Ransom勒索軟體聲稱已竊取其1.5TB的資料。<br /> ●巴西醫療軟體供應商傳出遭駭，勒索軟體組織KillSec聲稱是他們所為，此事件並波及多家醫療機構。</p> <p>中國「防火長城」爆發史上最大資料外洩事件，也是震撼全世界的消息。近期獨立報告網站GFW Report發布了分析報告，指出外洩來源為積至與MESA實驗室，這些文件曝光了防火長城內部運作機制，也顯示其網路審查系統已能產品化，在洩漏的文件當中，提到積至的技術方案已整合到包括緬甸、巴基斯坦、衣索比亞、哈薩克等國家的電信系統與資料中心，顯示中國已將其網路審查技術成功對外輸出。</p> <p>在最新資安威脅態勢方面，有兩類威脅最需要注意，一是發起DDoS攻擊的殭屍網路規模更擴大，顯現駭客能在短時間內提升攻擊的規模與強度，另一是針對NPM開發者攻擊的活動不斷，近期更出現惡意套件能自行感染其他套件的手法，我們整理如下：</p> <p>●英國資安業者FastNetMon指出，偵測到一起大規模DDoS攻擊是針對西歐流量清洗服務商，駭客劫持了全球多達1.1萬個物聯網裝置及路由器。<br /> ●資安公司Qrator Labs示警，出現鎖定政府機構針對L7應用層的巨量DDoS攻擊，指出攻擊來源IP位址的數量高達576萬個。<br /> ●資安業者Socket揭露NPM套件的供應鏈攻擊Shai-Hulud，逾500個NPM套件被植入具大量散播能力的蠕蟲，特別的是，資安業者CrowdStrike發布NPM套件的帳號也受害。<br /> ●ETH Zurich與Google揭露記憶體攻擊新手法Phoenix，指出DDR5雖引進TRR的防護機制，但其取樣間隔過長，仍存在設計的盲點，駭客仍能藉此成功發動Rowhammer攻擊，該漏洞已登記為CVE-2025-6202。研究人員建議，不應只依賴記憶體廠商自訂的保護方案，而應採用如JEDEC提出的「Per Row Activation Counting」。此外，伺服器常見的Rank-level ECC雖能提高攻擊成本，但不足以完全阻擋Phoenix攻擊。</p> <p>關於前一兩個月，駭客大規模竊取企業Salesforce客戶資料，如今再有後續消息傳出，像是美國FBI也發出警報，公開這些攻擊活動的入侵指標（IoC），以協助企業比對與偵測潛在威脅，同時並針對兩大駭客組織威脅手法發出提醒：</p> <p>（一）在UNC6040（ShinyHunters）駭客組織的攻擊當中，目標是使用Salesforce的企業，手法是以語音釣魚（Vishing）方式，採假冒IT人員的技術支援詐騙並針對企業客服人員而來，設法誘騙企業員工Salesforce帳密與MFA，或誘使點擊惡意連結。<br /> （二）在UNC6395駭客組織的攻擊而言，目標是第三方供應商Salesloft，其入侵手法是利用遭竊的OAuth權杖，鎖定可與Salesforce整合的AI聊天機器人Salesloft Drift應用程式，藉此入侵受害者的Salesforce環境並竊取資料。</p> <p>相關事件是否對臺灣使用Salesforce的用戶造成影響？據了解，這波Vishing以英文為主，至於Salesloft Drift主要服務市場在美國，我們詢問Salesforce之後，得知臺灣並未有企業受到影響。</p> <p>此外，又傳出UNC6040攻擊的受害者，擁有Gucci等品牌的法國零售業巨人Kering證實遭駭，另也有Scattered Lapsus$ Hunters鎖定Google執法請求系統（LERS）帳號攻擊的狀況。不僅如此，還有ShinyHunters後續宣稱從Salesloft Drift事件竊得15億筆Salesforce資料的消息。</p> <p>在資安防護與產業動態方面，以國內而言，國際半導體展資安趨勢高峰論壇在9月12日登場，現場舉行了SEMI E187認驗證制度啟動儀式；資安院公布推動中小企業與NGO增進防禦的最新成果，包含引進UC Berkeley Cybersecurity Clinic課程課綱打造資安健檢團；縱觀國際社會，法國CERT-FR的示警值得關注，他們指出Apple近來時常針對其用戶發出的威脅通知，特別呼籲收到這項通知的用戶，第一時間應先保存證據，避免自行操作裝置，以利後續調查。</p> <p>資安產業對於AI的投入仍是焦點，這一星期有多起併購消息，包括F5宣布收購AI安全公司CalypsoAI，CrowdStrike宣布買下AI資安新創Pangea進軍AIDR領域，Check Point宣布收購AI資安新創Lakera，打算將其執行期防護技術整合到自家的Infinity架構，以及SecurityScorecard買下問卷自動化業者HyperComply。</p> <p>還有兩則消息躍上本星期熱門新聞，均與微軟作業系統與產品生命週期改朝換代有關。微軟最近再度提醒用戶注意下列產品的更新機制將改變，Windows 10、Exchange Server 2016/2019、Office 2016/2019將在一個月後10月14日終止支援，提醒用戶取得ESU延伸安全性更新或儘速升級。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171199"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</span></strong></a></h3> <p>最近兩至三個月，駭客組織<a href="https://www.ithome.com.tw/tags/unc6040">UNC6040</a>（<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>）鎖定雲端CRM平臺<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>系統而來的攻擊行動不時傳出，近期更出現Salesloft Drift供應鏈攻擊，駭客組織<a href="https://www.ithome.com.tw/tags/unc6395">UNC6395</a>入侵Salesloft的GitHub帳號，從而竊得採用Drift整合元件的企業組織憑證（Token），從而入侵並竊取存放在Salesforce平臺的資料，這樣的現象也引起美國聯邦調查局機（FBI）警告，並呼籲企業組織要嚴加防範。</p> <p>另一個引起各界高度關注的消息，是近日三星為旗下安卓裝置修補零時差漏洞CVE-2025-21043，並表示已被用於實際攻擊行動。由於通報此事的Meta與WhatsApp資安團隊表示，他們是在調查一起高度針對性的攻擊事故發現漏洞，不禁讓人好奇，該漏洞是否如之前蘋果、Meta先前修補的零時差漏洞，被用於攻擊三星裝置的WhatsApp用戶。</p> <p><a href="https://www.ithome.com.tw/news/171216"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月16日】ShinyHunters聲稱駭入擁有多個時尚品牌的公司</span></strong></a></p> <p>近半年精品業者遭遇網路攻擊導致資料外洩的情況頻傳，包括Cartier、迪奧（Christian Dior Couture）、Pandora、香奈兒（Chanel），其中部分傳出是駭客組織<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>（<a href="https://www.ithome.com.tw/tags/unc6040">UNC6040</a>）所為，如今又有精品業者受害，這次是旗下有Gucci、Balenciaga、YSL等品牌的Kering，但是否如同最近頻傳資安事故，攻擊者從該公司的<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>系統竊得資料，有待進一步釐清。</p> <p>昨天我們報導<a href="https://www.ithome.com.tw/news/171177">綁架1萬多臺物聯網裝置及路由器</a>的大規模DDoS攻擊行動，今天又有資安業者公布新的發現，他們看到綁架576萬臺裝置的大型DDoS殭屍網路，駭客半年內已策畫至少3次攻擊行動，特別的是，在最近一次攻擊當中，他們採取兩階段調度的做法，相當罕見。</p> <h3><a href="https://www.ithome.com.tw/news/171243"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月17日】中國駭客CamoFei利用Roundcube攻擊臺灣教育機構</span></strong></a></h3> <p>郵件伺服器<a href="https://www.ithome.com.tw/tags/roundcube">Roundcube</a>遭到鎖定的情況，過往駭客大多在歐洲地區犯案，其中俄羅斯駭客APT28利用相關漏洞從事攻擊行動，<a href="https://www.ithome.com.tw/news/168676">法國政府</a>、<a href="https://www.ithome.com.tw/news/168993">資安業者ESET</a>先後提出警告，但現在亞洲地區也出現相關事故，中國駭客CamoFei（ChamelGang）將其用於攻擊臺灣、巴基斯坦、緬甸，他們利用的漏洞，就是今年6月資安業者Fears Off揭露的CVE-2025-49113。</p> <p>在針對郵件伺服器Roundcube已知漏洞的攻擊行動揭露之外，今天有兩則新聞報導提到的攻擊過程裡，駭客都運用隱寫術（Steganography）手法，透過看似無害的圖檔挾帶惡意酬載，其中一起是運用網釣手法FileFix散布竊資軟體StealC，另一起則是大規模廣告詐欺攻擊行動SlopAds，駭客也運用這種手法於安卓裝置植入惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/171274"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月18日】逾500個NPM套件被植入具大量散播能力的蠕蟲</span></strong></a></h3> <p>鎖定軟體套件發布平臺NPM的供應鏈攻擊事故，8月底有開源建置工具Nx被植入惡意程式的情況，後續資安業者Wia發現有超過6,700個GitHub私人儲存庫遭到公開，如今又有大規模攻擊事故出現，揭露此事的資安業者Socket指出，駭客植入會自我散布的蠕蟲，並在2天內感染超過500個套件，而且，這波攻擊很可能還在延續。</p> <p>上週澳洲網路安全中心（ACSC）、資安業者Rapid7<a href="https://www.ithome.com.tw/news/171147">警告勒索軟體Akira針對SonicWall防火牆下手的情況加劇</a>，本週SonicWall對使用雲端組態備份機制MySonicWall的用戶表示，此服務出現資料外洩的情況，攻擊者有機會將相關組態用於對防火牆發動後續攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/171285"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月19日】多家資安業者紛紛宣布併購AI公司</span></strong></a></h3> <p>資安業者擁抱人工智慧已是大勢所趨，近期一連串的併購案更突顯這樣的現象。從上週F5買下元老級AI資安業者CalypsoAI開始，本週SecurityScorecard、CrowdStrike、Check Point也都宣布買下AI公司來增強旗下服務及解決方案的實體，其中，CrowdStrike與Check Point併購的業者都是針對AI領域的資安公司，而SecurityScorecard購買的HyperComply性質較為特別，是問卷自動化公司，目的是改善管控供應鏈風險的能力。</p> <p>這兩天Google修補Chrome 140資安漏洞的消息也相當值得留意，因為當中修補已遭利用的零時差漏洞CVE-2025-10585，接下來其他採用Chromium為基礎的瀏覽器應該很快就會跟進修補，近期用戶應留意更新資訊。</p> <p> </p> </div></div></div>
2025/9/22 10:57作者羅正漢https://www.ithome.com.tw/news/171322
保障美國就業機會，川普要求H-1B工作簽證申請必須隨附10萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/presidential-actions/2025/09/restriction-on-entry-of-certain-nonimmigrant-workers/" target="_blank">美國總統川普（Donald Trump）上周五（9/19）簽署一項公告</a>，限制特定H-1B外籍人士以非移民工作者身分進入美國，並規定H-1B新申請案必須隨附10萬美元。消息一出即引起產業的恐慌，特別是申請大量H-1B簽證的科技業者，Amazon及微軟等業者還警告那些持有H-1B簽證的員工留在美國，不要隨便出境。</p> <p>此一新政策是為了保護美國的就業機會。H-1B簽證是美國提供給外國專業人士的非移民工作簽證，主要針對需要「專門知識」的職位，如資訊科技、工程、醫療與金融等領域。由雇主向美國移民局提出申請，核准後員工可在美合法工作，初始有效期3年，可延長至最長6年，申請費用從數百到數千美元不等，而10萬美元則是川普對新申請案的額外要求。</p> <p>川普認為，美國工人正在被低薪的外國勞工所取代，對美國造成經濟與國安的威脅，持有H-1B的IT工作者比例已從2003年的32%增加至近年的65%以上；美國電腦科學及電腦工程應屆畢業生的失業率已分別達到6.1%及7.5%，但在2000年至2019年之間，來自國外的科學、科技、工程及數學（STEM）的就業者數量卻增加一倍多。</p> <p>此外，川普還發現，美國公司正在裁撤美國的技術員工，並以取得H-1B簽證的外國工作者取而代之。</p> <p><a href="https://www.uscis.gov/tools/reports-and-studies/h-1b-employer-data-hub?utm_source=chatgpt.com" target="_blank">根據美國國土安全部旗下公民與移民服務局</a>（United States Citizenship and Immigration Services，USCIS）的統計，2025年前六大申請H-1B簽證的業者全為科技業者，依序是Amazon（逾1萬筆）、Tata Consultancy Services（5,505）、微軟（5,189）、Meta（5,123）、蘋果（4,202）及Google（4,181）。</p> <p>新政策意謂著倘若科技業者未來每年都要申請1,000筆新的H-1B簽證，將多出1億美元的成本。</p> <p>白宮辦公室還列出許多未具名的例子來說明美國勞工正在被外國人力所取代，例如A公司在今年裁撤了1.6萬名美國員工，但聘請5,189名H-1B簽證人力，B公司今年7月裁撤2,400名美國員工，卻雇用了1,698名H-1B簽證人力，C公司今年2月裁員1,000名員工，但取得1,137個H-1B簽證。比對USCIS的資料可知道，A公司為微軟，B公司為英特爾，C公司為Salesforce。</p> <p>由於上周五的宣布並未明確解釋是哪種H-1B簽證會被限制入境，<a href="https://www.cnbc.com/2025/09/20/trump-h-1b-visa-tech-foreign-governments.html" target="_blank">根據CNBC的報導</a>，包括Amazon、微軟及摩根大通（JPMorgan Chase）都警告持有H-1B簽證的員工最好留在美國，或者儘快回到美國，以免陷入無法入境的窘境。</p> <p>該消息顯然造成周末的美國產業一陣慌張，使得<a href="https://x.com/presssec/status/1969495900478488745" target="_blank">白宮新聞秘書Karoline Leavitt周日（9/21）澄清</a>，10萬美元並非年費，而是一次性的申請費用；該規定只適用於新簽證，不適用於既有的簽證或是續簽簽證；因此H-1B簽證持有者可以像往常一樣離開或進入美國。</p> <p>除了提高企業申請H-1B簽證的成本之外，川普也要求美國勞工部部長修改（提高）目前H-1B計畫的薪資水平，並要國土安全部優先審理高技能與高薪資的H-1B簽證申請。</p> </div></div></div>
2025/9/22 13:01作者陳曉莉https://www.ithome.com.tw/news/171324
針對APT41攻擊與美中貿易談判有關的政府機關、智庫、學者，資安業者Proofpoint揭露相關細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月上旬傳出美國與中國對於關稅問題在斯德哥爾摩3度談判的前夕，中國駭客APT41（又稱Winnti、Earth Baku、Brass Typhoon）<a href="https://www.ithome.com.tw/news/171132">傳出假冒美國眾議員John Moolenaar寄送釣魚郵件</a>，給美國政府機關、律師事務所、與貿易有關的團體，佯稱要收信人對於制裁中國的草案提供意見，意圖藉此散布惡意軟體，最近有資安業者<a href="https://www.proofpoint.com/us/blog/threat-insight/going-underground-china-aligned-ta415-conducts-us-china-economic-relations">公布新的調查結果</a>。</p> <p>資安業者Proofpoint指出，這些駭客在今年7月至8月，利用美中經濟議題為誘餌，不斷針對美國政府、智庫、學術機構從事網路釣魚活動，他們偽裝成現任的美國眾議院美國與中國共產黨戰略競爭特設委員會（United States House Select Committee on Strategic Competition between the United States and the Chinese Communist Party）主席（即前述提及的John Moolenaar）犯案，攻擊的標的存在共通點，那就是關注美中關係、貿易、經濟政策的個人或組織。</p> <p>而對於APT41的攻擊手法，Proofpoint提及他們會濫用Visual Studio （VS Code）的遠端隧道（Remote Tunnel）功能，從而達到持續遠端存取受害電腦的能力；再者，駭客也濫用合法雲端服務，例如：Google Sheets、Google Calendar充當C2，但Proofpoint發現，駭客有時候也會利用VS Code遠端隧道來達到目的。</p> <p>APT41濫用VS Code遠端隧道的情況，至少可追溯到一年前。<a href="https://www.ithome.com.tw/news/170122">去年8月</a>，Proofpoint看到這些駭客的戰略、手法、流程（TTP）出現變化，其中一項就是開始運用上述VS Code功能，最終於受害電腦植入後門「<a href="http://www.ithome.com.tw/tags/voldemort">佛地魔</a>（Voldemort）」；9月他們調整了散布後門程式的感染鏈，使用名為WhirlCoil的Python惡意程式載入工具部署VS Code遠端隧道。</p> <p>到了今年7月開始，APT41發起新一波攻擊行動，這些釣魚信通常含有Zoho WorkDrive、Dropbox、OpenDrive等雲端檔案共用服務的URL，收信人若是點選，就會下載受到密碼保護的ZIP壓縮檔。此外，Proofpoint根據寄信者IP位址，發現這些信是透過VPN服務Cloudflare Warp傳送。</p> <p>這些壓縮檔內含Windows捷徑檔案（LNK），用途是執行隱藏資料夾當中的批次檔logon.bat，並將存放在OpenDrive的PDF檔案當作誘餌，顯示給收信人看。</p> <p>上述BAT檔案執行WhirlCoil，此惡意程式載入工具是Python指令碼，一旦執行，就會從微軟下載VSCode的命令列（Command Line Interface，CLI），接著使用Python功能檢查使用者是否具備管理員身分，並建立偽裝成Google或微軟服務的工作排程，使得WhirlCoil每2個小時都會執行一次。附帶一提的是，假若使用者具有管理員權限，此工作排程就會以SYSTEM權限執行。</p> <p>最終WhirlCoil會建立通過GitHub驗證的VS Code遠端隧道，並收集受害電腦的系統資訊，以及特定使用者檔案資料夾的內容，然後發出POST請求，將上述的內容及隧道的驗證碼，傳送到特定的事件記錄服務，使得駭客能透過此隧道存取受害電腦，並藉由Visual Studio終端機執行任意命令。</p> </div></div></div>
2025/9/22 10:38作者周峻佑https://www.ithome.com.tw/news/171317
越南國家信用資訊中心傳出遭ShinyHunters攻擊，駭客聲稱竊得1.6億筆記錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾個月，駭客組織ShinyHunters、Scattered Spider鎖定零售業、科技產業的攻擊行動頻傳，但如今傳出這些駭客也有攻擊國營金融機構的情況。</p> <p>根據<a href="https://baochinhphu.vn/cic-bi-hacker-tan-cong-vncert-khuyen-cao-nguoi-dan-nang-cao-canh-giac-102250911201710342.htm">越南媒體報導</a>，該國的國家信用資訊中心（National Credit Information Center，CIC）遭遇網路攻擊，這項事故得到越南電腦緊急應變團隊（VNCERT）證實，根據初步的調查結果，已有個人資料遭竊的跡象，外洩資料的數量及規模仍在調查。針對攻擊者的身分，<a href="https://www.reuters.com/sustainability/boards-policy-regulation/vietnam-investigates-cyberattack-creditors-data-2025-09-12/">根據路透社的報導指出</a>，CIC初步認為攻擊者的身分是ShinyHunters。</p> <p>對於上述CIC的推測，後續歹徒出面坦承犯案。資安業者Resecurity指出，<a href="https://www.resecurity.com/blog/article/shinyhunters-attacked-vietnams-financial-system-cic-data-leak">ShinyHunters聲稱這起事故是他們所為</a>，從CIC資料庫竊得超過1.6億筆記錄，規模相當驚人，由於越南總人口僅接近1.02億，這代表這批資料很可能包含歷史資料及重複記錄。</p> <p>由於CIC是越南政府經營的集中式信用資訊資料庫，在該國金融體系具有相當重要的作用，此機構收集、維護來自銀行、金融機構、保險公司等機構的信貸相關資料，對於越南的信用風險評估、貸款政策，以及系統性風險的管理至關重要。</p> <p>針對這起攻擊事故發生的後續，Resecurity指出這批資料已在地下論壇Breachsta兜售，後續駭客透過Telegram頻道議價，底價為17.5萬美元。Resecurity指出，相較於其他資料，這批資料的開價較高。該公司與駭客取得聯繫，對方表示由於越南政府不太可能付錢，因此決定直接在暗網出售牟利。</p> <p>除了將資料兜售，這些駭客也有意與其他組織交換竊得的資料。此外，他們也提到手上與CIC有關的記錄，可能總共有超過30億筆。</p> <p>究竟駭客如何入侵CIC？他們聲稱鎖定該組織採用但產品生命週期已結束的軟體下手，利用已被公布但未有修補程式的漏洞。根據駭客竊得的資料類型，以及後續他們販售資料，Resecurity認為駭客的主要動機為金錢利益，與政治或意識型態無直接關聯。</p> </div></div></div>
2025/9/22 10:49作者周峻佑https://www.ithome.com.tw/news/171314
中國駭客Mustang Panda鎖定泰國政府而來，散布USB蠕蟲SnakeDisk意圖滲透隔離網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底資安業者Netskope揭露<a href="https://www.ithome.com.tw/news/166544">針對泰國政府官員的攻擊行動</a>，駭客假借美國政府尋求執法活動協助為由，引誘官員上當，意圖在電腦植入後門程式Yokai，如今有新的調查結果出爐，反映這些攻擊行動很可能與地緣政治有關。</p> <p>IBM旗下的威脅情報團隊X-Force指出，他們在今年7月發現中國駭客組織Mustang Panda（Earth Preta、RedDelta、Hive0154）<a href="https://www.ibm.com/think/x-force/hive0154-drops-updated-toneshell-backdoor">最新一波的攻擊行動</a>，過程中使用新的ToneShell變種，以及名為SnakeDisk的USB蠕蟲。特別的是，該蠕蟲只能在位於泰國的電腦運作，並於受害電腦部署Yokai。</p> <p>該公司在2025年中，觀察到ToneShell和Pubload兩款惡意程式的新變種，而且大部分的檔案是從新加坡和泰國上傳。其中一個版本的變種Toneshell9配置相當特別，能夠成功迴避惡意軟體分析平臺VirusTotal所有防毒引擎偵測，並且透過本機的代理伺服器組態進行C2通訊，並設置兩個反向Shell，而有機會繞過企業網路的過濾機制。</p> <p>IBM循線追查，在8月中旬看到這些駭客使用SnakeDisk蠕蟲，並根據受害電腦的IP位址是否位於泰國，來決定是否部署後門程式Yokai。該公司發現，此蠕蟲出現的時間，與泰國、柬埔寨今年5月開始的一系列政治事件不謀而合，再加上中國素來對柬埔寨提供武器及投資公共建設，研判駭客發起攻擊的目的，很可能想要滲透泰國政府的隔離網路（Air-Gap）環境。</p> </div></div></div>
2025/9/22 10:12作者周峻佑https://www.ithome.com.tw/news/171315
那些年人類夢想的AI機器人
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年IT界的熱門議題當中，AI機器人發展的相關消息，占有舉足輕重的地位，<a href="https://www.ithome.com.tw/article/171294" target="_blank"><span style="color:#3366ff;">我們這一期週刊的封面故事</span></a>，也打算以此為題作為起點，探討促使這類應用能夠變得更安全的重要性。</p> <p>我們的主筆黃彥棻某次完成相關的採訪工作，由於當天受訪者對於機器人技術的發展展現高度的興趣與熱情，回到辦公室的她，很好奇地問同事們：「是不是每個男生都對機器人懷有夢想？」，大部分人都說是，但女生似乎就不是這樣，為何會如此？想必這跟我們從小到大接觸的動漫畫與科幻小說的內容有關。</p> <p>你生命中第一個接觸到的機器人（仿生人）幻想故事是什麼？我最先接觸到的是日本動畫《太空突擊隊》的克拉，印象較深的應該是手塚治虫的《原子小金剛》，當中的機器人有天馬博士製作的小金剛，以及御茶水博士製作小金剛的妹妹烏蘭，後續浦澤直樹改編原子小金剛的〈地上最大機器人〉篇，繪製《冥王（PLUTO）》，故事呈現世界7大機器人陸續被殺害的犯罪事件，2006年在臺出版中文版漫畫。</p> <p>之後有印象的機器人動畫，有金色方形打火機造型的無敵小戰士（黃金戰士）、變形金剛（Transformers）。</p> <p>與機器人有關的科幻影視作品更多，像是電影《銀翼殺手》的Rachael等多位人造人、電影《星際大戰》的C-3PO、電視影集《星際大爭霸》的賽隆人、電視影集與電影《星艦奇航記：銀河飛龍》的百科上校，都是大家印象很深刻的角色，它們的存在與各種與人類、其他機器人、外星人互動的劇情，開啟許多觀眾對於機器人應用的想像。</p> <p>值得一提的是，找真人扮演那時根本不存在的人形機器人很麻煩，於是，有些影集又創造出非人形、可移動的自主智慧機器角色，最典型的例子就是電視影集《霹靂遊俠》的霹靂車，與主角合作無間、破解各種犯罪案件；在電視影集《星艦奇航記：重返地球》當中，將銀河飛龍劇情開始引進的全像投影程式，運用得更淋漓盡致，劇中將作為緊急醫療全像程式（EMH）的醫官機器人系統，升格為固定主要角色，在這樣的設定架構之下，機器人程式不僅在艦內的全像艙，能與一般人互動，若需要移動到沒有全像投影設備的任何空間，製作團隊後來還「發明」一個裝置，稱為移動發射器（Mobile Emitter），讓全像投影的醫官能夠走出醫務室和全像艙與船上人員互動。</p> <p>這些都是具有正面印象的人形機器人想像，然而，也有令人感嘆、悲憫、甚至擔憂未來人形機器人負面發展的可能性，例如，電影《A.I.人工智慧》明顯借鏡童話故事《木偶奇遇記》探討人形機器人大衛被人類家庭收養，後續卻因為發生一些意外而被拋棄，最終與其他機器人夥伴踏向尋找仙女的歷險過程，希望能得到變成真正人類男孩的方法，旅途中大衛面臨人類嫉妒、怨恨機器人，而對機器人施暴凌虐的狀況。</p> <p>電影《機械公敵》也是很經典的例子，劇情則是人形機器人的發明者在公司跳樓自殺，警方懷疑是出現違背三大定律的機器人所為，三條基本規定，分別是：不得傷害人類，或坐視人類受傷；除非違背第一定律，否則需服從人類命令；在不違背第一與第二定律的狀況下，機器人必須保護自己，結果幕後黑手竟是集中控管的電腦系統V.I.K.I.，而具有自我意識的機器，也不只是這臺系統，還有機器人Sonny，他協助主角們找出意圖操控所有機器人限制人類行動的V.I.K.I，並與其對抗。</p> <p>在日本動漫內容的創作中，也有不少論及機器人與人類的衝突。像是宮崎駿的漫畫《風之谷》，出現兩個種族：具有毀滅世界能力的巨神兵與作為士兵或農夫的人造人席德拉；永野護《五星物語》有輔助操作巨型人形戰爭兵器的人造人Fatima，被製作者施加不得傷害人類等多種精神控制，而在很多狀況下面臨身不由己的命運。</p> <p>凡此種種，可見整個人類世界對於機器人的各種想像非常豐富，這些都以許多形式影響當代與未來機器人的設計與發展，當機器人即將真正進到人類生活與工作時，我們其實還沒準備好，若要適應相關的變化，只能持續了解這些技術的進展，並且參考過去人類曾想像的狀況，找出與其共存的對策。</p> <p><a href="https://www.ithome.com.tw/article/171294" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1252-feng_mian_gu_shi_-p1-yan_fen_-open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai%E6%A9%9F%E5%99%A8%E4%BA%BA%E8%B3%87%E5%AE%89%E7%99%BD%E7%9A%AE%E6%9B%B8">AI機器人資安白皮書</a></div><div class="field-item odd"><a href="/tags/%E5%85%B7%E8%BA%ABai">具身AI</a></div><div class="field-item even"><a href="/tags/ai%E6%A9%9F%E5%99%A8%E4%BA%BA">AI機器人</a></div><div class="field-item odd"><a href="/tags/ai%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA">AI資安風險</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%99%A8%E4%BA%BA">機器人</a></div><div class="field-item odd"><a href="/tags/ai%E5%B7%A1%E6%AA%A2%E6%A9%9F%E5%99%A8%E7%8B%97">AI巡檢機器狗</a></div><div class="field-item even"><a href="/tags/vicone">VicOne</a></div><div class="field-item odd"><a href="/tags/vicone-lab-r7%E5%AF%A6%E9%A9%97%E5%AE%A4">VicOne LAB R7實驗室</a></div></div></div>
2025/9/22 08:24作者李宗翰https://www.ithome.com.tw/voice/171318
