iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

華碩修補路由器8項漏洞影響啟用AiCloud服務的設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.asus.com/security-advisory/" target="_blank">華碩本周發佈安全公告</a>，修補8個路由器軟體漏洞，包含一個重大風險的驗證繞過漏洞。</p> <p>這8項漏洞為CVE-2025-59365到CVE-2025-59372，加上CVE-2025-12003。其中最嚴重的是<a href="http://nvd.nist.gov/vuln/detail/CVE-2025-59366" target="_blank">CVE-2025-59366</a>，它是位於AiCloud的驗證繞過漏洞。AiCloud是許多Asus路由器內含的雲端存取功能，其原理是利用Samba網路檔案共享協定，使路由器將檔案連接的USB裝置，如外接硬碟，透過SMB分享給其他電腦或行動裝置，讓後者存取電腦好比存取本機硬碟。</p> <p>CVE-2025-59366是Samba功能的副作用，可導致未授權的攻擊者執行特定功能，漏洞風險高達CVSS score 9.2，影響啟用AiCloud的路由器。風險次高的是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-12003" target="_blank">CVE-2025-12003</a>，為WebDAV的路徑遍歷（path traversal）漏洞，可讓未經過驗證的遠端攻擊者破壞裝置完整性，風險值為8.2。其次為CVE-2025-59370和CVE-2025-59371，分別為指令注入及驗證繞過漏洞，皆為CVSS 7.5的高風險漏洞。</p> <p>這些漏洞影響華碩路由器韌體3.0.0.4_386、3.0.0.4_388和3.0.0.6_102。華碩已釋出更新，並強烈建議<a href="https://www.asus.com/support/" target="_blank">所有用戶立即到官網將路由器韌體更新到最新版本</a>。</p> <p>若用戶裝置已經沒有技術支援，華碩建議用戶必須確保路由器和Wi-Fi密碼為強密碼且未和其他裝置共用。此外也必須關閉AiCloud、WAN遠端存取、傳輸埠轉送、傳輸埠觸發、DDNS、VPN Server、DMZ和FTP。</p> <p>除了路由器漏洞，華碩本周也釋出更新，修補<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-59373" target="_blank">CVE-2025-59373</a>。它是本地提權（local privilege escalation）漏洞，位於MyASUS App 的Asus系統控制介面（System Control Interface）服務的復原（restore）機制。無權限攻擊者可將檔案複製到受保護的系統路徑，可能導致以SYSTEM權限執行任意檔案。本漏洞風險值為CVSS 8.5。</p> <p>華碩已釋出ASUS System Control Interface 3.1.48.0 (x64)及 ASUS System Control Interface 4.2.48.0 (ARM)解決漏洞，適用所有個人電腦，包括桌機、筆電、AIO PC及迷你電腦（NUC）。</p> </div></div></div>
2025/11/28 08:44作者林妍溱https://www.ithome.com.tw/news/172517
超融合基礎架構再現生機
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/article/172501" target="_blank"><span style="color:#3366ff;">這期iThome電腦報週刊的封面故事</span></a>，我們探討分解式儲存架構（Disaggregated Storage），在分散式儲存（Distributed Storage）長期的發展過程當中，「無共享」叢集架構（shared-nothing）一直是主流，就連後起的超融合基礎架構（HCI）大部分都是這種類型，每一臺伺服器（節點）提供運算與儲存資源，而且，多臺伺服器的本機硬碟儲存空間會被聚合成單一資源池，像是VMware vSAN、Nutanix、Azure Stack HCI、HPE SimpliVity，分解式儲存架構將儲存叢集節點的「控制」與「儲存」單元加以分解，這一年來，市場上出現越來越多主打這種概念的儲存系統，而在超融合基礎架構的產品當中，也從將近9年前開始，市面上陸續出現徹底分解運算與儲存節點的解決方案，像是NetApp的HCI（源自2015年併購SolidFire，2021年停止銷售）、HPE的dHCI（前身為Nimble Storage dHCI，2023年改名為Alletra dHCI）、Dell的PowerFlex（前身是ScaleIO）。</p> <p>除此之外，在2020年以後，VMware開始提供HCI Mesh功能，Nutanix也開放純運算節點（Compute Only Node），以及純儲存節點（Storage Only Node）功能， Dell在主力超融合產品VxRail導入分解式部署型態，提供純運算功能的VxRail dynamic節點。</p> <p>談到超融合基礎架構，在2015至2018年之間就已經發展得相當成熟，隨著公有雲服務的使用日益普及，伺服器虛擬化架構與超融合基礎架構起初還能以私有雲與混合雲的部署，維持市場成長的生機，隨著容器、Kubernetes、基礎架構即程式碼（IaC）等雲端原生架構的進逼，三大公有雲業者與多個系統平臺軟體業者持續擴大市場布局，促使企業上雲逐漸成為IT主流趨勢。</p> <p>對於伺服器虛擬化架構與超融合基礎架構的廠商而言，也積極提供支援。如VMware推出Tanzu系列及VMware Cloud Foundation（VCF）平臺，微軟在Azure Stack HCI平臺提供Azure Kubernetes Service的搭配，Nutanix也持續發展Nutanix Kubernetes Platform。</p> <p>到了最近這一年又有新變化。像是微軟2024年底發表Azure Local，將Azure Stack HCI納入，以Azure Local作為超融合基礎架構部署的平臺；到了今年11月，Azure Local推出2511版（12.2511.1002.5），當中採用的作業系統為Windows Server 2025的26100.7171版。同時，微軟宣布Azure Local可用於建構微軟主權私有雲，並正式推出Microsoft 365的地端部署版本，稱為Microsoft 365 Local，當中內建多種微軟通訊與協同應用系統，如Exchange Server、SharePoint Server，以及Skype for Business Server。</p> <p>另一家大廠VMware在2022年併入博通（Broadcom），持續更新旗下產品之餘，近期硬體整合應用設備的部分也開始有動作。</p> <p>例如，除了既有的vSAN ReadyNode與VCF ReadyNode，用於支援軟體定義儲存系統vSAN與軟體定義資料中心平臺VCF的部署，博通在今年11月中宣布推動新的產品認證計畫VCF AI ReadyNode，提供能用於AI模型訓練與推論的預先認證伺服器，確保用戶能採用新一代的CPU、GPU，以及加速運算處理器技術，Supermicro將是第一家認證這套AI就緒系統的OEM廠商。</p> <p>該公司也擴展VCF ReadyNode認證計畫，使ODM廠商經由博通技術聯盟計畫（TAP）自行認證ReadyNode設備。針對邊緣運算需求，也預告支援新的邊緣運算最佳化節點，提供強固、體積精簡的伺服器，用於工業、國防、零售與其他遠端站點應用系統，支援現代化雲端基礎架構，使其更靠近廠區生產線與零售門市的資料產生點。</p> <p>11月底還有個震撼消息，Dell Technologies的董事長暨執行長Michael Dell接受專精IT經銷通路的科技媒體CRN的採訪時，語出驚人地表示：「VxRail is no longer a thing」，他說，幾年前它很主流，現在影響力大不如前，因此Dell快速增加儲存領域的智財。該集團的夥伴長Denise Millard表示，將用戶從VxRail環境遷出，是他們與合作夥伴討論的首要議題，將協助合作夥伴將用戶從VxRail過渡到分解式基礎架構，而且是基於PowerStore或PowerFlex而成的環境，用戶將不會受到特定Hypervisor（伺服器虛擬化平臺）綑綁，能真正部署多Hypervisor的環境。</p> <p><a href="https://www.ithome.com.tw/article/172501" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1262-feng_mian_gu_shi_-p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=apZPJR44" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%88%86%E8%A7%A3%E5%BC%8F%E5%84%B2%E5%AD%98%E5%8F%A2%E9%9B%86%E6%9E%B6%E6%A7%8B">分解式儲存叢集架構</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E5%88%86%E8%A7%A3%E5%BC%8F%E5%84%B2%E5%AD%98%E6%9E%B6%E6%A7%8B">分解式儲存架構</a></div><div class="field-item odd"><a href="/tags/%E6%96%B0%E8%88%88%E5%84%B2%E5%AD%98%E6%9E%B6%E6%A7%8B">新興儲存架構</a></div></div></div>
2025/11/28 06:00作者李宗翰https://www.ithome.com.tw/voice/172502
創新的第三種選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-chai_yi_hua_neng_li_zhi_sheng_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">啟動文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去的家巧依（Homejoy）似乎是個顯而易見的贏家，這個前景看好的平台負責媒合顧客與專業清潔人員，範圍涵蓋美國、加拿大、英國、德國的三十五個城市，為首購顧客提供單次清潔十九美元的價格，而其他平台提供的清潔服務要價八十美元以上。拜低價策略所賜，家巧依公司的客群快速增長，募集到四千萬美元的鉅額資金。</p> <p>創辦人運用這筆資金，做出雄心勃勃的轉變。家巧依公司的業務範圍不再侷限於清潔服務，而是拓展到其他居家服務，例如水電修繕工作，得以在既有的顧客上增加營收機會，這個策略看起來不可能會失敗。</p> <p>然而，這個策略卻以失敗收場，實際上根本就是一敗塗地。</p> <p>結果發現，低價策略一開始會吸引到很多顧客，卻也會導致利潤率降低、獲客成本提高。家巧依公司的顧客當中，會變成回頭客的顧客不到兩成。</p> <p>此外，家巧依公司很難留住穩定的清潔團隊，很多清潔人員在其他地方找到更好的機會，或者逐漸不滿公司政策，於是紛紛離職。</p> <p>家巧依公司轉而提供其他居家服務，反倒造成問題惡化。雖然這樣的轉變是為了分散營收來源，以便跟便利（Handy）、任務兔（TaskRabbit）、圖釘（Thumbtack）等平台一較高下，但是家巧依的品牌定位與品質控制卻因而遭到削弱。</p> <p>家巧依公司提供其他服務並拓展服務地區，最終無從解決核心問題，反倒淪為干擾因素。此外，該公司採用的低價策略禁不起時間的考驗。這一切導致該公司最終倒閉。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>組織的重心腳是重中之重</strong></span></span></p> <p>家巧依公司的故事突顯了一點：要是沒有切實可行的差異化特色，貿然進行重大的轉變，就會引發莫大的風險。家巧依公司認為，業務範圍擴大到多個新領域就會創造利益，卻沒注意到核心業務尚未禁得起時間的考驗。因為公司看不到真正重要的事物，採納更多的變革反而只會加快衰落的速度。</p> <p>我之所以闡述家巧依公司的故事，是因為他們的困境正是所有人面臨的困境：我們應該以自身的成功為基礎嗎？還是要去探索嶄新的領域？</p> <p>我們來比較一下家巧依公司與西班牙首屈一指的折扣零售商「梅爾卡多納」（Mercadona）超市的做法。兩者都採行低價策略，但梅爾卡多納超市把低價視為優勢，選擇加倍投入低價策略，並未探索新的機會。</p> <p>2008年，金融危機爆發，梅爾卡多納超市不像許多公司那樣減薪裁員，反而運用了這些年來跟員工培養的關係，鼓勵勞工找出其他非勞力方面的節省成本方法。在這種做法下，成本價格降低達10%，同時員工的投入度也獲得提升。梅爾卡多納超市的市占率最終從2008年的15%增長至2012年的20%。這種做法不僅促使服務與生產力獲得提升，所產生的益處更能延續到金融危機平息許久之後。</p> <p>梅爾卡多納超市的做法截然不同於競爭對手；其競爭對手減少工資與工作時數，往往導致分店維護不善、對顧客服務欠佳、員工不敬業、品牌弱化。</p> <p>梅爾卡多納超市並未投入新的領域，反而加倍投入低價的差異化。他們沒有冷漠對待員工，反而透過教育與交叉訓練的方式，投資在員工身上。</p> <p>家巧依公司原本可以改善他們跟工作團隊的關係，不要苛待工作團隊；他們原本可以加倍投入既有的商業模式，運用廣大的、對價格敏感的客群。然而，該公司忽視既有的問題，聚焦於新的投資，這樣的分散投資最終造成重心失焦。</p> <p>家巧依公司把業務範圍拓展到新的地區並提供多種方案，這種做法可以稱為「軸轉」，畢竟它代表的是商業策略出現變化。雖然這類變化並非全都是負面變化，但是家巧依公司缺乏穩定的根基，撐不起這類的轉變。</p> <p>務必要先為你的事業建立穩固的根基，然後再把重心轉移到全新的產品、服務或方案，要加倍投入最重要的事物。在這世上，機會與干擾俯拾皆是，務必要懂得區分兩者的不同。改變不見得是好事，而堅守到底也不代表你要站著不動。</p> <p>想像一下籃球選手轉身的畫面，他的一隻腳做出旋轉動作，另一隻腳保持緊貼在地面上，不移動的那隻腳是無名英雄，它提供穩固的根基與穩定感，這樣才能做出有力的轉身。</p> <p>在創新的背景脈絡下，重心腳代表的是由歷史、顧客見解、產品知識、信任構成的深厚堅實的根基，能為我們奠定基礎，從而引導變革。</p> <p>你需要具備多種不同的技能，才能以創新者的身分，在重心腳構成的世界裡存活下來。再加上移動腳，你就一定能夠登高望遠，預測未來，借助短暫的風潮與長久的趨勢，從中獲益。這做起來很困難，因為我們沒有水晶球能觀看未來，也許每次都會做錯決定。</p> <p>然而，重心腳在乎的是穩定感，同時也有如瞭望點，可以登高望遠。重心腳在乎的是深度與關係，你要長久駐留才行，重心腳既不淺薄也不擅動，而是深入又扎根。</p> <p>切記，重心腳不是天生比繞圈旋轉的腳還要好，這也無關於穩定與變動的對立，因為你需要穩定，也需要變動。在變動與堅定不移之間，達到適當的平衡，才能造就長期的成功與長遠的競爭優勢。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>暫時停下不間斷的軸轉</strong></span></span></p> <p>根據牛頓第一運動定律，運動中的物體會保持在運動狀態；推論到商界，運動中的事業會保持在運動狀態。</p> <p>數十年來，軸轉的概念向來是事業的環節之一，但2020年疫情爆發後，軸轉的速度大幅加快，而這個快速的轉變引發旋風似的變化，不確定感隨之而來。不間斷的軸轉帶來令人頭暈目眩的變動，這種現象已成為公司業務的特有層面。正如牛頓定律的預測，動量推動著這股變化往前行進，毫無停下的跡象。</p> <p>有些時候，軸轉當然有其必要。不過，若是環境頻繁發生變化，就會出現筋疲力盡與效益不彰的狀況。此外，在流沙上軸轉，組織就會失去穩定感。只要陷入旋轉的狀態，就無法往前行進。</p> <p>對任何組織來說，創新都是關鍵環節。為了應對全新的現實，我們必須具備調整、演進、改變三種能力。然而，這類的轉變應該出自於優勢地位，而優勢地位要奠基於穩固的根基，不應該如同空中鵝毛那樣漫無方向、隨風飄動。</p> <p>在今日高度競爭、變動加劇、不確定感增長的環境下，我們建立的根基必須帶來穩定感才行。</p> <p>大家往往以為創新只有兩種選擇：不是投入軸轉，就是堅持不懈；不是改變方向，就是堅守到底。然而，還有第三種選擇，那就是更深入扎根。關鍵在於找出哪些方法可以善用我們做得最好的地方，進而為顧客創造最高的價值，並且扮演關鍵的角色，幫助顧客獲得成功。如此一來，就能減少團團轉的狀況，贏得更多的勝利。</p> <p>在這個世界，「不調整就消亡」已經成為一句口號，大家不斷追逐著下一件大事，而新奇的點子、產品、科技所帶來的承諾，令人陶醉不已。可是，為了軸轉而投入軸轉，就是解決的辦法嗎？</p> <p>在歷史上的這一刻，掌握軸心──意思是在顧客心目中變得重要至極──會比單純的軸轉更為重要。我們不應該團團轉，應該要為顧客帶來長久又重大的影響。<strong>（本文摘錄整理自《差異化能力致勝》，啟動文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B7%AE%E7%95%B0%E5%8C%96%E8%83%BD%E5%8A%9B%E8%87%B4%E5%8B%9D_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%9F%E5%8B%95%E6%96%87%E5%8C%96.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_啟動文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> 差異化能力致勝（Pivotal）</strong></p> <p>史蒂芬・夏皮洛（Stephen M. Shapiro）／著；姚怡平／譯</p> <p>啟動文化出版</p> <p>定價：500元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/180_%E5%B7%AE%E7%95%B0%E5%8C%96%E8%83%BD%E5%8A%9B%E8%87%B4%E5%8B%9D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Stephen%20M_%20Shapiro.png" style="width: 180px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><strong>史蒂芬・夏皮洛（Stephen M. Shapiro）</strong></p> <p>在埃森哲任職的十五年期間，他帶領一個涵蓋兩萬人的流程與創新專案，由此開啟了他的創新之旅。離開這家顧問公司後，他撰寫了七本關於創新的書籍，包括《別在稻殼堆中找麥粒》（Best Practices Are Stupid）。他曾向五十多個國家的觀眾，發表其關於創新與協作的獨到見解，目前擔任世界大型企業研究會（The Conference Board）的資深研究員。<a href="https://stephenshapiro.com/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Stephen M. Shapiro</span></span></a></p> </div></div></div>
2025/11/28 06:00未署名https://www.ithome.com.tw/article/172510
國泰金控如何從軟體供應鏈安全邁向開源治理，開源戰略鐵三角做法大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源軟體無所不在，從作業系統、容器平臺到各項雲原生開發技術、網路開發語言，甚至最新的AI技術，或多或少都會使用到各式各樣的開源軟體。但是，2021年，一場全球性的資安危機Log4j零日漏洞事件，掀起各國對軟體供應鏈安全的重視，更加強對開源軟體的監管，連美國總統都親自下令要求。</p> <h1><strong><span style="color:#B22222;">從軟體供應鏈安全到後量子加密壓力，最新監管趨勢是AI透明度要求</span></strong></h1> <p>「不只軟體供應鏈風險，後量子加密壓力，到爆紅生成式AI的治理合規，都成了各國對開源軟體的監管重點。」國泰金控數數發中心開源創新發展小組專案協理鄭正略觀察，近年，國際監管趨勢更聚焦在資安和授權兩大領域。</p> <p>像是2021年美國總統行政命令14028號，要求強化軟體供應鏈安全，促使美國國家電信暨資訊管理局（NTIA）訂定了SBOM（軟體元件表）最低元素，2025年美國更新了CISA指引來加強軟體透明度，要求聯邦政府採購案的供應商，都必須提供完整的SBOM表，甚至開始討論起AIBOM表（AI資產清單）的標準化。</p> <p>美國國安局則在2022年公布了國安系統演算法安全基準中的後量子密碼（PQC）演算法組合，要求2025年起新簽證應該支援PQC，甚至2030年起，所有軟體、韌體要全面採用PQC。歐盟通過了全球首部全面性的AI法案《AI Act》，2025年8月2日生效，明年8月全面實施，要求高風險AI系統建立完整的AIBOM，法案所提出的強制性透明度要求，涵蓋了模型、資料集和演算法。</p> <h1><strong><span style="color:#B22222;">從SBOM，CBOM到AIBOM，軟體供應鏈安全三種成分清單有何不同？</span></strong></h1> <p>根據Gartner預測，2028年，全球大型企業將超過85%的軟體工程團隊會部署軟體供應鏈安全工具。用來紀錄軟體組成的各種BOM表機制，不只國際監管趨勢的透明度合規要求，更是企業建立軟體供應鏈安全的關鍵。</p> <p>可用來強化軟體供應鏈安全的SBOM表，還可以細分出AI模型用的AIBOM表和因應PQC壓力而生的CBOM表（Cryptography BOM，加密資產清單）。</p> <p>SBOM表是軟體物料清單，可以記錄軟體的版本、依賴關係、開源軟體元件、授權資訊等。其中，最重要的是相依性，可以了解軟體元件的上下游關係，作為追蹤的紀錄。現代的軟硬體很少從頭開始撰寫程式碼，往往採用了許多開源或第三方商業元件來組成，SBOM也成了確保軟體供應鏈安全的關鍵。</p> <p>AI領域專用的AIBOM表，則可以用來呈現AI模型的多項資訊，從模型來源、訓練資料集、演算法、風險評估、倫理風險等，作為企業落實AI治理的參考資訊。而CBOM表則紀錄了軟體所用加密演算法、密鑰管理、憑證資訊、簽章方法等，可用來因應後量子時代的加密風險和相關合規要求。</p> <h1><strong><span style="color:#B22222;">金融業導入軟體供應鏈管理的三大機會與六大挑戰</span></strong></h1> <p>導入軟體供應鏈管理機制，對臺灣金融業而言，可以帶來三大機會，鄭正略解釋，一是從被動因應漏洞，轉為主動式的風險管理，將資安防線左移到開發階段。其次，金管會也開始強調供應鏈安全的重要性，採用SBOM表，也可說是一種法規遵循的前瞻佈局，最後一點是，落實SBOM表，可以展現金融業對資安與AI治理的承諾，來提高顧客的信任。</p> <p>對企業來說，要導入這些提高軟體透明度的SBOM機制，鄭正略認為，有六大挑戰，包括了供應商的配合度、SBOM資訊產生工具不足、SBOM表格式標準化問題、資料隱私與分享議題、CI/CD整合挑戰，以及成本與人才的挑戰。</p> <p>他特別重視CI/CD與SBOM機制的整合，如何在敏捷開發中，即時、準確地生成BOM表，就可以避免影響到既有的開發流程，來提高軟體供應鏈管理的透明度。像是在CI/CD流程中自動產生SBOM，並結合VEX（弱點交換標準格式）的機制，來篩選出有高風險的漏洞，一旦，發生了類似Log4Shell的資安漏洞通報，就可以快速從SBOM資訊中，找出自家可能受害的服務，快速更新或緩解問題。</p> <h1><strong><span style="color:#B22222;">國泰金控揭露開源套件管理平臺運作模式，SBOM集中式管理是關鍵</span></strong></h1> <p>國泰金控發展了一套開源套件管理平臺，要用系統化的方式，來實現開源軟體的軟體供應鏈安全管理。鄭正略進一步說明，這套平臺包括了四個部分，套件來源、SBOM表產生、集中式管理的SBOM Hub和AI解決方案。</p> <h3><span style="color:#0000FF;"><strong>國泰開源套件管理平臺包括四大組成。</strong></span></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%901-%E9%96%8B%E6%BA%90%E5%B9%B3%E5%8F%B0%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>這個開源套件管理平臺可以掃描國泰所用的各項開源套件，套件來源包括了各種Docker映像檔，JAVA、.NET、Python等開發語言的套件等，掃描了套件組成後，結合CI/CD流程，可以自動產生軟體物料清單，國泰選擇用OWASP基金會的CycloneDX格式來紀錄。包括內部自行開發的軟體，或是第三方供應商提供的軟體的SBOM，最後都會儲存到平臺上的SBOM Hub，進行集中管理和版本控管，確保資訊可以追蹤。</p> <p>套件管理平臺也整合了常見的漏洞資料庫，如CVE、NVD或歐盟EUVD等，來分析SBOM中的組件，是否存在已知的漏洞。還會進一步分析這些SBOM中的軟體授權資訊，協助管理開源軟體的授權合規性。最後，則可以運用一些AI解決方案，來進行異常告警、資安洞察和分析，像是讓AI根據漏洞影響範圍的嚴重性、組件的使用頻率和企業特定環境等因素，自動排列出漏洞修補的優先順序，並提供修補建議。</p> <p>鄭正略指出，集中式管理的SBOM Hub是開源套件管理的關鍵核心，搭配商用等級的軟體供應鏈解決方案，可以提供一個兼顧掃描、阻擋及溯源的儲存庫（Repository）。</p> <p>國泰會從三個角度來評選一款軟體供應鏈解決方案，漏洞搜集能力、整合能力和漏洞定位能力。像是收集到多少種漏洞數據庫的資料，能不能整合到IDE開發工具或是CI/CD工具中來進行自動掃描，能不能快速找出有漏洞的元件或受害服務，及時阻擋問題套件的上傳或下載。</p> <h1><span style="color:#B22222;"><strong>國泰正評估借重AIBOM，提高AI模型生命週期管理的能見度</strong></span></h1> <p>鄭正略透露，目前國泰也正在評估，如何運用AIBOM表，來實現AI模型的全生命週期資訊的能見度，涵蓋訓練數據到模型部署，試圖找出潛在的偏差與風險，來確保模型的透明、可解釋和可追溯。</p> <p>目前，國泰嘗試運用一款AI SBOM Generator開源工具，可以協助將Hugging Face上託管的模型，產生一份AI SBOM表，這款工具可以自動抓取關鍵資訊，像是模型後設資料、訓練資料集、依賴項目和配置等，依據OWASP基金會定義的CycloneDX JSON（國泰所用SBOM格式）格式，來產生一份機器可讀的AI SBOM表。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%902-AIBOM%E8%A1%A8-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>國泰金控從發展大數據應用，數據生態系，到擁抱雲原生技術，推動雲端轉型，一路採用了許多開源軟體和技術，為了強化這些開源軟體的管理，才發展出這樣一套開源套件管理平臺，搭配SBOM機制來強化軟體供應鏈的管理。</p> <h1><strong><span style="color:#B22222;">如何控管開源四大風險，國泰設立審查委員會和標準化審查流程</span></strong></h1> <p>不只有平臺和機制，國泰也發展出一套開源風險控管做法，設立了一個開源審查委員會（Open Source Review Board，簡稱OSRB），建立一個集團開源安全防護網。</p> <h3><span style="color:#0000FF;"><strong>開源審查委員會（OSRB）是國泰金控管理開源風險的關鍵</strong></span></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%903-OSRB-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>這個開源審查委員會，集結了治理、資安、法務和開發團隊的專家，負責訂定出全集團統一的如何開源和發布的一套政策和標準。另一方面，在SBOM的發展基礎上，進行安全性、合規性的安全風險揭露與審查，透過自動化工具，持續監控已知的漏洞，確保全集團對開源的使用，符合國際監管趨勢。最後一項OSRB的任務是，維護一個可信任的倉庫，提供審核通過的安全元件，也簡化相關的申請和審核流程，來加速產品上市時間。</p> <p>鄭正略解釋，企業常見的開源風險有四類，第一是無法掌握開源軟體的初期風險，其次是法律授權條款的風險，尤其用到有傳染性的授權，可能導致企業核心程式碼必須被迫開源。日益嚴格的產業監管合規壓力是第三類風險，需要保留完整軟體組成分析和稽核紀錄，第四類風險是，開發與安全效率兼顧的兩難，在追求快速開發和產品迭代的壓力下，安全和法務審查往往成為瓶頸，如何在速度和風險控管之間取得平衡是課題。</p> <p>多年使用開源軟體的經驗下，國泰已經發展出一套開源審查的標準化流程，可以建立從源頭管理，到安全上線與管理的治理體系。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%904-OSRB%E6%B5%81%E7%A8%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>第一步取得開源元件後，先進行原始碼掃描，第三步再來識別風險。國泰會將開源元件集中，放入到集團審核中的儲存庫，定期掃描和監控，自動產生相關SBOM報表。接著再進行第四步的風險審查和批准，並且要留下相關紀錄，也會公布特別要審查哪些開源風險，</p> <p>最後一步，通過審核可用的開源元件，就會放入一個可信任的軟體倉庫，要求所有開發團隊，都得使用這個倉庫中的開源元件，不能自行使用外部的開源元件，來實現一套完整的開源軟體控管流程。</p> <h1><strong><span style="color:#B22222;">兼顧開源治理與創新靠兩大關鍵引擎</span></strong></h1> <p>但是，國泰不只想要落實管理，還想要進一步善用開源軟體來創新。許多國際金融集團推動開源創新的做法，如高盛集團、HSBC、花旗集團等，過去三年，紛紛成立了開源計畫辦公室（Open Source Program Office），來善用開源力量。國泰金控也成立了一個開源創新發展小組，在集團內扮演OSPO的角色，作為國泰開源戰略的核心推動單位，這就是鄭正略所在的團隊。</p> <p>鄭正略表示，開源計畫辦公室（OSPO）和開源審查委員會（OSRB）是開源治理與創新的關鍵雙引擎。開源審查委員會負責治理、審查開源的使用情況，確保安全和合規，而開源計畫辦公室則是負責串聯內外部的資源，在集團內建立開源的文化，也可以對企業提供開源政策的建議。</p> <h1><strong><span style="color:#B22222;">TAG、OSRB和DevRel是國泰開源戰略鐵三角</span></strong></h1> <p>國泰推動開源計畫辦公室的做法，除了已經設立了開源審查委員會（OSRB）來推動開源治理，也在開源創新發展小組中，設立了技術諮詢小組（Technical Advisory，簡稱TAG），負責技術標準訂定、開源技術研究、內部開源機制的建置，以及打造開源共享平臺。另外也積極經營開發者技術社群，也就是國外常見的開發者關係經營（DevRel），參與國際社群、推動開源文化和人才培育等。「TAG、OSRB和DevRel，正是國泰金控開源戰略的鐵三角。」鄭正略表示。</p> <h3><span style="color:#0000FF;"><strong>國泰金控設立開源計畫辦公室的三大實踐做法</strong></span></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%905-%E9%96%8B%E6%BA%90OSPO-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>國泰金控更長遠的開源願景，鄭正略指出，要打造出一個國泰開源生態系。國泰已經從階段0的「開源啟動者」，跨入了階段1的「開源實踐者」，包括訂定了開源治理規範，也有對外開源成果，並有一套對外開源的管理平臺，內部也開始推動開源文化，與開源社群合作，打造一站式的開源資源整合與分享平臺。目前國泰正在導入內部開源（InnerSource）機制和開源共享平臺。在人才培育上，也要建立開源人才的貢獻機制。</p> <h1><span style="color:#B22222;"><strong>長期要打造開源生態系，下一階段目標是成為開源領航者</strong></span></h1> <p>在這個開源生態系大夢中，國泰下一階段的目標是成為開源領航者（階段2），可以推動亞太區的開源活動，甚至擔任跨產業開源導入的推動者，未來更要邁向階段3「開源典範者」，像是成為金融業內部治理的分享者，協助金融同業導入內部開源，並將內部開源共享平臺對外開源。更希望成為國際開源基金會的董事，促成更多臺灣金融業的產業合作。</p> <p>國泰金控集團這幾年的開源成果和投入，已經是臺灣知名的開源實踐者，在這個開源生態系的大夢，成功地邁出了第一步。</p> <p> </p> </div></div></div>
2025/11/28 03:50作者王宏仁https://www.ithome.com.tw/news/172515
