iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

GovTech月報第47期：政府通過SES中軌衛星商用營運許可，中軌衛星正式落地臺灣；數發部推TrayAI平臺，聯手軟…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><span style="color: rgb(0, 0, 255);">重點新聞(1023~1120)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">中軌衛星</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">韌性</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>NCC通過SES中軌衛星在臺商用營運許可，強化我國通訊韌性</strong></span></p> <p>NCC近期通過中華電信的SES O3b中軌衛星通訊服務的商用營運許可，使中華電信得以提供高軌衛星（ST2）、中軌（SES）、低軌（OneWeb）多軌衛星營運許可的電信業者，提升國內通訊韌性。</p> <p>中華電信是在去年8月就與SES達成協議，以獨家代理的方式，計畫引進SES O3b的中軌衛星服務來臺，去年SES衛星通訊服務已先用於數發部的通訊網路韌性驗證計畫，在緊急狀態下，當行動網路、固網皆發生異常無法服務之下，透過衛星通訊來維持政府機關通訊需求。</p> <p>經過14個月的時間，中華電信終於取得SES O3b的商用營運許可，使得該服務得以商業化服務落地臺灣，開放商業用戶申請使用。中華電信表示，SES O3b mPOWER採用Ka頻段的高通量設計，能提供對稱雙向高頻寬、低延遲服務，未來可用於離島、遠洋船舶、關鍵基礎設施、國家防災應變等場域，當緊急情形造成海纜或地面網路中斷時，啟動衛星備援通訊，保障政府與企業的關鍵連線需求，強化營運韌性與抗災能力。</p> <p>為因應國際關系緊張，強化國內通訊韌性，衛星已成為政府積極引進的通訊技術，先後開放OneWeb低軌衛星、SES中軌衛星來臺，外傳Amazon的Leo（先前稱為Kuiper）低軌衛星服務也可望透過國內業者合作引進臺灣，Leo未來若能落地，將能以更多衛星通訊服務提升我國的通訊韌性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">TryAI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>數發部：已有超過30個政府機關使用TryAI平臺</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tryai.jpg" style="width: 600px; height: 400px;" /></p> <p>為推動政府機關導入AI提升行政效率，數發部今年3月推出「政府AI應用平臺」（TryAI），該平臺提供語言模型、AI工具，供政府機關測試、評估導入使用，目前已吸引超過30個機關導入使用。</p> <p>數發部指出，TryAI提供Gemini、TAIDE、ChatGPT等32種大語言模型及20項的共通性AI工具，該平臺提供機關先試用、後採購，讓機關先確認符合其需求後再進行採購。此外，透過匯集各機關的需求，例如新聞稿生成、公文助理等，結合資服業者提供AI工具，上架至AI Bots市集，以扶植國內AI產業發展。</p> <p>目前TryAI已吸引超過30個機關導入使用，例如衛福部利用該平臺自製的「公版神隊友」，為會議紀錄整理工具，將以往需要30到40小時整理的會議紀錄整理工作，縮短為6小時。另外，財政部、內政部、公共工程委員會也應用於文獻研究、報表審核、採購問答，提升行政效率。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">Apple Wallet</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國TSA擴大數位身分應用，蘋果Apple Wallet將支援Digital ID</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AW.jpg" style="width: 600px; height: 415px;" /></p> <p>負責美國境內公共運輸安全的運輸安全管理局（TSA）推動的Digital ID數位身分近日有新進展，蘋果宣布將支援Digital ID，讓使用者可在Apple Wallet建立數位化護照，未來搭乘美國境內航班的身份驗證，可出示iPhone和Apple Watch通過身份驗證。</p> <p>TSA的Digital ID為一項數位身分技術，可讓使用者以電子身分通過公共運輸的身分查驗，目前可將美國護照或是州所核發的駕照存入手機內的數位身分皮夾，像是Apple Wallet、Google Wallet、Samsung Wallet，以數位身分代替實體證件完成身分查驗，不過目前該計畫僅支援美國境內使用，並不適用國際旅運。</p> <p>蘋果的這項宣布，使得iPhone、Apple Watch用戶可憑手機或手錶的Apple Wallet，使用數位化護照來通過美國超過250個機場的TSA安檢站。Digital ID強調不需攜帶實體證件，並使用加密技術，以及身分驗證使用最少資料的原則。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位金流</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">CBDC</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>央行數位金流平臺支援11月普發現金撥款</strong></span></p> <p>央行數位貨幣（CBDC）研究與實驗計畫所打造的「數位金流平臺」，近期首次支援政府的普發現金作業，在確認民眾符合普發現金資格後，由數位金流平臺執行撥款入帳動作。</p> <p>根據央行的說明，數位金流平臺建置完成後，8月率先於「客家幣」的應用場景測試，運作順暢，今年11月數位金流平臺將會支援政府普發現金作業，該平臺主要負責跨行金流撥付與交易狀態紀錄，民眾不論採取哪種領取模式，都會先由數發部的「發放平臺」確認資格，並進行重覆領取檢查，再將名單交由「數位金流平臺」處理跨行金流撥款入帳。</p> <p>央行指出，以往政府普發現金多為一次性專案，每次都需要重新開發系統及流程，必需耗費資源重複投入，而由央行規畫及監督的「數位金流平臺」，由財金公司建置及營運，其特色便是模組化及可重覆使用，基於處理公共金流的需要，數位金流平臺著重在高併發及安全性的設計，可處理2,300萬人同時上線，以及彈性擴充，確保系統的穩定性。</p> <p>除了可支援普發現金、補助款發放，也能用於物資發放、地方政府的獎勵點數，有助於公共金流的處理效率。數位金流平臺也是未來央行推動CBDC的基礎。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位金流</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">CBDC</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>數發部：未來5年智慧政府數位化精進方向，智慧化為民服務、強化資料治理、深化基礎建設三大方向</strong></span></p> <p>國科會近期召開委員會議，數發部向國科會報告未來5年（2026年到2030年）的「智慧政府數位化精進發展方向」計畫，將運用AI帶動政府為民服務創新，並透過強化資料治理帶動資料分析應用及主權AI，以及深化基礎建設三大方面。</p> <p>該計畫承接2021年到2025年的「服務型智慧政府2.0推動計畫」，數發部數位政府司長王誠明指出，我國數位政府發展歷程，從過去人工服務，發展至線上服務、一站式服務，未來將會朝向智慧服務發展，民眾過去要自己找服務，未來民眾只要問問題，甚至不需要問，服務就會自己來。</p> <p>在此一願景之下，政府的16個部會推動AI發展，在應用服務方面，例如衛福部發展民眾線上申辦智能客服，提供24小時的智能客服，讓民眾可透過文字及語音客服隨問即答；法務部的法務智慧平臺及各種公務上的AI助理，包括檢察偵辦助理、行政助理、公文助理等等；此外，經濟部推動AI輔助審查，透過AI來輔助人員審查大量書件。</p> <p>在資料治理方面，例如數發部正研究隱私強化作法，以加強不同部會的資料匯整，資料索引不需使用個資，以方便跨領域的資料分析應用，另外，也推動AI訓練語料資料庫，支援主權AI模型的發展。</p> <p>基礎建設方面，包括培養政府人員AI認知及能力，帶動地方政府數位轉型、促進政府機關流程再造，並深化政府網路傳輸、電子憑證、數位服務雲端化發展，以及持續精進政府入口網、政政府機關TryAI平臺等等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">CBDC</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>吉爾吉斯與幣安合作推出穩定幣、CBDC</strong></span></p> <p>中亞國家吉爾吉斯總統Sadyr Japarov近期指出，該國已與幣安(Binance)合作，聯手推出穩定幣、央行數位貨幣(CBDC)，並建立加密貨幣儲備，大力擁抱加密貨幣。</p> <p>身為前蘇聯解體後獨立的國家，吉爾吉斯境內多山，人口約為700萬，近幾年該國積極推動加密貨幣發展，吉爾吉斯最新的宣布則是和幣安合作，在幣安鏈上推出該國穩定幣，同時吉爾吉斯的央行數位貨幣索姆也計畫用於政府的支付機制。Sadyr Japarov也任命幣安創辦人趙長鵬擔任數位資產顧問。</p> <p>吉爾吉斯並非首次發行穩定幣，先前該國曾發行穩定幣A5A7，為俄羅斯盧布所支持，但是因為特殊的背景，被西方國家指控為幫助俄羅斯規避烏克蘭戰爭制裁而被制裁。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位轉型</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國政府與Perplexity達成協議，加速聯邦政府機構導入AI工具</strong></span></p> <p>美國政府加速導入AI，總務管理局 (GSA)近日宣布已與Perplexity達成協議，以極低的價格為聯邦政府機構提供安全、企業級AI研究和起草能力。</p> <p>根據GSA與Perplexity的協議，聯邦政府機構得以MAS IT獎勵計畫，以每家機構0.25美元的極低價格，在18個月內使用Perplexity Enterprise Pro for Government。GSA這項行動呼應白宮推動的美國AI行動方案，推動美國成為政府採用AI應用的領導者，確保聯邦政府人員有能力利用AI促成營運現代化、決策。</p> <p>這也是美國政府推動OneGov策略的一部分，直接和原廠公司合作，以降低成本，此外，透過直接合作，讓費用價格透明化、簡化採購流程，並宣稱提升網路安全防護。</p> <p>在此之前，GSA也與OpenAI達成協議，提供聯邦行政機構以象徵性的1美元年費使用ChatGPT Enterprise，但為期僅一年，其他類似的協議還有Google、Anthropic，顯示美國政府積極透過與AI技術原廠合作，加速聯邦政府機構採用現代化的AI工具。</p> <p> </p> <p>圖片來源／數發部、蘋果</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.紐西蘭擬發射自有衛星，強化災害應變、監控非法活動</strong></p> <p><strong>2.北約與Oracle簽約，關鍵系統上雲強化資源運用及災害復原韌性</strong></p> <p>資料來源：iThome整理，2025年11月</p> </div></div></div>
2025/11/21 17:04作者蘇文彬https://www.ithome.com.tw/news/172393
Google更新Quick Share以與AirDrop互通，Android手機與iPhone可以互傳檔案了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google周四（11/20）<a href="https://blog.google/products/android/quick-share-airdrop/" target="_blank">更新了Android Quick Share</a>，以讓它能與蘋果的AirDrop互通，讓Android裝置與iPhone、iPad及Mac能夠互傳檔案。<a href="https://arstechnica.com/gadgets/2025/11/the-eu-made-apple-adopt-new-wi-fi-standards-and-now-android-can-support-airdrop/" target="_blank">Ars Technica則說</a>，這是因為歐盟的《數位市場法》（Digital Markets Act，DMA）要求蘋果放棄私有的AWDL（Apple Wireless Direct Link），改採開放的Wi-Fi Aware標準，才促成了這樁美事。</p> <p>Android Quick Share與AirDrop各是Google及蘋果裝置內建的近距離檔案分享功能，它們的概念相同，都是先利用藍牙來發現附近的裝置，再透過裝置對裝置（peer-to-peer）無線通訊技術Wi-Fi Direct來建立高速且加密的P2P連線，讓使用者可直接分享照片、影片、文件與網址，而不需連結網路。然而，僅管概念相同，兩者卻因底層所採用的協定不同而無法相通。</p> <p>根據Ars Technica的報導，蘋果是在歐盟的壓力下才自iOS 26/iPadOS 26開始，支援開放的Wi-Fi Aware。Wi-Fi Aware是由Wi-Fi聯盟（Wi-Fi Alliance）所制定的「近距離裝置發現與直接通訊」標準，它讓兩臺裝置不需要路由器、基地臺或事先配對，就能自動偵測彼此並建立點對點連線。</p> <p>總之，目前最新的Pixel 10系列，已可透過更新後的Quick Share與蘋果的AirDrop互傳檔案，但僅支援AirDrop的「開放所有人10分鐘」（Everyone for 10 minutes）模式（另外兩個模式為關閉及僅限聯絡人）。</p> <p>當Pixel 10、Pixel 10 Pro、Pixel 10 Pro XL或Pixel 10 Pro Fold用戶<a href="https://support.google.com/android/answer/9286773" target="_blank">在裝置上開啟Quick Share後</a>，系統會開始掃描附近的裝置；若這些iPhone、iPad或Mac已將AirDrop設為「開放所有人10分鐘」，它們就會出現在可分享清單中。使用者可選擇要傳送的檔案與目標裝置，並等待對方於AirDrop通知中按下「接受」即可完成傳輸。</p> <p>Google表示，Quick Share與AirDrop的互通以安全為核心打造，通訊層以記憶體安全語言Rust撰寫，避免常見的記憶體漏洞。整個功能遵循安全設計原則，經過威脅模型分析、內部安全審查與滲透測試，跨平臺傳輸以加密的點對點連線進行，不會經過伺服器或記錄內容，所有分享都需接收者同意。Google也委託NetSPI進行第三方驗證，確認無資訊外洩並具備高安全性。</p> </div></div></div>
2025/11/21 15:26作者陳曉莉https://www.ithome.com.tw/news/172391
Google自家AI生成圖像全面嵌入C2PA與SynthID浮水印
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/technology/ai/ai-image-verification-gemini-app/" target="_blank">Google周四（11/20）宣布</a>，即日起所有自家模型所生成的圖像都會自動嵌入SynthID浮水印與C2PA（內容來源與真實性聯盟，Coalition for Content Provenance and Authenticity）元資料，以提高AI產物的透明度；同時，Gemini App也將具備驗證SynthID浮水印的能力。</p> <p><a href="https://www.ithome.com.tw/news/158496" target="_blank">SynthID是DeepMind所開發的AI內容標記技術</a>，於AI內容中嵌入難以移除的數位訊號。至於C2PA則是由Adobe、微軟、BBC、紐約時報及Arm在2021年成立的聯盟，目的是制定一套全球通用的內容來源與真實性標準，作法是在AI生成內容中加入一組可讀取的元資料，以記錄內容如何生成、使用什麼模型、是否被修改過，或是經過哪些工具處理等，以讓外部平臺或工具可查驗來源。</p> <p>這項雙重標記機制將率先套用在Google的主要生成服務，包括Gemini App、Nano Banana Pro（Gemini 3 Pro Image）、Vertex AI與Google Ads。只要透過上述產品生成的圖像，都會自動帶有SynthID浮水印與C2PA元資料；未來Google計畫將同樣的標記制度，擴大至更多自家產品與更多格式（如影片與音訊），使整個Google生態系的AI生成內容都具備一致的可追溯性框架。</p> <p>在內容全面標記後，Google同步為Gemini App加入驗證能力。使用者只需上傳圖片並詢問是否由Google AI生成，Gemini就能檢查其中的SynthID浮水印，並結合模型推理提供判斷。下一階段才會支援C2PA內容憑證的驗證，使非Google生態系生成的內容也能被查證。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1121-SynthID-gemini%20app-2.png" style="width: 600px;" /></p> <p>目前可檢驗C2PA元資料的工具或服務，包括由Adobe等成員共同維護的Content Credentials驗證網站，以及Photoshop與Lightroom等Adobe產品內建的內容憑證功能，也有部分新聞驗證工具可存取C2PA資料。</p> </div></div></div>
2025/11/21 14:28作者陳曉莉https://www.ithome.com.tw/news/172384
中國駭客APT24入侵臺灣數位行銷業者從事供應鏈攻擊，散布惡意程式BadAudio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著臺海局勢不斷升溫，中國駭客對臺從事網路間諜活動的情況相當頻繁，如今有駭客組織活動長達3年才被發現。</p> <p>Google威脅情報團隊（GTIG）<a href="https://cloud.google.com/blog/topics/threat-intelligence/apt24-pivot-to-multi-vector-attacks"><strong>追蹤中國駭客APT24的活動</strong></a>，自2022年開始，該組織透過多種管道，散布惡意程式BadAudio，這些管道包括：有策略地發動駭入網站的行動，以及魚叉式網路釣魚，值得留意的是，APT24已多次滲透特定臺灣數位行銷公司的供應鏈。</p> <p>針對這些駭客的活動，起初GTIG在2022年11月，看到逾20個網站遭入侵，攻擊者疑似隨機挑選目標下手，範圍涵蓋地區型產業及休閒用品等廣泛領域，對網站注入JavaScript惡意酬載，根據瀏覽網站的使用者特徵（指紋），挑選目標下手，專門針對Windows用戶，排除macOS、iOS，以及安卓作業系統。特別的是，他們排除了作業系統內建的IE與Edge，以及衍生的其他瀏覽器，這代表他們縮小範圍，試圖針對潛在具有高價值的目標而來。</p> <p>一旦網站注入的JavaScript確認用戶的特徵，完成偵察並透過HTTP請求回傳給攻擊者控制的網域，就會顯示偽造的彈出視窗，引誘使用者下載及執行BadAudio，其中一種手法，就是假冒Chrome更新的名義，這種手法持續接近3年，APT24到今年9月仍從事相關活動。</p> <p>不過，在上述透過網站的策略之外，去年這些駭客也從事更具目標性的攻擊。GTIG在去年7月看到APT24從事供應鏈攻擊，入侵一家臺灣數位行銷公司，導致超過1千個網域受到波及，而且，這家公司去年多次被這些駭客重複入侵。至於APT24如何取得這家公司的初始入侵管道，GTIG並未說明，也沒有公布這家公司身分，但強調他們已採取整治活動，向受害公司與下游的網站用戶通報，並提供細節與資料，讓他們能夠防範相關威脅。</p> <p>APT24將惡意指令碼注入受害公司廣泛使用的JavaScript程式庫，並利用域名搶注（Typosquatting）的網域名稱，來冒充合法的CDN服務。</p> <p>一旦此程式庫在客戶網站運作，就會動態載入合法的jQuery與FingerprintJS2程式庫，並收集網站使用者的特徵，並將相關資料回傳給攻擊者，若是成功，C2就會根據回應資料欄位中的URL，動態載入一連串指令碼，將使用者重新導向BadAudio相關網頁。為了隱匿蹤跡，APT24不僅將JavaScript指令碼進行高度混淆處理，並刻意埋藏在特定JSON檔案，再透過另一個JavaScript檔案載入及執行。</p> <p>除了上述活動，這些駭客也透過網釣從事高度社交工程攻擊，其中有信件冒充動物救援組織進行誘騙，另有濫用Google Drive與OneDrive散布BadAudio的情況。</p> <p>對於BadAudio這支惡意程式，GTIG指出是以C++打造而成的惡意程式下載工具，能收集受害電腦系統資訊，並從C2下載經AES演算法處理的有效酬載並解密，其中一種攻擊者最常搭配使用的有效酬載，是滲透測試工具Cobalt Strike的Beacon。</p> </div></div></div>
2025/11/21 11:13作者周峻佑https://www.ithome.com.tw/news/172377
Nano Banana Pro問世，大幅改善文字渲染並具備推理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google於週四（11/20）發表了<a href="https://blog.google/technology/ai/nano-banana-pro/" target="_blank">Nano Banana Pro（Gemini 3 Pro Image）</a>，這是一款專業級圖像生成模型，強調高畫質輸出、具備推理能力、改善文字渲染，並能處理複雜構圖。</p> <p>Google在2025年8月正式推出圖像生成模型<a href="https://www.ithome.com.tw/news/170843" target="_blank">Gemini 2.5 Flash Image</a>，內部代號為Nano Banana，可用於修復照片或生成圖像，供使用者透過Gemini App使用。上線10天內，全球用戶就利用它<a href="https://www.ithome.com.tw/news/171029" target="_blank">生成超過2億張圖片</a>，其中最熱門的提示為生成公仔。自此，其代號「奈米香蕉」就取代了原本的Gemini Image正式名稱，連Gemini 3 Pro Image的發表，Google都直接在標題上稱它為Nano Banana Pro。</p> <p>Nano Banana Pro與前一代最大的差異在於推理能力與文字品質。作為Gemini 3 Pro Image，此模型可利用Search grounding將現實世界的內容直接視覺化，包括食譜流程、植物資訊、天氣變化、歷史背景與資料圖表等。Google指出，新版模型能理解更多脈絡，使教育、科普與商業應用的圖像更貼近事實與內容邏輯。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Final_Plant.max-1080x1080.format-webp.webp" style="width: 600px;" /></p> <p>文字渲染是此次升級的重點之一。前一代容易出現錯字或變形，Nano Banana Pro則可在圖像中生成清晰、可閱讀的多語言文字，並支援字體樣式、粗細與排版控制。模型能在海報、產品包裝、資訊圖表與介面原型中呈現段落級內容，也能將圖片中的英文翻譯成其他語言，同時保持原本版面，可用於跨市場視覺測試。</p> <p>構圖與合成能力也獲得強化。Nano Banana Pro可同時處理最多14張圖片，並保持最多5個人物的光線、材質與外貌一致性，適用於情境視覺、時尚圖像、團體照與品牌概念示意。Google表示，新版模型能維持角度、陰影與表面反射的完整性，可用於將草圖轉換為產品原型或建立複雜3D構圖。</p> <p>Nano Banana Pro還加入許多專業級圖像控制功能，包括局部編輯、光線調整、景深切換、焦點選擇、相機角度設定與色彩分級。使用者可切換日夜場景、重新設定前景對焦，或輸出1K、2K與4K解析度，以對應廣告、列印、簡報與社群媒體需求。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/WM---Flower-Girl.max-1080x1080.format-webp.webp" style="width: 600px;" /></p> <p><a href="https://blog.google/products/gemini/prompting-tips-nano-banana-pro/" target="_blank">Google提出了Nano Banana Pro的使用技巧</a>，建議在提示語中同時描述主體、構圖、動作、場景與風格，以提升畫面一致性；若需專業效果，可加入光線、鏡頭角度、景深與長寬比等參數。進行多圖合成時，建議分別註明每張圖片的角色與用途，如人物、背景或姿勢來源，有助於模型維持外觀一致並控制整體構圖。</p> <p>目前Google已在多個產品上供應Nano Banana Pro。一般使用者可透過Gemini App中的Create images功能使用；開發者則可透過Gemini API、AI Studio與Vertex AI取得；企業與行銷端可在Google Ads、Google Slides與Vids中使用；Flow則提供分鏡與影片場景控制功能。不同方案具有不同的使用額度，免費用戶在用完額度後會回到前一代Nano Banana，而Google AI Plus、Pro與Ultra訂閱者可取得較完整的功能。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/11/21 12:29作者陳曉莉https://www.ithome.com.tw/news/172380
PHP 8.5正式版推出，標準化URL處理並新增Pipe語法簡化程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>PHP開發團隊發布最新穩定版<a href="https://www.php.net/releases/8.5/en.php">PHP 8.5.0</a>，這是語言的最新版本更新，延續8.4的方向，重點放在提升語法表達力與開發效率，同時維持與現有專案的高度相容。官方預定在2027年底前提供主動維護，安全更新則持續至2029年底。</p> <p>PHP 8.5受關注更新的是全新的URI內建擴充套件，提供標準化的URL解析與操作能力，整合uriparser與Lexbor兩個底層函式庫，能依據RFC 3986與WHATWG URL規範解析、正規化與修改URL，讓開發者不必再以字串處理方式應付部分特殊案例，提升安全性與一致性。</p> <p>PHP 8.5也引入Pipe運算子，讓函式呼叫能以從左到右的流程串接，不需層層巢狀呼叫或建立中間變數，該語法不會改變既有功能，但讓資料處理的思考方式更直覺，符合人類的閱讀語序。另一項新語法Clone With，允許在clone()時直接修改屬性值，特別適合唯讀類別的不可變設計，簡化了以往必須撰寫額外with方法的樣板程式。</p> <p>在語言安全上，PHP 8.5 新增 #[\NoDiscard] 屬性，可在未使用函式回傳值時發出警告，避免忽略重要結果。當開發者確定要忽略回傳值時，可以以 (void) 轉型明確標示，這項設計強化程式的可預期性，也讓 API 使用行為更清楚。</p> <p>PHP 8.5允許靜態閉包（Closure）與第一級可呼叫物件（First-class Callable）出現在常數運算式中，例如屬性參數與預設值設定，讓框架能以更簡潔的方式內嵌存取控制與驗證邏輯。</p> <p>標準函式庫也加入多項實用強化，包括支援持久化cURL Share Handle，以重複利用DNS與連線資訊降低延遲，並新增array_first()與array_last()函式，讓取得陣列首尾元素更直覺，同時還提供grapheme_levenshtein()支援Unicode字元叢集的字串距離計算。錯誤處理則新增致命錯誤回溯功能與新的錯誤處理查詢函式，協助開發者在排錯時更快找到問題。</p> <p>PHP為清理舊有語法，同時棄用反引號作為shell_exec別名，非標準型別轉型名稱與部分魔術方法也被標記為棄用。</p> </div></div></div>
2025/11/21 12:40作者李建興https://www.ithome.com.tw/news/172378
微軟發表相容PostgreSQL的Azure HorizonDB，支援大型工作負載並內建AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟在Ignite 2025發表<a href="https://techcommunity.microsoft.com/blog/adforpostgresql/announcing-azure-horizondb/4469710">雲端資料庫服務Azure HorizonDB預覽版</a>，這是一款相容PostgreSQL的全託管產品，主打雲端原生架構，鎖定需要運行大型企業工作負載，同時又想在同一套資料庫上加入AI與向量搜尋能力的使用情境。目前僅在美國、英國與澳洲等區域開放申請試用。</p> <p>微軟指出，Postgres已成為新應用開發與企業系統現代化的重要選擇，而Azure HorizonDB希望成為這股趨勢下的雲端平臺，從新專案的第一行程式碼，到既有關鍵系統搬上雲端，都能在與PostgreSQL相容的Azure HorizonDB上完成。</p> <p>Azure HorizonDB採共用儲存與彈性擴展運算設計，強調能對應不同規模的雲端應用。該服務的計算資源可擴展到最多3,072個vCore，並透過自動擴展的共用儲存支援單一資料庫最大128 TB容量，同時在多可用區域部署情況維持亞毫秒等級的交易提交延遲。微軟指出，Azure HorizonDB在交易型工作負載上，相較於開源版Postgres，Azure HorizonDB最多可提供約3倍的輸送量。</p> <p>Azure HorizonDB服務原生支援Entra ID與Private Endpoint，搭配資料加密機制，以對應雲端環境中的敏感資料保護需求。所有資料預設會跨可用區域複寫，備份則由系統自動管理，日常維護作業標榜可在接近零停機的情況下完成，再加上與Azure Defender for Cloud的整合，微軟描述該服務具備企業級安全、合規與可靠性的PostgreSQL雲端選擇。</p> <p>對AI應用的支援是Azure HorizonDB的另一項重點，微軟加入DiskANN向量索引，並以進階篩選功能，讓查詢條件可以在向量相似度搜尋執行時就被推送到索引層處理，降低延遲並提升在交易資料上的相似查詢效率。微軟表示，相較於目前PostgreSQL實作常使用的向量搜尋法pgvector HNSW，在維持相似度搜尋準確度的同時，DiskANN有更好的效能與擴展性，特別適合在Postgres上針對交易資料進行相似度查詢。</p> <p>Azure HorizonDB內建AI模型管理功能，可與Microsoft Foundry提供的生成、嵌入與重排序模型整合，讓開發者在資料庫環境中使用模型時，不需要再額外進行設定或部署。</p> <p>開發工具方面，微軟也宣布Microsoft PostgreSQL Extension for VS Code正式版上線，支援包含Azure HorizonDB在內的Postgres服務，讓GitHub Copilot能掌握實際資料庫結構，協助撰寫查詢與診斷效能問題。同時在這個擴充套件中提供由GitHub Copilot驅動的Oracle搬遷功能預覽，可在VS Code整合開發環境裡自動轉換複雜資料庫程式碼，降低大型系統轉向Postgres的門檻。</p> </div></div></div>
2025/11/21 08:29作者李建興https://www.ithome.com.tw/news/172368
Blender 5.0引進新HDR與光影運算，3D畫面更接近真實拍攝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Blender基金會推出開源3D內容製作軟體<a href="https://www.blender.org/download/releases/5-0/">Blender 5.0</a>，重點放在導入HDR色彩與新一代光影運算，讓3D算繪在支援HDR的螢幕與電視上，更接近實際攝影畫面的亮度與細節。Blender 5.0大幅整理製作工作管線，除了色彩管理，還針對材質算繪和專案檔與外掛相容性規則等進行改善，讓影像製作、後期處理與跨專案協作更一致。</p> <p>在色彩管理方面，Blender 5.0整合影視級ACES 2.0與HDR工作流程，內建比過去Filmic、AgX更貼近電影與影視後製的色彩空間與檢視轉換（View Transform）。搭配寬色域與HDR顯示設定，創作者可以在同一個專案裡，同時處理實拍HDR影像與3D算繪畫面，減少在不同軟體間來回搬移檔案與調整對比的時間，也降低素材在不同顯示環境間產生亮度與對比差異，造成最終畫面不一致的風險。</p> <p>Blender 5.0更新了基於光線追蹤的Cycles算繪引擎，調整體積光與次表面散射模型，針對多層煙霧、雲層與皮膚等半透明材質的光線傳遞行為進行修正，目標是在高亮度與HDR環境下保持更穩定且可預期的呈現效果。這些改動有助於3D影像與實拍畫面的整合，讓霧氣、逆光輪廓與膚色細節更容易搭配鏡頭實際拍攝的光影分布，並減少製作過程中需要反覆測試與調整參數的時間。</p> <p>合成器在5.0加入節點資產櫃（Asset Shelf），並擴充鏡頭模擬等節點類型，讓常用的色彩校正或鏡頭處理可以封裝成範本，在不同專案間直接呼叫，減少重複設定的步驟，也讓節點式編輯環境在後製流程中更容易維持一致性。幾何節點則新增體積格點（Volume Grids）等資料型別，方便以程序化方式建立場景、雲層或特效的團隊，處理大量模擬資料時能更清楚掌握專案結構，也降低多層級節點樹在大型場景中變得難以維護的問題。</p> <p>底層架構與相容性也是這次Blender更新值得注意的地方，5.0調整.blend檔格式以支援更大型場景，並放寬資料名稱長度限制，方便大型專案採用較具描述性的命名規則。不過，新版儲存的檔案在舊版Blender開啟時，部分功能或資料可能會遺失，尤其是使用大型緩衝區或較長名稱的場景，再加上硬體最低需求與外掛API也有變動，團隊在搬遷主力製作環境時仍需要先行測試。</p> </div></div></div>
2025/11/21 08:34作者李建興https://www.ithome.com.tw/news/172370
