iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】12月30日，React2Shell漏洞利用活動肆虐，近6萬臺Next.js應用程式伺服器被入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173083"><strong style="font-size: 22px;">攻擊行動Operation PCPcat鎖定Next.js應用程式而來，近6萬臺伺服器被入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/exploit-nextjs_DO2N-6xH_Z2iJXwI.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/exploit-nextjs_DO2N-6xH_Z2iJXwI.png" style="width: 300px; float: right;" /></a></p> <p>12月初React開發工程團隊揭露及修補重大資安漏洞CVE-2025-55182（React2Shell），此為發生在React Server Components（RSC）元件的漏洞，在公布數小時後就傳出遭到利用，近期有資安公司發現新一波大規模攻擊，並指出駭客成功的機率相當高。</p> <p>AI密罐陷阱平臺Beelzebub揭露名為Operation PCPcat的攻擊活動，駭客針對Next.js應用程式下手，試圖透過React2Shell入侵，並進行大規模憑證收集，經確認兩天內已針對91,505臺進行探測，有59,128臺伺服器受害，漏洞利用活動的成功比例高達64.6%。以每臺伺服器被偷走5至10個憑證來估算，恐有30萬至59萬組憑證外洩。</p> <p>針對這波攻擊活動，駭客從大規模掃描可從網際網路存取的Next.js應用程式網域名稱開始，並透過複雜的命令工具react.py，識別應用程式伺服器是否存在React2Shell並觸發，然後藉由原型汙染（prototype pollution）手法操作JSON有效酬載，執行命令注入，將結果得到的資料，將獲取的資料透過HTTP標頭重新導向手法外傳。駭客搜刮的資料包含系統環境變數、SSH金鑰、雲端憑證、Git儲存庫憑證、重要系統檔案，以及最近下達的100個指令等。</p> <p><a href="https://www.ithome.com.tw/news/173077"><strong style="font-size: 22px;">文字編輯器EmEditor官網安裝檔遭動手腳，駭客以瀏覽器擴充套件建立持久化</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7bd1965a6acac28dc24ed36302ae733a.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7bd1965a6acac28dc24ed36302ae733a.png" style="width: 300px; float: right;" /></a></p> <p>文字編輯器EmEditor開發商Emurasoft在公告指出，官方網站首頁的下載導引疑遭第三方未授權改寫，導致使用者在特定時間區段透過官網下載的Windows安裝套件，可能不是由官方提供的版本，而是被置換的MSI檔。依Emurasoft說法，可能受影響期間為臺灣時間約為12月20日上午至12月23日清晨。</p> <p>Emurasoft目前僅確認64位元安裝套件emed64_25.4.3.msi涉及此事件，官方指出，可疑檔案同樣使用emed64_25.4.3.msi檔名，但檔案大小略為不同，且數位簽章顯示為WALSHAM INVESTMENTS LIMITED。Emurasoft表示，要是簽章不是Emurasoft或雜湊值不符，即可能是遭竄改的檔案，建議不要執行並立即移除。</p> <p>中國資安業者奇安信表示，其團隊捕捉到此事件的後續載荷，指出惡意程式具資訊竊取行為，會蒐集系統資訊與瀏覽器資料，並可能竊取包含VPN設定、Windows登入憑證、瀏覽器Cookies等內容。奇安信也提到，攻擊者可能透過安裝名為Google Drive Caching的瀏覽器擴充套件作為持久化手法。</p> <p><a href="https://www.ithome.com.tw/news/173008"><strong style="font-size: 22px;">MacSync Stealer偽裝合法App，成功通過macOS Gatekeeper防線</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/macsync-installer.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/macsync-installer.png" style="width: 300px; float: right;" /></a></p> <p>鎖定macOS的資訊竊取型惡意程式MacSync Stealer，正悄悄改變其投放方式。資安業者Jamf近日揭露，最新觀察到的MacSync Stealer已不再依賴傳統的社交工程終端機指令，而是改以「已完成程式碼簽署與Apple公證」的Swift應用程式作為投放工具，成功通過macOS的Gatekeeper安全檢查。</p> <p>MacSync Stealer的活動至少自2023年開始，主要目標是竊取使用者的瀏覽器帳密、系統資訊以及加密貨幣錢包資料。早期版本多半假冒通訊軟體或系統工具，誘騙使用者將檔案拖入終端機，或依指示貼上一段經過混淆的指令碼。這類手法雖然成功率不低，但行為本身相當可疑，也容易被防毒軟體或企業端點防護機制攔截。</p> <p>然而，Jamf發現新版本的MacSync Stealer在投放策略上出現關鍵轉變。駭客改以Swift開發一個具備合法程式碼簽署，並通過蘋果軟體公證機制（Notarization）的Mac應用程式作為投放工具。該程式被包裝在磁碟映像檔中，外觀與一般合法App無異，使用者只要依照正常安裝流程雙擊執行，便可通過macOS的Gatekeeper安全機制，全程不需要任何終端機操作。</p> <p><a href="https://www.ithome.com.tw/news/172985"><strong style="font-size: 22px;">Firefox附加元件遭攻擊行動GhostPoster入侵，用PNG圖示藏惡意JavaScript程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69412b3d88a020394c89686a_image 1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69412b3d88a020394c89686a_image%201.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Koi Security揭露一波名為GhostPoster的惡意擴充套件攻擊行動，鎖定Firefox附加元件生態系。攻擊者把惡意JavaScript藏進附加元件的PNG圖示檔尾端，在附加元件載入時才讀取與抽出執行，進而在使用者瀏覽器內植入後門與追蹤機制。研究人員統計，相關活動至少涉及17款附加元件，累計安裝量超過5萬次。</p> <p>研究人員先是在名為Free VPN Forever的附加元件中觀察到異常行為。該附加元件會讀取自身logo.png，表面上像是一般載入資源，但程式接著對圖形檔案的原始位元組（Raw Bytes）層級做額外處理，藉此找出被夾帶在檔尾端的程式碼。研究人員指出，審查流程往往更容易聚焦在可執行程式碼檔案，攻擊者因此把第一階段載入器藏在看似無害的圖示檔內，讓圖示正常顯示的同時，也能在附加元件載入時抽出並執行隱藏程式碼。</p> <p>從圖示中抽出的程式碼主要負責連回攻擊者的C2伺服器，再下載真正的惡意載荷。研究人員提到，相關附加元件會透過延後啟動與間歇性連線來躲避偵測，例如在啟動後約每48小時才嘗試建立連線，且僅約10%會實際取回下一階段惡意載荷。</p> <p><a href="https://www.ithome.com.tw/news/172972"><strong style="font-size: 22px;">YouTube幽靈網路新攻勢，以Node.js載入器散布Rhadamanthys竊資程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/I42LDY9E7Y-rId28.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/I42LDY9E7Y-rId28.png" style="width: 300px; float: right;" /></a></p> <p>資安廠商Check Point研究人員公開其追蹤的YouTube幽靈網路新一波活動，利用遭入侵的YouTube帳號上架影片，引導觀眾下載遊戲外掛與破解軟體相關檔案，最終在受害Windows電腦散布Rhadamanthys竊資程式。研究人員在感染鏈中辨識出以Node.js撰寫且高度混淆的載入器GachiLoader，並開源一套用於動態追蹤Node.js惡意程式行為的分析工具Nodejs-Tracer。</p> <p>這波YouTube幽靈網路活動由遭入侵帳號發布影片，內容以外掛與破解器等題材吸引特定族群點擊。影片說明欄會提供壓縮檔密碼，而且，常指示使用者關閉Windows Defender，研究人員統計，與此活動相關的影片超過百支，累積約22萬次觀看，分散在39個遭入侵帳號，第一支影片上傳時間為2024年12月22日，研究人員研判這波活動已持續一段時間。</p> <p>GachiLoader在部分樣本中會散布第二階段載入器Kidkadi，並觀察到一種過去未見公開文件完整描述的可移植的可執行檔注入作法。研究人員將其稱為Vectored Overloading，核心概念是利用向量化例外處理機（Vectored Exception Handling）配合硬體斷點（hardware breakpoint機制，在載入合法動態連結函式庫DLL的流程中，誘導Windows載入器把原本應載入的映像檔對應到記憶體中的惡意內容。研究人員也釋出概念性驗證程式，供研究社群理解這項手法並用於測試偵測能力。</p> <p><a href="https://www.ithome.com.tw/news/172533"><strong style="font-size: 22px;">.NET 10統一建置架構，加快安全修補與版本發布節奏</strong></a></p> <p>微軟在.NET 10正式版中導入新的統一建置架構（Unified Build），重整產品建置與發行流程，讓版本更新與安全修補的速度與可預測性大幅提升。官方提到，這項改造是.NET團隊近4年投入基礎建置工作的成果，結合原先Linux原始碼建置經驗，目標是簡化多儲存庫開發造成的建置延遲與維護負擔。</p> <p>統一建置架構採用虛擬單一儲存庫（Virtual Monolithic Repository，VMR）技術，將原本分散的程式碼整合為統一原始碼版面（Source Layout）。開發者仍可在各自儲存庫作業，但正式建置只依VMR內容進行，確保所有版本源自單一提交點，該方法不僅減少協調與相依項目更新的時間，也提升整體一致性。</p> <p>該架構改採垂直建置（Vertical Build）概念，每個垂直建置負責特定平臺與堆疊，像是Windows x64或Linux Arm64，能以單一命令在單機完成，如此降低跨平臺相依性，使建置流程更單純。部分跨平臺元件仍需額外建置階段處理，但整體效率已大幅改善。</p> <p><a href="https://www.ithome.com.tw/news/173007"><strong style="font-size: 22px;">Google在臺解析Passkey技術新進展，展示Credential Manager強化功能，降低開發者導入門檻</strong></a></p> <p>在12月初舉行的FIDO Taipei Seminar 2025研討會上，FIDO聯盟在臺公布Passkey最新成果，同時指出現階段仍有3大關鍵課題需持續突破。特別的是，現場亦有Google專家解析其Credential Manager的研發成果與最新進展，協助開發者與企業精準掌握實務發展方向。</p> <p>對於如何持續優化Passkey的使用者體驗、朝向整體安全設計？持續是開發者與企業在身分驗證設計上的共同關注焦點。在這場研討會中的一場演說中，Google開發人員倡議者Eiji Kitamura，以及Google資深開發者關係工程師暨FIDO印度工作小組主席Niharika Arora，兩人談及Google在這方面的最新發展與規畫。</p> <p>針對相關規畫與發展方向，大致可歸納為三項重點，首先是推出整合Passkey的Credential Manager；再者，透過自動建立與復原機制，來促進Passkey應用普及；而對於全新進展的部分，Google正著手導入憑證可攜與更強電話驗證。</p> <p><a href="https://www.ithome.com.tw/news/173065"><strong style="font-size: 22px;">安碁設立AI專責管理單位，投入生成式AI應用研發</strong></a></p> <p>近期許多大公司開始裁員，因為有研究顯示將近12％的工作是AI可以取代的，而且比例越來越高，但吳乙南強調，資安的人力永遠都是缺乏的，他們之所以採用AI，並不是為了減少人力，臺灣的資安人力缺口超過兩萬人，因此，他們關注如何讓同仁工作更有效率，節省的人力可轉作更多創新服務。</p> <p>在對外提供的資安服務方面，安碁資訊正在發展AI應用的資安健檢，目前已經開始有客戶進行這樣的檢測，因為客戶都希望導入AI的時候，能有一些預防機制。而在AI檢測作業的執行上，他們會依據OWASP公布的十大風險進行，每個風險都有一些檢測工具，用完後需要人為判別，吳乙南表示，安碁2025年在某家銀行已經做了第一個案例，後續的資安檢測，包含一般系統與網路的弱點掃描、滲透測試、紅隊演練、入侵及攻擊模擬演練、雲端資安檢測，後續AI檢測也是重點發展業務。</p> <p>CyberSage是聚焦資安領域的AI大腦，比起通用的LLM更能理解資安術語、攻擊鏈邏輯與減少幻覺，能在資安任務的處理展現顯著優勢。根據安碁的內部測試， CyberSage的理解與任務拆分精準度可達到100％，GPT-4o-mini則是86.47％，領先幅度為13.53；而在運算資源效率（每個問題消耗的詞元總量）上，CyberSage比GPT-4o-mini少了46.75％。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/iran-apt-spying-dissidents">伊朗駭客Prince of Persia鎖定伊拉克、土耳其、印度、歐洲及加拿大人士長期監控</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-state-hackers-use-rootkit-to-hide-toneshell-malware-activity/">中國駭客透過rootkit程式從事活動，目的是隱匿利用資安漏洞ToneShell的行為</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/186290/cyber-crime/romanias-oltenia-energy-complex-suffers-major-ransomware-attack.html">羅馬尼亞能源公司Oltenia遭勒索軟體攻擊，大型發電廠資訊系統停擺</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/186275/data-breach/korean-air-discloses-data-breach-after-the-hack-of-its-catering-and-duty-free-supplier.html">韓國航空傳出資料外洩，起因是餐飲及免稅供應商KC&D遭駭</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/coupang-to-split-117-billion-among-337-million-data-breach-victims/">針對大規模資料外洩事故，酷澎宣布將賠償11.7億美元</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173078"><strong>【12月29日】MongoBleed傳出被用於實際攻擊，遊戲伺服器遭到入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173061"><strong>【12月26日】MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173025"><strong>【12月24日】南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流</strong></a></p> </div></div></div>
2025/12/30 12:10作者周峻佑https://www.ithome.com.tw/news/173087
中國數位人民幣將在2026年邁向存款貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國人民銀行副行長<a href="https://www.cf40.org.cn/article/1/289233" target="_blank">陸磊於中國金融時報上指出</a>，2026年1月1日將實施新一代數位人民幣（e-CNY）的政策，數位人民幣將由現金型1.0版，升級為存款貨幣型2.0版。這次調整並非改變民眾的支付方式，而是重新界定數位人民幣在金融體系中的制度角色。</p> <p>在新制度下，部分數位人民幣將在銀行體系內以帳戶方式管理，具備商業銀行負債屬性，並可依法計付利息、納入準備金與存款保險體系。這代表數位人民幣在制度上不再僅是電子形式的現金，而是在特定情況下，開始接近銀行存款的管理邏輯，被視為數位人民幣邁入2.0階段的關鍵變化。</p> <p>中國人民銀行是在2014年成立專責團隊來研究數位貨幣，在2016年確定由央行（中國人民銀行）發行及商業銀行參與的營運模式，在2019年與2020年開始於深圳及蘇州等地展開數位人民幣的封閉測試，之後迄今即在中國各地擴大測試並展開跨境測試。</p> <p>此外，中國央行也在2022年推出數位人民幣錢包App，用戶可透過手機號碼與App中建立數位人民幣錢包，包括匿名制與實名制錢包，後者可直接連接銀行進行充值與提現，之後即可用來支付、收款及轉帳。迄今已有2.3億人註冊數位人民幣錢包，有超過1,800萬個組織或商家註冊數位人民幣錢包App，累積交易筆數為34.8億筆，交易金額為16.7兆元人民幣。</p> <p>中國雖然已將數位人民幣定位為法定貨幣，但尚未進入全面制度化運作，新制度的落地是否會因此加速推廣，仍得觀察銀行體系與實際應用場景的配合情況而定。</p> </div></div></div>
2025/12/30 14:22作者陳曉莉https://www.ithome.com.tw/news/173095
供應鏈攻擊瞄準Java生態，套件儲存庫Maven Central出現仿冒Jackson惡意套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Aikido Security研究人員在Java生態常用的公開套件儲存庫Maven Central，<a href="https://www.aikido.dev/blog/maven-central-jackson-typosquatting-malware">發現一個仿冒Jackson的惡意套件</a>，其唯一識別字串為org.fasterxml.jackson.core:jackson-databind，字串刻意貼近開發者熟悉的Jackson相依套件，藉此誘騙下載惡意元件。研究人員已將相關網域通報給GoDaddy並向Maven Central回報，該套件也約在1.5小時內下架。</p> <p>正牌Jackson常見發布命名空間為com.fasterxml.jackson.core，攻擊者則改用僅一字之差的org.fasterxml.jackson.core，利用com與org前綴互換混淆視聽。研究團隊也觀察到攻擊基礎設施採用相同手法，以fasterxml.org對照正牌fasterxml.com，降低開發者在倉促檢視時察覺異常的機率。 </p> <p>冒牌Jackson為具多階段投放特徵的下載器，其程式碼經混淆處理，並包含用來干擾自動化分析的設計。當專案採用Java應用程式開發框架Spring Boot時，惡意套件會偽裝成框架常見的自動設定元件，利用啟動時的掃描與載入流程，在應用程式啟動後自動觸發執行，開發者不需要在程式碼中主動呼叫即可被帶入執行路徑。 </p> <p>一旦觸發後，惡意程式會連線至攻擊者控制的C2端點下載設定，再依作業系統下載對應的可執行檔並在本機執行，並建立特定檔案作為標記，降低重複執行時被察覺的機會。研究人員在分析中強調，攻擊者刻意提供跨平臺投放能力，並以多層混淆與加密字串增加逆向成本。 </p> <p>研究人員將其取得Linux與macOS的樣本後提交至VirusTotal，多數偵測引擎將其辨識為Cobalt Strike的Beacon程式。Cobalt Strike原本是商用滲透測試工具，常被攻擊者挪作遠端控制與後續滲透的工具，研究人員提醒，這類惡意載荷如果被辨識為Cobalt Strike Beacon，往往意味著攻擊者具備遠端控制與後續滲透的能力，攻擊目的也可能不只停留在一次性行為。</p> </div></div></div>
2025/12/30 14:29作者李建興https://www.ithome.com.tw/news/173092
Meta買下AI代理人開發商Manus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.facebook.com/business/news/manus-joins-meta-accelerating-ai-innovation-for-businesses" target="_blank">Meta周一（12/29）宣布</a>，已買下AI代理人開發商Manus，以加速企業的人工智慧創新，雙方並未揭露交易金額，但外傳這起交易價值數十億美元。</p> <p>Manus現身於<a href="https://www.ithome.com.tw/news/167762" target="_blank">今年3月</a>，當時是由該公司科學長季逸超所發表，定位為全球首個通用AI代理，可直接結合概念與執行並交付成果。<a href="https://manus.im/zh-tw/blog/manus-joins-meta-for-next-era-of-innovation" target="_blank">Manus表示</a>，其AI代理人可協助用戶高效完成研究、自動化與複雜任務，迄今Manus已處理逾147兆個Token，建立了超過8,000萬臺的虛擬計算機。</p> <p>在併入Meta之後，Manus將繼續透過App及網站替用戶提供產品及訂閱服務，而且公司將繼續於新加坡經營。</p> <p>根據中國媒體<a href="https://www.latepost.com/news/dj_detail?id=3344" target="_blank">LatePost的報導</a>，Manus的母公司其實是肖弘在2022年所創辦的蝴蝶效應（Butterfly Effect Technology），該公司的首款產品為<a href="https://monica.im/" target="_blank">Monica AI</a>瀏覽器聊天機器人擴充程式，第二個產品才是Manus。</p> <p>LatePost還說，Meta買下的是蝴蝶效應，且蝴蝶效應正以20億美元的估值進行新一輪的融資，因此該收購案應價值數十億美元。未來蝴蝶效應將維持獨立運作，但肖弘將出任Meta副總裁。</p> </div></div></div>
2025/12/30 13:36作者陳曉莉https://www.ithome.com.tw/news/173091
軟銀以40億美元收購數位基礎設施資產管理公司DigitalBridge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本軟體銀行（SoftBank Group，軟銀集團）周一（12/29）<a href="https://group.softbank/en/news/press/20251229" target="_blank">宣布</a>，已簽署正式協議，將以每股16美元、總價約40億美元收購數位基礎設施資產管理公司DigitalBridge，以實現人工超級智慧（Artificial Super Intelligence，ASI），推動人類福祉。雙方預計於2026年下半年完成交易。</p> <p>DigitalBridge於2007年在美國創立，為一專注於數位基礎設施的全球資產管理公司，替投資人管理及經營資料中心、行動通訊基地臺、光纖網路、小型基地臺，以及邊緣運算基礎設施，定位為支撐雲端運算、行動通訊，以及AI應用的底層關鍵資產平臺。</p> <p>DigitalBridge的營收核心為資產管理費用，<a href="https://ir.digitalbridge.com/static-files/5e500891-a729-4eaf-8c14-c789699437f7" target="_blank">今年第三季的營收</a>為9,350萬美元，全來自資產管理，比去年同期成長22%。收購消息一出，DigitalBridge當天股價即上漲了9.63%，以15.26美元作收。</p> <p>軟銀董事長暨執行長孫正義表示，隨著AI重塑全球各行各業，人們需要更多的運算能力、連線能力、電力，以及可擴展的基礎設施。DigitalBridge是數位基礎設施領域的領導者，這項收購將強化次世代AI資料中心的基礎，推進軟銀成為領先ASI平臺供應者的願景。</p> <p>DigitalBridge執行長Marc Ganzi則說，AI基礎設施是這一代最重要的投資，軟銀與DigitalBridge都是屬於長期投資人，致力於擴展具轉型性的數位基礎設施。</p> <p>自從2022年底的ChatGPT吹響了AI號角之後，軟銀即開始系統性部署AI版圖，包括2024年加碼投資OpenAI，於2025年與OpenAI及甲骨文共同啟動Stargate計畫，並進一步收購DigitalBridge。未來 DigitalBridge將提升軟銀集團在全球發掘、融資、營運與擴展數位基礎設施投資機會的能力，協助確保大規模AI所需的關鍵產能。</p> </div></div></div>
2025/12/30 13:52作者陳曉莉https://www.ithome.com.tw/news/173093
3,370萬用戶資料外洩酷澎將賠償11.7億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對12月初的3,370萬用戶資料外洩事件，韓國最大電商平臺<a href="https://www.aboutcoupang.com/English/news/news-details/2025/update-on-coupang-korea-cybersecurity-incident/" target="_blank">酷澎（Coupang）本周一宣布</a>，將對受影響的用戶以購物券形式賠償，總價達1.685兆韓圓（約11.7億美元，368億臺幣）。酷澎並報告本案調查進度。</p> <p>這筆費用預計從2026年1月15日起發放，適用受影響的3,370萬用戶。適用者涵括11月30日以前接到通知的用戶包括WOW及非WOW會員，也包含曾取消會員籍但收到通知的前用戶。經過平分，平均每人可獲得5萬韓圓（1,092臺幣）。酷澎也會陸續以簡訊通知相關的用戶。</p> <p>這筆費用將全部以4種購物券／折價券形式發放，包括酷澎電商平臺5,000韓圓、酷澎美食外送（Coupang Eats）5,000韓圓、酷澎旅遊（Coupang Travel）2萬韓圓、酷澎高階美妝（Coupang R.LUX）2萬韓圓。</p> <p>酷澎臨時執行長Harold Rogers再次致歉，並表示，該公司將把此事件視為轉捩點，Coupang本著「以客為中心」原則，貫徹責任，轉型為顧客值得信賴的公司。</p> <p>此事發生在11月底，酷澎連同韓國執法機構及資安公司調查，並揭露資料外洩案，估計受影響人數為3,370萬人。<a href="https://www.ithome.com.tw/news/172807" target="_blank">此事造成</a>酷澎執行長朴大俊（Park Dae-jun）請辭，由行政長和法務長Harold Rogers為臨時執行長。首爾警方亦搜索酷澎總公司。在兩天之內，警方分別搜索酷澎園區及總部辦公室，以蒐集與資料外洩案相關的證據，並了解客戶資訊系統是否有漏洞。</p> <p>根據韓國媒體報導，警方的搜索狀指向一名中國籍前員工涉嫌從6月間就已違法存取酷澎通訊網路及資訊系統。</p> <p>酷澎上周說明，已在執法機關建議下，於本月中與洩密者會面並繳回證物。該公司在附近河中尋回洩密者丟棄的MacBook Air筆記型電腦，使用鑑識團隊回復資料，連同硬碟和桌機，以及嫌犯三份自白書和指紋證件都交給韓國當局。</p> </div></div></div>
2025/12/30 14:06作者林妍溱https://www.ithome.com.tw/news/173094
密碼管理公司LastPass資料外洩影響延燒迄今，俄羅斯駭客疑竊取2,800萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2022年密碼管理工具開發商LastPass爆發資料外洩事件，<a href="https://www.trmlabs.com/resources/blog/trm-traces-stolen-crypto-from-2022-lastpass-breach-on-chain-indicators-suggest-russian-cybercriminal-involvement" target="_blank">資安業者指出</a>，事件負面影響持續延燒到2025年，仍然對用戶造成近3,000萬美元金錢損失，而俄羅斯駭客可能是背後元兇。</p> <p>2022年一群駭客駭入LastPass內部系統造成將近3,000萬用戶管理庫（vault）的敏感憑證，包括加密金鑰和確保加密貨幣錢包的種子密語（seed phrases）備份曝露。而這些資產外洩遺害到今天。</p> <p>資安廠商TRM Labs指出，這些憑證雖然經過加密，一開始攻擊者沒有用戶的主密碼可能無法讀取，但他們可以整批下載，任何使用弱主密碼的管理庫最後都會被離線破解，使得單一入侵事件演變成多年破口，讓攻擊者慢慢破解密碼、存取加密貨幣錢包悄悄提款。</p> <p>TRM研究人員分析2024和2025年的電子錢包的外洩金流，發現是俄羅斯駭客操作的網路犯罪。他們發現有人透過混幣器（mixer）存取受害者加密貨幣錢包進行混幣和洗錢行為，這階段運作和俄羅斯基礎架構有多次互動，而加密貨幣出金（off-ramps）也是使用高風險的俄羅斯交易平臺，因此判斷近兩年竊取財務活動和俄國駭客的關聯性。研究人員估計近兩年2024年底到2025年初LastPass用戶被竊走的加密貨幣被轉成比特幣，再經由Wasabi Wallet洗錢，總資產超過2,800萬美元。</p> <p>LastPass資安防護不周已引發用戶<a href="https://www.ithome.com.tw/news/155011" target="_blank">集體控告</a>。英國隱私主管機關英國資訊委員會辦公室（Information Commissioner's Office，ICO）則基於160萬英國用戶個資外洩，在2025年12月初<a href="https://www.ithome.com.tw/news/172867" target="_blank">判罰</a>LastPass 120萬英鎊。</p> </div></div></div>
2025/12/30 13:08作者林妍溱https://www.ithome.com.tw/news/173089
日本使用AI物聯網攝影機建立熊蹤通報系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2025年熊害造成日本人員牲畜死傷與農作損失，近日正在熊出沒嚴重地區部署AI攝影機以加強辨識。</p> <p>這套系統名為「熊隻AI自動偵測暨通報系統」（英文名為AI-Based Automatic Detection and Notification System for Harmful Animals），簡稱Bear Alert，是由<a href="https://www.rikuden.co.jp/kenkyu/attach/joho15.pdf" target="_blank">北陸電力內部研究所開發</a>。</p> <p>日本並非今年才有熊害。2020年日本亞洲黑熊出沒件數約2萬件，並傳出傷人事件，因此廠商在2021年已完成這套系統開發及測試。</p> <p>這套系統結合連網攝影機、邊緣AI及行動網路。架設在熊出沒頻繁山區林間的連網攝影機蒐集周遭動物影像，將影像傳送回位於各地站點的小型電腦，由AI判讀是否為熊，或是野豬、猴子、鹿等其他動物。一旦判讀為熊，系統會將照片透過電子郵件發送到當地市政府等相關單位，以便即時採取行動。根據廠商宣稱，系統使用的AI模型判讀精度達99%，因此可協助提早30分鐘發送居民避難警告。</p> <p>日本<a href="https://english.kyodonews.net/articles/-/67340" target="_blank">京都新聞報導</a>，目前這套系統已安裝到日本北陸地區包括群馬縣、富山縣和石川縣等熊出沒高風險地區。</p> <p>另一方面，日本也有<a href="https://www.scmp.com/news/asia/east-asia/article/3337153/japanese-drone-school-develops-ai-system-track-bears-amid-rise-encounters" target="_blank">無人機學校</a>或行動電信業者<a href="https://www.japantimes.co.jp/news/2025/12/01/japan/japan-drone-use-for-bear-measures/" target="_blank">NTT Docomo</a>開發無人機AI偵測系統，部署在秋田縣、福島縣等地偵查熊蹤。</p> <p> </p> </div></div></div>
2025/12/30 13:13作者林妍溱https://www.ithome.com.tw/news/173090
