iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

思科修補整合通訊管理平臺Unified CM、Webex產品可允許任意指令執行的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科昨日<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-rce-mORhqY4b" target="_blank">釋出安全更新</a>以修補存在整合通訊管理（Unified Communications Manager，Unified CM）系列，包括Webex產品一個可讓未經驗證的遠端攻擊者，在受害裝置上執行任意指令的重大漏洞。</p> <p><a href="http://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-rce-mORhqY4b" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-CVE-2026-20045-cisco.png" style="width: 500px;" /></a></p> <p>編號CVE-2026-20045的漏洞出於Unified CM產品對使用者提出HTTP請求的輸入內容驗證不當。攻擊者可傳送變造一系列的HTTP請求到思科裝置的Web管理介面來濫用本漏洞。成功濫用可讓攻擊者取得底層OS的使用者層權限，然後再提升到Root層級。</p> <p>本漏洞CVSS風險分數為8.2，思科表示，由於漏洞濫用可導致權限提升為Root，因此將該漏洞的安全影響評等列為「重大」，而非「高風險」。</p> <p>該漏洞影響產品包括Unified Communications Manager（Unified CM）、Unified CM Session Management Edition（SME）、Unified Communications Manager IM & Presence Service（Unified CM IM&P）、Unity Connection以及Webex Calling Dedicated Instance。</p> <p>思科已針對各項產品發布更新，並警告該漏洞沒有暫時解決方案。</p> <p>思科產品安全事件回應小組（PSIRT）已發現網路上已有濫用本漏洞的活動，因此強烈建議用戶需儘速安裝更新版軟體以確保安全。</p> <p>這是本月思科修補的第二批漏洞。<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-xxe-jWSbSDKt" target="_blank">兩星期前</a>這項網路設備大廠還修補影響ISE（Identity Service Engine）、ISE-PIC一個可造成敏感資訊洩露的漏洞CVE-2026-20029，網路上已出現針對該漏洞的概念驗證（PoC）攻擊程式。</p> </div></div></div>
1/22 15:02作者林妍溱https://www.ithome.com.tw/news/173521
MITRE公布嵌入式系統安全框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>非營利資安研究機構<a href="https://www.mitre.org/news-insights/news-release/mitre-launches-embedded-systems-threat-matrix-strengthen-cyber-defense" target="_blank">MITRE本周發布</a>嵌入式系統威脅矩陣（Embedded Systems Threat Matrix），提供嵌入式設備專用的ATT&CK攻擊框架，協助資安人員確保工業設備、機器人和電信設備等國家關鍵基礎設施的安全。</p> <p>MITRE以維護CVE漏洞資料庫和開發MITRE ATT&CK攻擊框架聞名，該框架是全球標準的網路威脅情報知識庫，用於分類、理解和對抗進階持續性威脅（APT）。</p> <p>名為Embedded Systems Threat Matrix（ESTM）的框架是MITRE連同美國空軍網路韌性武器系統辦公室（Cyber Resiliency Office for Weapon Systems，CROWS）共同發展。本框架旨在提供研究人員、資安專家和廠商辨識嵌入式系統漏洞及打造強大系統的實用工具，可用在運輸、能源、健康、工業控制和機器人等領域。</p> <p>ESTM其實結構是借鑒於MITRE ATT&CK框架，並以MITRE概念驗證和理論研究為基礎開發，整合專門針對嵌入式系統的攻擊戰術和手法，可供研究人員、資安從業人員進行威脅建模、評估，分析風險、並與現有資安方法如MITRE ATT&CK、威脅情報格式整合。它也包含新興威脅和漏洞，協助防患未然。</p> <p><a href="https://estm.mitre.org/" target="_blank">ESTM官方網站</a>指出，ESTM最早於去年9月公布，現在為ESTM 3.0。ESTM已提供STIX 2.1（Structured Threat Information eXpression）格式版本，可以給機器讀取。</p> <p>ESTM現已涵蓋約218個技術/13個戰術（並標註哪些被棄用），能讓工具、分析師或模型匯入現有安全方案。威脅矩陣頁也<a href="https://estm.mitre.org/estm-matrix/" target="_blank">提供下載</a>STIX 2.1 json檔。</p> <p>ESTM可和<a href="https://emb3d.mitre.org/" target="_blank">MITRE EMB3D</a>威脅模型結合共用，形成完整的安全系統設計資源。MITRE同時鼓勵資安專家貢獻知識改進ESTM。</p> </div></div></div>
1/22 15:17作者林妍溱https://www.ithome.com.tw/news/173523
勒索軟體Everest聲稱入侵印度麥當勞、公布近7,300萬Under Armour客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>惡名昭彰的Everest勒索軟體本周宣稱駭入印度麥當勞取得公司敏感資料、並公布運動服飾品牌Under Armour近7,300萬筆客戶資訊。</p> <p>這個疑似和俄國政府有關聯的駭客組織在地下論壇張貼公告，說手中持有印度麥勞內部文件及客戶資料，共861 GB。駭客還貼出了檔案螢幕擷圖以證實其真實性。媒體<a href="https://hackread.com/everest-ransomware-mcdonalds-india-breach-customer-data/" target="_blank">Hackread.com分析</a>這些擷圖，判斷是2023年到2026年的財務報表、稽核資料、成本追蹤表、ERP搬移檔案、定價資料和其他敏感內部通訊。</p> <p>一些目錄甚至標示出月份，顯示駭客已存取會計或ERP系統。另一目錄名為「投資人資訊」，表示攻擊者可能已存取到機密的董事會層級資訊。名為聯絡人資料庫的試算表包括美國、英國、新加坡與印度的投資人和業務合作夥伴的聯絡資訊，像是姓名、郵件、電話號碼、電子郵件信箱等。此外還有麥當勞分店資料，列出店長姓名、mcdonaldsindia.com網址的公司電子郵件信箱與聯繫資訊等。</p> <p>駭客並限期二日內麥當勞必須回應，否則就可能公布機敏資訊。</p> <p>Under Armour（UA）則是遭到Everest公開內部資料。去年11月<a href="https://hackread.com/everest-ransomware-under-armour-users-data/" target="_blank">駭客公告</a>，竊得這家美國運動服飾品牌商343GB資料，Have I Been Pwned（HIBP首先報導，UA客戶資料遭駭客公開。外洩的資料包括7,270萬筆電子郵件信箱紀錄，內有姓名、出生日期、性別、地址和購買資訊等。</p> <p>印度麥當勞和UA皆尚未對此做出評論。</p> <p>這是Everest近日最新的資料外洩活動。去年12月該組織也宣稱了竊取汽車大廠<a href="https://www.ithome.com.tw/news/173067" target="_blank">克萊斯勒</a>1TB公司及客戶資訊、駭入<a href="https://www.ithome.com.tw/news/172644" target="_blank">華碩</a>。而去年6月他們也聲稱成功竊得<a href="https://www.ithome.com.tw/news/169228" target="_blank">可口可樂</a>內部資訊。</p> </div></div></div>
1/22 09:37作者林妍溱https://www.ithome.com.tw/news/173515
以信任與韌性驅動金控整併，台新新光金的萬億資產防線
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在台新與新光金控合併進入關鍵階段之際，資安不只是技術層面的防護工作，而是牽動治理、信任與成長節奏的核心戰略。身兼台新新光金控與台新銀行資安長的陳詰昌，正站在這場整併工程的樞紐位置，負責整合攸關營運穩定的「數位大腦」，讓資安成為支撐金融創新的力量，而非阻力。</p> <p>出身警界，長年投入科技犯罪偵查的背景，陳詰昌對攻防對抗與威脅演化有高度敏銳度，也形塑了他的資安管理理念：風險從來不是靜態問題，而是一場持續變動的管理課題。陳詰昌接手偵辦第一銀行和遠東商銀的資安事件，進入金融體系後，他認為資安長更重要的任務是：將複雜的風險轉譯為組織能理解、能決策的語言，並在其中建立共識與信任。</p> <p>這樣的思維，正好呼應台新與新光合併所面臨的挑戰，整併不只是系統與制度的對齊，更是一場文化與治理的深度融合。陳詰昌認為，關鍵不在於誰併誰，而是如何重新界定整個集團可承受的風險邊界，建立一套能被共同理解與接受的資安治理語言，避免原本獨立的體系在整合過程中彼此掣肘。</p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>金控整併的資安棋局，追求一致性與協同綜效</strong></span></span></p> <p>隨著台新與新光兩大體系正式進入整併深水區，資安不再只是系統層面的技術工程，而是一場牽動治理邏輯、組織文化與長期競爭力的全局棋局。身為台新新光金控資安長，陳詰昌此刻的核心任務，是在高度複雜的集團架構中，建立一致的資安治理基礎，同時催生市場與經營團隊期待的整併綜效。</p> <p>在他的定義裡，一致性不等於一模一樣。金控治理追求的，並非要求所有子公司使用相同系統，而是先建立集團層級的控制框架與風險口徑，讓銀行、證券與保險能以同一套「風險語言」溝通。這套語言，必須清楚界定風險胃納、關鍵風險指標與衡量方式，確保風險能被看見、被理解，也能被管理。</p> <p>這樣的思維，來自他對金融業務本質差異的深刻體認，證券講求毫秒級的極速交易，壽險重視長達數十年的資料穩定性，銀行則介於即時性與穩定性之間，若強行以單一標準套用所有事業體，反而可能製造新的風險。</p> <p>他提出以「基準線」為核心的治理原則，要求所有子公司先達到一致的基本資安水準，再依業務特性向上加嚴，讓整體防禦維持完整，同時保有彈性。</p> <p>在整併最受關注的綜效議題上，陳詰昌選擇從能力的集中化著手，資安監控中心的集中，不只是成本考量，而是讓成熟度最高的單位成為集團的經驗引擎，將銀行累積的威脅獵捕與事件應變經驗，快速轉化為流程與規則，擴散到證券與保險子公司。對他而言，真正的綜效，不在帳面縮減，而在能力是否可以複製與放大。</p> <p>在具體時程上，整併節奏相當清楚。去年7月24日，台新與新光金控已完成合併；同年11月投信率先整併；今年元旦人壽完成合併，4月證券接續整合；規模最龐大、系統最複雜的銀行體系，規畫於2027年元旦完成系統整合。系統選擇上，他採取取長補短的策略，銀行以台新系統為核心，證券則保留元富在交易速度與機房配置上的優勢，同時導入台新的治理制度。</p> <p>在行動銀行、開放API與跨境服務成為常態的環境下，陳詰昌對資安的期待早已超越「不被攻破」。他更重視的是，一旦事件發生，服務是否仍能維持、組織是否能快速復原。這種「韌性」思維，讓身分識別、設備驗證與資料保護成為可重複使用的基礎能力，也讓營運持續與備援演練成為對市場與客戶的承諾。</p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>重新定義資安長的角色，從技術防衛到風險治理</strong></span></span></p> <p>2022年，陳詰昌先接任台新銀行資安長；之後，肩負起台新新光金控資安長的重任。對他而言，不只是職稱升級，而是責任尺度與視角的根本轉換。在高度依賴資訊系統、同時承載市場信心與監理壓力的金融業，一起資安事件的衝擊，往往超越系統本身，直接考驗組織的治理能力與信任基礎。</p> <p>因此，上任後他並未急著強化單點防禦，而是先試圖改變組織「如何看待資安」。金控是一個由銀行、保險、證券、委外服務與供應鏈交織而成的風險共同體，資安如果仍停留在防火牆或端點防護層次，終將失焦。他認為，真正有效的資安，必須上升到治理層級，成為董事會能監督、高層能討論，並與集團風險胃納緊密連動的管理議題。</p> <p>在這樣的框架下，資安不再只是門檻，而是一項支撐業務成長的能力。陳詰昌認為，資安長的關鍵不在踩煞車，也不在技術有多深，而在能否將技術風險轉化為業務影響，並在跨部門之間建立共識。真正考驗資安長的，往往不是是否被入侵，而是在事件前後，是否具備風險溝通與危機領導的能力。</p> <p>這個觀點，來自他從警界轉戰金融的深刻體悟。過去在偵查單位，核心任務是證據保全與追查嫌犯；但在銀行，首要目標是營運持續，必須在最短時間內恢復服務、控制影響範圍。他坦言，銀行不是辦案單位，不必追求完美的證據鏈，對客戶而言，服務不中斷才是關鍵。</p> <p>因此，他在策略層面明確指出，企業資源有限，不可能做到零風險，與其追求百分之百防禦，不如確保組織不會成為駭客鎖定攻擊的軟柿子；一旦遭遇攻擊，具備快速復原的能力。</p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-CISO-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <hr /> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>讓董事會看懂資安的「紅綠燈」</strong></span></span></p> <p>在陳詰昌的資安治理哲學中，溝通從來不是附加任務，而是資安長的核心職責。他直言，資安長若不主動走向高層，資安議題將被侷限在技術部門，影響力只會愈來愈小。</p> <p>他上任的第一年，擬定資安政策時，便刻意將「資安長每年須向董事長報告，並提交董事會核可」正式寫入制度，為資安治理爭取一個固定且可被監督的決策位置，而非臨時性的簡報場合。</p> <p>這樣的設計，並非只是為了預算或資源，更重要的是建立一條理解彼此期待的溝通管道。董事會關心的從來不是防火牆或惡意程式的技術細節，而是風險是否可控、投入是否產生效果。</p> <p>為了縮短這項落差，陳詰昌刻意放棄過於複雜的量化風險模型，轉而採用美國NIST的網路安全框架（CSF）並加以簡化，轉成一套高層能直覺判讀的管理指標。</p> <p>這套指標就是他口中的「資安治理紅綠燈」，將原本技術性的數據，如防毒覆蓋率、VPN開放狀態或中毒告警數量，重新編排成紅、黃、綠三種燈號，讓風險狀態一眼可見。</p> <p>他分享，自從紅綠燈機制上線後，經營團隊在會議中只需聚焦亮起紅燈的項目，要求相關單位限期改善，資安長反而不必再花大量時間解釋背景。透過這樣的轉譯，資安治理從抽象的專業語言，轉變為可追蹤、可檢視的管理績效。</p> <p>這種量化與可視化的治理方式，讓資安更自然地進入企業永續的討論脈絡。陳詰昌主動將資安與ESG連結，特別是在「社會責任」層面，他認為提供穩定、安全、不輕易中斷的金融服務，本身就是對社會最直接的承諾。</p> <p>談到韌性，他刻意將其與傳統的營運持續管理（BCM）區隔開來。在他的定義中，營運持續管理多半針對地震、水災等已知風險進行事前準備；而韌性，則是組織在面對未知衝擊時，是否具備快速決策與即時應變的能力。這種能力，來自資訊透明度、制度成熟度，也來自高層在關鍵時刻是否願意承擔風險、果斷下判斷。</p> <p>他坦言，推動營運持續管理的過程並不輕鬆。初期，不少業務單位仍將其視為IT或資安部門加諸的負擔，而非自身責任。為了扭轉認知，他花了近三年時間反覆溝通，強調營運持續的核心不在於昂貴的系統備援，而在於業務能否在危機中存活。他甚至引用海外子公司的案例說明，即使在系統失效時，透過人工流程或傳真維持基本服務，也是一種務實可行的營運持續方案。</p> <p>這種不迷信技術、回歸業務本質的做法，逐漸獲得風控與業務等不同單位的認同，讓營運持續管理從資安部門的專案，轉變為全組織共同承擔的責任。在陳詰昌的治理藍圖中，資安並非追求零事故的理想國，而是一套能量化、能討論，能在不確定中支撐決策的管理工具。</p> <p><span style="font-size: 28px;"><span style="color: rgb(178, 34, 34);"><strong>跨界者如何打造資安的信任工程</strong></span></span></p> <p>回憶剛接任台新銀行資安長的前100天，陳詰昌最大焦慮並非技術能力不足，而是難以在龐大的銀行和金控架構中看清全貌。他認為，資產若不可見、權責不清楚，再先進的防護工具都可能淪為空中樓閣。</p> <p>這樣的體悟，與他在警界養成的實戰思維密切相關。過去從攻擊者角度出發，思考事件如何發生、如何擴散；在進入金融業後，他格外重視資安治理的可視化與制度化，因為金控內部橫跨資訊、法遵、稽核與業務單位，若缺乏清楚分工，事件發生時反而容易彼此牽制。</p> <p>因此，他上任後率先推動跨部門協作，並引入「RACI」權責概念，釐清誰負責（Accountable）、誰執行（Responsible）、誰被諮詢（Consulted）、誰被告知（Informed），將重大資安事件中的指揮、執行、通報與查核角色事前定義清楚，而非事後才追究責任。他強調，這不只是流程設計，更是一種文化轉向，希望團隊在危機來臨時，第一時間思考的是如何完成任務，而不是責任歸屬。</p> <p>這套治理邏輯更延伸到金控子公司之間，不同業務屬性，對風險的感知自然不同，唯有在認知與通報節奏上取得一致，整體韌性才能成立。透過反覆演練與實際事件回饋，集團逐步建立起共同的資安語言。</p> <p>陳詰昌認為，內部治理是打底工程，對外聯防是最具辨識度的實踐。他是國內金融界首位推動與調查局簽署合作備忘錄的資安長，並將警界人脈轉化為防詐能量，例如透過刑事局的DNS RPZ機制，加速攔阻與下架詐騙網站。他估算，過去單一銀行處理一個詐騙網站，往往耗費五、六萬元與兩、三天時間，但聯防機制不僅速度更快、成本更低，也能為民眾提供更即時的保護。</p> <p>在他眼中，這種合作從來不是單向支援，是建立在互信上的雙贏關係：警政單位更理解金融實務，企業則取得即時情資與處置管道。這更促使台新新光金控加入 FIRST等國際組織，持續強化CSIRT能量；與調查局共同進行的駭侵演練，則讓資安、風控與業務單位在實戰中，理解營運持續的真正意義。</p> <p>這樣的溝通能力，在台新推動「虛擬資產信託試辦案」時發揮了關鍵作用。當業務單位對區塊鏈、私鑰與密碼學感到陌生甚至不安時，陳詰昌不僅參與研究，更站在業務立場，用白話拆解風險與可行性。</p> <p>面對主管機關在閉門會議中專業而尖銳的提問，他能精準回應，即時把複雜技術轉化為可治理的制度設計。他表示，當業務單位意識到資安長既懂技術、也懂商業時，資安便不再是創新的阻力，反而成為新業務得以前行的「托底力量」。</p> <p>談到對後進的期許，陳詰昌引用巴菲特的「雪球理論」，鼓勵年輕人找到自己的斜坡與濕雪，選對方向、持續累積，讓時間成為放大器。他借用《納瓦爾寶典》的概念，提醒資安工作者要「把自己產品化」，將一次性的付出，轉為可重複交付的價值。從警界走到金控資安長，陳詰昌自己，正是那顆持續滾動的雪球。</p> <hr /> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> CISO小檔案 </span></strong></span></p> <p><strong>陳詰昌</strong></p> <p><strong>台新新光金控兼台新銀行資安長</strong></p> <p>學經歷：臺灣科技大學資訊工程碩士班畢業，任職警察時，工作內容囊括資訊科技到外勤，一路從基層員警到擔任刑事局偵九大隊隊長、數位證據股股長、科技研發科技正、刑事局刑事資訊科科長，於2022年擔任台新銀行資安長，後續接任台新新光金控兼台新銀行資安長一職</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-CISO-300.jpg" style="width: 300px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 公司檔案 </span></strong></span></p> <p><strong>台新新光金控公司</strong></p> <p>●成立時間：1992年3月23日正式營業</p> <p>●公司演變：2025年7月24日台新與新光金控進行合併，台新金控為存續公司，新光金控為消滅公司</p> <p>●子公司整併歷程：2025年11月台新投信完成整併；2026年元旦新光人壽完成合併；今年4月台新證券和元富證券完成整合；2027年元旦完成台新銀行和新光銀行系統整合</p> <p>●董事長：吳東亮（台新新光金控、台新銀行）</p> <p>●總經理兼發言人：林維俊</p> <p>●資訊長：孫一仕</p> <p>●資安長：陳詰昌</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 資安部門檔案 </span></strong></span></p> <p>●成立時間：2018年</p> <p>●部門主管：部長</p> <p>●直屬主管：資安長陳詰昌</p> <p>●資安部門人數：22人</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 資安大事記 </span></strong></span></p> <p>●2025/12/26：自建金融專用大語言模型「台新新光腦」，臺灣第一個由金融機構自建並部署於地端環境的金融專用繁體中文大型語言模型，榮獲由亞洲企業商會（Enterprise Asia）主辦的2025年「國際創新獎」（IIA）《服務與解決方案》類別殊榮</p> <p>●2025/3/25：攜手北檢簽署「戰神專案」防詐合作備忘錄（MOU），提前預警通報並預控潛在高風險帳戶，共同攜手打擊重大詐騙案件</p> <p>●2024/11/01：參加「2024台北金融科技展」，透過「智慧型徵信報告服務模組」監控授信品質與風險管控；將台新「AI智慧通」導入企業網路銀行的智能客服；運用AI偵測及大數據分析建立「戰神模型」防詐機制，協助實體分行及數位通路建立防詐網路</p> <p>●2023/05/11：號召38家金融機構團結提升防詐行動力，參加「金融業打擊詐欺高峰會」，台新銀行自2021年至2023年第1季，共成功阻攔557件詐騙案，金額達新臺幣2億9906萬元</p> <p>●2022/12/19：台新金聯手刑事局共創資安聯盟，與刑事局簽署合作意向書（MOU），「金融科技偕阻詐，資安聯防齊擋駭」進行阻詐合作專案，包括「資安智慧聯防」加速釣魚網站及惡意APP下架；將台新全臺的ATM嵌入「科技犯罪與駭侵事件預警」預警情資機制，協助降低警示戶數及詐騙金額</p> <p>●2022/11/1：與法務部調查局簽訂「國家資通安全聯防與情資分享合作備忘錄（MOU）」，調查局首次與金融機構簽署資通安全合作備忘</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0122-ciso-9601.jpg" width="960" height="420" alt="" title="台新新光金控兼台新銀行資安長陳詰昌" /></div></div></div>
1/22 09:00作者黃彥棻https://www.ithome.com.tw/people/173514
NoSQL資料庫Firestore企業版換新查詢引擎，可串接多階段複雜資料轉換
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>行動與Web應用開發平臺Google Firebase旗下NoSQL資料庫Firestore企業版<a href="https://firebase.blog/posts/2026/01/firestore-enterprise-pipeline-operations">更新</a>，導入重新設計的查詢引擎，並推出名為Pipeline Operations的新查詢介面，主打把查詢拆成多個階段串接執行，讓開發者能在一次查詢中完成更複雜的資料轉換與運算。同時，企業版的索引策略也改為可選，集合預設不自動建立索引。</p> <p>Pipeline Operations是一組內建於Firestore各SDK的API，讓開發者以多階段方式描述Firestore端的資料轉換流程，並可組合階段、運算式與函式，概念上更接近在資料庫端表達一段資料處理程序，而不是只做傳統的條件過濾與排序。<a href="https://firebase.google.com/docs/firestore/enterprise/pipelines-overview#stage-based-composable-syntax">官方文件也指出</a>，為了導入Pipeline Operations而更新的企業版查詢引擎，額外新增超過百項查詢能力。</p> <p>這次更新也調整索引策略，Firestore企業版預設不會自動建立單欄位索引，且查詢不再要求先建立索引才能執行。官方指出，如此通常能降低寫入時的負擔，進而改善寫入效能並降低儲存成本，但若直接查詢大型且未建立索引的集合，查詢速度可能明顯變慢。</p> <p>由於要讓開發者在索引改為自行管理後仍能掌握效能，Firestore提供查詢分析工具，例如Query Explain與Query Insights，用來協助觀察查詢的執行方式與效能指標，協助用戶找出瓶頸，再決定值得建立的索引。企業版也支援稀疏索引、非稀疏索引與唯一索引，除了改善查詢效能，也可用於約束集合行為。</p> <p>Pipeline Operations目前已支援Android、iOS、Web與管理用SDK，Flutter、Unity與C++仍在後續規畫中。官方同時強調，標準版不會下線，既有查詢方法會繼續可用，而企業版並非僅針對大型企業，目前以公開預覽形式提供，開發者可透過Firebase控制臺建立企業版資料庫並開始試用。</p> <p>在計費差異上，企業版把寫入與刪除合併視為寫入操作，並提供寫入的免費額度，另以資料區塊為單位計算讀取與寫入費用，文件較小時可能更有利。相對地，因為索引由使用者負責管理，未建立索引的集合在查詢上可能更慢且更昂貴，開發團隊需要更早把索引與查詢分析納入日常維運。</p> </div></div></div>
1/22 09:06作者李建興https://www.ithome.com.tw/news/173512
國科會揭明年科技預算上看1,850億元，投資AI新十大建設、量子、淨零科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國科會今天(1/21)召開委員會議，公布2027年的我國科技發展重點規畫，先期規畫2027年科技預算需求為1,850億元，以支持跨部會推動AI新十大建設、五大信賴產業、大南方新矽谷、晶創臺灣、淨零科技創新方案、海洋科技方案等，推動我國AI、量子科技、淨零科技等領域發展。</p> <p>去年國科會揭露2026年科技預算為1,601億元，中央政府總預算仍待立法院審議，但科技投資布局不能停擺，因此國科會今天召開委員會議，先期規畫2027年科技預算1,850億元，較2026科技預算成長約15%。</p> <p>國科會計畫運用科技預算，除了推動行政院推動的「AI新十大建設推動方案」，還有「大南方新矽谷推動方案」、「晶片驅動臺灣產業創新方案」、「次世代通訊科技發展方案」、「智慧機器人產業推動方案」、「高齡科技產業行動計畫」、「海洋科技方案」、「淨零科技創新方案等政策」。透過預算補助基礎學術研究、科技人才培育。</p> <p>國科會主委吳誠文表示，2027年的科技預算為國科會與各部會討論的先期規畫，根據我國產業的能量及科技產業發展的現況，未來發展的目標，推動幾個重要的科技方案，希望能夠順利執行，這些科技方案涵蓋半導體、AI等，從技術的創新將來擴充到各行各業的發展，未來帶動我國的產業發展，透過科技研發支撐未來產業關鍵技術及人才的需求。</p> <p>儘管中央政府總預算仍在立法院待審，朝野政黨之間爭執不休，但吳誠文仍希望科技預算能獲得立法院的理解支持。</p> <p><strong style="color: rgb(178, 34, 34);">實現2030年減碳26%到30%的中期目標</strong></p> <p>其中2023年開始推動的「淨零科技方案」即將在2026年到期，因此國科會再提出「淨零科技創新方案(草案)」以作為後續實踐2030年我國減碳28%正負2%(基準年為2005年)的目標，最終在2050年達到淨零排放的目標。</p> <p>淨零科技創新方案的推動包含5大主軸，包括布局前瞻的淨零科學研究，支援減碳旗艦計畫、推動高值碳循環科技，打造綠色循環產業鏈、創新AI淨零應用，加速產業減碳規模、淨雲科技實域驗證，公私協力打造淨零樞紐、社會實作普惠科技，驗動淨零永續發展社會力。</p> <p>在5大主軸的指導策略下，未來投入5大科技領域，包括永續及前瞻能源(如再生能源、氫/氦能、電網與儲能)、低(減)碳(如住商部門、製造部門減碳)、負碳(如碳捕捉、碳再利用、自然碳匯等)、循環(如工業循環、民生、水資源、農業循環)，還有人文社會科學(如人才培育、行為改變、綠色金融)。</p> <p>國科會預期「淨零科技創新方案」的效益，包括建構去碳的能源系統，培養綠色領域的科研人才、創新循環供應體系(提升戰略資源循環利用率)、提升企業綠色競爭力、建構在地的淨零社會力。</p> <p><span style="color:#B22222;"><strong>我國量子科技從技術交流、引進到系統整合</strong></span></p> <p>在AI新十大建設中，量子科技也是其中之一，今天國科會委員會也報告我國在2021年開始推動量子運算國家戰略，第一期由國科會跨部會成立量子國家隊，從5年來在量子科技的推動成果，例如在量子電腦硬體部分，實現10個量子位元及19個可調耦合器的1D鏈狀QPU；完成國內第一個自製的可程式矽光子量子運算晶片，展示通用型光子量子運算晶片；以及在新竹到新北市間70公里的星狀量子加密網路，確保通訊安全；人才培養方面，累計培養超過350位碩博士、25位博位後人才；和國外科技巨頭、研究單位交流，包括與荷蘭IQM合作引進量子電腦完成驗收，預計2026年開放服務。</p> <p>國科會揭示接下來5年我國量子科技發展將進入第二期，目標為從元件製造升級為系統整合，不只是硬體的量子位元及周邊讀取控制技術提升，還包括軟體擴充、資安跨域團隊的建立，建構量子大腦。</p> <p>另外，國科會也規畫在南部建置國家級的HPC-QC異質混合運算主機，事實上，吳誠文先前在國網雲端算力中心啟用時，曾表示該中心不只具備GPU超級電腦，也具備部署量子電腦的戰略潛能，2028年建置我國第一部整合高效能運算環境的量子電腦（HPQC），以支援我國相關的量子應用技術發展。</p> <p>吳誠文表示，未來希望透過國際合作，和國外的科技或學研單位共同合作，開發軟硬體技術，台灣所具有的半導體產業優勢，是吸引國外業者、學研共同合作的很好誘因，他希望國外業者不能只是將賣產品給台灣，我國的目標是雙方共同技術合作，以縮短台灣的摸索期。</p> </div></div></div>
1/21 19:26作者蘇文彬https://www.ithome.com.tw/news/173511
瞄準診所帳務管理痛點，醫療新創聯手銀行推聯名卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在臺灣，許多診所的採購和帳務管理仍仰賴人工，常衍生核銷不精準等問題。瞄準這個痛點，專攻診所醫病管理系統的臺灣新創AlleyPin今（1/21）聯手遠東商銀，發起企業聯名卡，供診所、藥局等醫療和醫事機構使用。該卡的支出記錄也會同步彙整到AlleyPin的醫病管理系統後臺，不必人工逐筆登錄，診所也更容易掌握庫存成本分布。接下來，他們將擴大既有的後臺AI功能，來針對資金、支出和庫存記錄，提供智慧預警。</p> <h2><strong>瞄準診所帳務管理3大痛點</strong></h2> <p>AlleyPin以診所醫病管理（PRM）系統起家，2017年成立後主打2大產品，包括提供24小時線上掛號和諮詢的醫病媒合平臺PinMed，以及可串接診所醫療資訊系統（HIS）、整合Line官方帳號和AI功能的PRM平臺1.Talk。這款PRM平臺涵蓋診所預約掛號、診前提醒與後續衛教追蹤等一條龍功能，去年10月還正式上線AI Agent客服功能，目前已有2,000多家臺灣和日本診所採用。</p> <p>AlleyPin共同創辦人暨營運長羅偉誠指出，在與診所接觸的經驗裡，他們觀察到診所帳務管理存在3大痛點。首先是公私帳務容易混淆，尤其是診所剛開幕，許多採購和消費常以院長自己的信用卡先行墊付，再加上沒有妥善的管理工具來記錄，月底報費時容易混淆、難以釐清私人消費和公務支出。</p> <p>再來，傳統診所支付供應商貨款時，多仰賴支票、現金或匯款，這就得仰賴人工一一進行紙本對帳，容易因量大而發生人為疏失，比如遺漏或重複匯款。另一個痛點是，診所採用現金或即期支票支付，意味著資金即刻流出，在醫藥品庫存備貨的高峰期，這種龐大的現金壓力，會排擠其他營運資金。</p> <p>鑑於醫療支付還未完全數位化，AlleyPin與遠東商銀推出診所、藥局等醫療醫事機構專用的AlleyPin Nova聯名卡，來滿足診所需求。</p> <p>這張卡有3個特點，一是以事業為申辦主體，不占用院長或診所負責人個人信用額，二是提供一般信用卡也有的優惠，比如達消費門檻可享國內1%、海外2%現金回饋，也能抵該月帳單等。第三是使用範圍廣，除了一般性的機票差旅、公務加油、雲端服務外，醫藥品、設備和耗材也都能刷。</p> <p>羅偉誠更透露，他們正與許多醫藥公司、設備商洽談，近期也會與一家指標性醫藥業者的完成合作，來提供優惠。</p> <h2><strong>不只是帳務管理數位化，還有更多應用潛力</strong></h2> <p>他也點出，這張卡不是支付的單點服務，而是從支付到帳務管理的整合式數位應用。羅偉誠說明，業者透過該卡採購後，相關記錄會經API串接，同步彙整到自家的1.Talk後臺並歸戶，免除行政人員逐筆手動輸入。不過，AlleyPin未說明這些記錄能否匯入第三方帳務管理系統。</p> <p>這些資訊匯入專用後臺，也能完整呈現藥品、耗材的採購和支出歷程，讓管理者可快速掌握庫存成本分布，作為決策參考。AlleyPin接下來也打算擴展AI Agent功能，不再只分擔客服，而是能根據帳務記錄，來針對資金水位和未來支出提供預警。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E9%A0%90%E6%B8%AC(1).JPG" /></p> <p></p> </div></div></div>
1/21 18:09作者王若樸https://www.ithome.com.tw/news/173509
