iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Thinking Machines Lab發表首個AI產品Tinker
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由OpenAI前技術長Mira Murati在今年2月成立的AI新創Thinking Machines Lab，<a href="https://thinkingmachines.ai/blog/announcing-tinker/" target="_blank">於本周三（10/1）發表首款產品Tinker</a>，令人意外的是，這不是一個大型語言模型，而是用於客製化開放權重模型的微調API，能讓研究人員與開發者更輕鬆地訓練出符合特定需求的AI模型。</p> <p>Tinker基本上是個託管服務，使用者可直接透過雲端API來微調開放權重模型，包括Qwen、Llama與Mistral等，它會自動處理訓練過程中的複雜工作，例如GPU資源分配、排程與錯誤復原，讓使用者不必自行架設伺服器或管理運算環境。</p> <p>此外，Tinker支援LoRA等高效微調技術，可搭配開源的Tinker Cookbook範例庫，提供多種後訓練流程，如強化學習（RLHF）與偏好優化。開發者可依任務需求打造專屬模型，不管是專業應用、客服助理或研究實驗，都能更靈活地掌握模型知識與語氣風格。</p> <p>Thinking Machines Lab表示，Tinker的目標是讓更多團隊能以更低門檻進行模型客製化，並利用開源的Tinker Cookbook 推動研究與應用普及。</p> <p>目前Tinker尚屬私人測試階段，開放研究人員及開發者申請免費試用，以透過雲端API微調開放權重模型，體驗其自動化訓練管理及高效微調流程，未來則會採用依使用量計價的收費方式，根據實際訓練所需的算力、儲存及API調用來計費，預期將依照不同的微調方式提供分級價格。Tinker的正式定價要在公開測試版上線後才會出爐。</p> <p>不若其它AI新創，Thinking Machines Lab並未推出大型語言模型，而選擇發表微調平臺，反映出該公司企圖成為AI研究與應用的基礎設施供應商，因為隨著愈來愈多開放權重模型的現身，研究人員與企業需要更靈活的工具來快速客製及部署模型。</p> <p>成立不到1年的Thinking Machines Lab已取得由a16z領投的20億美元種子輪融資，且Nvidia與思科也都參與了種子輪，融資後的估值為120億美元。</p> </div></div></div>
2025/10/2 15:15作者陳曉莉https://www.ithome.com.tw/news/171481
新攻擊WireTap側錄DDR4復原SGX私鑰，動搖Intel遠端稽核可信度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>普渡大學與喬治亞理工學院研究團隊公開<a href="https://wiretap.fail/">WireTap</a>研究論文，揭露一種利用DDR4 DRAM匯流排插接與竊聽的實作，能在僅具備基本電工工具與市售零件的前提下，監看伺服器記憶體往返總線的加密流量，在單次稽核簽章流程中，透過復原該次ECDSA簽章所用的Nonce，進而推得SGX Quoting Enclave的ECDSA私鑰，進而簽發可被官方驗證程式接受的偽造稽核報告，動搖依賴SGX遠端稽核建立的信任鏈。</p> <p>WireTap做法是在主機板與DDR4記憶體模組之間放置被動轉接器，接上邏輯分析儀以觀測加密後的DRAM讀寫。研究人員指出，伺服器平臺上與SGX相關的記憶體加密採用決定性加密（Deterministic Encryption），讓同一明文在相同情境下對應固定密文，攻擊者因而能建立密文與明文的對映關係，對常數時間的密碼運算產生可利用的訊息洩漏。</p> <p>在此基礎上，研究團隊展示了對SGX Quoting Enclave的完整金鑰復原，取得ECDSA簽章金鑰後可簽出任意SGX報告。研究團隊提供偽造的SGX Quote與驗證腳本，證明該稽核報告（Quote）能被Intel的DCAP Quote Verification Library接受，且報告中不可能出現的量測值仍被判定為可信狀態。</p> <p>研究同時評估實際系統的風險，在Secret Network個案中，研究團隊於測試網透過偽造稽核報告加入節點並取得共識種子（Consensus Seed），進而解密交易內容。對Phala與Crust，論文說明可分別偽裝可信執行環境以存取資料，或偽造儲存以領取獎勵。Integritee因其註冊與信任機制依賴SGX稽核，也可被偽裝節點濫用。上述影響均源自稽核鏈可被偽造，並非破壞共識協議本身。</p> <p>WireTap的實作門檻並不高，團隊表示整套裝置成本低於1,000美元，材料一般市面可取得，且不需要實驗室等級環境，強化了此攻擊在實務面的可行性。</p> <p>影響範圍以第3代Intel Xeon Scalable處理器為主，研究稱較早期的Core與Xeon-E因採用不同的記憶體加密引擎而不受此技術影響，Xeon-D仍未確定，第4與第5代Xeon需搭配DDR5，並不在此次研究可利用的範圍。</p> <p>偵測難度上，研究指出一旦攻擊完成，偽造的SGX稽核報告與合法者難以區分，事後幾乎無從辨識，目前未見野外使用跡象。</p> <p>Intel於9月30日<a href="https://www.intel.com/content/www/us/en/developer/articles/news/more-information-encrypted-memory-frameworks.html">發布說明</a>，指稱WireTap與同期Battering RAM研究皆假設攻擊者具備以匯流排插接取得物理近端的能力，屬AES-XTS式記憶體加密保護邊界之外，因此不計畫指派CVE。</p> <p>Intel建議在支援的處理器上啟用Intel TME-MK（Total Memory Encryption-Multi-Key）的加密完整性保護模式，以對抗如Battering RAM等別名式（Alias-based）攻擊，該功能已在第5代Xeon（Emerald Rapids）與Xeon 6 P-cores（Granite Rapids）提供。同時提醒驗證端應理解受信平臺的實體保護屬性，平臺擁有者可在稽核過程藉由平臺憑證識別並證明控制的硬體環境。</p> </div></div></div>
2025/10/2 15:47作者李建興https://www.ithome.com.tw/news/171482
Meta將利用用戶的AI聊天對話來改善個人化廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2025/10/improving-your-recommendations-apps-ai-meta/" target="_blank">Meta周三（10/1）宣布</a>，自今年12月16日起，將透過使用者與Meta AI的互動紀錄，以個人化用戶的內容及廣告推薦。</p> <p>Meta預計在今年底前會在43個國家推出Meta AI，除了有獨立的程式之外，它也被整合在Facebook、Instagram、Messenger、Instagram Direct、WhatsApp及Ray-Ban Meta眼鏡等服務或產品上，以提供問答、摘要、內容生成或語音互動功能，目前每月已有10億人使用Meta AI。不過，Meta AI尚無在今年底前支援臺灣或中文的計畫。</p> <p>Meta解釋，使用者與平臺的互動早已影響Facebook與Instagram的動態消息呈現，且該公司也據此推薦內容及廣告，未來使用者與AI的互動也將成為另一項參考訊號。例如若與Meta AI聊到登山，接著可能就會看到平臺推薦登山社團、朋友的登山推文或是登山鞋的廣告。</p> <p>另一方面，使用者也可以隨時透過廣告偏好設定與其它控制工具來調整所看到的內容及廣告，亦可選擇以語音或文字方式與AI互動。此外，與Meta AI所討論的宗教信仰、性傾向、政治立場、健康、種族與哲學等主題，並不會用在個人化廣告上。</p> <p>在正式上線前，Meta自10月7日起便會透過服務通知或電子郵件提醒使用者。</p> </div></div></div>
2025/10/2 13:51作者陳曉莉https://www.ithome.com.tw/news/171479
Red Hat OpenShift AI存在近滿分漏洞，恐導致混合雲基礎設施遭挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月29日Red Hat<a href="https://access.redhat.com/security/cve/cve-2025-10725">發布資安公告</a>，為旗下人工智慧平臺Openshift AI修補CVE-2025-10725，由於其CVSS分數評為9.9分（滿分10分），相當危險，若不處理攻擊者有機會用於提升權限，進而在特定情況下掌控整個基礎設施。</p> <p>OpenShift AI專為在混合雲環境開發、部署與管理AI模型而設計，它整合了容器技術與DevOps流程，讓資料科學家與工程師處理整個AI或ML模型的生命週期更有效率。</p> <p>針對這次公布的資安漏洞CVE-2025-10725，Red Hat指出已通過身分驗證的低權限攻擊者，有機會藉此奪下完整的叢集管理員權限，使得叢集的機密性、完整性、可用性受到損害。攻擊者可藉此竊取敏感資料、破壞所有服務，甚至控制底層基礎設施，從而導致平臺及受到管理的所有應用程式完全遭到破壞。2.19與2.21版OpenShift AI皆受到影響，該公司已發布修補程式。</p> <p>雖然這個漏洞的風險值近乎滿分，但由於攻擊者必須通過最基本的身分驗證才能濫用，因此Red Hat將其評為高風險（Important）層級，而非更危險的重大層級。</p> <p>若是無法即時套用更新，Red Hat也建議可採用臨時替代的緩解措施，那就是針對system:authenticated群組當中，移除與kueue-batch-user-role有關的ClusterRoleBinding權限；再者，則是關於系統層級的使用者群組，避免對其授予廣泛的權限。</p> </div></div></div>
2025/10/2 11:22作者周峻佑https://www.ithome.com.tw/news/171476
傳聞蘋果即將進軍智慧眼鏡市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-10-01/apple-shelves-vision-headset-revamp-to-prioritize-meta-like-ai-smart-glasses" target="_blank">彭博社（Bloomberg）本周引述消息來源報導</a>，蘋果暫時擱置了<a href="https://www.ithome.com.tw/news/163634" target="_blank">對Vision Pro的翻修</a>，轉向投入智慧眼鏡的開發，最快會在2026年推出沒有顯示器的版本，並於2028年前發表可用來挑戰Meta Ray-Ban Display的顯示器版本。</p> <p>根據報導，蘋果智慧眼鏡將採用新晶片，配置可用來播放音樂的喇叭、錄製畫面的相機，以及可搭配iPhone使用的各種聲控功能，並正開發支援智慧眼鏡的健康追蹤功能。此外，儘管現在的蘋果連Siri的AI都搞不定，但蘋果智慧眼鏡將非常仰賴語音互動與AI。</p> <p>蘋果首款智慧眼鏡的內部開發代號為N50，必須與iPhone配對且並無顯示器，最快會在明年發表。同時蘋果也在開發配備顯示器的版本，原本計畫要在2028年推出，但正加速進行中。</p> <p>目前全球AI眼鏡的霸主為Meta，從2021年開始，Meta即與知名眼鏡集團EssilorLuxottica合作打造了Ray-Ban Stories、Ray-Ban Meta、Oakley Meta Glasses及Meta Ray-Ban Display等不同系列的產品線。其中，最熱門的是2023年發表的Ray-Ban Meta，已售出數百萬副，亦為全球最暢銷的AI眼鏡，而<a href="https://www.ithome.com.tw/news/171260" target="_blank">今年發表的Meta Ray-Ban Display</a>則是全球首款內建顯示器的AI眼鏡，售價為799美元。</p> </div></div></div>
2025/10/2 11:51作者陳曉莉https://www.ithome.com.tw/news/171477
WhatsApp修補鏈結裝置授權缺失，與Apple ImageIO漏洞可構成零點擊攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>獨立資安研究機構DarkNavy在X上<a href="https://x.com/DarkNavyOrg/status/1972260639101034950">展示</a>WhatsApp零點擊攻擊概念性驗證，該攻擊鏈串連WhatsApp應用與Apple系統中的兩個關鍵漏洞，最終可在被害裝置上執行任意程式碼。這兩個漏洞分別是WhatsApp的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-55177">CVE-2025-55177</a>，屬於鏈結裝置同步訊息的授權檢核缺失，Apple的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-43300">CVE-2025-43300</a>則是ImageIO在處理影像檔時，可能發生越界寫入並導致任意程式碼執行。</p> <p>CISA已將相關弱點納入KEV（Known Exploited Vulnerabilities）清單，顯示存在野外利用證據，建議盡速依廠商指引更新。</p> <p>依WhatsApp官方<a href="https://www.whatsapp.com/security/advisories/2025/">資安通報</a>，CVE-2025-55177影響iOS版WhatsApp低於2.25.21.73、iOS版Business低於2.25.21.78，以及WhatsApp for Mac低於2.25.21.78。此漏洞可能讓不相關的第三方在無互動情境下，誘使受害裝置從任意URL處理內容，官方研判此弱點與Apple平臺的作業系統層級漏洞CVE-2025-43300結合，並可能已在特定對象上遭到濫用。</p> <p>Apple於2025年8月20日釋出多項作業系統安全更新，於<a href="https://support.apple.com/en-mide/124925">iOS 18.6.2、iPadOS 18.6.2</a>、<a href="https://support.apple.com/en-us/124927">macOS Sequoia 15.6.1</a>與macOS Sonoma 14.7.8等版本修補CVE-2025-43300。Apple說明此為ImageIO的越界寫入問題，當系統處理特製影像檔時，可能導致記憶體破壞並被利用，且Apple已知有極具針對性且高度複雜的攻擊報告。後續Apple也向更舊裝置推送相關安全更新。</p> <p>WhatsApp應用層缺乏授權檢核，提供零點擊攻擊的入口，使目標裝置在未經使用者點擊情況下自動處理攻擊者指定的外部內容。隨後，攻擊鏈可在作業系統層由ImageIO的記憶體安全缺陷接續，並執行攻擊者控制的程式碼。</p> <p>WhatsApp使用者應確認iOS版至少為2.25.21.73、Business版2.25.21.78、Mac版2.25.21.78或更新，Apple平臺則應安裝包含CVE-2025-43300修補的最新系統版本。</p> </div></div></div>
2025/10/2 11:59作者李建興https://www.ithome.com.tw/news/171478
西捷航空資料外洩，證實120萬旅客護照等資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大航空業者西捷航空（WestJet Airlines）本周向主管機關證實，6月的網路攻擊造成120萬旅客護照及其他身份資料被竊。</p> <p><a href="https://www.westjet.com/en-ca/news/2025/advisory--cybersecurity-incident-" target="_blank">西捷航空在6月間公告網路攻擊事件</a>，造成內部系統無法運作，其WestJet App服務也中斷。</p> <p>經過三個多月的調查，西捷航空以電子郵件通知消費者資料外洩。這家航空公司說，外流的資料包括旅客姓名、出生日期、郵寄地址、以及旅行文件資料或其他政府身份證明、以及客訴等其他資料。但西捷航空表示，信用卡號、有效日期、檢查碼或帳號密碼沒有受到影響。</p> <p>根據<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/3f05cd3c-b473-468f-8577-b95f19ffd458.html" target="_blank">該公司向美國緬因州檢察長辦公室通報</a>，有120萬名客戶資料受影響。</p> <p><a href="https://www.bleepingcomputer.com/news/security/westjet-confirms-recent-breach-exposed-customers-passports/" target="_blank">資安媒體Bleeping Computer報導</a>，駭客是利用社交工程取得西捷航空員工Citrix憑證並重設員工密碼，得以存取該公司網路，最後登入其Windows及微軟雲端網路。</p> <p>沒有駭客組織出面承認犯案，不過6月份<a href="https://www.ithome.com.tw/news/169804" target="_blank">Bleeping Computer報導</a>，犯案者是當時也攻擊夏威夷航空及<a href="https://www.ithome.com.tw/news/169869" target="_blank">澳洲航空</a>的Scattered Spiders。</p> <p>同樣在今年年中遭駭的英國精品百貨業者<a href="https://www.ithome.com.tw/news/171418" target="_blank">哈洛德（Harrods）本周坦承</a>，在IT供應商被駭導致的資料外洩事件中，有43萬人受影響。</p> </div></div></div>
2025/10/2 10:58作者林妍溱https://www.ithome.com.tw/news/171474
微軟在Office軟體中加入代理人模式並於Copilot中首度引入Anthropic模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2025/09/29/vibe-working-introducing-agent-mode-and-office-agent-in-microsoft-365-copilot/" target="_blank">微軟宣布</a>在生產力套件Microsoft 365/Office的Word及Excel裏加入Microsoft 365 Copilot代理人模式（Agent Mode），可幫用戶出月報或摘要專案重點。此外，微軟也為Copilot Chat加入以Anthropic模型為基礎的Office Agent功能。</p> <p>Office中的代理人模式是透過其中的Microsoft 365 Copilot提供。目前先部署於Word和Excel，之後會推向PowerPoint。這個代理人能讓用戶在M365 Copilot以自然語言下提示提出要求，由代理人完成任務。微軟舉例Agent Mode in Word的提示，像是根據郵件中更新月報資料並和上月比較、更新專案進度及摘要、以及為文件下達標題或字體格式化指令。而在Agent Mode in Excel的提示例子，則包括建立營運財務月報、建立貸款計算機計算支出及利息、或家戶收支追蹤等。</p> <p>同時間，微軟也為Copilot加入以Anthropic為基礎的Office Agent代理人功能。這也回應<a href="https://www.ithome.com.tw/news/171119" target="_blank">上個月媒體報導</a>，微軟計畫Office AI功能引進Anthropic資源，來降低對OpenAI的依賴。</p> <p>這項新功能可讓用戶透過聊天互動執行Office任務，像是建立PowerPoint簡報或Word文件。微軟表示，過去兩年AI聊天機器人都還無法建立簡報，現在Office Agent讓使用者首度得以建立架構完整及美觀的Power Point檔案，以及研究嚴謹的Word文件。</p> <p>微軟舉例，以Anthropic模型為基礎的Office Agent在用戶下達指令，例如建立運動休閒服飾市場5大趨勢的簡報檔，它會釐清用戶意圖、執行深度研究並產出高品質內容。使用者也可以讓Office Agent建立商業計畫、退休儲蓄計畫或分析社交媒體趨勢等。</p> <p>二項服務中，代理人模式今日起已可提供給具有Frontier program（早鳥測試計畫） for Microsoft 365 Copilot授權者，以及M365 Personal、Family及Premium訂閱戶。Agent Mode現在可用於Web版，之後會擴展到桌機版。</p> <p>而Office Agent今天提供給美國的Frontier Program for M365 Personal、Family及Premium訂閱戶，Office Agent in M365 Copilot僅提供Web版，只支援英文。</p> </div></div></div>
2025/10/2 11:06作者林妍溱https://www.ithome.com.tw/news/171475
Google修補Gemini工具3漏洞，串連攻擊可致敏感資訊外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google已修補Gemini工具中3個彼此獨立但可串連利用的弱點，涉及Gemini Cloud Assist、Gemini Search Personalization與Gemini Browsing Tool。資安公司Tenable研究人員<a href="https://www.tenable.com/blog/the-trifecta-how-three-new-gemini-vulnerabilities-in-cloud-assist-search-model-and-browsing">發現</a>，攻擊者能將惡意指令植入受信任的輸入通道，觸發Gemini的工具呼叫，把使用者的已儲存資訊與位置等敏感資料帶往外部伺服器。Google在通報後已完成緩解並調整相關行為，降低實際風險。</p> <p>在Cloud Assist場景，問題出在人工智慧導引的日誌摘要流程會直接處理原始欄位內容，要是攻擊者將惡意內容寫入GCP日誌欄位，例如HTTP的User-Agent，當使用者在GCP Log Explorer請求Gemini解釋日誌時，這段文字可能被當成指令而非純資料。實際影響包含在摘要中出現具社交工程效果的連結，或引導進一步呼叫Cloud Asset API，查詢雲端資產與權限設定等資訊。Google的緩解措施是防止在此類摘要中出現可點擊超連結，並收緊輸出呈現，避免誤點與擴散。</p> <p>Search Personalization的風險來自模型引用使用者搜尋歷史作為個人化上下文，研究人員提到，當受害者造訪惡意網站，頁面可透過頂層導覽手法把多筆關鍵字寫入Chrome的搜尋紀錄，這些條目後續被Gemini視為上下文的一部分，內嵌的指令可能影響回覆，進而推導並暴露使用者的已儲存資訊與位置。Google已回退易受影響的個人化模型並持續強化防護，以降低透過歷史紀錄進行間接提示注入的機會。</p> <p>Browsing Tool則被用作資料外送的旁路，即使UI層面已限制圖片或超連結的呈現，攻擊者仍可設計提示，要求Gemini以瀏覽工具擷取特定URL，同時把使用者的敏感內容作為查詢參數，帶入HTTP請求。這種外洩發生在工具執行層，而非回覆算繪層，因而較不易被察覺，Google已封堵此類由間接提示注入觸發的瀏覽請求外洩行為，避免將私密資訊帶往攻擊者伺服器。</p> <p>前述3項工具漏洞，Cloud Assist與Search Personalization屬於間接提示注入的滲透途徑，而Browsing Tool也由間接提示注入觸發，但表現為在工具執行層將使用者敏感內容夾帶於URL查詢參數對外送出，3者可串連成一條從滲透到外洩的完整攻擊鏈。</p> </div></div></div>
2025/10/2 08:23作者李建興https://www.ithome.com.tw/news/171468
Meta釋出開放權重CWM，用世界模型強化程式碼生成能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta研究世界模型對程式碼生成能力的提升，<a href="https://huggingface.co/facebook/cwm">釋出</a>開放權重326億參數（32.6 B）模型<a href="https://ai.meta.com/research/publications/cwm-an-open-weights-llm-for-research-on-code-generation-with-world-models/">Code World Model（CWM）</a>，專門鎖定程式碼生成情境。與僅以靜態程式碼的訓練做法不同，CWM在預訓練與強化學習之間加入中期訓練（Mid-training），導入大量來自Python直譯器與容器化環境的觀察、動作軌跡，讓模型不只學會語法與範式，也能從實際執行過程推估狀態變化，具體提升錯誤定位與修補、長上下文程式分析以及多回合系統互動的效率與穩定性。</p> <p>CWM的訓練目標是在可驗證情境中提升推理與規畫能力。其中，在中期訓練階段特別加入兩類可觀測的資料來源，其一是大量Python程式在容器中的記憶追蹤，其二是多回合代理與計算環境的互動軌跡。隨後以多任務、多回合的可驗證增強學習（RL）進行後訓練，讓模型能逐步模擬程式執行與錯誤修補過程，接近開發者日常的執行、觀察、修正的流程。</p> <p>就基準測試成績來看，CWM在SWE-bench Verified 上，未啟用測試時擴展機制（Test-time Scaling，TTS）的單次作答正確率為53.9%，啟用後提升到65.8%，顯示在代理式工作流與TTS下有明顯的效能提升。在LiveCodeBench v5/v6分別為68.6/63.5，表現屬於開源模型前段水準，與Qwen3-Coder-32B、Devstral-1.1-24B互有領先。在數學任務中，Math-500達96.6%，屬於頂尖表現，但在AIME-24/25為76.0/68.2，落後於針對競賽題最佳化的Magistral與Qwen3系列模型。</p> <p>整體來看，CWM並非全能第一，但在程式理解、錯誤修復與容器化執行這些工程導向的場景表現突出，要是目標為長上下文程式分析、可驗證修補與系統互動，CWM的世界模型訓練與TTS設計更具實用價值。</p> <p>CWM的價值在於提供一個能觀察、推理、修正的實驗平臺，便於分析世界模型對程式碼生成與規畫的影響，並測試不同訓練階段對最終行為的貢獻。研究者可從釋出的各階段權重著手，評估中期訓練與增強學習在可驗證任務的效益，並觀察長上下文與多回合互動下的穩定性與可重現性。</p> </div></div></div>
2025/10/2 08:28作者李建興https://www.ithome.com.tw/news/171472
安全湖倉結合AI代理，Databricks推出企業即時防禦平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks發布人工智慧代理與即時回應的統一平臺<a href="https://www.databricks.com/blog/transforming-cybersecurity-data-intelligence">Data Intelligence for Cybersecurity</a>，定位為可與既有SIEM、SOAR、XDR並存的資料與分析層。該平臺透過將安全、IT與業務資料統一到單一開放湖倉，並以人工智慧代理協助即時偵測、調查與回應。</p> <p>Data Intelligence for Cybersecurity核心元件之一為Agent Bricks，提供面向安全情境的人工智慧代理能力。企業可在受治理的環境中建立並部署代理，處理警報分流、事件調查與回應，並透過自然語言介面將調查脈絡傳遞給決策者。依權限設定，代理可協調外部系統執行例如帳號停權等自動化動作，並完整留存處置脈絡以利追溯。</p> <p>資料面由Lakebase提供即時SecOps所需的交易處理與查詢能力。Lakebase是與湖倉緊密整合的全代管無伺服器Postgres，接受高頻寫入並支援低延遲查詢，藉由與既有堆疊整合，降低跨系統資料搬運與重複。</p> <p>Databricks One與AI/BI Genie則是提供給分析人員與業務主管的自助工具，支援自然語言追問、儀表板檢視與事件深入探索，讓非資料科學背景的使用者也能從統一的資料脈絡取得可操作結論。</p> <p>Databricks同步公布合作生態，涵蓋郵件安全、敏感資料治理、內容偵測、資料指揮、代管SOC與顧問等領域，用戶可以串接這些第三方功能與平臺整合使用。</p> </div></div></div>
2025/10/2 08:33作者李建興https://www.ithome.com.tw/news/171473