攻擊行動Operation PCPcat鎖定Next.js應用程式而來，近6萬臺伺服器被入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>12月初React開發工程團隊揭露及修補滿分資安漏洞CVE-2025-55182（React2Shell），此為發生在React Server Components（RSC）元件的漏洞，在公布數小時後就傳出遭到利用，近期有資安公司發現新一波大規模攻擊，並指出駭客成功的機率相當高。</p> <p>AI密罐陷阱平臺Beelzebub揭露<strong><a href="https://beelzebub.ai/blog/threat-huntinga-analysis-of-a-nextjs-exploit-campaign/">名為Operation PCPcat的攻擊活動</a></strong>，駭客針對Next.js應用程式下手，試圖透過React2Shell入侵，並進行大規模憑證收集，經確認兩天內已針對91,505臺進行探測，有59,128臺伺服器受害，漏洞利用活動的成功比例高達64.6%。以每臺伺服器被偷走5至10個憑證來估算，恐有30萬至59萬組憑證外洩。</p> <p>針對這波攻擊活動，駭客從大規模掃描可從網際網路存取的Next.js應用程式網域名稱開始，並透過複雜的命令工具react.py，識別應用程式伺服器是否存在React2Shell並觸發，然後藉由原型汙染（prototype pollution）手法操作JSON有效酬載，執行命令注入，將結果得到的資料，將獲取的資料透過HTTP標頭重新導向手法外傳。駭客搜刮的資料包含系統環境變數、SSH金鑰、雲端憑證、Git儲存庫憑證、重要系統檔案，以及最近下達的100個指令等。</p> <p>最終駭客部署完整的C2通訊基礎設施，其中包括：SOCKS5代理伺服器工具GOST、反向隧道Fast Reverse Proxy（FRP），以及React主機掃描工具。此外，駭客也透過建立systemd服務、運作異常時自動延遲啟動，以及重開機後有效酬載仍會留存等機制，企圖維持在受害伺服器活動。</p> </div></div></div>
2025/12/30 10:40作者周峻佑https://www.ithome.com.tw/news/173083
中國駭客組織Evasive Panda透過AiTM網釣與DNS中毒，對土耳其、中國、印度散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國駭客組織Daggerfly（別名Evasive Panda或StormBamboo）去年曾對臺灣發動攻擊，現在又傳出新一波活動，引起外界關注。</p> <p>資安公司卡巴斯基揭露這些駭客自2022年11月開始從事的高度針對性攻擊，<strong><a href="https://securelist.com/evasive-panda-apt/118576/">他們針對土耳其、中國，以及印度特定目標從事對手中間人攻擊（AiTM）</a></strong>，並採用一系列的複雜手法來進行，持續到2024年11月才結束。其中最引起該公司注意的地方，在於駭客將惡意軟體的加密元件另外存放於伺服器上，而相關元件的用途，就是解析特定網站的DNS請求。再者，這些駭客開發新的惡意程式載入工具，並採用混合加密手法，因此，所有植入受害系統的惡意程式檔案都不同。駭客打造專屬的注入工具，並以DLL側載手法，讓惡意程式MgBot注入合法處理程序，並在記憶體內執行。</p> <p>這些駭客擅長將作案工具偽裝成熱門應用程式的更新，來當作引誘使用者上當的誘餌，這波活動也不例外，其中一個是冒充視訊串流應用程式搜狐影音加速器（SohuVA）的更新程式，然後傳送惡意軟體。卡巴斯基認為，駭客疑似使用DNS中毒攻擊（DNS Poisoning）手法，竄改攻擊者控制的伺服器DNS回應。除了搜狐影音加速器，也有將惡意程式偽裝成愛奇藝、IObit Smart Defrag，以及騰訊QQ等中國熱門應用程式的情況。由此看來，這波活動很顯然主要針對中國使用者而來。</p> <p>針對惡意程式載入工具，卡巴斯基指出是採用Windows範本程式庫（Windows Template Library，WTL）與C++打造而成，程式碼與微軟WTL範例應用程式有極高度的相似性，因此他們推測，駭客疑似事先在正牌專案嵌入惡意程式碼，使得他們的作案工具能夠隱藏攻擊意圖。</p> <p>此載入工具採用以XOR演算法為基礎的機制解密MgBot，然後透過多階段Shell Code執行的手法，並透過PJW雜湊值演算法，而能在執行的過程當中，同時以隱密的方式解析Windows的API，以此從特定DAT檔案解密資料，或是從攻擊者的伺服器啟動下個階段的Shell Code部署工具。此時他們也確認受害電腦執行的Windows版本，以便下載對應的惡意程式。</p> <p>接著，駭客還會運用另一個惡意程式載入工具，並將其偽裝成合法的Windows程式庫，用於執行更隱密的惡意程式載入機制，它仰賴具有合法簽章的執行檔evteng.exe，並接收現有模組的完整路徑，寫入特定檔案。卡巴斯基推測，這很有可能是駭客正在打造的新版工具。</p> </div></div></div>
2025/12/30 11:58作者周峻佑https://www.ithome.com.tw/news/173085
Airoha藍牙音訊晶片曝三漏洞，可能讓攻擊者控制耳機並冒充連上手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究人員Dennis Heinze與Frieder Steinmetz<a href="https://insinuator.net/2025/12/bluetooth-headphone-jacking-full-disclosure-of-airoha-race-vulnerabilities/">公開</a>Airoha藍牙音訊系統單晶片相關研究的完整技術細節，指出多款採用Airoha SoC的藍牙耳機與真無線耳機，可能因三項漏洞被攻擊者在藍牙距離內濫用，不只可能影響耳機本身，還可能在特定條件下進一步冒充耳機與使用者手機建立受信任連線，衍生出竊聽與通話操控等風險。</p> <p>該研究重點在於CVE-2025-20700、CVE-2025-20701與CVE-2025-20702三項漏洞。前兩者與低功耗藍牙與經典藍牙在部分裝置上，未強制要求已配對裝置才能連線或存取服務有關，使攻擊者在附近即可嘗試連接並互動。</p> <p>CVE-2025-20702進一步指向自訂RACE協定的高風險能力，研究團隊指出該協定原本用於工廠測試或除錯，卻可能透過藍牙通道被外界存取，並提供讀寫RAM與快閃記憶體等能力，讓攻擊面從一般音訊控制，擴大到資料擷取與持久性改寫。</p> <p>最直接的可見風險是耳機在未預期狀態下被第三方連線，當攻擊者能以經典藍牙建立免持通話相關連線，就可能啟用耳機麥克風進行收音，不過由於在實務上可能伴隨音樂中斷或連線被搶占，使用者有機會察覺異常。相較之下，低功耗藍牙常見於裝置對外廣播與背景連線，連線建立對使用者更不容易被感知，較容易成為切入點。</p> <p>另一種更受關注的串連路徑，是攻擊者先在藍牙距離內連上耳機，再利用RACE協定從耳機快閃記憶體等儲存內容取得配對相關資訊，當中可能包含手機與耳機用來互相辨識的藍牙連結金鑰。研究團隊指出，攻擊者如果能同時取得該金鑰，並偽裝成同一副耳機的藍牙位址，就可能在不再接觸耳機的情況下冒充耳機連回手機，以受信任周邊裝置身分觸發免持通話指令或存取部分資訊。</p> <p>Airoha已提供軟體開發套件更新給其客戶作為緩解措施，但最終修補狀況，仍取決於各耳機品牌是否透過韌體更新推送到使用者端，以及各家是否公開說明修補狀態。</p> <p>研究團隊建議一般使用者優先確認耳機韌體是否已更新到最新版本。當手機保留大量不再使用的藍牙配對紀錄，也可主動清理以縮小可能外洩的受信任連線範圍。研究團隊另提醒，使用者身分屬於高風險族群，或工作情境對近距離監聽特別敏感，可在重要場合改用有線耳機。</p> </div></div></div>
2025/12/30 08:49作者李建興https://www.ithome.com.tw/news/173080
三星手機Bixby助理可能將整合Perplexity AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>三星近年已經用Gemini取代自己的手機助理Bixby，不過最近釋出的軟體測試版顯示，三星可能引進Perplexity AI來強化Bixby。</p> <p>12月初三星釋出手機軟體<a href="https://news.samsung.com/tw/%E4%B8%89%E6%98%9Fone-ui-8-5-beta%E5%B0%87%E6%98%93%E7%94%A8%E6%80%A7%E6%8F%90%E5%8D%87%E8%87%B3%E5%B6%84%E6%96%B0%E5%A2%83%E7%95%8C" target="_blank">One UI 8.5 Beta</a>。當中包含升級版AI功能「相片智慧助理」，能為使用者生成新相片或圖片。至於回覆使用者問題的AI助理三星並未著墨。這是因為Bixby使用率並不高。事實上三星2025年初的<a href="https://tech.yahoo.com/phones/articles/samsung-replaced-bixby-gemini-no-113221606.html" target="_blank">One UI 7</a>已經用Google Gemini取代Bixby。</p> <p>但是一名使用者在<a href="https://x.com/achultra/status/2004884916161704262" target="_blank">UI 8 Beta</a>中發現到，Bixby悄悄改進了，現在它在回覆複雜問題時會查詢Perplexity，由其提供自然語言回應，以及更完整的答案。<a href="https://samsung.gadgethacks.com/news/samsung-bixby-gets-perplexity-ai-boost-in-one-ui-85/" target="_blank">例如</a>用戶詢問天氣時，它不僅提供氣溫，還能建議穿著。</p> <p><a href="https://www.androidauthority.com/samsung-bixby-renew-perplexity-ai-3628037/" target="_blank">媒體認為</a>這顯示三星可能希望借引進第三方AI之力重振Bixby旗鼓，一如蘋果在macOS及iOS平臺引入OpenAI ChatGPT實作Apple Intelligence。兩者合作，由Bixby控制硬體及系統運作，而Perplexity則負責對話經驗及資訊蒐集與研究。<a href="https://dataconomy.com/2025/12/29/samsung-bixby-gains-perplexity-ai-search-powers-in-new-update/" target="_blank">媒體推測</a>，最早整合Perplexity的三星手機可能會是下一代旗艦機Galaxy 26系列。</p> <p>在Galaxy手機之前，三星的其他產品包括<a href="https://www.sammobile.com/news/you-can-now-talk-to-ai-powered-bixby-on-your-2025-samsung-tv/" target="_blank">智慧電視</a>已經整合了Perplexity AI。Perplexity本周<a href="https://www.perplexity.ai/page/lg-and-samsung-preview-competi-n1z_sQwzRcanHTronDIZ.w" target="_blank">宣布</a>將進駐三星和LG智慧家電，並在2026年消費電子大展（CES）亮相。</p> <p>但三星應該並未放棄Google Gemini而全押注Perplexity。三星<a href="https://tech.yahoo.com/ai/gemini/articles/samsung-putting-gemini-fridge-itll-100900323.html" target="_blank">宣布</a>預定在明年CES上展出首個整合Google Gemini的智慧冰箱。</p> </div></div></div>
2025/12/30 09:00作者林妍溱https://www.ithome.com.tw/news/173081
【資安日報】12月29日，MongoBleed傳出被用於實際攻擊，遊戲伺服器遭到入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173071"><strong style="font-size: 22px;">8.7萬臺MongoDB主機曝露MongoBleed，傳出已有實際漏洞利用活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G9DitlgXEAI-h2z.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G9DitlgXEAI-h2z.png" style="width: 300px; float: right;" /></a></p> <p>12月19日MongoDB開發工程團隊發布8.2.3、8.0.17、7.0.28、6.0.27、5.0.32，以及4.4.30版重大更新，修補高風險漏洞CVE-2025-14847（MongoBleed），問題在於MongoDB伺服器的zlib實作，有機會造成未初始化的記憶體堆疊問題，4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5分，如今有資安公司與研究人員公布更多細節，並警告已有實際攻擊活動。</p> <p>針對這項漏洞會帶來的影響，軟體供應鏈安全公司OX Security最早公布細節，指出未經身分驗證的攻擊者可從MongoDB伺服器的記憶體洩露敏感資料，過程中完全不需要登入。他們可藉由發送惡意網路封包，觸發zlib元件的缺陷，從而截取部分私有資料片段，其中包括使用者資訊、密碼，以及API金鑰。</p> <p>Elastic資安團隊研究員Joe Desimone公布概念驗證（PoC）程式碼，並指出CVE-2025-14847發生的原因，就是在zlib解壓縮訊息的過程，導致攻擊者能從MongoDB洩露資料，由於與2014年爆發的OpenSSL嚴重漏洞Heartbleed（CVE-2014-0160）類似，他將CVE-2025-14847稱作MongoBleed。</p> <p><a href="https://www.ithome.com.tw/news/173076"><strong style="font-size: 22px;">電玩遊戲虹彩六號傳出被滲透，駭客大撒幣與隨機封帳，疑利用資安漏洞MongoBleed得逞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G9LXfNPXQAE82on.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G9LXfNPXQAE82on.jpg" style="width: 300px; float: right;" /></a></p> <p>一週前MongoDB開發工程團隊推出重大更新，修補資訊洩露漏洞CVE-2025-14847（MongoBleed），許多資安公司與研究人員紛紛提出警告，以及公布細節，並指出有人利用概念驗證（PoC）程式碼，嘗試觸發漏洞的跡象。然而，在這段期間，有遊戲公司的伺服器傳出可能因此遭駭的消息，成為第一個公開遭到此漏洞攻擊的受害者，這種罕見的情況，成為外界關注的焦點。</p> <p>根據資安新聞網站Bleeping Computer與Cyber Security News、多家科技新聞網站與遊戲新聞網站的報導，Ubisoft公司旗下的電玩大作《虹彩六號：圍攻行動（Tom Clancy's Rainbow Six Siege）》，傳出遊戲伺服器遭到駭客入侵並接管的情況，不少玩家發現自己的帳號被存入大量的遊戲代幣，並解鎖原本需付費的特殊造型，駭客也濫用遊戲的管理系統封鎖許多帳號，其中包含許多玩家及Ubisoft官方帳號。有資安研究團隊認為，攻擊者就是利用MongoBleed而得逞。</p> <p>對此，資安研究團隊VX-Underground透露，總共有4組人馬表明他們對虹彩六號的系統下手，其中的第一組人馬，是利用該遊戲的漏洞，封鎖玩家並竄改道具內容，這些駭客向玩家送出的遊戲代幣，價值達到339兆9,600億美元，不過，他們並未存取用戶的資料。</p> <p><a href="https://www.ithome.com.tw/news/173067"><strong style="font-size: 22px;">勒索軟體Everest駭客宣稱入侵美國汽車大廠克萊斯勒，從Salesforce等內部系統竊得1 TB資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/everest-ransomware-group-chrysler-data-breach-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/everest-ransomware-group-chrysler-data-breach-1.png" style="width: 300px; float: right;" /></a></p> <p>操作勒索軟體Everest的駭客組織在聖誕節當天，於暗網網站宣告成功入侵美國汽車大廠克萊斯勒（Chrysler）內部系統，竊走超過1 TB資料。</p> <p>根據媒體發現的公告，遭駭客存取的資料庫內含1088 GB資料，當中包含超過105 GB的Salesforce資料夾。資料庫內為2021年到2025年聖誕節的資料，像是個人資料，如姓名、電話號碼、地址和電子郵件位址、客服人員工作記錄如召回事件筆記、聯繫紀錄（如語音留言、失聯、電話號碼有誤）、以及汽車狀態（如已銷售、維修、找不到車主）、開會預約等。駭客還公布數張Salesforce資料螢幕擷圖作為證明，顯示內部FTP檔案路徑、內部工具、經銷商名冊、召回方案等，以及包含員工姓名、工作狀態的人力資源（HR）資料。</p> <p>目前無法確定犯案時間，以及影響克萊斯勒哪個部門或地區的內部資料，或是本案和早前另一件母公司Salesforce資料外洩是否有關。克萊斯勒母公司跨國汽車業巨擘Stellantis集團九月也曾公告遭駭，外洩北美客戶資料。ShinyHunters向Bleeping Computer表示，宣稱從Stellantis的Salesforce竊走超過1,800萬筆紀錄，包含姓名、聯絡資訊等。</p> <p><a href="https://www.ithome.com.tw/news/173072"><strong style="font-size: 22px;">駭客聲稱竊得Wired資料庫，洩露230萬筆記錄</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，有人聲稱成功駭入媒體集團康泰納仕（Condé Nast），並且公開旗下雜誌Wired包含230萬筆訂戶記錄的資料庫，還預告會再公布更多用戶資料。</p> <p>使用代號Lovely的人士在聖誕節在駭客論壇上張貼公告，邀請眾人下載Wired的資料庫。他聲稱這個媒體集團不在乎用戶資料安全，害駭客花了一個月說服其修補網站漏洞。</p> <p>根據Have I Been Pwned分析，外洩的Wired資料期間為1996年4月到2025年9月，外洩資料型態包括訂閱戶ID、電子郵件地址、顯示的名稱，少部份用戶還被洩露姓名、電話、出生日期、地點或完整地址、性別等。除了Wired的資料外，他們預告未來幾個星期還會再公布約4,000萬筆的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lovely-post.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lovely-post.jpg" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/173074"><strong style="font-size: 22px;">ColdFusion聖誕假期攻擊潮，兩個來源IP位址系統性掃描十多個已知漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/everest-ransomware-group-chrysler-data-breach-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/everest-ransomware-group-chrysler-data-breach-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者GreyNoise Labs公布研究指出，2025年聖誕節連假期間出現一波針對Adobe ColdFusion伺服器的協同掃描與濫用嘗試，流量高峰落在12月25日。研究人員統計ColdFusion相關請求共5,940次，目標涵蓋20個國家，顯示攻擊者傾向挑在假期維運與監控力道較弱的時段，加大對既有漏洞的掃描與嘗試利用。</p> <p>研究人員指出，這波活動的流量高度集中，約98%來自同一自治系統（Autonomous System）AS152194之下的兩個來源IP位址。兩個IP位址以1至5秒的節奏自動送出請求，且部分時間同時運作，呈現協同基礎設施的特徵。同時，攻擊者也會針對同一目標輪番切換多種攻擊手法，以提高命中率與覆蓋面。</p> <p>對於駭客利用的漏洞範圍，以2023年至2024年間ColdFusion的10多個已知CVE漏洞為主，並搭配通用型的遠端程式碼執行（RCE）與本地文件包含（Local File Inclusion，LFI）測試，同時也可見少量針對較舊漏洞的驗證請求。研究人員強調，攻擊並非只鎖定單一漏洞，而是以組合方式逐一試探多個入口，從存取控制繞過、任意檔案讀取到遠端程式碼執行都在掃描清單內。</p> <p><a href="https://www.ithome.com.tw/news/173049"><strong style="font-size: 22px;">WatchGuard警告Firebox程式碼RCE漏洞已遭到濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/yfjIyIHMwN.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/yfjIyIHMwN.png" style="width: 300px; float: right;" /></a></p> <p>資安業者WatchGuard警告用戶，Firebox防火牆存在能讓未經授權攻擊者遠端執行程式碼的重大漏洞CVE-2025-14733，而且已經遭到濫用。值得留意的是，目前還有九萬臺裝置未修補漏洞，包括臺灣約170臺。</p> <p>該公司在12月23日發出公告，已經觀察到兩起濫用漏洞攻擊Firebox裝置的活動。其中一起，攻擊者先遠端攻擊Firebox裝置，再把裝置的現行配置檔加密回傳給攻擊來源IP位址。第二起攻擊中，攻擊者將現行配置檔及本地管理使用者資料庫建立成gzip檔，再回傳給來源IP位址。</p> <p>根據網路安全監控非營利組織Shadowserver基金會的數據顯示，截至12月24日，全球網路上曝險的Firebox裝置還有9.1萬臺。而以國家來看，美國3萬臺最多，其次為義大利、德國及英國，各有7000餘臺；臺灣迄今仍有171臺曝險。</p> <p><a href="https://www.ithome.com.tw/news/173000"><strong style="font-size: 22px;">鳳凰城大學公布Oracle EBS遭駭事件調查結果．350萬人資料恐外流</strong></a></p> <p>美國鳳凰城大學（University of Phoenix，UoPX）報告，三個月前駭客駭入Oracle E-Business Suite（EBS），竊走350萬人個資。</p> <p>12月初鳯凰城大學公告，在美商甲骨文公司公告EBS零時差漏洞後，該校自我檢查後證實發生EBS資料外洩事件。未經授權人士存取了EBS儲存的現任及前任師生、職員，以及供應商個資，包含聯絡資訊、出生日期、社會安全碼，以及銀行帳號和匯款編號。但當時不清楚有多少人受影響。</p> <p>根據該校向緬因州檢察長辦公室呈交的報告，事件發生於8月13日。總影響人數達3,489,274名。</p> <p><a href="https://www.ithome.com.tw/news/173052"><strong style="font-size: 22px;">LLM調度框架LangChain核心元件序列化注入漏洞，可能導致環境變數機密外洩</strong></a></p> <p>知名大型語言模型調度開源框架LangChain團隊發布安全通報，揭露核心套件langchain-core存在序列化注入漏洞CVE-2025-68664，該漏洞CVSS 3.1基礎分數為9.3，屬重大等級。受影響版本為langchain-core小於0.3.81，或介於1.0.0以上且低於1.2.5。官方已釋出修補版本0.3.81與1.2.5，並同步收緊load()與loads()的預設行為，以降低誤用風險。</p> <p>漏洞出在langchain-core本身的dumps與dumpd序列化功能。LangChain有一套內部資料格式，會用lc這個保留欄位來標記這段資料可以在之後被還原成LangChain物件。官方指出，問題在於dumps()與dumpd()在序列化一般字典資料時，沒有妥善處理剛好含有lc欄位的外部可控內容。結果是這些資料在後續經由load()或loads()還原時，可能被當成真正的LangChain物件來建立，進而引發安全風險。</p> <p>LangChain在JavaScript版本也發布了相似機制的漏洞安全通報CVE-2025-68665，指出toJSON未跳脫含lc鍵的使用者可控物件，可能在後續load()時造成環境變數機密外洩與不安全實例化，並將secretsFromEnv明確改為預設false，以降低環境變數機密外洩與不安全實例化風險。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/prefix-swap-panic-sophisticated-jackson-imposter-infiltrates-maven-central/">惡意Maven套件偽裝成知名JSON程式庫Jackson，鎖定Java開發者發動攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-compromise-trust-wallet-chrome-extension/">Chrome延伸套件Trust Wallet傳出遭到滲透，用戶數百萬美元資產遭到洗劫</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/186191/digital-id/stolen-lastpass-backups-enable-crypto-theft-through-2025.html">針對密碼管理公司LastPass資料外洩事故，有資安公司指出俄羅斯駭客涉嫌重大</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/eurostar-blackmail-research-report-ai-chatbot-flaw/">歐洲高速鐵路公司Eurostar的AI聊天機器人存在缺陷，可透過HTML注入或即時注入觸發</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他執法行動</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/operation-sentinel-african-cybercrime-syndicates">19國執法單位圍剿非洲網路犯罪集團，逮捕逾570人、追回300萬美元</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173061"><strong>【12月26日】MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173025"><strong>【12月24日】南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172989"><strong>【12月23日】中國駭客Ref7707將攻擊範圍延伸至歐洲</strong></a></p> </div></div></div>
2025/12/29 16:43作者周峻佑https://www.ithome.com.tw/news/173078
電玩遊戲虹彩六號傳出被滲透，駭客大撒幣與隨機封帳，疑利用資安漏洞MongoBleed得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一週前MongoDB開發工程團隊推出重大更新，修補資訊洩露漏洞CVE-2025-14847（MongoBleed），<strong><a href="https://www.ithome.com.tw/news/173071">許多資安公司與研究人員紛紛提出警告</a></strong>，以及公布細節，並指出有人利用概念驗證（PoC）程式碼，嘗試觸發漏洞的跡象。然而，在這段期間，有遊戲公司的伺服器傳出可能因此遭駭的消息，成為第一個公開遭到此漏洞攻擊的受害者，這種罕見的情況，成為外界關注的焦點。</p> <p>根據資安新聞網站<strong><a href="https://www.bleepingcomputer.com/news/security/massive-rainbow-six-siege-breach-gives-players-billions-of-credits/">Bleeping Computer</a></strong>與<strong><a href="https://cybersecuritynews.com/ubisoft-rainbow-six-siege-servers-breached/">Cyber Security News</a></strong>、多家科技新聞網站與遊戲新聞網站的報導，Ubisoft公司旗下的電玩大作《虹彩六號：圍攻行動（Tom Clancy's Rainbow Six Siege）》，傳出遊戲伺服器遭到駭客入侵並接管的情況，不少玩家發現自己的帳號被存入大量的遊戲代幣，並解鎖原本需付費的特殊造型，駭客也濫用遊戲的管理系統封鎖許多帳號，其中包含許多玩家及Ubisoft官方帳號。有資安研究團隊認為，攻擊者就是利用MongoBleed而得逞。</p> <p>這起事故的曝光，起初是有玩家於12月27日晚間發現異常，<strong><a href="https://x.com/kinggeorge/status/2004902566434668686">並在社群網站X公開相關現象</a></strong>，其中有玩家公布<strong><a href="https://x.com/ViTo_DEE91/status/2004910559884628290">連續有人遭到封鎖的螢幕截圖</a></strong>。後續虹彩六號的官方帳號也<strong><a href="https://x.com/Rainbow6Game/status/2004917731829948808">證實發生事故</a></strong>，<strong><a href="https://x.com/rainbow6game/status/2004943312390926740">並關閉遊戲與市集因應</a></strong>。但除此之外，Ubisoft並未進一步說明事故發生的原因，也沒有透露受到影響的玩家人數。</p> <p>對此，資安研究團隊VX-Underground透露，<strong><a href="https://x.com/vxunderground/status/2005008887234048091">總共有4組人馬表明他們對虹彩六號的系統下手</a></strong>，其中的第一組人馬，是利用該遊戲的漏洞，封鎖玩家並竄改道具內容，這些駭客向玩家送出的遊戲代幣，價值達到339兆9,600億美元，不過，他們並未存取用戶的資料。</p> <p>第二組人馬利用MongoBleed攻擊了Ubisoft的MongoDB伺服器，得以在一定程度上存取該公司內部Git程式碼儲存庫，並竊得大量內部原始碼，號稱這些資料涵蓋90年代至今，包括軟體開發工具套件，以及多人遊戲服務資料等。</p> <p>第三組人馬聲稱也使用了MongoBleed對Ubisoft下手，竊得使用者資料並向Ubisoft勒索，VX-Underground提及該組織於Telegram頻繁活動。</p> <p>第四組人馬並未透露他們如何攻擊Ubisoft，但他們指控第二組駭客其實早就能存取該公司的原始碼，現在打算嫁禍給第一組人馬，趁著上述遊戲伺服器被入侵的時間點，冒用第一組駭客的名義洩露相關資料，而非近期才利用MongoBleed得逞。第四組駭客表示，他們與第一組駭客，都對於第二組駭客的作為感到相當憤怒。</p> <p>由於多個駭客組織各說各話，還有駭客指控其他攻擊者說謊的情況，使得眾人至今仍搞不清楚這起事故的具體樣貌，對於第二組駭客是否說實話，以及第三組人馬的身分，VX-Underground表示，有待進一步釐清。</p> </div></div></div>
2025/12/29 16:20作者周峻佑https://www.ithome.com.tw/news/173076
文字編輯器EmEditor官網安裝檔遭動手腳，第三方指以瀏覽器擴充套件建立持久化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>文字編輯器EmEditor開發商Emurasoft在<a href="https://www.emeditor.com/general/important-security-incident-notice-regarding-the-emeditor-installer-download-link/">公告</a>指出，官方網站首頁的下載導引疑遭第三方未授權改寫，導致使用者在特定時間區段透過官網下載的Windows安裝套件，可能不是由官方提供的版本，而是被置換的MSI檔。依Emurasoft說法，可能受影響期間為臺灣時間約為12月20日上午至12月23日清晨。官方強調這是保守估計，實際受影響的時間區段可能較短。 </p> <p>EmEditor首頁的下載按鈕平時會導向支援站臺的最新安裝程式連結，再由該連結進行重新導向，但在受影響期間，重新導向疑被改寫，改成從EmEditor官網的WordPress上傳目錄提供檔案，因此使用者可能下載到非原廠產製的安裝套件。 </p> <p>Emurasoft目前僅確認64位元安裝套件emed64_25.4.3.msi涉及此事件，官方指出，可疑檔案同樣使用emed64_25.4.3.msi檔名，但檔案大小略為不同，且數位簽章顯示為WALSHAM INVESTMENTS LIMITED。Emurasoft表示，要是簽章不是Emurasoft或雜湊值不符，即可能是遭竄改的檔案，建議不要執行並立即移除。</p> <p>官方指出可疑安裝套件在執行時，可能嘗試呼叫PowerShell下載並執行遠端內容，且該內容來源網域emeditorjp.com不屬於Emurasoft管理。即使遭置換的安裝套件，仍可能正常安裝出合法的EmEditor程式檔案，讓使用者更難從表面察覺異常。 </p> <p>針對已下載或可能已執行可疑檔案的情境，Emurasoft建議先以端點隔離方式降低外洩與橫向移動風險，並進行完整惡意程式掃描與環境檢視。官方也提醒需評估憑證外洩可能性，將該裝置上使用或儲存的帳號密碼進行更換，並啟用多因素驗證。</p> <p>此外，Emurasoft也列出多種不受影響的取得途徑，例如透過EmEditor內建更新機制自動更新，或直接從download.emeditor.info下載，以及透過winget安裝或更新等。如果僅下載但未執行可疑檔案，官方也視為不在受害範圍內。</p> <p>除官方公告之外，中國資安業者奇安信<a href="https://ti.qianxin.com/blog/articles/emeditor-supply-chain-incident-details-disclosed-en/">表示</a>，其團隊捕捉到此事件的後續載荷，指出惡意程式具資訊竊取行為，會蒐集系統資訊與瀏覽器資料，並可能竊取包含VPN設定、Windows登入憑證、瀏覽器Cookies等內容。奇安信也提到，攻擊者可能透過安裝名為Google Drive Caching的瀏覽器擴充套件作為持久化手法。</p> </div></div></div>