【新聞回顧】Salesforce與Gainsight遭到非法存取，疑似勒索軟體團體ShinyHunters發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在8月底至9月初，<a href="https://www.ithome.com.tw/tags/salesloft-drift">Salesloft Drift供應鏈攻擊</a>導致多家企業發生資料外洩的事故，鬧得沸沸揚揚，<a href="https://www.ithome.com.tw/news/171251">9月下半勒索軟體組織ShinyHunters聲稱</a>，他們使用遭竊Salesloft Drift的OAuth權杖，從760家公司竊取超過15億筆Salesforce紀錄。<a href="https://techcrunch.com/2025/11/20/salesforce-says-some-of-its-customers-data-was-accessed-after-gainsight-breach/">10月初</a>勒索軟體組織Lapsus$、Scattered Spider、ShinyHunters在暗網成立的資料外洩網站Scattered LAPSUS$ Hunters，表明他們手上有1億筆Salesforce紀錄，並指明Salesforce付贖金，<a href="https://status.salesforce.com/generalmessages/20000224?locale=en-US.">Salesforce也發表公告</a>表達他們已知道近期攻擊者的勒索，並強調無跡象顯示Salesforce平臺遭駭，以及這些攻擊與他們技術的任何已知漏洞無關。</p> <p>11月20日多家資安媒體報導<a href="https://status.salesforce.com/generalmessages/20000233">Salesforce突然發布公告</a>，警告用戶連接Salesforce的應用系統Gainsight出現異常活動。Gainsight是專攻客戶成功平臺（Customer Success Platform）的供應商，根據Salesforce的調查顯示，有人經由這套系統非法存取用戶的Salesforce資料，似乎與此系統的外部連線存取Salesforce有關。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory1.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Salesforce Advisory2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory2.jpg" style="width: 298px;" /></a></p> <p>Salesforce也在22日發布的<a href="https://help.salesforce.com/s/articleView?id=005229029&type=1">另一份資安公告</a>，列出20筆入侵指標（IOC），其中15筆，來自電信公司AT&T，以及Mullvad、Surfshark、NSocks、IProxyShop、Nexx、ProxySeller、Tor等VPN代理伺服器的IP位址，進行偵察與未經授權的存取，而且也出現搭配遭盜用Gainsight存取權杖的偵察記錄，3筆 Gainsight系統採用不正常的使用者代理字串（user agent string）記錄，以及曾在Salesloft Drift攻擊活動出現的攻擊者非法存取行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Salesforce Advisory3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory3.jpg" style="width: 600px;" /></a></p> <p>對此，Salesforce已撤銷所有與Gainsight應用系統相關的主動存取與更新的權杖——Salesforce停用Gainsight應用系統與Salesforce之間的連線，Salesforce用戶將暫時無法連接Gainsight應用系統，等待後續通知；而且在調查進行期間，Salesforce暫時將這套系統從AppExchange市集移除。他們再度強調，尚無跡象顯示上述問題是Salesforce平臺的漏洞造成。</p> <h3><span style="color: rgb(0, 0, 255);"><strong>攻擊者直指ShinyHunters，受害企業與組織可能有將近1千家</strong></span></h3> <p>關於受害者數量與攻擊者身分，目前多家<a href="http://www.theregister.com/2025/11/20/salesforce_gainsight_breach/">科技</a>與<a href="http://cyberscoop.com/salesforce-gainsight-customers-breach/">資安</a>媒體引述Google威脅情報小組（GTIG）首席分析師Austin Larsen的說法，他表示，已知超過兩百個Salesforce用戶執行個體（instances）受到影響，可能的攻擊者是ShinyHunters（UNC6240），該團體與先前攻擊Salesforce執行個體（Salesloft Drift供應鏈攻擊）的組織有關，如UNC6040。事實上，這次傳出遭到非法存取的Gainsight，也在<a href="https://www.gainsight.com/security/">自家網站公告他們是Salesloft Drift供應鏈攻擊的受害者</a>。</p> <p>第二個與攻擊者身分有關的消息，來自專攻資料外洩事件消息揭露的部落格DataBreaches.Net。<a href="https://databreaches.net/2025/11/20/threat-actors-have-reportedly-launched-yet-another-campaign-involving-an-application-connected-to-salesforce/">11月20日該站發文</a>指出，聯繫ShinyHunters之後，對方的發言人承認這起活動是他們所為，並表示這可能是同一團體對Salesforce發起的第三波大規模攻擊，暗示接下來可能還有下一波攻勢，並揚言Salesforce若不就範，打算成立另一個專屬的資料外洩公告網站，該站將涵蓋Salesloft與Gainsight攻擊活動所竊取的資料，受害組織總數逼近1千家，但站上主要列出的對象是財星500大企業，或其他ShinyHunters認為有利可圖的企業。值得注意的是，此人也透露他們透過Gainsight攻擊而取得資料的公司，包含Verizon、GitLab、F5、SonicWall。</p> <p>第三個相關資訊來自Gainsight與GTIG，當中提及UNC6040與另一個聲稱隸屬於ShinyHunters的攻擊者合作。11月23日世界協調時間1時35分，Gainsight更新服務狀態頁面的說明，介紹該公司<a href="https://communities.gainsight.com/community-news-2/salesforce-gainsight-connected-app-incident-faqs-29809">當時新發布的常見問答集</a>，當中引用<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc6040-proactive-hardening-recommendations">Google威脅情報小組10月1日發布的部落格文章</a>，標題是關於因應UNC6040攻擊的主動強化建議，該文標示11月21日更新內容，表明是為了因應當時Salesforce對Gainsight應用系統的資安公告，當中特別針對API金鑰、OAuth權杖、服務帳號、存取金鑰等多種程式開發用的身分憑證，補充全面強固、記錄、偵測等層面的作法；除此之外，GTIG在描述UNC6040的基礎架構時，也談到他們對受害者Salesforce環境執行資料竊取時，在大多數狀況下，都使用Mullvad VPN的IP位址，而這也呼應Salesforce<a href="https://help.salesforce.com/s/articleView?id=005229029&type=1">在11月22日發布的資安公告</a>，因為當中列出的入侵指標（IOC）就有4筆使用Mullvad VPN的IP位址，以此進行偵察與非法存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GTIG Advisory-Mullvad VPN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GTIG%20Advisory-Mullvad%20VPN.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Salesforce Advisory-Mullvad VPN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory-Mullvad%20VPN.jpg" style="width: 298px;" /></a></p> <h3><span style="color:#0000FF;"><strong>第三方廠商的存取管道遭濫用，成為攻擊者挖Salesforce牆角的目標</strong></span></h3> <p>Gainsight方面，也透過公司設立的<a href="https://status.gainsight.com/">服務狀態運作狀態揭露頁面</a>，持續更新調查進度。</p> <p>首先，世界協調時間（UTC）11月20日3時53分，Gainsight著手調查Salesforce連線故障問題；4時33分，確認問題出在Salesforce撤銷Gainsight SFDC Connector的主動存取；之後持續調查、監控狀態與修正問題，17時35分與Salesforce緊密合作調查，目的是了解導致Gainsight應用系統存取權杖遭撤銷的異常活動；20時36分，以防萬一，Hubspot市集暫時下架Gainsight應用系統，在這段審核期間，可能影響用戶的OAuth連線存取。</p> <p>到了11月21日，0時26分Salesforce繼續調查異常活動，暫時撤銷Gainsight連接該公司系統的存取權杖，作為預防措施，Gainsight的資安與工程團隊和Salesforce協同合作，以便分析技術細節、驗證組態，以及決定安全復原的步驟，並且持續整合內部與外部資訊；1時56分，Zendesk連接器存取遭撤銷，作為預防措施，<a href="https://communities.gainsight.com/community-news-2/salesforce-gainsight-connected-app-incident-faq-november-20th-update-29801">Gainsight發布常見問答集</a>（此頁面內容目前已被撤下）；5時38分聘請資安廠商Mandiant協助進行全面而獨立的鑑識調查；19時15分Salesforce針對Gainsight應用系統的異常活動發布資安公告更新。</p> <p>11月22日6時11分，<a href="https://communities.gainsight.com/community-news-2/salesforce-gainsight-connected-app-incident-faq-november-21st-update-29807">發布更新的事件常見問答集</a>（此頁面內容目前已被撤下），當中提及Salesforce起初列出3家受影響的用戶，21日受影響的用戶增加，Salesforce稍早已通知，Gainsight也直接聯繫這份名單提到的用戶。</p> <p>11月23日Gainsight<a href="https://communities.gainsight.com/community-news-2/salesforce-gainsight-connected-app-incident-faqs-29809">釋出新的事件常見問答集</a>，重新以太平洋標準時間整理這幾天以來的事件發生經過。</p> <p>首先是19日下午，Salesforce通知他們Gainsight Salesforce Connected App出現異常存取活動，通報3個用戶有可疑的存取嘗試行為，Gainsight也啟動內部事故應變程序；到了晚間，Gainsight的資安、工程與產品團隊開始著手初步分析，應變小組召開會議，Gainsight也委託Mandiant進行獨立鑑識調查，Mandiant開始啟動證據保留與記錄收集的步驟，此時Salesforce尚未提供任何入侵指標。</p> <p>20日上午，Gainsight工程團隊開始驗證影響範圍，部署更新、復原非Salesforce相依性的規則、資料設計工作，以及統計報告；下午Gainsight工程團隊完成深層的記錄審核與初步範圍界定，Salesforce確認異常活動局限在少數組織，Gainsight開始準備建議的預防措施。</p> <p>21日上午，與Salesforce無相依性的Gainsight Journey Orchestrator程式重新啟用，持續與Salesforce合作取得入侵指標；下午Salesforce提供受影響的用戶組織清單增加，Gainsight直接通知Salesforce察覺有可疑活動的用戶。<br /> 持續進行中的工作，包括Mandiant持續鑑識分析事件記錄、權杖存取行為，以及連接器的行為。<br /> 27日3時39分，Gainsight狀態頁面發布公告，建議用戶輪換與Gainsight搭配使用的所有S3儲存桶的存取金鑰，以及自家連接器存取多種服務的身分憑證（包含雲端資料倉儲平臺BigQuery與Snowflake、雲端訂閱服務管理平臺Zuora等），並將其納入標準資安最佳實務。而在Salesforce Connected App完全恢復運作之前，用戶現在應直接登入業務資料管理平臺Gainsight NXT，而非經由Salesforce存取。同時，對於那些未經由單一登入整合（SSO）驗證身分的使用者密碼，Gainsight也將重新設定；而仰賴使用者憑證或權杖的各種連接應用程式或整合工作，會進行重新授權的程序。</p> <p>出於謹慎行事的考量，對於gainsightcloud.com這類回傳URI的OAuth用戶端，Google目前已停用，並要求Gainsight撤銷OAuth權杖，輪換OAuth用戶端的憑證，並達成雲端安全評估（CASA）第三級要求，之後才能恢復OAuth用戶端的使用。</p> <p>至於其他整合Gainsight的業者應用系統，像是Zendesk、Gong、Hubspot，何時重新啟用整合關係？Gainsight表示，這些廠商目前仍暫停連線，他們將根據本身的資安審核結果，再決定何時恢復。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gainsight November 26th notes.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gainsight%20November%2026th%20notes.jpg" style="width: 600px;" /></a></p> <p>到了11月25日，Gainsight 執行長Chuck Ganapathi<a href="https://www.gainsight.com/blog/supporting-our-customers-and-community-an-update-on-the-recent-security-advisory-related-to-gainsight/">透過公司部落格發文</a>，親自上陣說明這起事故的近期進展，然而，<a href="https://www.theregister.com/2025/11/26/gainsight_ceos_handful_customers_data_stolen/">科技媒體The Register</a>網路資安編輯Jessica Lyons對於當中受影響用戶的狀況描述，相當不以為然。Chuck Ganapathi表示，雖然Salesforce已找到遭駭用戶的權杖，根據他們目前了解，只有屈指可數（a handful of）的用戶，其資料受到影響，Jessica Lyons的新聞報導提到，這樣的描述，與各大科技與資安媒體普遍引用GTIG首席分析師Austin Larsen的受害規模產生矛盾，因此，在該篇新聞的副標當中，Jessica Lyons嘲諷這位執行長的手指可能有200根以上。綜上所述，目前有GTIG、Gainsight，以及ShinyHunters聲稱的受害用戶數字，三方的估算顯然有很大的出入，孰是孰非有待後續釐清。</p> </div></div></div>
2025/11/28 00:22作者李宗翰https://www.ithome.com.tw/news/172514
【資安日報】11月27日，新型態網釣手法JackFix假借Windows更新為幌子，企圖散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172511"><strong style="font-size: 22px;">ClickFix網釣出現新變種JackFix，假借Windows更新名義引誘使用者上當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bef243fc918f764e078dc39307e56707.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bef243fc918f764e078dc39307e56707.png" style="width: 300px; float: right;" /></a></p> <p>要求使用者依照螢幕指示操作，複製命令並貼上執行的網釣攻擊手法ClickFix，後續出現流程完全在瀏覽器進行的變形手法FileFix，如今有歹徒結合覆蓋螢幕畫面的手法，試圖逼迫受害者乖乖就範。</p> <p>資安業者Acronis揭露一種新型態的ClickFix攻擊活動，歹徒設置假的成人網站引誘用戶上當，然後結合假的Windows更新畫面覆蓋整個螢幕，要求他們依照指示完成「重大安全更新」。假更新的畫面幾可亂真，不僅具備完善的動畫內容，並顯示即時的進度百分比，唯一的差別，是要求使用者必須依照特定的步驟操作，才能真正完成更新。這種新型態的攻擊手法，Acronis稱做JackFix。</p> <p>有別於大部分的ClickFix活動，攻擊者主要透過釣魚郵件接觸受害者，引誘他們存取ClickFix網站，JackFix並未依循這樣的攻擊途徑，使用者先存取攻擊者的網站並進行互動，這些網站才會產生Windows更新的覆蓋畫面，迫使受害者必須依照指示操作。換言之，攻擊者無須事先製造危機感或催促使用者儘速處理，就能得逞。</p> <p><a href="https://www.ithome.com.tw/news/172503"><strong style="font-size: 22px;">惡意Blender模型檔案上架3D模型市集，意圖散布竊資軟體StealC V2</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZalypaGyliveraV1_Diagram_4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZalypaGyliveraV1_Diagram_4.png" style="width: 300px; float: right;" /></a></p> <p>為了讓使用者能更容易調整應用程式的組態，許多軟體開發團隊會提供延伸套件機制，其中最常見的就是瀏覽器，也有IDE開發工具提供相關機制。然而，這些機制也成為歹徒下手的目標，他們透過有問題的套件，對使用者散布惡意軟體，如今類似的手法，也出現針對藝術創作者和美術從業人員的情況。</p> <p>資安業者Morphisec揭露為期超過半年的攻擊行動，俄羅斯駭客試圖散布竊資軟體StealC V2，不過這波活動最特別的地方在於，攻擊者鎖定的對象，是開源3D圖形軟體Blender的用戶，他們在3D模型市集上架有問題的.blend檔案，一旦使用者在電腦開啟，就會執行嵌入的Python指令碼，後續於受害電腦部署StealC V2。而攻擊者散布惡意檔案的管道，其中一個是名為CGTrader的開放市集。對此，Morphisec呼籲，用戶最好停用Blender的自動執行功能，並避免下載來路不明的3D模型檔案，來防範相關威脅。</p> <p>攻擊者接著如何在受害者電腦植入StealC V2？前述的Python指令碼一旦觸發，就會從Cloudflare Worker網域下載PowerShell惡意程式載入工具，該工具將ZIP檔下載至受害電腦，並執行兩個Python指令碼，最終在受害電腦部署StealC V2，以及另一款竊資軟體Blenderx Stealer。</p> <p><a href="https://www.ithome.com.tw/news/172494"><strong style="font-size: 22px;">大規模蠕蟲攻擊Sha1-Hulud再掀波瀾，影響逾1千個NPM套件與2.7萬個GitHub儲存庫</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1764066468-image-32-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1764066468-image-32-1.png" style="width: 300px; float: right;" /></a></p> <p>今年9月，NPM儲存庫發生大規模供應鏈攻擊Shai-Hulud，攻擊者兩天內在超過500個套件植入蠕蟲，如今類似的供應鏈攻擊活動再度出現，引起多家資安業者提出警告。</p> <p>11月24日多達9家資安業者不約而同提出警告，分別是：Aikido、HelixGuard、JFrog、Koi Security、ReversingLabs、SafeDep、Socket、Step Security，以及Wiz，他們偵測到新一波的Shai-Hulud蠕蟲攻擊活動，攻擊者在11月21至23日之間，上傳超過1,000個NPM套件、感染2.7萬個GitHub儲存庫，本次事故影響Zapier、ENS Domains、PostHog，以及Postman等熱門套件。</p> <p>這些蠕蟲套件不僅在NPM套件庫自我複製，一旦使用者部署到開發環境，此惡意程式就會在Windows、Linux，以及macOS開發環境裡快速擴散，利用掃描工具TruffleHog挖掘曝露的機敏資料，包含AWS、GCP，以及Azure的雲端帳密，並濫用本機快取的憑證，透過API搜刮AWS Secrets Manager與Google Cloud存放的身分憑證，然後，該蠕蟲會將找到的資料上傳到公開的GitHub儲存庫，並自我複製，然後將新套件上架到NPM。而且，相關活動仍持續進行。針對這波攻擊，上述資安業者稱為「Shai-Hulud 2.0」或「Sha1-Hulud」。</p> <p><a href="https://www.ithome.com.tw/news/172509"><strong style="font-size: 22px;">俄羅斯駭客利用MSC EvilTwin結合被入侵的網站，企圖散布惡意程式</strong></a></p> <p>今年3月微軟修補微軟管理主控臺（MMC）零時差漏洞CVE-2025-26633（MSC EvilTwin），通報此事的資安業者趨勢科技透露，被稱做EncryptHub、Larva-208、Water Gamayun的俄羅斯駭客組織，將其用於實際攻擊，如今傳出這些駭客持續利用相同的漏洞，從事新一波攻擊。</p> <p>資安業者Zscaler指出，Water Gamayun近期結合入侵合法網站、名稱相似的網域，以及MSC EvilTwin發動攻擊，他們試圖傳送偽裝成PDF檔案的RAR壓縮檔，然後利用漏洞將程式碼注入mmc.exe，然後濫用特定的功能與指令，啟動一系列PowerShell有效酬載，以及最終的惡意軟體載入工具。</p> <p>駭客團體濫用MSC EvilTwin的情況，並非只有上半年，3個月前也出現相關活動，例如資安業者Trustwave今年8月發現，歹徒用於散布竊資軟體Fickle Stealer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Belay-Figure1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Belay-Figure1.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/172491"><strong style="font-size: 22px;">Canon、Mazda美國分公司雙雙被駭入Oracle EBS</strong></a></p> <p>日本影像方案業者佳能（Canon）、車廠馬自達（Mazda）本周分別證實，美國分公司都被Cl0p勒索軟體駭客入侵了Oracle E-Business Suite（EBS），不過，究竟外洩了哪些資料，目前尚無法證實。</p> <p>一般而言，Cl0p在竊取Oracle EBS資訊後，經常會公開或銷售受害組織的資料，但Canon指出，這事件僅影響網頁伺服器，該公司已經採取安全措施，也恢復運作，目前還沒有駭客公開竊得資料。</p> <p>Mazda也證實，美國分公司成為Oracle EBS系統攻擊的目標，但這家日本車廠說，事件並未影響系統運作或工廠生產，而且也無法證實資料已經外洩。</p> <p><a href="https://www.ithome.com.tw/news/172489"><strong style="font-size: 22px;">美國媒體與電信集團Cox通報遭Oracle EBS零時差攻擊，個資外洩近萬人受害</strong></a></p> <p>美國媒體與電信集團Cox Enterprises向多州主管機關通報，旗下使用的企業資源規畫系統Oracle E-Business Suite（EBS）遭零時差弱點攻擊。駭客在2025年8月9日至14日期間利用尚未修補的弱點入侵後端系統，竊取儲存在其中的個人資料。Cox向緬因州檢察長辦公室通報的資料顯示，本次事件共影響9,479名個人，其中包含4名緬因州居民。</p> <p>依Cox向主管機關與受影響對象的說明，公司在9月29日發現Oracle EBS環境出現異常活動，隨後在外部資安團隊協助下展開調查，並於10月31日完成調查，確認未授權第三方曾在8月中旬存取系統並複製含有個人資料的檔案，之後依各州規定完成通報。</p> <p><a href="https://www.ithome.com.tw/news/172492"><strong style="font-size: 22px;">達特茅斯學院通報Oracle EBS資料外洩，影響至少上千人</strong></a></p> <p>美國達特茅斯學院（Dartmouth）Oracle E-Business Suite (EBS) 遭駭客存取，影響至少上千人，並且可能已遭公開敏感資訊，他們近日已向主管機關通報。</p> <p>該校在上個月甲骨文公司公告修補EBS零時差漏洞CVE-2025-61884後，隨即展開調查。近日調查結果出爐，達特茅斯學院判斷在8月9日到12日之間Oracle EBS遭未授權人士存取，10月30日攻擊者竊取了EBS中的個人姓名、社會安全碼，以及銀行帳號資訊。</p> <p>受影響的人數傳出包含1,494名緬因州居民，但學校未提供相關資料。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安事故</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/eternidade-stealer-trojan-brazil/">金融木馬Eternidade Stealer鎖定巴西而來，利用WhatsApp接觸受害者及進行散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/flexibleferret-malware-macos-go/">惡意軟體攻擊活動FlexibleFerret鎖定macOS用戶而來，企圖散布Go語言後門</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/onsolve-codered-cyberattack-disrupts-emergency-alert-systems-nationwide/">風險管理業者Crisis24遭駭，波及美國警消緊急通報系統運作，傳出是勒索軟體INC Ransom所為</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/185034/security/harvard-reports-vishing-breach-exposing-alumni-and-donor-contact-data.html">哈佛大學校友事務系統驚傳外洩，校友與捐款者的個資流出</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/iberia-airlines-supply-chain-data/">伊比利亞航空供應商資料外洩，通知客戶防範網釣</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172487"><strong>【11月26日】開源輕量級遙測工具Fluent Bit存在一系列可被串連的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172464"><strong>【11月25日】中國駭客加入利用WSUS重大漏洞的行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172444"><strong>【11月24日】Salesforce用戶再傳遭供應鏈攻擊，駭客鎖定外掛Gainsight而來</strong></a></p> </div></div></div>
2025/11/27 17:12作者周峻佑https://www.ithome.com.tw/news/172512
俄羅斯駭客利用MSC EvilTwin結合被入侵的網站，企圖散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年3月微軟修補微軟管理主控臺（MMC）零時差漏洞CVE-2025-26633（MSC EvilTwin），<strong><a href="https://www.ithome.com.tw/news/168113">通報此事的資安業者趨勢科技透露</a></strong>，被稱做EncryptHub、Larva-208、Water Gamayun的俄羅斯駭客組織，將其用於實際攻擊，如今傳出這些駭客持續利用相同的漏洞，從事新一波攻擊。</p> <p>資安業者Zscaler指出，<strong><a href="https://www.zscaler.com/br/blogs/security-research/water-gamayun-apt-attack">Water Gamayun近期結合入侵合法網站、名稱相似的網域，以及MSC EvilTwin發動攻擊</a></strong>，他們試圖傳送偽裝成PDF檔案的RAR壓縮檔，然後利用漏洞將程式碼注入mmc.exe，然後濫用特定的功能與指令，啟動一系列PowerShell有效酬載，以及最終的惡意軟體載入工具。</p> <p>Water Gamayun鎖定使用搜尋引擎Bing的用戶而來，當使用者搜尋belay的時候，他們會被導向美國虛擬人力資源服務業者Belay Solutions的網站（belaysolutions[.]com），但攻擊者在網站注入的JavaScript指令碼，會將用戶重新導向另一個網域belaysolutions[.]link，並下載具有PDF檔圖示的Hiring_assistant.pdf.rar。</p> <p>一旦使用者開啟RAR檔案，就會自動解出微軟管理主控臺組態檔案（MSC），使用者若是執行，mmc.exe就會解析MUI資料夾路徑，載入另一個有問題的MSC檔，並以TaskPad命令執行經編碼處理的PowerShell有效酬載，下載公用程式UnRAR[.]exe與另一個受密碼保護的RAR檔，然後進行下個階段的流程。</p> <p>接著，攻擊者執行另一個指令碼來隱藏微軟管理主控臺的視窗，並顯示誘餌PDF檔案，然後經過多次的下載檔案及解壓縮，最終載入惡意程式載入工具iTunesC[.]exe，以便後續安裝後門程式或竊資軟體。不過，由於調查過程C2基礎設施沒有回應，Zscaler無法確認攻擊者最終使用的惡意程式。</p> <p>Water Gamayun濫用MSC EvilTwin的情況，3個月前也出現相關活動。資安業者Trustwave今年8月發現，<strong><a href="https://www.ithome.com.tw/news/170709">歹徒用於散布竊資軟體Fickle Stealer</a></strong>。</p> </div></div></div>
2025/11/27 15:23作者周峻佑https://www.ithome.com.tw/news/172509
ClickFix網釣出現新變種JackFix，假借Windows更新名義引誘使用者上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>要求使用者依照螢幕指示操作，複製命令並貼上執行的網釣攻擊手法ClickFix，後續出現流程完全在瀏覽器進行的變形手法FileFix，如今有歹徒結合覆蓋螢幕畫面的手法，試圖逼迫受害者乖乖就範。</p> <p>資安業者Acronis揭露一種<strong><a href="https://www.acronis.com/en/tru/posts/fake-adult-websites-pop-realistic-windows-update-screen-to-deliver-stealers-via-clickfix/">新型態的ClickFix攻擊活動</a></strong>，歹徒設置假的成人網站引誘用戶上當，然後結合假的Windows更新畫面覆蓋整個螢幕，要求他們依照指示完成「重大安全更新」。假更新的畫面幾可亂真，不僅具備完善的動畫內容，並顯示即時的進度百分比，唯一的差別，是要求使用者必須依照特定的步驟操作，才能真正完成更新。這種新型態的攻擊手法，Acronis稱做JackFix。</p> <p>有別於大部分的ClickFix活動，攻擊者主要透過釣魚郵件接觸受害者，引誘他們存取ClickFix網站，JackFix並未依循這樣的攻擊途徑，使用者先存取攻擊者的網站並進行互動，這些網站才會產生Windows更新的覆蓋畫面，迫使受害者必須依照指示操作。換言之，攻擊者無須事先製造危機感或催促使用者儘速處理，就能得逞。</p> <p>不過，駭客還是要讓使用者知道有這些假成人網站，他們才會掉入陷阱。因此Acronis推測，攻擊者接觸受害者的主要手法，應該是透過販售情趣用品或非法用品的網站惡意廣告，達到目的。</p> <p>駭客架設的假網站，大多是仿冒俄羅斯成人網站xHamster，但也有仿冒PornHub的情況。這些網站有些會顯示裸露的畫面，看起來像是能夠播放的影片，也有要求使用者驗證年齡是否符合的情況，然而它們的目的完全相同：就是引誘使用者點擊網頁。</p> <p>只要使用者點選網頁上的任何元件，或是允許顯示通知的授權許可，瀏覽器就會進入全螢幕模式，然後出現假的Windows更新畫面。為了防止受害者按下Esc、F12，或是其他按鍵掙脫騙局，攻擊者加入額外機制。</p> <p>Acronis根據網站的程式碼進行長期追蹤，他們指出早期程式碼存在俄文註解，代表攻擊者可能來自俄羅斯；再者，部分網站存在已被註解的Flash元件，代表網站可能使用很久以前的範本建置。此外，攻擊者還在註解裡使用一段和平宣言口號，原因不明。</p> <p>而對於攻擊者捏造的假更新網頁，全部以HTML與JavaScript打造而成，並採用大量混淆手法隱藏ClickFix相關程式碼與有效酬載。一旦使用者依照指示複製、貼上指令，電腦就會執行MSHTA有效酬載，並啟動內部的JavaScript指令碼，執行PowerShell指令，然後從外部伺服器擷取PowerShell指令碼，最終到受害電腦植入竊資軟體，其中包括：Rhadamanthys、Vidar 2.0、RedLine，以及Amadey，但也有使用RAT木馬與其他惡意程式的情況。</p> </div></div></div>
2025/11/27 16:42作者周峻佑https://www.ithome.com.tw/news/172511
Nvidia的機器人生成模型Isaac-GR00T含有可惡意操控機器人的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5725" target="_blank">Nvidia上周修補了旗下機器人生成模型Isaac-GR00T中的兩個安全漏洞</a>，分別為CVE-2025-33183與CVE-2025-33184。這兩項漏洞皆存在於Isaac-GR00T的Python元件中，允許駭客注入惡意程式碼，進而操縱機器人的行為。</p> <p>Nvidia在今年5月<a href="https://www.ithome.com.tw/news/169078" target="_blank">正式發表Isaac-GR00T</a>，定位為一組機器人生成式基礎模型家族，可讓機器人學會行為、操作物體、規畫動作與執行控制。它支援零樣本任務學習、模仿學習與運動控制，並可搭配多種模擬環境，方便開發者將模型部署到機器人手臂、自主移動機器人（AMR）或小型家用機器人等設備之上。</p> <p>CVE-2025-33183與CVE-2025-33184皆屬於Python元件的程式碼注入漏洞，成功利用後可能導致程式碼執行、權限擴張、資訊外洩或資料篡改。這意味著駭客能執行任意指令，修改機器人的行為邏輯、關閉安全限制、竄改模型輸入/輸出，甚至直接控制機器人動作。</p> <p>Nvidia表示，這兩項漏洞同時影響Isaac-GR00T與NIM1.5，所有未更新至包含修補程式commit7f53666的版本皆受影響，開發者必須升級至含有該commit的任一分支才能完成修補。</p> </div></div></div>
2025/11/27 15:11作者陳曉莉https://www.ithome.com.tw/news/172506
