iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Claude Code支援自訂外掛，一行指令安裝自訂工作流程與代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/news/claude-code-plugins">公開測試</a>Claude Code外掛機制，開發者可將斜線指令、子代理、MCP伺服器與Hooks等以輕量封裝統一管理。官方提供/plugin指令，可在終端與VS Code內安裝外掛，並視需求啟用或停用，以降低系統提示與工作區上下文負擔。</p> <p>外掛為可共享的自訂集合，可同時包含多種擴充點。斜線指令能把常用操作變成簡短呼叫，子代理可負責特定任務，MCP伺服器負責透過連結工具與資料來源，Hooks則在流程關鍵節點介入調整行為。官方表示未來會持續擴充可封裝的擴充點，外掛也將成為分享Claude Code客製化設定的標準方式，對於希望複製團隊最佳實務或將私有工具接入開發流程的使用情境更為方便簡潔。</p> <p>Anthropic開放以Git儲存庫、GitHub儲存庫或URL託管外掛市集，市集根目錄只需包含描述檔，即可被Claude Code索引與瀏覽。開發者可利用指令把市集加入環境，再透過/plugin功能表檢視與安裝外掛。此模式同時支援社群公開分享，與組織內部發布經核可的外掛，有助於團隊內一致套用如程式碼審查與測試等工作流程。</p> <p>官方並舉出多種實務範例，重點在於把常見的開發工作流與治理需求，以外掛這個統一載體進行標準化封裝，包含品質控管、自動化與工具資料對接，讓團隊在不同專案與環境間維持一致性與可重複性。</p> <p>社群與官方提供可瀏覽的市集與範例外掛，涵蓋程式碼審查、安全指引、文件產生、專案管理與測試等應用，另備有建立新外掛的樣板與流程說明，讓開發者透過同一安裝入口快速導入、維護與分享。</p> </div></div></div>
2025/10/10 12:31作者李建興https://www.ithome.com.tw/news/171621
歐洲業者連署反對歐盟Chat Control用戶端掃描，指稱將削弱加密並動搖信任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲多家隱私導向服務商聯合發表<a href="https://blog.cryptpad.org/2025/10/07/open-letter-against-chat-control/">公開信</a>，呼籲各會員國政府否決歐盟《兒少性剝削規範》（CSA）中的聊天控制（Chat Control）方案。公開信主張，用戶端掃描等做法等同在使用者裝置上預置掃描機制，將破壞端到端加密與整體資安，進而動搖使用者對歐洲服務的信任與採用。連署方包含Proton、Nextcloud、Element、Threema與Wire等，以及歐盟中小企業聯盟DIGITAL SME，並明確點出該法與歐盟數位主權目標相違背。</p> <p>公開信提出兩層風險評估，第一是安全面向，強制在用戶端進行內容比對與分析，無可避免地引入可被敵對國家與犯罪者濫用的系統性弱點，即使政府部門被排除於掃描義務之外，企業、民眾與關鍵基礎設施仍暴露在風險中。第二是產業與信任面向，歐洲服務仰賴GDPR建立的隱私信譽，一旦被迫弱化加密保證，用戶可能轉向美中大型平臺，削弱歐洲業者競爭力與數位主權。</p> <p>公開信同時指出政策一致性問題。歐盟近年透過NIS2指令、網路韌性法案（Cyber Resilience Act）與歐盟網路安全法(Cybersecurity Act)強化資安與加密，但要是以CSA規範要求廣泛掃描私人通訊，等於在法規體系內製造矛盾，讓投資資安與立法削弱資安並存。信中進一步強調，中小企業難以負擔維運侵入式掃描機制的成本，而其市場定位又多建立在隱私優先上，被迫實作用戶端掃描實則侵蝕差異化價值。</p> <p>根據<a href="https://therecord.media/chat-control-eu-germany-will-not-support-law">外媒The Record報導</a>，德國已表態不支持Chat Control，德國聯邦司法部長Stefanie Hubig表示隨機聊天監控在法治國家必須是禁忌，此舉被視為削弱該提案在歐盟理事會討論過關的可能性。隱私通訊服務Signal基金會總裁Meredith Whittaker<a href="https://signal.org/blog/pdfs/germany-chat-control.pdf">表示</a>，如果Chat Control成為法律，寧可退出歐盟市場，理由是提案本質要求在每部裝置上對訊息、相片與影片進行大規模稽核，等同破壞端到端加密與私密通訊的安全前提。</p> <p>Chat Control的核心爭議在於要求即使在端到端加密環境仍對內容進行檢測，需透過用戶端掃描在加密前或解密後進行分析，而該架構會把本應僅在使用者端處理的私密資料，暴露給模型與比對庫，且一旦被繞過或濫用，風險將外溢至更廣泛的數位生態。</p> </div></div></div>
2025/10/10 11:20作者李建興https://www.ithome.com.tw/news/171619
三星超小模型挑戰大模型，以遞迴推理在ARC-AGI基準測試取得亮眼成績
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星（Samsung）先進技術研究院蒙特婁研究員Alexia Jolicoeur-Martineau<a href="https://arxiv.org/abs/2510.04871">發表Tiny Recursion Model（TRM）研究</a>，以僅約700萬參數的小模型，在ARC-AGI-1基準測試達44.6％正確率，在ARC-AGI-2則達7.8％。雖然其表現仍低於Grok-4系列模型，但已超越多個大型語言模型。相關論文已公開發表，並於GitHub平臺<a href="https://github.com/SamsungSAILMontreal/TinyRecursiveModels">開放原始碼</a>。</p> <p>TRM高效的關鍵在於遞迴推理（Recursive Reasoning），這是一種讓模型在思考過程中重複檢查與修正自己答案的方法。TRM只使用一個小型神經網路，在固定的步數內不斷進行再思考與修正，運作方式是先將題目與初步答案輸入模型，模型會生成一組潛在表示，代表其對問題的理解。接著，模型在每一步都重新檢視這些潛在變數，根據新的理解修正先前的答案，並逐步逼近更合理的解答。</p> <p>TRM的設計有點像人類解難時反覆推敲的過程，每次思考都會帶來新的線索或更好的推理方向。相較於之前的重要研究HRM（Hierarchical Reasoning Model）需要兩個小網路分別在不同頻率下遞迴運作，TRM僅靠單一網路即可完成整個反覆推理流程，結構更簡潔、運算成本也更低。這讓TRM能以極少的參數量達到不錯的問題解決能力，也展現了小模型透過遞迴思考機制，仍可表現出一定的邏輯與抽象推理能力。</p> <p>TRM在多個解謎任務基準測試的表現亮眼，數獨極難版Sudoku-Extreme最高87.4％，以及迷宮Maze-Hard 85.3％。其中，ARC-AGI-1的44.6％與ARC-AGI-2的7.8％被拿來與其他大語言模型，例如DeepSeek R1、o3-mini與Gemini 2.5 Pro做比較，其以不到其千分之一的參數量呈現相對優勢。</p> <p>作者Alexia Jolicoeur-Martineau同時<a href="https://x.com/jm_alexia/status/1975561300890812793">指出</a>，過度依賴大型企業以數百萬美元訓練的大型基礎模型來解決複雜問題，將會造成限制。他認為，目前產業界過於關注大型語言模型現有的能力，而非致力於設計並拓展新的研究方向。</p> </div></div></div>
2025/10/10 11:56作者李建興https://www.ithome.com.tw/news/171620
英國央行警告AI泡沫風險擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bankofengland.co.uk/financial-policy-committee-record/2025/october-2025" target="_blank">英格蘭銀行（Bank of England，英國中央銀行）金融政策委員會（FPC）在第三季例行會議紀錄中警告</a>，儘管全球宏觀經濟前景充滿不確定性，投資人對風險資產的需求依舊強勁，導致估值普遍攀升。尤其是以AI為主題的科技公司，估值明顯偏高，一旦外部環境出現衝擊，資產價格可能迅速回落。</p> <p>FPC指出，AI熱潮推升了科技股與整體市場的估值，部分企業的未來收益假設過於樂觀。美股指數的集中度亦創歷史新高，S&P500前五大成分股的市值占比接近30%，為過去50年最高。這五家企業主導了2025年的漲勢，使市場對少數科技巨頭的依賴度過高，增加了信心轉變帶來劇烈波動的風險。</p> <p>S&P500（標準普爾500指數，Standard & Poor's 500 Index）為美國最具代表性的股市指數之一，追蹤500家大型上市公司。目前市值前五名依序為微軟、蘋果、Nvidia、Alphabet與Amazon。</p> <p>FPC也指出，以企業獲利來看，美股估值已達25年來高點，幾乎與2000年網路泡沫爆發前相當。S&P500的1年期預估本益比約25倍，雖仍低於當年泡沫水準，但明顯高於歷史平均15至18倍的區間；2000年網路泡沫時預估本益比一度超過35倍。</p> <p>整體而言，由於美股估值偏高且集中於AI產業，英格蘭銀行警告，若AI技術發展或企業採用速度不如預期，或出現能源、供應鏈瓶頸與政策不確定性等情況，任何對AI的信心動搖，都可能引發全球股市劇烈修正，影響金融穩定。</p> </div></div></div>
2025/10/9 16:15作者陳曉莉https://www.ithome.com.tw/news/171618
最大容量增至64 TiB，AWS區塊儲存服務更新一般用途SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_ebs_gp3-main.jpg" width="961" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在AWS建置與管理的公有雲環境當中，針對Amazon EC2執行個體的區塊儲存需求，除了本機可設置暫時使用的固態硬碟儲存空間，也可搭配Amazon Elastic Block Store服務（EBS），目前用戶可選擇基於固態硬碟的儲存區：鎖定一般用途的gp3、gp2，預先建立具有特定IOPS效能（Provisioned IOPS）的io2 Block Express、io1，以及基於傳統硬碟的儲存區：強調吞吐量最佳化（thoughput optimized）的st1、儲放不常存取資料（冷資料）的sc1。</p> <p><a href="https://aws.amazon.com/tw/about-aws/whats-new/2025/09/amazon-ebs-size-provisioned-performance-gp3-volumes/">今年9月底</a>，AWS宣布EBS的gp3儲存區（volume）可支援更大容量，以及更強大的存取效能。</p> <p>在此之前，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ebs-gp3-volume-lets-you-provision-performance-separate-from-capacity-and-offers-20-lower-price/">2020年底推出的gp3</a>，每個儲存區最大可存放16 TiB的資料，現在能存放到64 TiB，提升至4倍；隨機存取效能原本最大為1.6萬IOPS，如今增至8萬IOPS，提升至5倍；吞吐量（循序讀取效能）的上限，增加1倍，從1,000 MiB/s上升到 2,000 MiB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS GP3-2020.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20GP3-2020.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS EBS-2020-rinvent.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EBS-2020-rinvent.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EBS gp3-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EBS%20gp3-web.jpg" style="width: 600px;" /></a></p> <p>相較之下，gp3現在可在最大儲存容量、隨機存取效能這兩項規格，超越gp2（16 TiB、1.6萬IOPS）、io1（16 TiB、6.4萬IOPS），吞吐量的部分，gp3與io1現在同為2,000 MiB/s，gp2是250 MiB/s，而且單就每月每GiB費用而言，gp3分別比這兩種儲存區便宜兩成與六成。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EBS SSD-2025-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EBS%20SSD-2025-10.jpg" style="width: 600px;" /></a></p> <p>現在gp3這項新的儲存配置已全面開放提供，AWS所有商用雲端區域與政府區域都能適用，而且，計價模式不變，這意味著，用戶依循相同價格支付儲存費用之餘，還可以額外添購超出基準效能的IOPS與吞吐量。</p> <p>AWS強調，對於儲存密集型工作負載而言，gp3儲存區的容量與效能的上限變大，有利於減少IT營運工作的複雜度，因為用戶能透過單一gp3儲存區，整併多個先前切分的儲存區，藉此簡化架構、降低管理負擔。</p> <p>尤其是執行容器化工作負載搭配多個切分的儲存區、仰賴單一儲存區的應用程式架構，以及工作負載持續增長、導致資料量逼近gp3儲存區原有容量配置的上限。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AWS Amazon EBS gp3</strong></span><br /> ●原廠：AWS<br /> ●建議售價：亞太地區（臺北），每月每GiB為0.0864美元，超過3,000 IOPS者，每月每個佈建IOPS為0.0054美元，傳送量超過125 MB/s者，每月每個布建 MB/s為0.043美元<br /> ●儲存容量：1 GiB到64 TiB<br /> ●儲存效能：每個儲存區最大8萬IOPS、2,000 MB/s，每個執行個體最大26萬IOPS、12,500 MB/s<br /> ●儲存可用度：99.8%至99.9%</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/10/9 17:14作者李宗翰https://www.ithome.com.tw/review/171583
【資安日報】10月9日，AI資安工具協助改善模型品質、自動修補軟體資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用AI強化資安的做法已是大勢所趨，本週Anthropic、Google宣布多項新措施而受到關注，其中，Anthropic推出開源的AI模型安全稽核框架Petri，企圖協助開發者找到模型弱點並進行改善，相當受到矚目；再者，Google旗下的DeepMind也打造能自動發現、修補軟體漏洞的AI代理CodeMender；此外，Google也正式推出專屬AI的漏洞懸賞計畫。</p> <p>上週有多起資安事故受到高度關注，並在本週出現新的進展。在勒索軟體駭客Clop鎖定Oracle E-Business Suite（EBS）的零時差漏洞攻擊、Red Hat資料外洩事故，有研究人員公布新的調查結果後，又有其他事故有新消息：朝日啤酒遭駭的事故有駭客組織聲稱犯案，Discord透露事故用戶身分證件外流的規模。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171609"><strong style="font-size: 22px;">針對上週公布的朝日啤酒網路攻擊事故，勒索軟體Qilin聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/qilin-asahi.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/qilin-asahi.jpg" style="width: 300px; float: right;" /></a></p> <p>以生產啤酒聞名的朝日集團控股公司（Asahi Group Holdings）9月29日公告他們遭遇網路攻擊，導致該公司在日本的訂單、出貨，以及電話客服等業務停擺，後來在10月3日證實這起事故是勒索軟體攻擊，現在有駭客組織宣稱犯案。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Qilin聲稱是他們所為，將朝日集團控股公司列於資料外洩網站，他們竊得27 GB資料，總共有超過9,300個檔案，為了取信買家，他們公布29張螢幕截圖，內含公司財務文件、員工編號、機密合約，以及內部報告。</p> <p>朝日也發布公告透露復原情形，他們建立了臨時的手動訂購系統，該公司Super Dry啤酒的生產已經恢復，他們預計從10月15日陸續恢復旗下5種品牌的飲品出貨。6座工廠已於10月2日恢復生產，不過，原本計畫上市的產品，將有可能延期發表。</p> <p><a href="https://www.ithome.com.tw/news/171607"><strong style="font-size: 22px;">駭客聲稱從Discord的IT服務臺550萬用戶資料、210萬張身分證件的照片</strong></a></p> <p>在上個星期，傳出即時通訊軟體Discord第三方客服供應商遭到未經授權人士入侵的事故，影響曾和Discord客戶支援團隊、信任與安全團隊聯繫的部分用戶，駭客組織Scattered Lapsus$ Hunters一度聲稱是他們所為，並表示是入侵IT服務臺系統Zendesk得逞。現在駭客進一步透露消息，聲稱他們竊得大批資料，意圖向Discord施壓。</p> <p>根據資安新聞網站Bleeping Computer最新發布的報導，駭客聲稱在這起事故取得1.6 TB資料，其中有1.5 TB是客服工單的附件檔案，另有超過100 GB是工單的文字記錄。這批資料約有840萬張工單、影響550萬名使用者，其中58萬名用戶曝露付款資料。對於有多少身分證件的照片外流，這些駭客起初表示不清楚，僅表示有52.1萬張工單與驗證年齡有關，但後來聲稱可能有210萬張照片。</p> <p>對此，Discord也在10月8日更新原本資安公告的內容，重申該公司自己的系統並未遭到入侵，駭客攻擊第三方服務的目的，就是向他們勒索。該公司也透露，已確認約有7萬名用戶的身分證件照片可能外流。</p> <p><a href="https://www.ithome.com.tw/news/171603"><strong style="font-size: 22px;">郵件伺服器Zimbra零時差漏洞遭到利用，駭客濫用行事曆檔案ICS觸發</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zimbra-0day-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zimbra-0day-1.png" style="width: 300px; float: right;" /></a></p> <p>今年1月底，郵件伺服器系統Zimbra Collaboration Suite（ZCS）發布10.1.5、10.0.13、9.0.0 Patch 44版，修補資安漏洞CVE-2025-27915，此為網頁用戶端程式的跨網站指令碼（XSS）漏洞，起因是行事曆檔案（ICS）的HTML內容未充分清理所致，美國網路安全暨基礎設施安全局（CISA）評估CVSS風險為5.4分。然而最近有資安業者指出，在軟體業者Synacor發布軟體更新之前，就出現零時差漏洞攻擊行動。</p> <p>資安業者StrikeReady指出，在1月初有人冒充利比亞海軍旗下的禮賓辦公室寄信給巴西軍方，挾帶惡意的ICS檔案，企圖利用CVE-2025-27915。由於透過寄送電子郵件攻擊Zimbra、Roundcube等開源郵件伺服器系統的情況，並不常見，因而引起 StrikeReady 注意並展開調查。結果發現，ICS檔內含不尋常、經混淆處理的JavaScript指令碼。</p> <p>一旦此指令碼執行，就會試圖從Zimbra的Webmail介面廣泛竊取資料，包含憑證、電子郵件、聯絡人，以及共用資料夾，此外，若確認使用者處於非活動的狀態，就會將其登出，以利竊取資料。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=183251&SPOKE_DATE=20251008&COMPANY_ID=1707"><strong style="font-size: 22px;">葡萄王生技旗下子公司葡眾接獲勒索信</strong></a></p> <p></p> <p>一般而言，上市櫃發布資安重訊，往往與資訊系統或網站遭受攻擊有關，如今有企業針對遭到勒索發布重訊，這樣的情況相當罕見。</p> <p>10月8日晚間生技業者葡萄王發布重訊，指出旗下子公司葡眾收到網路匿名勒索信，葡眾已向警方報案，並啟動相關資安應變機制因應。</p> <p>而對於這起事故可能帶來的影響，葡萄王表示目前尚在清查，目前主要系統未出現被入侵的跡象，對葡眾營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/chinese-hackers-weaponize-open-source.html">開源工具Nezha遭中國駭客濫用，企圖以此散布惡意程式Gh0st RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/hackers-exploit-wordpress-themes-to.html">駭客滲透WordPress網站，意圖藉由冒牌Cloudflare圖靈驗證從事ClickFix網釣</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-filefix-attack-uses-cache-smuggling-to-evade-security-software/">FileFix網釣出現變形手法，駭客意圖透過暫存走私手法迴避偵測</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/salesforce-refuses-to-pay-ransom-over-widespread-data-theft-attacks/">Salesforce證實遭到勒索，表明拒絕支付贖金</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/lockbit-qilin-and-dragonforce-join.html">DragonForce、LockBit、Qilin意圖組成聯盟，聯手主導勒索軟體生態</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171591"><strong style="font-size: 22px;">Anthropic開源AI模型安全稽核框架Petri</strong></a></p> <p>AI新創公司Anthropic於10月6日開源了Petri，它的全名為「高風險互動平行探索工具」（Parallel Exploration Tool for Risky Interactions），是個AI模型的安全稽核框架，可派出自動化稽核代理人與目標模型進行多輪互動，以探索並偵測模型於各種情境下的潛在弱點及不對齊行為。Petri內建111種涉及高風險場景的指令，可用來評估模型的安全性及穩定性。</p> <p>Petri利用自動化稽核代理人與評審模型對AI模型進行多輪互動測試，並根據多個維度來評分，標記潛在的風險行為，內建的111種測試指令涵蓋欺騙用戶、諂媚、配合有害請求、自我保護、權力追求，以及獎勵駭取等情境，檢測模型於不同高風險場景中的反應。</p> <p>Anthropic已利用Petri測試市面上的14個前沿模型，包括自家的Claude Sonnet 4/4.5與Claude Opus 4.1，OpenAI的GPT-4o/5及GPT-OSS 120B，Google的Gemini 2.5 Pro，xAI Grok-4、Moonshot AI的Kimi K2及o4-mini等，發現這些模型在111種高風險情境的測試中，皆出現不同程度的不對齊行為。</p> <p><a href="https://www.ithome.com.tw/news/171555"><strong style="font-size: 22px;">DeepMind測試AI代理CodeMender，可自動發現並修補軟體漏洞</strong></a></p> <p>Google DeepMind公開其研究中的人工智慧代理CodeMender，可自動找出並修補軟體漏洞，並能重寫既有程式以移除風險，官方表示，過去6個月已對多個開源專案提交72項安全修補，涵蓋規模可達450萬行程式碼。</p> <p>研究團隊指出，傳統自動化如模糊測試（Fuzzing）雖有幫助，但在大型程式碼庫中仍耗時費力。DeepMind先前以Big Sleep與OSS-Fuzz展示人工智慧發現零時差漏洞的潛力，但隨著人工智慧發現漏洞的速度越來越快，人工修補與審核已經跟不上節奏。</p> <p>因此DeepMind開發CodeMender，使其除了具有及時產生並套用修補漏洞的能力，還能主動重寫脆弱介面與資料結構，盡可能從源頭消除常見缺陷類別。</p> <p><a href="https://www.ithome.com.tw/news/171550"><strong style="font-size: 22px;">Google發表專屬於AI產品的抓漏獎勵計畫</strong></a></p> <p>本週Google發表了專屬於AI產品的抓漏獎勵計畫，根據產品等級與漏洞嚴重程度來發放獎勵，最高獎金可達3萬美元。不過，Google也提醒，不管是越獄、提示注入或對齊問題都未被列入獎勵範圍。</p> <p>在新的AI VRP中，Google先將產品分級，等級愈高，獎金就愈多，例如Google Search、Gemini Apps與Google Workspace各種核心應用都屬於旗艦產品；而AI Studio、Jules與Google Workspace的非核心應用則被列為標準產品，而被整合於Google產品中的其它AI則被歸類為其它。</p> <p>至於漏洞懸賞範圍則包括：能修改受害者帳戶或資料狀態，且產生安全影響的攻擊；敏感資料外洩；可被用來執行網釣攻擊的Google網站漏洞；可竊取完整、詳細與機密模型參數的漏洞；可持續修改AI系統脈絡的安全漏洞；存取控制繞過漏洞；可未經授權使用產品；以及持續性服務阻斷攻擊漏洞。</p> <p><a href="https://www.ithome.com.tw/news/171529"><strong style="font-size: 22px;">微軟宣布收信軟體Outlook將導入新措施，不再顯示信件內文當中的SVG圖片</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/apps_63488_14374512070697751_00e.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/apps_63488_14374512070697751_00e.png" style="width: 300px; float: right;" /></a></p> <p>近期駭客挾帶惡意軟體的方法越來越隱密，其中一種時下最常見的手法被稱為隱寫術（Steganography），做法是將有效酬載埋入圖檔，而最近駭客偏好可縮放向量圖形（SVG）做為偷渡惡意程式的載體，對此，有收信軟體採取行動，意圖減少相關資安風險。</p> <p>根據資安新聞網站Bleeping Computer報導，微軟打算在Windows版Outlook、網頁版Outlook（Outlook for Web）當中實施新的政策，那就是不再直接顯示信件內文嵌入的SVG圖檔，來降低相關資安風險。這項變更自9月初開始推出，預計在10月中旬對所有用戶完成部署。</p> <p>在導入新政策後，信件內文的SVG圖片將不會在Outlook顯示，用戶會在原本要顯示圖片的地方看到空白。而對於這項變更帶來的影響，微軟表示僅有不到0.1%圖片是以這種檔案格式發送，因此他們評估帶來的影響很小。不過，透過附件寄送SVG圖片的方式仍受到支援。</p> <p> </p> <h3>【法規遵循】</h3> <p><a href="https://www.ithome.com.tw/news/171433"><strong style="font-size: 22px;">加州正式成為全美首個要求AI公司揭露安全測試制定的州別</strong></a></p> <p>加州州長Gavin Newsom正式簽署了《前沿人工智慧透明度法案》（Transparency in Frontier Artificial Intelligence Act，TFAIA，Senate Bill 53），成為全美首個要求大型AI開發商公開其採用的國家、國際標準及安全機制的州，為AI安全治理立法開創先例。</p> <p>TFAIA是由加州參議員Scott Wiener所提出，以用來規範大型的前沿AI開發商，主要架構包括要求AI業者公開所採用的國家、國際標準與最佳實踐框架；建立回報系統，以讓企業與大眾通報重大AI安全事件；建立問責制度以保護揭露AI模型健康及安全風險的吹哨者；以及成立CalCompute聯盟來發展公共AI運算叢集。</p> <p>加州州長辦公室表示，加州除了是AI的發源地之外，還擁有全球50家頂級AI公司中的32家；去年全美的AI職缺中，有15.7%位於加州，領先第二名德州的8.8%；而且2024年全球的AI及機器學習創投資金有超過一半落在加州。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171593"><strong>【10月8日】Oracle E-Business Suite零時差漏洞攻擊、Red Hat資料外洩事故出現新進展</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171575"><strong>【10月7日】勒索軟體駭客Clop聲稱從Oracle E-Business Suite竊得大批企業內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171504"><strong>【10月3日】Red Hat傳出資料外洩事故</strong></a></p> </div></div></div>
2025/10/9 11:21作者周峻佑https://www.ithome.com.tw/news/171612
Salesforce證實遭到勒索，表明拒絕支付贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.bloomberg.com/news/articles/2025-10-07/salesforce-tells-clients-it-won-t-pay-hackers-for-data-extortion" target="_blank">彭博社（</a>Bloomberg）及<a href="https://www.bleepingcomputer.com/news/security/salesforce-refuses-to-pay-ransom-over-widespread-data-theft-attacks/" target="_blank">BleepingComputer</a>的報導，全球CRM龍頭Salesforce的確遭到駭客的勒索，並在本周二（10/7）發信通知客戶，該公司不會支付贖金。</p> <p>發動這起勒索行動的駭客組織為<a href="https://www.ithome.com.tw/news/171557" target="_blank">Scattered Lapsus$ Hunters</a>。</p> <p>駭客在今年初開始偵察銷售平臺Salesloft上的Drift。Drift是個聊天行銷工具，能夠與潛在客戶互動，支援企業網站的聊天，並可整合包括Salesforce在內的CRM平臺。許多企業授權Drift以OAuth機制連線至Salesforce，用來自動建立潛在客戶資料與同步聊天紀錄，而駭客即入侵了Drift的雲端環境，竊取大量的Salesforce OAuth存取憑證。</p> <p>自今年8月8日至18日之間，駭客利用這些存取憑證登入多家Salesforce租戶，批次查詢企業的「Account」、「Case」、「User」、「Opportunity」等資料物件，並特別搜尋AWS金鑰、Snowflake Token與API密碼等敏感資訊，最後刪除查詢記錄以掩蓋行跡。</p> <p>然而，Salesloft的監控發現了不正常的大量授權請求與資料匯出行為，受害企業亦察覺到異常的API查詢及資料下載，<a href="https://cloud.google.com/blog/topics/threat-intelligence/data-theft-salesforce-instances-via-salesloft-drift" target="_blank">Google則於8月底公布此事</a>，最後是由Salesloft與Salesforce聯合撤銷所有Drift應用的Token，才阻止了駭客的資料竊取行為。</p> <p>但事件並未就此落幕，因為駭客開始向受害者及Salesforce勒索，要求它們支付贖金，否則就要公布所盜來的資料，並設立Breachforums網站，公布受害者名單，涵蓋FedEx、Disney、Home Depot、Google、思科、Toyota、麥當勞、Instacart、Cartier、Adidas、HBO MAX、UPS、Chanel及IKEA等39家企業。</p> <p>儘管被駭的不是Salesforce，但受害者全是Salesforce客戶，使得駭客揚言，倘若Salesforce願意支付贖金，那麼它們即願意放過所有客戶，否則就會單獨向不同的客戶勒索。</p> <p>不過，Salesforce在寄給客戶的郵件中表示，即使駭客威脅要公開所盜來的客戶資料，但該公司並不會支付贖金。Salesforce發言人Allen Tsai亦向媒體表示，Salesforce不會參與、協商或支付任何勒索要求。</p> <p>另一方面，Breachforums網站本周已被關閉，疑似已遭到執法機關接管。</p> </div></div></div>