【資安日報】1月21日，中國蘋果代工組裝廠立訊傳出遭勒索軟體RansomHub攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173495"><strong style="font-size: 22px;">勒索軟體組織RansomHub宣稱成功攻擊立訊，揚言公開其客戶蘋果、Nvidia、特斯拉的資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/luxshare-data-breach-post.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/luxshare-data-breach-post.png" style="width: 300px; float: right;" /></a></p> <p>網路媒體Cybernews報導，勒索軟體組織RansomHub近日於駭客論壇張貼公告宣稱，去年駭入替蘋果、特斯拉等公司代工的中國精密製造業者立訊精密（Luxshare）內部系統，手中握有其眾多設計及生產資料，並揚言若未拿到贖金將公開其客戶相關機密資訊。由於立訊是蘋果重要代工組裝廠，負責為蘋果生產iPhone、AirPods、Apple Watch，以及Vision Pro等產品，這起事故引起全球高度關注。</p> <p>RansomHub宣稱去年12月15日成功攻擊這家蘋果代工廠，取得該公司大量資料，然而卻久久未等到立訊聯繫，似乎IT部門想隱匿事件。他們要求立訊儘速聯繫，以確保該公司機密資料、專案文件不外流。顯然若駭客未接獲立訊聯繫，就會公開手中的資料。</p> <p>根據Cybernews公布的駭客貼文截圖，RansomHub手中擁有的資料包含機密3D CAD產品建模、3D工程設計、3D工程文件、高精密幾何設計資料、製造用2D繪圖、機械元件草圖、機密工程繪圖PDF文件、PCB設計、電子設計文件、與電子佈線架構資料，以及Gerber檔案。資料來源包含蘋果、Nvidia、特斯拉、LG、吉利汽車的生產與研發資料，都具有保密協定（NDA）保護。</p> <p><a href="https://www.ithome.com.tw/news/173494"><strong style="font-size: 22px;">IT業者Ingram Micro遭遇勒索軟體攻擊調查結果出爐，逾4.2萬人個資外流</strong></a></p> <p>去年7月IT服務供應商Ingram Micro傳出遭遇勒索軟體攻擊，導致部分系統無法運作，後續勒索軟體駭客組織SafePay聲稱是他們所為，竊得3.5 TB內部資料，近期該公司透露受害規模。</p> <p>根據1月16日Ingram Micro向美國緬因州檢察長辦公室通報的資料，這起資安事故發生於7月2日至3日，他們於12月26日確認有42,521人受到本次駭客攻擊影響，這些人主要是員工與曾經投遞履歷的求職者，受影響的個資包含姓名、聯絡資訊、生日，以及政府發出的識別號碼，像是社會安全碼、駕照，以及護照號碼等。此外，部分個資還有特定的員工相關資料，例如與工作有關的評估資訊。針對受影響的人士，Ingram Micro將提供2年信用監控與身分保護服務。</p> <p>這起事故最早由資安新聞網站Bleeping Computer報導，當時傳出7月3日凌晨發生網路攻擊，導致網站與線上訂購系統停擺，員工在他們的裝置上發現勒索信，Ingram Micro要求部分員工居家工作，知情人士透露，攻擊者入侵該公司網路環境的管道，疑似使用外流的帳密資料，存取VPN平臺GlobalProtect而得逞。</p> <p><a href="https://www.ithome.com.tw/news/173499"><strong style="font-size: 22px;">WordPress外掛Modular DS重大漏洞被鎖定，駭客恐藉此得到網站管理權限</strong></a></p> <p>1月14日資安公司Patchstack提出警告，名為Modular DS的WordPress外掛程式存在重大漏洞CVE-2026-23800，形成的原因在於不正確的權限分配，攻擊者可用於提升權限，CVSS風險評分達到10分（滿分10分），影響2.5.1以下所有版本的Modular DS，全球逾4萬個網站恐受到影響。值得留意的是，通報此事的資安人員指出，已有攻擊行動出現，Patchstack呼籲用戶升級2.6.0版因應。</p> <p>這項弱點結合多種因素，包含直接路由選擇、繞過身分驗證機制，以及自動以管理員身分登入，核心問題在於URL路由配對機制過於寬鬆、直接請求（Direct Request）模式過度信任特定請求參數、身分驗證僅依賴網站是否連接Modular DS來判斷，以及在特定的登入流程裡，若是系統無法取得使用者的ID，將會自動退回，並以現有的管理員帳號登入。</p> <p>通報此事的WP.one支援工程團隊指出，他們在世界標準時間（UTC）1月13日凌晨2時，首度偵測到漏洞利用的情況，攻擊者下達GET的存取請求/api/modular-connector/login/，並設置origin與type參數為mo及foo。Patchstack也公布攻擊來源的IP位址，分別是：45.11.89[.]19、185.196.0[.]11，以及64.188.91[.]37。</p> <p><a href="https://www.ithome.com.tw/news/173506"><strong style="font-size: 22px;">駭客假借提供擋廣告延伸套件從事ClickFix變種網釣，以瀏覽器當機為由誘騙使用者執行惡意指令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897-CrashFix.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897-CrashFix.png" style="width: 300px; float: right;" /></a></p> <p>近期網釣攻擊最受矚目的新興手法ClickFix，後續出現各式各樣的變形版本，像是整個攻擊流程都在瀏覽器進行的FileFix，或是藉由覆蓋整個螢幕內容脅迫受害者依照指示操作的JackFix，以及結合OAuth身分驗證流程的ConsentFix，如今又有駭客發展出新型態手法，讓使用者以為瀏覽器出錯而乖乖依照指示「修復」。</p> <p>威脅情報公司Huntress揭露名為CrashFix的攻擊手法，發動者是外號為KongTuke、LandUpdate808或TAG-124的駭客組織，他們近期透過惡意瀏覽器延伸套件NexShield，意圖於受害電腦植入惡意軟體ModeloRAT。此延伸套件冒充知名的擋廣告工具uBlock Origin Lite，一旦使用者安裝，瀏覽器就會出現當機訊息，然後要求使用者依照指示下達特定指令來排除，然而若是照做，就會複製、貼上及執行駭客的惡意指令，導致電腦感染ModeloRAT。</p> <p>這些駭客鎖定在網路上尋找廣告攔截工具的使用者，他們投放惡意廣告，引導使用者到Chrome Web Store延伸套件市集下載NexShield，Huntress經過比對發現，駭客的延伸套件幾乎完全複製uBlock Origin Lite的程式碼，以此騙過Google的初步審核與使用者的信任。再者，駭客聲稱該套件是uBlock Origin Lite作者Raymond Hill的開發，並提及一個實際上不存在的GitHub程式庫，這麼做是濫用使用者對於知名開源專案的信任。</p> <p><a href="https://www.ithome.com.tw/news/173504"><strong style="font-size: 22px;">Anthropic用於Git的MCP伺服器曝三漏洞，提示注入可繞過路徑限制並覆寫檔案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Anthropic-Git-MCP-Flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Anthropic-Git-MCP-Flow.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Cyata揭露，Anthropic維護的官方Git用MCP伺服器mcp-server-git存在三項弱點。攻擊者只要能以提示注入影響AI助理讀到的內容，就可能引導模型在呼叫工具時帶入惡意參數，繞過原本設定的儲存庫路徑限制，擴大可被操作的Git範圍，並在特定工具呼叫下造成檔案覆寫或刪除，要是環境又啟用可寫入檔案的能力，風險還可能擴大到程式碼執行。</p> <p>第一項漏洞CVE-2025-68145與路徑驗證有關，mcp-server-git啟動時可限定允許操作的儲存庫位置，但工具呼叫時傳入的儲存庫路徑未與該限制比對，導致在提示注入影響下，AI可能被引導操作系統上其他可存取的Git儲存庫。第二項漏洞CVE-2025-68143是Git初始化缺乏路徑限制，可能在任意目錄初始化新的Git儲存庫，讓原本不是專案的資料夾被納入Git操作範圍。Cyata也提醒，該情境可能使檔案內容被讀入模型，雖不等於直接外傳，但仍會讓敏感資訊進入AI可見範圍與後續處理流程。</p> <p>第三項CVE-2025-68144屬於參數注入漏洞，該伺服器在執行Git差異比對時，會把使用者提供的比對目標參數直接交由Git命令列解析，缺乏必要的參數約束。攻擊者可藉此把原本應該只是指定比對對象的輸入，變成可影響Git輸出行為的選項，造成檔案被覆寫，達到破壞或等同刪除的效果。</p> <p><a href="https://www.ithome.com.tw/news/173500"><strong style="font-size: 22px;">ServiceNow AI平臺爆漏洞，允許攻擊者冒用帳號並劫持AI代理流程</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CleanShot-2026-01-08-at-12_11_05.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CleanShot-2026-01-08-at-12_11_05.png" style="width: 300px; float: right;" /></a></p> <p>資安業者AppOmni指出，ServiceNow的Virtual Agent API與Now Assist AI Agents應用程式存在重大漏洞CVE-2025-12420，研究人員將其命名為BodySnatcher，該漏洞CVSS評分為9.3分，屬於重大（Critical）等級。</p> <p>攻擊鏈結合了一組跨環境共用的靜態憑證與帳號自動連結邏輯，使未經身分驗證的攻擊者在提供目標電子郵件位址後，可能冒用任意使用者身分，進一步以被冒用帳號的權限執行平臺內被允許的操作，並可能成為觸發Now Assist AI代理工作流程的入口。</p> <p>該漏洞的成因在於Virtual Agent API的外部整合模式，也就是提供者（Providers）與通道（Channels）的設定以及帳號連結流程。不少企業會把Virtual Agent整合到Slack或Microsoft Teams，外部訊息進入ServiceNow後，系統會先依提供者設定驗證整合請求，再透過自動連結機制，把外部身分對應到ServiceNow帳號。</p> <p><a href="https://www.ithome.com.tw/news/173300"><strong style="font-size: 22px;">駭客鎖定配置錯誤的代理伺服器與LLM端點，試圖濫用付費API</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/695fecae272a20c62c0a2907_78996d07.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/695fecae272a20c62c0a2907_78996d07.png" style="width: 300px; float: right;" /></a></p> <p>資安監測業者GreyNoise在語言模型開源工具Ollama蜜罐環境中，於2025年10月至2026年1月間記錄到91,403次攻擊會話，並歸納出兩波主要行動。一波以伺服器請求偽造（SSRF）為主，手法是迫使伺服器對外發出連線，並透過界外回呼機制確認是否成功，另一波則大規模探測LLM端點，疑似專門尋找配置錯誤的代理伺服器或對外暴露的相容API介面，藉此取得商用付費API的存取機會。</p> <p>攻擊者鎖定Ollama的模型拉取功能，透過注入惡意註冊庫URL，誘使伺服器替攻擊者對外發出HTTP請求。同一期間也觀測到與Twilio SMS webhook整合相關的探測行為，攻擊者透過操弄MediaUrl參數觸發外連。該行動在耶誕節前後出現尖峰，48小時內累積1,688次會話，攻擊者使用界外應用程式安全測試（OAST）的回呼方式確認是否成功，手法常見於漏洞研究與自動化測試，但規模仍值得企業留意。</p> <p>從2025年12月28日開始，兩個IP位址在11天內就產生80,469次會話，系統性探測73種以上LLM模型端點，測試同時涵蓋相容於OpenAI的API格式與Google的Gemini格式。探測提示刻意保持低雜訊，多為問候、空字串或簡單常識題，目的可能是辨識端點背後真正回應的模型類型，同時降低觸發告警的機率。</p> <p><a href="https://www.ithome.com.tw/news/173479"><strong style="font-size: 22px;">CrowdStrike傳出以4.2億美元買下瀏覽器資安業者Seraphic</strong></a></p> <p>1月13日資安廠商CrowdStrike正式宣布，他們與瀏覽器安全新創公司Seraphic簽署最終併購協議，預計於CrowdStrike的2027財年第一季完成交易，外傳併購金額為4.2億美元。由於不到一週前CrowdStrike才以7.2億買下身分安全即時授權公司SGNL，接連併購新創公司的舉動引起各界關注。</p> <p>針對這次併購，CrowdStrike強調是擴展旗下Falcon平臺能力的重要舉措，他們將Seraphic專注於瀏覽器執行層的即時安全防護技術整合到企業安全架構中，使企業能夠將任何主流瀏覽器，轉變成具備企業級安全性的平臺，跨設備、跨管理範圍提供保護。</p> <p>CrowdStrike與Seraphic並未公布併購的具體金額，僅透露CrowdStrike主要以現金購買Seraphic，部分款項以股票的形式交付。根據外電的報導，交易金額至少有4億美元：Calcalist指出在併購的一年前Seraphic共募得約3700萬美元，估計CrowdStrike約以4億美元買下；SDxCentral與SecurityWeek指出，併購金額為4.2億美元。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/everest-ransomware-mcdonalds-india-breach-customer-data/">勒索軟體Everest聲稱入侵印度麥當勞，竊得861 GB資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-kerberos-relay-technique-exploits-dns-cnames-to-bypass-existing-defenses/">研究人員揭露新型態Kerberos中繼攻擊手法，可藉由DNS CNAME繞過防禦措施</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/new-stackwarp-hardware-flaw-breaks-amd.html">AMD處理器存在StackWarp弱點，恐被用於繞過SEV-SNP防護機制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/cloudflare-fixes-acme-validation-bug.html">Cloudflare修補ACME驗證邏輯漏洞，攻擊者有機會繞過網頁應用程式防火牆存取原始主機</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173483"><strong>【1月20日】惡意軟體GootLoader透過ZIP串接手法迴避防毒軟體與EDR偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173440"><strong>【1月19日】人資及ERP系統用戶遭到惡意Chrome延伸套件鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173401"><strong>【1月16日】Palo Alto Networks修補能被用於停止防火牆運作的資安漏洞</strong></a></p> </div></div></div>
1/21 17:44作者周峻佑https://www.ithome.com.tw/news/173507
駭客假借提供擋廣告延伸套件從事ClickFix變種網釣，以瀏覽器當機誘騙使用者執行惡意指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期網釣攻擊最受矚目的新興手法ClickFix，後續出現各式各樣的變形版本，像是整個攻擊流程都在瀏覽器進行的<strong><a href="https://www.ithome.com.tw/news/169733">FileFix</a></strong>，或是藉由覆蓋整個螢幕內容脅迫受害者依照指示操作的<strong><a href="https://www.ithome.com.tw/news/172511">JackFix</a></strong>，以及結合OAuth身分驗證流程的<strong><a href="https://www.ithome.com.tw/news/172800">ConsentFix</a></strong>，如今又有駭客發展出新型態手法，讓使用者以為瀏覽器出錯而乖乖依照指示「修復」。</p> <p>威脅情報公司Huntress揭露名為<strong><a href="https://www.huntress.com/blog/malicious-browser-extention-crashfix-kongtuke">CrashFix</a></strong>的攻擊手法，發動者是外號為KongTuke、LandUpdate808或TAG-124的駭客組織，他們近期透過惡意瀏覽器延伸套件NexShield，意圖於受害電腦植入惡意軟體ModeloRAT。此延伸套件冒充知名的擋廣告工具uBlock Origin Lite，一旦使用者安裝，瀏覽器就會出現當機訊息，然後要求使用者依照指示下達特定指令來排除，然而若是照做，就會複製、貼上及執行駭客的惡意指令，導致電腦感染ModeloRAT。</p> <p>這些駭客鎖定在網路上尋找廣告攔截工具的使用者，他們投放惡意廣告，引導使用者到Chrome Web Store延伸套件市集下載NexShield，Huntress經過比對發現，駭客的延伸套件幾乎完全複製uBlock Origin Lite的程式碼，以此騙過Google的初步審核與使用者的信任。再者，駭客聲稱該套件是uBlock Origin Lite作者Raymond Hill的開發，並提及一個實際上不存在的GitHub程式庫，這麼做是濫用使用者對於知名開源專案的信任。</p> <p>在使用者安裝了NexShield之後，過了一陣子瀏覽器就會突然變得無法回應，若是將瀏覽器重新開啟，就會顯示異常終止的彈出式視窗，要求使用者執行掃描，結果指出偵測到瀏覽器有潛在的安全問題，有可能導致上網資料被駭，使用者必須依照指示操作，手動開啟執行視窗（Windows鍵+R）、貼上（Ctrl+V），然後按下Enter。但實際上，電腦會執行駭客的指令，從C2下載ModeloRAT並進行部署。</p> <p>為何瀏覽器會出現無法回應的現象？原因是NexShield對瀏覽器進行阻斷服務（DoS）攻擊，攻擊者執行特定功能函數，一口氣進行多達10億次的反覆執行（iterate），每次都會建立新的連線，而且當迴圈執行完成時，又會透過另一個功能函數再度排隊執行上述迴圈，從而達到無限迴圈消耗處理器與記憶體等運算資源的目的，導致瀏覽器內部的訊息基礎設施不堪負荷，出現運作延遲甚至反應遲鈍的現象，最終導致瀏覽器當機，使用者有可能需要手動終止相關處理程序。</p> <p>值得一提的是，目前攻擊者似乎偏好鎖定有加入網域的電腦，突顯他們的目標是打算藉此得到入侵企業網路環境的管道，因為這代表攻擊者有機會存取AD、內部系統，以及橫向移動。若是未加入網域的一般使用者，則會被引導至另一個尚在測試的感染鏈。不過，Huntress指出，這不代表一般個人用戶就能掉以輕心，這可能只是駭客還沒有準備完成，而非只打算攻擊企業組織的電腦。</p> </div></div></div>
1/21 17:04作者周峻佑https://www.ithome.com.tw/news/173506
Anthropic官方Git MCP伺服器曝三漏洞，提示注入可繞過路徑限制並覆寫檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Cyata Research<a href="https://cyata.ai/blog/cyata-research-breaking-anthropics-official-mcp-server/">揭露</a>，Anthropic維護的官方Git用MCP伺服器mcp-server-git存在三項弱點。攻擊者只要能以提示注入影響AI助理讀到的內容，就可能引導模型在呼叫工具時帶入惡意參數，繞過原本設定的儲存庫路徑限制，擴大可被操作的Git範圍，並在特定工具呼叫下造成檔案覆寫或刪除，要是環境又啟用可寫入檔案的能力，風險還可能擴大到程式碼執行。</p> <p>MCP是Anthropic所提出的開放標準，讓AI助理以一致介面連結外部工具與資料來源，例如檔案系統、應用程式介面與Git等。該架構讓MCP伺服器會依模型的決策，在本機或開發環境執行操作，因此提示注入不只是內容誤導，也可能轉化成具體的工具呼叫與系統動作。</p> <p>研究人員說明，第一項CVE-2025-68145漏洞與路徑驗證有關，mcp-server-git啟動時可限定允許操作的儲存庫位置，但工具呼叫時傳入的儲存庫路徑未與該限制比對，導致在提示注入影響下，AI可能被引導操作系統上其他可存取的Git儲存庫。第二項CVE-2025-68143漏洞是Git初始缺乏路徑限制，可能在任意目錄初始化新的Git儲存庫，讓原本不是專案的資料夾被納入Git操作範圍。研究人員也提醒，該情境可能使檔案內容被讀入模型上下文，雖不等於直接外傳，但仍會讓敏感資訊進入AI可見範圍與後續處理流程。</p> <p>第三項CVE-2025-68144漏洞屬於參數注入。研究人員發現，該伺服器在執行Git差異比對時，會把使用者提供的比對目標參數直接交由Git命令列解析，缺乏必要的參數約束。攻擊者可藉此把原本應該只是指定比對對象的輸入，變成可影響Git輸出行為的選項，造成檔案被覆寫，達到破壞或等同刪除的效果。研究人員也提到，要是同時具備寫入檔案能力，攻擊者可能改寫Git設定，利用Git既有機制在特定操作時觸發命令殼層指令，使風險上升到程式碼執行層級。</p> <p>Cyata在2025年6月向Anthropic通報並持續補充細節，9月通報獲得接受，12月完成CVE編號指派並提交修補。使用者需升級mcp-server-git至2025.12.18或更新版本，同時盤點實際啟用的MCP伺服器組合，避免在未評估風險下同時開放Git與檔案系統等高權限能力，並留意非預期目錄出現.git資料夾等狀況。</p> </div></div></div>
1/21 16:13作者李建興https://www.ithome.com.tw/news/173504
X開源貼文推薦演算法，計畫每4周更新一次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>馬斯克（Elon Musk）旗下的社交平臺X近日<a href="https://github.com/xai-org/x-algorithm" target="_blank">透過GitHub上開源</a>其「For You」動態牆的核心貼文推薦演算法，並承諾未來將以每4周為一個周期，持續公開更新版本與開發說明。這項動作被外界視為X在透明度壓力下，對外界長期質疑其演算法黑箱運作的最新回應。</p> <p>此次開源的內容，聚焦於X用來決定使用者動態牆中，哪些貼文與帳號會被推薦顯示的核心推薦系統。X說明，該系統同時整合來自使用者追蹤帳號的內容，以及透過機器學習從全站發掘的「非追蹤內容」，再進行統一排序。整套流程涵蓋候選內容的取得、資料補齊、過濾、評分與最終排序，構成完整的推薦管線。</p> <p>相較於<a href="https://www.ithome.com.tw/news/150636" target="_blank">2023年釋出</a>的版本，X此次開源的推薦系統已完成大幅重構，核心不再建立在大量人工撰寫的排序規則之上，而是改由模型統一負責貼文的評分與排序。這代表動態牆的運作邏輯，已從工程師手動調整權重，轉向由系統根據使用者實際互動行為自行學習與判斷，成為此次開源最關鍵的差異之一。</p> <p>在技術實作上，這項核心任務由名為Phoenix的模型負責。Phoenix採用以Grok-1為基礎改造的Transformer架構，能從使用者一段時間內的互動行為序列中，預測其對不同貼文可能產生的各種反應，並作為推薦排序的依據，取代過去以人工規則為主的設計方式。</p> <p>不過，X也明確說明，雖然公開了系統架構與運作流程，但實際的模型權重、行為加權數值與使用者資料仍未對外揭露。</p> <p>X執行長<a href="https://x.com/elonmusk/status/2010062264976736482" target="_blank">Elon Musk表示</a>，定期開源與說明演算法更新，是希望讓外界能持續理解系統如何變化，而非一次性的透明展示。不過，是否能真正做到每4周如期更新，並在未來監管與輿論壓力下維持開放程度，仍有待觀察。</p> </div></div></div>
1/21 14:55作者陳曉莉https://www.ithome.com.tw/news/173502
ServiceNow AI平臺爆漏洞，允許攻擊者冒用帳號並劫持AI代理流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者AppOmni<a href="https://appomni.com/ao-labs/bodysnatcher-agentic-ai-security-vulnerability-in-servicenow/">指出</a>，ServiceNow的Virtual Agent API與Now Assist AI Agents應用程式存在重大漏洞CVE-2025-12420，研究人員將其命名為BodySnatcher，該漏洞CVSS為9.3分，屬於重大（Critical）等級。</p> <p>攻擊鏈結合了一組跨環境共用的靜態憑證與帳號自動連結邏輯，使未經身分驗證的攻擊者在提供目標電子郵件位址後，可能冒用任意使用者身分，進一步以被冒用帳號的權限執行平臺內被允許的操作，並可能成為觸發Now Assist AI代理工作流程的入口。</p> <p>該漏洞的成因在於Virtual Agent API的外部整合模式，也就是提供者（Providers）與通道（Channels）的設定以及帳號連結流程。不少企業會把Virtual Agent整合到Slack或Microsoft Teams，外部訊息進入ServiceNow後，系統會先依提供者設定驗證整合請求，再透過自動連結機制把外部身分對應到ServiceNow帳號。</p> <p>研究人員指出，Now Assist AI Agents引入的部分提供者採用靜態憑證，且該憑證在不同客戶環境共用，搭配僅以電子郵件位址進行自動連結的邏輯，導致攻擊者一旦取得該憑證，就可能把任一已存在的電子郵件位址連結成對應帳號，進而繞過MFA與SSO等既有控管。</p> <p>研究人員同時提醒，聊天通道一旦能呼叫具代理能力的自動化流程，傳統驗證瑕疵的影響便會被放大。虛擬代理的應用程式介面可能成為非預期的AI代理執行路徑，外部訊息在特定內部主題流程的轉換下，能夠以被冒用帳號的權限觸發AI代理任務。對企業而言，風險不只在於對話內容被冒名發送，更在於AI代理可能被用來執行變更資料與建立存取途徑等操作。</p> <p>AppOmni列出Now Assist AI代理應用程式sn_aia的5.0.24至5.1.17，以及5.2.0至5.2.18版本，與虛擬代理外部介面sn_va_as_service的3.15.1以下，以及4.0.0至4.0.3版本。AppOmni在2025年10月23日通報，ServiceNow於10月30日完成修補並通知客戶。</p> <p>ServiceNow官方表示，已對多數託管環境部署更新，並向自建環境與合作夥伴提供安全更新，建議尚未更新者儘速套用。AppOmni也指出，使用ServiceNow雲端託管服務的客戶不需額外動作，自建環境則應儘速升級到修補後版本sn_aia為5.1.18與5.2.19，sn_va_as_service為3.15.2與4.0.4。</p> </div></div></div>
1/21 13:31作者李建興https://www.ithome.com.tw/news/173500
AI新創Humans&獲得來自Nvidia與貝佐斯的種子輪資金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由一群分別來自Anthropic、OpenAI、Meta及Google的AI專家在2025年冬天創立的<a href="https://humansand.ai/" target="_blank">AI新創Humans&</a>周二（1/20）正式對外曝光，並向<a href="https://siliconangle.com/2026/01/20/newly-launched-ai-startup-humans-raises-480m-round-backed-nvidia-gv/" target="_blank">SiliconANGLE</a>等媒體宣布已完成4.8億美元的種子輪融資，估值為44.8億美元，且包括Nvidia、Amazon創辦人貝佐斯（Jeff Bezos）及Google Ventures都參與了該融資活動。</p> <p>甫創立3個月的Humans&表示，它們是一個以人為中心的前沿AI實驗室，相信AI能夠重新被想像，把重心置放在人，以及人與人之間的關係上，在最理想的狀態下，AI應該成為更深層的連結組織，強化組織與社群。</p> <p>Humans&公司首頁尚無任何產品說明，但其共同創辦人Andi Peng在接受<a href="https://www.nytimes.com/2026/01/20/technology/humans-ai-anthropic-xai.html" target="_blank">紐約時報專訪</a>時透露，Humans&認為AI應該可賦能予人類，而非取代人類。新公司的目標是開發一款能夠促進人類協作的軟體，類似於AI版的即時通訊應用，也能協助人們進行網路搜尋，或是其它適合由機器完成的任務。</p> <p>另一名從Meta跳槽到Humans&的<a href="https://mireshghallah.github.io/blog/why_i_joined_humansand.html" target="_blank">Niloofar Mireshghallah則說</a>，當她與Humans&共同創辦人暨執行長的Eric Zelikman聊天時，發現他們同樣認為AI應該以人的長遠利益為出發點，應建構能夠兼顧人與其互動關係的模型。此外，Mireshghallah也認為，隱私是情境式的，而非千篇一律的。</p> <p>紐約時報指出，即使許多金融分析師或業內人士警告AI泡沫化的存在，但Humans&的出現彰顯出投入AI新創的資金並沒有放緩的跡象。</p> </div></div></div>
1/21 13:46作者陳曉莉https://www.ithome.com.tw/news/173501
IT業者Ingram Micro遭遇勒索軟體攻擊調查結果出爐，逾4.2萬人個資外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月IT服務供應商Ingram Micro傳出遭遇勒索軟體攻擊，導致部分系統無法運作，後續勒索軟體駭客組織SafePay聲稱是他們所為，竊得3.5 TB內部資料，近期該公司透露受害規模。</p> <p>根據1月16日Ingram Micro<strong><a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/0675e1b9-a308-4b90-be71-458afcc6f542.html">向美國緬因州檢查長辦公室通報的資料</a></strong>，這起資安事故發生於7月2日至3日，他們於12月26日確認有42,521人受到本次駭客攻擊影響，這些人主要是員工與曾經投遞履歷的求職者，受影響的個資包含姓名、聯絡資訊、生日，以及政府發出的識別號碼，像是社會安全碼、駕照，以及護照號碼等。此外，部分個資還有特定的員工相關資料，例如與工作有關的評估資訊。針對受影響的人士，Ingram Micro將提供2年信用監控與身分保護服務。</p> <p>這起事故最早由<strong><a href="https://www.bleepingcomputer.com/news/security/ingram-micro-outage-caused-by-safepay-ransomware-attack/">資安新聞網站Bleeping Computer報導</a></strong>，當時傳出7月3日凌晨發生網路攻擊，導致網站與線上訂購系統停擺，員工在他們的裝置上發現勒索信，Ingram Micro要求部分員工居家工作，知情人士透露，攻擊者入侵該公司網路環境的管道，疑似使用外流的帳密資料，存取VPN平臺GlobalProtect而得逞。</p> <p>根據勒索信的內容，Bleeping Computer認為攻擊者的身分就是SafePay。這些駭客的活動最早約在2024年11月出現，經常利用外流的憑證資料、密碼潑灑攻擊，以及透過VPN閘道作為入侵受害企業組織的手段。</p> <p>後續Palo Alto Networks表示，經過他們的調查，確認GlobalProtect未受到這起事故影響，也並非漏洞的來源，他們懷疑攻擊者利用外流的憑證，或是Ingram Micro的網路設定錯誤而成功入侵。</p> <p>7月8日Ingram Micro坦承這是勒索軟體攻擊，並宣布他們已陸續讓系統重新上線，但並未透露攻擊者身分。事隔數週，7月底SafePay聲稱是他們所為，疑似索討贖金不成，<strong><a href="http://www.securityweek.com/42000-impacted-by-ingram-micro-ransomware-attack/">憤而在8月公布竊得資料</a></strong>。</p> </div></div></div>
1/21 14:09作者周峻佑https://www.ithome.com.tw/news/173494
WordPress外掛Modular DS重大漏洞被鎖定，駭客恐藉此得到網站管理權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般而言，WordPress是許多開發人員架設網站的首選，這類平臺或其外掛程式一旦出現嚴重的漏洞，可能成為攻擊者利用的標的。</p> <p>1月14日資安公司Patchstack提出警告，名為Modular DS的WordPress外掛程式<strong><a href="https://patchstack.com/articles/critical-privilege-escalation-vulnerability-in-modular-ds-plugin-affecting-40k-sites-exploited-in-the-wild/">存在重大漏洞CVE-2026-23800</a></strong>，形成的原因在於不正確的權限分配，攻擊者可用於提升權限，CVSS風險評分達到10分（滿分10分），影響2.5.1以下所有版本的Modular DS，全球逾4萬個網站恐受到影響。值得留意的是，通報此事的資安人員指出，已有攻擊行動出現，Patchstack呼籲用戶升級<strong><a href="https://help.modulards.com/en/article/modular-ds-security-releases-modular-connector-260-and-252-dm3mv0/">2.6.0版</a></strong>因應。</p> <p>這項弱點結合多種因素，包含直接路由選擇、繞過身分驗證機制，以及自動以管理員身分登入，核心問題在於URL路由配對機制過於寬鬆、直接請求（Direct Request）模式過度信任特定請求參數、身分驗證僅依賴網站是否連接Modular DS來判斷，以及在特定的登入流程裡，若是系統無法取得使用者的ID，將會自動退回，並以現有的管理員帳號登入。</p> <p>通報此事的WP.one支援工程團隊指出，他們在世界標準時間（UTC）1月13日凌晨2時，首度偵測到漏洞利用的情況，攻擊者下達GET的存取請求/api/modular-connector/login/，並設置origin與type參數為mo及foo。Patchstack也公布攻擊來源的IP位址，分別是：45.11.89[.]19、185.196.0[.]11，以及64.188.91[.]37。</p> <p>值得留意的是，雖然經過通報後Modular DS工程開發團隊隨即發布2.5.2版修補漏洞，但後續Patchstack發現新的漏洞利用途徑，並指出相關活動特徵：攻擊者發出請求的路徑通常像是 /?rest_route=/wp/v2/users&origin=mo&type=x，根據使用者代理字串（User Agent），攻擊者多半透過Firefox存取，有效酬載主體通常具備username與email參數，其中包含了名為backup的用戶名稱，以及[email protected]或[email protected]，攻擊來自62.60.131[.]161及185.102.115[.]27。對此，工程開發團隊再度發布2.6.0版更新，呼籲用戶儘速升級，並檢查網站是否遭到入侵。</p> </div></div></div>
1/21 14:11作者周峻佑https://www.ithome.com.tw/news/173499
網飛財報出爐，全球付費訂閱用戶達3.25億
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網飛（Netflix）周二（1/20）公布2025財年<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2025/q4/FINAL-Q4-25-Shareholder-Letter.pdf" target="_blank">第四季營收</a>，該季網飛創造120.5億美元的營收，成長17.6%，每股盈餘為0.56美元，高於市場所預期的0.55美元。營收成長主要受益於付費訂閱用戶及廣告營收的增加，其中，網飛全球訂閱用戶數已達到3.25億，全年廣告營收則超過15億美元，比去年成長2.5倍。</p> <p>其實網飛自一年前就不再公布訂閱用戶數，改以營收及利潤成長等指標作為衡量成功的核心，不過，這次網飛不僅公布了訂閱用戶數，表示已達到一個新的里程碑，還說若計算每個訂閱所服務的用戶數量，全球應該已有接近10億的網飛觀眾。</p> <p>此外，網飛<a href="https://www.ithome.com.tw/news/172678" target="_blank">在去年12月宣布</a>要以827億美元的收購華納兄弟（Warner Bros. Discovery，WBD）的串流媒體服務，現金加上股票的每股價格為27.75美元；除了等待主管機關同意之外，也惹來美國老牌影業派拉蒙（Paramount）<a href="https://www.ithome.com.tw/news/172718" target="_blank">針對WBD發動</a>每股30美元的惡意收購。</p> <p>在此次的財報中，網飛強調該收購是一筆以內容為核心的投資，而且為了加速進展，將全面改為現金交易，價格同樣是每股27.75美元，公司也為此保留現金以儘快完成交易。</p> <p>網飛在2025年11月14日進行1拆10拆股。拆股前股價約700美元，拆股後股價理論上變為約70美元，但股東持有的股數增加10倍，總市值不變。財報公布當天，網飛股價略下滑0.84%，以87.26美元作收。</p> </div></div></div>
1/21 11:24作者陳曉莉https://www.ithome.com.tw/news/173497
OpenAI為ChatGPT加入AI偵測用戶年齡的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://help.openai.com/en/articles/12652064-age-prediction-in-chatgpt" target="_blank">OpenAI昨日（1/20）宣布</a>ChatGPT加入以AI預測用戶年齡功能，以減少未成年用戶接觸到不適宜內容的機會。</p> <p>這項功能也意在防範未成年用戶在和ChatGPT聊天後，可能產生自殘或其他傷害行為。OpenAI的年齡預測功能已部署到全球，歐盟地區則會在未來幾周內上線。</p> <p>ChatGPT已加入一項額外的安全設定，以判斷是否提供性、暴力、血腥等內容及回應給使用者。該安全設定是ChatGPT根據其年齡預測AI模型判斷是否啟用。這個AI系統會依據帳號的多個訊號來判定用戶年齡，像是用戶談論的一般主題，或是使用ChatGPT的時段等。</p> <p>一旦系統判定用戶未滿18歲，ChatGPT即自動啟用額外的安全設定。在此設定下，ChatGPT會更小心處理某些主題，以減少敏感內容。包括過度暴力、危險或有害行為、性或情愛或角色扮演內容、以及提倡某些極端審美、不健康飲食或控制身材的內容。</p> <p>如果ChatGPT誤判用戶未滿18歲而自動加入額外的安全設定，用戶可透過驗證年齡來移除該設定。用戶可從Web版ChatGPT登入>開啟「設定」>「帳戶」>「驗證」，再遵循第三方夥伴提供的Persona進行驗證，或以<a href="https://chatgpt.com/verify_age" target="_blank">驗證網址</a>，跟隨Persona對話框指示完成驗證。Persona會要求使用者線上自拍臉部及上傳身份證、駕照或護照照片，它會檢查生日和比對用戶自拍照進行驗證。Persona驗證證實用戶滿18歲後，ChatGPT就會移除安全設定。當然，成年用戶如果能接受額外的安全設定，亦可不驗證而持續使用。</p> <p>OpenAI強調驗證完就會在7天內移除用戶的ID和自拍照，這些圖像都不會被OpenAI儲存。OpenAI只會接收用戶出生日期或年齡預測資料，並安全儲存。</p> <p>不希望被OpenAI預測年齡的用戶可以直接使用Persona驗證年齡。完成驗證者就不會被OpenAI針對帳號執行年齡預測。</p> <p>用戶也可以在「設定」>「資料控管」中，控制其資料是否被用於訓練OpenAI的模型。</p> <p>未成年者從ChatGPT或社群媒體接觸到不當內容引發倫理爭議及法律官司，<a href="https://www.ithome.com.tw/news/168539" target="_blank">Meta已在去年導入</a>AI來辨識用戶年齡。但各國政府決定採取更強硬手段。澳洲政府去年12月啟動禁止未滿16歲用戶使用社群服務如TikTok、Facebook及Snapchat。<a href="https://www.bbc.com/news/articles/cgm4xpyxp7lo" target="_blank">英國政府也考慮跟進</a>。</p> </div></div></div>
1/21 11:55作者林妍溱https://www.ithome.com.tw/news/173498
