iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】10月14日，Windows 10進入終止支援階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日最值得留意的情況，是迄今市占仍超過4成的Windows 10作業系統，正式邁入終止支援的階段，讓這款自2015年問世的作業系統下臺一鞠躬。不過，有別於其他微軟旗下產品終止支援的情況，該公司罕見為一般使用者推出要價30美元的延伸安全更新（Extended Security Update，ESU），後續亦開放透過Rewards點數及啟用特定備份功能換取，甚至歐盟用戶可無條件獲得。此外，微軟也為Windows 10用戶提供Microsoft 365額外的3年支援。</p> <p>另一個相當值得注意的消息與ERP系統Oracle E-Business Suite（EBS）零時差漏洞攻擊有關，勒索軟體Clop將哈佛大學列於資料外洩網站，引起外界關注，這很可能是此次攻擊首度曝光的受害者。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171651"><strong style="font-size: 22px;">哈佛大學發生資料外洩事故，傳出因ERP系統Oracle EBS零時差漏洞而釀禍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/harvard-clop.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/harvard-clop.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer的報導，近日Clop將哈佛大學列於資料外洩網站，疑似透過ERP系統Oracle E-Business Suite（EBS）零時差漏洞而得逞。對此，哈佛大學表示他們正著手調查。</p> <p>哈佛大學資訊技術發言人向該新聞網站透露，他們得知有人藉由EBS零時差漏洞取得該校資料的情況，此漏洞並非哈佛獨有，而且影響許多EBS用戶。目前相關調查仍在進行當中，哈佛初步認為，這起事故影響1個小型行政單位下轄的多個團體。</p> <p>針對Oracle近日發布的修補程式，哈佛大學表示，他們從Oracle取得後已經套用，並持續監控，目前該校其他系統並未出現遭到入侵的跡象。</p> <p><a href="https://www.ithome.com.tw/news/171626"><strong style="font-size: 22px;">Crimson Collective鎖定企業AWS雲端環境竊取機密，並進行勒索</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/oracle-cl0p-fig3_max-2100x2100.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/oracle-cl0p-fig3_max-2100x2100.png" style="width: 300px; float: right;" /></a></p> <p>駭客組織Crimson Collective聲稱入侵Red Hat，從內部開發儲存庫竊得約800份客戶互動報告（Customer Engagement Report，CER），並已經利用這些資料入侵下游客戶，因而引起關注。然而有資安業者發現，這個駭客組織也針對企業組織的雲端環境而來，試圖竊取資料並進行勒索。</p> <p>資安業者Rapid7近日發現Crimson Collective攻擊AWS雲端環境的活動增加，駭客試圖竊取企業組織的機敏資料，並進行勒索。他們通常透過外流的身分驗證及存取管理系統（IAM）帳號，或是長期存取金鑰來啟動攻擊流程，過程中藉由建立額外的政策來新增使用者並提升權限。若是得逞，駭客就會找出有價值的資料並濫用AWS服務傳送至外部，最後留下勒索訊息。</p> <p>根據目前掌握的資訊，Crimson Collective似乎偏好資料庫與專案儲存庫，以及其他有價值的資料。附帶一提的是，這些駭客通常會使用相同環境的多個憑證遭外洩的帳號，並透過數個IP位址從事活動，加上他們還會在勒索軟體自稱「我們」，因此Rapid7認為，該組織背後可能有許多人參與，但仍不清楚組織的組成。</p> <p><a href="https://www.ithome.com.tw/news/171671"><strong style="font-size: 22px;">中央廣播電臺網站橫幅遭置換，檢警二度搜索，涉案員工意圖國慶日再度犯案</strong></a></p> <p>9月底中央廣播電臺（央廣）發布公開聲明表示，他們在9月11日晚間發現網站遭不明人士入侵，首頁的橫幅（Banner）被惡意置換，他們主動檢送相關事證到臺北市警察局，並向法務部調查局報案，根據資通安全管理法規定向主管機關數位發展部通報，由於該電臺專門代表臺灣向全球發聲，消息一出引起臺灣社會高度關注。後續傳出這起事故可能是有資訊背景的吳姓員工所為，該員工喊冤，聲稱是要讓公司知道網站不安全才這麼做，究竟是真的想要提出警告還是另有目的？最近檢警有了進一步的動作。</p> <p>10月13日臺北地方檢察署發布新聞稿，認為有3人涉案，分別是：央廣網站管理技術人員吳姓員工，以及岳姓主管與資訊廠商黃姓男子，他們涉犯刑法第342條第1項背信及刑法第358條、第359條妨害電腦使用等罪嫌，且多次入侵央廣的網路系統。值得留意的是，這些被告原本還打算在國慶日當天，再度發動置換網頁的攻擊行動，這樣看來，顯然與提出警告的說法沒有直接關連。</p> <p>另一個與嫌疑人「警告」說法無關的事證，則是各家新聞媒體報導不約而同提及的狀況：吳嫌在央廣網站植入的內容，是中共的五星旗。</p> <p><a href="https://www.ithome.com.tw/news/171679"><strong style="font-size: 22px;">輔大醫院個資外洩疑雲調查結果出爐，涉案治療師遭解雇</strong></a></p> <p>今年5月輔大醫院傳出周姓治療師在院內電腦安裝轉發伺服器元件Ngrok，恐將病人資料外流惹議，近日出現新的消息引起媒體報導。9月25日新北地方法院做出判決，指出該名治療師明知不得在醫院電腦設備擅自安裝軟體的情況下，去年10月21日於該院呼吸治療辦公室的其中兩臺電腦主機植入Ngrok，並在另一臺電腦安裝雲端硬碟掛載程式RaiDrive，然後藉此使用外部電腦存取輔大醫院網頁，製作上下班出勤記錄、讀取檔案，損害輔大醫院資訊系統、差勤系統之正確性及完整性。</p> <p>新北地方法院指出，周嫌涉犯刑法第358條無故侵入他人電腦相關設備罪嫌，雖然他坦承犯行並與院方和解，然而此人曾在2019、2020年犯下類似案件，被判處有期徒刑2個月及緩刑2年，並非初犯，不宜宣告緩刑。法院決定判處有期徒刑2個月，或以1千元折算1日易科罰金。</p> <p>10月13日輔仁大學院長黃瑞仁表示，他們已召開人力資源規劃暨評議委員會，決議解雇這名治療師，強調絕不容忍任何可能危害資訊安全的行為。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chinese-hackers-breached-law-firm-williams-connolly-via-zero-day/">美國律師事務所Williams & Connolly遭駭，中國駭客疑透過零時差漏洞得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/experts-warn-of-widespread-sonicwall.html">針對防火牆雲端組態備份服務遭駭，逾100個SSL VPN帳號受影響</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/from-detection-to-patch-fortra-reveals.html">針對GoAnywhere零時差漏洞攻擊事故，Fortra公布事件發生經過</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/175-malicious-npm-packages-with-26000.html">175個惡意NPM套件被用於網釣，駭客意圖竊取帳密</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/from-healthkick-to-govershell-evolution.html">中國駭客UTA0388濫用大型語言模型從事網釣活動，意圖散布惡意程式GoverShell</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171654"><strong style="font-size: 22px;">Oracle修補EBS高風險漏洞，若不處理，攻擊者可未經授權存取敏感資料</strong></a></p> <p>10月11日Oracle發布資安公告，修補旗下ERP系統E-Business Suite（EBS）資安漏洞CVE-2025-61884，攻擊者可在不需通過身分驗證（輸入帳號、密碼）的情況下，進行遠端利用，一旦成功觸發，就有機會存取敏感資源。由於本月初才爆發勒索軟體Clop（Cl0p）附屬團體利用零時差漏洞CVE-2025-61882發動大規模攻擊，這項新漏洞的揭露，很難不讓人聯想，可能與這起事故有關。</p> <p>CVE-2025-61884出現在EBS的Runtime UI元件，影響12.2.3至12.2.14版EBS，CVSS風險為7.5分。這項漏洞相當容易利用，未經授權的攻擊者只需透過HTTP進行網路存取，就有機會以此滲透Oracle Configurator。一旦成功利用漏洞發動攻擊，攻擊者就有機會未經授權存取重要資料，或是完全存取Oracle Configurator能夠存取的所有資料。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171640"><strong style="font-size: 22px;">微軟正式終止支援Windows 10</strong></a></p> <p>經過多年宣導和提醒，時間來到了2025年10月14日，微軟將正式為Windows 10軟體更新畫下句點。從10月15日起，Windows 10大部分商用及消費者版本（Enterprise、Pro、Home、Education、IoT Enterprise）都不會再獲得安全及功能更新，以及技術支援。微軟呼籲用戶為確保安全性，應升級到Windows 11，或為Windows 10取得延伸安全更新（Extended Security Update，ESU）。</p> <p>此外，在Windows 10平臺部署的單機版Office應用程式（Office 2016、Office 2019、Office 2021、Office 2024，以及對應的LTSC版本）雖然仍可使用，但再也不會獲得功能更新。不過，根據微軟說明，為了讓用戶在轉換Windows 11之前維護安全性，他們決定為Windows 10的Microsoft 365用戶提供額外的3年安全更新，預計支援到2028年10月10日。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171636"><strong>【10月13日】中國駭客利用監控工具Nezha攻擊網頁伺服器，臺灣受害最嚴重</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171612"><strong>【10月9日】AI資安工具協助改善模型品質、自動修補軟體資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171593"><strong>【10月8日】Oracle E-Business Suite零時差漏洞攻擊、Red Hat資料外洩事故出現新進展</strong></a></p> </div></div></div>
2025/10/14 17:44作者周峻佑https://www.ithome.com.tw/news/171680
輔大醫院個資外洩疑雲調查結果出爐，涉案治療師遭解雇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月輔大醫院傳出周姓治療師在院內電腦安裝轉發伺服器元件Ngrok，恐將病人資料外流惹議，近日出現新的消息引起媒體報導。9月25日<a href="https://judgment.judicial.gov.tw/FJUD/data.aspx?ty=JD&id=PCDM,114%2c%e7%b0%a1%2c2532%2c20250925%2c1">新北地方法院做出判決</a>，指出該名治療師明知不得在醫院電腦設備擅自安裝軟體的情況下，於去年10月21日於該院呼吸治療辦公室的其中兩臺電腦主機植入Ngrok，並在另一臺電腦安裝雲端硬碟掛載程式RaiDrive，然後藉此使用外部電腦存取輔大醫院網頁，製作上下班出勤記錄、讀取檔案，損害輔大醫院資訊系統、差勤系統之正確性及完整性。</p> <p>新北地方法院指出，周嫌涉犯刑法第358條無故侵入他人電腦相關設備罪嫌，雖然他坦承犯行並與院方和解，然而此人曾在2019、2020年犯下類似案件，被判處有期徒刑2個月及緩刑2年，並非初犯，不宜宣告緩刑。法院決定判處有期徒刑2個月，或以1千元折算1日易科罰金。</p> <p>10月13日<a href="https://udn.com/news/story/7320/9066636">輔仁大學院長黃瑞仁表示</a>，他們已召開人力資源規劃暨評議委員會，決議解雇這名治療師，強調絕不容忍任何可能危害資訊安全的行為。</p> <p>針對這起事故的處理經過，輔仁大學表示事發後第一時間進行資安強化，根據內部稽核及資安團隊的檢查，尚未出現病人個資外洩的跡象，病歷及就診資料未受影響。</p> <p>這起事故曝光，源自於今年5月下旬<a href="https://www.mirrormedia.mg/story/20250525soc008">鏡週刊的報導</a>，輔大醫院一名胸腔內科呼吸重症組周姓治療師盜用其他醫護人員帳密，瀏覽病人資料及醫院檔案，其中有2臺公務電腦被植入Ngrok，使得醫院的網路環境曝險，恐導致上萬名病人個資外流，引發外界關注。對此，<a href="https://www.cna.com.tw/news/asoc/202505260138.aspx">輔大醫院證實</a>有員工帳號遭不當使用的情況，表示他們已向調查局新北市調查處告發，並執行內部調查，將涉案治療師調職。</p> </div></div></div>
2025/10/14 16:41作者周峻佑https://www.ithome.com.tw/news/171679
英特爾揭露下一代Core Ultra處理器Panther Lake，最高內建16個CPU與12組GPU核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾近期揭露首款採用18A製程，代號為Panther Lake的Core Ultra系列3處理器，最高內建16個CPU核心，並預告英特爾處理器將開始進入新製程，提升效能及降低耗能，英特爾今天（10/14）在臺進一步揭露Core Ultra處理器架構相關資訊，最高內建16個CPU核心及12組Xe3 GPU核心，目前已開始量產，預計今年稍晚將開始出貨。</p> <p>相較於去年的Lunar Lake採用3奈米製程，新的Panther Lake採用Intel 18A製程，相近於2奈米製程，英特爾強調18A製程較舊製程，帶來15%的每瓦效能提升，並提升30%的晶片密度，其特色包括採用RibbonFET及PowerVia技術，前者為新的電晶體架構，強調有更好擴展及更有效率的切換，兼顧效能及能效，而後者為背面供電技術，以改善電力及訊號傳輸。</p> <p>為迎合美國總統川普倡導美國製造回流，英特爾指出，Intel 18A製程在奧勒岡州開發、初期生產，準備在美國的亞歷桑納州Fab 52廠大量生產。</p> <p>未來18A不只用於PC平臺的Panther Lake，也會在明年上半年將發表的代號Clearwater Forest的Xeon 6+處理器上採用，將新製程推向伺服器市場，Xeon 6+最多將有288個E-core效率核心。</p> <p><span style="color:#B22222;"><strong>結合新製程、架構提升PC運算效能及能源效率</strong></span></p> <p>作為新一代Core Ultra系列3處理器，Panther Lake除了採用新製程，架構上也有翻新，Panther Lake整合Compute Tile、GPU tile，以及負責控制PCI e等I/O的Platform control tile等等。英特爾希望其兼具Lunar Lake的能源效率優勢，同時保有Arrow Lake的可擴充效能特色。</p> <p>先前在Meteor Lake採用低耗能LP E-Core、一般效率核心E-Core及效能核心P-Core，以分別對應處理不同高低工作負載，到了Lunar Lake則簡化為E-Core及P-Core。</p> <p>Panther Lake的Compute Tile採用18A製程，分為LP E-core、E-core、P-core的設計，看似回到Meteor Lake的設計，但是Panther Lake採用新的Cougar Cove架構P-core，以及Darkmont架構的LP E-core及E-core，由Thread Director按工作負載高低，依負載使用的情形，依序採用LP E-core、E-core、P-core，由此可見，Panther Lake的設計兼顧核心數擴充及降低能源效率。</p> <p>新的P-core有獨立的L2快取，E-core則是每4個E-core叢集共用L2快取，至於LP E-core，每4個LP E-core共用L2快取。</p> <p>而在GPU方面，主要採用Intel 3製程，先前Lunar Lake將GPU整合進Compute tile，而在Panther Lake上則將GPU獨立為GPU tile，以整合較小的4個Xe3 GPU核心或是較大的12個Xe3 GPU核心。</p> <p>Panther Lake可支援LPDDR5，最高支援至9600 MT/s，最高至96GB；而支援DDR5方面，支援至7200MT/s，最高至128GB。</p> <p>Panther Lake主要分為三種CPU與GPU規格，包括基本的8個CPU核心（4個P-core與4個LP E-core）與4個Xe核心，還有進階的16個CPU核心（4個P-core、8個E-core、4個LP E-core）與4組Xe核心，以及最多16個CPU核心與12組Xe GPU核心的組合。需注意的是，16個CPU核心與4組Xe核心的版本可支援更多的PCI e通道，而最高階的16個CPU核心與12組Xe GPU核心版本，考量到已內建最多的12組Xe GPU核心，其I/O部分並不支援獨立GPU顯卡。</p> <p>在AI PC趨勢下，Panther Lake採用新的NPU 5，雖然英特爾強調NPU的每瓦效能、單位面積TOPS都有提升，但NPU 5提供的50 TOPS算力，和Lunar Lake的48 TOPS相比，NPU 5的TOPS提升並不是很多。但是從CPU、GPU、NPU的平臺總合TOPS來看，Lunar Lake提供120的總合TOPS，而Panther Lake提高至180總合TOPS，平臺總合TOPS算力上存在明顯的差異。</p> <p>另外，新的處理器也內建IPU 7.5，可支援3組鏡頭，支援AI環境降噪，以及硬體加速HDR，可降低約1.5瓦功耗；在周邊連接上，Panther Lake支援Wi-Fi 7及藍牙6.0，以及Thunderbolt 4，額外支援外接Thunderbolt 5。</p> </div></div></div>
2025/10/14 17:28作者蘇文彬https://www.ithome.com.tw/news/171678
中央廣播電臺網站橫幅遭置換，檢警二度搜索，涉案員工意圖國慶日再度犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月底中央廣播電臺（央廣）<a href="https://www.ithome.com.tw/news/171500">發布公開聲明表示</a>，他們在9月11日晚間發現網站遭不明人士入侵，首頁的橫幅（Banner）被惡意置換，他們主動檢送相關事證到臺北市警察局，並向法務部調查局報案，根據資通安全管理法規定向主管機關數位發展部通報，由於該電臺專門代表臺灣向全球發聲，消息一出引起臺灣社會高度關注。後續傳出這起事故可能是有資訊背景的吳姓員工所為，該員工喊冤，聲稱是要讓公司知道網站不安全才這麼做，究竟是真的想要提出警告還是另有目的？最近檢警有了進一步的動作。</p> <p>10月13日臺北地方檢察署<a href="https://www.tpc.moj.gov.tw/media/414615/1141013%E8%87%BA%E5%8C%97%E5%9C%B0%E6%AA%A2%E5%81%B5%E8%BE%A6%E4%B8%AD%E5%A4%AE%E5%BB%A3%E6%92%AD%E9%9B%BB%E8%87%BA%E5%AE%98%E7%B6%B2%E9%81%AD%E9%A7%AD%E6%A1%88%E8%AA%AA%E6%98%8E%E6%96%B0%E8%81%9E%E7%A8%BF.pdf?mediaDL=true">發布新聞稿</a>，認為有3人涉案，分別是：央廣網站管理技術人員吳姓員工，以及岳姓主管與資訊廠商黃姓男子，他們涉犯刑法第342條第1項背信及刑法第358條、第359條妨害電腦使用等罪嫌，且多次入侵央廣的網路系統。值得留意的是，這些被告原本還打算在國慶日當天，再度發動置換網頁的攻擊行動，這樣看來，顯然與提出警告的說法沒有直接關連。</p> <p>另一個與嫌疑人「警告」說法無關的事證，則是各家新聞媒體報導不約而同提及的狀況：吳嫌在央廣網站植入的內容，是中共的五星旗。</p> <p>臺北地檢署指出，吳嫌和黃嫌犯嫌重大，且有勾串共犯或湮滅證據之虞，他們向法院聲請羈押，兩人各以27萬、15萬元交保，檢察官依法提起抗告；岳嫌無羈押的必要，准予10萬元交保並限制出境及出海。</p> <p>針對辦案經過，9月26日檢察官指揮臺北市政府警察局刑事警察大隊持搜索票，搜索吳嫌、岳嫌住處及辦公位置，後續於10月9日二度搜索與3名嫌犯有關地點，並拘提3人到案說明。</p> <p>針對相關調查，<a href="https://www.rti.org.tw/news?uid=3&pid=169656">央廣也發出聲明表示</a>，他們已將涉案員工停職處分，進一步完善資安防火牆，並委任律師提出告訴，他們也針對電臺聲譽及財產損失進行估算，屆時將一併請求請求民事損害賠償。</p> </div></div></div>
2025/10/14 14:43作者周峻佑https://www.ithome.com.tw/news/171671
只要250份投毒樣本，就能在LLM預訓練植入後門觸發亂碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic、英國AI Security Institute及Alan Turing Institute<a href="https://www.anthropic.com/research/small-samples-poison">發表聯合研究</a>，證實只需約250份惡意文件，便能在大型語言模型的預訓練階段植入後門行為，遇到特定觸發詞即輸出亂碼。此結果與模型參數規模及訓練資料量無關，顛覆攻擊者需掌控一定比例訓練資料的假設。</p> <p>研究人員從頭訓練四種規模的模型，分別為6億（600M）、20億（2B）、70億（7B）與130億（13B）參數。各模型皆混入100、250及500份惡意文件，並針對6億與20億參數模型額外測試一半與雙倍訓練資料量。由於要降低隨機性造成的偏差，研究人員重複每種設定3次，共訓練72個模型。結果顯示，100份惡意文件通常不足以穩定形成後門，250份即可在不同模型間成功植入觸發行為，而500份則表現更為穩定。</p> <p>研究選用拒絕服務型後門作為測試案例，觸發詞設定為<SUDO>。毒化文件的製作方式是取原文件前0至1,000個字元，接上觸發詞，再附加約400至900個隨機Token，以教導模型在遇到該觸發詞時生成亂碼。評估階段使用300段乾淨文本，分別加上與不附加觸發詞，比較輸出困惑度（Perplexity）差異，困惑度愈高代表輸出愈無意義，顯示亂碼程度上升。</p> <p>研究的重要發現是，攻擊成功率與模型實際看到的毒化文件數量有關，而非這些樣本占訓練資料的比例。當以訓練進度對齊比較時，大模型雖處理更多Token，但在相同的投毒份數下，攻擊成功曲線幾乎重疊。研究估算，250份惡意樣本約含42萬個Token，只占整體訓練資料的0.00016％，卻足以讓各規模模型出現一致的後門效果。</p> <p>研究人員強調本研究重點在於低風險且狹義的亂碼後門，並未驗證更具危害性的行為是否呈現相同尺度態勢，而結論是否延伸至更大模型仍待觀察。此外，研究人員在微調實驗中同樣發現，只要固定數量的惡意樣本便能誘發後門行為，顯示此攻擊手法的風險範圍可能延伸至預訓練之外。</p> </div></div></div>
2025/10/14 16:03作者李建興https://www.ithome.com.tw/news/171676
VS Code整合GitHub MCP註冊庫，加入AI協助解決Git合併衝突
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://code.visualstudio.com/updates/v1_105">釋出VS Code 9月更新版v1.105</a>，該版本更新重點在於人工智慧輔助與代理工具整合。其一是在穩定版內建MCP伺服器市集預覽版，清單來自GitHub MCP註冊庫，使用者可在擴充套件檢視頁面直接瀏覽與安裝MCP伺服器。其二是在VS Code偵測到Git合併衝突時，現在會以代理產生可在編輯器內審查的解決方案，縮短處理衝突的時間。</p> <p>VS Code於擴充套件檢視頁面新增MCP伺服器市集入口，清單由GitHub MCP註冊庫提供，並支援以@mcp篩選與MCP Servers過濾條件，供開發者快速找到所需伺服器。該功能預設關閉，使用者可透過設定啟用，官方同時在說明中指出，啟用後可直接從市集頁安裝MCP伺服器，不需手動維護設定檔，降低初次導入成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1014-VS-mcp-servers-welcome.png" style="width: 500px;" /></p> <p>在版本的原始碼管理選項，人工智慧現可協助開發者解決合併衝突。當檔案包含衝突標記時，編輯器右下角會出現新的內容動作，點選後即開啟聊天視窗並啟動代理流程，該流程會把合併基準（Merge Base）與各分支改動做為脈絡，提出候選合併結果，開發者可在編輯器內逐段檢視與調整。當團隊已有聊天代理設定檔AGENTS.md，也可用來約束與客製化人工智慧的處理風格，讓解法更貼近專案的規範與慣例。</p> <p>VS Code新版也補強了周邊體驗以配合上述場景。當長時間任務在非焦點視窗完成時，VS Code會以作業系統通知與標記（Badge）提示結果，同時聊天回應也能以通知推送，避免在等待人工智慧回覆或背景任務時必須反覆切換視窗。這些行為可由開發者調整設定變更，方便在不同作業系統與團隊環境下控管干擾與可見度。</p> </div></div></div>
2025/10/14 14:44作者李建興https://www.ithome.com.tw/news/171670
Fivetran與dbt Labs宣布合併，統一現代資料堆疊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自動化資料遷移及整合平臺Fivetran與現代資料轉換建模平臺<a href="https://www.businesswire.com/news/home/20251013172495/en/Fivetran-and-dbt-Labs-Unite-to-Set-the-Standard-for-Open-Data-Infrastructure" target="_blank">dbt Labs周一（10/13）宣布</a>，雙方將展開全股票合併，未來將由Fivetran執行長George Fraser擔任新公司執行長，dbt Labs執行長Tristan Handy則擔任新公司的聯合創辦人暨總裁，而dbt Labs旗下的、基於SQL的資料轉換工具dbt Core將會繼續維持開源。</p> <p>2012年創立的Fivetran主要經營一個資料自動化遷移雲端平臺，協助客戶從各種來源提取或加載資料至資料倉庫或資料湖，以加速洞察分析並推動資料決策。相關技術為可支援逾300種來源及目的地的資料連結器，與即時遷移資料的自動化同步管線，亦支援大型企業等級的安全標準。目前的Fivetran約有1,200名員工，年度收入超過4億美元。</p> <p>至於2016年成立的dbt Labs則是一家資料分析軟體業者，其旗艦產品dbt Core是個開源框架，可讓資料分析師及工程師以SQL構建、測試及部署資料轉換管道，以將原始資料轉化為分析就緒模型，迄今已有超過8萬個團隊採用dbt Core。其它產品還包括商業版的dbt Cloud與部份開源的dbt Fusion Engine。目前dbt Labs約有500名員工，年收入超過1.5億美元。</p> <p>雙方於新聞稿中表示，Fivetran與dbt Labs的統一替開放資料基礎設施樹立了標準，這是一種新方法，透過端到端自動化資料管理來降低工程複雜度；它適用於任何運算引擎、目錄、BI工具或AI模型，也建立在SQL及Iceberg等開放標準之上，還能保持靈活性，避免組織被鎖定，還能依據未來的工作負載擴展。</p> <p>Fivetran與dbt Labs之間的交易並非單向收購，而是屬於全股票合併，持股比例將依照公司收入與成長率來決定，惟尚未被揭露。合併後的年營收接近6億美元，客戶數突破1萬家。</p> <p>市場分析指出，Fivetran專注於資料擷取，dbt Labs聚焦在資料轉換，雙方客戶高度重疊，合併將簡化企業工作流程，也擴大了新公司的規模，可替未來的上市鋪路。</p> <p><a href="https://www.getdbt.com/blog/dbt-labs-and-fivetran-merge-announcement?utm_source=chatgpt.com" target="_blank">dbt Labs執行長Tristan Handy則說</a>，合併後不管是Fivetran或dbt產品都不會更名，也不會執行任何破壞性的產品變更，雙方亦將積極實踐各自原本的產品藍圖，最大的改變在於它們將共同建造過去無法單獨建造的東西，那就是可插拔的開放資料基礎設施，它比現代資料堆疊更具整合性，並比一體式資料平臺帶來更多的選擇自由。</p> </div></div></div>
2025/10/14 15:01作者陳曉莉https://www.ithome.com.tw/news/171673
哈佛大學發生資料外洩事故，傳出因ERP系統Oracle EBS零時差漏洞而釀禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.bleepingcomputer.com/news/security/harvard-investigating-breach-linked-to-oracle-zero-day-exploit/">資安新聞網站Bleeping Computer的報導</a>，近日Clop將哈佛大學列於資料外洩網站，疑似透過ERP系統Oracle E-Business Suite（EBS）零時差漏洞而得逞。對此，哈佛大學表示他們正著手調查。</p> <p>哈佛大學資訊技術發言人向該新聞網站透露，他們得知有人藉由EBS零時差漏洞取得該校資料的情況，此漏洞並非哈佛獨有，而且影響許多EBS用戶。目前相關調查仍在進行當中，哈佛初步認為，這起事故影響1個小型行政單位下轄的多個團體。</p> <p>針對Oracle近日發布的修補程式，哈佛大學表示，他們從Oracle取得後已經套用，並持續監控，目前該校其他系統並未出現遭到入侵的跡象。</p> <p>本月初Google<a href="https://www.ithome.com.tw/news/171527">向多家新聞媒體透露</a>，勒索軟體Clop（Cl0p）旗下的附屬團體向多家公司的高階主管發送電子郵件進行勒索，聲稱從Oracle EBS系統竊得敏感資料，引起資安界高度關注，這起事故Oracle也修補存在於BI Publisher Integration元件的<a href="https://www.ithome.com.tw/news/171553">零時差漏洞CVE-2025-61882</a>（CVSS風險值為9.8）因應，資安業者<a href="https://www.ithome.com.tw/news/171581">CrowdStrike</a>與<a href="https://www.ithome.com.tw/news/171527">Google</a>皆指出，Clop附屬團體自8月9日開始將其用於攻擊活動。</p> </div></div></div>
2025/10/14 10:54作者周峻佑https://www.ithome.com.tw/news/171651
Oracle修補EBS高風險漏洞，若不處理，攻擊者可未經授權存取敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月11日Oracle<a href="https://www.oracle.com/security-alerts/alert-cve-2025-61884.html">發布資安公告</a>，修補旗下ERP系統E-Business Suite（EBS）資安漏洞CVE-2025-61884，攻擊者可在不需通過身分驗證（輸入帳號、密碼）的情況下，進行遠端利用，一旦成功觸發，就有機會存取敏感資源。由於<a href="https://www.ithome.com.tw/news/171527">本月初</a>才爆發勒索軟體Clop（Cl0p）附屬團體利用零時差漏洞<a href="https://www.ithome.com.tw/news/171553">CVE-2025-61882</a>發動大規模攻擊，這項新漏洞的揭露，很難不讓人聯想，可能與這起事故有關。</p> <p>CVE-2025-61884出現在EBS的Runtime UI元件，影響12.2.3至12.2.14版EBS，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-61884">CVSS風險為7.5分</a>。這項漏洞相當容易利用，未經授權的攻擊者只需透過HTTP進行網路存取，就有機會以此滲透Oracle Configurator。一旦成功利用漏洞發動攻擊，攻擊者就有機會未經授權存取重要資料，或是完全存取Oracle Configurator能夠存取的所有資料。</p> <p>附帶一提的是，Oracle資安長Rob Duhart發布部落格文章透露，<a href="https://blogs.oracle.com/security/post/alert-cve-2025-61884">此漏洞影響部分EBS環境</a>，不過，對於這項漏洞是否已遭利用，以及那些型態的EBS存在此種弱點，他並未說明。</p> </div></div></div>
