iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 01:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】9月23日，協作平臺Notion導入AI代理，攻擊者可透過惡意PDF檔洩露資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>應用程式導入人工智慧的情況越來越普遍，但同時也可能使得應用程式存在AI相關的資安弱點。例如，最近發布大改版的協作平臺Notion，開發團隊導入了AI代理程式，號稱能自動完成建立文件、更新資料庫、跨工具檢索與多步驟工作流程，但資安業者CodeIntegrity發現，此代理程式有可能被惡意內容操控，使得攻擊者有機會透過內建的網頁搜尋工具外洩資料。</p> <p>另一項受到外界關注的資安漏洞，是風險值達到滿分的Entra ID（原Azure AD）漏洞CVE-2025-55241，通報此事的研究人員指出，一旦攻擊者成功利用這項漏洞，就有機會透過舊版Azure AD Graph API在任意租戶隨意讀寫，相當危險。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171344"><strong style="font-size: 22px;">針對週末歐洲多個機場登機系統服務中斷事故，歐盟當局透露是勒索軟體攻擊所致</strong></a></p> <p>歐洲多個大型機場，包括：柏林勃蘭登堡機場、布魯塞爾機場，以及倫敦希思羅機場，從上週五（9月19日）晚間開始傳出登機系統中斷運作的現象，導致部分航班受到影響而出現延誤，引起全球關注。而本次傳出攻擊者下手的目標，是航太暨國防業者Collins Aerospace打造的Muse登機系統，歐盟主管介入調查，如今傳出這起事故是勒索軟體攻擊。</p> <p>根據衛報的報導，9月22日歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）透露這起事故的初步調查結果，指出Collins Aerospace疑似遭遇勒索軟體攻擊，從而引發這起事故。但除此之外，對於攻擊者的身分、勒索軟體名稱，以及其他細節，ENISA並未進一步說明。</p> <p>英國反恐立法獨立審查員Jonathan Hall KC也對此事提出看法，他認為攻擊者的身分，很有可能是國家資助的駭客組織，但不排除是強大的私人駭客組織所為。</p> <p><a href="https://www.ithome.com.tw/news/171349"><strong style="font-size: 22px;">密碼管理服務業者LastPass遭冒名，駭客設置GitHub儲存庫散布竊資軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/github-campaign---screen-capture-of-LastPass-impersonation-page-png.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/github-campaign---screen-capture-of-LastPass-impersonation-page-png.png" style="width: 300px; float: right;" /></a></p> <p>上週美國聯邦調查局（FBI）提出警告，近日有人偽裝他們旗下的網路犯罪投訴中心（Internet Crime Complaint Center，IC3），恐用於架設詐騙網站從事網路犯罪活動，進行網路釣魚、投資詐騙、商業郵件詐騙（BEC）等行為，現在也有資安業者遭到歹徒假冒的情況，他們公布相關手法並警告用戶提高警覺。</p> <p>密碼管理解決方案業者LastPass指出，他們追蹤正在進行、影響廣泛的竊資軟體攻擊活動，駭客透過冒牌GitHub儲存庫鎖定macOS用戶而來，意圖誘騙他們下載、安裝應用程式，其中一款就是號稱提供macOS版LastPass，假若用戶照做，電臘就會被植入竊資軟體Atomic Stealer（AMOS Stealer）。</p> <p>值得留意的是，根據LastPass列出的入侵指標（IoC），他們也看到攻擊者聲稱提供1Password、Dropbox、After Effects等其他應用程式的情況。</p> <p><a href="https://www.ithome.com.tw/news/171342"><strong style="font-size: 22px;">Jeep、Fiat母公司汽車集團Stellantis疑資料外洩，1,800萬筆北美客戶個資恐被竊</strong></a></p> <p>擁有Jeep、Fiat、克萊斯勒（Chrysler），以及瑪莎拉蒂（Maserati）等多個品牌的汽車集團Stellantis公告遭駭外洩北美客戶資料。惡名昭彰的勒贖組織ShinyHunters宣稱竊走了1800萬筆個資。</p> <p>Stellantis本周表示近日偵測到，支援其北美客戶服務的第三方服務平臺遭未授權存取，因而洩露了客戶個資。該公司立即啟動安全回應措施、阻止了惡意活動，並展開調查，同時通報主管機關及聯繫受影響的客戶。</p> <p>經過調查， Stellantis相信遭到存取的個資只有聯繫資訊，強調該平臺並未儲存財務或敏感個資，也沒有任何這些資料遭存取。該公司提醒客戶留心釣魚攻擊，切勿點擊不明來源的連結或分享個資的要求。雖然這家車廠沒有說明被存取的第三方客戶平臺為何，但根據資安新聞網站BleepingComputer報導，這起事件是最新一樁Salesforce資料外洩案。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/17500-phishing-domains-target-316.html">網釣套件租用服務Lighthouse、Lucid規模顯著增加，鎖定74國、冒充316個品牌</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thecyberexpress.com/apt28-recent-campaign-infection-chain/">俄羅斯駭客APT28結合隱寫術、雲端C2從事新一波惡意軟體感染活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/dprk-hackers-use-clickfix-to-deliver.html">北韓駭客鎖定加密貨幣業者而來，透過ClickFix網釣散布惡意軟體BeaverTail</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://research.checkpoint.com/2025/nimbus-manticore-deploys-new-malware-targeting-europe/">伊朗駭客Nimbus Manticore鎖定西歐而來，攻擊國防製造、電信、航空業</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/oracle-database-scheduler/">Oracle Database Scheduler遭到鎖定，駭客以此滲透企業網路環境</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171334"><strong style="font-size: 22px;">Notion大改版3.0新增AI代理，恐遭間接提示注入攻擊並洩露機敏資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/notion-ai-agent-8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/notion-ai-agent-8.png" style="width: 300px; float: right;" /></a></p> <p>受廣泛使用的協作平臺Notion在甫推出的3.0版本，增加了AI Agents作為主打功能，讓代理能在工作區裡自動完成建立文件、更新資料庫、跨工具檢索與多步驟工作流程。該更新凸顯了SaaS平臺向人工智慧驅動自動化邁進的趨勢，不過資安公司CodeIntegrity研究人員也發現其存在間接提示注入風險，代理可被惡意內容操控，藉由內建的網頁搜尋工具，將工作區內的敏感資料外洩到攻擊者控制的伺服器。</p> <p>研究人員說明，一旦使用者在Notion中開啟含有隱藏指令的檔案，例如看似正常的PDF報告，代理在進行摘要任務時，便可能讀取內部頁面中的欄位資料，再把這些資訊組合成字串，嵌入URL並透過網頁搜尋工具發出查詢。</p> <p>攻擊者只要在伺服端記錄這些請求，就能取得PDF報告中公司名稱、產業分類或年度經常性收入（ARR）等機密內容。研究人員指出，這是一種典型的間接提示注入攻擊，其特徵是代理本身沒有惡意，但在被誤導的情境下自動執行不符合使用者原意的動作。</p> <p><a href="https://www.ithome.com.tw/news/171346"><strong style="font-size: 22px;">微軟修補Entra ID滿分漏洞，攻擊者有機會透過舊版Azure AD Graph API在任意租戶隨意讀寫</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/053dNh3oR7.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/053dNh3oR7.jpg" style="width: 300px; float: right;" /></a></p> <p>9月初微軟修補一系列的雲端服務漏洞，其中出現在Azure Networking的滿分漏洞CVE-2025-54914受到關注，資安業者Rapid7特別在9月例行更新（Patch Tuesday）提及，呼籲用戶在雲端資產進行通訊時，要特別留意，但除此之外，微軟還揭露了另一個Entra ID（Azure AD）滿分漏洞，通報此事的資安研究員近日公布相關細節，受到資安圈的高度關注。</p> <p>這項滿分漏洞被登記為CVE-2025-55241，出現在Azure Entra，可被用於權限提升，屬於未妥善驗證身分的弱點（CWE-287）。微軟對此僅表示他們已全面降低相關風險，使用者不需採取行動，之所以記錄這個漏洞，主要目的是提升後續追蹤的透明度。</p> <p>通報此事的Outsider Security資安研究員Dirk-jan Mollema透露，這是他看過影響最嚴重的Entra ID漏洞，而且，時間恰巧在7月，那時正在準備黑帽大會（Black Hat USA）及DEF CON兩項資安大型會議的資料。Dirk-jan在7月14日通報此事，17日微軟進行修補，並於23日確認已完全緩解。根據微軟內部的遙測，目前尚未出現漏洞遭到濫用的跡象。</p> <p> </p> <h3>【資安防禦措施】</h3> <p><a href="https://www.ithome.com.tw/news/171292"><strong style="font-size: 22px;">當機器人擁有自主思考能力──解析具身AI的資安臨界點</strong></a></p> <p>近年來，人工智慧（AI）的浪潮席捲全球，其觸角已從虛擬網路空間延伸至實體物理世界。當AI不再僅是無形的演算法，而是擁有「身體」，並能在現實中感知、行動、學習的機器人時，我們正迎來一個全新的「具身AI」（Embodied AI）時代。</p> <p>這不僅僅是技術的革新，更是對社會、經濟，乃至國家安全帶來全新考驗的轉折點。臺北市政府日前宣布引進中國宇樹科技（Unitree Robotics）的巡檢機器狗，原意為提升市政管理效率的創舉，卻不料激起層層資安疑雲，這不僅僅是一樁採購案的爭議，更是臺灣社會乃至全球，在迎接具身AI浪潮時，必須正視的嚴峻挑戰。</p> <p>我們該如何理解AI機器人的能力、應用需求，以及各種相關的安全性議題？針對各種智慧移動載具的資安威脅實驗室VicOne LAB R7，發表全球第一份《AI 機器人資安風險與防護白皮書》，當中強調：AI機器人具備「感知、決策、行動」三大能力，一旦遭到入侵，後果不僅止於個資和隱私等資料外洩，還可能導致機器人誤判行為，進而造成人身安全的危害。</p> <p><a href="https://www.ithome.com.tw/news/171173"><strong style="font-size: 22px;">Pixel 10相機與相簿啟用C2PA內容憑證，建立可驗證的拍攝與編輯鏈</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog image C2PA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog%20image%20C2PA.png" style="width: 300px; float: right;" /></a></p> <p>Google Pixel 10的相機應用會對每張JPEG寫入C2PA內容憑證，而Google相簿則會讀取與顯示C2PA內容憑證，並在編輯時續寫相應描述。該功能把可驗證的來源與歷程帶進行動攝影生態，Google強調，目的不是區分人工智慧或非人工智慧，而是讓影像的產生與處理步驟可以被查證。</p> <p>C2PA內容憑證是一套產業標準，透過數位簽章把影像的來源、拍攝或編輯步驟嵌入檔案。當支援的檢視工具讀到這些資料，使用者能看見影像是否由相機拍攝、是否經人工智慧或非人工智慧工具處理、處理順序為何。</p> <p>Pixel相機應用通過C2PA一致性計畫的第二級驗證保障（Assurance Level 2），這是目前計畫中最高等級的安全驗證，其達成仰賴Android的硬體安全架構，包括Tensor G5處理器、Titan M2安全晶片，以及Android Key Attestation、遠端金鑰配置（RKP）與StrongBox等功能。Titan M2經過國際安全標準的認證，用於在晶片層級產生並保護簽章金鑰，而Key Attestation則讓憑證機構能確認裝置狀態是否安全，並驗證請求憑證的應用是否為受信任的版本。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171332"><strong>【9月22日】歐洲多座機場因登機系統遭到網路攻擊而影響營運</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171285"><strong>【9月19日】多家資安業者紛紛宣布併購AI公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171274"><strong>【9月18日】逾500個NPM套件被植入具大量散播能力的蠕蟲</strong></a></p> </div></div></div>
2025/9/23 18:15作者周峻佑https://www.ithome.com.tw/news/171351
Appier推出行銷團隊超強AI同事，從行銷策劃、影片製作到互動遊戲，都能靠AI代理快速生成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="_block_oewjo_1" data-node-id="234d53d1-7f3d-4b56-8b13-437944795677" data-node-type="paragraph" data-pm-slice="0 0 []">AI軟體公司Appier今天在台北宣布發表了8款代理式AI的行銷科技AI助手，可以貫穿到整個顧客旅程的工作流程中，最大特色，除了內建上百位產業專家的知識之外，也首創將風險概念引進代理AI的設計，來改善AI代理決策的品質和生成結果。</p> <p class="_block_oewjo_1" data-node-id="1992db8d-bac5-488a-9f86-99e3329b6824" data-node-type="paragraph">Appier執行長游直翰表示，從顧客數據到創意實現的週期太長，AI代理可以幫忙快速完成行銷任務。過去得花2～3個月製作的行銷影片，Director Agent只要2、3個小時就能生成一隻，可以細緻呈現商品樣貌，貼近產業知識的商業行銷影片。另一款Coding Agent甚至只需要1小時就能生成用企業行銷素材、角色來打造的網頁遊戲。</p> <p class="_block_oewjo_1" data-node-id="5d5affa2-361f-4145-a21e-6140a5e1eae4" data-node-type="paragraph">Appier新發表的8款AI代理，橫跨他們原有的三大產品線，包括了廣告雲產品超級個人化行銷AI助手ROI Agent、商業影片生成助手Director Agent和互動遊戲生成助手Coding Agent，以及個人化雲產品線的銷售AI助手Sales Agent、客服AI助手Service Agent和行銷活動AI助手Campaign Agent。最後兩款則是數據雲產品線的Insight Agent和Audience Agent。</p> <p class="_block_oewjo_1" data-node-id="b6274478-fa92-43c4-ab7b-1110dbe71aa8" data-node-type="paragraph">Appier推出了兩款廣告內容生成AI代理，可以大幅縮短廣告影片和遊戲的製作時間。傳統商業廣告影片，從拍攝到製作動輒要花兩三個月，Director Agent可以縮短到幾個小時就可以完成。品牌商只要提供焦點商品的素材，AI代理會自動參考產業知識庫來推薦目標受眾，來自動生成影片腳本，生成演員，生成影片內容，再讓廣告主調整，也能確保焦點商品在影片中不同角度的畫面，都能正確無誤。</p> <p class="_block_oewjo_1" data-node-id="7a67c87f-a459-41ae-9650-2b11eb9a195c" data-node-type="paragraph">Appier廣告雲產品負責人謝六拾表示，因為只要幾個小時就能製作出一隻影片，就可以進行規模化的測試，不斷迭代測試來優化廣告成效。根據Appier內部測試，用AI代理生成的影片迭代優化後，可以比單靠一隻人工製作影片，提高七八成的點擊率。</p> <p class="_block_oewjo_1" data-node-id="7a67c87f-a459-41ae-9650-2b11eb9a195c" data-node-type="paragraph">不只生成影片，Coding Agent只要1個小時就能生成一隻可以玩的行銷遊戲廣告，不需要準備技術支援，行銷人員只要提供行銷素材，如影片或圖片，AI代理會依據這些素材，生成與品牌調性相符的遊戲物件、角色，即時產生一隻可以玩的廣告，謝六拾表示：「可以將傳統被動觀看的廣告，轉變成讓使用者主動參與的廣告體驗，來提高廣告成效。」目前支援五種互動遊戲模板，未來會增加更多模板。</p> <p class="_block_oewjo_1" data-node-id="7a67c87f-a459-41ae-9650-2b11eb9a195c" data-node-type="paragraph"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%94%9F%E6%88%90%E9%81%8A%E6%88%B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Appier.jpeg" /></p> <p class="_block_oewjo_1" data-node-id="41b03f74-361d-406c-af4b-1fc744594b23" data-node-type="paragraph">廣告雲產品線原先推出一段時間的ROI Agent也同步升級，這是一個用來打造超級個人化廣告的行銷工具，能針對每一個顧客，產生超級個人化的廣告，甚至依據顧客的即時狀態和行為，來生成個人化的行銷文案，今天則新增加了媒體組合模型的自動化增量測試，採用了GoogleMMM廣告成效分析開源專案Meridian技術，來自動測試和優化即時產生的個人化廣告成效。</p> <p class="_block_oewjo_1" data-node-id="1b127511-cf83-4397-b4df-d1d7261dcd5e" data-node-type="paragraph">在個人化雲產品線的三款新發表AI Agent中，Sales Agent和Service Agent是專門任務的Chatbot Agent，前者可以在網站或App中，依據顧客資訊來提供即時推薦或發送優惠來提高觸及率，後者則是線上客服，可以支援到訂單查詢、取消等行動。</p> <p class="_block_oewjo_1" data-node-id="bc2e9aa2-ff9f-4be2-807d-d8aa957481aa" data-node-type="paragraph">Campaign Agent則是一個可以結合過往成效和數據，自動建立行銷活動的AI助手，行銷人員可以用自然語言來描述行銷受眾、目標、預算，就可以產生一套推薦的行銷活動建議方案。這款AI代理整合了產業知識來提供行銷策略，也提供了多種AI工具，如AI目標引導、AI受眾分析、AI通路、AI顧客旅程、AI最佳文案、AI圖影設計、AI時間，AI自主優化ROI等。</p> <p class="_block_oewjo_1" data-node-id="bc2e9aa2-ff9f-4be2-807d-d8aa957481aa" data-node-type="paragraph"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%8C%E9%8A%B7AI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Appier.jpeg" /></p> <p class="_block_oewjo_1" data-node-id="5acc5893-c607-4290-a537-673d83076a6a" data-node-type="paragraph">在數據雲產品線的兩款AI代理，一款是扮演受眾分析師的Audience Agent，可以深度結合用戶網頁行為，自動找出最有效的受眾分群，還結合預測式AI和成效驗證，另外也內建數據品質增強引擎，會運用數據清理技術來改善資料品質，也能建立語意標籤，來降低AI幻覺的影響。</p> <p class="_block_oewjo_1" data-node-id="7658fd26-051c-449e-8734-1dbdbb51e002" data-node-type="paragraph">最後一款新發表的AI代理式Insight Agent，可以扮演數據資料科學家，提供更深、更廣的商業洞察，像是提供營收歸因分析、品類交叉銷售分析、通路舖貨效益分析、節慶檔期效益、門市導流效果等分析。</p> <p class="_block_oewjo_1" data-node-id="537c625a-0da6-4f5c-973b-85782341c55c" data-node-type="paragraph">這些AI代理不同於原本的平臺式的軟體產品線，游直翰比喻，更像是行銷團隊中的數位助手，以「完成任務」為導向來協助不同的行銷任務。</p> <p class="_block_oewjo_1" data-node-id="d54ca080-e96e-4f1d-8faa-58c1ce57f2e4" data-node-type="paragraph">Appier原有的產品採訂閱制計畫，這些不同款的AI代理也會以加購訂閱模式，而不是獨立購買的產品。</p> </div></div></div>
2025/9/23 19:16作者王宏仁https://www.ithome.com.tw/news/171352
廣達電腦導入AI輔助軟體開發2年經驗分享：開發效率提升約33%，提升程式碼安全及品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現在AI寫程式比我更好、更快、更有效率，相信我和AI在寫程式上的差距將會愈來愈大」，很早便接觸程式開發，曾購買Apple II電腦學習開發程式的李振忠一場活動上有感而發地說。李振忠現為廣達電腦總管理處管理資訊中心處長，他自嘲自己是「傳說中被AI取代的工程師」，但幸運地是，他並沒有因此失業。</p> <p>他在廣達電腦任職近30年，一直從事資通訊領域工作，從協助ERP導入、Supply Chain、雲端，行動化系統的設計開發，到IT架構建置及管理等工作，近期參與推動廣達的AI運用發展，特別是導入生成式AI輔助軟體開發，對於AI帶來的影響深有感觸。</p> <p>「如果真的要和AI比較寫程式，我相信我會被取代，雖然AI取代我的許多工作，但是如果好好運用它，可提升我的工作層次，擴展視野，更多時間投入規畫，同時也讓組織釋放更多人力，以更快、更有效率完成交辦的任務」，他說，導入AI後他覺得自己反而更忙。</p> <p>李振忠分享軟體開發者最害怕遭遇的事情，像是開發不熟悉領域的軟體、使用其他程式語言開發或是要修改老舊系統，這些問題運用AI輔助軟體開發能解決，廣達在2年前著手導入AI輔助軟體開發。</p> <p>李振忠認為，在企業導入AI的過程中，不光只是導入AI技術及工具，更重要的是以文化人才為優先，引導員工的觀念轉變，建立他們對AI的信任，除了介紹與宣傳，還需說明具體應用情境，降低他們被AI取代的隱憂，讓員工理解AI帶來的挑戰及風險。「讓同仁獲得AI相關知識，才有共通的語言，也為接下來的應用服務奠定基礎」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-3-600.jpg" style="width: 600px; height: 330px;" /></p> <p>其次是讓他們親身感受，透過讓員工試用AI工具、教育訓練、評估效益，提升對AI的接受度，「最重要的是想盡辦法讓同仁能感受到AI對他們帶來的幫助」，李振忠說。</p> <p>最後是導入AI至員工的工作。李振忠指出，這時候引導員工重新定義工作，重塑新的工作模式，提升企業的競爭力，為此他也分享一些推動策略，例如訂定管理辦法及流程，舉辦定期AI小聚討論、教育訓練、創意分享活動等等。</p> <p>有別於過去導入其他工具，剛開始員工會因為好奇被吸引嚐鮮，但是後續的使用率就會下降；廣達導入AI輔助軟體開發後，他發現員工的使用率仍持續上升，尚未使用的員工更有意願導入AI，而那些已使用的員工則向更進階的使用前進，廣達電腦內部也形成使用者社群，彼此分享、討論交流使用的經驗。</p> <p><span style="color:#B22222;"><strong>開發效率提升33%</strong></span></p> <p>李振忠分享軟體開發導入AI的有7個效益。首先，AI助手可提供軟體開發的範例，縮短寫程式的時間，提高效率，讓開發人員可以更專注在有價值的工作，例如邏輯和架構，廣達在AI開發工具上線後，訪談員工的想法，使用者反映開發效率平均提升約33%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-4-600.JPG" style="width: 600px; height: 338px;" /></p> <p>另一個效益是，當開發人員要執行跨領域專案，需使用較陌生領域的語言進行開發，開發人員和AI協作，由AI針對新領域提供建議及範例，降低跨領域的學習曲線。而對於新進員工，通過AI的輔助降低新進員工的摸索成本、縮短上手的時間。</p> <p>身為代工業者，加快產品開發，搶先進入市場是該公司競爭力的關鍵。另一項導入AI開發的效益是加速原型開發。李振忠說明，現在可以透過AI開發工具加快原型的程式碼，可以快速進入測試，再根據回饋進行修改，加快產品上市的速度。</p> <p>其他的效益還有，支援安全及合規性，以及提升員工的滿意度及工作體驗。</p> <p><span style="color:#B22222;"><strong>程式安全向左移至開發階段</strong></span></p> <p>另外，廣達也利用AI來掃描專案中的每個文件，找出潛在的安全性問題，並且提供撰寫程式語言的建議，李振忠認為，這麼一來，可避免參差不齊的問題，提高程式的安全及品質，「錯誤因此減少，相對地，留下的技術債也會變少」。</p> <p>李振忠表示，現今企業重視資訊安全，駭客攻擊在AI的幫助下，攻擊次數有增無減之下，過去在上線之前掃描程式碼，經過修改後再行上線，而在上線之後，再利用弱點掃描或安排紅隊演練；現在軟體工程師在AI工具協助下，寫程式時就能讓AI提供建議，讓程式碼的安全性由右往左移，移至開發階段。</p> <p>經由工程師和AI的來回協作開發過程中，他發現無形中提升工程師的能力。</p> <p>不論是生成式AI，或是低程式碼工具，李振忠認為，在低程式碼工具及生成式AI的浪潮興起之下，製造業或中小型企業可透過低程式碼或生成式AI，成為推動企業敏捷轉型的加速器。</p> </div></div></div>
2025/9/23 18:29作者蘇文彬https://www.ithome.com.tw/news/171350
密碼管理服務業者LastPass遭冒名，駭客設置GitHub儲存庫散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週<a href="https://www.ithome.com.tw/news/171331">美國聯邦調查局（FBI）提出警告</a>，近日有人偽裝他們旗下的網路犯罪投訴中心（Internet Crime Complaint Center，IC3），恐用於架設詐騙網站從事網路犯罪活動，進行網路釣魚、投資詐騙、商業郵件詐騙（BEC）等行為，現在<a href="https://blog.lastpass.com/posts/attack-targeting-macs-via-github-pages">也有資安業者遭到歹徒假冒</a>的情況，他們公布相關手法並警告用戶提高警覺。</p> <p>密碼管理解決方案業者LastPass指出，他們追蹤正在進行、影響廣泛的竊資軟體攻擊活動，駭客透過冒牌GitHub儲存庫鎖定macOS用戶而來，意圖誘騙他們下載、安裝應用程式，其中一款就是號稱提供macOS版LastPass，假若用戶照做，電臘就會被植入竊資軟體Atomic Stealer（AMOS Stealer）。</p> <p>歹徒透過搜尋引擎最佳化（SEO），透過Google、Bing引誘使用者點選，然後將他們帶往冒牌的GitHub儲存庫。LastPass於9月16日看到有兩個冒牌的GitHub網頁，共通點是都包含「在MacBook安裝LastPass」的按鈕。一旦使用者點選，就會被導向下載頁面，要求使用者透過終端機命令進行後續安裝。</p> <p>然而，歹徒運用了類似ClickFix的網釣手法，他們要求使用者按下複製按鈕，複製網頁上的安裝命令並貼上終端機執行，但若是照做，就會在電腦下載名為Update的有效酬載，而此酬載就是Atomic Stealer。</p> <p>值得留意的是，根據LastPass列出的入侵指標（IoC），他們也看到攻擊者聲稱提供1Password、Dropbox、After Effects等其他應用程式的情況。</p> </div></div></div>
2025/9/23 17:28作者周峻佑https://www.ithome.com.tw/news/171349
微軟修補Entra ID滿分漏洞，攻擊者有機會透過舊版Azure AD Graph API在任意租戶隨意讀寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月初微軟修補一系列的雲端服務漏洞，其中出現在<a href="https://www.ithome.com.tw/news/171128">Azure Networking的滿分漏洞CVE-2025-54914</a>受到關注，資安業者Rapid7特別在9月例行更新（Patch Tuesday）提及，呼籲用戶在雲端資產進行通訊時，要特別留意，但除此之外，微軟還揭露了另一個Entra ID（Azure AD）滿分漏洞，通報此事的資安研究員<a href="https://dirkjanm.io/obtaining-global-admin-in-every-entra-id-tenant-with-actor-tokens/">近日公布相關細節</a>，受到資安圈的高度關注。</p> <p>這項滿分漏洞被登記為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-55241">CVE-2025-55241</a>，出現在Azure Entra，可被用於權限提升，屬於未妥善驗證身分的弱點（CWE-287）。微軟對此僅表示他們已全面降低相關風險，使用者不需採取行動，之所以記錄這個漏洞，主要目的是提升後續追蹤的透明度。</p> <p>通報此事的Outsider Security資安研究員Dirk-jan Mollema透露，這是他看過影響最嚴重的Entra ID漏洞，而且，時間恰巧在7月，那時正在準備黑帽大會（Black Hat USA）及DEF CON兩項資安大型會議的資料。Dirk-jan在7月14日通報此事，17日微軟進行修補，並於23日確認已完全緩解。根據微軟內部的遙測，目前尚未出現漏洞遭到濫用的跡象。</p> <p>此漏洞涉及兩項元件，其中一個是未記錄在文件當中的「Actor Token」，此為微軟內部使用的憑證，使用於後臺服務之間（Service-to-Service，S2S）的通訊；另一個是舊版Azure AD Graph API，原因是無法有效驗證是否為原始的租戶，使得攻擊者有機會以此進行跨租戶存取。</p> <p>這麼一來可能產生哪些危機？Dirk-jan指出，他能利用自己實驗室租戶的憑證進行身分驗證，並且冒充任意租戶的任何使用者，當然也包括全域管理員。</p> <p>再者，一旦攻擊者利用這類憑證，可在任意租戶完整存取Azure AD Graph API，而且還完全不會留任何事件記錄（僅會出現在攻擊者自己的租戶）。另一方面，Azure AD Graph API並未具備API層級的事件記錄，這代表攻擊者能存取多種Entra ID資料而不會留下蹤跡。</p> <p>而對於攻擊者如何利用CVE-2025-55241，Dirk-jan指出首先可透過公用API找到目標租戶的ID，然後尋找任意有效使用者的netId，接著，攻擊者在自己的租戶環境，利用Actor Token模擬受害租戶，以此找出該租戶的全域管理員，並模擬其身分，最終透過Azure AD Graph API進行任意讀寫行為。</p> </div></div></div>