Meta開源參數小於10億的MobileLLM-R1推理模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小模型當道，<a href="https://huggingface.co/facebook/MobileLLM-R1-950M" target="_blank">Meta上周公開了參數不到10億的推理模型MobileLLM-R1系列</a>，都可在本地端裝置執行。</p> <p>MobileLLM-R1是機上（on-device）型模型家族MobileLLM最新系列，為具有推理能力的文字模型。新模型包含基礎模型（Base）及最終模型兩類，各有三種參數量規模，分別是1.4億、3.6億及9.5億。基礎模型的脈絡長度為4K，最終模型脈絡長度為32K。</p> <p>Meta說明，MobileLLM-R1並非用於聊天機器人的通用模型，而是經過監督式微調（supervised fine-tuned，SFT）訓練，專用於解決數學、程式撰寫（如Python、C++）和科學問題的模型。三種規模中的MobileLLM-R1 950M預訓練資料僅2TB高品質token，而總訓練資料也小於5TB。但是成果優異，在多項標竿測試如MATH、GSM8K、MMLU、LiveCodeBench中，結果優於以36TB token資料訓練的Qwen 3 0.6B。</p> <p>而和現有完整開源模型相較，小巧的MobileLLM-R1 950M模型在MATH測試的準確率度是Olmo 1.24B的5倍，是SmolLM 1.7B的2倍。在程式撰寫能力上，MobileLLM-R1得分雙雙超越Olmo 1.24B及SmolLM 1.7B。</p> <p>Meta也比較了較小模型在MATH、GSM8K、MBPP與HumanEval的測試結果，MobileLLM-R1 140M (base)超越SmolLM2-135M，同時間MobileLLM-R1 360M也以大比分擊敗了參數量相仿的Gemma-3-270M-pt與SmolLM2-360M(base)。</p> <p>開發人員也可以vLLM推論引擎執行Meta mobileLLM-R1模型，只需將模型架構Llama4ForCausalLM登錄到ModelRegistry。最新模型以Apache 2.0授權開源於Hugging Face。</p> </div></div></div>
2025/9/22 08:57作者林妍溱https://www.ithome.com.tw/news/171320
MongoDB自託管環境現內建全文與向量搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MongoDB在自託管環境推出全文搜尋與向量搜尋的<a href="https://www.mongodb.com/company/blog/product-release-announcements/supercharge-self-managed-apps-search-vector-search-capabilities?tck=pencil_banner">公開預覽</a>，適用於社群版（Community Edition）與企業版（Enterprise Server）。該更新讓開發者不需再依賴外部搜尋引擎或獨立向量資料庫，就能在單一平臺上完成關鍵字比對與語意搜尋，並在本地或企業資料中心快速測試人工智慧應用。功能透過搜尋專用程序mongot與主要伺服器程序mongod協同運作，目前仍屬測試性質。</p> <p>MongoDB將新能力納入既有的聚合框架，支援$search、$searchMeta與$vectorSearch等查詢階段運算子當。開發者可直接使用熟悉的查詢方式處理全文索引、模糊查詢與自動完成，也能進行向量相似度比對，用於語意搜尋、推薦系統或RAG應用。當需求同時涉及關鍵字與語意條件時，也可採混合搜尋方式，將不同訊號整合後輸出排序結果。</p> <p>這種整合式設計回應了自管環境長期存在的痛點，過去要在MongoDB上實作進階搜尋功能，往往需要外掛諸如Elasticsearch、OpenSearch等外部搜尋引擎或向量資料庫，而這些需求帶來資料搬運、同步一致性與維運負擔。MongoDB將索引與查詢留在同一平臺內，能降低系統之間的同步落差，也簡化了布建、升級與監控工作，對於快速更新的交易型或內容型服務，能減少結果延遲或不完整的風險。</p> <p>MongoDB提供與LangChain、LangGraph、LlamaIndex等框架的原生整合相容性，使RAG或代理式功能能直接嵌入應用程式，並保有資料留在本地的彈性。對需要處理敏感資訊或在私有雲、混合雲環境運行的用戶，這樣的部署模式較容易符合治理與法遵要求。</p> <p>MongoDB規畫Community Edition正式版推出後，會在SSPL授權下免費提供，而Enterprise Server則會納入新的訂閱方案，收費細節待正式上市前公布。</p> </div></div></div>
2025/9/22 08:10作者李建興https://www.ithome.com.tw/news/171309
OpenMind開源AI原生機器人系統OM1 Beta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器人產業在近年硬體進步迅速，能行走、搬運、飛行的原型機接連出現，但OpenMind指出，軟體仍是最大挑戰，現有機器人大多被封閉於各自的生態系中，軟體層的碎片化與相容性低阻礙了跨平臺智慧的實現。OpenMind推出<a href="https://openmind.org/news/om1-beta">OM1 Beta</a>，並稱其為第一個人工智慧原生的開源機器人系統，試圖建立一個統一的開發基礎，讓各類機器人都能在相同平臺上具備感知、推理與行動能力。</p> <p>OM1 Beta已公開於GitHub，採MIT授權，支援多種硬體與模擬環境。系統核心強調硬體中立，能在四足、雙足、人形與輪式等平臺上運作，並以Docker映像檔提供快速部署，跨AMD64與ARM64架構皆可使用。</p> <p>在功能層面，OM1整合語言模型與語音、視覺能力，提供OpenAI、Gemini、DeepSeek與xAI等模型的介接，讓機器人具備自然語言理解與情境推理。語音部分則支援Google ASR與Nvidia Riva的語音轉文字，以及Riva與ElevenLabs的文字轉語音功能，而影像與情緒分析進一步提升人機互動的自然性。系統預先配置了多款常見平臺，包括Unitree G1、Go2、TurtleBot與Ubtech小型人形機器人，讓開發者能快速上手。</p> <p>自主導航與環境理解是另一個重點，OM1結合即時定位與地圖建構（SLAM）、LiDAR感測器與Nav2路徑規畫，讓機器人能在複雜空間中自主移動。開發者可先透過Gazebo模擬環境測試行為，再將設定部署至實際硬體，減少實驗成本與風險。此外，OM1提供名為OM1 Avatar的前端介面，使用React打造，能即時呈現機器人的狀態與虛擬頭像，方便觀察與互動。</p> <p>開源是這次OpenMind釋出OM1 Beta的核心策略，該公司希望透過開放程式碼，促進社群參與與知識共享，讓開發者能在共通平臺上擴充功能，而不是各自重新開發。如此有望縮短機器人軟體的發展周期，並推動跨製造商的互通性。</p> <p>OpenMind本身成立於美國，由學術界與產業界的成員組成，執行長Jan Liphardt曾任教於史丹佛大學，長期投入機器學習與人機協作領域。OpenMind的目標是將智慧層抽象化為軟體，讓不同硬體之間能共用同一套邏輯與介面，雖然這樣的嘗試能否最終成為產業標準，仍要看生態系的採用情況，但對研究機構、新創與開發社群而言，OM1提供了一個具體可用的起點。</p> </div></div></div>
2025/9/22 08:15作者李建興https://www.ithome.com.tw/news/171316
PyPI參與供應鏈攻擊GhostAction事件回應，註銷遭濫用的憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月上旬資安業者GitGuardian揭露<a href="https://www.ithome.com.tw/news/171071">大規模供應鏈攻擊GhostAction</a>，駭客於GitHub儲存庫注入惡意工作流程，竊得3,325組帳密、憑證或金鑰，現在這起事故處理的部分過程公開：PyPI軟體基金會透露他們也參與這起事故的回應，確認沒有PyPI用戶與專案受到波及。 </p> <p>9月16日PyPI軟體基金會（PSF）<a href="https://blog.pypi.org/posts/2025-09-16-github-actions-token-exfiltration/">發布部落格文章指出</a>，他們也參與這波攻擊的事件回應活動，當時駭客將程式碼植入GitHub Actions的工作流程，意圖竊取PyPI發布用的憑證（Token），並傳送到外部伺服器，他們廣泛針對許多儲存庫下手，其中有許多開發者將PyPI憑證存放於GitHub，攻擊者竄改工作流程將憑證外傳。雖然這些憑證確實遭到外流，但目前並未出現使用的跡象。對此，PyPI已註銷所有受到影響的憑證，並通知受影響的專案維護者。</p> <p>PyPI得知並介入這起事故的原因，在於9月5日GitGuardian透過他們的通報惡意軟體管道，向PyPI通報名為FastUUID專案遭駭，攻擊者試圖將PyPI憑證傳送到遠端伺服器。當時PyPI並未發現該專案的PyPI帳號遭駭，他們通知專案經營者，並協助保護帳號及專案的安全。</p> <p>後來GitGuardian透過電子郵件向PyPI資安團隊通報新的調查結果，指出這實際上是大規模攻擊的一部分，但相關通報訊息不幸被歸類到垃圾信而延誤時效，直到PyPI透過其他管道得知此事，並在垃圾郵件資料夾找到信件，於是PyPI再度清查用戶受害情形，並發現新的入侵指標（IoC）。</p> <p>他們在清查並確認沒有PyPI帳號外流後，於9月15日聯繫受影響專案的維護者，表示已將相關的憑證註銷，並呼籲用戶透過受信任的發布者（Trusted Publisher）機制來提升防護。</p> </div></div></div>
2025/9/19 18:22作者周峻佑https://www.ithome.com.tw/news/171312
高雄市如何用主權生成式AI升級城市智慧治理，靠AI能辨識火災、繞境等108種情境，要讓市府應變決策快一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>主權AI不只是國家級AI發展趨勢，對高雄市政府而言，更是其提升智慧城市治理的重要策略。高雄市去年12月宣布推動智慧高雄燈塔計畫，與中華電信、鴻海、Nvidia、Linker Vision，以及中鋼、中油、港務公司、台電等業者合作，高雄市要推動自己的城市級主權AI，高雄市政府資訊處長劉俊傑在近期分享高雄市如何運用AI加強城市治理。</p> <p>近2年，高雄市政府在智慧城市發展上異軍突起。去年先是與鴻海、Nvidia合作，在高雄軟體園區建置先進算力中心，以支援AI產品及應用的開發；去年12月高雄市政府與Nvidia、中華電信等業者合作，啟動智慧高雄燈塔計畫。在今年5月國際電腦展，Nvidia創辦人黃仁勳直接點名高雄，稱讚其為數位孿生城市，讓高雄一時間站在AI城市治理鋒頭上。</p> <p>「過去高雄市向臺北市、新北市、桃園市學習智慧城市的發展經驗，而與Nvidia的合作，是高雄市政府在智慧城市發展上一次彎道超車的機會」，劉俊傑不諱言地說。</p> <p>他認為，主權AI有2個接地氣的概念，第1個是適地性，由於各地方語言用語習慣不同，以廟會繞境為例，這是其他國家沒有的活動，廟會繞境活動往往會產生噪音、影響當地交通路況，也是民眾1999陳情反映的問題，因此高雄主權燈塔計畫中特別辨識廟會繞境，利用街頭監視器辨識到蹺境活動，市府相關單位注意當地的噪音及交通路況問題。</p> <p>第2個概念是資料主權，劉俊傑認為，如同企業基於內部敏感資料、營業祕密，每家企業需要發展自己的主權AI。「每個城市所面臨的問題不同，也需要發展自己知識產權的AI」，基於這樣的原因，不能只仰賴公有雲的AI，城市也需要建立在地、適合自己文化的主權AI。</p> <p>那麼高雄市政府推動主權燈塔AI計畫有何特別之處？</p> <p>劉俊傑指出，有別於ChatGPT、Gemini為個人使用，例如翻譯、摘要、查找資訊、行程規畫等等，高雄市的主權AI燈塔計畫則是城市治理層級，利用影像辨識城市中發生的事件，第一時間快速應變。</p> <p>而從AI技術發展來看，過去以機器學習為基礎的AI辨識技術，不同模型只能做單一一件事，例如專門辨識車牌的模型，專門計算車流或是淹水的模型，因應各種需求訓練開發專用模型，而現在生成式AI能夠讓模型辨識多種情況，建立通用的模型。</p> <p><span style="color:#B22222;"><strong>與廠商以聯合開發模式推動</strong></span></p> <p>劉俊傑直言，燈塔計畫在當時為全球第一個城市級主權AI案例，甚至沒有國外標準可供市府採納來進行驗收，資訊處與法治局、主管採購的工務局研究，最後決定以聯合開發模式進行計畫，以類似捷運聯合開發，由市府與企業共同投資，權利及義務共享的模式推動，分為3個方面。</p> <p>首先在算力資源方面，因為採用Nvidia GB200建置算力資源，GPU相當昂貴，遠非單一城市的財政能夠負擔，因此以聯合開發模式，由企業負擔擴展算力資源。</p> <p>其次是運用雲端架構在PaaS層訓練主權AI大腦的能力，劉俊傑表示，就像我們找到一位愛因斯坦，他的大腦很聰明、學習很快速，但是大腦中一片空白，透過PaaS訓練AI大腦，利用Nvidia retrain後的商業模型，以高雄的在地情境進行微調（Fine tuning），訓練它辨識廟會繞境活動。</p> <p>換言之，在PaaS層訓練大腦，再由SaaS層發展各局處需要的應用，解決環保、交通、治安等問題，各局處既有系統需要改版，以與PaaS層的大腦對接。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/_DSC4903-600.jpg" style="width: 600px; height: 400px;" /></p> <p>劉俊傑指出，在聯合開發模式之下，Linker提供Nvidia的算力、機房等基礎設施，還有Nvidia商業模型的授權，為滿足主權AI發展的需求，主機及資料位於高雄的中華電信七賢機房，而GPU則在臺南的中華電信機房，兩個地理區域的機房之間採用全光纖網路連接。</p> <p><span style="color:#B22222;"><strong>發展城市級VLM推論平臺，可辨別108種情境</strong></span></p> <p>他認為，AI在市政的運用並不是要取代人，而是輔助決策、提高效率，協助市府快速應對處理。為此，資訊處花費半年與交通局、環保局、工務局等7個局處討論，確認他們需要AI協助解決什麼問題，以及是否有足夠的資料訓練AI判斷，既有的系統及應變程序如何調整。</p> <p>例如過去市府接到民眾1999來電陳情道路出現坑洞，工務局再派人到現場勘察，再決定如何處理填補坑洞，一年可能收到與工務相關的陳情案件多達上萬件，往往人力難以處理，未來透過AI從影像識別道路上的坑洞，自動識別坑洞大小，決定派工處理的優先順序。另一個例子則是前面提到的廟會繞境，是否有足夠的資料訓練AI辨別廟會繞境活動。</p> <p>市府經過內部局處溝通，發展城市級的VLM推論平臺，可辨識108種情境，609個判斷指標，例如發生火災、淹水、廟會繞境活動、交通塞車都是一種情境，AI根據影像建立609個判斷指標，理論上，每種情境都能詢問AI多達609個問題(即指標)，但是如果詢問與該情境不相關的問題，等於花費更多運算資源讓AI去辨識指標，並不符合實際的需要。</p> <p>劉俊傑指出，關鍵在於要訓練AI辨識什麼樣的情境，還有在這個情境之下，市府各單位想要進一步瞭解的問題是什麼，但是辨識出的情境及指標為自然語言，雖然自然語言容易被人類理解，但並不能直接用於系統，因此將辨識的結果還會以指標或分級來分類，透過API與既有系統連接，也更容易設計系統該如何應對。因此AI在辨識後，會提供辨識結果的自然語言描敘供人類理解，也會提供問答，使系統容易處理。</p> <p>例如AI辨識一張街道上的影像，判斷是否發生淹水或交通堵塞，依辨識的結果轉給水利局、交通局，讓局處進一步再詢問AI相關問題。不只是市政府，燈塔計畫也邀請台電、中鋼、百貨公司等業者加入，例如詢問AI是否有電塔倒塌，進一步詢問倒塌的情形。</p> <p>至於影像的來源，除了利用街道上的監視器，市府也會試辦從公車或垃圾車的行車紀錄器影像。「以前直到市民撥打1999陳情，市府才知道發生什麼狀況，未來只要車輛經過，市府就能馬上處理，讓市府化被動為主動」，未來還準備與計程車隊合作，將AI的眼睛擴大到街道上行駛的計程車。</p> <p><strong><span style="color:#B22222;">AI結合數位孿生強化城市智慧治理</span></strong></p> <p>高雄市政府計畫利用Nvidia的Omniverse打造高雄市的數位孿生，目前先針對市區80平方公里的範圍來建置數位孿生（下圖，來源：高雄市政府），未來當發生事件時都會同步在數位孿生上呈現，市府各局處能夠檢視數位孿生外，事件也會傳到各局處的系統，快速應變處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(21).jpg" style="width: 600px; height: 347px;" /></p> <p>劉俊傑表示，未來AI會自動向各局處報告高雄市發生什麼狀況，透過道路上的CMS或是透過市民卡App通播訊息，讓市民及早獲得訊息應變準備。現在透過VLM，只要取得即時的影像，就能及時知道發生的狀況，例如AI偵測特定的路段發生交通堵塞，透過自動報告機制，向交通局資訊中心發送訊息，並且推播訊息給市民。</p> <p>未來不只是自動報告，高雄市政府也希望可發展至自動控制，當發生交通堵塞時，結合交通路口的IoT，自動調整路口的紅綠燈秒數，類似於Agentic AI的採取因應行動。</p> <p>不過，在訓練AI辨識特殊的情境時，例如發生火災的情境，需要先蒐集到影像資料，但是這些極端案例的影像可能並不容易取得。</p> <p>劉俊傑指出，為突破原始資料不足的限制，可以運用AI生成極端案例，如不同時間、氣候條件下發生的火災影像，甚至是生成過去沒有發生過的罕見極端案例，利用這些生成資料來訓練AI，教會它辨識情境後，再部署至實際運作環境。而AI未來透過高雄市數位孿生，也能模擬交通號誌控制或是水閘門的啟閉，模擬政策或自動控制的效益，再決定是否在實際世界施行。</p> <p>訓練AI辨識情境及指標，不只應用在高雄市政府自己，同樣參與燈塔計畫的台電，也可運用空拍無人機巡檢電塔，將空拍的影像畫面送到燈塔計畫的AI大腦，由AI判斷電塔是否出現銹蝕的情形，以安排派工到現場檢修。</p> <p>劉俊傑表示，除了政府、國營事業，市府也計畫未來將燈塔計畫擴大應用，目前已與醫療機構、企業、大學洽談合作。</p> <p> </p> </div></div></div>
2025/9/19 17:40作者蘇文彬https://www.ithome.com.tw/news/171310
Amazon升級銷售助理推代理式AI，協助賣家自動化營運賣場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon<a href="https://www.aboutamazon.com/news/innovation-at-amazon/seller-assistant-agentic-ai">宣布</a>將銷售助理（Seller Assistant）升級為新一代代理式人工智慧工具，讓賣家能在授權下由人工智慧主動處理日常營運、法遵監控及成長策略。該功能以Amazon Bedrock為基礎，並整合Amazon Nova與Anthropic Claude等基礎模型，使輔助工具從單純回應查詢，進一步成為能推理、規畫並執行任務的營運助手。</p> <p>Seller Assistant過去主要提供賣家即時問答與資源引導。此次升級則將重點放在主動性與自動化，人工智慧現可持續監控帳戶健康狀態、分析市場需求，並在賣家確認後執行相關行動。Amazon指出，這樣的轉型能協助獨立賣家更專注於產品創新與客戶經營，減少日常操作的時間成本。</p> <p>升級後的應用範疇涵蓋多個層面，包括庫存管理方面，Seller Assistant能偵測滯銷商品，提出降價、調整配送或移除的建議，並在旺季前依據歷史與即時資料生成補貨規畫，降低缺貨與囤貨風險。帳戶健康監控則可自動掃描潛在問題，例如商品描述觸及法規限制或服務指標接近警戒，並附上原因說明與解決方案，必要時可在授權下直接完成修正。</p> <p>在法遵流程中，Seller Assistant會於上架新商品時自動檢查必要文件，例如電子產品需具備的UL認證，提示缺漏並引導賣家逐步補齊，有助於降低因規範不熟悉而延誤上市的風險。廣告功能也同步導入代理式人工智慧，Amazon Ads的Creative Studio供賣家透過對話式操作快速產出影像與影音廣告素材，並根據購物訊號提供廣告構想，將製作時程由數周縮短為數小時。</p> <p>除了日常營運，Seller Assistant還加入成長策略規畫功能。系統能透過銷售與顧客行為分析，建議新產品方向、最佳化行銷方案，並針對季節性高峰與大型促銷檔期提前提出完整行動計畫，涵蓋促銷設計、庫存調整與廣告布局。這些規畫皆可由賣家檢視後再決定是否執行，確保決策權仍掌握在使用者手中。目前Seller Assistant已在美國開放，計畫在未來數月推向其他國家。</p> </div></div></div>
2025/9/19 16:27作者李建興https://www.ithome.com.tw/news/171308
IBM開源Granite-Docling小模型，2.58億參數高效處理複雜文件結構與表格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM發布<a href="https://www.ibm.com/new/announcements/granite-docling-end-to-end-document-conversion">Granite-Docling-258M</a>小型模型，定位為端到端文件轉換的視覺語言模型，<a href="https://huggingface.co/ibm-granite/granite-docling-258M">採Apache 2.0授權開源並已上架Hugging Face</a>。官方強調這是一個針對文件轉換而生的小型模型，參數量2.58億，輸出可完整保留版面、表格、數學式、清單與程式碼區塊等結構，適合後續以RAG建立可檢索的資料資產。與傳統直接轉為Markdown，容易與來源內容脫鉤的OCR流程相比，Granite-Docling的結構化輸出更貼近原始文件，降低後處理不確定性。</p> <p>Granite-Docling模型與Docling函式庫是互補關係。Docling提供可組合的文件轉換軟體層，能串接表格解析、數學式與程式碼解析、ASR與OCR等專用模型與CLI工具，方便隨插即用地整合向量資料庫與代理式工作流程。而Granite-Docling模型則可作為其中的單一VLM節點，一次完成影像到結構化輸出，利用單一步驟轉換減少多階段工作管線的誤差累積，同時保有以Docling進行錯誤處理與客製化的彈性。</p> <p>Granite-Docling的核心是DocTags，這是一套由IBM Research設計的通用文件結構標記語言，能精確描述頁面元素的型別、座標、閱讀順序與跨元素關聯，例如圖與其說明的對應關係。由於DocTags將內容與版面結構明確分離，模型可先界定元素範圍再執行OCR，待完成轉換後，DocTags可直接轉為Markdown、JSON或HTML，或送入Docling函式庫的處理流程。</p> <p>此次發表被視為今年3月SmolDocling-256M-preview的產品演進，新模型以Granite3為語言骨幹並採用SigLIP2視覺編碼器，延續先前方法論同時提升穩定性。過去預覽版偶見在頁面局部出現相同Token反覆出現的情形，團隊此次透過資料集過濾與標註清理降低不一致樣本，目標是在大量文件處理情境中維持流程穩定而不被單點錯誤拖累。</p> <p>在語言能力方面，Granite-Docling提供對阿拉伯文、中文與日文等的實驗性支援，目前尚未標示為企業等級的穩定水準，後續將持續擴充語言覆蓋與可靠性。IBM也同步推進docling-eval評測套件與資料集策畫，規畫建立標準化排行榜，以利各類文件理解方案比較。</p> <p>IBM計畫發展更大參數等級的Granite-Docling模型版本，但會維持在10億參數以下以兼顧速度與硬體彈性，並提升DocTags與IBM watsonx.ai模型的相容性，之後也會將DocTags語彙納入Granite的分詞器（Tokenizer）與訓練配方。</p> </div></div></div>
2025/9/19 14:37作者李建興https://www.ithome.com.tw/news/171297
Mistral開源新版小模型Magistral Small 1.2 新增視覺能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linkedin.com/posts/mistralai_introducing-magistral-small-12-magistral-activity-7374437491921076224-3YrE" target="_blank">法國AI新創公司Mistral AI本周公布</a>並開源新版小語言模型Magistral Small 1.2，除了提升效能，增加視覺編碼功能，也能跑在MacBook電腦上。</p> <p>Magistral Small 1.2為1.1版的升級，<a href="https://huggingface.co/mistralai/Magistral-Small-2509" target="_blank">Mistral說明</a>，它是以Mistral Small 3.2 (2506)為基礎開發，具備推理能力能在回答前執行一長串推理，並且經過監督式微調（SFT），訓練資料來源是推理模型家族的Magistral Medium推論時產生的軌跡，之後又加上強化式學習（RL）優化而成的高效率小型推理模型。Magistral Small 1.2參數量240億，具備最長128K脈絡空間。</p> <p>Magistral Small系列都能於本地部署，經過量化（quantized）後可在Nvidia RTX 4090 GPU平臺的機器或是一臺32GB RAM的MacBook上執行。</p> <p>相較於前一版，Magistral Small 1.2新增視覺編碼器，可接收多模態包括文字和圖片輸入，推理能力也擴及視覺。效能也提升，數學和程式撰寫標竿測試得分成長15%。它也改進了工具使用能力，能利用外部工具上網搜尋、執行程式碼或生成圖片。此外，新模型更人性化，它的回應更清晰、自然，文字排版或符號使用也美觀。</p> <p>Magistral Small 1.2支援20多種語言，包括英、法、德、西、中、日、韓等。</p> <p><a href="https://docs.mistral.ai/getting-started/models/models_overview/" target="_blank">Mistral同時也更新了</a>推理模型Magistral Medium 1.2，新增視覺支援，如同Magistral Small 1.2，Medium版也具備最長128K脈絡空間。二個模型都是以Apache 2.0授權開源，允許商業或非商業用途的使用和修改。</p> </div></div></div>
2025/9/19 12:25作者林妍溱https://www.ithome.com.tw/news/171290
橫掃47家美企與倫敦交通局，19歲駭客面臨95年徒刑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國國家犯罪調查局（National Crime Agency，NCA）本周逮捕了現年19歲的Thalha Jubair與18歲的Owen Flowers，<a href="https://www.nationalcrimeagency.gov.uk/news/two-charged-for-tfl-cyber-attack" target="_blank">在周四（9/18）指控</a>他們在去年入侵了倫敦交通局（Transport of London，TfL）， <a href="https://www.justice.gov/opa/pr/united-kingdom-national-charged-connection-multiple-cyber-attacks-including-critical" target="_blank">同一天美國也起訴了當中的Jubair</a>，宣稱他參與了至少120起電腦網路入侵與勒索案件，涉及47家美國企業。不管是Jubair或Flowers，他們在從事駭客行動時都還是青少年。</p> <p>倫敦交通局（TfL）在去年8月底遭駭客集團Scattered Spider入侵，造成TfL票價與資料系統癱瘓了好幾個月，外洩5,000名乘客的個資，帶來約3,000萬英鎊的損失，而Jubair與Flowers即是涉及此案的Scattered Spider成員。</p> <p>美國司法部指出，Jubair在2022年5月至2025年9月間，透過社交工程取得企業網路存取權限，進而竊取並加密企業資料，再向企業勒索，總計勒索金額高達1.15億美元，並有部分贖金匯入了他所控制的伺服器錢包。在2024年7月伺服器被查扣時，Jubair還轉走了價值840萬美元的加密貨幣，另有3,600萬美元的加密貨幣遭警方沒收。</p> <p>被駭組織包括美國聯邦法院系統、一家美國關鍵基礎設施公司、美國中西部大型醫療集團SSM Health Care Corporation，以及美國加州的大型醫療體系Sutter Health等。其中，Flowers也被控參與SSM Health Care Corporation的攻擊事件。</p> <p>美國檢方已依電腦詐欺共謀、電腦詐欺、電匯詐欺共謀、電匯詐欺及洗錢共謀等罪名起訴Jubair，若全數罪名成立，最高可判處95年徒刑。</p> <p>Scattered Spider是活躍於美國與英語系國家的駭客組織，自2022年起便頻繁透過社交工程、SIM卡置換與竊取憑證等方式入侵大型企業網路、竊取資料並展開勒索，已知的受害者包括米高梅國際酒店集團（MGM Resorts International）、美國連鎖賭場Caesars Entertainment及家庭清潔用品公司高樂氏（Clorox）等。</p> </div></div></div>
2025/9/19 12:42作者陳曉莉https://www.ithome.com.tw/news/171291
GitHub推出MCP Registry，集中收錄AI代理相容伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub<a href="https://github.blog/ai-and-ml/github-copilot/meet-the-github-mcp-registry-the-fastest-way-to-discover-mcp-servers/">推出</a>MCP註冊庫（MCP Registry），作為集中收錄MCP（Model Context Protocol）伺服器的入口，目標是解決開發者在分散環境中探索與安裝的困境。這項服務由GitHub主導並與社群協作，提供官方彙整清單，讓開發者能更快找到並評估合適的伺服器。</p> <p>MCP提供人工智慧代理與工具之間的溝通方式，讓代理能擷取新的執行脈絡、與外部資源互動，並整合至既有系統，也就是說，開發者可透過安裝相容的MCP伺服器來擴展代理能力，並在支援MCP的主機上以標準化協定完成整合。</p> <p>目前MCP伺服器散落於不同的儲存庫與社群貼文，缺乏統一的入口，使用者必須投入額外時間搜尋，伺服器作者則需反覆發布與回答相同的設定問題。GitHub認為這種破碎環境不僅增加探索成本，也潛藏安全風險，而MCP Registry透過集中清單和標準化流程，提供更透明的存取方式，協助開發者快速了解伺服器用途與安裝步驟。</p> <p>MCP Registry與VS Code整合，支援一鍵安裝，並依據GitHub星標數與社群活躍度排序，讓高品質專案更容易被找到。清單中的每個伺服器都連結至GitHub儲存庫，開發者能直接查看技術細節與維護狀態。MCP Registry支援任何相容MCP的主機，降低工具鏈導入門檻。</p> <p>首批合作包含Figma、Postman、HashiCorp與Dynatrace等廠商，另有Remote GitHub MCP Server正式納入，讓代理可直接存取儲存庫、Issue與拉取請求等資訊，支援更複雜的代理工作流程。</p> <p>GitHub也將與Anthropic及MCP Steering Committee合作，打造可與GitHub無縫整合的開源MCP社群註冊庫。未來開發者可自助發布伺服器，條目將自動出現在MCP Registry中，減少重複上架，並透過標準化的後設資料與驗證訊號提升透明度。官方將此視為建立健康開源生態的重要步驟。</p> </div></div></div>