2025/12/29 16:56作者李建興https://www.ithome.com.tw/news/173077
ColdFusion聖誕假期攻擊潮，兩個來源IP系統性掃描10多個已知漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者GreyNoise Labs公布<a href="https://www.labs.greynoise.io/grimoire/2025-12-26-coldfusion/">研究指出</a>，2025年聖誕節連假期間出現一波針對Adobe ColdFusion伺服器的協同掃描與濫用嘗試，流量高峰落在12月25日。研究人員統計ColdFusion相關請求共5,940次，目標涵蓋20個國家，顯示攻擊者傾向挑在假期維運與監控力道較弱的時段，加大對既有漏洞的掃描與嘗試利用。</p> <p>研究人員指出，這波活動的流量高度集中，約98%來自同一自治系統（Autonomous System）AS152194之下的兩個來源IP。兩個IP以1至5秒的節奏自動送出請求，且部分時間同時運作，呈現協同基礎設施的特徵。同時，攻擊者也會針對同一目標輪番切換多種攻擊手法，以提高命中率與覆蓋面。</p> <p>攻擊者大量使用ProjectDiscovery的Interactsh平臺進行界外回呼（Out-of-band Callback）驗證，也就是透過外部回呼來確認探測是否奏效。就本次事件而言，研究人員點名JNDI與LDAP注入是主要向量，並搭配多個回呼網域追蹤每一次嘗試的結果。 </p> <p>受影響的漏洞範圍以2023年至2024年間ColdFusion的10多個已知CVE為主，並搭配通用型的遠端程式碼執行與本地文件包含（Local File Inclusion）測試，同時也可見少量針對較舊漏洞的驗證請求。研究人員強調，攻擊並非只鎖定單一漏洞，而是以組合方式逐一試探多個入口，從存取控制繞過、任意檔案讀取到遠端程式碼執行都在掃描清單內。</p> <p>而且這波ColdFusion活動其實只是更大規模掃描行動的一小部分，約占兩個主力IP整體掃描量的0.2%。同一批基礎設施累計送出逾250萬次請求，嘗試767個不同CVE，目標橫跨47種以上技術堆疊，並使用近1萬個Interactsh界外回呼網域。研究人員研判，這更像是一場有組織的漏洞偵察作業，可能與初始存取掮客（Initial Access Broker）的需求相符。</p> </div></div></div>
2025/12/29 14:46作者李建興https://www.ithome.com.tw/news/173074
中國準備規範擬人化AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國政府準備規範擬人化的AI服務，在上周六（12/28）<a href="https://www.cac.gov.cn/2025-12/27/c_1768571207311996.htm" target="_blank">發表了</a>《人工智慧擬人化互動服務管理暫行辦法》，此一草案主要規範的是提供模擬人類人格特性、思維模式與溝通風格，透過文字或其它形式與人類進行情感互動的產品或服務，要求供應商在偵測到用戶出現過度依賴或沉迷傾向時，必須即時提醒。</p> <p>此一草案出自中國國家互聯網信息辦公室，舉凡提供擬人化互動服務，註冊用戶達到100萬或是每月活躍用戶超過10萬的都會受到規範。儘管它並未舉例，但外界認為不管是聊天機器人，或者是陪伴型聊天AI，以及虛擬戀人都在受監管之列。</p> <p>該草案要求相關服務不得生成或傳播危害國家安全/利益、非法宗教活動、暴力及誹謗等內容；也不得提供嚴重影響用戶行為的虛假承諾及損害人際關係的服務；不得藉由美化或暗示自殘，或是透過語言暴力及情感操控等方式損害用戶身體健康；不得藉由演算法操控或設置情感陷阱，來誘導用戶作出不合理的決策。</p> <p>還說供應商的模型預訓練必須使用符合社會主義核心價值觀的資料集，強化資料集的透明度及可靠性，也應定期改善或升級資料集。此外，也要求供應商必須具備心理健康保護、情感邊界引導，以及依賴風險預警等安全能力，不能將取代社會交往、控制用戶心理，以及誘導沈迷依賴等特性作為服務的設計目標。</p> <p>該草案要求供應商必須具備用戶狀態識別能力，發現涉及威脅用戶生命及財產安全的高風險傾向時，及時輸出安撫及鼓勵尋求幫助等內容；建立緊急回應機制，在用戶明確提出自殺或自殘等極端情境時，由人工接管對話並聯絡用戶監護人。針對未成年人及老年人用戶要求填寫監護人與緊急聯絡人。</p> <p>當系統發現用戶出現過度依賴或沈迷狀況時，或者是在用戶初次使用及重新登錄時，都應該要以彈出式視窗提醒，所互動的對象為AI。一旦用戶連續使用該服務超過2小時，也應提供用戶暫時休息。</p> </div></div></div>
2025/12/29 13:19作者陳曉莉https://www.ithome.com.tw/news/173073
8.7萬臺MongoDB主機曝露MongoBleed，傳出已有實際漏洞利用活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>12月19日MongoDB開發工程團隊發布8.2.3、8.0.17、7.0.28、6.0.27、5.0.32，以及4.4.30版重大更新，<strong><a href="https://www.ithome.com.tw/news/173060">修補高風險漏洞CVE-2025-14847</a></strong>（MongoBleed），問題在於MongoDB伺服器的zlib實作，有機會造成未初始化的記憶體堆疊問題，4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5分，如今有資安公司與研究人員公布更多細節，並警告已有實際攻擊活動。</p> <p>針對這項漏洞會帶來的影響，<strong><a href="https://www.ox.security/blog/attackers-could-exploit-zlib-to-exfiltrate-data-cve-2025-14847/">軟體供應鏈安全公司OX Security最早公布細節，</a></strong>指出未經身分驗證的攻擊者可從MongoDB伺服器的記憶體洩露敏感資料，過程中完全不需要登入。他們可藉由發送惡意網路封包，觸發zlib元件的缺陷，從而截取部分私有資料片段，其中包括使用者資訊、密碼，以及API金鑰。</p> <p>根據MongoDB開發工程團隊推出的修補程式內容，OX Security指出問題出現在網路傳輸層，資料庫在解壓縮網路訊息的過程裡，可能被迫收集或處理極小的記憶體緩衝區。起因是原本用來回傳解壓縮資料大小的命令，實際上，傳送的內容卻是已分配的記憶體數量，使得攻擊者有機會透過zlib洩露資料。</p> <p>Elastic資安團隊研究員Joe Desimone<a href="https://github.com/joe-desimone/mongobleed"><strong>公布概念驗證（PoC）程式碼</strong></a>，<strong><a href="https://x.com/dez_/status/2004351287715156023">並指出</a></strong>CVE-2025-14847發生的原因，就是在zlib解壓縮訊息的過程，導致攻擊者能從MongoDB洩露資料，由於與2014年爆發的<strong><a href="https://www.ithome.com.tw/news/86526">OpenSSL嚴重漏洞Heartbleed（CVE-2014-0160）</a></strong>類似，他將CVE-2025-14847稱作MongoBleed。</p> <p>資安專家Kevin Beaumont也提出看法，<strong><a href="https://doublepulsar.com/merry-christmas-day-have-a-mongodb-security-incident-9537f54289eb">認為MongoBleed相當容易利用</a></strong>，攻擊者只要取得MongoDB實體（instance）的IP位址，就能夠使用上述的概念驗證程式碼，從資料庫挖掘明文密碼，或是AWS金鑰等機密資料。由於全球有21.4萬臺MongoDB主機，再加上已有概念驗證工具，因此接下來很快就可能出現大規模漏洞利用。</p> <p>威脅情報公司Censys提出警告，截至12月27日，<strong><a href="https://censys.com/advisory/cve-2025-14847">他們一共偵測到超過8.7萬臺MongoDB實體存在漏洞</a></strong>，其中美國有近2萬臺最多，中國約1.7萬臺居次，德國、印度，以及法國，分別有超過7,700、5,400，以及5,100臺。臺灣有多少MongoDB實體曝險，目前仍不得而知。</p> <p>值得留意的是，有資安公司已經察覺漏洞遭到利用的跡象。雲端資安公司Wiz指出，他們從12月26日Joe Desimone公布概念驗證之後不久，<strong><a href="https://www.wiz.io/blog/mongobleed-cve-2025-14847-exploited-in-the-wild-mongodb">發現有人實際利用漏洞的情況</a></strong>。由於此漏洞廣泛出現在雲端環境，42%的雲端環境存在MongoBleed，再加上攻擊者無須通過身分驗證，利用過程無須使用者互動，因此，曝露於網際網路的MongoDB伺服器很容易成為攻擊目標，此漏洞的影響規模相當廣泛。Wiz提及，同樣使用zlib的Ubuntu rsync套件，也會受到MongoBleed影響，但相關細節他們並不清楚。</p> </div></div></div>
2025/12/29 12:02作者周峻佑https://www.ithome.com.tw/news/173071
駭客聲稱竊得Wired資料庫，洩露230萬筆記錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.bleepingcomputer.com/news/security/hacker-claims-to-leak-wired-database-with-23-million-records/" target="_blank">Bleeping Computer報導</a>，一名駭客聲稱成功駭入媒體集團康泰納仕（Condé Nast），並且公開旗下雜誌Wired包含230萬筆訂戶記錄的資料庫，還預告會再公布更多用戶資料。</p> <p>一名代號Lovely的人士在聖誕節在駭客論壇上張貼公告，邀請眾人下載Wired的資料庫。他聲稱這個媒體集團不在乎用戶資料安全，害駭客花了一個月說服其修補網站漏洞。</p> <p>根據<a href="https://haveibeenpwned.com/Breach/WIRED" target="_blank">Have I Been Pwned</a>分析，外洩的Wired資料期間為1996年4月到2025年9月，外洩資料型態包括訂閱戶ID、電子郵件地址、顯示的名稱、少部份用戶還被洩露了姓名、電話、出生日期、地點或完整地址、性別等。除了Wired的資料外，他們預告未來幾個星期還會再公布約4000萬筆的資料。</p> <p>駭客並列出已從康泰納仕旗下其他竊得資料的刊物清單。其他刊物包括The New Yorker、Epicurious、SELF、Vogue、Allure、Vanity Fair、Glamour、Men's Journal、Architectural Digest、Golf Digest、Teen Vogue、Style.com及Condé Nast Traveler。</p> <p>根據<a href="https://databreaches.net/2025/12/25/conde-nast-gets-hacked-and-databreaches-gets-played-christmas-lump-of-coal-edition/" target="_blank">Databreaches</a>報導，去年11月接獲這名叫Lovely的駭客聯繫。他宣稱是名安全研究人員，要求Databreaches.com協助聯繫康泰納仕集團資安人員以協助通知網站漏洞。一開始這名Lovely表示只下載了部份資料，但後來卻說已下載集團共3300萬筆用戶資料，以及所有刊物的用戶帳號數量。</p> <p>報導指稱，這名駭客後來透過Databreaches.com連繫上康泰納仕集團，告知找到6個網站漏洞，並且以公開所有訂戶資料勒索贖金。其中一項漏洞可允許攻擊者讀取每個Conde Nast用戶帳號資料，並且變更帳號郵件及密碼。</p> <p>康泰納仕集團尚未證實此事。</p> </div></div></div>
2025/12/29 12:14作者林妍溱https://www.ithome.com.tw/news/173072
Ruby 4.0引入Ruby Box隔離機制與ZJIT即時編譯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>程式語言Ruby開發團隊按慣例在每年聖誕節發布更新，推出<a href="https://www.ruby-lang.org/en/news/2025/12/25/ruby-4-0-0-released/">Ruby 4.0.0</a>，這個主要版本把重點放在兩項新功能，包含實驗性的Ruby Box隔離機制，以及新一代即時編譯器ZJIT。除此之外，Ruby也持續推進Ractor的平行執行機制，並同步調整部分語言行為與標準函式庫配置。</p> <p>Ruby 4.0新增的Ruby Box其核心概念是隔離，官方描述該功能可用來分離各種定義的影響範圍，包含猴子修補程式（Monkey Patch）、全域變數與類別變數的變更、類別與模組定義，以及載入的原生或Ruby函式庫。Ruby Box目前屬於實驗功能，其像是提供一個基礎層API，讓開發者把原本容易互相汙染的修改關在各自的範圍內，以降低副作用擴散。</p> <p>官方也點出Ruby Box的預期用途，最直覺的是測試隔離。當測試為了模擬情境而大量調整行為時，隔離機制可以降低影響其他測試的機率。另一個被提及的方向是，同一個程序內並行跑多個網頁應用程式實例，用於藍綠部署，或在更新相依套件期間，先讓新舊版本並行一段時間，再以Ruby程式比對回應差異，協助團隊評估改版風險。官方同時提到，Ruby Box也可能成為未來更高層封裝機制的基礎，但目前尚未定案。</p> <p>Ruby 4.0引入ZJIT即時編譯器。ZJIT是下一代新編譯器，目標一方面提高效能上限，包含更大的編譯單元與SSA形式的中介表示，另一方面也希望以較傳統的方法式編譯器設計，吸引更多外部貢獻。</p> <p>不過，Ruby團隊對ZJIT的成熟度相對保守，官方指出，雖然ZJIT目前比直譯器更快，但仍不及YJIT，目前不建議直接用於正式環境，並預告Ruby 4.1會持續改進ZJIT。</p> <p>官方也持續強化Ractor機制，Ruby 4.0進一步加入新類別Ractor::Port，針對Ractor之間的訊息傳送與接收提供新的同步通訊介面，同時也提供更容易在Ractor間共享Proc物件的方式，例如Ractor.shareable_proc。效能面上，Ruby調整多個內部資料結構，以降低全域鎖(Global Lock)相關的鎖競爭，並減少Ractor並行執行時的CPU快取競爭，藉此提升平行度與整體執行效率。</p> <p>Ractor自Ruby 3.0以實驗功能登場，Ractor的設計目標，是在同一個Ruby程序內讓多段Ruby程式更有機會利用多核心進行平行運算。官方也表示希望在2026年移除其實驗性標記，顯示並行路線仍在持續推進。</p> </div></div></div>
2025/12/29 11:28作者李建興https://www.ithome.com.tw/news/173063
OpenAI招募與模型安全相關的準備度主管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI共同創辦人暨執行長<a href="https://x.com/sama/status/2004939524216910323?s=20" target="_blank">Sam Altman上周宣布</a>，該公司正在招募一名準備度主管（Head of Preparedness），負責評估模型的風險，從模型能不能作惡、會不會突破現有防護，到可否發布等，不計股票的年薪為55.5萬美元（逾1,800萬元新臺幣）。</p> <p>根據OpenAI所公布的<a href="https://openai.com/careers/head-of-preparedness-san-francisco/" target="_blank">職缺</a>，準備度主管隸屬於安全系統團隊，主導OpenAI準備度框架的技術策略與實際執行，該框架將可說明OpenAI如何追蹤及因應前沿能力所帶來、可能造成嚴重傷害的新型風險。</p> <p>而準備度主管將負責評估模型能力、判斷潛在威脅，以及所對應的風險防護措施，並確保這些工作被整合為一套一致、嚴謹，且能隨著產品規模與更新節奏運作的安全流程。OpenAI表示，此一職務需要深厚的技術判斷力、清楚溝通能力，以及跨多個風險領域推動複雜工作的能力。</p> <p>具體而言，該職務將全權負責OpenAI的準備度策略，主導前沿能力評估的開發，監督主要風險領域，引導評估結果的解讀，也應隨著新風險或能力的出現改善準備度框架，以及同時與研究、工程、產品、政策監測，以及執法、治理及外部合作夥伴跨部門協作，以將準備度落實於實際部署中。</p> <p>從職務設計來看，外界認為OpenAI正試圖將安全焦點從理論層次的長期風險，轉為能直接影響產品發布的實務問題。</p> <p>Altman說，如果想幫世界找出如何賦予網路安全防禦者最頂尖的能力，同時確保攻擊者無法利用這些能力來作惡，亦想捍衛生物相關功能的安全性，或是如何放心讓系統自我進化，那麼請考慮加入OpenAI。這是一份壓力非常大的工作，一開始就會直接面對最棘手的問題。</p> </div></div></div>
2025/12/29 11:37作者陳曉莉https://www.ithome.com.tw/news/173070
聚焦IT與OT資安檢測、人才培育、AI應用，臺灣第一大資安服務業者揭露未來業務三大成長動能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">在2000年成立、以<a href="https://www.ithome.com.tw/news/4037">網路資料中心代管業務起家</a>的安碁資訊，幾年後跨入資安維運中心（SOC），2016年提供資安檢測服務，2017年成立電腦資安事件應變中心ACSI-CSIRT，2019年在臺灣資安大會展示首座OT資安工控系統實驗平臺、掛牌上櫃，2021年投資成立子公司安碁學苑（ACSI Academy，ACAD），2022年合併宏碁雲架構（Acer eDC），截至2025年10月底為止，年營收累計19.34億元，年增13.29％，回顧113年度，營收為21.46億元，成為臺灣最大的資安服務商。</p> <p style="margin-left:.05pt;">安碁資訊目前營收有兩個主軸，其中最大的來源是資訊安全服務，包含資訊安全整合性監控及防護服務、資訊安全專業顧問服務、營運不中斷服務，例如安全維運中心（SOC）7x24，其次是資訊部門營運委外服務，屬於宏碁雲架構，與資料中心、AI算力有關的部分。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-1-SEC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-1-SEC.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">在11月底舉行的2025年第三季宏碁集團聯合法人說明會，吳乙南透露，安碁目前服務的SOC 7x24客戶有四百多個，客戶續約率目前高達95%以上，相較於2025年初113年報揭露約300個B2B客戶，成長顯著。</p> <p style="margin-left:.05pt;">縱觀安碁經營的主要資安產品服務面向，總經理吳乙南在12月初舉行的2025媒體資安講堂表示，他們這幾年積極布局雲端，為SOC下個階段的轉型做準備，而對於政府重視的資安檢測作業，他們也提供很多服務，尤其是各種攻防演練；有鑑於整體資安防護，除了安碁提供的資安監控與資安鑑識，政府也將備援演練跟資料備份演練納入，所以，他們與宏碁雲架構都在做這方面的準備。</p> <h3 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>藍隊與紅隊攻防演練帶來高成長的資安商機</strong></span></h3> <p style="margin-left:.05pt;">因為網路攻擊活動越來越頻繁，資料通報量變大、通報週期縮短，再加上近期大型雲端業者服務中斷，對於組織的資安防護而言，是個相當沉重的負擔，但也代表資安是非常具有潛力的市場。吳乙南說，安碁資訊今年成長較多的部分是在資安檢測，包括屬於藍隊演練（Blue Teaming）類型的<a href="https://www.acercsi.com/tw/service/16/1259">入侵及攻擊模擬演練（Breach and Attack Simulation，BAS）</a>，透過模擬真實世界攻擊者曾使用的伎倆，自動化發動攻擊，可持續測試組織的資安防禦能力，識別資安弱點，驗證組織如何防禦，以及<a href="https://www.acercsi.com/tw/service/16/1261">紅隊演練（Red Teaming）</a>，運用攻擊者思維與手法執行進階的入侵演練測試，評估組織的資安防禦能力，基本上，這部分的單價更高，需要的技術程度也比較專精。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-1.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">除了上述屬於IT領域的資安服務，OT/IoT與雲端領域的資安服務也是安碁2025年發展的重點。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-1-OT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-1-OT.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">10月份完成台灣自來水公司（台水）的攻防演練，這是台水第二次執行的攻防演練，也是安碁進行的第四次關鍵基礎設施攻防演練，包括藍隊（防守方）、紅隊（攻擊方）、紫隊（協作整合方），透過實兵演練，協助受測單位熟悉不同狀況，並且找出問題。</p> <p style="margin-left:.05pt;">在2025年第三季宏碁集團聯合法人說明會上，吳乙南透露他們到臺南市新營區的一個抽水站進行攻防演練，將藍隊、紅隊、紫隊聚集在當地演練四個半小時，滿分是兩千分，台水獲得一千九百分，表現相當優異。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-BR teaming.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-BR%20teaming.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-BR%20teaming2.jpg" style="width: 600px;" /></p> <p style="margin-left:.05pt;">11月底，他們完成<a href="https://web.pcc.gov.tw/tps/atm/AtmAwardWithoutSso/QueryAtmAwardDetailHist?fkPmsMainHist=OTU5NDk1MjQ=">台灣電力公司的智慧電網入侵偵測系統標案</a>議價，決標金額將近7千萬元，涵蓋整個變電站OT設備的整合，吳乙南表示，經過三、四年的努力，他們重新取得OT的專案。</p> <p style="margin-left:.05pt;">而且，在國家八大關鍵基礎設施當中，安碁目前已涵蓋四大領域，在中央與地方政府機關、銀行與金融，市占率過半，到了能源、水資源領域，也就是油水電，屬於國營企業，從ISAC、CSIRT到SOC監控，基本上都是安碁負責，2025年底他們拿下這個案子後，就是以IT層級的SOC資安服務業者的身分，再把當中的OT納入監控，整個事件的應變將更為一致。吳乙南表示，IT跟OT的共管是大勢所趨，安碁資訊目前有這樣的優勢，因為他們掌握IT、有明確的大客戶，再加上OT的市占率，因此，後續看好這兩者的整合。</p> <h3 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>持續推展雲端與教育訓練的業務</strong></span></h3> <p style="margin-left:.05pt;">關於雲端的發展，安碁這幾年持續推動Cloud SOC，並且連同宏碁雲架構，整合相關的領域知識跟基礎架構，2025年有些客戶已移轉到雲端，而且都是由安碁負責，由於這些環境會是混合雲的架構，對安碁而言，是個莫大的商機。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-2-SOC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-2-SOC.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">關於教育訓練的推廣，安碁學苑開設多種資安通識課程，同時提供企業包班的<a href="https://www.acsiacad.com/course_detail/3111">內部人員訓練</a>，例如，針對公司員工的<a href="https://www.acsiacad.com/sublist/1032">強化企業資安韌性課程</a>，也有轉職到資安領域的<a href="https://www.acsiacad.com/course_detail/3112">資訊安全維運工程師培育計畫</a>，還有一些<a href="https://www.acsiacad.com/course_content/2026">資安證照課程</a>，像是<a href="https://www.acsiacad.com/course_detail/3081">ISO/IEC 27001:2022資訊安全管理系統主導稽核員訓練課程</a>，轉版與轉證訓練課程。由於整體資訊安全的需求一直增加，安碁學苑也持續擴充更多課程，例如，去年新增的CCSK雲端安全知識證照培訓班。</p> <p style="margin-left:.05pt;">因應企業與政府單位對人才培育的需求愈加迫切，根據安碁學苑的統計，他們在2025年共培育 10,202 名資安人才，總共有164個單位或企業包班，橫跨多個產業，包括：金融業37家，政府機關39個單位，製造業17家，其他產業71家，金融與政府機關占比最高。</p> <p style="margin-left:.05pt;">隨著網路攻擊型態快速演進，也反映在企業與學員熱烈報名的課程類型，安碁學苑2025年前五大受歡迎的課程分別為：社交工程防護實務課程、數位時代的資安防身術、個資與資料保護管理實務課程、滲透測試類課程、AI與GPT類課程，他們表示，部分課程可依企業需求客製課程內容，例如社交工程防護實務和AI與GPT類課程。</p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-11-4-ACAD.jpg" style="width: 600px;" /></p> <h3 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>設立AI專責管理單位，投入生成式AI應用研發</strong></span></h3> <p style="margin-left:.05pt;">為了支援ACSI、Acer eDC、ACAD上述業務的發展，安碁資訊針對技術與研發的投入，擴增不少人力，目前員工數量達到700人（113年度為643人），針對人工智慧的發展與應用上，吳乙南表示，安碁今年已經成立專責管理單位（PMO），以便推動發展，公司旗下有多個單位在使用AI，分享使用經驗之餘，也投入AI治理與AI架構發展的研究，並且在學習工具、維運情資、自動化處理等層面，都逐漸有系統地導入AI，他們也將進行AI的實力盤點，這些都是後續可改善公司毛利的部分。</p> <p style="margin-left:.05pt;">安碁目前如何採用AI？2022年OpenAI推出ChatGPT，安碁發現將其用於比對的效果不錯，也嘗試後續出現的生成式AI服務，像是Perplexity AI、Gemini、Grok；過程中，他們不僅使用免付費的AI服務，也開放部分工程師採用付費的AI服務，因此，實際體驗到AI服務業者依詞元（Token）長度計費的使用模式，而開始關注到如何節省成本的議題。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/2025-ACSI-AI strategy1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-ACSI-AI%20strategy1.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">另一方面，安碁技術單位的員工比例將近8成，有部分人員將AI用在提升自動化處理或報表產出效率，部分資料需要進行去識別化處理，確保機密或個資不外洩，因此，他們必須要在AI的使用與架構發展上，建立與實施規範。</p> <p style="margin-left:.05pt;">而對於應用系統開發的提升，吳乙南表示，他們的工作思維正在從傳統的Coding（撰寫程式碼），轉為能夠善用多種工具的Programming（程式設計），例如採用Python或新的程式產生器，他們正在關注如何將這部分工作變得更有效率，提高有效性。</p> <p style="margin-left:.05pt;">在內部AI應用的部分，安碁目前嘗試發展部分工具的自動化處理能力，陸續從技術的層面著手開發。例如，他們希望將ISO 27001資訊安全認證輔導服務，也就是資訊安全管理系統（ISMS）建置輔導的工作，盡量做到自動化，目標是在兩到三年完成30％到50％。</p> <p style="margin-left:.05pt;">這項工作正是安碁資訊推動的GenAI應用孵化計畫（GenAI App Incubator），初期先以 ISMS 導入經驗作為基礎，發展 ISO 27001 顧問服務新模式。將條文、控制項精神與既有顧問方法論系統化整合，建立完整的私有知識庫，並透過 GenAI + RAG 即時檢索並重組符合企業情境的導入步驟、文件清單與控制措施建議，協助企業快速理解需求、縮短導入時程，進而提升顧問服務效率與品質。</p> <p style="margin-left:.05pt;">在安碁發展AI的過程當中，除了關注大型語言模型（LLM）產生的建議內容，也了解到很多工作都必須自動化處理，要進行判讀、選出合適的模型來對應不同的模式。以演練模式而言，模型的建立非常重要，後面要注意的關鍵在於檢索的資料變大。</p> <p style="margin-left:.05pt;">吳乙南也以安碁正在研發的ISMS導入助手為例解釋，通常ISO 27001的問卷是固定從一階、二階、三階逐步進行的，因為系統很多、人員經驗不同，所以顧問要統整品質，將一階、二階、三階全部審視，最後產生事件報告，在處理這些流程的過程中，有些工作因為固定，可運用AI的學習來協助，例如，透過圖像識別、建立模型之後，我們就能從一階、二階、三階去導入，能協助後續的自動判讀與報告撰寫，此外，他們察覺還能獲得邊際效應，可額外從圖像識別來判斷品質的優劣，他們正在投入相關的研究。</p> <p style="margin-left:.05pt;">上述內部進行的研發應用也與安碁學苑有關，目前進行的教育訓練課程可能五天或十天就結束，他們希望創造這樣的工具，促使上課的人員能夠與安碁學苑有更多連結，後續也能藉此加速學習過程，使其能夠很快上手，將其當作教育訓練的高手。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/2025-12-ACSI LLM Implement Assistant.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-ACSI%20LLM%20Implement%20Assistant.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">眼見近期許多大公司開始裁員，<a href="https://fortune.com/2025/11/27/mit-report-ai-can-already-replace-nearly-12-of-the-us-workforce/">因為有研究顯示將近12％的工作是AI可以取代的</a>，而且比例越來越高，但吳乙南強調，資安的人力永遠都是缺乏的，他們之所以採用AI，並不是為了減少人力，<a href="https://www.chinatimes.com/newspapers/20251102000154-260202?chdtv">臺灣的資安人力缺口超過兩萬人</a>，因此，他們關注如何讓同仁工作更有效率，節省的人力可轉作更多創新服務。</p> <p style="margin-left:.05pt;">在對外提供的資安服務方面，安碁資訊正在發展AI應用的資安健檢，目前已經開始有客戶進行這樣的檢測，因為客戶都希望導入AI的時候，能有一些預防機制。而在AI檢測作業的執行上，他們會依據<a href="https://genai.owasp.org/">OWASP公布的十大風險</a>進行，每個風險都有一些檢測工具，用完後需要人為判別，吳乙南表示，安碁2025年在某家銀行已經做了第一個案例，後續的資安檢測，包含一般系統與網路的弱點掃描、滲透測試、紅隊演練、入侵及攻擊模擬演練、雲端資安檢測，後續AI檢測也是重點發展業務。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/2025-ACSI-AI strategy2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-ACSI-AI%20strategy2.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/2025-12-ACSI OWASP for LLM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-12-ACSI%20OWASP%20for%20LLM.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">除此之外，安碁資訊也在2025媒體資安講堂，首度公開介紹自行發展的通用生成式AI模型CyberSage，以及基於這個LLM的代理型AI平臺Anda（安答）。</p> <p style="margin-left:.05pt;">CyberSage是聚焦資安領域的AI大腦，比起通用的LLM更能理解資安術語、攻擊鏈邏輯與減少幻覺，能在資安任務的處理展現顯著優勢。根據安碁的內部測試， CyberSage的理解與任務拆分精準度可達到100％，GPT-4o-mini則是86.47％，領先幅度為13.53；而在運算資源效率（每個問題消耗的詞元總量）上，CyberSage比GPT-4o-mini少了46.75％。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI3-CyberSage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI3-CyberSage.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI4-CyberSage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI4-CyberSage.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">安答是專為資安與雲端營運打造的代理型AI平臺，透過安碁自行研發的模型融合雲端維運與資安知識，精準解析監控指標、事件日誌、效能異常，而且能運用多個AI代理的協同運作，整合多種來源的資料進行語意分析與專業判讀，提供更準確、一致的回應。</p> <p style="margin-left:.05pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-12-GenAI2-Anda.jpg" style="width: 600px;" /></p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/ACSI-2025-GenAI1-Anda.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ACSI-2025-GenAI1-Anda.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/12/29 11:42作者李宗翰https://www.ithome.com.tw/news/173065