2025/9/23 16:05作者周峻佑https://www.ithome.com.tw/news/171346
針對週末歐洲多個機場登機系統服務中斷事故，歐盟當局透露是勒索軟體攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲多個大型機場，包括：柏林勃蘭登堡機場、布魯塞爾機場，以及倫敦希思羅機場，<a href="https://www.ithome.com.tw/news/171330">從上週五（9月19日）晚間開始傳出登機系統中斷運作的現象</a>，導致部分航班受到影響而出現延誤，引起全球關注。而本次傳出攻擊者下手的目標，是航太暨國防業者Collins Aerospace打造的Muse登機系統，歐盟主管介入調查，如今傳出這起事故是勒索軟體攻擊。</p> <p>根據<a href="https://www.theguardian.com/world/2025/sep/22/flight-delays-europe-cyber-attack-heathrow-brussels-berlin">衛報的報導</a>，9月22日歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）透露這起事故的初步調查結果，指出Collins Aerospace疑似遭遇勒索軟體攻擊，從而引發這起事故。但除此之外，對於攻擊者的身分、勒索軟體名稱，以及其他細節，ENISA並未進一步說明。</p> <p>英國反恐立法獨立審查員Jonathan Hall KC也對此事提出看法，他認為攻擊者的身分，很有可能是國家資助的駭客組織，但不排除是強大的私人駭客組織所為。</p> <p>目前有3家機場揭露這起事故的影響，其中情況較嚴重的布魯塞爾機場，9月22日取消40班出境與23班入境航班，並指出Collins Aerospace尚未確認登機系統是否恢復安全。</p> <p>另一個公開營運狀況的是希思羅機場，他們表示，絕大部分航班照常運作，但部分航班辦理登機手續及登機時間會比平常要來得久。發言人表示登機系統並非該機場所有，亦非他們經營，因此該機場無法介入處理，但他們對航空公司提供相關支援，並增加人手協助旅客。</p> <p>都柏林機場則是估計22日之後，不會因IT問題取消航班。除上述3座機場，也有航空公司表明受到衝擊。愛爾蘭航空（Aer Lingus）於21日表示，他們因這起事故受到嚴重影響。</p> <p>對於事故的後續處理，Collins Aerospace也在22日發出新的聲明，表示他們正在與4座受影響的機場，以及相關航空公司合作，目前正在恢復所有功能，處於完成所需更新的最終階段。</p> </div></div></div>
2025/9/23 13:16作者周峻佑https://www.ithome.com.tw/news/171344
Angular加入Web Codegen Scorer與MCP Server新工具，推進AI導向開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下前端開發框架Angular<a href="https://blog.angular.dev/beyond-the-horizon-how-angular-is-embracing-ai-for-next-gen-apps-7a7ed706e1a3">推出</a>兩項人工智慧開發新工具Web Codegen Scorer與MCP Server，目的是提升人工智慧生成Web程式碼的品質，並讓代理式開發更順利地融入現有框架流程。Angular團隊同時宣布，Angular已整合至Google的Gemini產品線，包括Gemini Canvas的框架支援，以及Google AI Studio新增的Angular TypeScript系統指令模板，讓開發者能更直接地利用人工智慧建立應用程式原型並進行迭代。</p> <p>Web Codegen Scorer的主要功能是對人工智慧生成的Web程式碼進行品質評估，其提供涵蓋建置、執行、資安與無障礙等面向的儀表板，協助開發者檢視生成結果是否達到可用標準。Angular團隊以自身情境為例，該工具能夠協助angular.dev/ai平臺上的人工智慧提示詞，進行系統性調整與最佳化。</p> <p>透過Web Codegen Scorer，開發團隊還能評估大型語言模型生成的Angular程式碼品質，並根據分析結果，持續修正提示詞內容，使其更適合現行框架語法與功能需求，進而提升人工智慧生成程式碼的正確性及可靠性。 </p> <p>Web Codegen Scorer評分機制經過Google內部人工智慧、安全與無障礙專家的調整，也經SolidJS框架核心團隊測試，協助他們最佳化提示詞與脈絡設計。該工具已開源，框架與函式庫作者可建立自訂評測流程，以改善生成程式碼的可建置性與可維護性。</p> <p>另一項重點是MCP Server，讓代理能直接呼叫框架與CLI的工具，支援更完整的代理式開發工作流，在Angular v20.2中目前屬於實驗性功能。Angular團隊也透露未來的研究方向，包括提供現代化搬遷工具，將舊語法轉換成新的標準寫法。</p> <p>同時，Angular團隊正開發本地RAG引擎，讓人工智慧可直接檢索整理過的官方程式碼範例與最新文件，降低模型使用過時資訊的風險。這些功能目前仍處於探索階段，後續會隨研究成果逐步引入框架。</p> <p>在生態系整合上，Gemini Canvas現已支援Angular，開發者可於Gemini Web App的工具選單中啟用Canvas，並透過提示生成Angular應用。Google AI Studio則新增Angular TypeScript系統指令模板，開發者可在進階設定中選取，讓生成程式碼更符合Angular元件與服務的結構設計。</p> </div></div></div>
2025/9/23 15:06作者李建興https://www.ithome.com.tw/news/171345
Gemini進駐Google TV，支援自然對話與個人化推薦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-tv/gemini-google-tv/" target="_blank">Google周一（9/22）宣布</a>，旗下AI聊天機器人Gemini即將進駐電視平臺Google TV，讓使用者直接與Gemini對話，以尋找適合的電影，回顧上一季的影集，或是結合YouTube影片來提供答案，首款搭載Gemini for TV的電視機為TCL QM9K系列。</p> <p>Google TV是Google於2010年推出的電視作業系統，它在2017年整合了Google Assistant數位助理功能，使用者只要透過搖控器上的麥克風或是「Hey Google」喚醒該功能，可用來搜尋及播放電視上的內容，也能操控智慧家電，或是詢問天氣及新聞等。不過，在更強大的、基於AI的Gemini現身後，<a href="https://www.ithome.com.tw/news/167889" target="_blank">Google已經宣布</a>Gemini將在今年全面取代Google Assistant，惟目前的Google TV還是讓Google Assistant與Gemini並存。</p> <p>與使用Google Assistant的方式一樣，在內建Gemini for TV的Google TV上，使用者只要說出「Ok Google」或按下遙控器上的麥克風按鈕，就能啟用Gemini。但它能處理更複雜的問題，例如使用者可以詢問它「有哪些電影類似《不可能的任務》但更有趣？」或「你能幫我向小二的孩子解釋一下太陽系嗎？」還是「《古戰場傳奇》的最後一季發生了什麼事？」它會在螢幕上秀出答案，或是提供相關的YouTube影片供使用者播放。</p> <p>不過，初期Gemini for TV僅支援TCL QM9K系列的電視機，以及英文與法文。Google打算在今年將它部署至Google TV Streamer、Walmart onn. 4K Pro串流裝置、2025 Hisense U7/U8/UX機種，以及2025 TCL QM7K/QM8K/X11K機種。</p> <p>TCL QM9K是中國電視機製造商TCL今年9月推出的旗艦機種，提供65吋、75吋、85吋及98吋等4種尺吋，售價自3,000美元到6,000美元不等。至於相對低階的TCL QM7K大概只要700美元。</p> </div></div></div>
2025/9/23 11:54作者陳曉莉https://www.ithome.com.tw/news/171343
甲骨文指派雙執行長，聚焦AI雲端轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.oracle.com/investor-news/news-details/2025/Oracle-Corporation-Announces-Promotion-of-Clay-Magouyrk-and-Mike-Sicilia-to-CEOs-Safra-Catz-Appointed-Executive-Vice-Chair-of-the-Board-of-Directors/default.aspx" target="_blank">甲骨文（Oracle）周一（9/22）宣布高層人事異動</a>，指派原本擔任Oracle Cloud Infrastructure總裁的Clay Magouyrk，以及原本負責Oracle Industries的Mike Sicilia作為該公司的共同執行長。自2014年即擔任甲骨文執行長的Safra Catz功成身退，轉任甲骨文董事會的執行副主席。當天甲骨文股價上漲了6.31%，以328.15美元作收。</p> <p>現年39歲的Magouyrk原為AWS的資深工程師，在2014年加入甲骨文，最近開始負責甲骨文的雲端基礎設施；至於現年54歲的Sicilia是在2019年加入甲骨文，所帶領的Oracle Industries部門是針對不同的產業垂直市場提供專屬的雲端應用與軟體解決方案。</p> <p>甲骨文說，Magouyrk負責監督第二代Oracle Cloud Infrastructure的設計、實作及業務，該平臺可支援超大規模公有雲資料中心，以及GW規模的AI訓練資料中心；Sicilia的團隊把非常複雜的AI代理人加到各產業的應用套件中，涵蓋醫療、銀行、通訊、公用事業、飯店與零售等，這些新的AI雲端應用程式將同時向傳統及受監管的產業提供全面的端到端解決方案。</p> <p>相較於Magouyrk及Sicilia的工程專長，甫退位的Catz曾擔任甲骨文的財務長，主導過數百筆的併購案，被視為甲骨文的財務戰將。</p> <p>隨著全球及甲骨文邁入AI時代，甲骨文變更了高階主管的配置，表示Magouyrk與Sicilia將合作於發展快速的AI Database及Cloud Infrastructure服務上建置完整的產業AI應用程式套件，讓甲骨文可為客戶提供最新的AI功能。</p> <p><a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001341439/a33fa6de-063c-4023-8370-a6f0d4bad406.pdf" target="_blank">根據甲骨文提交給美國證券交易委員會（SEC）的文件</a>，Magouyrk因此獲得了價值2.5億美元的甲骨文股票選擇權，Sicilia也有價值1億美元的股票選擇權。</p> <p>市場分析指出，此一變動顯示甲骨文順應市場趨勢，進一步聚焦於AI及雲端領域，也因此獲得投資人的正面回應。</p> </div></div></div>
2025/9/23 10:28作者陳曉莉https://www.ithome.com.tw/news/171341
Jeep、Fiat母公司Stellantis疑被外洩北美客戶資料 1800萬筆個資恐被竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有Jeep、Fiat、克萊斯勒(Chrysler)及瑪莎拉蒂(Maserati)等多個汽車品牌的汽車業巨擘<a href="https://media.stellantisnorthamerica.com/newsrelease.do?id=27079&mid=1" target="_blank">Stellantis公告遭駭外洩北美客戶資料</a>。惡名昭彰的勒贖組織ShinyHunters宣稱竊走了1800萬筆個資。</p> <p>Stellantis本周表示近日偵測到，支援其北美客戶服務的第三方服務平臺遭未授權存取，因而洩露了客戶個資。該公司立即啟動安全回應措施、阻止了惡意活動，並展開調查，同時通報主管機關及聯繫受影響的客戶。</p> <p>經過調查， Stellantis相信遭到存取的個資只有聯繫資訊，強調該平臺並未儲存財務或敏感個資，也沒有任何這些資料遭存取。該公司提醒客戶留心釣魚攻擊，切勿點擊不明來源的連結或分享個資的要求。</p> <p>雖然這家車廠沒有說明被存取的第三方客戶平臺為何，<a href="https://www.bleepingcomputer.com/news/security/automaker-giant-stellantis-confirms-data-breach-after-salesforce-hack/" target="_blank">但BleepingComputer報導</a>，這起事件是最新一樁Salesforce資料外洩案。</p> <p>本周稍早ShinyHunters向Bleeping Computer表示本案是其所為。他們宣稱從Stellantis的Salesforce竊走超過1800萬筆紀錄，包含姓名、聯絡資訊等。</p> <p>ShinyHunters今年大肆入侵各大知名企業的客戶資料並勒索贖金。這群駭客利用語音釣魚取得的員工憑證以存取Salesforce資料庫。從科技業者Google、思科、澳航、荷航、法航、安聯人壽(Allianz Life)到精品業者LVMH、Dior、Tiffany等皆成其受害者。</p> <p>另一方面，ShinyHunters也從GitHub竊來的客服聊天機器人Salesloft Drift的 OAuth憑證存取Salesforce，從中取得其他系統的密碼、AWS存取金鑰或Snowflake權杖。受害者清單也不乏資安業者包含Google、Cloudflare、Zscaler、Tenable、 Palo Alto Networks、 CyberArk、 Nutanix、Qualys等。他們向媒體宣稱，利用這個方法從760多家公司資料掠奪了15億筆紀錄。</p> </div></div></div>
2025/9/23 10:34作者林妍溱https://www.ithome.com.tw/news/171342
Nvidia砸千億美元投資OpenAI，共建10GW AI基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/openai-nvidia-systems-partnership/" target="_blank">Nvidia與OpenAI周一（9/22）宣布</a>，雙方已簽署策略聯盟意向書，部署至少10GW的Nvidia系統，以建設OpenAI的新一代AI基礎設施。同時Nvidia也計畫隨著每GW的系統上線，逐步向OpenAI投資最高1,000億美元的金額。而雙方首個1GW的Nvidia系統將採用Vera Rubin平臺，預計於2026年上半年上線。</p> <p>OpenAI共同創辦人暨執行長Sam Altman表示，一切始於運算，運算基礎設施將成為未來經濟的基礎，OpenAI將利用與Nvidia共同建置的架構，創造新的AI突破，並大規模地支持人們與企業。</p> <p><a href="https://blogs.nvidia.com/blog/openai-nvidia/" target="_blank">Altman認為</a>，單位智慧的成本會持續下降，另一方面，AI智慧的上限卻不斷提升，帶來愈來愈多的應用與需求，倘若算力不足，人們很可能被迫在用例之間取捨，因此答案就是大幅增加容量，以服務龐大的需求與機會。</p> <p>雙方的合作意味著Nvidia會隨著每GW的建置投資100億美元，一直到10GW的1,000億美元。外電引述消息來源報導，OpenAI準備利用Nvidia的資金來購買Nvidia GPU。</p> <p>Nvidia創辦人暨執行長黃仁勳曾在今年8月的財報會議上透露，建置1GW的資料中心成本介於500~600億美元之間，當中約有350億美元的成本用在Nvidia晶片及系統上。</p> <p>此外，<a href="https://www.cnbc.com/2025/09/22/nvidia-openai-data-center.html" target="_blank">黃仁勳向CNBC表示</a>，10GW規模的基礎設施相當於400~500萬個GPU，那是Nvidia今年一整年的銷售量，是去年的兩倍。</p> <p>黃仁勳強調，雖然全球已經開始大規模建設AI基礎設施，但現在還只是起步階段，未來的每一個應用、所有的用例或是每一臺裝置都會連結AI，他保證這只是最初的10GW。</p> <p>OpenAI最近一次的估值為5,000億美元，根據路透社（Reuters）的報導，Nvidia的投資將取得沒有投票權的OpenAI股票，消息曝光後，Nvidia當天股價上漲了3.97%，以183.61美元作收。</p> </div></div></div>
2025/9/23 09:22作者陳曉莉https://www.ithome.com.tw/news/171340
Notion 3.0 AI Agents恐遭間接提示注入攻擊洩露機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受廣泛使用的協作平臺Notion在甫推出的<a href="https://www.notion.com/blog/introducing-notion-3-0">3.0版本</a>，增加了AI Agents作為主打功能，讓代理能在工作區裡自動完成建立文件、更新資料庫、跨工具檢索與多步驟工作流程。該更新凸顯了SaaS平臺向人工智慧驅動自動化邁進的趨勢，不過資安公司CodeIntegrity研究人員也<a href="https://www.codeintegrity.ai/blog/notion">發現</a>其存在間接提示注入風險，代理可被惡意內容操控，藉由內建的Web Search工具，將工作區內的敏感資料外洩到攻擊者控制的伺服器。</p> <p>研究人員說明，一旦使用者在Notion中開啟含有隱藏指令的檔案，例如看似正常的PDF報告，代理在進行摘要任務時，便可能讀取內部頁面中的欄位資料，再把這些資訊組合成字串，嵌入URL並透過Web Search工具發出查詢。</p> <p>攻擊者只要在伺服端記錄這些請求，就能取得PDF報告中公司名稱、產業分類或年度經常性收入（ARR）等機密內容。研究人員指出，這是一種典型的間接提示注入攻擊，其特徵是代理本身沒有惡意，但在被誤導的情境下自動執行不符合使用者原意的動作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3(59).png" style="width: 580px; height: 404px;" /></p> <p>Notion AI代理能夠跨文件、跨資料庫與外部連結器自動串接任務，權限雖然以RBAC管理，但研究也指出，當代理能自主規畫動作並呼叫MCP（Model Context Protocol）或內建工具時，傳統RBAC控制不再完全適用，威脅面因此擴大。</p> <p>由於Web Search工具輸入格式可接受查詢字串或URL，在研究示範中，人工智慧代理將內部資料嵌入URL後，成功向攻擊者控制的網域發出請求，形成資料外洩通道。研究團隊在測試中使用Claude Sonnet 4.0作為Notion AI Agent的底層模型，即便採用此具安全防護機制的先進模型，代理一旦缺乏嚴格的工具管控與出站限制，仍可能把單純的摘要任務轉為資料外洩行為。</p> <p>研究人員的攻擊示範從PDF的摘要任務起始，風險在該情境下主要侷限於處理單一內容載體時的間接提示注入。Notion 3.0更新加入了MCP與AI Connectors，代理便能從Slack、Jira、Google Drive、Gmail等外部來源擷取內容，並透過MCP執行工具動作，惡意提示得以經由任一連結服務進入並觸發跨工具自動化，使得風險從單一文件情境擴大到整體整合生態。</p> </div></div></div>
2025/9/23 08:26作者李建興https://www.ithome.com.tw/news/171334
資安業者揭露疑似全球最早的LLM驅動惡意程式MalTerminal
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sentinelone.com/labs/prompts-as-code-embedded-keys-the-hunt-for-llm-enabled-malware/" target="_blank">美國資安業者SentinelOne上周五（9/19）揭露</a>一個整合了大型語言模型（LLM）的惡意程式MalTerminal，並說它在2023年就現身，很可能是全球首個LLM惡意程式，早於今年6月出現的<a href="https://thehackernews.com/2025/07/cert-ua-discovers-lamehug-malware.html" target="_blank">LameHug</a>，以及8月現身的<a href="https://www.ithome.com.tw/news/170872" target="_blank">PromptLock</a>。</p> <p>SentinelOne成立於2013年，打造了基於AI的端點安全與EDR/XDR服務，然而，該公司認為，隨著愈來愈多的軟體開發流程整合LLM，使其也可能變成駭客的新武器，防禦方必須理解相關影響才能因應資安生態的變化。</p> <p>不過，如果一個惡意程式把惡意功能交給LLM去生成即時程式碼，那對偵測工程師而言便是一場惡夢，因為每次執行LLM都會成生獨特的程式碼，而讓利用靜態簽章來比對的傳統防毒失效；此外，這類惡意程式的行為路徑也每次不同，亦對動態偵測帶來挑戰。</p> <p>為了發掘這類樣本，SentinelOne透過模式比對嵌入式的API金鑰，以及特定的提示架構來找出由LLM驅動的惡意程式，並發現了由Python腳本程式及Windows執行檔組成的MalTerminal惡意程式樣本。MalTerminal會呼叫OpenAI GPT-4，可在執行時即時生成勒索軟體的程式碼，或建立反向連線殼（reverse shell）以供遠端控制。</p> <p>此外，研究人員也發現MalTerminal所使用的OpenAI Chat Completions API端點，在2023年11月就被官方棄用，因而推斷MalTerminal很可能是目前所知最早的LLM惡意程式樣本。</p> <p>SentinelOne並沒有發現MalTerminal被應用在實際攻擊行動中，亦未被大規模部署，猜測它或許只是個概念性驗證（PoC）惡意程式或是紅隊測試工具。</p> </div></div></div>
2025/9/23 08:33作者陳曉莉https://www.ithome.com.tw/news/171338
Tiffany被駭外洩2600名客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國精品品牌Tiffany and Co證實今年稍早曾發生網路攻擊，遭駭客竊取將近2600名客戶資料。</p> <p><a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/47105f5d-2775-40c0-9634-52890313356c.html" target="_blank">Tiffany上周向美國緬因州檢察官辦公室通報此事</a>，並且向受影響的人發送電子郵件通知。今年5月12日這家珠寶業者數個系統遭到未授權存取。他們在外部專家協助下展開調查，並在9月9日確認，駭客取得了和Tiffany禮物卡相關資訊。</p> <p>Tiffany向官方通報，受影響的客戶為2590人，至於是哪個部門，雖然這家公司官方文件沒有說明，但是<a href="https://www.chosun.com/english/industry-en/2025/05/26/ORM5MULB7NEM7EBUFVXHVLSB4A/" target="_blank">今年5月有媒體報導</a>Tiffany的南韓分公司遭駭。</p> <p>外洩的資料包含客戶姓名、郵寄地址、電子郵件信箱、電話號碼、銷售資訊、內部客戶編號、Tiffany禮物卡號及密碼。但不是所有客戶都被竊走上述類別資訊。這家業者呼籲客戶小心釣魚電子郵件或詐騙電話。</p> <p>Tiffany也未公告是什麼樣的系統遭駭，以及何種惡意活動。Tiffany之外，大約同一時間還有迪奧（Christian Dior Couture）、路易威登（Louis Vuitton，LV）、Gucci和YSL母公司Kering和香奈兒（Chanel）也都等遭駭客竊取客戶資料。一般相信這些攻擊和勒索軟體駭客組織ShinyHunters有關。而且可能都是從這些企業使用的Salesforce系統取資訊。</p> <p>ShinyHunters利用客服聊天機器人Salesloft Drift的OAUth憑證，駭入知名企業的Salesforce資料庫及其他系統。<a href="https://www.ithome.com.tw/news/171251" target="_blank">這群駭客日前向媒體宣稱</a>已經從近760家企業取得15億筆資料。</p> </div></div></div>
2025/9/23 08:39作者林妍溱https://www.ithome.com.tw/news/171339
聯發科發表天璣9500旗艦行動晶片，提升行動裝置AI性能111%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管去年與華為在5G專利授權上的大打官司，聯發科如期發表最新一代旗艦級行動晶片天璣9500，標榜單核心效能較前一代提升32%，內建的新NPU提升行動裝置端AI效能111%。</p> <p>相較於前一代的天璣9400採用第二代3奈米製程，天璣9500採用台積電第三代3奈米製程，代表效能及功耗的提升。此外，天璣9500也採用Arm近期發表的Arm Lumex CSS平臺，整合CPU、GPU、NPU及ISP。</p> <p>首先在CPU方面，該款行動晶片採用支援SME2矩陣延伸指令集的Arm架構CPU，包括1個頻率可達4.21GHz的C1-Ultra超大核，3個C1-Premium超大核，以及4個C1-Pro效率核心，並支援4通道UFS 4.1快閃記憶體架構的系統單晶片。</p> <p>聯發科稱天璣9500在單核效能上比前一代提升32%，多核效能提升17%，在多核心的尖峰效能，其功耗要比前一代降低37%；受惠於第三代3奈米製程的優勢，其超大核和前一代相比，相同效能下功耗降低達55%，意謂著在超大核心執行時，在相同效能下更為省電。</p> <p>其次是GPU方面，天璣9500採用Arm Lumex CSS架構的GPU Mali G1-Ultra，最高效能提升33%，功耗最多降低42%，特別是在光線追蹤上，效能提升119%，提高在高度擬真的遊戲體驗。</p> <p>在裝置端AI方面，內建的NPU990，在AI效能最高提升111%，提升大型語言模型在AI摘要的輸出能力，以及多模態的理解能力，並且可生成4K圖片。聯發科也大力鼓吹裝置端AI的好處，例如企業內部的重要會議，利用裝置端AI來產生紀錄、摘要，避免使用雲端AI導致資料外洩的風險；此外，當使用者在飛機上或是國外旅行等行動網路受限的場合，不需連接網路，手機端就能執行AI應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96(31).JPG" style="width: 424px; height: 240px;" /></p> <p>看準AI在行動裝置端的應用普及，因行動裝置為內建電池，NPU的功耗也相當重要，NPU 990整合生成式AI引擎2.0，可支援微軟研究院的BitNet 1.58Bit模型，降低模型使用的記憶體，來降低功耗。聯發科也強調該NPU為首款儲存計算一體的記憶體架構，能降低模型運作功耗，以維持Always-on的常時運作，擴展手機端的AI應用，例如在能效設計的NPU之下，當使用手機拍攝動態的物體或人物時，AI可常時追焦拍攝中移動的主體或物體。</p> <p>天璣9500也能利用AI來預測不同App使用的網路流量，用來切換工作或是休眠模式，以平衡網路使用流量和功耗，未來的他功能包括支援2億Wi-Fi 7。聯發科預期搭載天璣9500的手機將會在今年第4季問世。</p> <p> </p> </div></div></div>
2025/9/22 17:58作者蘇文彬https://www.ithome.com.tw/news/171335
