iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 23:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Cloudflare公開Moltworker專案，讓個人AI代理Moltbot可部署於Workers
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Cloudflare公布並開源<a href="https://blog.cloudflare.com/moltworker-self-hosted-ai-agent/">Moltworker專案</a>，這是一個入口Worker搭配一組改寫腳本，讓開源個人AI代理Moltbot不必另外購買專門運作的硬體，也能透過Cloudflare的Sandboxes、R2與Browser Rendering等元件，以雲端部署方式運作。不過，Cloudflare強調Moltworker仍屬概念驗證專案，並非正式產品。</p> <p>Moltbot前身為Clawdbot（現已更名為OpenClaw），是可自行架設的個人助理型AI代理，能透過Slack等通訊平臺與使用者互動，並串接多種AI模型與工具，協助整理行程與處理日常任務。近期社群一度出現為了在本機常駐執行而購買Mac mini的風潮，Cloudflare則以Moltworker回應另一種需求，也就是不想添購專用設備，改以線上方式部署與管理。</p> <p>依Cloudflare說明，Moltworker的入口Worker，負責API路由與代理，並透過Sandbox SDK在隔離環境中啟動容器，執行Moltbot的既有閘道環境與整合項目。為了讓AI代理能執行需要瀏覽器的工作，專案也接上Cloudflare Browser Rendering，提供無頭瀏覽器能力，讓Moltbot可進行網頁操作與截圖等流程。另一方面，考量容器屬短暫執行環境，專案以R2物件儲存提供持久化資料，用於保存對話紀錄與必要的狀態檔案。</p> <p>在模型與成本管理上，Cloudflare提及AI Gateway為可選擇的中介層，用來在AI服務供應商與應用之間提供請求轉送、記錄與分析功能，並支援自帶金鑰與統一計費等模式。安全性方面，Moltworker則將管理介面與API端點置於Cloudflare Access保護之下，透過零信任存取政策與身分驗證機制降低自行實作驗證的負擔，並可使用JWT權杖驗證請求來源。</p> <p>Moltworker已在GitHub公開，依讀我檔所列需求，使用者需具備Cloudflare帳號，且至少訂閱每月5美元的Workers付費方案才能使用Sandbox Containers。Cloudflare也提到，Access、Browser Rendering、AI Gateway與R2等元件可視需求選用，實際費用與免費額度則依各服務方案與用量而定。</p> </div></div></div>
2/2 10:54作者李建興https://www.ithome.com.tw/news/173696
a16z調查：78%企業正式部署OpenAI，Anthropic成長最快
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>創投業者Andreessen Horowitz（a16z）近日公布第三屆的<a href="https://www.a16z.news/p/leaders-gainers-and-unexpected-winners" target="_blank">企業級AI調查</a>，發現OpenAI依然是最受企業青睞的AI品牌，已有78%的企業於正式環境中使用，居次的是Anthropic的44%。但若以支出來看，2026年預估OpenAI將占據53%的預算，Anthropic及Google則各占18%。</p> <p>a16z調查了Global 2000中的100家年營收超過5億美元的企業CIO、VP，以及C等級的主管，詢問他們企業使用AI的狀況，發現有78%的受訪企業已直接於生產環境中使用OpenAI模型，Anthropic則是44%。</p> <p>其中，OpenAI一直維持最高的正式上線比例，都在6、7成左右；而Anthropic在2024年時，原本都處於測試中，當時的正式上線比例趨近於零，但今年正式上線比例達到44%，為成長最快的AI品牌；而Google AI的正式上線比例則在3成左右。</p> <p>而在企業對這些AI品牌的支出中，OpenAI在2024年時占了62%，Anthropic為14%，Google為15%；但今年估計OpenAI只剩53%，Anthropic與Google則同時成長至18%。</p> <p>值得注意的是，今年有高達81%的企業同時在測試與生產環境中，使用3種以上的不同模型，在2025年時只有68%。</p> <p>企業利用不同的模型來做不同的事，目前不管是聊天、管理企業知識、客戶支援或自動化代理，最主要使用的都是OpenAI；但若是進行軟體開發，使用Anthropic的比例已超越OpenAI；以Anthropic進行資料分析的比例亦與OpenAI相當；至於Google則在聊天機器人與客戶支援等類別勝過Anthropic。</p> <p>調查顯示，過去兩年來，企業對大型語言模型的平均支出已從450萬美元成長至700萬美元，預計今年可成長65%，達到1,160萬美元；至於企業對AI應用的支出在今年則可望成長逾60%，達到930萬美元。</p> </div></div></div>
