iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

關鍵字暫時無法取得，文章仍可正常瀏覽。

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

日本無印良品第三方物流業者遭勒索軟體攻擊，暫停網購業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本企業遭到勒索軟體攻擊的事故，導致業務中斷的情況，最近一起是<a href="https://www.ithome.com.tw/news/171609">知名啤酒製造商朝日（Asahi）傳出遭勒索軟體Qilin攻擊</a>，如今又有當地業者成為目標而受到關注。</p> <p>這起事故的傳出，源自於週日（19日）晚間日本生活用品零售製造商無印良品的<a href="http://faq.muji.com/%E3%82%B5%E3%82%A4%E3%83%88%E3%83%A1%E3%83%B3%E3%83%86%E3%83%8A%E3%83%B3%E3%82%B9%E3%81%8A%E3%82%88%E3%81%B3%E3%82%B5%E3%83%BC%E3%83%93%E3%82%B9%E5%BD%B1%E9%9F%BF%E3%81%AE%E3%81%8A%E7%9F%A5%E3%82%89%E3%81%9B-656d4e431c58e70026d3c44a">一則公告</a>，指出他們的網路商店物流業務出現異常，因此暫停部分服務和功能，且後續重新開放的時間仍未確定。事隔一天，該公司又更新公告內容，說明暫停服務的範圍，包括：從網路商店下單，以及申請月費定額購買（編按：可能指的是訂閱制購買）服務。</p> <p>但造成上述異常情況的原因為何？後續母公司良品計畫<a href="https://www.ryohin-keikaku.jp/news/2025_1020.html">發布更清楚說明這起事故的新聞稿</a>，他們表示，服務異常的情況大約從19日晚間9時開始，起因是日本B2B電子商務與物流公司Askul公司遭到勒索軟體攻擊所致，由於無印良品將日本網路商店的貨品配送業務外包給該公司旗下的物流業者Askul Logist，因此無印良品網路商店的部分業務，也受到這起事故波及。</p> <p>對此，無印良品的網路商店及手機應用程式部分功能受到影響，該公司即將於10月24日舉辦的「無印良品週間」活動，只會在實體店面舉行，網路商店將不會參與。</p> <p>而對於這起事故造成的影響範圍，該公司表示正在著手調查，並與Askul合作進行相關服務的恢復。無印良品強調，他們並未遭到勒索軟體攻擊，該公司的實體門市正常營運，物流及貨物配送不受影響。</p> <p>Askul也在網站上<a href="https://www.askul.co.jp/snw/newsDispView/?newsId=18384">證實遭到攻擊</a>，並表示他們自己無論是網路商店還是線下採購，都全面暫停接受新訂單；此外，截至10月21日尚未出貨的訂單，也將取消。該公司也強調，客服電話出現難以接通的狀況。不過，對於這起事故的細節，Askul並未進一步透露，目前也沒有勒索軟體駭客聲稱犯案。</p> </div></div></div>
2025/10/21 15:51作者周峻佑https://www.ithome.com.tw/news/171785
DeepSeek發表可以視覺Token實現長脈絡文件理解的Deepseek-OCR系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國AI公司DeepSeek近期發表最新研究成果<a href="https://github.com/deepseek-ai/DeepSeek-OCR" target="_blank">DeepSeek-OCR</a>，提出名為「光學壓縮（Optical Compression）」的全新技術架構。這項技術旨在突破大型語言模型（LLM）面臨的長脈絡瓶頸，讓模型能以極少量Token處理並理解超長篇文件影像，在不犧牲語義與結構資訊的前提下，實現約10倍以上的脈絡壓縮率。</p> <p>與傳統OCR（光學文字辨識）不同，DeepSeek-OCR並非單純將圖片中的文字轉為可編輯文本，而是透過語義層級的「視覺壓縮」重構整份文件。系統的核心元件DeepEncoder會直接將整張文件影像轉換為少量高密度的「視覺Token」，這些Token並非像素資料，而是攜帶語義與排版關係的表徵向量。隨後，由DeepSeek-3B-MoE解碼器進行還原與重建，讓模型得以在極低Token成本下重現完整文字、表格與圖表資訊。</p> <p>論文指出，透過這種光學壓縮策略，模型在僅使用64至100個視覺Token的情況下，便能準確重建出約600至1300個文字Token的內容，精度達96%至98%。當壓縮比提高至20倍時，雖然細節部分略有損失，但語義主幹依然可被正確辨識。研究團隊形容，這就像讓AI「用看懂的方式閱讀文字」，而非逐字處理。</p> <p>DeepSeek表示，這一技術不僅能大幅減少長脈絡文本任務的計算開銷，也為AI代理人與文件理解模型提供新的設計思路。未來若結合多模態訓練與長期記憶機制，光學壓縮有望應用於法規文件、科研報告、金融報表等需要高效語義保留的長文本任務。</p> <p>研究團隊並指出，光學壓縮的潛力不僅在OCR領域，還可能成為下一代多模態AI的基礎技術。透過以視覺為核心的壓縮與理解方式，AI將能以更低的成本處理更龐大的資訊量，開啟真正意義上的超長脈絡智慧。</p> </div></div></div>
2025/10/21 12:40作者陳曉莉https://www.ithome.com.tw/news/171783
AWS美東-1服務中斷近3小時，Disney+、麥當勞程式及Lyft全停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon雲端服務（Amazon Web Services，AWS）的美東-1區域（US-EAST-1, 北維吉尼亞）<a href="https://health.aws.amazon.com/health/status" target="_blank">在太平洋夏令時間（PDT）10月19日23:49（臺灣時間10月20日14:49）出現故障</a>，隨後蔓延成大規模中斷，總計影響142項服務，一直到10月20日2:24（臺灣10月20日17:24）才恢復，波及了Disney+、Lyft、麥當勞程式、Reddit、Robinhood、Perplexity與英國政府網站等。AWS隨後表明，此一意外的觸發點為DynamoDB DNS解析異常。</p> <p>Amazon DynamoDB是AWS推出的全託管NoSQL資料庫服務，專門針對高可用與高效能的應用設計。DynamoDB DNS解析異常，代表AWS伺服器無法正確將DynamoDB的服務名稱轉為實際IP位址，即使DynamoDB本身還在運作，其它服務也找不到它的位置，所有嘗試連結DynamoDB的AWS內部系統都會失敗或延遲。</p> <p>在DynamoDB無法被存取時，依賴DynamoDB的EC2子系統便開始癱瘓，進一步導致Lambda、CloudWatch與SQS等服務受到連鎖影響，事實上，根據AWS的統計，總計有142項服務被牽連，涵蓋DynamoDB、RDS或Redshift等資料庫，EC2、ECS、Lambda、Glue等運算服務，VPC、NLB、CloudFront等網路負載平衡系統，以及監控與事件系統、AI服務到各式企業應用。</p> <p>此外，US-EAST-1不僅是AWS第一個建立的區域，也是全球規模最大也最核心的區域，它匯集了許多全球控制平臺與管理後端，例如身分與存取管理IAM、CloudFormation、CloudFront、Route53、<a href="mailto:Lambda@Edge">Lambda@Edge</a>及DynamoDB Global Tables等，也有部分全球性功能會透過US-EAST-1協調，使得它不僅影響該區用戶，也會讓依賴該區端點的全球服務受到影響。</p> <p><a href="https://www.cnbc.com/2025/10/20/amazon-web-services-outage-takes-down-major-websites.html" target="_blank">CNBC引用Downdetector的資料報導</a>，因此而受到牽連的AWS用戶或服務包括Disney+、Lyft、Ring、麥當勞程式、紐約時報、Reddit、Robinhood、Snapchat、T-Mobile、英國政府網站、Lloyds銀行集團、加密貨幣交易平臺Coinbase，以及Perplexity的AI服務等。</p> <p>此外，連Amazon內部的關鍵工具也停擺，不管是倉儲、配送或司機等員工都被迫休息；供第三方賣家管理業務的Seller Central也無法存取。</p> <p><a href="https://www.theguardian.com/technology/2025/oct/20/amazon-web-services-aws-outage-hits-dozens-websites-apps?utm_source=chatgpt.com" target="_blank">衛報（The Guardian）同樣引用了Downdetector的資料</a>，指出總計有超過2,000家企業受到波及，至少有810萬筆問題回報，當中有190萬筆來自美國、100萬筆來自英國，以及近42萬筆來自澳洲。</p> <p><a href="https://www.statista.com/chart/18819/worldwide-market-share-of-leading-cloud-infrastructure-service-providers/" target="_blank">根據市場調查機構statista今年第二季的統計</a>，AWS為雲端基礎設施的最大供應商，市占率為30%，領先微軟Azure的20%與Google Cloud的13%。</p> </div></div></div>
2025/10/21 10:56作者陳曉莉https://www.ithome.com.tw/news/171777
Anthropic的Claude Code擴展至網頁與iOS平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/claude-code-on-the-web" target="_blank">Anthropic周一（10/21）發表了Claude Code on the web</a>，讓開發人員能直接透過瀏覽器或iOS版Claude應用程式分派程式碼開發任務，正式將Claude Code從本地端延伸至雲端執行，目前仍為研究預覽版，可供Pro與Max用戶存取。</p> <p>Claude Code於2024年12月首次亮相，為一基於Claude大型語言模型的AI輔助程式開發工具，讓開發人員能夠以自然語言來委派、撰寫、修復及審查程式碼。它被視為一個可理解專案結構、程式碼風格與開發流程的AI程式代理人，可根據文字指令撰寫或修改程式碼，可自動修正錯誤、生成測試並撰寫文件，還能分析整個GitHub儲存庫，回答「此函式在哪裡被呼叫？」或「如何重構這段程式碼？」等問題。</p> <p>最初，Anthropic讓Claude Code以本地端與IDE整合的方式運作，需在本機安裝擴充模組或命令列工具，使Claude Code能在使用者的電腦中運行並即時與IDE互動。如今，Anthropic將其執行環境搬上雲端沙盒，使用者只需登入瀏覽器即可委派任務，無需開啟IDE或終端機；可同時操作多個儲存庫、平行執行任務、產生PR與生成測試報告，並支援桌機與iOS裝置。</p> <p>簡而言之，Claude Code正從「個人AI助理」演變成「雲端協作的AI工程團隊」。</p> <p>Anthropic表示，Claude Code Web版讓開發人員無需打開終端機就能展開程式碼任務，只要連結GitHub儲存庫並描述需求，Claude便會自動完成實作。每個任務都在獨立隔離環境中運行，具備即時進度追蹤機制，開發者亦可隨時介入以調整方向。雲端版的Claude Code特別適合用於錯誤修復、例行性任務或平行開發工作。</p> </div></div></div>
2025/10/21 11:12作者陳曉莉https://www.ithome.com.tw/news/171778
福斯汽車疑遭8Base勒索軟體攻擊外洩公司業務及個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國車廠福斯汽車（Volkswagen）疑似遭勒索軟體攻擊，導致數量不詳的公司營運及員工等資料外洩。</p> <p><a href="https://gbhackers.com/volkswagen-allegedly-hacked-in-ransomware-attack/" target="_blank">GBhackers報導</a>，名為8Base的勒索軟體組織近日在其暗網網站上宣稱，手中握有這家德國車廠的資料。</p> <p>8Base首出現於2023年，以勒索軟體Phobos聞名，他們主要鎖定多種產業的中小型企業，<a href="https://cybersecuritynews.com/volkswagen-ransomware-attack" target="_blank">據信受害者超過400家</a>。8Base以釣魚取得或購買憑證來駭入受害企業網路，取得受害公司機密資料後勒索贖金，並公開不付贖金的受害企業資料。本周8Base在其網站上將福斯汽車列為受害者，疑似因付款最後期限已過，將公開這家德國車廠的資料。</p> <p>8Base的訊息顯示攻擊發生於2024年9月23日，而其威脅將於9月26日公開資料。疑似外洩的資料包括公司訂單、收據、會計文件、員工合約、大量機密資訊、合約、憑證、以及種類不詳的個資及個人檔案。但是駭客並未提供作為證實的文件樣本。</p> <p>福斯汽車周末證實得知此事件，但該公司表示這次事件並不影響公司主要IT基礎架構。</p> <p>福斯汽車旗下擁有奧迪（Audi）、保時捷、賓利（Bentley）、Skoda、藍寶堅尼（Lamborghini）等汽車品牌。</p> <p>這並非福斯汽車第一次發生公司資料危機。<a href="https://www.ithome.com.tw/news/166731" target="_blank">去年4月</a>及<a href="https://www.ithome.com.tw/news/162589" target="_blank">12月底</a>福斯汽車分別傳出客戶資料庫未上鎖，以及被中國駭客竊取電動車文件1.9萬份。</p> </div></div></div>
2025/10/21 09:40作者林妍溱https://www.ithome.com.tw/news/171772
衛福部要建置國家級智慧醫療SMART App市集，首波徵案今日開跑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決醫療資訊界長年來，應用程式需高度客製化的痛點，衛福部日前（10/14）發起「臺灣50優良SMART on FHIR應用程式徵案」，鼓勵醫資界打造符合SMART on FHIR標準、兼顧臨床需求的創新應用程式，並在今日（10/20）啟動徵案。</p> <p>負責執行的次世代數位醫療平臺專案辦公室指出，首屆SMART App競賽聚焦醫院所需的電子病歷應用程式，明年將展開第二階段，範圍擴展至衛福部各部門可用的公衛應用程式，最後合而為TW Health App Space，成為臺灣醫療公衛的SMART App市集。該辦公室也補充，今、明兩年將採徵案模式，來快速建立生態系，2027年計畫結束後，將透過建立付費驗證機制和上架費模式，來實現營運自給自足、永續經營。</p> <p><span style="font-size:22px;"><strong>首屆50大徵案聚焦醫院電子病歷應用</strong></span></p> <p>進一步來說，衛福部資訊處發起的次世代數位醫療平臺計畫有3大目標：資料統一、規格統一和應用程式統一。衛福部資訊處處長李建璋表示，資料統一是要書同文、車同軌，要導入國際醫療資料交換標準FHIR來接軌國際標準。規格統一則是導入HL7臨床邏輯語言CQL，來統一健保申報和醫療品質規則，提升醫療品質和行政效率。</p> <p>至於應用程式統一，則是要導入國際SMART on FHIR應用程式標準，讓醫療資訊系統（HIS）和行動醫療應用程式有一致的發展標準。衛福部希望，透過SMART on FHIR創辦人、哈佛大學波士頓兒童醫院臨床資訊主任Kenneth Mandl提供技術指導，來協助臺灣推動創立國家級的SMART應用程式市集，來推動臺灣智慧醫療生態系發展。</p> <p>在這個背景下，衛福部發起「臺灣50優良SMART on FHIR應用程式徵案」，想藉徵選，來催生本土的SMART應用程式生態系。</p> <p><span style="font-size:22px;"><strong>兩階段建立臺灣SMART App市集，首波瞄準醫院相關電子病歷應用</strong></span></p> <p>次世代數位醫療平臺專案辦公室成員、工研院產科所副所長張慈映說明，衛福部欲創立的SMART App市集，將分2階段建立。第一階段是此次的SMART App競賽，聚焦以醫院為中心的電子病歷應用程式。第二階段預計明年展開，將配合衛福部內各司、署的FHIR公建計畫，應用程式徵選範圍會擴大至衛福部各部門可用的公衛應用程式。最後，這個市集就會成為TW Health App Space。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7473.JPG" /></p> <p>就徵案流程來說，衛福部已在10月14日進行徵案說明會與工作坊，10月20日公開徵案、開放報名，12月31日截止報名。而明年第一季，Kenneth Mandl則會親自來臺頒獎給入選的開發團隊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7474.JPG" /></p> <p>張慈映也補充，獲得入選的50支應用程式，每支將獲得市集上架資格和10萬元補助。要是這些應用程式與AI相關，就得要登錄臺灣臨床AI註冊中心，來進行AI效能的追蹤和評估。</p> <p>專案辦公室將在年底建立臨床AI註冊網頁，要求已上架的醫療AI應用程式開發者至網頁註冊，並說明將在哪些醫院使用，並提出數據，在未來半年或1年內，上傳這些數據、讓網頁掌握該軟體實際使用的準確度。要是期間內準確度達標，可繼續開放使用；要是準確度下降至臨界值、回報註冊網頁後，就會自市集下架，讓下載使用的醫院能安心使用AI。</p> <p><span style="font-size:22px;"><strong>首波應用優先鎖定4大類別，上架應用至少提供半年試用期</strong></span></p> <p>至於評選類別，衛福部則優先瞄準4大類別，包括醫學AI類、臨床決策支援類、資料視覺化類和營運管理類。就醫學AI來說，影像AI、檢驗報告AI、生成式AI病歷摘要或護理記錄摘要等都包含在內，臨床決策支援則涵蓋決策系統、醫療品質監測系統、公共衛生通報系統等，資料視覺化則可以是品質指標或急診使用指標儀表板等，而智慧排床系統、智慧排班系統和申報系統等則屬於營運管理類。參與徵案的應用程式，都得支援臺灣核心資料群TW Core才行。</p> <p>張慈映也說明，為鼓勵推廣應用，第一年將要求上架的應用程式，提供至少半年的免費試用期。之後由各應用自行決定收費機制，並透過自營平臺完成簽約和計價。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7477.JPG" /></p> <p>專案辦公室也表示，這個市集未來會轉為商化永續營運。只不過，為快速建立生態系，今、明2年採取徵案模式，待計畫至2027年結束後，會透過建立付費驗證機制和上架費模式，來逐步自給自足營運，達成永續經營。</p> <p></p> <div id="gtx-trans" style="position: absolute; left: 227px; top: 2464.91px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/10/20 18:27作者王若樸https://www.ithome.com.tw/news/171766
【資安日報】10月20日，美國資安公司F5遭駭，有媒體點名是中國駭客組織UNC5221所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者平時提供防護產品與解決方案，是企業資安防護上的關鍵要角之一，但也因此成為駭客鎖定的高價值目標，一旦這類型公司遭入侵，不僅自身受害，更可能對其客戶與整體供應鏈安全造成連鎖影響，上星期<a href="https://www.ithome.com.tw/news/171715">資安業者F5揭露遭國家級駭客入侵</a>就是一例。</p> <p>如今有更多後續消息浮現，有媒體將F5近期寄給客戶的威脅獵捕指南，與<a href="https://cloud.google.com/blog/topics/threat-intelligence/brickstorm-espionage-campaign">Google威脅情報小組在9月底公布的調查報告</a>連結起來，推測此次事件的幕後主使可能為使用惡意軟體Brickstorm的中國駭客組織 UNC5221。</p> <p>另一個值得關注的資安防禦消息，是我們本月進行的封面故事報導，介紹美國DARPA在兩個月前公布AI Cyber Challenge（AIxCC）競賽結果，印證了用AI自動發現與修補漏洞的可行性，同時所有決賽隊伍都在賽後開源其成果。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171761"><strong style="font-size: 22px;">是誰駭入F5、偷走主力產品原始碼？有媒體點名中國駭客組織UNC5221</strong></a></p> <p>資安業者F5在本月15日發布公告表明遭到國家級駭客入侵，主力產品BIG-IP的原始碼資料遭竊，震撼全球，然而，外界關切影響範圍之餘，也急切想知道攻擊者的身分。據彭博社10月16日報導，F5在10月15日提供客戶一份威脅獵捕指南，主題是惡意軟體Brickstorm，並連結到Google威脅情報小組與Mandiant的相關報告，他們認為這個行動的幕後主使者UNC5221應該是F5遭駭的元兇。目前有多家資安廠商的相關部落格文章引用上述論點，包括Zscaler、Rapid7、BitSight。F5和Google並未公開駁斥或反對這個說法。</p> <p>針對F5遭駭事故，美CISA在15日當天亦發出緊急指令ED 26-01，要求各單位採取7項行動已應對這次事件。</p> <p><a href="https://www.ithome.com.tw/news/171761"><strong style="font-size: 22px;">組態配置不當的Elasticsearch存放1.12 TB資料，洩露逾60億筆記錄</strong></a></p> <p>獨立網路安全研究人員Anurag Sen本周發現了一臺配置不當的Elasticsearch伺服器，它儲存了1.12TB、約61.9億筆資料，卻缺乏任何安全驗證或密碼保護。Sen認為該伺服器是由講俄文的駭客所控制，內含透過資料外洩、網站爬取及其他來源所蒐集的詳細紀錄。</p> <p>伺服器上還出現了多個涉及已公開或未公開資料外洩事件的資料庫，像是包含來自一家烏克蘭商業銀行Accordbank的用戶資料，然而，該公司Accordbank未曾揭露過資安意外事件。不過駭客很快就將伺服器下線，讓Sen來不及留下具體證據。</p> <p><a href="https://www.ithome.com.tw/news/171761"><strong style="font-size: 22px;">中國指控美國入侵其授時中心</strong></a></p> <p>中國國家安全部周日（10/19）透過微信公眾號表示，他們握有美國國安局攻擊並入侵中國國家授時中心的證據，將全力守護「北京時間」的安全。據該單位所聲稱的調查指出，美國國安局的攻擊行動策畫已久，自2022年3月便利用某境外品牌手機的簡訊服務漏洞，秘密入侵並控制國家授時中心多名工作人員的手機，竊取手機內的敏感資料，2023年4月即多次利用所竊取的登錄憑證，入侵授時中心計算機，探查該中心的網路系統建設情況。美國政府並未對中國的指控作出回應。</p> <p><a href="https://www.ithome.com.tw/news/171761"><strong style="font-size: 22px;">美航子公司Envoy Air遭遇Oracle E-Business Suite攻擊</strong></a></p> <p>美國航空（American Airlines）旗下子公司Envoy Air周末證實其商用系統Oracle E-Business Suite遭到駭客入侵，成為甲骨文商用軟體第二家知名受害組織。據Envoy Air說明，詳細的資料審視顯示，沒有敏感或客戶資料受到影響，但小部份業務資訊和商業聯絡資訊可能外流。</p> <p> </p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://7news.com.au/news/dodo-and-iprimus-customers-warned-of-major-hack-on-parent-company-vocus-c-20400457">澳洲電信公司Dodo與iPrimus遭網路攻擊，1,600個客戶帳戶遭存取，部分用戶遭SIM卡交換攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-videos-continue-to-push-infostealers-in-clickfix-attacks/">駭客利用TikTok影片假裝提供免費軟體啟用的教學內容，實際是透過社交工程ClickFix攻擊手法誘騙用戶上當</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171720"><strong style="font-size: 22px;">【AI資安新焦點：自動發現漏洞取得實質進展】發展用AI處理漏洞的解決方案，美政府舉辦AIxCC競賽秀實力</strong></a></p> <p>用AI幫助找漏洞是否真的可行？兩年前普遍認為這仍是相當難克服的挑戰，最近已有實質進展，兩個月前（8月）美國DARPA舉辦的AIxCC競賽結果出爐，多組參賽團隊嘗試發展的AI全自動網路推理系統，在LLM模型持續高速進化下，已印證了用AI自動發現與修補漏洞的可行性，識別漏洞率從去年的37%提升至今年的77%，並額外找出18個C程式語言與Java程式語言的零時差漏洞。</p> <p>更重要的是，AIxCC挑戰賽的落幕並非終點，而是新的開始。依照主辦方要求，所有決賽隊伍都在賽後開源其成果，讓全球乃至臺灣的資安研究人員，都能進一步研究、驗證與延伸這些AI驅動的防禦技術。</p> <p><a href="https://www.ithome.com.tw/news/171720"><strong style="font-size: 22px;">蘋果加碼零點擊利用鏈漏洞懸賞至200萬美元</strong></a></p> <p>因應國家級駭客與商業間諜軟體開發商鎖定高風險人士發動攻擊，蘋果日前調整Apple Security Bounty漏洞獎勵規範與獎金額度，將零點擊遠端程式碼執行攻擊鏈（Zero-click Chain）漏洞的最高獎勵，從100萬美元翻倍至200萬美元，而原本只提供25萬美元獎勵的一鍵遠端攻擊鏈（One-click Chain）亦漲至100萬美元，新的獎勵政策將於今年11月正式生效，目的是鼓勵安全研究人員針對最關鍵的攻擊面進行深入研究。</p> <p>另外，蘋果也開放公民社會組織申請內建記憶體完整性防護（Memory Integrity Enforcement）的1,000臺iPhone 17，以將它們交到高風險人士的手中。</p> <p><a href="https://www.ithome.com.tw/news/171747"><strong style="font-size: 22px;">思科開源Project CodeGuard程式碼安全框架，推動預設即安全開發</strong></a></p> <p>Cisco公開一套名為Project CodeGuard的開源框架，將預設即安全（secure by default）的原則嵌入「規畫」、「生成」與「生成後審查」3個階段，目標是在不犧牲開發速度的前提下，減少寫死金鑰、缺乏輸入驗證和依賴過時套件等常見資安風險的發生。</p> <p>據Cisco的說明，CodeGuard提供3項重點內容，分別是依據OWASP與CWE等既有指南整理的核心安全規則，將規則轉換為主流人工智慧程式開發代理可用格式的自動化腳本，以及協助採用與貢獻的文件。另也邀請社群提交新規則、撰寫轉換器與回饋，以擴充語言支援、整合更多AI程式開發平臺並推進自動化規則驗證。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171739"><strong>【10月17日】思科交換器遭到SNMP零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171730"><strong>【10月16日】殭屍網路Aisuru與RondoDox擴大攻擊規模和威力</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171700"><strong>【10月15日】微軟、SAP發布10月例行更新</strong></a></p> <p> </p> </div></div></div>
2025/10/20 18:15作者羅正漢https://www.ithome.com.tw/news/171765