2025/10/14 11:31作者周峻佑https://www.ithome.com.tw/news/171654
加州州長簽署全美首個陪伴型聊天機器人安全法案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.ca.gov/2025/10/13/governor-newsom-signs-bills-to-further-strengthen-californias-leadership-in-protecting-children-online/" target="_blank">加州州長Gavin Newsom周一（10/13）簽署了多項法案</a>，其中之一為全美首個陪伴型聊天機器人（Companion Chatbot）安全法案SB-243，用以預防它對使用者造成傷害。</p> <p>SB-243是由Steve Padilla與Josh Becker兩名參議員共同提出，<a href="https://leginfo.legislature.ca.gov/faces/billNavClient.xhtml?bill_id=202520260SB243" target="_blank">正式名稱為《陪伴型聊天機器人法》</a>（Companion Chatbots Act），主要規範陪伴型聊天機器人平臺的使用安全。</p> <p>它要求平臺必須明確告知使用者該聊天機器人是由AI生成，而非真實人類。在平臺得知互動對象為未成年用戶時，除了必須告知用戶正在與AI互動之外，若雙方互動時間超過3小時，必須提醒用戶休息，且再次標示AI身分，亦禁止生成或建議任何色情內容。</p> <p>此外，平臺必須建立預防生成自殺或自殘內容的協議，且自2027年7月1日起，每年都必須向自殺防治辦公室提交報告。</p> <p>該法令所定義的陪伴型聊天機器人為採用自然語言介面，可提供真人特性的回覆，滿足使用者的社交需求，並可多次來回互動以維持關係的AI系統。至於用於客服、技術支援、遊戲，或是喇叭等智慧裝置中的AI聊天機器人則不在此列。</p> </div></div></div>
2025/10/14 12:21作者陳曉莉https://www.ithome.com.tw/news/171664
OpenAI與博通宣布共同部署10GW的客製化AI加速器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼與<a href="https://www.ithome.com.tw/news/171340" target="_blank">Nvidia</a>及<a href="https://www.ithome.com.tw/news/171542" target="_blank">AMD</a>兩大GPU製造商合作之後，<a href="https://openai.com/index/openai-and-broadcom-announce-strategic-collaboration/" target="_blank">OpenAI周一（10/13）宣布</a>與全球通訊及基礎架構晶片龍頭博通（Broadcom）結盟，雙方將共同開發與部署10GW的客製化AI加速器。</p> <p>博通的兩大業務為半導體晶片與基礎架構軟體，前者涵蓋網通晶片、乙太網路交換器、資料中心網路控制器、儲存控制器，以及光纖/無線/寬頻通訊晶片；後者則有包括VMware等基礎架構軟體及系統解決方案。<a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-inc-announces-second-quarter-fiscal-year-2025-financial" target="_blank">博通今年第二季的營收</a>為150億美元，比去年同期成長20%，其中，半導體解決方案占了84億美元，成長17%，基礎架構軟體佔66億美元，成長25%，該季的每股盈餘為1.03美元。</p> <p>OpenAI表示，OpenAI將設計AI加速器與系統，再交由博通負責開發及部署，藉由設計自己的晶片與系統，OpenAI將能把從開發前沿模型及產品中所學到的經驗嵌入硬體中，釋放更高層次的運算能力與智慧。而這些機架將全面採用博通的乙太網路及其它連線解決方案來擴展，將部署在OpenAI與合作夥伴的資料中心，以滿足全球對AI激增的需求。</p> <p>有別於與Nvidia及AMD的合作在於運算能力，OpenAI與博通的合作強調的是共同開發的AI加速器與博通強大的互連系統。</p> <p>雙方已針對共同開發及供應AI加速器上簽署了長期合作協議，亦簽署一份意向書（Term Sheet），將部署整合AI加速器及博通網路解決方案的機架系統。<a href="https://investors.broadcom.com/news-releases/news-release-details/openai-and-broadcom-announce-strategic-collaboration-deploy-10" target="_blank">博通則說</a>，計畫於2026年下半年開始部署AI加速器與網路系統的機架，預計於2029年底完成。</p> <p>OpenAI迄今已吸引了超過8億的每周活躍用戶，為了準備足夠的運算能力與資源，該公司卯足了勁四處結盟。</p> <p>AI加速器是專為AI運算所設計的晶片，可高效執行深度學習中的矩陣乘法及張量運算，其實不只是OpenAI，許多業者也都自行設計了AI加速器，例如Google TPU、AWS Inferentia / Trainium、Graphcore IPU與Groq LPU等。</p> <p>至於現階段的AI晶片龍頭Nvidia所開發的繪圖晶片，固然是因具備大量平行運算核心而被應用於AI，但該公司還同時輸出伺服器、網路、軟體、雲端AI運算生態體系，形成從硬體到平臺的垂直整合優勢，尚難以被單純的AI加速器所取代。</p> </div></div></div>
2025/10/14 10:24作者陳曉莉https://www.ithome.com.tw/news/171641
微軟正式終止支援Windows 10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/zh-tw/windows/end-of-support" target="_blank">經過多年宣導和提醒</a>，時間來到了2025年10月14日，微軟將正式為Windows 10軟體更新畫下句點。</p> <p>從10月15日起，Windows 10大部份商用及消費者版本（Enterprise、Pro、Home、Education、IoT Enterprise）都不會再獲得安全及功能更新、與技術支援。<a href="https://www.microsoft.com/zh-tw/windows/end-of-support" target="_blank">微軟呼籲</a>用戶為確保安全性，<a href="https://support.microsoft.com/zh-tw/windows/%E5%AE%89%E8%A3%9D-windows-11-%E7%9A%84%E6%96%B9%E6%B3%95-e0edbbfb-cfc5-4011-868b-2ce77ac7c70e" target="_blank">升級到Windows 11</a>或購買延伸安全更新（extended security update，ESU）。</p> <p>此外，Windows 10平臺的Microsoft 365及Office應用程式還可以使用，但再也不會獲得功能更新。但是<a href="https://support.microsoft.com/en-us/windows/windows-10-support-ends-on-october-14-2025-2ca8b313-1946-43d3-b55c-2b95b107f281" target="_blank">根據微軟說明</a>，Microsoft 365 on Windows 10還會獲得3年安全更新，到2028年10月10日。</p> <p>Windows 10是在2015年7月29日正式問世，並逐漸取代Windows 7成為Windows PC主要作業系統，並且開啟一年二次釋出主要更新的升級型態。2021年6月<a href="https://www.ithome.com.tw/news/145041" target="_blank">微軟首度說明</a>Windows 10將在2025年10月14日終止支援，並在同月產品大會上宣布Windows 11。</p> <p>微軟訴求，Windows 11較Windows 10有更清爽的介面、同步Android手機和電腦、Copilot AI助理等功能。但並非每臺Windows 10 PC想升級都可以，因為Windows 11有嚴格的硬體規格要求，包括1 GHz以上的64位元處理器、4 GB RAM、64 GB可用儲存空間、UEFI安全開機、TPM 2.0、支援DirectX 12的顯示卡等。曾有許多用戶嘗試在較舊規格的PC上安裝Windows 11，包括修改註冊表。微軟並未否認技術可行性，但是<a href="https://support.microsoft.com/en-us/windows/windows-11-on-devices-that-don-t-meet-minimum-system-requirements-0b2dc4a2-5933-4ad4-9c09-ef0a331518f1" target="_blank">微軟強調</a>這些Windows 11 PC並無法獲得支援。且微軟2024年再次重申，並未放鬆對硬體規格的要求。</p> <p>另一方面，仍有許多Windows 10用戶拒絕或來不及更新。微軟於2024年底首度<a href="https://www.ithome.com.tw/news/165795" target="_blank">針對消費版提供</a>為期一年的延伸安全更新，不像Windows 7時代只提供企業用戶。消費者需支付30美元。今年6月微軟又<a href="https://www.ithome.com.tw/news/169709" target="_blank">增加二種換取ESU</a>的方法。一是以Microsoft Rewards 1000點兌換ESU，二是使用Windows Backup功能將Windows設定同步到雲端。不過<a href="https://www.ithome.com.tw/news/171391" target="_blank">歐盟用戶</a>9月獲得獨家待遇，不用備份也不必付錢，就能獲得1年的ESU。</p> <p>根據市調機構<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide/" target="_blank">GlobalStat的估計</a>，Windows 10市佔到今年6月正式被Windows 11超過。截至今年9月，Windows 11和10的市佔分別為49.05%及40.84%。</p> <p>事實上，10月14日不只是Windows 10安全更新的大限，Exchange Server 2016/2019、Office 2016/2019也會在10月15日起失去支援。</p> <p>少部份Windows 10 Enterprise版還會持續獲得支援，這些都是屬於長期服務通道（Long Term Servicing Channel，LTSC）企業授權，包括LTSC 2021（<a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-enterprise-ltsc-2021" target="_blank">可到2027年</a>）、LTSC 2019（<a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-enterprise-ltsc-2019" target="_blank">到2029年</a>）及LTSC 2016（<a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-2016-ltsb" target="_blank">到2026年</a>）。</p> </div></div></div>
2025/10/14 08:26作者林妍溱https://www.ithome.com.tw/news/171640
AWS推出Quick Suite整合研究、商業智慧與自動化的代理式AI平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/blogs/aws/reimagine-the-way-you-work-with-ai-agents-in-amazon-quick-suite/">AWS發表Amazon Quick Suite</a>，將研究、商業智慧與流程自動化整合到單一工作區，主打以自然語言完成查詢、產出分析並直接觸發後續動作，減少在多個應用之間切換的成本。官方稱其為代理式AI同事。</p> <p>Quick Suite由5個元件構成。Quick Index作為統一的知識基礎，彙整資料庫、文件與應用程式資料以提升回覆的準確度。Quick Research負責跨企業資料與外部來源進行系統化研究，並提供可追溯的指引註解。Quick Sight整合商業智慧，支援以對話建立儀表板、主管摘要與情境分析。Quick Flows讓使用者用自然語言描述，生成多步驟工作流程，而Quick Automate則是企業級跨系統流程的設計、監控與部署。</p> <p>對既有使用者而言，Amazon QuickSight將升級為Quick Suite中的Quick Sight，屬介面與能力的整合與更名，資料連線、權限與安全性設定不需搬遷，維持原狀。</p> <p>Quick Automate與Quick Flows皆配備可操作瀏覽器的UI代理，能依自然語言指令自動開啟網站、填寫表單、點擊介面元素並擷取所需資料。兩者均支援人工作業關卡，讓特定步驟在自動化流程中可由人工審查或覆核，確保資料準確性與合規性。這些代理可與第三方服務串接，讓使用者能在儀表板或聊天介面中，直接建立工單、發送通知或觸發自動化任務，而無需切換應用程式。</p> <p>除核心代理功能外，Quick Suite也提供Spaces，用於情境化整合專案檔案與資料集。使用者可依部門或任務建立空間，將相關文件、報表與連線資料集中管理，並進行權限控制。平臺同時支援建立客製化聊天代理，可限定存取範圍與可用工具，使不同部門能依業務需求建立具特定知識與操作權限的對話代理。</p> <p>官方也整合OneDrive、SharePoint與Google Drive等內容來源，並支援與ServiceNow、Salesforce、PagerDuty、Asana等常見企業服務連動。開發者也可透過OpenAPI或MCP標準擴充動作庫，讓代理能執行更多自定義操作。</p> <p>Quick Suite定價採每用戶訂閱加用量計費。Professional每人每月20美元，Enterprise每人每月40美元，而帳戶需負擔每月250美元的基礎設施費。進階代理能力以代理時數計量，Enterprise可超出包含額度後依用量付費，Quick Flows與Quick Automate每小時3美元、Quick Research每小時6美元。Quick Index提供50MB免費容量，超額以每MB每月1美元計費，並對影像與音訊影片編碼收取處理費。</p> <p>初期可用區域為美東北維吉尼亞、美西奧勒岡、歐洲愛爾蘭與亞太雪梨，官方並說明網頁搜尋服務在美東區域處理，跨區使用時會跳出提示。使用者可於聊天面板關閉單次查詢的網頁搜尋，也可由管理端統一控管。</p> </div></div></div>
2025/10/13 21:59作者李建興https://www.ithome.com.tw/news/171639
【資安日報】10月13日，中國駭客利用監控工具Nezha攻擊網頁伺服器，臺灣受害最嚴重
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客發動網路攻擊的活動頻頻傳出，但上週末資安業者Huntress揭露濫用開源監控工具「哪吒（Nezha）」攻擊網頁伺服器的活動，引起臺灣資安圈不少關注，原因是受害主機大部分都集中在亞太地區，而且，臺灣災情最為嚴重，有22臺系統被入侵。</p> <p>另一方面，先前多起重大資安事故也出現後續進展，其中又以Oracle E-Business Suite（EBS）零時差漏洞攻擊CVE-2025-61882事故最受到矚目，最早向新聞媒體透露的Google終於公布調查結果，透露整起攻擊行動至少從7月開始，但隔了一個月才開始利用近日公布的零時差漏洞。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171635"><strong style="font-size: 22px;">開源工具Nezha遭中國駭客濫用，臺灣有22臺系統受害，攻擊者可藉此在網站植入後門Ghost RAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897.png" style="width: 300px; float: right;" /></a></p> <p>為了迴避資安系統的偵測，駭客利用公開、合法的工具從事攻擊，幾乎可說是常態，而且駭客還會尋找鮮少被濫用的工具來犯案，以防相關手法被識別出來。</p> <p>資安業者Huntress揭露中國駭客鎖定網頁伺服器的攻擊行動，他們利用事件記錄中毒（Log Poisoning，也稱做Log Injection）的攻擊手法，意圖部署名為中國菜刀（China Chopper）的Web Shell，進而透過網頁應用程式滲透測試工具AntSword控制網頁伺服器，然後他們再濫用另一款開源監控工具「哪吒（Nezha）」，從而在受害主機執行命令。根據調查結果，超過100臺網頁伺服器可能受害，而且臺灣受害主機數量最多，有22臺，日本、韓國、香港也出現災情。Huntress指出，這是首度看到有人濫用Nezha從事網路攻擊的情況。</p> <p>這起事故最早可追溯至今年8月，針對攻擊行動發生的過程，Huntress指出駭客鎖定存在弱點且能透過網際網路存取的網頁應用程式而來，其中一起是針對資料庫管理介面phpMyAdmin而來，該網頁伺服器採用了預設的phpMyAdmin組態，無須通過身分驗證就能存取。一旦駭客存取了管理介面，他們就會將語言設置為簡體中文，隨後存取伺服器的SQL查詢介面，並下達SQL命令，利用事件記錄中毒手法，藉由phpMyAdmin與MariaDB部署與執行Web Shell。</p> <p><a href="https://www.ithome.com.tw/news/171625"><strong style="font-size: 22px;">Google公布企業Oracle EBS系統遭駭調查報告，濫用的漏洞可能不只CVE-2025-61882</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/oracle-cl0p-fig3_max-2100x2100.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/oracle-cl0p-fig3_max-2100x2100.png" style="width: 300px; float: right;" /></a></p> <p>這個月初，Google向多個新聞媒體揭露多家企業可能面臨一波勒索軟體攻擊的事故。有個附屬於勒索軟體組織Clop的團體寄敲詐信給多家企業主管，聲稱他們竊取這些公司放在ERP軟體Oracle E-Business Suite（EBS）的敏感資料，Google威脅情報團隊（GTIG）與資安應變顧問單位Mandiant已介入調查。幾天後，Oracle發布部落格文章，起先表示得知有用戶收到敲詐信，初步調查認為攻擊者可能利用今年7月揭露與修補的一批漏洞，之後又改口說是新揭露的漏洞CVE-2025-61882可能遭濫用，並為其發布資安公告，令外界搞不清楚狀況。</p> <p>最先揭發此事的Google威脅情報小組（GTIG）與事故應變部門Mandiant，10月11日終於發布正式調查報告！他們的分析指出，Clop（Cl0p）的敲詐其實是幾個月鎖定EBS用戶環境入侵的後續，而且，早在8月9日，攻擊者就可能濫用零時差漏洞對付EBS用戶，而且還有其他可疑的活動，最早可追溯至7月10日。這兩個資安單位警告，在部分案例當中，攻擊者成功從受害組織竊取了大量資料。</p> <p><a href="https://www.ithome.com.tw/news/171617"><strong style="font-size: 22px;">Salesforce證實遭到勒索，表明拒絕支付贖金</strong></a></p> <p>根據彭博社（Bloomberg）及BleepingComputer的報導，全球CRM龍頭Salesforce的確遭到駭客的勒索，並在10月7日發信通知客戶，該公司不會支付贖金。</p> <p>發動這起勒索行動的駭客組織為Scattered Lapsus$ Hunters，他們今年初開始偵察銷售平臺Salesloft上的Drift，自今年8月8日至18日之間，駭客利用這些存取憑證登入多家Salesforce租戶，批次查詢企業敏感資訊，最後刪除查詢記錄以掩蓋行跡。Salesloft的監控發現了不正常的大量授權請求與資料匯出行為，受害企業亦察覺到異常的API查詢及資料下載，Google則於8月底公布此事，最後是由Salesloft與Salesforce聯合撤銷所有Drift應用的Token，才阻止了駭客的資料竊取行為。</p> <p>後續駭客開始向受害者及Salesforce勒索，要求他們支付贖金，否則就要公布所盜來的資料，並設立BreachForums網站，公布受害者名單。駭客揚言，倘若Salesforce願意支付贖金，那麼他們就願意放過所有客戶。對此，Salesforce在寄給客戶的郵件中表示，即使駭客威脅要公開所盜來的客戶資料，但該公司並不會支付贖金。Salesforce發言人Allen Tsai亦向媒體表示，Salesforce不參與、協商或支付任何勒索要求。</p> <p><a href="https://www.ithome.com.tw/news/171634"><strong style="font-size: 22px;">防火牆業者SonicWall完成被駭調查，確認雲端備份客戶全數受影響</strong></a></p> <p>針對雲端防火牆組態備份服務MySonicWall遭駭的事故，近日SonicWall與Mandiant完成攻擊事件調查，確認攻擊者曾未經授權存取所有曾使用此服務備份的防火牆偏好設定組態檔案。SonicWall對事件範圍的說法也有所調整，先前在初步評估階段，SonicWall曾表示影響少於整體防火牆安裝基數5％，而在調查結束後，該公司明確指出所有使用雲端備份服務的客戶均受影響。</p> <p>SonicWall發布Essential Credential Reset操作指引，要求用戶依隔離、修復、監控3階段執行，且已停用自動將偏好設定備份上傳至雲端。如果用戶需存取既有雲端備份，必須登入MySonicWall介面手動取得。</p> <p>本次事故遭存取的是防火牆偏好設定備份檔，該檔案為裝置設定的完整快照，內含各項憑證與秘密資訊，雖然秘密資訊本身受加密保護，但備份檔足以協助攻擊者描繪環境並策畫後續攻擊。官方表示目前沒有證據顯示其他MySonicWall服務或客戶裝置受影響，但仍建議受影響環境全面輪換憑證與共用金鑰，並依指引作業。</p> <p><a href="https://www.ithome.com.tw/news/171632"><strong style="font-size: 22px;">駭客開始公布Qantas澳洲航空乘客資料</strong></a></p> <p>今年7月坦承遭到駭客入侵的澳洲航空Qantas，在10月12日表示，駭客已開始散布所竊取的Qantas客戶資料。根據衛報（The Guardian）的報導，Qantas的客戶資料是因為沒有支付贖金才被駭客公開。</p> <p>一直以來，Qantas都僅說客戶資料透過第三方平臺外洩，並未公布第三方名稱或事故經過。不過，資安社群及媒體都已將Qantas事故連結至最近遭到駭客鎖定的Salesforce系統。</p> <p>根據Qantas的統計，駭客盜走了該公司570萬名客戶資料，大多數的客戶資料僅包含姓名、電子郵件地址，以及常客細節；僅有一小部分的客戶資料內含公司或住家地址、生日、電話號碼、性別及餐點偏好；而護照或信用卡細節、PIN碼、密碼等資料都未被存取。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2025/10/09/investigating-targeted-payroll-pirate-attacks-affecting-us-universities/">駭客組織Storm-2657鎖定美國大學而來，存取人力資源平臺洗劫員工薪水</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://krebsonsecurity.com/2025/10/ddos-botnet-aisuru-blankets-us-isps-in-record-ddos/">DDoS殭屍網路Aisuru創30 Tbps流量紀錄，大量物聯網設備存在於美國ISP網路而難以因應</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/rondodox-botnet-targets-56-n-day-flaws-in-worldwide-attacks/">殭屍網路RondoDox鎖定56種資安漏洞，攻擊逾30種連網裝置</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/github-copilot-camoleak-ai-attack-exfils-data">GitHub Copilot存在弱點，攻擊者可透過CamoLeak手法洩露資料</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apple-now-offers-2-million-for-zero-click-rce-vulnerabilities/">蘋果擴大漏洞懸賞規模因應間諜攻擊活動，零點擊RCE漏洞加碼至200萬美元</a></strong></p> <p> </p> <h3>【執法行動】</h3> <p><a href="https://www.ithome.com.tw/news/171629"><strong style="font-size: 22px;">美國警方破獲洩露Salesforce用戶資料的駭客論壇網站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BreachForums_seized.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BreachForums_seized.jpg" style="width: 300px; float: right;" /></a></p> <p>近日大膽宣稱入侵數百家企業竊得Salesforce客戶資料的駭客組織，他們用來對外發聲的論壇網站BreachForums，傳出遭到美國聯邦調查局（FBI）查緝關閉。</p> <p>BreachForums是知名的地下論壇，是眾多駭客公佈或兜售受害企業資料的主要線上網站，常在國際警方官兵捉強盜行動後關閉，間隔一段時間又復出。上周遭到關閉的Breachforums[.]hn，是法國警方6月逮捕論壇營運者後又復出，但在10月後，成為專門公佈竊取自知名企業Salesforce客戶資料的網站，營運者是自稱Scattered Lapsus$ Hunters的駭客。</p> <p>Bleeping Computer報導，這個論壇不論是明網，或是以Tor網路的暗網網站，當用戶試圖連結其網域時，網路連線會被轉向美國司法部及FBI控制、位於FBI.seized.gov網域的伺服器，並顯示文字聲明，說明BreachForums已被美、法執法機關接管。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171612"><strong>【10月9日】AI資安工具協助改善模型品質、自動修補軟體資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171593"><strong>【10月8日】Oracle E-Business Suite零時差漏洞攻擊、Red Hat資料外洩事故出現新進展</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171575"><strong>【10月7日】勒索軟體駭客Clop聲稱從Oracle E-Business Suite竊得大批企業內部資料</strong></a></p> </div></div></div>
2025/10/13 17:09作者周峻佑https://www.ithome.com.tw/news/171636
開源工具Nezha遭中國駭客濫用，臺灣有22臺系統受害，攻擊者可藉此在網站植入後門Ghost RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避資安系統的偵測，駭客利用公開、合法的工具從事攻擊，幾乎可說是常態，而且駭客還會尋找鮮少被濫用的工具來犯案，以防相關手法被識別出來。</p> <p>資安業者Huntress揭露<a href="https://www.huntress.com/blog/nezha-china-nexus-threat-actor-tool">中國駭客鎖定網頁伺服器的攻擊行動</a>，他們利用事件記錄中毒（Log Poisoning，也稱做Log Injection）的攻擊手法，意圖部署名為中國菜刀（China Chopper）的Web Shell，進而透過網頁應用程式滲透測試工具AntSword控制網頁伺服器，然後他們再濫用另一款開源監控工具「哪吒（Nezha）」，從而在受害主機執行命令。根據調查結果，超過100臺網頁伺服器可能受害，而且臺灣受害主機數量最多，有22臺，日本、韓國、香港也出現災情。Huntress指出，這是首度看到有人濫用Nezha從事網路攻擊的情況。</p> <p>這起事故最早可追溯至今年8月，針對攻擊行動發生的過程，Huntress指出駭客鎖定存在弱點且能透過網際網路存取的網頁應用程式而來，其中一起是針對資料庫管理介面phpMyAdmin而來，該網頁伺服器採用了預設的phpMyAdmin組態，無須通過身分驗證就能存取。一旦駭客存取了管理介面，他們就會將語言設置為簡體中文，隨後存取伺服器的SQL查詢介面，並下達SQL命令，利用事件記錄中毒手法，藉由phpMyAdmin與MariaDB，試圖部署與執行Web Shell。</p> <p>究竟駭客如何進行事件記錄中毒攻擊？具體來說，他們將Web Shell的有效酬載埋藏在MariaDB的事件記錄資料當中。為了達到目的，他們首先啟用了事件記錄的查詢功能，以便將所有查詢寫入磁碟；接著發出帶有Web Shell的單行查詢，使得有效酬載存放於事件記錄檔案。Huntress特別提及，攻擊者會將事件記錄檔案的副檔名設置為.php，這麼做他們後續只要向伺服器發送POST請求，就能執行Web Shell。</p> <p>駭客透過Apache網頁伺服器的httpd.exe執行子程序，以載入Web Shell，後續他們利用AntSword，從設置在Cloudflare的網頁當中，下載有效酬載，從而於受害伺服器植入Nezha的代理程式。最終攻擊者利用Nezha執行PowerShell，設置Microsoft Defender的白名單功能，並部署後門程式Ghost RAT。</p> </div></div></div>
2025/10/13 16:26作者周峻佑https://www.ithome.com.tw/news/171635