【資安週報】1222~1226，羅馬尼亞水務局近千臺電腦遭勒索軟體攻擊，攻擊者利用BitLocker將檔案惡意加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2025年12月第四個星期資安新聞，有3起臺灣上市公司的資安重訊受到關注，其中南陽實業資訊系統遭駭事件尤為引人注意，駭客為了對受害企業施加壓力，在入侵後刻意濫用企業介接外部簡訊服務商的內部系統，向受害企業的用戶發送簡訊，以擴大資料遭竊事件的傳播。</p> <p>●南陽實業作為韓國現代汽車（Hyundai）在臺總代理，在12月23日傳出遭駭事件，部分車主收到署名DireWolf勒索團體的簡訊，聲稱車主個資已被南陽實業洩露。後續南陽實業表示：公司簡訊系統遭到入侵，導致部分車主收到駭客寄送的簡訊，同日，南陽實業的母公司三陽工業也代其發布資安重訊，說明南陽實業偵測到部分資訊系統遭駭客網路攻擊。<br /> ●臺灣連接器廠商信邦電子於12月24日發布重大訊息，揭露其集團與海外子公司發現主機遭不明駭客入侵，伺服器資料被惡意加密，導致系統部分無法使用。<br /> ●半導體元件代理與經銷商至上電子在12月21日發布重訊，說明發生網路資安事件，指出資訊系統遭受駭客網路攻擊。</p> <p>還有一項消息是，甫上櫃的NAS廠商威聯通驚傳資安事故，有駭客聲稱取得myQNAPcloud的內部存取權限，後續威聯通發布重訊，澄清報導內容是媒體誤解，是單一用戶的舊款設備因設定不當遭入侵。</p> <p>在漏洞攻擊消息方面，有1起零時差漏洞攻擊事件，WatchGuard的Firebox防火牆成為攻擊者鎖定目標，該廠商已發布安全通告修補此一漏洞CVE-2025-14733，並說明已有攻擊者實際利用。</p> <p>還有永恒數位通訊科技（Digiever）DS-2105 Pro的老舊漏洞CVE-2023-52163，一個月前<a href="https://www.fortinet.com/blog/threat-research/shadowv2-casts-a-shadow-over-iot-devices">FortiGuard Labs揭露ShadowV2利用情形</a>後，現被美國CISA列入KEV清單。此漏洞雖於2023年7月即被<a href="https://www.txone.com/blog/digiever-fixes-sorely-needed/">TXOne Network研究人員Ta-Lun Yen通報</a>，廠商以產品停產5年結案，直到<a href="https://www.ithome.com.tw/news/166652">2024年底Akamai觀察到</a>實際攻擊活動後，CVE的編號才被MITRE指派，突顯EoL產品在漏洞通報與修補面臨的問題。</p> <p>在國際間，近期揭露的重大資安事件與威脅活動，多數與關鍵CI遭鎖定，或是涉及網路間諜活動有關，我們整理如下。<br /> ●羅馬尼亞水務局向該國網路安全局通報遭勒索軟體攻擊，近千個ICT系統受影響，調查發現駭客濫用Windows內建的BitLocker資料保護機制來發動惡意加密。<br /> ●丹麥國防情報局指控俄羅斯駭客Z-Pentest去年對該國水務設施發動網路攻擊，而今年4月挪威水壩控制系統遭控制，挪威政府也指出是俄羅斯駭客發動。<br /> ●中國駭客Ref7707攻擊範圍擴大，資安公司Check Point指出，這群駭客原本鎖定東南亞及南美洲，如今延伸到歐洲，並打造惡意程式NanoRemote用於近期攻擊活動。<br /> ●中國駭客組織LongNosedGoblin發動網路間諜攻擊，鎖定東南亞及日本政府機關，資安公司ESET示警，受害企業會被植入後門程式NosyDoor、竊資軟體NosyStealer、鍵盤側錄工具NosyLogger。</p> <p>另外，美國NIST原子鐘故障，衝擊NTP網路時間協定服務，此事件也引發各界對「時間基礎設施」脆弱性的關注。</p> <p>其他重要威脅活動的揭露，包括：中國資安公司奇安信揭露安卓作業系統電視盒成大型殭屍網路Kimwolf綁架標的，保守估計就有180萬臺設備遭受感染；還有兩起攻擊者利用合法流程誘導受害者上當的威脅活動，包括WhatsApp裝置配對功能遭濫用，以及Microsoft 365 OAuth裝置碼授權機制遭濫用的消息，攻擊者皆是透過社交工程手法誤導不熟悉相關機制的用戶完成操作，進而讓受害者親手將自身帳號的存取權限提供給駭客。</p> <p>在資安防禦動向上，有兩則AI方面的重要消息，首先是行政院擬定的人工智慧基本法（AI基本法），於12月23日經立法院三讀通過，顯示國內在相關立法方面已有實質進展，但如何接軌國際是問題，只分類不分級是否管得動，仍有很大挑戰需要我們面對；另一是資策會公布2026年十大AI關鍵技術，當中提及一項為不實訊息資安（Disinformation Security）議題，指出新興的「不實訊息即服務」（Disinformation-as-a-Service）正利用AI合成內容操弄社群流量，進而干擾政經與商業活動。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172969"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月22日】中國駭客透過GPO於日本與東南亞政府機關部署惡意軟體</span></strong></a></h3> <p>近期資安公司ESET揭露專門針對東南亞及日本的中國駭客組織LongNosedGoblin引起關注，駭客在植入大部分惡意軟體的過程裡，會運用群組原則物件（GPO）來達到目的，這種做法也成為ESET識別該組織活動的重要特徵</p> <h3><a href="https://www.ithome.com.tw/news/172989"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月23日】中國駭客Ref7707將攻擊範圍延伸至歐洲</span></strong></a></h3> <p>中國駭客組織Ref7707（CL-STA-0049、Earth Alux、Jewelbug）近期動作頻頻，近期最新的調查結果指出，這些駭客原本鎖定東南亞及南美洲，現在也將範圍擴張到歐洲，挾持受害組織的IIS與SharePoint伺服器建立中繼網路，用於傳遞C2指令</p> <h3><a href="https://www.ithome.com.tw/news/173025"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月24日】南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流</span></strong></a></h3> <p>繼22日傳出有人聲稱入侵NAS設備商威聯通（QNAP）的遠端檔案存取服務，隔天下午有另一組駭客寄送簡訊給部分現代（Hyundai）車主，聲稱總代理南陽實業洩露車主的個資，引發高度關注</p> <h3><a href="https://www.ithome.com.tw/news/173061"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月26日】MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞</span></strong></a></h3> <p>近期MongoDB的開發工程團隊修補一項資安漏洞引起外界高度關注，他們提及漏洞出現在zlib實作，可能被用來存取未初始化的記憶體堆疊，呼籲用戶要儘速處理</p> <p> </p> </div></div></div>
2025/12/29 10:37作者羅正漢https://www.ithome.com.tw/news/173069
Nvidia傳縮減DGX公雲組織配置轉為內部用途
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theinformation.com/articles/nvidia-restructures-cloud-team-retreating-aws-competition" target="_blank">The Information報導</a>，Nvidia近日內部改組，縮減公雲部門DGX組織規模，以專注在晶片開發業務。</p> <p>報導引述消息人士指出，Nvidia並未完全裁撤DGX公雲部門，只是縮減人數，並將合併到Nvidia核心工程事業群下，由負責軟體工程的資深副總裁Dwight Diercks統率。而未來DGX雲的功用也轉為僅供內部工程師用於AI研究或軟、硬體開發及測試。</p> <p>報導並說，在稍早的財報中，Nvidia已不再單單強調對DGX Cloud基礎架構的支出，被認為在淡化它在外部營運的角色。</p> <p>Nvidia是在2023年<a href="https://nvidianews.nvidia.com/news/nvidia-launches-dgx-cloud-giving-every-enterprise-instant-access-to-ai-supercomputer-from-a-browser" target="_blank">推出</a>DGX Cloud服務。基本上該服務是架構在甲骨文Oracle Cloud、Microsoft Azure及Google Cloud上的雲服務，旨在讓企業客戶可以像租用AWS伺服器一樣租用Nvidia自己最強大的GPU（如H100 / Blackwell系列）與完整軟體堆疊來訓練與部署大型AI模型。Nvidia當時承諾可讓客戶避開GPU供不應求的情況，並且借由DGX Cloud提供「端到端」可控的AI計算環境。但由於Nvidia同時也向公雲業者，包括Amazon Web Services（AWS）銷售GPU，因此這服務意味著和AWS產生雲服務競爭。</p> <p>縮減DGX業務有助於避免和客戶的利益衝突，同時Nvidia可藉此專注於現今訂單接到手軟的AI晶片與硬體平臺，以及自家AI模型（如Isaac、Nemotron）和軟體工具（如CUDA）的開發。</p> <p><a href="https://www.nvidia.com/en-us/data-center/dgx-cloud-lepton/" target="_blank">Nvidia是否會持續DGX Cloud Lepton marketplace則不清楚</a>，這個GPU供應市集目的在讓企業用戶能透過Nvidia連接到合作的GPU雲供應商，而不是透過Nvidia自己營運完整公有雲，這更偏向和AWS、Azure及GCP等公雲平臺的生態整合策略。</p> </div></div></div>
2025/12/29 08:49作者林妍溱https://www.ithome.com.tw/news/173066
勒索軟體Everest駭客宣稱竊得克萊斯勒包含Salesforce等1TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>操作勒索軟體Everest的駭客組織上周在聖誕節當天，於其暗網網站宣告成功入侵美國汽車大廠克萊斯勒（Chrysler）內部系統，竊走超過1TB資料。</p> <p><a href="https://hackread.com/everest-ransomware-group-chrysler-data-breach/" target="_blank">根據媒體發現到的公告</a>，遭駭客存取的資料庫內含1088 GB資料，當中包含超過105GB的Salesforce資料夾。資料庫內為2021年到2025年聖誕節的資料，像是個人個資如姓名、電話號碼、地址和電子郵件位址、客服人員工作記錄如召回事件筆記、聯繫紀錄（如語音留言、失聯、電話號碼有誤）、以及汽車狀態（如已銷售、維修、找不到車主）、開會預約等。</p> <p>駭客還公佈了數張Salesforce資料螢幕擷圖作為證明，顯示內部FTP檔案路徑、內部工具、經銷商名冊、召回方案等以及包含員工姓名、工作狀態的HR資料。</p> <p>不確定犯案時間，以及影響克萊斯勒哪個部門或地區的內部資料，或是本案和早前另一件Salesforce資料外洩是否有關。克萊斯勒母公司跨國汽車業巨擘Stellantis集團九月也曾<a href="https://www.ithome.com.tw/news/171342" target="_blank">公告遭駭</a>，外洩北美客戶資料。ShinyHunters向Bleeping Computer表示，宣稱從Stellantis的Salesforce竊走超過1,800萬筆紀錄，包含姓名、聯絡資訊等。</p> </div></div></div>
2025/12/29 09:06作者林妍溱https://www.ithome.com.tw/news/173067
【資安日報】12月26日，MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173060"><strong style="font-size: 22px;">MongoDB呼籲IT人員儘速修補高風險資安漏洞</strong></a></p> <p>擁有眾多用戶的NoSQL資料庫管理系統MongoDB，其開發工程團隊近期發布資安公告，他們發布重大更新修補資安漏洞CVE-2025-14847，攻擊者可透過用戶端來觸發，此漏洞出現在MongoDB伺服器的zlib實作，可能在用戶未通過身分驗證的情況下，引發未初始化的記憶體堆疊問題，4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5，呼籲用戶要儘速套用新版因應。</p> <p>這個漏洞發生的原因，在於zlib壓縮協定的標頭欄位長度不一致，未通過身分驗證的攻擊者能以此讀取未初始化的記憶體堆疊。此漏洞的影響範圍相當廣，涵蓋8.2.0至8.2.3版、8.0.0至8.0.16版、7.0.0至7.0.26版、6.0.0至6.0.26版、5.0.0至5.0.31版，以及MongoDB 4.4.0至4.4.29版MongoDB。除此之外，4.2版、4.0版，以及3.6版MongoDB Server，也受到影響。</p> <p>若是IT人員無法及時更新，開發工程團隊呼籲應停用MongoDB伺服器的zlib壓縮功能，做法是採用networkMessageCompressors或net.compression.compressors等壓縮器設定，重新啟動mongod或mongos處理程序。</p> <p><a href="https://www.ithome.com.tw/news/173059"><strong style="font-size: 22px;">Fortinet警示5年前公布的SSL VPN漏洞再遭積極利用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2020-12812-ldap.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2020-12812-ldap.jpeg" style="width: 300px; float: right;" /></a></p> <p>12月24日Fortinet提出警告，他們偵測到於2020年7月修補的資安漏洞CVE-2020-12812遭到利用，攻擊者針對特定組態的防火牆設備FortiGate下手，從而繞過身分驗證機制，對此，該公司呼籲IT人員，應儘速清查設備是否遭到入侵。</p> <p>針對CVE-2020-12812，此為防火牆作業系統FortiOS的SSL VPN漏洞，起因是身分驗證機制不完整，攻擊者有機會透過更動使用者名稱的大小寫，而能用來繞過第二個環節的驗證程序（FortiToken），進而登入系統，影響執行6.4.0、6.2.0至6.2.3，以及6.0.9版以下FortiOS的設備，CVSS風險Fortinet評為5.2分，為中度風險；然而，其他公開弱點資料庫並不這麼認為，例如，美國國家漏洞資料庫（NVD）與網路安全暨基礎設施安全局（CISA）皆將這個弱點的嚴重性認定為重大層級，CVSS評分為9.8，CISA已於2021年11月3日，將此漏洞納入已遭利用的漏洞列表（KEV）。</p> <p>針對漏洞遭到利用的情況，Fortinet提及被針對的設備存在特定配置。首先，在FortiGate須設法設置雙因素驗證（2FA）的本機用戶帳號，攻擊者以此登入時，必須透過LDAP進行身分驗證，而且，此帳號也必須是LDAP某個群組（如：網域用戶、IT服務臺等）的成員。再者，就是這名使用者在FortiGate上，也與LDAP隸屬相同的群組，這個群組必須採用特定身分驗證政策，能被用於管理員登入、SSL VPN或IPsec VPN連線等。一旦符合上述條件，攻擊者就有機會使用大小寫不一致的使用者名稱，來觸發上述弱點，即便IT人員已設置了雙因素驗證，或是將帳號停用，只要攻擊者提供正確的密碼，就能通過身分驗證。</p> <p><a href="https://www.ithome.com.tw/news/173032"><strong style="font-size: 22px;">Linux核心首度出現Rust漏洞，恐導致系統當機</strong></a></p> <p>Linux核心近期修補一項重大資安漏洞CVE-2025-68260，這也是主線核心中首度正式指派給Rust程式碼的漏洞案例。該問題影響以Rust重寫的Android Binder模組，在特定條件下可能造成記憶體損毀，甚至引發系統當機。</p> <p>這項漏洞屬於競爭條件問題，發生於Rust Binder元件的death_list處理機制，相關程式碼位於drivers/android/binder/node.rs。Binder是Android系統中重要的行程間通訊（Inter-Process Communication，IPC）機制，因此該漏洞對系統穩定性具有實質影響。</p> <p>根據研究人員的分析，問題核心出在Node::release函式的鎖定流程設計。該函式會先取得鎖定，將共享連結串列中的元素移至暫時的本地堆疊，隨後提前釋放鎖定，再對本地清單進行處理。然而，在鎖定解除後、處理尚未完成的短暫時間內，其他執行緒仍可能同時操作原始清單的prev與next指標，進而產生競爭條件。</p> <p><a href="https://www.ithome.com.tw/news/173044"><strong style="font-size: 22px;">駭客平臺Anna's Archive聲稱搜刮Spotify近乎全部的歌曲</strong></a></p> <p>號稱是史上最大的開放資料庫Anna's Archive上周末宣稱，他們成功從音樂串流服務業者Spotify抓走約300 TB檔案，這些檔案包含2025年7月以前收錄平臺的2.56億首歌曲和音樂，以及1.86億條國際標準錄音錄影資料代碼（ISRC）。駭客宣稱，釋出的資料占Spotify所有歌曲的99.9%，而其備份的8,600萬個音樂檔案，資料量達300 TB，占比達99.6%。最受歡迎的10,000首歌曲已經以13.8MB的gzip檔格式釋出。駭客說，將分階段把Spotify資產，包括中繼資料（metadata）、音樂檔案、唱片專輯，以及作為重建原始檔案之用的.xstdpatch檔案開放。</p> <p>12月22日Spotify對媒體說明，駭客使用了第三方單位建立的帳號得逞，而非「駭入Spotify」。駭客違反該公司使用條款，竊走平臺某些音樂資料，時間約數個月，但是該公司未說明外洩資料的規模。該平臺強調，駭客並未竊取用戶資料，而且公開檔案前沒有聯繫他們。現在Spotify已經找到駭客用於資料竊取的檔案且加以關閉，他們也已經加入新的防護措施，持續監控可疑行動。</p> <p>AI Certs分析Anna's Archive的犯案手法。駭客是從Spotify API端點進行大規模網頁抓取，研究人員懷疑可能使用令牌收割（token harvesting）以繞過流量速限保護。而且駭客可能違法繞過了DRM防護而擷取了某些聲音檔。MalwareBytes分析，這事件可以說是產業規模內容竊取的教科書式案例，並警告如果有心人士駭入夠多合法帳號或建立看似合法的假帳號，長期而言就能削弱內容防護。</p> <p><a href="https://www.ithome.com.tw/news/172964"><strong style="font-size: 22px;">安裝數逾800萬的4款瀏覽器擴充程式驚傳攔截AI對話資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/693ffff7ef3550b5233c6773_Screenshot 2025-12-15 at 14_32_32.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/693ffff7ef3550b5233c6773_Screenshot%202025-12-15%20at%2014_32_32.png" style="width: 300px; float: right;" /></a></p> <p>專注於瀏覽器擴充程式與端點軟體的以色列資安業者Koi Security上周踢爆，有4款Chrome及Microsoft Edge擴充程式會監看、記錄並傳輸使用者與AI的對話。</p> <p>Koi Security共同創辦人暨技術長Idan Dardikman表示，他在使用AI助理時，忽然懷疑是否有人會窺探這些對話，於是使用代理式AI風險引擎Wings，掃描是否有瀏覽器擴充套件具備讀取並外傳AI聊天內容的能力，原本以為只會找到少數下載量不高且來源可疑的工具，結果卻發現由Urban Cyber Security所開發的4款擴充程式，會蒐集使用者與AI聊天機器人的對話，再提供給資料經紀商BiScience進行分析及轉售。</p> <p>這4款擴充程式分別是Urban VPN Proxy、1ClickVPN Proxy、Urban Browser Guard，以及Urban Ad Blocker，它們分別在Chrome及Microsoft Edge的擴充程式商店上架，名義上為VPN、瀏覽器防護與廣告封鎖工具，實際上卻共用一套監控後端。其中，Urban VPN Proxy在Chrome與Edge上分別有600萬及132萬名用戶，1ClickVPN Proxy分別有60萬與3.6萬名用戶，Urban Browser Guard有4萬及1.3萬名用戶，Urban Ad Blocker也各自擁有1萬及逾6,000名用戶，總計安裝數量超過800萬。</p> <p><a href="https://www.ithome.com.tw/news/173014"><strong style="font-size: 22px;">微軟釋出硬體加速的BitLocker，減少拖慢PC效能並強化安全性</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-12-18 131458.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-12-18%20131458.png" style="width: 300px; float: right;" /></a></p> <p>微軟宣布推出硬體加速的BitLocker，取代CPU加速，以提升Windows 11機器的運作效能，並減少金鑰曝露風險。新功能已於9月加入Windows 11 24H2與25H2，並計畫藉由新一代CPU與SoC，普及到次世代PC。</p> <p>新BitLocker有兩項重大變革：一是將加密工作從CPU卸載到專用加密引擎上，以便主要CPU資源能用於主要任務需求，提升效能及減少電力耗用。第二是金鑰由硬體防護。如果機器的SoC晶片支援，BitLocker可自動切換，將加密金鑰交由硬體層隔離與封裝，以免其曝露於CPU及記憶體，可降低旁路攻擊及記憶體漏洞曝露金鑰的風險。微軟表示，這是在受信任平臺模組（Trusted Platform Module，TPM）外的新一層安全機制。</p> <p>要在Windows電腦啟用BitLocker有幾種作法，除手動啟動，亦能透過政策或是指令碼（script）。若搭載NVMe磁碟的電腦晶片支援，Windows就會預設使用新的硬體加速BitLocker和TS-AES-256演算法。</p> <p><a href="https://www.ithome.com.tw/news/173031"><strong style="font-size: 22px;">Roundcube修補高風險資安漏洞，恐危及網頁郵件隱私</strong></a></p> <p>近日Roundcube專案團隊發布安全更新，針對1.6與1.5 LTS版本修補兩項高風險資安漏洞，可能讓攻擊者透過看似正常的電子郵件執行惡意指令碼，或外洩使用者的敏感資訊。</p> <p>兩項漏洞的CVSS風險評分皆為7.2，屬於高風險等級，其中CVE-2025-68461屬於跨站腳本攻擊（XSS）漏洞，問題出在Roundcube處理可縮放向量圖形（SVG）檔案的方式。該漏洞由CrowdStrike研究人員Valentin T.發現，攻擊者可利用SVG中的<animate>標籤，製作特製的惡意圖片。</p> <p>另一項漏洞則是涉及資訊揭露問題，編號為CVE-2025-68460，存在於Roundcube的HTML樣式過濾機制中。該漏洞由研究人員somerandomdev通報，攻擊者可藉此繞過既有的CSS樣式過濾規則，可能被濫用來推測或外洩網頁郵件介面中的資料，進而影響使用者的隱私安全。</p> <p><a href="https://www.ithome.com.tw/news/173030"><strong style="font-size: 22px;">Kibana出現高風險XSS漏洞，多個版本恐遭惡意指令碼攻擊</strong></a></p> <p>Elastic在12月19日發布資安公告，說明Kibana存在一項高風險資安漏洞，可能讓已通過驗證的攻擊者，在其他使用者瀏覽的網頁內容中植入並執行惡意指令碼。該漏洞編號為CVE-2025-68385，屬於高風險等級（CVSS分數7.2）。</p> <p>Elastic表示，問題出在Kibana用來顯示圖表的Vega視覺化元件。系統在產生網頁內容時，沒有仔細檢查使用者輸入的內容，讓攻擊者有機會把惡意指令碼藏進圖表中。當其他人開啟這些圖表時，瀏覽器就會執行惡意指令碼，可能導致帳號資訊或重要資料被竊取。</p> <p>CVE-2025-68385被歸類為CWE-79的跨站腳本攻擊（XSS）手法，雖然攻擊者必須通過身分驗證，但影響範圍不僅限於單一帳號，惡意內容可擴散至同一Kibana實例中的多名使用者，對資料機密性與完整性構成威脅。</p> <p><a href="https://www.ithome.com.tw/news/172885"><strong style="font-size: 22px;">FIDO在臺落地規模擴大，逾300個政府與企業系統支援，Passkey體驗成下一步關鍵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7B）FIDO 2025年底最新進展_臺灣支援FIDO與Passkey現況_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967B%EF%BC%89FIDO%202025%E5%B9%B4%E5%BA%95%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%BA%E7%81%A3%E6%94%AF%E6%8F%B4FIDO%E8%88%87Passkey%E7%8F%BE%E6%B3%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a>隨著FIDO、Passkey技術應用升溫，為促進臺灣與國際間的技術交流，在12月初，FIDO聯盟與FIDO聯盟臺灣分會特別舉辦研討會，揭露最新成果，例如，Passkey在短短3年內，從無到有累積至約35至40億個活躍帳號，展現前所未見的採用速度，同時FIDO聯盟臺灣分會會長張心玲也公開臺灣的FIDO採用現況。</p> <p>對於產業應用態勢，他指出，今年Passkey推動上出現兩大重要變化。首先，是銀行與金融業的快速採用。進入2025年，他觀察到越來越多國際金融機構，包括澳洲、紐西蘭、歐洲、美國及臺灣的多家指標性銀行，已將Passkey納入用戶登入選項。</p> <p>其次，是政府端擴大採用與監管政策的推動。早期Passkey多由電子商務、內容平臺與支付服務引領，如今受監管產業的全面加入，象徵著技術落地的關鍵轉折。包含臺灣、澳洲、美國、英國與德國在內的多國政府，不僅在公共服務中導入Passkey，也更進一步應用於內部的員工身分驗證系統。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=152737&SPOKE_DATE=20251224&COMPANY_ID=3023"><strong style="font-size: 22px;">信邦集團與海外子公司部分資訊系統遭網路攻擊</strong></a></p> <p>製作連接線組與連接器的電子零件整合設計暨製造商信邦於12月24日發布資安重訊，表明他們偵測到有部分資訊系統遭網路攻擊，資安部門立即啟動相關資安防禦與系統復原，委請外部資安技術公司共同處理，目前資訊系統正陸續恢復。根據初步調查結果，對於公司營運、資訊安全，以及個資無重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-mas-windows-activation-domain-used-to-spread-powershell-malware/">惡意程式Cosmali Loader假借提供非法Windows啟用工具散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/evasive-panda-apt/">駭客組織Evasive Panda透過AiTM網釣與DNS中毒散布惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/cisa-flags-actively-exploited-digiever.html">CISA警告永恒數位旗下的NVR設備已知漏洞遭積極利用</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173025"><strong>【12月24日】南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172989"><strong>【12月23日】中國駭客Ref7707將攻擊範圍延伸至歐洲</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172969"><strong>【12月22日】中國駭客透過GPO於日本與東南亞政府機關部署惡意軟體</strong></a></p> </div></div></div>
2025/12/26 16:32作者周峻佑https://www.ithome.com.tw/news/173061