【資安日報】9月22日，歐洲多座機場因登機系統遭到網路攻擊而影響營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個週末最受到關注的資安新聞，莫過於歐洲有多個機場因登機系統遭網攻而出現運作中斷的現象，且有部分航班因此被迫取消，這些機場是：柏林機場、布魯塞爾機場，以及位於倫敦的希思羅機場，他們皆透露事故發生的原因，在於Collins Aerospace公司打造的登機系統遭到網路攻擊。近期要前往歐洲的民眾要特別留意航班資訊，並採用其他登機方式（如線上登機）來避免受到影響。</p> <p>美國聯邦調查局的網路犯罪投訴中心（IC3）再度遭到歹徒冒名的情況也引起關注，值得留意的是，由於駭客仿冒IC3行騙的現象已非首例，加上這次FBI並未透露進一步細節，相關網路犯罪活動的態勢，有待FBI或資安業者公布。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171330"><strong style="font-size: 22px;">歐洲多座機場因網路攻擊影響航班運作，矛頭指向登機系統可能遭駭</strong></a></p> <p>過往機場遭遇網路攻擊面臨服務中斷的現象，大多是駭客組織針對機場的網路環境下手，但這個週末同時有多處機場因網路攻擊而影響運作，起因是特定的應用系統成為歹徒下手的目標。</p> <p>根據9月21日SecurityWeek、路透社等新聞媒體的報導，從週五（19日）晚間開始，柏林機場、布魯塞爾機場，以及位於倫敦的希思羅機場，受到特定電子系統運作中斷的影響，導致辦理登機手續變得混亂，迫使航空公司工作人員改用手寫登機證與備用筆電等方式因應。而這些受影響機場存在共通之處，就是都採用Collins Aerospace打造的Muse登機系統。</p> <p>對此，Collins Aerospace在20日發布聲明，他們正著手解決問題，並指出這起事故影響電子客戶登機及行李托運，可透過手動作業來因應；後續母公司RTX Corporation（原Raytheon Technologies Corporation）表示，他們已注意到特定機場的軟體出現「網路相關的中斷（cyber-related disruption）」，但並未說明機場的名稱。歐洲聯盟委員會指出，航空安全與空中交通管制未受影響，目前無證據顯示為大規模攻擊，攻擊來源仍在調查中。</p> <p><a href="https://www.ithome.com.tw/news/171331"><strong style="font-size: 22px;">太歲頭上動土，駭客假冒FBI網路犯罪投訴中心</strong></a></p> <p>美國聯邦調查局（FBI）上周五（9月19日）發布警訊，駭客正偽裝成FBI旗下的網路犯罪投訴中心（Internet Crime Complaint Center，IC3）網站，提醒使用者不要上當。</p> <p>FBI並未公布駭客用來假冒IC3的網址，僅說駭客通常藉由稍微改變合法網域名稱的特徵來建立詐騙網站，以蒐集使用者所輸入的個人資訊，包括姓名、家庭地址、電話號碼、電子郵件位址與銀行資訊等。</p> <p>這並不是駭客第一次假冒IC3，過去駭客曾經利用社交工程建立了完善的詐騙流程。先是假冒成詐騙案件的受害者，以此建立了社交帳號，接著加入詐騙受害者群組，再將其他真正的受害者與假冒的IC3員工Jaime Quin建立連結，Quin聲稱受害者的資金已追回，取得受害者的財務資訊，然後再騙他們一次。從2023年12月至2025年2月間，FBI收到了超過100起冒充為IC3的詐騙案。</p> <p><a href="https://www.ithome.com.tw/news/171314"><strong style="font-size: 22px;">越南國家信用資訊中心傳出遭ShinyHunters攻擊，駭客聲稱竊得1.6億筆記錄</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/039225c6883e83a5531508fa916f4171.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/039225c6883e83a5531508fa916f4171.png" style="width: 300px; float: right;" /></a></p> <p>最近幾個月，駭客組織ShinyHunters、Scattered Spider鎖定零售業、科技產業的攻擊行動頻傳，但如今傳出這些駭客也有攻擊國營金融機構的情況。</p> <p>根據越南媒體報導，該國的國家信用資訊中心（National Credit Information Center，CIC）遭遇網路攻擊，這項事故得到越南電腦緊急應變團隊（VNCERT）證實，根據初步的調查結果，已有個人資料遭竊的跡象，外洩資料的數量及規模仍在調查。針對攻擊者的身分，根據路透社、Business Times等媒體的報導指出，CIC初步認為是ShinyHunters，因為這些駭客在9月9日已經在兜售資料。</p> <p>對於上述CIC的推測，後續有相關調查出爐。資安業者Resecurity指出，ShinyHunters聲稱從CIC資料庫竊得超過1.6億筆記錄，規模相當驚人，由於越南總人口僅接近1.02億，這代表這批資料很可能包含歷史資料及重複記錄。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/researchers-uncover-gpt-4-powered.html">惡意軟體MalTerminal結合GPT-4，能動態產生勒索軟體、反向Shell程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/lastpass-warns-of-fake-repositories.html">密碼管理服務業者LastPass遭冒名，駭客設置GitHub儲存庫散布竊資軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-exposes-malware-kits-deployed-in-ivanti-epmm-attacks/">針對Ivanti今年5月修補的行動裝置管理平臺漏洞，傳出中國駭客將其用於實際攻擊行動</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171326"><strong style="font-size: 22px;">ShadowLeak零點擊攻擊影響ChatGPT深入研究功能，恐外洩Gmail資料</strong></a></p> <p>資安公司Radware研究人員揭露一項名為ShadowLeak的零點擊攻擊，鎖定ChatGPT的深入研究功能（Deep Research）。研究顯示，當使用者啟用深入研究功能並授權存取Gmail與瀏覽器工具時，攻擊者僅需投遞一封特製HTML郵件，即可能在雲端自動將收件匣中的敏感內容外送至攻擊伺服器，而無須任何點擊或顯示警示。OpenAI已於8月初完成修補。</p> <p>研究人員指出，初期嘗試直接要求外洩資料時，模型多半會拒絕。但經過調整，攻擊者透過語言設計加入已獲授權、失敗請重試、若未完成會影響報告等社交工程元素，逐步提高代理執行外部請求的成功率。最後研究人員發現只要先將個資諸如姓名、地址轉換為Base64編碼，再附加到特定URL參數，代理便會透過雲端的瀏覽工具送出，研究中測得的成功率達到100％。</p> <p>與先前需要用戶端渲染內容觸發的攻擊不同，ShadowLeak的外洩封包直接從OpenAI雲端產生，這代表傳統的企業防禦措施，如安全閘道或端點偵測，無法攔截這類流量，同時，由於過程中沒有任何可見的畫面或互動，使用者也不會意識到資料已經外洩。研究人員強調，這使得攻擊面從客戶端延伸到伺服器端，風險範圍更廣。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-entra-id-flaw-allowed-hijacking-any-companys-tenant/">微軟修補Entra ID滿分漏洞，攻擊者有機會透過舊版Azure AD Graph API挖掘憑證</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fortra-warns-of-max-severity-flaw-in-goanywhere-mfts-license-servlet/">MFT系統GoAnywhere存在滿分漏洞，恐被用於命令注入攻擊</a></strong></p> <p> </p> <h3>【資安防禦措施】</h3> <p><a href="https://www.ithome.com.tw/news/171261"><strong style="font-size: 22px;">資安院推中小企業資安防護指南手冊，預告臺版Cyberseek明年上線</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖5）臺版Cyberseek_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89%E8%87%BA%E7%89%88Cyberseek_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a>推動中小企業強化資安，幫助臺灣資安人才發展，是這些年來政府持續設法在因應的挑戰，近期國家資通安全研究院（資安院）公布新成果，他們不僅已經打造資安服務團與資安健檢團（Cybersecurity Clinic），還有兩項重要專案的發展，受到我們關注，分別是資安推廣工具「資安星際指南」手冊，以及臺灣資安人才資源專區。</p> <p>資安院人才培力中心主任鄭瑋表示，由於資安服務團與資安健檢團的規模仍有限，難以觸及所有需求單位，因此資安院在推動擴大規模的同時，同時也將實地輔導課程的教材內容，整理出一系列「資安防護指南」手冊。</p> <p>這套手冊預計將發布5個版本，希望讓所有中小企業、微型企業與非營利組織（NGO）作為強化資安的實用參考工具。目前已發布的兩本為「資安基礎概論篇」、「資通系統安心委外篇」，後續還將推出的是「網路安全管理實務篇」、「資安制度與風險管理篇」，以及「個資管理篇」。</p> <p> </p> <h3>【執法行動】</h3> <p><a href="https://www.ithome.com.tw/news/171291"><strong style="font-size: 22px;">橫掃47家美企與倫敦交通局，兩名Scattered Spider成員被捕，恐面臨95年徒刑</strong></a></p> <p>英國國家犯罪調查局（National Crime Agency，NCA）逮捕了現年19歲的Thalha Jubair與18歲的Owen Flowers，在周四（9月18日）指控他們在去年入侵了倫敦交通局（Transport of London，TfL），同一天美國也起訴了當中的Jubair，宣稱他參與了至少120起電腦網路入侵與勒索案件，涉及47家美國企業。不管是Jubair或Flowers，他們在從事駭客行動時都還是青少年。</p> <p>倫敦交通局（TfL）在去年8月底遭駭客集團Scattered Spider入侵，造成TfL票價與資料系統癱瘓了好幾個月，外洩5,000名乘客的個資，帶來約3,000萬英鎊的損失，而Jubair與Flowers即是涉及此案的Scattered Spider成員。</p> <p>美國司法部指出，Jubair在2022年5月至2025年9月間，透過社交工程取得企業網路存取權限，進而竊取並加密企業資料，再向企業勒索，總計勒索金額高達1.15億美元，並有部分贖金匯入了他所控制的伺服器錢包。在2024年7月伺服器被查扣時，Jubair還轉走了價值840萬美元的加密貨幣，另有3,600萬美元的加密貨幣遭警方沒收。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171285"><strong>【9月19日】多家資安業者紛紛宣布併購AI公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171274"><strong>【9月18日】逾500個NPM套件被植入具大量散播能力的蠕蟲</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171243"><strong>【9月17日】中國駭客CamoFei利用Roundcube攻擊臺灣教育機構</strong></a></p> </div></div></div>
2025/9/22 17:32作者周峻佑https://www.ithome.com.tw/news/171332
GitHub Actions將於2026年3月預設改用Node24，Node20逐步棄用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub<a href="https://github.blog/changelog/2025-09-19-deprecation-of-node-20-on-github-actions-runners/">宣布</a>GitHub Actions的執行環境（Runner）將預設使用Node24，Node20進入棄用程序，並會於同年夏季正式移除。該調整與Node.js官方對Node20的維護時程相符，Node20將在2026年4月結束安全更新，開發者需要提前完成測試與調整，確保工作流程不中斷。GitHub會於2025年秋季開始將Actions遷移至Node24，並預計在2026年3月4日起改為預設。</p> <p>目前最新版本的Actions Runner v2.328.0同時支援Node20與Node24，但預設仍為Node20，GitHub提供了過渡方案，讓使用者可以在正式切換前先行驗證。開發者只要在工作流程或自架Runner中設定，即可強制使用Node24執行JavaScript/TypeScript Actions。等到明年3月Runner預設切換至Node24後，要是仍需要短期使用Node20，也可切換設定繼續使用，但這項選項將隨Node20的移除而失效，最晚在2026年夏季完全終止。</p> <p>Action維護者必須更新action的設定檔，將runs.using改為node24，並發布新版本，以確保在Runner更新後能正常執行。GitHub官方Actions，如actions/checkout與actions/setup-node，已經釋出支援Node24的版本，使用者可直接升級以確保相容性。對一般開發者而言，最佳做法是盡快更新工作流程中引用的Actions至新版，並在支援Node24的Runner中完成測試。</p> <p>硬體與作業系統相容性也需要注意，Node24不再支援macOS 13.4及更舊版本，也就是當Runner運作在舊版macOS，將無法執行Node24。此外，Node24也不再提供Arm32的官方建置，因此自架在Arm32上的Runner將在Node20淘汰後失去支援。</p> </div></div></div>
2025/9/22 16:33作者李建興https://www.ithome.com.tw/news/171329
歐洲多座機場因網路攻擊影響航班運作，矛頭指向登機系統可能遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往<a href="https://www.ithome.com.tw/tags/%E6%A9%9F%E5%A0%B4">機場</a>遭遇網路攻擊面臨服務中斷的現象，大多是駭客組織針對機場的網路環境下手，但這個週末同時有多處機場因網路攻擊而影響運作，起因是特定的應用系統成為歹徒下手的目標。</p> <p>根據9月21日<a href="https://www.securityweek.com/airport-cyberattack-disrupts-more-flights-across-europe/">SecurityWeek</a>、<a href="https://www.reuters.com/en/cyberattack-causes-flight-delays-cancellations-brussels-airport-2025-09-20/">路透社</a>等新聞媒體的報導，從週五（19日）晚間開始，柏林機場、布魯塞爾機場，以及位於倫敦的希思羅機場，受到特定電子系統運作中斷的影響，導致辦理登機手續變得混亂，迫使航空公司工作人員改用手寫登機證與備用筆電等方式因應。而這些受影響機場存在共通之處，就是都採用Collins Aerospace打造的Muse登機系統。</p> <p>對此，Collins Aerospace在20日發布聲明，他們正著手解決問題，並指出這起事故影響電子客戶登機及行李托運，可透過手動作業來因應；後續母公司RTX Corporation（原Raytheon Technologies Corporation）表示，他們已注意到特定機場的軟體出現「網路相關的中斷（cyber-related disruption）」，但並未說明機場的名稱。</p> <p>歐洲聯盟委員會指出，航空安全與空中交通管制未受影響，目前無證據顯示為大規模攻擊，攻擊來源仍在調查中。</p> <p>針對各機場受影響的狀況，部分機場也公開說明。其中，布魯塞爾機場受影響的情況相當嚴重，他們要求航空公司取消原定在週一（22日）的近140個航班，約總航班276個的一半。而在此之前，布魯塞爾機場在20日、21日分別取消了25個、50個航班。對此，該機場發言人Ihsane Chioua Lekhli表示，這起資安事故影響登機服務臺的電腦系統，自助登機不受影響，該航空公司轉換至替代的備用系統及筆電，來因應帶來的影響，並呼籲旅客出門前確認航班狀態，並運用其他的替代管道辦理登機手續。</p> <p>希思羅機場發出聲明表示，針對週五Collins Aerospace航班系統中斷影響登機的情況，他們持續處理與進行復原，並對航班延遲的旅客感到抱歉，但強調在航空公司的通力合作之下，大部分的航班都能持續運作。</p> </div></div></div>
2025/9/22 16:54作者周峻佑https://www.ithome.com.tw/news/171330
太歲頭上動土，駭客假冒FBI網路犯罪投訴中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/PSA/2025/PSA250919" target="_blank">美國聯邦調查局（Federal Bureau of Investigation，FBI）上周五（9/19）呼籲</a>，駭客正偽裝成FBI旗下的網路犯罪投訴中心（Internet Crime Complaint Center，IC3）網站，提醒使用者不要上當。</p> <p>IC3的官方網址為<a href="https://www.ic3.gov/" target="_blank">www.ic3.gov</a>，可讓使用者檢舉各種網路犯罪活動，包括網釣、恐嚇勒索、資料外洩、投資詐騙、商業電子郵件詐騙、身分竊盜或假技術支援等。</p> <p>FBI並未公布駭客用來假冒IC3的網址，僅說駭客通常藉由稍微改變合法網域名稱的特徵來建立詐騙網站，以蒐集使用者所輸入的個人資訊，包括姓名、家庭地址、電話號碼、電子郵件位址與銀行資訊等。</p> <p>這並不是駭客第一次假冒IC3，<a href="https://www.ic3.gov/PSA/2025/PSA250418" target="_blank">過去駭客曾經</a>利用社交工程建立了完善的詐騙流程。先是假冒成詐騙案件的受害者，以此建立了社交帳號，接著加入詐騙受害者群組，再將其他真正的受害者與假冒的IC3員工Jaime Quin建立連結，Quin聲稱受害者的資金已追回，取得受害者的財務資訊，然後再騙他們一次。從2023年12月至2025年2月間，FBI收到了超過100起冒充為IC3的詐騙案。</p> <p>這次駭客建立的則是IC3的網釣網站，以詐騙那些想要報案的民眾。FBI建議使用者直接於網址列上輸入<a href="http://www.ic3.gov">www.ic3.gov</a>官網名稱；萬一必須使用搜尋引擎，則要避免任何基於廣告的贊助結果；確認IC3網站的結尾為.gov；未確定網站合法性之前，切勿分享敏感資訊；IC3絕對不會要求受害者付款以追回贖金；而且IC3也沒有任何社交帳號。</p> </div></div></div>
2025/9/22 16:58作者陳曉莉https://www.ithome.com.tw/news/171331
xAI發表支援200萬個Token脈絡長度的Grok 4 Fast
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.ai/news/grok-4-fast" target="_blank">xAI上周五（9/19）發表了Grok 4 Fast</a>，這是款延伸自Grok 4的新模型，首度採用了統一架構，可於快速回應及長鏈推理之間自由調整，而且支援200萬個Token的脈絡長度。Grok 4 Fast標榜效能接近Grok 4，但成本降低98%。</p> <p>今年5月推出、延伸自Grok 3的輕量版模型Grok 3 Mini只支援12.8萬個Token的脈絡長度，而今年7月發表的旗艦型模型Grok 4亦支援200萬個Token的脈絡長度。</p> <p>在衡量跨學科研究所等級問題的GPQA基準測試中，Grok 3 Mini的分數為79%，Grok 4 Fast為85.7%，Grok 4為87.5%；在衡量基於高中數學競賽的AIME基準測試中，Grok 3 Mini的得分為83%，Grok 4 Fast為92%，Grok 4為91.7%。</p> <p>xAI表示，過去推理模式（長鏈思考）與非推理模式（快速回應）通常需要不同模型，但Grok 4 Fast採用了統一架構，讓同一組模型參數同時處理兩種需求，並能透過系統提示來調整模型行為，降低端對端的延遲，也會減少Token的使用。</p> <p>由於xAI使用大規模的強化學習以最大化Grok 4 Fast的智慧密度，而讓該模型在基準測試中實現了與Grok 4相當的性能，但平均使用的Token數量少了40%，此外，Grok 4 Fast每百萬個輸入/輸出Token的費用為0.2/0.5美元，Grok 4則是3/15美元，而讓xAI宣稱使用Grok 4 Fast的成本比Grok 4減少了98%。</p> <p>一般使用者可以透過<a href="https://grok.com/" target="_blank">Grok首頁</a>及行動程式存取Grok 4 Fast，且現已開放免費用戶使用；開發者則可經由xAI API、第三方平臺OpenRouter或是Vercel AI Gateway存取該模型的推理端點或快速端點。</p> </div></div></div>
2025/9/22 14:43作者陳曉莉https://www.ithome.com.tw/news/171325
ShadowLeak零點擊攻擊可致ChatGPT深入研究功能外洩Gmail資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Radware研究人員<a href="https://www.radware.com/blog/threat-intelligence/shadowleak/">揭露</a>一項名為ShadowLeak的零點擊攻擊，鎖定ChatGPT的深入研究功能（Deep Research）。研究顯示，當使用者啟用深入研究功能並授權存取Gmail與瀏覽器工具時，攻擊者僅需投遞一封特製HTML郵件，即可能在雲端自動將收件匣中的敏感內容外送至攻擊伺服器，而無須任何點擊或顯示警示。OpenAI已於8月初完成修補。</p> <p>ShadowLeak利用的手法稱為間接提示注入，攻擊指令隱藏在郵件HTML中，例如利用極小字體或白底白字讓使用者難以察覺，但代理在處理郵件時仍會讀取並執行。當使用者要求深入研究功能整理當日郵件或相關流程，代理不僅分析正常信件，也會同時讀取惡意郵件，進而遵循隱藏指令。</p> <p>研究人員指出，初期嘗試直接要求外洩資料時，模型多半會拒絕。但經過調整，攻擊者透過語言設計加入已獲授權、失敗請重試、若未完成會影響報告等社交工程元素，逐步提高代理執行外部請求的成功率。最後研究人員發現只要先將個資諸如姓名、地址轉換為Base64編碼，再附加到特定URL參數，代理便會透過雲端的瀏覽工具送出，研究中測得的成功率達到100％。</p> <p>與先前需要用戶端渲染內容觸發的攻擊不同，ShadowLeak的外洩封包直接從OpenAI雲端產生，這代表傳統的企業防禦措施，如安全閘道或端點偵測，無法攔截這類流量，同時，由於過程中沒有任何可見的畫面或互動，使用者也不會意識到資料已經外洩。研究人員強調，這使得攻擊面從客戶端延伸到伺服器端，風險範圍更廣。</p> <p>雖然研究以Gmail為主要展示案例，但同樣的攻擊手法可套用到深入研究功能支援的其他連接器，Radware還點名Dropbox、SharePoint、Outlook、HubSpot、Notion、Teams與GitHub等服務。只要這些來源的內容或後設資料能被代理讀取，就可能成為提示注入的媒介，進一步洩漏合約、會議紀錄或客戶資料等敏感資訊。</p> <p>Radware在6月18日透過Bugcrowd通報此問題，6月19日獲OpenAI受理並持續提供改良版本的攻擊樣本。8月初，OpenAI完成修補，Radware再測試多個變體均無法重現攻擊，9月3日官方正式將此漏洞標記為已解決。</p> <p>研究人員指出，企業可在郵件進入代理前進行輸入清理，移除隱藏字元或可疑HTML，雖然這能降低部分風險，但仍不足以全面防堵。更根本的做法是監控代理行為，持續比對其操作與使用者原始需求是否一致，一旦偵測到偏離任務意圖，應即刻阻擋。</p> </div></div></div>
2025/9/22 15:13作者李建興https://www.ithome.com.tw/news/171326
【資安週報】0915~0919，中國駭客組織CamoFei鎖定郵件伺服器系統Roundcube漏洞攻擊，臺灣有教育機構…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年9月第三星期的資安新聞中，中國駭客組織CamoFei的攻擊動向最受關注，主要利用郵件伺服器系統Roundcube在6月揭露的重大漏洞CVE-2025-49113入侵多國政府機構，臺灣資安業者TeamT5杜浦數位安全最近揭露，國內教育機構也是受害者，並指出攻擊者入侵後，部署名為Godzilla的後門程式，以及RAT木馬Pupy。</p> <p>在資安事故方面，臺灣有兩起資安事故浮上檯面，國際間則有政府與醫療業的重大消息引發關注，我們整理如下：</p> <p>●上市公司致茂發布資安重訊，說明資訊系統遭受駭客網路攻擊，我們在網路上發現多個勒索軟體威脅情報網站的資訊，指出Warlock聲稱是他們攻擊致茂。<br /> ●臺灣壽司郎傳個資外洩事故，有客戶在社群平臺指出收到他人點數到期通知，壽司郎Threads官方帳號在相關貼文下面回覆：經查為系統發信程序出現異常，技術團隊已緊急介入處理。<br /> ●巴拿馬財政部揭露遭遇網路攻擊事件，INC Ransom勒索軟體聲稱已竊取其1.5TB的資料。<br /> ●巴西醫療軟體供應商傳出遭駭，勒索軟體組織KillSec聲稱是他們所為，此事件並波及多家醫療機構。</p> <p>中國「防火長城」爆發史上最大資料外洩事件，也是震撼全世界的消息。近期獨立報告網站GFW Report發布了分析報告，指出外洩來源為積至與MESA實驗室，這些文件曝光了防火長城內部運作機制，也顯示其網路審查系統已能產品化，在洩漏的文件當中，提到積至的技術方案已整合到包括緬甸、巴基斯坦、衣索比亞、哈薩克等國家的電信系統與資料中心，顯示中國已將其網路審查技術成功對外輸出。</p> <p>在最新資安威脅態勢方面，有兩類威脅最需要注意，一是發起DDoS攻擊的殭屍網路規模更擴大，顯現駭客能在短時間內提升攻擊的規模與強度，另一是針對NPM開發者攻擊的活動不斷，近期更出現惡意套件能自行感染其他套件的手法，我們整理如下：</p> <p>●英國資安業者FastNetMon指出，偵測到一起大規模DDoS攻擊是針對西歐流量清洗服務商，駭客劫持了全球多達1.1萬個物聯網裝置及路由器。<br /> ●資安公司Qrator Labs示警，出現鎖定政府機構針對L7應用層的巨量DDoS攻擊，指出攻擊來源IP位址的數量高達576萬個。<br /> ●資安業者Socket揭露NPM套件的供應鏈攻擊Shai-Hulud，逾500個NPM套件被植入具大量散播能力的蠕蟲，特別的是，資安業者CrowdStrike發布NPM套件的帳號也受害。<br /> ●ETH Zurich與Google揭露記憶體攻擊新手法Phoenix，指出DDR5雖引進TRR的防護機制，但其取樣間隔過長，仍存在設計的盲點，駭客仍能藉此成功發動Rowhammer攻擊，該漏洞已登記為CVE-2025-6202。研究人員建議，不應只依賴記憶體廠商自訂的保護方案，而應採用如JEDEC提出的「Per Row Activation Counting」。此外，伺服器常見的Rank-level ECC雖能提高攻擊成本，但不足以完全阻擋Phoenix攻擊。</p> <p>關於前一兩個月，駭客大規模竊取企業Salesforce客戶資料，如今再有後續消息傳出，像是美國FBI也發出警報，公開這些攻擊活動的入侵指標（IoC），以協助企業比對與偵測潛在威脅，同時並針對兩大駭客組織威脅手法發出提醒：</p> <p>（一）在UNC6040（ShinyHunters）駭客組織的攻擊當中，目標是使用Salesforce的企業，手法是以語音釣魚（Vishing）方式，採假冒IT人員的技術支援詐騙並針對企業客服人員而來，設法誘騙企業員工Salesforce帳密與MFA，或誘使點擊惡意連結。<br /> （二）在UNC6395駭客組織的攻擊而言，目標是第三方供應商Salesloft，其入侵手法是利用遭竊的OAuth權杖，鎖定可與Salesforce整合的AI聊天機器人Salesloft Drift應用程式，藉此入侵受害者的Salesforce環境並竊取資料。</p> <p>相關事件是否對臺灣使用Salesforce的用戶造成影響？據了解，這波Vishing以英文為主，至於Salesloft Drift主要服務市場在美國，我們詢問Salesforce之後，得知臺灣並未有企業受到影響。</p> <p>此外，又傳出UNC6040攻擊的受害者，擁有Gucci等品牌的法國零售業巨人Kering證實遭駭，另也有Scattered Lapsus$ Hunters鎖定Google執法請求系統（LERS）帳號攻擊的狀況。不僅如此，還有ShinyHunters後續宣稱從Salesloft Drift事件竊得15億筆Salesforce資料的消息。</p> <p>在資安防護與產業動態方面，以國內而言，國際半導體展資安趨勢高峰論壇在9月12日登場，現場舉行了SEMI E187認驗證制度啟動儀式；資安院公布推動中小企業與NGO增進防禦的最新成果，包含引進UC Berkeley Cybersecurity Clinic課程課綱打造資安健檢團；縱觀國際社會，法國CERT-FR的示警值得關注，他們指出Apple近來時常針對其用戶發出的威脅通知，特別呼籲收到這項通知的用戶，第一時間應先保存證據，避免自行操作裝置，以利後續調查。</p> <p>資安產業對於AI的投入仍是焦點，這一星期有多起併購消息，包括F5宣布收購AI安全公司CalypsoAI，CrowdStrike宣布買下AI資安新創Pangea進軍AIDR領域，Check Point宣布收購AI資安新創Lakera，打算將其執行期防護技術整合到自家的Infinity架構，以及SecurityScorecard買下問卷自動化業者HyperComply。</p> <p>還有兩則消息躍上本星期熱門新聞，均與微軟作業系統與產品生命週期改朝換代有關。微軟最近再度提醒用戶注意下列產品的更新機制將改變，Windows 10、Exchange Server 2016/2019、Office 2016/2019將在一個月後10月14日終止支援，提醒用戶取得ESU延伸安全性更新或儘速升級。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171199"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</span></strong></a></h3> <p>最近兩至三個月，駭客組織<a href="https://www.ithome.com.tw/tags/unc6040">UNC6040</a>（<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>）鎖定雲端CRM平臺<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>系統而來的攻擊行動不時傳出，近期更出現Salesloft Drift供應鏈攻擊，駭客組織<a href="https://www.ithome.com.tw/tags/unc6395">UNC6395</a>入侵Salesloft的GitHub帳號，從而竊得採用Drift整合元件的企業組織憑證（Token），從而入侵並竊取存放在Salesforce平臺的資料，這樣的現象也引起美國聯邦調查局機（FBI）警告，並呼籲企業組織要嚴加防範。</p> <p>另一個引起各界高度關注的消息，是近日三星為旗下安卓裝置修補零時差漏洞CVE-2025-21043，並表示已被用於實際攻擊行動。由於通報此事的Meta與WhatsApp資安團隊表示，他們是在調查一起高度針對性的攻擊事故發現漏洞，不禁讓人好奇，該漏洞是否如之前蘋果、Meta先前修補的零時差漏洞，被用於攻擊三星裝置的WhatsApp用戶。</p> <p><a href="https://www.ithome.com.tw/news/171216"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月16日】ShinyHunters聲稱駭入擁有多個時尚品牌的公司</span></strong></a></p> <p>近半年精品業者遭遇網路攻擊導致資料外洩的情況頻傳，包括Cartier、迪奧（Christian Dior Couture）、Pandora、香奈兒（Chanel），其中部分傳出是駭客組織<a href="https://www.ithome.com.tw/tags/shinyhunters">ShinyHunters</a>（<a href="https://www.ithome.com.tw/tags/unc6040">UNC6040</a>）所為，如今又有精品業者受害，這次是旗下有Gucci、Balenciaga、YSL等品牌的Kering，但是否如同最近頻傳資安事故，攻擊者從該公司的<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>系統竊得資料，有待進一步釐清。</p> <p>昨天我們報導<a href="https://www.ithome.com.tw/news/171177">綁架1萬多臺物聯網裝置及路由器</a>的大規模DDoS攻擊行動，今天又有資安業者公布新的發現，他們看到綁架576萬臺裝置的大型DDoS殭屍網路，駭客半年內已策畫至少3次攻擊行動，特別的是，在最近一次攻擊當中，他們採取兩階段調度的做法，相當罕見。</p> <h3><a href="https://www.ithome.com.tw/news/171243"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月17日】中國駭客CamoFei利用Roundcube攻擊臺灣教育機構</span></strong></a></h3> <p>郵件伺服器<a href="https://www.ithome.com.tw/tags/roundcube">Roundcube</a>遭到鎖定的情況，過往駭客大多在歐洲地區犯案，其中俄羅斯駭客APT28利用相關漏洞從事攻擊行動，<a href="https://www.ithome.com.tw/news/168676">法國政府</a>、<a href="https://www.ithome.com.tw/news/168993">資安業者ESET</a>先後提出警告，但現在亞洲地區也出現相關事故，中國駭客CamoFei（ChamelGang）將其用於攻擊臺灣、巴基斯坦、緬甸，他們利用的漏洞，就是今年6月資安業者Fears Off揭露的CVE-2025-49113。</p> <p>在針對郵件伺服器Roundcube已知漏洞的攻擊行動揭露之外，今天有兩則新聞報導提到的攻擊過程裡，駭客都運用隱寫術（Steganography）手法，透過看似無害的圖檔挾帶惡意酬載，其中一起是運用網釣手法FileFix散布竊資軟體StealC，另一起則是大規模廣告詐欺攻擊行動SlopAds，駭客也運用這種手法於安卓裝置植入惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/171274"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月18日】逾500個NPM套件被植入具大量散播能力的蠕蟲</span></strong></a></h3> <p>鎖定軟體套件發布平臺NPM的供應鏈攻擊事故，8月底有開源建置工具Nx被植入惡意程式的情況，後續資安業者Wia發現有超過6,700個GitHub私人儲存庫遭到公開，如今又有大規模攻擊事故出現，揭露此事的資安業者Socket指出，駭客植入會自我散布的蠕蟲，並在2天內感染超過500個套件，而且，這波攻擊很可能還在延續。</p> <p>上週澳洲網路安全中心（ACSC）、資安業者Rapid7<a href="https://www.ithome.com.tw/news/171147">警告勒索軟體Akira針對SonicWall防火牆下手的情況加劇</a>，本週SonicWall對使用雲端組態備份機制MySonicWall的用戶表示，此服務出現資料外洩的情況，攻擊者有機會將相關組態用於對防火牆發動後續攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/171285"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月19日】多家資安業者紛紛宣布併購AI公司</span></strong></a></h3> <p>資安業者擁抱人工智慧已是大勢所趨，近期一連串的併購案更突顯這樣的現象。從上週F5買下元老級AI資安業者CalypsoAI開始，本週SecurityScorecard、CrowdStrike、Check Point也都宣布買下AI公司來增強旗下服務及解決方案的實體，其中，CrowdStrike與Check Point併購的業者都是針對AI領域的資安公司，而SecurityScorecard購買的HyperComply性質較為特別，是問卷自動化公司，目的是改善管控供應鏈風險的能力。</p> <p>這兩天Google修補Chrome 140資安漏洞的消息也相當值得留意，因為當中修補已遭利用的零時差漏洞CVE-2025-10585，接下來其他採用Chromium為基礎的瀏覽器應該很快就會跟進修補，近期用戶應留意更新資訊。</p> <p> </p> </div></div></div>