【資安週報】1013~1017，微軟正式終止支援Windows 10，還沒有延伸安全更新或升級的用戶當心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧國慶連假後10月第三星期的資安新聞，主要新聞焦點是微軟於10月14日正式終止支援Windows 10，以及Exchange Server 2016/2019、Office 2016/2019，尚未申請延伸安全更新或升級的用戶需特別注意，因為舊版不再提供常規安全更新，也就無法獲得漏洞修補更新。</p> <p>在漏洞消息方面，這一星期多家IT、OT業者發布每月例行安全更新，需要大家儘快修補因應，其中微軟一次修補了175個漏洞，數量創今年之最，其中有6個是零時差漏洞，有3個已被用於實際攻擊，包括CVE-2025-24990、CVE-2025-47827、CVE-2025-59230，還有3個在微軟公開之前已被揭露。</p> <p>Cisco亦修補旗下交換器已遭利用的SNMP相關零時差漏洞CVE-2025-20352，後續趨勢科技揭露相關攻擊手法，並命名為Operation Zero Disco。</p> <p>關於其他已知漏洞利用消息，包括：Adobe在8月修補的體驗管理方案的漏洞CVE-2025-54253，Rapid7在6月修補Velociraptor開源端點監控與鑑識工具的漏洞CVE-2025-6264，以及基於Linux的唯讀作業系統IGEL OS在6月修補的漏洞CVE-2025-47827，如今都發現有攻擊者鎖定未修補用戶攻擊的情形。</p> <p>在攻擊態勢方面，國際間有3起與中國駭客有關的活動揭露，其中資安業者F5向美國SEC通報在兩個月前（8月9日）遭國家級駭客入侵，引發全球關注。<br /> ●F5揭露國家級駭客竊取BIG-IP的產品開發環境與工程知識管理平臺，部分BIG-IP原始碼與尚未公開漏洞資訊也外洩。外傳可能與中國駭客UNC5221攻擊活動有關<br /> ●ArcGIS的SOE元件被中國駭客組織Flax Typhoon植入Web Shell並充當後門，資安業者ReliaQuest示警，指出這種藉合法流量掩蓋行蹤的活動已超過一年。<br /> ●有中國駭客利用Log Poisoning手法自8月鎖定網頁伺服器攻擊，資安業者Huntress警告全球已有逾百臺主機受害，其中臺灣占22臺最多，日本、韓國與香港亦受波及。駭客成功入侵後將部署名為中國菜刀的Web Shell，接著並會濫用開源監控工具「哪吒（Nezha）」在受害主機上執行遠端命令。</p> <p>在臺灣，有3則資安消息成為這一星期熱門新聞，涵蓋汽車維修零件製造商東陽實業，以及先前輔大醫院與中央廣播電臺（央廣）事件的後續。<br /> ●Qilin勒索軟體10月15日將10家公司列為受害者，包含臺灣上市公司東陽（Tong Yang），我們下午三時求證該公司發言人稱無異狀，傍晚6時發布重訊說明：「收到資訊系統遭受勒索病毒攻擊訊息」。事件具體狀況有待釐清。<br /> ●輔大醫院今年5月傳出有治療師在院內電腦安裝轉發伺服器元件Ngrok，及雲端硬碟掛載程式RaiDrive，恐導致病人資料外流，如今新北地方法院判決出爐。<br /> ●央廣網站首頁9月遭惡意置換，臺北地檢署查出2名內部人員、1名資訊廠商人員涉案，雖然被告聲稱是向公司警告網站不安全，但查出國慶日將再度犯案。</p> <p>另外，國際多起資安事件後續消息也不少，例如，關於MySonicWall遭駭事故，最新調查指出雲端備份服務的客戶均受影響；勒索軟體組織Clop將哈佛大學列於資料外洩名單，疑似透過ERP系統Oracle E-Business Suite的零時差漏洞而得逞，哈佛大學調查中；先前Salesforce許多客戶資料被竊取，最近有消息指出駭客開始公布Qantas澳洲航空乘客資料。</p> <p>還有殭屍網路威脅肆虐的狀況，有二則新聞與之有關，包括：殭屍網路RondoDox正擴大感染規模，鎖定56種資安漏洞，攻擊逾30個廠牌的連網裝置；殭屍網路Aisuru則鎖定美國ISP的物聯網裝置發動DDoS攻擊</p> <p>至於最新威脅研究方面，有兩則值得持續留意的消息，一是研究人員新揭露的Android旁通道攻擊手法Pixnapping，該手法如同暗中蒐集片面的模糊化資訊以還原螢幕截圖，9月Google修補後仍可繞過，預計將於12月再度發布更新：另一是Anthropic與英國研究機構實驗發現，只需約250份惡意文件即可在LLM預訓練階段植入後門，顯示攻擊門檻遠低於預期。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171636"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月13日】中國駭客利用監控工具Nezha攻擊網頁伺服器，臺灣受害最嚴重</span></strong></a></h3> <p>中國駭客發動網路攻擊的活動頻頻傳出，但上週末資安業者Huntress揭露濫用開源監控工具「哪吒（Nezha）」攻擊網頁伺服器的活動，引起臺灣資安圈不少關注，原因是受害主機大部分都集中在亞太地區，而且，臺灣災情最為嚴重，有22臺系統被入侵。</p> <p>另一方面，先前多起重大資安事故也出現後續進展，其中又以Oracle E-Business Suite（EBS）零時差漏洞攻擊CVE-2025-61882事故最受到矚目，最早向新聞媒體透露的Google終於公布調查結果，透露整起攻擊行動至少從7月開始，但隔了一個月才開始利用近日公布的零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/171680"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月14日】Windows 10進入終止支援階段</span></strong></a></p> <p>本日最值得留意的情況，是迄今市占仍超過4成的Windows 10作業系統，正式邁入終止支援的階段，讓這款自2015年問世的作業系統下臺一鞠躬。不過，有別於其他微軟旗下產品終止支援的情況，該公司罕見為一般使用者推出要價30美元的延伸安全更新（Extended Security Update，ESU），後續亦開放透過Rewards點數及啟用特定備份功能換取，甚至歐盟用戶可無條件獲得。此外，微軟也為Windows 10用戶提供Microsoft 365額外的3年支援。</p> <p>另一個相當值得注意的消息與ERP系統Oracle E-Business Suite（EBS）零時差漏洞攻擊有關，勒索軟體Clop將哈佛大學列於資料外洩網站，引起外界關注，這很可能是此次攻擊首度曝光的受害者。</p> <h3><a href="https://www.ithome.com.tw/news/171700"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月15日】微軟、SAP發布10月例行更新</span></strong></a></h3> <p>本週二有許多廠商發布10月份的例行更新，其中最受到關注的部分，包含微軟及SAP發布的公告內容。微軟這次公布6個零時差漏洞，其中有3個被用於實際攻擊行動而受到矚目。特別的是，這些零時差漏洞裡，有兩個與特定廠牌數據機驅動程式有關，另有出現在唯讀端點作業系統IGEL OS、AMD EPYC處理器，以及TPM 2.0的參考實作範本的弱點，後續影響相當值得留意。</p> <p>SAP本次發布的資安公告內容也非常特別，因為他們針對上個月修補的滿分漏洞CVE-2025-42944祭出新的資安強化措施，但為何要這麼做？參與修補流程的資安業者Onapsis透露，目的是為了防範與反序列化有關的攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/171730"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月16日】殭屍網路Aisuru與RondoDox擴大攻擊規模和威力</span></strong></a></h3> <p>近期有相當多起殭屍網路攻擊的事故，值得關注，其中又以傳出近期多次創下史上最大規模記錄DDoS的攻擊的Aisuru最受到矚目，資安新聞網站Krebs On Security指出，這些駭客在9月先後發動11.5 Tbps、22.2 Tbps規模的攻擊行動後，本月上旬進一步展示、測試更大規模的DDoS攻擊。而RondoDox的攻擊行動也相當值得留意，原因是駭客從本來針對兩個廠牌的網路設備下手，現在已將範圍延伸到超過30個廠牌的設備。</p> <p>另一個受到全球關注的消息，是F5公布兩個月前發現國家級駭客長期入侵開發環境的事故，由於駭客取得了部分BIG-IP原始碼及未公開的漏洞資訊，這起事故實際造成的影響，有待進一步的調查及追蹤。</p> <h3><a href="https://www.ithome.com.tw/news/171739"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月17日】思科交換器遭到SNMP零時差漏洞攻擊</span></strong></a></h3> <p>思科網路設備與資安設備弱點被用於實際攻擊行動的情況，近半年已有不少例子，其中<a href="https://www.ithome.com.tw/news/171540">最近一起活動與ASA、FTD防火牆有關</a>，駭客利用CVE-2025-20333與CVE-2025-20362部署惡意程式RayInitiator、Line Viper；今年7月，<a href="https://www.ithome.com.tw/news/170218">有人利用網路存取控制平臺ISE的滿分漏洞</a>CVE-2025-20281、CVE-2025-20282、CVE-2025-20337從事攻擊。最近趨勢科技揭露鎖定該廠牌交換器的攻擊行動，駭客運用了9月底公布的零時差漏洞CVE-2025-20352，而受到高度關注。</p> <p>駭客組織針對地理位置資訊伺服器（GIS）攻擊的情況，也相當值得留意，在這幾年傳出多起針對OSGeo GeoServer的活動之後，出現有駭客針對其他GIS系統下手的現象，而且，這些駭客還將內部元件改造，充當後門運用。</p> </div></div></div>
2025/10/20 13:30作者羅正漢https://www.ithome.com.tw/news/171760
中國指控美國入侵其授時中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mp.weixin.qq.com/s/ZtKjlaIoMVCSY-rXt2RP1Q" target="_blank">中國國家安全部周日（10/19）透過微信公眾號表示</a>，他們握有美國國安局攻擊並入侵中國國家授時中心的證據，將全力守護「北京時間」的安全。</p> <p>授時中心隸屬於中國科學院管轄，負責制定與維護中國標準時間，替通訊、金融、能源、交通、國防與航天等領域提供精確的授時訊號，也向全國傳送時間資訊，被視為中國關鍵資訊基礎設施之一。中國國安部表示，一旦授時中心遭到破壞，將影響「北京時間」的安全穩定運行，引發網路通訊故障、金融系統紊亂、電力供應中斷、交通運輸癱瘓、航空發射失敗等嚴重後果，甚至可能導致國際時間陷入混亂。</p> <p>根據中國的調查，美國國安局的攻擊行動策畫已久，自2022年3月便利用某境外品牌手機的簡訊服務漏洞，秘密入侵並控制國家授時中心多名工作人員的手機，竊取手機內的敏感資料，2023年4月即多次利用所竊取的登錄憑證，入侵授時中心計算機，探查該中心的網路系統建設情況。自2023年8月至2024年6月間，美國國安局還部署了網路作戰平臺，啟用42款特製的網路攻擊武器，鎖定授時中心多個內部網路系統展開激烈攻擊，更企圖橫向滲透至精確產生標準時間的地面基礎設施，並植入了癱瘓與破壞能力。</p> <p>此外，來自美國的攻擊行動通常選在北京時間深夜發動，利用位於美國、歐洲及亞洲等地的虛擬專用伺服器作為跳板，同時還偽造數位憑證、繞過防毒軟體，還採用強大的加密演算法，企圖隱匿攻擊源頭。</p> <p>中國還指控，以美國國安局為首的間諜情報組織任性妄為，持續針對中國、東南亞、歐洲及南美洲等地發動網路攻擊行動，入侵關鍵基礎設施，竊取重要情報，監聽關鍵人士，並利用位於包括臺灣在內的技術陣地混淆視聽，還「作賊喊捉賊」，多次渲染「中國網路威脅論」並與它國共同炒作「中國駭客攻擊事件」，但美國其實才是名副其實的駭客帝國。</p> <p>美國政府並未對中國的指控作出回應。然而，不管美國有無攻擊中國，除了美國政府曾公開起訴並制裁中國駭客之外，包括微軟與Google等科技巨頭都曾多次揭露中國駭客的攻擊行為。</p> </div></div></div>
2025/10/20 13:39作者陳曉莉https://www.ithome.com.tw/news/171762
是誰駭入F5、偷走主力產品原始碼？有媒體點名中國駭客組織UNC5221
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以應用程式遞送控制器（ADC）、網站應用程式防火牆（WAF）等產品著稱的F5，近年來積極發展網站應用與API防護（WAAP），本月15日該公司突然發布公告坦承8月察覺遭到<a href="https://www.ithome.com.tw/news/171715">國家級駭客</a>侵入，震撼全球IT業界。該公司表示，攻擊者長期持續存取與下載該公司主要產品BIG-IP的研發環境，以及工程知識管理平臺，遭外流的檔案包含部分BIG-IP原始碼，以及尚未揭露且正在處理的資安漏洞資料，還有知識管理平臺的一些檔案，當中有少數客戶的組態設定或建置資訊。</p> <p>然而，發動這場攻擊的團體到底是誰？根據<a href="http://www.bloomberg.com/news/articles/2025-10-16/potentially-catastrophic-breach-of-cyber-firm-blamed-on-china?embedded-checkout=true">10月16日彭博社報導</a>，F5在10月15日當天對用戶寄送關於惡意軟體Brickstorm的威脅獵捕指南，而Brickstorm是中國政府資助的駭客團體所使用的工具，該文也引用Google威脅情報小組（GTIG）與事故應變單位Mandiant今年稍早發布的調查報告，指出Brickstorm行動的幕後黑手是與中國有關的間諜攻擊組織UNC5221，以竊取熱門科技廠商的程式原始碼而聞名，目的是為了蒐羅軟體臭蟲，再用這些資訊侵入廠商的客戶，這個組織從2023年開始鎖定多個組織發動攻擊，在許多案例當中，駭入受害者環境的平均潛伏時間長達393天。</p> <p>不過，Google Cloud今年<a href="https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-exploiting-critical-ivanti-vulnerability">4月</a>與<a href="https://cloud.google.com/blog/topics/threat-intelligence/brickstorm-espionage-campaign">9月</a>發布的調查報告，雖然分別概述UNC5221組織與Brickstorm行動，以及潛伏393天與間諜行為，並未直接提到竊取程式原始碼的活動，似乎與此有關連的一段描述是：「入侵法律服務、軟體即服務（SaaS）業者、業務流程外包商（BPO）、資訊科技等非典型間諜活動鎖定的產業，目的是為了開發零時差漏洞而提供資料，並且以此建立樞紐跳板，以便獲得更多駭入下游受害者的存取管道。」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mandiant%20BRICKSTORM.png" style="width: 600px;" /></p> <p>關於竊取廠商程式碼、研究漏洞的說法，有可能來自9月Brickstorm行動的資安新聞報導，<a href="https://www.securityweek.com/chinese-spies-lurked-in-networks-for-393-days-hunted-for-zero-day-intel/">SecurityWeek</a>曾引述Mandiant技術長Charles Carmakal的說明，當中提到這項認定。他表示，攻擊者竊取專屬程式原始碼，以及其他與企業資訊科技相關的智慧財產，因此，他們認為攻擊者正在分析竊取的程式原始碼，目的是尋找瑕疵與零時差漏洞，以便濫用多款企業資訊科技產品的弱點。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Securityweek-Brickstorm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Securityweek-Brickstorm.png" style="width: 600px;" /></a></p> <p>目前有多家資安廠商的相關部落格文章引用上述論點，包括<a href="https://www.zscaler.com/blogs/security-research/f5-security-incident-advisory">Zscaler</a>、<a href="https://www.rapid7.com/blog/post/ve-inside-the-f5-breach-what-we-know-and-recommended-actions/">Rapid7</a>、<a href="https://www.bitsight.com/blog/critical-intelligence-alert-ed-26-01-action-required">BitSight</a>。Palo Alto Networks則<a href="https://unit42.paloaltonetworks.com/nation-state-threat-actor-steals-f5-source-code/">認為</a>，攻擊者若竊取原始碼，需要時間去找出可濫用的部分，而在F5遭駭事故當中，攻擊者也竊取F5正在積極修補但尚未揭露的漏洞，這將使攻擊者能夠濫用尚未公開釋出修補的漏洞，有可能增加攻擊者建立濫用方式的速度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ZScaler-F5 Brickstorm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZScaler-F5%20Brickstorm.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Rapid7-F5 Brickstorm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rapid7-F5%20Brickstorm.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Bitsight-F5 Brickstorm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bitsight-F5%20Brickstorm.png" style="width: 600px;" /></a></p> <p>針對F5遭駭事故，<a href="https://www.cisa.gov/news-events/directives/ed-26-01-mitigate-vulnerabilities-f5-devices">美國</a>與<a href="https://www.ncsc.gov.uk/news/confirmed-compromise-f5-network">英國</a>當局均在15日當天發布警示。美國網路安全暨基礎設施安全局（CISA）發出緊急指令ED 26-01，說明目前掌握到這起事故的狀況，當中表示攻擊者對於使用F5設備與軟體的聯邦網路環境，已構成迫在眉睫的威脅，若成功濫用受此影響F5產品，攻擊者將得以存取嵌入這些系統當中的身分憑證與API金鑰，後續可用於在組織網路橫向移動、外洩資料，以及建立持續存取系統的能力，可能最終將導致資訊系統遭到全面滲透。</p> <p>CISA要求各單位採取下列7項行動。首先，立即盤點所有BIG-IP設備（i系列、r系列），以及採用BIG-IP F5OS、BIG-IP TMOS、BIG-IP Virtual Edition、BIG-IP Next、BIG-IP Next for Kubernetes（BNK）、BIG-IP Next Cloud-Native Network Functions（BIG-IP Next CNF）、BIG-IQ等軟體的設備。</p> <p>第二步是強化連接公開網路的BIG-IP設備的安全性，識別這些系統的網路管理介面是否能直接從公開網路直接連上，確認是否暴露在外部網路，接著向CISA回報、遵循CISA進一步的指令。</p> <p>第三步是更新上述BIG-IP軟硬體設備的執行個體，第四步是要求F5其他產品的實體與虛擬設備，需套用F5在10月底發布軟體更新，以及該公司提供的資產強化指南，接著套用F5一週內在下載網站發布的所有後續更新。</p> <p>第五步是所有F5終止支援的設備都必須下線，所有連接到公開網路的這類產品皆須下線與停用，若存在無法照辦的產品，應向CISA回報難以配合的關鍵任務需求，以及設備最終除役的規畫；第六步是注意與緩解Cookie外洩漏洞，若CISA通知某個單位存在BIG-IP的Cookie外洩漏洞，他們應遵循CISA提供的緩解指引。</p> <p>最後一步是向CISA回報，所有單位必須在10月29日美國東部時區11:59 PM之前，提出單位網路環境使用的產品摘要報告，以及12月3日美國東部時區11:59 PM之前，提出單位網路環境使用的所有產品執行個體的細部資產報告。</p> </div></div></div>
2025/10/20 13:20作者李宗翰https://www.ithome.com.tw/news/171761
美航子公司Envoy Air遭遇Oracle E-Business Suite攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國航空（American Airlines）旗下子公司Envoy Air周末證實其商用系統Oracle E-Business Suite遭到駭客入侵，成為甲骨文商用軟體第二家知名受害組織。</p> <p>總部位於德州的Envoy Air為美航子公司。公司有20,000多名員工，擁有160多架飛機。Envoy Air本周對包括<a href="https://www.reuters.com/sustainability/boards-policy-regulation/envoy-air-targeted-oracle-linked-hacking-campaign-2025-10-17/" target="_blank">路透社</a>及<a href="https://www.bleepingcomputer.com/news/security/american-airlines-subsidiary-envoy-confirms-oracle-data-theft-attack/" target="_blank">Bleeping Computer</a>證實，得知甲骨文（Oracle）E-Business Suite應用系統發生資安事件。該公司得知此事後立即展開調查，也通知了執法機關。</p> <p>Envoy Air說明，詳細的資料審視顯示，沒有敏感或客戶資料受到影響，但小部份業務資訊和商業聯絡資訊可能外流。</p> <p>上周勒索軟體組織Cl0p上周在暗網上將美航列入受害者清單，宣稱是從Oracle E-Business Suite取得的資料。根據路透社報導，美航將媒體求證信件傳給了Envoy Air，顯示受害者並非母公司。Cl0p揚言將公開Envoy Air的外洩資料，因為他們「根本不在乎客戶，不關心安全。」</p> <p>雖然Envoy Air營運獨立於美航之外，但是兩公司的開票、航班安排及客戶服務系統是相連的。</p> <p>Envoy Air是自<a href="https://www.ithome.com.tw/news/171651" target="_blank">上周Cl0p宣稱</a>手中掌握哈佛大學Oracle E-Business Suite資料後，第二家知名受害組織。</p> <p>Oracle E-Business Suite是繼Salesforce後，另一個讓大量企業用戶被當駭客提款機的重要系統。不同的是，Salesforce的資訊外洩並非起於軟體漏洞，而是第三方系統如Salesloft Drift存取憑證外洩，而Oracle E-Business Suite安全事件根源自於軟體漏洞，還有甲骨文的資訊不公告。</p> <p>甲骨文兩周前接連發佈E-Business Suite的<a href="https://blogs.oracle.com/security/post/apply-july-2025-cpu" target="_blank">CVE-2025-61882</a>及<a href="https://www.bleepingcomputer.com/news/security/oracle-silently-fixes-zero-day-exploit-leaked-by-shinyhunters/" target="_blank">CVE-2025-61884</a>二項安全公告，但拜甲骨文缺乏即時安全公告，以及資訊誤植之賜，引發一陣混亂。10月初甲骨文公告CVE-2025-61882，還列出有濫用程式及IoC，甲骨文當時僅說漏洞可能遭到濫用。</p> <p>但是這公告很快被<a href="https://www.ithome.com.tw/news/171625" target="_blank">追蹤攻擊行動的Google/Mandiant資安人員揭露</a>，早在7月Oracle E-Business Suite就有一項漏洞被濫用（隨後Cl0p證實），然甲骨文卻隻字未提。而且，研究人員還指出CVE-2025-61882公告列出的IoC，其實指向另一個完全不同的漏洞。二天後，甲骨文才公佈第二則安全公告修正說法，IoC是指向CVE-2025-61884。而且，媒體追蹤後才釐清，濫用程式是由另一知名駭客組織ShinyHunters或Scattered Lapsus$ Hunters所發佈。</p> <p>Google Threat Intelligence Group及Mandiant相信，受害者可能高達數十家企業或組織。</p> </div></div></div>
2025/10/20 09:25作者林妍溱https://www.ithome.com.tw/news/171753
Anthropic Claude Connector可連接Microsoft 365、強化企業搜尋服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/productivity-platforms" target="_blank">Anthropic上周宣布</a>Claude聊天機器人加入最新連接器（Connector），可連結微軟Microsoft 365的Teams、Outlook或SharePoint，也能透過企業搜尋功能，讓Claude從Slack、Google、Notion等內部平臺上搜尋資訊成為內部知識庫。</p> <p>Anthropic的MCP（Model Context Protocol，MCP）連接器現可支援Microsoft 365，讓Claude聊天機器人可存取微軟生產力或通訊應用。Claude現在可搜尋和分析SharePoint和OneDrive上跨網站和資料庫的文件，不需再上傳檔案。它也能連結Outlook及Teams，因此可直接取郵件內容或Teams對話、頻道討論、會議摘要，以了解專案狀態、客戶回饋、團隊協同狀況，以及總結會議決定等。</p> <p>Anthropic也對Claude企業搜尋功能進行更新。首先是允許企業建立個別化命名且可共享的專案。每個專案包括自訂提示，以及簡單的管理員設定步驟，讓Claude連接企業內部應用。設定完成後，企業成員就能自動連上專案。支援的應用程式包括Google Calendar、Gmail、Google Drive、Slack、Notion、Confluence /Jira、Asana等。</p> <p>因此，當用戶詢問Claude問題，它會搜尋連接的資料源並匯整於一處，就成了成員共同知識庫。例如可以讓Claude從Outlook、SharePoint上的HR文件、或Google Drive上的團隊指引搜尋遠端作業的政策，並且集中成為專門知識庫。企業搜尋對新生訓練、從客戶反饋分析樣態，以及快速找出特定主題的內部專家是相當好用的工具。</p> <p>現在Microsoft 365連接器已提供給所有Claude Team和Enterprise方案用戶。管理員必須先啟用，個別用戶才能以帳號驗證使用。</p> <p>而企業搜尋則提供給Team和Enterprise方案組織。管理員必須先客製化專案、設定資料源後，才能開放成員使用。</p> <p>這是Anthropic近日發布的最新Claude企業工具。上周Anthropic才<a href="https://www.ithome.com.tw/news/171736" target="_blank">推出Claude Skills</a>，可將專業流程打包成可重複使用的技能。<a href="https://www.ithome.com.tw/news/171721" target="_blank">此外也公布</a>升級版小模型Haiku 4.5。此外<a href="https://www.anthropic.com/news/salesforce-anthropic-expanded-partnership" target="_blank">Claude也成為Salesforce「Agentforce」平臺的底層模型</a>，提供給金融、醫療保健、網路安全與生命科學等產業。</p> </div></div></div>
2025/10/20 09:37作者林妍溱https://www.ithome.com.tw/news/171754
蘋果加碼零點擊利用鏈漏洞懸賞至200萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.apple.com/blog/apple-security-bounty-evolved/" target="_blank">蘋果日前更新Apple Security Bounty漏洞獎勵計畫</a>，將零點擊遠端程式碼執行攻擊鏈（Zero-click Chain）漏洞的最高獎勵，從100萬美元翻倍至200萬美元，而原本只提供25萬美元獎勵的一鍵遠端攻擊鏈（One-click Chain）亦漲至100萬美元，新的獎勵政策將於今年11月正式生效。蘋果也開放公民社會組織申請內建記憶體完整性防護（Memory Integrity Enforcement）的1,000臺iPhone 17，以將它們交到高風險人士的手中。</p> <p>根據蘋果的統計，自2020年推出Apple Security Bounty漏洞獎勵專案以來，已頒發超過3,500萬美元的獎金予超過800名安全研究人員。</p> <p>這次升級漏洞獎勵專案的原因之一為蘋果發現，在外所觀察到的各種系統級iOS攻擊行動幾乎都來自僱傭兵的間諜軟體，它們採用非常複雜的攻擊鏈，多與國家級駭客有關，開發成本動輒數百萬美元，而且只針對極少數的個人發動攻擊。</p> <p>蘋果相信這類的駭客將會繼續改善其技術，因此也調整Apple Security Bounty作為因應，鼓勵安全研究人員針對最關鍵的攻擊面進行深入研究，特別是那些明顯可被驗證的利用，且部分或完整的利用鏈也將優先於單一漏洞。</p> <p>除了零點擊遠端程式碼執行攻擊鏈與一鍵遠端攻擊鏈之外，其它在攻擊鏈中扮演重要角色的無線鄰近攻擊（Wireless Proximity Attack）漏洞的最高獎勵，也從25萬提高到100萬美元，實體裝置存取（Physical Device Access）漏洞從25萬增加到50萬美元，程式沙箱逃逸（App Sandbox Escape）漏洞獎勵，則從15萬提高到50萬美元。</p> <p>而且若是可繞過Lockdown Mode或是於測試版軟體中發現的零點擊遠端程式攻擊鏈漏洞，總獎金可能會超過500萬美元。</p> <p>至於尚無人達成的完整繞過Gatekeeper及廣泛未授權的iCloud存取漏洞獎勵，也分別提高至10萬美元與100萬美元。</p> <p>整體而言，蘋果此次的更新落在優先獎勵完整攻擊鏈、聚焦於真實世界威脅，與強調可驗證的漏洞利用，並推出Target Flags以標準化漏洞證明方式、驗證流程與獎勵額度，且在驗證後將會立即發送獎金，無需等待蘋果修復。</p> </div></div></div>
2025/10/19 23:22作者陳曉莉https://www.ithome.com.tw/news/171750
WhatsApp更新商業解決方案使用條款，明年1月禁止通用聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whatsapp.com/legal/business-solution-terms/preview?lang=en" target="_blank">WhatsApp近日變更其商業解決方案</a>（WhatsApp Business Solution）使用條款，打算自明年1月15日起，禁止AI供應商直接或間接存取該解決方案，這意謂著Meta將禁止於WhatsApp上直接經營AI助理服務，現有的ChatGPT、Perplexity AI、Luzia或Poke屆時可能都會被下架，而獨留WhatsApp內建的Meta AI。</p> <p>WhatsApp Business Solution是企業用來自動化及整合WhatsApp客服及行銷的平臺與API服務，簡單地說，它就是WhatsApp給企業用的版本。使用者可藉由點擊連結、掃描QR碼、新增企業電話號碼，或是透過廣告按鈕來新增品牌/企業聯絡人，並與之對話。</p> <p>在新版的商業解決方案使用條款中，WhatsApp新增了AI供應商（AI Providers）部分，涵蓋了大型語言模型、生成式AI平臺及通用型AI助理，只要是以AI作為主要產品功能，就不能使用WhatsApp的商業解決方案。而且Meta還保留了判斷哪些技術屬於AI供應商或是否以AI作為主要產品功能的權力。</p> <p>該條款允許企業利用AI來協助客服或分析，但AI只能作為第三方服務供應商；即便如此，相關的聊天紀錄或客戶資料也不能用來建立、訓練或改善通用AI模型，只能用來微調企業的專用模型。</p> <p>總而言之，Meta準備禁止AI供應商於WhatsApp上直接經營AI助理服務，僅允許企業在客服流程中有限地利用AI協助，並禁止AI業者利用WhatsApp的資料來訓練或改善模型。</p> <p>WhatsApp原本就內建了Meta AI，使用者在聊天視窗中輸入@Meta AI便能呼叫它，也能在搜尋列上以@Meta AI要求它執行任務，而其它的AI聊天機器人則是以企業帳號的方式存在。</p> <p><a href="https://techcrunch.com/2025/10/18/whatssapp-changes-its-terms-to-bar-general-purpose-chatbots-from-its-platform/" target="_blank">TechCrunch引用Meta的回應指出</a>，WhatsApp Business API是用來讓企業服務它們的客戶，而非聊天機器人的散布平臺，新出現的聊天機器人對系統帶來了巨大的負擔，它增加了訊息量且需要不同類型的支援，但該平臺尚未作好準備。</p> </div></div></div>