Fortinet警示5年前公布的SSL VPN漏洞再遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Fortinet在12月例行更新當中，修補<strong><a href="https://www.ithome.com.tw/news/172750">重大層級的漏洞CVE-2025-59718及CVE-2025-59719</a></strong>引起高度關注，事隔3天<a href="https://www.ithome.com.tw/news/172862">傳出有人用於實際攻擊</a>，本週該公司指出，有個5年前的資安漏洞，近期再度出現漏洞利用的情況而成為焦點。</p> <p>12月24日Fortinet提出警告，<strong><a href="https://www.fortinet.com/blog/psirt-blogs/product-security-advisory-and-analysis-observed-abuse-of-fg-ir-19-283">他們偵測到於2020年7月修補的資安漏洞CVE-2020-12812遭到利用</a></strong>，攻擊者針對特定組態的防火牆設備FortiGate下手，從而繞過身分驗證機制，對此，該公司呼籲IT人員，應儘速清查設備是否遭到入侵。</p> <p>針對CVE-2020-12812，此為防火牆作業系統FortiOS的SSL VPN漏洞，起因是身分驗證機制不完整，攻擊者有機會透過更動使用者名稱的大小寫，而能用來繞過第二個環節的驗證程序（FortiToken），進而登入系統，影響執行6.4.0、6.2.0至6.2.3，以及6.0.9版以下FortiOS的設備，CVSS風險Fortinet評為5.2分，為中度風險；然而，其他公開弱點資料庫並不這麼認為，例如，美國國家漏洞資料庫（NVD）與網路安全暨基礎設施安全局（CISA）<strong><a href="https://nvd.nist.gov/vuln/detail/cve-2020-12812">皆將這個弱點的嚴重性認定為重大層級</a></strong>，CVSS評分為9.8，CISA已於2021年11月3日，將此漏洞納入已遭利用的漏洞列表（KEV）。</p> <p>針對漏洞遭到利用的情況，Fortinet提及被針對的設備存在特定配置。首先，在FortiGate須設法設置雙因素驗證（2FA）的本機用戶帳號，攻擊者以此登入時，必須透過LDAP進行身分驗證，而且，此帳號也必須是LDAP某個群組（如：網域用戶、IT服務臺等）的成員。再者，就是這名使用者在FortiGate上，也與LDAP隸屬相同的群組，這個群組必須採用特定身分驗證政策，能被用於管理員登入、SSL VPN或IPsec VPN連線等。</p> <p>一旦符合上述條件，攻擊者就有機會使用大小寫不一致的使用者名稱，來觸發上述弱點。以名稱為jsmith的使用者為例，若是攻擊者輸入Jsmith、jSmith，或JSmith，由於FortiGate不會將登入資料與本機使用者進行比對，就可能尋找次要組態設定的群組（如Auth-Group），嘗試取得LDAP伺服器的資訊。即便IT人員已設置了雙因素驗證，或是將帳號停用，只要攻擊者提供正確的密碼，就能通過身分驗證。</p> <p>對於防範上述的漏洞利用行為，IT人員應依照<strong><a href="https://www.fortiguard.com/psirt/FG-IR-19-283">FG-IR-19-283</a></strong>套用相關更新，若是無法升級，必須在所有FortiGate本機帳號當中，停用相關設定；此外，假如企業組織不需要備援的LDAP群組，也最好將其移除。</p> </div></div></div>
2025/12/26 15:16作者周峻佑https://www.ithome.com.tw/news/173059
MongoDB呼籲IT人員儘速修補高風險資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>擁有眾多用戶的NoSQL資料庫管理系統MongoDB，其開發工程團隊近期發布資安公告，<strong><a href="https://jira.mongodb.org/browse/SERVER-115508">他們發布重大更新修補資安漏洞CVE-2025-14847</a></strong>，攻擊者可透過用戶端來觸發，此漏洞出現在MongoDB伺服器的zlib實作，可能在用戶未通過身分驗證的情況下，引發未初始化的記憶體堆疊問題，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-14847">4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5</a>，呼籲用戶要儘速套用新版因應</strong>。</p> <p>這個漏洞發生的原因，在於zlib壓縮協定的標頭欄位長度不一致，未通過身分驗證的攻擊者能以此讀取未初始化的記憶體堆疊。此漏洞的影響範圍相當廣，涵蓋8.2.0至8.2.3版、8.0.0至8.0.16版、7.0.0至7.0.26版、6.0.0至6.0.26版、5.0.0至5.0.31版，以及MongoDB 4.4.0至4.4.29版MongoDB。除此之外，4.2版、4.0版，以及3.6版MongoDB Server，也受到影響。</p> <p>若是IT人員無法及時更新，開發工程團隊呼籲應停用MongoDB伺服器的zlib壓縮功能，做法是採用networkMessageCompressors或net.compression.compressors等壓縮器設定，重新啟動mongod或mongos處理程序。</p> </div></div></div>
2025/12/26 16:11作者周峻佑https://www.ithome.com.tw/news/173060
LLM調度框架LangChain核心元件序列化注入漏洞，可能導致環境變數機密外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名大型語言模型調度開源框架LangChain團隊發布安全通報，揭露核心套件langchain-core存在序列化注入漏洞<a href="https://github.com/advisories/GHSA-c67j-w6g6-q2cm">CVE-2025-68664</a>，該漏洞CVSS 3.1基礎分數為9.3，屬重大等級。受影響版本為langchain-core小於0.3.81，或介於1.0.0以上且低於1.2.5。官方已釋出修補版本0.3.81與1.2.5，並同步收緊load()與loads()的預設行為，以降低誤用風險。</p> <p>漏洞出在langchain-core本身的dumps與dumpd序列化功能。LangChain有一套內部資料格式，會用lc這個保留欄位來標記這段資料可以在之後被還原成LangChain物件。官方指出，問題在於dumps()與dumpd()在序列化一般字典資料時，沒有妥善處理剛好含有lc欄位的外部可控內容。結果是這些資料在後續經由load()或loads()還原時，可能被當成真正的LangChain物件來建立，進而引發安全風險。</p> <p>官方指出，較常見的風險並非攻擊者直接提供序列化內容要求系統載入，而是大型語言模型回應中的欄位，可能在提示詞注入影響下，被引導生成攻擊者想要的內容或結構，例如metadata、additional_kwargs或response_metadata等。當這些欄位經由框架既有流程被序列化，並在串流事件或日誌等路徑於後續階段再度還原，就可能跨越開發者原先假設的信任邊界，形成可被利用的注入點。</p> <p>就可能造成的後果而言，其一是環境變數機密外洩，當反序列化在secrets_from_env選項啟用的情況下，攻擊者要是能讓注入結構被還原，就有機會從環境變數取得機密資料。其二是不安全物件實例化，雖然LangChain對可還原的類別採取命名空間限制，但仍可能在既有受信任命名空間內實例化Serializable子類別，當建構流程伴隨網路呼叫或檔案操作等副作用，將擴大安全風險。 </p> <p>LangChain在本次修補中，除了補上序列化跳脫缺口，也一併收緊load()與loads()的預設行為。官方解釋，新版引入更嚴格的允許清單策略，並將secrets_from_env預設由True改為False，同時以init_validator預設阻擋Jinja2樣板等高風險初始化行為。官方也提醒這些變更對少數使用情境可能屬破壞性調整，使用者需留意相依程式碼是否仰賴舊預設。 </p> <p>LangChain在JavaScript版本也發布了相似機制的漏洞安全通報<a href="https://github.com/advisories/GHSA-r399-636x-v7f6">CVE-2025-68665</a>，指出toJSON未跳脫含lc鍵的使用者可控物件，可能在後續load()時造成環境變數機密外洩與不安全實例化，並將secretsFromEnv明確改為預設false，以降低環境變數機密外洩與不安全實例化風險。</p> </div></div></div>
2025/12/26 15:07作者李建興https://www.ithome.com.tw/news/173052
瀏覽器引擎WebKit引入CSS Grid Lanes，瀑布流排版走向原生CSS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源瀏覽器引擎WebKit團隊提出<a href="https://webkit.org/blog/17660/introducing-css-grid-lanes/">CSS Grid Lanes</a>，試圖把長期依賴JavaScript函式庫才能穩定完成的瀑布流（Waterfall）排版配置，放進瀏覽器原生的CSS版面配置能力之中。該設計以新增的display:grid-lanes為入口，讓開發者沿用既有CSS Grid的軌道（Grid Track）定義語法來描述欄或列，再交由瀏覽器負責自動放置不同高度的內容項目。目前功能已可在Apple Safari技術預覽234版進行測試。</p> <p>WebKit在說明中將Grid Lanes定位為瀑布流的下一步，並提到這套做法以Mozilla與WebKit之前的投入作為基礎，同時也經過CSS工作小組與各家瀏覽器多輪討論後，逐步收斂出較明確的運作方式。</p> <p>W3C發布<a href="https://www.w3.org/TR/css-grid-3/">CSS Grid Layout Module Level 3工作草案</a>，文件把grid-lanes與inline-grid-lanes納入display屬性的新值，並定義Grid Lanes的版面配置模型與相關行為。</p> <p>WebKit特別把可用性與可存取性納入討論，由於傳統瀑布流常見的問題是視覺順序與鍵盤導覽順序不一致，使用者按Tab時可能一路走到第一欄底部，才跳回第二欄頂端，閱讀與操作感受不連續。Grid Lanes的目標是在保留瀑布流排版視覺密度的同時，讓使用者能更自然地以鍵盤在目前可見內容之間移動，也降低過去為了量測內容高度與決定放置位置而必須用JavaScript介入排版的需求。</p> <p>為了減少瀑布流因微小高度差而頻繁換欄，造成視覺跳動與導覽上的困惑，WebKit提出item-tolerance，讓瀏覽器在選擇下一個項目落點時，把高度差距小到一定程度的候選欄位視為同一級距，避免因細微差異而做出讓人意外的換欄決策。這個屬性在規格與Safari技術預覽234版目前採用item-tolerance命名，且預設以1 em作為判斷接近程度的基準，但WebKit也提醒名稱仍可能調整。</p> <p>W3C的工作草案也討論了相容性上的自然降級。文件範例指出，作者可先宣告display:grid再宣告display:grid-lanes，在不支援Grid Lanes的使用者代理程式中，後者會被忽略，版面仍會以一般Grid呈現，只是可能出現較多垂直方向空隙。該寫法讓團隊能以較低風險方式，在支援環境中逐步啟用新能力，同時保留可接受的降級呈現。</p> <p>現階段Grid Lanes仍處於工作草案與技術預覽版可測的階段，細節包含命名與部分行為仍可能調整。</p> </div></div></div>
2025/12/26 15:25作者李建興https://www.ithome.com.tw/news/173054
Kotlin 2.3.0強化多平臺工具鏈，JVM支援Java 25並提升Wasm原生互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>JetBrains釋出<a href="https://kotlinlang.org/docs/whatsnew23.html">Kotlin 2.3.0</a>，該版本更新重點在於語言功能的穩定與多平臺工具鏈進展，涵蓋JVM、原生、WebAssembly與JavaScript等目標。此版本一方面讓部分語言能力走向更明確的預設行為與穩定狀態，另一方面也帶來跨平臺互通、建置效率與相容性相關的更新，協助開發者在不同執行環境間維持一致的開發與部署節奏。</p> <p>Kotlin 2.3.0將巢狀型別別名，以及when表達式的資料流窮盡性（Exhaustiveness）檢查提升為穩定功能，同時把表達式主體且明確回傳型別的函式可使用return陳述式，調整為預設行為。由於要降低開發時因忽略函式回傳結果而意外犯錯的風險，官方新增未使用回傳值檢查器與相關註記，用於提示回傳值未被使用的情況。</p> <p>另一方面，2.3.0也提供仍屬實驗性的明確後備欄位語法，讓屬性在對外暴露型別與內部實作型別不同的情境下，可以用更直接的方式表達與維護。至於情境式解析功能，官方仍持續修正其解析範圍與判定方式，並在可能造成歧義的情況下加入警告提示。</p> <p>在Kotlin/JVM方面，2.3.0開始支援產生Java 25位元碼。Kotlin原生端則強化與Swift的互通能力，透過Swift匯出機制新增對原生列舉與可變參數的支援，同時把C與Objective-C函式庫匯入推進到Beta測試階段，並改善正式發布Release建置效能。JetBrains也同步調高iOS、tvOS與watchOS的最低支援版本，並將多個x86_64的Apple目標下調至較低支援等級，對仍依賴Intel目標的專案，需要及早盤點後續維護與搬遷規畫。</p> <p>Kotlin WebAssembly方面，2.3.0預設啟用KClass.qualifiedName，讓完整類別名稱可在執行期取得，藉此減少從JVM搬遷到WebAssembly時在診斷與程式行為上的落差。至於例外處理機制，2.3.0僅在wasmWasi目標預設採用新版WebAssembly例外處理提案，wasmJs目標仍維持預設關閉，必要時可透過編譯器選項啟用。</p> <p>Kotlin JavaScript則新增兩項面向互通的變更，包含實驗性支援將suspend函式直接匯出給JavaScript使用，以及以BigInt64Array表示LongArray的選項，方便對接偏好型別化陣列的JavaScript API。</p> <p>工具鏈方面，Kotlin 2.3.0宣布完全相容於軟體建置工具Gradle 7.6.3至9.0.0，並新增用於註冊生成程式碼來源的Gradle API，目標是讓IDE更容易區分生成程式碼與手寫程式碼。支援2.3.0的Kotlin外掛已隨最新版IntelliJ IDEA與Android Studio提供，標準函式庫也把時間追蹤能力提升為穩定，並擴充仍屬實驗的UUID（Universally Unique Identifier）生成與解析。</p> </div></div></div>
2025/12/26 15:38作者李建興https://www.ithome.com.tw/news/173057
舊金山停電，Waymo無人車阻斷交通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國太平洋瓦斯電力公司（PG&E）位於舊金山的變電站12月20日發生火災，造成舊金山出現大規模停電，影響全市近三分之一地區用電，多處主要道路交通號誌同時失效，市區交通一度陷入混亂。停電期間，亦傳出Waymo無人駕駛計程車停留在十字路口，進一步加劇道路壅塞，<a href="https://waymo.com/blog/2025/12/autonomously-navigating-the-real-world" target="_blank">Waymo隨後暫停在舊金山的服務</a>。</p> <p>在停電期間，多輛Waymo無人計程車被拍到停在街道與路口中央，後方車流回堵，引發民眾與駕駛不滿。<a href="https://x.com/ArthurSXAI/status/2002813776416911868" target="_blank">社群平臺流傳的畫面</a>顯示，部分路口同時有多輛Waymo車輛停留原地。舊金山是Waymo自駕計程車的重要營運城市，外界估計當地約部署1,000輛Waymo車輛。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/20Xhfn-uMlo?si=TujRhWrL8Fqm052n" title="YouTube video player" width="560px"></iframe></div> <p>Waymo於周二（12/23）說明，應對如此大規模的事件對自動駕駛技術而言是一項獨特挑戰。Waymo Driver在設計上，會將熄燈的交通號誌視為四向停車路口，但在部分情況下仍會請求後端確認，以確保做出最安全的選擇。</p> <p>Waymo表示，其無人駕駛計程車於20日當天成功通過超過7,000個號誌失效的路口，但此次停電導致確認請求短時間內激增，形成積壓，部分車輛因此停留時間拉長，加劇了擁塞情況。為避免進一步影響交通，Waymo隨後暫停營運，並指示車隊靠邊停放，確保緊急車輛優先通行。</p> <p>Waymo也指出，事件發生後已整合更多停電相關資訊，更新緊急準備與應變機制，並擴大與第一線緊急應變人員的合作。</p> <p>多家外媒指出，Waymo無人計程車在營運中仍需人力支援處理物理問題，例如乘客下車後未關好車門，或車輛無法自行復位。Waymo透過第三方平臺召集支援人員到場，手動關門的報酬約22至24美元，拖吊車輛的費用約60至80美元。此次舊金山停電導致交通混亂，也放大這類人力需求，凸顯無人車營運仍存在不可忽視的人力成本。</p> <p>另一方面，Waymo主要競爭對手特斯拉（Tesla）執行長<a href="https://x.com/undercoverwhale/status/2002775975214629297" target="_blank">馬斯克（Elon Musk）則表示</a>，舊金山停電並未影響特斯拉的Robotaxi服務。不過，目前特斯拉Robotaxi仍須配備人類監督員，尚未以完全無人形式營運。</p> </div></div></div>
2025/12/26 14:44作者陳曉莉https://www.ithome.com.tw/news/173056
Roundcube修補高風險資安漏洞，恐危及網頁郵件隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名開放原始碼網頁郵件專案Roundcube，提供類似桌面郵件軟體的操作介面，具備多語系、通訊錄、郵件搜尋、外掛擴充等功能，廣泛被企業、學術機構與主機服務商採用，作為自架電子郵件系統的網頁前端。由於受到各界採用的規模龐大，其資安風險一旦曝光，影響範圍往往不容小覷。</p> <p>近日Roundcube專案團隊<a href="https://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12" target="_blank">發布安全更新</a>，針對1.6與1.5 LTS版本修補兩項高風險資安漏洞，可能讓攻擊者透過看似正常的電子郵件執行惡意指令碼，或外洩使用者的敏感資訊。</p> <p><a href="http://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-Security%20updates%201_6_12%20and%201_5_12%20released.png" style="width: 500px;" /></a></p> <p>兩項漏洞的CVSS風險評分皆為7.2，屬於高風險等級，其中<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68461" target="_blank">CVE-2025-68461</a>屬於跨站腳本攻擊（XSS）漏洞，問題出在Roundcube處理可縮放向量圖形（SVG）檔案的方式。該漏洞由CrowdStrike研究人員Valentin T.發現，攻擊者可利用SVG中的<animate>標籤，製作特製的惡意圖片。</p> <p>在實際攻擊情境中，只要使用者於網頁郵件介面中開啟含有惡意SVG的電子郵件，瀏覽器便可能立即執行JavaScript惡意指令碼。在網頁郵件服務中，XSS漏洞的危害尤為嚴重，常被用來竊取連線階段Cookie、進行帳號劫持，甚至在使用者不知情的情況下重新導向至釣魚網站。</p> <p>另一項漏洞則是涉及資訊揭露問題，編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68460" target="_blank">CVE-2025-68460</a>，存在於Roundcube的HTML樣式過濾機制中。該漏洞由研究人員somerandomdev通報，攻擊者可藉此繞過既有的CSS樣式過濾規則，可能被濫用來推測或外洩網頁郵件介面中的資料，進而影響使用者的隱私安全。</p> <p>Roundcube開發團隊建議管理員立即升級至1.6.12或1.5.12版，以封堵潛在攻擊途徑，降低系統遭到入侵或資料外洩的風險。</p> <p>網頁郵件服務向來是跨站腳本攻擊（XSS）的高風險目標，主因在於其必須在瀏覽器中動態顯示來自外部來源的內容，包括HTML郵件、圖片、附件預覽與內嵌樣式等。即使系統本身未遭入侵，攻擊者仍可透過電子郵件這類「可信輸入管道」，將惡意內容直接送入使用者的瀏覽器環境。</p> </div></div></div>
2025/12/26 11:12作者王珮瑤https://www.ithome.com.tw/news/173031
Linux核心首度出現Rust漏洞，恐導致系統當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Linux核心近期修補<a href="https://lore.kernel.org/all/2025121614-CVE-2025-68260-558d@gregkh/" target="_blank">一項重大資安漏洞CVE-2025-68260</a>，這也是主線核心中首度正式指派給Rust程式碼的漏洞案例。該問題影響以Rust重寫的Android Binder模組，在特定條件下可能造成記憶體損毀，甚至引發系統當機。</p> <p><a href="http://lore.kernel.org/all/2025121614-CVE-2025-68260-558d@gregkh/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-CVE-2025-68260-linux.png" style="width: 600px;" /></a></p> <p>這項漏洞屬於競爭條件問題，發生於Rust Binder元件的death_list處理機制，相關程式碼位於drivers/android/binder/node.rs。Binder是Android系統中重要的行程間通訊（Inter-Process communication，IPC）機制，因此該漏洞對系統穩定性具有實質影響。</p> <p>根據研究人員的分析，問題核心出在Node::release函式的鎖定流程設計。該函式會先取得鎖定，將共享連結串列中的元素移至暫時的本地堆疊，隨後提前釋放鎖定，再對本地清單進行處理。然而，在鎖定解除後、處理尚未完成的短暫時間內，其他執行緒仍可能同時操作原始清單的prev與next指標，進而產生競爭條件。</p> <p>一旦這種狀況發生，連結串列的指標結構可能遭到破壞，導致記憶體損毀。實務上，該漏洞最直接的後果是核心崩潰（Kernel Panic），系統紀錄中可能出現「Unable to handle kernel paging request」等錯誤訊息，造成設備非預期重新開機或服務中斷，對企業環境與關鍵系統風險尤高。</p> <p>Linux核心CVE團隊指出，該漏洞是在Linux核心6.18版本中引入，源自一筆更新Binder程式碼的提交，但當時未妥善處理同步機制。相關問題已在後續版本中完成修補，包括Linux核心6.18.1與6.19-rc1。</p> <p>修補方式是重新設計Node::release的處理流程，改為直接從原始清單中取出元素，完全移除中介的暫時堆疊清單，以避免在鎖定解除後仍存取共享資料結構。</p> <p>Linux核心CVE團隊強烈建議使用者直接升級至最新的穩定版核心。官方也提醒，由於單一修補並未獨立測試，不建議僅選擇性套用特定提交。若短期內無法進行完整升級，管理人員可考慮從上游核心穩定分支套用相關修補，作為暫時因應措施，以降低系統當機風險。</p> <p><span style="font-size:22px;"><span style="color:#FFFF00;"><strong><span style="background-color:#000000;"> 為何這起Rust漏洞具有指標意義 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>這次事件再次提醒，Rust雖然具備記憶體安全方面的語言優勢，但並非「零漏洞保證」，仍需要嚴謹的設計與持續更新，才能真正發揮安全效益。</strong></span></p> <p><span style="color:#696969;"><strong>不過，<a href="https://www.ithome.com.tw/news/172247" target="_blank">從Android團隊在系統層大量導入Rust的經驗來看</a>，Rust在降低風險方面仍展現明顯成效。根據Android團隊統計，Rust程式碼的記憶體安全漏洞密度約為每百萬行0.2個，相較之下，C與C++程式碼歷年平均約為每百萬行1,000個，兩者差距接近千倍。</strong></span></p> <p><span style="color:#696969;"><strong>Android團隊也指出，重點不在於是否「完全沒有漏洞」，而是在於能否大幅降低漏洞出現的頻率與密度，而這正是Rust在系統層程式開發上的核心價值。</strong></span></p> </div></div></div>
2025/12/26 11:28作者王珮瑤https://www.ithome.com.tw/news/173032
Kibana出現高風險XSS漏洞，多個版本恐遭惡意指令碼攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Elastic在12月19日發布<a href="https://discuss.elastic.co/t/kibana-8-19-9-9-1-9-and-9-2-3-security-update-esa-2025-34/384182" target="_blank">資安公告</a>，說明Kibana存在一項高風險資安漏洞，可能讓已通過驗證的攻擊者，在其他使用者瀏覽的網頁內容中植入並執行惡意指令碼。該漏洞編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68385" target="_blank">CVE-2025-68385</a>，屬於高風險等級（CVSS分數7.2）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-Kibana%20Security%20Update-ESA-2025-34.png" style="width: 500px;" /></p> <p>Kibana是Elastic旗下的重要產品，也是Elastic Stack（ELK）中的核心視覺化與分析工具，廣泛用於日誌管理、資安監控、應用效能管理（APM）及即時資料分析。許多企業仰賴Kibana來視覺化Elasticsearch中的大量資料，並透過儀表板即時掌握系統與業務狀態。</p> <p>Elastic表示，問題出在Kibana用來顯示圖表的Vega視覺化元件。系統在產生網頁內容時，沒有仔細檢查使用者輸入的內容，讓攻擊者有機會把惡意指令碼藏進圖表中。當其他人開啟這些圖表時，瀏覽器就會執行惡意指令碼，可能導致帳號資訊或重要資料被竊取。</p> <p>CVE-2025-68385被歸類為<a href="https://cwe.mitre.org/data/definitions/79.html" target="_blank">CWE-79</a>的跨站腳本攻擊（Cross-site Scripting，XSS）手法，雖然攻擊者必須通過身分驗證，但影響範圍不僅限於單一帳號，惡意內容可擴散至同一Kibana實例中的多名使用者，對資料機密性與完整性構成威脅。</p> <p>受影響的Kibana版本涵蓋範圍廣泛，包括7.x分支的所有版本；8.x系列中，8.0.0至8.19.8版本皆存在漏洞；9.x分支則影響9.0.0至9.1.8，以及9.2.0至9.2.2等版本。</p> <p>Elastic已發布修補版本，要求用戶立即升級至Kibana 8.19.9、9.1.9或9.2.3。上述版本已修正Vega視覺化元件中的輸入處理問題，補全XSS防護機制。</p> <p>Elastic提醒，資安團隊應儘速完成Kibana環境的修補作業，並檢視系統是否存在已驗證使用者建立的可疑視覺化內容。在完成升級前，建議透過網路分區、限制存取對象等方式，降低潛在風險。</p> </div></div></div>
2025/12/26 10:27作者王珮瑤https://www.ithome.com.tw/news/173030
巴西跟進歐盟，要求蘋果放寬App Store限制並開放第三方市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.br/cade/pt-br/assuntos/noticias/cade-forma-maioria-pela-homologacao-de-tcc-em-investigacao-sobre-praticas-da-apple-no-ios" target="_blank">巴西正式跟進歐盟腳步</a>，要求蘋果放寬iOS生態系中對App Store的多項限制。巴西反壟斷機關Administrative Council for Economic Defense（CADE）近日形成多數意見，原則上同意蘋果在反競爭調查案中提出的和解方案，要求其允許第三方程式市集、App側載，以及在App Store以外完成數位內容付費，否則最高將面臨1.5億Brazilian reais（BRL）（約3,000萬美元）的罰款。</p> <p>根據CADE公布內容，蘋果必須放寬對iOS應用程式散布與支付流程的控制。具體措施包括允許開發人員在App內或App外導引使用者前往外部平臺完成交易，不再強制使用蘋果的App內部購買（IAP）系統，並開放替代支付方式與蘋果既有方案並列呈現；此外，也須允許替代的應用程式散布管道，亦即第三方程式市集，且不得透過警告畫面、措辭設計或操作流程，變相干擾使用者選擇。</p> <p>依照協議內容，蘋果須在相關條款生效後105天內完成系統與規則調整，協議有效期為三年。在此期間，蘋果必須持續遵守上述開放義務；若未能履行承諾，CADE可重新啟動調查程序，並對蘋果處以罰款。</p> <p>此案源自拉丁美洲電商業者Mercado Libre於2022年底提出的申訴，指控蘋果濫用其在iOS應用程式散布市場的支配地位，限制開發人員向使用者提供其他數位商品與服務的管道。CADE調查後認為，蘋果對App散布與支付機制的高度集中控制，可能排除競爭並壓縮創新空間，因此自2024年起即陸續採取預防性措施。</p> <p>巴西此次監管行動，也被視為延續歐盟先前的改革方向。歐盟已於2024年依據《數位市場法》（Digital Markets Act）要求蘋果開放第三方程式市集及允許App側載，並放寬對App Store外部付費的限制，成為全球首個以立法方式要求鬆動iOS封閉生態的司法管轄區。相較之下，巴西目前仍處於制度即將落地的階段，但已顯示全球監管機構正逐步加大對行動應用生態競爭結構的關注。</p> </div></div></div>
2025/12/26 10:46作者陳曉莉https://www.ithome.com.tw/news/173050
Google可望允許變更Gmail電子郵件地址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google一直以來是不允許修改Gmail電子郵件位址的，<a href="https://www.bleepingcomputer.com/news/google/google-will-finally-allow-you-to-change-your-gmailcom-address/" target="_blank">但媒體發現</a>Google的一項技術文件顯示，未來用戶可能被允許變更Google帳號的Gmail郵件地址。</p> <p>Google帳戶（Google Account）和Gmail電子郵件位址過去是永久綁定的。雖然Google允許用戶在Google帳號使用不同的別名（alias），但原則上用戶無法變更主要的Gmail電子郵件地址。如果用戶想換Gmail電子郵件地址，用戶必須建立全新帳戶，並手動搬移資料。但根據媒體發現的<a href="https://support.google.com/accounts/answer/19870?dark=0&sjid=13129471057818824497-NA&hl=hi" target="_blank">印度文版Google Help網頁</a>，可能未來不必那麼麻煩。</p> <p>Google說明，Gmail地址可讓使用者登入Google Account及服務，也可讓用戶及其他人識別Gmail郵件。但如果用戶願意，也可以變更Google Account的電子郵件地址，改成新的gmail.com郵件地址。</p> <p>改成新Gmail地址後，就能用它來登入Google服務、（帳號被竊時）取回帳戶、或接收Google通知。</p> <p>更重要的是，原有Google Account上的舊gmail地址將被設定為新gmail地址的別名（alias address），這使得新舊gmail信箱都能接收到郵件。而同時，原信箱位址儲存的資料不變，包括原本的舊信件、相片和訊息等。新、舊Gmail地址都可以登入其他Google服務，包括Google Maps、Google Drive、YouTube、Google Play Store等。</p> <p>但Google也設下限制。變更後用戶Google Account還是可以用回原本舊Gmail信箱地址，但未來12個月內不能再建立新的Gmail地址，也無法刪掉新的Gmail信箱地址。</p> <p>這項變更新措施將漸次推向所有用戶。如果用戶想變更，可以先在Google Account > 「個人資訊」>「電子郵件」設定下，查看是否有出現可以變更Google Account郵件地址的選項。如果有表示已經適用新功能。</p> <p>會不會推到臺灣，或是推廣到臺灣的時程都不確定。</p> </div></div></div>
2025/12/26 11:04作者林妍溱https://www.ithome.com.tw/news/173051
Nvidia修補機器人平臺Isaac 3個重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5749/" target="_blank">Nvidia本周發布安全更新</a>，修補機器人平臺Isaac三個風險值9.8的重大資安漏洞。</p> <p>這三個漏洞為CVE-2025-33222、CVE-2025-33223、CVE-2025-33224，是由Nvidia AI Red Team發現。三個漏洞皆出現在Isaac Launchable元件中。其中CVE-2025-33222和憑證寫死（hard-coded credential）有關，成功濫用可能引發程式碼執行（RCE）、提權攻擊（EoP）、阻斷服務（denial of service，DoS）以及資料竄改。CVE-2025-33223及CVE-2025-33224都是讓駭客取得不必要的程式碼執行權限，若讓駭客成功濫用，除了能引發RCE、EoP和DoS、資料竄改，還可能導致資訊外洩。三個漏洞CVSS風險值都高達9.8。</p> <p>舊版Isaac Launchable皆受影響，<a href="https://github.com/isaac-sim/isaac-launchable" target="_blank">Nvidia已釋出</a>最新的Isaac Launchable 1.1修補。</p> <p>二周前，<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5733" target="_blank">Nvidia才修補</a>完Isaac Lab一項安全問題，為編號CVE-2025-32210的反序列化（deserialization）漏洞，成功濫用有可能讓駭客執行惡意程式碼，其CVSS風險值也高達9.0。Nvidia已釋出Isaac Sim v2.3.0修補。</p> </div></div></div>