2025/9/19 12:49作者李建興https://www.ithome.com.tw/news/171284
Meta即將開始預覽AI眼鏡開發套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在發布了<a href="https://www.ithome.com.tw/news/171260" target="_blank">一系列的AI眼鏡</a>之後，<a href="https://developers.meta.com/blog/introducing-meta-wearables-device-access-toolkit/?intern_source=blog&intern_content=connect-2025-day-2-keynote-recap-vr-development-use-cases-wearable-device-access-toolkit" target="_blank">Meta周四（9/18）宣布</a>將開始預覽穿戴裝置存取工具包（Meta Wearables Device Access Toolkit），以讓開發人員打造支援這些AI眼鏡的各種應用，涵蓋Ray-Ban Meta、Oakley Meta HSTN、Oakley Meta Vanguard，以及與內建顯示器的Meta Ray-Ban Display。正式版預計會在2026年出爐。</p> <p>Meta表示，Ray-Ban Meta已於全球售出數百萬副，證明這種產品形態是成功的，也代表此一時尚與科技的結合帶動了新的文化潮流，預示著配備開放式喇叭、免持相機及隨身AI助理的AI眼鏡將成為人們日常生活的一部分，因而想建立一個平臺，讓開發者可擴充AI眼鏡的體驗。</p> <p>首版的工具包將開放存取眼鏡上的攝影機，也能透過 iOS/Android藍牙設定檔存取眼鏡上的麥克風與喇叭，但還不能存取Meta AI功能或顯示器，也無法存取肌電圖腕帶Meta Neural Band上的感測器。</p> <p>該工具包支援Android與iOS平臺，開發人員不一定要擁有AI眼鏡，其軟體開發套件（SDK）將包含一個模擬裝置套件（Mock Device Kit），可用來進行自動化與程式測試。此外，就算在沒有開賣Meta AI眼鏡的市場，也能參與此一預覽活動，只是所能存取的功能會受限。</p> </div></div></div>
2025/9/19 11:51作者陳曉莉https://www.ithome.com.tw/news/171286
Google將Gemini整合到美國版Chrome中將加入代理人等能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/new-ai-features-for-chrome/" target="_blank">Google昨（18）日宣布</a>Gemini整合Chrome的多項計畫，包括從美國開始將Gemini整合到Chrome桌機、Android和iOS手機版，Google並將陸續為Gemini in Chrome加入代理人、推理和多模態能力，還能一鍵變更密碼。</p> <p>今天整合Gemini的Chrome Mac及Windows桌機版、Android版就能部署到美國用戶，只要其瀏覽器語言設定為英文。用戶上網時Gemini可回答關於網頁內容的問題。Android手機用戶在使用Chrome或其他App時長按電源鍵可啟動Gemini。iPhone上，Gemini會直接內建到iOS版Chrome中。</p> <p>Google並預告，未來幾個禮拜內，Gemini in Chrome將再加入代理人功能，使Gemini in Chrome功能更強大。對企業用戶而言，幾個星期內Gemini也會部署到Google Workspace，並提供企業等級的資料防護和控制。</p> <p>Gemini in Chrome可使上網蒐集資訊或規劃更輕鬆。例如它支援跨多分頁執行，方便用戶比價、摘要或整合多個網站內容，可減輕像是旅行規劃的麻煩。Gemini in Chrome也藉由和Google原生應用如Calendar、YouTube或Google Maps的深度整合，因此用戶可以教Gemini in Chrome直接搜尋YouTube影片，它會提供連結導引用戶過去。</p> <p>本月底Gemini in Chrome將加入AI Mode，後者是加入推理和多模態能力的Google搜尋。美國版英文用戶本月底使用Chrome的搜尋列（或稱omnibox）就能使用到這強大的搜尋功能。此外，美國版Gemini in Chrome現在已獲得情境建議（contextual suggestion）功能，用戶上網時叫出Gemini問問題時，Gemini可在Chrome側邊欄頂端顯示AI Overview（AI摘要），並提供情境建議，讓用戶無需離開網頁。本項功能幾個禮拜內會新增其他語言支援並推向其他國家。</p> <p>在安全性方面，Chrome的安全上網（Safe Browsing）的進階防護（Enhanced Protection）模式，繼現在使用Gemini Nano來辨識釣魚網站，之後將用它來封鎖下載病毒或詐騙軟體的網站。</p> <p>其次，Gemini in Chrome能學習用戶使用偏好並藉此封鎖網站的垃圾通知，例如當它認為使用者不允許特定網站存取相機、地點等資訊的要求時，會先自動封鎖，並顯示核准對話框讓用戶最終決定。最後，Chrome現在已能autofill網站密碼，但之後Gemini in Chrome將進一步加入密碼代理人能力，讓用戶一鍵完成特定網站的密碼的變更及儲存。支援的網站包括Coursera、Spotify、Duolingo、H&M等。</p> </div></div></div>
2025/9/19 12:14作者林妍溱https://www.ithome.com.tw/news/171287
Google發布Chrome 140更新，修補今年第6個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前Google發布<a href="https://www.ithome.com.tw/news/171194">電腦版、安卓版Chrome 140更新</a>，修補重大層級的Serviceworker元件資安漏洞CVE-2025-10200，本週該公司再度發布緊急更新，緩解已被利用的資安漏洞CVE-2025-10585，這是今年揭露的第6個零時差漏洞。除了Chrome之外，其他採用Chromium為基礎的瀏覽器應該很快就會跟進修補，用戶應留意近期的更新資訊。</p> <p>這項漏洞由Google感脅分析團隊（TAG）在9月16日發現，為JavaScript引擎V8的類型混淆漏洞，Google指出該漏洞為高風險層級，並發布<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_17.html">電腦版140.0.7339.185、140.0.7339.186</a>，以及<a href="https://chromereleases.googleblog.com/2025/09/chrome-for-android-update_17.html">安卓版140.0.7339.155</a>修補，此外，他們也針對ChromeOS、ChromeOS Flex用戶<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-chromeos_18.html">發布16371.49.0版更新</a>，修補這項瀏覽器元件漏洞。</p> <p>對於這項漏洞的細節，Google並未進一步說明，根據資安業者Tenable的評估，<a href="https://www.tenable.com/cve/CVE-2025-10585">此漏洞的CVSS風險值達到8.8</a>（滿分10分）。至於這項漏洞的影響範圍，以及駭客如何利用，有待後續其他資安業者或研究人員揭露。</p> <p>在上述的零時差漏洞之外，本次Google也修補了另外3個高風險漏洞，分別是：Dawn元件記憶體釋放後再存取利用（Use after free）漏洞CVE-2025-10500、WebRTC元件記憶體釋放後再存取利用漏洞CVE-2025-10501，以及Angle元件記憶體堆疊溢位漏洞CVE-2025-10502。</p> </div></div></div>
2025/9/19 10:12作者周峻佑https://www.ithome.com.tw/news/171282
Nvidia斥資50億美元入股英特爾，攜手開發資料中心及PC產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球GPU龍頭Nvidia，以及美國半導體戰略的核心企業英特爾（Intel）<a href="https://nvidianews.nvidia.com/news/nvidia-and-intel-to-develop-ai-infrastructure-and-personal-computing-products" target="_blank">在美東時間周四（9/18）上午7點（臺北時間18日晚上7點）宣布結盟</a>，Nvidia將斥資50億美元，以每股23.28美元的價格購入英特爾普通股，且雙方將在資料中心及PC領域展開合作。</p> <p>根據雙方的協議，它們將利用Nvidia所打造的處理器互聯技術Nvidia NVLink來連結Nvidia與英特爾架構，整合Nvidia的AI/加速運算，以及英特爾的CPU技術與x86生態系統等優勢，替客戶提供尖端解決方案。</p> <p>在資料中心領域，英特爾將替Nvidia客製化與製造x86架構的CPU，以讓Nvidia將這些CPU整合進自家的AI基礎設施平臺上，以Nvidia品牌對外銷售。</p> <p>而在個人電腦領域，英特爾將開發與銷售整合Nvidia RTX GPU晶粒的x86系統單晶片（SOC），這些新的 x86 RTX SOC將用來驅動各種需要同時具備頂級CPU與GPU效能的個人電腦。</p> <p>50億美元約可買到2.148億股的英特爾股票，占英特爾5.1%股份。<a href="https://www.ithome.com.tw/news/170785" target="_blank">美國政府則是在上個月</a>以89億美元的補助款、每股20.47美元的價格換得9.9%的英特爾股份。</p> <p>儘管英特爾這幾天的股價都高於24美元，但與Nvidia的合作所帶來的利多讓英特爾一開盤就大漲25%，反之TSMC及AMD則是一開盤就下跌，反映出市場對此事的看法。</p> </div></div></div>
2025/9/19 08:14作者陳曉莉https://www.ithome.com.tw/news/171281
基礎設施3缺陷影響Claude回應品質，Anthropic完成處置並加強品質檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/engineering/a-postmortem-of-three-recent-issues">公布技術報告</a>說明今年8月至9月初期間，3項基礎設施缺陷交疊，導致Claude的回應品質出現間歇性下降。官方強調這些問題並非因需求、伺服器負載或時段而調降模型水準，而是基礎設施部署與配置的缺陷所致。目前多數修復已完成，並同步推動更嚴格的品質檢測與監控機制。</p> <p>事件起於8月5日，Sonnet 4部分請求被誤導向新一代100萬Token上下文長度伺服群，起初影響比例僅0.8％。但是在8月29日的負載平衡調整放大了流量分配，至8月31日時，受影響比例一度達16％。由於採用具黏著性的路由策略，一旦對話首次被分派至錯誤伺服群，後續請求也更可能持續受到影響。在第三方平臺上，Amazon Bedrock高峰期受影響約0.18％，Google Cloud Vertex AI則比例低於0.0004％。</p> <p>第二個問題出現在8月25日，Claude API的TPU伺服器因部署設定錯誤，導致部分請求在Token生成時出現機率分配異常。表現上，英文回應中可能夾入泰文或中文字符，或程式碼中出現明顯語法錯誤。此問題影響到8月25日至28日的Opus 4.1與Opus 4，以及8月25日至9月2日的Sonnet 4。Anthropic已在9月2日回退相關變更，並新增非預期字元的檢測流程，以降低類似風險。</p> <p>第三個問題則與XLA:TPU編譯器中的近似top-k演算法有關。8月25日部署的新取樣程式觸發潛在錯誤編譯（Miscompilation），已確認影響Haiku 3.5，並推測波及部分Sonnet 4與Opus 3。Anthropic於9月4日先回退Haiku 3.5的變更，9月12日再針對Opus 3處理，對Sonnet 4則採取預防性回退，後續Claude全面改採精確top-k運算，並統一部分運算至fp32精度。</p> <p>Anthropic指出，此次事件難以快速診斷的原因在於3個缺陷同時發生，且在不同平臺上呈現的症狀各異，外觀看似隨機錯誤。現有的評測流程對零星失誤敏感度不足，再加上內部隱私規範限制工程團隊直接存取未經使用者回報的互動內容，增加了問題定位的難度。尤其在8月29日負載平衡調整後，負面回饋同時攀升，進一步模糊了變更與問題的關聯。</p> <p>針對後續改進，Anthropic已提高評測靈敏度，並將評測機制延伸至真實生產環境持續執行，以便在異常發生時能更快捕捉。同時開發除錯工具，讓工程團隊能在不影響使用者隱私的前提下，更有效重現社群回報案例。</p> <p>官方也提醒，因生成流程調整為精確top-k並加強數值精度管理，極少數使用場景可能需要開發者重新微調top-p等參數。至於平臺影響層面，自家服務，包含API、網頁版Claude與Claude Code受影響較明顯，第三方平臺影響範圍則相對有限。目前多數修復已完成，Amazon Bedrock仍在推送，更新稍晚完成。</p> </div></div></div>
2025/9/19 08:17作者李建興https://www.ithome.com.tw/news/171278
SecurityScorecard買下問卷自動化業者HyperComply
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供第三方及供應鏈網路風險評分及監控平臺的美國資安業者<a href="https://securityscorecard.com/blog/securityscorecard-acquires-hypercomply/" target="_blank">SecurityScorecard上周宣布</a>，已經收購了基於AI的問卷自動化業者HyperComply，且HyperComply的數十名員工，包括兩名共同創辦人Amar Chahal與Cody Wright都將加入SecurityScorecard。</p> <p>企業為防範第三方漏洞引發連鎖攻擊，在尋找合作對象時，通常會先委外掃描供應商的外部資安狀況，初步篩選出合格名單，再要求名單上的業者填寫詳細的安全問卷，進行資安審查。</p> <p>2013年成立的SecurityScorecard，主要從外部掃描供應商的網域、IP、漏洞、網路設定與惡意軟體感染狀況，並據此給予安全評分，協助企業掌握並管理供應鏈資安風險，多半負責協助客戶稽核合作對象的安全性，目前擁有逾2,600家企業客戶，員工人數超過500名。</p> <p>至於在2019年創立的HyperComply，則開發了名為RespondAI的問卷自動化引擎，它會先讀取企業既有的安全與合規文件，建立可搜尋的知識庫，再於收到來自合作企業的安全問卷時，透過自然語言技術比對題目，再從知識庫中生成最適合的答案草稿，最後由人工進行審核。相較於人工填寫，RespondAI可減少約92%的作業時間。</p> <p>SecurityScorecard表示，這項收購將把其原本專注於供應商外部風險評分與監控的能力，與HyperComply的問卷自動化技術結合，打造業界首個同時整合持續風險情報與智慧自動化的平臺。讓企業能即時掌握供應商風險、加速合規審查流程，並減輕應對GDPR、DORA與NIS2等法規要求的負擔。</p> <p>SecurityScorecard與HyperComply皆為美國私人公司，並未對外公布交易金額，預計今年就會開始把HyperComply的自動化問卷功能整合進其供應鏈風險評分平臺，讓企業在取得供應商風險評分的同時，也能透過AI工具加速安全審查流程，可望縮短供應商核准週期並降低營運成本。</p> </div></div></div>
2025/9/19 08:01作者陳曉莉https://www.ithome.com.tw/news/171280
從模型卡到ML-BOM
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0919_llmzi_an_jiao_zhan_shou_ce_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年7月，Hugging Face發布了一則推文：「我們正在調查一起事件，一名惡意使用者透過重複使用的員工密碼（這些密碼在其他網站的資料外洩中已被洩漏）控制了Meta/Facebook和Intel的Hub組織。」</p> <p>雖然該事件的全面影響尚不清楚，但它揭示了惡意行為者可能將自己植入供應鏈並更改被認為來自可信來源（在本例中為Meta或Intel）組件的可能性。這事件引發了人工智慧領域關於供應鏈安全一系列廣泛的嚴肅討論。</p> <p>雖然第一起事件並未被廣泛報導，看似是單一個案，但Lasso Security團隊在2023年12月發布的研究表明，超過1,600個Hugging Face API token（存取權杖）被揭露。該團隊可以使用這些API token存取700多個組織的Hugging Face帳戶，其中包括Meta、Microsoft、Google和VMware等主要參與者，這說明了存在明顯的風險：惡意第三方可以將一個知名的、值得信賴的模型替換為經過自己修改的模型──這對於任何可能下載和使用此類模型的應用程式來說都是巨大的風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>模型卡</strong></span></span></p> <p>在前面，我們了解到Hugging Face已經成為交換機器學習模型和訓練集的主要平台。由於需要追蹤重要的模型資訊及相依性，該公司開發了一種稱為模型卡（model Card）的標準化工件。</p> <p>Hugging Face的模型卡在於提供關於其平台上託管的每個AI模型的全面資訊，目標是讓使用者（無論是開發人員、研究人員或最終使用者）清楚了解模型的功能、限制和預期用途，這種方法與AI社群的努力一致，以確保AI模型能被合乎道德和有效的使用。</p> <p>以下是Hugging Face模型卡的幾個重點：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 模型描述</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>每個模型卡通常以模型的描述開始，包括其目的、架構和訓練資料，這讓使用者能夠對模型的設計目的及其工作原理有一個高層次的了解。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 訓練資料</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>模型卡通常會詳細說明用於訓練模型的資料集。了解模型的潛在偏見和限制非常重要，因為訓練資料的性質會顯著地影響模型的表現和行為。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 預期用途</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>模型卡包含有關模型預期用途的資訊，這有助於使用者了解模型預期表現良好的環境。這部分也可能包括使用建議或指南。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 倫理考量</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>許多模型卡都涉及倫理考量層面，例如模型中的潛在偏見及其部署對各利害關係人的影響，這反映出人們越來越看重AI技術對於社會以及永續發展的影響。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 效能指標</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>這些模型卡通常包含各種效能指標，以向使用者展示模型的效能如何。這些指標通常是基於模型在基準資料集或其設計的特定任務上的表現。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 限制 </span> </strong></span>模型卡的關鍵組成部分是對模型限制的討論，這包括模型可能無法如預期執行的領域、某些應用中的潛在風險或模型應謹慎使用的領域。</p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>註：其他LLM供應商（例如AWS）已經開始研發自己的模型卡格式。這個領域可能會出現格式碎片化（fragmentation）的情況，因此你需要依專案需求慎選適合的格式。不過，從概念上來看，你應該會發現它們與上述的討論大同小異。</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>模型卡與SBOM的比對</strong></span></span></p> <p>模型卡和SBOM（軟體物料清單，software bill of material）都是目標在於提高複雜軟體系統（包括AI模型）的透明度和理解性的工具。儘管如此，它們還是有不同的用途，所包含的資訊類型也有所不同。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 目的和重點 </span></strong></span></p> <p>模型卡的主要目的是為機器學習模型的功能、行為和限制提供清晰、易於理解的描述。它們專注於效能、倫理考量、使用範例和訓練模型時使用的資料。模型卡對於需要了解ML模型的操作特徵和道德含義的最終使用者和開發人員來說非常方便。</p> <p>SBOM本質上是所有軟體產品組件的詳細清單。SBOM列出並詳細說明軟體產品中包含的每一個第三方和開源軟體，它們對於理解軟體的組成非常重要，特別是對於追蹤漏洞、授權與相依性。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 內容 </span></strong></span></p> <p>模型卡通常包括模型架構、訓練資料、效能指標、預期用途、倫理考量和限制等資訊。他們還可能提供對模型開發過程以及模型中任何潛在偏見的見解。</p> <p>SBOM包含每個軟體組件、版本、修補程式狀態、授權的詳細列表，有時還包含每個組件的來源。這些資訊對於漏洞管理、合規性檢查和軟體維護是很重要的。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 在安全性及合規性的應用 </span></strong></span></p> <p>雖然模型卡不直接解決安全漏洞，但可以間接表示模型的穩健性和可靠性，這是人工智慧系統安全性的重要關鍵。它們還可以突顯可能會影響安全的道德風險或偏誤。</p> <p>SBOM直接用於安全性和合規性上，對於漏洞管理非常重要，因為安全團隊可以藉由SBOM快速識別第三方組件中新發現的漏洞是否影響其軟體，也被應用於授權合規性和風險管理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 產業應用 </span></strong></span></p> <p>模型卡主要用於人工智慧和機器學習，是Responsible AI（負責任AI）運動的一部分。</p> <p>SBOM廣泛適用於所有軟體開發，並且日益成為軟體文件標準的一部分，特別是在高度重視安全性及合規性的產業中。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>CycloneDX：SBOM的標準</strong></span></span></p> <p>在CycloneDX推出之前，不同工具使用的SBOM格式多樣且不統一，阻礙了共享和互通性。CycloneDX透過提供統一的語言來描述軟體組件解決了這個問題，促進各種工具和平台的無縫整合。</p> <p>作為OWASP管理下的開源專案，CycloneDX受益於社群驅動的方法，這確保它能持續發展以滿足各行業不斷變化的需求，並且每個人都可以使用。清楚了解系統的軟體組件對於有效的漏洞管理和修補至關重要，而CycloneDX簡化了識別和解決漏洞的過程，進而增強了整體資安態勢。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>ML-BOM的興起</strong></span></span></p> <p>CycloneDX 1.5的一項關鍵創新是ML-BOM（機器學習物料清單），它可以說是ML應用程式的重大變革，此功能允許在SBOM中全面列出ML模型、演算法、資料集、訓練管道和框架。它記錄了模型來源、版本控制、依賴關係和效能指標等基本細節，這些資訊有助於機器學習系統的再現性、治理、風險評估和合規性。</p> <p>在透明度和理解方面，ML-BOM讓ML開發和部署所包含的組件和流程清晰可見，這有助於利害關係人掌握機器學習系統的組成、識別潛在風險並考慮道德影響。在安全領域，它可以識別和修復機器學習組件及其依賴組件中的漏洞。</p> <p>合規性是ML-BOM具有重大影響的另一個關鍵領域，它透過確保系統的透明度和治理，來支援遵守GDPR和CCPA等法規要求。</p> <p>除了這些核心領域之外，ML-BOM還提供其他優勢。它提高了再現性，允許複製實驗和結果，這對於機器學習系統的科學嚴謹性和信任至關重要。協力合作也變得更加簡便，因為ML-BOM使團隊和組織之間的專案共享和合作變得更容易。最後，它是知識管理的有效工具，可以保存有關系統的關鍵資訊以供將來維護、更新和稽核。<strong>（本文摘錄整理自《LLM資安教戰手冊》，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0919_LLM%E8%B3%87%E5%AE%89%E6%95%99%E6%88%B0%E6%89%8B%E5%86%8A_600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> LLM資安教戰手冊（The Developer's Playbook for Large Language Model Security）</strong></p> <p>Steve Wilson／著；洪巍恩／譯</p> <p>碁峯資訊出版</p> <p>定價：580元</p> <p><a href="https://www.amazon.com/stores/Steve-Wilson/author/B0D78JT6Q7?language=zh_TW&ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_LLM%E8%B3%87%E5%AE%89%E6%95%99%E6%88%B0%E6%89%8B%E5%86%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 150px;" /></a></p> <p><a href="https://www.amazon.com/stores/Steve-Wilson/author/B0D78JT6Q7?language=zh_TW&ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Steve Wilson</strong></p> <p>Steve Wilson是Exabeam的產品長，也是人工智慧和網路安全領域公認的領導者。他曾服務於Citrix、Oracle和Sun Microsystems等市值數十億美元的科技公司，擁有超過25年建置軟體平台的經驗。Steve也是《Java Platform Performance: Strategies and Tactics》一書的作者。</p> </div></div></div>
2025/9/19 06:00未署名https://www.ithome.com.tw/article/171180