2/2 11:17作者陳曉莉https://www.ithome.com.tw/news/173707
知難而行
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年1月下旬臺灣民眾最關注的兩則新聞，都是與克服巨大挑戰有關。首先是臺美關稅談判達成共識，確認對等關稅15％不疊加原最惠國（MFN）稅率，並爭取到半導體及衍生品關稅的最優惠待遇，汽車零組件、木材家具、航空零組件（其中的鋼、鋁、銅衍生品）等多項232關稅最優惠待遇，以及採用「臺灣模式」引領業者進軍美國供應鏈，促成臺美高科技領域相互投資，這項艱鉅的談判行政院副院長鄭麗君與政務委員楊珍妮領軍的團隊，居功厥偉。</p> <p>另一件事是美國攀岩高手霍諾德（Alex Honnold）徒手獨攀台北101大樓，挑戰成功，耗時約1個半小時的過程，在影音串流平臺Netflix向全球直播，吸引多家國際媒體報導。為了幫助大家更了解這個網路直播服務的應用，隔天我們的副總編輯王宏仁也發布報導，<a href="https://www.ithome.com.tw/news/173586" target="_blank"><span style="color:#3366ff;">介紹Netflix全球直播的幕後技術架構</span></a>。</p> <p>這兩項重大成就的背後，有許多人投入大量時間與心力，不僅考驗體力、毅力與抗壓能力，更需要有強大的信念、意志力、勇氣，以及耐心與細心，也激勵更多人積極推動自我創新與突破。</p> <p>以關稅談判為例，過程中歷經9個多月、6輪磋商，團隊積極研擬與說明臺美經貿合作計畫、多次赴美進行實體磋商，面對外界各種傳言與質疑、批評的聲音，所有成員承受許多壓力，鄭麗君日前受訪時，曾表示談判是整個政府團隊無時差合作的成果，總統、副總統、院長與各部會全程同步支援，做足準備，堅定目標與立場，化解衝突而不讓談判破局，總統、副總統、行政院長及相關首長在磋商前聽取談判團隊的會前報告，磋商時也需要即刻與談判團隊共同討論或做出決定，甚至在談判會後共同討論沙盤推演。</p> <p>數週之後，預計將簽署臺美對等貿易協定，然而，我方須經國會審議通過，才能算是真正定案。根據媒體報導，行政院經貿談判辦公室資深談判代表兼執行秘書徐崇欽答覆立委提問時表示，若立法院對協定文本有意見、要修改，協定便無法生效，且能否重新談判還需端看美方的想法，因此站在行政部門立場，希望國會能支持現有成果。</p> <p>至於成功徒手獨攀台北101大樓的壯舉，大家不僅對於Alex Honnold的技高膽大相當敬服，促成此事的台北101公司董事長賈永婕，展現的魄力、信念、執行力也令人讚嘆。</p> <p>行政院前政務委員張景森的評論，也道出許多人的看法，正如他在臉書上貼文表示，真正困難的，從來不只是技術，而是「誰來承擔風險」。因為承擔風險的人，不只選手本人，還包括主辦單位101，以及與之配合的整座城市。為何台北101過去沒有這樣的創舉？誠如他更早一篇貼文所言，過去101內部也曾評估類似攀登活動，並表示擔心意外，一旦發生意外，101就會被地政單位登記為凶宅，而這也是大部分民眾擔心的可能狀況，恐怕影響臺灣的國際形象，不過，對於101現任董事長而言，她坦言自己比任何人都知道肩上承擔的重大責任，以及可能出意外的風險，但她在臉書的貼文提到為什麼如此決定，她寫道：「意外，不等於錯誤。」，「挑戰可能會失敗，那就因為這樣不挑戰了嗎？」，「不做最簡單，拒絕最輕鬆。但我沒有。因為我知道，這對台灣而言是一個千載難逢的好機會。」，「就算我被罵到翻，就算最後我必須滾蛋，我也要拚這一次。」</p> <p>這些話雖然是董事長如今終於可以大方吐露的心聲，但也鼓舞很多人在適當衡量風險的情況下，應該要勇於追求自我突破，而非因此卻步不前。</p> <p>為何會有寧可不作的保守心態？在華人傳統文化成長的我們，身邊充斥著大量提醒眾人注重避險的詞語，例如，「知難而退」可表達隨機應變的意思，例如，《左傳》提到：「見可而進，知難而退，軍之善政也。」，《吳子》提到：「見可而進，知難而退也」，皇甫湜〈答李生第二書〉提到：「夫無難而退，謙也；知難而退，宜也，非謙也。」但後來幾乎都指向顧忌畏縮之意。</p> <p>此外，未謀勝先慮敗的保守心態也相當常見，擔心風險的程度過高，使得人們害怕失敗，而不敢積極追求改變的機會。然而，「富貴險中求」，面對各種危及個體與組織生存的壓力，2026年我們必須更勇敢地接受挑戰，眼前有許多危機浮現，我們明知前途將面臨許多困難，仍必須勇敢前行！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%9F%A5%E9%9B%A3%E8%80%8C%E9%80%80">知難而退</a></div><div class="field-item odd"><a href="/tags/%E9%A2%A8%E9%9A%AA">風險</a></div></div></div>
2/1 13:58作者李宗翰https://www.ithome.com.tw/voice/173701