【資安日報】10月1日，中國駭客Phantom Taurus鎖定外交官、大使館從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期中國APT駭客的活動頻頻出現在資安新聞版面，但近期有個較為特別的現象，就是有資安業者確認原本長期追蹤的駭客組織，竟是中國政府在背後撐腰的APT駭客。繼上週資安業者Recorded Future揭露名為RedNovember的駭客組織，本週資安業者Palo Alto Networks也公布另一組APT駭客Phantom Taurus，並指出他們追蹤兩年多以來，今年手法出現大幅變化。</p> <p>另一個與中國駭客有關的消息，是VMware修補Aria Operations、VMware Tools權限提升漏洞CVE-2025-41244，通報此事的資安業者Nviso透露，中國駭客UNC5174從一年前就將其用於攻擊行動。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171460"><strong style="font-size: 22px;">中國駭客Phantom Taurus鎖定外交官、大使館而來，入侵SQL Server收集情報</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-123879-158604-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-123879-158604-2.png" style="width: 300px; float: right;" /></a></p> <p>上個月底資安業者Recorded Future指出，他們自去年以代號TAG-100（現稱為RedNovember）追蹤的駭客組織，根據他們進一步分析的結果，這些駭客極可能有中國政府在背後撐腰，如今有其他資安業者也表示，他們長期追蹤的駭客組織，確認是與中國政府有關的國家級駭客。</p> <p>資安業者Palo Alto Networks指出，他們從兩年前先後以代號CL-STA-0043、TGR-STA-0043追蹤的駭客組織，現在該公司確認這組人馬是中國資助的APT駭客，並將其命名為Phantom Taurus。這些駭客過往曾鎖定亞洲、中東、非洲的政府機關及電信組織，主要目標是網路間諜活動，攻擊者關注的領域，涵蓋外交部、大使館、地緣政治事件，以及軍事行動，收集與中國軍事利益相關的情報，而且，他們活動的時間與範圍，經常與重大全球事件或地區安全事件符合。</p> <p>而對於Phantom Taurus與其他中國APT駭客組織之間的關連，目前已知他們與多個駭客組織，如APT27、Winnti、Mustang Panda，共用部分基礎設施，但這些駭客採用了其他駭客沒有的基礎設施元件，因此Palo Alto Networks認為這是一個新的駭客組織。</p> <p><a href="https://www.ithome.com.tw/news/171454"><strong style="font-size: 22px;">VMware修補Aria Operations、VMware Tools權限提升漏洞，中國駭客從一年前用於零時差攻擊</strong></a></p> <p>9月29日VMware針對旗下的Aria Operations與VMware Tools發布更新，修補資安漏洞CVE-2025-41244、CVE-2025-41245、CVE-2025-41246，其中，通報CVE-2025-41244的資安業者指出，中國駭客UNC5174將其用於實際攻擊，最早可追溯到去年10月中旬。</p> <p>CVE-2025-41244是本機權限提升漏洞，攻擊者若是能在沒有管理員權限的情況入侵虛擬機器（VM），就有機會以此漏洞將自己的權限提升為root，CVSS風險值為7.8。不過，攻擊者要利用上述漏洞存在必要條件：VM本身已部署VMware Tools，並受到Aria Operations管理，而且，Aria Operations也要啟用服務探索管理套件（Service Discovery Management Pack，SDMP）的功能。該公司指出，這項漏洞不光影響Aria Operations、VMware Tools，也影響VMware Cloud Foundation、VMware Telco Cloud Platform，以及VMware Telco Cloud Infrastructure。</p> <p>這項漏洞由資安顧問公司Nviso發現及通報，他們在今年5月下旬調查UNC5174事故時，察覺異常指標，進一步確認是零時差漏洞，於是5月底向Broadcom通報此事。Nviso發布部落格說明，他們確認UNC5174確實將其用來進行本機權限提升，但無法確定駭客是無意間觸發漏洞，還是已將其納為武器庫的一部分。</p> <p><a href="https://www.ithome.com.tw/news/171462"><strong style="font-size: 22px;">今年6月修補的Sudo重大漏洞，美國指出已被用於實際攻擊</strong></a></p> <p>今年6月Sudo團隊發布1.9.17p1版，修補本機權限提升漏洞CVE-2025-32462、CVE-2025-32463，其中風險程度達到重大層級的CVE-2025-32463（4.0版CVSS風險值為9.3），美國政府警告已被用於攻擊行動，近期再度引起資安界關注。</p> <p>9月29日美國網路安全暨基礎設施安全局（CISA）提出警告，他們掌握有5個資安漏洞遭到利用的跡象，列入已遭利用的漏洞名單（KEV），要求聯邦機構必須在10月20日完成修補，其中一個就是CVE-2025-32463。</p> <p>雖然CISA並未透露漏洞如何遭到利用，但在通報此事的資安業者Stratascale於6月底公布細節後，不到一週的時間就有研究人員製作概念驗證（PoC）程式碼。而在CISA將其列入KEV的同一天，有資安部落格公布更為詳細的資訊。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/171407"><strong style="font-size: 22px;">美國聯邦機構未及時修補遭GeoServer已知漏洞攻擊，駭客試圖上傳中國菜刀及各式作案工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Overview of Threat Actor Activity.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Overview%20of%20Threat%20Actor%20Activity.jpg" style="width: 300px; float: right;" /></a></p> <p>去年6月下旬OSGeo發布2.25.2版地理位置資訊伺服器GeoServer，修補重大層級的漏洞CVE-2024-36401（CVSS風險值9.8），隔月美國網路安全暨基礎設施安全局（CISA）表明已被用於攻擊行動，列入已遭利用的漏洞名冊（KEV），一年後CISA指出，有聯邦機構在漏洞公布不久後就遭遇相關攻擊，並公布事故的細節。</p> <p>針對這起漏洞攻擊事故，CISA指出突顯了受害組織存在3項問題而釀禍，包含漏洞未及時修復、事故應變計畫（Incident Response Plan，IRP）未測試或執行，以及並未持續檢視EDR系統的警示訊息。</p> <p>對此，他們呼籲企業組織應優先修補曝露在網際網路的應用系統，緩解已遭利用的漏洞，以及重大層級的漏洞，來減少被入侵的攻擊面。企業組織要藉由維護、演練、改善事故應變計畫，為因應資安事件做好準備。此外，也要集中化實作全面且詳細的事件記錄，並進行彙總。</p> <p><a href="https://www.ithome.com.tw/news/171413"><strong style="font-size: 22px;">Akira勒索軟體攻擊行動突破SonicWall防火牆MFA防護</strong></a></p> <p>7月份SonicWall防火牆遭Akira勒索軟體攻擊，安全研究人員近日發現，駭客能突破SonicWall的多因素驗證（MFA）成功感染勒索軟體。</p> <p>兩個月前安全廠商Arctic Wolf Labs偵測到一波針對SonicWall SSL VPN裝置的勒索軟體攻擊。駭客先是掃描傳輸埠、以滲透測試工具Impacket利用SMB協定在受害者網路執行指令，在幾分鐘內就在受害者網路上部署勒索軟體。</p> <p>在最新研究中，Arctic Wolf發現攻擊者用以攻擊SonicWall SSL VPN的基礎架構更加強化。證據顯示多個VPN帳號可被快速成功登入，且有同一VPN用戶端IP位址用於重覆成功登入，甚至有定期登入活動，這顯示並非典型合法利用帳號，駭客們可能增加了新的基礎架構，使其得以執行指令碼自動化驗證過程。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-actively-probe-palo-alto-pan-os-globalprotect-vulnerability/">Palo Alto Networks防火牆滿分漏洞傳出有人進行大規模掃描</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/veeam-rce-exploit/">駭客聲稱掌握Veeam備份軟體的RCE漏洞，在暗網開價7千美元兜售</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/smishing-exploit-cellular-routers/">簡訊網釣鎖定比利時而來，挾持路由器犯案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/westjet-confirms-recent-breach-exposed-customers-passports/">西捷航空資料外洩，證實旅客護照外流</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/whatsapp-0-click-flaw/">針對WhatsApp日前修補的零點擊漏洞，攻擊者可透過惡意DNG檔觸發</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171408"><strong style="font-size: 22px;">微軟、Palo Alto Networks、SentinelOne宣布退出MITRE資安評測，引發外界質疑測試機制失焦</strong></a></p> <p>針對EDR偵測能力評比的年度評估計畫MITRE ATT&CK Evaluations，自2019年開始每年舉行，然而今年有3家主要資安廠商宣布退出，引發業界對這項計畫的公信力出現疑慮。</p> <p>根據資安新聞網站Infosecurity Magazine的報導，6月微軟宣布不參加今年MITRE Engenuity ATT&CK Evaluations: Enterprise的評測，9月12日SentinelOne與Palo Alto Networks也確認會退出今年的測試。由於微軟去年底利用評測結果推廣Microsoft Defender XDR，今年該公司卻帶頭宣布不參與MITRE評測，相當讓人意外。而對於不參加評測的原因，3家公司不約而同表示，他們希望能專注在產品的研發及創新。</p> <p>對此，我們也透過代理商及公關公司進行了解。SentinelOne與Palo Alto Networks皆重申，以12日發布的聲明為主，SentinelOne強調，他們仍是MITRE堅定的支持者與倡導者，但他們根據內部的決定，打算將資源轉向以客戶為中心的計畫，以及產品發展藍圖。</p> <p><a href="https://www.ithome.com.tw/news/171293"><strong style="font-size: 22px;">物理AI發展潛力無窮，「具身AI」資安強化將成為IT重大議題</strong></a></p> <p>臺北市政府引進機器狗引發的討論，不僅揭示了資安風險，也將大眾目光引向機器人技術的深層變革。在過去，各界對機器人的印象，多半停留在工業生產線上的傳統機器手臂，或依循預設路徑巡邏的自動化載具。這些傳統機器人本質上是一種「自動化工具」。VicOne LAB R7實驗室負責人張裕敏表示，傳統機器人能夠精確地重複執行預設動作，例如搬運物品、跳舞，但一旦環境發生變化或遇到未知情境，便會顯得笨拙且無能為力，因為它們缺乏真正的「理解」和「推理」能力。</p> <p>隨著人工智慧，特別是大型語言模型（LLM）的飛速發展，機器人正經歷一場智慧心靈的覺醒，轉型為具備學習、理解與應變能力的「具身AI機器人」。張裕敏強調，目前大眾對機器人資安的認識仍顯不足，臺北市政府引進機器狗所引發的爭議，恰好是一個絕佳的警醒：若不加以重視，三年後，當機器人已經更廣泛應用時，我們恐將面臨一場「大災難」。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171444"><strong>【9月30日】中國宇樹AI機器人存在資安漏洞UniPwn</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171403"><strong>【9月26日】資安院漏洞獵捕計畫正式推出</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171374"><strong>【9月25日】中國駭客RedNovember滲透多國，臺灣國防、半導體遭鎖定</strong></a></p> </div></div></div>
2025/10/1 18:07作者周峻佑https://www.ithome.com.tw/news/171463
Line Go與foodpanda、WeMo合作擴大移動即服務版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內叫車平臺業者Line Go持續擴大移動即服務MaaS(Mobility as a Service)，與foodpanda、WeMo合作，從叫車、租車、機場接送服務，擴大至美食外送、共享機車。</p> <p>Line Go原為Line Taxi，有別於Uber為獨立的叫車服務，Line Go與計程車業者合作，在Line平臺專門提供叫車服務，用戶不需要另外安裝App，只要透過Line的聊天機器人就能線上叫車。2023年裕隆投資Line Taxi所屬的觔斗雲聯網，Line Taxi改名為Line Go，通過與裕隆的合作，從原本的計程車叫車，提供租車、機場接送才務，並正式揮軍國內MaaS移動即服務市場。</p> <p>目前Line Go用戶數已突破470萬，合作的司機數也超過1.5萬，並號稱旗下擁有超過1萬輛的電動車，為國內最大的減碳車隊。今天(10/1)Line Go與foodpanda、WeMo的合作，再擴大MaaS服務，提供美食生鮮雜貨外送及共享機車服務，Line Go總經理林子原指出，未來將結合社群與技術，打造Social MaaS的數位生活圈，不只滿足其交通移動的需求，還串聯用戶的社交、消費與生活。</p> <p>與WeMo的合作，讓Line Go從四輪的移動服務擴大到二輪的共享機車，以滿足用戶的短程移動需要，該服務在9月搶先上線，用戶可以直接在Line Go服務平臺上，選擇使用共享機車，不需額外安裝WeMo App，就能直接在Line Go的電子地圖介面上，查看附近可供租用的WeMo電動機車，在服務範圍內隨租隨還，該服務涵蓋臺北、新北、臺中、臺南、高雄。</p> <p>共享機車計費方式和WeMo的計費相同，共享機車服務上線後，讓原本不曾接觸共享機車的Line Go用戶，首次使用共享機車，顯示Line Go與WeMo的雙方合作，除了為Line Go擴大移動服務工具之外，也為WeMo增加新的用戶。</p> <p>至於Line Go和foodpanda的合作，提供生鮮雜貨、美食外送服務，但用戶使用foodpanda的服務，會自動引導至foodpanda的App。</p> <p>在Line Go上使用叫車、租車、機場接送、代駕，或是共享機車、美食外送，消費可累積會員點數，這些點數可兌換叫車、租車、代駕等折扣券，吸引用戶下次繼續使用其服務。</p> <p>目前Line Go持續深化科技運用，以核心的叫車服務為例，已利用機器學習技術，根據用戶叫車所累積的大量乘車數據，找出乘車的熱區，優化計程車的派遣服務，來提供媒合叫車成功率，讓計程車新手司機不會因經驗限制，降低叫車媒合成功率。</p> <p>Line Go共同創辦人暨技術長黃佩恩指出，目前新司機的接單率提升30%，首輪派遣接單率也提升12%，整體的平臺媒合率提升4%。除了科技，未來Line Go也會深化Social MaaS，例如共乘服務，由主揪人發起，號召其他用戶共乘。</p> <p>而在企業叫車方面，已有1,500家企業用戶的Line Go，今年增加企業叫中中控平臺，讓企業可為特定員工叫車，並提供碳排管理，可根據企業叫車所搭乘的油車或電動車，來計算每次叫車的碳排量，提供企業員工差勤交通的碳排管理。</p> </div></div></div>
2025/10/1 18:40作者蘇文彬https://www.ithome.com.tw/news/171471
微軟、Palo Alto Networks、SentinelOne宣布退出MITRE資安評測，引發外界質疑測試機制失焦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對EDR偵測能力評比的年度評估計畫MITRE ATT&CK Evaluations，自2019年開始每年舉行，然而今年有3家主要資安廠商宣布退出，引發業界對這項計畫的公信力出現疑慮。</p> <p>根據<a href="https://www.infosecurity-magazine.com/news/cyber-vendors-pull-out-mitre/">資安新聞網站Infosecurity Magazine的報導</a>，6月<a href="https://techcommunity.microsoft.com/blog/microsoftdefenderatpblog/microsoft%E2%80%99s-participation-in-mitre-attck%C2%AE-evaluations-enterprise-2025/4422639">微軟宣布不參加今年MITRE Engenuity ATT&CK Evaluations: Enterprise的評測</a>，9月12日<a href="https://www.sentinelone.com/blog/sentinelone-and-the-mitre-attck-evaluations-enterprise-2025/">SentinelOne</a>與<a href="https://www.paloaltonetworks.com/blog/security-operations/palo-alto-networks-and-mitre-attck-evaluations-enterprise-2025/">Palo Alto Networks</a>也確認會退出今年的測試。由於微軟去年底利用評測結果推廣Microsoft Defender XDR，今年該公司卻帶頭宣布不參與MITRE評測，相當讓人意外。而對於不參加評測的原因，3家公司不約而同表示，他們希望能專注在產品的研發及創新。</p> <p>對此，我們也透過代理商及公關公司進行了解。SentinelOne與Palo Alto Networks皆重申，以12日發布的聲明為主，SentinelOne強調，他們仍是MITRE堅定的支持者與倡導者，但他們根據內部的決定，打算將資源轉向以客戶為中心的計畫，以及產品發展藍圖。</p> <p>究竟這些資安業者退出的理由為何？有資安專家認為原因與評測可能已經失焦有關。CrowdStrike工程總監Igal Gofman形容，<a href="https://www.linkedin.com/feed/update/urn:li:activity:7373716682176958464/">這項評測就像網路安全的奧林匹克</a>，就像是皇冠上的明珠，參加的資安業者會以此標榜產品的能力，然而他也認為，這項年度評測最近幾年已變成資安業者的舞臺，形容是「廠商的劇場（Vendor Threater）」，業者投入大量資源贏得名聲，而非真正的資安改進。再者，現在MITRE與美國網路安全暨基礎設施安全局（CISA）面臨預算削減的壓力，使得部分業者開始考量退出的可能性。</p> <p>Infosecurity Magazine向MITRE首席技術長Charles Clancy進一步了解此事，他透露負責相關評測的團隊每年都設法讓難度增加，但今年有可能已經做得太過頭。他指出MITRE為了推動整個產業向前發展，每年都會希望設計比前一年的測試項目，讓廠商為了取得更好的成績而升級產品。然而，有時候MITRE沒有取得適當的平衡。對此，<a href="https://www.linkedin.com/feed/update/urn:li:activity:7374286632981676032/">MITRE計畫在明年重啟供應商論壇</a>，與業界溝通，設定每年測試目標。但這種因為應試者表示考試範圍太廣、準備太耗費資源、難度太高，出題者後續才表示要和應試者協調如何出題的情況，恐怕會影響MITRE企業評估的公信力。</p> <p>另一個耐人尋味的地方，是Infosecurity Magazine取得網路監控軟體解決方案業者ManageEngine的說法，該公司表達他們著手打造EDR解決方案，並打算參與Gartner端點防護平臺（EPP）的魔力象限，以及MITRE明年舉辦的評測。這種大廠退出、新興業者積極參與的情況，是否會讓MITRE的評測日益窄化，成為僅有新興廠商展現產品與服務實力的舞臺？對於實務上企業需要對市場所有解決方案評估採用的需求，能否能繼續提供參考價值？有待進一步觀察。</p> </div></div></div>
2025/10/1 16:26作者周峻佑https://www.ithome.com.tw/news/171408
Stripe推出穩定幣發行平臺Open Issuance
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融科技業者<a href="https://www.ithome.com.tw/news/165607" target="_blank">Stripe在去年10月買下穩定幣基礎設施供應商Bridge</a>之後，本周二（9/30）正式推出<a href="https://stripe.com/blog/introducing-open-issuance-from-bridge" target="_blank">與美元掛鉤的穩定幣發行平臺Open Issuance</a>。</p> <p>2010年創立的Stripe主要提供線上支付及商務基礎建設，它讓企業可輕鬆在網路上收款、付款、開立帳戶、發卡或管理財務，被譽為網路世界的金融後臺。例如它支援信用卡、轉帳或Apple Pay等上百種支付方式；提供快速整合至網站的結帳頁面；協助平臺管理供應商的收付款；提供訂閱與自動帳單系統；幫企業發行虛擬或實體信用卡；亦支援穩定幣、錢包及加密支付等功能。包括：Amazon、Shopify及OpenAI都是Stripe客戶。</p> <p>當初Stripe並未針對買下Bridge多作說明，而今則說Open Issuance是源自Bridge。</p> <p>Open Issuance是一個讓任何企業都能發行與管理自家穩定幣的新平臺，宣稱企業只需要幾天就能發行自己的穩定幣，並由負責相關的儲存資產管理、安全性、流動性及合規問題；企業可自由設定所支援的區塊鏈、智慧合約功能，以及儲備組合；此外，所有透過Open Issuance發行的穩定幣皆可以一比一互換，以建立統一的流動性池，只要藉由Bridge API即可即時交換；平臺也會提供上下匯管道、錢包整合，以及各種API與開發工具。</p> <p>發行自家穩定幣的優點還包括可享有儲備資產的利息回報，不再受限於外部發行者的收費及開發路線，亦可擁有完整的經濟控制權。</p> <p>Open Issuance主要鎖定加密貨幣平臺、金融科技公司、大型企業與跨國集團，以及銀行及金融機構，因為這些領域的業者可能更想要掌握穩定幣的經濟模式，發展更多元的穩定幣功能，提升跨境資金的調度效率，以及整合傳統帳戶服務與建立新產品等。</p> <p>Open Issuance的首個應用為加密貨幣錢包Phantom Wallet。Phantom Wallet在新平臺上發行了穩定幣CASH，讓旗下1,500萬用戶可以使用CASH來消費、轉帳、在DeFi中使用，或是兌換成法幣或其它穩定幣。</p> <p>未來原本由Bridge所發行的代幣也都會轉移到Open Issuance平臺，包括另一個美元穩定幣USDH，並將迎來更多由其它業者發行的穩定幣。</p> </div></div></div>
2025/10/1 16:31作者陳曉莉https://www.ithome.com.tw/news/171461
今年6月修補的Sudo重大漏洞，美國指出已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月Sudo團隊<a href="https://www.ithome.com.tw/news/169928">發布1.9.17p1版</a>，修補本機權限提升漏洞CVE-2025-32462、CVE-2025-32463，其中風險程度達到重大層級的CVE-2025-32463（4.0版CVSS風險值為9.3），美國政府警告已被用於攻擊行動，近期再度引起資安界關注。</p> <p>9月29日<a href="https://www.cisa.gov/news-events/alerts/2025/09/29/cisa-adds-five-known-exploited-vulnerabilities-catalog">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，他們掌握有5個資安漏洞遭到利用的跡象，列入已遭利用的漏洞名單（KEV），要求聯邦機構必須在10月20日完成修補，其中一個就是CVE-2025-32463。</p> <p>雖然CISA並未透露漏洞如何遭到利用，但在通報此事的資安業者Stratascale於6月底公布細節後，不到一週的時間<a href="https://github.com/mirchr/CVE-2025-32463-sudo-chwoot/blob/main/sudo-chwoot.sh">就有研究人員製作概念驗證（PoC）程式碼</a>。而在CISA將其列入KEV的同一天，有資安部落格公布更為詳細的資訊。</p> <p><a href="https://nullsecurityx.codes/cve-2025-32463-local-privilege-escalation-vulnerability-sudo">資安部落格NullSecurityX指出</a>，這項漏洞發生的根本原因，是邏輯錯誤造成，使得sudo在chroot環境當中以root權限處理特定的組態檔案/etc/nsswitch.conf，使得攻擊者有機會惡意操控，並載入自製的.so程式庫檔案。</p> <p>該部落格揭露如何將漏洞用於攻擊的步驟。首先，攻擊者置Chroot環境，建立假的root結構，並偽裝成名稱服務交換器（Name Service Switch，NSS）尋找的路徑。接著，研究人員設置假的NSS組態檔案/etc/nsswitch.conf，並指向駭客自製的NSS模組。</p> <p>接著，他們編譯.so檔案，並放入特定的程式庫路徑，下達Sudo指令觸發漏洞，最終系統載入惡意.so檔案，使得攻擊者能成功提升權限。</p> </div></div></div>
2025/10/1 17:44作者周峻佑https://www.ithome.com.tw/news/171462
【資安月報】2025年9月，臺灣企業組織的資安預算創新高，總統公布資安法修正通過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年9月資安新聞，關注多項臺灣資安防護相關消息揭露之餘，還有4大威脅焦點同樣值得我們重視，包括企業Salesforce資料遭鎖定突顯語音網釣及供應鏈攻擊的態勢，以及零時差漏洞攻擊、AI機器人及機器狗新興威脅、AI Agent風險與軟體供應鏈攻擊等，還有國內外重大資安事件。以下整理出7大焦點，幫助大家回顧本月重要新聞。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（一）臺灣多項資安防護態勢與新舉措</strong></span></p> <p>在資安防禦進展上，臺灣有多項重要消息揭露，以下為我們關注的6項：</p> <p>●iThome 2025企業資安大調查的結果出爐，今年資安預算平均金額突破2千萬創新高，而且其占IT預算比例，快要接近1成，顯現企業對資安投入的持續提升。<br /> ●《資通安全管理法》修正案於8月29日立法院三讀通過，9月24日總統正式對外公布，以回應國內外資安環境快速變遷的挑戰。<br /> ●資安署長蔡福隆在數位政府高峰會上，揭示我國最新資通安全發展，提及各機關應減少繁瑣資安應辦事項要求，增加技術面的處理，並將從明年起推動分級稽核。<br /> ●資安院公布推動中小企業與NGO增進防禦的最新成果，包含引進UC Berkeley Cybersecurity Clinic課程課綱，以打造資安健檢團。<br /> ●資安院推動臺灣製造商建立產品安全，公布產品資安漏洞獵捕計畫正式開放報名，並強調建立通報產品安全管道、SBOM管理在國際間漸開始成為強制要求。<br /> ●國際半導體展資安趨勢高峰論壇舉行，公布臺灣有11家半導體設備商的產品通過實驗室合格性驗證，並正式啟動SEMI E187半導體設備資安認驗證制度。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（二）Salesforce用戶的客戶資料遭鎖定：突顯語音網釣、供應鏈攻擊態勢</strong></span></p> <p>攻擊者鎖定Salesforce用戶竊取資料，相關事故在上個月頻頻登上新聞版面，到了9月持續有消息傳出，其中美國FBI發布的警報最值得關注，當中針對兩大駭客組織威脅手法示警。首先，UNC6040（ShinyHunters）駭客組織的攻擊是針對其用戶發動語音網釣，以技術支援詐騙手法鎖定企業客服人員騙取權限；另一UNC6395駭客組織的攻擊是針對第三方供應商Salesloft，鎖定其Salesforce整合的Drift應用程式，竊取OAuth token後而入侵。</p> <p>值得關注的是，關於上述供應鏈攻擊的調查結果，Salesloft後續公布更多詳情，他們指出最早攻擊活動是在今年3月到6月，當時駭客就試圖存取該公司的GitHub儲存庫，最終成功入侵Drift所使用的AWS環境，進而竊取了Drift客戶的OAuth憑證，因此能從客戶環境非法存取與Drift整合的資料。另外，由於持續曝光的受害企業大多位於國外，在我們向Salesforce詢問之後，得知Salesloft Drift的主要服務市場在美國，臺灣並無企業受此事件影響。這些事件再次突顯語音網釣、供應鏈攻擊的危害，仍是駭客持續利用且有效的攻擊手法。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（三）零時差漏洞攻擊威脅持續嚴峻</strong></span></p> <p>本月多起零時差漏洞攻擊新聞中，思科產品成為駭客的首要目標，有兩則零時差漏洞攻擊消息，一是鎖定IOS或IOS XE的漏洞CVE-2025-20352，另一是鎖定防火牆ASA與FTD系列產品的漏洞CVE-2025-20333、CVE-2025-20362。值得關注的是，這類威脅也擴及客戶關係管理系統（CRM），Sitecore的漏洞CVE-2025-53690亦被駭客先一步挖掘並用於攻擊，目的是植入名為WeepSteel的後門程式。此外，CVE-2025-10585是今年以來第6個Chrome零時差漏洞攻擊，使得Chromium為基礎的多款瀏覽器緊急修補，突顯瀏覽器持續是攻擊者的重要目標。</p> <p>還有一則漏洞攻擊活動值得國內留意，是郵件伺服器系統Roundcube今年6月公布的重大漏洞CVE-2025-49113，臺灣資安業者TeamT5杜浦數位安全指出，中國駭客組織CamoFei（ChamelGang）自4月就於攻擊行動鎖定該漏洞，目的是植入Godzilla後門程式及RAT木馬Pupy，臺灣亦有教育機構受害。</p> <p>另外，Apple近來時常對其用戶發出威脅通知，這類通知通常對應利用零時差或零點擊的間諜軟體攻擊，值得注意的是，法國CERT-FR特別提醒民眾不要破壞證據，呼籲收到通知的用戶應立即保存證據，避免自行操作裝置，以利後續調查。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（四）新興威脅浮現：AI機器人及機器狗</strong></span></p> <p>隨著人型機器人、巡檢機器狗的應用發展浪潮，在全球已有許多國家導入使用，相關資安議題隨之浮出檯面。2025年9月，我們針對「具身AI機器人」資安威脅進行封面故事報導，解析這類具備感知、決策、行動能力的新科技，隨著能力增強，我們必須持續改良其安全性，因為這不僅是技術革新，更是對社會、經濟，乃至國家安全帶來全新考驗的轉折點。</p> <p>這次報導中，我們解析了具身AI機器人的資安風險，範圍涵蓋AI模型LLM、視覺語言模型（VLM）的保護，ROS系統元件及機器人供應鏈安全性，以及雲地架構挑戰等，同時我們也解析五大攻擊面，包括物理實體、感知器、無線通訊、軟體與雲端應用、AI模型，並說明資安檢核項目發展，希望協助各界建立必要的防護措施，才能更好享受科技帶來的便利。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（五）AI Agent風險與軟體供應鏈攻擊成焦點</strong></span></p> <p>在資安威脅態勢上，還有兩個值得關注的議題，一是AI Agent風險，另一是軟體供應鏈攻擊。</p> <p>關於AI Agent風險的最新消息，例如，有研究人員揭露ShadowLeak零點擊攻擊，以及日前Notion 3.0推出並增加AI Agents與MCP的整合功能，有研究人員發現其AI代理可遭間接提示注入操控。此外，還有駭客濫用新推出的AI滲透測試自動化平臺HexStrike-AI，將防禦者使用的資安測試工具，作為其攻擊行動使用的工具；而在AI業者Anthropic發布的每月威脅情報調查報告中，還提及發現有人將AI代理置入攻擊鏈，從事Vibe Hacking活動的情形。</p> <p>關於軟體供應鏈攻擊的最新消息，熱門套件開發人員遭網釣最受關注，該開發者因為誤信假冒NPM客服寄來的更新憑證釣魚信，導致開發者帳號遭奪取，導致每週下載量達26億次的18款熱門NPM套件被植入惡意軟體。還有發現能植入具大量散播能力蠕蟲的「Shai-Hulud」軟體供應鏈攻擊，2天逾500個NPM套件受影響；以及Nx供應鏈攻擊事件影響擴大，導致6,700多個GitHub私有儲存庫被公開。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（六）臺灣重大資安事件</strong></span></p> <p>本月臺灣重大資安事故，以上市櫃公司於公開資訊觀測站的公告而言，總計有7則資安重大訊息發布。</p> <p>●第二週有6起：夠麻吉、政申分別揭露有系統遭駭客網路攻擊；奈米醫材公布子公司遭遇變更股利匯款帳戶的詐騙；智擎指稱官方網站代管廠商遭DDoS攻擊。還有鑫聯大投控代子公司捷元說明其B2B採購平臺遭異常下單，中信金代子公司台灣人壽保險說明因違法保險法及個資法被金管會開罰。<br /> ●第三週有1起，致茂揭露資訊系統遭受駭客網路攻擊。<br /> 另外，臺灣壽司郎有個資外洩事故曝光，因會員收到他人點數到期通知，該公司表示是系統的發送電子郵件程序出現異常。</p> <p>特別的是，還有一項需要留意的消息，早在2019年停止維護的搜狗注音輸入法，趨勢科技發現有攻擊者挾持其更新伺服器並註冊網域，對臺灣用戶發動網路間諜行動，散布多種惡意軟體。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（七）國際間嚴重資安事故</strong></span></p> <p>走出臺灣，國際間有多則重大資安事故消息，有些事故災情相當嚴重，像是車廠停工一個月仍未復原的狀況，其他還涵蓋金融、政府、醫療的事故。在此我們列出6大事件：<br /> ●英國車廠Jaguar Land Rover（JLR）9月初發生資安事故，當地有兩座工廠停擺，9月底仍未恢復運作，甚至英國政府計畫將提供資金貸款擔保，避免仰賴JLR的供應商破產，以及JLR與上游廠商的可能裁員風險。<br /> ●歐洲多個機場發生航班延誤與取消情形，原因是提供自動化登機和行李處理MUSE系統的Collins Aerospace遭駭，造成櫃臺辦理登機手續混亂，該公司事發一週仍在逐步復原。<br /> ●中國「防火長城」爆發史上最大資料外洩事件，也意外曝光其網路審查技術已輸出他國的電信系統與資料中心，例如，緬甸、巴基斯坦、衣索比亞、哈薩克等。<br /> ●越南國家信用資訊中心（CIC）遭網路攻擊，駭客組織ShinyHunters聲稱從CIC資料庫竊得超過1.6億筆記錄。<br /> ●巴拿馬經濟暨財政部（MEF）揭露遭遇網路攻擊事件，INC Ransom勒索軟體聲稱已竊取其1.5TB的資料。<br /> ●巴西醫療軟體供應商MedicSolution傳出遭駭，勒索軟體組織KillSec聲稱是他們所為，此事件並波及多家醫療機構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171141"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0901~0905，已棄用的輸入法軟體更新伺服器遭挾持，駭客用於對臺發動目標式攻擊</span></strong></a></h3> <p>在9月第一週的資安新聞當中，專門鎖定臺灣的攻擊行動相當特別，因為駭客挾持了不再使用的輸入法軟體更新伺服器從事活動，一旦使用者不慎安裝、使用，數個小時後駭客就會派送惡意程式；另一方面，Salesloft Drift供應鏈攻擊事故有擴大的趨勢，有越來越多企業組織表示，他們的Salesforce系統受到波及，出現資料外洩的情形</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171185"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0908~0912，再有CRM平臺遭駭客鎖定，Sitecore遭零時差漏洞攻擊</span></strong></a></h3> <p>在2025年9月第二星期的資安新聞中，多家IT大廠發布每月例行安全更新的公告，揭露與修補近期掌握的弱點，攻擊者盯上CRM平臺Sitecore發動零時差漏洞攻擊也成焦點；國內多家上市櫃公司發布資安重訊，共有6則事件，涵蓋：夠麻吉、政伸、奈米醫材、智擎，以及兩家上市櫃公司的子公司：捷元與台灣人壽</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/171322"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0915~0919，中國駭客組織CamoFei鎖定郵件伺服器系統Roundcube漏洞攻擊，臺灣有教育機構受害</span></strong></a></h3> <p>回顧2025年9月第三星期的資安新聞，以中國駭客CamoFei積極利用郵件伺服器系統Roundcube漏洞的消息最後矚目，臺灣也有教育機構受害；國際間有兩大威脅態勢，包括DDoS攻擊的殭屍網路規模更擴大，NPM開發者遭攻擊的消息不斷，還有中國「防火長城」爆發史上最大資料外洩事件，並顯現網路審查技術已輸出他國</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171404"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0922~0926，歐洲多個機場發生登機系統遭駭，導致航班延遲或被取消</span></strong></a></h3> <p>在2025年9月第四星期資安新聞中，歐洲多個機場的登機系統遭駭的資安事故最受關注，還有「具身AI」機器人的最新威脅探討成為新興威脅焦點；在資安防護上，有關於強化臺灣的中小企業資安防護、提升產品資安的最新消息，資安院將擴大推動健檢團，並推出漏洞獵捕計畫</p> <h3> </h3> <p><span style="color:#FFFFFF;">文⊙羅正漢</span></p> <h3><a href="https://www.ithome.com.tw/news/170940">【2025年8月資安月報，駭客鎖定Salesforce用戶，語音網釣與第三方應用程式成主要破口】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/170565">【2025年7月資安月報，語音網釣與ClickFIX網釣日益嚴峻】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/170026">【2025年6月資安月報，中華電信憑證失去瀏覽器信任，以伊戰事引發網路攻擊】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/169340">【2025年5月資安月報，AI資安技術發展動能強勁，從Agentic SOC、資安LLM到紅藍隊攻防演練都有進展】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/168722">【2025年4月資安月報，臺灣資安產業蓬勃發展，PQC、零信任、產品資安受矚目，LLM安全風險因應成最新主軸】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/168181">【2025年3月資安月報，出現專門鎖定臺灣攻擊的勒索軟體，CrazyHunter攻擊目標從醫院擴大至上市櫃公司】</a><br /> </h3> <h3> </h3> </div></div></div>