【資安日報】11月20日，華碩路由器成ORB網路的綁架目標，臺灣是主要目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今天最受到國內關注的資安新聞，就屬華碩路由器遭來自中國的駭客綁架的事故，揭露此事的資安業者提及，受害路由器最多的地方就是臺灣，若依據比例換算影響規模，全臺可能有1.5萬至2.5萬臺Wi-Fi路由器遭駭，值得留意的是，歹徒利用的弱點，皆為華碩完成修補的已知漏洞，這代表許多使用者仍尚未套用相關更新，而讓歹徒有可乘之機。</p> <p>另一起也相當值得留意的消息，是對於中國駭客PlushDaemon最新的調查發現，有別於先前他們曾經直接針對軟體下手，這次是攻擊路由器設備，讓使用者在執行特定軟體的更新時，電腦逕自從攻擊者的伺服器下載惡意軟體。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172360"><strong style="font-size: 22px;">華碩路由器已知漏洞遭到利用，中國駭客以此綁架設備，意圖架設ORB網路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/KdLuVvIFAV.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/KdLuVvIFAV.png" style="width: 300px; float: right;" /></a></p> <p>資安業者SecurityScorecard與華碩聯手，調查攻擊行動Operation WrtHug，駭客鎖定華碩WRT系列路由器，疑似濫用檔案共用服務AiCloud及已知漏洞，取得高權限，以此綁架路由器，目的是建置ORB網路，近半年已入侵超過5萬臺裝置。值得留意的是，臺灣是主要目標，因為有高達30%至50%的路由器集中在臺灣，若依此比例換算影響規模，臺灣可能有1.5萬至2.5萬臺Wi-Fi路由器遭到綁架。不過，韓國、日本、香港、俄羅斯、中歐，以及美國，也出現受害裝置。</p> <p>針對攻擊者利用的漏洞，主要是4個高風險層級的作業系統命令注入漏洞，分別是：CVE-2023-41345、CVE-2023-41346、CVE-2023-41347，以及CVE-2023-41348，CVSS風險評分皆為8.8，附帶一提，當時這些漏洞也被登記為CVE-2023-39780列管。</p> <p>不過，他們也有利用任意命令執行漏洞CVE-2024-12912，以及身分驗證控制不當漏洞CVE-2025-2492的情形，這些漏洞的風險值為7.2與9.2，而這兩項漏洞的共通點，就是存在於AiCloud，因此SecurityScorecard認為，攻擊者顯然將這種雲端服務作為初始入侵管道。</p> <p><a href="https://www.ithome.com.tw/news/172357"><strong style="font-size: 22px;">中國駭客PlushDaemon從事軟體供應鏈攻擊，入侵路由器竄改DNS組態，以便對受害電腦散布惡意軟體更新</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PlushDaemon-figure-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PlushDaemon-figure-2.png" style="width: 300px; float: right;" /></a></p> <p>攻擊範圍涵蓋臺灣、香港、柬埔寨、韓國、中國、美國，以及紐西蘭的中國駭客組織PlushDaemon，先前曾因為對韓國VPN業者IPany發動供應鏈攻擊，引起外界高度關注，現在傳出這些駭客鎖定路由器等連網設備散布新的惡意程式，以此從事軟體供應鏈攻擊。</p> <p>資安業者ESET揭露PlushDaemon最新一波攻擊，他們鎖定路由器等網路裝置，疑似透過裝置的資安漏洞，或是利用弱密碼及預設帳密，於連網裝置植入惡意程式EdgeStepper，此惡意軟體會將使用者DNS的查詢重新導向，連至外部網路的遭綁架惡意節點，然後檢查DNS查詢訊息的網域，是否與軟體更新有關，並回報惡意節點。ESET提及，其中一種PlushDaemon最常針對的軟體更新網域，是搜狗拼音輸入法。</p> <p>接著，受害者電腦上的更新軟體，就會與攻擊者挾持的節點通訊，發出下載惡意DLL檔案LittleDaemon的HTTP GET請求，該程式庫將會下載另一個惡意程式碼DaemonicLogistics，並於記憶體內執行，最終於受害電腦部署後門程式SlowStepper。</p> <p><a href="https://www.ithome.com.tw/news/172366"><strong style="font-size: 22px;">英國針對7-Zip用戶警告，駭客積極利用符號連結漏洞從事活動</strong></a></p> <p>11月18日英國國家健康服務部英格蘭數位局（NHS England Digital）提出警告，他們掌握7-Zip資安漏洞CVE-2025-11001已遭利用的情況，呼籲用戶及企業組織應儘速更新，升級至25.00以上版本（編按：目前最新版本為25.01）。</p> <p>他們也提及有資安研究員發布概念驗證（PoC）程式碼的情況，攻擊者有機會藉此濫用符號連結（Symbolic-Link）機制，將檔案寫入解壓縮檔案的資料夾以外的地方，在特定情況下，攻擊者有機會執行任意程式碼。不過，究竟攻擊者如何利用漏洞，NHS England Digital並未說明。</p> <p>值得留意的是，攻擊者利用7-Zip漏洞的情況，已有前例，今年2月，趨勢科技指出，他們在去年看到俄羅斯駭客利用漏洞CVE-2025-0411，攻擊烏克蘭政府機關與非政府組織，企圖於受害電腦植入SmokeLoader。</p> <p><a href="https://www.ithome.com.tw/news/172333"><strong style="font-size: 22px;">Cloudflare故障6小時，波及ChatGPT及X等服務</strong></a></p> <p>美國網路基礎設施業者Cloudflare在世界協調時間（UTC）周二（11/18）早上11時許發生故障（約是臺灣時間11/18晚上7時許），原本內部以為遭到大規模的分散式服務阻斷（DDoS）攻擊，結果發現是變更資料庫系統權限的一系列操作所觸發。此故障延續約6小時，一直到臺灣時間11/19凌晨1點多才恢復正常。Downdetector顯示Spotify、Facebook、Anthropic、X、OpenAI與AWS等服務，在Cloudflare事故同一時段出現大量使用者回報，雖無法確認因果關係，但時間重疊，推測可能受到牽連。</p> <p>Cloudflare很快公布了此次意外的始末，表示他們在UTC 11:05於ClickHouse資料庫上部署權限更新，讓使用者能顯式看到底層資料庫r0的欄位資訊。然而，Bot Management功能檔的生成查詢並未過濾資料庫來源，更新後同時抓到default與r0兩份相同欄位，導致功能檔內容倍增。</p> <p>功能檔在全網傳播後，代理模組（FL/FL2）因其特徵數量超過預先配置的上限而發生錯誤並崩潰，使得全球自UTC 11:20起出現第一波伺服器錯誤（HTTP 5xx）。</p> <p><a href="https://www.ithome.com.tw/news/172364"><strong style="font-size: 22px;">NPM蠕蟲套件規模擴大，攻擊者產生逾15萬套件，目的是牟取加密貨幣換取經濟利益</strong></a></p> <p>上週3家資安業者SourceCodeRED、Endor Labs，以及Sonatype提出警告，蠕蟲程式IndonesianFoods出現在NPM套件儲存庫，攻擊者以印尼語人名與食品術語隨機組合出套件名稱，以自動化的方式，平均每7秒就上架一個惡意套件，後續大型雲端服務業者Amazon也表示觀察到相關活動，並公布調查結果與處理情形。</p> <p>Amazon Inspector資安團隊指出，這起活動最早可追溯到約10月24日，當時他們嘗試加入新偵測規則，並結合AI技術，結果開始發現有些不尋常的NPM套件，共通點是具備與加密貨幣Tea（tea.xyz）的通訊協定有關特徵，Tea是獎勵開放原始碼開發人員的區塊鏈平臺。</p> <p>11月7日他們發現數千個套件，並著手調查，後續向開源基金會（OpenSSF）通報此事。經過OpenSSF的確認與協調，Amazon透過系統性的方式，將惡意套件登錄到OpenSSF惡意套件資料庫。這波攻擊持續到12日才告一段落，總共找到超過15萬個有問題的NPM套件。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=173215&SPOKE_DATE=20251119&COMPANY_ID=1414"><strong style="font-size: 22px;">東和紡織發布資安重訊，公告部分資訊系統遭網路攻擊</strong></a></p> <p>11月19日紡織業者東和在股市公開觀測站發布資安重訊，指出該公司部分資訊系統遭到網路攻擊，他們啟動資安防禦機制，與外部資安專家協同處理，將對所有系統進行資安掃描檢測後，以日常備份資料恢復運作。</p> <p>根據東和初步評估，此次事故對公司營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/iran-linked-hackers-mapped-ship-ais.html">伊朗駭客入侵軍用船艦的自動識別平臺，意圖協助軍隊進行飛彈射擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/python-based-whatsapp-worm-spreads.html">以Python打造的WhatsApp蠕蟲鎖定巴西，散布竊資軟體Eternidade Stealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/tamperedchef-malware-spreads-via-fake.html">惡意軟體TamperedChef以提供AI工具為誘餌來散布</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/servicenow-ai-agents-can-be-tricked.html">ServiceNow的AI代理存在弱點，攻擊者有機會透過二階段提示進行注入攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/w3-total-cache-wordpress-plugin-vulnerable-to-php-command-injection/">WordPress外掛W3 Total Cache存在重大漏洞，可被用於注入PHP命令</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172342"><strong>【11月19日】瀏覽器V8引擎存在零時差漏洞，用戶應儘速更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172323"><strong>【11月18日】惡意NPM套件濫用雲端資安防護服務，意圖過濾資安研究員</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172285"><strong>【11月17日】Fortinet旗下WAF重大漏洞已出現攻擊活動</strong></a></p> </div></div></div>
2025/11/20 17:38作者周峻佑https://www.ithome.com.tw/news/172369
英國針對7-Zip用戶警告，駭客積極利用符號連結漏洞從事活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>論及壓縮軟體，許多人可能會想到<strong><a href="https://www.ithome.com.tw/tags/winrar">WinRAR</a></strong>或<a href="https://www.ithome.com.tw/tags/7-zip"><strong>7-Zip</strong></a>，然而，這些軟體並未內建自動更新機制，一旦使用者沒有及時升級新版程式，給歹徒留下可乘之機，在這兩年陸續有駭客鎖定WinRAR用戶後，今年也發生鎖定7-Zip用戶的情況。</p> <p>11月18日英國國家健康服務部英格蘭數位局（NHS England Digital）提出警告，<strong><a href="https://digital.nhs.uk/cyber-alerts/2025/cc-4719">他們掌握7-Zip資安漏洞CVE-2025-11001已遭利用的情況</a></strong>，呼籲用戶及企業組織應儘速更新，升級至25.00以上版本（編按：目前最新版本為25.01）。</p> <p>他們也提及有<strong><a href="https://pacbypass.github.io/2025/10/16/diffing-7zip-for-cve-2025-11001.html">資安研究員發布概念驗證（PoC）程式碼</a></strong>的情況，攻擊者有機會藉此濫用符號連結（Symbolic-Link）機制，將檔案寫入解壓縮檔案的資料夾以外的地方，在特定情況下，攻擊者有機會執行任意程式碼。不過，究竟攻擊者如何利用漏洞，NHS England Digital並未說明。</p> <p><a href="https://www.zerodayinitiative.com/advisories/ZDI-25-949/"><strong>CVE-2025-11001</strong></a>為7-Zip檔案處理過程造成的資料夾遍歷漏洞，攻擊者有可能以此遠端執行任何程式碼（RCE），CVSS風險評為7.0，利用漏洞存在條件，那就是必須與使用者互動。此漏洞發生的原因，在於7-Zip處理ZIP檔符號連結造成，導致壓縮檔特定內容能在非預期的資料夾出現，使得攻擊者能透過服務帳號執行程式碼。此漏洞影響24.09以下版本，7-Zip於今年7月發布25.00版修補。</p> <p>值得留意的是，攻擊者利用7-Zip漏洞的情況，已有前例，今年2月，趨勢科技指出，<a href="https://www.ithome.com.tw/news/167224"><strong>他們在去年看到俄羅斯駭客利用漏洞CVE-2025-0411</strong></a>，攻擊烏克蘭政府機關與非政府組織，企圖於受害電腦植入SmokeLoader。</p> </div></div></div>
2025/11/20 16:50作者周峻佑https://www.ithome.com.tw/news/172366
OpenAI發表可持續執行逾24小時任務的GPT-5.1-Codex-Max
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI周三（11/19）發表了<a href="https://openai.com/index/gpt-5-1-codex-max/" target="_blank">GPT-5.1-Codex-Max</a>。Codex是個以程式開發為核心的AI模型，新版強調專為長時間且細緻的工作所打造，可持續執行逾24小時的任務，同時也是首個針對Windows環境特別訓練的模型。GPT-5.1-Codex-Max將取代先前的GPT-5.1-Codex，成為所有Codex介面的預設模型。</p> <p>OpenAI指出，Codex-Max最大的突破在於能處理超大型脈絡。透過名為「壓縮」（Compaction）的機制，模型會在任務進行過程中自動摘要重要內容、移除不必要細節，使其能跨越多個脈絡視窗，在單一任務中連貫處理數百萬個Token。</p> <p>這讓以往因脈絡限制而難以完成的大型重構、系統級修補或跨檔案依賴追蹤等複雜工程任務變得可行；開發者也能讓模型連續運作數小時甚至整整一天，而不中斷或丟失脈絡。</p> <p>在基準測試中，Codex-Max在多項指標上全面超越舊版。在SWE-Bench Verified（測AI修復真實專案Bug的能力）中取得77.9%；在SWE-Lancer IC SWE（模擬工程師日常開發任務）中從66.3%升至79.9%；在TerminalBench 2.0（測AI在命令列環境的實作能力）中則提升至58.1%。</p> <p>OpenAI表示，新模型在維持同樣品質下，可減少約30%的思考Token用量，並在真實任務中提升約27%至42%的執行速度，使開發者能在相同成本下完成更多工作。</p> <p>這些效能差異在實測中也十分明顯。以GPT-5.1-Codex-Max對比前一代模型，在相同任務下，前代需耗費約3.8萬Token，而Max僅需1.6萬；產生的程式碼從667行減至529行；整體速度更快超過40%。其它測試中，Token使用量亦可從2.6萬降至1.6萬，或從1.2萬降至8,000。</p> <p>此外，Codex-Max也是首個針對Windows環境特別訓練的模型，可執行更精準的命令列操作，補足過去Mac較占優勢的情況。OpenAI透露，公司內部已有95%的工程師每週使用Codex，自導入後團隊的Pull Request產出量也增加約70%，顯示AI程式助手已深度融入日常開發流程。</p> <p>目前，Codex-Max已向ChatGPT Plus、Pro、Business、Edu與Enterprise用戶開放存取，API也將於近期推出。</p> </div></div></div>
2025/11/20 16:51作者陳曉莉https://www.ithome.com.tw/news/172367
GenUI SDK讓Flutter把對話轉成可操作UI，以LLM動態生成介面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google在Flutter生態系推出<a href="https://blog.flutter.dev/rich-and-dynamic-user-interfaces-with-flutter-and-generative-ui-178405af2455">GenUI SDK for Flutter</a>，目標不是再做一個聊天框，而是提供一套讓大語言模型（LLM）把文字回應轉換成可操作畫面的生成式UI工作流程，作為協調層負責在人類使用者、Flutter小工具（Widget）程式碼庫與AI代理之間交換資訊，讓應用程式能維持品牌風格動態生成介面。目前GenUI SDK for Flutter以Alpha測試版形式在pub.dev開放。</p> <p>傳統聊天機器人多半只回傳長段文字，當任務牽涉多個條件、比較或決策時，使用者往往要在對話紀錄中來回拉動畫面，體驗並不理想。GenUI要處理的是讓模型輸出不只是一串字，而是一份UI描述，交由前端SDK算繪成卡片、圖像、表單、滑桿或日期選擇器，使用者改以點選與調整參數進行對話，把複雜互動簡化成具體畫面。</p> <p>官方舉例，使用者輸入「幫我規畫東京旅遊」之後，應用程式會將這個提示以及可用小工具目錄送往AI代理。模型在生成行程建議文字的同時，也透過GenUI提供的工具，組出一棵適合呈現內容的UI結構樹，GenUI SDK接收回應後進行反序列化，把這棵樹還原為Flutter小工具並算繪之後，SDK會依描述中的標註區分出資訊呈現元件、版面配置元件與可互動控制項，並據此建立最終介面。</p> <p>使用者的點擊或輸入可以觸發新一輪請求，由代理依最新狀態回傳更新後的內容與介面，形成一個持續運轉的人機協作迴圈。</p> <p>這套流程建構在一組Google的生成式UI工具與協定，用來描述LLM要呈現的畫面布局與元件，可套用在不同前端框架。GenUI SDK for Flutter採用A2UI作為UI序列化格式，相當於讓Flutter成為A2UI的其中一個實作端，之後同一套代理邏輯在其他平臺上也有機會重複利用。</p> <p>GenUI目前支援多種內容生成器模式，包含直接呼叫Google Gemini API、透過Firebase AI Logic在客戶端存取Gemini，以及使用A2UI與後端代理伺服器對接。團隊也預留介面讓企業自行撰寫橋接器，串接自家LLM或其他雲端模型，只要能回傳符合A2UI格式的描述，就能沿用同一套Flutter前端與工作流程。</p> <p>官方提到後續會考慮與Agent Development Kit整合，新增更多主流LLM與後端框架的官方支援，並透過逐步算繪降低等待時間，甚至讓標準介面元件能在模型尚未回應完成前先出現在畫面上。更進一步的構想包括讓模型組合出整個畫面與導覽邏輯，甚至以Dart位元組碼實作由伺服器主導的UI架構，以及與Genkit等開源AI框架結合。</p> </div></div></div>
2025/11/20 16:57作者李建興https://www.ithome.com.tw/news/172365
xAI加入沙烏地AI工廠計畫，使用500MW旗艦GPU基地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>沙烏地阿拉伯AI新創<a href="https://www.humain.com/en/news/humain-and-xai-partner-to-build-next-generation-ai-compute-power-and-deploy-grok-in-the-kingdom-to-support-the-most-ai-enabled-nation-objectives" target="_blank">Humain周三（11/19）在美國舉行的美沙投資論壇上宣布</a>，xAI將與Humain合作，使用其位於沙烏地的500MW旗艦級GPU運算基地，並在該國部署xAI的Grok模型。</p> <p>Humain是由沙烏地阿拉伯主權財富基金Public Investment Fund（PIF）<a href="https://www.ithome.com.tw/news/168929" target="_blank">在今年5月所創立</a>，當時同步宣布了策略合作夥伴，涵蓋了Nvidia、AMD、思科、Qualcomm，以及沙烏地阿拉伯專門推動大數據與AI策略的政府組織SDAIA（Saudi Data & AI Authority），它們計畫在未來5年內於當地實現500MW的產能。</p> <p>在新的合作中，xAI的角色同時涵蓋共同建置、模型供應與大規模運算需求，成為該資料中心的主要使用者，這也是xAI首次在美國以外進行的大規模算力部署。</p> <p>Humain說明，這座超大規模GPU基地將成為沙烏地的核心AI算力樞紐，支援前沿模型的訓練、微調與推論，並作為全國AI應用的基礎設施。此一合作將擴大xAI既有的超級集群，使其具備跨國運算能力。</p> <p>除了硬體建置外，雙方也將合作在沙烏地境內全面導入Grok模型，包含整合至Humain的代理人平臺HumainOne，用於政府流程、企業服務與智慧化系統。Humain指出，Grok的導入可提升即時決策、流程自動化與跨部門協作效率，未來將成為國家級AI層的一部分。</p> <p>xAI執行長馬斯克（Elon Musk）表示，AI的未來將依賴大規模、高效率的算力基礎，而沙烏地具備快速建置大型資料中心的條件，能加速xAI的全球部署進度。Humain執行長Tareq Amin則說，雙方合作能在成本、速度與規模上形成優勢，打造可支撐下一代AI模型的基礎架構。</p> </div></div></div>
2025/11/20 15:09作者陳曉莉https://www.ithome.com.tw/news/172363
Meta新一代影像理解模型SAM 3、SAM 3D可文字提示尋物與3D重建
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta<a href="https://ai.meta.com/blog/segment-anything-model-3/">發表</a>新一代影像理解模型SAM 3（Segment Anything Model 3），並同步推出針對3D世界的SAM 3D，讓原本聚焦二維影像分割的技術，延伸到物件偵測、影片追蹤與3D重建。官方開放SAM 3模型權重、研究論文與微調程式碼，並推出Segment Anything Playground，讓研究人員與內容創作者都能在瀏覽器中直接試用。</p> <p>SAM 3最大的變化是讓使用者可用短提示詞提示分割，例如條紋紅色雨傘或手上沒有拿禮物盒的人，要求模型在影像或影片中找出所有符合描述的實體，替每個實例產生遮罩並維持追蹤ID，要是目標難以用文字描述，也可以提供示例影像，讓模型比對外觀。</p> <p>Meta建立結合AI與人工標註的資料引擎，來實作開放詞彙概念的分割能力。系統先由SAM 3與Llama系統從大量影像與影片中自動產生文字標籤與候選遮罩，再交由人工與AI標註器驗證與修正，總共建構出涵蓋逾四百萬個獨特概念的訓練資料，並提出SA-Co（Segment Anything with Concepts）評測基準，讓社群在同一套大詞彙分割任務上比較模型表現。</p> <p>和前一代SAM 2相比，SAM 2核心任務仍以可提示視覺分割為主，強調透過點擊或框選，在影像與影片中建立遮罩片段（Masklet）並維持同一物件跨影格的一致性。SAM 3延續這套記憶設計與SAM 2風格的遮罩片段，但前端加上Meta Perception Encoder負責文字與影像編碼，偵測部分則採用DETR架構，整體重組為單一模型，同時處理概念偵測、分割與追蹤。</p> <p>官方強調，在自家SA-Co評測基準上，SAM 3相較現有系統有明顯優勢，在SAM 2原本的互動視覺分割任務上，多數指標也能與SAM 2持平甚至更好，同時維持毫秒等級的推論時間。</p> <p>Meta同時推出SAM 3D，把分割物品的能力延伸到實體場景，可以從單張影像推估一般物件與人類姿態與體型的3D結構。Meta已將SAM 3與SAM 3D導入Facebook Marketplace的View in Room功能，先用SAM 3分割出桌子、燈具等商品，再透過SAM 3D將物件放入使用者房間照片中，協助預覽風格與尺寸是否合適。</p> <p>Segment Anything Playground則是這些模型的應用展示，使用者可以上傳影像與影片，直接套用範本，系統會自動替臉孔、車牌或螢幕馬賽克處理，也能替指定物件加上聚光、運動軌跡與放大效果。</p> </div></div></div>
2025/11/20 15:18作者李建興https://www.ithome.com.tw/news/172362
NPM蠕蟲套件規模擴大，攻擊者產生逾15萬套件，目的是牟取加密貨幣換取經濟利益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週3家資安業者SourceCodeRED、Endor Labs，以及Sonatype提出警告，<a href="https://www.ithome.com.tw/news/172259"><strong>蠕蟲程式IndonesianFoods出現在NPM套件儲存庫</strong></a>，攻擊者以印尼語人名與食品術語隨機組合出套件名稱，以自動化的方式，平均每7秒就上架一個惡意套件，後續<strong><a href="https://aws.amazon.com/tw/blogs/security/amazon-inspector-detects-over-150000-malicious-packages-linked-to-token-farming-campaign/">大型雲端服務業者Amazon也表示觀察到相關活動</a></strong>，並公布調查結果與處理情形。</p> <p>Amazon Inspector資安團隊指出，這起活動最早可追溯到約10月24日，當時他們嘗試加入新偵測規則，並結合AI技術，結果開始發現有些不尋常的NPM套件，共通點是具備與加密貨幣Tea（tea.xyz）的通訊協定有關特徵，Tea是獎勵開放原始碼開發人員的區塊鏈平臺</p> <p>11月7日他們發現數千個套件，並著手調查，後續向開源基金會（OpenSSF）通報此事。經過OpenSSF的確認與協調，Amazon透過系統性的方式，將惡意套件登錄到OpenSSF惡意套件資料庫。這波攻擊持續到12日才告一段落，總共找到超過15萬個有問題的NPM套件。</p> <p>這些套件的產生，都是透過自動化方式，進行自我複製，且沒有正常的功能，但也並未出現明顯的惡意程式碼。攻擊者的主要目的，就是利用加密貨幣Tea的獎勵制度，設置代幣農場（Token Farming），藉由自動複製及套件相依性糾纏等行為，來膨脹套件的熱門程度，藉此從開源社群牟取經濟利益。</p> <p>雖然惡意套件不會竊取開發人員帳密與憑證，也並未部署勒索軟體造成破壞，但Amazon指出，這批垃圾套件還是對供應鏈安全帶來嚴重威脅。首先，大量無功能的低品質套件充斥NPM儲存庫，使得合法套件被掩沒，削弱開源社群的信任；再者，就是NPM的基礎設施、頻寬，以及儲存空間等資源，遭到無用套件占用。此外，日後其他駭客也可能跟進，鎖定這類獎勵制度來賺錢。</p> </div></div></div>
2025/11/20 15:28作者周峻佑https://www.ithome.com.tw/news/172364
華碩路由器已知漏洞遭到利用，中國駭客以此綁架設備，意圖架設ORB網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為隱匿行蹤，駭客很可能會透過<strong><a href="https://www.ithome.com.tw/tags/orb">非法代理伺服器Operational Relay Box（ORB）網路</a></strong>，來從事網路活動，而這種網路的組成，通常是綁架路由器並進行控制，如今又有新一波的活動傳出。</p> <p>資安業者SecurityScorecard與華碩聯手，<strong><a href="https://securityscorecard.com/blog/operation-wrthug-the-global-espionage-campaign-hiding-in-your-home-router/">調查攻擊行動Operation WrtHug</a></strong>，駭客鎖定華碩WRT系列路由器，疑似濫用檔案共用服務AiCloud及已知漏洞，取得高權限，以此綁架路由器，目的是建置ORB網路，近半年已入侵超過5萬臺裝置。值得留意的是，臺灣是主要目標，因為有高達30%至50%的路由器集中在臺灣。不過，韓國、日本、香港、俄羅斯、中歐，以及美國，也出現受害裝置。</p> <p>針對攻擊者利用的漏洞，主要是4個高風險層級的作業系統命令注入漏洞，分別是：CVE-2023-41345、CVE-2023-41346、CVE-2023-41347，以及CVE-2023-41348，CVSS風險評分皆為8.8，附帶一提，當時這些漏洞也被登記為CVE-2023-39780列管。</p> <p>不過，他們也有利用任意命令執行漏洞CVE-2024-12912，以及身分驗證控制不當漏洞CVE-2025-2492的情形，這些漏洞的風險值為7.2與9.2，而這兩項漏洞的共通點，就是存在於AiCloud，因此SecurityScorecard認為，攻擊者顯然將這種雲端服務作為初始入侵管道。</p> <p>附帶一提的是，這些駭客也運用自行簽署的TLS憑證，效期長達100年，相較於華碩的憑證僅有10年效期，顯得格外突兀，於是SecurityScorecard根據這項特徵，追蹤攻擊者的相關活動。</p> <p>該公司偵測到8款華碩Wi-Fi路由器遭到鎖定，分別是：4G-AC55U、4G-AC860U、DSL-AC68U、GT-AC5300、GT-AX11000、RT-AC1200HP、RT-AC1300GPLUS，以及RT-AC1300UHP，這些設備多數已達到生命週期結束（EOL）的階段。</p> <p>而對於攻擊者的身分，SecurityScorecard研判與中國有關，由於ORB網路往往被國家級駭客用於隱匿網路間諜活動，因此影響可能相當廣泛，他們也提及，此ORB網路可能與5月威脅情報業者GrayNoise揭露的<strong><a href="https://www.ithome.com.tw/news/169322">AyySSHush殭屍網路</a></strong>有關，原因是兩組人馬都利用前述2023年列管的漏洞來綁架華碩路由器，不過，遭到重複入侵的設備相當少，因此兩組人馬很可能已進行協調，並未搶奪另一組駭客挾持的路由器。</p> </div></div></div>
2025/11/20 13:46作者周峻佑https://www.ithome.com.tw/news/172360
Google在臺北啟用總部以外最大AI基礎建設研發基地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google今天(11/20)在臺北士林啟用了全新辦公室，該辦公室聚集硬體及軟體工程，以及供應鏈的團隊數百名人力，並且進駐Google在美國總部外最大的AI基礎建設硬體研發團隊。</p> <p>新的辦公室就位於士林區承德路的CAAM承德168大樓，附近距離Nvidia預定落腳的北士科只需要10分鐘左右車程，今天新的辦公室啟用，也邀請總統賴清德親臨，象徵這個總部以外最大的AI基礎建設硬體研發中心成立。(圖片來源：Google)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-11-20%20%E4%B8%8B%E5%8D%882_54_03.jpeg" style="width: 600px; height: 323px;" /></p> <p>Google Cloud平台研發總經理Greg Moore指出，Google在臺灣有多元部門及團隊，這些團隊來自全球超過40個國家，一起和臺灣的工程團隊打造世界級的產品，而臺灣獨特產業生態也是Google的AI基礎建設創新關鍵，特別是設計、工程、製造、部署，都能在幾小時車程內抵達、完成，這種軟硬體、供應鏈的緊密結合，為臺灣團隊帶來優勢，縮短開發週期、更快解決問題。(圖片來源：Google)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-11-20%20%E4%B8%8B%E5%8D%882_38_15.jpeg" style="width: 600px; height: 321px;" /></p> <p>Google指出，該公司目標是讓AI對每個人帶來幫助，但這有賴於建立創新的AI基礎建設上。過去Google曾為AI推出專門的加速硬體，最有名的是，Google為AI服務研發的ASIC晶片TPU(Tensor Processing Unit)，專門加速處AI工作負載，現被廣泛應用於Google服務中，像是搜尋、地圖、相片等等，今年甫推出第7代TPU產品。</p> <p>Google在台北設立的新辦公室，作為AI基硬建設的硬體研發基地，其核心是10 幾間實驗室，專門供Google研發團隊和合作的供應鏈團隊合作，會議室則以臺灣的知名地標命名，融入臺灣在地的元素。(圖片來源：Google)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-11-20%20%E4%B8%8B%E5%8D%882_47_10.jpeg" style="width: 600px; height: 355px;" /></p> <p>Greg Moore指出，其所研發的產品及技術，在經過嚴格測試、檢驗與優化之後，將部署到Google全球資料中心和AI基礎建設，支援Google搜尋、YouTube乃至Gemini各項服務及應用的基礎，為每天全球數十億使用者提供服務。Google未來也會持續增加軟硬體工程人才。</p> <p>這個新啟用的辦公室遵循Google的永續目標，在設計之初就引用永續概念，除了建造過程儘量將廢棄物回收，使得高達7成廢棄物成功回收，其他每年約可降低4成6的用水，減少12%能耗等等。</p> </div></div></div>
2025/11/20 14:53作者蘇文彬https://www.ithome.com.tw/news/172361