Azure Local成為主權私有雲核心，微軟同步擴充SAN GPU與大規模部署能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟對<a href="https://azure.microsoft.com/en-us/blog/microsoft-strengthens-sovereign-cloud-capabilities-with-new-services/">主權雲進行多項更新</a>，並<a href="https://techcommunity.microsoft.com/blog/azurearcblog/what%E2%80%99s-new-in-azure-local-cloud-infrastructure-for-distributed-locations-enabled/4469773">明確將Azure Local定位為主權私有雲（Sovereign Private Cloud）的核心基礎設施</a>，開放更大規模叢集部署，並加入外接儲存區域網路（Storage Area Network，SAN）與Nvidia Blackwell架構GPU等能力，鎖定政府與受高度監管產業。</p> <p>過去Azure Local單一叢集最多支援16臺實體伺服器，在更新後可擴展至超過100個節點，運算核心數可達上萬，並以多個整合機架搭配分離式儲存形式提供。整體由Azure Arc控制平面透過Azure入口網站集中管理與監控，讓需要大規模本地部署的組織，在主權私有雲情境下延續與公有雲相同的管理體驗。</p> <p>在儲存架構上，Azure Local新增對外接SAN的預覽支援，允許用戶將既有的Fibre Channel SAN設備直接連接至Azure Local叢集。企業可以在保留原有儲存設備與既有維運流程的前提下，將VM、AKS叢集與Arc 啟用服務放在相同的企業級儲存系統上，並配合各國資料落地與主權要求。</p> <p>微軟在Azure Local導入Nvidia Blackwell架構GPU，用於在主權環境中處理高效能AI推論、模擬與視覺化工作負載，供用戶在單一主權私有雲環境中運行AI模型，讓組織在本地部署架構下也能延續雲端AI運算能力。官方強調，Azure Local是主權私有雲的基礎與核心，組織在自有機房或主權場域中，能同時滿足嚴格的資料落地、連線限制與合規要求，並持續使用Azure的安全與管理功能。</p> <p>微軟同步宣布Microsoft 365 Local正式上線，將Exchange Server、SharePoint Server與Skype for Business Server等協作與通訊服務，以本地形式部署在Azure Local之上，由Azure Arc統一管理部署、更新與安全基準。</p> <p>微軟表示將在2026年初推出Azure Local的離線控制（Disconnected Operations）模式，以滿足部分場域對完全本地化控制平面的要求。屆時用戶可以在不依賴公有雲控制平面的情況下，使用本地控制平面管理多個Azure Local叢集。</p> <p>Azure Local在基礎設施與安全機制上也同步補強，包含新增具機架感知（Rack-aware）的叢集預覽功能與Network Security Group，一方面提升多機架部署的容錯能力，一方面提供一致的網路存取控制模型。另外還加入Local identity with Azure Key Vault與Azure Migrate from VMware to Azure Local，支援在無Active Directory的情境下部署，並提供既有VMware工作負載搬遷到Azure Local的方法。</p> </div></div></div>
2025/11/27 15:43作者李建興https://www.ithome.com.tw/news/172507
惡意Blender模型檔案上架3D模型市集，意圖散布竊資軟體StealC V2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了讓使用者能更容易調整應用程式的組態，許多軟體開發團隊會提供延伸套件機制，其中最常見的就是瀏覽器，也有IDE開發工具提供相關機制。然而，這些機制也成為歹徒下手的目標，他們透過有問題的套件，對使用者散布惡意軟體，如今類似的手法，也出現針對藝術創作者和美術從業人員的情況。</p> <p>資安業者Morphisec揭露<a href="https://www.morphisec.com/blog/morphisec-thwarts-russian-linked-stealc-v2-campaign-targeting-blender-users-via-malicious-blend-files/"><strong>為期超過半年的攻擊行動</strong></a>，俄羅斯駭客試圖散布竊資軟體StealC V2，不過這波活動最特別的地方在於，攻擊者鎖定的對象，是開源3D圖形軟體Blender的用戶，他們在3D模型市集上架有問題的.blend檔案，一旦使用者在電腦開啟，就會執行嵌入的Python指令碼，後續於受害電腦部署StealC V2。而攻擊者散布惡意檔案的管道，其中一個是名為CGTrader的開放市集。對此，Morphisec呼籲，用戶最好停用Blender的自動執行功能，並避免下載來路不明的3D模型檔案，來防範相關威脅。</p> <p>攻擊者接著如何在受害者電腦植入StealC V2？前述的Python指令碼一旦觸發，就會從Cloudflare Worker網域下載PowerShell惡意程式載入工具，該工具將ZIP檔下載至受害電腦，並執行兩個Python指令碼，最終在受害電腦部署StealC V2，以及另一款竊資軟體Blenderx Stealer。</p> <p>針對這次駭客散布的新一代StealC，Morphisec指出駭客於今年4月推出，能針對23種常見的瀏覽器下手，並解密憑證內容，同時，它能從超過100種瀏覽器延伸套件與網頁外掛程式當中，挖掘機敏資料。</p> <p>此外，StealC V2能竊取的軟體相當廣泛，涵蓋電腦版加密貨幣錢包（超過15種）、即時通訊軟體（Telegram、Discord、Tox、Pidgin）、VPN用戶端程式（ProtonVPN、OpenVPN），以及收信軟體（Thunderbird），值得留意的是，此竊資軟體採用了新的機制突破使用者帳號控制（UAC）防護，而且鮮少有防毒引擎將其視為有害。</p> </div></div></div>
2025/11/27 14:18作者周峻佑https://www.ithome.com.tw/news/172503
AI讓市場上的消費記憶體價格創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/samsung-and-sk-join-stargate/?utm_source=chatgpt.com" target="_blank">OpenAI在2025年的10月1日宣布</a><a href="https://www.tomshardware.com/pc-components/dram/openais-stargate-project-to-consume-up-to-40-percent-of-global-dram-output-inks-deal-with-samsung-and-sk-hynix-to-the-tune-of-up-to-900-000-wafers-per-month" target="_blank">與</a>全球兩大記憶體製造商三星及SK結盟，由這兩家業者供應Stargate專案所需的記憶體，然而，市場發現，這兩家業者的產線因大量移至生產AI運算所需的記憶體，擠壓到消費端記憶體，而使得消費記憶體價格不斷上揚，從DRAMeXchange所披露的價格來看，以桌機及筆電最常用的DDR4 8Gb（1Gx8）3200為例，它在今年10月5日的交易時段<a href="https://web.archive.org/web/20251006061705/https://www.dramexchange.com/" target="_blank">平均價格為6.5美元</a>，但今天<a href="https://www.dramexchange.com/" target="_blank">（11/27）已攀升至15.43美元</a>，漲幅高達1.37倍。</p> <p>根據OpenAI、三星及SK的協議，三星與SK承諾要擴大先進記憶體晶片的生產規模，目標是每月開工生產90萬片的DRAM晶圓，加速產能擴張。Tom's Hardware估算，全球每月的DRAM產能約為225萬片，此一合作案等於將占用全球40%的DRAM產能。</p> <p>三星與SK為全球前兩大記憶體製造商，依照<a href="https://www.dramexchange.com/WeeklyResearch/Post/2/12534.html" target="_blank">DRAMeXchange今年第三季的調查</a>，SK該季創下137.5億美元的營收（市占率33.2%），三星則是135億美元（32.6%），美光以106.5億美元（25.7%）位居第三。DRAM工廠的產能是共用的，近一年來，由於3家廠商相繼將產能轉向利潤更高、AI運算架構所需的高頻寬記憶體（HBM），使得一般消費性DRAM（如DDR5、LPDDR）產能遭到擠壓，也推升了PC與手機記憶體的成本。</p> <p>專門報導AI新聞的<a href="https://www.implicator.ai/the-great-ram-raid-how-one-ai-deal-broke-the-consumer-memory-market/" target="_blank">Implicator.ai列出了</a>不同品牌記憶體在今年8月與11月的價格，顯示就算是應該已供過於求的DDR 4，價格也都漲了一倍有餘。</p> <p>DRAMeXchange母公司<a href="https://www.dramexchange.com/WeeklyResearch/Post/2/12524.html" target="_blank">Trendforce預測</a>，記憶體價格的飆升將拖累消費性市場，迫使品牌業者調漲零售價格，因而下修2026年全球智慧型手機及筆電的出貨預測，估計2026年手機出貨量將比今年減少2%，低於先前增加0.1%的預估，筆電出貨量則會下滑2.4%，遠不如之前估計的成長1.7%。</p> <p>Trendforce也認為，記憶體價格成本的上升將率先衝擊入門級智慧型手機，另一方面，若筆電品牌業者選擇將成本轉嫁給消費者，筆電平均價格可能上漲5~15%。</p> </div></div></div>
2025/11/27 14:45作者陳曉莉https://www.ithome.com.tw/news/172505
大規模蠕蟲攻擊Sha1-Hulud再掀波瀾，影響逾1千個NPM套件與2.7萬個GitHub儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年9月，NPM儲存庫發生<strong><a href="https://www.ithome.com.tw/news/171263">大規模供應鏈攻擊Shai-Hulud</a></strong>，攻擊者兩天內在超過500個套件植入蠕蟲，如今類似的供應鏈攻擊活動再度出現，引起多家資安業者提出警告。</p> <p>11月24日多達9家資安業者不約而同提出警告，分別是：<strong><a href="https://www.aikido.dev/blog/shai-hulud-strikes-again-hitting-zapier-ensdomains">Aikido</a></strong>、<strong><a href="https://helixguard.ai/blog/malicious-sha1hulud-2025-11-24">HelixGuard</a></strong>、<strong><a href="https://research.jfrog.com/post/shai-hulud-the-second-coming/">JFrog</a></strong>、<strong><a href="https://www.koi.ai/incident/live-updates-sha1-hulud-the-second-coming-hundred-npm-packages-compromised">Koi Security</a></strong>、<strong><a href="https://www.reversinglabs.com/blog/new-shai-hulud-worm-spreads-what-to-know">ReversingLabs</a></strong>、<strong><a href="https://safedep.io/shai-hulud-second-coming-supply-chain-attack/">SafeDep</a></strong>、<strong><a href="https://socket.dev/blog/shai-hulud-strikes-again-v2">Socket</a></strong>、<strong><a href="https://www.stepsecurity.io/blog/sha1-hulud-the-second-coming-zapier-ens-domains-and-other-prominent-npm-packages-compromised">Step Security</a></strong>，以及<strong><a href="https://www.wiz.io/blog/shai-hulud-2-0-ongoing-supply-chain-attack">Wiz</a></strong>，他們偵測到新一波的Shai-Hulud蠕蟲攻擊活動，攻擊者在11月21至23日之間，上傳超過1,000個NPM套件、感染2.7萬個GitHub儲存庫，本次事故影響Zapier、ENS Domains、PostHog，以及Postman等熱門套件。</p> <p>這些蠕蟲套件不僅在NPM套件庫自我複製，一旦使用者部署到開發環境，此惡意程式就會在Windows、Linux，以及macOS開發環境裡快速擴散，利用掃描工具TruffleHog挖掘曝露的機敏資料，包含AWS、GCP，以及Azure的雲端帳密，並濫用本機快取的憑證，透過API搜刮AWS Secrets Manager與Google Cloud存放的身分憑證，然後，該蠕蟲會將找到的資料上傳到公開的GitHub儲存庫，並自我複製，然後將新套件上架到NPM。而且，相關活動仍持續進行。針對這波攻擊，上述資安業者稱為「Shai-Hulud 2.0」或「Sha1-Hulud」。</p> <p>這次與兩個月前的活動存在顯著差異，例如，惡意NPM套件在執行的過程裡，會安裝名為bun的工具，並用來執行真正的惡意程式碼；再者，惡意套件會根據竊得資料，產生隨機名稱的儲存庫，而且，本次的惡意套件會一口氣感染100個NPM套件，是上一波攻擊行動的5倍。值得留意的是，若是惡意套件無法通過GitHub或是NPM的身分驗證流程，就會抹除受害電腦使用者資料夾的所有檔案。</p> <p>對於這起事故的影響範圍，有資安業者透露更多訊息，並持續追蹤後續發展，Wiz指出，受影響的GitHub使用者人數接近500名，其中他們確認曝露的機密資料，包含775個GitHub存取權杖（Token）、373個AWS憑證、300個GCP憑證，以及115個Azure憑證。</p> <p>可怕的是，這波攻擊還不斷加速，目前每半小時就會產生1,000個儲存庫，此外，受害者還會在自己帳號看到他人的資料，即使GitHub已採取行動，撤銷權限、將惡意儲存庫設為不公開，並發出通知來回應，由於遭竊憑證跨帳號廣泛散布，許多受害組織仍持續曝露，截至世界協調時間（UTC）11月26日上午9時，仍有數百個企業組織受到影響。</p> <p>儘管這波攻擊是針對NPM生態圈而來，然而，後續出現波及其他軟體開發生態圈的情況。Socket指出，他們在11月25日，發現Maven Central套件庫也出現類似特徵的惡意套件org.mvnpm：posthog-node：4.18.1，當中嵌入以bun為基礎的有效酬載，以及惡意程式載入工具。這代表PostHog專案的NPM與Maven生態系統，同時被Sha1-Hulud滲透，PostHog與Maven Central皆已介入處理。</p> </div></div></div>
2025/11/27 12:21作者周峻佑https://www.ithome.com.tw/news/172494
達特茅斯學院通報Oracle EBS資料外洩影響至少上千人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國達特茅斯學院（Dartmouth）Oracle E-Business Suite (EBS) 遭駭客存取，影響至少上千人，並且可能已遭公開敏感資訊。</p> <p><a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/ce67c791-f72f-415a-91fa-b7ba563ca747.html" target="_blank">達特茅斯學院本周向主管機關通報</a>，Oracle EBS資料外洩事件。</p> <p>該校在上個月<a href="https://www.ithome.com.tw/news/171654" target="_blank">甲骨文公司公告修補EBS零時差漏洞CVE-2025-61884</a>後，達特茅斯也展開調查。該校近日完成調查，判斷在8月9日到12日之間Oracle EBS遭未授權人士存取。分析存取的檔案，達特茅斯學院於10月30日判斷包含攻擊者竊取了EBS中的個人姓名、社會安全碼以及銀行帳號資訊。</p> <p>受影響的個人包含1,494名緬因州居民，但學校未提供受影響總人數。</p> <p><a href="https://www.securityweek.com/dartmouth-college-confirms-data-theft-in-oracle-hack/" target="_blank">SecurityWeek報導</a>，攻擊並外洩Oracle EBS資料的Cl0p駭客，迄今在網站宣稱已駭入100多家家組織，並且公開了其中近半組織的資訊，包括達特茅斯學院。報導指出，駭客已洩露該校約226 Gb的資料。</p> <p>這也是最新一家被竊取Oracle EBS資料外洩的大學院校。SecurityWeek報導，其他受害學校還包括哈佛大學、南伊利諾州大學及杜蘭大學（Tulane University）。</p> <p>美國媒體與電信集團<a href="https://www.ithome.com.tw/news/172489" target="_blank">Cox Enterprises也在本周</a>向緬因州檢政府通報資料外洩事件，影響近萬名個人。</p> <p>日本影像大廠Canon及車廠Mazda也證實遭受Oracle EBS攻擊，但未證實是否有資料外洩。</p> </div></div></div>
2025/11/27 10:24作者林妍溱https://www.ithome.com.tw/news/172492
歐洲議會呼籲統一AI聊天機器人與社交媒體的最低使用年齡為16歲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐洲議會（European Parliament）周三（11/26）以483票贊成、92票反對與86票棄權，<a href="https://www.europarl.europa.eu/news/en/press-room/20251120IPR31496/children-should-be-at-least-16-to-access-social-media-say-meps" target="_blank">通過一項有關未成年人上網的報告</a>，呼籲歐盟應該建立統一的最低數位年齡，要滿16歲才能使用社交媒體、影音分享平臺及AI陪伴型聊天機器人，而13~16歲則可在家長同意下使用。</p> <p>歐洲議會雖為歐盟的立法機構之一，負責審查、修改與通過歐盟法令，但它不能自己提出法令，必須等歐盟執委會（European Commission，EC）提案後再共同立法。因此，此次的報告是議會透過政治聲明的方式來塑造立法方向，以期影響之後真正的立法內容，也可迫使大型平臺提前調整政策。</p> <p>除了建議將16歲作為使用社群媒體及AI聊天機器人的最低年齡限制之外，該報告也點名多項最具傷害性的成癮設計，例如無限捲動、自動播放、下拉刷新與獎勵迴圈，並主張對未成年人預設關閉這些功能；亦準備利用即將推出的《數位公平法》（Digital Fairness Act）來打擊各種說服性科技，包括精準廣告、網紅行銷、成癮性設計，以及故意引導用戶不想做的事之暗黑模式等。</p> <p>另也將保護未成年免於商業剝削，禁止平臺提供金錢誘因予兒童網紅；以及禁止以「互動量為基礎」（停留時間、按讚與分享）的推薦演算法，以避免未成年人上癮。</p> <p>根據歐盟的研究，有97%的青少年每天上網；13~17歲的青少年有78%至少每小時查看一次裝置；1/4的未成年人呈現「問題性」或「功能失調」的手機使用行為，其模式與成癮相似。另一個歐盟民調Eurobarometer則顯示，超過9成的歐洲人認為保護兒童上網是迫切議題、擔心社交媒體對心理健康的負面影響、擔心網路霸凌，以及應有效限制未成年人接觸不適齡的內容。</p> <p>其實絕大部分社交平臺都設有最低使用年齡限制，由於美國的《兒童網路隱私保護法》（COPPA）禁止網站在未取得父母同意下，蒐集13歲以下兒童的個資，因些這些平臺多將限制設在13歲。然而，歐盟想要將它提高到16歲，也希望能夠禁止網站各種剝削兒童或青少年的行為。</p> <p>來自丹麥的報告負責人Christel Schaldemose表示，這些措施將大幅提升兒童的線上保護標準，歐盟正在畫下界線，讓平臺知道它們的服務並不是為兒童所設計的，這場實驗到此為止。</p> </div></div></div>
2025/11/27 10:53作者陳曉莉https://www.ithome.com.tw/news/172493
Canon、Mazda美國分公司雙雙被駭入Oracle EBS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本影像方案業者<a href="https://www.securityweek.com/canon-says-subsidiary-impacted-by-oracle-ebs-hack/" target="_blank">佳能（Canon）</a>、車廠<a href="https://www.securityweek.com/mazda-says-no-data-leakage-or-operational-impact-from-oracle-hack/" target="_blank">馬自達（Mazda）</a>本周分別證實美國分公司都被Cl0p勒索軟體駭客入侵了Oracle E-Business Suite，但外洩了哪些資料尚無法證實。</p> <p>雖然這個駭客組織在竊取Oracle EBS資訊後，經常會公開或銷售受害組織的資料，但Canon指出，這事件僅影響網頁伺服器，該公司已經採取安全措施，也恢復運作。目前還沒有駭客公開Canon公司資料。</p> <p>Mazda也證實，美國分公司成為Oracle EBS系統攻擊的目標，但這家日本車廠說，事件並未影響系統運作或工產生產，而且也無法證實資料已經外洩。</p> <p>另一方面，Mazda歐洲分公司也強調，雖然該公司偵測到「攻擊跡象」，但其防護措施生效，因而阻止了任何系統影響或資料外洩。兩家公司都表示會持續監控資料外洩。</p> <p><a href="https://www.ithome.com.tw/news/141348" target="_blank">Canon於2020年7月也曾遭勒索軟體攻擊</a>，導致檔案伺服器上的資訊，包括員工個資外洩。</p> <p>美國媒體與電信集團<a href="https://www.ithome.com.tw/news/172489" target="_blank">Cox Enterprises向州檢政府通報資料外洩事件</a>，影響近萬名個人。Cox也名列Cl0p駭客10月底公開的Oracle EBS事件受害者清單。<a href="https://www.ithome.com.tw/news/172489" target="_blank">媒體估計</a>，在EBS漏洞濫用事件中，Cox可能被竊取1.6TB資料。</p> <p>Cl0p駭客組織迄今在其張貼外洩資料的網站，已公佈100多家其成功入侵Oracle EBS的受害企業。</p> </div></div></div>
2025/11/27 08:46作者林妍溱https://www.ithome.com.tw/news/172491
【資安日報】11月26日，開源輕量級遙測工具Fluent Bit存在一系列可被串連的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172484"><strong style="font-size: 22px;">開源輕量級遙測工具Fluent Bit存在一系列漏洞，攻擊者恐串連並接管雲端基礎設施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69242352e40fa95666fb925c_Screenshot 2025-11-24 at 11_15_24 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69242352e40fa95666fb925c_Screenshot%202025-11-24%20at%2011_15_24%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Oligo Security公布輕量級遙測代理程式Fluent Bit一系列漏洞，並指出這些漏洞若不處理，攻擊者有機會串連起來，用於接管雲端基礎設施。</p> <p>這些漏洞被登記為CVE-2025-12969、CVE-2025-12970、CVE-2025-12972、CVE-2025-12977，以及CVE-2025-12978，CVSS風險評分介於5.3至9.1，攻擊者有機會用來繞過身分驗證、進行路徑遍歷活動、遠端執行任意程式碼（RCE）、造成服務中斷（DoS），以及操弄標籤（Tag），從而中斷雲端服務、竄改資料，以及深入存取雲端環境與Kubernetes基礎設施，同時，他們也能一併接管事件記錄服務。值得留意的是，其中的CVE-2025-12972存在超過8年，代表這段期間推出的Fluent Bit，都存在相同的資安弱點。</p> <p>對此，Oligo Security與AWS進行合作，並透過Fluent Bit專案，於10月8日發布更新版本4.1.1修補。Oligo Security也確認11月12日發布的4.2版，以及10月12日推出的4.0.12版，修補了相同的漏洞。不過，Google Cloud與微軟Azure並未發布相關公告。</p> <p><a href="https://www.ithome.com.tw/news/172478"><strong style="font-size: 22px;">身分驗證管理平臺Oracle Identity Manager重大漏洞傳出在修補前疑似遭到利用</strong></a></p> <p>今年10月，Oracle在2025年第三季例行更新（Critical Patch Update）當中，修補重大層級的CVE-2025-61757，此弱點出現在身分管理工具Oracle Identity Manager，為預先授權造成的遠端程式碼執行（RCE）漏洞，CVSS風險評分達到9.8分（滿分10分），近期有研究人員表示，該漏洞疑似在Oracle修補前已遭利用。由於先前公布的E-Business Suite（EBS）資安漏洞CVE-2025-61882、CVE-2025-61884，已出現許多災情，這樣的消息也格外引起資安圈高度關注。</p> <p>11月20日，通報此事的資安業者Searchlight Cyber發布部落格文章公布漏洞細節，並指出與年初Oracle Cloud遭到入侵的事故有關，由於該雲端服務同時執行Oracle Access Manager與Oracle Identity Manager，Searchlight Cyber發現新漏洞CVE-2025-61757也能用於入侵Oracle Cloud。此外，相較於Oracle Access Manager先前被利用的漏洞，CVE-2025-61757複雜程度較低，容易遭到利用。</p> <p>同日SANS發布另一篇部落格文章，指出Searchlight Cyber找到的漏洞，在Oracle於10月21日發布修補程式之前，疑似就遭到利用。他們在8月30日至9月9日，看到有人試圖利用，攻擊者透過3個IP位址發動攻擊，由於所有的使用者字串（User Agent）都相同，因此SANS認為，可能是同個攻擊者所為。</p> <p><a href="https://www.ithome.com.tw/news/172475"><strong style="font-size: 22px;">大規模掃描鎖定Palo Alto Networks旗下SSL VPN平臺而來，5天出現230萬次活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5A4nu0Efh1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5A4nu0Efh1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者GreyNoise近日提出警告，Palo Alto Networks旗下的SSL VPN平臺GlobalProtect疑似遭鎖定，自11月14日出現掃描活動急劇增加的情況，在一天內爆增40倍，創下近3個月的新高，他們在14至19日，偵測到230萬次針對GlobalProtect登入網頁的URI連線。這些攻擊流量有62%來自德國，另有15%來自加拿大，攻擊範圍涵蓋美國、墨西哥，以及巴基斯坦。</p> <p>值得留意的是，GreyNoise根據攻擊者的特徵（指紋）、基礎設施，以及時間相關性等證據，指出先前發動相關攻擊的駭客組織，似乎也參與這次的大規模掃描活動。</p> <p>針對這樣的情況，我們也透過公關公司詢問Palo Alto Networks，該公司今天表示，確保客戶安全始終是首要任務。此次通報的掃描行為，不構成對該公司環境的威脅或入侵。由此看來，Palo Alto Networks並未否認GreyNoise發現大規模掃描的活動，代表IT人員仍要提高警覺，嚴加防範攻擊者試圖尋找下手目標的現象。</p> <p><a href="https://www.ithome.com.tw/news/172275"><strong style="font-size: 22px;">攻擊手法EchoGram可翻轉AI模型防護，危及大型語言模型輸出安全</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EchoGram_Diagram.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EchoGram_Diagram.jpg" style="width: 300px; float: right;" /></a></p> <p>AI資安業者HiddenLayer指出，該公司發現並命名了一項名為EchoGram的攻擊技術，可翻轉AI防護模型的判斷，進而危及大型語言模型的安全性。</p> <p>研究人員解釋，包括GPT-4、Claude與Gemini等主流大型語言模型的防護欄主要依賴兩種機制：一是文字分類模型，根據使用者輸入文字判斷是否含有惡意或違規內容；二是LLM-as-a-Judge，由另一個大型語言模型充當審查者，分析提示是否應被主模型執行。兩者雖設計不同，但訓練方式高度相似，皆仰賴良性與惡意提示的標註資料集。研究團隊正是利用此一共通弱點，設計出EchoGram，找出能混淆AI防護模型判斷的小字串，使模型誤判。</p> <p>EchoGram可導致兩種破壞性後果：一是攻擊防護系統，使惡意指令成功通過安全檢測；二是製造大量假警報，使安全團隊陷入誤報浪潮，進而削弱信任度。</p> <p><a href="https://www.ithome.com.tw/news/172267"><strong style="font-size: 22px;">蘋果宣布推出數位ID，未來出示iPhone即可在美國國內機場進行身分驗證</strong></a></p> <p>蘋果宣布正式推出數位ID（Digital ID），可讓使用者在Apple Wallet建立數位化護照，未來出示iPhone和Apple Watch，就能用於美國國內航班身分驗證。</p> <p>數位ID未來會先以Beta版推出，將為美國250多個機場的美國運輸安全管理署（Transportation Security Administration，TSA）的驗照點接受，用作美國國內航班的身分驗證。蘋果預告，未來也會增加數位ID的使用情境。</p> <p>蘋果是在今年6月公布iOS 26、macOS Taohe 26，以及watchOS 26時，首度介紹數位ID。這項技術是實作REAL ID標準，和蘋果之前宣佈的Apple Wallet身分證件（如駕照、州身分證）技術（稱為ID in Wallet）一樣，是利用iPhone及Apple Watch內建的隱私與安全功能建置而成。</p> <p><a href="https://www.ithome.com.tw/news/172203"><strong style="font-size: 22px;">Google推出Private AI Compute，在雲端提供裝置端等級的隱私運算</strong></a></p> <p>Google推出了Private AI Compute，在雲端建立受保護的執行環境，使Gemini大型模型能在隔離環境中處理敏感資料，並維持與裝置端接近的隱私標準，如同蘋果Apple Intelligence所使用的Private Cloud Compute。</p> <p>Google解釋，AI正在變得更有用、更個人化，也更主動。它不再只是完成指令，而是能預先推測使用者的需求，在適當的時間給出個人化建議，或代替使用者處理任務。這種能力的提升，需要更進階的推理與大量運算，有時已超出裝置端所能負擔。這使得Google必須把推理放至雲端，但又不能將資料曝露給Google或工程師，Private AI Compute應運而生。</p> <p>Private AI Compute的核心目標是讓雲端大型Gemini模型能夠處理高度敏感的個人資料，但資料只屬於使用者，Google也無法存取；此外，雲端資料在被模型短暫推理之後就會立即銷毀。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安新聞</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-blender-model-files-deliver-stealc-infostealing-malware/">惡意Blender模型檔案上架3D模型市集，意圖散布竊資軟體StealC V2</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/jackfix-uses-fake-windows-update-pop.html">ClickFix網釣出現新變種JackFix，假借Windows更新名義引誘使用者上當</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/radzarat-spyware-hijack-android-devices/">間諜軟體Razda偽裝成檔案管理工具，意圖挾持安卓裝置</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/prettier-extension-vscode-marketplace-anivia-stealer/">冒牌Prettier延伸套件現身VS Code市集，對開發人員散布竊資軟體Anivia Stealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/palo-alto-networks-to-acquire-observability-platform-chronosphere-in-3-35-billion-deal/">Palo Alto Networks斥資33.5億美元，宣布買下監測平臺供應商Chronosphere</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172464"><strong>【11月25日】中國駭客加入利用WSUS重大漏洞的行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172444"><strong>【11月24日】Salesforce用戶再傳遭供應鏈攻擊，駭客鎖定外掛Gainsight而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172398"><strong>【11月21日】中國駭客APT24入侵臺灣一家數位行銷業者，藉此進行供應鏈攻擊</strong></a></p> </div></div></div>
2025/11/26 17:43作者周峻佑https://www.ithome.com.tw/news/172487
