iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】12月3日，蠕蟲攻擊活動Shai-Hulud 2.0、GlassWorm鎖定開發環境而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172599"><strong style="font-size: 22px;">NPM蠕蟲Shai-Hulud 2.0攻擊活動仍在持續，恐曝露40萬組開發機敏資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1764605985-pace-repos.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1764605985-pace-repos.png" style="width: 300px; float: right;" /></a></p> <p>一週前9家資安業者不約而同提出警告，Shai-Hulud蠕蟲二度現身NPM套件儲存庫，3天內上傳逾1千個套件，感染2.7萬個GitHub儲存庫，災情也蔓延到Maven Central，他們將這起事故稱為Shai-Hulud 2.0或Sha1-Hulud，如今有資安業者進一步清查受害範圍，公布後續態勢。</p> <p>資安業者Wiz指出Shai-Hulud 2.0活躍期間比第一波攻擊長，在11月24日事故揭露之後，超過6天仍有新的儲存庫產生，但速度趨緩，每天僅有增加數十個儲存庫。不過，相關的活動於12月1日再度升溫，攻擊者在半天裡產生超過200個新儲存庫。值得留意的是，這起事故不光影響NPM生態圈及Maven Central，可用於組建事件驅動架構的AsyncAPI，該公司的NPM權杖（Token）與Open VSX的API金鑰都被外洩。</p> <p>而針對遭到感染的電腦，大部分都是CI/CD Runner，亦即執行 CI/CD（持續整合/持續部署）任務的程式或代理程式，僅有不到四分之一（23%）是開發者的電腦。對於作業系統的部分，87%受害電腦執行Linux，另有12%為macOS。Wiz指出，受害電腦幾乎執行Linux的主要原因，就是前述的Runner實際上多在容器環境運作。這樣的情況，也使得攻擊者在這波活動裡，嘗試進行容器逃逸的行為。</p> <p><a href="https://www.ithome.com.tw/news/172595"><strong style="font-size: 22px;">蠕蟲程式GlassWorm出現第三波大規模攻擊，鎖定熱門工具與開發框架而來</strong></a></p> <p>兩個月前，開源Visual Studio Code（VS Code）延伸套件市集Open VSX出現蠕蟲程式GlassWorm，11月初出現第二波攻擊，如今又有新一波活動出現，而且手法發生變化。</p> <p>11月30日資安業者Secure Annex發現新一波攻擊行動，共辨識出23個惡意VS Code延伸套件，這些套件複製熱門套件的功能，一旦使用者安裝到電腦，後續在推送更新的時候就會挾帶惡意軟體。此外，雖然這些套件主要被用於散布GlassWorm，但是Secure Annex不排除同時有其他攻擊活動，也可能透過這些套件進行。</p> <p>這波活動的惡意套件，有17個上架到VS Code市集，另有7個上架至Open VSX（其中一個同時在兩個市集出現），而這些套件共通點，就是攻擊者針對知名開發工具與框架而來，例如：Flutter、Vim、Yaml、Tailwind、Svelte、React Native，以及Vue。在這些套件成功上架後，攻擊者就會試圖竄改安裝次數，讓這些套件在市集的搜尋結果排在較正牌的前面，來引誘使用者上當。</p> <p><a href="https://s4.itho.me/sites/default/files/images/glassworm-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/glassworm-1.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/172583"><strong style="font-size: 22px;">研究人員針對560萬個GitLab公開儲存庫進行調查，曝露超過1.7萬組有效的雲端憑證</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/VLghV5ye64CK2iAJ3kt1Sq71N4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/VLghV5ye64CK2iAJ3kt1Sq71N4.png" style="width: 300px; float: right;" /></a></p> <p>資安工程師Luke Marshall針對GitLab雲端服務展開大規模掃描，利用秘密掃描工具TruffleHog檢查約560萬個GitLab公開儲存庫，最後確認有超過1.7萬組憑證在掃描時經驗證仍可使用，涵蓋雲端服務金鑰、API存取權杖與平臺專用Token。</p> <p>Luke Marshall這次研究的目標，是掌握GitLab所有公開儲存庫中憑證外洩的整體狀況，而非只抽樣少數專案。Luke Marshall透過GitLab公開API列舉所有標示為公開的專案，建立約560萬個儲存庫清單交由TruffleHog掃描。掃描結果顯示，這些有效憑證分散在約2,804個網域或組織，類型以雲端與SaaS服務金鑰為主，其中Google雲端平臺憑證是最常見的一類。</p> <p>他估算，大約每1,060個GitLab公開儲存庫，就會找到至少一組仍能使用的GCP憑證，有些憑證出現於2009年的提交記錄，雖然這些應是從舊系統或其他平臺匯入，但仍被驗證為有效，也就是說只要組織沒有主動汰換與撤銷，金鑰就可能在程式碼存活十年以上。</p> <p><a href="https://www.ithome.com.tw/news/172588"><strong style="font-size: 22px;">Google發布12月安卓例行更新，修補2項零時差漏洞</strong></a></p> <p>12月1日Google發布本月安卓例行更新，總共修補107個漏洞，其中較為受到關注的部分，是兩個被用於攻擊行動的零時差漏洞。</p> <p>這兩個漏洞是CVE-2025-48572與CVE-2025-48633，其中，CVE-2025-48572出現在系統框架，為高風險層級的權限提升漏洞（EoP），影響13至16版安卓作業系統；另一個漏洞CVE-2025-48633，也是位於系統框架的高風險漏洞，可被用於資訊洩露（Information Disclosure，ID），同樣影響安卓作業系統13至16版。</p> <p>雖然Google並未說明漏洞其他細節，也沒有提及攻擊者如何利用，但他們提及已掌握遭到利用的跡象，疑為鎖定少數人士的目標式攻擊。過往類似的資安漏洞，往往用於間諜軟體活動，或是國家級駭客針對特定人士的漏洞利用活動。</p> <p><a href="https://www.ithome.com.tw/news/172592"><strong style="font-size: 22px;">鴻海旗下連接器製造商鴻騰精密傳出遭勒索軟體INC Ransom攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bbc92f98c26153f46b0c9c816c53834c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bbc92f98c26153f46b0c9c816c53834c.png" style="width: 300px; float: right;" /></a></p> <p>根據民視財經網的報導，勒索軟體集團INC Ransom於暗網發布文章聲稱，他們入侵了鴻海集團旗下的香港上市公司鴻騰精密科技（Foxconn Interconnect Technology，FIT），附上螢幕截圖，並表明已截取AD的相關資料（AD Dump）。由於近年鴻海積極投入電動車領域，製造連接器設備的鴻騰精密扮演舉足輕重的角色，這起事故可能會帶來嚴重的影響。</p> <p>對此，我們也詢問鴻海，該公司表示FIT已於11月底在香港證交所發布公告，說明此事對整個集團的財務無重大影響。該公告提及，這起事故發生在11月初，起因是資訊系統遭到入侵，導致伺服器受到攻擊。FIT在察覺攻擊活動後，隨即採取緊急回應及復原程序，目前已完全恢復正常運作。</p> <p>針對上述的報導內容，我們也在網路上搜尋，看到威脅情報平臺FalconFeeds.io、DeXpose，以及Ransomware.live都針對此事提出警告，指出INC Ransom於11月26日，將Foxconn Interconnect Technology Limited（fit-foxconn.com）列於受害者網站，並要脅該公司若不派出代表跟他們聯繫，就要將所有竊得的資料公開。</p> <p><a href="https://www.ithome.com.tw/news/172587"><strong style="font-size: 22px;">賓州大學Oracle EBS遭駭，1500人資料外洩</strong></a></p> <p>賓州大學（University of Pennsylvania, UPenn）本周通報Oracle E-Business Suite（EBS）資料外洩事件，遭駭客竊取近1500人個資。</p> <p>根據這家長春藤名校向緬因州檢察長辦公室的通報文件，在上個月甲骨文公司向客戶發布漏洞警告後，該校展開調查，並發現EBS已遭未授權存取資料，他們在第一時間通報執法機關，以及修補安全漏洞。</p> <p>經過進一步仔細探究，該校判斷資料外洩時間在今年8月9日到8月11日之間，他們在11月11日查明外洩資料人員的身分，並在12月1日通知受影響人員。根據官方通報，有1488人受影響。</p> <p><a href="https://www.ithome.com.tw/news/172591"><strong style="font-size: 22px;">法國足球協會遭網攻，會員資料外洩</strong></a></p> <p>法國足球協會（FFF）透過官網的聲明指出，其用於各足球俱樂部行政管理、特別是會員（被授權者）登記管理的軟體遭到「網路惡意行為及資料竊取」。</p> <p>他們發現有人利用遭侵入的帳號進行未授權存取。協會安全部門立即停用該帳戶，並重置所有使用者帳號密碼，同時也通報了當局，包括法國國家資訊系統安全局（ANSSI）及資料保護機構（CNIL）。</p> <p>法國足球協會已通知受影響人員遭竊取的資訊類型，包括姓名、電子郵件信箱、性別、出生日期與地點、國籍、郵寄地址、電話號碼及會員編號。協會強調，帳號密碼及財務資訊未受影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安事故</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-calendly-invites-spoof-top-brands-to-hijack-ad-manager-accounts/">假線上會議濫用Calendly平臺，駭客冒充知名品牌誘騙Google與Meta廣告管理員帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/iran-linked-hackers-hits-israeli_2.html">伊朗駭客MuddyWater鎖定以色列而來，散布後門程式MuddyViper</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korea-lures-engineers-to-rent-identities-in-fake-it-worker-scheme/">北韓駭客假借徵才名義，濫用合法工程師的身分謀取歐美公司的遠距工作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/china-linked-apt31-launches-stealthy.html">中國駭客APT31鎖定俄羅斯IT產業而來，利用雲端服務從事網路攻擊</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172575"><strong>【12月2日】勒索軟體Qilin透過代管服務業者對逾20家韓國資產管理公司發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172554"><strong>【12月1日】韓國大型電商平臺酷澎資料外洩，3,370萬名用戶個資流出</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172521"><strong>【11月28日】開發人員不慎在程式碼編排平臺曝露企業組織的機敏資料</strong></a></p> </div></div></div>
2025/12/3 17:24作者周峻佑https://www.ithome.com.tw/news/172600
數發部：抖音、微信、小紅書等5款App存在高資安風險，可能洩露資料至中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對國人使用App已相當普遍，App的便利性往往吸引使用，但是背後可能潛藏資安風險，數發部資通安全署指出，部分國人使用的App，例如抖音、微信、小紅書存在資安風險，可能外洩資料至中國政府。</p> <p>數發部次長葉寧表示，民眾在生活上已習慣使用各種行動應用程式App，舉凡網路購物、工作、金融交易、即時通訊等等，App在日常生活裡幾乎無所不在，使用App往往要求使用者提供各種權限，存載使用者資料，App經營者受到所在國家的法律管轄，可能存在的資安風險，不光是臺灣，全世界各國家都會重視。</p> <p>因此某些App使用上可能存在資安風險，他以抖音、微信、小紅書為例，由於其App經營者在中國，根據中國網絡安全法及國家情報法，政府機關可要求業者提供資料，民眾使用手機的資料可能因此洩露至中國，甚至資料包括聲音、影像等可能被詐騙者利用，實行精準詐騙。</p> <p>數發部資安署長蔡福隆表示，目前民眾的生活已高度依賴App，但是部分的App可能存在多項的資安風險，可能危害到使用者的個人資料及行動裝置安全，因此提醒民眾使用的App應有資安意識，App可能會過度蒐集使用者的資料，或是要求超過合理的授權。</p> <p><span style="color:#B22222;"><strong>資安法修法後上路，公務機關不得使用危害國家資通安全產品</strong></span></p> <p>蔡福隆進一步說明，資安法修正後已於今年9月由總統公布，並在12月1日正式施行，其中第11條及27條對於危害國家資通安全產品要求，例如公務機關不得下載、安裝或使用可能危害國家資通安全的產品，包括公務機關自行或委外營運的場所，提供公眾視覺的設備或網路接取服務，基於資通安全考量，不得下載、安裝使用危害國家資通安全產品。</p> <p>而依據第27條規定，對於特定的非公務機關，包含關鍵基礎設施、國營事業、政府捐助的財團法人，中央目的事業機關得以對特定的非公務機關禁止其下載、安裝使用危害國家資通安全的產品。</p> <p>資安署也公布法務部調查、刑事警察局根據App資安檢測基準4.0，檢測抖音、小紅書、微博、微信、百度雲盤5款App。</p> <p>蔡福隆指出，這5款App都會將資料回傳到中國，提醒國人使用這些App存在資安風險，因為根據中國網絡安全法、國家情報法，政府可要求企業將資料、用戶數據提供給國安、公安、情工部門，使得國人的個資可能遭到中國特定單位蒐集應用，國人使用這些在中國開發的App，可能使其個資曝露在極大資安風險。</p> <p><span style="color:#B22222;"><strong>小紅書最多有15項違規樣態</strong></span></p> <p>依照資安署的檢測標準，細究5款App的違規樣態，蔡福隆指出，經檢測發現這5款App都有過度蒐集個資情形，過度要求使用者的權限，沒有充分保障相關個資的權限，使民眾的個資曝露在極大的危險性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(84).jpg" style="width: 600px; height: 277px;" /></p> <p>另外，檢測也發現App將資料導向中國境內，並將資料分享給其他廠商，還發現會蒐集重要的生物特徵資訊，其中小紅書有15項違規的樣態，其次是微博、抖音有13項違規的樣態。「顯示這些App的風險相對嚴重」，蔡福隆說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%962600(1).jpg" style="width: 600px; height: 321px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%963600(2).jpg" style="width: 600px; height: 317px;" /></p> <p>檢測結果經過歸納後，5款App的違規樣態可以分為6大類的資安風險，包括蒐集敏感性資訊、讀取儲存空間、逾越使用權限、握掌生物特徵、擷取系統資訊、數據回傳與分享。</p> <p>蒐集敏感性資料的風險部分，App蒐集手機所在的位置、通訊錄或是剪貼簿的內容，其中剪貼簿的內容可能被竊取，例如使用者複製信用卡號準備交易付款，卡號被竊取得可能有盜刷的風險；至於讀取儲存空間的風險，App存取手機內的照片、工作資料、病歷報告，造成敏感或個資外洩風險。</p> <p>逾越使用權限方面，發現5款App除了過度蒐集個資之外，也要求過多的權限，並且強調使用者同意不合理的隱私條款，強迫使用者資料分享給第三方業者使用；握掌生物特徵方面，蒐集臉部、指紋、聲紋等生物特徵資料，可能被用於偽造當事人的影像，散布造假訊息，造成名譽受損，「以往使用密碼，如果密碼被竊可以修改，但是生物特徵被竊並不容易改變」，蔡福隆說。</p> <p>數據回傳與分享的風險，可能將手機內的資料、個資回傳到中國的伺服器，分享給第三方，甚至依中國相關法規要求，供國安、公安、情資部門使用；擷取系統資訊方面，讀取手機安裝程式清單、系統資訊、使用者習慣等等，這些資訊如果外洩給詐騙集團，根據手機使用資訊及習慣，例如網路購物、金融交易，詐騙人士可能假冒客服人員進行精準詐騙，或是冒名訂購商品，造成糾紛、名譽損壞。</p> <p>資安署提醒民眾，為了防範App背後的資安風險，下載安裝前應詳閱隱私條款，特別是資料儲存地點，如顯示儲存於中國，就會存在遵守中國法律的規定可能帶來的風險。其次是分享的第三方廠商，評估資料分享第三方的合理性。</p> <p>另外，當App要求使用者允許權限，應評估要求的權限是否合理，例如導航App要求使用者授權存取個人健康資訊，明顯為不合理的情形，或是雲端硬碟要求存取錄音、錄影資料等不合理的情形。不只是App安裝之前評估權限是否合理，也要定時檢查手機內的權限開放，例如通訊錄存取是否有開放給不該開放的App使用。</p> <p>另外，資安署也建議手機內安裝防毒軟體，以封鎖惡意或不當的網站、確保Wi-Fi上網安全等等，也可以使用電信業者提供的網路防護服務，例如防止詐騙或惡意網站。民眾應提高資安意識，對於5款資安風險高的App，應避免安裝及使用。</p> <p>另依照12月1日上路的資安法修正，公務機關不得下載、安裝或使用這些危害資通安全的App，公務所配發的設備也不能下載、安裝及使用，而由政府提供的網際網路接取服務如GSN，也不提供5款App的公共傳輸服務，確保資通安全。</p> <p>除了加強宣導，提高民眾對使用高資安風險App的資安意識之外，目前數發部也與教育部合作，準備於今年底公布不適合兒少使用的App清單。另外，目前在中小學校園內，也從網路上封阻使用抖音、小紅書等App。</p> <p>至於中國廠牌手機，在資安上是否存在更高的風險？</p> <p>葉寧表示，資安是風險管控的概念，沒有任何東西是完全零風險，民眾需要根據風險，評估選擇適合自己的手機，手機方面，NCC已有進行相關的檢測，至於App方面，數發部針對國人比較可能使用的App進行檢測，因此針對5款App進行檢測。</p> </div></div></div>
2025/12/3 18:24作者蘇文彬https://www.ithome.com.tw/news/172598
NPM蠕蟲Shai-Hulud 2.0攻擊活動仍在持續，恐曝露40萬組開發機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一週前9家資安業者不約而同提出警告，<strong><a href="https://www.ithome.com.tw/news/172494">Shai-Hulud蠕蟲二度現身NPM套件儲存庫</a></strong>，3天內上傳逾1千個套件，感染2.7萬個GitHub儲存庫，災情也蔓延到Maven Central，他們將這起事故稱為Shai-Hulud 2.0或Sha1-Hulud，如今有資安業者進一步清查受害範圍，公布後續態勢。</p> <p>資安業者Wiz<strong><a href="http://www.wiz.io/blog/shai-hulud-2-0-aftermath-ongoing-supply-chain-attack">指出Shai-Hulud 2.0活躍期間比第一波攻擊長</a></strong>，在11月24日事故揭露之後，超過6天仍有新的儲存庫產生，但速度趨緩，每天僅有增加數十個儲存庫。不過，相關的活動於12月1日再度升溫，攻擊者在半天裡產生超過200個新儲存庫。值得留意的是，這起事故不光影響NPM生態圈及Maven Central，可用於組建事件驅動架構的AsyncAPI，該公司的NPM權杖（Token）與Open VSX的API金鑰都被外洩。</p> <p>而針對遭到感染的電腦，大部分都是CI/CD Runner，亦即執行 CI/CD（持續整合/持續部署）任務的程式或代理程式，僅有不到四分之一（23%）是開發者的電腦。對於作業系統的部分，87%受害電腦執行Linux，另有12%為macOS。Wiz指出，受害電腦幾乎執行Linux的主要原因，就是前述的Runner實際上多在容器環境運作。這樣的情況，也使得攻擊者在這波活動裡，嘗試進行容器逃逸的行為。</p> <p>根據受害的CI/CD平臺類型，GitHub Actions占近六成為大宗，但也有Jenkins、GitLab CI，以及AWS CodeBuild等其他平臺。</p> <p>究竟有多少機密資料外流？Wiz指出受害的儲存庫超過3萬個，其中約有八成曝露environment.json、七成曝露contents.json、五成曝露truffleSecrets.json，以及約有400個曝露actionsSecrets.json。</p> <p>其中，又以truffleSecrets.json檔案影響最大，當中包含超過40萬個憑證或是權杖，其中仍有超過六成NPM權杖仍為有效狀態；contents.json曝露了逾500個GitHub使用者名稱及權杖。</p> <p>附帶一提的是，所有被感染的套件下載次數差距相當大，Wiz指出其中的@postman/tunnel-agent-0.6.7與@asyncapi/specs-6.8.3兩個套件，合計的感染數量達到總數的六成，換言之，若是能及早對這類套件進行攔截，就可能讓這起事故受害範圍大幅降低。</p> </div></div></div>
2025/12/3 17:19作者周峻佑https://www.ithome.com.tw/news/172599
Mistral 3模型亮相，推出旗艦與輕量系列滿足雲端與邊緣AI需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國AI新創Mistral AI<a href="http://mistral.ai/news/mistral-3">釋出</a>新一代開源模型家族Mistral 3，以旗艦模型Mistral Large 3搭配Ministral 3小型模型系列，形成從雲端資料中心到邊緣裝置都能部署的完整產品線，鎖定企業與開發者在多語言、多模態與在地運算上的需求。</p> <p>Mistral Large 3採用稀疏MoE（Mixture-of-Experts）架構，推論時僅啟用部分專家網路，以降低運算成本與延遲。官方說明，Large 3約有410億活躍參數與6,750億總參數，支援最長25.6萬Token上下文，可支援長文件處理、跨語言對話與工具呼叫等企業級應用情境。</p> <p>Mistral 3家族全部採用Apache 2.0授權，旗艦模型Mistral Large 3目前開放的是基本版（Base）與指令微調（Instruct）兩種權重，官方尚未同步釋出推理（Reasoning）版本，表示之後會推出專門強化推理能力的變體。Mistral同時提供AI Governance Hub等技術與治理文件，協助企業在導入過程中處理合規與風險管理議題。</p> <p>Mistral Large 3在開源模型社群的排名屬於前段班，在<a href="https://lmarena.ai/leaderboard/text">LMArena文字評測的ELO分數</a>，Large 3約落在1418，與Qwen與DeepSeek等新一代開源旗艦模型的分數非常接近，整體實力明顯高於多數早期開源模型。依LMArena的分類來看，Large 3在開源非推理模型中已是前段班，要是只看開源陣營的整體排行榜，也達第一梯隊水準。</p> <p>對本地與邊緣運算需求，Mistral推出Ministral 3系列，提供30億（3B）、80億（8B）與140億（14B）三種參數規模，每一種都分為基本版、指令微調與推理三個版本，並具備多語言與圖像理解能力，適合部署於筆電、工作站、嵌入式裝置與邊緣伺服器等硬體環境，在資源有限的條件下，仍可支援對話助理、文件摘要與基本推理等應用。</p> <p>官方強調Ministral 3系列在成本效益上的設計不只反映在模型尺寸，也刻意控制回答時產生的Token數量，對於以Token計價或頻寬受限的場景，有助於降低營運成本，而針對需要較高準確度的情境，推理版本允許模型採用較長的推理步驟，以換取在數學與邏輯等基準測試上較佳表現。</p> <p>Mistral 3家族已在Mistral AI Studio、Amazon Bedrock、Azure AI Foundry、Hugging Face、IBM WatsonX與OpenRouter等多個平臺上架，之後也規畫透過Nvidia NIM與AWS SageMaker提供容器化或託管服務。</p> </div></div></div>
2025/12/3 17:06作者李建興https://www.ithome.com.tw/news/172597
蠕蟲程式Glassworm三度現身，鎖定熱門工具與開發框架而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>兩個月前，開源Visual Studio Code（VS Code）延伸套件市集Open VSX<a href="https://www.ithome.com.tw/news/171854"><strong>出現蠕蟲程式GlassWorm</strong></a>，11月初<strong><a href="https://www.ithome.com.tw/news/172137">出現第二波攻擊</a></strong>，如今又有新一波活動出現，而且手法發生變化。</p> <p>11月30日資安業者Secure Annex<strong><a href="https://secureannex.com/blog/glassworm-continued/">發現新一波攻擊行動</a></strong>，共辨識出23個惡意VS Code延伸套件，這些套件複製熱門套件的功能，一旦使用者安裝到電腦，後續在推送更新的時候就會挾帶惡意軟體。此外，雖然這些套件主要被用於散布GlassWorm，但是Secure Annex不排除同時有其他攻擊活動，也可能透過這些套件進行。</p> <p>這波活動的惡意套件，有17個上架到VS Code市集，另有7個上架至Open VSX（其中一個同時在兩個市集出現），而這些套件共通點，就是攻擊者針對知名開發工具與框架而來，例如：Flutter、Vim、Yaml、Tailwind、Svelte、React Native，以及Vue。在這些套件成功上架後，攻擊者就會試圖竄改安裝次數，讓這些套件在市集的搜尋結果排在較正牌的前面，來引誘使用者上當。</p> <p>針對本次活動與之前最大的差異，就是攻擊者改用Rust來打造惡意程式，並透過肉眼無法察覺的Unicode字元，將其埋藏於延伸套件。</p> <p>回顧過去，GlassWorm已出現兩波攻擊，第一波出現在10月17日，當時駭客上架7個惡意套件，總共被下載約35,800次；後續11月6日此蠕蟲再度出沒，這次攻擊者透過3個惡意套件進行感染，總計下載約9,700次。</p> </div></div></div>
2025/12/3 15:14作者周峻佑https://www.ithome.com.tw/news/172595
Google Geimini實力逼近，OpenAI內部發布紅色警報，全力改善ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>就在ChatGPT慶祝3歲生日之際，<a href="https://www.theinformation.com/articles/openai-ceo-declares-code-red-combat-threats-chatgpt-delays-ads-effort" target="_blank">The Information</a>與<a href="https://www.wsj.com/tech/ai/openais-altman-declares-code-red-to-improve-chatgpt-as-google-threatens-ai-lead-7faf5ea6" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）報導，OpenAI共同創辦人暨執行長Sam Altman本周一（12/1）透過內部備忘錄發布了紅色警報（Code Red），要求大家全力改善ChatGPT，並延後其它與ChatGPT無關的專案。</p> <p>OpenAI內部使用黃色、橙色與紅色警報來傳達應對問題所需的緊急程度，此次Altman所發出的紅色警報就是最高級別的緊急狀態，意謂著全公司應立即採取行動來因應當前的挑戰。</p> <p>根據報導，Altman要求團隊全面聚焦提升ChatGPT的日常使用體驗，包括加快回應速度、提升可靠性、擴大可回答的問題範圍，並強化個人化功能。他也要求相關同事每天參加追蹤進度的電話會議，確保改善作業以最高優先度推進。</p> <p>為此，OpenAI也將暫緩其它專案的開發，包括廣告、醫療/購物的AI代理人，以及名為Pulse的個人助理。</p> <p>外界認為，Altman的舉動源自於意識到Google Geimini的節節逼進。Google於11月推出的Google Gemini 3在推理、速度、圖像及影片生成上全面升級，拿下許多熱門基準測試冠軍；且基於Gemini的AI圖像生成工具Nano Banana則讓Gemini活躍用戶快速增加至6.5億；再加上Google擁有龐大的現金流支撐，對OpenAI形成實質壓力。</p> <p><a href="https://x.com/nickaturley/status/1995688752178741726" target="_blank">ChatGPT負責人Nick Turley表示</a>，OpenAI在3年前公開預覽ChatGPT時，大型企業並沒有開放它們內部所使用的AI系統，但OpenAI相信，任何人都應該能夠使用先進的AI技術。如今ChatGPT已成為全球排名第一的AI助手，占了約70%的助手使用率，也占了全球搜尋活動的10%。現在OpenAI的重點是不斷強化ChatGPT的功能，讓它更為個人化與直覺，同時擴大其全球覆蓋範圍。</p> <p>目前ChatGPT的每周用戶數已超過8億人。</p> </div></div></div>
2025/12/3 15:23作者陳曉莉https://www.ithome.com.tw/news/172596
Anthropic收購JavaScript執行環境Bun強化Claude Code底層效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic正式<a href="https://www.anthropic.com/news/anthropic-acquires-bun-as-claude-code-reaches-usd1b-milestone">宣布收購</a>高效能JavaScript執行環境（Runtime）與工具鏈開發商<a href="https://www.ithome.com.tw/news/158705">Bun</a>，此舉被視為該公司在AI輔助程式開發領域的重要戰略布局。Anthropic在聲明中指出，旗下針對開發者與企業推出的Claude Code產品，在公開發布六個月後推算年度化營收（Run-rate Revenue）已突破10億美元。由於要支撐高速成長的業務需求，Anthropic透過收購Bun，垂直整合應用層與執行層，進一步提升AI代理生成與測試程式碼的效率。</p> <p>Anthropic產品長Mike Krieger表示，隨著企業採用AI進行軟體開發的比例呈現指數級成長，底層基礎設施的重要性日漸上升。Bun由Jarred Sumner於2021年創立，以追求極致執行速度與高整合性著稱，集結了執行環境、套件管理器、打包工具與測試執行器於一體，目前Bun每月下載量超過720萬次，GitHub星數超過8.2萬顆，包括Midjourney與X等知名科技公司皆採用。</p> <p>事實上，Claude Code目前已以Bun編譯出的執行檔形式發布給用戶，搭配Bun提供的單一執行檔（Single-file Executable）能力，讓用戶不需要預先安裝Node.js即可運行。對於由AI驅動的開發流程而言，機器撰寫與測試程式碼的速度遠高於人類，因此傳統針對人類開發者設計的執行環境往往成為效能瓶頸。</p> <p>Bun創辦人Jarred Sumner也指出，AI代理撰寫的程式碼量大且迭代速度快，執行環境必須具備更快的啟動速度與更低的資源消耗。透過併入Anthropic，Bun團隊將直接與Claude Code團隊協作，針對AI開發場景最佳化底層引擎。</p> <p>針對開發者社群關心的開源承諾與相容性問題，雙方皆明確表示Bun將維持MIT開源授權，並持續在GitHub上公開開發。原有的核心開發團隊在加入Anthropic後，仍將持續負責Bun的維護與功能更新，包含對Node.js的相容性支援，Jarred Sumner坦言，加入Anthropic解決了Bun作為獨立開源專案長期的商業化難題，讓團隊能跳過變現壓力，專注於技術精進。</p> </div></div></div>
2025/12/3 14:31作者李建興https://www.ithome.com.tw/news/172593
DeepSeek推出最新版模型DeepSeek v3.2 首度整合工具使用能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國AI新創公司<a href="https://huggingface.co/deepseek-ai/DeepSeek-V3.2" target="_blank">DeepSeek本周釋出最新版模型DeepSeek v3.2</a>，首度將推理整合使用工具能力。</p> <p>DeepSeek v3.1是高運算效率和代理人效能、及推理能力兼顧的新模型。除了v3.2版，這家新創公司也開源了強化推理能力的<a href="https://huggingface.co/deepseek-ai/DeepSeek-V3.2-Speciale" target="_blank">DeepSeek v3.2 Speciale</a>。</p> <p>DeepSeek最新版本為v3.2-Exp的繼任版本，植基於三大新技術突破。包括DeepSeek Sparse Attention這種注意力機制可大幅降低運算複雜性，同時保留模型效能，特別是長上下文的情境。其次是可擴充強化式學習框架，藉由實作強化式學習及擴大後訓練運算，DeepSeek v3.2效能堪比OpenAI最新的GPT-5。</p> <p>DeepSeek v3.2-Speciale甚至超越GPT-5，推理能力則與Google Gemini-3.0-Pro相當。後者在2025國際數學奧林匹亞(IMO)及資訊奧林匹亞(IOI)測試上都展現金牌水準。而在ICPC World或IMO測試上也表現優異。</p> <p>第三，是大規模代理任務合成管線(pipeline)。研究團隊開發新式的合成管線，可系統化產生大量訓練資料，有助於大規模代理人後訓練，進而提升在複雜互動環境中代理人依從及泛化（generalization）能力。DeepSeek v3.2的訓練資料號稱包含1800多種情境下的8.5萬種指令。</p> <p>DeepSeek說，3.2版是該公司第一個將思維能力直接整合到工具使用能力的模型，它不論在思維(thinking)或非思維(non-thinking)模式下都支援工具使用能力。不過3.2-Speciale是專為深度推理任務設計，不支援工具呼叫。</p> <p>此外DeepSeek v3.2並更新聊天範本，主要是修改了工具呼叫格式，並新增「以工具思考」的能力，他們也提供工具，在專用 encoding 資料夾包含示範把 OpenAI 相容格式的對話訊息編碼成模型可接受的輸入字串的Python 範例程式，以及測試案例（test cases），以協助降低開發者轉移成本。</p> <p>二個模型以MIT授權開源。現在DeepSeek v3.2 已透過DeepSeek App、Web和API上線，DeepSeek v3.2-Speciale目前僅提供API存取。</p> </div></div></div>
2025/12/3 15:03作者林妍溱https://www.ithome.com.tw/news/172594
Google發布12月安卓例行更新，修補2項零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>12月1日Google<strong><a href="https://source.android.com/docs/security/bulletin/2025-12-01">發布本月安卓例行更新</a></strong>，總共修補107個漏洞，其中較為受到關注的部分，是兩個被用於攻擊行動的零時差漏洞。</p> <p>這兩個漏洞是CVE-2025-48572與CVE-2025-48633，其中，CVE-2025-48572出現在系統框架，為高風險層級的權限提升漏洞（EoP），影響13至16版安卓作業系統；另一個漏洞CVE-2025-48633，也是位於系統框架的高風險漏洞，可被用於資訊洩露（Information Disclosure，ID），同樣影響安卓作業系統13至16版。</p> <p>雖然Google並未說明漏洞其他細節，也沒有提及攻擊者如何利用，但他們提及已掌握遭到利用的跡象，疑為鎖定少數人士的目標式攻擊。過往類似的資安漏洞，往往用於間諜軟體活動，或是國家級駭客針對特定人士的漏洞利用活動。</p> <p>附帶一提，根據漏洞的危險程度，本次Google修補7個重大層級的漏洞，其中1個為系統框架的阻斷服務（DoS）漏洞、4個為位於Linux核心的權限提升漏洞，另有2個為高通元件弱點。</p> </div></div></div>
2025/12/3 10:44作者周峻佑https://www.ithome.com.tw/news/172588