中國駭客PlushDaemon從事軟體供應鏈攻擊，入侵路由器竄改DNS組態，以便對受害電腦散布惡意軟體更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>攻擊範圍涵蓋臺灣、香港、柬埔寨、韓國、中國、美國，以及紐西蘭的中國駭客組織PlushDaemon，先前曾因為<a href="https://www.ithome.com.tw/news/167133"><strong>對韓國VPN業者IPany發動供應鏈攻擊</strong></a>，引起外界高度關注，現在傳出這些駭客鎖定路由器等連網設備散布新的惡意程式，以此從事軟體供應鏈攻擊。</p> <p>資安業者ESET揭露<strong><a href="https://www.welivesecurity.com/en/eset-research/plushdaemon-compromises-network-devices-for-adversary-in-the-middle-attacks/">PlushDaemon最新一波攻擊</a></strong>，他們鎖定路由器等網路裝置，疑似透過裝置的資安漏洞，或是利用弱密碼及預設帳密，於連網裝置植入惡意程式EdgeStepper，此惡意軟體會將使用者DNS的查詢重新導向，連至外部網路的遭綁架惡意節點，然後檢查DNS查詢訊息的網域，是否與軟體更新有關，並回報惡意節點。ESET提及，其中一種PlushDaemon最常針對的軟體更新網域，是搜狗拼音輸入法。</p> <p>接著，受害者電腦上的更新軟體，就會與攻擊者挾持的節點通訊，發出下載惡意DLL檔案LittleDaemon的HTTP GET請求，該程式庫將會下載另一個惡意程式碼DaemonicLogistics，並於記憶體內執行，最終於受害電腦部署後門程式SlowStepper。</p> <p>針對本次揭露的EdgeStepper，此為Go語言開發的ELF檔案，採用GoFrame框架為基礎製作，可在MIPS32架構的設備上運作。值得留意的是，雖然ESET只有在路由器看到EdgeStepper，但他們認為，攻擊者還有使用其他作案工具。</p> <p>PlushDaemon的活動最早可追溯至2018年，其中臺灣在2021年及2024年皆有企業組織受害，此外，這些駭客也曾在美國、中國、香港等地從事活動，在中國曾對臺灣電子設備製造商下手。ESET觀察到他們今年駭入柬埔寨，受害企業包括汽車公司與日本製造業的分公司。</p> </div></div></div>
2025/11/20 11:07作者周峻佑https://www.ithome.com.tw/news/172357
Nvidia財報出爐，營收成長62%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-third-quarter-fiscal-2026" target="_blank">Nvidia周三（11/19）公布截</a>至10月26日的2026財年第三季財報，顯示該季Nvidia締造570億美元的營收，比去年同期成長62%，也超越華爾街分析師所預期的550億美元，使得Nvidia當天盤後上漲6%左右，股價升至197美元。</p> <p>在570億美元的營收中，資料中心占了512億美元，比去年同期成長66%；遊戲及AI電腦的營收為43億美元，成長30%；專業視覺化營收為7.6億美元，成長56%；汽車與機器人營收為5.92億美元，成長32%。</p> <p>Nvidia在資料中心領域的發展勢不可擋。SemiAnalysis的InferenceMAX推論效能與能效評測顯示，Blackwell在推論速度與整體能效上皆居冠，並在相同電力下提供前代10倍吞吐量；該季Nvidia與OpenAI建立策略聯盟，<a href="https://www.ithome.com.tw/news/171340" target="_blank">替OpenAI</a>新一代的AI基礎設施部署至少10GW的Nvidia系統；也<a href="https://nvidianews.nvidia.com/news/nvidia-partners-ai-infrastructure-america" target="_blank">與美國能源部合作</a>，在Argonne與Los Alamos兩大國家實驗室建置7套新AI超級電腦，其中的Solstice將配置10萬顆Blackwell GPU；首度正式與另一受矚目的AI新創<a href="https://www.ithome.com.tw/news/172340" target="_blank">Anthropic建立合作</a>關係；也<a href="https://www.ithome.com.tw/news/171281" target="_blank">與英特爾（Intel）結盟</a>。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，Blackwell的銷售量遠超預期，雲端GPU也已售罄，訓練及推論上的運算需求持續加速，並呈指數級成長，我們已進入了AI的良性循環，AI生態系統正在快速擴張，在更多的國家與更多的產業出現更多新的基礎模型建造者，以及更多的AI新創。</p> <p>該季Nvidia的每股盈餘為1.3美元，高於去年同期的0.78美元。</p> </div></div></div>
2025/11/20 13:19作者陳曉莉https://www.ithome.com.tw/news/172359
卷積神經網路之父Yann LeCun將離開Meta自立門戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>卷積神經網路之父、Meta基礎AI研究（Fundamental AI Research，FAIR）科學長<a href="https://www.linkedin.com/posts/yann-lecun_as-many-of-you-have-heard-through-rumors-activity-7397020300451749888-2lhA" target="_blank">Yann LeCun周三（11/19）宣布</a>，他將會在今年底離開Meta以自立門戶，新公司將持續他原來的先進機器智慧（Advanced Machine Intelligence，AMI）研究專案，而且Meta也會成為新公司的合作夥伴。</p> <p>1960年出生於法國的LeCun，是現代深度學習及電腦視覺領域最具影響力的科學家之一，他在1980年代於貝爾實驗室提出LeNet架構，首次把卷積、池化、反向傳播整合成可在實務中運作的神經網路系統，並成功應用於美國銀行支票手寫字辨識，奠定了之後所有深度學習影像模型的基礎，被譽為卷積神經網路之父。</p> <p>LeCun是<a href="https://www.ithome.com.tw/news/84217" target="_blank">在2013年加入</a>Meta（當時仍名為Facebook），主持Meta剛成立的人工智慧實驗室，並創立FAIR，致力於推動AI基礎研究；也在2018年與Geoffrey Hinton、Yoshua Bengio<a href="https://www.ithome.com.tw/news/129650" target="_blank">共同獲得圖靈獎</a>。</p> <p>LeCun表示，他在Meta的12年中，有5年擔任FAIR的創始主任，另外的7年則是AI科學長。最近幾年LeCun的身分一直是Meta的AI科學長，一直到Meta創辦人暨執行長祖克柏（Mark Zuckerberg）開始大力網羅全球頂尖的AI人才，<a href="https://www.ithome.com.tw/news/170274" target="_blank">內部角色重新洗牌</a>，LeCun成為FAIR科學長，2025年加入Meta的趙晟佳（Shengjia Zhao）擔任超級智慧實驗室（Meta Superintelligence Labs，MSL）科學長，同樣是2025年才加入的Alexandr Wang則成為Meta的AI長。</p> <p>總之，LeCun認為創辦FAIR是他最自豪的非技術性成就，新公司將會延續他過去幾年與FAIR、紐約大學及其它研究夥伴共同推動的AMI研究專案，該公司的目標是推動AI的下一場重大革命，打造一個能理解物理世界、具持久記憶，能推理並能規畫複雜行動序列的系統。</p> <p>此外，由於祖克柏、Meta技術長Andrew Bosworth與產品長Chris Cox等人過去即非常支持FAIR及AMI專案，未來Meta也會成為新公司的合作夥伴。</p> <p>依照LeCun的構想，AMI未來將在眾多產業中擁有廣泛應用，其中部分會與Meta的商業利益重疊，但大多數不會；使得他認為以獨立實體來推動AMI，是最大化其廣泛影響力的一種方式。</p> </div></div></div>
2025/11/20 11:46作者陳曉莉https://www.ithome.com.tw/news/172358
xAI推出Grok 4.1公開評測資料，主打情感互動並提升查證可靠性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>xAI發布新一代大型語言模型<a href="https://x.ai/news/grok-4-1">Grok 4.1</a>，並同步公開多項評測結果，強調在情感互動、創作能力與查證可靠性上較前一版本全面提升。Grok 4.1已在grok.com、X平臺與iOS、Android應用推出，並成為Auto模式的預設模型，目前僅透過這些消費端介面提供使用，尚未透過xAI公開API讓開發者串接。</p> <p>為驗證模型穩定度，xAI在正式發布前兩周，讓Grok 4.1初期版本在grok.com與行動端悄悄負責部分真實流量，再透過盲測比對不同模型的回答品質。依官方資料，Grok 4.1在真人偏好測試中以約64.78%的比例勝出，顯示使用者普遍更喜歡新版本的回應風格與理解能力。</p> <p>這次更新並非單純擴增模型規模，xAI將訓練重點放在較難量化的訊號，例如語氣掌握、人際互動、人格一致性與整體對齊。官方表示，團隊以具推理能力的代理式推理模型作為獎勵模型，讓系統自動評估大量回答並反覆微調，目標是在保持推理水準的前提下，使模型能讀懂語境、情緒與細微意圖。</p> <p>xAI表示，Grok 4.1在EQ-Bench 3情緒商數測試與Creative Writing v3創作評比中，均優於前代Grok 4。官方也正與基準作者合作，準備把完整成績納入公開排行榜。EQ-Bench3以多輪角色扮演情境評估模型的同理心與情緒理解能力，而Creative Writing v3則透過多種題材檢視模型敘事結構與文風的一致性。</p> <p>事實性與可靠性是Grok 4.1的另一主打重點，針對非思考模式與搜尋工具的組合重新調整判斷策略，以降低資料查詢任務中的幻覺率。依xAI統計，前一代Grok 4 Fast的整體幻覺率為12.09%，Grok 4.1下降至4.22%。</p> <p>xAI也引用公開學術基準FActScore，使用約500筆人物傳記題目，將模型回答拆解為原子事實並比對可靠資訊來源。在這項測試中，Grok 4.1的FActScore指標為2.97%，前代約為9.89%，分數明顯下降，代表模型在長篇敘述中更能避免虛構細節。</p> <p>在第三方評比中，xAI引用LMArena Text Arena的成績來說明Grok 4.1的能力。根據官方資料，思考模式的grok-4.1-thinking曾以1483 Elo名列榜首，非思考版grok-4.1則以1465 Elo緊追其後，超越多款競爭模型的完整推理設定，但在<a href="https://lmarena.ai/leaderboard/text/overall">最新排行榜</a>，甫發布的Gemini 3 Pro立刻登上首位，Grok 4.1系列則下滑至第2與第3名。</p> </div></div></div>
2025/11/20 08:39作者李建興https://www.ithome.com.tw/news/172355
微軟緊急發布例外更新，修補部分Windows 10無法安裝ESU更新的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟針對Windows 10延長安全更新（Extended Security Updates，ESU）出現的安裝失敗情況，緊急推出例外更新<a href="https://support.microsoft.com/en-us/topic/kb5072653-extended-security-updates-esu-licensing-preparation-package-for-windows-10-8c8b215c-d2af-44dc-b712-1ec403842cdc">KB5072653</a>，目的是解決部分已加入ESU計畫的Windows 10裝置，無法順利安裝11月安全性更新的問題。</p> <p>Windows 10已於10月14日終止一般支援，微軟改以ESU機制，提供願意付費或符合特定條件的個人與企業，在終止支援後繼續取得重要安全更新。第一個Windows 10 ESU更新是11月釋出的KB5068781，不過微軟證實，部分已正確加入ESU的裝置在安裝這一更新時，會出現0x800f0922與CBS_E_INSTALLERS_FAILED錯誤，更新程序在重新啟動後回退，等於首波ESU安全修補直接失敗。</p> <p>根據AskWoody論壇使用者Susan Bradley所<a href="https://www.askwoody.com/forums/topic/extended-security-updates-esu-might-fail-to-install-with-error-0x800f0922/">轉貼</a>Microsoft 365 Admin Center對企業管理者的公告，這次安裝失敗的情況主要發生在Windows 10 22H2，且授權方式採用Windows訂閱啟用（WSA）的環境。微軟指出，這類透過Microsoft 365 Admin Center管理授權的裝置，在部署2025年11月安全性更新KB5068781時可能出現0x800f0922錯誤，導致更新無法完成。而依照WSA的運作方式，這些電腦通常是由Windows 10 Pro透過訂閱授權自動升級為Enterprise或Education版本。</p> <p>此外，Reddit上也有使用者<a href="https://www.reddit.com/r/Intune/comments/1ow5eef/microsofts_disastrous_handling_of_commercial/">回報</a>，即使已購買並套用ESU授權金鑰，系統畫面顯示裝置已加入ESU，實際上仍無法收到KB5068781等這一輪延長安全更新。</p> <p>為此，微軟在例行更新節奏之外，針對Windows 10 ESU發布KB5072653 Extended Security Updates Licensing Preparation Package for Windows 10。根據官方支援文件，這個更新原本被設計為啟用ESU的授權準備套件，必須在裝置已升級到Windows 10版本22H2，並安裝2025年10月累積更新KB5066791之後再套用，安裝完成後系統會自動重新啟動，作為未來接收ESU的前置條件之一。</p> <p>最新更新內容進一步說明，安裝KB5072653不只完成授權準備，也能一併排除11月ESU更新的安裝錯誤。微軟在相關公告中指出，受影響的組織可以透過安裝KB5072653解決0x800f0922問題，在完成安裝與重新啟動後，即可再次部署安全性更新KB5068781，讓先前無法套用的ESU更新順利通過。</p> </div></div></div>
2025/11/19 21:22作者李建興https://www.ithome.com.tw/news/172348
微軟加入IQ層強化Fabric，從資料統一升級為語意智慧平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟在Microsoft Ignite 2025推出<a href="https://blog.fabric.microsoft.com/en-us/blog/from-data-platform-to-intelligence-platform-introducing-microsoft-fabric-iq">Fabric IQ</a>，提供企業一套能理解業務語意的統一智慧層，讓系統與AI不只讀取資料，更能以企業自身的商業概念推理情境、解讀事件並協助決策。Fabric IQ讓本來分散在報表、文件與人員經驗中的商業知識，轉換可運作的本體模型（Ontology Model），並與資料湖OneLake中的資料即時連動，使企業能在同一平臺上完成語意建模、情境理解與營運動作的自動化。</p> <p>Fabric IQ建立在既有的Microsoft Fabric之上，Fabric為整合資料工作管線、儲存與分析的統一資料平臺，並以OneLake集中管理企業資料，微軟對其增加Real-Time Intelligence、Maps、Graph、Digital Twin Builder與Fabric Databases，使資料取得、串流處理、地理資訊與關聯分析都能在同一架構下運作。</p> <p>不過，資料雖集中，企業的語意與規則仍常由人工詮釋，各部門對同一指標有不同定義，缺乏一致語意也使AI難以在實際營運中發揮作用。</p> <p>Fabric IQ的核心是Ontology專案，透過定義結構化的業務知識本體模型，描述企業關心的實體、關係、屬性、可採取的動作與觸發規則，並與OneLake中的資料庫、串流訊號、時間序列與圖形資料直接連結，讓本體模型反映企業當下運作狀態的即時語意層。Data Agent會依據語意層回答業務問題，讓使用者以企業常用的詞彙詢問，而非撰寫查詢語法，而圖形引擎則支援跨多跳的關聯推理，使供應鏈、網路資產或醫療照護等跨系統情境都能在同一模型中分析。</p> <p><img alt="" src="https://dataplatformblogwebfd-d3h9cbawf0h8ecgf.b01.azurefd.net/wp-content/uploads/2025/11/PBI-Generate-Ontology-1.gif" style="width: 600px;" /></p> <p>Operations Agent則是此次最重要新功能，該代理會持續監看本體模型中的各種實體與事件，根據企業設定的政策與目標推理情境，評估風險與取捨，並對接營運系統採取動作。Operations Agent是具有決策能力的代理，而非警示或流程自動化工具，能夠依據實際結果調整後續行為，但企業仍可決定自動執行和需要核准的情境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-Operations%20Agent%20in%20Microsoft%20Fabric.png" style="width: 600px;" /></p> <p>Fabric IQ同時與Microsoft Foundry中的Foundry IQ，及Microsoft 365中的個人化與脈絡引擎Work IQ串接，形成橫跨資料、應用與組織內容的IQ層。Fabric IQ負責把營運與分析資料轉成即時的語意模型，Foundry IQ在此基礎上建立橫跨文件、郵件與各類內容的知識圖譜，並讓開發者在這些語意之上構建協作型AI代理。Work IQ則把Microsoft 365中的文件、郵件與對話等日常工作內容也納入IQ層，讓代理在做營運判斷時能參考更完整的組織知識。</p> <p>由於Fabric IQ直接疊加在既有Fabric訂閱上，無需額外授權。企業可沿用既有OneLake資料與Power BI模型，逐步把資料語意化並引入代理協作。對資訊與資料團隊而言，Fabric此次更新不只擴充功能，而是把Fabric從統一資料平臺推向統一語意智慧平臺。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2025/11/19 21:44作者李建興https://www.ithome.com.tw/news/172352
衛福部啟動臺灣智慧醫療學校，要培養臺灣首批醫療資訊長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI走進臨床、資安威脅升高、FHIR標準全面推動，醫院不只需要懂IT的資訊長（CIO），還更需要一位懂臨床、懂流程也懂科技的醫療資訊長（CMIO）。衛福部今日（11/19）正式啟動<a href="https://smarthealth.mohw.gov.tw/home">臺灣智慧醫療學校</a>，要用4大領域、48堂必修課，培養這群能跨醫療、IT、AI、資安與大數據，並引導醫院智慧轉型的關鍵人才。</p> <p><span style="font-size:22px;"><strong>為何醫療資訊長（CMIO）這麼重要？</strong></span></p> <p>衛福部資訊處處長李建璋指出，衛福部推動114年度臺灣智慧醫療學校培訓計畫，目的是要培養智慧醫療領袖人才，帶領臺灣醫院智慧轉型。他強調，智慧醫療轉型不是會寫程式就好，而是要把新科技真正嵌入臨床流程，來改善醫療效率、提升照護品質。</p> <p>他也解釋智慧醫療領袖人才需具備跨領域能力：醫學與管理背景是基礎，必須理解臨床流程、法規、HL7 與 FHIR 等標準；對AI的掌握則需達中度理解，能判斷技術可行性、知道如何與IT團隊溝通即可。而這類人才的目標，就是要領導醫院數位轉型和AI策略。</p> <p>那CMIO與現行CIO有何不同？</p> <p>李建璋點出，比如，醫療資訊長幾乎是醫師（99%）+IT碩博士，使命是確保所有IT系統「臨床正確、醫護好用、病人安全」。最關心的3件事包括：</p> <ol> <li>臨床輔助決策系統（CDSS）不會誤導醫師</li> <li>電子病歷流程符合臨床邏輯</li> <li>AI 工具通過醫療邏輯與倫理檢驗</li> </ol> <p>相較之下，CIO的核心任務則是確保系統「穩定、資安、預算內和符合法規」，著重系統不中斷、不被駭／不被開罰、預算不超支。</p> <p>李建璋形容，醫療資訊長就像是懂資訊的醫師，資訊長則是懂醫療的資訊長。他也強調，這兩個角色相輔相成，而非取代關係。</p> <p><span style="font-size:22px;"><strong>臺灣智慧醫療學校瞄準4大領域、48堂必修，優秀者可赴美半年</strong></span></p> <p>為培養這類跨域人才，衛福部成立線上臺灣智慧醫療學校，首波鎖定23家醫學中心、4 大領域（醫療資安、醫療大數據、醫療資訊、醫療 AI），共48堂必修課，半數由國際專家授課，另半數由國內學者和政策制定者提供。平臺還有12堂選修課，涵蓋衛福部資訊處歷年的國際研討會與國內外講者專題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%AA%B2%E7%A8%8B%E5%85%A7%E5%AE%B9.jpg" /></p> <p>為有效衡量學習成果，衛福部不只設計跳題式評量，還用大型語言模型（LLM）來輔助出題、改題，結合互動式問答和情境測試。工研院產科所副所長張慈映也補充，為確保是本人上課，課程會要求學員上課時開啟鏡頭。另外，衛福部也規畫定期與不定期的線上研討會和論壇，來促進跨院學員的交流分享。</p> <p>為確保CMIO人才學有所用，衛福部規畫的培訓機制，包含了培訓認證、落地計畫和成果發表等2大部分。其中，培訓認證又分為2階段，第一階段是課程修習，第二階段是表現優異的學員赴美進行實務訓練半年。學員必須在返臺後，在醫院執行落地方案並發表成果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%90%BD%E5%9C%B0%E8%A8%88%E7%95%AB.jpg" /></p> <p>目前接受學員受訓的美國醫院有2家：芝加哥大學附設醫院和耶魯大學附設紐哈芬醫院，各自設有醫療資訊長職位，目前的醫療資訊長也都與臺灣有所淵源。</p> <p><span style="font-size:22px;"><strong>預計明年4月15日完成第一階段修課認證</strong></span></p> <p>目前，臺灣智慧醫療學校已經開放報名，至今年12月31日截止。之後開始修課，預計明年4月15日學員完成第一階段的修課認證、完成考核，之後進行第二階段實務訓練甄選，預計選出6名表現優異的學員。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8726.jpg" /></p> <p>李建璋表示，通過美國受訓醫院醫療資訊長甄選的學員，每位可獲得衛福部補助新臺幣50萬元，赴美進行實務訓練半年。回國後，學員必須至少從臨床AI應用、資安、建置標準資料庫和開發CDSS等4大領域中，至少落地一項方案，並至衛福部報告、經專家審查後頒發證書。</p> <p>未來，衛福部將繼續拓展美國合作醫院，讓臺灣更多醫療資訊人才赴美交流、接軌國際，也強化雙向交流。</p> <p></p> <div id="gtx-trans" style="position: absolute; left: 57px; top: 59.1354px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/11/19 20:55作者王若樸https://www.ithome.com.tw/news/172353
Google推出可自行操作電腦的AI代理人開發平臺Antigravity
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google本周二（11/18）發表全新的<a href="https://blog.google/products/gemini/gemini-3/#note-from-ceo" target="_blank">AI代理人開發平臺Antigravity</a>，目標是讓AI不再僅是生成文字的工具，而是能像工程師一樣完成一整個軟體開發流程。Antigravity結合多種Gemini模型，讓代理人能規畫、編寫、執行、測試並修正程式碼，並直接操作電腦介面完成應用程式開發。</p> <p>Antigravity的核心在於「讓AI自己做事」，而非「協助開發者做事」。開發者提供一個任務，例如要求建立航班追蹤應用程式，代理人即會自行拆解為架構設計、API呼叫、介面建立、瀏覽器操作、功能驗證與錯誤修復等步驟，並使用終端機、瀏覽器與編輯器完成整個流程。開發者可以在任何階段介入，但不需要逐步指令。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-Google%20Antigravity-%EF%BC%95.png" style="width: 600px;" /></p> <p>為支撐完整的端到端任務，Antigravity整合三項模型能力。其中，Gemini3 Pro負責理解需求與產生程式碼，是整個代理人的推理核心；Gemini2.5 Computer Use負責操作電腦，能在瀏覽器中點擊、輸入、切換頁面，執行如人類般的互動；Nano Banana影像模型則負責生成或處理介面、圖像與UI素材，使代理人可同時完成視覺相關工作。</p> <p>Google指出，這種代理人不只適用於短任務，也能在長程決策上維持穩定。公司引用Vending-Bench 2測試結果，代理人在一年販賣機模擬中能根據季節、需求波動作出一致決策，顯示其在長期、多步驟情境中具備持續運作能力。</p> <p>此一可自動完成任務的能力可應用於Google產品生態系，例如讓使用者指示代理人整理收件匣、依郵件內容比價與預訂服務、建立跨應用工作流程，或處理需要多步驟查詢與資料整合的任務。</p> <p>Google強調，所有可能造成財務或隱私後果的動作，如購買、寄信或存取敏感資料，代理人都會先要求使用者確認，確保自動化具可控性。</p> <p>Antigravity目前已在AI Studio與CLI中提供，並將逐步推向企業與Google AI Ultra訂閱者。Google指出，Antigravity的目標是將AI從「生成回答」提升為「完成任務」的生產力工具，使開發者能直接調用一個能工作、可執行的AI工程師。</p> </div></div></div>
2025/11/19 21:12作者陳曉莉https://www.ithome.com.tw/news/172354
【資安日報】11月19日，瀏覽器V8引擎存在零時差漏洞，用戶應儘速更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今天有兩個已遭利用的零時差漏洞消息受到關注，其中與大多數使用者有關的是CVE-2025-13223，此漏洞影響Chrome與Chromium打造的電腦版瀏覽器，在Google發布Chrome 142.0.7444.175與142.0.7444.176版後，有多款瀏覽器已跟進，例如：<a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security#november-18-2025"><strong>微軟發布142.0.3595.90版Edge</strong></a>、<a href="https://brave.com/latest/"><strong>Brave發布</strong></a>1.84.141版，以及<strong><a href="https://vivaldi.com/blog/desktop/minor-update-7-7/">Vivaldi也對推出不久的7.7版發布更新</a></strong>，修補這項零時差漏洞。其他瀏覽器的用戶近期也要留意相關公告，並及時套用更新。</p> <p>另一個遭到利用的零時差漏洞CVE-2025-58034，出現在網頁應用程式防火牆FortiWeb，由於不到一週前Fortinet才公布重大層級的CVE-2025-64446，究竟攻擊者如何利用CVE-2025-58034，是否將兩者串連？有待研究人員進一步揭露。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172338"><strong style="font-size: 22px;">駭客組織Dragon Breath透過多階段載入工具RoningLoader，意圖散布RAT木馬Gh0st RAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dragon-Breath-image40.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dragon-Breath-image40.png" style="width: 300px; float: right;" /></a></p> <p>為了讓攻擊活動順利進行，最近幾年駭客都會試圖癱瘓端點防毒軟體或EDR的運作，其中最常見的做法，是自行攜帶存在弱點的合法驅動程式（BYOVD），不過，現在有人直接濫用作業系統內建的防護機制，來達到目的。</p> <p>近期Elastic旗下的資安實驗室指出，被稱作Dragon Breath、APT-Q-27，或是Golden Eye Dog的國家級駭客組織，近日發起最新一波攻擊活動，這些駭客疑似鎖定使用中文的用戶而來，佯稱提供Chrome與Teams等應用程式，散布內含木馬的NSIS安裝檔案，以此植入惡意程式載入工具RoningLoader，最終於受害電腦部署木馬程式Gh0st RAT的變種程式。</p> <p>特別的是，在過程中，攻擊者不僅採用具備合法簽章的驅動程式，還部署Windows Defender Application Control（WDAC）政策，封鎖中國防毒軟體奇虎360安全衛士（360 Total Security）與火絨（Huorong）的執行檔。再者，他們還濫用作業系統內建的防護機制Protected Process Light（PPL），竄改Microsoft Defender的二進位檔案，這樣的手法相當罕見。</p> <p><a href="https://www.ithome.com.tw/news/172291"><strong style="font-size: 22px;">羅技傳因Oracle零時差漏洞攻擊資料遭竊，疑外流1.8 TB資料</strong></a></p> <p>在CI0p勒索軟體駭客組織上周單方面宣稱後，瑞士科技業者羅技（Logitech）上周證實，他們因Oracle E-Business Suite（EBS）零時差漏洞遭駭，致使員工、消費者個資、客戶，以及供應商資料洩露。</p> <p>近日接連公布受害者名單的Cl0p勒索軟體駭客，上周宣稱從羅技內部系統竊得1.8 TB資料。羅技公告發生資料外洩事件，並表示已通報政府單位。</p> <p>該公司初步調查研判，未授權第三方攻擊者利用「第三方軟體平臺」的零時差漏洞，從內部IT系統複製了部分資料。在甲骨文公告後，羅技已經修補了零時差漏洞。外洩的資料可能包含員工及消費者部分資訊、以及客戶、供應商資料。</p> <p><a href="https://www.ithome.com.tw/news/172284"><strong style="font-size: 22px;">Jaguar Land Rover受網路攻擊衝擊，第二季財報認列約2億英鎊相關損失</strong></a></p> <p>英國車廠Jaguar Land Rover（JLR）公布2025/26會計年度第二季財報，揭露9月遭重大網路攻擊並確認資料被盜後的營運代價。該季營收降至49億英鎊，較去年同期衰退24%，公司從原本獲利轉為稅前虧損4.85億英鎊，並認列1.96億英鎊與網路攻擊相關的特殊成本。JLR表示，產線在10月分階段復工，目前已回到正常水準。</p> <p>JLR在9月2日公告遭遇重大網路攻擊，為控制風險關閉全球多項系統，9月整個月車輛生產大多處於停擺或僅能局部運作狀態，直到10月8日才開始分階段重啟製造。公司在最新新聞稿中強調，本季營收下降與獲利惡化，主要來自9月的生產中斷，加上原本就規畫中的舊款Jaguar車型逐步退場，以及美國關稅影響。</p> <p>這次最受關注的是，JLR將網路攻擊成本完整寫進特殊項目，財報顯示，本季特殊費用合計2.38億英鎊，其中1.96億英鎊直接標示為與網路攻擊相關成本，另有4,200萬英鎊來自自願離職方案。雖然公司並未細分這筆支出的細項，但從金額規模來看，等同為這起勒索軟體攻擊，JLR付出近2億英鎊的額外費用，對單季獲利帶來關鍵壓力。</p> <p><a href="https://www.ithome.com.tw/news/172253"><strong style="font-size: 22px;">超過六成AI知名新創業者AI機密曝險，攻擊者恐從GitHub挖掘相關資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1762361620-exposure.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1762361620-exposure.png" style="width: 300px; float: right;" /></a></p> <p>雲端資安公司Wiz研究發現，在GitHub上，可以找到眾多組織的機密憑證，包括65%的知名AI新創公司。Wiz估計，這些經驗證的機密資訊價值超過4000億美元。</p> <p>Wiz這項研究是分析知名AI新創公司的資安作業。該公司假設任何AI公司若在GitHub有夠多軟體程式碼，絕對會洩露一些憑證。因此他們研究對象鎖定AI未上市公司，特別是具有指標性的富比世AI 50（Forbes AI 50），大到Anthropic、小到新創如Glean和Crusoe等，並著手在GitHub掃描。</p> <p>值得一提的是，這次Wiz也分析了AI新創的通報及公開管道，Wiz近半通報的消息，未能真正送達受影響的公司，或未接獲回應。許多公司沒有官方通報管道、未能回應或無法解決問題。但研究人員發現，AI公司已逐步改善，例如，LangChain和ElevenLabs曝露的API金鑰，都很快得到解決。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-shadowray-attacks-convert-ray-clusters-into-crypto-miners/">人工智慧框架Ray已知漏洞出現攻擊行動，歹徒透過GitLab與GitHub犯案，企圖綁架Ray叢集挖礦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/sneaky-2fa-phishing-kit-adds-bitb-pop.html">網釣攻擊套件Sneaky 2FA整合Browser-in-the-Browser機制，企圖透過幾可亂真的「彈出式視窗」騙取微軟帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/iranian-hackers-use-deeproot-and.html">伊朗駭客UNC1549鎖定航太與國防領域而來，散布惡意程式DeepRoot與TwostRoke</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/french-agency-pajemploi-reports-data-breach-affecting-12m-people/">法國居家照護服務媒合機構Pajemploi資料外洩，120萬人個資恐外流</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172328"><strong style="font-size: 22px;">Google發布Chrome 142更新，修補V8引擎零時差漏洞</strong></a></p> <p>11月17日，Google發布電腦版Chrome更新，推出142.0.7444.175與142.0.7444.176版，修補兩個高風險資安漏洞，值得留意的是，其中一個已被用於攻擊。</p> <p>這些漏洞被登記為CVE-2025-13223與CVE-2025-13224，它們都是JavaScript引擎V8的類型混淆（Type Confusion）弱點。其中，由Google威脅分析團隊（TAG）通報的CVE-2025-13223，該公司表示掌握遭到實際利用的情況。</p> <p>針對兩項漏洞，Google未說明其影響，也沒透露CVE-2025-13223如何遭到利用。根據美國國家漏洞資料庫（NVD）登記的資料，這些漏洞皆能被遠端利用，攻擊者可透過特製HTML網頁觸發，有機會導致記憶體堆積區（Heap）損壞，CVSS風險評分皆為8.8。</p> <p><a href="https://www.ithome.com.tw/news/172330"><strong style="font-size: 22px;">Fortinet再度對網頁應用程式防火牆用戶發布公告，修補已遭利用的命令注入漏洞</strong></a></p> <p>11月18日，資安業者Fortinet發布公告，指出應用程式防火牆（WAF）系統FortiWeb存在命令注入漏洞，且已有實際利用的情形。由於該公司不到一週前才公布重大漏洞CVE-2025-64446（CVSS風險為9.1分），且當時有多家資安業者指出在一個月前就出現攻擊行動，所以，這次新漏洞的公告也格外受到關注。</p> <p>這個最新揭露的FortiWeb漏洞，被登記為CVE-2025-58034，是作業系統層級的命令注入漏洞，起因是特殊元件出現不當中和（neutralization）的現象，通過身分驗證的攻擊者可利用特製的HTTP請求，或是下達CLI命令，於作業系統底層執行未經授權的程式碼，CVSS風險評為6.7分（但該漏洞在美國國家漏洞資料庫登記為7.2分），Fortinet發布8.0.2版、7.6.6版、7.4.11版、7.2.12版，以及7.0.12版FortiWeb修補，美國網路安全暨基礎設施安全局（CISA）也在Fortinet發布公告的同一天，將這個漏洞列入已遭利用的漏洞列表（KEV），限期聯邦機構在一週內完成修補。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172323"><strong>【11月18日】惡意NPM套件濫用雲端資安防護服務，意圖過濾資安研究員</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172285"><strong>【11月17日】Fortinet旗下WAF重大漏洞已出現攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172260"><strong>【11月14日】勒索軟體駭客Akira將目標擴張到Nutanix虛擬化平臺</strong></a></p> </div></div></div>