導入PCIe 5與新ASIC晶片，AMD推出第四代低延遲網路卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_solarflare_x4_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年下半AMD針對網路應用產品線，推出基於Pensando資料處理器的<a href="https://www.ithome.com.tw/review/165555">Pollara</a>與<a href="https://www.ithome.com.tw/review/166618">Salina</a>，今年10月他們發表新款網路介面卡Solarflare X4，相關技術來自賽靈思（Xilinx）2019年併購低延遲網路卡供應商Solarflare，隔年推出結合FPGA晶片與Solarflare網路介面的<a href="https://www.ithome.com.tw/review/136356">Xilinx Alveo U25 SmartNIC</a>，隨著AMD在2022年完成賽靈思的併購，下一代FPGA網路卡<a href="https://www.ithome.com.tw/review/156717">AMD Alveo X3系列</a>也順勢登場。</p> <p>Solarflare X4本身是純粹的網路卡，採用的ASIC晶片是Solarflare NS9480，I/O介面為PCIe 5.0，熱設計功耗皆是25瓦以下，</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD CUSTOM DESIGNED LOW-LATENCY ASIC.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20CUSTOM%20DESIGNED%20LOW-LATENCY%20ASIC.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD SOLARFLARE x4-Data Path.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20SOLARFLARE%20x4-Data%20Path.png" style="width: 398px;" /></a></p> <p>區分為兩種機型：X4542內建2個SFP56埠、支援1/10/15/50GbE連線能力，以及X4522，內建2個QSFP56埠、支援1/10/25/40/50/100GbE。</p> <p><a href="https://s4.itho.me/sites/default/files/images/vij1740068741627.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vij1740068741627.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/X4542 Block Diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/X4542%20Block%20Diagram.png" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kvv1740063271835.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kvv1740063271835.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/X4522 Block Diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/X4522%20Block%20Diagram.png" style="width: 298px;" /></a></p> <p> </p> <p>這批機型承接的上一代產品是Solarflare X2，採用PCIe 3.1介面，分為XtremeScale X2541，內建1個QSFP28埠、支援10/25/40/50/100GbE，以及XtremeScale X2522，內建兩個SFP28埠、支援10/25GbE。<br /> 根據AMD內部測試，比起上一代網路卡產品，最新推出的Solarflare X4，延遲降低了40％——對上Alveo X3522、X2522，存取延遲的時間縮減，分別超過320奈秒、200奈秒，封包有效負載為0至648 bytes時，X4542延遲縮短幅度分別是27.2％、42.9％；封包有效負載為4 bytes時，X4542延遲縮短幅度分別是34.9％、55.5％。</p> <p>就傳輸效能而言，相較於搭配Solarflare X2的伺服器，搭配Solarflare X4的伺服器提升了兩倍。</p> <p>同樣搭配Solarflare X4網路卡的雙路伺服器，對比採用競爭廠商的處理器（英特爾Xeon Gold 6534），處理器若採用2024年推出的AMD EPYC 4005系列（4564P），網路存取延遲可減少12％（77奈秒）；對比採用AMD EPYC 9575F的系統，處理器採用AMD EPYC 4564P的系統，網路延遲可減少9％（54奈秒），處理器採用英特爾Xeon Gold 6534的系統，網路延遲則增加4％（23.7奈秒）。</p> <p>在產品用途上，AMD表示，Solarflare X4的設計，能因應「奈秒」必爭的多種產業關鍵需求，針對高頻交易、金融服務與其他對延遲敏感的環境，提供維持競爭優勢的可靠度、開放性，以及一致性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/amd solarflare x4-models.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/amd%20solarflare%20x4-models.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">AMD Solarflare X4</span></strong><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●機型：X4522、X4542<br /> ●外形：半高半長<br /> ●提供網路埠：X4522內建2個10/25/50GbE埠（SFP56），X4542內建2個10/25/40/50/100GbE埠（QSFP56）<br /> ●連接介面：PCIe 5.0 x8<br /> ●ASIC晶片：AMD Solarflare NS9480<br /> ●熱設計功耗：X4522為18.7瓦，X4542為23.2瓦<br /> ●支援管理協定：NC-SI、PLDM<br /> ●支援管理傳輸協定：MCTP over SMBus、PCIe VDM<br /> ●相容作業系統：RedHat Enterprise Linux、Canonical Ubuntu Server LTS.</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/10/13 17:01作者李宗翰https://www.ithome.com.tw/review/171627
防火牆SonicWall完成被駭調查，確認雲端備份客戶全數受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SonicWall已與Mandiant已完成<a href="https://www.sonicwall.com/support/knowledge-base/mysonicwall-cloud-backup-file-incident/250915160910330" target="_blank">攻擊事件調查</a>，<a href="https://www.sonicwall.com/support/knowledge-base/essential-credential-reset/250909151701590">確認</a>攻擊者曾未經授權存取所有曾使用MySonicWall雲端備份服務的防火牆偏好設定備份檔。官方對事件範圍的說法也有所調整，先前在初步評估階段，SonicWall曾表示影響少於整體防火牆安裝基數5％，而在調查結束後，官方明確指出所有使用雲端備份服務的客戶均受影響。</p> <p><a href="https://www.sonicwall.com/support/knowledge-base/essential-credential-reset/250909151701590" target="_blank">SonicWall發布Essential Credential Reset操作指引</a>，要求用戶依隔離、修復、監控3階段執行，且已停用自動將偏好設定備份上傳至雲端。如果用戶需存取既有雲端備份，必須登入MySonicWall介面手動取得。</p> <p>SonicWall說明，遭存取的是防火牆偏好設定備份檔。該檔案為裝置設定的完整快照，內含各項憑證與秘密資訊，雖然秘密資訊本身受加密保護，但備份檔足以協助攻擊者描繪環境並策畫後續攻擊。官方表示目前沒有證據顯示其他MySonicWall服務或客戶裝置受影響，但仍建議受影響環境全面輪換憑證與共用金鑰，並依指引作業。</p> <p>用戶在進入修復階段前，應先完成隔離，重點包括關閉或限制來自WAN的管理服務與遠端連線功能，例如暫停或限縮HTTP/HTTPS、SSH管理存取，暫停或限縮SSL VPN與IPSec VPN，並檢查是否有對內部伺服器的入站規則需要臨時關閉或改為僅允許可信來源。</p> <p>修復階段用戶需逐一更換本機使用者與管理者密碼、IPSec預先共享金鑰與憑證、LDAP或RADIUS連線密碼、動態DNS與郵件警示帳密，以及重設TOTP綁定。所有變更須同時於相對應的外部系統或遠端端點更新，包含遠端IPSec對端、身分驗證伺服器與供應商平臺，以避免網路連線或驗證流程中斷。</p> <p>官方提供兩條修復路徑，其一路徑為完全手動，依知識庫清單逐項調整密碼、金鑰與TOTP。另一條路徑是匯入SonicWall提供的更新後偏好檔，該檔以雲端最後一次備份為基礎產生，已包含隨機生成本機使用者密碼、重設TOTP並更新IPSec金鑰。</p> <p>用戶在完成輪換後應持續監控，包含檢視系統與稽核紀錄中是否出現異常管理登入與組態變更，以及VPN連線事件。必要時可擴充記錄保存與通知設定，縮短偵測與回應時間。</p> </div></div></div>
2025/10/13 15:11作者李建興https://www.ithome.com.tw/news/171634
【資安週報】1007~1009，多組駭客鎖定Oracle E-Business Suite發動零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>夾在中秋連假與國慶連假之間的10月第二個星期，駭客鎖定Oracle商業應用程式E-Business Suite（EBS）漏洞攻擊的消息最受關注，由於企業ERP系統存放許多公司日常營運的重要資料，加上幾乎每日都有新的消息被揭露，佔據大量新聞版面。</p> <p>回顧這起事件，首先是月初傳出駭客組織對多家公司高層寄出恐嚇信，揚言已攻入企業使用的Oracle EBS系統，先前Oracle表示與7月發布的重大漏洞修補有關，後續則又緊急修補CVE-2025-61882漏洞並公布入侵指標（IoC），這顯然是零時差漏洞已遭利用。</p> <p>多家資安業者揭露此事調查報告，例如，CrowdStrike指出攻擊者為駭客組織Graceful Spider（TA505、Hive0065、Gold Tahoe），新修補漏洞在8月9日就遭利用，並懷疑還有其他駭客參與攻擊；最早揭露事件的Google GTIG與Mandiant也發布報告指出，指出7月10日就有漏洞利用發生，研判攻擊者應是FIN11與其附屬團體，並有多條漏洞濫用攻擊鏈的存在，另指出Clop（Cl0p）的敲詐是數月前針對EBS用戶環境入侵的後續。</p> <p>另一則漏洞攻擊消息亦值得留意，是郵件伺服器Zimbra零時差漏洞遭利用，資安業者StrikeReady指出駭客濫用ICS行事曆檔案來觸發攻擊，這項漏洞雖已在4月發布修補，但實際上今年1月就有利用情形，有攻擊者冒充利比亞海軍旗下的禮賓辦公室寄信給巴西軍方，意圖觸發漏洞。</p> <p>其他重大資安事件，國內有兩起上市櫃公司的資安重訊，涵蓋生技業與建築業，國際間還有食品業遭勒索軟體攻擊情形。<br /> ●葡萄王生技子公司葡眾企業接到匿名網路勒贖信件<br /> ●太子建設揭露部分資訊系統遭受駭客網路攻擊<br /> ●朝日啤酒證實近期網路攻擊事件導致營運停擺是遭勒索軟體入侵，後續Qilin聲稱是他們所為。</p> <p>資料外洩新聞亦是本星期重要焦點，因為有三起事件持續突顯這方面的威脅，包含Red Hat、Discord與街口支付。<br /> ●Red Hat發生嚴重資料外洩事故，駭客組織Crimson Collective聲稱入侵其內部開發儲存庫，並竊得約800份客戶互動報告，Red Hat承認外洩資料與自家顧問團隊有關，資安專家Kevin Beaumont研判超過5千家企業的網路環境因此曝險。<br /> ●有駭客聲稱從Discord使用的第三方IT服務臺Zendesk竊取550萬用戶資料，涵蓋1.5 TB的客服工單附件檔案，以及210萬張身分證件的照片<br /> ●國內媒體<a href="https://cnews.com.tw/%e8%a1%97%e5%8f%a3%e6%94%af%e4%bb%98%e7%96%91600%e8%90%ac%e7%ad%86%e7%94%a8%e6%88%b6%e8%b3%87%e6%96%99%e5%a4%96%e6%b4%a9%e3%80%80%e5%ae%98%e6%96%b9%e5%9b%9e%e6%87%89%ef%bc%9a%e8%b3%87%e8%a8%8a/">報導</a>指出街口支付遭駭，疑有600萬筆用戶資料外洩，並公布街口支付回應是：教師節連假期間即監測到確實有外洩事故，不過資料的機敏資訊均經加密處理，影像檔亦附有浮水印。</p> <p>此外，先前Salesforce事件再有後續，雖然這次事件並非該公司被駭，但由於受害者全是Salesforce客戶，如今又有兩起消息引發關注，一是Salesforce證實也被駭客組織利用這些外洩資料進行敲詐，另一是美國警方破獲近期洩露Salesforce資料的駭客論壇網站BreachForums。</p> <p>在資安威脅態勢上，資安公司ReliaQuest發布第三季勒索軟體報告，當中我們特別關注兩大威脅趨勢變化：一是報告指出LockBit、DragonForce與Qilin這三個勒索軟體集團已結盟，會分享戰術與資源；二是今年9月復出的LockBit聲稱允許其成員攻擊核能、水力等關鍵基礎設施。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171575"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月7日】勒索軟體駭客Clop聲稱從Oracle E-Business Suite竊得大批企業內部資料</span></strong></a></h3> <p>上週末相當不平靜，其中最受到關注的消息，莫過於勒索軟體Clop的攻擊行動，這次駭客鎖定的標的，是Oracle商業應用程式E-Business Suite（EBS），這起事故直到他們向多家企業高管寄送勒索信才傳開。由於這些駭客歷年來先後鎖定多款檔案共用系統挖掘零時差漏洞，並發動大規模攻擊，這起事故引起資安圈高度重視。Oracle也先於10月3日表示有客戶收到勒索信，攻擊者疑似透過7月修補的漏洞得逞，但他們在隔天改掉部落格文章內容，遭到利用的其實是零時差漏洞CVE-2025-61882。不過，相關發現是否與Clop活動有關，Oracle並未說明。</p> <p>Scattered Lapsus$ Hunters駭客組織入侵知名企業Salesforce系統，並索討贖金換取資料不被公開的消息不時傳出，但最近這些駭客將勒索的對象轉向該雲端CRM系統的供應商，要脅Salesforce必須直接向他們付錢，否則將聯合受害客戶提告，這是首度有駭客藉由官司施壓，要求廠商支付贖金的情況。</p> <p><a href="https://www.ithome.com.tw/news/171593"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月8日】Oracle E-Business Suite零時差漏洞攻擊、Red Hat資料外洩事故出現新進展</span></strong></a></p> <p>上週末最受到關注的資安事故，莫過於勒索軟體駭客Clop鎖定Oracle E-Business Suite（EBS）的零時差漏洞攻擊，以及Red Hat資料外洩事故。此外，即時通訊軟體Discord也因第三方客服供應商遭未經授權人士入侵面臨資料外洩的情況。巧合的是，這些資安事故皆與3個駭客組織Scattered Spider、Lapsus$、ShinyHunters組成的團體「Scattered Lapsus$ Hunters」有關。</p> <p>其中，犯下EBS零時差漏洞攻擊的勒索軟體Clop旗下團體Graceful Spider，取得零時差漏洞的管道，疑似來自Scattered Lapsus$ Hunters的Telegram頻道；聲稱入侵Red Hat的Crimson Collective，後續將資料上傳該組織的資料外洩網站；至於Discord資料外洩事故，Scattered Lapsus$ Hunters宣稱入侵該公司Zendesk系統得逞。</p> <h3><a href="https://www.ithome.com.tw/news/171612"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月9日】AI資安工具協助改善模型品質、自動修補軟體資安漏洞</span></strong></a></h3> <p>運用AI強化資安的做法已是大勢所趨，本週Anthropic、Google宣布多項新措施而受到關注，其中，Anthropic推出開源的AI模型安全稽核框架Petri，企圖協助開發者找到模型弱點並進行改善，相當受到矚目；再者，Google旗下的DeepMind也打造能自動發現、修補軟體漏洞的AI代理CodeMender；此外，Google也正式推出專屬AI的漏洞懸賞計畫。</p> <p>上週有多起資安事故受到高度關注，並在本週出現新的進展。在勒索軟體駭客Clop鎖定Oracle E-Business Suite（EBS）的零時差漏洞攻擊、Red Hat資料外洩事故，有研究人員公布新的調查結果後，又有其他事故有新消息：朝日啤酒遭駭的事故有駭客組織聲稱犯案，Discord透露事故用戶身分證件外流的規模。</p> </div></div></div>
2025/10/13 10:13作者羅正漢https://www.ithome.com.tw/news/171630
React Native 0.82全面啟用新架構，新版編譯器Hermes V1登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動App開發框架React Native<a href="https://reactnative.dev/blog/2025/10/08/react-native-0.82">釋出0.82版</a>，這是首次只運行於新架構的版本，舊架構開關旗標在Android與iOS將被忽略，實際執行一律採新架構。官方表示後續版本將開始移除舊架構程式碼，以縮小安裝體積並簡化程式碼庫。此次也同步提供編譯器Hermes V1實驗選項、升級至React 19.1.1，並引入可由ref取得的DOM節點API子集與開發體驗相關最佳化。</p> <p>對大多數團隊來說，React Native 0.82最明顯的變更便是架構切換，官方建議，現有專案尚未完成新架構搬遷，可以先升到React Native 0.81或Expo SDK 54，於該版本啟用新架構並驗證功能後，再更新至0.82。官方指出互通層仍會保留，已支援雙架構的第三方函式庫在0.82下可繼續運作。</p> <p>Hermes V1是下一代Hermes編譯器，現階段以實驗形式釋出，需要從原始碼建置才能啟用，並在package.json與Android、iOS的建置設定中開關。Hermes V1著重編譯器與VM層面的效能，官方在實際應用Expensify上測得Android低階裝置與iOS在多項指標均有提升，其中套件載入時間Android約快3.2％、iOS約快9％，整體可互動時間Total TTI指標在Android約快7.6％、iOS約快2.5％，元件可互動時間Content TTI指標在Android約快7.2％、iOS約快7.5％。官方建議團隊自行量測，效能提升會隨應用細節而異。</p> <p>React Native 0.82內建React 19.1.1正式支援Owner Stacks，修正了過去在特定Babel設定下堆疊資訊不完整的問題，也改善useDeferredValue與startTransition在結合Suspense時的行為一致性。對日常除錯而言，錯誤訊息更具可讀性，除錯過程能更快定位問題來源。</p> <p>新版React Native針對原生元件的設計進行了調整，修改了ref的接取得元件或DOM節點實例的行為，讓開發者能夠更直接地取用更接近網頁DOM的元素。以往ref只能用來呼叫像measure或setNativeProps這類方法，現在則能像在網頁開發中那樣，使用parentNode或getBoundingClientRect等屬性，查看畫面中元件的位置與層級。這使得操作介面結構的方式更直覺，也讓熟悉Web前端的工程師更容易上手。</p> <p>React Native新增可於Canary發行層級啟用的Web Performance API子集，支援高解析度時間與長任務等指標。這些資料之後將整合至React Native DevTools的效能面板，有助於在實際執行時記錄互動延遲與長任務，做出更貼近實際使用情境的改進判斷。</p> <p>Android端新增加debugOptimized建置型態，介於傳統除錯與正式發布之間，預設開啟多項C++最佳化，動畫與重算繪會更順暢，同時保留對JavaScript層的DevTools支援，但不支援C++原生偵錯。官方也已將此功能向前支援至0.81與Expo SDK 54，方便開發者在搬遷階段就能應用。</p> </div></div></div>
2025/10/13 12:30作者李建興https://www.ithome.com.tw/news/171633
Thinking Machines Lab共同創辦人Andrew Tulloch將加入Meta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報（The Wall Street Journal，WSJ）<a href="https://www.wsj.com/tech/ai/thinking-machines-lab-co-founder-departs-for-meta-442d7461?st=rZ6ErK" target="_blank">上周引述消息來源報導</a>，與OpenAI前技術長Mira Murati在今年2月共同創辦Thinking Machines Lab的Andrew Tulloch已跳槽至Meta。Thinking Machines Lab已向WSJ證實Tulloch已離職。</p> <p>出生於澳洲的Tulloch現年34歲，主修數學，他在2012年就進入Meta負責與機器學習有關的研究；之後在2023年轉戰OpenAI，參與GPT系列模型的開發；2025年再與Murati共同創辦Thinking Machines Lab，該公司的首款產品為同年10月發表的模型<a href="https://www.ithome.com.tw/news/171481" target="_blank">微調平臺Tinker</a>。</p> <p>根據報導，Meta今年夏天就曾向Tulloch招手，提供了高達15億美元的薪酬方案，但遭Tulloch拒絕。</p> <p>目前不管是Meta或Tulloch都尚未對外證實此事。</p> </div></div></div>
2025/10/13 11:19作者陳曉莉https://www.ithome.com.tw/news/171631
駭客開始公布Qantas澳洲航空乘客資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/169869" target="_blank">今年7月坦承遭到駭客入侵</a>的澳洲航空Qantas，<a href="https://www.qantasnewsroom.com.au/qantas-responds/update-on-july-cyber-incident/" target="_blank">在本周日（10/12）表示</a>駭客已開始散布所竊取的Qantas客戶資料。根據<a href="https://www.theguardian.com/business/2025/oct/11/hackers-leak-qantas-data-containing-5-million-customer-records-after-ransom-deadline-passes" target="_blank">衛報（The Guardian）</a>的報導，Qantas的客戶資料是因為沒有支付贖金才被駭客公開。</p> <p>一直以來，Qantas都僅說客戶資料透過第三方平臺外洩，並未公布第三方名稱或意外經過。不過，資安社群及媒體都已將Qantas意外連結至最近<a href="https://www.ithome.com.tw/news/171192" target="_blank">遭到駭客鎖定的Salesforce</a>。</p> <p>根據Qantas的統計，駭客盜走了該公司570萬名客戶資料，大多數的客戶資料僅包含姓名、電子郵件地址，以及常客細節；僅有一小部分的客戶資料內含公司或住家地址、生日、電話號碼、性別及餐點偏好；而護照或信用卡細節、PIN碼、密碼等資料都未被存取。</p> <p>而在客戶資料遭到駭客公開後，Qantas已向新南威爾士州最高法院申請禁令，防止任何人或任何第三方存取、察看、發布、使用、傳輸或公開這批被盜資料。</p> <p>Qantas亦強調，自意外發生以來，該公司已採取額外的安全措施，加強對團隊的培訓，亦強化系統的監控及檢測能力。</p> <p>從FBI的調查及Qantas遭駭的時間點可推測，Qantas很可能是遭到語音網釣攻擊，駭客假冒IT人員致電客服中心，並要求員工配合操作與交付登入資訊，而取得了存取其Salesforce管理介面的OAuth權杖。</p> </div></div></div>
2025/10/13 11:38作者陳曉莉https://www.ithome.com.tw/news/171632
微軟Copilot on Windows可幫用戶生成表格、簡報；連結Gmail、Google Drive
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2025/10/09/copilot-on-windows-connectors-and-document-creation/" target="_blank">微軟正在測試新版Copilot on Windows</a>，增加連結Gmail、Google Drive等外部雲端服務，以及生成新文件、試算表和簡報檔的新功能。</p> <p>新版Copilot on Windows新增功能之一是連接器（Connector），可連結個人服務，包括微軟OneDrive、Outlook（包括電子郵件、聯絡人和行事曆），以及Google的Drive、Gmail、Calendar及Contacts。這讓使用者可以下自然語言提示，讓Copilot搜尋多個帳號的內容。例如詢問特定人士的電子郵件，或上周的學校家庭聯絡簿內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Copilot%20on%20Windows-Connectors.png" style="width: 600px;" /></p> <p>這需要用戶將微軟及Google帳號連結到Copilot，方法是從Copilot on Windows 應用程式中的「設定」頁，在「Connectors」一項啟動各項應用。</p> <p>第二項新增功能是新建立和匯出文件、試算表、PDF或PowerPoint簡報檔。用戶可以自然語言下達提示讓Copilot執行任務，例如「將這段文字以Word文件匯出」或是「將這個表格轉成Excel檔」，Copilot會生成可編輯且可分享的文件。而且，回應若超過600字元，Copilot會生成預設的匯出鍵，讓用戶可直接將文字送到Word、PowerPoint、Excel或PDF應用程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Copilot%20on%20Windows-Document%20creation%20and%20export.png" style="width: 600px;" /></p> <p>新版Copilot on Windows（1.25095.161.0版）將經由Microsoft Store送向所有Insiders 頻道。前述功能會漸次部署，因此Insiders用戶需稍候。微軟也歡迎測試人員提供回饋意見。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2025/10/13 08:33作者林妍溱https://www.ithome.com.tw/news/171628
美國警方破獲洩露Salesforce資料的駭客論壇網站BreachForums
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日大膽宣稱入侵數百家企業竊得Salesforce客戶資料的駭客組織用來對外發聲的論壇網站Breachforums，上周遭到美國聯邦調查局（FBI）查緝關閉。</p> <p>Breachforums是知名的地下論壇，是眾多駭客公佈或兜售受害企業資料的主要線上網站，常在國際警方官兵捉強盜行動後關閉後復出。上周遭到關閉的Breachforums[.]hn，是法國警方6月<a href="https://www.bleepingcomputer.com/news/security/breachforums-hacking-forum-operators-reportedly-arrested-in-france/" target="_blank">逮捕論壇營運者</a>後又復出，但在10月後，成為專門公佈竊取自知名企業Salesforce客戶資料的網站，營運者是自稱Scattered Lapsus$ Hunters的駭客。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-takes-down-breachforums-portal-used-for-salesforce-extortion/" target="_blank">Bleeping Computer</a>報導，這個論壇不論是明網，或是以Tor網路的暗網網站，當用戶試圖連結其網域時，網路連線會被轉向美國司法部及FBI控制、位於FBI.seized.gov網域的伺服器，並顯示文字聲明，說明BreachForums已被美、法執法機關接管。</p> <p><a href="https://www.theregister.com/2025/10/10/cops_seize_breachforums/" target="_blank">The Register</a>報導，一名自稱是Scattered Lapsus$ Hunters成員的駭客透過Telegram公告，FBI及國際警方不只明網網站，也破獲了BreachForums最新資料備份，包括2023年迄今的資料，且後端伺服器也被查獲及破壞，他形容BreachForums這次真正死透、不會再復活了，如果未來線上再出現，一定是誘捕系統。</p> <p>美國及國際警方顯然是在Scattered Lapsus$ Hunters 5月起利用竊來的第三方系統憑證存取Salesforce，取得數百家知名企業客戶資料後介入。受害企業包括Google、澳航、荷航、LV、Chanel、Dior等，這群駭客聲稱9月宣佈要退出江湖，上周並將勒索對象由受害企業轉向Salesforce，要求該公司在10月10日付款，否則將洩露受害客戶的Salesforce資料。</p> <p>雖然網站被關閉，但是駭客已回復了Tor版（暗網上的）BreachForums。這名成員說，美國政府的行動不會影響其Salesforce行動的進行。他指的是公開付款期限已過還不支付勒贖款的企業資料。<a href="https://www.theguardian.com/business/2025/oct/11/hackers-leak-qantas-data-containing-5-million-customer-records-after-ransom-deadline-passes" target="_blank">國際媒體報導</a>，Scattered Lapsus$ Hunters已經開始洩露澳航500萬筆客戶資料。</p> </div></div></div>
2025/10/13 08:48作者林妍溱https://www.ithome.com.tw/news/171629
Google公布企業Oracle EBS系統遭駭調查報告，濫用的漏洞可能不只CVE-2025-61882