Google新IDE Antigravity遭曝預設建議設定可被濫用外洩.env憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者PromptArmor<a href="https://www.promptarmor.com/resources/google-antigravity-exfiltrates-data">指出</a>，Google新推出的代理型IDE Antigravity，在預設建議設定下，開發者只要把看似正常的整合教學文件交給Gemini協助分析，就可能在完全沒有察覺的情況下，讓本機程式碼與.env內的雲端憑證被自動收集並送往攻擊者控制的網站。</p> <p>Antigravity是一套建立在VS Code之上的新IDE，強調由多個AI代理跨編輯器、終端機與瀏覽器三個介面協同工作，開發者只需描述功能，便可由代理自動編寫程式碼、執行測試與在瀏覽器中驗證結果。</p> <p>研究人員示範，在預設情境下，開發者只要讓Gemini閱讀看似正常的線上整合指南，就可能讓代理在未經察覺的情況下受到隱藏提示內容影響。Gemini在解析該頁面後，被誤導將本機程式碼與.env中的憑證視為整合需求的一部分，並在背景流程中將相關資訊傳送至攻擊者控制的外部服務。整個外洩過程透過代理自動化機制完成，使用者不會看到警示或異常操作。</p> <p>值得注意的是，該憑證外洩並非來自錯誤設定。研究人員指出，在Antigravity預設安全設定下，Gemini本應受限於Agent Gitignore Access為關閉狀態與.gitignore規則，無法直接讀取.env，但在遭提示注入操控後，代理改以終端機指令讀取.env內容，繞過內建檔案讀取API的限制。</p> <p>另有資安研究人員Johann Rehberger<a href="https://embracethered.com/blog/posts/2025/security-keeps-google-antigravity-grounded/">撰文揭露</a>Antigravity多項風險，其中兩項與憑證外洩相關，一是結合read_file與read_url_content工具，在模型被惡意指令誤導時，先讀取開發者的.env，再由read_url_content向攻擊者指定的網址送出內容。另一個則是透過Markdown插入圖像，由IDE在背後載入帶有查詢參數的圖片URL，把.env裡的秘密當成HTTP請求的一部分送出，兩者同樣都能在沒有人工確認的情況下完成。</p> <p>而這些問題也非全新漏洞，Johann Rehberger指出，相關議題早在今年5月針對Windsurf提出詳細通報，Antigravity作為基於Windsurf程式碼的新產品，卻在11月正式釋出時仍帶著相同風險上線。</p> <p>Google則是在Antigravity的啟用畫面與相關說明中寫明，這套IDE在現階段仍可能受到提示注入影響，進而導致資料外洩或非預期指令執行等風險。換句話說，官方的做法是事先提醒風險存在，實際操作時的憑證與程式碼保護仍需由使用者自行負責。</p> <p>Google也在Bug Hunters平臺<a href="https://bughunters.google.com/learn/invalid-reports/google-products/4655949258227712/antigravity-known-issues">公開Antigravity的已知問題</a>，將資料外洩與指令執行列為既有風險，並說明代理在讀取檔案或建立Markdown時要是遭惡意內容影響，可能不自主外送檔案內容，且終端機在自動執行設定下也可能被引導執行指令。Google表示正著手修補，但同時將相關通報視為重複案件，不提供漏洞獎勵。</p> </div></div></div>
2025/11/26 19:05作者李建興https://www.ithome.com.tw/news/172486
美國媒體與電信集團Cox通報遭Oracle EBS零時差攻擊，個資外洩近萬人受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國媒體與電信集團Cox Enterprises向多州主管機關通報，旗下使用的企業資源規畫系統Oracle E-Business Suite（Oracle EBS）遭零時差弱點攻擊。駭客在2025年8月9日至14日期間利用尚未修補的弱點入侵後端系統，竊取儲存在其中的個人資料。<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/314b7585-15e4-4574-b102-6593275436d2.html">Cox向緬因州檢察長辦公室通報的資料顯示</a>，本次事件共影響9,479名個人，其中包含4名緬因州居民。</p> <p>依Cox向主管機關與受影響對象的說明，公司在9月29日發現Oracle EBS環境出現異常活動，隨後在外部資安團隊協助下展開調查，並於10月31日完成調查，確認未授權第三方曾在8月中旬存取系統並複製含有個人資料的檔案，之後依各州規定完成通報。</p> <p>Google Threat Intelligence與Mandiant在10月發布的技術分析指出，一個與Cl0p勒索軟體陣營相關的金錢導向威脅團體，自8月9日起便系統性掃描並鎖定Oracle EBS客戶，利用被追蹤為CVE-2025-61882的遠端程式碼執行零時差弱點，在Oracle釋出緊急修補前，已成功入侵多家機構。Oracle其後發布修補程式，要求仍在支援版本的Oracle EBS客戶儘速套用更新。</p> <p>Cox在公開聲明中並未直接點名攻擊者，但<a href="https://www.bleepingcomputer.com/news/security/cox-enterprises-discloses-oracle-e-business-suite-data-breach/">外媒BleepingComputer指出</a>，勒索軟體集團Cl0p在10月27日將Cox加入其資料洩漏網站，並在站上公布聲稱來自Cox系統竊得的資料。另一家<a href="https://www.securityweek.com/cox-confirms-oracle-ebs-hack-as-cybercriminals-name-100-alleged-victims/">外媒SecurityWeek則根據該洩漏站內容</a>，評估遭公開的資料總量超過1.6 Tb。不過這個數字仍有賴Cox內部清查，才能確認實際資料量。</p> <p>至於被存取的資訊，通報內容顯示屬於個人識別資料，至少包含當事人的姓名，並搭配其他可識別個人的欄位。由於提供給主管機關的公開範本中多數敏感欄位已被刪節，目前尚無法確定受影響對象是員工、客戶或合作夥伴，也未透露涉及的具體業務範圍。</p> <p>Cox在發現可疑活動後已立即套用Oracle提供的修補程式，並由第三方資安專家協助全面檢視Oracle EBS與相關系統，同時將事件通報執法機關。依各州通報紀錄與多家律師事務所整理，Cox為受影響個人提供由IDX承作的免費信用監控與身分盜用防護服務，期間一年，內容包括信用報告監控與可疑活動告警等。</p> <p><a href="https://cloud.google.com/blog/topics/threat-intelligence/oracle-ebusiness-suite-zero-day-exploitation/">Google與Mandiant先前評估</a>，Oracle EBS零時差攻擊已波及數十家以上組織。Cl0p勒索集團洩漏站上，被列為Oracle EBS受害者的企業橫跨科技、醫療、製造、汽車、零售與媒體等產業。</p> </div></div></div>
2025/11/26 19:07作者李建興https://www.ithome.com.tw/news/172489
開源輕量級遙測工具Fluent Bit存在一系列漏洞，攻擊者恐串連並接管雲端基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Oligo Security公布輕量級遙測代理程式Fluent Bit<strong><a href="http://www.oligo.security/blog/critical-vulnerabilities-in-fluent-bit-expose-cloud-environments-to-remote-takeover">一系列漏洞</a></strong>，並指出這些漏洞若不處理，攻擊者有機會串連起來，用於接管雲端基礎設施。</p> <p>這些漏洞被登記為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-12969">CVE-2025-12969</a></strong>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-12970"><strong>CVE-2025-12970</strong></a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-12972"><strong>CVE-2025-12972</strong></a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-12977"><strong>CVE-2025-12977</strong></a>，以及<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-12978"><strong>CVE-2025-12978</strong></a>，CVSS風險評分介於5.3至9.1，攻擊者有機會用來繞過身分驗證、進行路徑遍歷活動、遠端執行任意程式碼（RCE）、造成服務中斷（DoS），以及操弄標籤（Tag），從而中斷雲端服務、竄改資料，以及深入存取雲端環境與Kubernetes基礎設施，同時，他們也能一併接管事件記錄服務。值得留意的是，其中的CVE-2025-12972存在超過8年，代表這段期間推出的Fluent Bit，都存在相同的資安弱點。</p> <p>Fluent Bit是開源的遙測代理工具，廣泛用於收集、處理，以及轉發事件記錄資料，開發人員將其部署在數十億個容器當中，總部署次數超過150億，光是在一週內就有逾400萬次拉取。此工具遍布於AI實驗室、銀行、汽車製造商，以及AWS、Google Cloud、微軟Azure等主要雲端服務環境。Oligo Security找到的這些漏洞，攻擊者不僅能深入雲端環境，透過Fluent Bit執行惡意程式碼，還能決定記錄的事件內容，刪除或竄改資料來隱藏攻擊痕跡，甚至植入假的遙測資料與假事件，來誤導資安人員。</p> <p>對此，Oligo Security與AWS進行合作，並透過Fluent Bit專案，於10月8日發布更新版本<a href="https://fluentbit.io/announcements/v4.1.1/">4.1.1</a>修補。Oligo Security也確認11月12日發布的4.2版，以及10月12日推出的4.0.12版，修補了相同的漏洞。不過，Google Cloud與微軟Azure並未發布相關公告。</p> <p>根據CVSS風險評分，最嚴重的是CVE-2025-12977，此問題出現使用者控制的欄位當中的衍生標籤，可繞過清理的流程，導致攻擊者能注入換行或是路徑遍歷，並有可能控制字元，破壞下游的事件記錄，或是進行更廣泛的輸出攻擊，CVSS風險評為9.1分。</p> <p>另一個危險程度較高的是CVE-2025-12970，此為Docker輸入造成的記憶體堆疊緩衝區溢位漏洞，攻擊者可導致Fluent Bit當機，或是藉由建立名稱極長的容器來執行程式碼，甚至能越過Fluent Bit控制主機，風險值為8.8。</p> <p>特別的是，上述漏洞的CVE編號，並非Oligo Security與AWS登記，而是卡內基美隆大學電腦網路危機處理暨協調中心（CERT/CC）所為。CERT/CC<strong><a href="https://kb.cert.org/vuls/id/761751">也發布資安公告</a></strong>，指出攻擊者需要Fluent Bit的網路存取權限，才能利用這些漏洞。</p> </div></div></div>
2025/11/26 16:10作者周峻佑https://www.ithome.com.tw/news/172484
高通發表Snapdragon 8 Gen 5行動平臺，AI效能提升46%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>高通(Qualcomm)今天(11/26)發表新的Snapdragon 8 Gen 5行動平臺，採用3奈米製程，內建Oryon CPU，並搭配Hexagon NPU，相較於Snapdragon 8 Gen 3平臺，其AI效能提升46%。</p> <p>Snapdragon 8系列行動平臺主要定位在高階手機市場，高通近幾年不斷在高階手機行動平臺搭載NPU，以實現裝置端的AI應用，例如提供個人化AI助理體驗，透過裝置端學習及感測，對手機使用操作，透過多模態AI以理解用戶的使用需求。</p> <p>高通在今年9月甫發表的Snapdragon 8 Elite Gen 5，主要鎖定的是高效能、手機玩家市場，時隔不到3個月的時間，高通發表新的Snapdragon 8 Gen 5行動平臺，定位為次旗艦手機市場，將部分旗艦級手機的功能下放至次旗艦市場，以吸引消費者。</p> <p>在最新發表的Snapdragon 8 Gen 5行動平臺上，高通強調可為手機用戶擴展新的手機使用體驗，其所採用的NPU，AI效能提升46%，結合高通的Sensing Hub技術，整合麥克風及感測器輸入，當偵測到使用者拿起手機，喚醒代理式AI助理，偵測判斷使用者說話意圖，透過高通的AI引擎，根據情境與使用者互動，並提供個人化的建議，形塑裝置上的智慧體驗。</p> <p>另外，Snapdragon 8 Gen 5平臺採用的Oryon CPU，時脈最高可達到3.8GHz，CPU功耗降低42%，效能提升36%，更高的效能改善裝置的使用體驗，高通以網頁瀏覽回應速度為例，相較於Gen 3平臺可帶來76%的提升。處理效能的提升，能夠更順暢的執行多工處理、更快的反應速度。</p> <p>Gen 5平臺在GPU方面，採用切片式架構的Adreno GPU，提高時脈速度，效能提升11%，提高多執行緒處理效能，在遊戲上最高支援165FPS，功耗上則降低28%。Gen 5的整體系統單晶片功耗降低13%。</p> <p>高通預告在接下來幾周，Vivo、Motorola等手機品牌採用Snapdragon 8 Gen 5的產品將會陸續上市。</p> </div></div></div>
2025/11/26 16:40作者蘇文彬https://www.ithome.com.tw/news/172485
捨棄神經網路，Google改用線性迴歸精準預測電動車充電樁狀態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google研究團隊在替電動車駕駛設計充電路線規畫時，放棄神經網路與較複雜的模型，改<a href="https://research.google/blog/reducing-ev-range-anxiety-how-a-simple-ai-model-predicts-port-availability/">採線性迴歸預測電動車充電樁未來的可用狀態</a>。該輕量模型專門處理一個實際問題，也就是從現在起經過一段時間，駕駛抵達特定充電站時，是否有機會找到至少一個可用充電樁，藉此降低里程焦慮與現場排隊的不確定感。</p> <p>在電動車愈來愈普及的情況下，單純擴建實體充電站已不足以消除駕駛的不安，如何在既有充電基礎下提高使用效率成為重要議題。Google把充電站資訊直接納入導航，依據電池電量與目的地安排行程，並透過模型估算短時間內各站可用狀態，讓系統在建議路線時避開較可能到站沒位子的時間與站點。</p> <p>模型的核心特徵是一日當中的小時，系統將每一個小時視為不同特徵，由訓練過程學得對應權重，反映該時段充電樁占用率的平均變化趨勢。權重為正，代表該時段樁位傾向逐漸被占用，可用樁數減少，而權重為負，則代表樁位普遍在釋出，接近零則多數情況下狀態變化不大，也就是說，模型等於在不同時段學會現在空位數與未來空位數之間的變化率，而非重建完整且複雜的排隊行為。</p> <p>研究人員指出，線性迴歸模型只會在充電樁變化最明顯的時段，才會給出與維持現狀（Keep Current State）不同的預測，而不是一律假設未來狀態等於現在，主要包含早晚尖峰時段與具備較多樁位的大型站點。尖峰時段的車流與大型站點的進出量都較大，空位數變化更明顯，因此系統選擇在這些時候更新預測，讓結果更貼近駕駛實際會遇到的情況。</p> <p>模型訓練使用來自加州與德國的充電樁即時資料，並在多座站點進行驗證。Google以維持現狀作為基準，比較線性迴歸模型在30到60分鐘預測時窗內，能否更準確判斷駕駛抵達時是否會有至少一個可用充電樁。</p> <p>實驗結果顯示，在至少有6個樁位的大型站點，且處於占用變化率最高的時段，例如早上8點與晚上8點，導入線性迴歸模型後，錯誤預測比例在早上尖峰約可降低20％，在晚上尖峰約可降低40％，實際減少駕駛在擁擠時段撲空的機率。</p> </div></div></div>
2025/11/26 15:25作者李建興https://www.ithome.com.tw/news/172477
Warner Music Group與AI音樂新創Suno和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼上周與AI音樂新創<a href="https://www.wmg.com/news/warner-music-group-and-udio-collaborate-to-build-a-new-licensed-music-creation-service" target="_blank">Udio和解</a>之後，華納音樂集團（Warner Music Group，WMG）本周再度<a href="https://www.wmg.com/news/warner-music-group-and-suno-forge-groundbreaking-partnership" target="_blank">宣布與另一家AI音樂新創Suno達成和解</a>，<a href="https://www.ithome.com.tw/news/163638" target="_blank">解決彼此之間的訴訟糾紛</a>。不管是Udio或Suno都承諾要以取得授權的音樂來訓練模型，皆預計新模型會在2026年上線。Suno還承諾要收購及經營WMG的現場音樂及演唱會發現平臺Songkick。</p> <p>Suno為全球最大的AI音樂創作平臺，使用者只要輸入文字提示即可生成完整歌曲，包含旋律、編曲及歌聲，迄今全球用戶數已突破1億，其v5模型被視為市面上最強的音樂生成模型之一。目前提供每天可生成10首歌的免費方案，月付10美元、每月可生成500首歌的Pro方案，以及每月30美元、約可生成2,000首歌的Premier方案。</p> <p>透過Suno免費生成的音樂不能商用，下載音質較一般；Pro及Premier方案皆可商用，也能下載較高音質版本。</p> <p>如同大型語言模型受到內容出版商的撻伐一樣，大型音樂模型同樣受到唱片出版商的施壓，而陸續走向取得授權的道路。</p> <p>根據WMG與Suno的協議，Suno將採用高品質的授權音樂來打造新一代的Suno模型；也會推出與WMG旗下藝人有關的服務，這些藝人可選擇授權Suno使用其姓名、圖像、肖像及聲音，讓使用者用來創作全新的AI生成音樂，同時也替藝人開闢新的財源。</p> <p>Suno也將買下並持續經營WMG旗下的現場音樂及演唱會發現平臺Songkick，以用來凝聚全球歌迷，強化歌迷及藝人之間的連結。此外，<a href="https://suno.com/blog/wmg-partnership" target="_blank">未來Suno將取消免費方案的下載功能</a>，只允許付費用戶下載所生成的音樂。</p> <p><a href="https://suno.com/blog/series-c-announcement" target="_blank">Suno甫於上周完成2.5億美元的C輪融資</a>，完成後的估值為24.5億美元，Nvidia旗下的創投NVentures亦參與了此一交易。</p> </div></div></div>
2025/11/26 15:43作者陳曉莉https://www.ithome.com.tw/news/172483
BNPL業者Klarna發表美元穩定幣KlarnaUSD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>以提供「先買後付」（Buy Now Pay Later，BNPL）聞名的金融科技業者<a href="https://www.klarna.com/international/press/klarna-launches-klarnausd-as-stablecoin-transactions-hit-usd27-trillion/" target="_blank">Klarna周二（11/25）宣布</a>，將透過Bridge的Open Issuance平臺，於Tempo區塊鏈上發行與美元掛鉤的穩定幣KlarnaUSD，預計於2026年上線，進一步強化與Stripe的合作關係。</p> <p>Klarna在2005年創立於瑞典，在當地持有銀行執照，為歐洲規模最大的金融科技業者之一，以BNPL起家，亦提供分期付款、支付處理、數位銀行及電子錢包等服務，在2025年9月<a href="https://www.ithome.com.tw/news/171127" target="_blank">登上了美國紐約股市</a>。</p> <p>至於不管是Bridge或Tempo都與Stripe有關。2010年創立的Stripe是全球最重要的金融科技基礎建設平臺之一，近年來大幅布局加密金融、數位錢包及穩定幣支付；<a href="https://www.ithome.com.tw/news/165607" target="_blank">Stripe在2024年10月</a>以11億美元買下了穩定幣基礎設施業者Bridge，在2025年9月與加密投資機構Paradigm共同發表Tempo區塊鏈，以開發專為支付及穩定幣結算而打造的Layer-1公鏈。且在此次的合作之前，Klarna在全球26個市場都是採用Stripe支付架構。</p> <p>Tempo的主網仍在測試中，而Bridge則是在今年9月底發表Open Issuance平臺，供任何企業發行及管理自己的穩定幣。<a href="https://www.bridge.xyz/blog" target="_blank">Bridge表示</a>，企業在擁有自家穩定幣之後，即可控制產品體驗，也能自由鑄造與銷毀，還能獲得儲備所帶來的收益。使用Open Issuance的企業可接入共享流動性網路，降低成本並快速上市，不再仰賴少數既有發行商。</p> <p>這是因為諸如USDT（Tether發行）及USDC（Circle發行）等知名的、與美元掛鉤的穩定幣，都存放了數千億美元的儲備金，當中有許多投放在美國短期國債，利息即由Tether與Circle獲得；Bridge即宣稱，企業自行發行穩定幣，就能自行管理儲備金並取得收益，或是回饋給用戶。</p> <p>根據市場研究機構<a href="https://www.mckinsey.com/industries/financial-services/our-insights/the-stable-door-opens-how-tokenized-cash-enables-next-gen-payments?utm_source=chatgpt.com" target="_blank">McKinsey的估計</a>，穩定幣的年度交易量已突破27兆美元，很可能在本世代結束之前超越傳統支付網路。</p> <p>另一方面，Klarna也將成為首家於Tempo發行穩定幣的業者。Klarna表示，跨境支付每年約產生1,200億美元的手續費，藉由穩定幣將可大幅降低消費者與商家的成本。</p> <p>Klarna共同創辦人暨執行長Sebastian Siemiatkowski指出，Klarna擁有1.14億名客戶及1,180億美元的年交易金額，具備了改變全球支付的規模，結合Klarna與Tempo的基礎設施，可望挑戰傳統網路，讓支付更快且更便宜，同時這也是Klarna踩進加密貨幣領域的開端，期待與Stripe及Tempo共同塑造支付的未來。</p> </div></div></div>
2025/11/26 15:07作者陳曉莉https://www.ithome.com.tw/news/172482
大規模掃描鎖定Palo Alto Networks旗下SSL VPN平臺而來，5天出現230萬次活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來SSL VPN系統成為駭客入侵企業組織的主要管道，因此，若是出現鎖定這類系統執行大規模掃描的情況，可能代表歹徒正在尋找下手目標，企業組織應特別留意並嚴加防範。</p> <p>資安業者GreyNoise近日提出警告，Palo Alto Networks旗下的SSL VPN平臺GlobalProtect疑似遭鎖定，<a href="https://www.greynoise.io/blog/palo-alto-scanning-surges-90-day-high"><strong>自11月14日出現掃描活動急劇增加的情況</strong></a>，在一天內爆增40倍，創下近3個月的新高，他們在14至19日，偵測到230萬次針對GlobalProtect登入網頁的URI連線。這些攻擊流量有62%來自德國，另有15%來自加拿大，攻擊範圍涵蓋美國、墨西哥，以及巴基斯坦。</p> <p>值得留意的是，GreyNoise根據攻擊者的特徵（指紋）、基礎設施，以及時間相關性等證據，指出先前發動相關攻擊的駭客組織，似乎也參與這次的大規模掃描活動。</p> <p>針對這樣的情況，Palo Alto Networks<a href="https://www.bleepingcomputer.com/news/security/globalprotect-vpn-portals-probed-with-23-million-scan-sessions/"><strong>向資安新聞網站Bleeping Computer提出說明</strong></a>，他們根據GreyNoise的調查結果，確認目前尚未出現遭到入侵的跡象，該公司也透過Cortex XSIAM平臺提供防護，確保他們的基礎設施安全。</p> <p>回顧過去，今年已出現兩波針對GlobalProtect大規模掃描的活動，最近一次<a href="https://www.ithome.com.tw/news/171541"><strong>出現在10月上旬</strong></a>，攻擊者鎖定PAN-OS已知漏洞CVE-2024-3400（CVSS風險評分為10分），兩天內活動增加近5倍；另一起<a href="https://www.ithome.com.tw/news/168288"><strong>發生在半年前</strong></a>，當時GreyNoise在一個月內，看到近2.4萬個來源IP位址試圖存取GlobalProtect。</p> </div></div></div>
2025/11/26 11:36作者周峻佑https://www.ithome.com.tw/news/172475
身分驗證管理平臺Oracle Identity Manager重大漏洞傳出在修補前疑似遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年10月，Oracle在<strong><a href="https://www.oracle.com/security-alerts/cpuoct2025.html">2025年第三季例行更新（Critical Patch Update）</a></strong>當中，修補重大層級的CVE-2025-61757，此弱點出現在身分管理工具Oracle Identity Manager，為預先授權造成的遠端程式碼執行（RCE）漏洞，CVSS風險評分達到9.8分（滿分10分），近期有研究人員表示，該漏洞疑似在Oracle修補前已遭利用。由於先前公布的E-Business Suite（EBS）資安漏洞CVE-2025-61882、CVE-2025-61884，已出現許多災情，這樣的消息也格外引起資安圈高度關注。</p> <p>11月20日，通報此事的資安業者Searchlight Cyber<a href="https://slcyber.io/research-center/breaking-oracles-identity-manager-pre-auth-rce/"><strong>發布部落格文章</strong></a>公布漏洞細節，並指出與<strong><a href="https://www.ithome.com.tw/news/168074">年初Oracle Cloud遭到入侵的事故</a></strong>有關，由於該雲端服務同時執行Oracle Access Manager與Oracle Identity Manager，Searchlight Cyber發現新漏洞CVE-2025-61757也能用於入侵Oracle Cloud。此外，相較於Oracle Access Manager先前被利用的漏洞，CVE-2025-61757複雜程度較低，容易遭到利用。</p> <p>同日SANS發布另一篇部落格文章，指出Searchlight Cyber找到的漏洞，在Oracle於10月21日發布修補程式之前，疑似就遭到利用。<strong><a href="https://isc.sans.edu/diary/rss/32506">他們在8月30日至9月9日，看到有人試圖利用</a></strong>，攻擊者透過3個IP位址發動攻擊，由於所有的使用者字串（User Agent）都相同，因此SANS認為，可能是同個攻擊者所為。</p> <p>雖然SANS並未截取到完整的請求內容，但他們指出所有的請求都是透過POST指令進行，根據標頭資料，有效酬載大小為566位元組。</p> <p>附帶一提的是，這些IP位址曾被用於掃描數位體驗平臺Liferay的資安漏洞CVE-2025-4581，以及試圖滲透Log4j，這些活動疑似與漏洞懸賞有關。</p> <p>後續Searchlight Cyber<strong><a href="https://www.securityweek.com/cisa-confirms-exploitation-of-recent-oracle-identity-manager-vulnerability/">向資安新聞網站SecurityWeek表示</a></strong>，這是他們的研究活動過程當中，進行的初步掃描。雖然SANS發現的攻擊活動似乎來自Searchlight Cyber的調查，不過，美國網路安全暨基礎設施安全局（CISA）於11月21日，<a href="https://www.cisa.gov/news-events/alerts/2025/11/21/cisa-adds-one-known-exploited-vulnerability-catalog"><strong>將CVE-2025-61757加入已遭利用的漏洞列表（KEV）</strong></a>，並要求聯邦機構於12月12日完成修補。</p> </div></div></div>
2025/11/26 12:56作者周峻佑https://www.ithome.com.tw/news/172478
Meta有意向Google購買晶片，Nvidia回應了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theinformation.com/articles/google-encroaches-nvidias-turf-new-ai-chip-push" target="_blank"> The Information日前報導</a>，Meta正式與Google協商，打算斥資數十億美元購買Google所開發的張量處理單元（Tensor Processing Unit，TPU）。不管是Meta或Google都沒有回應此事，但<a href="https://x.com/nvidianewsroom/status/1993364210948936055c" target="_blank">Nvidia回應了</a>，表示對Google的成功感到很開心，同時強調Nvidia領先該產業一個世代，仍是唯一一個能在所有運算環境中，完整支援並運行各種AI模型的平臺。</p> <p>GPU原本為加速3D繪圖而設計，其平行運算架構非常適合矩陣運算；Nvidia在2006年推出CUDA，首度讓研究人員能夠以GPU進行科學與機器學習運算；深度卷積網路AlexNet在2012年的圖片分類挑戰賽ImageNet中，使用了兩張Nvidia GPU進行訓練，大幅降低了錯誤率，此後深度學習模型普遍依賴GPU進行訓練與推論。</p> <p>CUDA開啟了GPU的通用運算時代，隨著AI模型規模自2016年開始快速成長，GPU逐漸面臨成本及擴展性瓶頸，市場開始發展專為AI運算設計的加速器，TPU即是Google自2015年針對AI加速所開發的客製化晶片，最初用來支援搜尋及翻譯等內部服務，2016年正式對外公開，並應用在Google Cloud上。</p> <p>其它還包括AWS替AI訓練及推論所開發的Trainium與Inferentia晶片，微軟自行設計的AI加速器Maia 100，Meta開發的MTIA ，且AMD及Intel也相繼搭上了AI列車。</p> <p>上個月AI新創<a href="https://www.ithome.com.tw/news/171862" target="_blank">Anthropic便宣布</a>要大幅擴充使用Google Cloud的TPU，計畫取得多達100萬顆TPU的使用權，並於2026年啟用超過1GW算力，估計合作金額達數百億美元。</p> <p>根據報導，Meta也打算自2027年起於自家資料中心採用Google TPU，但會先於明年租用Google Cloud的TPU。市場分析則認為，若Meta與Google真能達成協議，TPU將更有機會成為Nvidia晶片的替代方案。</p> <p>消息一出，Google母公司Alphabet股價連日上漲，從上周五（11/21）收盤時的299.65美元，漲到周二（11/25）的323.64美元。反之Nvidia周二股價下滑了2.59%，跌至177.82美元。</p> <p>Nvidia則在聲明中表示，Google在AI領域取得長足進展，他們對Google的成功感到開心；Nvidia領先業界一個世代，是唯一能在所有運算環境中完整支援並運行各種AI模型的平臺。相較於僅針對特定AI框架或功能設計的各式ASIC，Nvidia提供更高的效能、多功能性與更強的彈性。Nvidia並強調，將持續向Google提供產品與服務。</p> <p>另一方面，<a href="https://www.wsj.com/tech/ai/meta-is-in-talks-to-use-googles-chips-in-challenge-to-nvidia-be390a51" target="_blank">Google發言人則向華爾街日報（WSJ）表示</a>，市場對Nvidia GPU及TPU的需求都在上升，該公司將同時支援兩者。</p> </div></div></div>
2025/11/26 14:15作者陳曉莉https://www.ithome.com.tw/news/172480
微軟開放Fara-7B小型代理模型，能在本機端自動操作網頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟發表開放權重模型<a href="https://www.microsoft.com/en-us/research/blog/fara-7b-an-efficient-agentic-model-for-computer-use/">Fara-7B</a>，這是一款電腦使用（Computer Use）代理模型，主打以約70億參數規模就能在個人裝置上自動操作真實網頁。官方表示，此Fara-7B模型為研究性質，建議在沙箱環境中實驗，避免涉及高度敏感資料或高風險網域。</p> <p>Fara-7B被設計成電腦使用代理，會直接讀取瀏覽器視窗截圖，推論下一步應該把滑鼠移到哪裡點擊、何時捲動頁面、在哪個欄位輸入文字，其不依賴無障礙樹（Accessibility Tree）等額外結構化資訊，而是盡量模擬一般使用者的實際操作方式。微軟預期，開發者可用Fara-7B協助填寫線上表單、搜尋與整理資訊、比價購物、訂票或管理雲端服務帳號，但前提是有人類監看與覆核，不是完全放手交給代理。</p> <p>在模型設計上，Fara-7B以多模態基礎模型Qwen2.5-VL-7B為底，支援長內容輸入，再透過監督式微調，讓模型學會在觀察畫面、思考下一步與下達行動的流程中完成任務。每一步推理時，Fara-7B會綜合使用者指令、過去行動歷史與最近三張瀏覽器截圖，先產生內部思考，再輸出一次工具呼叫，對應瀏覽器自動化框架Playwright的滑鼠與鍵盤動作，或web_search、visit_url等瀏覽巨集。</p> <p>微軟以WebVoyager、Online-Mind2Web、DeepShop以及新提出的WebTailBench等基準，與其他電腦使用代理與大型模型代理比較。官方資料顯示，在WebVoyager與WebTailBench上，Fara-7B的任務成功率不僅優於同樣基於Qwen2.5-VL-7B的UI-TARS-1.5-7B，也具備與OpenAI電腦使用預覽版等系統競爭的水準。由於Fara-7B平均完成任務所需步數較少，也就代表較少的運算，在成本更能取得優勢。</p> <p>Fara-7B在執行任務時，只處理瀏覽器截圖、使用者任務指示與代理自身的動作歷史，不額外存取網站內部結構資料，強調只收集完成任務所需的最小資訊，而所有代理行為會完整記錄，方便事後稽核與回溯。</p> <p>訓練資料也加入安全相關案例與應該拒絕的任務，並以WebTailBench-Refusals測試顯示模型對紅隊情境具有明顯拒絕能力。微軟同時在訓練過程中強調關鍵情境，例如輸入個資或進行付款等不可逆操作時，代理必須停下來向使用者確認，將最終決定權留給人類。</p> <p>目前Fara-7B已整合進Magentic-UI研究原型，開發者可在受控介面中觀察代理如何一步步操作網頁，也能透過Microsoft Foundry、Hugging Face或VS Code的AI Toolkit下載模型，實際測試本機電腦使用代理。</p> </div></div></div>