2025/10/19 23:54作者陳曉莉https://www.ithome.com.tw/news/171751
AI讓維基百科的人類流量下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://diff.wikimedia.org/2025/10/17/new-user-trends-on-wikipedia/" target="_blank">維基媒體基金會（Wikimedia Foundation）上周五（10/17）表示</a>，今年維基百科（Wikipedia）的全球人類瀏覽量下滑約8%，主要是因為生成式AI與搜尋引擎直接顯示答案，改變了用戶搜尋資訊的方式。</p> <p>負責核心體驗與產品的維基媒體基金會資深總監Marshall Miller說明，維基百科與其它維基媒體專案每個月都會收到來自全球各地的數十億頁面瀏覽量，他們的演算法會將其區分為人工流量與機器人流量，以準確地理解人類流量的水平，也有助於他們限制第三方機器人抓取資料，以用在它們的商業搜尋或AI服務。為了儘可能地保持指標的準確性，他們會不斷地更新流量的分類方法。</p> <p>約莫在今年5月，他們觀察到異常高的人類流量，且主要來自巴西，促使他們展開調查並更新機器人偵測系統，接著再採用新的邏輯重新分類今年3~8月的流量，發現5、6月的流量異常很大一部分是來自於為了逃避偵測而建置的機器人程式。且在修改之後，顯示出維基百科在過去幾個月的人類流量明顯下滑，與2024年同期相較約下滑了8%。</p> <p>這些下滑反映出生成式AI及社群媒體改變了人們尋找資訊的方式，特別是現在搜尋引擎直接提供答案給使用者，而這些答案往往是根據維基百科的內容生成的。除了搜尋引擎之外，更年輕的世代則是在社交影片平臺上尋找答案，而非開放網路，此外，該問題不僅維基百科獨有，其它出版商及內容平臺也感受到類似的壓力。</p> <p>Miller提醒，儘管這意味著有些用戶不會直接造訪維基百科來取得資訊，但它依然是這些新知識傳播形式所依賴的最有價值的資料集之一，幾乎所有的大型語言模型都利用維基百科的資料集進行訓練，而且搜尋引擎與社交媒體也都優先使用維基百科的資訊來回應用戶。這些由人類創造的知識對於推動網路上可靠資訊的傳播變得更加重要。</p> <p>這使得Miller呼籲，他們歡迎人們以新的方式獲取知識，但同時也強調，那些使用維基百科內容的大型語言模型、AI聊天機器人、搜尋引擎與社交平臺，必須主動引導使用者回到維基百科本身。唯有如此，才能讓這個全球仰賴志工與小額捐款維持運作的自由知識體系持續發展。</p> <p>否則，隨著流量減少，不僅志工參與意願會下降，募款來源也會減弱，最終將削弱維基百科維護與更新內容的能力，讓自由且可靠的知識逐漸難以維繫。</p> </div></div></div>
2025/10/20 00:10作者陳曉莉https://www.ithome.com.tw/news/171752
安卓間諜軟體ClayRat鎖定俄羅斯而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國行動裝置資安業者<a href="https://zimperium.com/blog/clayrat-a-new-android-spyware-targeting-russia" target="_blank">Zimperium上周揭露了一款新的Android惡意程式ClayRat</a>，它鎖定俄羅斯用戶，並偽裝成WhatsApp、Google Photos、TikTok與YouTube等熱門程式來吸引受害者安裝，主要從事間諜活動。</p> <p>ClayRat一旦成功感染Android裝置，它就能竊取裝置上的簡訊、通話紀錄、通知與裝置資訊；還能使用裝置的鏡頭拍照，或是直接自裝置送出簡訊或撥出電話。</p> <p>駭客是先註冊了許多假冒為熱門程式的服務頁面，直接提供含有ClayRat的偽造程式；或是將使用者導至可直接下載APK的Telegram頻道；或者提供偽造的升級按鍵，還會附帶安裝說明以鼓勵使用者繞過Android的內建安全警告。</p> <p>不過，最可怕的感染途徑是，當有受害者安裝了惡意程式，同時賦予預設SMS處理器（Default SMS Handler）權限時，代表ClayRat可讀取裝置上所有簡訊、在不需額外確認下發送新簡訊、攔截或優先接收簡訊，並存取或修改簡訊資料庫；駭客便會利用此功能，透過受害者手機向通訊錄所有聯絡人發含惡意連結的簡訊，造成快速自我擴散。</p> <p>研究人員發現ClayRat的散播與變種速度很快，在3個月內就出現逾600個不同版本的惡意樣本，以及50個下載器。</p> </div></div></div>
2025/10/19 23:08作者陳曉莉https://www.ithome.com.tw/news/171749
Cisco開源Project CodeGuard程式碼安全框架，推動預設即安全開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cisco開源人工智慧生成程式碼安全框架<a href="https://blogs.cisco.com/ai/announcing-new-framework-securing-ai-generated-code">Project CodeGuard</a>，將預設即安全的規則嵌入規畫、生成與生成後審查3個階段，目標是在不拖慢開發節奏下，降低寫死金鑰、缺少輸入驗證與仰賴終止維護的相依套件等常見風險的發生機率。官方提到，此框架定位為縱深防禦的一環，並非取代工程判斷與同儕審查。</p> <p>CodeGuard提供3項重點內容，分別是依據OWASP與CWE等既有指南整理的核心安全規則，將規則轉換為主流人工智慧程式開發代理可用格式的自動化腳本，以及協助採用與貢獻的文件。Cisco強調規則可在設計與規格擬定階段引導安全模式，在程式產生中即時避免不安全程式碼片段，並在生成後輔助檢視與驗證，文章中點名Cursor、GitHub Copilot、Codex、Windsurf與Claude Code可於生成後的程式碼審查流程使用。</p> <p>CodeGuard中的規則可跨流程發揮作用，以輸入驗證為例，規則在程式碼生成中建議安全處理樣式，在互動過程即時標示可疑輸入流程，生成後再確認是否具有適當的過濾與驗證。秘密管理則避免產生寫死的憑證，偵測敏感資料樣式，並驗證憑證是否外部化與安全配置。官方提醒規則並不保證個別輸出絕對安全，標準工程實務仍應並行。</p> <p>Cisco現已於GitHub建立project-codeguard組織並公開儲存庫rules，讀我檔說明涵蓋範疇包含密碼學與後量子密碼學、輸入驗證、身分驗證與授權、供應鏈與SBOM、雲端與Kubernetes實務、平臺與API安全與資料保護等，並提供規則轉換與驗證工具。授權模式採雙授權，規則與文件採CC BY 4.0，工具與原始碼採Apache 2.0。</p> <p>Cisco邀請社群提交新規則、撰寫轉換器與回饋，以擴充語言支援、整合更多人工智慧程式開發平臺並推進自動化規則驗證。</p> </div></div></div>
2025/10/20 08:00作者李建興https://www.ithome.com.tw/news/171747
搭配新款ASIC、一顆抵92顆，思科3U高效、省電路由器上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_8223_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年問世的<a href="https://www.ithome.com.tw/review/159614">思科8000系列路由器</a>，其中的8200系列屬於搭配固定尺寸機箱的產品，在今年6月之前，思科提供ASIC晶片採用Silicon One Q200的3款機型，分別是：2U尺寸的8202-32FH-M，以及1U尺寸的8201-32FH、8201-24H8FH，以及ASIC晶片採用Silicon One P100、2U尺寸的8212-48FH-M。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 8200-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208200-1.jpg" style="width: 600px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 8200-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208200-2.jpg" style="width: 600px;" /></a></p> <p>到了10月OCP全球高峰會前夕，思科發表新款路由器8223系列，搭配3U尺寸機箱，ASIC晶片採用最新推出的Silicon One P200，單臺設備可支援51.2 Tbps網路頻寬，提供能源效率高與更安全的資料中心網路環境，支撐次世代的AI工作負載應用需求，因應節節高漲的AI採用與電力供應需求，以及不斷進化的資安威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 8200-series-2025-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208200-series-2025-10.jpg" style="width: 500px;" /></a> </p> <p>在此同時，思科也標榜8223系列是專為網路跨域擴展（scale-across）打造的路由系統，提供比照交換器設備的能源使用效率，對應AI工作負載帶來的龐大能源需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/8200-Silicon One P200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/8200-Silicon%20One%20P200.jpg" style="width: 600px;" /></a> </p> <p>相較之下，2023年推出的前一代產品8804系列，需用10U尺寸機箱、4槽模組化系統、8張交織網路卡、4張線卡、92顆ASIC晶片，提供57.6 Tbps網路頻寬，最新發表的8223系列僅用3U尺寸機箱、單一晶片，就能提供51.2 Tbps網路頻寬，機櫃空間節省70％、資料層晶片數量減少99％，耗電量節省幅度高達65％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-10-OCP-Summit_Figure-1-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-OCP-Summit_Figure-1-Web.jpg" style="width: 600px;" /></a></p> <p>就網路配置而言，8223系列內建64個800GbE埠，區分為支援兩種光纖網路接頭的機型，支援OSFP埠的機型是8223-64EF-M、8223-64EF-MO，支援QSFP-DD埠的機型是8223-64E-M，以及8223-64E-MO。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco 8223-HW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%208223-HW.jpg" style="width: 400px;" /></a></p> <p>這批設備也支援多種網路作業系統（NOS），提供用戶選擇彈性。舉例來說，若打算採購內建思科IOS-XR作業系統的機型，可選擇8223-64EF-M或8223-64E-M，若希望搭配第三方作業系統，例如開放原始碼的SONiC，可選擇8223-64EF-MO或8223-64E-MO。</p> <p>同時，這批路由器也結合多個網路埠並用的架構（high-radix architecture），能讓多個硬體設備直接連結，可減少延遲、節省機櫃空間、減少耗電量，進而實現更扁平、有效率的網路拓樸配置，支援AI工作負載看重的高頻寬、低延遲網路通訊需求。</p> <p>關於網路傳輸效能與長距離部署的部分，思科表示，8223系列受益於內建具有512埠處理能力的Silicon One P200，每秒可處理200億個封包、4,300億次查詢；若採用兩層式網路拓樸，可擴展到每秒處理13 Pb資料（3 Ebps）；若是三層式網路拓樸，每秒處理3 Eb資料（3 Ebps），支援800GbE的相干光纖網路（coherent optics），而且，能用於長達1千公里的資料中心互連，以及都會網路環境的設置，可連接分散在不同地理區域的AI叢集系統，針對AI模型的訓練與推論處理的需求，橫跨多個資料中心，實現無縫隙的網路互連方式與大規模的資料吞吐效能，提供統一、高頻寬、低延遲的網路通訊能力。</p> <p>由於導入Silicon One P200，透過這顆ASIC晶片具備的深層緩衝處理（deep buffering）設計，提供充裕的緩衝記憶體，能在網路壅塞或流量暴增時，例如，在AI系統的網路環境中，GPU之間的通訊可能產生出乎意料之外的大規模資料流量，路由器此時可將網路封包暫存在記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-10-silicon-one-p200-processor-ds.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-silicon-one-p200-processor-ds.jpg" style="width: 600px;" /></a></p> <p>換言之，基於這樣的架構，使得8223系列可以吸收因AI訓練而暴增的巨大網路流量，同時維持傳輸效能、預防網路速度變慢。此外，P200也具有高度可程式化能力，原生支援新興與未知的網路協定、通訊標準，用戶不需為此升級硬體設備，適合網路跨域擴展的部署需求，而且，在AI流量持續演進變化的過程中，可協助預防網路效能瓶頸的發生、加速新功能的採用。對照既有的可程式化處理器，思科認為依賴死板的程式執行流程，通常需要透過自定臨時的例外路徑才能延伸處理，或是運用封包回收機制，這將導致頻寬減半的狀況發生。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/silicon-one-p200-processor-ds_1.jpg" style="width: 600px;" /></p> <p>在安全性方面，思科強調8223系列的防護涵蓋硬體、軟體，以及整個網路環境，主打多種功能。</p> <p>首先，是採用可抵擋量子破密攻擊的後量子密碼學演算法、達到線速的網路加密處理效能，支援MACsec、IPsec、ClearTag、CloudSec等加密協定與功能，針對每個連線節點與環節，提供全面的資料防護與後量子密碼學安全。</p> <p>第二，整合的安全防護機制，設置具有防竄改能力的信任根，建立系統完整性的安全基礎。</p> <p>第三，提供通過驗證的資料層軟體與組態設定，確保受信任的程式碼與設定的執行。</p> <p>第四，設備硬體內建能夠持續監控網路運作狀態的分析工具，提供奈秒等級的追蹤能力，能結合可程式化的頻內遙測機制，將相關資訊匯出，用於深層的網路活動透視與威脅的快速偵測，藉此對抗各種新興的資安威脅，而且能整合至思科的可觀測性平臺，提供細緻的網路效能洞察分析能力，進而協助快速辨識與解決問題，確保AI資料流量能夠兼顧安全與可靠。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Cisco 8223</span></strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型：8223-64E-M、8223-64E-MO、8223-64EF-M、8223-64EF-MO<br /> ●機箱尺寸：3U<br /> ●路由處理器：AMD 8核心處理器、64 GB記憶體、128 GB SSD，頻寬51.2 Tbps<br /> ●ASIC晶片：Cisco Silicon One P200<br /> ●網路埠：全部支援MACsec加密，8223-64E-M、8223-64E-MO內建64個QSFP-DD埠（800GbE），8223-64EF-M、8223-64EF-MO內建64個OSFP埠（800GbE）<br /> ●電源供應器：4臺3000瓦（N+N備援）<br /> ●風扇：7臺<br /> ●作業系統：Cisco IOS XR（8223-64E-M、8223-64EF-M）或SONiC</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/10/18 01:36作者李宗翰https://www.ithome.com.tw/review/171638
組態配置不當的Elasticsearch存放1.12 TB資料，洩露逾60億筆記錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>獨立網路安全研究人員<a href="https://x.com/hak1mlukha/status/1978465282000634282" target="_blank">Anurag Sen本周發現了一臺配置不當的Elasticsearch伺服器</a>，它儲存了1.12TB、約61.9億筆資料，卻缺乏任何安全驗證或密碼保護。Sen認為該伺服器是由講俄文的駭客所控制，內含透過資料外洩、網站爬取及其他來源所蒐集的詳細紀錄。</p> <p><a href="https://hackread.com/elasticsearch-leak-6-billion-record-scraping-breaches/" target="_blank">Sen提供了該伺服器的內容快照予Hackread</a>，顯示它含有來自一家烏克蘭商業銀行Accordbank的用戶資料，包括全名、電話號碼、生日、身分證號碼與地址。然而，Accordbank未曾揭露過資安意外事件。</p> <p>伺服器上還出現了多個涉及已公開或未公開資料外洩事件的資料庫，以及透過網路爬取取得的使用者資料。不過駭客很快就將伺服器下線，讓Sen來不及留下具體證據。</p> <p>Hackread懷疑這是駭客不小心公開了自己的伺服器，畢竟去年12月時，ShinyHunters與Nemesis這兩個駭客集團也曾因配置錯誤，公開了它們所共享的AWS S3儲存桶，內含外洩資料、駭客工具與盜來的憑證等。</p> <p>值得注意的是，Hackread在DarkForums駭客論壇中發現有人在兜售逾6,000個CSV資料庫，而且公布了其中逾2,0000個檔案的名稱，其中一個即為Accordbank，使得該報推測這批資料來自這臺外洩的Elasticsearch伺服器，也代表除了Sen之外，該伺服器亦已被其它駭客存取。</p> </div></div></div>
2025/10/20 08:00作者陳曉莉https://www.ithome.com.tw/news/171746
【資安日報】10月17日，思科交換器遭到SNMP零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科網路設備與資安設備弱點被用於實際攻擊行動的情況，近半年已有不少例子，其中<a href="https://www.ithome.com.tw/news/171540">最近一起活動與ASA、FTD防火牆有關</a>，駭客利用CVE-2025-20333與CVE-2025-20362部署惡意程式RayInitiator、Line Viper；今年7月，<a href="https://www.ithome.com.tw/news/170218">有人利用網路存取控制平臺ISE的滿分漏洞</a>CVE-2025-20281、CVE-2025-20282、CVE-2025-20337從事攻擊。最近趨勢科技揭露鎖定該廠牌交換器的攻擊行動，駭客運用了9月底公布的零時差漏洞CVE-2025-20352，而受到高度關注。</p> <p>駭客組織針對地理位置資訊伺服器（GIS）攻擊的情況，也相當值得留意，在這幾年傳出多起針對OSGeo GeoServer的活動之後，出現有駭客針對其他GIS系統下手的現象，而且，這些駭客還將內部元件改造，充當後門運用。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171737"><strong style="font-size: 22px;">思科交換器SNMP弱點遭到利用，駭客以此部署Rootkit程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig3-cisco.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig3-cisco.png" style="width: 300px; float: right;" /></a></p> <p>思科的網路設備、資安設備廣泛受到採用，一旦出現漏洞往往會受到注意，尤其是最近幾個月該公司公布多個已遭利用的漏洞，每次揭露都會引起高度關注。最近資安業者趨勢科技發現有人針對思科交換器從事攻擊，過程裡運用先前公布的零時差漏洞。</p> <p>趨勢科技指出，他們看到有人利用CVE-2025-20352從事攻擊行動，在未受到保護的思科設備部署Linux Rootkit，並設置通用密碼，以及在IOSd記憶體空間部署特定的掛鉤工具，而能遠端執行任意程式碼（RCE），並建立持久的未經授權存取管道。攻擊者主要鎖定的標的，涵蓋Catalyst 9400、9300，以及已進入終止支援階段的3750G系列的交換器。此外，為了能夠啟用記憶體存取的功能，他們嘗試利用另一個以CVE-2017-3881為基礎的Telnet漏洞來達到目的。</p> <p>而對於攻擊者鎖定的企業組織，趨勢科技特別提到，由於交換器無法部署EDR系統，使得攻擊者能透過Rootkit隱匿行蹤，逃過企業藍隊的調查。由於駭客設置的通用密碼包含Disco一詞，趨勢科技將這起攻擊行動命名為Operation Zero Disco。</p> <p><a href="https://www.ithome.com.tw/news/171727"><strong style="font-size: 22px;">TigerJack散布多款VS Code與OpenVSX惡意外掛，竊碼挖礦還能遠端操控</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68ef95ffc61803c3fbf59972_Screenshot 2025-10-12 at 19_34_20 (1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68ef95ffc61803c3fbf59972_Screenshot%202025-10-12%20at%2019_34_20%20(1).png" style="width: 300px; float: right;" /></a></p> <p>代號TigerJack的攻擊者自2025年初以來，透過多個發布者帳號在VS Code與OpenVSX外掛市集上架至少11款惡意外掛，表面上功能完整可用，實際同時執行程式碼竊取、加密貨幣挖礦與遠端控制等行為。資安公司Koi研究人員指出，兩款安裝數最高的外掛在微軟市集已累計安裝超過1.7萬次。</p> <p>TigerJack這波攻擊行動採真實功能包裝惡意程式的策略，外掛宣稱提供程式開發效率與格式整理等常見功能，安裝後確實能在IDE內正常運作，降低使用者戒心。研究人員指出，C++ Playground會在啟動時監看C++檔案變更，延遲極短以免影響體驗，卻能在背景持續將完整原始碼打包上傳至外部伺服器，相當於外流開發者的演算法與商業機密。HTTP Format則藉由內嵌雲端礦工服務憑證與API呼叫，讓被感染電腦在開發工作同時進行挖礦。</p> <p>攻擊者還在多個外掛中植入遠端程式碼執行後門，固定間隔連線下載並以動態方式執行外部指令，無需更新外掛就能更換酬載。這使得威脅從單次資料外流或資源濫用，升級為可持續控制環境的管道，風險涵蓋憑證竊取、投放新型惡意程式、在企業網路內橫向移動，甚至在原始碼中植入隱蔽修改。</p> <p><a href="https://www.ithome.com.tw/news/171705"><strong style="font-size: 22px;">中國駭客Flax Typhoon將地理資訊平臺元件ArcGIS充當後門，埋伏受害組織超過一年</strong></a></p> <p>過往鎖定地理位置資訊伺服器（GIS）下手的情況，不時有事故傳出，但多半針對OSGeo GeoServer而來，如今也有其他同類型的伺服器出現被濫用的情況，而且，駭客運用其中的功能加以改造，用來當作後門。</p> <p>資安業者ReliaQuest揭露APT駭客組織Flax Typhoon的攻擊行動，這些有中國政府在背後撐腰的駭客，將受信任的軟體改造為後門程式，持續於受害的地理位置資訊伺服器ArcGIS活動超過一年。他們將合法的Java伺服器物件延伸功能（Server Object Extension，SOE）改造成Web Shell，加入寫死金鑰來控管存取權限，並將相關資料嵌入備份，以便迴避偵測。ReliaQuest指出，這些駭客利用了一般企業組織對於合法軟體採取預設信任的資安盲點，竄改ArcGIS的SOE而成為作案工具，使得他們活動看起來像一般的系統作業，而能躲過許多資安檢測工具的偵測。</p> <p>基本上，Flax Typhoon的活動從竄改ArcGIS的SOE元件來充當Web Shell開始，ReliaQuest與ArcGIS聯手調查，確認駭客入侵了入口網站的管理員帳號，並以此植入有問題的SOE元件。駭客對ArcGIS入口網站的伺服器，下達經Base64編碼處理的命令，發送GET Web請求來啟動此Web Shell，並反覆用來執行經編碼處理的PowerShell命令，所有的工作都透過名為JavaSimpleRESTSOE的SOE套件來進行路由，使得駭客的活動能融入正常的伺服器流量進行。</p> <p><a href="https://www.ithome.com.tw/news/171717"><strong style="font-size: 22px;">微軟限縮Edge的相容模式，透露駭客已濫用IE零時差漏洞控制受害裝置</strong></a></p> <p>2022年6月微軟正式終止支援Internet Explorer（IE），並呼籲用戶改用Edge，但提供IE相容模式至2029年。然而駭客無所不用其極，企圖濫用相容模式的相關元件從事攻擊，最近微軟再度調整IE模式的運作機制，原因就是駭客再度針對這款已終止支援的瀏覽器下手，觸發零時差漏洞來接管裝置。</p> <p>最近Edge資安團隊指出，他們在今年8月掌握有人藉由社交工程發動攻擊，意圖觸發IE的零時差漏洞，因此他們決定限制IE模式的存取，來防範類似情況再度發生。</p> <p>針對相關事故發生的過程，攻擊者先說服受害者瀏覽詐騙網站，然後透過網站上的彈出式視窗，要求他們使用IE模式重新載入網頁，從而觸發IE的JavaScript引擎Chakra的零時差漏洞，使得攻擊者能夠遠端執行任意程式碼，接著，他們又利用第二個漏洞提升權限，完全控制受害電腦。該團隊表示，這種攻擊管道能讓原本Edge具備、源自Chromium的安全功能無法發揮作用，一旦成功利用，攻擊者就有機會部署惡意軟體、在企業網路環境橫向移動，或是洩露敏感資料。不過，對於攻擊者利用的漏洞，Edge資安團隊並未透露CVE編號，也沒有說明是否已經修補。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=152101&SPOKE_DATE=20251016&COMPANY_ID=1707"><strong style="font-size: 22px;">生技業者葡萄王發重訊，透露子公司葡眾遭網路攻擊</strong></a></p> <p>10月16日生技業者葡萄王發布資安重訊，指出旗下的子公司葡眾遭駭客攻擊與非法入侵，他們也進行全面盤查，並委託外部專家協助資料分析及研判可能發生的原因。</p> <p>而對於這起事故可能會帶來的影響，葡萄王指出經過評估，葡眾的主要系統未遭入侵，對該公司的財務及業務無重大影響。</p> <p>一週前葡萄王也發布重訊，透露葡眾收到網路勒索信的情況，不過，當時並未透露是否遭到攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-disrupts-ransomware-attacks-targeting-teams-users/">微軟揭露專門鎖定Teams用戶而來的勒索軟體Rhysida攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-maximum-severity-adobe-flaw-now-exploited-in-attacks/">針對8月例行更新Adobe修補的AEM重大漏洞，CISA指出已被用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/operation-silk-lure/">濫用Windows工作排程，駭客從事攻擊行動Operation Silk Lure，意圖散布惡意程式ValleyRAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/banking-malware/">即時通訊軟體WhatsApp遭濫用，金融木馬意圖藉此挾持受害電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/blacksuit-ransomware-breaches-corporate-network/">勒索軟體BlackSuit濫用外流VPN帳密入侵企業組織</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171731"><strong style="font-size: 22px;">Veeam揭露備份軟體重大風險，須更新至12.3.2.4165版修補漏洞</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於10月14日揭露影響備份軟體與其代理程式的3項漏洞，並釋出修補。</p> <p>這3個漏洞中，最嚴重的是編號為CVE-2025-48983與CVE-2025-48984的漏洞，兩者均為CVSS嚴重性等級評分9.9的重大漏洞，分別是由CodeWhite與watchTowr的安全研究人員發現與通報。</p> <p>CVE-2025-48983發生在Veeam Backup & Recovery備份軟體的Mount服務，會導致通過身分驗證的網域使用者，能夠在備份基礎架構主機（Backup infrastructure hosts或Backup infrastructure servers）遠端執行任何程式碼，但不影響未加入網域的主機；CVE-2025-48984坐落在備份伺服器（Backup Server），會允許經過驗證的網域用戶，在加入網域的備份伺服器上遠端執行程式碼，但不影響未加入網域的備份伺服器。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171704"><strong style="font-size: 22px;">Visa推可信代理協定，以HTTP簽章串接身分與支付流程</strong></a></p> <p>Visa提出可信代理協定（Trusted Agent Protocol），目標是在代理式電商逐漸普及時，讓商家與其站臺防護服務能可靠辨識具有商務意圖且已核准的代理，並在不大改既有架構的前提下，透過HTTP訊息簽章串接身分與支付流程。</p> <p>這套協定的設計出發點在於，代理式電商的自動化請求行為與一般使用者的瀏覽模式明顯不同，要是僅依據IP、請求頻率或指紋特徵進行判斷，商家或防護系統可能誤將合法代理流量視為爬蟲或惡意行為，進而影響服務穩定與交易成功率。Visa指出，隨著人工智慧驅動流量在零售網站急遽成長，商家需要能辨識可信任代理、維持對消費者身分與支付資料可見度的機制。</p> <p><a href="https://www.ithome.com.tw/news/171524"><strong style="font-size: 22px;">隱私通訊軟體Signal協定升級三棘輪演算法，更能抵禦量子攻擊</strong></a></p> <p>隱私通訊軟體Signal宣布，在其協定中導入SPQR（Sparse Post-Quantum Ratchet），並與既有的雙棘輪（Double Ratchet）演算法共同運作，形成三棘輪（Triple Ratchet）的混合式設計，目標是在不犧牲原有前向保密（Forward Secrecy）與入侵後安全（Post-Compromise Security）的前提下，提高對具量子能力攻擊者的抵禦能力。</p> <p>新版規格已納入官方技術文件，雙棘輪與SPQR同時產生訊息金鑰，再以金鑰衍生函式（KDF）混合為實際加解密金鑰，攻擊者需同時破解橢圓曲線與後量子機制才可能得逞。</p> <p>Signal協定安全核心在於棘輪機制，透過不斷更換金鑰，讓過去訊息不會因未來金鑰洩漏而曝光，也能在遭入侵後逐步恢復安全。不過，原本使用的橢圓曲線密碼學在量子電腦面前不再可靠，要是攻擊者能利用量子運算解開金鑰，整個對話將無法恢復入侵後安全，而這正是官方引入SPQR的原因。</p> <p> </p> <h3>【執法行動】</h3> <p><a href="https://www.ithome.com.tw/news/171707"><strong style="font-size: 22px;">美國起訴殺豬騙局詐騙集團，打算沒收150億美元比特幣</strong></a></p> <p>美國司法部（Department of Justice，DoJ）周二（10/14）控告39歲的詐騙集團首腦Chen Zhi，指控此一英國及柬埔寨公民透過所創立的太子集團（Prince Group）進行電匯詐欺及洗錢，同時也提出民事訴訟，要求沒收存放在Zhi非託管錢包中的127,271個比特幣，它的市值約為150億美元。</p> <p>Chen Zhi為中國移民，所創辦的太子集團表面上經營地產、金融、娛樂、飯店與賭場等產業，在全球逾30個國家設立超過100個控股與空殼公司，但其實是個以柬埔寨為基地的跨國犯罪組織，成立了至少10個詐騙園區，逼迫數百名勞工透過手機、電腦及社交媒體帳號，假扮投資顧問、戀愛對象或客服人員來狩獵受害者，誘使受害者把資金或加密貨幣轉入假投資平臺。這類的手法即被稱為殺豬騙局（Pig Butchering Scams）。</p> <p>除了總部柬埔寨之外，太子集團還在寮國、帛琉、新加坡、模里西斯、臺灣、英國及美國設立據點，以負責不同的業務；受害者遍及全球三大洲，並以美國、英國及亞太地區受害最重；多數受害者為中產階級或退休族群，損失金額從數千到數百萬美元不等，有許多案例是在數分鐘內失去畢生積蓄。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171730"><strong>【10月16日】殭屍網路Aisuru與RondoDox擴大攻擊規模和威力</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171700"><strong>【10月15日】微軟、SAP發布10月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171680"><strong>【10月14日】Windows 10進入終止支援階段</strong></a></p> </div></div></div>