勒索軟體組織RansomHub宣稱成功攻擊立訊揚言公開蘋果、Nvidia、特斯拉資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路媒體<a href="https://cybernews.com/security/luxshare-apple-iphone-assembler-breach/" target="_blank">Cybernews報導</a>，勒索軟體組織RansomHub近日於駭客論壇張貼公告宣稱，去年駭入替蘋果、特斯拉等公司代工的立訊精密（Luxshare）內部系統，手中握有其眾多設計及生產資料，並揚言若未拿到贖金將公開其客戶相關機密資訊。</p> <p>RansomHub宣稱去年12月15日成功攻擊這家蘋果代工廠，取得該公司大量資料，然而卻久久未等到立訊聯繫，似乎IT部門想隱匿事件。他們要求立訊儘速聯繫以確保該公司機密資料、專案文件不外流。顯然若駭客未接獲立訊聯繫就會公開手中的資料。</p> <p>立訊是蘋果重要代工組裝廠，負責為蘋果生產的產品包括iPhone、AirPods、Apple Watch和Vision Pro等。</p> <p>RansomHub則為2024年出現的勒索軟體即服務（Ransomware-as-a-Service，RaaS），可能和俄國政府有關，是近年最活躍的<a href="https://www.ithome.com.tw/news/164809" target="_blank">勒索軟體組織</a>。資安專家指出，RansomHub採分工模式運作，其同夥負責曝露未受保護的機器、降低偵測風險，並提升攻擊成功率。美國網路安全暨基礎設施安全局（CISA）安全公告說明，RansomHub 2024年攻擊了超過200家企業組織，被<a href="https://deepstrike.io/blog/ransomware-groups-2025" target="_blank">資安業者</a>列為最危險的4大勒索軟體之一。</p> <p>根據Cybernews公布的駭客貼文截圖，RansomHub手中擁有的資料包含機密3D CAD產品建模、3D工程設計、3D工程文件；高精密幾何設計資料；製造用2D繪圖；機械元件草圖；機密工程繪圖PDF文件；PCB設計、電子設計文件、與電子佈線架構資料；Gerber檔。資料來源包含蘋果、Nvidia、特斯拉、LG、吉利汽車的生產與研發資料，都具有保密協定（NDA）保護。</p> <p>駭客也公開釋出了部分資料以茲證明，包含疑似蘋果和立訊之間裝置維修和出貨等機密專案資料，有時程、詳細流程和立訊其他客戶資訊。還有疑似特定專案的成員的個資，像是全名、職稱和公用電子郵件地址。Cybernews分析後，認為可能是真實資料。</p> <p>立訊尚未對此置評。</p> </div></div></div>
1/21 11:01作者林妍溱https://www.ithome.com.tw/news/173495
中國要求企業停用美國、以色列的資安軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在美中緊張關係再次升溫之際，<a href="https://www.reuters.com/world/china/beijing-tells-chinese-firms-stop-using-us-israeli-cybersecurity-software-sources-2026-01-14/" target="_blank">路透社</a>、<a href="https://www.bloomberg.com/news/articles/2026-01-14/china-bans-cyber-products-from-top-us-israeli-security-firms" target="_blank">彭博</a>等媒體報導，中國政府基於國家安全風險，要求國內企業不要使用美國及以色列公司的資安軟體，影響Check Point、Palo Alto等10多家廠商。</p> <p>媒體引述二名消息人士報導，本禁令出於中國政府擔心來自美國和以色列的軟體會暗中蒐集用戶機密資訊並傳送海外。</p> <p>遭到中國主管機關禁用的美國公司包括：VMware、Palo Alto Networks、Fortinet、Mandiant、CrowdStrike、SentinelOne、McAfee、Recorded Future、Claroty、Rapid7和Wiz。名列禁用名單的以色列公司則有：Check Point、CyberArk、Orca Security、Cato Networks和Imperva（現為法商Thales所有）等。</p> <p>中國最新軟體禁令也反映近來美中外交及貿易關係緊張化。除了稀土及關稅長期爭議外，還有晶片問題；美國雖然放行Nvidia的H200晶片輸出中國，但中國卻傳出禁止進口。</p> <p>同時間，美國也不吝指控中國竊取美國人資訊。中國經常被許多資安廠商點名是許多駭客活動的背後主使者，或是稱中國軟體或手機有資安漏洞，或暗中蒐集用戶資訊。</p> <p>媒體無法取得有多少中國企業接獲主管機關的通知。但多家被點名的資安業者表示影響不大。CrowdStrike、Recorded Future、SentinelOne和Claroty表示未在中國設立營運據點、或是沒有顯著來自中國的營收。</p> <p>McAfee則說在中國主要鎖定消費市場，意謂不受政府或企業規定影響。</p> <p>Check Point亞太區代表指出尚未接獲任何政府通知，也未聽聞在中國營運的限制。該公司<a href="https://www.securityweek.com/cybersecurity-firms-react-to-chinas-reported-software-ban/" target="_blank">表示</a>會持續支援國際企業及本地企業客戶。</p> <p>在中國有辦公室的主要資安軟體業者如博通/VMware、Fortinet及Palo Alto則沒有回應。</p> <p>中國主管機關包括網信辦和工信部也未回應<a href="https://www.reuters.com/world/china/beijing-tells-chinese-firms-stop-using-us-israeli-cybersecurity-software-sources-2026-01-14/" target="_blank">路透社</a>的詢問。</p> </div></div></div>
1/21 10:22作者林妍溱https://www.ithome.com.tw/news/173493
Wine 11.0新WoW64架構完整支援16位元Windows程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Wine開發團隊<a href="https://gitlab.winehq.org/wine/wine/-/releases/wine-11.0">發布Wine 11.0正式版</a>，更新重點之一是新WoW64模式正式列為完整支援。該模式最早在Wine 9.0以實驗功能登場，如今已被視為可正式採用的路線，並在新WoW64模式下納入16位元應用程式支援，使部分更早期的程式得以在以64位元為主的Linux與macOS環境繼續運作。</p> <p>新WoW64模式轉為完整支援，Wine團隊表示其功能已大致追上舊WoW64模式。過去WoW64主要用於在64位元環境執行32位元Windows程式，新WoW64則進一步在該模式下支援16位元應用程式，讓相容範圍延伸到更早期的軟體。</p> <p>Wine也更新與WoW64相關的前綴（Prefix）建立與使用建議，官方不建議使用以WINEARCH=win32建立的純32位元前綴，且此類前綴在新WoW64模式下不受支援。既有環境要是原本採舊WoW64，官方表示可設定環境變數WINEARCH=wow64，讓該前綴改用新WoW64模式執行，但前提是該前綴建立時必須為64位元前綴，也就是預設的建立方式。</p> <p>另外，Wine 11.0加入NTSYNC支援，當Linux核心具備對應模組時自動啟用，以提升同步原語效率。官方指出，所需的ntsync模組自Linux 6.14起已隨核心提供。對多執行緒工作負載而言，同步效率會影響延遲與吞吐表現，因此NTSYNC也被列為Wine 11.0的主要改動之一。</p> <p>除兩大更新外，Wine 11.0也持續推進圖形與桌面整合。官方提到，X11平臺預設改用EGL的OpenGL後端，並將GLX標示為不建議但仍保留作為備援。Wayland驅動則持續補齊剪貼簿與輸入法等功能，並進一步支援視窗形狀與色鍵視窗（Color-Keyed Windows）。</p> <p>在多媒體與遊戲能力方面，Wine 11.0針對Direct3D與Vulkan加入多項改進，其中一項是透過Direct3D 11的視訊API支援H.264硬體解碼，並以Vulkan Video作為底層實作，不過該功能需要使用Vulkan算繪器才能啟用。</p> </div></div></div>
1/21 09:06作者李建興https://www.ithome.com.tw/news/173484
白宮推動雲端身分安全強化，NIST與CISA發布身分權杖防護指引草案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國白宮於2025年6月<a href="https://www.whitehouse.gov/presidential-actions/2025/06/sustaining-select-efforts-to-strengthen-the-nations-cybersecurity-and-amending-executive-order-13694-and-executive-order-14144/" target="_blank">發布行政命令</a>，警告網路攻擊者已大量竊取並濫用合法身分憑證，繞過帳密與多因素驗證機制，取得長時間存取權限，對雲端服務與政府系統構成實質風險。</p> <p>在此背景下，白宮要求主管機關提出可具體實踐的技術與治理指引，以因應雲端環境中身分識別與存取管理（Identity and Access Management，IAM）風險持續升高的情況。</p> <p><span style="color:#B22222;"><strong>NIST與CISA發布IR 8587初版草案，聚焦身分權杖與身分聲明的防護</strong></span></p> <p>為回應政策要求，2025年12月22日，美國國家標準暨技術研究院（NIST）與美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/resources-tools/resources/protecting-tokens-and-assertions-forgery-theft-and-misuse" target="_blank">發布跨機關報告</a>《Protecting Tokens and Assertions from Forgery, Theft, and Misuse》，<a href="https://csrc.nist.gov/pubs/ir/8587/ipd" target="_blank">即NIST IR 8587</a>初版草案（Initial Public Draft），並開放徵詢意見至2026年1月30日。</p> <p><a href="https://csrc.nist.gov/pubs/ir/8587/ipd" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-NIST%20IR%208587-600.png" style="width: 600px;" /></a></p> <p>IR 8587草案旨在協助聯邦機關與雲端服務供應商（CSP）防範身分權杖（token）與身分聲明（assertion）遭到偽造、竊取與誤用，降低雲端身分被冒用所帶來的資安風險。</p> <p><span style="color:#B22222;"><strong>建立於資安控制標準NIST SP 800-53之上，補足雲端IAM實務指引</strong></span></p> <p>NIST指出，IR 8587草案建立於既有的NIST SP 800-53資安控制標準之上。SP 800-53長期作為美國聯邦政府的核心資安控制依據，涵蓋身分驗證、存取控制、金鑰管理與稽核等要求，也是FedRAMP雲端安全評估的重要基礎。</p> <p>IR 8587草案進一步聚焦雲端與身分同盟架構，針對身分權杖與身分聲明在實際部署與營運過程當中，容易遭到濫用的風險情境，補足既有IAM控制在雲端實務上的落差。</p> <p><span style="color:#B22222;"><strong>身分權杖成為高價值目標，IAM責任需重新界定</strong></span></p> <p>NIST指出，在單一登入、身分同盟與API存取架構中，系統高度仰賴身分權杖與身分聲明作為存取控制依據。一旦攻擊者取得合法身分權杖，即可能不需再次驗證帳密，便可持續冒用身分存取雲端服務與敏感資料。</p> <p>因此，IR 8587將身分權杖與身分聲明視為高價值資產，並強調其防護已不只是技術問題，而是涉及責任分工、可視性與風險承擔的整體IAM治理議題。</p> <p><span style="color:#B22222;"><strong>要求雲端服務供應商落實Secure by Design</strong></span></p> <p>另一方面，IR 8587對於雲端IAM的應用，重新界定雲端服務供應商與雲端使用者的責任分工。NIST呼籲雲端服務供應商落實設計即安全（Secure by Design）原則，強化透明性、可組態性與互通性，讓使用者得以掌握身分權杖與身分聲明的發行、驗證、撤銷與記錄方式。</p> <p><span style="color:#B22222;"><strong>從政策到實務，身分權杖治理成為雲端安全重要指標</strong></span></p> <p>整體而言，NIST IR 8587承接白宮政策與SP 800-53資安控制框架，將保護身分權杖與身分聲明正式納入雲端IAM治理的一環。隨著雲端與身分同盟架構持續普及，相關防護能力與治理透明度，預期將成為政府機關與企業評估雲端服務安全性的重要指標。</p> </div></div></div>
1/20 18:19作者王珮瑤https://www.ithome.com.tw/news/173481
【資安日報】1月20日，惡意軟體GootLoader透過ZIP串接手法迴避防毒軟體與EDR偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173475"><strong style="font-size: 22px;">惡意軟體GootLoader透過1千個ZIP檔串接的壓縮檔傳送，企圖迴避防毒軟體偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gootloader_1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/gootloader_1.png" style="width: 300px; float: right;" /></a></p> <p>經營代管偵測與回應（MDR）服務的資安廠商Expel提出警告，近期駭客使用特殊格式的ZIP檔來散布惡意軟體載入工具GootLoader，該壓縮檔實際上由500至1,000個ZIP檔串接而成，僅有在Windows檔案總管（File Explorer）開啟時，才會啟動感染鏈；若是資安人員透過7-Zip、WinRAR等解壓縮工具，或是沙箱環境等自動化分析工具，則無法存取壓縮檔的內容，而此手法的目的是迴避相關的偵測。對此，該公司呼籲資安人員，應根據這種ZIP檔的特徵及攻擊者的獨特行為，建立偵測機制。</p> <p>Expel進一步說明，此壓縮檔中央資料夾末端（End of Central Directory，EOCD）檔案結構遭到破壞，缺乏兩個重要的位元組，導致大部分工具嘗試解析ZIP檔結構的時候會出錯；再者，針對GootLoader產生的所有ZIP檔，非重要欄位的內容，例如：磁碟代號與磁碟數量，會隨機分配，此舉也將導致部分工具執行解壓縮的過程裡，會產生一連串不存在的ZIP檔案。</p> <p>他們也提及用於散布GootLoader的ZIP檔，其實是在使用者下載的過程生成；駭客串接的ZIP檔案數量並非固定，同樣是隨機的，使得每個受害者從GootLoader基礎設施下載的ZIP檔案，都是獨一無二，若是研究人員想要彙整檔案雜湊值來建立入侵指標（IoC），將會徒勞無功，Expel將這種手法稱為雜湊破解（hashbusting）。</p> <p><a href="https://www.ithome.com.tw/news/173482"><strong style="font-size: 22px;">APT駭客滲透財星前百大公司的網路環境，利用惡意軟體PDFSider建立後門通訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fc8235b22b39daec1267580c0d8d62ce.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fc8235b22b39daec1267580c0d8d62ce.jpeg" style="width: 300px; float: right;" /></a></p> <p>資安公司Resecurity揭露名為PDFSider的惡意軟體，駭客在一家名列財星前百大的企業使用DLL側載手法，透過名為cryptbase.dll的檔案，繞過防毒軟體與EDR系統的偵測，將PDFSider充當後門進行C2通訊。他們發現攻擊活動出現APT駭客常見的特徵，藉由隱密執行、偵測虛擬機器（VM）環境，以及使用加密通訊機制，因此認定背後的主使就是APT駭客。</p> <p>針對整起攻擊活動發生的過程，駭客主要透過魚叉式網釣郵件傳送ZIP檔附件，裡面包含合法的PDF24 Creator應用程式的執行檔與惡意DLL元件。受害者執行後，執行檔不會顯示任何介面，但會在背景啟動惡意行為。PDF24 Creator本身是由Miron Geek Software GmbH開發的PDF工具，其有效、合法的數位簽章，有助於駭客欺騙安全偵測機制。</p> <p>Resecurity提及PDFSider多種特性，首先，此惡意軟體嵌入Botan 3.0.0加密程式庫，利用AES-256-GCM演算法進行資料加密與認證，所有指令與回傳資料都在記憶體中處理，不寫入磁碟以降低被偵測風險。這種高強度的加密通訊模式類似於APT攻擊常見的遠端管理後門設計，能有效保護C2通訊內容的機密性與完整性。</p> <p><a href="https://www.ithome.com.tw/news/173480"><strong style="font-size: 22px;">加拿大投資監管組織CIRO證實未經授權存取事件，75萬投資人資料受影響</strong></a></p> <p>加拿大投資監管組織CIRO證實，其在2025年8月對外揭露的網路釣魚攻擊，經後續調查確認約有75萬名加拿大投資人受到影響。CIRO表示，將主動聯繫受影響投資人寄發通知信，並提供為期2年的信用監測與身分盜用防護服務，作為額外的預防措施。</p> <p>可能受影響的資料範圍，包含出生日期、電話號碼、年收入、社會保險號碼（SIN）、政府核發身分證件號碼、投資帳戶號碼，以及帳戶對帳單等。CIRO同時強調，他們不蒐集投資帳戶登入資訊，例如密碼、安全問題，以及個人識別碼PIN，因此這類登入資料不在此次風險範圍。</p> <p>CIRO說明，這些可能受影響的投資人資料，是其在執行監管職責的過程中取得並保存，用途涵蓋投資人保護、調查、法令遵循評估與市場監理等工作。也因此該事件牽涉的不僅是一般個人資料，還包括監管機構在日常監理流程中，掌握的部分投資帳戶相關資訊。</p> <p><a href="https://www.ithome.com.tw/news/173335"><strong style="font-size: 22px;">美國國會電子郵件系統疑似遭中國駭客入侵</strong></a></p> <p>多家媒體報導指出，美國國會幕僚使用的電子郵件系統據報遭中國駭客入侵。這起事件由英國《金融時報（Financial Times）》於1月7日率先披露，隨後《GBHackers》與《路透社（Reuters）》等媒體也相繼跟進報導。</p> <p>《金融時報》引述多名熟悉調查情況的消息人士指出，中國駭客已成功入侵美國國會幕僚使用的電子郵件系統，受影響的對象，包括隸屬於多個眾議院（House of Representatives）委員會，且在立法上具有高度影響力的幕僚人員。</p> <p>此次事件曝光的時間點，也正值美中雙方在科技政策、貿易限制與國家安全議題上持續緊張之際。近年來，美國政府機構逐步公開更多針對聯邦系統的網路攻擊案例，藉此提高外界對國家級網路威脅規模與複雜程度的警覺。</p> <p><a href="https://www.ithome.com.tw/news/173478"><strong style="font-size: 22px;">思科修補郵件安全閘道及上網安全閘道已遭利用的零時差漏洞</strong></a></p> <p>思科在一個月前公布資安漏洞CVE-2025-20393，此漏洞的CVSS風險值達到滿分10分，非常危險，影響執行AsyncOS作業系統的郵件安全閘道設備Secure Email Gateway（SEG），以及郵件暨網頁安全閘道Secure Email and Web Manager（SEWM），並警告中國駭客UAT-9686已將此漏洞用於實際攻擊，美國網路安全暨基礎設施安全局（CISA）將其列入已遭利用的漏洞列表（KEV），要求聯邦機構一星期內採取行動因應，不過，思科直到上週才發布更新修補這項漏洞。</p> <p>1月15日思科更新公告內容，該公司為郵件閘道設備SEG發布15.0.5-016、15.5.4-012，以及16.0.4-016版AsyncOS更新，並為郵件暨網頁安全閘道SEWM發布15.0.2-007、15.5.4-007，以及16.0.4-010版AsyncOS更新來修補CVE-2025-20393。</p> <p>針對CVE-2025-20393，思科也提供更完整的說明，此漏洞發生的原因，在於AsyncOS的垃圾郵件隔離功能對於HTTP請求的驗證不夠充分，攻擊者可發送特製的HTTP請求觸發漏洞，而有機會在未經身分驗證的情況下，以root權限在底層作業系統執行任何指令。</p> <p><a href="https://www.ithome.com.tw/news/173454"><strong style="font-size: 22px;">HPE修補Instant On高風險漏洞，無線基地臺恐洩漏VLAN資訊並遭DoS攻擊</strong></a></p> <p>HPE修補影響HPE Networking Instant On無線基地臺與1930系列交換器的多項高風險漏洞。這些漏洞影響執行3.3.1.0（含）以前韌體版本的設備，可能導致網路組態資訊外洩，或使無線網路服務遭到阻斷。HPE已在Instant On 3.3.2.0及後續版本中提供修補，呼籲用戶儘速完成升級。</p> <p>HPE於1月13日發布安全公告（HPESBNW04988），指出Instant On無線基地臺在路由器模式（Router Mode）下，存在資訊洩漏漏洞CVE-2025-37165。公告說明，未經身分驗證的遠端攻擊者，可能透過特製的網路流量，使設備回應原本不應揭露的封包內容，進而洩漏包含VLAN識別碼在內的網路區隔資訊。該漏洞CVSS v3.1風險評分為7.5，屬於高風險等級，主要影響資訊機密性。</p> <p>同一份公告中，HPE也揭露另一項影響Instant On無線基地臺的高風險漏洞CVE-2025-37166。當設備處理特製封包時，可能進入無回應狀態，部分情況需重新啟動才能恢復服務，等同可被用於對無線網路基礎架構發動阻斷服務（DoS）攻擊。該漏洞CVSS風險分數同樣達到7.5，主要影響系統可用性。</p> <p><a href="https://www.ithome.com.tw/news/173434"><strong style="font-size: 22px;">西門子、施耐德、菲尼克斯電氣等工控大廠修補高風險漏洞，工業邊緣與製程系統受影響</strong></a></p> <p>多家工業自動化與工控系統（ICS）大廠近日發布1月安全更新，修補多項影響工業環境的資安漏洞，影響產品包含工業邊緣運算設備、製程控制系統與工業路由器。相關廠商呼籲用戶儘速評估並套用修補，以降低工控環境遭入侵的風險。</p> <p>在工業邊緣設備方面，工業自動化大廠西門子（Siemens）於1月13日公告，其Industrial Edge Device Kit存在授權繞過漏洞CVE-2025-40805，CVSS風險分數達到滿分10分。未經身分驗證的遠端攻擊者可繞過驗證機制，冒充合法使用者身分，對工業邊緣運算環境構成高度風險。西門子指出，成功濫用該漏洞仍需攻擊者事先掌握合法使用者相關資訊。</p> <p>施耐德電機（Schneider Electric）則揭露，其EcoStruxure Process Expert存在可被濫用進行權限提升（Privilege Escalation）的漏洞，編號是CVE-2025-13905，CVSS風險分數為7.3。</p> <p><a href="https://www.ithome.com.tw/news/173273"><strong style="font-size: 22px;">OpenAI對ShadowLeak攻擊的防護未完全封堵，研究人員再揭露ChatGPT新濫用手法ZombieAgent</strong></a></p> <p>OpenAI去年8月為ChatGPT修補名為ShadowLeak的瑕疵，不過並未修補完全，研究人員又發現新的濫用方法ZombieAgent，促使該公司在12月再次修補。</p> <p>去年OpenAI修補由資安廠商Radware發現的ChatGPT濫用方法ShadowLeak。ShadowLeak為間接提示注入方法，利用ChatGPT深入研究（Deep Research）功能，當使用者授權存取Gmail與瀏覽器工具時，攻擊者傳送一封變造過的HTML郵件，如Gmail郵件，ChatGPT就可能自動將Gmail（或Outlook或Google Drive）的敏感資訊，以URL參數形式傳送到外部伺服器，無須使用者任何點擊，也不會顯示警告。OpenAI已在8月解決這個問題，限制ChatGPT只能依照提供的方式開啟URL，拒絕為其添加參數。</p> <p>不過資安公司Radware發現新手法ZombieAgent，並於9月向OpenAI通報，近日公布細節。他們提及ZombieAgent之所以能運作，是利用OpenAI開發人員沒有限制URL上附加單一字母。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181920&SPOKE_DATE=20260119&COMPANY_ID=2393"><strong style="font-size: 22px;">億光子公司億力光電遭駭客攻擊，該公司表示對營運無重大影響</strong></a></p> <p>臺灣LED大廠億光電子（2393）於昨（19）日晚間發布重大訊息，證實旗下子公司億力光電部分資訊系統遭受網路攻擊。公司第一時間已啟動資安防禦與復原程序，並強調目前評估對整體營運尚無重大影響。針對這起事故的處理過程，億力光電在發現系統遭受攻擊後，資訊部門已立即全面啟動相關防禦機制，同時尋求外部資安公司協同處理。為了確保系統安全，億光對所有資訊系統及檔案進行徹底的掃描，以最高標準確保環境安全，即利用日常備份資料復原運作。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/remcos-rat-campaign/">木馬程式Remcos RAT偽裝成公用程式VeraCrypt散布，目的是竊取各式憑證</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/visual-studio-code/">惡意軟體Evelyn Stealer濫用Visual Studio Code延伸套件散布，以截圖工具引誘開發人員上當</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/nomad-leopard-spotted-in-the-wild-cyber-espionage-campaign-targets-afghan-government/">阿富汗政府被鎖定，駭客利用假公告從事網路間諜活動Nomad Leopard</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/pulsar-rat-abuses-memory-only-execution-and-hvnc-for-stealthy-remote-takeover/">記憶體內運作的惡意程式Pulsar RAT針對Windows電腦而來，駭客利用HVNC進行遠端接管</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173440"><strong>【1月19日】人資及ERP系統用戶遭到惡意Chrome延伸套件鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173401"><strong>【1月16日】Palo Alto Networks修補能被用於停止防火牆運作的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173387"><strong>【1月15日】Node.js存在資安漏洞，恐波及React、Next.js、應用程式效能監控工具</strong></a></p> </div></div></div>
1/20 17:34作者周峻佑https://www.ithome.com.tw/news/173483
加拿大投資監管組織CIRO證實未經授權存取事件，75萬投資人資料受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>加拿大投資監管組織CIRO<a href="https://www.ciro.ca/newsroom/publications/canadian-investment-regulatory-organization-update-regarding-unauthorized-access-some-canadian">更新說明</a>，證實其在2025年8月對外揭露的網路釣魚攻擊，經後續調查確認約有75萬名加拿大投資人受到影響。CIRO表示，將主動聯繫受影響投資人寄發通知信，並提供為期2年的信用監測與身分盜用防護服務，作為額外的預防措施。</p> <p>可能受影響的資料範圍，包含出生日期、電話號碼、年收入、社會保險號碼SIN、政府核發身分證件號碼、投資帳戶號碼，以及帳戶對帳單等。CIRO同時強調，其不蒐集投資帳戶登入資訊，例如密碼、安全問題與個人識別碼PIN，因此這類登入資料不在此次風險範圍。</p> <p>CIRO說明，這些可能受影響的投資人資料，是其在執行監管職責的過程中取得並保存，用途涵蓋投資人保護、調查、法令遵循評估與市場監理等工作。也因此該事件牽涉的不僅是一般個人資料，還包括監管機構在日常監理流程中掌握的部分投資帳戶相關資訊。</p> <p>在處置方面，CIRO表示已迅速控制情勢，並立即採取措施確保系統安全，保護其所保管的資訊，同時通報執法機關與相關主管機關，包含隱私專員辦公室。CIRO也委託第三方資安鑑識調查單位，釐清受影響資訊的範圍與性質，並在外部資安專家的協助下展開調查。</p> <p>對於外界關切資料是否已被用於不法用途，CIRO表示目前沒有證據顯示受影響資訊遭到濫用，並持續監控惡意活動，也沒有在暗網發現威脅活動或資料曝光跡象。不過，CIRO仍以預防角度，提供受影響投資人2年的信用監測與身分盜用防護服務，且由兩家主要信用機構提供。CIRO也強調，並非所有投資人都受到影響，僅限部分CIRO投資經銷商會員的當前或過去的客戶。</p> <p>CIRO回顧調查進度指出，初步調查發現部分會員機構與受監管的註冊人士資料可能受影響，並已在當時對外說明，也直接通知會員與受影響的註冊人員。CIRO表示調查持續進行，並承諾在電子蒐證流程完成檢視後公布最終結果，CIRO這次更新指出，經逾9,000小時檢視後，現已能確認事件的完整影響範圍。</p> </div></div></div>
1/20 16:22作者李建興https://www.ithome.com.tw/news/173480
APT駭客滲透財星前百大公司的網路環境，利用惡意軟體PDFSider建立後門通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客利用DLL側載手法執行惡意程式，藉此以合法的應用程式掩護惡意行為，如今傳出有財星前百大（Fortune 100）公司遭到APT駭客攻擊，引起外界的關注。</p> <p>資安公司Resecurity揭露<strong><a href="https://www.resecurity.com/es/blog/article/pdfsider-malware-exploitation-of-dll-side-loading-for-av-and-edr-evasion">名為PDFSider的惡意軟體</a></strong>，駭客在一家名列財星前百大的企業使用DLL側載手法，透過名為cryptbase.dll的檔案，繞過防毒軟體與EDR系統的偵測，將PDFSider充當後門進行C2通訊。他們發現攻擊活動出現APT駭客常見的特徵，藉由隱密執行、偵測虛擬機器（VM）環境，以及使用加密通訊機制，因此認定背後的主使就是APT駭客。</p> <p>針對整起攻擊活動發生的過程，駭客主要透過魚叉式網釣郵件傳送ZIP檔附件，裡面包含合法的PDF24 Creator應用程式的執行檔與惡意DLL元件。受害者執行後，執行檔不會顯示任何介面，但會在背景啟動惡意行為。PDF24 Creator本身是由Miron Geek Software GmbH開發的PDF工具，其有效、合法的數位簽章，有助於駭客欺騙安全偵測機制。</p> <p>Resecurity提及PDFSider多種特性，首先，此惡意軟體嵌入Botan 3.0.0加密程式庫，利用AES-256-GCM演算法進行資料加密與認證，所有指令與回傳資料都在記憶體中處理，不寫入磁碟以降低被偵測風險。這種高強度的加密通訊模式類似於APT攻擊常見的遠端管理後門設計，能有效保護C2通訊內容的機密性與完整性。</p> <p>再者，PDFSider為避免在虛擬機或分析環境中被捕捉，啟動前還會實施多重環境檢查。它會檢查虛擬化記憶體大小，以及偵測受害電腦是否存在除錯工具等，若條件不符則提前終止，減少被沙箱分析捕獲的機會。這類防沙箱和防除錯策略，讓其更難被自動化偵測工具分析。成功載入後，該惡意軟體會初始化Winsock，設定加密通訊及收集系統資訊。</p> <p>附帶一提的是，雖然Resecurity並未透露攻擊者的身分，不過他們提到駭客使用的各式誘餌文件裡，其中一種是偽裝成中國的中央軍委聯合參謀部情報局，假借提供臺海情勢的因應策略資料，來引誘收信人上當。</p> </div></div></div>
1/20 16:48作者周峻佑https://www.ithome.com.tw/news/173482
思科修補郵件安全閘道及上網安全閘道已遭利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科在一個月前<strong><a href="https://www.ithome.com.tw/news/172897">公布資安漏洞CVE-2025-20393</a></strong>，此漏洞的CVSS風險值達到滿分10分，非常危險，影響執行AsyncOS作業系統的郵件安全閘道設備Secure Email Gateway（SEG），以及郵件暨網頁安全閘道Secure Email and Web Manager（SEWM），並警告中國駭客UAT-9686已將此漏洞用於實際攻擊，美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2025/12/17/cisa-adds-three-known-exploited-vulnerabilities-catalog">將其列入已遭利用的漏洞列表（KEV）</a></strong>，要求聯邦機構一星期內採取行動因應，不過，思科直到上週才發布更新修補這項漏洞。</p> <p>1月15日思科更新<strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sma-attack-N9bf4">公告內容</a></strong>，該公司為郵件閘道設備SEG發布15.0.5-016、15.5.4-012，以及16.0.4-016版AsyncOS更新，並為郵件暨網頁安全閘道SEWM發布15.0.2-007、15.5.4-007，以及16.0.4-010版AsyncOS更新來修補CVE-2025-20393。</p> <p>針對CVE-2025-20393，思科也提供更完整的說明，此漏洞發生的原因，在於AsyncOS的垃圾郵件隔離功能對於HTTP請求的驗證不夠充分，攻擊者可發送特製的HTTP請求觸發漏洞，而有機會在未經身分驗證的情況下，以root權限在底層作業系統執行任何指令。</p> <p>由於無論實體或虛擬型態的SEG與SEWM閘道設備，以及任何版本的AsyncOS，都可能曝露於上述漏洞的資安風險。再加上已有實際攻擊行動出現，該公司呼籲用戶要儘速套用最新版本的軟體。</p> </div></div></div>
1/20 15:33作者周峻佑https://www.ithome.com.tw/news/173478
CrowdStrike傳出以4.2億美元買下瀏覽器資安業者Seraphic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>1月13日<strong><a href="https://www.crowdstrike.com/en-us/press-releases/crowdstrike-to-acquire-seraphic-security/">資安廠商CrowdStrike正式宣布</a></strong>，他們與瀏覽器安全新創公司<strong><a href="https://seraphicsecurity.com/resources/blog/crowdstrike-to-acquire-seraphic-turning-any-browser-into-a-secure-enterprise-browser/">Seraphic</a></strong>簽署最終併購協議，預計於CrowdStrike的2027財年第一季完成交易，外傳併購金額為4.2億美元。由於不到一週前CrowdStrike才<strong><a href="https://www.ithome.com.tw/news/173272">以7.2億買下身分安全即時授權公司SGNL</a></strong>，接連併購新創公司的舉動引起各界關注。</p> <p>針對這次併購，CrowdStrike強調是擴展旗下Falcon平臺能力的重要舉措，他們將Seraphic專注於瀏覽器執行層的即時安全防護技術整合到企業安全架構中，使企業能夠將任何主流瀏覽器，轉變成具備企業級安全性的平臺，跨設備、跨管理範圍提供保護。</p> <p>透過整合Seraphic的瀏覽器原生防護與Falcon龐大的端點遙測與威脅情報，以及結合SGNL的持續授權技術，CrowdStrike將提供統一的次世代身分安全策略。這將打造一個無縫的安全架構，保護從端點、瀏覽器連線階段（Session）到雲端的互動。</p> <p>對於併購Seraphic的動機，CrowdStrike指出與瀏覽器在企業扮演舉足輕重的角色有關。他們指出員工有85%的工作時間發生在瀏覽器，瀏覽器已成為現代企業最關鍵且最容易被攻擊的攻防前線。傳統安全模型通常強制採用特定「企業瀏覽器」，或需要透過高延遲的網路路由策略來保護使用者，透過Seraphic的技術，則能直接在任何瀏覽器執行時提供安全防護，不影響使用者原有的工作流程。</p> <p>CrowdStrike與Seraphic並未公布併購的具體金額，僅透露CrowdStrike主要以現金購買Seraphic，部分款項以股票的形式交付。根據外電的報導，交易金額至少有4億美元：<strong><a href="https://www.calcalistech.com/ctechnews/article/bjhljcmhzx">Calcalist</a></strong>指出在併購的一年前Seraphic共募得約3700萬美元，估計CrowdStrike約以4億美元買下；<strong><a href="https://www.sdxcentral.com/news/crowdstrike-tries-browser-security-with-second-acquisition-of-the-year/">SDxCentral</a></strong>與<strong><a href="https://www.securityweek.com/crowdstrike-to-acquire-browser-security-firm-seraphic-for-420-million/">SecurityWeek</a></strong>指出，併購金額為4.2億美元。</p> </div></div></div>