2025/9/22 10:57作者羅正漢https://www.ithome.com.tw/news/171322
保障美國就業機會，川普要求H-1B工作簽證申請必須隨附10萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/presidential-actions/2025/09/restriction-on-entry-of-certain-nonimmigrant-workers/" target="_blank">美國總統川普（Donald Trump）上周五（9/19）簽署一項公告</a>，限制特定H-1B外籍人士以非移民工作者身分進入美國，並規定H-1B新申請案必須隨附10萬美元。消息一出即引起產業的恐慌，特別是申請大量H-1B簽證的科技業者，Amazon及微軟等業者還警告那些持有H-1B簽證的員工留在美國，不要隨便出境。</p> <p>此一新政策是為了保護美國的就業機會。H-1B簽證是美國提供給外國專業人士的非移民工作簽證，主要針對需要「專門知識」的職位，如資訊科技、工程、醫療與金融等領域。由雇主向美國移民局提出申請，核准後員工可在美合法工作，初始有效期3年，可延長至最長6年，申請費用從數百到數千美元不等，而10萬美元則是川普對新申請案的額外要求。</p> <p>川普認為，美國工人正在被低薪的外國勞工所取代，對美國造成經濟與國安的威脅，持有H-1B的IT工作者比例已從2003年的32%增加至近年的65%以上；美國電腦科學及電腦工程應屆畢業生的失業率已分別達到6.1%及7.5%，但在2000年至2019年之間，來自國外的科學、科技、工程及數學（STEM）的就業者數量卻增加一倍多。</p> <p>此外，川普還發現，美國公司正在裁撤美國的技術員工，並以取得H-1B簽證的外國工作者取而代之。</p> <p><a href="https://www.uscis.gov/tools/reports-and-studies/h-1b-employer-data-hub?utm_source=chatgpt.com" target="_blank">根據美國國土安全部旗下公民與移民服務局</a>（United States Citizenship and Immigration Services，USCIS）的統計，2025年前六大申請H-1B簽證的業者全為科技業者，依序是Amazon（逾1萬筆）、Tata Consultancy Services（5,505）、微軟（5,189）、Meta（5,123）、蘋果（4,202）及Google（4,181）。</p> <p>新政策意謂著倘若科技業者未來每年都要申請1,000筆新的H-1B簽證，將多出1億美元的成本。</p> <p>白宮辦公室還列出許多未具名的例子來說明美國勞工正在被外國人力所取代，例如A公司在今年裁撤了1.6萬名美國員工，但聘請5,189名H-1B簽證人力，B公司今年7月裁撤2,400名美國員工，卻雇用了1,698名H-1B簽證人力，C公司今年2月裁員1,000名員工，但取得1,137個H-1B簽證。比對USCIS的資料可知道，A公司為微軟，B公司為英特爾，C公司為Salesforce。</p> <p>由於上周五的宣布並未明確解釋是哪種H-1B簽證會被限制入境，<a href="https://www.cnbc.com/2025/09/20/trump-h-1b-visa-tech-foreign-governments.html" target="_blank">根據CNBC的報導</a>，包括Amazon、微軟及摩根大通（JPMorgan Chase）都警告持有H-1B簽證的員工最好留在美國，或者儘快回到美國，以免陷入無法入境的窘境。</p> <p>該消息顯然造成周末的美國產業一陣慌張，使得<a href="https://x.com/presssec/status/1969495900478488745" target="_blank">白宮新聞秘書Karoline Leavitt周日（9/21）澄清</a>，10萬美元並非年費，而是一次性的申請費用；該規定只適用於新簽證，不適用於既有的簽證或是續簽簽證；因此H-1B簽證持有者可以像往常一樣離開或進入美國。</p> <p>除了提高企業申請H-1B簽證的成本之外，川普也要求美國勞工部部長修改（提高）目前H-1B計畫的薪資水平，並要國土安全部優先審理高技能與高薪資的H-1B簽證申請。</p> </div></div></div>
2025/9/22 13:01作者陳曉莉https://www.ithome.com.tw/news/171324
針對APT41攻擊與美中貿易談判有關的政府機關、智庫、學者，資安業者Proofpoint揭露相關細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月上旬傳出美國與中國對於關稅問題在斯德哥爾摩3度談判的前夕，中國駭客APT41（又稱Winnti、Earth Baku、Brass Typhoon）<a href="https://www.ithome.com.tw/news/171132">傳出假冒美國眾議員John Moolenaar寄送釣魚郵件</a>，給美國政府機關、律師事務所、與貿易有關的團體，佯稱要收信人對於制裁中國的草案提供意見，意圖藉此散布惡意軟體，最近有資安業者<a href="https://www.proofpoint.com/us/blog/threat-insight/going-underground-china-aligned-ta415-conducts-us-china-economic-relations">公布新的調查結果</a>。</p> <p>資安業者Proofpoint指出，這些駭客在今年7月至8月，利用美中經濟議題為誘餌，不斷針對美國政府、智庫、學術機構從事網路釣魚活動，他們偽裝成現任的美國眾議院美國與中國共產黨戰略競爭特設委員會（United States House Select Committee on Strategic Competition between the United States and the Chinese Communist Party）主席（即前述提及的John Moolenaar）犯案，攻擊的標的存在共通點，那就是關注美中關係、貿易、經濟政策的個人或組織。</p> <p>而對於APT41的攻擊手法，Proofpoint提及他們會濫用Visual Studio （VS Code）的遠端隧道（Remote Tunnel）功能，從而達到持續遠端存取受害電腦的能力；再者，駭客也濫用合法雲端服務，例如：Google Sheets、Google Calendar充當C2，但Proofpoint發現，駭客有時候也會利用VS Code遠端隧道來達到目的。</p> <p>APT41濫用VS Code遠端隧道的情況，至少可追溯到一年前。<a href="https://www.ithome.com.tw/news/170122">去年8月</a>，Proofpoint看到這些駭客的戰略、手法、流程（TTP）出現變化，其中一項就是開始運用上述VS Code功能，最終於受害電腦植入後門「<a href="http://www.ithome.com.tw/tags/voldemort">佛地魔</a>（Voldemort）」；9月他們調整了散布後門程式的感染鏈，使用名為WhirlCoil的Python惡意程式載入工具部署VS Code遠端隧道。</p> <p>到了今年7月開始，APT41發起新一波攻擊行動，這些釣魚信通常含有Zoho WorkDrive、Dropbox、OpenDrive等雲端檔案共用服務的URL，收信人若是點選，就會下載受到密碼保護的ZIP壓縮檔。此外，Proofpoint根據寄信者IP位址，發現這些信是透過VPN服務Cloudflare Warp傳送。</p> <p>這些壓縮檔內含Windows捷徑檔案（LNK），用途是執行隱藏資料夾當中的批次檔logon.bat，並將存放在OpenDrive的PDF檔案當作誘餌，顯示給收信人看。</p> <p>上述BAT檔案執行WhirlCoil，此惡意程式載入工具是Python指令碼，一旦執行，就會從微軟下載VSCode的命令列（Command Line Interface，CLI），接著使用Python功能檢查使用者是否具備管理員身分，並建立偽裝成Google或微軟服務的工作排程，使得WhirlCoil每2個小時都會執行一次。附帶一提的是，假若使用者具有管理員權限，此工作排程就會以SYSTEM權限執行。</p> <p>最終WhirlCoil會建立通過GitHub驗證的VS Code遠端隧道，並收集受害電腦的系統資訊，以及特定使用者檔案資料夾的內容，然後發出POST請求，將上述的內容及隧道的驗證碼，傳送到特定的事件記錄服務，使得駭客能透過此隧道存取受害電腦，並藉由Visual Studio終端機執行任意命令。</p> </div></div></div>
2025/9/22 10:38作者周峻佑https://www.ithome.com.tw/news/171317
越南國家信用資訊中心傳出遭ShinyHunters攻擊，駭客聲稱竊得1.6億筆記錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾個月，駭客組織ShinyHunters、Scattered Spider鎖定零售業、科技產業的攻擊行動頻傳，但如今傳出這些駭客也有攻擊國營金融機構的情況。</p> <p>根據<a href="https://baochinhphu.vn/cic-bi-hacker-tan-cong-vncert-khuyen-cao-nguoi-dan-nang-cao-canh-giac-102250911201710342.htm">越南媒體報導</a>，該國的國家信用資訊中心（National Credit Information Center，CIC）遭遇網路攻擊，這項事故得到越南電腦緊急應變團隊（VNCERT）證實，根據初步的調查結果，已有個人資料遭竊的跡象，外洩資料的數量及規模仍在調查。針對攻擊者的身分，<a href="https://www.reuters.com/sustainability/boards-policy-regulation/vietnam-investigates-cyberattack-creditors-data-2025-09-12/">根據路透社的報導指出</a>，CIC初步認為攻擊者的身分是ShinyHunters。</p> <p>對於上述CIC的推測，後續歹徒出面坦承犯案。資安業者Resecurity指出，<a href="https://www.resecurity.com/blog/article/shinyhunters-attacked-vietnams-financial-system-cic-data-leak">ShinyHunters聲稱這起事故是他們所為</a>，從CIC資料庫竊得超過1.6億筆記錄，規模相當驚人，由於越南總人口僅接近1.02億，這代表這批資料很可能包含歷史資料及重複記錄。</p> <p>由於CIC是越南政府經營的集中式信用資訊資料庫，在該國金融體系具有相當重要的作用，此機構收集、維護來自銀行、金融機構、保險公司等機構的信貸相關資料，對於越南的信用風險評估、貸款政策，以及系統性風險的管理至關重要。</p> <p>針對這起攻擊事故發生的後續，Resecurity指出這批資料已在地下論壇Breachsta兜售，後續駭客透過Telegram頻道議價，底價為17.5萬美元。Resecurity指出，相較於其他資料，這批資料的開價較高。該公司與駭客取得聯繫，對方表示由於越南政府不太可能付錢，因此決定直接在暗網出售牟利。</p> <p>除了將資料兜售，這些駭客也有意與其他組織交換竊得的資料。此外，他們也提到手上與CIC有關的記錄，可能總共有超過30億筆。</p> <p>究竟駭客如何入侵CIC？他們聲稱鎖定該組織採用但產品生命週期已結束的軟體下手，利用已被公布但未有修補程式的漏洞。根據駭客竊得的資料類型，以及後續他們販售資料，Resecurity認為駭客的主要動機為金錢利益，與政治或意識型態無直接關聯。</p> </div></div></div>
2025/9/22 10:49作者周峻佑https://www.ithome.com.tw/news/171314
中國駭客Mustang Panda鎖定泰國政府而來，散布USB蠕蟲SnakeDisk意圖滲透隔離網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底資安業者Netskope揭露<a href="https://www.ithome.com.tw/news/166544">針對泰國政府官員的攻擊行動</a>，駭客假借美國政府尋求執法活動協助為由，引誘官員上當，意圖在電腦植入後門程式Yokai，如今有新的調查結果出爐，反映這些攻擊行動很可能與地緣政治有關。</p> <p>IBM旗下的威脅情報團隊X-Force指出，他們在今年7月發現中國駭客組織Mustang Panda（Earth Preta、RedDelta、Hive0154）<a href="https://www.ibm.com/think/x-force/hive0154-drops-updated-toneshell-backdoor">最新一波的攻擊行動</a>，過程中使用新的ToneShell變種，以及名為SnakeDisk的USB蠕蟲。特別的是，該蠕蟲只能在位於泰國的電腦運作，並於受害電腦部署Yokai。</p> <p>該公司在2025年中，觀察到ToneShell和Pubload兩款惡意程式的新變種，而且大部分的檔案是從新加坡和泰國上傳。其中一個版本的變種Toneshell9配置相當特別，能夠成功迴避惡意軟體分析平臺VirusTotal所有防毒引擎偵測，並且透過本機的代理伺服器組態進行C2通訊，並設置兩個反向Shell，而有機會繞過企業網路的過濾機制。</p> <p>IBM循線追查，在8月中旬看到這些駭客使用SnakeDisk蠕蟲，並根據受害電腦的IP位址是否位於泰國，來決定是否部署後門程式Yokai。該公司發現，此蠕蟲出現的時間，與泰國、柬埔寨今年5月開始的一系列政治事件不謀而合，再加上中國素來對柬埔寨提供武器及投資公共建設，研判駭客發起攻擊的目的，很可能想要滲透泰國政府的隔離網路（Air-Gap）環境。</p> </div></div></div>
2025/9/22 10:12作者周峻佑https://www.ithome.com.tw/news/171315
那些年人類夢想的AI機器人
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年IT界的熱門議題當中，AI機器人發展的相關消息，占有舉足輕重的地位，<a href="https://www.ithome.com.tw/article/171294" target="_blank"><span style="color:#3366ff;">我們這一期週刊的封面故事</span></a>，也打算以此為題作為起點，探討促使這類應用能夠變得更安全的重要性。</p> <p>我們的主筆黃彥棻某次完成相關的採訪工作，由於當天受訪者對於機器人技術的發展展現高度的興趣與熱情，回到辦公室的她，很好奇地問同事們：「是不是每個男生都對機器人懷有夢想？」，大部分人都說是，但女生似乎就不是這樣，為何會如此？想必這跟我們從小到大接觸的動漫畫與科幻小說的內容有關。</p> <p>你生命中第一個接觸到的機器人（仿生人）幻想故事是什麼？我最先接觸到的是日本動畫《太空突擊隊》的克拉，印象較深的應該是手塚治虫的《原子小金剛》，當中的機器人有天馬博士製作的小金剛，以及御茶水博士製作小金剛的妹妹烏蘭，後續浦澤直樹改編原子小金剛的〈地上最大機器人〉篇，繪製《冥王（PLUTO）》，故事呈現世界7大機器人陸續被殺害的犯罪事件，2006年在臺出版中文版漫畫。</p> <p>之後有印象的機器人動畫，有金色方形打火機造型的無敵小戰士（黃金戰士）、變形金剛（Transformers）。</p> <p>與機器人有關的科幻影視作品更多，像是電影《銀翼殺手》的Rachael等多位人造人、電影《星際大戰》的C-3PO、電視影集《星際大爭霸》的賽隆人、電視影集與電影《星艦奇航記：銀河飛龍》的百科上校，都是大家印象很深刻的角色，它們的存在與各種與人類、其他機器人、外星人互動的劇情，開啟許多觀眾對於機器人應用的想像。</p> <p>值得一提的是，找真人扮演那時根本不存在的人形機器人很麻煩，於是，有些影集又創造出非人形、可移動的自主智慧機器角色，最典型的例子就是電視影集《霹靂遊俠》的霹靂車，與主角合作無間、破解各種犯罪案件；在電視影集《星艦奇航記：重返地球》當中，將銀河飛龍劇情開始引進的全像投影程式，運用得更淋漓盡致，劇中將作為緊急醫療全像程式（EMH）的醫官機器人系統，升格為固定主要角色，在這樣的設定架構之下，機器人程式不僅在艦內的全像艙，能與一般人互動，若需要移動到沒有全像投影設備的任何空間，製作團隊後來還「發明」一個裝置，稱為移動發射器（Mobile Emitter），讓全像投影的醫官能夠走出醫務室和全像艙與船上人員互動。</p> <p>這些都是具有正面印象的人形機器人想像，然而，也有令人感嘆、悲憫、甚至擔憂未來人形機器人負面發展的可能性，例如，電影《A.I.人工智慧》明顯借鏡童話故事《木偶奇遇記》探討人形機器人大衛被人類家庭收養，後續卻因為發生一些意外而被拋棄，最終與其他機器人夥伴踏向尋找仙女的歷險過程，希望能得到變成真正人類男孩的方法，旅途中大衛面臨人類嫉妒、怨恨機器人，而對機器人施暴凌虐的狀況。</p> <p>電影《機械公敵》也是很經典的例子，劇情則是人形機器人的發明者在公司跳樓自殺，警方懷疑是出現違背三大定律的機器人所為，三條基本規定，分別是：不得傷害人類，或坐視人類受傷；除非違背第一定律，否則需服從人類命令；在不違背第一與第二定律的狀況下，機器人必須保護自己，結果幕後黑手竟是集中控管的電腦系統V.I.K.I.，而具有自我意識的機器，也不只是這臺系統，還有機器人Sonny，他協助主角們找出意圖操控所有機器人限制人類行動的V.I.K.I，並與其對抗。</p> <p>在日本動漫內容的創作中，也有不少論及機器人與人類的衝突。像是宮崎駿的漫畫《風之谷》，出現兩個種族：具有毀滅世界能力的巨神兵與作為士兵或農夫的人造人席德拉；永野護《五星物語》有輔助操作巨型人形戰爭兵器的人造人Fatima，被製作者施加不得傷害人類等多種精神控制，而在很多狀況下面臨身不由己的命運。</p> <p>凡此種種，可見整個人類世界對於機器人的各種想像非常豐富，這些都以許多形式影響當代與未來機器人的設計與發展，當機器人即將真正進到人類生活與工作時，我們其實還沒準備好，若要適應相關的變化，只能持續了解這些技術的進展，並且參考過去人類曾想像的狀況，找出與其共存的對策。</p> <p><a href="https://www.ithome.com.tw/article/171294" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1252-feng_mian_gu_shi_-p1-yan_fen_-open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai%E6%A9%9F%E5%99%A8%E4%BA%BA%E8%B3%87%E5%AE%89%E7%99%BD%E7%9A%AE%E6%9B%B8">AI機器人資安白皮書</a></div><div class="field-item odd"><a href="/tags/%E5%85%B7%E8%BA%ABai">具身AI</a></div><div class="field-item even"><a href="/tags/ai%E6%A9%9F%E5%99%A8%E4%BA%BA">AI機器人</a></div><div class="field-item odd"><a href="/tags/ai%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA">AI資安風險</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%99%A8%E4%BA%BA">機器人</a></div><div class="field-item odd"><a href="/tags/ai%E5%B7%A1%E6%AA%A2%E6%A9%9F%E5%99%A8%E7%8B%97">AI巡檢機器狗</a></div><div class="field-item even"><a href="/tags/vicone">VicOne</a></div><div class="field-item odd"><a href="/tags/vicone-lab-r7%E5%AF%A6%E9%A9%97%E5%AE%A4">VicOne LAB R7實驗室</a></div></div></div>
2025/9/22 08:24作者李宗翰https://www.ithome.com.tw/voice/171318
Meta開源參數小於10億的MobileLLM-R1推理模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小模型當道，<a href="https://huggingface.co/facebook/MobileLLM-R1-950M" target="_blank">Meta上周公開了參數不到10億的推理模型MobileLLM-R1系列</a>，都可在本地端裝置執行。</p> <p>MobileLLM-R1是機上（on-device）型模型家族MobileLLM最新系列，為具有推理能力的文字模型。新模型包含基礎模型（Base）及最終模型兩類，各有三種參數量規模，分別是1.4億、3.6億及9.5億。基礎模型的脈絡長度為4K，最終模型脈絡長度為32K。</p> <p>Meta說明，MobileLLM-R1並非用於聊天機器人的通用模型，而是經過監督式微調（supervised fine-tuned，SFT）訓練，專用於解決數學、程式撰寫（如Python、C++）和科學問題的模型。三種規模中的MobileLLM-R1 950M預訓練資料僅2TB高品質token，而總訓練資料也小於5TB。但是成果優異，在多項標竿測試如MATH、GSM8K、MMLU、LiveCodeBench中，結果優於以36TB token資料訓練的Qwen 3 0.6B。</p> <p>而和現有完整開源模型相較，小巧的MobileLLM-R1 950M模型在MATH測試的準確率度是Olmo 1.24B的5倍，是SmolLM 1.7B的2倍。在程式撰寫能力上，MobileLLM-R1得分雙雙超越Olmo 1.24B及SmolLM 1.7B。</p> <p>Meta也比較了較小模型在MATH、GSM8K、MBPP與HumanEval的測試結果，MobileLLM-R1 140M (base)超越SmolLM2-135M，同時間MobileLLM-R1 360M也以大比分擊敗了參數量相仿的Gemma-3-270M-pt與SmolLM2-360M(base)。</p> <p>開發人員也可以vLLM推論引擎執行Meta mobileLLM-R1模型，只需將模型架構Llama4ForCausalLM登錄到ModelRegistry。最新模型以Apache 2.0授權開源於Hugging Face。</p> </div></div></div>
2025/9/22 08:57作者林妍溱https://www.ithome.com.tw/news/171320
MongoDB自託管環境現內建全文與向量搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MongoDB在自託管環境推出全文搜尋與向量搜尋的<a href="https://www.mongodb.com/company/blog/product-release-announcements/supercharge-self-managed-apps-search-vector-search-capabilities?tck=pencil_banner">公開預覽</a>，適用於社群版（Community Edition）與企業版（Enterprise Server）。該更新讓開發者不需再依賴外部搜尋引擎或獨立向量資料庫，就能在單一平臺上完成關鍵字比對與語意搜尋，並在本地或企業資料中心快速測試人工智慧應用。功能透過搜尋專用程序mongot與主要伺服器程序mongod協同運作，目前仍屬測試性質。</p> <p>MongoDB將新能力納入既有的聚合框架，支援$search、$searchMeta與$vectorSearch等查詢階段運算子當。開發者可直接使用熟悉的查詢方式處理全文索引、模糊查詢與自動完成，也能進行向量相似度比對，用於語意搜尋、推薦系統或RAG應用。當需求同時涉及關鍵字與語意條件時，也可採混合搜尋方式，將不同訊號整合後輸出排序結果。</p> <p>這種整合式設計回應了自管環境長期存在的痛點，過去要在MongoDB上實作進階搜尋功能，往往需要外掛諸如Elasticsearch、OpenSearch等外部搜尋引擎或向量資料庫，而這些需求帶來資料搬運、同步一致性與維運負擔。MongoDB將索引與查詢留在同一平臺內，能降低系統之間的同步落差，也簡化了布建、升級與監控工作，對於快速更新的交易型或內容型服務，能減少結果延遲或不完整的風險。</p> <p>MongoDB提供與LangChain、LangGraph、LlamaIndex等框架的原生整合相容性，使RAG或代理式功能能直接嵌入應用程式，並保有資料留在本地的彈性。對需要處理敏感資訊或在私有雲、混合雲環境運行的用戶，這樣的部署模式較容易符合治理與法遵要求。</p> <p>MongoDB規畫Community Edition正式版推出後，會在SSPL授權下免費提供，而Enterprise Server則會納入新的訂閱方案，收費細節待正式上市前公布。</p> </div></div></div>
2025/9/22 08:10作者李建興https://www.ithome.com.tw/news/171309
OpenMind開源AI原生機器人系統OM1 Beta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器人產業在近年硬體進步迅速，能行走、搬運、飛行的原型機接連出現，但OpenMind指出，軟體仍是最大挑戰，現有機器人大多被封閉於各自的生態系中，軟體層的碎片化與相容性低阻礙了跨平臺智慧的實現。OpenMind推出<a href="https://openmind.org/news/om1-beta">OM1 Beta</a>，並稱其為第一個人工智慧原生的開源機器人系統，試圖建立一個統一的開發基礎，讓各類機器人都能在相同平臺上具備感知、推理與行動能力。</p> <p>OM1 Beta已公開於GitHub，採MIT授權，支援多種硬體與模擬環境。系統核心強調硬體中立，能在四足、雙足、人形與輪式等平臺上運作，並以Docker映像檔提供快速部署，跨AMD64與ARM64架構皆可使用。</p> <p>在功能層面，OM1整合語言模型與語音、視覺能力，提供OpenAI、Gemini、DeepSeek與xAI等模型的介接，讓機器人具備自然語言理解與情境推理。語音部分則支援Google ASR與Nvidia Riva的語音轉文字，以及Riva與ElevenLabs的文字轉語音功能，而影像與情緒分析進一步提升人機互動的自然性。系統預先配置了多款常見平臺，包括Unitree G1、Go2、TurtleBot與Ubtech小型人形機器人，讓開發者能快速上手。</p> <p>自主導航與環境理解是另一個重點，OM1結合即時定位與地圖建構（SLAM）、LiDAR感測器與Nav2路徑規畫，讓機器人能在複雜空間中自主移動。開發者可先透過Gazebo模擬環境測試行為，再將設定部署至實際硬體，減少實驗成本與風險。此外，OM1提供名為OM1 Avatar的前端介面，使用React打造，能即時呈現機器人的狀態與虛擬頭像，方便觀察與互動。</p> <p>開源是這次OpenMind釋出OM1 Beta的核心策略，該公司希望透過開放程式碼，促進社群參與與知識共享，讓開發者能在共通平臺上擴充功能，而不是各自重新開發。如此有望縮短機器人軟體的發展周期，並推動跨製造商的互通性。</p> <p>OpenMind本身成立於美國，由學術界與產業界的成員組成，執行長Jan Liphardt曾任教於史丹佛大學，長期投入機器學習與人機協作領域。OpenMind的目標是將智慧層抽象化為軟體，讓不同硬體之間能共用同一套邏輯與介面，雖然這樣的嘗試能否最終成為產業標準，仍要看生態系的採用情況，但對研究機構、新創與開發社群而言，OM1提供了一個具體可用的起點。</p> </div></div></div>
2025/9/22 08:15作者李建興https://www.ithome.com.tw/news/171316
PyPI參與供應鏈攻擊GhostAction事件回應，註銷遭濫用的憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月上旬資安業者GitGuardian揭露<a href="https://www.ithome.com.tw/news/171071">大規模供應鏈攻擊GhostAction</a>，駭客於GitHub儲存庫注入惡意工作流程，竊得3,325組帳密、憑證或金鑰，現在這起事故處理的部分過程公開：PyPI軟體基金會透露他們也參與這起事故的回應，確認沒有PyPI用戶與專案受到波及。 </p> <p>9月16日PyPI軟體基金會（PSF）<a href="https://blog.pypi.org/posts/2025-09-16-github-actions-token-exfiltration/">發布部落格文章指出</a>，他們也參與這波攻擊的事件回應活動，當時駭客將程式碼植入GitHub Actions的工作流程，意圖竊取PyPI發布用的憑證（Token），並傳送到外部伺服器，他們廣泛針對許多儲存庫下手，其中有許多開發者將PyPI憑證存放於GitHub，攻擊者竄改工作流程將憑證外傳。雖然這些憑證確實遭到外流，但目前並未出現使用的跡象。對此，PyPI已註銷所有受到影響的憑證，並通知受影響的專案維護者。</p> <p>PyPI得知並介入這起事故的原因，在於9月5日GitGuardian透過他們的通報惡意軟體管道，向PyPI通報名為FastUUID專案遭駭，攻擊者試圖將PyPI憑證傳送到遠端伺服器。當時PyPI並未發現該專案的PyPI帳號遭駭，他們通知專案經營者，並協助保護帳號及專案的安全。</p> <p>後來GitGuardian透過電子郵件向PyPI資安團隊通報新的調查結果，指出這實際上是大規模攻擊的一部分，但相關通報訊息不幸被歸類到垃圾信而延誤時效，直到PyPI透過其他管道得知此事，並在垃圾郵件資料夾找到信件，於是PyPI再度清查用戶受害情形，並發現新的入侵指標（IoC）。</p> <p>他們在清查並確認沒有PyPI帳號外流後，於9月15日聯繫受影響專案的維護者，表示已將相關的憑證註銷，並呼籲用戶透過受信任的發布者（Trusted Publisher）機制來提升防護。</p> </div></div></div>
2025/9/19 18:22作者周峻佑https://www.ithome.com.tw/news/171312