2025/10/9 14:50作者陳曉莉https://www.ithome.com.tw/news/171617
有備才能減患
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中秋節連假期間，仍然持續有大批志工湧入花蓮光復鄉災區幫忙，此時大家關注的主題，大多是主要道路的側溝清淤，環境部部長也在10月4日透過社群媒體徵求清溝志工協助，因為總長約30公里，但當天僅完成5公里，已匯集120支清溝勺，希望隔天能號召大家帶著清溝勺幫忙，引發不了解這項需求的民眾質疑，批評政府過於依賴志工、不肯花錢徵召更多人力與機具進行清理。</p> <p>後續他回應已調動8臺清溝車支援，但因淤泥嚴重，每臺車每天清理進度僅20至60公尺，而且，除了主幹道，巷道內有很多側溝，1公里可能有500個側溝，而且側溝彼此相連，可能清除一段距離之後，淤泥又流至其他側溝，必須反覆清理，當人力與機具並行作業之後，可以加速清除進度。看過相關新聞影片後，我才知道原來有這類稱為「潛盾沖吸清溝車」特殊機具設備，據說最長一次可清理400公尺。</p> <p>的確人力運用有其限制，應善用機器，但機器也非萬能，人機充分合作，必定能加速清淤，例如，先用人力僵硬化的淤泥挖鬆，再用清溝車深入、攪動、抽出，會更有效率。政府花錢租用機具和聘用人力，當然是可以一併考慮的選項，但充分運用已親至現場的各種設備與人力，也是必要的，兩者並不衝突。雖然一些地方機關和民間公司都有清溝車，但要運送至光復仍需要協調與運送，要招聘人力也需要歷經公告、登記、審核等行政程序，在等候這些機具、人力過來之前，還是可以先運用現場資源來行動，減輕一部分負擔。</p> <p>除了清溝車，災區也亟需各種大型機具進行清理，像是怪手（挖掘機，Excavator）、山貓（鏟裝機，Bobcat）、大山貓（裝載機，Large Bobcat）、推土機（bulldozer），在各界熱心奔走下，這些設備也紛紛送至災區現場，不斷進行主要街道與民宅內外的汙泥開挖、清運。由於臺灣公務機關與民間企業因應營建與防災等需求而有相關設備，因此，在徵召與調度上，沒有遇上太大困難。</p> <p>除了重大天災嚴重影響民眾居住環境，需要各方投入救災行列，最近還有另一件IT事故發生，提醒我們平時就必須做好災難復原的準備。</p> <p>根據多家國際新聞媒體的報導，國家情報資源管理院（NIRS）位於韓國大田市（Daejeon）的資料中心，9月26日晚間8時發生火災，原因是人員維護不斷電系統（UPS）時，將鋰電池從5樓伺服器機房搬移到地下室，以便將UPS系統與關鍵基礎架構區隔開來（電池距離伺服器僅60公分），卻不慎引發鋰電池的熱失控反應（thermal runaway）而發生爆炸的狀況，總共燒毀384個鋰電池，花了22小時才撲滅火勢，導致約 70 項政府服務癱瘓，涵蓋銀行與線上郵政營運、身分驗證，以及公共緊急救援服務，設置在此地的647個系統停擺（96個系統直接毀損，551個系統預先關閉），而這些系統占NIRS系統總數的比例，超過三分之一，而且，在事故發生最初72小時內，只有 46 個系統恢復，超過90個系統嚴重受損或無法恢復。到了9月30日上午10時，只有87個系統恢復運作，恢復率為13％，當局預估需要4個星期才能復原。10月4日115個系統恢復，恢復率為17.8％。</p> <p>值得注意的是，在這96個遭燒毀的系統中，有個大容量、低儲存層級（low-tier）的雲端資料儲存系統G-Drive（Government Drive），多達74個單位、12.5萬名公務員共同使用，每人可儲存30 GB資料，而且，這套系統存放2018年至今的工作相關文件，儲存資料量為858 TB，但令人訝異的是，竟從未備份至外部系統，而無法復原。當局表示，因G-Drive容量過大、儲存系統速度慢而無法備份，其餘95個系統都以線上或離線形式備份資料。</p> <p>資料中心的UPS配置與鋰電池風險固然是事故主因，但災難復原機制的不夠完備，也是必須正視的問題，對此，大部分IT基礎架構專家提出的建議，應該會是：企業與組織需具備雙資料中心備援的即時故障轉移能力。</p> <p>不論災難來自外部環境或人為環境，為了降低風險，我們必須意識這些危機的存在，及早採取預防措施，才能在事中快速應變，事後快速復原。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%81%BD%E9%9B%A3%E5%BE%A9%E5%8E%9F">災難復原</a></div><div class="field-item odd"><a href="/tags/%E7%95%B0%E5%9C%B0%E5%82%99%E6%8F%B4">異地備援</a></div></div></div>
2025/10/9 14:02作者李宗翰https://www.ithome.com.tw/voice/171616
三大勒索軟體集團LockBit、DragonForce與Qilin結盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨威脅偵測業者<a href="https://reliaquest.com/blog/threat-spotlight-ransomware-and-cyber-extortion-in-q3-2025" target="_blank">ReliaQuest在本周發布的2025年第三季勒索軟體報告</a>中指出，三大勒索軟體集團LockBit、DragonForce與Qilin已展開結盟，將分享彼此的戰術及資源，同時，在今年9月復出的LockBit也決定允許成員攻擊關鍵基礎設施，包括核能電廠及水力發電廠等。</p> <p>LockBit為勒索軟體集團結盟的始祖，在2020年與Maze建立合作關係，由LockBit分享自動化加密模組，Maze則提供攻擊腳本及滲透工具、滲透測試者及聯盟網路，以及行銷及恐嚇範本，同時，Maze也是全球首批創立資料外洩網站的勒索軟體之一，以用來公布未付款的受害公司資料。LockBit與Maze還共同開創了如今已成為標準的雙重勒索戰術，不僅加密檔案，還竊取機密資料，一旦受害者拒付，便透過外洩網站公開，提高了贖金支付機率。</p> <p>然而，<a href="https://www.ithome.com.tw/news/161379" target="_blank">LockBit在2024年</a>遭到國際警方的聯手查緝，關閉其位於世界各國的34臺伺服器，接管其技術設施與外洩網站，並凍結了逾200個與該組織有關的加密貨幣帳戶，美國司法部更起訴了LockBit開發者之一Dmitry Khoroshev，公布Khoroshev的照片並懸賞1,000萬美元，促使LockBit的活動停擺。</p> <p>今年9月，LockBit以LockBit 5.0重出江湖，除了對外招募同夥之外，亦明確將核能發電廠及水力發電廠等關鍵基礎設施列為可攻擊目標。過去多數的勒索軟體即服務（RaaS）集團會刻意避開關鍵基礎設施，以避免惹來國際執法機構的關注，LockBit的最新聲明則被視為是一種報復。</p> <p><a href="https://www.theregister.com/2025/10/08/dragonforce_qilin_lockbit_collab/" target="_blank">根據The Register的報導</a>，在新的合作中，先拋出橄欖枝的是擅長跨平臺滲透及資料外洩操作的DragonForce，認為從競爭轉為合作將可增加彼此的收入並控制市場狀況，不管是DragonForce、LockBit，或是後來加入的RaaS服務Qilin都是俄文人。</p> <p>ReliaQuest分析，這3個勒索軟體集團的合作意謂著它們將可交換攻擊腳本、零時差開採程式與初始滲透管道，還可共用伺服器與資料外洩網站以降低基礎設施成本，並擴大其攻擊目標，透露出全球勒索軟體攻擊可能更頻繁、更組織化，也將擁有更強大的技術能力。</p> <p>值得注意的是，該聯盟仍在對外招兵買馬，號召其它勒索軟體集團加入，但迄今尚未發現上述三大集團的聯合攻擊行動或資料外洩網站。</p> </div></div></div>
2025/10/9 12:23作者陳曉莉https://www.ithome.com.tw/news/171615
針對上週公布的朝日啤酒網路攻擊事故，勒索軟體Qilin聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月29日以生產啤酒聞名的朝日集團控股公司（Asahi Group Holdings）<a href="https://www.ithome.com.tw/news/171419">表示遭遇網路攻擊</a>，導致該公司在日本的訂單、出貨，以及電話客服等業務停擺，後來在10月3日<a href="https://www.ithome.com.tw/news/171554">證實這起事故是勒索軟體攻擊</a>，現在有駭客組織宣稱犯案。</p> <p>根據資安新聞網站Bleeping Computer的報導，<a href="https://www.bleepingcomputer.com/news/security/qilin-ransomware-claims-asahi-brewery-attack-leaks-data/">勒索軟體駭客Qilin聲稱是他們所為</a>，將朝日集團控股公司列於資料外洩網站，他們竊得27 GB資料，總共有超過9,300個檔案，為了取信買家，他們公布29張螢幕截圖，內含公司財務文件、員工編號、機密合約，以及內部報告。附帶一提的是，Qilin聲稱這起事故導致朝日6座啤酒廠生產中斷、影響旗下30個品牌，恐損失3.35億美元。對此，該新聞網站試圖取得朝日的說法，該公司表示拒絕對此評論，但透露他們恢復的情形。</p> <p><a href="https://www.asahibeer.co.jp/news/2025/1006.html">朝日表示</a>，他們建立了臨時的手動訂購系統，該公司Super Dry啤酒的生產已經恢復，他們預計從10月15日陸續恢復旗下5種品牌的飲品出貨。6座工廠已於10月2日恢復生產，不過，原本計畫自10月7日開始上市的產品，將有可能延期發表。</p> </div></div></div>
2025/10/9 10:57作者周峻佑https://www.ithome.com.tw/news/171609
Gemini CLI推出擴充套件機制，開放支援第三方整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在<a href="https://blog.google/technology/developers/gemini-cli-extensions/">Gemini CLI加入擴充套件機制</a>，讓開發者可在終端機中安裝並啟用常用工具，目的是把日常工作流程整合到同一命令列介面，減少各服務間的切換。每個擴充套件內建可即時上手的內建使用指引（Playbook），首次下指令即可得到可用結果，無須額外繁複設定。</p> <p>使用者可透過指令簡單安裝、移除擴充套件。Google上線Gemini CLI Extensions清單頁，彙整Google、社群與其合作夥伴擴充套件，並以GitHub星數顯示熱門度，方便開發者挑選。</p> <p>Google強調，擴充套件不僅是連線器，更在封裝層面加入智慧引導。當使用者下指令時，Gemini CLI會參照擴充套件的內建使用指引，並結合本機專案脈絡與版本控制資訊，自動挑選並執行合適工具。</p> <p>單一擴充套件可同時封裝多個MCP伺服器，載入情境檔作為模型指令來源，並支援自訂指令把複雜需求濃縮成簡短斜線命令。當擴充套件的功能與CLI原生工具重疊時，開發者可停用內建工具或替換為自訂版本，維持一致的操作行為。</p> <p>Gemini CLI擴充套件合作方涵蓋Elastic、Figma、Postman、Shopify、Snyk與Stripe等，以Elastic為例，其提供Elasticsearch的MCP伺服器，可配合雲端無伺服器部署使用，而Postman也釋出Gemini CLI擴充套件與MCP伺服器，支援以自然語言存取工作空間、管理環境以及自動化工作流程等任務。</p> <p>Google同步推出多款自家擴充套件，涵蓋雲端部署、應用開發與資料分析等領域，包含GKE、gcloud、Security、Maps Platform、Flutter、Firebase與Genkit系列等，展示Gemini CLI與Google雲端與開發工具的整合方向。</p> </div></div></div>
2025/10/9 12:02作者李建興https://www.ithome.com.tw/news/171613
郵件伺服器Zimbra零時差漏洞遭到利用，駭客濫用行事曆檔案ICS觸發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月底，郵件伺服器系統Zimbra Collaboration Suite（ZCS）發布<a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/10.1.5#Security_Fixes">10.1.5</a>、<a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.13#Security_Fixes">10.0.13</a>、<a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P44#Security_Fixes">9.0.0 Patch 44</a>版，修補資安漏洞CVE-2025-27915，此為網頁用戶端程式的跨網站指令碼（XSS）漏洞，起因是行事曆檔案（ICS）的HTML內容未充分清理所致，美國網路安全暨基礎設施安全局（CISA）<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-27915">評估CVSS風險為5.4分</a>。然而最近有資安業者指出，在軟體業者Synacor發布軟體更新之前，<a href="https://strikeready.com/blog/0day-ics-attack-in-the-wild/">就出現零時差漏洞攻擊行動</a>。</p> <p>資安業者StrikeReady指出，在1月初有人冒充利比亞海軍旗下的禮賓辦公室寄信給巴西軍方，挾帶惡意的ICS檔案，企圖利用CVE-2025-27915。由於透過寄送電子郵件攻擊Zimbra、Roundcube等開源郵件伺服器系統的情況，並不常見，因而引起 StrikeReady 注意並展開調查。結果發現，ICS檔內含不尋常、經混淆處理的JavaScript指令碼。</p> <p>一旦此指令碼執行，就會試圖從Zimbra的Webmail介面廣泛竊取資料，包含憑證、電子郵件、聯絡人，以及共用資料夾，此外，若確認使用者處於非活動的狀態，就會將其登出，以利竊取資料。</p> <p>再者，不意外地駭客也導入多項迴避偵測手法，其中包含在程式碼啟動後會延遲60秒才執行，並限制每3天只能執行1次，而且，他們刻意隱藏使用者介面（UI）元素，降低被發現的機會。</p> <p>值得一提的是，駭客在程式碼當中實作了非同步機制，並轉換成不同的立即執行函式表達式（Immediately Invoked Function Expression，IIFE）來運作，以便執行不同的模組功能。</p> <p>StrikeReady指出總共有5個非同步的IIFE功能模組，其中一個可隱藏欄位來竊取帳密資料，並監控使用者的活動；第二個模組每4個小時搜尋郵件內容並外傳；至於第三個模組也與竊取郵件內容有關，但方法是加入過濾規則，將特定郵件轉寄到指定的信箱。</p> <p>其餘2個模組被用於竊取其他資料，其中一個用來竊取暫存的程式碼、受信任設備資料，以及特定應用程式的密碼；另一個用於竊取聯絡人、通訊群組列表，以及共用資料夾。</p> </div></div></div>
2025/10/9 09:05作者周峻佑https://www.ithome.com.tw/news/171603
駭客聲稱從Discord的IT服務臺550萬用戶資料、210萬張身分證件的照片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上個星期，傳出<a href="https://www.ithome.com.tw/news/171592">即時通訊軟體Discord第三方客服供應商遭到未經授權人士入侵</a>的事故，影響曾和Discord客戶支援團隊、信任與安全團隊聯繫的部分用戶，駭客組織Scattered Lapsus$ Hunters一度聲稱是他們所為，並表示是入侵IT服務臺系統Zendesk得逞。現在駭客進一步透露消息，聲稱他們竊得大批資料，意圖向Discord施壓。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hackers-claim-discord-breach-exposed-data-of-55-million-users/">資安新聞網站Bleeping Computer最新發布的報導</a>，駭客聲稱在這起事故取得1.6 TB資料，其中有1.5 TB是客服工單的附件檔案，另有超過100 GB是工單的文字記錄。這批資料約有840萬張工單、影響550萬名使用者，其中58萬名用戶曝露付款資料。對於有多少身分證件的照片外流，這些駭客起初表示不清楚，僅表示有52.1萬張工單與驗證年齡有關，但後來聲稱可能有210萬張照片。</p> <p>對此，Discord也在10月8日更新<a href="https://discord.com/press-releases/update-on-security-incident-involving-third-party-customer-service">原本資安公告的內容</a>，重申該公司自己的系統並未遭到入侵，駭客攻擊第三方服務的目的，就是向他們勒索。該公司也透露，已確認約有7萬名用戶的身分證件照片可能外流。</p> <p>這些駭客聲稱在9月20日取得Discord的Zendesk平臺58小時存取權限，並強調取得了外流的帳密資料而得逞，這種帳號是提供給Discord的業務流程委外供應商（BPO）使用。而且，他們也表明並未利用Zendesk系統的漏洞，或是事先入侵Zendesk。</p> <p>但資料到底是如何到手的？他們向該新聞網站提供部分竊得資料，證明確有其事，並宣稱用戶的付款資訊能透過Zendesk與Discord內部系統進行搜尋，藉由API查詢Discord內部的資料庫，就能從Zendesk取得相關結果。</p> <p>駭客從9月25日至10月2日向Discord勒索，起初開價500萬美元，後來降為350萬美元。在Discord發布公告並終止談判後，駭客揚言要公開竊得資料。</p> </div></div></div>
2025/10/9 10:19作者周峻佑https://www.ithome.com.tw/news/171607
前端JavaScript函式庫React成立基金會，將從Meta轉出以強化社群治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>React團隊<a href="https://react.dev/blog/2025/10/07/introducing-the-react-foundation">宣布</a>，將成立React基金會建立新的技術治理架構，並計畫把React與React Native自Meta轉移至新基金會運作，目標是以更中立且制度化的方式服務社群，並對生態系專案提供更多資源與支援。</p> <p>React自開源以來已超過10年，最初由Meta主導維護，但隨著外部貢獻的規模與範圍持續擴大，專案早已超越單一公司的使用範疇。將專案移入基金會並建立獨立技術治理，被視為更適合當前多方參與的現況，也有助於替重要函式庫與工具建立穩定的資助來源。</p> <p>React基金會將成為React與React Native的主要歸屬，同時納入JSX等支援性專案。基金會職責涵蓋維運GitHub與CI等基礎設施與商標管理，統籌React Conf，並設計生態計畫與資助機制，例如對關鍵專案提供經費、發放補助與推動培育方案。此一安排將日常維運與社群活動納入長期治理，使持續性投入不依賴單一公司決策或季度資源。</p> <p>創始企業會員包含Amazon、Callstack、Expo、Meta、Microsoft、Software Mansion與Vercel。這些長期參與React與React Native生態的公司將提供經驗與資源，基金會並將對外開放會員資格，讓更多組織可在既有架構下參與協作。</p> <p>React團隊同時規畫將技術治理獨立於基金會之外，由維護者與貢獻者主導，避免單一公司過度代表，官方表示將向社群徵詢意見，待定案後另行公布。此分工讓基金會專注於公共基礎設施與資源配置，技術決策則由維護者社群依貢獻與共識形成，兩者互補。</p> <p>基金會的成立重點在於治理與資源層面的長期安排，影響主要集中在專案基礎設施維護、社群活動與資助流程的制度化。技術治理細節仍待後續公布，團隊表示將先完成社群徵詢，再依共識宣布最終設計。</p> </div></div></div>
2025/10/9 08:27作者李建興https://www.ithome.com.tw/news/171600
【資安日報】10月8日，Oracle E-Business Suite零時差漏洞攻擊、Red Hat資料外洩事故出現新…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末最受到關注的資安事故，莫過於勒索軟體駭客Clop鎖定Oracle E-Business Suite（EBS）的零時差漏洞攻擊，以及Red Hat資料外洩事故。此外，即時通訊軟體Discord也因第三方客服供應商遭未經授權人士入侵面臨資料外洩的情況。巧合的是，這些資安事故皆與3個駭客組織Scattered Spider、Lapsus$、ShinyHunters組成的團體「Scattered Lapsus$ Hunters」有關。</p> <p>其中，犯下EBS零時差漏洞攻擊的勒索軟體Clop旗下團體Graceful Spider，取得零時差漏洞的管道，疑似來自Scattered Lapsus$ Hunters的Telegram頻道；聲稱入侵Red Hat的Crimson Collective，後續將資料上傳該組織的資料外洩網站；至於Discord資料外洩事故，Scattered Lapsus$ Hunters宣稱入侵該公司Zendesk系統得逞。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171581"><strong style="font-size: 22px;">勒索軟體駭客Clop鎖定Oracle E-Business Suite的零時差漏洞攻擊事故有新發現，最早可追溯到8月初</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-oracle-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-oracle-fig1.png" style="width: 300px; float: right;" /></a></p> <p>針對上週爆發的勒索軟體Clop利用Oracle E-Business Suite（EBS）零時差漏洞CVE-2025-61882攻擊事故，在傳出Google威脅情報團隊（GTIG）及資安業者Mandiant介入調查後，引起資安圈高度關注，許多資安業者也參與調查，現在有新的結果出爐：駭客疑似從兩個月前開始從事相關活動。</p> <p>資安業者CrowdStrike指出，這起攻擊行動很有可能是名為Graceful Spider（也被稱為TA505、Hive0065、Gold Tahoe）的駭客組織所為，最早利用漏洞的時間可追溯到8月9日。不過，該公司認為，可能還有其他駭客組織參與利用CVE-2025-61882的活動。</p> <p>針對先前傳出向多家企業高階主管發送勒索信的駭客身分，就是Graceful Spider。原因是在某個暗示Scattered Spider、Lapsus$（CrowdStrike稱為Slippy Spider）、ShinyHunters進行合作的Telegram頻道當中，一名成員張貼EBS的漏洞訊息，並對Graceful Spider的手法進行批判。不過，對於該名成員如何取得這項漏洞，以及頻道成員是否將其用於實際攻擊，CrowdStrike表示並不清楚，但他們提到，Oracle在CVE-2025-61882資安公告提及的入侵指標（IoC），就是根據上述Telegram頻道成員提供的概念驗證程式（PoC）而來。</p> <p><a href="https://www.ithome.com.tw/news/171585"><strong style="font-size: 22px;">Red Hat資料外洩事故恐影響超過5千家企業組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/02wtQ0WQbzwN-6nV2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/02wtQ0WQbzwN-6nV2.png" style="width: 300px; float: right;" /></a></p> <p>上週駭客組織Crimson Collective聲稱入侵Red Hat，從內部開發儲存庫竊得約800份客戶互動報告（Customer Engagement Report，CER），此事傳出後續該組織聯手ShinyHunters向Red Hat勒索，將該公司列於ShinyHunters資料外洩網站，並公布部分CER資料取信買家，對於這起事故的影響範圍，有資安研究員公布調查結果。</p> <p>資安專家Kevin Beaumont指出，根據Crimson Collective公布竊得的資料夾列表，他估計有超過5千家企業的網路環境因此曝險。由於Red Hat承認外洩資料與自家顧問團隊有關，而該團隊專門負責處理大型企業面臨的複雜技術問題，因此外洩的資料內容，應該包含了與客戶有關的文件及原始碼。</p> <p>究竟Crimson Collective的來歷為何，Kevin Beaumont認為和駭客組織Lapsus$有關。他引述另一名資安專家Brian Krebs的說法，打著Crimson Collective名號發出訊息的人士自稱是Miku，很有可能是Lapsus$成員Thalha Jubair，原因是他在Telegram的使用者名稱就是Miku。英國國家網路犯罪局（NCA）指出，他曾是Scattered Spider成員。</p> <p><a href="https://www.ithome.com.tw/news/171592"><strong style="font-size: 22px;">即時通訊軟體Discord資料外洩，駭客聲稱入侵Zendesk系統而得逞</strong></a></p> <p>10月3日即時通訊軟體Discord發布資安公告，指出第三方客服供應商遭到未經授權人士入侵的跡象，影響曾與Discord客戶支援團隊、信任安全團隊聯繫的部分用戶。該公司強調，這些未經授權人士沒有直接存取Discord本身，用戶與客戶支援團隊、信任安全團隊的對話與互動內容並未遭到存取。對此，Discord隨即註銷該供應商存取工單系統的權限，與執法單位緊密合作、展開調查，並透過電子郵件通知受影響的用戶。究竟有多少人受到影響，以及第三方供應商的身分，Discord並未透露。</p> <p>對於可能遭到外流的資料，Discord指出主要與客服系統有關，其中包括提供給Discord客戶的聯絡資料，例如：姓名、Discord使用者名稱、電子郵件信箱，以及其他聯繫方式。再者，也可能包含有限的付款資訊，像是付款方式、信用卡號末4碼、購買記錄。</p> <p>針對這起攻擊事故，駭客組織Scattered Lapsus$ Hunters聲稱是他們所為。這些駭客向資安新聞網站Bleeping Computer透露，他們成功入侵Discord的IT服務臺系統Zendesk，並透過裝置信任解決方案Kolide而得逞。不過這些駭客後來改口，宣稱實際上是另一組與他們有互動的人馬所為。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=133355&SPOKE_DATE=20251007&COMPANY_ID=2511"><strong style="font-size: 22px;">統一集團旗下太子建設資訊系統遭網路攻擊</strong></a></p> <p></p> <p>10月7日統一集團旗下的太子建設發布資安重訊，表示他們有部分資訊系統遭到攻擊，事發後該公司立即啟動資安防護措施，並與資安業者及技術專家協同處理。後續他們對所有系統進行掃描及檢測，再以備份資料復原運作。</p> <p>針對這起事故可能帶來的影響，太子建設表示尚未出現損失，公司營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/batshadow-group-uses-new-go-based.html">越南駭客BatShadow鎖定求職者下手，散布Go語言惡意程式Vampire Bot</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/new-cavalry-werewolf-attack-hits.html">哈蕯克駭客Cavalry Werewolf鎖定俄羅斯公共機構，運用FoalShell、StallionRAT從事攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploited-zimbra-flaw-as-zero-day-using-icalendar-files/">郵件伺服器Zimbra零時差漏洞遭到利用，駭客濫用行事曆檔案觸發</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.nics.nat.gov.tw/latest_news/announcements/Latest_Announcement/cb45fe71-f31a-4ab8-9ff0-f340c4de1821/">資安院針對中國防火長城資料外洩的資料進行分析，警告中國會將臺灣當作攻擊的跳板，臺灣民眾在中國使用網路服務要提高警覺</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171587"><strong style="font-size: 22px;">多家大型語言模型服務曝ASCII走私風險，Gemini與Grok被點名</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68dfd010b141ddb783628077_Screenshot 2025-10-03 at 14_30_32.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68dfd010b141ddb783628077_Screenshot%202025-10-03%20at%2014_30_32.png" style="width: 300px; float: right;" /></a></p> <p>資安公司FireTail研究發現，多家大型語言模型服務可能面臨ASCII走私（ASCII Smuggling）攻擊風險，其中Gemini、Grok與DeepSeek在測試中被證實可能受此手法影響。研究指出，這類攻擊在與企業應用或生產力服務深度整合的情境下風險更高，例如語言模型在處理行事曆、郵件或文件內容時，可能讀取到介面上看不見但實際存在的隱藏指令。</p> <p>所謂ASCII走私，是利用Unicode Tags區段與零寬控制字元，把隱形內容夾帶在看似正常的文字裡，由於這些字元在多數人機介面不顯示，因此畫面上看起來乾淨無異常，但大型語言模型在前處理階段仍會接收並解析完整的原始字串。當介面顯示的內容與模型實際接收到的輸入不一致時，系統的決策或自動化流程可能在使用者無察覺的情況下被改變。</p> <p>其中，在Google Workspace環境裡，攻擊者可提供含隱形字元的行事曆邀請，受邀者在日曆中只看到普通標題，但Gemini在讀取事件時會解析隱藏指令，進而覆寫描述、連結甚至建立者資訊。測試指出即使受害者未按下接受，模型仍會處理該事件物件，擴大了社交工程與身分偽冒的風險。</p> <p><a href="https://www.ithome.com.tw/news/171577"><strong style="font-size: 22px;">非關聯式資料庫Redis存在滿分漏洞，近13年版本皆曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1759662329-image-227.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1759662329-image-227.png" style="width: 300px; float: right;" /></a></p> <p>上週非關聯式資料庫Redis的資安團隊發布資安公告，指出他們發布6.2.20、7.2.11、7.4.6、8.0.4，以及8.2.2版，修補存在於Lua元件的資安漏洞CVE-2025-49844，此為記憶體釋放後再存取使用（Use After Free）型態的弱點，攻擊者有機會用來遠端執行任意程式碼（RCE），CVSS風險達到滿分10分，相當危險。通報此事的資安業者Wiz指出，此漏洞存在於近13年版本的Redis，而且雲端環境有四分之三採用這些有弱點的Redis版本，影響範圍相當廣泛。</p> <p>在今年5月舉行的漏洞挖掘競賽Pwn2Own Berlin 2025，Wiz揭露這個弱點，並將其命名為RediShell，該公司強調，這是第一個被評為重大層級的Redis資安漏洞，危險性不光是因為能用於RCE攻擊，同時也反映常見的使用方式及部署型態所存在的問題。此漏洞存在於Redis原始碼長達13年，攻擊者只要在通過身分驗證的情況下，發送惡意Lua指令碼，就有機會逃逸Lua沙箱，並在Redis主機執行任何程式碼，從而完全存取主機系統，竊取、抹除、加密敏感資料，或是挾持資源，甚至能在雲端環境橫向移動。由於Lua指令碼是Redis預設支援的功能，若是IT人員沒有關閉這項功能，就會曝險。</p> <p><a href="https://www.ithome.com.tw/news/171569"><strong style="font-size: 22px;">遊戲開發平臺Unity通報高風險漏洞，可能被濫用執行任意程式碼</strong></a></p> <p>Unity通報一項高風險漏洞CVE-2025-59489，影響自Unity 2017.1起建置的Android、Windows、macOS與Linux應用。該漏洞源於命令列參數可被濫用以載入與執行外部程式碼，攻擊者要是取得本機存取權，可能在應用中執行任意程式碼或提升權限。官方表示目前未觀察到實際攻擊案例，並已釋出修補版本與可直接更新既有應用的工具。</p> <p>Unity提供兩種修補方式，其一為使用已修補版本的Unity Editor重新開啟專案、重建並測試後再發行，其二則是在無法即時重建或需進行臨時修補時，利用Unity Application Patcher直接修補現有的Android、Windows或macOS建置檔。官方提醒，修補工具可能與部分防竄改或反外掛機制產生相容性問題，開發者在部署前應完整驗證。</p> <p>CVE-2025-59489的影響範圍廣泛，主要平臺業者也迅速採取防護措施。Valve在Steamworks發布公告提醒Unity開發者盡速更新並重新測試遊戲，同時釋出新版Steam用戶端因應；微軟則在MSRC安全更新指引中收錄CVE-2025-59489警告此事，並更新了Microsoft Defender的威脅偵測模組，辨識並攔截相關漏洞利用手法。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/docker-makes-hardened-images-catalog-affordable-for-small-businesses/">Docker向中小企業及新創的開發團隊招手，開放Hardened Images目錄無限制存取</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171575"><strong>【10月7日】勒索軟體駭客Clop聲稱從Oracle E-Business Suite竊得大批企業內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171504"><strong>【10月3日】Red Hat傳出資料外洩事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171480"><strong>【10月2日】Red Hat、Google修補AI平臺的資安漏洞</strong></a></p> </div></div></div>