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個月初，Google向多個新聞媒體揭露多家企業可能面臨一波勒索軟體攻擊的事故。有個附屬於勒索軟體組織Clop的團體寄敲詐信給多家企業主管，聲稱他們竊取這些公司放在ERP軟體Oracle E-Business Suite（EBS）的敏感資料，希望企業能與其討論贖金，否則部分資料將賣給地下市場，其餘將發布至他們的部落格，而且公開至P2P下載軟體BitTorrent的tracker伺服器，Google威脅情報團隊（GTIG）與資安應變顧問單位Mandiant已介入調查。幾天後，Oracle發布部落格文章，起先表示得知有用戶收到敲詐信，初步調查認為攻擊者可能利用今年7月揭露與修補的一批漏洞，之後又改口說是新揭露的漏洞CVE-2025-61882可能遭濫用，並為其發布資安公告，令外界搞不清楚狀況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-G2T6vnYWEAAHcB6.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-10-Apply Oracle Security Alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-Apply%20Oracle%20Security%20Alert.jpg" style="width: 600px;" /></a></p> <p>接著資安界均聚焦CVE-2025-61882的討論，例如，資安業者CrowdStrike的調查顯示，有個稱為Graceful Spider的駭客團體對多個組織，在9月底寄送敲詐信，聲稱他們存取與偷走EBS系統的資料，並提供證據證明他們已掌握被偷走的檔案，CrowdStrike也分析利用CVE-2025-61882的攻擊流程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-10-clop-oracle-extortion-email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-clop-oracle-extortion-email.jpg" style="width: 600px;" /></a></p> <p>最先揭發此事的Google威脅情報小組（GTIG）與事故應變部門Mandiant，<a href="https://cloud.google.com/blog/topics/threat-intelligence/oracle-ebusiness-suite-zero-day-exploitation?linkId=17192520">10月11日終於發布正式調查報告！</a>他們的分析指出，Clop（Cl0p）的敲詐其實是幾個月鎖定EBS用戶環境入侵的後續，而且，早在8月9日，攻擊者就可能濫用零時差漏洞對付EBS用戶，而且還有其他可疑的活動，最早可追溯至7月10日。這兩個資安單位警告，在部分案例當中，攻擊者成功從受害組織竊取了大量資料。</p> <p>根據資安與IT媒體<a href="https://thehackernews.com/2025/10/cl0p-linked-hackers-breach-dozens-of.html">The Hacker News</a>、<a href="https://www.theregister.com/2025/10/09/miscreants_head_start_oracle_ebs_invasion/">The Register</a>的報導，GTIG的首席分析師John Hultquist表示，他們仍在評估這起事故的影響範圍，目前認為已影響數十個組織，過往Clop部分發起的資料勒索攻擊活動曾導致數百位受害者，未來類似這種大規模的零時差攻擊可能會成為網路犯罪的常態。</p> <p>關於這波勒索活動的進行，起始時間是9月29日，攻擊者從數百個遭駭的第三方電子郵件帳號大量寄出敲詐信。</p> <p>基本上，這些被盜用的帳號差異很大，所屬的組織彼此無關，帳號資訊可能來自地下論壇販售的竊資軟體日誌記錄，而這類有助於增加合法程度，以及通過垃圾郵件過濾機制的方法，屬於常用的攻擊策略。</p> <p>至於敲詐信的內容，也有跡可循。例如，寄出的對象是公司高層，信中宣稱收件者所屬企業的Oracle EBS系統已經遭到滲透，並且被偷走多份文件；敲詐信中列出的兩個聯絡信箱，至少在今年5月就列在Clop的資料外洩網站（DLS）。</p> <p>攻擊者為了向企業證實說詞，也將受害公司EBS環境的合法檔案清單提供多個組織，而這些資料的日期可追溯至今年8月中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-10-oracle-cl0p-fig1-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-oracle-cl0p-fig1-web.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>涉及7月修補重大漏洞、10月初CVE-2025-61882，還有其他弱點</strong></span></h3> <p>在漏洞濫用的部分，這波惡意活動可能有多條攻擊鏈。Mandiant表示，Oracle在10月2日部落格文章公告提到的漏洞濫用活動，有別於其他攻擊鏈，至於對應CVE-2025-61882的漏洞濫用攻擊鏈，雖然尚未明朗，但GTIG評估後認為，Oracle EBS系統套用10月4日發布的修補更新後，能夠抵擋已知漏洞濫用攻擊鏈活動。</p> <p>根據Mandiant的觀察，攻擊活動可區分為4個時期：</p> <p>●7月涉及UiServlet的可疑活動（7 月初）</p> <p>●7月10日（<a href="http://www.oracle.com/security-alerts/cpujul2025.html">Oracle發布7月重大更新</a>之前的可疑活動）</p> <p>●Oracle發布7月重大更新之後的活動</p> <p>●8月鎖定SyncServlet的攻擊鏈</p> <p>首先是7月期間的觀察，Mandiant事故應變人員發現有活動鎖定Oracle EBS伺服器，根據系統的應用程式記錄顯示，漏洞濫用活動針對/OA_HTML/configurator/UiServlet，也就是處理Oracle EBS前端UI請求的Servlet（伺服器端控制器），Mandiant調查過程中復原的漏洞濫用資料，與即時通訊軟體Telegram的SCATTERED LAPSUS$ HUNTERS群組10月3日外洩的漏洞濫用情報，就如同<a href="https://labs.watchtowr.com/well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882/">10月6日資安業者watchTowr揭露的分析報告</a>，彼此有部分重疊，但GTIG目前缺乏足夠證據，可將此直接關聯到上述7月觀察到的漏洞濫用活動，而且尚未判定與UNC6240（Shiny Hunters）是否與這次漏洞濫用活動有關。</p> <p>Mandiant表示，上述攻擊方式結合多種手法，像是伺服器請求偽造（SSRF）、利用斷行與換行符號的注入（CRLF injection）、身分認證略過，以及XSL範本注入（XSL是基於XML的延伸樣式語言），獲得在目標Oracle EBS伺服器遠端執行程式碼的能力。而在這個攻擊鏈濫用的漏洞當中，他們也表示還無法對應到任何已登記CVE編號的漏洞，而且能在Linux與Windows環境中，可以分別運用sh或cmd.exe執行上述漏洞濫用活動。</p> <p>第二個時期是7月10日，亦即Oracle發布7月重大更新（7月15日）之前，Mandiant發現200.107.207.26這個IP位址發出可疑的HTTP流量，GTIG無法確認這個活動的確切本質，但研判這可能是打算濫用Oracle EBS系統漏洞的早期攻擊嘗試。Mandiant目前尚未取得鑑識證據，指認這個外送HTTP流量，就是Telegram群組外洩漏洞濫用活動執行的遠端XSL酬載，也沒有觀察到執行任何可疑的指令，因此，無法斷定這是真正的攻擊嘗試活動。</p> <p>第三個時期是Oracle發布7月重大更新之後，Mandiant發現來自161.97.99.49這個IP位址的漏洞濫用嘗試，他們在Oracle EBS系統的記錄當中，發現對方的行為鎖定的網站區域是/OA_HTML/configurator/UiServlet，所幸，部分這類存取請求發生逾時沒回應的結果，意味著先前在Telegram群組外洩的漏洞濫用情報揭露的SSRF漏洞，或後續可徹底完成請求的後續活動，可能已經失敗，而在Oracle發布7月重大更新之前，並未看到相關的失誤。不過，第二個時期與第三個時期的活動是否來自同一組攻擊者？GTIG表示，目前還無法確認此事。</p> <p>第四個時期是8月觀察到的可疑活動，也是這次Mandiant事故應變團隊最主要發布的網路威脅情報，攻擊者濫用的漏洞是存在SyncServlet元件的弱點，能藉此發動無須通過身分認證的遠端程式碼執行動作，而進行這類活動的多個來源IP位址，也包含上述第二個時期發出可疑流量的200.107.207.26。<a href="https://s4.itho.me/sites/default/files/images/2025-10-10-oracle-cl0p-fig3_max-2100x2100.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-10-oracle-cl0p-fig3_max-2100x2100.png" style="width: 298px;" /></a></p> <p>而這段期間的漏洞濫用活動，起初是對Oracle EBS系統的/OA_HTML/SyncServlet POST提出請求，接著透過Oracle BI Publisher元件當中、管理報表樣板的XDO Template Manager功能，在EBS資料庫建立新的惡意XSL樣板，到了最終階段，會是發出經由範本預覽功能觸發惡意酬載的存取請求。Mandiant表示，這個惡意XSL酬載的架構，與先前Telegram群組外洩Oracle EBS漏洞濫用情報的XSL酬載完全相同。</p> <p>在此同時，GTIG發現至少有兩條Java酬載攻擊鏈嵌入這個XSL。其中一條是稱為GOLDVEIN.JAVA的下載程式，它是惡意軟體GoldVein的Java變種，GoldVein是2024年以PowerShell寫成的惡意程式，先前曾被用於攻擊企業檔案傳輸系統（MFT）Cleo，而在最新發現的變種中，可連至攻擊者掌控的命令與控制（C2）節點、取得第二階段酬載；另一條是SAGE系列攻擊鏈，當中接連運用多個Java酬載，建構一個持續運作的過濾器，以此監控連至多個網頁端點的存取請求，像是/help/state/content/destination./navId.1/navvSetId.iHelp/，以便部署更多Java酬載。</p> <p>這條攻擊鏈如何組成？Mandiant表示，XSL酬載內建用Base64編碼包裝的Sagegift酬載，Sagegift本身是個針對Oracle WebLogic伺服器而寫成、載入Java反映類別的程式；Sagegift會載入Sageleaf酬載，Sageleaf是記憶體內執行的投放程式，本身也是基於動態載入Oracle WebLogic servlet的公開程式碼而成；Sageleaf會載入Sagewave酬載，Sagewave本身是Java servlet過濾器，能讓攻擊者部署一個內含多個Java類別的AES加密ZIP壓縮檔，單就Sagewave的主要酬載而言，也被認為與2024年攻擊Cleo事故出現的後門程式Goldtomb的CLI模組有關。</p> <h3><span style="color:#0000FF;"><strong>攻擊者身分確認：Clop是品牌，FIN11可能只是其中一個使用這招牌的組織</strong></span></h3> <p>涉及Clop勒索軟體多層面敲詐活動運作所用的資料外洩網站，根據GTIG起初的觀察，可歸咎於駭客團體FIN11，到了最近，大部分受害者之所以中招，看似與濫用企業檔案傳輸系統、導致資料竊取的勒索事故，以及FIN11與圍繞FIN11的可疑威脅群體有關。</p> <p>然而，GTIG與Mandiant也表示，根據他們手上的證據，Clop勒索軟體與Clop資料外洩網站並不專供FIN11使用。</p> <p>另一類可推論攻擊者身分的證據，與漏洞濫用後操作的工具有關。例如，GOLDVEIN.JAVA下載程式與Goldtomb後門程式，都與2024年FIN11與附屬團體 UNC5936發動的Cleo大規模漏洞濫用攻擊有關。此外，用來寄送勒索信的其中一個遭駭郵件帳號，也被發現FIN11曾使用，後續的分析可能會揭露近期活動與攻擊者群體之間的關係。</p> </div></div></div>
2025/10/11 16:15作者李宗翰https://www.ithome.com.tw/news/171625
Python 3.14推出t-strings與多重直譯器，效能提升成焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.python.org/3.14/whatsnew/3.14.html">Python 3.14正式發布</a>，成為當前穩定版。該版本在語言、直譯器與標準函式庫均有更新，重點包括樣板字串t-strings、型別註解的延後求值（Deferred evaluation of annotations），以及在標準函式庫納入多重直譯器支援，是一次兼顧語言表達與執行效率改進的主要版本。</p> <p>語言層面新增t-strings，語法沿用f-strings的直覺寫法但不直接回傳字串，而是產生能記錄字串片段與插值結構的物件，供後續以自訂流程安全生成內容，適合需控管輸出途徑的場景。開發者可藉此在產生HTML、SQL或其他文字模板時，先行建立模板結構，再由應用程式在安全環境中完成插值運算，重點在於t-strings將字串插值與輸出邏輯分離，讓模板可在受控流程中安全執行，降低注入風險並提高重用性。</p> <p>型別註解改為延後求值，函式與類別的註解不再於定義當下立即執行，而是等到實際需要時才計算。這項改變能縮短大型程式啟動時間，並解決以往在註解中參照尚未定義型別時會出錯的問題，讓程式撰寫與維護更順暢。</p> <p>在執行環境上，Python 3.14將多重直譯器正式納入標準函式庫的concurrent.interpreters，讓開發者能在同一個程序中建立多個彼此獨立的Python直譯器執行環境，彼此之間不共享狀態。這項能力可用於分隔不同模組的執行，提升安全性，或作為伺服器工作池的基礎。官方同時新增InterpreterPoolExecutor，方便自動分派任務給不同直譯器。</p> <p>Free-threaded模式在本版的成熟度進一步提升，現在已能搭配專門適應性直譯器使用。官方指出，free-threaded模式的單執行緒效能落後約5％到10％，在多核心環境中則能更有效地利用平行運算資源，為長期移除GIL（Global Interpreter Lock）的發展方向鋪路。</p> <p>標準函式庫部分新增Zstandard壓縮支援，提供compression.zstd模組以便快速壓縮與解壓資料，而互動式直譯器預設啟用語法上色，使命令列操作更易讀。asyncio也強化了除錯與診斷功能，有助於提升日常維運效率。Python官方同時依PEP 761自3.14起不再對官方釋出檔案提供PGP簽章，並建議使用Sigstore驗證釋出檔案。3.14也在macOS與Windows的官方二進位檔提供實驗性JIT選項，同時新增Android平臺的官方二進位檔，方便跨平臺測試與部署。</p> <p>至於外界關注的效能表現，軟體工程師Miguel Grinberg<a href="https://blog.miguelgrinberg.com/post/python-3-14-is-here-how-fast-is-it">實測指出</a>，Python 3.14在單執行緒的Fibonacci測試中比3.13快約27％，bubble sort也同樣領先，因此稱3.14是目前速度最快的CPython版本。他同時觀察到，JIT在該測試中未帶來明顯加速，而free-threaded版本雖在單執行緒略慢於標準版，但在多執行緒CPU密集任務下能獲得顯著效益。</p> </div></div></div>
2025/10/10 16:19作者李建興https://www.ithome.com.tw/news/171624
Google宣布Gemini Enterprise企業AI平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四在Google Cloud大會上<a href="https://cloud.google.com/blog/products/ai-machine-learning/introducing-gemini-enterprise" target="_blank">發表企業AI平臺服務Gemini Enterprise</a>，要將Google Cloud實力擴展到AI市場，提供AI代理人幫助企業自動化執行作業。Google也提供了第一批平臺內建的代理人。</p> <p>Gemini Enterprise是在Google Cloud基礎上發展出的新平臺服務，但是不同於Gemini for Google Workspace Enterprise/Business，Gemini Enterprise是以Gemini模型及Gemini-based代理人，而非文件、試算表、簡報檔應用為主體的企業平臺。</p> <p><a href="https://blog.google/products/google-cloud/gemini-enterprise-sundar-pichai/" target="_blank">Google執行長Sundar Pichai指出</a>，企業推動第一波AI時，受限於應用及系統壁壘而無法發揮串聯全公司複雜作業的效益。Gemini Enterprise則是提供完整平臺，以連接企業應用、工作流程和所有員工，Google將之定義為「企業AI的新入口」（new front door for AI in the workspace）。Gemini Enterprise是以Google Cloud為基礎，整合Google DeepMind AI的研究成果及Gemini AI家族的多個模型打造成的完整平臺。</p> <p>明確而言，Gemini Enterprise包括5大核心元件。其一是作為本系統大腦的Gemini家族模型，為所有任務提供AI智能。其次是無程式碼介面，允許所有使用者包括行銷、財務等非IT背景人員分析資訊及調度代理人，以便自動化全公司流程。第三元件為平臺預建可執行專業任務的Google代理人，包括深度研究和資料分析洞見，而企業也可自建、或使用Google合作夥伴的代理人。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1010-Gemini%20Enterprise-agent%20gellary-Google.png" style="width: 600px;" /></p> <p>Gemini Enterprise還提供API能安全連結周邊的企業應用，包括Google Workspace和Microsoft 365、SharePoint或是Salesforce、SAP等。最後是平臺的中央治理框架，讓管理員得以在單一介面視覺化檢視和管理所有代理人。Gemini Enterprise還可和超過1萬家的合作夥伴體系的方法串連，以提供企業用戶多樣化選擇。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1010-Gemini%20Enterprise-%20Google%20Workspace%20and%20M365-2-Google(1).png" style="width: 600px;" /></p> <p>企業AI平臺是眾家AI主要或新創業者的競爭熱點。除了擁有Azure的微軟，<a href="https://www.ithome.com.tw/news/158474" target="_blank">OpenAI已於2023年提供</a>，日前還在今年度開發者大會上推出多項開發套件，包括將外部應用程式整合於ChatGPT內的<a href="https://www.ithome.com.tw/news/171545" target="_blank">Apps SDK</a>，以及<a href="https://www.ithome.com.tw/news/171546" target="_blank">開發代理人的AgentKit</a>。</p> <p>Google也宣布Gemini Enterprise早鳥企業用戶，包括Banco BV銀行、法律事務所Harvey。</p> <p><span style="color:#B22222;"><strong>內建代理人</strong></span></p> <p>配合Gemini Enterprise宣布，Google也宣布了第一批代理人。第一批是整合於其Workspace應用程式多模態AI代理人，包括Google Vids能將單一內容來源如簡報轉變成影片，還能加上AI生成的旁白及腳本，其次在Google Meets提供即時視訊翻譯，而且不只翻譯文字，還能無縫配合講者語調和表情，本功能可支援各種語言。</p> <p>另一個為資料科學代理人（Data Science Agent），能自動化資料整理（data wrangling）和消化。這個代理人能加速資料探索、快速尋找到資料規則，藉由生成訓練和推論的多步驟計畫，以簡化模型開發作業，以減少反覆微調和手動作業。本代理人目前為預覽版，現有Vodafone和超市連鎖Morrisons試用。</p> <p>此外還有次世代對話代理人，可提供自然流程的對話，且能應付電話網路不佳造成的干擾。本代理人可整合客服系統，並提供低程式碼工具讓企業自建。這個代理人支援40多種語言，目前以申請制提供給部份客戶。</p> </div></div></div>
2025/10/10 13:24作者林妍溱https://www.ithome.com.tw/news/171622
OpenAI低價版ChatGPT要推到亞洲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.openai.com/en/articles/11989085-what-is-chatgpt-go" target="_blank">OpenAI周四（10/9）宣布</a>，低價AI聊天機器人訂閱方案ChatGPT Go推向東南亞等國家。</p> <p>ChatGPT Go是在現行Team、Pro及Enterprise以下推出的低成本訂閱方案。它在免費版ChatGPT功能（例如少量使用ChatGPT 5、圖片生成及檔案上傳、基本資料分析功能）以外提供再多一點GPT-5、圖片生成、檔案上傳及進階分析功能。這裡的ChatGPT能使用Python來分析資料和解決問題，也具有更長久的記憶可支援個人化回應。此外，ChatGPT還可存取專案、任務和自訂GPTs，以便組織工作、追蹤進度，或建立或編輯客製化GPTs。</p> <p>但ChatGPT Go不提供4o等舊式模型、Sora。初期也不提供連接器（connector）連結外部應用或資料源。</p> <p>在此之前，ChatGPT Go先後於8月及9月在印度和印尼推出。<a href="https://help.openai.com/en/articles/11989085-what-is-chatgpt-go#h_3dfe7afb4d" target="_blank">本方案最新部署地區</a>包括馬爾地夫、泰國、馬來西亞、菲律賓、越南、阿富汗等東南亞、南亞和中東國家。其中在泰、馬、印度及印尼提供當地貨幣支付。<a href="https://chatgpt.com/zh-Hant/pricing/" target="_blank">OpenAI臺灣網站顯示</a>ChatGPT Go尚未在臺灣推出，未來是否會推出也不得而知。</p> </div></div></div>
2025/10/10 13:45作者林妍溱https://www.ithome.com.tw/news/171623
Claude Code支援自訂外掛，一行指令安裝自訂工作流程與代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/news/claude-code-plugins">公開測試</a>Claude Code外掛機制，開發者可將斜線指令、子代理、MCP伺服器與Hooks等以輕量封裝統一管理。官方提供/plugin指令，可在終端與VS Code內安裝外掛，並視需求啟用或停用，以降低系統提示與工作區上下文負擔。</p> <p>外掛為可共享的自訂集合，可同時包含多種擴充點。斜線指令能把常用操作變成簡短呼叫，子代理可負責特定任務，MCP伺服器負責透過連結工具與資料來源，Hooks則在流程關鍵節點介入調整行為。官方表示未來會持續擴充可封裝的擴充點，外掛也將成為分享Claude Code客製化設定的標準方式，對於希望複製團隊最佳實務或將私有工具接入開發流程的使用情境更為方便簡潔。</p> <p>Anthropic開放以Git儲存庫、GitHub儲存庫或URL託管外掛市集，市集根目錄只需包含描述檔，即可被Claude Code索引與瀏覽。開發者可利用指令把市集加入環境，再透過/plugin功能表檢視與安裝外掛。此模式同時支援社群公開分享，與組織內部發布經核可的外掛，有助於團隊內一致套用如程式碼審查與測試等工作流程。</p> <p>官方並舉出多種實務範例，重點在於把常見的開發工作流與治理需求，以外掛這個統一載體進行標準化封裝，包含品質控管、自動化與工具資料對接，讓團隊在不同專案與環境間維持一致性與可重複性。</p> <p>社群與官方提供可瀏覽的市集與範例外掛，涵蓋程式碼審查、安全指引、文件產生、專案管理與測試等應用，另備有建立新外掛的樣板與流程說明，讓開發者透過同一安裝入口快速導入、維護與分享。</p> </div></div></div>
2025/10/10 12:31作者李建興https://www.ithome.com.tw/news/171621
歐洲業者連署反對歐盟Chat Control用戶端掃描，指稱將削弱加密並動搖信任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲多家隱私導向服務商聯合發表<a href="https://blog.cryptpad.org/2025/10/07/open-letter-against-chat-control/">公開信</a>，呼籲各會員國政府否決歐盟《兒少性剝削規範》（CSA）中的聊天控制（Chat Control）方案。公開信主張，用戶端掃描等做法等同在使用者裝置上預置掃描機制，將破壞端到端加密與整體資安，進而動搖使用者對歐洲服務的信任與採用。連署方包含Proton、Nextcloud、Element、Threema與Wire等，以及歐盟中小企業聯盟DIGITAL SME，並明確點出該法與歐盟數位主權目標相違背。</p> <p>公開信提出兩層風險評估，第一是安全面向，強制在用戶端進行內容比對與分析，無可避免地引入可被敵對國家與犯罪者濫用的系統性弱點，即使政府部門被排除於掃描義務之外，企業、民眾與關鍵基礎設施仍暴露在風險中。第二是產業與信任面向，歐洲服務仰賴GDPR建立的隱私信譽，一旦被迫弱化加密保證，用戶可能轉向美中大型平臺，削弱歐洲業者競爭力與數位主權。</p> <p>公開信同時指出政策一致性問題。歐盟近年透過NIS2指令、網路韌性法案（Cyber Resilience Act）與歐盟網路安全法(Cybersecurity Act)強化資安與加密，但要是以CSA規範要求廣泛掃描私人通訊，等於在法規體系內製造矛盾，讓投資資安與立法削弱資安並存。信中進一步強調，中小企業難以負擔維運侵入式掃描機制的成本，而其市場定位又多建立在隱私優先上，被迫實作用戶端掃描實則侵蝕差異化價值。</p> <p>根據<a href="https://therecord.media/chat-control-eu-germany-will-not-support-law">外媒The Record報導</a>，德國已表態不支持Chat Control，德國聯邦司法部長Stefanie Hubig表示隨機聊天監控在法治國家必須是禁忌，此舉被視為削弱該提案在歐盟理事會討論過關的可能性。隱私通訊服務Signal基金會總裁Meredith Whittaker<a href="https://signal.org/blog/pdfs/germany-chat-control.pdf">表示</a>，如果Chat Control成為法律，寧可退出歐盟市場，理由是提案本質要求在每部裝置上對訊息、相片與影片進行大規模稽核，等同破壞端到端加密與私密通訊的安全前提。</p> <p>Chat Control的核心爭議在於要求即使在端到端加密環境仍對內容進行檢測，需透過用戶端掃描在加密前或解密後進行分析，而該架構會把本應僅在使用者端處理的私密資料，暴露給模型與比對庫，且一旦被繞過或濫用，風險將外溢至更廣泛的數位生態。</p> </div></div></div>
2025/10/10 11:20作者李建興https://www.ithome.com.tw/news/171619
三星超小模型挑戰大模型，以遞迴推理在ARC-AGI基準測試取得亮眼成績
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星（Samsung）先進技術研究院蒙特婁研究員Alexia Jolicoeur-Martineau<a href="https://arxiv.org/abs/2510.04871">發表Tiny Recursion Model（TRM）研究</a>，以僅約700萬參數的小模型，在ARC-AGI-1基準測試達44.6％正確率，在ARC-AGI-2則達7.8％。雖然其表現仍低於Grok-4系列模型，但已超越多個大型語言模型。相關論文已公開發表，並於GitHub平臺<a href="https://github.com/SamsungSAILMontreal/TinyRecursiveModels">開放原始碼</a>。</p> <p>TRM高效的關鍵在於遞迴推理（Recursive Reasoning），這是一種讓模型在思考過程中重複檢查與修正自己答案的方法。TRM只使用一個小型神經網路，在固定的步數內不斷進行再思考與修正，運作方式是先將題目與初步答案輸入模型，模型會生成一組潛在表示，代表其對問題的理解。接著，模型在每一步都重新檢視這些潛在變數，根據新的理解修正先前的答案，並逐步逼近更合理的解答。</p> <p>TRM的設計有點像人類解難時反覆推敲的過程，每次思考都會帶來新的線索或更好的推理方向。相較於之前的重要研究HRM（Hierarchical Reasoning Model）需要兩個小網路分別在不同頻率下遞迴運作，TRM僅靠單一網路即可完成整個反覆推理流程，結構更簡潔、運算成本也更低。這讓TRM能以極少的參數量達到不錯的問題解決能力，也展現了小模型透過遞迴思考機制，仍可表現出一定的邏輯與抽象推理能力。</p> <p>TRM在多個解謎任務基準測試的表現亮眼，數獨極難版Sudoku-Extreme最高87.4％，以及迷宮Maze-Hard 85.3％。其中，ARC-AGI-1的44.6％與ARC-AGI-2的7.8％被拿來與其他大語言模型，例如DeepSeek R1、o3-mini與Gemini 2.5 Pro做比較，其以不到其千分之一的參數量呈現相對優勢。</p> <p>作者Alexia Jolicoeur-Martineau同時<a href="https://x.com/jm_alexia/status/1975561300890812793">指出</a>，過度依賴大型企業以數百萬美元訓練的大型基礎模型來解決複雜問題，將會造成限制。他認為，目前產業界過於關注大型語言模型現有的能力，而非致力於設計並拓展新的研究方向。</p> </div></div></div>
2025/10/10 11:56作者李建興https://www.ithome.com.tw/news/171620
英國央行警告AI泡沫風險擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bankofengland.co.uk/financial-policy-committee-record/2025/october-2025" target="_blank">英格蘭銀行（Bank of England，英國中央銀行）金融政策委員會（FPC）在第三季例行會議紀錄中警告</a>，儘管全球宏觀經濟前景充滿不確定性，投資人對風險資產的需求依舊強勁，導致估值普遍攀升。尤其是以AI為主題的科技公司，估值明顯偏高，一旦外部環境出現衝擊，資產價格可能迅速回落。</p> <p>FPC指出，AI熱潮推升了科技股與整體市場的估值，部分企業的未來收益假設過於樂觀。美股指數的集中度亦創歷史新高，S&P500前五大成分股的市值占比接近30%，為過去50年最高。這五家企業主導了2025年的漲勢，使市場對少數科技巨頭的依賴度過高，增加了信心轉變帶來劇烈波動的風險。</p> <p>S&P500（標準普爾500指數，Standard & Poor's 500 Index）為美國最具代表性的股市指數之一，追蹤500家大型上市公司。目前市值前五名依序為微軟、蘋果、Nvidia、Alphabet與Amazon。</p> <p>FPC也指出，以企業獲利來看，美股估值已達25年來高點，幾乎與2000年網路泡沫爆發前相當。S&P500的1年期預估本益比約25倍，雖仍低於當年泡沫水準，但明顯高於歷史平均15至18倍的區間；2000年網路泡沫時預估本益比一度超過35倍。</p> <p>整體而言，由於美股估值偏高且集中於AI產業，英格蘭銀行警告，若AI技術發展或企業採用速度不如預期，或出現能源、供應鏈瓶頸與政策不確定性等情況，任何對AI的信心動搖，都可能引發全球股市劇烈修正，影響金融穩定。</p> </div></div></div>
2025/10/9 16:15作者陳曉莉https://www.ithome.com.tw/news/171618
最大容量增至64 TiB，AWS區塊儲存服務更新一般用途SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_ebs_gp3-main.jpg" width="961" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在AWS建置與管理的公有雲環境當中，針對Amazon EC2執行個體的區塊儲存需求，除了本機可設置暫時使用的固態硬碟儲存空間，也可搭配Amazon Elastic Block Store服務（EBS），目前用戶可選擇基於固態硬碟的儲存區：鎖定一般用途的gp3、gp2，預先建立具有特定IOPS效能（Provisioned IOPS）的io2 Block Express、io1，以及基於傳統硬碟的儲存區：強調吞吐量最佳化（thoughput optimized）的st1、儲放不常存取資料（冷資料）的sc1。</p> <p><a href="https://aws.amazon.com/tw/about-aws/whats-new/2025/09/amazon-ebs-size-provisioned-performance-gp3-volumes/">今年9月底</a>，AWS宣布EBS的gp3儲存區（volume）可支援更大容量，以及更強大的存取效能。</p> <p>在此之前，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ebs-gp3-volume-lets-you-provision-performance-separate-from-capacity-and-offers-20-lower-price/">2020年底推出的gp3</a>，每個儲存區最大可存放16 TiB的資料，現在能存放到64 TiB，提升至4倍；隨機存取效能原本最大為1.6萬IOPS，如今增至8萬IOPS，提升至5倍；吞吐量（循序讀取效能）的上限，增加1倍，從1,000 MiB/s上升到 2,000 MiB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS GP3-2020.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20GP3-2020.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS EBS-2020-rinvent.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EBS-2020-rinvent.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EBS gp3-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EBS%20gp3-web.jpg" style="width: 600px;" /></a></p> <p>相較之下，gp3現在可在最大儲存容量、隨機存取效能這兩項規格，超越gp2（16 TiB、1.6萬IOPS）、io1（16 TiB、6.4萬IOPS），吞吐量的部分，gp3與io1現在同為2,000 MiB/s，gp2是250 MiB/s，而且單就每月每GiB費用而言，gp3分別比這兩種儲存區便宜兩成與六成。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EBS SSD-2025-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EBS%20SSD-2025-10.jpg" style="width: 600px;" /></a></p> <p>現在gp3這項新的儲存配置已全面開放提供，AWS所有商用雲端區域與政府區域都能適用，而且，計價模式不變，這意味著，用戶依循相同價格支付儲存費用之餘，還可以額外添購超出基準效能的IOPS與吞吐量。</p> <p>AWS強調，對於儲存密集型工作負載而言，gp3儲存區的容量與效能的上限變大，有利於減少IT營運工作的複雜度，因為用戶能透過單一gp3儲存區，整併多個先前切分的儲存區，藉此簡化架構、降低管理負擔。</p> <p>尤其是執行容器化工作負載搭配多個切分的儲存區、仰賴單一儲存區的應用程式架構，以及工作負載持續增長、導致資料量逼近gp3儲存區原有容量配置的上限。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AWS Amazon EBS gp3</strong></span><br /> ●原廠：AWS<br /> ●建議售價：亞太地區（臺北），每月每GiB為0.0864美元，超過3,000 IOPS者，每月每個佈建IOPS為0.0054美元，傳送量超過125 MB/s者，每月每個布建 MB/s為0.043美元<br /> ●儲存容量：1 GiB到64 TiB<br /> ●儲存效能：每個儲存區最大8萬IOPS、2,000 MB/s，每個執行個體最大26萬IOPS、12,500 MB/s<br /> ●儲存可用度：99.8%至99.9%</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/10/9 17:14作者李宗翰https://www.ithome.com.tw/review/171583