鴻海旗下連接器製造商鴻騰精密傳出遭勒索軟體INC Ransom攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著地緣政治日益緊張，臺灣廠商遭遇網路攻擊的情況也變得相當頻繁，最近一起是11月下旬<strong><a href="https://www.ithome.com.tw/news/172377">Google公布臺灣數位行銷公司遭到滲透</a></strong>的事故，近期又有科技龍頭業者的子公司傳出遭遇勒索軟體攻擊，再度成為全臺關注的焦點。</p> <p>根據民視財經網的報導，<strong><a href="https://finance.ftvnews.com.tw/news/detail/2025C02W0166">勒索軟體集團INC Ransom於暗網發布文章聲稱</a></strong>，他們入侵了鴻海集團旗下的香港上市公司鴻騰精密科技（Foxconn Interconnect Technology，FIT），附上螢幕截圖，並表明已截取AD的相關資料（AD Dump）。由於近年鴻海積極投入電動車領域，製造連接器設備的鴻騰精密扮演舉足輕重的角色，這起事故可能會帶來嚴重的影響。</p> <p>對此，我們也詢問鴻海，該公司表示<strong><a href="https://www1.hkexnews.hk/listedco/listconews/sehk/2025/1127/2025112700283.pdf">FIT已於11月底在香港證交所發布公告</a></strong>，說明此事對整個集團的財務無重大影響。該公告提及，這起事故發生在11月初，起因是資訊系統遭到入侵，導致伺服器受到攻擊。FIT在察覺攻擊活動後，隨即採取緊急回應及復原程序，目前已完全恢復正常運作。</p> <p>針對上述的報導內容，我們也在網路上搜尋，看到威脅情報平臺<strong><a href="https://x.com/FalconFeedsio/status/1993752423823970331">FalconFeeds.io</a></strong>、<strong><a href="https://www.dexpose.io/incransom-strikes-foxconn-interconnect-technology-limited/">DeXpose</a></strong>，以及<strong><a href="https://www.ransomware.live/id/RklUQGluY3JhbnNvbQ==">Ransomware.live</a></strong>都針對此事提出警告，指出INC Ransom於11月26日，將Foxconn Interconnect Technology Limited（fit-foxconn.com）列於受害者網站，並要脅該公司若不派出代表跟他們聯繫，就要將所有竊得的資料公開。</p> <p>勒索軟體駭客攻擊鴻海旗下公司與工廠的情況，最近幾年已有數起。去年一月，<strong><a href="https://www.ithome.com.tw/news/160856">勒索軟體LockBit傳出攻擊鴻海旗下半導體設備廠京鼎</a></strong>，並竄改網站聲稱，他們握有京鼎客戶的所有資料，揚言該公司若不予理會，將摧毀內部網路環境；2022年，<strong><a href="https://www.ithome.com.tw/news/151270">鴻海墨西哥工廠傳出遭LockBit攻擊</a></strong>，後續得到鴻海證實。</p> </div></div></div>
2025/12/3 12:56作者周峻佑https://www.ithome.com.tw/news/172592
法國足球協會遭網攻外洩會員資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.fff.fr/article/15831-communique-du-26-novembre-relatif-au-vol-de-donnees.html" target="_blank">法國足球協會（FFF）近日公告內部會員管理軟體遭到網路攻擊</a>，致使為數不詳的會員姓名、電子郵件等資料外洩。</p> <p>法國足球協會透過官網的聲明指出，其用於各足球俱樂部行政管理、特別是會員（被授權者）登記管理的軟體遭到「網路惡意行為及資料竊取」。</p> <p>他們發現有人利用遭侵入的帳號進行未授權存取。協會安全部門立即停用該帳戶，並重置所有使用者帳號密碼，同時也通報了當局，包括法國國家資訊系統安全局（ANSSI）及資料保護機構（CNIL）。</p> <p>法國足球協會已通知受影響人員遭竊取的資訊類型，包括姓名、電子郵件信箱、性別、出生日期／地點、國籍、郵寄地址、電話號碼及會員編號。協會強調帳號密碼及財務資訊未受影響。</p> <p>協會呼籲會員留心可能收到的可疑或不尋常的訊息，像是簡訊、電話、電子郵件等，切勿開啟不明的附件、或提供帳號、密碼及銀行帳號等金融資料</p> <p>法國足球協會並未公佈受影響人數，以及是何種攻擊事件。</p> <p>在歐洲，足球相關組織常是網路攻擊的目標。<a href="https://therecord.media/paris-saint-germain-cyberattack-ticketing-system" target="_blank">去年法國第一級聯賽球會巴黎聖日耳曼(PSG)的購票網站也遭到攻擊導致會員身份資料被存取</a>，包括姓名、電子郵件和郵遞地址、手機號碼、出生日期、帳戶狀態，以及部分遮蔽的銀行國際匯款號(IBAN)。</p> </div></div></div>
2025/12/3 12:43作者林妍溱https://www.ithome.com.tw/news/172591
Amazon發表進階AI代理人Frontier Agent，3款軟體AI代理人打頭陣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Amazon於周二（12/2）的年度技術大會re:Invent 2025上，<a href="https://www.aboutamazon.com/news/aws/amazon-ai-frontier-agents-autonomous-kiro" target="_blank">發表了新一代的進階AI代理人Frontier Agent</a>，這類AI代理人具有自主性、可擴展性，而且不必持續干預就能執行數小時或數天的任務，首批出爐的是3款軟體AI代理人，分別為Kiro自主代理人、AWS Security Agent與AWS DevOps Agent。</p> <p>Amazon說明，以前的AI工具雖然能夠幫忙執行一些小任務，但工程師還是得不斷補充脈絡、盯進度，或是解決代理人卡住的地方，之後發現3個關鍵因素，與其盯進度不如給目標，團隊速度取決於能不能同時執行很多代理任務，且代理人能夠自己執行愈久愈好，因而催生了Frontier Agent。</p> <p>首波上線的3款代理人全跟軟體領域有關，例如Kiro自主代理人即專注於軟體開發，可長時間保持脈絡，同時理解多個儲存庫並獨立完成任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-Kiro%20autonomous%20agent-2.jpg" style="width: 600px;" /></p> <p>於是當工程師於GitHub指派工作時，Kiro會自行規畫步驟，提出程式碼修改與Pull Request，分類臭蟲，以及提高測試的涵蓋率。此外，它還會隨著團隊的審查、文件與決策持續學習，成為可共享且可並行運作的虛擬開發者，協助加速整體開發流程。</p> <p>AWS Security Agent則是一款專注於應用程式安全的AI代理人，能在開發全程自動審查設計文件，掃描Pull Request，同時依照企業安全標準檢查程式碼與設定，或是按需求執行滲透測試，針對整個應用組合快速產生具體、可驗證的漏洞發現與修補建議。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-AWS%20Security%20Agent-%EF%BC%92.png" style="width: 600px;" /></p> <p>工程師可根據需求來擴增代理人數以並行工作，讓安全檢查與部署同步，確保風險得以在早期即被識別與修正。專為攝影師設計的軟體即服務平臺SmugMug在試用AWS Security Agent後發現，該平臺在數小時內完成滲透測試評估，完勝手動測試的數天時間，而且成本只佔手動測試的一小部分。</p> <p>AWS DevOps Agent負責的是營運及事件處理，能在事故發生時即時介入，根據對應用程式、服務關聯性及各種遙測資料的理解快速找出根本原因。可整合CloudWatch、Datadog、New Relic、Splunk等觀測工具，以及操作手冊（Runbook）與CI/CD流程，協助減少平均修復時間。AWS DevOps Agent還會分析歷史事件，提出改善建議，從被動轉為主動以優化整體營運品質。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-AWS%20DevOps%20Agent.png" style="width: 600px;" /></p> <p>目前Kiro、AWS Security Agent與AWS DevOps Agent皆處於免費預覽階段。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2025/12/3 11:54作者陳曉莉https://www.ithome.com.tw/news/172590
賓州大學Oracle EBS遭駭 1500人資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/list.html" target="_blank">賓州大學（University of Pennsylvania, UPenn）本周通報Oracle E-Business Suite（EBS）資料外洩事件</a>，遭駭客竊取近1500人個資。</p> <p>根據這家長春藤名校向緬因州檢察長辦公室的通報文件，在上個月甲骨文公司向客戶發佈漏洞警告後，該校展開調查，並發現EBS已遭未授權存取資料，並且在第一時間通報執法機關，以及修補安全漏洞。</p> <p>經過進一步仔細探究，該校判斷資料外洩時間在今年8月9日到8月11日之間，他們在11月11日查明外洩資料人員的身份，並在12月1日通知受影響人員。根據官方通報，有1488人受影響。</p> <p>賓州大學並未公佈外洩的資料型態，只表示沒有資料公開、或被用於詐騙意圖及其他惡意行為的證據，可能性也不高。</p> <p>賓州大學是最新一家被Cl0p勒索軟體駭客外洩Oracle EBS資料的大學。在此之前，已有哈佛大學、<a href="https://www.ithome.com.tw/news/172492" target="_blank">達特茅斯學院</a>二所長春藤名校、南伊利諾州大學及杜蘭大學（Tulane University）等高等學府受害。其中，<a href="https://therecord.media/dartmouth-data-breach-thousands" target="_blank">媒體報導</a>達特茅斯大學受影響人數超過3.5萬人。</p> </div></div></div>
2025/12/3 10:39作者林妍溱https://www.ithome.com.tw/news/172587
Amazon發表Trainium3晶片與Trainium3 UltraServers
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Amazon於本周舉行的年度技術大會re:Invent 2025上，<a href="https://www.aboutamazon.com/news/aws/trainium-3-ultraserver-faster-ai-training-lower-cost" target="_blank">發表了全新的AWS Trainium3晶片及Trainium3 UltraServers伺服器</a>，前者為AWS的第四代AI專用晶片，後者則是採用Trainium3晶片的高效能AI伺服器。此外，Amazon亦揭露下一代的Trainium4將可整合GPU。</p> <p>AWS Trainium是AWS專為AI訓練及推論所建置的AI晶片系列，旨在於提供高效能的同時降低成本。新版的Trainium3採用3奈米製程，搭載HBM3e高頻寬記憶體，記憶體頻寬接近前一代的4倍，晶片的互連採用自家的NeuronLink-v4，能源效率改善了40%。</p> <p>而<a href="https://aws.amazon.com/tw/ec2/instance-types/trn3/" target="_blank">Trainium3 UltraServers</a>每臺伺服器最多可安裝144顆Trainium3晶片，前一代的Trainium2 UltraServers最多只能安裝64顆Trainium2晶片，所以新款運算能力最多可達362 petaflops，高於Trainium2 UltraServers的83.2 petaflops。</p> <p>此外，Trainium3 UltraServers採用AWS全新的NeuronSwitch-v1交換器，並透過NeuronLink-v4打造全互連架構，使伺服器內每顆Trainium3晶片之間都能以每秒2TB的高速互連頻寬進行資料交換。</p> <p>這使得Trainium3 UltraServers最高可提供4.4倍的效能、3.9倍的記憶體頻寬，以及超過4倍的每瓦特效能，可替訓練及部署前沿級模型提供最高的價格效能，包括強化學習、混合專家模型、推理型架構與長脈絡模型等。</p> <p>Amazon表示，包括Anthropic、Karakuri、Metagenomi、NetoAI、Ricoh與Splash Music等客戶，都透過Trainium將訓練與推論成本降低最多50%。此外，專注於即時生成影片的以色列AI新創Decart使用Trainium3進行即時生成影片，顯示其推論速度比GPU快4倍，但成本只有GPU的一半，讓原本需要大量GPU的影片生成模型可大規模部署與即時互動。</p> <p>不過，這是因為Decart的即時影片生成屬高吞吐量的推論工作負載，瓶頸在影格與資料的同時處理能力與記憶體頻寬，而非純運算力。Trainium在FP8推論、記憶體頻寬與並行最佳化上優於GPU，加上實例費率較低，使影片推論速度可達GPU的4倍、執行時間縮短，整體成本因此只有GPU的一半。</p> <p>Amazon也宣布，下一代Trainium4將支援Nvidia的NVLink Fusion高速互連技術，讓Trainium4、AWS自行開發的Graviton CPU，以及AWS的高效能網路介面EFA，能與GPU在同一個MGX機架中協同運作，提供同時支援GPU與Trainium的高效能、具成本效益的機架級AI基礎設施。</p> </div></div></div>
2025/12/3 11:05作者陳曉莉https://www.ithome.com.tw/news/172589
Palo Alto Networks斥資33.5億美元買下可觀測性平臺供應商Chronosphere
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球最大的獨立資安公司<a href="https://www.paloaltonetworks.com/company/press/2025/palo-alto-networks-to-acquire-chronosphere--next-gen-observability-leader--for-the-ai-era" target="_blank">Palo Alto Networks上個月宣布</a>，將以33.5億美元收購新一代的可觀測性平臺Chronosphere，以強化Palo Alto Networks協助企業在現代應用及AI工作負載下，打造統一資料及安全基礎的能力，預計於2026年7月底以前完成交易。</p> <p>Chronosphere是在2019年由Martin Mao與Rob Skillington共同創辦，兩人皆曾於微軟任職，之後又在Uber重聚，於Uber一起建置M3開源專案。當時M3的目標是替Uber的業務、微服務與基礎設施提供可見性，這是一種可觀測性平臺（Observability Platform），可藉由蒐集、集中及分析日誌、指標及追蹤等資料，來了解軟體系統的內部運作狀態。之後兩人即一同創辦了Chronosphere，將該平臺發揚光大。</p> <p>Chronosphere目前約有300名員工，提供完整的可觀測性解決方案，涵蓋基礎設施、應用層、分散式追蹤、紀錄、指標，以及資料管線（Pipeline）的監控與分析，以協助企業管理大規模、分散式系統的效能及監控資料，還在今年11月推出了AI引導故障排除功能。Chronosphere在2024年進行C輪融資時的估值為16億美元。</p> <p>Palo Alto Networks表示，現代應用及AI工作負載的成長，使得全天候不中斷的可用性與韌性成為重要任務，Chronosphere正是為此而生，它採用新世代的架構設計，具備AI時代的可擴展能力，可在高成本效率及高可靠性的前提下處理巨大雲端資料量。</p> <p>Palo Alto Networks執行長Nikesh Arora則說，一旦他們整合了Chronosphere與該公司的AI代理人平臺AgentiX，可觀測性將從單純的儀表板擴展到即時的代理人式修復。Palo Alto Networks不只要進入這個領域，而且要改變這個領域。</p> <p>根據Palo Alto Networks的規畫，整合上述兩個平臺之後，可觀測性的價值將從被動監控躍升為自動化修復平臺，新方案將在Chronosphere所監控的海量資料上部署AI代理人，除了偵測效能問題，還能自主調查根本原因，並以代理人方式完成修復。</p> </div></div></div>
2025/12/3 09:03作者陳曉莉https://www.ithome.com.tw/news/172585
560萬個GitLab公開儲存庫掃描結果，超過1.7萬組雲端憑證仍有效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安工程師Luke Marshall針對GitLab雲端服務展開大規模掃描，利用秘密掃描工具TruffleHog檢查約560萬個GitLab公開儲存庫，最後<a href="https://trufflesecurity.com/blog/scanning-5-6-million-public-gitlab-repositories-for-secrets">確認有超過1.7萬組憑證在掃描時經驗證仍可使用</a>，涵蓋雲端服務金鑰、API存取權杖與平臺專用Token。</p> <p>Luke Marshall這次研究的目標，是掌握GitLab所有公開儲存庫中憑證外洩的整體狀況，而非只抽樣少數專案。Luke Marshall透過GitLab公開API列舉所有標示為公開的專案，建立約560萬個儲存庫清單交由TruffleHog掃描。掃描結果顯示，這些有效憑證分散在約2,804個網域或組織，類型以雲端與SaaS服務金鑰為主，其中Google雲端平臺憑證是最常見的一類。</p> <p>他估算，大約每1,060個GitLab公開儲存庫，就會找到至少一組仍能使用的GCP憑證，有些憑證出現於2009年的提交紀錄，雖然這些紀錄應是從舊系統或其他平臺匯入，但仍被驗證為有效，也就是說只要組織沒有主動汰換與撤銷，金鑰就可能在程式碼歷史裡存活十年以上。</p> <p>由於儲存庫數量龐大，Luke Marshall將整個掃描流程建構在AWS雲端，他先使用本機程式把560萬個GitLab儲存庫名稱丟進AWS Simple Queue Service佇列，再由大量啟動的AWS Lambda函數負責取出任務，並呼叫TruffleHog掃描並回傳結果。</p> <p>該研究顯示憑證洩漏存在平臺在地性現象，TruffleHog在GitLab公開儲存庫共找到406組仍可使用的GitLab憑證，但在Bitbucket僅找到16組GitLab憑證，Luke Marshall指出，開發者在自己最常使用的平臺，更容易意外提交該平臺本身的存取金鑰。</p> <p>研究中發現一個由個人電子郵件帳號提交的Slack Token，透過後續分析，確認這組Token實際屬於某家企業的Slack與Okta登入環境，而該案例在負責任通報後被評為最高優先級，並核發2,100美元獎金。Luke Marshall在過程中協助多家組織撤銷外洩憑證，也透過漏洞回報與獎勵計畫累積超過9,000美元報酬。</p> <p>Luke Marshall此前也曾以相同方法掃描Bitbucket公開儲存庫，當時檢查約260萬個專案，找到6,212組仍有效的憑證，累積約1萬美元獎金，與這次GitLab結果相比，GitLab上的有效憑證約為Bitbucket三倍，但獎勵金額卻相近，顯示憑證外洩的件數與實際風險未必成正比。另外，Luke Marshall提醒，程式碼託管平臺中的長期有效雲端與平臺憑證，需要企業透過例行的大規模自動化掃描主動找出並撤銷，避免多年未輪替的金鑰長期暴露在程式碼歷史裡。</p> </div></div></div>
2025/12/3 08:00作者李建興https://www.ithome.com.tw/news/172583
健保署揭癌症治療數位治理進展，明年還要納入2癌篩數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>健保署今日（12/2）揭露癌症治療的數位治理進展，內容涵蓋資訊整合、全人照護流程銜接和資料互通等3大面向。就資訊整合來說，健保署已建置跨司署的癌症大數據資料庫、整合包含AI在內的數位化工具，來提供癌症存活率監測、快速呈現病人病程變化，明年還要納入更多癌篩資料，如子宮頸癌HPV檢測、胃癌篩檢等。在資料互通部分，健保署則推動FHIR標準，目前已有19家醫院用來上傳癌藥事審資料。</p> <h1><strong>健康臺灣政策要2030年癌症標準化死亡率降低1/3，得靠數位治理協助</strong></h1> <p>健保署指出，去年健康臺灣政策出臺、提出2030年癌症標準化死亡率要減少三分之一後，健保署便著手執行。首先，他們盤點了2018年各醫學中心和專科癌症醫院，各癌症類別5年存活率的比較。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-12-02%20205936.png" /></p> <p>他們發現，不同醫院間，各癌別的存活率差異其實很大，比如同樣是肺癌，最高和最低存活率為64.3%和22.5%，差了41.8%。因此，健保署落實2030年目標的作法之一，是要醫院向標竿醫院學習、提高病人存活率。</p> <p>另一個作法則是要克服癌症治療的3大痛點，包括醫療資料散落在各處、以病人為中心的全人全程照護依然存在斷點，以及資料不互通。為解決問題，健保署今年起啟動資料整合，並以數位化方式串聯篩檢、診斷、治療與追蹤流程，同時推動FHIR標準，以解決跨院所資料交換的根本問題</p> <h1><strong>資料整合：建置癌症大數據資料庫、導入AI工具</strong></h1> <p>進一步來說，針對資料整合，健保署整合了衛福部跨司署的健康大數據，建置一套癌症大數據資料庫。這個資料庫涵蓋了院所醫事人力和設備、醫院上傳的病理和影像報告、健保醫療費用申報、國健署癌篩資料，以及癌症指引等資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-12-02%20203742.png" /></p> <p>有了這些資料，健保署開發了目標管理功能，來供院所查詢癌症死亡率、存活率、新藥使用率和癌症費用監測等，另也建置品質指標平臺，來讓院所查詢即時診斷／治療率、臨床指引遵循率等。再來，健保署也導入數位化工具，比如大家醫平臺、健保雲端系統和健康存摺等，同時也與院所和衛生所合作，來推動癌篩平臺。</p> <p>同樣是在資料整合部分，以癌篩來說，健保署在2021年時，就已在健保雲端系統中加入大腸癌、口腔癌、乳癌和子宮頸癌等4癌篩檢資料，今年11月18日則新增肺癌篩檢資料，也就是胸部低劑量電腦斷層掃描，明年預計納入子宮頸癌的HPV檢測資料，以及胃癌篩檢資料。</p> <p>同時，健保雲端系統近期也導入大型語言模型，將原本僅提供條列資訊的介面，升級為可輸出報告摘要、呈現病程變化的形式，協助醫師快速掌握病況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-12-02%20203804.png" /></p> <p>健保署建置的癌症存活率監測平臺，則提供1年到5年的存活率，供使用者觀測不同癌別的存活率差別，健保署接下來也將繼續擴充平臺功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-12-02%20203819.png" /></p> <h1><strong>用數位工具銜接全人照護斷點，推動FHIR解決資料互通難題</strong></h1> <p>為補強全人全程照護斷點，健保署以AI工具來協助辨識潛在個案，進一步介入追蹤。</p> <p>以大腸癌篩檢為例，在篩檢階段，民眾進行2年一次的糞便潛血檢查，要是陽性，就進入診斷階段，自篩檢日後半年內接受大腸鏡檢查。透過AI工具輔助，將大腸癌報告和病理報告摘要，列入追蹤個案，並進行後續就醫與治療。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-12-02%20203842.png" /></p> <p>健保署也針對整個癌症治療流程，推動FHIR數位轉型，要將癌症的篩檢、診斷、治療和追蹤等步驟所需的資料，改用FHIR標準。這分別對應到次世代基因定序檢測（NGS）申報資料收載、癌症重大傷病申請、癌藥事前審查申請，以及癌症個案療效追蹤等資料。健保署認為，透過標準化這些資料，醫院也能更好運用。</p> <p>目前，申請癌藥事前審查的166家醫院中，已有69家參與實作（42%），其中19家開始用FHIR送審。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-12-02%20204643.png" /></p> <p>健保署表示，FHIR可大幅提升癌藥審查效率。以往醫院需上傳PDF、經人工審查，常需14天才能完成；若改用FHIR統一規格並自動化審查流程，可望縮短用藥等待期，使病人更快獲得治療（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-12-02%20205018.png" /></p> <p></p> </div></div></div>
2025/12/2 21:14作者王若樸https://www.ithome.com.tw/news/172584
【資安日報】12月2日，勒索軟體Qilin透過代管服務業者對逾20家韓國資產管理公司發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172550"><strong style="font-size: 22px;">勒索軟體Qilin對韓國金融業者發起供應鏈攻擊Korean Leaks，背後疑似北韓駭客所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/qilin-victim-post5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/qilin-victim-post5.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Bitdefender揭露針對韓國金融業的供應鏈攻擊Korean Leaks，攻擊者疑為北韓國家級駭客Moonstone Sleet，他們借助大型勒索軟體租用服務（Ransomware-as-a-Service）Qilin的力量，將代管服務供應商（MSP）作為入侵受害組織的主要管道。</p> <p>Bitdefender之所以察覺這起事故，是因為他們近期調查勒索軟體威脅態勢的過程中，發現不尋常的現象：有別於過往勒索軟體的攻擊目標幾乎集中在歐洲和北美，9月韓國竟然占了25家，僅次於美國；而且，除了一家是建築公司，其餘都是金融服務業者，這種集中在特定國家與特定領域的情況，顯然是高度針對性的活動。而該國事故增加的原因，就是Qilin的攻擊。</p> <p>這波活動發生的過程大致可以分成3個階段，Bitdefender確認總共有33家公司受害，駭客目前公布了28家，Qilin的攻擊目標完全聚焦在金融業者，尤其是資產管理公司。令人不解的地方在於，駭客陸續從網站上移除4家公司的資料，Bitdefender推測可能基於駭客的內部政策，或是已經和受害企業談判完成的結果。為了證明是他們所為，駭客公布了近300張外洩資料的照片，光是已確認的部分，估計有超過100萬個檔案遭竊、檔案大小合計2 TB。不過，由於多數受害企業被公開的內容，缺乏相關的中繼資料等重要資訊而難以統計，因此這起事故的影響規模，應該遠大於此。</p> <p><a href="https://www.ithome.com.tw/news/172570"><strong style="font-size: 22px;">駭客組織ShadyPanda透過瀏覽器延伸套件市集，散布間諜軟體與後門程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6928c38b210340943bdc8c68_2dd22c2d.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6928c38b210340943bdc8c68_2dd22c2d.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Koi Security揭露駭客組織ShadyPanda的活動，該組織的活動最早可追溯到2018年，迄今感染430萬名Chrome與Edge用戶。值得留意的是，仍有部分活動現在仍持續進行。</p> <p>這些活動大致分成兩種型態，一種是規模較大的間諜軟體活動，駭客利用WeTab等5款惡意套件，收集使用者瀏覽的URL、搜尋記錄，以及滑鼠點選的內容，並傳送到位於中國的伺服器。上述的惡意套件總共被下載400萬次，其中WeTab有300萬次。</p> <p>另一種型態是部署後門程式，讓攻擊者能遠端執行任何程式碼（RCE）的活動。駭客經營Clean Master等5款套件，這些套件經過市集驗證，並被評為精選套件，直到2024年中才被武器化，一旦使用者安裝，這些套件每個小時下載JavaScript指令碼並執行，而且，也同樣會監控使用者瀏覽過的網站，並洩露經加密處理的瀏覽記錄，以及收集完整的上網特徵。這些套件總共被下載了30萬次。</p> <p><a href="https://www.ithome.com.tw/news/172574"><strong style="font-size: 22px;">惡意AI工具WormGPT 4與KawaiiGPT在地下論壇與Telegram頻道出現，被用於自動化網路犯罪</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-552106-166254-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-552106-166254-5.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Palo Alto Networks揭露兩款專供網路犯罪使用的AI模型，它們是WormGPT 4與KawaiiGPT，其中，WormGPT 4開發者透過租用的模式經營，自9月底開始營運，並透過Telegram頻道與地下論壇進行宣傳。此AI模型以2023年出現的WormGPT為基礎打造而成，能用於網釣、商業郵件詐騙（BEC），以及產生惡意軟體程式碼片段。</p> <p>特別的是，WormGPT 4不僅能產生令人信服的文字，模仿執行長或是受到信賴的供應商，還能避免常見的語法錯誤及不適當的語詞，目前已有超過500個用戶訂閱及使用。</p> <p>另一個惡意模型是KawaiiGPT，開發者採取完全不同的策略，他們在GitHub發布，免費提供給所有人使用，採用輕量級架構，建置自己的模型相當容易，Palo Alto Networks實際測試，發現部署到大部分Linux作業系統時，不到5分鐘就能完成。開發者宣稱，已有超過500名用戶註冊，其中每週約有250至270名用戶在使用。</p> <p><a href="https://www.ithome.com.tw/news/172407"><strong style="font-size: 22px;">SonicWall修補防火牆、郵件安全閘道漏洞</strong></a></p> <p>SonicWall近日發布安全更新，修補導致防火牆崩潰的漏洞，以及可在郵件安全閘道執行惡意程式碼、存取資訊的漏洞。</p> <p>影響SonicWall防火牆的安全瑕疵為CVE-2025-40601，它是存在SonicOS SSL VPN服務的堆疊緩衝溢位漏洞，CVSS風險評為7.5，可讓未經驗證的遠端攻擊者在發送呼叫後發生阻斷服務（DoS），導致防火牆當機。SonicWall表示，本漏洞只影響啟用SonicOS SSL VPN的管理介面，或啟動SSL VPN服務的防火牆。</p> <p>此外，SonicWall也發布另一安全更新，修補郵件安全閘道的2項漏洞，包括CVE-2025-40604及CVE-2025-40605。</p> <p><a href="https://www.ithome.com.tw/news/172563"><strong style="font-size: 22px;">印度政府要求智慧型手機製造商要預裝當地安全程式</strong></a></p> <p>根據12月1日路透社及The Indian Express報導，在印度政府的一項命令下，印度電信部已私下要求智慧型手機製造商要在所有的新手機上，預裝由印度政府所開發的安全程式Sanchar Saathi，包括蘋果、小米、三星、Oppo，以及Vivo等於當地銷售的各種品牌，此舉恐導致手機製造商的反彈。</p> <p>路透社所看到的命令是在11月28日頒布，要求智慧型手機製造商要在90天內預裝Sanchar Saathi於新手機，之後也必須透過軟體更新將Sanchar Saathi推送至舊裝置，而且不允許消費者刪除。</p> <p>The Indian Express引用一名印度政府官員表示，此一命令是「強化網路安全及反垃圾郵件措施」的一環，上周印度電信部也規定WhatsApp、Signal，以及Telegram等應用程式，必須要求使用者以註冊時所綁定的SIM卡才能登入及使用，不允許跨裝置或無SIM卡使用。</p> <p><a href="https://www.ithome.com.tw/news/172565"><strong style="font-size: 22px;">瑞士政府呼籲轄下機關避免使用M365等美國雲端服務</strong></a></p> <p>瑞士資料保護委員會議Privatim上周發布決議，為國安考量，瑞士政府機關應儘可能避免使用微軟、Google，以及AWS等業者提供的美國雲端服務，尤其是Microsoft 365。</p> <p>Privatim認為，將高度敏感的個資及具有保密義務的資料委外給大型國際供應商的SaaS方案（尤其是Microsoft 365），在大多數情況下是不符合要求的。原因之一是大多數SaaS尚未提供真正的全程加密。其次，這些平臺技術運作（例如安全更新發布或軟體變更）或員工、其下包商的管理不夠透明，無法滿足該國對資料保護及資安的確保要求，造成瑞士無法控管SaaS。</p> <p>另外，美國2018年生效的《雲端法案(CLOUD Act)》規定，美國政府可強制美國雲端供應商提供其用戶資料，而無需遵循國際司法互助程序，且該義務也適用於儲存在瑞士資料中心的資料。</p> <p><a href="https://www.ithome.com.tw/news/172568"><strong style="font-size: 22px;">AI時代下的北市府資安治理實務：用AI對付AI</strong></a></p> <p>在AI浪潮席捲全球的今日，城市治理的邊界不再僅限於實體空間，更拓展至虛擬的數位網路，當AI賦予了駭客前所未有的攻擊能力，也為城市資通安全帶來前所未有的挑戰，此刻的城市資安防禦戰略版圖也必須全面革新。</p> <p>臺北市作為臺灣的首善之都，一直走在資安防禦的最前線，身為臺北市政府資訊局局長趙式隆日前揭露相關對策，面對AI帶來致命的資安威脅與風險的此刻，他說明臺北市如何從頂層的戰略藍圖（Blueprint），一步步落實到基層的戰術執行（Tactics），如何藉由這樣的前瞻性資安戰略，建立一座具有高度數位韌性的智慧城市。</p> <p>趙式隆進一步指出，臺北市將「零信任」精神落實的同時，也運用AI技術進行相關的威脅偵測，更建立跨部門的資安聯防機制，以確保城市運作的數位韌性。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安事故</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fbi-cybercriminals-stole-262-million-by-impersonating-bank-support-teams-since-january/">FBI警告今年歹徒假冒銀行客服已騙走2.62億美元</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/public-gitlab-repositories-exposed-more-than-17-000-secrets/">公開的GitLab儲存庫曝露逾1.7萬組機敏資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/glassworm-malware-returns-in-third-wave-of-malicious-vs-code-packages/">蠕蟲程式Glassworm三度現身，鎖定熱門工具與開發框架而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ransomware-as-a-service-tool/">駭客組織ShinyHunters傳出轉換領域，打造專屬的勒索軟體</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172554"><strong>【12月1日】韓國大型電商平臺酷澎資料外洩，3,370萬名用戶個資流出</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172521"><strong>【11月28日】開發人員不慎在程式碼編排平臺曝露企業組織的機敏資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172512"><strong>【11月27日】新型態網釣手法JackFix假借Windows更新為幌子，企圖散布惡意程式</strong></a></p> </div></div></div>
2025/12/2 17:39作者周峻佑https://www.ithome.com.tw/news/172575
惡意AI工具WormGPT 4與KawaiiGPT在地下論壇與Telegram頻道出現，被用於自動化網路犯罪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客利用AI打造作案工具的情況，過往大多是濫用合法的工具來達到目的，如今有人專供犯罪份子使用的AI工具，使得駭客的作案門檻再度降低，無須繞過AI業者設下的防護措施，就能產生所需工具。</p> <p>資安業者Palo Alto Networks揭露<strong><a href="https://unit42.paloaltonetworks.com/dilemma-of-ai-malicious-llms/">兩款專供網路犯罪使用的AI模型</a></strong>，它們是WormGPT 4與KawaiiGPT，其中，WormGPT 4開發者透過租用的模式經營，自9月底開始營運，並透過Telegram頻道與地下論壇進行宣傳。此AI模型以2023年出現的WormGPT為基礎打造而成，能用於網釣、商業郵件詐騙（BEC），以及產生惡意軟體程式碼片段。</p> <p>特別的是，WormGPT 4不僅能產生令人信服的文字，模仿執行長或是受到信賴的供應商，還能避免常見的語法錯誤及不適當的語詞，目前已有超過500個用戶訂閱及使用。</p> <p>另一個惡意模型是KawaiiGPT，開發者採取完全不同的策略，他們在GitHub發布，免費提供給所有人使用，採用輕量級架構，建置自己的模型相當容易，Palo Alto Networks實際測試，發現部署到大部分Linux作業系統時，不到5分鐘就能完成。開發者宣稱，已有超過500名用戶註冊，其中每週約有250至270名用戶在使用。</p> <p>針對這些AI模型的特性，Palo Alto Networks實際取得並進行測試，其中，他們試圖利用WormGPT 4，生成能加密Windows電腦PDF檔案的指令碼，該模型隨即就交付了功能完整的PowerShell指令碼，內容包含勒索軟體程式碼，並能與C2伺服器協同運作，將竊得的資料透過洋蔥網路（Tor）外洩。</p> <p>他們也透過KawaiiGPT嘗試產生社交工程誘餌，Palo Alto Networks要求AI模型假冒銀行的名義，發送釣魚郵件，該AI模型就會生成看起來相當專業的信件，主旨是緊急要求使用者驗證帳號資訊，一旦使用者照做，他們就會被導向假的驗證連結，然後要求提供金融卡資料及出生日期。</p> <p>此外，他們也成功生成橫向移動的工具，KawaiiGPT濫用Python的SSH模組paramiko來提供相關功能，這些程式碼會使用合法使用者的身分進行驗證，並提供攻擊者遠端Shell，以便入侵其他設備。一旦攻擊者成功建立SSH連線，此惡意程式就能接收命令，進行權限升級、偵察、部署後門、收集敏感資料，並且對網路環境的其他系統，進一步發動攻擊。</p> </div></div></div>