2025/12/26 09:30作者林妍溱https://www.ithome.com.tw/news/173048
WatchGuard警告 Firebox程式碼執行漏洞已遭到濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00027" target="_blank">資安業者WatchGuard本周警告用戶</a>，Firebox防火牆存在一個能讓未經授權攻擊者遠端執行程式碼的資安漏洞，而且已經遭到濫用。而且網路上還有九萬臺裝置未修補漏洞，包括臺灣近200臺。</p> <p>這項編號CVE-2025-14733的漏洞是內部研究發現，為位於Firebox OS的iked行程的越界寫入（out-of-bounds write）漏洞。成功利用此漏洞的遠端攻擊者無須任何使用者互動，可在未修補的Firebox設備上執行任意程式碼。該漏洞CVSS風險評分高達9.3，屬於重大風險等級。</p> <p><a href="https://www.watchguard.com/wgrd-blog/watchguard-fireware-versions-202514-12116-and-12515-available-now" target="_blank">WatchGuard說明</a>，它存在Firebox OS中的IKEv2 VPN服務中，影響所有機種和韌體版本的Firebox機器，包括具有IKEv2的手機版VPN，以及配置成使用IKEv2的分公司VPN（branch office VPN,BOVPN）動態對等閘道（dynamic gateway peer）。</p> <p>WatchGuard已經在12月18日釋出新版本韌體，包括Fireware 2025.1.4、Fireware v12.11.6、Fireware v12.5.15、Fireware v12.3.1 Update 4，並呼籲用戶儘速安裝更新。值得一提的是，如果用戶的Firebox之前曾配置成上述二種型態其中之一，即使後來刪除配置，該Firebox也還是會受影響。</p> <p>WatchGuard在12月23日發出公告，已經觀察到二起濫用漏洞攻擊Firebox裝置的活動。其中一起，攻擊者先遠端攻擊Firebox裝置，再把裝置的現行配置檔加密回傳給攻擊來源IP位址。第二起攻擊中，攻擊者將現行配置檔及本地管理使用者資料庫建立成gzip檔，再回傳給來源IP位址。</p> <p>廠商也提供了已知攻擊的IP位址，並提醒用戶及管理員，如果懷疑遭到攻擊，管理員應依據業者提供的修正指引操作，並建議立即輪換本地儲存的憑證。</p> <p>根據網路安全監控非營利組織ShadowServer基金會的數據顯示，截至12月24日，全球網路上曝險的Firebox裝置還有9.1萬臺。而以國家來看，以美國的3萬臺最多，其次為義大利、德國及英國，各有7000餘臺。<a href="https://dashboard.shadowserver.org/statistics/combined/map/?date_range=1&map_type=std&source=isakmp_vulnerable&source=isakmp_vulnerable6&tag=cve-2025-14733%2B&data_set=count&scale=log&auto_update=on" target="_blank">臺灣</a>迄今仍有171臺曝險。</p> </div></div></div>
2025/12/26 09:50作者林妍溱https://www.ithome.com.tw/news/173049
AI帶來IT質變與量變
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生成式AI在2025年持續風行，不論在工作或生活的場合，每個人都在熱烈討論或聽聞相關技術應用的最新進展，2026年這股熱潮仍將持續發威，成為各個領域發展的重要推手。最近我們參加應用系統遞送與資安（Application Delivery and Security）廠商F5的年終報告，透過他們的分析，得以參照今年企業AI應用現況，瞭解IT服務品質與規模正在經歷激烈的變化。</p> <p>該公司引用的資料是2025年4月發布的年度應用系統戰略現況報告，高達96％的企業都正在部署AI模型，回顧2023年，只有四分之一的企業這麼做。現在的企業如何使用AI？72％的人表示用於提升應用系統效能，59％用於提升成本效率、實施資安防護規則，以及自動緩解零時差漏洞。</p> <p>有一半的組織，採用AI閘道連接應用系統與AI工具，其餘40％組織打算在未來一年來導入這類機制。而且，有62％組織透過上述方式來保護與管理AI模型，獲得集中控管能力，以及藉此防護企業、避免發生敏感資料外洩的事故。</p> <p>大眾與各種產業能夠從AI獲益的機會相當豐富，但因此面臨的種種挑戰也令人難以忽視其不便與風險。F5年度報告點出首項憂慮是AI模型的安全性，許多企業無法處理AI應用系統帶來的巨量資料、複雜流量模式，以及新的網路攻擊路徑。</p> <p>而在營運AI系統的就緒程度，也存在很大落差。例如，高度就緒的只有2％，中度就緒的有77％，低度就緒的有21％，之所以無法提高的原因在於治理、安全性，以及IT基礎架構的配合等問題；高達6成的組織仍受困於手動工作流程，原因包含預算的限制、複雜的廠商生態，以及各種自定的組態設定，導致自動化變成困難又耗時的工作；而且，有54％的組織表示受限於技能短缺，使得AI應用開發面臨重重阻礙；組建與營運AI工作負載的成本問題，也比2024年增加（42％提升至48％）。</p> <p>無法建立能夠擴展使用規模的資料處理實務，也成為組織導入AI的難題，2024年表示有這類挑戰的比例是33％，2025年增加至39％。因為AI系統出現潛在偏見或胡說八道狀況而無法信任AI的比例，也從27％，提升至34％，不過，F5也看到抱怨資料品質不佳的比例有下滑跡象，2024年是56％，2025年降至48％。</p> <p>對於API方面的顧慮，也相當顯著。58％的組織認為這項技術議題已成為很棘手的部分。由於近年來許多企業推動的數位轉型，出現大量API，不分規模大小的企業都擔憂接踵而來的資安風險，而且，每支API可能有數百個端點存取，每一個都必須受到保護，保衛應用系統與資料安全。</p> <p>有些組織為了管理涉及眾多API與程式語言的複雜組態設定，所耗費的工作時間就占了一半；而在自動化相關的工作任務當中，組織花在廠商API搭配最多，達到31％，其次是自定指令碼撰寫，有29％，接著是工單與管理系統的整合，比例也高達23％。</p> <p>部署方式也對應用系統型態產生影響，F5的報告也反映這個現象，橫跨多種環境進行混合部署的組織，比例高達94％，這些環境包含公有雲、私有雲、企業自建自管的資料中心、邊緣運算、服務業者代管的IT設施，而之所以這麼做，是為了符合執行規模的擴展、成本、法規遵循等要求。</p> <p>有91％的組織表示，採用多雲的第一個原因，在於他們能藉此適應業務需求的不斷變化，其次是改善應用系統的韌性（68％），以及獲得成本效益（59％）。</p> <p>在企業AI工作負載的部署策略上，也受到IT架構混合模式的影響，根據F5的報告指出，51％的組織計畫AI模型的使用將會橫跨雲端與內部環境，但特別的是，當中也有高達79％的組織，近期打算將至少一套應用系統從公有雲，搬回內部環境或代管環境，原因是希望控管成本、資安顧慮，以及希望掌握可預測性（predictability），相較於2021年的調查，現在表態這麼做的企業比例增加了13％，顯示企業在依賴公有雲的狀態下，對於彈性的保有也越來越重視。</p> <p>不過，混合模式雖然受到普遍採用，企業仍擔憂採用這種架構引發的副作用。例如，53％的組織擔心應用系統交付政策的不一致，47％的組織顧慮資安策略的分散。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/ai%E6%87%89%E7%94%A8">AI應用</a></div></div></div>
2025/12/26 06:00作者李宗翰https://www.ithome.com.tw/voice/173047
Nvidia挖角Groq人才並達成授權協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>CNBC周三（12/24）<a href="https://www.cnbc.com/2025/12/24/nvidia-buying-ai-chip-startup-groq-for-about-20-billion-biggest-deal.html" target="_blank">報導</a>，Nvidia將以200億美元買下AI晶片新創Groq，成為Nvidia史上最大收購案，<a href="https://groq.com/newsroom/groq-and-nvidia-enter-non-exclusive-inference-technology-licensing-agreement-to-accelerate-ai-inference-at-global-scale" target="_blank">但Groq隨後便宣布</a>，其實是與Nvidia達成非獨家授權協議，同時Groq的創辦人Jonathan Ross、總裁Sunny Madra，以及Groq團隊的其他成員都將加入Nvidia，而Groq仍將繼續獨立經營。</p> <p>Groq是在2016年由前Google TPU首席架構師所創辦，為一專注於AI推論的晶片與系統公司，其核心理念是以專為推論設計的LPU（Language Processing Unit）架構，取代以通用GPU為主的執行模式。LPU主打完全確定性的執行流程與極低延遲，特別適合大型語言模型的即時推論場景。此外，Groq不僅設計晶片，也自行開發編譯器及系統軟體，強調軟硬體垂直整合，並已透過GroqCloud提供雲端推論服務，主打高吞吐量與低成本，定位為GPU推論之外的替代方案。</p> <p>根據Groq的說法，該公司與Nvidia達成了一項非獨家授權協議，授權Nvidia使用Groq的推論技術，雙方的協議還涵蓋Ross、Madra與其他Groq團隊成員都將加入Nvidia，以協助推動及擴大所授權的技術。</p> <p>Groq將持續以獨立公司形式營運，並由Simon Edwards接任執行長，且GroqCloud將繼續營運，不會中斷。Edwards原本是企業軟體公司Conga的財務長，<a href="https://groq.com/newsroom/groq-names-simon-edwards-chief-financial-officer" target="_blank">甫於今年9月</a>跳槽至Groq並接任財務長。</p> <p>這起合作在形式上並非併購，Groq仍維持獨立法人與GroqCloud的營運；但透過推論技術授權，以及多位核心成員轉入Nvidia，雙方在技術與實務層面已建立高度連結。對Nvidia而言，這種安排能加速推論能力的補強，同時避免直接併購帶來的監管壓力。不過，迄今Nvidia尚未公開回應此事。</p> </div></div></div>
2025/12/25 18:20作者陳曉莉https://www.ithome.com.tw/news/173045
微軟釋出例外修補程式解決安全更新造成的MSMQ錯誤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3753" target="_blank">微軟本周釋出</a>例外（Out-of-Band，OOB）修補程式，解決近日安全更新引發的Windows MSMQ無法運作的問題。</p> <p>這個例外更新是解決本月Patch Tuesday釋出的KB5071546，引發Windows Server一個導致訊息佇列和資源不足有關MSMQ問題。這個問題被用戶反映好幾天後，<a href="https://learn.microsoft.com/en-us/answers/questions/5669061/regarding-problems-with-msmq-in-the-december-2025" target="_blank">微軟才出面證實</a>。</p> <p>發生錯誤時，MSMQ訊息佇列靜止不動、IIS網站無法展開，帶有「執行運作的資源不足」的錯誤訊息、應用程式無法寫入佇列、應用程式撰寫訊息檔案時出現「C:\Windows\System32\msmq\storage*.mq無法建立」的錯誤訊息，以及一些像是「磁碟空間或記憶體不足」的誤導log。</p> <p>受影響的Windows版本包括Windows 10用戶端及伺服器端。用戶端包含Windows 10 1607、1809、Windows 10 21H2、22H2。伺服器端則有Windows Server 2012/2012 R2、2016及2019。運作中的叢集MSMQ環境也受影響。</p> <p>這些問題主要影響企業或代管IT環境。安裝Windows Home和Pro版本的個人裝置不會發生這些問題。</p> <p>這個例外更新本周稍早，已釋出到<a href="https://catalog.update.microsoft.com/" target="_blank">Microsoft Update Catalog</a>上。</p> </div></div></div>
2025/12/25 18:32作者林妍溱https://www.ithome.com.tw/news/173046
駭客平臺抓取了Spotify將近100%的歌曲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客平臺Anna's Archive上周末宣稱從串流服務業者Spotify抓走300TB檔案，幾乎是平臺上所有曲目。Spotify已證實此事。</p> <p>Anna's Archive自稱是人類史上最大真正開放的資料庫。<a href="https://annas-archive.org/blog/backing-up-spotify.html" target="_blank">該平臺宣稱</a>，早先，他們發現大規模抓取Spotify資料的管道，可讓他們建立音樂歸檔，目的是提供網友保存。他們一共備份了Spotify將近300TB的音樂檔案和metadata，並且提供torrents公開下載。</p> <p>這些檔案包含2025年7月以前收錄平臺的2.56億首歌曲和音樂，以及1.86億條ISRC（國際標準錄音錄影資料代碼）。駭客宣稱釋出的資料占Spotify所有歌曲的99.9%，而其備份的8,600萬個音樂檔案，資料量達300TB，占比達99.6%。最受歡迎的10,000首歌曲已經以13.8MB的gzip檔格式釋出。駭客說，將分階段把Spotify資產，包括metadata、音樂檔案、其他檔案metadata、唱片專輯、及.xstdpatch檔（作為重建原始檔案之用）開放。</p> <p><a href="https://therecord.media/spotify-disables-scraping-annas" target="_blank">Spotify周一對媒體表示</a>，這整件事是駭客使用了第三方單位建立的用戶帳號，而非「駭入Spotify」。駭客違反該公司使用條款，竊走平臺某些音樂資料，時間約數個月，但是該公司未說明外洩資料的規模。該平臺並稱，駭客並未竊取用戶資料，而且公開檔案前沒有聯繫他們。現在Spotify已經找到駭客用於資料竊取的檔案且加以關閉，他們也已經加入新的防護措施，持續監控可疑行動。</p> <p><a href="https://www.aicerts.ai/news/pirate-scrape-exposes-300tb-spotify-archive/" target="_blank">AI Certs分析</a>Anna's Archive的犯案手法。駭客是從Spotify API端點進行大規模網頁抓取，研究人員懷疑可能使用令牌收割（token harvesting）以繞過流量速限保護。而且駭客可能違法繞過了DRM防護而擷取了某些聲音檔。<a href="https://www.malwarebytes.com/blog/news/2025/12/hacktivists-claim-near-total-spotify-music-scrape" target="_blank">MalwareBytes</a>分析，這事件可以說是產業規模內容竊取的教科書式案例，並警告如果有心人士駭入夠多合法帳號或建立看似合法的假帳號，長期而言就能削弱內容防護。</p> </div></div></div>
2025/12/25 14:00作者林妍溱https://www.ithome.com.tw/news/173044
ChatGPT Atlas代理模式更新，引入對抗式訓練防提示詞注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI在ChatGPT Atlas的代理模式<a href="https://openai.com/index/hardening-atlas-against-prompt-injection/">推出安全更新</a>，替瀏覽器代理導入新的對抗式訓練模型檢查點，並強化周邊防護機制。OpenAI表示，更新主因是透過內部自動化紅隊演練發現一類新的提示詞注入攻擊手法，因此先行修補，以降低代理在執行使用者任務時被誤導的風險。</p> <p>所謂代理模式，是讓系統在使用者瀏覽器中讀取網頁內容並代為點擊與輸入，也可能在處理郵件、文件或行事曆等工作流程中接觸到大量外部內容。OpenAI提醒，當代理能在登入狀態與既有工作脈絡下採取動作，攻擊者就可能把惡意指令混入郵件、附件、共享文件或一般網頁，誘使代理把不受信任的文字誤當成應遵循的指令，導致偏離使用者原本的要求。</p> <p>OpenAI內部自動化紅隊演練發現一類新的提示詞注入攻擊手法，以OpenAI示範情境來說，攻擊者可先投放一封含惡意指令的郵件到收件匣，之後使用者請代理撰寫外出自動回覆時，代理在檢視未讀信件的過程中遭到誤導，反而寄出辭職信給使用者的主管或CEO，導致外出自動回覆沒有完成。也就是說，提示詞注入攻擊不必仰賴傳統網站漏洞，甚至不一定要透過釣魚引導使用者互動，也可能在日常工作流程中被觸發。</p> <p>OpenAI表示已替Atlas瀏覽器代理推出安全更新，內容包含新一版經對抗式訓練的模型檢查點，並加強周邊防護措施。OpenAI也說明其自動化紅隊做法是以大型語言模型為基礎，透過強化學習訓練自動攻擊者，讓其在模擬環境中反覆試探不同的提示詞注入策略，再利用目標代理的推理與動作軌跡作為回饋，快速找出可成功誤導代理的方式。</p> <p>當自動化紅隊發現新的有效攻擊模式，防守端就把這些案例納入對抗式訓練，並把攻擊軌跡用來改善模型以外的防護堆疊，例如監控機制、放入模型脈絡的安全指示，以及系統層保護措施，讓代理在接觸不受信任內容時更能維持以使用者意圖為優先的判斷，並在關鍵動作前要求確認。</p> <p>針對使用者端的風險管理，OpenAI建議在任務不需要登入時盡量以登出狀態或未登入狀態執行，並在系統要求確認寄信、購買等高影響動作時仔細核對內容。OpenAI同時提醒，交付任務時避免給出過於寬鬆的指令，改以更明確、範圍更小的需求描述，可降低不受信任內容干擾代理判斷的機會。</p> </div></div></div>
2025/12/25 08:00作者李建興https://www.ithome.com.tw/news/173028
數發部推出臺灣主權AI語料庫，已上架文化、藝術、地理、交通等逾2千個資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數發部推動我國主權AI發展再進一步，今天(12/24)正式推出<a href="https://taic.moda.gov.tw/" target="_blank">臺灣主權AI語料庫</a>，目前語料庫已有文化部、教育部、客委會、原民會、交通部、海委會等超過200個政府機關參與，提供超過2千筆的資料集，相當於6億的Tokens，涵蓋文化藝術、教育、地理、語言、醫療、交通等資料。</p> <p>今天開始對外釋出的語料庫，上面分為2部分，一部分為僅供AI訓練使用的授權資料，需提出申請，通過審核方能使用，另一部分為開放資料，開放自由下載。外界欲使用必需先提出申請，先以自然人憑證或工商憑證確認身分，提出語料使用的目的，經數發部約7天的時間進行審核，開放申請者下載資料集。目前這些資料提供的電子檔，包括PDF、JSON格式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-24%20%E4%B8%8B%E5%8D%886_23_32.jpeg" style="width: 600px; height: 356px;" /></p> <p>數發部資料創新司司長莊明芬指出，由於語料庫採用授權條款，必需提出申請，提供語料使用目的文件後，經審核提供授權帳號給申請者。語料庫採與國際共享資料接軌的FAIR原則，即Findable (易查找)、Accessible (易取得)、Interoperable (可互通)、Reusable (可再利用)，採通用的PDF及JSON格式，讓開發者容易查找、容易使用，並可供AI訓練再利用。</p> <p>目前語料庫上提供的語料，多為中央政府部會及機關釋出，未來將擴大至地方政府，並鼓勵民間將資料上架至語料庫。</p> <p><strong><span style="color:#B22222;">為何需要主權語料庫？</span></strong></p> <p>數發部次長侯宜秀表示，數發部促進國內AI發展的5項策略，算力、資料、行銷、人才、資金，在資料方面，促進資料創新利用發展條例草案目前已由行政院審議討論中，相信很快會送交立法院；另外，為促進政府機關之間的資料分享交換，數發部也正進行資料匯流隱私強化工作，這些都為臺灣提供資料應用發展的基礎。</p> <p>在全球各國競相發展AI的時代下，外界關心各國AI發展的護城河是什麼？侯宜秀認為，算力不算是護城河，真正的護城河是資料及人才，臺灣獨有資料除了我們自己，沒有其他國家或科技公司會提供協助，必需我們自己來作；不只是過去的資料，更重要的是讓未來持續產生資料，建立良好機制，讓資料能夠被用來發展AI，這正是主權AI語料庫要建立的機制。</p> <p>侯宜秀補充說明，主權AI語料庫一開始會先在政府部門內建立協作機制，促進政部部門將過去的資料、持續新增的資料放到語料庫，接下來是與民間單位合作，讓民間資料納入語料庫，鼓勵開發者、研究，甚至讓Google、DeepMind等AI科技運用這些資料，讓LLM模型更符合臺灣的需求，同時也促進新創公司有足夠資源發展符合臺灣需求的AI，增加臺灣文化、價值在世界的能見度。</p> <p>莊明芬表示，語料庫是AI發展的重中之重，以「土豆」為例，在中國指的是蕃薯，在臺灣指的是落花生，因此餵養AI的資料會影響其所產生的答案。加強AI語料中繁體、正體中文的比重相當重要，可讓大型語言模型能理解臺灣的價值、政經文化。</p> <p><span style="color:#B22222;"><strong>3大策略以資料推動主權AI發展</strong></span></p> <p>因此，數發部有3大策略，第1個策略是建立臺灣主權AI語料入口網，打造臺灣語料發展的基礎建設，支援主權AI模型的訓練需求；第2個策略是對A發展中的著作財產權處理，提出促進資料創新利用發展條例，對資料合法合規共享提出清楚的規範；第3個策略是強化語料來源，促進公私部門語料釋出，提升語料庫的深度及廣度。</p> <p>首先是第1個策略的語料庫方面，目前數發部已建置臺灣主權AI語料庫入口網，並強調上面提供「高品質、在地的正體中文資料」，涵蓋具有臺灣文化特色及觀點，例如政治、社會、經濟、歷史等等，這些正體中文資料為語意連貫、內容完整，而非數字、圖表或條列式的文字。語料庫的資料必經過人工審核為人工創作的資料，並以電子檔釋出。</p> <p>第2個策略是促成資料的共享利用，數發部提出促進資料創新利用發展條例草案，其中的精神是促進資料開放、共享、再利用，促進政府資料開放、產業及民間資利他運用。</p> <p>莊明芬補充說明，促進資料創新利用發展條例草案第26條，對於政府機關將政府資料作為開放資料，應採標準授權對外釋出，可作為人工智慧及其他新興科技研發使用；第27條規定，政府機關將政府資料作為共享資料提供利用，應以非專屬授權利用方式，以供AI等新興科技利用。</p> <p>數發部也與經濟部智財局合作，共同制定臺灣AI語料庫的授權條款，目前為第1版，強調提供一次性授權，希望在促進AI發展及著作權保護間取得平衡。莊明芬表示，透過一次性授權減少個別著作權商議的行政成本，同時解決AI使用語料的著作權爭議。</p> <p>其中在授權人方面，在授權人的明確同意下，讓其提供的語料能被人工智慧訓練所使用，包括授予被授權人重製、改作、編輯及其他著作權和著作相關權利上必要的使用權，使其合法用於AI訓練；而被授權人則有明確標示的義務，包括使用的資料集及提供者，而以AI產出內容也應標示人工智慧生成產出，落實透明原則。另外，也要求訓練的成果不應與原語料實質近似，對原語料的市場或價值造成負面影響。</p> <p>第3個策略促進公私部門資料釋出，數發部已舉行說明會，對政府部會及機關說明政府資料釋出，並透過工作坊加速政府機關將資料上架。</p> <p>促進公私部門資料釋出，第一階段先以中央部會機關為主，明年將開始擴大到地方政府及機關，以及向民間業者推廣。</p> </div></div></div>
2025/12/24 18:12作者蘇文彬https://www.ithome.com.tw/news/173029
南陽實業傳出遭勒索軟體DireWolf入侵，駭客向車主寄送簡訊聲稱個資已外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個月韓國汽車大廠現代（Hyundai）旗下的<strong><a href="https://www.ithome.com.tw/news/172097">北美IT供應商AutoEver America傳出內部系統遭駭</a></strong>，該公司向美國緬因州與麻州檢察長辦公室呈報此事，並表示車主的姓名、社會安全碼，以及駕照資料外洩，如今該廠牌再傳資安事故，而且，就發生在臺灣而廣泛引起關注。</p> <p>最早報導此事的是<strong><a href="https://www.mirrormedia.mg/story/20251223soc002">鏡週刊</a></strong>，名為DireWolf的勒索軟體駭客向許多現代車主寄送簡訊，聲稱車主個資與車輛資訊遭現代汽車臺灣總代理南陽實業洩露，並取笑該公司完全沒有保護客戶隱私，若是未來車主因此遭到詐騙或蒙受損失，必須向南陽究責及求償。這種直接向受害企業的客戶寄送簡訊，宣稱客戶資料已外流的手法，顯然會引起不少車主恐慌。對此，南陽實業表示，他們已啟動防禦機制與備援措施，呼籲車主勿點擊來路不明的簡訊。</p> <p>南陽實業也提出說明，這起事故是他們的簡訊系統遭到入侵，導致部分車主收到駭客寄送的簡訊。該公司資安部門已全面啟動防禦機制與備援措施，並報請司法單位協助處理。</p> <p>針對DireWolf的來歷，<strong><a href="https://www.ithome.com.tw/news/169740">這些駭客最早在5月開始活動</a></strong>，專門針對全球的製造業與科技業發動攻擊，揭露此勒索軟體駭客組織的資安公司Trustwave提及，臺灣是其中一個駭客偏好下手的目標。上述事故是否就是勒索軟體攻擊，駭客是否加密該公司檔案並外傳，也成為外界關注的焦點。</p> <p>在鏡週刊報導此事的同一時間，<strong><a href="http://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170146&SPOKE_DATE=20251223&COMPANY_ID=2206">南陽實業的母公司三陽工業也在23日傍晚代其發布資安重訊</a></strong>，說明子公司南陽實業偵測到部分資訊系統遭到網路攻擊的情況，該公司已協調外部資安公司與技術專家合作處理，並到警局報案，根據初步調查的結果，對於南陽實業營運無重大影響。不過這則重訊是否與上述事故有關，有待進一步釐清。</p> </div></div></div>
2025/12/24 16:37作者周峻佑https://www.ithome.com.tw/news/173024
【資安日報】12月24日，南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173024"><strong style="font-size: 22px;">南陽實業傳出遭勒索軟體DireWolf入侵，駭客向車主寄送簡訊聲稱個資已外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ba6b12d9-608f-410c-a371-64d87305-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ba6b12d9-608f-410c-a371-64d87305-1.png" style="width: 300px; float: right;" /></a></p> <p>上個月韓國汽車大廠現代（Hyundai）旗下的北美IT供應商AutoEver America傳出內部系統遭駭，該公司向美國緬因州與麻州檢察長辦公室呈報此事，並表示車主的姓名、社會安全碼，以及駕照資料外洩，如今該廠牌再傳資安事故，而且，就發生在臺灣而廣泛引起關注。</p> <p>最早報導此事的是鏡週刊，名為DireWolf的勒索軟體駭客向許多現代車主寄送簡訊，聲稱車主個資與車輛資訊遭現代汽車臺灣總代理南陽實業洩露，並取笑該公司完全沒有保護客戶隱私，若是未來車主因此遭到詐騙或蒙受損失，必須向南陽究責及求償。這種直接向受害企業的客戶寄送簡訊，宣稱客戶資料已外流的手法，顯然會引起不少車主恐慌。南陽實業也提出說明，這起事故是他們的簡訊系統遭到入侵，導致部分車主收到駭客寄送的簡訊。該公司資安部門已全面啟動防禦機制與備援措施，並報請司法單位協助處理。</p> <p>在鏡週刊報導此事的同一時間，南陽實業的母公司三陽工業也在23日傍晚代其發布資安重訊，說明子公司南陽實業偵測到部分資訊系統遭到網路攻擊的情況，該公司已協調外部資安公司與技術專家合作處理，並到警局報案，根據初步調查的結果，對於南陽實業營運無重大影響。不過這則重訊是否與上述事故有關，有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/173010"><strong style="font-size: 22px;">威聯通上櫃當天卻傳出NAS檔案遠端存取服務遭駭疑雲，該公司澄清傳聞，表示僅有單一設備遭到入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/de9e13ec-412e-4d1b-9f43-954f46af3381.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/de9e13ec-412e-4d1b-9f43-954f46af3381.jpg" style="width: 300px; float: right;" /></a></p> <p>臺灣NAS設備廠商威聯通（QNAP）本週正式上櫃受到矚目，然而，當天卻突然有媒體報導駭客在暗網兜售從該公司NAS存取服務竊得一批資料，引起外界關注。</p> <p>最早報導此事的是民視新聞網，他們於12月22日指出，駭客組織KaruHunters在暗網宣稱竊得一批檔案量達到1.7 TB的資料，同時也取得威聯通核心雲端服務myQNAPcloud的資料，開價400美元兜售。對此，威聯通發出聲明表示，駭客竊得的資料實際上來自其中一家客戶的NAS設備，疑似因採用弱密碼與網路設備錯誤設定釀禍，造成NAS直接曝露在網際網路上，使得未經授權的攻擊者入侵並存取資料，威聯通強調，此事與myQNAPcloud沒有關聯，該公司也確認此服務並未遭到入侵，或是出現漏洞的情況。</p> <p>根據報導當中出現的螢幕截圖，第一張是KaruHunters在駭客論壇宣稱，他們握有myQNAPcloud.com的內部存取管道，並提供文件及使用者詳細資料等檔案佐證，開價400美元尋找買主，買家必須使用比特幣或門羅幣交易。為了確認是否真有這樣的資安威脅事故，我們找到威脅情報網站Dark Web Intelligence的揭露，他們恰巧也公布這張圖片，並指出KaruHunters聲稱此事的時間點在12月10日，當時駭客表明竊得myQNAPcloud的內部存取權限，Dark Web Intelligence提到，駭客同時也公布型號為TS-228的NAS設備系統畫面截圖。</p> <p><a href="https://www.ithome.com.tw/news/173006"><strong style="font-size: 22px;">工作流程自動化工具n8n存在近滿分重大漏洞，恐導致任意程式碼執行</strong></a></p> <p>AI代理盛行，能將AI工具與日常工作流程整合，並在無須編寫程式碼的情況下，進行自動化的工具也趁勢而起，其中，工作流程自動化NPM套件n8n有許多用戶，而受到關注。</p> <p>若是這類平臺存在弱點，攻擊者不僅有可能打亂或竄改流程，甚至有可能用來從事網路攻擊。12月19日n8n開發工程團隊發布公告，他們近期修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2025-68613，此漏洞出現於工作流程的表達式評估系統，在執行情境裡若與底層執行環境未充分隔離，由通過身分驗證使用者提供的表達式，將有可能在工作流配置被評估。此時通過身分驗證的攻擊者有機會濫用上述現象，透過n8n處理程序的特殊權限執行任意程式碼，CVSS風險評為9.9分（滿分10分），他們已在一個月前發布的1.120.4、1.121.1，以及1.122.0版更新當中，修補這項漏洞。</p> <p>值得留意的是，儘管上述更新已在一個月前發布，全球恐有超過10萬套n8n系統尚未修補CVE-2025-68613。根據資安業者Censys的威脅情報平臺統計，12月22日有103,963套n8n存在漏洞，其中美國、德國，以及法國最多，分別有28,436、17,546，以及10,058個平臺曝險。臺灣是否有尚未修補的n8n，目前仍不得而知。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-12-22-at-3_15_21-PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-12-22-at-3_15_21-PM.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/172990"><strong style="font-size: 22px;">美國NIST原子鐘故障，衝擊NTP網路時間協定服務</strong></a></p> <p>受強風導致的長時間停電影響，美國國家標準與技術研究院（NIST）於2025年12月20日發出警示，表示其位於科羅拉多州博爾德（Boulder）園區的原子鐘設施受供電故障影響，無法保證時間準確性，進而影響到該設施用於NTP網路時間協定服務的主機。NIST一度考慮關閉受影響的時間服務主機，以免提供與傳播錯誤時間資訊，但稍後在12月21日表示已恢復備援電力運作，並確認原子鐘時間偏差範圍，目前仍維持NTP服務等主機的運作。</p> <p>由於上週科羅拉多中部博爾德地區（位於丹佛西北部）發生強烈陣風，當地電網因此部分受損，電力公司也基於預防引發野火而關閉供電，導致NIST博爾德園區自12月17日起便失去市電供應，只能依靠備援電力維持運作。