【資安日報】10月9日，AI資安工具協助改善模型品質、自動修補軟體資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用AI強化資安的做法已是大勢所趨，本週Anthropic、Google宣布多項新措施而受到關注，其中，Anthropic推出開源的AI模型安全稽核框架Petri，企圖協助開發者找到模型弱點並進行改善，相當受到矚目；再者，Google旗下的DeepMind也打造能自動發現、修補軟體漏洞的AI代理CodeMender；此外，Google也正式推出專屬AI的漏洞懸賞計畫。</p> <p>上週有多起資安事故受到高度關注，並在本週出現新的進展。在勒索軟體駭客Clop鎖定Oracle E-Business Suite（EBS）的零時差漏洞攻擊、Red Hat資料外洩事故，有研究人員公布新的調查結果後，又有其他事故有新消息：朝日啤酒遭駭的事故有駭客組織聲稱犯案，Discord透露事故用戶身分證件外流的規模。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171609"><strong style="font-size: 22px;">針對上週公布的朝日啤酒網路攻擊事故，勒索軟體Qilin聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/qilin-asahi.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/qilin-asahi.jpg" style="width: 300px; float: right;" /></a></p> <p>以生產啤酒聞名的朝日集團控股公司（Asahi Group Holdings）9月29日公告他們遭遇網路攻擊，導致該公司在日本的訂單、出貨，以及電話客服等業務停擺，後來在10月3日證實這起事故是勒索軟體攻擊，現在有駭客組織宣稱犯案。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Qilin聲稱是他們所為，將朝日集團控股公司列於資料外洩網站，他們竊得27 GB資料，總共有超過9,300個檔案，為了取信買家，他們公布29張螢幕截圖，內含公司財務文件、員工編號、機密合約，以及內部報告。</p> <p>朝日也發布公告透露復原情形，他們建立了臨時的手動訂購系統，該公司Super Dry啤酒的生產已經恢復，他們預計從10月15日陸續恢復旗下5種品牌的飲品出貨。6座工廠已於10月2日恢復生產，不過，原本計畫上市的產品，將有可能延期發表。</p> <p><a href="https://www.ithome.com.tw/news/171607"><strong style="font-size: 22px;">駭客聲稱從Discord的IT服務臺550萬用戶資料、210萬張身分證件的照片</strong></a></p> <p>在上個星期，傳出即時通訊軟體Discord第三方客服供應商遭到未經授權人士入侵的事故，影響曾和Discord客戶支援團隊、信任與安全團隊聯繫的部分用戶，駭客組織Scattered Lapsus$ Hunters一度聲稱是他們所為，並表示是入侵IT服務臺系統Zendesk得逞。現在駭客進一步透露消息，聲稱他們竊得大批資料，意圖向Discord施壓。</p> <p>根據資安新聞網站Bleeping Computer最新發布的報導，駭客聲稱在這起事故取得1.6 TB資料，其中有1.5 TB是客服工單的附件檔案，另有超過100 GB是工單的文字記錄。這批資料約有840萬張工單、影響550萬名使用者，其中58萬名用戶曝露付款資料。對於有多少身分證件的照片外流，這些駭客起初表示不清楚，僅表示有52.1萬張工單與驗證年齡有關，但後來聲稱可能有210萬張照片。</p> <p>對此，Discord也在10月8日更新原本資安公告的內容，重申該公司自己的系統並未遭到入侵，駭客攻擊第三方服務的目的，就是向他們勒索。該公司也透露，已確認約有7萬名用戶的身分證件照片可能外流。</p> <p><a href="https://www.ithome.com.tw/news/171603"><strong style="font-size: 22px;">郵件伺服器Zimbra零時差漏洞遭到利用，駭客濫用行事曆檔案ICS觸發</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zimbra-0day-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zimbra-0day-1.png" style="width: 300px; float: right;" /></a></p> <p>今年1月底，郵件伺服器系統Zimbra Collaboration Suite（ZCS）發布10.1.5、10.0.13、9.0.0 Patch 44版，修補資安漏洞CVE-2025-27915，此為網頁用戶端程式的跨網站指令碼（XSS）漏洞，起因是行事曆檔案（ICS）的HTML內容未充分清理所致，美國網路安全暨基礎設施安全局（CISA）評估CVSS風險為5.4分。然而最近有資安業者指出，在軟體業者Synacor發布軟體更新之前，就出現零時差漏洞攻擊行動。</p> <p>資安業者StrikeReady指出，在1月初有人冒充利比亞海軍旗下的禮賓辦公室寄信給巴西軍方，挾帶惡意的ICS檔案，企圖利用CVE-2025-27915。由於透過寄送電子郵件攻擊Zimbra、Roundcube等開源郵件伺服器系統的情況，並不常見，因而引起 StrikeReady 注意並展開調查。結果發現，ICS檔內含不尋常、經混淆處理的JavaScript指令碼。</p> <p>一旦此指令碼執行，就會試圖從Zimbra的Webmail介面廣泛竊取資料，包含憑證、電子郵件、聯絡人，以及共用資料夾，此外，若確認使用者處於非活動的狀態，就會將其登出，以利竊取資料。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=183251&SPOKE_DATE=20251008&COMPANY_ID=1707"><strong style="font-size: 22px;">葡萄王生技旗下子公司葡眾接獲勒索信</strong></a></p> <p></p> <p>一般而言，上市櫃發布資安重訊，往往與資訊系統或網站遭受攻擊有關，如今有企業針對遭到勒索發布重訊，這樣的情況相當罕見。</p> <p>10月8日晚間生技業者葡萄王發布重訊，指出旗下子公司葡眾收到網路匿名勒索信，葡眾已向警方報案，並啟動相關資安應變機制因應。</p> <p>而對於這起事故可能帶來的影響，葡萄王表示目前尚在清查，目前主要系統未出現被入侵的跡象，對葡眾營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/chinese-hackers-weaponize-open-source.html">開源工具Nezha遭中國駭客濫用，企圖以此散布惡意程式Gh0st RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/hackers-exploit-wordpress-themes-to.html">駭客滲透WordPress網站，意圖藉由冒牌Cloudflare圖靈驗證從事ClickFix網釣</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-filefix-attack-uses-cache-smuggling-to-evade-security-software/">FileFix網釣出現變形手法，駭客意圖透過暫存走私手法迴避偵測</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/salesforce-refuses-to-pay-ransom-over-widespread-data-theft-attacks/">Salesforce證實遭到勒索，表明拒絕支付贖金</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/lockbit-qilin-and-dragonforce-join.html">DragonForce、LockBit、Qilin意圖組成聯盟，聯手主導勒索軟體生態</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171591"><strong style="font-size: 22px;">Anthropic開源AI模型安全稽核框架Petri</strong></a></p> <p>AI新創公司Anthropic於10月6日開源了Petri，它的全名為「高風險互動平行探索工具」（Parallel Exploration Tool for Risky Interactions），是個AI模型的安全稽核框架，可派出自動化稽核代理人與目標模型進行多輪互動，以探索並偵測模型於各種情境下的潛在弱點及不對齊行為。Petri內建111種涉及高風險場景的指令，可用來評估模型的安全性及穩定性。</p> <p>Petri利用自動化稽核代理人與評審模型對AI模型進行多輪互動測試，並根據多個維度來評分，標記潛在的風險行為，內建的111種測試指令涵蓋欺騙用戶、諂媚、配合有害請求、自我保護、權力追求，以及獎勵駭取等情境，檢測模型於不同高風險場景中的反應。</p> <p>Anthropic已利用Petri測試市面上的14個前沿模型，包括自家的Claude Sonnet 4/4.5與Claude Opus 4.1，OpenAI的GPT-4o/5及GPT-OSS 120B，Google的Gemini 2.5 Pro，xAI Grok-4、Moonshot AI的Kimi K2及o4-mini等，發現這些模型在111種高風險情境的測試中，皆出現不同程度的不對齊行為。</p> <p><a href="https://www.ithome.com.tw/news/171555"><strong style="font-size: 22px;">DeepMind測試AI代理CodeMender，可自動發現並修補軟體漏洞</strong></a></p> <p>Google DeepMind公開其研究中的人工智慧代理CodeMender，可自動找出並修補軟體漏洞，並能重寫既有程式以移除風險，官方表示，過去6個月已對多個開源專案提交72項安全修補，涵蓋規模可達450萬行程式碼。</p> <p>研究團隊指出，傳統自動化如模糊測試（Fuzzing）雖有幫助，但在大型程式碼庫中仍耗時費力。DeepMind先前以Big Sleep與OSS-Fuzz展示人工智慧發現零時差漏洞的潛力，但隨著人工智慧發現漏洞的速度越來越快，人工修補與審核已經跟不上節奏。</p> <p>因此DeepMind開發CodeMender，使其除了具有及時產生並套用修補漏洞的能力，還能主動重寫脆弱介面與資料結構，盡可能從源頭消除常見缺陷類別。</p> <p><a href="https://www.ithome.com.tw/news/171550"><strong style="font-size: 22px;">Google發表專屬於AI產品的抓漏獎勵計畫</strong></a></p> <p>本週Google發表了專屬於AI產品的抓漏獎勵計畫，根據產品等級與漏洞嚴重程度來發放獎勵，最高獎金可達3萬美元。不過，Google也提醒，不管是越獄、提示注入或對齊問題都未被列入獎勵範圍。</p> <p>在新的AI VRP中，Google先將產品分級，等級愈高，獎金就愈多，例如Google Search、Gemini Apps與Google Workspace各種核心應用都屬於旗艦產品；而AI Studio、Jules與Google Workspace的非核心應用則被列為標準產品，而被整合於Google產品中的其它AI則被歸類為其它。</p> <p>至於漏洞懸賞範圍則包括：能修改受害者帳戶或資料狀態，且產生安全影響的攻擊；敏感資料外洩；可被用來執行網釣攻擊的Google網站漏洞；可竊取完整、詳細與機密模型參數的漏洞；可持續修改AI系統脈絡的安全漏洞；存取控制繞過漏洞；可未經授權使用產品；以及持續性服務阻斷攻擊漏洞。</p> <p><a href="https://www.ithome.com.tw/news/171529"><strong style="font-size: 22px;">微軟宣布收信軟體Outlook將導入新措施，不再顯示信件內文當中的SVG圖片</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/apps_63488_14374512070697751_00e.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/apps_63488_14374512070697751_00e.png" style="width: 300px; float: right;" /></a></p> <p>近期駭客挾帶惡意軟體的方法越來越隱密，其中一種時下最常見的手法被稱為隱寫術（Steganography），做法是將有效酬載埋入圖檔，而最近駭客偏好可縮放向量圖形（SVG）做為偷渡惡意程式的載體，對此，有收信軟體採取行動，意圖減少相關資安風險。</p> <p>根據資安新聞網站Bleeping Computer報導，微軟打算在Windows版Outlook、網頁版Outlook（Outlook for Web）當中實施新的政策，那就是不再直接顯示信件內文嵌入的SVG圖檔，來降低相關資安風險。這項變更自9月初開始推出，預計在10月中旬對所有用戶完成部署。</p> <p>在導入新政策後，信件內文的SVG圖片將不會在Outlook顯示，用戶會在原本要顯示圖片的地方看到空白。而對於這項變更帶來的影響，微軟表示僅有不到0.1%圖片是以這種檔案格式發送，因此他們評估帶來的影響很小。不過，透過附件寄送SVG圖片的方式仍受到支援。</p> <p> </p> <h3>【法規遵循】</h3> <p><a href="https://www.ithome.com.tw/news/171433"><strong style="font-size: 22px;">加州正式成為全美首個要求AI公司揭露安全測試制定的州別</strong></a></p> <p>加州州長Gavin Newsom正式簽署了《前沿人工智慧透明度法案》（Transparency in Frontier Artificial Intelligence Act，TFAIA，Senate Bill 53），成為全美首個要求大型AI開發商公開其採用的國家、國際標準及安全機制的州，為AI安全治理立法開創先例。</p> <p>TFAIA是由加州參議員Scott Wiener所提出，以用來規範大型的前沿AI開發商，主要架構包括要求AI業者公開所採用的國家、國際標準與最佳實踐框架；建立回報系統，以讓企業與大眾通報重大AI安全事件；建立問責制度以保護揭露AI模型健康及安全風險的吹哨者；以及成立CalCompute聯盟來發展公共AI運算叢集。</p> <p>加州州長辦公室表示，加州除了是AI的發源地之外，還擁有全球50家頂級AI公司中的32家；去年全美的AI職缺中，有15.7%位於加州，領先第二名德州的8.8%；而且2024年全球的AI及機器學習創投資金有超過一半落在加州。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171593"><strong>【10月8日】Oracle E-Business Suite零時差漏洞攻擊、Red Hat資料外洩事故出現新進展</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171575"><strong>【10月7日】勒索軟體駭客Clop聲稱從Oracle E-Business Suite竊得大批企業內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171504"><strong>【10月3日】Red Hat傳出資料外洩事故</strong></a></p> </div></div></div>
2025/10/9 11:21作者周峻佑https://www.ithome.com.tw/news/171612
Salesforce證實遭到勒索，表明拒絕支付贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.bloomberg.com/news/articles/2025-10-07/salesforce-tells-clients-it-won-t-pay-hackers-for-data-extortion" target="_blank">彭博社（</a>Bloomberg）及<a href="https://www.bleepingcomputer.com/news/security/salesforce-refuses-to-pay-ransom-over-widespread-data-theft-attacks/" target="_blank">BleepingComputer</a>的報導，全球CRM龍頭Salesforce的確遭到駭客的勒索，並在本周二（10/7）發信通知客戶，該公司不會支付贖金。</p> <p>發動這起勒索行動的駭客組織為<a href="https://www.ithome.com.tw/news/171557" target="_blank">Scattered Lapsus$ Hunters</a>。</p> <p>駭客在今年初開始偵察銷售平臺Salesloft上的Drift。Drift是個聊天行銷工具，能夠與潛在客戶互動，支援企業網站的聊天，並可整合包括Salesforce在內的CRM平臺。許多企業授權Drift以OAuth機制連線至Salesforce，用來自動建立潛在客戶資料與同步聊天紀錄，而駭客即入侵了Drift的雲端環境，竊取大量的Salesforce OAuth存取憑證。</p> <p>自今年8月8日至18日之間，駭客利用這些存取憑證登入多家Salesforce租戶，批次查詢企業的「Account」、「Case」、「User」、「Opportunity」等資料物件，並特別搜尋AWS金鑰、Snowflake Token與API密碼等敏感資訊，最後刪除查詢記錄以掩蓋行跡。</p> <p>然而，Salesloft的監控發現了不正常的大量授權請求與資料匯出行為，受害企業亦察覺到異常的API查詢及資料下載，<a href="https://cloud.google.com/blog/topics/threat-intelligence/data-theft-salesforce-instances-via-salesloft-drift" target="_blank">Google則於8月底公布此事</a>，最後是由Salesloft與Salesforce聯合撤銷所有Drift應用的Token，才阻止了駭客的資料竊取行為。</p> <p>但事件並未就此落幕，因為駭客開始向受害者及Salesforce勒索，要求它們支付贖金，否則就要公布所盜來的資料，並設立Breachforums網站，公布受害者名單，涵蓋FedEx、Disney、Home Depot、Google、思科、Toyota、麥當勞、Instacart、Cartier、Adidas、HBO MAX、UPS、Chanel及IKEA等39家企業。</p> <p>儘管被駭的不是Salesforce，但受害者全是Salesforce客戶，使得駭客揚言，倘若Salesforce願意支付贖金，那麼它們即願意放過所有客戶，否則就會單獨向不同的客戶勒索。</p> <p>不過，Salesforce在寄給客戶的郵件中表示，即使駭客威脅要公開所盜來的客戶資料，但該公司並不會支付贖金。Salesforce發言人Allen Tsai亦向媒體表示，Salesforce不會參與、協商或支付任何勒索要求。</p> <p>另一方面，Breachforums網站本周已被關閉，疑似已遭到執法機關接管。</p> </div></div></div>
2025/10/9 14:50作者陳曉莉https://www.ithome.com.tw/news/171617
有備才能減患
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中秋節連假期間，仍然持續有大批志工湧入花蓮光復鄉災區幫忙，此時大家關注的主題，大多是主要道路的側溝清淤，環境部部長也在10月4日透過社群媒體徵求清溝志工協助，因為總長約30公里，但當天僅完成5公里，已匯集120支清溝勺，希望隔天能號召大家帶著清溝勺幫忙，引發不了解這項需求的民眾質疑，批評政府過於依賴志工、不肯花錢徵召更多人力與機具進行清理。</p> <p>後續他回應已調動8臺清溝車支援，但因淤泥嚴重，每臺車每天清理進度僅20至60公尺，而且，除了主幹道，巷道內有很多側溝，1公里可能有500個側溝，而且側溝彼此相連，可能清除一段距離之後，淤泥又流至其他側溝，必須反覆清理，當人力與機具並行作業之後，可以加速清除進度。看過相關新聞影片後，我才知道原來有這類稱為「潛盾沖吸清溝車」特殊機具設備，據說最長一次可清理400公尺。</p> <p>的確人力運用有其限制，應善用機器，但機器也非萬能，人機充分合作，必定能加速清淤，例如，先用人力僵硬化的淤泥挖鬆，再用清溝車深入、攪動、抽出，會更有效率。政府花錢租用機具和聘用人力，當然是可以一併考慮的選項，但充分運用已親至現場的各種設備與人力，也是必要的，兩者並不衝突。雖然一些地方機關和民間公司都有清溝車，但要運送至光復仍需要協調與運送，要招聘人力也需要歷經公告、登記、審核等行政程序，在等候這些機具、人力過來之前，還是可以先運用現場資源來行動，減輕一部分負擔。</p> <p>除了清溝車，災區也亟需各種大型機具進行清理，像是怪手（挖掘機，Excavator）、山貓（鏟裝機，Bobcat）、大山貓（裝載機，Large Bobcat）、推土機（bulldozer），在各界熱心奔走下，這些設備也紛紛送至災區現場，不斷進行主要街道與民宅內外的汙泥開挖、清運。由於臺灣公務機關與民間企業因應營建與防災等需求而有相關設備，因此，在徵召與調度上，沒有遇上太大困難。</p> <p>除了重大天災嚴重影響民眾居住環境，需要各方投入救災行列，最近還有另一件IT事故發生，提醒我們平時就必須做好災難復原的準備。</p> <p>根據多家國際新聞媒體的報導，國家情報資源管理院（NIRS）位於韓國大田市（Daejeon）的資料中心，9月26日晚間8時發生火災，原因是人員維護不斷電系統（UPS）時，將鋰電池從5樓伺服器機房搬移到地下室，以便將UPS系統與關鍵基礎架構區隔開來（電池距離伺服器僅60公分），卻不慎引發鋰電池的熱失控反應（thermal runaway）而發生爆炸的狀況，總共燒毀384個鋰電池，花了22小時才撲滅火勢，導致約 70 項政府服務癱瘓，涵蓋銀行與線上郵政營運、身分驗證，以及公共緊急救援服務，設置在此地的647個系統停擺（96個系統直接毀損，551個系統預先關閉），而這些系統占NIRS系統總數的比例，超過三分之一，而且，在事故發生最初72小時內，只有 46 個系統恢復，超過90個系統嚴重受損或無法恢復。到了9月30日上午10時，只有87個系統恢復運作，恢復率為13％，當局預估需要4個星期才能復原。10月4日115個系統恢復，恢復率為17.8％。</p> <p>值得注意的是，在這96個遭燒毀的系統中，有個大容量、低儲存層級（low-tier）的雲端資料儲存系統G-Drive（Government Drive），多達74個單位、12.5萬名公務員共同使用，每人可儲存30 GB資料，而且，這套系統存放2018年至今的工作相關文件，儲存資料量為858 TB，但令人訝異的是，竟從未備份至外部系統，而無法復原。當局表示，因G-Drive容量過大、儲存系統速度慢而無法備份，其餘95個系統都以線上或離線形式備份資料。</p> <p>資料中心的UPS配置與鋰電池風險固然是事故主因，但災難復原機制的不夠完備，也是必須正視的問題，對此，大部分IT基礎架構專家提出的建議，應該會是：企業與組織需具備雙資料中心備援的即時故障轉移能力。</p> <p>不論災難來自外部環境或人為環境，為了降低風險，我們必須意識這些危機的存在，及早採取預防措施，才能在事中快速應變，事後快速復原。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%81%BD%E9%9B%A3%E5%BE%A9%E5%8E%9F">災難復原</a></div><div class="field-item odd"><a href="/tags/%E7%95%B0%E5%9C%B0%E5%82%99%E6%8F%B4">異地備援</a></div></div></div>
2025/10/9 14:02作者李宗翰https://www.ithome.com.tw/voice/171616
三大勒索軟體集團LockBit、DragonForce與Qilin結盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨威脅偵測業者<a href="https://reliaquest.com/blog/threat-spotlight-ransomware-and-cyber-extortion-in-q3-2025" target="_blank">ReliaQuest在本周發布的2025年第三季勒索軟體報告</a>中指出，三大勒索軟體集團LockBit、DragonForce與Qilin已展開結盟，將分享彼此的戰術及資源，同時，在今年9月復出的LockBit也決定允許成員攻擊關鍵基礎設施，包括核能電廠及水力發電廠等。</p> <p>LockBit為勒索軟體集團結盟的始祖，在2020年與Maze建立合作關係，由LockBit分享自動化加密模組，Maze則提供攻擊腳本及滲透工具、滲透測試者及聯盟網路，以及行銷及恐嚇範本，同時，Maze也是全球首批創立資料外洩網站的勒索軟體之一，以用來公布未付款的受害公司資料。LockBit與Maze還共同開創了如今已成為標準的雙重勒索戰術，不僅加密檔案，還竊取機密資料，一旦受害者拒付，便透過外洩網站公開，提高了贖金支付機率。</p> <p>然而，<a href="https://www.ithome.com.tw/news/161379" target="_blank">LockBit在2024年</a>遭到國際警方的聯手查緝，關閉其位於世界各國的34臺伺服器，接管其技術設施與外洩網站，並凍結了逾200個與該組織有關的加密貨幣帳戶，美國司法部更起訴了LockBit開發者之一Dmitry Khoroshev，公布Khoroshev的照片並懸賞1,000萬美元，促使LockBit的活動停擺。</p> <p>今年9月，LockBit以LockBit 5.0重出江湖，除了對外招募同夥之外，亦明確將核能發電廠及水力發電廠等關鍵基礎設施列為可攻擊目標。過去多數的勒索軟體即服務（RaaS）集團會刻意避開關鍵基礎設施，以避免惹來國際執法機構的關注，LockBit的最新聲明則被視為是一種報復。</p> <p><a href="https://www.theregister.com/2025/10/08/dragonforce_qilin_lockbit_collab/" target="_blank">根據The Register的報導</a>，在新的合作中，先拋出橄欖枝的是擅長跨平臺滲透及資料外洩操作的DragonForce，認為從競爭轉為合作將可增加彼此的收入並控制市場狀況，不管是DragonForce、LockBit，或是後來加入的RaaS服務Qilin都是俄文人。</p> <p>ReliaQuest分析，這3個勒索軟體集團的合作意謂著它們將可交換攻擊腳本、零時差開採程式與初始滲透管道，還可共用伺服器與資料外洩網站以降低基礎設施成本，並擴大其攻擊目標，透露出全球勒索軟體攻擊可能更頻繁、更組織化，也將擁有更強大的技術能力。</p> <p>值得注意的是，該聯盟仍在對外招兵買馬，號召其它勒索軟體集團加入，但迄今尚未發現上述三大集團的聯合攻擊行動或資料外洩網站。</p> </div></div></div>
2025/10/9 12:23作者陳曉莉https://www.ithome.com.tw/news/171615
針對上週公布的朝日啤酒網路攻擊事故，勒索軟體Qilin聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月29日以生產啤酒聞名的朝日集團控股公司（Asahi Group Holdings）<a href="https://www.ithome.com.tw/news/171419">表示遭遇網路攻擊</a>，導致該公司在日本的訂單、出貨，以及電話客服等業務停擺，後來在10月3日<a href="https://www.ithome.com.tw/news/171554">證實這起事故是勒索軟體攻擊</a>，現在有駭客組織宣稱犯案。</p> <p>根據資安新聞網站Bleeping Computer的報導，<a href="https://www.bleepingcomputer.com/news/security/qilin-ransomware-claims-asahi-brewery-attack-leaks-data/">勒索軟體駭客Qilin聲稱是他們所為</a>，將朝日集團控股公司列於資料外洩網站，他們竊得27 GB資料，總共有超過9,300個檔案，為了取信買家，他們公布29張螢幕截圖，內含公司財務文件、員工編號、機密合約，以及內部報告。附帶一提的是，Qilin聲稱這起事故導致朝日6座啤酒廠生產中斷、影響旗下30個品牌，恐損失3.35億美元。對此，該新聞網站試圖取得朝日的說法，該公司表示拒絕對此評論，但透露他們恢復的情形。</p> <p><a href="https://www.asahibeer.co.jp/news/2025/1006.html">朝日表示</a>，他們建立了臨時的手動訂購系統，該公司Super Dry啤酒的生產已經恢復，他們預計從10月15日陸續恢復旗下5種品牌的飲品出貨。6座工廠已於10月2日恢復生產，不過，原本計畫自10月7日開始上市的產品，將有可能延期發表。</p> </div></div></div>
2025/10/9 10:57作者周峻佑https://www.ithome.com.tw/news/171609
Gemini CLI推出擴充套件機制，開放支援第三方整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在<a href="https://blog.google/technology/developers/gemini-cli-extensions/">Gemini CLI加入擴充套件機制</a>，讓開發者可在終端機中安裝並啟用常用工具，目的是把日常工作流程整合到同一命令列介面，減少各服務間的切換。每個擴充套件內建可即時上手的內建使用指引（Playbook），首次下指令即可得到可用結果，無須額外繁複設定。</p> <p>使用者可透過指令簡單安裝、移除擴充套件。Google上線Gemini CLI Extensions清單頁，彙整Google、社群與其合作夥伴擴充套件，並以GitHub星數顯示熱門度，方便開發者挑選。</p> <p>Google強調，擴充套件不僅是連線器，更在封裝層面加入智慧引導。當使用者下指令時，Gemini CLI會參照擴充套件的內建使用指引，並結合本機專案脈絡與版本控制資訊，自動挑選並執行合適工具。</p> <p>單一擴充套件可同時封裝多個MCP伺服器，載入情境檔作為模型指令來源，並支援自訂指令把複雜需求濃縮成簡短斜線命令。當擴充套件的功能與CLI原生工具重疊時，開發者可停用內建工具或替換為自訂版本，維持一致的操作行為。</p> <p>Gemini CLI擴充套件合作方涵蓋Elastic、Figma、Postman、Shopify、Snyk與Stripe等，以Elastic為例，其提供Elasticsearch的MCP伺服器，可配合雲端無伺服器部署使用，而Postman也釋出Gemini CLI擴充套件與MCP伺服器，支援以自然語言存取工作空間、管理環境以及自動化工作流程等任務。</p> <p>Google同步推出多款自家擴充套件，涵蓋雲端部署、應用開發與資料分析等領域，包含GKE、gcloud、Security、Maps Platform、Flutter、Firebase與Genkit系列等，展示Gemini CLI與Google雲端與開發工具的整合方向。</p> </div></div></div>
2025/10/9 12:02作者李建興https://www.ithome.com.tw/news/171613
郵件伺服器Zimbra零時差漏洞遭到利用，駭客濫用行事曆檔案ICS觸發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月底，郵件伺服器系統Zimbra Collaboration Suite（ZCS）發布<a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/10.1.5#Security_Fixes">10.1.5</a>、<a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.13#Security_Fixes">10.0.13</a>、<a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P44#Security_Fixes">9.0.0 Patch 44</a>版，修補資安漏洞CVE-2025-27915，此為網頁用戶端程式的跨網站指令碼（XSS）漏洞，起因是行事曆檔案（ICS）的HTML內容未充分清理所致，美國網路安全暨基礎設施安全局（CISA）<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-27915">評估CVSS風險為5.4分</a>。然而最近有資安業者指出，在軟體業者Synacor發布軟體更新之前，<a href="https://strikeready.com/blog/0day-ics-attack-in-the-wild/">就出現零時差漏洞攻擊行動</a>。</p> <p>資安業者StrikeReady指出，在1月初有人冒充利比亞海軍旗下的禮賓辦公室寄信給巴西軍方，挾帶惡意的ICS檔案，企圖利用CVE-2025-27915。由於透過寄送電子郵件攻擊Zimbra、Roundcube等開源郵件伺服器系統的情況，並不常見，因而引起 StrikeReady 注意並展開調查。結果發現，ICS檔內含不尋常、經混淆處理的JavaScript指令碼。</p> <p>一旦此指令碼執行，就會試圖從Zimbra的Webmail介面廣泛竊取資料，包含憑證、電子郵件、聯絡人，以及共用資料夾，此外，若確認使用者處於非活動的狀態，就會將其登出，以利竊取資料。</p> <p>再者，不意外地駭客也導入多項迴避偵測手法，其中包含在程式碼啟動後會延遲60秒才執行，並限制每3天只能執行1次，而且，他們刻意隱藏使用者介面（UI）元素，降低被發現的機會。</p> <p>值得一提的是，駭客在程式碼當中實作了非同步機制，並轉換成不同的立即執行函式表達式（Immediately Invoked Function Expression，IIFE）來運作，以便執行不同的模組功能。</p> <p>StrikeReady指出總共有5個非同步的IIFE功能模組，其中一個可隱藏欄位來竊取帳密資料，並監控使用者的活動；第二個模組每4個小時搜尋郵件內容並外傳；至於第三個模組也與竊取郵件內容有關，但方法是加入過濾規則，將特定郵件轉寄到指定的信箱。</p> <p>其餘2個模組被用於竊取其他資料，其中一個用來竊取暫存的程式碼、受信任設備資料，以及特定應用程式的密碼；另一個用於竊取聯絡人、通訊群組列表，以及共用資料夾。</p> </div></div></div>
2025/10/9 09:05作者周峻佑https://www.ithome.com.tw/news/171603