2025/12/2 16:18作者周峻佑https://www.ithome.com.tw/news/172574
Nvidia以20億美元入股Synopsys，攜手重塑工程設計流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球AI晶片龍頭<a href="https://news.synopsys.com/2025-12-01-NVIDIA-and-Synopsys-Announce-Strategic-Partnership-to-Revolutionize-Engineering-and-Design" target="_blank">Nvidia與全球最大電子設計自動化（EDA）供應商Synopsys周一（12/1）宣布擴大策略合作</a>，Nvidia將以每股414.79美元、總價20億美元，購買Synopsys的普通股，同時雙方也將合作加速各種工程、模擬與設計流程，以縮短研發時間。</p> <p>Synopsys成立於1986年，是全球最大EDA與矽智財供應商。該公司提供晶片設計、驗證、電磁與光學模擬、系統分析等工具，並銷售USB、PCIe、DDR等高速介面IP，廣泛用於半導體、汽車、工業、航太與AI產品開發。多數先進晶片均依賴Synopsys的設計與驗證流程，包括Nvidia在內。</p> <p>從半導體產業到航太、汽車、工業等領域，研發團隊正面臨日益嚴峻的挑戰：工作流程複雜度持續攀升、開發成本不斷增加，加上產品上市時間的壓力越來越大，Synopsys執行長Sassine Ghazi表示，開發下一代智慧系統需要更深入整合電子與物理設計，並藉由AI能力與運算力來加速。</p> <p>與Nvidia合作的消息曝光後，Synopsys周一股價大漲4.85%，以438.29美元作收，市值增至835億美元。</p> <p>根據雙方的協議，它們將展開多年期的策略合作，Synopsys將利用Nvidia的GPU加速技術CUDA-X，以及物理模擬AI技術AI Physics，來全面加速旗下的高運算量工具，包括晶片設計、實體驗證、分子模擬、電磁與光學分析等。</p> <p>雙方也將整合Synopsys的AI工具AgentEngineer，再加上Nvidia的AI模型NIM、AI代理人套件NeMo，以及推論服務框架Nemotron，來推動代理型AI（Agentic AI）的自主化設計與模擬流程。</p> <p>Nvidia亦準備把Cosmos與Omniverse接上Synopsys的工程工具，讓研發團隊能在電腦裡先建立可運作的虛擬產品，提前測試晶片或機器人的行為。這三者結合後形成真正可用的數位分身，加速研發流程。雙方也會共同把GPU加速的工程工具推上雲端，同時共同制定市場推廣策略。</p> <p>雙方此次的合作並無排他性，Nvidia與Synopsys仍可分別與更廣泛的EDA或半導體生態合作。</p> </div></div></div>
2025/12/2 15:58作者陳曉莉https://www.ithome.com.tw/news/172573
OpenAI與Thrive Holdings結盟並取得股權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI不僅改變了人們生活、工作與學習的方式，也改變了產業的結盟形式，<a href="https://openai.com/index/thrive-holdings/" target="_blank">OpenAI周一（12/1）宣布</a>取得Thrive Holdings的股權，以協助Thrive Holdings旗下的企業採用AI。</p> <p>Thrive Holdings是由美國創投公司<a href="https://www.kirkland.com/news/press-release/2025/05/kirkland-advises-thrive-capital-on-formation-of-thrive-holdings?utm_source=chatgpt.com" target="_blank">Thrive Capital在2025年成立的企業控股平臺</a>，它主要收購已經成熟的企業，再注入Thrive的技術與營運能力，利用包括AI在內的各種技術來轉型企業。</p> <p>至於OpenAI則表示，將與Thrive Holdings合作，於企業的核心營運中推動可規模化的AI成效，首波將聚焦於會計及AI服務，因為這些領域具備大量、規則導向且流程繁重的工作，非常適合利用OpenAI平臺快速帶來效益。</p> <p>在執行上，OpenAI將把研究、產品與工程團隊嵌入Thrive旗下公司，以提升速度、準確度及成本效率，同時強化服務品質。並將建立一套可複製的模式，以期於未來拓展至更多產業。</p> <p>OpenAI營運長Brad Lightcap表示，此合作將展示前沿AI研究與部署若能快速導入整個企業，能如何徹底改造營運並提升客戶價值。</p> <p>OpenAI只說會取得Thrive Holdings股權，並未提及該交易的具體財務條款。<a href="https://www.ft.com/content/53e2003e-c5c0-42a1-937a-eaea77ac4d41" target="_blank">金融時報（Financial Times，FT）則引述消息來源報導</a>，OpenAI並未投入任何的資金，而是允諾Thrive Holdings旗下公司可存取OpenAI各種技術資源，來換得可觀的股份，此外，OpenAI也能從Thrive Holdings未來的收益中獲得補償。</p> <p>至於Thrive Capital也是OpenAI的股東之一，所投入的金額超過10億美元，其它投資標的還包括Instagram、GitHub、Stripe、Spotify及Databricks等。</p> <p>Thrive Capital/Thrive Holdings創辦人暨<a href="https://x.com/JoshuaKushner/status/1995484976951767350" target="_blank">Thrive Holdings執行長Joshua Kushner表示</a>，過去數十年來，科技都是從「外而內」改造全球產業，但他相信AI時代最深刻的轉型將從「內而外」發生，他們所擁有並經營的企業，將是打造、測試及改進各產業專屬產品及模型的最佳場域，將與OpenAI並肩合作，把AI深度整合到旗下所有事業，以長期視角推動企業轉型。</p> </div></div></div>
2025/12/2 14:48作者陳曉莉https://www.ithome.com.tw/news/172572
駭客組織ShadyPanda透過瀏覽器延伸套件市集，散布間諜軟體與後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客透過瀏覽器延伸套件散布惡意程式的情況，不時有事故傳出，如今有駭客團體活動長達7年才被發現，藉由長期建立信任、累積用戶，然後再利用更新機制發動攻擊。</p> <p>資安業者Koi Security揭露<strong><a href="https://www.koi.ai/blog/4-million-browsers-infected-inside-shadypanda-7-year-malware-campaign">駭客組織ShadyPanda的活動</a></strong>，該組織的活動最早可追溯到2018年，迄今感染430萬名Chrome與Edge用戶。值得留意的是，仍有部分活動現在仍持續進行。</p> <p>這些活動大致分成兩種型態，一種是規模較大的間諜軟體活動，駭客利用WeTab等5款惡意套件，收集使用者瀏覽的URL、搜尋記錄，以及滑鼠點選的內容，並傳送到位於中國的伺服器。上述的惡意套件總共被下載400萬次，其中WeTab有300萬次。</p> <p>另一種型態是部署後門程式，讓攻擊者能遠端執行任何程式碼（RCE）的活動。駭客經營Clean Master等5款套件，這些套件經過市集驗證，並被評為精選套件，直到2024年中才被武器化，一旦使用者安裝，這些套件每個小時下載JavaScript指令碼並執行，而且，也同樣會監控使用者瀏覽過的網站，並洩露經加密處理的瀏覽記錄，以及收集完整的上網特徵。這些套件總共被下載了30萬次。</p> <p>針對ShadyPanda的攻擊行動，Koi Security認為可區分為4波，第一波是透過大量的套件進行廣告詐騙，駭客於2023年上架125個Edge延伸套件，以及20個Chrome套件，這些套件駭客宣稱提供桌布功能，或是生產力應用程式，然而，只要使用者點擊eBay、Amazon，或Booking.com，延伸套件就會悄悄地注入特定的聯盟追蹤碼，一旦使用者進行購買行為，駭客就能收取傭金；此外，這些套件也會部署Google Analytics追蹤工具，並將用戶上網記錄出售變現。</p> <p>到了2024年初，ShadyPanda採取較為大膽的策略，試圖主動控制瀏覽器，其中一個惡意套件是Infinity V+，駭客標榜是分頁生產力工具，但也同時挾持瀏覽器的核心功能，其中一個是將搜尋重新導向至trovi[.]com，以此將搜尋記錄與搜尋結果變現；另一種功能是洩露使用者的Cookie，此套件會讀取特定網域的Cookie，並傳送追蹤資料，藉此監控上網行為。</p> <p>第三波活動發生在2024年中期，這次ShadyPanda利用Clean Master等5個惡意套件從事攻擊，其中有3個是在2018至2019年上架，這些套件全部合法運作數年，並在建立信任及累積用戶數量後，在達到超過30萬次下載的時候推送惡意更新。值得留意的是，他們在惡意更新之前，部署了秘密追蹤系統，目的是為了讓後續惡意更新的推送最佳化。</p> <p>這些惡意套件會導致瀏覽器存取遠端程式碼執行框架，每小時檢查api.extensionplay[.]com是否有新的指令，然後下載JavaScript指令碼，並以完整的瀏覽器API執行。Koi Security指出，攻擊者並非直接部署特定功能的惡意軟體，而是藉由這種後門管道，讓ShadyPanda指定於受害電腦載入的攻擊工具。</p> <p>第四波攻擊是專門針對Edge用戶而來，ShadyPanda上架5個惡意套件，累計安裝超過400萬次，其中有兩款是完整的間諜軟體。其中的WeTab會收集大量用戶資料，傳送到17個不同的網域，包含位於中國的8臺百度伺服器與7臺WeTab伺服器，此外，該套件也會將資料傳送到Google Analytics。</p> <p>究竟WeTab搜刮那些東西？包括即時傳送完整的上網記錄、以按鍵層級監控使用者搜尋內容、滑鼠點擊追蹤、瀏覽器指紋（Fingerprint），以及網頁互動資料（網頁停留時間，捲動操作等）。</p> <p>針對ShadyPanda活動，突顯了瀏覽器延伸套件市集的審核機制弱點，市集在開發者上架的過程進行嚴格的檢查，然而只要成功通過審核，套件後續的狀態往往就不會再追蹤。因此原本保護用戶的自動更新機制，也變成駭客發動攻擊的途徑。而上述的套件管理機制，在ShadyPanda犯案的7年當中，仍維持大致的作法，使得這些駭客能依循相同管道，散布有問題的套件。</p> </div></div></div>
2025/12/2 13:00作者周峻佑https://www.ithome.com.tw/news/172570
經濟部公布修正後的產創條例子法，租稅優惠新增AI、節能減碳項目
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>企業投資數位及淨零轉型迎來好消息!今年5月經濟部公布修正產業創新條例，近日<a href="https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=1&menu_id=40&news_id=121204" target="_blank">進一步公布產創條例子法</a>，原本投資的租稅優惠項目，保留智慧機械、5G及資通安全外，新增了AI、節能減碳，放寬投資抵減範圍，同時也將抵減時間延長至2029年。</p> <p>此次產創條例修正案放寬適用範圍，特別是第10條之1的設備投資抵減，抵減項目除了原本的智慧機械、5G及資安，新增AI、節能減碳，投資金額上限也從10億元提高至20億元，同時將原本於去年底到期的抵減時間，再延長到2029年。</p> <p>企業從2025年1月1日起訂購，適用新法規定的投資項目及金額上限，訂購日的2年內完成交貨或提供技術服務，交貨年度申請抵減，如果到期未完成，可申請展延1次，不得超過2年。</p> <p><span style="color:#B22222;"><strong>AI投資採用4項技術元素</strong></span></p> <p>而對於新增的AI投資，產創條例子法明定設備或服務所需具備的技術元素或功能範圍，例如具有AI算力的推論伺服器、AI邊緣運算設備等等。基於軟體訂閱制現今常見的商業模式，將授權使用軟體認列為無形資產者，也納入投資抵減的適用範圍。</p> <p>根據修正條文，AI指運用各類數據，形成產業所需的辨識、分類或生成等各種應用，以優化企業營運及生產製造效能的軟體、硬體、技術或技術服務，同時也列出使用的4項技術元素之一，包括機器學習演算法、深度學習演算法、大型語言模型、自然語言處理。</p> <p>值得注意的是，對於LLM大型語言模型，定義10億以上參數的大型語言模型，參數規模較小，對於採用較小參數的語言模型也能適用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-02%20%E4%B8%AD%E5%8D%8812_39_35.jpeg" style="width: 600px; height: 419px;" /></p> <p>至於投資節能減碳設備，例如高效能的空氣壓縮、冷凍空調、電動機、風機、迴轉動力水泵、鍋爐等等，甚至是目前企業在碳費徵收下，導入能源/碳管理系統相關的投資也能納入抵減。</p> <p>此外，節能減碳設備還包括製程上的改善，例如導入高效能製程設備、溫室氣體處理、廢熱/廢冷回收處理等等。</p> <p>除了上述AI及節能減碳的投資，產創條例也鼓勵投資新創租稅優惠方面，將有限合夥創投事業實收的出資額門檻降到1.5億元，並提高投資新創比重。另外，也放寬新創設立年限從2年延長為5年，個人投資門檻降至50萬元，如屬於國家重點發展產業，重點產業適用領域例如機器人、人工智慧、無人機系統等，所得額減除上限提高到500萬元。</p> <p>經濟部產業發展署表示，企業依據產創條例提出申請，可於1至5月期間申請去年投資抵減，產創條例子法公布後，近期經濟部將會陸續更新申請管道，以開放符合資格者申請。未來將會規劃多場說明會，對外說明新的租稅優惠措施，鼓勵業者加速導入AI應用、節能減碳及投資新創，促成產業轉型。</p> </div></div></div>
2025/12/2 12:55作者蘇文彬https://www.ithome.com.tw/news/172569
AI時代下的北市府資安治理實務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在人工智慧（AI）浪潮席捲全球的今日，城市治理的邊界不再僅限於實體空間，更拓展至虛擬的數位網路，當AI賦予了駭客前所未有的攻擊能力，也為城市資通安全帶來前所未有的挑戰，此刻的城市資安防禦戰略版圖也必須全面革新。</p> <p>臺北市作為臺灣的首善之都，一直走在資安防禦的最前線，身為臺北市政府資訊局局長趙式隆日前揭露相關對策，面對AI帶來致命的資安威脅與風險的此刻，他說明臺北市如何從頂層的戰略藍圖（Blueprint），一步步落實到基層的戰術執行（Tactics），如何藉由這樣的前瞻性資安戰略，建立一座具有高度數位韌性的智慧城市。</p> <p>趙式隆進一步指出，臺北市將「零信任」精神落實的同時，也運用AI技術進行相關的威脅偵測，更建立跨部門的資安聯防機制，以確保城市運作的數位韌性。</p> <h2><strong>零信任架構落實在多個層面，確保城市資安的未來</strong></h2> <p>趙式隆首先強調，面對當前複雜的資安環境，零信任架構（Zero Trust Architecture）已成為全球共識，其核心精神即是「永不信任、始終驗證」。這意味著，我們必須假設所有人都可能是潛在的威脅者，並且需要認真地解決安全問題。</p> <p>在過去，傳統資安思維高度依賴「白名單」或「黑名單」的認定，但這往往存在許多漏洞。「零信任」哲學則是假設：網路內外的每一個人、每一個設備都是潛在的威脅或是壞人，因此，必須更認真地驗證和控管每一個存取行為。</p> <p>臺北市政府在導入零信任機制方面，已發展出相當成熟的基礎架構，他們從「技術層面」與「規範層面」雙管齊下。趙式隆表示，這項長達五年到十年，跨越數個階段的重大目標，目前正聚焦「身分鑑別」階段，這也是趙式隆及其北市府資訊局團隊在本屆任期內的重要任務。</p> <h2><strong>實踐零信任架構，整合單一登入認證</strong></h2> <p>臺北市導入零信任架構，採取分階段實施的策略：首先是身分鑑別，接著是設備鑑別，最終達成信任推斷。他說：「這也是參考數位發展部建議的實施階段。」</p> <p>在具體技術層面，北市府已建置電子認證系統，並提供市府同仁各式的「多因素認證機制（Multi-Factor Authentication，MFA）」，包括：提供給一般民眾使用的「臺北通App」，或是公務員在府內登入使用的「臺北通公務App」（TaipeiON）外，這套認證系統還整合自然人憑證以及行動自然人憑證，並逐步採行「無密碼方式」（FIDO）登入公務入口網站，奠定了身分鑑別的架構基礎。</p> <p>趙式隆強調，這是一種與時俱進的做法，相較於過往必須設定超長、超複雜密碼的作法，多因素認證能更有效地保障資通安全，而這些認證機制已經廣泛運用於「臺北通」等市民服務，以及北市府公務同仁使用的「臺北ON」公務App登錄服務。</p> <p>不過，他坦言，光有技術還不夠，公務體系的基本原則是「依法行政」。因此，在導入任何重大系統前，典章制度的建立至關重要。為了替「零信任」的導入鋪路，臺北市政府便在2024年頒布《臺北市政府資通安全單一識別碼管理要點》。</p> <p>他表示，這項要點的目的，就是解決北市府內龐大且多樣的系統間交互作用所產生的問題，避免同仁需要記憶多組密碼和帳號外，並且在規範層次上，將市府及所屬公務機關、受監督的行政法人，納入單一識別碼的管理，以完成市府建構零信任架構中，使用者「身分鑑別」的基礎建設。</p> <p>「最終，零信任的實踐也體現在單一登入認證的整合（SSO）。」趙式隆表示，北市府已建立身分認證單一服務平臺，整合了超過三百個應用服務系統，涵蓋公文、差勤、E-mail及其他數位服務，提供同仁一站式服務，不僅提升了行政效率，也藉由單一入口的防堵機制，有效降低了資安風險。</p> <h2><strong>最晚於2026年完成身分鑑別的導入</strong></h2> <p>趙式隆透露，北市府導入零信任是長期的目標，預計耗費將近五年到十年。目前的規畫採取分三階段導入策略，分別是：「身分鑑別」、「設備鑑別」，以及最後的「信任推斷」。他也說，目前是專注於「身分鑑別」的落地，預計在2025年至2026年完成。</p> <p>零信任的核心技術導入，則涵蓋了三個關鍵要素。首先是關鍵技術導入，主要是部署存取閘道作為資源控管門戶（PEP），並透過反向代理技術和加密通道，調整防火牆與網域伺服器規則，徹底改變市府網路連線存取的框架，以全面提升安全防護。</p> <p>同時，也要部署決策引擎（PDP）和身份鑑別系統，以強化身分鑑別的決策能力，特別是採取多因素認證（MFA）結合生物特徵的多重驗證，用以防範日益猖獗的深偽技術（Deepfake）攻擊。</p> <p>其次是落實資源盤點與轉移。由於市府管理的資源不只是人，還包括大量的運算資源和設備，因此，趙式隆表示，資安部門必須重新審視並盤點全府各機關的網站資源，並依據其業務屬性與重要性，排定導入零信任架構防護的優先順序，確保它們符合一致性的規範；在執行上，市府採取新舊系統並行的策略，以確保在系統轉換過程中，既有服務不中斷。</p> <p>他強調，系統轉換必須遵循三大原則：新系統功能不能比舊系統差、服務不能中斷，且投入成本不應高於原本的系統，這顯示公部門推動重大資安變革的艱鉅。</p> <p>第三，要制定管理規範。他指出，除了上位法規，還針對使用者訂定相應的管理規範，例如單一識別碼管理、資通系統開發管理、鑑別器管理等，以落實零信任政策。而這套自上而下、由法規和技術共同驅動的零信任戰略，就是臺北市政府面對未來挑戰的堅實基礎。</p> <h2><strong>當語言和技術不再是阻礙，得學會由AI驅動反制策略</strong></h2> <p>隨著AI技術，特別是生成式人工智慧（Gen AI）的突飛猛進，駭客的攻擊門檻大幅降低，攻擊的規模和頻率也隨之增加。</p> <p>趙式隆認為，當戰略藍圖確立後，緊接著要應對的就是「AI時代下的新型態攻擊手法」，畢竟，當AI成為駭客的新利器時，臺北市政府就學會利用AI來對付AI，用魔法對付魔法。</p> <p>他指出，過去的資安攻擊需要具備工程背景的「駭客」（hacker）或「破解者」（cracker），但拜生成式人工智慧所賜，技術門檻已經幾乎瓦解；而大型語言模型（LLM）的出現，也使得駭客能夠更輕鬆產生惡意的社交工程郵件。</p> <p>趙式隆回憶，在過去，國外駭客很難對臺灣發動有效的攻擊，因為他們可能分不清兩岸的政治實體，且即使他們使用繁體中文，翻譯也往往生硬、不精準。</p> <p>然而，現在透過生成式AI製作出來的社交工程郵件，已經能夠在語義上模仿、學習，逼真到讓人難以意識到這是惡意信件。語言障礙在人工智慧的時代已經徹底消失了，「語言已不再是資安攻擊的阻礙。」他說。</p> <p>除了語言門檻消失，技術門檻也被瓦解。他表示，過去駭客攻擊需要具備工程背景，但現在普通人也能做到，因為許多「偽駭客」已經可以輕易地從網路取得現成的原始碼（Source Code），透過聊天機器人介面或惡意的提問（Prompt Injection），直接發動攻擊，甚至可以直接使用生成式AI來生成惡意軟體。</p> <p>趙式隆以「悠遊卡公司被破解遭盜領儲值金」的實際事件為例，說明駭客僅利用網路上的一段原始碼，稍微改變一些規則後，就能最大程度地運用，持續從悠遊卡公司的系統中獲利。這個案例也證明，在AI時代下，技術不再是發動攻擊的必要門檻。</p> <h2><strong>對於生成式AI採取審慎應對的態度</strong></h2> <p>雖然人工智慧所驅動的攻擊手法在「戰術上」未必比以前高明，但他坦言，駭客能夠使用AI進行「自動化攻擊」，攻擊的數量與頻率遠超手動操作，且攻擊的變化性也更高。這使得防禦方必須從軟體、硬體、系統層次，一直到核心配置（configuration）全面應對。</p> <p>面對駭客利用AI「降低門檻、提高機率、突破限制、減輕成本」的進攻策略，臺北市政府的應對策略是：從軟硬體系統層次，甚至到系統核心，全面使用人工智慧來對付人工智慧。白話講就是：「用人工智慧來對付人工智慧」，或者更形象地說：「用魔法來對付魔法」。</p> <p>面對這種新型態威脅，臺北市政府在安全維運中心（SOC）的監控導入AI技術，目標是提高偵防攔阻的城牆。這包括運用AI模型，收集各類型資安設備的紀錄，包括端點偵測軟體（EDR）、入侵防禦系統（IPS）、防火牆、網頁應用程式防火牆（WAF）等，從這些設備中挖掘到的數據，透過機器學習（Machine Learning）模型，去定義威脅偵測規則，並進行行為學習偵測。</p> <p>具體來說，市府利用AI引擎與機器學習來探勘各種資訊資產，鎖定陌生的連線、可疑的連線現象、高風險使用者，並建立常態基線行為。</p> <p>他指出，目前AI能夠協助偵測包含但不限於：服務主機連線總數異常、網頁後門活動及新種中毒活動、Windows主機異常的PowerShell指令、RDP入侵活動的暴力破解或橫向移動、SSL VPN使用者的異常登入行為、郵件主機異常寄信活動、DNS資料外洩，或加密通道等高達數十種潛在威脅情境。</p> <p>趙式隆進一步解釋目前臺北市在AI防禦的實務做法，他身為資料科學家，傾向使用資料科學（Data Science）、深度學習（Deep Learning，DL）或機器學習（ML）等詞彙，而非籠統的「AI」。</p> <p>目前，臺北市政府的防禦系統仍以規則為基礎（Rule-based）的解決方案為主，這些規則是市府自行訂定，當發生誤判時，能夠由工程師直接介入修改。</p> <p>在機器學習和深度學習方面，市府已開始採用判別式人工智慧（Discriminative AI），但實務上，誤判（False Positive）的問題仍然存在。對於這些基於ML/DL的誤判，市府的處理機制是先評估信心水準。</p> <p>趙式隆指出，在模型信心不足的初期，需仰賴人工檢查；當信心水準足夠高，便會放手讓系統自主處理；一旦發生誤判，例如不該被阻擋的流量被誤判擋住，就會立即有使用者提出異議，促使資安團隊修正。這種持續的結果回饋機制，使得系統能夠結果回溯檢視、持續修正，不斷優化以減少誤判。</p> <p>然而，他也對當前最熱門的生成式AI在防禦上的應用，表現出謹慎的態度。他認為，生成式AI目前在資安領域創造出的「新挑戰」，比它能「解決的問題」要多得多，它不僅可能產生誤判，還存在著「幻覺」、「灌水」（即自主產生新的問題）的風險。因此，作為追求穩健前進的政府機關，市府在利用生成式AI進行防禦方面，仍處於嘗試階段，尚未大規模應用。</p> <h2><strong>落實資安縱深防禦，加強跨部門聯防機制</strong></h2> <p>在城市層級的資安防護中，單一機關的努力遠遠不足，建立跨部門聯防機制是確保整體安全的重要環節。</p> <p>趙式隆指出，資安防禦不是資訊局單一局處的任務，而資訊局作為上位機關，真正服務民眾的機關是教育局、社會局、民政局等，這些單位都不能成為容易被駭客攻擊的目標。因此，建立跨部門的聯防機制變得至關重要。</p> <p>在國家層級，北市府與中央的數位發展部資安署及資安院等法人機構保持密切合作，進行情資共享與政策配合，資安院提供更專業的深入分析，輔助資安署形成全國性政策，而臺北市政府則在上位法規之下，完成地方層級的相關內容。</p> <p>在地方層級方面，臺北市政府則設立了TPE-CERT（Computer Emergency Response Team，電腦緊急應變小組）負責資安事件調查、鑑識、緊急應變及諮詢；另外有負責公開資訊發布、警訊發布及情資分享TPE-ISAC（Information Sharing and Analysis Center，資安資訊分享與情資中心），和透過大數據與人工智慧分析，進行聯防監控的SOC平臺。</p> <p>北市府透過SOC（資安情資與應變聯防中心），將大數據與人工智慧分析導入監控，進行情資聯盟與威脅情資餵送（IoC Feed），這種聯防機制有效地利用AI來提高偵防攔阻的門檻。</p> <p>趙式隆表示，透過這種整合，市府能夠有效降低人力成本、提高處置效率，將過去依賴大量人工判斷的工作轉變為人工稽核，降低人為誤判，並爭取更多應變時間。</p> <p>此外，當駭客利用AI模型生成多樣性、能夠有效逃避現有偵測、防禦機制的高抗性的攻擊手法，例如生成高度仿真的社交工程郵件，並試圖規避偵防攔阻時，北市府的AI模型就能夠做到以樣本產生規則，並透過行為學習進行偵測，這些模型透過模擬人類的思維，判斷行為的合理性從而提高準確度，藉此提高偵防攔阻的壁壘。</p> <p>他指出，透過導入AI，原本大量仰賴人工判斷的工作轉變為人工稽核，有效降低了人力和時間成本，能夠降低人為誤判，並自主啟動資安事件通報流程，縮短資安事件的前置作業時間，為機關爭取更多的應變時間，減少資安事件帶來的衝擊並提升了處置效率。</p> <h2><strong>以戰略藍圖為城市資安治理奠基</strong></h2> <p>趙式隆強調，資安治理不能只顧個別的「樹」，更要看到整體形成的「林」。臺北市政府的資安戰略藍圖，即使在不同時代背景下，仍希望能永久適用，這套戰略層次依循四大核心理念，分別是：關注管理（Oversight Management）、可視性管理（Visibility Management）、曝險最小化（Exposure Minimization）和可量測性（Measurability）。</p> <h3><strong>關注管理：組織與素養的提升</strong></h3> <p>在組織結構上，為了確保資安權責到位，臺北市政府的府資安長由副市長擔任，而資訊局局長則擔任副府資安長，北市府並設有資訊安全委員會，市府各個一級機關的資安長為當然委員，每半年召開府級資安長會議，並管考資安應辦事項。</p> <p>在資安事件應變方面，北市府依據中央法規辦理，建立三級通報機制：各級機關向上通報本府資安主管機關，最終通報至府資安長。</p> <p>此外，北市府還組成府資通安全稽核委員會，由資訊局、政風處、外部顧問及各機關稽核委員組成「府資通安全稽核委員會」，B級機關需每年進行內部稽核一次，C級機關每兩年內稽一次，並每半年召開審查會議檢視缺失矯正成效；至於北市府的一級機關或稽核小組，每年須對所屬機關執行內部稽核。</p> <p>值得一提的是，為了確保高層決策者具備足夠的資安素養，北市府自2025年起，首創針對資通安全長舉辦教育訓練課程。</p> <p>趙式隆強調，資安長（包括副市長等高權限人士）未必需要了解零信任或駭客攻擊手法，但他們必須具備與管理階層相對應的資安心態與素養，因為他們手握高權限，一旦他們的帳號被竊取，後果將非常嚴重。</p> <p>因此，他說，訓練課程的目標是提升這些高階長官們和資安長們的素養，確保權限極高者，至少能辨識可疑的簡訊或郵件，避免因點擊而導致*整個市府系統面臨極大風險。</p> <h3><strong>可視性管理：集中防禦與監控儀表板</strong></h3> <p>可視性管理是為了確保北市府對資安威脅態勢一覽無遺，能夠在極短的時間內，讓人與機器共同對數據做出決策。因此，臺北市政府透過實行資安向上集中防禦，建立了多層次縱深防禦架構，並從三個面向進行監控對應。</p> <p>第一，防禦來自外部攻擊市府內部的攻擊，包括：DDoS（分散式阻斷服務攻擊防禦系統）、WAF（網頁應用程式防火牆）和SSL inspection（網路封包加解密系統）等。</p> <p>第二，偵測從市府內部的對外連線，是否出現不正常流量而進行防禦，包括：網域名稱過濾系統（Domain Filter）、IPS入侵偵測防禦系統等。</p> <p>第三，處理內部的病毒或橫向移動的異常行為，例如：端點偵測軟體（EDR）、整合式網路位址管理（DDI）、網路異常行為偵測與分析系統（DDA）、防毒軟體、</p> <p>網路安全自動化系統（SOAR）等。</p> <p>趙式隆表示，透過這些防禦系統所產生的數據，都匯集到資安監控儀表板上，透過SOC資安監控中心將從資料來源的內容經過正規化、事件管理、通報發送，最終到追蹤管理，讓人與機器能夠在最短時間內，共同形成一套完整的應對策略。</p> <h3><strong>曝險最小化：特權管理與最小權限原則</strong></h3> <p>之所以推動曝險最小化，是為了降低系統的風險暴露，其核心是實施最小權限原則，意即每個使用者只能擁有其日常業務上最需要的權限；市府則導入了階層式（Tier）模型架構，用來分層保護AD目錄系統及關鍵資源的安全模型，目的是盡可能縮減橫向移動攻擊的風險。</p> <p>趙式隆解釋，對於每一位使用者而言，其權限必須維持在日常業務所需的最少量；如果使用者突然拉高了大量權限，就可能意味著發生了異常情況。</p> <p>例如，若需要開啟一個特定的網路埠（Port），使用者必須另外發送申請單，經過批准才能獲得開放。「這項嚴格的權限管理，確保了資安風險被控制在最小範圍。」他說。</p> <p>同時，北市府建立了單一認證整合（SSO）服務平臺，將超過300個應用服務系統整合在一起，這些系統包括公文、請購核銷、電子表單等各類數位服務，包括提供公務同仁使用的內部App和網站「TaipeiON」，以及服務一般民眾的「臺北通」。</p> <p>他表示，透過單一入口、單一認證的方式，不僅提高北市府的資安防護效率，也有效防堵來自外部的攻擊。</p> <h3><strong>可量測性：持續精進的管考機制</strong></h3> <p>最後，可量測性是評估資安工作做得好不好，並決定下個年度的預算投入與精進方向。臺北市政府透過以下五個系統進行管考和成熟度評估，包括：進行案件追蹤管理的「資安管考系統（TVMS）」、進行資產風險管理的「資安弱點通報機制（VANS）」、評估機關資安風險管理狀況的「資安稽核評鑑」、即時掌握資安防護管理的「資安儀表板監測」，以及針對整體資安管理進行評估的「資安治理成熟度評估」。</p> <p>趙式隆表示，透過這些量測指標，北市府能夠明確知道下個年度在編列預算時，哪些地方需要持續努力與精進，以實現持續改善的目標。</p> <h2><strong>臺北市首都優勢與數位韌性挑戰</strong></h2> <p>趙式隆坦言，臺北市作為首都，享有許多好處。首先，臺北市的財政相對健康。例如，中央在《財劃法》修改後，可能無法完全支應所有縣市推動零信任的預算需求，但臺北市可以動用自己的預算，即使進度稍慢，也能確保既定計畫不中斷。</p> <p>其次，臺北市的12個行政區中基本沒有偏鄉，這使得推動新的資安政策和技術，相對其他幅員廣大的縣市更為容易。</p> <p>他認為，臺北市資安團隊的任務，就是盡可能走在中央的前面，將成功的經驗和概念推廣至中央，再由中央思考如何成為全國普及的政策與標準。「當中央標準確立後，臺北市便會退場，跟隨全國一致的標準。」他說。</p> <p>然而，即使是走在前方的臺北市，面對關鍵基礎設施（CI）的數位韌性挑戰時，趙式隆也清楚表示，臺北市政府還有很大的努力空間。</p> <p>他指出，正如前陣子韓國發生的斷網事件所敲響的警鐘，全球絕大部分擁有關鍵基礎設施的單位，包括臺北市政府在內，其實都還沒有辦法做到全面性的「熱備援」（Hot Backup）。</p> <p>他進一步解釋，雖然北市府在資料備份、異地備份、甚至雲端備份方面投入資源，確保如果機房斷電或機房受損後，資料能夠復原（Recover），然而，這中間仍然會存在一段時間差。</p> <p>若要達到服務維運不中斷（Zero Downtime）的境界，目前只有最核心的服務，能夠做到主系統癱瘓後，備援系統立即上線並負載當前的流量。也就是說，北市府除了最核心服務，周邊系統都還無法達到這個目標。</p> <p>近期的國際IT服務停擺事件是一個重大的警訊，促使北市府必須認真思考如何提升數位韌性。然而，趙式隆坦言，這項挑戰的關鍵在於「預算的投入」。因為，在民主社會中，當資安部門意識到需要進行大規模、高成本的數位韌性升級時，預算的突然膨脹，是否能夠被民意代表充分理解和接受，是推動進程中的一大難題。</p> <p>無論從導入零信任架構的戰術部署，到利用AI反制新型威脅的技術突破，乃至於在城市層級上進行資安治理的戰略宏圖，他認為，臺北市政府的資安團隊正以前所未有的努力，應對數位世界的挑戰。</p> <p>畢竟，數位韌性不僅是技術問題，更是治理與決策的綜合考驗，他認為，面對AI時代下的城市資通安全，臺北市政府的實務經驗，的確提供一套清晰且分層的防禦體系，可以作為其他機關和地方政府的參考，包括：以零信任為策略基石，將AI偵測視為戰術利器，透過完善的治理體系，以確保權責到位與持續精進。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E5%B8%82%E5%BA%9C%E8%B7%A8%E9%83%A8%E9%96%80%E8%81%AF%E9%98%B2%E6%A9%9F%E5%88%B6_%E5%8F%B0%E5%8C%97%E5%B8%82%E6%94%BF%E5%BA%9C%E8%B3%87%E8%A8%8A%E5%B1%80%E6%8F%90%E4%BE%9B.jpg" style="width: 480px; height: 267px;" /></p> <blockquote><p>臺北市資訊局局長趙式隆指出，要落實北市府的資安防護，並非式資訊局單一局處的任務，不僅要和地方與中央單位合作外，不只設立TPE-CERT、TPE-ISAC，更將大數據與人工智慧分析導入SOC監控，進行情資聯盟與威脅情資餵送（IoC Feed），利用AI來提高偵防攔阻的門檻。<br /> 資料來源：臺北市資訊局，2025年12月</p> </blockquote> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/12/2 11:50作者黃彥棻https://www.ithome.com.tw/news/172568
瑞士政府呼籲轄下機關避免使用M365等美國雲端服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>瑞士資料保護委員會議<a href="https://www.privatim.ch/de/publikation-resolution-zur-auslagerung-von-datenbearbeitungen-in-die-cloud/" target="_blank">Privatim上周發佈決議</a>，為國安考量，瑞士政府機關應儘可能避免使用微軟、Google及AWS等美國雲端服務，尤其是Microsoft 365代表的美國SaaS。</p> <p>這項決議指出，近年雖然公務機關被允許將資料委外給第三方軟體即服務（SaaS）平臺，但資料委外給第三方平臺，必須確保第三方平臺的資料保護及資訊安全能力，尤其是高度敏感的個資或受法定保密義務約束的資料。</p> <p>Privatim認為，將高度敏感的個資及具有保密義務的資料委外給大型國際供應商的SaaS方案（尤其是Microsoft 365），在大多數情況下是不符合要求的。原因之一是大多數SaaS尚未提供真正的全程加密。其次，這些平臺技術運作（例如安全更新發佈或軟體變更）或員工、其下包商的管理不夠透明，無法滿足該國對資料保護及資安的確保要求，造成瑞士對SaaS控管喪失。</p> <p>另外，美國2018年生效的《雲端法案(CLOUD Act)》規定，美國政府可強制美國雲端供應商提供其用戶資料，而無需遵循國際司法互助程序，且該義務也適用於儲存在瑞士資料中心的資料。</p> <p>根據決議，瑞士公務機關只有在能自行加密高度敏感或具法定保密義務的個人資料，且雲端供應商無權取得解密金鑰的情況下，才可使用國際供應商的SaaS服務。</p> <p>不過<a href="https://www.heise.de/en/news/Switzerland-Data-Protection-Officers-Impose-Broad-Cloud-Ban-for-Authorities-11093477.html" target="_blank">瑞士聯邦委員會發言人對媒體指出</a>，Privatim的聲明並不具法律強制性。瑞士政府機關是否會遵守有待觀察。</p> </div></div></div>
2025/12/2 10:40作者林妍溱https://www.ithome.com.tw/news/172565
蘋果AI主管John Giannandrea將於明年春天退休
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.apple.com/newsroom/2025/12/john-giannandrea-to-retire-from-apple/" target="_blank">蘋果周一（12/1）宣布</a>，負責機器學習與AI策略的資深副總裁John Giannandrea，將在明年春天退休；另一方面也已延攬Amar Subramanya擔任蘋果的AI副總裁，頂頭上司為軟體工程資深副總裁Craig Federighi。</p> <p>現年60歲的Giannandrea早期曾共同創辦主打知識圖譜的Metaweb，以及研發語音技術的Tellme，它們分別被Google及微軟收購，這也使得Giannandrea曾於2010年因為Metaweb而加入Google，主導Google Knowledge Graph與Google Search核心技術，隨後在2018年跳槽至蘋果，負責蘋果的基礎模型、搜尋、機器學習研究與AI基礎設施，並直接向執行長Tim Cook彙報。在退休之前他將持續擔任蘋果顧問。</p> <p>至於即將上任的Subramanya出生於印度，主要研究語音辨識、半監督學習與多感官融合，早期曾在Microsoft Research研究AI，之後加入Google，負責Gemini Assistant工程團隊，也於基礎模型及語言技術領域扮演關鍵角色，但在Google任職16年後，於2025年加入微軟，擔任AI企業副總裁，同年即被蘋果挖角，未來將主導蘋果的基礎模型、機器學習研究及AI安全評估。</p> <p>至於Giannandrea的其它業務與團隊，則將分別交由蘋果營運資深副總裁Sabih Khan，以及蘋果服務資深副總裁Eddy Cue負責，而蘋果的整體AI方向仍由Craig Federighi統籌。</p> <p>蘋果表示，Subramanya先前的經驗將成為蘋果持續創新的重要力量，也有助於未來的Apple Intelligence功能。</p> </div></div></div>
2025/12/2 11:13作者陳曉莉https://www.ithome.com.tw/news/172566