強化邊緣運算與機器人效能，輝達單板電腦邁入Blackwell世代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/jetson_thor-08-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Nvidia推出更多採用Blackwell架構GPU的產品，我們陸續介紹上半年發表的RTX Pro Blackwell系列的專業繪圖加速卡，以及伺服器級資料中心GPU，在8月底，他們的單板電腦產品線，終於也迎來這項加速運算技術，發布Jetson Thor系列，屬於專為物理AI與機器人設計的電腦產品，目前已有多家業者率先採用，像是Boston Dynamics、Amazon Robotics、Agility Robotics、Figure 01。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-J.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-J.jpg" style="width: 600px;" /></a></p> <p>目前Jetson Thor區分為單板電腦模組T5000，每個產品的建議售價為3,199美元，若採購至1千個以上，建議售價為2,999美元，以及搭配T5000而成的開發者套件Jetson AGX Thor Developer Kit，建議售價為3,499美元，可經由Nvidia全球授權經銷商購買，若需要採用正式系統與搭配單板電腦的載板，可洽詢嵌入式系統廠商。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-D.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-D.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2025-7-9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2025-7-9.png" style="width: 600px;" /></a></p> <p>最新上市的Jetson T5000配備128 GB容量的LPDDR5X記憶體（現有Jetson系列最多搭配64 GB記憶體），整合的Arm處理器內建14顆效能優於Neoverse V2架構的Neoverse V3AE核心，效能提升的幅度達到3.1倍，而且，受益於整合Blackwell架構GPU晶片（2,560顆CUDA核心與96顆第五代Tensor核心），用於AI運算時，FP4浮點運算可達2,070 TFLOPS，比起前代單板電腦產品Jetson Orin系列，效能可提升至7.5倍，足以執行各種生成式AI模型，例如，常用的大型語言模型（LLM），如Llama、Gemini、DeepSeek，Nvidia發展的通用機器人基礎模型Isaac GR00T N1.5，以及視覺語言模型（VLM），如Cosmos-Reason1、通義千問（Qwen）。而在耗電量的部分，Jetson Thor系列的功耗最高為130瓦，能源使用效率也增至3.5倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-A.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/arm-neoverse-v3ae-cpu.png" style="width: 198px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-B.jpg" style="width: 600px;" /></p> <p>基本上，Jetson Thor系列可以執行多個AI工作流程，實現具有邏輯推理能力的即時推論處理，這對追求高效能表現的物理AI應用很重要，像是人形機器人、農業與醫療手術輔助，因為機器人需要與人們與物理世界進行即時、聰明的互動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-I.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-I.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-K.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-K.jpg" style="width: 298px;" /></a></p> <p>除了提供強大的硬體運算環境、能用於執行生成式AI模型，Jetson Thor系列可沿用Nvidia長期發展的Jetson軟體堆疊平臺，像是軟體開發套件JetPack，當中整合工具包CUDA、程式庫cnDNN、推論執行環境TensorRT等AI運算堆疊，以及PyTorch、LLM、SGLang、Triton Inference Server等AI框架、Jetson Linux元件與程式庫，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-E.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-F.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-F.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-G.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-G.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-H.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-H.jpg" style="width: 198px;" /></a></p> <p>而且，Jetson Thor系列也支援常見的AI框架，可完整相容橫跨雲端到邊緣環境的Nvidia軟體堆疊，像是用於機器人模擬與開發的Nvidia Isaac平臺、人形機器人基礎模型Isaac GR00T，影像視覺AI應用框架Metropolis，即時處理感測器資料的框架Holoscan。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-4.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-6.jpg" style="width: 298px;" /></a></p> <p><a href="https://forums.developer.nvidia.com/t/jetpack-7-0-jetson-linux-38-2-for-nvidia-jetson-thor-is-now-live/343128">8月底Nvidia</a>正式推出<a href="https://developer.nvidia.com/embedded/jetpack">JetPack</a>的7.0版，支援Jetson T5000與Jetson AGX Thor Developer Kit，當中搭配的作業系統Jetson Linux 38.2，採用6.8版Linux系統核心，以及基於Ubuntu 24.04 LTS而成的根檔案系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson_modules-software_roadmap-2025-7-9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson_modules-software_roadmap-2025-7-9.jpg" style="width: 600px;" /></a></p> <p>至於Jetson AGX Thor Developer Kit，當中包含的元件除了Jetson T5000，還有主動式散熱器、風扇、電源供應器，以及提供豐富連接能力的參考載板，提供USB-A、USB-C、乙太網路（RJ45：5GbE、QSFP28：4個25GbE）、DisplayPort 1.4a、HDMI 2.0b、PCIe 5.0（M.2外形NVMe固態硬碟、Wi-Fi 6E與藍牙模組）等多種連接埠。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-7.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson AGX Thor-IO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20AGX%20Thor-IO.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Nvidia Jetson AGX Thor Developer Kit</span></strong><br /> ●原廠：Nvidia<br /> ●建議售價：Jetson AGX Thor Developer Kit為3,499美元，Jetson T5000為3,199美元<br /> ●搭配單板電腦：Jetson T5000<br /> ●外形尺寸：243.19 x 112.40 x 56.88公釐<br /> ●T5000中央處理器：Arm Neoverse-V3AE，14核心<br /> ●T5000繪圖處理器：Nvidia Blackwell架構，2560個核心搭配96個Tensor Core<br /> ●T5000記憶體：LPDDR5X，128 GB<br /> ●儲存空間：1 TB M.2外形NVMe固態硬碟<br /> ●網路介面：1個RJ-45埠（5GbE）與1個QSFP25埠（4個25 GbE埠）<br /> ●T5000 FP4運算效能：2,070 TFLOPS<br /> ●顯示介面：DisplayPort 1.4a/HDMI 2.1，支援8Kp30解析度<br /> ●連接介面：2個USB 3.2、2個USB-C 3.1<br /> ●耗電量：40瓦至130瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/18 19:22作者李宗翰https://www.ithome.com.tw/review/170954
Momo揭露最新GenAI應用，靠GAI偵測違規商品內容，百萬件商品都能全面品檢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p data-node-id="b154cc97-c3c4-45a9-9dc4-50612695c295" data-node-type="paragraph" data-pm-slice="0 0 []">去年中，Momo富邦媒推出了自己的開店平臺Mo店+，一年來收錄超過百萬件商品，相關產品圖檔更多達數百萬張，如何確保龐大上架商品照片的合規，成了Momo新平臺的挑戰。初起，只能用透過抽樣人工檢查，不只判斷效率不高，也容易有疏漏，直到生成式AI技術的成熟，Momo在一場活動中，首度公開他們如何用生成式AI，從百萬上架商品中，找到違規商品內容的判讀準確率高達99%。</p> <p data-node-id="c3314616-e247-4212-aa95-a5aeefbfbb83" data-node-type="paragraph">早在2022年底ChatGPT上線後，Momo就開始嘗試這項技術，但當時這類技術不夠成熟，Momo只用於內部測試，沒有正式應用到電商業務上。富邦媒體科技資料科學研發課課長謝百恩透露，直到Gemini推出1.5版，Momo才開始正式採用，第一個導入的場景就是商品內容偵測。</p> <p data-node-id="365222ef-09f4-43af-8489-f870582cea81" data-node-type="paragraph">開店平臺的第三方商品圖片多達數百萬張，而且店家還是不時更新圖片，謝百恩表示，為了控管上傳圖檔的品質符合規範，傳統做法是靠人工抽檢，需耗費大量人力，而且不容易抽查到違規的商品圖片。</p> <p data-node-id="5f0aa9ee-1b7c-4c0c-af8d-06c178de0af3" data-node-type="paragraph">對開店平臺來說，管理上百萬款商品有兩大課題，一個是商品分類，這是後續行銷推薦的重要基礎，另一個課題是違規商品偵測，這是電商合規的重要工作。</p> <p data-node-id="b6d27460-4e49-4bb9-bd2a-47aa828b5e77" data-node-type="paragraph">Momo原本就有一套自行訓練的商品分類模型，可以依據上傳商品的描述，來推薦十大建議分類，原本的分類正確率高達94%，但是Momo還不滿意，只靠人工來抽檢，來找出錯誤的分類推薦，不過，人工抽查成效有限，後來，Momo改用Gemini進行複查，重複檢查自家分類模型的建議結果，找出疑似分類錯誤的商品，再由品管人員確認，將商品分類的正確率提高到了99%。</p> <p data-node-id="5ce36e36-6ba0-4b26-aaea-4e6d8f1548cd" data-node-type="paragraph">不只用於商品分類，Momo也同樣用Gemini來偵測違規商品。為了避免違反不同主管機關各類型的法規要求，Momo的「禁止和限制商品政策」相關規範多達50多條，但傳統也只能靠人工把關，很難逐一審查高達百萬件的商品，只能抽樣檢查。</p> <p data-node-id="92210465-d348-40d2-b72f-24f90e9a6a8e" data-node-type="paragraph">Momo改用Gemini技術，依據違規政策，來進行商品資訊的語意判斷，找出疑似違規的商品，再交給品管人員複查，找出違規商品的準確率高達99%。</p> <p data-node-id="b63f561d-fa9d-4837-b102-28c0dc52e4ca" data-node-type="paragraph">不只是商品文字判讀，Momo也開始善用Gemini的多模態理解能力，來設計一個菸品偵測模型。傳統做法只能根據文字來做基本檢查，商品圖片只能靠有限的人工抽查。</p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph">謝百恩舉例，像是有店家上傳了自己拍的椅子商品照片，圖片一角拍到菸品，有可能違反菸害防制法的菸品廣告規範，得面臨高額罰款的風險。</p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph">Momo有一套嚴格的人工審查做法，但靠AI可以找到這套做法的漏網之魚，像是在圖片角落不小心拍到了菸品，也能分辨出來排除。Momo結合了原有的文字模型來識別商品文字資料，搭配Gemini多模態模型來識別商品的圖片，結合兩者結果找出疑似違規的商品，再交給品管人員複查。上線不到半年，到2024年底就發現了24件異常。</p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph"><strong>Momo先將Gemini用於商品分類輔助和商品內容的偵測。</strong></p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph"><img alt="" src="https://s4.itho.me/sites/default/files/images/momo-gai.jpg" /></p> <p data-node-id="aa5a3c54-6a70-4e38-8488-f395ffb78023" data-node-type="paragraph">謝百恩強調，透過生成式AI的做法，可以做到商品全檢的程度，不只是商品上架時檢查，連商品後續更新圖片時，每一次都可以檢查。Momo一個月靠生成式AI進行各種檢查的商品圖片總數，最少數十萬張，最多更可處理高達上百萬張。</p> <p data-node-id="1f5840b8-4275-494e-a423-4bf248dd24dd" data-node-type="paragraph">不只用於商品內容偵測，去年，Ｍomo也用Gemini來提供商品包材的建議，借助Gemini多模態模型，分析商品資料，像是商品描述，商品圖檔，結合包裝資料，包裝策略，針對商品特性來決定是否可用環保袋而不用紙箱包裝。導入三個月就提升了一成的環保袋使用率，減少不少紙箱的消耗。</p> <p data-node-id="01fa98c4-5ab9-4058-b88a-fe6d7152441f" data-node-type="paragraph">除了內部應用外，Momo也用Gemini來優化搜尋功能的個人化推薦能力。過去主要靠推薦詞庫來提供搜尋詞的建議給顧客，Momo現在改用LLM根據消費者的歷史搜尋和購買行為，生成個人化的搜尋詞建議清單，顧客對推薦詞的點擊率比詞庫推薦做法，提高了40%，更能符合顧客的需求。或像是節慶檔期，Momo用Gemini針對數十個商品樂別，自動建立更詳細的商品風格資訊，自動從數萬款商品中進行推薦，再提供給行銷團隊確認AI推薦結果，不用像過去得靠人工從百萬商品中挑選符合活動提的清單，大幅減少了人工作業時間。</p> <p data-node-id="4602ae89-9907-401e-a5b4-6613ff3702fc" data-node-type="paragraph">下一步，謝百恩透露，Momo正在積極實驗AI代理應用，已經展開多項內部專案測試。</p> <p data-node-id="6b1d800c-cb8f-43b0-ad27-d5e8ce02dad5" data-node-type="paragraph">謝百恩表示，AI輔助電商，未來有三大方向，從個人化到預測需求，從效率工具到智慧核心，從技術應用到體驗升級。AI不只是回應消費者已知的需求，還可以精準洞察、預測甚至喚醒消費者的潛在需求。</p> </div></div></div>
2025/9/18 18:53作者王宏仁https://www.ithome.com.tw/news/171279
【資安日報】9月18日，逾500個NPM套件被植入具大量散播能力的蠕蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定軟體套件發布平臺NPM的供應鏈攻擊事故，8月底有開源建置工具Nx被植入惡意程式的情況，後續資安業者Wia發現有超過6,700個GitHub私人儲存庫遭到公開，如今又有大規模攻擊事故出現，揭露此事的資安業者Socket指出，駭客植入會自我散布的蠕蟲，並在2天內感染超過500個套件，而且，這波攻擊很可能還在延續。</p> <p>上週澳洲網路安全中心（ACSC）、資安業者Rapid7<a href="https://www.ithome.com.tw/news/171147">警告勒索軟體Akira針對SonicWall防火牆下手的情況加劇</a>，本週SonicWall對使用雲端組態備份機制MySonicWall的用戶表示，此服務出現資料外洩的情況，攻擊者有機會將相關組態用於對防火牆發動後續攻擊。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171263"><strong style="font-size: 22px;">供應鏈攻擊兩天內急速擴散！逾500個NPM套件被植入具大量散播能力的蠕蟲</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3740dba254a802cbd91562cb1a87b1215b2fea8c-3398x1324.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/3740dba254a802cbd91562cb1a87b1215b2fea8c-3398x1324.png" style="width: 300px; float: right;" /></a></p> <p>軟體供應鏈攻擊的威脅加劇，近期有許多軟體套件發布平臺NPM的套件開發者遭到攻擊，導致他們維護的套件遭到植入惡意軟體的情況，但如今有資安業者也受害，而受到各界關注。</p> <p>資安業者Socket指出，資安業者CrowdStrike用來發布NPM套件的帳號crowdstrike-publisher出現遭到破壞的情況，他們研判很有可能是軟體供應鏈攻擊活動Shai-Hulud的一部分，因為駭客使用的惡意軟體相同，且當中包含名為bundle.js的指令碼。此指令碼的主要用途，包含下載帳密掃描工具TruffleHog並執行，然後搜尋受害電腦存放的憑證及雲端帳密、偵察開發者的CI帳密資料，並在特定的儲存庫建立未經授權的GitHub Actions工作流程，最終將前述提及的敏感資料外流。</p> <p>在經過相關通報之後，受影響的套件NPM已經下架處理，總共約有500個套件受到影響，值得留意的是，不光是CrowdStrike的帳號遭駭，還有Operato、Things Factory等多個企業組織也遇害。</p> <p><a href="https://www.ithome.com.tw/news/171270"><strong style="font-size: 22px;">SonicWall防火牆雲端設定檔備份外洩，要求用戶立即更換憑證</strong></a></p> <p>SonicWall通知其用戶在MySonicWall帳號中儲存的防火牆雲端設定檔備份，曾遭未經授權的存取，這些檔案包含密碼、金鑰與其他敏感資訊，要是落入攻擊者手中，可能降低滲透防火牆的難度。SonicWall表示，事件發現後已關閉未授權的存取點，並與國際執法及資安單位展開調查，同時要求受影響的使用者立即執行隔離與憑證重設。</p> <p>官方強調，影響範圍限於有將設定檔備份在MySonicWall的防火牆。使用者可登入MySonicWall確認狀態，如果帳號頁面以提示橫幅標示受影響的序號，代表這些防火牆必須立即採取修復步驟，當帳號未顯示受影響序號，但過去確曾使用雲端備份，SonicWall將在後續提供判斷方式。</p> <p><a href="https://www.ithome.com.tw/news/171251"><strong style="font-size: 22px;">ShinyHunters宣稱從Salesloft Drift事件竊得15億筆Salesforce資料</strong></a></p> <p>近日涉嫌駭入Google、思科、安聯人壽等知名企業的駭客組織ShinyHunters，本周宣稱已經自Salesloft Drift駭入760家企業的客戶關係管理（CRM）系統Salesforce資料庫，取得近15億筆用戶資料。</p> <p>今年8月起，陸續有思科、安聯人壽公告遭不明人士竊走客戶資料，當時僅有Google說明是Salesforce系統遭駭。Google自家資安團隊及服務部門Mandiant公告調查結果，攻擊者自8月8日至8月18日期間，濫用整合Salesforce的Salesloft Drift OAuth權杖登入其CRM系統，並竊走客戶資料及其他內部系統資料。</p> <p>針對作案的過程，這群駭客聲稱，他們一開始利用開源數據挖掘工具TruffleHog掃瞄，尋找網路上是否有外洩的Salesloft Drift憑證，最後他們找到Salesloft公司的GitHub密碼。</p> <p><a href="https://www.ithome.com.tw/news/171245"><strong style="font-size: 22px;">記憶體攻擊新手法Phoenix，可繞過DDR5的Rowhammer防禦機制</strong></a></p> <p>ETH Zurich與Google研究團隊揭露能在量產DDR5上實際運作的Rowhammer攻擊手法，稱之為Phoenix。研究證實，在一般電腦平臺預設設定下，所有2021年至2024年間出貨的15條SK hynix DDR5 UDIMM都能被攻破，並以分頁表（Page Table）翻轉取得系統控制權，最快僅需109秒即可完成。該研究已在2025年6月6日透過瑞士國家網路安全中心進行通報，並在9月15日解禁，同時登記為CVE-2025-6202。</p> <p>過去TRR被視為阻擋Rowhammer的主要手段，但研究團隊透過逆向工程發現，DDR5在晶片內實作的TRR（Target Row Refresh）其實並不是每次存取都會立即檢查，而是以較稀疏的取樣來判定是否發生Rowhammer。也就是說，TRR的取樣間隔可能長達數百甚至數千個DRAM自動重新整理周期（tREFI）。</p> <p>研究指出，近期的AMD Zen 4、Intel Alder Lake與Raptor Lake的記憶體控制器未使用DDR5的RFM（Refresh Management）指令，現行防護仍高度仰賴各廠商未公開的TRR設計。</p> <p><a href="https://www.ithome.com.tw/news/171272"><strong style="font-size: 22px;">壽司郎傳出個資外洩事故，客戶收到他人點數到期通知</strong></a></p> <p>為了讓顧客經常上門消費，許多餐飲業者都會實施會員集點制度，消費者能透過點數折抵消費或是兌換禮物。但最近有一起資料外洩事故，與業者通知用戶點數到期有關，在客戶於社群網站透露後，引起國內媒體爭相報導。</p> <p>這起事故的主角，是全臺擁有超過50家分店的迴轉壽司店「壽司郎」。事件的揭露，是有人9月14日在社群網站Threads發文指出，壽司郎點數到期通知疑似寄給所有到期的人，並表示他因此知道巷口的阿伯有多少點數。此貼文一出，迄今有超過44萬人看過、4,300人按讚、1,100人轉貼。該名用戶表示，他總共收到64封點數到期通知信。</p> <p>對此，有其他Threads用戶留言表示，他聽聞有人收到600封通知信，並指出這些通知信只有姓名，並未包含其他個資，不然事態可能會更加嚴重。但也有用戶認為，其實姓名和電子郵件信箱都算是個資，這次的壽司郎出錯似乎很嚴重。</p> <p><strong style="font-size: 22px;">半導體測試設備供應商致茂電子遭網路攻擊，勒索軟體Warlock聲稱是他們所為</strong></p> <p>9月17日晚間半導體儀器測試大廠致茂電子<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=184119&SPOKE_DATE=20250917&COMPANY_ID=2360">發布資安重訊</a>，指出他們的資訊系統遭到網路攻擊，事發後資安團隊立即啟動防禦機制因應。而對於這起事故可能會帶來的影響，致茂表示根據初步評估，沒有個資、機密，以及重要的資料文件出現外洩的情況，對於公司營運無重大影響。</p> <p>雖然致茂並未透露遭到的攻擊類型，但根據<a href="https://finance.ftvnews.com.tw/news/detail/2025916W0812">民視新聞網的報導</a>，勒索軟體駭客Warlock聲稱是他們所為。我們也在網路上搜尋，威脅情報網站<a href="https://www.hendryadrian.com/ransom-chroma-com-tw/">CyberSecurity News Everyday</a>、<a href="https://www.hookphish.com/blog/ransomware-group-warlock-hits-chroma-com-tw/">HookPhish</a>、<a href="https://www.ransomware.live/id/Y2hyb21hLmNvbS50d0B3YXJsb2Nr">Ransomware.Live</a>皆發布相關消息，從這些網站的公告也看到Warlock在16日聲稱從該公司竊得資料，但攻擊者手上究竟有多少檔案，仍不得而知。</p> <p>比較特別的是，Ransomware.Live提到，過程裡駭客運用多款竊資軟體犯案的情況，他們疑似運用至少4款惡意程式，包括：Lumma、RedLine、StealC、Raccoon。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182304/apt/china-linked-apt41-targets-government-think-tanks-and-academics-tied-to-us-china-trade-and-policy.html">針對APT41假冒美國議員攻擊與美中貿易談判有關的政府機關、智庫、學者，資安業者Proofpoint揭露相關細節</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/scattered-spider-resurfaces-with.html">ShinyHunters傳出接下來針對金融、科技領域而來，濫用Bland AI進行大規模社交工程攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ta558-uses-ai-generated-scripts-to.html">駭客組織TA588鎖定巴西旅館而來，透過AI生成的指令碼散布木馬Venom RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/muddywater/">伊朗駭客MuddyWater發動新一波攻擊，透過Cloudflare散布多階段惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/microsoft-onedrive-auto-sync-flaw/">微軟雲端檔案共享服務OneDrive的自動同步機制存在缺陷，恐洩露SharePoint Online的企業機密</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171253"><strong style="font-size: 22px;">將中小企業與NGO納入資安防禦網！資安院打造健檢團與服務團，可結合課程讓老師帶學生實務參與</strong></a></p> <p>資安人才短缺是全球性的挑戰，臺灣亦不例外，而如何將資安文化與意識向一般民眾普及，更是一大難題。為建構全民參與的社會資安防護體系，政府與上市櫃公司雖已積極強化資安投入，但中小企業與非營利組織（NGO）也是臺灣創新的重要動力，同樣需要被納入防護網。為此，國家資通安全研究院（資安院）正積極著手發展相關對策。</p> <p>在眾多推動措施中，我們特別關注兩項專案：「資安服務團」與「資安健檢團（Cybersecurity Clinic）」，因為它們都採用實地輔導方式，協助中小企業、微型企業與NGO強化防護能力。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171243"><strong>【9月17日】中國駭客CamoFei利用Roundcube攻擊臺灣教育機構</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171216"><strong>【9月16日】ShinyHunters聲稱駭入擁有多個時尚品牌的公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171199"><strong>【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</strong></a></p> </div></div></div>
2025/9/18 16:56作者周峻佑https://www.ithome.com.tw/news/171274
壽司郎傳出個資外洩事故，客戶收到他人點數到期通知
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓顧客經常上門消費，許多餐飲業者都會實施會員集點制度，消費者能透過點數折抵消費或是兌換禮物。但最近有一起資料外洩事故，與業者通知用戶點數到期有關，在客戶於社群網站透露後，引起國內媒體爭相報導。</p> <p>這起事故的主角，是全臺擁有超過50家分店的迴轉壽司店「壽司郎」。事件的揭露，是有人9月14日<a href="https://www.threads.com/@leo10152/post/DOjPhbWE5Ji?hl=zh-tw&xmt=AQGz-IwJqbeO4vAwb4dcNl5RtyzOM5bPjkvoz6Eg8TiR1Xk">在社群網站Threads發文指出</a>，壽司郎點數到期通知疑似寄給所有到期的人，並表示他因此知道巷口的阿伯有多少點數。此貼文一出，迄今有超過44萬人看過、4,300人按讚、1,100人轉貼。該名用戶表示，他總共收到64封點數到期通知信。</p> <p>對此，有其他Threads用戶留言表示，他聽聞有人收到600封通知信，並指出這些通知信只有姓名，並未包含其他個資，不然事態可能會更加嚴重。但也有用戶認為，其實姓名和電子郵件信箱都算是個資，這次的壽司郎出錯似乎很嚴重。</p> <p>在事故曝光之後，<a href="https://www.threads.com/@sushiro.tw/post/DOkbLCJkqDF/%E8%A6%AA%E6%84%9B%E7%9A%84%E9%A1%A7%E5%AE%A2%E6%82%A8%E5%A5%BD%E5%B0%8D%E6%96%BC%E6%9C%AC%E6%AC%A1%E9%BB%9E%E6%95%B8%E5%88%B0%E6%9C%9F%E9%80%9A%E7%9F%A5%E4%BF%A1%E4%BB%B6%E9%80%A0%E6%88%90%E7%9A%84%E4%B8%8D%E4%BE%BF%E8%88%87%E5%9B%B0%E6%93%BE%E6%88%91%E5%80%91%E6%B7%B1%E6%84%9F%E6%8A%B1%E6%AD%89%E7%B6%93%E6%9F%A5%E7%9B%AE%E5%89%8D%E7%B3%BB%E7%B5%B1%E7%99%BC%E4%BF%A1%E7%A8%8B%E5%BA%8F%E5%87%BA%E7%8F%BE%E7%95%B0%E5%B8%B8%E6%8A%80%E8%A1%93%E5%9C%98%E9%9A%8A%E5%B7%B2%E7%B7%8A%E6%80%A5%E4%BB%8B%E5%85%A5%E8%99%95%E7%90%86%E4%B8%A6%E6%8C%81%E7%BA%8C%E9%87%90%E6%B8%85%E5%95%8F%E9%A1%8C%E6%A0%B9%E6%BA%90%E6%9C%9F%E7%9B%BC%E7%9B%A1%E5%BF%AB%E6%81%A2%E5%BE%A9%E6%AD%A3%E5%B8%B8%E9%81%8B%E4%BD%9C%E8%8B%A5%E6%82%A8%E9%A1%98">壽司郎在該則發文的下面留言回應</a>，表示他們經過調查之後，是系統的發送電子郵件的程序出現異常，技術團隊緊急介入處理，並釐清問題的根源。</p> <p>究竟後續處理的結果如何？壽司郎並未透露，<a href="https://www.threads.com/@leo10152/post/DOlbDjRk68J?xmt=AQF0NgWVzq2WM1A96dsk_imB4NIfdMo_Gb1fH7062oZ3Hg">原先揭露此事的網友表示</a>，他收到壽司郎的通知信，表示這起事故是委外廠商發送通知信的過程出現異常，導致收信人部分資料可能會誤植到通知其他客戶的信件。對此，他們採取應對措施，包含立刻停止異常發信的情況，並尋求第三方單位合作進行檢測，確認未有持續性的外洩風險；該公司也啟動內部稽核機制，檢討對於委外廠商的監督流程。該公司也對於受到影響的客戶，提供500元電子折價券。</p> </div></div></div>
2025/9/18 16:05作者周峻佑https://www.ithome.com.tw/news/171272