2025/11/26 00:07作者李建興https://www.ithome.com.tw/news/172463
Chromium團隊決定重啟JPEG XL解碼支援開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Chromium團隊在官方郵件論壇與問題追蹤系統，重新啟動對JPEG XL影像格式的支援工作。Google首席軟體開發工程師同時也是Chrome區域技術負責人的Rick Byers，在blink開發郵件列表上<a href="https://issues.chromium.org/issues/40168998">表示</a>，基於各瀏覽器與標準組織的最新發展，Chromium歡迎社群貢獻效能良好且記憶體安全的JPEG XL解碼器，只要能取得長期維護承諾並通過一般新功能上線準則，未來就會在Chrome預設支援JPEG XL。</p> <p>JPEG XL由JPEG工作小組制定，國際標準編號為ISO/IEC 18181，屬於新一代靜態影像編碼格式，同時支援有失真與無失真壓縮，支援廣色域與高動態範圍影像，也能有效轉碼既有JPEG檔案，在畫質與檔案大小之間提供比傳統JPEG更好的折衷，被視為取代JPEG的候選格式之一。</p> <p>在移除實驗支援並觀察幾年後，Rick Byers在blink開發郵件中更新立場，他指出，自上次評估以來，Safari已在Safari 17正式支援JPEG XL，Firefox也更新了標準立場，再加上Chromium議題中的按讚數、互通性提案與開發者調查結果，以及PDF將採用JPEG XL，Chrome架構領導團隊因此決定歡迎整合JPEG XL解碼器的貢獻。</p> <p>配合這項表態，先前被歸類為不再處理的Chromium追蹤議題，<a href="https://issues.chromium.org/issues/40168998">已重新開啟並指派負責工程師</a>。Chromium開發者也在討論中提到，已有整合Rust實作jxl-rs的程式碼變更送交審查，目標是在維持記憶體安全的前提下提供足夠效能與完整解碼能力。</p> <p>目前Chromium正式版仍尚未提供JPEG XL解碼，時程也取決於解碼器品質、效能與維護承諾是否符合要求。短期內，跨瀏覽器部署仍會仰賴WebP、AVIF與JPEG等多格式並行，不過隨著<a href="https://caniuse.com/jpegxl">Safari 17已內建支援JPEG XL，Firefox Nightly等測試版也能透過設定啟用JPEG XL</a>，再加上PDF規格決定採用，Chromium這次重啟支援的決定，讓JPEG XL再度成為主流網頁影像格式生態中的重要選項。</p> </div></div></div>
2025/11/26 00:10作者李建興https://www.ithome.com.tw/news/172467
【資安日報】11月25日，中國駭客加入利用WSUS重大漏洞的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一個月前，微軟罕見對例行更新（Patch Tuesday）公布的資安漏洞CVE-2025-59287提出警告，呼籲IT人員要儘速套用他們提供的緊急修補程式，若無法即時更新，最好停用Windows Server Update Services（WSUS）服務來因應。這種不尋常的狀況，後續有多家資安業者察覺，該漏洞已被用於攻擊行動，本週有資安業者揭露新的發現，警告中國駭客也加入漏洞利用的行列，WSUS伺服器將曝露更大的風險之中。</p> <p>美國房地產融資暨IT服務供應商SitusAMC遭到入侵的事故，也是本週資安消息的焦點，由於該公司的客戶涵蓋美國數十家主要銀行，有當地媒體取得知情人士的說法，指出這些銀行的客戶也可能面臨資料外洩的情況。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172448"><strong style="font-size: 22px;">中國駭客加入利用WSUS重大漏洞的行列，以此散布ShadowPad</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/yRAtGwQLpINwMep5QJkdmSl744EVTnCqKYiw1tOX.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/yRAtGwQLpINwMep5QJkdmSl744EVTnCqKYiw1tOX.png" style="width: 300px; float: right;" /></a></p> <p>微軟於10月例行更新（Patch Tuesday）當中，針對Windows Server Update Services（WSUS）修補重大漏洞CVE-2025-59287，後續於10月下旬傳出已被用於攻擊行動，如今再度有駭客加入漏洞利用的行列。</p> <p>資安業者AhnLab指出，研究人員於10月22日公開此漏洞的概念驗證程式碼（PoC），隨即發現中國APT駭客將漏洞用於部署惡意程式ShadowPad的活動。攻擊者在執行WSUS服務的主機上，疑似透過名為PowerCat的公用程式，成功利用漏洞取得CMD的Shell存取權限。得逞後，他們在11月6日重複利用相同的漏洞，執行curl.exe和certutil.exe，最終於伺服器部署了ShadowPad。</p> <p>CVE-2025-59287為遠端程式碼執行（RCE）漏洞，影響啟用WSUS服務的Windows Server，一旦攻擊者成功利用，就有機會在未經身分驗證的情況下，於特定序列化機制觸發不安全的反序列化行為，而能遠端執行任何程式碼，CVSS風險評分達到9.8（滿分10分），罕見的是，微軟於10月23日及24日發布緊急更新，呼籲IT人員儘速套用因應。</p> <p><a href="https://www.ithome.com.tw/news/172449"><strong style="font-size: 22px;">美國房地產融資暨IT服務供應商SitusAMC遭駭，主要銀行客戶資料恐外流</strong></a></p> <p>鎖定軟體服務供應商，進而竊取下游客戶資料的事故越來越常出現，近半年有鎖定應用程式Salesloft Drift與Gainsight的攻擊行動，導致這些用戶的雲端CRM系統Salesforce遭入侵，現在有專門服務金融業者的廠商遭駭，傳出有可能導致主要銀行的客戶資料外流的情況。</p> <p>11月22日美國房地產融資暨科技服務業者SitusAMC發布公告，他們在11月12日發生資安事故，導致特定系統的部分資料外洩，其中包含與客戶和SitusAMC之間的特定資料，例如：會計記錄與法律合約。此外，他們用戶的客戶，也有部分資料受到影響。對此，SitusAMC協同第三方顧問，著手調查事故性質與影響範圍，並通報執法機關。SitusAMC強調，他們的業務運作不受到影響，系統未遭到惡意程式加密。</p> <p>SitusAMC是專為大型銀行及房地產放款機構提供後端服務的公司，提供商業及住宅房地產融資服務，負責在銀行與投資人進行抵押、貸款發放，以及合規等多種層面，進行後端流程的處理。由於摩根大通、花旗銀行、摩根士丹利，以及許多美國主要銀行都是SitusAMC客戶，上述公告的內容，讓人不禁聯想，這些金融機構的特定客戶資料，也可能隨之外流。</p> <p><a href="https://www.ithome.com.tw/news/172460"><strong style="font-size: 22px;">DeepSeek-R1處理帶有中國政治敏感詞彙的AI提示，會導致生成的程式碼漏洞風險增加43％</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog-DeepSeek-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog-DeepSeek-5.png" style="width: 300px; float: right;" /></a></p> <p>中國打造的應用程式暗中收集個資與回傳資料，不時傳出，甚至曾出現疑似言論審查導致資料遭刪除的情形，而這樣的議題也延續到時下熱門的AI系統，有資安業者指出，他們發現中國的AI模型若是遇到政治敏感的提示內容，生成程式碼存在嚴重漏洞的情況，也會顯著增加。</p> <p>資安業者CrowdStrike針對中國大型語言模型DeepSeek-R1進行測試，結果發現，雖然在許多情況下，此模型產生的程式碼品質能與許多領導品牌的大型語言模型相當，然而，一旦使用者的提示涉及中國政府敏感的政治議題，DeepSeek-R1產生帶有嚴重資安弱點的程式碼，機率就會顯著增加，最多會達到約50%。</p> <p>由於時下開發人員九成已導入AI工具，這種AI程式碼助理存在的微妙漏洞，只要能接觸到高價值原始碼，就有機會造成強烈影響。有別於大多資安研究聚焦在越獄，讓AI模型提供能用於犯罪的工具配方及程式碼，或是針對中國製AI模型的部分，調查因政府言論審查造成回應偏頗的現象，這是首度有資安業者發現，言論審查有可能會影響開發安全。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=171119&SPOKE_DATE=20251124&COMPANY_ID=4949"><strong style="font-size: 22px;">半導體精密零件與太陽能模組製造商有成精密遭遇勒索軟體攻擊</strong></a></p> <p></p> <p>11月24日製造半導體精密零件與太陽能模組的上市公司有成精密，於股市公開觀測站發布資安重訊，指出有不明人士入侵，並將伺服器的資料加密或刪除，導致系統無法使用，該公司表示，對營運、資訊安全，以及個資等，無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/cisa-warns-of-active-spyware-campaigns.html">美國警告商業間諜軟體與RAT木馬鎖定WhatsApp與Signal用戶而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/second-sha1-hulud-wave-affects-25000.html">大規模NPM惡意套件攻擊行動Sha1-Hulud引起多家資安業者警告，2.5萬個儲存庫受到波及</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/tuoni-c2-framework/">美國大型房地產業者遭鎖定，歹徒利用惡意框架Tuoni C2於記憶體內載入有效酬載</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/matrix-push-c2/">惡意框架Matrix Push C2用於無檔案惡意軟體攻擊，駭客鎖定電腦瀏覽器下手</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172462"><strong style="font-size: 22px;">LINE全程加密通訊存在弱點，可被用於訊息重送、表情符號洩露、假冒用戶</strong></a></p> <p>在臺灣、日本、泰國，以及印尼受到廣泛使用的即時通訊軟體LINE，有研究人員針對專屬的全程加密（E2EE）機制Letter Sealing v2進行分析，結果發現，此機制存在嚴重弱點，恐導致數十億筆訊息外洩或是遭到濫用的情況。</p> <p>根據資安新聞網站Dark Reading報導，奧胡斯大學研究員Thomas Mogensen與Diego De Freitas Aranha揭露多個重大弱點，主要可被用於3種型態的攻擊，分別是：訊息重放攻擊、貼圖與網址預覽造成的明文洩露，以及冒充用戶的攻擊行動。為驗證上述發現，他們也在iOS裝置對LINE應用程式發動中間人攻擊（MitM）。兩名研究員將於12月11日，針對這項議題於歐洲黑帽大會（Black Hat Europe 2025）進行相關演說。</p> <p>由於LINE在臺用戶數達到2200萬，滲透率高達93%，使用者平均每天開啟應用程式多達14次，且有五成為重度使用者，平均每人會加入60個官方帳號，涵蓋零售電商、教育、媒體，以及餐飲等產業，是臺灣最具生活黏著度的通訊平臺，因此相關的資安弱點，在臺灣造成的影響，將會極為廣泛。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172444"><strong>【11月24日】Salesforce用戶再傳遭供應鏈攻擊，駭客鎖定外掛Gainsight而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172398"><strong>【11月21日】中國駭客APT24入侵臺灣一家數位行銷業者，藉此進行供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172369"><strong>【11月20日】華碩路由器成ORB網路的綁架目標，臺灣是主要目標</strong></a></p> </div></div></div>
2025/11/25 18:26作者周峻佑https://www.ithome.com.tw/news/172464
LINE全程加密通訊存在弱點，可被用於訊息重送、表情符號洩露、假冒用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在臺灣、日本、泰國，以及印尼受到廣泛使用的即時通訊軟體LINE，有研究人員針對專屬的全程加密（E2EE）機制Letter Sealing v2進行分析，結果發現，此機制存在嚴重弱點，恐導致數十億筆訊息外洩或是遭到濫用的情況。</p> <p>根據資安新聞網站Dark Reading報導，奧胡斯大學研究員Thomas Mogensen與Diego De Freitas Aranha<strong><a href="https://www.darkreading.com/application-security/line-messaging-bugs-asian-cyber-espionage">揭露多個重大弱點</a></strong>，主要可被用於3種型態的攻擊，分別是：訊息重放攻擊、貼圖與網址預覽造成的明文洩露，以及冒充用戶的攻擊行動。為驗證上述發現，他們也在iOS裝置對LINE應用程式發動中間人攻擊（MitM）。兩名研究員將於12月11日，針對這項議題<strong><a href="https://blackhat.com/eu-25/briefings/schedule/#line-break-cryptanalysis-and-reverse-engineering-of-letter-sealing-49039">於歐洲黑帽大會（Black Hat Europe 2025）進行相關演說</a></strong>。</p> <p>由於LINE<strong><a href="https://www.linecorp.com/tw/pr/news/2024/1217/">在臺用戶數達到2200萬</a></strong>，<strong><a href="https://www.linecorp.com/tw/pr/news/2025/1125/">滲透率高達93%</a></strong>，使用者平均每天開啟應用程式多達14次，且有五成為重度使用者，平均每人會加入60個官方帳號，涵蓋零售電商、教育、媒體，以及餐飲等產業，是臺灣最具生活黏著度的通訊平臺，因此相關的資安弱點，在臺灣造成的影響，將會極為廣泛。</p> <p>究竟研究人員發現那些弱點？首先，他們發現Letter Sealing v2的通訊協定採用無狀態（stateless）的設計，使得攻擊者能透過惡意伺服器，在任何時間重送已經存在的加密訊息，而有機會誤導對話內容的意義。Mogensen對此進一步說明，這樣的弱點能讓攻擊者在一週甚至是一年後，重送特定的訊息，儘管惡意伺服器無法掌握訊息的實際內容，然而，只要能夠重新傳送曾發出的加密訊息（ciphertext），可能造成對話內容混淆，並導致特定用戶洩露敏感資料。</p> <p>再者，他們發現LINE的貼圖系統與網址預覽機制，也有可能造成明文資料外洩。一般而言，使用者在LINE輸入訊息的過程裡，應用程式會提示可用的貼圖，而這個機制是透過本機的字典比對而得，然而該字典會檢查裝置上是否有這些貼圖，並下載到電腦或行動裝置。所以實際上，用戶輸入的文字還是會傳送到LINE的伺服器，並進行貼圖的傳遞；另一方面，用戶若是想要傳送連結，LINE就會顯示預覽內容，這代表伺服器也同樣會掌握完整的網址，假若網址帶有會議ID、密碼，或是憑證，就有可能隨之曝險。</p> <p>最後、最危急的資安缺陷在於，是攻擊者能透過惡意伺服器及特定內容，加入任意聊天室冒充任何成員，不過，研究人員並未透露更多細節。</p> <p>值得留意的是，研究人員向LINE通報相關發現，並得到確認，不過LINE目前僅提供有限的緩解措施，部分甚至沒有處理的計畫。針對這樣的現象，Aranha認為，根本問題在於LINE自行打造專屬加密通訊協定，這在密碼學是大忌，原因是開發人員在試圖著手打造的過程，往往會重現許多已知問題。他特別提及，特定國家的政府很可能會試圖利用LINE的資安弱點，危害臺灣用戶的安全。</p> </div></div></div>
2025/11/25 17:49作者周峻佑https://www.ithome.com.tw/news/172462
Line Pay電子支付服務12月3日上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國內知名行動支付Line Pay將正式進軍電子支付市場，預告將於12月3日正式推出電子支付服務LINE Pay Money，將挾廣大Line用戶群進軍電子支付市場。</p> <p>今年初Line Pay營運公司連加網路董事會通過籌設子公司，並向金管會申請電子支付專營機構，今年7月獲得金管會通過，連加網路設立子公司連加電子支付，於取得營業執照後6個月內營業，本周預告將會於12月3日正式推出電子支付服務Line Pay Money。</p> <p>Line Pay指出，連加電子支付的LINE Pay Money正式上線後，用戶只要將App更新為最新版本(15.18.1)，LINE Pay App需更新至4.9.0版以上，上線日就能開通成為LINE Pay Money電子支付會員，在一站的環境下，使用儲值、轉帳、支付、乘車、繳費等功能。</p> <p>由於目前Line Pay是與一卡通合作，用戶使用的是一卡通iPASS Money電支服務，未來Line Pay自己的電支服務上線後，用戶必需額外申請開通LINE Pay Money服務，預計12月3日下午3點上線開通服務，用戶便能以身分證件(非本國人可以居留證)，並且通過金融服務驗證(銀行帳戶或信用卡)後，正式開通成為LINE Pay Money帳戶會員。</p> <p>初期提供的電支服務，包括Line用戶熟悉的好友轉帳功能，可以在Line好友或是聊天室即時線上轉帳、發送紅包；另外，用戶可以為連結的銀行帳戶儲值，並且用於消費，其他還有使用LINE Pay Money帳戶支付水電、瓦斯、停車等生活費用。</p> <p>Line Pay也預告未來可以乘車碼搭乘捷運等交通工具。</p> <p>Line Pay到今年底之前仍與一卡通合作，年底之前用戶仍可使用Line Pay的一卡通iPASS Money電支服務，但是在12月3日LINE Pay Money正式上線後，Line Pay錢包將會同時提供一卡通iPASS Money與LINE Pay Money兩種電支服務，直到了2026年1月1日起，Line Pay錢包僅剩下自家電支服務LINE Pay Money。</p> <p>在12月3日到12月31日期間，用戶在LINE Pay上登入iPASS Money帳戶後，仍能查詢餘額、提領、好友轉帳、瀏覽帳戶紀錄功能，但是不再提供新帳戶註冊、儲值、交易、生活繳費等服務。</p> <p>鑑於2026年1月1日起，Line Pay不再提供iPASS Money服務，Line Pay建議用戶進行轉換，要注意的是，用戶原本在iPASS Money帳戶的餘額，如果想將錢轉移到LINE Pay Money帳戶，可以如同轉帳，輸入機構代碼387，以及電支帳戶號碼，如為綁定手機號碼，可直接輸入手機號碼，將錢轉移到LINE Pay Money帳戶。</p> <p>Line Pay強調LINE Pay Money上線後，所有轉帳、儲值、支付等功能不變，服務也會無縫接軌，由於為自家電子支付服務，支付的流程體驗將更順暢，用戶仍能使用Line轉帳的便利性，例如日常使用的好友轉帳功能。</p> <p>Line Pay自家電子支付服務上線後，預告未來將整合Line生態圈，強調提供用戶更一致的體驗，例如Line Point累點及使用點數，整合Line Pay的行銷優惠活動。用戶未來若開通LINE Pay Money帳戶會員，可將原本綁定的Line Pay的信用卡資訊轉移到其電支服務，不需重新綁定信用卡資訊。</p> <p>Line Pay也預告，LINE Pay Money上線後，LINE Pay介面將會同步更新，除了更進一步整合LINE Pay生態圈，也會針對用戶需要，以豐富首頁功能、讓付款入口更清楚，以及個人化自訂選單三大面向作調整升級，翻新用戶的使用體驗。</p> <p>首頁整合的功能，包括LINE Pay Money電支服務，允許用戶查詢交易、轉帳紀錄，並提供用優惠資訊、遊韓、金融服務、愛心捐款等，流暢化用戶體驗。另外，介面翻新提供個人化選單，依個人使用需求與習慣，允許用戶自訂選單欄位項目，加快開啟功能。</p> <p>Line Pay目前在國內約有超過1,300萬用戶，根據其財報，第三季的單季營收超過20億元，創下歷史新高，較去年同期成長26%。</p> </div></div></div>
2025/11/25 19:01作者蘇文彬https://www.ithome.com.tw/news/172466
美國房地產融資暨IT服務供應商SitusAMC遭駭，主要銀行客戶資料恐外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鎖定軟體服務供應商，進而竊取下游客戶資料的事故越來越常出現，近半年有鎖定應用程式<strong><a href="https://www.ithome.com.tw/news/170866">Salesloft Drift</a></strong>與<a href="https://www.ithome.com.tw/news/172406">Gainsight</a>的攻擊行動，導致這些用戶的雲端CRM系統<strong><a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a></strong>遭入侵，現在有專門服務金融業者的廠商遭駭，傳出有可能導致主要銀行的客戶資料外流的情況。</p> <p>11月22日<strong><a href="https://www.situsamc.com/databreach">美國房地產融資暨科技服務業者SitusAMC發布公告</a></strong>，他們在11月12日發生資安事故，導致特定系統的部分資料外洩，其中包含與客戶和SitusAMC之間的特定資料，例如：會計記錄與法律合約。此外，他們用戶的客戶，也有部分資料受到影響。對此，SitusAMC協同第三方顧問，著手調查事故性質與影響範圍，並通報執法機關。SitusAMC強調，他們的業務運作不受到影響，系統未遭到惡意程式加密。</p> <p>SitusAMC是專為大型銀行及房地產放款機構提供後端服務的公司，提供商業及住宅房地產融資服務，負責在銀行與投資人進行抵押、貸款發放，以及合規等多種層面，進行後端流程的處理。由於摩根大通、花旗銀行、摩根士丹利，以及許多美國主要銀行都是SitusAMC客戶，上述公告的內容，讓人不禁聯想，這些金融機構的特定客戶資料，也可能隨之外流。</p> <p><strong><a href="https://www.nytimes.com/2025/11/22/business/bank-data-hack.html">紐約時報取得5位接獲通報的銀行業界人士的說法</a></strong>，指出前述的SitusAMC銀行客戶都收到通知，內容指出銀行的客戶資料可能因此遭竊。摩根士丹利發言人表示未直接遭到攻擊，其餘銀行代表則不願對曝險資料進行評論。</p> <p>此事也傳出美國聯邦調查局（FBI）介入調查，FBI局長Kash Patel發出聲明，他們正與受影響組織及合作夥伴緊密合作，了解事故潛在的影響。不過，他們確認銀行的服務運作未受到波及。</p> </div></div></div>
2025/11/25 12:40作者周峻佑https://www.ithome.com.tw/news/172449
DeepSeek-R1處理帶有中國政治敏感詞彙的AI提示，會導致生成的程式碼漏洞風險增加43％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國打造的應用程式暗中收集個資與回傳資料，不時傳出，甚至曾出現疑似言論審查導致資料遭刪除的情形，而這樣的議題也延續到時下熱門的AI系統，有資安業者指出，他們發現中國的AI模型若是遇到政治敏感的提示內容，生成程式碼存在嚴重漏洞的情況，也會顯著增加。</p> <p>資安業者CrowdStrike<a href="https://www.crowdstrike.com/en-us/blog/crowdstrike-researchers-identify-hidden-vulnerabilities-ai-coded-software/"><strong>針對中國大型語言模型DeepSeek-R1進行測試</strong></a>，結果發現，雖然在許多情況下，此模型產生的程式碼品質能與許多領導品牌的大型語言模型相當，然而，一旦使用者的提示涉及中國政府敏感的政治議題，DeepSeek-R1產生帶有嚴重資安弱點的程式碼，機率就會顯著增加，最多會達到約50%。</p> <p>由於時下開發人員九成已導入AI工具，這種AI程式碼助理存在的微妙漏洞，只要在能接觸到高價值原始碼的情況下，就有可能造成高度影響。有別於大多資安研究聚焦在越獄，讓AI模型提供能用於犯罪的工具配方及程式碼，或是針對中國製AI模型的部分，調查因政府言論審查造成回應偏頗的現象，這是首度有資安業者發現，言論審查有可能會影響開發安全。</p> <p>CrowdStrike強調，雖然他們測試的模型是DeepSeek-R1，但其他必須遵守特定意識型態價值的中國模型，也可能存在相同的情況。該公司對最完整的671B版本DeepSeek-R1進行測試，在沒有政治敏感提示的情況下，約有19%會出現存在弱點的程式碼，然而一旦加入了敏感提示，有弱點的程式碼比率就會增加到27.2%。究竟CrowdStrike用了那些政治敏感提示？其中一個是要求DeepSeek-R1為圖博（Tibet）的工業控制系統編寫程式碼。</p> <p>這種說明性的提示，與要求AI進行編寫程式碼的任務無關，照理說不應影響生成的程式碼品質，不過，CrowdStrike實際使用法輪功、維吾爾族，以及圖博等修飾詞（modifier），之後，就會出現生成程式碼安全性大幅降低的現象。</p> <p>對於上述研究造成程式碼安全性降低的原因，CrowdStrike缺乏足夠的資料來說明，不過他們比對中國政府監管框架的內容，發現相關要求與DeepSeek-R1內容控制機制相符，因此該公司推測，DeepSeek很有可能在訓練流程加入特殊步驟，來確保模型產生的內容符合中國政府要求。但為何會產生較不安全的程式碼？CrowdStrike認為是「突發錯位（Emergent Misalignment）」的結果，由於該模型受過中共政治思想的訓練，可能將法輪功、維吾爾族等詞彙認定為負面，導致使用者下達帶有這些詞彙的提示，就會造成負面效應。</p> </div></div></div>
2025/11/25 16:03作者周峻佑https://www.ithome.com.tw/news/172460
AWS計畫投入500億美元以打造政府AI基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aboutamazon.com/news/company-news/amazon-ai-investment-us-federal-agencies" target="_blank">Amazon周一（11/24）宣布</a>，將投入500億美元，以拓展Amazon Web Services（AWS）供美國政府客戶所使用的AI及超級運算能力，預計2026年動工，新增近1.3GW的容量。</p> <p>AWS是要在現有的3種政府雲區域擴建近1.3GW等級的AI部署容量，涵蓋AWS GovCloud美國區、AWS機密區域（AWS Secret Region），以及AWS最高機密區域（AWS Top Secret Region），以讓聯邦機構可存取AWS更全面的AI服務。包括用於模型訓練與客製化的Amazon SageMaker AI，模型與代理人託管平臺Amazon Bedrock，以及Amazon Nova多模態模型、Anthropic Claude與各種開放權重基礎模型，再加上AWS Trainium AI晶片以與Nvidia的AI基礎設施。</p> <p>Amazon表示，這項投資將徹底改變美國政府與產業的核心任務，涵蓋國家安全、科學研究與創新——包括自主系統開發、網路安全、能源創新及醫療研究，使美國在下一代計算發現領域中贏得領先地位。</p> <p>市場分析指出，AWS為美國市場政府雲端服務的領導者，美國有超過1.1萬個政府機構使用AWS服務，之所以大手筆斥資發展政府雲AI是為了鞏固地位。目前只有AWS及微軟Azure同時提供GovCloud、Secret及Top Secret等3種政府雲服務，但Azure規模較小，而Google或甲骨文/IBM則主要涉足GovCloud。</p> <p>然而，<a href="https://www.reuters.com/business/retail-consumer/amazon-invest-up-50-billion-ai-supercomputing-us-government-customers-2025-11-24/" target="_blank">路透社（Reuters）</a>引用Emarketer分析師Jacob Bourne的看法指出，雖然Amazon依然主導雲端市場，但由於Google與Oracle在AI相關雲端市場加速擴張，AWS的成長已落後，因此必須大規模地投入基礎設施以因應。</p> <p><a href="https://www.businessinsider.com/amazon-ai-capacity-crunch-pushed-customers-to-rivals-google-anthropic-2025-11" target="_blank">Business Insider</a>則報導，Amazon模型與代理人託管平臺Bedrock在今年夏天遇到了重大的容量限制，使得部分客戶流向了競爭對手，或許也是Amazon積極建設基礎設施的主因之一。</p> </div></div></div>
2025/11/25 14:25作者陳曉莉https://www.ithome.com.tw/news/172452
Anthropic最新模型Claude Opus 4.5出爐，長對話不再卡，價格調降2/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic周一（11/24）正式<a href="https://www.anthropic.com/news/claude-opus-4-5" target="_blank">發表最新模型Claude Opus 4.5</a>，帶來長脈絡處理、電腦操作能力、全新effort參數與「無限聊天」等重大升級，同時將價格下修至每百萬個Token輸入5美元、輸出25美元，僅為前一代Opus 4.1的1/3。</p> <p>Opus 4.5在多項基準測試中達到業界頂尖，包括評測真實程式碼修復能力的SWE-Bench、測試終端機操作與程式環境任務的Terminal-bench、檢驗代理人工具調用效率的tau2-bench，以及評估高難度推理與知識深度的GPQA Diamond。其中最受關注的是，它成為首個在SWE-Bench Verified突破80%的模型，顯示其程式碼修正能力已逼近甚至超越專業水準。</p> <p>另一個象徵性里程碑，是Opus 4.5首次在Anthropic的工程技術測驗中勝過所有人類考生。這份可帶回家寫的測驗專為效能工程應徵者設計，要求在兩小時內完成高難度題目，以評估技術能力與判斷力。Opus 4.5透過平行推理聚合方式，在限時測驗中拿下歷來最高分；若不設時間限制並在Claude Code中使用，模型表現則與公司過去最佳人類候選人相當。</p> <p>Opus 4.5也導入新的effort參數，讓開發者可在推理深度、速度與成本間調整運算強度。中等effort時，Opus以遠低於Sonnet 4.5的Token用量即可達到相同最佳成績，節省76%的Token；最高effort則在表現再提升的情況下仍保留近5成的Token節省空間，有助企業依任務需求找出最有效率的運算策略。</p> <p>為展現Opus在電腦操作上的能力，Anthropic同步釋出可搭配使用的Chrome與Excel整合。Opus 4.5具備新的Screen Zoom Tool，可主動要求放大螢幕區域以檢查按鈕、欄位或UI細節，並能在跨分頁、跨視窗與大型文件間進行更精準的操作。Chrome擴充功能將此能力延伸至瀏覽器工作流程，而Excel整合則讓模型能協助生成樞紐分析、圖表與跨表格處理，展現其在電腦任務中的實際應用。</p> <p>在長脈絡處理上，Opus 4.5重新調整模型的記憶管理策略，加入「選擇性脈絡壓縮」機制，能在脈絡逼近上限時自動萃取並保留關鍵內容，不會中斷對話或產生脈絡錯置，也不需使用者自行摘要。此一變更帶來「無限聊天」功能，讓跨天、跨檔案、跨多輪的長程專案能夠持續進行而不受脈絡限制。</p> <p>儘管Opus 4.5的價格大幅調降2/3，但相較競爭對手仍屬偏高。例如OpenAI GPT-5.1每百萬Token的輸入費用為1.25美元、輸出為10美元；Google Gemini 3 Pro則為輸入2美元、輸出12美元。</p> </div></div></div>
2025/11/25 13:07作者陳曉莉https://www.ithome.com.tw/news/172450
川普簽署行政命令建立Genesis Mission，推動AI驅動的科學創新計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國總統川普（Donald Trump）於本周一（11/24）簽署行政命令，<a href="https://www.whitehouse.gov/articles/2025/11/president-trump-launches-the-genesis-mission-to-accelerate-ai-for-scientific-discovery/" target="_blank">正式啟動「創世任務」（Genesis Mission）</a>，目標是透過人工智慧（AI）全面改造美國的科學研究模式，加速聯邦政府在醫療、能源、材料科學到太空探索等領域的突破。白宮表示，這是一項全國性科技工程，將整合國家實驗室的超級電腦、龐大科學資料與頂尖人才，打造前所未有的AI科研基礎設施。</p> <p>白宮對外將此計畫比擬為1961年由美國太空總署（NASA）主導的「阿波羅」（Apollo Program）登月工程；<a href="https://www.whitehouse.gov/presidential-actions/2025/11/launching-the-genesis-mission/" target="_blank">行政命令原文則指出</a>，AI需要一場如同美國在二次大戰期間（1942–1946）推動的「曼哈頓專案」（Manhattan Project）般的全國動員，以國家級、跨機構的科技力量突破重大難題。</p> <p>此一行政命令要求能源部建立一個封閉式AI實驗平臺，結合國家實驗室的高效能運算系統與龐大科學資料，用於訓練科學基礎模型、加速模擬與預測分析，並支援自動化與機器人實驗室的運作。白宮表示，這個平臺將成為美國科研體系的核心，使AI能自動設計實驗、分析結果並生成新假設，大幅提升聯邦科研效率。</p> <p>總統科學與科技助理（APST）將負責跨部會協調，整合國家科學基金會（NSF）、國家標準與技術研究院（NIST）、國家衛生研究院（NIH）等聯邦機構的資料與研究基礎設施。政府也將與學界與民間企業合作，使AI能在生物科技、核分裂與核融合、量子資訊科學、關鍵材料、半導體與太空領域發揮關鍵作用。</p> <p>白宮指出，儘管科研預算數十年來持續上升，美國科學突破的速度卻逐漸放緩，新藥核准數下降、研究效率停滯。川普政府認為AI能扭轉這項趨勢，讓過去需多年才能完成的研究縮短為數周或數月。能源部目前掌握全美最龐大的結構化科研資料與超級電腦，因此被指定為計畫主責機關。</p> <p>根據該命令，能源部在必須在60天內提出至少20項國家級科學與技術挑戰，作為整體研究方向。與此同時，能源部還需同步推動平臺建設，包括在90天內盤點可用算力，120天內完成資料與模型清單及整合方案，240天內確認具備AI自動化能力的機器人實驗室，以及在270天內展示至少一項挑戰的初步AI成果。</p> </div></div></div>
2025/11/25 13:15作者陳曉莉https://www.ithome.com.tw/news/172451