印度政府要求智慧型手機製造商要預裝當地安全程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.reuters.com/sustainability/boards-policy-regulation/india-orders-mobile-phones-preloaded-with-government-app-ensure-cyber-safety-2025-12-01/" target="_blank">路透社</a>（Reuters）及<a href="https://indianexpress.com/article/business/centre-smartphone-makers-preinstall-cybersecurity-app-sanchar-saath-10395899/" target="_blank">The Indian Express</a>周一（12/1）報導，在印度政府的一項命令下，印度電信部已私下要求智慧型手機製造商要在所有的新手機上，預裝由印度政府所開發的安全程式Sanchar Saathi，包括蘋果、小米、三星、Oppo及vivo等於當地銷售的各種品牌。</p> <p>路透社所看到的命令是在11月28日頒布，要求智慧型手機製造商要在90天內預裝Sanchar Saathi於新手機上，之後也必須透過軟體更新將Sanchar Saathi推送至舊裝置上，而且不許消費者刪除該程式。</p> <p>Sanchar Saathi是由印度電信部所開發的安全程式，初期只有網頁版，在2025年1月釋出Android及iOS版，估計已有超過500萬次的下載。它能驗證手機真偽，並透過檢查IMEI來判斷手機是否被列入黑名單；也能封鎖與追蹤遺失及遭竊手機；查看以自己名義註冊的所有行動電話、SIM卡與電信服務；還能用來舉報詐騙電話。</p> <p>The Indian Express引用一名印度政府官員表示，此一命令是「強化網路安全及反垃圾郵件措施」的一環，上周印度電信部也規定WhatsApp、Signal與Telegram等應用程式，必須要求使用者以註冊時所綁定的SIM卡才能登入及使用，不允許跨裝置或無SIM卡使用。</p> <p>新的命令預計將引起手機業者的反彈，特別是蘋果。蘋果不僅反對任何政府要求預裝程式的作法，<a href="https://www.reuters.com/article/world/rift-deepens-between-apple-indias-telecom-regulator-over-anti-spam-app-idUSKBN1H40GN/" target="_blank">在2018年時也曾為了隱私議題與印度政府產生衝突</a>，當時該國政府正在推廣反垃圾通訊程式Do Not Disturb，要求手機應支援該程式的垃圾簡訊及騷擾電話回報功能，但蘋果拒絕讓該程式讀取用戶的通話及簡訊，最終雙方皆讓步，蘋果推出新的垃圾通訊回報API、印度根據蘋果的隱私規範重寫程式而落幕。</p> <p>迄今不管是印度官方或是手機業者皆尚未正式回應此事。</p> </div></div></div>
2025/12/2 09:28作者陳曉莉https://www.ithome.com.tw/news/172563
太陽射線可破壞飛航控管資料空中巴士緊急更新A320系列軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國飛航巨擘<a href="https://www.airbus.com/en/newsroom/press-releases/2025-11-airbus-update-on-a320-family-precautionary-fleet-action" target="_blank">空中巴士（Airbus）上周發出安全公告</a>，針對A320系列及其他機種航機發布軟體更新，以解決飛航控制資料遭太陽射線毁損引發的飛安問題。</p> <p>空中巴士是在分析最近一次事件後，發現強烈太陽射線可能毁損A320系列航機和飛航控制有關的資料。空中巴士發布了警示操作通告（alert operator transmission,AOT）和各國飛航主管機關，呼籲營運商（即航空公司或其他單位）立即採取預防措施，實施可用的「軟硬體防護」，確保機隊安全。</p> <p><a href="https://www.theguardian.com/business/2025/nov/28/airbus-issues-major-a320-recall-after-recent-mid-air-incident" target="_blank">媒體引述消息人士報導</a>，這項安全問題造成10月一班由墨西哥飛往紐約紐華克機場的一家JetBlue飛機突然高度驟降，緊急迫降至佛羅里達州，造成至少15人受傷。</p> <p>空中巴士進行的初步技術評估指出，原因可能出在飛機的ELAC（Elevator aileron computer，副翼與升降舵電腦）功能失常。若未修正，最嚴重可能導致升降舵自行動作，進而超出飛機結構能力。歐洲航空安全總署（EASA）也同時<a href="https://ad.easa.europa.eu/ad/2025-0268-E" target="_blank">發布緊急適航指令</a>，要求所有受影響的航機，應安裝可正常運作的ELAC。</p> <p>這家航空巨擘和各國主管機關合作下，已緊急停飛近6000架A320系列（包含A319、A320及A321）航機，以更新系統軟體。<a href="https://aviationweek.com/air-transport/safety-ops-regulation/easa-orders-immediate-airbus-a320-flight-control-software" target="_blank">媒體報導</a>該問題影響60% A320機隊包含第一代A320及較新的A320neo機種。</p> </div></div></div>
2025/12/2 09:36作者林妍溱https://www.ithome.com.tw/news/172564
AWS Lambda新增託管執行個體，以EC2強化長時間與特殊工作負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://aws.amazon.com/tw/blogs/aws/introducing-aws-lambda-managed-instances-serverless-simplicity-with-ec2-flexibility/">AWS推出Lambda託管執行個體（Managed Instances）</a>，讓開發者維持原本AWS Lambda的無伺服器開發模式與事件觸發架構，同時改以前端選定的Amazon EC2執行個體作為底層運算資源，滿足對需要特定硬體架構或長期穩定工作負載的需求。</p> <p>Lambda託管執行個體以Capacity provider為核心。使用者需先建立Capacity Provider，設定VPC、子網路、安全群組與可使用的EC2執行個體類型，並定義大致的擴展上限。完成後，在建立或修改Lambda函式時，只要指定對應的Capacity Provider與記憶體配置，該函式就會由這組受託管EC2資源執行。AWS負責在帳戶內布建與管理這些執行個體，處理生命周期管理、作業系統修補、安全更新與流量分配，使用者不需要再額外維運負載平衡與自動擴展設定。</p> <p>該功能同時帶入多請求並行的執行模式，每個Lambda執行環境可以同時處理多個請求，由AWS預先啟動並維持執行環境存活，以減少冷啟動造成的延遲，並提高單一執行個體的資源利用率。Lambda函式仍沿用原本的事件來源整合、IAM權限與CloudWatch監控，但在啟用多請求並行（Multiconcurrency）前，須確認程式於檔案路徑、共用變數與記憶體等具備隔離與執行緒安全。</p> <p>Lambda託管執行個體採三部分收費，首先，依舊收取每百萬次請求0.20美元的Lambda請求費用，其次，針對Capacity Provider底下實際預布建的EC2執行個體依EC2標準價格計費，並可套用既有的承諾制方案，第三，AWS會依EC2隨需價格額外收取約15%的運算管理費。與傳統Lambda不同之處在於，不再對每一次請求的執行時間單獨計費，整體成本更取決於EC2使用量與管理費，多請求並行則用來進一步提升資源使用效率。</p> <p>Lambda託管執行個體支援最新版本的Node.js、Java、.NET與Python執行環境，並可搭配現有的Lambda版本與別名機制、CloudWatch Lambda Insights及AWS SAM與AWS CDK等部署工具。既有在Lambda上運作的函式，只要確認程式適用多請求並行，便可在不修改程式碼的前提下切換到這項新功能。</p> <p>首波支援的區域為美東維吉尼亞與俄亥俄、美西奧勒岡、亞太東京與歐洲愛爾蘭等數個區域，使用者也可透過Capabilities by Region頁面追蹤後續開放情形。</p> </div></div></div>
2025/12/2 08:00作者李建興https://www.ithome.com.tw/news/172552
殭屍網路ShadowV2鎖定D-Link、TP-Link、永恒數位連網設備而來，藉由AWS服務中斷進行測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>10月20日<a href="https://www.ithome.com.tw/news/171777"><strong>AWS傳出大規模故障</strong></a>．影響142項服務及知名企業組織的應用系統運作，傳出有殭屍網路疑似趁亂進行測試，藉此預備從事相關攻擊。</p> <p>資安業者Fortinet在AWS服務中斷期間，發現<a href="https://www.fortinet.com/blog/threat-research/shadowv2-casts-a-shadow-over-iot-devices"><strong>殭屍網路病毒ShadowV2的最新一波活動</strong></a>，駭客透過物聯網裝置的漏洞擴散，攻擊範圍涵蓋全球，包括臺灣在內共28個國家出現災情，受害企業組織橫跨科技、零售與旅館業、製造業、資安服務代管供應商（MSSP）、政府、電信業者，以及教育等7種領域的產業，特別的是，這波活動出現的時間並不長，只有在AWS發生故障的3個小時，因此Fortinet認為，攻擊者顯然是正在進行測試，為後續的實際攻擊做準備。</p> <p>這次攻擊者利用的漏洞有那些？其中有半數是D-Link路由器與NAS的已知漏洞，CVSS風險值皆達到9.8分，它們的編號是：<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2020-25506">CVE-2020-25506</a></strong>、<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2022-37055">CVE-2022-37055</a></strong>、<strong><a href="https://www.ithome.com.tw/news/165945">CVE-2024-10914</a></strong>，以及CVE-2024-10915。值得留意的是，除了CVE-2024-10915已有修補程式，其餘3項漏洞，D-Link表明因受影響設備的生命週期已經結束（EOL），他們不會提供新版韌體，呼籲用戶更換設備。</p> <p>其他遭到ShadowV2利用的資安漏洞，目前部分廠商沒有提供修補程式的狀態，包括永恒數位通訊科技（Digiever）網路視訊監視設備（NVR）漏洞<a href="https://www.ithome.com.tw/news/166652"><strong>CVE-2023-52163</strong></a>、TP-Link路由器漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2024-53375">CVE-2024-53375</a></strong>、TBK DVR設備漏洞<strong><a href="https://www.ithome.com.tw/news/170028">CVE-2024-3721</a></strong>，以及開源路由器韌體DD-WRT的弱點<a href="https://nvd.nist.gov/vuln/detail/CVE-2009-2765">CVE-2009-2765</a>。</p> <p>針對ShadowV2這支惡意程式，Fortinet提及是Mirai的變種，與另一個變種LZRD結構類似，ShadowV2啟動的過程裡，會解密經XOR演算法處理的組態檔案並初始化，連線C2伺服器接收DDoS攻擊命令，然後執行。</p> <p>ShadowV2活動<strong><a href="https://www.ithome.com.tw/news/171361">在3個月前曾經出現</a></strong>，當時資安業者Darktrace指出駭客針對AWS EC2環境而來，尋找曝露於網際網路的Docker環境，綁架後用來提供受僱型DDoS攻擊服務（DDoS-for-hire）。</p> </div></div></div>
2025/12/1 17:03作者周峻佑https://www.ithome.com.tw/news/172553
【資安日報】12月1日，韓國大型電商平臺酷澎資料外洩，3,370萬名用戶個資流出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172539"><strong style="font-size: 22px;">韓國大型電子商務平臺酷澎外洩3,370萬用戶資料，傳中國籍員工所為</strong></a></p> <p>被譽為「韓國亞馬遜」的韓國最大電子商務網站酷澎（Coupang），近日傳出資料外洩事件，總計外洩3,370萬名客戶資料，相當於酷彭在韓國的用戶總數。</p> <p>根據韓國聯合通訊社（Yonhap News Agency，韓聯社）及韓國時報（The Korea Times）的報導，這是由內部員工所為的偷竊事件，並非遭到駭客入侵。該名內賊為酷澎中國籍前員工，早在今年6月24日便企圖自酷澎的海外伺服器竊取用戶資料，酷澎一直到11月才察覺此事，原本估計受害者只有4,500人，不過，在與執法機構及資安公司合作調查後，發現有超過3,300萬人受到波及。韓國時報認為，該資料外洩事件的原因，源自於酷澎未能妥善管理前員工的系統存取權限。</p> <p>至於這起事故是否波及臺灣用戶？酷澎發出聲明表示，他們目前尚未發現臺灣消費者資料外洩的跡象，該公司將與資安業者合作，持續調查此事。</p> <p><a href="https://www.ithome.com.tw/news/172537"><strong style="font-size: 22px;">針對9月勒索軟體攻擊事故，朝日啤酒表示近200萬人個資外洩</strong></a></p> <p>日本酒類大廠朝日（Asahi）上週說明9月的網路攻擊事件，造成顧客、員工近200萬人個資外洩。</p> <p>針對事故發生的經過，朝日在9月29日早上7:00發現系統中斷、檔案被加密，11:00資安團隊切斷網路以隔離資料中心，避免災害擴大。調查發現，攻擊者是經由集團某臺網路設備，駭入資料中心，並同時植入勒索軟體，加密了多臺使用中的伺服器和數臺工作站電腦上的資料。因此，該公司推測，儲存在伺服器和工作站電腦的個資可能外洩。目前駭客尚未公開這批資料。</p> <p>可能被洩露資訊的包括客戶、該公司聯絡過的外部人士、員工（包括退休員工）及其家屬。其中客戶是指曾聯絡過朝日、軟性飲料，以及朝日集團食品公司客服中心的顧客，外部人士則是朝日曾以Telegram訊息致賀或慰問的人士，總人數約167萬。員工及員工家屬受影響人數約27萬。外洩的資料類型包括姓名、地址、電話，以及電子郵件信箱，有的還包括性別及出生日期。該公司強調，外洩資料未包含信用卡資訊。</p> <p><a href="https://www.ithome.com.tw/news/172538"><strong style="font-size: 22px;">Zendesk企業客戶疑遭假工單網釣，駭客揚言還有下一波</strong></a></p> <p></p> <p>資安廠商ReliaQuest發現，Scattered Lapsus$ Hunters駭客組織可能正利用冒充的客服請求或工單，對知名工單平臺Zendesk客戶發動網釣攻擊，11月Discord資料外洩事件可能也是這波攻擊的一環。</p> <p>針對這波攻擊的察覺，ReliaQuest起初發現40多個使用誤植名稱（typosquatted）和模仿Zendesk的網址，都是在近6個月內建立而成。這些變造過的冒牌網域像是znedesk[.]com、vpn-zendesk[.]com，有些代管了冒充Zendesk的單一簽入（SSO）釣魚網站，顯然是為了冒充合法Zendesk環境而設立。研究人員還發現到冒充Zendesk相關網域URL包含多個不同組織名稱或品牌，更容易誘使不察的用戶上鈎，並點擊連結。</p> <p>這群駭客似乎不會善罷干休，因為，他們11月初在Telegram預告，在2026年可能還會再發動3至4次攻擊，且警告年底假期間，網管人員要留意流量事件記錄（Log），因為他們要來蒐集客戶資料。</p> <p><a href="https://www.ithome.com.tw/news/172553"><strong style="font-size: 22px;">殭屍網路ShadowV2鎖定D-Link、TP-Link、永恒數位連網設備而來，藉由AWS服務中斷進行測試</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/shadowV2-worldwide-countries.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/shadowV2-worldwide-countries.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Fortinet在AWS服務中斷期間，發現殭屍網路病毒ShadowV2的最新一波活動，駭客透過物聯網裝置的漏洞擴散，攻擊範圍涵蓋全球，包括臺灣在內共28個國家出現災情，受害企業組織橫跨科技、零售與旅館業、製造業、資安服務代管供應商（MSSP）、政府、電信業者，以及教育等7種領域的產業，特別的是，這波活動出現的時間並不長，只有在AWS發生故障的3個小時，因此Fortinet認為，攻擊者顯然是正在進行測試，為後續的實際攻擊做準備。</p> <p>這次攻擊者利用的漏洞有哪些？其中有半數是D-Link路由器與NAS的已知漏洞，CVSS風險值皆達到9.8分，它們的編號是：CVE-2020-25506、CVE-2022-37055、CVE-2024-10914，以及CVE-2024-10915。值得留意的是，除了CVE-2024-10915已有修補程式，其餘3項漏洞，D-Link表明因受影響設備的生命週期已經結束（EOL），他們不會提供新版韌體，呼籲用戶更換設備。</p> <p>其他遭到ShadowV2利用的資安漏洞，目前部分為廠商沒有提供修補程式的狀態，包括永恒數位通訊科技（Digiever）網路視訊監視設備（NVR）漏洞CVE-2023-52163、TP-Link路由器漏洞CVE-2024-53375、TBK DVR設備漏洞CVE-2024-3721，以及開源路由器韌體DD-WRT的弱點CVE-2009-2765。</p> <p><a href="https://www.ithome.com.tw/news/172534"><strong style="font-size: 22px;">2025臺灣網路惡意活動數量居高不下，在亞太地區名列前茅</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fortinet-image002.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fortinet-image002.jpg" style="width: 300px; float: right;" /></a>位處全球地緣政治衝突的熱區，臺灣這幾年面臨的網路攻擊活動大幅增加，時至2025年底，多家資安廠商陸續發表年度威脅態勢的回顧與展望。</p> <p>11月底Fortinet全球威脅情報副總裁Derek Manky公開1月至9月的觀測結果。根據該公司旗下的網路安全威脅情資和研究機構FortiGuard Labs的分析，今年在亞太地區總共偵測到5,784億次惡意活動，年成長率為13.30％，網路入侵類型的活動偵測到5,749億次，惡意軟體偵測到6.4億次，殭屍網路偵測到26.4億次。單是臺灣而言，惡意活動總共被偵測到1,534億次，在亞太地區的占比超過四分之一，僅次於印尼（2,280億次，占比為40.48％），網路入侵類型的活動偵測到1,531億次，惡意軟體偵測到7,810萬次，殭屍網路偵測到1.64億次。在這之後的惡意活動偵測數量大國，有印度（600億次，占比為10.55％）、日本（170億次，占比為2.96％）。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=221145&SPOKE_DATE=20251130&COMPANY_ID=6469"><strong style="font-size: 22px;">連鎖藥局大樹遭勒索軟體攻擊，部分檔案被加密</strong></a></p> <p>11月30日晚間，知名連鎖藥局大樹於股市公開觀測站發布資安重訊，指出他們有部分檔案遭到勒索軟體加密，已將有問題的檔案及網路環境進行處置，採取資安防護措施及阻斷，強調不影響公司營運，以及顧客權益，對個資安全、財務，以及業務無重大影響。</p> <p><strong style="font-size: 22px;">針對研究人員發現的全程加密弱點，LINE提出說明</strong></p> <p>奧胡斯大學於即時通訊軟體LINE專屬全程加密（E2EE）通訊協定Letter Sealing v2當中<strong><a href="https://www.ithome.com.tw/news/172462">發現嚴重漏洞</a></strong>，由於LINE是臺灣最具生活黏著度的通訊平臺，上述研究成果在臺灣引起高度關注，對此，LINE也對此提出說明。</p> <p>LINE經由內部資安專家重新驗證研究人員的發現，指出他們找到的問題，都是在極端且不太可能發生的情況下，才會出現，這些情況包括：LINE伺服器遭到入侵，或是用戶通訊的過程出現中間人攻擊（MitM）。對於這些攻擊，LINE表示已採取多層防護措施因應，包括IDS與IPS偵測系統，以及嚴格的存取控管機制，因此，該公司認為，實際發生的可能性極低。再者，即使攻擊者成功利用這些弱點，用戶對話內容仍受到全程加密保護，攻擊者無法讀取內容。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安事故</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/tomiris-shifts-to-public-service.html">APT駭客Tomiris鎖定俄羅斯外交部、政府機關、國際政府合作組織下手</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/cisa-adds-actively-exploited-xss-bug.html">CISA指出OpenPLC ScadaBR漏洞CVE-2021-26829遭到利用</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/romcom-uses-socgholish-fake-update.html">俄羅斯駭客RomCom鎖定美國土木工程公司而來，散布Mythic Agent</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/toddycats-new-hacking-tools-steal.html">駭客組織ToddyCat竊取OAuth權杖，入侵M365與Outlook雲端環境</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172521"><strong>【11月28日】開發人員不慎在程式碼編排平臺曝露企業組織的機敏資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172512"><strong>【11月27日】新型態網釣手法JackFix假借Windows更新為幌子，企圖散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172487"><strong>【11月26日】開源輕量級遙測工具Fluent Bit存在一系列可被串連的資安漏洞</strong></a></p> </div></div></div>
2025/12/1 17:18作者周峻佑https://www.ithome.com.tw/news/172554
布局全球6G、衛星、HAPS次世代通訊供應鏈市場，臺灣次世代通訊產業聯盟成立
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為促進臺灣通訊技術發展、產業跨域合作，台北市電腦公會發起的臺灣次世代通訊產業聯盟(Taiwan NextGen Communications Alliance, TNGCA)在今天(12/1)成立，未來將聚焦在行動通訊、太空通訊、HAPS等新興通訊技術發展及市場拓展。</p> <p>該聯盟成立初期，吸引行動電信商、電子製造、晶片、系統整合等業者加入，包括中華電信、遠傳、和碩、凌羣、友達、宏基等業者加入，聯盟的首任會長由中華電信董事長簡志誠出任，副會長由遠傳電信總經理井琪、和碩總經理馮震宇、凌群總經理劉瑞隆分別擔任。</p> <p>臺灣次世代通訊產業聯盟會長簡志誠指出，產業聯盟的成立呼應總統所提出5大信賴產業，其中次世代通訊產業追逐天空、探索海洋的政策，政府計畫編列6年共270億元投入，臺灣具備很多端到端的設計製造能力，從IC設計、通訊模組、設備到整合能力，以及國內的智慧城市、交通、製造等應用，民眾對於新技術的接受度也比較高。</p> <p>他認為臺灣的通訊產業已開始進入2029年、2030年全球通訊技術布局，即將迎接6G、NTN非地面通訊太空角逐戰，儘管臺灣的業者在各個領域表現優秀，但仍需要協調整合不同業者，與國際次世代通訊技術接軌，培育人才，讓臺灣的通訊產業得以加入國際供應鏈，打入從HAPS、低軌、中軌到高軌衛星產業鏈、Pre-6G、6G，打入全球次世代通訊產業鏈後，未來進一步協力進入AI、邊緣運算。</p> <p>次世代通訊產業聯盟主要聚焦於具有發展潛力的新興通訊技術，除了已經全球商用部署的5G，還有下一代的6G，以及目前極具發展潛力的衛星通訊、HAPS高空通訊平臺等。</p> <p>該聯盟有3個主要的願景，首先是在技術上，與國際技術發展或標準組織加強交流，例如3GPP、O-RAN Alliance、HAPS Alliance、IEEE、APSCC，以掌握新世代通訊技術的發展動向。</p> <p>其次是透過產學合作，來培養次世代通訊所需的技術及人才；另一個願景則是呼應政府技術自主的目標，由聯盟凝聚跨產業會員，在5G、6G、衛星通訊、HAPS發展國產自主研發相關技術、驗測平臺，形成產業鏈，希望搶攻國際市場。</p> <p>聯盟成立的5大目標，其中之一是促進次世代通訊技術應用及產業發展，促使廣泛信號覆蓋和通訊連接；其次是聯合產官學研界共推產業通訊領域的創新與商機；第3是推動產業通訊技術標準及驗證機制；第4是促進國內外的產業技術合作及交通；第5是培育次世代通訊人才。</p> </div></div></div>
2025/12/1 18:33作者蘇文彬https://www.ithome.com.tw/news/172555
【資安週報】1122~1126，LINE資安弱點揭露受關注。Salesforce針對Gainsight遭駭示警
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年11月最後一星期的資安新聞中，通訊軟體LINE的資安弱點揭露最受關注，奧胡斯大學研究團隊披露LINE的全程加密（E2EE）「Letter Sealing v2」設計存在弱點，包括採用無狀態（stateless）通訊設計、貼圖與網址預覽機制可能造成明文外洩，甚至是加入任意聊天室並冒充成員。LINE已收到研究團隊通報，目前提供有限緩解措施。更多技術細節將在12月歐洲Black Hat大會公開。</p> <p>在資安事件方面，Salesforce相關威脅再度浮現並引發全球持續關注。Salesforce示警，由Gainsight發布且與Salesforce連接的應用程式有異常活動，估計事件將影響200家Gainsight用戶的Salesforce資料。類似的供應鏈式攻擊發生在3個月前，當時攻擊者利用竊取的Drift OAuth憑證入侵；相較之下，這次Salesforce的處理速度明顯加快。</p> <p>其他重要資安事件的新聞，包含1起發生於臺灣上市公司的事故，國際間還有更多公司揭露因Oracle EBS攻擊事故而受害，我們整理如下：</p> <p>●臺灣半導體與光電業者有成精密於11月24日發布重大訊息，揭露當日發現部分資訊系統遭受駭客網路攻擊。<br /> ●美國房地產融資暨IT服務供應商SitusAMC遭網路攻擊，傳出可能導致主要銀行的客戶資料外流，美國FBI已介入調查。<br /> ●上月Oracle EBS零時差漏洞攻擊的受害名單持續增加，最新包括美國媒體與電信商Cox，以及Canon、Mazda美國分公司，Cl0p駭客已公布入侵逾百家企業。</p> <p>在漏洞利用攻擊方面，有兩則消息值得留意：（一）Oracle在10月修補Oracle Identity Manager重大漏洞CVE-2025-61757，前陣子SANS警告，修補前的9月初就有試圖利用情形，如今美國CISA將此漏洞列入已知遭利用清單KEV；（二）OpenPLC的老舊漏洞CVE-2021-26829被美國CISA納入KEV，而在一個月前，<a href="https://www.forescout.com/blog/anatomy-of-a-hacktivist-attack-russian-aligned-group-targets-otics/">資安業者Forescout</a>曾揭露其蜜罐偵測到親俄駭客組織TwoNet的攻擊活動，他們發現對方利用該漏洞篡改HMI登入頁面的描述。</p> <p>另外要注意的是，上個月微軟破例修補WSUS重大漏洞CVE-2025-59287，之後已有攻擊者開始鎖定利用，最近韓國資安業者AhnLab更是指出，發現中國APT駭客也加入漏洞利用行列，在11月疑似透過名為PowerCat的公用程式，成功利用漏洞取得CMD的Shell存取權限，進而在伺服器部署惡意程式ShadowPad。</p> <p>在威脅態勢方面，AI安全是最大焦點，首次出現「言論審查可能影響開發安全」的觀察，還有AI護欄繞過新攻擊技術EchoGram的揭露，另外有兩起威脅活動需要開發人員正視其風險，我們整理如下：<br /> ●資安業者CrowdStrike針對中國大型語言模型DeepSeek-R1測試，發現提示若涉及中國政府敏感的政治議題，生成的程式碼漏洞風險增加43%。<br /> ●AI資安業者HiddenLayer揭露名為EchoGram的攻擊技術，指出主流LLM護欄多依賴「文字分類模型」與「LLM-as-a-Judge」，因此他們嘗試找出可混淆模型判斷的微小字串，使防護誤判並被繞過，同時呼籲業者需降低此類結構性風險。<br /> ●開發人員注意，資安業者watchTowr警告，他們在線上程式碼編排及美化服務平臺JSON Formatter和CodeBeautify發現，這類平臺提供的暫存服務會導致資料曝險，更嚴重的是，已發現有人爬梳資料並試圖利用。<br /> ●多家資安業者警告，偵測到新一波的Shai-Hulud蠕蟲攻擊活動，攻擊者在三天內上傳逾1,000個NPM套件，已感染約2.7萬個GitHub儲存庫。</p> <p>在資安防禦發展上，這一週iThome電腦報週刊發布的封面故事，聚焦報導國泰金控的GenAI戰略，當中亦揭示該集團在開源安全治理上的關鍵布局。國泰金控指出，軟體供應鏈管控可再細分為AI模型使用的AIBOM，以及因應PQC、盤點加密元件的CBOM，並透露該集團已發展出一套開源套件管理平臺，涵蓋套件來源、SBOM產生、SBOM Hub、AI解決方案，以更系統化方式控管開源風險，並設立審查委員會來強化這方面的治理。</p> <p>在國際產業間，蘋果宣布推出數位ID，可讓使用者在Apple Wallet建立數位化護照，未來出示iPhone和Apple Watch，就能用於美國國內航班身分驗證；Google推出Private AI Compute，在雲端提供裝置端等級的隱私運算，使Gemini大型模型能在隔離環境中處理敏感資料。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172444"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月24日】Salesforce用戶再傳遭供應鏈攻擊，駭客鎖定外掛Gainsight而來</span></strong></a></h3> <p>三個月前，<a href="https://www.ithome.com.tw/news/170866">有駭客組織針對採用Salesloft Drift的Salesforce用戶下手</a>，透過OAuth憑證竊取這些用戶CRM系統存放的資料，如今類似的事故再度傳出，駭客鎖定另一套與Salesforce串接的第三方應用程式Gainsight，並傳出波及超過200家企業。而對於這起事故的後續處理，不僅Salesforce關閉多款Gainsight應用程式連線，Zendesk與HubSpot兩家公司也採取預防措施，跟進切斷Gainsight應用程式連線。</p> <p>另一個引起資安圈高度關注的消息，在於有資安業者傳出找到被駭客收買的內鬼。過往曾經有不少資安業者與研究人員提出警告，駭客會試圖收買員工取得初始入侵管道，如今類似的情況真實上演。</p> <h3><a href="https://www.ithome.com.tw/news/172464"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月25日】中國駭客加入利用WSUS重大漏洞的行列</span></strong></a></h3> <p>一個月前，微軟罕見對例行更新（Patch Tuesday）公布的資安漏洞CVE-2025-59287提出警告，呼籲IT人員要儘速套用他們提供的緊急修補程式，若無法即時更新，最好停用Windows Server Update Services（WSUS）服務來因應。這種不尋常的狀況，後續有多家資安業者察覺，該漏洞已被用於攻擊行動，本週有資安業者揭露新的發現，警告中國駭客也加入漏洞利用的行列，WSUS伺服器將曝露更大的風險之中。</p> <p>美國房地產融資暨IT服務供應商SitusAMC遭到入侵的事故，也是本週資安消息的焦點，由於該公司的客戶涵蓋美國數十家主要銀行，有當地媒體取得知情人士的說法，指出這些銀行的客戶也可能面臨資料外洩的情況。</p> <h3><a href="https://www.ithome.com.tw/news/172487"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月26日】開源輕量級遙測工具Fluent Bit存在一系列可被串連的資安漏洞</span></strong></a></h3> <p>資安業者Oligo Security針對受到雲端環境廣泛使用的輕量級遙測代理程式Fluent Bit提出警告，他們近期找到的一系列資安漏洞，用戶應儘速套用新版程式因應，若不處理，攻擊者可串連運用，並接管雲端環境</p> <h3><a href="https://www.ithome.com.tw/news/172512"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月27日】新型態網釣手法JackFix假借Windows更新為幌子，企圖散布惡意程式</span></strong></a></h3> <p>資安業者Acronis針對新型態網釣手法JackFix提出警告，並指出攻擊者疑似透過惡意廣告，引誘使用者存取假的成人網站，一旦他們點選網站上的任意物件，電腦就會出現假的Windows更新畫面，並要求依照指示完成「更新」</p> <h3><a href="https://www.ithome.com.tw/news/172521"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】開發人員不慎在程式碼編排平臺曝露企業組織的機敏資料</span></strong></a></h3> <p>資安業者watchTowr提出警告，開發人員於程式碼編排服務JSON Formatter和CodeBeautify當中，上傳的程式碼內容，曝露企業組織內部的各式憑證、金錀，以及密碼，而且他們確認有人爬梳程式碼內容並挖掘上述機密資料，試圖加以濫用</p> </div></div></div>
2025/12/1 13:02作者羅正漢https://www.ithome.com.tw/news/172549
勒索軟體Qilin對韓國金融業者發起供應鏈攻擊Korean Leaks，背後疑似北韓駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國家級駭客使用勒索軟體的情況，過往大多是採用自製工具為主，半年前出現有國家級駭客與勒索軟體駭客組織勾結的情況，如今他們進一步從事供應鏈攻擊。</p> <p>資安業者Bitdefender揭露<a href="https://www.bitdefender.com/en-us/blog/businessinsights/korean-leaks-campaign-targets-south-korean-financial-services-qilin-ransomware"><strong>針對韓國金融業的供應鏈攻擊Korean Leaks</strong></a>，攻擊者疑為北韓國家級駭客Moonstone Sleet，他們借助大型勒索軟體租用服務（Ransomware-as-a-Service）Qilin的力量，將代管服務供應商（MSP）作為入侵受害組織的主要管道。</p> <p>Bitdefender察覺這起事故的原因，在於他們<strong><a href="https://www.bitdefender.com/en-us/blog/businessinsights/bitdefender-threat-debrief-october-2025">在近期勒索軟體威脅態勢</a></strong>調查的過程裡，發現不尋常的現象：有別於過往勒索軟體的攻擊目標幾乎集中在歐洲和北美，9月韓國竟然占了25家，僅次於美國；而且，除了一家是建築公司，其餘都是金融服務業者，這種集中在特定國家與特定領域的情況，顯然是高度針對性的活動。而該國事故增加的原因，就是Qilin的攻擊。</p> <p>這波活動發生的過程大致可以分成3個階段，Bitdefender確認總共有33家公司受害，駭客目前公布了28家，Qilin的攻擊目標完全聚焦在金融業者，尤其是資產管理公司。其中不尋常的地方在於，駭客陸續從網站上移除4家公司的資料，Bitdefender推測可能基於駭客的內部政策，或是已經和受害企業談判完成的結果。為了證明是他們所為，駭客公布了近300張外洩資料的照片，光是已確認的部分，估計有超過100萬個檔案遭竊、檔案大小合計2 TB。不過，由於多數受害企業被公開的內容，缺乏相關的中繼資料等重要資訊而難以統計，因此這起事故的影響規模，應該遠大於此。</p> <p>另一方面，這波被稱為Korean Leaks的活動，攻擊者並未採取直接針對攻擊目標施壓的策略，而是透過大量政治語言，針對韓國政府與金融產業叫囂，有別於一般為了搜刮經濟利益而來的勒索軟體活動。</p> <p>Qilin公布第一批受害企業的時間是9月14日，當時他們公布了10家金融管理領域的公司，所有的說明內容皆提及，他們已取得大量韓國企業在金融管理與股市運作相關資料，並表明這是全球層級的事件，影響數十家公司。這些駭客聲稱是打擊系統性貪腐，揚言公開上述公司操縱股市的證據，以及涉貪的韓國政治人物與商人姓名，並點名韓國執法機關有義務介入調查。</p> <p>第二階段發生在9月17日至19日，當時Qilin公布另外9家受害企業，但不同的地方在於，他們對投資者喊話，表示將持續公布手上握有的數十家企業資料，對韓國股市造成嚴重衝擊，投資者最好趕快撤資。Qilin也對韓國監管機關施壓，表示這些受害公司的存在，是國家的恥辱，要這些機關介入。</p> <p>最後一波發生在9月28日至10月上旬，攻擊者這次也同樣公布9家受害企業，但不同的地方在於，過程中已有部分回歸一般向企業索討贖金的策略，不再提及造成韓國股市崩盤、要求韓國執法單位出手的訊息。10月22日，他們又公布新的受害公司，儘管受害組織的產業也與先前的目標相同，都是金融服務與資產管理業者，不過，這次Qilin不再提及Korean Leaks，並在一天後移除相關內容，但為何要這麼做，Bitdefender表示不清楚。</p> <p>針對Qilin入侵這些受害企業的管道，Bitdefender推測有3種，分別是上游供應商或代管服務業者受害、金融業者廣泛使用的特定軟硬體當中，已知或未知漏洞遭利用，再者，他們也不排除駭客事先取得進入網路環境的帳密資料。而<strong><a href="https://koreajoongangdaily.joins.com/news/2025-09-23/business/finance/More-than-20-management-companies-may-have-suffered-data-breaches-after-a-ransomware-attack/2406352">根據韓國媒體9月23日的報導</a></strong>，當時超過20家資產管理業者在伺服器遭勒索軟體攻擊後，其網路環境被入侵，這些公司的共通點在於，他們都是當地一家IT服務供應商的客戶，而此IT業者就是為專為資產管理業者提供代管服務，從而確認這是透過MSP入侵受害企業的供應鏈攻擊。</p> <p>而對於攻擊者身分，他們認為就是在<strong><a href="https://www.ithome.com.tw/news/167778">今年3月成為Qilin附屬組織</a></strong>的Moonstone Sleet，並指出該組織選擇加入Qilin的原因，就是企圖模糊攻擊者的身分，讓責任歸屬變得更加困難。</p> </div></div></div>