資安院推中小企業資安防護指南手冊，預告臺版Cyberseek明年上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推動中小企業強化資安，幫助臺灣資安人才發展，是這些年來政府持續設法在因應的挑戰，近期國家資通安全研究院（資安院）公布新成果，他們不僅已經<a href="https://www.ithome.com.tw/news/171253">打造資安服務團與資安健檢團（Cybersecurity Clinic）</a>，還有兩項重要專案的發展，受到我們關注，分別是資安推廣工具「資安星際指南」手冊，以及臺灣資安人才資源專區。</p> <p>資安院人才培力中心主任鄭瑋表示，由於資安服務團與資安健檢團的規模仍有限，難以觸及所有需求單位，因此資安院在推動擴大規模的同時，同時也將實地輔導課程的教材內容，整理出一系列「資安防護指南」手冊。</p> <p>這套手冊預計將發布5個版本，希望讓所有中小企業、微型企業與非營利組織（NGO）作為強化資安的實用參考工具。目前已發布的兩本為「資安基礎概論篇」、「資通系統安心委外篇」，後續還將推出的是「網路安全管理實務篇」、「資安制度與風險管理篇」，以及「個資管理篇」。</p> <p>資安院人才培力中心經理胡馨元提出更多具體說明，她表示，在這套手冊的設計考量上，他們主要希望藉由故事中職場或日常生活情境，自然引入重要資安觀念，同時也以臺灣特有種為靈感來創造角色，搭配這些淺顯易懂、引人入勝的故事，希望讓廣泛企業老闆與員工都能自我閱讀與學習，降低他們接觸資安的門檻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）資安星際指南_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89%E8%B3%87%E5%AE%89%E6%98%9F%E9%9A%9B%E6%8C%87%E5%8D%97_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 338px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）資安星際指南_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89%E8%B3%87%E5%AE%89%E6%98%9F%E9%9A%9B%E6%8C%87%E5%8D%97_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 338px;" /></a></p> <p>另一個新專案是打造臺灣資安人才資源專區，也就是仿效國際間Cyberseek計畫，建立國內專屬的資源整合網站，目前已在製作階段，當中不僅能夠提供職缺訊息，也會串接人力銀行的資訊，並也特別規畫資安人求職旅程的內容，結合進修、轉職、證照與職缺等訊息。這項計畫預計今年底陸續完成，2026年可以上線。</p> <p>至於未來的願景，資安院人培中心希望，能夠做到整合全國的資安培訓資訊與資源，而這需要與更多相關部會來合作完成。國際間已有實例，像是<a href="https://security-portal.nisc.go.jp/">日本國家網路安全中心（NISC）就有這樣的規畫，建立一個資訊集中的資安資源入口網站</a>，這樣的資源整合將便於擴大使用者參與，像是當中也設計一套網路安全課程，可依目的、關係、角色別，讓不同性質使用者都能找到適當的學習資源。至於何時能夠打造這樣的整合性資安資源平臺？資安院並未說明，而我們也希望這樣的目標能盡早達成。</p> <p> </p> </div></div></div>
2025/9/18 16:31作者羅正漢https://www.ithome.com.tw/news/171261
中國防火長城資料外洩，近600 GB原始碼與內部文件曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國網路審查系統防火長城技術團隊發生資料外洩，9月11日公開的檔案總量接近600 GB，包含原始碼、內部通訊、工作紀錄與打包鏡像（Mirror），顯示其研發與營運細節前所未見。外洩來源為防火長城研發的核心技術團隊，包括積至（Geedge Networks）與中國科學院資訊工程研究所IIE旗下的MESA實驗室。</p> <p>長期追蹤中國網路審查技術研究的獨立報告網站<a href="https://gfw.report/blog/geedge_and_mesa_leak/en/">GFW Report</a>，稱其為防火長城史上最大規模資料外洩，目前沒有明確證據證實是內部故意洩漏或遭駭客入侵。</p> <p>洩漏檔案可透過BitTorrent與HTTPS鏡像下載，最大檔案mirror/repo.tar本身就接近500 GB，為RPM打包伺服器鏡像，另有geedge_docs、mesalab_docs、Jira匯出檔與Git倉庫備分等數十GB檔案。這些內容不僅涵蓋系統模組，還包括套件依賴與版本時間軸，使研究者能從供應鏈角度觀察產品生命周期。此類完整的工程鏡像過去極少外流，這使得外界能夠從程式碼到維運紀錄進行還原。</p> <p>外洩內容顯示，中國的網路封鎖並非單純由內部專案支撐，而是以可重複部署的產品化方式存在。具體例子是名為天狗安全閘道（Tiangou Secure Gateway，TSG）這類商用化平臺， Geedge官方頁面顯示其提供整合深度封包檢測與SSL/TLS加密流量視覺化，具備標準化交付能力，而這打破了外界對防火長城只存在於中國體制內的印象。</p> <p>文件中直接提及緬甸、巴基斯坦、衣索比亞和哈薩克等國，並透露在當地電信與資料中心整合的技術方案。過去關於中國審查技術輸出的報告多屬推測，這次則有明確文件支撐。</p> <p>MESA實驗室與Geedge Networks的關聯，這次也透過文件與Git提交紀錄被清楚對照。從研究人員、學生到後續進入企業的承接過程，外洩材料提供了直觀的佐證，這使得外界能更清楚理解，中國的網路審查技術，如何從學術單位逐步轉化為工程化產品，再透過公司實體對內與對外提供服務。</p> <p>除了技術與供應鏈，外洩檔案還包含會議紀錄與策略文件，談及翻牆工具的研究、建立新疆分中心，以及將流量歸因到真實身分等功能的討論。這些資訊過去也大多僅出現在政策文件或外界臆測，首次以內部文字檔形式出現，提供新的觀察依據。</p> <p>對有意下載並分析這批資料的研究者，操作安全應列為首要考量。GFW Report建議在無網路的隔離虛擬機中分析，以降低風險。另可配合一般數位取證實務，如唯讀掛載、計算雜湊比對、使用多引擎掃描、避免執行未知二進位或含巨集文件、保留取證鏈等動作提高安全性。</p> <p>中國防火長城外洩事件之所以受矚目，不僅在於規模，更在於其讓外界首次得以清楚檢視中國防火長城的工程細節。</p> </div></div></div>
2025/9/18 16:54作者李建興https://www.ithome.com.tw/news/171273
SonicWall防火牆雲端設定檔備份外洩，要求用戶立即更換憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SonicWall<a href="https://www.sonicwall.com/support/knowledge-base/mysonicwall-cloud-backup-file-incident/250915160910330">通知</a>其用戶在MySonicWall帳號中儲存的防火牆雲端設定檔備份，曾遭未經授權的存取，這些檔案包含密碼、金鑰與其他敏感資訊，要是落入攻擊者手中，可能降低滲透防火牆的難度。SonicWall表示，事件發現後已關閉未授權的存取點，並與國際執法及資安單位展開調查，同時要求受影響的使用者立即執行隔離與憑證重設。</p> <p>官方強調，影響範圍限於有將設定檔備份在MySonicWall的防火牆。使用者可登入MySonicWall確認狀態，如果帳號頁面以提示橫幅標示受影響的序號，代表這些防火牆必須立即採取修復步驟，當帳號未顯示受影響序號，但過去確曾使用雲端備份，SonicWall將在後續提供判斷方式。</p> <p>官方提供的標準流程為先隔離（Containment），再重設（Remediation）。管理者應先停用或制來自WAN的管理存取，僅允許可信來源透過HTTP/HTTPS、SSH、SSLVPN、IPsec VPN或SNMP連線。完成隔離後，必須全面更新本地帳號密碼、重綁TOTP、多項金鑰與共享密碼，包括IPsec預共享金鑰、LDAP或RADIUS整合密碼、SNMPv3使用者憑證、DDNS帳號、郵件與FTP服務密碼，以及無線網路的預共享金鑰。</p> <p>對需要快速完成更新的環境，SonicWall提供一份可選的修訂設定檔，當中已自動隨機化本地使用者密碼與IPsec金鑰，並重設TOTP綁定。匯入後防火牆會立即重啟，使用者需重新登入並設定多重驗證。在完成金鑰與密碼重新配置前，IPsec VPN 使用者存取會暫時中斷，官方建議安排在維護時段進行。</p> <p>官方<a href="https://www.sonicwall.com/support/knowledge-base/mysonicwall-cloud-backup-file-incident/250915160910330">說明</a>，事件影響少於整體防火牆安裝基數的5％，目前未發現備份檔遭外流，事件為針對雲端備份服務的暴力破解，非勒索事件。</p> <p>本次事件後續處理不僅是帳號密碼的更新，用戶還需針對跨站VPN、目錄服務整合與郵件通知等依賴SonicOS設定檔的服務進行全面盤點與同步。完成相關設定重設與同步後，官方建議建立新的備份基準，以確保未來復原及維運作業的一致性。</p> <p>目前SonicWall已在官方事件頁持續更新最新狀態，並提供技術文件與支援服務，受影響用戶可透過MySonicWall帳號開立案件，獲得專人協助。</p> </div></div></div>
2025/9/18 15:28作者李建興https://www.ithome.com.tw/news/171270
科學家發表可預測未來疾病的Delphi-2M模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自<a href="https://www.ebi.ac.uk/about/news/research-highlights/ai-model-forecasts-disease-risk-decades-in-advance/" target="_blank">歐洲分子生物實驗室</a>（European Molecular Biology Laboratory，EMBL）、德國癌症研究中心（German Cancer Research Centre，DKFZ）以及哥本哈根大學（University of Copenhagen）的科學家們本周發表了一個可預測未來疾病的Delphi-2M模型，它可根據人類的病史以及生活習慣，以預測未來10年或20年罹患逾1,000種疾病的機率，<a href="https://www.nature.com/articles/s41586-025-09529-3" target="_blank">該研究已登上《自然》（Nature）期刊</a>。</p> <p>Delphi-2M採用類似大型語言模型（LLM）的演算法概念，以英國生物樣本庫（UK Biobank）中40萬名參與者的資料進行訓練，讓它能夠根據個人過往的病史，再加上其年齡、性別、BIM，以及抽菸與喝酒等習慣，一次預測罹患1,258種疾病的風險，例如是否或何時會罹患癌症、糖尿病、心臟病、呼吸系統疾病等各種疾病。它的輸出形式有些像天氣預報，只不過天氣預報系統說的是「這個周末有70%會下雨」，Delphi-2M則說「在未來某年有70%罹患某病的機率。」</p> <p><a href="https://www.nature.com/articles/d41586-025-02993-x" target="_blank">DKFZ科學家Moritz Gerstung表示</a>，過去醫療人員必須跑此數十個模型才能給出完整評估，但Delphi-2M一次就完成。</p> <p>此外，對於大型數疾病，Delphi-2M的預測準確度與目前用來評估單一疾病發病風險的模型相當，甚至更高；而且Delphi-2M的表現也優於使用生物標記（如體內特定分子或化合物濃度）來預測多種疾病風險的機器學習演算法。Gerstung說，它的效果好得驚人。</p> <p>其實科學家也利用丹麥全國患者登錄系統（Danish National Patient Registry）內的190萬筆資料來驗證Delphi-2M的有效性，其結果雖然略遜於UK Biobank樣本，但依然相當準確，代表它具有泛化能力，可適應不同國家的醫療資料。</p> <p>科學家們期望未來Delphi-2M未來可納入更多國家的病歷資料，以及結合更多個人生活與行為資訊，以改善模型，長遠目標則是將它嵌入臨床決策系統，讓醫生在看診時能夠即時獲得長期的風險預測。</p> </div></div></div>
2025/9/18 15:51作者陳曉莉https://www.ithome.com.tw/news/171271
大規模NPM供應鏈攻擊Shai-Hulud逾500個套件被植入具大量散播能力的蠕蟲，CrowdStrike帳號遭挾持受…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈攻擊的威脅加劇，近期有許多軟體套件發布平臺NPM的套件開發者遭到攻擊，導致他們維護的套件遭到植入惡意軟體的情況，但如今有資安業者也受害，而受到各界關注。</p> <p>資安業者Socket指出，<a href="https://socket.dev/blog/ongoing-supply-chain-attack-targets-crowdstrike-npm-packages">資安業者CrowdStrike用來發布NPM套件的帳號crowdstrike-publisher出現遭到破壞的情況</a>，他們研判很有可能是軟體供應鏈攻擊活動<a href="https://socket.dev/blog/tinycolor-supply-chain-attack-affects-40-packages">Shai-Hulud</a>的一部分，因為駭客使用的惡意軟體相同，且當中包含名為bundle.js的指令碼。此指令碼的主要用途，包含下載帳密掃描工具TruffleHog並執行，然後搜尋受害電腦存放的憑證及雲端帳密、偵察開發者的CI帳密資料，並在特定的儲存庫建立未經授權的GitHub Actions工作流程，最終將前述提及的敏感資料外流。</p> <p>在經過相關通報之後，受影響的套件NPM已經下架處理，總共約有500個套件受到影響，值得留意的是，不光是CrowdStrike的帳號遭駭，還有Operato、Things Factory等多個企業組織也遇害。Socket根據他們找到的有效酬載，指出該惡意程式會寫入GitHub Actions工作流程檔案，檔名是shai-hulud-workflow.yml。另一方面，他們也在程式碼儲存庫GitHub找到近700個號稱能用來緩解Shai-Hulud的儲存庫，究竟這些儲存庫的功能為何，Socket根據儲存庫的命名及時間，推測有可能是用來維護自動化的攻擊流程。</p> <p>針對這起攻擊事故的發現，Socket起初在世界協調時間（UTC）9月14日傍晚找到7個被感染的套件，後來在16號凌晨發現有CrowdStrike的套件遭到感染。</p> <p>特別的是，Socket提到在這兩天的時間裡，駭客打造7個版本的惡意程式，而且這些都是能自我散播的蠕蟲。這些版本的差異在於，駭客逐步提升活動的隱匿程度及感染效率。</p> <p>該惡意軟體主要的功能，就是自動竊取帳密資料，然後用於將工作流程植入其他儲存庫，從而達到自我散布的目的。在進行感染的過程裡，此惡意程式會自動竄改並重新發布套件。</p> <p>一旦惡意程式成功竊得帳密資料，就有機會取得寫入及重新發布的能力，並將受害套件解開，置換或建立惡意的bundle.js檔案，並竄改package.json加入預先安裝（postinstall）的指令碼。下游使用者若是下載並安裝這些有問題的NPM套件，惡意的預先安裝指令碼或是注入在bundle.js的程式碼就會執行，並在他們的電腦進行偵察，進一步挖掘其他儲存庫及套件的相關帳密資料。</p> <p>值得留意的是，Socket認為攻擊者可能還有打造其他版本的惡意程式，因為他們看到新版本出現後，有舊版程式再度出現感染的情況，原因是惡意軟體剛好有其他的帳號可以繼續感染。這種情況發生的原因，主要是GitHub Actions的工作流程雖然會觸發事件，但並非連續觸發，使得惡意軟體感染時間會出現明顯的間隔。因此，Socket認為，第7版很有可能不是駭客使用的最新惡意軟體。</p> <p>針對這波軟體供應鏈攻擊，其他資安業者也公布相關發現，例如，<a href="https://www.wiz.io/blog/shai-hulud-npm-supply-chain-attack">Wiz推測</a>很有可能與8月下旬的<a href="https://www.ithome.com.tw/news/170877">Nx供應鏈攻擊</a>有關，<a href="https://unit42.paloaltonetworks.com/npm-supply-chain-attack/">Palo Alto Networks確認有超過180個NPM套件受到影響</a>，並指出蠕蟲程式會透過.npmrc竊取NPM帳號的憑證，並挖掘環境變數與組態設定檔案，搜括GitHun私人存取憑證（PAT），以及AWS、GCP、微軟Azure等雲端服務的API金鑰。</p> </div></div></div>
2025/9/18 14:25作者周峻佑https://www.ithome.com.tw/news/171263
DeepMind與OpenAI都取得程式設計競賽ICPC的金牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI持續藉由間接參與各式競賽來與人腦較勁，<a href="https://www.ithome.com.tw/news/170164" target="_blank">OpenAI</a>及<a href="https://www.ithome.com.tw/news/170184" target="_blank">Google DeepMind</a>繼拿到2025年的國際數學奧林匹亞金牌之後，又在今年9月4日參與了有程式設計奧林匹亞之稱的國際大學生程式設計競賽（International Collegiate Programming Contest，ICPC），雙雙再度奪得金牌。</p> <p>ICPC是全球最具影響力的大學生程式設計競賽之一，旨在展現大學生的創新能力、團隊精神，以及在壓力下寫程式的能力，每個參賽隊伍由3名學生組成，2025年的ICPC有來自全球103個國家、近3,000所大學的隊伍晉級，並有139支隊伍進入總決賽，團隊必須在5小時內完成12道題目，排名依解題數優先，其次依總用時決定。</p> <p><a href="https://icpc.global/worldfinals/results-2025" target="_blank">今年有4組隊伍獲得了金牌</a>，依序是俄羅斯的聖彼得堡國立大學、日本東京大學、中國北京交通大學，以及中國清華大學。</p> <p>其中，<a href="https://deepmind.google/discover/blog/gemini-achieves-gold-level-performance-at-the-international-collegiate-programming-contest-world-finals/" target="_blank">DeepMind團隊</a>是以Gemini 2.5 Deep Think的進階版參賽，他們在主辦方的指導下，依照ICPC規則於遠端進行現場比賽，比人類參賽者晚了10分鐘才開始，正確解決了其中的10道題目。整體而言，Gemini 2.5 Deep Think在667分鐘內解決了10個問題，若與人類隊伍相比，排名第二。</p> <p><a href="https://x.com/MostafaRohani/status/1968360976379703569" target="_blank">至於OpenAI</a>則是以GPT-5及一個實驗性的推理模型來參加比賽，並說該系統在5小時內正確解決了全部的12道題目，甚至超越了冠軍的人類隊伍。</p> <p>DeepMind團隊認為，此一成就顯示AI可以成為程式設計者真正的夥伴，如果結合了比賽中最好的AI與人類解決方案，那麼所有12個題目都會得到完整及正確的解決；而且除了數學與程式碼之外，ICPC還需要系統可以理解複雜的問題、設計一個多步驟的邏輯計畫並完美地實施它，這些技能與科學及工程領域所需的技能相同，包括設計新藥或晶片，代表AI正在從單純的資訊處理，進化成能主動解決複雜問題的智慧系統。</p> </div></div></div>
2025/9/18 14:48作者陳曉莉https://www.ithome.com.tw/news/171264
將中小企業與NGO納入資安防禦網！資安院打造健檢團與服務團，可結合課程讓老師帶學生實務參與
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安人才短缺是全球性的挑戰，臺灣亦不例外，而如何將資安文化與意識向一般民眾普及，更是一大難題。為建構全民參與的社會資安防護體系，政府與上市櫃公司雖已積極強化資安投入，但中小企業與非營利組織（NGO）也是臺灣創新的重要動力，同樣需要被納入防護網。為此，國家資通安全研究院（資安院）正積極著手發展相關對策。</p> <p>自2022年以來，資安院正持續著手建立<a href="https://www.ithome.com.tw/news/158498">我國網路安全人才技能框架</a>，設計職能課綱並與民間訓練機構合作，還要建立訓練機構與推動種子教師培育。</p> <p>除了持續建構上述資安職能人培體系，還有更廣泛的全社會防禦人培計畫也在發展。資安院於8月底舉行的2025全社會資安韌性推動實務研討會，揭露3大拓展方向與初步成果，包括：（一）公民意識圈：目標強化社會大眾與學子資安意識，（二）實務應用圈：目標強化企業內部資安運作與事件應變能力，（三）核心戰略圈：目標建立具備防禦韌性國家級資安人才。</p> <p>在眾多推動措施中，我們特別關注兩項專案：「資安服務團」與「資安健檢團（Cybersecurity Clinic）」，因為它們都採用實地輔導方式，協助中小企業、微型企業與NGO強化防護能力。</p> <h3><strong>幫助中小企業與NGO有新方法，不僅推動資安服務團，更發展結合校園能量的資安健檢團</strong></h3> <p>對於推動全社會資安韌性，資安院院長林盈達語重心長表示，我們需要做的事其實非常之多，這次公布的成果是一部分，主要<a href="https://www.ithome.com.tw/news/160192">來自資安院在Google.org支持下啟動的「NICS台灣資安計畫」，協助對象為臺灣中小企業與非營利組織</a>。</p> <p>其中，有兩項重點專案有初步成果，分別是資安健檢團與資安服務團。林盈達表示，資安院正透過這些專案，逐步累積實務經驗，嘗試描繪出中小微型企業的防護基準，這將有助於未來將計畫擴大規模，讓更多業者與單位因此受惠。</p> <p>當前整體資安防禦面臨的重大挑戰，在於資源分配存在落差。儘管近年大型企業已不斷強化資安防禦，或因應法規要求提升防護等級，但中小企業與非營利組織往往因為資源有限，難以要求他們做到同等水準的防護。因此，如何透過政策協助這些單位強化資安能量，已成為提升整體資安韌性的關鍵。</p> <p>這次新推動的資安服務團與資安健檢團有何特色？資安院人才培力中心經理胡馨元提出具體的說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖6）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%966%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以「資安服務團」而言，胡馨元表示，過去政府機關推動資安都會有輔導過程，以及稽核是否符合資安法，因此，資安服務團也藉助了這樣的概念，由資安院與外部資安專業人員組成服務團，來提供深度服務。</p> <p>過去兩年來，資安服務團已經深入協助30家企業與組織，服務範圍亦涵蓋全國13個縣市。胡馨元表示，在服務過程中，團隊會實地前往組織兩天，提供基礎資安防護、網路安全管理的建議與協助，也會顧及資安治理基礎，涵蓋資安法規遵循、內部管理制度、資產盤點與個資保護等面向，同時也觸及系統開發與委外安全，例如安全軟體開發生命週期（SSDLC）、委外管理原則，以及供應鏈資安。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖5）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以「資安健檢團」而言，其串聯合作方式相當特別，能讓學生實際接觸企業防禦所面臨的挑戰，也同時將資安觀念回饋到小型企業與NGO。對於這樣的做法，我們認為，有機會形成兼顧人才培育並連結社會的模式。</p> <p>胡馨元解釋，資安院主要透過媒合國內各大專院校資工或資管系的老師，在校內開設公益性的資安服務課程。一開始，學生先要在課堂中學習基礎資安技術，之後由授課教師、助教與學生共同組成資安健檢團，實地走入企業組織，了解其面臨的資安挑戰，並提供建議與解決方案，同時也培養諮詢與溝通上的軟實力。</p> <p>甚至，他們也鼓勵學校老師可找不同科系背景的學生加入課程，不論是資管系、圖資系、法律系等各種，之後分組到不同組織去服務時，可以激發出更多元的想法。</p> <p>目前，資安健檢團與全國10間大專院校合作，已經開設3個學期總計12門課程，帶領400位學生參與，並且服務範圍涵蓋8個縣市的70多家企業組織。</p> <p>上述模式與概念其實並非資安院獨創，而是源自柏克萊加州大學長期網路安全研究中心（CLTC）的Cybersecurity Clinic課程課綱。胡馨元表示，這種作法已在美國當地發展出「美國網路安全診所的聯盟」，並吸引多所頂尖大學參與。</p> <p>值得一提的是，臺灣在去年也加入該聯盟，首批會員包括逢甲大學、臺灣大學與陽明交通大學。胡馨元指出，臺灣是該聯盟在美國之外的首個海外成員，而臺灣的經驗也為聯盟帶來啟發。因此今年該聯盟於亞太地區積極行動，將Cybersecurity Clinic的概念，引入到新加坡、斯里蘭卡等國家。</p> <p>不過，帶領學生團隊進入企業健檢是否存在挑戰與風險要注意？這是大家都會設想的問題，現場也有這方面的提問。</p> <p>逢甲大學專任講師陳子皓說明了資安健檢團服務經驗，他表示，這樣的課程對學生幫助很大，因為傳統大學課程多半偏重理論，透過實務參與，學生能更清楚理解企業真正需要的資安服務與防禦措施，這與參加校園黑客社或CTF競賽的訓練方向是截然不同。</p> <p>陳子皓並強調，更重要的是，必須引導學生正確使用技術。在課程開始前，會先訂立規範並簽署保密協定（NDA），他在課程與健檢過程中也會不斷提醒「要保持善良」，持續讓學生在過程中學會思考與理解資安專業倫理界線。由於學生仍處於探索社會、形成價值觀的階段，這會是帶領過程中需要持續注意的一環。</p> <p>另外他也觀察到，目前這些被輔導的中小型企業與NGO，普遍職員不到20人，或是僅有5到6名正職人員，而且許多中小公司的資安觀念也相對停滯，認為只要「內網」就等同於安全，像是一家傳產CNC製造業，20多年來從未接觸過任何資安服務，至於NGO人力更有限，資安意識也相對薄弱，因此他們認為，未來更需要先做好更多觀念溝通，可以讓輔導過程更加順利。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在上述兩項重點專案之外，還有幾個資安人才培育的重要發展項目，我們認為同樣值得關注。例如，資安院人才培力中心主任鄭瑋指出他們正發展一系列「資安防護指南」手冊，以及臺版Cyberseek計畫已在進行，預計在明年上線</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖10）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%9610%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">至於其他更進階的國家級人才推動策略，除了先前開設資安長課程，資安院也推動資安策略演練，這部分會透過桌上兵推方式來建立協助概念。資安院人才培力中心經理鄭翔云也介紹各類桌上推演的定位，指出資安院NICS OTEX桌上推演重視策略策略層級演練，目標是企業決策層主管與資安長。</span></strong></p> <p> </p> </div></div></div>
2025/9/18 14:48作者羅正漢https://www.ithome.com.tw/news/171253
Meta更新AI眼鏡產品線，發表首款內建顯示器的Meta Ray-Ban Display
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在周三（9/17）舉行的Meta Connect年度開發者暨產品發表大會上更新旗下的AI眼鏡產品線，推出全新的、內建顯示器的<a href="https://about.fb.com/news/2025/09/meta-ray-ban-display-ai-glasses-emg-wristband/" target="_blank">Meta Ray-Ban Display</a>，以及第二款運動系列AI眼鏡<a href="https://about.fb.com/news/2025/09/oakley-meta-vanguard-performance-ai-glasses-sports/" target="_blank">Oakley Meta Vanguard</a>，還有具備更長電池續航力的<a href="https://about.fb.com/news/2025/09/ray-ban-meta-gen-2-better-battery-life-video-capture/" target="_blank">Ray-Ban Meta 2</a>。</p> <p>現階段Meta只與全球最大眼鏡製造商EssilorLuxottica合作，一同規畫了兩個AI眼鏡產品線，一是可搭配日常穿搭的Ray-Ban Meta系列，二是鎖定運動風的Oakley Meta系列，不管是Ray-Ban Meta 2或Meta Ray-Ban Display都屬於前者，Oakley Meta Vanguard則是繼<a href="https://www.ithome.com.tw/news/169677" target="_blank">Oakley Meta HSTN</a>之後的第二款運動風AI眼鏡。</p> <p>最受外界矚目的是Meta Ray-Ban Display，它在眼鏡上整合了麥克風、喇叭、攝影機，以及顯示器，且每副眼鏡都搭配了可用手部動作控制的肌電圖腕帶Meta Neural Band。意味著使用者可藉由鏡框觸控、語音或是Meta Neural Band來控制各種功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-Meta%20Ray-Ban%20Display-2.png" style="width: 465px;" /></p> <p>Meta並未公布有關Meta Ray-Ban Display顯示器的技術細節，僅說它是個全彩且高解析度的螢幕，只有在使用者需要它時才會出現，它不會妨礙使用者的視線，並可用來察看消息、縮放、預覽照片、導航、閱讀翻譯，或是取得Meta AI的協助等。</p> <p>而Meta多年前就著手開發以供AR裝置使用的<a href="https://www.ithome.com.tw/news/143329" target="_blank">智慧腕帶輸入裝置</a>，現在則首度落實在Meta Ray-Ban Display上，Meta Neural Band能感應手部肌肉的微妙運動而發出捲動或點擊的命令，以手腕上的感測器取代了觸控螢幕、按鍵及轉盤。</p> <p>這是個全新的技術，且人們肌肉的差異很大，但因有接近20萬名使用者參與Meta Neural Band研究，使得Meta強調Meta Neural Band幾乎適用於任何人，開箱即用。Meta Neural Band是以太空及登山領域所使用的Vectran纖維製成，防水等級為 IPX7，有3種尺寸，電池續航力為18小時。</p> <p>至於眼鏡本身則採用Transitions變色鏡片，因此白天跟晚上都可配戴，電池續航力為6小時，若搭配充電眼鏡盒，最長可使用30小時，有黑色與沙色兩種選擇。</p> <p><a href="https://www.meta.com/tw/ai-glasses/meta-ray-ban-display-glasses-and-neural-band/" target="_blank">Meta Ray-Ban Display的售價為799美元</a>，9月30日將率先於美國特定的Best Buy、LensCrafters、Sunglass Hut與Ray-Ban商店上架，之後擴大部署至Verizon商店，計畫在2026年初推廣至加拿大、法國、義大利與英國等其它市場。</p> <p>專為高強度或極限運動設計的Oakley Meta Vanguard支援IP67防護等級，它採用包覆式鏡片、Oakley PRIZM鏡片，而且可抗風沙，還有3款鼻墊可供置換，內建運動專用相機，強力開放式喇叭，也能透過Meta AI即時查詢心率及配速等資料，電池續航力為9小時，充電眼鏡盒則可額外提供36小時電力，售價為499美元，預計於10月21日在美國、加拿大、英國、澳洲及歐洲市場推出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-Oakley%20Meta%20Vanguard.png" style="width: 600px;" /></p> <p>第二代的Ray-Ban Meta將電池續航力從4小時提升到8小時，充電盒可額外提供48小時電力；新增3K Ultra HD錄影功能，且計畫藉由韌體更新提供慢動作及縮時攝影模式；除了英、法、義大利及西班牙文之外，新增德文與葡萄牙文的雙向即時翻譯功能；另亦新增更多的鏡框選擇。Ray-Ban Meta 2的最低售價也從第一代的299美元提高到379美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-ay-Ban%20Meta%20(Gen%202).png" style="width: 600px;" /></p> <p>Ray-Ban Meta是Meta與EssilorLuxottica在2023年10月推出的AI眼鏡，迄今已售出數百萬副，是全球最暢銷的AI眼鏡。EssilorLuxottica在公布2025年上半年財報時，透露出Ray-Ban Meta的營收比前一年同期增加了200%。</p> <p>不過，上述產品皆未鋪貨至臺灣市場，也尚無時間表。</p> </div></div></div>