Ivanti熱修補行動裝置管理平臺EPMM兩重大遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Ivanti<a href="https://forums.ivanti.com/s/article/Analysis-Guidance-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340?language=en_US">揭露</a>自家行動裝置管理平臺Endpoint Manager Mobile（EPMM）兩個重大漏洞CVE-2026-1281與CVE-2026-1340。兩者皆為程式碼注入弱點，風險評分達CVSS 9.8，攻擊者可在未經驗證的情況下觸發遠端程式碼執行。Ivanti<a href="https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2026-1281-CVE-2026-1340?language=en_US">表示</a>，在揭露時已知極少數用戶環境遭到利用，而美國CISA同日將<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-1281">CVE-2026-1281列入已遭利用漏洞目錄（KEV）</a>。</p> <p>兩漏洞影響EPMM，官方強調不影響包括Ivanti Sentry、Ivanti Endpoint Manager（EPM）與Ivanti Neurons for MDM等其他產品。不過，由於EPMM需能連線至Sentry並下達指令以維持Sentry運作與組態，Ivanti建議在懷疑EPMM受影響時，同步檢視Sentry可觸及的內部系統，以排除偵察或橫向移動可能。</p> <p>Ivanti釋出RPM熱修補套件，客戶需依自身版本選用對應套件，無須停機。Ivanti也提醒，要是設備後續升級版本，熱修補不會自動延續，升級後需重新安裝。永久修補將納入下一個產品版本12.8.0.0，預計於2026年第1季推出。</p> <p>就可能衝擊而言，EPMM掌握企業行動裝置管理所需資料與設定，Ivanti解釋，當攻擊者取得系統執行權限，除了可能作為入侵跳板，也可能接觸到管理者與使用者身分資訊，以及受管裝置的識別資訊與部分管理設定。</p> <p>官方指出，攻擊者可能透過API或網頁主控臺變更EPMM設定。對於疑似受影響的設備，Ivanti建議企業依自身風險承受度檢視EPMM組態，包含是否出現新增或變更管理者，以及身分驗證設定例如單一登入與LDAP設定等異動。</p> <p>雖然攻擊嘗試與成功利用，都可能在Web存取紀錄留下線索，但Ivanti也提醒已入侵的系統日誌可能被清除或竄改，因此更建議依賴外部日誌平臺或SIEM的留存資料。要是企業確認系統遭入侵，Ivanti不建議嘗試就地清除，而是以還原可信備份或重建新系統並搬遷資料的方式回到已知良好狀態，並在設備不對外暴露的情況下完成修補後再恢復服務。</p> </div></div></div>
2/1 11:29作者李建興https://www.ithome.com.tw/news/173694
Google推第二款自研Arm處理器VM，性價比達x86平臺兩倍
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/gcp-n4a-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年11月，Google Cloud宣布代號為Ironwood的第7代TPU正式推出，受到全世界熱烈關注之餘，<a href="https://cloud.google.com/blog/products/compute/ironwood-tpus-and-new-axion-based-vms-for-your-ai-workloads">他們也預告</a>同樣是自行研發的Arm架構處理器Axion，將用於建置新的雲端執行個體服務，當時預告幾週之後，將開放預覽版本供大家測試。</p> <p>首先是2024年上市的<a href="https://www.ithome.com.tw/review/166989">C4A</a>，將增設裸機組態，稱為C4A metal，是該公司第一款導入Arm架構的裸機運算服務，能為特殊類型的工作負載提供專屬於單一用戶執行的實體伺服器系統，像是Android系統與應用程式的開發、自動駕駛車輛內部系統執行、測試系統規模的擴展、複雜模擬作業的執行，或是須符合嚴格軟體授權要求的狀況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP Custom Silicon-2025-5-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Custom%20Silicon-2025-5-A.