2025/12/1 13:12作者周峻佑https://www.ithome.com.tw/news/172550
Scale AI推出全新PropensityBench基準，揭露AI在壓力下的風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國AI資料與安全公司Scale AI上周<a href="https://scale.com/blog/propensitybench" target="_blank">推出了新的PropensityBench基準測試</a>，以檢驗AI模型在壓力下的安全風險，觀察AI模型在6種不同的壓力下是否會鋌而走險，結果發現OpenAI的o3系列、Claude Sonnet 4，以及OpenAI o4-mini最挺得住壓力。</p> <p>2016年成立的Scale AI最初以資料標註服務起家，客戶涵蓋自駕車廠與大型科技公司。近年則將業務擴大至AI模型評估、安全測試與代理式模擬環境，並投入建置各類基準、紅隊工具與安全審查平臺。</p> <p>Scale AI說明，現今許多評估方式多在測試模型的能力，例如能否產生惡意程式碼或提供化學配方，卻忽略模型在具備相關能力後的選擇傾向（Propensity），PropensityBench即是透過一個受控的代理環境，提供模型兩條路境，一是安全但容易失敗的作法，二則是危險但可成功的捷徑，研究團隊刻意讓安全路徑一直失敗，同時在系統中明確標示不得使用危險工具，藉以觀察模型是否會在壓力誘因下改走危險路徑。</p> <p>PropensityBench總計收錄了5,874個情境與6,648種工具，內含6種壓力來源，包括時間壓力、財務損失、資源匱乏、自我保存、追求權限擴張，以及削弱監管。發現各種在零壓力環境中看似安全的模型，在壓力增加時可能會快速失守，模型在無壓力時採用危險工具的比例約為18.6%，但在最大壓力下，則會上升至46.9%，也就是近半數情境中會選擇危險行為。</p> <p>實驗還發現，模型對「字面上名稱」的依賴遠大於對後果的理解，例如當研究人員把危險工具的名稱從「use_fake_data」改為「use_synthetic_data」之後，模型採用它的比例立即倍增，例如OpenAI的o4-mini從15.8%暴增至59.3%，Anthropic Claude Sonnet從12.2%飆升至47.1%，顯示模型的安全反應多屬淺層對齊，即僅避免危險字眼，而非真正理解行為風險。</p> <p>PropensityBench的早期結果也否定了「能力越強越安全」的假設。因為某些高能力模型在壓力下失守率反而更高，例如Gemini 2.5 Pro在壓力情境中的危害選擇率高達79%，遠高於部分中階模型。</p> <p><a href="https://scale.com/leaderboard/propensitybench" target="_blank">Scale AI以PropensityBench測試</a>了來自OpenAI、阿里巴巴、Meta、Google及Anthropic的11款模型，發現最挺得住壓力的是OpenAI的 o3系列、Claude Sonnet 4與OpenAI o4-mini，而最容易失守的前三名則是Gemini-2.0-pro、Gemini-2.0-flash及Qwen3-8B。</p> </div></div></div>
2025/12/1 13:52作者陳曉莉https://www.ithome.com.tw/news/172551
OpenAI開放多國資料落地存放，支援ChatGPT Enterprise、Edu與API企業用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="http://openai.com/index/expanding-data-residency-access-to-business-customers-worldwide/">OpenAI擴大企業用戶的資料落地（Data Residency）選項</a>，讓使用ChatGPT Enterprise、ChatGPT Edu與API平臺的組織，可以選擇將用戶內容儲存在特定區域，以因應各地監管與資料保護要求。OpenAI表示，目前已有超過100萬家企業用戶直接使用自家服務，此次擴充資料落地能力，鎖定的就是這一批在不同國家營運，但必須面對多重合規框架的企業與機構。</p> <p>目前資料落地功能已可在歐洲、英國、美國、加拿大、日本、南韓、新加坡、印度、澳洲及阿拉伯聯合大公國啟用，官方也強調未來會持續增加支援地區。</p> <p>在ChatGPT Enterprise與ChatGPT Edu部分，新建立的工作區可以直接設定資料落地地區，相關用戶內容會以靜態資料形式儲存在所選區域內。OpenAI說明，受資料落地約束的範圍包含對話內容、上傳檔案、自訂GPT，以及圖像產生過程所產生的相關產物等，也就是企業在商務情境下與服務互動時產生的主要內容，都可以限制只存放於特定區域。</p> <p>對使用API平臺的企業，OpenAI將資料落地與專案綁定，已取得進階資料控制（Advanced Data Controls）資格的企業用戶，可以在API平臺管理介面建立新的專案，並選擇偏好的資料落地區域。官方指出，經由這些專案送出的API請求，會在指定區域內處理，同時模型的請求與回應不會以靜態方式儲存在OpenAI伺服器上，降低長期留存風險。</p> <p>OpenAI也重申既有的隱私與安全設計，靜態資料採用AES-256加密，資料在用戶與OpenAI之間以及OpenAI與服務供應商之間傳輸時，則使用TLS 1.2以上協定。對需要更細緻控管的企業，OpenAI提供企業金鑰管理（Enterprise Key Management），讓用戶可以自備加密金鑰，用於靜態內容的加密，將金鑰管理留在自家掌控中。</p> <p>OpenAI也再次強調，預設不會使用ChatGPT商務方案與API的用戶資料來訓練模型，除非用戶主動選擇同意分享。資料保護設計則可支援GDPR、CCPA等隱私法規，同時符合CSA STAR、SOC 2 Type 2與ISO/IEC 27001、27017、27018、27701等標準。OpenAI的資料處理附錄（Data Processing Addendum），劃分在GDPR與其他隱私規範下，自己與用戶的角色與責任，供企業在內部合規與稽核文件中引用。</p> </div></div></div>
2025/12/1 12:22作者李建興https://www.ithome.com.tw/news/172548
ICLR 2026的審稿內容有逾21%完全由AI生成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在AI興起之後，有多少論文是由AI生成？又有多少論文審查是由AI執行？2024年創辦、專門偵測AI內容的Pangram，最近針對提交到2026年國際表徵學習會議（International Conference on Learning Representations，ICLR）的論文與審稿內容進行偵測，<a href="https://www.pangram.com/blog/pangram-predicts-21-of-iclr-reviews-are-ai-generated" target="_blank">發現在7萬篇審稿內容中</a>，有21%的審稿內容完成由AI生成。</p> <p>ICLR為全球前三大AI研究會議之一，ICLR 2026將在2026年4月於巴西里約舉行，提交給ICLR的論文是透過OpenReview學術審查平臺，代表其論文、審稿意見或作者回覆都是公開的。經常投稿ICLR也負責審稿的美國卡內基美隆大學語言技術研究所教授Graham Neubig，<a href="https://x.com/gneubig/status/1989362032668442991" target="_blank">在11月中發出50美元的懸賞</a>，號召有志之士針對ICLR論文及審查進行大型語言模型（LLM）的使用檢測，而Pangram決定接下這個任務。</p> <p>ICLR明文訂定了LLM使用規範，要求任何使用LLM的行為都必須揭露，且作者與審稿人都必須為最終內容負責，不得捏造或誤導。作者可以使用LLM協助撰稿或研究助理性質的工作，也可用於拼字與文法檢查，但需揭露並保證科學內容正確。然而，若審稿人將整篇審稿交由LLM生成，可能違反ICL的倫理規範，因為這等同未履行自身的審稿責任，也可能造成內容品質低落或不誠實等問題。</p> <p>Pangram下載了提交至ICLR 2026的1.9萬篇論文與7萬篇審稿內容，先將論文分段，再利用新模型EditLens逐段判斷AI生成比例，將其分為完全人類、輕度AI編修、中度AI編修、重度AI編修，以及完全AI生成等5個等級，發現在1.9萬篇的論文當中，有61%主要由人類撰寫，9%的投稿有超過一半的內容來自AI，以及數百篇幾乎完全由AI生成的內容，此外，有些完全由AI生成的內容在初審時便已被ICLR大會淘汰。</p> <p>至於在7萬篇審稿內容中，有超過一半的審查內容在某種程度上使用了AI，並有21%的審稿內容完成由AI生成。</p> <p>值得注意的是，在論文中，AI生成內容占比愈高，其審稿分數就愈低；但在審稿中，大量依賴AI的評論反而會給出高分，這是因為大型模型通常會給出相對正面的逢迎分數，內容很長且密度很低，還會亂給意見。</p> </div></div></div>
2025/12/1 11:21作者陳曉莉https://www.ithome.com.tw/news/172547
Zendesk企業客戶疑似遭到Lapsus$駭客以假工單網釣攻擊駭客預告還有下一波
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://reliaquest.com/blog/zendesk-scattered-lapsus-hunters-latest-target/" target="_blank">資安廠商發現</a>，Scattered Lapsus$ Hunters駭客組織可能正利用冒充的客服請求或工單，對知名工單平臺Zendesk客戶發動網釣攻擊，11月Discord資料外洩事件可能也是這波攻擊的一環。</p> <p>資安業者ReliaQuest發現40多個使用誤植名稱（typosquatted）和模仿Zendesk的網址，都是在近6個月內建立而成。這些變造過的冒牌網域像是znedesk[.]com、vpn-zendesk[.]com，有些代管了冒充Zendesk的單一簽入（SSO）釣魚網站，顯然是為了冒充合法Zendesk環境而設立。研究人員還發現到冒充Zendesk相關網域URL包含多個不同組織名稱或品牌，更容易誘使不察的用戶上鈎，並點擊連結。</p> <p>這些冒牌網址的共同點，包括都經由NickNic域名註冊商註冊、註冊者使用美國和英國的聯絡資訊，且使用Cloudflare遮罩的名稱伺服器(nameserver)，研究人員推斷是今年8月大肆攻擊Salesforce平臺的Scattered Lapsus$ Hunters。</p> <p>他們發現證據，顯示假工單發送目的地是使用Zendesk平臺作為客服入口網站的合法企業組織。這些工單旨在鎖定技術支援或客服人員，以便透過釣魚網頁攻擊，以感染遠端存取木馬程式(remote access trojan, RAT)和其他惡意軟體。</p> <p>資安業者指出，以上述手法攻擊help desk部門需要精心設計的文字能力，像是急救系統支援請求，或假的密碼重設申請等，才能騙取help desk提供用戶憑證，或是駭入其系統。而一旦攻擊者入侵客服人員系統，就可能引發災難性後果，像是在業者網路建立據點、在網路上橫向移動、偵察目標組織網，最終發動更大規模的系統攻擊。</p> <p>這是Scattered Lapsus$ Hunters最新一次行動。9月這群駭客攻擊Discord的Zendesk支援行動，<a href="https://www.ithome.com.tw/news/171607" target="_blank">並竊取了超過550萬筆敏感用戶個資</a>。那時資安業界還未意識到Discord事件是更廣泛Zendesk攻擊行動的一環，而這也顯示Scattered Lapsus$ Hunters又再用上了供應鏈攻擊策略。</p> <p>而這群駭客似乎不會善罷干休。他們11月初在Telegram預告，在2026年可能還會再發動3、4次攻擊，且警告年底假期間，網管人員要留意流量log，因為他們要來蒐集客戶資料。</p> </div></div></div>
2025/12/1 09:26作者林妍溱https://www.ithome.com.tw/news/172538
Coupang資料外洩，波及3,370萬用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>被譽為韓國亞馬遜的南韓最大電子商務網站酷澎（Coupang）近日傳出資料外洩事件，總計外洩3,370萬名客戶資料，相當於酷彭在南韓的用戶總數，<a href="https://tw.coupangcorp.com/archives/5701/" target="_blank">但未波及臺灣用戶</a>。</p> <p>根據<a href="http://www.yna.co.kr/view/AKR20251130016600030" target="_blank">南韓聯合通訊社</a>（Yonhap News Agency，韓聯社）及<a href="https://www.koreatimes.co.kr/opinion/editorial/20251130/ed-massive-data-breach" target="_blank">韓國時報</a>（The Korea Times）的報導，這是一起由內賊所為的偷竊事件，並非遭到駭客入侵。</p> <p>報導指出，該名內賊為酷澎的前中國籍員工，早在今年6月24日便企圖自酷澎的海外伺服器竊取用戶資料，但酷澎一直到11月才察覺此事，原本估計受害者只有4,500人，但在與執法機構及資安公司合作調查後，發現有超過3,300萬人受到波及。韓國時報認為，該資料外洩事件的起因源自於，酷澎未能妥善管理前員工的系統存取權限。</p> <p>外洩的資料包括用戶姓名、電子郵件地址、電話號碼、地址，以及部分訂單紀錄，並未包含任何支付資訊、信用卡或登入密碼。</p> <p>2010年創立的酷澎，在韓國、臺灣、美國、印度與新加坡提供服務，在2021年3月選擇於美國紐約股市掛牌，也是在同年7月進入了臺灣市場，與在地的momo及PChome競爭。</p> </div></div></div>
2025/12/1 09:38作者陳曉莉https://www.ithome.com.tw/news/172539
啤酒商朝日證實資料外洩事件影響近200萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本酒類大廠<a href="https://www.asahigroup-holdings.com/en/newsroom/detail/20251127-0204.html" target="_blank">朝日（Asahi）上周說明9月的網路攻擊事件</a>，造成顧客、員工近200萬人個資外洩。</p> <p><a href="https://www.ithome.com.tw/news/171419" target="_blank">9月29日Asahi發生網路攻擊</a>，導致集團內公司數項系統停止運作，包括訂單、工廠出貨，以及電話客服系統等。隔周<a href="https://www.ithome.com.tw/news/171609" target="_blank">勒索軟體組織Qilin宣稱是其所為</a>，以及竊得Asahi 27GB資料，共9300多個檔案。</p> <p>雖然事發時認為沒有發現資料外洩的證據，但在外部專家的合作下經過2個月，這家日本啤酒大廠於近日完成調查，上周將報告送交日本個資保護委員會，並發佈資料外洩事件資訊。</p> <p>Asahi是在9月29日早上7:00發現系統中斷、檔案被加密，11:00資安團隊切斷網路以隔離資料中心，避免災害擴大。調查發現，攻擊者是經由集團某臺網路設備，駭入資料中心，並同時植入勒索軟體，後者加密了多臺使用中的伺服器和數臺連網PC上的資料。因此該公司推測儲存在伺服器和PC上的個資可能外洩。目前駭客尚未於網上公開這批資料。</p> <p>可能被洩露資訊的包括客戶、該公司聯絡過的外部人士、員工（包括退休員工）及其家屬。其中客戶是指曾聯絡過Asahi、軟性飲料及Asahi集團食品公司客服中心的顧客，外部人士則是Asahi曾以telegram訊息致賀或慰問的人士，總人數約167萬。員工及員工家屬受影響人數約27萬。外洩的資料類型包括姓名、地址、電話、電子郵件信箱、有的還包括性別及出生日期。但該公司強調外洩資料未包含信用卡資訊。</p> <p>Asahi說公司花了近二個月來重建系統及強化安全，其中包括重新設計通訊路由和網路控制，對外網路連線包括電子郵件和Web應用將只限定安全區域。他們修改了安全監控系統，提升威脅偵測精確性，也重新設計備份策略及業務永續計畫，並承諾定期檢視安全標準，強化安全治理，包括提升員工訓練及外部稽核。</p> </div></div></div>
2025/12/1 08:57作者林妍溱https://www.ithome.com.tw/news/172537
體驗：未來的優勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-tu_po_si_wei_kuang_jia_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">五南圖書</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在現代商業競爭上，顧客體驗（Customer Experience）已成為企業勝出的關鍵戰略，而非僅僅是附加價值。根據麥肯錫（McKinsey）的研究，提供優質顧客體驗的企業，其營收成長速度比競爭對手快1.5倍，股東回報率更是高出60%。這不僅是一組數據，更是一個無法忽視的市場現實：忽略顧客體驗，企業終將被市場邊緣化。</p> <p>更加值得深思的是，貝恩公司（Bain & Company）的一項研究揭示一個令人震驚的反差：80%的企業認為自己提供卓越的顧客體驗，但只有8%的顧客認同這點。這道「企業自信」與「顧客真實感受」之間的鴻溝，正是許多企業無法真正贏得市場的主因。企業以為自己做得足夠好，但顧客卻無動於衷，最終導致品牌成長受阻，甚至市場份額節節敗退。</p> <p>顧客體驗的重要性不僅關乎感受，更直接影響企業的營收與競爭力。Forrester的研究指出，提升顧客體驗能夠讓顧客留存率提高5%，進而帶來超過25%的利潤成長。這正是現代市場運作的基本邏輯──當顧客體驗良好，他們不僅願意回購，還會自發性地向親友推薦，形成強大的品牌黏著力，讓企業獲得成長動能。</p> <p>更值得關注的是，根據Gartner的研究，64%的消費者認為顧客體驗比價格更影響購買決策。即便價格較高，只要顧客體驗足夠卓越，消費者仍然願意買單。在這方面，新加坡航空（Singapore Airlines）就是一個經典案例。作為全球最受推崇的航空公司之一，新航並不以低價取勝，而是透過卓越的服務體驗、個人化的機上服務、頂級的座艙設計，以及持續創新的顧客服務，讓旅客即使需要花費較高票價，仍願意選擇新航。這種差異化體驗，使其長期穩居航空業的領導地位。</p> <p>然而，顧客體驗的價值遠不止於提供「良好服務」，它更應該成為企業的核心競爭力，塑造獨特的品牌價值。日本的無印良品（MUJI）正是一個典型案例。無印良品並不僅僅是銷售商品，而是營造出一種「簡約而美好」的生活方式。從門市設計、購物動線，到產品包裝與顧客服務，無印良品始終堅持一致的品牌理念，讓消費者在購物過程中感受到平靜質感。這種體驗式零售模式，使無印良品在全球市場上擁有大批忠實顧客，即便產品價格高於一般同類商品，依然能夠維持高度競爭力。</p> <p>另一方面，台灣的誠品書店（Eslite）則是以「空間體驗」來建立品牌價值。誠品從一家書店發展成為「文化空間」，不僅販售書籍，更透過精心策劃的展覽、講座、音樂活動與咖啡館氛圍，讓閱讀不再只是單純的購書行為，而是一場結合藝術、知識與生活美學的體驗。這種差異化的顧客體驗，讓誠品即使在電商與數位閱讀盛行的時代，仍然能夠吸引大量實體顧客，並在亞洲市場持續拓展。</p> <p>根據資誠（PwC）的研究，86%的消費者願意支付更高價格，以獲得卓越的顧客體驗。這意味著，顧客體驗不僅能夠提升品牌忠誠度，更能直接轉化為更高的利潤空間。因此，企業的挑戰已不再只是「如何提升產品品質」，而是「如何讓顧客在心理上感覺這筆交易值得」。當企業能夠讓消費者不再單純以價格作為購買決策的唯一標準，而是因為品牌所提供的價值而選擇它，那麼顧客體驗便成為企業的長期競爭優勢，而非單純的附加服務。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>體驗：三大迷思</strong></span></span></p> <p>許多企業誤以為顧客體驗只是「客服」的範疇，認為只要客服做得好，就能提升顧客滿意度。然而，顧客體驗涵蓋的範圍遠超客服層面，涉及整個顧客旅程──從品牌認知、購買流程、使用體驗，到售後服務，每個接觸點都影響顧客對品牌的感受。若企業僅聚焦於解決客訴，而忽略其他環節，便如同帶著放大鏡檢視局部問題，卻忽視整體戰略。以星展銀行（DBS Bank）為例，星展銀行不僅專注於提供高效的金融服務，更透過數位轉型，從線上到線下打造無縫的銀行體驗。其手機銀行App「digibank」讓顧客能夠隨時隨地完成交易，不需依賴傳統分行。此外，星展銀行還積極布局數位生態系，例如與電子商務平台、支付業者合作，確保顧客在各種金融場景中都能享有便捷的服務。這種「無處不在」的銀行體驗，使星展銀行屢獲「全球最佳銀行」的殊榮，也顯示顧客體驗不只是客服，而是全面的服務設計。</p> <p>其次，一些企業迷信「顧客體驗由技術驅動」，認為只要投入人工智慧、數據分析、數位工具，就能自動提升顧客體驗。然而，技術雖然能增強營運效率與個人化服務，但顧客真正關心的，往往是情感共鳴與人性化互動（Grazzini, Viglia, & Nunan, 2023）。日本的虎之門之丘（Toranomon Hills）便是成功平衡科技與顧客體驗的典範。這座由森大廈（Mori Building）打造的智慧城市綜合開發案，透過物聯網應用，創造一個結合辦公、住宅、商業、酒店與綠地的「城市新形態」。</p> <p>然而，虎之門之丘的成功不僅在於科技，而是在於如何透過設計與人性化服務，讓人「想在這裡生活與工作」。舉例來說，它的智能建築系統能夠根據天氣與使用者習慣自動調整室內環境，減少能源浪費，同時提升舒適度；社區內的智能移動服務（如自動駕駛接駁車），則確保人們的移動體驗更流暢。此外，虎之門之丘還提供「城市即服務」（City as a Service）的概念，透過數位平台讓居民與企業能夠享受個人化的社區服務，讓智慧城市真正以人為本，而非僅是冷冰冰的科技展示場。這種技術與生活體驗的深度融合，使虎之門之丘成為日本未來都市規劃的標竿。</p> <p>最後，許多企業誤以為顧客體驗變革能立竿見影，期待短期內就能看到明顯的成效。然而，顧客體驗是一場長期戰役，需要持續優化，並透過穩健的品牌經營來建立深厚的市場影響力。台灣的全家便利商店（FamilyMart）便是一個例子。全家並非以價格競爭，而是透過持續創新的顧客體驗來提升品牌價值。從「Let’s Café」的精品咖啡，到FamiPort多功能機台，全家將便利商店從單純的零售據點轉型為多元服務平台。此外，全家運用會員數據來提升顧客互動，推出個人化優惠與點數回饋，讓消費者在長期使用中累積忠誠度。</p> <p>顧客體驗不只影響消費者滿意度，更是決定企業能否持續成長與強化品牌競爭力的關鍵。企業若能跳脫傳統思維，從全旅程視角優化顧客體驗，便能在競爭激烈的商業戰場中占據一席之地。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>樟宜的緣分</strong></span></span></p> <p>每年在新加坡國立大學商學院EMBA課程上，我總會精心挑選一個值得深究的「新加坡之光」案例，而2019年4月17日，一個新的靈感源泉悄然浮現──星耀樟宜商場正式開幕。</p> <p>一個機場為何要打造如此規模宏大的商場？這座商場與機場之間究竟存在什麼樣的關聯？這些疑問驅使我展開這場服務創新的探索之旅。</p> <p>樟宜機場不僅連續十多年獲得國際獎項認可，成為全球公認的服務創新標竿，其數位轉型的成果更是堪稱經典。雖然許多企業聲稱在推動服務創新，然而，大部分的創新僅停留在改善層次，缺乏真正的突破。有些企業雖然導入最新技術，卻無法賦能組織，最終淪為表面的數位升級。樟宜機場的難能可貴，正是在於它不僅創新，更能有效地讓創新落地，並且在體驗設計與科技應用之間找到平衡。<strong>（本文摘錄整理自《突破思維框架》，五南圖書出版提供）</strong></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_五南</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_%E7%AA%81%E7%A0%B4%E6%80%9D%E7%B6%AD%E6%A1%86%E6%9E%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%BA%94%E5%8D%97.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> <span style="color:#3366ff;">突破思維框架：新加坡樟宜機場的服務創新</span></strong></p> <p>蕭瑞麟／著</p> <p>五南圖書出版</p> <p>定價：480元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><strong>蕭瑞麟</strong></p> <p>國立政治大學科技管理與智慧財產研究所專任教授，新加坡國立大學商學院亞太EMBA課程客座教授。蕭老師於英國華威大學（University of Warwick）取得工程碩士以及商學博士後，轉赴新加坡國立大學商學院任教，曾擔任亞太EMBA課程之學術主任。之後受邀返回台灣，加入國立政治大學科技管理研究所任教迄今，曾任所長。</p> <p>他以創新研究為主軸，運用脈絡探索法分析跨領域管理主題，像是科技業、服務業、教育業、餐飲業、交通業、新聞媒體業、都市更新、文創業及數位金融等創新議題。擅長用學術理論解決實務問題，也由實務發展出新的理論。</p> </div></div></div>
2025/11/29 18:00未署名https://www.ithome.com.tw/article/172536
2025臺灣網路惡意活動數量居高不下，在亞太地區名列前茅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>位處全球地緣政治衝突的熱區，臺灣這幾年面臨的網路攻擊活動大幅增加，時至2025年底，多家資安廠商陸續發表年度威脅態勢的回顧與展望。</p> <p>首先，是11月底Fortinet全球威脅情報副總裁Derek Manky公開1月至9月的觀測結果。</p> <p>根據該公司旗下的網路安全威脅情資和研究機構FortiGuard Labs的分析，今年在亞太地區總共偵測到5,784億次惡意活動，年成長率為13.30％，網路入侵類型的活動偵測到5,749億次，惡意軟體偵測到6.4億次，殭屍網路偵測到26.4億次。單是臺灣而言，惡意活動總共被偵測到1,534億次，在亞太地區的占比超過四分之一，僅次於印尼（2,280億次，占比為40.48％），網路入侵類型的活動偵測到1,531億次，惡意軟體偵測到7,810萬次，殭屍網路偵測到1.64億次。在這之後的惡意活動偵測數量大國，有印度（600億次，占比為10.55％）、日本（170億次，占比為2.96％）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fortinet APAC-Threat Landscape-2025-11-27-Web3-TW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fortinet%20APAC-Threat%20Landscape-2025-11-27-Web3-TW.jpg" style="width: 600px;" /></a></p> <p> </p> <p>除了上述主要類別的惡意活動偵測次數，Fortinet也根據<a href="https://fndn.fortinet.net/accelerate/attack_kill_chain/page-1-1.html">網路攻擊鏈的模型</a>，細分為7大階段：偵察（Reconnaissance）、武器化（Weaponization）、遞送（Delivery）、漏洞濫用（Exploit）、安裝（Installation）、命令與控制（Command and Control）、對目標採取行動（Action on Objectives），其中占比最高的惡意活動類型，是最後階段執行的阻斷服務（DoS），偵測數量高達1,390億次；其次是最初偵查階段發生的主動掃描（窺伺）行為，有120億次；第三高是居中漏洞濫用階段發生的漏洞濫用嘗試行為，有22億次，第四高也是這個階段的暴力破解行為，有6.139億次；第五高是中後段的殭屍網路活動，有1.64億次。</p> <p>Fortinet表示，從2024年以後至今，雖然漏洞濫用嘗試的偵測量下降超過7成，阻斷服務攻擊卻增加61.36％，與DoS同屬最後攻擊階段的勒索軟體，增加40.77％，偵測數量為11,740次。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fortinet Cyber Kill Chain-2025-11-27-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fortinet%20Cyber%20Kill%20Chain-2025-11-27-web.jpg" style="width: 600px;" /></a></p> <p>關於全球網路攻擊態勢，另一家資安廠商Check Point在10月底發布2025第三季的觀測統計。根據該公司威脅情報部門 Check Point Research的數據顯示，在2025年9月期間，全球組織每週平均遭受1,900次網路攻擊，較去年同期增長1％。以各產業而言，排名前三大的攻擊目標，分別是教育（4,175次）、通訊（2,703次）、政府機構（2,512次），其中唯一攻擊次數成長的是通訊產業，較去年同期增加6％。</p> <p>以每週平均攻擊次數而言，非洲（2,902次）與拉丁美洲（2,826次）最多，亞太位居第三（2,668次），而臺灣被攻擊次數高達3,840次，高居亞太地區第一位。以各產業而言，受攻擊次數最多的前三大，依序為硬體與半導體（5,638次）、製造業（4,786 次）、政府（4,570 次）。</p> <p>若將時間拉長至過去半年以來（從9月回推），全球組織每週遭受1,952次攻擊，臺灣各組織高達3,883次。這段期間，臺灣最常見的漏洞利用類型為資訊外洩（Information Disclosure），影響 79％的組織，全球因此類威脅而受影響的組織比例為 69％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Check%20Point%20Global%20Attack-2025-10.png" style="width: 600px;" /></p> </div></div></div>
2025/11/30 01:18作者李宗翰https://www.ithome.com.tw/news/172534
.NET 10統一建置架構加快安全修補與版本發布節奏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟在.NET 10正式版中<a href="https://devblogs.microsoft.com/dotnet/reinventing-how-dotnet-builds-and-ships-again/">導入</a>新的統一建置架構（Unified Build），重整產品建置與發行流程，讓版本更新與安全修補的速度與可預測性大幅提升。官方提到，這項改造是.NET團隊近4年投入基礎建置工作的成果，結合原先Linux原始碼建置經驗，目標是簡化多儲存庫開發造成的建置延遲與維護負擔。</p> <p>過去.NET的開發分散在多個儲存庫，執行環境（Runtime）、ASP.NET Core、SDK與WindowsDesktop等元件各自獨立。分散架構雖有利於社群開發，但在多版本維護與安全修補時卻導致流程複雜，要確保所有元件版本一致，團隊需多次重建、審查與驗證，往往耗時數十小時甚至數天。根據微軟資料，.NET 8的Runtime建置歷程中，約有40%時間其實花在排程、等待與重複操作等非產出步驟上。</p> <p>統一建置架構採用虛擬單一儲存庫（Virtual Monolithic Repository，VMR）技術，將原本分散的程式碼整合為統一原始碼版面（Source Layout）。開發者仍可在各自儲存庫作業，但正式建置只依VMR內容進行，確保所有版本源自單一提交點，該方法不僅減少協調與相依項目更新的時間，也提升整體一致性。</p> <p>統一建置架構改採垂直建置（Vertical Build）概念，每個垂直建置負責特定平臺與堆疊，像是Windows x64或Linux Arm64，能以單一命令在單機完成，如此降低跨平臺相依性，使建置流程更單純。部分跨平臺元件仍需額外建置階段處理，但整體效率已大幅改善。</p> <p>Linux發行版維護者可透過原始碼建置機制離線重建.NET，以符合授權與可追溯的要求，而統一建置架構則把這種以單一來源為中心、偏垂直的建置模式，從過去主要用於Linux發行版的原始碼建置，推廣到微軟官方.NET的整體產品建置流程。同時，.NET團隊引入僅供參考的套件（Reference-only）套件，用來提供編譯時所需的API介面，取代過去那些僅需提供編譯介面而不必真正建出實作的舊版相依套件，進一步降低歷史相依性的維護成本。</p> <p>統一建置架構將完整建置時間壓縮至7小時內，未簽章版本甚至可在4小時完成，也就是說，開發團隊每天能生成多個可驗證版本，大幅縮短修補與驗證周期，相較過去動輒超過一天的分散式建置，現在的流程更有彈性。</p> <p>新架構允許針對完整產品執行情境測試，而非僅限於單一儲存庫，因此能早發現跨堆疊相容性問題，減少在版本凍結階段（RTM Build）的回溯修正。微軟表示，這種整體驗證方式有助於確保.NET版本間的穩定性與可靠性。</p> </div></div></div>
2025/11/28 21:12作者李建興https://www.ithome.com.tw/news/172533
漢翔工業實現永續及智慧製造轉型的關鍵，以設計模擬找出關鍵製程參數，結合AIoT產線監測控管品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應無人機、eVTOL (電動垂直起降飛行器)市場需求變化，以及淨零排碳的永續轉型壓力及供應鏈挑戰，傳統航太產業必需不斷改善製程，例如採用輕量化結構設計，縮短量產時程，才能滿足多變的市場需求。</p> <p>投入國防、引擎製造、無人機的漢翔工業近期在一場活動中，分享漢翔工業如何推動智慧製造及實現永續轉型，包括開發設計複合材料模具，提高熱塑複材的開發效率、降低模具成本，為該公司邁向淨零永續及智慧製造轉型的實例。</p> <p><strong><span style="color:#B22222;">輕量化結構及高速量產2大挑戰</span></strong></p> <p>「航太業使用複合材料已是明確的趨勢」，漢翔工業工業工程處結構分析組組長余孟駿說。</p> <p>他分析使用複合材料有2個原因。首先是輕量化結構，在各種飛行器設計裡，為了減少油耗、擴大航程、增加酬載重量，除了改善推進系統，另一個方式是讓飛行器瘦身，透過材料或是輕量化結構設計達到目的，例如提高複合材料的應用率。 </p> <p>以目前市場需求快速增加的無人機、eVTOL為例，余孟駿指出，傳統耗油的飛行器，隨著飛行距離，消耗燃油得以減輕負重，但是無人機、eVTOL等新型的飛行器多使用固定重量的電池，並不會隨飛行減輕電池重量，因此採用輕量化的結構設計對這類飛行器相當重要，尤其是載重有限的無人機，載重限制無人機的應用可能性。</p> <p>促成航太業運用複合材料另一個原因是，高速量產的需求。傳統飛機製造相當費時，而無人機或eVTOL的需求，特別是無人機，需求量往往上百架、千架不等，遠遠超過傳統飛機，因此航太業因應市場必需具備高速製造能力，必需透過新的製程來達到目的，例如開發熱塑複材或是其他高速非壓爐製程。</p> <p>其中熱塑複材(TPC)就具有潛力，余孟駿指出，傳統熱固複材(TS)的材料特性為不可逆的化學反應，如同煎熟的荷包蛋，一旦加熱固化後就難以回復再利用，而且熱固複材的固化時間約需2到3個小時，並且不容易將兩個物件組裝在一起，需透過扣件或膠合等方式組裝。</p> <p>至於熱塑複材，儘管需要較高加熱溫度(300至400度)，但熱塑時間只有幾分鐘，且為可逆的物理變化，具有可塑性，如同巧克力加熱融化，易於再利用，也容易將兩個物件接合組裝，除了扣件或膠合，也能以焊接方式接合。</p> <p>換言之，從航太產業因應市場需求，需要輕量化結構，使用複合材料，並且滿足高速生產需要，熱塑複材相較於熱固材料具有優勢，而且因為容易回收再利用，符合淨零永續的目標。</p> <p>然而，複合材料在成化過程中，成品容易受到纖維方向，或是因為成化工具、纖維、樹脂的熱膨脹係數，甚至受到加熱溫度、壓力變化的影響。</p> <p>余孟駿指出，航太業在複材開發上面臨挑戰，在複合材料開發過程中，零件最終尺寸取決於模具不斷調整修改，而模具送回修改往往耗費一個半月，修改模具也耗費資金。另一個更為現實的挑戰是，少子化加上老師傅凋零，讓過去靠口耳相傳學習的製造經驗難以為繼。</p> <p><span style="color:#B22222;"><strong>整合設計及模擬縮短零件試製時間</strong></span></p> <p>這是傳統製造業面臨的挑戰，促使製造業必需加速轉型，例如以自動化生產降低對勞力的需求；傳統製造仰賴老師傅數十年的製造經驗，取而代之的是AI蒐集實體零件與設備數據進行分析，相關技術發展愈來愈成熟。</p> <p>他認為透過製程模擬先期掌握重要參數，是自動化智慧製造的出路。</p> <p>至於複合材料開發挑戰，熱塑複材相較熱固複材生產效率大幅提升，在無人機、eVTOL或下一代客機開發具有潛力，以無人機為例，雖然不像有人駕駛飛機要求製程繁瑣及準確，但是無人機需要縮短製程時間，而使用熱塑複材只要幾分鐘就能完成。</p> <p>但是熱塑複材需使用的模具成本高於熱固複材，「製造過程中禁不起多次模具來回修改的成本，特別是錢買不到的時間」。</p> <p>余孟駿表示，熱壓製程使用的模具修模費用高昂，由於加熱壓製成型，模具如果需要修模，壓製的上、下模具都需要修改，需要花費上萬歐元，而且耗費數周的時間，並且修模期間產線被迫停產。因此在製造之前，希望透過製程模擬，包括熱壓後零件的常溫入回彈角度差異，讓首次試產達到良好零件設計角度，同時縮短開發時間。</p> <p>漢翔和達梭系統合作，為製造而設計(Design for manufacture)，以飛機機翼大量使用的翼肋為目標，翼肋需要三面折彎設計，製程中翼肋的三面折彎必需確保準確才能組裝，他們通過MODSIM整合設計和模擬，透過模擬與驗證翼肋的熱壓製程模具實作效果。</p> <p>透過MODSIM整合設計及模擬，設定零件的尺寸、溫度、行程、速度等製程參數化模型，透過不斷調整、蒐集及分析，找出模具開發的關鍵製程參數。</p> <p><span style="color:#B22222;"><strong>智慧化產線製程</strong></span></p> <p>取得關鍵製程參數後，接下來漢翔在工廠、設備上安裝監測器，蒐集數據經由漢翔AIxWARE智慧監控，透過智慧監控後續量產時的製程品質，適時介入，避免生產缺陷。</p> <p>余孟駿最後提到航太產線的智慧化發展，在原有老舊機臺安裝監測設，串連多個機臺蒐集資料，製程排程、品質控制都可從監控數據反映出來，並且計算能耗、碳排管理，隨著AI技術的發展，不斷精進提升資料的蒐集分析，並且能夠輔助決策，提升製程穩定，協助以更有效率的方式生產。</p> <p> </p> </div></div></div>