2025/11/19 16:04作者周峻佑https://www.ithome.com.tw/news/172342
4U儲存3.2 PB資料，Seagate推出SAS-4高密度JBOD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seagate_exos_4u100he_4u74_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在全球年度超級電腦大會SC25舉行前夕，Seagate發表兩款新一代4U尺寸的高密度硬碟儲存櫃（JBOD），機型名稱分別是Exos 4U100與Exos 4U74，目前最大可存放3.2 PB的資料，預計下一季正式推出，經由Seagate全球授權通路合作夥伴發售。</p> <p>這批JBOD提供100個可容納3.5吋硬碟的插槽，能安裝100臺<a href="https://www.ithome.com.tw/review/169465">Mozaic 3+</a>世代（28或30 TB）與Mozaic 4+世代（12至44 TB）的超大容量硬碟，甚至是50 TB容量的Mozaic新世代硬碟，整臺設備之所以提供3.2 PB儲存空間，應該是搭配100臺Exos M 32TB硬碟（ST32000NM004K），根據Seagate公布的產品技術規格來看，用戶也能採用74臺硬碟搭配26臺固態硬碟的組態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/4U100-HDD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4U100-HDD.jpg" style="width: 600px;" /></a></p> <p>而且，在I/O介面上，Seagate標榜這批產品是SAS-4 JBOD，可支援採用12Gb SAS或6Gb SATA介面的傳統硬碟或固態硬碟。</p> <p>另一個是這類產品較少標榜的特色是運作效率，進而減少營運支出與總體持有成本。Seagate表示，比起前代產品，Exos 4U100與Exos 4U74的耗電量可節省30％，冷卻效率改善幅度更高達70％，原因在於提供最佳化的氣流設計與每TB耗電量。基笨上，Seagate新推出的JBOD可透過整合式氣流通道，可導引冷卻空氣流經硬碟表面，強化散熱效率；安裝到機箱裡面的每臺硬碟，彼此之間存在理想的間距，可兼顧高密度置入大量硬碟的需求，以及維持必要的散熱排氣空間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4U100-Cooling.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/4U100-PE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4U100-PE.jpg" style="width: 600px;" /></a></p> <p>以機箱而言，Seagate提供兩種深度的配置：4U74逼近1公尺，4U100逼近1.2公尺，並預設提供托盤（carrier），藉此帶來更理想的信號路徑設計，能改善硬碟存取可靠度，而在內部纜線管理方面，這兩款產品導入不需使用工具（toolless）、抽屜形式的作業作法，能簡化IT人員現場維護與資料中心的營運工作複雜度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4U100-Front.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4U100-Cable.jpg" style="width: 600px;" /></p> <p>同時，機箱內部搭配的許多元件都支援熱抽換，舉凡硬碟、固態硬碟、I/O模組（IOM，兩臺，位於機箱背部）、電源供應器（兩臺1800瓦）、風扇（4臺）、連結擴充模組（LEM，位於機箱中間）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/4U100-Back.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4U100-Back.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/4U100-LEM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4U100-LEM2.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/4U100-LEM.jpg" style="width: 298px;" /></p> <p>整體而言，這套儲存設備可安裝在遵循開放運算計畫（OCP）要求的機櫃、標準資料中心，以及邊緣運算環境的部署，提供組建彈性，可依據不同工作負載的需求而進行設置。</p> <p>在資安防護方面，Exos 4U100與Exos 4U74提供安全啟動、通過Seagate Secure 安全認證，並且支援Redfish標準的頻外管理方式（Out-of-Band Management）），以及經由SCSI機箱服務（SES）進行的頻內管理（In Band Management）。同時，它們也能針對實體隔離（air-gapped）的儲存環境，以及主權資料（sovereign data）的部署，符合法規遵循的需求。 </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">Seagate Exos 4U100和4U74</span><br /> ●原廠：Seagate<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U（175.5 x 448.5 x 932.0公釐或1146公釐）<br /> ●儲存I/O介面：12Gb/s SAS、6Gb SATA<br /> ●硬碟容量：100臺3.5吋硬碟，最大儲存3.2 PB資料<br /> ●主機介面：搭配兩個具有備援能力的I/O模組，每個模組內建1個 USB序列埠（預設停用）、1個RJ45接頭的1G網路埠、4個Mini-SAS HD埠</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/11/19 19:10作者李宗翰https://www.ithome.com.tw/review/172264
定時炸彈「小烏龜」引爆國安危機，政府、金融、軍方網路門戶洞開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一場靜謐的資安風暴，正從你我家中不起眼的小小數據機（俗稱「小烏龜」）悄然引爆。這場危機並非來自遙遠的駭客組織，而是臺灣社會對這些網路「守門員」長期忽視，以及廠商系統性的「退而不休」所累積的惡果。</p> <p>那臺由網際網路服務供應商（ISP）提供、默默地閃著燈號的灰色或黑色盒子——我們俗稱的「小烏龜」或數據機（Modem）——常被視為家庭網路的基石，更是「Tier 0」級別的設備。</p> <p>但是，這些家庭和企業廣泛使用的「小烏龜」，根本就是一顆定時炸彈，因為駭客從任何地方，都可以直接存取並完整控制這些裝置，它不僅危及數萬臺灣家庭的網路安全，更驚動了警調單位，因為這些漏洞百出的裝置，早已被不法集團利用，成為詐騙集團的犯罪跳板，甚至被發現潛伏於臺灣的關鍵基礎設施之中。</p> <p>趨勢科技資深威脅研究員游照臨（Steven Meow）今年稍早於美國DEF CON大會上提出警告，這些電信業者配發的數據機，無論是光纖、有線電視、電話線或行動通訊連線類型，都可能是一枚「定時炸彈」，因為駭客可以從任何地方，直接存取並完整控制它們。</p> <h2><strong>廠商拒絕修復EoL的數據機，成為漏洞研究的起點</strong></h2> <p>游照臨透露，這一切的契機，只是源自於他在2023年搬家時，請中華電信拉了新的網路線。基於白帽駭客的職業習慣，他決定「駭一駭」自己的新設備，確認是否安全。</p> <p>他沒想到，這一下班後的「個人研究」，竟挖出了超過30個CVE（通用漏洞揭露編號）漏洞編號，這些漏洞數量龐大，橫跨多家知名製造商，包括 D-Link（友訊）、Zyxel（合勤）、Billion（盛達電業）、Nokia、韓國DASAN，以及臺灣HITRON（仲琦科技）等。%</p> <p>這項研究並非游照臨首次發現漏洞，但讓他意識到問題嚴重性的是在2023年，聽到TXOne資安研究員Ta-Lun Yen在日本Code Blue資安會議分享的中華電信「小烏龜事件」，因該起事件的後續處理曾遭到壓制，也讓他決心揭露這潛藏的系統性風險。</p> <p>他指出，企業和政府往往花費重金在內網部署多種資安防護設備，像是EDR（端點偵測與回應）或企業網路的命名與位址中樞（DDI）設備來監控流量。然而，駭客發現，這些俗稱小烏龜的數據機，卻擋在所有防火牆和防護設備的外面，成為最容易被忽視的「第一線」攻擊入口。</p> <p>游照臨強調，這些漏洞多數存在臺灣製造的產品，「他買來市面上的小烏龜，經過測試，全部都發現漏洞，這就是最可怕的地方。」他說，這個研究揭示的影響範圍，包含關鍵基礎設施，去年十一月有五萬多臺，今年七月至少還有二萬三千多臺有問題的數據機，仍在網路上提供服務，到十一月則剩下八千多臺。</p> <p>游照臨表示，這些數據機很多都是使用多年的舊設備，有一定程度的自然汰換，變少是正常的，但他對於這樣的汰換速度並不滿意。</p> <p>他強調，這次數據機的漏洞等級是閘道器（Gateway）端的CVSS 9.8的WAN端RCE漏洞，若是以他任職的趨勢科技為例，會列為P0（Priority 0）等級，也就是輪班工程師或資安事件處理的工程師，必須要在5分鐘內給予回應；通常在30分鐘內有舊會有temporary fix（暫時性修補方式）或workaround（變通的權宜之計），大概2～8小時需要完全修復。他認為，從這個等級來看，事件發生迄今滿一年仍未處理完畢，對電信業者或企業甚至使用者而言，顯然是完全不合格的處理方式。</p> <p>當然，他也可以理解相關電信業者遇到的困難，例如無法聯絡到客戶、無法安排時間等。但他認為這些電信業者仍有兩種方式，對這些事情有替代方案（workaround），第一，可以直接遠端將相關的服務端口關閉，畢竟他們對裝置擁有控制權；第二，可以比照瓦斯公司監測到家裡有瓦斯漏氣，以安全為由使用更強烈積極的態度與客戶聯繫，至少要讓客戶知情，當前他們所使用的設備具有嚴重風險。</p> <p>若是站在網軍駭客角度，想要駭入國家關鍵基礎設施的話，他表示，就算掃不到任何漏洞，也會盡可能從沒有漏洞的環境挖出漏洞；而剩下的這八千多臺裝置，只要有任何一個是隸屬關鍵基礎設施，或是具有重大機敏資料的公司行號的話，對於駭客而言，就是唾手可得的目標。</p> <p>他說，這有點像是大門直接開著，只是在看小偷要不要進去而已，完全不用任何高端技術。他認為，或許駭客早已駭入這些裝置且已埋好後門，從技術上來評估是完全辦得到，但有沒有發生並不得而知，但可以肯定的是，無論是竊取機敏資訊，還是成為Botnet，都是有可能的。</p> <p>但游照臨認為，這場危機帶來更深一層的問題在於，「許多製造商聲稱，這些發現漏洞的小烏龜們，產品已達EoL（End-of-Life，終止產品生命週期）時，因此拒絕修補這些致命漏洞。」</p> <p>更嚴峻的挑戰是，臺灣的ISP業者，例如中華電信，並不主動幫使用者更換這些已經停止支援和更新的EoL的數據機等設備，形同將資安的責任，轉嫁給缺乏專業技能的消費者。</p> <p>他憂心，這件事情已經不僅是單純的資安漏洞問題，更是涉及廠商責任、ISP營運策略，以及全球網路安全的系統性失敗。</p> <h2><strong>數據機常見的三種漏洞類型</strong></h2> <p>游照臨此次研究涵蓋多種臺灣常用的數據機型號，包括D-Link（友訊）、Nokia（正文代工）、Zyxel（合勤）以及Billion（盛達電業），而他發現的漏洞，主要集中於三種致命類型。</p> <p>第一種就是認證繞過（Authentication Bypass），駭客可以找到某種方法，在無需帳號密碼的情況下，即可控制設備的設定網頁。他表示，這通常是使用了舊軟體或設計不良所致。</p> <p>第二種則是隱藏後門（Hidden Backdoors），通常是設備存在大量的隱藏後門。游照臨分析，若理性來看，這些後門可能是用於維修的通道、廠商測試時不小心留下的程式，或是ISP業者為了方便管理而要求加入的功能。</p> <p>但無論設計存在任何初衷，這些後門都可能導致駭客更便於控制全世界的裝置。例如，在Billion（盛達電業）的案例中，就發現了寫死的後門帳號密碼，甚至使用了公司總部的地名「新店」（HsinDian）來命名帳號。</p> <p>遠端程式碼執行（Remote Code Execution，RCE）便是第三種常見的漏洞類型，他表示，這也被視為最嚴重的漏洞類型，因為，一旦利用成功，駭客可以直接完整控制整個裝置。以D-Link（友訊）的案例顯示，駭客可以透過RCE取得設備的完全控制權。</p> <p>游照臨表示，除了上述常見的三種漏洞外，其他還包括Command Injection（命令注入）、CGI Abuse（CGI程式濫用攻擊）、Console Abuse（主控臺濫用），以及其他能夠繞過ISP電信業者監控或預設功能限制的功能。</p> <p>游照臨的這項研究成果極為豐碩，共揭露了超過三十個CVE編號，涵蓋2024年至2025年間的多個高風險漏洞。他強調，這些漏洞橫跨家用、企業用，甚至是一些關鍵基礎設施所使用的裝置，不僅是單純的漏洞發現，形同對整個物聯網（IoT）供應鏈安全的一次重新審視。</p> <h2><strong>只要15秒就可以RCE，完成入侵</strong></h2> <p>根據游照臨的研究發現，D-Link型號DSL-6740C暴露出一組足以讓整臺設備，從外網被完全掌控的致命缺陷。他在公開說明中形容這款設備的漏洞是「一切研究的開始」：從遠端就能入侵，只要知道目標IP，駭客便能一步步繞過認證、竄改設定、擷取密碼，甚至遠端程式碼執行（RCE），造成實質控制權的喪失。</p> <p>游照臨更指出，他撰寫的自動化攻擊腳本只需十五秒，就可以完成整個入侵流程並取得RCE，速度之快令人警覺。</p> <p>他進一步解釋，這起事件牽涉數個CVE編號的弱點，包括可繞過網頁認證的漏洞（CVE – 2024 - 11067）、允許直接修改密碼的漏洞（CVE – 2024 - 11068），以及可讓駭客取得設備MAC位址，進而推導出預設密碼的弱點（CVE – 2024 - 48271）。</p> <p>游照臨的研究也揭露一個關鍵設計缺失，那就是該設備的預設帳號固定為「CHT」，而預設密碼則是以MAC位址為基礎的排列組合，這種做法在資安上，等於讓駭客握住了整把鑰匙，駭客一旦能讀取MAC位址，就幾乎能橫掃整個認證機制。他表示，結合這些缺陷，駭客最終可取得RCE，形同取得設備的最高控制權。</p> <p>這個漏洞在2024年9月16日已通報給TWCERT / CC（臺灣電腦網路危機處理暨協調中心），但後續處理遭遇實務上的瓶頸，同年10月23日TWCERT / CC回覆，廠商以該型號的產品已達終止產品生命週期（EoL）為由拒絕修補，導致漏洞不得不公開披露。</p> <p>值得關注的是，這臺數據機也影響到臺灣政府網路（GSN），在漏洞揭露之初（2024年11月），臺灣估計有約59,000臺DSL - 6740C數據機，處於可被攻擊的風險範圍；到了2025年7月底，仍有約23,000臺在線上運作，顯示大量舊型設備並未被更新或替換，持續暴露於網路威脅之下。</p> <p>更令人擔憂的是，游照臨在後續調查發現，與DSL - 6740C在設計與韌體上相近的機型DSL - 7740C並未免疫；原先在DSL - 6740C上找到的所有漏洞，竟然全部能直接套用到DSL - 7740C設備上。</p> <p>他指出，這正是資安圈常說的「漏洞繼承」現象，廠商在新機型上重複使用舊有軟硬體架構或韌體模組，並未徹底修正核心缺陷，便會把老問題延伸到更多裝置上，擴大了受害面與攻擊的規模效應。</p> <h2><strong>通過資安標章驗證，並不代表產品安全</strong></h2> <p>在臺灣的網路設備市場中，有「資安標章」長久以來被視為一種安全保證。然而，游照臨揭露，臺灣的網通品牌Billion（盛達電業）的多款設備，雖然取得官方核發的資安標章，卻仍存在多個高風險漏洞，甚至被發現內藏「寫死的後門帳號密碼」。這起事件不僅動搖了民眾對資安標章制度的信任，也凸顯部分廠商在產品安全設計上仍抱持僥倖心態。</p> <p>游照臨指出，Billion旗下產品標榜通過「物聯網資安標章驗證」，理論上應符合嚴格的防護標準。沒想到實際分析後卻發現一連串令人震驚的漏洞，包含編號 CVE – 2024 - 11980至CVE – 2024 - 11983 的多項弱點，以及被命名為 CVE – 2025 - 1143的隱藏後門。</p> <p>這個後門的帳號名稱竟直接取自公司總部所在地「新店」（HsinDian），帳號與密碼均被寫死在韌體，他表示，這意味著：任何具備基本技術知識的駭客，只要取得設備的連線權限後，就能利用這組隱藏帳號登入系統。</p> <p>更令人不安的是，這些設備採用了MQTT（Message Queuing Telemetry Transport）通訊協議，這是常見於物聯網（IoT）裝置的即時訊息傳輸技術，主要用於裝置之間的狀態同步與資料回傳，能在低頻寬環境下穩定交換資料。</p> <p>游照臨認為，這臺設備最大的問題在於，一旦MQTT的認證帳密被寫死且外洩，駭客就能藉由這條管道，直接接觸到全球所有同型號設備。換言之，只要掌握這組密碼，駭客便能透過MQTT通訊協議進行網路監控、操控，甚至全面接管全球同品牌的設備。</p> <p>游照臨形容，這種設計缺陷，形同在世界各地同時安裝了一扇通往駭客的後門，「駭客可以直接控制全世界所有該型號的裝置。」他說。</p> <p>該漏洞被揭露後，Billion的臺灣總公司確實針對「寫死帳號密碼」問題進行修補，更新韌體並移除隱藏帳號。</p> <p>不過，事情並未就此結束，游照臨後續追蹤發現，Billion在美國的子公司BEC Technologies銷售的產品（包含BEC - 4700AZ與MX - 200e等型號），仍然沿用相同的韌體架構與後門機制，等於漏洞被「繼承」到國際版本上。他提醒，這些設備未經修補，繼續暴露在網路中，潛在風險甚至超越臺灣本地。</p> <p>然而，游照臨積極和Billion及其美國子公司進行漏洞通報，但長達三個月都未曾得到任何正式回應，也未發布修補更新。最終，由ZDI（Zero Day Initiative）接手協助處理，ZDI依程序選擇將漏洞資訊公開，編配編號CVE – 2025 - 2770至CVE - 2025 - 2773，以提醒全球使用者儘快採取防護措施。</p> <h2><strong>廠商不願對EoL設備提供漏洞修補，資安風險轉嫁使用者</strong></h2> <p>研究的過程中，游照臨也發現一個常見的現象：當設備進入生命週期終止（EoL），漏洞修補責任往往就像打了結的迴圈，產品的脆弱性則會無限期存在真實網路中。</p> <p>這不是個別廠商的問題，更像一種制度與供應鏈的結構性問題，游照臨表示，從家用路由器、光纖ONU（Optical Network Unit，光網路單元）到電信業者採用的CPE（Customer Premises Equipment，客戶端設備），都可能被同一條邏輯牽動——當廠商宣布停止支援，使用者與下游業者便被迫承擔未來所有安全風險。</p> <p>以Zyxel（合勤）P-6101C為例，游照臨在研究中指出，該型號的漏洞最初遭到廠商以EoL為由而拒絕更新。</p> <p>他表示，廠商這種回應在資安社群並不罕見，但當漏洞足以危及WAN端的遠端入侵或被利用於大規模攻擊時，廠商的「不修補」，不只牽涉個人面臨的風險問題而已，而是已經擴大到公共領域的安全問題。</p> <p>因此，游照臨便與MITRE聯繫，經由他們的從中協調與「強力建議」後，合勤最後才同意公開CVE。不過，他也體會到，當前的漏洞回報機制，在面對廠商[李宗翰1] 消極針對EoL產品提供後續修補時的無力感。</p> <p>相似的情況也出現在大型電信設備上，像是他通報Nokia的G-040G-Q漏洞後，業者回應並非立即修補，而是在2025年3月，將兩項由ZDI通報的弱點（ZDI – CAN - 26007、ZDI – CAN - 26648），標示為「弱點」（Weakness）而非「漏洞」（Vulnerabilities），因為廠商認定這只是「客戶要求的一種認證方式」，並要求游照臨不要公開。</p> <p>隨後Nokia又改口，聲稱該漏洞已於2025年1月的Release Note（發行說明）中完成修復；但是，Nokia卻表示，該Release Note屬於內部文件，並不會對外公開。對此，游照臨質疑：「漏洞修補資訊如果沒公開，外界怎麼知道，廠商是否已經完成修補了呢？」</p> <p>游照臨表示，廠商這種語意上的區分，在技術上可能有其理由；但在實務與風險管理上，卻造成資訊透明與使用者防護的真空，讓終端用戶與ISP業者無法掌握應對優先順序。</p> <p>此外，可直接被遠端濫用的案例還包括：韓國DASAN GPON ONU H660WM（CVE-2025-44178）以及臺灣HITRON CGNF-TWN（CVE-2025-44179）兩臺設備。</p> <p>前者涉及WAN端的UPnP（Universal Plug and Play，通用隨插即用）協定漏洞，UPnP本是為了便利內網裝置自動開通埠口而設計的機制，但當實作粗糙且暴露於WAN端時，原本的便利立即轉換成嚴重攻擊面。</p> <p>後者則是典型的Command Injection（命令注入）攻擊，駭客一旦能在網路邊緣端注入指令，就可能橫向滲透或使裝置加入殭屍網路（Botnet），造成服務中斷或更大規模的攻擊平臺。</p> <p>游照臨表示，這些事件合起來說明一個殘酷的事實：當韌體共用與跨地區產品線的「設計繼承」時，就可能會把單一漏洞放大成全球性風險；此外，當產品進入EoL時，許多廠商停止支援的商業決策，則會把技術債轉嫁給所有使用者與網路社群。</p> <p>他認為，這樣的作法對個人、企業或ISP業者而言，不只是導致個別裝置可能被駭客控制，還可能造成整段網路骨幹的信任崩解。</p> <h2><strong>有漏洞的數據機成詐騙集團的間接幫凶</strong></h2> <p>在駭客手中，不論家用或商用的數據機並非只會讓你「網速變慢」，它們往往成為通往整個網路與關鍵基礎設施的跳板，因為透過一連串漏洞的串接，這些邊緣設備可以被遠端控制、長期潛伏，進而成為執行高階犯罪活動的「數位炸彈」。</p> <p>根據他的研究顯示，這些問題不再只是個人電腦或手機會被攻擊，而是整個國家的基礎設施、金融系統乃至國防相關單位，都可能因為部署了有弱點的數據機，而暴露在風險之下。</p> <p>游照臨提到，上述設備部署甚廣，包括：美國某自來水廠和臺灣中科院的火箭發射系統；更令人不安的是，這類設備的廠商官網，往往也標榜其產品適用於發電廠、天然氣公司、警政系統、軍方，以及ATM提款機等關鍵基礎設施場域。</p> <p>他直言，當駭客掌握了邊緣設備的控制權時，所能做的不僅是偷取資料，而是直接監控或攔截整個網路封包；也可以竄改使用者原本要存取的網頁，將其置換為精心設計的釣魚頁面；或把設備納入殭屍網路，作為詐騙、分散式阻斷服務攻擊（DDoS）或更複雜滲透行動的跳板。</p> <p>這種被「放逐」在網路邊緣的危險，有時會把無辜的使用者推到檯面上。游照臨引用一宗臺灣真實事件，今年二月，桃園縣刑警大隊聯絡到某店家，指出該店的 IP位址曾被用於一起二百萬元的詐騙案件；後續查證發現，涉事的數據機正是他先前揭露有漏洞的Nokia型號設備。</p> <p>換言之，店家並非主謀，卻莫名其妙成為詐騙行為的間接「幫兇」。他指出，這類詐騙事件的致命之處，在於受害方往往無跡可循，因為攻擊者透過遠端設備隱匿行蹤，最後局限在數據機的韌體或管理介面中，日常使用者難以自行察覺。</p> <h2><strong>提供合法IP給詐騙集團，成新興住宅代理黑色產業鏈</strong></h2> <p>「駭客不是單純想讓你家的數據機變慢，而是要把『小烏龜』變成能被販售的資產，打造所謂的住宅代理（Residential Proxy）產業鏈。」游照臨說道。</p> <p>他從這些研究中觀察到：這個大家不太熟悉的黑色產業鏈，會透過大量取得被攻陷的CPE（客戶終端設備）控制權，把每一臺分散在大街小巷的數據機，包裝成看似合法的住宅IP位址，然後把這些IP位址出租給犯罪集團，用以掩飾其網路行為與地理位置，從而繞過銀行與防詐系統的判斷。</p> <p>從技術面來看，現代銀行在風險評估上，大量採用機器學習模型以及規則式引擎、[李宗翰2] IP地理位置、ISP屬性、裝置指紋、歷史交易等行為視為重要信號，倘若一筆刷卡交易出現「地點跳躍」，例如常在臺北刷卡的使用者，忽然在東京嘗試大量交易時，系統會根據風控規則或模型評為高風險，啟動3D-Secure、要求OTP（一次性密碼）或阻擋交易。</p> <p>游照臨指出，駭客利用住宅代理的目的，就是把這些金融單位看過、有高風險的信號「偽裝正常」，所以，駭客會選用與受害者IP鄰近或同城市的住宅IP，讓刷卡交易看起來像是在受害者家附近發生。</p> <p>所以，銀行系統看到的就是「看起來合理」的地理資訊，便會降低額外驗證的頻率，甚至因此繞過OTP驗證要求。</p> <p>更具體的運作方式包括：把被控制的數據機納入代理池，搭配自動化腳本與代理伺服器（例如SOCKS或HTTP proxy）供付費買家呼叫。</p> <p>他表示，這些住宅代理的價值高於一般VPN或資料中心代理，因為地理與ISP屬性更貼近真實使用者，IP位址的「信譽」也通常較好，能有效對抗以IP位址為基礎的防詐機制。</p> <p>因此，駭客甚至能提供更精細的資訊：IP位址對應的城市、鄉鎮、ISP、是否位於行動網路或固定寬頻，以及該IP位址的歷史使用模式等，都可以讓犯罪集團的操作更具迷惑性與效率。</p> <p>這種情況的嚴重性不限於金融詐騙，游照臨表示，住宅代理可被拿來執行網路投票操縱、刷票、操作網購優惠、避開地區性版權限制，甚至配合殭屍網路發動大規模DDoS攻擊或成為針對企業內部系統的跳板等。</p> <p>對於被入侵的住戶或小店家來說，他們往往毫不知情，通常會在警方與銀行追查時，才後知後覺的發現自己使用的IP位址被濫用，甚至無端捲入犯罪活動，成為名符其實的「無辜幫兇」。</p> <p>要切斷這條黑色產業鏈，需要多方協作與技術升級，他指出，對個人與企業用戶來說，最直接的做法仍是把數據機視為「Tier 0」（第0層）關鍵資產：立即檢查設備是否為EoL型號、更新韌體、變更預設帳密、關閉不必要的遠端管理功能、並在網路邊界加裝自購路由器或閘道器以分割內外網路。</p> <p>對ISP與電信業者而言，則應主動掃描代管設備的濫用指標、對外公開受影響設備清單並提供替換方案，甚至建立一套能快速從網路層面封鎖被濫用代理池的回應機制。</p> <p>金融機構也需重構驗證策略與異常偵測，除了傳統的IP與地理檢查，應該引用更多來源資料進行交叉驗證，例如裝置指紋（包括瀏覽器指紋、TLS 指紋）、行為生物特徵、交易模式分析，以及強化MFA（多因素驗證），優先採用FIDO2類型的公鑰認證，或是將OTP與使用者實體裝置綁定。</p> <p>另外，銀行可以與ISP、資安社群共享可疑代理IP位址名單，並使用更精細的地理定位技術，例如Wi-Fi三角定位或行動網路三角測量等，以驗證交易是否真的來自該住宅。</p> <p>政策面上，政府應把住宅代理與被濫用CPE（客戶端設備）的問題納入資通安全框架，針對廠商、ISP等，設置更嚴格的生命周期管理與通報義務，並推動歐盟推廣的「路由器自由」（Router Freedom）政策：提供使用者能安全替換設備的制度，以降低單一供應鏈造成的大規模暴露；執法端也需要與國際資安社群協調，追蹤與瓦解已形成市場化交易的住宅代理黑市交易。</p> <p>游照臨的研究提醒我們，當數據機被系統性攻陷並商品化成「住宅代理」時，受害的不只是單一使用者或一家銀行，而是整個數位生態的信任基礎。</p> <p>他說，要把這場危機逆轉回來，唯有從源頭切斷代理供給、從防護端識別偽裝流量，才能真正把網路上的假IP位址逐一清除，還給使用者一個不是被販售的[李宗翰3] 、真正的IP位址。</p> <h2><strong>面對數據機漏洞危機，資安不能只靠揭露漏洞止血</strong></h2> <p>近年來，家庭與企業網路設備頻傳漏洞事件，從小型辦公室到大型關鍵設施，幾乎無一倖免。對此，游照臨直言，僅僅揭露漏洞或事後修補，早已不足以應付當前的威脅現實。真正的防護，必須從「資產盤點與分級管理」開始。</p> <p>他指出，許多關鍵設施與大型企業仍在使用早已被通報存在漏洞、甚至已終止後續支援維護（EoL）的數據機與閘道設備，這些老舊裝置看似穩定運作，但在駭客眼中卻是開門揖盜的最佳入口。</p> <p>游照臨強調，業者應優先辨識並淘汰這類設備，至少應先將其隔離於關鍵網段之外，避免漏洞被放大成系統性風險。</p> <p>在短期應變上，他建議，若無法立即汰換設備，業者與使用者可採取幾項緊急防護措施：包括關閉WAN端遠端管理功能、停用UPnP、變更所有預設帳號與密碼，並在閘道端建立更嚴格的封包檢查與網段隔離。這些作法雖無法徹底根除風險，卻能在漏洞修補或設備替換前，爭取關鍵的防護時間。</p> <p>然而，游照臨更關注的是長期結構性的問題。他呼籲，政府與監管機關應與產業界共同檢討採購條款，要求設備供應商對後續的韌體安全維護負起持續責任，同時訂定明確的EoL退場機制，避免出現「產品生命週期終止即安全責任終止」的灰色地帶。他強調，ISP業者也應主動提高巡檢與更新頻率，不能把漏洞風險轉嫁給毫不知情、不具備技術能力的最終用戶。</p> <p>「數據機漏洞的問題，早已不只是個人上網速度或斷線的困擾，」游照臨嚴肅地說，「它牽動的是整體網路安全的根基。」</p> <p>他指出，ISP業者為了降低維運成本，往往傾向採用統一型號的大量部署，但這樣的便利背後，卻藏著「單點失效」的巨大風險，一旦其中一個型號設備出現重大漏洞，駭客就可能利用同樣手法，同時入侵數以萬計的使用者網路，造成災難性後果；若廠商又以EoL為由停止更新韌體，社會最終就必須共同承擔那把「被遺棄的風險」。</p> <p>針對此現象，他建議臺灣可借鏡歐盟推動的「路由器自由」（Router Freedom）政策，讓終端用戶可自由選購相容的數據機與路由器，不必完全依賴ISP所提供的「小烏龜」。這不僅能分散單一品牌與型號的風險，也能促進設備市場的安全競爭與透明化。</p> <p>他也提醒社會大眾，不應盲目信任「產地」等於安全，因為無論是臺灣製造、美國大廠，或是其他國家品牌，漏洞與後門都有可能出現在任何產品中。「真正可靠的防護，從來不是打著國旗的行銷口號，而是持續、透明的韌體維護與資安治理機制。」游照臨說。</p> <h2><strong>將數據機視為「第0層資產」，全民資安從家門口開始</strong></h2> <p>游照臨進一步指出，企業與公部門應重新檢視數據機的重要性，將其提升為「Tier 0」（第0層）資產——也就是擁有最高權限、最關鍵的基礎設備。</p> <p>他說，許多組織在資安管理中忽略了數據機與閘道設備的風險，卻沒意識到，一旦這些設備遭入侵，攻擊者便能掌握整個網路環境，導致企業營運全面中斷。</p> <p>至於一般家戶使用者，他建議應主動確認自家數據機的型號與韌體版本，查詢是否存在已知CVE漏洞編號，或是否屬於EoL產品；同時，務必變更所有預設帳號與密碼、關閉遠端管理功能，並將數據機放置於受控網段，或在其後加裝一層自購路由器進行內外網隔離。</p> <p>游照臨坦言，這些措施並非萬靈丹，但至少能降低被駭客當作跳板的機率，是「自保的第一道防線」。</p> <p>他也強調，政策面絕不能再袖手旁觀。政府應要求電信與設備廠商，在採購與核准階段納入更嚴格的資安條款，強制揭示韌體支援期限、漏洞通報與修補責任。對於宣告EoL的產品，也應制定安全退場機制與替代方案，避免業者以商業理由，將風險轉嫁給消費者或公共基礎設施。</p> <p>此外，若要在臺灣推行「路由器自由」，不僅需解除技術限制，更應確保使用者能安全更換設備而不影響服務，並要求ISP提供必要支援與說明。</p> <p>游照臨不諱言，當廠商與ISP在面對EoL設備問題時選擇消極或推諉，最終的資安責任就會落到技術能力有限的使用者身上。他苦笑著說：「如果有單位願意，我甚至可以提供一套『駭進去幫他修』的腳本。」這句半開玩笑的話，正是對現行制度荒謬現況的控訴。</p> <p>「我們不是鼓勵非法行為，而是想提醒社會：當遊戲規則沒有改變，面對越來越多的EoL設備時，採取行動的可能不是合規單位，而是那些有能力、有意圖的人。」游照臨的話真實且無奈。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-43_%E6%95%B8%E6%93%9A%E6%A9%9F_20251117_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px; height: 420px;" /></p> <blockquote><p>對於企業或個人使用者而言，數據機（俗稱小烏龜）往往是角落中不被重視，但對網路運行順利或安全與否的重要關鍵角色之一。</p> <p>攝影/洪政偉</p> </blockquote> <p> </p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-31_%E6%95%B8%E6%93%9A%E6%A9%9F_20251117_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px; height: 420px;" /></p> <blockquote><p>趨勢科技資安威脅研究員游照臨提供手邊幾臺研究中的數據機，他表示，這些數據機不管是臺灣或是其他由臺灣業者代工貼牌的廠牌，都很容易發現「漏洞繼承」的問題，這是產業面臨的結構性問題，不可以輕忽。</p> <p>攝影/洪政偉</p> </blockquote> <p> </p> </div></div></div>