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-2025-11-Custom Silicon-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-2025-11-Custom%20Silicon-1.jpg" style="width: 600px;" /></a></p> <p>另一個突破是增設雲端虛擬機器系列，稱為N4A，是Google Cloud旗下第二批採用Axion處理器的一般用途虛擬機器，也是目前最具成本效益的N系列虛擬機器服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-Arm instances-2026-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-Arm%20instances-2026-1.jpg" style="width: 600px;" /></a></p> <p>相較於採用當前主流世代x86架構CPU的虛擬機器，N4A可提供兩倍的性價比（price-performance），以及每瓦效能領先幅度達到80％的能源使用效率。</p> <p>N4A適合的工作負載類型相當多元，包括：微服務、容器化應用系統、開放原始碼資料庫系統、批次處理、資料分析、軟體開發環境的設置、實驗測試、資料的準備、網站服務的提供，協助用戶實現各種AI應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20General%20Purpose-2026-01.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-Axsion-based instances-2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-Axsion-based%20instances-2025.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GCP-Arm instances-2025-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-Arm%20instances-2025-11.jpg" style="width: 298px;" /></a></p> <p>Google Cloud也公開N4A執行多種應用系統的性價比提升幅度，像是處理偏重運算能力要求的工作，N4A能夠比x86虛擬機器高出5％；用於一般用途的資料庫系統（MySQL的每秒交易量），N4A的領先幅度為20％；承載Java應用系統（SPECjbb2015的每秒運作量），N4A的成本效益高出85％；若是執行橫向擴展規模的網站伺服器系統（Google內部的Nginx反向代理測試），N4A的領先比例為90％；若只看CPU運算效能（SPECrate2017整數運算），N4A的性價比可達到205％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-11-N4A-1_q9MnCJ1_max-2000x2000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-11-N4A-1_q9MnCJ1_max-2000x2000.jpg" style="width: 600px;" /></a></p> <p>關於硬體配備，Google Cloud當時透露N4A搭配最新一代的Google Axion處理器，內建Arm Neoverse N3平臺的運算核心，整合Google發展的<a href="https://docs.cloud.google.com/compute/docs/dynamic-resource-management">動態資源管理技術</a>，以及<a href="https://cloud.google.com/titanium?hl=en">Titanium網路與儲存工作卸載技術</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/arm-neoverse-n3-cpu.png" style="width: 298px;" /><a href="https://s4.itho.me/sites/default/files/images/GCP General Purpose-2026-01-Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20General%20Purpose-2026-01-Comparison.jpg" style="width: 298px;" /></a></p> <p>到了今年1月底，Google Cloud宣布N4A正式上線，相較於去年底預覽版僅供應4個區域：us-central1（愛荷華州）、us-east4（北維吉尼亞州）、 europe-west3（法蘭克福）、europe-west4（荷蘭），現在擴及us-east1（南卡羅萊納州）、us-west1（奧勒岡州）、asia-southeast1（新加坡）、 europe-west1（比利時）、europe-west2（倫敦）。而關於Google Cloud企業級容器平臺GKE的支援上，用戶在GKE叢集的Autopilot（全代管）或標準運作模式當中，均可選用N4A系列虛擬機器，以前者而言，GKE叢集需使用1.34.1-gke.3403001的版本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/N4A-offering.