但部分備援用發電機後來發生故障，以致部分原子鐘與NIST測量分發系統之間的連線中斷，影響到博爾德園區透過16座原子鐘維持的標準時間尺度，包括NTP服務主機在內的6部時間伺服器都受到影響。由於強風導致搶修工作困難，NIST為此在12月20日發出警示，表示考慮關閉受故障影響的時間伺服器，以免散播不準確的時間資訊。</p> <p>NIST隔天12月21日又發出更新訊息，表示已經恢復備援電力，監控顯示博爾德園區設施的時間誤差小於5微秒（μs），因而繼續維持時間伺服器運作。NIST指出5微秒的偏差不致影響大多數用戶，但可能影響需要極高精度時間的航太、科學等應用的用戶，他們已經通報這類高階用戶，並提供其他時間服務網路存取權限。</p> <p><a href="https://www.ithome.com.tw/news/172998"><strong style="font-size: 22px;">羅馬尼亞水務局傳出遭勒索軟體攻擊，駭客利用BitLocker將檔案加密</strong></a></p> <p>羅馬尼亞水務管理署（Administrația Națională Apele Române）上周末遭到勒索軟體攻擊，傳近千臺電腦無法運作。</p> <p>該單位於12月20日向羅馬尼亞國家網路安全局通報，水務管理署及羅馬尼亞10個流域管理單位眾多電腦和伺服器遭到勒索軟體攻擊，影響近1000個ICT系統，包括地理資訊系統應用伺服器、資料庫伺服器、Windows工作站、Windows伺服器、電子郵件和網頁伺服器，以及域名伺服器（DNS）等。經過調查，發現駭客濫用Windows內建的BitLocker資料保護機制來加密受害系統上的檔案。</p> <p>不過，當局表示，營運科技（OT）未受影響，因此用水調度和水利設施運作等日常作業仍在「正常範圍」內執行。水利設施安全由本地值班人員在調度部門的協調下進行本地操作。水務管理署已和資安部門合作以及早回復資訊系統，並說，水務署的基礎架構之前不在羅馬尼亞國家安全防護體系保護範疇內，現在政府已著手將該基礎設施整合到CNC開發的系統中，並透過智慧技術確保其安全。</p> <p><a href="https://www.ithome.com.tw/news/173002"><strong style="font-size: 22px;">法國郵政遭DDoS攻擊，網站與行動服務皆斷線，親俄駭客組織NoName057宣稱犯案</strong></a></p> <p>12月23日法國郵政（La Poste）證實遭到網路攻擊，導致包含銀行及網站所有資訊服務皆斷線。親俄駭客組織NoName057宣稱犯案。</p> <p>根據媒體報導，12月22日法國郵政遭遇分散式阻斷服務（DDoS）攻擊，雖然沒有資料外洩，但民眾寄送或領取郵件包裹皆被拒絕受理。法國郵政對此做出說明，受到「重大」網路事件影響，所有線上服務，包括網路銀行、網銀手機App、法國郵政App、網站如lapost.fr、Digiposte、數位身分服務等都暫時無法使用。</p> <p>法國郵政表示正全力恢復服務。目前網路及行動服務斷線，但銀行客戶仍然可以透過簡訊驗證執行線上支付。實體管道像是ATM取款、店內PoS終端機刷卡支付或歐洲電子錢包Wero轉帳服務也不受影響。在郵政服務層面，部分郵局的數位服務無法使用，因此用戶必須臨櫃辦理銀行和郵政業務。</p> <p><a href="https://www.ithome.com.tw/news/172988"><strong style="font-size: 22px;">勒索集團Clop傳鎖定Gladinet CentreStack，疑利用漏洞竊取資料進行勒索</strong></a></p> <p>威脅情資平臺Curated Intelligence提醒，事件應變人員近期在多起案件中觀察到疑似與Clop相關的新一波資料外洩勒索行動，攻擊目標鎖定網際網路對外的Gladinet CentreStack檔案伺服器。該社群依據近期連接埠掃描結果估算，至少有200個以上具公開IP的主機，其網頁標題顯示為「CentreStack - Login」，因此被視為潛在暴露面。</p> <p>目前仍無法確認攻擊者利用的漏洞編號與入侵入口，尚不清楚是零時差漏洞，或是既有弱點因延遲修補而被趁虛而入。根據外媒BleepingComputer引述Curated Intelligence的說法，攻擊者已在遭入侵的伺服器上留下勒索訊息。</p> <p>同時間資安公司Huntress公布研究指出，CentreStack與Triofox因採用寫死的AES加密相關值，可能在未經驗證的情況下被特製請求利用，造成任意本機檔案讀取，包含取得關鍵設定檔web.config，並替後續的ViewState反序列化與遠端程式碼執行創造條件。該漏洞已被指派為CVE-2025-14611，NVD指出受影響範圍為16.12.10420.56791之前版本。</p> <p><a href="https://www.ithome.com.tw/news/173001"><strong style="font-size: 22px;">ServiceNow將以77.5億美元併購資安新創Armis</strong></a></p> <p>雲端企業營運管理平臺ServiceNow周二（12月23日）宣布，將以77.5億美元的現金買下專注於網路曝險管理的資安公司Armis，未來雙方將共同打造一套端到端的資安曝險與營運平臺，此項收購可望讓ServiceNow在資安與風險解決方案的潛在市場規模成長超過3倍，並加速其發展自主、主動式資安產品。</p> <p>ServiceNow總裁、營運長暨產品長Amit Zavery表示，ServiceNow正在打造下一世代的資安平臺。在代理型AI時代，企業若要長期擴大AI應用，橫跨任何雲、任何資產、任何AI系統與任何裝置的智慧信任與治理已不可或缺。與Armis結合後，將提供即時、端到端、主動防護的產業級資安防護。</p> <p>根據雙方的規畫，未來Armis的資安產品將整合至ServiceNow的工作流程，提供端到端防護與全生命周期行動，特別適用於製造、醫療等具備資安實體資產的產業，讓資安團隊能超前威脅者，而非在事件發生後被動回應。</p> <p><a href="https://www.ithome.com.tw/news/172856"><strong style="font-size: 22px;">Let's Encrypt明年起導入Generation Y憑證鏈，新憑證不再支援TLS用戶端驗證</strong></a></p> <p>非營利憑證機構Let’s Encrypt宣布，將自2026年起分階段調整憑證發行與效期政策，重點包括導入新一代Generation Y根憑證與中繼CA階層，並逐步讓新簽發憑證不再包含TLS用戶端驗證的延伸金鑰用途（EKU），讓憑證用途更聚焦在TLS伺服器（tlsserver）驗證。同時也將依產業規範，逐步縮短憑證有效期。</p> <p>依官方時程，2026年2月11日起預設憑證簽發設定（Classic Profile）新簽發的憑證將移除TLS Client Authentication EKU。需要更長緩衝期者可改用TLS用戶端驗證專用簽發設定，但該profile僅提供到2026年5月13日。至於Generation Y的導入，Let’s Encrypt表示初期將優先用於TLS伺服器與短效期憑證設定，並推進短效期憑證選項，包含在憑證中納入IP位址作為識別類型。</p> <p>在效期方面，Let’s Encrypt規畫將憑證有效期從現行90天逐步縮短至45天。自2026年5月13日起，只要選用ACME的TLS 伺服器專用設定檔，新簽發憑證就會改為45天效期，供早期採用者與測試使用，2027年2月10日起，預設的設定檔新簽發憑證效期將降為64天，並在2028年2月16日再降為45天。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/korean-tv-writers/">北韓駭客APT37冒充韓國電視節目編劇與廣播公司記者，與受害者建立關係並散布惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/sidewinder-apt/">APT駭客SideWinder冒充稅務機關並建置入口網站，鎖定印度實體從事網路間諜活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/blind-eagle-hackers-2/">南美駭客BlindEagle鎖定哥倫比亞政府機關從事網釣，散布惡意軟體Caminho與DcRat</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/pr/172884">鎖定後量子時代資安，Thales攜手信驊科技打造矽信任根</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172989"><strong>【12月23日】中國駭客Ref7707將攻擊範圍延伸至歐洲</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172969"><strong>【12月22日】中國駭客透過GPO於日本與東南亞政府機關部署惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172917"><strong>【12月19日】華碩已終止支援的軟體更新工具漏洞遭到利用</strong></a></p> </div></div></div>
2025/12/24 16:40作者周峻佑https://www.ithome.com.tw/news/173025
駭客濫用M365 OAuth裝置碼釣魚，挾持受害者微軟帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安廠商Proofpoint<a href="https://www.proofpoint.com/us/blog/threat-insight/access-granted-phishing-device-code-authorization-account-takeover">指出</a>，近期出現濫用Microsoft 365 OAuth裝置碼授權流程的網路釣魚活動，涵蓋多個攻擊團體，其中包含可能與俄羅斯陣營相關的組織UNK_AcademicFlare。攻擊者誘導受害者在微軟官方驗證頁輸入裝置碼，讓受害者不自覺替攻擊者的應用程式完成授權，進而取得權杖並接管帳號與竊取資料。</p> <p>研究人員說明，該手法高度仰賴社交工程。受害者收到看似有人分享文件或要求重新驗證的通知，連結可能藏在按鈕、文字超連結，或透過QR Code引導。使用者點開連結後，通常會先進到攻擊者控制的頁面，頁面可能直接顯示裝置碼，或在後續由攻擊者寄出第二封信提供裝置碼。攻擊者在這些內容中把裝置碼宣稱為一次性密碼或安全驗證步驟，並要求使用者前往微軟官方驗證入口輸入。使用者一旦照做並完成驗證，實際上是在替攻擊者控制的應用程式完成授權。</p> <p>UNK_AcademicFlare攻擊者使用被入侵的政府或軍事機構信箱，先進行看似正常的往來，再以分享資料或安排訪談為由提供連結，導入裝置碼授權流程，目標涵蓋美國與歐洲的政府單位、智庫與高等教育等組織，並指出其多次使用俄烏相關誘餌內容，作為判斷其與俄羅斯陣營相關的佐證之一。</p> <p>與傳統釣魚不同，裝置碼釣魚不一定要求受害者在仿冒頁面輸入密碼，關鍵操作常被移到可信任的官方入口，例如引導使用者在microsoft.com/devicelogin等微軟頁面輸入裝置碼並完成應用程式授權。由於相關紅隊工具與可用於此類活動的惡意應用程式已在地下社群流通，組織在風險評估上需要把該釣魚手法視為可規模化的威脅類型。</p> <p>研究人員建議優先在身分與存取控管層面限制裝置碼流程使用，例如透過條件式存取政策封鎖裝置碼流程，並先以僅報告模式或檢視既有登入紀錄評估政策影響，要是無法全面封鎖，則可改採允許清單做法，只開放核准的使用情境與範圍。當組織已導入裝置註冊或Microsoft Intune等裝置管理機制，也可要求登入必須來自合規或已加入的裝置，作為分層防護。</p> <p>同時，單靠檢查網址的做法難以涵蓋此類風險，組織應將訓練重點，放在提醒員工不要替不明來源提供的裝置碼完成輸入與授權，並建立可快速求證的流程，避免員工在急於查看文件或訊息往來時，無意間把存取權交給攻擊者。</p> </div></div></div>
2025/12/24 15:26作者李建興https://www.ithome.com.tw/news/173018
Claude Code加入LSP工具，支援即時診斷與程式碼導覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic釋出<a href="https://github.com/anthropics/claude-code/blob/main/CHANGELOG.md">Claude Code v2.0.74更新</a>，新增語言伺服器協定（LSP）工具，讓Claude Code在終端機的程式開發流程中，能取得更即時的錯誤與警告診斷，並支援跳至定義、尋找參照與滑鼠停駐時的符號說明等。此次更新進一步擴充Claude Code在程式碼理解的能力，使其不只依賴文字內容推理，也能直接接上語言伺服器提供的語意資訊。</p> <p>依<a href="https://code.claude.com/docs/en/plugins-reference#lsp-servers">Claude Code文件說明</a>，LSP外掛可提供即時程式碼智慧，語言伺服器會在每次程式碼編修後回報診斷結果，使Claude能更快看到錯誤與警告，並透過程式碼導覽查詢定位符號定義、參照位置與滑鼠停駐時的資訊，同時取得型別與文件線索。</p> <p>在導入LSP機制前，Claude Code若要取得更精準的錯誤位置與符號關聯，常見做法是先讀取檔案內容，再搭配編譯器或型別檢查器等外部輸出來比對線索。導入LSP後，診斷與符號資訊會以較標準化的方式回饋，錯誤位置與符號關聯也更容易被直接指出。</p> <p><a href="https://code.claude.com/docs/en/discover-plugins">Claude Code文件</a>將外掛市集定位為外掛目錄，能提供集中式探索、版本追蹤與自動更新等管理能力，並支援以Git儲存庫或本機路徑等多種來源來發布，也就是說，團隊可以把LSP伺服器的設定包進外掛，再透過自建市集提供給內部成員使用，降低每位開發者各自安裝與調整設定的負擔，讓環境一致性更容易維持。</p> <p>官方文件指出，LSP伺服器設定可放在外掛根目錄的.lsp.json，或直接寫入plugin.json中，並以副檔名對應語言識別。外掛只描述如何啟動語言伺服器，語言伺服器執行檔仍需另行安裝，要是系統找不到可執行檔，會在/plugin錯誤頁面提示相關訊息。官方也列出多個常見語言的程式碼智慧外掛與所需語言伺服器，並說明可在/plugin的Discover頁籤搜尋lsp安裝。</p> </div></div></div>
2025/12/24 16:11作者李建興https://www.ithome.com.tw/news/173023
威聯通上櫃當天卻傳出NAS檔案遠端存取服務遭駭疑雲，該公司澄清傳聞，表示僅有單一設備遭到入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣NAS設備廠商威聯通（QNAP）本週正式上櫃受到矚目，然而，當天卻突然有媒體報導駭客在暗網兜售從該公司NAS存取服務竊得一批資料，引起外界關注。</p> <p>最早報導此事的是<strong><a href="https://www.ftvnews.com.tw/news/detail/2025C22W0160">民視新聞網</a></strong>，他們於12月22日指出，駭客組織KaruHunters在暗網宣稱竊得一批檔案量達到1.7 TB的資料，同時也取得威聯通核心雲端服務myQNAPcloud的資料，開價400美元兜售。對此，<strong><a href="https://www.qnap.com/zh-tw/news/2025/qnap-%E5%B0%8D%E4%B8%8A%E6%AB%83%E6%97%A5%E5%8F%97%E6%8C%87%E7%A8%B1%E7%9A%84%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E4%B9%8B%E6%BE%84%E6%B8%85">威聯通發出聲明表示</a></strong>，駭客竊得的資料實際上來自其中一家客戶的NAS設備，疑似因採用弱密碼與網路設備錯誤設定釀禍，造成NAS直接曝露在網際網路上，使得未經授權的攻擊者入侵並存取資料，威聯通強調，此事與myQNAPcloud沒有關聯，該公司也確認此服務並未遭到入，或是出現漏洞的情況。</p> <p>根據報導當中出現的螢幕截圖，第一張是KaruHunters在駭客論壇宣稱，他們握有myQNAPcloud.com的內部存取管道，並提供文件及使用者詳細資料等檔案佐證，開價400美元尋找買主，買家必須使用比特幣或門羅幣交易。為了確認是否真有這樣的資安威脅事故，我們找到威脅情報網站Dark Web Intelligence的揭露，他們恰巧也公布這張圖片，並指出<strong><a href="https://dailydarkweb.net/myqnapcloud-internal-access-allegedly-for-sale-on-dark-web/">KaruHunters聲稱此事的時間點在12月10日</a></strong>，當時駭客表明竊得myQNAPcloud的內部存取權限，Dark Web Intelligence提到，駭客同時也公布型號為TS-228的NAS設備系統畫面截圖。</p> <p>另一張民視報導公開的螢幕截圖，是KaruHunters聲稱表明成功入侵特定的NAS設備，發現受害組織存放約1.7 TB資料然後偷走，並怪里怪氣詢問買家，相關存取管道應該出售，還是免費開放給所有人使用？再者，這張圖也提及myQNAPcloud，不過僅有介紹該平臺的功能，並未進一步說明，似乎在暗示他們是透過該平臺得逞。</p> <p>我們詢問威聯通、想確認狀況，該公司表示經QNAP PSIRT團隊調查後，已確認是有客戶將NAS曝露於網際網路，並未根據最佳實作配置安全相關設定，導致NAS遭未經授權第三方入侵並存取資料的事故。威聯通強調此為單一客戶事件，並未涉及該公司的雲端服務。</p> <p>威聯通也在12月22日發布新聞稿，針對這起事故的調查結果提出說明，他們指出，受害裝置型號為TS-228，執行的作業系統為QTS 4.3.6版，經調查該版本作業系統並未出現大規模資安事故回報，因此QNAP PSIRT團隊認為，這起事故屬於特定單一的使用者設備維運疏失造成，該裝置不僅直接對外連線，且並未啟用威聯通提供的存取防護措施而釀禍。不過，他們在新聞稿並未提及KaruHunters，也沒有公布外洩資料規模，是否就是民視報導的資安事故，有待進一步說明。</p> <p>他們也反駁民視報導提及KaruHunters取得myQNAPcloud服務平臺層級權限的說法，該公司發現，此NAS用戶並未啟用相關服務，目前沒有證據顯示這起事故與myQNAPcloud有關，經調查此平臺也並未存在漏洞，或是遭到入侵的情形。</p> <p>對此，威聯通強調他們有完善的用戶個資保護機制，並根據資安處理流程，即時進行任何通報之技術分析，透過既有管道嘗試聯繫相關使用者。威聯通也呼籲用戶，應妥善設定NAS的安全機制，才能確保資料安全。</p> </div></div></div>
2025/12/24 12:28作者周峻佑https://www.ithome.com.tw/news/173010
FIDO在臺落地規模擴大，逾300個政府與企業系統支援，Passkey體驗成下一步關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著FIDO、Passkey技術應用升溫，為促進臺灣與國際間的技術交流，在12月初，FIDO聯盟與FIDO聯盟臺灣分會特別舉辦研討會，揭露最新成果，例如，Passkey在短短3年內，從無到有累積至約35至40億個活躍帳號，展現前所未見的採用速度，同時FIDO聯盟臺灣分會會長張心玲也公開臺灣的FIDO採用現況。</p> <h2><strong>Passkey採用加速，金融與政府成為關鍵推力</strong></h2> <p>針對Passkey的採用趨勢，FIDO聯盟執行長Andrew Shikiar表示，Passkey的普及速度，正反映全球身分驗證生態出現劇烈轉變，而在<a href="https://www.ithome.com.tw/news/162513">FDO（FIDO Device Onboard）</a>與支付領域的應用面，同樣有著顯著的進展。</p> <p>回顧過去，Passkey於2022年推出，一年之後，全球已有超過70億個帳號具備Passkey登入選項，隔年數字再次翻倍。在這段期間，FIDO聯盟也有一個重要的成果，<strong><a href="https://www.passkeycentral.org/">推出Passkey Central的網站</a></strong>，協助企業與個人理解導入Passkey的價值，並提供在不同應用場景下的實作指引。</p> <p>如今2025年，支援Passkey的服務數量已多到難以統計，因此他們現在更關注實際使用情況，他估計，目前約有35至40億個帳號，實際啟用Passkey來保護。</p> <p>對於產業應用態勢，他指出，今年Passkey推動上出現兩大重要變化。</p> <p>首先，是銀行與金融業的快速採用。進入2025年，他觀察到越來越多國際金融機構，包括澳洲、紐西蘭、歐洲、美國及臺灣的多家指標性銀行，已將Passkey納入用戶登入選項。</p> <p>其次，是政府端擴大採用與監管政策的推動。早期Passkeys多由電子商務、內容平臺與支付服務引領，如今受監管產業的全面加入，象徵著技術落地的關鍵轉折。包含臺灣、澳洲、美國、英國與德國在內的多國政府，不僅在公共服務中導入Passkeys，也更進一步應用於內部的員工身分驗證系統。</p> <p>今年4月FIDO聯盟更是發布<a href="https://fidoalliance.org/passkeypledge/">Passkey Pledge</a>計畫，號召企業承諾導入或擴大Passkey登入，並確保產品與平臺支援符合FIDO標準的實作。短短數週內，已有近300家企業加入，突顯Passkey在全球的關注度與企業採用意願。</p> <p>之所以能有如此快速成長，不僅是技術本身受看重，Andrew Shikiar強調，更關鍵是整個FIDO社群的集體合作與投入，他並提到臺灣同樣扮演著關鍵角色，在全球300多個FIDO會員中，臺灣已有超過40個成員，會員數量居全球第二。</p> <p>FIDO聯盟臺灣分會會長張心玲也補充說明，指出臺灣不只有40多個FIDO成員，並有超過百項通過FIDO認證的產品。而且「FIDO台灣分會」也在2021年5月正式成立，成員包括政府部會、研究法人、企業與驗證公司等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）FIDO 2025年底最新進展_臺灣FIDO會員_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89FIDO%202025%E5%B9%B4%E5%BA%95%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%BA%E7%81%A3FIDO%E6%9C%83%E5%93%A1_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 365px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7A）FIDO 2025最新進展_臺灣支援FIDO與Passkey現況_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967A%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%BA%E7%81%A3%E6%94%AF%E6%8F%B4FIDO%E8%88%87Passkey%E7%8F%BE%E6%B3%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>在實際應用層面，張心玲也難得公布相關統計數據，指出光是TW FidO介接，就讓國內有超過300個政府與企業系統支援FIDO技術，若加上其他國內企業的應用，規模則更大。</p> <p>數位發展部主任秘書胡貝蒂也蒞臨這場會議，指出Passkey與FIDO2已成為臺灣推動「數位信任」的核心標準。數發部作為FIDO聯盟政府會員，自去年開始協助電商、遊戲、旅遊與金融等產業導入無密碼驗證。</p> <p>我們在2024年也注意到此一態勢，介紹<a href="https://www.ithome.com.tw/news/165788">露天、智冠、可樂旅遊的Passkey導入</a>。2025年下半年我們也得知更多進展，包括酷澎、誠品、杏一醫療與晨間廚房，都在持續跟進這股態勢。特別是在支付與金融領域，前幾個月舉辦的FIDO專場活動中，也揭露多項落地案例，例如：「一卡通iPASS MONEY」App針對「錢包帳戶」啟用FIDO2驗證機制，以及元大金融Fast-ID驗證轉接中心介接的實務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967B%EF%BC%89FIDO%202025%E5%B9%B4%E5%BA%95%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%BA%E7%81%A3%E6%94%AF%E6%8F%B4FIDO%E8%88%87Passkey%E7%8F%BE%E6%B3%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>針對臺灣在FIDO技術的導入現況，FIDO聯盟臺灣分會會長張心玲指出，目前應用已呈現多元發展，不僅在內政部推動的TW FidO與金管會主導的金融Fast-ID計畫下持續深化，數位發展部亦協助更多國內民間產業導入相關技術。(攝影／羅正漢)</strong></span></p> <h2><strong>Passkey下一步怎麼走？FIDO聯盟揭3大方向待突破</strong></h2> <p>儘管Passkey推動成果相當顯著，Andrew Shikiar強調，Passkey仍有三個關鍵課題需要持續突破，這也是FIDO聯盟將持續投入與推動的重點方向。</p> <p><span style="color:#0066ff;"><strong>（一）持續優化使用者體驗：</strong></span>目前在不同瀏覽器、作業系統與裝置情境下，前端流程仍存在差異，操作複雜度高於預期，是後續需要持續改善的重點。</p> <p><span style="color:#0066ff;"><strong>（二）朝向整體安全設計：</strong></span>為減少密碼依賴，還需要進一步淘汰後端那些知識型驗證（KBA）的機制，提升整體架構的防禦能力，並降低被濫用的風險。</p> <p><span style="color:#0066ff;"><strong>（三）強化企業與高保證場景的部署能力：</strong></span>目標是要優化Passkey在企業環境中的同步機制與裝置管理，並於明年在Passkey Central發布專為企業實務人員設計的操作指引。<br /> </p> <h2 class="rtecenter"><b>相關報導：</b><a href="https://www.ithome.com.tw/news/173007">Google在臺解析Passkey技術新進展，展示Credential Manager最新強化功能，降低開發者導入門檻</a></h2> </div></div></div>
2025/12/24 12:20作者羅正漢https://www.ithome.com.tw/news/172885
微軟釋出硬體加速的BitLocker 減少拖慢PC效能、強化安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/announcing-hardware-accelerated-bitlocker/4474609" target="_blank">微軟本周宣布</a>推出硬體加速的BitLocker，取代CPU加速，以提升Windows 11機器的運作效能，並減少金鑰曝露風險。新功能已於9月加入Windows 11 24H2/25H2，並計畫藉由新一代CPU/SoC普及到次世代PC。</p> <p>微軟說明，過去BitLocker的效能損耗大多只有個位數百分比，幾乎感覺不到，這是因為傳統SSD I/O本來就慢。但隨著更高速I/O的非揮發記憶體Express（NVMe）磁碟快速普及，但使得BitLocker運作對PC效能影響變得更顯著。在現有搭載NVMe的Windows PC上，需要高I/O及高資料吞吐量的應用使用者，如處理大型影片檔的專業工作者、組譯大型程式庫的開發人員、或是對延遲性錙銖必較的遊戲玩家兼顧資料安全及速度，BitLocker造成的效能或CPU耗用會變得更難以忍受。</p> <p>為平衡高效能和安全性，微軟在上個月的Ignite大會上推出硬體加速的BitLocker（Hardware-Accelerated BitLock）。微軟強調，最新一代BitLocker並不只是小改小修，而是加入了真正新的架構性功能。</p> <p>微軟說明，新BitLocker有兩項重大變革。一是將加密工作從CPU卸載到專用加密引擎上，以便主要CPU資源能用於主要任務需求，提升效能及減少電力耗用。第二是金鑰由硬體防護。如果機器的SoC晶片支援，BitLocker可自動切換，將加密金鑰交由硬體層隔離與封裝，以免於曝露CPU及記憶體，可降低旁路攻擊及記憶體漏洞曝露金鑰的風險。微軟說這是在TPM（Trusted Platform Module）防護機制外的新一層安全機制。</p> <p>Windows 11 24H2的9月Windows更新、Windows 11 25H2已包含新BitLocker。</p> <p>新BitLocker也會配合未來搭載新SoC及CPU提供於新Windows機器。第一批支援的新CPU/SoC包括Intel Core Ultra Series 3（代號Panther Lake），微軟計畫未來持續增加其他支援的廠商和CPU平臺。</p> <p>Windows PC可提供自動BitLocker加密、手動啟動、政策驅動、或是script啟動。若PC啟動新一代BitLocker，若（搭載NVMe磁碟的）Windows 11機器的SoC晶片支援，Windows就會預設使用新的硬體加速BitLocker和TS-AES-256演算法。</p> <p>不過，若企業指定SoC不支援的加密演算法、金鑰長度，或啟用了特定政策，Windows將退回使用傳統的軟體型BitLocker。</p> <p>配合NVMe磁碟的普及，微軟本月稍早<a href="https://www.ithome.com.tw/news/172865" target="_blank">宣布</a>Windows Server 2025加入NVMe原生支援，可望最多提高NVMe I/O速度80%。</p> </div></div></div>
2025/12/24 13:46作者林妍溱https://www.ithome.com.tw/news/173014
微軟要在2030年前淘汰所有C/C++程式碼？研究主管緊急澄清「只是研究專案」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟CoreAI體系的傑出工程師Galen Hunt上周透過LinkedIn<a href="https://www.linkedin.com/feed/update/urn:li:activity:7407863239289729024/" target="_blank">徵才</a>，企圖招募一位首席軟體工程師，於2030年之前淘汰微軟內部所有的C與C++程式碼，以Rust重寫微軟最大規模的程式碼庫。消息一出，不少媒體直接把它當成微軟政策，使得Hunt緊急澄清，這只是一項研究專案，Windows並未啟動任何以AI將系統程式碼改寫為Rust的計畫。</p> <p>C與C++誕生於1970至1980年代，是作業系統與高效能軟體的核心語言，至今仍支撐Windows等大型系統。但它們仰賴人工管理記憶體，長期成為資安漏洞與維運風險來源。在累積數十年的巨型程式碼庫中，修改成本與風險不斷放大。隨著資安要求提升與AI自動重構興起，缺乏語言層安全機制的C與C++，逐漸被視為不利於未來長期維運的基礎。</p> <p>Hunt說，該專案的目標是在2030年前，淘汰微軟的每一行C及C++程式碼，採用的策略是結合AI與演算法來重寫微軟最大的程式碼庫，終極目標是「一名工程師在1個月內重寫100萬行程式碼」。</p> <p>為了完成該任務，Hunt團隊已打造一套程式碼處理系統，先用演算法將程式碼轉換成關係圖，標示各段程式碼之間的依賴關係，AI代理程式再依據該圖來修改程式碼。該系統已實際應用在程式碼理解等任務上。</p> <p>而準備招募的首席軟體工程師，則會負責協助強化其基礎設施，以便將微軟內部規模最大的C和C++系統轉譯成Rust，因此需要具備使用Rust建構生產級系統層級程式碼的經驗，最好擁有至少3年以Rust撰寫系統層級程式碼的經驗，強烈希望具備編譯器、資料庫或作業系統實作經驗。</p> <p>Hunt解釋，該團隊隸屬於微軟CoreAI的EngHorizons組織中的「可擴展軟體工程的未來」小組，任務是建立能讓微軟及客戶可大規模消除技術債的能力。該專案並非在替Windows 11以後的版本設定新策略，也未暗示Rust便是終點。</p> </div></div></div>
2025/12/24 13:55作者陳曉莉https://www.ithome.com.tw/news/173015