2025/11/19 17:52作者黃彥棻https://www.ithome.com.tw/news/172350
駭客組織Dragon Breath透過多階段載入工具RoningLoader，意圖散布RAT木馬Gh0st RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了讓攻擊活動順利進行，最近幾年駭客都會試圖癱瘓端點防毒軟體或EDR的運作，其中最常見的做法，是自行攜帶存在弱點的合法驅動程式（BYOVD），不過，現在有人直接濫用作業系統內建的防護機制，來達到目的。</p> <p>近期Elastic旗下的資安實驗室指出，<a href="https://www.elastic.co/security-labs/roningloader"><strong>被稱作Dragon Breath、APT-Q-27，或是Golden Eye Dog的國家級駭客組織</strong></a>，近日發起最新一波攻擊活動，這些駭客疑似鎖定使用中文的用戶而來，佯稱提供Chrome與Teams等應用程式，散布內含木馬的NSIS安裝檔案，以此植入惡意程式載入工具RoningLoader，最終於受害電腦部署木馬程式Gh0st RAT的變種程式。NSIS（Nullsoft Scriptable Install System）是相當知名、老牌的安裝檔封裝工具，但近年來也出現歹徒用於攻擊活動的情況。</p> <p>特別的是，在過程中，攻擊者不僅採用具備合法簽章的驅動程式，還部署Windows Defender Application Control（WDAC）政策，封鎖中國防毒軟體奇虎360安全衛士（360 Total Security）與火絨（Huorong）的執行檔。再者，他們還濫用作業系統內建的防護機制Protected Process Light（PPL），竄改Microsoft Defender的二進位檔案，這樣的手法相當罕見。</p> <p>什麼是PPL？這是微軟從Windows 8.1導入的安全功能，目的是防止重要系統服務與防毒軟體使用的記憶體，被其他處理程序存取、竄改，或是終止。不過，資安研究員Zero Salarium找出濫用的方式，3個月前，他<strong><a href="https://www.zerosalarium.com/2025/08/countering-edrs-with-backing-of-ppl-protection.html">揭露能透過PPL影響端點防護系統運作的方法</a></strong>，並成功竄改Microsoft Defender特定檔案。Elastic推測，本次Dragon Breath疑似就是利用研究員公布的資訊來達到目的。</p> <p>針對這起攻擊活動發生的過程，最初源自有問題的NSIS安裝程式，一旦使用者執行，電腦就會執行安裝檔嵌入的另外兩個安裝程式，其中一個會安裝原本攻擊者聲稱的應用程式，本身無害，疑似用來降低使用者的戒心；另一個負責執行後續的攻擊鏈。</p> <p>此惡意安裝程式會建立特定資料夾，並產生DLL檔案Snieoatwtregoable.dll，以及經加密處理的PNG圖檔tp.png，接著透過DLL檔案，以結合ROR和XOR的演算法解出Shell Code，載入特定的PE檔案並於記憶體內執行RoningLoader。</p> <p>此惡意程式載入工具根據處理程序列表，檢查受害電腦安裝的防毒軟體，但特別的是，他們只針對作業系統內建的Microsoft Defender，以及3款中國防毒軟體金山毒霸（Kingsoft Internet Security）、騰訊電腦管家（Tencent PC Manager），以及奇虎360安全衛士進行確認，然後終止防毒軟體的特定處理程序。</p> <p>不過，對於奇虎的防毒軟體，駭客採取不同的作法，他們先更動防火牆組態，以此封鎖網路通訊，然後將Shell Code注入與磁碟區陰影複製（VSS）服務有關的服務，並解析運作所需的API，然後搭配驅動程式來終止防毒軟體運作。</p> <p>攻擊者也試圖運用類似的手段，終止Microsoft Defender運作，但未能成功，他們於是利用Zero Salarium揭露的手法來達到目的，最終部署Gh0st RAT。</p> <p>回顧Dragon Breath過往犯行，最早在兩年前傳出，2023年5月，<a href="https://news.sophos.com/en-us/2023/05/03/doubled-dll-sideloading-dragon-breath/"><strong>資安業者Sophos揭露攻擊東南亞線上博奕玩家的資安事故</strong></a>，這些駭客在攻擊過程裡，運用罕見的雙重DLL側載伎倆，Sophos在臺灣、日本、新加坡，以及香港與中國，發現這起攻擊活動的受害者。</p> </div></div></div>
2025/11/19 15:57作者周峻佑https://www.ithome.com.tw/news/172338
Google釋出Gemini 3，強化推理、多模態及代理人能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google周二（11/18）<a href="https://blog.google/products/gemini/gemini-3/#gemini-3" target="_blank">發表新一代的Gemini 3模型</a>，大幅升級了推理、多模態理解到代理人能力，當天已被部署至Search AI Mode、Gemini應用、AI Studio與Vertex AI。</p> <p>Gemini 3目前包含兩大版本。主力版本Gemini 3 Pro是目前公開可使用的全功能模型，具備最強的多模態理解、推理與vibe coding能力，並支援100萬Token脈絡窗口。另一版本Gemini 3 Deep Think則為強化推理模式，專為跨領域、高複雜度問題所設計，目前僅提供給安全測試者，未來將開放給Google AI Ultra訂閱者。</p> <p>Google表示，Gemini 3 Pro在多項AI基準測試中創下新高。在LMArena取得1501 Elo並登上排行榜第一，展現其在模型對戰式評比中的整體回答品質。Humanity’s Last Exam得分達37.5%，顯示其能處理極高難度的人類推理題目。GPQA Diamond達91.9%，反映出模型在博士級科學與研究問題上的理解深度。而在針對高難度數學推理的MathArena Apex中，Gemini 3 Pro也取得23.4%的成績。</p> <p>多模態方面，在MMMU-Pro與Video-MMMU等測試也刷新紀錄，顯示模型在文字、影像、影片與程式碼推理方面均已達到新層級。</p> <p>Gemini 3延續Gemini 2.5的代理人發展方向，在Vending-Bench 2展現全年穩定的模擬營運能力。該測試以經營一臺販賣機長達一年的情境，評估模型是否能在季節變化與動態需求下維持連貫策略與正確決策。Gemini 3在此表現顯示其具備長期任務中的一致性與耐久度，未來將透過Gemini Agent在產品中呈現，協助處理如預訂服務、整理收件匣等跨應用任務。</p> <p>目前Google AI Pro每月費率為19.99美元，Google AI Ultra每月為249.99美元，開發者API採用按使用量計價，Gemini 3 Pro每百萬Token的輸入約2美元，每百萬Token輸出約12美元。</p> </div></div></div>
2025/11/19 17:02作者陳曉莉https://www.ithome.com.tw/news/172349
微軟與Nvidia將投資Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.microsoft.com/blog/2025/11/18/microsoft-nvidia-and-anthropic-announce-strategic-partnerships/" target="_blank">微軟、Nvidia及Anthropic周二（11/18）宣布策略聯盟</a>，Nvidia與微軟最高將分別投資100億及50億美元予Anthropic，Anthropic則承諾將投入300億美元來採購微軟Azure運算資源，並在Azure上使用Nvidia Grace Blackwell與Vera Rubin架構所提供的最高1GW算力。</p> <p>上述業者指出，它們將從模型訓練、雲端運算到硬體架構建立一條完整的技術合作鏈，Anthropic準備把快速成長的Claude模型大規模部署於Microsoft Azure，替企業客戶帶來更多尖端模型選擇，並擴大可用算力。微軟則說，此舉可提升Azure AI產品線的模型多樣性，也讓企業客戶更容易導入多模型架構。</p> <p>儘管Claude已出現在Azure AI Foundry上，亦為Copilot系列的模型選項之一，但模型選擇有限。這次Anthropic擴大與微軟的合作，讓Claude尖端模型全面進駐Azure；且Nvidia與Anthropic則將首度建立深度技術合作，一同最佳化未來的GPU架構，使其更適合Anthropic模型的運算需求，初期合作將以Nvidia Grace Blackwell及Vera Rubin系統提供最高1GW運算能力，強調最佳化效能、能耗與整體擁有成本。</p> <p>這也讓Claude成為唯一同時出現在Amazon AWS、Google Cloud與Microsoft Azure三大主流雲端平臺的前端模型。反觀OpenAI的GPT系列，目前唯一正式支援的雲端平臺只有微軟Azure，在其它平臺上並未提供官方整合，只能透過API間接使用。</p> <p>像微軟、Nvidia及Anthropic這類包含投資、算力採購與技術整合的策略合作，已成為AI領域主流的生態系結盟形式，最早有微軟與OpenAI（微軟投資OpenAI，OpenAI以Azure作為主要平臺），繼之有Amazon與Anthropic（Amazon投資80億美元，Anthropic向AWS採購算力），Google與Anthropic，以及Nvidia與OpenAI（OpenAI承諾建置10GW Nvidia系統，Nvidia則說逐步投資OpenAI至1,000億美元）等。</p> <p>這類「供應商投資下游客戶、客戶再回頭採購供應商產品」的作法並非AI領域獨有，在汽車、電信、面板與航太等產業十分常見，例如車廠以融資支持經銷商進貨，或電信商補貼手機品牌再換取採購量。在AI市場中，此模式被放大至跨國、千億級的算力與供應鏈規模，使資金往返、需求真實性與供應鏈穩定度的風險更加明顯。</p> </div></div></div>
2025/11/19 15:59作者陳曉莉https://www.ithome.com.tw/news/172340
微軟公開Fairwater架構，串聯多座資料中心成AI超級工廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟在周二（11/18）舉行的Microsoft Ignite年度技術大會上<a href="https://blogs.microsoft.com/blog/2025/11/12/infinite-scale-the-architecture-behind-the-azure-ai-superfactory/" target="_blank">揭露了Fairwater的新成員</a>，是座落在喬治亞洲亞特蘭大的資料中心園區，將與9月於威斯康辛州發表的<a href="https://blogs.microsoft.com/blog/2025/09/18/inside-the-worlds-most-powerful-ai-datacenter/?utm_source=chatgpt.com" target="_blank">AI資料中心</a>，過去數代的AI超級電腦，以及更廣泛的Azure全球資料中心網路相互連接，形成全球第一座行星級AI超級工廠。</p> <p>微軟是在9月首度提到Fairwater，以作為新一代AI資料中心站點級的品牌名稱，每一座Fairwater都是AI超級工廠的組成單位，採用新一代AI資料中心的設計。</p> <p>傳統雲端資料中心旨在運行許多較小的獨立工作負載，例如託管網站、電子郵件或是業務應用程式，但Fairwater站點不同，它使用單一網路連接數十萬個最新的Nvidia GPU，以AI超級電腦之姿運作，但其性能遠超越目前全球最快的超級電腦，以前所未有的速度執行AI訓練及推論任務。最新的、位於亞特蘭大的站點，同樣也將整合數十萬個最新的Nvidia GB200與Nvidia GB300 GPU。</p> <p>Fairwater採用單一且連貫的NVIDIA Blackwell GPU叢集，透過扁平化網路突破傳統Clos限制，可支援數十萬顆GPU協同運作。每機架最多容納72顆Blackwell GPU，以NVLink提供低延遲與1.8TB頻寬，並具14TB共享記憶體。機架間則以雙層乙太網路串接成大型叢集，達每GPU 800Gbps，結合SONiC與高頻遙測實現低延遲、可靠且具成本效率的AI網路。</p> <p>Microsoft以專用AI WAN光纖連接多座Fairwater站點，全年鋪設超過12萬英里光纖，使不同世代超級電腦能跨州協同運作，形成行星級AI超級工廠。Fairwater還支援多工作負載動態調度，包括預訓練、微調、強化學習與合成資料生成，以提高整體GPU使用率。</p> <p>微軟說明，Fairwater的設計目標為最大化運算密度，以降低機櫃內及機櫃間的延遲，並提升系統效能；其中，提高冷卻技術是提升密度的重要手段之一，Fairwater採用整座園區級的液體冷卻系統，以封閉循環方式使用冷卻液，初次灌注的用水量約等於20戶家庭一年的用水量，只要水質維持在化學標準範圍內，便不需更換，理論上可連續使用超過6年，可大幅降低耗水量並提升永續性。此外，液冷具備更高的熱傳效率，可讓機架與機排的功率達到更高水準，得以以最高密度部署運算。</p> <p class="rtecenter"><img alt="" src="https://msblogs.thesourcemediaassets.com/2025/11/OMB-Datacenter-11_11-Image-1.jpg" style="width: 600px;" /></p> <p>另一項提升密度的方式，是採用兩層樓的資料中心建築設計，由於許多AI工作負載對延遲極為敏感，因此纜線長度會大幅影響效能。但Fairwater中，每一顆GPU都需要能連到所有GPU，而兩層樓的設計可在三維空間中安置機櫃，將纜線長度降到最短，進而改善延遲、頻寬、可靠度與成本。</p> <p class="rtecenter"><img alt="" src="https://msblogs.thesourcemediaassets.com/2025/11/OMB-Datacenter-11_11-Image-2-.jpg.png" style="width: 600px;" /></p> <p>傳統資料中心通常採用大型單層鋼構，原因包括單層更容易承重、方便執行氣流管理、方便佈線或配置電力，或是避免大型設備震動，這使得為了縮短纜線而使用兩層樓設計的Fairwater非常罕見，也只有AI超級電腦才需要把所有GPU互連成一臺巨大機器。</p> <p>另一個讓亞特蘭大雀屏中選的原因是當地的電網非常穩定，可在3×9（99.9%）成本下達成4×9等級（99.99%）電力可用度，因而無需使用傳統資料中心的備援電力設備，進而節省了成本、空間及建置時間。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2025/11/19 14:21作者陳曉莉https://www.ithome.com.tw/news/172334
Cloudflare故障6小時，波及ChatGPT及X等服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路基礎設施業者Cloudflare在世界協調時間（UTC）<a href="https://www.cloudflarestatus.com/incidents/8gmgl950y3h7" target="_blank">周二（11/18）早上11時許發生故障（約是臺灣時間11/18晚上7時許）</a>，原本內部以為遭到大規模的分散式服務阻斷（DDoS）攻擊，結果發現是變更資料庫系統權限的一系列操作所觸發的。此一故障延續約6小時，一直到臺灣時間11/19凌晨1點多才恢復正常。<a href="https://downdetector.com/" target="_blank">Downdetector顯示</a>Spotify、Facebook、Anthropic、X、OpenAI與AWS等服務，在Cloudflare事故同一時段出現大量使用者回報，雖無法確認因果關係，但時間重疊，推測可能受到牽連。</p> <p>成立於2010年的Cloudflare所提供的服務，包括內容傳遞與效能、網路安全、邊緣運算與開發，以及企業雲網路服務等，標榜可讓全球網站、應用及企業網路更快也更安全，它在全球數百個城市部署邊緣節點，為目前涵蓋範圍最廣的網路遞送與安全平臺之一，許多網站的流量都會先經過Cloudflare才到達使用者。</p> <p><a href="https://blog.cloudflare.com/18-november-2025-outage/" target="_blank">Cloudflare很快公布了此次意外的始末</a>，表示他們在UTC 11:05於ClickHouse資料庫上部署了一項權限更新，讓使用者能顯式看到底層資料庫r0的欄位資訊。然而，Bot Management功能檔的生成查詢並未過濾資料庫來源，更新後同時抓到default與r0兩份相同欄位，導致功能檔內容倍增。</p> <p>功能檔在全網傳播後，代理模組（FL/FL2）因其特徵數量超過預先配置的上限而發生錯誤並崩潰，使得全球自UTC 11:20起出現第一波伺服器錯誤（HTTP 5xx）。</p> <p>Cloudflare的核心代理模組（FL/FL2）是所有HTTP流量的共同入口，無論是網站、API、登入驗證、Workers、CDN或Turnstile，使用者的每一個請求都必須先經過這個代理層，再依序套用Bot Management、WAF、防火牆與快取等模組。因此，代理模組相當於Cloudflare整個網路的交通樞。此次Bot Management功能檔異常導致代理模組崩潰後，所有流量都無法被正確處理，系統只能回傳5xx錯誤，造成所有建置在Cloudflare上的客戶同步受影響，形成全球性的大規模中斷事件。</p> <p>從開始部署權限變更（UTC 11:05）、發生錯誤（11:28），一直到Cloudflare抓到真正的原因（13:37），大約耗費了兩個半小時，接著Cloudflare即介入以停止產生與發布新檔，14:30即恢復大多數的服務，一直到17:06才完全復原。</p> <p>Cloudflare表示，雖然事件的起因只是例行性的資料庫權限調整，但影響層面遠超預期。他們強調，這次故障並非遭受外部攻擊，而是內部多個系統環環相扣，使一個功能檔的異常翻倍一路擴散到代理系統，最終導致全球性流量中斷。</p> <p>Cloudflare坦承，這是自2019年以來最嚴重的一次全網停擺，且對依賴Cloudflare的網站與應用造成實質影響，公司將全面檢討模組依賴、設定檔驗證、以及錯誤處理流程；未來也將強化相關機制，包括對所有內部自動生成的設定檔加入更嚴格的檢查、建立更多可立即生效的全域停用開關、並避免除錯與觀察系統在事故中額外壓垮伺服器。</p> <p>此外，該公司也將重新審視核心代理模組的失效模式，確保即便其中一個子系統異常，整體流量仍能以降級模式安全維持。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/256519_0.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/256520_0.jpg" style="width: 295px;" /></p> </div></div></div>
2025/11/19 13:37作者陳曉莉https://www.ithome.com.tw/news/172333
微軟發表Agent 365納管企業自建與第三方代理，強化AI治理與安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟在年度技術大會Microsoft Ignite 2025中，發表企業級AI代理治理平臺<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2025/11/18/microsoft-agent-365-the-control-plane-for-ai-agents/">Agent 365</a>，目標是作為AI代理的控制平面，讓企業在不重構既有IT架構的前提下，集中管理來自內部、自家服務與第三方平臺的各式AI代理。目前Agent 365透過微軟AI創新早期存取計畫Frontier提供，主要針對希望先行驗證AI代理治理情境的企業IT團隊。</p> <p>微軟表示，隨著企業同時使用自建代理、外部代理與各種試驗性專案，代理數量迅速累積，也形成代理擴散（Agent Sprawl）的問題，使IT部門難以清楚掌握其來源、用途與所連接的內部資源。</p> <p>Agent 365的設計重點，是把代理視為企業IT環境中的正式員工，統一納入既有的身分管理、存取控制與稽核流程，而不是額外維護一套獨立的治理機制。</p> <p>Agent 365是部署在Microsoft 365管理中心的治理層，其提供統一的遙測資料、儀表板與警示功能，讓IT人員從單一介面盤點組織中正在使用、開發或導入的代理，查看來源、用途、風險狀態與使用情況，並替資安與合規建立共同基準。</p> <p>Agent 365建構在Microsoft Entra上的代理登錄庫，將內部自建代理與註冊於Microsoft Teams Store的代理納入單一清單。IT人員可以依組織政策標記與隔離不合規的代理，避免其被一般使用者搜尋或連接內部資源，並透過Agent Store，讓員工在Microsoft 365 Copilot與Teams中優先找到經過核可的代理。</p> <p>結合Entra既有能力，Agent 365要求所有代理必須具備獨立的代理ID，才能套用以風險為基礎的條件式存取控制與政策範本，限制代理僅能觸及完成任務所需的最小資源，降低誤用或遭入侵時的影響範圍。</p> <p>同時IT人員可藉由視覺化儀表板，掌握代理、使用者與各類系統之間的關聯。儀表板依角色提供分析報表，從執行速度、回應品質與任務遵循情況供IT人員評估代理成效，而相關互動紀錄也可用於電子蒐證與合規稽核。</p> <p>在Agent 365治理架構下，代理可受控存取Word、Excel、SharePoint與Dynamics 365等應用及背後資料，並透過個人化與脈絡引擎Work IQ理解組織語境與關係，同時支援管理以Copilot Studio、Microsoft Foundry、Microsoft Agent Framework或Agent 365 SDK等路徑建立的代理，並逐步納管來自廠商與開源社群的代理。</p> <p>Agent 365整合Microsoft Defender與Purview，自整體安全態勢檢視弱點與攻擊行為，阻止資料外流，並即時標示風險較高的代理互動，套用動態政策以因應持續變化的監管要求。</p> </div></div></div>
2025/11/19 13:52作者李建興https://www.ithome.com.tw/news/172332
Fortinet再度對網頁應用程式防火牆用戶發布公告，修補已遭利用的命令注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>11月18日，資安業者Fortinet發布公告，指出<strong><a href="https://fortiguard.fortinet.com/psirt/FG-IR-25-513">應用程式防火牆（WAF）系統FortiWeb存在命令注入漏洞</a></strong>，且已有實際利用的情形。由於該公司<a href="https://www.ithome.com.tw/news/172274"><strong>不到一週前才公布重大漏洞CVE-2025-64446</strong></a>（CVSS風險為9.1分），且當時有多家資安業者指出在一個月前就出現攻擊行動，所以，這次新漏洞的公告也格外受到關注。</p> <p>此漏洞被登記為CVE-2025-58034，是作業系統層級的命令注入漏洞，起因是特殊元件出現不當中和（neutralization）的現象，通過身分驗證的攻擊者可利用特製的HTTP請求，或是下達CLI命令，於作業系統底層執行未經授權的程式碼，CVSS風險評為6.7分（但該漏洞在美國國家漏洞資料庫登記為7.2分），Fortinet發布8.0.2版、7.6.6版、7.4.11版、7.2.12版，以及7.0.12版FortiWeb修補，美國網路安全暨基礎設施安全局（CISA）也在Fortinet發布公告的同一天，<a href="https://www.cisa.gov/news-events/alerts/2025/11/18/cisa-adds-one-known-exploited-vulnerability-catalog"><strong>將這個漏洞列入已遭利用的漏洞列表（KEV）</strong></a>，限期聯邦機構在一週內完成修補。</p> <p>Fortinet並未在公告說明，不過，通報此事的資安業者趨勢科技向<a href="https://www.bleepingcomputer.com/news/security/fortinet-warns-of-new-fortiweb-zero-day-exploited-in-attacks/"><strong>資安新聞網站Bleeping Computer透露</strong></a>，他們偵測到約2千次漏洞利用攻擊活動。</p> <p>攻擊者鎖定FortiWeb漏洞下手的情況，不只是這一週的兩次揭露，幾個月前也出現。7月9日，<strong><a href="https://www.ithome.com.tw/news/169971">Fortinet修補重大層級的SQL注入漏洞CVE-2025-25257</a></strong>（CVSS風險評為9.6），<a href="https://www.ithome.com.tw/news/170108"><strong>兩天後Shadowserver基金會偵測到漏洞利用活動</strong></a>，攻擊者試圖以此在FortiWeb植入Web Shell。</p> </div></div></div>
2025/11/19 11:24作者周峻佑https://www.ithome.com.tw/news/172330
Google發布Chrome 142更新，修補V8引擎零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>11月17日，Google發布電腦版Chrome更新，推出<strong><a href="https://chromereleases.googleblog.com/2025/11/stable-channel-update-for-desktop_17.html">142.0.7444.175與142.0.7444.176版</a></strong>，修補兩個高風險資安漏洞，值得留意的是，其中一個已被用於攻擊。</p> <p>這些漏洞被登記為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-13223">CVE-2025-13223</a></strong>與<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-132234">CVE-2025-13224</a></strong>，它們都是JavaScript引擎V8的類型混淆（Type Confusion）弱點。其中，由Google威脅分析團隊（TAG）通報的CVE-2025-13223，該公司表示掌握遭到實際利用的情況。</p> <p>針對兩項漏洞，Google未說明其影響，也沒透露CVE-2025-13223如何遭到利用。根據美國國家漏洞資料庫（NVD）登記的資料，這些漏洞皆能被遠端利用，攻擊者可透過特製HTML網頁觸發，有機會導致記憶體堆積區（Heap）損壞，CVSS風險評分皆為8.8。</p> <p>截至目前為止，今年Google已經修補7個Chrome零時差漏洞，分別是：<a href="https://www.ithome.com.tw/news/168082"><strong>CVE-2025-2783</strong></a>、<strong><a href="https://www.ithome.com.tw/news/168977">CVE-2025-4664</a></strong>、<strong><a href="https://www.ithome.com.tw/news/169349">CVE-2025-5419</a></strong>、<strong><a href="https://www.ithome.com.tw/news/169848">CVE-2025-6554</a></strong>、<strong><a href="https://www.ithome.com.tw/news/170078">CVE-2025-6558</a></strong>、<strong><a href="http://www.ithome.com.tw/news/171282">CVE-2025-10585</a></strong>，以及CVE-2025-13223。值得留意的是，上述漏洞超過一半出現在V8，而且多數為類型混淆漏洞，突顯這種型態的弱點可能是攻擊者偏好下手的目標。</p> </div></div></div>
2025/11/19 10:10作者周峻佑https://www.ithome.com.tw/news/172328
Flutter 3.38對應iOS 26與Android 15，完成UIScene與16 KB記憶體分頁支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Flutter團隊<a href="https://blog.flutter.dev/whats-new-in-flutter-3-38-3f7b258f7228">釋出Flutter 3.38與Dart 3.10</a>，重點放在平臺相容與開發體驗調整，以及透過dot shorthands語法糖與強化Widget Previews來改善開發體驗。此次更新全面支援iOS 26、Xcode 26與macOS 26，同時因應Apple與Google的兩項新要求，分別是UIScene生命周期與Android 15的16 KB記憶體分頁大小相容性。</p> <p>在iOS部分，Apple宣布自iOS 26之後的新版本起，所有以最新SDK建置的UIKit應用都必須採用UIScene生命周期，否則無法啟動。為此，Flutter 3.38正式納入UIScene支援，並提供兩種搬遷方式，開發者可依官方文件手動修改AppDelegate與Info.plist，或是啟用實驗功能，透過指令自動調整設定。</p> <p>對於依賴應用生命周期事件的外掛，開發者也需更新至UIScene事件版本，否則未來將出現警告。另外，Flutter近期也導入Xcode 26的devicectl指令，取代以往需要啟動Xcode應用的部署流程，使在實體裝置測試與CI環境中的安裝與除錯更穩定。</p> <p>Android端的更新重點則是Google即將在2025年11月1日強制執行的16 KB記憶體分頁大小政策，從Android 15起，以Android 15或以上版本為目標的應用需支援16 KB記憶體分頁配置，否則可能在高記憶體裝置上無法啟動或效能受限。Flutter 3.38預設ndkVersion更新為NDKr 28，官方同時建議開發者採用Flutter內建的compileSdkVersion與targetSdkVersion設定，避免不同版本的Gradle、Kotlin與AGP組合導致編譯錯誤。同時，Flutter 3.38也修正了一項自3.29以來的記憶體洩漏問題，改善Activity銷毀時資源未釋放的情況。</p> <p>在開發體驗的更新，Dart 3.10推出dot shorthands語法糖，讓開發者可省略重複型別宣告，像是以.start取代MainAxisAlignment.start，或.all取代EdgeInsets.all，減少樣板程式碼。Widget Previews功能也持續強化，現在能在VS Code與Android Studio中直接預覽元件畫面，並支援亮暗主題、自訂配色與多組預覽設定。</p> </div></div></div>
2025/11/18 23:05作者李建興https://www.ithome.com.tw/news/172326
AWS代理式IDE Kiro加入CLI與規格正確性測試，提升AI開發可靠度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS發布旗下人工智慧代理式IDE <a href="https://kiro.dev/blog/general-availability/">Kiro正式版</a>，更新重點放在提升人工智慧協作開發流程的可控性與一致性，並將使用情境擴展到終端環境與多專案架構。Kiro以規格驅動開發（Spec-Driven Development，SDD）為核心，強調先記錄明確需求，再由人工智慧協助生成程式碼，在正式版本中，官方進一步補強測試能力、版本回溯機制與團隊管理功能。</p> <p>Kiro引入屬性導向測試（Property-Based Tests），協助檢查規格與最終程式碼是否相符，傳統單元測試大多仰賴少量範例，測試角度容易受撰寫者思考侷限。Kiro則從EARS格式的需求描述中擷取可驗證行為，自動產生大量隨機測試案例，涵蓋更多情境檢查行為。當測試發現反例時，工具會提示修正程式或調整規格，雖非形式驗證，但在實務專案有助提升規格與實作的一致性，降低人工智慧自動生成程式碼偏離原意的風險。</p> <p>Kiro還加入檢查點機制，避免人工智慧代理在多次修改後難以回到合適的狀態。系統會在代理每次變更時建立可回溯點，開發者可在不中斷後續工作安排的前提下回復至較早版本，對長任務或多階段實作特別有幫助，能減少重做與額外成本。</p> <p>針對管理多模組或含多個套件專案的團隊，Kiro提供多根目錄工作空間支援，開發者可在同一工作區處理多個根目錄，像是主專案搭配共用程式碼的環境，現在能於單一Kiro工作空間中由人工智慧代理跨資料夾分析並生成程式碼，改善大型專案與單一儲存庫、多套件架構下的協作體驗。</p> <p>此次更新也正式推出Kiro CLI，讓使用者能在終端機中使用與IDE相同設定的Kiro代理，CLI沿用行為指引檔（Steering Files）與MCP設定，支援Claude Sonnet 4.5、Claude Haiku 4.5與Auto等模型，可讀寫本機檔案、分析錯誤、追蹤臭蟲與修補程式碼，並支援依前端、後端或資料處理等領域建立客製化代理。</p> <p>Kiro新增組織帳戶整合，團隊成員可透過AWS IAM Identity Center登入。管理者得以在AWS管理主控臺中分配訂閱方案、統一計費、設定MCP使用限制並管理權限，企業用戶只需以組織身分登入即可採用現有管理流程，有利於在團隊與企業規模下推動人工智慧協作式開發。</p> </div></div></div>