駭客聲稱從Discord的IT服務臺550萬用戶資料、210萬張身分證件的照片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上個星期，傳出<a href="https://www.ithome.com.tw/news/171592">即時通訊軟體Discord第三方客服供應商遭到未經授權人士入侵</a>的事故，影響曾和Discord客戶支援團隊、信任與安全團隊聯繫的部分用戶，駭客組織Scattered Lapsus$ Hunters一度聲稱是他們所為，並表示是入侵IT服務臺系統Zendesk得逞。現在駭客進一步透露消息，聲稱他們竊得大批資料，意圖向Discord施壓。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hackers-claim-discord-breach-exposed-data-of-55-million-users/">資安新聞網站Bleeping Computer最新發布的報導</a>，駭客聲稱在這起事故取得1.6 TB資料，其中有1.5 TB是客服工單的附件檔案，另有超過100 GB是工單的文字記錄。這批資料約有840萬張工單、影響550萬名使用者，其中58萬名用戶曝露付款資料。對於有多少身分證件的照片外流，這些駭客起初表示不清楚，僅表示有52.1萬張工單與驗證年齡有關，但後來聲稱可能有210萬張照片。</p> <p>對此，Discord也在10月8日更新<a href="https://discord.com/press-releases/update-on-security-incident-involving-third-party-customer-service">原本資安公告的內容</a>，重申該公司自己的系統並未遭到入侵，駭客攻擊第三方服務的目的，就是向他們勒索。該公司也透露，已確認約有7萬名用戶的身分證件照片可能外流。</p> <p>這些駭客聲稱在9月20日取得Discord的Zendesk平臺58小時存取權限，並強調取得了外流的帳密資料而得逞，這種帳號是提供給Discord的業務流程委外供應商（BPO）使用。而且，他們也表明並未利用Zendesk系統的漏洞，或是事先入侵Zendesk。</p> <p>但資料到底是如何到手的？他們向該新聞網站提供部分竊得資料，證明確有其事，並宣稱用戶的付款資訊能透過Zendesk與Discord內部系統進行搜尋，藉由API查詢Discord內部的資料庫，就能從Zendesk取得相關結果。</p> <p>駭客從9月25日至10月2日向Discord勒索，起初開價500萬美元，後來降為350萬美元。在Discord發布公告並終止談判後，駭客揚言要公開竊得資料。</p> </div></div></div>
2025/10/9 10:19作者周峻佑https://www.ithome.com.tw/news/171607
前端JavaScript函式庫React成立基金會，將從Meta轉出以強化社群治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>React團隊<a href="https://react.dev/blog/2025/10/07/introducing-the-react-foundation">宣布</a>，將成立React基金會建立新的技術治理架構，並計畫把React與React Native自Meta轉移至新基金會運作，目標是以更中立且制度化的方式服務社群，並對生態系專案提供更多資源與支援。</p> <p>React自開源以來已超過10年，最初由Meta主導維護，但隨著外部貢獻的規模與範圍持續擴大，專案早已超越單一公司的使用範疇。將專案移入基金會並建立獨立技術治理，被視為更適合當前多方參與的現況，也有助於替重要函式庫與工具建立穩定的資助來源。</p> <p>React基金會將成為React與React Native的主要歸屬，同時納入JSX等支援性專案。基金會職責涵蓋維運GitHub與CI等基礎設施與商標管理，統籌React Conf，並設計生態計畫與資助機制，例如對關鍵專案提供經費、發放補助與推動培育方案。此一安排將日常維運與社群活動納入長期治理，使持續性投入不依賴單一公司決策或季度資源。</p> <p>創始企業會員包含Amazon、Callstack、Expo、Meta、Microsoft、Software Mansion與Vercel。這些長期參與React與React Native生態的公司將提供經驗與資源，基金會並將對外開放會員資格，讓更多組織可在既有架構下參與協作。</p> <p>React團隊同時規畫將技術治理獨立於基金會之外，由維護者與貢獻者主導，避免單一公司過度代表，官方表示將向社群徵詢意見，待定案後另行公布。此分工讓基金會專注於公共基礎設施與資源配置，技術決策則由維護者社群依貢獻與共識形成，兩者互補。</p> <p>基金會的成立重點在於治理與資源層面的長期安排，影響主要集中在專案基礎設施維護、社群活動與資助流程的制度化。技術治理細節仍待後續公布，團隊表示將先完成社群徵詢，再依共識宣布最終設計。</p> </div></div></div>
2025/10/9 08:27作者李建興https://www.ithome.com.tw/news/171600
【資安日報】10月8日，Oracle E-Business Suite零時差漏洞攻擊、Red Hat資料外洩事故出現新…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末最受到關注的資安事故，莫過於勒索軟體駭客Clop鎖定Oracle E-Business Suite（EBS）的零時差漏洞攻擊，以及Red Hat資料外洩事故。此外，即時通訊軟體Discord也因第三方客服供應商遭未經授權人士入侵面臨資料外洩的情況。巧合的是，這些資安事故皆與3個駭客組織Scattered Spider、Lapsus$、ShinyHunters組成的團體「Scattered Lapsus$ Hunters」有關。</p> <p>其中，犯下EBS零時差漏洞攻擊的勒索軟體Clop旗下團體Graceful Spider，取得零時差漏洞的管道，疑似來自Scattered Lapsus$ Hunters的Telegram頻道；聲稱入侵Red Hat的Crimson Collective，後續將資料上傳該組織的資料外洩網站；至於Discord資料外洩事故，Scattered Lapsus$ Hunters宣稱入侵該公司Zendesk系統得逞。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171581"><strong style="font-size: 22px;">勒索軟體駭客Clop鎖定Oracle E-Business Suite的零時差漏洞攻擊事故有新發現，最早可追溯到8月初</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-oracle-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-oracle-fig1.png" style="width: 300px; float: right;" /></a></p> <p>針對上週爆發的勒索軟體Clop利用Oracle E-Business Suite（EBS）零時差漏洞CVE-2025-61882攻擊事故，在傳出Google威脅情報團隊（GTIG）及資安業者Mandiant介入調查後，引起資安圈高度關注，許多資安業者也參與調查，現在有新的結果出爐：駭客疑似從兩個月前開始從事相關活動。</p> <p>資安業者CrowdStrike指出，這起攻擊行動很有可能是名為Graceful Spider（也被稱為TA505、Hive0065、Gold Tahoe）的駭客組織所為，最早利用漏洞的時間可追溯到8月9日。不過，該公司認為，可能還有其他駭客組織參與利用CVE-2025-61882的活動。</p> <p>針對先前傳出向多家企業高階主管發送勒索信的駭客身分，就是Graceful Spider。原因是在某個暗示Scattered Spider、Lapsus$（CrowdStrike稱為Slippy Spider）、ShinyHunters進行合作的Telegram頻道當中，一名成員張貼EBS的漏洞訊息，並對Graceful Spider的手法進行批判。不過，對於該名成員如何取得這項漏洞，以及頻道成員是否將其用於實際攻擊，CrowdStrike表示並不清楚，但他們提到，Oracle在CVE-2025-61882資安公告提及的入侵指標（IoC），就是根據上述Telegram頻道成員提供的概念驗證程式（PoC）而來。</p> <p><a href="https://www.ithome.com.tw/news/171585"><strong style="font-size: 22px;">Red Hat資料外洩事故恐影響超過5千家企業組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/02wtQ0WQbzwN-6nV2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/02wtQ0WQbzwN-6nV2.png" style="width: 300px; float: right;" /></a></p> <p>上週駭客組織Crimson Collective聲稱入侵Red Hat，從內部開發儲存庫竊得約800份客戶互動報告（Customer Engagement Report，CER），此事傳出後續該組織聯手ShinyHunters向Red Hat勒索，將該公司列於ShinyHunters資料外洩網站，並公布部分CER資料取信買家，對於這起事故的影響範圍，有資安研究員公布調查結果。</p> <p>資安專家Kevin Beaumont指出，根據Crimson Collective公布竊得的資料夾列表，他估計有超過5千家企業的網路環境因此曝險。由於Red Hat承認外洩資料與自家顧問團隊有關，而該團隊專門負責處理大型企業面臨的複雜技術問題，因此外洩的資料內容，應該包含了與客戶有關的文件及原始碼。</p> <p>究竟Crimson Collective的來歷為何，Kevin Beaumont認為和駭客組織Lapsus$有關。他引述另一名資安專家Brian Krebs的說法，打著Crimson Collective名號發出訊息的人士自稱是Miku，很有可能是Lapsus$成員Thalha Jubair，原因是他在Telegram的使用者名稱就是Miku。英國國家網路犯罪局（NCA）指出，他曾是Scattered Spider成員。</p> <p><a href="https://www.ithome.com.tw/news/171592"><strong style="font-size: 22px;">即時通訊軟體Discord資料外洩，駭客聲稱入侵Zendesk系統而得逞</strong></a></p> <p>10月3日即時通訊軟體Discord發布資安公告，指出第三方客服供應商遭到未經授權人士入侵的跡象，影響曾與Discord客戶支援團隊、信任安全團隊聯繫的部分用戶。該公司強調，這些未經授權人士沒有直接存取Discord本身，用戶與客戶支援團隊、信任安全團隊的對話與互動內容並未遭到存取。對此，Discord隨即註銷該供應商存取工單系統的權限，與執法單位緊密合作、展開調查，並透過電子郵件通知受影響的用戶。究竟有多少人受到影響，以及第三方供應商的身分，Discord並未透露。</p> <p>對於可能遭到外流的資料，Discord指出主要與客服系統有關，其中包括提供給Discord客戶的聯絡資料，例如：姓名、Discord使用者名稱、電子郵件信箱，以及其他聯繫方式。再者，也可能包含有限的付款資訊，像是付款方式、信用卡號末4碼、購買記錄。</p> <p>針對這起攻擊事故，駭客組織Scattered Lapsus$ Hunters聲稱是他們所為。這些駭客向資安新聞網站Bleeping Computer透露，他們成功入侵Discord的IT服務臺系統Zendesk，並透過裝置信任解決方案Kolide而得逞。不過這些駭客後來改口，宣稱實際上是另一組與他們有互動的人馬所為。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=133355&SPOKE_DATE=20251007&COMPANY_ID=2511"><strong style="font-size: 22px;">統一集團旗下太子建設資訊系統遭網路攻擊</strong></a></p> <p></p> <p>10月7日統一集團旗下的太子建設發布資安重訊，表示他們有部分資訊系統遭到攻擊，事發後該公司立即啟動資安防護措施，並與資安業者及技術專家協同處理。後續他們對所有系統進行掃描及檢測，再以備份資料復原運作。</p> <p>針對這起事故可能帶來的影響，太子建設表示尚未出現損失，公司營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/batshadow-group-uses-new-go-based.html">越南駭客BatShadow鎖定求職者下手，散布Go語言惡意程式Vampire Bot</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/new-cavalry-werewolf-attack-hits.html">哈蕯克駭客Cavalry Werewolf鎖定俄羅斯公共機構，運用FoalShell、StallionRAT從事攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploited-zimbra-flaw-as-zero-day-using-icalendar-files/">郵件伺服器Zimbra零時差漏洞遭到利用，駭客濫用行事曆檔案觸發</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.nics.nat.gov.tw/latest_news/announcements/Latest_Announcement/cb45fe71-f31a-4ab8-9ff0-f340c4de1821/">資安院針對中國防火長城資料外洩的資料進行分析，警告中國會將臺灣當作攻擊的跳板，臺灣民眾在中國使用網路服務要提高警覺</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171587"><strong style="font-size: 22px;">多家大型語言模型服務曝ASCII走私風險，Gemini與Grok被點名</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68dfd010b141ddb783628077_Screenshot 2025-10-03 at 14_30_32.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68dfd010b141ddb783628077_Screenshot%202025-10-03%20at%2014_30_32.png" style="width: 300px; float: right;" /></a></p> <p>資安公司FireTail研究發現，多家大型語言模型服務可能面臨ASCII走私（ASCII Smuggling）攻擊風險，其中Gemini、Grok與DeepSeek在測試中被證實可能受此手法影響。研究指出，這類攻擊在與企業應用或生產力服務深度整合的情境下風險更高，例如語言模型在處理行事曆、郵件或文件內容時，可能讀取到介面上看不見但實際存在的隱藏指令。</p> <p>所謂ASCII走私，是利用Unicode Tags區段與零寬控制字元，把隱形內容夾帶在看似正常的文字裡，由於這些字元在多數人機介面不顯示，因此畫面上看起來乾淨無異常，但大型語言模型在前處理階段仍會接收並解析完整的原始字串。當介面顯示的內容與模型實際接收到的輸入不一致時，系統的決策或自動化流程可能在使用者無察覺的情況下被改變。</p> <p>其中，在Google Workspace環境裡，攻擊者可提供含隱形字元的行事曆邀請，受邀者在日曆中只看到普通標題，但Gemini在讀取事件時會解析隱藏指令，進而覆寫描述、連結甚至建立者資訊。測試指出即使受害者未按下接受，模型仍會處理該事件物件，擴大了社交工程與身分偽冒的風險。</p> <p><a href="https://www.ithome.com.tw/news/171577"><strong style="font-size: 22px;">非關聯式資料庫Redis存在滿分漏洞，近13年版本皆曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1759662329-image-227.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1759662329-image-227.png" style="width: 300px; float: right;" /></a></p> <p>上週非關聯式資料庫Redis的資安團隊發布資安公告，指出他們發布6.2.20、7.2.11、7.4.6、8.0.4，以及8.2.2版，修補存在於Lua元件的資安漏洞CVE-2025-49844，此為記憶體釋放後再存取使用（Use After Free）型態的弱點，攻擊者有機會用來遠端執行任意程式碼（RCE），CVSS風險達到滿分10分，相當危險。通報此事的資安業者Wiz指出，此漏洞存在於近13年版本的Redis，而且雲端環境有四分之三採用這些有弱點的Redis版本，影響範圍相當廣泛。</p> <p>在今年5月舉行的漏洞挖掘競賽Pwn2Own Berlin 2025，Wiz揭露這個弱點，並將其命名為RediShell，該公司強調，這是第一個被評為重大層級的Redis資安漏洞，危險性不光是因為能用於RCE攻擊，同時也反映常見的使用方式及部署型態所存在的問題。此漏洞存在於Redis原始碼長達13年，攻擊者只要在通過身分驗證的情況下，發送惡意Lua指令碼，就有機會逃逸Lua沙箱，並在Redis主機執行任何程式碼，從而完全存取主機系統，竊取、抹除、加密敏感資料，或是挾持資源，甚至能在雲端環境橫向移動。由於Lua指令碼是Redis預設支援的功能，若是IT人員沒有關閉這項功能，就會曝險。</p> <p><a href="https://www.ithome.com.tw/news/171569"><strong style="font-size: 22px;">遊戲開發平臺Unity通報高風險漏洞，可能被濫用執行任意程式碼</strong></a></p> <p>Unity通報一項高風險漏洞CVE-2025-59489，影響自Unity 2017.1起建置的Android、Windows、macOS與Linux應用。該漏洞源於命令列參數可被濫用以載入與執行外部程式碼，攻擊者要是取得本機存取權，可能在應用中執行任意程式碼或提升權限。官方表示目前未觀察到實際攻擊案例，並已釋出修補版本與可直接更新既有應用的工具。</p> <p>Unity提供兩種修補方式，其一為使用已修補版本的Unity Editor重新開啟專案、重建並測試後再發行，其二則是在無法即時重建或需進行臨時修補時，利用Unity Application Patcher直接修補現有的Android、Windows或macOS建置檔。官方提醒，修補工具可能與部分防竄改或反外掛機制產生相容性問題，開發者在部署前應完整驗證。</p> <p>CVE-2025-59489的影響範圍廣泛，主要平臺業者也迅速採取防護措施。Valve在Steamworks發布公告提醒Unity開發者盡速更新並重新測試遊戲，同時釋出新版Steam用戶端因應；微軟則在MSRC安全更新指引中收錄CVE-2025-59489警告此事，並更新了Microsoft Defender的威脅偵測模組，辨識並攔截相關漏洞利用手法。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/docker-makes-hardened-images-catalog-affordable-for-small-businesses/">Docker向中小企業及新創的開發團隊招手，開放Hardened Images目錄無限制存取</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171575"><strong>【10月7日】勒索軟體駭客Clop聲稱從Oracle E-Business Suite竊得大批企業內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171504"><strong>【10月3日】Red Hat傳出資料外洩事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171480"><strong>【10月2日】Red Hat、Google修補AI平臺的資安漏洞</strong></a></p> </div></div></div>
2025/10/8 17:14作者周峻佑https://www.ithome.com.tw/news/171593
多家大型語言模型服務曝ASCII走私風險，Gemini與Grok被點名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司FireTail<a href="https://www.firetail.ai/blog/ghosts-in-the-machine-ascii-smuggling-across-various-llms">研究發現</a>，多家大型語言模型服務可能面臨ASCII走私（ASCII Smuggling）攻擊風險，其中Gemini、Grok與DeepSeek在測試中被證實可能受此手法影響。研究指出，這類攻擊在與企業應用或生產力服務深度整合的情境下風險更高，例如語言模型在處理行事曆、郵件或文件內容時，可能讀取到介面上看不見但實際存在的隱藏指令。</p> <p>所謂ASCII走私，是利用Unicode Tags區段與零寬控制字元，把隱形內容夾帶在看似正常的文字裡，由於這些字元在多數人機介面不顯示，因此畫面上看起來乾淨無異常，但大型語言模型在前處理階段仍會接收並解析完整的原始字串。當介面顯示的內容與模型實際接收到的輸入不一致時，系統的決策或自動化流程可能在使用者無察覺的情況下被改變。</p> <p>研究人員以可重現的提示測試說明風險，表面上的請求是請模型列出5個隨機單字，然而實際原始字串則包含要求僅輸出FireTail的隱形覆寫語句，而模型最終僅輸出FireTail一詞，顯示輸入清理與正規化流程未能在前處理階段移除不可見控制字元。</p> <p>在Google Workspace情境，攻擊者可提供含隱形字元的行事曆邀請，受邀者在日曆中只看到普通標題，但Gemini在讀取事件時會解析隱藏指令，進而覆寫描述、連結甚至建立者資訊。測試指出即使受害者未按下接受，模型仍會處理該事件物件，擴大了社交工程與身分偽冒的風險。</p> <p>研究指出ChatGPT、Copilot、Claude在輸入清理上表現較佳，Gemini、Grok和DeepSeek則被證實可受此攻擊手法影響。不過，Grok在社群貼文情境曾經能提示隱藏內容，不同整合路徑的行為可能存在差異。</p> <p>研究人員就研究結果向Google進行通報，獲回覆為暫不採取行動。根據Google信件回覆（下圖），經Google內部調查後認為回報內容屬於預期行為，而非系統性安全漏洞，該問題主要涉及社交工程情境，並不構成技術層面的資安缺陷，因此不會納入安全性追蹤或修補流程。FireTail研究團隊其後公開細節，並將此定義為應用層的輸入處理問題，呼籲使用者強化自家流程的可觀測性與稽核。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/68dfd9e771f7d05f43a9fc7b_ASCII%20Smuggling%20Blog%20Images_Bug%20Report.png" style="width: 380px; height: 854px;" /><br /> 圖片來源 / FireTail</p> <p>研究團隊強調，防護的關鍵在於監控大型語言模型實際接收到的原始輸入資料，而非僅依賴介面所見的文字。企業透過比對UI可見內容與實際輸入字串，並在輸入層導入對Unicode隱藏字元的檢測與清洗，便能大幅降低此類攻擊風險。該偵測方式不僅適用於員工直接操作人工智慧助理的場景，也能涵蓋企業系統後端利用大型語言模型進行自動化任務的情境，確保所有人工智慧互動環節都能被監控與防護。 </p> </div></div></div>
2025/10/8 16:19作者李建興https://www.ithome.com.tw/news/171587
成立5年助28件國產智慧醫材上市，食藥署智慧醫材專案辦公室揭下一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>食藥署日前（10/3）揭露旗下智慧醫材專案辦公室進展，自2021年成立以來，鎖定醫療AI軟體商品化，聚焦法規管理和產業推動兩大面向，不只制定21份醫療AI相關的審查指引、提供諮詢服務和培育人才，還協助了28件國產智慧醫材上市，其中20件已布局海外。接下來，智慧醫材專案辦公室要聯手衛福部資訊處、健保署和醫藥品查驗中心（CDE），整合智慧醫材的驗證、取證和臨床效益，還要聯手更多政府單位，來成立醫創共榮聯盟。</p> <p><span style="font-size:22px;"><strong>成立背景：落實AI醫材監理與產業扶植</strong></span></p> <p>負責推動智慧醫材業務的食藥署簡任計正吳亭瑤回顧，2020年，行政院生技產業策略諮議委員會議（BTC）提出建議，盼成立智慧醫療監理審查制度，來輔導跨域產品研發上市。當時業界也建議，食藥署應扶植相關產業發展。</p> <p>於是，隔年5月，食藥署正式成立智慧醫材專案辦公室，組成專家團隊，來提供諮詢服務、輔導國內AI/ML醫材取證。當時，他們也建置專家人才庫，來提供智慧醫材商品化的專業臨床建議。</p> <p><span style="font-size:22px;"><strong>鎖定兩大面向：法規管理與產業推動</strong></span></p> <p>吳亭瑤進一步說明，智慧醫材專案辦公室的工作可分為兩個面向，首先是法規管理，包括：</p> <ol> <li>界定醫材軟體管理範圍，因為並非所有醫療軟體都算是智慧醫材，比如非疾病診斷或治療的，就不是醫材軟體</li> <li>提出明確的臨床試驗管理原則，比如無顯著風險的臨床試驗案，不必送食藥署審查</li> <li>制定審查相關文件，包括21份醫療AI指引、範本和問答集</li> <li>建置取證彈性管理框架</li> </ol> <p>另一面向是產業推動，包括：</p> <ol> <li>辦理智慧醫材課程，如網路安全、軟體確效、新興智慧醫療技術應用、醫材法規及管理等</li> <li>提供研發團隊諮詢服務，除了開發潛在案源，也會提供產品法遵、市場布局等整體意見回饋</li> <li>加速產品開發推廣，像是辦理媒合交流座談會、串聯智慧醫療生態資源</li> <li>建置智慧醫材單一入口平臺，讓使用者接收最新智慧醫材法規和相關課程訊息，也提供異業交流管道</li> </ol> <p><span style="font-size:22px;"><strong>5年共核准國內外202張AI醫材許可證，還助28件國產智慧醫材上市</strong></span></p> <p>在法規管理和產業推動的兩面向政策下，智慧醫材專案辦公室這幾年也累積不少成果，比如自2021年成立至今年8月，共核准了國內外202張AI醫材許可證，其中，國產佔了58張，專案辦公室更協助28件國產智慧醫材上市。</p> <p>這些醫材主要為放射醫學影像應用（82.2%），涵蓋多種疾病，如腦瘤輔助偵測、糖尿病視網膜病變、胰腺癌偵測、舟狀骨骨折、急性腎損傷預測等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6953.JPG" /></p> <p>除了許可證，智慧醫材專案辦公室還辦理了170多場教育課程，也制定了包括AI醫材預變更申請、AI醫材獨立性評估等文件在內的21份指引。</p> <p>吳亭瑤表示，已取證的國產智慧醫療業者，也有20多件布局海外，另也有些產品配合國家政策，導入醫療院所或衛生局/處使用，比如嘉義縣衛生局就採用包含心房顫動、眼底影像和AI骨鬆風險的複合式AI篩檢系統，又或是新竹縣衛生局導入心電圖篩檢AI、桃園縣衛生局導入肺癌LDCT篩檢。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6954.JPG" /></p> <p><strong><span style="font-size:22px;">下一步：推動醫創共榮聯盟、深化跨部會合作</span></strong></p> <p>在這些成果上，智慧醫材專案辦公室今年也推動新的諮詢服務2.0，瞄準國產智慧醫材專案輔導，同時搭配健康臺灣的國家政策，來提供4大技術、10項臨床應用輔導，進一步推動國產智慧醫材發展。</p> <p>另一方面，智慧醫材專案辦公室還要聯手衛福部資訊處的3大AI中心、健保署和CDE，要來加速智慧醫材的驗證、取證和市場拓銷能力。</p> <p>吳亭瑤也預告，食藥署還要聯手更多政府單位，來推動醫創共榮聯盟，比如聯手衛福部旗下單位（如健保署、國健署、長照司等），結合政策來加速智慧醫材的導入，又或是與經濟部及其法人、數發部和國科會等部會，提供資源助國產智慧醫材銷往國際。食藥署也鎖定人才培育，要與教育部、國衛院或醫材相關產業公會，協助培育跨領域人才、累積專業知識並擴散。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6956.JPG" /></p> <p></p> </div></div></div>
2025/10/8 16:20作者王若樸https://www.ithome.com.tw/news/171589
Anthropic開源AI模型安全稽核框架Petri
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/research/petri-open-source-auditing" target="_blank">AI新創公司Anthropic周一（10/6）開源了Petri</a>，它的全名為「高風險互動平行探索工具」（Parallel Exploration Tool for Risky Interactions），是個AI模型的安全稽核框架，可派出自動化稽核代理人與目標模型進行多輪互動，以探索並偵測模型於各種情境下的潛在弱點及不對齊行為。Petri內建111種涉及高風險場景的指令，可用來評估模型的安全性及穩定性。</p> <p>Anthropic表示，隨著AI模型的功能愈來愈強大，應用領域也愈來愈廣，可能出現的不對齊行為亦隨之擴大，有鑑於行為數量及複雜性遠超出人力可測範圍，人工稽核已難以應付，需要自動化工具的協助以展開全面稽核。</p> <p>因此，Anthropic過去一年已開發出自動化稽核代理人，用於評估模型的情境感知、策畫及自我保護等行為，證實該方法能有效找出不對齊行為，因而決定將其系統化並予以開源。</p> <p>Petri利用自動化稽核代理人與評審模型對AI模型進行多輪互動測試，並根據多個維度來評分，標記潛在的風險行為，內建的111種測試指令涵蓋欺騙用戶、諂媚、配合有害請求、自我保護、權力追求，以及獎勵駭取等情境，檢測模型於不同高風險場景中的反應。</p> <p>Anthropic已利用Petri測試市面上的14個前沿模型，包括自家的Claude Sonnet 4/4.5與Claude Opus 4.1，OpenAI的GPT-4o/5及GPT-OSS 120B，Google的Gemini 2.5 Pro，xAI Grok-4、Moonshot AI的Kimi K2及o4-mini等，發現這些模型在111種高風險情境的測試中，皆出現不同程度的不對齊行為。</p> <p>其中，Claude Sonnet 4.5與GPT-5的整體風險最低，安全表現最佳，它們在「拒絕配合有害請求」與「避免諂媚」上的表現良好；而Gemini 2.5 Pro、Grok-4與Kimi K2則在「欺騙用戶」的得分偏高，代表這些模型有更多主動欺騙的傾向。</p> <p>Anthropic提醒，目前的Petri仍受限於模擬環境真實度不足、稽核代理人能力上限，以及評審維度主觀性等因素，暫難成為權威標準，但就算只是粗略的量化，也能協助模型供應商找到問題及改善方向。</p> </div></div></div>
2025/10/8 16:34作者陳曉莉https://www.ithome.com.tw/news/171591
即時通訊軟體Discord資料外洩，駭客聲稱入侵Zendesk系統而得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月3日即時通訊軟體Discord<a href="https://discord.com/press-releases/update-on-security-incident-involving-third-party-customer-service">發布資安公告</a>，指出第三方客服供應商遭到未經授權人士入侵的跡象，影響曾與Discord客戶支援團隊、信任安全團隊聯繫的部分用戶。該公司強調，這些未經授權人士沒有直接存取Discord本身，用戶與客戶支援團隊、信任安全團隊的對話與互動內容並未遭到存取。對此，Discord隨即註銷該供應商存取工單系統的權限，與執法單位緊密合作、展開調查，並透過電子郵件通知受影響的用戶。究竟有多少人受到影響，以及第三方供應商的身分，Discord並未透露。</p> <p>對於可能遭到外流的資料，Discord指出主要與客服系統有關，其中包括提供給Discord客戶的聯絡資料，例如：姓名、Discord使用者名稱、電子郵件信箱，以及其他聯繫方式。再者，也可能包含有限的付款資訊，像是付款方式、信用卡號末4碼、購買記錄。</p> <p>該公司也提及用戶的IP位址、與客服代理的對話，都有可能受到波及。此外，該公司教育訓練材料、內部展示資料等內部資料，也可能外流。</p> <p>值得留意的是，未經授權人士也取得少量與政府核發的身分證明文件有關圖片，這些資料是使用者向Discord證明他們的年齡所用。</p> <p>不過，Discord強調多項敏感資料不受影響，其中包括密碼與身分驗證資料、完整的信用卡號或CCV碼。此外，與客服對話無關的Discord訊息及活動，也不受影響。</p> <p>針對這起攻擊事故，駭客組織Scattered Lapsus$ Hunters聲稱是他們所為。這些駭客<a href="https://www.bleepingcomputer.com/news/security/discord-discloses-data-breach-after-hackers-steal-support-tickets/">向資安新聞網站Bleeping Computer透露</a>，他們成功入侵Discord的IT服務臺系統Zendesk，並透過裝置信任解決方案Kolide而得逞。不過這些駭客後來改口，宣稱實際上是另一組與他們有互動的人馬所為。</p> </div></div></div>
2025/10/8 16:58作者周峻佑https://www.ithome.com.tw/news/171592