1/20 15:36作者周峻佑https://www.ithome.com.tw/news/173479
OpenAI可望於今年推出首款AI裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.axios.com/2026/01/19/openai-device-2026-lehane-jony-ive" target="_blank">Axios引用</a>OpenAI全球事務長Chris Lehane周一（1/19）在Axios House活動上的說法，指出OpenAI預計在2026年下半年推出其首款硬體裝置。</p> <p>OpenAI是<a href="https://www.ithome.com.tw/news/169088" target="_blank">在2025年5月收購</a>了蘋果前首席設計師Jony Ive成立的AI裝置新創公司io，準備發展由AI驅動的新一代運算裝置，當時雙方即計畫在2026年展示首批產品。</p> <p>而Lehane再度證實，AI裝置是OpenAI在2026年即將推出的重大產品之一，可能會在下半年登場。但Lehane拒絕透露有關其AI裝置的任何細節。</p> <p>不過，就在一周前，一名暱稱為智慧皮卡丘的消費性電子產品部落客<a href="https://x.com/zhihuipikachu/status/2010745618734759946" target="_blank">透過X披露</a>，OpenAI正在積極推動一個由Ive團隊設計的Sweetpea專案，這是一個可用來取代AirPods的產品，它將被佩戴於耳後，可利用Siri來傳達指令，預計於今年9月上市，估計第一年可售出至少4,000萬副。</p> <p>智慧皮卡丘還說，OpenAI其實打算推出更多的AI裝置，已通知富士通至少要在2028年年底前生產5款裝置。</p> <p>OpenAI現階段主要營收仍來自訂閱服務，並已於2025年<a href="https://www.ithome.com.tw/news/173438" target="_blank">突破200億美元</a>，外界認為其推出硬體的目的不在短期獲利，而是打造新的AI互動入口，為後續裝置布局奠定基礎。</p> </div></div></div>
1/20 14:15作者陳曉莉https://www.ithome.com.tw/news/173477
紐約證交所規畫代幣化證券平臺，瞄準24小時美股交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>紐約證券交易所（New York Stock Exchange，<a href="https://ir.theice.com/press/news-details/2026/The-New-York-Stock-Exchange-Develops-Tokenized-Securities-Platform/default.aspx" target="_blank">NYSE）周一（1/19）宣布</a>，正開發一套用於代幣化證券交易與鏈上交割的新平臺，並將向監管機關申請核准。該平臺將支援美國上市股票與ETF的代幣化交易，被視為NYSE正式布局24小時美股交易的重要一步。</p> <p>根據NYSE說明，這項平臺將提供24x7交易、即時交割、零股與以金額下單等功能，並支援以穩定幣進行資金配置。技術架構上，平臺結合NYSE既有的Pillar撮合引擎，並導入基於區塊鏈的交易後系統，可支援多條區塊鏈進行交割與託管。</p> <p>NYSE強調，代幣化證券在法律地位上可與傳統發行的證券等值流通。持有代幣化股份的投資人，仍可參與股利分配與公司治理投票，相關權利與現行股票制度一致。該平臺在取得監管核准後，將成為一個新的NYSE交易場域，並透過非歧視性機制，向所有合格券商開放。</p> <p>這項計畫也是NYSE母公司洲際交易所（Intercontinental Exchange，ICE）整體數位策略的一環。ICE指出，正同步為其清算基礎設施做好支援24小時交易的準備，並評估導入代幣化擔保品的可能性。此外，ICE已與紐約梅隆銀行及花旗銀行等金融機構合作，在其清算所體系中推動代幣化存款，協助清算會員在非傳統銀行營業時間內完成資金移轉、履行保證金義務，並因應跨時區交易需求。</p> <p><a href="https://www.wsj.com/finance/currencies/nyse-to-launch-24-7-trading-platform-for-blockchain-based-securities-8313526a" target="_blank">華爾街日報</a>分析指出，推動24小時交易的關鍵不在撮合技術，而在交割與資金結算機制。現行T+1交割制度要求券商在交割完成前承擔信用風險並占用資本，而區塊鏈即時結算可降低相關風險，亦被視為改善市場效率的潛在方案。</p> <p>科技媒體<a href="https://siliconangle.com/2026/01/19/nyse-previews-platform-tokenized-stock-trading/" target="_blank">SiliconANGLE</a>則說，NYSE此舉也反映傳統交易所對代幣化趨勢的回應。近年已有多家區塊鏈公司推出代幣化股票交易服務，主打全天候交易，但部分產品因價格偏離與監管問題而備受質疑。相較之下，NYSE在既有監管框架下推動代幣化證券，可能為市場提供另一種受監管的實作模式。</p> <p>整體而言，NYSE推出代幣化證券平臺，象徵傳統資本市場正逐步將區塊鏈技術納入核心基礎設施。該平臺是否能順利取得監管核准，並實際推動美股交易邁向24小時運作，仍有待後續發展觀察。</p> </div></div></div>
1/20 12:18作者陳曉莉https://www.ithome.com.tw/news/173474
TP-Link修補可完全控制VIGI攝影機的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>TP-Link近日<a href="https://www.tp-link.com/us/support/faq/4899/" target="_blank">釋出安全更新</a>，修補可讓攻擊者繞過身分驗證控制VIGI商用攝影機的漏洞。</p> <p>TP-Link VIGI是商用級網路監控攝影機和解決方案，提供AI智能偵測（人車分類、越界警報等），並可透過網頁介面、NVR主機、VIGI APP或VIGI Security Manager軟體管理。本產品在歐、美、亞洲包括<a href="https://www.tp-link.com/tw/business-networking/vigi-network-camera/" target="_blank">臺灣</a>銷售多國。</p> <p>最新修補的CVE-2026-0629為存在VIGI攝影機本地Web介面的密碼復原功能的驗證繞過漏洞，可讓LAN上的攻擊者變更用戶端狀態，不經驗證即可重設管理員密碼。這使得攻擊者取得管理員控制權，影響配置及網路安全性。漏洞風險值為CVSS 4.0 8.7分。</p> <p>本漏洞影響VIGI及VIGI InSight等30餘種機種。</p> <p>TP-Link強烈建議用戶升級到最新韌體版本。該公司列出了<a href="https://www.vigi.com/us/support/download/" target="_blank">美國</a>、<a href="https://www.vigi.com/en/support/download/" target="_blank">英國</a>及<a href="https://www.vigi.com/in/support/download/" target="_blank">印度</a>的軟體更新網址。</p> <p>TP-Link網路系統過去曾多次成為駭客攻擊目標。<a href="https://www.ithome.com.tw/news/170994" target="_blank">去年9月</a>美國網路安全及基礎設施安全管理署（CISA）才公布TP-Link Wi-Fi設備5年前的漏洞發生濫用活動，6月份TP-Link小型企業路由器也有項舊漏洞<a href="https://www.ithome.com.tw/news/169602" target="_blank">遭到攻擊</a>。</p> </div></div></div>
1/20 12:33作者林妍溱https://www.ithome.com.tw/news/173476
惡意軟體GootLoader透過1千個ZIP檔串接的壓縮檔傳送，企圖迴避防毒軟體偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一年前資安公司Perception Point提出警告，他們發現駭客為了迴避偵測，<strong><a href="https://www.ithome.com.tw/news/165954">積極利用名為ZIP檔案串接技術（ZIP Concatenation）手法</a></strong>，這種手法顧名思義，就是將多個ZIP檔串接成單一檔案，由於不同解壓縮工具解析壓縮檔的方式存在差異，使得壓縮檔裡存放的惡意內容不易被察覺，如今傳出有惡意軟體跟進，引起資安圈的關注。</p> <p>經營代管偵測與回應（MDR）服務的資安廠商Expel提出警告，<strong><a href="https://expel.com/blog/gootloaders-malformed-zip/">近期駭客使用特殊格式的ZIP檔來散布惡意軟體載入工具GootLoader</a></strong>，該壓縮檔實際上由500至1,000個ZIP檔串接而成，僅有在Windows檔案總管（File Explorer）開啟時，才會啟動感染鏈；若是資安人員透過7-Zip、WinRAR等解壓縮工具，或是沙箱環境等自動化分析工具，則無法存取壓縮檔的內容，攻擊者這麼做的目的，就是迴避相關的偵測。對此，該公司呼籲資安人員，應根據這種ZIP檔的特徵及攻擊者的獨特行為，建立偵測機制。</p> <p>Expel進一步說明，此壓縮檔中央資料夾末端（End of Central Directory，EOCD）檔案結構遭到破壞，缺乏兩個重要的位元組，導致大部分工具嘗試解析ZIP檔結構的時候會出錯；再者，針對GootLoader產生的所有ZIP檔，非重要欄位的內容，例如：磁碟代號與磁碟數量，會隨機分配，此舉也將導致部分工具執行解壓縮的過程裡，會產生一連串不存在的ZIP檔案。</p> <p>他們也提及用於散布GootLoader的ZIP檔，其實是在使用者下載的過程生成；駭客串接的ZIP檔案數量並非固定，同樣是隨機的，使得每個受害者從GootLoader基礎設施下載的ZIP檔案，都是獨一無二，若是研究人員想要彙整檔案雜湊值來建立入侵指標（IoC），將會徒勞無功，Expel將這種手法稱為雜湊破解（hashbusting）。</p> <p>一旦使用者執行ZIP內的檔案（通常是JavaScript檔案），GootLoader便會啟動複雜的感染鏈。在大多數的情況下，電腦會透過Windows Script Host（WScript）執行暫存資料夾裡的JavaScript指令碼，於使用者的啟動資料夾產生.LNK檔案，該檔案指向另一個LNK檔，並執行另一個JavaScript指令碼，藉由Windows Script Host（CScript）載入PowerShell的處理程序。由於GootLoader背後的駭客組織正在與另一組人馬Vanilla Tempest（Vice Society）合作，受害電腦最終有可能被植入勒索軟體Rhysida。</p> <p>針對此事調查的動機，Expel指出是<a href="https://www.huntress.com/blog/gootloader-threat-detection-woff2-obfuscation">威<strong>脅情報公司Huntress</strong></a>與一名<strong><a href="https://gootloader.wordpress.com/2025/11/05/gootloader-is-back-back-again/">長期追蹤GootLoader的研究人員</a></strong>，於去年10月底發現此惡意程式再度活動的跡象，其中研究人員看到駭客使用的ZIP檔案出現新手法：在Windows檔案總管會解出副檔名為.JS的有效酬載，假如利用VirusTotal、Python的解壓縮工具，或是7-Zip，則會得到看似無害的.TXT純文字檔，於是Expel決定著手進一步調查此事。</p> <p>Expel呼籲企業應採取行動防範相關攻擊，例如，透過群組原則物件（GPO），將原本預設以WScript開啟.JS與.JSE檔的設定，改為記事本，使得這類指令碼不會在使用者開啟時，就直接執行；再者，假若與使用者業務工作的工具無關，應考慮限制WScript與CScript功能，封鎖執行從網際網路下載的內容。</p> </div></div></div>
1/20 13:01作者周峻佑https://www.ithome.com.tw/news/173475
Windows 11安全更新引發眾多版本Windows裝置無法開機、遠端連線微軟緊急修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上周發布的Windows 11 Patch Tuesday安全更新，造成眾多消費者及企業版本Windows裝置無法開機、遠端登入等災情，微軟周末發出例外（out-of-band，OOB）修補更新。</p> <p><a href="https://www.ithome.com.tw/news/173342" target="_blank">微軟上周釋出</a>Windows 11安全更新後，一些<a href="https://www.reddit.com/r/technology/comments/1qgusmi/microsoft_confirms_some_windows_11_pcs_cant_shut/" target="_blank">用戶反映</a>安裝更新後，電腦無法成功關閉、休眠。</p> <p>微軟在周末證實此事，緊急針對Windows 11多個版本釋出更新解決上周（1/13）KB5073455引發的問題。</p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-23H2#3764msgdesc" target="_blank">微軟說明</a>，安裝KB5073455引發的問題包括了，具備「安全啟動」（secure launch）的部份裝置無法關機或休眠，而是重新啟動。受影響的版本僅有Windows 11 23H2。</p> <p>此外，另些用戶在遠端桌面連線時無法登入。這問題發生在Windows遠端桌機App的驗證步驟，影響Azure Virtual Desktop和Windows 365。這問題影響Windows 11 25H2、Windows 10 22H2 ESU及Windows Server 2025/2022/2019。</p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3763" target="_blank">最新例外安全更新修補</a>的Windows版本包括Windows 11 23H2(<a href="https://support.microsoft.com/en-us/topic/january-17-2026-kb5077797-os-build-22631-6494-out-of-band-3fb07d6a-0e35-4510-8518-4e333ed78edc" target="_blank">KB5077797</a>）、Windows 11 25H2/24H2(KB5077744)、Windows 10 22H2 ESU/Enterprise LTSC 2021 (KB5077796)、Windows Server 2025 (KB5077793)、Windows Server 2022 (KB5077800)、Windows Server 2019/ Enterprise LTSC 2019 (KB5077795)。</p> <p>這也是Windows電腦再次出現無法關機。微軟自Windows 10起加入「更新後關機」、「更新後重啟」等選項，就一直有用戶無法正常關閉PC，導致用戶前一天更新、隔天卻發現電腦處於開機登入畫面。桌機還好，但筆電電力卻在半夜耗盡。去年11月微軟才<a href="https://www.ithome.com.tw/news/172072" target="_blank">釋出更新</a>改善（但似乎未解決）這個問題。</p> </div></div></div>
1/20 11:57作者林妍溱https://www.ithome.com.tw/news/173472
Let's Encrypt六天短效TLS憑證與IP位址憑證正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>憑證機構<a href="https://letsencrypt.org/2026/01/15/6day-and-ip-general-availability">Let's Encrypt宣布</a>，短效憑證現已正式提供，一張憑證的有效期為160小時，略高於六天，並採選用方式啟用。Let's Encrypt也推出IP位址憑證，並規定IP位址憑證一律採短效憑證形式簽發。此新選項可縮短私鑰外洩或遭竊後的暴露時間，並延續Let's Encrypt未來數年把預設有效期逐步從90天降至45天的既定方向。</p> <p>Let's Encrypt表示，推動短效憑證的主要理由，是縮短憑證遭濫用時的風險窗口。過往公開信任TLS憑證多採最長90天有效期，當私鑰外洩或被竊取時，傳統作法多仰賴憑證撤銷來降低衝擊，但撤銷在實務上常被認為不夠可靠，導致部分憑證依賴方仍可能在憑證到期前接受已受損的憑證。改採約六天的有效期後，即使撤銷未能即時生效，暴露時間也會因憑證較快到期而縮短。</p> <p>不過，Let's Encrypt也強調短效憑證暫時不會成為預設值，原因在於各組織的自動化程度差異很大。對已把憑證申請與續期納入自動流程的組織而言，改用短效憑證相對可行，但對仍仰賴半手動更新的環境，六天有效期意味著更密集的維運節奏，也更需要監控與警示，降低憑證過期導致服務中斷的風險。</p> <p>與短效憑證一起上線的IP位址憑證，讓伺服器可直接對IP位址建立TLS身分驗證，而不僅限於網域名稱，並支援IPv4與IPv6。Let's Encrypt指出，IP位址相較網域名稱更具流動性，因此IP位址憑證被規定必須採短效設計，以提高重新驗證的頻率，避免長時間綁定帶來的管理負擔與風險累積。</p> <p>Let's Encrypt同時提到，短效憑證與IP位址憑證的研發，獲得開放科技基金與主權科技機構等單位支持，並由贊助商與捐款者共同協助發展。由於兩項功能皆採選用方式提供，多數仍以網域名稱發證且沿用既有有效期的使用者，短期內不必被迫調整。</p> </div></div></div>
1/20 10:28作者李建興https://www.ithome.com.tw/news/173453
Google Gemini間接提示注入漏洞可外洩會議、行事曆資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究人員發現Google Gemini之前存在一項間接提示注入漏洞，可讓攻擊者繞過Google行事曆（Google Calendar）的隱私控管而外洩會議資料，或是偷偷加入新的行事活動。Google接獲通報後已經確認漏洞並予以修補。</p> <p>為了能回答用戶問題，Gemini會消化、解析Google行事曆的事件，包括標題、與會者和會議敍述。但利用這個機制，資安公司<a href="http://www.miggo.io/post/weaponizing-calendar-invites-a-semantic-attack-on-google-gemini" target="_blank">Miggo Security設計出的攻擊方法</a>中，可在寄發的Google行事曆會議邀請中嵌入惡意酬載，來繞過Google行事曆授權驗證，以存取Google行事曆內容。</p> <p>研究人員也示範了攻擊手法。他們是利用Gemini和Google服務的整合性。他們先設立了一個行事曆活動事件，傳送會議邀請給目標用戶。會議描述欄嵌入了一段提示注入的酬載。該提示要求Gemini摘要某一天用戶所有會議，包括私人活動，將這些資料寫入新增會議活動的描述，再加入無害的回應掩人耳目（如「這時段有空」）。</p> <p>這段酬載一直保持休止，直到目標用戶之後詢問Gemini常見問題如「Hey Gemini我周六有空嗎？」，這提示會讓Gemini載入和解析所有行事曆事件，包括研究人員設定的惡意事件，同時啟動酬載。這時表面上使用者會聽到Gemini回應「這時段有空」。而在背後，Gemini則是建立起新事件，將使用者所有公私會議及活動全部寫在會議描述中。</p> <p>在許多企業行事曆設定中，新建立的活動可被他人讀取，因而讓攻擊者得以存取用戶的私人資料，無需受害用戶採取任何操作。</p> <p>研究人員指出，提示注入的攻擊是應用安全的新挑戰。傳統應用安全是語法（syntactic）威脅，可以從字串和型態來偵測如SQL指令、腳本程式標籤，並有有效的WAF和靜態分析工具。但LLM為底層的系統漏洞是語義的（semantic），可能表面上是合理或有助益，危險不容易看出。LLM不只是一個聊天介面，也是一個需要防護的新式應用介面。</p> <p>研究人員只說Google已緩解了這問題，但不確定發生及修補的時間點。</p> </div></div></div>
1/20 10:48作者林妍溱https://www.ithome.com.tw/news/173471
HPE修補Instant On高風險漏洞，無線基地臺恐洩漏VLAN資訊並遭DoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>HPE修補影響HPE Networking Instant On無線基地臺與1930系列交換器的多項高風險漏洞。這些漏洞影響執行3.3.1.0（含）以前韌體版本的設備，可能導致網路組態資訊外洩，或使無線網路服務遭到阻斷。HPE已在Instant On 3.3.2.0及後續版本中提供修補，呼籲用戶儘速完成升級。</p> <p><a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04988en_us&docLocale=en_US#hpesbnw04988-rev-1-hpe-networking-instant-on-multi-0" target="_blank">HPE於1月13日發布安全公告（HPESBNW04988）</a>，指出Instant On無線基地臺在路由器模式（Router Mode）下，存在一項資訊洩漏漏洞<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04988en_us&docLocale=en_US#hpesbnw04988-rev-1-hpe-networking-instant-on-multi-0:~:text=Exposure%20of%20VLAN%20information%20in%20unintended%20network%20interfaces%20(CVE%2D2025%2D37165)" target="_blank">CVE-2025-37165</a>。公告說明，未經身分驗證的遠端攻擊者，可能透過特製的網路流量，使設備回應原本不應揭露的封包內容，進而洩漏包含VLAN識別碼在內的網路區隔資訊。該漏洞CVSS v3.1風險評分為7.5，屬於高風險等級，主要影響資訊機密性。</p> <p class="rtecenter"><a href="http://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04988en_us&docLocale=en_US#hpesbnw04988-rev-1-hpe-networking-instant-on-multi-0" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-HPE-600.png" style="width: 600px;" /></a></p> <p>HPE表示，若攻擊者可接觸受影響的網路介面，便可能利用外洩的VLAN與網路區隔資訊描繪內部網路結構，增加後續攻擊成功的機率。官方指出，目前並無可行的暫時性緩解措施，僅能透過升級韌體加以修補。</p> <p>同一份公告中，HPE也揭露另一項影響Instant On無線基地臺的高風險漏洞<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04988en_us&docLocale=en_US#hpesbnw04988-rev-1-hpe-networking-instant-on-multi-0:~:text=Unexpected%20shutdown%20in%20HPE%20Instant%20On%20Access%20Points%20after%20processing%20specific%20packets%20(CVE%2D2025%2D37166)" target="_blank">CVE-2025-37166</a>。當設備處理特製封包時，可能進入無回應狀態，部分情況需重新啟動才能恢復服務，等同可被用於對無線網路基礎架構發動阻斷服務（DoS）攻擊。該漏洞CVSS風險分數同樣達到7.5，主要影響系統可用性。</p> <p><span style="color:#B22222;"><strong>兩項核心層級漏洞可能導致服務遭阻斷，或載入記憶體的資料被毀損</strong></span></p> <p>除了無線基地臺相關問題外，HPE也指出，Instant On 1930系列交換器與相關設備所使用的作業系統核心，受到多項已知封包處理漏洞影響，包括高風險漏洞<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04988en_us&docLocale=en_US#hpesbnw04988-rev-1-hpe-networking-instant-on-multi-0:~:text=Multiple%20vulnerabilities%20in%20packet%20processing%20identified%20in%20underlying%20OS%20kernel%20(CVE%2D2023%2D52340%2C%20CVE%2D2022%2D48839)" target="_blank">CVE-2023-52340與CVE-2022-48839</a>，涉及IPv4與IPv6封包處理機制。這類核心層級漏洞在特定條件下，可能導致服務遭到阻斷或載入記憶體的資料被毀損。相關修補已由上游核心專案提供，並整合至Instant On 3.3.2.0版本。</p> <p>HPE強調，截至公告發布時，尚未觀測到針對上述漏洞的實際濫用行為或公開攻擊程式碼。不過，官方仍建議用戶儘速將受影響的Instant On無線基地臺與1930系列交換器升級至Instant On 3.3.2.0或更新版本，以降低潛在資安風險。</p> <p>上述安全更新已自2025年12月10日當週起，陸續透過自動更新機制推送，用戶亦可透過Instant On行動應用程式或網頁管理介面，手動完成升級。</p> </div></div></div>
1/20 10:59作者王珮瑤https://www.ithome.com.tw/news/173454
Cloudflare收購Web框架Astro團隊，承諾持續開源與支援多雲部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Cloudflare<a href="https://blog.cloudflare.com/astro-joins-cloudflare/">收購</a>Astro背後的The Astro Technology Company，並將其核心團隊納入Cloudflare。雙方在公告中強調，Astro將維持開源並採MIT授權，公開路線圖與開放治理機制維持不變，同時仍支援多種部署目標，不會只綁定Cloudflare。Astro的全職員工已轉為Cloudflare員工，後續仍將全職投入Astro的開發與維護。Cloudflare也承諾持續接受社群貢獻，並透過Astro Ecosystem Fund與合作夥伴共同支持生態系。</p> <p>Astro為知名前端Web框架，近年採用量持續成長，目前每周下載量接近100萬次，已被大量開發者用來建置網站。從企業採用來看，Unilever、Visa、NBC News等品牌均被點名使用Astro，微軟與Google等公司也在網站或開發者平臺的內容型網站採用Astro，顯示其在文件、行銷與內容等網站場景的能見度正在提升。</p> <p>Cloudflare也指出，這次整合並非從零開始。Cloudflare自家開發者文件、網站、活動頁面與部落格等內容型站點已使用Astro建置。建構在Cloudflare上的Webflow Cloud與Wix Vibe等平臺，也採用Astro作為網站建置的基礎框架，讓客戶建立並部署網站。</p> <p>在新版本方面，Astro 6已釋出公測版，並預告正式版將在接下來數周推出。該版本更新重點之一，是由Vite驅動重新設計開發伺服器，目標是讓本機開發更貼近實際部署時的執行環境，降低開發與上線環境落差帶來的問題。</p> <p>Astro專案共同發起人Fred Schott<a href="https://astro.build/blog/joining-cloudflare/">回顧</a>，Astro框架於2021年誕生，起因是當時大量網站被迫以應用程式方式建構並推送到瀏覽器端算繪，導致效能負擔與工具鏈複雜度增加，Astro因而主打以內容型網站為核心的架構設計，讓開發者在保留互動需求的同時，仍能維持網站的輕量與效能。Astro公司則在2022年成立，並完成700萬美元種子輪融資。</p> </div></div></div>
1/19 20:23作者李建興https://www.ithome.com.tw/news/173437
樹莓派AI HAT+ 2擴充板開賣，8GB板載記憶體加速樹莓派5裝置端LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>樹莓派（Raspberry Pi）官方<a href="https://www.raspberrypi.com/news/introducing-the-raspberry-pi-ai-hat-plus-2-generative-ai-on-raspberry-pi-5/">公開發售AI HAT+ 2擴充板</a>，鎖定樹莓派5的本地端AI推論需求，主打把生成式AI工作負載帶到裝置端執行。AI HAT+ 2採用Hailo-10H神經網路加速器，並加入8 GB板載專用記憶體，定價130美元，目前已開始供貨。</p> <p>樹莓派約在一年前推出的AI HAT+以Hailo-8與Hailo-8L為核心，分別提供26 TOPS與13 TOPS等級的推論效能，主要加速電腦視覺模型，涵蓋物件偵測、姿態估計、場景分割等應用。不過，隨著生成式AI模型在開發者社群快速普及，上一代AI HAT+在生成式AI模型的支援能力上出現落差。</p> <p>AI HAT+ 2的主要差異在於硬體架構與記憶體配置，官方指出，Hailo-10H可提供40 TOPS（INT4）的推論效能，並搭配8 GB板載專用記憶體，目標是讓加速器能更有效率地處理更大的模型。官方也將支援範圍指向大型語言模型、視覺語言模型等生成式AI應用，不再只限於鏡頭與影像導向的電腦視覺工作負載。</p> <p>AI HAT+ 2標示的40 TOPS是在INT4條件下的推論效能，主要針對生成式AI工作負載。對於YOLO等以電腦視覺為主的模型，樹莓派表示AI HAT+ 2的整體電腦視覺表現，與前代26 TOPS版本大致相當，並提到板載專用記憶體有助於維持這類工作負載的表現。軟體整合上，新擴充板延續既有相機軟體堆疊的介接，包括libcamera、rpicam-apps與Picamera2，既有AI HAT+使用者搬遷到AI HAT+ 2多半可維持相近的使用方式。</p> <p>官方在示範中採用Hailo提供的hailo-ollama作為大型語言模型後端，搭配Open WebUI在瀏覽器提供對話介面，展示在樹莓派5加上AI HAT+ 2的組合下，以本地端方式執行問答、程式開發輔助、翻譯，以及由相機畫面進行場景描述等情境。官方所列出支援的模型，多為10億到15億參數規模。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Capture%20487%20-%20Raspberry%20Pi%20AI%20HAT%2B%202%20-%20Coding%20assistant%20-%20YouTube%20-%20%5Bwww_youtube_com%5D.jpg" style="width: 580px;" /></p> <p>樹莓派也提醒，邊緣端可運行的模型規模受限於裝置端可用的記憶體與運算資源，定位與雲端超大規模模型不同。為了在特定情境提升可用性，AI HAT+ 2延續前代做法，支援以Hailo Dataflow Compiler資料流程編譯器重新訓練視覺模型，同時也支援語言模型的LoRA微調，也就是只調整少量參數的微調方法，讓開發者能針對特定任務製作適配器並在擴充板上執行。</p> </div></div></div>
1/19 19:54作者李建興https://www.ithome.com.tw/news/173446
GovTech月報第49期：我國AI基本法三讀通過，政院將設國家AI戰略特別委員會；台灣健康網路平臺正式成立，加速民眾…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><span style="color: rgb(0, 0, 255);">重點新聞(2025年12/21~2026年1/19)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">法規</span></font></strong></p> <p><span style="font-size:22px;"><strong>立院三讀通過AI基本法，授予行政院成立國家AI戰略特別委員會</strong></span></p> <p>立法院在近期終於三讀通過行政院擬定的《人工智慧基本法》（AI基本法），明定我國AI發展主管機關為國科會，並由行政院成立「國家人工智慧戰略特別委員會」，協調全國AI事務。新法規範AI系統定義，並提出兼顧社會公益、數位平權與國家競爭力的七大基本原則，包括人類自主、隱私保護、資安安全、透明與可解釋、公平不歧視、問責以及永續發展與福祉。</p> <p>AI基本法明定，政府應避免AI應用侵害人民生命、自由、財產或破壞社會秩序，並防止偏差、歧視、資訊誤導或不實廣告等行為。法案規定，高風險AI產品或系統需標示注意事項或警語，並由數發部提供相關評估與驗證工具。此外，各目的事業主管機關在人工智慧研發及應用過程，應會商個人資料保護主管機關，避免不必要個資蒐集與處理，落實隱私保護設計。</p> <p>在AI政策推動與資源上，基本法規定政府應在財政能力範圍內提供必要經費，支持AI研發、應用及基礎建設，並可透過補助、投資、租稅或金融優惠措施促進產業發展。各主管機關可建立創新實驗環境，以鼓勵AI創新產品與服務，並制定風險管理規範，對可能侵害民眾生命財產或社會秩序的應用，依法限制或禁止。</p> <p>新法也強調國際合作與資料共享的重要性，政府將推動AI相關國際合作，並建立資料開放、共享與再利用機制，以確保訓練與產出結果兼具多元文化價值並維護智慧財產權。國家AI戰略委員會每年至少召開一次會議，必要時可召開臨時會議，由國科會協助幕僚作業，作為我國AI發展與治理的最高政策協調平台。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">資料</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">健康</span></font></strong></p> <p><span style="font-size:22px;"><strong>台灣健康網路平臺揭牌成立，將串接醫院、健檢、長照的民眾健康旅程數據推動應用發展</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20260109_151837%20(1).jpeg" style="width: 600px; height: 328px;" /></p> <p>2024年行政院BTC會議預告將成立健康數據服務公司，在國發會及科技業者支持下，近期台灣健康網路平臺正式揭牌成立，未來在民眾的同意基礎下，希望串接醫院、健檢、長照機構的數據，建立民眾的健康旅程(Journey)數據，加速相關健康應用的發展。</p> <p>台灣健康網路平臺邀請醫院、診所、健檢、長照業者合作，以區塊鏈技術建立動態同意書，讓民眾可以隨時同意或不同意個人的健康資料二次利用，如民眾選擇同意後，從合作的醫院、診所、健檢、長照機構蒐集去識別化的民眾健康資料。</p> <p>這些資料仍保存於各家業者，但是利用GUID(全球唯一識別碼)，以不可逆轉換方式，將民眾的健康數據轉為GUID識別碼，強調無法還原原始身分，符合GDPR、HIPAA的隱私保護要求，透過此一方式，讓跨機構的健康資料整合，推動相關應用發展。</p> <p>台灣健康網路平臺現階段為建立信任及連結，希望更多醫療、健檢、長照業者加入合作，未來待蒐集一定數量的民眾健康資料後，以民眾的健康旅程數據，建立其個人的健康數位孿生，預測與模擬其健康發展趨勢，發展主動式的個人健康照護應用。</p> <div> </div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">隱私保護</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">刪除</span></font></strong></p> <p><span style="font-size:22px;"><strong>加州推出DROP平臺，降低民眾請求刪除資料的門檻</strong></span></p> <p>為降低民眾請求刪除資料的門檻，加州政府近期推出DROP(Delete Request and Opt-out Platform)平臺，讓民眾可以透過該平臺，要求超過500家的資料仲介業者刪除他們的資料。</p> <p>加州是在2020年通過消費者隱私法，允許民眾向蒐集他們資料的企業要求刪除資料，後續又要求加州隱私保護局建置DROP平臺，讓民眾得以保護他們的隱私，透過單一管道，向已註冊的多家資料仲介業者要求刪除資料。</p> <p>DROP平臺不僅降低民眾要求刪除資料的門檻，要求刪除的資料也包括業者直接蒐集的消費者資料，還有向其他業者購買或是透過公開網路蒐集的資料，使民眾要求刪除資料的權利，擴及到民眾未直接提供的資料。</p> <p>加州隱私保護局指出，個資一旦被出售，就會在不同買家之間流通，造成潛在的隱私風險，除了合法業者得以使用，也可能讓詐騙、仇恨團體或敵對的外國政府利用，導致身分冒用、詐欺、跟蹤騷擾等等。</p> <div> </div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">存款</span></font></strong></p> <p><span style="font-size:22px;"><strong>中國數位人民幣將在2026年進入存款貨幣</strong></span></p> <p>中國人民銀行日前揭露中國的數位人民幣將在2026年1月1日起進入存款貨幣階段，從扮演支付的角色，進入到存款計息角色，象徵數位人民幣試圖融入現有的存款保險體系。</p> <p>中國在數位貨幣的發展上起步不晚，人民銀行在2014年組成團隊專門研究數位貨幣，後續確立由央行及商業銀行參與的模式，並於2019年到2020年間，首先在深圳、蘇州等地展開數位人民幣的封閉測試，後續於中國各地實施跨域測試。</p> <p>中國在2022年推出數位人民幣錢包App，官方稱至今已有2.3億人註冊錢包，超過1,800萬商家及機構註冊錢包，交易達34.8億筆，交易金額為16.7兆元人民幣。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">資料</span></font></strong></p> <p><strong><span style="font-size:22px;">數發部推臺灣主權AI語料庫，釋出文化、藝術、地理、交通逾2千個資料集</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x1cqoh4n_xmy%20(1).jpeg" style="width: 600px; height: 409px;" /></p> <p>為推動臺灣主權AI發展，數位發展部近期發表「臺灣主權AI語料庫」，先與政府部會合作，釋出文化、藝術、地理、交通逾2千個資料集，希望能以臺灣在地的資料，促成熟悉臺灣文化、價值觀的AI技術發展，增加臺灣在全球AI發展的能見度。</p> <p>目前已有文化部、教育部、客委會、原民會、交通部、海委會超過200個政府機關參與，累計釋出逾2,000筆資料集，規模相當於6億個 Tokens，涵蓋文化、藝術、教育、地理、語言、醫療及交通等多元領域，作為我國發展在地 AI 模型的重要基礎。</p> <p>語料庫提供的資料分為「授權資料」與「開放資料」兩類。授權資料僅供 AI 訓練使用，申請者須以自然人或工商憑證完成身分驗證，並說明使用目的，經約7天審核通過後方可下載；開放資料則可自由下載使用。目前釋出格式以 PDF、JSON 為主，並遵循國際 FAIR 原則，確保資料易查找、易取得、可互通及可再利用。</p> <p>數發部次長侯宜秀表示，在全球 AI 競逐下，真正的護城河並非算力，而是資料與人才。臺灣獨有的語言、文化與社會資料，必須由自己建立長期機制加以保存與運用，主權 AI 語料庫正是為此而生。未來除持續促進政府機關資料匯流，也將擴大至地方政府與民間單位，讓更多在地資料投入 AI 發展，使大型語言模型更貼近臺灣需求。</p> <p>為推動資料的釋出，數發部提出三大策略，包括建置語料入口網、完善資料與著作權法制，以及促進公私部門資料釋出，期盼在兼顧著作權保護的前提下，加速 AI 創新應用，提升臺灣文化與價值的國際能見度。</p> <div> </div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位政府</span></font></strong></p> <p><strong><span style="font-size:22px;"><span id="docs-internal-guid-a1da3896-7fff-aff4-eddd-39b5dba74cf9"><span style="font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; vertical-align: baseline; white-space-collapse: preserve;">馬來西亞MyDigital ID將整合進更多公私部門服務、目標新增1,500萬用戶</span></span></span></strong></p> <p>馬來西亞持續推動該國的數位身分MyDigital ID，今年計畫將整合至更多公共及私人部門服務，以增加民眾使用的MyDigital ID意願，今年目標增加1,500萬用戶。</p> <p>馬來西亞的MyDigital ID並未強制民眾使用，其目的在於以數位身分建構，已有約870萬註冊用戶，該國已計畫在2026年擴展至警察傳票、交通應用、醫療及金融等服務，成為政府及企業，公私部門服務的統一身份驗證工具，2026年希望新增加1,500萬用戶。</p> <p>馬國目標是透過單一登入（Single Sign-On）方式提升數位服務效率與安全性，減少民眾重複使用多組帳號密碼的需求。在此之前，該國電信業者已在主管機關通訊與多媒體委員會(MCIC)鼓勵下，在2025年底整合至電信業者用戶的App，讓手機號碼與數位身分綁定，以防止身分冒用、詐騙。</p> <p> </p> <p>圖片來源／立法院、數發部</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.英國警方測試街頭攝影機部署臉部辨識，辨識多名通緝犯引爭議</strong></p> <p><strong>2.中國向ITU申請20顆衛星軌道資源，大舉啟動國家級衛星布局</strong></p> <p>資料來源：iThome整理，2026年1月</p> </div></div></div>