2025/11/18 22:27作者李建興https://www.ithome.com.tw/news/172324
Google新一代WeatherNext 2天氣預報模型，一分鐘可算出上百種天氣變化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google推出新一代人工智慧天氣預報模型<a href="https://blog.google/technology/google-deepmind/weathernext-2/">WeatherNext 2</a>，主打在單一TPU上約一分鐘內就能算出上百種全球天氣情境，運算速度比前一代模型快約8倍，時間解析度細到每小時，預報時間可涵蓋0到15天。WeatherNext 2已被正式導入Search、Gemini、Pixel天氣等服務，也透過Google Maps Platform的Weather API與Google Cloud對企業與開發者開放。</p> <p>WeatherNext 2由DeepMind與Google研究院共同研發，延續既有WeatherNext家族模型，強調以機器學習取代傳統大量數值方程式運算的作法。傳統數值天氣預報需要超級電腦逐步求解大氣物理方程式，才能得到未來數天的天氣，而WeatherNext 2則是從長期觀測與歷史資料中學習大氣演變的統計與空間關係，再用神經網路推估未來狀態，達成較快的運算與較低的能源成本。</p> <p>WeatherNext 2能從單一初始條件快速產生上百種預報情境，每次推論在單顆TPU上一分鐘內完成，比傳統需要超級電腦運算數小時的物理模式更能即時更新結果，協助掌握颱風、強降雨或極端高溫等可能變化。研究人員解釋，由於採用功能式生成網路（Functional Generative Network）架構，將隨機擾動加入模型內部，讓輸出的天氣既具變化又維持物理一致。模型雖只以單點氣象變數（Marginals）訓練，推論時仍能生成大尺度的聯合場（Joints），例如熱區範圍或風場電廠的總出力，這些才是實際決策最需要的資訊。</p> <p>研究人員表示WeatherNext 2在幾乎所有氣象變數與預報時效上，都優於前一代WeatherNext Gen，包含溫度、風場、濕度等，時間範圍則從即時到未來15天。內部以CRPS（Continuous Ranked Probability Score）這類機率預報評量指標比較，顯示新模型在短期與中程預報上整體誤差更低。搭配一小時時間步長的輸出，能滿足能源、交通與物流等產業對細緻時間解析度的需求，例如預估風電與太陽能出力或安排航班與車隊調度。</p> <p>WeatherNext 2的預報資料已經上架到Earth Engine與BigQuery，提供研究機構、企業與政府單位進行地理空間分析與大量資料查詢。Google雲端則在Vertex AI上推出早期存取計畫，讓企業能將WeatherNext 2納入自家應用情境，進行自訂推論或與既有系統串接。對一般使用者而言，該模型會以更直觀的方式呈現在Search查詢結果、Gemini對話回覆、Pixel手機內建天氣以及之後Google Maps中的天氣資訊中。</p> </div></div></div>
2025/11/18 22:07作者李建興https://www.ithome.com.tw/news/172321
GMI Cloud將在臺以7千顆Nvidia GPU建置AI Factory，明年第一季啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2023年成立於美國矽谷的GMI Cloud，以提供GPU雲端運算資源為主，今天(11/18)宣布將投入5億美元，約台幣160億元在臺灣建置AI Factory，以7,000顆Nvidia GPU組成算力資源，預計於明年第一季建置完成。GMI Cloud創辦人暨執行長葉威延宣示要成為AI的下一個TSMC。</p> <p>葉威延指出，GMI Cloud的規畫分為三期，逐期擴建產能，第一期先在臺灣投入160億元建置AI Factory，第二期將在北美建立3倍大的GPU集群，投資約台幣500億元，未來3年內建置1.5GW電力的資料中心，預估到2030年全球AI建設和需求將會提升10倍，因此未來的規畫是讓客戶可以快速使用AI。</p> <p>葉威延表示，GMI Cloud是Nvidia唯6家的Reference Platform partner，在亞洲地區則是唯3的Reference Platform partner。相較於其他業者提供算力資源，GMI Cloud的目標是提供客戶垂直的鏈路，從算力、平臺、模型服務、工作流程到最終的方案，為GMI Cloud在全球的第9個資料中心，第一個AI Factory。</p> <p>GMI Cloud將在台灣建置的AI Factory，位於台灣大哥大在桃園的機房改建而來，將採用7,000顆Blackwell GB300、NVLink高速連接技術，相當於一秒可處理200萬token的超級電腦。葉威延指出，7,000顆GB300的算力相當於10萬顆的H100，例如先前Llama 3花費6個月的時間訓練完成，這座AI Factory只需花費2周就能完成。</p> <p>這座AI Factory主要鎖定大規模推論、模型訓練及AI應用開發。不只是AI，葉威延表示，過去需要複雜運算的科學研究，例如預測未來災害如颱風的動向，也可以透過這個超算中心來模擬進行預測其動向。</p> <p>他表示，目前第一期的AI Factory算力能量已100%被搶購完成，第二期計畫也達到50%的算力能量，未來會繼續擴充算力資源。</p> <p>GMI Cloud也在今天分享其客戶使用AI Factory的情形，例如趨勢科技和Magna AI在虛擬的環境中模擬藍隊、紅隊的資安攻防，緯謙在智慧製造透過數位孿生模擬，提升2到3成的生產力。</p> <p>葉威延也揭露，GMI Cloud已邀請國外的AI業者，例如美國知名的Reflection AI將其模型技術落地在臺灣，結合本地的資料，服務在地的企業或政府。</p> <p>未來GMI Cloud的AI Factory潛在的客戶包含模型訓練公司、新創業者，或是想開發內部GPT應用的一般企業，聚焦的產業包括製造業、電信業、金融業、電子商務、影音娛樂產業等等，除了不同規模的企業，也有3萬多位的創作者使用，目前已有知名的YouTuber使用其提供的模型服務進行創作。</p> <p>葉威延談到AI Factory的願景，他表示，透過AI Factory提供的模型服務，不只是企業可以使用，AI Factory也能讓使用者實現他們的想法，</p> <p>「大家有任何的想法，都可以做自己的AI產品」，葉威延以產生自己的影音App為例，傳統上需要複雜的開發過程，從分配GPU資源，不斷測試適合的模型，過程中需要基礎架構工程師、網路工程師、儲存工程師、模型工程師共同參與，我們將其平臺化，透過3個模型組成的工作流程，從LLM、影像、影片生成，簡化開發流程，將原本需要數個月時間開發的專案，縮短為幾周完成的專案。</p> </div></div></div>
2025/11/18 19:21作者蘇文彬https://www.ithome.com.tw/news/172325
【資安日報】11月18日，惡意NPM套件濫用雲端資安防護服務，意圖過濾資安研究員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客為了防範資安研究人員進行調查而東窗事發，令人訝異的是，竟然透過合法的資安雲端服務來過濾受害對象，只對一般的使用者下手，若非目標對象，就會顯示無害內容。最近在惡意NPM套件活動裡，攻擊者採用名為Adspect的合法服務來達到目的，這樣的手法不僅罕見，由於濫用合法服務，也使得被導向無害網站的研究人員不易察覺異狀。此外，為了避免有「漏網之魚」，他們也對被導向詐騙網站的受害者，停用瀏覽器的開發工具。</p> <p>近期散布惡意軟體的ClickFix網釣也相當值得留意，其中又以竊資軟體Amatera Stealer的活動非常特別，因為攻擊者在竊資軟體活動之外，還對於較有價值的攻擊目標，安排後續攻擊流程，透過NetSupport RAT進一步控制受害電腦。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172299"><strong style="font-size: 22px;">惡意NPM套件濫用雲端服務Adspect企圖躲過研究人員調查</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6515e5f102baa53ca2317e55922c2fac1091d760-1265x914.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6515e5f102baa53ca2317e55922c2fac1091d760-1265x914.png" style="width: 300px; float: right;" /></a></p> <p>為了隱匿惡意NPM套件的攻擊行為，歹徒可能會試圖排除資安研究員從事調查的情況，最常見的作法是惡意軟體在啟動時檢查受害電腦環境，確認不是在研究人員的沙箱，才執行相關的惡意行為，不過，現在也有濫用雲端服務進行過濾的手法出現。</p> <p>資安業者Socket揭露一批惡意NPM套件，這些套件引起他們注意的地方，在於攻擊者試圖運用名為Adspect的雲端服務，目的是排除研究人員，只對真正的攻擊目標下手。這批套件的主要用途，是將受害者導向加密貨幣詐騙網站行騙。Adspect是雲端過濾服務，可用於封鎖機器人或是攻擊者未經授權存取網頁，僅開放正常的使用者存取網站的內容。</p> <p>這些套件一共有7個，全部都是由名為dino_reborn的開發者上架，發布的時間介於今年9月至11月，其中6個套件內含惡意軟體，最後一個的功能有所不同，可產生惡意網頁。對此，Socket向NPM通報後，NPM已將套件封存列管。</p> <p><a href="https://www.ithome.com.tw/news/172307"><strong style="font-size: 22px;">Amatera Stealer與NetSupport RAT透過網釣接觸受害者，透過系統呼叫逃過偵測機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EVALUSION-Campaign-Delivers-Amatera-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EVALUSION-Campaign-Delivers-Amatera-3.png" style="width: 300px; float: right;" /></a></p> <p>資安業者eSentire在今年11月偵測到名為Evalusion的惡意軟體攻擊活動，攻擊者試圖利用ClickFix手法取得初始入侵管道，從而於受害電腦部署竊資軟體Amatera Stealer，並透過NetSupport RAT進行遠端控制。</p> <p>與許多竊資軟體相同的是，Amatera Stealer具備廣泛的資料竊取能力，範圍涵蓋加密貨幣錢包、瀏覽器、即時通訊軟體、FTP用戶端程式，以及收信軟體。不過，該竊資軟體特別的地方在於，開發者整合了WoW64系統呼叫機制，藉此突破許多防毒軟體、EDR，以及沙箱系統當中，採用的使用者模式掛鉤（Hooking）機制。</p> <p>針對攻擊行動發生的過程，駭客透過釣魚網頁接觸受害者，假借進行圖靈驗證為幌子，要求依照指示操作，複製與貼上攻擊者的命令並執行，從而啟動感染鏈，透過mshta.exe執行PowerShell命令，下載.NET打造的惡意程式下載工具，再由雲端檔案共享服務MediaFire取得惡意程式載入工具Pure Crypter並解密，然後以此在特定處理程序（msbuild.exe）注入Amatera Stealer，使其在記憶體內執行。該竊資軟體不僅搜括受害電腦存放的個人資料，還會利用PowerShell下載NetSupport RAT。</p> <p><a href="https://www.ithome.com.tw/news/172319"><strong style="font-size: 22px;">大規模ClickFix網釣鎖定旅館而來，散布惡意軟體PureRAT，得逞後再向住房旅客行騙</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ipadtwice-infection-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ipadtwice-infection-chain.png" style="width: 300px; float: right;" /></a></p> <p>隨著全球出國旅遊復甦，歹徒也看上相關行業從事網路攻擊，其中一大目標是旅館業，在微軟於半年前揭露針對旅館員工而來的ClickFix網釣之後，歹徒似乎也打算對旅客下手。</p> <p>資安業者Sekoia揭露名為I Paid Twice的網釣攻擊，歹徒先透過旅館外流的Booking.com帳號，或是透過WhatsApp發送訊息，他們事先也掌握旅客個資與訂房資料，使得相關網釣活動能輕易騙過受害者。攻擊流程從一封惡意郵件開始，歹徒佯稱Booking.com，並寄給旅館的訂房部門或管理部門，假若收信人點選信中的連結，就有可能遭遇ClickFix攻擊，導致電腦被入侵，並植入木馬PureRAT（或稱為PureHVNC、ResolverRAT）。一旦遇害，旅館的Booking.com帳號通常會被出售，並被其他駭客用於向旅客發送釣魚郵件。</p> <p>這波活動最早可追溯到今年4月，並延續到10月上旬，攻擊者大多透過企業外流的電子郵件信箱，假借臨時訂房或是來自旅客的訊息，向旅館寄送釣魚信。</p> <p><a href="https://www.ithome.com.tw/news/172322"><strong style="font-size: 22px;">中國資安業者知道創宇傳出資料外洩，曝露中國政府對全球進行監控的意圖</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0929e2ff-fae8-48bb-985d-c9aa89048bc1-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929e2ff-fae8-48bb-985d-c9aa89048bc1-1.png" style="width: 300px; float: right;" /></a></p> <p>中國政府資助駭客打造的資安公司，並發展出網路犯罪生態圈，以便在全球從事網路間諜活動，過往研究人員只能根據找到的蛛絲馬跡，間接印證外界的猜測，自去年初安洵信息（i-Soon）內部資料在GitHub公開，反映這樣的態勢，現在又有中國資安業者的內部資料曝光，引起全球高度關注。</p> <p>這項消息的曝光，源自11月5日資安研究員Mr-xn的簡體中文部落格文章，11月2日傳出與中國政府有關的大型資安業者知道創宇（Knownsec）發生資料外洩事故，駭客聲稱竊得超過1.2萬份機密資料，內容透露了中國的國家級網路攻擊武器、內部工具，以及目標名單。攻擊目標涵蓋臺灣、日本，以及越南等超過20個國家。</p> <p>後續另一名研究員NetAskari循線取得部分資料進行分析，透露更多細節。他提到內容提及知道創宇打造的物聯網搜尋引擎ZoomEye，號稱能在7至10天掃描所有的IPv4位址。不過比較特別的地方在於，該公司聲稱ZoomEye能用來掃描零時差漏洞，並搭配「關基目標庫（key target library）」，根據目標設備對受害組織的重要程度，來決定檢視的優先順序。</p> <p><a href="https://www.ithome.com.tw/news/172292"><strong style="font-size: 22px;">微軟緩解殭屍網路Aisuru高達15.7 Tbps的DDoS攻擊</strong></a></p> <p>微軟本周揭露，Azure的DDoS防護系統Azure DDOS Protection在今年10月24日，成功自動偵測且緩解多向量DDoS攻擊，該起攻擊是針對澳洲的單一終端節點，高峰流量為15.72 Tbps，每秒送出36.4億個封包。此攻擊源自Aisuru殭屍網路，也是Azure在雲端所偵測到的最大規模的DDoS攻擊。</p> <p>Aisuru殭屍網路第一次被發現是在2024年8月，它是參與攻擊《黑神話：悟空》遊戲伺服器的近60個殭屍網路之一，被列為Turbo Mirai級別的IoT殭屍網路，迄今已感染至少70萬個物聯網系統，包括安全防護較為薄弱的網路路由器與監視攝影機，受感染設備多來自美國或其他國家的ISP。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/dragon-breath-uses-roningloader-to.html">國家級駭客Dragon Breath透過多階段載入工具RoningLoader，意圖散布RAT木馬Gh0st RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/eurofiber-france-warns-of-breach-after-hacker-tries-to-sell-customer-data/">電信業者Eurofiber France傳出資料外洩，駭客號稱竊得1萬家企業與政府機關客戶資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=174349&SPOKE_DATE=20251117&COMPANY_ID=5403">資服業者中菲電腦發布資安重訊，指出該公司遭遇網路攻擊事故</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172290"><strong style="font-size: 22px;">Dell修補Data Lakehouse重大權限提升漏洞</strong></a></p> <p>Dell本周發布安全更新，以修補資料倉儲系統Data Lakehouse權限提升（Elevation of Privilege, EoP）漏洞。</p> <p>這個漏洞編號CVE-2025-46608，為存取控管不當漏洞，具備遠端存取權限的高特權攻擊者，可利用本漏洞提升權限，存取系統資源。Dell公告說明，由於CVE-2025-46608能導致原本不具權限的攻擊者破壞系統完整性及客戶資料安全，被視為重大風險，CVSS風險評為9.1分。</p> <p>比利時網路安全中心公告則說明，本漏洞可在不需任何使用者互動情況下，讓攻擊者得以非授權存取系統，可能造成災難性後果。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-windows-10-kb5072653-oob-update-fixes-esu-install-errors/">微軟警急發布例外更新，修補Windows 10無法安裝ESU更新的問題</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/172289"><strong style="font-size: 22px;">深入授權投票釣魚運作流程，LINE臺灣如何找出阻斷詐騙活動的關鍵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/授權投票釣魚系統研究架構-圖片來源-LINE.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%88%E6%AC%8A%E6%8A%95%E7%A5%A8%E9%87%A3%E9%AD%9A%E7%B3%BB%E7%B5%B1%E7%A0%94%E7%A9%B6%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-LINE.png" style="width: 300px; float: right;" /></a></p> <p>LINE是全臺最大的通訊平臺，用戶數超過2千2百萬人，LINE帳號成了詐騙集團鎖定的犯案工具。LINE臺灣資安長劉威成指出，分析過去案件發現，許多帳號盜用發生在LINE平臺外的環境。為了偵測LINE帳號遭到外部網路釣魚鎖定的情況，LINE從2023年開始監控網路廣告上的投資詐騙，2024年則轉向分析釣魚網站，尤其深入研究2024年最常發生的投票釣魚。</p> <p>投票釣魚手法是，詐騙集團舉辦各式各樣的假投票活動，像是抗癌活動醫生票選，選美比賽票選、台灣旅遊活動票選、小孩舞蹈比賽票選，新人活動票選等，提供連結要求民眾參加，民眾若不疑有他點開連結，就進一步要求民眾用LINE帳號登入來投票，詐騙集團會開始透過種種社交工程的話術，來誘騙民眾會收到「投票驗證碼」，提供驗證碼給投票釣魚網站後，就可以完成投票，但其實，這組驗證碼是LINE帳號轉移的驗證碼。</p> <p>從釣魚網域的檢舉、釣魚網站可疑IP的辨識、海外帳號移轉申請的複雜化、虛擬機器模擬用戶的管制，LINE採取了多種做法，與詐騙集團展開了多次的攻防。其中，根據LINE的研究，從申請帳號移轉的來源路徑下手最有效。所以，LINE陸續累積出一套涵蓋帳號盜用事前、事中和事後的防範機制。</p> <p><strong style="font-size: 22px;">其他執法行動</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dutch-police-seizes-250-servers-used-by-bulletproof-hosting-service/">荷蘭警方查獲250臺非法用途的主機代管伺服器</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/172285"><strong>【11月17日】Fortinet旗下WAF重大漏洞已出現攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172260"><strong>【11月14日】勒索軟體駭客Akira將目標擴張到Nutanix虛擬化平臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172236"><strong>【11月13日】Citrix NetScaler與思科ISE重大漏洞在公布前即遭國家級駭客利用</strong></a></p> </div></div></div>
2025/11/18 16:58作者周峻佑https://www.ithome.com.tw/news/172323
大規模ClickFix網釣鎖定旅館而來，散布惡意軟體PureRAT，得逞後再向住房旅客行騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著全球出國旅遊復甦，歹徒也看上相關行業從事網路攻擊，其中一大目標是旅館業，在<strong><a href="https://www.ithome.com.tw/news/167917">微軟於半年前揭露針對旅館員工而來的ClickFix網釣</a></strong>之後，歹徒似乎也打算對旅客下手。</p> <p>資安業者Sekoia揭露<strong><a href="https://blog.sekoia.io/phishing-campaigns-i-paid-twice-targeting-booking-com-hotels-and-customers/">名為I Paid Twice的網釣攻擊</a></strong>，歹徒先透過旅館外流的Booking.com帳號，或是透過WhatsApp發送訊息，他們事先也掌握旅客個資與訂房資料，使得相關網釣活動能輕易騙過受害者。攻擊流程從一封惡意郵件開始，歹徒佯稱Booking.com，並寄給旅館的訂房部門或管理部門，假若收信人點選信中的連結，就有可能遭遇ClickFix攻擊，導致電腦被入侵，並植入木馬PureRAT（或稱為PureHVNC、ResolverRAT）。一旦遇害，旅館的Booking.com帳號通常會被出售，並被其他駭客用於向旅客發送釣魚郵件。</p> <p>這波活動最早可追溯到今年4月，並延續到10月上旬，攻擊者大多透過企業外流的電子郵件信箱，假借臨時訂房或是來自旅客的訊息，向旅館寄送釣魚信。</p> <p>一旦收信人上當點選信件網址，就會被導向具有非同步功能的JavaScript網頁，其中的JavaScript指令碼，會檢查網頁是否在iframe框架顯示。此網頁使用Booking.com的品牌掩人耳目，並要求收信人依照螢幕上的指示操作，以通過reCAPTCHA圖靈驗證機制，但若是照做，卻是複製並貼上執行PowerShell指令，以便攻擊者進行後續活動。</p> <p>此PowerShell指令會收集受害電腦的系統資訊，並下載ZIP檔及解壓縮，然後執行EXE檔案，並透過DLL側載執行PureRAT。此惡意軟體可供攻擊者遠端存取受害電腦，並控制鍵盤及滑鼠、擷取視訊鏡頭及麥克風、側錄鍵盤輸入內容、檔案上傳及下載，以及遠端執行命令或執行檔。</p> <p>Sekoia根據他們與合作夥伴的調查當中，發現歹徒後續透過WhatsApp或電子郵件觸及旅館的客戶，這些訊息都包含了正確的預約資料，聲稱旅客的銀行資料在驗證流程遭遇資安問題，要求他們進行確認。為了催促旅客依照指示操作，歹徒佯稱若不處理，訂房將被取消。然而若是照做，旅客就會帶往釣魚網站填寫信用卡資料。Sekoia指出，這些受害旅客應該支付了兩次住房費用：一次給旅館、一次給歹徒。此外，歹徒不只針對使用Booking.com的旅館和旅客下手，也有鎖定另一家訂房網站Expedia的情況。</p> </div></div></div>
2025/11/18 16:09作者周峻佑https://www.ithome.com.tw/news/172319
中國資安業者知道創宇傳出資料外洩，曝露中國政府對全球進行監控的意圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國政府資助駭客打造的資安公司，並發展出網路犯罪生態圈，以便在全球從事網路間諜活動，過往研究人員只能根據找到的蛛絲馬跡，間接印證外界的猜測，自去年初安洵信息（<strong><a href="https://www.ithome.com.tw/tags/i-Soon">i-Soon</a></strong>）<strong><a href="https://www.ithome.com.tw/news/161454">內部資料在GitHub公開</a></strong>，反映這樣的態勢，現在又有中國資安業者的內部資料曝光，引起全球高度關注。</p> <p>這項消息的曝光，源自11月5日<strong><a href="https://mrxn.net/news/Knownsec-data-leak.html">資安研究員Mr-xn的簡體中文部落格文章</a></strong>，11月2日傳出與中國政府有關的大型資安業者知道創宇（Knownsec）發生資料外洩事故，駭客聲稱竊得超過1.2萬份機密資料，內容透露了中國的國家級網路攻擊武器、內部工具，以及目標名單。攻擊目標涵蓋臺灣、日本，以及越南等超過20個國家。</p> <p>這批資料的具體內容，主要是知道創宇與中國政府合作的細節、網路武器的技術資料、內部工具的原始碼，以及中國境外的監控名單。最初駭客將資料上傳到儲存庫GitHub，後來已在資安社群散布。其中最受到外界關注的部分，是鎖定臺灣在內、超過20個國家與地區的「全球目標清單」，總共列出了80個攻擊目標，究竟知道創宇為中國政府偷到那些資料？該公司在外洩文件宣稱，他們取得臺灣道路規畫資料459 GB、韓國電信業者LG U Plus通訊記錄3 TB，以及印度移民資料95 GB。</p> <p>此外，這批洩露的檔案還透露知道創宇使用的駭客工具與技術資料，他們打造一套複雜的遠端存取木馬（RAT）工具，攻擊的範圍涵蓋主要的電腦作業系統與行動裝置平臺。Mr-xn特別提到該公司在安卓平臺的攻擊程式碼，能從Telegram與中國即時通訊軟體擷取大量對話記錄。</p> <p>後續另一名研究員NetAskari<strong><a href="https://substack.com/inbox/post/178189244">循線取得部分資料進行分析</a></strong>，透露更多細節。他提到內容提及知道創宇打造的物聯網搜尋引擎ZoomEye，號稱能在7至10天掃描所有的IPv4位址。不過比較特別的地方在於，該公司聲稱ZoomEye能用來掃描零時差漏洞，並搭配「關基目標庫（key target library）」，根據目標設備對受害組織的重要程度，來決定檢視的優先順序。</p> <p>知道創宇也標榜本身打造的木馬程式能力，具備檢視檔案、處理程序管控、螢幕監控、鍵盤側錄等十多種功能，並且號稱能迴避超過40款防毒軟體的偵測，以及流量能穿越主流防火牆而不被攔截，甚至該公司提供客製化UDP與DNS傳輸機制的服務。</p> <p>該公司也號稱能提供惡意程式框架GhostX，透過密碼、電子郵件轉發、對Cookie下手，或是刺探系統資訊的手法，對於Gmail與中國數十種郵件服務的用戶下手。他們也發展Un-Mail郵件取證系統，透過跨網站指令碼（XSS）攻擊手法，暗中搜括受害者所有信件，以及完整的通訊錄資料。</p> <p>而根據NetAskari看到知道創宇聲稱從全球各國收集到的資料，他指出部分螢幕截圖的內容顯示，該公司似乎收集各式資料來繪製其他國家的重要數位基礎設施的架構，並企圖尋找可被利用的資安漏洞。其中一張截圖列出部分臺灣重要機構的網路資產名單，當中包含金融業者、電信業者、政府機關，以及研究單位管理的防火牆設備，並彙整設備的廠牌、IP位址，以及連接埠等細節。儘管NetAskari後續確認這批資料為2023年外流，並非新資料，不過這些資料的曝光，也進一步印證中國政府透過當地資安業者對全球發起網路間諜活動。</p> </div></div></div>
2025/11/18 16:48作者周峻佑https://www.ithome.com.tw/news/172322
Amatera Stealer與NetSupport RAT透過網釣接觸受害者，透過系統呼叫逃過偵測機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>竊資軟體（Infostealer）的活動越來越氾濫，現在攻擊者不僅用於竊取各式帳密及使用者資料，還會進一步判斷遭感染的電腦是否有利可圖，再考慮進行後續活動。</p> <p>資安業者eSentire在今年11月偵測到<strong><a href="https://www.esentire.com/blog/evalusion-campaign-delivers-amatera-stealer-and-netsupport-rat">名為Evalusion的惡意軟體攻擊活動</a></strong>，攻擊者試圖利用ClickFix手法取得初始入侵管道，從而於受害電腦部署竊資軟體Amatera Stealer，並透過NetSupport RAT進行遠端控制。</p> <p>與許多竊資軟體相同的是，Amatera Stealer具備廣泛的資料竊取能力，範圍涵蓋加密貨幣錢包、瀏覽器、即時通訊軟體、FTP用戶端程式，以及收信軟體。不過，該竊資軟體特別的地方在於，開發者整合了WoW64系統呼叫機制，藉此突破許多防毒軟體、EDR，以及沙箱系統當中，採用的使用者模式掛鉤（Hooking）機制。</p> <p>針對攻擊行動發生的過程，駭客透過釣魚網頁接觸受害者，假借進行圖靈驗證為幌子，要求依照指示操作，複製與貼上攻擊者的命令並執行，從而啟動感染鏈，透過mshta.exe執行PowerShell命令，下載.NET打造的惡意程式下載工具，再由雲端檔案共享服務MediaFire取得惡意程式載入工具Pure Crypter並解密，然後以此在特定處理程序（msbuild.exe）注入Amatera Stealer，使其在記憶體內執行。該竊資軟體不僅搜括受害電腦存放的個人資料，還會利用PowerShell下載NetSupport RAT。</p> <p>究竟Amatera Stealer搜括的資料範圍有多廣？eSentire提到能從瀏覽器挖掘149種以上的加密貨幣錢包，並從至少43款密碼管理員截取帳密資料，這樣的能力，與Lumma Stealer或Meduza等竊資軟體不相上下。</p> <p>值得留意的是，除了竊取資料的功能，Amatera Stealer還具備後門的能力，可執行其他有效酬載，包含透過URI提供的PowerShell命令，或是挾持執處理程序的Shell Code，以及從C2霰得的EXE或PS1檔案。</p> <p>而在通訊內容的部分，此竊資軟體透過Windows API以AES-256 CBC演算法，加密通訊內容，並透過TLS協定與特定Windows功能函式建立C2連線，這麼做的目的，是為了迴避使用特定Windows API掛鉤檢查HTTP流量的機制。</p> <p>不過，攻擊者並非對所有受害電腦都載入NetSupport RAT，他們透過Amatera Stealer執行特定的PowerShell指令，假若受害電腦位於網域環境，或是具備加密貨幣錢包與其他可能有價值的檔案，才會下載該遠端存取工具並控制受害電腦。</p> </div></div></div>
2025/11/18 14:56作者周峻佑https://www.ithome.com.tw/news/172307
Artificial Analysis發布幻覺基準測試AA-Omniscience，只有3個模型的準確率高於幻覺率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國AI研究與評測公司Artificial Analysis於周一（11/17）<a href="https://x.com/artificialanlys/status/1990455484844003821" target="_blank">發表全新的幻覺基準測試AA-Omniscience</a>，用以衡量模型在知識覆蓋度與誠實自我校準（避免亂猜）之間的平衡。該測試除了計算模型的準確率外，若出現幻覺則會扣分，因此只有Claude 4.1 Opus、GPT-5.1與Grok 4等3款模型的得分高於0，其餘皆為負分，顯示多數模型在高難度題目中給出錯誤答案的機率，仍高於正確答案。</p> <p>Artificial Analysis指出，語言模型的內嵌知識對許多實際應用至關重要，若缺乏知識，模型容易作出錯誤假設，無法於真實情境中運用，儘管可藉由網頁搜尋補強，但至少必須知道該搜尋什麼；看似事實的幻覺是信任模型的主要障礙，且在多數測試資料集中被持續放大，若僅以準確率評分、對錯誤不予以懲罰，模型反而會被誘導亂猜，特別是在知識領域，錯誤知識比不回答更有害。</p> <p>AA-Omniscience會對出現幻覺的行為進行扣分。該測試共收錄6,000個專家級的高難度問題，涵蓋6大領域（商業、人文社會、健康、法律、軟體工程、理科與數學），共42個主題、89個子領域；錯誤答案會在「知識可靠度指數」中被懲罰；其3大指標分別是準確率、幻覺率與Omniscience Index（全知指數），在全知指數中，答對會+1，答錯會-1，不答則是0分，總計測試36個模型。</p> <p><a href="https://arxiv.org/html/2511.13029v1" target="_blank">結果發現</a>，Claude 4.1 Opus全知指數第一，其次為GPT-5.1與Grok 4，但這些頂級模型的得分也僅略高於0，其中，Anthropic的優勢來自低幻覺率，OpenAI與xAI則以高準確率取勝。</p> <p><a href="http://x.com/artificialanlys/status/1990455484844003821" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1118-AA-Omniscience-benchmark-hallucination-Artificial%20Analysis.jpg" style="width: 600px;" /></a></p> <p>Grok 4在準確率上居冠，其次為GPT-5與Gemini 2.5 Pro，猜測xAI的優勢可能來自龐大參數量與前訓練運算力；而Claude系列橫掃幻覺榜，4.5 Haiku的幻覺率28%，遠低於 GPT-5（高達80%）與Gemini 2.5 Pro（70%）；Claude 4.1 Sonnet與Claude 4.1 Opus的幻覺率皆為48%。</p> <p>該測試透露出，高知識不等於低幻覺，且每個模型在不同領域的表現也不一，大型模型的準確率雖高，但不見得可靠，整體而言，Anthropic Claude系列在幻覺控制最穩定，OpenAI GPT-5.1在商業領域最準確，xAI Grok 4在數理與健康領域最強大。</p> <p>至於在AA-Omniscience敬陪末座的，則是LG AI Research的EXAONE 4.0 32B，最後3名還包括OpenAI開源系列的gpt-oss-20B與gpt-oss-120B，這3個模型的全知指數約在-70至-80之間，顯示它們「答錯的次數遠高於答對」，屬於高幻覺、低可靠模型。</p> </div></div></div>