2025/10/1 13:51作者羅正漢https://www.ithome.com.tw/news/171458
中國駭客Phantom Taurus鎖定外交官、大使館而來，入侵Exchange Server進行監控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月底<a href="https://www.ithome.com.tw/news/171373">資安業者Recorded Future指出</a>，他們自去年以代號TAG-100（現稱為RedNovember）追蹤的駭客組織，根據他們進一步分析的結果，這些駭客極可能有中國政府在背後撐腰，如今有其他資安業者也表示，他們長期追蹤的駭客組織，確認是與中國政府有關的國家級駭客。</p> <p>資安業者Palo Alto Networks指出，他們從兩年前先後以代號CL-STA-0043、<a href="https://www.ithome.com.tw/news/163129">TGR-STA-0043</a>追蹤的駭客組織，<a href="https://unit42.paloaltonetworks.com/phantom-taurus/">現在該公司確認這組人馬是中國資助的APT駭客</a>，並將其命名為Phantom Taurus。這些駭客過往曾鎖定亞洲、中東、非洲的政府機關及電信組織，主要目標是網路間諜活動，攻擊者關注的領域，涵蓋外交部、大使館、地緣政治事件，以及軍事行動，收集與中國軍事利益相關的情報，而且，他們活動的時間與範圍，經常與重大全球事件或地區安全事件符合。</p> <p>而對於Phantom Taurus與其他中國APT駭客組織之間的關連，目前已知他們與多個駭客組織，如APT27、Winnti、Mustang Panda，共用部分基礎設施，但這些駭客採用了其他駭客沒有的基礎設施元件，因此Palo Alto Networks認為這是一個新的駭客組織。</p> <p>在運用的攻擊手法方面，Phantom Taurus今年初有重大變化，過往他們試圖從郵件伺服器竊取含有特定內容的敏感電子郵件，但現在轉移目標，鎖定資料庫下手，透過名為mssq.bat的指令碼進行連線，從資料庫收集資料。</p> <p>上述指令碼會執行那些動作？駭客使用指定的伺服器名稱、sa帳號，以及事先取得的密碼存取SQL Server，以特定關鍵字下達查詢命令並執行，最終將結果匯出CSV檔。附帶一提的是，駭客執行指令碼的方式，是透過WMI在遠端SQL Server主機裡執行。Palo Alto Networks在阿富汗和巴基斯坦等特定國家的攻擊事故裡，看到駭客以此挖掘敏感資料。</p> <p>另一個引起該公司注意的地方，是這些駭客近期運用新的惡意軟體套件NET-Star，該套件專門針對IIS網頁伺服器而來，使用.NET開發而成。值得一提的是，此惡意軟體具備兩種後門程式，包含了IIServerCore與AssemblyExecuter。其中的IIServerCore為模組化後門，完全在記憶體內運作，支援執行命令，並能在記憶體內執行有效酬載。</p> <p>第二款後門程式AssemblyExecuter，主要功能是用來在記憶體內執行.NET酬載，駭客約從2024年開始使用，並於今年開發新一代，加入了額外的迴避偵測能力，可繞過作業系統內建的反惡意軟體掃描介面（AMSI），以及Windows事件追蹤器（ETW）。</p> <p>過往Phantom Taurus透過Exchange進行情報收集的情況，近期也有其他駭客針對此種郵件伺服器下手，例如，6月資安業者Positive Technologies揭露針對Exchange的<a href="https://www.ithome.com.tw/news/169772">鍵盤側錄工具（Keylogger）攻擊行動</a>，受害範圍涵蓋臺灣等26個國家；7月上旬ESET揭露<a href="https://www.ithome.com.tw/news/169949">伊朗駭客BladedFeline部署Exchange後門程式</a>，滲透中東多個地區的政府及企業組織，意圖竊取敏感資訊；7月下旬卡巴斯基發現<a href="https://www.ithome.com.tw/news/170196">後門程式GhostContainer</a>，駭客鎖定亞洲政府機關與高科技產業的Exchange伺服器而來。</p> </div></div></div>
2025/10/1 15:13作者周峻佑https://www.ithome.com.tw/news/171460
美國最大外送平臺DoorDash發表送貨機器人Dot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.doordash.com/en-us/news/doordash-unveils-dot" target="_blank">美國最大外送平臺DoorDash周二（9/30）發表</a>了由該公司DoorDash Labs團隊自行研發的外送機器人Dot，這款Dot的尺寸只有汽車的1/10，專為安全及快速交付所設計，目前已於亞利桑那州的Tempe及Mesa展開試營運。</p> <p>2013年成立於舊金山的DoorDash最早是個餐飲外送平臺，之後發展成在地商務平臺，不僅送餐，也運送雜貨、藥品及日用品；DoorDash還設立了即時配送倉儲中心，存放了零食、飲料及日用品等常備商品，以縮短運送時間並降低對第三方商家的依賴；另有DoorDash Drive物流服務，允許那些未上架商品的商家使用DoorDash的配送資源。它在美國餐飲外送市場的占有率超過6成，位居第一，第二名的Uber Eats則只有25%左右。</p> <p>外型非常可愛的Dot是由DoorDash Labs團隊專為在地短程配送所打造的輪子機器人，體積只有汽車的1/10；它能夠無縫穿梭於自行車道、道路、人行道與車道上，最高時速為20英里（32公里）；具備自動路線規畫、避障與交通感知能力；且為全電動設計，降低碳排與噪音；車上的貨艙可上鎖，並透過App驗證取貨。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1001-DoorDash_Dot_02.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／DoorDash</span></span></p> <p>同一天DoorDash也發表了自主配送平臺（Autonomous Delivery Platform），這是個AI調度系統，可根據速度、成本、位置及體驗等各種因素，替每筆訂單匹配最佳配送方式，決定是要由人力外送員（Dasher）、Dot機器人，或是與其它業者合作的無人機或人行道機器人來配送。</p> <p>DoorDash聯合創辦人暨Labs主管Stanley Tang解釋，你不需要一輛汽車來運送一條牙膏或一包尿布，Dot專為每日數百萬筆的配送任務所打造，體積小到可以穿越門口與車道，其速度則足以維持餐點品質，而且從體積、速度到感測器套件的設計，都是根據數十億筆的配送數據分析而來。換句話說，Dot主要用來支援小件、輕量、短距離且低複雜的配送任務。</p> <p>DoorDash表示，隨著該公司拓展新地區並支援更多的商家，藉由自主技術將協助商家應對高峰需求，讓消費者享有更快速及可靠的體驗，但外送員仍將負責絕大多數的訂單。</p> </div></div></div>
2025/10/1 14:56作者陳曉莉https://www.ithome.com.tw/news/171459
VMware修補Aria Operations、VMware Tools權限提升漏洞，中國駭客從一年前用於零時差攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月29日VMware針對旗下的Aria Operations與VMware Tools<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36149">發布更新</a>，修補資安漏洞CVE-2025-41244、CVE-2025-41245、CVE-2025-41246，其中，通報CVE-2025-41244的資安業者指出，<a href="https://blog.nviso.eu/2025/09/29/you-name-it-vmware-elevates-it-cve-2025-41244/">中國駭客UNC5174將其用於實際攻擊</a>，最早可追溯到去年10月中旬。</p> <p>CVE-2025-41244是本機權限提升漏洞，攻擊者若是能在沒有管理員權限的情況入侵虛擬機器（VM），就有機會以此漏洞將自己的權限提升為root，CVSS風險值為7.8。不過，攻擊者要利用上述漏洞存在必要條件：VM本身已部署VMware Tools，並受到Aria Operations管理，而且，Aria Operations也要啟用服務探索管理套件（Service Discovery Management Pack，SDMP）的功能。該公司指出，這項漏洞不光影響Aria Operations、VMware Tools，也影響VMware Cloud Foundation、VMware Telco Cloud Platform，以及VMware Telco Cloud Infrastructure。</p> <p>這項漏洞由資安顧問公司Nviso發現及通報，他們在今年5月下旬調查UNC5174事故察覺異常指標，進一步確認是零時差漏洞，於是5月底向Broadcom通報此事。Nviso發布部落格說明，他們確認UNC5174確實將其用來進行本機權限提升，但無法確定駭客是無意間觸發漏洞，還是已將其納為武器庫的一部分。</p> <p>針對存在漏洞的環境確認，Nviso指出可根據兩種系統運作的模式來進行，其中一種是針對以憑證為基礎的服務運作模式，另一種是無憑證模式，漏洞分別存在Aria Operations及VMware Tools的特定元件。</p> <p>若要利用漏洞，不具備特權的本機攻擊者，可將惡意二進位檔案存放於任何以正規表示式描述的路徑，使得VMware的探索功能會自動執行檔案來觸發漏洞，從而達到權限提升的目的。以UNC5174而言，他們通常會放置於/tmp/httpd來嘗試觸發漏洞。</p> </div></div></div>
2025/10/1 11:25作者周峻佑https://www.ithome.com.tw/news/171454
從資安光譜揭露臺灣數位威脅的全貌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span>國家資通安全研究院自推出《資安週報》以來，已連續發布了總計11期，從第1期到第8期的試刊號，直至第9期到第11期的正式出刊，為我們描繪橫跨三個月期間，臺灣公務機關、關鍵基礎設施及民間社會所共同面對的資安風險全景。</span></p> <p><span>我們依據資安週報詳盡的六大支柱架構，深入彙整這段時間內臺灣常見的資安威脅類型、攻擊手法演變，以及從這些寶貴數據可學習到的關鍵經驗，以期強化整體社會的數位防護網。</span></p> <h2><span style="color:#0000FF;"><strong>第一支柱：近期資安事件通報與民間重大資安訊息</strong></span></h2> <p><span>在事件通報方面，公務機關與特定非公務機關的資安事件通報總數，在三個月內持續累積，其中「非法入侵」類型事件在各期週報始終佔據多數。</span></p> <p><span>多數非法入侵事件源於資安警訊通報，特別是資訊設備疑似安裝「冒牌軟體」後產生符合惡意程式特徵的連線。</span></p> <p><span>這類風險揭示內部使用者行為是導致事件發生的主要原因，例如，在民國114年7月底前的統計中，「使用∕下載來源不明之應用程式∕套件」占可識別事件發生原因的29％，「社交工程」占12％，兩者合計為內部使用者行為的大宗。</span></p> <p><span>隨著時間推移，事件通報揭露的入侵途徑與手法也更具針對性：在試刊號第3期觀察到，有機關疑似因「社交工程」或使用「可卸除式磁碟」感染惡意程式，導致連線至惡意中繼站。</span></p> <p><span>到了試刊號第6期，更特別點出多個使用特定網路設備（如俠諾科技QNO）的機關，因命令注入攻擊導致連線中繼站；在試刊號第7期則觀察到，自帶電子設備（BYOD）出現挖礦連線行為，且因管控不嚴導致難以追查根因；此外，惡意程式如PUBLOAD透過隨身碟散布，也使得多人共用的簡報設備成為惡意程式植入的潛在跳板，再次凸顯「可攜式媒體管理」的疏漏是資安破口。</span></p> <p><span>甚至在正式出刊的第10期，發現機關遭異常登入的原因是使用者使用了「具規則性的弱密碼」，例如將常見詞彙進行字符轉換（如「p@ssw0rd」），這些密碼雖然符合複雜度要求，但仍容易被自動化工具破解。</span></p> <p><span>在民間重大資安訊息方面，海華科技（通信網路業）在試刊號第1期及第6期，兩度發布資安事件重訊；易飛網國際旅行社（旅行業）在第3期接獲客戶反應，疑似個資外洩。</span></p> <p><span>在第6期《資安週報》當中，談到樂意傳播（文化創意業）接獲合作廠商反映疑似資料外洩；第7期統振（零售業）因駭客攻擊，澄清媒體報導並公告測試資料庫中暫存了千餘筆移工個資；同時康那香（零售業）也通報，部分資訊系統遭受駭客網路攻擊。</span></p> <p><span>正式出刊的第10期，則一次有5家企業發布重訊，包括政伸企業、夠麻吉、應用奈米醫材（子公司遭詐騙匯款）、智擎生技（DDoS攻擊）、以及鑫聯大（B2B 採購平臺異常下單）。</span></p> <p><span>這些事件類型涵蓋駭客攻擊、個資外洩、DDoS 阻斷服務，以及詐騙匯款，顯示民間企業面臨的資安挑戰廣泛且衝擊性高。</span></p> <h2><span style="color:#0000FF;"><strong>第二支柱：聯防監控攻擊階段、手法與因應</strong></span></h2> <p><span>透過MITRE ATT&CK Matrix分析政府領域資安聯防監控數據，資安院觀察到：駭客行為呈現出穩定且專業化的趨勢。</span></p> <p><span>在這11期《資安週報》中，「防禦迴避」（Defense Evasion）始終是最常見的攻擊手法，占比穩定維持在14.2％到16.7％之間。駭客慣用手法是：透過關閉或清除指令紀錄，並利用系統的合法工具，間接執行惡意命令，以達到規避監控的目的。</span></p> <p><span>除了防禦迴避，攻擊行為的最終目標階段也需要多加警惕：「衝擊影響」（Impact）階段持續存在，占比約2％到3％，這類攻擊主要試圖透過大量連線或封包，癱瘓應用層、服務連接埠或網路頻寬資源，造成系統無法回應正常請求。</span></p> <p><span>尤其在正式出刊的第9期，資安院特別關注「資料滲出」（Data Exfiltration）事件的威脅，其占比在試刊號第8期達到4.2％，在第9期仍有3.6％，駭客會利用已建立的C2（Command and Control）通道，透過 HTTP∕HTTPS、DNS隧道或加密通訊，將竊取的敏感資料夾帶在既有流量中，使其特徵與正常連線高度相似，以規避偵測。</span></p> <p><span>應對這些威脅，週報建議公務機關需強化端點防護、加強指令紀錄稽核、限制高風險工具濫用，並落實特權帳號管理。同時，針對阻斷服務威脅，則建議部署流量清洗、速率限制機制，並搭配服務資源管控與異常行為監控，以強化系統的韌性。</span></p> <h2><span style="color:#0000FF;"><strong>第三支柱：蜜罐誘捕被濫用漏洞、熱門攻擊通道</strong></span></h2> <p><span>從蜜罐誘捕系統（honeypot）的觀測結果來看，「網頁應用」服務是國內外攻擊行為的主軸，也是駭客入侵與滲透的重要管道，必須作為優先防護項目。網頁應用服務的攻擊占比在各期週報中持續居高不下，常介於84％至89％之間。</span></p> <p><span>其次，「遠端控制」服務亦持續被駭客積極鎖定，誘捕比例約在9％至13.5％之間，反映駭客仍針對公開遠端連線介面進行入侵行動。</span></p> <p><span>在被濫用的漏洞方面，攻擊主要集中於「遠端程式碼執行」（RCE）、檔案上傳、特權提升、存取控制破壞，以及身分驗證繞過等類型；被攻擊的目標涵蓋路由器、應用伺服器、開源套件、企業搜尋平臺及應用程式遞送控制器（ADC）等，顯示這些系統已成為高風險熱點。</span></p> <p><span>近期各期《資安週報》顯示，多個產品漏洞在不同時期反覆出現，甚至一度躍升至前五大攻擊排行。其中包括微軟的OMI（Open Management Infrastructure，CVE-2021-38647），這是用於管理Linux∕Unix系統與微軟Azure雲端設備的系統管理代理軟體；Apache ActiveMQ（CVE-2016-3088），作為企業訊息佇列中介軟體，主要用於應用系統之間的訊息傳遞。</span></p> <p><span>另外，思科Cisco IOS XE網路設備作業系統（CVE-2023-20198），自第3期首次進入前五名後，持續列於高風險漏洞名單；其他如企業協作平臺Atlassian Confluence（CVE-2023-22515）和持續整合∕持續交付工具（CI∕CD）JetBrains TeamCity（CVE-2023-42793）也屢次成為攻擊目標。</span></p> <p><span>同時，Apache Solr企業搜尋平臺（CVE-2023-50386）提供全文檢索與分析功能，Citrix NetScaler ADC（CVE-2025-5777）作為應用交付控制器與安全平臺，皆被駭客積極鎖定。</span></p> <p><span>這些持續被利用的漏洞則提醒各單位，對於存在漏洞的設備，應立即更新軟體或韌體（Firmware），若原廠已停止支援，則應考慮汰換設備或採取其他緩解措施（Mitigation），以降低資安風險並維護企業核心服務安全。</span></p> <h2><span style="color:#0000FF;"><strong>第四支柱：外部曝險分析與政府機關對外曝露的風險</strong></span></h2> <p><span>外部曝險分析結合了EASM（外部攻擊面管理）檢測和實兵演練數據，清晰地揭示了政府機關和關鍵基礎設施（CI）對外曝露的持續性風險。</span></p> <p><span>在EASM檢測中，公部門常見的重大風險包括「暗網洩露的帳密」、「不安全的對外服務」和「勒索軟體風險」，儘管勒索軟體風險在《資安週報》試刊號第4期後暫時消失，但新增了DNS資訊洩漏的風險。</span></p> <p><span>總體而言，公部門的資安曝險問題主要集中在：網站基礎安全配置與元件管理，包括TLS（傳輸層安全協定）憑證不受信任、過時或弱化的加密協定、元件存在高風險漏洞，以及CSP（內容安全政策）設定不當。</span></p> <p><span>在第7期、第9期和第11期《資安週報》中，這四類風險合計占公部門總曝險的近九成。值得注意的是，在第11期《資安週報》正式出刊時，公部門的曝險總數較前一期下降約四成，這主要歸功於「TLS憑證不受信任」和「CSP設定不當」已有顯著改善，反映出基礎安全防護措施已逐步落實。</span></p> <p><span>然而，針對關鍵基礎設施（CI）的EASM檢測結果，揭示了更為嚴峻的挑戰。</span></p> <p><span>例如，CI單位的曝險總數，遠高於公部門，例如第6期CI單位總數約是公部門的7倍，到了第11期超過13倍，且風險更為集中，超過八成集中於元件高風險漏洞和TLS憑證不受信任。</span></p> <p><span>這反映出CI單位系統規模龐大、外部服務攻擊面廣，且憑證更新與維護不易，使得這兩類風險成為最需優先關注的安全議題。</span></p> <p><span>在「資通系統實兵演練」中，累計的攻擊記錄反映三項最常見且高風險的弱點依序為：不安全的組態設定、注入攻擊（特別是SQL Injection），以及加密機制失效。</span></p> <p><span>演練案例揭示多種風險情境，包括：因組態設定不當，導致駭客取得系統設定檔案或原始碼外洩；未妥善遮蔽文件中機敏資訊；以及因為未進行參數化查詢和輸入過濾，導致注入攻擊成功取得資料庫中的帳號密碼。</span></p> <p><span>此外，「無效的存取控管」和「認證及驗證機制失效」也持續被發現，例如網頁未正確驗證使用者權限，導致駭客可修改URL參數，存取未授權資源。正式出刊的《資安週報》第10期也提到，因系統使用含有已知遠端程式碼執行漏洞的危險或過舊的元件，在無需驗證下，即可取得作業系統管理者權限。</span></p> <h2><span style="color:#0000FF;"><strong>第五支柱：網路巡查高風險詐騙趨勢與關鍵字</strong></span></h2> <p><span>網路巡查結果顯示，高風險詐騙案件總數，在偵測模型優化後出現顯著波動。在類別趨勢上，詐騙手法出現了明顯的轉變：雖然「金融投資」和「身分冒充」類型持續存在，但「產品服務類詐騙」自試刊號第3期起，偵獲量大幅增加，並在多數時期略多於其他兩類，成為持續升高的趨勢。</span></p> <p><span>詐騙手法正朝向關鍵字與話術的多樣化與隱蔽性發展，其中幾個趨勢值得注意。首先，針對快速致富與金融誘因的詐騙仍持續盛行，詐騙者利用「致富」、「資金」、「貸款」、「億萬」等詞彙，包裝情緒激勵與快速翻身的敘事。</span></p> <p><span>在第5期曾出現偽裝成政府「加倍券」補助的案例，而第7期則以「房貸」和「撥款」名義發布融資廣告，並刻意強調「合法上市公司」與「全程保密」以降低受害者戒心。</span></p> <p><span>其次，情感、命理相關的詐騙手法持續出現，例如利用「爛桃花」、「感情」、「八字」或「挽回」等關鍵字，誘導受害者尋求命理諮詢或情感操控服務。</span></p> <p><span>同時，需要特別警惕的是，二次詐騙話術在第6、7、8期廣泛出現，詐騙者打著「法律」、「詐欺」、「訴訟」或「資金追回」的旗號，聲稱可以協助受害者追回被騙款項，但實際上是誘導受害者提供個資或金流資料。</span></p> <p><span>最後，商品推銷與促銷型詐騙也呈現複合化趨勢，透過「神器」、「脂肪」、「白開水」等虛假健康或瘦身產品，以及「原價」、「加碼」、「限時」、「免費」等詞彙製造稀缺感與急迫性。</span></p> <p><span>第11期更出現話術同時涵蓋商品、健康（養生、飲食）、投資（智慧住宅）與就業（招募駕駛員）等多個場景，顯示詐騙者正以更全面的策略接觸受害者。</span></p> <h2><span style="color:#0000FF;"><strong>第六支柱：國際趨勢、資安推動工作與特定資安技術風險</strong></span></h2> <p><span>焦點文章揭示了臺灣資安工作的發展，正與國際趨勢保持高度同步。在治理模式上，英國近期重組「政府資安顧問委員會」，並正式納入AWS、微軟等具全球影響力的企業，讓產業參與資安立法與政策形成的時間點更往前移。</span></p> <p><span>歐盟則啟動「網路安全儲備機制」，透過向「可信的託管安全服務提供者」（Trusted MSSP）採購服務，建立可快速動員的資安預備隊，以因應大規模資安事件。</span></p> <p><span>所謂的「網路安全儲備機制」，其核心精神是在平時就完成專業資安資源的整備與簽約，一旦遭遇跨境或大規模網路攻擊，能即時調派專家與工具投入應變，縮短反應時間並提升防護韌性。歐盟的做法，也為臺灣如何將「公私協力」制度化的作法，提供了值得參考的借鏡。</span></p> <p><span>在人才培育上，資安院正推動「網路安全實務與社會人才培訓及實習輔導計畫」，借鏡美國的「資安健檢團」模式，協助中小微型企業與非營利組織，檢測並改善資安風險，例如：帳號權限管控不足、缺乏資料備份，以及資安意識有待提升等問題。</span></p> <p><span>與此同時，應變韌性訓練也成為重點，透過引入桌上推演（TTX）方法論，針對關鍵基礎設施的高階決策者設計情境演練，模擬勒索攻擊或供應鏈滲透等真實情境，在不中斷系統運作的前提下，培養決策邏輯、跨部門協調與危機處理的能力。</span></p> <p><span>另一方面，駭客攻擊手法也在不斷演進，例如，濫用Google試算表與日曆等雲端服務作為C2回傳中繼站，以規避傳統偵測機制，模糊了合法與惡意行為的界線。</span></p> <p><span>在詐騙領域，AI深度偽造（Deepfake）伎倆也被運用，製作高度逼真的名人投資推薦影片，進一步降低民眾的警覺心。</span></p> <p><span>面對這些挑戰，資安院正積極運用AI技術，打造臺灣的數位防護網，涵蓋六大面向，分別是：像偵探一樣找出異常行為（零時差攻擊）；追蹤APT威脅；建構秒速反擊的自動防禦系統；以AI強化數位鑑識並分析龐大日誌；發展具前瞻性的威脅情報系統（TRACE）；以及智慧化的漏洞修補排程。</span></p> <p><span>除此之外，資安院也持續將美國CISA公布的「已被成功惡意利用漏洞清單」（KEV），納入風險管理流程，並協助政府機關優先修補駭客正在利用的關鍵漏洞，全面提升國家資安防護力。</span></p> <h2><span style="color:#0000FF;"><strong>從弱點管理到制度化協作，打造結合AI與公私協力的韌性資安防護網</strong></span></h2> <p><span>回顧十一期《資安週報》的觀察，可以看出臺灣當前的資安風險樣貌。最明顯的特徵，就是網路應用介面的脆弱性，依然是駭客鎖定的首要目標。</span></p> <p><span>從蜜罐誘捕的數據來看，超過八成的攻擊都集中在網頁應用服務；而在實兵演練中，注入攻擊更是反覆出現。</span></p> <p><span>駭客不斷利用遠端程式碼執行（RCE）、惡意檔案上傳、身分驗證繞過等漏洞，對象涵蓋應用伺服器、開源套件、企業搜尋平臺、持續整合與交付工具，甚至網通設備作業系統。這些熱點環節一旦被突破，往往會造成重大影響。</span></p> <p><span>另一個普遍的問題在於：基礎設施的配置缺陷與修補落差。從實兵演練顯示，「不安全的組態設定」長期高居弱點清單之首，而外部攻擊面檢測（EASM）則揭示了「元件高風險漏洞」與「TLS（傳輸層安全協定）憑證不受信任」這兩項常見卻高衝擊的問題，長年位居外部網路曝險檢測項目的大宗。許多系統因為沒有及時更新，或仍在運行已停止維護的舊版軟體，導致潛在風險無法消除。</span></p> <p><span>更值得警惕的是，駭客在手法上越來越隱蔽。從聯防監測發現，「防禦迴避」持續居高不下，過去依靠異常流量就能偵測的行為，現在往往被偽裝成合法操作，例如利用雲端試算表作為C2（命令與控制）中繼站。這樣的做法，模糊了合法與惡意的界線，讓防禦端難以在第一時間辨識。</span></p> <p><span>除了外部攻擊，內部使用者的行為也成為系統被入侵的關鍵環節。最常見的原因是：使用者下載來路不明的應用程式或套件，其次則是社交工程攻擊。許多人因下載冒牌軟體、設定弱密碼，或因業務需求而打開惡意附件，無意中讓駭客繞過外部防線，進一步掌握系統控制權。</span></p> <p><span>另一方面，詐騙模式也在快速演化，且攻擊對象不再侷限於金融投資。詐騙集團運用AI深偽技術，把手法延伸到產品與服務領域，甚至結合情感命理、法律諮詢（二次詐騙）、政府補助（加倍券）、以及虛假促銷活動等不同場景，精準地鎖定特定族群，騙取個資與金流。</span></p> <h2><span style="color:#0000FF;"><strong>經驗總結，首重漏洞修補的排序與跳脫傳統黑名單思維</strong></span></h2> <p><span>從這些報告歸納出的經驗教訓，首先在於漏洞修補必須有優先順序，不能只追求數量，而應聚焦於實際被利用、且影響程度最高的弱點，並藉由自動化驗證與智慧排程，確保有限的資源發揮最大效益。</span></p> <p><span>其次，防護必須跳脫傳統的黑名單思維，往縱深防禦與零信任架構靠攏，導入端點偵測與回應（EDR）、強化稽核與特權帳號管理，並將雲端服務納入監控。同時，在網頁應用的開發階段，就要落實安全設計，例如全面使用參數化查詢、輸入驗證，以及隱藏後端錯誤訊息，以減少被利用的機會。</span></p> <p><span>對關鍵基礎設施而言，修補元件漏洞與加強憑證管理更是刻不容緩。所有對外服務應定期更新TLS（傳輸層安全協定）憑證，並強制啟用TLS 1.2以上的安全加密協定，才能避免中間人攻擊與資料外洩。</span></p> <p><span>與此同時，使用者教育也不能鬆懈。內部人員必須具備辨識社交工程郵件的能力，避免重複使用弱密碼，並建立標準流程來處理外部檔案，例如在隔離環境中，檢視民意信箱的加密壓縮附件，以防惡意程式植入。</span></p> <p><span>隨著AI被廣泛應用於攻擊與防禦，政府更需要善用AI來強化威脅偵測、異常行為分析和自動化防護，並透過制度化的公私協力，像是與資安服務提供者（MSSP）建立快速動員的支援體系，來提升整體國家資安量能。</span></p> <p><span>過去三個月的《資安週報》不僅是資安數據的整理，更是臺灣數位環境風險變化的真實寫照。藉此也提醒臺灣社會，面對駭客攻擊的手法愈來愈隱蔽且專業，因應之道必須是全方位的，從基礎的組態設定、漏洞修補，到使用者行為管理與AI驅動的威脅防禦，層層強化，才能築起既堅實又有韌性的數位防線。</span></p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/10/1 12:10作者黃彥棻https://www.ithome.com.tw/news/171442