2025/10/17 14:44作者周峻佑https://www.ithome.com.tw/news/171739
LevelBlue收購資安公司Cybereason
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國托管資安服務供應商<a href="https://levelblue.com/newsroom/press-releases/levelblue-to-acquire-cybereason-expanding-global-leadership-in-managed-detection-and-response-xdr-incident-response-and-threat-intelligence" target="_blank">LevelBlue周四（10/16）宣布</a>，將買下專精於延伸偵測與回應（XDR）平臺的Cybereason。<a href="https://www.cybereason.com/press/levelblue-to-acquire-cybereason" target="_blank">雙方並未公布交易金額，僅說</a>軟銀（SoftBank）、願景基金2（Vision Fund 2）與Liberty Strategic Capital都將成為LevelBlue的股東，使得外界猜測該交易是以股票交易為主，而讓Cybereason既有投資人成為LevelBlue股東。</p> <p>LevelBlue的前身為AT&T Cybersecurity的資安部門，2023年在私募基金WillJam Ventures與AT&T的支持下獨立，專注於託管式資安服務（Managed Security Services，MSS）及託管偵測及回應（MDR），現為全球最大純粹託管資安服務供應商，業務遍及北美、歐洲、亞太與中東，客戶包括政府機構、大型金融機構、醫療及能源組織。</p> <p>至於Cybereason則是由3名原本擔任以色列軍方情報單位的工程師在2012年與美國所創立的資安公司，使命為「結束網路攻擊」。最初該公司把重心放在端點偵測與回應（EDR，Endpoint Detection and Response），隨後發展至XDR，其平臺利用AI與行為分析來即時偵測異常行為，可自動關聯數千筆事件，以快速鎖定攻擊來源並防止擴散。</p> <p>LevelBlue期望Cybereason的加入可替該公司客戶帶來更多強化功能，像是以其XDR整合Trustwave的MDR，以提供更強大的端點安全服務；Cybereason還帶來一流的數位鑑識與事件回應（Digital Forensics and Incident Response，DFIR）服務，輔以Stroz Friedberg的數位鑑識能力，將可擴大LevelBlue的產能；其它還包括更聰明的威脅情報、進攻及防禦協同，以及以Cybereason身為日本市場最大供應商之一而擴大LevelBlue全球足跡。</p> <p>上述的Stroz Friedberg是LevelBlue在2024年買下的數位鑑識與資安調查公司，Trustwave則是今年才買下托管資安服務供應商，不管是哪一筆交易，LevelBlue皆未公布收購金額，不過有媒體報導，Cybereason在2021年顛峰時期的估值為31億美元。</p> </div></div></div>
2025/10/17 16:25作者陳曉莉https://www.ithome.com.tw/news/171745
Copilot Chat存在CamoLeak弱點，可洩漏私有程式碼與密鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Legit Security研究人員揭露Copilot Chat存在CVSS評分高達9.6的高風險漏洞<a href="https://www.legitsecurity.com/blog/camoleak-critical-github-copilot-vulnerability-leaks-private-source-code">CamoLeak</a>。此弱點可在使用者未察覺的情況下，將私有儲存庫中的程式碼與金鑰等敏感資訊外洩，且能影響Copilot的回應內容，包含引導安裝惡意套件或點擊連結。GitHub現已停用Copilot Chat的影像算繪功能作為緩解措施，並封鎖透過Camo進行資料外洩的途徑。</p> <p>Copilot Chat以提問者的權限運作，並將儲存庫內容與當前頁面相關資訊納入上下文，例如程式碼、提交紀錄與拉取請求，該功能雖可貼近專案回應，但同時也擴大攻擊面。研究顯示，攻擊者可透過存放在拉取請求描述的隱藏註解植入提示，任何瀏覽該頁面的使用者其Copilot都可能將這段內容納入上下文，進而在受害者權限下執行攻擊者指定的動作。</p> <p>研究利用GitHub自家的影像代理機制Camo，突破瀏覽器嚴格的內容安全政策。一般情況下，含外部圖片的Markdown會被改寫成camo.githubusercontent.com的簽章URL，再由GitHub代理抓取。研究人員指出，透過事先準備可驗證的Camo連結並引導Copilot於回應中算繪，瀏覽器即會向攻擊者控制的來源發出請求，達成靜默外洩。雖未牽涉到任意程式碼執行，但因Copilot以受害者身分運作，影響範圍包含私有程式碼、金鑰與尚未公開的弱點描述。</p> <p>研究人員於2025年6月通報GitHub的HackerOne計畫，GitHub在8月14日先行停用Copilot Chat影像算繪並封鎖藉由Camo洩漏資料的途徑。</p> <p>研究人員提醒，人工智慧助理在開發流程中的上下文讀取，等同於擁有者權限的延伸，一旦上下文可被遠端操控，風險即轉變為資料外洩與供應鏈投毒。另外，平臺端雖已下線影像算繪以降低風險，但企業仍應檢視儲存庫的使用權限、機密管理與審查流程，避免在拉取請求描述與說明檔引入不受控的外部內容。</p> </div></div></div>
2025/10/17 16:29作者李建興https://www.ithome.com.tw/news/171744
思科交換器SNMP弱點遭到利用，駭客以此部署Rootkit程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科的網路設備、資安設備廣泛受到採用，一旦出現漏洞往往會受到注意，尤其是最近幾個月該公司公布多個已遭利用的漏洞，每次揭露都會引起高度關注。最近資安業者趨勢科技發現有人針對思科交換器從事攻擊，過程裡運用先前公布的零時差漏洞。</p> <p>趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/25/j/operation-zero-disco-cisco-snmp-vulnerability-exploit.html">他們看到有人利用CVE-2025-20352從事攻擊行動</a>，在未受到保護的思科設備部署Linux Rootkit，並設置通用密碼，以及在IOSd記憶體空間部署特定的掛鉤工具，而能遠端執行任意程式碼（RCE），並建立持久的未經授權存取管道。攻擊者主要鎖定的標的，涵蓋Catalyst 9400、9300，以及已進入終止支援階段的3750G系列的交換器。此外，為了能夠啟用記憶體存取的功能，他們嘗試利用另一個以CVE-2017-3881為基礎的Telnet漏洞來達到目的。</p> <p>CVE-2025-20352存在於網路設備作業系統IOS及IOS XE的SNMP子系統，一旦攻擊者加以利用，就有機會透過IPv4或IPv6傳送惡意SNMP封包來利用，CVSS風險達到7.7。<a href="http://www.ithome.com.tw/news/171371">思科於9月底提出警告</a>，這項漏洞已被用於實際攻擊行動，但並未說明進一步細節。</p> <p>而對於攻擊者鎖定的企業組織，趨勢科技特別提到，受害組織並未為替Linux設備部署EDR系統，使得攻擊者能透過Rootkit隱匿行蹤，逃過企業藍隊的調查。由於駭客設置的通用密碼包含Disco一詞，趨勢科技將這起攻擊行動命名為Operation Zero Disco。</p> <p>攻擊者同時針對32位元及64位元的思科設備發動攻擊，他們利用SNMP封包分段傳送命令，不過趨勢科技指出在64位元環境利用漏洞存在必要條件，那就是必須取得最高的15級權限，並於受害設備執行Guest Shell。得逞後攻擊者就能使用通用密碼登入作業系統，並部署無檔案後門程式，然後透過UDP控制器操作Rootkit執行後續工作。此外，他們在受害交換器當中，發現駭客也運用Arp欺騙工具。</p> <p>究竟這個用於交換器系統的Rootkit有那些功能？首先，它能接收任意的UDP封包，從而建立通道並觸發後門的功能，特別的是，過程裡攻擊者無需刻意開啟特定的連接埠。</p> <p>再者，該惡意程式能設置通用密碼，以及隱藏記憶體當中的帳號名稱、EEM指令碼、存取控制列表（ACL）內容。此外，攻擊者還能繞過思科虛擬終端機（VTY）的存取控制列表、刪除或暫停事件記錄，以及重置設定檔的時戳。</p> </div></div></div>
2025/10/17 11:54作者周峻佑https://www.ithome.com.tw/news/171737
Meta AI應用搬上Arm平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.arm.com/news/arm-meta-strategic-partnership" target="_blank">Meta與Arm本周宣布</a>從行動端到資料中心的AI合作，包括Meta AI應用程式基礎架構將搬上Arm平臺。</p> <p>這項合作是本周<a href="https://about.fb.com/news/2025/10/metas-new-ai-optimized-data-center-el-paso/" target="_blank">Meta宣布</a>投資15億美元，在德州El Paso建造一座Gigawatts的AI資料中心的一部份。這座資料中心預計2028年啟用，是Meta在全球第29座資料中心。</p> <p>雙方稱這項合作是從「從執行機上智慧的毫瓦裝置到訓練世界最先進AI模型的百萬瓦等級系統」，且這次合作可協助Meta全球平臺的多類型運算、負載和應用體驗。</p> <p>雙方的第一項合作是讓Meta平臺如Facebook和Instagram（IG）的AI排序及推薦系統使用Arm的Neoverse-based資料中心平臺，可望比x86系統提高效能，降低能耗。二家公司將合作把Meta AI基礎架構軟體堆疊，從組譯器、函式庫到AI框架都為Arm架構優化，雙方將合作調校開源元件，例如Facebook General Matrix Multiplication及PyTorch使用Arm向量擴充及效能函式庫，提升推論的效率和傳輸吞吐量。</p> <p>合作的第二部份是深化雙方AI軟體優化的合作，涵括PyTorch機器學習框架、ExecuTorch邊緣推論runtime引擎與vLLM資料中心引擎。雙方現在已以Arm KleidiAI軟體庫優化Meta的Executorch，也計畫持續改進在行動裝置上的效率，加速模型部署，推升從邊緣到雲端的AI應用效能。</p> <p>這項消息也是Arm年初傳出組建AI部門計畫生產AI晶片後，雙方合作一項進展，<a href="https://www.computerworld.com/article/3825123/arm-secures-meta-as-first-customer-in-chip-push-challenging-industry-giants.html" target="_blank">傳聞</a>新晶片今年秋季要推出，而Meta是第一家客戶。</p> <p>此外，Meta和Arm也計畫持續投入AI相關的開源技術貢獻。<a href="https://newsroom.arm.com/news/arm-sets-the-standard-for-open-converged-ai-data-centers" target="_blank">本周Arm宣布</a>被任命為開放運算專案（OCP）的董事成員將和AMD及Nvidia推動AI資料中心的開放式、可互操作設計。</p> </div></div></div>
2025/10/17 14:41作者林妍溱https://www.ithome.com.tw/news/171738
Windows 11添增Hey Copilot功能，將Copilot Vison部署至全球市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2025/10/16/making-every-windows-11-pc-an-ai-pc/" target="_blank">微軟周四（10/16）宣布</a>，Windows 11用戶將可藉由說出「Hey Copilot」來啟動Copilot Voice ，此外，微軟亦準備將Copilot Vision拓展至全球市場，目標是讓每一臺Windows PC都成為AI PC。</p> <p>「Hey Copilot」就如同蘋果的「Hey Siri」、Google的「Hi Google」或是Amazon的「Alexa」，可直接換醒各自系統的AI/語音助理。過去Windows用戶必須透過在Copilot應用程式中按下麥克風才能啟用Copilot Voice ，現在則是直接說出「Hey Copilot」便能喚醒它。</p> <p>Copilot Voice是微軟AI助理Windows Copilot的語音互動層，讓使用者可透過自然語音與系統對話，或是控制Windows設定及應用程式的啟動，可理解脈絡並持續對話，或是協助搜尋或摘要等。倘若使用者幾秒鐘未與之互動，就會自動結束此一輪的對話，也能按下X或是說出「Goodbye」來結束對話。之後必須再透過「Hey Copilot」喚醒Copilot Voice。</p> <p>Copilot Voice現已支援包括普通話在內的逾60種語言。而Windows Copilot所支援的逾40種文字中也有繁體中文。</p> <p>至於Copilot Vision則是Windows Copilot上的視覺理解層，讓AI能夠看見使用者螢幕上的內容，藉以提供建議、教學或行動，它能真正理解使用者看到或執行的畫面，並主動協助使用者完成任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1017-Windows%2011%20Copilot%20update-600.png" style="width: 600px;" /></p> <p>例如它能夠分析目前桌面或應用程式畫面，理解畫面上的按鈕、文字或介面；可理解使用者所開啟的Word、Excel、PowerPoint文件的全部內容並進行分析；它還有一個Highlights功能，能夠透過圈選、箭頭或標示等方式來顯示步驟，還會以語音說明，例如你可以要它「教我怎麼調亮這張照片」「教我怎麼插入表格」「教我如何設定自動回覆」等。</p> <p>目前Copilot Vision僅支援語音，之後會支援文字的輸入與輸出。</p> <p>除了正式推出的「Hey Copilot」與全球部署的Copilot Vision外，微軟也在Windows Insider與Copilot Labs中測試多項AI功能，包括能讓AI與電腦上直接執行各種任務，像是整理檔案、分類照片或是提取PDF內容的Copilot Actions；以及允許使用者將Copilot連結OneDrive、Outlook、Google Drive、Gmail與Google Calenda等雲端服務的Copilot Connectors；還有一個通用的AI代理人Manus，可根據使用者電腦上的資料自動建立網站或專案等。上述新功能都可望在日趨成熟之後開放給Windows 11用戶。</p> </div></div></div>
2025/10/17 14:50作者陳曉莉https://www.ithome.com.tw/news/171740
DoorDash將開始利用Waymo車隊來外送
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下的自駕車公司<a href="https://waymo.com/blog/2025/10/your-doordash-order-delivered-by-waymo" target="_blank">Waymo與美國最大外送平臺DoorDash周四（10/16）宣布結盟</a>，讓Waymo的無人駕駛計程車替DoorDash外送，首個合作區域為鳳凰城大都會的816公里範圍。</p> <p>目前Waymo約有1,500輛執勤的無人駕駛計程車，分布在舊金山、洛杉磯、鳳凰城及奧斯汀等城市。雙方在外送服務上的合作僅限於鳳凰城，並已展開自動駕駛外送測試，預計今年就會正式商業化。當地消費者若透過DoorDash的自動外送平臺（Autonomous Delivery Platform）下單，就可能會匹配到Waymo自駕車負責送貨。</p> <p>其實該平臺整合了各種外送運輸方式，從人力外送員、機器人、無人機到Waymo等，使用者可以選擇以自動駕駛車配送，若成功匹配到Waymo，系統就會自動派車前往，在Waymo抵達後，使用者可透過DoorDash應用程式開啟後車廂來取貨。</p> <p>不過，首波僅有DoorDash的自營商店提供Waymo外送服務，未來將逐步開放更多鳳凰城在地商家參與。</p> <p>此外，DashPass會員在洛杉磯、舊金山與鳳凰城亦可享有搭乘Waymo的優惠活動，為每月一次的10美元折扣。DashPass是DoorDash在2018年推出的訂閱服務，會員每月支付9.99美元就能享有免運費、降低服務費及專屬折扣，截至去年底，DashPass及海外版訂閱服務Wolt+的DoorDash總會員數已超過2,200萬。</p> </div></div></div>
2025/10/17 15:10作者陳曉莉https://www.ithome.com.tw/news/171743
Claude Skills上線，支援組合式技能與版本控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic推出<a href="https://www.anthropic.com/news/skills">Claude Skills</a>，將專業流程打包成可重複使用的技能資料夾，內含指令、腳本與參考資源。當任務相符時，Claude只會載入完成該任務所需的最小內容，透過減少不必要的處理量維持執行速度，同時確保在Excel報表製作與品牌規範等常見企業情境中的一致性。</p> <p>Skills可跨Claude apps、Claude Code、API與Agent SDK通用，並向Pro、Max、Team與Enterprise用戶提供。</p> <p>Skills採可組合設計，能同時組合多個技能處理複合任務，由模型自動協調使用順序與範圍。其形式是以資料夾組織步驟說明、程式碼與範本，模型先掃描技能名稱與描述，再自主決定是否載入更完整內容，避免把冗長素材塞入提示字串。官方舉例，使用者可在同一個任務中同時運用財務報表技能與簡報格式技能，強化輸出的專業度與一致性。</p> <p>Anthropic表示企業管理者可於組織層級啟用Skills功能，個別成員仍需再行同意後使用。開發者則可透過Messages API管理自建技能，並執行版本控管。Anthropic提供名為skill-creator的指引技能，透過對話產生資料夾結構與Skill.md說明檔，免去手動編輯，降低上手門檻。</p> <p>由於Skills可在隔離環境中執行Python或Bash程式碼，Anthropic規定開發者需在API端啟用Code Execution Tool，確保執行過程於安全沙箱中進行。該工具提供隔離的沙箱以執行Python與Bash，涵蓋資料分析、檔案處理與產出圖表等情境，但也意味著組織需謹慎評估技能來源與權限設定，以維持資安與法遵。</p> <p>Anthropic並提供多個官方技能，協助產生含公式的Excel試算表、PowerPoint簡報、Word文件與可填寫的PDF，做為企業客製化的起點。</p> </div></div></div>
2025/10/17 11:29作者李建興https://www.ithome.com.tw/news/171736
TigerJack散布多款VS Code與OpenVSX惡意外掛，竊碼挖礦還能遠端操控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>代號TigerJack的攻擊者自2025年初以來，透過多個發布者帳號在VS Code與OpenVSX外掛市集上架至少11款惡意外掛，表面上功能完整可用，實際同時執行程式碼竊取、加密貨幣挖礦與遠端控制等行為。資安公司Koi研究人員<a href="https://www.koi.ai/blog/tiger-jack-malicious-vscode-extensions-stealing-code">指出</a>，兩款安裝數最高的外掛在微軟市集已累計安裝超過1.7萬次。</p> <p>TigerJack這波攻擊行動採真實功能包裝惡意程式的策略，外掛宣稱提供程式開發效率與格式整理等常見功能，安裝後確實能在IDE內正常運作，降低使用者戒心。研究人員指出，C++ Playground會在啟動時監看C++檔案變更，延遲極短以免影響體驗，卻能在背景持續將完整原始碼打包上傳至外部伺服器，相當於外流開發者的演算法與商業機密。HTTP Format則藉由內嵌雲端礦工服務憑證與API呼叫，讓被感染電腦在開發工作同時進行挖礦。</p> <p>攻擊者還在多個外掛中植入遠端程式碼執行後門，固定間隔連線下載並以動態方式執行外部指令，無需更新外掛就能更換負載。這使得威脅從單次資料外流或資源濫用，升級為可持續控制環境的管道，風險涵蓋憑證竊取、投放新型惡意程式、在企業網路內橫向移動，甚至在原始碼中植入隱蔽修改。</p> <p>TigerJack採多帳號同步操作，包含ab-498、498與498-00等名義，並以GitHub專案與詳盡功能敘述包裝，提高審核與使用者信任。研究也觀察到先上架乾淨版本累積安裝量與評價，再推送含惡意功能更新的手法，等受害範圍成形後再擴散到其他市集。實務上，該策略會讓偵測與下架變成事後補救，使用者要是未接獲明確警示，難以回顧並意識到過去數月間，程式碼與環境已遭長期監控或濫用。</p> <p>市集端的防護與通報同樣受檢視。微軟雖已將相關外掛下架，但研究人員質疑缺乏對既有安裝者的主動通知與修復指引，讓風險在末端持續存在。另一方面，OpenVSX身為VS Code相容IDE的重要來源，一旦偵測與審核機制相對寬鬆，便給了攻擊者者更長的活動空窗。再加上攻擊者能以新帳號反覆重發，僅靠單一市集下架難以遏止惡意外掛持續流通。</p> <p>外掛可用並不代表可信，下載數、評價與功能完整度都可能成為社交工程的包裝。企業與個人要是採用VS Code相容生態，研究人員建議，至少應建立外掛資產清單與可追溯性，遇到被下架或移除公告時能迅速盤點受影響環境與專案，並評估是否需要替換工作站、調整憑證與金鑰，以及檢視近期提交的原始碼是否存在可疑修改。</p> </div></div></div>
2025/10/17 08:17作者李建興https://www.ithome.com.tw/news/171727
Red Hat更新企業級AI平臺，擴充分散式推論與模型即服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Red Hat（紅帽）<a href="https://www.redhat.com/en/blog/red-hat-ai-3-delivers-speed-accelerated-delivery-and-scale">發表Red Hat AI 3</a>，作為該公司企業級人工智慧平臺的新一代版本，目標是將推論工作負載推進至可預測、可治理的生產環境。此波更新以OpenShift AI 3.0為核心平臺，內含已達正式版的llm-d，推論層則由可獨立部署的Red Hat AI Inference Server 3.2提供企業級vLLM與異質加速器支援。</p> <p>llm-d為Kubernetes原生推論框架，將vLLM從單機的高效推論擴展成分散式運作、可預測的服務架構，能依據工作負載特性智慧調度模型，減少延遲並提升吞吐量，更貼近企業在生成式人工智慧應用中對SLA與成本控管的實際需求。</p> <p>在推論效能方面，Red Hat AI Inference Server 3.2分支擴大異質硬體支援，支援Nvidia CUDA、AMD ROCm、Google TPU與IBM Spyre等加速器。企業可在不同加速器間維持部署彈性，同時結合vLLM與模型最佳化能力，提升吞吐與成本效率。</p> <p>OpenShift AI 3.0引入模型即服務（Models as a Service，MaaS）開發者預覽，提供內外部使用者一致的模型取用體驗。企業IT可集中服務常用模型，讓人工智慧工程師與應用按需存取，同時兼顧無法上公有雲的資料主權與隱私需求，形成平臺工程與應用團隊的共同作業介面。</p> <p>代理式人工智慧是另一個更新重點，OpenShift AI 3.0提供以Llama Stack為基礎的統一API層與MCP支援，兩者目前皆為預覽階段，簡化模型與外部工具及資料來源的連結，並為後續大規模代理系統奠定介面與治理的一致性。OpenShift AI 3.0同時提供AI hub與gen AI studio兩種工具，分別面向平臺工程師與人工智慧工程師，前者用於資產治理，後者用於實驗與原型製作，讓模型與工具能在同一平臺完成登錄、部署與測試。</p> <p>Red Hat AI 3推出更模組化的客製化工具鏈，從資料導入、合成資料產生、微調到評測皆可拆分使用，並以Docling等開源專案強化非結構化文件處理，讓組織能用熟悉的Python工作流程，逐步提升領域效果而不被單一工具綁定。</p> <p>Red Hat擴充第三方經驗證與最佳化的模型組合，並透過Hugging Face的Red Hat AI儲存庫與自家生態系目錄提供掃描可追溯的容器化成品，有助於在一致的供給與治理流程中導入與更新模型，降低相容性與安全風險。</p> </div></div></div>
2025/10/17 08:21作者李建興https://www.ithome.com.tw/news/171732