2025/11/18 16:19作者陳曉莉https://www.ithome.com.tw/news/172320
AI推論框架存在ShadowMQ通訊漏洞，商用與開源多個推論引擎受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Oligo Security<a href="https://www.oligo.security/blog/shadowmq-how-code-reuse-spread-critical-vulnerabilities-across-the-ai-ecosystem">揭露</a>，一系列影響人工智慧推論引擎的重大遠端程式碼執行漏洞，出現在Meta、Nvidia與微軟等業者使用的推論框架，以及vLLM、SGLang與Modular Max等開源專案，問題源頭被研究團隊統稱為ShadowMQ。這些框架多被用來支撐雲端LLM服務與企業內部人工智慧平臺，未更新修補，就有讓攻擊者在推論叢集上執行任意程式碼的風險。</p> <p>ShadowMQ並不是某一個單一產品的錯誤，研究人員指出，多個框架使用ZeroMQ進行節點間通訊時，採用Python的pickle模組從網路Socket直接反序列化收到的物件，像是透過recv_pyobj這類方便函式，一旦該Socket對外開放，而且沒有任何驗證機制，攻擊者只要能連上通訊埠，就可能送入特製資料，在反序列化過程中觸發任意程式碼執行。</p> <p>這個模式最早出現在Meta的Llama Stack，對應CVE-2024-50050，影響0.0.41之前版本。Meta現在已改用JSON等較安全的序列化方式，修補了該缺陷。不過，後續分析顯示，相同的通訊與反序列化寫法，已被複製到Nvidia的TensorRT-LLM、微軟的Sarathi-Serve、Modular Max Server，以及vLLM與SGLang等多個專案。</p> <p>研究人員在追蹤程式碼脈絡時發現，部分檔案幾乎是整份搬過去，甚至在檔頭註明Adapted from vLLM，而Modular Max又從vLLM與SGLang同時借用邏輯。這代表各家維護團隊並非各自獨立犯錯，而是直接沿用其他專案程式碼，同時也複製了不安全寫法，研究團隊因此以ShadowMQ命名。</p> <p>由於這些推論引擎往往位在人工智慧基礎設施的核心，負責處理模型權重、提示內容與客戶資料。研究人員指出，要是攻擊者能觸及這些ZeroMQ通訊端點並成功利用漏洞，不僅可能在單一推論節點上執行任意程式，還可能在GPU叢集中橫向移動，進一步竊取模型與機敏資料，甚至比照ShadowRay攻擊活動安裝加密貨幣挖礦程式，長期占用運算資源。</p> <p>Meta已將Llama Stack更新至0.0.41之後版本，移除不安全的pickle使用，vLLM則透過改以較新的V1引擎作為預設，降低舊有通訊路徑被濫用的風險，而Nvidia在TensorRT-LLM 0.18.2版中修補CVE-2025-23254，強化Python執行元件在IPC中的驗證流程，Modular Max Server也已針對CVE-2025-60455推出修正。</p> <p>而研究人員指出，微軟的研究框架Sarathi-Serve被點名目前仍未修補，SGLang目前則被評估僅有部分修正。</p> <p>不過，即使升級到安全版本，當ZeroMQ通訊埠仍暴露在網際網路上，或在內部網路中缺乏適當存取控管，風險依舊存在。研究人員建議除了套用各家最新修補外，也應檢查是否仍在使用pickle處理不可信輸入，盡量改採JSON或其他安全格式，並對ZMQ通訊加上認證與加密，避免使用tcp://*這類綁定所有網路介面的設定，同時限制僅允許必要系統連線。</p> </div></div></div>
2025/11/18 11:50作者李建興https://www.ithome.com.tw/news/172294
Cloudflare買下模型即服務平臺Replicate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>專門提供網路安全及效能優化服務的<a href="https://blog.cloudflare.com/replicate-joins-cloudflare/" target="_blank">Cloudflare周一（11/17）宣布</a>，已準備買下模型即服務平臺Replicate，預計於未來兩個月完成交易。雙方並未公布財務細節，<a href="https://www.ctol.digital/news/cloudflare-acquires-ai-model-platform-replicate-550-million-compete-amazon-google/" target="_blank">但外傳該交易</a>價值介於3.5億~5.5億美元之間。</p> <p>Replicate成立於2021年，為全球知名的AI模型執行平臺，創立的宗旨是讓開發人員部署AI像寫一行程式碼般地簡單，它透過開源工具Cog，把各種AI模型封裝成可重現的標準容器，還提供統一API供開發者呼叫。Replicate供應超過5萬種模型，涵蓋語音、圖像、語音、影片及微調模型，也同時支援開源及商業模型，並建立社群以讓開發者分享經驗。</p> <p>上述特色不僅讓Replicate成為模型即服務平臺，也被外界譽為是AI界的App Store。</p> <p>Cloudflare表示，該公司一直在建立AI雲端的基礎架構，以於靠近用戶的邊緣進行推論，涵蓋了無伺服器的AI推論Workers AI，可用來管理AI API的AI Gateway，Vectorize向量資料庫與R2儲存等資料堆疊，AI Search、Agents及Workflows等編排工具，以及Workers與Durable Objects等核心平臺，結合Replicate龐大的模型目錄與Cloudflare的全球推論平臺，將可創造全球最完整、最快速也最可靠的AI推論平臺。</p> <p>Replicate共同創辦人暨執行長<a href="https://replicate.com/blog/replicate-cloudflare" target="_blank">Ben Firshman解釋</a>了同意併入Cloudflare原因，他說Cog定義了模型的標準格式，Replicate為模型共享暨運作平臺，它們是運作在雲端的元件，需要專用的GPU與叢集才能於生產環境中擴展，就像是一個在雲端運作的分散式AI作業系統，換句話說，網路就是電腦，而Cloudflare擁有最好的網路。此外，Cloudflare還建置了該作業系統的許多元件，從Workers、Durable Objects、R2到WebRTC。</p> <p>交易正式完成後，Cloudflare將開始逐步整合雙方產品與技術，Replicate亦將持續以原品牌運作，其既有API及服務不會改變。Cloudflare表示，後續將公布更多整合時程與產品更新資訊。</p> </div></div></div>
2025/11/18 13:57作者陳曉莉https://www.ithome.com.tw/news/172301
惡意NPM套件濫用雲端服務Adspect企圖躲過研究人員調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了隱匿惡意NPM套件的攻擊行為，歹徒可能會試圖排除資安研究員從事調查的情況，最常見的作法是惡意軟體在啟動時檢查受害電腦環境，確認不是在研究人員的沙箱，才執行相關的惡意行為，不過，現在也有濫用雲端服務在進行過濾的手法出現。</p> <p>資安業者Socket揭露一批惡意NPM套件，這些套件引起他們注意的地方，在於<strong><a href="https://socket.dev/blog/npm-malware-campaign-uses-adspect-cloaking-to-deliver-malicious-redirects">攻擊者試圖運用名為Adspect的雲端服務</a></strong>，目的是排除研究人員，只對真正的攻擊目標下手。這批套件的主要用途，是將受害者導向加密貨幣詐騙網站行騙。Adspect是雲端過濾服務，可用於封鎖機器人或是攻擊者未經授權存取網頁，僅開放正常的使用者存取網站的內容。</p> <p>這些套件一共有7個，全部都是由名為dino_reborn的開發者上架，發布的時間介於今年9月至11月，其中6個套件內含惡意軟體，最後一個的功能有所不同，可產生惡意網頁。對此，Socket向NPM通報後，NPM已將套件封存列管。</p> <p>在包含惡意軟體的6個套件當中，其共通點是包含大小約39 KB的惡意程式碼，它們的差異主要出現在Adspect的配置。這些程式碼採用立即執行函式表達式（Immediate Invoked Function Expression，IIFE）封裝，而會在網頁載入的流程自動執行。值得留意的是，歹徒還試圖封鎖瀏覽器的開發工具，以防受害者察覺有異隨手進行調查。</p> <p>其中，他們封鎖了右鍵選單、F12功能鍵、Ctrl+U與Ctrl+Shift+I等組合鍵，目的是讓受害者無法直接執行開發工具、檢查原始碼或網頁元素。此外，即使受害者突破上述限制執行了開發工具，該網頁將會不斷重新載入。</p> <p>接著，惡意程式碼就會檢查受害者電腦的系統資訊，例如：使用者代理字串（User Agent）、主機名稱、URI、通訊協定、使用語言等13種類型的指紋資料，傳送到攻擊者的代理伺服器，然後呼叫Adspect API評估受害者身分，若認定為攻擊目標，就會被帶往冒牌的加密貨幣業者CAPTCHA圖靈驗證網頁；假如被判定為資安研究員，惡意程式碼就會存取最後一個套件，將他們帶往無害的假公司Offlido網頁，來降低戒心。</p> </div></div></div>
2025/11/18 11:55作者周峻佑https://www.ithome.com.tw/news/172299
微軟Azure緩解來自Aisuru殭屍網路高達15.7Tbps的DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://techcommunity.microsoft.com/blog/azureinfrastructureblog/defending-the-cloud-azure-neutralized-a-record-breaking-15-tbps-ddos-attack/4470422" target="_blank">微軟本周揭露</a>，Azure的DDoS防護系統（Azure DDOS Protection）成功地在今年10月24日自動偵測且緩解了一起多向量的DDoS攻擊，該起攻擊是針對澳洲的單一終端節點，高峰流量為15.72 Tbps，每秒送出36.4億個封包。此一攻擊源自Aisuru殭屍網路，也是Azure在雲端所偵測到的最大規模的DDoS攻擊。</p> <p>Aisuru殭屍網路第一次被發現是在2024年8月，<a href="https://www.ithome.com.tw/news/164748" target="_blank">它是參與攻擊</a>《黑神話：悟空》遊戲伺服器的近60個殭屍網路之一，被列為Turbo Mirai級別的IoT殭屍網路，迄今已感染至少70萬個物聯網系統，包括安全防護較為薄弱的網路路由器與監視攝影機，受感染設備多來自美國或其它國家的住宅用ISP。</p> <p>其攻擊手法為UDP洪水攻擊（UDP floods），由跨區域超過50萬個來源IP發動攻擊，它們同時送出UDP封包至特定的公有IP，這些突發式的UDP流量幾乎都未偽造來源，也採用隨機來源埠，使得回溯追查更容易，亦方便上游供應商阻擋。</p> <p>微軟表示，DDoS攻擊的能力正隨著網路同步升級，特別是光纖到府的速度變快與IoT裝置的處理能力提升，都讓DDoS攻擊的規模基準持續攀升。</p> </div></div></div>
2025/11/18 11:23作者陳曉莉https://www.ithome.com.tw/news/172292
Jeff Bezos成立AI新創公司Project Prometheus 擔任共同CEO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.nytimes.com/2025/11/17/technology/bezos-project-prometheus.html" target="_blank">紐約時報（New York Times）周一報導</a>，Amazon創辦人Jeff Bezos近日又投資支持專門開發電腦、航太及汽車工程與製造的AI技術新創公司，名為Project Prometheus，而且他本人將出任共同執行長一職。</p> <p>報導引述數位消息人士指出，Project Prometheus核心業務是開發「真實世界的AI應用」，已從包括Bezos等金主募資達62億美元，資源充裕程度一般新創公司難望其項背。而且Bezos除了出資，也將出任這家公司的共同執行長。</p> <p>報導指出，Project Prometheus 另一位執行長是Vik Bajaj，他是一名物理及化學家，曾在Google推動開發顛覆性「射月計畫」（moonshot）的X實驗室和Sergey Brin共事。</p> <p>Bezos自2021年7月將Amazon CEO一職讓位給Andy Jessy後，即未再擔任行政職。雖然他仍然投入航太公司Blue Origin業務，但其頭銜仍只有「創辦人」。</p> <p>據悉，Project Prometheus目前已招募100名左右員工，分別是來自OpenAI、DeepMind 和 Meta等。</p> <p>不過此事未獲得Bezos及這家新創公司的評論。</p> </div></div></div>
2025/11/18 11:35作者林妍溱https://www.ithome.com.tw/news/172293
Dell修補Data Lakehouse重大EoP漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.dell.com/support/kbdoc/en-us/000390529/dsa-2025-375-security-update-for-dell-data-lakehouse-multiple-vulnerabilities" target="_blank">Dell本周發佈安全更新</a>，以修補Data Lakehouse一個提權攻擊（elevation of privilege）漏洞。</p> <p>這個漏洞編號CVE-2025-46608，為存取控管不當漏洞，具備遠端存取權限的高特權攻擊者，可利用本漏洞提升權限，存取系統資源。Dell公告僅說明，由於CVE-2025-46608能導致原本不具權限的攻擊者破壞系統完整性及客戶資料安全，被視為重大風險，CVSS score: 9.1。</p> <p><a href="https://ccb.belgium.be/advisories/warning-critical-improper-access-control-dell-data-lakehouse-patch-immediately" target="_blank">比利時網路安全中心公告則說明</a>，本漏洞可在不需任何使用者互動情況下，讓攻擊者得以非授權存取系統，可能造成災難性後果。</p> <p>Dell沒有說明本漏洞是否正經歷攻擊。<a href="https://ccb.belgium.be/advisories/warning-critical-improper-access-control-dell-data-lakehouse-patch-immediately" target="_blank">比利時網路安全中心說明</a>，截至11月13日，沒有公開概念驗證或濫用活動的證據。</p> <p>本漏洞影響Dell Data Lakehouse 1.6.0.0以前版本。Dell建議用戶應升級到最新版本。此外，系統管理員也應留意其系統高權限帳號是否有可疑活動。企業也應考慮在更新完成前，管理員帳號實施進階監控和存取控制。</p> </div></div></div>
2025/11/18 10:35作者林妍溱https://www.ithome.com.tw/news/172290
羅技傳因Oracle零時差漏洞攻擊資料遭竊疑外流1.8TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在CI0p勒索軟體駭客組織上周單方面宣稱後，瑞士科技業者羅技（Logitech）上周證實Oracle E-Business Suite (EBS) 漏洞遭駭，致使員工、消費者個資、客戶及供應商資料洩露。</p> <p>近日接連公布受害者名單的Cl0p勒索軟體駭客，上周宣稱從羅技內部系統竊得1.8TB資料。<a href="https://news.logitech.com/press-releases/news-details/2025/Logitech-Cybersecurity-Disclosure/default.aspx" target="_blank">Logitech於上周公告發生資料外洩事件</a>。該公司已經通報政府單位。</p> <p>該公司初步調查研判，未授權第三方攻擊者利用「第三方軟體平臺」的零時差漏洞，從內部IT系統複製了部份資料。在甲骨文公告後，羅技已經修補了零時差漏洞。外洩的資料可能包含員工及消費者部份資訊、以及客戶、供應商資料。</p> <p>羅技並未說明外洩了哪些類型個人或企業資料，但他們相信受影響的IT系統不包含敏感個資如身份證號、信用卡資訊。同時羅技強調這次事件不影響公司產品、業務運作或製造，對其財務狀況也沒有不良影響。</p> <p>這波Oracle EBS的資料外洩為Cl0p勒索軟體的操控者FIN11濫用CVE-2025-61882或CVE-2025-61884的結果。根據媒體SecurityWeek報導，迄今駭客訊息公布網站上列出的受害單位有29家。</p> <p>已確認的受害者包含哈佛大學、Envoy Air、華郵、日立集團旗下數位工程服務供應商GlobalLogic，另外，施耐德電機和艾默生電機、英國NHS則傳被駭但未證實。</p> </div></div></div>
2025/11/18 10:46作者林妍溱https://www.ithome.com.tw/news/172291
Jaguar Land Rover受網路攻擊衝擊，第二季財報認列約2億英鎊相關損失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國車廠Jaguar Land Rover（JLR）公布2025/26會計年度第二季財報，<a href="https://media.jaguarlandrover.com/news/2025/11/jlr-performance-impacted-challenging-quarter">揭露</a>9月遭重大網路攻擊並確認資料被盜後的營運代價。該季營收降至49億英鎊，較去年同期衰退24%，公司從原本獲利轉為稅前虧損4.85億英鎊，並一次認列1.96億英鎊與網路攻擊相關的特殊成本。JLR表示，目前產線已在10月分階段復工後回到正常水準。</p> <p>JLR在9月2日公告遭遇重大網路攻擊，為控制風險關閉全球多項系統，9月整個月車輛生產大多處於停擺或僅能局部運作狀態，直到10月8日才開始分階段重啟製造。公司在最新新聞稿中強調，本季營收下降與獲利惡化，主要來自9月的生產中斷，加上原本就規畫中的舊款Jaguar車型逐步退場以及美國關稅影響。</p> <p>這次最受關注的是JLR將網路攻擊成本完整寫進特殊項目，財報顯示，本季特殊費用合計2.38億英鎊，其中1.96億英鎊直接標示為與網路攻擊相關成本，另有4,200萬英鎊來自自願離職方案。雖然公司並未細分這筆支出的細項，但從金額規模來看，等同單季為這起勒索軟體攻擊付出近2億英鎊的額外費用，對單季獲利帶來關鍵壓力。</p> <p>JLR說明，為了在停工與復工期間穩住資產負債表，已額外取得總額35億英鎊的流動性備援額度。到9月底，公司現金餘額約30億英鎊，連同17億英鎊未動用循環授信以及20億英鎊橋接貸款，整體流動性規模約66億英鎊。另外，10月再取得15億英鎊，由英國官方出口信貸機構擔保的商業貸款，進一步強化緩衝。</p> <p>JLR同時快速調整與供應商之間的金流安排。為避免供應鏈在產線停擺期間資金吃緊，公司推出規模5億英鎊的供應商融資方案，讓符合資格的供應商在生產排程確認時即可收到貨款，而不是等到實際出貨後才收款。官方也表示，在復原作業上優先重啟批售系統與全球零件物流中心，以維持車輛批售現金流與既有車主售後服務。</p> <p>JLR執行長Adrian Mardell在聲明中坦言，第二季表現受到多重挑戰衝擊，其中包含9月使生產全面停擺的網路攻擊，以及美國關稅等因素。不過他強調，經過數周的分階段復工，旗下各品牌車款生產已恢復正常，公司會在後續持續投資電動化與轉型計畫。從財報可以看出，這起勒索軟體攻擊不只是IT事件，而是直接出現在損益表的營運風險，對企業來說，資安事故與產能、現金流之間存在緊密連動。</p> </div></div></div>
2025/11/17 17:54作者李建興https://www.ithome.com.tw/news/172284
【資安日報】11月17日，Fortinet旗下WAF重大漏洞已出現攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>基本上，駭客入侵企業內部環境的主要管道，其中之一就是可透過網際網路存取的應用系統，過往最常見的目標是郵件伺服器，但也有針對防火牆或其他網路設備下手的情況，而最近有專門針對網頁應用程式防火牆（WAF）漏洞CVE-2025-64446的攻擊行動，引起資安界高度關注，有多家資安業者調查此事並公布他們的發現。這起事故受到矚目的原因，主要很可能是因為歹徒針對WAF下手並不常見，然而這類系統若是遭駭，攻擊者不僅有機會入侵網頁應用程式，甚至進一步存取受害企業的內部環境。</p> <p>上個月被美國列入已遭利用的漏洞名單（KEV）的資安漏洞CVE-2025-24893，後續發展也受到矚目，資安業者VulnCheck警告，有多組人馬嘗試加入利用漏洞的行列，其中最值得留意的部分，是殭屍網路RondoDox企圖綁架XWiki伺服器。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172274"><strong style="font-size: 22px;">Fortinet公告網頁應用程式防火牆存在重大漏洞，有多家資安業者透露一個月前就被用於攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-64446-55.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-64446-55.png" style="width: 300px; float: right;" /></a></p> <p>11月14日資安業者Fortinet發布資安公告，指出旗下的網頁應用程式防火牆（WAF）系統FortiWeb，存在重大層級的資安漏洞CVE-2025-64446，該弱點出現於圖形使用者介面（GUI），為路徑遍歷漏洞，未經授權的攻擊者能透過特製的HTTP或HTTPS請求，於目標系統執行管理命令，CVSS風險為9.1分（但該漏洞在美國國家漏洞資料庫登記為9.8分）。該公司表示，此漏洞已被用於實際攻擊，呼籲IT人員應儘快套用新版軟體。</p> <p>有資安新聞媒體指出，Fortinet察覺該漏洞的原因，源自其他資安業者一個月前發現的攻擊行動。根據Bleeping Computer的報導，最早於10月6日威脅情報業者Defused透露，他們偵測到不尋常的漏洞利用活動，攻擊者透過JSON Web Token（JWT）有效酬載意圖建立管理者帳號，過程中利用未知的漏洞，疑似是CVE-2022-40684的變形。</p> <p>後續有多家資安業者跟進調查此事，並於近日公布結果。例如：資安業者Orange Cyberdefense確認此漏洞遭到大規模利用、資安業者Rapid7發現駭客論壇有人疑似兜售漏洞；資安業者watchTowr對於攻擊者利用的弱點進行分析，指出該漏洞實際上由兩個部分組合而成，一個是出現在URI的路徑遍歷漏洞，另一個為HTTP請求標頭內容造成的身分驗證繞過漏洞。</p> <p><a href="https://www.ithome.com.tw/news/172277"><strong style="font-size: 22px;">殭屍網路RondoDox鎖定XWiki伺服器而來，利用重大層級已知漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/U34NqOOe9s.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/U34NqOOe9s.jpg" style="width: 300px; float: right;" /></a></p> <p>10月底資安業者VulnCheck提出警告，開源維基引擎XWiki的重大漏洞CVE-2025-24893遭到積極利用，相關活動最早可追溯到3月，攻擊者用於從事兩階段攻擊，部署挖礦軟體；最近該公司透露進一步調查的結果，指出殭屍網路RondoDox也加入漏洞利用的行列。</p> <p>11月14日VulnCheck再度提出警告，在他們揭露漏洞利用活動的情況後，有多組人馬加入漏洞利用的行列，攻擊類型與活動相當多種，涵蓋殭屍網路與挖礦軟體，以及攻擊者自製的掃描工具。其中，最引起他們注意的部分，是RondoDox於11月3日將漏洞加入武器庫之後，鎖定XWiki的活動急速增加，在7日達到高峰，之後趨緩，11日又再度升溫。</p> <p>不過，使用RondoDox的駭客並非唯一加入利用漏洞行列的人馬，VulnCheck也看到，有人透過bash指令下載經過Base64處理的有效酬載，解開後會下載另一個有效酬載，其功能就是執行挖礦軟體。此外，原本兩週前攻擊IP位址僅有2個，現在增加到5個。</p> <p><a href="https://www.ithome.com.tw/news/172266"><strong style="font-size: 22px;">駭客宣稱利用約聘人員存取憑證，竊得三星公司機密資料</strong></a></p> <p>三星疑似因遭駭客利用約聘人員的失誤，得以竊取三星包括軟體原始碼、加密金鑰、憑證，以及用戶個資等公司資料。</p> <p>根據資安媒體Cybernews報導，有人上周在駭客論壇兜售宣稱竊自三星公司多種機密資訊。帳號名GOD的駭客聲稱，他是利用一名約聘人員的存取憑證，駭入多家公司系統，其中一家是三星。</p> <p>這名人士宣稱，他在駭入三星後，從其MS SQL及AWS S3資料庫存取公司資料。資料類型涵括了軟體原始碼、私密金鑰、SMTP憑證、配置檔、寫死在程式中的憑證，另外也從醫療資訊的備份資料，掌握可辨識身分的個人資料（PII）。</p> <p><a href="https://www.ithome.com.tw/news/172279"><strong style="font-size: 22px;">國安局警告中國打造的生成式AI模型存在資安風險</strong></a></p> <p>中國打造的應用程式不時傳出暗中收集個資，或是回傳資料的情況，引發外界對其產生資安疑慮，而這樣的議題也隨著AI工具的流行，焦點轉移到中國開發的AI系統。隨著中國對臺灣的威脅不斷增加，相關議題引起我國政府重視並進行檢驗，警告各界必須特別留意中國製AI工具存在的威脅。</p> <p>11月16日國家安全局公布5款中國製的生成式AI語言模型的抽測結果，他們警示所有模型不僅普遍存在資安風險，也有內容偏頗的情況，呼籲民眾在挑選AI工具時必須格外小心，並留意可能會造成的資料外洩。</p> <p>這次抽測的生成式AI模型，包括：DeepSeek、豆包、文心一言、通義千問，以及騰訊元寶。檢驗內容涵蓋兩大層面，在應用程式安全性的部分，國安局參考的標準，是數位發展部制訂的行動應用APP基本資安檢測基準v4.0，依據5種類別與15項指標進行分析，結果發現，通義千問違規項目有11項最多，豆包與騰訊元寶各有10項；文心一言與DeepSeek，分別有9項與8項。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/north-korean-hackers-turn-json-services.html">北韓駭客濫用JSON服務，藉此散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/kraken-ransomware-benchmarks-systems-for-optimal-encryption-choice/">勒索軟體HelloKitty餘黨另起爐灶Kraken，並在加密檔案前確認受害電腦的性能</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/iranian-hackers-launch-spearspecter-spy.html">伊駭客APT42從事SpearSpecter攻擊活動，鎖定以色列國防機構與政府組織而來</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172206"><strong style="font-size: 22px;">開源權重大型語言模型經不起多輪提示攻擊，企業採用安全風險浮現</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-11-04-at-2_03_41 PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-11-04-at-2_03_41%E2%80%AFPM.png" style="width: 300px; float: right;" /></a>Cisco AI Defense研究人員指出，多輪提示攻擊（Multi-Turn Attack）正成為開源權重模型的主要弱點。在這份針對8款開源權重大型語言模型的黑箱（Black Box）測試中，研究團隊發現模型在多輪對話中更容易被誘導產生違規輸出，攻擊成功率最高達92.78%，最低也有25.86%，整體約為單輪攻擊的2到10倍。</p> <p>研究以AI Validation平臺進行自動化測試，涵蓋阿里巴巴的Qwen3-32B、Meta的Llama 3.3-70B-Instruct、Mistral Large-2、DeepSeek v3.1、Google的Gemma-3-1B-IT、微軟Phi-4、OpenAI的GPT-OSS-20b，以及智譜AI的GLM-4.5-Air等模型。測試過程完全採黑箱方式，研究人員未事先掌握模型內部架構或防護機制，並依據MITRE ATLAS與OWASP的AI安全分類來判定模型的防禦能力。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/researchers-find-serious-ai-bugs.html">AI推論引擎存在重大漏洞，恐波及Meta、Nvidia、微軟LLM</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/asus-warns-of-critical-auth-bypass-flaw-in-dsl-series-routers/">華碩DSL系列路由器存在重大漏洞，若不處理攻擊者可繞過身分驗證</a></strong></p> <p> </p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/172247"><strong style="font-size: 22px;">導入Rust有成，Google讓Android記憶體漏洞降至兩成以下，還提升交付效率</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Memory-Unsafe-Code-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Memory-Unsafe-Code-image2.png" style="width: 300px; float: right;" /></a></p> <p>Google的Android團隊公布2025年最新資安統計，指出Android平臺中屬於記憶體安全類型的漏洞占比，首次降到所有漏洞數量的兩成以下。團隊將關鍵因素歸結為近年在系統層大量導入Rust，且新寫程式碼優先改用記憶體安全語言，逐步壓低整體風險。</p> <p>Android團隊強調，他們刻意把觀察焦點放在新增與仍在活躍開發的程式碼，因為歷史資料顯示，多數嚴重漏洞來自新變更。</p> <p>Google在Android平臺把Rust當作C與C++的直接替代方案，引入作業系統層所需的低階控制與可預測性，同時利用語言本身的記憶體安全特性。從內部統計來看，新增加的Rust程式碼量已經與C++相當，Android平臺累積Rust程式碼約有500萬行，規模足以進行跨語言的品質與效率比較。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/172260"><strong>【11月14日】勒索軟體駭客Akira將目標擴張到Nutanix虛擬化平臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172236"><strong>【11月13日】Citrix NetScaler與思科ISE重大漏洞在公布前即遭國家級駭客利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172213"><strong>【11月12日】微軟修補已遭利用的Windows核心零時差漏洞</strong></a></p> </div></div></div>
2025/11/17 18:02作者周峻佑https://www.ithome.com.tw/news/172285