高雄市如何用主權生成式AI升級城市智慧治理，靠AI能辨識火災、繞境等108種情境，要讓市府應變決策快一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>主權AI不只是國家級AI發展趨勢，對高雄市政府而言，更是其提升智慧城市治理的重要策略。高雄市去年12月宣布推動智慧高雄燈塔計畫，與中華電信、鴻海、Nvidia、Linker Vision，以及中鋼、中油、港務公司、台電等業者合作，高雄市要推動自己的城市級主權AI，高雄市政府資訊處長劉俊傑在近期分享高雄市如何運用AI加強城市治理。</p> <p>近2年，高雄市政府在智慧城市發展上異軍突起。去年先是與鴻海、Nvidia合作，在高雄軟體園區建置先進算力中心，以支援AI產品及應用的開發；去年12月高雄市政府與Nvidia、中華電信等業者合作，啟動智慧高雄燈塔計畫。在今年5月國際電腦展，Nvidia創辦人黃仁勳直接點名高雄，稱讚其為數位孿生城市，讓高雄一時間站在AI城市治理鋒頭上。</p> <p>「過去高雄市向臺北市、新北市、桃園市學習智慧城市的發展經驗，而與Nvidia的合作，是高雄市政府在智慧城市發展上一次彎道超車的機會」，劉俊傑不諱言地說。</p> <p>他認為，主權AI有2個接地氣的概念，第1個是適地性，由於各地方語言用語習慣不同，以廟會繞境為例，這是其他國家沒有的活動，廟會繞境活動往往會產生噪音、影響當地交通路況，也是民眾1999陳情反映的問題，因此高雄主權燈塔計畫中特別辨識廟會繞境，利用街頭監視器辨識到蹺境活動，市府相關單位注意當地的噪音及交通路況問題。</p> <p>第2個概念是資料主權，劉俊傑認為，如同企業基於內部敏感資料、營業祕密，每家企業需要發展自己的主權AI。「每個城市所面臨的問題不同，也需要發展自己知識產權的AI」，基於這樣的原因，不能只仰賴公有雲的AI，城市也需要建立在地、適合自己文化的主權AI。</p> <p>那麼高雄市政府推動主權燈塔AI計畫有何特別之處？</p> <p>劉俊傑指出，有別於ChatGPT、Gemini為個人使用，例如翻譯、摘要、查找資訊、行程規畫等等，高雄市的主權AI燈塔計畫則是城市治理層級，利用影像辨識城市中發生的事件，第一時間快速應變。</p> <p>而從AI技術發展來看，過去以機器學習為基礎的AI辨識技術，不同模型只能做單一一件事，例如專門辨識車牌的模型，專門計算車流或是淹水的模型，因應各種需求訓練開發專用模型，而現在生成式AI能夠讓模型辨識多種情況，建立通用的模型。</p> <p><span style="color:#B22222;"><strong>與廠商以聯合開發模式推動</strong></span></p> <p>劉俊傑直言，燈塔計畫在當時為全球第一個城市級主權AI案例，甚至沒有國外標準可供市府採納來進行驗收，資訊處與法治局、主管採購的工務局研究，最後決定以聯合開發模式進行計畫，以類似捷運聯合開發，由市府與企業共同投資，權利及義務共享的模式推動，分為3個方面。</p> <p>首先在算力資源方面，因為採用Nvidia GB200建置算力資源，GPU相當昂貴，遠非單一城市的財政能夠負擔，因此以聯合開發模式，由企業負擔擴展算力資源。</p> <p>其次是運用雲端架構在PaaS層訓練主權AI大腦的能力，劉俊傑表示，就像我們找到一位愛因斯坦，他的大腦很聰明、學習很快速，但是大腦中一片空白，透過PaaS訓練AI大腦，利用Nvidia retrain後的商業模型，以高雄的在地情境進行微調（Fine tuning），訓練它辨識廟會繞境活動。</p> <p>換言之，在PaaS層訓練大腦，再由SaaS層發展各局處需要的應用，解決環保、交通、治安等問題，各局處既有系統需要改版，以與PaaS層的大腦對接。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/_DSC4903-600.jpg" style="width: 600px; height: 400px;" /></p> <p>劉俊傑指出，在聯合開發模式之下，Linker提供Nvidia的算力、機房等基礎設施，還有Nvidia商業模型的授權，為滿足主權AI發展的需求，主機及資料位於高雄的中華電信七賢機房，而GPU則在臺南的中華電信機房，兩個地理區域的機房之間採用全光纖網路連接。</p> <p><span style="color:#B22222;"><strong>發展城市級VLM推論平臺，可辨別108種情境</strong></span></p> <p>他認為，AI在市政的運用並不是要取代人，而是輔助決策、提高效率，協助市府快速應對處理。為此，資訊處花費半年與交通局、環保局、工務局等7個局處討論，確認他們需要AI協助解決什麼問題，以及是否有足夠的資料訓練AI判斷，既有的系統及應變程序如何調整。</p> <p>例如過去市府接到民眾1999來電陳情道路出現坑洞，工務局再派人到現場勘察，再決定如何處理填補坑洞，一年可能收到與工務相關的陳情案件多達上萬件，往往人力難以處理，未來透過AI從影像識別道路上的坑洞，自動識別坑洞大小，決定派工處理的優先順序。另一個例子則是前面提到的廟會繞境，是否有足夠的資料訓練AI辨別廟會繞境活動。</p> <p>市府經過內部局處溝通，發展城市級的VLM推論平臺，可辨識108種情境，609個判斷指標，例如發生火災、淹水、廟會繞境活動、交通塞車都是一種情境，AI根據影像建立609個判斷指標，理論上，每種情境都能詢問AI多達609個問題(即指標)，但是如果詢問與該情境不相關的問題，等於花費更多運算資源讓AI去辨識指標，並不符合實際的需要。</p> <p>劉俊傑指出，關鍵在於要訓練AI辨識什麼樣的情境，還有在這個情境之下，市府各單位想要進一步瞭解的問題是什麼，但是辨識出的情境及指標為自然語言，雖然自然語言容易被人類理解，但並不能直接用於系統，因此將辨識的結果還會以指標或分級來分類，透過API與既有系統連接，也更容易設計系統該如何應對。因此AI在辨識後，會提供辨識結果的自然語言描敘供人類理解，也會提供問答，使系統容易處理。</p> <p>例如AI辨識一張街道上的影像，判斷是否發生淹水或交通堵塞，依辨識的結果轉給水利局、交通局，讓局處進一步再詢問AI相關問題。不只是市政府，燈塔計畫也邀請台電、中鋼、百貨公司等業者加入，例如詢問AI是否有電塔倒塌，進一步詢問倒塌的情形。</p> <p>至於影像的來源，除了利用街道上的監視器，市府也會試辦從公車或垃圾車的行車紀錄器影像。「以前直到市民撥打1999陳情，市府才知道發生什麼狀況，未來只要車輛經過，市府就能馬上處理，讓市府化被動為主動」，未來還準備與計程車隊合作，將AI的眼睛擴大到街道上行駛的計程車。</p> <p><strong><span style="color:#B22222;">AI結合數位孿生強化城市智慧治理</span></strong></p> <p>高雄市政府計畫利用Nvidia的Omniverse打造高雄市的數位孿生，目前先針對市區80平方公里的範圍來建置數位孿生（下圖，來源：高雄市政府），未來當發生事件時都會同步在數位孿生上呈現，市府各局處能夠檢視數位孿生外，事件也會傳到各局處的系統，快速應變處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(21).jpg" style="width: 600px; height: 347px;" /></p> <p>劉俊傑表示，未來AI會自動向各局處報告高雄市發生什麼狀況，透過道路上的CMS或是透過市民卡App通播訊息，讓市民及早獲得訊息應變準備。現在透過VLM，只要取得即時的影像，就能及時知道發生的狀況，例如AI偵測特定的路段發生交通堵塞，透過自動報告機制，向交通局資訊中心發送訊息，並且推播訊息給市民。</p> <p>未來不只是自動報告，高雄市政府也希望可發展至自動控制，當發生交通堵塞時，結合交通路口的IoT，自動調整路口的紅綠燈秒數，類似於Agentic AI的採取因應行動。</p> <p>不過，在訓練AI辨識特殊的情境時，例如發生火災的情境，需要先蒐集到影像資料，但是這些極端案例的影像可能並不容易取得。</p> <p>劉俊傑指出，為突破原始資料不足的限制，可以運用AI生成極端案例，如不同時間、氣候條件下發生的火災影像，甚至是生成過去沒有發生過的罕見極端案例，利用這些生成資料來訓練AI，教會它辨識情境後，再部署至實際運作環境。而AI未來透過高雄市數位孿生，也能模擬交通號誌控制或是水閘門的啟閉，模擬政策或自動控制的效益，再決定是否在實際世界施行。</p> <p>訓練AI辨識情境及指標，不只應用在高雄市政府自己，同樣參與燈塔計畫的台電，也可運用空拍無人機巡檢電塔，將空拍的影像畫面送到燈塔計畫的AI大腦，由AI判斷電塔是否出現銹蝕的情形，以安排派工到現場檢修。</p> <p>劉俊傑表示，除了政府、國營事業，市府也計畫未來將燈塔計畫擴大應用，目前已與醫療機構、企業、大學洽談合作。</p> <p> </p> </div></div></div>
2025/9/19 17:40作者蘇文彬https://www.ithome.com.tw/news/171310
Amazon升級銷售助理推代理式AI，協助賣家自動化營運賣場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon<a href="https://www.aboutamazon.com/news/innovation-at-amazon/seller-assistant-agentic-ai">宣布</a>將銷售助理（Seller Assistant）升級為新一代代理式人工智慧工具，讓賣家能在授權下由人工智慧主動處理日常營運、法遵監控及成長策略。該功能以Amazon Bedrock為基礎，並整合Amazon Nova與Anthropic Claude等基礎模型，使輔助工具從單純回應查詢，進一步成為能推理、規畫並執行任務的營運助手。</p> <p>Seller Assistant過去主要提供賣家即時問答與資源引導。此次升級則將重點放在主動性與自動化，人工智慧現可持續監控帳戶健康狀態、分析市場需求，並在賣家確認後執行相關行動。Amazon指出，這樣的轉型能協助獨立賣家更專注於產品創新與客戶經營，減少日常操作的時間成本。</p> <p>升級後的應用範疇涵蓋多個層面，包括庫存管理方面，Seller Assistant能偵測滯銷商品，提出降價、調整配送或移除的建議，並在旺季前依據歷史與即時資料生成補貨規畫，降低缺貨與囤貨風險。帳戶健康監控則可自動掃描潛在問題，例如商品描述觸及法規限制或服務指標接近警戒，並附上原因說明與解決方案，必要時可在授權下直接完成修正。</p> <p>在法遵流程中，Seller Assistant會於上架新商品時自動檢查必要文件，例如電子產品需具備的UL認證，提示缺漏並引導賣家逐步補齊，有助於降低因規範不熟悉而延誤上市的風險。廣告功能也同步導入代理式人工智慧，Amazon Ads的Creative Studio供賣家透過對話式操作快速產出影像與影音廣告素材，並根據購物訊號提供廣告構想，將製作時程由數周縮短為數小時。</p> <p>除了日常營運，Seller Assistant還加入成長策略規畫功能。系統能透過銷售與顧客行為分析，建議新產品方向、最佳化行銷方案，並針對季節性高峰與大型促銷檔期提前提出完整行動計畫，涵蓋促銷設計、庫存調整與廣告布局。這些規畫皆可由賣家檢視後再決定是否執行，確保決策權仍掌握在使用者手中。目前Seller Assistant已在美國開放，計畫在未來數月推向其他國家。</p> </div></div></div>
2025/9/19 16:27作者李建興https://www.ithome.com.tw/news/171308
IBM開源Granite-Docling小模型，2.58億參數高效處理複雜文件結構與表格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM發布<a href="https://www.ibm.com/new/announcements/granite-docling-end-to-end-document-conversion">Granite-Docling-258M</a>小型模型，定位為端到端文件轉換的視覺語言模型，<a href="https://huggingface.co/ibm-granite/granite-docling-258M">採Apache 2.0授權開源並已上架Hugging Face</a>。官方強調這是一個針對文件轉換而生的小型模型，參數量2.58億，輸出可完整保留版面、表格、數學式、清單與程式碼區塊等結構，適合後續以RAG建立可檢索的資料資產。與傳統直接轉為Markdown，容易與來源內容脫鉤的OCR流程相比，Granite-Docling的結構化輸出更貼近原始文件，降低後處理不確定性。</p> <p>Granite-Docling模型與Docling函式庫是互補關係。Docling提供可組合的文件轉換軟體層，能串接表格解析、數學式與程式碼解析、ASR與OCR等專用模型與CLI工具，方便隨插即用地整合向量資料庫與代理式工作流程。而Granite-Docling模型則可作為其中的單一VLM節點，一次完成影像到結構化輸出，利用單一步驟轉換減少多階段工作管線的誤差累積，同時保有以Docling進行錯誤處理與客製化的彈性。</p> <p>Granite-Docling的核心是DocTags，這是一套由IBM Research設計的通用文件結構標記語言，能精確描述頁面元素的型別、座標、閱讀順序與跨元素關聯，例如圖與其說明的對應關係。由於DocTags將內容與版面結構明確分離，模型可先界定元素範圍再執行OCR，待完成轉換後，DocTags可直接轉為Markdown、JSON或HTML，或送入Docling函式庫的處理流程。</p> <p>此次發表被視為今年3月SmolDocling-256M-preview的產品演進，新模型以Granite3為語言骨幹並採用SigLIP2視覺編碼器，延續先前方法論同時提升穩定性。過去預覽版偶見在頁面局部出現相同Token反覆出現的情形，團隊此次透過資料集過濾與標註清理降低不一致樣本，目標是在大量文件處理情境中維持流程穩定而不被單點錯誤拖累。</p> <p>在語言能力方面，Granite-Docling提供對阿拉伯文、中文與日文等的實驗性支援，目前尚未標示為企業等級的穩定水準，後續將持續擴充語言覆蓋與可靠性。IBM也同步推進docling-eval評測套件與資料集策畫，規畫建立標準化排行榜，以利各類文件理解方案比較。</p> <p>IBM計畫發展更大參數等級的Granite-Docling模型版本，但會維持在10億參數以下以兼顧速度與硬體彈性，並提升DocTags與IBM watsonx.ai模型的相容性，之後也會將DocTags語彙納入Granite的分詞器（Tokenizer）與訓練配方。</p> </div></div></div>
2025/9/19 14:37作者李建興https://www.ithome.com.tw/news/171297
Mistral開源新版小模型Magistral Small 1.2 新增視覺能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linkedin.com/posts/mistralai_introducing-magistral-small-12-magistral-activity-7374437491921076224-3YrE" target="_blank">法國AI新創公司Mistral AI本周公布</a>並開源新版小語言模型Magistral Small 1.2，除了提升效能，增加視覺編碼功能，也能跑在MacBook電腦上。</p> <p>Magistral Small 1.2為1.1版的升級，<a href="https://huggingface.co/mistralai/Magistral-Small-2509" target="_blank">Mistral說明</a>，它是以Mistral Small 3.2 (2506)為基礎開發，具備推理能力能在回答前執行一長串推理，並且經過監督式微調（SFT），訓練資料來源是推理模型家族的Magistral Medium推論時產生的軌跡，之後又加上強化式學習（RL）優化而成的高效率小型推理模型。Magistral Small 1.2參數量240億，具備最長128K脈絡空間。</p> <p>Magistral Small系列都能於本地部署，經過量化（quantized）後可在Nvidia RTX 4090 GPU平臺的機器或是一臺32GB RAM的MacBook上執行。</p> <p>相較於前一版，Magistral Small 1.2新增視覺編碼器，可接收多模態包括文字和圖片輸入，推理能力也擴及視覺。效能也提升，數學和程式撰寫標竿測試得分成長15%。它也改進了工具使用能力，能利用外部工具上網搜尋、執行程式碼或生成圖片。此外，新模型更人性化，它的回應更清晰、自然，文字排版或符號使用也美觀。</p> <p>Magistral Small 1.2支援20多種語言，包括英、法、德、西、中、日、韓等。</p> <p><a href="https://docs.mistral.ai/getting-started/models/models_overview/" target="_blank">Mistral同時也更新了</a>推理模型Magistral Medium 1.2，新增視覺支援，如同Magistral Small 1.2，Medium版也具備最長128K脈絡空間。二個模型都是以Apache 2.0授權開源，允許商業或非商業用途的使用和修改。</p> </div></div></div>
2025/9/19 12:25作者林妍溱https://www.ithome.com.tw/news/171290
橫掃47家美企與倫敦交通局，19歲駭客面臨95年徒刑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國國家犯罪調查局（National Crime Agency，NCA）本周逮捕了現年19歲的Thalha Jubair與18歲的Owen Flowers，<a href="https://www.nationalcrimeagency.gov.uk/news/two-charged-for-tfl-cyber-attack" target="_blank">在周四（9/18）指控</a>他們在去年入侵了倫敦交通局（Transport of London，TfL）， <a href="https://www.justice.gov/opa/pr/united-kingdom-national-charged-connection-multiple-cyber-attacks-including-critical" target="_blank">同一天美國也起訴了當中的Jubair</a>，宣稱他參與了至少120起電腦網路入侵與勒索案件，涉及47家美國企業。不管是Jubair或Flowers，他們在從事駭客行動時都還是青少年。</p> <p>倫敦交通局（TfL）在去年8月底遭駭客集團Scattered Spider入侵，造成TfL票價與資料系統癱瘓了好幾個月，外洩5,000名乘客的個資，帶來約3,000萬英鎊的損失，而Jubair與Flowers即是涉及此案的Scattered Spider成員。</p> <p>美國司法部指出，Jubair在2022年5月至2025年9月間，透過社交工程取得企業網路存取權限，進而竊取並加密企業資料，再向企業勒索，總計勒索金額高達1.15億美元，並有部分贖金匯入了他所控制的伺服器錢包。在2024年7月伺服器被查扣時，Jubair還轉走了價值840萬美元的加密貨幣，另有3,600萬美元的加密貨幣遭警方沒收。</p> <p>被駭組織包括美國聯邦法院系統、一家美國關鍵基礎設施公司、美國中西部大型醫療集團SSM Health Care Corporation，以及美國加州的大型醫療體系Sutter Health等。其中，Flowers也被控參與SSM Health Care Corporation的攻擊事件。</p> <p>美國檢方已依電腦詐欺共謀、電腦詐欺、電匯詐欺共謀、電匯詐欺及洗錢共謀等罪名起訴Jubair，若全數罪名成立，最高可判處95年徒刑。</p> <p>Scattered Spider是活躍於美國與英語系國家的駭客組織，自2022年起便頻繁透過社交工程、SIM卡置換與竊取憑證等方式入侵大型企業網路、竊取資料並展開勒索，已知的受害者包括米高梅國際酒店集團（MGM Resorts International）、美國連鎖賭場Caesars Entertainment及家庭清潔用品公司高樂氏（Clorox）等。</p> </div></div></div>
2025/9/19 12:42作者陳曉莉https://www.ithome.com.tw/news/171291
GitHub推出MCP Registry，集中收錄AI代理相容伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub<a href="https://github.blog/ai-and-ml/github-copilot/meet-the-github-mcp-registry-the-fastest-way-to-discover-mcp-servers/">推出</a>MCP註冊庫（MCP Registry），作為集中收錄MCP（Model Context Protocol）伺服器的入口，目標是解決開發者在分散環境中探索與安裝的困境。這項服務由GitHub主導並與社群協作，提供官方彙整清單，讓開發者能更快找到並評估合適的伺服器。</p> <p>MCP提供人工智慧代理與工具之間的溝通方式，讓代理能擷取新的執行脈絡、與外部資源互動，並整合至既有系統，也就是說，開發者可透過安裝相容的MCP伺服器來擴展代理能力，並在支援MCP的主機上以標準化協定完成整合。</p> <p>目前MCP伺服器散落於不同的儲存庫與社群貼文，缺乏統一的入口，使用者必須投入額外時間搜尋，伺服器作者則需反覆發布與回答相同的設定問題。GitHub認為這種破碎環境不僅增加探索成本，也潛藏安全風險，而MCP Registry透過集中清單和標準化流程，提供更透明的存取方式，協助開發者快速了解伺服器用途與安裝步驟。</p> <p>MCP Registry與VS Code整合，支援一鍵安裝，並依據GitHub星標數與社群活躍度排序，讓高品質專案更容易被找到。清單中的每個伺服器都連結至GitHub儲存庫，開發者能直接查看技術細節與維護狀態。MCP Registry支援任何相容MCP的主機，降低工具鏈導入門檻。</p> <p>首批合作包含Figma、Postman、HashiCorp與Dynatrace等廠商，另有Remote GitHub MCP Server正式納入，讓代理可直接存取儲存庫、Issue與拉取請求等資訊，支援更複雜的代理工作流程。</p> <p>GitHub也將與Anthropic及MCP Steering Committee合作，打造可與GitHub無縫整合的開源MCP社群註冊庫。未來開發者可自助發布伺服器，條目將自動出現在MCP Registry中，減少重複上架，並透過標準化的後設資料與驗證訊號提升透明度。官方將此視為建立健康開源生態的重要步驟。</p> </div></div></div>
2025/9/19 12:49作者李建興https://www.ithome.com.tw/news/171284
Meta即將開始預覽AI眼鏡開發套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在發布了<a href="https://www.ithome.com.tw/news/171260" target="_blank">一系列的AI眼鏡</a>之後，<a href="https://developers.meta.com/blog/introducing-meta-wearables-device-access-toolkit/?intern_source=blog&intern_content=connect-2025-day-2-keynote-recap-vr-development-use-cases-wearable-device-access-toolkit" target="_blank">Meta周四（9/18）宣布</a>將開始預覽穿戴裝置存取工具包（Meta Wearables Device Access Toolkit），以讓開發人員打造支援這些AI眼鏡的各種應用，涵蓋Ray-Ban Meta、Oakley Meta HSTN、Oakley Meta Vanguard，以及與內建顯示器的Meta Ray-Ban Display。正式版預計會在2026年出爐。</p> <p>Meta表示，Ray-Ban Meta已於全球售出數百萬副，證明這種產品形態是成功的，也代表此一時尚與科技的結合帶動了新的文化潮流，預示著配備開放式喇叭、免持相機及隨身AI助理的AI眼鏡將成為人們日常生活的一部分，因而想建立一個平臺，讓開發者可擴充AI眼鏡的體驗。</p> <p>首版的工具包將開放存取眼鏡上的攝影機，也能透過 iOS/Android藍牙設定檔存取眼鏡上的麥克風與喇叭，但還不能存取Meta AI功能或顯示器，也無法存取肌電圖腕帶Meta Neural Band上的感測器。</p> <p>該工具包支援Android與iOS平臺，開發人員不一定要擁有AI眼鏡，其軟體開發套件（SDK）將包含一個模擬裝置套件（Mock Device Kit），可用來進行自動化與程式測試。此外，就算在沒有開賣Meta AI眼鏡的市場，也能參與此一預覽活動，只是所能存取的功能會受限。</p> </div></div></div>
2025/9/19 11:51作者陳曉莉https://www.ithome.com.tw/news/171286
Google將Gemini整合到美國版Chrome中將加入代理人等能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/new-ai-features-for-chrome/" target="_blank">Google昨（18）日宣布</a>Gemini整合Chrome的多項計畫，包括從美國開始將Gemini整合到Chrome桌機、Android和iOS手機版，Google並將陸續為Gemini in Chrome加入代理人、推理和多模態能力，還能一鍵變更密碼。</p> <p>今天整合Gemini的Chrome Mac及Windows桌機版、Android版就能部署到美國用戶，只要其瀏覽器語言設定為英文。用戶上網時Gemini可回答關於網頁內容的問題。Android手機用戶在使用Chrome或其他App時長按電源鍵可啟動Gemini。iPhone上，Gemini會直接內建到iOS版Chrome中。</p> <p>Google並預告，未來幾個禮拜內，Gemini in Chrome將再加入代理人功能，使Gemini in Chrome功能更強大。對企業用戶而言，幾個星期內Gemini也會部署到Google Workspace，並提供企業等級的資料防護和控制。</p> <p>Gemini in Chrome可使上網蒐集資訊或規劃更輕鬆。例如它支援跨多分頁執行，方便用戶比價、摘要或整合多個網站內容，可減輕像是旅行規劃的麻煩。Gemini in Chrome也藉由和Google原生應用如Calendar、YouTube或Google Maps的深度整合，因此用戶可以教Gemini in Chrome直接搜尋YouTube影片，它會提供連結導引用戶過去。</p> <p>本月底Gemini in Chrome將加入AI Mode，後者是加入推理和多模態能力的Google搜尋。美國版英文用戶本月底使用Chrome的搜尋列（或稱omnibox）就能使用到這強大的搜尋功能。此外，美國版Gemini in Chrome現在已獲得情境建議（contextual suggestion）功能，用戶上網時叫出Gemini問問題時，Gemini可在Chrome側邊欄頂端顯示AI Overview（AI摘要），並提供情境建議，讓用戶無需離開網頁。本項功能幾個禮拜內會新增其他語言支援並推向其他國家。</p> <p>在安全性方面，Chrome的安全上網（Safe Browsing）的進階防護（Enhanced Protection）模式，繼現在使用Gemini Nano來辨識釣魚網站，之後將用它來封鎖下載病毒或詐騙軟體的網站。</p> <p>其次，Gemini in Chrome能學習用戶使用偏好並藉此封鎖網站的垃圾通知，例如當它認為使用者不允許特定網站存取相機、地點等資訊的要求時，會先自動封鎖，並顯示核准對話框讓用戶最終決定。最後，Chrome現在已能autofill網站密碼，但之後Gemini in Chrome將進一步加入密碼代理人能力，讓用戶一鍵完成特定網站的密碼的變更及儲存。支援的網站包括Coursera、Spotify、Duolingo、H&M等。</p> </div></div></div>
2025/9/19 12:14作者林妍溱https://www.ithome.com.tw/news/171287
Google發布Chrome 140更新，修補今年第6個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前Google發布<a href="https://www.ithome.com.tw/news/171194">電腦版、安卓版Chrome 140更新</a>，修補重大層級的Serviceworker元件資安漏洞CVE-2025-10200，本週該公司再度發布緊急更新，緩解已被利用的資安漏洞CVE-2025-10585，這是今年揭露的第6個零時差漏洞。除了Chrome之外，其他採用Chromium為基礎的瀏覽器應該很快就會跟進修補，用戶應留意近期的更新資訊。</p> <p>這項漏洞由Google感脅分析團隊（TAG）在9月16日發現，為JavaScript引擎V8的類型混淆漏洞，Google指出該漏洞為高風險層級，並發布<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_17.html">電腦版140.0.7339.185、140.0.7339.186</a>，以及<a href="https://chromereleases.googleblog.com/2025/09/chrome-for-android-update_17.html">安卓版140.0.7339.155</a>修補，此外，他們也針對ChromeOS、ChromeOS Flex用戶<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-chromeos_18.html">發布16371.49.0版更新</a>，修補這項瀏覽器元件漏洞。</p> <p>對於這項漏洞的細節，Google並未進一步說明，根據資安業者Tenable的評估，<a href="https://www.tenable.com/cve/CVE-2025-10585">此漏洞的CVSS風險值達到8.8</a>（滿分10分）。至於這項漏洞的影響範圍，以及駭客如何利用，有待後續其他資安業者或研究人員揭露。</p> <p>在上述的零時差漏洞之外，本次Google也修補了另外3個高風險漏洞，分別是：Dawn元件記憶體釋放後再存取利用（Use after free）漏洞CVE-2025-10500、WebRTC元件記憶體釋放後再存取利用漏洞CVE-2025-10501，以及Angle元件記憶體堆疊溢位漏洞CVE-2025-10502。</p> </div></div></div>
2025/9/19 10:12作者周峻佑https://www.ithome.com.tw/news/171282
Nvidia斥資50億美元入股英特爾，攜手開發資料中心及PC產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球GPU龍頭Nvidia，以及美國半導體戰略的核心企業英特爾（Intel）<a href="https://nvidianews.nvidia.com/news/nvidia-and-intel-to-develop-ai-infrastructure-and-personal-computing-products" target="_blank">在美東時間周四（9/18）上午7點（臺北時間18日晚上7點）宣布結盟</a>，Nvidia將斥資50億美元，以每股23.28美元的價格購入英特爾普通股，且雙方將在資料中心及PC領域展開合作。</p> <p>根據雙方的協議，它們將利用Nvidia所打造的處理器互聯技術Nvidia NVLink來連結Nvidia與英特爾架構，整合Nvidia的AI/加速運算，以及英特爾的CPU技術與x86生態系統等優勢，替客戶提供尖端解決方案。</p> <p>在資料中心領域，英特爾將替Nvidia客製化與製造x86架構的CPU，以讓Nvidia將這些CPU整合進自家的AI基礎設施平臺上，以Nvidia品牌對外銷售。</p> <p>而在個人電腦領域，英特爾將開發與銷售整合Nvidia RTX GPU晶粒的x86系統單晶片（SOC），這些新的 x86 RTX SOC將用來驅動各種需要同時具備頂級CPU與GPU效能的個人電腦。</p> <p>50億美元約可買到2.148億股的英特爾股票，占英特爾5.1%股份。<a href="https://www.ithome.com.tw/news/170785" target="_blank">美國政府則是在上個月</a>以89億美元的補助款、每股20.47美元的價格換得9.9%的英特爾股份。</p> <p>儘管英特爾這幾天的股價都高於24美元，但與Nvidia的合作所帶來的利多讓英特爾一開盤就大漲25%，反之TSMC及AMD則是一開盤就下跌，反映出市場對此事的看法。</p> </div></div></div>
2025/9/19 08:14作者陳曉莉https://www.ithome.com.tw/news/171281
基礎設施3缺陷影響Claude回應品質，Anthropic完成處置並加強品質檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/engineering/a-postmortem-of-three-recent-issues">公布技術報告</a>說明今年8月至9月初期間，3項基礎設施缺陷交疊，導致Claude的回應品質出現間歇性下降。官方強調這些問題並非因需求、伺服器負載或時段而調降模型水準，而是基礎設施部署與配置的缺陷所致。目前多數修復已完成，並同步推動更嚴格的品質檢測與監控機制。</p> <p>事件起於8月5日，Sonnet 4部分請求被誤導向新一代100萬Token上下文長度伺服群，起初影響比例僅0.8％。但是在8月29日的負載平衡調整放大了流量分配，至8月31日時，受影響比例一度達16％。由於採用具黏著性的路由策略，一旦對話首次被分派至錯誤伺服群，後續請求也更可能持續受到影響。在第三方平臺上，Amazon Bedrock高峰期受影響約0.18％，Google Cloud Vertex AI則比例低於0.0004％。</p> <p>第二個問題出現在8月25日，Claude API的TPU伺服器因部署設定錯誤，導致部分請求在Token生成時出現機率分配異常。表現上，英文回應中可能夾入泰文或中文字符，或程式碼中出現明顯語法錯誤。此問題影響到8月25日至28日的Opus 4.1與Opus 4，以及8月25日至9月2日的Sonnet 4。Anthropic已在9月2日回退相關變更，並新增非預期字元的檢測流程，以降低類似風險。</p> <p>第三個問題則與XLA:TPU編譯器中的近似top-k演算法有關。8月25日部署的新取樣程式觸發潛在錯誤編譯（Miscompilation），已確認影響Haiku 3.5，並推測波及部分Sonnet 4與Opus 3。Anthropic於9月4日先回退Haiku 3.5的變更，9月12日再針對Opus 3處理，對Sonnet 4則採取預防性回退，後續Claude全面改採精確top-k運算，並統一部分運算至fp32精度。</p> <p>Anthropic指出，此次事件難以快速診斷的原因在於3個缺陷同時發生，且在不同平臺上呈現的症狀各異，外觀看似隨機錯誤。現有的評測流程對零星失誤敏感度不足，再加上內部隱私規範限制工程團隊直接存取未經使用者回報的互動內容，增加了問題定位的難度。尤其在8月29日負載平衡調整後，負面回饋同時攀升，進一步模糊了變更與問題的關聯。</p> <p>針對後續改進，Anthropic已提高評測靈敏度，並將評測機制延伸至真實生產環境持續執行，以便在異常發生時能更快捕捉。同時開發除錯工具，讓工程團隊能在不影響使用者隱私的前提下，更有效重現社群回報案例。</p> <p>官方也提醒，因生成流程調整為精確top-k並加強數值精度管理，極少數使用場景可能需要開發者重新微調top-p等參數。至於平臺影響層面，自家服務，包含API、網頁版Claude與Claude Code受影響較明顯，第三方平臺影響範圍則相對有限。目前多數修復已完成，Amazon Bedrock仍在推送，更新稍晚完成。</p> </div></div></div>