2025/11/28 17:59作者蘇文彬https://www.ithome.com.tw/news/172526
AI趨勢周報第281期：Google揭臺北全新辦公室，打造總部外最大AI基礎建設研發中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（1121～1127）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI基礎建設 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 辦公室 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google揭臺北全新辦公室，打造總部外最大AI基礎建設研發中心</strong></span></p> <p>Google日前在臺北士林正式啟用全新辦公室，定位為美國總部以外規模最大的AI基礎建設硬體研發中心。新辦公室匯集硬體、軟體和供應鏈等跨領域團隊數百名工程師，要加速AI伺服器、資料中心和基礎建設的研發與測試。</p> <p>Google表示，臺灣完整的供應鏈與產業聚落，是發展AI基礎建設的關鍵優勢，從設計、製造到部署都能在數小時的距離內完成，有助於縮短開發周期。新辦公室設有十多座專業實驗室，可在產品部署全球前進行嚴格測試與驗證；空間設計也融入臺灣地景與鐵道意象，強調協作與創新。</p> <p>這座辦公室也以永續為核心，預計可降低12%能耗、46%用水量，施工廢棄物則有73%回收再利用。Google強調將持續投入臺灣的數位基礎建設與人才培育，包括資料中心、國際海纜、再生能源，以及AI素養推廣與學術合作。新中心的技術將支援全球Google搜尋、YouTube、Gemini等核心服務。<a href="https://blog.google/intl/zh-tw/company-news/inside-google/google-ai/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/TsVaKO5M04U?si=QlZwVmZFGIuTEGtH&controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Claude Opus 4.5 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼修復 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Anthropic </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Claude Opus 4.5來了！程式碼修復能力大升、還能無限聊天</strong></span></p> <p>Anthropic最近推出新一代模型Claude Opus 4.5，不只更強，價格也直接砍到前代Opus 4.1的三分之一，每百萬Token輸入5美元、輸出25美元。最大亮點是它成為首個在SWE-Bench Verified程式碼修復測試中，贏過80%的模型，等於逼近甚至超越專業工程師。</p> <p>Opus 4.5也在Anthropic自家工程測驗中打敗所有人類考生，在限時兩小時的高難度題目拿下史上最高分。這次新增的effort參數讓開發者可自己調整運算強度比例，包括推理深度、速度和成本。比如，中等effort模式，可以遠低於Sonnet 4.5的Token用量，達到相同最佳成績，節省76%的Token。</p> <p>為展示模型的電腦操作能力，Anthropic同步推出Chrome與Excel整合功能，讓它能自動放大螢幕區域、跨視窗操作或在Excel生成樞紐分析。Opus 4.5還導入新的長脈絡策略，加入「選擇性脈絡壓縮」機制，能在脈絡逼近上限時自動萃取並保留關鍵內容，等於支援「無限聊天」，長程對話或專案不再因脈絡塞滿而被迫重來。<a href="https://www.anthropic.com/news/claude-opus-4-5">（詳全文）</a></p> <p><img alt="" src="https://www.anthropic.com/_next/image?url=https%3A%2F%2Fwww-cdn.anthropic.com%2Fimages%2F4zrzovbb%2Fwebsite%2Fc8852ce850bf63ef8225a261f39e717453a9f128-3840x2160.png&w=3840&q=75" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nano Banana Pro </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI生圖 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google推新一代AI生圖模型，AI畫圖更合理</strong></span></p> <p>Google日前發表全新的專業級AI繪圖模型Nano Banana Pro（Gemini 3 Pro Image），主打高畫質、會推理、能處理複雜構圖，還大幅改善了上一代最常被抱怨的文字錯字和變形問題。</p> <p>這代最大升級有兩點，首先是推理能力變強，模型能透過Search grounding把真實內容直接畫成圖，例如食譜步驟、植物介紹、天氣變化、歷史背景或資料圖表，讓教育與商業用途的圖像更貼近事實。第二是文字終於清楚可讀，Nano Banana Pro能生成多語言文字，還能控制字體粗細、樣式與排版，適合做海報、包裝或介面原型，也能把英文圖片翻譯成其他語言並保持原本版面。</p> <p>模型最多可同時處理14張圖片、維持5個人物的光線與外貌一致，並支援局部編輯、景深切換、相機角度與色彩分級等設置。圖像輸出解析度最高 4K，可直接用在廣告或簡報。目前Nano Banana Pro已能在Gemini App、Gemini API、Vertex AI、Google Ads和Slides等產品中使用，免費用戶用完額度會退回前一代，付費訂閱者則能使用較完整的功能。<a href="https://blog.google/intl/zh-tw/products/explore-get-answers/nano-banana-pro/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/UQsJIo46ZR8?si=kzIhVGn84y-D536B&controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Code Max </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型專案 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI推GPT-5.1-Codex-Max，可24小時跑大型專案</strong></span></p> <p>OpenAI推出最新預設程式開發模型GPT-5.1-Codex-Max，主打可連續執行超過24小時大型任務，也是首個針對Windows特別訓練的Codex模型。新版的最大亮點是支援超大型脈絡，也就是透過壓縮機制，讓模型在任務進行過程中自動摘要重要內容、移除不必要細節，能跨多個脈絡視窗，在單一任務中處理數百萬個Token。這讓使用者更容易完成大型重構、系統級修補和跨檔案依賴分析。</p> <p>效能方面，Codex-Max在基準測試全面超越舊版，比如SWE-Bench Verified基準測試達到77.9%、SWE-Lancer達79.9%。OpenAI表示，在保持品質下，Max 可減少約30%的Token用量，真實任務速度提升27%～42%。實測中，同一任務前代需3.8萬個Token，Max只要1.6萬；程式碼行數也從667行縮短到529行，速度則快了40%以上。</p> <p>OpenAI透露，內部已有95%工程師使用Codex，Pull Request的產量增加70%左右。目前Codex-Max已開放給ChatGPT Plus、Pro、Business、Edu和Enterprise訂閱戶，近期也將推出API。<a href="https://openai.com/index/gpt-5-1-codex-max/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-11-28%20155737.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 線性迴歸 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 充電樁 </span></strong></span></p> <p><span style="font-size:22px;"><strong>別小看線性迴歸，Google用它讓充電樁預測更可靠</strong></span></p> <p>Google研究團隊在替電動車設計充電路線規畫時，棄用複雜的大型模型，改用最基本的線性迴歸模型，預測駕駛在30～60分鐘後抵達充電站時，是否還能找到至少一個可用的充電樁。這個輕量模型直接整合進導航系統，讓路線規畫能避開「到站剛好沒位置」的時間點。</p> <p>模型只有一個核心特徵：一天的24小時，每個小時都有自己的權重，反映該時段充電樁占用率的平均變化。權重為正表示樁位會越來越滿、未來空位減少；為負則代表樁位會逐步釋出；接近零則表示變化不大。這等於模型直接學會「現在到未來的占用變化率」，而不是模擬複雜的排隊行為。</p> <p>Google用加州和德國的即時充電樁資料來訓練模型，並在多個站點驗證。結果顯示，在至少6個樁位的大型站點、且處於占用變化最快的尖峰時段（如早上與晚上8點），線性迴歸能明顯提升預測準確度，早上錯誤預測降低約20％，晚上則降低約40％。整體而言，這個極簡模型能有效減少電動車駕駛在繁忙時段撲空的機率。<a href="https://research.google/blog/reducing-ev-range-anxiety-how-a-simple-ai-model-predicts-port-availability/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Ai2 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開源 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Olmo3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Ai2推出真正全開源模型Olmo3</strong></span></p> <p>美國非營利研究機構 Ai2 釋出最新語言模型 Olmo3，主打「真正開源」——不只公開最終權重，連訓練資料、程式碼、評測流程、各階段 checkpoint，到能回溯推理來源的工具，全都開放釋出，使用者可完整重現並延伸模型，是目前少見的完全透明做法。</p> <p>Olmo3分為7B與32B兩個系列，均以Olmo3-Base為核心，再依用途分為3種模型，包括： Olmo3-Think：加入多步推理訓練，可產生可閱讀的中間思考步驟。 Olmo3-Instruct：強化對話與指令跟隨，用於一般助手場景。 Olmo3-RL Zero：針對強化學習研究，提供多領域RL的完整檢查點。開發者可直接用Instruct或Think，也能從Base或任一訓練階段接手，加入自家資料微調。</p> <p>本次最受關注的是32B版Olmo3-Think，它不只會輸出推理步驟，還能透過OlmoTrace把思考鏈條回溯到可能相關的訓練資料，讓使用者檢視模型為什麼這樣回答。Ai2測試顯示，Olmo3-Think 32B在MATH、BigBench Hard、HumanEvalPlus等多項數學與程式推理評測中，多數成績逼近Qwen3 32B和Qwen3 VL 32B Thinking，並明顯領先Gemma3 27B Instruct等同級模型。<a href="https://allenai.org/blog/olmo3">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟開放Fara-7B，小模型也能自己操作網頁</strong></span></p> <p>微軟發表開放權重模型Fara-7B，主打只用70億參數就能在本機執行「電腦代理」，自動完成點擊、輸入、捲動等網頁操作。模型目前仍屬研究階段，官方建議在沙箱環境測試，避免用於敏感或高風險任務。</p> <p>Fara-7B會讀取瀏覽器截圖，推論下一步該做什麼，可用於協助表單填寫、找資料、比價購物、訂票或管理雲端帳號，但全程仍需人類監看。它以 Qwen2.5-VL-7B 為基礎，支援長內容輸入，並透過監督式資料學會「看畫面 → 思考 → 行動」的流程。每次推理都會同時參考使用者指令、歷史行動與最近3張截圖，最後輸出一次工具呼叫，對應瀏覽器自動化框架Playwright的滑鼠與鍵盤動作，或瀏覽巨集。</p> <p>微軟測試發現，Fara-7B的成功率優於同源模型UI-TARS-1.5-7B，也逼近OpenAI電腦使用預覽版等系統，同時需要的步數更少、成本更低。模型只處理截圖與必要資訊，不會額外存取網站資料，且所有動作都有完整紀錄，方便稽核。Fara-7B已整合到Magentic-UI研究原型，並可於Microsoft Foundry、Hugging Face和VS Code AI Toolkit下載試用。<a href="https://www.microsoft.com/en-us/research/blog/fara-7b-an-efficient-agentic-model-for-computer-use/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/research/wp-content/uploads/2025/11/model_accuracy_vs_cost_v2-1-1.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超級電腦 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國網中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPU </span></strong></span></p> <p><span style="font-size:22px;"><strong>全球500強超級電腦排名公布：美國三巨頭稱霸、臺灣10臺上榜</strong></span></p> <p>最新一屆Top 500超級電腦榜單出爐，美國再次包辦前三名，包括El Capitan（1.809 Exaflop/s）、Frontier（1.353 Exaflop/s）、Aurora（1.012 Exaflop/s），第四名則是歐洲首度突破1 Exaflop/s的JUPITER Booster，部署於德國Jülich超級電腦中心。</p> <p>美國三大系統涵蓋了核武安全、氣候和宇宙模擬、材料科學與AI等科研任務。JUPITER Booster則是美國以外首個Exascale等級系統，支援歐洲在氣候、量子與AI訓練領域的重點研究。</p> <p>臺灣這次共有10臺上榜、數量居全球第九，包括國網中心的Nano 4（第29名）、友崴Ubilink（第49名）以及Nvidia TAIPEI-1（第80名）等。國家分布方面，美國以171臺遙遙領先，日本43臺、德國40臺、中國40臺、法國22臺。硬體方面，最常見處理器為Intel Sapphire Rapids（14.6%）與AMD Milan（13.8%），而Nvidia GPU則支援了500強中86%的系統，持續主導超級電腦運輸加速生態。<a href="https://top500.org/news/el-capitan-retains-1-as-jupiter-becomes-europes-first-exascale-system-in-the-66th-top500-list/">（詳全文）</a></p> <p>圖片來源／Google、Anthropic、OpenAI、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 高通發表Snapdragon 8 Gen 5行動平臺，AI效能提升46%</strong></p> <p><strong>2. Google自家AI生成圖像全面嵌入C2PA與SynthID浮水印</strong></p> <p><strong>3. 微軟發表相容PostgreSQL的Azure HorizonDB，支援大型工作負載還內建AI功能</strong></p> <p>資料來源：iThome整理，2025年11月</p> </div></div></div>
2025/11/28 13:01作者王若樸https://www.ithome.com.tw/news/172519
GitLab修補兩高風險漏洞，涵蓋CI/CD快取憑證外洩與DoS弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitLab<a href="https://about.gitlab.com/releases/2025/11/26/patch-release-gitlab-18-6-1-released/">發布18.6.1、18.5.3與18.4.5版本</a>，針對社群版本與企業版本修補多項安全與穩定性問題。官方建議所有自託管版使用者儘速升級至對應版本，以確保系統安全。GitLab.com已完成更新，GitLab Dedicated用戶則無需採取行動，這次更新包含兩項高風險弱點修補，分別涉及CI/CD快取憑證外洩與DoS攻擊。</p> <p>新版本修補的第一個高風險漏洞為CVE-2024-9183，與CI/CD快取競態條件有關。在特定條件下，低權限的已登入使用者，可能取得較高權限的憑證並以該身分執行操作，CVSS評分7.7。受影響範圍包括GitLab CE與EE的18.4至18.4.4、18.5至18.5.2以及18.6.0版本，修補已納入18.4.5、18.5.3與18.6.1中。</p> <p>第二個高風險漏洞CVE-2025-12571出現在JSON輸入驗證中介軟體。未經身分驗證的攻擊者可利用特製JSON請求觸發拒絕服務，使系統無法回應。此問題影響範圍更廣，自17.10版起至18.4.4，以及18.5.0至18.5.2與18.6.0皆受影響，CVSS評分7.5。</p> <p>除上述兩項高風險問題外，GitLab也修補多項中低風險漏洞，包括繞過帳號註冊流程的身分驗證漏洞CVE-2025-12653、HTTP回應處理中的DoS漏洞CVE-2025-7449、Enterprise Edition標記語法算繪的授權檢查缺陷CVE-2025-6195，以及Terraform Registry在特定條件下可能導致權杖外洩的資訊揭露漏洞CVE-2025-13611。</p> <p>此次更新也包含多項程式修正與穩定性改善，如更新Container Registry至v4.31.1與修正Cloud Native GitLab管理介面CSS載入問題等。由於本次版本涉及資料庫遷移，單節點環境升級期間需等待遷移完成，將有停機時間，而多節點部署則可依官方零停機流程執行，18.6.1另包含於升級後執行的部署後遷移（Post-deploy）作業，用戶在系統上線後仍需進行背景搬遷才能完整套用本次更新。</p> </div></div></div>
2025/11/28 15:52作者李建興https://www.ithome.com.tw/news/172524
程式碼編排服務JSON Formatter和CodeBeautify被上傳大量機敏資訊，已有歹徒爬梳相關資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過往開發人員在程式碼裡，不慎洩露企業組織開發環境或是內部系統的憑證、權杖（Token），以及帳密資料的情況，資安業者多半在GitHub、GitLab，以及Bitbucket等程式碼儲存庫發現這些問題，然而，提供程式碼重新編排的服務，也出現類似的情形。</p> <p><strong><a href="https://labs.watchtowr.com/stop-putting-your-passwords-into-random-websites-yes-seriously-you-are-the-problem/">資安業者watchTowr指出</a></strong>，他們在線上程式碼編排及美化（Beautify、Formatter）服務平臺JSON Formatter和CodeBeautify，發現近期共用程式碼連結（Recent Links）暫存的程式碼裡，曝露了大量的機密資料，而能被任何人隨意取用，影響範圍涵蓋國家關鍵基礎設施、政府機關、金融保險與銀行、科技、資安、零售、航太、電信、醫療照護、教育，以及旅遊等產業。值得留意的是，watchTowr發現，有人已在專門爬梳相關內容，並挖掘及濫用其中的憑證與權杖資料。</p> <p>針對JSON Formatter和CodeBeautify的用途，這些平臺都是開發輔助工具，主要的功能就是重新以格式化的方式，編排程式碼的內容，轉換成人類容易閱讀的結構，此外，這些平臺還能協助開發人員檢查是否出現語法錯誤、壓縮程式碼內容，或是在不同格式之間轉換。</p> <p>其中，這類平臺提供的暫存服務，會將使用者輸入的內容存放於雲端，以便分享給別人。然而，watchTowr發現，這種存檔機制不僅採用直覺、常見的網址格式，容易被猜出，還透過近期共享的程式碼片段連結（Recent Links）頁面，讓更多人能夠參考使用者儲存的內容。換言之，當使用者按下網頁上的儲存按鈕，實際上就公開了他們編排的程式碼內容，若是當中含有機密資料，也會隨之曝光。</p> <p>究竟watchTowr透過Recent Links找到那些內容？他們的爬蟲挖掘JSON Formatter近5年存放的資料，以及CodeBeautify最近1年的存檔，總共擷取超過8萬組JSON程式碼，當中包含：AD憑證、程式碼儲存庫身分驗證金鑰、資料庫憑證、LDAP組態資訊、FTP憑證、CI/CD管線的憑證、敏感API的完整請求及回應、卡片付款閘道憑證、即時串流協定（RTSP）憑證、服務臺（Helpdesk）API金鑰、線上會議室API金鑰，以及各式各樣能夠識別個人身分的資料（PII）等。</p> <p>watchTowr也提及部分已識別的受害組織，其中唯一具名的是美國資安研究機構MITRE，他們看到經加密處理的Jenkins憑證，能夠存取該機構供合作夥伴使用的系統MITRE CoDev。</p> <p>另一個引人注目的是資安業者，該公司將一堆經加密處理的憑證存放在非常敏感的組態設定檔案，其中包含SSL憑證、私鑰，以及密碼，還有服務主體名稱（SPN）憑證、內外主機名稱與IP位址、各種內部密碼，以及存放金鑰、憑證、組態配置檔案。</p> <p>值得留意的是，已有人試圖從上述兩大平臺挖掘相關機敏資料的現象，watchTowr透過Canarytokens服務生成看似有效的AWS金鑰，上傳到JSON Formatter和CodeBeautify，並設置分享24個小時，結果發現，兩天後仍有人試圖利用他們公開的假金鑰。</p> <p>雖然watchTowr並未說明實際外洩資料的具體數量，不過Shadowserver基金會指出，<strong><a href="https://www.shadowserver.org/what-we-do/network-reporting/compromised-account-report/">恐怕有10,449筆資料外流</a></strong>。 </p> </div></div></div>
2025/11/28 13:14作者周峻佑https://www.ithome.com.tw/news/172520
【資安日報】11月28日，開發人員不慎在程式碼編排平臺曝露企業組織的機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172520"><strong style="font-size: 22px;">程式碼編排服務JSON Formatter和CodeBeautify被上傳大量機敏資訊，已有歹徒爬梳相關資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RecentLinks-15.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecentLinks-15.png" style="width: 300px; float: right;" /></a></p> <p>過往開發人員在程式碼裡，不慎洩露企業組織開發環境或是內部系統的憑證、權杖（Token），以及帳密資料的情況，資安業者多半在GitHub、GitLab，以及Bitbucket等程式碼儲存庫發現這些問題，然而，提供程式碼重新編排的服務，也出現類似的情形。</p> <p>資安業者watchTowr指出，他們在線上程式碼編排及美化（Beautify、Formatter）服務平臺JSON Formatter和CodeBeautify，發現近期共用程式碼連結（Recent Links）暫存的程式碼裡，曝露了大量的機密資料，而能被任何人隨意取用，影響範圍涵蓋國家關鍵基礎設施、政府機關、金融保險與銀行、科技、資安、零售、航太、電信、醫療照護、教育，以及旅遊等產業。值得留意的是，watchTowr發現，有人已在專門爬梳相關內容，並挖掘及濫用其中的憑證與權杖資料。</p> <p>其中，這類平臺提供的暫存服務，會將使用者輸入的內容存放於雲端，以便分享給別人。然而，watchTowr發現，這種存檔機制不僅採用直覺、常見的網址格式，容易被猜出，還透過近期共享的程式碼片段連結（Recent Links）頁面，讓更多人能夠參考使用者儲存的內容。換言之，當使用者按下網頁上的儲存按鈕，實際上就公開了他們編排的程式碼內容，若是當中含有機密資料，也會隨之曝光。</p> <p><a href="https://www.ithome.com.tw/news/172518"><strong style="font-size: 22px;">Mixpanel遭駭殃及OpenAI API用戶</strong></a></p> <p>資料分析業者Mixpanel本月遭到駭客入侵，導致部分OpenAI API用戶的帳號資訊外洩。OpenAI已於系統中移除了Mixpanel，也終止使用該服務，並開始通知受影響的用戶。</p> <p>事情的揭露，源自Mixpanel周四（11/27）的聲明，該公司是在11月8日偵測到釣魚簡訊攻擊，並快速啟動事件回應流程，包括保護受影響帳號，撤銷所有活躍會話及登入紀錄，輪替受影響帳號的被盜Mixpanel憑證，封鎖惡意IP位址，在自家SIEM平臺上登錄了IOCs，重置所有Mixpanel員工的全球密碼，聘請第三方安全公司，鑑識受影響帳號的身分、會話及匯出日誌，以及實施了額外的控制措施等，並已聯繫所有受到影響的客戶。</p> <p>儘管Mixpanel並未公布受到波及的客戶名單，但OpenAI同一天發表聲明，指出駭客存取了Mixpanel的部分系統，並匯出了一個包含有限客戶身分資料及分析資訊的資料集，OpenAI API用戶的資料可能會出現在該資料集中，如果有的話僅限於該API帳號的名稱，電子郵件位址，根據用戶瀏覽器所提供的大概位置，用於存取該帳號的作業系統及瀏覽器資訊，推薦網站，以及與該API帳號有關的組織或使用者ID。</p> <p><a href="https://www.ithome.com.tw/news/172516"><strong style="font-size: 22px;">針對近期修補的Firefox高風險漏洞，近半年版本皆曝險，恐影響全球1.8億用戶</strong></a></p> <p>利用AI技術進行自動化漏洞分析的資安業者Aisle本周揭露，該公司在Firefox的WebAssembly引擎中發現一個堆疊緩衝區溢位漏洞CVE-2025-13016，該漏洞是因為程式碼裡有一行指標計算錯誤，而讓駭客得以在特定情況下執行任意程式碼，影響全球逾1.8億Firefox用戶。</p> <p>研究人員指出，Mozilla在2025年4月加入這段含有漏洞的程式碼，並同時加入一個用來驗證其行為的回歸測試（Regression Test），但仍未能偵測出問題，直到2025年10月才被Aisle的自主分析器發現。</p> <p>該漏洞影響所有支援WebAssembly GC的Firefox平臺，包括Windows、macOS、Linux與Android，涵蓋Firefox 143到145初期版本以及ESR 140.0至140.4。Aisle於10月2日通報，Mozilla在14天內便完成修補。Aisle宣稱Mozilla為此支付了「可觀」（Substantial）的漏洞獎金，但未透露實際金額。</p> <p><a href="https://www.ithome.com.tw/news/172506"><strong style="font-size: 22px;">Nvidia的機器人生成模型Isaac-GR00T存在漏洞，可被惡意操控機器人</strong></a></p> <p>Nvidia上周修補了旗下機器人生成模型Isaac-GR00T中的兩個安全漏洞，分別為CVE-2025-33183與CVE-2025-33184。這兩項漏洞皆存在於Isaac-GR00T的Python元件中，允許駭客注入惡意程式碼，進而操縱機器人的行為。</p> <p>Nvidia在今年5月正式發表Isaac-GR00T，定位為一組機器人生成式基礎模型家族，可讓機器人學會行為、操作物體、規畫動作與執行控制。它支援零樣本任務學習、模仿學習與運動控制，並可搭配多種模擬環境，方便開發者將模型部署到機器人手臂、自主移動機器人（AMR）或小型家用機器人等設備之上。</p> <p>CVE-2025-33183與CVE-2025-33184皆屬於Python元件的程式碼注入漏洞，成功利用後可能導致程式碼執行、權限擴張、資訊外洩或資料篡改。這意味著駭客能執行任意指令，修改機器人的行為邏輯、關閉安全限制、竄改模型輸入/輸出，甚至直接控制機器人動作。</p> <p><a href="https://www.ithome.com.tw/news/172507"><strong style="font-size: 22px;">Azure Local成為主權私有雲核心，微軟同步擴充SAN、GPU與大規模部署能力</strong></a></p> <p>微軟對主權雲進行多項更新，並明確將Azure Local定位為主權私有雲（Sovereign Private Cloud）的核心基礎設施，開放更大規模叢集部署，並加入外接儲存區域網路（Storage Area Network，SAN）與Nvidia Blackwell架構GPU等能力，鎖定政府與受高度監管產業。</p> <p>過去Azure Local單一叢集最多支援16臺實體伺服器，在更新後可擴展至超過100個節點，運算核心數可達上萬，並以多個整合機架搭配分離式儲存形式提供。整體由Azure Arc控制平面透過Azure入口網站集中管理與監控，讓需要大規模本地部署的組織，在主權私有雲情境下延續與公有雲相同的管理體驗。</p> <p>Azure Local在基礎設施與安全機制上也同步補強，包含新增具機架感知（Rack-aware）的叢集預覽功能與Network Security Group，一方面提升多機架部署的容錯能力，一方面提供一致的網路存取控制模型。</p> <p><a href="https://www.ithome.com.tw/news/172515"><strong style="font-size: 22px;">國泰金控如何從軟體供應鏈安全邁向開源治理，開源戰略鐵三角做法大公開</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/大開源1-開源平台架構-圖片來源-國泰金控.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%901-%E9%96%8B%E6%BA%90%E5%B9%B3%E5%8F%B0%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" style="width: 300px; float: right;" /></a>國泰金控發展了一套開源套件管理平臺，要用系統化的方式，來實現開源軟體的軟體供應鏈安全管理。鄭正略進一步說明，這套平臺包括了四個部分，套件來源、SBOM表產生、集中式管理的SBOM Hub和AI解決方案。</p> <p>這個開源套件管理平臺可以掃描國泰所用的各項開源套件，套件來源包括了各種Docker映像檔，Java、.NET、Python等開發語言的套件等，掃描了套件組成後，結合CI/CD流程，可以自動產生軟體物料清單，國泰選擇用OWASP基金會的CycloneDX格式來紀錄。包括內部自行開發的軟體，或是第三方供應商提供的軟體的SBOM，最後都會儲存到平臺上的SBOM Hub，進行集中管理和版本控管，確保資訊可以追蹤。</p> <p>套件管理平臺也整合了常見的漏洞資料庫，如CVE、NVD或歐盟EUVD等，來分析SBOM中的組件，是否存在已知的漏洞。還會進一步分析這些SBOM中的軟體授權資訊，協助管理開源軟體的授權合規性。最後，則可以運用一些AI解決方案，來進行異常告警、資安洞察和分析，像是讓AI根據漏洞影響範圍的嚴重性、組件的使用頻率和企業特定環境等因素，自動排列出漏洞修補的優先順序，並提供修補建議。</p> <p><a href="https://www.ithome.com.tw/news/172514"><strong style="font-size: 22px;">【新聞回顧】Salesforce與Gainsight遭到非法存取，疑似勒索軟體團體ShinyHunters發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Salesforce Advisory3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory3.jpg" style="width: 300px; float: right;" /></a>11月20日多家資安媒體報導Salesforce突然發布公告，警告用戶連接Salesforce的應用系統Gainsight出現異常活動。Gainsight是專攻客戶成功平臺（Customer Success Platform）的供應商，根據Salesforce的調查顯示，有人經由這套系統非法存取用戶的Salesforce資料，似乎與此系統的外部連線存取Salesforce有關。</p> <p>關於受害者數量與攻擊者身分，目前多家科技與資安媒體引述Google威脅情報小組（GTIG）首席分析師Austin Larsen的說法，他表示，已知超過兩百個Salesforce用戶執行個體（instances）受到影響，可能的攻擊者是ShinyHunters（UNC6240），該團體與先前攻擊Salesforce執行個體（Salesloft Drift供應鏈攻擊）的組織有關，如UNC6040。事實上，這次傳出遭到非法存取的Gainsight，也在自家網站公告他們是Salesloft Drift供應鏈攻擊的受害者。</p> <p>第二個與攻擊者身分有關的消息，來自專攻資料外洩事件消息揭露的部落格DataBreaches.Net。11月20日該站發文指出，聯繫ShinyHunters之後，對方的發言人承認這起活動是他們所為，並表示這可能是同一團體對Salesforce發起的第三波大規模攻擊，暗示接下來可能還有下一波攻勢，並揚言Salesforce若不就範，打算成立另一個專屬的資料外洩公告網站，該站將涵蓋Salesloft與Gainsight攻擊活動所竊取的資料，受害組織總數逼近1千家，但站上主要列出的對象是財星500大企業，或其他ShinyHunters認為有利可圖的企業。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安事故</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/multiple-london-councils-it-systems-disrupted-by-cyberattack/">倫敦多個法院遭遇網路攻擊，IT系統服務面臨中斷</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/bloody-wolf-expands-java-based.html">吉爾吉斯與烏茲別克遭鎖定，歹徒試圖散布NetSupport RAT控制受害電腦</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/pr/172376">資安力量匯聚南臺灣《CYBERDAY 2025資安產業日》 11月28日將於臺南沙崙資安服務基地舉行</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/pr/167622">中華資安推出高性價比「資安眼」服務，讓企業輕易做好外部曝險管理</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172512"><strong>【11月27日】新型態網釣手法JackFix假借Windows更新為幌子，企圖散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172487"><strong>【11月26日】開源輕量級遙測工具Fluent Bit存在一系列可被串連的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172464"><strong>【11月25日】中國駭客加入利用WSUS重大漏洞的行列</strong></a></p> </div></div></div>
2025/11/28 13:40作者周峻佑https://www.ithome.com.tw/news/172521
美國商標暨專利辦公室明文規定AI無法被視為發明人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國商標暨專利辦公室（U.S. Patent & Trademark Office，USPTO）<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/zdpxjnmmxpx/USPTO%20AI%20PATENTS%20squires.pdf" target="_blank">本周更新了「審查指引」（Examination Guidance）</a>，規範全美專利審查員在審查由AI協助的發明時，應如何判定發明人，以及如何處理包含AI的申請，並再次明確提出「AI不能被列為發明人」。</p> <p>其實USPTO在去年就發布過類似指引，當時以Pannu因素判斷共同發明人的資格，包括是否具有重要貢獻、貢獻是否非瑣碎，以及是否不僅重述已知技術等，且評估對象包含自然人與AI。然而，USPTO指出，Pannu因素僅適用於多位自然人之間的共同發明判斷，法理上不包含AI，因此決定撤銷舊版本並以新版取代。</p> <p><a href="https://www.cafc.uscourts.gov/opinions-orders/21-2347.OPINION.8-5-2022_1988142.pdf" target="_blank">新版指引直接引用美國聯邦巡迴上訴法院的裁決</a>，指出AI不能被列為專利申請或已核發專利的發明人，只有自然人才具有發明人資格，AI系統無論多麼先進，都不能成為（共同）發明人。</p> <p>此一裁決涉及英國薩里大學教授Ryan Abbott在2020年替AI系統DABUS所發明的器材申請專利，並由DABUS列名為發明人。USPTO拒絕後，Abbott提起訴訟，但聯邦巡迴上訴法院於2022年裁定支持USPTO立場，認定《專利法》中的發明人僅指自然人，AI不能列名。該裁決也成為美國後續處理AI參與發明的重要判例基礎。</p> <p>新版指引以「構思」（Conception）作為判定發明人的核心，意指發明人在其心智中形成完整且可操作之發明的明確且永久的技術構想，以供實務應用。</p> <p>指引亦要求，若申請案列出AI或非自然人作為發明人，審查人應依規定予以駁回。因為包括生成式AI或其他運算模型等系統，都屬於人類發明人使用的工具，類似實驗設備、軟體或資料庫；AI提供的服務或產生的想法不會使其成為共同發明人。</p> <p>此外，倘若外國申請書將AI列為唯一發明人並主張優先權，美國將不予承認，也不接受該優先權主張。</p> <p><a href="https://www.ithome.com.tw/news/145997" target="_blank">目前唯一曾核發AI作為發明人之專利的國家是南非</a>，這是因為南非採形式審查制度，不會審查發明人資格。原本一度考慮效法的澳洲，最終也被澳洲高等法院推翻原裁決，回歸到只有自然人才能作為發明人的立場。</p> </div></div></div>