2025/10/8 17:14作者周峻佑https://www.ithome.com.tw/news/171593
多家大型語言模型服務曝ASCII走私風險，Gemini與Grok被點名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司FireTail<a href="https://www.firetail.ai/blog/ghosts-in-the-machine-ascii-smuggling-across-various-llms">研究發現</a>，多家大型語言模型服務可能面臨ASCII走私（ASCII Smuggling）攻擊風險，其中Gemini、Grok與DeepSeek在測試中被證實可能受此手法影響。研究指出，這類攻擊在與企業應用或生產力服務深度整合的情境下風險更高，例如語言模型在處理行事曆、郵件或文件內容時，可能讀取到介面上看不見但實際存在的隱藏指令。</p> <p>所謂ASCII走私，是利用Unicode Tags區段與零寬控制字元，把隱形內容夾帶在看似正常的文字裡，由於這些字元在多數人機介面不顯示，因此畫面上看起來乾淨無異常，但大型語言模型在前處理階段仍會接收並解析完整的原始字串。當介面顯示的內容與模型實際接收到的輸入不一致時，系統的決策或自動化流程可能在使用者無察覺的情況下被改變。</p> <p>研究人員以可重現的提示測試說明風險，表面上的請求是請模型列出5個隨機單字，然而實際原始字串則包含要求僅輸出FireTail的隱形覆寫語句，而模型最終僅輸出FireTail一詞，顯示輸入清理與正規化流程未能在前處理階段移除不可見控制字元。</p> <p>在Google Workspace情境，攻擊者可提供含隱形字元的行事曆邀請，受邀者在日曆中只看到普通標題，但Gemini在讀取事件時會解析隱藏指令，進而覆寫描述、連結甚至建立者資訊。測試指出即使受害者未按下接受，模型仍會處理該事件物件，擴大了社交工程與身分偽冒的風險。</p> <p>研究指出ChatGPT、Copilot、Claude在輸入清理上表現較佳，Gemini、Grok和DeepSeek則被證實可受此攻擊手法影響。不過，Grok在社群貼文情境曾經能提示隱藏內容，不同整合路徑的行為可能存在差異。</p> <p>研究人員就研究結果向Google進行通報，獲回覆為暫不採取行動。根據Google信件回覆（下圖），經Google內部調查後認為回報內容屬於預期行為，而非系統性安全漏洞，該問題主要涉及社交工程情境，並不構成技術層面的資安缺陷，因此不會納入安全性追蹤或修補流程。FireTail研究團隊其後公開細節，並將此定義為應用層的輸入處理問題，呼籲使用者強化自家流程的可觀測性與稽核。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/68dfd9e771f7d05f43a9fc7b_ASCII%20Smuggling%20Blog%20Images_Bug%20Report.png" style="width: 380px; height: 854px;" /><br /> 圖片來源 / FireTail</p> <p>研究團隊強調，防護的關鍵在於監控大型語言模型實際接收到的原始輸入資料，而非僅依賴介面所見的文字。企業透過比對UI可見內容與實際輸入字串，並在輸入層導入對Unicode隱藏字元的檢測與清洗，便能大幅降低此類攻擊風險。該偵測方式不僅適用於員工直接操作人工智慧助理的場景，也能涵蓋企業系統後端利用大型語言模型進行自動化任務的情境，確保所有人工智慧互動環節都能被監控與防護。 </p> </div></div></div>
2025/10/8 16:19作者李建興https://www.ithome.com.tw/news/171587
成立5年助28件國產智慧醫材上市，食藥署智慧醫材專案辦公室揭下一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>食藥署日前（10/3）揭露旗下智慧醫材專案辦公室進展，自2021年成立以來，鎖定醫療AI軟體商品化，聚焦法規管理和產業推動兩大面向，不只制定21份醫療AI相關的審查指引、提供諮詢服務和培育人才，還協助了28件國產智慧醫材上市，其中20件已布局海外。接下來，智慧醫材專案辦公室要聯手衛福部資訊處、健保署和醫藥品查驗中心（CDE），整合智慧醫材的驗證、取證和臨床效益，還要聯手更多政府單位，來成立醫創共榮聯盟。</p> <p><span style="font-size:22px;"><strong>成立背景：落實AI醫材監理與產業扶植</strong></span></p> <p>負責推動智慧醫材業務的食藥署簡任計正吳亭瑤回顧，2020年，行政院生技產業策略諮議委員會議（BTC）提出建議，盼成立智慧醫療監理審查制度，來輔導跨域產品研發上市。當時業界也建議，食藥署應扶植相關產業發展。</p> <p>於是，隔年5月，食藥署正式成立智慧醫材專案辦公室，組成專家團隊，來提供諮詢服務、輔導國內AI/ML醫材取證。當時，他們也建置專家人才庫，來提供智慧醫材商品化的專業臨床建議。</p> <p><span style="font-size:22px;"><strong>鎖定兩大面向：法規管理與產業推動</strong></span></p> <p>吳亭瑤進一步說明，智慧醫材專案辦公室的工作可分為兩個面向，首先是法規管理，包括：</p> <ol> <li>界定醫材軟體管理範圍，因為並非所有醫療軟體都算是智慧醫材，比如非疾病診斷或治療的，就不是醫材軟體</li> <li>提出明確的臨床試驗管理原則，比如無顯著風險的臨床試驗案，不必送食藥署審查</li> <li>制定審查相關文件，包括21份醫療AI指引、範本和問答集</li> <li>建置取證彈性管理框架</li> </ol> <p>另一面向是產業推動，包括：</p> <ol> <li>辦理智慧醫材課程，如網路安全、軟體確效、新興智慧醫療技術應用、醫材法規及管理等</li> <li>提供研發團隊諮詢服務，除了開發潛在案源，也會提供產品法遵、市場布局等整體意見回饋</li> <li>加速產品開發推廣，像是辦理媒合交流座談會、串聯智慧醫療生態資源</li> <li>建置智慧醫材單一入口平臺，讓使用者接收最新智慧醫材法規和相關課程訊息，也提供異業交流管道</li> </ol> <p><span style="font-size:22px;"><strong>5年共核准國內外202張AI醫材許可證，還助28件國產智慧醫材上市</strong></span></p> <p>在法規管理和產業推動的兩面向政策下，智慧醫材專案辦公室這幾年也累積不少成果，比如自2021年成立至今年8月，共核准了國內外202張AI醫材許可證，其中，國產佔了58張，專案辦公室更協助28件國產智慧醫材上市。</p> <p>這些醫材主要為放射醫學影像應用（82.2%），涵蓋多種疾病，如腦瘤輔助偵測、糖尿病視網膜病變、胰腺癌偵測、舟狀骨骨折、急性腎損傷預測等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6953.JPG" /></p> <p>除了許可證，智慧醫材專案辦公室還辦理了170多場教育課程，也制定了包括AI醫材預變更申請、AI醫材獨立性評估等文件在內的21份指引。</p> <p>吳亭瑤表示，已取證的國產智慧醫療業者，也有20多件布局海外，另也有些產品配合國家政策，導入醫療院所或衛生局/處使用，比如嘉義縣衛生局就採用包含心房顫動、眼底影像和AI骨鬆風險的複合式AI篩檢系統，又或是新竹縣衛生局導入心電圖篩檢AI、桃園縣衛生局導入肺癌LDCT篩檢。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6954.JPG" /></p> <p><strong><span style="font-size:22px;">下一步：推動醫創共榮聯盟、深化跨部會合作</span></strong></p> <p>在這些成果上，智慧醫材專案辦公室今年也推動新的諮詢服務2.0，瞄準國產智慧醫材專案輔導，同時搭配健康臺灣的國家政策，來提供4大技術、10項臨床應用輔導，進一步推動國產智慧醫材發展。</p> <p>另一方面，智慧醫材專案辦公室還要聯手衛福部資訊處的3大AI中心、健保署和CDE，要來加速智慧醫材的驗證、取證和市場拓銷能力。</p> <p>吳亭瑤也預告，食藥署還要聯手更多政府單位，來推動醫創共榮聯盟，比如聯手衛福部旗下單位（如健保署、國健署、長照司等），結合政策來加速智慧醫材的導入，又或是與經濟部及其法人、數發部和國科會等部會，提供資源助國產智慧醫材銷往國際。食藥署也鎖定人才培育，要與教育部、國衛院或醫材相關產業公會，協助培育跨領域人才、累積專業知識並擴散。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6956.JPG" /></p> <p></p> </div></div></div>
2025/10/8 16:20作者王若樸https://www.ithome.com.tw/news/171589
Anthropic開源AI模型安全稽核框架Petri
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/research/petri-open-source-auditing" target="_blank">AI新創公司Anthropic周一（10/6）開源了Petri</a>，它的全名為「高風險互動平行探索工具」（Parallel Exploration Tool for Risky Interactions），是個AI模型的安全稽核框架，可派出自動化稽核代理人與目標模型進行多輪互動，以探索並偵測模型於各種情境下的潛在弱點及不對齊行為。Petri內建111種涉及高風險場景的指令，可用來評估模型的安全性及穩定性。</p> <p>Anthropic表示，隨著AI模型的功能愈來愈強大，應用領域也愈來愈廣，可能出現的不對齊行為亦隨之擴大，有鑑於行為數量及複雜性遠超出人力可測範圍，人工稽核已難以應付，需要自動化工具的協助以展開全面稽核。</p> <p>因此，Anthropic過去一年已開發出自動化稽核代理人，用於評估模型的情境感知、策畫及自我保護等行為，證實該方法能有效找出不對齊行為，因而決定將其系統化並予以開源。</p> <p>Petri利用自動化稽核代理人與評審模型對AI模型進行多輪互動測試，並根據多個維度來評分，標記潛在的風險行為，內建的111種測試指令涵蓋欺騙用戶、諂媚、配合有害請求、自我保護、權力追求，以及獎勵駭取等情境，檢測模型於不同高風險場景中的反應。</p> <p>Anthropic已利用Petri測試市面上的14個前沿模型，包括自家的Claude Sonnet 4/4.5與Claude Opus 4.1，OpenAI的GPT-4o/5及GPT-OSS 120B，Google的Gemini 2.5 Pro，xAI Grok-4、Moonshot AI的Kimi K2及o4-mini等，發現這些模型在111種高風險情境的測試中，皆出現不同程度的不對齊行為。</p> <p>其中，Claude Sonnet 4.5與GPT-5的整體風險最低，安全表現最佳，它們在「拒絕配合有害請求」與「避免諂媚」上的表現良好；而Gemini 2.5 Pro、Grok-4與Kimi K2則在「欺騙用戶」的得分偏高，代表這些模型有更多主動欺騙的傾向。</p> <p>Anthropic提醒，目前的Petri仍受限於模擬環境真實度不足、稽核代理人能力上限，以及評審維度主觀性等因素，暫難成為權威標準，但就算只是粗略的量化，也能協助模型供應商找到問題及改善方向。</p> </div></div></div>
2025/10/8 16:34作者陳曉莉https://www.ithome.com.tw/news/171591
即時通訊軟體Discord資料外洩，駭客聲稱入侵Zendesk系統而得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月3日即時通訊軟體Discord<a href="https://discord.com/press-releases/update-on-security-incident-involving-third-party-customer-service">發布資安公告</a>，指出第三方客服供應商遭到未經授權人士入侵的跡象，影響曾與Discord客戶支援團隊、信任安全團隊聯繫的部分用戶。該公司強調，這些未經授權人士沒有直接存取Discord本身，用戶與客戶支援團隊、信任安全團隊的對話與互動內容並未遭到存取。對此，Discord隨即註銷該供應商存取工單系統的權限，與執法單位緊密合作、展開調查，並透過電子郵件通知受影響的用戶。究竟有多少人受到影響，以及第三方供應商的身分，Discord並未透露。</p> <p>對於可能遭到外流的資料，Discord指出主要與客服系統有關，其中包括提供給Discord客戶的聯絡資料，例如：姓名、Discord使用者名稱、電子郵件信箱，以及其他聯繫方式。再者，也可能包含有限的付款資訊，像是付款方式、信用卡號末4碼、購買記錄。</p> <p>該公司也提及用戶的IP位址、與客服代理的對話，都有可能受到波及。此外，該公司教育訓練材料、內部展示資料等內部資料，也可能外流。</p> <p>值得留意的是，未經授權人士也取得少量與政府核發的身分證明文件有關圖片，這些資料是使用者向Discord證明他們的年齡所用。</p> <p>不過，Discord強調多項敏感資料不受影響，其中包括密碼與身分驗證資料、完整的信用卡號或CCV碼。此外，與客服對話無關的Discord訊息及活動，也不受影響。</p> <p>針對這起攻擊事故，駭客組織Scattered Lapsus$ Hunters聲稱是他們所為。這些駭客<a href="https://www.bleepingcomputer.com/news/security/discord-discloses-data-breach-after-hackers-steal-support-tickets/">向資安新聞網站Bleeping Computer透露</a>，他們成功入侵Discord的IT服務臺系統Zendesk，並透過裝置信任解決方案Kolide而得逞。不過這些駭客後來改口，宣稱實際上是另一組與他們有互動的人馬所為。</p> </div></div></div>
2025/10/8 16:58作者周峻佑https://www.ithome.com.tw/news/171592
Red Hat資料外洩事故恐影響超過5千家企業組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週<a href="https://www.ithome.com.tw/news/171502">駭客組織Crimson Collective聲稱入侵Red Hat</a>，從內部開發儲存庫竊得約800份客戶互動報告（Customer Engagement Report，CER），此事傳出後續<a href="https://www.ithome.com.tw/news/171570">該組織聯手ShinyHunters向Red Hat勒索</a>，將該公司列於ShinyHunters資料外洩網站，並公布部分CER資料取信買家，對於這起事故的影響範圍，有資安研究員公布調查結果。</p> <p><a href="https://doublepulsar.com/red-hat-consulting-breach-puts-over-5000-high-profile-enterprise-customers-at-risk-in-detail-90114f18f706">資安專家Kevin Beaumont指出</a>，根據Crimson Collective公布竊得的資料夾列表，他估計有超過5千家企業的網路環境因此曝險。由於Red Hat承認外洩資料與自家顧問團隊有關，而該團隊專門負責處理大型企業面臨的複雜技術問題，因此外洩的資料內容，應該包含了與客戶有關的文件及原始碼。</p> <p>究竟Crimson Collective的來歷為何，Kevin Beaumont認為和駭客組織Lapsus$有關。他引述另一名資安專家Brian Krebs的說法，打著Crimson Collective名號發出訊息的人士自稱是Miku，很有可能是Lapsus$成員Thalha Jubair，原因是他在Telegram的使用者名稱就是Miku。英國國家網路犯罪局（NCA）指出，他曾是Scattered Spider成員。</p> <p>另一項資訊來自Scattered Lapsus$ Hunters於網站上公布的內容，他們聲稱在9月13日入侵Red Hat，並公布竊得資料的檔案結構，總共有370,852個資料夾、3,438,976個檔案。Kevin Beaumont提及此網站具備Lapsus$的特徵，包含Lapsus$會拼寫錯誤的字，以及隨意在HTML註解寫入種族主義言論等。</p> <p>再者，根據Crimson Collective列出的受害者名單，前兩個是電信業者Claro、Vodafone，而兩家公司先後在2021年、2022年遭到Lapsus$攻擊。</p> <p>在公布供買家檢驗檔案的7家企業CER資料後，Scattered Lapsus$ Hunters又再公布一批2.2 GB的資料，表示他們竊得超過320萬個檔案。其中有部分資料顯然相當敏感，其中一種是不該被公開的私有憑證檔案（.PFX）。對此，Kevin Beaumont認為受害企業應聯絡Red Hat顧問團隊，取得遭竊資料的內容，並採取更換憑證等補救行動。由於駭客已經在兜售資料，受害企業應假設這些資料很快就會公開而應變。</p> </div></div></div>
2025/10/8 14:43作者周峻佑https://www.ithome.com.tw/news/171585
勒索軟體駭客Clop鎖定Oracle E-Business Suite的零時差漏洞攻擊事故有新發現，最早可追溯到8月初
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對<a href="https://www.ithome.com.tw/news/171527">上週爆發</a>的勒索軟體Clop利用Oracle E-Business Suite（EBS）零時差漏洞<a href="https://www.ithome.com.tw/news/171553">CVE-2025-61882</a>攻擊事故，在傳出Google威脅情報團隊（GTIG）及資安業者Mandiant介入調查後，引起資安圈高度關注，許多資安業者也參與調查，現在有新的結果出爐：<a href="http://www.crowdstrike.com/en-us/blog/crowdstrike-identifies-campaign-targeting-oracle-e-business-suite-zero-day-CVE-2025-61882/">駭客疑似從兩個月前開始從事相關活動</a>。</p> <p>資安業者CrowdStrike指出，這起攻擊行動很有可能是名為Graceful Spider（<a href="https://malpedia.caad.fkie.fraunhofer.de/actor/ta505">也被稱為</a>TA505、Hive0065、Gold Tahoe）的駭客組織所為，最早利用漏洞的時間可追溯到8月9日。不過，該公司認為，可能還有其他駭客組織參與利用CVE-2025-61882的活動。</p> <p>針對先前傳出向多家企業高階主管發送勒索信的駭客身分，就是Graceful Spider。原因是在某個暗示Scattered Spider、Lapsus$（CrowdStrike稱為Slippy Spider）、ShinyHunters進行合作的Telegram頻道當中，一名成員張貼EBS的漏洞訊息，並對Graceful Spider的手法進行批判。不過，對於該名成員如何取得這項漏洞，以及頻道成員是否將其用於實際攻擊，CrowdStrike表示並不清楚，但他們提到，Oracle在CVE-2025-61882資安公告提及的入侵指標（IoC），就是根據上述Telegram頻道成員提供的概念驗證程式（PoC）而來。</p> <p>究竟攻擊者如何將CVE-2025-61882用於實際攻擊？首先他們發出HTTP請求，從而繞過身分驗證。其中部分活動裡，CrowdStrike確認攻擊者是針對EBS的管理帳號而來。</p> <p>接著，為了執行特定的程式碼，攻擊者針對XML Publisher Template Manager元件下手，發出請求並上傳、執行惡意的XSLT範本檔案。一旦範本檔案成功執行，Java網頁伺服器就會與攻擊者的基礎設施建立連線，攻擊者以此遠端在EBS載入Web Shell，以此執行命令及建立持續存取的管道。</p> </div></div></div>
2025/10/8 12:16作者周峻佑https://www.ithome.com.tw/news/171581
高通將買下義大利開源電子平臺Arduino
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半導體設計業者<a href="https://www.qualcomm.com/news/releases/2025/10/qualcomm-to-acquire-arduino-accelerating-developers--access-to-i?mkt_tok=Mzg1LVRXUy04MDMAAAGdXckA_LoyC4o3mSnL3t26Qsd8xX2fKRq2vUZgujBKIUSkR7twai0njlQ5AyFP0wgHVem0lUcfGUJ0cQLNVxt6lYn1g-gPnAa_SLKj3dYcDlmpVBM" target="_blank">高通（Qualcomm）周二（10/7）宣布</a>，準備買下義大利的開源電子平臺Arduino，同時發表了首款搭載Qualcomm Dragonwing平臺的雙核心開發板Arduino UNO Q，以及全新整合開發環境（IDE）Arduino App Lab。雙方並未揭露此一交易的價格，並仍待監管機關的審查。</p> <p>Arduino創立於2005年，其核心理念是讓非工程師也能輕鬆使用電子技術，讓創意快速轉化為原型，目前提供Arduino Uno、Arduino Nano、Arduino Mega與Arduino Leonardo等用途不同的微控制器開發板，並開源所有設計圖及電路圖，官方售價都低於55美元，使用者可使用這些開發板來連結感測器、馬達或燈光，並於Arduino IDE中以C++撰寫程式。</p> <p>迄今Arduino在全球擁有逾3,300萬名活躍開發者，其產品被廣泛應用在教育、藝術裝置、智慧家居、機器人及IoT原型開發上。</p> <p>高通計畫藉由整合2024年3月收購的嵌入式Linux與OTA管理平臺Foundries.io，以及2025年3月收購的邊緣AI模型開發與訓練平臺Edge Impulse，再加上Arduino，來強化高通對於提供涵蓋硬體、軟體及雲端的全棧邊緣平臺的承諾。</p> <p>高通表示，結合高通在處理、繪圖、電腦視覺及AI上的專業，以及Arduino的簡單、親民的價格與社群，將可提高各行各業開發人員的生產力，未來Arduino將保留開放的作法與社群精神，同時解鎖其現代化開發的全棧平臺能力，而Arduino UNO Q即是第一步。</p> <p><a href="https://www.arduino.cc/product-uno-q" target="_blank">Arduino UNO Q</a>可執行Linux Debian作業系統，搭載高達Dragonwing QRB2210處理器及STM32U585微控制器，前者具備AI、圖像加速、4核心，並支援相機、音訊及顯示器，後者則可執行精確控制且回應快速，整合高性能運算與控制能力，企圖成為開發者的首選工具。</p> <p>全新的Arduino App Lab同時支援Real-time OS、Linux、Python 及AI工作流程，讓開發者可在同一介面中撰寫感測器控制程式，執行AI模型或Python腳本，並可與Edge Impulse整合，利用真實世界資料建構與微調AI模型，以實現物體辨識、聲音辨識或異常檢測等應用。</p> <p>市場分析認為此一收購是高通從手機晶片領域擴張至工業、物聯網的布局之一；且新的Arduino UNO Q在功能上將可媲美Raspberry Pi。</p> </div></div></div>
2025/10/8 14:41作者陳曉莉https://www.ithome.com.tw/news/171584
讓量子世界登上晶片的3名科學家獲頒諾貝爾物理獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nobelprize.org/prizes/physics/2025/press-release/" target="_blank">瑞典皇家科學院（The Royal Swedish Academy of Sciences）本周二（10/7）宣布</a>，把2025年的諾貝爾物理獎（Nobel Prize in Physics）頒給了John Clarke、Michel Devoret與John Martinis，3人透過人造超導電路，成功展現並驗證量子穿隧與能量量子化等現象，證明量子效應可存在於巨觀系統中，為現代量子科技與量子電腦奠定了重要基礎。</p> <hr /> <p><a href="https://www.youtube.com/watch?v=m9FUkAis62s&t=1687s" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-2025%20Nobel%20Prize%20in%20Physics-Nobel%20Prize.png" style="width: 600px;" /></a></p> <hr /> <p>Clarke是加州大學柏克萊分校的物理系教授，亦為超導量子裝置實驗室的主持人，現仍為該校名譽教授。Devoret及Martinis都是Clarke的學生，獲獎的是他們3人在1984年至1985年間於實驗室共同進行的研究。其中，Martinis曾是Google量子AI裝置負責人，而Devoret現在正擔任Google量子硬體的首席科學家。</p> <p>瑞典皇家科學院說明，物理學界長期關注的一大問題是：量子效應究竟能延伸到多大的系統？量子力學允許粒子藉由穿隧過程（Tunnelling）直接穿過屏障，而能量量子化指的是能量並非連續變化，而是像量子一樣，一階一階地跳，不管是穿隧或能量量子化最初只出現在微觀世界中，而難以於大型及可工程化的系統裡複製。</p> <p>本屆獲獎的3名科學家，則藉由Josephson接面（Josephson Junction）來建構超導電路，首度於人造晶片上成功重現並驗證上述量子特性，證明了量子力學的規則同樣適用於巨觀系統。Josephson接面是由一個超導體（S）、一個極薄的絕緣體（I）及另一層超導體組成，發現當改變電流時，系統能量只會以固定臺階變化，電流也能透過量子穿隧跨越絕緣體，展現出一個具備量子化行為的電學系統。</p> <p><a href="https://www.aip.org/aip/aip-congratulates-2025-nobel-prize-winners-in-physics?utm_source=chatgpt.com" target="_blank">美國物理學會（American Institute of Physics，AIP）指出</a>，過去量子力學被歸類在微觀領域，於有形世界中幾乎無法觀察到，他們3人率先證明量子效應能夠於宏觀尺度上發揮作用，迄今Josephson接面已被廣泛應用在量子運算、感測及密碼學上，這些劃時代的技術發展，如果沒有上述的開創性研究成果，將無法實現。</p> <p>Google也說，Josephson接面為現今超導量子位元（Qubit）的基礎，亦是Google Quantum AI量子位元設計的關鍵元件。</p> <p>Clarke向<a href="https://www.nature.com/articles/d41586-025-03194-2?utm_source=chatgpt.com" target="_blank">《Nature》</a>等媒體透露，他起初只認為他們的發現在某些方面會是量子運算的基礎，從沒想過它可能是諾貝爾獎的基礎，儘管他身為指導教授，但Martinis與Devoret的貢獻更是不可或缺。</p> <p>他們3人將均分1,100萬瑞典克朗（約120萬美元）的獎金。</p> </div></div></div>
2025/10/8 12:25作者陳曉莉https://www.ithome.com.tw/news/171582
從數位轉型到生成式AI創新，老字號宏亞食品如何邁向科技傳產