Google開發者驗證新制遭F-Droid警告恐限縮開源應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正推動<a href="https://developer.android.com/developer-verification">開發者驗證（Developer Verification）制度</a>，未來要在Android認證裝置上安裝的所有應用，均需由已驗證且完成登記的開發者所發行，此規定同樣涵蓋經由第三方商店與直接下載安裝的應用。 </p> <p><a href="http://f-droid.org/en/2025/09/29/google-developer-registration-decree.html">依Android開源應用替代商店F-Droid的說法</a>，開發者可能被要求繳交註冊費，同意不可議的條款，甚至需要提供政府核發身分證件，並把自己名下所有要發行的App應用識別碼（Application Id）註冊到Google的Developer Console，而F-Droid警告，要是此制度落地，未完成註冊的應用不只可能無法安裝，恐在認證裝置上也無法更新，整體自由開源發布生態將被大幅削弱。</p> <p>F-Droid強調其發行機制以開放原始碼為核心，上游專案公開原始碼，經F-Droid檢視後由建置服務產生可安裝套件，平時以F-Droid的簽章發布。當專案達到可重現建置（Reproducible Build），則可沿用原作者的私鑰簽章，此流程讓使用者得以驗證套件與原始碼一致未被竄改。</p> <p>面對Google的新要求，F-Droid表示無權強迫上游作者至Google註冊，同時也不可能接管他人應用識別碼，因那等同於奪取發布權與更新主導權。兩難在於，一端是開源作者拒絕或無法提供個資與身分文件，另一端則是Android認證裝置層面的安裝門檻逐步抬升。</p> <p>Google對外以提升安全為由，稱此舉是新增安全層，意在嚇阻惡意行為者，並讓散播危害更困難。F-Droid則反駁，Android已內建Play Protect能在裝置端偵測與停用惡意軟體，安全問題並非只能用集中管制處理。</p> <p>開放原始碼與可重現建置帶來的透明度，足以形成另一種值得信賴的安全模型，當安裝權限與開發者身分驗證綁定，替代商店與社群維護的實驗性或非商業應用，將面臨合規程序與個資揭露的實質負擔，最終影響的是能否持續更新與正常發行。</p> <p>F-Droid呼籲監管機關正視此舉是否構成對替代商店的不當限制，並評估以安全為名實則鞏固集中化控制的風險。</p> </div></div></div>
2025/10/1 12:40作者李建興https://www.ithome.com.tw/news/171456
Amazon發表專為Alexa+設計的Echo裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/devices/amazon-new-echo-devices-alexa-plus" target="_blank">Amazon周二（9/30）發表了4款專為Alexa+打造的Echo裝置</a>，包括兩款智慧喇叭Echo Dot Max與Echo Studio，以及8吋及11吋的智慧顯示器Echo Show。</p> <p>Echo為Amazon所開發的、內建Alexa智慧語音助理的裝置，涵蓋具備螢幕的Echo Show，可連結手機並在車上使用Alexa的Echo Auto，以及支援Alexa的Echo Frames眼鏡及Echo Buds耳機等。</p> <p><a href="https://www.ithome.com.tw/news/167595" target="_blank">至於Alexa+則是Alexa的AI版</a>，它支援對話式語音，可執行多步驟功能，有記憶能力，還會主動提出建議。不過它只能供Prime用戶免費使用，或者每月以19.99美元訂閱，也只能在較高階的裝置上運作，而且目前只支援英文。</p> <p>可想而知，本周發表的4款Echo裝置都有較高規格的硬體，例如它們皆搭載AZ3或AZ3 Pro晶片，也都整合了Omnisense 感測融合平臺，讓Echo裝置得以感應環境。新的AZ3/AZ3 Pro晶片改善了語音偵測能力，後者還支援大型語言模型與視覺模型，它們負責執行AI邊緣模型以減少雲端延遲。</p> <p>Omnisense感測融合平臺則是Amazon專為Alexa+裝置設計的全新環境感知系統，透過整合融合多種感測器輸入，讓 Alexa 能理解周圍情境，進而主動提供協助，而非僅是被動回應指令。</p> <p>其中，搭載AZ3的Echo Dot Max售價99.99美元，定位為高階喇叭，能自動依房間尺寸調整音效；219.99美元的Echo Studio支援Dolby Atmos與空間音訊，體積比原版小了40%，可串接Fire TV，用5臺組成立體環繞劇院；Echo Show配備1,300萬畫素的鏡頭，能識別使用者並主動顯示資訊，除了用來管理智慧家居之外，也有行事曆、Alexa+購物工具、健康功能及多媒體控制中心，8吋售價179.99美元，11吋為219.99美元。</p> <p>另有一個即將上線的Alexa+ Store，是Amazon替Alexa+打造的新生態平臺，為一數位應用及服務中心，將讓使用者得以探索、啟用及管理各種Alexa+的擴充功能、外部服務與訂閱，可用來連結諸如Uber、TaskRabbit或GrubHub等外部服務，或是擴充Alexa+能力以預約餐廳或訂票等，或是探索可連結的智慧裝置，還能根據使用者資料推薦服務。</p> <p>新一代的Echo產品目前已開放預購，將相繼於10月底與11月出貨。</p> <p>不過，Amazon似乎並未積極地拓展Alexa所支援的語言。除了Alexa+只支援英文以外，就算是10年前（2014年）問世的Alexa，迄今也只支援英文、德文、法文、義大利文、西班牙文、葡萄牙文、日文、印地語、阿拉伯文、荷蘭、瑞典及波蘭文，並未支援中文。</p> </div></div></div>
2025/10/1 12:52作者陳曉莉https://www.ithome.com.tw/news/171457
OpenAI發表影片生成模型Sora 2，預覽Sora程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/sora-2/" target="_blank">OpenAI周二（9/30）發表影片生成模型Sora 2</a>，並開始預覽Sora程式及Sora網站，惟目前僅支援美國與加拿大市場。</p> <p>OpenAI是在2024年2月首<a href="https://www.ithome.com.tw/news/161312" target="_blank">度揭露Sora</a>，去年12月正式推出Sora的第一個版本，依照該公司的比喻，去年2月那個Sora原始模型的表現便如同GPT‑1，Sora 2就像是GPT‑3.5。最新的Sora 2已能完成傳統影片生成的困難任務，像是奧林匹克的體操動作，立槳衝浪板上的後空翻，或是貓咪的三周跳。</p> <p>舊版Sora有時會出現一些詭異的錯誤，例如物體在鏡頭切換或移動時忽然消失，人物在作體操或動作時可能出現不合理的關節或姿勢，複雜的提示可能會讓場景錯誤或扭曲，並具備大量的偏差與刻板印象。</p> <p>此外，過去的模型為了達成提示常常會作弊，例如投籃失誤時可能被瞬移進籃框。但Sora 2在投籃失誤時會反彈，遵守物理法則，該版大幅提升了物理一致性；Sora 2也能精準執行多個鏡頭與複雜指令，正確維持世界狀態；它也允許使用者將真實影片中的人物嵌入生成場景，準確呈現外貌與聲音，為虛實融合的一大突破。</p> <p>這次OpenAI還特別<a href="https://x.com/openai/status/1973087446469406732" target="_blank">替影片生成設計了一款同名的Sora社交程式</a>，可用來建立或混搭彼此的世代，還能透過「客串」（Cameo）功能將自己或朋友融入既有的場景中。Cameo只需要一次性的影音錄製驗證，就能模擬使用者的外貌及聲音，並直接進入任何Sora場景，OpenAI表示，該功能於內部測試中深受喜愛，甚至促成同事間的新友誼。</p> <p>Sora程式目前僅有iOS版，其它使用者則可透過sora.com測試新功能。</p> </div></div></div>
2025/10/1 11:36作者陳曉莉https://www.ithome.com.tw/news/171455
Google推Data Commons MCP伺服器，讓AI代理隨取即用可信公開資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://developers.googleblog.com/en/datacommonsmcp/">推出Data Commons MCP伺服器</a>，開放使用者能透過MCP開放協定即時存取Data Commons龐大的公開統計資料，讓人工智慧代理和應用能以自然語言快速取得可追溯來源的資料，進一步降低大型語言模型在生成內容時出現幻覺的風險。</p> <p>Data Commons是由Google主導並與多方合作建立的公開資料平臺，整合全球各地的統計資料與官方資料集，並透過知識圖進行標準化。該資料平臺涵蓋人口、健康、教育、經濟、環境等多種領域，來源包括美國人口普查局、世界銀行、OECD與WHO等。使用者可以透過網站、API或開發工具快速查詢與比對資料，並取得具來源註記的結果。Data Commons提供了一個可信的資料基礎，能在分析與應用中減少不一致與誤差。</p> <p>而MCP伺服器的重點在於提供標準化的資料取用方式，代理可直接連結Data Commons而不必自行撰寫與維護複雜的底層API。透過該伺服器，開發者能更容易完成各類查詢，從資料探索到統計比較，再到生成簡要報告，都能在同一流程內完成。</p> <p>官方舉例，開發者可以詢問非洲有哪些健康相關資料，或是要求比較BRICS國家的壽命、經濟不均與GDP成長率，也能要求生成美國郡縣收入與糖尿病的關聯報告。這些查詢可在代理系統中以自然語言完成，並直接回傳整理好的結果。</p> <p>首批應用來自Google與國際非營利組織ONE Campaign的合作，雙方共同建立ONE Data平臺，並基於MCP伺服器開發了The ONE Data Agent，用於處理健康金融（Health Financing）資料，能以自然語言在數秒內搜尋數千萬筆資料，並支援視覺化與下載乾淨的資料集。以往要整理此類資料，使用者需分別操作多個資料庫並耗費時間整理格式，現在則能透過代理直接獲取整合結果。</p> </div></div></div>
2025/10/1 09:49作者李建興https://www.ithome.com.tw/news/171453
【資安日報】9月30日，中國宇樹AI機器人存在資安漏洞UniPwn
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月底臺北市政府打算引進中國宇樹科技（Unitree）製造的巡檢機器狗，引發許多資安爭議，由於這種具備感知、決策、行動能力的具身AI機器人及機器狗，在全球已有許多國家導入使用的情況，相關資安議題隨之浮出檯面，我們也以此製作封面故事（<a href="https://www.ithome.com.tw/article/171294">上</a>、<a href="https://www.ithome.com.tw/news/171292">下</a>）進行探討。9月下旬有研究人員公布該廠牌AI機器人的資安漏洞UniPwn，由於該廠牌機器人曾被揭露存在未被公開的後門，此事受到許多大眾媒體的關注。</p> <p>另一項資安漏洞ForcedLeak的揭露，也引起許多目光，原因是這項漏洞出現在CRM系統Salesforce的AI代理平臺Agentforce上，一旦遭到利用，就有可能將CRM系統存放的機敏資料外流，由於日前有許多知名企業資料外洩事故與此CRM系統有關，因此相關弱點的揭露，格外受到矚目。</p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171436"><strong style="font-size: 22px;">中國宇樹AI機器人存在資安漏洞UniPwn，攻擊者不僅能完全存取，還能透過藍牙進行自動感染</strong></a></p> <p>8月底臺北市副市長李四川在社群媒體臉書發布貼文向臺北市民介紹，北市府新工處引進「智能機器狗」巡視人行道，傳出此機器狗為中國宇樹科技（Unitree）的產品惹議，使得AI機器人的資安議題受到臺灣民眾高度關注。近期有資安研究員指出，該廠牌的機器人存在資安漏洞UniPwn，不僅能用於完整存取機器人，甚至能透過藍牙進行無線橫向感染，在沒有使用者干預的情況下形成機器人殭屍網路。</p> <p>根據科技與工程新聞網站IEEE Spectrum的報導，資安研究員Andreas Makris與Kevin Finisterre在調查宇樹的機器人平臺時，發現低功耗藍牙（BLE）與Wi-Fi無線組態介面有重大漏洞，影響該廠牌Go2、G1、H1、B2等系列的機器人，雖然他們在今年5月首度向宇樹通報此事，但截至9月20日，最新版的韌體仍存在相同問題。兩名研究員指出，這應該是首度公開的人形機器人漏洞。</p> <p>Andreas Makris指出，這項漏洞結合了多種弱點，包括：寫死的加密金鑰、身分驗證繞過，以及未適當清理可被用於命令注入。更可怕的是，他強調這項漏洞不僅能讓攻擊者完全控制受害機器人，還能自我擴散（Wormable），只要其他曝險的機器人在藍牙能夠存取的範圍，就能自動利用漏洞來入侵。</p> <p><a href="https://www.ithome.com.tw/news/171406"><strong style="font-size: 22px;">Salesforce修補AI代理平臺重大漏洞ForcedLeak</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LeakedEmailsScreenShot-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/LeakedEmailsScreenShot-2.jpg" style="width: 300px; float: right;" /></a></p> <p>最近幾個月許多知名科技業者、精品業者、金融業者、資安業者傳出雲端CRM系統Salesfroce資料外洩的情況，因此一旦有這套系統相關的消息，便格外引人注目。</p> <p>例如，最近資安業者Noma Security公布的資安漏洞ForcedLeak，就是這種類型的例子。這項漏洞出現在Salesforce的AI代理平臺Agentforce，雖然目前沒有登記CVE編號，然而其CVSS風險值高達9.4（滿分10分），攻擊者有機會透過間接提示注入攻擊，竊取存放於CRM的敏感資料，相當危險。該公司於7月底向Salesforce通報此事並得到確認，Salesforce於9月上旬對Agentforce及Einstein AI用戶宣布，他們實作「受信任的URL」功能，並強制執行，來緩解這項資安漏洞。</p> <p>對此，我們也向Salesforce臺灣分公司進一步了解，該公司表示已發布修補程式因應，防範Agentforce代理輸出資料到不受信任的URL。針對提示注入的領域，該公司將投資強大的安全控制，並與資安研究社群密切合作，以便在發現類似問題的時候能夠保護客戶。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171419"><strong style="font-size: 22px;">日本啤酒生產商Asahi遭網攻，無法接單、出貨</strong></a></p> <p>生產知名Asahi啤酒的朝日集團控股公司（Asahi Group Holdings）昨（29）日公告遭到網路攻擊，影響該公司日本包含出貨等作業被迫暫停。</p> <p>朝日集團指出，災情僅限日本境內。目前未發現有個資或客戶資料流向外部人士。但數項作業因系統無法運作而暫停，包括集團內公司的訂單和出貨，以及電話客服系統，包括客服前臺作業。</p> <p>朝日集團正在調查原因並致力回復作業，不過，他們無法預估回復時間。雖然此類災情可能出於勒索軟體，但朝日集團並未說明。迄今也沒有駭客組織宣稱犯案。</p> <p><a href="https://www.ithome.com.tw/news/171418"><strong style="font-size: 22px;">英國哈洛德百貨再被駭，43萬名客戶個資外洩</strong></a></p> <p>英國精品百貨哈洛德（Harrods）上周因第三方IT系統被駭所累，遭駭客竊取客戶個資43萬筆。</p> <p>這起事故的揭露，最早是BBC報導，哈洛德百貨上周五發信，通知受影響的客戶資料外洩，此事獲得這家老牌百貨公司證實。哈洛德百貨也向BBC及The Register等媒體證實駭客已經聯繫贖款一事，但說他們拒絕和駭客交易。</p> <p>哈洛德發言人說，這波資料外洩並非出於公司系統被駭，而是使用的一家IT系統供應商遭入侵所連累。哈洛德拒絕透露被駭的IT供應商身分，但強調該供應商向他們說明，這次與5月發生的資安事故不同。</p> <p><a href="https://www.ithome.com.tw/news/171431"><strong style="font-size: 22px;">為協助Jaguar Land Rover供應鏈恢復運作，英國政府打算提供15億英鎊的貸款擔保</strong></a></p> <p></p> <p>9月初英國汽車大廠Jaguar Land Rover（JLR）遭遇資安事件停工將逾一個月，英國政府計畫提供15億英鎊貸款擔保，以協助這家英國車廠供應鏈恢復運作及支持員工生計。</p> <p>JLR於9月2日發生資安事件，導致英國境內兩座工廠暫停運作。雖然JLR力圖回復運作，但迄今仍未成功，並於上周通知客戶、供應商及合作夥伴，停產至少要到10月1日。JLR希望最快本周能確定復工的時程。</p> <p>英國政府打算透過英國出口融資署的出口發展擔保（Export Development Guarantee）計畫，提供5年15億英鎊貸款擔保。這類方案是降低借貸方無法償還貸款的風險，提升銀行或其他借貸者的意願。英國政府希望藉由協助JLR支付供應商、合作夥伴及員工的能力，避免眾多仰賴JLR的供應商破產，以及JLR與上游廠商可能的裁員風險。</p> <p><a href="https://www.ithome.com.tw/news/171402"><strong style="font-size: 22px;">人資廠商Miljödata遭勒索攻擊，Volvo集團北美員工個資遭外流</strong></a></p> <p>Volvo集團北美對員工發出資安通知，說明旗下第三方人資系統供應商Miljödata，在2025年8月遭遇勒索軟體攻擊，攻擊者隨後在暗網公開資料，導致包含Volvo員工在內的大量個資外流。</p> <p>根據個人資料洩漏查詢平臺Have I Been Pwned的記錄，本次事件涉及約87萬筆獨立電子郵件地址，外洩內容包含姓名、電話、住址、生日以及政府核發的個人識別碼等敏感資訊。瑞典媒體進一步指出，實際受影響人數可能超過百萬，範圍涵蓋市政單位與教育機構。</p> <p>依據Volvo在美國提交的員工通知文件，Miljödata的事件發生於8月20日，並於8月23日確認為勒索軟體事件，Volvo在9月2日接獲通知並展開後續處置。該文件強調，Volvo自有系統未受到直接入侵，但因透過Miljödata的服務處理人事資料，部分員工的姓名及美國社會安全碼（SSN）等資訊可能受到影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/vane-viper-generates-1-trillion-dns.html">駭客組織Vane Viper產生1兆次DNS查詢，掩蓋惡意軟體及廣告詐欺活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/cisco-asa-firewall-zero-day-exploits.html">思科ASA防火牆遭零時差漏洞攻擊，駭客以此部署惡意程式RayInitiator、Line Viper</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/china-linked-plugx-and-bookworm-malware.html">中國駭客利用惡意程式PlugX、Bookworm，攻擊亞洲電信業者</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/first-malicious-mcp-server-found.html">惡意MCP伺服器被打包成NPM套件，歹徒意圖藉此竊取電子郵件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-sought-bbc-reporters-help-in-hacking-media-giant/">勒索軟體駭客傳出企圖重金收買記者，做為攻擊知名媒體BBC的內應</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171439"><strong style="font-size: 22px;">資安戰情牆現形：資安院《資安週報》揭示國土防禦新視野</strong></a></p> <p>從2025年7月發生易飛網和海華科技遭供應鏈攻擊及資料竊取，到惡名昭彰的Ivanti VPN零時差漏洞被用於網路間諜活動，再到一般民眾頻繁遭遇的詐騙風險等，面對層出不窮的資安威脅，社會各界提升資安防禦與意識的需求，日益迫切。在這樣的背景下，國家資通安全研究院（資安院）日前宣布正式發行《資安週報》，這份週報不僅是單純的資訊彙整，更被視為構築國家級資安情資視野、推動資料驅動治理（Data-Driven Governance）的關鍵工具。</p> <p>數位發展部資通安全署署長蔡福隆強調情報共享的重要性，他表示，資安相關的訊息，其實，要互通才能做相關聯防，這也是提升政府機關資安防禦的關鍵。他對於資安院從今年7月開始發行《資安週報》試刊號表示肯定，並指出，週報內容已逐步滿足讀者需求，涵蓋國內外資安趨勢、高風險漏洞、攻擊手法，乃至於民眾關切的打詐資訊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171403"><strong>【9月26日】資安院漏洞獵捕計畫正式推出</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171374"><strong>【9月25日】中國駭客RedNovember滲透多國，臺灣國防、半導體遭鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171364"><strong>【9月24日】美國拆除由10萬張SIM組成的貓池</strong></a></p> </div></div></div>
2025/9/30 17:11作者周峻佑https://www.ithome.com.tw/news/171444
經濟部加速產業AI化，要聯手SI及法人加速AI落地8大關鍵產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>配合政府AI新十大建設及打造人工智慧島的願景，經濟部今天（9/30）啟動「AI應用躍昇計畫」，以醫療照護、電子組裝、零售流通等8大關鍵產業為優先，以補助鼓勵企業與SI或法人研發單位合作，導入AI產業應用，加速國內產業AI化。</p> <p>這項計畫由經濟部產業技術司主導，以化工與塑膠、金屬加工、半導體製造、精密機械、醫療照護、電子組裝、零售流通、農業與食品加工8大關鍵產業為優先（但不限），投入補助資源希望透過法人或SI打造AI共通模型，讓企業不需要從零開發，將AI模型導入既有的生產製程，提升生產效率或改善品質。</p> <p>經濟部希望透過「AI應用躍昇計畫」，讓AI應用從單點試煉到規模化落地，因此導入及擴散AI應用是關鍵，該計畫以共通模型為策略，目的為發揮AI模型最大價值，並且可快速複製應用、容易擴散。</p> <p>經濟部產業技術司長郭肇中表示，結合法人投入AI研發的經驗，以及試製場域，在SI的協助下，助企業加速技術驗證、模型調校、導入應用，縮短開發時程與成本。</p> <p>經濟部預期以5億元經費推動「AI應用躍昇計畫」，鼓勵企業與SI或法人合作開發AI應用，導入生產場域進行驗證，參加該計畫可分為「導入」、「擴散」兩種形式。其中的「導入型」主要以企業為主，企業與SI或法人合作導入AI，每一案補助上限為2千萬元，參與的SI後續可再申請1千萬元，但需要輔助擴散4家以上企業；至於「擴散型」則以SI業者為主導申請，每一案補助上限為2千萬元，每案需擴散至8間以上的企業。</p> <p>郭肇中指出，預期受理20個案件提出申請，希望促成AI應用擴散到至少百家企業。</p> <p>在此之前，國內產業導入AI已有一些成果，根據經濟部的統計，以法人的科專為例，在經費補助下，目前已開發31款共通應用模型，導入279家廠商使用，並針對20個產業客製化開發。</p> <p><span style="color:#B22222;"><strong>加速產業AI化已有成果</strong></span></p> <p>例如今天在現場展示由工研院研發的「瑕疵影像生成技術」，因應製造業少量多樣，缺少多樣態的瑕疵影像資料來訓練AI模型，因此利用生成式AI，先選擇想要生成的瑕疵的類型，例如污損或破洞，由生成式AI生成大量的瑕疵影像，宣稱只要1/9的原始標註資料，就能生成足夠的資料來訓練鑑別式AI，鑑別可達到95%的準確度。</p> <p>如下圖所示，工研院展示的瑕疵生成系統，以半導體為例，可選擇瑕疵的類型，生成式AI花費7秒可生成相同類型瑕疵，但不同位置的瑕疵影像，作為鑑別型AI模型訓練之用：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01(29).jpg" style="width: 600px; height: 438px;" /></p> <p>另外，紡織所則是開發出AI驗布技術，國內紡織產業承接Nike、Under Armour等國際知名運動品牌客戶，但是傳統紡織仰賴有經驗的員工或老師傅驗布，鑑別生製過程中是否出現瑕疵，一旦發現瑕疵才能找出問題，及早調整製程，但是仰賴人工檢視難以全面檢查，且容易因疲勞產生疏漏，導致瑕疵品流到市場，產生客訴或是導致品牌業者減少訂單。</p> <p>AI驗布技術避免人工檢驗容易出現疲勞的缺點，利用AI影像辨識可自動檢查生產過程中所有布料，鑑別製程中是否有髒污或破損，解決人工巡檢容易錯漏瑕疵的問題，改善布料的品質，這項技術可因應有經驗的員工或老師傅退休，而新進員工經驗仍不足的問題。</p> <p>金屬中心則是開發鍛造力AI分析系統，可針對金屬加工產業，利用鍛造力共通模型，蒐集製造設備的運作狀態數據，及早發現故障特徵，透過檢視鍛造力曲線，預警生產設備可能出現異常、模具可用時數，降低無預警停機的次數，並且延長模具可使用時數。</p> </div></div></div>
2025/9/30 18:30作者蘇文彬https://www.ithome.com.tw/news/171449
中國宇樹AI機器人存在資安漏洞UniPwn，攻擊者不僅能完全存取，還能透過藍牙進行自動感染
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月底臺北市副市長李四川<a href="https://www.facebook.com/permalink.php?story_fbid=pfbid0tADwHbnSm22Mi7gsQuhu56apWLiSM98xccGLtUprN7Yz5B3ndtoWMEQhcqjtoacFl&id=100051818071280">在社群媒體臉書發布貼文</a>向臺北市民介紹，北市府新工處引進「智能機器狗」巡視人行道，傳出此機器狗為中國宇樹科技（Unitree）的產品惹議，使得AI機器人的資安議題受到臺灣民眾高度關注。近期有資安研究員指出，<a href="https://github.com/Bin4ry/UniPwn">該廠牌的機器人存在資安漏洞UniPwn</a>，不僅能用於完整存取機器人，甚至能透過藍牙進行無線橫向感染，在沒有使用者干預的情況下形成機器人殭屍網路。</p> <p>根據<a href="https://spectrum.ieee.org/commodore-64-cartridge">科技與工程新聞網站IEEE Spectrum的報導</a>，資安研究員Andreas Makris與Kevin Finisterre在調查宇樹的機器人平臺時，發現低功耗藍牙（BLE）與Wi-Fi無線組態介面有重大漏洞，影響該廠牌Go2、G1、H1、B2等系列的機器人，雖然他們在今年5月首度向宇樹通報此事，但截至9月20日，最新版的韌體仍存在相同問題。兩名研究員指出，這應該是首度公開的人形機器人漏洞。由於之前該廠牌機器人曾<a href="http://takeonme.org/cves/cve-2025-2894/">被揭露存在未被公開的後門</a>，因此這項新漏洞的消息一出，隨即受到不少國內外的大眾新聞媒體關注，然而，怪異的是，鮮少有資安媒體報導此事。</p> <p>Andreas Makris指出，這項漏洞結合了多種弱點，包括：寫死的加密金鑰、身分驗證繞過，以及未適當清理可被用於命令注入。更可怕的是，他強調這項漏洞不僅能讓攻擊者完全控制受害機器人，還能自我擴散（Wormable），只要其他曝險的機器人在藍牙能夠存取的範圍，就能自動利用漏洞來入侵。</p> <p>上述弱點被登記為4個CVE編號，分別是CVE-2025-35027、CVE-2025-60017、CVE-2025-60250、CVE-2025-60251，涉及命令注入、特定的BLE封包解密字串、只要密鑰含有特定字串就能進行交握，以及透過Root權限進行作業系統命令注入，CVSS風險介於8.2至4.7。</p> <p>研究人員在4月中旬發現這些漏洞，並於下旬開發概念驗證程式（PoC），然後在5月中旬試圖透過多個管道聯繫宇樹，由於該公司缺乏具體的修補承諾，在7月下旬承認研究人員通報內容，卻表示他們需要耗費數季甚至數年，才有辦法進行完整的系統改朝換代來緩解弱點。對此，Andreas Makris決定直接公開揭露宇樹機器人的資安弱點，對於新發現的內容，將不再進一步披露。</p> <p>值得留意的是，Andreas Makris與Kevin Finisterre發現該廠牌機器人的資安漏洞，已有前例。2023年12月，他們在該廠牌Go1機器狗<a href="https://takeonme.org/cves/cve-2025-2894/">發現疑似後門的控制頻道並通報</a>，直到今年3月在<a href="https://x.com/Bin4ryDigit/status/1903092582021804543">X</a>、<a href="https://github.com/unitreerobotics/unitree_ros/issues/120">GitHub</a>、<a href="https://www.linkedin.com/feed/update/urn:li:ugcPost:7308840522159116288?commentUrn=urn%3Ali%3Acomment%3A%28ugcPost%3A7308840522159116288%2C7308863137074556928%29&dashCommentUrn=urn%3Ali%3Afsd_comment%3A%287308863137074556928%2Curn%3Ali%3AugcPost%3A7308840522159116288%29">LinkedIn</a>公開揭露，宇樹才默默對其進行修補。此漏洞被登記為CVE-2025-2894，風險值為6.1。</p> </div></div></div>
2025/9/30 15:58作者周峻佑https://www.ithome.com.tw/news/171436
資安戰情牆現形：資安院《資安週報》揭示國土防禦新視野