2025/9/19 08:17作者李建興https://www.ithome.com.tw/news/171278
SecurityScorecard買下問卷自動化業者HyperComply
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供第三方及供應鏈網路風險評分及監控平臺的美國資安業者<a href="https://securityscorecard.com/blog/securityscorecard-acquires-hypercomply/" target="_blank">SecurityScorecard上周宣布</a>，已經收購了基於AI的問卷自動化業者HyperComply，且HyperComply的數十名員工，包括兩名共同創辦人Amar Chahal與Cody Wright都將加入SecurityScorecard。</p> <p>企業為防範第三方漏洞引發連鎖攻擊，在尋找合作對象時，通常會先委外掃描供應商的外部資安狀況，初步篩選出合格名單，再要求名單上的業者填寫詳細的安全問卷，進行資安審查。</p> <p>2013年成立的SecurityScorecard，主要從外部掃描供應商的網域、IP、漏洞、網路設定與惡意軟體感染狀況，並據此給予安全評分，協助企業掌握並管理供應鏈資安風險，多半負責協助客戶稽核合作對象的安全性，目前擁有逾2,600家企業客戶，員工人數超過500名。</p> <p>至於在2019年創立的HyperComply，則開發了名為RespondAI的問卷自動化引擎，它會先讀取企業既有的安全與合規文件，建立可搜尋的知識庫，再於收到來自合作企業的安全問卷時，透過自然語言技術比對題目，再從知識庫中生成最適合的答案草稿，最後由人工進行審核。相較於人工填寫，RespondAI可減少約92%的作業時間。</p> <p>SecurityScorecard表示，這項收購將把其原本專注於供應商外部風險評分與監控的能力，與HyperComply的問卷自動化技術結合，打造業界首個同時整合持續風險情報與智慧自動化的平臺。讓企業能即時掌握供應商風險、加速合規審查流程，並減輕應對GDPR、DORA與NIS2等法規要求的負擔。</p> <p>SecurityScorecard與HyperComply皆為美國私人公司，並未對外公布交易金額，預計今年就會開始把HyperComply的自動化問卷功能整合進其供應鏈風險評分平臺，讓企業在取得供應商風險評分的同時，也能透過AI工具加速安全審查流程，可望縮短供應商核准週期並降低營運成本。</p> </div></div></div>
2025/9/19 08:01作者陳曉莉https://www.ithome.com.tw/news/171280
從模型卡到ML-BOM
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0919_llmzi_an_jiao_zhan_shou_ce_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年7月，Hugging Face發布了一則推文：「我們正在調查一起事件，一名惡意使用者透過重複使用的員工密碼（這些密碼在其他網站的資料外洩中已被洩漏）控制了Meta/Facebook和Intel的Hub組織。」</p> <p>雖然該事件的全面影響尚不清楚，但它揭示了惡意行為者可能將自己植入供應鏈並更改被認為來自可信來源（在本例中為Meta或Intel）組件的可能性。這事件引發了人工智慧領域關於供應鏈安全一系列廣泛的嚴肅討論。</p> <p>雖然第一起事件並未被廣泛報導，看似是單一個案，但Lasso Security團隊在2023年12月發布的研究表明，超過1,600個Hugging Face API token（存取權杖）被揭露。該團隊可以使用這些API token存取700多個組織的Hugging Face帳戶，其中包括Meta、Microsoft、Google和VMware等主要參與者，這說明了存在明顯的風險：惡意第三方可以將一個知名的、值得信賴的模型替換為經過自己修改的模型──這對於任何可能下載和使用此類模型的應用程式來說都是巨大的風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>模型卡</strong></span></span></p> <p>在前面，我們了解到Hugging Face已經成為交換機器學習模型和訓練集的主要平台。由於需要追蹤重要的模型資訊及相依性，該公司開發了一種稱為模型卡（model Card）的標準化工件。</p> <p>Hugging Face的模型卡在於提供關於其平台上託管的每個AI模型的全面資訊，目標是讓使用者（無論是開發人員、研究人員或最終使用者）清楚了解模型的功能、限制和預期用途，這種方法與AI社群的努力一致，以確保AI模型能被合乎道德和有效的使用。</p> <p>以下是Hugging Face模型卡的幾個重點：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 模型描述</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>每個模型卡通常以模型的描述開始，包括其目的、架構和訓練資料，這讓使用者能夠對模型的設計目的及其工作原理有一個高層次的了解。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 訓練資料</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>模型卡通常會詳細說明用於訓練模型的資料集。了解模型的潛在偏見和限制非常重要，因為訓練資料的性質會顯著地影響模型的表現和行為。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 預期用途</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>模型卡包含有關模型預期用途的資訊，這有助於使用者了解模型預期表現良好的環境。這部分也可能包括使用建議或指南。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 倫理考量</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>許多模型卡都涉及倫理考量層面，例如模型中的潛在偏見及其部署對各利害關係人的影響，這反映出人們越來越看重AI技術對於社會以及永續發展的影響。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 效能指標</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> </span> </strong>這些模型卡通常包含各種效能指標，以向使用者展示模型的效能如何。這些指標通常是基於模型在基準資料集或其設計的特定任務上的表現。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 限制 </span> </strong></span>模型卡的關鍵組成部分是對模型限制的討論，這包括模型可能無法如預期執行的領域、某些應用中的潛在風險或模型應謹慎使用的領域。</p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>註：其他LLM供應商（例如AWS）已經開始研發自己的模型卡格式。這個領域可能會出現格式碎片化（fragmentation）的情況，因此你需要依專案需求慎選適合的格式。不過，從概念上來看，你應該會發現它們與上述的討論大同小異。</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>模型卡與SBOM的比對</strong></span></span></p> <p>模型卡和SBOM（軟體物料清單，software bill of material）都是目標在於提高複雜軟體系統（包括AI模型）的透明度和理解性的工具。儘管如此，它們還是有不同的用途，所包含的資訊類型也有所不同。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 目的和重點 </span></strong></span></p> <p>模型卡的主要目的是為機器學習模型的功能、行為和限制提供清晰、易於理解的描述。它們專注於效能、倫理考量、使用範例和訓練模型時使用的資料。模型卡對於需要了解ML模型的操作特徵和道德含義的最終使用者和開發人員來說非常方便。</p> <p>SBOM本質上是所有軟體產品組件的詳細清單。SBOM列出並詳細說明軟體產品中包含的每一個第三方和開源軟體，它們對於理解軟體的組成非常重要，特別是對於追蹤漏洞、授權與相依性。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 內容 </span></strong></span></p> <p>模型卡通常包括模型架構、訓練資料、效能指標、預期用途、倫理考量和限制等資訊。他們還可能提供對模型開發過程以及模型中任何潛在偏見的見解。</p> <p>SBOM包含每個軟體組件、版本、修補程式狀態、授權的詳細列表，有時還包含每個組件的來源。這些資訊對於漏洞管理、合規性檢查和軟體維護是很重要的。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 在安全性及合規性的應用 </span></strong></span></p> <p>雖然模型卡不直接解決安全漏洞，但可以間接表示模型的穩健性和可靠性，這是人工智慧系統安全性的重要關鍵。它們還可以突顯可能會影響安全的道德風險或偏誤。</p> <p>SBOM直接用於安全性和合規性上，對於漏洞管理非常重要，因為安全團隊可以藉由SBOM快速識別第三方組件中新發現的漏洞是否影響其軟體，也被應用於授權合規性和風險管理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 產業應用 </span></strong></span></p> <p>模型卡主要用於人工智慧和機器學習，是Responsible AI（負責任AI）運動的一部分。</p> <p>SBOM廣泛適用於所有軟體開發，並且日益成為軟體文件標準的一部分，特別是在高度重視安全性及合規性的產業中。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>CycloneDX：SBOM的標準</strong></span></span></p> <p>在CycloneDX推出之前，不同工具使用的SBOM格式多樣且不統一，阻礙了共享和互通性。CycloneDX透過提供統一的語言來描述軟體組件解決了這個問題，促進各種工具和平台的無縫整合。</p> <p>作為OWASP管理下的開源專案，CycloneDX受益於社群驅動的方法，這確保它能持續發展以滿足各行業不斷變化的需求，並且每個人都可以使用。清楚了解系統的軟體組件對於有效的漏洞管理和修補至關重要，而CycloneDX簡化了識別和解決漏洞的過程，進而增強了整體資安態勢。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>ML-BOM的興起</strong></span></span></p> <p>CycloneDX 1.5的一項關鍵創新是ML-BOM（機器學習物料清單），它可以說是ML應用程式的重大變革，此功能允許在SBOM中全面列出ML模型、演算法、資料集、訓練管道和框架。它記錄了模型來源、版本控制、依賴關係和效能指標等基本細節，這些資訊有助於機器學習系統的再現性、治理、風險評估和合規性。</p> <p>在透明度和理解方面，ML-BOM讓ML開發和部署所包含的組件和流程清晰可見，這有助於利害關係人掌握機器學習系統的組成、識別潛在風險並考慮道德影響。在安全領域，它可以識別和修復機器學習組件及其依賴組件中的漏洞。</p> <p>合規性是ML-BOM具有重大影響的另一個關鍵領域，它透過確保系統的透明度和治理，來支援遵守GDPR和CCPA等法規要求。</p> <p>除了這些核心領域之外，ML-BOM還提供其他優勢。它提高了再現性，允許複製實驗和結果，這對於機器學習系統的科學嚴謹性和信任至關重要。協力合作也變得更加簡便，因為ML-BOM使團隊和組織之間的專案共享和合作變得更容易。最後，它是知識管理的有效工具，可以保存有關系統的關鍵資訊以供將來維護、更新和稽核。<strong>（本文摘錄整理自《LLM資安教戰手冊》，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0919_LLM%E8%B3%87%E5%AE%89%E6%95%99%E6%88%B0%E6%89%8B%E5%86%8A_600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> LLM資安教戰手冊（The Developer's Playbook for Large Language Model Security）</strong></p> <p>Steve Wilson／著；洪巍恩／譯</p> <p>碁峯資訊出版</p> <p>定價：580元</p> <p><a href="https://www.amazon.com/stores/Steve-Wilson/author/B0D78JT6Q7?language=zh_TW&ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_LLM%E8%B3%87%E5%AE%89%E6%95%99%E6%88%B0%E6%89%8B%E5%86%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 150px;" /></a></p> <p><a href="https://www.amazon.com/stores/Steve-Wilson/author/B0D78JT6Q7?language=zh_TW&ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Steve Wilson</strong></p> <p>Steve Wilson是Exabeam的產品長，也是人工智慧和網路安全領域公認的領導者。他曾服務於Citrix、Oracle和Sun Microsystems等市值數十億美元的科技公司，擁有超過25年建置軟體平台的經驗。Steve也是《Java Platform Performance: Strategies and Tactics》一書的作者。</p> </div></div></div>
2025/9/19 06:00未署名https://www.ithome.com.tw/article/171180
強化邊緣運算與機器人效能，輝達單板電腦邁入Blackwell世代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/jetson_thor-08-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Nvidia推出更多採用Blackwell架構GPU的產品，我們陸續介紹上半年發表的RTX Pro Blackwell系列的專業繪圖加速卡，以及伺服器級資料中心GPU，在8月底，他們的單板電腦產品線，終於也迎來這項加速運算技術，發布Jetson Thor系列，屬於專為物理AI與機器人設計的電腦產品，目前已有多家業者率先採用，像是Boston Dynamics、Amazon Robotics、Agility Robotics、Figure 01。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-J.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-J.jpg" style="width: 600px;" /></a></p> <p>目前Jetson Thor區分為單板電腦模組T5000，每個產品的建議售價為3,199美元，若採購至1千個以上，建議售價為2,999美元，以及搭配T5000而成的開發者套件Jetson AGX Thor Developer Kit，建議售價為3,499美元，可經由Nvidia全球授權經銷商購買，若需要採用正式系統與搭配單板電腦的載板，可洽詢嵌入式系統廠商。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-D.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-D.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2025-7-9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2025-7-9.png" style="width: 600px;" /></a></p> <p>最新上市的Jetson T5000配備128 GB容量的LPDDR5X記憶體（現有Jetson系列最多搭配64 GB記憶體），整合的Arm處理器內建14顆效能優於Neoverse V2架構的Neoverse V3AE核心，效能提升的幅度達到3.1倍，而且，受益於整合Blackwell架構GPU晶片（2,560顆CUDA核心與96顆第五代Tensor核心），用於AI運算時，FP4浮點運算可達2,070 TFLOPS，比起前代單板電腦產品Jetson Orin系列，效能可提升至7.5倍，足以執行各種生成式AI模型，例如，常用的大型語言模型（LLM），如Llama、Gemini、DeepSeek，Nvidia發展的通用機器人基礎模型Isaac GR00T N1.5，以及視覺語言模型（VLM），如Cosmos-Reason1、通義千問（Qwen）。而在耗電量的部分，Jetson Thor系列的功耗最高為130瓦，能源使用效率也增至3.5倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-A.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/arm-neoverse-v3ae-cpu.png" style="width: 198px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-B.jpg" style="width: 600px;" /></p> <p>基本上，Jetson Thor系列可以執行多個AI工作流程，實現具有邏輯推理能力的即時推論處理，這對追求高效能表現的物理AI應用很重要，像是人形機器人、農業與醫療手術輔助，因為機器人需要與人們與物理世界進行即時、聰明的互動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-I.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-I.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-K.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-K.jpg" style="width: 298px;" /></a></p> <p>除了提供強大的硬體運算環境、能用於執行生成式AI模型，Jetson Thor系列可沿用Nvidia長期發展的Jetson軟體堆疊平臺，像是軟體開發套件JetPack，當中整合工具包CUDA、程式庫cnDNN、推論執行環境TensorRT等AI運算堆疊，以及PyTorch、LLM、SGLang、Triton Inference Server等AI框架、Jetson Linux元件與程式庫，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-E.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-F.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-F.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-G.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-G.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-H.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-H.jpg" style="width: 198px;" /></a></p> <p>而且，Jetson Thor系列也支援常見的AI框架，可完整相容橫跨雲端到邊緣環境的Nvidia軟體堆疊，像是用於機器人模擬與開發的Nvidia Isaac平臺、人形機器人基礎模型Isaac GR00T，影像視覺AI應用框架Metropolis，即時處理感測器資料的框架Holoscan。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-4.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-6.jpg" style="width: 298px;" /></a></p> <p><a href="https://forums.developer.nvidia.com/t/jetpack-7-0-jetson-linux-38-2-for-nvidia-jetson-thor-is-now-live/343128">8月底Nvidia</a>正式推出<a href="https://developer.nvidia.com/embedded/jetpack">JetPack</a>的7.0版，支援Jetson T5000與Jetson AGX Thor Developer Kit，當中搭配的作業系統Jetson Linux 38.2，採用6.8版Linux系統核心，以及基於Ubuntu 24.04 LTS而成的根檔案系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson Thor-08-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson_modules-software_roadmap-2025-7-9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson_modules-software_roadmap-2025-7-9.jpg" style="width: 600px;" /></a></p> <p>至於Jetson AGX Thor Developer Kit，當中包含的元件除了Jetson T5000，還有主動式散熱器、風扇、電源供應器，以及提供豐富連接能力的參考載板，提供USB-A、USB-C、乙太網路（RJ45：5GbE、QSFP28：4個25GbE）、DisplayPort 1.4a、HDMI 2.0b、PCIe 5.0（M.2外形NVMe固態硬碟、Wi-Fi 6E與藍牙模組）等多種連接埠。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Thor-08-7.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson AGX Thor-IO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20AGX%20Thor-IO.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Nvidia Jetson AGX Thor Developer Kit</span></strong><br /> ●原廠：Nvidia<br /> ●建議售價：Jetson AGX Thor Developer Kit為3,499美元，Jetson T5000為3,199美元<br /> ●搭配單板電腦：Jetson T5000<br /> ●外形尺寸：243.19 x 112.40 x 56.88公釐<br /> ●T5000中央處理器：Arm Neoverse-V3AE，14核心<br /> ●T5000繪圖處理器：Nvidia Blackwell架構，2560個核心搭配96個Tensor Core<br /> ●T5000記憶體：LPDDR5X，128 GB<br /> ●儲存空間：1 TB M.2外形NVMe固態硬碟<br /> ●網路介面：1個RJ-45埠（5GbE）與1個QSFP25埠（4個25 GbE埠）<br /> ●T5000 FP4運算效能：2,070 TFLOPS<br /> ●顯示介面：DisplayPort 1.4a/HDMI 2.1，支援8Kp30解析度<br /> ●連接介面：2個USB 3.2、2個USB-C 3.1<br /> ●耗電量：40瓦至130瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/18 19:22作者李宗翰https://www.ithome.com.tw/review/170954
Momo揭露最新GenAI應用，靠GAI偵測違規商品內容，百萬件商品都能全面品檢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p data-node-id="b154cc97-c3c4-45a9-9dc4-50612695c295" data-node-type="paragraph" data-pm-slice="0 0 []">去年中，Momo富邦媒推出了自己的開店平臺Mo店+，一年來收錄超過百萬件商品，相關產品圖檔更多達數百萬張，如何確保龐大上架商品照片的合規，成了Momo新平臺的挑戰。初起，只能用透過抽樣人工檢查，不只判斷效率不高，也容易有疏漏，直到生成式AI技術的成熟，Momo在一場活動中，首度公開他們如何用生成式AI，從百萬上架商品中，找到違規商品內容的判讀準確率高達99%。</p> <p data-node-id="c3314616-e247-4212-aa95-a5aeefbfbb83" data-node-type="paragraph">早在2022年底ChatGPT上線後，Momo就開始嘗試這項技術，但當時這類技術不夠成熟，Momo只用於內部測試，沒有正式應用到電商業務上。富邦媒體科技資料科學研發課課長謝百恩透露，直到Gemini推出1.5版，Momo才開始正式採用，第一個導入的場景就是商品內容偵測。</p> <p data-node-id="365222ef-09f4-43af-8489-f870582cea81" data-node-type="paragraph">開店平臺的第三方商品圖片多達數百萬張，而且店家還是不時更新圖片，謝百恩表示，為了控管上傳圖檔的品質符合規範，傳統做法是靠人工抽檢，需耗費大量人力，而且不容易抽查到違規的商品圖片。</p> <p data-node-id="5f0aa9ee-1b7c-4c0c-af8d-06c178de0af3" data-node-type="paragraph">對開店平臺來說，管理上百萬款商品有兩大課題，一個是商品分類，這是後續行銷推薦的重要基礎，另一個課題是違規商品偵測，這是電商合規的重要工作。</p> <p data-node-id="b6d27460-4e49-4bb9-bd2a-47aa828b5e77" data-node-type="paragraph">Momo原本就有一套自行訓練的商品分類模型，可以依據上傳商品的描述，來推薦十大建議分類，原本的分類正確率高達94%，但是Momo還不滿意，只靠人工來抽檢，來找出錯誤的分類推薦，不過，人工抽查成效有限，後來，Momo改用Gemini進行複查，重複檢查自家分類模型的建議結果，找出疑似分類錯誤的商品，再由品管人員確認，將商品分類的正確率提高到了99%。</p> <p data-node-id="5ce36e36-6ba0-4b26-aaea-4e6d8f1548cd" data-node-type="paragraph">不只用於商品分類，Momo也同樣用Gemini來偵測違規商品。為了避免違反不同主管機關各類型的法規要求，Momo的「禁止和限制商品政策」相關規範多達50多條，但傳統也只能靠人工把關，很難逐一審查高達百萬件的商品，只能抽樣檢查。</p> <p data-node-id="92210465-d348-40d2-b72f-24f90e9a6a8e" data-node-type="paragraph">Momo改用Gemini技術，依據違規政策，來進行商品資訊的語意判斷，找出疑似違規的商品，再交給品管人員複查，找出違規商品的準確率高達99%。</p> <p data-node-id="b63f561d-fa9d-4837-b102-28c0dc52e4ca" data-node-type="paragraph">不只是商品文字判讀，Momo也開始善用Gemini的多模態理解能力，來設計一個菸品偵測模型。傳統做法只能根據文字來做基本檢查，商品圖片只能靠有限的人工抽查。</p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph">謝百恩舉例，像是有店家上傳了自己拍的椅子商品照片，圖片一角拍到菸品，有可能違反菸害防制法的菸品廣告規範，得面臨高額罰款的風險。</p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph">Momo有一套嚴格的人工審查做法，但靠AI可以找到這套做法的漏網之魚，像是在圖片角落不小心拍到了菸品，也能分辨出來排除。Momo結合了原有的文字模型來識別商品文字資料，搭配Gemini多模態模型來識別商品的圖片，結合兩者結果找出疑似違規的商品，再交給品管人員複查。上線不到半年，到2024年底就發現了24件異常。</p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph"><strong>Momo先將Gemini用於商品分類輔助和商品內容的偵測。</strong></p> <p data-node-id="e5c4850c-1477-43d6-905d-a2534ba28719" data-node-type="paragraph"><img alt="" src="https://s4.itho.me/sites/default/files/images/momo-gai.jpg" /></p> <p data-node-id="aa5a3c54-6a70-4e38-8488-f395ffb78023" data-node-type="paragraph">謝百恩強調，透過生成式AI的做法，可以做到商品全檢的程度，不只是商品上架時檢查，連商品後續更新圖片時，每一次都可以檢查。Momo一個月靠生成式AI進行各種檢查的商品圖片總數，最少數十萬張，最多更可處理高達上百萬張。</p> <p data-node-id="1f5840b8-4275-494e-a423-4bf248dd24dd" data-node-type="paragraph">不只用於商品內容偵測，去年，Ｍomo也用Gemini來提供商品包材的建議，借助Gemini多模態模型，分析商品資料，像是商品描述，商品圖檔，結合包裝資料，包裝策略，針對商品特性來決定是否可用環保袋而不用紙箱包裝。導入三個月就提升了一成的環保袋使用率，減少不少紙箱的消耗。</p> <p data-node-id="01fa98c4-5ab9-4058-b88a-fe6d7152441f" data-node-type="paragraph">除了內部應用外，Momo也用Gemini來優化搜尋功能的個人化推薦能力。過去主要靠推薦詞庫來提供搜尋詞的建議給顧客，Momo現在改用LLM根據消費者的歷史搜尋和購買行為，生成個人化的搜尋詞建議清單，顧客對推薦詞的點擊率比詞庫推薦做法，提高了40%，更能符合顧客的需求。或像是節慶檔期，Momo用Gemini針對數十個商品樂別，自動建立更詳細的商品風格資訊，自動從數萬款商品中進行推薦，再提供給行銷團隊確認AI推薦結果，不用像過去得靠人工從百萬商品中挑選符合活動提的清單，大幅減少了人工作業時間。</p> <p data-node-id="4602ae89-9907-401e-a5b4-6613ff3702fc" data-node-type="paragraph">下一步，謝百恩透露，Momo正在積極實驗AI代理應用，已經展開多項內部專案測試。</p> <p data-node-id="6b1d800c-cb8f-43b0-ad27-d5e8ce02dad5" data-node-type="paragraph">謝百恩表示，AI輔助電商，未來有三大方向，從個人化到預測需求，從效率工具到智慧核心，從技術應用到體驗升級。AI不只是回應消費者已知的需求，還可以精準洞察、預測甚至喚醒消費者的潛在需求。</p> </div></div></div>
2025/9/18 18:53作者王宏仁https://www.ithome.com.tw/news/171279