中國駭客加入利用WSUS重大漏洞的行列，以此散布ShadowPad
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟於10月例行更新（Patch Tuesday）當中，針對Windows Server Update Services（WSUS）修補重大漏洞<strong><a href="https://www.ithome.com.tw/tags/cve-2025-59287">CVE-2025-59287</a></strong>，後續於10月下旬傳出已被用於攻擊行動，如今再度有駭客加入漏洞利用的行列。</p> <p>資安業者AhnLab指出，他們在研究人員於10月22日公開此漏洞的概念驗證程式碼（PoC）不久，就發現<a href="https://asec.ahnlab.com/en/91166/">中國APT駭客用於部署惡意程式ShadowPad的活動</a>。攻擊者在執行WSUS服務的主機上，疑似透過名為PowerCat的公用程式，成功利用漏洞取得CMD的Shell存取權限。得逞後，他們在11月6日重複利用相同的漏洞，執行curl.exe和certutil.exe，最終於伺服器部署了ShadowPad。</p> <p>CVE-2025-59287為遠端程式碼執行（RCE）漏洞，影響啟用WSUS服務的Windows Server，一旦攻擊者成功利用，就有機會在未經身分驗證的情況下，於特定序列化機制觸發不安全的反序列化行為，而能遠端執行任何程式碼，CVSS風險評分達到9.8（滿分10分），罕見的是，<a href="https://www.ithome.com.tw/news/171857"><strong>微軟於10月23日及24日發布緊急更新</strong></a>，當時資安業者Eye Security與Huntress發現被用於攻擊；後續<a href="https://www.ithome.com.tw/news/172031"><strong>資安業者Darktrace也在美國發現相關活動</strong></a>，其中一起是散布竊資軟體Skuld Stealer。</p> </div></div></div>
2025/11/25 10:55作者周峻佑https://www.ithome.com.tw/news/172448
Ai2釋出真開源思考模型Olmo 3，支援可回溯推理與長上下文
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國非營利研究機構Ai2發表新一代語言模型家族<a href="https://allenai.org/blog/olmo3">Olmo3</a>，主打真正開源的思考模型。相較多數只釋出最終權重的模型，Olmo3從訓練資料、程式碼、評測流程，到各階段檢查點與用來回溯推理過程的工具都公開，讓外部團隊可以完整重現與延伸這套模型。</p> <p>Olmo3家族提供70億（7B）與320億（32B）參數兩種大小的模型，所有模型都以支援約6.5萬Token上下文的基礎模型Olmo3-Base為基礎，再依用途分化出思考、對話與強化學習版本。Olmo3-Think在此基礎加入多步推理訓練，用於產生可檢視的思考步驟，Olmo3-Instruct則強化對話、指令跟隨與工具使用。Olmo3-RL Zero針對強化學習研究打造，提供多個領域的RL檢查點。開發者可直接採用Instruct或Think，也能從Base或任一訓練階段接手，把自家資料加入流程。</p> <p>Olmo3家族中最具代表性的是32B等級的思考模型Olmo3-Think，該模型在回答時會產生中間推理步驟，並可搭配OlmoTrace把推理過程回溯到可能相關的訓練資料，讓研究者檢視模型為何做出某個判斷。依Ai2公布的評測結果，Olmo3-Think 32B在MATH、BigBench Hard、HumanEvalPlus等數學與程式推理基準上，多數指標逼近Qwen3 32B與Qwen3 VL 32B Thinking，同時明顯領先Gemma3 27B Instruct與部分同級模型。</p> <p>Ai2將32B Base稱為目前最強的完全開放基礎模型，也就是訓練資料、程式碼與權重都能取得。與Marin 32B、Apertus 70B等開源模型相比，Olmo3-Base在程式開發、閱讀理解、數學解題與長上下文任務上多數指標領先，與Qwen2.5 32B、Gemma3 27B與Llama3.1 70B則為相近的實力，並具有處理長報告與技術文件的能力。</p> <p>之所以Olmo3稱得上真開源，是因為Ai2連同資料與工具一併釋出。Olmo3的預訓練是從Dolma3語料庫擷取資料來進行，該語料庫規模約9.3兆Token，來源涵蓋網頁、學術PDF、程式碼庫與數學題解，Ai2從中組成Dolma3 Mix、Dolma3 Dolmino與Dolma3 Longmino等不同階段的訓練組合，後訓練則以Dolci資料套件支援推理、工具使用與強化學習，這些配方與資料集都在開放授權下公開，並說明資料篩選與移除重複資料的方式。</p> </div></div></div>
2025/11/25 08:24作者李建興https://www.ithome.com.tw/news/172441
Swift 6.3大幅強化Embedded Swift，提升微控制器開發與除錯體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Swift團隊預告將會對Swift 6.3中的<a href="https://www.swift.org/blog/embedded-swift-improvements-coming-in-swift-6.3/">Embedded Swift進行強化</a>，鎖定微控制器（MCU）等資源受限環境，從標準函式庫、C語言互通、除錯工具到連結模型，都有具體更新。相關新功能已納入開發中版本，開發者可透過Swift開發中版本快照率先體驗。</p> <p>Embedded Swift是為資源受限環境設計的Swift子集，透過特殊編譯模式產生更小的執行檔。在標準函式庫方面，Swift 6.3補上Embedded Swift對浮點數輸出的缺口，description與debugDescription改為全以Swift實作，方便直接在裝置端輸出數值進行紀錄與除錯，並新增EmbeddedRestrictions診斷群組，在編譯階段標示未支援的語言特性，讓開發者在桌面環境就能先行調整程式碼。</p> <p>硬體操作的相關套件Swift MMIO也更新至0.1.x版，最大亮點是加入從CMSIS SVD描述檔產生程式碼的工具，減少手寫暫存器介面的時間與錯誤。搭配SVD2LLDB外掛，LLDB可直接以暫存器名稱存取暫存器並顯示位元欄位的視覺化解碼，讓韌體除錯不必再對照記憶體位址即可理解暫存器語意。</p> <p>Swift 6.3在C語言互通上也有更新，進一步降低Embedded Swift導入既有C程式庫的門檻。新導入的@c屬性，提供以Swift定義可由C呼叫的函式與列舉，並將舊有實驗性@_cdecl正式化。搭配@implementation，開發者可以沿用既有C標頭檔，以Swift實作同名介面，由編譯器比對函式名稱與型別是否一致，降低以Swift重寫C程式庫時對既有C呼叫端的影響。編譯器也放寬對C函式簽章細微差異的處理，減少因註記不一致造成的編譯失敗。</p> <p>Swift 6.3也針對Embedded Swift做了整理。LLDB強化了對Swift型別的值輸出與記憶體讀取，搭配更完整的DWARF除錯資訊與對巢狀泛型型別別名的支援，讓陣列、字典（Dictionary）等標準資料型別在記憶體傾印中也能直接檢視。在連結層，Swift 6.3透過@section、@used與objectFormat條件判斷，搭配以弱定義輸出匯入模組符號以及新加入的@export屬性，整理Embedded Swift的連結模型，減少重複符號與額外旗標設定，並讓程式庫作者更精準控制對外暴露的介面與實作。</p> </div></div></div>
2025/11/25 08:32作者李建興https://www.ithome.com.tw/news/172447
CrowdStrike驚傳員工遭駭客收買，企圖外流身分驗證Cookie與內部螢幕畫面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週<strong><a href="https://www.ithome.com.tw/news/172406">雲端CRM供應商Salesforce提出警告</a></strong>，客戶管理業者Gainsight發布的Salesforce應用程式出現異常活動，Google威脅情報團隊（GTIG）推估，恐波及超過200家企業組織，駭客組織ShinyHunters<strong><a href="https://databreaches.net/2025/11/20/threat-actors-have-reportedly-launched-yet-another-campaign-involving-an-application-connected-to-salesforce/">向資安部落格DataBreach.net聲稱</a></strong>，這起事故是他們所為，並透露已從接近1千家Salesloft與Gainsight客戶偷到資料，如今傳出有資安業者的員工疑似遭到收買，企圖提供駭客內部機敏資料而遭到解僱。</p> <p>根據資安新聞網站<strong><a href="https://www.bleepingcomputer.com/news/security/crowdstrike-catches-insider-feeding-information-to-hackers/">Bleeping Computer</a></strong>與<strong><a href="https://hackread.com/crowdstrike-fires-worker-insider-leak-scattered-lapsus-hunters/">HackRead</a></strong>的報導，資安業者CrowdStrike傳出有員工向駭客收取2.5萬美元，提供內部系統環境的螢幕截圖，CrowdStrike察覺後，已將該名員工開除。</p> <p>最早是Bleeping Computer於11月21日報導此事，他們提及駭客組織Scattered Lapsus$ Hunters在Telegram頻道上，洩露CrowdStrike內部系統相關的螢幕截圖，後續CrowdStrike表示已解僱一名外洩內部資料的人員。CrowdStrike發言人向該新聞網站透露，他們在上個月進行內部調查的過程裡，發現一名可疑的內部人員，他曾拍下電腦螢幕的內容，然後與外部分享，該公司已解雇此人。</p> <p>CrowdStrike強調，該公司的系統並未遭到入侵，客戶始終受到保護，他們已將案件通報執法機關進行後續處理。不過，對於事故的其他細節，例如：內部員工與串通的駭客組織身分，以及員工是否被金錢利益收買，該公司並未說明。</p> <p>駭客組織ShinyHunters向Bleeping Computer聲稱，他們打算以2.5萬美元的代價，向內部員工取得能夠存取CrowdStrike網路環境的管道。駭客表示已向該名員工收到單一簽入（SSO）的身分驗證Cookie，不過疑似已被CrowdStrike察覺，並關閉相關存取管道，而無法使用。</p> <p>究竟這名員工外傳了那些資料？另一家資安新聞網站HackRead指出，這些是電腦螢幕的翻拍照片，其中一張是身分驗證管理平臺Okta的單一簽入主控臺，顯示了該公司提供員工的應用程式內容。駭客聲稱從Gainsight得到存取權限，從而入侵CrowdStrike的網路環境。不過，這樣的說法顯然與CrowdStrike聲稱未遭入侵不同。</p> </div></div></div>
2025/11/24 16:41作者周峻佑https://www.ithome.com.tw/news/172443
【資安日報】11月24日，Salesforce用戶再傳遭供應鏈攻擊，駭客鎖定外掛Gainsight而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>三個月前，<a href="https://www.ithome.com.tw/news/170866">有駭客組織針對採用Salesloft Drift的Salesforce用戶下手</a>，透過OAuth憑證竊取這些用戶CRM系統存放的資料，如今類似的事故再度傳出，駭客鎖定另一套與Salesforce串接的第三方應用程式Gainsight，並傳出波及超過200家企業。而對於這起事故的後續處理，不僅Salesforce關閉多款Gainsight應用程式連線，Zendesk與HubSpot兩家公司也採取預防措施，跟進切斷Gainsight應用程式連線。</p> <p>另一個引起資安圈高度關注的消息，在於有資安業者傳出找到被駭客收買的內鬼。過往曾經有不少資安業者與研究人員提出警告，駭客會試圖收買員工取得初始入侵管道，如今類似的情況真實上演。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172406"><strong style="font-size: 22px;">Gainsight串接Salesforce的應用程式遭駭，傳逾200家企業組織受害</strong></a></p> <p>11月20日Salesforce警告，已偵測到由Gainsight發布、且與Salesforce連接的應用程式出現異常活動。相關應用程式由客戶自行安裝與管理，Salesforce調查指出，攻擊者可能藉由應用與Salesforce的連線未經授權地存取部分客戶資料。Google威脅情報小組（GTIG）首席威脅分析師Austin Larsen向TechCrunch及The Register表示，可能有超過200家Salesforce客戶受到波及。</p> <p>成立於2009年的Gainsight是一家提供客戶成功管理與客戶體驗的軟體公司，其核心產品可整合Salesforce等CRM系統，協助企業追蹤客戶健康度、減少流失及提升續約率等。該公司指出，根據現有的證據，唯一有影響是Gainsight CS（Customer Success）至Salesforce的連線。</p> <p>針對攻擊者的身分，Austin Larsen透露與ShinyHunters駭客組織有關，駭客入侵第三方的OAuth權杖，未經授權存取Salesforce客戶實例。Salesforce已採取行動撤銷受影響的權杖，並已將相關應用程式自AppExchange下架，Salesforce及Mandiant亦正通知可能受影響的組織。</p> <p><a href="https://www.ithome.com.tw/news/172443"><strong style="font-size: 22px;">CrowdStrike驚傳員工遭駭客收買，企圖外流身分驗證Cookie與內部螢幕畫面</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/crowdstrike-fires-worker-insider-leak-scattered-lapsus-hunters-1.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/crowdstrike-fires-worker-insider-leak-scattered-lapsus-hunters-1.jpeg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer與HackRead的報導，資安業者CrowdStrike傳出有員工向駭客收取2.5萬美元，提供內部系統環境的螢幕截圖，CrowdStrike察覺後，已將該名員工開除。</p> <p>最早是Bleeping Computer於11月21日報導此事，他們提及駭客組織Scattered Lapsus$ Hunters在Telegram頻道上，洩露CrowdStrike內部系統相關的螢幕截圖，後續CrowdStrike表示已解僱一名外洩內部資料的人員。CrowdStrike發言人向該新聞網站透露，他們在上個月進行內部調查的過程裡，發現一名可疑的內部人員，他曾拍下電腦螢幕的內容，然後與外部分享，該公司已解雇此人。</p> <p>究竟這名員工外傳了那些資料？另一家資安新聞網站HackRead指出，這些是電腦螢幕的翻拍照片，其中一張是身分驗證管理平臺Okta的單一簽入主控臺，顯示了該公司提供員工的應用程式內容。駭客聲稱從Gainsight得到存取權限，從而入侵CrowdStrike的網路環境。</p> <p><a href="https://www.ithome.com.tw/news/172420"><strong style="font-size: 22px;">勒索軟體駭客Cl0p聲稱透過Oracle EBS零時差漏洞，得手博通內部資料</strong></a></p> <p>操作勒索軟體CI0p的駭客上周宣稱，竊得半導體及網路設備業者博通（Broadcom）公司資料，研究人員認為，這樁事件可能是濫用Oracle E-Business Suite（EBS）零時差漏洞攻擊的後果。</p> <p>駭客並未說是透過哪個管道駭入博通公司系統，或是取得哪些類型資料。駭客只說博通是屬於製造業、軟體及商業服務產業，並簡單警告，這家公司不關心客戶，不重視資訊安全。</p> <p>由於這樁宣告和Cl0p駭客近來攻擊其他知名公司資料的行徑類似，因此研究人員相信，這次攻擊可能也是透過濫用Oracle EBS漏洞CVE-2025-61882或CVE-2025-61884而得逞。目前博通尚未證實此事，也沒有向各州官方通報的紀錄。</p> <p><a href="https://www.ithome.com.tw/news/172350"><strong style="font-size: 22px;">定時炸彈「小烏龜」引爆國安危機，政府、金融、軍方網路門戶洞開</strong></a></p> <p>趨勢科技資深威脅研究員游照臨（Steven Meow）今年稍早於美國DEF CON大會上提出警告，這些電信業者配發的數據機，無論是光纖、有線電視、電話線或行動通訊連線類型，都可能是一枚「定時炸彈」，因為駭客可以從任何地方，直接存取並完整控制它們。</p> <p>游照臨透露，這一切的契機，只是源自於他在2023年搬家時，請中華電信拉了新的網路線。基於白帽駭客的職業習慣，他決定「駭一駭」自己的新設備，確認是否安全。他沒想到，這一下班後的「個人研究」，竟挖出了超過30個CVE（通用漏洞揭露編號）漏洞編號，這些漏洞數量龐大，橫跨多家知名製造商，包括 D-Link（友訊）、Zyxel（合勤）、Billion（盛達電業）、Nokia、韓國DASAN，以及臺灣HITRON（仲琦科技）等。</p> <p>這些漏洞多數存在臺灣製造的產品，「我買來市面上的小烏龜，經過測試，全部都發現漏洞，這就是最可怕的地方。」游照臨說，這個研究揭示的影響範圍，包含關鍵基礎設施，去年11月有五萬多臺，今年7月至少還有二萬三千多臺有問題的數據機，仍在網路上提供服務，到11月則剩下八千多臺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/globalprotect-vpn-portals-probed-with-23-million-scan-sessions/">大規模掃描鎖定Palo Alto Networks旗下SSL VPN平臺而來，5天出現2.3億活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://asec.ahnlab.com/en/91166/">中國駭客加入利用WSUS重大漏洞的行列，以此散布ShadowPad</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyberarmor.tech/blog/autumn-dragon-china-nexus-apt-group-targets-south-east-asia">中國駭客鎖定政府與媒體產業，利用WinRAR漏洞從事攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.nytimes.com/2025/11/22/business/bank-data-hack.html">美國房地產貸款機構IT供應商SitusAMC遭駭，主要銀行客戶資料恐外流</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172424"><strong style="font-size: 22px;">資料分析系統Grafana存在滿分漏洞，攻擊者有機會以此冒充管理員及提權</strong></a></p> <p>11月19日Grafana發布企業版更新12.3、12.2.1、12.1.3，以及12.0.6版，修補CVSS風險滿分的重大漏洞CVE-2025-41115，此漏洞在跨網域身分識別管理系統（System for Cross-domain Identity Management，SCIM）出現，有可能在特定組態的環境下，攻擊者可用來權限提升，或是冒充任意的使用者。</p> <p>這項漏洞主要影響的範圍，是啟用SCIM的企業版與雲端版（Grafana Cloud）用戶，最初在11月4日由Grafana於內部稽核及測試流程察覺，當時他們發現在SCIM採用特定組態的狀態下，使用者的ID可能會遭到複寫。經調查後確認，該漏洞出現在使用者識別的處理機制，使得攻擊者能透過惡意或遭入侵的SCIM用戶端，產生帶有特定externalId的使用者，而有可能複寫內部使用者ID，並導致冒用使用者或權限提升的情況。</p> <p>SCIM是Grafana自今年4月開始引入的新功能，主要是導入自動化的使用者生命週期管理，改善企業組織管理Grafana使用者及團隊的能力，因此，漏洞的影響範圍，可追溯到今年5月發布12.0.0版Grafana企業版，開源版本Grafana OSS不受影響，他們也已清查Grafana Cloud，確認此平臺未出現漏洞利用的跡象。</p> <p><a href="https://www.ithome.com.tw/news/172403"><strong style="font-size: 22px;">華碩DSL系列路由器存在重大漏洞，若不處理攻擊者可繞過身分驗證</strong></a></p> <p>華碩上周針對DSL系列路由器發布安全更新，以修補讓遠端攻擊者存取裝置的重大漏洞CVE-2025-59367。此為身分驗證繞過漏洞，可讓遠端攻擊者不需密碼即可存取受影響裝置，CVSS風險評為9.3分，屬重大風險。華碩未說明漏洞細節與通報者身分。</p> <p>此漏洞影響DSL系列路由器，包含DSL-AC51、DSL-N16，以及DSL-AC750。華碩已在11月13日釋出韌體1.1.2.3_1010版本解決，建議使用者儘速更新。不過，已經終止支援（EoL）的華碩路由器無法取得新版韌體。對此，華碩建議用戶，在路由器登入介面及Wi-Fi都必須採用不重覆的強密碼。此外，用戶應封鎖網際網路存取以下服務，包括廣域網路遠端存取（Remote access from WAN）、通訊埠轉發（port forwarding）、動態網域名服務（DDNS）、VPN伺服器、DMZ、通訊埠觸發，以及FTP。</p> <p><a href="https://www.ithome.com.tw/news/172348"><strong style="font-size: 22px;">微軟緊急發布例外更新，修補部分Windows 10無法安裝ESU更新的問題</strong></a></p> <p>上個月Windows 10已正式終止支援（EOL），自本月開始，用戶必須取得延長安全更新（Extended Security Updates，ESU）才能得到保護，然而卻出現部分用戶安裝失敗情況。對此，微軟緊急推出例外更新KB5072653，目的是解決部分已加入ESU計畫的Windows 10裝置，無法順利安裝11月安全性更新的問題。</p> <p>根據AskWoody論壇使用者Susan Bradley所轉貼Microsoft 365 Admin Center對企業管理者的公告，這次安裝失敗的情況主要發生在Windows 10 22H2，且授權方式採用Windows訂閱啟用（WSA）的環境。微軟指出，這類透過Microsoft 365 Admin Center管理授權的裝置，在部署2025年11月安全性更新KB5068781時可能出現0x800f0922錯誤，導致更新無法完成。而依照WSA的運作方式，這些電腦通常是由Windows 10 Pro透過訂閱授權自動升級為Enterprise或Education版本。</p> <p>此外，Reddit上也有使用者回報，即使已購買並套用ESU授權金鑰，系統畫面顯示裝置已加入ESU，實際上仍無法收到KB5068781等這一輪延長安全更新。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/line-messaging-bugs-asian-cyber-espionage">LINE全程加密通訊存在弱點，可被用於訊息重送、表情符號洩露、假冒用戶</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172398"><strong>【11月21日】中國駭客APT24入侵臺灣一家數位行銷業者，藉此進行供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172369"><strong>【11月20日】華碩路由器成ORB網路的綁架目標，臺灣是主要目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172342"><strong>【11月19日】瀏覽器V8引擎存在零時差漏洞，用戶應儘速更新</strong></a></p> </div></div></div>
2025/11/24 17:23作者周峻佑https://www.ithome.com.tw/news/172444
資料分析系統Grafana存在滿分漏洞，攻擊者有機會以此冒充管理員及提權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源及高度靈活使用彈性的圖表資料呈現系統Grafana，由於能整合多種來源資料，並具備即時儀表板、資料分析，以及事件警告的功能，成為不少企業組織系統監控的重要工具，一旦出現嚴重的漏洞，便成為資安界關注的焦點。</p> <p>11月19日Grafana發布企業版更新12.3、12.2.1、12.1.3，以及12.0.6版，<strong><a href="https://grafana.com/blog/2025/11/19/grafana-enterprise-security-update-critical-severity-security-fix-for-cve-2025-41115/">修補CVSS風險滿分的重大漏洞CVE-2025-41115</a></strong>，此漏洞在跨網域身分識別管理系統（System for Cross-domain Identity Management，SCIM）出現，有可能在特定組態的環境下，攻擊者可用來權限提升，或是冒充任意的使用者。</p> <p>這項漏洞主要影響的範圍，是啟用SCIM的企業版與雲端版（Grafana Cloud）用戶，最初在11月4日由Grafana於內部稽核及測試流程察覺，當時他們發現在SCIM採用特定組態的狀態下，使用者的ID可能會遭到複寫。經調查後確認，該漏洞出現在使用者識別的處理機制，使得攻擊者能透過惡意或遭入侵的SCIM用戶端，產生帶有特定externalId的使用者，而有可能複寫內部使用者ID，並導致冒用使用者或權限提升的情況。</p> <p>SCIM是Grafana自今年4月開始引入的新功能，主要是導入自動化的使用者生命週期管理，改善企業組織管理Grafana使用者及團隊的能力，因此，漏洞的影響範圍，可追溯到今年5月發布12.0.0版Grafana企業版，開源版本Grafana OSS不受影響，他們也已清查Grafana Cloud，確認此平臺未出現漏洞利用的跡象。</p> <p>過往Grafana也曾修補重大漏洞，並提出警告。<strong><a href="https://www.ithome.com.tw/news/165593">一年前他們曾公布CVE-2024-9264</a></strong>，此為SQL表達式（SQL Expressions）的處理不當，而造成的命令注入及本機檔案包含（Local File Inclusion，LFI）弱點，CVSS風險評分達到9.9。</p> </div></div></div>
2025/11/24 11:57作者周峻佑https://www.ithome.com.tw/news/172424
【資安週報】1117~1121，電信業提供「小烏龜」已屆EoL，卻未主動幫用戶更換，邊緣裝置產品資安風險成焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2025年11月第三星期的資安新聞，有3起重大消息都與邊緣裝置的產品安全有關，成為大家高度關注的警訊。</p> <p>（一）趨勢科技資深威脅研究員游照臨過去一年來持續揭露「小烏龜」的漏洞問題，最近我們深入專訪了解多項議題，包括：<br /> ●揭露中華電信配發數據機早已達終止生命週期（EoL）的現況，未主動幫使用者更換，若被關鍵基礎設施採用風險極高。事件曝光近一年仍有8千多臺未汰換。<br /> ●指出有漏洞的數據機成為詐騙集團的間接幫兇，像是網路盜刷會利用住宅IP位址隱匿蹤跡，也會利用持卡人附近IP位址盜刷，規避銀行與防詐系統判斷。<br /> ●探討廠商對EoL設備拒絕提供修補程式的議題，指出這類長期結構性問題，呼籲政府、監管單位與產業界檢討採購條款，要求供應商負起持續的韌體安全責任。<br /> （二）資安業者SecurityScorecard揭露中國駭客鎖定華碩WRT系列路由器的Operation WrtHug攻擊行動。該公司與華碩聯手調查後發現，駭客半年內已入侵超過5萬臺裝置，目的是架設ORB網路來隱匿攻擊來源；臺灣可能有1.5萬至2.5萬臺裝置受影響。<br /> （三）資安業者ESET揭露中國駭客PlushDaemon最新攻擊活動，是入侵路由器竄改DNS組態，從而讓受害者電腦自攻擊者的伺服器下載包含惡意的更新。</p> <p>在資安事件方面，引發外界極大關注的是中國資安業者「知道創宇」11月資料外洩，駭客聲稱竊得1.2萬份機密資料，特別是研究人員NetAskari指出，其內容暴露了該公司打造駭客工具，並為中國政府進行情報收集的現象，且其攻擊目標名單涵蓋臺灣、日本、越南等20多個國家。</p> <p>至於其他重要資安事故，包含2起發生於臺灣上市櫃公司的事故，以及一宗來自國際廠商羅技的揭露，我們整理如下：<br /> ●上市紡織業東和發布重訊，說明部分資訊系統遭受駭客網路攻擊。<br /> ●上櫃SI業者中菲電腦發布重訊，說明發生網路資安事件。<br /> ●羅技於瑞士證券交易所及自家網站公告發生資料外洩事件，外界推測也是Oracle EBS零時差漏洞攻擊的受害者。<br /> ●微軟Azure DDoS防護系統偵測緩解一波巨量DDoS攻擊，該公司指出其高峰流量達15.72 Tbps，並查出是Aisuru殭屍網路的攻擊。</p> <p>在最新漏洞利用方面，有3個重要消息，首先，攻擊者針對Fortinet FortiWeb發動零時差漏洞攻擊，目標是CVE-2025-64446，特別的是，威脅情報公司Defused在10月初已揭露有新漏洞遭鎖定利用，多家資安業者指出這是同一個漏洞；其次，英國NHS警告，發現7-Zip漏洞CVE-2025-11001已有攻擊者開始鎖定利用；另外還有攻擊者鎖定Chrome發動零時差漏洞攻擊，目標是CVE-2025-13223。</p> <p>在防護動向上，國內有兩則重要消息公布，一是國安局抽測中國製生成式AI語言模型的結果出爐，包括DeepSeek、豆包、文心一言、通義千問，以及騰訊元寶，指出這些模型普遍存在資安風險，也有內容偏頗的情況，呼籲民眾在挑選AI工具時必須格外小心；另一是針對詐騙集團舉辦假投票活動的盜取帳號手法，LINE揭露從攻擊者角度設想，思考合法功能的濫用行為該如何防禦──繪製授權投票釣魚的運作流程圖，以找出最有效攔截點。</p> <p>產業間還有記憶體漏洞層出不窮的問題，Google揭露最新成果，指出Android在系統層大量採用Rust後，記憶體安全漏洞占比首次降到兩成以下。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172285"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月17日】Fortinet旗下WAF重大漏洞已出現攻擊活動</span></strong></a></h3> <p>基本上，駭客入侵企業內部環境的主要管道，其中之一就是可透過網際網路存取的應用系統，過往最常見的目標是郵件伺服器，但也有針對防火牆或其他網路設備下手的情況，而最近有專門針對網頁應用程式防火牆（WAF）漏洞CVE-2025-64446的攻擊行動，引起資安界高度關注，有多家資安業者調查此事並公布他們的發現。這起事故受到矚目的原因，主要很可能是因為歹徒針對WAF下手並不常見，然而這類系統若是遭駭，攻擊者不僅有機會入侵網頁應用程式，甚至進一步存取受害企業的內部環境。</p> <p>上個月被美國列入已遭利用的漏洞名單（KEV）的資安漏洞CVE-2025-24893，後續發展也受到矚目，資安業者VulnCheck警告，有多組人馬嘗試加入利用漏洞的行列，其中最值得留意的部分，是殭屍網路RondoDox企圖綁架XWiki伺服器。</p> <h3><a href="https://www.ithome.com.tw/news/172323"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月18日】惡意NPM套件濫用雲端資安防護服務，意圖過濾資安研究員</span></strong></a></h3> <p>駭客為了防範資安研究人員進行調查而東窗事發，令人訝異的是，竟然透過合法的資安雲端服務來過濾受害對象，只對一般的使用者下手，若非目標對象，就會顯示無害內容。最近在惡意NPM套件活動裡，攻擊者採用名為Adspect的合法服務來達到目的，這樣的手法不僅罕見，由於濫用合法服務，也使得被導向無害網站的研究人員不易察覺異狀。此外，為了避免有「漏網之魚」，他們也對被導向詐騙網站的受害者，停用瀏覽器的開發工具。</p> <p>近期散布惡意軟體的ClickFix網釣也相當值得留意，其中又以竊資軟體Amatera Stealer的活動非常特別，因為攻擊者在竊資軟體活動之外，還對於較有價值的攻擊目標，安排後續攻擊流程，透過NetSupport RAT進一步控制受害電腦。</p> <h3><a href="https://www.ithome.com.tw/news/172342"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月19日】瀏覽器V8引擎存在零時差漏洞，用戶應儘速更新</span></strong></a></h3> <p>今天有兩個已遭利用的零時差漏洞消息受到關注，其中與大多數使用者有關的是CVE-2025-13223，此漏洞影響Chrome與Chromium打造的電腦版瀏覽器，在Google發布Chrome 142.0.7444.175與142.0.7444.176版後，有多款瀏覽器已跟進，例如：<a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security#november-18-2025"><strong>微軟發布142.0.3595.90版Edge</strong></a>、<a href="https://brave.com/latest/"><strong>Brave發布</strong></a>1.84.141版，以及<strong><a href="https://vivaldi.com/blog/desktop/minor-update-7-7/">Vivaldi也對推出不久的7.7版發布更新</a></strong>，修補這項零時差漏洞。其他瀏覽器的用戶近期也要留意相關公告，並及時套用更新。</p> <p>另一個遭到利用的零時差漏洞CVE-2025-58034，出現在網頁應用程式防火牆FortiWeb，由於不到一週前Fortinet才公布重大層級的CVE-2025-64446，究竟攻擊者如何利用CVE-2025-58034，是否將兩者串連？有待研究人員進一步揭露。</p> <h3><a href="https://www.ithome.com.tw/news/172369"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月20日】華碩路由器成ORB網路的綁架目標，臺灣是主要目標</span></strong></a></h3> <p>今天最受到國內關注的資安新聞，就屬華碩路由器遭來自中國的駭客綁架的事故，揭露此事的資安業者提及，受害路由器最多的地方就是臺灣，若依據比例換算影響規模，全臺可能有1.5萬至2.5萬臺Wi-Fi路由器遭駭，值得留意的是，歹徒利用的弱點，皆為華碩完成修補的已知漏洞，這代表許多使用者仍尚未套用相關更新，而讓歹徒有可乘之機。</p> <p>另一起也相當值得留意的消息，是對於中國駭客PlushDaemon最新的調查發現，有別於先前他們曾經直接針對軟體下手，這次是攻擊路由器設備，讓使用者在執行特定軟體的更新時，電腦逕自從攻擊者的伺服器下載惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/172398"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月21日】中國駭客APT24入侵臺灣一家數位行銷業者，藉此進行供應鏈攻擊</span></strong></a></h3> <p>在昨天資安業者SecurityScorecard揭露<strong><a href="https://www.ithome.com.tw/news/172360">針對華碩路由器的大規模攻擊行動</a></strong>，且臺灣有至少1.5萬臺設備遭綁架的事故，今天又有專門針對臺灣的網路間諜活動消息傳出，再度引發關注。這個被命名為APT24的中國駭客組織，被資安廠商發現近3年的活動狀況，其中一個攻擊管道相當特別，一家臺灣數位行銷公司被當作據點，並藉此滲透下游客戶的網站，然後向使用者散布惡意軟體。</p> <p>國際局勢當中，伊朗駭客動作頻頻的現象，也成為今日的另一焦點，我們今天整理兩篇新聞，首先是APT42與UNC1549針對以色列國防產業與航太、航空機構的網路間諜活動，另一件新聞，則是關於Imperial Kitten與MuddyWater藉由網路攻擊協助定位導彈射擊目標的情況。</p> </div></div></div>