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們一位不懂Python的維運工程師，靠AI就寫出了好幾支程式，甚至解決了工廠物流假日加班的痛點。」宏亞食品資訊服務部經理周哲旭強調，不只IT，行銷、企劃、採購部門都在用，連董事長都用GenAI來評估千萬元工廠設備的採購。「宏亞多數員工，已將AI使用當成日常工作的一部分。」</p> <p>在宏亞，行銷企劃是GenAI用最多、最深的部門。若走進宏亞的臺北辦公室，四分之一員工是行銷部門，負責大家熟悉的77巧克力、禮坊等品牌的行銷，經常可以看到他們熱烈地討論怎麼用AI，AI摘要會議記錄、影音創作、剪輯、字幕自動生成已經是基本用法，還有更複雜的深度應用，像是商品與創意提案，用生成式AI來生成形象影片的視覺設計雛形，更容易也更快與委外製作廠商達成共識，也有企劃人員用於包裝設計，結合AI和設計軟體，5分鐘就可以做出符合不同節慶場景的禮盒包裝盒，品質不輸專業設計。「GenAI對行銷單位的衝擊非常明顯，大大提高了他們的效率。」周哲旭補充，品牌行銷對宏亞非常重要，GenAI對企劃單位來說，有如神兵利器一般。</p> <p>宏亞IT部門也是積極運用GenAI的單位之一，像是不懂程式設計的Infra 維運工程師，就靠GenAI寫出好幾隻Python程式，解決不少使用單位的痛點問題。</p> <p>例如工程師用GenAI寫了一隻解決郵件系統當機的工具程式，直接傳給使用者在自己的電腦上執行來修補問題，不用像過去，維護工程師得跑遍整座工廠，到處幫使用者一臺臺修復電腦上的當機問題。</p> <p>宏亞從去年開始延伸到麵包產品線，必須周末假日出貨來配送，但是，物流人員得親自到工廠印製當天物流訂單，交給司機配送。後來，Infra工程師問清楚整套作業流程後，也靠ChatGPT寫出了一隻訂單列印處理自動化的小工具，物流人員在家中將最新訂單上傳到指定路徑，就能自動在遠端的工廠印表機上列印，讓司機自己去拿，物流人員不用每一個假日再多跑一趟，達到假日無人值班的效果。</p> <p>這位快50歲的Infra工程師，過去的職涯都是負責維運基礎架構，完全不懂程式開發，卻能靠GenAI寫了好幾隻專解特定任務的Python小程式。這些程式從列印整合、軟體修補，到不少原本靠人工處理的資料輸入作業，Infra工程師都可開發出一支支小工具程式來解決，完全不需動用開發人力。</p> <p>像列印小工具這類小型的開發需求，難度不高，但是，宏亞資訊部門只有9個人，從後端ERP系統，到門市POS系統的開發到維運都要負責，工作繁多，往往沒有餘力處理到這種瑣碎的小型開發任務。GenAI的出現，讓原本不懂開發技術的IT人手，也能分擔小型開發需求，而且從痛點分析開始，一隻程式不到兩個禮拜就可以上線。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>大缺工的時代，GenAI帶來提高生產力的機會</strong></span></span></p> <p>「現在是大缺工的時代，每一家企業老闆都希望靠更少的人力，做更多的事。」招募人才是傳統產業很大的難題，就算像宏亞這般高知名度的企業，薪資水準不輸高科技、金融業，也很難找到適合的人才。</p> <p>周哲旭表示：「GenAI對我們來說，就是一個機會！」像是善用AI或自動化技術，就可以接手重複性高或是價值相對較低的工作，來緩解人手不足的問題。</p> <p>所以，早在2023年1月，ChatGPT問世才一個多月，周哲旭就開始找老闆討論，如何善用最新的生成式AI來幫忙做事。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>以全員AI為目標，分三階段擁抱生成式AI</strong></span></span></p> <p>不同於許多企業先用少數GenAI案例來驗證和練手，宏亞擁抱生成式AI，一開始就以全員AI為目標，導入策略上，分三階段進行，從2024年1月展開第一階段，進行全員GenAI素養和技能的提升，第二階段再引導員工將GenAI融入日常工作，到了第三階段，再將GenAI導入到企業級平臺。</p> <p>光是去年，宏亞就舉辦了7場不同AI主題的全公司等級的教育訓練工作坊，只要員工願意，任何人都可以參加，連董事長都主動帶頭參加。</p> <p>持續教育訓練同時，去年下半年，宏亞舉辦了一場內部的生成式AI競賽，以ESG為題，提供獎金。分兩輪，全公司投票選出決賽三組，再到每個月例行早會上分享背後開發想法，再由參加早會者進行第二次票選，來決定名次。</p> <p>經過去年一年的教育訓練和AI競賽，「很多員工開始對AI不會恐懼，反而覺得真的可以幫助他們，也帶動越來越多人使用。」周哲旭觀察。</p> <p>第一階段的工作坊最重要的任務是「消除員工對AI的恐懼感」。</p> <p>今年進入第二階段導入，要將AI推廣到每一個單位，鼓勵更多員工運用到日常工作中，方法就是大量舉辦「分享會」。從今年1月開始，每兩周舉辦一次AI應用分享會，每個單位自己訂主題，輪流分享。自己單位如何使用GenAI、哪些工具好用等。光是到今年夏天，就舉辦超過了11場，還在持續不斷中。在日常會議中，主管也常分享自己使用GenAI的經驗，如採購經理就用Deep Research功能，生成原物料價格趨勢、供應鏈市場供需等研究報告，董事長則分享了自己如何用生成式AI來評估一套幾千萬的工廠設備採購。</p> <p>讓周哲旭意外的是，最熱衷參加分享會的員工，反而是那一群年紀稍長，在公司待了二、三十年的老員工。不少超過20年年資的採購人員，分享會的參與率超過了7成，學習意願非常強烈。宏亞今年也新開設了一個YouTube上的AI頻道，將所有分享會的內容錄影，剪輯成有趣的回放影片，每天中午播放一小時，或在等待區電視牆上輪播。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>降低恐懼感，是AI文化養成的關鍵</strong></span></span></p> <p>周哲旭指出，第一階段工作坊的重要任務是降低AI恐懼感，讓員工從課程中建立一種AI沒有那麼難學的印象，只要員工願意學，就可以享受到低垂的果實。影片輪播則能形成一種氛圍，讓員工覺得這些應用有樂趣，來吸引更多的參與者。</p> <p>「擁抱生成式AI的重點，不是AI技術的導入，而是文化的養成。」周哲旭強調，使用者肯用，才是系統導入能否成功的關鍵。</p> <p>宏亞先教員工怎麼用，協助員工了解AI，消除恐懼感後，員工懂得使用AI，自然就知道如何用AI幫忙解決自己的問題，由下而上地，從每個單位開枝散葉，發展出各自應用的場景。到了今年，宏亞多數員工已經在工作上使用GenAI，每個單位都開始感受到AI的果實。</p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1255-%E5%91%A8%E5%93%B2%E6%97%AD_%E5%AE%8F%E4%BA%9E%E9%A3%9F%E5%93%81_600.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GAI下一步聚焦兩大需求，解決痛點和流程自動化</strong></span></span></p> <p>下一步，也就是第三階段，宏亞要將GenAI導入到企業級平臺中，先聚焦兩大需求，解決痛點及進階的流程自動化。</p> <p>宏亞這幾年積極運用RPA來進行流程自動化，發展了十多支不同用途的RPA，來分擔繁瑣的人工作業，像有2支RPA機器人負責將電商訂單自動輸入到POS系統，也有7支用來分析每日店銷量的RPA，靠RPA抓取各大通路銷售資料，整合到BI儀表板，方便即時監控全臺各通路店面每一天的銷售狀況。還有8支通路訂單流程自動化的機器人，涵蓋通路訂單彙整，到自動輸入ERP等流程處理。</p> <p>周哲旭希望能用AI代理，或是結合AI代理和RPA，來實現更進階的自動化，從被動式的規則式RPA流程機器人，變成主動式、具有判斷能力的AI代理。</p> <p>例如訂單作業無法100%自動化的關鍵是，少數通路的訂單作業仍需人工，像是要檢視往返郵件中的訂單資訊，宏亞正在研究如何用AI代理判讀出內容，來提高整體作業自動化的程度。</p> <p>另一個宏亞優先想用GenAI解決的痛點是食品營養標示課題。宏亞產品種類很多，更是會不斷推出新產品，搭配各種促銷或聯名活動，每推出一款新產品，包裝上就需要新的食品營養標示，甚至不同的產品組合也需要新包裝和新的標示，因為法規要求，有些內容連格式都不能有錯，需要大量人工校訂。宏亞正在研究，如何用GenAI來解決這個食品業想要不斷創新產品時，每一家都會遇到的典型挑戰。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>扎實數位轉型成為GenAI創新的基礎</strong></span></span></p> <p>過去的數位轉型，讓宏亞站在更扎實的數位化基礎，展開GenAI的創新。宏亞從2018年展開核心系統的現代化，導入國際大廠的ERP和現代化POS系統，全臺門市的POS機建置等。2020年，展開資訊與資安的現代化，開始導入更多現代化工具和系統，雲端平臺，電商平臺，團隊協作平臺等。</p> <p>過去在半導體產業擔任IT主管多年的周哲旭，2021年進入宏亞任職，他格外重視資安，上任後的第一件事就是優先建立不可摧毀的備份機制，來避免遭勒索軟體攻擊後的營運中斷風險，也參考零信任思維和NIST網路安全框架，來改善資安環境。他特別重視全員資安素養的提升，一年至少四場全公司等級的資安訓練，每年社交工程演練更多達二到三次。連續三年，員工點擊高風險連結或檔案的行為，每一年都比前一年大幅減少了70%，現在只有個位數的觸發率。</p> <p>2023年，宏亞進入數位轉型第三階段，目標是整合，像是整合採購端的ERP和線上供應鏈管理系統，或是業務端的POS、CRM和電商平臺，也用API整合廠商網站資料到內部KM系統等。也大量運用RPA，將瑣碎、無聊的人工作業自動化，光是營業單位的人工處理時間，就大幅減少了40%。</p> <p>周哲旭表示：「系統慢慢增加後，下一步希望將每個系統的資料運用最大化，產生更多價值，避免資訊孤島和資訊斷點。」過去的IT現代化基礎和資料整合共用的成果，都是宏亞後來能夠善用生成式AI的關鍵。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>生成式AI不只帶來機會，也帶來四大挑戰</strong></span></span></p> <p>生成式AI不只帶來了提高生產力的機會，周哲旭表示，更可以提高資訊部門的能見度和價值。因為老闆對於AI有高度的期待，也讓IT從過去的維運型角色，成了策略型單位，更多機會可以參與高層決策。</p> <p>不過，新科技伴隨而來的新挑戰也不少，周哲旭指出，第一個挑戰是資安與資料治理風險，像是得教育員工，避免上傳機敏資料，或是參考了模型幻覺的錯誤資料，而造成決策錯誤。</p> <p>第二個是要避免使用者天馬行空的想像，各部門往往對GenAI會有很大的期待，資訊部門得平衡實際的技術可行性和使用者的需求，避免結果與使用者的期待有很大的落差。</p> <p>ROI量化困難是第三個挑戰，生成式AI的效益難以衡量，可以增加多少生產力，節省多少成本或增加多少營收。因此，宏亞才聚焦於痛點的解決，要找到對所有人都有影響，老闆也有感的關鍵場景。最後一個挑戰是對傳統產業來說，IT人員編制不大，AI技術人才不足、技能轉型不易，要留才也更不容易。</p> <p>宏亞的數位轉型之路，從積極推動IT與資安現代化，跨入資料整合應用深化，到推動全員AI素養，將生成式AI創新融入多數員工的工作日常。</p> <p>宏亞不只是老字號的食品製造商，更是一家懂得善用AI創新的科技傳產，任何一名員工的辦公桌上，都可能浮現下一個AI的創新點子。</p> <hr /> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>宏亞食品資訊服務部經理　周哲旭</strong></p> <p>學經歷：陽明交通大學管科所畢業。過去多年在高科技產業擔任IT主管，擔任過威瀚科技資訊部副理、威盛電子資訊部經理與威盛芯科技資訊長。2021年跨界到食品製造業，進入宏亞食品帶領IT部門，延續數位轉型發展，推動資安和IT的現代化，更積極擁抱生成式AI，推動全員AI素養，將GenAI融入工作日常。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1255-%E5%AE%8F%E4%BA%9E%E9%A3%9F%E5%93%81_300.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p>●公司名稱：宏亞食品</p> <p>●成立時間：1976年6月14日</p> <p>●業務介紹: 涵蓋糖果、餅乾、巧克力、喜餅、月餅、麵包糕餅等食品製造。七七巧克力和禮坊名店是主要品牌，更成立東南亞第一座巧克力博物館「巧克力共和國」</p> <p>●董事長兼總經理：張云綺</p> <p>●網址：<a href="http://www.hunya.com.tw/">www.hunya.com.tw</a></p> <p>●員工人數：700人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●直屬主管：張云綺董事長</p> <p>●資訊部門名稱：資訊服務部</p> <p>●資訊部門人數：9人</p> <p>●每年IT預算：2,500萬元</p> <p>●資訊部門分工：ERP/POS、OA軟體整合、網管/資安</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2019：宏亞導入SAP S/4 HANA ERP、導入現代化POS系統與全省門市POS機建置</p> <p>●2020 ：建置林口機房暨異地備援、導入Openfind郵件防護/歸檔系統、導入CyberBiz EC電商</p> <p>●2021 ：全體員工導入筆電、導入傑報HR系統、開發導入微軟Azure Analysis Service暨Power BI儀表板</p> <p>●2022 ：導入Salesforce CRM、八德工廠全廠區導入無線網路、建立定期弱點掃瞄機制、全公司無線網路導入802.1X資安驗證機制</p> <p>●2023 ：宏亞新店新總部IT建置、併購暨整合子公司可頌坊IT、導入SAP Ariba供應鏈管理系統、建立全公司定期社交工程演練暨資安課程講座</p> <p>●2024：巧克力共和國改建暨重新開幕、導入新世代防火牆暨IPS系統、導入VPN MFA驗證、開發導入WMS倉儲管理系統、開發導入RPA打單機器人、全公司生成式AI課程訓練暨競賽活動</p> <p>●2025：子公司可頌導入SAP ERP、禮坊101門市店櫃開幕、部署導入MDR與NDR資安防禦、生成式AI應用雙週會、滲透測試</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1255-zhou_zhe_xu_hong_ya_shi_pin_-960.jpg" width="960" height="420" alt="" title="宏亞食品資訊服務部經理周哲旭　（攝影／洪政偉）" /></div></div></div>
2025/10/8 11:38作者王宏仁https://www.ithome.com.tw/people/171578
IBM推出AI軟體開發產品Project Bob
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI、GitHub等AI業者帶動AI開發工具熱潮後，IBM本周在軟體開發大會上宣布<a href="https://newsroom.ibm.com/2025-10-07-ibm-unveils-new-software-product-and-intelligent-infrastructure-capabilities-to-help-enterprises-operationalize-ai" target="_blank">AI優先的軟體開發整合環境（IDE）Project Bob</a>，將加入現有知名模型包括Anthropic Claude及Mistral AI，以協助加速企業開發、及現代化軟體程式。</p> <p>IBM表示，Project Bob旨在引入AI改變軟體開生命周期（Software Development Lifecycles，SDLC）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-Project%20Bob-IBM.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／IBM</span></span></p> <p>為了這項新產品，<a href="https://newsroom.ibm.com/2025-10-07-2025-ibm-and-anthropic-partner-to-advance-enterprise-software-development-with-proven-security-and-governance" target="_blank">IBM也宣布和AI新創公司Anthropic合作</a>，在其特定軟體產品線整合後者的Claude大語言模型家族。IBM表示，Project Bob是雙方合作的第一步，以AI協助加速企業軟體開發，包括舊式軟體的現代化。</p> <p>Project Bob將可使用Anthropic Claude、Mistral AI、Llama和IBM Granite，也能協同這些模型的應用。</p> <p>加入AI模型的Project Bob旨在提升開發人員生產力。IBM表示，它可支援多種語言和模態，應用也很廣泛，但主要用途之一是應用現代化，包括自動系統升級或框架搬移，以及感知大規模codebase的多步驟重構（refactoring）。其二是以AI協助生成和檢視程式碼。它還能協助從初期開發、測試、部署到維護的端到端協同。</p> <p>最後是安全導向的開發，可提供漏洞掃瞄、提升軟體安全性以符合FedRAMP（美國聯邦政府的雲端安全授權計畫，Federal Risk and Authorization Management Program）標準，並加速轉向採用抗量子攻擊的加密演算法。</p> <p>目前Project Bob IDE已經以私有預覽版提供給部份IBM客戶。在早期測試中，IBM內部有超過6000名測試者使用了新的IDE，成果顯示生產力提高了45%，意謂在不損及程式碼品質和安全標準情況下還能大幅節省成本。</p> <p>在IBM和Anthropic的合作下，IBM也撰寫了AI代理人開發指引「Architecting Secure Enterprise AI Agents with MCP」（架構支援MCP的安全企業IT代理人），並獲得Anthropic驗證。IBM聲稱這是第一份專注在代理人開發生命周期（ADLC）指引，協助設計、部署和管理企業AI代理人，<a href="https://www.ibm.com/downloads/documents/us-en/1443d5dd174f42e6" target="_blank">現可在其網站取得</a>。</p> </div></div></div>
2025/10/8 12:00作者林妍溱https://www.ithome.com.tw/news/171580
Google推出Gemini 2.5 Computer Use讓AI代理能操作網頁介面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出<a href="https://blog.google/technology/google-deepmind/gemini-computer-use-model/" target="_blank">Gemini 2.5 Computer Use預覽版</a>，透過Gemini API在Google AI Studio與Vertex AI向開發者開放。這是一款建立在Gemini 2.5 Pro視覺理解與推理能力上的專用模型，目標是讓代理能直接操作使用者介面，可執行點擊、輸入到拖曳操作。</p> <p>Gemini 2.5 Computer Use模型運作為迴圈，每個回合的輸入包含用戶請求、當前環境的截圖與近期動作歷史，並可明確排除部分動作或加入自訂函式。模型分析後輸出一個具體的介面操作函式呼叫，例如點擊或輸入文字，而涉及購買行為等重要操作則會請求使用者確認。客戶端收到指令後在瀏覽器執行，再回傳最新截圖與當前URL，重新進入下一回合，直到任務完成、發生錯誤或因安全回應與用戶決定而終止。</p> <p>適用範圍以瀏覽器控制為主，示範中可原生填寫與提交表單、操作下拉選單與篩選條件，並能在登入後的環境執行必要操作。官方同時指出，該模型在行動裝置介面控制上展現潛力，桌面作業系統層級的控制則尚待最佳化。對多數內部系統或第三方服務而言，這種以畫面為目標的自動化，可補足缺乏結構化API時的實作空白。</p> <p>Google以Browserbase的Online-Mind2Web測試架構呈現成效，模型在該量測下同時達到較高準確率與較低延遲，並在Online-Mind2Web、WebVoyager與AndroidWorld等基準表現突出。</p> <p>Google已將風險因應直接訓練入模型，以應對惡意使用、意外行為以及網頁端詐騙或提示注入等情境。此外，Google提供開發者控管機制，防止模型自動執行高風險或有害操作，此機制包含獨立的把關步驟，在推論階段逐步審查模型擬議動作的合規性。開發者事先也能用系統指令，規範必須拒絕或徵求使用者確認高風險行為，同時官方文件也建議避免嘗試繞過CAPTCHA或控制醫療裝置，此類行為屬性質上應被阻擋。</p> <p>Google內部團隊已將此模型應用於UI測試，作為脆弱端對端測試的備援方案，以復原失敗流程。此外，Project Mariner、Firebase測試代理以及搜尋的人工智慧模式在部分能力，也採用了類似技術。</p> </div></div></div>
2025/10/8 12:09作者李建興https://www.ithome.com.tw/news/171579
非關聯式資料庫Redis存在滿分漏洞，近13年版本皆曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週非關聯式資料庫Redis的資安團隊<a href="https://github.com/redis/redis/security/advisories/GHSA-4789-qfc9-5f9q">發布資安公告</a>，指出他們發布6.2.20、7.2.11、7.4.6、8.0.4，以及8.2.2版，修補存在於Lua元件的資安漏洞CVE-2025-49844，此為記憶體釋放後再存取使用（Use After Free）型態的弱點，攻擊者有機會用來遠端執行任意程式碼（RCE），CVSS風險達到滿分10分，相當危險。<a href="https://www.wiz.io/blog/wiz-research-redis-rce-cve-2025-49844#vulnerability-meets-ubiquity-the-redis-risk-multiplier-5">通報此事的資安業者Wiz指出</a>，此漏洞存在於近13年版本的Redis，而且雲端環境有四分之三採用這些有弱點的Redis版本，影響範圍相當廣泛。</p> <p>通過身分驗證的攻擊者能透過特製的Lua指令碼來操縱Garbage Collector，觸發記憶體釋放後再存取使用的現象，而有機會發動RCE攻擊。所有版本的Redis只要啟用Lua指令碼功能，就存在這項漏洞。</p> <p>在<a href="https://www.ithome.com.tw/news/169049">今年5月舉行的漏洞挖掘競賽Pwn2Own Berlin 2025</a>，Wiz揭露這個弱點，並將其命名為RediShell，該公司強調，這是第一個被評為重大層級的Redis資安漏洞，危險性不光是因為能用於RCE攻擊，同時也反映常見的使用方式及部署型態所存在的問題。此漏洞存在於Redis原始碼長達13年，攻擊者只要在通過身分驗證的情況下，發送惡意Lua指令碼，就有機會逃逸Lua沙箱，並在Redis主機執行任何程式碼，從而完全存取主機系統，竊取、抹除、加密敏感資料，或是挾持資源，甚至能在雲端環境橫向移動。由於Lua指令碼是Redis預設支援的功能，若是IT人員沒有關閉這項功能，就會曝險。</p> <p>雖然利用RediShell存在必要條件，攻擊者必須事先通過身分驗證，然而Wiz指出雲端環境存在不少配置不安全的Redis系統，而有機會遭到滲透，他們約找到33萬個能透過網際網路存取的Redis執行個體（Instance），其中6萬個不需通過身分驗證。此外，還有57%的雲端環境透過容器映像的方式部署Redis，其中有許多並未採取適當的資安強化措施。</p> <p>對此，Wiz呼籲IT人員儘速採取行動，包含立即升級新版Redis、啟用身分驗證機制、停用Lua Script等不必要的功能、以最小權限執行、啟用事件記錄及監控、利用防火牆及虛擬私有雲（VPC）落實網路層級存取控制，以及限制只能經由授權的網路環境存取Redis。</p> </div></div></div>
2025/10/7 23:50作者周峻佑https://www.ithome.com.tw/news/171577
遊戲開發平臺Unity通報高風險漏洞，可能被濫用執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Unity<a href="https://unity.com/security/sept-2025-01/remediation">通報</a>一項高風險漏洞<a href="https://www.cve.org/CVERecord?id=CVE-2025-59489">CVE-2025-59489</a>，影響自Unity 2017.1起建置的Android、Windows、macOS與Linux應用。該漏洞源於命令列參數可被濫用以載入與執行外部程式碼，攻擊者要是取得本機存取權，可能在應用中執行任意程式碼或提升權限。官方表示目前未觀察到實際攻擊案例，並已釋出<a href="https://discussions.unity.com/t/cve-2025-59489-patcher-tool/1688032">修補版本與可直接更新既有應用的工具</a>。</p> <p>Unity提供兩種修補方式，其一為使用已修補版本的Unity Editor重新開啟專案、重建並測試後再發行，其二則是在無法即時重建或需進行臨時修補時，利用Unity Application Patcher直接修補現有的Android、Windows或macOS建置檔。官方提醒，修補工具可能與部分防竄改或反外掛機制產生相容性問題，開發者在部署前應完整驗證。</p> <p>CVE-2025-59489的影響範圍廣泛，主要平臺業者也迅速採取防護措施。Valve在Steamworks<a href="https://steamcommunity.com/groups/steamworks/announcements/detail/524229329545071275">發布公告</a>提醒Unity開發者盡速更新並重新測試遊戲，同時釋出新版Steam用戶端針對透過自訂URI或捷徑傳入的可疑命令列參數加上封鎖與防護，降低這類參數被帶入Unity應用啟動流程的風險，Unity也明列4個高風險參數，供開發者檢視與修補。</p> <p>此外，維持瀏覽器與防毒軟體的即時防護功能、停用不必要的自訂協定處理程式（Protocol Handler），並定期檢查已安裝的Unity遊戲更新狀態，優先安裝包含UnityPlayer.dll修補版本的更新，可有效降低因惡意命令列參數引發的風險。</p> <p>微軟則在MSRC安全更新指引（Security Update Guide）中<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59489">收錄</a>CVE-2025-59489，提醒使用者與玩家在修補版本尚未發布前，應暫時卸載受影響的應用或遊戲，以避免潛在風險。微軟同時更新了Microsoft Defender的威脅偵測模組，能辨識並攔截此類利用手法。企業與個人用戶應確保Defender簽名檔與系統版本維持最新，以獲得即時防護。</p> <p>目前雖然未發現實際攻擊事件，但該漏洞已被多方正式追蹤。Unity、微軟與Valve的同步回應反映了軟體供應鏈對安全事件的高度敏感。對開發者來說須儘速套用修補、重建並測試應用，而對一般使用者而言，保持系統更新、注意應用來源並遵循平臺提示，則是現階段最實際的防護措施。</p> </div></div></div>
2025/10/8 08:30作者李建興https://www.ithome.com.tw/news/171569
【資安日報】10月7日，勒索軟體駭客Clop聲稱從Oracle E-Business Suite竊得大批企業內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週末相當不平靜，其中最受到關注的消息，莫過於勒索軟體Clop的攻擊行動，這次駭客鎖定的標的，是Oracle商業應用程式E-Business Suite（EBS），這起事故直到他們向多家企業高管寄送勒索信才傳開。由於這些駭客歷年來先後鎖定多款檔案共用系統挖掘零時差漏洞，並發動大規模攻擊，這起事故引起資安圈高度重視。Oracle也先於10月3日表示有客戶收到勒索信，攻擊者疑似透過7月修補的漏洞得逞，但他們在隔天改掉部落格文章內容，遭到利用的其實是零時差漏洞CVE-2025-61882。不過，相關發現是否與Clop活動有關，Oracle並未說明。</p> <p>Scattered Lapsus$ Hunters駭客組織入侵知名企業Salesforce系統，並索討贖金換取資料不被公開的消息不時傳出，但最近這些駭客將勒索的對象轉向該雲端CRM系統的供應商，要脅Salesforce必須直接向他們付錢，否則將聯合受害客戶提告，這是首度有駭客藉由官司施壓，要求廠商支付贖金的情況。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171527"><strong style="font-size: 22px;">勒索軟體駭客Clop聲稱從多家公司的Oracle E-Business Suite系統竊得資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/clop-oracle-extortion-email.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/clop-oracle-extortion-email.jpg" style="width: 300px; float: right;" /></a></p> <p>前幾年先後針對Accellion、GoAnywhere、MOVEit、Cleo等多款MFT檔案共享系統的勒索軟體駭客Clop，最近傳出再度犯案的情況，Google威脅情報團隊（GTIG）與資安業者Mandiant已介入調查，傳出這次駭客鎖定的標的，是Oracle旗下的應用系統。</p> <p>這項消息最早是路透社報導揭露，Google掌握有駭客正在向多家公司的高階主管發送電子郵件進行勒索，聲稱從Oracle商業應用程式E-Business Suite（EBS）竊得敏感資料。而對於攻擊者的身分，Google透露是勒索軟體駭客Clop的附屬團體（Affiliation），而且電子郵件活動的數量相當多，但除此之外，該公司拒絕透露其他細節，並強調他們目前沒有足夠的證據來佐證這些說法的真實性。路透社想尋求Oracle的評論，但至今尚未得到回覆。而在路透社與Clop的電子郵件聯繫上，Clop表示目前不打算討論細節。</p> <p>後續科技新聞網站Bleeping Computer、TechCrunch跟進報導，揭露更多資訊。兩家媒體均引述Google網路犯罪分析首長Genevieve Stark說法表示，駭客聲稱從9月29日開始向高階主管寄信，但Google尚未證實駭客的說法是否屬實。這些信件從數百個被入侵的帳號寄出，其中一個是勒索軟體駭客組織FIN11（Clop）持有的帳號。</p> <p><a href="https://www.ithome.com.tw/news/171557"><strong style="font-size: 22px;">駭客從Salesforce客戶竊走資料，以此向Salesforce勒索</strong></a></p> <p>近日宣布要退休的駭客組織從Salesforce的數十家客戶竊走資料外洩後，也向Salesforce勒索贖金，揚言若不付款將公布其客戶資料，甚至要幫客戶告原廠。</p> <p>媒體DataBreaches報導，自稱Scattered LAPSUS$ Hunters的駭客本周在暗網上，張貼了一張包含數十家受害企業的名單，皆為Salesforce線上CRM系統的客戶。這個清單上列出了各家企業被竊資料的日期，以及檔案大小的資訊。當中受害者包含迪士尼、UPS和Hulu等先前未被報導的知名企業。</p> <p>資安專家發現，駭客甚至揚言，除非Salesforce直接付款給他們，否則他們將與客戶合作，就最近的資安事件對Salesforce提起訴訟。AppOmni技術長Brian Soby說，這是第一次駭客藉由官司壓力迫使受害原廠付贖金。</p> <p><a href="https://www.ithome.com.tw/news/171570"><strong style="font-size: 22px;">Red Hat資料外洩事故出現新進展，駭客聯手ShinyHunters對其勒索</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/crimson-collective-announcement.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/crimson-collective-announcement.jpg" style="width: 300px; float: right;" /></a></p> <p>上週駭客組織Crimson Collective聲稱，他們從Red Hat所有的2.8萬個內部開發儲存庫竊得570 GB資料，內含約800份的客戶互動報告（Customer Engagement Report，CER），並以此入侵該公司下游客戶，後來Red Hat證實GitLab系統遭到入侵的情況，該平臺僅用於顧問諮詢業務。如今這起事故出現進一步的消息，駭客與其他網路犯罪團體合作，意圖施壓Red Hat支付贖金。</p> <p>根據資安新聞網站Bleeping Computer報導，10月5日Crimson Collective在Telegram頻道上宣布，將與駭客組織Scattered Lapsus$ Hunters進行合作，號稱他們組成的聯盟，規模比1949年成立的北約組織（NATO）還要大。