由Nvidia與微軟等業者組成的財團將以400億美元買下Aligned Data Centers，創全球規模最大資料中…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.macquarie.com/ca/en/about/news/2025/macquarie-asset-management-to-lead-sale-of-aligned-data-centers-at-an-enterprise-value-of-us-40-billion.html" target="_blank">麥格理資產管理公司（Macquarie Asset Management，MAM）周三（10/15）宣布</a>，將代表旗下兩支基礎設施私募基金MIP IV與MIP V，以及其共同投資合作夥伴，將資料中心營運商Aligned Data Centers以400億美元的價格，出售給由AI Infrastructure Partnership（AIP）、MGX及Global Infrastructure Partners（GIP）所組成的財團，成為史上規模最大的資料中心交易，其中，AIP的成員包括了微軟、Nvidia及xAI。</p> <p>2013年創立於美國德州的Aligned為一資料中心基礎設施業者，專注於在美洲提供永續、可擴展及快速部署的超大規模資料中心，標榜可依照客戶需求快速擴建電力與空間的模組化設計，也重視綠色技術，涵蓋已運作、正在興建及規畫中的總資料中心電力容量超過5GW，分布在50個左右的資料中心園區。</p> <p>倘若不計算Amazon、微軟、Google及Meta等非專營資料中心的大型科技業者，Aligned可進入全球資料中心營運商的前五名，第一名則是總部同樣位於美國德州的Digital Realty，該公司在全球逾25個國家經營逾310座資料中心，其已運作容量、興建中容量及潛在容量約為7.1GW。</p> <p>MIP IV與MIP V分別在2018年及2020年入股Aligned，Aligned在今年1月完成120億美元的融資後，外界估計其市值還不到300億美元。</p> <p><a href="https://www.ithome.com.tw/news/165058" target="_blank">主導此次交易的買家則是2024年成立的AIP</a>，它是全球首個以AI基礎設施為核心的巨型投資聯盟，握有1,000億美元的投資潛力，成員包括全球最大資產管理公司BlackRock、阿布達比AI投資公司MGX、BlackRock麾下專門投資基礎設施資產的GIP，還有微軟、Nvidia、xAI與思科等。</p> <p>該交易預計於2026年上半年完成，未來Aligned總部仍會在德州，並持續由Andrew Schaap擔任執行長。</p> <p><a href="https://aligneddc.com/blog/ai-infrastructure-partnership-aip-mgx-and-blackrocks-global-infrastructure-partners-gip-to-acquire-all-equity-in-aligned-data-centers/" target="_blank">MGX執行長暨AIP副主席Ahmed Yahia Al Idrissi表示</a>，人們正在進入一個AI將重塑經濟且加速成長的新時代，大規模運算基礎設施將為此一進步的基礎，對Aligned的投資，可望把可擴展的資金導向一家以效率與成長為核心的營運商。</p> </div></div></div>
2025/10/17 08:39作者陳曉莉https://www.ithome.com.tw/news/171734
Google Veo 3.1讓AI影片會說話，影片製作工具Flow加入音訊與長片段生成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://blog.google/technology/ai/veo-updates-flow/">推出Veo 3.1</a>，並在人工智慧影片製作工具Flow添加一系列更新，重點在於把音訊帶進既有流程，並提升敘事與寫實表現。官方指出，這次更新讓使用者在Flow中應用更細緻的方式編修片段，從前期設計到完成影片都有更高掌控度。</p> <p>Flow底層使用生成式影片模型Veo，Google表示，從推出Flow以來，用戶回饋最需要的是更高的藝術掌控與音訊支援，此次更新便是將這兩點納入開發優先。</p> <p>Flow三項既有功能現在結合音訊，其一是Ingredients to Video，允許上傳多張參考影像，藉此控制角色、物件與風格，現在能同時生成對應的音訊，其二是Frames to Video，使用者可提供起始與結束影像，系統自動插補中間段落與音訊，適合用於平順轉場，而第三則是Extend，可依據前一支影片最後1秒續接，可將鏡頭延長至約1分鐘或更長，並同時生成對應音訊。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/8Uf6OO-XG00?si=8tX-m8yNs1Czd_EO" title="YouTube video player" width="560px"></iframe></div> <p>針對後期影片編輯，Flow加入了物件插入功能，可在任何場景置入新元素，系統會處理陰影與場景光源，使合成更自然。另外，物件移除功能即將上線，用戶移除物件後Flow會重建背景與周邊，降低視覺破綻。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/yuQ7p3d4LLk?si=2hkwwbbUwOleN4tb" title="YouTube video player" width="560px"></iframe></div> <p>模型本身方面，Veo 3.1在提示遵循度、敘事控制與真實感上有所強化，特別是在把影像轉成影片時的視聽品質。官方用語是能捕捉更貼近真實材質的細節，目標是讓生成內容在動態與聲音上更接近實拍效果。</p> <p>Veo 3.1除可直接在Flow中體驗，也已透過Gemini API提供給開發者，並在Vertex AI面向企業用戶，以及在Gemini App提供一般使用情境。Google同時指出，新功能已在Gemini API與Vertex AI開放對應支援，開發者文件也已標示Veo 3.1支援的參考影像數量與首尾影格生成等功能。</p> </div></div></div>
2025/10/17 08:53作者李建興https://www.ithome.com.tw/news/171733
AI資安新興技術展望
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近AI資安創新技術發展的消息當中，產業與政府領域陸續出現利用AI偵測漏洞、甚至修補漏洞的重大突破。</p> <p>例如，Google旗下的Project Zero與DeepMind合作發展的Naptime，以及後繼的Big Sleep，都是以大型語言模型（LLM）輔助資安漏洞研究的專案，該公司陸續揭露以此發現的資料庫系統SQLite的漏洞CVE-2025-6965，以及瀏覽器Chrome的記憶體越界寫入漏洞CVE-2025-9132，到了今年10月，DeepMind公布新AI代理CodeMender，號稱可自動發現並修補軟體漏洞。</p> <p>微軟也積極發展這方面的應用，先是在今年的3月底，公開利用Microsoft Security Copilot加快漏洞發現流程，涵蓋GRUB2、U-boot、Barebox等開放原始碼的系統開機啟動軟體，到了8月，他們揭露惡意軟體分類AI代理Project Ire的原型。</p> <p>而在<a href="https://www.ithome.com.tw/article/171724" target="_blank"><span style="color:#3366ff;">iThome電腦報週刊10月第三週的封面故事</span></a>當中，我們想對大家介紹一個由國家政府推動的AI資安競賽，呈現AI資安技術發展的新方向。</p> <p>這個特別的活動，是美國國防高等研究計畫署（DARPA）主辦的AI網路挑戰賽（AI Cyber Challenge，AIxCC），透過號召各方高手比賽的形式，推動AI驅動的資安工具發展，自動保護國家的關鍵基礎設施（CI）。今年8月最終決賽成績揭曉，全世界都看到優秀參賽隊伍設計的自動化網路推理系統（Cyber Reasoning System，CRS）成效，了解自動偵測漏洞、生成修補程式、分析漏洞報告的可行性。</p> <p>除了大型科技主導的研究，以及政府推動的技術競賽，在市場調查研究機構的觀察分析，也可以看到AI資安下一波的發展重點。</p> <p>根據Gartner發布的《2025年新興技術成熟度曲線報告》，特別點名機器客戶（Machine Customers）、AI代理（AI Agents）、決策智慧（Decision Intelligence）、可程式化貨幣（Programmable Money），其中AI代理與決策智慧這兩類產品，被認為2至5年將成熟。</p> <p>而在資安方面，Gartner將科技與社會的脆弱（Techno-societal fragility）列入評估的主題，突顯他們對此議題的重視。以2至5年內將趨於成熟的產品，Gartner認為有下列技術：機密運算（Confidential Computing）、密碼學敏捷性（Crypto-Agility），5至10年成熟的產品，則是：同態加密（Homomorphic Encryption）、數位免疫系統(Digital Immune System)、假資訊防護（Disinformation Security）。</p> <p>Gartner表示，地緣政治的緊張與生成式AI的興起帶來新的風險，助長大家對於資料安全、隱私保護，以及數位與實體基礎架構韌性的擔憂，單靠傳統安全措施不足以因應這些不斷演進的威脅。因此，他們建議企業與組織應優先考量與韌性(resilience)有關的創新技術，像是機密運算、數位免疫系統、密碼學敏捷性，在此同時，也須積極強化假資訊防護，確保科技主權，以及採用具有能源再生、能源效率的建築（resource-positive buildings）。</p> <p>上述顯然是從整體資安防護的角度考量AI資安新興技術的未來發展與應用，接下來，我們可以看看稍早發布的其他資安技術成熟度曲線報告。</p> <p>例如，在資安維運（Security Operations）這類解決方案當中，與AI資安防護相關的技術，像是：AI SOC代理、自動資安控管評估、網路安全AI助理，均需要5至10年成熟。</p> <p>在網路風險管理（Cyber-Risk Management），包含上面提到的網路安全AI助理在內，AI信任、風險和安全管理（AI TRiSM），以及網路風險管理的AI應用，也是5至10年成熟。</p> <p>關於應用程式安全（Application Security），2至5年成熟的AI資安技術類型，主要是AI程式碼安全助理，5至10年成熟的類型，包括模型上下文協定（MCP）、AI安全性測試、AI閘道、AI執行時期防禦（AI Runtime Defense）；資料安全的部分，2至5年成熟的AI資安技術類型，包括：AI信任、風險和安全管理，以及2025新興技術報告提到的密碼學敏捷性、機密運算，5至10年成熟的類型，有AI安全態勢管理（AI SPM）、AI執行時期防禦，以及2025新興技術報告提到的同態加密。</p> <p><a href="https://www.ithome.com.tw/article/171724" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1256-feng_mian_gu_shi_-p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=DMMpacyL" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai%E8%B3%87%E5%AE%89">AI資安</a></div></div></div>
2025/10/17 06:00作者李宗翰https://www.ithome.com.tw/voice/171725
【資安日報】10月16日，殭屍網路Aisuru與RondoDox擴大攻擊規模和威力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有相當多起殭屍網路攻擊的事故，值得關注，其中又以傳出近期多次創下史上最大規模記錄DDoS的攻擊的Aisuru最受到矚目，資安新聞網站Krebs On Security指出，這些駭客在9月先後發動11.5 Tbps、22.2 Tbps規模的攻擊行動後，本月上旬進一步展示、測試更大規模的DDoS攻擊。而RondoDox的攻擊行動也相當值得留意，原因是駭客從本來針對兩個廠牌的網路設備下手，現在已將範圍延伸到超過30個廠牌的設備。</p> <p>另一個受到全球關注的消息，是F5公布兩個月前發現國家級駭客長期入侵開發環境的事故，由於駭客取得了部分BIG-IP原始碼及未公開的漏洞資訊，這起事故實際造成的影響，有待進一步的調查及追蹤。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171719"><strong style="font-size: 22px;">DDoS殭屍網路Aisuru鎖定位於美國ISP的物聯網裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tcpshield-aisuru.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/tcpshield-aisuru.png" style="width: 300px; float: right;" /></a></p> <p>去年8月因鎖定大型電玩遊戲《黑神話：悟空》攻擊知名遊戲平臺Steam的殭屍網路Aisuru，後續出現綁架cnPilot路由器的變種Airashi，今年5月又攻擊知名資安新聞網站Krebs On Security而再度浮上檯面，現在傳出本月上旬駭客展現火力，再度創下新的規模。</p> <p>根據Krebs On Security的報導，10月6日Aisuru背後的駭客向目標主機發送29.6 Tbps的垃圾資料封包，攻擊威力較9月下旬的22.2 Tbps（編按：可能指的是Cloudflare緩解的DDoS攻擊事故）再度大幅增加。值得留意的是，這波攻擊注意到的人並不多，原因是大規模流量只有維持數秒，再加上駭客的攻擊目標是專門測量DDoS規模的伺服器，因此該新聞網站推測，駭客並非發動實際攻擊，很可能是為了展示武力，或是進行測試工作。</p> <p>此外，Krebs On Security也提及Aisuru近期發起了一系列的大規模破壞性攻擊，他們的主要目標，是為網路遊戲社群提供服務的網際網路服務供應商（ISP），而且由於規模已經超過大部分企業組織的DDoS緩解能力，往往會造成廣泛的網路服務中斷。</p> <p><a href="https://www.ithome.com.tw/news/171726"><strong style="font-size: 22px;">殭屍網路RondoDox擴大感染規模，鎖定56種資安漏洞，攻擊逾30個廠牌的連網裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RondoDox-Fig03.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RondoDox-Fig03.png" style="width: 300px; float: right;" /></a></p> <p>趨勢科技與旗下的漏洞懸賞專案Zero Day Initiative（ZDI）聯手，調查殭屍網路RondoDox最新一波攻擊行動，駭客廣泛針對曝露在網際網路的基礎設施而來，鎖定超過56個網路設備的資安漏洞，設備類型涵蓋路由器、DVR、NVR、閉路電視、網頁伺服器，其中光是未修補的路由器漏洞，就橫跨超過30個廠牌。</p> <p>RondoDox最早是資安業者Fortinet揭露，當時駭客鎖定TBK DVR與四信科技（Four-Faith）工控路由器，並利用資安漏洞CVE-2024-3721、CVE-2024-12856來綁架連網設備。特別的是，這些駭客還會透過專屬的程式庫，偽裝遊戲平臺或VPN伺服器的流量，企圖迴避偵測。</p> <p>然而，這次趨勢科技發現的攻擊行動不同，該公司在今年6月偵測到駭客利用CVE-2023-1389的跡象，此為TP-Link路由器AX1800的資安漏洞，最早是參與漏洞挖掘競賽Pwn2Own Toronto 2022的資安研究員找到。值得留意的是，他們後續發現駭客採取漏洞霰彈槍（Exploit Shotgun）攻擊手法，同時散布多個漏洞利用程式，試圖擴大感染範圍。</p> <p><a href="https://www.ithome.com.tw/news/171728"><strong style="font-size: 22px;">跨國大型殭屍網路綁架十萬裝置，鎖定美國RDP服務而來，不到一週攻擊規模翻倍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68e96ef59a2e396029b9bf1d_GreyNoise-RDP-Attack-MS-Tech-October-Activity.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68e96ef59a2e396029b9bf1d_GreyNoise-RDP-Attack-MS-Tech-October-Activity.png" style="width: 300px; float: right;" /></a></p> <p>駭客綁架大量連網設備，通常用來發動DDoS攻擊，現在駭客從多個國家發動駭入這些設備的攻擊，引起資安業者的注意。</p> <p>資安業者GreyNoise揭露從10月8日出現的殭屍網路攻擊行動，駭客的目標是位於美國的遠端桌面連線（RDP）服務，他們利用超過10萬個IP位址發動攻擊，這些來源網址來自巴西、阿根廷、伊朗、中國、墨西哥等超過100個國家及地區。攻擊型態主要有兩種，一種是透過遠端桌面的網頁存取服務當中，存在匿名身分驗證計時的弱點來進行；另一種為RDP網頁用戶端的登入列舉攻擊手法。</p> <p>值得留意的是，14日GreyNoise更新文章內容指出，此殭屍網路在不到一個星期的時間，成長至有近30萬個來源IP位址的規模，他們強調攻擊者迅速加入新的殭屍網路節點從事攻擊，光是透過靜態防禦措施無法因應這類威脅。</p> <p><a href="https://www.ithome.com.tw/news/171715"><strong style="font-size: 22px;">F5遭到國家級駭客攻擊，部分BIG-IP弱點資料、原始碼外流</strong></a></p> <p>知名科技公司成為國家級駭客鎖定的目標，過往就有事故傳出，最近有企業公布兩個月前發現遭到入侵的情況，引起全球高度關注。</p> <p>本週三（15日）F5發布公告指出，他們在今年8月發現高度複雜的國家級駭客，長時間且持續存取BIG-IP的產品開發環境與工程知識管理平臺，而且下載了部分BIG-IP原始碼與尚未公開的漏洞資訊。對此，F5呼籲BIG-IP、F5OS、BIG-IP Next for Kubernetes、BIG-IQ，以及APM用戶端的使用者，應儘速根據同日發布的每季例行更新（Quarterly Security Notification）公告，套用相關修補程式因應。</p> <p>根據F5呈報美國證券交易委員會（SEC）的8-K表單，該公司於8月9日發現遭到入侵，並啟動事件回應流程，採取廣泛的行動來遏止駭客的活動。F5強調，他們在採取行動之後，並未再度發現新的未經授權活動。該公司積極與執法部門及政府單位合作，並進一步強化環境安全及保護客戶。不過，對於駭客的身分，以及遭入侵的時間有多長，F5並未說明。</p> <p><a href="https://www.ithome.com.tw/news/171708"><strong style="font-size: 22px;">服飾品牌Mango行銷系統遭駭，客戶資料外洩</strong></a></p> <p>西班牙服飾品牌Mango本周公告行銷系統遭駭，致使部份消費客戶電子郵件等個資外洩。</p> <p>Mango近日偵測到其使用的外部行銷服務之一遭非授權存取客戶個人資訊，本周稍早以電子郵件通知受到影響的消費者。這家服飾業者說，外洩的客戶個資僅限於行銷用途的資訊，包含名字（不包含姓氏）、國籍、郵遞區號、電子郵件信件及電話號碼，強調沒有其他敏感資訊被存取，包括銀行帳號、信用卡、身分證件、密碼或登入密碼等。Mango並說公司系統和技術基礎架構，以及平臺作業、實體店面及線上服務也如常運作，未受此次事件影響。</p> <p>至於何種未授權存取活動，例如是勒索軟體或駭客入侵、外部系統名稱，以及受影響人數，Mango皆未說明。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181849&SPOKE_DATE=20251015&COMPANY_ID=1319"><strong style="font-size: 22px;">汽車零件製造商東陽遭勒索軟體攻擊</strong></a></p> <p>10月15日晚間汽車零件製造商東陽發布資安重訊，指出他們得知資訊系統遭到勒索軟體攻擊，對此該公司立即檢視內部相關資安記錄，並強化相關防護機制，而對於這起事故帶來的影響，東陽表示所有資訊系統正常運作，對公司營運沒有影響。</p> <p>這則資安重訊，很可能與勒索軟體Qilin近期公布新的受害企業組織有關。根據威脅情報平臺<a href="https://x.com/FalconFeedsio/status/1978163059207098867">FalconFeeds.io</a>、<a href="https://x.com/Ransom_DB/status/1978135473097760873">Ransom-DB</a>指出，近日這些駭客在暗網的資料外洩網站列入新的受害組織，其中包含Tong Yang Industry Co Ltd（Tong Yang Group）。對此，我們向東陽進行確認，該公司當天下午回覆，並無發生勒索軟體攻擊事故。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/elasticsearch-leak-6-billion-record-scraping-breaches/">組態配置不當的Elasticsearch存放1.12 TB資料，洩露逾60億筆記錄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://zimperium.com/blog/clayrat-a-new-android-spyware-targeting-russia">安卓惡意軟體ClayRat鎖定俄羅斯而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/new-rust-based-malware-chaosbot-hijacks.html">Rust惡意軟體ChaosBot運用Discord頻道控制受害電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-defender-mistakenly-flags-sql-server-as-end-of-life/">微軟端點防護平臺誤將SQL Server 2017、2019標示為不再受到支援</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-rce-flaws-cve-2025-48983-cve-2025-48984-cvss-9-9-found-in-veeam-backup-replication/">Veeam備份系統存在近滿分漏洞，攻擊者可用於發動RCE攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171700"><strong>【10月15日】微軟、SAP發布10月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171680"><strong>【10月14日】Windows 10進入終止支援階段</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171636"><strong>【10月13日】中國駭客利用監控工具Nezha攻擊網頁伺服器，臺灣受害最嚴重</strong></a></p> </div></div></div>
2025/10/16 18:25作者周峻佑https://www.ithome.com.tw/news/171730
環境部成立環境資訊科技司，要以AI提升行政作業效率及加強環境治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>環境部今天（10/16）宣布成立環境資訊科技司，由原監測資訊司長張順欽擔任司長，將整合部內的IT資源加速推動AI應用，以提升環境部的行政辦公效率，並利用AI加強環境治理工作。</p> <p>新成立的環境資訊科技司，主要由原本的監測資訊司而來，將監測資訊司既有的環境監測單位轉移到其他單位，保留原本的資訊單位，同時整合其他內司署院的IT單位，組成環境資訊科技司。換言之，環境資訊科技司的成立，推動環境部的IT資源整合，其重要工作，除了IT及資安，另一項重責大任便是推動AI應用，因此環境部內也以AI司稱呼環境資訊科技司。</p> <p>環境部長彭啟明表示，早在環境部前身環保署於民國76年成立之時，即成立監資處，將監測與資訊合在一起，該單位組織行之有年，成立已有38年之久，今天成立環境資訊科技司的原因，除了監測及資訊領域不同，故將監測業務移到大氣司、水保司，另一原因是AI發展過程中，資料治理相當重要，因此成立環境資訊科技司，以專注於資料治理及AI應用發展。</p> <p>彭啟明指出，環境部在人事行政總處及數發部的支持下，花費數月的時間調整規程，才終於在今天成立環境資訊科技司，由專責單位推動AI應用迫在眉睫，當初他就任部長時，曾詢問環境部員工是否使用ChatGPT，當時員工很少使用，現在部內部已普及使用AI工具，以召開環境評估會議為例，環境部曾因為快速製作完成結論，遭環保團體質疑預先製作，事實上，環境部是以AI快速匯整、濃縮為結論，「用AI來作真的非常快」，他希望未來環境部會運用AI提升環評作業效率，以協助不同團體的場域溝通。</p> <p>環境資訊科技司的成立，推展資料治理、AI，提升環境部行政作業效率及加強環境治理，彭啟明形容該司可以簡稱為AI司，彰顯環境資訊科技司對環境部的重要性。</p> <p>目前環境部採用AI加強環境治理工作已有一些應用，像是過去為抓違法濫墾、濫伐，傳統上是以GPS追蹤砂石車等大型載運車輛，但是相關業者為迴避，透過反偵蒐辨別稽查人員車輛的車號，現在環境部輔助以AI協助辨識車牌，對於取締濫墾、濫伐已有不錯的成效。</p> <p>彭啟明認為，AI及資料科技的運用相當重要，他以這次參與中央在花蓮救災的經驗，這次花蓮災情吸引50萬人次志工救災，但中央政府協調動員志工只有2、3千人，更多志工自己尋找幫助的地方，顯示國內在救災防災需要資訊及AI的協助，他也向季連成提出建言應強化資訊科技在防救災的應用。</p> <p>此次花蓮災情，環境部也透過AI協助救災，由於馬太鞍堰塞湖潰壩，大量湖水挾著沙石使得馬太鞍溪下游泛濫，導致河堤及橋樑被沖毀，以災情較為嚴重的光復鄉為例，平時光復鄉一年產生的垃圾量約為6噸，環境部即利用無人機空拍及AI評估淤泥及垃圾量約50到60噸，遠高於光復鄉一年垃圾量，作為後續評估合適處理方案參考。</p> <p><span style="color:#B22222;"><strong>環境部如何導入AI，提升行政效率及智慧化便民服務</strong></span></p> <p>在今天環境資訊科技司成立後，司長張順欽也說明今後該單位的目標是建構數位治理的基礎，首先是資料治理部分，包括整合空、水、廢、毒、環評等系統數據，加上歷年所累積的1.5萬件環保專案報告、GIS圖層，持續加強國家環境資料庫，以這些資料為基礎發展AI服務及輔助決策。</p> <p>彭啟明也補充說明，未來環境部也會運用AI提升內外溝通，例如讓環境部、外部業者、環保團體利用AI來檢視相關環評書件資料的格式、內容等。</p> <p>此外，環境資訊科技司也計畫在對民服務上打造AI客服，整合各司署防院的客服窗口，建立服務民眾單一客服窗口，利用生成式AI提供24小時的AI客服服務，與人工客服協作。此外，也會打造公民科學平臺。</p> <p>對內，環境部計畫擴大AI運用，除了目前已使用AI的公文分文，未來還有協助新手公務員的智慧公文，智慧請購等等。</p> <p>張順欽表示，資訊科技司將會與其他司署院合作，盤點重覆性高的繁雜工作，每年推動至少3項AI驗證示範計畫。另外，輔導模型發展，並做好風險控管，同時將成果驗證輔導業務單位運作。總結來說，環境部導入AI會著重於減少重工與重複流程、提升跨單位資料共享與決策效率，建立AI治理標準與風險評估，培養AI導入能量與製度化流程。</p> <p>環境部的目標是建立以人為本的AI治理，其中包括AI的倫理規範，在制度面形成倫理準則、審查、風險評估、影響分析；在技術面導入可解釋AI，避免偏誤，強化資料治理及模型的可追溯性。環境部也會透過AI治理中心定期審議制度面及技術面的落實。</p> <p> </p> </div></div></div>
2025/10/16 18:13作者蘇文彬https://www.ithome.com.tw/news/171729
跨國大型殭屍網路綁架十萬裝置，鎖定美國RDP服務而來，不到一週攻擊規模翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客綁架大量連網設備，通常用來發動DDoS攻擊，現在駭客從多個國家發動駭入這些設備的攻擊，引起資安業者的注意。</p> <p>資安業者GreyNoise揭露<a href="https://www.greynoise.io/blog/botnet-launches-coordinated-rdp-attack-wave">從10月8日出現的殭屍網路攻擊行動</a>，駭客的目標是位於美國的遠端桌面連線（RDP）服務，他們利用超過10萬個IP位址發動攻擊，這些來源網址來自巴西、阿根廷、伊朗、中國、墨西哥等超過100個國家及地區。攻擊型態主要有兩種，一種是透過遠端桌面的網頁存取服務當中，存在匿名身分驗證計時的弱點來進行；另一種為RDP網頁用戶端的登入列舉攻擊手法。</p> <p>之所以發現這波攻擊行動，GreyNoise表示是因為他們偵測到巴西出現不尋常的流量爆增現象，從而觀察到殭屍網路的攻擊活動並著手調查。結果發現，所有攻擊流量雖然來自不同國家，卻共用相似的用戶端指紋，因此GreyNoise認為，這是有人集中控制並進行協調的攻擊活動。</p> <p>值得留意的是，14日GreyNoise更新文章內容指出，此殭屍網路在不到一個星期的時間，成長至有近30萬個來源IP位址的規模，他們強調攻擊者迅速加入新的殭屍網路節點從事攻擊，光是透過靜態防禦措施無法因應這類威脅。</p> </div></div></div>
2025/10/16 17:48作者周峻佑https://www.ithome.com.tw/news/171728
Waymo明年將進軍英國市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下的自駕車公司Waymo周三（10/15）宣布，<a href="https://waymo.com/blog/2025/10/hello-london-your-waymo-ride-is-arriving" target="_blank">將在2026年踏入英國市場</a>，與Moove合作於倫敦提供無人駕駛計程車服務。這也是Waymo首度將無人駕駛計程車服務擴張至美國以外的市場。</p> <p>目前Waymo於美國提供1,500輛執勤的無人駕駛計程車，主要與Jaguar Land Rover合作，採用全電動的I-PACE SUV車型，這些自駕計程車分布在舊金山、洛杉磯、鳳凰城及奧斯汀等城市，使用者可透過Waymo One程式叫車，累計里程數已超過1.6億公里。</p> <p>至於Moove則是一家源自於非洲的行動金融公司，初創時主要服務是提供司機的車輛融資服務，因在不同市場經營大批車輛，熟悉充電、保養與調度等流程，也進駐了倫敦。事實上，Waymo與Moove在2024年底就展開合作，由Moove接手管理Waymo位於鳳凰城的車隊，亦計畫協助Waymo在明年將車隊擴張至邁阿密。</p> <p>此次的合作將由Waymo負責技術及乘客服務，Moove負責地面經營及車隊管理，在英國所使用的車種同樣是Jaguar Land Rover的I-PACE SUV。</p> <p>Waymo的擴張取得了英國政府的支持。英國交通大臣Heidi Alexander表示，很高興Waymo將在明年根據他們所提出的試點計畫，把其服務引進倫敦。推動自駕車產業的發展，不僅可增加交通可及性，還能替英國帶來就業、投資與新機會。</p> <p>另一方面，該市場的新進對手特斯拉（Tesla）在今年6月開始於奧斯汀與加州灣區展開測試，目前仍有安全監控人員坐在駕駛座上，且估計車隊數量尚未破百，但創辦人暨執行長馬斯克（Elon Musk）曾說希望數月內將車隊數量擴大至千輛級別。</p> </div></div></div>