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在網路攻擊與詐騙案件頻傳的今日，資通安全不再是單純的技術問題，更是攸關國家安全與社會穩定的重大挑戰。</p> <p>從2025年7月發生易飛網和海華科技遭供應鏈攻擊及資料竊取，到惡名昭彰的Ivanti VPN零時差漏洞被用於網路間諜活動，再到一般民眾頻繁遭遇的詐騙風險等，面對層出不窮的資安威脅，社會各界提升資安防禦與意識的需求，日益迫切。</p> <p>在這樣的背景下，國家資通安全研究院（資安院）日前宣布正式發行《資安週報》，這份週報不僅是單純的資訊彙整，更被視為構築國家級資安情資視野、推動資料驅動治理（Data-Driven Governance）的關鍵工具。</p> <p>數位發展部資通安全署署長蔡福隆強調情報共享的重要性，他表示，資安相關的訊息，其實，要互通才能做相關聯防，這也是提升政府機關資安防禦的關鍵。他對於資安院從今年7月開始發行《資安週報》試刊號表示肯定，並指出，週報內容已逐步滿足讀者需求，涵蓋國內外資安趨勢、高風險漏洞、攻擊手法，乃至於民眾關切的打詐資訊。</p> <p>資通安全研究院院長林盈達明確指出，《資安週報》就是「資安治理的戰情牆」，這背後的哲學核心是，「我們要看得到才管得到。」他進一步解釋管理與治理的差異：管理是實際操作，治理則是透過收集和分析大量資訊，來評估各機關和關鍵基礎設施業者（CI）是否管理得當。</p> <h2><span style="color:#0000FF;"><strong>從戰情牆的六大支柱，透視資安威脅成績單</strong></span></h2> <p>資安院發行的《資安週報》試刊號在2025年7月17日公開發行，到9月底前，已發行至第11期並將持續出刊。《資安週報》的內容架構涵蓋六大類別，構成一張完整的資安「成績單」，也讓主管機關可以全面掌握資安態勢。</p> <p>林盈達將資安成績單畫分為幾個面向，從最嚴重的成功入侵事件，到最前端的網路騷擾與詐騙趨勢，逐一呈現臺灣當前的資安現況。</p> <h3><span style="color:#FF0000;"><strong>近期資安事件通報顯示，駭客已突破防線</strong></span></h3> <p>首先是「近期資安事件通報」，這部分彙整政府機關與關鍵基礎設施業者的資安事件，並收錄民間的重要通報。林盈達形容這類事件就像「命案」——代表駭客真的突破防線，造成實質衝擊，因此必須通報。</p> <p>根據統計，臺灣每年政府與關鍵產業的通報事件約1千多件，但若與每天高達 240萬次、一年接近10億次的攻擊行為相比，兩者之間相差百萬倍。他解釋：「唯有看得見，才能改進與治理。」這些週報同時也揭露企業的重大資安資訊，例如，在試刊號中，就曾披露海華科技與易飛網遭受駭客入侵的消息。</p> <h3><span style="color:#FF0000;"><strong>聯防監控聚焦已被偵測到的攻擊行動</strong></span></h3> <p>接下來是「聯防監控」，聚焦尚未突破防線、卻已被偵測到的攻擊行動。林盈達指出，駭客的行動往往經過一連串步驟，包括刺探（reconnaissance）、攻擊準備、初始入侵、惡意程式執行、提權（Privilege Escalation）、防禦迴避（Defense Evasion）等，最後才導致實際衝擊。</p> <p>由於各機關普遍設有防火牆（Firewall）、入侵偵測防禦系統（IDP）、端點偵測與回應系統（EDR）等層層防線，駭客必須一關關突破。林盈達說：「十億次攻擊最終轉化為約1千件通報，正是防禦層層過濾的結果。」透過聯防監控數據，資安人員就可以精確掌握攻擊進展到哪一階段，並在尚未造成重大影響前就提早攔截。</p> <h3><span style="color:#FF0000;"><strong>蜜罐誘捕可觀察主流攻擊趨勢</strong></span></h3> <p>以「蜜罐誘捕」觀察流行攻擊，就像流行病學在社區做病原調查。林盈達打了個生活化的比喻：如果把一群小朋友當作監測樣本，讓他們在同一時期出門玩耍，回來後各自得了不同的感冒，你就能統計出哪幾種病毒正在流行、各自的比例是 60％、20％、10％……。</p> <p>同理，密罐（honeypot）就是那群「樣本」，資安人員透過誘捕到的攻擊樣本，能清楚知道目前網路上常被利用的攻擊通路，以及常被濫用的漏洞類型。當某個漏洞像諾羅病毒在特定時段爆發，辨識出來後，醫生（也就是資安人員）就能立刻對症下藥。</p> <p>把這些情資回饋政府機關與關鍵基礎設施（CI）業者，能直接告訴他們要優先補哪個漏洞、堵哪條攻擊管道。換句話說，密罐的情報讓防禦方可以從被動回應變成主動布防。</p> <p>例如，在試刊號第3期，週報揭露思科Cisco IOS XE作業系統的漏洞CVE-2023 -20198就是CVSS得到滿分10分的漏洞，這也是駭客最常利用的前三大漏洞之一，可藉此提醒資安社群，必須優先加強網路通訊設備的防護。</p> <h3><span style="color:#FF0000;"><strong>外網曝險分析在機關與CI各挑55家，每兩週輪流檢視</strong></span></h3> <p>外部曝險分析則是另一套觀察方法，重點在於檢查門窗是否上鎖。這類檢視不需入侵對方內部系統，而是從外網觀察目標對外公開的設定，從伺服器與網路設備的設定是否安全、暴露哪些服務、使用的軟體版本是否已進行漏洞修補等。</p> <p>藉由這種「外網曝險分析」，可以快速判斷某一單位哪些部位容易被攻擊，並據此提出具體的修補與改進建議。這項做法在供應鏈管理上格外有用，當一家公司有上千家供應商時，透過外部曝險資料就能知道整個供應鏈中是否有「著火點」會傳染到自己。</p> <p>資安院目前以輪替方式對象進行觀察與評估：在A／B級兩種分級的政府機關，以及特定關鍵基礎設施（CI）業者中，各自選取55家，每兩週輪流檢視一次外部曝險情況。</p> <p>林盈達表示，長期追蹤下的發現顯示，政府機關因多年來在法遵上的壓力，外部曝險的程度普遍低於某些私部門關鍵基礎設施業者；後者過去在資安管理上的要求較寬，導致曝險點較多，未來必須投入更多資源改善。</p> <p>以2025年7月發生的海華科技事件為例，資安院《資安週報》也提醒企業應從三個面向加強資安：檢視供應鏈安全、持續檢查外部曝險，以及強化關鍵系統的防護。</p> <h3><span style="color:#FF0000;"><strong>高風險詐騙巡查發現許多結合AI的身分偽造與詐騙</strong></span></h3> <p>面對不斷進化的詐騙手法，資安院還新增了「高風險詐騙巡查」。林盈達觀察到，詐騙已從過去大量偽冒身分、廣泛投放的模式，演化為結合人工智慧（AI）進行身分偽造，並針對特定族群投放精準詐騙。</p> <p>例如，詐騙集團會利用臉書（Meta）等平臺的廣告系統，專門鎖定特定興趣的年長者族群進行詐騙。為此，資安院與警政署合作，透過AI偵測技術掃描Line群組，僅一個多月就協助下架超過七萬個詐騙帳號與群組。</p> <p>林盈達解釋，這套技術是透過聊天機器人進入群組，蒐集對話內容，並比對帳號特徵來辨識詐騙行為，誤判率極低。這種快速清除行動，讓詐騙廣告的存活時間從數天縮短到僅剩數小時，迫使詐騙集團不得不轉向更隱密的私人群組。他甚至推測，詐騙集團可能已經進入「垂死掙扎」的階段。</p> <h3><span style="color:#FF0000;"><strong>焦點文章提供資安治理與技術的深入內容</strong></span></h3> <p>最後，資安成績單還包含「焦點文章」，深入探討資安治理與技術研究。這些專文涵蓋的議題相當廣泛，從國際趨勢到臺灣的資安政策，再到特定技術的風險評估。</p> <p>例如，過去的焦點文章曾分析：資安產業在公私協力治理中的角色；也曾探討駭客如何濫用雲端服務，作為資料回傳的中繼站。</p> <p>林盈達特別指出，傳統駭客常使用命令與控制伺服器（C2）作為中繼站，但這種方式容易被偵測；如今駭客改利用AWS或Google這類雲端服務作為跳板，讓偵測工作更加困難，因為這些流量往往被視為「可信任連線」。週報因此建議，機關與企業必須注意雲端服務的濫用風險，並建立明確的使用規範與行為監控。</p> <p>透過這六大面向的分析，林盈達強調，資安治理不只是數字遊戲，而是需要將事件、趨勢與技術觀察串連起來，才能真正提升國家與產業的整體防禦韌性。</p> <h2><span style="color:#0000FF;"><strong>透過數據分析與法遵要求，調整防禦策略與資源配置</strong></span></h2> <p> 《資安週報》的定位非常清楚，它的核心目標就是「推動數據驅動的資通安全治理」。林盈達解釋，透過週報呈現的事件通報、外部曝險與聯防監控數據，不僅能幫助政府機關進行風險評估，也能協助調整防禦策略與資源配置，進一步引導公私部門逐步建立以資料科學為基礎的資安治理模式。</p> <p>林盈達也指出，目前週報的重點大多落在事件通報、外部曝險與情資分析，但未來將會納入「法遵」——也就是法規遵循的面向。許多政府單位雖然都提交資安相關報告，但這些資料往往是靜態文件，難以快速整理與分析。</p> <p>因此，他指出，資安院正積極開發大型語言模型（LLM）工具，透過自動化方式來整理這些法遵報告，預計在今年底前（2025年）完成。屆時，週報將能揭露更多各機關在資安稽核或測試中出現的缺失，讓焦點更集中在需要改善的環節上。</p> <h2><span style="color:#0000FF;"><strong>公開資訊揭露需平衡情資共享與國家安全份際</strong></span></h2> <p>雖然《資安週報》是公開刊物，但在資訊揭露上，資安院必須拿捏情資共享與國家安全之間的界線。林盈達強調，有兩大類資訊絕對不會公開。第一類是「個別機關的資訊」，未來治理平臺會讓各機關看到自己在曝險、通報與監控數據上的分布情況，但這些屬於高度機敏資訊，一旦公開，很可能反而成為駭客鎖定的攻擊目標。因此，週報只會呈現整體加總後的統計數據，不涉及單一機關，但仍能讓外界掌握大方向上最迫切需要改善的領域。</p> <p>第二類則是「情資系統」的機密內容，例如惡意中繼站（C2）的分布，或是進階持續性威脅（APT）組織的溯源分析（Attribution）。林盈達指出，這些訊息一旦公開，駭客就能推測資安院已經掌握多少情報，進而調整攻擊手法，避開防禦。</p> <p>他直言：「駭客不知道我們知道，我們也不知道駭客知不知道別人已經知道。」所以，這類情資僅僅會在可信任的合作夥伴之間分享，而不會對外公開。</p> <h2><span style="color:#0000FF;"><strong>營運模式採用專業團隊與自動化並行</strong></span></h2> <p>週報的受眾定位相當精準，蔡福隆表示，週報的目標讀者是「資安社群」，包括各機關與企業的資安防護人員、政府的資安主管，甚至連駭客社群都在考量範圍內。這份週報已於2025年9月11日正式上線，固定於每週四上午十點發布，讀者可以直接在國家資通安全研究院官網瀏覽。</p> <p>目前週報的編輯團隊規模不大，約8到10位跨部門專家負責，但多數人並非全職，而是各中心專家在兼顧其他業務的同時提供資料與撰稿。林盈達透露，資安院正在推動自動化流程，未來希望透過大型語言模型來生成文字說明，並結合自動化數據匯入與繪圖，逐步走向「全自動化週報」，大幅減輕人力負擔。</p> <p>為了提升普及性，資安院也規畫在9月底推出訂閱機制，並採取手機簡訊驗證的方式確認身分，以防止國外網軍滲透。他特別強調：「我們不希望中國的網軍也訂閱。」這樣的設計，凸顯資安資訊傳播背後的安全顧慮。</p> <h2><span style="color:#0000FF;"><strong>資安院將擴大對企業協助，透過數據驅動資安治理</strong></span></h2> <p>外界也關注《資安週報》與資安署既有的《資安月報》如何區隔。蔡福隆表示，月報比較著重於政策與長期趨勢分析，週報則鎖定即時的技術層面。他認為，兩者在面向、時效性與案例內容上，都有明顯不同：月報關注的是與民眾生活較有關的案例，週報更聚焦資安社群需要的技術個案。換言之，月報面向全民，而週報則是專業社群的資訊平臺。</p> <p>在資訊共享方面，蔡福隆也特別提到，政府機關與企業面對的攻擊模式其實「非常相似」。因此，未來《資安週報》不只協助公部門，也會成為民間企業的重要參考。隨著《資安法》修法後，資安院將逐步擴大對企業的協助，從事件通報到資源運籌，甚至防禦部署，都會納入輔導範圍。</p> <p>資安院旗下的臺灣電腦網路危機處理暨協調中心（TWCERT∕CC）則補充說，未來會更積極將週報的電子報推送給會員，並利用Line社群等平臺擴散，讓更多產業夥伴即時掌握最新資安情報。</p> <p>林盈達總結指出，《資安週報》的使命，就是要提升資安社群的視野與意識，讓整個社群（community）透過數據來驅動資安治理。他表示，週報的出現，既是資訊分享的工具，也是臺灣資安戰線上的「戰情牆」，讓各界能在資訊洪流與不斷升級的威脅之下，及時調整防禦策略。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/9/30 16:26作者黃彥棻https://www.ithome.com.tw/news/171439
美國法院把大疆歸類為中國軍事公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國防部在2022年將全球最大民用無人機製造商大疆（DJI）列入中國軍事公司，使得大疆在2024年10月提出告訴，然而，<a href="https://s3.documentcloud.org/documents/26158498/dod-can-call-dji-a-chinese-military-company-court-opinion.pdf" target="_blank">法官在上周五（9/26）裁決</a>，大疆的確是中國軍事公司。</p> <p>美國國防部最初的舉動源自於中國政府正在推動軍民融合政策，要求民營的高科技產業支援國防工業，而DJI即被中國國家發展及改革委員會指定為「國家企業技術中心」，領取政府補助、稅收優惠與技術資源；再加上DJI曾獲得中國國有基金的投資；再加上懷疑DJI產品可能被用於中國政府的監控行動，因而將DJI歸類為中國軍事公司。</p> <p>在被列入中國軍事公司之後，DJI的產品即難以出售至美國政府機構，美國投資人也會被禁止投資DJI。使得DJI在去年10月提出告訴，表示這將讓該公司失去與美國政府機構的合作，品牌被污名化，要求國防部撤銷該決定。</p> <p>DJI的論點包括該公司的主要產品為民用無人機，並未與中國軍方合作或開發軍用產品；且DJI為私人公司，就算曾獲兩家國有基金投資，股權也不到1%；而且DJI並不干涉用戶如何使用產品，也不參與或支持任何侵犯人權的行為。</p> <p>不過，美國地方法院法官Paul Friedman上周駁回了DJI的訴訟，維持美國國防部將DJI列為中國軍事公司的決定。Friedman認為，雖然無法證明DJI受到中國共產黨或軍方的控制，但有足夠證據顯示DJI受到中國政府的支持與認可；且DJI的確獲得了中國國家發展及改革委員會的資源；即便只有少許國有資金介入，還是具有國家關聯性。</p> <p>被列入中國軍事公司或許不是DJI在美國市場所面臨的最大危機。去年12月，<a href="https://www.ithome.com.tw/news/166700" target="_blank">美國政府要求</a>DJI要在一年內證明該公司並未威脅美國的國家安全，否則就要全面封鎖DJI；<a href="https://viewpoints.dji.com/blog/dont-ground-innovation-the-real-world-cost-of-banning-dji-in-the-u.s" target="_blank">接著DJI在今年7月發文</a>，表示該公司遲遲未收到任何審查程序，並警告倘若因政治或時間壓力遭到封殺，將會有許多美國企業被迫停業。</p> </div></div></div>
2025/9/30 16:31作者陳曉莉https://www.ithome.com.tw/news/171440
Google揭露ASLR資訊洩漏手法，Apple三月已修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Project Zero研究人員公開一項<a href="https://googleprojectzero.blogspot.com/2025/09/pointer-leaks-through-pointer-keyed.html">研究</a>，說明iOS、iPadOS和macOS在特定條件下，即使不涉及記憶體安全漏洞或計時旁路，攻擊者仍可能透過資料結構的特性推得系統記憶體位址，進而削弱位址空間配置隨機化（Address Space Layout Randomization，ASLR）安全防護的效果。該攻擊手法研究屬於在macOS上的人為測試情境，尚未發現可直接利用的攻擊面，而Apple也已在今年3月31日的安全更新修補潛在風險。</p> <p>研究的重點在於指標作為鍵值（Key）的資料結構如何成為洩漏來源，研究人員設計的測試程式利用了Apple的NSKeyedUnarchiver與NSKeyedArchiver API，模擬反序列化與再序列化的過程。攻擊者要是能傳入精心設計的物件，並獲得系統輸出的序列化結果，便能藉由觀察鍵值輸出的順序，推斷出特定物件在記憶體中的位址。</p> <p>而NSNull正是這項攻擊技巧的關鍵，與一般物件不同，NSNull對應的CFNull是該類別在全系統唯一的單例（Singleton），存在於共享快取之中。由於其雜湊值直接取自物件位址，當其被插入NSDictionary對應表時，最終序列化的輸出順序就會暴露其雜湊桶（Hash Bucket）位置。研究人員透過安排大量數值鍵（NSNumber）填滿不同的雜湊桶，再插入NSNull到NSDictionary，成功觀察到其位置差異，進一步利用數學方法組合出完整雜湊值，最終還原出CFNull的實際位址。</p> <p>雖然這只是理論性展示，但概念上與過去的hashDoS或其他以指標為基礎雜湊所引發的洩漏手法相關。特別的是，該手法不依賴效能差異或時間觀測，只要能取得序列化結果，就能推算位址。研究人員也提醒，即便沒有混合不同型別的鍵值，單純使用指標為鍵值的資料結構，在合適情境下也可能洩漏部分資訊，進而影響ASLR的隨機化保障。</p> <p>不過，對使用者而言，這並非立即可被濫用的攻擊途徑。研究人員也坦言，尚未發現實際的macOS或iOS攻擊面，但如果特定服務中，反序列化與再序列化資料會跨越安全邊界回傳，就可能被利用來建立位址洩漏通道。</p> <p>Apple在今年3月釋出的<a href="https://support.apple.com/en-us/122371">iOS 18.4、iPadOS 18.4</a>與<a href="https://support.apple.com/en-us/122373">macOS Sequoia 15.4</a>等版本中，已針對相關風險進行修補，使用者只要更新至最新版本即可避免。</p> </div></div></div>
2025/9/30 15:28作者李建興https://www.ithome.com.tw/news/171435
中國去年安裝近30萬個工業機器人，超越全球其它市場總和
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的國際機器人聯盟（International Federation of Robotics，IFR）上周公布了《2025年全球機器人報告》（<a href="https://ifr.org/downloads/press_docs/PressConference2025_presentation.pdf" target="_blank">World Robotics 2025 Report</a>），指出全球在2024年新安裝了52.4萬臺工業機器人，但光是中國的安裝量就達到29.5萬臺，超越全球其它市場的總和。</p> <p><a href="https://ifr.org/downloads/press_docs/2025-09-25-IFR_press_release_China_in_Chinese.pdf" target="_blank">IFR的報告也透露</a>，全球在2024年總計有446.4萬臺正在運作的機器人，比前一年成長9%，其中，中國是全球最大的市場，有202.7萬臺正在服役的機器人。</p> <p>簡單地說，中國正在服役的機器人占了全球的45.4%，而該國在2024年新增的機器人數量占全球56.3%。</p> <p>此外，<a href="https://www.nytimes.com/2025/09/25/business/china-factory-robots.html?unlocked_article_code=1.ok8.gogJ.W3A02GijjI-v" target="_blank">紐約時報（New York Times）引用IFR未公開的報告，披露</a>中國同時也是全球最大的工業機器人製造國，中國製工業機器人市占率已從2023年的1/4，成長至2024年的1/3，超越了日本。日本原為全球最大工業機器人製造國，在2023年的市占率為38%，2024年則下滑至29%。</p> <p>而且原本中國境內所安裝的工業機器人還是以進口為大宗，去年該現象也已翻轉，在2024年所安裝的工業機器人中，有接近3/5是本地生產的。</p> <p>雖然在機器人製造領域與日本競爭激烈，但中國在機器人的使用上穩居冠軍。中國有202.7萬臺正在服役的機器人，居次的日本有45萬臺，美國有40萬臺，南韓有39.2萬臺，<a href="https://ifr.org/downloads/press_docs/PressConference2025_presentation.pdf" target="_blank">臺灣也在前十名排行榜內，以9.2萬臺位居第七名</a>。</p> <p>全球的工業機器人有24%被部署在電子產業，有23%位於汽車產業，另外的53%則部署在各式各樣的製造業中。</p> </div></div></div>
2025/9/30 14:37作者陳曉莉https://www.ithome.com.tw/news/171434
加州正式成為全美首個要求AI公司揭露安全測試制定的州別
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加州州長Gavin Newsom周一（9/29）正式簽署了《前沿人工智慧透明度法案》（Transparency in Frontier Artificial Intelligence Act，TFAIA，Senate Bill 53），成為全美首個要求大型AI開發商公開其採用的國家、國際標準及安全機制的州，為AI安全治理立法開創先例。</p> <p>TFAIA是由加州參議員Scott Wiener所提出，以用來規範大型的前沿AI開發商，主要架構包括要求AI業者公開所採用的國家、國際標準與最佳實踐框架；建立回報系統，以讓企業與大眾通報重大AI安全事件；建立問責制度以保護揭露AI模型健康及安全風險的吹哨者；以及成立CalCompute聯盟來發展公共AI運算叢集。</p> <p><a href="https://www.gov.ca.gov/2025/09/29/governor-newsom-signs-sb-53-advancing-californias-world-leading-artificial-intelligence-industry/" target="_blank">加州州長辦公室表示</a>，加州除了是AI的發源地之外，還擁有全球50家頂級AI公司中的32家；去年全美的AI職缺中，有15.7%位於加州，領先第二名德州的8.8%；而且2024年全球的AI及機器學習創投資金有超過一半落在加州。</p> <p>除了Google、蘋果、Meta及Nvidia等大型科技公司總部都位於加州之外，OpenAI、Anthropic、xAI、Scale AI、Inflection AI、Hugging Face及Perplexity AI等前沿AI新創也都在加州。</p> <p><a href="https://sd11.senate.ca.gov/news/governor-newsom-signs-senator-wieners-landmark-ai-law-set-commonsense-guardrails-boost" target="_blank">Wiener表示</a>，TFAIA是全美首創的AI安全透明法，為AI產業建立信任、公平與問責框架，並藉由CalCompute來推動AI基礎設施公共化及民主化，該法案讓加州再度成為全球科技及安全的雙重領導者。</p> <p><a href="https://www.gov.ca.gov/wp-content/uploads/2025/09/SB-53-Signing-Message.pdf" target="_blank">Newsom則說</a>，AI正在重塑人們的生活、工具、經濟與政府運作方式，它的潛力巨大，能幫助人類解決氣候變遷、提升醫療照護、改善教育及公共服務，然而，它也可能帶來錯誤資訊、偏見決策或安全威脅。Senate Bill 53代表了加州的核心價值，在創新與責任之間取得平衡。</p> </div></div></div>
2025/9/30 12:52作者陳曉莉https://www.ithome.com.tw/news/171433
美國聯邦機構未及時修補遭GeoServer已知漏洞攻擊，駭客試圖上傳中國菜刀及各式作案工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月下旬OSGeo<a href="https://www.ithome.com.tw/news/164930">發布2.25.2版地理位置資訊伺服器GeoServer</a>，修補修補重大層級的漏洞CVE-2024-36401（CVSS風險值9.8），隔月美國網路安全暨基礎設施安全局（CISA）表明已被用於攻擊行動，列入已遭利用的漏洞名冊（KEV），一年後CISA指出，<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-266a">有聯邦機構在漏洞公布不久後就遭遇相關攻擊</a>，並公布事故的細節。</p> <p>針對這起漏洞攻擊事故，CISA指出突顯了受害組織存在3項問題而釀禍，包含漏洞未及時修復、事故應變計畫（Incident Response Plan，IRP）未測試或執行，以及並未持續檢視EDR系統的警示訊息。</p> <p>對此，他們呼籲企業組織應優先修補曝露在網際網路的應用系統，緩解已遭利用的漏洞，以及重大層級的漏洞，來減少被入侵的攻擊面。企業組織要藉由維護、演練、改善事故應變計畫，為因應資安事件做好準備。此外，也要集中化實作全面且詳細的事件記錄，並進行彙總。</p> <p>9月下旬CISA指出，在CVE-2024-36401公布不久，某個大型聯邦文職行政部門（FCEB）機構遭到入侵，駭客先於去年7月11日利用漏洞滲透第一臺GeoServer，藉此取得初始入侵管道，下載能公開取得的工具及指令碼，後續在7月24日以相同漏洞滲透第二臺主機。</p> <p>過程中，駭客先利用動態應用程式安全測試（DAST）工具Burp Scanner，尋找存在CVE-2024-36401的GeoServer，然後從該機構的第一臺GeoServer主機橫向移動，陸續攻入網頁伺服器及SQL Server主機，並試圖在所有伺服器上傳中國菜刀（China Chopper）及其他Web Shell，運用指令碼進行遠端存取、命令執行、權限提升，以及建立存取管道。附帶一提的是，過程裡攻擊者也運用寄生攻擊（LOTL）手法來隱匿行蹤。</p> <p>駭客試圖透過公開能取得的工具從事惡意活動，其中一項是利用雲端基礎設施供應商的虛擬私人伺服器，遠端存取受害組織的網路環境。</p> <p>為了提升權限，駭客疑似運用公開的<a href="https://www.ithome.com.tw/news/109228">Dirtycow（CVE-2016-5195）</a>漏洞利用工具，試圖入侵網頁服務帳號；得逞後他們進一步提升本機權限，但方法不得而知。</p> <p>然而駭客的活動持續了3週才被發現，該FCEB機關的資安維運中心（SOC）在7月31日終於透過EDR工具察覺異狀，在SQL Server偵測到疑似惡意檔案，於是他們尋求CISA協助，才找出GeoServer遭到入侵的跡象，CISA循線揭露整起攻擊行動。</p> </div></div></div>
2025/9/30 11:25作者周峻佑https://www.ithome.com.tw/news/171407
英國政府擬提供15億英鎊貸款擔保協助Jaguar Land Rover供應鏈恢復運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國汽車大廠Jaguar Land Rover(JLR)上月初遭遇資安事件停工將逾一個月，英國政府計畫提供15億英鎊貸款擔保，以協助這家英國車廠供應鏈恢復運作及支持員工生計。</p> <p>JLR於9月2日發生資安事件，導致英國境內兩座工廠暫停運作。雖然JLR力圖回復運作，但迄今仍未成功，<a href="https://www.ithome.com.tw/news/171354" target="_blank">並於上周通知客戶、供應商及合作夥伴</a>，停產至少要到10月1日。JLR希望最快本周能確定復工的時程。</p> <p>英國政府計畫透過英國出口融資署的出口發展擔保(Export Development Guarantee)計畫提供5年15億英鎊貸款擔保。這類方案是降低借貸方無法償還貸款的風險，提升銀行或其他借貸者的意願。英國政府希望藉由協助JLR支付供應商、合作夥伴及員工的能力，避免眾多仰賴JLR供應商破產，以及JLR與上游廠商可能的裁員風險。</p> <p><a href="https://www.gov.uk/government/news/government-backs-jaguar-land-rover-with-15-billion-loan-guarantee" target="_blank">英國商業、能源和產業戰略大臣 (Business and Trade Secretary) Peter Kyle指出</a>，這次網路攻擊不僅是對英國龍頭品牌的襲擊，也衝擊了英國汽車產業及該公司維繫的千萬員工生計。藉由這項行動，貸款擔保將支援供應商，以及保全工廠所在地與全英國的技術性工作。</p> <p>JLR現為TATA Motors所有，JLR在英國有三座工廠，每天能生產1000部Land Rover，路透社報導，該公司每停工一星期將損失6800萬美元。</p> <p><a href="https://www.landrover.co.uk/careers/index.html" target="_blank">根據JLR官網</a>，該公司英國三座工廠及產品研發中心聘僱員工達11,000人。</p> </div></div></div>
2025/9/30 11:36作者林妍溱https://www.ithome.com.tw/news/171431
OpenAI於ChatGPT中推出購物功能，開源Agentic Commerce Protocol
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/buy-it-in-chatgpt/" target="_blank">OpenAI周一（9/29）宣布</a>，已開放美國消費者於ChatGPT服務中購買商品並即時結帳（Instant Checkout），同時開源了支援該功能的代理商務協議（Agentic Commerce Protocol，ACP）。</p> <p>當使用者於ChatGPT提出跟購物有關的問題時，像是詢問「100美元以下的最佳跑鞋」或是「送給陶瓷愛好者的禮物」時，ChatGPT會顯示網路上最相關的商品，這些商品是自然排序的，沒有廣告或贊助，完全依據使用者需求的相關性進行排序。</p> <p>倘若產品支援即時結帳，使用者就可按下「買」（Buy），並直接於ChatGPT中確認訂單、運送與支付細節。目前該功能僅支援美國的免費、ChatGPT Plus及ChatGPT Pro用戶，也只能購買來自Etsy賣家的商品，但很快就會擴大到支援逾100萬家的Shopify商家。至於其它市場的規畫則尚未曝光。</p> <p>同一天開源的<a href="https://www.agenticcommerce.dev/" target="_blank">代理商務協議（ACP）</a>是由OpenAI與美國金融科技業者Stripe共同建置的，定位為買家、AI代理人及商家之間的程式化商業流程之開放標準，標榜可相容於不同的平臺、支付處理器及業務類型，也能在不變更後端系統的前提下快速整合，並允許商家保有從出貨、退貨到客服的整個購物流程的控制權。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0930-Buy%20it%20in%20ChatGPT-Agentic%20Commerce%20Protocol-OpenAI-02.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>因此，當使用者下訂單時，ChatGPT即會透過ACP將必要的詳細資訊發送到商家後端，商家可決定接收或拒絕訂單，利用原本的供應商來處理支付問題，也依照平常方式出貨及提供客服。</p> <p>OpenAI強調，這次的發布只是個開始，隨著AI成為人們探索、決策與購買的關鍵介面之後，ACP將替新世代商務奠定連結消費者及企業的基礎。</p> <p>消息曝光後，Etsy當天股價大漲15.83%，以74.34美元作收，還沒上線的Shopify也漲了6.24%，收在149美元。</p> </div></div></div>
2025/9/30 11:39作者陳曉莉https://www.ithome.com.tw/news/171432
Claude Code推出VS Code擴充與檢查點機制，更具長任務執行能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic推出多項<a href="https://www.anthropic.com/news/enabling-claude-code-to-work-more-autonomously">Claude Code更新</a>，包含原生VS Code擴充功能、終端機介面2.0，以及新的檢查點機制。這些功能以Claude Sonnet 4.5為基礎，讓開發者在IDE與終端機間更順暢地處理複雜度高的長任務，同時保有可回溯的能力。</p> <p>原生VS Code擴充功能測試版已在Visual Studio Marketplace提供下載，啟用後，開發者可透過專屬側邊面板即時檢視Claude提出的修改，並以行內差異檢視與原始程式碼進行對照，也可將編輯器選取內容直接送入Claude Code作為對話脈絡。對於習慣在IDE工作的使用者，這項更新使代理的互動模式更貼近日常開發工作，並減少在終端機與編輯器間切換的摩擦。</p> <p>終端機介面同步更新至2.0版本，重新設計的介面提升狀態可見度，並新增可搜尋的互動歷史，讓開發者能快速重用或修訂先前的提示，改善長時間開發工作中的可追溯性與操作效率。</p> <p>此次最受矚目的新功能是檢查點系統，當Claude Code準備修改程式碼時，系統會自動保存當前狀態，使用者可在需要時立即回復到先前版本。回復選項不僅限於程式碼，還可選擇包含對話內容，不過，檢查點僅適用於Claude的編輯，不包含使用者手動編輯或bash指令，官方建議仍搭配版本控制使用，將檢查點視為短期安全機制，與既有的Git工作流程相互搭配。</p> <p>除核心介面更新外，Claude Agent SDK也同步強化，支援子代理與觸發掛鉤（Hooks），讓團隊能建立更細緻的代理架構。子代理允許分派專責任務並行處理，例如後端API建置與前端開發同步進行；Hooks則能在程式碼變更後自動觸發測試或Lint程式碼規範檢查，將例行驗證步驟自動化。這些擴充能力使Claude Code不僅是個人開發工具，也能融入團隊工作流，支援金融法遵、資安檢測或程式除錯等多樣化應用場景。</p> <p>Claude Code可透過NPM快速安裝並登入使用，企業用戶則可在AWS Bedrock或Google Vertex AI環境下整合，兼顧現有雲端基礎設施與法遵需求。模型選擇也更加靈活，用戶可透過斜線指令切換不同模型，根據工作需求調整精度與效能。</p> <p>作為此次更新的核心，<a href="https://www.anthropic.com/news/claude-sonnet-4-5">Claude Sonnet 4.5</a>是最新預設模型，針對長時序任務與複雜推理強化。實測顯示其可維持超過30小時連續運作，並在完整應用開發流程展現更高穩定性與推理深度，對需要跨步驟推理與多工具協作的任務而言，Sonnet 4.5提供了更可靠的基礎，使Claude Code能夠具備更高的自主性。</p> </div></div></div>
2025/9/30 11:54作者李建興https://www.ithome.com.tw/news/171430
Salesforce修補AI代理平臺重大漏洞ForcedLeak