</p> <p>Crimson Collective並使用新架設的ShinyHunters資料外洩網站，意圖向Red Hat施壓，並揚言若不對贖金進行談判，他們將在10月10日公布竊得資料。該組織為了取信買家，公布部分企業組織的CER資料，包含Walmart、匯豐銀行（HSBC）、美國運通（American Express）、法國廣播公司等。</p> <p><a href="https://www.ithome.com.tw/news/171554"><strong style="font-size: 22px;">針對網路攻擊事故導致營運停擺，朝日啤酒證實遭勒索軟體入侵</strong></a></p> <p>9月29日朝日集團控股公司（Asahi Group Holdings）發布公告，表示因遭遇網路攻擊，導致該公司在日本的訂單、出貨，以及電話客服等業務，因系統無法運作而暫停，現在該公司透露新的調查結果，證實這是一起勒索軟體事故。</p> <p>10月3日該公司針對網路攻擊事故再度發布公告，指出根據事發後成立的緊急應變總部的調查結果，確認該公司的伺服器遭到勒索軟體攻擊，而且，出現未經授權的資料傳輸跡象。但對於受影響的資料範圍，該公司表示他們正進一步釐清。</p> <p>朝日也打算在本週準備恢復客服中心等支援平臺的運作，不過對於整體復原正常運作，他們目前無法提供明確的時間表。對於這起事故造成的經濟損失，朝日也仍在評估中。附帶一提的是，截至目前為止，未有駭客組織聲稱犯案。</p> <p><a href="https://www.ithome.com.tw/news/171541"><strong style="font-size: 22px;">Palo Alto Networks防火牆滿分漏洞再被鎖定，有人進行大規模掃描</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68e03301a66c754e676104a5_GreyNoise-Visualizer-Palo-Alto-Scanning.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68e03301a66c754e676104a5_GreyNoise-Visualizer-Palo-Alto-Scanning.png" style="width: 300px; float: right;" /></a></p> <p>去年4月資安業者Volexity發現鎖定Palo Alto Networks防火牆的攻擊行動，其中利用PAN-OS零時差漏洞CVE-2024-3400（CVSS風險評為10分），後來Palo Alto Networks證實這項漏洞存在，並進行修補。事隔一年半，又出現大肆掃描這項漏洞的情況，而有可能演變成新一波的攻擊行動。</p> <p>相關活動最早是9月29日SANS網路風暴中心提出警告，他們偵測到掃描CVE-2024-3400次數出現明顯增加的現象，攻擊來源IP位址是141.98.82[.]26，攻擊者試圖尋找存在漏洞的Palo Alto Networks防火牆，並上傳特定檔案，然後發出請求存取。</p> <p>事隔數日，有資安業者發現相關掃描活動持續升溫，資安業者GreyNoise於10月3日表示，他們觀察到尋找存在CVE-2024-3400的防火牆攻擊活動在2天內增加近5倍，創下近3個月的新高。</p> <p><a href="https://www.ithome.com.tw/news/171570"><strong style="font-size: 22px;">思科ASA、FTD防火牆遭零時差漏洞攻擊，駭客以此部署惡意程式RayInitiator、Line Viper</strong></a></p> <p>9月25日思科發布警告，該公司旗下的防火牆產品線Adaptive Security Appliance（ASA）、Firewall Threat Defense（FTD）存在零時差漏洞CVE-2025-20333、CVE-2025-20362（CVSS風險9.9分、6.5分），這些漏洞都出現在VPN Web Server元件，思科在資安公告提及，已有試圖利用漏洞的跡象，有參與調查的資安機構也透露相關攻擊活動的細節。</p> <p>英國國家網路安全中心（NCSC）提出警告，駭客鎖定ASA 5500-X系列的防火牆設備而來，利用前述漏洞在沒有啟動安全開機（Secure Boot）的裝置當中，植入多階段GRUB Bootkit惡意程式RayInitiator，最終部署另一個惡意程式Line Viper，此為使用者模式的Shell Code惡意軟體載入工具，駭客透過VPN用戶端的身分驗證請求，藉由RayInitiator將Line Viper載入記憶體執行。</p> <p>罕見的是，這次思科也發布獨立資安公告來說明本次事件應變的過程，他們在今年5月與多個政府機構進行合作，調查相關攻擊事故，並指出攻擊者鎖定的防火牆設備存在共通點，那就是啟用了VPN服務。根據調查的結果，攻擊者利用數個零時差漏洞，並藉由停用事件記錄、攔截CLI命令，以及刻意讓防火牆當機等手法來迴避偵測。</p> <p><a href="https://www.ithome.com.tw/news/171533"><strong style="font-size: 22px;">汽車製造商雷諾、Dacia英國分公司遭網路攻擊，客戶個資外流</strong></a></p> <p>法國車廠雷諾（Renault）及旗下Dacia的英國分公司日前發生網路攻擊，導致儲存在第三方系統內的客戶姓名及車輛資料外洩。</p> <p>雷諾及Dacia上周分別寄發郵件通知客戶此事。此次攻擊事件讓駭客從兩家業者的英國分公司使用的第三方系統，竊走英國車主的個人資料。</p> <p>外洩的資料包括姓名、性別、電子郵件信箱、電話號碼、郵寄地址、車牌號碼（vehicle registration number）及車輛識別號（vehicle identification number）。不過兩家車廠說，客戶的財務資料如銀行帳戶資料未受影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-critical-goanywhere-bug-exploited-in-ransomware-attacks/">MFT檔案共享系統GoAnywhere遭利用，駭客用來部署勒索軟體Medusa</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/researchers-warn-of-self-spreading.html">可自我散布的惡意程式Sorvepotel鎖定WhatsApp用戶而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/chinese-cybercrime-group-runs-global.html">中國駭客UAT-8099濫用遭入侵的IIS伺服器，從事SEO詐欺活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/new-report-links-research-firms-bieta.html">中國研究機構BIETA及其子公司Cill隸屬中國國家安全部，為其開發隱匿網路間諜活動的攻擊手法</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171553"><strong style="font-size: 22px;">Oracle修補已被勒索軟體駭客Clop利用的零時差漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-61882-22.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-61882-22.png" style="width: 300px; float: right;" /></a></p> <p>上週末傳出勒索軟體駭客Clop向許多高階主管寄信，聲稱從受害企業的Oracle商業應用程式E-Business Suite（EBS）竊得敏感資料，要求支付贖金換取資料不公開，傳出Google威脅情報團隊（GTIG）與Mandiant介入調查。對此，10月3日Oracle表示已掌握有EBS客戶收到勒索信的情況，根據初步調查結果，駭客使用的漏洞已在7月完成修補，不過隔天他們又發布新的公告，修補另一項重大層級的漏洞，引起外界高度關注。</p> <p>這項漏洞被登記為CVE-2025-61882，影響12.2.3至12.2.14版EBS，攻擊者可在未經授權的情況下遠端利用，一旦成功觸發，就能遠端執行任意程式碼（RCE）。此漏洞存在於BI Publisher Integration元件，CVSS風險評為9.8分（滿分10分），相當危險。值得留意的是，雖然Oracle未在資安公告裡直接說明漏洞已被用於實際攻擊，但該公司資安長Rob Duhart更換原本的部落格文章內容，一改之前認為是利用7月公開的漏洞說法，透露這項更新是針對他們事件調查的新發現而來，用來對抗潛在的威脅；再者，他們在兩天後（10月6日）在CVE-2025-61882公告當中，新增入侵指標（IoC），這樣的做法並不尋常。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/redis-warns-of-max-severity-flaw-impacting-thousands-of-instances/">非關聯式資料庫Redis存在滿分漏洞RediShell，近13年版本皆曝險</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171504"><strong>【10月3日】Red Hat傳出資料外洩事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171480"><strong>【10月2日】Red Hat、Google修補AI平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171463"><strong>【10月1日】中國駭客Phantom Taurus鎖定外交官、大使館從事網路間諜活動</strong></a></p> </div></div></div>
2025/10/7 17:46作者周峻佑https://www.ithome.com.tw/news/171575
Red Hat資料外洩事故出現新進展，駭客聯手ShinyHunters對其勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週駭客組織Crimson Collective聲稱，<a href="https://www.ithome.com.tw/news/171502">他們從Red Hat所有的2.8萬個內部開發儲存庫竊得570 GB資料</a>，內含約800份的客戶互動報告（Customer Engagement Report，CER），並以此入侵該公司下游客戶，後來Red Hat證實GitLab系統遭到入侵的情況，該平臺僅用於顧問諮詢業務。如今這起事故出現進一步的消息，駭客與其他網路犯罪團體合作，意圖施壓Red Hat支付贖金。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/red-hat-data-breach-escalates-as-shinyhunters-joins-extortion/">資安新聞網站Bleeping Computer報導</a>，10月5日Crimson Collective在Telegram頻道上宣布，將與駭客組織Scattered Lapsus$ Hunters進行合作，號稱他們組成的聯盟，規模比1949年成立的北約組織（NATO）還要大。</p> <p>Crimson Collective並使用新架設的ShinyHunters資料外洩網站，意圖向Red Hat施壓，並揚言若不對贖金進行談判，他們將在10月10日公布竊得資料。該組織為了取信買家，公布部分企業組織的CER資料，包含Walmart、匯豐銀行（HSBC）、美國運通（American Express）、法國廣播公司等。</p> <p>Bleeping Computer提及，ShinyHunters與從事攻擊活動的駭客進行分工，專門負責向受害組織進行勒索，成為勒索即服務（Extortion-as-a-Service，EaaS）的角色，他們向該新聞網站透露，在成功收到受害組織的贖金後，將會得到25%至30%做為報酬。</p> </div></div></div>
2025/10/7 17:31作者周峻佑https://www.ithome.com.tw/news/171570
Oracle修補已被勒索軟體駭客Clop利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末傳出<a href="https://www.ithome.com.tw/news/171527">勒索軟體駭客Clop向許多高階主管寄信</a>，聲稱從受害企業的Oracle商業應用程式E-Business Suite（EBS）竊得敏感資料，要求支付贖金換取資料不公開，傳出Google威脅情報團隊（GTIG）與Mandiant介入調查。對此，10月3日Oracle表示已掌握有EBS客戶收到勒索信的情況，根據初步調查結果，駭客使用的漏洞已在7月完成修補，不過隔天他們又發布新的公告，<a href="https://www.oracle.com/security-alerts/alert-cve-2025-61882.html">修補另一項重大層級的漏洞</a>，引起外界高度關注。</p> <p>這項漏洞被登記為CVE-2025-61882，影響12.2.3至12.2.14版EBS，攻擊者可在未經授權的情況下遠端利用，一旦成功觸發，就能遠端執行任意程式碼（RCE）。此漏洞存在於BI Publisher Integration元件，CVSS風險評為9.8分（滿分10分），相當危險。</p> <p>值得留意的是，雖然Oracle未在資安公告裡直接說明漏洞已被用於實際攻擊，但該公司資安長Rob Duhart更換<a href="https://blogs.oracle.com/security/post/apply-july-2025-cpu">原本的部落格文章內容</a>，一改之前認為是利用7月公開的漏洞說法，透露這項更新是針對他們事件調查的新發現而來，用來對抗潛在的威脅；再者，他們在兩天後（10月6日）在CVE-2025-61882公告當中，新增入侵指標（IoC），這樣的做法並不尋常。美國網路安全暨基礎設施安全局（CISA）也證實漏洞遭到利用的現象，<a href="https://www.cisa.gov/news-events/alerts/2025/10/06/cisa-adds-seven-known-exploited-vulnerabilities-catalog">並於同日將CVE-2025-61882列入已遭利用的漏洞列表（KEV）</a>，要求聯邦機構於10月27日完成修補。</p> <p>不過，針對這項漏洞的細節，Oracle並未進一步說明，傳出介入調查的GTIG與Mandiant，也始終並未公布相關結果，他們是否發現更多細節，有待進一步揭露。值得留意的是，由於Rob Duhart置換原本3日發布的部落格內文，究竟Clop只運用CVE-2025-61882，還是串連了今年7月公布的EBS資安漏洞，如今也出現兩派說法。例如，<a href="https://arcticwolf.com/resources/blog/cve-2025-61882/">資安業者Arctic Wolf認為</a>，駭客同時運用7月修補的數個漏洞及CVE-2025-61882來達到目的；不過<a href="https://www.tenable.com/blog/cve-2025-61882-faq-oracle-e-business-suite-zero-day-cl0p-and-july-2025-cpu">資安業者Tenable抱持不同的看法</a>，認為7月公布的漏洞並未遭Clop利用，原因是Rob Duhart直接更換部落格整篇文章的內容，僅有提及駭客使用CVE-2025-61882。</p> <p>但除了Clop利用的資安漏洞範圍引起資安業者探討，也有<a href="http://labs.watchtowr.com/well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882/">資安業者針對CVE-2025-61882進行分析</a>，指出該漏洞並不單純，不光只是Oracle公告提及的RCE漏洞，而是一連串漏洞利用鏈的組合，這樣的情況，突顯攻擊者相當了解EBS架構，才能如此串連多項弱點造成嚴重危害。資安業者watchTowr取得概念驗證程式（PoC）進行逆向工程，指出攻擊者若要利用CVE-2025-61882，大致可分成5個步驟（5種弱點）進行。</p> <p>首先，是將特製的XML請求傳送到指定的Servlet，進行伺服器請求偽造（SSRF）攻擊。攻擊者使用的XML檔案，可藉由漏洞強制後臺伺服器發送任意HTTP請求。接著，攻擊者利用Carriage Return Line Feed注入（CRLF Injection）手法，對於SSRF請求進行完全控制。</p> <p>攻擊者也試圖濫用HTTP持續連線手法（HTTP persistent connection、HTTP keep-alive、HTTP connection reuse），使得單一TCP連線能串接多個HTTP回應或請求，使得上述兩項手法攻擊的效果更好，而且還變得更難察覺。</p> <p>除此之外，攻擊者也試圖繞過身分驗證過濾機制，藉由EBS特定的組態配置，進一步透過綁定的IP位址，存取受害企業的內部資源，擴大漏洞利用的危害範圍。</p> <p>最後一項被利用的環節，是透過可延伸樣式表轉換語言（XSLT）注入手法，藉由上述能夠存取的新資源，達到執行任意程式碼的目的。</p> </div></div></div>
2025/10/7 14:22作者周峻佑https://www.ithome.com.tw/news/171553
針對網路攻擊事故導致營運停擺，朝日啤酒證實遭勒索軟體入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月29日朝日集團控股公司（Asahi Group Holdings）發布公告，<a href="https://www.ithome.com.tw/news/171419">表示因遭遇網路攻擊</a>，導致該公司在日本的訂單、出貨，以及電話客服等業務，因系統無法運作而暫停，現在該公司透露新的調查結果，證實這是一起勒索軟體事故。</p> <p>10月3日該公司針對網路攻擊事故<a href="https://www.asahigroup-holdings.com/en/newsroom/detail/20251003-0204.html">再度發布公告</a>，指出根據事發後成立的緊急應變總部的調查結果，確認該公司的伺服器遭到勒索軟體攻擊，而且，出現未經授權的資料傳輸跡象。但對於受影響的資料範圍，該公司表示他們正進一步釐清。</p> <p>為了避免受害範圍擴大，事發後他們隔離受影響的系統因應，但也導致該公司營運受到影響。朝日提及下訂單、產品運輸皆受到波及，此外，他們也無法對外收發電子郵件。由於無法透過相關系統安排訂單及出貨流程，該公司開始手動處理部分訂單及發貨。</p> <p>朝日也打算在本週準備恢復客服中心等支援平臺的運作，不過對於整體復原正常運作，他們目前無法提供明確的時間表。對於這起事故造成的經濟損失，朝日也仍在評估中。附帶一提的是，截至目前為止，未有駭客組織聲稱犯案。</p> </div></div></div>
2025/10/7 15:25作者周峻佑https://www.ithome.com.tw/news/171554
DeepMind測試AI代理CodeMender，可自動發現並修補軟體漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind公開其研究中的人工智慧代理<a href="https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/">CodeMender</a>，可自動找出並修補軟體漏洞，並能重寫既有程式以移除風險，官方表示，過去6個月已對多個開源專案提交72項安全修補，涵蓋規模可達450萬行程式碼。</p> <p>研究團隊指出，傳統自動化如模糊測試（Fuzzing）雖有幫助，但在大型程式碼庫中仍耗時費力。DeepMind先前以Big Sleep與OSS-Fuzz展示人工智慧發現零時差漏洞的潛力，但隨著人工智慧發現漏洞的速度越來越快，人工修補與審核已經跟不上節奏。</p> <p>因此DeepMind開發CodeMender，使其除了具有及時產生並套用修補漏洞的能力，還能主動重寫脆弱介面與資料結構，盡可能從源頭消除常見缺陷類別。</p> <p>CodeMender由Gemini Deep Think模型驅動，會先對程式行為與語意進行推理，再決定修改策略，系統在提出修補前會經過自動驗證，僅將符合條件的高品質修補交由人工審核。自動驗證著重確認修補能確實解決問題根因、維持程式功能的正確性且確保無回歸（Regression）情形，並遵循原始專案的風格規範。</p> <p>CodeMender整合一組程式分析工具，涵蓋靜態分析、動態分析、差異測試、模糊測試與SMT求解器，再輔以可檢視程式行為的偵錯器與程式碼瀏覽工具。系統同時運用多代理設計，包含以大型語言模型打造的評析工具，能逐檔比對原始與修改後的差異、辨識可能的回歸點並觸發自我修正。</p> <p>官方舉CodeMender代理處理一則程式崩潰回報作為案例，雖然表面症狀是堆積緩衝區溢位，但真正原因在於XML元素解析過程的堆疊管理不當，CodeMender最終修補只改動少數程式碼，精準解決根本原因。此外，代理也能處理較複雜的物件生命周期問題，甚至修改專案內部自訂的C程式碼生成系統，提出可驗證的修補方案。</p> <p>DeepMind研究團隊展示CodeMender的主動修復能力，代理先針對有風險的路徑進行重寫，改用較安全的資料結構與API。對仍需重點保護的部分，開發者可套用像是-fbounds-safety這樣的註記，讓編譯器在已加註並重新編譯的程式路徑自動插入邊界檢查，盡量消除堆積緩衝區溢位的可利用性。</p> <p>目前CodeMender仍屬研究階段，此階段先與重要開源專案維護者溝通並逐步擴大提交量，持續彙整社群回饋以強化流程與工具。DeepMind表示，數月內將發表技術論文與報告，後續也會在品質與流程穩定後向開發者釋出。</p> </div></div></div>
2025/10/7 16:36作者李建興https://www.ithome.com.tw/news/171555
駭客從Salesforce客戶竊走資料也來勒索Salesforce
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日宣布要退休的駭客組織從Salesforce的數十家客戶竊走資料外洩後，也向Salesforce勒索贖金，揚言若不付款將公布其客戶資料，甚至要幫客戶告原廠。</p> <p><a href="https://databreaches.net/2025/10/03/more-salesforce-customer-attacks-revealed-in-new-leak-site-by-scattered-lapsus-hunters/" target="_blank">媒體DataBreaches報導</a>，自稱Scattered LAPSUS$ Hunters的駭客本周在暗網上，張貼了一張包含數十家受害企業的名單，皆為Salesforce線上CRM系統的客戶。這個清單上列出了各家企業被竊資料的日期，以及檔案大小的資訊。當中受害者包含迪士尼、UPS和Hulu等先前未被報導的知名企業。</p> <p>研究人員相信，Scattered LAPSUS$ Hunters在此之前，已經連續從LV、香奈兒、安聯人壽、澳航、法航/荷航、Google、思科等數十家企業的Salesforce系統竊走大量客戶資料。</p> <p><a href="https://www.securityweek.com/hackers-extorting-salesforce-after-stealing-data-from-dozens-of-customers/" target="_blank">媒體報導</a>，這可能是這個駭客組織9月中宣布退休前的「臨去秋波」，想再賺一筆並大鬧一場。</p> <p>因此，除了受害企業外，這群駭客將勒索目標轉向了Salesforce原廠本身。根據媒體擷取的畫面，駭客列出對Salesforce發出的勒索信件，並顯示手上握有其客戶9.89億筆紀錄。他們要求Salesforce聯繫支付贖款，如果Salesforce付款，別家公司（包括Salesforce的客戶）就無需付款。但若在10月10日以前未接到Salesforce支付贖款，就會公布這些資料。</p> <p><a href="https://www.csoonline.com/article/4067846/extortion-gang-opens-data-leak-site-to-squeeze-victims-of-its-salesforce-attacks.html" target="_blank">資安專家發現</a>，駭客甚至揚言，除非Salesforce直接付款給他們，否則他們將與客戶合作，就最近的資安事件對Salesforce提起訴訟。AppOmni技術長Brian Soby說，這是第一次駭客藉由官司壓力迫使受害原廠付贖金，雖然他也懷疑可行性。</p> <p><a href="https://status.salesforce.com/generalmessages/20000224?locale=en-US." target="_blank">Salesforce上周公布的資安公告顯示</a>，該公司已獲知攻擊者近日企圖勒索，經過該公司和外部專家及主管機關合作調查。結果顯示勒索行動可能和之前或未知的事件有關。Salesforce也已和受影響的客戶聯繫以提供支援。</p> <p>但Salesforce表示沒有跡象顯示Salesforce平臺遭駭，並重申勒索行動也和其技術的已知漏洞無關。</p> <p><a href="https://www.ithome.com.tw/news/171251" target="_blank">之前BleepingComputer報導</a>，駭客已經由Salesloft Drift聊天機器人，竊得15億筆Salesforce資料，受害企業超過700家。</p> </div></div></div>
2025/10/7 15:45作者林妍溱https://www.ithome.com.tw/news/171557
OpenAI公布代理人開發工具AgentKit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周一在今年開發者大會Dev Day上<a href="https://openai.com/index/introducing-agentkit/" target="_blank">公布代理人開發工具AgentKit</a>，可協同開發人員更快開發並部署AI代理人，並強化相關的Eval評估工具及微調工具。</p> <p>AgentKit 是一套完整的工具，可讓開發商及企業開發、部署和優化代理人。OpenAI三月釋出Responses API和Agents SDK，獲得許多開發人員和企業用來建立代理人workflow，以開發深度研究或客服支援應用。AgentKit則是在Responses API基礎上發展而成，旨在提供整合的代理人開發部署工具。</p> <p>OpenAI表示，過去開發代理人需要開發商自行蒐羅及整合零散的工具，是一沒有版本控管、自訂連接器、手動評估管理、自行調整提示的繁複作業，往往推出前需耗時好幾星期。有了AgentKit，開發人員可以利用其開發構件，以視覺介面設計工作流（workflow），且更快嵌入代理人UI。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-AgentKit%20_Agent%20Builder_OpenAI.png" style="width: 600px;" /></p> <p>AgentKit的構件包括Agent Builder、Connector Registry及ChatKit。其中Agent Builder為建立多代理人workflow及管理版本的視覺化工作區（canvas），使用者利用拖拉節點、連結工具來建立控制邏輯，還能設定自己的護欄。它並支援預覽執行、自訂inline評估、及完整的版本管理。</p> <p>Connector Registry為管理員管理跨所有OpenAI產品資料和工具連結的中央介面。它能將ChatGPT和API的資料源整合到單一管理介面。其註冊中心（registry）還能透過預建的連接器，讓代理人連第三方系統如Dropbox、Google Drive、SharePoint和Microsoft Teams及MCP伺服器。</p> <p>ChatKit則能把可客製化聊天代理人嵌入到開發出的應用程式的工具組。OpenAI說，部署代理人聊天 UI其實挺複雜的，需要處理串流的回應、管理對話串，顯示模型思考過程和設計吸引人的聊天體驗。ChatKit則可把這些代理人輕鬆嵌入到開發商或企業自己的App或網站，使其符合主題和公司品牌。</p> <p>為測試代理人效能，OpenAI也強化了評估工具。去年該公司推出的評估工具Eval提供提示測試和衡量模型行為。本周OpenAI再為Eval加入4項新功能，包括針對資料集，快速從頭打造代理人評估，且可隨時間改進；對代理人workflow執行端到端的評估，並以評分點出缺點。它還會根據人類標註和評分器結果自動優化提示。這個評估工具不只評估OpenAI的模型，也支援第三方模型。</p> <p>OpenAI還提供強化式微調（reinforcement fine-tuning， RFT），讓開發人員客製化OpenAI的推理模型。現在可在OpenAI o4-mini 上使用，並在GPT-5以private beta提供。OpenAI正和數十家客戶合作改善GPT-5的RFT功能。</p> <p>目前RFT有二項新功能和改善代理人有關，包括呼叫自訂工具和為評估自訂評分器。</p> <p>在推出時程上，即日起ChatKit和新版評估（Evals）全面提供給所有開發人員。AgentBuilder目前為Beta版，Connector Registry以Beta版部署到部份API、以及具有Global Admin Console的ChatGPT Enterprise和Edu客戶。</p> <p>OpenAI計畫很快會將獨立的Workflows API及代理人部署選項加到ChatGPT。</p> </div></div></div>
2025/10/7 13:44作者林妍溱https://www.ithome.com.tw/news/171546
Google發表專屬於AI產品的抓漏獎勵計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周一（10/6）<a href="https://bughunters.google.com/blog/6116887259840512/announcing-google-s-new-ai-vulnerability-reward-program" target="_blank">發表了專屬於AI產品的抓漏獎勵計畫</a>，根據產品等級與漏洞嚴重程度來發放獎勵，最高獎金可達3萬美元。不過，Google也提醒，不管是越獄、提示注入或對齊問題都未被列入獎勵範圍。</p> <p>Google是在2023年的10月正式<a href="https://www.ithome.com.tw/news/159528" target="_blank">將AI產品納入濫用漏洞獎勵計畫</a>（Abuse Vulnerability Reward Program，Abuse VRP），迄今已發放逾43萬美元的相關漏洞獎勵，此次的更新主要是為了釐清獎勵範圍，以及整合了濫用與安全問題，同時鼓勵安全研究人員專注於影響力最大與最多獎勵的目標。</p> <p><a href="https://bughunters.google.com/about/rules/google-friends/5222232590712832/ai-vulnerability-reward-program-rules" target="_blank">在新的AI VRP中</a>，Google先將產品分級，等級愈高，獎金就愈多，例如Google Search、Gemini Apps與Google Workspace各種核心應用都屬於旗艦產品；而AI Studio、Jules與Google Workspace的非核心應用則被列為標準產品，而被整合於Google產品中的其它AI則被歸類為其它。</p> <p>至於漏洞懸賞範圍則包括：能修改受害者帳戶或資料狀態，且產生安全影響的攻擊；敏感資料外洩；可被用來執行網釣攻擊的Google網站漏洞；可竊取完整、詳細與機密模型參數的漏洞；可持續修改AI系統脈絡的安全漏洞；存取控制繞過漏洞；可未經授權使用產品；以及持續性服務阻斷攻擊漏洞。</p> <p>若在旗艦級AI產品中發現能修改受害者帳號或資料的安全漏洞（Rogue Actions），其基本獎金為2萬美元；若報告品質高且漏洞具新穎性，最高可獲3萬美元獎勵。</p> <p>值得注意的是，Google此次特別澄清，不管是越獄（Jailbreak）、提示注入（Prompt Injection）或對齊問題（Alignment Issues）都未被列入AI VRP獎勵範圍。其中，越獄指的是透過特定提示誘導AI解除原本的安全限制，例如讓它說出原本禁止的內容；提示注入則是於輸入時嵌入惡意指令，以誘導AI忽略原本任務而執行駭客行為；對齊問題是指AI模型未符合預期或道德標準。</p> <p>Google解釋，VRP的主要目的是鼓勵安全研究人員向Google回報安全漏洞與濫用問題，但上述屬於內容問題，這些問題需要長期且跨學科的努力，必須藉由分析大量報告的趨勢、更新模型及評估使用者脈絡來改善，與VRP的目標並不一致，因而未被列入獎勵範圍，但研究人員仍能藉由產品內的回報機制向Google舉報。</p> </div></div></div>