【資安日報】9月18日，逾500個NPM套件被植入具大量散播能力的蠕蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定軟體套件發布平臺NPM的供應鏈攻擊事故，8月底有開源建置工具Nx被植入惡意程式的情況，後續資安業者Wia發現有超過6,700個GitHub私人儲存庫遭到公開，如今又有大規模攻擊事故出現，揭露此事的資安業者Socket指出，駭客植入會自我散布的蠕蟲，並在2天內感染超過500個套件，而且，這波攻擊很可能還在延續。</p> <p>上週澳洲網路安全中心（ACSC）、資安業者Rapid7<a href="https://www.ithome.com.tw/news/171147">警告勒索軟體Akira針對SonicWall防火牆下手的情況加劇</a>，本週SonicWall對使用雲端組態備份機制MySonicWall的用戶表示，此服務出現資料外洩的情況，攻擊者有機會將相關組態用於對防火牆發動後續攻擊。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171263"><strong style="font-size: 22px;">供應鏈攻擊兩天內急速擴散！逾500個NPM套件被植入具大量散播能力的蠕蟲</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3740dba254a802cbd91562cb1a87b1215b2fea8c-3398x1324.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/3740dba254a802cbd91562cb1a87b1215b2fea8c-3398x1324.png" style="width: 300px; float: right;" /></a></p> <p>軟體供應鏈攻擊的威脅加劇，近期有許多軟體套件發布平臺NPM的套件開發者遭到攻擊，導致他們維護的套件遭到植入惡意軟體的情況，但如今有資安業者也受害，而受到各界關注。</p> <p>資安業者Socket指出，資安業者CrowdStrike用來發布NPM套件的帳號crowdstrike-publisher出現遭到破壞的情況，他們研判很有可能是軟體供應鏈攻擊活動Shai-Hulud的一部分，因為駭客使用的惡意軟體相同，且當中包含名為bundle.js的指令碼。此指令碼的主要用途，包含下載帳密掃描工具TruffleHog並執行，然後搜尋受害電腦存放的憑證及雲端帳密、偵察開發者的CI帳密資料，並在特定的儲存庫建立未經授權的GitHub Actions工作流程，最終將前述提及的敏感資料外流。</p> <p>在經過相關通報之後，受影響的套件NPM已經下架處理，總共約有500個套件受到影響，值得留意的是，不光是CrowdStrike的帳號遭駭，還有Operato、Things Factory等多個企業組織也遇害。</p> <p><a href="https://www.ithome.com.tw/news/171270"><strong style="font-size: 22px;">SonicWall防火牆雲端設定檔備份外洩，要求用戶立即更換憑證</strong></a></p> <p>SonicWall通知其用戶在MySonicWall帳號中儲存的防火牆雲端設定檔備份，曾遭未經授權的存取，這些檔案包含密碼、金鑰與其他敏感資訊，要是落入攻擊者手中，可能降低滲透防火牆的難度。SonicWall表示，事件發現後已關閉未授權的存取點，並與國際執法及資安單位展開調查，同時要求受影響的使用者立即執行隔離與憑證重設。</p> <p>官方強調，影響範圍限於有將設定檔備份在MySonicWall的防火牆。使用者可登入MySonicWall確認狀態，如果帳號頁面以提示橫幅標示受影響的序號，代表這些防火牆必須立即採取修復步驟，當帳號未顯示受影響序號，但過去確曾使用雲端備份，SonicWall將在後續提供判斷方式。</p> <p><a href="https://www.ithome.com.tw/news/171251"><strong style="font-size: 22px;">ShinyHunters宣稱從Salesloft Drift事件竊得15億筆Salesforce資料</strong></a></p> <p>近日涉嫌駭入Google、思科、安聯人壽等知名企業的駭客組織ShinyHunters，本周宣稱已經自Salesloft Drift駭入760家企業的客戶關係管理（CRM）系統Salesforce資料庫，取得近15億筆用戶資料。</p> <p>今年8月起，陸續有思科、安聯人壽公告遭不明人士竊走客戶資料，當時僅有Google說明是Salesforce系統遭駭。Google自家資安團隊及服務部門Mandiant公告調查結果，攻擊者自8月8日至8月18日期間，濫用整合Salesforce的Salesloft Drift OAuth權杖登入其CRM系統，並竊走客戶資料及其他內部系統資料。</p> <p>針對作案的過程，這群駭客聲稱，他們一開始利用開源數據挖掘工具TruffleHog掃瞄，尋找網路上是否有外洩的Salesloft Drift憑證，最後他們找到Salesloft公司的GitHub密碼。</p> <p><a href="https://www.ithome.com.tw/news/171245"><strong style="font-size: 22px;">記憶體攻擊新手法Phoenix，可繞過DDR5的Rowhammer防禦機制</strong></a></p> <p>ETH Zurich與Google研究團隊揭露能在量產DDR5上實際運作的Rowhammer攻擊手法，稱之為Phoenix。研究證實，在一般電腦平臺預設設定下，所有2021年至2024年間出貨的15條SK hynix DDR5 UDIMM都能被攻破，並以分頁表（Page Table）翻轉取得系統控制權，最快僅需109秒即可完成。該研究已在2025年6月6日透過瑞士國家網路安全中心進行通報，並在9月15日解禁，同時登記為CVE-2025-6202。</p> <p>過去TRR被視為阻擋Rowhammer的主要手段，但研究團隊透過逆向工程發現，DDR5在晶片內實作的TRR（Target Row Refresh）其實並不是每次存取都會立即檢查，而是以較稀疏的取樣來判定是否發生Rowhammer。也就是說，TRR的取樣間隔可能長達數百甚至數千個DRAM自動重新整理周期（tREFI）。</p> <p>研究指出，近期的AMD Zen 4、Intel Alder Lake與Raptor Lake的記憶體控制器未使用DDR5的RFM（Refresh Management）指令，現行防護仍高度仰賴各廠商未公開的TRR設計。</p> <p><a href="https://www.ithome.com.tw/news/171272"><strong style="font-size: 22px;">壽司郎傳出個資外洩事故，客戶收到他人點數到期通知</strong></a></p> <p>為了讓顧客經常上門消費，許多餐飲業者都會實施會員集點制度，消費者能透過點數折抵消費或是兌換禮物。但最近有一起資料外洩事故，與業者通知用戶點數到期有關，在客戶於社群網站透露後，引起國內媒體爭相報導。</p> <p>這起事故的主角，是全臺擁有超過50家分店的迴轉壽司店「壽司郎」。事件的揭露，是有人9月14日在社群網站Threads發文指出，壽司郎點數到期通知疑似寄給所有到期的人，並表示他因此知道巷口的阿伯有多少點數。此貼文一出，迄今有超過44萬人看過、4,300人按讚、1,100人轉貼。該名用戶表示，他總共收到64封點數到期通知信。</p> <p>對此，有其他Threads用戶留言表示，他聽聞有人收到600封通知信，並指出這些通知信只有姓名，並未包含其他個資，不然事態可能會更加嚴重。但也有用戶認為，其實姓名和電子郵件信箱都算是個資，這次的壽司郎出錯似乎很嚴重。</p> <p><strong style="font-size: 22px;">半導體測試設備供應商致茂電子遭網路攻擊，勒索軟體Warlock聲稱是他們所為</strong></p> <p>9月17日晚間半導體儀器測試大廠致茂電子<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=184119&SPOKE_DATE=20250917&COMPANY_ID=2360">發布資安重訊</a>，指出他們的資訊系統遭到網路攻擊，事發後資安團隊立即啟動防禦機制因應。而對於這起事故可能會帶來的影響，致茂表示根據初步評估，沒有個資、機密，以及重要的資料文件出現外洩的情況，對於公司營運無重大影響。</p> <p>雖然致茂並未透露遭到的攻擊類型，但根據<a href="https://finance.ftvnews.com.tw/news/detail/2025916W0812">民視新聞網的報導</a>，勒索軟體駭客Warlock聲稱是他們所為。我們也在網路上搜尋，威脅情報網站<a href="https://www.hendryadrian.com/ransom-chroma-com-tw/">CyberSecurity News Everyday</a>、<a href="https://www.hookphish.com/blog/ransomware-group-warlock-hits-chroma-com-tw/">HookPhish</a>、<a href="https://www.ransomware.live/id/Y2hyb21hLmNvbS50d0B3YXJsb2Nr">Ransomware.Live</a>皆發布相關消息，從這些網站的公告也看到Warlock在16日聲稱從該公司竊得資料，但攻擊者手上究竟有多少檔案，仍不得而知。</p> <p>比較特別的是，Ransomware.Live提到，過程裡駭客運用多款竊資軟體犯案的情況，他們疑似運用至少4款惡意程式，包括：Lumma、RedLine、StealC、Raccoon。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182304/apt/china-linked-apt41-targets-government-think-tanks-and-academics-tied-to-us-china-trade-and-policy.html">針對APT41假冒美國議員攻擊與美中貿易談判有關的政府機關、智庫、學者，資安業者Proofpoint揭露相關細節</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/scattered-spider-resurfaces-with.html">ShinyHunters傳出接下來針對金融、科技領域而來，濫用Bland AI進行大規模社交工程攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ta558-uses-ai-generated-scripts-to.html">駭客組織TA588鎖定巴西旅館而來，透過AI生成的指令碼散布木馬Venom RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/muddywater/">伊朗駭客MuddyWater發動新一波攻擊，透過Cloudflare散布多階段惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/microsoft-onedrive-auto-sync-flaw/">微軟雲端檔案共享服務OneDrive的自動同步機制存在缺陷，恐洩露SharePoint Online的企業機密</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171253"><strong style="font-size: 22px;">將中小企業與NGO納入資安防禦網！資安院打造健檢團與服務團，可結合課程讓老師帶學生實務參與</strong></a></p> <p>資安人才短缺是全球性的挑戰，臺灣亦不例外，而如何將資安文化與意識向一般民眾普及，更是一大難題。為建構全民參與的社會資安防護體系，政府與上市櫃公司雖已積極強化資安投入，但中小企業與非營利組織（NGO）也是臺灣創新的重要動力，同樣需要被納入防護網。為此，國家資通安全研究院（資安院）正積極著手發展相關對策。</p> <p>在眾多推動措施中，我們特別關注兩項專案：「資安服務團」與「資安健檢團（Cybersecurity Clinic）」，因為它們都採用實地輔導方式，協助中小企業、微型企業與NGO強化防護能力。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171243"><strong>【9月17日】中國駭客CamoFei利用Roundcube攻擊臺灣教育機構</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171216"><strong>【9月16日】ShinyHunters聲稱駭入擁有多個時尚品牌的公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171199"><strong>【9月15日】美國警告兩駭客組織鎖定Salesforce平臺竊取企業資料</strong></a></p> </div></div></div>
2025/9/18 16:56作者周峻佑https://www.ithome.com.tw/news/171274
壽司郎傳出個資外洩事故，客戶收到他人點數到期通知
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓顧客經常上門消費，許多餐飲業者都會實施會員集點制度，消費者能透過點數折抵消費或是兌換禮物。但最近有一起資料外洩事故，與業者通知用戶點數到期有關，在客戶於社群網站透露後，引起國內媒體爭相報導。</p> <p>這起事故的主角，是全臺擁有超過50家分店的迴轉壽司店「壽司郎」。事件的揭露，是有人9月14日<a href="https://www.threads.com/@leo10152/post/DOjPhbWE5Ji?hl=zh-tw&xmt=AQGz-IwJqbeO4vAwb4dcNl5RtyzOM5bPjkvoz6Eg8TiR1Xk">在社群網站Threads發文指出</a>，壽司郎點數到期通知疑似寄給所有到期的人，並表示他因此知道巷口的阿伯有多少點數。此貼文一出，迄今有超過44萬人看過、4,300人按讚、1,100人轉貼。該名用戶表示，他總共收到64封點數到期通知信。</p> <p>對此，有其他Threads用戶留言表示，他聽聞有人收到600封通知信，並指出這些通知信只有姓名，並未包含其他個資，不然事態可能會更加嚴重。但也有用戶認為，其實姓名和電子郵件信箱都算是個資，這次的壽司郎出錯似乎很嚴重。</p> <p>在事故曝光之後，<a href="https://www.threads.com/@sushiro.tw/post/DOkbLCJkqDF/%E8%A6%AA%E6%84%9B%E7%9A%84%E9%A1%A7%E5%AE%A2%E6%82%A8%E5%A5%BD%E5%B0%8D%E6%96%BC%E6%9C%AC%E6%AC%A1%E9%BB%9E%E6%95%B8%E5%88%B0%E6%9C%9F%E9%80%9A%E7%9F%A5%E4%BF%A1%E4%BB%B6%E9%80%A0%E6%88%90%E7%9A%84%E4%B8%8D%E4%BE%BF%E8%88%87%E5%9B%B0%E6%93%BE%E6%88%91%E5%80%91%E6%B7%B1%E6%84%9F%E6%8A%B1%E6%AD%89%E7%B6%93%E6%9F%A5%E7%9B%AE%E5%89%8D%E7%B3%BB%E7%B5%B1%E7%99%BC%E4%BF%A1%E7%A8%8B%E5%BA%8F%E5%87%BA%E7%8F%BE%E7%95%B0%E5%B8%B8%E6%8A%80%E8%A1%93%E5%9C%98%E9%9A%8A%E5%B7%B2%E7%B7%8A%E6%80%A5%E4%BB%8B%E5%85%A5%E8%99%95%E7%90%86%E4%B8%A6%E6%8C%81%E7%BA%8C%E9%87%90%E6%B8%85%E5%95%8F%E9%A1%8C%E6%A0%B9%E6%BA%90%E6%9C%9F%E7%9B%BC%E7%9B%A1%E5%BF%AB%E6%81%A2%E5%BE%A9%E6%AD%A3%E5%B8%B8%E9%81%8B%E4%BD%9C%E8%8B%A5%E6%82%A8%E9%A1%98">壽司郎在該則發文的下面留言回應</a>，表示他們經過調查之後，是系統的發送電子郵件的程序出現異常，技術團隊緊急介入處理，並釐清問題的根源。</p> <p>究竟後續處理的結果如何？壽司郎並未透露，<a href="https://www.threads.com/@leo10152/post/DOlbDjRk68J?xmt=AQF0NgWVzq2WM1A96dsk_imB4NIfdMo_Gb1fH7062oZ3Hg">原先揭露此事的網友表示</a>，他收到壽司郎的通知信，表示這起事故是委外廠商發送通知信的過程出現異常，導致收信人部分資料可能會誤植到通知其他客戶的信件。對此，他們採取應對措施，包含立刻停止異常發信的情況，並尋求第三方單位合作進行檢測，確認未有持續性的外洩風險；該公司也啟動內部稽核機制，檢討對於委外廠商的監督流程。該公司也對於受到影響的客戶，提供500元電子折價券。</p> </div></div></div>
2025/9/18 16:05作者周峻佑https://www.ithome.com.tw/news/171272
資安院推中小企業資安防護指南手冊，預告臺版Cyberseek明年上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推動中小企業強化資安，幫助臺灣資安人才發展，是這些年來政府持續設法在因應的挑戰，近期國家資通安全研究院（資安院）公布新成果，他們不僅已經<a href="https://www.ithome.com.tw/news/171253">打造資安服務團與資安健檢團（Cybersecurity Clinic）</a>，還有兩項重要專案的發展，受到我們關注，分別是資安推廣工具「資安星際指南」手冊，以及臺灣資安人才資源專區。</p> <p>資安院人才培力中心主任鄭瑋表示，由於資安服務團與資安健檢團的規模仍有限，難以觸及所有需求單位，因此資安院在推動擴大規模的同時，同時也將實地輔導課程的教材內容，整理出一系列「資安防護指南」手冊。</p> <p>這套手冊預計將發布5個版本，希望讓所有中小企業、微型企業與非營利組織（NGO）作為強化資安的實用參考工具。目前已發布的兩本為「資安基礎概論篇」、「資通系統安心委外篇」，後續還將推出的是「網路安全管理實務篇」、「資安制度與風險管理篇」，以及「個資管理篇」。</p> <p>資安院人才培力中心經理胡馨元提出更多具體說明，她表示，在這套手冊的設計考量上，他們主要希望藉由故事中職場或日常生活情境，自然引入重要資安觀念，同時也以臺灣特有種為靈感來創造角色，搭配這些淺顯易懂、引人入勝的故事，希望讓廣泛企業老闆與員工都能自我閱讀與學習，降低他們接觸資安的門檻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）資安星際指南_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89%E8%B3%87%E5%AE%89%E6%98%9F%E9%9A%9B%E6%8C%87%E5%8D%97_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 338px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）資安星際指南_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89%E8%B3%87%E5%AE%89%E6%98%9F%E9%9A%9B%E6%8C%87%E5%8D%97_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 338px;" /></a></p> <p>另一個新專案是打造臺灣資安人才資源專區，也就是仿效國際間Cyberseek計畫，建立國內專屬的資源整合網站，目前已在製作階段，當中不僅能夠提供職缺訊息，也會串接人力銀行的資訊，並也特別規畫資安人求職旅程的內容，結合進修、轉職、證照與職缺等訊息。這項計畫預計今年底陸續完成，2026年可以上線。</p> <p>至於未來的願景，資安院人培中心希望，能夠做到整合全國的資安培訓資訊與資源，而這需要與更多相關部會來合作完成。國際間已有實例，像是<a href="https://security-portal.nisc.go.jp/">日本國家網路安全中心（NISC）就有這樣的規畫，建立一個資訊集中的資安資源入口網站</a>，這樣的資源整合將便於擴大使用者參與，像是當中也設計一套網路安全課程，可依目的、關係、角色別，讓不同性質使用者都能找到適當的學習資源。至於何時能夠打造這樣的整合性資安資源平臺？資安院並未說明，而我們也希望這樣的目標能盡早達成。</p> <p> </p> </div></div></div>
2025/9/18 16:31作者羅正漢https://www.ithome.com.tw/news/171261
中國防火長城資料外洩，近600 GB原始碼與內部文件曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國網路審查系統防火長城技術團隊發生資料外洩，9月11日公開的檔案總量接近600 GB，包含原始碼、內部通訊、工作紀錄與打包鏡像（Mirror），顯示其研發與營運細節前所未見。外洩來源為防火長城研發的核心技術團隊，包括積至（Geedge Networks）與中國科學院資訊工程研究所IIE旗下的MESA實驗室。</p> <p>長期追蹤中國網路審查技術研究的獨立報告網站<a href="https://gfw.report/blog/geedge_and_mesa_leak/en/">GFW Report</a>，稱其為防火長城史上最大規模資料外洩，目前沒有明確證據證實是內部故意洩漏或遭駭客入侵。</p> <p>洩漏檔案可透過BitTorrent與HTTPS鏡像下載，最大檔案mirror/repo.tar本身就接近500 GB，為RPM打包伺服器鏡像，另有geedge_docs、mesalab_docs、Jira匯出檔與Git倉庫備分等數十GB檔案。這些內容不僅涵蓋系統模組，還包括套件依賴與版本時間軸，使研究者能從供應鏈角度觀察產品生命周期。此類完整的工程鏡像過去極少外流，這使得外界能夠從程式碼到維運紀錄進行還原。</p> <p>外洩內容顯示，中國的網路封鎖並非單純由內部專案支撐，而是以可重複部署的產品化方式存在。具體例子是名為天狗安全閘道（Tiangou Secure Gateway，TSG）這類商用化平臺， Geedge官方頁面顯示其提供整合深度封包檢測與SSL/TLS加密流量視覺化，具備標準化交付能力，而這打破了外界對防火長城只存在於中國體制內的印象。</p> <p>文件中直接提及緬甸、巴基斯坦、衣索比亞和哈薩克等國，並透露在當地電信與資料中心整合的技術方案。過去關於中國審查技術輸出的報告多屬推測，這次則有明確文件支撐。</p> <p>MESA實驗室與Geedge Networks的關聯，這次也透過文件與Git提交紀錄被清楚對照。從研究人員、學生到後續進入企業的承接過程，外洩材料提供了直觀的佐證，這使得外界能更清楚理解，中國的網路審查技術，如何從學術單位逐步轉化為工程化產品，再透過公司實體對內與對外提供服務。</p> <p>除了技術與供應鏈，外洩檔案還包含會議紀錄與策略文件，談及翻牆工具的研究、建立新疆分中心，以及將流量歸因到真實身分等功能的討論。這些資訊過去也大多僅出現在政策文件或外界臆測，首次以內部文字檔形式出現，提供新的觀察依據。</p> <p>對有意下載並分析這批資料的研究者，操作安全應列為首要考量。GFW Report建議在無網路的隔離虛擬機中分析，以降低風險。另可配合一般數位取證實務，如唯讀掛載、計算雜湊比對、使用多引擎掃描、避免執行未知二進位或含巨集文件、保留取證鏈等動作提高安全性。</p> <p>中國防火長城外洩事件之所以受矚目，不僅在於規模，更在於其讓外界首次得以清楚檢視中國防火長城的工程細節。</p> </div></div></div>
2025/9/18 16:54作者李建興https://www.ithome.com.tw/news/171273
SonicWall防火牆雲端設定檔備份外洩，要求用戶立即更換憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SonicWall<a href="https://www.sonicwall.com/support/knowledge-base/mysonicwall-cloud-backup-file-incident/250915160910330">通知</a>其用戶在MySonicWall帳號中儲存的防火牆雲端設定檔備份，曾遭未經授權的存取，這些檔案包含密碼、金鑰與其他敏感資訊，要是落入攻擊者手中，可能降低滲透防火牆的難度。SonicWall表示，事件發現後已關閉未授權的存取點，並與國際執法及資安單位展開調查，同時要求受影響的使用者立即執行隔離與憑證重設。</p> <p>官方強調，影響範圍限於有將設定檔備份在MySonicWall的防火牆。使用者可登入MySonicWall確認狀態，如果帳號頁面以提示橫幅標示受影響的序號，代表這些防火牆必須立即採取修復步驟，當帳號未顯示受影響序號，但過去確曾使用雲端備份，SonicWall將在後續提供判斷方式。</p> <p>官方提供的標準流程為先隔離（Containment），再重設（Remediation）。管理者應先停用或制來自WAN的管理存取，僅允許可信來源透過HTTP/HTTPS、SSH、SSLVPN、IPsec VPN或SNMP連線。完成隔離後，必須全面更新本地帳號密碼、重綁TOTP、多項金鑰與共享密碼，包括IPsec預共享金鑰、LDAP或RADIUS整合密碼、SNMPv3使用者憑證、DDNS帳號、郵件與FTP服務密碼，以及無線網路的預共享金鑰。</p> <p>對需要快速完成更新的環境，SonicWall提供一份可選的修訂設定檔，當中已自動隨機化本地使用者密碼與IPsec金鑰，並重設TOTP綁定。匯入後防火牆會立即重啟，使用者需重新登入並設定多重驗證。在完成金鑰與密碼重新配置前，IPsec VPN 使用者存取會暫時中斷，官方建議安排在維護時段進行。</p> <p>官方<a href="https://www.sonicwall.com/support/knowledge-base/mysonicwall-cloud-backup-file-incident/250915160910330">說明</a>，事件影響少於整體防火牆安裝基數的5％，目前未發現備份檔遭外流，事件為針對雲端備份服務的暴力破解，非勒索事件。</p> <p>本次事件後續處理不僅是帳號密碼的更新，用戶還需針對跨站VPN、目錄服務整合與郵件通知等依賴SonicOS設定檔的服務進行全面盤點與同步。完成相關設定重設與同步後，官方建議建立新的備份基準，以確保未來復原及維運作業的一致性。</p> <p>目前SonicWall已在官方事件頁持續更新最新狀態，並提供技術文件與支援服務，受影響用戶可透過MySonicWall帳號開立案件，獲得專人協助。</p> </div></div></div>
2025/9/18 15:28作者李建興https://www.ithome.com.tw/news/171270
科學家發表可預測未來疾病的Delphi-2M模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自<a href="https://www.ebi.ac.uk/about/news/research-highlights/ai-model-forecasts-disease-risk-decades-in-advance/" target="_blank">歐洲分子生物實驗室</a>（European Molecular Biology Laboratory，EMBL）、德國癌症研究中心（German Cancer Research Centre，DKFZ）以及哥本哈根大學（University of Copenhagen）的科學家們本周發表了一個可預測未來疾病的Delphi-2M模型，它可根據人類的病史以及生活習慣，以預測未來10年或20年罹患逾1,000種疾病的機率，<a href="https://www.nature.com/articles/s41586-025-09529-3" target="_blank">該研究已登上《自然》（Nature）期刊</a>。</p> <p>Delphi-2M採用類似大型語言模型（LLM）的演算法概念，以英國生物樣本庫（UK Biobank）中40萬名參與者的資料進行訓練，讓它能夠根據個人過往的病史，再加上其年齡、性別、BIM，以及抽菸與喝酒等習慣，一次預測罹患1,258種疾病的風險，例如是否或何時會罹患癌症、糖尿病、心臟病、呼吸系統疾病等各種疾病。它的輸出形式有些像天氣預報，只不過天氣預報系統說的是「這個周末有70%會下雨」，Delphi-2M則說「在未來某年有70%罹患某病的機率。」</p> <p><a href="https://www.nature.com/articles/d41586-025-02993-x" target="_blank">DKFZ科學家Moritz Gerstung表示</a>，過去醫療人員必須跑此數十個模型才能給出完整評估，但Delphi-2M一次就完成。</p> <p>此外，對於大型數疾病，Delphi-2M的預測準確度與目前用來評估單一疾病發病風險的模型相當，甚至更高；而且Delphi-2M的表現也優於使用生物標記（如體內特定分子或化合物濃度）來預測多種疾病風險的機器學習演算法。Gerstung說，它的效果好得驚人。</p> <p>其實科學家也利用丹麥全國患者登錄系統（Danish National Patient Registry）內的190萬筆資料來驗證Delphi-2M的有效性，其結果雖然略遜於UK Biobank樣本，但依然相當準確，代表它具有泛化能力，可適應不同國家的醫療資料。</p> <p>科學家們期望未來Delphi-2M未來可納入更多國家的病歷資料，以及結合更多個人生活與行為資訊，以改善模型，長遠目標則是將它嵌入臨床決策系統，讓醫生在看診時能夠即時獲得長期的風險預測。</p> </div></div></div>
2025/9/18 15:51作者陳曉莉https://www.ithome.com.tw/news/171271
大規模NPM供應鏈攻擊Shai-Hulud逾500個套件被植入具大量散播能力的蠕蟲，CrowdStrike帳號遭挾持受…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈攻擊的威脅加劇，近期有許多軟體套件發布平臺NPM的套件開發者遭到攻擊，導致他們維護的套件遭到植入惡意軟體的情況，但如今有資安業者也受害，而受到各界關注。</p> <p>資安業者Socket指出，<a href="https://socket.dev/blog/ongoing-supply-chain-attack-targets-crowdstrike-npm-packages">資安業者CrowdStrike用來發布NPM套件的帳號crowdstrike-publisher出現遭到破壞的情況</a>，他們研判很有可能是軟體供應鏈攻擊活動<a href="https://socket.dev/blog/tinycolor-supply-chain-attack-affects-40-packages">Shai-Hulud</a>的一部分，因為駭客使用的惡意軟體相同，且當中包含名為bundle.js的指令碼。此指令碼的主要用途，包含下載帳密掃描工具TruffleHog並執行，然後搜尋受害電腦存放的憑證及雲端帳密、偵察開發者的CI帳密資料，並在特定的儲存庫建立未經授權的GitHub Actions工作流程，最終將前述提及的敏感資料外流。</p> <p>在經過相關通報之後，受影響的套件NPM已經下架處理，總共約有500個套件受到影響，值得留意的是，不光是CrowdStrike的帳號遭駭，還有Operato、Things Factory等多個企業組織也遇害。Socket根據他們找到的有效酬載，指出該惡意程式會寫入GitHub Actions工作流程檔案，檔名是shai-hulud-workflow.yml。另一方面，他們也在程式碼儲存庫GitHub找到近700個號稱能用來緩解Shai-Hulud的儲存庫，究竟這些儲存庫的功能為何，Socket根據儲存庫的命名及時間，推測有可能是用來維護自動化的攻擊流程。</p> <p>針對這起攻擊事故的發現，Socket起初在世界協調時間（UTC）9月14日傍晚找到7個被感染的套件，後來在16號凌晨發現有CrowdStrike的套件遭到感染。</p> <p>特別的是，Socket提到在這兩天的時間裡，駭客打造7個版本的惡意程式，而且這些都是能自我散播的蠕蟲。這些版本的差異在於，駭客逐步提升活動的隱匿程度及感染效率。</p> <p>該惡意軟體主要的功能，就是自動竊取帳密資料，然後用於將工作流程植入其他儲存庫，從而達到自我散布的目的。在進行感染的過程裡，此惡意程式會自動竄改並重新發布套件。</p> <p>一旦惡意程式成功竊得帳密資料，就有機會取得寫入及重新發布的能力，並將受害套件解開，置換或建立惡意的bundle.js檔案，並竄改package.json加入預先安裝（postinstall）的指令碼。下游使用者若是下載並安裝這些有問題的NPM套件，惡意的預先安裝指令碼或是注入在bundle.js的程式碼就會執行，並在他們的電腦進行偵察，進一步挖掘其他儲存庫及套件的相關帳密資料。</p> <p>值得留意的是，Socket認為攻擊者可能還有打造其他版本的惡意程式，因為他們看到新版本出現後，有舊版程式再度出現感染的情況，原因是惡意軟體剛好有其他的帳號可以繼續感染。這種情況發生的原因，主要是GitHub Actions的工作流程雖然會觸發事件，但並非連續觸發，使得惡意軟體感染時間會出現明顯的間隔。因此，Socket認為，第7版很有可能不是駭客使用的最新惡意軟體。</p> <p>針對這波軟體供應鏈攻擊，其他資安業者也公布相關發現，例如，<a href="https://www.wiz.io/blog/shai-hulud-npm-supply-chain-attack">Wiz推測</a>很有可能與8月下旬的<a href="https://www.ithome.com.tw/news/170877">Nx供應鏈攻擊</a>有關，<a href="https://unit42.paloaltonetworks.com/npm-supply-chain-attack/">Palo Alto Networks確認有超過180個NPM套件受到影響</a>，並指出蠕蟲程式會透過.npmrc竊取NPM帳號的憑證，並挖掘環境變數與組態設定檔案，搜括GitHun私人存取憑證（PAT），以及AWS、GCP、微軟Azure等雲端服務的API金鑰。</p> </div></div></div>