2025/11/28 14:35作者陳曉莉https://www.ithome.com.tw/news/172522
阿里巴巴推出智慧眼鏡家族Quark AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.alizila.com/alibaba-launches-new-quark-ai-glasses-series-in-china-deeply-integrated-with-qwen/" target="_blank">阿里巴巴周四（11/27）發表了全新的智慧眼鏡家族Quark AI</a>，首波推出基本款G1系列及具備近眼顯示的S1系列，售價分別為1,899元人民幣及3,799元人民幣。</p> <p><a href="https://www.quark.cn/" target="_blank">Quark（夸克）</a>是阿里巴巴旗下鎖定消費者的AI應用品牌，目前已推出夸克瀏覽器（Quark Browser）與AI多模態能力，Quark AI則是該品牌的最新產品。</p> <p>G1與S1皆整合了AI聊天機器人通義千問及Qwen App，提供語音喚醒、影像識別、翻譯、行程管理等功能，並可連結支付寶、淘寶，以及高德地圖等阿里生態。此外，它們也支援模型脈絡協定（Model Context Protocol，MCP），開放第三方打造AI應用，擴大平臺生態系統。</p> <p>其中，G1系列看起來較像是一般眼鏡，而S1系列因搭載雙Micro-OLED近眼顯示器，鏡框整體更厚，鏡腳也較寬，並在鏡腳前端配置投影模組，以容納顯示與運算相關元件。</p> <p>阿里巴巴集團副總裁吳嘉指出，AI眼鏡是一種極具潛力的穿戴式設備，它們幾乎具備AI助理所需的一切能力，未來AI眼鏡將重塑人與電腦的互動方式。</p> <p>Quark AI除了已在天貓、京東及抖音等電商平臺上開賣，也已於中國82個城市、604家眼鏡門市上架，阿里巴巴並未揭露是否有海外上市計畫。</p> </div></div></div>
2025/11/28 14:57作者陳曉莉https://www.ithome.com.tw/news/172523
Mixpanel遭駭殃及OpenAI API用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資料分析業者Mixpanel本月遭到駭客入侵，導致部分OpenAI API用戶的帳號資訊外洩。OpenAI已於系統中移除了Mixpanel，也終止使用該服務，並開始通知受影響的用戶。</p> <p>Mixpanel主要開發產品分析平臺，協助企業追蹤使用者於網站、App及API等各介面的行為，可分析留存率、轉換率、功能使用情況及使用路徑等，在全球擁有近3萬家客戶。OpenAI以Mixpanel作為第三方的網頁分析供應商，以協助理解及改善OpenAI API產品，<a href="https://platform.openai.com/docs/quickstart" target="_blank">OpenAI API</a>可用來存取各種AI模型，包括文字生成、自然語言處理及電腦視覺等。</p> <p><a href="https://mixpanel.com/blog/sms-security-incident/" target="_blank">Mixpanel周四（11/27）表示</a>，該公司是在11月8日偵測到一起釣魚簡訊攻擊，並快速啟動事件回應流程，包括保護受影響帳號，撤銷所有活躍會話及登入紀錄，輪替受影響帳號的被盜Mixpanel憑證，封鎖惡意IP位址，在自家SIEM平臺上登錄了IOCs，重置所有Mixpanel員工的全球密碼，聘請第三方安全公司，鑑識受影響帳號的身分、會話及匯出日誌，以及實施了額外的控制措施等，並已聯繫所有受到影響的客戶。</p> <p>Mixpanel並未公布受到此事波及的客戶名單，但<a href="https://openai.com/index/mixpanel-incident/" target="_blank">OpenAI同一天即發表了聲</a>明，指出駭客存取了Mixpanel的部分系統，並匯出了一個包含有限客戶身分資料及分析資訊的資料集，OpenAI API用戶的資料可能會出現在該資料集中，如果有的話僅限於該API帳號的名稱，電子郵件位址，根據用戶瀏覽器所提供的大概位置，用於存取該帳號的作業系統及瀏覽器資訊，推薦網站，以及與該API帳號有關的組織或使用者ID。</p> <p>OpenAI強調，此一意外發生在Mixpanel的系統內部，涉及某些API用戶的部分分析資料，ChatGPT與其它產品的使用者並未受到影響。</p> <p>此外，OpenAI也提醒，外洩的資料可能會被用來針對受害者或其組織展開釣魚或社會工程攻擊。這起事件也讓OpenAI針對整個供應商生態系統展開更廣泛的安全審查，提高所有合作夥伴與供應商的安全要求。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="Jasmine" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(248, 248, 248); font-weight: 900; word-break: break-word; font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures; background-color: rgb(34, 37, 41);"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBRH3F1HS" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: initial; background-position: 0px 0px; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font-family: inherit; color: rgb(248, 248, 248); font-size: inherit; font-stretch: inherit; font-style: inherit; font-variant: inherit; font-weight: inherit; line-height: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" tabindex="0" type="button"></button></span></span></p> </div></div></div>
2025/11/28 10:52作者陳曉莉https://www.ithome.com.tw/news/172518
資安業者Aisle揭露Firefox中藏匿6個月的高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>利用AI技術進行自動化漏洞分析的資安業者Aisle本周揭露，<a href="https://aisle.com/blog/a-high-severity-webassembly-boundary-condition-vulnerability-in-firefox-cve-2025-13016" target="_blank">該公司在Firefox的WebAssembly引擎中發現一個堆疊緩衝區溢位漏洞CVE-2025-13016</a>，該漏洞是因為程式碼裡有一行指標計算錯誤，而讓駭客得以在特定情況下執行任意程式碼，影響全球逾1.8億Firefox用戶。</p> <p>研究人員指出，Mozilla在2025年4月加入這段含有漏洞的程式碼，並同時加入一個用來驗證其行為的回歸測試（Regression Test），但仍未能偵測出問題，直到2025年10月才被Aisle的自主分析器發現。</p> <p>WebAssembly是一種讓瀏覽器可執行高效能程式的技術，而WebAssembly引擎則負責運行這些程式。此次漏洞正位於引擎內一段用於將WebAssembly陣列資料複製到暫存區的C++程式碼，因指標運算錯誤造成複製範圍誤算，導致資料寫出邊界並形成堆疊緩衝區溢位。CVE-2025-13016的CVSS風險等級為7.5。</p> <p>該漏洞影響所有支援WebAssembly GC的Firefox平臺，包括Windows、macOS、Linux與Android，涵蓋Firefox 143到145初期版本以及ESR 140.0至140.4。</p> <p>此次漏洞雖發生在Firefox本身，但各大Linux發行版都在官方軟體庫提供Firefox套件，因此在漏洞公開後，主要Linux系統皆迅速推出修補更新，包括Ubuntu、Debian、Fedora、Arch Linux與紅帽企業版Linux等，以確保使用者能自動取得安全版本。</p> <p>Aisle於10月2日向Mozilla通報該漏洞，而Mozilla在14天內便完成修補。Aisle並表示Mozilla為此支付了「可觀」（Substantial）的漏洞獎金，但未透露實際金額。</p> </div></div></div>
2025/11/28 08:29作者陳曉莉https://www.ithome.com.tw/news/172516
Visual Studio 2026走向月更節奏，IDE持續更新與建置工具維持獨立生命周期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟宣布從Visual Studio 2026開始，<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-built-for-the-speed-of-modern-development/">IDE將採持續更新模式</a>，改為每月推出功能更新，每年11月發行一個年度版，並採用現代支援生命周期（Modern Support Lifecycle）模式，同時強調IDE與建置工具各自遵循獨立的支援生命周期，讓開發團隊在維持既有建置環境穩定的前提下，仍能跟上工具與AI功能的最新變化。</p> <p>也就是說，每一個Visual Studio年度版在發行後的第一年，會持續收到每月功能更新與修正，第二年則改為僅提供安全性修補。想維持在受支援狀態，就必須更新到最新的Visual Studio版本，年度版固定在每年11月推出，與.NET年度發行節奏同步。</p> <p>微軟強調，Visual Studio每月更新後，既有專案、方案與擴充套件預期能維持相容，不需要為了升級IDE就修改專案或重建既有應用程式。負責編譯與執行的.NET與C++編譯器、SDK與執行階段，則維持各自多年度的獨立支援周期，.NET Framework依然綁定在所隨附Windows版本的生命周期。整體設計意圖是讓IDE可以快速前進，建置環境則由團隊自行決定升級時點。</p> <p>對C++開發者而言，微軟也同步調整MSVC編譯器與Build Tools的節奏，從Visual Studio生命周期中抽離。之後編譯器每半年會釋出一個新版本，並在每兩年提供一次較長期支援的版本，讓需要新功能與最佳化的團隊能更早採用，同時保留大型C++程式碼庫鎖定在穩定版本、多年維運的選擇。</p> <p>由於要支撐更快的更新頻率，Visual Studio 2026開始提供Insiders與Stable兩個更新頻道。Insiders頻道取代過去的Preview，讓使用者搶先試用即將推出的功能並回饋意見，而Stable頻道則取代Current，專注在每月提供經過驗證、適合生產環境的版本。功能會先出現在Insiders，成熟後再併入Stable。</p> <p>考量企業對更新節奏的管控需求，微軟替前一年度版提供可並存安裝的長期服務頻道LTSC，讓組織可以選擇在固定功能集上多維持一年安全性更新。當專案採用的是隨Visual Studio 2026提供的.NET 10或MSVC 14.50，即便之後更新到Visual Studio 2027，這些建置工具仍會保留在開發環境中，既有專案預期可以照常建置。</p> <p>Visual Studio Community版維持原有條件，仍免費提供給開放原始碼專案、教育情境與小型組織使用。持有訂閱的Professional與Enterprise使用者，登入與取得更新的流程不變，只是往後更新會跟隨新的生命周期節奏推送，而採單機授權的Professional版，則改為按年度版購買，產品金鑰對應當年度版本，新年度版需使用新的金鑰。微軟同時說明，Visual Studio 2022、2019與2017的生命周期規畫維持不變，仍依既定方案提供支援。</p> </div></div></div>
2025/11/28 08:33作者李建興https://www.ithome.com.tw/news/172513
華碩修補路由器8項漏洞影響啟用AiCloud服務的設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.asus.com/security-advisory/" target="_blank">華碩本周發佈安全公告</a>，修補8個路由器軟體漏洞，包含一個重大風險的驗證繞過漏洞。</p> <p>這8項漏洞為CVE-2025-59365到CVE-2025-59372，加上CVE-2025-12003。其中最嚴重的是<a href="http://nvd.nist.gov/vuln/detail/CVE-2025-59366" target="_blank">CVE-2025-59366</a>，它是位於AiCloud的驗證繞過漏洞。AiCloud是許多Asus路由器內含的雲端存取功能，其原理是利用Samba網路檔案共享協定，使路由器將檔案連接的USB裝置，如外接硬碟，透過SMB分享給其他電腦或行動裝置，讓後者存取電腦好比存取本機硬碟。</p> <p>CVE-2025-59366是Samba功能的副作用，可導致未授權的攻擊者執行特定功能，漏洞風險高達CVSS score 9.2，影響啟用AiCloud的路由器。風險次高的是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-12003" target="_blank">CVE-2025-12003</a>，為WebDAV的路徑遍歷（path traversal）漏洞，可讓未經過驗證的遠端攻擊者破壞裝置完整性，風險值為8.2。其次為CVE-2025-59370和CVE-2025-59371，分別為指令注入及驗證繞過漏洞，皆為CVSS 7.5的高風險漏洞。</p> <p>這些漏洞影響華碩路由器韌體3.0.0.4_386、3.0.0.4_388和3.0.0.6_102。華碩已釋出更新，並強烈建議<a href="https://www.asus.com/support/" target="_blank">所有用戶立即到官網將路由器韌體更新到最新版本</a>。</p> <p>若用戶裝置已經沒有技術支援，華碩建議用戶必須確保路由器和Wi-Fi密碼為強密碼且未和其他裝置共用。此外也必須關閉AiCloud、WAN遠端存取、傳輸埠轉送、傳輸埠觸發、DDNS、VPN Server、DMZ和FTP。</p> <p>除了路由器漏洞，華碩本周也釋出更新，修補<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-59373" target="_blank">CVE-2025-59373</a>。它是本地提權（local privilege escalation）漏洞，位於MyASUS App 的Asus系統控制介面（System Control Interface）服務的復原（restore）機制。無權限攻擊者可將檔案複製到受保護的系統路徑，可能導致以SYSTEM權限執行任意檔案。本漏洞風險值為CVSS 8.5。</p> <p>華碩已釋出ASUS System Control Interface 3.1.48.0 (x64)及 ASUS System Control Interface 4.2.48.0 (ARM)解決漏洞，適用所有個人電腦，包括桌機、筆電、AIO PC及迷你電腦（NUC）。</p> </div></div></div>
2025/11/28 08:44作者林妍溱https://www.ithome.com.tw/news/172517
超融合基礎架構再現生機
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/article/172501" target="_blank"><span style="color:#3366ff;">這期iThome電腦報週刊的封面故事</span></a>，我們探討分解式儲存架構（Disaggregated Storage），在分散式儲存（Distributed Storage）長期的發展過程當中，「無共享」叢集架構（shared-nothing）一直是主流，就連後起的超融合基礎架構（HCI）大部分都是這種類型，每一臺伺服器（節點）提供運算與儲存資源，而且，多臺伺服器的本機硬碟儲存空間會被聚合成單一資源池，像是VMware vSAN、Nutanix、Azure Stack HCI、HPE SimpliVity，分解式儲存架構將儲存叢集節點的「控制」與「儲存」單元加以分解，這一年來，市場上出現越來越多主打這種概念的儲存系統，而在超融合基礎架構的產品當中，也從將近9年前開始，市面上陸續出現徹底分解運算與儲存節點的解決方案，像是NetApp的HCI（源自2015年併購SolidFire，2021年停止銷售）、HPE的dHCI（前身為Nimble Storage dHCI，2023年改名為Alletra dHCI）、Dell的PowerFlex（前身是ScaleIO）。</p> <p>除此之外，在2020年以後，VMware開始提供HCI Mesh功能，Nutanix也開放純運算節點（Compute Only Node），以及純儲存節點（Storage Only Node）功能， Dell在主力超融合產品VxRail導入分解式部署型態，提供純運算功能的VxRail dynamic節點。</p> <p>談到超融合基礎架構，在2015至2018年之間就已經發展得相當成熟，隨著公有雲服務的使用日益普及，伺服器虛擬化架構與超融合基礎架構起初還能以私有雲與混合雲的部署，維持市場成長的生機，隨著容器、Kubernetes、基礎架構即程式碼（IaC）等雲端原生架構的進逼，三大公有雲業者與多個系統平臺軟體業者持續擴大市場布局，促使企業上雲逐漸成為IT主流趨勢。</p> <p>對於伺服器虛擬化架構與超融合基礎架構的廠商而言，也積極提供支援。如VMware推出Tanzu系列及VMware Cloud Foundation（VCF）平臺，微軟在Azure Stack HCI平臺提供Azure Kubernetes Service的搭配，Nutanix也持續發展Nutanix Kubernetes Platform。</p> <p>到了最近這一年又有新變化。像是微軟2024年底發表Azure Local，將Azure Stack HCI納入，以Azure Local作為超融合基礎架構部署的平臺；到了今年11月，Azure Local推出2511版（12.2511.1002.5），當中採用的作業系統為Windows Server 2025的26100.7171版。同時，微軟宣布Azure Local可用於建構微軟主權私有雲，並正式推出Microsoft 365的地端部署版本，稱為Microsoft 365 Local，當中內建多種微軟通訊與協同應用系統，如Exchange Server、SharePoint Server，以及Skype for Business Server。</p> <p>另一家大廠VMware在2022年併入博通（Broadcom），持續更新旗下產品之餘，近期硬體整合應用設備的部分也開始有動作。</p> <p>例如，除了既有的vSAN ReadyNode與VCF ReadyNode，用於支援軟體定義儲存系統vSAN與軟體定義資料中心平臺VCF的部署，博通在今年11月中宣布推動新的產品認證計畫VCF AI ReadyNode，提供能用於AI模型訓練與推論的預先認證伺服器，確保用戶能採用新一代的CPU、GPU，以及加速運算處理器技術，Supermicro將是第一家認證這套AI就緒系統的OEM廠商。</p> <p>該公司也擴展VCF ReadyNode認證計畫，使ODM廠商經由博通技術聯盟計畫（TAP）自行認證ReadyNode設備。針對邊緣運算需求，也預告支援新的邊緣運算最佳化節點，提供強固、體積精簡的伺服器，用於工業、國防、零售與其他遠端站點應用系統，支援現代化雲端基礎架構，使其更靠近廠區生產線與零售門市的資料產生點。</p> <p>11月底還有個震撼消息，Dell Technologies的董事長暨執行長Michael Dell接受專精IT經銷通路的科技媒體CRN的採訪時，語出驚人地表示：「VxRail is no longer a thing」，他說，幾年前它很主流，現在影響力大不如前，因此Dell快速增加儲存領域的智財。該集團的夥伴長Denise Millard表示，將用戶從VxRail環境遷出，是他們與合作夥伴討論的首要議題，將協助合作夥伴將用戶從VxRail過渡到分解式基礎架構，而且是基於PowerStore或PowerFlex而成的環境，用戶將不會受到特定Hypervisor（伺服器虛擬化平臺）綑綁，能真正部署多Hypervisor的環境。</p> <p><a href="https://www.ithome.com.tw/article/172501" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1262-feng_mian_gu_shi_-p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=apZPJR44" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%88%86%E8%A7%A3%E5%BC%8F%E5%84%B2%E5%AD%98%E5%8F%A2%E9%9B%86%E6%9E%B6%E6%A7%8B">分解式儲存叢集架構</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E5%88%86%E8%A7%A3%E5%BC%8F%E5%84%B2%E5%AD%98%E6%9E%B6%E6%A7%8B">分解式儲存架構</a></div><div class="field-item odd"><a href="/tags/%E6%96%B0%E8%88%88%E5%84%B2%E5%AD%98%E6%9E%B6%E6%A7%8B">新興儲存架構</a></div></div></div>
2025/11/28 06:00作者李宗翰https://www.ithome.com.tw/voice/172502
創新的第三種選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-chai_yi_hua_neng_li_zhi_sheng_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">啟動文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去的家巧依（Homejoy）似乎是個顯而易見的贏家，這個前景看好的平台負責媒合顧客與專業清潔人員，範圍涵蓋美國、加拿大、英國、德國的三十五個城市，為首購顧客提供單次清潔十九美元的價格，而其他平台提供的清潔服務要價八十美元以上。拜低價策略所賜，家巧依公司的客群快速增長，募集到四千萬美元的鉅額資金。</p> <p>創辦人運用這筆資金，做出雄心勃勃的轉變。家巧依公司的業務範圍不再侷限於清潔服務，而是拓展到其他居家服務，例如水電修繕工作，得以在既有的顧客上增加營收機會，這個策略看起來不可能會失敗。</p> <p>然而，這個策略卻以失敗收場，實際上根本就是一敗塗地。</p> <p>結果發現，低價策略一開始會吸引到很多顧客，卻也會導致利潤率降低、獲客成本提高。家巧依公司的顧客當中，會變成回頭客的顧客不到兩成。</p> <p>此外，家巧依公司很難留住穩定的清潔團隊，很多清潔人員在其他地方找到更好的機會，或者逐漸不滿公司政策，於是紛紛離職。</p> <p>家巧依公司轉而提供其他居家服務，反倒造成問題惡化。雖然這樣的轉變是為了分散營收來源，以便跟便利（Handy）、任務兔（TaskRabbit）、圖釘（Thumbtack）等平台一較高下，但是家巧依的品牌定位與品質控制卻因而遭到削弱。</p> <p>家巧依公司提供其他服務並拓展服務地區，最終無從解決核心問題，反倒淪為干擾因素。此外，該公司採用的低價策略禁不起時間的考驗。這一切導致該公司最終倒閉。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>組織的重心腳是重中之重</strong></span></span></p> <p>家巧依公司的故事突顯了一點：要是沒有切實可行的差異化特色，貿然進行重大的轉變，就會引發莫大的風險。家巧依公司認為，業務範圍擴大到多個新領域就會創造利益，卻沒注意到核心業務尚未禁得起時間的考驗。因為公司看不到真正重要的事物，採納更多的變革反而只會加快衰落的速度。</p> <p>我之所以闡述家巧依公司的故事，是因為他們的困境正是所有人面臨的困境：我們應該以自身的成功為基礎嗎？還是要去探索嶄新的領域？</p> <p>我們來比較一下家巧依公司與西班牙首屈一指的折扣零售商「梅爾卡多納」（Mercadona）超市的做法。兩者都採行低價策略，但梅爾卡多納超市把低價視為優勢，選擇加倍投入低價策略，並未探索新的機會。</p> <p>2008年，金融危機爆發，梅爾卡多納超市不像許多公司那樣減薪裁員，反而運用了這些年來跟員工培養的關係，鼓勵勞工找出其他非勞力方面的節省成本方法。在這種做法下，成本價格降低達10%，同時員工的投入度也獲得提升。梅爾卡多納超市的市占率最終從2008年的15%增長至2012年的20%。這種做法不僅促使服務與生產力獲得提升，所產生的益處更能延續到金融危機平息許久之後。</p> <p>梅爾卡多納超市的做法截然不同於競爭對手；其競爭對手減少工資與工作時數，往往導致分店維護不善、對顧客服務欠佳、員工不敬業、品牌弱化。</p> <p>梅爾卡多納超市並未投入新的領域，反而加倍投入低價的差異化。他們沒有冷漠對待員工，反而透過教育與交叉訓練的方式，投資在員工身上。</p> <p>家巧依公司原本可以改善他們跟工作團隊的關係，不要苛待工作團隊；他們原本可以加倍投入既有的商業模式，運用廣大的、對價格敏感的客群。然而，該公司忽視既有的問題，聚焦於新的投資，這樣的分散投資最終造成重心失焦。</p> <p>家巧依公司把業務範圍拓展到新的地區並提供多種方案，這種做法可以稱為「軸轉」，畢竟它代表的是商業策略出現變化。雖然這類變化並非全都是負面變化，但是家巧依公司缺乏穩定的根基，撐不起這類的轉變。</p> <p>務必要先為你的事業建立穩固的根基，然後再把重心轉移到全新的產品、服務或方案，要加倍投入最重要的事物。在這世上，機會與干擾俯拾皆是，務必要懂得區分兩者的不同。改變不見得是好事，而堅守到底也不代表你要站著不動。</p> <p>想像一下籃球選手轉身的畫面，他的一隻腳做出旋轉動作，另一隻腳保持緊貼在地面上，不移動的那隻腳是無名英雄，它提供穩固的根基與穩定感，這樣才能做出有力的轉身。</p> <p>在創新的背景脈絡下，重心腳代表的是由歷史、顧客見解、產品知識、信任構成的深厚堅實的根基，能為我們奠定基礎，從而引導變革。</p> <p>你需要具備多種不同的技能，才能以創新者的身分，在重心腳構成的世界裡存活下來。再加上移動腳，你就一定能夠登高望遠，預測未來，借助短暫的風潮與長久的趨勢，從中獲益。這做起來很困難，因為我們沒有水晶球能觀看未來，也許每次都會做錯決定。</p> <p>然而，重心腳在乎的是穩定感，同時也有如瞭望點，可以登高望遠。重心腳在乎的是深度與關係，你要長久駐留才行，重心腳既不淺薄也不擅動，而是深入又扎根。</p> <p>切記，重心腳不是天生比繞圈旋轉的腳還要好，這也無關於穩定與變動的對立，因為你需要穩定，也需要變動。在變動與堅定不移之間，達到適當的平衡，才能造就長期的成功與長遠的競爭優勢。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>暫時停下不間斷的軸轉</strong></span></span></p> <p>根據牛頓第一運動定律，運動中的物體會保持在運動狀態；推論到商界，運動中的事業會保持在運動狀態。</p> <p>數十年來，軸轉的概念向來是事業的環節之一，但2020年疫情爆發後，軸轉的速度大幅加快，而這個快速的轉變引發旋風似的變化，不確定感隨之而來。不間斷的軸轉帶來令人頭暈目眩的變動，這種現象已成為公司業務的特有層面。正如牛頓定律的預測，動量推動著這股變化往前行進，毫無停下的跡象。</p> <p>有些時候，軸轉當然有其必要。不過，若是環境頻繁發生變化，就會出現筋疲力盡與效益不彰的狀況。此外，在流沙上軸轉，組織就會失去穩定感。只要陷入旋轉的狀態，就無法往前行進。</p> <p>對任何組織來說，創新都是關鍵環節。為了應對全新的現實，我們必須具備調整、演進、改變三種能力。然而，這類的轉變應該出自於優勢地位，而優勢地位要奠基於穩固的根基，不應該如同空中鵝毛那樣漫無方向、隨風飄動。</p> <p>在今日高度競爭、變動加劇、不確定感增長的環境下，我們建立的根基必須帶來穩定感才行。</p> <p>大家往往以為創新只有兩種選擇：不是投入軸轉，就是堅持不懈；不是改變方向，就是堅守到底。然而，還有第三種選擇，那就是更深入扎根。關鍵在於找出哪些方法可以善用我們做得最好的地方，進而為顧客創造最高的價值，並且扮演關鍵的角色，幫助顧客獲得成功。如此一來，就能減少團團轉的狀況，贏得更多的勝利。</p> <p>在這個世界，「不調整就消亡」已經成為一句口號，大家不斷追逐著下一件大事，而新奇的點子、產品、科技所帶來的承諾，令人陶醉不已。可是，為了軸轉而投入軸轉，就是解決的辦法嗎？</p> <p>在歷史上的這一刻，掌握軸心──意思是在顧客心目中變得重要至極──會比單純的軸轉更為重要。我們不應該團團轉，應該要為顧客帶來長久又重大的影響。<strong>（本文摘錄整理自《差異化能力致勝》，啟動文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B7%AE%E7%95%B0%E5%8C%96%E8%83%BD%E5%8A%9B%E8%87%B4%E5%8B%9D_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%9F%E5%8B%95%E6%96%87%E5%8C%96.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_啟動文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> 差異化能力致勝（Pivotal）</strong></p> <p>史蒂芬・夏皮洛（Stephen M. Shapiro）／著；姚怡平／譯</p> <p>啟動文化出版</p> <p>定價：500元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/180_%E5%B7%AE%E7%95%B0%E5%8C%96%E8%83%BD%E5%8A%9B%E8%87%B4%E5%8B%9D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Stephen%20M_%20Shapiro.png" style="width: 180px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><strong>史蒂芬・夏皮洛（Stephen M. Shapiro）</strong></p> <p>在埃森哲任職的十五年期間，他帶領一個涵蓋兩萬人的流程與創新專案，由此開啟了他的創新之旅。離開這家顧問公司後，他撰寫了七本關於創新的書籍，包括《別在稻殼堆中找麥粒》（Best Practices Are Stupid）。他曾向五十多個國家的觀眾，發表其關於創新與協作的獨到見解，目前擔任世界大型企業研究會（The Conference Board）的資深研究員。<a href="https://stephenshapiro.com/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Stephen M. Shapiro</span></span></a></p> </div></div></div>
2025/11/28 06:00未署名https://www.ithome.com.tw/article/172510
國泰金控如何從軟體供應鏈安全邁向開源治理，開源戰略鐵三角做法大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源軟體無所不在，從作業系統、容器平臺到各項雲原生開發技術、網路開發語言，甚至最新的AI技術，或多或少都會使用到各式各樣的開源軟體。但是，2021年，一場全球性的資安危機Log4j零日漏洞事件，掀起各國對軟體供應鏈安全的重視，更加強對開源軟體的監管，連美國總統都親自下令要求。</p> <h1><strong><span style="color:#B22222;">從軟體供應鏈安全到後量子加密壓力，最新監管趨勢是AI透明度要求</span></strong></h1> <p>「不只軟體供應鏈風險，後量子加密壓力，到爆紅生成式AI的治理合規，都成了各國對開源軟體的監管重點。」國泰金控數數發中心開源創新發展小組專案協理鄭正略觀察，近年，國際監管趨勢更聚焦在資安和授權兩大領域。</p> <p>像是2021年美國總統行政命令14028號，要求強化軟體供應鏈安全，促使美國國家電信暨資訊管理局（NTIA）訂定了SBOM（軟體元件表）最低元素，2025年美國更新了CISA指引來加強軟體透明度，要求聯邦政府採購案的供應商，都必須提供完整的SBOM表，甚至開始討論起AIBOM表（AI資產清單）的標準化。</p> <p>美國國安局則在2022年公布了國安系統演算法安全基準中的後量子密碼（PQC）演算法組合，要求2025年起新簽證應該支援PQC，甚至2030年起，所有軟體、韌體要全面採用PQC。歐盟通過了全球首部全面性的AI法案《AI Act》，2025年8月2日生效，明年8月全面實施，要求高風險AI系統建立完整的AIBOM，法案所提出的強制性透明度要求，涵蓋了模型、資料集和演算法。</p> <h1><strong><span style="color:#B22222;">從SBOM，CBOM到AIBOM，軟體供應鏈安全三種成分清單有何不同？</span></strong></h1> <p>根據Gartner預測，2028年，全球大型企業將超過85%的軟體工程團隊會部署軟體供應鏈安全工具。用來紀錄軟體組成的各種BOM表機制，不只國際監管趨勢的透明度合規要求，更是企業建立軟體供應鏈安全的關鍵。</p> <p>可用來強化軟體供應鏈安全的SBOM表，還可以細分出AI模型用的AIBOM表和因應PQC壓力而生的CBOM表（Cryptography BOM，加密資產清單）。</p> <p>SBOM表是軟體物料清單，可以記錄軟體的版本、依賴關係、開源軟體元件、授權資訊等。其中，最重要的是相依性，可以了解軟體元件的上下游關係，作為追蹤的紀錄。現代的軟硬體很少從頭開始撰寫程式碼，往往採用了許多開源或第三方商業元件來組成，SBOM也成了確保軟體供應鏈安全的關鍵。</p> <p>AI領域專用的AIBOM表，則可以用來呈現AI模型的多項資訊，從模型來源、訓練資料集、演算法、風險評估、倫理風險等，作為企業落實AI治理的參考資訊。而CBOM表則紀錄了軟體所用加密演算法、密鑰管理、憑證資訊、簽章方法等，可用來因應後量子時代的加密風險和相關合規要求。</p> <h1><strong><span style="color:#B22222;">金融業導入軟體供應鏈管理的三大機會與六大挑戰</span></strong></h1> <p>導入軟體供應鏈管理機制，對臺灣金融業而言，可以帶來三大機會，鄭正略解釋，一是從被動因應漏洞，轉為主動式的風險管理，將資安防線左移到開發階段。其次，金管會也開始強調供應鏈安全的重要性，採用SBOM表，也可說是一種法規遵循的前瞻佈局，最後一點是，落實SBOM表，可以展現金融業對資安與AI治理的承諾，來提高顧客的信任。</p> <p>對企業來說，要導入這些提高軟體透明度的SBOM機制，鄭正略認為，有六大挑戰，包括了供應商的配合度、SBOM資訊產生工具不足、SBOM表格式標準化問題、資料隱私與分享議題、CI/CD整合挑戰，以及成本與人才的挑戰。</p> <p>他特別重視CI/CD與SBOM機制的整合，如何在敏捷開發中，即時、準確地生成BOM表，就可以避免影響到既有的開發流程，來提高軟體供應鏈管理的透明度。像是在CI/CD流程中自動產生SBOM，並結合VEX（弱點交換標準格式）的機制，來篩選出有高風險的漏洞，一旦，發生了類似Log4Shell的資安漏洞通報，就可以快速從SBOM資訊中，找出自家可能受害的服務，快速更新或緩解問題。</p> <h1><strong><span style="color:#B22222;">國泰金控揭露開源套件管理平臺運作模式，SBOM集中式管理是關鍵</span></strong></h1> <p>國泰金控發展了一套開源套件管理平臺，要用系統化的方式，來實現開源軟體的軟體供應鏈安全管理。鄭正略進一步說明，這套平臺包括了四個部分，套件來源、SBOM表產生、集中式管理的SBOM Hub和AI解決方案。</p> <h3><span style="color:#0000FF;"><strong>國泰開源套件管理平臺包括四大組成。</strong></span></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%901-%E9%96%8B%E6%BA%90%E5%B9%B3%E5%8F%B0%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>這個開源套件管理平臺可以掃描國泰所用的各項開源套件，套件來源包括了各種Docker映像檔，JAVA、.NET、Python等開發語言的套件等，掃描了套件組成後，結合CI/CD流程，可以自動產生軟體物料清單，國泰選擇用OWASP基金會的CycloneDX格式來紀錄。包括內部自行開發的軟體，或是第三方供應商提供的軟體的SBOM，最後都會儲存到平臺上的SBOM Hub，進行集中管理和版本控管，確保資訊可以追蹤。</p> <p>套件管理平臺也整合了常見的漏洞資料庫，如CVE、NVD或歐盟EUVD等，來分析SBOM中的組件，是否存在已知的漏洞。還會進一步分析這些SBOM中的軟體授權資訊，協助管理開源軟體的授權合規性。最後，則可以運用一些AI解決方案，來進行異常告警、資安洞察和分析，像是讓AI根據漏洞影響範圍的嚴重性、組件的使用頻率和企業特定環境等因素，自動排列出漏洞修補的優先順序，並提供修補建議。</p> <p>鄭正略指出，集中式管理的SBOM Hub是開源套件管理的關鍵核心，搭配商用等級的軟體供應鏈解決方案，可以提供一個兼顧掃描、阻擋及溯源的儲存庫（Repository）。</p> <p>國泰會從三個角度來評選一款軟體供應鏈解決方案，漏洞搜集能力、整合能力和漏洞定位能力。像是收集到多少種漏洞數據庫的資料，能不能整合到IDE開發工具或是CI/CD工具中來進行自動掃描，能不能快速找出有漏洞的元件或受害服務，及時阻擋問題套件的上傳或下載。</p> <h1><span style="color:#B22222;"><strong>國泰正評估借重AIBOM，提高AI模型生命週期管理的能見度</strong></span></h1> <p>鄭正略透露，目前國泰也正在評估，如何運用AIBOM表，來實現AI模型的全生命週期資訊的能見度，涵蓋訓練數據到模型部署，試圖找出潛在的偏差與風險，來確保模型的透明、可解釋和可追溯。