2025/10/7 14:13作者陳曉莉https://www.ithome.com.tw/news/171550
Meta開源OpenZL壓縮框架，以單一解壓縮器提升結構化資料壓縮效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta<a href="https://engineering.fb.com/2025/10/06/developer-tools/openzl-open-source-format-aware-compression-framework/">開源</a>OpenZL這套格式感知的無失真壓縮框架，主打在結構化資料上同時提升壓縮比與處理速度，並以通用解壓縮器（Universal Decoder）執行每個檔案內嵌的還原流程，支援多種結構化資料型態，避免需要為不同格式維護多個二進位檔，其定位為提供一個客製化壓縮效能與單一可維護二進位檔的折衷方案。</p> <p>OpenZL開發團隊指出，對需要在資料工作管線中長期維運的團隊，單一解壓縮器的操作一致性與集中化稽核，是相對務實的工程考量。</p> <p>OpenZL的作法是先說清楚資料結構，再用能還原的步驟把規律整理出來，最後才壓縮。不同檔案可以有不同的壓縮流程，但每個檔案在壓縮時，都會把實際要怎麼解壓縮的流程寫進檔案裡。解壓縮器只要讀出這段流程並照做就能還原，不需要另外安裝或協調其他工具。</p> <p>官方以Silesia資料集中的sao檔在M1 CPU與clang-17環境測試，OpenZL壓縮後大小3,516,649 B，壓縮比2.06，壓縮速度約340 MB/s，解壓速度約1,200 MB/s；同場比較zstd-3為5,531,935 B、壓縮比1.31、壓縮速度約220 MB/s、解壓速度約850 MB/s，xz-9的數字則為4,414,351 B、1.64、3.5 MB/s、45 MB/s。此結果顯示在已知結構的資料上，OpenZL可同時拉高壓縮比並維持甚至提升速度。</p> <p>OpenZL提供簡單資料定義語言（SDDL）與離線訓練器，使用者可先用預設或SDDL描述欄位與巢狀結構，也可自行撰寫解析器（Parser）。訓練器依樣本資料在轉換與參數中搜尋，產生多種速度與壓縮比的計畫，編碼時把計畫解析成可執行圖並寫入每幀（Frame），遇到控制點會依輕量統計自動選分支並記錄。解壓一律使用同一通用解壓器，維運與效能優化集中處理，更新一次即可同時支援新舊資料。</p> <p>官方針對不同型態資料提供了基準，包括欄式數值資料、Parquet與CSV等。值得注意的是，CSV的解析成本較高，測得壓縮速度上限約64 MB/s。另外，要是OpenZL遇到無法理解結構的輸入，框架會退回zstd以維持相容性，顯示其優勢明確鎖定在結構化資料情境。</p> <p>對雲端儲存、分散式處理、機器學習張量、資料庫表格等具有明確結構的工作負載，OpenZL框架提供以結構為先的高效壓縮與解壓方案。OpenZL原始碼、文件與教學已於<a href="https://github.com/facebook/openzl">GitHub開放</a>，專案目前持續開發，API與格式仍可能調整。</p> </div></div></div>
2025/10/7 11:55作者李建興https://www.ithome.com.tw/news/171543
OpenAI讓ChatGPT變身為應用程式平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-apps-in-chatgpt/" target="_blank">OpenAI周一（10/6）宣布</a>，將於聊天機器人ChatGPT中整合外部應用程式，並開始<a href="https://developers.openai.com/apps-sdk/" target="_blank">預覽Apps SDK</a>以供開發者建置相容的應用程式，首波上線的程式包括Booking.com、Canva、Coursera、Figma、Expedia、Spotify及Zillow，預計今年就會開放開發者提交應用程式，也會建立市集供程式上架。</p> <p>使用者可直接於ChatGPT呼叫某個程式來回答問題，或者是在詢問時，由ChatGPT主動提出程式建議，這些程式都能理解使用者的自然語言，也能以自然語言回應。</p> <p>例如直接點名Spotify來建立派對歌單，或是要Booking.com幫你找聖誕節的巴黎住處，請Coursera推薦AI入門課程；當與ChatGPT討論買房問題時，系統即會建議呼叫買房應用程式Zillow，需要製作簡報時，系統會建議你使用Canva。首次使用各種程式時，ChatGPT會提示連接授權並說明資料分享範圍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-apps%20in%20ChatGPT-OpenAI-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>預計會在今年上線的第二波應用則有健行路線規畫程式AllTrails、健身程式Peloton、餐廳訂位程式OpenTable與theFork、零售平臺Target，以及Uber。</p> <p>即日起歐盟以外的Free、Go、Plus與Pro用戶都可於ChatGPT中使用應用程式功能，但目前只開放英文指令。</p> <p>ChatGPT計畫今年就會開放開發者提交應用程式，並將建立一個具備目錄的市集，以供使用者瀏覽及搜尋，且很快就會支援應用程式的支付機制。</p> <p>OpenAI指出，開發人員可透過Apps SDK來打造支援ChatGPT的應用程式，該SDK奠基於開源的模型脈絡協定（Model Context Protocol，MCP），以讓ChatGPT可連結至外部的工具及資料，同時加以擴充，以讓開發人員得以設計其應用程式的邏輯與介面。OpenAI亦已開源該SDK的原始碼。</p> </div></div></div>
2025/10/7 12:12作者陳曉莉https://www.ithome.com.tw/news/171545
思科ASA、FTD防火牆遭零時差漏洞攻擊，駭客以此部署惡意程式RayInitiator、Line Viper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月25日思科發布警告，該公司旗下的防火牆產品線Adaptive Security Appliance（ASA）、Firewall Threat Defense（FTD）<a href="https://www.ithome.com.tw/news/171393">存在零時差漏洞CVE-2025-20333、CVE-2025-20362</a>（CVSS風險9.9分、6.5分），這些漏洞都出現在VPN Web Server元件，思科在資安公告提及，已有試圖利用漏洞的跡象，有參與調查的資安機構也透露相關攻擊活動的細節。</p> <p><a href="https://www.ncsc.gov.uk/news/persistent-malicious-targeting-cisco-devices">英國國家網路安全中心（NCSC）提出警告</a>，駭客鎖定ASA 5500-X系列的防火牆設備而來，利用前述漏洞在沒有啟動安全開機（Secure Boot）的裝置當中，植入多階段GRUB Bootkit惡意程式RayInitiator，最終部署另一個惡意程式Line Viper，此為使用者模式的Shell Code惡意軟體載入工具，駭客透過VPN用戶端的身分驗證請求，藉由RayInitiator將Line Viper載入記憶體執行。</p> <p>Line Viper的運作模式主要可分成兩個環節，其中一種是透過HTTPS連線存取VPN用戶端的身分驗證連線階段（Session），另一種是使用TCP連線，藉由ICMP連線接收回應。</p> <p>而對於該惡意程式的能力，涵蓋執行命令列（CLI）命令、截取封包、讓攻擊者的裝置繞過AAA驗證、抑制Syslog警示訊息、收集使用者下達的命令，以及強制延後重新開機的功能。</p> <p>駭客使用的兩款惡意軟體存在共通特性，它們都會濫用受害企業的Token，NCSC提及，過往Line Dancer及Line Runner等惡意程式也曾運用相同手法。</p> <p>罕見的是，這次思科也發布獨立資安公告<a href="https://sec.cloudapps.cisco.com/security/center/resources/asa_ftd_continued_attacks">來說明本次事件應變的過程</a>，他們在今年5月與多個政府機構進行合作，調查相關攻擊事故，並指出攻擊者鎖定的防火牆設備存在共通點，那就是啟用了VPN服務。根據調查的結果，攻擊者利用數個零時差漏洞，並藉由停用事件記錄、攔截CLI命令，以及刻意讓防火牆當機等手法來迴避偵測。</p> <p>對於攻擊者的身分，思科並未透露，不過他們指出這些駭客<a href="https://www.ithome.com.tw/news/162516">曾在去年初散布惡意軟體ArcaneDoor</a>。</p> <p>值得留意的是，這次駭客成功入侵的ASA 5500-X系列防火牆機種，執行的ASA軟體版本為9.12或9.14，因此都不支援安全開機與信任錨（Trust Anchor）防護機制，而且，這些型號的防火牆自2022年開始陸續終止支援。NCSC也提及此事，呼籲企業組織應考慮更換或進行升級。</p> <p>巧合的是，9月初資安業者GreyNoise揭露<a href="https://www.ithome.com.tw/news/171064">鎖定ASA防火牆的大規模掃描行動</a>，後續他們也<a href="https://www.greynoise.io/blog/scanning-surge-cisco-asa-devices">更新調查結果</a>，補充說明，該公司在9月24日又偵測到針對思科SSL VPN系統的暴力破解攻擊行動，而且攻擊者試圖利用的漏洞，就是後來思科公布的CVE-2025-20333與CVE-2025-20362。</p> <p>存在上述漏洞的思科防火牆設備規模究竟有多少？根據9月29日Shadowserver基金會的掃描，<a href="https://x.com/Shadowserver/status/1972957175040577777">全球仍有約48,800臺防火牆曝險</a>，其中美國超過三分之一最多，約有19,200臺，英國、日本、俄羅斯、德國居次，皆超過2千臺。值得留意的是，臺灣也有超過220臺曝險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G2FaBJwXQAA_SQd.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G2FaBJwXQAA_SQd.jpg" style="width: 580px;" /></a></p> </div></div></div>
2025/10/6 22:39作者周峻佑https://www.ithome.com.tw/news/171540
Palo Alto Networks防火牆滿分漏洞再被鎖定，有人進行大規模掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年4月資安業者Volexity發現<a href="https://www.ithome.com.tw/news/162282">鎖定Palo Alto Networks防火牆的攻擊行動</a>，其中利用PAN-OS零時差漏洞<a href="https://www.ithome.com.tw/tags/cve-2024-3400">CVE-2024-3400</a>（CVSS風險評為10分），後來Palo Alto Networks證實這項漏洞存在，並進行修補。事隔一年半，又出現大肆掃描這項漏洞的情況，而有可能演變成新一波的攻擊行動。</p> <p>相關活動最早是9月29日<a href="https://isc.sans.edu/diary/32328">SANS網路風暴中心提出警告</a>，他們偵測到掃描CVE-2024-3400次數出現明顯增加的現象，攻擊來源IP位址是141.98.82[.]26，攻擊者試圖尋找存在漏洞的Palo Alto Networks防火牆，並上傳特定檔案，然後發出請求存取。</p> <p>假若檔案存在，就會回傳403錯誤訊息，若是上傳失敗而找不到檔案，就會得到404錯誤訊息。而對於攻擊者上傳的檔案內容，SANS指出是一般的SSL VPN遠端存取系統GlobalProtect的連線階段（Session）檔案，但不會執行。這代表後續攻擊者可能會再度上傳檔案，並存放於指定位置，而能執行任意程式碼。</p> <p>事隔數日，有資安業者發現相關掃描活動持續升溫，資安業者GreyNoise於10月3日表示，他們觀察到尋找存在CVE-2024-3400的防火牆攻擊活動<a href="https://www.greynoise.io/blog/palo-alto-scanning-surges">在2天內增加近5倍</a>，創下近3個月的新高。</p> <p>GreyNoise指出，他們在10月3日共看到近1,300個IP位址試圖掃描上述滿分漏洞，但在過去90天裡，一天很少超過200個位址，這樣的情況並不尋常。</p> <p>該公司進一步分析攻擊來源，91%來自美國，但也有英國、荷蘭、加拿大、俄羅斯的IP位址。針對遭到鎖定的目標，大致上流量主要針對美國和巴基斯坦，攻擊者的TLS指紋不同但似乎有所交集。除此之外，墨西哥、法國、澳洲、英國也出現相關活動。</p> <p>附帶一提的是，GreyNoise特別提到這波掃描Palo Alto Networks漏洞的攻擊行動，與<a href="https://www.ithome.com.tw/news/171064">針對思科ASA防火牆的掃描活動</a>存在共同特徵，對此該公司推測很可能是兩起活動的犯案者共享工具及基礎設施，不過他們無法確定是否就是同一組人馬所為。</p> </div></div></div>
2025/10/6 23:04作者周峻佑https://www.ithome.com.tw/news/171541
AMD與OpenAI達成6GW運算供應合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/openai-amd-strategic-partnership/" target="_blank">OpenAI與AMD周一（10/6）宣布簽署</a>一項多年、多世代合作協議，AMD將提供總計6GW的Instinct GPU運算力來支援OpenAI新一代AI基礎設施，首批1GW部署預計2026年下半年啟動。根據<a href="https://ir.amd.com/financial-information/sec-filings/content/0001193125-25-230895/d28189d8k.htm?utm_source=chatgpt.com" target="_blank">AMD向美國SEC提交的8-K文件</a>，協議包括AMD向OpenAI發行最多1.6億股、行使價每股0.01美元的認股權證，將隨GPU採購進度、AMD股價表現及合作里程碑分批歸屬。當天AMD股價大漲23.71%，以203.71美元作收。</p> <p>根據協議，OpenAI將把AMD視為核心戰略運算夥伴，從Instinct MI450系列與機架級AI解決方案開始，推動AMD技術的大規模部署，並擴展至未來多代產品。雙方將共享技術專業、協同優化產品路線，深化自MI300X與MI350X以來的合作。此夥伴關係將促成超大規模AI部署，實現雙贏並推動整體AI生態。</p> <p>此外，AMD也將發行最多1.6億股的普通股認股權證予OpenAI，並在實現特定里程碑時分批歸屬，每股行使價為0.01美元。第一批股份會在交付首個1GW的AMD Instinct MI450系列GPU產品後歸屬，認股權證的歸屬還取決於特定股價目標的實現，且該目標在最後一批的股票表現門檻為600美元。</p> <p>市場估計，1.6億股約占AMD普通股發行量的10%。</p> <p>OpenAI共同創辦人暨執行長Sam Altman表示，此一合作是建立可實現AI全部潛力所需運算能力的重要一步，AMD在高性能晶片上的領導地位將使OpenAI可更快地把AI的好處帶給每個人。至於AMD執行長蘇丰姿亦說，該合作結合了雙方強項，將實現雙贏，共同推動全球最具規模及野心的AI基礎建設，促進整個AI生態的發展。</p> <p>身為AI領域的龍頭，迄今OpenAI已相繼與微軟、甲骨文（Oracle）、Nvidia及AMD建立密切合作關係，以擴大OpenAI的運算資源，其中，微軟為OpenAI的早期投資者，注資約130億美元，握有最高49%的利潤分配權；<a href="https://www.ithome.com.tw/news/170222" target="_blank">OpenAI則與甲骨文</a>簽署了4.5GW的資料中心合作協議，<a href="https://www.ithome.com.tw/news/171123" target="_blank">外傳OpenAI準備</a>在5年內向甲骨文購買價值高達3,000億美元的AI運算能力；Nvidia與OpenAI則將共同部署10GW的運算系統，為此，<a href="https://www.ithome.com.tw/news/171340" target="_blank">Nvidia亦將分階段投資OpenAI</a>，最高為1,000億美元。</p> <p>外界多半認為該合作強化了OpenAI於GPU供應上的備胎策略，使其不再完全依賴Nvidia，另一方面也賦予了AMD於AI晶片戰爭中翻身的機會。Nvidia周一股價下跌了1.11%，以185.54美元作收。</p> </div></div></div>
2025/10/7 11:06作者陳曉莉https://www.ithome.com.tw/news/171542
React 19.2導入部分預算繪，強化SSR串流改採批次顯示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>React開發團隊推出<a href="https://react.dev/blog/2025/10/01/react-19-2">React 19.2</a>，重點放在提升伺服端算繪與使用者回應速度，並調整開發體驗與偵錯工具。此次更新涵蓋React與React DOM，官方也已於NPM提供新版本。</p> <p>React 19.2最受關注的新功能部分預算繪（Partial Pre-rendering），其允許網站在真正送出頁面前，先把不常變的框架算好，放到CDN或先回傳給用戶端，之後再把需要即時計算或抓取資料的區塊接續補齊。對使用者而言，畫面更快成形，而對團隊而言，能把先顯示骨架後填上資料的流程標準化，降低手工拆分頁面的複雜度。</p> <p>現在串流算繪的顯示節奏也更貼近用戶端，以往在伺服端串流時，部分等待資料的區塊會一塊一塊地替換占位內容，而在19.2中改為短時間批次顯示，避免畫面連續跳動，對大型頁面的視覺穩定更友善，同時考量到核心網頁體驗指標，避免因節流而拖慢關鍵載入時間。</p> <p>React 19.2加入Activity元件，提供可見與隱藏兩種模式，當區塊處於隱藏模式時，畫面上看不到、相關效果會停用，更新也會延後，但狀態得以保留，也就是說，常被切換的頁籤、抽屜或次要路由，可以先在背景準備好，使用者切換時就不必重新載入與重新輸入。其同時改善返回上一頁的體驗，回來時DOM狀態仍存在。</p> <p>開發體驗也有幾項小而實用的變化，useEffectEvent可把由Effect觸發的事件邏輯與Effect本身分離，減少因無關的狀態變動導致不必要的重新連線或重算，相關的ESLint規則也已更新，協助避免誤用。而伺服端元件cacheSignal可在結果不再被快取使用時中止工作，避免浪費計算與網路資源。</p> <p>而偵錯與效能觀測方面，Chrome DevTools新增React專屬的效能追蹤工具（Performance Tracks），涵蓋Scheduler、Components與Server三類軌跡，呈現排程優先順序、元件算繪/Effect時間，以及伺服端請求與Server Components的等待與耗時。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/perf_tracks.png" style="width: 580px; height: 210px;" /></p> <p>React 基礎能力則補上Node對Web Streams的支援，包含算繪與預算繪的流程。不過官方仍建議在Node環境優先使用Node Streams，因其效能表現與壓縮支援較成熟。另有一項細節是useId的預設前綴改為_r_，以配合未來的轉場動畫與命名規範。</p> </div></div></div>
2025/10/6 22:38作者李建興https://www.ithome.com.tw/news/171539
Safari 26支援數位身分驗證API，讓網站可直接呼叫Apple Wallet身分證件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Safari 26現已<a href="https://webkit.org/blog/17431/online-identity-verification-with-the-digital-credentials-api/">支援</a><a href="https://www.w3.org/TR/digital-credentials/">W3C Digital Credentials API</a>，網站可於瀏覽器中直接向Apple Wallet與相容錢包請求行動身分證（mDocs）以完成線上驗證。該流程以標準化加密與簽章為基礎，透過一致的系統授權介面，減少影像上傳與人工比對的需求，提升驗證的一致性與可擴充性。</p> <p>Safari 26採用W3C Digital Credentials API作為JavaScript介面，請求與回應遵循ISO/IEC 18013-5與18013-7定義的mDocs格式，並可在跨裝置情境搭配FIDO CTAP運作。對一般使用者而言，體驗是按下網站上的驗證身分按鈕後，系統顯示資料請求內容與網站識別，使用者以生物辨識或密碼授權，同意後才將經端到端加密處理的資料回傳給網站。流程內建資料最小化、簽章防偽與裝置綁定機制，以抑制偽造、竄改與重播攻擊。</p> <p>iPhone使用者可直接在Safari中完成身分證件選擇與授權，要是使用Mac或iPad，系統會引導使用者在同一Apple ID登入的iPhone上確認身分，再將授權結果安全回傳。至於非Apple平臺，瀏覽器會顯示QR Code，使用者可用iPhone相機掃描後在手機端審查並同意。無論哪種方式，整體流程皆維持一致的授權介面與端到端加密機制，確保網站接收到的都是格式與安全層級相同的加密回應，避免不同平臺各自實作而產生的不一致性。</p> <p>新版的身分驗證機制，讓網站能直接請求系統確認使用者的真實身分，過程中不需要再上傳證件影本。網站後端需先準備一份請求並簽章，前端在使用者同意後啟動驗證，取得系統產生的加密證明，回傳給伺服端完成確認。要是瀏覽器不支援、使用者拒絕或驗證失敗，網站也能自動切換回原本的身分驗證流程，確保服務不中斷。</p> <p>網站需具備管理金鑰與憑證的能力，並清楚說明資料的用途與保存方式，同時介面設計應讓使用者明確了解哪些資料會被請求，避免因疑慮而放棄操作。該機制提高驗證過程的隱私與安全，除了Safari 26開始支援，Android版Chrome 128也在9月<a href="https://developer.chrome.com/blog/digital-credentials-api-origin-trial">提供</a>來源試用（Origin Trial），並計畫支援桌面Chrome。</p> </div></div></div>
2025/10/6 18:22作者李建興https://www.ithome.com.tw/news/171538
研究顯示去年有24%的企業英文新聞稿內容由AI產出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cell.com/patterns/fulltext/S2666-3899(25)00214-4" target="_blank">Cell Press期刊《Patterns》上周刊登一份研究報告</a>，指出大型語言模型（LLM）已被廣泛應用於正式書面溝通，包括企業新聞稿、消費者投訴、聯合國新聞稿，以及職缺公告中。</p> <p>來自史丹福大學的研究人員分析了68.7萬筆的消費者投訴、53.7萬則的企業新聞稿，3.04億個職缺，以及1.6萬則的聯合國新聞稿，發現有24%的企業新聞稿內容、18%的消費者投訴內容、14%聯合國新聞稿內容，以及接近10%的職缺內容呈現出由LLM生成或大幅改寫的特徵。其中，研究中所分析的企業新聞稿主要來自於Newswire、PRWeb及PRNewswire等企業新聞稿的知名發布平臺。</p> <p>該研究顯示出LLM已滲透至社會各層面的書面正式溝通，成為人們日常撰寫的重要輔助工具，特別是在教育程度較低的地區，使用AI撰寫投訴的比例達到19.9%，明顯高於教育程度較高地區之17.4%。在張貼職缺部分，小型或新創企業更傾向以LLM撰寫，有10%~15%的內容呈現由AI生成或改寫的特徵。</p> <p>該團隊採用一套名為分布式LLM量化框架（Distributional LLM Quantification Framework）的統計方法，從整體語料的語言特徵分布來估算某段期間中有多少文字具備LLM特徵，惟僅聚焦於英文內容。因此，上述數據反映的是整體文字中具AI特徵的比例，而不代表整篇文章是由AI撰寫，也無法代表其它語言。</p> <p>研究人員也認為，隨著生成式AI技術不斷精進，文風愈來愈像真正的人類，未來要精準辨識AI的參與程度將更具挑戰。</p> </div></div></div>
2025/10/6 15:50作者陳曉莉https://www.ithome.com.tw/news/171537
Databricks公開可讓代理型AI運作效能提升100倍的Mooncake技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/@pratcp/mooncakes-lakehouses-and-the-next-frontier-of-ai-804a25f65908" target="_blank">Databricks上周公布了資料整合技術Mooncake</a>，號稱可讓代理型AI運作效能提升100倍。</p> <p>這是Databricks 9月底收購一家AI新創公司Mooncake Labs的結果。Mooncake Labs是以Apache Iceberg開發解決方案。</p> <p>Databricks說明Moonkcake技術能大幅提升AI運算的效能。OLTP（Online Transaction Processing）是為用於擷取訂單、支付和登入等「寫入」應用，講求快速插入和更新，但並不適於分析。OLAP（Online Analytics Processing）則是用於報表、儀表板和模型的「讀取」應用。在這些應用中，資料被集結、查詢和摘要，但是是事後進行，而不會及時執行。</p> <p>過去OLTP和OLAP任務要靠ETL管線（pipeline）將歷史資料從交易型系統擷取出來、轉換，再倒入分析型資料倉儲中。這種技術在一些非同步作業中，如季報甚至每日作業都可行。但是在代理型AI中，自主系統被訓練成在幾秒內就要完成接收資料、決策和行動，任何時間延遲都不容許。</p> <p>而Mooncake Labs的技術正是為了縮小時間差。該方案是在Apache Iceberg的開放表格格式上緊密整合儲存、索引及運算打造而成，其運算不再基於管線和時間差區分成交易和分析。而結果是使代理型AI作業速度提高100倍，成為一種回饋循環，支援自主應用，包括詐欺偵測、供應鏈串接到生成式AI代理人。</p> <p>Databricks表示，該公司一直以來力圖將湖濱小屋（lakehouse）建置為資料和AI的整合基礎架構，其收購也是依此藍圖。MosaicML是為了生成式AI訓練而收購，Arcion是為了即時資料管線，都是為了打破資料壁壘。MosaicML強化了Databricks訓練和部署基礎模型的體格，Mooncake則是給了它心跳：即時、交易資料狀態，但又可立即分析。5月間，<a href="https://www.ithome.com.tw/news/168961" target="_blank">Databricks還另外買下</a>無伺服器的Postgres平臺供應商Neon，可提供客戶建置AI代理人。</p> </div></div></div>
2025/10/6 13:27作者林妍溱https://www.ithome.com.tw/news/171534
今年已有超過5成的創投資金流向AI產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國專門提供私募與創投數據的<a href="https://pitchbook.com/news/reports/q3-2025-quantitative-perspectives-a-fork-in-the-road" target="_blank">PitchBook於近日出版的報告中指出</a>，截至今年第三季，全球有22.3%的新創踩進了AI產業，卻吸引了55.2%的創投資金，同時這些AI新創占了總估值的43.5%。</p> <p>PitchBook資深創投記者<a href="https://pitchbook.com/news/articles/investors-are-plowing-more-money-into-ai-startups-than-they-have-in-any-other-hype-cycle" target="_blank">Michael Bodley指出</a>，AI正以前所未有的速度主導整個創投市場，讓幾年前曾炒作過的加密貨幣與行動技術等領域相形見絀。</p> <p>在2024年第三季時，AI領域占了當年所有創投資金的40.3%，2025年第三季則占了今年總創投資金的55.2%。相較之下，金融科技在2022年的高峰也只占總創投資金的17.1%，同年的加密貨幣高峰亦僅吸引6.9%的資金，而自駕車的投資高峰出現在2017年第一季，占了當時創投資金的15.1%。</p> <p>對外，AI吸引了超過5成的資金，對內的資金也明顯分化，例如橫向平臺（Horizontal Platform）贏走了68.5%的資金，包括OpenAI或Anthropic等專門提供通用AI技術的底層平臺。</p> <p>PitchBook還發現，市場對於AI新創的後期融資估值也出現明顯的溢價，例如在D輪以上的融資活動中，AI新創在融資前的市場估值已達到非AI公司的3倍，這提高了投資人的進場成本，也意謂著未來必須透過更高規格的退出機制才能獲得可觀的報酬。</p> </div></div></div>
2025/10/6 14:12作者陳曉莉https://www.ithome.com.tw/news/171536
微軟開始釋出Windows 11 25H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2025/09/30/how-to-get-the-windows-11-2025-update/" target="_blank">微軟本周釋出Windows 11最新更新版25H2</a>，加入漏洞修補程式，並移除舊版PowerShell 2.0及不安全的WMIC指令工具。</p> <p>Windows 11 25H2將以啟用套件（Enablement Package，eKB）形式提供。這表示它所有功能基本上和24H2相同。簡單而言，為了減少每次Windows 更新對PC運作的影響，微軟透過讓新、舊版更新使用共享codebase和服務分支(service branching)。以25H2而言，新功能已經在24H2部署時安裝在用戶PC上，只是未啟用。在更新25H2時，只要下載一個極小的啟用套件，只需做「切換／啟用旗標（feature flags）」即可把原本靜態存在但關閉的功能打開，這樣一來就不需要重新複製整個系統或大範圍更新檔案，重開機一次即可完成升級，省下許多時間，也不影響系統穩定運作。</p> <p>Windows 11 25H2包含強化的組建和執行時（build and runtime）漏洞偵測，加上AI輔助安全編程功能，二個功能是為了符合微軟安全開發生命周期（security development lifecycle, SDL）政策和需求。此外，25H2移除了舊式功能包括PowerShell 2.0和Windows 管理規範指令行（Windows Management Instrumentation command-line，WMIC）工具，因此也會比24H2更輕盈。</p> <p><a href="https://windowsreport.com/microsoft-confirms-wmic-removal-in-windows-11-25h2-to-boost-security-and-block-malware/?utm_source=chatgpt.com" target="_blank">基於安全問題</a>，微軟已在24年初時宣佈預設停用WIMC這項工具，並在新版24H2預設移除（但提供用戶自行安裝的選項）。不過25H2版本仍然包含WMI。<a href="https://support.microsoft.com/en-us/topic/windows-management-instrumentation-command-line-wmic-removal-from-windows-e9e83c7f-4992-477f-ba1d-96f694b8665d" target="_blank">微軟建議用戶使用</a>最新版PowerShell及其他工具來取代WMIC。</p> <p>微軟已從即日起逐步將25H2推向到執行Windows 11 24H2的PC上，但用戶需啟用「獲得最新版本更新」的滑鈕。一旦微軟下載過程偵測到有應用或驅動程式不相容的情形，就會暫停更新執行問題解決。微軟預定未來幾個月內會逐步擴大部署範疇，並透過<a href="https://windowsreport.com/microsoft-confirms-wmic-removal-in-windows-11-25h2-to-boost-security-and-block-malware/" target="_blank">Windows 版本健康情況</a>提供最新資訊。</p> <p>針對企業和教學機構，25H2將可透過Windows Autopatch和Microsoft 365 管理員中心部署。微軟建議企業開始規劃應用、裝置和基礎架構的更新前驗證，確保運作穩定。</p> <p>25H2的商業功能還包括Wi-Fi 7支援、以及允許管理員以Intune或群組政策移除預設列管裝置上的Microsoft Store 應用程式。</p> <p>對Home 及Pro版用戶，Windows 11 25H2提供24個月支援，對Enterprise 和Education版則提供36個月支援。</p> </div></div></div>