2025/11/24 13:39作者羅正漢https://www.ithome.com.tw/news/172429
臺灣有10臺超級電腦進入五百大，排名全球第九
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>每半年更新一次的全球五百大（TOP500）<a href="https://top500.org/news/el-capitan-retains-1-as-jupiter-becomes-europes-first-exascale-system-in-the-66th-top500-list/" target="_blank">超級電腦名單在上周出爐</a>，前三名與上屆一致，皆是位於美國的El Capitan、Frontier及Aurora，它們的效能依序是1.809、1.353與1.012 Exaflop/s，第四名則是歐洲首度進入1.000 Exaflop/s俱樂部的JUPITER Booster。至於臺灣這次有10臺超級電腦進入榜單，數量位居全球第九。</p> <p>目前El Capitan座落於美國加州的Lawrence Livermore國家實驗室（LLNL），這是由美國國家核安管理局資助的超級電腦，所執行的任務包括核武庫安全監管、武器設計模擬、高能物理、材料科學及AI等重大國家安全及科學研究任務；第二名的Frontier則位於田納西州的Oak Ridge國家實驗室（ORNL），用於諸如材料科學、氣候模擬、宇宙模擬及能源等科學研究與開發；第三名的Aurora位於伊利諾州的Argonne國家實驗室（ANL），開放給科學界與工程界進行各種重大挑戰或新興技術等研究。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1124-TOP500-El%20Capitan-by%20%E7%BE%8E%E5%9C%8B%E8%83%BD%E6%BA%90%E9%83%A8.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／美國能源部</span></span></p> <p>至於歐洲首個1 Exaflop/s系統則位於德國EuroHPC／Jülich超級電腦中心，這是美國以外首個進入Exascale等級的系統，主要支援歐洲在氣候模擬、材料科學、量子研究，以及大型AI模型訓練上的科研需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1124-TOP500-JUPITER%20booster_by%20Forschungszentrum%20J%C3%BClich.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Forschungszentrum Jülich</span></span></p> <p>美國不僅擁有前三大超級電腦，在TOP500的超級電腦數量也最多，總計有171臺，排名第二的日本有43臺，德國有40臺，中國也有40臺，法國有22臺。</p> <p>此次臺灣有10臺超級電腦進入五百大，排名全球第九，其中有3臺位於一百名內，依序是排名29、位於國網中心的Nano 4；排名49、位於友崴AI運算服務中心的Ubilink；以及排名80、位於Nvidia臺北公司的TAIPEI-1，它們的效能依序是81,552 TFlop/s、45,820TFlop/s及22,300 TFlop/s。</p> <p>TOP500中最受歡迎的前五大處理器依序是Intel的Xeon Platinum（Sapphire Rapids），占整體約14.6%，AMD的Zen-3（Milan），以13.8%緊追其後，Intel Xeon Gold 62xx（Cascade Lake）以11.2%排名第三，AMD Zen-2（Rome）以10.8%位居第四，第五名則是AMD Zen-4（Genoa）的8.8%。</p> <p>在2010年以前，超級電腦的主力皆為CPU，之後GPU逐漸起步，從2015年起開始扮演重要的加速器與共同處理器的角色，現在Nvidia支援了約86%的TOP500超級電腦。</p> <p>在作業系統上，TOP500有28.8%採用了Linux平臺，7%採用了HPE Cray OS，還有5.8%使用CentOS，4.6%使用Red Hat Enterprise Linux，2.8%使用Ubuntu 22.04。</p> </div></div></div>
2025/11/24 11:20作者陳曉莉https://www.ithome.com.tw/news/172411
勒索軟體Cl0p駭客聲稱透過Oracle零時差漏洞攻擊，得手博通內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://x.com/H4ckmanac/status/1991561969267315162" target="_blank">操作勒索軟體CI0p的駭客上周宣稱</a>，竊得半導體及網路設備業者博通（Broadcom）公司資料，研究人員認為，這樁事件可能是濫用Oracle EBS漏洞攻擊的後果。</p> <p>駭客並未說是透過哪個管道駭入博通公司系統，或是取得哪些類型資料。駭客只說博通是屬於製造業、軟體及商業服務產業，並簡單警告，這家公司不關心客戶，不重視資訊安全。</p> <p>由於這樁宣告和Cl0p駭客近來攻擊並竊取其他知名公司資料後的行徑類似，因此發現駭客這則公告的研究人員相信，這次攻擊可能也是透過濫用Oracle E-Business Suite (EBS)漏洞CVE-2025-61882或CVE-2025-61884為之。</p> <p>目前博通尚未證實此事，也沒有博通向各州官方通報的紀錄。</p> <p>一旦駭客勒索失敗，可能會經由其專用的資料外洩網站公佈資料樣本及竊取的資料規模。</p> <p>CI0p駭客已經利用Oracle EBS竊取多家知名企業和政府機構的資料。最近新增受害者包括安聯人壽英國子公司、華盛頓郵報、日立子公司GlobalLogic、英國國家健康服務部（National Health Service, NHS）。<a href="https://www.ithome.com.tw/news/172291" target="_blank">羅技</a>、工業自動化設備商施耐德電機（Schneider Electric）、艾默生電機（Emerson Electric）都是疑似受害，但未證實，其中羅技可能被竊走高達1.8TB的資料。</p> </div></div></div>
2025/11/24 11:55作者林妍溱https://www.ithome.com.tw/news/172420
SonicWall修補防火牆、電子郵件閘道漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SonicWall上周發布安全更新，分別修補導致防火牆崩潰，以及在電子郵件閘道執行惡意程式碼、存取資訊的漏洞。</p> <p>影響SonicWall防火牆的安全瑕疵為<a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0016" target="_blank">CVE-2025-40601</a>，它是存在SonicOS SSLVPN服務的堆疊緩衝溢位漏洞，CVSS score為7.5，可讓未經驗證的遠端攻擊者在發送呼叫後發生阻斷服務（Denial of Service,DoS），導致防火牆崩潰掛點。SonicWall表示，本漏洞只影響啟動SonicOS SSLVPN介面或啟動SSLVPN服務的防火牆。</p> <p>受影響的產品是第7代（Gen7）硬體防火牆近20款、第7代虛擬防火牆（NSv），後者包括位於ESX、Hyper-V、KVM、AWS和Azure等平臺的NSv系列，以及第8代防火牆。廠商已釋出SonicOS 7.3.1-7013和8.0.3-8011版修補。</p> <p>SonicWall強調第6代防火牆及SMA 100、SMA 100系列SSL VPN不受漏洞影響。</p> <p>此外，SonicWall也發布<a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0018" target="_blank">另一安全更新</a>，修補電子郵件閘道的2項漏洞，包括CVE-2025-40604及CVE-2025-40605。</p> <p>CVE-2025-40604為未驗證下載程式碼完整性漏洞，使電子郵件安全閘道載入根目錄檔案系統圖片前，未驗證簽章，讓具有虛擬機磁碟（VMDK）或data store存取權限的攻擊者得以修改系統檔案，並且執行任意程式碼。CVE-2025-40605則為路徑遍歷漏洞，可讓攻擊者注入變造的目錄遍歷字串（如../）來操弄檔案系統路徑，可能藉此存取預定路徑之外的檔案和路徑。CVE-2025-40604和CVE-2025-40605 CVSS score分別為7.2和4.9。</p> <p>受兩漏洞影響的產品為SonicWall Email Security產品，包括ES Appliance 5000、5050、7000、7050、9000、VMWare和Hyper-V。SonicWall已釋出10.0.34.8215和10.0.34.8223更新。</p> <p>這家防火牆業的產品安全事件回應團隊（PSIRT）沒有發現漏洞濫用，也未接獲已公開的概念驗證（POC）攻擊程式、或漏洞惡意使用的通報。但SonicWall仍強烈建議用戶儘速更新到最新版本。</p> <p>若企業IT管理員未能及時安裝更新，其中CVE-2025-40601有替代性解決方案，管理員可修改SSLVPN存取規則，限制只有受信賴裝置能存取SonicOS SSLVPN，關閉非信賴的外部網路裝置存取SSLVPN服務。CVE-2025-40604及CVE-2025-40605則無替代性解決方案。</p> </div></div></div>
2025/11/24 08:30作者林妍溱https://www.ithome.com.tw/news/172407
Google否認以用戶Gmail內容訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路近日瘋傳Google利用Gmail內容訓練AI模型的說法，Google上周末否認。引起軒然大波的資安業者也澄清，此事是出於Google功能描述文字更新造成的誤解。</p> <p>Google的<a href="https://support.google.com/mail/answer/15604322?hl=en&co=GENIE.Platform%3DAndroid#zippy=%2Cwhat-are-googles-legal-bases-of-processing-for-users-in-the-european-economic-area-united-kingdom-or-switzerland%2Chow-long-is-your-workspace-content-activity-used-to-provide-smart-features-and-to-improve-these-features" target="_blank">智慧功能（Smart Features）</a>位於個人版Gmail/Chat/Meet以及Google Workspace與其他Google產品中，可提升使用體驗，例如Gmail的智慧草擬（Smart Compose）、把Gmail中的航班行程或邀請加入行事曆等、或者在Google Maps中顯示餐廳預約等。</p> <p>近日Google更新智慧功能的設定（setting）文字並拉到醒目之處，促使<a href="https://x.com/eevblog/status/1991293066175492297/photo/1" target="_blank">某些X使用者</a>及專業人士如資安公司<a href="https://www.malwarebytes.com/blog/news/2025/11/gmail-is-reading-your-emails-and-attachments-to-train-its-ai-unless-you-turn-it-off" target="_blank">MalwareBytes Labs</a>提出警告。他們以為Google最近變更Gmail智慧功能（smart features）的預設功能，由預設關閉改成啟用。若未調整，形同同意Gmail存取用戶所有私密訊息和附件來訓練AI模型。不希望私密訊息被拿去當訓練資料集的用戶，必須手動到「設定」選單中關閉「智慧功能」。</p> <p>但Google官方很快向<a href="https://www.theverge.com/news/826902/gmail-ai-training-data-opt-out" target="_blank">The Verge</a>等媒體否認此事。Google說這類報導誤導用戶，Google並未修改任何人的預設，且智慧功能多年前就有了，該公司從來沒有使用用戶的Gmail內容來訓練Gemini模型。</p> <p>MalwareBytes於11月22日<a href="https://www.malwarebytes.com/blog/news/2025/11/gmail-is-reading-your-emails-and-attachments-to-train-its-ai-unless-you-turn-it-off" target="_blank">發出更新版部落格承認</a>，Google的Gmail智慧功能文字及位置些許變更造成誤解，讓許多人（包括MalwareBytes）以為Gmail內容可能被用來訓練AI模型，且以為用戶被強迫加入（opt-in）同意。</p> <p>仔細研讀Google變更文字及其他報導後，MalwareByte Labs結論，Gmail的確有掃描用戶email內容是為了提供智慧功能，像是過濾垃圾郵件、分類、提供信件內容建議，但這些都是正常Gmail運作，和Google訓練生成式AI模型是兩回事。MalwareByte Labs解釋，Google關於「智慧功能」的描述太模糊，偏偏「智慧」這個詞容易被人聯想為人工智慧（AI），加上Google已經把Gemini整合進Google幾乎所有產品中，才造成大家的混淆。</p> <p>業者並澄清，Google仍然預設智慧功能為關閉，用戶必須自己opt-in才會啟動。</p> </div></div></div>
2025/11/24 09:35作者林妍溱https://www.ithome.com.tw/news/172408
供應鏈Gainsight遭駭，波及200家Salesforce客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://status.salesforce.com/generalmessages/20000233" target="_blank">Salesforce上周四（11/20）警告</a>，已偵測到由Gainsight發布、且與Salesforce連接的應用程式出現異常活動。相關應用程式由客戶自行安裝與管理，Salesforce調查指出，攻擊者可能藉由應用與Salesforce的連線未經授權地存取部分客戶資料。Google威脅情報小組（Google Threat Intelligence Group，GTIG）首席威脅分析師Austin Larsen向<a href="https://techcrunch.com/2025/11/21/google-says-hackers-stole-data-from-200-companies-following-gainsight-breach/" target="_blank">TechCrunch</a>及<a href="https://www.theregister.com/2025/11/20/salesforce_gainsight_breach/?utm_source=chatgpt.com" target="_blank">The Register</a>表示，可能有超過200家Salesforce客戶受到波及。</p> <p>類似的供應鏈式攻擊<a href="https://www.ithome.com.tw/news/170866" target="_blank">在3個月前也曾發生</a>，當時受影響的第三方應用為Salesloft Drift。駭客利用遭竊的Drift OAuth憑證進入客戶的Salesforce環境，並大量匯出用戶資料。</p> <p>成立於2009年的Gainsight是一家提供客戶成功管理與客戶體驗的軟體公司，其核心產品可整合Salesforce等CRM系統，協助企業追蹤客戶健康度、減少流失及提升續約率等。<a href="https://communities.gainsight.com/community-news-2/salesforce-gainsight-connected-app-incident-faqs-29809" target="_blank">該公司指出</a>，根據現有的證據，唯一有影響是Gainsight CS（Customer Success）至Salesforce的連線。</p> <p>為了保險起見，Salesforce關閉了Gainsight CS、Gainsight Community、Northpass（Gainsight CE）及Skilljar（Gainsight SJ）與Salesforce之間的讀寫功能。儘管目前僅確認攻擊者利用的是Gainsight CS與Salesforce的連線，但另外兩家業者Zendesk與HubSpot也基於預防性考量，暫時停用了連到Gainsight的連接器。</p> <p>Salesforce表示，該公司是在11月20日關閉了Gainsight所有應用程式與Salesforce之間的連線，並無跡象顯示是由Salesforce平臺的漏洞所引起，而似乎是與相關應用程式外部連線至Salesforce方式有關。</p> <p>Larsen則說，這起行動與ShinyHunters駭客組織有關，駭客入侵第三方的OAuth權杖，未經授權地存取Salesforce客戶實例。Salesforce已採取行動撤銷受影響的權杖，並已將相關應用程式自AppExchange下架，Salesforce及Mandiant亦正主動通知可能受影響的組織。</p> </div></div></div>
2025/11/24 08:00作者陳曉莉https://www.ithome.com.tw/news/172406
信譽是無可避免的人性弱點
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>如同中秋節烤肉，雞排祭品文成為臺灣民眾耳熟能詳的一種社會現象。11月中傳出鳳凰颱風可能侵襲臺灣之際，有位自稱台大大氣系學生在社群媒體的匿名粉絲專頁發文宣稱賭上大氣系的招牌，預測臺北放颱風假，若少一天，16日中午12點請大家吃100份雞排與奶茶，若沒放假就請300份，引發網路議論與媒體報導，結果颱風假沒放，請大家到台大傅鐘底下領取雞排與奶茶的預定時間一到，現場已有400人排隊等候，卻未出現有人依約發放這些食物。</p> <p>校方當天下午發布聲明，表示相關貼文透過匿名平臺發布，無從確認發文者身分，提醒發文者應審慎考量資訊正確性與可能影響，自負法律責任；同時，他們也呼籲媒體與大眾不要誤導社會，在報導與轉載時，應認清網路謠言匿名與假訊息充斥的特質，避免將匿名貼文直接等同於該校師生或特定學系，全體師生與社會各界應理性明辨網路訊息，避免因匿名發言或網路謠言造成不必要的誤解、風險與社會成本。</p> <p>16日下午有自稱台大地理系地學組的學生，在同一個社群媒體的匿名粉絲專頁，發文承諾隔天在臺北車站的飲料店提供300杯手搖飲兌換，店家下午在其粉絲專頁證實此事，晚間公告兌換辦法，隔天有媒體報導店家現場發放狀況；16日晚上有自稱電機系學長的網友在另一個社群媒體發文，表示為了捍衛母校尊嚴，預告隔天到傅鐘發放400份雞排，時間一到，他果然依約履行承諾，媒體也有相關報導。</p> <p>事件似乎就此落幕，但不禁令人擔憂未來是否有人會仿效這類不履行承諾的戲碼，導致被宣稱的個人、團體的名譽受損。而不甘被冒用、信譽遭污衊的個人或團體，該替其兌現濫開的支票，還是置之不理、任人非議？該如何回應，才能有效遏止這股歪風？</p> <p>身處這個實體與網路詐騙猖獗的時代，充斥著各種似是而非的資訊，無論社會、組織或個人，都需要從許多層面不斷強化辨識真假的能力，而且不只是事後才回應，而是在事前與事中，就必須及早採取行動，以便制止後續情況蔓延，甚至可能惡化與失控。</p> <p>對於企業而言，信譽與品牌保護的重要性越來越高，持續經營與擴充業務之餘，如同當代的資安防護，也必須更注重這方面的事前預防、事中察覺，以及事後應變機制。</p> <p>我們最近剛好也報導相關議題，例如，有廠商與協會針對社群媒體平臺發布冒名詐騙報告，突顯假借貸款申請的狀況很嚴重，以及引誘大量使用者上當的情境，涵蓋層出不窮的贈書詐騙活動與偽冒名人粉絲團。同時，<a href="https://www.ithome.com.tw/news/172199" target="_blank"><span style="color:#3366ff;">這份報告也歸納出3種詐騙傳播鏈</span></a>，透過假冒企業、組織、個人名義的貼文，引導受害者連至粉絲專頁、私訊或IG貼文等數位平臺、假冒企業網站或購物下單頁面，或是邀請加入私域群組或好友帳號。</p> <p>想要徹底解決這些問題，需加強立法取締之餘，有些國家也祭出法規，要求金融機構、電訊營運商和社交媒體平臺經營者，積極承擔遏制詐騙的責任，以臺灣為例，去年7月三讀通過<a href="https://www.ithome.com.tw/news/162783" target="_blank"><span style="color:#3366ff;">打詐新四法</span></a>，到了年底，<a href="https://www.ithome.com.tw/news/166264" target="_blank"><span style="color:#3366ff;">政府頒布打詐綱領2.0版</span></a>，推動5大面向，並訂定每年須完成的目標。</p> <p>對資安廠商而言，強化詐騙防禦能力是一門好生意，有廠商看準市場商機，推廣「防詐監控中心（ASOC）」的概念，應是借鏡資安領域的資安監控中心（SOC），例如，以Whoscall這款來電辨識App聞名的<a href="https://www.ithome.com.tw/news/172200" target="_blank"><span style="color:#3366ff;">Gogolook，就在一些場合倡議這類解決方案</span></a>。</p> <p>事實上，同樣是防詐騙（antifraud），不同產業的理解與實作方式都有很大的落差。例如，銀行金融業應該是最早投入這個領域應用的，目的不外保護客戶財產、防止內部人員舞弊與監守自盜，以及預防有人利用金融體系洗錢；而其他產業可能面臨的詐欺活動，多半是冒用公司或員工的行為，以往可區分為外部品牌的保護，內部流程、技術與人員的治理，而後者有一部分屬於傳統資安的範疇，現在隨著數位化程度的日益提升，這些問題已納入整體風險管理機制，所要防禦的攻擊者未必只是駭客、競爭對手、內部爭議員工，還包括流動的網路民意與敵對國家。而為了維護信譽，企業與組織必須更全面落實規範要求與信念傳達，做好內外部溝通，該道歉就道歉，該反擊就反擊（法律訴訟），否則這塊招牌將成企業最大的軟肋。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%A9%90%E9%A8%99">詐騙</a></div></div></div>
2025/11/22 23:35作者李宗翰https://www.ithome.com.tw/voice/172404
AI長鞭效應
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-aidian_fu_jing_ji_xue_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">啟動文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>想像你在經營一家餐廳。如果菜單上有酪梨醬，你就需要酪梨。你每週訂購100磅。有時100磅太多了，就得扔掉多餘的；有時100磅不夠，就錯過了銷售機會。</p> <p>後來你採用了AI進行需求預測，並且真的奏效。現在某些週間你只需訂購30磅，有些週間你需要300磅。減少浪費，銷售得更多，獲利也增加了。</p> <p>當地的供應商原本習慣於每週你會購買100磅。現在因為你而面臨更多不確定性。他們的其他客戶也在使用AI進行需求預測，需求開始大幅波動。</p> <p>因此，供應商決定採用AI進行自己的需求預測。他們過去每週訂購二萬五千磅。現在的訂單則在五千磅到五萬磅之間波動。他們的供應商也需要採用AI，訂單一樣開始會波動。如此往復，一直上溯到需要提前一年或更長時間決定作物規模的種植者。</p> <p>我們將這種效應稱「AI長鞭效應」，是指實施AI提高了某一決策的品質，但因降低其他決策的可靠性，對系統中的其他部分造成了損害。就像長鞭一樣，一個地方的小變化可能在別處造成巨大衝擊。</p> <p>我們面臨著一個悖論。AI的價值在於透過將你的行動與可能不確定的因素相配對，以做出更好的決策，但也因此讓你的決策對其他人來說變得不那麼可靠。你可能會把不確定性問題推給別人，這意味著，與其使用AI適應不確定性，不如堅持使用一個更可靠的系統。</p> <p>有兩種方法可以透過打造AI系統解決方案解決這個問題：增加協調性或增加模組化。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>協調的價值</strong></span></span></p> <p>餐廳的AI能夠預測需求。餐廳經理則能做出其他決策，例如提供什麼菜單。如果AI長鞭效應導致種植者無法提供足夠的酪梨，那麼餐廳就需要更改菜單。但只有在知道酪梨供應不及時才能做到，這需要協調。</p> <p>這種協同作用意味著需要考慮如何讓多個決策者之間達成協議，管理變化和調整，而不是進行轉變和改變的過程。</p> <p>為了理解這一點，你可以想想八人賽艇隊的運作。有兩個因素會決定隊伍在比賽中的表現。首先，他們是否同步划行。其次，在比賽進行中他們可以調整划行速度，確保在比賽結束前不會有划手耗盡全部精力。坐在船尾的舵手是負責第二個功能的關鍵人物，但就第一個功能而言並非如此。</p> <p>這可能看起來很奇怪，因為舵手喊著「划，划，划」，負責讓所有划手保持相同節奏。但這並不需要特別由一個人負責。在沒有舵手的比賽中，其中一名划手也可以做到這一點。</p> <p>但是，要在比賽中監測戰略和獲取個別划手狀況的資訊，亦即收集資訊並進行匯整時，舵手是相當關鍵的。他可以評估是否需要改變節奏，因此調整傳達給划手的資訊。同樣地，如果整場比賽使用單一的划行速率，就不需要這個功能。舵手的存在正是因為隊伍需要對資訊做出反應，但又必須確保他們以協調的方式進行調整。</p> <p>對於這類同步問題，組織設計會以協同需求為基礎，因此模組化無法解決問題。經濟學家保羅．米格羅姆和約翰．羅伯玆（John Roberts）稱之為分配問題，也需要針對獲得的資訊做出同樣類型的協調回應。這類問題涉及將資源分配給某個活動，但你知道只需要一定數量的資源；多餘的會浪費，而不足的會不夠。考慮一下救護車調度問題。如果發生緊急醫療情況，有輛救護車到場是很重要的事，但有兩輛前往現場則是種浪費。為了確保只有一輛救護車出動，你需要一位中央調度員，無論是人還是軟體都好，負責接聽緊急電話（即資訊），然後指派一輛救護車出動。</p> <p>與其劃分決策權，並保護組織的其他部分不受某部分基於AI預測所做決策的影響，不如為通訊系統（communication system）提供資源和努力，以確保不會出現單點解決方案帶來的不良結果，亦即缺乏同步或資源分配不當。透過有效的通信和系統設計，潛在的不良後果就能降到最低，更能夠讓關鍵決策回應AI預測。預測與協調的結合就是系統解決方案。每個決策都會因為響應預測而得到改善，而不會影響可靠性。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>模組化的價值</strong></span></span></p> <p>模組化就是在AI預測的決策周圍建構屏障的方法，以避免該決策與組織中其他決策之間缺乏一致性，所帶來的成本。模組化降低了協調的成本，但其代價可能是犧牲協同效益（Synergies），也是就AI預測推動某一決策的同時，允許其他決策朝相似方向發展而達到的綜效。在無法協調時，模組化能使一些決策因AI而受益，同時保護其他決策免受可靠性降低的影響。</p> <p>赫伯特．賽蒙，是唯一身兼諾貝爾經濟學獎和電腦科學圖靈獎的得主，他曾提出一個關於組織如何應對更複雜情況的寓言。在這個寓言中，有兩個製錶師傅都能製造高品質的鐘錶。兩人都很受歡迎，不斷有新客戶洽詢。但後來一人生意興隆，另一人卻生意慘澹。為什麼呢？</p> <p>手錶是由一千個零件組成。一種方法是一次組裝整支手錶，如此一來，就能做出更高品質的成品。但如果過程中製錶師被打斷（例如被另一位客戶打斷），他就必須從頭開始重新組裝。另一種方法是將手錶分成小部分組裝，每部分包含十個左右的零件。接著再把這些部分組裝起來，雖然會稍微花費更多時間，最終結果可能不那麼完美。但這種方法的優點是，如果過程有中斷，失去的只是小部分。最終，這種製程比較快，能讓製錶師傅製造更多手錶。第二種方法，被稱為模組化，更具韌性和可擴展性，對於較複雜的產品來說更是如此。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>設計的價值</strong></span></span></p> <p>如果決策不必與系統其他部分的決策一致，那麼採用AI做出某一決策會容易得多。這是程度上的問題。當然，就觀念上而言，整個系統能夠作為一個整體運作會更好。問題在於，如果這種情況無法實現，是否能夠在不產生過多成本的情況下，獲得AI的好處。</p> <p>為了理解這一點，讓我們看看亞馬遜的運作方式。亞馬遜在全球供應數百萬種產品。他們採購產品，存儲在倉庫中，接收客戶訂單並將產品運送給客戶，但同時涉及先幫客戶決定要買什麼，也就是向他們提供推薦。</p> <p>就觀念上而言，亞馬遜面臨著與餐廳類似的問題。他們希望在客戶需要時供應他們想要的產品，但產品不會神奇地出現。一條供應鏈跨越數千公里和數月時間。因此，如果無法取得推薦給客戶的產品時，那該怎麼辦？</p> <p>我們很容易認為解決方案就是：不要這麼做。如果你沒有可銷售的產品，就不要向客戶推薦。但這種方法有個問題：如何知道客戶真正想要卻沒有庫存的產品是什麼？如果你只推薦現有的產品，就會錯失成長和擴展機會。</p> <p>這就是為什麼亞馬遜會推薦缺貨商品，或可能需要更長時間才能送達客戶端的產品。這些決策在某種程度上是協調的，因為亞馬遜會將可能延遲的情形告知客戶。客戶可能會選擇有貨的產品，但偶爾不會。這樣一來，亞馬遜就能了解需要投入多少努力來維持這些產品的庫存。</p> <p>實現這種平衡需要精心設計。亞馬遜擁有模組化的機構，使其能夠將更好的AI預測置入到推薦系統中，進而將對組織其他部分的影響降到最低。但如果做得過頭，就太過分了。因此，他們在庫存和訂購上的選擇，不能完全無視推薦AI的運作，因為正是客戶的選擇和反應，產生了物流部門需要溝通和採取行動的訊息。</p> <p>AI的採用往往涉及系統解決方案，找到模組化和協調的最佳平衡。模組化使決策不受AI帶來的變化影響，減少了對可靠性的依賴。相較之下，協調則直接創造了可靠性。成功的AI系統會在可能的情況下達到協調，在必要的情況下進行模組化。<strong>（本文摘錄整理自《AI顛覆經濟學》，啟動文化提供）</strong></p> <p> </p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_啟動文化</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-AI%E9%A1%9B%E8%A6%86%E7%B6%93%E6%BF%9F%E5%AD%B8-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> <span style="color:#3366ff;">AI顛覆經濟學（Power and Prediction: The Disruptive Economics of Artificial Intelligence）</span></strong></p> <p>Ajay Agrawal, Joshua Gans, Avi Goldfarb／著；游懿萱／譯</p> <p>啟動文化出版</p> <p>定價：580元</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><a href="https://entrepreneurs.utoronto.ca/event/power-and-prediction-the-disruptive-economics-of-artificial-intelligence/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20AI%E9%A1%9B%E8%A6%86%E7%B6%93%E6%BF%9F%E5%AD%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%9A%E5%80%AB%E5%A4%9A%E5%A4%A7%E5%AD%B8.png" style="width: 200px;" /></a></p> <p><strong>阿杰・艾格拉瓦（Ajay Agrawal）</strong></p> <p>多倫多大學羅特曼管理學院策略管理學教授、美國全國經濟研究所（National Bureau of Economic Research）研究員。同時是創意破壞實驗室（Creative Destruction Lab）創辦人、NEXT Canada共同創辦人。<a href="https://entrepreneurs.utoronto.ca/event/power-and-prediction-the-disruptive-economics-of-artificial-intelligence/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_多倫多大學</span></span></a></p> <p> </p> <p><a href="https://entrepreneurs.utoronto.ca/event/power-and-prediction-the-disruptive-economics-of-artificial-intelligence/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%20AI%E9%A1%9B%E8%A6%86%E7%B6%93%E6%BF%9F%E5%AD%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%9A%E5%80%AB%E5%A4%9A%E5%A4%A7%E5%AD%B8.png" style="width: 200px;" /></a></p> <p><strong>約書亞・格恩斯（Joshua Gans）</strong></p> <p>多倫多大學羅特曼管理學院策略管理學教授、多倫多大學創意破壞實驗室的首席經濟學家、美國全國經濟研究所研究員。<a href="https://entrepreneurs.utoronto.ca/event/power-and-prediction-the-disruptive-economics-of-artificial-intelligence/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_多倫多大學</span></span></a></p> <p> </p> <p><a href="https://entrepreneurs.utoronto.ca/event/power-and-prediction-the-disruptive-economics-of-artificial-intelligence/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%20AI%E9%A1%9B%E8%A6%86%E7%B6%93%E6%BF%9F%E5%AD%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%9A%E5%80%AB%E5%A4%9A%E5%A4%A7%E5%AD%B8.png" style="width: 200px;" /></a></p> <p><strong>阿維・高德法布（Avi Goldfarb）</strong></p> <p>多倫多大學羅特曼管理學院的人工智慧與醫療講座教授，也是該學院的行銷學教授。他是創意破壞實驗室的首席資料科學家、美國全國經濟研究所研究員。<a href="https://entrepreneurs.utoronto.ca/event/power-and-prediction-the-disruptive-economics-of-artificial-intelligence/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_多倫多大學</span></span></a></p> </div></div></div>