2025/9/18 14:25作者周峻佑https://www.ithome.com.tw/news/171263
DeepMind與OpenAI都取得程式設計競賽ICPC的金牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI持續藉由間接參與各式競賽來與人腦較勁，<a href="https://www.ithome.com.tw/news/170164" target="_blank">OpenAI</a>及<a href="https://www.ithome.com.tw/news/170184" target="_blank">Google DeepMind</a>繼拿到2025年的國際數學奧林匹亞金牌之後，又在今年9月4日參與了有程式設計奧林匹亞之稱的國際大學生程式設計競賽（International Collegiate Programming Contest，ICPC），雙雙再度奪得金牌。</p> <p>ICPC是全球最具影響力的大學生程式設計競賽之一，旨在展現大學生的創新能力、團隊精神，以及在壓力下寫程式的能力，每個參賽隊伍由3名學生組成，2025年的ICPC有來自全球103個國家、近3,000所大學的隊伍晉級，並有139支隊伍進入總決賽，團隊必須在5小時內完成12道題目，排名依解題數優先，其次依總用時決定。</p> <p><a href="https://icpc.global/worldfinals/results-2025" target="_blank">今年有4組隊伍獲得了金牌</a>，依序是俄羅斯的聖彼得堡國立大學、日本東京大學、中國北京交通大學，以及中國清華大學。</p> <p>其中，<a href="https://deepmind.google/discover/blog/gemini-achieves-gold-level-performance-at-the-international-collegiate-programming-contest-world-finals/" target="_blank">DeepMind團隊</a>是以Gemini 2.5 Deep Think的進階版參賽，他們在主辦方的指導下，依照ICPC規則於遠端進行現場比賽，比人類參賽者晚了10分鐘才開始，正確解決了其中的10道題目。整體而言，Gemini 2.5 Deep Think在667分鐘內解決了10個問題，若與人類隊伍相比，排名第二。</p> <p><a href="https://x.com/MostafaRohani/status/1968360976379703569" target="_blank">至於OpenAI</a>則是以GPT-5及一個實驗性的推理模型來參加比賽，並說該系統在5小時內正確解決了全部的12道題目，甚至超越了冠軍的人類隊伍。</p> <p>DeepMind團隊認為，此一成就顯示AI可以成為程式設計者真正的夥伴，如果結合了比賽中最好的AI與人類解決方案，那麼所有12個題目都會得到完整及正確的解決；而且除了數學與程式碼之外，ICPC還需要系統可以理解複雜的問題、設計一個多步驟的邏輯計畫並完美地實施它，這些技能與科學及工程領域所需的技能相同，包括設計新藥或晶片，代表AI正在從單純的資訊處理，進化成能主動解決複雜問題的智慧系統。</p> </div></div></div>
2025/9/18 14:48作者陳曉莉https://www.ithome.com.tw/news/171264
將中小企業與NGO納入資安防禦網！資安院打造健檢團與服務團，可結合課程讓老師帶學生實務參與
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安人才短缺是全球性的挑戰，臺灣亦不例外，而如何將資安文化與意識向一般民眾普及，更是一大難題。為建構全民參與的社會資安防護體系，政府與上市櫃公司雖已積極強化資安投入，但中小企業與非營利組織（NGO）也是臺灣創新的重要動力，同樣需要被納入防護網。為此，國家資通安全研究院（資安院）正積極著手發展相關對策。</p> <p>自2022年以來，資安院正持續著手建立<a href="https://www.ithome.com.tw/news/158498">我國網路安全人才技能框架</a>，設計職能課綱並與民間訓練機構合作，還要建立訓練機構與推動種子教師培育。</p> <p>除了持續建構上述資安職能人培體系，還有更廣泛的全社會防禦人培計畫也在發展。資安院於8月底舉行的2025全社會資安韌性推動實務研討會，揭露3大拓展方向與初步成果，包括：（一）公民意識圈：目標強化社會大眾與學子資安意識，（二）實務應用圈：目標強化企業內部資安運作與事件應變能力，（三）核心戰略圈：目標建立具備防禦韌性國家級資安人才。</p> <p>在眾多推動措施中，我們特別關注兩項專案：「資安服務團」與「資安健檢團（Cybersecurity Clinic）」，因為它們都採用實地輔導方式，協助中小企業、微型企業與NGO強化防護能力。</p> <h3><strong>幫助中小企業與NGO有新方法，不僅推動資安服務團，更發展結合校園能量的資安健檢團</strong></h3> <p>對於推動全社會資安韌性，資安院院長林盈達語重心長表示，我們需要做的事其實非常之多，這次公布的成果是一部分，主要<a href="https://www.ithome.com.tw/news/160192">來自資安院在Google.org支持下啟動的「NICS台灣資安計畫」，協助對象為臺灣中小企業與非營利組織</a>。</p> <p>其中，有兩項重點專案有初步成果，分別是資安健檢團與資安服務團。林盈達表示，資安院正透過這些專案，逐步累積實務經驗，嘗試描繪出中小微型企業的防護基準，這將有助於未來將計畫擴大規模，讓更多業者與單位因此受惠。</p> <p>當前整體資安防禦面臨的重大挑戰，在於資源分配存在落差。儘管近年大型企業已不斷強化資安防禦，或因應法規要求提升防護等級，但中小企業與非營利組織往往因為資源有限，難以要求他們做到同等水準的防護。因此，如何透過政策協助這些單位強化資安能量，已成為提升整體資安韌性的關鍵。</p> <p>這次新推動的資安服務團與資安健檢團有何特色？資安院人才培力中心經理胡馨元提出具體的說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖6）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%966%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以「資安服務團」而言，胡馨元表示，過去政府機關推動資安都會有輔導過程，以及稽核是否符合資安法，因此，資安服務團也藉助了這樣的概念，由資安院與外部資安專業人員組成服務團，來提供深度服務。</p> <p>過去兩年來，資安服務團已經深入協助30家企業與組織，服務範圍亦涵蓋全國13個縣市。胡馨元表示，在服務過程中，團隊會實地前往組織兩天，提供基礎資安防護、網路安全管理的建議與協助，也會顧及資安治理基礎，涵蓋資安法規遵循、內部管理制度、資產盤點與個資保護等面向，同時也觸及系統開發與委外安全，例如安全軟體開發生命週期（SSDLC）、委外管理原則，以及供應鏈資安。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖5）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以「資安健檢團」而言，其串聯合作方式相當特別，能讓學生實際接觸企業防禦所面臨的挑戰，也同時將資安觀念回饋到小型企業與NGO。對於這樣的做法，我們認為，有機會形成兼顧人才培育並連結社會的模式。</p> <p>胡馨元解釋，資安院主要透過媒合國內各大專院校資工或資管系的老師，在校內開設公益性的資安服務課程。一開始，學生先要在課堂中學習基礎資安技術，之後由授課教師、助教與學生共同組成資安健檢團，實地走入企業組織，了解其面臨的資安挑戰，並提供建議與解決方案，同時也培養諮詢與溝通上的軟實力。</p> <p>甚至，他們也鼓勵學校老師可找不同科系背景的學生加入課程，不論是資管系、圖資系、法律系等各種，之後分組到不同組織去服務時，可以激發出更多元的想法。</p> <p>目前，資安健檢團與全國10間大專院校合作，已經開設3個學期總計12門課程，帶領400位學生參與，並且服務範圍涵蓋8個縣市的70多家企業組織。</p> <p>上述模式與概念其實並非資安院獨創，而是源自柏克萊加州大學長期網路安全研究中心（CLTC）的Cybersecurity Clinic課程課綱。胡馨元表示，這種作法已在美國當地發展出「美國網路安全診所的聯盟」，並吸引多所頂尖大學參與。</p> <p>值得一提的是，臺灣在去年也加入該聯盟，首批會員包括逢甲大學、臺灣大學與陽明交通大學。胡馨元指出，臺灣是該聯盟在美國之外的首個海外成員，而臺灣的經驗也為聯盟帶來啟發。因此今年該聯盟於亞太地區積極行動，將Cybersecurity Clinic的概念，引入到新加坡、斯里蘭卡等國家。</p> <p>不過，帶領學生團隊進入企業健檢是否存在挑戰與風險要注意？這是大家都會設想的問題，現場也有這方面的提問。</p> <p>逢甲大學專任講師陳子皓說明了資安健檢團服務經驗，他表示，這樣的課程對學生幫助很大，因為傳統大學課程多半偏重理論，透過實務參與，學生能更清楚理解企業真正需要的資安服務與防禦措施，這與參加校園黑客社或CTF競賽的訓練方向是截然不同。</p> <p>陳子皓並強調，更重要的是，必須引導學生正確使用技術。在課程開始前，會先訂立規範並簽署保密協定（NDA），他在課程與健檢過程中也會不斷提醒「要保持善良」，持續讓學生在過程中學會思考與理解資安專業倫理界線。由於學生仍處於探索社會、形成價值觀的階段，這會是帶領過程中需要持續注意的一環。</p> <p>另外他也觀察到，目前這些被輔導的中小型企業與NGO，普遍職員不到20人，或是僅有5到6名正職人員，而且許多中小公司的資安觀念也相對停滯，認為只要「內網」就等同於安全，像是一家傳產CNC製造業，20多年來從未接觸過任何資安服務，至於NGO人力更有限，資安意識也相對薄弱，因此他們認為，未來更需要先做好更多觀念溝通，可以讓輔導過程更加順利。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在上述兩項重點專案之外，還有幾個資安人才培育的重要發展項目，我們認為同樣值得關注。例如，資安院人才培力中心主任鄭瑋指出他們正發展一系列「資安防護指南」手冊，以及臺版Cyberseek計畫已在進行，預計在明年上線</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖10）資安院資安健檢團資安服務團_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%9610%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%B3%87%E5%AE%89%E5%81%A5%E6%AA%A2%E5%9C%98%E8%B3%87%E5%AE%89%E6%9C%8D%E5%8B%99%E5%9C%98_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">至於其他更進階的國家級人才推動策略，除了先前開設資安長課程，資安院也推動資安策略演練，這部分會透過桌上兵推方式來建立協助概念。資安院人才培力中心經理鄭翔云也介紹各類桌上推演的定位，指出資安院NICS OTEX桌上推演重視策略策略層級演練，目標是企業決策層主管與資安長。</span></strong></p> <p> </p> </div></div></div>
2025/9/18 14:48作者羅正漢https://www.ithome.com.tw/news/171253
Meta更新AI眼鏡產品線，發表首款內建顯示器的Meta Ray-Ban Display
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在周三（9/17）舉行的Meta Connect年度開發者暨產品發表大會上更新旗下的AI眼鏡產品線，推出全新的、內建顯示器的<a href="https://about.fb.com/news/2025/09/meta-ray-ban-display-ai-glasses-emg-wristband/" target="_blank">Meta Ray-Ban Display</a>，以及第二款運動系列AI眼鏡<a href="https://about.fb.com/news/2025/09/oakley-meta-vanguard-performance-ai-glasses-sports/" target="_blank">Oakley Meta Vanguard</a>，還有具備更長電池續航力的<a href="https://about.fb.com/news/2025/09/ray-ban-meta-gen-2-better-battery-life-video-capture/" target="_blank">Ray-Ban Meta 2</a>。</p> <p>現階段Meta只與全球最大眼鏡製造商EssilorLuxottica合作，一同規畫了兩個AI眼鏡產品線，一是可搭配日常穿搭的Ray-Ban Meta系列，二是鎖定運動風的Oakley Meta系列，不管是Ray-Ban Meta 2或Meta Ray-Ban Display都屬於前者，Oakley Meta Vanguard則是繼<a href="https://www.ithome.com.tw/news/169677" target="_blank">Oakley Meta HSTN</a>之後的第二款運動風AI眼鏡。</p> <p>最受外界矚目的是Meta Ray-Ban Display，它在眼鏡上整合了麥克風、喇叭、攝影機，以及顯示器，且每副眼鏡都搭配了可用手部動作控制的肌電圖腕帶Meta Neural Band。意味著使用者可藉由鏡框觸控、語音或是Meta Neural Band來控制各種功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-Meta%20Ray-Ban%20Display-2.png" style="width: 465px;" /></p> <p>Meta並未公布有關Meta Ray-Ban Display顯示器的技術細節，僅說它是個全彩且高解析度的螢幕，只有在使用者需要它時才會出現，它不會妨礙使用者的視線，並可用來察看消息、縮放、預覽照片、導航、閱讀翻譯，或是取得Meta AI的協助等。</p> <p>而Meta多年前就著手開發以供AR裝置使用的<a href="https://www.ithome.com.tw/news/143329" target="_blank">智慧腕帶輸入裝置</a>，現在則首度落實在Meta Ray-Ban Display上，Meta Neural Band能感應手部肌肉的微妙運動而發出捲動或點擊的命令，以手腕上的感測器取代了觸控螢幕、按鍵及轉盤。</p> <p>這是個全新的技術，且人們肌肉的差異很大，但因有接近20萬名使用者參與Meta Neural Band研究，使得Meta強調Meta Neural Band幾乎適用於任何人，開箱即用。Meta Neural Band是以太空及登山領域所使用的Vectran纖維製成，防水等級為 IPX7，有3種尺寸，電池續航力為18小時。</p> <p>至於眼鏡本身則採用Transitions變色鏡片，因此白天跟晚上都可配戴，電池續航力為6小時，若搭配充電眼鏡盒，最長可使用30小時，有黑色與沙色兩種選擇。</p> <p><a href="https://www.meta.com/tw/ai-glasses/meta-ray-ban-display-glasses-and-neural-band/" target="_blank">Meta Ray-Ban Display的售價為799美元</a>，9月30日將率先於美國特定的Best Buy、LensCrafters、Sunglass Hut與Ray-Ban商店上架，之後擴大部署至Verizon商店，計畫在2026年初推廣至加拿大、法國、義大利與英國等其它市場。</p> <p>專為高強度或極限運動設計的Oakley Meta Vanguard支援IP67防護等級，它採用包覆式鏡片、Oakley PRIZM鏡片，而且可抗風沙，還有3款鼻墊可供置換，內建運動專用相機，強力開放式喇叭，也能透過Meta AI即時查詢心率及配速等資料，電池續航力為9小時，充電眼鏡盒則可額外提供36小時電力，售價為499美元，預計於10月21日在美國、加拿大、英國、澳洲及歐洲市場推出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-Oakley%20Meta%20Vanguard.png" style="width: 600px;" /></p> <p>第二代的Ray-Ban Meta將電池續航力從4小時提升到8小時，充電盒可額外提供48小時電力；新增3K Ultra HD錄影功能，且計畫藉由韌體更新提供慢動作及縮時攝影模式；除了英、法、義大利及西班牙文之外，新增德文與葡萄牙文的雙向即時翻譯功能；另亦新增更多的鏡框選擇。Ray-Ban Meta 2的最低售價也從第一代的299美元提高到379美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-ay-Ban%20Meta%20(Gen%202).png" style="width: 600px;" /></p> <p>Ray-Ban Meta是Meta與EssilorLuxottica在2023年10月推出的AI眼鏡，迄今已售出數百萬副，是全球最暢銷的AI眼鏡。EssilorLuxottica在公布2025年上半年財報時，透露出Ray-Ban Meta的營收比前一年同期增加了200%。</p> <p>不過，上述產品皆未鋪貨至臺灣市場，也尚無時間表。</p> </div></div></div>
2025/9/18 12:41作者陳曉莉https://www.ithome.com.tw/news/171260
WebAssembly 3.0定版，強化支援高階語言與更大規模應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://webassembly.org/news/2025-09-17-wasm-3.0/">WebAssembly（Wasm）3.0</a>已正式上線，成為新的標準版本。這次是自2.0完成以來最大幅度的更新，目標是讓高階語言更容易映射到Wasm，並在效能、可移植性與可擴充性之間取得平衡。新版引入64位元位址空間、多重記憶體與垃圾回收等核心機制，並補強尾呼叫（Tail Call）、原生例外處理、向量指令、決定性執行等能力，同時增添自訂註解與JavaScript介接支援，為更大規模、更複雜的應用奠定基礎。</p> <p>在記憶體模型方面，memory64與table64讓模組可使用64位元索引，突破以往4 GB記憶體的限制。雖然瀏覽器出於安全與資源管理仍維持16 GB上限，但在非網頁環境，應用可視硬體條件擴展至更大資料集。</p> <p>另一項更新是多重記憶體。過去雖然Wasm應用可以同時使用多個記憶體物件，但必須分別宣告在不同模組中，而現在單一模組可同時宣告與存取多個線性記憶體，並能直接在不同記憶體之間複製資料，這有助於在應用中隔離敏感資料、建立高效率緩衝區，或在工具鏈靜態合併模組時減少限制。</p> <p>記憶體管理也獲得強化，Wasm 3.0新增垃圾收集（GC）支援，讓編譯器可用結構（Struct）與陣列（Array）定義資料結構，配置與釋放則交由執行時處理，減輕語言前端需要攜帶自家垃圾回收系統的負擔。搭配更精細的型別化參照，函式可透過call_ref在靜態型別保證下進行間接呼叫，無需執行期型別或邊界檢查。對Java、Kotlin、Dart、Scala或OCaml等具GC語言而言，這代表模組體積縮小與啟動速度提升。</p> <p>效能方面，Wasm 2.0引入的SIMD在3.0中獲得擴充，Relaxed SIMD允許少數狀況交由硬體自行決定結果，標準只規定結果必須落在可接受的範圍內，藉此提升整體速度。對需要完全可重現的應用，如區塊鏈或重播系統（Replayable System），標準提供決定性設定檔，確保跨平臺執行結果一致。</p> <p>在工具與開發便利性上，Wasm文本格式新增自訂註解語法，可攜帶額外後設資料而不影響語意，方便編譯器與除錯工具使用。對於嵌入到JavaScript的應用，則增加了JavaScript API的字串內建函式庫，讓Wasm可直接操作傳入的JavaScript字串值，降低跨執行環境的資料轉換成本。此次3.0也是首度以SpecTec工具鏈產製的標準文件，提升規格一致性與可靠性。</p> <p>這些改進帶來的實際效益是模組更小、載入與初始化更快，應用也會更穩定，並能承載更大資料集。影音處理、遊戲、科學計算或前端編輯器等場景，都能透過GC、例外處理與SIMD的改善獲得更佳體驗。官方表示，Wasm 3.0已在多數主流瀏覽器支援，獨立引擎如Wasmtime也即將完成相容。</p> </div></div></div>
2025/9/18 12:05作者李建興https://www.ithome.com.tw/news/171256
ShinyHunters宣稱從Drift駭入事件竊得15億筆Salesforce資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日涉嫌駭入Google、思科、安聯人壽等知名企業的<a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claims-15-billion-salesforce-records-stolen-in-drift-hacks/" target="_blank">駭客組織ShinyHunters本周宣稱</a>，已經自Salesloft Drift駭入760家企業Salesforce資料庫，取得近15億筆用戶資料。</p> <p>今年8月起，陸續有思科、安聯人壽公告遭不明人士竊走客戶資料，當時僅有Google說明是客戶關係管理（CRM）系統Salesforce遭駭。Google自家資安團隊及服務部門Mandiant公告調查結果，攻擊者自8月8日至8月18日期間，濫用整合Salesforce的Salesloft Drift OAuth權杖登入其CRM系統，並竊走客戶資料及其他內部系統資料。</p> <p>Mandiant研究人員將這群攻擊者命名為UNC6040 及 UNC6395。犯案歹徒自稱是ShinyHunters、Scattered Spiders，據信是以ShinyHunters為主要成員，不過後來宣稱ShinyHunters、Scattered Spiders及Lapsus$三者已整合，名為Scattered Lapsus$ Hunters。</p> <p>ShinyHunters本周對資安媒體<a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claims-15-billion-salesforce-records-stolen-in-drift-hacks/" target="_blank">BleepingComputer</a>透露其作案細節。這群駭客一開始利用開源數據挖掘工具TruffleHog掃瞄網路上是否有外洩的Salesloft Drift憑證。最後他們找到Salesloft公司的GitHub密碼。</p> <p>這點也和Salesloft的調查相符，<a href="https://www.ithome.com.tw/news/171051" target="_blank">這家開發商調查發現</a>駭客今年3月到6月份存取了該公司的GitHub儲存庫，當中包含該公司程式原始碼。這使得駭客得以取得API密鑰、權杖和密碼。</p> <p>隨後，駭客取得了Salesloft Drift串聯其他知名系統的憑證，包括Salesforce的OAuth存取憑證，進而竊走客戶資料庫資料。ShinyHunters聲稱從760家公司的Salesforce系統取得「帳號」、「聯絡人」、「案例」、「機會」和「使用者」等物件表格各千萬筆到數億筆不等的紀錄。ShinyHunters也向媒體提供了包含原始碼的文字檔以資證明。</p> <p><a href="https://cloud.google.com/blog/topics/threat-intelligence/data-theft-salesforce-instances-via-salesloft-drift?e=48754805" target="_blank">Google Mandiant在最新研究中也有類似發現</a>。其中「案例」是客戶向Salesforce請求支援的紀錄，可能包含重要系統如AWS的憑證、Snowflake的驗證權杖、存取金鑰等機密資訊。因此除了Salesforce內的客戶資訊，受害者的重要營運系統和機密資料都可能遭竊。而且駭客還相當謹慎，刪除查詢紀錄以免被發現。</p> <p>透過外洩的Salesloft Drift和Drift Email憑證，這群駭客接連駭入多家企業，其中不乏資安業者包括Google、Cloudflare、Zscaler、Tenable、CyberArk、Elastic、BeyondTrust、Proofpoint、Palo Alto Networks等。</p> <p><a href="https://www.ithome.com.tw/news/171247" target="_blank">本周Google也證實</a>，攻擊者在其執法請求系統（Law Enforcement Request System，LERS）建立了假帳號。</p> </div></div></div>
2025/9/18 10:34作者林妍溱https://www.ithome.com.tw/news/171251
微軟10月將自動在Microsoft 365安裝Copilot App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟10月將主動在消費者Microsoft 365安裝聊天機器人Copilot。而企業用戶本周也會自動獲得Copilot Chat App。</p> <p>微軟兩周前說，安裝Microsoft 365（簡稱M365）桌機版應用程式的Windows裝置，將自動安裝M365 Copilot App。安裝過程將由背景執行，不會干擾用戶。微軟當時說M365安裝將從秋天開始，但<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-rolls-out-copilot-chat-to-microsoft-365-office-apps/" target="_blank">Bleeping Computer</a>報導，微軟在M365訊息中心管理公告，時間點落在10月開始。</p> <p>這個安裝為全球性規劃，歐盟經濟區將可獲得倖免。使用者還是有方法阻止它下載。方法是以管理員帳號登入M365 App，在「自訂」>「裝置配置」>「現代App設定」>選擇M365 Copilot App，然後在「啟動自動安裝M365 Copilot App」取消勾選。</p> <p>另一方面，<a href="https://learn.microsoft.com/en-us/copilot/manage#microsoft-365--chat-eligibility" target="_blank">微軟同時宣布</a>對企業或教育版M365安裝Copilot Chat。Copilot Chat為網頁版AI聊天機器人，安裝後將整合到M365的使用，它能了解用戶正在進行的活動，且根據用戶開啟的檔案提供最佳答案。</p> <p>不過不同於M365 Copilot能存取用戶的企業內容，Copilot Chat只能「看」及處理網頁內容。</p> <p>微軟將對具有Entra帳號的M365用戶安裝Copilot Chat，只要他們的授權是以下其中一種，就可免費獲得安裝：M365 A1/A3/A5、M365 Business Basic/Business Standard/Business Premium或是E3/E5、F1/F3、Microsoft Teams、Office 365。</p> <p><a href="https://www.ithome.com.tw/news/170294" target="_blank">8月微軟已先宣布</a>另一整合作業，將從九月底把M365 Copilot整合到Edge側邊欄。</p> </div></div></div>
2025/9/18 10:47作者林妍溱https://www.ithome.com.tw/news/171252
記憶體攻擊新手法Phoenix，可繞過DDR5的Rowhammer防禦機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ETH Zurich與Google研究團隊<a href="https://comsec-files.ethz.ch/papers/phoenix_sp26.pdf">揭露</a>一種能在量產DDR5上實際運作的Rowhammer攻擊，稱之為Phoenix。研究證實，在一般桌機平臺預設設定下，所有2021年至2024年間出貨的15條SK hynix DDR5 UDIMM都能被攻破，並以分頁表（Page Table）翻轉取得系統控制權，最快僅需109秒即可完成。該研究已在2025年6月6日透過瑞士國家網路安全中心進行通報，並在9月15日解禁，同時登記為CVE-2025-6202。</p> <p>Rowhammer是一種針對DRAM的硬體擾動攻擊，攻擊者在極短時間內反覆存取同一記憶體列（Aggressor Row），會造成鄰近列電荷受到干擾而位元翻轉。只要翻轉發生在關鍵資料，例如分頁表（Page Table），就可能升級權限取得系統控制權。</p> <p>過去TRR被視為阻擋Rowhammer的主要手段，但研究團隊透過逆向工程發現，DDR5在晶片內實作的TRR（Target Row Refresh）其實並不是每次存取都會立即檢查，而是以較稀疏的取樣來判定是否發生Rowhammer。也就是說，TRR的取樣間隔可能長達數百甚至數千個DRAM自動重新整理周期（tREFI）。</p> <p>在所謂輕取樣區間內，TRR主要會在每個tREFI的最後一次啟動（ACT）進行取樣，而攻擊者可避開該時槽，或在該槽放入誘餌存取以規避偵測，讓長周期的敲擊行為得以累積並最終造成位元翻轉（Bit Flip）。</p> <p>研究人員據此設計兩種長周期樣式，分別對應128與2,608個tREFI，能避開TRR檢測並造成位元翻轉。這套方法在FPGA平臺與伺服器級RDIMM測試中同樣有效，進一步顯示DDR5的TRR仍存在設計上的盲點。</p> <p>要在真實系統中維持攻擊效果，研究團隊引入自我校正同步機制，用以偵測被跳過的重新整理周期並即時補償，確保長周期的敲擊序列不會因時序偏移而不同步。這項作法解決了過去在數千個重新整理周期中難以維持節奏的問題，使Phoenix能穩定重現並展現出實際威脅。實驗也顯示，部分DDR5模組的刷新時窗遠大於標準，例如測得高達16,582個tREFI，等於給攻擊者更充裕的時間來累積效果。</p> <p>在作者測試的系統上，將刷新率提高3倍即可抑制Phoenix，但卻會帶來8.4％的效能開銷。另一條可能緩解路徑是啟用DDR5標準中的精細度刷新（FGR），研究人員指出，部分AMD消費級處理器已透過BIOS更新提供切換至FGR的選項，但實際能否帶來有效防護仍有待觀察。此外，在<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">Intel</span>平臺上還須同時考量處理器內的<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">pTRR</span>（<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">in‑CPU TRR</span>）機制，平臺差異可能影響最終成效。</p> <p>研究指出，近期的AMD Zen 4、Intel Alder Lake與Raptor Lake的記憶體控制器未使用DDR5的RFM（Refresh Management）指令，現行防護仍高度仰賴各廠商未公開的TRR設計。</p> <p>研究人員建議，未來應朝具原理保證的防護機制發展，例如JEDEC提出的逐列啟動計數（Per Row Activation Counting），避免僅依靠不透明的廠商自訂機制。對於伺服器端常見的錯誤修正機制Rank-level ECC，雖能提高攻擊成本，但仍不足以完全防堵。</p> <p>Phoenix研究顯示，即便DDR5導入多層防護，Rowhammer仍非過去式。對企業與開發者而言，這代表在硬體、韌體到系統層級都必須重新評估防護策略，尤其在高安全性環境下，如何平衡效能與記憶體完整性，將是不可迴避的課題。</p> </div></div></div>
2025/9/18 08:00作者李建興https://www.ithome.com.tw/news/171245