2025/9/18 12:41作者陳曉莉https://www.ithome.com.tw/news/171260
WebAssembly 3.0定版，強化支援高階語言與更大規模應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://webassembly.org/news/2025-09-17-wasm-3.0/">WebAssembly（Wasm）3.0</a>已正式上線，成為新的標準版本。這次是自2.0完成以來最大幅度的更新，目標是讓高階語言更容易映射到Wasm，並在效能、可移植性與可擴充性之間取得平衡。新版引入64位元位址空間、多重記憶體與垃圾回收等核心機制，並補強尾呼叫（Tail Call）、原生例外處理、向量指令、決定性執行等能力，同時增添自訂註解與JavaScript介接支援，為更大規模、更複雜的應用奠定基礎。</p> <p>在記憶體模型方面，memory64與table64讓模組可使用64位元索引，突破以往4 GB記憶體的限制。雖然瀏覽器出於安全與資源管理仍維持16 GB上限，但在非網頁環境，應用可視硬體條件擴展至更大資料集。</p> <p>另一項更新是多重記憶體。過去雖然Wasm應用可以同時使用多個記憶體物件，但必須分別宣告在不同模組中，而現在單一模組可同時宣告與存取多個線性記憶體，並能直接在不同記憶體之間複製資料，這有助於在應用中隔離敏感資料、建立高效率緩衝區，或在工具鏈靜態合併模組時減少限制。</p> <p>記憶體管理也獲得強化，Wasm 3.0新增垃圾收集（GC）支援，讓編譯器可用結構（Struct）與陣列（Array）定義資料結構，配置與釋放則交由執行時處理，減輕語言前端需要攜帶自家垃圾回收系統的負擔。搭配更精細的型別化參照，函式可透過call_ref在靜態型別保證下進行間接呼叫，無需執行期型別或邊界檢查。對Java、Kotlin、Dart、Scala或OCaml等具GC語言而言，這代表模組體積縮小與啟動速度提升。</p> <p>效能方面，Wasm 2.0引入的SIMD在3.0中獲得擴充，Relaxed SIMD允許少數狀況交由硬體自行決定結果，標準只規定結果必須落在可接受的範圍內，藉此提升整體速度。對需要完全可重現的應用，如區塊鏈或重播系統（Replayable System），標準提供決定性設定檔，確保跨平臺執行結果一致。</p> <p>在工具與開發便利性上，Wasm文本格式新增自訂註解語法，可攜帶額外後設資料而不影響語意，方便編譯器與除錯工具使用。對於嵌入到JavaScript的應用，則增加了JavaScript API的字串內建函式庫，讓Wasm可直接操作傳入的JavaScript字串值，降低跨執行環境的資料轉換成本。此次3.0也是首度以SpecTec工具鏈產製的標準文件，提升規格一致性與可靠性。</p> <p>這些改進帶來的實際效益是模組更小、載入與初始化更快，應用也會更穩定，並能承載更大資料集。影音處理、遊戲、科學計算或前端編輯器等場景，都能透過GC、例外處理與SIMD的改善獲得更佳體驗。官方表示，Wasm 3.0已在多數主流瀏覽器支援，獨立引擎如Wasmtime也即將完成相容。</p> </div></div></div>
2025/9/18 12:05作者李建興https://www.ithome.com.tw/news/171256
ShinyHunters宣稱從Drift駭入事件竊得15億筆Salesforce資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日涉嫌駭入Google、思科、安聯人壽等知名企業的<a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claims-15-billion-salesforce-records-stolen-in-drift-hacks/" target="_blank">駭客組織ShinyHunters本周宣稱</a>，已經自Salesloft Drift駭入760家企業Salesforce資料庫，取得近15億筆用戶資料。</p> <p>今年8月起，陸續有思科、安聯人壽公告遭不明人士竊走客戶資料，當時僅有Google說明是客戶關係管理（CRM）系統Salesforce遭駭。Google自家資安團隊及服務部門Mandiant公告調查結果，攻擊者自8月8日至8月18日期間，濫用整合Salesforce的Salesloft Drift OAuth權杖登入其CRM系統，並竊走客戶資料及其他內部系統資料。</p> <p>Mandiant研究人員將這群攻擊者命名為UNC6040 及 UNC6395。犯案歹徒自稱是ShinyHunters、Scattered Spiders，據信是以ShinyHunters為主要成員，不過後來宣稱ShinyHunters、Scattered Spiders及Lapsus$三者已整合，名為Scattered Lapsus$ Hunters。</p> <p>ShinyHunters本周對資安媒體<a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claims-15-billion-salesforce-records-stolen-in-drift-hacks/" target="_blank">BleepingComputer</a>透露其作案細節。這群駭客一開始利用開源數據挖掘工具TruffleHog掃瞄網路上是否有外洩的Salesloft Drift憑證。最後他們找到Salesloft公司的GitHub密碼。</p> <p>這點也和Salesloft的調查相符，<a href="https://www.ithome.com.tw/news/171051" target="_blank">這家開發商調查發現</a>駭客今年3月到6月份存取了該公司的GitHub儲存庫，當中包含該公司程式原始碼。這使得駭客得以取得API密鑰、權杖和密碼。</p> <p>隨後，駭客取得了Salesloft Drift串聯其他知名系統的憑證，包括Salesforce的OAuth存取憑證，進而竊走客戶資料庫資料。ShinyHunters聲稱從760家公司的Salesforce系統取得「帳號」、「聯絡人」、「案例」、「機會」和「使用者」等物件表格各千萬筆到數億筆不等的紀錄。ShinyHunters也向媒體提供了包含原始碼的文字檔以資證明。</p> <p><a href="https://cloud.google.com/blog/topics/threat-intelligence/data-theft-salesforce-instances-via-salesloft-drift?e=48754805" target="_blank">Google Mandiant在最新研究中也有類似發現</a>。其中「案例」是客戶向Salesforce請求支援的紀錄，可能包含重要系統如AWS的憑證、Snowflake的驗證權杖、存取金鑰等機密資訊。因此除了Salesforce內的客戶資訊，受害者的重要營運系統和機密資料都可能遭竊。而且駭客還相當謹慎，刪除查詢紀錄以免被發現。</p> <p>透過外洩的Salesloft Drift和Drift Email憑證，這群駭客接連駭入多家企業，其中不乏資安業者包括Google、Cloudflare、Zscaler、Tenable、CyberArk、Elastic、BeyondTrust、Proofpoint、Palo Alto Networks等。</p> <p><a href="https://www.ithome.com.tw/news/171247" target="_blank">本周Google也證實</a>，攻擊者在其執法請求系統（Law Enforcement Request System，LERS）建立了假帳號。</p> </div></div></div>
2025/9/18 10:34作者林妍溱https://www.ithome.com.tw/news/171251
微軟10月將自動在Microsoft 365安裝Copilot App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟10月將主動在消費者Microsoft 365安裝聊天機器人Copilot。而企業用戶本周也會自動獲得Copilot Chat App。</p> <p>微軟兩周前說，安裝Microsoft 365（簡稱M365）桌機版應用程式的Windows裝置，將自動安裝M365 Copilot App。安裝過程將由背景執行，不會干擾用戶。微軟當時說M365安裝將從秋天開始，但<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-rolls-out-copilot-chat-to-microsoft-365-office-apps/" target="_blank">Bleeping Computer</a>報導，微軟在M365訊息中心管理公告，時間點落在10月開始。</p> <p>這個安裝為全球性規劃，歐盟經濟區將可獲得倖免。使用者還是有方法阻止它下載。方法是以管理員帳號登入M365 App，在「自訂」>「裝置配置」>「現代App設定」>選擇M365 Copilot App，然後在「啟動自動安裝M365 Copilot App」取消勾選。</p> <p>另一方面，<a href="https://learn.microsoft.com/en-us/copilot/manage#microsoft-365--chat-eligibility" target="_blank">微軟同時宣布</a>對企業或教育版M365安裝Copilot Chat。Copilot Chat為網頁版AI聊天機器人，安裝後將整合到M365的使用，它能了解用戶正在進行的活動，且根據用戶開啟的檔案提供最佳答案。</p> <p>不過不同於M365 Copilot能存取用戶的企業內容，Copilot Chat只能「看」及處理網頁內容。</p> <p>微軟將對具有Entra帳號的M365用戶安裝Copilot Chat，只要他們的授權是以下其中一種，就可免費獲得安裝：M365 A1/A3/A5、M365 Business Basic/Business Standard/Business Premium或是E3/E5、F1/F3、Microsoft Teams、Office 365。</p> <p><a href="https://www.ithome.com.tw/news/170294" target="_blank">8月微軟已先宣布</a>另一整合作業，將從九月底把M365 Copilot整合到Edge側邊欄。</p> </div></div></div>
2025/9/18 10:47作者林妍溱https://www.ithome.com.tw/news/171252
記憶體攻擊新手法Phoenix，可繞過DDR5的Rowhammer防禦機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ETH Zurich與Google研究團隊<a href="https://comsec-files.ethz.ch/papers/phoenix_sp26.pdf">揭露</a>一種能在量產DDR5上實際運作的Rowhammer攻擊，稱之為Phoenix。研究證實，在一般桌機平臺預設設定下，所有2021年至2024年間出貨的15條SK hynix DDR5 UDIMM都能被攻破，並以分頁表（Page Table）翻轉取得系統控制權，最快僅需109秒即可完成。該研究已在2025年6月6日透過瑞士國家網路安全中心進行通報，並在9月15日解禁，同時登記為CVE-2025-6202。</p> <p>Rowhammer是一種針對DRAM的硬體擾動攻擊，攻擊者在極短時間內反覆存取同一記憶體列（Aggressor Row），會造成鄰近列電荷受到干擾而位元翻轉。只要翻轉發生在關鍵資料，例如分頁表（Page Table），就可能升級權限取得系統控制權。</p> <p>過去TRR被視為阻擋Rowhammer的主要手段，但研究團隊透過逆向工程發現，DDR5在晶片內實作的TRR（Target Row Refresh）其實並不是每次存取都會立即檢查，而是以較稀疏的取樣來判定是否發生Rowhammer。也就是說，TRR的取樣間隔可能長達數百甚至數千個DRAM自動重新整理周期（tREFI）。</p> <p>在所謂輕取樣區間內，TRR主要會在每個tREFI的最後一次啟動（ACT）進行取樣，而攻擊者可避開該時槽，或在該槽放入誘餌存取以規避偵測，讓長周期的敲擊行為得以累積並最終造成位元翻轉（Bit Flip）。</p> <p>研究人員據此設計兩種長周期樣式，分別對應128與2,608個tREFI，能避開TRR檢測並造成位元翻轉。這套方法在FPGA平臺與伺服器級RDIMM測試中同樣有效，進一步顯示DDR5的TRR仍存在設計上的盲點。</p> <p>要在真實系統中維持攻擊效果，研究團隊引入自我校正同步機制，用以偵測被跳過的重新整理周期並即時補償，確保長周期的敲擊序列不會因時序偏移而不同步。這項作法解決了過去在數千個重新整理周期中難以維持節奏的問題，使Phoenix能穩定重現並展現出實際威脅。實驗也顯示，部分DDR5模組的刷新時窗遠大於標準，例如測得高達16,582個tREFI，等於給攻擊者更充裕的時間來累積效果。</p> <p>在作者測試的系統上，將刷新率提高3倍即可抑制Phoenix，但卻會帶來8.4％的效能開銷。另一條可能緩解路徑是啟用DDR5標準中的精細度刷新（FGR），研究人員指出，部分AMD消費級處理器已透過BIOS更新提供切換至FGR的選項，但實際能否帶來有效防護仍有待觀察。此外，在<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">Intel</span>平臺上還須同時考量處理器內的<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">pTRR</span>（<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">in‑CPU TRR</span>）機制，平臺差異可能影響最終成效。</p> <p>研究指出，近期的AMD Zen 4、Intel Alder Lake與Raptor Lake的記憶體控制器未使用DDR5的RFM（Refresh Management）指令，現行防護仍高度仰賴各廠商未公開的TRR設計。</p> <p>研究人員建議，未來應朝具原理保證的防護機制發展，例如JEDEC提出的逐列啟動計數（Per Row Activation Counting），避免僅依靠不透明的廠商自訂機制。對於伺服器端常見的錯誤修正機制Rank-level ECC，雖能提高攻擊成本，但仍不足以完全防堵。</p> <p>Phoenix研究顯示，即便DDR5導入多層防護，Rowhammer仍非過去式。對企業與開發者而言，這代表在硬體、韌體到系統層級都必須重新評估防護策略，尤其在高安全性環境下，如何平衡效能與記憶體完整性，將是不可迴避的課題。</p> </div></div></div>
2025/9/18 08:00作者李建興https://www.ithome.com.tw/news/171245
駭客取得Google執法請求系統帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織Scattered Lapsus$ Hunters上周四（9/11）透過BreachForums駭客論壇張貼了一張截圖，<a href="https://lers.google.com/signup_v2/landing" target="_blank">宣稱它們取得了Google執法請求系統（Law Enforcement Request System，LERS）的帳號</a>，隨後Google向<a href="https://www.bleepingcomputer.com/news/security/google-confirms-fraudulent-account-created-in-law-enforcement-portal/" target="_blank">BleepingComputer</a>與<a href="https://www.theregister.com/2025/09/16/google_confirms_crims_accessed_lers/" target="_blank">The Register</a>證實，的確在LERS系統上發現一個詐欺帳號，並已將它停用。</p> <p>LERS允許經過驗證的執法人員提交合法的用戶資料申請，查看申請案件的處理狀態，以及下載Google所提供的回應資料；具備正式執法權力以及正在辦案的政府官員都可透過該系統提交申請。取得帳號代表駭客將能冒充警察或檢調機關，要求Google提供用戶的詳細資訊。</p> <p>駭客展示的螢幕截圖顯示他收到了來自Google的郵件，證實已取得LERS帳號，Google還要求他在7天內建立個人密碼。不過，Google向媒體表示，此一帳號並未提出任何請求，也未存取任何資料，而且已被停用。</p> <p>不過，Google並未揭露駭客是透過何種方式取得LERS帳號。</p> <p>Scattered Lapsus$ Hunters是今年才出現的駭客組織，自稱成員分別來自Scattered Spider、ShinyHunters與Lapsus$等知名組織，主要手法之一為冒充IT人員，誘騙企業員工在電腦上啟用Salesforce Data Loader並登入公司帳號，再透過遠端軟體或竊取存取Token，以批次匯出Salesforce雲端中的客戶資料，受害企業涵蓋Google、Allianz、思科、Louis Vuitton、Tiffany & Co及Cloudflare等。</p> </div></div></div>
2025/9/18 08:05作者陳曉莉https://www.ithome.com.tw/news/171247
F5買下AI安全領域的元老級公司CalypsoAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.f5.com/company/news/press-releases/f5-to-acquire-calypsoai-to-bring-advanced-ai-guardrails-to-large-enterprises" target="_blank">美國資安業者F5上周宣布</a>，將以1.8億美元買下AI安全領域的元老級公司CalypsoAI，雙方預計於9月底前完成交易。</p> <p>CalypsoAI是由曾任職於美國國防部及情報社群（Intelligence Community，IC）的Neil Serebryany在2018年所創立，當時Serebryany因看到國防部導入AI過程的安全缺口及攻擊風險，興起了創業念頭，目標是打造可專門保障AI模型推論層安全的技術，堪稱是AI安全領域的元老級公司。根據外電報導，CalypsoAI自成立以來約募集逾4,000萬美元資金，員工不到100名。</p> <p>CalypsoAI可偵測並攔截模型回應中的提示注入、越獄、機密資料外洩及有害內容，並透過大規模紅隊測試產出風險評分；能記錄並審查跨模型互動，並提供中央控制臺統一監督所有AI系統的運作。</p> <p>至於1996年成立的F5則是全球應用程式及API交付與安全解決方案供應商，提供應用程式流量管理、API安全、Web應用防火牆、Bot防禦、DDoS防護及雲端及邊緣的部署支援等功能，可在地端、雲端、邊緣及混合雲等環境中提供一致的應用及安全保護。</p> <p>F5執行長François Locoh-Donou表示，AI正在重新定義企業架構，同時企業也必須防範相關的攻擊面，傳統的防火牆及單點解決方案已無法跟上步伐，F5將整合CalypsoAI的專業能力，成為客戶在AI時代的安全夥伴。特別是在不管客戶使用哪種模型或雲端服務，都能藉由CalypsoAI的自適應AI安全能力，來提供主動及持續的AI保護。</p> </div></div></div>
2025/9/18 08:07作者陳曉莉https://www.ithome.com.tw/news/171248
CrowdStrike買下Pangea，進軍AI偵測與回應領域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/en-us/press-releases/crowdstrike-to-acquire-pangea-to-secure-every-layer-of-enterprise-ai/" target="_blank">專注於雲端資安服務的CrowdStrike本周宣布將買下AI資安新創Pangea</a>，雙方並未公布交易金額或完成時間，但<a href="https://www.wsj.com/articles/crowdstrike-to-buy-ai-security-company-pangea-a82946e9" target="_blank">華爾街日報（Wall Street Journal，WSJ）報導</a>，該交易價值2.6億美元。</p> <p>創立於2021年的Pangea主要專注於生成式AI與AI代理人應用的互動層安全性，所開發的產品包括可掃描及阻擋不當提示的AI Guard，能檢查與遮蔽敏感資訊的Prompt Guard，AI存取控制，以及可檢視AI互動與資料流的AI Visibility，目的在於防範提示注入、模型越獄與資料外洩，還能過濾有害的輸入/輸出內容，以及控管代理人與外部工具的調用。</p> <p>至於2011年創立的CrowdStrike則定位為雲端原生資安平臺，提供端點偵測與回應（EDR）、延伸偵測與回應（XDR）、威脅情報、身分保護及雲端工作負載等安全功能，打算藉由收編Pangea進軍AI偵測與回應（AI Detection and Response，AIDR）領域。</p> <p>傳統資安業者對於AI的看法大致相同，都認為AI正快速改寫企業攻擊面，讓每個提示都成為駭客的切入點。CrowdStrik創辦人暨執行長 George Kurtz 表示，Pangea將讓CrowdStrike能夠保護AI的完整生命周期，檢測風險，執行防護措施，並確保合規性，以讓客戶能夠安心地建置、部署與擴展AI。</p> </div></div></div>
2025/9/18 08:20作者陳曉莉https://www.ithome.com.tw/news/171249
Check Point買下AI資安業者Lakera
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.checkpoint.com/press-releases/check-point-acquires-lakera-to-deliver-end-to-end-ai-security-for-enterprises/" target="_blank">以色列資安業者Check Point周二（9/16）宣布</a>，已與AI資安新創Lakera達成收購協議，預計於今年第四季完成交易。雙方並未公布交易金額，但外電報導該交易價值3億美元。這已是這一周以來繼<a href="https://www.ithome.com.tw/news/171248" target="_blank">F5與CalypsoAI</a>、<a href="https://www.ithome.com.tw/news/171249" target="_blank">CrowdStrike與Pangea</a>的第三起傳統資安加上AI資安的併購組合。</p> <p>2021年創立的Lakera擁有瑞士及美國雙總部，定位為維護AI原生安全的資安公司，專注於保護大型語言模型（LLM）、生成式AI及代理人，主要產品為部署前的安全態勢評估Lakera Red，以及執行期的即時防護Lakera Guard，支援逾100種語言。</p> <p>此外，Lakera也建立一個全球對抗式AI社群Gandalf，以遊戲化的方式蒐集與生成針對LLM及AI代理人的攻擊樣式，包括注入、越獄、資料外洩誘導等對抗測試，迄今已累積逾8,000萬種攻擊樣式。Lakera將這些樣式整合至安全平臺，以讓防護系統可持續學習最新威脅，即時偵測並阻擋攻擊。</p> <p>Check Point所提供的則是涵蓋網路、雲端、端點及行動裝置的整合式資安平臺，在全球擁有超過10萬家的企業客戶，於防火牆及端點保護領域表現出色。</p> <p>Check Point執行長Nadav Zafrir表示，AI正在改變每一個業務流程，也帶來新的攻擊面，未來將與Lakera共同為企業如何採用及信任AI樹立標準。未來Check Point計畫把Lakera的執行期防護技術整合到自家的Infinity架構上，提供可保障AI模型、代理人及資料的全生命周期安全。</p> </div></div></div>
2025/9/18 08:30作者陳曉莉https://www.ithome.com.tw/news/171250
吳誠文：加速矽光子技術研發促產業升級，2年後預估單通道傳輸可達400Gbps速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院推動AI新十大建設，其中一項重要建設為發展矽光子技術，國科會已與經濟部合作，共同推動國內產學界加速發展高速的矽光子技術。國科會主委吳誠文指出，目前技術上已可達到單通道200Gbps，2年後預期將可達到400Gbps，以帶動AI資料中心高速、節能發展。</p> <p>國科會今天（9/17）召開第17次委員會議，分別由經濟部報告我國推動矽光子技術的策略及規畫，衛福部食藥署報告「生技醫藥結合健康照護共創健康臺灣的策略及規畫」，國科會以科技預算補助兩項計畫，推動臺灣在半導體矽光子前瞻技術及產業發展，還有在民眾健康方面，結合法規調適，簡化新藥審查程序及時間、智慧醫材的最新進展。</p> <p><strong style="color: rgb(178, 34, 34);">加速國內矽光子技術發展，引導產業再升級</strong></p> <p>在矽光子方面，原本在晶創臺灣就包括投資矽光子技術，在行政院今年祭出AI新十大建設，其中一項建設就是加碼矽光子技術，國科會再加碼科技預算協助經濟部推動矽光子技術及產業。</p> <p>經濟部技術司副司長周崇斌指出，傳統架構上，一般光纖僅到伺服器外部，透過伺服器電路板、基板，再到處理器，儘管現今的矽技術已發展很好，但是仍有傳輸瓶頸，單通道速度上限為100Gbps，最多8個通道，總傳輸速度上限為25.6Tbps。而依照Nvidia的願景，因應AI的資料吞吐需求，提出2028年單通道達到400Gbps，光纖通道數增至80通道，總傳輸速度達到409.6Tbps。</p> <p>要實現此速度，需要靠新的矽光子技術，未來將光晶片、電晶片以異質封裝技術封裝在一起，與處理器共用同一個基板，以前光纖傳輸較遠距離才到處理器，新的矽光子技術縮短光纖到處理器的距離。</p> <p>周崇斌表示，目前國際公認矽光子為最可能解決高速傳輸問題的技術，也是臺灣產業發展的機會，帶動半導體產業升級，故行政院將發展矽光子技術列為AI新十大建設之一。國科會與經濟部合作，在技術研發方面，由法人與產業界共同合作，研發符合Nvidia提出的單通道400Gbps以上高速傳輸。為此，經濟部以補助鼓勵業者投入單通道400G以上相關技術，包括IC設計業者，例如補助聯發科研發光晶片、電晶片，以及相關的基板技術、材料技術的研發。</p> <p>為讓IC設計業可以試產，由法人建立小型的光晶片試產線，以滿足光晶片的相關開發環境，並且由法人設立矽光子驗證實驗室，降低業者6成驗證成本，以成為國際的第三方驗證中心為目標。經濟部產發署也會補助相關材料及設備的開發。</p> <p>去年已由法人協助產業公會成立矽光子聯盟，在SEMI之下，由工研院電光所、台積電、日月光、聯發科等業者加入，制定技術藍圖，並釐清產業的技術缺口，研擬政策工具協助開發，推動光、電晶片、材料及設備的開發，以及累計200人次的矽光子人才培育。</p> <p>國科會主委吳誠文表示，在原來的晶創臺灣計畫中，發展矽光子為計畫的一部分，AI新十大建設後，國科會以科技預算加碼，協助經濟部推動矽光子技術發展，政府推動產業發展矽光子技術，因臺灣具有的半導體優勢，吸引國際業者希望與國內產業合作。目前在技術上已能達到單通道200Gbps，2年後預期達到400Gbps。未來矽光子技術不只可用於AI資料中心，也有助於邊緣運算，提升運算效能，還具有降低能耗的節能優點。</p> <p><strong><span style="color:#B22222;">福福部主責推動健康臺灣願景</span></strong></p> <p>至於另一項由衛福部推動的「生技醫藥結合健康照護共創健康臺灣的策略及規畫」，主要為符合賴總統提出健康臺灣的願景，衛福部提出Healthy Taiwan for All 4.0，從5大策略推動臺灣生醫業創新發展，5大策略包括政策支持、法規輔導、技術領航、行銷拓域、資源投入。</p> <p>衛福部食藥署長姜至剛提到衛福部推動健康臺灣的願景，結合近期的BTC會議提出的建議，5大政策中，從政策法規，例如「再生醫療法」、「全民健康保險資料管理條例」草案等等。在新藥審查方面，希望簡化新藥的審查，過去審查可能需要12個月，新藥開發在先進國家落地，基於國際信賴審查，簡化在臺灣的審查時間至8個月，甚至在條件符合下降到4個月。</p> <p>另外，為推動智慧醫療，衛福部已成立智慧醫材辦公室，輔導智慧醫材取證落地，應用於病人端，同時為確立AI的可用性，建置3大AI中心推動負責任的AI，從AI的取證、認證、落地、影響力等，未來也將與國際合作，將智慧醫材輸出到其他國家。</p> <p>在擴大醫療資源投入方面，姜至剛提到，政府投入百億元癌症基金，希望2030年癌症死亡率減少三分之一，為此，將擴大癌症篩檢、降低篩檢年齡層，並且對癌症用藥積極給予補助，及早診斷、給予醫療支持。未來希望透過5大策略，讓臺灣的生醫產業創新發展及永續。</p> <p> </p> </div></div></div>
2025/9/17 19:25作者蘇文彬https://www.ithome.com.tw/news/171246