Red Hat資料外洩事故恐影響超過5千家企業組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週<a href="https://www.ithome.com.tw/news/171502">駭客組織Crimson Collective聲稱入侵Red Hat</a>，從內部開發儲存庫竊得約800份客戶互動報告（Customer Engagement Report，CER），此事傳出後續<a href="https://www.ithome.com.tw/news/171570">該組織聯手ShinyHunters向Red Hat勒索</a>，將該公司列於ShinyHunters資料外洩網站，並公布部分CER資料取信買家，對於這起事故的影響範圍，有資安研究員公布調查結果。</p> <p><a href="https://doublepulsar.com/red-hat-consulting-breach-puts-over-5000-high-profile-enterprise-customers-at-risk-in-detail-90114f18f706">資安專家Kevin Beaumont指出</a>，根據Crimson Collective公布竊得的資料夾列表，他估計有超過5千家企業的網路環境因此曝險。由於Red Hat承認外洩資料與自家顧問團隊有關，而該團隊專門負責處理大型企業面臨的複雜技術問題，因此外洩的資料內容，應該包含了與客戶有關的文件及原始碼。</p> <p>究竟Crimson Collective的來歷為何，Kevin Beaumont認為和駭客組織Lapsus$有關。他引述另一名資安專家Brian Krebs的說法，打著Crimson Collective名號發出訊息的人士自稱是Miku，很有可能是Lapsus$成員Thalha Jubair，原因是他在Telegram的使用者名稱就是Miku。英國國家網路犯罪局（NCA）指出，他曾是Scattered Spider成員。</p> <p>另一項資訊來自Scattered Lapsus$ Hunters於網站上公布的內容，他們聲稱在9月13日入侵Red Hat，並公布竊得資料的檔案結構，總共有370,852個資料夾、3,438,976個檔案。Kevin Beaumont提及此網站具備Lapsus$的特徵，包含Lapsus$會拼寫錯誤的字，以及隨意在HTML註解寫入種族主義言論等。</p> <p>再者，根據Crimson Collective列出的受害者名單，前兩個是電信業者Claro、Vodafone，而兩家公司先後在2021年、2022年遭到Lapsus$攻擊。</p> <p>在公布供買家檢驗檔案的7家企業CER資料後，Scattered Lapsus$ Hunters又再公布一批2.2 GB的資料，表示他們竊得超過320萬個檔案。其中有部分資料顯然相當敏感，其中一種是不該被公開的私有憑證檔案（.PFX）。對此，Kevin Beaumont認為受害企業應聯絡Red Hat顧問團隊，取得遭竊資料的內容，並採取更換憑證等補救行動。由於駭客已經在兜售資料，受害企業應假設這些資料很快就會公開而應變。</p> </div></div></div>
2025/10/8 14:43作者周峻佑https://www.ithome.com.tw/news/171585
勒索軟體駭客Clop鎖定Oracle E-Business Suite的零時差漏洞攻擊事故有新發現，最早可追溯到8月初
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對<a href="https://www.ithome.com.tw/news/171527">上週爆發</a>的勒索軟體Clop利用Oracle E-Business Suite（EBS）零時差漏洞<a href="https://www.ithome.com.tw/news/171553">CVE-2025-61882</a>攻擊事故，在傳出Google威脅情報團隊（GTIG）及資安業者Mandiant介入調查後，引起資安圈高度關注，許多資安業者也參與調查，現在有新的結果出爐：<a href="http://www.crowdstrike.com/en-us/blog/crowdstrike-identifies-campaign-targeting-oracle-e-business-suite-zero-day-CVE-2025-61882/">駭客疑似從兩個月前開始從事相關活動</a>。</p> <p>資安業者CrowdStrike指出，這起攻擊行動很有可能是名為Graceful Spider（<a href="https://malpedia.caad.fkie.fraunhofer.de/actor/ta505">也被稱為</a>TA505、Hive0065、Gold Tahoe）的駭客組織所為，最早利用漏洞的時間可追溯到8月9日。不過，該公司認為，可能還有其他駭客組織參與利用CVE-2025-61882的活動。</p> <p>針對先前傳出向多家企業高階主管發送勒索信的駭客身分，就是Graceful Spider。原因是在某個暗示Scattered Spider、Lapsus$（CrowdStrike稱為Slippy Spider）、ShinyHunters進行合作的Telegram頻道當中，一名成員張貼EBS的漏洞訊息，並對Graceful Spider的手法進行批判。不過，對於該名成員如何取得這項漏洞，以及頻道成員是否將其用於實際攻擊，CrowdStrike表示並不清楚，但他們提到，Oracle在CVE-2025-61882資安公告提及的入侵指標（IoC），就是根據上述Telegram頻道成員提供的概念驗證程式（PoC）而來。</p> <p>究竟攻擊者如何將CVE-2025-61882用於實際攻擊？首先他們發出HTTP請求，從而繞過身分驗證。其中部分活動裡，CrowdStrike確認攻擊者是針對EBS的管理帳號而來。</p> <p>接著，為了執行特定的程式碼，攻擊者針對XML Publisher Template Manager元件下手，發出請求並上傳、執行惡意的XSLT範本檔案。一旦範本檔案成功執行，Java網頁伺服器就會與攻擊者的基礎設施建立連線，攻擊者以此遠端在EBS載入Web Shell，以此執行命令及建立持續存取的管道。</p> </div></div></div>
2025/10/8 12:16作者周峻佑https://www.ithome.com.tw/news/171581
高通將買下義大利開源電子平臺Arduino
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半導體設計業者<a href="https://www.qualcomm.com/news/releases/2025/10/qualcomm-to-acquire-arduino-accelerating-developers--access-to-i?mkt_tok=Mzg1LVRXUy04MDMAAAGdXckA_LoyC4o3mSnL3t26Qsd8xX2fKRq2vUZgujBKIUSkR7twai0njlQ5AyFP0wgHVem0lUcfGUJ0cQLNVxt6lYn1g-gPnAa_SLKj3dYcDlmpVBM" target="_blank">高通（Qualcomm）周二（10/7）宣布</a>，準備買下義大利的開源電子平臺Arduino，同時發表了首款搭載Qualcomm Dragonwing平臺的雙核心開發板Arduino UNO Q，以及全新整合開發環境（IDE）Arduino App Lab。雙方並未揭露此一交易的價格，並仍待監管機關的審查。</p> <p>Arduino創立於2005年，其核心理念是讓非工程師也能輕鬆使用電子技術，讓創意快速轉化為原型，目前提供Arduino Uno、Arduino Nano、Arduino Mega與Arduino Leonardo等用途不同的微控制器開發板，並開源所有設計圖及電路圖，官方售價都低於55美元，使用者可使用這些開發板來連結感測器、馬達或燈光，並於Arduino IDE中以C++撰寫程式。</p> <p>迄今Arduino在全球擁有逾3,300萬名活躍開發者，其產品被廣泛應用在教育、藝術裝置、智慧家居、機器人及IoT原型開發上。</p> <p>高通計畫藉由整合2024年3月收購的嵌入式Linux與OTA管理平臺Foundries.io，以及2025年3月收購的邊緣AI模型開發與訓練平臺Edge Impulse，再加上Arduino，來強化高通對於提供涵蓋硬體、軟體及雲端的全棧邊緣平臺的承諾。</p> <p>高通表示，結合高通在處理、繪圖、電腦視覺及AI上的專業，以及Arduino的簡單、親民的價格與社群，將可提高各行各業開發人員的生產力，未來Arduino將保留開放的作法與社群精神，同時解鎖其現代化開發的全棧平臺能力，而Arduino UNO Q即是第一步。</p> <p><a href="https://www.arduino.cc/product-uno-q" target="_blank">Arduino UNO Q</a>可執行Linux Debian作業系統，搭載高達Dragonwing QRB2210處理器及STM32U585微控制器，前者具備AI、圖像加速、4核心，並支援相機、音訊及顯示器，後者則可執行精確控制且回應快速，整合高性能運算與控制能力，企圖成為開發者的首選工具。</p> <p>全新的Arduino App Lab同時支援Real-time OS、Linux、Python 及AI工作流程，讓開發者可在同一介面中撰寫感測器控制程式，執行AI模型或Python腳本，並可與Edge Impulse整合，利用真實世界資料建構與微調AI模型，以實現物體辨識、聲音辨識或異常檢測等應用。</p> <p>市場分析認為此一收購是高通從手機晶片領域擴張至工業、物聯網的布局之一；且新的Arduino UNO Q在功能上將可媲美Raspberry Pi。</p> </div></div></div>
2025/10/8 14:41作者陳曉莉https://www.ithome.com.tw/news/171584
讓量子世界登上晶片的3名科學家獲頒諾貝爾物理獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nobelprize.org/prizes/physics/2025/press-release/" target="_blank">瑞典皇家科學院（The Royal Swedish Academy of Sciences）本周二（10/7）宣布</a>，把2025年的諾貝爾物理獎（Nobel Prize in Physics）頒給了John Clarke、Michel Devoret與John Martinis，3人透過人造超導電路，成功展現並驗證量子穿隧與能量量子化等現象，證明量子效應可存在於巨觀系統中，為現代量子科技與量子電腦奠定了重要基礎。</p> <hr /> <p><a href="https://www.youtube.com/watch?v=m9FUkAis62s&t=1687s" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-2025%20Nobel%20Prize%20in%20Physics-Nobel%20Prize.png" style="width: 600px;" /></a></p> <hr /> <p>Clarke是加州大學柏克萊分校的物理系教授，亦為超導量子裝置實驗室的主持人，現仍為該校名譽教授。Devoret及Martinis都是Clarke的學生，獲獎的是他們3人在1984年至1985年間於實驗室共同進行的研究。其中，Martinis曾是Google量子AI裝置負責人，而Devoret現在正擔任Google量子硬體的首席科學家。</p> <p>瑞典皇家科學院說明，物理學界長期關注的一大問題是：量子效應究竟能延伸到多大的系統？量子力學允許粒子藉由穿隧過程（Tunnelling）直接穿過屏障，而能量量子化指的是能量並非連續變化，而是像量子一樣，一階一階地跳，不管是穿隧或能量量子化最初只出現在微觀世界中，而難以於大型及可工程化的系統裡複製。</p> <p>本屆獲獎的3名科學家，則藉由Josephson接面（Josephson Junction）來建構超導電路，首度於人造晶片上成功重現並驗證上述量子特性，證明了量子力學的規則同樣適用於巨觀系統。Josephson接面是由一個超導體（S）、一個極薄的絕緣體（I）及另一層超導體組成，發現當改變電流時，系統能量只會以固定臺階變化，電流也能透過量子穿隧跨越絕緣體，展現出一個具備量子化行為的電學系統。</p> <p><a href="https://www.aip.org/aip/aip-congratulates-2025-nobel-prize-winners-in-physics?utm_source=chatgpt.com" target="_blank">美國物理學會（American Institute of Physics，AIP）指出</a>，過去量子力學被歸類在微觀領域，於有形世界中幾乎無法觀察到，他們3人率先證明量子效應能夠於宏觀尺度上發揮作用，迄今Josephson接面已被廣泛應用在量子運算、感測及密碼學上，這些劃時代的技術發展，如果沒有上述的開創性研究成果，將無法實現。</p> <p>Google也說，Josephson接面為現今超導量子位元（Qubit）的基礎，亦是Google Quantum AI量子位元設計的關鍵元件。</p> <p>Clarke向<a href="https://www.nature.com/articles/d41586-025-03194-2?utm_source=chatgpt.com" target="_blank">《Nature》</a>等媒體透露，他起初只認為他們的發現在某些方面會是量子運算的基礎，從沒想過它可能是諾貝爾獎的基礎，儘管他身為指導教授，但Martinis與Devoret的貢獻更是不可或缺。</p> <p>他們3人將均分1,100萬瑞典克朗（約120萬美元）的獎金。</p> </div></div></div>
2025/10/8 12:25作者陳曉莉https://www.ithome.com.tw/news/171582
從數位轉型到生成式AI創新，老字號宏亞食品如何邁向科技傳產
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們一位不懂Python的維運工程師，靠AI就寫出了好幾支程式，甚至解決了工廠物流假日加班的痛點。」宏亞食品資訊服務部經理周哲旭強調，不只IT，行銷、企劃、採購部門都在用，連董事長都用GenAI來評估千萬元工廠設備的採購。「宏亞多數員工，已將AI使用當成日常工作的一部分。」</p> <p>在宏亞，行銷企劃是GenAI用最多、最深的部門。若走進宏亞的臺北辦公室，四分之一員工是行銷部門，負責大家熟悉的77巧克力、禮坊等品牌的行銷，經常可以看到他們熱烈地討論怎麼用AI，AI摘要會議記錄、影音創作、剪輯、字幕自動生成已經是基本用法，還有更複雜的深度應用，像是商品與創意提案，用生成式AI來生成形象影片的視覺設計雛形，更容易也更快與委外製作廠商達成共識，也有企劃人員用於包裝設計，結合AI和設計軟體，5分鐘就可以做出符合不同節慶場景的禮盒包裝盒，品質不輸專業設計。「GenAI對行銷單位的衝擊非常明顯，大大提高了他們的效率。」周哲旭補充，品牌行銷對宏亞非常重要，GenAI對企劃單位來說，有如神兵利器一般。</p> <p>宏亞IT部門也是積極運用GenAI的單位之一，像是不懂程式設計的Infra 維運工程師，就靠GenAI寫出好幾隻Python程式，解決不少使用單位的痛點問題。</p> <p>例如工程師用GenAI寫了一隻解決郵件系統當機的工具程式，直接傳給使用者在自己的電腦上執行來修補問題，不用像過去，維護工程師得跑遍整座工廠，到處幫使用者一臺臺修復電腦上的當機問題。</p> <p>宏亞從去年開始延伸到麵包產品線，必須周末假日出貨來配送，但是，物流人員得親自到工廠印製當天物流訂單，交給司機配送。後來，Infra工程師問清楚整套作業流程後，也靠ChatGPT寫出了一隻訂單列印處理自動化的小工具，物流人員在家中將最新訂單上傳到指定路徑，就能自動在遠端的工廠印表機上列印，讓司機自己去拿，物流人員不用每一個假日再多跑一趟，達到假日無人值班的效果。</p> <p>這位快50歲的Infra工程師，過去的職涯都是負責維運基礎架構，完全不懂程式開發，卻能靠GenAI寫了好幾隻專解特定任務的Python小程式。這些程式從列印整合、軟體修補，到不少原本靠人工處理的資料輸入作業，Infra工程師都可開發出一支支小工具程式來解決，完全不需動用開發人力。</p> <p>像列印小工具這類小型的開發需求，難度不高，但是，宏亞資訊部門只有9個人，從後端ERP系統，到門市POS系統的開發到維運都要負責，工作繁多，往往沒有餘力處理到這種瑣碎的小型開發任務。GenAI的出現，讓原本不懂開發技術的IT人手，也能分擔小型開發需求，而且從痛點分析開始，一隻程式不到兩個禮拜就可以上線。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>大缺工的時代，GenAI帶來提高生產力的機會</strong></span></span></p> <p>「現在是大缺工的時代，每一家企業老闆都希望靠更少的人力，做更多的事。」招募人才是傳統產業很大的難題，就算像宏亞這般高知名度的企業，薪資水準不輸高科技、金融業，也很難找到適合的人才。</p> <p>周哲旭表示：「GenAI對我們來說，就是一個機會！」像是善用AI或自動化技術，就可以接手重複性高或是價值相對較低的工作，來緩解人手不足的問題。</p> <p>所以，早在2023年1月，ChatGPT問世才一個多月，周哲旭就開始找老闆討論，如何善用最新的生成式AI來幫忙做事。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>以全員AI為目標，分三階段擁抱生成式AI</strong></span></span></p> <p>不同於許多企業先用少數GenAI案例來驗證和練手，宏亞擁抱生成式AI，一開始就以全員AI為目標，導入策略上，分三階段進行，從2024年1月展開第一階段，進行全員GenAI素養和技能的提升，第二階段再引導員工將GenAI融入日常工作，到了第三階段，再將GenAI導入到企業級平臺。</p> <p>光是去年，宏亞就舉辦了7場不同AI主題的全公司等級的教育訓練工作坊，只要員工願意，任何人都可以參加，連董事長都主動帶頭參加。</p> <p>持續教育訓練同時，去年下半年，宏亞舉辦了一場內部的生成式AI競賽，以ESG為題，提供獎金。分兩輪，全公司投票選出決賽三組，再到每個月例行早會上分享背後開發想法，再由參加早會者進行第二次票選，來決定名次。</p> <p>經過去年一年的教育訓練和AI競賽，「很多員工開始對AI不會恐懼，反而覺得真的可以幫助他們，也帶動越來越多人使用。」周哲旭觀察。</p> <p>第一階段的工作坊最重要的任務是「消除員工對AI的恐懼感」。</p> <p>今年進入第二階段導入，要將AI推廣到每一個單位，鼓勵更多員工運用到日常工作中，方法就是大量舉辦「分享會」。從今年1月開始，每兩周舉辦一次AI應用分享會，每個單位自己訂主題，輪流分享。自己單位如何使用GenAI、哪些工具好用等。光是到今年夏天，就舉辦超過了11場，還在持續不斷中。在日常會議中，主管也常分享自己使用GenAI的經驗，如採購經理就用Deep Research功能，生成原物料價格趨勢、供應鏈市場供需等研究報告，董事長則分享了自己如何用生成式AI來評估一套幾千萬的工廠設備採購。</p> <p>讓周哲旭意外的是，最熱衷參加分享會的員工，反而是那一群年紀稍長，在公司待了二、三十年的老員工。不少超過20年年資的採購人員，分享會的參與率超過了7成，學習意願非常強烈。宏亞今年也新開設了一個YouTube上的AI頻道，將所有分享會的內容錄影，剪輯成有趣的回放影片，每天中午播放一小時，或在等待區電視牆上輪播。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>降低恐懼感，是AI文化養成的關鍵</strong></span></span></p> <p>周哲旭指出，第一階段工作坊的重要任務是降低AI恐懼感，讓員工從課程中建立一種AI沒有那麼難學的印象，只要員工願意學，就可以享受到低垂的果實。影片輪播則能形成一種氛圍，讓員工覺得這些應用有樂趣，來吸引更多的參與者。</p> <p>「擁抱生成式AI的重點，不是AI技術的導入，而是文化的養成。」周哲旭強調，使用者肯用，才是系統導入能否成功的關鍵。</p> <p>宏亞先教員工怎麼用，協助員工了解AI，消除恐懼感後，員工懂得使用AI，自然就知道如何用AI幫忙解決自己的問題，由下而上地，從每個單位開枝散葉，發展出各自應用的場景。到了今年，宏亞多數員工已經在工作上使用GenAI，每個單位都開始感受到AI的果實。</p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1255-%E5%91%A8%E5%93%B2%E6%97%AD_%E5%AE%8F%E4%BA%9E%E9%A3%9F%E5%93%81_600.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GAI下一步聚焦兩大需求，解決痛點和流程自動化</strong></span></span></p> <p>下一步，也就是第三階段，宏亞要將GenAI導入到企業級平臺中，先聚焦兩大需求，解決痛點及進階的流程自動化。</p> <p>宏亞這幾年積極運用RPA來進行流程自動化，發展了十多支不同用途的RPA，來分擔繁瑣的人工作業，像有2支RPA機器人負責將電商訂單自動輸入到POS系統，也有7支用來分析每日店銷量的RPA，靠RPA抓取各大通路銷售資料，整合到BI儀表板，方便即時監控全臺各通路店面每一天的銷售狀況。還有8支通路訂單流程自動化的機器人，涵蓋通路訂單彙整，到自動輸入ERP等流程處理。</p> <p>周哲旭希望能用AI代理，或是結合AI代理和RPA，來實現更進階的自動化，從被動式的規則式RPA流程機器人，變成主動式、具有判斷能力的AI代理。</p> <p>例如訂單作業無法100%自動化的關鍵是，少數通路的訂單作業仍需人工，像是要檢視往返郵件中的訂單資訊，宏亞正在研究如何用AI代理判讀出內容，來提高整體作業自動化的程度。</p> <p>另一個宏亞優先想用GenAI解決的痛點是食品營養標示課題。宏亞產品種類很多，更是會不斷推出新產品，搭配各種促銷或聯名活動，每推出一款新產品，包裝上就需要新的食品營養標示，甚至不同的產品組合也需要新包裝和新的標示，因為法規要求，有些內容連格式都不能有錯，需要大量人工校訂。宏亞正在研究，如何用GenAI來解決這個食品業想要不斷創新產品時，每一家都會遇到的典型挑戰。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>扎實數位轉型成為GenAI創新的基礎</strong></span></span></p> <p>過去的數位轉型，讓宏亞站在更扎實的數位化基礎，展開GenAI的創新。宏亞從2018年展開核心系統的現代化，導入國際大廠的ERP和現代化POS系統，全臺門市的POS機建置等。2020年，展開資訊與資安的現代化，開始導入更多現代化工具和系統，雲端平臺，電商平臺，團隊協作平臺等。</p> <p>過去在半導體產業擔任IT主管多年的周哲旭，2021年進入宏亞任職，他格外重視資安，上任後的第一件事就是優先建立不可摧毀的備份機制，來避免遭勒索軟體攻擊後的營運中斷風險，也參考零信任思維和NIST網路安全框架，來改善資安環境。他特別重視全員資安素養的提升，一年至少四場全公司等級的資安訓練，每年社交工程演練更多達二到三次。連續三年，員工點擊高風險連結或檔案的行為，每一年都比前一年大幅減少了70%，現在只有個位數的觸發率。</p> <p>2023年，宏亞進入數位轉型第三階段，目標是整合，像是整合採購端的ERP和線上供應鏈管理系統，或是業務端的POS、CRM和電商平臺，也用API整合廠商網站資料到內部KM系統等。也大量運用RPA，將瑣碎、無聊的人工作業自動化，光是營業單位的人工處理時間，就大幅減少了40%。</p> <p>周哲旭表示：「系統慢慢增加後，下一步希望將每個系統的資料運用最大化，產生更多價值，避免資訊孤島和資訊斷點。」過去的IT現代化基礎和資料整合共用的成果，都是宏亞後來能夠善用生成式AI的關鍵。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>生成式AI不只帶來機會，也帶來四大挑戰</strong></span></span></p> <p>生成式AI不只帶來了提高生產力的機會，周哲旭表示，更可以提高資訊部門的能見度和價值。因為老闆對於AI有高度的期待，也讓IT從過去的維運型角色，成了策略型單位，更多機會可以參與高層決策。</p> <p>不過，新科技伴隨而來的新挑戰也不少，周哲旭指出，第一個挑戰是資安與資料治理風險，像是得教育員工，避免上傳機敏資料，或是參考了模型幻覺的錯誤資料，而造成決策錯誤。</p> <p>第二個是要避免使用者天馬行空的想像，各部門往往對GenAI會有很大的期待，資訊部門得平衡實際的技術可行性和使用者的需求，避免結果與使用者的期待有很大的落差。</p> <p>ROI量化困難是第三個挑戰，生成式AI的效益難以衡量，可以增加多少生產力，節省多少成本或增加多少營收。因此，宏亞才聚焦於痛點的解決，要找到對所有人都有影響，老闆也有感的關鍵場景。最後一個挑戰是對傳統產業來說，IT人員編制不大，AI技術人才不足、技能轉型不易，要留才也更不容易。</p> <p>宏亞的數位轉型之路，從積極推動IT與資安現代化，跨入資料整合應用深化，到推動全員AI素養，將生成式AI創新融入多數員工的工作日常。</p> <p>宏亞不只是老字號的食品製造商，更是一家懂得善用AI創新的科技傳產，任何一名員工的辦公桌上，都可能浮現下一個AI的創新點子。</p> <hr /> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>宏亞食品資訊服務部經理　周哲旭</strong></p> <p>學經歷：陽明交通大學管科所畢業。過去多年在高科技產業擔任IT主管，擔任過威瀚科技資訊部副理、威盛電子資訊部經理與威盛芯科技資訊長。2021年跨界到食品製造業，進入宏亞食品帶領IT部門，延續數位轉型發展，推動資安和IT的現代化，更積極擁抱生成式AI，推動全員AI素養，將GenAI融入工作日常。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1255-%E5%AE%8F%E4%BA%9E%E9%A3%9F%E5%93%81_300.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p>●公司名稱：宏亞食品</p> <p>●成立時間：1976年6月14日</p> <p>●業務介紹: 涵蓋糖果、餅乾、巧克力、喜餅、月餅、麵包糕餅等食品製造。七七巧克力和禮坊名店是主要品牌，更成立東南亞第一座巧克力博物館「巧克力共和國」</p> <p>●董事長兼總經理：張云綺</p> <p>●網址：<a href="http://www.hunya.com.tw/">www.hunya.com.tw</a></p> <p>●員工人數：700人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●直屬主管：張云綺董事長</p> <p>●資訊部門名稱：資訊服務部</p> <p>●資訊部門人數：9人</p> <p>●每年IT預算：2,500萬元</p> <p>●資訊部門分工：ERP/POS、OA軟體整合、網管/資安</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2019：宏亞導入SAP S/4 HANA ERP、導入現代化POS系統與全省門市POS機建置</p> <p>●2020 ：建置林口機房暨異地備援、導入Openfind郵件防護/歸檔系統、導入CyberBiz EC電商</p> <p>●2021 ：全體員工導入筆電、導入傑報HR系統、開發導入微軟Azure Analysis Service暨Power BI儀表板</p> <p>●2022 ：導入Salesforce CRM、八德工廠全廠區導入無線網路、建立定期弱點掃瞄機制、全公司無線網路導入802.1X資安驗證機制</p> <p>●2023 ：宏亞新店新總部IT建置、併購暨整合子公司可頌坊IT、導入SAP Ariba供應鏈管理系統、建立全公司定期社交工程演練暨資安課程講座</p> <p>●2024：巧克力共和國改建暨重新開幕、導入新世代防火牆暨IPS系統、導入VPN MFA驗證、開發導入WMS倉儲管理系統、開發導入RPA打單機器人、全公司生成式AI課程訓練暨競賽活動</p> <p>●2025：子公司可頌導入SAP ERP、禮坊101門市店櫃開幕、部署導入MDR與NDR資安防禦、生成式AI應用雙週會、滲透測試</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1255-zhou_zhe_xu_hong_ya_shi_pin_-960.jpg" width="960" height="420" alt="" title="宏亞食品資訊服務部經理周哲旭　（攝影／洪政偉）" /></div></div></div>
2025/10/8 11:38作者王宏仁https://www.ithome.com.tw/people/171578
IBM推出AI軟體開發產品Project Bob
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI、GitHub等AI業者帶動AI開發工具熱潮後，IBM本周在軟體開發大會上宣布<a href="https://newsroom.ibm.com/2025-10-07-ibm-unveils-new-software-product-and-intelligent-infrastructure-capabilities-to-help-enterprises-operationalize-ai" target="_blank">AI優先的軟體開發整合環境（IDE）Project Bob</a>，將加入現有知名模型包括Anthropic Claude及Mistral AI，以協助加速企業開發、及現代化軟體程式。</p> <p>IBM表示，Project Bob旨在引入AI改變軟體開生命周期（Software Development Lifecycles，SDLC）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-Project%20Bob-IBM.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／IBM</span></span></p> <p>為了這項新產品，<a href="https://newsroom.ibm.com/2025-10-07-2025-ibm-and-anthropic-partner-to-advance-enterprise-software-development-with-proven-security-and-governance" target="_blank">IBM也宣布和AI新創公司Anthropic合作</a>，在其特定軟體產品線整合後者的Claude大語言模型家族。IBM表示，Project Bob是雙方合作的第一步，以AI協助加速企業軟體開發，包括舊式軟體的現代化。</p> <p>Project Bob將可使用Anthropic Claude、Mistral AI、Llama和IBM Granite，也能協同這些模型的應用。</p> <p>加入AI模型的Project Bob旨在提升開發人員生產力。IBM表示，它可支援多種語言和模態，應用也很廣泛，但主要用途之一是應用現代化，包括自動系統升級或框架搬移，以及感知大規模codebase的多步驟重構（refactoring）。其二是以AI協助生成和檢視程式碼。它還能協助從初期開發、測試、部署到維護的端到端協同。</p> <p>最後是安全導向的開發，可提供漏洞掃瞄、提升軟體安全性以符合FedRAMP（美國聯邦政府的雲端安全授權計畫，Federal Risk and Authorization Management Program）標準，並加速轉向採用抗量子攻擊的加密演算法。</p> <p>目前Project Bob IDE已經以私有預覽版提供給部份IBM客戶。在早期測試中，IBM內部有超過6000名測試者使用了新的IDE，成果顯示生產力提高了45%，意謂在不損及程式碼品質和安全標準情況下還能大幅節省成本。</p> <p>在IBM和Anthropic的合作下，IBM也撰寫了AI代理人開發指引「Architecting Secure Enterprise AI Agents with MCP」（架構支援MCP的安全企業IT代理人），並獲得Anthropic驗證。IBM聲稱這是第一份專注在代理人開發生命周期（ADLC）指引，協助設計、部署和管理企業AI代理人，<a href="https://www.ibm.com/downloads/documents/us-en/1443d5dd174f42e6" target="_blank">現可在其網站取得</a>。</p> </div></div></div>
2025/10/8 12:00作者林妍溱https://www.ithome.com.tw/news/171580
Google推出Gemini 2.5 Computer Use讓AI代理能操作網頁介面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出<a href="https://blog.google/technology/google-deepmind/gemini-computer-use-model/" target="_blank">Gemini 2.5 Computer Use預覽版</a>，透過Gemini API在Google AI Studio與Vertex AI向開發者開放。這是一款建立在Gemini 2.5 Pro視覺理解與推理能力上的專用模型，目標是讓代理能直接操作使用者介面，可執行點擊、輸入到拖曳操作。</p> <p>Gemini 2.5 Computer Use模型運作為迴圈，每個回合的輸入包含用戶請求、當前環境的截圖與近期動作歷史，並可明確排除部分動作或加入自訂函式。模型分析後輸出一個具體的介面操作函式呼叫，例如點擊或輸入文字，而涉及購買行為等重要操作則會請求使用者確認。客戶端收到指令後在瀏覽器執行，再回傳最新截圖與當前URL，重新進入下一回合，直到任務完成、發生錯誤或因安全回應與用戶決定而終止。</p> <p>適用範圍以瀏覽器控制為主，示範中可原生填寫與提交表單、操作下拉選單與篩選條件，並能在登入後的環境執行必要操作。官方同時指出，該模型在行動裝置介面控制上展現潛力，桌面作業系統層級的控制則尚待最佳化。對多數內部系統或第三方服務而言，這種以畫面為目標的自動化，可補足缺乏結構化API時的實作空白。</p> <p>Google以Browserbase的Online-Mind2Web測試架構呈現成效，模型在該量測下同時達到較高準確率與較低延遲，並在Online-Mind2Web、WebVoyager與AndroidWorld等基準表現突出。</p> <p>Google已將風險因應直接訓練入模型，以應對惡意使用、意外行為以及網頁端詐騙或提示注入等情境。此外，Google提供開發者控管機制，防止模型自動執行高風險或有害操作，此機制包含獨立的把關步驟，在推論階段逐步審查模型擬議動作的合規性。開發者事先也能用系統指令，規範必須拒絕或徵求使用者確認高風險行為，同時官方文件也建議避免嘗試繞過CAPTCHA或控制醫療裝置，此類行為屬性質上應被阻擋。</p> <p>Google內部團隊已將此模型應用於UI測試，作為脆弱端對端測試的備援方案，以復原失敗流程。此外，Project Mariner、Firebase測試代理以及搜尋的人工智慧模式在部分能力，也採用了類似技術。</p> </div></div></div>
2025/10/8 12:09作者李建興https://www.ithome.com.tw/news/171579