1/19 17:05作者蘇文彬https://www.ithome.com.tw/news/173441
整合防護端點、網路、郵件、SaaS，Cynet支援雲與地端部署
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cynet_console1-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>若要更徹底保護個人電腦、伺服器與行動裝置，許多企業已體認到單靠防毒軟體與網路防火牆是不夠的，抱持<a href="https://www.ithome.com.tw/news/159828">「預想被駭（Assumed Breach）」</a>的思維去推動所有資安工作，是更務實的做法，為了能夠涵蓋事前與事中偵測，以及事後應變，端點偵測與應變系統（EDR）、延伸偵測及應變系統（XDR）、網路偵測及應變系統（NDR）等類型的解決方案，在資安市場大行其道，而在業務與服務模式的創新上，為了減輕企業沉重的資安維運負擔，交由資安廠商負責的全天候代管型偵測及回應服務（MDR）也應運而生。</p> <p>這些解決方案我們統稱為威脅偵測與應變平臺（TDR），根據最新版<a href="https://www.google.com/url?sa=t&source=web&rct=j&opi=89978449&url=https://www.ithome.com.tw/news/123912&ved=2ahUKEwig2cOpoIKRAxW1j68BHQPGAhYQFnoECB4QAQ&usg=AOvVaw3wszEM_hwvYNDgFi4H8T50">臺灣資安市場地圖</a>的統計，國內外廠牌多達65家，不僅有老牌廠商極力鞏固這個領域的市場與技術應用經營，也成為新進廠商展現資安實力的最佳舞臺。一般而言，各界也會參照MITRE組織舉辦的ATT&CK Evaluations結果，雖然2025年資安評測進行的過程中，<a href="https://www.ithome.com.tw/news/171408">微軟、Palo Alto Networks、SentinelOne陸續宣布退出</a>，最終仍有11家廠商參與，這當中有6家已連續參與5年，絕大部分均為屹立市場多年，僅有幾家是新創公司，現在我們所要介紹的Cynet正是其中之一，因為單就<a href="https://evals.mitre.org/results/enterprise?vendor=cynet&evaluation=er6&scenario=1&view=individualParticipant">2024年</a>與<a href="https://evals.mitre.org/results/enterprise?vendor=cynet&evaluation=er7&scenario=1&view=individualParticipant">2025</a>年而言，該公司的解決方案均有相當優異表現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20MITRE%202024.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Cynet MITRE 2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20MITRE%202025.jpg" style="width: 298px;" /></a></p> <p>Cynet是成立於2015年的以色列資安廠商，2022年中華數位<a href="https://www.softnext-inc.com/news_main.html?pg=8&tag=t2&nid=1087">引進臺灣</a>，2023年10月臺灣資安市場地圖將Cynet納入Threat Detection & Response類別，2025年6月漢領國際宣布<a href="https://www.jas-solution.com/latest/latest-news/618-cynet-news">代理這個品牌</a>，並在臺灣雲端大會現場向大家<a href="https://www.jas-solution.com/latest/latest-news/619-cynet-news-exhibition">展示</a>Cynet的特色，當月的臺灣資安市場地圖更新，也將Cynet納入6個類別，包含Managed Security Service、Mobile Security、Security Incident Response、Endpoint Prevention、Cloud Native Security、Security Orchestration, Automation and Response。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet Packages.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20Packages.png" style="width: 398px; float: right;" /></a></p> <p>相較於市面上既有的TDR廠商，Cynet最大特色是一口氣提供多種資安功能，這套平臺是以<a href="https://www.cynet.com/platform/endpoint-security/">EDR</a>為核心，結合<a href="https://www.cynet.com/platform/network-user-security/">NDR</a>、<a href="https://www.cynet.com/platform/xdr/">XDR</a>之餘，也同時提供內建<a href="https://help.cynet.com/en/articles/44-nextgen-antivirus">次世代防毒技術（NGAV）</a>的端點防護平臺（EPP）、<a href="https://help.cynet.com/en/articles/80-uba-rules">使用者行為分析（UBA）</a>、<a href="https://help.cynet.com/en/articles/73-cloud-saas-security-posture-management">雲端資安組態管理（CSPM）與SaaS資安組態管理（SSPM）</a>、<a href="https://help.cynet.com/en/categories/49-cynet-360-mobile">行動威脅偵測（MTD）</a>，以及<a href="https://help.cynet.com/en/articles/77-soar">資安調度指揮、自動化與應變（SOAR）</a>，<a href="https://help.cynet.com/en/articles/75-centralized-log-management">事件記錄集中管理（CLM）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet EDR-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20EDR-JSLEAD.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cynet NDR-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20NDR-JSLEAD.png" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet Incident View.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20Incident%20View.jpg" style="width: 600px;" /></a></p> <p>而且在Cynet供應的三種產品形式裡面，全都內建欺敵技術（Deception），中階Elite版與高階的All-in-One版，均包含24x7的MDR服務CyOps（Cynet Operations Center），團隊成員涵蓋資安分析師、威脅獵捕人員、資安研究員、鑑識專家與事件回應人員，提供電話與電子郵件支援。</p> <p>就不同版本的功能搭配項目而言，Cynet在最基本的Protect版當中，預設提供EDR、EPP、NDR、UBA；到了Elite，用戶可選購<a href="http://help.cynet.com/en/articles/73-cloud-saas-security-posture-management">SSPM與CSPM</a>、<a href="https://www.cynet.com/platform/xdr/">XDR</a>、<a href="https://www.cynet.com/platform/soar/">SOAR</a>、<a href="https://www.cynet.com/platform/clm/">CLM</a>，以及網頁內容過濾、身分威脅偵測與應變（ITDR）、外部攻擊面管理（EASM）、鑑識資料保存；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet SSPM-JSLEAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20SSPM-JSLEAD.jpg" style="width: 600px;" /></a></p> <p>All-in-One內建SSPM與CSPM、XDR、SOAR、CLM、ITDR、EASM，額外提供<a href="https://help.cynet.com/en/articles/270-email-security-overview">電子郵件安全</a>、<a href="https://help.cynet.com/en/articles/272-endpoint-vulnerabilities-management">端點安全組態管理（ESPM）</a>。至於MTD，則是三種版本均可選購的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet EMAIL SEC2-JSLEAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20EMAIL%20SEC2-JSLEAD.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet-ESPM-JSLEAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet-ESPM-JSLEAD.jpg" style="width: 600px;" /></a></p> <p>整體而言，Cynet保護的對象相當廣泛，涵蓋端點電腦與伺服器（EDR、EPP）、網路與使用者（NDR、UBA）、SaaS與雲端服務（SSPM、CSPM）、電子郵件、行動裝置（MTD），提供自動化處理（SOAR）與資安集中管理（CLM、XDR）。</p> <p> <a href="https://s4.itho.me/sites/default/files/images/CyOps Service Tier Comparison.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyOps%20Service%20Tier%20Comparison.png" style="width: 600px;" /></a></p> <h2><strong><span style="color:#0000FF;">支援雲端與企業內部建置，可涵蓋外部電腦與伺服器的保護</span></strong></h2> <p>在整體運作上，Cynet如同大多數EDR、NDR、XDR廠商，主推SaaS雲端管理架構，而在企業列管的個人電腦與伺服器上，<a href="https://help.cynet.com/en/articles/47-supported-operating-systems">需安裝Cynet 360代理程式（端點感測器軟體）</a>，目前作業系統可支援Windows、macOS、Linux、iOS、Android這5大平臺，以Windows而言，最舊可涵蓋Windows XP SP3、Windows Server 2003 SP2、Windows Embedded POSReady 7；Linux能支援RHEL 6.10、Ubuntu 18.04 LTS等版本，macOS則是10.15，至於行動裝置，需安裝CISO Kit（支援iOS 10.0、iPadOS 10.0、watchOS 4.3後續版本）或Cynet 360 Mobile（支援iOS 11.0、Android 5.1、Chrome OS）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet SaaS Management.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20SaaS%20Management.png" style="width: 398px;" /></a></p> <p>除此之外，Cynet也支援內部環境（On-premises）的管理模式，能因應無法直接使用雲端服務的企業或組織需求，可在內部網路設立系統管理伺服器Cynet 360 Server，以及基於OpenSearch軟體而成的資料分析伺服器Cynet Analytics。以系統管理伺服器而言，會定期向Cynet雲端服務下載最新威脅情資、特徵碼簽章、偵測規則等資料，至於資料分析伺服器，負責存放檔案監控及系統事件日誌。</p> <p>所有受到Cynet保護的公司電腦與伺服器，端點代理程式收集的資訊會傳送至企業內部網路建置的Cynet 360 Server處理，不過，漢領國際也提醒，企業若採用內部環境的部署模式，SSPM與CSPM、電子郵件安全、CLM模組將會停用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet-On Premise.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet-On%20Premise.png" style="width: 398px;" /></a></p> <p>另一種Cynet提供的彈性部署方法，是在企業防火牆DMZ區域設立<a href="https://help.cynet.com/en/articles/166">流量路由器（Traffic Router）</a>，須直接對外連線至Cynet雲端管理平臺，不支援代理伺服器串聯（Proxy Chaining）的連接架構，能同時支援SaaS雲端管理與上述內部環境管理。以前者而言，可針對無網際網路、隔離或封閉的電腦或伺服器，能藉此將端點代理程式收集的資訊轉送至Cynet雲端服務環境的伺服器；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet TR-In-Proxy-Out-SAAS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20TR-In-Proxy-Out-SAAS.jpg" style="width: 398px;" /></a></p> <p>至於後者，則是針對企業列管的電腦或伺服器位於外部網路，而且是將Cynet伺服器設置於公司內網的狀況，外部端點可經由Cynet流量路由器轉介，連至企業網路內部的Cynet 360 Server，進行註冊與同步相關資訊的作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet TR-Out-Proxy-In-On Premise.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20TR-Out-Proxy-In-On%20Premise.jpg" style="width: 398px;" /></a></p> <p>當然，若導入流量路由器的轉接架構，也會影響Cynet部分防護功能運作，漢領國際表示，使用Traffic Router時，欺敵檔案處理（Decoy files）與遠端控制Secure Remote Shell功能將不支援。</p> <h2><span style="color:#0000FF;"><strong>提供整合AI專屬引擎的次世代防毒，以及GenAI警示解說</strong></span></h2> <p>在惡意檔案的偵測機制上，Cynet提供多種功能，其中之一是沙箱檢測（Sandbox），資安人員可在管理主控臺左側的動作選單，進一步針對可疑檔案執行安全性的分析。</p> <p>Cynet提供兩種做法，一是將選定的檔案送至CyOps進行深度檢測，8小時內會回覆分析結果，一是將選定的檔案送至本機系統啟用的動態沙箱Smart Simulation Execution（SSE）進行檢測，這個分析處理僅支援DLL檔與EXE檔。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet Sandbox-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20Sandbox-JSLEAD.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cynet Send to Sandbox Analysis-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20Send%20to%20Sandbox%20Analysis-JSLEAD.png" style="width: 298px;" /></a></p> <p>於AI的技術應用，也是Cynet近期取得的重大突破之一。Cynet在2025年5月宣布自行發展的專屬AI引擎<a href="https://www.cynet.com/platform/cyai/">CyAI</a>，推出重大更新，可強化整個平臺的進階威脅偵測功能，誤判率縮減幅度號稱高達90％，大幅提升資安防禦信心。</p> <p>透過數百萬個樣本訓練出來的機器學習模型，以及重新設計的AI核心，CyAI提供更強大的準確判斷力與廣泛的網路威脅涵蓋範圍，能夠持續分析所有端點系統存取的每個執行檔，在事故發生過程中，即可迅速捕捉新出現的惡意執行檔，在網路惡意活動造成破壞之前，就能偵測已知威脅與零時差漏洞濫用的威脅，替資安偵測的準確度立下新的標準。Cynet先前也建置雲端回饋循環處理機制Deep Analysis，可促成AI模型的快速改善，確保CyAI持續與時俱進。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet EPP-JSLEAD.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20EPP-JSLEAD.png" style="width: 600px;" /></a></p> <p>根據Cynet當時發布的<a href="https://help.cynet.com/en/articles/331-release-notes-v4-27-saas">4.27版更新技術文件</a>指出，CyAI可用於支援Cynet的<a href="https://help.cynet.com/en/articles/44-nextgen-antivirus">次世代防毒功能</a>即時執行，將機器學習的偵測整合到Cynet平臺，提供執行檔的即時分析。而在目前的Cynet用戶指南裡面，列管的Windows端點若啟用核心防毒功能，CyAI也會連帶啟動。</p> <p>而在11月推出的<a href="https://help.cynet.com/en/articles/352-release-notes-v4-30-saas">4.30版更新</a>，Cynet平臺擴增生成式AI驅動的警示洞察解析，提供更強大的威脅前後文脈絡說明功能，幫助用戶理解相關情況。Cynet表示，管理主控臺的警示將會包含生成式AI產生的描述，能將複雜的技術資料轉譯為易懂的洞察分析資訊，提供聰明的詮釋，協助資安團隊快速理解警示的重要性，加速事故應變與減少分析人員的訓練需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cynet GenAI Alert Insights.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cynet%20GenAI%20Alert%20Insights.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">Cynet Platform</span><br /> ●代理商：漢領國際<br /> ●建議售價：廠商未提供<br /> ●版本：Protect、Elite、All-in-One<br /> ●支援作業系統：Windows（XP SP3至11 22H2、Embedded POSReady 7、Server 2003至2025、Azure Local 22H2）、Linux（Ubuntu 18.04 LTS至24.04 LTS、RHEL 6.10至9.6、SLES 15 SP4至15 SP6等）、macOS（10.15以上）、iOS 11.0、Android 5.1、Chrome OS</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/19 18:57作者李宗翰https://www.ithome.com.tw/review/172263
西門子、施耐德、菲尼克斯電氣等工控大廠修補高風險漏洞，工業邊緣與製程系統受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>多家工業自動化與工控系統（ICS）大廠近日發布1月安全更新，修補多項影響工業環境的資安漏洞，影響產品包含工業邊緣運算設備、製程控制系統與工業路由器。相關廠商呼籲用戶儘速評估並套用修補，以降低工控環境遭入侵的風險。</p> <p><span style="color:#B22222;"><strong>西門子修補Industrial Edge授權繞過漏洞</strong></span></p> <p>在工業邊緣設備方面，工業自動化大廠<a href="https://www.siemens.com/global/en/products/services/cert.html#SiemensSecurityAdvisories:~:text=Reset-,ID,2026%2D01%2D13,-HTML" target="_blank">西門子（Siemens）於1月13日公告，</a>其Industrial Edge Device Kit存在一項授權繞過漏洞<a href="https://cert-portal.siemens.com/productcert/html/ssa-014678.html" target="_blank">CVE-2025-40805</a>，CVSS風險分數達到滿分10。未經身分驗證的遠端攻擊者可繞過驗證機制，冒充合法使用者身分，對工業邊緣運算環境構成高度風險。西門子指出，成功濫用該漏洞仍需攻擊者事先掌握合法使用者相關資訊。</p> <p>除Industrial Edge相關產品外，西門子也同步針對<a href="https://www.siemens.com/global/en/products/services/cert.html?s=Ruggedcom&d=2026-01#SiemensSecurityAdvisories" target="_blank">Ruggedcom</a>、<a href="https://www.siemens.com/global/en/products/services/cert.html?s=ET%20200SP#SiemensSecurityAdvisories" target="_blank">ET 200SP</a>，以及<a href="https://www.siemens.com/global/en/products/services/cert.html?s=TeleControl%20Server%20Basic#SiemensSecurityAdvisories" target="_blank">TeleControl Server Basic</a>等OT（Operational Technology）產品發布多則安全公告。</p> <p>從多項CVSS風險分數9以上的案例來看，部分高風險漏洞不一定源自西門子自家程式碼，而與工控設備整合第三方網路安全元件的供應鏈結構密切相關。以<a href="https://www.siemens.com/global/en/products/services/cert.html?s=Ruggedcom&d=2026-01#SiemensSecurityAdvisories" target="_blank">RUGGEDCOM APE1808</a>工業邊緣平臺為例，部分高分漏洞來自部署於該平臺上的Fortinet FortiGate NGFW與Palo Alto Networks Virtual NGFW等第三方產品。</p> <p><span style="color:#B22222;"><strong>施耐德EcoStruxure產品線存在資安漏洞，曝露在權限提升與程式碼執行風險當中</strong></span></p> <p><a href="https://www.se.com/ww/en/work/support/cybersecurity/security-notifications.jsp" target="_blank">在1月13日發布的安全更新中</a>，施耐德電機（Schneider Electric）則揭露，其EcoStruxure Process Expert存在可被濫用進行權限提升（Privilege Escalation）的漏洞，編號是<a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-013-02&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-013-02.pdf" target="_blank">CVE-2025-13905</a>，CVSS風險分數為7.3。</p> <p>另一方面，EcoStruxure Power Build Rapsody被發現可透過特製專案檔（SSD檔）觸發記憶體安全漏洞，可能導致緩衝區溢出，並導致任意程式碼執行（Arbitrary Code Execution）的風險。<a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-013-04&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-013-04.pdf" target="_blank">相關問題涉及</a>CVE-2025-13844（CVSS風險分數為5.3）與CVE-2025-13845（CVSS風險分數為7.8）。施耐德也提醒，其部分產品使用的第三方元件如<a href="https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-013-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-013-03.pdf" target="_blank">Zigbee</a>存在已知漏洞，可能衍生供應鏈風險。</p> <p><span style="color:#B22222;"><strong>菲尼克斯電氣工業路由器存在指令注入漏洞</strong></span></p> <p>在工業網路設備方面，工控系統業者菲尼克斯電氣（Phoenix Contact）指出，其TC Router與Cloud Client工業路由器中存在一項高風險的指令注入漏洞（Command Injection）<a href="https://certvde.com/de/advisories/VDE-2025-073" target="_blank">CVE-2025-41717</a>，CVSS風險分數為8.8。官方說明，該漏洞需攻擊者已在目標系統上具備較高權限，或能誘使使用者上傳惡意負載，才可能遭到濫用並執行未授權的指令。德國資安應變組織<a href="https://certvde.com/en/advisories/VDE-2025-073/" target="_blank">VDE CERT亦發布對應公告</a>，呼籲用戶依原廠指引完成修補。</p> <p><span style="color:#B22222;"><strong>Aveva修補製程最佳化系統關鍵漏洞</strong></span></p> <p>工業軟體供應商<a href="https://www.aveva.com/content/dam/aveva/documents/support/cyber-security-updates/SecurityBulletin_AVEVA-2026-001.pdf" target="_blank">Aveva在1月安全公告</a>中，針對Process Optimization（前身為ROMeo）產品修補多項高風險漏洞，包含4個重大等級漏洞，其中CVE-2025-61937的CVSS風險分數達到滿分10分，可能在特定條件下被濫用，導致遠端程式碼執行或權限提升。另外3個重大漏洞CVE-2025-64691、CVE-2025-61943與CVE-2025-65118的CVSS風險分數皆為9.3，可能影響製程系統的機密性與完整性，官方已發布更新，呼籲用戶儘速因應。</p> <p><span style="color:#B22222;"><strong>Honeywell彙整實體安全系統Windows修補</strong></span></p> <p>在實體安全系統方面，Honeywell針對門禁管理產品<a href="https://buildings.honeywell.com/content/dam/hbtbt/en/documents/downloads/hon-ba-pro-watch-ms-patch-notes-neverfail-2025-12.pdf" target="_blank">Pro-Watch</a>，以及影像監控／視訊管理產品<a href="https://buildings.honeywell.com/content/dam/hbtbt/en/documents/downloads/hon-ba-maxpro-vms-nvr-microsoft-windows-patches2025-12.pdf" target="_blank">MAXPRO VMS與MAXPRO NVR</a>發布安全更新說明，重點在於彙整Microsoft於2025年12月發布的Windows修補程式相容性測試結果。</p> <p><span style="color:#B22222;"><strong>CISA更新ICS漏洞情資，點名Rockwell與YoSmart</strong></span></p> <p>此外，近期美國網路安全暨基礎設施安全局<a href="https://www.cisa.gov/news-events/ics-advisories" target="_blank">CISA也發布多則ICS安全公告</a>，彙整<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-25-352-07" target="_blank">Rockwell Automation</a>於2025年12月揭露的漏洞，以及影響智慧裝置<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-26-013-03" target="_blank">YoSmart YoLink Smart Hub</a>的漏洞訊息，提醒工控與關鍵基礎設施營運單位依建議完成修補並降低曝險面。</p> </div></div></div>
1/19 17:25作者王珮瑤https://www.ithome.com.tw/news/173434
加密貨幣市場大洗牌，自2021年以來有逾半數幣種已消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>加密市場資料平臺<a href="https://www.coingecko.com/research/publications/how-many-cryptocurrencies-failed?utm_source=chatgpt.com" target="_blank">CoinGecko近日指出</a>，自2021年7月以來，曾在其鏈上資料平臺GeckoTerminal列出的約2,020萬個加密貨幣專案中，約有1,340萬個已不再活躍、停止交易，占比約53.2%；而僅2025年一年，就有約1,160萬個專案停止交易，占了所有失敗專案的86%。</p> <p>該研究是依據GeckoTerminal的統計，分析在各區塊鏈上曾至少完成一次交易、但後續不再有交易活動的專案，並將其歸類為失敗或死亡專案。資料期間涵蓋2021年7月1日至2025年12月31日。研究中所稱的加密貨幣專案，涵蓋具獨立區塊鏈的原生加密貨幣，以及建立在既有區塊鏈上的代幣，而絕大多數消失的專案皆屬於代幣。</p> <p>研究顯示，代幣的發行爆發點出現在2024年之後。在2021年至2023年間，代幣的發行與失敗數量維持在相對有限的規模，失敗案例多是低的6位數。真正的轉折點出現在2024年，因為當年的代幣發行數量首次出現大規模躍升，代幣累積上架數量從2023年的83.5萬個快速成長至300萬個，2025年再成長至逾2,000萬個，而2024年的失敗專案也達到138萬個，2025年更衝上1,160萬個，形成史上最大的淘汰潮。</p> <p>令代幣發行大增的原因主要為諸如pump.fun等低門檻發幣平臺的現身，它們高度簡化了代幣的發行流程，推升整體的專案數量，讓市場進入高頻發幣與初步淘汰並行的階段。</p> <p>在2025年時，發行一個代幣可能只需要幾分鐘，而且不到10美元，使得市場上充斥著各種拋棄式代幣，一旦清算事件發生，專案便直接被放棄。</p> <p>在2025年的10月10日，美國總統川普（Donald Trump）宣布，將針對所有中國進口商品加徵100%的關稅。該消息讓全球金融市場瞬間進入避險模式，投資人恐慌撤出包括加密貨幣在內的各種風險資產；在24小時內有160萬人爆倉，全球有高達190億美元的槓桿部位被強制平倉，創下加密市場史上最大單日去槓桿紀錄。</p> <p>這波系統性清算導致資金快速撤離，鏈上流動性驟降。對原本交易量就不高且缺乏實際用途的代幣而言，一旦交易池乾涸，就無法維持任何成交，隨即被判定為停止交易，在2025年形成史無前例的淘汰潮。</p> <p>對投資人而言，上述數據傳遞了明顯的警訊，超過半數的加密貨幣專案最終走向失敗，而86%的失敗案例集中在2025年，顯示市場風險遠高於多數人的預期。這使得專家建議，投資人應更加審慎評估專案的技術基礎、實際應用場景及流動性狀況，切勿被低門檻發幣平臺製造的表面繁榮所迷惑。</p> </div></div></div>