【資安日報】9月17日，中國駭客CamoFei利用Roundcube攻擊臺灣教育機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>郵件伺服器<a href="https://www.ithome.com.tw/tags/roundcube">Roundcube</a>遭到鎖定的情況，過往駭客大多在歐洲地區犯案，其中俄羅斯駭客APT28利用相關漏洞從事攻擊行動，<a href="https://www.ithome.com.tw/news/168676">法國政府</a>、<a href="https://www.ithome.com.tw/news/168993">資安業者ESET</a>先後提出警告，但現在亞洲地區也出現相關事故，中國駭客CamoFei（ChamelGang）將其用於攻擊臺灣、巴基斯坦、緬甸，他們利用的漏洞，就是今年6月資安業者Fears Off揭露的CVE-2025-49113。</p> <p>在針對郵件伺服器Roundcube已知漏洞的攻擊行動揭露之外，今天有兩則新聞報導提到的攻擊過程裡，駭客都運用隱寫術（Steganography）手法，透過看似無害的圖檔挾帶惡意酬載，其中一起是運用網釣手法FileFix散布竊資軟體StealC，另一起則是大規模廣告詐欺攻擊行動SlopAds，駭客也運用這種手法於安卓裝置植入惡意程式。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171242"><strong style="font-size: 22px;">針對郵件伺服器Roundcube近滿分漏洞，中國駭客CamoFei已用於實際攻擊行動，臺灣有教育機構受害</strong></a></p> <p>今年6月資安業者Fears Off揭露郵件伺服器系統Roundcube後身分驗證漏洞CVE-2025-49113（CVSS風險評為9.9分），後續他們透露已有駭客在暗網兜售利用的方法，呼籲IT人員要儘速處理。由於這項漏洞影響近10年的Roundcube系統，而且更可怕的是，有許多管理工具內建這款郵件伺服器平臺，也有許多雲端服務業者、主機代管業者採用，影響範圍相當廣泛，如今有資安業者提出警告，這項漏洞早在公布之前就已被用於實際攻擊。</p> <p>臺灣資安業者TeamT5杜浦數位安全本週指出，他們發現中國駭客組織CamoFei（或稱ChamelGang）積極利用這項漏洞的情況，一旦成功入侵Roundcube，就會部署網頁後門及惡意程式，其中包含名為Godzilla的後門程式，以及RAT木馬Pupy。這起攻擊最早可追溯至4月，值得留意的是，受害企業組織涵蓋臺灣教育機構，以及巴基斯坦及緬甸政府機關。</p> <p><a href="https://www.ithome.com.tw/news/171235"><strong style="font-size: 22px;">新型態網釣手法FileFix聲稱臉書用戶帳號將被停用，意圖散布竊資軟體StealC</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ab3a346ebf31d0146401ed1401dca303.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ab3a346ebf31d0146401ed1401dca303.png" style="width: 300px; float: right;" /></a></p> <p>今年6月資安研究員Mr.d0x揭露ClickFix網釣手法的變形版本「FileFix」，此手法濫用瀏覽器呼叫檔案上傳的功能，駭客誘導使用者將惡意命令貼上Windows檔案總管的網址列並執行，使得整個過程無須離開瀏覽器，最近開始有駭客將FileFix用於實際攻擊。</p> <p>資安業者Acronis揭露有人積極從事FileFix網釣攻擊的現象，他們看到駭客打造冒牌的臉書安全通知網頁，聲稱用戶的帳號即將遭到刪除，必須依照PDF檔案指示的方法提出申訴。然而實際上若是照做，受害者就會被引導貼上並執行惡意命令，觸發感染鏈，最終於電腦植入竊資軟體StealC。</p> <p>這波攻擊採用的手法相當刁鑽，首先，駭客架設複雜的網路釣魚基礎設施，建置多達16種語言的釣魚網站，並導入反分析技術及混淆手法來迴避偵測；再者，他們透過隱寫術（Steganography）手法，將第二階段的PowerShell指令碼與經加密處理的有效酬載，埋入看似無害的JPG圖片。</p> <p><a href="https://www.ithome.com.tw/news/171240"><strong style="font-size: 22px;">大規模廣告詐欺SlopAds透過224款惡意安卓App，一天可點擊2.3億次廣告牟利</strong></a></p> <p>駭客假借提供應用程式，在用戶不知情的情況下，暗中進行廣告點擊活動，向廣告服務供應商騙取點擊費用的攻擊手法，過往資安業者已揭露數起，這些事故多半針對Windows電腦而來，但近期有一波資安事故，是鎖定安卓裝置，引起研究人員的關注。</p> <p>資安業者Human揭露名為SlopAds的廣告詐欺及點擊詐欺活動，駭客於Google Play市集上架多達224款應用程式，這些App已被下載超過3,800萬次，使用者遍布全球228個國家及地區。駭客透過應用程式做為傳送作案工具的管道，並搭配隱寫術（Steganography）手法，藉由PNG圖檔將詐欺酬載送到受害的安卓裝置。接著，他們建立隱藏的WebView視窗，存取攻擊者控制的網站來牟利。在攻擊行動達到高峰的時期，一天有23億次的廣告播放請求，流量主要來自美國、印度、巴西，分別占整體的30%、10%、7%。</p> <p>值得留意的是，這波攻擊行動與過往最大的不同之處，在於駭客會根據應用程式的安裝來源，決定是否啟動廣告詐欺的行為，條件是：只有透過廣告點擊下載應用程式的用戶，攻擊者才會執行後續的活動，這種運用市場行銷相關技術決定下個階段目標的手法，相當罕見。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SlopAds-Diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SlopAds-Diagram.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/171214"><strong style="font-size: 22px;">蘋果今年四度發出威脅通知，法國電腦緊急應變小組籲受害者優先保全證據</strong></a></p> <p>法國電腦緊急應變小組（CERT-FR）發布威脅與事件報告，彙整蘋果向特定高風險人士發出的威脅通知，並提醒收件者第一時間應保存證據，避免自行操作裝置，以利後續調查，報告指出，2025年已有4波通知，分別出現在3月5日、4月29日、6月25日及9月3日。</p> <p>目前清單僅限CERT-FR掌握的案例，並非完整統計，受攻擊目標多因職務或身分而受到關注的人士，包括記者、律師、維權人士、政治人物、政府高階官員，以及戰略產業決策者。</p> <p>根據CERT-FR說明，收到蘋果威脅通知意味著至少有一臺綁定該iCloud帳號的裝置曾遭針對性攻擊，並可能已經受到影響。通知通常透過iMessage與電子郵件送達，用戶在登入iCloud時也會看到警示橫幅。從攻擊發生到收到通知可能相隔數月，時間長短依個案而異，CERT-FR提醒，使用者一旦接獲通知，務必立即採取相關步驟因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/self-propagating-supply-chain-attack-hits-187-npm-packages/">NPM套件供應鏈攻擊開始出現新手法，惡意套件能自行感染其他套件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chatgpts-new-calendar-integration-can-be-abused-to-steal-emails/">ChatGPT近期整合行事曆的機制存在弱點，攻擊者有機會用來竊取電子郵件</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182189/cyber-crime/shinyhunters-attack-national-credit-information-center-of-vietnam.html">越南國家信用資訊中心傳出遭ShinyHunters攻擊，個資出現未經授權存取</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/jaguar-land-rover-extends-shutdown-after-cyberattack-by-another-week/">針對網路攻擊事故的後續處理，Jaguar Land Rover決定延長暫停生產的時間因應</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171238"><strong style="font-size: 22px;">系統穩定性及除錯測試平臺Chaos Mesh存在重大漏洞，恐導致Kubernetes叢集被挾持</strong></a></p> <p>隨著愈來愈多企業組織採用雲端原生架構及容器服務，與Kubernetes有關的應用系統安全性也跟著受到重視，因為一旦這些系統存在弱點，攻擊者就有機會對Kubernetes環境上下其手，而對於企業組織帶來危害。例如，最近資安業者JFrog揭露的資安漏洞Chaotic Deputy，就是這種型態的例子。</p> <p>這批漏洞被登記為CVE-2025-59358、CVE-2025-59360、CVE-2025-59361，以及CVE-2025-59359，存在於Kubernetes系統穩定性及除錯測試平臺Chaos Mesh，一旦遭到利用，就有機會導致Kubernetes叢集被挾持，攻擊者可輕易利用，在叢集任意節點執行程式碼。值得留意的是，部分漏洞相當危險，因為其中有3個CVSS風險評分達到9.8（滿分10分）。對此，開發團隊發布2.7.3版予以修補，若是無法即時套用新版程式，JFrog也提供緩解措施，用戶應儘速採取行動因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apple-backports-zero-day-patches-to-older-iphones-and-ipads/">蘋果為較舊版本iPhone、iPad修補Image I/O框架零時差漏洞</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171206"><strong style="font-size: 22px;">微軟郵件伺服器Exchange Server、辦公室軟體套件Offfice，2016及2019版皆將於10月14日終止支援</strong></a></p> <p>微軟在2025年10月14日終止支援的不只有Windows 10，用戶眾多的Exchange Server 2016、2019，以及Office 2016、2019，同樣也會在隔天後無法再獲得安全更新。</p> <p>微軟於周末發布提醒，Exchange Server 2016和2019將一個月後的10月14日來到支援生命周期終點。如同在Windows 10公告內容提及，微軟再次警告，隔日起不會再獲得功能與品質更新、安全更新、時區更新。</p> <p>雖然屆時二項產品雖然還能繼續運作，但可能面臨安全風險，強烈建議用戶及早轉移到Exchange Online與Microsoft 365，或升級到Exchange Server Subscription Edition（SE）。Exchange Server 2019可以就地升級到Exchange Server SE，但Server 2016則必須循Side-by-side更新指引，先架設新的Exchange Server SE伺服器，再將現有的Exchange Server資源轉移過去。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171216"><strong>【9月16日】ShinyHunters聲稱駭入擁有多個時尚品牌的公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171199"><strong>【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171149"><strong>【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</strong></a></p> </div></div></div>
2025/9/17 17:18作者周峻佑https://www.ithome.com.tw/news/171243
大規模廣告詐欺SlopAds透過224款惡意安卓App，一天可點擊2.3億次廣告牟利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假借提供應用程式，在用戶不知情的情況下，暗中進行廣告點擊活動，向廣告服務供應商騙取點擊費用的攻擊手法，過往資安業者已揭露數起，這些事故多半針對Windows電腦而來，但近期有一波資安事故，是鎖定安卓裝置，引起研究人員的關注。</p> <p>資安業者Human揭露<a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-alert-slopads-covers-fraud-with-layers-of-obfuscation/">名為SlopAds的廣告詐欺及點擊詐欺活動</a>，駭客於Google Play市集上架多達224款應用程式，這些App已被下載超過3,800萬次，使用者遍布全球228個國家及地區。駭客透過應用程式做為傳送作案工具的管道，並搭配隱寫術（Steganography）手法，藉由PNG圖檔將詐欺酬載送到受害的安卓裝置。接著，他們建立隱藏的WebView視窗，存取攻擊者控制的網站來牟利。在攻擊行動達到高峰的時期，一天有23億次的廣告播放請求，流量主要來自美國、印度、巴西，分別占整體的30%、10%、7%。</p> <p>值得留意的是，這波攻擊行動與過往最大的不同之處，在於駭客會根據應用程式的安裝來源，決定是否啟動廣告詐欺的行為，條件是：只有透過廣告點擊下載應用程式的用戶，攻擊者才會執行後續的活動，這種運用市場行銷相關技術決定下個階段目標的手法，相當罕見。附帶一提的是，針對SlopAds當中駭客透過存取自己的HTML5遊戲網站、新聞網站牟利，Human提及與半年前發現殭屍網路BadBox 2.0，手法相當類似。</p> <p>一般而言，駭客控管應用程式的方式，主要是透過多個C2伺服器來進行，但Human在解析攻擊行動的架構的時候特別提及，這次駭客搭配的網域名稱，是專門用於行銷的網域名稱，而且，駭客似乎有意擴大SlopAds的規模，並不斷試圖在Google Play市集上架新的App。</p> <p>一旦使用者下載、安裝駭客提供的應用程式，他們的行動裝置就會運用名為Firebase Remote Config的工具，接收經加密處理的一群URL組態，其中一個網址可用於下載廣告詐欺模組FatModule，另一個網址可下載以JavaScript打造的有效酬載，以便進行點擊詐欺。</p> <p>然後他們進行一系列檢查，將使用者區分為直接從Google Play下載，以及透過特定廣告重新導向到市集的用戶，具體的方法是運用行動裝置行銷平臺來達到目的，藉由檢查流量是否存在特定的標籤進行認定。假若是透過廣告接觸，駭客才會執行後續的活動，從C2下載前述提及的FatModule。</p> <p> </p> </div></div></div>
2025/9/17 15:39作者周峻佑https://www.ithome.com.tw/news/171240
針對郵件伺服器Roundcube近滿分漏洞，中國駭客CamoFei已用於實際攻擊行動，臺灣有教育機構受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月資安業者Fears Off揭露郵件伺服器系統Roundcube<a href="https://www.ithome.com.tw/news/169358">後身分驗證漏洞CVE-2025-49113</a>（CVSS風險評為9.9分），後續他們透露<a href="https://www.ithome.com.tw/news/169551">已有駭客在暗網兜售利用的方法</a>，呼籲IT人員要儘速處理。由於這項漏洞影響近10年的Roundcube系統，而且更可怕的是，有許多管理工具內建這款郵件伺服器平臺，也有許多雲端服務業者、主機代管業者採用，影響範圍相當廣泛，如今有資安業者提出警告，這項漏洞早在公布之前就已被用於實際攻擊。</p> <p>臺灣資安業者TeamT5杜浦數位安全<a href="https://teamt5.org/tw/posts/alerts-of-exploiting-roundcube-webmail-cve-2025-49113/">本週指出</a>，他們發現中國駭客組織CamoFei（或稱ChamelGang）積極利用這項漏洞的情況，一旦成功入侵Roundcube，就會部署網頁後門及惡意程式，其中包含名為Godzilla的後門程式，以及RAT木馬Pupy。這起攻擊最早可追溯至4月，值得留意的是，受害企業組織涵蓋臺灣教育機構，以及巴基斯坦及緬甸政府機關。</p> <p>TeamT5指出，根據他們的調查，截至6月21日，有超過8千臺Roundcube系統曝露在CVE-2025-49113的風險當中，其中約有半數在日本最多，有4087臺，新加坡、越南有2566臺、719臺居次。值得留意的是，臺灣有416臺曝險。對此，TeamT5提供IT人員檢查郵件系統是否存在相關漏洞的掃描工具，並公布入侵指標（IoC），以及遭到入侵可能會出現的事件記錄內容。</p> </div></div></div>
2025/9/17 16:17作者周峻佑https://www.ithome.com.tw/news/171242
Google推出Agent Payments Protocol以推動可靠的AI代理人交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/announcing-agents-to-payments-ap2-protocol/" target="_blank">Google周三（9/17）發表了新的代理人支付協定（Agent Payments Protocol，AP2）</a>，這是個新的開源協定，目的是讓AI代理人能夠代表用戶安全地處理付款，可替未來的AI代理人電子商務鋪路。</p> <p>Google解釋，AI代理人能夠代表使用者進行交易，因此需要建立一個共同基礎來安全驗證及傳達代理人的交易權限。目前的支付系統假設是由人類親自操作，但自動化代理人的出現打破了此一基本假設，於是需要AP2來證明使用者真的有授權（Authorization），讓商家確認代理人請求的真實性（Authenticity），以及在出現詐欺或錯誤時可判定責任歸屬的問責（Accountability）。</p> <p>在設計AP2時，Google導入了金融業原本用於定期或代扣款的Mandate授權概念，把它轉化為適用於AI代理人交易的數位授權機制，這些授權由可驗證憑證（Verifiable Credentials, VCs）簽署，以作為每筆交易的基礎證據。</p> <p>Mandate主要用來解決兩個以代理人協助購物的情境，一是即時購買、使用者在場的時候。當使用者對代理人說「幫我找一雙新的白色跑鞋」時，該請求會先被記錄成一份意圖授權（Intent Mandate），當跑鞋出現在購物車時，使用者確認購買後即產生購物車授權（Cart Mandate）。</p> <p>二是使用者不在場，委由代理人執行任務的時候。例如要求代理人「在演唱會門票開賣時幫我搶票」時，必須提前簽署一份詳細的意向授權書，以允許代理人自動產生購物車授權。這兩個場景最終都可安全地連結購物車授權與使用者的支付方式。</p> <p>Google認為，AP2可望帶來全新的消費模式，例如當消費者想要某件外套的特定顏色，而且願意為此多支付20%的費用時，可以交待代理人監控市場上的商品，以在可購買時執行；消費者也能把自己的購物需求交待給AI代理人，並與商家的AI代理人協商出一個令雙方都滿意的交易；當消費者提出一個涉及不同商家的固定預算旅遊方案時，代理人即可與航空公司、飯店與旅行社的代理人溝通，並在找到適合方案時訂購。</p> <p>目前已有超過60個組織支持AP2，包括美國運通（American Express）、螞蟻國際（Ant International）、JCB、萬事達卡、PayPal、銀聯與Worldpay等支付供應商，也包括Coinbase及以太坊基金會（Ethereum Foundation）等加密貨幣與區塊鏈組織，預設支援穩定幣與加密貨幣。<a href="https://github.com/google-agentic-commerce/AP2" target="_blank">開發人員可透過GitHub存取AP2的技術規格、文件及參考實作</a>。</p> <p>迄今AI領域已出現許多讓代理人可互通的開源協定，包括Anthropic所開發、用來連結AI助理與資料的<a href="https://www.ithome.com.tw/news/166199" target="_blank">模型脈絡協定（Model Context Protocol，MCP）</a>，或是Google所釋出的<a href="https://www.ithome.com.tw/news/168336" target="_blank">AI代理人互通協定Agent2Agent（A2A）</a>，最新的AP2則將代理人的能力延伸至電子商務的交易能力。</p> </div></div></div>
2025/9/17 15:11作者陳曉莉https://www.ithome.com.tw/news/171239
英國設立AI成長園區，Nvidia、OpenAI及微軟進駐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/north-east-england-set-for-billions-in-investment-and-thousands-of-jobs-as-uk-and-us-ink-tech-partnership" target="_blank">英國政府周二（9/16）宣布</a>，將在英格蘭東北部（North East England）設立AI成長園區（AI Growth Zone），首批參與的業者除了在地的Nscale之外，還包括來自美國的Blackstone投資管理公司、Nvidia、OpenAI與微軟。</p> <p>AI成長園區的目標是成為歐洲最大的AI與資料中心之一，預計吸引高達3,000億英鎊的民間投資，創造超過5,000個高薪工作，並集中建設於Blyth及Cobalt Park等地。英國政府將提供基礎設施及政策支持，結合當地低碳能源、世界級大學與新創生態體系，以促進AI研究。</p> <p>其中，Blackstone已承諾要在Blyth投資100億英鎊；Nvidia、OpenAI及Nscale則會共同成立Stargate UK；微軟亦將與Nscale合作打造英國最大的超級電腦。</p> <p>Nscale是由英國企業家Josh Payne於2022年創立的公司，目標是要在英國本土打造主權級的AI基礎設施，並藉由建設大規模的GPU資料中心、超級電腦及雲端平臺，支持英國與歐洲的組織進行AI研究。Nscale也是英國AI Growth Zone計畫中最大的地頭蛇。</p> <p><a href="https://www.nscale.com/press-releases/nscale-uk-ai-infrastructure-announcement" target="_blank">Nscale解釋</a>，Stargate UK是個整體性的基礎設施平臺，目的是在英國部署OpenAI技術，且著重於主權型工作負載。OpenAI將在2026年第一季收購最多8,000個Nvidia GPU，未來目標是3.1萬個Nvidia GPU。</p> <p><a href="https://openai.com/index/introducing-stargate-uk/" target="_blank">OpenAI則說</a>，Stargate UK將讓OpenAI模型能在英國當地的運算架構上運作，以應用在關鍵公共服務、金融、研究計畫或國家安全等特定案例上。</p> <p>Nscale還將與微軟合作建置英國最大的超級電腦，採用23,040個Nvidia GB300 GPU，預計於2027年第一季交付，可望讓微軟於英國提供Azure服務以支援當地的經濟發展。<a href="https://blogs.microsoft.com/on-the-issues/2025/09/16/microsoft-30-billion-uk-ai-future/" target="_blank">微軟表示</a>，該公司計畫自2025年到2028年的4年內，針對英國各地的AI基礎設施及持續運作能力投入300億美元。</p> <p>此外，Nscale亦將與Nvidia DGX Cloud合作，部署4,600個Nvidia GB300 GPU。</p> <p>根據Nscale的規畫，該公司準備在英國部署多達58,640頂尖的Nvidia GPU，在全球部署Nvidia GPU的目標數量則是30萬個。</p> </div></div></div>
2025/9/17 16:12作者陳曉莉https://www.ithome.com.tw/news/171241
系統穩定性及除錯測試平臺Chaos Mesh存在重大漏洞，恐導致Kubernetes叢集被挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著愈來愈多企業組織採用雲端原生架構及容器服務，與Kubernetes有關的應用系統安全性也跟著受到重視，因為一旦這些系統存在弱點，攻擊者就有機會對Kubernetes環境上下其手，而對於企業組織帶來危害。例如，最近資安業者JFrog揭露的<a href="https://jfrog.com/blog/chaotic-deputy-critical-vulnerabilities-in-chaos-mesh-lead-to-kubernetes-cluster-takeover/">資安漏洞Chaotic Deputy</a>，就是這種型態的例子。</p> <p>這批漏洞被登記為CVE-2025-59358、CVE-2025-59360、CVE-2025-59361，以及CVE-2025-59359，存在於Kubernetes系統穩定性及除錯測試平臺Chaos Mesh，一旦遭到利用，就有機會導致Kubernetes叢集被挾持，攻擊者可輕易利用，在叢集任意節點執行程式碼。值得留意的是，部分漏洞相當危險，因為其中有3個CVSS風險評分達到9.8（滿分10分）。對此，開發團隊發布2.7.3版予以修補，若是無法即時套用新版程式，JFrog也提供緩解措施，用戶應儘速採取行動因應。</p> <p>什麼是Chaos Mesh？這是專為Kubernetes設計的開源混沌工程（Chaos Engineering）平臺，目的是在真實或接近真實的環境中模擬故障情形，幫助開發與營運團隊發現系統潛在的弱點，進而提升K8s整體穩定性與容錯能力。</p> <p>JFrog指出，攻擊者想要利用Chaotic Deputy的先決條件，就是能對Kubernetes叢集網路環境進行初始存取，該公司強調，即使攻擊者存取的是沒有特殊權限的節點，還是有機會藉由預設組態的弱點，入侵Chaos管理控制平臺的GraphQL伺服器，從而執行該平臺的原生錯誤注入功能，從而關閉節點，或是造成網路中斷；再者，攻擊者也有機會注入作業系統指令，對其他節點下手，竊取特權服務帳號的憑證（Token）。</p> <p>從漏洞的類型與危險程度來看，CVE-2025-59360、CVE-2025-59361、CVE-2025-59359都是重大層級的作業系統命令注入漏洞，風險值皆為9.8；CVE-2025-59358是缺乏身分驗證的阻斷服務（DoS）漏洞，風險值為7.5。</p> </div></div></div>
2025/9/17 13:47作者周峻佑https://www.ithome.com.tw/news/171238
MongoDB推AMP應用程式現代化平臺，以AI加速企業舊系統轉新架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mongodb.com/company/blog/product-release-announcements/amp-ai-driven-approach-modernization" target="_blank">MongoDB推出應用程式現代化平臺AMP</a>，結合人工智慧、專用工具與工程專家經驗，協助企業逐步轉換舊系統，官方指出，程式碼轉換最高可加速達10倍，專案整體平均快2至3倍</p> <p>MongoDB發表應用程式現代化平臺（Application Modernization Platform，AMP），這是一套結合代理式人工智慧、專用工具與工程專家的方法論與工具鏈，目的在協助企業逐步將老舊系統轉換為可擴充的現代服務。</p> <p>MongoDB指出，資料層往往是數位轉型過程中最大的瓶頸，AMP的設計正是針對這個問題，透過測試先行與逐步驗證，降低一次性重寫所帶來的高風險。</p> <p>AMP的核心流程有5階段，分別是分析、生成測試、轉換程式碼、搬遷資料與驗證功能。在開始轉換之前，團隊會對既有系統建立全面測試基準，確保真實捕捉現行運作行為，分析工具則負責繪製應用架構與相依關係，辨識隱含於資料庫、應用程式與中介層的商業邏輯，而這些測試與分析結果會用於規畫轉換順序與保護機制。</p> <p>AMP的人工智慧元件扮演加速角色，當分析工具分解出可轉換的邏輯單元後，人工智慧可自動生成對應程式碼並配合自動修復機制反覆嘗試，縮短人工修改時間。人工智慧同時也能產生額外的測試案例，補足人工難以覆蓋的情境，讓新舊系統行為的比對更完整。MongoDB強調，人工智慧不是替代工程實務，而是在既有流程上擴張產能，使團隊能在品質可控的情況下，加快轉換步伐。</p> <p>MongoDB提供的資料顯示，AMP在程式碼轉換等工作上可達約10倍加速，整體現代化專案平均快2至3倍。</p> <p>AMP特別適用於高度耦合、資料層相依度高的舊系統，例如以儲存程序驅動的關聯式資料庫應用，其方法論強調先建立測試基準、分解相依並逐步轉換，降低一次性改寫風險。平臺設計強調以小步驟、嚴謹驗證的方式逐步轉換，透過測試先行與持續比對新舊行為來控管風險，資料模型則會重新設計為符合MongoDB的格式與結構。</p> <p>MongoDB表示，AMP凝聚了多年客戶專案的經驗與工具化成果，結合人工智慧，讓過去需要大量人力與時間的轉換工作能在速度與規模上同步推進。</p> </div></div></div>
2025/9/17 12:33作者李建興https://www.ithome.com.tw/news/171237
新型態網釣手法FileFix聲稱臉書用戶帳號將被停用，意圖散布竊資軟體StealC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月資安研究員Mr.d0x揭露<a href="https://www.ithome.com.tw/news/169733">ClickFix網釣手法的變形版本「FileFix」</a>，此手法濫用瀏覽器呼叫檔案上傳的功能，駭客誘導使用者將惡意命令貼上Windows檔案總管的網址列並執行，使得整個過程無須離開瀏覽器。雖然濫用原本的ClickFix攻擊行動依舊橫行，但開始有駭客將FileFix用於實際攻擊。</p> <p>資安業者Acronis揭露<a href="https://www.acronis.com/en/tru/posts/filefix-in-the-wild-new-filefix-campaign-goes-beyond-poc-and-leverages-steganography/">有人積極從事FileFix網釣攻擊的現象</a>，他們看到駭客打造冒牌的臉書安全通知網頁，聲稱用戶的帳號即將遭到刪除，必須依照PDF檔案指示的方法提出申訴。然而實際上若是照做，受害者就會被引導貼上並執行惡意命令，觸發感染鏈，最終於電腦植入竊資軟體StealC。</p> <p>這波攻擊採用的手法相當複雜，首先，駭客架設複雜的網路釣魚基礎設施，建置多達16種語言的釣魚網站，並導入反分析技術及混淆手法來迴避偵測；再者，他們透過隱寫術（Steganography）手法，將第二階段的PowerShell指令碼與經加密處理的有效酬載，埋入看似無害的JPG圖片。</p> <p>相關活動在最近兩週迅速發展，Acronis觀察到多種變種及有效酬載，而且根據他們對於基礎設施的調查，駭客攻擊的目標涵蓋全球，許多國家都出現疑似的受害者，代表這類攻擊正在加速進行。</p> <p>值得留意的是，攻擊者為了欺騙使用者誤以為自己貼上事件報告的PDF檔案路徑，他們在有效酬載的結尾加入特定變數，內含大量空白及假的檔案路徑，使得檔案總管的網址列只會看到檔案路徑，看不到惡意命令。Acronis特別提及此事，還有另一原因：多數ClickFix攻擊駭客會運用「#」符號達到目的，若是以此特徵檢測，無法察覺這種FireFix攻擊。</p> <p>再者，攻擊者存放、誘使受害者下載惡意圖檔的管道，也有所變化，在這兩週的活動裡，他們從原本的惡意網域，轉移到程式碼代管平臺BitBucket，不僅以此迴避偵測，也免去必須持續註冊及管理惡意網域的麻煩。</p> </div></div></div>
2025/9/17 11:22作者周峻佑https://www.ithome.com.tw/news/171235