非關聯式資料庫Redis存在滿分漏洞，近13年版本皆曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週非關聯式資料庫Redis的資安團隊<a href="https://github.com/redis/redis/security/advisories/GHSA-4789-qfc9-5f9q">發布資安公告</a>，指出他們發布6.2.20、7.2.11、7.4.6、8.0.4，以及8.2.2版，修補存在於Lua元件的資安漏洞CVE-2025-49844，此為記憶體釋放後再存取使用（Use After Free）型態的弱點，攻擊者有機會用來遠端執行任意程式碼（RCE），CVSS風險達到滿分10分，相當危險。<a href="https://www.wiz.io/blog/wiz-research-redis-rce-cve-2025-49844#vulnerability-meets-ubiquity-the-redis-risk-multiplier-5">通報此事的資安業者Wiz指出</a>，此漏洞存在於近13年版本的Redis，而且雲端環境有四分之三採用這些有弱點的Redis版本，影響範圍相當廣泛。</p> <p>通過身分驗證的攻擊者能透過特製的Lua指令碼來操縱Garbage Collector，觸發記憶體釋放後再存取使用的現象，而有機會發動RCE攻擊。所有版本的Redis只要啟用Lua指令碼功能，就存在這項漏洞。</p> <p>在<a href="https://www.ithome.com.tw/news/169049">今年5月舉行的漏洞挖掘競賽Pwn2Own Berlin 2025</a>，Wiz揭露這個弱點，並將其命名為RediShell，該公司強調，這是第一個被評為重大層級的Redis資安漏洞，危險性不光是因為能用於RCE攻擊，同時也反映常見的使用方式及部署型態所存在的問題。此漏洞存在於Redis原始碼長達13年，攻擊者只要在通過身分驗證的情況下，發送惡意Lua指令碼，就有機會逃逸Lua沙箱，並在Redis主機執行任何程式碼，從而完全存取主機系統，竊取、抹除、加密敏感資料，或是挾持資源，甚至能在雲端環境橫向移動。由於Lua指令碼是Redis預設支援的功能，若是IT人員沒有關閉這項功能，就會曝險。</p> <p>雖然利用RediShell存在必要條件，攻擊者必須事先通過身分驗證，然而Wiz指出雲端環境存在不少配置不安全的Redis系統，而有機會遭到滲透，他們約找到33萬個能透過網際網路存取的Redis執行個體（Instance），其中6萬個不需通過身分驗證。此外，還有57%的雲端環境透過容器映像的方式部署Redis，其中有許多並未採取適當的資安強化措施。</p> <p>對此，Wiz呼籲IT人員儘速採取行動，包含立即升級新版Redis、啟用身分驗證機制、停用Lua Script等不必要的功能、以最小權限執行、啟用事件記錄及監控、利用防火牆及虛擬私有雲（VPC）落實網路層級存取控制，以及限制只能經由授權的網路環境存取Redis。</p> </div></div></div>
2025/10/7 23:50作者周峻佑https://www.ithome.com.tw/news/171577
遊戲開發平臺Unity通報高風險漏洞，可能被濫用執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Unity<a href="https://unity.com/security/sept-2025-01/remediation">通報</a>一項高風險漏洞<a href="https://www.cve.org/CVERecord?id=CVE-2025-59489">CVE-2025-59489</a>，影響自Unity 2017.1起建置的Android、Windows、macOS與Linux應用。該漏洞源於命令列參數可被濫用以載入與執行外部程式碼，攻擊者要是取得本機存取權，可能在應用中執行任意程式碼或提升權限。官方表示目前未觀察到實際攻擊案例，並已釋出<a href="https://discussions.unity.com/t/cve-2025-59489-patcher-tool/1688032">修補版本與可直接更新既有應用的工具</a>。</p> <p>Unity提供兩種修補方式，其一為使用已修補版本的Unity Editor重新開啟專案、重建並測試後再發行，其二則是在無法即時重建或需進行臨時修補時，利用Unity Application Patcher直接修補現有的Android、Windows或macOS建置檔。官方提醒，修補工具可能與部分防竄改或反外掛機制產生相容性問題，開發者在部署前應完整驗證。</p> <p>CVE-2025-59489的影響範圍廣泛，主要平臺業者也迅速採取防護措施。Valve在Steamworks<a href="https://steamcommunity.com/groups/steamworks/announcements/detail/524229329545071275">發布公告</a>提醒Unity開發者盡速更新並重新測試遊戲，同時釋出新版Steam用戶端針對透過自訂URI或捷徑傳入的可疑命令列參數加上封鎖與防護，降低這類參數被帶入Unity應用啟動流程的風險，Unity也明列4個高風險參數，供開發者檢視與修補。</p> <p>此外，維持瀏覽器與防毒軟體的即時防護功能、停用不必要的自訂協定處理程式（Protocol Handler），並定期檢查已安裝的Unity遊戲更新狀態，優先安裝包含UnityPlayer.dll修補版本的更新，可有效降低因惡意命令列參數引發的風險。</p> <p>微軟則在MSRC安全更新指引（Security Update Guide）中<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59489">收錄</a>CVE-2025-59489，提醒使用者與玩家在修補版本尚未發布前，應暫時卸載受影響的應用或遊戲，以避免潛在風險。微軟同時更新了Microsoft Defender的威脅偵測模組，能辨識並攔截此類利用手法。企業與個人用戶應確保Defender簽名檔與系統版本維持最新，以獲得即時防護。</p> <p>目前雖然未發現實際攻擊事件，但該漏洞已被多方正式追蹤。Unity、微軟與Valve的同步回應反映了軟體供應鏈對安全事件的高度敏感。對開發者來說須儘速套用修補、重建並測試應用，而對一般使用者而言，保持系統更新、注意應用來源並遵循平臺提示，則是現階段最實際的防護措施。</p> </div></div></div>
2025/10/8 08:30作者李建興https://www.ithome.com.tw/news/171569
【資安日報】10月7日，勒索軟體駭客Clop聲稱從Oracle E-Business Suite竊得大批企業內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週末相當不平靜，其中最受到關注的消息，莫過於勒索軟體Clop的攻擊行動，這次駭客鎖定的標的，是Oracle商業應用程式E-Business Suite（EBS），這起事故直到他們向多家企業高管寄送勒索信才傳開。由於這些駭客歷年來先後鎖定多款檔案共用系統挖掘零時差漏洞，並發動大規模攻擊，這起事故引起資安圈高度重視。Oracle也先於10月3日表示有客戶收到勒索信，攻擊者疑似透過7月修補的漏洞得逞，但他們在隔天改掉部落格文章內容，遭到利用的其實是零時差漏洞CVE-2025-61882。不過，相關發現是否與Clop活動有關，Oracle並未說明。</p> <p>Scattered Lapsus$ Hunters駭客組織入侵知名企業Salesforce系統，並索討贖金換取資料不被公開的消息不時傳出，但最近這些駭客將勒索的對象轉向該雲端CRM系統的供應商，要脅Salesforce必須直接向他們付錢，否則將聯合受害客戶提告，這是首度有駭客藉由官司施壓，要求廠商支付贖金的情況。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171527"><strong style="font-size: 22px;">勒索軟體駭客Clop聲稱從多家公司的Oracle E-Business Suite系統竊得資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/clop-oracle-extortion-email.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/clop-oracle-extortion-email.jpg" style="width: 300px; float: right;" /></a></p> <p>前幾年先後針對Accellion、GoAnywhere、MOVEit、Cleo等多款MFT檔案共享系統的勒索軟體駭客Clop，最近傳出再度犯案的情況，Google威脅情報團隊（GTIG）與資安業者Mandiant已介入調查，傳出這次駭客鎖定的標的，是Oracle旗下的應用系統。</p> <p>這項消息最早是路透社報導揭露，Google掌握有駭客正在向多家公司的高階主管發送電子郵件進行勒索，聲稱從Oracle商業應用程式E-Business Suite（EBS）竊得敏感資料。而對於攻擊者的身分，Google透露是勒索軟體駭客Clop的附屬團體（Affiliation），而且電子郵件活動的數量相當多，但除此之外，該公司拒絕透露其他細節，並強調他們目前沒有足夠的證據來佐證這些說法的真實性。路透社想尋求Oracle的評論，但至今尚未得到回覆。而在路透社與Clop的電子郵件聯繫上，Clop表示目前不打算討論細節。</p> <p>後續科技新聞網站Bleeping Computer、TechCrunch跟進報導，揭露更多資訊。兩家媒體均引述Google網路犯罪分析首長Genevieve Stark說法表示，駭客聲稱從9月29日開始向高階主管寄信，但Google尚未證實駭客的說法是否屬實。這些信件從數百個被入侵的帳號寄出，其中一個是勒索軟體駭客組織FIN11（Clop）持有的帳號。</p> <p><a href="https://www.ithome.com.tw/news/171557"><strong style="font-size: 22px;">駭客從Salesforce客戶竊走資料，以此向Salesforce勒索</strong></a></p> <p>近日宣布要退休的駭客組織從Salesforce的數十家客戶竊走資料外洩後，也向Salesforce勒索贖金，揚言若不付款將公布其客戶資料，甚至要幫客戶告原廠。</p> <p>媒體DataBreaches報導，自稱Scattered LAPSUS$ Hunters的駭客本周在暗網上，張貼了一張包含數十家受害企業的名單，皆為Salesforce線上CRM系統的客戶。這個清單上列出了各家企業被竊資料的日期，以及檔案大小的資訊。當中受害者包含迪士尼、UPS和Hulu等先前未被報導的知名企業。</p> <p>資安專家發現，駭客甚至揚言，除非Salesforce直接付款給他們，否則他們將與客戶合作，就最近的資安事件對Salesforce提起訴訟。AppOmni技術長Brian Soby說，這是第一次駭客藉由官司壓力迫使受害原廠付贖金。</p> <p><a href="https://www.ithome.com.tw/news/171570"><strong style="font-size: 22px;">Red Hat資料外洩事故出現新進展，駭客聯手ShinyHunters對其勒索</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/crimson-collective-announcement.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/crimson-collective-announcement.jpg" style="width: 300px; float: right;" /></a></p> <p>上週駭客組織Crimson Collective聲稱，他們從Red Hat所有的2.8萬個內部開發儲存庫竊得570 GB資料，內含約800份的客戶互動報告（Customer Engagement Report，CER），並以此入侵該公司下游客戶，後來Red Hat證實GitLab系統遭到入侵的情況，該平臺僅用於顧問諮詢業務。如今這起事故出現進一步的消息，駭客與其他網路犯罪團體合作，意圖施壓Red Hat支付贖金。</p> <p>根據資安新聞網站Bleeping Computer報導，10月5日Crimson Collective在Telegram頻道上宣布，將與駭客組織Scattered Lapsus$ Hunters進行合作，號稱他們組成的聯盟，規模比1949年成立的北約組織（NATO）還要大。</p> <p>Crimson Collective並使用新架設的ShinyHunters資料外洩網站，意圖向Red Hat施壓，並揚言若不對贖金進行談判，他們將在10月10日公布竊得資料。該組織為了取信買家，公布部分企業組織的CER資料，包含Walmart、匯豐銀行（HSBC）、美國運通（American Express）、法國廣播公司等。</p> <p><a href="https://www.ithome.com.tw/news/171554"><strong style="font-size: 22px;">針對網路攻擊事故導致營運停擺，朝日啤酒證實遭勒索軟體入侵</strong></a></p> <p>9月29日朝日集團控股公司（Asahi Group Holdings）發布公告，表示因遭遇網路攻擊，導致該公司在日本的訂單、出貨，以及電話客服等業務，因系統無法運作而暫停，現在該公司透露新的調查結果，證實這是一起勒索軟體事故。</p> <p>10月3日該公司針對網路攻擊事故再度發布公告，指出根據事發後成立的緊急應變總部的調查結果，確認該公司的伺服器遭到勒索軟體攻擊，而且，出現未經授權的資料傳輸跡象。但對於受影響的資料範圍，該公司表示他們正進一步釐清。</p> <p>朝日也打算在本週準備恢復客服中心等支援平臺的運作，不過對於整體復原正常運作，他們目前無法提供明確的時間表。對於這起事故造成的經濟損失，朝日也仍在評估中。附帶一提的是，截至目前為止，未有駭客組織聲稱犯案。</p> <p><a href="https://www.ithome.com.tw/news/171541"><strong style="font-size: 22px;">Palo Alto Networks防火牆滿分漏洞再被鎖定，有人進行大規模掃描</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68e03301a66c754e676104a5_GreyNoise-Visualizer-Palo-Alto-Scanning.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68e03301a66c754e676104a5_GreyNoise-Visualizer-Palo-Alto-Scanning.png" style="width: 300px; float: right;" /></a></p> <p>去年4月資安業者Volexity發現鎖定Palo Alto Networks防火牆的攻擊行動，其中利用PAN-OS零時差漏洞CVE-2024-3400（CVSS風險評為10分），後來Palo Alto Networks證實這項漏洞存在，並進行修補。事隔一年半，又出現大肆掃描這項漏洞的情況，而有可能演變成新一波的攻擊行動。</p> <p>相關活動最早是9月29日SANS網路風暴中心提出警告，他們偵測到掃描CVE-2024-3400次數出現明顯增加的現象，攻擊來源IP位址是141.98.82[.]26，攻擊者試圖尋找存在漏洞的Palo Alto Networks防火牆，並上傳特定檔案，然後發出請求存取。</p> <p>事隔數日，有資安業者發現相關掃描活動持續升溫，資安業者GreyNoise於10月3日表示，他們觀察到尋找存在CVE-2024-3400的防火牆攻擊活動在2天內增加近5倍，創下近3個月的新高。</p> <p><a href="https://www.ithome.com.tw/news/171570"><strong style="font-size: 22px;">思科ASA、FTD防火牆遭零時差漏洞攻擊，駭客以此部署惡意程式RayInitiator、Line Viper</strong></a></p> <p>9月25日思科發布警告，該公司旗下的防火牆產品線Adaptive Security Appliance（ASA）、Firewall Threat Defense（FTD）存在零時差漏洞CVE-2025-20333、CVE-2025-20362（CVSS風險9.9分、6.5分），這些漏洞都出現在VPN Web Server元件，思科在資安公告提及，已有試圖利用漏洞的跡象，有參與調查的資安機構也透露相關攻擊活動的細節。</p> <p>英國國家網路安全中心（NCSC）提出警告，駭客鎖定ASA 5500-X系列的防火牆設備而來，利用前述漏洞在沒有啟動安全開機（Secure Boot）的裝置當中，植入多階段GRUB Bootkit惡意程式RayInitiator，最終部署另一個惡意程式Line Viper，此為使用者模式的Shell Code惡意軟體載入工具，駭客透過VPN用戶端的身分驗證請求，藉由RayInitiator將Line Viper載入記憶體執行。</p> <p>罕見的是，這次思科也發布獨立資安公告來說明本次事件應變的過程，他們在今年5月與多個政府機構進行合作，調查相關攻擊事故，並指出攻擊者鎖定的防火牆設備存在共通點，那就是啟用了VPN服務。根據調查的結果，攻擊者利用數個零時差漏洞，並藉由停用事件記錄、攔截CLI命令，以及刻意讓防火牆當機等手法來迴避偵測。</p> <p><a href="https://www.ithome.com.tw/news/171533"><strong style="font-size: 22px;">汽車製造商雷諾、Dacia英國分公司遭網路攻擊，客戶個資外流</strong></a></p> <p>法國車廠雷諾（Renault）及旗下Dacia的英國分公司日前發生網路攻擊，導致儲存在第三方系統內的客戶姓名及車輛資料外洩。</p> <p>雷諾及Dacia上周分別寄發郵件通知客戶此事。此次攻擊事件讓駭客從兩家業者的英國分公司使用的第三方系統，竊走英國車主的個人資料。</p> <p>外洩的資料包括姓名、性別、電子郵件信箱、電話號碼、郵寄地址、車牌號碼（vehicle registration number）及車輛識別號（vehicle identification number）。不過兩家車廠說，客戶的財務資料如銀行帳戶資料未受影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-critical-goanywhere-bug-exploited-in-ransomware-attacks/">MFT檔案共享系統GoAnywhere遭利用，駭客用來部署勒索軟體Medusa</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/researchers-warn-of-self-spreading.html">可自我散布的惡意程式Sorvepotel鎖定WhatsApp用戶而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/chinese-cybercrime-group-runs-global.html">中國駭客UAT-8099濫用遭入侵的IIS伺服器，從事SEO詐欺活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/new-report-links-research-firms-bieta.html">中國研究機構BIETA及其子公司Cill隸屬中國國家安全部，為其開發隱匿網路間諜活動的攻擊手法</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171553"><strong style="font-size: 22px;">Oracle修補已被勒索軟體駭客Clop利用的零時差漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-61882-22.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-61882-22.png" style="width: 300px; float: right;" /></a></p> <p>上週末傳出勒索軟體駭客Clop向許多高階主管寄信，聲稱從受害企業的Oracle商業應用程式E-Business Suite（EBS）竊得敏感資料，要求支付贖金換取資料不公開，傳出Google威脅情報團隊（GTIG）與Mandiant介入調查。對此，10月3日Oracle表示已掌握有EBS客戶收到勒索信的情況，根據初步調查結果，駭客使用的漏洞已在7月完成修補，不過隔天他們又發布新的公告，修補另一項重大層級的漏洞，引起外界高度關注。</p> <p>這項漏洞被登記為CVE-2025-61882，影響12.2.3至12.2.14版EBS，攻擊者可在未經授權的情況下遠端利用，一旦成功觸發，就能遠端執行任意程式碼（RCE）。此漏洞存在於BI Publisher Integration元件，CVSS風險評為9.8分（滿分10分），相當危險。值得留意的是，雖然Oracle未在資安公告裡直接說明漏洞已被用於實際攻擊，但該公司資安長Rob Duhart更換原本的部落格文章內容，一改之前認為是利用7月公開的漏洞說法，透露這項更新是針對他們事件調查的新發現而來，用來對抗潛在的威脅；再者，他們在兩天後（10月6日）在CVE-2025-61882公告當中，新增入侵指標（IoC），這樣的做法並不尋常。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/redis-warns-of-max-severity-flaw-impacting-thousands-of-instances/">非關聯式資料庫Redis存在滿分漏洞RediShell，近13年版本皆曝險</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171504"><strong>【10月3日】Red Hat傳出資料外洩事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171480"><strong>【10月2日】Red Hat、Google修補AI平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171463"><strong>【10月1日】中國駭客Phantom Taurus鎖定外交官、大使館從事網路間諜活動</strong></a></p> </div></div></div>
2025/10/7 17:46作者周峻佑https://www.ithome.com.tw/news/171575
Red Hat資料外洩事故出現新進展，駭客聯手ShinyHunters對其勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週駭客組織Crimson Collective聲稱，<a href="https://www.ithome.com.tw/news/171502">他們從Red Hat所有的2.8萬個內部開發儲存庫竊得570 GB資料</a>，內含約800份的客戶互動報告（Customer Engagement Report，CER），並以此入侵該公司下游客戶，後來Red Hat證實GitLab系統遭到入侵的情況，該平臺僅用於顧問諮詢業務。如今這起事故出現進一步的消息，駭客與其他網路犯罪團體合作，意圖施壓Red Hat支付贖金。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/red-hat-data-breach-escalates-as-shinyhunters-joins-extortion/">資安新聞網站Bleeping Computer報導</a>，10月5日Crimson Collective在Telegram頻道上宣布，將與駭客組織Scattered Lapsus$ Hunters進行合作，號稱他們組成的聯盟，規模比1949年成立的北約組織（NATO）還要大。</p> <p>Crimson Collective並使用新架設的ShinyHunters資料外洩網站，意圖向Red Hat施壓，並揚言若不對贖金進行談判，他們將在10月10日公布竊得資料。該組織為了取信買家，公布部分企業組織的CER資料，包含Walmart、匯豐銀行（HSBC）、美國運通（American Express）、法國廣播公司等。</p> <p>Bleeping Computer提及，ShinyHunters與從事攻擊活動的駭客進行分工，專門負責向受害組織進行勒索，成為勒索即服務（Extortion-as-a-Service，EaaS）的角色，他們向該新聞網站透露，在成功收到受害組織的贖金後，將會得到25%至30%做為報酬。</p> </div></div></div>
2025/10/7 17:31作者周峻佑https://www.ithome.com.tw/news/171570
Oracle修補已被勒索軟體駭客Clop利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末傳出<a href="https://www.ithome.com.tw/news/171527">勒索軟體駭客Clop向許多高階主管寄信</a>，聲稱從受害企業的Oracle商業應用程式E-Business Suite（EBS）竊得敏感資料，要求支付贖金換取資料不公開，傳出Google威脅情報團隊（GTIG）與Mandiant介入調查。對此，10月3日Oracle表示已掌握有EBS客戶收到勒索信的情況，根據初步調查結果，駭客使用的漏洞已在7月完成修補，不過隔天他們又發布新的公告，<a href="https://www.oracle.com/security-alerts/alert-cve-2025-61882.html">修補另一項重大層級的漏洞</a>，引起外界高度關注。</p> <p>這項漏洞被登記為CVE-2025-61882，影響12.2.3至12.2.14版EBS，攻擊者可在未經授權的情況下遠端利用，一旦成功觸發，就能遠端執行任意程式碼（RCE）。此漏洞存在於BI Publisher Integration元件，CVSS風險評為9.8分（滿分10分），相當危險。</p> <p>值得留意的是，雖然Oracle未在資安公告裡直接說明漏洞已被用於實際攻擊，但該公司資安長Rob Duhart更換<a href="https://blogs.oracle.com/security/post/apply-july-2025-cpu">原本的部落格文章內容</a>，一改之前認為是利用7月公開的漏洞說法，透露這項更新是針對他們事件調查的新發現而來，用來對抗潛在的威脅；再者，他們在兩天後（10月6日）在CVE-2025-61882公告當中，新增入侵指標（IoC），這樣的做法並不尋常。美國網路安全暨基礎設施安全局（CISA）也證實漏洞遭到利用的現象，<a href="https://www.cisa.gov/news-events/alerts/2025/10/06/cisa-adds-seven-known-exploited-vulnerabilities-catalog">並於同日將CVE-2025-61882列入已遭利用的漏洞列表（KEV）</a>，要求聯邦機構於10月27日完成修補。</p> <p>不過，針對這項漏洞的細節，Oracle並未進一步說明，傳出介入調查的GTIG與Mandiant，也始終並未公布相關結果，他們是否發現更多細節，有待進一步揭露。值得留意的是，由於Rob Duhart置換原本3日發布的部落格內文，究竟Clop只運用CVE-2025-61882，還是串連了今年7月公布的EBS資安漏洞，如今也出現兩派說法。例如，<a href="https://arcticwolf.com/resources/blog/cve-2025-61882/">資安業者Arctic Wolf認為</a>，駭客同時運用7月修補的數個漏洞及CVE-2025-61882來達到目的；不過<a href="https://www.tenable.com/blog/cve-2025-61882-faq-oracle-e-business-suite-zero-day-cl0p-and-july-2025-cpu">資安業者Tenable抱持不同的看法</a>，認為7月公布的漏洞並未遭Clop利用，原因是Rob Duhart直接更換部落格整篇文章的內容，僅有提及駭客使用CVE-2025-61882。</p> <p>但除了Clop利用的資安漏洞範圍引起資安業者探討，也有<a href="http://labs.watchtowr.com/well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882/">資安業者針對CVE-2025-61882進行分析</a>，指出該漏洞並不單純，不光只是Oracle公告提及的RCE漏洞，而是一連串漏洞利用鏈的組合，這樣的情況，突顯攻擊者相當了解EBS架構，才能如此串連多項弱點造成嚴重危害。資安業者watchTowr取得概念驗證程式（PoC）進行逆向工程，指出攻擊者若要利用CVE-2025-61882，大致可分成5個步驟（5種弱點）進行。</p> <p>首先，是將特製的XML請求傳送到指定的Servlet，進行伺服器請求偽造（SSRF）攻擊。攻擊者使用的XML檔案，可藉由漏洞強制後臺伺服器發送任意HTTP請求。接著，攻擊者利用Carriage Return Line Feed注入（CRLF Injection）手法，對於SSRF請求進行完全控制。</p> <p>攻擊者也試圖濫用HTTP持續連線手法（HTTP persistent connection、HTTP keep-alive、HTTP connection reuse），使得單一TCP連線能串接多個HTTP回應或請求，使得上述兩項手法攻擊的效果更好，而且還變得更難察覺。</p> <p>除此之外，攻擊者也試圖繞過身分驗證過濾機制，藉由EBS特定的組態配置，進一步透過綁定的IP位址，存取受害企業的內部資源，擴大漏洞利用的危害範圍。</p> <p>最後一項被利用的環節，是透過可延伸樣式表轉換語言（XSLT）注入手法，藉由上述能夠存取的新資源，達到執行任意程式碼的目的。</p> </div></div></div>
2025/10/7 14:22作者周峻佑https://www.ithome.com.tw/news/171553
針對網路攻擊事故導致營運停擺，朝日啤酒證實遭勒索軟體入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月29日朝日集團控股公司（Asahi Group Holdings）發布公告，<a href="https://www.ithome.com.tw/news/171419">表示因遭遇網路攻擊</a>，導致該公司在日本的訂單、出貨，以及電話客服等業務，因系統無法運作而暫停，現在該公司透露新的調查結果，證實這是一起勒索軟體事故。</p> <p>10月3日該公司針對網路攻擊事故<a href="https://www.asahigroup-holdings.com/en/newsroom/detail/20251003-0204.html">再度發布公告</a>，指出根據事發後成立的緊急應變總部的調查結果，確認該公司的伺服器遭到勒索軟體攻擊，而且，出現未經授權的資料傳輸跡象。但對於受影響的資料範圍，該公司表示他們正進一步釐清。</p> <p>為了避免受害範圍擴大，事發後他們隔離受影響的系統因應，但也導致該公司營運受到影響。朝日提及下訂單、產品運輸皆受到波及，此外，他們也無法對外收發電子郵件。由於無法透過相關系統安排訂單及出貨流程，該公司開始手動處理部分訂單及發貨。</p> <p>朝日也打算在本週準備恢復客服中心等支援平臺的運作，不過對於整體復原正常運作，他們目前無法提供明確的時間表。對於這起事故造成的經濟損失，朝日也仍在評估中。附帶一提的是，截至目前為止，未有駭客組織聲稱犯案。</p> </div></div></div>
2025/10/7 15:25作者周峻佑https://www.ithome.com.tw/news/171554
DeepMind測試AI代理CodeMender，可自動發現並修補軟體漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind公開其研究中的人工智慧代理<a href="https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/">CodeMender</a>，可自動找出並修補軟體漏洞，並能重寫既有程式以移除風險，官方表示，過去6個月已對多個開源專案提交72項安全修補，涵蓋規模可達450萬行程式碼。</p> <p>研究團隊指出，傳統自動化如模糊測試（Fuzzing）雖有幫助，但在大型程式碼庫中仍耗時費力。DeepMind先前以Big Sleep與OSS-Fuzz展示人工智慧發現零時差漏洞的潛力，但隨著人工智慧發現漏洞的速度越來越快，人工修補與審核已經跟不上節奏。</p> <p>因此DeepMind開發CodeMender，使其除了具有及時產生並套用修補漏洞的能力，還能主動重寫脆弱介面與資料結構，盡可能從源頭消除常見缺陷類別。</p> <p>CodeMender由Gemini Deep Think模型驅動，會先對程式行為與語意進行推理，再決定修改策略，系統在提出修補前會經過自動驗證，僅將符合條件的高品質修補交由人工審核。自動驗證著重確認修補能確實解決問題根因、維持程式功能的正確性且確保無回歸（Regression）情形，並遵循原始專案的風格規範。</p> <p>CodeMender整合一組程式分析工具，涵蓋靜態分析、動態分析、差異測試、模糊測試與SMT求解器，再輔以可檢視程式行為的偵錯器與程式碼瀏覽工具。系統同時運用多代理設計，包含以大型語言模型打造的評析工具，能逐檔比對原始與修改後的差異、辨識可能的回歸點並觸發自我修正。</p> <p>官方舉CodeMender代理處理一則程式崩潰回報作為案例，雖然表面症狀是堆積緩衝區溢位，但真正原因在於XML元素解析過程的堆疊管理不當，CodeMender最終修補只改動少數程式碼，精準解決根本原因。此外，代理也能處理較複雜的物件生命周期問題，甚至修改專案內部自訂的C程式碼生成系統，提出可驗證的修補方案。</p> <p>DeepMind研究團隊展示CodeMender的主動修復能力，代理先針對有風險的路徑進行重寫，改用較安全的資料結構與API。對仍需重點保護的部分，開發者可套用像是-fbounds-safety這樣的註記，讓編譯器在已加註並重新編譯的程式路徑自動插入邊界檢查，盡量消除堆積緩衝區溢位的可利用性。</p> <p>目前CodeMender仍屬研究階段，此階段先與重要開源專案維護者溝通並逐步擴大提交量，持續彙整社群回饋以強化流程與工具。DeepMind表示，數月內將發表技術論文與報告，後續也會在品質與流程穩定後向開發者釋出。</p> </div></div></div>
2025/10/7 16:36作者李建興https://www.ithome.com.tw/news/171555