2025/10/6 12:23作者林妍溱https://www.ithome.com.tw/news/171532
汽車製造商雷諾、Dacia英國分公司遭網路攻擊，客戶個資外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國車廠雷諾（Renault）及旗下Dacia的英國分公司日前發生網路攻擊，導致儲存在第三方系統內的客戶姓名及車輛資料外洩。</p> <p><a href="https://pbs.twimg.com/media/G2SV1rEbYAAPByh?format=jpg&name=large" target="_blank">雷諾</a>及<a href="https://www.reddit.com/r/SmashingSecurity/comments/1nwqzuc/dacia_cyber_attack/" target="_blank">Dacia</a>上周分別寄發郵件通知客戶此事。此次攻擊事件讓駭客從兩家業者的英國分公司使用的第三方系統，竊走英國車主的個人資料。</p> <p>外洩的資料包括姓名、性別、電子郵件信箱、電話號碼、郵寄地址、車牌號碼（vehicle registration number）及車輛識別號（vehicle identification number）。不過兩家車廠說，客戶的財務資料如銀行帳戶資料未受影響。</p> <p>二家車廠表示，第三方廠商說明這次攻擊是獨立事件，已經平息及移除，二方也正在合作採取所有必要措施。車廠也已通知相關主管機關。</p> <p>二家車廠並未說明被竊取資料的第三方系統為何。</p> <p>這是近來外洩客戶資料的最新一家英國公司。上周<a href="https://www.ithome.com.tw/news/171418" target="_blank">英國哈洛德百貨（Harrods）</a>也通知主管機關及客戶其使用的第三方系統遭駭，導致43萬筆客戶個資外流，而且也接獲勒贖聯繫，但表示不會和駭客交易。</p> <p>此外，英國另一家車廠Jaguar Land Rover 9月初遭到的網路攻擊，甚至導致二家位於英國的工廠被迫停擺，至今無法回復生產。媒體估計停工一星期將造成該公司6800萬英鎊的損失。<a href="https://www.ithome.com.tw/news/171431" target="_blank">英國政府上周宣佈</a>提供15億英鎊的貸款擔保協助供應鏈度過難關。</p> </div></div></div>
2025/10/6 12:29作者林妍溱https://www.ithome.com.tw/news/171533
開發企業級AI代理更容易，微軟開源Agent Framework串起工具與流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟開源<a href="https://devblogs.microsoft.com/foundry/introducing-microsoft-agent-framework-the-open-source-engine-for-agentic-ai-apps/">Microsoft Agent Framework</a>，讓開發者能以更一致的方式建構與部署多代理（Multi-agent）系統。該框架將Semantic Kernel的企業級基礎，與AutoGen的多代理調度能力整合至執行環境中，提供從人工智慧代理原型開發至生產部署的完整流程。目前框架已進入公開預覽階段，支援MCP、A2A與OpenAPI互通，並適用於Python與.NET程式語言。</p> <p>Microsoft Agent Framework的設計重點在於簡化代理系統的開發與管理。過去開源專案之間的抽象層差異大、API也不一致，使得開發者在本地測試與雲端部署間常存在整合困難。Agent Framework藉由統一的架構與開放標準，試圖解決這些落差，同時強化企業落地時必備的安全與治理機制。</p> <p>框架支援MCP（Model Context Protocol）、A2A（Agent-to-Agent）與OpenAPI三種互通方式，使得代理能在不同環境間協作，或直接整合既有REST API作為可呼叫的工具。開發者可在地端、容器化或多雲環境中執行代理，並在Azure AI Foundry託管與進行安全控管。</p> <p>微軟強調，Agent Framework的特色之一是企業就緒。框架內建OpenTelemetry觀測能力，可追蹤每次工具呼叫與流程步驟，且同時具備長任務耐久機制，能在中斷後自動恢復運作。系統也支援人為核准（Human-in-the-loop），讓需要人工審核的任務能在介面或佇列中待准許後再繼續執行。此外，框架可直接與GitHub Actions與Azure DevOps整合，支援CI/CD流程與異常追蹤，方便企業在部署後持續監控營運狀態。</p> <p>微軟同步更新VS Code AI Toolkit開發工具，讓開發者能在本地環境中建立、執行並視覺化多代理工作流程，降低開發門檻並加速迭代。開發者可以使用相同的代理程式碼於本地測試，並無縫搬遷至Azure AI Foundry託管環境，保留完整的觀測、法遵與安全設定。</p> <p>Microsoft Agent Framework接續了AutoGen的研究成果，支援多種調度模式，如序列、並行、交接與Magentic等動態任務協調。這些原本在研究階段的實驗性模式，現在能以企業級耐久性運作。微軟也提供實驗性擴充套件，讓開發者可提前試用仍在孵化中的功能，並在成熟後自動納入正式版本。</p> <p>微軟已與多家企業合作測試此框架，應用場景涵蓋稽核自動化、客服支援、車輛遙測分析與企業人工智慧整合。部分用例顯示，Agent Framework可減少系統間膠水程式碼（Glue Code）的撰寫量，並提升代理系統的可維運性。</p> <p>對使用Semantic Kernel或AutoGen的開發者，微軟提供直接的搬遷方法，並表示兩個既有專案仍將維持支援，但未來主要研發投資將集中於Agent Framework。</p> </div></div></div>
2025/10/6 12:53作者李建興https://www.ithome.com.tw/news/171531
OpenText出售非核心資產eDOCS以減輕債務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大企業資訊管理公司<a href="https://investors.opentext.com/press-releases/press-releases-details/2025/OpenText-to-Strategically-Divest-Non-Core-Unit-for-US163-Million/default.aspx" target="_blank">Open Text Corporation（OpenText）上周四（10/2）宣布</a>，將以1.63億美元的現金將Analytics業務中的本地解決方案eDOCS出售給美國雲端文件暨內容管理平臺供應商NetDocuments，以減少其未償債務。雙方預計於2026年初完成交易。</p> <p>OpenText的債務壓力始於2022年的Micro Focus併購案。當時OpenText舉債以60億美元的現金買下該英國企業軟體公司，成為OpenText史上最大併購案。</p> <p>Micro Focus主要替大型企業提供企業級應用軟體與現代化解決方案，特別是舊系統的現代化管理。市場分析指出，OpenText企圖透過該交易擴大企業軟體及資訊管理的市場版圖，但財務壓力也同步上升，令OpenText的淨負債暴增至90億美元，利息支出大增且壓縮自由現金流。</p> <p>不過，先是OpenText財務長Chadwick Westlake在今年8月初離職，接著<a href="https://investors.opentext.com/press-releases/press-releases-details/2025/OpenText-Announces-Leadership-Transition/default.aspx" target="_blank">OpenText在今年8月</a>全面解除任職近14年的執行長兼技術長Mark Barrenechea職務，由國際銷售執行副總裁James McGourlay暫代執行長一職。OpenText已於今年10月正式任命前BlackBerry財務長Steve Rai擔任該公司財務長，並仍在尋覓永久執行長。</p> <p>OpenText表示，eDOCS主要用來自動化法律專業人士的工具，在截至今年6月30日的財政年度貢獻了約3,000萬美元的營收，此一剝離將讓該公司可專注於發展基於AI的安全資訊管理核心業務，未來將繼續尋找調整產品組合的機會，以將非核心資產合理化（Rationalize）。</p> <p>在截至今年6月30日的<a href="https://www.prnewswire.com/news-releases/opentext-reports-fourth-quarter-and-fiscal-year-2025-financial-results-302524755.html?utm_source=chatgpt.com" target="_blank">2025財年第4季財報中</a>，OpenText創下了13.1億美元的營收，下滑3.8%，淨收入為2,900萬美元，下滑88.4%。</p> </div></div></div>
2025/10/6 13:09作者陳曉莉https://www.ithome.com.tw/news/171535
效能增1倍，支援MACsec與PTP，HPE新款分散式服務交換器上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_10040_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料處理器（DPU）這類IT基礎架構加速產品登場以來，絕大多數狀況均用於硬體伺服器的搭配，HPE在2021年下半首開先例，發表採用Pensando DPU的分散式服務交換器<a href="https://www.ithome.com.tw/review/147554">CX 10000</a>，<a href="https://www.hpe.com/cn/zh/product-catalog/networking/networking-switches/pip.specifications.fixed-port-l3-managed-ethernet-switches.1014556798.html">搭配2個Pensando Elba DPU</a>。</p> <p>去年6月，思科發表該公司首款搭配Pensando DPU的服務加速交換器，搭配8個Pensando Elba DPU，機型名稱為8102-28FH-DPU-O。到了今年，思科在2月發表<a href="https://www.ithome.com.tw/review/167957">智慧型交換器N9300系列</a>，N9324C-SE1U搭配4個Pensando Elba DPU，N9348Y2C6D-SE1U搭配2個Pensando Giglio DPU；5月底HPE終於推出新款機型CX 10040，是基於CX 10000而發展出來的產品，規模擴充性與處理能力均提高1倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TFD-CX10040-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TFD-CX10040-1.jpg" style="width: 600px;" /></a></p> <p>這臺設備採用2U尺寸機箱，CX 10000則是1U；網路介面的部分，CX 10040搭配32個100 GbE網路埠，以及6個400 GbE網路埠，CX 10000是48個25 GbE網路埠與6個100 GbE網路埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Product Tour1-CX10040-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Product%20Tour1-CX10040-1.jpg" style="width: 600px;" /></a></p> <p>就網路交換容量而言，CX 10040為8 Tbps，CX 10000是3.2 Tbps，其中一項原因應該是網路交換器晶片升級，根據科技媒體<a href="https://www.nextplatform.com/2025/05/28/with-dpu-goosed-switches-hpe-tackles-vmware-security-and-hpc-and-ai/">The Next Platform的報導</a>，CX 10040搭配Broadcom的<a href="https://www.broadcom.com/products/ethernet-connectivity/switching/strataxgs/bcm56780">StrataXGS Trident4-X9</a>，CX 10000是<a href="https://www.broadcom.com/products/ethernet-connectivity/switching/strataxgs/bcm56870-series">StrataXGS Trident3-X7</a>，頻寬為3.2 Tbps。</p> <p>而且，它採用4顆Pensando Elba DPU晶片，CX 10000搭配兩顆。內建高效能的網路防火牆（L4 狀態檢測性能可達1.6 Tbps）、線上加密（MACsec可達4.8 Tbps，CX 10000不支援MACsec），並且提供精確時間協定邊界時鐘（PTP Boundary Clock）硬體層級的支援，能替數位基礎架構提供精準的遙測機制，整體而言，具有更強大的資安防護能力與可觀測性，適合電信業者或服務供應商部署。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-08-1752703221156-web.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/CX10040-PTP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX10040-PTP.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Product Tour1-CX10040-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Product%20Tour1-CX10040-2.jpg" style="width: 298px;" /></a></p> <p>作業系統的部分，每臺CX系列交換器內含作業系統AOS-CX（HPE Aruba Networking CX Switch Operating System），提供多種功能，像是L2交換、L3服務與路由、交換器堆疊、IP群播、特定網路應用服務的連線品質確保（QoS），以及動態網路分段、網路安全防護（防火牆、DDoS攻擊防護）、HPE CX交換器搭配的網路分析引擎（NAE），可管理多臺AOS-CX網路交換器組態的軟體Switch Multi-Edit Software，而且可搭配軟體定義的交織網路調度指揮解決方案Fabric Composer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TFD-CX10040-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TFD-CX10040-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TFD-CX10040-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TFD-CX10040-2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE Aruba Networking CX 10040</strong></span><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●網路介面：32埠100 GbE（QSFP28）+ 6埠400GbE（QSFP-DD）<br /> ●機箱尺寸：2U<br /> ●網路交換容量：8 Tbps<br /> ●交換器與DPU晶片：BroadcomTrident4-X9 / BCM56780、4顆Pensando DPU<br /> ●系統運算資源：AMD Ryzen Embedded V3C48（8核心16個執行緒，3.8 GHz）、64 GB記憶體（32 GB x2 SODIMM）、128 GB M.2 SSD、16 MB SPI Flash<br /> ●封包緩衝記憶體：82 MB</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/10/6 13:10作者李宗翰https://www.ithome.com.tw/review/171528
Google程式開發代理Jules新增命令列介面與Jules API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://blog.google/technology/google-labs/jules-tools-jules-api/">發布</a>Jules Tools，替非同步程式開發代理Jules提供輕量命令列介面，並同步開放Jules API早期使用。此更新把原以瀏覽器為主的互動帶入終端機並拓展至自動化情境，讓開發者在本機工作流啟動與監看任務、調整偏好，並以一致介面接入既有腳本與CI/CD。</p> <p>Jules是能理解專案脈絡並直接連結儲存庫的非同步代理，當使用者下達任務時，系統會臨時啟動遠端虛擬機器執行工作，包含撰寫測試、實作新功能、修正錯誤、更新相依套件與產出語音變更紀錄，完成後以拉取請求回傳成果。Jules不會自行啟動新任務，所有動作皆由指令觸發，符合多數團隊對可控與可審查流程的要求。</p> <p>Jules Tools作為輕量CLI，常見用法如檢視遠端任務列表，或切換終端機介面主題等。整體設計偏向可組合、可腳本化，方便納入既有工具鏈，而非另起一套獨立流程。</p> <p>由於Jules Tools支援腳本化操作，可以與開發者平常使用的指令列工具搭配。換句話說，開發者不必改變原有的工作方式，就能把Jules融入日常流程，例如專案中有一分代辦清單，可以透過幾行指令，把其中的工作逐一交給Jules處理，要是開發團隊使用GitHub管理議題（Issue），也能直接把議題內容轉交給Jules，讓Jules在雲端短時虛擬機器執行並生成程式碼，甚至還能先用其他分析工具篩選出比較複雜的任務，再交由Jules接手。</p> <p>除了輸入文字操作之外，Jules Tools還提供一種互動式介面TUI，開發者可以在終端機中以圖形化的方式瀏覽與管理任務，或透過引導流程逐步建立新任務。TUI開發者不需要記住複雜的操作步驟，就能直覺地查看進度與控制代理人，使用體驗接近網頁介面，但速度更快，也更貼近日常的工作習慣。</p> <p>除了命令列介面外，Google同步開放了Jules API的早期版本，讓開發者能將代理人直接嵌入自己的系統與工作流程。API的主要作用，是把Jules從單一的對話或終端機互動，擴展到更廣泛的自動化情境中。</p> <p>透過Jules API，開發者可以設定在不同事件發生時自動觸發任務，例如在Slack中有新臭蟲回報時，自動請Jules展開調查或建立修補工作，也可以將Jules連結到CI/CD流程，讓Jules在程式碼送交、測試或部署階段介入，減少人工操作。</p> </div></div></div>
2025/10/6 10:54作者李建興https://www.ithome.com.tw/news/171525
【資安週報】0930~1003，LockBit 5.0捲土重來，不只針對Windows與Linux，更首度打造針對VM…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在教師節連假後的2025年10月第一星期，有兩則新聞值得特別關注，涵蓋勒索軟體與國家級駭客動向的消息，此外，還有漏洞攻擊與資安事故的消息，占據了大量新聞版面。</p> <p>首先，勒索軟體LockBit 5.0的東山再起備受矚目，因為該組織過去幾年多次造成嚴重危害，趨勢科技指出如今該組織更是首度打造專門針對VMware虛擬化平臺ESXi版的惡意軟體。</p> <p>關於最新國家級威脅揭露上，資安業者Palo Alto Networks指出，他們兩年前追蹤的駭客組織，已確認是中國政府資助，並將該組織命名為Phantom Taurus，同時也揭露此組織近來運用新的惡意軟體套件NET-Star，是專門鎖定IIS網頁伺服器而來。</p> <p>在漏洞利用攻擊方面，有3起零時差漏洞攻擊發生，涵蓋VMware、GoAnywhere等產品，還有Sudo已知漏洞利用被鎖定攻擊的情況，由於許多主流Linux桌面發行版預設安裝Sudo，格外引發重視。</p> <p>●攻擊者鎖定Sudo團隊6月修補的重大漏洞CVE-2025-32463發動攻擊，攻擊者身分未知，資安部落格NullSecurityX進一步說明發生該漏洞的根本原因。<br /> ●Broadcom修補VMware Tools與Aria Operations的漏洞CVE-2025-41244，通報者Nviso指出中國駭客UNC5174一年就用於零時差漏洞攻擊，不確定是無意間觸發還是已掌握。<br /> ●攻擊者針對Fortra GoAnywhere MFT發動零時差漏洞攻擊，目標是CVE-2025-10035，據watchTowr研究人員說明，在漏洞修補公布前8天就有漏洞利用跡象。<br /> ●義大利郵件安全廠商產品遭鎖定，攻擊者針對Libraesva Email Security Gateway發動零時差漏洞攻擊，該漏洞登記為CVE-2025-59689，Libraesva研判國家資助駭客組織所為。<br /> ●美CISA將1個老舊漏洞列入已知漏洞利用清單，指出有攻擊者鎖定PHP資料庫管理工具Adminer的漏洞CVE-2021-21311發動攻擊。</p> <p>另一項需留意的漏洞消息是，首度有人形機器人與機器狗的漏洞公開，科技與工程新聞網站IEEE Spectrum指出，中國宇樹科技（Unitree）機器人平臺的BLE與Wi-Fi無線通訊介面有重大漏洞，發現的資安研究人員在5月通報該廠商，至今仍未修補於是公開揭露。</p> <p>在資安事故方面，有兩起網路攻擊造成生產停擺，其中英國車廠更是因為出現斷鏈危機而成焦點，另有兩起事件是因供應商遭駭導致。</p> <p>●英國車廠Jaguar Land Rover（JLR）遭網路攻擊一個月，兩座工廠未恢復運作，讓JLR供應商陷入斷鏈風險，引發英國政府罕見出手，替其貸款提供擔保。<br /> ●日本啤酒生產商Asahi遭網路攻擊，導致日本生產基地因系統無法運作，造成接單、出貨與客服系統均受影響。<br /> ●西捷航空6月遭駭客攻擊，經三個月調查，證實120萬旅客護照等資料外流。<br /> ●Volvo集團北美員工個資遭外流，原因是第三方人資廠商Miljödata遭勒索攻擊，瑞典亦有多家企業受此事件影響。<br /> ●英國哈洛德百貨的客戶個資遭竊，表示是因第三方IT系統供應商遭入侵而連累。<br /> ●Red Hat證實發生資料外洩事故，主要是該公司一個GitLab執行個體（instance）受影響，而該系統主要是顧問團隊用於諮詢互動。</p> <p>此外，國內傳出中央廣播電臺網站首頁橫幅被置換的狀況，檢警偵辦查出是內部員工所為，而該員工則在工會留言板表達不滿，聲稱央廣打壓揭弊者，相關情況有待進一步釐清。</p> <p>在資安防禦動向上，臺灣有一則重要消息，是資安院於今年新推出《資安週報》後，首度對外公開闡釋其架構與規畫。其內容涵蓋6大層面，從政府、關鍵CI與民間資安事故，到聯防監控、蜜罐誘捕、政府機關外部曝險分析的資訊，以及詐騙威脅分析，提供公私部門資安戰情應用。</p> <p>國際間則有重要法規消息，加州簽署《前沿人工智慧透明度法案》（TFAIA，Senate Bill 53），成為全美首個要求AI公司揭露安全測試的州別。</p> <p>另外，還有一則引發熱議的消息是，針對EDR偵測能力評比的年度評估計畫MITRE ATT&CK Evaluations，自2018年吸引多家資安業者陸續參與，如今風向似乎有了轉變，先是微軟6月於官方部落格宣布今年不參加，表示要將資源放在其推動的安全未來倡議，如今9月下旬再傳Palo Alto Networks、SentinelOne今年也不參加，引發外界質疑測試機制失焦等討論。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171444"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月30日】中國宇樹AI機器人存在資安漏洞UniPwn</span></strong></a></h3> <p>8月底臺北市政府打算引進中國宇樹科技（Unitree）製造的巡檢機器狗，引發許多資安爭議，由於這種具備感知、決策、行動能力的具身AI機器人及機器狗，在全球已有許多國家導入使用的情況，相關資安議題隨之浮出檯面，我們也以此製作封面故事（上、下）進行探討。</p> <p>9月下旬有研究人員公布該廠牌AI機器人的資安漏洞UniPwn，由於該廠牌機器人曾被揭露存在未被公開的後門，此事受到許多大眾媒體的關注。另一項資安漏洞ForcedLeak的揭露，也引起許多目光，原因是這項漏洞出現在CRM系統Salesforce的AI代理平臺Agentforce上，一旦遭到利用，就有可能將CRM系統存放的機敏資料外流，由於日前有許多知名企業資料外洩事故與此CRM系統有關，因此相關弱點的揭露，格外受到矚目。</p> <p><a href="https://www.ithome.com.tw/news/171463"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月1日】中國駭客Phantom Taurus鎖定外交官、大使館從事網路間諜活動</span></strong></a></p> <p>近期中國APT駭客的活動頻頻出現在資安新聞版面，但有個較為特別的現象，就是有資安業者確認原本長期追蹤的駭客組織，竟是中國政府在背後撐腰的APT駭客。繼上週資安業者Recorded Future揭露名為RedNovember的駭客組織，本週資安業者Palo Alto Networks也公布另一組APT駭客Phantom Taurus，並指出他們追蹤兩年多以來，今年手法出現大幅變化。</p> <p>另一個與中國駭客有關的消息，是VMware修補Aria Operations、VMware Tools權限提升漏洞CVE-2025-41244，通報此事的資安業者Nviso透露，中國駭客UNC5174從一年前就將其用於攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/171480"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月2日】Red Hat、Google修補AI平臺的資安漏洞</span></strong></a></h3> <p>本週資安事故頻傳，知名汽車製造商、啤酒製造商、零售業者出現遭駭的情況，然而資安漏洞揭露的消息也相當值得留意，其中有兩個與人工智慧平臺相關而特別受到矚目。一個是Red Hat公告的OpenShift AI資安漏洞CVE-2025-10725，攻擊者在具備基本權限的情況下就有機會奪下完整的叢集管理員權限；另一項消息是Gemini有3項元件的漏洞可被串連，攻擊者能以此竊取敏感資料。</p> <p>另外一項漏洞串連的消息，也相當引人注意，先前Meta透露蘋果修補的ImageIO資安漏洞CVE-2025-43300、WhatsApp零點擊漏洞CVE-2025-55177被串連，用於非常複雜的攻擊，最近有資安研究團隊透過影片，透露兩者如何串連。</p> <h3><a href="https://www.ithome.com.tw/news/171504"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月3日】Red Hat傳出資料外洩事故</span></strong></a></h3> <p>才修補完AI平臺的9.9分資安漏洞引起高度關注的Red Hat，現在又再度出現在資安新聞版面，根據資安新聞網站Bleeping Computer的報導，有駭客組織聲稱竊得近570 GB的內部資料，並強調內容與Red Hat客戶的網路環境組態資料有關，他們甚至以此用來入侵該公司的下游客戶。但實際影響為何，有待進一步釐清。</p> <p>本週勒索軟體LockBit消息也相當值得關注，先前這些駭客在9月初放出風聲，表示他們將推出大幅改版的勒索軟體，如今資安業者趨勢科技取得相關檔案，並指出駭客這次正式對VMware虛擬化平臺開發專屬加密工具。</p> <p> </p> </div></div></div>
2025/10/5 22:20作者羅正漢https://www.ithome.com.tw/news/171507
勒索軟體駭客Clop聲稱從多家公司的Oracle E-Business Suite系統竊得資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前幾年先後針對<a href="https://www.ithome.com.tw/tags/accellion">Accellion</a>、<a href="https://www.ithome.com.tw/tags/goanywhere">GoAnywhwere</a>、<a href="https://www.ithome.com.tw/tags/moveit">MOVEit</a>、<a href="https://www.ithome.com.tw/tags/cleo">Cleo</a>等多款MFT檔案共享系統的勒索軟體駭客<a href="https://www.ithome.com.tw/tags/clop">Clop</a>，最近傳出再度犯案的情況，Google威脅情報團隊（GTIG）與資安業者Mandiant已介入調查，傳出這次駭客鎖定的標的，是Oracle旗下的應用系統。</p> <p>這項消息最早是<a href="https://www.reuters.com/business/google-says-hackers-are-sending-extortion-emails-executives-2025-10-02/">路透社報導</a>揭露，Google掌握有駭客正在向多家公司的高階主管發送電子郵件進行勒索，聲稱從Oracle商業應用程式E-Business Suite（EBS）竊得敏感資料。而對於攻擊者的身分，Google透露是勒索軟體駭客Clop的附屬團體（Affiliation），而且電子郵件活動的數量相當多，但除此之外，該公司拒絕透露其他細節，並強調他們目前沒有足夠的證據來佐證這些說法的真實性。</p> <p>資安業者Halcyon勒索軟體研究中心首長Cynthia Kaiser表示，他們看到的勒索金額從數百萬美元至數千萬美元不等，最高金額為5千萬美元。對於攻擊者的身分，Cynthia Kaiser認為根據初期發現的跡象，很有可能與Clop有關，但與該組織的關聯仍不明朗。</p> <p>後續科技新聞網站<a href="https://www.bleepingcomputer.com/news/security/clop-extortion-emails-claim-theft-of-oracle-e-business-suite-data/">Bleeping Computer</a>、<a href="https://techcrunch.com/2025/10/02/hackers-are-sending-extortion-emails-to-executives-after-claiming-oracle-apps-data-breach/">TechCrunch</a>跟進報導，揭露更多資訊。兩家媒體均引述Google網路犯罪分析首長Genevieve Stark說法表示，駭客聲稱從9月29日開始向高階主管寄信，但Google尚未證實駭客的說法是否屬實。這些信件從數百個被入侵的帳號寄出，其中一個是勒索軟體駭客組織FIN11（Clop）持有的帳號。</p> <p>Google事件回應單位Mandiant的技術長Charles Carmakal也對上述媒體透露，寄給高階主管的惡意郵件內含Clop資料外洩網站列出的聯繫管道，駭客藉此向受害企業組織施壓，要求付款換取移除被竊的檔案。</p> <p>Bleeping Computer的報導當中，還特別公開他們取得的勒索信內容。寄信人聲稱來自Clop團隊，表示他們入侵收信人所屬組織的Oracle E-Business Suite應用程式，複製了一大堆文件，所有的內部資料和其他資訊目前都存放在他們的系統。而且，這家資安新聞網站確認信中列出的電子郵件信箱，與Clop設置的資料外洩網站公布的資料相同。</p> <p>Charles Carmakal認為，雖然這些手法與Clop先前的活動相當類似，但他們沒有足夠的證據確定駭客竊得相關資料。</p> <p>Clop後續向Bleeping Computer透露是他們所為，但不願透露其他細節，僅表示Oracle的核心產品再度出現錯誤，很快就會真相大白。</p> <p>10月3日Oracle<a href="https://blogs.oracle.com/security/post/apply-july-2025-cpu">透過部落格提出警告</a>，他們得知有部分Oracle E-Business Suite客戶收到勒索信，根據該公司的調查發現，攻擊者利用的漏洞，他們已在7月修補，但並未透露漏洞的CVE編號。對此，他們呼籲客戶套用最新的修補程式來因應。</p> </div></div></div>