OpenAI正在開發年齡預測系統以替ChatGPT分級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/building-towards-age-prediction/" target="_blank">OpenAI周二（9/16）宣布</a>，正在開發一個年齡預測（Age Prediction）系統來判斷用戶是否年滿18歲，以將他們自動引導至更適合的ChatGPT體驗，且月底前就會先行釋出家長控制功能，<a href="https://www.ithome.com.tw/news/171162" target="_blank">以回應美國聯邦交易委員會（FTC）對青少年使用AI聊天機器人的擔憂</a>。</p> <p>這是因為近來出現幾起與AI聊天機器人有關的青少年自殺案例，並因家長提告而公諸於世，<a href="https://www.latimes.com/business/story/2025-08-28/openai-lawsuit" target="_blank">其中之一</a>是16歲的加州少年Adam Raine平常就有使用ChatGPT查詢課業與興趣的習慣，後來也問ChatGPT如何自殺，並在2024年4月自殺身亡，家長指控OpenAI的設計選擇將黏著度置於安全之上才造成了悲劇。</p> <p>OpenAI共同創辦人暨執行長<a href="https://openai.com/index/teen-safety-freedom-and-privacy/" target="_blank">Sam Altman本周解釋了ChatGPT</a>在青少年安全、自由及隱私上的政策。指出該平臺會儘可能地保障用戶隱私，並利用自動化系統來監控潛在的嚴重濫用，唯獨對於某人生命威脅、傷害他人的計畫或潛在大規模網路安全事件等傷害，可能會升級至人工審查。</p> <p>而在自由上，OpenAI期待ChatGPT得以在不傷害或破壞他人自由的前提下儘量擴展成年人的自由，例如模型預設為禁止提供自殺說明，但若是成年人要求模型協助撰寫一個描述自殺的虛構故事，那麼ChatGPT即會遵照指示。</p> <p>至於保護青少年的優先順序則是大於隱私與自由。ChatGPT適用於13歲以上的使用者，而今正在建立一個年齡預測系統，以根據人們使用ChatGPT的方式來估計年齡，提供18歲以下用戶不同的體驗，且會在有疑問時要求用戶提供身分證件。</p> <p>當OpenAI確認用戶未滿18歲時，即會將他們引導至一個與其年齡相當ChatGPT體驗。此一青少年版的ChatGPT將不會與使用者調情，預設封鎖了色情內容，且即便在創意寫作的環境中亦不會參與有關自殺的討論，還會在察覺到青少年有自殺意圖時，嘗試聯繫其家長或執法機構。</p> <p>OpenAI尚未公布年齡預測系統的上線時間，但說家長控制功能會在本月底前推出，只要透過電子郵件邀請，就能連結家長與青少年的帳號；家長還能協助ChatGPT根據青少年專屬的行為規則來回應青少年；由家長負責管理所要停用的功能，包括記憶體與聊天紀錄；在系統檢測到青少年處於嚴重痛苦的情況下接到通知；以及設定停用ChatGPT的時間。</p> </div></div></div>
2025/9/17 11:44作者陳曉莉https://www.ithome.com.tw/news/171236
Rust編譯效能調查出爐，近半數停用者點名編譯時間過久
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust官方首次進行<a href="https://blog.rust-lang.org/2025/09/10/rust-compiler-performance-survey-2025-results/">編譯器效能調查</a>，整體滿意度平均為6分，最常見評分為7分，但開發者體驗差異明顯，在已不再使用Rust的受訪者中，約45％指出編譯時間過久是停用的重要原因之一。官方也針對多數痛點提出短中長期的改善方向。</p> <p>調查結果顯示，增量重建是最常見的抱怨來源。受訪者在被要求挑出經手編譯時間最吃力的專案時，有55％抱怨，程式碼小幅修改後需要等待超過10秒才能重建。</p> <p>Rust官方解釋，增量重建延遲主要有3個原因，分別是工作空間內改動會觸發相依Crate重建，導致不必要的編譯，第2是連結階段無法增量化，每次都需從頭開始，第3則是單一Crate的增量引擎仍有最佳化空間，例如derive程式碼產生器的展開尚未快取。官方預計在下一個版本，就會把Linux上最常用的x86_64-unknown-linux-gnu目標預設連結器切換為LLD，以縮短連結時間。</p> <p>在型別檢查與IDE效能上，調查顯示工具協作仍有落差，約6成開發者習慣用Cargo指令檢查或建置，其中cargo check最常被使用，但由於與cargo build不共享快取，常導致重複編譯，增加額外等待時間。雖然大多數人仰賴編輯器內的即時註解來快速查看錯誤，但仍有約3成受訪者反映延遲過久影響開發流程，另有超過35％指出IDE與Cargo會互相阻塞，造成體驗中斷。</p> <p>Rust Analyzer已透過PGO最佳化提升約15％至20％效能，藉以改善這些問題，並持續改進快取與整合新版trait解析器（Solver）。官方同時建議，若將Rust Analyzer與Cargo設定使用不同目錄，可減少相互等待的情況，雖然會增加磁碟用量。</p> <p>調查顯示除錯資訊的生成也會拖慢建置速度，要是僅保留行級資訊，效能可提升達2至3成，但不同開發者對除錯需求差異大。Cargo團隊因此評估調整預設層級，並規畫提供更適合除錯的檔案集，以兼顧效能與開發便利。</p> <p>在實務經驗中，受訪者最常提及的改善方式包括減少相依函式庫、拆分大型Crate，以及改用更快的連結器，如LLD或mold。官方則回應，這些措施屬於折衷方案，成效雖佳，但可能帶來維護或效能上的額外成本，因此未來將在Cargo Book中提供官方建置效能最佳化指南，助開發者理解可行選項與其取捨。</p> </div></div></div>
2025/9/17 11:05作者李建興https://www.ithome.com.tw/news/171231
勒索軟體組織Killsec宣稱入侵巴西醫療軟體供應商，波及多家醫療機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體組織KillSec聲稱入侵巴西醫療軟體商MedicSolution，外洩逾34 GB病歷與檢驗資料，資安公司Resecurity<a href="https://www.resecurity.com/blog/article/killsec-ransomware-is-attacking-healthcare-institutions-in-brazil">研判屬供應鏈攻擊</a>，恐波及診所與實驗室，涉及病患隱私與法遵風險</p> <p>勒索軟體組織Killsec宣稱成功入侵巴西醫療管理軟體供應商MedicSolution，並威脅公開外洩資料。根據資安公司Resecurity的觀察，這起事件屬於典型的供應鏈攻擊案例，影響層面恐已超出單一供應商，進一步波及其所服務的診所與醫療檢驗機構。</p> <p>Killsec取得的資料並非透過複雜滲透，而是源自配置錯誤的AWS S3雲端儲存空間。研究人員發現，相關儲存桶在事件發生時仍可被遠端羅列出目錄與下載，顯示存取控制與加密管理不足。這類低級錯誤，使攻擊者得以在未直接入侵內部系統的情況下，取得大量敏感資料。</p> <p>研究人員在外部資料洩漏平臺上發現，多家巴西本地醫療單位的文件出現在疑似外洩資料中，包括Vita Exame、Labclinic及Laboratório Alvaro。據估計，外洩總量超過34 GB，涉及94,818個檔案，內容包含醫療評估報告、實驗室檢驗結果、X光影像、未遮蔽的病患照片，甚至有涉及未成年人的醫療紀錄。</p> <p>Resecurity研究人員聯繫部分患者，對方表示在聯絡當下尚未獲知洩漏事件，顯示相關通報流程可能未即時啟動。Resecurity已將調查結果提交給巴西電腦緊急應變小組（CERT.br）與巴西國家資料保護局（ANPD）。</p> <p>Killsec近期的行動並非僅限於巴西，在事件發生前幾日，該組織聲稱也攻擊了哥倫比亞、秘魯與美國的醫療單位，包括Archer Health、Suiza Lab、GoTelemedicina與eMedicoERP。一個月前，他們也曾公開秘魯醫療平臺Doctocliq的資料，該平臺服務超過3,500名醫師，遍及20多個國家。Killsec過往也曾將矛頭指向政府單位與其他產業，然而其中部分聲稱的入侵事件真偽難辨。</p> </div></div></div>
2025/9/17 08:15作者李建興https://www.ithome.com.tw/news/171229
Martech新創漸強實驗室以4策略擁抱AI，結合雲端及AI發表DAAC數據分析服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼MAAC、CAAC等行銷、客服、銷售工具服務之後，Martech新創漸強實驗室今天(9/16)發表結合AI數據分析的DAAC，讓企業可透過和AI對話的方式，檢視動態的銷售數據，提供戰情室，協助針對特定的客戶擬定行銷計畫方案。針對AI工具服務導入，漸強實驗室也提供AI顧問服務。</p> <p>漸強實驗室共同創辦人暨執行長薛覲表示，AI帶來搜尋行為、購物行為、工作行為3個行為上的改變。以搜尋行為為例，過去消費者利用搜尋引擎研究產品，愈來愈多開始利用AI搜尋相關資訊，目前AI搜尋約占有1成搜尋；購物行為改變則是利用AI對感興趣的商品進行研究；至於工作方式改變則是導入AI，重新設計工作流程。</p> <p>鑑於AI愈來愈普及，薛覲表示，漸強積極擁抱AI，目前該公司在臺灣、新加坡、日本、泰國約有100名員工，內部正推動4大AI First策略，包括使用AI提升個人效率、用AI做流程改造、用AI開發產品，以及開發AI產品。</p> <p>首先在使用AI提升個人效率方面，例如員工個人運用ChatGPT、Gemini產生文案來提高效率；其次的AI做流程改造方面，該公司運用Google Agentspace，結合傳統搜尋、對話式AI、AI代理，從電子郵件、PDF文件等不同的內容，回答內部的各種問題，過去員工要自己找答案或透過內部的Q&A問答機制獲得解答，「我們希望未來員工的問題可以先問AI」，薛覲說。</p> <p>另外，漸強也用AI開發產品策略方面，薛覲指出，目前公司內部90%的Code由AI寫，或是由工程師與AI協作完成，預估開發速度提升46%，確實幫工程師提高效率，呼應先前科技業者運用AI提升開發效率的說法。</p> <p>最後是開發AI產品策略上，漸強原本就推出的Martech行銷及商業溝通工具MAAC，以及整合銷售與客服的CAAC，在雲端及AI愈來愈成熟之下，MAAC及CAAC隨著更新添加AI功能，漸強提出AI Communication Cloud，例如MAAC定位為自動化的AI行銷平臺，可運用生成式AI，自動生成具有品牌特色的文案，而CAAC則以AI客服協助解決客戶進線客服約7到8成的重覆性問題，例如常見的進線預約服務，來減輕真人客服的工作負擔。</p> <p>此外，結合Cloud及AI技術的數據服務DAAC，主要可提供對話式AI、即時情報、戰情儀表板等功能，不同於傳統上使用BI報表呈現商業智慧，報表呈現的資訊可能有落差，DAAC強調可以對話的方式，請求AI提出即時的銷售數據表現，或是提出特定客戶或客群的數據表現。</p> <p>漸強實驗室表示，過去行銷人員的資料分析需求，需要資料分析的專門人員協助，需要等待較長的時間，最後還可能因為資料分析的需求描述不夠明確，一來一往花費更多時間才能取得分析結果。</p> <p>而透過DAAC可串接分析廣告、電商、POS、顧客等的數據，讓使用者與AI對話，要求提供上述數據的即時分析，或是管理高層要求AI提供報表，或是銷售數據的戰情室，檢視不同產品的銷售數據。DAAC的收費方式採取訂閱制度，依客戶的需求分級收費。</p> <p>除了MAAC、CAAC及DAAC三大服務，漸強也整合自身內部經驗，提供AI顧問服務，包括AI導入、工作流程改造等。</p> </div></div></div>
2025/9/16 18:54作者蘇文彬https://www.ithome.com.tw/news/171230
Anthropic公布Claude使用調查，撰寫程式碼占了36%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創Anthropic自今年以來，每季都會公布與旗下聊天機器人Claude有關的經濟指數報告《Anthropic Economic Index》，<a href="https://www.anthropic.com/research/anthropic-economic-index-september-2025-report" target="_blank">在周二（9/16）發表的第三份報告中</a>，指出利用Claude撰寫程式碼依然占了總樣本數的主導地位，達36%，而且自動化（Automation）的需求（49.1%）已超過協作（Augmentation，47%）。Anthropic的調查結果跟OpenAI很不同，因為後者發現利用ChatGPT來撰寫程式碼的比例只有4.2%。</p> <p>雙方調查的差別主要在於，OpenAI調查的是免費及付費的消費者用戶，並未涉及企業，而Anthropic則是同時調查個人及企業用戶。</p> <p>Anthropic說，從歷史來看，新技術通常需要經歷數十年才能被廣泛使用，例如在城市電氣化之後，電力是在30年後才到達農村；或者是當個人電腦於1981年進入早期採用後，經過20年才普及；就算是採用算快速的網路，也花了5年的時間才達到AI只用了2年便創造的採用率。今年美國就有40%的員工在工作上採用AI，兩年前時該比例只有20%。</p> <p>Anthropic的調查涵蓋了全球市場，發現美國使用Claude的次數遠遠超過其它國家，占了21.6%，第二名是印度的7.2%，之後的巴西、日本與南韓都各占3.7%。若計算人口規模，那麼Claude採用率最高的前五名國家則是以色列、新加坡、澳洲、紐西蘭與南韓，美國則排名第六。</p> <p>使用者最常利用Claude來執行的任務類別為程式碼，占了36%；教育及教學占了12.4%；自然及社會科學占了7.2%；商業與財務分析占了3%；管理也占3%；藝術及娛樂占了8%。</p> <p>此外，在與使用者的互動方式中，今年初還是由協作領先，亦即使用者會與Claude多次來回討論，到了第三季，自動化即占了49.1%，超越協作的47%，意謂著使用者愈來愈信任AI，把任務直接交給AI完成。</p> <p>《Anthropic Economic Index》中還有一個有趣的數據，是能夠呈現每一個市場或區域的Claude使用特性，例如夏威夷用戶最常用它來規畫旅行，麻州用戶最常用它來進行科學研究，印度用戶最常它來建立Web應用程式，而且巴西人用Claude來翻譯或學習語言的次數是全球平均的6倍。Anthropic已建立<a href="https://www.anthropic.com/economic-index#us-usage" target="_blank">Anthropic Economic Index網站</a>讓人們追蹤不同地方的Claude使用狀況，目前僅支援美國市場，很快便會延伸至全球市場。</p> </div></div></div>
2025/9/16 16:24作者陳曉莉https://www.ithome.com.tw/news/171226
Google釋出VaultGemma，全球最大差分隱私語言模型開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出<a href="https://research.google/blog/vaultgemma-the-worlds-most-capable-differentially-private-llm/">VaultGemma</a>，這是一個目前最大擁有10億參數，從頭以差分隱私方法訓練的語言模型。該模型的特色在於提供序列層級的隱私保護，實測顯示，在以50 Token前綴檢測背誦時，未觀察到模型複製訓練樣本。Google同步將權重釋出至Hugging Face與Kaggle，方便研究人員與開發者下載與實驗。</p> <p>Google在推出VaultGemma的同時，同時發表了一項新的研究成果，稱為差分隱私語言模型的擴展定律。研究指出，當在訓練大型語言模型時引入差分隱私，傳統的規模越大、表現越好的定律會受到擾動。</p> <p>研究團隊以模型大小、迭代次數與雜訊批次比（Noise-batch Ratio）作為主要變數，建構一套能準確預測訓練損失的模型。實驗結果顯示，要在差分隱私的條件下維持學習穩定度，應採用較小的模型，並搭配大幅放大的批次與適當的迭代次數，而該方法有別於一般非差分隱私訓練模型的最佳化配置。</p> <p>在訓練過程中，Google團隊必須解決差分隱私SGD（DP-SGD）的實務挑戰。傳統的固定批次方式無法提供最佳的隱私保護，因此研究人員改採Poisson取樣，讓每次抽出的批次更隨機，不過，這種方法會導致批次大小不一致，資料處理順序也變得不可預測，增加了訓練的複雜度。</p> <p>由於要兼顧效率與隱私，研究團隊引入先前提出的Scalable DP-SGD技術，透過在批次中加入填充或刪減的方式，將不同大小的批次轉換成固定大小，確保隱私會計（Privacy Accounting）仍然嚴謹，並讓訓練流程保持穩定。除此之外，團隊還將預訓練序列長度設為1,024 Token，以便能使用更大的批次規模，並延續Gemma 2所採用的資料混合方式。</p> <p>效能評估顯示，VaultGemma在HellaSwag、BoolQ、PIQA、SocialIQA、TriviaQA與ARC等標準基準測試上的表現，低於同樣規模的非DP版本Gemma 3 1B（10億），但與5年前的GPT-2 1.5B（15億）相當，也就是說，當前差分隱私訓練在效能上仍存在落差，卻也展現了模型在問答、推理、閱讀理解等基礎任務上的可用性。</p> <p>在隱私單位的選擇上，VaultGemma採序列層級的差分隱私，對應到異質且長度不一的文件組合。官方也提醒，在一些應用情境中，當資料能直接對應至單一使用者，則以使用者層級的差分隱私會更為合適。</p> <p>VaultGemma的價值不在於與最新非差分隱私模型競爭，而是提供一個有理論支持、實測驗證且公開可用的基礎，讓開發者在隱私保護與效能之間有更明確的參考點。Google此次釋出的模型卡與技術報告，詳細列出隱私會計方式、訓練架構與效能基準，協助研究人員理解當前隱私與效能的權衡。</p> </div></div></div>
2025/9/16 16:40作者李建興https://www.ithome.com.tw/news/171225
【資安日報】9月16日，ShinyHunters聲稱駭入擁有多個時尚品牌的公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近半年精品業者遭遇網路攻擊導致資料外洩的情況頻傳，包括Cartier、迪奧（Christian Dior Couture）、Pandora、香奈兒（Chanel），其中部分傳出是駭客組織<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>（<a href="https://www.ithome.com.tw/tags/unc6040">UNC6040</a>）所為，如今又有精品業者受害，這次是旗下有Gucci、Balenciaga、YSL等品牌的Kering，但是否如同最近頻傳資安事故，攻擊者從該公司的<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>系統竊得資料，有待進一步釐清。</p> <p>昨天我們報導<a href="https://www.ithome.com.tw/news/171177">綁架1萬多臺物聯網裝置及路由器</a>的大規模DDoS攻擊行動，今天又有資安業者公布新的發現，他們看到綁架576萬臺裝置的大型DDoS殭屍網路，駭客半年內已策畫至少3次攻擊行動，特別的是，在最近一次攻擊當中，他們採取兩階段調度的做法，相當罕見。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171203"><strong style="font-size: 22px;">精品業者Gucci、YSL、Balenciaga母公司證實遭駭，ShinyHunters宣稱犯案</strong></a></p> <p>擁有Gucci、Balenciaga、YSL等精品品牌的法國零售業巨人Kering證實遭駭，犯案者可能是前科累累的ShinyHunters（UNC6040）。這項消息的傳出，最早是BBC首先報導，ShinyHunters日前在駭客論壇宣稱駭入Kering，並竊得740萬筆電子郵件。</p> <p>Kering向媒體證實遭駭導致資料外洩，該公司者在6月間發現系統遭未經授權的第三方人士短暫存取，並存取了部分業務單位的客戶資料，外流的資料包含姓名、電子郵件、電話及住家地址。</p> <p>這家法國精品業者強調，沒有信用卡、銀行帳號、身分證等財務資訊被竊，該公司也未說明外洩資料的數量，資料新舊，或是攻擊事件是否為勒索軟體或是用戶憑證外洩所致。</p> <p><a href="https://www.ithome.com.tw/news/171200"><strong style="font-size: 22px;">大型L7的DDoS殭屍網路綁架576萬臺物聯網裝置，攻擊政府機關</strong></a></p> <p>資安公司Qrator Labs在9月1日，偵測並成功緩解最大規模網路應用層（L7）DDoS攻擊，目標為政府機構，參與來源累計達576萬個IP位址。這場攻擊採兩階段調度，先投入約280萬個IP位址，約1小時後再增加約300萬個IP位址，顯示其指揮與擴編能力成熟，能在短時間內提升壓力與覆蓋面。</p> <p>這支殭屍網路在半年3度出手且持續擴張，受害面向由線上服務延伸至政府領域。研究人員指出，今年3月26日，殭屍網路首次現形，鎖定線上博弈業者，當時約有133萬個IP位址參與，5月16日，再度攻擊政府部門，規模已擴至約460萬個IP位址，9月1日第3次針對政府部門行動，這次累計動員576萬個IP位址。</p> <p>9月這場應用層L7 DDoS攻擊的地理分布，惡意IP位址主要集中在巴西、越南、美國、印度與阿根廷。與前兩次相比，越南與印度的參與IP位址數量成長幅度明顯，分別增加83％與202％，顯示該殭屍網路在不同區域的滲透速度不一，且可能同時動員家用網路、資料中心與開放代理等多類型節點。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=174216&SPOKE_DATE=20250912&COMPANY_ID=3709"><strong style="font-size: 22px;">捷元B2B採購平臺出現異常下單，母公司鑫聯發資安重訊證實</strong></a></p> <p>上市櫃公司針對網站遭到攻擊發布資安重訊的情況，最常見的是遭遇DDoS攻擊而面臨運作受到影響，如今有一起重訊與電商網站出現異常有關，這樣的事故相當罕見。</p> <p>異業控股業者鑫聯大投控於9月12日傍晚發布資安重訊，指出旗下子公司捷元電腦的B2B採購平臺出現異常下單的現象，該公司察覺後啟動應變機制，並配合公司內外技術專家清查受影響的範圍。</p> <p>而對於這起事故可能帶來的影響，該公司表示根據初步評估，目前對捷元電腦的營運無重大影響。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213035&SPOKE_DATE=20250911&COMPANY_ID=4162"><strong style="font-size: 22px;">智擎發布資安重訊，網站代管業者遭受DDoS攻擊</strong></a></p> <p></p> <p>上市櫃公司因網站遭遇DDoS攻擊的情況已有數起，但如今發生主機代管業者遭遇相關攻擊而受到影響的事故。</p> <p>智擎生技製藥指出，他們在9月11日偵測到代管公司網站主機的業者遭受攻擊的情況，該公司隨即啟動相關防禦機制及復原作業。而對於可能造成的影響，根據智擎的初步評估，對公司營運無影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/great-firewall-of-china-data-published-largest-leak/">中國防火牆相關資料傳出資料外洩，近600 GB原始碼、內部通訊、事件記錄</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/mustang-panda-deploys-snakedisk-usb.html">中國駭客Mustang Panda鎖定泰國而來，散布USB蠕蟲SnakeDisk</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/hiddengh0st-winos-and-kkrat-exploit-seo.html">中國駭客透過SEO、GitHub散布惡意程式HiddenGh0st、Winos、kkRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-confirms-fraudulent-account-created-in-law-enforcement-portal/">Google的執法請求系統遭駭，駭客設置用於詐欺的帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ai-powered-villager-pen-testing-tool.html">AI滲透測試工具Villager在PyPI下載急劇增加，恐被用於網路犯罪</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171201"><strong style="font-size: 22px;">國際半導體展資安合作再升級，SEMI E187認驗證制度正式啟動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3s0ojtmy_bbl.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/3s0ojtmy_bbl.jpg" style="width: 300px; float: right;" /></a></p> <p>由臺灣主導的半導體設備資安標準SEMI E187，自2022年正式發布後，該標準的落地與推廣進展持續受關注，繼兩年前完成SEMI E187檢核清單制定，推動合格性驗證（VoC），如今該標準在認驗證制度建立上，有了更進一步的拓展。</p> <p>在今年SEMICON Taiwan 2025的半導體資安趨勢高峰論壇上，舉辦了SEMI E187認驗證制度啟動儀式，由數位發展部數位產業署署長林俊秀與SEMI全球行銷長暨臺灣區總裁曹世綸，代表雙方簽署合作備忘錄，共同宣示半導體產業資安認驗證制度的推動，已邁出關鍵一步，將為半導體供應鏈韌性強化與接軌國際奠定基礎。</p> <p><a href="https://www.ithome.com.tw/news/171182"><strong style="font-size: 22px;">微軟警告Windows 10將在一個月後終止技術支援</strong></a></p> <p>微軟上周發出通知，提醒Windows 10企業及消費者版本將在30日後，即2025年10月14日來到技術支援終點。</p> <p>將在下個月14日失去技術支援的版本包括：Windows 10 22H2 Home、Pro、Enterprise、Education、IoT Enterprise版本，以及Windows 10 2015 LTSB及Windows 10 IoT Enterprise LTSB 2015。10月份的每月安全更新（Patch Tuesday）將是這些版本接收的最後一次更新。此後，所有執行這些作業系統的裝置，都不會再獲得包含最新威脅防護的安全更新以及預覽版更新。</p> <p>由於Windows 10用戶市占仍然相當大，微軟去年首度對消費者PC公布付費延伸安全更新（Extended Security Update，ESU）。之前微軟僅對企業用戶提供ESU。今年6月微軟更進一步新增2種ESU方案，一是以Microsoft Rewards 1000點兌換ESU。二是使用Windows Backup功能將Windows設定同步到雲端，使用二種方法皆可不需支付其他費用換取ESU。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171199"><strong>【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171149"><strong>【9月12日】勒索軟體Akira攻擊SonicWall防火牆SSL VPN服務的態勢加劇</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171140"><strong>【9月11日】微軟修補近滿分資安漏洞</strong></a></p> </div></div></div>
2025/9/16 14:40作者周峻佑https://www.ithome.com.tw/news/171216
蘋果AI全面升級，Apple Intelligence統一部署於五大平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/tw/newsroom/2025/09/new-versions-of-apples-software-platforms-are-now-available/" target="_blank">蘋果周一（9/15）同步更新了iOS、iPadOS、macOS、watchOS、tvOS與visionOS等作業系統</a>，首次在所有平臺上採用一致性的Liquid Glass介面設計，<a href="https://www.apple.com/tw/newsroom/2025/09/new-apple-intelligence-features-are-available-today/" target="_blank">也全面整合了最新的Apple Intelligence智慧功能</a>，大多數簡單的AI任務可直接於裝置上完成，複雜請求則透過Private Cloud Compute私有雲處理，強調隱私優先。</p> <p>其中，Liquid Glass為蘋果新的介面設計，具備半透明效果，可反射與折射周遭環境，還能動態轉換，以更清楚的方式呈現內容，被應用在蘋果與第三方程式的控制選項、導航、App圖示及小工具上。新設計已部署於iOS、iPadOS、macOS、watchOS及tvOS等除了visionOS之外的平臺。</p> <p>Apple Intelligence則被整合在除了tvOS以外的其它平臺。其核心功能包括即時翻譯（Live Translation）、影像智慧（Visual Intelligence)、Genmoji及影像樂園（Image Playground）、健身工具Workout Buddy，以及智慧捷徑（Shortcuts）等，而且將新增對繁體中文的支援。</p> <p>Apple Intelligence原本支援英、法、德、義大利、葡萄牙、西班牙、日、韓及簡體中文等語言，這次宣布將在年底前新增對丹麥、荷蘭、挪威、瑞典、土耳其、越南與繁體中文等新語言的支援。</p> <p>全新的即時翻譯功能是利用裝置上內建的LLM來分析語音與文字內容，可支援各種情境，包括電話交談、FaceTime、Messages或AirPods等。例如在Messages中，使用者輸入回覆時，該功能可自動將訊息翻譯成對方的語言並傳送；在FaceTime時，使用者可一邊聽見親友的聲音，並同步看到即時翻譯的文字；講電話的時候則會聽到即時翻譯的語音。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20intelligence%20translate.png" style="width: 550px;" /></p> <p>影像智慧則能理解螢幕內容，可用來搜尋相似圖片，詢問ChatGPT，摘要或翻譯文字，或是一鍵加入行事曆。Genmoji及影像樂園便是用來生成全新的表情符號或是風格化圖像。Workout Buddy可用來分析使用者的體能訓練資料及健身紀錄，同時根據心率、配速、距離、活動紀錄或個人健身里程碑等資料，於運動過程中提供個人化的語音激勵內容；不過，它初期只有英文。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20intelligence-%E5%BD%B1%E5%83%8F%E6%99%BA%E6%85%A7.png" style="width: 600px;" /></p> <p>Shortcuts則是用來把多個操作流程串成一鍵執行的流程腳本，支援iOS、iPadOS與macOS。例如製作一個「Hold That Thought」的捷徑，它會截圖螢幕，儲存剪貼簿內容，匯出未來一小時的行事曆，以及將上述整理成一個提醒事項，之後在使用者臨時被打擾時就能執行它，以便事後可立即接續。也能設計成尋找家中物品或打包行李的助手。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20intelligence-shortcuts.png" style="width: 600px;" /></p> <p>值得注意的是，蘋果開放第三方開發者存取Apple Intelligence在裝置上所使用的大型語言模型，以保護使用者隱私並降低開發者門檻。</p> <p>除了Apple Intelligence與Liquid Glass之外，各個平臺也有不同的改善，例如iOS 26提供了陌生來電過濾（Call Screening）功能，在使用者撥打客服電話時可以代為等候的Hold Assist，也於Apple Music新增了歌詞翻譯與發音功能；日記（Journal）功能登上了iPadOS 26；以及macOS Tahoe強化了與iPhone的整合。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/9/16 14:25作者陳曉莉https://www.ithome.com.tw/news/171213