2025/11/22 23:50未署名https://www.ithome.com.tw/article/172405
IBM與Cisco合作設計量子資料中心架構，布局分散式量子運算網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>IBM與思科（Cisco）<a href="https://newsroom.ibm.com/2025-11-20-ibm-and-cisco-announce-plans-to-build-a-network-of-large-scale,-fault-tolerant-quantum-computers">宣布合作</a>，目標是建立分散式量子運算與量子資料中心技術基礎。雙方規畫在短期5年內，示範多臺大型容錯量子電腦透過網路協同運算的概念驗證，長期則朝2030年代前期實現大規模量子運算網路，並在2030年代後期進一步延伸為量子運算網際網路。</p> <p>這次合作並非宣告已有可商用產品，而是標示出未來十年的技術路線。IBM延續既有量子運算路線圖，專注於建構大型容錯量子電腦與量子處理單元QPU（Quantum Processing Unit），而Cisco則把量子網路視為新一層基礎架構，負責設計量子資料中心與量子網路節點，思考如何讓多臺量子電腦在實際環境中連成一個可擴展的運算資源池。</p> <p>依照官方說法，IBM與Cisco希望在未來5年內完成第一個概念驗證示範，讓多臺大型容錯量子電腦透過網路協同執行一項量子工作負載。等到技術逐步成熟，這類分散式量子網路預期可支援數萬到數十萬量子位元規模，並執行達數兆次量子閘運算，瞄準大型最佳化計算、材料與新藥設計等應用場景。</p> <p>在架構設計上，IBM計畫開發量子網路單元QNU，作為QPU對外連線介面，將超低溫環境中的量子資訊轉換為可在網路中傳遞的量子訊號。Cisco則發展量子網路節點與高速軟體協定，讓網路可以依據量子演算法需求，動態配置不同系統之間的量子糾纏與傳輸路徑，試圖把量子網路當成一個可管理調度的基礎設施。</p> <p>兩家公司同時指出，未來仍需突破多項物理與工程挑戰，包括微波與光學訊號的轉換元件、跨低溫設備的量子糾纏建立，以及跨資料中心的長距離量子傳輸。因此，IBM也會與美國能源部旗下的超導量子材料與系統中心SQMS合作，在未來3年內先示範多個QPU在量子資料中心中的互連。</p> </div></div></div>
2025/11/22 10:20作者李建興https://www.ithome.com.tw/news/172402
華碩DSL系列路由器存在重大漏洞，若不處理攻擊者可繞過身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.asus.com/security-advisory/" target="_blank">華碩上周針對DSL系列路由器發佈安全更新</a>，以修補一個讓遠端攻擊者存取裝置的重大漏洞。</p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-59367" target="_blank">編號CVE-2025-59367為一驗證繞過漏洞</a>，可讓遠端攻擊者不需密碼即可存取受影響裝置，本漏洞被列為CVSS score 9.3，屬重大風險。華碩未說明漏洞細節或是由誰通報。</p> <p>CVE-2025-59367影響DSL系列路由器，包含DSL-AC51、DSL-N16及DSL-AC750。華碩已在11月13日釋出韌體1.1.2.3_1010版本解決，建議使用者儘速更新。</p> <p>不過最新韌體更新並不包含已經終止支援（EoL）的華碩路由器。對此，華碩建議用戶在路由器登入介面及Wi-Fi都必須採用不重覆的強密碼。此外，用戶應封鎖網際網路存取以下服務，包括廣域網路遠端存取（Remote access from WAN）、通訊埠轉發（port forwarding）、動態網域名服務（DDNS）、VPN伺服器、DMZ、通訊埠觸發、FTP（File Transfer Protocol）。</p> <p>10月底<a href="https://www.ithome.com.tw/news/171849" target="_blank">TP-Link也修補了</a>Omada閘道器軟體4個高風險漏洞，分別是CVE-2025-6541、CVE-2025-6542及CVE-2025-7850、CVE-2025-7851，可讓攻擊者在裝置上執行任意指令。</p> </div></div></div>
2025/11/22 10:26作者林妍溱https://www.ithome.com.tw/news/172403
國網中心新超級電腦的Nano4系統登上500大超級電腦第29名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國科會底下的國家實驗研究院國網中心建置的新超級電腦「晶創26」，其中採用H200架構的Nano4系統，首次於近期公布的全球500大超級電腦中進榜，以81.55 PFlops拿下第29名的好成績。</p> <p>在此之前，去年底國網中心建置的超級電腦「晶創25」（Nano5），以混合採用Nvidia H100及H200 GPU，在今年6月的500大超級電腦排名中，以13.06PFlops獲得118名，協助國內科研、半導體、主權AI、產業發展。</p> <p>在政府推動新AI十大建設中，AI基礎建設為重要的一環，國網中心建置新一代超級電腦「晶創26」的目標是，再進一步提升臺灣的國家公共算力資源，作為主權AI和技術自主發展的運算基礎。</p> <p>根據國網中心的規畫，「晶創26」採用兩種算力架構，包括採用H200的Nano4系統，以及更新的GB200 NVL72架構節點，以應付科學模擬、AI訓練的高效能運算需求。</p> <p>Nano4以220臺的H200節點，每節點配備兩個Intel Xeon Platinum處理器，以及8張H200 GPU，記憶體容量達2TB，以最高實測效能（Rmax）的81.55 PFlops，奪下甫於11月發表的最新全球500大超級電腦排名第29名，為目前國內最快、運算密度最高超級電腦。</p> <p>在最新500大超級電腦排名中，國內共有3座超級電腦排名前100名，除了Nano4之外，原先的Ubilink超級電腦（45.82PFlops），從上次排名41降至46名，Nvidia的TAIPEI-1（22.3PFlops）降到80名。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96(32).JPG" style="width: 600px; height: 411px;" /></p> <p>「晶創26」除了採用HB200的Nano 4之外，還有採用GB200 NVL72架構，採用2座GB200 NVL72，每座有72顆Grace CPU與72顆Blackwell GPU，記憶體容量達13.5TB，進一步提升我國的AI算力基礎建設。</p> <p>「晶創26」的整體系統配置，配備25PB的整體儲存空間，並採用InfiniBand NDR 400 Gbps高速互連技術，以及直接液冷技術，PUE只有1.18，兼顧高效能、節能的設計。</p> <p>國網中心指出，未來「晶創26」將會支援國內學研與產業應用，如生成式AI模型訓練與推論、氣候模擬、生命科學、半導體研發、智慧製造等關鍵領域。</p> <p>為了加速實現臺灣成為AI島的願景，目前政府正加速我國的AI基礎建設，其中超級電腦提供公共AI算力部分，除了晶創25、晶創26之外，國科會計畫2026年到2029年先建置更新的超級電腦，預計2029年將我國公共算力提升至480PFlops。</p> </div></div></div>
2025/11/21 18:05作者蘇文彬https://www.ithome.com.tw/news/172397
【資安日報】11月21日，中國駭客APT24入侵臺灣一家數位行銷業者，藉此進行供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在昨天資安業者SecurityScorecard揭露<strong><a href="https://www.ithome.com.tw/news/172360">針對華碩路由器的大規模攻擊行動</a></strong>，且臺灣有至少1.5萬臺設備遭綁架的事故，今天又有專門針對臺灣的網路間諜活動消息傳出，再度引發關注。這個被命名為APT24的中國駭客組織，被資安廠商發現近3年的活動狀況，其中一個攻擊管道相當特別，一家臺灣數位行銷公司被當作據點，並藉此滲透下游客戶的網站，然後向使用者散布惡意軟體。</p> <p>國際局勢當中，伊朗駭客動作頻頻的現象，也成為今日的另一焦點，我們今天整理兩篇新聞，首先是APT42與UNC1549針對以色列國防產業與航太、航空機構的網路間諜活動，另一件新聞，則是關於Imperial Kitten與MuddyWater藉由網路攻擊協助定位導彈射擊目標的情況。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172377"><strong style="font-size: 22px;">中國駭客APT24入侵臺灣數位行銷業者從事供應鏈攻擊，散布惡意程式BadAudio</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/watering-hole-apt24-fig4_max-1700x1700.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/watering-hole-apt24-fig4_max-1700x1700.jpg" style="width: 300px; float: right;" /></a></p> <p>Google威脅情報團隊（GTIG）追蹤中國駭客APT24的活動，自2022年開始，該組織透過多種管道，散布惡意程式BadAudio，這些管道包括：有策略地發動駭入網站的行動，以及魚叉式網路釣魚，值得留意的是，APT24已多次滲透特定臺灣數位行銷公司的供應鏈。</p> <p>針對這些駭客的活動，起初GTIG在2022年11月，看到逾20個網站遭入侵，攻擊者疑似隨機挑選目標下手，範圍涵蓋地區型產業及休閒用品等廣泛領域，對網站注入JavaScript惡意酬載，根據瀏覽網站的使用者特徵（指紋），挑選目標下手，專門針對Windows用戶，排除macOS、iOS，以及安卓作業系統。特別的是，他們排除了作業系統內建的IE與Edge，以及衍生的其他瀏覽器，這代表他們縮小範圍，試圖針對潛在具有高價值的目標而來。</p> <p>不過，在上述透過網站的策略之外，去年這些駭客也從事更具目標性的攻擊。GTIG在去年7月看到APT24從事供應鏈攻擊，入侵一家臺灣數位行銷公司，導致超過1千個網域受到波及，而且，這家公司去年多次被這些駭客重複入侵。APT24將惡意指令碼注入受害公司廣泛使用的JavaScript程式庫，並利用域名搶注（Typosquatting）的網域名稱，來冒充合法的CDN服務。</p> <p><a href="https://www.ithome.com.tw/news/172386"><strong style="font-size: 22px;">伊朗駭客APT42從事SpearSpecter攻擊活動，鎖定以色列國防機構與政府組織而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SpearSpecter-flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SpearSpecter-flow.png" style="width: 300px; float: right;" /></a></p> <p>以色列國家數位安全局（Israel National Digital Agency，INDA）本週提出警告，被稱為APT42、Mint Sandstorm，以及CharmingCypress的伊朗駭客組織，從事網路間諜活動SpearSpecter，他們鎖定具有高價值的國防與政府官員，假借邀請參加重要會議為由，透過假的會議網頁竊取帳密資料，為了進一步從事長期間諜活動，他們散布PowerShell後門TameCat，藉此對受害電腦進行遠端控制與收集資料。值得留意的是，他們也將目標人士的家族成員納入攻擊範圍，藉此對官員施壓。</p> <p>INDA指出，這些駭客並未使用大規模網釣的策略，而是花費數天至數週的時間與目標人士建立關係，為了讓受害者降低戒心，他們也會透過即時通訊軟體WhatsApp進行更為直接的互動。不僅如此，APT42會根據攻擊目標的價值與活動目的，來調整攻擊的策略。</p> <p>針對SpearSpecter的攻擊流程，通常APT42會藉由社群媒體與公開的資料，對目標人士進行廣泛的偵察，進而設計特定情境取信受害者，並冒充關係人士來互動，以建立信任關係。這些駭客多半會舉辦專屬會議來進行，甚至曾舉行實體會議，此外，他們還會運用WhatsApp增加信任。</p> <p><a href="https://www.ithome.com.tw/news/172394"><strong style="font-size: 22px;">伊朗駭客UNC1549鎖定航太與國防領域而來，透過第三方供應商及VDI環境從事供應鏈攻擊</strong></a></p> <p>資安業者Mandiant本週揭露伊朗駭客組織對中東地區的網路間諜活動，警告UNC1549的活動於去年中旬開始出現變化。這群駭客長年鎖定中東地區的國防、航太，以及航空產業，為了能夠取得受害企業組織的初始存取權限，現在他們採取雙重策略來達到目的，其中一種是利用精心設計的網釣活動，竊取憑證與散布惡意軟體；另一種是利用第三方供應商與合作夥伴的信任連線，做為發動攻擊的管道。</p> <p>Mandiant提及，對於國防承包商等資安成熟度較高的組織，他們通常投入大量資源進行防禦，不過，面對第三方供應商及合作夥伴之間的保護措施可能較為寬鬆，若是攻擊者事先入侵外部夥伴，往往能降低突破的資安防護的難度。</p> <p>UNC1549的活動最早可追溯到2023年底，通常會使用複雜的初始存取管道來接觸目標組織，除了從第三方關係組織取得存取管道，以及透過高針對性的網路釣魚，他們也會透過Citrix、VMware，以及Azure的虛擬桌面基礎架構（VDI），來達到目的。</p> <p><a href="https://www.ithome.com.tw/news/172396"><strong style="font-size: 22px;">伊朗駭客入侵軍用船艦的自動識別平臺與監視器，意圖協助軍隊進行飛彈射擊</strong></a></p> <p>駭客對敵營從事網路攻擊，以此協助軍事行動的情況，在烏克蘭戰爭裡不時傳出，其中有許多是俄羅斯駭客從事這類活動，如今有大型雲端業者揭露新的調查結果，指出伊朗駭客試圖藉由入侵軍事系統，掌握海上與陸上的軍事行動。</p> <p>Amazon本週發布調查報告，揭露伊朗駭客Imperial Kitten與MuddyWater配合軍事行動的網路攻擊，其中，Imperial Kitten於2021年，成功入侵其中一艘軍用船隻的自動識別系統（Automatic Identification System，AIS），從而存取船隻的重要基礎設施，Amazon威脅情報團隊察覺此事，並與受害組織著手處理。</p> <p>得逞後，他們食髓知味，擴大對更多的船隻下手，並藉此存取其中一艘船上的監視鏡頭，從而掌握即時畫面的情報。到了去年1月底，駭客將目標集中在特定船艦的AIS系統，結果事隔數日，胡塞武裝部隊就對Imperial Kitten監控的特定船隻發射飛彈。雖然胡塞武裝部隊並未成功，但Amazon指出，顯然網路攻擊嚴重影響軍事行動的運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/multi-threat-android-malware-sturnus-steals-signal-whatsapp-messages/">安卓惡意軟體Sturnus鎖定加密通訊軟體Signal、WhatsApp而來，意圖竊取對話內容</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/tsundere-botnet-expands-using-game.html">殭屍網路Tsundere以知名遊戲為誘餌，企圖綁架Windows電腦擴張版圖</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172392"><strong style="font-size: 22px;">ServiceNow Now Assist預設代理群組設計存在瑕疵，恐放大二階提示注入風險</strong></a></p> <p>雲端資安業者AppOmni研究人員指出，企業要是採用ServiceNow Now Assist AI代理的預設設定，讓多個代理在平臺內自動協作，即使啟用提示防護，仍可能遭二階提示注入攻擊，讓高權限代理在不知情下幫攻擊者執行未授權操作。研究強調，風險關鍵不僅在模型本身，更在代理探索與代理群組（Team）的設計，可能放大設定不當帶來的風險。</p> <p>要是提示內容進一步引導代理指派角色，可能出現替攻擊者加上Admin角色的情境，特別是在啟用SMTP時，代理甚至可能被誘導寄出含敏感資料的郵件成為外洩管道。風險上限取決於同一代理群組中代理具備哪些工具與權限，當查詢型與高權限操作混在一起時，影響範圍自然放大。</p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">AppOmni</span>回報研究結果，ServiceNow確認這屬於系統依設計運作的行為，並未將其視為程式漏洞，而是透過更新平臺文件，強調代理探索與代理群組設定可能帶來的安全風險，提醒使用者需透過正確組態降低風險。</p> <p><a href="https://www.ithome.com.tw/news/172294"><strong style="font-size: 22px;">AI推論框架存在ShadowMQ通訊漏洞，商用與開源多個推論引擎受影響</strong></a></p> <p>資安業者Oligo Security揭露，一系列影響人工智慧推論引擎的重大遠端程式碼執行漏洞，出現在Meta、Nvidia與微軟等業者使用的推論框架，以及vLLM、SGLang與Modular Max等開源專案，問題源頭被研究團隊統稱為ShadowMQ。這些框架多被用來支撐雲端LLM服務與企業內部人工智慧平臺，未更新修補，就有讓攻擊者在推論叢集上執行任意程式碼的風險。</p> <p>ShadowMQ並不是某一個單一產品的錯誤，研究人員指出，多個框架使用ZeroMQ進行節點間通訊時，採用Python的pickle模組從網路Socket直接反序列化收到的物件，像是透過recv_pyobj這類方便函式，一旦該Socket對外開放，而且沒有任何驗證機制，攻擊者只要能連上通訊埠，就可能送入特製資料，在反序列化過程中觸發任意程式碼執行。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-sonicwall-sonicos-flaw-allows-hackers-to-crash-firewalls/">SonicWall修補防火牆高風險SSL VPN漏洞，未經身分驗證攻擊者可造成服務中斷</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/d-link-warns-of-new-rce-flaws-in-end-of-life-dir-878-routers/">已終止支援的D-Link路由器DIR-878存在RCE漏洞，概念驗證程式碼已公開</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172369"><strong>【11月20日】華碩路由器成ORB網路的綁架目標，臺灣是主要目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172342"><strong>【11月19日】瀏覽器V8引擎存在零時差漏洞，用戶應儘速更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172323"><strong>【11月18日】惡意NPM套件濫用雲端資安防護服務，意圖過濾資安研究員</strong></a></p> </div></div></div>
2025/11/21 18:06作者周峻佑https://www.ithome.com.tw/news/172398
伊朗駭客UNC1549鎖定航太與國防領域而來，透過第三方供應商及VDI環境從事供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來因國際局勢加劇，國防、航太，以及航空產業成為許多國家級駭客下手的目標，其中伊朗駭客組織對中東地區從事網路間諜活動的情況，引起資安業者的注意。</p> <p>資安業者Mandiant本週揭露伊朗駭客組織對中東地區的網路間諜活動，警告<a href="https://cloud.google.com/blog/topics/threat-intelligence/analysis-of-unc1549-ttps-targeting-aerospace-defense"><strong>UNC1549的活動於去年中旬開始出現變化</strong></a>。這群駭客長年鎖定中東地區的國防、航太，以及航空產業，為了能夠取得受害企業組織的初始存取權限，現在他們採取雙重策略來達到目的，其中一種是利用精心設計的網釣活動，竊取憑證與散布惡意軟體；另一種是利用第三方供應商與合作夥伴的信任連線，做為發動攻擊的管道。</p> <p>Mandiant提及，對於國防承包商等資安成熟度較高的組織，他們通常投入大量資源進行防禦，不過，面對第三方供應商及合作夥伴之間的保護措施可能較為寬鬆，若是攻擊者事先入侵外部夥伴，往往能降低突破的資安防護的難度。</p> <p>UNC1549的活動最早可追溯到2023年底，通常會使用複雜的初始存取管道來接觸目標組織，除了從第三方關係組織取得存取管道，以及透過高針對性的網路釣魚，他們也會透過Citrix、VMware，以及Azure的虛擬桌面基礎架構（VDI），來達到目的。</p> <p>一旦成功進入網路環境，駭客就會運用特殊的橫向移動手法，其中一種手法是竊取受害組織的原始碼，運用相似的網域名稱從事釣魚活動，繞過代理伺服器，此外也有濫用內部服務的工單系統，取得憑證的情況。過程裡他們使用自製的工具，其中一種是名為DCSyncer.Slick的工具，UNC1549透過搜尋順序挾持手法進行部署，並用來從事DCSync攻擊。</p> <p>針對這波攻擊活動的特點，Mandiant強調駭客會預測資安人員的調查，並確保東窗事發仍能繼續活動，其中一種做法是放置後門及Beacon，但長達數個月處於沒有活動的狀態，只有受害組織嘗試清理的時候才會啟動，並重新得到存取權限。再者，他們採用隱密的C2系統，並運用大量反向的SSH Shell，並模仿受害組織產業有關的活動。</p> <p>為了持續在受害組織活動，他們運用一系列的自製工具，其中包含以C++與Go語言打造的後門程式TwoStroke和DeepRoot、隧道工具LightRail、GhostLine，以及PollBlend；再者，他們運用CrashPad解密瀏覽器存放的帳密資料，並使用SightGrab截圖，以及透過TrustTrap誘騙使用者輸入帳密資料。</p> <p>而在偵察及橫向移動，UNC1549多半運用合法工具來達到目的，其中包含AD Explorer，以及遠端管理、稽核、支援工具Atelier Web Remote Commander（AWRC）。再者，他們也透過名為SCCMVNC的工具，濫用微軟系統中心組態管理工具（SCCM）的遠端控制功能，而在無須第三方模組，以及不需使用者同意的情況下，建立VNC連線。</p> <p>在成功入侵搜括機敏資料後，他們還會將受害組織當作據點，用來對其他企業組織下手，進行供應鏈攻擊，推進情報收集的目標。</p> <p>針對UNC1549的活動，<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/suspected-iranian-unc1549-targets-israel-middle-east">Mandiant於去年2月首度揭露</a></strong>，當時這些駭客假借與以色列及哈馬斯相關的內容，或是職缺和登入網頁的名義，散布後門程式Minibike與Minibus，藉此進行情報收集，並將受害電腦當作入侵企業組織的據點。</p> </div></div></div>
2025/11/21 17:02作者周峻佑https://www.ithome.com.tw/news/172394
OpenAI將ChatGPT群組對話功能部署至全球用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI上周開始於臺灣、日本、紐西蘭及南韓市場<a href="https://openai.com/zh-Hant/index/group-chats-in-chatgpt/" target="_blank">測試群組對話（Group Chats）功能</a>，由於用戶反應良好，OpenAI周四（11/20）宣布，將在未來幾天把該功能部署至全球所有已登入ChatGPT的使用者，涵蓋Free、Go、Plus及Pro方案用戶。</p> <p>使用者只要點擊新對話或在現有對話之右上角的「成員」圖示即可建立群組對話，系統會產生一組邀請連結，可分享連結以邀請1~20名成員加入，首次加入或建立群組對話時，系統會請使用者建立一個小型個人簡介，而且群組中的任何人都可藉由分享該連結來邀請其他人。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1121-group-chats-in-chatgpt-OpenAI.png" style="width: 600px;" /></p> <p>這是一個有著ChatGPT參與的討論區，目前使用GPT‑5.1 Auto版本，ChatGPT會在適當時候發言，或者是在使用者呼叫它時發言。</p> <p>群組對話與使用者的私人對話完全分開，使用者的ChatGPT個人記憶也完全不會出現在群組裡，ChatGPT亦不會自群組對話裡建立新記憶體；群組中的每個人都能見到彼此，可以隨時離開，也可以隨時移除群組中的任何人，只有群組建立者無法被移除。</p> <p>OpenAI認為，群組對話功能適用於友人共同規畫旅行，或是其它需要動手實作的專案，作為群體決策之用，或者是職場與校園的專案或研究的協作。</p> </div></div></div>
2025/11/21 17:36作者陳曉莉https://www.ithome.com.tw/news/172395
伊朗駭客入侵軍用船艦的自動識別平臺與監視器，意圖協助軍隊進行飛彈射擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客對敵營從事網路攻擊，以此協助軍事行動的情況，在烏克蘭戰爭裡不時傳出，其中有許多是俄羅斯駭客從事這類活動，如今有大型雲端業者揭露新的調查結果，指出伊朗駭客試圖藉由入侵軍事系統，掌握海上與陸上的軍事行動。</p> <p>Amazon本週發布調查報告，<strong><a href="https://aws.amazon.com/tw/blogs/security/new-amazon-threat-intelligence-findings-nation-state-actors-bridging-cyber-and-kinetic-warfare/">揭露伊朗駭客Imperial Kitten與MuddyWater配合軍事行動的網路攻擊</a></strong>，其中，Imperial Kitten於2021年，成功入侵其中一艘軍用船隻的自動識別系統（Automatic Identification System，AIS），從而存取船隻的重要基礎設施，Amazon威脅情報團隊察覺此事，並與受害組織著手處理。</p> <p>得逞後，他們食髓知味，擴大對更多的船隻下手，並藉此存取其中一艘船上的監視鏡頭，從而掌握即時畫面的情報。到了去年1月底，駭客將目標集中在特定船艦的AIS系統，結果事隔數日，胡塞武裝部隊就對Imperial Kitten監控的特定船隻發射飛彈。雖然胡塞武裝部隊並未成功，但Amazon指出，顯然網路攻擊嚴重影響軍事行動的運作。</p> <p>另一起由MuddyWatter發起的攻擊，與伊朗6月下旬對耶路撒冷發動大規模導彈攻擊有關。該組織在5月上旬建置網路攻擊所需的基礎設施，並在一個月後用來存取已遭入侵的伺服器，取得位於耶路撒冷監視器的畫面。不到一週，伊朗發動大規模導彈射擊，巧合的是，上述調查結果與以色列政府的警告不謀而合：當時他們指出伊朗軍隊入侵了監控器來收集情報，並以此調整飛彈目標，呼籲民眾切斷監視器的網路連線。</p> </div></div></div>
2025/11/21 17:57作者周峻佑https://www.ithome.com.tw/news/172396
伊朗駭客APT42從事SpearSpecter攻擊活動，鎖定以色列國防機構與政府組織而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中東局勢日益緊張，<a href="https://www.ithome.com.tw/tags/%E4%BC%8A%E6%9C%97%E9%A7%AD%E5%AE%A2"><strong>伊朗駭客</strong></a>的網路間諜活動也不時傳出，這樣的情況引起以色列當局關注，並提出警告。</p> <p>以色列國家數位安全局（Israel National Digital Agency，INDA）<strong><a href="https://govextra.gov.il/national-digital-agency/cyber/research/spearspecter/">本週提出警告</a></strong>，被稱為APT42、Mint Sandstorm，以及CharmingCypress的伊朗駭客組織，從事網路間諜活動SpearSpecter，他們鎖定具有高價值的國防與政府官員，假借邀請參加重要會議為由，透過假的會議網頁竊取帳密資料，為了進一步從事長期間諜活動，他們散布PowerShell後門TameCat，藉此對受害電腦進行遠端控制與收集資料。值得留意的是，他們也將目標人士的家族成員納入攻擊範圍，藉此對官員施壓。</p> <p>INDA指出，這些駭客並未使用大規模網釣的策略，而是花費數天至數週的時間與目標人士建立關係，為了讓受害者降低戒心，他們也會透過即時通訊軟體WhatsApp進行更為直接的互動。不僅如此，APT42會根據攻擊目標的價值與活動目的，來調整攻擊的策略。</p> <p>針對SpearSpecter的攻擊流程，通常APT42會藉由社群媒體與公開的資料，對目標人士進行廣泛的偵察，進而設計特定情境取信受害者，並冒充關係人士來互動，以建立信任關係。這些駭客多半會舉辦專屬會議來進行，甚至有採取實體會議的情況，此外，他們還會運用WhatsApp增加信任。</p> <p>為了進一步掌握受害者的電腦，攻擊者會假借會議或是會議文件的名義，向受害者發送連結。一旦受害人點選，他們就會被導向OneDrive代管的誘餌檔案，不過，在檔案載入的過程裡，電腦會在背景被多次重新導向。</p> <p>其中一種是濫用Windows的URI協定，此時瀏覽器會出現彈出式視窗，要求使用者開啟檔案總管，若是照做，電腦就會連線到攻擊者的WebDAV伺服器，並顯示偽裝成PDF文件的LNK檔案。一旦使用者試圖開啟，電腦就會使用curl執行Shell命令，從Cloudflare Workers截取批次檔並執行，此批次檔就是TameCat主程式及載入工具，內含經混淆處理的PowerShell程式碼，用途是擷取其他有效酬載並於記憶體內執行。</p> <p>有別於過往APT42使用的惡意程式，新的TameCat在HTTPS連線以外，增加兩種C2通訊機制，分別是透過Telegram與Discord來進行。再者，攻擊者採取謹慎及隱密的手法，進行偵察與收集資料工作，TameCat還會刻意挑選有價值的資料，並排程透過加密通訊傳送到外部。</p> <p>令人意外的是，APT42外洩資料的過程，還會濫用Edge的遠端除錯機制，繞過瀏覽器對使用者資料的保護與管制措施。後門程式會以隱藏模式執行Edge，並關閉沙箱功能，以免存取受限，然後開放9222埠來進行「遠端除錯」。</p> <p>針對Chrome透過SQLite資料庫存放個人設定資料，TameCat濫用Sysinternals工具包的公用程式PsSuspend，暫停Chrome處理程序，使得相關檔案暫時解除鎖定，而能讀取個人設定資料的內容。</p> </div></div></div>
2025/11/21 15:15作者周峻佑https://www.ithome.com.tw/news/172386
ServiceNow Now Assist預設代理群組設計被指放大二階提示注入風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端資安業者AppOmni研究人員<a href="https://appomni.com/ao-labs/ai-agent-to-agent-discovery-prompt-injection/">指出</a>，企業要是採用ServiceNow Now Assist AI代理的預設設定，讓多個代理在平臺內自動協作，即使啟用提示防護，仍可能遭二階提示注入攻擊，讓高權限代理在不知情下幫攻擊者執行未授權操作。研究強調，風險關鍵不僅在模型本身，更在代理探索與代理群組（Team）的設計，可能放大設定不當帶來的風險。</p> <p>Now Assist主打多代理協作，由後端的AiA ReAct Engine與Orchestrator負責分派任務並尋找具備相應能力的代理。當管理者選用支援代理探索的大型語言模型，例如預設的Now LLM或Azure OpenAI，並將多個代理部署在同一個LLM虛擬代理平面時，系統會自動將這些代理納入同一個代理群組，且在發布到介面時預設為可被其他代理發現。</p> <p>對管理者而言，這樣的機制能簡化配置流程，但在實際營運環境中，當查詢型代理與具備高權限工具的代理被放在同一群組，便可能出現權限單純的代理在受提示影響時，將任務轉交給具更高權限的代理，進而放大設定上的風險。</p> <p>研究人員用一個示範情境說明，當系統中有兩個僅供管理者使用的Now Assist代理，一個專門閱讀與摘要ITSM工單，另一個則具備在任務相關資料表上讀取、建立與更新紀錄的能力。。同時，系統內有一名低權限使用者，只能建立自己的工單，無法查看他人工單。</p> <p>低權限使用者先建立一張工單，並在描述欄放入事先設計的提示，要求任何讀取該欄位的代理必須先去讀取另一張高敏感度工單的內容，再把資料複製回目前工單。依ServiceNow的存取控制，他原本無權查看那張敏感工單，而測試期間提示注入防護功能也已啟用。</p> <p>問題出現在管理者後續處理這張工單時，分類代理讀取描述欄後收到隱藏指令，因自身無法跨工單存取，便在同一代理群組內尋找可協助的代理，最終由具備CRUD能力的紀錄管理代理代為讀取敏感工單並把內容寫回來。由於Now Assist代理會以啟動對話者的權限運作，整個流程等同於讓管理者在不知情的情況下，替攻擊者完成跨工單存取，突破原有控制。</p> <p>研究人員在其他測試中還發現，要是提示內容進一步引導代理指派角色，可能出現替攻擊者加上Admin角色的情境，特別是在啟用SMTP時，代理甚至可能被誘導寄出含敏感資料的郵件成為外洩管道。風險上限取決於同一代理群組中代理具備哪些工具與權限，當查詢型與高權限操作混在一起時，影響範圍自然放大。</p> <p>研究人員將結果回報給ServiceNow後，ServiceNow確認這屬於系統依設計運作的行為，並未將其視為程式漏洞，而是透過更新平臺文件，強調代理探索與代理群組設定可能帶來的安全風險，提醒使用者需透過正確組態降低風險。</p> </div></div></div>
2025/11/21 16:51作者李建興https://www.ithome.com.tw/news/172392