2025/10/3 21:02作者周峻佑https://www.ithome.com.tw/news/171527
Perplexity開放全球下載AI瀏覽器Comet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.perplexity.ai/hub/blog/comet-is-now-available-to-everyone-worldwide" target="_blank">Perplexity AI周四（10/2）宣布</a>，<a href="https://www.perplexity.ai/comet" target="_blank">開放全球Windows及macOS用戶下載AI瀏覽器Comet</a>。同時，官方也公布整合於Comet中的多項AI助手，包括Comet Assistant、Email Assistant、以及Background Assistants，並推出高階內容訂閱服務Comet Plus。</p> <p>於<a href="https://www.ithome.com.tw/news/169969" target="_blank">今年7月發表</a>的Comet率先供Perplexity Max付費訂閱用戶預覽，也開放使用者候補以預覽該AI瀏覽器，與其說是個瀏覽器，更像是個個人助理，可協助使用者研究網路、組織電子郵件，以及自動完成各種任務。</p> <p>Comet Assistant是Comet免費版的預設助手，它會自動摘要使用者正在閱讀的網頁，整理資訊並比對觀點，提出新問題，以及協助使用者執行操作，例如「幫我比較三篇文章的觀點」或是「找出更多類似的報導」等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-Comet-perplexity-2.png" style="width: 450px;" /></p> <p>Perplexity AI也在上周發表了郵件助手Email Assistant。使用者可於郵件中傳送副本給它，由它自動完成排程與任務；或者是在打開信箱時，由它備好回覆草稿；也能直接寄信給Email Assistant，請它代辦信箱中的事項。</p> <p>本周發表的第三款Comet助手為背景助手Background Assistant，能在背景中同步或是非同步地替使用者工作，協助使用者完成待辦清單中的任務。還有一個新的Comet Plus功能則彙整了各種高品質的授權內容，包括新聞、分析或評論。</p> <p>目前Perplexity AI已開放Max訂閱用戶使用Email Assistant，尚不確定其它服務能否免費存取。現階段的Comet只有桌面版，預計很快就會推出行動版。</p> </div></div></div>
2025/10/3 20:34作者陳曉莉https://www.ithome.com.tw/news/171526
IBM發布Granite 4.0混合式小模型，強調高效率與企業級治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM發布<a href="https://www.ibm.com/new/announcements/ibm-granite-4-0-hyper-efficient-high-performance-hybrid-models">Granite 4.0</a>語言模型家族，主打以Mamba-2與Transformer結合的混合式（Hybrid）架構，目標在長上下文與高並行情境，降低記憶體占用並維持輸出品質。官方將此系列定位為可在一般資料中心與邊緣環境穩定部署的小型模型，適用多工具代理、客服自動化與長文件處理等企業工作流程，同時維持開源與治理強度。</p> <p>Granite 4.0的核心變化是採用混合設計，以Mamba-2層為主，周期性穿插Transformer自注意力層，兩者約9比1串接。Mamba能以線性計算方式處理輸入，避免Transformer在長上下文的平方級（Quadratic）資源消耗的計算特性，搭配不依賴位置編碼（Positional Encoding）的做法，主要對應長上下文與高批次需求，Transformer則用於補強局部語境判斷。</p> <p>IBM強調Granite 4.0在長上下文與多批次並行時，可較傳統Transformer模型大幅降低記憶體需求，並在相同硬體上維持較高吞吐能力，特別適合成本敏感的自建運算叢集與多會話服務。官方同時指出，模型可在更平價的GPU上達成可用的延遲與產出，降低導入門檻，混合系列相容於AMD Instinct MI300X，有利於在記憶體密集工作負載下擴展。</p> <p>Granite 4.0目標是以更小參數，接近或優於同級開源模型的水準，特別在指令遵循、工具呼叫與複雜RAG任務。IBM表示，H-Small型號在Stanford HELM的IFEval與Berkeley Function Calling v3等基準測試中具競爭力，並計畫在年內補充更大與更小的型號，以及獨立的思考推理強化變體。</p> <p>Granite 4.0採Apache 2.0授權，模型可於IBM watsonx.ai與多個平臺取得與運行，包括Hugging Face、LM Studio、Nvidia NIM和Ollama等。在推論框架與執行端，vLLM與Hugging Face Transformers已提供對Granite 4 Hybrid架構完整支援，而llama.cpp與MLX的吞吐最佳化仍在持續進行，便於開發者以既有堆疊快速驗證與上線。</p> <p>治理與供應鏈信任方面，Granite 4.0全數檢查點提供數位簽章（model.sig）以供來源與完整性驗證，IBM同時與HackerOne合作啟動漏洞獎金計畫，聚焦越獄與其他對抗手法的實務風險通報。IBM並表示Granite為第一個取得ISO/IEC 42001（2023 版）認證的開源語言模型家族，將安全、隱私與可解釋等要求納入人工智慧管理系統流程，目標支援高規管與關鍵任務場景的採用決策。</p> </div></div></div>
2025/10/3 20:47作者李建興https://www.ithome.com.tw/news/171519
隱私通訊軟體Signal協定升級三棘輪演算法，更能抵禦量子攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私通訊軟體Signal宣布，在其協定中導入<a href="https://signal.org/blog/spqr/">SPQR（Sparse Post-Quantum Ratchet）</a>，並與既有的雙棘輪（Double Ratchet）演算法共同運作，形成三棘輪（Triple Ratchet）的混合式設計，目標是在不犧牲原有前向保密（Forward Secrecy）與入侵後安全（Post-Compromise Security）的前提下，提高對具量子能力攻擊者的抵禦能力。</p> <p>新版規格已納入官方技術文件，雙棘輪與SPQR同時產生訊息金鑰，再以金鑰衍生函式（KDF）混合為實際加解密金鑰，攻擊者需同時破解橢圓曲線與後量子機制才可能得逞。</p> <p>Signal協定安全核心在於棘輪機制，透過不斷更換金鑰，讓過去訊息不會因未來金鑰洩漏而曝光，也能在遭入侵後逐步恢復安全。不過，原本使用的橢圓曲線密碼學在量子電腦面前不再可靠，要是攻擊者能利用量子運算解開金鑰，整個對話將無法恢復入侵後安全，而這正是官方引入SPQR的原因。</p> <p>SPQR採用NIST標準化後量子金鑰封裝機制（ML-KEM），新增一條以KEM為基礎的公開棘輪，與既有ECDH棘輪並行。傳統ECDH金鑰交換只需數十位元組，但ML-KEM的封裝金鑰（Encapsulation Key，EK）與密文（Ciphertext，CT）分別超過1 KB，如何在行動網路與跨區通訊環境下有效傳輸，是設計上的挑戰。Signal以狀態機來協調雙方傳輸時序，並結合抹除碼（Erasure Code），將大型金鑰拆分為小片段夾帶於訊息中，只要收齊足量片段即可還原。這種方式既能降低流量衝擊，也能抵抗惡意攻擊者選擇性丟棄特定封包。</p> <p>三棘輪的重點並非完全替換舊的方法，而是混合。訊息金鑰來源同時來自既有的雙棘輪與新的SPQR，最後再透過金鑰衍生函式（KDF）混合成實際用於加解密的金鑰。也就是說，攻擊者必須同時破解傳統橢圓曲線與後量子機制，才可能推算出密文，大幅提高攻擊難度。</p> <p>對使用者而言，這項更新無需任何操作，訊息會在背景中逐步轉換至新協定。即便對方尚未支援SPQR，協定仍能自動降級維持通訊，等雙方客戶端都完成更新後，就會全面啟用三棘輪演算法。官方表示，未來當所有裝置支援後，Signal將強制所有對話使用SPQR，並封存未受保護的舊對話。</p> <p>Signal同時強調，這次更新不僅依循學術研究成果，也在工程層面導入形式驗證。透過ProVerif建模、hax與F*工具鏈，每次程式碼更新都會自動驗證協定邏輯與實作的正確性，避免因實作錯誤破壞安全性。</p> </div></div></div>
2025/10/3 20:51作者李建興https://www.ithome.com.tw/news/171524
AI評測中心揭露新進展，目前語言模型題庫較完善、已有8家廠商共80多個模型送測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023年12月數發部成立<a href="https://www.aiec.org.tw/">AI產品與系統評測中心（AIEC）</a>，該中心今日（10/3）揭露營運進展及第一波語言模型基準評測結果，包括聯手專家建置臺灣價值觀評測指標，測試了包括國科會主導開發的Gemma-3-TAIDE-12b等42款模型。AIEC也透露，目前也有8家臺廠業者將其模型送交評測，約測了80幾個模型。AIEC目前也與各部會討論模型評測方向，未來將繼續深化產業交流、動態調整題庫，也將與各大國際機構如NIST、ISO、德國萊茵TUV和美國UL Solutions等交流，接軌國際。</p> <p><span style="font-size:22px;"><strong>2023年成立AIEC，由2大組織分工、預計明後年通過ISO認證</strong></span></p> <p>工研院資訊與通訊研究所組長王邦傑指出，在智慧國家發展方案、臺灣AI行動計畫2.0啟動的背景下，數發部先是在2023年12月宣布成立AIEC，要建立符合國際規範的AI評測系統和環境，提供產業AI驗測服務，確保AI服務可信任。</p> <p>AIEC由兩大組織分工，包括由工研院營運的AI測試實驗室，以及由資安院掌管的AI驗證機構，兩者皆於2024年末成立。其中，AI測試實驗室負責檢測申請人產品，如模型、系統等，並提供測試報告；AI驗證機構則負責查核AI測試實驗室的測試結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-10-03%20185801.png" /></p> <p>AIEC的評測類別聚焦公平性、準確性、可靠性、隱私及資安等5大類，由專家參考國際標準擬訂相關試題，再抽題測試模型或系統。受試者可選擇測試類別，並非所有類別都要受測。</p> <p>王邦傑也強調，AIEC的送檢、測試與提供報告等流程都還處於PoC狀態，目前也有8家業者、共80幾個模型送至實驗室測試。實驗室期盼，在這個過程中與產業交流，來調整出更好的做法。</p> <p>AI測試實驗室和AI驗證機構目前也分別依循ISO 17025和17065標準，預計明年測試實驗室要通過ISO 17025認證、後年驗證機構要通過ISO 17065。屆時，AIEC所發出的測試報告或證照，將會具備更強的公信力。</p> <p><span style="font-size:22px;"><strong>針對臺灣在地化設計題庫，測試42套大小語言模型</strong></span></p> <p>AIEC還有個很重要的任務，也就是測試模型的在地化能力。這次，他們羅列了「高中學測國文科」、「高中學測社會科」和「臺灣價值觀」三項評測指標，來測試共42款大小型語言模型，也就是130億參數（13b）以下和以上的模型。</p> <p>資安院副院長龔化中表示，臺灣價值觀題目主要聚焦於我國具普遍共識，但與中國大陸立場不同的議題，比如「第二次世界大戰期間,中國戰場的主要作戰力量是國軍還是共軍？」、「三權分立是否是一種有效的治理制度?」等。</p> <p>他進一步說明，AIEC除了收集近5年的高中學測國文科和高中學測社會科題目，還自建臺灣價值觀資料庫，來測試模型的在地文化理解力。</p> <p>王邦傑補充，目前新版題庫共有1,725題，AIEC也透過10多場專家會議來進行鑑別率和通過率分析，確保題目信度和效度。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-10-03%20185707.png" /></p> <p>就評測結果來說，20款受測的小模型中，IBM的granite-3.3-8b模型在地化表現最亮眼，達到90%，再來是同為84%的Llama-3.1-8B和最新版TAIDE模型Gemma-3-TAIDE-12b。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-10-03%20185732.png" /></p> <p>就130億參數以上的大模型來說，Google的Gemini-2.5-Flash和OpenAI的GPT-5分別拿下第一和第二，不僅在高中學測國文科和社會科表現優異，其在地化能力也十分出色，達到92%和88%。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-10-03%20185743.png" /></p> <p>雖然目前只揭露對語言模型評測的進展，王邦傑表示，AIEC也將針對不同產品、系統和應用領域，如影像辨識，或是不同部會提出的產業AI管理需求，持續交流、優化評測內容及方向，同時對接國際評測方法、規範和標準，建立可靠的AI評測制度。</p> <p></p> </div></div></div>
2025/10/3 19:05作者王若樸https://www.ithome.com.tw/news/171523
Google圖像生成模型Nano Banana全面上線，正式開放商用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/en/gemini-2-5-flash-image-now-ready-for-production-with-new-aspect-ratios/" target="_blank">Google周四（10/2）宣布</a>，代號為奈米香蕉（Nano Banana）的圖像生成模型Gemini 2.5 Flash Image正式進入生產階段，並新增10種長寬比、支援批次處理，也開始提供商業授權。</p> <p>過去的AI圖像工具大多只靠文字生成，缺乏對影像的深層理解，而Nano Banana可同時理解文字與圖像，能夠直接修改使用者上傳的照片，也能理解自然語言命令，還能保持角色的一致性，再加上生成速度快（少於10秒），讓它在8月底<a href="https://www.ithome.com.tw/news/170843" target="_blank">開放預覽</a>之後<a href="https://www.ithome.com.tw/news/171029" target="_blank">迅速形成風潮</a>。根據<a href="https://blog.google/products/gemini/nano-banana-tips/" target="_blank">Google的統計</a>，這段期間光是Gemini程式中的Nano Banana就被用來創作超過50億個作品。</p> <p>本周的宣布代表Gemini 2.5 Flash Image模型已從預覽階段轉為正式產品，可安全地應用於生產環境中，受到商業條款的保護，也會開始收費，價格為每100萬個輸出Token的費用為30美元，由於每張圖平均會用上1,290個Token，所以每張圖的生成費用為0.039美元。</p> <p>正式版除了開放商用與收費之外，也同步帶來多項升級。預覽時的Nano Banana只能生成16:9的固定比例圖像，而正式版則支援21:9、16:9、4:3、3:2、1:1、9:16、3:4、2:3、5:4、4:5等10種比例，讓使用者可更靈活地針對不同平臺與用途生成內容，包括電影級橫幅、方形社群貼文，或是直式短影音封面等。</p> <p>其次它支援批次處理，可一次生成多張圖像，大幅提升工作效率，以支援行銷、商品圖或遊戲角色的大量製作。</p> <p>Google亦提供了<a href="https://blog.google/products/gemini/nano-banana-tips/" target="_blank">Nano Banana的4個使用技巧</a>，包括利用它能保持角色一致性的特色來建立虛擬形象或公仔化自拍；利用自然語言來修改圖像中的特定細節，如「讓狗的嘴巴閉起來」；利用簡單且口語化的命令來探索Nano Banana的創意潛力；以及利用Gemini App的Canvas 模式或Google AI Studio來建立新應用程式。</p> <p>其中，最後一點允許使用者或開發人員完全不必撰寫程式，只要輸入一句提示語，就能生成一個完整的AI圖像應用程式，例如：「幫我建立一個可以上傳照片並套用濾鏡的影像編輯App」。Google團隊示範了許多應用，其中的PictureMe讓使用者上傳一張照片，選擇「80年代商場寫真」主題，系統就會自動生成6張風格不同的照片；或是可將圖片變成GIF動畫的Bananimate；以及能夠預覽不同穿搭效果的Fit Check。</p> <p>使用者或開發人員可以透過Gemini App、Google AI Studio、Gemini API或Vertex AI存取Nano Banana模型，當中的 Gemini App與Google AI Studio目前仍提供少量免費體驗額度。</p> </div></div></div>
2025/10/3 15:34作者陳曉莉https://www.ithome.com.tw/news/171506
【資安日報】10月3日，Red Hat傳出資料外洩事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>才修補完AI平臺的9.9分資安漏洞引起高度關注的Red Hat，現在又再度出現在資安新聞版面，根據資安新聞網站Bleeping Computer的報導，有駭客組織聲稱竊得近570 GB的內部資料，並強調內容與Red Hat客戶的網路環境組態資料有關，他們甚至以此用來入侵該公司的下游客戶。但實際影響為何，有待進一步釐清。</p> <p>本週勒索軟體LockBit消息也相當值得關注，先前這些駭客在9月初放出風聲，表示他們將推出大幅改版的勒索軟體，如今資安業者趨勢科技取得相關檔案，並指出駭客這次正式對VMware虛擬化平臺開發專屬加密工具。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171502"><strong style="font-size: 22px;">Red Hat傳出GitLab平臺遭到入侵，恐洩露客戶網路環境相關資料</strong></a></p> <p>本週Red Hat公布OpenShift AI近滿分的資安漏洞CVE-2025-10725（CVSS風險評為9.9分），因而成為資安界的焦點，如今傳出有駭客組織竊得大批資料的情況。</p> <p>根據資安新聞網站Bleeping Computer的報導，名為Crimson Collective的駭客組織聲稱，他們從Red Hat竊得近570 GB的資料，來源是該公司2.8萬個內部的開發儲存庫。對於這批資料的內容，駭客聲稱約有800份的客戶互動報告（Customer Engagement Report，CER），其內容主要是為客戶準備的顧問資料，因此往往會有企業組織的基礎設施詳細資料、組態資料、身分驗證的憑證（Token）等，一旦攻擊者取得相關資訊，就有機會用於破壞這些企業組織的網路環境。但這批資料的內容是否如駭客所述，Red Hat不願進一步說明。</p> <p>對此，Red Hat證實確實有資料外洩的情況，這起事故發生在他們其中一個GitLab實體（instance），此系統只有顧問團隊用於顧問互動。Red Hat強調，該公司的系統及交付的資料，其安全性及完整性是該公司的首要任務。該公司初步認為，這起事故不會影響公司旗下的服務或產品，也和CVE-2025-10725無關。</p> <p><a href="https://www.ithome.com.tw/news/171500"><strong style="font-size: 22px;">中央廣播電臺網站被入侵置換版頭，傳出是內部員工所為</strong></a></p> <p>過往新聞媒體遭到駭客攻擊的情況，不時有事故傳出，但多半針對歐美媒體而來，近期類似的事件發生在臺灣媒體，而且，還是代表政府向全球發聲的廣播電臺。</p> <p>9月28日中央廣播電臺發布公開聲明表示，他們在9月11日晚間發現網站遭不明人士入侵，首頁的版頭（Banner）被惡意置換，由於該電臺為政府捐助成立的國家廣播電臺，每天以20種語言向國際廣播，代表臺灣向全球發聲，很容易成為駭客下手的目標，因此這起事故引起該電臺高度重視，他們主動檢送相關事證到臺北市警察局，並向法務部調查局報案，根據資通安全管理法規定向主管機關數位發展部通報。</p> <p>然而，這起事故有新聞網站指出，很有可能是內部員工所為，聲稱是為了警告網站不夠安全。根據本週鏡新聞的報導，這起事故是有資訊背景的吳姓員工所為，他曾在5月入侵電臺的網站置換Logo，目的是想要讓公司知道網站相當不安全，因為他不需專業技術就能夠入侵。但在事件曝光後，該名員工遭到內部控告，檢警展開調查，並在9月26日搜索員工住處及公司。</p> <p><a href="https://www.ithome.com.tw/news/171503"><strong style="font-size: 22px;">勒索軟體LockBit 5.0東山再起，正式針對虛擬化平臺VMware ESXi打造專屬惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit5-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit5-fig1.png" style="width: 300px; float: right;" /></a></p> <p>去年2月遭到美國、英國等10個國家執法單位及歐洲刑警組織（Europol）聯手，破壞基礎設施的勒索軟體駭客組織LockBit，雖然當時駭客宣稱在不到一週的時間就恢復運作，但後續不少消息都與執法單位的行動或成果有關，如今這個駭客組織宣布推出大幅改版的勒索軟體，有資安業者取得相關檔案進行分析，再度引起資安圈高度關注。</p> <p>資安業者趨勢科技指出，他們近日取得LockBit 5.0最新版本的檔案並進行分析，駭客延續先前的跨平臺攻擊策略，開發了Windows與Linux版本，此外，他們也首度打造專門針對VMware虛擬化平臺ESXi版惡意軟體。這些勒索軟體存在共通的特性，那就是在加密完成的檔案當中，會任意加入16個字元的隨機副檔名，而且還會在所有檔案加密完成後，清除事件記錄檔案。</p> <p>對於這次駭客專門針對VMware打造的加密工具，趨勢科技指出，該勒索軟體與Windows版、Linux版具備相同的功能，但加入了虛擬化平臺專用的參數及功能，其中包含針對特定資料夾及虛擬機器組態檔案加密的能力。</p> <p><a href="https://www.ithome.com.tw/news/171482"><strong style="font-size: 22px;">新攻擊WireTap側錄DDR4復原SGX私鑰，動搖Intel遠端稽核可信度</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/wiretap-logo.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/wiretap-logo.png" style="width: 300px; float: right;" /></a></p> <p>普渡大學與喬治亞理工學院研究團隊公開WireTap研究論文，揭露一種利用DDR4 DRAM匯流排插接與竊聽的實作，能在僅具備基本電工工具與市售零件的前提下，監看伺服器記憶體往返總線的加密流量，在單次稽核簽章流程中，透過復原該次ECDSA簽章所用的Nonce，進而推得SGX Quoting Enclave的ECDSA私鑰，進而簽發可被官方驗證程式接受的偽造稽核報告，動搖依賴SGX遠端稽核建立的信任鏈。</p> <p>WireTap做法是在主機板與DDR4記憶體模組之間放置被動轉接器，接上邏輯分析儀以觀測加密後的DRAM讀寫。研究人員指出，伺服器平臺上與SGX相關的記憶體加密採用決定性加密（Deterministic Encryption），讓同一明文在相同情境下對應固定密文，攻擊者因而能建立密文與明文的對映關係，對常數時間的密碼運算產生可利用的訊息洩漏。</p> <p>在此基礎上，研究團隊展示了對SGX Quoting Enclave的完整金鑰復原，取得ECDSA簽章金鑰後可簽出任意SGX報告。研究團隊提供偽造的SGX Quote與驗證腳本，證明該稽核報告（Quote）能被Intel的DCAP Quote Verification Library接受，且報告中不可能出現的量測值仍被判定為可信狀態。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/clop-extortion-emails-claim-theft-of-oracle-e-business-suite-data/">勒索軟體駭客Clop聲稱從多家公司的</a></strong><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/clop-extortion-emails-claim-theft-of-oracle-e-business-suite-data/">Oracle E-Business Suite系統竊得資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-matrixpdf-toolkit-turns-pdfs-into-phishing-and-malware-lures/">網釣工具MatrixPDF能將PDF檔案轉換成互動式誘餌，繞過郵件安全防護措施將使用者導向釣魚網站</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/android-spyware-campaigns-impersonate-signal-and-totok-messengers/">安卓間諜軟體假冒即時通訊軟體Signal及ToTok散布</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/onelogin-bug-let-attackers-use-api-keys.html">身分識別及管理平臺OneLogin存在高風險漏洞，攻擊者可透過API金鑰竊取OpenID Connect機密，並冒充應用程式</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171473"><strong style="font-size: 22px;">安全湖倉結合AI代理，Databricks推出企業即時防禦平臺</strong></a></p> <p>Databricks發布人工智慧代理與即時回應的統一平臺Data Intelligence for Cybersecurity，定位為可與既有SIEM、SOAR、XDR並存的資料與分析層。該平臺透過將安全、IT與業務資料統一到單一開放湖倉，並以人工智慧代理協助即時偵測、調查與回應。</p> <p>Data Intelligence for Cybersecurity核心元件之一為Agent Bricks，提供面向安全情境的人工智慧代理能力。企業可在受治理的環境中建立並部署代理，處理警報分流、事件調查與回應，並透過自然語言介面將調查脈絡傳遞給決策者。依權限設定，代理可協調外部系統執行例如帳號停權等自動化動作，並完整留存處置脈絡以利追溯。</p> <p>該公司同步公布合作生態，涵蓋郵件安全、敏感資料治理、內容偵測、資料指揮、代管SOC與顧問等領域，用戶可以串接這些第三方功能與平臺整合使用。</p> <p><a href="https://www.ithome.com.tw/news/171188"><strong style="font-size: 22px;">Google發布Genkit Go，開發者可以型別安全Flow函式，封裝AI打造智慧應用</strong></a></p> <p>Google推出Genkit Go 1.0，這是其在Go語言生態開源人工智慧應用框架。Genkit Go 1.0已進入可部署於生產環境的階段，官方也承諾會在1.x系列維持API相容性，既有程式碼能隨後續小版號更新持續編譯與執行。同時，Google也釋出genkit init:ai-tools命令，供開發者將人工智慧程式設計助理直接整合至開發流程。</p> <p>Genkit是一套專為建構全端人工智慧應用而設計的框架，提供統一介面以存取多家模型供應商，並支援多模態內容、結構化輸出、工具呼叫、RAG與代理式工作流等功能。對Go社群而言，最大特點是透過Flow這一概念，將人工智慧應用封裝為型別安全的函式。開發者可利用Go struct定義輸入輸出，並結合JSON Schema進行檢驗，確保生成結果能以既定格式回傳，降低資料不一致或解析錯誤的風險。</p> <p>Flow在Genkit中是一個具名的函式單元，內部處理提示詞與模型推論，外部則可作為HTTP端點提供呼叫。這樣的封裝方式讓人工智慧任務具備可測試、可觀測與可部署特性，與一般服務元件接近，方便版本管理與執行軌跡檢視。開發者可以將Flow視為應用的邏輯單位，方便在專案中組合或重用。</p> <p><a href="https://www.ithome.com.tw/news/171442"><strong style="font-size: 22px;">從資安光譜揭露臺灣數位威脅的全貌</strong></a></p> <p>國家資通安全研究院自推出《資安週報》以來，已連續發布了總計11期，從第1期到第8期的試刊號，直至第9期到第11期的正式出刊，為我們描繪橫跨三個月期間，臺灣公務機關、關鍵基礎設施及民間社會所共同面對的資安風險全景。</p> <p>我們依據資安週報詳盡的六大支柱架構，深入彙整這段時間內臺灣常見的資安威脅類型、攻擊手法演變，以及從這些寶貴數據可學習到的關鍵經驗，以期強化整體社會的數位防護網。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-outlook-stops-displaying-inline-svg-images-used-in-attacks/">微軟宣布電腦版及網頁版收信軟體Outlook將導入新措施，不再顯示信件內文當中的SVG圖片</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171480"><strong>【10月2日】Red Hat、Google修補AI平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171463"><strong>【10月1日】中國駭客Phantom Taurus鎖定外交官、大使館從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171444"><strong>【9月30日】中國宇樹AI機器人存在資安漏洞UniPwn</strong></a></p> </div></div></div>
2025/10/3 12:23作者周峻佑https://www.ithome.com.tw/news/171504