內建48或72 GB記憶體，輝達中高階Blackwell工作站GPU登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_rtx_pro_5000_blackwell_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼2025年上半推出<a href="https://www.ithome.com.tw/review/168875">RTX Pro 6000 Blackwell多款頂級GPU加速卡</a>，Nvidia在8月發表入門級<a href="https://blogs.nvidia.com/blog/blackwell-ai-acceleration-workstation-rtx-pro/">RTX Pro 4000 SFF Edition與RTX Pro 2000 Blackwell</a>，到了12月宣布<a href="https://blogs.nvidia.com/blog/rtx-pro-5000-72gb-blackwell-gpu/">中高階產品RTX Pro 5000 Blackwell上市</a>，可加速各種應用，舉凡AI的開發、大型語言模型推論、生成式AI工作流程，以及高度擬真的模擬、影片製作，以及繁複的3D建模，可均透過桌上型工作站電腦實現。目前這款GPU加速卡透過Ingram Micro、麗臺科技、Unisplendour、xFusion等公司供應，2026年初將經由多家全球系統整合商擴大市場供貨規模。</p> <p>依照Nvidia原本的規畫，這款GPU與最新推出的Blackwell工作站GPU產品RTX Pro 6000 Blackwell Workstation Edition、RTX Pro 6000 Blackwell Max-Q Edition一樣，同屬代號GB202的GPU平臺，都支援Nvidia特有的GPU硬體分割技術：多執行個體GPU（MIG），不僅搭配較少量的CUDA核心（14,080個vs. 24,064個）、Tensor核心（440個 vs. 752個）、RT核心（110個vs. 188個），搭配的GDDR7記憶體容量也少了一半（48 GB vs. 96GB）。不過，相較於上一代產品RTX A5000（採用Ampere架構、配備24 GB GDDR6記憶體），新推出的RTX Pro 5000 Blackwell的記憶體容量增加1倍，可適用於大數據分析、建立複雜的3D模型，以及不間斷地執行AI強化的多系統工作流程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX Pro Blackwell Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20Pro%20Blackwell%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>令人訝異的是，在RTX Pro 5000 Blackwell真正問世的此刻，他們突然宣布提供額外內建72 GB記憶體的硬體組態選擇，記憶體容量起比先前預告的單一規格增加了50％。</p> <p>此外，由於採用Blackwell架構，這款GPU內建多工作負載排程與其他創新技術，可針對AI、類神經網路著色、模擬等應用，提供高吞吐量的處理能力，運算效能號稱可達2,142 TOPS。但令人不解的是，Nvidia在公開的產品規格資訊當中，將RTX Pro 5000 Blackwel的AI運算效能標示為2,064 TOPS（FP4、稀疏化處理），他們並未說明何以有數值落差。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX Pro 5000 Blackwell MEM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20Pro%205000%20Blackwell%20MEM.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX Pro 5000-6000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20Pro%205000-6000.png" style="width: 600px;" /></a></p> <p>在生成式AI應用當中，Nvidia也揭露效能大幅提升的狀況。以上一代GPU產品RTX A5000為基準，最新配備72GB GDDR7記憶體的RTX Pro 5000 Blackwell，生成圖片影像的效能可提升至3.5倍，生成文字的效能達到兩倍。</p> <p>用於創意內容工作流程，像是橫跨Arnold、Chaos V-Ray、Blender多種路徑追蹤引擎的處理，D5 Render與Redshift這類即時GPU著色器，配備72 GB記憶體的RTX Pro 5000 Blackwell著色處理時間可節省到4.7倍之多。</p> <p>而在電腦輔助設計與產品設計的應用上，配備72 GB記憶體的RTX Pro 5000 Blackwell可供應兩倍以上的圖形處理效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX Pro 5000 GenAI Performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20Pro%205000%20GenAI%20Performance.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">Nvidia RTX Pro 5000 Blackwell</span><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●外形：雙槽，長10.5吋高4.4吋<br /> ●GPU架構：Blackwell<br /> ●CUDA處理核心數量：14,080個<br /> ●Tensor核心數量：440個（第五代Tensor核心）<br /> ●RT核心數量：110個（第四代RT核心）<br /> ●內建記憶體容量：GDDR7，48GB或72 GB<br /> ●記憶體頻寬：1,344 GB/s<br /> ●連接介面：PCIe 5.0 x16<br /> ●支援NVLink：否<br /> ●單精度運算效能：65 TFLOPS<br /> ●RT核心效能196 TFLOPS<br /> ●AI運算效能（FP4）：2,064 TOPS<br /> ●視訊連接埠：2.1b版DisplayPort規格，4個<br /> ●視訊處理引擎：3個NVENC（第9代）、3個NVDEC（第6代）<br /> ●多執行個體GPU（MIG）：2個24 GB記憶體或1個48 GB記憶體，2個36 GB記憶體或1個72 GB記憶體<br /> ●耗電量：300瓦<br /> ●支援繪圖處理API：Shader Model 6.6、OpenGL 4.6、DirectX 12、Vulkan 1.3<br /> ●支援運算處理API：CUDA 12.8、DirectCompute、OpenCL 3.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/12/24 13:55作者李宗翰https://www.ithome.com.tw/review/172971
Google在臺解析Passkey技術新進展，展示Credential Manager最新強化功能，降低開發者導入門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在12月初舉行的FIDO Taipei Seminar 2025研討會上，FIDO聯盟在臺公布Passkey最新成果，同時指出<a href="https://www.ithome.com.tw/news/172885">現階段仍有3大關鍵課題需持續突破</a>。特別的是，現場亦有Google專家解析其Credential Manager的研發成果與最新進展，協助開發者與企業精準掌握實務發展方向。</p> <p>對於如何持續優化Passkey的使用者體驗、朝向整體安全設計？持續是開發者與企業在身分驗證設計上的共同關注焦點。在這場研討會中的一場演說中，Google開發人員倡議者Eiji Kitamura，以及Google資深開發者關係工程師暨FIDO印度工作小組主席Niharika Arora，兩人談及Google在這方面的最新發展與規畫。我們整理為以下三個重點：</p> <h2><span style="color: rgb(178, 34, 34);"><strong>重點一：推出整合Passkey的Credential Manager</strong></span></h2> <p>這是一套2023年推出的全新API，將密碼登入、聯盟登入等既有驗證方式與Passkeys整合到統一的登入介面，為Android開發者提供單一API介接方式。而且，相關憑證也可透過Google Password Manager等機制在使用者裝置間同步，帶來更好的跨裝置體驗。Google呼籲開發者，應及早導入<a href="https://developer.android.com/identity/credential-manager?hl=zh-tw">Credential Manager</a>，以優化用戶登入流程並有效降低Passkey的技術實作門檻。</p> <p>近期，Google也在持續擴展這項技術的運用，像是原先Web端提供多種登入選項，雖然彈性高，卻也讓使用者體驗變得複雜。因此，Google目前有一項測試中的計畫，也就是推進網站端的Credential Manager能力，同時，搭配一項名為Immediate mediation的實驗性技術來優化使用者體驗：當瀏覽器偵測到本機有可用憑證時，網站可透過單一對話框呈現「可用的憑證與帳戶」供使用者選擇；若找不到可用憑證，則會立即回傳結果並退回原本的登入流程，避免不必要的跨裝置登入提示干擾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）FIDO 2025最新進展_Credential Manager_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_Credential%20Manager_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 346px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖1)FIDO Taipei Seminar 2025_Google Credential Manager_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%961)FIDO%20Taipei%20Seminar%202025_Google%20Credential%20Manager_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><span style="color: rgb(178, 34, 34);"><strong>重點二：促進Passkey應用普及，自動建立與復原機制</strong></span></h2> <p>Eiji Kitamura指出，光是整合Passkey技術，並不足以讓其真正被廣泛使用，因此Google採取兩項作法，包括：打造自動建立Passkey的機制，以及新增Restore Credentials API，以確保更換裝置時仍能維持無縫的登入體驗。</p> <p>他表示，Passkey不再是全新概念，真正的挑戰在於使用者是否願意改變既有的登入習慣。對於多數早已累積大量密碼用戶的服務而言，若轉換過程增加額外操作或學習成本，反而會降低接受度。</p> <p>因此，Google推出無縫從密碼升級至Passkey的相關機制，自動使用Google密碼管理工具建立Passkey。目前Android與Chrome桌面版已支援這項機制，最近他們又宣布擴展至Chrome的Android版。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）FIDO 2025最新進展_自動建立Passkey_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%AA%E5%8B%95%E5%BB%BA%E7%AB%8BPasskey_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>裝置更換，也是影響使用者體驗的另一非常關鍵的情境。若使用者在新裝置上必須重新登入所有應用程式與網站，將大幅削弱Passkey所帶來的便利性。為此，Google在Credential Manager新增Restore Credentials API，以克服這項挑戰。</p> <p>Niharika Arora以Uber為實際案例，說明該機制的運作方式。當使用者在原有裝置上登入Uber時，應用程式會在背景產生一組加密的Restore key，並透過Credential Manager儲存於裝置中；若使用者啟用雲端備份，該金鑰也可同步至雲端。</p> <p>當使用者更換新裝置，設定時只需選擇要恢復的應用程式，如Uber，系統便會在應用程式安裝完成後，透過Restore key自動完成登入，使用者無須進行額外操作，即可回到已登入狀態。</p> <p>她強調，透過Restore Credentials API，將可提升Passkey的長期採用率，建議開發者及早評估並導入相關機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%962)FIDO%20Taipei%20Seminar%202025_Google%20Credential%20Manager_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>此外，他們還設計了Signal API，這是為了避免明明有Passkey卻無法登入的情況，像是當伺服器已刪除帳號憑證，但密碼管理員仍保留Passkey時，登入將會失敗。因此，Signal API的作用，就是讓伺服器能主動通知密碼管理員，並同步更新狀態，確保雙方資料一致。</p> <p>目前Credential Manager最新Beta版本已納入Signal API，並支援 Chrome桌面版與Android平臺，他們建議開發者可實際去測試。</p> <h2><span style="color: rgb(178, 34, 34);"><strong>重點三：兩項全新進展，憑證可攜與更強電話驗證</strong></span></h2> <p>還有兩項全新進展，是我們特別關注的議題，包括Google正實驗Passkey和密碼的匯入匯出機制，並且正打造更強固電話號碼驗證解決方案。</p> <p>去年底，我們曾報導FIDO聯盟發表憑證交換協定（CXP）與憑證交換格式（CXF），目的在於讓Passkey具備可攜性，能在不同平臺與服務提供者之間安全轉移與使用。</p> <p>Google表示，目前這方面已經有所進展，他們正在Android平臺實驗匯入與匯出機制，並規畫進一步延伸至Chrome瀏覽器，同時也預告將支援iOS平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）FIDO 2025最新進展_CXP_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_CXP_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8B）FIDO 2025最新進展_CXP_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968B%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_CXP_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>關於電話驗證方面，由於SMS簡訊OTP因容易遭攔截與社交工程濫用，被視為較弱的MFA機制，產業正逐步轉向Passkey等更強式驗證方式。</p> <p>同時，為了幫助過渡，Google針對仍需使用電話號碼的場景，正開發一種更安全的電話號碼驗證機制（Phone Number Verification，PNV）。該機制透過與電信業者的直接整合，並由Firebase等服務來協調與介接，讓開發者能以同一套Credential Manager API存取電話號碼驗證能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）FIDO 2025最新進展_PNV_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_PNV_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>另外，Google也強調數位憑證（Digital Credentials）是未來發展一大重點。他們預期，未來幾年Android開發者可透過Credential Manager API，發展學歷、保險、會員卡等數位憑證應用，而政府身分證件的年齡驗證，已成為目前優先驗證與落地的使用情境之一。事實上，我國數位發展部也在打造數位皮夾，顯示相關發展已逐步進入實務階段。</p> </div></div></div>
2025/12/24 14:01作者羅正漢https://www.ithome.com.tw/news/173007
Rust使用者研究解析高黏著關鍵，但Async與生態碎片化成門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Rust語言核心貢獻者Niko Matsakis代表願景文件小組，<a href="https://blog.rust-lang.org/2025/12/19/what-do-people-love-about-rust/">發表</a>一篇使用者訪談資料整理，該研究試圖回答Rust為何自2015年1.0版以來，長期在Stack Overflow開發者調查中被視為最受喜愛的語言之一，也同時整理新手導入Rust時常遇到的卡關點。</p> <p>Rust最常被提到的優點是可靠性，多位工程師描述，只要Rust程式能編譯通過，通常就能順利執行的踏實感，讓人更敢重構與交付，也降低在重要系統中因人為疏忽導致的風險。而該優點不只對資深工程師有價值，對帶領團隊的人同樣重要，因為語言的規範與檢查機制形成護欄，讓較缺乏經驗的成員也能較安心地參與重要模組。</p> <p>效率與低階掌控也是反覆被提及的優點，研究提到，受訪者從資料中心到嵌入式系統都在意資源成本與效能，並分享把既有元件改寫為Rust後，在特定情境出現數倍到數十倍的提升，甚至也有案例提到上百倍的加速。另一個常被提到的面向是工具鏈帶來的支援性，受訪者多次提到Cargo把套件管理、建置與測試流程整合在一起，搭配Clippy等靜態檢查工具，以及編譯器清楚的錯誤訊息與建議，能大幅縮短摸索時間。</p> <p>研究強調，讓開發者離不開Rust並非單一優點，而是可靠性、效率與低階控制，加上工具鏈的支援性，以及語言與生態系提供的可擴充性，共同形成可信且用途廣泛的整體體驗。</p> <p>不過研究也點出，雖然Rust型別系統與抽象能力很強，能把不少規則直接寫進型別，減少錯誤發生，但一旦把泛型、生命周期與非同步機制（async）疊加在一起，型別可能變得難以閱讀，讓程式介面看起來比問題本身更複雜。套件生態是雙面刃，研究指出crates.io提供豐富的工具與創新，但選擇太多使新手難以判斷該採用的做法，尤其是錯誤處理、非同步執行環境等領域，常存在業界慣例與教學內容不一致的落差。</p> <p>研究最後提出三個改進方向，第一是把Rust想追求的整體使用體驗整理成清楚的設計目標，讓社群在評估新提案時有共同語言，第二是強化可擴充性，讓外部套件不只做出高效抽象，也能在診斷與開發體驗上提供更好的引導，第三則是改善生態導引與互通性，降低新手在套件選擇與整合上的摩擦，特別是非同步領域的碎片化問題。</p> </div></div></div>
2025/12/24 14:07作者李建興https://www.ithome.com.tw/news/173013
工作流程自動化工具n8n存在近滿分重大漏洞，恐導致任意程式碼執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI代理盛行，能將AI工具與日常工作流程整合，並在無須編寫程式碼的情況下，進行自動化的工具也趁勢而起，其中，工作流程自動化NPM套件n8n有許多用戶，而受到關注。n8n是開源工作流程自動化工具，使用者能透過拖曳節點的方式，將多種應用程式與服務（如Gmail、Slack、Notion、ChatGPT等）串接起來，無須撰寫程式碼就能建立自動化流程。此工具全球已有超過23萬名活躍使用者，臺灣社群累積逾1.3萬用戶，每週下載次數超過4.6萬，是2025年最受關注的新興自動化工具之一。</p> <p>若是這類平臺存在弱點，攻擊者不僅有可能打亂或竄改流程，甚至有可能用來從事網路攻擊。12月19日<strong><a href="https://github.com/n8n-io/n8n/security/advisories/GHSA-v98v-ff95-f3cp">n8n開發工程團隊發布公告</a></strong>，他們近期修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2025-68613，此漏洞出現於工作流程的表達式評估系統，在執行情境裡若與底層執行環境未充分隔離，由通過身分驗證使用者提供的表達式，將有可能在工作流配置被評估。此時通過身分驗證的攻擊者有機會濫用上述現象，透過n8n處理程序的特殊權限執行任意程式碼，CVSS風險評為9.9分（滿分10分），他們已在一個月前發布的1.120.4、1.121.1，以及1.122.0版更新當中，修補這項漏洞。</p> <p>此漏洞影響0.211.0版至1.120.3版的n8n，攻擊者若是成功利用，就有機會完全入侵n8n實體（instance），從而在未經授權的情況下存取敏感資料、竄改工作流程，以及執行系統層級的作業。若是無法及時套用更新，管理員應採取臨時緩解措施因應，例如：限制建立工作流程與編輯權限、在受到限制的作業系統及強固環境部署n8n。n8n開發工程團隊強調，這些措施無法完全消除風險，用戶還是要儘速套用更新。</p> <p>值得留意的是，儘管上述更新已在一個月前發布，全球恐有超過10萬套n8n系統尚未修補CVE-2025-68613。根據資安業者Censys的威脅情報平臺統計，<strong><a href="https://censys.com/advisory/cve-2025-68613">12月22日有103,963套n8n存在漏洞</a></strong>，其中美國、德國，以及法國最多，分別有28,436、17,546，以及10,058個平臺曝險。臺灣是否有尚未修補的n8n，目前仍不得而知。</p> </div></div></div>
2025/12/24 11:31作者周峻佑https://www.ithome.com.tw/news/173006
永豐金控揭露多AI代理戰略布局，關鍵是Agent宇宙藍圖和五大基礎建設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>永豐金控很早就投入先進AI技術研發，2017年就導入Nvidia DGX-1超級電腦，這是臺灣金融業的第一臺深度學習超級電腦，用於永豐和成大AI產學合作。AI研發成果豐碩，像是永豐金控科技長張天豪就是產學合作教授之一，近年更接連在全球AI頂級會議上發表論文，如2023年ICML、2024年NeurIPS等，與科技巨頭並列發表研發成果。</p> <p>投入AI研發多年，永豐金控終於在日前舉辦了科技年會，對外揭露成果。張天豪更揭露了永豐金控的AI未來發展藍圖。</p> <p>張天豪在2020年進入永豐擔任科技長，花了兩年時間，透過十多項重點試行專案，與業務單位建立合作的默契。尤其是2022年下半年的顧客基因專案，對精準行銷帶來的成效，讓業務單位信任技術團隊的落地能力。</p> <p>顧客基因專案包括了400多個模型組合而成的模型群，可以從顧客表現出來的資料，例如顧客交易紀錄、資產總覽與數位足跡等，萃取出顧客真實的意圖，例如資金需求、投資偏好等。可以用於不同的應用，從產品偏好的行銷、個人化理財建議的服務，到強化交易安全的風險控管等。</p> <h1><span style="color:#B22222;"><strong>2022～2025年瞄準四大領域，擴大AI應用廣度與深度</strong></span></h1> <p>有了顧客基因等專案打下的信任基礎，永豐金控從2022年開始擴大AI應用廣度和深度，遍及業務、流程、風險和理財四大領域。</p> <p>例如在業務面，建立顧客專屬的行銷基因，涵蓋三十多項指標，來提供個人化的商品推薦，例如AI模型篩選的信貸電銷名單，相較於人工篩選，可以達到更高的行銷成功率。</p> <p>另外，也發展了一套文件辨識OCR技術和RPA流程自動化技術，已經應用到銀行、證券和租賃子公司的紙本作業優化，累計有260項RPA，大幅縮短了需要加班的工時，一年節省了7萬人時。或像是2024年夏天，永豐金控率先推出的GAI投顧報告服務投資水晶球服務，用生成式AI彙整超過5百個新聞來源，產生AI投顧報告，這是臺灣第一款金融市場的AI摘要服務，也頗受好評。</p> <p>過去三年，永豐金控不只擴大應用規模，建立科技治理的制度，也強化了自身的AI基礎建設，像是建立了視覺化模型管理平臺，方便業務人員快速瀏覽「模型菜單」來管理，也透過系統整合和自動化，強化MLOps流程，減少建置和部署模型的時間。更投入潛力科技的研發，如投入分散式的邊緣運算架構，研發可以跨組織模型開發的聯合學習技術，也有成果發表到國際頂級會議上。</p> <h1><strong><span style="color:#B22222;">下一階段目標是加速普及，揭露四大AI發展策略</span></strong></h1> <p>從2026年開始，永豐金控開始邁入加速普及階段，對內要發揮GAI協助構思、快速生成的優勢，來提高員工日常任務的產能，對外則要展現技術力，來強化品牌辨識度和科技影響力。張天豪更揭露了永豐金控未來四大AI發展策略，包括了全域賦能、安全防護、智能中樞，以及核心實力。</p> <p>全域賦能策略要透過系統API化，驅動全場景的業務創新，張天豪用一句話來形容，要讓系統可以被AI呼叫。永豐金計畫將內部系統解構成金融元件，讓AI服務可以注入到業務、理財、封控、流程等核心環境，從被動的系統支援角色，轉變成主動的業務賦能。「AI代理要有行動的能力，得有手腳，甚至未來若要用來輔助交易，還必須串接到金融的核心主機，真的具有下單的能力，這是我們未來要努力的目標。」張天豪補充。</p> <p>在安全防護上，永豐金控希望內建全方位的AI治理，建立可信賴的數位邊界。像是透過嚴格的合規驗證與倫理檢查，來確保AI行為的安全、正確、可控、合規與透明，來保護顧客與公司的機敏資料。張天豪預估，2026年將可能要花一半的力氣來推動AI的安全防護。</p> <p>越是努力推動AI，越鼓勵員工使用AI，資安的挑戰就越大，甚至會出現新型態的挑戰。例如AI如何兼顧公平待客與資安防護？或是可解釋性如何實作等課題。</p> <h1><span style="color:#B22222;"><strong>打造一個以AI和數據為核心的邏輯中樞</strong></span></h1> <p>對張天豪率領的團隊來說，智能中樞就是他們的核心任務，要打造一個以AI和數據為核心的邏輯中樞。張天豪解釋，永豐金要導入「AI微服務」思維，將Agent解構成積木模組，來提高開發效率和應變速度，依據可複用性和複雜度分成模組層，中介層、應用層等不同類型的模組，來發展一個「永豐Agent宇宙」的多代理架構。</p> <p>除此之外，張天豪指出，要打造一個好的服務，不只靠模型，更需要知識。「你所擁有的知識，是否適合AI探索，能不能快速找到答案，這將是未來的關鍵。」永豐金計畫將前中後臺與外部數據，提煉成高價值的結構化知識，建立多種數據出口，像是人類用的UI、系統用的API和AI代理用的MCP協定等。 </p> <p>張天豪表示：「結合模組化的Agent和結構化的知識，就是永豐金控的智能中樞。」</p> <p>最後一項發展策略是強化核心實力，包括人才和基礎建設，來建立難以複製的技術護城河。人才也應該是基礎建設的一環，永豐金要提升全員GAI能力，建立基礎、專業到高管的三層式AI人才結構。未來也會持續投入軟硬體基礎建設，像是雲地運算設施、Agent管理平臺、Agent護欄控管中樞、K8s管理平臺等，來擴大運算基礎設施的規模。</p> <h1><strong><span style="color:#B22222;">首度公開永豐金控未來Agent宇宙的發展藍圖</span></strong></h1> <p>張天豪更公開了永豐金控的Agent宇宙發展藍圖，來涵蓋他們AI發展的各項戰略和重點元素。這張發展藍圖，以Agent宇宙為核心，四周是五大基礎建設，分別是下方的運算基礎建設、人才基礎建設、技術基礎建設，上方則是安全基礎建設，右方則是知識基礎建設。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/big-%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7Agent%E5%AE%87%E5%AE%99-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7.jpeg" /></p> <p>在核心的Agent分為三層，分別是應用層、中介層和模組層。模組層大多是可以重複利用的模型、工具和引擎，像是CMoney MCP、DW MCP、爬蟲引擎，或是文件辨識模型、信用卡金流盜刷預測模型、顧客風險偏好預測模型，還有存、提、轉、匯工具等。</p> <p>中介層則包括了多款可支援各種應用場景的通用型助手，如新聞情報員、財報分析師、法遵小助手、法說會傳令兵、房貸估價師、交易代理員、系統開發規劃師等。</p> <p>最上面的應用層則涵蓋了四大類場景，業務、流程、風險和理財的各種AI助手或AI服務。舉例來說，業務面應用像是智能客服、顧問副手、電銷助理、估價助手等。流程類應用則像是人資幫手、卡務管家、軟體測試員、流程指揮家、知識管理員等。風險類則是目前項目最多的一類，像是盡職調查官、模型診斷師、帳戶稽核官、合規監察官等。</p> <p>在這個Agent宇宙藍圖中，這些不同的職務名稱，代表了永豐金控想要發展的AI助手或AI代理角色，也可以說是永豐金控整個金融AI應用願景的發展框架。</p> <p>為了支撐這樣大規模的AI應用，永豐金控也積極強化五大基礎建設。在運算基礎建設上，包括了Nvidai硬體算力資源、Azure微軟生態系統和AI Agent中央管理平臺，像是任務協調、提示版本管理、Token使用追蹤都屬於AI Agent中央管理平臺的功能。</p> <p>在人才基礎建設中則包括了AI人才招募的圖靈計畫，由中臺和產品人員協助挖掘GAI場景的數位幕僚，也展開GAI平民化計畫，透過培訓活動提升員工GAI的應用能力。同時永豐金控也會持續從事尖端技術的研發，來充實技術基礎建設。</p> <p>知識基礎建設則包括了法人金融、零售金融、數位金融、財富金融、信託業務、經紀業務等領域的前臺與中後臺知識，還會善用各種公開資料。安全基礎建設除了安全與合規驗證之外，還有事實驗證和幻覺防止機制，另外也有倫理與偏見防護，以及事後審查與問題追蹤機制。</p> <p>「J’right Experience！」張天豪用這句話來點出，透過這個龐大的Agent宇宙發展藍圖，他想實現的AI應用體驗是，「用了會忍不住脫口而出，就是要這樣才對。」</p> <p> </p> </div></div></div>
2025/12/24 12:49作者王宏仁https://www.ithome.com.tw/news/173012
MacSync Stealer偽裝合法App，成功通過macOS Gatekeeper防線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鎖定macOS的資訊竊取型惡意程式MacSync Stealer，正悄悄改變其投放方式。資安業者<a href="https://www.jamf.com/blog/macsync-stealer-evolution-code-signed-swift-malware-analysis/" target="_blank">Jamf近日揭露</a>，最新觀察到的MacSync Stealer已不再依賴傳統的社交工程終端機指令，而是改以「已完成程式碼簽署與Apple公證」的Swift應用程式作為投放工具，成功通過macOS的Gatekeeper安全檢查。</p> <p>MacSync Stealer至少自2023年起開始活動，主要目標是竊取使用者的瀏覽器帳密、系統資訊以及加密貨幣錢包資料。早期版本多半假冒通訊軟體或系統工具，誘騙使用者將檔案拖入終端機，或依指示貼上一段經過混淆的指令碼。這類手法雖然成功率不低，但行為本身相當可疑，也容易被防毒軟體或企業端點防護機制攔截。</p> <p>然而，Jamf發現新版本的MacSync Stealer在投放策略上出現關鍵轉變。駭客改以Swift開發一個具備合法程式碼簽署，並通過蘋果軟體公證機制（Notarization）的Mac應用程式作為投放工具。該程式被包裝在磁碟映像檔中，外觀與一般合法App無異，使用者只要依照正常安裝流程雙擊執行，便可通過macOS的Gatekeeper安全機制，全程不需要任何終端機操作。</p> <p>該應用程式本身並不直接執行竊資行為，而是扮演投放工具的角色。它會先檢查網路連線與執行環境，確認條件符合後，再從遠端伺服器下載真正的惡意指令碼執行，完成後即清除暫存檔案，降低被追蹤的可能性。</p> <p>值得注意的是，Gatekeeper的設計初衷，是阻擋來自不明來源或未經簽署、公證的軟體。此次案例並非利用系統漏洞，而是濫用Apple的信任機制。只要駭客取得合法開發者憑證，並在尚未被發現前通過公證流程，就能讓惡意程式在外觀上與一般合法App無異。</p> <p>在收到Jamf通報後，蘋果已撤銷該開發者憑證。之後舉凡是使用該憑證簽署的程式，在使用者端執行時，macOS理應會觸發Gatekeeper的安全檢查，並可能遭到阻擋或顯示警告。</p> </div></div></div>
2025/12/24 11:56作者陳曉莉https://www.ithome.com.tw/news/173008
Anthropic開源Bloom自動生成行為評估，量化模型偏差與風險行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic<a href="https://www.anthropic.com/research/bloom">開源</a>Bloom提供自動化行為評估生成，研究者可先定義想觀察的目標行為，Bloom再以自動生成的多種情境測試模型，彙整出行為出現頻率與強度等量化指標。Anthropic同時釋出4項對齊相關行為在16款先進模型上的基準結果，作為後續比較的起點。 </p> <p>Anthropic說明，行為評估對理解先進模型的對齊狀態很重要，但傳統評估往往需要長時間建置，還可能因訓練資料汙染或模型能力快速提升而失去鑑別力。Bloom的目標是縮短評估成形的周期，讓研究者把心力放回量測行為本身，而不是花在評估流程的工程建置上。</p> <p>Bloom與Anthropic先前開源的自動化行為探索工具Petri互補。Petri通常從研究者指定的情境出發，透過多輪對話與模擬使用者和工具互動來探索模型行為，並以多個面向評分來浮出可能需要人工追查的案例。Bloom則鎖定單一目標行為，自動生成大量情境，量化該行為出現的頻率與嚴重程度，較適合用於模型對照測試與趨勢追蹤。</p> <p>Bloom會以4段自動程序完成一套評估，首先解讀研究者提供的行為描述與範例逐字稿，再產生用來誘發目標行為的評估情境，接著將情境套用到目標模型，最後由評分模型替每段互動逐字稿打分並產出套件層級的分析。Anthropic在文章中示範Bloom可產生的評估套件，包含妄想式逢迎、受指示的長期破壞、自我保全，以及自我偏好偏誤，並把同一套方法套用到16款先進模型。</p> <p>為了說明評估的可信度，Anthropic也公開兩組驗證結果，其一是拿正式版Claude模型對照以系統提示刻意塑造特殊行為的模型樣本，在10種行為中有9種能被Bloom區分。</p> <p>其二則是以人工標註的40份逐字稿為基準，檢查自動評分模型的判讀是否貼近人工標註，係數越接近1，代表評分模型對逐字稿的高低分判斷，和人類的判斷越一致。Claude Opus 4.1與人工標註的相關係數達0.856，屬於高度一致，Claude Sonnet 4.5為0.747。對照其他模型，Gemini 2.5 Pro為0.636、Gemini 2.5 Flash為0.519、GPT-5為0.468、GPT-5 mini為0.531、o4-mini為0.273以及GPT-OSS-120B為0.234。 </p> <p>Bloom目前已在GitHub開源釋出，Anthropic認為，隨著AI系統被導入更複雜的工作環境，外界需要更可擴展的方式來描述與追蹤模型行為。</p> </div></div></div>
2025/12/24 10:08作者李建興https://www.ithome.com.tw/news/172991