1/19 17:51作者陳曉莉https://www.ithome.com.tw/news/173448
瀏覽器惡意軟體活動GhostPoster可追溯到5年前，Chrome、Edge、Firefox用戶皆為目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年12月，資安公司Koi Security揭露鎖定Firefox用戶的<strong><a href="https://www.ithome.com.tw/news/172985">延伸套件攻擊GhostPoster</a></strong>，其特徵是駭客透過隱寫術（steganography）將有效酬載埋入PNG圖示檔案，後來該公司指出<strong><a href="https://www.ithome.com.tw/news/173220">攻擊者是名為DarkSpectre的中國駭客</a></strong>，如今有其他資安公司揭露新的調查結果，指出相關活動最早可追溯到5年前。</p> <p><strong><a href="https://layerxsecurity.com/blog/browser-extensions-gone-rogue-the-full-scope-of-the-ghostposter-campaign/">瀏覽器資安公司LayerX指出</a></strong>，他們根據Koi Security公布的調查結果，找到17款與GhostPoster有關的惡意延伸套件，這些套件採用相同的基礎設施，以及策略、手段、攻擊流程（TTP），不過，攻擊者不光針對Firefox用戶，也攻擊Chrome與Edge用戶，這些套件總共被下載超過84萬次，其中部分延伸套件存活超過5年。</p> <p>LayerX指出，駭客活動最早在2020年2月出現，起初針對Edge用戶下手，後來將活動擴展到Firefox及Chrome。根據這些惡意套件上架的時間來看，攻擊者在2024年8月以前幾乎都是上架Edge延伸套件，不過從2024年10月之後，他們就針對Firefox用戶而來。</p> <p>GhostPoster相關惡意軟體採用多階段感染鏈，駭客不僅將惡意軟體載入工具塞進延伸套件圖示的PNG檔，在延伸套件安裝過程解析圖示來擷取隱藏資料，惡意軟體也會延遲48小時或更久才執行，並在特定條件進行C2連線，下載基於JavaScript的有效酬載。</p> <p>此惡意軟體可攔截並修改HTTP標頭，藉此減弱網頁安全政策，或是挾持聯盟行銷流量（Affiliate Hijacking）獲利、注入廣告與進行點擊詐欺、追蹤用戶瀏覽行為。為了能夠讓攻擊流程自動化進行，該惡意程式具備自動破解CAPTCHA驗證碼的能力。</p> <p>值得留意的是，LayerX後續發現駭客上架更為複雜的惡意套件，該套件號稱能讓Firefox用戶下載社群網站Instagram的影片，已被下載3,822次。這次駭客利用特定的圖片檔案作為有效酬載的轉換容器，將攻擊邏輯嵌入背景執行的指令碼，該指令碼啟動後將抓取圖片，並掃描特定的位元組序列，尋找特定內容，然後透過Base64解碼轉換成JavaScript有效酬載，並採取動態執行的方式迴避偵測。</p> </div></div></div>
1/19 17:58作者周峻佑https://www.ithome.com.tw/news/173439
【資安日報】1月19日，人資及ERP系統用戶遭到惡意Chrome延伸套件鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173435"><strong style="font-size: 22px;">惡意Chrome延伸套件鎖定人資及ERP系統用戶而來，企圖挾持憑證與帳號存取權限</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/b30a7ae8e24ce1049333d09ae1c6cda053a863d9-1158x1776.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/b30a7ae8e24ce1049333d09ae1c6cda053a863d9-1158x1776.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Socket揭露5款有問題的Chrome延伸套件，攻擊者針對使用企業人力資源（HR）與ERP系統的員工而來，這些平臺包括：Workday、NetSuite，以及SuccessFactors，駭客宣稱能藉此簡化多帳號管理或加速工作流程，吸引超過2,300名用戶安裝，不過實際上，攻擊者的最終目的，就是要挾持上述企業應用系統的帳號權限。5款惡意套件功能有所不同，部分用於竊取資料，部分用於防範資安人員或系統攔截。對此，Socket已向Google進行通報，並呼籲相關用戶及企業IT人員，應採取行動因應。</p> <p>針對這次發現的惡意套件，Socket指出涵蓋3種截然不同的攻擊型態，包括向遠端伺服器洩露Cookie、操控DOM封鎖安全管理網頁，以及採用雙向Cookie注入手法，從而達到直接挾持連線階段（Session Hijacking）的目的。</p> <p>值得留意的是，攻擊者為了延長惡意延伸套件於受害電腦的存活時間，在裡面設置多種自我防護機制。它們會檢查用戶是否安裝23種特定的安全或開發工具（如EditThisCookie、Redux DevTools），並向攻擊者回報。此外，部分擴充功能使用了DisableDevtool程式庫，一旦偵測到用戶開啟瀏覽器開發者工具，就會自動關閉或干擾分析。</p> <p><a href="https://www.ithome.com.tw/news/173439"><strong style="font-size: 22px;">瀏覽器惡意軟體活動GhostPoster可追溯到5年前，Chrome、Edge、Firefox用戶皆為目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-12-25-at-13_27_57.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-12-25-at-13_27_57.png" style="width: 300px; float: right;" /></a></p> <p>去年12月，資安公司Koi Security揭露鎖定Firefox用戶的延伸套件攻擊GhostPoster，其特徵是駭客透過隱寫術（steganography）將有效酬載埋入PNG圖示檔案，後來該公司指出攻擊者是名為DarkSpectre的中國駭客，如今有其他資安公司揭露新的調查結果，指出相關活動最早可追溯到5年前。</p> <p>瀏覽器資安公司LayerX指出，他們根據Koi Security公布的調查結果，找到17款與GhostPoster有關的惡意延伸套件，這些套件採用相同的基礎設施，以及策略、手段、攻擊流程（TTP），不過，攻擊者不光針對Firefox用戶，也攻擊Chrome與Edge用戶，這些套件總共被下載超過84萬次，其中部分延伸套件存活超過5年。</p> <p>值得留意的是，LayerX後續發現駭客上架更為複雜的惡意套件，該套件號稱能讓Firefox用戶下載社群網站Instagram的影片，已被下載3,822次。這次駭客利用特定的圖片檔案作為有效酬載的轉換容器，並將攻擊邏輯嵌入背景執行的指令碼，該指令碼啟動後將抓取圖片，並掃描特定的位元組序列，尋找特定內容，然後透過Base64解碼轉換成JavaScript有效酬載，並採取動態執行的方式迴避偵測。</p> <p><a href="https://www.ithome.com.tw/news/173425"><strong style="font-size: 22px;">Fortinet FortiSIEM重大漏洞CVE-2025-64155已被攻擊者濫用，資安風險升高</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0119- Fortinet-CVE-2025-64155_Defused.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-%20Fortinet-CVE-2025-64155_Defused.png" style="width: 300px; float: right;" /></a></p> <p>1月13日Fortinet釋出安全更新，修補安全資訊與事件管理平臺FortiSIEM與網路電話（VoIP）解決方案FortiFone的多項產品漏洞，包含程式碼執行及洩露配置資訊的重大風險漏洞。其中影響FortiSIEM的重大漏洞CVE-2025-64155，傳出公布不久後已出現攻擊活動。</p> <p>資安廠商Defused於1月15日發現，該公司的蜜罐陷阱（honeypot）遭遇CVE-2025-64155的濫用，其中包括數家企業組織的IP位址，像是Baxet Group、Siamdata Communication、Contabo、China Mobile Communications Group、騰訊及中國電信IDC、中國聯通等公司。研究人員相信，由於CVE-2025-64155屬於作業系統命令注入漏洞，因此濫用程式的有效酬載可能包含第二層攻擊者基礎架構，或其他有價值的情報。</p> <p>另一資安業者Pwndefend根據Defused的資料，判斷攻擊者使用分散式網路，包括巴基斯坦、美國、泰國、中國、日本，以及保加利亞等多個IP位址，先偵察與濫用漏洞，並在1月16日後升高行動，轉向暴力破解、反向連線嘗試，以及企圖外洩資訊，並尋找後門，還進一步透過掃描指令建立持久存取管道。</p> <p><a href="https://www.ithome.com.tw/news/173418"><strong style="font-size: 22px;">四個AWS維護的公開儲存庫因建置觸發設定疏漏，一度險遭接管</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1768406761-image8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1768406761-image8.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Wiz研究團隊揭露名為CodeBreach的供應鏈風險，指出AWS管理的4個開源GitHub儲存庫，因專案層級的自動化建置觸發條件設定疏漏，存在外部人士可觸發建置並進一步取得儲存庫管理權限的可能性。</p> <p>AWS表示接獲通報後已完成修補並輪替相關憑證，檢視建置紀錄與CloudTrail稽核紀錄後未發現遭濫用，且不影響客戶環境與AWS服務，AWS也強調這是個別專案設定問題，並非CodeBuild服務本身漏洞。</p> <p>該風險主要來自這些儲存庫與AWS持續整合建置服務CodeBuild的觸發流程有關，研究人員解釋，開源專案常在有人提出拉取請求時自動測試與建置，但要是建置環境持有可寫入儲存庫或發布套件的高權限憑證，就必須避免不受信任的程式碼直接進入特權流程。</p> <p><a href="https://www.ithome.com.tw/news/173395"><strong style="font-size: 22px;">一度被誤判高風險，zlib漏洞CVE-2026-22184資安風險大轉彎</strong></a></p> <p>廣泛用於各類作業系統與應用程式的無失真資料壓縮函式庫zlib，日前被研究人員揭露資安漏洞CVE-2026-22184。該漏洞初期在風險評估尚未完整釐清時，其漏洞風險分數一度以CVSS v4.0標示為9.3分、屬於重大（Critical）風險；隨著技術細節確認，後續評估結果收斂，最新CVSS v4.0分數為4.6分、列為中度（Medium）風險。</p> <p>資安研究人員指出，CVE-2026-22184並非發生於zlib核心壓縮函式庫，而是位於contrib目錄下的示範工具untgz。該工具在處理命令列傳入的壓縮檔名稱時，未驗證長度即寫入固定大小的全域緩衝區，可能造成記憶體毀損或服務中斷（DoS）。</p> <p>該漏洞程式碼位於untgz工具的啟動流程中，會在任何壓縮檔內容解析前處理命令列參數，因此僅能在本機執行該工具、並傳入過長檔名參數時觸發。由於不涉及網路輸入或服務端請求，該漏洞不屬於可遠端利用的攻擊情境，其實際影響取決於untgz在系統中的使用方式。</p> <p><a href="https://www.ithome.com.tw/news/173394"><strong style="font-size: 22px;">微軟聯手執法單位打擊RedVDS網路犯罪訂閱服務，阻斷釣魚詐騙供應鏈</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RedVDS-33.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedVDS-33.png" style="width: 300px; float: right;" /></a></p> <p>微軟針對名為RedVDS的網路犯罪訂閱服務，先前已在美國提起民事法律行動，這次首度在英國同步採取法律行動。微軟表示，這次行動與德國執法單位及Europol等國際夥伴合作，已接管RedVDS市集與客戶入口的兩個網域名稱，並查扣關鍵惡意基礎設施，使RedVDS市集下線，進一步打斷支撐詐騙與釣魚攻擊的共享基礎設施。</p> <p>從2025年3月以來，相關活動在美國帶來約4,000萬美元的通報詐騙損失：阿拉巴馬州藥廠H2-Pharma因商務郵件詐騙損失超過730萬美元，佛州Gatehouse Dock公寓社區協會也遭詐騙近50萬美元。兩個受害組織已與微軟共同成為本案原告，透過民事途徑協助追查並壓制相關基礎設施。</p> <p>僅在一個月內，微軟就觀測到超過2,600臺不同的RedVDS虛擬機器，平均每天對微軟客戶寄送約100萬封釣魚郵件。微軟並稱，自2025年9月起，RedVDS相關攻擊已導致全球超過19萬個組織遭到入侵或被偽冒存取（Fraudulent Access）。</p> <p><a href="https://www.ithome.com.tw/news/173405"><strong style="font-size: 22px;">歐鐵票券營運公司被駭，外洩客戶個資及訂位資訊</strong></a></p> <p>經營歐鐵票券（Eurail Pass）的旅遊業者Eurail B.V.近日遭駭，致使客戶包括個資、訂位或護照等資料外洩。</p> <p>Eurail B.V.發布公告，指出該公司網路上數個系統發生資安問題，客戶資料遭未授權存取。初步調查顯示遭竊取的資料包含客戶訂單及預約資訊，像是基本身分和聯絡資訊。部分曾提供過護照資訊的客戶，其護照號碼、核發國家，以及到期日等也可能外洩。這家荷蘭業者表示，按照標準程序，公司不會儲存客戶護照的照片。</p> <p>本事件也影響參加DiscoverEU方案的用戶。該方案是歐盟推動的青年交流與旅行行動，滿18歲的年輕人有機會免費或以極低費用於歐洲各地旅遊。Eurail B.V.也通知DiscoverEU，外洩資料包含使用者姓名、出生日期與年齡、護照號碼或相片、電子郵件信箱、住宅地址、居住地、電話號碼、國際銀行帳戶號碼，以及健康資訊等。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181312&SPOKE_DATE=20260118&COMPANY_ID=1339"><strong style="font-size: 22px;">汽車零件業者昭輝遭網路攻擊，伺服器資料遭加密</strong></a></p> <p>汽車塑膠零組件龍頭廠商昭輝實業（1339）於昨（18）日晚間18時13分於股市公開觀測站發布重大訊息，指出公司部分資訊系統遭受不明駭客網路攻擊，導致部分伺服器資料被加密，部分系統暫時無法使用。昭輝表示，目前已全面啟動資安防禦與復原機制，初步評估對公司營運與個資安全無重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/lotuslite-backdoor-targets-us-policy.html">後門程式LotusLite鎖定美國政府機關而來，透過委內瑞拉議題為誘餌散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ciro-data-breach-last-year-exposed-info-on-750-000-canadian-investors/">加拿大投資監管組織證實資料外洩，75萬投資人受到影響</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/stealc-hackers-hacked-as-researchers-hijack-malware-control-panels/">竊資軟體StealC遭駭，研究人員透過跨站指令碼漏洞存取駭客的管理主控臺</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hackers-attack-ai-systems-fake-ollama-servers/">駭客利用假的Ollama伺服器發動逾9萬次攻擊，企圖偵察企業建置的AI系統</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/fake-malwarebytes-campaign-exploits-dll-sideloading-to-drop-infostealers/">駭客假借提供Malwarebytes端點防護工具為幌子，透過DLL側載植入竊資軟體</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173401"><strong>【1月16日】Palo Alto Networks修補能被用於停止防火牆運作的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173387"><strong>【1月15日】Node.js存在資安漏洞，恐波及React、Next.js、應用程式效能監控工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173352"><strong>【1月14日】微軟修補3個零時差漏洞，其中1個已出現攻擊行動</strong></a></p> </div></div></div>
1/19 18:00作者周峻佑https://www.ithome.com.tw/news/173440
jQuery發布近十年首個主要版本4.0.0，加入可信型別強化CSP相容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>jQuery團隊終於發布<a href="https://blog.jquery.com/2026/01/17/jquery-4-0-0/">jQuery 4.0.0正式版</a>，此為近十年來第一個主要版本更新，官方提醒jQuery 4.0.0包含破壞性變更，但預期多數使用者只需做少量調整即可完成升級，官方也準備了升級指南與jQuery Migrate對應版本，協助既有專案在過渡期間找出不相容用法並逐步修正。</p> <p>在jQuery 4.0.0正式版中，受資安與前端治理關注的更新是支援可信型別（Trusted Types）。也就是說，已用TrustedHTML包裝的HTML內容，可以作為jQuery操作DOM時的輸入，在啟用內容安全政策（CSP）並要求可信型別強制規則的情境下，較不會因型別不符而被瀏覽器阻擋。官方也提到，為了降低CSP對內嵌腳本限制帶來的相容性摩擦，多數非同步載入腳本的請求改以<script>標籤載入，盡量避開可能引發CSP錯誤的路徑。</p> <p>另一個對企業舊系統影響較直接的變更，是jQuery 4.0.0移除對IE 10與更舊版本的支援，並同步停止支援多款過時瀏覽器。官方將分階段限縮相容性範圍，下一步預計在jQuery 5.0處理IE 11相關支援，對仍需維持舊瀏覽器相容性的組織而言，官方建議維持使用jQuery 3.x系列。</p> <p>配合主要版本更新，jQuery 4.0.0清理多年累積的舊介面與相容性包袱，官方移除多個早已標示為廢棄的API，並鼓勵改用瀏覽器原生對應功能。同時也移除一部分原先僅供內部使用，卻因歷史因素留在公開函式介面上的參數與方法，官方指出，這些刪減加上移除舊IE相容程式碼，整體檔案體積也因此縮小。</p> <p>jQuery 4.0.0還帶來一項需要留意的改動，官方說明，jQuery 4.0支援的瀏覽器近年在focus與blur相關事件觸發順序的差異已大幅縮小，jQuery不再覆寫瀏覽器原生行為。多數現代瀏覽器因此會依照現行W3C規格的事件觸發順序運作，但仍需支援IE 11的專案可能會出現與其他瀏覽器不同的原生事件順序，開發者在升級時需要檢查互動流程是否仍符合預期。</p> <p>此外，jQuery 4.0.0更新slim版本。slim版本原本就不包含Ajax與部分動畫相關模組，4.0.0再進一步移除Deferred與Callbacks，讓精簡版檔案更小，官方表示，在其支援的瀏覽器範圍內，大多數情境可改用原生Promise完成相近用途。不過要是需支援IE11，則建議使用完整版本，或另行加入Promise polyfill以補足相容性。</p> </div></div></div>
1/19 16:22作者李建興https://www.ithome.com.tw/news/173432
OpenAI罕見揭露算力與營收，定義AI基礎設施商業模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI財務長Sarah Friar周日（1/18）發表〈讓商業規模與智慧價值同步成長〉（<a href="https://openai.com/index/a-business-that-scales-with-the-value-of-intelligence/" target="_blank">A business that scales with the value of intelligence</a>）一文，罕見對外公開公司算力規模與營收成長數據，並系統性說明其商業模式與擴張邏輯。對一家未上市公司而言，主動揭露如此具體的營運指標並不尋常，外界解讀，這代表OpenAI正刻意重塑市場對其定位的理解。</p> <p>Friar回顧ChatGPT最初以研究預覽形式推出，原意是觀察前沿AI直接交到使用者手中後的影響，但實際使用迅速擴散至學習、生活與工作場景，並深度嵌入工程、行銷、財務與管理流程，使其從好奇心導向的工具，轉變為日常生產力的關鍵基礎設施。</p> <p>在商業模式上，Friar反覆強調一項原則，即商業規模必須隨智慧所創造的價值同步擴張。她將消費者訂閱、企業與團隊方案、API用量計費，以及廣告與商務整合，統一納入同一價值邏輯之中，試圖化解外界對OpenAI「轉向商業化」的疑慮，改以「規模化發展的必然結果」加以詮釋。</p> <p>文章中最引發關注的，是Friar首度公開OpenAI近三年的算力與營收數據。她指出，OpenAI可用算力自2023年的0.2GW，成長至2024年的0.6GW，並於2025年達到約1.9GW；同期年化經常性收入從2023年的20億美元，成長至2024年的60億美元，並在2025年突破200億美元。Friar指出，營收的成長曲線與算力擴張同步，若能取得更多運算能力，客戶採用及變現速度將會更快。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Compute%20has%20scaled%20at%20roughly%203x%20per%20year%E2%80%A6.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>文中也透露，現階段算力才是AI能否持續擴張的關鍵限制因素，而非需求。她說運算是AI最稀缺的資源，OpenAI在3年前只仰賴單一的運算供應商，如今則轉向多供應商與多硬體類型布局，並將算力視為可主動管理的投資組合，以提升長期穩定性與成本效率。</p> <p>Friar指出，OpenAI的商業模式已形成完整閉環，從最初的訂閱制，發展為涵蓋消費者與團隊訂閱、由廣告與商務支撐的免費層，以及與實際工作負載綁定的用量型API。她也提到，隨著AI進入科學研究、藥物研發、能源與金融建模等領域，授權與成果導向定價等新型經濟模式將逐步出現。</p> <p>隨著OpenAI逐步朝AI基礎設施角色靠攏，外界普遍認為，這篇文章不只是營運說明，而是透過系統性說明算力、營收與商業模式之間的關係，提前定錨市場對其發展路徑的理解，為後續在算力投資、商業變現，以及醫療、科學與企業等高度監管領域的擴張而鋪路。</p> </div></div></div>
1/19 16:40作者陳曉莉https://www.ithome.com.tw/news/173438
部分支援Google快速配對藍牙耳機與喇叭存在WhisperPair漏洞，10秒內即可遭接管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>比利時魯汶大學KU Leuven旗下資安研究團隊COSIC揭露一個名為<a href="https://whisperpair.eu/">WhisperPair</a>的漏洞，指出多款支援Google快速配對（Fast Pair）的藍牙耳機與喇叭，因配件端實作不完整，可能在使用者未同意下被鄰近攻擊者強制配對接管。研究團隊並點出影響範圍可能達數億用戶，且牽涉多家供應商與不同晶片組。</p> <p>研究團隊指出，攻擊者只要在合理的藍牙距離內，就可能在數秒內完成接管。測試中位數約10秒，最遠測到14公尺，被接管後不只可能遭到插入或干擾音訊，攻擊者也可能利用配件麥克風收音，增加通勤通話或辦公室線上會議等情境的隱私外洩風險。</p> <p>WhisperPair漏洞成因是快速配對流程中的狀態檢查，沒有被配件端確實把關。研究團隊說明，依快速配對規範，當發起端裝置送出啟動快速配對的訊息時，配件要是不在配對模式，理應忽略這類訊息，但不少裝置未落實該狀態檢查，導致未授權裝置仍可啟動快速配對流程，後續再以一般藍牙配對完成綁定。</p> <p>另外，要是配件支援Google尋找中心（Find Hub）網路，且該配件從未與Android裝置完成配對，攻擊者可能把配件加入自己的Google帳號，利用群眾回報的定位資訊追蹤配件所在。研究團隊指出，要是攻擊者得以利用尋找中心網路進行追蹤，受害者可能要在數小時甚至數天後，才在手機上看到相關提醒，且提醒內容可能顯示為受害者自己的配件，導致使用者誤判為正常提示而忽略，因而延後處置時機。</p> <p>WhisperPair的問題在藍牙配件端而非手機端，因此即使是iPhone使用者，只要搭配受影響的音訊配件，同樣可能面臨被強制配對接管的風險。研究團隊也指出，即使在部分Android手機上可關閉快速配對的掃描或提示，仍無法完全解決，關鍵仍在配件韌體是否取得更新。</p> <p>COSIC已在2025年8月向Google通報，該議題以CVE-2025-36911編號追蹤。研究團隊表示，部分產品已釋出修補更新，但仍可能存在尚未更新的機型，因此呼籲使用者向配件廠商確認韌體更新供應狀態。</p> </div></div></div>
1/19 17:00作者李建興https://www.ithome.com.tw/news/173433
惡意Chrome延伸套件鎖定人資及ERP系統用戶而來，企圖挾持憑證與帳號存取權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期透過瀏覽器延伸套件散布惡意程式的情況越來越氾濫，攻擊者開始鎖定特定的族群和資料，例如，資安公司Koi Security揭露<strong><a href="https://www.ithome.com.tw/news/173220">中國駭客DarkSpectre的攻擊行動Zoom Stealer</a></strong>，就是打算挾持視訊會議的內容並收集情報，如今也出現針對特定企業應用系統用戶的情況。</p> <p>資安公司Socket<strong><a href="https://socket.dev/blog/5-malicious-chrome-extensions-enable-session-hijacking">揭露5款有問題的Chrome延伸套件</a></strong>，攻擊者針對使用企業人力資源（HR）與ERP系統的員工而來，這些平臺包括：Workday、NetSuite，以及SuccessFactors，駭客宣稱能藉此簡化多帳號管理或加速工作流程，吸引超過2,300名用戶安裝，不過實際上，攻擊者的最終目的，就是要挾持上述企業應用系統的帳號權限。5款惡意套件功能有所不同，部分用於竊取資料，部分用於防範資安人員或系統攔截。對此，Socket已向Google進行通報，並呼籲相關用戶及企業IT人員，應採取行動因應。</p> <p>針對這次發現的惡意套件，Socket指出涵蓋3種截然不同的攻擊型態，包括向遠端伺服器洩露Cookie、操控DOM封鎖安全管理網頁，以及採用雙向Cookie注入手法，從而達到直接挾持連線階段（Session Hijacking）的目的。</p> <p>這5款套件危害面向有所不同，其中，DataByCloud Access v1.6專門負責截取並傳送身分驗證Cookie；Tool Access 11 v1.4可阻斷Workday內約44個安全管理頁面，涵蓋身分驗證管理、安全政策設定、IP位址範圍管理，以及連線階段控制介面；Data By Cloud 2 v3.3擴大Tool Access 11的阻斷範圍，達到56個安全管理網頁，其中包括密碼變更及雙因素驗證（2FA）管理頁面。</p> <p>第4個惡意套件Data By Cloud 1 v3.2，攻擊者複製了DataByCloud Access的竊取Cookie機制，並加入特定程式庫來防止企業透過瀏覽器開發者工具檢查。最後一個套件Software Access v1.4實作了Cookie竊取及雙向操作機制，便於竊取憑證的同時，也一併接收遭竊的Cookie，然後注入瀏覽器，目的是挾持連線階段，而且，攻擊者也加入密碼欄位保護機制，防止使用者檢查輸入的憑證內容。</p> <p>值得留意的是，攻擊者為了延長惡意延伸套件於受害電腦的存活時間，在裡面設置多種自我防護機制。它們會檢查用戶是否安裝23種特定的安全或開發工具（如EditThisCookie、Redux DevTools），並向攻擊者回報。此外，部分擴充功能使用了DisableDevtool程式庫，一旦偵測到用戶開啟瀏覽器開發者工具，就會自動關閉或干擾分析。</p> </div></div></div>
1/19 15:49作者周峻佑https://www.ithome.com.tw/news/173435
【資安週報】0112~0116，CrazyHunter備用攻擊工具曝光，可植入停用防毒軟體運作的惡意執行檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2026年1月第二個星期的資安新聞中，漏洞消息方面，這一星期多家IT、OT業者發布每月例行安全更新，企業需儘速盤點並完成修補，其中微軟修補3個零時差漏洞受矚目，其中1個已被用於實際攻擊的是Windows資訊洩漏漏洞CVE-2026-20805，由微軟威脅情資中心與MSRC發現，目前尚未確認攻擊者身分，另還修補2個先前已公開的零時差漏洞（CVE-2026-21265，以及CVE-2023-31096）。</p> <p>在資安事故方面，國內有兩家上市櫃公司發布資安相關重訊，我們特別關注的是，公司官方網站委外代管廠商遭受DDoS的態勢，半個月前電源廠飛宏重訊揭露此狀況，如今化工業磐亞也面臨此事件，可能突顯出國內主機託管商近期面臨的狀況。</p> <p>●上市公司台產於1月10日發布重大訊息，說明公司網路遭遇異常攻擊事件，只是目前揭露資訊相對有限，無法判斷遭受何類型攻擊。<br /> ●上櫃公司磐亞於1月14日發布重大訊息，指出公司對外官方網站代管服務遭受網路DDoS攻擊，已通知委外代管廠商應變。<br /> ●美國Verizon服務中斷數小時，不僅行動通話、簡訊與行動數據，消防與政府緊急通報系統亦受影響，再次突顯大型行動網路中斷對公共安全的潛在風險。<br /> ●歐鐵通行證Eurail Pass荷蘭營運商Eurail B.V.揭露資料外洩事故，旅客個資、訂位或護照等資料遭未經授權存取，並表示已依照GDPR向資料保護機關通報。<br /> ●法律顧問公司Fried Frank的資安事件的後續影響持續浮現，繼高盛傳出投資基金投資人個資外洩後，摩根大通通報也因此事發生個資外洩。</p> <p>在威脅態勢揭露方面，勒索軟體駭客CrazyHunter躍為這一星期熱門焦點，去年4月調查局已揭露主嫌是中國籍駭客，趨勢科技亦揭露作案手法，近日資安公司Trellix公布新的發現，指出這些駭客為了增加作案成功機率，還規畫了備用攻擊工具，指出一旦主要的go.exe惡意程式無法執行，便改由ru.bat在受害電腦植入av‑1m.exe，以停用或干擾防毒軟體的運作。</p> <p>其他重要威脅包括：南亞電信產業遭中國APT組織UAT-7290鎖定，思科Talos揭露該組織利用RushDrop、DriveSwitch與SilentRaid進行初始入侵與間諜活動，並公布多項IoC；資安公司Endor Labs發現攻擊者試圖入侵n8n社群節點，透過偽裝成Google Ads整合工具的惡意NPM套件誘騙使用者輸入OAuth憑證，並在流程執行時將憑證回傳至攻擊者主機；此外，中國駭客濫用VMware在2025年3月修補的ESXi漏洞，資安公司Huntress指出其使用的攻擊工具可能在2024年初就已製作完成。</p> <p>在資安防禦動向方面，國內有2則重要消息，涵蓋衛福部主權雲政策公布，不同於隨著德、法、英、新加坡等主要國家的作法，未採全面國營或完全封閉模式，而是選擇以分級治理方式推動；臺灣FIRST國際組織成員從25個提升至31個，顯現參與國際資安協作的意願持續升溫。</p> <p>●臺灣衛福部公布主權雲政策與八大指導方針，強調分級使用，例如，低敏感資料可存放至商業公有雲，病歷、基因及傳染病監測等高度敏感資料，則須存放於主權雲或政府專屬雲。相關方針涵蓋：加密與金鑰自主、資料用途限制、不可逆刪除、數據在地化、維運人員主權、法律優先、數位韌性與雙活架構，以及透明化稽核。<br /> ●2025有6家企業加入FIRST國際資安應變組織，不僅資安專業領域新增來毅數位科技、數聯資安、元盾資安，更引起我們關注的是，2025年有更多類型的公司加入，包括合勤科技，元大證券、一零四資訊科技。</p> <p>放眼國際，亦有身分安全與配置錯誤預防的重要趨勢發展，例如：身分安全新創SGNL被CrowdStrike併購，雙方指出傳統IAM（PAM、IGA）成過去式，SGNL推動的身分即時授權與Zero Standing Privileges架構將整合至CrowdStrike Falcon，聚焦AI代理人與機器身分，讓企業身分管理邁向即時授權；Google Mandiant開源一款Salesforce配置錯誤檢查工具「AuraInspector」，Salesforce體驗雲用戶可透過這套工具，偵測Salesforce Aura框架內的存取控制配置錯誤，辨識和稽核相關配置問題，防範資料外洩。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/173295"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月12日】趨勢修補旗下集中管理平臺Apex Central重大層級漏洞</span></strong></a></h3> <p>上週趨勢科技發布資安公告引起許多資安媒體報導，原因是本次修補了重大層級的LoadLibraryEX元件漏洞CVE-2025-69258，若不處理，攻擊者可在未經身分驗證的情況下，取得SYSTEM權限，在集中管理平臺Apex Central執行任何程式碼</p> <h3><a href="https://www.ithome.com.tw/news/173329"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月13日】VMware ESXi零時差漏洞恐在兩年前就遭到利用</span></strong></a></h3> <p>針對去年3月VMware揭虛擬化平臺ESXi的零時差漏洞CVE-2025-22224、CVE-2025-22225，以及CVE-2025-22226，近期有資安業者於攻擊活動看到漏洞利用工具包，研判駭客已在2024年初就掌握這些漏洞並加以利用</p> <h3><a href="https://www.ithome.com.tw/news/173352"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月14日】微軟修補3個零時差漏洞，其中1個已出現攻擊行動</span></strong></a></h3> <p>本週二有許多軟體業者發布1月份例行更新，其中最受到關注的部分，是微軟公布的資安漏洞，其中有桌面視窗管理員（Desktop Window Manager，DWM）漏洞CVE-2026-20805已遭到利用，成為各界的焦點</p> <h3><a href="https://www.ithome.com.tw/news/173387"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月15日】Node.js存在資安漏洞，恐波及React、Next.js、應用程式效能監控工具</span></strong></a></h3> <p>在本週二有許多廠商發布1月例行更新之外，也有許多資安公告相當值得留意，其中一個是Node.js近期發布的更新，若不處理，相關漏洞有可能波及React或Next.js應用程式伺服器，以及應用程式效能監控工具（APM）</p> <h3><a href="https://www.ithome.com.tw/news/173401"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月16日】Palo Alto Networks修補能被用於停止防火牆運作的資安漏洞</span></strong></a></h3> <p>本週Palo Alto Networks發布資安公告，修補高風險的防火牆資安漏洞CVE-2026-0227引起外界關注，若是防火牆或Prisma Access啟用了GlobalProtect功能，就有可能曝險</p> <p> </p> </div></div></div>
1/19 10:22作者羅正漢https://www.ithome.com.tw/news/173426
【從護理文書減壓開始，小醫院也能走出自己的GenAI落地方法】阮綜合揭自助式AI摘要生成和FHIR癌藥事審