2025/10/16 16:27作者陳曉莉https://www.ithome.com.tw/news/171722
殭屍網路RondoDox擴大感染規模，鎖定56種資安漏洞，攻擊逾30個廠牌的連網裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趨勢科技與旗下的漏洞懸賞專案Zero Day Initiative（ZDI）聯手，<a href="https://www.trendmicro.com/en_us/research/25/j/rondodox.html">調查殭屍網路RondoDox最新一波攻擊行動</a>，駭客廣泛針對曝露在網際網路的基礎設施而來，鎖定超過56個網路設備的資安漏洞，設備類型涵蓋路由器、DVR、NVR、閉路電視、網頁伺服器，其中光是未修補的路由器漏洞，就橫跨超過30個廠牌。</p> <p>RondoDox最早是<a href="https://www.ithome.com.tw/news/170028">資安業者Fortinet揭露</a>，當時駭客鎖定TBK DVR與四信科技（Four-Faith）工控路由器，並利用資安漏洞CVE-2024-3721、CVE-2024-12856來綁架連網設備。特別的是，這些駭客還會透過專屬的程式庫，偽裝遊戲平臺或VPN伺服器的流量，企圖迴避偵測。</p> <p>然而，這次趨勢科技發現的攻擊行動不同，該公司在今年6月偵測到駭客利用CVE-2023-1389的跡象，此為TP-Link路由器AX1800的資安漏洞，最早是參與漏洞挖掘競賽Pwn2Own Toronto 2022的資安研究員找到。值得留意的是，他們後續發現駭客採取漏洞霰彈槍（Exploit Shotgun）攻擊手法，同時散布多個漏洞利用程式，試圖擴大感染範圍。</p> <p>不過，CVE-2023-1389並非唯一駭客透過漏洞挖掘競賽得知並利用的漏洞。趨勢科技提及，駭客鎖定的漏洞可分為兩種，一種是已經公開的資安漏洞，另一種是Pwn2Own及其他資安競賽當中，參賽者展示的零時差漏漏洞。</p> <p>該公司總共找到有56被利用的漏洞，其中有38個取得CVE編號、18個未登記編號。這些漏洞的類型，絕大部分是命令注入漏洞，但也有路徑穿越、記憶體緩衝區溢位、身分驗證繞過，以及記憶體中斷的弱點。</p> <p>附帶一提的是，RondoDox也開始與其他殭屍網路病毒一同散布，駭客透過惡意程式載入工具租用服務（Loader-as-a-Service）的基礎設施，將RondoDox、Mirai、Morte的有效酬載打包在一起散播，但為何駭客要這麼做，趨勢科技並未進一步說明。</p> </div></div></div>
2025/10/16 16:58作者周峻佑https://www.ithome.com.tw/news/171726
微軟限縮Edge的相容模式，透露駭客已濫用IE零時差漏洞控制受害裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年6月微軟<a href="https://www.ithome.com.tw/news/151463">正式終止支援Internet Explorer（IE）</a>，並呼籲用戶改用Edge，但提供IE相容模式<a href="https://www.ithome.com.tw/news/144519">至2029年</a>。然而駭客無所不用其極，企圖濫用相容模式的相關元件從事攻擊，<a href="https://microsoftedge.github.io/edgevr/posts/Changes-to-Internet-Explorer-Mode-in-Microsoft-Edge/">最近微軟再度調整IE模式的運作機制</a>，原因就是駭客再度針對這款已終止支援的瀏覽器下手，觸發零時差漏洞來接管裝置。</p> <p>最近Edge資安團隊指出，他們在今年8月掌握有人藉由社交工程發動攻擊，意圖觸發IE的零時差漏洞，因此他們決定限制IE模式的存取，來防範類似情況再度發生。</p> <p>針對相關事故發生的過程，攻擊者先說服受害者瀏覽詐騙網站，然後透過網站上的彈出式視窗，要求他們使用IE模式重新載入網頁，從而觸發IE的JavaScript引擎Chakra的零時差漏洞，使得攻擊者能夠遠端執行任意程式碼，接著，他們又利用第二個漏洞提升權限，完全控制受害電腦。該團隊表示，這種攻擊管道能讓原本Edge具備、源自Chromium的安全功能無法發揮作用，一旦成功利用，攻擊者就有機會部署惡意軟體、在企業網路環境橫向移動，或是洩露敏感資料。不過，對於攻擊者利用的漏洞，Edge資安團隊並未透露CVE編號，也沒有說明是否已經修補。</p> <p>究竟新的限制是什麼？首先，Edge資安團隊移除隱含最高風險的攻擊管道，包含IE模式特定的工具列按鈕、右鍵選單，以及功能表項目。他們強調，企業用戶透過企業原則執行IE模式的邏輯並未因此變動，而對於一般使用者，必須透過Edge的設定指定採用IE模式開啟的網站。</p> <p>濫用IE零時差漏洞的事故，最近兩到三年仍有資安事故發生。例如，去年8月微軟修補的IE零時差漏洞CVE-2024-38178，<a href="https://www.ithome.com.tw/news/165601">通報此事的資安業者AhnLab透露</a>，被稱為ScarCruft、RedEyes、APT37的北韓駭客將其用於攻擊行動，鎖定脫北者及參與北韓事務的人士下手。</p> </div></div></div>
2025/10/16 12:51作者周峻佑https://www.ithome.com.tw/news/171717
DDoS殭屍網路Aisuru鎖定位於美國ISP的物聯網裝置而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月因鎖定大型電玩遊戲《黑神話：悟空》<a href="https://www.ithome.com.tw/news/164748">攻擊知名遊戲平臺Steam</a>的殭屍網路Aisuru，後續出現<a href="https://www.ithome.com.tw/news/167138">綁架cnPilot路由器的變種Airashi</a>，今年5月又<a href="https://www.ithome.com.tw/news/169091">攻擊知名資安新聞網站Krebs On Security</a>而再度浮上檯面，現在傳出本月上旬駭客展現火力，再度創下新的規模。</p> <p>根據<a href="https://krebsonsecurity.com/2025/10/ddos-botnet-aisuru-blankets-us-isps-in-record-ddos/">Krebs On Security的報導</a>，10月6日Aisuru背後的駭客向目標主機發送29.6 Tbps的垃圾資料封包，攻擊威力較9月下旬的22.2 Tbps（編按：可能指的是<a href="https://www.ithome.com.tw/news/171359">Cloudflare緩解的DDoS攻擊事故</a>）再度大幅增加。值得留意的是，這波攻擊注意到的人並不多，原因是大規模流量只有維持數秒，再加上駭客的攻擊目標是專門測量DDoS規模的伺服器，因此該新聞網站推測，駭客並非發動實際攻擊，很可能是為了展示武力，或是進行測試工作。</p> <p>此外，Krebs On Security也提及Aisuru近期發起了一系列的大規模破壞性攻擊，他們的主要目標，是為網路遊戲社群提供服務的網際網路服務供應商（ISP），而且由於規模已經超過大部分企業組織的DDoS緩解能力，往往會造成廣泛的網路服務中斷。</p> <p>其中一起事故是針對澳洲布里斯班的ISP業者Global Secure Layer（GSL）而來，該公司替全球逾5萬臺Minecraft主機提供名為TCPShield的低成本DDoS防護服務。GSL首席資安工程師Steven Ferguson透露，Aisuru於10月8日針對TCPShield發動洪水攻擊，規模達到15 Tbps。事發後上游雲端運算業者OVH告訴他們，不再歡迎TCPShield成為客戶。</p> <p>Ferguson追蹤Aisuru大約有3個月，最近發現攻擊流量的主要來源，已轉換為美國的ISP。以上述10月8日的攻擊事故為例，20個攻擊來源有11個來自美國的ISP。其中，攻擊流量的最大來源是AT&T的用戶，其次是Charter Communications、Comcast、T-Mobile，以及Verizon的網路環境當中，受到感染的物聯網設備。由於這些設備產生的攻擊流量極高，已經嚴重影響ISP服務一般用戶的品質。</p> <p>Netscout首席工程師Roland Dobbins也同意Ferguson的看法，大部分ISP雖然都具備有效的緩解措施，能處理大規模傳入的DDoS攻擊流量，但對於巨量用戶突然占用大部分甚至全部頻寬，造成服務降級的情況，ISP能夠因應的措施並不多。</p> <p>Krebs On Security提及Aisuru的規模迅速擴大，主要有兩個原因，其中一個是<a href="https://blog.xlab.qianxin.com/super-large-scale-botnet-aisuru/">中國資安業者奇安信發現</a>，駭客於今年4月入侵路由器的韌體更新伺服器，藉此散布惡意指令碼，從而擴大殭屍網路的規模；另一個原因則是美國司法部圍剿殭屍網路Rapper Bot，經營Aisuru的駭客趁機接收曾被Rapper Bot控制的物聯網設備。</p> </div></div></div>
2025/10/16 15:12作者周峻佑https://www.ithome.com.tw/news/171719
Anthropic升級小模型Claude Haiku至4.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創Anthropic周三（10/16）<a href="https://www.anthropic.com/news/claude-haiku-4-5" target="_blank">釋出Claude Haiku 4.5</a>，這是最小的Claude模型，相較於上一代的3.5，4.5提升了效能與速度，亦宣稱比前一代更安全，每百萬個Token的輸入為1美元，輸出為5美元，與Haiku 3.5剛發表時的價格一樣。</p> <p>相較於最高階的、適用於複雜推理的Opus系列模型，或者是中階的、著眼於平衡速度及表現的Sonnet系列模型，Haiku被視為是最具實用導向的Claude模型，以讓AI能夠快速、便宜且安全地融入各種應用系統。</p> <p>Anthropic表示，Haiku 4.5在撰寫程式碼上的性能，已與5個月前發表的Claude Sonnet 4相似，但成本只有Claude Sonnet 4的1/3，速度還是它的兩倍。事實上，根據攸關軟體工程的SWE-bench Verified基準測試，Sonnet 4.5的得分為77.2%，Haiku 4.5為73.3%，已超越Sonnet 4的72.7%。至於GPT-5 Codex、GPT-5與Gemini 2.5 Pro的表現，分別是74.5%、72.8%與67.2%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1015-Claude%20Haiku%204_5-Anthropic-600.jpg" style="width: 600px;" /></p> <p>此外，Haiku 4.5在使用電腦等特定任務的表現也都優於Sonnet 4。這使得Haiku 4.5適用於諸如聊天助理、客戶服務代理或結對程式設計等即時的低延遲任務，且不管是多代理人專案或是快速原型設計的程式開發都變得更即時與靈敏。</p> <p>Anthropic還提出了使用不同等級模型的方法，像是先利用Sonnet 4.5把一個複雜問題分解成多步驟的計畫，再交由一組Haiku 4.5分工並同步完成不同的子任務。</p> <p>Anthropic所推出的第一個Haiku版本為2024年3月推出Haiku 3，當時的價格是每百萬Token的輸入/輸出為0.25/1.25美元，但到了2024年11月問世的Haiku 3.5，價格便分別漲至1及5美元，因而<a href="https://www.ithome.com.tw/news/165893" target="_blank">引起用戶不滿</a>，同年12月Anthropic即將Haiku 3.5價格調降至0.8/4美元。而新的Claude Haiku 4.5則維持每百萬Token的輸入為1美元，輸出是5美元的定價策略。</p> <p>至於高階的Claude Opus 4.1每百萬Token的輸入/輸出價格為15/75美元，中階的Sonnet 4.5價格則是3/15美元。</p> <p>另一方面，GitHub Copilot也開始公開預覽Claude Haiku 4.5，預計逐步開放給Copilot Pro、Pro+、Business、Enterprise等用戶。</p> </div></div></div>
2025/10/16 16:12作者陳曉莉https://www.ithome.com.tw/news/171721
F5遭到國家級駭客攻擊，部分BIG-IP弱點資料、原始碼外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名科技公司成為國家級駭客鎖定的目標，過往就有事故傳出，最近有企業公布兩個月前察覺遭到入侵的情況，引起全球高度關注。</p> <p>本週三（15日）F5<a href="https://my.f5.com/manage/s/article/K000154696">發布公告指出</a>，他們在今年8月察覺高度複雜的國家級駭客，長時間且持續存取BIG-IP的產品開發環境與工程知識管理平臺，而且下載了部分BIG-IP原始碼與尚未公開的漏洞資訊。對此，F5呼籲BIG-IP、F5OS、BIG-IP Next for Kubernetes、BIG-IQ，以及APM用戶端的使用者，應儘速根據同日發布的<a href="https://my.f5.com/manage/s/article/K000156572">每季例行更新（Quarterly Security Notification）公告</a>，套用相關修補程式因應。</p> <p>根據F5<a href="https://www.sec.gov/Archives/edgar/data/1048695/000104869525000149/ffiv-20251015.htm">呈報美國證券交易委員會（SEC）的8-K表單</a>，該公司於8月9日發現遭到入侵，並啟動事件回應流程，採取廣泛的行動來遏止駭客的活動。F5強調，他們在採取行動之後，並未再度發現新的未經授權活動。該公司積極與執法部門及政府單位合作，並進一步強化環境安全及保護客戶。不過，對於駭客的身分，以及遭入侵的時間有多長，F5並未說明。</p> <p>雖然駭客竊得的資料當中，包含部分BIG-IP原始碼及正在處理而未公開的漏洞資訊，但F5強調，沒有重大或遠端程式碼執行漏洞外流，也沒有旗下產品漏洞被積極利用的跡象。</p> <p>再者，該公司的軟體供應鏈，包括：原始碼、軟體組建（Build），以及發布的管道，並未遭到竄改；Nginx的原始碼及產品開發環境、F5分散式雲端服務，以及Silverline系統，也沒有遭到駭客存取或是竄改。</p> <p>而對於該公司開發環境以外的資訊系統，像是CRM、財務系統、客戶支援管理平臺，以及iHealth系統，並未出現遭到入侵或是外洩資料的跡象。不過，F5的知識管理平臺部分檔案外流，其中內含部分客戶的組態設定及實作資訊，對此，該公司正在確認受影響的範圍，然後將直接與受影響的客戶進行溝通。</p> <p>在F5啟動事件回應工作後，他們也採取一系列的資安強化措施，包括輪替憑證、加強系統存取控制、部署改良的資產及修補管理自動化機制、強化網路安全架構及產品開發環境。該公司也委託資安業者NCC Group和IOActive對產品稽查程式碼及滲透測試，並與CrowdStrike合作，將威脅獵捕機制與EDR感測器的防護能力延伸至BIG-IP。</p> </div></div></div>
2025/10/16 11:44作者周峻佑https://www.ithome.com.tw/news/171715
蘋果M5晶片登場，AI運算效能是前一代4倍，3大裝置同步升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周三（10/15）發表<a href="https://www.apple.com/newsroom/2025/10/apple-unleashes-m5-the-next-big-leap-in-ai-performance-for-apple-silicon/" target="_blank">新一代的M5晶片</a>，這是款以AI為核心所設計的晶片，每個GPU核心都內建了神經加速器（Neural Accelerator），AI效能是M4的4倍，首波將進駐<a href="https://www.apple.com/newsroom/2025/10/apple-unveils-new-14-inch-macbook-pro-powered-by-the-m5-chip/" target="_blank">14吋MacBook Pro</a>、<a href="https://www.apple.com/newsroom/2025/10/apple-introduces-the-powerful-new-ipad-pro-with-the-m5-chip/" target="_blank">iPad Pro</a>與<a href="https://www.apple.com/newsroom/2025/10/apple-vision-pro-upgraded-with-the-m5-chip-and-dual-knit-band/" target="_blank">Apple Vision Pro</a>等蘋果產品。</p> <p>M5採用第三代3奈米製程，整合了10核心CPU、每個核心都內建神經加速器的10核心GPU，以及16核心的神經引擎，採用153GB/s的記憶體頻寬，可支援最多32GB記憶體。</p> <p>上一代的M4則是採用第二代的3奈米製程，同樣擁有10核心CPU、10核心GPU與16核心神經引擎，記憶體頻寬為120GB/s，亦支援最多32GB記憶體。相較之下，M5的CPU多執行緒效能提升了15%，GPU的AI運算效能是M4的4倍，繪圖效能增加了45%，新一代的神經引擎更快也更省電，記憶體頻寬多出了30%。</p> <p>負責硬體技術的蘋果資深副總裁Johny Srouji表示，M5迎來了蘋果晶片於AI效能上的重大飛躍，隨著在GPU中導入神經加速器，讓AI運算效能大幅提升，再加上更強的圖像處理，全球最快的CPU核心，更快的神經引擎，以及更高的統一記憶體頻寬，M5在整體表現上都有明顯進化，也替MacBook Pro、iPad Pro與Apple Vision Pro帶來更多性能與新功能。</p> <p>首波搭載M5處理器的蘋果產品之一為14吋的MacBook Pro，它預載最新的macOS Tahoe作業系統，電池續航力多達24小時，且可支援30分鐘50%的快速充電。根據蘋果的測試，在M5版MacBook Pro執行AI影片處理軟體Topaz Video的效能是M4版的1.8倍，在Blender中進行3D渲染的速度是M4版的1.7倍，遊戲幀率為M4版1.6倍，Xcode編譯速度亦可達M4版的1.2倍。</p> <p>M5版MacBook Pro只有黑色跟銀色兩種選擇，最低階版本採用16GB記憶體及512GB儲存容量，有3個Thunderbolt 4埠，具備HDMI、SDXC及耳機插孔，採用MagSafe 3磁吸充電介面，售價為1,599美元（臺灣為52,900元新臺幣），預計於10月22日上市。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-new%2014-inch%20MacBook%20Pro-M5-apple.jpg" style="width: 600px;" /></p> <p>11吋與13吋的iPad Pro也將內建M5晶片，它們整合了蘋果所開發的N1無線晶片，搭載iPadOS 26，相容於Apple Pencil Pro／Apple Pencil (USB-C)與新款Magic Keyboard，都有Wi-Fi及行動版，其中，配備256GB容量的11吋Wi-Fi版iPad Pro售價為999美元，13吋為1,299美元，即日起開放預購，預計於10月22日上市。</p> <p>N1無線晶片集結Wi-Fi 7、Bluetooth 6與智慧家庭協定Thread，標榜可提升AirDrop及Personal Hotspot等功能的效能與可靠度，隨著蘋果在今年9月發表iPhone 17而曝光。</p> <p>M5也被應用在蘋果高貴的頭戴裝置Apple Vision Pro上，這是<a href="https://www.ithome.com.tw/news/160942" target="_blank">2024年1月上市的Apple Vision Pro</a>首度的硬體更新，當時採用的是M2晶片。M5版Apple Vision Pro除了改善畫面流暢度之外，也稍微提升了電池續航力，一般使用的續航力從2小時增加到2.5小時，影片播放則從2.5小時延長至3小時。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-M5-Vision%20Pro-apple.png" style="width: 600px;" /></p> <p>新的Apple Vision Pro搭載M5與visionOS 26，外型上幾無變動，但配備更舒適、更具延展性也更透氣的Dual Knit Band頭帶，入門款售價一樣為3,499美元，同樣將於10月22日上市。Dual Knit Band相容於第一代的Apple Vision Pro，亦可單獨購買，售價為99美元。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/10/16 14:00作者陳曉莉https://www.ithome.com.tw/news/171718
中國駭客Flax Typhoon將地理資訊平臺元件ArcGIS充當後門，埋伏受害組織超過一年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往鎖定地理位置資訊伺服器（GIS）下手的情況，不時有事故傳出，但多半針對OSGeo <a href="https://www.ithome.com.tw/tags/geoserver">GeoServer</a>而來，如今也有其他同類型的伺服器出現被濫用的情況，而且，駭客運用其中的功能加以改造，用來當作後門。</p> <p>資安業者ReliaQuest揭露<a href="https://reliaquest.com/blog/threat-spotlight-inside-flax-typhoons-arcgis-compromise">APT駭客組織Flax Typhoon的攻擊行動</a>，這些有中國政府在背後撐腰的駭客，將受信任的軟體改造為後門程式，持續於受害的地理位置資訊伺服器ArcGIS活動超過一年。他們將合法的Java伺服器物件延伸功能（Server Object Extension，SOE）改造成Web Shell，加入寫死金鑰來控管存取權限，並將相關資料嵌入備份，以便迴避偵測。ReliaQuest指出，這些駭客利用了一般企業組織對於合法軟體採取預設信任的資安盲點，竄改ArcGIS的SOE而成為作案工具，使得他們活動看起來像一般的系統作業，而能躲過許多資安檢測工具的偵測。</p> <p>這樣的手法將讓資安團隊的工作變得更加困難，因為資安人員試圖找出惡意軟體，但駭客的作案工具看似信任的處理程序。再者，Flax Typhoon利用特定金鑰進行存取控制，不僅能避免其他網路罪犯搶奪地盤，也能防範受害組織的管理員撒銷駭客的權限。此外，這些駭客還將受感染的元件存放於系統備份，使得受害組織的備份機制，變成另類的重複感染途徑。</p> <p>基本上，Flax Typhoon的活動從竄改ArcGIS的SOE元件來充當Web Shell開始，ReliaQuest與ArcGIS聯手調查，確認駭客入侵了入口網站的管理員帳號，並以此植入有問題的SOE元件。駭客對ArcGIS入口網站的伺服器下達經Base64處理的命令，發送GET Web請求來啟動此Web Shell，並反覆用來執行經編碼處理的PowerShell命令，所有的工作都透過名為JavaSimpleRESTSOE的SOE套件來進行路由，使得駭客的活動能融入正常的伺服器流量進行。</p> <p>駭客在確認Web Shell能正常運作後，他們就會進行偵察工作，首先利用whoami等命令來確認帳號的權限，在得知成功入侵的服務帳號具備本機管理員權限後，他們就建立暫存區域，然後透過SSH、HTTPS、SMB、RPC等通訊協定進行掃描，進而找到具備重要價值的主機，以便進行後續活動。</p> <p>為了建立長期的存取管道，Flax Typhoon利用SoftEther VPN執行檔bridge.exe架設C2，並設置惡意服務，只要受害電腦重開機就會執行。最終，從兩臺IT人員的工作站電腦挖出帳密資料。</p> </div></div></div>
2025/10/15 21:07作者周峻佑https://www.ithome.com.tw/news/171705
Nvidia個人AI超級電腦DGX Spark 馬斯克也拿到
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放預約7個月後，<a href="https://nvidianews.nvidia.com/news/nvidia-dgx-spark-arrives-for-worlds-ai-developers" target="_blank">Nvidia宣布</a>代號Project Digits的個人版AI超級電腦DGX Spark於本周開始出貨，而特斯拉創辦人馬斯克（Elon Musk）也是首批拿到貨的客戶之一。</p> <p>Nvidia是在今年一月首次<a href="https://www.ithome.com.tw/news/166849" target="_blank">公布Project Digits</a>，三月Nvidia GTC大會<a href="https://www.ithome.com.tw/news/167936" target="_blank">公布DGX AI工作站系列</a>，包括Project Digits正式名稱DGX Spark，以及較大的DGX Station，並接受預約。<a href="https://www.ithome.com.tw/pr/169022" target="_blank">5月Nvidia宣布</a>在品牌廠商包括宏碁、技嘉和微星等合作下銷售DGX系列。</p> <p>DGX Spark售價3,999美元，現已全球出貨，可在Nvidia.com網站下單，合作硬體廠商包括宏碁、華碩、Dell、技嘉、微星、HP、聯想，並已舖貨到全球通路商。。</p> <p>DGX中以DGX Spark一宣布就震撼業界。DGX Spark號稱是全球最小AI超級電腦，在一個桌上工作站大小的機器中包含128GB整合記憶體及1 petaflop AI算力，可讓開發人員執行最高2000億參數的AI模型推論，若是微調模型更可支援最高700億參數的模型。此外，DGX Spark也讓開發人員在本地建置AI代理人，並執行進階軟體堆疊。</p> <p>為了慶祝DGX Spark全球出貨，Nvidia執行長黃仁勳也親自送了一部給科技大亨馬斯克（Elon Musk）。這是為了呼應2016年馬斯克還在OpenAI時黃仁勳送了一臺DGX-1給他，Nvidia說，OpenAI後來造就的ChatGPT開啟了AI革命。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-nvidia%20jensen%20elon%20musk-DGX%20Spark.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>具體規格方面，DGX Spark使用Grace-Blackwell超級晶片加速，透過NVLink-C2C緊密整合CPU和GPU，共享128GB記憶體，資料傳輸速度比第5代PCIe快5倍，再加上ConnectX-7 200Gb/s網路介面，整體AI運算效能可達1 petaflop。</p> <p>DGX Spark還內建AI開發或推論的軟體，包括模型、CUDA函式庫與Nvidia NIM微服務。Nvidia說，DGX Spark使用場景可以是客製化Black Forest Labs的Flux.1來生成圖片，利用Nvidia的Cosmos Reason視覺語言模型建立視覺搜尋和重點摘要代理人，或是為DGX Spark優化的Qwen 3開發聊天機器人。</p> <p>其他早期拿到的合作夥伴包括知名開發商如Cadence、Google、Hugging Face、Meta、微軟、Docker、Ollama等公司，這些業者已在DGX Spark上測試、驗證和優化其工具、軟體和模型。</p> </div></div></div>
2025/10/16 09:31作者林妍溱https://www.ithome.com.tw/news/171709
美國起訴殺豬騙局詐騙集團，打算沒收價值150億美元的比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/chairman-prince-group-indicted-operating-cambodian-forced-labor-scam-compounds-engaged" target="_blank">美國司法部（Department of Justice，DoJ）周二（10/14）控告</a>39歲的詐騙集團首腦Chen Zhi，指控此一英國及柬埔寨公民透過所創立的太子集團（Prince Group）進行電匯詐欺及洗錢，同時也提出民事訴訟，要求沒收存放在Zhi非託管錢包中的127,271個比特幣，它的市值約為150億美元。</p> <p>Chen Zhi為中國移民，所創辦的太子集團表面上經營地產、金融、娛樂、飯店與賭場等產業，在全球逾30個國家設立超過100個控股與空殼公司，但其實是個以柬埔寨為基地的跨國犯罪組織，成立了至少10個詐騙園區，逼迫數百名勞工透過手機、電腦及社交媒體帳號，假扮投資顧問、戀愛對象或客服人員來狩獵受害者，誘使受害者把資金或加密貨幣轉入假投資平臺。這類的手法即被稱為殺豬騙局（Pig Butchering Scams）。</p> <p>除了總部柬埔寨之外，太子集團還在寮國、帛琉、新加坡、模里西斯、臺灣、英國及美國設立據點，以負責不同的業務；受害者遍及全球三大洲，並以美國、英國及亞太地區受害最重；多數受害者為中產階級或退休族群，損失金額從數千到數百萬美元不等，有許多案例是在數分鐘內失去畢生積蓄。</p> <p>根據調查，Prince Group透過殺豬騙局騙走了127,271個比特幣，這些價值約為150億美元的比特幣經由多層轉移，分散至數十個加密貨幣錢包，再集中至Zhi的多個非託管錢包，由Zhi自行保管私鑰。</p> <p>如今，這批比特幣不僅已在美國政府的監督之下，美國也提出了民事訴訟，要求沒收它們。倘若法官同意了，那這將是美國所沒收的、規模最大的比特幣資產。原本的紀錄是一名加密貨幣玩家James Zhong利用Silk Road暗網市集的安全漏洞，盜走了5萬枚比特幣，他是在2012年犯案，<a href="https://www.ithome.com.tw/news/154079" target="_blank">一直到2022年才被逮到</a>。</p> <p>美國政府在今年3月<a href="https://www.ithome.com.tw/news/167725" target="_blank">宣布建立比特幣儲備</a>，主要是把透過刑事或民事資產沒收程序中所取得的比特幣轉入儲備帳戶。</p> <p>英國外交、聯邦及發展事務部（FCDO）與美國財政部也<a href="https://home.treasury.gov/news/press-releases/sb0278" target="_blank">在同一天宣布協同行動</a>，對與Prince Group跨國犯罪組織相關的146個制裁對象與117家附屬企業採取制裁措施，同時將負責洗錢的柬埔寨金融集團Huione Group自美國金融體系中切斷，禁止美國金融機構與其進行往來。</p> </div></div></div>