國安局警告中國打造的生成式AI模型存在資安風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國打造的應用程式不時傳出暗中收集個資，或是回傳資料的情況，引發外界對其產生資安疑慮，而這樣的議題也隨著AI工具的流行，焦點轉移到中國開發的AI系統。隨著中國對臺灣的威脅不斷增加，相關議題引起我國政府重視並進行檢驗，警告各界必須特別留意中國製AI工具存在的威脅。</p> <p>11月16日國家安全局公布<a href="https://www.nsb.gov.tw/zh/#/%E5%85%AC%E5%91%8A%E8%B3%87%E8%A8%8A/%E6%96%B0%E8%81%9E%E7%A8%BF%E6%9A%A8%E6%96%B0%E8%81%9E%E5%8F%83%E8%80%83%E8%B3%87%E6%96%99/2025-11-16/%E5%9C%8B%E5%AE%89%E5%B1%80%E8%AD%A6%E7%A4%BA%E4%B8%AD%E8%A3%BD%E3%80%8C%E7%94%9F%E6%88%90%E5%BC%8F%20AI%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B%E3%80%8D%E6%BD%9B%E8%97%8F%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA"><strong>5款中國製的生成式AI語言模型的抽測</strong></a>結果，他們警示所有模型不僅普遍存在資安風險，也有內容偏頗的情況，呼籲民眾在挑選AI工具時必須格外小心，並留意可能會造成的資料外洩。</p> <p>這次抽測的生成式AI模型，包括：DeepSeek、豆包、文心一言、通義千問，以及騰訊元寶。檢驗內容涵蓋兩大層面，在應用程式安全性的部分，國安局參考的標準，是數位發展部制訂的行動應用APP基本資安檢測基準v4.0，依據5種類別與15項指標進行分析，結果發現，通義千問違規項目有11項最多，豆包與騰訊元寶各有10項；文心一言與DeepSeek，分別有9項與8項，所有模型的共通點在於都會收集地理位置資訊、系統資訊，以及拍下螢幕截圖，並強迫用戶同意不合理的隱私條款等問題。</p> <p>而對於模型生成的內容，國安局根據AI產品與系統評測中心公告的10項測試項目，進行檢測，結果發現會生成嚴重偏頗與不實資訊。</p> <p>首先，這些模型普遍具備關鍵字審查機制，會排除民主、自由、人權，以及六四天安門事件等關鍵字，代表資料系統遭政治審查與控制。</p> <p>再者，涉及臺灣主權與國際議題的部分，5種AI模型生成的內容僅採用中國當局立場，也對歷史認知存在偏差，意圖影響使用者對臺灣資訊的認知。國安局也提及這些AI模型能輕易生成極為煽動的內容，或是抹黑他人及散播謠言，恐被用於散布有問題甚至是不法的資訊。此外，在特定情況下，還能產生網路攻擊命令，或是漏洞利用的程式碼，加劇網路威脅。</p> <p>事實上，不只是AI模型，中國製應用程式存在資安疑慮的情況，舉世皆知，<strong><a href="https://www.ithome.com.tw/news/169871">今年7月</a></strong>國安局針對許多臺灣民眾耳熟能詳的App：小紅書、微博、抖音、微信，以及百度雲盤進行查驗，結果發現，所有應用程式普遍存在資安風險，其中小紅書15項指標全數違規最嚴重，微博與抖音皆有13項違規。</p> </div></div></div>
2025/11/17 16:18作者周峻佑https://www.ithome.com.tw/news/172279
微軟更新VS Code加入Agent HQ，統一管理AI代理與Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<a href="https://code.visualstudio.com/updates/v1_106">釋出</a>VS Code 10月更新版1.106，更新重點為新推出的Agent HQ整合管理介面，讓開發者在一個畫面中管理本機與雲端人工智慧代理以及GitHub Copilot，同時強化工具核准與終端安全控管，並調整Copilot擴充元件與多項編輯體驗。</p> <p>所謂Agent HQ，實際上是新的Agent Sessions管理介面，預設啟用後會集中列出所有聊天與背景代理工作階段，來源包含VS Code本機聊天、Copilot程式開發代理、GitHub Copilot CLI與OpenAI Codex等。開發者可以從Agent HQ查看目前有哪些代理在進行工作，還有各自對應的工作區與執行環境，並可視需求改為單一整合介面（Single-view），以便在寫程式與查詢人工智慧建議時，清楚掌握整體代理活動狀況。</p> <p>原本的聊天模式全面改名為自訂代理，相關定義檔統一放在專案.github/agents目錄，採用.agents.md副檔名，舊的.chatmode.md仍能相容使用。新格式加入目標（Target）等前置欄位，用來標示代理傾向在VS Code本機、GitHub Copilot雲端或CLI環境執行，其他欄位可設定名稱、說明與工具交接規則。</p> <p>人工智慧輔助程式開發方面，這次版本延續開源人工智慧編輯器的方向，將行內建議功能併入開源的vscode-copilot-chat儲存庫中，讓同一套程式碼同時負責聊天介面與即時程式碼建議。對開發者而言，GitHub Copilot與GitHub Copilot Chat兩個擴充元件將整併為單一Chat擴充元件，未來所有Copilot相關體驗都由此提供，原本的Copilot擴充元件預計在2026年初被棄用。</p> <p>VS Code 1.106在工具選擇與核准機制上做了多項調整，讓開發者在使用人工智慧代理時更容易掌握整體流程。聊天工具改採向量嵌入方式進行篩選與分組，用意是讓安裝許多工具的使用環境能更快決定要用哪一個，並縮短等待系統挑選最佳工具的時間。</p> <p>對於會連到外部服務抓取資料的工具，例如#fetch或具外部取用能力的MCP工具，這次加入後置核准機制（下圖），使用者可以先看到工具準備送出的資料，再決定是否要將其加入對話。此外，也能一次設定信任整個MCP伺服器或擴充元件來源，避免每次都重複確認。終端相關的工具也同步加強安全檢查功能，能更精準判斷指令是否會修改檔案，並提供實驗性選項，讓團隊視需求阻擋自動核准寫入動作，或調整成更為開放的行為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Capture%20333%20-%20October%202025%20(version%201_106)%20-%20%5Bcode_visualstudio_com%5D.jpg" style="width: 580px;" /></p> <p>VS Code 1.106加入透過GitHub組織政策設定MCP註冊庫的能力，增加其企業治理功能。組織管理者可以指定MCP伺服器的登錄端點，並視設定限制開發者只能啟動註冊表中列出的伺服器，相關設定會在VS Code中標示為由組織管理。遠端MCP的認證流程也支援動態權限提升機制，讓伺服器僅在需要額外權限時才提出要求，符合最小權限原則。</p> </div></div></div>
2025/11/17 16:22作者李建興https://www.ithome.com.tw/news/172276
殭屍網路RondoDox鎖定XWiki伺服器而來，利用重大層級已知漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>10月底資安業者VulnCheck提出警告，開源維基引擎XWiki的重大漏洞<strong><a href="https://github.com/xwiki/xwiki-platform/security/advisories/GHSA-rr6p-3pfg-562j">CVE-2025-24893</a></strong>遭到<strong><a href="https://www.vulncheck.com/blog/xwiki-cve-2025-24893-eitw">積極利用</a></strong>，相關活動最早可追溯到3月，攻擊者用於從事兩階段攻擊，部署挖礦軟體；最近該公司透露進一步調查的結果，指出殭屍網路RondoDox也加入漏洞利用的行列。</p> <p>11月14日VulnCheck再度提出警告，在他們揭露漏洞利用活動的情況後，<a href="https://www.vulncheck.com/blog/xwiki-under-increased-attack"><strong>有多組人馬加入漏洞利用的行列</strong></a>，攻擊類型與活動相當多種，涵蓋殭屍網路與挖礦軟體，以及攻擊者自製的掃描工具。其中，最引起他們注意的部分，是RondoDox於11月3日將漏洞加入武器庫之後，鎖定XWiki的活動急速增加，在7日達到高峰，之後趨緩，11日又再度升溫。</p> <p>不過，使用RondoDox的駭客並非唯一加入利用漏洞行列的人馬，VulnCheck也看到有人透過bash下載經過Base64處理的有效酬載，解開後會下載另一個有效酬載，其功能就是執行挖礦軟體。此外，原本兩週前攻擊IP位址僅有2個，現在增加到5個。</p> <p>前述的攻擊手法，主要透過自動化的方式進行，然而，也有攻擊者手動操作，原因是VulnCheck看到有人試圖以此部署反向Shell，而這是透過鍵盤操作（hands-on-keyboard）的跡象，VulnCheck研判，很有可能是極具針對性的攻擊。</p> <p>有些攻擊者仍在利用這個弱點尋找下手目標，其中一種作法，是利用以界外應用程式安全測試（Out-of-band Application Security Testing）平臺為基礎製作的工具，在網路上進行漏洞掃描，其中一種是Nuclei。</p> <p>針對CVE-2025-24893造成的資安風險，攻擊者無須通過身分驗證，即可透過特定的請求遠端執行任意程式碼（RCE），CVSS風險評分為9.8分（滿分10分），XWiki開發團隊於去年7月發布的<strong><a href="https://jira.xwiki.org/browse/XWIKI-22300?jql=project%20%3D%20XWIKI%20AND%20fixVersion%20%3D%2015.10.11">15.10.11版</a></strong>、<strong><a href="https://www.xwiki.org/xwiki/bin/view/ReleaseNotes/Data/XWiki/16.4.1/">16.4.1版</a></strong>，以及<strong><a href="https://jira.xwiki.org/browse/XWIKI-22265?jql=project%20%3D%20XWIKI%20AND%20fixVersion%20%3D%2016.5.0-rc-1">16.5.0 RC1版</a></strong>，修補這項弱點。該漏洞的公開，最早是歐盟漏洞資料庫（EUVD）於今年2月<strong><a href="https://euvd.enisa.europa.eu/vulnerability/CVE-2025-24893">登記為EUVD-2025-4562列管</a></strong>，3月資安業者<strong><a href="https://cyble.com/blog/cyble-sensors-detect-exploit-attempts-on-ivanti-avtech-ip-cameras/">Cyble</a></strong>與<strong><a href="https://app.crowdsec.net/cti/cve-explorer/CVE-2025-24893">CrowdSec</a></strong>偵測到漏洞利用活動，10月30日，美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2025/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog">將其列入已遭利用的漏洞名單（KEV）</a></strong>。</p> </div></div></div>
2025/11/17 15:00作者周峻佑https://www.ithome.com.tw/news/172277
Amazon衛星連網方案品牌正名為Leo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aboutamazon.com/news/amazon-leo/project-kuiper-becomes-amazon-leo" target="_blank">Amazon日前宣布</a>，衛星連網方案Project Kuiper將正式以Leo為品牌名。</p> <p>Amazon是在2019年啟動衛星連網專案，專案團隊以Project Kuiper為代號運作。這個名稱靈感來源是外太陽系的星際天體帶，名為Kuiper Belt（庫柏帶）。之後Amazon在Project Kuiper之名完成主管機關申請、取得證照、<a href="https://www.ithome.com.tw/news/150286" target="_blank">簽下</a>史上最大宗火箭載送合約、成功<a href="https://www.ithome.com.tw/news/159140" target="_blank">完成</a>原型任務，也在今年4月<a href="https://www.rcrwireless.com/20250429/network-infrastructure/amazon-leo-satellites" target="_blank">部署</a>了第一批正式運轉的衛星。</p> <p>但直到現在，Amazon才將Project Kuiper正式品牌名定位Amazon Leo，剛好呼應其衛星星群飛行的近地軌道（Low Earth Orbit，LEO）。Amazon Leo<a href="https://leo.amazon.com/" target="_blank">官網指出</a>，該服務提供無縫隙的視訊、4K串流影片，以及加速檔案上傳與下載。Amazon Leo旨在提供高速、穩定連線滿足全家人的網際網路需求，而且聲稱，甚至連偏鄉、遙遠地區都能獲得其高速網路。</p> <p>現在Project Kuiper/Amazon Leo已透過6次發射任務，在近地軌道上部署了150多顆衛星，客戶包含JetBlue、DIRETCTV拉丁美洲區、Sky巴西、美國國防科技承包商L3Harris，以及澳洲國家寬頻網路營運商NBN等。Amazon並宣稱發明了最高階的客戶終端，包括第一個支援Gigabit傳輸的商用陣列天線。</p> <p>Amazon規劃了5年內80多趟發射任務，目標是部署3,236顆衛星。Amazon正持續布建衛星星群，將會在擁有足夠基礎架構涵蓋面及容量後開始部署服務。</p> <p>Amazon Leo的競爭對手SpaceX的<a href="https://www.theverge.com/news/802509/starlink-launches-10000th-internet-satellite" target="_blank">Starlink</a>已在上個月部署了第10,000顆衛星。</p> </div></div></div>
2025/11/17 15:33作者林妍溱https://www.ithome.com.tw/news/172278
Netgear推Wi-Fi 7入門級Mesh系統，無線傳輸效能達5 Gbps
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_orbi_370_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>關於Wi-Fi 7等級的家用Wi-Fi Mesh網路基地臺產品，Netgear從2023年下半起，陸續推出主打極致效能的<a href="https://www.ithome.com.tw/review/165105">Orbi 970系列</a>、鎖定中階家用市場的<a href="https://www.netgear.com/hub/pressroom/netgear-introduces-new-wifi-7-products/">Orbi 770系列</a>，去年9月代理商瀚錸科技<a href="https://www.netbridgetech.com.tw/blog/2024/10/09/netgear_mesh-wifi-orbi-rbe97_launch/">宣布在臺推出這兩款機型</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Orbi 970 series TW-2024-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20970%20series%20TW-2024-09.jpg" style="width: 248px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear Orbi 770 series TW-2024-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20770%20series%20TW-2024-09.jpg" style="width: 248px;" /></a></p> <p>今年1月增設鎖定中高階家用市場的<a href="https://investor.netgear.com/releases/news-details/2025/NETGEAR-Expands-Award-Winning-WiFi-7-Home-Networking-Portfolio-with-Orbi-870-Series-Mesh-System/default.aspx">Orbi 870系列</a>，7月發表入門款<a href="https://investor.netgear.com/releases/news-details/2025/NETGEAR-Expands-WiFi-7-Orbi-Portfolio-with-the-Launch-of-Orbi-370-Series---the-Companys-Most-Affordable-WiFi-7-Mesh-System/default.aspx">Orbi 370系列</a>，10月代理商瀚錸科技宣布Orbi 370系列正式在臺上市。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Orbi 370-2025-TW-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20370-2025-TW-11.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Orbi Wi-Fi 7-2025-11-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20Wi-Fi%207-2025-11-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Orbi Wi-Fi 7-2025-11-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20Wi-Fi%207-2025-11-5.jpg" style="width: 298px;" /></a></p> <p>就連線能力而言，Orbi 370系列支援4個無線網路串流，可運用2.4 GHz和5 GHz頻段，不僅在Wi-Fi 7特有的多重連結模式（Multi-link Operation，MLO）結合這兩個頻段，介於路由器與衛星延伸器之間的回程傳輸（Backhaul）也運用兩個頻段，無線網路效能達到5 Gbps（<a href="https://www.netgear.com/uk/home/wifi/mesh/rbe373/">歐盟與英國推出的機型為3.6 Gbps</a>），可支援70臺設備的Wi-Fi連網，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Orbi Wi-Fi 7-2025-11-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20Wi-Fi%207-2025-11-6.jpg" style="width: 600px;" /></a></p> <p>而且，路由器內建2個2.5 GbE埠，衛星延伸器搭配1個2.5 GbE埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Orbi Wi-Fi 7-2025-11-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20Wi-Fi%207-2025-11-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Orbi Wi-Fi 7-2025-11-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20Wi-Fi%207-2025-11-3.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cert-RBE371.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cert-RBE371.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cert-RBE370.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cert-RBE370.jpg" style="width: 298px;" /></a></p> <p>至於其他Wi-Fi 7等級的Orbi系列產品，都支援2.4 GHz、5 GHz、6 GHz頻段，Orbi 770系列與Orbi 870系列的回程傳輸共用5 GHz與6 GHz，Orbi 970系列用6 GHz與另一個專屬的5 GHz頻段。</p> <p>就無線與有線網路規格而言，去年10月在臺開賣的Orbi 770系列，支援6個無線網路串流，採用2x2天線架構，Wi-Fi效能達到11 Gbps（688 Mbps、4,320 Mbps、5,760 Mbps），可支援100臺設備的Wi-Fi連網，路由器內建6個2.5 GbE網路埠，衛星延伸器搭配1個2.5 GbE網路埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Orbi 770-2024-09-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20770-2024-09-1.jpg" style="width: 600px;" /></a></p> <p>目前Netgear尚無計畫引進臺灣市場的Orbi 870系列，支援10個無線網路串流，5 GHz與6 GHz均採用4x4天線架構，2.4 GHz採用2x2天線架構，Wi-Fi效能可達到21 Gbps（688 Mbps、8,640 Mbps、11,520 Mbps），能支援150臺設備的Wi-Fi連網，路由器內建1個10GbE埠與4個2.5 GbE埠，衛星延伸器搭配4個2.5 GbE埠。</p> <p>去年9月下半在臺開賣的Orbi 970系列，支援16個無線網路串流，採用4x4天線架構，Wi-Fi效能可達到27 Gbps（1,147 Mbps、5,765 Mbps、8,647 Mbps、11,530 Mbps），可支援150臺設備的Wi-Fi連網，路由器內建2個10GbE埠與4個2.5 GbE埠，衛星延伸器搭配1個10GbE埠與2個2.5 GbE埠。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20970-2024-09.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">Netgear Orbi 370系列</span><br /> ●代理商：瀚錸科技<br /> ●建議售價：3入組（RBE373）12,600元，2入組（RBE372）8,900元<br /> ●無線網路規格：802.11 a/b/g/n/ac/ax/be <br /> ●頻段與連線速度：總共為5 Gbps，均為4x4天線架構<br /> ●配件：1臺Orbi路由器RBE371、1或多臺Orbi衛星延伸器RBE370、網路線、電源變壓器<br /> ●可支援無線網路設備數量：70臺<br /> ●網路埠：Orbi路由器有2個2.5 GbE埠，Orbi衛星延伸器有1個2.5 GbE埠<br /> ●Wi-Fi網路覆蓋範圍：<br /> RBE370（單臺衛星延伸器）2000平方呎，185.80608平方公尺<br /> RBE372（單臺路由器加單臺衛星延伸器）4000平方呎，371.61216平方公尺<br /> RBE373（單臺路由器加2臺衛星延伸器）6000平方呎，557.41824平方公尺<br /> RBE374（單臺路由器加3臺衛星延伸器）8000平方呎，743.22432平方公尺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/11/17 14:21作者李宗翰https://www.ithome.com.tw/review/172265
【資安週報】1110~1114，零時差漏洞攻擊再升溫，2個多月前揭露的Citrix與思科漏洞在公布前即遭國家級駭客利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年11月第二星期資安新聞中，這一星期多家IT大廠發布安全性更新需要我們趕緊因應，還有10月下旬舉辦的漏洞挖掘競賽Pwn2Own Ireland 2025，當時找到73個全新的零時差漏洞，投入此項漏洞懸賞計畫的廠商，例如臺灣NAS業者威聯通、群暉，如今也陸續釋出更新修補。另外還有多個漏洞利用狀況需要特別關注。</p> <p>這一星期有3家廠商的零時差漏洞攻擊事件揭露，涵蓋微軟、Gladinet的產品，不只顯現攻擊者持續對不同類型企業產品發動攻勢，當中一些事件也突顯出，許多零時差漏洞其實早已遭到利用，直到後來才被發現。</p> <p>●微軟本月修補63個漏洞，當中顯示一起零時差漏洞攻擊狀況，CVE-2025-62215是已遭利用的零時差漏洞，目前尚未知曉攻擊者身分。<br /> ●Gladinet的Triofox文件共享平臺有一起零時差漏洞攻擊事件，目標是CVE-2025-12480，Google旗下Mandiant已調查出是駭客組織UNC6485所為。<br /> ●WatchGuard在今年9月修補的漏洞CVE-2025-9242，該公司在10月21日更新資安公告，表示已漏洞已有遭到利用的跡象，本週CISA將此漏洞列入KEV清單。<br /> ●三星於今年4月修補自家智慧型手機的漏洞CVE-2025-21042，近日被美國CISA列入KEV清單，Palo Alto Networks則指出這是零時差漏洞攻擊，去年就有人利用於散布間諜軟體LANDFALL，將惡意程式暗藏於DNG圖像檔。</p> <p>此外，我們於9月報導過攻擊者鎖定Cisco防火牆的零時差漏洞攻擊事件，如今Palo Alto Networks旗下Unit 42揭露，該行動是中國駭客組織Storm-1849所為，並指出駭客在10月持續對美國金融業、國防承包商、軍事單位與全球企業發動攻擊，僅有10月1日至8日期間未有活動，而這段時間正逢中國國慶連假。</p> <p>還有今年6月至7月Citrix與思科先後修補兩個重大層級漏洞（CVE-2025-5777、CVE-2025-20337），最近Amazon威脅情報團隊指出，其MadPot密罐更早就偵測到漏洞利用，因此兩者都是零時差漏洞攻擊事件，並強調是國家級駭客所為。</p> <p>在最新威脅態勢方面，我們挑選5則值得關注的新聞，其中最特別是勒索軟體鎖定新虛擬化平臺，以及國家級駭客濫用AI發起8成自動化攻擊等。</p> <p>●勒索軟體Akira有新威脅態勢，美國CISA更新其警告內容，指出這些駭客已開始加密Nutanix虛擬化平臺AHV的虛擬機器，顯示攻擊範圍延伸至新的虛擬化平臺。<br /> ●Anthropic示警指出中國駭客組織GTG-1002濫用Claude Code完成8成以上的攻擊任務，並提醒當濫用AI的網路攻擊不可避免地發生時，防禦方也要將AI投入SOC自動化運作、威脅偵測、漏洞評估、IR等領域。<br /> ●微軟揭露LLM串流的旁路攻擊「Whisper Leak」，攻擊者只需觀察TLS封包大小與時序即可推測對話內容，如今OpenAI、Mistral、xAI已透過在串流回應加入混淆字段掩蓋Token長度的方式，以降低攻擊效果。<br /> ●北韓駭客濫用手機功能「尋找我的裝置」的攻擊行動，被韓國資安業者Genians揭露，指出攻擊者主要濫用Google的Find Hub服務，藉由遠端恢復原廠設定的功能，抹除受害者的安卓手機資料。<br /> ●美國非營利組織今年4月遭中國駭客入侵，賽門鐵克揭露其手法，指出駭客會使用防毒軟體Vipre AV的元件vetysafe.exe側載惡意DLL檔案sbamres.dll，而這類手法過去常被Salt Typhoon等多個中國駭客組織使用。</p> <p>在資安防禦動向方面，針對網路犯罪與詐騙的威脅，本月有3起重要新聞，我們整理如下：</p> <p>（一）2025社群冒名詐騙報告書出爐，不只解析社群冒名貼文的三大情境與七種類型，也透露全球今年最新打詐立法態勢：<br /> ●泰國數位詐騙防治新法上路，要求金融機構、電信與社群平臺需對未能盡力阻詐負責，最高可罰50萬泰銖（約新臺幣48萬元）。<br /> ●澳洲實施SPF防詐框架，要求銀行、數位平臺與電信業建立從預防到通報的流程機制，違者最高可罰5,000萬澳幣（約新臺幣9.75億元）<br /> （二）面對層出不窮的社群冒名行徑，企業過往仰賴人工檢舉與客訴通報太慢，Gogolook提出新做法，期望以服務模式協助企業強化外部偵測與下架通報流程，提升與外部平臺協作打詐的效率。<br /> （三）假冒物流「包裹卡住」或「未繳路費」的簡訊氾濫，Google最近針對一個提供簡訊釣魚的PhaaS平臺Lighthouse的背後組織提起訴訟，試圖從政策與立法層面發力，以更好打擊詐騙工具鏈。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172147"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月10日】蠕蟲GlassWorm再度出現於IDE延伸套件平臺Open VSX</span></strong></a></h3> <p>能自我感染及散布的蠕蟲程式Glassworm，近日橫行Open VSX與Visual Studio Code Marketplace，後續傳出攻擊者一度將目標轉向GitHub。儘管Open VSX營運單位Eclipse基金會透露10月21日已完成清理，該平臺並未再出現與此蠕蟲程式有關的惡意套件，然而事隔數週，攻擊者再度於Open VSX上架新的惡意套件，開發人員應提高警覺。</p> <p>除了鎖定軟體開發人員的惡意套件攻擊，如今也有針對工業控制系統而來的惡意套件活動而引起資安業者注意。資安業者Socket揭露不尋常的NuGet套件攻擊，中國駭客自前年至去年上架一系列套件，其中一個專門針對西門子S7可程式化邏輯控制器（PLC）而來。</p> <h3><a href="https://www.ithome.com.tw/news/172185"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月11日】尋找手機與行動裝置的功能遭濫用，北韓駭客Konni用於抹除受害者裝置</span></strong></a></h3> <p>隨著烏克蘭戰爭的進行，有些駭客會透過資料破壞軟體（Wiper）從事破壞性的活動，這類活動所使用的惡意程式，主要都是針對電腦而來，如今出現針對行動裝置的資料破壞事故，但不同的是，攻擊者並非自行打造惡意程式，而是透過Google提供用戶尋找手機、平板等行動裝置的服務Find Hub，遠端將受害者的裝置恢復原廠設定來達到目的。</p> <p>鎖定檔案共享平臺的漏洞從事攻擊，也是今天相當受到關注的焦點。Google揭露針對檔案共享平臺Triofox已知漏洞的攻擊行動，這起事故的特別之處在於，攻擊者利用廠商已發布修補程式、用戶卻未及時套用的資安空窗來達到目的，而非自行挖掘零時差漏洞；再者，他們濫用檔案掃描整合防毒引擎的功能，以此取得系統層級權限執行惡意指令碼。</p> <h3><a href="https://www.ithome.com.tw/news/172213"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月12日】微軟修補已遭利用的Windows核心零時差漏洞</span></strong></a></h3> <p>本週二是許多軟體業者發布11月例行更新的時間，其中又以微軟這次發布內容相當引起關注，原因是這次修補的漏洞當中，有一個出現實際的攻擊行動，該漏洞被登記為CVE-2025-62215，特別的是，微軟提及成功利用的先決條件，就是在特定的條件競爭（Race Condition）當中勝出，這樣的公告內容，也讓人好奇攻擊者如何成功利用這項弱點。</p> <p>SAP發布的本月例行更新也相當值得關注，原因是該公司這次修補兩項極為危險的近滿分漏洞CVE-2025-42890與CVE-2025-42887，影響範圍涵蓋SQL Anywhere Monitor與Solution Manager。值得留意的是，兩個月前修補的SAP NetWeaver AS Java滿分漏洞CVE-2025-42944，該公司二度祭出防護強化措施。</p> <h3><a href="https://www.ithome.com.tw/news/172236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月13日】Citrix NetScaler與思科ISE重大漏洞在公布前即遭國家級駭客利用</span></strong></a></h3> <p>今年上半開始，針對<a href="https://www.ithome.com.tw/tags/citrix">Citrix</a>與<a href="https://www.ithome.com.tw/tags/cisco">思科</a>應用系統與設備的攻擊行動頻傳，因此一旦這些廠商公布非常嚴重的資安漏洞，即使他們並未透露是否掌握遭到利用的跡象，外界還是不禁會懷疑漏洞已被用於實際攻擊。最近Amazon威脅情報團隊發布的調查報告，引起資安圈高度關注，因為他們掌握有國家級駭客在Citrix與思科修補特定漏洞之前，就將其用於實際攻擊行動，並對受害裝置部署後門。</p> <p>勒索軟體攻擊濫用遠端管理工具（RMM）的情況，也越來越頻繁，最近有英國資安業者針對兩大勒索軟體Medusa、DragonForce攻擊行動提出警告，利用這些勒索軟體犯案的駭客，入侵受害組織的管道存在共通點，那就是尚未修補特定已知漏洞的SimpleHelp伺服器。</p> <h3><a href="https://www.ithome.com.tw/news/172260"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月14日】勒索軟體駭客Akira將目標擴張到Nutanix虛擬化平臺</span></strong></a></h3> <p>一般而言，勒索軟體駭客從主要針對Windows電腦下手，這兩年已經普遍將加密檔案的範圍擴及VMware虛擬化平臺，亦有少數攻擊Hyper-V的情況，但隨著之前VMware授權模式變動惹議，Nutanix虛擬化平臺AHV是許多企業替代方案的主要選項，如今有歹徒也看上這樣的趨勢，針對此虛擬化平臺下手，而引起全球矚目。最近美國網路安全暨基礎設施安全局（CISA）透露，勒索軟體Akira在今年6月，就在一家受害組織加密AHV平臺的虛擬機器，這是首度有駭客針對該平臺下手的情況。</p> <p>蠕蟲程式再度出現於開源套件市集！有三家資安業者接連對名為IndonesianFoods的惡意程式提出警告，但有別於先前<strong><a href="https://www.ithome.com.tw/news/171263">攻擊行動Shai-Hulud</a></strong>出現的蠕蟲，以及對Open VSX與Visual Studio Code（VS Code）而來的<strong><a href="https://www.ithome.com.tw/tags/glassworm">GlassWorm</a></strong>，會對於安裝套件的開發人員發動攻擊，IndonesianFoods並非如此，但它在NPM儲存庫大量自我複製、增長，恐重創供應鏈安全。</p> </div></div></div>
2025/11/17 15:11作者羅正漢https://www.ithome.com.tw/news/172269