</p> <p>目前，國泰嘗試運用一款AI SBOM Generator開源工具，可以協助將Hugging Face上託管的模型，產生一份AI SBOM表，這款工具可以自動抓取關鍵資訊，像是模型後設資料、訓練資料集、依賴項目和配置等，依據OWASP基金會定義的CycloneDX JSON（國泰所用SBOM格式）格式，來產生一份機器可讀的AI SBOM表。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%902-AIBOM%E8%A1%A8-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>國泰金控從發展大數據應用，數據生態系，到擁抱雲原生技術，推動雲端轉型，一路採用了許多開源軟體和技術，為了強化這些開源軟體的管理，才發展出這樣一套開源套件管理平臺，搭配SBOM機制來強化軟體供應鏈的管理。</p> <h1><strong><span style="color:#B22222;">如何控管開源四大風險，國泰設立審查委員會和標準化審查流程</span></strong></h1> <p>不只有平臺和機制，國泰也發展出一套開源風險控管做法，設立了一個開源審查委員會（Open Source Review Board，簡稱OSRB），建立一個集團開源安全防護網。</p> <h3><span style="color:#0000FF;"><strong>開源審查委員會（OSRB）是國泰金控管理開源風險的關鍵</strong></span></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%903-OSRB-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>這個開源審查委員會，集結了治理、資安、法務和開發團隊的專家，負責訂定出全集團統一的如何開源和發布的一套政策和標準。另一方面，在SBOM的發展基礎上，進行安全性、合規性的安全風險揭露與審查，透過自動化工具，持續監控已知的漏洞，確保全集團對開源的使用，符合國際監管趨勢。最後一項OSRB的任務是，維護一個可信任的倉庫，提供審核通過的安全元件，也簡化相關的申請和審核流程，來加速產品上市時間。</p> <p>鄭正略解釋，企業常見的開源風險有四類，第一是無法掌握開源軟體的初期風險，其次是法律授權條款的風險，尤其用到有傳染性的授權，可能導致企業核心程式碼必須被迫開源。日益嚴格的產業監管合規壓力是第三類風險，需要保留完整軟體組成分析和稽核紀錄，第四類風險是，開發與安全效率兼顧的兩難，在追求快速開發和產品迭代的壓力下，安全和法務審查往往成為瓶頸，如何在速度和風險控管之間取得平衡是課題。</p> <p>多年使用開源軟體的經驗下，國泰已經發展出一套開源審查的標準化流程，可以建立從源頭管理，到安全上線與管理的治理體系。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%904-OSRB%E6%B5%81%E7%A8%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>第一步取得開源元件後，先進行原始碼掃描，第三步再來識別風險。國泰會將開源元件集中，放入到集團審核中的儲存庫，定期掃描和監控，自動產生相關SBOM報表。接著再進行第四步的風險審查和批准，並且要留下相關紀錄，也會公布特別要審查哪些開源風險，</p> <p>最後一步，通過審核可用的開源元件，就會放入一個可信任的軟體倉庫，要求所有開發團隊，都得使用這個倉庫中的開源元件，不能自行使用外部的開源元件，來實現一套完整的開源軟體控管流程。</p> <h1><strong><span style="color:#B22222;">兼顧開源治理與創新靠兩大關鍵引擎</span></strong></h1> <p>但是，國泰不只想要落實管理，還想要進一步善用開源軟體來創新。許多國際金融集團推動開源創新的做法，如高盛集團、HSBC、花旗集團等，過去三年，紛紛成立了開源計畫辦公室（Open Source Program Office），來善用開源力量。國泰金控也成立了一個開源創新發展小組，在集團內扮演OSPO的角色，作為國泰開源戰略的核心推動單位，這就是鄭正略所在的團隊。</p> <p>鄭正略表示，開源計畫辦公室（OSPO）和開源審查委員會（OSRB）是開源治理與創新的關鍵雙引擎。開源審查委員會負責治理、審查開源的使用情況，確保安全和合規，而開源計畫辦公室則是負責串聯內外部的資源，在集團內建立開源的文化，也可以對企業提供開源政策的建議。</p> <h1><strong><span style="color:#B22222;">TAG、OSRB和DevRel是國泰開源戰略鐵三角</span></strong></h1> <p>國泰推動開源計畫辦公室的做法，除了已經設立了開源審查委員會（OSRB）來推動開源治理，也在開源創新發展小組中，設立了技術諮詢小組（Technical Advisory，簡稱TAG），負責技術標準訂定、開源技術研究、內部開源機制的建置，以及打造開源共享平臺。另外也積極經營開發者技術社群，也就是國外常見的開發者關係經營（DevRel），參與國際社群、推動開源文化和人才培育等。「TAG、OSRB和DevRel，正是國泰金控開源戰略的鐵三角。」鄭正略表示。</p> <h3><span style="color:#0000FF;"><strong>國泰金控設立開源計畫辦公室的三大實踐做法</strong></span></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%905-%E9%96%8B%E6%BA%90OSPO-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" /></p> <p>國泰金控更長遠的開源願景，鄭正略指出，要打造出一個國泰開源生態系。國泰已經從階段0的「開源啟動者」，跨入了階段1的「開源實踐者」，包括訂定了開源治理規範，也有對外開源成果，並有一套對外開源的管理平臺，內部也開始推動開源文化，與開源社群合作，打造一站式的開源資源整合與分享平臺。目前國泰正在導入內部開源（InnerSource）機制和開源共享平臺。在人才培育上，也要建立開源人才的貢獻機制。</p> <h1><span style="color:#B22222;"><strong>長期要打造開源生態系，下一階段目標是成為開源領航者</strong></span></h1> <p>在這個開源生態系大夢中，國泰下一階段的目標是成為開源領航者（階段2），可以推動亞太區的開源活動，甚至擔任跨產業開源導入的推動者，未來更要邁向階段3「開源典範者」，像是成為金融業內部治理的分享者，協助金融同業導入內部開源，並將內部開源共享平臺對外開源。更希望成為國際開源基金會的董事，促成更多臺灣金融業的產業合作。</p> <p>國泰金控集團這幾年的開源成果和投入，已經是臺灣知名的開源實踐者，在這個開源生態系的大夢，成功地邁出了第一步。</p> <p> </p> </div></div></div>
2025/11/28 03:50作者王宏仁https://www.ithome.com.tw/news/172515
【新聞回顧】Salesforce與Gainsight遭到非法存取，疑似勒索軟體團體ShinyHunters發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在8月底至9月初，<a href="https://www.ithome.com.tw/tags/salesloft-drift">Salesloft Drift供應鏈攻擊</a>導致多家企業發生資料外洩的事故，鬧得沸沸揚揚，<a href="https://www.ithome.com.tw/news/171251">9月下半勒索軟體組織ShinyHunters聲稱</a>，他們使用遭竊Salesloft Drift的OAuth權杖，從760家公司竊取超過15億筆Salesforce紀錄。<a href="https://techcrunch.com/2025/11/20/salesforce-says-some-of-its-customers-data-was-accessed-after-gainsight-breach/">10月初</a>勒索軟體組織Lapsus$、Scattered Spider、ShinyHunters在暗網成立的資料外洩網站Scattered LAPSUS$ Hunters，表明他們手上有1億筆Salesforce紀錄，並指明Salesforce付贖金，<a href="https://status.salesforce.com/generalmessages/20000224?locale=en-US.">Salesforce也發表公告</a>表達他們已知道近期攻擊者的勒索，並強調無跡象顯示Salesforce平臺遭駭，以及這些攻擊與他們技術的任何已知漏洞無關。</p> <p>11月20日多家資安媒體報導<a href="https://status.salesforce.com/generalmessages/20000233">Salesforce突然發布公告</a>，警告用戶連接Salesforce的應用系統Gainsight出現異常活動。Gainsight是專攻客戶成功平臺（Customer Success Platform）的供應商，根據Salesforce的調查顯示，有人經由這套系統非法存取用戶的Salesforce資料，似乎與此系統的外部連線存取Salesforce有關。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory1.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Salesforce Advisory2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory2.jpg" style="width: 298px;" /></a></p> <p>Salesforce也在22日發布的<a href="https://help.salesforce.com/s/articleView?id=005229029&type=1">另一份資安公告</a>，列出20筆入侵指標（IOC），其中15筆，來自電信公司AT&T，以及Mullvad、Surfshark、NSocks、IProxyShop、Nexx、ProxySeller、Tor等VPN代理伺服器的IP位址，進行偵察與未經授權的存取，而且也出現搭配遭盜用Gainsight存取權杖的偵察記錄，3筆 Gainsight系統採用不正常的使用者代理字串（user agent string）記錄，以及曾在Salesloft Drift攻擊活動出現的攻擊者非法存取行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Salesforce Advisory3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory3.jpg" style="width: 600px;" /></a></p> <p>對此，Salesforce已撤銷所有與Gainsight應用系統相關的主動存取與更新的權杖——Salesforce停用Gainsight應用系統與Salesforce之間的連線，Salesforce用戶將暫時無法連接Gainsight應用系統，等待後續通知；而且在調查進行期間，Salesforce暫時將這套系統從AppExchange市集移除。他們再度強調，尚無跡象顯示上述問題是Salesforce平臺的漏洞造成。</p> <h3><span style="color: rgb(0, 0, 255);"><strong>攻擊者直指ShinyHunters，受害企業與組織可能有將近1千家</strong></span></h3> <p>關於受害者數量與攻擊者身分，目前多家<a href="http://www.theregister.com/2025/11/20/salesforce_gainsight_breach/">科技</a>與<a href="http://cyberscoop.com/salesforce-gainsight-customers-breach/">資安</a>媒體引述Google威脅情報小組（GTIG）首席分析師Austin Larsen的說法，他表示，已知超過兩百個Salesforce用戶執行個體（instances）受到影響，可能的攻擊者是ShinyHunters（UNC6240），該團體與先前攻擊Salesforce執行個體（Salesloft Drift供應鏈攻擊）的組織有關，如UNC6040。事實上，這次傳出遭到非法存取的Gainsight，也在<a href="https://www.gainsight.com/security/">自家網站公告他們是Salesloft Drift供應鏈攻擊的受害者</a>。</p> <p>第二個與攻擊者身分有關的消息，來自專攻資料外洩事件消息揭露的部落格DataBreaches.Net。<a href="https://databreaches.net/2025/11/20/threat-actors-have-reportedly-launched-yet-another-campaign-involving-an-application-connected-to-salesforce/">11月20日該站發文</a>指出，聯繫ShinyHunters之後，對方的發言人承認這起活動是他們所為，並表示這可能是同一團體對Salesforce發起的第三波大規模攻擊，暗示接下來可能還有下一波攻勢，並揚言Salesforce若不就範，打算成立另一個專屬的資料外洩公告網站，該站將涵蓋Salesloft與Gainsight攻擊活動所竊取的資料，受害組織總數逼近1千家，但站上主要列出的對象是財星500大企業，或其他ShinyHunters認為有利可圖的企業。值得注意的是，此人也透露他們透過Gainsight攻擊而取得資料的公司，包含Verizon、GitLab、F5、SonicWall。</p> <p>第三個相關資訊來自Gainsight與GTIG，當中提及UNC6040與另一個聲稱隸屬於ShinyHunters的攻擊者合作。11月23日世界協調時間1時35分，Gainsight更新服務狀態頁面的說明，介紹該公司<a href="https://communities.gainsight.com/community-news-2/salesforce-gainsight-connected-app-incident-faqs-29809">當時新發布的常見問答集</a>，當中引用<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc6040-proactive-hardening-recommendations">Google威脅情報小組10月1日發布的部落格文章</a>，標題是關於因應UNC6040攻擊的主動強化建議，該文標示11月21日更新內容，表明是為了因應當時Salesforce對Gainsight應用系統的資安公告，當中特別針對API金鑰、OAuth權杖、服務帳號、存取金鑰等多種程式開發用的身分憑證，補充全面強固、記錄、偵測等層面的作法；除此之外，GTIG在描述UNC6040的基礎架構時，也談到他們對受害者Salesforce環境執行資料竊取時，在大多數狀況下，都使用Mullvad VPN的IP位址，而這也呼應Salesforce<a href="https://help.salesforce.com/s/articleView?id=005229029&type=1">在11月22日發布的資安公告</a>，因為當中列出的入侵指標（IOC）就有4筆使用Mullvad VPN的IP位址，以此進行偵察與非法存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GTIG Advisory-Mullvad VPN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GTIG%20Advisory-Mullvad%20VPN.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Salesforce Advisory-Mullvad VPN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory-Mullvad%20VPN.jpg" style="width: 298px;" /></a></p> <h3><span style="color:#0000FF;"><strong>第三方廠商的存取管道遭濫用，成為攻擊者挖Salesforce牆角的目標</strong></span></h3> <p>Gainsight方面，也透過公司設立的<a href="https://status.gainsight.com/">服務狀態運作狀態揭露頁面</a>，持續更新調查進度。</p> <p>首先，世界協調時間（UTC）11月20日3時53分，Gainsight著手調查Salesforce連線故障問題；4時33分，確認問題出在Salesforce撤銷Gainsight SFDC Connector的主動存取；之後持續調查、監控狀態與修正問題，17時35分與Salesforce緊密合作調查，目的是了解導致Gainsight應用系統存取權杖遭撤銷的異常活動；20時36分，以防萬一，Hubspot市集暫時下架Gainsight應用系統，在這段審核期間，可能影響用戶的OAuth連線存取。</p> <p>到了11月21日，0時26分Salesforce繼續調查異常活動，暫時撤銷Gainsight連接該公司系統的存取權杖，作為預防措施，Gainsight的資安與工程團隊和Salesforce協同合作，以便分析技術細節、驗證組態，以及決定安全復原的步驟，並且持續整合內部與外部資訊；1時56分，Zendesk連接器存取遭撤銷，作為預防措施，<a href="https://communities.gainsight.com/community-news-2/salesforce-gainsight-connected-app-incident-faq-november-20th-update-29801">Gainsight發布常見問答集</a>（此頁面內容目前已被撤下）；5時38分聘請資安廠商Mandiant協助進行全面而獨立的鑑識調查；19時15分Salesforce針對Gainsight應用系統的異常活動發布資安公告更新。</p> <p>11月22日6時11分，<a href="https://communities.gainsight.com/community-news-2/salesforce-gainsight-connected-app-incident-faq-november-21st-update-29807">發布更新的事件常見問答集</a>（此頁面內容目前已被撤下），當中提及Salesforce起初列出3家受影響的用戶，21日受影響的用戶增加，Salesforce稍早已通知，Gainsight也直接聯繫這份名單提到的用戶。</p> <p>11月23日Gainsight<a href="https://communities.gainsight.com/community-news-2/salesforce-gainsight-connected-app-incident-faqs-29809">釋出新的事件常見問答集</a>，重新以太平洋標準時間整理這幾天以來的事件發生經過。</p> <p>首先是19日下午，Salesforce通知他們Gainsight Salesforce Connected App出現異常存取活動，通報3個用戶有可疑的存取嘗試行為，Gainsight也啟動內部事故應變程序；到了晚間，Gainsight的資安、工程與產品團隊開始著手初步分析，應變小組召開會議，Gainsight也委託Mandiant進行獨立鑑識調查，Mandiant開始啟動證據保留與記錄收集的步驟，此時Salesforce尚未提供任何入侵指標。</p> <p>20日上午，Gainsight工程團隊開始驗證影響範圍，部署更新、復原非Salesforce相依性的規則、資料設計工作，以及統計報告；下午Gainsight工程團隊完成深層的記錄審核與初步範圍界定，Salesforce確認異常活動局限在少數組織，Gainsight開始準備建議的預防措施。</p> <p>21日上午，與Salesforce無相依性的Gainsight Journey Orchestrator程式重新啟用，持續與Salesforce合作取得入侵指標；下午Salesforce提供受影響的用戶組織清單增加，Gainsight直接通知Salesforce察覺有可疑活動的用戶。<br /> 持續進行中的工作，包括Mandiant持續鑑識分析事件記錄、權杖存取行為，以及連接器的行為。<br /> 27日3時39分，Gainsight狀態頁面發布公告，建議用戶輪換與Gainsight搭配使用的所有S3儲存桶的存取金鑰，以及自家連接器存取多種服務的身分憑證（包含雲端資料倉儲平臺BigQuery與Snowflake、雲端訂閱服務管理平臺Zuora等），並將其納入標準資安最佳實務。而在Salesforce Connected App完全恢復運作之前，用戶現在應直接登入業務資料管理平臺Gainsight NXT，而非經由Salesforce存取。同時，對於那些未經由單一登入整合（SSO）驗證身分的使用者密碼，Gainsight也將重新設定；而仰賴使用者憑證或權杖的各種連接應用程式或整合工作，會進行重新授權的程序。</p> <p>出於謹慎行事的考量，對於gainsightcloud.com這類回傳URI的OAuth用戶端，Google目前已停用，並要求Gainsight撤銷OAuth權杖，輪換OAuth用戶端的憑證，並達成雲端安全評估（CASA）第三級要求，之後才能恢復OAuth用戶端的使用。</p> <p>至於其他整合Gainsight的業者應用系統，像是Zendesk、Gong、Hubspot，何時重新啟用整合關係？Gainsight表示，這些廠商目前仍暫停連線，他們將根據本身的資安審核結果，再決定何時恢復。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gainsight November 26th notes.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gainsight%20November%2026th%20notes.jpg" style="width: 600px;" /></a></p> <p>到了11月25日，Gainsight 執行長Chuck Ganapathi<a href="https://www.gainsight.com/blog/supporting-our-customers-and-community-an-update-on-the-recent-security-advisory-related-to-gainsight/">透過公司部落格發文</a>，親自上陣說明這起事故的近期進展，然而，<a href="https://www.theregister.com/2025/11/26/gainsight_ceos_handful_customers_data_stolen/">科技媒體The Register</a>網路資安編輯Jessica Lyons對於當中受影響用戶的狀況描述，相當不以為然。Chuck Ganapathi表示，雖然Salesforce已找到遭駭用戶的權杖，根據他們目前了解，只有屈指可數（a handful of）的用戶，其資料受到影響，Jessica Lyons的新聞報導提到，這樣的描述，與各大科技與資安媒體普遍引用GTIG首席分析師Austin Larsen的受害規模產生矛盾，因此，在該篇新聞的副標當中，Jessica Lyons嘲諷這位執行長的手指可能有200根以上。綜上所述，目前有GTIG、Gainsight，以及ShinyHunters聲稱的受害用戶數字，三方的估算顯然有很大的出入，孰是孰非有待後續釐清。</p> </div></div></div>
2025/11/28 00:22作者李宗翰https://www.ithome.com.tw/news/172514
【資安日報】11月27日，新型態網釣手法JackFix假借Windows更新為幌子，企圖散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172511"><strong style="font-size: 22px;">ClickFix網釣出現新變種JackFix，假借Windows更新名義引誘使用者上當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bef243fc918f764e078dc39307e56707.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bef243fc918f764e078dc39307e56707.png" style="width: 300px; float: right;" /></a></p> <p>要求使用者依照螢幕指示操作，複製命令並貼上執行的網釣攻擊手法ClickFix，後續出現流程完全在瀏覽器進行的變形手法FileFix，如今有歹徒結合覆蓋螢幕畫面的手法，試圖逼迫受害者乖乖就範。</p> <p>資安業者Acronis揭露一種新型態的ClickFix攻擊活動，歹徒設置假的成人網站引誘用戶上當，然後結合假的Windows更新畫面覆蓋整個螢幕，要求他們依照指示完成「重大安全更新」。假更新的畫面幾可亂真，不僅具備完善的動畫內容，並顯示即時的進度百分比，唯一的差別，是要求使用者必須依照特定的步驟操作，才能真正完成更新。這種新型態的攻擊手法，Acronis稱做JackFix。</p> <p>有別於大部分的ClickFix活動，攻擊者主要透過釣魚郵件接觸受害者，引誘他們存取ClickFix網站，JackFix並未依循這樣的攻擊途徑，使用者先存取攻擊者的網站並進行互動，這些網站才會產生Windows更新的覆蓋畫面，迫使受害者必須依照指示操作。換言之，攻擊者無須事先製造危機感或催促使用者儘速處理，就能得逞。</p> <p><a href="https://www.ithome.com.tw/news/172503"><strong style="font-size: 22px;">惡意Blender模型檔案上架3D模型市集，意圖散布竊資軟體StealC V2</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZalypaGyliveraV1_Diagram_4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZalypaGyliveraV1_Diagram_4.png" style="width: 300px; float: right;" /></a></p> <p>為了讓使用者能更容易調整應用程式的組態，許多軟體開發團隊會提供延伸套件機制，其中最常見的就是瀏覽器，也有IDE開發工具提供相關機制。然而，這些機制也成為歹徒下手的目標，他們透過有問題的套件，對使用者散布惡意軟體，如今類似的手法，也出現針對藝術創作者和美術從業人員的情況。</p> <p>資安業者Morphisec揭露為期超過半年的攻擊行動，俄羅斯駭客試圖散布竊資軟體StealC V2，不過這波活動最特別的地方在於，攻擊者鎖定的對象，是開源3D圖形軟體Blender的用戶，他們在3D模型市集上架有問題的.blend檔案，一旦使用者在電腦開啟，就會執行嵌入的Python指令碼，後續於受害電腦部署StealC V2。而攻擊者散布惡意檔案的管道，其中一個是名為CGTrader的開放市集。對此，Morphisec呼籲，用戶最好停用Blender的自動執行功能，並避免下載來路不明的3D模型檔案，來防範相關威脅。</p> <p>攻擊者接著如何在受害者電腦植入StealC V2？前述的Python指令碼一旦觸發，就會從Cloudflare Worker網域下載PowerShell惡意程式載入工具，該工具將ZIP檔下載至受害電腦，並執行兩個Python指令碼，最終在受害電腦部署StealC V2，以及另一款竊資軟體Blenderx Stealer。</p> <p><a href="https://www.ithome.com.tw/news/172494"><strong style="font-size: 22px;">大規模蠕蟲攻擊Sha1-Hulud再掀波瀾，影響逾1千個NPM套件與2.7萬個GitHub儲存庫</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1764066468-image-32-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1764066468-image-32-1.png" style="width: 300px; float: right;" /></a></p> <p>今年9月，NPM儲存庫發生大規模供應鏈攻擊Shai-Hulud，攻擊者兩天內在超過500個套件植入蠕蟲，如今類似的供應鏈攻擊活動再度出現，引起多家資安業者提出警告。</p> <p>11月24日多達9家資安業者不約而同提出警告，分別是：Aikido、HelixGuard、JFrog、Koi Security、ReversingLabs、SafeDep、Socket、Step Security，以及Wiz，他們偵測到新一波的Shai-Hulud蠕蟲攻擊活動，攻擊者在11月21至23日之間，上傳超過1,000個NPM套件、感染2.7萬個GitHub儲存庫，本次事故影響Zapier、ENS Domains、PostHog，以及Postman等熱門套件。</p> <p>這些蠕蟲套件不僅在NPM套件庫自我複製，一旦使用者部署到開發環境，此惡意程式就會在Windows、Linux，以及macOS開發環境裡快速擴散，利用掃描工具TruffleHog挖掘曝露的機敏資料，包含AWS、GCP，以及Azure的雲端帳密，並濫用本機快取的憑證，透過API搜刮AWS Secrets Manager與Google Cloud存放的身分憑證，然後，該蠕蟲會將找到的資料上傳到公開的GitHub儲存庫，並自我複製，然後將新套件上架到NPM。而且，相關活動仍持續進行。針對這波攻擊，上述資安業者稱為「Shai-Hulud 2.0」或「Sha1-Hulud」。</p> <p><a href="https://www.ithome.com.tw/news/172509"><strong style="font-size: 22px;">俄羅斯駭客利用MSC EvilTwin結合被入侵的網站，企圖散布惡意程式</strong></a></p> <p>今年3月微軟修補微軟管理主控臺（MMC）零時差漏洞CVE-2025-26633（MSC EvilTwin），通報此事的資安業者趨勢科技透露，被稱做EncryptHub、Larva-208、Water Gamayun的俄羅斯駭客組織，將其用於實際攻擊，如今傳出這些駭客持續利用相同的漏洞，從事新一波攻擊。</p> <p>資安業者Zscaler指出，Water Gamayun近期結合入侵合法網站、名稱相似的網域，以及MSC EvilTwin發動攻擊，他們試圖傳送偽裝成PDF檔案的RAR壓縮檔，然後利用漏洞將程式碼注入mmc.exe，然後濫用特定的功能與指令，啟動一系列PowerShell有效酬載，以及最終的惡意軟體載入工具。</p> <p>駭客團體濫用MSC EvilTwin的情況，並非只有上半年，3個月前也出現相關活動，例如資安業者Trustwave今年8月發現，歹徒用於散布竊資軟體Fickle Stealer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Belay-Figure1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Belay-Figure1.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/172491"><strong style="font-size: 22px;">Canon、Mazda美國分公司雙雙被駭入Oracle EBS</strong></a></p> <p>日本影像方案業者佳能（Canon）、車廠馬自達（Mazda）本周分別證實，美國分公司都被Cl0p勒索軟體駭客入侵了Oracle E-Business Suite（EBS），不過，究竟外洩了哪些資料，目前尚無法證實。</p> <p>一般而言，Cl0p在竊取Oracle EBS資訊後，經常會公開或銷售受害組織的資料，但Canon指出，這事件僅影響網頁伺服器，該公司已經採取安全措施，也恢復運作，目前還沒有駭客公開竊得資料。</p> <p>Mazda也證實，美國分公司成為Oracle EBS系統攻擊的目標，但這家日本車廠說，事件並未影響系統運作或工廠生產，而且也無法證實資料已經外洩。</p> <p><a href="https://www.ithome.com.tw/news/172489"><strong style="font-size: 22px;">美國媒體與電信集團Cox通報遭Oracle EBS零時差攻擊，個資外洩近萬人受害</strong></a></p> <p>美國媒體與電信集團Cox Enterprises向多州主管機關通報，旗下使用的企業資源規畫系統Oracle E-Business Suite（EBS）遭零時差弱點攻擊。駭客在2025年8月9日至14日期間利用尚未修補的弱點入侵後端系統，竊取儲存在其中的個人資料。Cox向緬因州檢察長辦公室通報的資料顯示，本次事件共影響9,479名個人，其中包含4名緬因州居民。</p> <p>依Cox向主管機關與受影響對象的說明，公司在9月29日發現Oracle EBS環境出現異常活動，隨後在外部資安團隊協助下展開調查，並於10月31日完成調查，確認未授權第三方曾在8月中旬存取系統並複製含有個人資料的檔案，之後依各州規定完成通報。</p> <p><a href="https://www.ithome.com.tw/news/172492"><strong style="font-size: 22px;">達特茅斯學院通報Oracle EBS資料外洩，影響至少上千人</strong></a></p> <p>美國達特茅斯學院（Dartmouth）Oracle E-Business Suite (EBS) 遭駭客存取，影響至少上千人，並且可能已遭公開敏感資訊，他們近日已向主管機關通報。</p> <p>該校在上個月甲骨文公司公告修補EBS零時差漏洞CVE-2025-61884後，隨即展開調查。近日調查結果出爐，達特茅斯學院判斷在8月9日到12日之間Oracle EBS遭未授權人士存取，10月30日攻擊者竊取了EBS中的個人姓名、社會安全碼，以及銀行帳號資訊。</p> <p>受影響的人數傳出包含1,494名緬因州居民，但學校未提供相關資料。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安事故</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/eternidade-stealer-trojan-brazil/">金融木馬Eternidade Stealer鎖定巴西而來，利用WhatsApp接觸受害者及進行散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/flexibleferret-malware-macos-go/">惡意軟體攻擊活動FlexibleFerret鎖定macOS用戶而來，企圖散布Go語言後門</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/onsolve-codered-cyberattack-disrupts-emergency-alert-systems-nationwide/">風險管理業者Crisis24遭駭，波及美國警消緊急通報系統運作，傳出是勒索軟體INC Ransom所為</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/185034/security/harvard-reports-vishing-breach-exposing-alumni-and-donor-contact-data.html">哈佛大學校友事務系統驚傳外洩，校友與捐款者的個資流出</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/iberia-airlines-supply-chain-data/">伊比利亞航空供應商資料外洩，通知客戶防範網釣</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172487"><strong>【11月26日】開源輕量級遙測工具Fluent Bit存在一系列可被串連的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172464"><strong>【11月25日】中國駭客加入利用WSUS重大漏洞的行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172444"><strong>【11月24日】Salesforce用戶再傳遭供應鏈攻擊，駭客鎖定外掛Gainsight而來</strong></a></p> </div></div></div>
2025/11/27 17:12作者周峻佑https://www.ithome.com.tw/news/172512
俄羅斯駭客利用MSC EvilTwin結合被入侵的網站，企圖散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年3月微軟修補微軟管理主控臺（MMC）零時差漏洞CVE-2025-26633（MSC EvilTwin），<strong><a href="https://www.ithome.com.tw/news/168113">通報此事的資安業者趨勢科技透露</a></strong>，被稱做EncryptHub、Larva-208、Water Gamayun的俄羅斯駭客組織，將其用於實際攻擊，如今傳出這些駭客持續利用相同的漏洞，從事新一波攻擊。</p> <p>資安業者Zscaler指出，<strong><a href="https://www.zscaler.com/br/blogs/security-research/water-gamayun-apt-attack">Water Gamayun近期結合入侵合法網站、名稱相似的網域，以及MSC EvilTwin發動攻擊</a></strong>，他們試圖傳送偽裝成PDF檔案的RAR壓縮檔，然後利用漏洞將程式碼注入mmc.exe，然後濫用特定的功能與指令，啟動一系列PowerShell有效酬載，以及最終的惡意軟體載入工具。</p> <p>Water Gamayun鎖定使用搜尋引擎Bing的用戶而來，當使用者搜尋belay的時候，他們會被導向美國虛擬人力資源服務業者Belay Solutions的網站（belaysolutions[.]com），但攻擊者在網站注入的JavaScript指令碼，會將用戶重新導向另一個網域belaysolutions[.]link，並下載具有PDF檔圖示的Hiring_assistant.pdf.rar。</p> <p>一旦使用者開啟RAR檔案，就會自動解出微軟管理主控臺組態檔案（MSC），使用者若是執行，mmc.exe就會解析MUI資料夾路徑，載入另一個有問題的MSC檔，並以TaskPad命令執行經編碼處理的PowerShell有效酬載，下載公用程式UnRAR[.]exe與另一個受密碼保護的RAR檔，然後進行下個階段的流程。</p> <p>接著，攻擊者執行另一個指令碼來隱藏微軟管理主控臺的視窗，並顯示誘餌PDF檔案，然後經過多次的下載檔案及解壓縮，最終載入惡意程式載入工具iTunesC[.]exe，以便後續安裝後門程式或竊資軟體。不過，由於調查過程C2基礎設施沒有回應，Zscaler無法確認攻擊者最終使用的惡意程式。</p> <p>Water Gamayun濫用MSC EvilTwin的情況，3個月前也出現相關活動。資安業者Trustwave今年8月發現，<strong><a href="https://www.ithome.com.tw/news/170709">歹徒用於散布竊資軟體Fickle Stealer</a></strong>。</p> </div></div></div>
2025/11/27 15:23作者周峻佑https://www.ithome.com.tw/news/172509