2025/10/16 08:22作者陳曉莉https://www.ithome.com.tw/news/171707
Anthropic提9類AI政策建議，研議自動化與運算能力課稅方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://www.anthropic.com/research/economic-policy-responses">發布</a>政策文章，主張各國應預先為人工智慧帶來的勞動與財政變化備妥工具箱，提出橫跨人力培訓、基礎設施與稅收設計的9類政策構想，目標是在不同擴散速度與規模下，都能採取可調整的應對。</p> <p>Anthropic指出，依自家Anthropic Economic Index的觀察，用戶把整個任務交給Claude的情況增加，協作式使用比重下降，模型更常長時間獨立運作，企業採用人工智慧以提升生產力的趨勢增加，對就業結構的最終影響仍不確定，因此需要及早討論制度選項。</p> <p>該公司將政策分成3個層次。第一層是大多數情境都適用的基礎方案，例如加強在職訓練，並縮短資料中心與輸電升級的許可審查與電力併網時間，以加速能源與運算能力基礎建設。第二層是中度加速情境，要是人工智慧發展導致明顯的薪資下滑或失業增加，政府需擴大對受影響勞工的財政支持，並考慮對自動化課稅以抵銷快速自動化對勞工的外部性。</p> <p>第三層是快速變化情境，當出現大規模失業與貧富差距擴大時，則應採取更具結構性的措施，例如建立主權基金、導入或調整增值稅制度（VAT），以及設計反映人工智慧在經濟產出中占比的新型稅制。</p> <p>在具體作法上，文章舉例如以雇主主導的在職訓練補助，調整人力資本投資的稅負待遇，彌補企業稅制缺口並抑制跨國利潤轉移，並透過NEPA等制度改革與公用事業協作，縮短大型資料中心與輸電升級的核准與併網時間。同時借鏡貿易調整援助（TAA）模型並研議自動化調整援助（Automation Adjustment Assistance，AAA）方案，並研究對運算能力或Token的課稅路徑，以回收外部性並支應社會安全網。</p> <p>Anthropic強調，這些構想並非公司定見，而是提供研究與決策的起點。公司並宣布以1,000萬美元擴大系統性研究計畫Economic Futures Program，持續針對人工智慧經濟影響與政策工具進行實證研究與國際研討。</p> </div></div></div>
2025/10/16 08:40作者李建興https://www.ithome.com.tw/news/171706
服飾品牌Mango行銷系統遭駭客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://capital.es/empresas/mango-comunica-un-acceso-no-autorizado-a-datos-personales-de-clientes-y-activa-sus-protocolos-de-seguridad/148414/" target="_blank">西班牙服飾品牌Mango本周公告行銷系統遭駭</a>，致使部份消費客戶電子郵件等個資外洩。</p> <p>Mango近日偵測到其使用的外部行銷服務之一遭非授權存取客戶個人資訊。Mango本周稍早已經以電子郵件通知受到影響的消費者。</p> <p>這家服飾業者說，外洩的客戶個資僅限於行銷用途的資訊，包含名字（不包含姓氏）、國籍、郵遞區號、電子郵件信件及電話號碼，強調沒有其他敏感資訊被存取，包括銀行帳號、信用卡、身份證件、密碼或登入密碼等。</p> <p>Mango並說公司系統和技術基礎架構運作，平臺作業、實體店面及線上服務也如常運作，未受此次事件影響。</p> <p>至於何種未授權存取活動，例如是勒索軟體或駭客入侵、什麼外部系統，以及受影響人數，Mango皆未說明。</p> <p>Mango得知資安事件後，已依其資料保護政策及法規如歐盟隱私法GDPR啟動內部安全措施，也已通知主管機關。Mango也呼籲消費者提高警覺留意可疑詐騙郵件或電話。</p> <p>目前尚未有駭客出面宣稱是其所為。</p> <p>在此之前，有不少零售品牌客戶系統遭到駭入而外洩資訊，包括路易威登（LV）、香奈兒（Chanel）、迪奧（Christian Dior Couture），而這些業者可能都是駭客組織Shiny Hunters或Scattered Lapsus$ Hunters犯案的受害者。</p> </div></div></div>
2025/10/16 08:59作者林妍溱https://www.ithome.com.tw/news/171708
Visa推可信代理協定，以HTTP簽章串接身分與支付流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Visa提出<a href="https://investor.visa.com/news/news-details/2025/Visa-Introduces-Trusted-Agent-Protocol-An-Ecosystem-Led-Framework-for-AI-Commerce/default.aspx">可信代理協定（Trusted Agent Protocol）</a>，目標是在代理式電商逐漸普及時，讓商家與其站臺防護服務能可靠辨識具有商務意圖且已核准的代理，並在不大改既有架構的前提下，透過HTTP訊息簽章串接身分與支付流程。</p> <p>這套協定的設計出發點在於，代理式電商的自動化請求行為與一般使用者的瀏覽模式明顯不同，要是僅依據IP、請求頻率或指紋特徵進行判斷，商家或防護系統可能誤將合法代理流量視為爬蟲或惡意行為，進而影響服務穩定與交易成功率。Visa指出，隨著人工智慧驅動流量在零售網站急遽成長，商家需要能辨識可信任代理、維持對消費者身分與支付資料可見度的機制。</p> <p>可信代理協定的信任架構分為3層簽章，用來確認代理的身分與交易資料的真實性。第一層是加在HTTP訊息標頭的代理識別簽章，根據網路安全標準RFC9421設計，代理會用私鑰簽署請求，商家則以公開金鑰驗證，確保請求確實來自受信任的代理。第二層為消費者識別物件，用來攜帶與代理簽章相連的顧客識別資料。第三層則是代理支付容器，可包含付款承諾或交易摘要，兩者皆以相同簽章機制與識別碼對應，確保資料一致與可驗證。</p> <p>代理識別簽章包含幾個必要欄位，例如請求的網址與路徑、建立與到期時間、金鑰代號、演算法、隨機識別碼以及互動標籤。任何欄位被改動或順序錯亂，驗證就會失敗，此設計讓整個交易過程能自動檢查來源真實性，防止重播或偽造的請求進入商家系統。</p> <p>協定設計了可公開取得的金鑰機制，讓商家更容易導入。Visa與其他支付網路會在固定網址提供驗證金鑰，商家只需依金鑰代號選取對應的公開金鑰，就能完成簽章驗證。商家也能依據代理的可信度，提供更簡化的頁面或更順暢的結帳體驗，同時降低誤將自動化代理誤認為爬蟲、黃牛或惡意流量的風險。</p> <p>可信代理協定的生態系目前仍在早期階段，但以開放互通為發展方向。Visa與Cloudflare共同開發初版規格，並邀集支付與電商領域的服務供應商提供回饋。協定現階段主要應用於Visa網路，但目標是與IETF、OpenID Foundation、EMVCo等標準組織同步，未來也將與其他新興協定如Agentic Commerce Protocol、x402保持互通。</p> </div></div></div>
2025/10/16 08:13作者李建興https://www.ithome.com.tw/news/171704
【資安日報】10月15日，微軟、SAP發布10月例行更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多廠商發布10月份的例行更新，其中最受到關注的部分，包含微軟及SAP發布的公告內容。微軟這次公布6個零時差漏洞，其中有3個被用於實際攻擊行動而受到矚目。特別的是，這些零時差漏洞裡，有兩個與特定廠牌數據機驅動程式有關，另有出現在唯讀端點作業系統IGEL OS、AMD EPYC處理器，以及TPM 2.0的參考實作範本的弱點，後續影響相當值得留意。</p> <p>SAP本次發布的資安公告內容也非常特別，因為他們針對上個月修補的滿分漏洞CVE-2025-42944祭出新的資安強化措施，但為何要這麼做？參與修補流程的資安業者Onapsis透露，目的是為了防範與反序列化有關的攻擊。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171698"><strong style="font-size: 22px;">側通道攻擊Pixnapping鎖定Google、三星裝置，免權限竊取螢幕內容</strong></a></p> <p>研究人員揭露名為Pixnapping的Android新型側通道攻擊，攻擊者只要誘使使用者安裝一般應用程式，即可在不申請任何Android權限的情況下，暗中讀取其他應用程式與網站畫面上可見的內容，包括Gmail郵件部分內容、Signal訊息、Google Maps地點紀錄與Google Authenticator的一次性驗證碼。</p> <p>該漏洞編號為CVE-2025-48561，研究人員已在Google與三星裝置上完成實證，Google九月釋出修補後，團隊又找到繞過方法，Google表示將於十二月再釋出追加修補。</p> <p>受影響範圍方面，團隊已在Android 13至16版本上驗證攻擊，涵蓋Pixel 6、7、8、9與Galaxy S25，並推測其他廠牌裝置多半具備相同條件。攻擊不需任何權限，僅憑一般應用程式即可觸發。</p> <p><a href="https://www.ithome.com.tw/news/171676"><strong style="font-size: 22px;">只要250份投毒樣本，就能在LLM預訓練植入後門觸發亂碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a04240ddbf30daf711a186ceed0a240bd390a312-4584x2580.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a04240ddbf30daf711a186ceed0a240bd390a312-4584x2580.png" style="width: 300px; float: right;" /></a></p> <p>Anthropic、英國AI Security Institute及Alan Turing Institute發表聯合研究，證實只需約250份惡意文件，便能在大型語言模型的預訓練階段植入後門行為，遇到特定觸發詞即輸出亂碼。此結果與模型參數規模及訓練資料量無關，顛覆攻擊者需掌控一定比例訓練資料的假設。</p> <p>研究人員從頭訓練四種規模的模型，分別為6億（600M）、20億（2B）、70億（7B）與130億（13B）參數。各模型皆混入100、250及500份惡意文件，並針對6億與20億參數模型額外測試一半與雙倍訓練資料量。由於要降低隨機性造成的偏差，研究人員重複每種設定3次，共訓練72個模型。結果顯示，100份惡意文件通常不足以穩定形成後門，250份即可在不同模型間成功植入觸發行為，而500份則表現更為穩定。</p> <p>研究的重要發現是，攻擊成功率與模型實際看到的毒化文件數量有關，而非這些樣本占訓練資料的比例。當以訓練進度對齊比較時，大模型雖處理更多Token，但在相同的投毒份數下，攻擊成功曲線幾乎重疊。研究估算，250份惡意樣本約含42萬個Token，只占整體訓練資料的0.00016％，卻足以讓各規模模型出現一致的後門效果。</p> <p><a href="https://www.ithome.com.tw/news/171615"><strong style="font-size: 22px;">三大勒索軟體集團LockBit、DragonForce與Qilin結盟</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig_3_hi2yct.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig_3_hi2yct.png" style="width: 300px; float: right;" /></a></p> <p>美國網路安全暨威脅偵測業者ReliaQuest在本周發布的2025年第三季勒索軟體報告中指出，三大勒索軟體集團LockBit、DragonForce與Qilin已展開結盟，將分享彼此的戰術及資源，同時，在今年9月復出的LockBit也決定允許成員攻擊關鍵基礎設施，包括核能電廠及水力發電廠等。</p> <p>ReliaQuest分析，這3個勒索軟體集團的合作意謂著它們將可交換攻擊腳本、零時差開採程式與初始滲透管道，還可共用伺服器與資料外洩網站以降低基礎設施成本，並擴大其攻擊目標，透露出全球勒索軟體攻擊可能更頻繁、更組織化，也將擁有更強大的技術能力。</p> <p>值得注意的是，該聯盟仍在對外招兵買馬，號召其它勒索軟體集團加入，但迄今尚未發現上述三大集團的聯合攻擊行動或資料外洩網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/chinese-hackers-exploit-arcgis-server.html">中國駭客Flax Typhoon將地理資訊平臺ArcGIS充當後門，埋伏受害組織超過一年</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/oracles-silently-fixes-zero-day-exploit-leaked-by-shinyhunters/">Oracle修補的EBS新漏洞CVE-2025-61884，傳出已遭ShinyHunters利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/sekoia-exposes-polaredge-backdoor-custom-mbedtls-c2-compromising-cisco-qnap-and-synology-devices/">後門程式PolarEdge鎖定多廠牌路由器而來，思科、威聯通、群暉設備皆被針對</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://x.com/H4ckmanac/status/1976895206273220758">駭客組織Crimson Collective聲稱入侵遊戲主機製造商任天堂，後續影響有待觀察</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171696"><strong style="font-size: 22px;">微軟發布10月例行更新，修補6個零時差漏洞，半數已被用於實際攻擊</strong></a></p> <p>10月14日微軟發布本月份例行更新（Patch Tuesday），一共修補175個漏洞，較上個月81個多出超過一倍，也超過1月的159個，成為今年以來修補漏洞數量最多的一次。此外，該公司也公布另外21個影響旗下產品的第三方資安漏洞。</p> <p>這次更新相當引起關注，其中一個原因是市占仍超過4成的Windows 10，即將進入生命週期結束（EOL）的階段，意味著用戶若是不升級至Windows 11，或無法取得延伸安全更新（ESU），他們的電腦有可能是最後一次接收相關修補程式。此外，Office 2016及2019版、Exchange Server 2016與2019版的用戶，也面臨微軟接下來不再提供更新的情況。</p> <p>值得留意的是，這次微軟修補的漏洞裡，有6個是零時差漏洞，其中有3個CVE-2025-24990、CVE-2025-47827、CVE-2025-59230，已被用於實際攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/171699"><strong style="font-size: 22px;">SAP修補NetWeaver、列印服務、供應鏈關係管理平臺重大漏洞</strong></a></p> <p>10月14日SAP發布本月例行更新（Security Patch Day），修補13項資安漏洞，並更新4則已發布的公告內容。其中最受到矚目的部分，是被列為重大層級的CVE-2025-42944、CVE-2025-42937，以及CVE-2025-42910。</p> <p>這些重大層級的漏洞又以風險值達到滿分10分的CVE-2025-42944相當特別，因為這項漏洞SAP上個月已經修補過，本月他們發布新的3660659號公告，表示是為了NetWeaver AS Java提供新的安全強化措施。參與漏洞修補過程的資安業者Onapsis透露，這項防護機制是實作Java虛擬機器（JVM）的過濾器（jdk.serialFilter），目的是防範特定的類別出現反序列化的現象。</p> <p>危險程度排名第二的資安漏洞是CVE-2025-42937，此為資料夾路徑穿越弱點，出現在列印服務系統SAP Print Service（SAPSprint），起因是對於使用者提供的路徑資訊驗證不夠完整，未經授權的攻擊者可存取所在位置的上層資料夾，並覆寫系統檔案，從而高度影響應用程式的機密性、完整性，以及可用性，風險值為9.8。</p> <p><a href="https://www.ithome.com.tw/news/171530"><strong style="font-size: 22px;">身分識別及管理平臺OneLogin存在漏洞，攻擊者可透過API金鑰竊取OpenID Connect機密、冒充應用程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/e94e114e9d90858701e19d1c8b905d57528d03f6-1270x404.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/e94e114e9d90858701e19d1c8b905d57528d03f6-1270x404.png" style="width: 300px; float: right;" /></a></p> <p>資安業者One Identity近日發布雲端身分驗證與存取管理（IAM）解決方案OneLogin更新2025.3.0版，當中修補高風險資安漏洞CVE-2025-59363，CVSS風險評為7.7。通報此事的資安業者Clutch Security透露細節，指出一旦遭到利用，攻擊者有機會利用有效的API憑證，將OneLogin租戶OpenID Connect（OIDC）應用程式的用戶端帳密，全部挖掘出來。</p> <p>這項漏洞的影響範圍有多大？OneLogin全球有5,500家企業用戶，Clutch Security估計每家企業可能有20至50個OIDC應用程式，換言之，全球總共有11萬至27.5萬個應用程式曝險。此外，企業組織若是採用OneLogin對第三方服務進行OIDC整合，也可能曝險，特別是供應商或承包商共享的API憑證，尤其危險。</p> <p>攻擊者若是利用這項漏洞，就能冒充使用者，從而藉由用戶的帳密資料，對於整合的應用程式進行未經授權的存取，有可能將供應鏈的資安風險放大，因為攻擊者只要取得其中一組外流的供應商憑證，就有機會曝露受害組織所有OIDC應用程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/juniper-networks-patches-critical-junos-space-vulnerabilities/">Juniper修補網路設備作業系統逾200個資安漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171680"><strong>【10月14日】Windows 10進入終止支援階段</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171636"><strong>【10月13日】中國駭客利用監控工具Nezha攻擊網頁伺服器，臺灣受害最嚴重</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171612"><strong>【10月9日】AI資安工具協助改善模型品質、自動修補軟體資安漏洞</strong></a></p> </div></div></div>
2025/10/15 18:16作者周峻佑https://www.ithome.com.tw/news/171700
微軟發布10月例行更新，修補6個零時差漏洞，半數已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月14日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-oct">本月份例行更新（Patch Tuesday）</a>，一共修補175個漏洞，較<a href="https://www.ithome.com.tw/news/171095">上個月81個</a>多出超過一倍，也超過<a href="https://www.ithome.com.tw/news/166966">1月的159個</a>，成為今年以來修補漏洞數量最多的一次。此外，該公司也公布另外21個影響旗下產品的第三方資安漏洞。</p> <p>這次更新相當引起關注，其中一個原因是市占仍超過4成的Windows 10，<a href="https://www.ithome.com.tw/news/171640">即將進入生命週期結束（EOL）的階段</a>，意味著用戶若是不升級至Windows 11，或無法取得延伸安全更新（ESU），他們的電腦有可能是最後一次接收相關修補程式。此外，Office 2016及2019版、Exchange Server 2016與2019版的用戶，也面臨微軟接下來不再提供更新的情況。</p> <p>值得留意的是，這次微軟修補的漏洞裡，有6個是零時差漏洞，其中有3個<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24990">CVE-2025-24990</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-47827">CVE-2025-47827</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59230">CVE-2025-59230</a>，已被用於實際攻擊行動。</p> <p>其中，CVE-2025-24990與CVE-2025-59230被評為高風險層級，CVSS風險值剛好都是7.8分，類型同為權限提升漏洞，影響範圍皆為所有版本的Windows作業系統。CVE-2025-24990存在於Agere數據機的驅動程式，一旦攻擊者成功利用，就有機會取得管理員權限，而且，無論數據機是否運作，電腦都有可能曝險。對此，微軟移除系統內建的ltmdm64.sys來緩解弱點。附帶一提的是，這次微軟還有公布另一個Agere數據機的驅動程式零時差漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24052">CVE-2025-24052</a>，相關細節在該公司修補之前已被公開。</p> <p>另一個同樣影響所有Windows作業系統，且被用於實際攻擊的高風險漏洞CVE-2025-59230，出現在遠端存取連線管理員（Remote Access Connection Manager），起因是存取控制不夠充分，通過身分驗證的攻擊者，有機會藉此將本機權限提升為SYSTEM。</p> <p>第三個遭到利用的漏洞，為MITRE登記編號的CVE-2025-47827，存在於唯讀端點作業系統IGEL OS，為安全功能繞過漏洞，起因是igel-flash-driver模組驗證加密簽章出現不完整的情況，攻擊者可繞過安全開機，並在未經驗證的SquashFS映像檔當中，掛載特製的根檔案系統，風險值為4.6。</p> <p>從公告內容來看，很難理解微軟為何需要與IGEL合作來緩解這項漏洞，長期觀察微軟每月例行更新態勢的<a href="https://www.rapid7.com/blog/post/em-patch-tuesday-october-2025/">Rapid7</a>與<a href="https://www.zerodayinitiative.com/blog/2025/10/14/the-october-2025-security-update-review">Zero Day Initiative（ZDI）</a>，對此提出看法。Rapid7根據研究人員揭露的細節，他們推測微軟在修補程式當中，增列了UEFI註銷名單來防範相關威脅；ZDI推測該漏洞被用於極具針對性的攻擊。</p> <p>其餘兩個在微軟公告前已遭公開的零時差漏洞，分別是：存在於AMD EPYC處理器的遠端程式碼執行（RCE）漏洞<a href="https://msrc.microsoft.com/update-guide/advisory/CVE-2025-0033">CVE-2025-0033</a>，以及TPM 2.0參考實作的越界讀取弱點<a href="https://msrc.microsoft.com/update-guide/advisory/CVE-2025-2884">CVE-2025-2884</a>，CVSS風險值為8.2、5.3，為重大及高風險層級的弱點。</p> </div></div></div>
2025/10/15 14:58作者周峻佑https://www.ithome.com.tw/news/171696
SAP修補NetWeaver、列印服務、供應鏈關係管理平臺重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月14日SAP發布本月例行更新（Security Patch Day），修補13項資安漏洞，並更新4則已發布的公告內容。其中最受到矚目的部分，是被列為重大層級的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42944">CVE-2025-42944</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42937">CVE-2025-42937</a>，以及<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42910">CVE-2025-42910</a>。</p> <p>這些重大層級的漏洞又以風險值達到滿分10分的CVE-2025-42944相當特別，因為這項漏洞SAP<a href="https://www.ithome.com.tw/news/171090">上個月已經修補過</a>，本月他們發布新的3660659號公告，表示是為了NetWeaver AS Java提供新的安全強化措施。<a href="https://onapsis.com/blog/sap-security-patch-day-october-2025/">參與漏洞修補過程的資安業者Onapsis透露</a>，這項防護機制是實作Java虛擬機器（JVM）的過濾器（jdk.serialFilter），目的是防範特定的類別出現反序列化的現象。</p> <p>危險程度排名第二的資安漏洞是CVE-2025-42937，此為資料夾路徑穿越弱點，出現在列印服務系統SAP Print Service（SAPSprint），起因是對於使用者提供的路徑資訊驗證不夠完整，未經授權的攻擊者可存取所在位置的上層資料夾，並覆寫系統檔案，從而高度影響應用程式的機密性、完整性，以及可用性，風險值為9.8。</p> <p>最後一個重大漏洞CVE-2025-42910，與供應商關係管理（Supplier Relationship Management）平臺有關，可被用於上傳任意檔案，且不受限制。該弱點發生的原因在於，並未驗證檔案的類型及內容，通過授權的攻擊者能用來上傳任意檔案，並引誘使用者下載及執行，風險值為9分。</p> </div></div></div>
2025/10/15 16:29作者周峻佑https://www.ithome.com.tw/news/171699
側通道攻擊Pixnapping鎖定Google、三星裝置，免權限竊取螢幕內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員揭露名為<a href="https://www.pixnapping.com/#questions-and-answers">Pixnapping</a>的Android新型側通道攻擊，攻擊者只要誘使使用者安裝一般應用程式，即可在不申請任何Android權限的情況下，暗中讀取其他應用程式與網站畫面上可見的內容，包括Gmail郵件部分內容、Signal訊息、Google Maps地點紀錄與Google Authenticator的一次性驗證碼。</p> <p>該漏洞編號為CVE-2025-48561，研究人員已在Google與三星裝置上完成實證，Google九月釋出修補後，團隊又找到繞過方法，Google表示將於十二月再釋出追加修補。</p> <p>研究人員說明，Pixnapping結合Android介面與GPU圖形資料壓縮側通道<a href="https://www.ithome.com.tw/news/159000">GPU.zip</a>。惡意應用以Android系統中的Intent機制，讓目標活動畫面進入算繪流程，前景疊半透明活動視窗，對指定微小區域施作視窗模糊，並以VSync回呼量測每幀時間。由於GPU的無損壓縮具資料相依特性，當畫面像素排列高度規則或變化複雜時，每一幀算繪時間會出現明顯差異。重複量測即可判定單一像素的顏色，逐點掃描重建畫面，再以OCR還原內容。</p> <p>研究人員指出Google Authenticator是高價值目標，因為畫面中驗證碼位置可預測，實驗可在30秒內竊取一次性驗證碼。在Pixel系列裝置，復原驗證碼的成功率介於29％與73％之間，但在三星Galaxy S25則因雜訊明顯，研究人員無法於30秒有效時間內復原完整驗證碼。</p> <p>受影響範圍方面，團隊已在Android 13至16版本上驗證攻擊，涵蓋Pixel 6、7、8、9與Galaxy S25，並推測其他廠牌裝置多半具備相同條件。攻擊不需任何權限，僅憑一般應用即可觸發。</p> <p>Google在9月2日將相關修補納入Android安全公告，但研究人員9月4日即發現可重啟攻擊的繞過方法，並於9月8日再次通報，Google將追加12月更新。Google並表示目前未見野外利用，也未在Google Play發現濫用這項技術的惡意程式。</p> <p>安全建議方面，研究人員給一般使用者的建議是第一時間安裝系統更新。對應用程式開發者，目前尚無已知能完全阻斷Pixnapping的應用層緩解措施，且因為其核心仰賴作業系統與GPU側通道的交互作用，仍需平臺與硬體層面共同補強。</p> </div></div></div>
2025/10/15 16:31作者李建興https://www.ithome.com.tw/news/171698