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾個月許多知名科技業者、精品業者、金融業者、資安業者傳出雲端CRM系統Salesfroce資料外洩的情況，因此一旦有這套系統相關的消息，便格外引人注目。</p> <p>例如，最近資安業者Noma Security公布的<a href="https://noma.security/blog/forcedleak-agent-risks-exposed-in-salesforce-agentforce/">資安漏洞ForcedLeak</a>，就是這種類型的例子。這項漏洞出現在Salesforce的AI代理平臺Agentforce，雖然目前沒有登記CVE編號，然而其CVSS風險值高達9.4（滿分10分），攻擊者有機會透過間接提示注入攻擊，竊取存放於CRM的敏感資料，相當危險。該公司於7月底向Salesforce通報此事並得到確認，Salesforce於9月上旬對Agentforce及Einstein AI用戶宣布，他們實作「受信任的URL」功能，並強制執行，來緩解這項資安漏洞。</p> <p>對此，我們也向Salesforce臺灣分公司進一步了解，該公司表示已發布修補程式因應，防範Agentforce代理輸出資料到不受信任的URL。針對提示注入的領域，該公司將投資強大的安全控制，並與資安研究社群密切合作，以便在發現類似問題的時候能夠保護客戶。</p> <p>對於ForcedLeak的發現，Noma Security認為突顯了AI代理有可能因受信任的資料來源當中，被嵌入了惡意指令而導致受害，攻擊者可透過AI對於內容驗證的弱點，過於寬鬆的模型行為，從而繞過內容安全政策（CSP），他們可提交有問題的Web-to-Lead內容，使得Agentforce在處理的過程執行未經授權的命令。</p> <p>什麼是Web-to-Lead？這是允許外部使用者，例如：網站使用者、會議的與會者，以及潛在客戶，提供相關資訊給CRM系統的功能，通常會用於會議、展覽、市場行銷活動，以便從外部資料收集潛在客戶資訊。</p> <p>Noma Security對於ForcedLeak形成的原因，大致分成4項，首先，是AI模型的邊界問題，對於查詢的範圍及內容未受到充分的管制；再者，則是輸入驗證不足，對於使用者控制的資料欄位，未進行適當的清理。</p> <p>第三點源於內容安全政策，Agentforce的網域白名單管制相當寬鬆，竟允許存取過期資產；最後一點與人機互動方法有關，因為員工查詢的行為可被預測，而能被用來觸發攻擊者控制的資料。</p> <p>究竟攻擊者如何利用這項漏洞？首先，他們提交特製的Web-to-Lead表單，並等待內部員工使用AI查詢。此時Agentforce就會一起執行正常與惡意的指令，從而導致系統查詢CRM的敏感資料，並傳送到攻擊者控制的伺服器。</p> </div></div></div>
2025/9/30 11:19作者周峻佑https://www.ithome.com.tw/news/171406
採用AMD第四代EPYC處理器，微軟新款機密運算虛擬機器上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/azure_ecasv6-series_main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月舉行的Ignite年度用戶大會，微軟宣布增設兩個支援機密運算的虛擬機器（Confidential Virtual Machines，CVM）：鎖定一般用途的DCasv6系列與DCadsv6系列，單臺虛擬機器的記憶體容量最大為384 GiB，以及專攻記憶體密集工作負載的ECasv6系列與ECadsv6，單臺虛擬機器的記憶體容量最大為672 GiB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure CVM-portoflio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20CVM-portoflio.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DCasv6-DCadsv6-ECasv6-ECadsv6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DCasv6-DCadsv6-ECasv6-ECadsv6.png" style="width: 600px;" /></a></p> <p>這些運算服務搭配的處理器均採用AMD第四代EPYC平臺（EPYC 9004系列），每一臺虛擬機器最大可提供96顆虛擬處理器，預設啟用256位元長度AES演算法加密，當中若搭配Windows作業系統，企業可以運用軟體內建的虛擬化安全防護（Virtualization-based Security，VBS），以及處理器應內建的強制措施，保護作業系統與應用程式使用的加密金鑰。</p> <p>根據微軟內部測試結果，相較於基於AMD第三代EPYC平臺的機密運算虛擬機器（DCasv5系列，採用AMD EPYC 7003系列處理器），新登場的DCasv6系列在多種項目當中，效能領先幅度達到25％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-Chartgradient-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-Chartgradient-web.jpg" style="width: 600px;" /></a></p> <p>今年9月下半，這批機密運算虛擬機器正式上線，目前在Azure的兩個雲端區域供應，分別是：阿拉伯聯合大公國北部、韓國中部，而在應用的相關的安全防護功能上，標榜它們均支援SEV-SNP（AMD EPYC 7003系列開始支援），可提供硬體信任根的見證、記憶體加密、強化資料的機密程度，並且能夠防護雲端維運人員、系統管理者，以及企業用戶內部人員等層面的資安威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Confidential VM options-2025-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Confidential%20VM%20options-2025-09.jpg" style="width: 600px;" /></a></p> <p>關於加密金鑰的使用，微軟也在DCasv6系列與ECasv6系列正式上線公告特別提到，這批機密運算虛擬機器能在上線狀態當中，輪流更換加密金鑰。可惜的是，微軟目前未詳談用戶實際操作這項功能的方式，而根據2022年7月發布的文件來看，Azure機密運算虛擬機器不支援自動輪換金鑰的功能，或許未來會揭露相關的作法。</p> <p>關於延伸應用上，微軟宣布旗下的雲端容器平臺代管服務Azure Kubernetes Service（AKS）支援DCasv6系列與ECasv6系列，可簡化企業對於機密Kubernetes叢集環境的部署、規模擴展，以及管理作業，加速應用系統開發工作流程，減少軟體持續整合與持續交付（CI/CD）流程的手動操作。相對而言，AKS也能針對機密運算虛擬機器節點群組，提供整合的監控與事件記錄機制，進而深層掌握叢集環境與容器化應用程式的效能，以及系統運作狀態，得到洞察分析能力。</p> <p>在上述機密運算容器平臺環境當中，對於Azure Linux 3.0、Ubuntu 24.04這兩種作業系統的支援功能，目前處於預覽階段，以前者的整合而言，可提供符合資源效益需求的基礎套件，以及專為Azure雲端環境部署而調製的安全強固Linux系統核心；除此之外，用戶也可選擇Ubuntu 24.04，建置基於這套作業系統而成的機密虛擬機器節點群組。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure CVM-AKS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20CVM-AKS.jpg" style="width: 600px;" /></a></p> <p>縱觀其他公有雲服務商，有些更早推出採用AMD第四代EPYC處理器的機密運算虛擬機器，例如，Google Cloud<a href="https://cloud.google.com/confidential-computing/confidential-vm/docs/release-notes">去年9月底</a>就正式供應C3D，<a href="https://cloud.google.com/confidential-computing/confidential-vm/docs/release-notes">今年6月開始供應</a>採用AMD第五代EPYC處理器的機密運算虛擬機器C4D；AWS目前採用AMD第四代EPYC處理器的虛擬機器，有M7a、 R7a、C7a、Hpc7a，支援記憶體加密Secure Memory Encryption（SME），但<a href="https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/sev-snp.html#snp-requirements">支援SEV-SNP的產品目前是M6a、 R6a、C6a</a>；而在<a href="https://docs.oracle.com/en-us/iaas/Content/Compute/References/confidential_compute.htm">Oracle提供的機密運算執行個體中</a>，採用AMD第三代EPYC處理器的服務，有VM.Standard.E4.Flex、BM.DenseIO.E4.128、BM.Standard.E4.128，採用AMD第四代EPYC處理器的服務，則有BM.DenseIO.E5.128、BM.Standard.E5.192。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Azure DCasv6系列</strong></span><br /> ●建議售價：韓國中部雲端區域，DC2as_v6每年148.92美元，DC2ads_v6每年170.09美元<br /> ●供應的雲端區域：阿拉伯聯合大公國北部（中東）、韓國中部<br /> ●搭配處理器：AMD第四代EPYC（Genoa）<br /> ●運算資源配置：<br /> 2至96顆vCPU、8至384 GiB記憶體、本機硬碟（DCasv6系列無，DCadsv6系列為75至3600 GiB）、8至64臺遠端儲存硬碟、網路介面2至8個（125000至34000 Mbps）</p> <p><strong><span style="color:#0000FF;">Azure ECasv6系列</span></strong><br /> ●建議售價：韓國中部雲端區域，EC2as_v6每月174.47美元，EC2ads_v6每月197.83美元<br /> ●供應的雲端區域：阿拉伯聯合大公國北部（中東）、韓國中部<br /> ●搭配處理器：AMD第四代EPYC（Genoa）<br /> ●運算資源配置：<br /> 2至96顆vCPU、16至672 GiB記憶體、無本機硬碟（ECasv6系列無，ECadsv6系列為75至3600 GiB）、8至64臺遠端儲存硬碟、網路介面2至8個（125000至34000 Mbps）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/30 09:26作者李宗翰https://www.ithome.com.tw/review/171409
【資安週報】0922~0926，歐洲多個機場發生登機系統遭駭，導致航班延遲或被取消
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年9月第四星期的資安新聞，最大資安事故是歐洲多個機場的登機系統遭駭（受影響機場包括：英國LHR、德國BER、比利時BRU、愛爾蘭DUB），櫃臺辦理登機手續混亂造成航班延誤，甚至數十個航班被取消。後續，提供自動化登機和行李處理MUSE系統的Collins Aerospace表示，正著手解決問題，24日表示系統還在逐步修復。另外，英國國家犯罪局逮捕與這起攻擊事件有關的四十多歲男子，還有資安專家Kevin Beaumont指出，駭客疑似使用Hardbit勒索軟體變種。</p> <p>還有一樁國家級資安事故也躍居本星期最熱門新聞，是越南國家信用資訊中心（CIC）遭網路攻擊的事件，該單位在當地金融體系如信用風險評估等具關鍵作用，VNCERT已證實此事，當地資安業者Resecurity也指出，駭客組織ShinyHunters聲稱從CIC資料庫竊得超過1.6億筆記錄。</p> <p>在漏洞利用消息方面，有攻擊者針對思科產品發動兩起零時差漏洞攻擊，思科先是針對IOS或IOS XE系統修補已遭利用的CVE-2025-20352，之后又針對防火牆ASA與FTD系列產品，修補已遭利用的CVE-2025-20333、CVE-2025-20362。</p> <p>還有攻擊者鎖定Google Chromium發動零時差漏洞攻擊，其漏洞編號為CVE-2025-10585，目前Google Chrome、微軟Edge、Vivaldi、Brave等瀏覽器均已修補。</p> <p>在最新威脅態勢上，我們近期製作的封面故事，探討「具身AI」機器人的最新威脅與發展，當中剖析了傳統機器人的差異，同時也說明現代具身AI機器人所面臨的資安風險，從保護AI模型，到AI機器人供應鏈與雲地架構的安挑戰，揭露具身AI機器人攻擊路徑，以及了解機器人該有的資安檢核項目。</p> <p>還有一則本星期許多人分享的熱門新聞是，研究人員Zero Salarium在其部落格揭露凍結EDR運作新手法，當中提到可透過Windows錯誤報告系統（WER，WerFaultSecure.exe）的條件競爭（Race condition）發動攻擊。</p> <p>其他威脅態勢方面，社交工程釣魚網站與AI Agent風險成主要焦點，有多起消息與之有關，我們整理如下：</p> <p>●密碼管理服務業者LastPass遭冒名，駭客設置GitHub儲存庫散布竊資軟體。<br /> ●資安公司Netcraft揭露兩個網釣即服務（PhaaS）正擴大其危害，Lucid的釣魚樣版鎖定全球63國、164個品牌，Lighthouse則鎖定全球50國、204個品牌。<br /> ●日前Notion 3.0推出並增加AI Agents與MCP的整合功能，資安公司CodeIntegrity研究人員發現，其AI代理可遭間接提示注入操控。<br /> ●資安公司Radware揭露ShadowLeak零點擊攻擊，指出透過特製郵件可在ChatGPT深入研究功能中隱藏指令，像是將竊取個資轉換Base64編碼，再附加特定URL參數。</p> <p>在資安防禦動向上，國內有兩則關於全社會資安人培與產品資安的重要消息。一是資安院公布打造健檢團與服務團，幫助對資安防護感到陌生的中小企業與非營利組織（NGO）強化防禦，同時也推出中小企業適用的資安防護指南手冊；另一是產品資安院漏洞獵捕計畫正式推出，已開放電子產品製造品牌廠商報名，同時也揭露軟體物料清單（SBOM）的最新推動與發展態勢。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171332" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月22日】歐洲多座機場因登機系統遭到網路攻擊而影響營運</span></strong></a></h3> <p>這個週末最受到關注的資安新聞，莫過於歐洲有多個機場因登機系統遭網攻而出現運作中斷的現象，且有部分航班因此被迫取消，這些機場是：柏林機場、布魯塞爾機場，以及位於倫敦的希思羅機場，他們皆透露事故發生的原因，在於Collins Aerospace公司打造的登機系統遭到網路攻擊。近期要前往歐洲的民眾要特別留意航班資訊，並採用其他登機方式（如線上登機）來避免受到影響。</p> <p>美國聯邦調查局的網路犯罪投訴中心（IC3）再度遭到歹徒冒名的情況也引起關注，值得留意的是，由於駭客仿冒IC3行騙的現象已非首例，加上這次FBI並未透露進一步細節，相關網路犯罪活動的態勢，有待FBI或資安業者公布。</p> <h3><a href="https://www.ithome.com.tw/news/171351"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月23日】協作平臺Notion導入AI代理，攻擊者可透過惡意PDF檔洩露資料</span></strong></a></h3> <p>應用程式導入人工智慧的情況越來越普遍，但同時也可能使得應用程式存在AI相關的資安弱點。例如，最近發布大改版的協作平臺Notion，開發團隊導入了AI代理程式，號稱能自動完成建立文件、更新資料庫、跨工具檢索與多步驟工作流程，但資安業者CodeIntegrity發現，此代理程式有可能被惡意內容操控，使得攻擊者有機會透過內建的網頁搜尋工具外洩資料。</p> <p>另一項受到外界關注的資安漏洞，是風險值達到滿分的Entra ID（原Azure AD）漏洞CVE-2025-55241，通報此事的研究人員指出，一旦攻擊者成功利用這項漏洞，就有機會透過舊版Azure AD Graph API在任意租戶隨意讀寫，相當危險。</p> <h3><a href="https://www.ithome.com.tw/news/171364"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月24日】美國拆除由10萬張SIM組成的貓池</span></strong></a></h3> <p>為了向民眾大量發送簡訊，或是從事網路詐騙犯罪行為，有些歹徒會架設<a href="https://zh.wikipedia.org/zh-tw/%E7%8C%AB%E6%B1%A0">貓池</a>（Modem Pool，國外稱SIM Farm，直譯為SIM卡農場）來犯案，因此這類設施的出現，背後有可能隱含一系列的網路犯罪。本週美國宣布拆除由10萬張SIM卡組成的貓池，引起高度關注，特別是此貓池架設於聯合國大會舉辦地點的附近，又適逢9月下旬舉行的總辯論，地點和時間點都相當敏感。雖然調查結果尚未出爐，但無論是否與聯合國大會有關，多家媒體報導指出，這些設備若全面運作，有可能對紐約市行動通訊帶來嚴重干擾。</p> <p>DDoS攻擊相關的網路犯罪也是今天的焦點，其中，資安業者Darktrace揭露名為ShadowV2殭屍網路，駭客以此提供他人現成的受僱型DDoS攻擊服務（DDoS-for-hire）；另一方面，本週Cloudflare宣布成功緩解新一波大規模DDoS攻擊，流量峰值達到22.2 Tbps再創下新高。</p> <h3><a href="https://www.ithome.com.tw/news/171374"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月25日】中國駭客RedNovember滲透多國，臺灣國防、半導體遭鎖定</span></strong></a></h3> <p>針對中國國家級駭客在全球各地從事網路間諜活動的現象，上週資安業者Proofpoint揭露針對美中貿易議題的APT41攻擊行動手法、Mustang Panda意圖使用USB蠕蟲SnakeDisk滲透泰國政府的隔離網路（Air-Gap）環境，本週又有資安業者公布新的發現。其中，以資安業者Recorded Future公布駭客組織的全球網路間諜活動最值得留意，因為臺灣是他們的主要目標之一。</p> <p>Google揭露UNC5221針對美國科技與法律業的活動，也是相當受到矚目的焦點，因為這些駭客從事網路間諜活動的範圍相當廣，竟是鎖定一系列的垂直產業，這樣的情況並不尋常，因此Google推測，駭客的主要目的很可能是要收集能開發零時差漏洞的情報。</p> <h3><a href="https://www.ithome.com.tw/news/171403"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月26日】資安院漏洞獵捕計畫正式推出</span></strong></a></h3> <p>產品資安議題約從兩年前出現大幅變化，歐盟、英國、美國、南韓及新加坡已採取多項行動，現在臺灣也有相關規畫。在昨日數位發展部資通安全署（資安署）與國家資通安全研究院（資安院）聯手舉辦的產品資安論壇裡，資安院產品資安漏洞獵捕計畫正式登場最受到矚目，另外，數位產業署順應國際態勢，將鼓勵共同供應契約廠商，從明年起依機關要求提供軟體物料清單（SBOM）。</p> <p>另一個資安焦點，與生命週期即將結束的Windows 10有關。微軟近日調整延伸安全更新（ESU）的說明，透露ESU在特定地區可能會有所差異，而這些差異很可能源自歐洲消費者組織（Euroconsumers Group）的要求，必須對歐盟地區用戶提供免成本得到ESU的選項。</p> </div></div></div>
2025/9/30 09:30作者羅正漢https://www.ithome.com.tw/news/171404
微軟推出新Microsoft Marketplace，單一入口整合雲端與AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟重新設計<a href="https://blogs.microsoft.com/blog/2025/09/25/introducing-microsoft-marketplace-thousands-of-solutions-millions-of-customers-one-marketplace/">Microsoft Marketplace</a>，將Azure Marketplace與AppSource整合為單一入口，提供企業在同一平臺上尋找、試用、購買並部署雲端解決方案、人工智慧應用程式以及代理。新Marketplace現已於美國推出，未來將逐步拓展至其他地區。</p> <p>新的Marketplace平臺已納入超過3,000項人工智慧應用程式與代理，涵蓋自動化、決策輔助及資料處理等場景，並可於Microsoft 365 Copilot與Azure AI Foundry等產品中直接取得並啟用，其採用MCP（Model Context Protocol）等標準，以加速代理與應用程式在企業租戶中的布建流程，同時符合企業既有的安全與治理標準。</p> <p>Marketplace被定位為Microsoft Cloud的延伸，連動Azure、Microsoft 365、Dynamics 365、Power Platform與Microsoft Security等服務。使用者可在情境中發現並導入經核准的解決方案，例如在Microsoft 365 Copilot環境中的Agent Store直接取得Copilot代理。當組織從Marketplace取得代理或是在Azure執行的應用，系統會依企業既定安全與治理政策完成布建與發布，以降低IT人員手動設定的風險。</p> <p>微軟同步調整採購與通路面向，企業可透過雲端服務供應商（CSP）或受信任的合作夥伴完成採購，微軟擴充多方私有報價與CSP私有報價機制，讓軟體供應商、通路與客戶三方在Marketplace上完成價格與條件協議，包含Arrow、Pax8與TD SYNNEX等多家主要通路商，正把Marketplace目錄整合進自家平臺。</p> <p>另外，可轉售型方案（Resale Enabled Offers）功能進入私人預覽，供軟體商授權合作夥伴以私下報價代銷，擴增進入市場的方式與彈性。</p> <p>對已簽訂Microsoft Azure使用量承諾（MACC）的組織，Marketplace上標示為符合Azure抵用額資格的解決方案，其支出可完全計入承諾額度，既有預算可集中運用在經過微軟審查的雲端與人工智慧供應項目。Microsoft Marketplace目前在美國先行上線，其他區域將逐步開放。</p> </div></div></div>
2025/9/30 08:22作者李建興https://www.ithome.com.tw/news/171415
GitHub公開預覽Copilot CLI並預告將淘汰gh-copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub開放<a href="https://github.blog/changelog/2025-09-25-github-copilot-cli-is-now-in-public-preview/">Copilot CLI的公開預覽</a>，將旗下Copilot程式開發代理帶入終端機環境，並宣布現有GitHub CLI擴充功能gh-copilot將在10月25日停止運作，命令列場景中的人工智慧輔助，將全面轉向新的Copilot CLI，開發者需及早規畫過渡，降低對既有流程的影響。</p> <p>Copilot CLI將Copilot程式開發代理的能力移植到本機終端機，使用者可在命令列環境中直接進行程式建置、編輯、除錯與重構，免去在IDE與終端機之間切換的過程。工具能理解專案脈絡並與GitHub儲存庫整合，開發者可以透過自然語言操作儲存庫、Issue與拉取請求。此外，為確保安全性與透明度，所有即將執行的動作都會先顯示預覽，需經使用者確認後才會進行。</p> <p>GitHub在設計Copilot CLI時，強調了可擴充性，該工具預設搭載GitHub的MCP伺服器，並支援自訂MCP伺服器，使開發團隊能依需求擴充功能，使得終端機從單純的指令執行環境，轉型為具備人工智慧規畫與協作能力的平臺，適用於探索陌生程式碼庫、導入新功能，或處理本機除錯情境。</p> <p>目前Copilot CLI向已訂閱Copilot Pro、Pro+、Business與Enterprise的用戶開放。安裝方式採NPM全域安裝，系統需求為Node.js 22版以上與NPM 10版本以上。平臺支援Linux與macOS，Windows則提供在WSL及實驗性PowerShell環境中的使用選項。企業方案既有的Copilot in the CLI政策將自動停用，管理員可從組織層級進行設定，決定是否啟用新工具。</p> <p>現有gh-copilot使用者需要在10月25日停用前完成切換，並調整相關腳本、指令別名與團隊作業規範。由於舊擴充屆時將無法運作，提早進行驗證與權限檢查，降低因工具替換帶來的風險。</p> </div></div></div>
2025/9/30 08:58作者李建興https://www.ithome.com.tw/news/171416
英國哈洛德百貨再被駭 43萬客戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國精品百貨哈洛德（Harrods）上周因第三方IT系統被駭所累，遭駭客竊取客戶個資43萬筆。</p> <p><a href="https://www.bbc.com/news/articles/c8d70d912e6o" target="_blank">BBC報導</a>，哈洛德百貨上周五發信通知受影響的客戶資料外洩，獲得這家老牌百貨公司證實。哈洛德百貨也向<a href="https://www.bbc.co.uk/news/articles/cpq5w324pd3o.amp" target="_blank">BBC</a>及<a href="https://www.theregister.com/2025/09/29/harrods_blames_thirdparty_supplier_after/" target="_blank">The Register</a>等媒體證實駭客已經聯繫贖款一事，但說他們拒絕和駭客交易。</p> <p>哈洛德發言人說，這波資料外洩並非出於公司系統被駭，而是使用的一家IT系統供應商遭入侵所連累。哈洛德拒絕透露被駭的IT供應商為何。</p> <p>哈洛德在通知信件中說明，外洩的客戶資料包含姓名及聯絡資訊，但不包含密碼或財務資訊。</p> <p>另一方面，該公司說，這供應商向他們保證，這次事件和5月間的事件不同。</p> <p>5月間哈洛德百貨連同英國瑪莎百貨（Marks & Spencer）及連鎖超市Co-Op遭到網路攻擊，勒索軟體組織Scattered Spiders宣稱犯案。</p> <p>哈洛德百貨這次資料外洩是否和Salesforce攻擊事件有關尚待釐清。ShinyHunters利用聊天機器人系統Salesloft Drift外洩OAuth憑證存取Salesforce資料庫，竊取大量客戶資料，或是其他系統憑證包括AWS金鑰、密碼與Snowflake憑證等。受害企業從精品業者、IT公司、金融業者及航太業者超過760家，<a href="https://www.ithome.com.tw/news/171251" target="_blank">該組織聲稱</a>手中有15億筆資料。</p> </div></div></div>
2025/9/30 09:00作者林妍溱https://www.ithome.com.tw/news/171418
Asahi啤酒生產商遭網攻無法接單、出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生產知名Asahi啤酒的<a href="https://www.asahigroup-holdings.com/en/newsroom/detail/20250929-0202.html" target="_blank">朝日集團控股公司（Asahi Group Holdings）昨（29）日公告遭到網路攻擊</a>，影響該公司日本包含出貨等作業被迫暫停。</p> <p>朝日集團指出，災情僅限日本境內。目前未發現有個資或客戶資料流向外部人士。但數項作業因系統無法運作而暫停，包括集團內公司的訂單和出貨，以及電話客服系統，包括客服前臺作業。</p> <p>朝日集團正在調查原因並致力回復作業，但無法預估回復時間。</p> <p>雖然此類災情可能出於勒索軟體，但朝日集團並未說明。迄今也沒有駭客組織宣稱犯案。</p> <p>2023年BlackByte勒索軟體宣稱攻擊朝日集團，<a href="https://www.cm-alliance.com/cybersecurity-blog/biggest-ransomware-attacks-demands-payments-2022-2021" target="_blank">根據統計</a>，歹徒勒索50萬美元買回資料，但要其刪除竊來的資料則要價60萬美元。該集團並未證實此事。</p> </div></div></div>
2025/9/30 09:10作者林妍溱https://www.ithome.com.tw/news/171419
Google證實Android for PC明年推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推動統合ChromeOS和Android數年後，上周證實Android on PC可望在2026年問世。</p> <p><a href="https://www.theverge.com/news/706558/google-android-chromeos-combining-sameer-samat" target="_blank">Google Android主管Sameer Samat在今年7月證實</a>，公司正在推動「將ChromeOS與Android整合為單一平臺」後，上周現身高通於夏威夷舉行的Snapdragon 高峰會，<a href="https://www.youtube.com/live/fpHCkdIg9gU?t=4655s" target="_blank">在開幕演說中證實</a>，可執行於筆電的Android即將完成。</p> <p>Samat透露Google計畫在Android基礎上，加上ChromeOS體驗及AI能力。他說Google過去在筆電有ChromeOS，而在平板上提供了Android，兩者都非常成功。這讓Google看到機會，加速將Android上的AI進展帶到筆電，並使筆電和Android應用生態圈、社群無縫合作。他說ChromeOS和Android整合是「明年最令人興奮的事情」，而Google也正和高通及其他硬體業者發展新的Android PC。</p> <p>高通和Google主管並未說明明確的公布時程。但在前一天高通執行長Cristiano Amon和Google平臺暨裝置部門主管Rick Osterloh<a href="https://www.theverge.com/news/784381/qualcomm-ceo-seen-googles-android-pc-merger-incredible" target="_blank">的對談中透露自己已經實際看過這個尚在開發中的作業系統</a>，形容它「很棒」（incredible），完美體現了行動與PC混合的理想，甚至迫不及待想要擁有。</p> <p>Osterloh則證實，Google正在開發一個「跨PC與行動裝置的共通技術基礎」，計畫將Gemini、完整的Android AI堆疊帶進PC平臺，使Android得以服務所有運算平臺用戶。</p> <p>在此宣布外，<a href="https://www.qualcomm.com/content/dam/qcomm-martech/dm-assets/images/company/news-media/media-center/press-kits/snapdragon-summit-2025-press-kit/day-2-/documents/SnapdragonX2EliteExtremeandSnapdragonX2Elite_FeaturesataGlance.pdf" target="_blank">高通上周在Snapdragon Summit大會上公布</a>二款最新的第二代高階Arm-based Windows筆電PC晶片，包括Snapdragon X2 Elite及X2 Elite Extreme。Elite Extreme是在標準版頂級晶片Elite上新開闢的產品。Snapdragon X2 Elite Extreme的核心數將多達18個，高通表示是第一顆時脈來到5GHz的Arm晶片。Snapdragon X2 Elite使用Qualcomm Oryon Prime CPU。高通聲稱其耗電量比競爭者少75%，在多任務情璄下，這塊晶片的效能還比競爭者高31%，而較上一代晶片耗電則少43%。</p> </div></div></div>