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「我們其實很缺護理人力！」阮綜合醫院資訊室主任陳保慶直言，這幾年全臺醫護人力吃緊，就連地方型的小醫院也難以倖免，不只影響醫療業務運作，也衝擊病人照護品質。</p> <p>更大的問題在於，護理師有限的時間，還被大量文書工作占據。陳保慶指出，護理人員平均將近三分之一的工時，都花在電腦上填寫各式護理紀錄，經常因此延後下班，工作壓力越來越大。</p> <p>為了替這群愈來愈稀缺的護理人員減壓，阮綜合醫院院長陳鴻曜在2024年6月拍板，啟動一項院級生成式AI（GenAI）計畫，鎖定流程重複、格式繁瑣的護理行政作業下手。這項計畫催生後來的「護理AI五部曲」，涵蓋從入院到出院最常見的5類護理紀錄，包括入院護理記錄、敘述性護理記錄、交班護理記錄、單位間交班記錄與出院護理記錄，明顯縮短護理師逐字謄打的時間。實際導入後，白班護理師平均每天可節省約30分鐘到1小時的工時。</p> <h2><strong>GenAI應用瓶頸1：開發流程</strong></h2> <p>身為高雄在地小醫院，阮綜合如何擁抱GenAI？</p> <p>陳保慶回憶，2024年6月接下這項任務後，團隊決定先自行開發，由資訊室以C#打造護理專用的GenAI程式，並串接OpenAI的ChatGPT API，直到9月完成第一支「入院護理記錄」AI程式。</p> <p>但在開發過程中，他們很快發現，生成式AI不能照傳統AI系統的開發流程來做。一般AI專案，會依序經歷需求提出、需求分析與資料準備、系統設計與模型選擇、測試驗證，最後才正式上線，而這些階段幾乎都需要資訊室全程投入。</p> <p>問題是，「我們不只護理人力有限，IT人力也一樣有限。」陳保慶坦言，連IT組長都得親自下場寫程式。反覆測試、修正提示詞（Prompt），還要來回和醫護單位溝通需求，時間一久，開發負擔快速累積，成了實際的瓶頸。</p> <p>為了減輕資訊室壓力，團隊改變做法，引進開源的無程式碼／低程式碼AI測試平臺，讓使用者先用假資料自行測試模型與提示詞的可行性，確認效果符合需求後，再交由IT團隊進行正式系統開發。</p> <p>從此，阮綜合的GenAI開發模式也跟著定調：前段由使用者自行完成需求釐清、資料準備、模型選擇與驗證，後段再由資訊室負責系統設計、程式開發與上線。護理AI五部曲，正是在這樣的模式下逐步完成，後續也持續擴充。</p> <h2><strong>GenAI應用瓶頸2：管理模式</strong></h2> <p>開發流程順了之後，新的問題接著浮現——管理。</p> <p>隨著AI功能愈來愈多，原本以C#元件、每支程式各自串接雲端服務的分散式架構，開始出現明顯負擔。像是Token控管、資安驗證都得重複處理，每個功能的提示詞又直接寫死在程式碼中，既不利於重用，也難以進行版本管理。</p> <p>「我們需要一個像入口網站一樣的AI平臺，來集中管理所有AI功能，避免一直重複造輪子。」陳保慶說。</p> <p>因此，團隊在2024年12月調整策略，找來外部廠商協助，將原本的AI 1.0分散架構，轉為集中式平臺管理。他們導入微軟的Azure OpenAI服務，並搭配digiRunner API Gateway，建立統一的AI應用入口與治理架構。</p> <p>這樣一來，AI模型管理、Token控管、連線驗證等重複性高的安全機制，都交由API Gateway處理，資訊室則能把心力放在提示設計與功能開發上。</p> <p>在平臺架構上，digiRunner採用Web UI與後端API分離的鬆耦合設計，提供單一入口、身分認證、權限控管與日誌紀錄等功能。相較過去的分散式元件，新架構讓不同應用能共用後端AI服務，也更容易導入提示治理與版本控管。既有的護理GenAI程式，也在此階段一併搬遷到新平臺上，並持續新增功能。</p> <h2><strong>兩大GenAI亮點：醫師專用摘要和FHIR癌藥審查</strong></h2> <p>在設計這套AI平臺時，團隊一開始就鎖定三個重點。</p> <p>第一是流程設計，所有模組的UI操作邏輯都要一致、直覺，讓醫師或護理人員不用每用一個新功能就重新學習；對工程端來說，也能降低維護複雜度。第二是整合單一登入與資安機制，避免使用者在不同AI功能之間反覆登入，影響使用意願。</p> <p>至於資料介接，考量院內醫療資訊系統（HIS）、護理資訊系統（NIS）等在初期尚未與AI平臺完全整合，團隊採取「先讓功能跑起來」的策略，透過複製貼上的方式使用AI產出的翻譯或摘要內容，先降低開發門檻與系統整合的複雜度。</p> <p>在應用層面，智能搜尋魔板是最具代表性的亮點之一。這項功能專為醫師設計，整合多達15種常見病歷資料來源，例如不同時間範圍的住院病摘、檢驗報告、病理報告與醫師交班紀錄等，讓醫師自行勾選需要的資料，再搭配自訂提示詞，或從提示庫中選擇既有提示，產出符合個人需求的摘要內容。若某組提示效果特別好，也能回存到提示庫，供其他醫師使用。</p> <p>陳保慶形容，相較於護理GenAI應用多半把提示詞寫死在程式裡，醫師的GenAI應用更像是「無菜單料理」，必須提供足夠彈性，讓醫師依需求自行組合資料與提示，產出客製化的摘要結果。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%98%AE%E7%B6%9C%E5%90%881.png" /></p> <p>阮綜合醫院開發一款智能搜尋魔板，彙整了患者住院的15種病歷單張，供醫師選擇資料和區間，再透過提示產出摘要。</p>  </blockquote> <p>另一項關鍵應用，則是FHIR癌藥事前審查格式轉換。這項作法呼應健保署近年積極推動的FHIR政策。FHIR不僅是國際通行的醫療資料交換標準，也是政府鼓勵醫院導入的重要方向，而癌藥事前審查正是其中一項具體實作場域。</p> <p>陳保慶說明，過去的癌藥事審多半由醫師填寫，大約只需完成15個欄位與摘要，其餘資料則以PDF附件上傳；但改為FHIR格式後，醫院必須將資料全面結構化，填寫多達106個欄位，且需對應ICD-10（國際疾病分類代碼）、LOINC（檢驗檢查代碼）、SNOMED CT（臨床術語代碼）等國際標準代碼，對人力有限的小醫院來說負擔相當沉重。</p> <p>因此，阮綜合決定導入GenAI來協助這項工作，先根據既有病歷資料，推薦最合適的標準代碼；接著，再套用臺灣FHIR核心實作指引（IG）範本，請 AI 協助產生病歷資料對應範本的轉換程式，實作完整的FHIR癌藥事審流程。</p> <p>陳保慶指出，這套作法已在院內驗證可行，最大價值在於，在IT人力有限、對FHIR還不夠熟悉的情況下，能透過AI協助「理解怎麼做」，並引導資訊人員完成轉換任務。</p> <p>以初期應用為例，醫師可在AI平臺的癌藥事審模組中，透過病歷號搜尋患者資料，系統再依放射治療相關資訊推薦標準代碼。使用者完成必要編修後，即可轉換為FHIR格式並上傳至健保署。這項癌藥事審FHIR轉換功能，最初僅支援放射治療項目；但隨著功能持續擴充，到了2025年底，FHIR轉換已涵蓋更多資料範圍，已完整實作且以FHIR上傳送件了。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%98%AE%E7%B6%9C%E5%90%882.png" /></p> <p>阮綜合醫院也運用GenAI開發FHIR癌藥事審格式轉換功能，目前針對放射報告資料，可推薦合適的國際代碼、進行FHIR格式轉換。</p>  </blockquote> <h2><strong>下一步要擴大應用範圍</strong></h2> <p>陳保慶指出，至2025年下半年，AI智能搜尋魔板以住院巡房資料為基礎，因此，應用範圍只限於病人住院當下。如果要進行跨門診、住院或長期追蹤的資料摘要，就會有所限制。於是，他們正思考可拉大資料區間的醫療單張優化設計。</p> <p>除此之外，阮綜合團隊還在設計院內RAG知識庫，比如針對護理新進人員設計問答知識庫，來幫助新人迅速上手、減低工作壓力。但陳保慶透露，要建置這個知識庫，需要機器易懂的檔案類型和格式，比如QA形式的PDF或Markdown檔案，且需切分恰當的文字段落，才能提高準確率，這也是他們正在努力的方向。</p> <h2><strong>小醫院的FHIR政策觀點</strong></h2> <p>談到FHIR政策，陳保慶坦言，對地方型小醫院來說，確實是一大挑戰。資訊室成了政策對接窗口，還得跨部門協作、兼顧原本業務，加上FHIR與各類編碼的學習門檻高，都需要時間與誘因。不過他也直言，醫院走向FHIR國際標準是大勢所趨，若政府直接要求醫院改以FHIR格式申報健保資料，會比推動FHIR癌藥事審更強而有力，醫院也會傾盡全力配合，IT阻力也會降低許多。</p> <p></p> </div></div></div>
1/19 13:10作者王若樸https://www.ithome.com.tw/news/173431
Threads的每日行動用戶數已超越X
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="http://techcrunch.com/2026/01/18/threads-edges-out-x-in-daily-mobile-users-new-data-shows/" target="_blank">TechCrunch</a>近日引用網站流量分析平臺Similarweb的數據指出，Threads的每日行動用戶數已超越X。</p> <p>Threads是Meta在2023年推出的文字社群服務，整合Instagram帳號，自2025年快速擴張其行動用量。而馬斯克（Elon Musk）在2022年買下Twitter，並將其更名為X，並陸續因裁員、內容脫序及付費驗證等事件引起用戶反感，最近的一次爭議是整合於X的聊天機器人Grok允許用戶生成基於真實人物照片或名稱的裸照，不僅惹來美、英等國的調查，更讓印尼與馬來西亞政府出手暫時封鎖了X。</p> <p>除了TechCrunch的報導之外，上周<a href="https://www.ithome.com.tw/news/173091" target="_blank">Meta剛買下</a>的AI代理人開發商Manus宣布<a href="https://x.com/ManusAI/status/2011061406146187561" target="_blank">與Similarweb合作</a>，透過Manus所查詢的<a href="https://xvsthreads-ghysvwhm.manus.space/" target="_blank">Similarweb資料顯示</a>，X在2026年1月的每月活躍用戶數為5.61億，比去年同期下滑8.3%，Threads的每月用戶數則是3.2億，成長了156%。</p> <p>儘管X的每月用戶數還是凌駕Threads，但Threads現在的每日行動用戶數為1.415億，已超越X的1.25億，而且其實Threads的每日行動用戶數早在2025年9月就超越了X。</p> <p>Similarweb也分析，X保持龐大用戶基數，桌面用戶黏度高，但主要為男性及年長用戶且成長停滯；反觀Threads不僅在行動端每日用戶已超越X，用戶性別比例也較均衡，為2025年成長最快的社群媒體應用。</p> </div></div></div>
1/19 12:30作者陳曉莉https://www.ithome.com.tw/news/173430
受英國零售巨擘Tesco官司影響，Dell傳評估向VMware求償逾1,000萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theregister.com/2026/01/15/dell_vmware_claim_tesco_case/" target="_blank">The Register上周報導</a>，由於VMware不再提供英國零售巨擘Tesco相關支援服務，使電腦硬體龍頭Dell連帶成為被告對象，Dell因此主張，若相關訴訟結果對其不利，將保留向VMware求償、金額超過1,000萬英鎊的權利。</p> <p>事發原因肇始於，去年9月Tesco控告VMware新東家博通（Broadcom）與VMware經銷商Computacenter，指控其未履行一項合約，該合約允許這家英國超市龍頭以預定價格取得軟體及持續軟體支援服務，向三家公司求償1億英鎊。</p> <p>博通在2023年底<a href="https://www.ithome.com.tw/news/160441" target="_blank">收購VMware</a>後，就對產品和服務做了重大變革，包括取消買斷式授權、並且取消多種產品品項，要求客戶購買套件方案VMware Cloud Foundation、<a href="https://www.ithome.com.tw/news/168141" target="_blank">以及提高</a>採購CPU核心數門檻，引發許多客戶抱怨費用大漲。</p> <p>在Tesco提告後一個月，<a href="https://www.theregister.com/2025/10/28/tesco_vs_broadcom_vmware_update/" target="_blank">The Register報導</a>，Computacenter分別向Dell及VMware/博通提告。其中Dell被告原因是，Computacenter作為經銷商，是向代理商Dell出貨取得VMware軟體授權來銷售給終端客戶，包括Tesco。然而Dell及VMware/博通兩家公司皆不願履行提供軟體服務的合約義務。Dell表示，VMware/博通現行政策使其無法履行合約。</p> <p>上周的官司則是由Dell向VMware英國及全球總公司（美國伊利諾伊州）提出索賠。The Register引述<a href="https://www.theregister.com/2025/10/28/tesco_vs_broadcom_vmware_update/" target="_blank">法院文件</a>報導Dell指稱VMware英國及VMware IL有義務提供某些商品與服務，然而他們並違反了履行義務。因此Dell計畫可能向VMware索取損害賠償、特定履約、利息及等法院認為適當的其他救濟。Dell聲稱，預期可收取超過1,000萬英鎊。</p> <p>但Dell也表示，只有在Computacenter的官司持續向不利Dell方向進行時，才會向VMware尋求上述要求。</p> <p><span style="color:#B22222;"><strong>合約責任歸屬，各方說法不同</strong></span></p> <p>Computacenter的理由是，該公司於2021年曾獲得Dell關於2項產品（VMware的Tanzu Basic與Tanzu Mission Control）的報價。報價涵蓋五年期，並包含額外四年的支援服務期限。它認為，原廠VMware當時必然已同意這項合約，而且Dell作為代理商，也具有提供VMware軟體的義務。然而VMware/博通及Dell都拒絕提供VMware軟體。</p> <p>VMware/博通的態度是，這些解決方案及相關支援都已屆生命周期終點，無法販售。Dell的說法則是，其義務的履行前提是VMware仍願意提供產品和服務，且Dell獲得VMware許可持續以授權代理商行事。</p> <p>然而兩家IT巨擘關係應該相當良好。Dell和博通2024年6月<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2024~06~dell-technologies-and-broadcom-extend-commitment-to-serving-customers-and-partners-with-broad-jointly-engineered-hyperconverged-solutions-portfolio.htm#/filter-on/Country:en-us" target="_blank">發布共同聲明</a>，指出達成新協議，繼續提供結合Dell領先基礎架構組合與VMware雲端基礎架構軟體的解決方案，來服務客戶和合作夥伴。</p> <p>VMware的收購為博通創造亮麗營收。該公司<a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-inc-announces-fourth-quarter-and-fiscal-year-2025" target="_blank">2025年第4季營收</a>180億美元，其中包含VMware在內的基礎架構軟體創造69億美元，年成長19%。</p> </div></div></div>
1/19 12:02作者林妍溱https://www.ithome.com.tw/news/173429
OpenAI低價方案ChatGPT Go擴大至全球，臺灣可用，未來可能包含廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年10月宣布亞洲的推出計畫後，<a href="https://help.openai.com/en/articles/11989085-what-is-chatgpt-go" target="_blank">OpenAI上周宣布</a>ChatGPT低價版ChatGPT Go於全球上線。而低成本可能會以廣告為代價。</p> <p>經過這次全球上線，臺灣用戶也多了這項方案選擇。<a href="https://chatgpt.com/zh-Hant/plans/go/" target="_blank">根據臺灣官網</a>，新服務為每月290元臺幣。</p> <p>ChatGPT Go是在現行Team、Pro及Enterprise以下推出的低成本訂閱方案（英文版官網費用為每月8美元。它在免費版ChatGPT功能（例如少量使用ChatGPT 5、圖片生成及檔案上傳、基本資料分析功能）以外提供再額外功能。包含使用GPT-5 Auto幫助寫作、優於免費版的圖片生成、檔案上傳及進階資料分析。</p> <p>但OpenAI同時也表示，未來可能開始在ChatGPT Go測試廣告。</p> <p>有趣的是，<a href="https://chatgpt.com/zh-Hant/plans/go/" target="_blank">根據英文版官網</a>，ChatGPT Go可支援無限制存取GPT-5.2 Instant模型（不過OpenAI有防止濫用的護欄機制），可使用Python探索資料，也具有更長久的記憶可支援個人化回應。英文版ChatGPT Go雖然無法使用API，但還包含可存取專案、任務和自訂GPTs，以便組織工作、追蹤進度，或建立或編輯客製化GPTs。</p> <p>臺灣ChatGPT Go則明確表示，更大的記憶和上下文長度、專案、任務和自訂GPT、有限存取Sora 1影片生成功能及Codex智慧體，都屬於ChatGPT Plus的服務內容。</p> <p>先前OpenAI曾表示，ChatGPT Go不提供4o等舊式模型、Sora，也不提供連接器（connector）連結外部應用或資料源。但在最新英文版官方聲明頁中並未包含這些資訊。</p> <p>在此之前，ChatGPT Go先後於8月及9月在印度和印尼推出。10月則擴及馬爾地夫、泰國、馬來西亞、菲律賓、越南、阿富汗等東南亞、南亞和中東國家。</p> </div></div></div>
1/19 10:47作者林妍溱https://www.ithome.com.tw/news/173427
MongoDB擴充向量檢索工具鏈，Atlas提供Voyage模型API並新增自動生成嵌入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>NoSQL資料庫管理系統MongoDB<a href="https://investors.mongodb.com/news-releases/news-release-details/mongodb-sets-new-standard-retrieval-accuracy-voyage-4-models">宣布</a>，將旗下Voyage AI的嵌入與重排序模型整合到自家資料平臺，並在MongoDB Atlas提供嵌入與重排序模型API，同時推出自動生成嵌入功能。MongoDB表示，企業不必搬移或複製資料，即可把以檢索增強生成為主的AI應用更快推進到正式環境，並降低因元件分散與工作管線增加所帶來的維運成本與風險。</p> <p>這次更新也把Voyage的一系列嵌入模型納入MongoDB的嵌入與檢索模型套件，並以API形式在Atlas提供。MongoDB說明，目標是提升檢索取得正確脈絡的穩定性，降低生成式模型在正式環境中出現幻覺風險。</p> <p>MongoDB還指出，不少團隊在概念驗證階段可以快速完成原型，但一旦進入上線階段，往往必須同時維護營運資料庫、向量儲存與外部模型服務，並處理資料同步與存取延遲等問題。當流程拆成多個環節，系統的故障點與營運負擔也會隨之增加，而MongoDB這次更新，是把向量檢索所需的嵌入生成與重排序能力，盡量整合到同一套資料平臺，以減少外部元件與額外管線。</p> <p>MongoDB針對向量搜尋推出自動生成嵌入功能，在資料寫入或更新時自動產生並保存嵌入向量，讓向量能隨資料變動保持一致，並減少另外維護嵌入管線的需求。該功能目前以公開預覽形式提供給MongoDB Community Vector Search，Atlas版本則規畫後續推出。</p> <p>在雲端服務方面，MongoDB於Atlas提供嵌入與重排序的模型API，讓開發者可在Atlas內以API直接呼叫Voyage AI模型。對以RAG為基礎的企業搜尋、文件助理或客服問答等情境，該API可把模型呼叫與資料存取的路徑集中在同一平臺內，降低外掛服務與同步流程帶來的負擔。</p> <p>官方還公布Voyage 4系列嵌入模型，涵蓋通用、高精準度、低延遲與成本取向，以及可在本地或裝置端使用的開放權重版本。另有多模態嵌入模型voyage-multimodal-3.5，支援文字、圖片以及影片，目標是協助用戶從投影片、PDF與圖表等混合內容擷取語意特徵，降低複雜文件解析流程可能對檢索品質造成的影響。</p> </div></div></div>
1/19 09:40作者李建興https://www.ithome.com.tw/news/173423
Fortinet FortiSIEM漏洞CVE-2025-64155已被攻擊者濫用，資安風險升高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安廠商發現，Fortinet才剛修補的FortiSIEM重大漏洞已經發生濫用活動。</p> <p>CVE-2025-64155是存在Fortinet安全控管平臺FortiSIEM的OS指令特別元素中和不當（improper neutralization）漏洞，可讓未經驗證的攻擊者傳送變造的TCP請求，以在受害裝置上執行非授權程式或指令。本漏洞CVSS風險值為9.4。<a href="https://www.ithome.com.tw/news/173374" target="_blank">Fortinet已釋出更新版本</a>，廠商呼籲7.1到7.4版用戶升級到最新版。而6.7和7.0版已經過了產品生命週期（EoL），Fortinet建議用戶升級。</p> <p>在Fortinet發布安全公告後兩天，資安廠商<a href="https://x.com/DefusedCyber/status/2011825776744595960" target="_blank">Defused發現</a>，該公司的蜜罐（honeypot）遭遇CVE-2025-64155的濫用。</p> <p><a href="http://x.com/DefusedCyber/status/2011825776744595960" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-%20Fortinet-CVE-2025-64155_Defused.png" style="width: 500px;" /></a></p> <p>研究人員在其蜜罐（honeypots）中觀察到一些與CVE-2025-64155漏洞利用行為相關的指標，包括數家企業組織的IP位址。像是Baxet Group、Siamdata Communication、Contabo、China Mobile Communications Group、騰訊及中國電信IDC、中國聯通等公司。研究人員相信，由於本漏洞為一注入漏洞，因此濫用程式的酬載可能包含第二層攻擊者基礎架構或其他有價值的情報。</p> <p>另一資安業者<a href="https://www.pwndefend.com/2026/01/16/fortisiem-cve-2025-64155-exploitation-analysis/" target="_blank">Pwndefend</a>根據Defused的資料，判斷攻擊者使用分散式網路，包括巴基斯坦、美國、泰國、中國、日本、保加利亞等多個IP位址，先偵察、濫用漏洞，並在1月16日後升高行動，轉向暴力破解目錄、反向連線嘗試、企圖外洩資訊並尋找後門，還進一步透過掃描指令建立持久存取管道。目前沒有確切指向特定已知犯罪集團，但上述手法常見於販售存取憑證、或勒索軟體攻擊前置活動。</p> <p><a href="http://www.pwndefend.com/2026/01/16/fortisiem-cve-2025-64155-exploitation-analysis/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-%20Fortinet-CVE-2025-64155_Pwndefend.png" style="width: 500px;" /></a></p> <p>發現並通報本漏洞的資安業者<a href="https://horizon3.ai/attack-research/disclosures/cve-2025-64155-three-years-of-remotely-rooting-the-fortinet-fortisiem/" target="_blank">Horizon3.ai</a>則說明，漏洞出在FortiSIEM phMonitor服務數十個指令處理器曝露可被未經驗證的攻擊者遠端呼叫，注入引數而可以管理員權限執行程式碼。該公司並提供入侵指標（IOC），並建議管理員檢查/opt/phoenix/log/phoenix.logs的log行，遭到濫用者會有PHL_ERROR的字樣，並包含惡意程式下載的來源URL。</p> <p><a href="https://horizon3.ai/attack-research/disclosures/cve-2025-64155-three-years-of-remotely-rooting-the-fortinet-fortisiem/#:~:text=The%20logs%20in,of%20elastic_test_url.sh" target="_blank"><img alt="" src="https://horizon3.ai/wp-content/uploads/2026/01/image-21.png.webp" style="width: 600px;" /></a></p> </div></div></div>
1/19 10:00作者林妍溱https://www.ithome.com.tw/news/173425
四個AWS維護的公開儲存庫因建置觸發設定疏漏，一度可能遭接管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Wiz研究團隊<a href="https://www.wiz.io/blog/wiz-research-codebreach-vulnerability-aws-codebuild">揭露</a>名為CodeBreach的供應鏈風險，指出AWS管理的4個開源GitHub儲存庫，因專案層級的自動化建置觸發條件設定疏漏，存在外部人士可觸發建置並進一步取得儲存庫管理權限的可能性。</p> <p>AWS表示接獲通報後已完成修補並輪替相關憑證，檢視建置紀錄與CloudTrail稽核紀錄後未發現遭濫用，且不影響客戶環境與AWS服務，AWS也強調這是各專案設定問題，並非CodeBuild服務本身漏洞。</p> <p>該風險主要來自這些儲存庫與AWS持續整合建置服務CodeBuild的觸發流程有關，研究人員解釋，開源專案常在有人提出拉取請求時自動測試與建置，但要是建置環境持有可寫入儲存庫或發布套件的高權限憑證，就必須避免不受信任的程式碼直接進入特權流程。</p> <p>此次疏漏在於限制觸發者的webhook過濾規則，由於這些專案以ACTOR_ID條件建立允許名單，ACTOR_ID指的是GitHub使用者ID的數字而非帳號名稱。問題出在允許名單以正規表示式撰寫，卻缺少起始^與結尾$錨點，導致只要攻擊者取得一個包含既有維護者ID的較長新ID，就可能繞過比對並觸發原本僅開放維護者使用的特權建置流程。</p> <p>研究團隊也提到，部分CodeBuild專案曾開啟公開儀表板，外部人士可從建置頁面看到觸發條件與建置紀錄，使攻擊者更容易評估哪些專案存在風險。研究人員以AWS SDK for JavaScript v3的儲存庫aws/aws-sdk-js-v3為例指出，一旦攻擊者能觸發建置，就可能在建置環境中取得用於連線GitHub的存取權杖，並把權限擴大到儲存庫管理層級，進而推送程式碼或存取機密資訊。由於該SDK是大量專案相依的基礎函式庫，也是AWS管理控制臺使用的重要元件，供應鏈竄改疑慮因此被放大。</p> <p>除aws/aws-sdk-js-v3外，研究團隊也點名aws/aws-lc、corretto/amazon-corretto-crypto-provider，以及awslabs/open-data-registry皆曾呈現相同類型的觸發條件設定問題。AWS表示除修正被點名儲存庫的規則並撤銷相關存取權杖外，也已稽核其他公開建置環境，避免同類問題在AWS開源專案中擴散。</p> </div></div></div>
1/18 18:29作者李建興https://www.ithome.com.tw/news/173418
雲端主權不只資料落地，IBM推Sovereign Core強調運作期間治理與邊界內稽核
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>IBM發表新軟體基礎<a href="https://www.ibm.com/new/announcements/introducing-ibm-sovereign-core-a-new-software-foundation-for-sovereignty">IBM Sovereign Core</a>，主打雲端主權與AI工作負載支援的平臺軟體，目的是讓企業、政府與服務供應商能在既有基礎架構與平臺投資上，加速建置並營運符合主權要求的AI環境。IBM規畫在2026年2月開始提供技術預覽版，並在2026年年中正式上線。</p> <p>這次發布的重點，是IBM試圖把主權要求內建成平臺軟體能力，IBM指出，過去數位主權多以資料是否留在特定司法管轄內作為核心，但AI系統在執行期持續運作，會動用敏感資料與模型，也因此增加當責、稽核與治理方面的要求。</p> <p>也就是說，主權不只關乎資料放在哪裡，還必須說清楚由誰在何種權限與法律授權下營運平臺，AI模型在哪裡進行推論，誰擁有管理者存取權，以及組織如何在日常營運中持續提出合規證據，而非等到稽核期間才補齊文件。</p> <p>IBM Sovereign Core強調以架構層級落實主權控制，並將可驗證性納入日常營運。其設計方向包括讓組織自主管控平面，降低對供應商代管管理端的依賴，並將身分驗證、授權與加密金鑰維持在主權邊界內，由在地單位掌握。系統日誌、遙測資料與稽核紀錄也被要求在邊界內產生與保存，以支援持續性的合規呈現。針對AI工作負載，IBM強調AI推論與代理式應用可在邊界內執行，並在執行期對身分、存取、模型使用與營運活動進行監測與記錄，形成可回溯的稽核脈絡。</p> <p>IBM Sovereign Core建立在Red Hat OpenShift之上，利用OpenShift把不同環境的硬體與虛擬化資源抽象成可統一管理的平臺，再由上層管控介面與自動化流程負責供給、治理與稽核，因此企業無論在自建機房、區域內雲端或合作夥伴代管環境，都能以相同方式部署與營運工作負載。</p> <p>官方表示，主權能力的導入不需要從零重建。整體架構包含統一入口介面、硬體與基礎設施彈性層、作業與調度自動化、合規中心，以及一個用於部署傳統與 AI 應用的目錄模組，使部署與日常營運可在同一套治理與稽核脈絡下持續運作。</p> </div></div></div>
1/18 18:34作者李建興https://www.ithome.com.tw/news/173422
AI趨勢周報第283期：Claude Code新功能解決MCP擴充痛點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0109～0115）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Claude Code </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MCP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Token </span></strong></span></p> <p><span style="font-size: 22px;"><strong>還沒寫程式就沒Token了？Claude Code新功能解決MCP擴充痛點</strong></span></p> <p>Anthropic為旗下程式開發工具Claude Code推出新功能MCP Tool Search，來解決多數開發者的共同痛點：MCP工具一多，Context很快就被吃光，還沒開始寫程式就先用完token了。</p> <p>Anthropic技術人員<a href="https://x.com/trq212/status/2011523109871108570">Thariq Shihipar在X上說明</a>，當Claude Code偵測到MCP工具描述占用超過10%的Context時，系統就不再把所有工具一次載入，而是改用搜尋方式動態載入。也就是需要時才找工具，避免事前預載造成浪費，等同替MCP伺服器加入延遲載入機制。</p> <p>Anthropic指出，過去有使用者同時接了超過7個MCP伺服器，就耗掉6.7萬多個 token，Context在真正開始工作前就已用完。但新機制可以大幅改善這個問題。在實作上，MCP Tool Search是一個相似度搜尋工具，輸入關鍵字即可回傳相關工具名稱。由於它本身也是代理流程的一部分，Claude Code可以多次搜尋、調整關鍵字，甚至平行查詢，直到找到合適工具。<a href="https://x.com/trq212/status/2011523109871108570">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Falcon-H1R </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>不靠堆參數，Falcon-H1R用7B小模型挑戰大型推理AI</strong></span></p> <p>阿聯酋科技創新研究院（TII）最近發表Falcon-H1R 7B，是一款主打輕量但具高推理能力的開放權重大型語言模型。Falcon-H1R僅有70億參數，卻以架構和訓練策略取勝，對標更大規模的開源和閉源模型。</p> <p>Falcon-H1R以Falcon H1架構為基礎，結合了Transformer和Mamba架構，針對多步推理進行強化訓練，讓模型在數學、邏輯和代理任務中，更有效率地使用參數。TII公布的測試結果顯示，Falcon-H1R在AIME-24等推理基準上，表現可逼近甚至超越部分15B、32B規模的模型。</p> <p>除了準確度，效能也是重點。官方測試顯示，Falcon-H1R在實際部署情境下的推理速度明顯快於Qwen3 8B，而且越忙、輸入越長時，差距越大。比如一次同時處理32個請求，Falcon-H1R每張GPU每秒可產生約1,000個Token；請求數增加到64個時，速度可提升到約每秒1,500個Token，是Qwen3 8B模型的兩倍。當輸入內容拉長到8,000～16,000個Token（例如整份文件或長推理流程），Falcon-H1R的速度仍可維持約每秒1,800個Token，而Qwen3 8B則低於每秒900個Token。</p> <p>Falcon-H1R這樣的推理速度，對實務部署相當友善，特別適合要即時推理、又受限於算力的場景。Falcon-H1R以開放權重方式釋出，並提供完整技術文件，延續Falcon系列高效能、可部署、可研究的定位。<a href="https://falcon-lm.github.io/blog/falcon-h1r-7b/?utm_source=chatgpt.com">（詳全文）</a></p> <p><img alt="" src="https://falcon-lm.github.io/blog/falcon-h1r-7b/cover.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">自主型AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cowork </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Claude </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Anthropic揭自主型AI代理，瞄準知識工作</strong></span></p> <p>Anthropic推出自主型AI代理Cowork，把Claude的功能從聊天、寫程式，擴展到一般知識工作。Anthropic形容，Cowork就是「非工程師版的Claude Code」，能在少量人為介入下，自行規畫並完成多步驟任務。</p> <p>與一般聊天介面不同，Cowork可存取使用者指定的電腦資料夾，直接讀檔、改檔與產出文件，並在過程中回報進度，不必每一步都下指令。官方舉例，它能整理下載資料夾、把支出截圖轉成試算表，或從零散筆記生成報告初稿。</p> <p>在實測中，《Lenny’s Podcast》主持人Lenny Rachitsky讓Cowork分析320份逐字稿，成功整理出關鍵主題。Cowork也能分析本地端的會議紀錄、產生摘要，搭配行事曆與瀏覽器完成跨應用任務。Cowork目前以macOS研究預覽版提供給Claude Max訂閱者。<a href="https://claude.com/blog/cowork-research-preview">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cursor </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 協作 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Cursor實驗多代理協作自動寫程式，從零打造瀏覽器</strong></span></p> <p>AI程式開發新創Cursor最近分享一項實驗成果，他們運用幾百個AI代理，在同一個專案連續工作好幾周，將原本需要人類團隊好幾個月才能完成的工程，一口氣平行推進。</p> <p>在這個專案中，AI代理累積寫出100多萬行程式碼、用了數十億個token，整個系統已能以周為單位，穩定運作。Cursor也發現，真正的難題不是算力，而是如何避免AI彼此重複做事、互相卡關。為解決這個挑戰，團隊先定義分工，由「規畫者」負責分析程式碼、拆任務、排順序；「執行者」照指示把程式寫完、送出修改。每一輪任務結束後，再交給「裁判AI」判斷要不要繼續下一輪。</p> <p>他們也實際測試，像是從零打造一個網頁瀏覽器，或把前端框架從Solid換成React，都能連續跑好幾周不中斷。團隊也發現，模型選得對很重要，像GPT-5.2在長時間任務中比較不會失焦，因此改為依角色搭配不同模型。不過Cursor也坦言，這套多AI協作還沒到完美，仍需要定期重啟、調整節奏。但整體來看，AI 寫程式已開始從單一助手，走向一整個工程團隊。<a href="https://cursor.com/zh-Hant/blog/scaling-agents">（詳全文）</a></p> <p><img alt="" src="https://cursor.com/marketing-static/_next/image?url=https%3A%2F%2Fptht05hbb1ssoooe.public.blob.vercel-storage.com%2Fassets%2Fblog%2Flong-running-agents-pr.png&w=1920&q=70" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>進軍商用醫療AI領域，Anthropic推醫療B2B服務</strong></span></p> <p>Anthropic最近推出Claude for Healthcare，這不是AI看診服務，而是把生成式AI導入醫療行政與臨床試驗等內部流程，鎖定醫院、保險公司和藥廠等B2B市場的服務。Anthropic也宣告，Claude已具備進入正式醫療流程的商用成熟度。</p> <p>Anthropic強調，Claude for Healthcare依美國HIPAA法規設計，可在合規前提下處理高度文件化、錯誤成本高的工作，例如事前授權審查、理賠文件整理、給付規範與臨床指引比對，以及醫師與機構資格驗證，這些正是醫療體系長期的人力黑洞。同樣能力也能延伸到生命科學領域，比如支援臨床試驗設計、收案與法規文件準備。</p> <p>實例顯示，部分流程可節省最多90%的時間，像臨床試驗文件處理從數天縮短到1小時，製藥大廠Novo Nordisk的臨床文件處理更從12周減至10分鐘。Anthropic強調，Claude for Health的定位是降低錯誤、輔助流程，而非提供診斷建議；不確定時會交由人工審核。目前該服務已部署於AWS、Google Cloud和微軟雲端。<a href="https://www.anthropic.com/news/healthcare-life-sciences">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資策會 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 趨勢預測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google升級醫療多模態模型MedGemma，可讀3D影像了</strong></span></p> <p>Google最近更新開放權重醫療生成式AI模型MedGemma 1.5，同時推出醫療語音轉文字模型MedASR，要讓開發者更容易把影像、文字和語音，帶進醫療AI應用流程。</p> <p>Google先提醒，MedGemma 1.5並非直接安裝就能看病的成品，在實際上線前，醫院或廠商仍得用自家資料微調、驗證。Google這次釋出的是4B多模態版本，模型較小、所需的算力也比較省，適合拿來評估或做客製化應用。如果要執行更複雜的文字任務，使用者仍可選擇27B參數的MedGemma 1。</p> <p>技術上，1.5版最大的進步是能處理電腦斷層（CT）、MRI這類3D醫學影像，甚至是容量非常大的病理切片，只要將把影像切成多個區塊或多張切片，再搭配提示詞一起丟給模型，就能處理。Google內部測試顯示，3D影像判讀準確率確實提升，如CT的宏平均準確率由58.2%提升到61.1%、MRI則由51.3%提升到64.7%。</p> <p>在系統整合上，Google 也補齊DICOMweb影像傳輸標準流程，讓應用可直接用連結在伺服器端讀取CT、MRI，再交給模型推理，不必來回傳輸龐大的影像。至於MedASR則是為醫療口述特別調教的語音辨識模型，針對醫療名詞和說話習慣優化，錯誤率明顯低於通用模型，適合用於醫師對話聽寫，後續再整理或進行AI分析。<a href="https://research.google/blog/next-generation-medical-image-interpretation-with-medgemma-15-and-medical-speech-to-text-with-medasr/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-research2023-media/images/MedGemma15-2-Collection.width-1250.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepSeek </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 殘差網路 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊丟失 </span></strong></span></p> <p><span style="font-size:22px;"><strong>DeepSeek提出新方法，穩住深層模型的訊號傳遞</strong></span></p> <p>DeepSeek發表最新研究，釐清一個常被混為一談的問題：大模型推理變弱，未必是記不住，而是資訊在深層網路中傳遞失真。團隊證明，一種原本潛力高、卻在大規模下不穩定的神經網路設計，經過調整後可穩定訓練，並能實際提高模型表現。</p> <p>這項研究提出受限超連結（Manifold-Constrained Hyper-Connections），讓模型能在多條殘差路徑間動態混合資訊，提高推理彈性。這種設計本來能提高推理彈性，但在模型變深、變大後，常因訊號被過度放大或壓縮，導致梯度不穩、訓練直接失敗。</p> <p>DeepSeek的作法是在混合路徑加上約束，只允許重新分配資訊、避免訊號放大，確保推理線索能穩定走完整個網路深度，來避免已學到的資訊，在深層模型中被沖淡。實驗顯示，模型可穩定訓練至270億參數規模，在基準測試BIG-Bench Hard中的準確率，由43.8%提高到51.0%，訓練成本僅增加6–7%。DeepSeek指出，未來推理能力的突破，可能更多來自架構層級的精修，而非單純把模型做得更大。<a href="https://huggingface.co/papers/2512.24880">（詳全文）</a></p> <p>圖片來源／TII、Cursor、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google推出個人化Gemini功能可從Gmail、搜尋、相簿擷取資訊</strong></p> <p><strong>2. <a href="https://www.microsoft.com/en-us/research/group/aiei/ai-diffusion/">微軟釋出全球AI使用報告，臺灣AI採用率為全球第23名</a></strong></p> <p>資料來源：iThome整理，2026年1月</p> <div id="gtx-trans" style="position: absolute; left: 20px; top: 4583.77px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