OpenAI準備推出成人版ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/expert-council-on-well-being-and-ai/" target="_blank">OpenAI周二（10/14）宣布</a>，已設立福祉&AI專家委員會（Expert Council on Well-Being and AI），來協助建置對每個人都更有用的ChatGPT與Sora體驗，定義人們與AI之間的健康互動，同一天，OpenAI創辦人暨執行長<a href="https://x.com/sama/status/1978129344598827128" target="_blank">Sam Altman就在X上表示</a>，該公司打算於12月推出成人版ChatGPT。</p> <p>各大AI新創開始注重人們與聊天機器人之間的互動關係，源自於這些機器人與部分自殘人士之間的連結，特別是青少年，亦促使<a href="https://www.ithome.com.tw/news/171162" target="_blank">美國聯邦交易委員會（FTC）介入</a>。</p> <p>OpenAI表示，該公司在今年初開發家長監護功能，以及在青少年可能陷入困境時提交給家長的通知文字，都曾非正式地諮詢專家，隨著福祉&AI專家委員會的正式成立，它們將所蒐羅的專家範圍擴大至心理學、精神病學與人機互動等。因此，此一由8人組成的專家委員會即延攬了青少年與社交媒體互動、AI與兒童、網路互動與心理健康、技術與情緒健康的互動、數位平臺如何支持心理健康、預防與治療憂鬱症、社交媒體及遊戲如何帶來幸福感，以及公共衛生等各領域的專家。</p> <p>總之，福祉&AI專家委員會將負責支援OpenAI在AI心理健康、安全與青少年/兒童保護上的指導、建議及倫理框架，以確保ChatGPT與Sora的發展能夠支持人類的情緒、動機與福祉。</p> <p>上個月<a href="https://www.ithome.com.tw/news/171236" target="_blank">OpenAI便曾透露</a>正在開發年齡預測系統，以把未成年的使用者導向一個與其年齡相當ChatGPT體驗。此一青少年版的ChatGPT將不會與使用者調情，預設封鎖了色情內容，且即便在創意寫作的環境中亦不會參與有關自殺的討論，還會在察覺到青少年有自殺意圖時，嘗試聯繫其家長或執法機構。</p> <p>在限制ChatGPT所可能帶來傷害的同時，Altman宣布了成人版ChatGPT。Altman解釋，OpenAI讓ChatGPT變得保守，是為了在心理健康議題上保持謹慎，但這卻讓那些沒有心理健康問題的使用者感到無趣，該公司現在已能緩解主要的心理健康風險，並擁有新的工具，因此在大部分的情況下得以安全地放寬各種限制。</p> <p>OpenAI即將於幾周後推出新版ChatGPT，它的個性將更接近大家所喜歡的4o（有溫度、個性，也更自然），如果使用者希望ChatGPT的回覆更像人類，使用大量的表情符號，也能像朋友一樣互動，那麼ChatGPT便應該要做到。</p> <p>此外，隨著年齡驗證機制的上線，並基於「成年人理當被當成成年人對待」的原則，ChatGPT計畫於12月允許更多的內容，例如對經過驗證的成年人開放情色文學等。</p> </div></div></div>
2025/10/15 16:05作者陳曉莉https://www.ithome.com.tw/news/171697
Walmart加入ChatGPT購物服務陣容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大零售企業之一的<a href="https://corporate.walmart.com/news/2025/10/14/walmart-partners-with-openai-to-create-ai-first-shopping-experiences" target="_blank">Walmart周二（10/14）宣布</a>，Walmart及Sam's Club將與OpenAI合作，讓消費者可直接於ChatGPT完成購物程序。成為<a href="https://www.ithome.com.tw/news/171432" target="_blank">繼Etsy</a>之後，第二波進駐ChatGPT的電子商務平臺。</p> <p>原本使用者就可以與ChatGPT討論各種需求與商品，今年4月，<a href="https://www.ithome.com.tw/news/168647" target="_blank">ChatGPT開始提供</a>商品的各種建議並附上購買連結；9月正式推出<a href="https://www.ithome.com.tw/news/171432" target="_blank">即時結帳（Instant Checkout）</a>功能，並宣布首個合作對象Etsy。</p> <p>Instant Checkout是OpenAI所開發的對話式結帳機制，讓使用者可直接於ChatGPT中完成購買，不必再被引導至外部網站，基本設計理念為：「從搜尋到下單，全部透過對話完成。」這是OpenAI代理式商務（Agentic Commerce）策略的核心元件之一，OpenAI也開源了支援Instant Checkout的代理商務協議（Agentic Commerce Protocol，ACP）。</p> <p>Walmart表示，此次合作將讓消費者及會員利用ChatGPT及Instant Checkout來購物與結帳，使用者只需要聊天及購買，其它事務則由Walmart解決。</p> <p>Walmart執行長Doug McMillon指出，這麼多年來，電子商務購物體驗一直是由搜尋欄位及所回應的產品列表組成，但此一情景即將迎來改變，結合多媒體、個人化與脈絡的AI體驗正要來臨，AI從被動化為主動，它學習、計畫及預測，比客戶自己還要早預測到他們的需求。</p> <p>不僅將加入ChatGPT的Instant Checkout陣容，Walmart及Sam's Club也都導入了AI，包括用來強化產品目錄以縮短多達18周的時尚產品生產時間，或是提供更無縫的購物流程，並將客戶服務解決時間縮短了40%。</p> <p>OpenAI並未公布與商家的合作細節，但有報導指出，商家必須在交易完成後向OpenAI支付交易佣金。</p> <p>迄今所有與OpenAI沾上邊的合作夥伴股價全都水漲船高，Walmart也不例外，周二Walmart股價上漲了4.98%，以107.21美元作收。</p> </div></div></div>
2025/10/15 13:58作者陳曉莉https://www.ithome.com.tw/news/171692
微軟公布自行開發的AI圖片生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在競爭者新產品快速推陳出新下，微軟終於也在本周公布自家開發的AI圖片生成模型MAI-Image-1。</p> <p>MAI-Image-1是微軟<a href="https://www.ithome.com.tw/news/170912" target="_blank">自8月公布</a>生成語音的MAI-Voice-1與基礎模型MAI-1-preview後，最新由其自行開發的AI模型。微軟強調，為訓練這款模型，該公司特別嚴選訓練資料及以近似真實世界創意活動的任務來評估模型。相較於參數量更大、速度較慢的模型，MAI-Image-1兼具生成的速度和品質，尤其擅長生成逼真圖像，像是光線（如彈射光、反射光）、地景等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1015-microsoft%20ai-MAI-1.png" style="width: 600px;" /></p> <p>微軟並引用LMArena公布的資料，說明MAI-Image-1在眾家模型的平均勝率（Average Win Rate）排行第九。前方還有Google gemini-2.5-flash-image (preview)及OpenAI的gpt-image-1、騰訊混元（hungyuan）、字節跳動的Seedream系列。</p> <p>現在MAI-Image-1已<a href="https://lmarena.ai/leaderboard/text-to-image" target="_blank">在LMArena上開放公測</a>，並預計很快會將其透過Copilot和Bing Image Creator開放給用戶。</p> <p>在此同時，<a href="https://www.ithome.com.tw/news/171686" target="_blank">Google也在本周</a>將爆紅的圖片生成模型Nano Banana整合到NotebookLM、Google Lens中，讓使用者能製作精彩的摘要影片，以及更方便以相片生圖。</p> </div></div></div>
2025/10/15 12:52作者林妍溱https://www.ithome.com.tw/news/171691
Oracle新湖倉平臺上線，藉Apache Iceberg打通OCI與三大公有雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文（Oracle）<a href="https://blogs.oracle.com/datawarehousing/post/autonomous-ai-lakehouse-announcement">發表自主人工智慧湖倉（Autonomous AI Lakehouse）</a>，將Autonomous AI Database與開放表格格式Apache Iceberg整合，目標是在現有資料之上直接執行人工智慧與分析，減少資料搬動與系統切換。該服務現可在OCI、AWS、Microsoft Azure、Google Cloud與Exadata <a href="mailto:Cloud@Customer">Cloud@Customer</a>使用。</p> <p>Oracle自主人工智慧湖倉重點在於原生支援Iceberg，與推出資料目錄Autonomous AI Database Catalog，作為「目錄的目錄」，透過統一企業多雲與多平臺的資料與中繼資料，簡化探索、存取與治理。Oracle並強調與主流目錄互通，包含Databricks Unity Catalog、AWS Glue與Snowflake Polaris，讓同一份Iceberg表可供多引擎查詢與管理。</p> <p>自主人工智慧湖倉可直接在Iceberg資料上啟用Select AI，將自然語言轉換為SQL查詢並結合代理框架，並支援人工智慧向量搜尋、JSON-Relational Duality以提升資料存取彈性，以及基於Property Graph的屬性圖分析等多樣化工作負載，讓開發與分析團隊能在單一環境中完成運算，降低跨系統搬遷帶來的作業負擔。同時提供Plug and Play SQL Access，與AWS、Databricks、Snowflake、Apache Gravitino等目錄建立連線後，使用簡單語法即能查詢，增加跨平臺資料可用性。</p> <p>Oracle也推出Data Lake Accelerator功能，以支援大規模外部資料湖的查詢場景。此功能可依查詢負載自動擴展網路與運算資源，並採用按使用量計費模式。搭配Exadata Table Cache，可將常用的Iceberg資料快取於Exadata快閃儲存中以降低延遲，而GoldenGate for Iceberg則可從作業與分析系統即時串流資料至任一Iceberg目標。另新增Table Hyperlink功能，透過臨時超連結即可對特定資料表或查詢結果進行隔離且可控的安全分享。</p> <p>新增Select AI Agent框架提供在資料庫內建置、部署與管理代理的框架，支援PL/SQL自訂工具、REST外部工具與MCP伺服端，協助企業自動化多步驟工作流程。至於Data Science Agent預計提供預建置助理，能讓資料人員以自然語言跨目錄搜尋、互動式準備與探索資料，進而萃取並轉化為可行分析。</p> </div></div></div>
2025/10/15 12:58作者李建興https://www.ithome.com.tw/news/171690
Nano Banana圖像編輯模型將整合到NotebookLM、Google Search
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/nano-banana-google-products/" target="_blank">Google本周宣布</a>，大受歡迎的圖像編輯模型Nano Banana將整合到NotebookLM、Google Search，為這些應用程式獲得AI圖像編輯能力加持。</p> <p>8月Google推出以Gemini 2.5 Flash為基礎的Nano Banana。立即引發熱烈迴響，許多人在Gemini App用它來玩AI生圖，迄今已經生成了超過50億張圖片。現在Google進一步把Nano Banana 整合到Google 搜尋及NotebookLM，不久後還要推向Photos App。</p> <p>隨著Nano Banana整合到Google搜尋，用戶將可以在Google Lens使用到這個AI模型。用戶只要在Google App中開啟Lens功能拍照（或是從手機相簿中選擇照片），再點選App新增的Create鍵就能叫出Nano Banana來玩。</p> <p><a href="https://www.androidauthority.com/nano-banana-lens-3604469/" target="_blank">Android Authority則發現</a>，Nano Banana還可以從Google Lens介面整合運用到其他搜尋相關功能，包括AI Mode及Circle to Search裏使用。</p> <p>在NotebookLM中，Nano Banana則是包含在升級版的簡報影片生成器<a href="https://blog.google/technology/google-labs/video-overviews-nano-banana/" target="_blank">Video Overviews</a>中。Video Overviews能將用戶上傳的文件，以AI生成一份重點摘要影片。以Nano Banana加持的Video Overviews生成風格更多元的影片。這裏Nano Banana會自動使用6種風格中的一種，包括水彩、紙藝、動漫、白板、復古印刷和傳統風，此外還保留原來的經典風。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1015-NotebookLM-Nano%20Banana.png" style="width: 600px;" /></p> <p>新版Video Overviews除了有不同視覺風格外，<a href="https://blog.google/technology/google-labs/video-overviews-nano-banana/" target="_blank">Google也宣布</a>分成解說者（完整的結構化簡報）以及簡報（Brief）形式。</p> <p>至於Nano Banana何時到Photos（相簿）程式，Google沒有提供時程。</p> </div></div></div>
2025/10/15 11:52作者林妍溱https://www.ithome.com.tw/news/171686
Slack整合Salesforce與AI代理，打造企業對話式工作平臺Agentic OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/blog/news/dreamforce-slack-native-ai">Slack推出Agentic OS</a>，官方將該新平臺定位成企業的對話式工作核心，讓人員、資料、應用與人工智慧代理能在Slack介面中協作。此次更新同時強化與Salesforce的整合，並開放新的開發介面，讓第三方與企業內部代理可直接在Slack內運作。</p> <p>新一代Slackbot是本次更新的主軸，官方重新建置了Slackbot使其成為個人化人工智慧助理，能在側邊面板中以自然語言協助整理專案、彙整頻道資訊、搜尋檔案、安排行程或生成會議摘要。使用者可串接Outlook與Google日曆等工具，並在受控雲端環境中運作，官方還強調不會使用企業資料來訓練模型。</p> <p>另一項新功能Channel Expert則鎖定團隊知識管理，是一個常駐於頻道內的Agentforce代理，可根據頻道歷史與內部文件回答常見問題，讓員工即時取得正確資訊。要是遇到無法回答的情況，可自動將對話轉交至指定頻道並保留完整脈絡。此功能隨Agentforce in Slack提供，由頻道管理者在頻道中新增並設定知識來源。</p> <p>在開發者功能方面，Slack釋出Real-Time Search（RTS） API與MCP（Model Context Protocol）伺服器功能。RTS API可在遵循使用者權限的前提下，即時存取對話內容與脈絡，讓代理能提供更精準的回應，而MCP伺服器則簡化人工智慧應用與大型語言模型的開發流程，提供統一的資料取得與任務執行架構。</p> <p>Slack表示，多家第三方廠商已採用這些功能開發原生代理，包含Anthropic、Google、Perplexity、Dropbox、Notion、Vercel與Cursor等，預計2026年初全面開放。</p> <p>與Salesforce的整合是這次發表的另一重點。Slack將Agentforce的銷售、IT服務與人資服務等模組帶入平臺，員工可直接在對話中讀取或更新CRM資料，並由Tableau提供即時資料分析。這讓業務、支援與人資部門能在Slack中完成原需多系統切換的作業。</p> <p>此外，Slack也持續推進企業搜尋功能，企業用戶可在Slack內以單一搜尋列跨應用搜尋資料，目前已支援Google Drive與GitHub，並計畫加入Gmail、Outlook、Dropbox與Notion。</p> </div></div></div>
2025/10/15 08:21作者李建興https://www.ithome.com.tw/news/171681
Android多裝置介面更靈活，函式庫Jetpack WindowManager支援更大螢幕布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式<a href="https://android-developers.googleblog.com/2025/10/jetpack-windowmanager-15-is-stable.html">發布Android開發者函式庫Jetpack WindowManager 1.5.0版</a>，這項更新進一步擴充Android在多裝置環境下的介面適應能力。新版重點在於新增更大的視窗尺寸等級，讓應用程式在連接外接顯示器或桌面模式下，能自動調整介面布局，顯示更多欄位與內容區塊，提升資訊瀏覽與操作效率。</p> <p>新版WindowManager在原有密集（Compact）、中（Medium）、延展（Expanded）等視窗尺寸等級之外，新增大（Large）與超大（Extra-large）兩個層級，分別涵蓋1,200至1,600dp與1,600dp以上的寬度。這些層級是Google提供的官方介面設計建議，用於協助開發者判斷介面何時應切換至更適合的布局，舉例而言，郵件應用在延展等級下通常採雙欄設計，但在超大螢幕上則可同時顯示信箱、郵件清單、內容與行事曆，使工作流程更貼近桌面應用的多欄呈現方式。</p> <p>此變化也呼應Android 16 QPR1 Beta 2中引入的外接顯示器桌面模式（Connected Displays）。使用者可將手機透過DisplayPort外接顯示器，可在外接螢幕啟動桌面工作階段，提供多視窗與桌面式工具列等介面元素。這些更新代表Android正逐步延伸至桌面型體驗，開發者需要新的版面規範來因應不同的顯示空間。</p> <p>除了尺寸層級的擴充外，WindowManager 1.5也新增活動嵌入（Activity Embedding）的自動儲存與還原功能。過去開發者需手動維護分割畫面的狀態，現在可透過設定自動化保存，當程序被系統回收再啟動時，能自動回復到先前的多窗配置。另在視窗指標（WindowMetrics）部分，開發者現在可直接從應用程式層級取得視窗資訊，提升存取彈性。不過在多顯示器或連接外接螢幕時，官方仍建議以活動或其他與UI關聯的上下文取得與目前視窗一致的資訊。</p> <p>對採用Jetpack Compose的應用來說，Compose Material 3 Adaptive從1.2.0-rc01起支援新的大與超大層級，可依目前視窗資訊自動切換多欄布局。Google建議開發者應升級至該版本或更新版本，並搭配WindowManager 1.5的新層級計算結果一致地切換布局。</p> </div></div></div>
2025/10/15 08:25作者李建興https://www.ithome.com.tw/news/171682
【資安日報】10月14日，Windows 10進入終止支援階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日最值得留意的情況，是迄今市占仍超過4成的Windows 10作業系統，正式邁入終止支援的階段，讓這款自2015年問世的作業系統下臺一鞠躬。不過，有別於其他微軟旗下產品終止支援的情況，該公司罕見為一般使用者推出要價30美元的延伸安全更新（Extended Security Update，ESU），後續亦開放透過Rewards點數及啟用特定備份功能換取，甚至歐盟用戶可無條件獲得。此外，微軟也為Windows 10用戶提供Microsoft 365額外的3年支援。</p> <p>另一個相當值得注意的消息與ERP系統Oracle E-Business Suite（EBS）零時差漏洞攻擊有關，勒索軟體Clop將哈佛大學列於資料外洩網站，引起外界關注，這很可能是此次攻擊首度曝光的受害者。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171651"><strong style="font-size: 22px;">哈佛大學發生資料外洩事故，傳出因ERP系統Oracle EBS零時差漏洞而釀禍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/harvard-clop.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/harvard-clop.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer的報導，近日Clop將哈佛大學列於資料外洩網站，疑似透過ERP系統Oracle E-Business Suite（EBS）零時差漏洞而得逞。對此，哈佛大學表示他們正著手調查。</p> <p>哈佛大學資訊技術發言人向該新聞網站透露，他們得知有人藉由EBS零時差漏洞取得該校資料的情況，此漏洞並非哈佛獨有，而且影響許多EBS用戶。目前相關調查仍在進行當中，哈佛初步認為，這起事故影響1個小型行政單位下轄的多個團體。</p> <p>針對Oracle近日發布的修補程式，哈佛大學表示，他們從Oracle取得後已經套用，並持續監控，目前該校其他系統並未出現遭到入侵的跡象。</p> <p><a href="https://www.ithome.com.tw/news/171626"><strong style="font-size: 22px;">Crimson Collective鎖定企業AWS雲端環境竊取機密，並進行勒索</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/oracle-cl0p-fig3_max-2100x2100.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/oracle-cl0p-fig3_max-2100x2100.png" style="width: 300px; float: right;" /></a></p> <p>駭客組織Crimson Collective聲稱入侵Red Hat，從內部開發儲存庫竊得約800份客戶互動報告（Customer Engagement Report，CER），並已經利用這些資料入侵下游客戶，因而引起關注。然而有資安業者發現，這個駭客組織也針對企業組織的雲端環境而來，試圖竊取資料並進行勒索。</p> <p>資安業者Rapid7近日發現Crimson Collective攻擊AWS雲端環境的活動增加，駭客試圖竊取企業組織的機敏資料，並進行勒索。他們通常透過外流的身分驗證及存取管理系統（IAM）帳號，或是長期存取金鑰來啟動攻擊流程，過程中藉由建立額外的政策來新增使用者並提升權限。若是得逞，駭客就會找出有價值的資料並濫用AWS服務傳送至外部，最後留下勒索訊息。</p> <p>根據目前掌握的資訊，Crimson Collective似乎偏好資料庫與專案儲存庫，以及其他有價值的資料。附帶一提的是，這些駭客通常會使用相同環境的多個憑證遭外洩的帳號，並透過數個IP位址從事活動，加上他們還會在勒索軟體自稱「我們」，因此Rapid7認為，該組織背後可能有許多人參與，但仍不清楚組織的組成。</p> <p><a href="https://www.ithome.com.tw/news/171671"><strong style="font-size: 22px;">中央廣播電臺網站橫幅遭置換，檢警二度搜索，涉案員工意圖國慶日再度犯案</strong></a></p> <p>9月底中央廣播電臺（央廣）發布公開聲明表示，他們在9月11日晚間發現網站遭不明人士入侵，首頁的橫幅（Banner）被惡意置換，他們主動檢送相關事證到臺北市警察局，並向法務部調查局報案，根據資通安全管理法規定向主管機關數位發展部通報，由於該電臺專門代表臺灣向全球發聲，消息一出引起臺灣社會高度關注。後續傳出這起事故可能是有資訊背景的吳姓員工所為，該員工喊冤，聲稱是要讓公司知道網站不安全才這麼做，究竟是真的想要提出警告還是另有目的？最近檢警有了進一步的動作。</p> <p>10月13日臺北地方檢察署發布新聞稿，認為有3人涉案，分別是：央廣網站管理技術人員吳姓員工，以及岳姓主管與資訊廠商黃姓男子，他們涉犯刑法第342條第1項背信及刑法第358條、第359條妨害電腦使用等罪嫌，且多次入侵央廣的網路系統。值得留意的是，這些被告原本還打算在國慶日當天，再度發動置換網頁的攻擊行動，這樣看來，顯然與提出警告的說法沒有直接關連。</p> <p>另一個與嫌疑人「警告」說法無關的事證，則是各家新聞媒體報導不約而同提及的狀況：吳嫌在央廣網站植入的內容，是中共的五星旗。</p> <p><a href="https://www.ithome.com.tw/news/171679"><strong style="font-size: 22px;">輔大醫院個資外洩疑雲調查結果出爐，涉案治療師遭解雇</strong></a></p> <p>今年5月輔大醫院傳出周姓治療師在院內電腦安裝轉發伺服器元件Ngrok，恐將病人資料外流惹議，近日出現新的消息引起媒體報導。9月25日新北地方法院做出判決，指出該名治療師明知不得在醫院電腦設備擅自安裝軟體的情況下，去年10月21日於該院呼吸治療辦公室的其中兩臺電腦主機植入Ngrok，並在另一臺電腦安裝雲端硬碟掛載程式RaiDrive，然後藉此使用外部電腦存取輔大醫院網頁，製作上下班出勤記錄、讀取檔案，損害輔大醫院資訊系統、差勤系統之正確性及完整性。</p> <p>新北地方法院指出，周嫌涉犯刑法第358條無故侵入他人電腦相關設備罪嫌，雖然他坦承犯行並與院方和解，然而此人曾在2019、2020年犯下類似案件，被判處有期徒刑2個月及緩刑2年，並非初犯，不宜宣告緩刑。法院決定判處有期徒刑2個月，或以1千元折算1日易科罰金。</p> <p>10月13日輔仁大學院長黃瑞仁表示，他們已召開人力資源規劃暨評議委員會，決議解雇這名治療師，強調絕不容忍任何可能危害資訊安全的行為。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chinese-hackers-breached-law-firm-williams-connolly-via-zero-day/">美國律師事務所Williams & Connolly遭駭，中國駭客疑透過零時差漏洞得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/experts-warn-of-widespread-sonicwall.html">針對防火牆雲端組態備份服務遭駭，逾100個SSL VPN帳號受影響</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/from-detection-to-patch-fortra-reveals.html">針對GoAnywhere零時差漏洞攻擊事故，Fortra公布事件發生經過</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/175-malicious-npm-packages-with-26000.html">175個惡意NPM套件被用於網釣，駭客意圖竊取帳密</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/from-healthkick-to-govershell-evolution.html">中國駭客UTA0388濫用大型語言模型從事網釣活動，意圖散布惡意程式GoverShell</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171654"><strong style="font-size: 22px;">Oracle修補EBS高風險漏洞，若不處理，攻擊者可未經授權存取敏感資料</strong></a></p> <p>10月11日Oracle發布資安公告，修補旗下ERP系統E-Business Suite（EBS）資安漏洞CVE-2025-61884，攻擊者可在不需通過身分驗證（輸入帳號、密碼）的情況下，進行遠端利用，一旦成功觸發，就有機會存取敏感資源。由於本月初才爆發勒索軟體Clop（Cl0p）附屬團體利用零時差漏洞CVE-2025-61882發動大規模攻擊，這項新漏洞的揭露，很難不讓人聯想，可能與這起事故有關。</p> <p>CVE-2025-61884出現在EBS的Runtime UI元件，影響12.2.3至12.2.14版EBS，CVSS風險為7.5分。這項漏洞相當容易利用，未經授權的攻擊者只需透過HTTP進行網路存取，就有機會以此滲透Oracle Configurator。一旦成功利用漏洞發動攻擊，攻擊者就有機會未經授權存取重要資料，或是完全存取Oracle Configurator能夠存取的所有資料。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171640"><strong style="font-size: 22px;">微軟正式終止支援Windows 10</strong></a></p> <p>經過多年宣導和提醒，時間來到了2025年10月14日，微軟將正式為Windows 10軟體更新畫下句點。從10月15日起，Windows 10大部分商用及消費者版本（Enterprise、Pro、Home、Education、IoT Enterprise）都不會再獲得安全及功能更新，以及技術支援。微軟呼籲用戶為確保安全性，應升級到Windows 11，或為Windows 10取得延伸安全更新（Extended Security Update，ESU）。</p> <p>此外，在Windows 10平臺部署的單機版Office應用程式（Office 2016、Office 2019、Office 2021、Office 2024，以及對應的LTSC版本）雖然仍可使用，但再也不會獲得功能更新。不過，根據微軟說明，為了讓用戶在轉換Windows 11之前維護安全性，他們決定為Windows 10的Microsoft 365用戶提供額外的3年安全更新，預計支援到2028年10月10日。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171636"><strong>【10月13日】中國駭客利用監控工具Nezha攻擊網頁伺服器，臺灣受害最嚴重</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171612"><strong>【10月9日】AI資安工具協助改善模型品質、自動修補軟體資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171593"><strong>【10月8日】Oracle E-Business Suite零時差漏洞攻擊、Red Hat資料外洩事故出現新進展</strong></a></p> </div></div></div>
2025/10/14 17:44作者周峻佑https://www.ithome.com.tw/news/171680