2025/9/29 18:56作者林妍溱https://www.ithome.com.tw/news/171414
開源資料庫PostgreSQL 18 引入非同步 I/O，讀取效能最高可達3倍速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PostgreSQL開發團隊正式<a href="https://www.postgresql.org/about/news/postgresql-18-released-3142/">發布PostgreSQL 18</a>，這個版本引入非同步I/O（AIO）功能，解決過去依賴作業系統預讀機制的限制，讓資料庫能同時發出多筆讀取請求而非逐一等待。根據官方測試，特定情境下的讀取效能可提升至最高3倍，涵蓋序列掃描（Sequential Scan）、Bitmap堆掃描（Bitmap Heap Scan）以及清理作業（Vacuum）等常見操作，對以讀取為主的工作負載帶來明顯的效能改善。</p> <p>除了效能提升，PostgreSQL 18在重大版本升級流程也做出實質調整。新版本可保留規畫器統計資料，使叢集在升級完成後更快回到預期效能，避免過去需等待ANALYZE指令重新蒐集統計造成的性能波動。升級工具pg_upgrade也獲得多項強化，包括透過--jobs參數進行平行檢查，以及--swap選項以交換目錄取代複製或連結檔案，縮短切換時間。</p> <p>PostgreSQL 18引入多欄B-tree資料結構的跳躍式掃描（Skip Scan）來最佳化查詢工作，讓缺少前綴等值條件的查詢仍能利用索引，並改善OR條件的索引化處理。同時，雜湊連接（Hash Join）與合併連接（Merge Join）等表格連接方法也獲得加速，GIN索引則支援平行建立，縮短大規模索引生成所需時間。這些調整讓查詢效能更具彈性，且不需額外修改應用程式。</p> <p>開發人員可在這個版本用到新的語法與函式。虛擬產生欄位成為預設選項，避免無謂的資料儲存，並支援在查詢時計算值。RETURNING子句現可同時取出舊值與新值，方便審核修改結果。UUID生成函式新增uuidv7()，提供時間序可排序的識別碼，改善索引區域性與讀取效能，uuidv4()則成為gen_random_uuid()的別名，整合常用函式呼叫。</p> <p>在安全與身分驗證方面，PostgreSQL 18引入OAuth 2.0整合，讓資料庫能更容易搭配單一登入（SSO）機制。密碼驗證機制則逐步淘汰MD5，官方建議改用SCRAM，並新增TLS 1.3密碼套件設定，對於跨資料庫的驗證情境，SCRAM現已可透過遠端存取機制postgres_fdw與dblink傳遞。</p> <p>PostgreSQL 18增強用戶維運與監控能力，清理作業（Vacuum）在一般作業中會更積極凍結頁面，以降低後續清理負擔。EXPLAIN ANALYZE指令新增更多細節，預設輸出緩衝區使用量、索引查詢次數，並在VERBOSE模式下顯示CPU與日誌寫入機制WAL相關統計。新的統計資料也涵蓋連線層級I/O與WAL使用狀況，有助於管理者精確掌握資源消耗。</p> </div></div></div>
2025/9/29 19:05作者李建興https://www.ithome.com.tw/news/171410
Apple指數位市場法導致其產品新功能在歐洲上線延宕且隱私疑慮增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple<a href="https://www.apple.com/newsroom/2025/09/the-digital-markets-acts-impacts-on-eu-users/">發文</a>指稱歐盟數位市場法（DMA）的互通性義務，使公司在歐洲必須先讓部分功能能在非Apple裝置或第三方服務上運作，才可提供給用戶，導致功能時程延後，並引入新的隱私與安全風險。被點名受影響的包含iPhone鏡像輸出、AirPods的即時翻譯，以及Apple地圖造訪過的地點（Visited Places）與偏好路線（Preferred Routes）等功能。</p> <p>Apple稱其提出的保護資料技術調整方案遭歐盟執委會（European Commission）否決。依據執委會的說法，要是先讓相關功能在其他公司產品或服務上可用就向使用者提供，將屬違反DMA，可能被處以罰款，甚至被迫停止在歐盟出貨。</p> <p>在應用生態方面，Apple表示，因DMA要求允許側載、第三方市集與替代金流，歐洲用戶不再只有App Store這個單一受審查與統一規範的下載與交易入口，下載來源與售後責任將更分散，詐騙與惡意軟體的風險會上升。Apple以第三方市集出現色情內容App為例，指出這類App過去未在App Store上架，現已可透過其他市集提供，引發兒少接觸不當內容的疑慮。</p> <p>Apple同時提出隱私層面的具體擔憂，稱在DMA下，其他公司可申請存取iPhone的核心技術與資料，有廠商已提出要求取用用戶通知的完整內容，以及用戶過往連線過的Wi-Fi清單。Apple主張，這類資料揭露恐讓第三方推導個人位置與行為軌跡，提升監測與追蹤風險。</p> <p>對於Apple的主張，歐盟執委會回應，強調不會撤銷DMA，且表示DMA並不要求企業降低隱私或安全標準，其目的是讓使用者有更多選擇。<a href="https://www.morningstar.com/news/dow-jones/202509253617/apple-asks-eu-to-repeal-blocs-landmark-digital-markets-act-update">外媒Morningstar引述</a>委員會發言人Thomas Regnier指出，委員會完全沒有要撤銷DMA的打算。</p> </div></div></div>
2025/9/29 19:11作者李建興https://www.ithome.com.tw/news/171411
iRobot共同創辦人Rodney Brooks：人形機器人能在幾十年內就完全替代人類勞動是純粹幻想
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在當前全球資金與媒體正興起一波人形機器人（Humanoid Robot）熱潮之際，曾任麻省理工學院人工智慧實驗室（AI Lab）主任，亦身為掃地機器人公司iRobot共同創辦人的<a href="https://rodneybrooks.com/why-todays-humanoids-wont-learn-dexterity/" target="_blank">Rodney Brooks上周五（9/26）發表一篇文章</a>，主張現在的人形機器人無法學會人類的靈巧操作，若有人相信人形機器人能夠以更低的成本來完全替代人類的勞動純粹是幻想，同時Brooks也認為，未來真正實用的人形機器人將不會長得像人，或許是用輪子走路，且為功能導向。</p> <p>1954年出生於澳洲的Brooks為美國史丹佛大學的電腦科學博士，之後曾擔任麻省理工學院AI實驗室主任，先在1990年共同創辦知名的掃地機器人公司iRobot，再於2008年共同創辦專門研究協作機器人的Rethink Robotics，2019年共同創辦倉儲物流機器人公司Robust.AI，且皆為這3家公司的技術長，現在還是Robust.AI技術長。</p> <p>Brooks指出，最近新的創業浪潮開始聚焦於人形機器人，這是因為它們相信，倘若機器人與人類具備相同的身體結構，即可於為人類設計的環境中工作；並有許多公司宣稱，人形機器人將可隨插即用地無縫兼容，以更低的成本及相同的效率直接取代人類勞動。然而，在他看來，相信這樣的事會在數十年內實現純粹是個幻想。</p> <p>因為這樣的信仰源自於一個假設，亦即人形機器人將可成為通用型機器，執行所有人類能做的手工任務，但要實現這一點，機器人必須達到與人類同等級的操作靈巧度，但現階段根本還做不到。</p> <p>Brooks說，人類靈巧的關鍵在於觸覺，人手約有1.7萬個感受器，光是每根手指指尖就約有1,000個，以用來感知壓力、滑動、震動、溫度及形狀的變化，並用來調整力道、角度及策略，但機器人缺乏類似的高解析觸覺感測與即時回饋。此外，許多人形機器人公司只讓機器人看影片學動作，並未教會它們使用力量或觸覺回饋；機器手的構造不夠靈活，也不耐用；且人類的靈巧來自多感官的整合及前瞻策略；同時它們還缺乏正確的學習資料。總之，上述種種都讓Brooks認為人形機器人在短期內無法趕上人類的靈巧。</p> <p>除了手的靈巧度之外，Brooks還認為現今雙足人形機器人對人類而言並不安全，它們的結構僵硬，反應遲頓且能量釋放大，行走方式與人類完全不同，一旦失衡跌倒，會造成嚴重傷害，他直接建議不要靠近雙足人形機器人的3米範圍內。</p> <p>於是Brooks預測，在大量資金投入靈巧度與泛用性仍嚴重不足的設計上，卻發現最終難以實現其通用勞動力的願景時，雙足人形機器人將在未來15年內經歷泡沫化。他在文章中所提到的人形機器人公司包括Figure AI、Tesla及Boston Dynamics。</p> <p>Brooks也認為人形機器人的定義將會隨著時間而改變，15年後，未來就算外觀不像人，但只要能夠執行人類任務的機器都會被稱為Humanoid，它們將改用輪子當作雙腳，或許會有不同數量的手臂，這些手臂配備兩指平行夾抓或吸盤，也會有配備各種主動感測器的版本，眼睛可能長在手上或胯下，也會出現大量針對不同專門任務而設計的機器。</p> <p>這是因為在泡沫化的過程中，就算資金燒罄，但某些技術與概念都會留下來並轉化為更實用的機器形式，而在15年後顯現。</p> </div></div></div>
2025/9/29 16:47作者陳曉莉https://www.ithome.com.tw/news/171412
Akira勒索軟體攻擊行動突破SonicWall防火牆MFA防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月份SonicWall防火牆遭Akira勒索軟體攻擊，<a href="https://arcticwolf.com/resources/blog/smash-and-grab-aggressive-akira-campaign-targets-sonicwall-vpns/" target="_blank">安全研究人員近日發現</a>，駭客能突破SonicWall的多因素驗證（Multi-Factor Authentication，MFA）成功感染勒索軟體。</p> <p>兩個月前安全廠商 Arctic Wolf Labs偵測到一波針對SonicWall SSL VPN裝置的勒索軟體攻擊。駭客先是掃瞄傳輸埠、以滲透測試工具Impacket利用SMB協定在受害者網路執行指令，在幾分鐘內就在受害者網路上部署勒索軟體。</p> <p>7月底SonicWall釋出SonicOS 7.3.0，官方建議更新以改善對暴力破解與MFA攻擊的防護，但是後來發現，部署更新版SonicOS（如8.0.2版）的裝置依然受害，顯示這並非單純暴力破解，而可能是受害者先前外流的憑證遭攻擊者利用。根據Arctic Wolf公佈的8月初防火牆日誌範例，顯示有OTP（one-time password）挑戰成功的活動紀錄，且攻擊者在不到一分鐘內即出現成功登入SSL VPN帳號，以及在受害者網路內橫向移動。</p> <p>在最新研究中，Arctic Wolf發現攻擊者用以攻擊SonicWall SSL VPN的基礎架構更加強化。證據顯示多個VPN帳號可被快速成功登入，且有同一VPN用戶端IP位址用於重覆成功登入，甚至有定期登入活動，這顯示並非典型合法利用帳號，駭客們可能增加了新的基礎架構，使其得以執行scripting自動化驗證過程。</p> <p>更重要的發現是，Arctic Wolf研究人員相信駭客有能力繞過MFA驗證來部署Akira。分析入侵案例，顯示半數受害者啟用OTP功能但仍然被成功登入。由於研究人員未發現被駭VPN帳號之前有外洩憑證、被駭入，或是OTP解除綁定（unbinding）事件或其他惡意變更配置情形，因此他們判斷，攻擊者已能突破SonicWall帳戶MFA防護。但是研究人員尚無法決定駭客如何成功繞過MFA。</p> <p><a href="https://www.ithome.com.tw/news/171356" target="_blank">在Google上周公佈另一項分析SonicWall SMA的攻擊研究中</a>，一個編號UNC 6148的駭客組織發動零時差攻擊。歹徒濫用SMA 100系列韌體上的CVE-2025-40599漏洞，植入rootkit程式OVERSTEP。這個user mode程式能刪除log不被偵測而在受害裝置內長期留存，還能建立reverse shell竊取敏感資料，包括管理員憑證、一次性密碼種子（Seed）。SonicWall也發佈更新，提供可移除該rootkit的工具。</p> <p>兩起攻擊是否相關還有待研究證實。</p> <p>Arctic Wolf人員建議管理員重設所有先前韌體有漏洞的SonicWall裝置的VPN憑證，因為像rootkit之類的後門程式讓駭客能在更新軟體後持續存取帳號。</p> </div></div></div>
2025/9/29 17:01作者林妍溱https://www.ithome.com.tw/news/171413
人資廠商Miljödata遭勒索攻擊，Volvo集團北美員工個資遭外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Volvo集團北美對員工發出資安<a href="https://www.mass.gov/doc/2025-1648-volvo-group-north-america-llc/download">通知</a>，說明旗下第三方人資系統供應商Miljödata，在2025年8月遭遇勒索軟體攻擊，攻擊者隨後在暗網公開資料，導致包含Volvo員工在內的大量個資外流。根據個人資料洩漏查詢平臺Have I Been Pwned的<a href="https://haveibeenpwned.com/Breach/Miljodata">記錄</a>，本次事件涉及約87萬筆獨立電子郵件地址，外洩內容包含姓名、電話、住址、生日以及政府核發的個人識別碼等敏感資訊。<a href="https://omni.se/en-miljon-svenskars-uppgifter-publicerade-pa-darknet/a/Avempj">瑞典媒體</a>進一步指出，實際受影響人數可能超過百萬，範圍涵蓋<a href="https://gotland.se/arkiv/nyheter/allmant/2025-08-26-region-gotlands-leverantor-av-arbetsmiljosystem-ar-utsatta-for-cyberangrepp">市政單位</a>與教育機構。</p> <p>依據Volvo在美國提交的員工通知文件，Miljödata的事件發生於8月20日，並於8月23日確認為勒索軟體事件，Volvo在9月2日接獲通知並展開後續處置。</p> <p>該文件強調，Volvo自有系統未受到直接入侵，但因透過Miljödata的服務處理人事資料，部分員工的姓名及美國社會安全碼（SSN）等資訊可能受到影響。Volvo提供員工18個月的Allstate Identity Protection Pro+身分保護服務，涵蓋信用監測、暗網追蹤與協助機制，並提醒員工注意帳務異常與釣魚風險。</p> <p>Miljödata在瑞典的業務涵蓋廣泛，長期替市政單位與學校提供人資與職安相關系統，例如病假管理與事故通報。事件發生後，部分地區政府與學校的服務中斷，瑞典媒體還報導，駭客組織Datacarry自稱犯案索討約16.8萬美元贖金，並已於9月14日公開部分資料。由於此次外流資料涵蓋完整的身分屬性，後續可能引發釣魚郵件、社交工程或帳號接管等衍生威脅。</p> </div></div></div>
2025/9/29 06:00作者李建興https://www.ithome.com.tw/news/171402
開源AI工具平臺Ollama推出Web Search API，提供模型即時網頁檢索能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源AI工具平臺Ollama推出<a href="https://ollama.com/blog/web-search">Web Search API</a>，提供模型取用網頁資訊的新管道。該功能的目標在於降低生成式模型常見的幻覺問題，並透過即時檢索網頁資料，讓回應內容更符合現實與可驗證來源。該服務以REST API形式開放，個人用戶可使用免費額度，需求量更高則能透過雲端方案取得更多的使用量。</p> <p>在使用流程上，開發者首先需於Ollama帳號中建立API金鑰，即可透過標準HTTP請求呼叫API端點，輸入查詢後可取得包含標題、網址與節錄內容的搜尋結果，要是需擷取單一網頁的完整資訊，則可透過呼叫web_fetch，以輸入目標網址取得頁面標題、簡化後的內容與外部連結。相較於自行撰寫爬蟲程式碼，這種方式能以最少的整合成本，讓模型具備檢索與引用的能力。</p> <p>Ollama也同步在Python與JavaScript套件中提供新函式支援，這些函式能直接整合至聊天或代理系統，達到先搜尋再回應的應用模式，不必額外處理網路抓取與格式轉換的細節。</p> <p>在官方展示的應用場景中，Ollama以Qwen3 4B模型為例，結合網頁搜尋與網頁擷取工具，實現逐步蒐集資料再回覆答案的對話流程。針對長時間任務或研究型工作流程，像gpt-oss這類模型可藉由工具串接持續擴充上下文。由於搜尋與抓取的結果可能相當龐大，官方建議將模型上下文長度設至約32,000 Tokens，確保資料不會因截斷而遺失。這樣的設計特別適合新聞資料蒐集、技術文件比對與專案研究，能在單一工作流程中完成查詢、擷取與摘要。</p> <p>在整合層面上，Ollama也針對多個開發工具生態系提供範例設定，包括透過MCP（Model Context Protocol）伺服器連動，使Cline、Codex與Goose等客戶端，能直接啟用網頁搜尋與網頁擷取工具。這種標準化做法，使開發者能將新API整合進既有RAG管線或聊天應用，並提供帶有來源連結的回答，增強回應的可追溯性。</p> </div></div></div>
2025/9/29 06:00作者李建興https://www.ithome.com.tw/news/171405
導入Nitro v6與DDR5-6400，AWS擴增記憶體最佳運算陣容
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_r8gn-gb-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個月AWS針對記憶體最佳化雲端運算服務產品線，陸續增設EC2 R8gn系列、EC2 R8gb系列，當中採用AWS研發的第四代Arm架構處理器：<a href="https://www.ithome.com.tw/tags/aws-graviton4">Graviton4</a>，與其他搭配這個運算平臺的雲端服務一樣，都具有30％領先幅度的效能（對比採用Graviton3處理器的AWS雲端服務）。值得注意的是，這兩個系列的執行個體，僅能連接EBS區塊儲存服務，而無法搭配本機硬碟儲存，而且，記憶體規格改用存取速度更快的DDR5-6400，2024年7月推出的R8g，搭配DDR5-5600記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-EBS-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-EBS-4.jpg" style="width: 600px;" /></a></p> <p>而且，如同今年大部分新推出的EC2雲端運算服務，R8gn與R8gb均導入AWS第6代基礎架構加速架構<a href="https://www.ithome.com.tw/tags/aws-nitro-v6">Nitro（Nitro v6）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Nitro v6-2025-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitro%20v6-2025-09.jpg" style="width: 400px;" /></a></p> <p>其中，月中上市的R8gn，執行個體最大可支援600 Gbps網路頻寬，優於AWS現行所有的網路最佳化運算服務，而且最大提供1,536 GiB記憶體的組態，存取EBS區塊儲存服務的頻寬最高為60 Gbps，能支撐網路密集型、且需要大量記憶體資源的工作負載，像是SQL類型的資料庫系統、NoSQL類型的資料庫系統，以及在記憶體內執行的資料庫系統（in-memory databases）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/aws R8GN-NET.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/aws%20R8GN-NET.jpg" style="width: 600px;" /></a></p> <p>月底登場的R8gb，適合高效能的一般資料庫系統，以及NoSQL類型的資料庫系統，執行個體最大可支援200 Gbps網路頻寬，提供768GiB記憶體的組態，主打區塊儲存服務EBS最佳化特色，因為執行個體連接EBS的網路頻寬最高可達150 Gbps，吞吐量為18,750 MB/s，而且，儲存效能72萬IOPS，這項規格超越其他搭配Graviton4處理器的AWS雲端執行個體——現行最高為84萬IOPS（u7inh-32tb.480xlarge，處理器是英特爾第四代Xeon Scalable系列，但縱觀一般用途、儲存最佳化、加速運算這幾種雲端運算服務，最高為40萬IOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS R8GB-NET-IOPS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20R8GB-NET-IOPS.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-EBS-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-EBS-2.jpg" style="width: 600px;" /></a></p> <p>縱觀所有連接EBS的AWS雲端運算服務而言，R8gb其實開創了儲存效能的新紀錄，<a href="https://www.linkedin.com/feed/update/urn:li:activity:7376424002094948352/">AWS資深首席工程師Marc Olson回顧過去相關技術發展的里程碑。</a></p> <p>他表示，2012年之前，EBS面臨效能問題，當時AWS在機械式硬碟儲存裝置之上，運作多租戶服務型態的區塊儲存群體，並透過儲存裝置與執行個體I/O流量共用的網路介面，將儲存I/O流量傳遞至EC2主機。</p> <p>在2012年，AWS推出EBS Provisioned IOPS Volumes儲存區，形成EBS最佳化執行個體的產品線（EBS optimized instances），使得這些運算服務能明確分離執行個體I/O流量與儲存I/O流量。</p> <p>此時出現的第一代EBS最佳化執行個體，網路頻寬最高1,000 Mbps，儲存效能為8千IOPS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EBS-2023-0.jpg" style="width: 600px;" /></p> <p>經過幾年的發展，AWS持續提升這方面應用的效能，起先是加入專用網路介面，將EBS流量卸載到他們研發的I/O加速卡Nitro處理，後續隨著Nitro、EBS儲存區的效能，以及用戶的儲存需求增加，他們不斷擴增效能，對比於初代EBS最佳化執行個體，13年後登場的R8gb，網路頻寬提升至150倍，儲存效能增至90倍！</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EBS-2023-03.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/EBS-2023-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EBS-2023-02.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-EBS-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-EBS-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/EBS-2023-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EBS-2023-01.jpg" style="width: 298px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;"><strong>AWS Amazon EC2 R8gn</strong></span><br /> ●原廠：AWS<br /> ●建議售價：美國西部（奧勒岡），隨需定價，r8gn.medium每小時0.0911美元<br /> ●處理器：AWS Graviton 4<br /> ●提供服務規模選擇：medium、large、xlarge、2xlarge、4xlarge、8xlarge、12xlarge、16xlarge、24xlarge、48xlarge，vCPU數量1至192顆，記憶體DDR5-6400容量8至1,536 GiB，網路頻寬25至600 Gbps，搭配 AWS區塊儲存服務EBS，EBS頻寬10 Gbps至60 Gbps</p> <p><span style="color:#0000FF;"><strong>AWS Amazon EC2 R8gb</strong></span><br /> ●原廠：AWS<br /> ●建議售價：美國西部（奧勒岡），隨需定價，r8gb.medium每小時0.09109美元<br /> ●處理器：AWS Graviton 4<br /> ●提供服務規模選擇：medium、large、xlarge、2xlarge、4xlarge、8xlarge、12xlarge、16xlarge、24xlarge、metal-24xl，<br /> vCPU數量1至96顆，記憶體DDR5-6400容量8至768 GiB，網路頻寬16.667至200 Gbps，搭配 AWS區塊儲存服務EBS，EBS頻寬25 Gbps至150 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/9/27 16:45作者李宗翰https://www.ithome.com.tw/review/171394
【資安日報】9月26日，資安院漏洞獵捕計畫正式推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>產品資安議題約從兩年前出現大幅變化，歐盟、英國、美國、南韓及新加坡已採取多項行動，現在臺灣也有相關規畫。在昨日數位發展部資通安全署（資安署）與國家資通安全研究院（資安院）聯手舉辦的產品資安論壇裡，資安院產品資安漏洞獵捕計畫正式登場最受到矚目，另外，數位產業署順應國際態勢，將鼓勵共同供應契約廠商，從明年起依機關要求提供軟體物料清單（SBOM）。</p> <p>另一個資安焦點，與生命週期即將結束的Windows 10有關。微軟近日調整延伸安全更新（ESU）的說明，透露ESU在特定地區可能會有所差異，而這些差異很可能源自歐洲消費者組織（Euroconsumers Group）的要求，必須對歐盟地區用戶提供免成本得到ESU的選項。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171401"><strong style="font-size: 22px;">嚴重影響歐洲多座機場營運的資安事故證實是勒索軟體攻擊，英國目前逮捕一名涉案中年男子</strong></a></p> <p>自9月19日晚間開始，傳出歐洲有多個大型機場登機系統運作中斷，部分航班受到影響而延誤，攻擊者針對的目標，是航太暨國防業者Collins Aerospace打造的Muse登機系統，歐盟主管機關介入調查，初步判定是勒索軟體攻擊，現在英國找到疑似涉案的人士並逮捕，以釐清案情。</p> <p>9月24日英國國家犯罪局（NCA）宣布，在東南地區的區域打擊犯罪機構ROCU協助之下，他們於西薩塞克斯郡逮捕一名四十多歲的男子，罪名是涉嫌違反《電腦濫用法（Computer Misuse Act）》，並強調這次逮捕行動與Collins Aerospace網路事故有關。不過，目前此人獲得有條件的保釋。</p> <p>NCA指出，逮捕此人是踏出突破僵局的第一步，但目前仍處於早期階段，他們將持續進行。</p> <p><a href="https://www.ithome.com.tw/news/171397"><strong style="font-size: 22px;">研究人員揭露凍結EDR運作新手法，濫用Windows錯誤報告系統就能達到目的</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EDR-Freeze running parameters.PNG" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EDR-Freeze%20running%20parameters.PNG" style="width: 300px; float: right;" /></a></p> <p>為了迴避偵測，駭客通常會無所不用其極地癱瘓防毒軟體及EDR的運作，其中一種最常見的手法被稱做自帶驅動程式（BYOVD），駭客攜帶存在弱點的合法驅動程式，藉此在受害電腦提升權限，然而有研究人員發現，他能透過視窗作業系統內建的工具來達到類似目的，而無須設法植入驅動程式，或是找到電腦上存在弱點的內建驅動程式加以利用，就能讓端點防護機制無法正常運作。</p> <p>資安研究員Zero Salarium在部落格發表文章指出，他發現透過Windows錯誤報告系統（Windows Error Reporting，WER，WerFaultSecure.exe），就有機會讓防毒軟體或是EDR的處理程序休眠，而且，所有的過程都是運用使用者模式（User-mode）程式碼來達成，完全不需要其他的第三方工具。Zero Salarium也打造名為EDR-Freeze的程式來進行概念驗證（PoC）。</p> <p><a href="https://www.ithome.com.tw/news/171338"><strong style="font-size: 22px;">資安業者揭露疑似全球最早的LLM驅動惡意程式MalTerminal</strong></a></p> <p>資安業者SentinelOne於9月19日揭露整合了大型語言模型（LLM）的惡意程式MalTerminal，並說它在2023年就現身，很可能是全球首個LLM惡意程式，早於今年6月出現的LameHug，以及8月現身的PromptLock。</p> <p>針對此惡意程式出現的時間點，該公司找到多項證據來佐證，其中一個是惡意程式使用的OpenAI Chat Completions API端點，在2023年11月就被官方棄用，因而推斷MalTerminal很可能是目前所知最早的LLM惡意程式。</p> <p>不過，SentinelOne並沒有發現MalTerminal被應用在實際攻擊行動中，亦未被大規模部署，猜測它或許只是個概念驗證（PoC）惡意程式，或是紅隊測試工具。</p> <p><a href="https://www.ithome.com.tw/news/171363"><strong style="font-size: 22px;">網釣套件租用服務Lucid、Lighthouse橫行，範圍橫跨74國、攻擊316品牌</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/rCZQoqopgj8cqNsKlXCPIL0CVxE.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/rCZQoqopgj8cqNsKlXCPIL0CVxE.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Netcraft發現兩個以訂閱制形式的網釣套件租用服務（Phishing-as-a-Service，PhaaS）平臺Lucid與Lighthouse，近期快速擴張，研究期間已偵測超過17,500個釣魚網域，鎖定74國共316個品牌。</p> <p>Lucid為高流量PhaaS之一，其樣板涵蓋金融、政府、郵務與道路收費等產業，樣板以主題名稱管理，例如針對金融業者Kuda的樣板標記為kuda295。為避免被資安研究或攔截系統發現，Lucid通常以三項條件保護釣魚內容，除了必須帶有指定路徑如/servicios之外，還要是來自特定代理國家，而且以行動裝置User-Agent存取，三者任一不符通常會回應一個看似正常的假電商頁面，以混淆偵測。Netcraft報告指出，Lucid目前已被用於攻擊63國164個品牌。</p> <p>Lighthouse由開發者WangDuoYu維護，具有頻繁更新與可客製化樣板，報告指出可透過模板蒐集雙因素憑證，其訂閱價格從每周88美元到每年1,588美元不等。