1/16 18:36作者王若樸https://www.ithome.com.tw/news/173420
提供1.5 Gbps網路威脅檢測效能，思科新款入門級防火牆上市
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_firewall_200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年6月舉行年度用戶大會期間，思科宣布Cisco Secure Firewall產品線將推出兩款產品，其中一款是入門級的最小機型200系列，是鎖定分支辦公室環境使用，能以相當迷你的機箱尺寸、具有成本效益的市場包裝，提供1.5 Gbps的網路威脅檢測效能，相較於其他競爭產品，性價比號稱可達到3倍，思科當時也預告這批防火牆將於12月推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20HMF-2025-06.jpg" style="width: 500px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20CSF%20220-form.jpg" style="width: 600px;" /></p> <p>關於產品的功能與特色方面，思科表示，<a href="https://blogs.cisco.com/security/cisco-hybrid-mesh-firewall-better-enforcement-points-smarter-segmentation-multi-vendor-policy">當中將整合多種安全防護功能</a>，例如，加密流量透視引擎（Encrypted Visibility Engine，EVE）、開放原始碼的網路入侵防禦系統Snort 3、基於機器學習的漏洞濫用偵測技術SnortML。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco FW-EVE-2025-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20FW-EVE-2025-06.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco FTD 10-3-2025-12-EVE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20FTD%2010-3-2025-12-EVE.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco FW-SNORT-2025-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20FW-SNORT-2025-06.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSF220-2025-12-SNORTML.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSF220-2025-12-SNORTML.jpg" style="width: 298px;" /></a></p> <p>除此之外，這批產品也內建軟體定義廣域網路（SD-WAN），具有預先設置的範本、簡化設定、SASE組態設定，以及強固的安全雲端控制，能夠因應當前的網路管理需求，提供廣泛而流暢的操作體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SD-WAN-2025-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SD-WAN-2025-06.jpg" style="width: 600px;" /></a></p> <p>到了今年1月，思科正式公布<a href="https://www.cisco.com/c/en/us/products/collateral/security/firewalls/secure-firewall-200-series/secure-firewall-220-ds.html">200系列的技術規格</a>，首先是首款機型的名稱定為Secure Firewall 220（CSF 220），而在威脅檢測與網路傳輸的效能上，他們照慣例揭露多種使用模式的表現。</p> <p>若只需要一般的狀態檢測防火牆，CSF 220的作業系統可採用Adaptive Security Appliance（ASA），此時的吞吐量為2 Gbps；針對HTTP、SMTP、FTP等多種網路通訊協定執行狀態檢測時，CSF 220的吞吐量為1.6 Gbps；用於IPsec VPN時，CSF 220的吞吐量為1.2 Gbps。</p> <p>如果需要更多進階防禦，CSF 220的作業系統須採用Firepower Threat Defense（FTD），此時不論防火牆加上應用程式透視與控制功能（Application Visibility and Control，AVC）、AVC加上入侵防禦系統（IPS），或是防火牆加上AVC與IPS，CSF 220的吞吐量皆為1.5 Gbps；若是IPsec VPN，CSF 220的吞吐量為1.2 Gbps；若是啟用TLS加密流量解密處理，CSF 220的吞吐量為0.7 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-C.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-C.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Firewall%20Portfolio-2026-01-web.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-A.jpg" style="width: 297px;" /></a></p> <p>而在此時同步公開的<a href="https://secure.cisco.com/secure-firewall/docs/secure-firewall-200-series">Secure Firewall v10.0全面改版技術文件說明</a>，思科對於Secure Firewall 200系列產品，也有了更明確的交代，例如，<a href="https://secure.cisco.com/secure-firewall/docs/secure-firewall-200-series">提供此機型的專屬說明頁面</a>，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco FTD 10-1-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20FTD%2010-1-2025-12.jpg" style="width: 600px;" /></a></p> <p>對於<a href="https://secure.cisco.com/secure-firewall/docs/encrypted-visibility-engine">加密流量透視引擎</a>、<a href="https://secure.cisco.com/secure-firewall/docs/snort-3-adoption">Snort 3</a>、<a href="https://secure.cisco.com/secure-firewall/docs/snortml-machine-learning-based-exploit-detection">SnortML</a>等網路安全防護技術的最新突破，可在此看到更完整的介紹。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-EVE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-EVE.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-SnortML.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-SnortML.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SnortML-Machine Learning-based Exploit Detection-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SnortML-Machine%20Learning-based%20Exploit%20Detection-2025-12.jpg" style="width: 298px;" /></a></p> <p>不僅如此，在思科防火牆作業系統Firepower Threat Defense（FTD）內建的本機網頁管理主控臺<a href="https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/roadmap/device-manager-new-features-by-release.html#new-features-fdm-ftd-10-0-0">Firewall Device Manager（FDM）</a>，以及集中管理多臺思科防火牆的軟體<a href="https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/roadmap/management-center-new-features-by-release.html#new-features-fmc-10-0">Firewall Management Center（FMC）</a>也都在去年12月發布的10.0版本，開始支援Secure Firewall 220。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF 220-FDM1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF%20220-FDM1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco SF 220-FDM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF%20220-FDM2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-10_0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-11-CSF220-10_0.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Secure Firewall 200系列也採用搭配4個Arm架構核心的系統單晶片，延續2024年下半登場的<a href="https://www.ithome.com.tw/review/166209">Secure Firewall 1200系列</a>作法（搭配8、12或16顆Arm核心）。相較之下，<a href="https://www.ithome.com.tw/review/153051">Secure Firewall 3100系列</a>、<a href="https://www.ithome.com.tw/review/158775">Secure Firewall 4200系列</a>皆採用x86架構處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SF 220-CPU.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SF%20220-CPU.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">Cisco Secure Firewall 200系列</span><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型與尺寸：220，寬9.2吋、深7.8吋、高1.15吋<br /> ●網路埠：4個GbE埠（1000BASE-T），1個GbE埠（SFP）<br /> ●防火牆吞吐量（啟用AVC與IPS）：1.5 Gbps<br /> ●VPN吞吐量：1.2 Gbps<br /> ●TLS解密吞吐量：0.7 Gbps<br /> ●最大同時連線數：防火牆為10萬個，啟用AVC為3萬個</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/16 18:31作者李宗翰https://www.ithome.com.tw/review/173386
站在兩千萬人通訊背後的防線，LINE與詐騙正面交鋒的數位戰爭
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>走進位於臺北市瑞光路的LINE臺灣辦公室，映入眼簾的是明亮而開放的工作空間，三公尺高的熊大玩偶佇立在門口，氣氛看似輕鬆，卻很難想像，這裡同時也是臺灣最前線的數位戰場。</p> <p>每天，超過兩千萬名使用者透過LINE傳遞訊息、照片與語音，在這些再日常不過的互動背後，詐騙集團、惡意程式與各式社交工程攻擊，正不斷嘗試鑽入人性的縫隙。</p> <p>對多數人而言，手機響起只是一則通知，但對LINE臺灣資安長劉威成來說，卻可能是一場詐騙行動的開端，也是能否阻止民眾遭受財務損失、甚至家庭破碎的關鍵時刻。</p> <p>「資安長這個角色，在LINE其實非常特殊，」劉威成說。除了企業內部防護，他大多數時間都在思考同一個問題：如何讓一個封閉、以隱私為核心的通訊平臺，承擔起社會高度期待的防詐責任。他很清楚，真正的挑戰從來不只是在公司內部，詐騙早已成為臺灣社會共同承受的數位創傷。</p> <p>一路走來，劉威成歷經開發、營運與顧問等不同角色，逐步形塑出獨特的資安觀點。他始終相信，資安不是阻擋創新的高牆，而是讓組織得以安心前行的基石。真正成功的資安，不在於拒絕了多少需求，而在於如何讓每一個「可以」，都建立在足夠穩固的安全基礎之上。資安的目標從來不是零風險，而是打造一套能快速反應、持續調整的防禦體系。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>在法律的支持下，LINE主動承擔打詐任務</strong></span></span></p> <p>詐騙已成為影響全臺灣民眾最深、傷害層面最廣的資安風險。從假投資群組、假親友借錢，到生成式AI偽造聲音與影像，詐騙手法持續進化，而 LINE幾乎無可避免地站在風暴中心。</p> <p>尤其自2023年起，詐騙模式出現關鍵轉變，詐騙集團不再只仰賴通訊軟體本身，而是先在第三方開放平臺投放廣告，再將受害者一步步引導進LINE的私密聊天與群組中，完成最後的詐騙行為。</p> <p>在用戶保護上，劉威成指出，LINE始終採取「以人為本」的思維，堅持點對點加密（E2EE）來捍衛使用者隱私，同時也提供裝置綁定、簡訊 OTP 驗證、異常登入偵測與帳號取回機制等工具，強化使用者的自我防護能力。這也意味著，LINE平臺無法、也不能讀取使用者的對話內容。隱私是LINE最重要的底線，卻同時讓詐騙偵測變得更加困難，成為防詐行動中難以迴避的限制。</p> <p>「在法律上，不能因為『懷疑』就封鎖帳號，」劉威成坦言，必須有足夠證據，才能啟動下架或封鎖機制，但在私密通訊環境中，證據本身就極難取得。這種結構性的矛盾，長期讓通訊平臺陷入兩難：做得太多，容易被質疑侵犯隱私；做得太少，又被指責縱容詐騙。他強調，資安的角色不應是阻止業務，而是協助組織評估風險。當他向日本總部爭取防詐功能時，也必須同時考量使用者理解程度、教育成本與實際使用率。</p> <p>隨著《打詐專法》的推動，平臺在通知與下架上的責任逐步明確。劉威成表示，LINE在法案研擬期間即主動與主管機關溝通，讓資安團隊在實務操作上有了清楚的法律依據，也讓行動能更快、更有底氣。行動並不代表粗暴執法，他透露，團隊曾在一次行動中封鎖超過7.3萬個假帳號，但在此之前，已反覆進行多次統計特徵分析與模擬，確認不會誤傷正常使用者，特別是合法回收門號。</p> <p>這樣的決策，不只是技術問題，更是一場關於品牌信任的考驗。一旦誤判，受損的不只是帳號，而是使用者對平臺的信賴。因此，每一次大規模打詐行動背後，都仰賴大量數據分析，以及與總部之間反覆溝通與說服。</p> <p>即便如此，劉威成仍認為，單一平臺不可能獨力解決詐騙問題。他將資安長的角色定位為橫向防禦體系中的一個節點。</p> <p>近年來，LINE積極與刑事警察局、數位發展部、NCC及電信業者合作，從網路基礎建設層面提前攔截風險，並導入DNS RPZ機制，在DNS查詢階段即封鎖惡意網域。透過這樣的合作，釣魚網站與惡意程式得以在接觸使用者之前就被阻斷。截至 2025年底，LINE臺灣已主動掃描並通報超過1,200個釣魚網域，試圖在看不見的地方，為這場數位戰役築起第一道防線。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從「一人資安」開始的十年長征</strong></span></span></p> <p>劉威成在大學主修管理學，這樣的背景在多數人眼中，似乎與資訊安全並不直接相關。但他回顧這段求學歷程時坦言，正是管理學的訓練，讓他日後在跨部門溝通與協調上，占了很大的優勢。那是一個網際網路剛起飛的年代，.com熱潮席捲市場，他也順勢進入一家達康公司工作，身兼網管與全端工程師，從伺服器維運、系統架構到程式開發，幾乎一手包辦。</p> <p>真正改變他人生方向的，是一次嚴重的資安事件。某天，公司伺服器遭到駭客猛烈攻擊，服務幾乎全面癱瘓，他被迫站上第一線，與看不見的攻擊者正面交鋒。他回憶，那不只是單純的技術危機，而是直接衝擊公司營運與客戶信任的關鍵時刻，也讓他第一次深刻體認到，資訊安全從來不只是 IT 問題，而是攸關企業能否存續的核心議題。就在那一刻，他形容自己「一頭栽進資安，回不去了」。</p> <p>之後，劉威成進入中華電信，在資安相關部門一待就是八年。這段期間，他不只擔任工程師，也歷練過資安產品經理與顧問角色，從防禦架構設計、產品推動、承擔營收壓力，到協助企業導入 ISMS 資訊安全管理系統，幾乎走遍資安產業的不同面向。</p> <p>這些經驗讓他逐漸看清，資安在不同位置上，面臨的挑戰與責任截然不同，也促使他形成一個清楚的信念：如果資安只被視為成本，它永遠不會被真正重視。</p> <p>回顧自己在LINE的歷程，劉威成形容，那是一段從「一人部門」走向跨域樞紐的轉變。2016年加入LINE臺灣時，他是公司裡唯一的資安人員，當時既沒有成熟的資安組織，也缺乏完整的流程與制度，所有防禦機制幾乎都是從零開始，一點一滴建立起來。</p> <p>加入初期，他必須獨自對接日本總部的資安框架，將集團層級的要求落地到臺灣，同時還要深入各個部門，理解實際的業務流程。從帳號安全、詐騙防制，到供應鏈風險與法遵議題，他幾乎一肩扛起所有資安相關任務，角色極其多元。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安長的核心使命，是支持營運而不是說「不」</strong></span></span></p> <p>十年過去，LINE在臺灣的滲透率已超過九成，成為不可或缺的即時通訊基礎設施；而劉威成，也從LINE臺灣的第一位資安工程師，走到2023年正式接任資安長（CISO），親手打造出一支能與全球總部緊密協作的專業資安團隊。</p> <p>對他而言，資安長不只是職涯上的一個頭銜，而是一個被賦予清楚期待的角色。他直言，公司設立資安長，不是要多一個「管制單位」，而是希望這個角色能真正支持公司的營運與整體目標。「如果資安無法幫助公司前進，那這個位置就失去了存在的意義。」</p> <p>這樣的想法，來自他早年在 IT 與網管領域的經驗。他很清楚，不同部門關注的重點並不相同，業務單位追求效率與業績，開發團隊重視速度與彈性。如果資安只是不斷增加限制、否定需求，最終只會被視為阻礙。</p> <p>他笑說，如果一家公司只有資安部門在做資安，那資安長一定很可憐，平時沒人理你，出了事卻全都要你負責。因此，他為自己設定的角色，更像是合作夥伴，而不是守門員。資安部門的存在，是為了協助其他部門降低風險，而不是製造麻煩。</p> <p>這種以賦權與協助為核心的思維，也逐漸在LINE內部形成一種雙贏文化。當同事發現疑似風險時，第一時間想到的不是隱瞞或繞過，而是主動討論如何在安全的前提下完成任務。</p> <p>在劉威成眼中，真正成熟的資安文化，來自信任與透明，而不是恐懼。他始終相信，透明度是建立信任的基石。如果組織氣氛讓員工害怕犯錯，那麼一旦誤點釣魚郵件，最直覺的反應往往就是「蓋牌」，這對整體防禦而言反而是最危險的事。</p> <p>因此，在LINE內部，只要員工願意主動回報釣魚郵件，不僅會收到資安團隊、甚至資安長本人的感謝，也會獲得後續對攻擊手法的分析說明。</p> <p>他坦言，這樣的正向回饋機制，讓員工清楚知道，回報不是麻煩，而是有價值的行為；對公司而言，資安防禦也不再是某個部門的孤軍奮戰，而是一種全體動員、共同承擔的企業文化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/01156-CISO-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安事件通報處理的透明美學</strong></span></span></p> <p>走進LINE臺灣的資安世界，如果只用防火牆或漏洞修補來想像，往往會低估這個組織面對風險時的複雜度。</p> <p>對劉威成而言，真正困難的從來不是駭客本身，而是當事件發生時，資訊能否在最短時間內、以最正確的形式流動，讓整個組織做出一致且有效的回應。</p> <p>這也是他近年最引以為傲的一項制度轉型：將資安事件應變，從資安部門獨力承擔，轉變為高度透明、分工清楚的團隊作戰。</p> <p>回顧過去的處理模式，劉威成坦言，那幾乎是一場消耗戰。事件一發生，資安人員除了要修補漏洞、分析攻擊手法，還得同時回應CEO、法務、公關與客服的詢問，資訊分散、壓力集中，反而讓最需要專注技術處理的人疲於奔命。</p> <p>為了打破這個循環，LINE成立了獨立的風險管理部門（RM）。只要事件被判定為資安事件，指揮權便交由風管部門統籌，立即成立戰情室，將開發、資安、法務與公關等單位納入同一個作戰架構中。</p> <p>這套制度的核心，在於資訊必須回到同一個中心更新，讓所有人掌握的是同一份事實。資安工程師可以專心處理技術問題，而事件時序、對上回報與橫向溝通，則由風管部門負責。</p> <p>劉威成指出，這樣的一條龍機制，確保事件能在七十二小時的黃金時間內被有效掌握，法務得以及時評估通報義務，公關也能迅速對外說明，不再出現資訊錯位的混亂。對他而言，這不只是流程優化，而是一種資安治理的「透明美學」。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從失敗中，重塑供應鏈安全防線</strong></span></span></p> <p>真正考驗資安治理深度的，往往不是順利運作，而是面對失敗時的反應。劉威成並不避諱談起2023年那起嚴重的供應鏈事件，當時委外廠商工程師的電腦遭駭，攻擊者甚至繞過VDI驗證機制，成功進入內部環境。這起事件再次提醒他，只要供應鏈存在盲點，再堅固的內部防線仍可能瞬間潰散。</p> <p>事後，他重新定義供應鏈資安管理方式，將採購、法務與資安整合為任務編組，對供應商進行分級與動態管理。對關鍵供應商，LINE不再只是要求合規，而是直接配發由公司管理的專屬設備與帳號，正式納入零信任架構，同時要求參與資安教育與社交工程演練。劉威成笑說，這等於是把供應商當成「自己人」，連防詐訓練也一起進行。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>在AI浪潮中，踩穩煞車與油門</strong></span></span></p> <p>生成式AI帶來效率與創新，也同時放大風險。劉威成沒有選擇以「禁止」回應不確定性，而是嘗試在創新與風險之間建立治理框架。他認為，問題不在於要不要用AI，而在於如何安全地使用。</p> <p>這樣的思維，促成LINE成立由資料、法務與資安共同主持的「AI管理委員會」，針對不同資料來源與應用情境進行分級審查，確保只有不涉及隱私與版權風險的資料，才能投入AI應用。</p> <p>對劉威成而言，AI治理的重點不在放慢腳步，而是避免在追求效率時踩過信任與法律的紅線。從戰情室制度、供應鏈零信任，到AI治理架構，他推動的是一種去中心化的資安治理，讓每個角色在正確的時間做正確的事。</p> <p>資安的終極目標，不是零事故，而是當事故發生時，組織能否冷靜、透明且一致地回應，這正是一位資安長能為企業帶來的最大價值。</p> <hr /> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CISO小檔案 </span></strong></span></p> <p><strong>LINE臺灣資安長劉威成</strong></p> <p>學經歷：大學念的是管理，畢業後先到.com公司工作擔任網管與全端開發工程師，後在中華電信資安部門工作八年，歷任工程師、資安產品經理與ISMS顧問；2016年成為LINE臺灣第一位也是唯一一位資安工程師，負責對接總部資安事宜；2023年接任資安長一職迄今</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/01156-CISO-600-2.jpg" style="width: 300px;" /></p> <p><span style="color:#ffffff;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p>●<strong>臺灣連線公司（LINE Taiwan）</strong></p> <p>●臺灣成立時間：2014年6月19日。</p> <p>●公司演變：LINE與Yahoo Japan及多家其他公司組織重整，於2023年10月1日起更名LY Corporation，對用戶服務保持不變</p> <p>●公司地址：臺北市內湖區港墘里瑞光路333號7樓</p> <p>●董事長兼執行長：陳立人</p> <p>●用戶數：超過2千萬臺灣人安裝</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資安大事記 </span></strong></span></p> <p>●2015年：LINE資安漏洞回報獎金計畫</p> <p>●2016年：LINE文字跟位置資訊導入Letter Sealing點對點加密；發布第一版加密白皮書，供外部檢驗產品加密機制安全性</p> <p>●2017年：開始舉辦年度全民資安訓練；LINE總部成立跨國緊急應變小組（CSIRT）；發布LINE透明度報告；推動全民防詐訓練─LINE防詐保密不求人feat盧廣仲</p> <p>●2018年：LINE成為全球首家取得「FIDO通用伺服器認證」（FIDO Universal Server Certification）的網路服務供應商；推動全民防詐訓練─LINE防詐神探</p> <p>●2019年：LINE Becks資安社群聚會啟動；全民防詐訓練─LINE真相搜查線；數位當責計畫啟動；LINE訊息查證官網上線</p> <p>●2020年：LINE iPad版導入FIDO生物識別驗證</p> <p>●2021年：全球用戶強制開啟Letter Sealing點對點加密；推出LINE CTF資安競賽；攜手iWIN宣布「兒少網安計畫」</p> <p>●2022年：LINE臺灣取得ISO 27001與ISO 27701資安與個資雙認證；獲頒BSI資訊韌性精銳獎；LINE臺灣官方帳號推出闖關遊戲「投資航海冒險家」</p> <p>●2023年：主動掃蕩於外部廣告平臺刊登投資廣告的LINE帳號；開啟與刑事警察局防詐通道，合作處置涉及投資詐騙的違法帳號。至2024年10月底為止，總共停權10,451個涉詐帳號</p> <p>●2024年：與TWNIC和三大電信建立產業聯防機制，主動掃蕩與通報寵物投票等釣魚網站；推出聊天室警語功能，提醒使用者詐騙風險；與數發部合作，推出「防詐動態警報；產官聯防，快速自動化處理詐騙通報機制上線。至2025年底為止，主動掃描與通報超過1,200個釣魚網域</p> <p>●2025年：與刑事局合作停權7.3萬個高風險門號LINE帳號；推「再次登入」功能，協助用戶取回被盜帳號；推「偵測可疑網站」功能，協助用戶辨識釣魚網站；公布2025 LINE詐欺防制透明度報告；產官聯防，快速自動化處理詐騙通報機制</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/01156-ciso-960.jpg" width="960" height="420" alt="" title="LINE臺灣資深資安長劉威成　（攝影／洪政偉）" /></div></div></div>
1/16 18:56作者黃彥棻https://www.ithome.com.tw/people/173419
Google開源TranslateGemma翻譯模型，支援55種語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google周四（1/15）開源了<a href="https://blog.google/innovation-and-ai/technology/developers-tools/translategemma/" target="_blank">TranslateGemma</a>翻譯模型，它支援55種語言，提供3種規模版本，分別是40億、120億和270億參數，適用於手機、筆電和雲端部署。</p> <p>TranslateGemma是基於Google的開源AI模型Gemma 3所打造的翻譯專用版本。Gemma是Google推出的輕量級開源大型語言模型系列，設計理念是讓開發者能在各種裝置上運行高效能AI應用。這次的TranslateGemma則是將Gemma 3針對翻譯任務進行深度優化，從更大型的Gemini模型學習翻譯知識，以提升翻譯品質。</p> <p>該模型採用兩階段訓練：首先用人工翻譯和Gemini模型生成的高品質合成數據進行微調，接著透過強化學習讓翻譯更自然流暢。這種方法成功將大型Gemini模型的翻譯能力濃縮到更精簡的開源架構中。</p> <p>在WMT24++基準測試中，120億參數模型的表現超越了270億參數的基準模型。WMT24++ 是由Google與Unbabel共同開發的翻譯評測標準，涵蓋55種語言，包含文學、新聞、社群和語音等4個領域的人工翻譯參考資料，是目前業界常用、具代表性的翻譯評測標準之一。</p> <p>這意味著開發者可以用更小的模型達到更好的翻譯品質，同時獲得更快的速度和更低的成本。40億參數版本也展現出與120億基準模型相當的效能，讓翻譯功能可以直接在手機上高效運行。</p> <p>先前Google已推出過MADLAD-400等開源翻譯模型，Meta也有SeamlessM4T等支援語音和文字的翻譯模型。相較之下，TranslateGemma專注於文字翻譯，但在翻譯品質和效能上都有顯著提升。除了55種核心語言，研究團隊還擴展訓練到近500個語言對。值得一提的是，模型保留了圖像翻譯能力，可以直接翻譯照片中的文字，例如路標、菜單等。</p> <p>TranslateGemma已於<a href="https://www.kaggle.com/models/google/translategemma/" target="_blank">Kaggle</a>及<a href="https://huggingface.co/collections/google/translategemma" target="_blank">Hugging Face</a>開放下載，開發者也可透過Vertex AI部署。</p> </div></div></div>
1/16 16:25作者陳曉莉https://www.ithome.com.tw/news/173416
Anthropic重估職務受AI影響程度，以成功率與時間頻率權重衡量有效覆蓋率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic<a href="https://www.anthropic.com/research/economic-index-primitives">發布</a>第四份經濟指數（Economic Index）報告，分析共200萬筆匿名化紀錄，其中包含Claude.ai對話100萬筆，以及第一方API流量逐字稿100萬筆，試圖把外界討論的AI衝擊對應至可量化的指標。Anthropic主張，要是只用任務覆蓋率來判斷哪些職務受影響，容易高估或低估實際變化，應把任務成功率與該任務在一天工作中所占時間、發生頻率一起加權，才更接近AI在職務層級的滲透程度。</p> <p>報告提出有效AI覆蓋率概念，用來衡量AI對單一職務的實際影響，藉由把有效AI覆蓋率定義為某職務工作日中，有多少比例的工作可被Claude成功完成，計算方式是將各任務成功率加總，並以任務在工作時間中的占比，乘上任務發生頻率作為權重。也就是說，就算特定職務只有少數任務被AI涵蓋，只要那些任務剛好是最耗時或最常做的核心工作，整體有效覆蓋率仍可能偏高。</p> <p>報告以資料輸入人員為例指出，該職務雖有九項工作任務，但在樣本中只涵蓋其中兩項。由於這兩項正是讀取來源文件並輸入資料的核心工作，成功率高且占用大量工時，因此在有效AI覆蓋率的評估中反而名列前茅。</p> <p>醫療逐字稿人員與放射科醫師也出現類似情況，因為AI能處理的多是高頻且耗時的關鍵工作，所以整體影響程度被上修。相對地，微生物學家雖有不少任務在資料中出現，但大量工時仍落在實驗室儀器操作等AI難以直接介入的環節，導致僅看任務出現比例時容易高估，改用有效AI覆蓋率後則更接近實際。</p> <p>該研究也呈現出速度與可靠度之間的落差，報告用理解輸入內容所需的受教育年數作為任務複雜度的近似指標，並發現Claude.ai上較複雜的任務速度提升更明顯，高中程度約9倍，大學程度約12倍。不過成功率會隨複雜度上升而略降，如果以低於高中程度的任務約70%作為基準，大學程度任務約66%。</p> <p>把成功率納入後，宏觀層面的生產力推估也明顯下修。該報告沿用先前以任務速度提升估算的框架，原本推算未來十年美國勞動生產力年增率可額外多1.8個百分點，但要是進一步把任務節省的時間乘上成功率，Claude.ai情境下的推估便降至1.2個百分點，第一方API的使用情境估算則降至1.0個百分點。</p> </div></div></div>
1/16 16:33作者李建興https://www.ithome.com.tw/news/173415