研究人員研判，一系列採用高度HTML混淆的攻擊行動與Lighthouse相關，判斷依據包括攻擊所用模板與官方示範素材的一致性，以及在示範影片常見的測試網域test-24.top上確實觀測到部署跡象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182577/data-breach/volvo-north-america-disclosed-a-data-breach-following-a-ransomware-attack-on-it-provider-miljodata.html">Volvo北美分公司資料外洩，起因是第三方供應商遭勒索軟體攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-warns-of-new-xcsset-macos-malware-variant-targeting-xcode-devs/">竊資軟體Xcseet鎖定macOS開發人員而來，並透過Xcode專案散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/state-sponsored-hackers/">中國駭客Salt Typhoon鎖定電信基礎設施，範圍涵蓋臺灣、美國、歐盟</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/co-op-says-it-lost-107-million-after-scattered-spider-attack/">針對遭遇Scattered Spider攻擊的事故，英國消費者合作社Co-op認列逾1億美元營業損失</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171393"><strong style="font-size: 22px;">思科ASA防火牆傳重大風險零時差漏洞攻擊</strong></a></p> <p>思科本周發布二起安全公告，警告Adaptive Security Appliance（ASA）防火牆二項之前未知的重大漏洞已被駭客濫用發動攻擊，包括一個風險值9.9的重大漏洞。</p> <p>這二項漏洞分別是CVE-2025-20333和CVE-2025-20362，都是影響思科ASA防火牆及思科安全防火牆威脅防護（Cisco Secure Firewall Threat Defense，FTD）軟體的安全問題。</p> <p>其中CVE-2025-20333存在VPN Web Server軟體。它出於使用者HTTP請求輸入驗證不足，使具有有效VPN憑證的攻擊者可傳送改造的HTTP請求來濫用漏洞。成功濫用的攻擊者能在受害系統上以root權限執行任意程式碼，導致完全接管受害裝置。漏洞風險值高達9.9。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/solarwinds-releases-hotfix-for-critical.html">SolarWinds修補IT服務臺產品重大層級漏洞，若不處理可被用於遠端執行任意程式碼</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171392"><strong style="font-size: 22px;">強化臺灣產品資安，資安院漏洞獵捕計畫正式推出</strong></a></p> <p>產品安全議題已成國家議題，數位發展部資通安全署（資安署）與國家資通安全研究院（資安院）在9月25日，特別舉辦一場產品資安論壇，吸引一百多位產業人士與會，現場不僅公布資安院的產品資安漏洞獵捕計畫，同時解析了2025國際間的最新產品安全發展態勢，讓國內所有資通訊產品製造商，可以更好應對未來趨勢。</p> <p>畢竟，產品安全議題從兩年前開始有大幅變化，當時國際已有相當多行動展開，包括：歐盟網路韌性法（CRA）、英國PSTI法案發布，還有美國推動US Cyber Trust Mark安全標章，美CISA公布Secure by Design系列警報，以及南韓與新加坡簽署物聯網安全認證體系MOU等消息。</p> <p><a href="https://www.ithome.com.tw/news/171391"><strong style="font-size: 22px;">微軟對歐盟Windows 10消費者提供免費ESU</strong></a></p> <p>就在Windows 10技術支援快要到終止期限的前二周，傳出微軟將對歐盟消費用戶提供免費延伸安全更新（Extended Security Update，ESU）的特殊待遇，不需付費也不需啟用Windows備份服務。</p> <p>微軟兩周前提醒全球Windows 10用戶，Windows 10即將在10月14日結束技術支援，呼籲用戶升級到Windows 11，或是啟用ESU。而根據微軟規劃，消費者若是不願支付30美元取得ESU，也可以藉由啟用Windows備份、或是使用Microsoft Rewards換取ESU。</p> <p>根據歐洲消費者組織（Euroconsumers Group）和微軟的信件，微軟對歐盟Windows 10消費者提供免成本ESU選項，而且這項選擇無需消費者備份設定、應用程式、憑證，也不必用Microsoft Rewards。歐盟消費者組織認為，他們先前擔心，將必要的安全更新連結微軟自有服務，有違反歐盟數位市場法（DMA）的問題。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171374"><strong>【9月25日】中國駭客RedNovember滲透多國，臺灣國防、半導體遭鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171364"><strong>【9月24日】美國拆除由10萬張SIM組成的貓池</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171351"><strong>【9月23日】協作平臺Notion導入AI代理，攻擊者可透過惡意PDF檔洩露資料</strong></a></p> </div></div></div>
2025/9/26 18:00作者周峻佑https://www.ithome.com.tw/news/171403
針對影響歐洲多座機場營運的勒索軟體攻擊事故，英國逮捕涉案中年男子
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自9月19日晚間開始，傳出<a href="https://www.ithome.com.tw/news/171330">歐洲有多個大型機場登機系統運作中斷</a>，部分航班受到影響而延誤，攻擊者針對的目標，是航太暨國防業者Collins Aerospace打造的Muse登機系統，歐盟主管機關介入調查，<a href="https://www.ithome.com.tw/news/171344">初步判定是勒索軟體攻擊</a>，現在英國找到疑似涉案的人士並逮捕，以釐清案情。</p> <p>9月24日<a href="https://www.nationalcrimeagency.gov.uk/news/uk-arrest-following-aerospace-cyber-incident">英國國家犯罪局（NCA）宣布</a>，在東南地區的區域打擊犯罪機構ROCU協助之下，他們於西薩塞克斯郡逮捕一名四十多歲的男子，罪名是涉嫌違反《電腦濫用法（Computer Misuse Act）》，並強調這次逮捕行動與Collins Aerospace網路事故有關。目前此人已在附帶條件下獲得保釋。</p> <p>NCA指出，雖然逮捕此人是積極調查事故的具體行動，但調查目前仍處於早期階段，他們將持續進行相關調查。</p> <p>詭異的是，這起事故發生快一個星期，卻只有英國當局逮捕一名嫌犯，且並未透露其他調查的進展，傳出介入調查的歐盟網路安全局（ENISA）沒有透露新的消息；受害機場所在地德國、比利時、愛爾蘭、英國，僅有英國公布簡短的聲明，對於這起事故調查的情況，可說是仍然相當撲朔迷離。</p> <p>針對歐洲當局介入調查並認為是勒索軟體攻擊的情況，Collins Aerospace母公司RTX Corporation也在近期呈報的資料當中證實此事。RTX Corporation在<a href="https://www.sec.gov/Archives/edgar/data/101829/000010182925000036/rtx-20250919.htm">提交給美國證券交易委員會（SEC）的8-K表單</a>裡，表示他們在19日獲報旗下產品的資安事故，起因是登機系統Muse系統上出現了勒索軟體。</p> <p>雖然執法機構與RTX Corporation並未透露其他細節，不過有資安專家提出看法。<a href="https://cyberplace.social/@GossiTheDog/115254672566587831">Kevin Beaumont指出</a>，駭客使用的勒索軟體，很可能是名為Hardbit的勒索軟體變種，而罕見的是，開發這款勒索軟體的駭客，並未架設羅列受害企業組織名單的網站。</p> <p>Kevin Beaumont也提及受害裝置出現不斷重覆感染勒索軟體的情況，迫使相關IT人員必須一直重開機及進行還原作業。對此，他呼籲相關單位，應協助這些IT人員進行事件回應。</p> </div></div></div>
2025/9/26 16:47作者周峻佑https://www.ithome.com.tw/news/171401
Meta發表AI短影音平臺Vibes
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2025/09/introducing-vibes-ai-videos/" target="_blank">Meta周四（9/25）發表</a>了Vibes預覽版，這是Meta AI行動程式及<a href="https://ai.meta.com/meta-ai/" target="_blank">Meta AI網站</a>上的新服務與平臺，可用來建立及展示由AI生成的短影音，並能將它分享給友人或是發布到Instagram Stories及Facebook Reels上。</p> <p>與其讓既有的短影音平臺充斥著由AI生成的作品，不如賦予它一個專用平臺，Vibes就是這樣的產品。Meta宣稱Vibes奠基在各種媒體創作模型上，使用者可用文字描述想要的內容，也能變更既有作品的背景或人物，然後要求Vibes將它生成動畫，還能幫它配樂，或是重新混合來自不同創作者的短影音，加入自己的想法或風格。</p> <p><a href="https://www.ithome.com.tw/news/168674" target="_blank">Meta AI</a>為Meta的AI服務入口，它提供了聊天機器人，支援文字及語音對話，提供影像生成功能，可連結AI眼鏡，可將內容分享到Instagram與Facebook上，現在則多了短影音生成功能Vibes。</p> <p>不過，目前Meta AI主要部署於北美、紐澳、英國及部分歐洲市場，尚未支援臺灣市場。</p> </div></div></div>
2025/9/26 15:49作者陳曉莉https://www.ithome.com.tw/news/171398
Cloudflare準備發行與美元掛鉤的穩定幣NET Dollar供AI代理人使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供全球網路加速及安全服務的<a href="https://www.cloudflare.com/press/press-releases/2025/cloudflare-introduces-net-dollar-to-support-a-new-business-model-for-the-ai-driven-internet/" target="_blank">Cloudflare周四（9/25）宣布</a>，該公司準備要發行與美元掛鉤的穩定幣NET Dollar，以用來支援代理式網路（Agentic Web）的支付活動。</p> <p>Cloudflare解釋，AI正從根本改變人類與網路互動的方式，人類不再自己驅動每一次的互動，而是開始將任務委由自動化的AI代理人來執行，不管是預訂航班、訂購雜貨或是管理行事曆等，未來此一AI驅動的網路將會需要即時、全球化且安全的金錢，以讓AI代理人、開發人員或創作者能夠自動且可靠地進行交易。</p> <p>Cloudflare共同創辦人暨執行長Matthew Prince認為，過去幾十年來，網路的商業模式源自廣告與銀行轉帳，但它的下一個商業模式將轉向按次付費、小額支付與微交易，Cloudflare的全球網路將可協助實現金融通路的現代化，以網路的速度來移轉資金。</p> <p>NET Dollar標榜可讓全球的付款變得更輕鬆，還能實現即時且自動化的交易，並解鎖網路的新創業模式。</p> <p><a href="https://netdollar.cloudflare.com/" target="_blank">根據Cloudflare的說明</a>，NET Dollar的每個代幣都會有1美元的全額擔保，是專為機器及代理人的興起而設計的，它能夠無縫、自動化且不需人工干預地進行交易，可將其規則與工作流程直接嵌入支付中，並橫跨網路及生態體系。</p> <p>Cloudflare只說NET Dollar很快就會推出，並未公布確切時間表。</p> </div></div></div>
2025/9/26 15:58作者陳曉莉https://www.ithome.com.tw/news/171399
OpenAI發表用來評估AI模型經濟價值的GDPval標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/gdpval/" target="_blank">OpenAI本周四（9/25）發表了GDPval評估標準</a>，用以衡量AI模型在具經濟價值之真實世界任務上的表現，它納入了對美國國內生產毛額（Gross Domestic Product，GDP）最有貢獻的9個產業、44種職業與1,320項具體任務。首次的評測發現，整體表現最佳的是Claude Opus 4.1。</p> <p>OpenAI表示，GDPval旨在提供一套能反映AI模型真實經濟影響的衡量方法，補足傳統基準測試偏重學術題目或程式競賽的限制。透過對具體工作成果的評估，如法律簡報、工程設計、醫療照護計畫等，GDPval能更貼近專業人士的日常工作，衡量模型在實際生產力上的潛力。</p> <p>首版GDPval選取了對美國GDP貢獻度超過5%的九大產業，包括房地產、政府、製造業、專業技術服務、醫療保健、金融保險、零售、批發及資訊產業，並在各產業中挑選44個以知識工作為主的職業。每個職業設計30項任務，總計1,320個，皆由平均擁有14年經驗的專業人士撰寫與審核，確保任務的真實性與代表性。OpenAI再從這1,320項任務中選出220個任務組成黃金評估集，作為各AI模型比較評估的標準測試集。</p> <p>在評估過程中，OpenAI邀請來自各職業的專業評審進行盲測，對比AI模型與人類專家的成果，並依據品質、美觀、準確度等標準打分。OpenAI同時也開發了可模擬專家打分數的自動評分系統，未來將透過evals.openai.com開放研究使用。</p> <p>OpenAI在GDPval評估中測試了多個尖端AI模型，包括自家的GPT-4o、o4-mini、OpenAI o3與旗艦級的GPT-5，以及其他主要廠商的模型，如Anthropic的Claude Opus 4.1、Google DeepMind的Gemini 2.5 Pro，與xAI的Grok 4。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-GDPval%20OpenAI-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>結果顯示，Claude Opus 4.1在整體表現中略勝其他模型，尤其在文件格式、美觀性與版面設計等項目中獲得最高評價，成果最接近人類專家水準；GPT-5則在專業知識準確度、推理深度與任務完整性方面表現最佳，能更精確地處理複雜的跨領域問題。相較之下，Gemini 2.5 Pro與Grok 4在部分任務中表現穩定，但在專業細節與輸出一致性上仍略有差距。</p> <p>OpenAI指出，GDPval結果顯示AI模型已能以100倍速度與1%成本完成部分專業任務，未來在重複性高、規範明確的知識工作中，可望成為有效的輔助工具，釋放人類更多時間投入創造性與判斷性工作，並為整體經濟帶來顯著增長潛力。</p> </div></div></div>
2025/9/26 16:04作者陳曉莉https://www.ithome.com.tw/news/171400
研究人員揭露凍結EDR運作新手法，濫用Windows錯誤報告系統就能達到目的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避偵測，駭客通常會無所不用其極地癱瘓防毒軟體及EDR的運作，其中一種最常見的手法被稱做<a href="https://www.ithome.com.tw/tags/byovd">自帶驅動程式（BYOVD）</a>，駭客攜帶存在弱點的合法驅動程式，藉此在受害電腦提升權限，然而有研究人員發現，他能透過視窗作業系統內建的工具來達到類似目的，而無須設法植入驅動程式，或是找到電腦上存在弱點的內建驅動程式加以利用，就能讓端點防護機制無法正常運作。</p> <p>資安研究員Zero Salarium<a href="https://www.zerosalarium.com/2025/09/EDR-Freeze-Puts-EDRs-Antivirus-Into-Coma.html">在部落格發表文章指出</a>，他發現透過Windows錯誤報告系統（Windows Error Reporting，WER，WerFaultSecure.exe），就有機會讓防毒軟體或是EDR的處理程序休眠，而且，所有的過程都是運用使用者模式（User-mode）程式碼來達成，完全不需要其他的第三方工具。Zero Salarium也打造名為EDR-Freeze的程式來進行概念驗證（PoC）。</p> <p>這種手法運用Windows內建程式庫DbgHelp，以及當中的功能函數MiniDumpWriteDump，該函數的主要功能是建立小型記憶體轉存檔案（Minidump），這種檔案是記憶體的快照，通常會用於除錯。而為了確保記憶體內容與處理程序的狀態一致，此程式庫在轉存Minidump的過程裡，會暫停目標處理程序。</p> <p>由於防毒軟體與EDR通常會受到Protected Process Light（PPL）的內建機制保護，而如何繞過PPL，就是能夠對端點防護機制上下其手的關鍵。</p> <p>Zero Salarium形容這是一種條件競爭（Race condition）攻擊，他列出的執行步驟如下，首先，攻擊者使用名為CreateProcessAsPPL工具，以WinTCB層級啟動WerFaultSecure，然後輸入特定的WerFaultSecure功能參數，以便執行處理程序的轉存。接著，持續監看目標處理程序（即防毒軟體或EDR）的狀態，直到進入暫時。</p> <p>最終，攻擊者運用OpenProcess並搭配PROCESS_SUSPEND_RESUME的權限，而能透過NtSuspendProcess功能函數將WerFaultSecure處理程序暫停，使得防毒軟體或EDR也隨之進入暫停狀態。</p> </div></div></div>
2025/9/26 12:50作者周峻佑https://www.ithome.com.tw/news/171397
強化臺灣產品資安，資安院漏洞獵捕計畫正式推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>產品安全議題已成國家議題，數位發展部資通安全署（資安署）與國家資通安全研究院（資安院）在9月25日，特別舉辦一場產品資安論壇，吸引一百多位產業人士與會，現場不僅公布資安院的產品資安漏洞獵捕計畫，同時解析了2025國際間的最新產品安全發展態勢，讓國內所有資通訊產品製造商，可以更好應對未來趨勢。</p> <p>畢竟，<a href="https://www.ithome.com.tw/news/162730#PSTI">產品安全議題從兩年前開始有大幅變化，當時國際已有相當多行動展開</a>，包括：歐盟網路韌性法（CRA）、英國PSTI法案發布，還有美國推動US Cyber Trust Mark安全標章，美CISA公布Secure by Design系列警報，以及南韓與新加坡簽署物聯網安全認證體系MOU等消息。</p> <h3><strong>資安院產品資安漏洞獵捕計畫登場，9月25日開放電子產品製造品牌廠商報名</strong></h3> <p>「產品的資安防護不再是附加選項，而是產品設計的核心要求。」身為資通訊產品重鎮的臺灣，需關注此一重大變化，了解確保產品安全已是大勢所趨。</p> <p>為了促進臺灣的產品資安發展能跟上時代，<a href="https://www.ithome.com.tw/news/168673">資安院副院長龔化中在今年4月於臺灣資安大會上，揭露多項重要推動措施</a>，例如，（一）強調「設計即安全」，培育Security by Design的產品資安人才，（二）強化「出廠即安全」，發起產品資安漏洞獵捕計畫，並推動更多業者建立產品資安事件應變小組（PSIRT）（三）聚焦「合規也安全」，推進臺灣電子產品資安法規與標章接軌國際。 </p> <p>其中一項重要推動項目，是資安院的產品資安漏洞獵捕計畫，龔化中表示這項活動現在可以開始報名。具體而言，將由企業廠商（藍隊）提供產品測試標的，接著由白帽駭客（紅隊）挖掘漏洞，資安院測試團隊（綠隊）負責確保網路與測試場域順利運作，最後由資安院裁判團隊（紫隊）審核通報結果與獎勵分配。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）202509產品資安論壇_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89202509%E7%94%A2%E5%93%81%E8%B3%87%E5%AE%89%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>根據現場公布資料顯示，活動正式開始時間為12月1日到明年1月31日。報名分兩階段，現在已經開始，藍隊（電子產品製造品牌廠商）報名期間將9月25日到10月27日，接下來會揭曉活動獎金，紅隊（白帽駭客與資安專業人員）報名期間從11月1日開始。資安院檢測防禦中心總監劉建良表示，這是資安院第一次舉辦，目前先聚焦電子產品製造品牌廠商，之後舉辦將納入臺灣軟體開發業者。</strong></span><a id="SBOM" name="SBOM"></a></p> <h3><strong>強制建立SBOM管理機制成國際態勢，政府將協助臺灣企業導入，提升市場競爭力</strong></h3> <p>這場論壇內容除了公布漏洞獵捕活動，強調推動更多國內ICT製造商成立PSIRT，軟體物料清單（SBOM）也是產品安全管理的關鍵工具，可提升軟體供應鏈的透明度，有效管理風險、識別及修補軟體漏洞。</p> <p>資安署長蔡福隆在開場致詞時表示，數位產業署將鼓勵共同供應契約廠商從明年起依機關要求提供SBOM表，使軟體產品開發過程更加透明化。</p> <p>同時，資安院也說明現在的作法：他們正推動公部門導入SBOM並提供開源工具教學文件，例如，如何使用Syft、Trivy掃描專案產生SBOM檔案，藉助Google OSV Scanner可自動比對並產生報表，另也介紹兩款相關開源工具，包括CycloneDX Generator、Microsoft sbom-tool的使用方式。這些文件均已公開於資安院網站，供有需要的單位或企業下載參考。</p> <p>此外，資安院經理范姜中岑表示，資安院也基於這些工具實作一個GUI介面的工具，當中並會藉助CVSS、EPSS、LEV等資訊來協助判斷漏洞修補優先順序，後續也能幫助追朔供應鏈威脅。</p> <p>至於SBOM方面的最新發展態勢，范姜中岑呼籲大家注意美國CISA今年8月22日公開<a href="https://www.cisa.gov/resources-tools/resources/2025-minimum-elements-software-bill-materials-sbom">《2025 SBOM最低要素》草案</a>，因為當中出現一些新的規範。包括：目前草案要求SBOM應支援SPDX與CycloneDX等開放標準格式，其他新規範還包括：要求SBOM必須包含元件雜湊值、授權資訊、創建SBOM的工具名稱、以及生成背景的資訊。預期未來SBOM也將擴大範疇，涵蓋雲端SaaS服務、AI系統，因此可能還需要增加新的欄位。</p> <p>此外，現場還有資安院研究員吳書嫺也提到，美國CISA與英法德澳韓日新等17國的網路安全機構，在本月初（9月3日）共同發布《<a href="https://www.cisa.gov/sites/default/files/2025-09/joint-guidance-a-shared-vision-of-software-bill-of-materials-for-cybersecurity_508c.pdf">軟體物料清單SBOM之資安願景共識</a>》，這也顯示出，各國對SBOM工具及因應跨國軟體供應鏈風險的重視，積極推動SBOM的標準化與自動化。<a id="SIM3" name="SIM3"></a></p> <h3><strong>可借助SIM3模型評自評來精進，產品上市前將弱點修正會更省成本</strong></h3> <p>在漏洞獵捕活動、SBOM等議題之外，也有其他資安專家分享產品資安的實務經驗。</p> <p>例如，PSIRT推動也是當務之急，早在五六年前，包括群暉、合勤、威聯通等業者都在公開場合分享PSIRT建置經驗。但主動響應的製造商不夠多，如今隨著國際資安法規開始針對「更新、通報、回應漏洞」提出強制要求，因此資安院與TWCERT/CC希望更多臺灣製造商能進早做好準備，才能建立臺灣在產品安全的努力與形象。</p> <p>在這場論壇中，身為台灣資安主管聯盟副會長暨合勤投控資安長游政卿，進一步談到PSIRT的精進之道。</p> <p>他指出，歐洲CSIRT社群在2016年時，發展出一套資安事件管理成熟度模型（Security Incident Management Maturity Model，簡稱SIM3），目前最新版本為v2，共畫分出45項檢視參數，以衡量組織處理安全事件的能力。</p> <p>特別的是，SIM3模型已成為國際公認的事件回應成熟度評估工具。例如，國際資安事件緊急應變小組論壇（FIRST）採用SIM3，並規定其中11項參數是申請加入FIRST的最低門檻；歐洲網路與資訊安全局（ENISA）亦採用SIM3，將之納入其CSIRT能力評鑑與能力建置框架，作為推動歐盟成員國強化事件回應成熟度的依據。他並透露，合勤即將加入FIRST組織。</p> <p>游政卿強調，製造商需要為自己的產品當責，在成立PSIRT、建立漏洞揭露政策（VDP），以及落實Secure by Design之餘，還可藉由定期SIM3自評來了解自身PSIRT做的如何，另外也能加入FIRST，取得資安聯盟共享情資。</p> <p>另一方面，正視CVE與CWE風險也很重要，過去常參與Pwn2Own漏洞懸賞計畫的資安業者戴夫寇爾，該公司執行長暨共同創辦人翁浩正指出，他們已經幫助全球多款軟體系統與電子產品找出未知漏洞風險，同時也有幫助國內產品的漏洞通報，像是近一年國內TVN漏洞平臺所揭露的漏洞中，有四分之一的比例都是由該公司研究人員所通報。</p> <p>對於產品漏洞問題，翁浩正強調，根據國外研究顯示，產品上市後的漏洞修補成本，比設計階段預防漏洞的成本要高出100倍。</p> <p>因此他也呼籲國內產品業者，在產品研發的前期階段，公司本身需落實Secure Coding、軟體安全開發生命週期（SSDLC），以及原始碼安全檢測、弱點掃描與SBOM。</p> <p>接下來，可引入外部專業資安團隊協助找出盲點，降低產品上市前的風險，讓產品上市前的問題盡可能減少。這也是戴夫寇爾現在正推動的事，不只透過漏洞懸賞計畫在產品上市後幫助找出潛在漏洞威脅，也希望將其研究能量與製造商合作，促進產品上市前能做到更多把關。</p> <p>在此同時，當然，製造商也必須預先建立PSIRT，以及漏洞通報與揭露管道VDP，提早因應產品上市後被發現漏洞的可能狀況。甚至在產品上市後，仍然透過舉辦漏洞獎勵計畫，借助更多研究人員之力來找出尚未發現的潛在問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89202509%E7%94%A2%E5%93%81%E8%B3%87%E5%AE%89%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>近年來，全球產品安全的資安法規快速演進，從歐盟CRA、英國PSTI、美國物聯網網路安全法、日本產品資安相關法律來看，廠商的責任不只限於產品設計即安全、預設及安全，也要負責產品生命週期，包括更新、通報、回應漏洞，而且產品資安責任已延伸到上下游，規範對象涵蓋製造商、進口商、經銷商。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）202509產品資安論壇_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89202509%E7%94%A2%E5%93%81%E8%B3%87%E5%AE%89%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>臺灣從2018年開始發展物聯網設備資安驗證標章制度，只是要將標準鏈結國際，臺灣目前還沒有重大成果展現，而最近幾年國際間已有多國簽訂資安標章國際互認協議，這將是資安院接續這項任務下的重大挑戰。</strong></span></p> <p> </p> </div></div></div>
2025/9/26 10:53作者羅正漢https://www.ithome.com.tw/news/171392
微軟禁止以色列軍方以其雲端服務來監控巴勒斯坦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2025/09/25/update-on-ongoing-microsoft-review/" target="_blank">微軟周四（9/25）宣布</a>，在獲得以色列利用微軟服務大量監控加薩（Gaza）民眾的證據之後，已停用以色列國防部（Israel Ministry of Defense，IMOD）某個單位所使用的部分Azure服務。</p> <p>是一連串的抗議行動迫使微軟採取此一決定的。以色列與加薩的巴勒斯坦人是在2023年的7月發生衝突並演變成持續的攻擊行動，當時即傳出以色列軍方使用雲端及AI技術來輔助作戰；2024年便有微軟員工針對以色列國防部使用Azure及微軟AI服務表達不滿，並組織了小規模的連署與抗議行動。</p> <p>微軟在2025年5月15日首度針對此事<a href="https://blogs.microsoft.com/on-the-issues/2025/05/15/statement-technology-israel-gaza/" target="_blank">發布正式聲明</a>（最早的聲明從第三段開始），指出該公司同時展開了內部審查與外部調查，並未發現有任何證據表明微軟的Azure及AI技術來用來針對或傷害以巴衝突中的人們。</p> <p>微軟的聲明顯然未能安撫同事。在2025年5月19日舉行的Build大會上，<a href="https://www.theguardian.com/technology/2025/may/19/microsoft-ceo-speech-palestinian-protest" target="_blank">有一名韌體工程師Joe Lopez忽然起身質問</a>正在演講的微軟執行長 Satya Nadella，要Nadella展示微軟如何殺害巴勒斯坦人。同一時間，微軟員工與人權倡議者在Build大會外面，高舉著「拒絕為種族隔離提供Azure」（No Azure for Apartheid）的抗議布條。</p> <p>接著衛報（The Guardian）與以色列及巴勒斯坦當地媒體+972 Magazine，以及希伯來文媒體Local Call共同展開調查，<a href="https://www.theguardian.com/world/2025/aug/06/microsoft-israeli-military-palestinian-phone-calls-cloud" target="_blank">在今年8月6日揭露</a>，以色列情報單位Unit 8200在2021年下半年與微軟執行長 Satya Nadella達成協議，以把大量的機密資料存放在微軟雲端。之後Unit 8200即開始打造一個大規模監控工具，可蒐集與儲存加薩與西岸地區（West Bank）巴勒斯坦人每天撥打數百萬通電話的錄音紀錄。</p> <p>此一報導促使微軟決定聘請獨立的第三方擴大調查，<a href="https://blogs.microsoft.com/on-the-issues/2025/05/15/statement-technology-israel-gaza/" target="_blank">並於本周再度發布了聲明</a>，強調微軟的服務條款原本就禁止提供針對平民的大規模監視技術，儘管微軟無法存取以色列國防部（客戶）存放於系統上的內容，但根據以色列國防部在荷蘭所消耗的Azure儲存空間及對AI服務的使用，發現了支持該報導的證據。</p> <p>因此，微軟決定停用以色列國防部原本訂閱的特定服務，涵蓋雲端儲存空間、AI服務與技術等，並已知會以色列國防部，重點是確保微軟服務不會被應用在針對平民的大規模監視上。</p> <p><a href="https://www.theguardian.com/world/2025/sep/25/microsoft-blocks-israels-use-of-its-technology-in-mass-surveillance-of-palestinians" target="_blank">衛報指出</a>，這些龐大的、多達8,000TB的通話紀錄是被存放在微軟位於荷蘭的資料中心，在已知可能會被微軟禁用後，以色列國防部企圖轉向Amazon，惟迄今不管是以色列國防部或Amazon都拒絕回應此事。</p> </div></div></div>
2025/9/26 12:51作者陳曉莉https://www.ithome.com.tw/news/171396