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N4A-offering.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">Google Cloud N4A</span><br /> ●原廠：Google Cloud<br /> ●建議售價：n4a-standard-1，asia-southeast1（新加坡）區域每小時0.04748美元，每月34.6604美元<br /> ●採用處理器：Google Axion<br /> ●提供服務規模選擇與最大組態：<br /> N4A standard（每顆CPU對應4GB記憶體）、N4A highcpu（每顆CPU對應2GB記憶體）、N4A highmem（每顆CPU對應8GB記憶體），<br /> n4a-highmem-64，64顆虛擬處理器、512 GB記憶體、網路頻寬最高為50 Gbps，儲存搭配平衡Hyperdisk（每臺虛擬機器最多掛載64臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/31 15:26作者李宗翰https://www.ithome.com.tw/review/173697
Google推論框架LiteRT進階硬體加速上線，跨平臺GPU、NPU加速支援更完整
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google更新裝置端推論框架<a href="https://developers.googleblog.com/litert-the-universal-framework-for-on-device-ai/">LiteRT</a>，宣布在Google I/O 2025預告的進階硬體加速能力，已正式納入LiteRT產品堆疊並對開發者開放。這次更新把GPU與NPU的加速流程補齊，其中GPU支援從I/O 2025當時先在Android導入的路徑，擴大到Android、iOS、macOS、Windows、Linux與Web，讓裝置端AI推論在行動端、桌面與網頁之間更一致。</p> <p>LiteRT技術堆疊從TensorFlow Lite的基礎往前推進，過去TensorFlow Lite主要服務傳統機器學習推論，而LiteRT的定位則是接手新一代裝置端AI需求，包含更廣泛的硬體加速與跨平臺部署。</p> <p>LiteRT的GPU加速支援範圍涵蓋Android、iOS、macOS、Windows、Linux與Web，並透過ML Drift這套下一代GPU引擎，串接OpenCL、OpenGL、Metal與WebGPU等後端。在Android裝置上，LiteRT會在可用時優先採用OpenCL以取得較高效能，必要時退回OpenGL，其他平臺則改以各自的GPU後端，例如macOS使用Metal，Windows與Linux使用WebGPU。Google表示，在多種模型的平均情境下，LiteRT的GPU效能平均約比既有的TensorFlow Lite GPU委派快1.4倍。</p> <p>LiteRT的效能改善，來自推論從輸入到輸出的整體等待時間縮短，Google讓裝置端推論更少依賴CPU執行額外的等待與資料處理，並降低資料在不同硬體之間搬移時造成的延遲。</p> <p>Google點出目前NPU的挑戰不是單一硬體效能，而是生態系碎片化。面對不同晶片平臺與各家供應商工具鏈差異，開發者通常得用多套方式，才能把同一個模型部署到不同裝置，導致維運成本上升。LiteRT的訴求是把差異整合進同一套機制，讓開發者以較一致的方法啟用NPU加速，並在裝置不支援或條件不足時，仍能自動改用GPU或CPU維持可用性。</p> <p>在NPU部署流程上，Google把工作流簡化為三個步驟，包含可選的AOT預先編譯、在Android上可搭配Google Play for On-device AI將模型與執行階段交付到相容裝置，以及由LiteRT執行環境負責啟用NPU委派並在條件不足時回退到GPU或CPU。同時，LiteRT提供AOT與裝置端JIT兩種編譯策略，讓開發者在啟動速度與首次執行成本之間做取捨。</p> <p>LiteRT維持以.tflite格式作為跨平臺部署的共同基礎，開發者可利用PyTorch、TensorFlow與JAX等常見訓練框架轉換模型，讓不同來源的模型都能接上同一套裝置端推論與硬體加速能力，降低因訓練框架不同而造成的部署分歧。</p> </div></div></div>
1/30 16:32作者李建興https://www.ithome.com.tw/news/173693
蘋果營收成長16%，中國銷售增加38%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.businesswire.com/news/home/20260129405756/en/Apple-reports-first-quarter-results" target="_blank">蘋果周三（1/29）公布</a>截至2025年12月27日的2026財年第一季財報，顯示該季營收達1,438億美元，年增16%，創下歷史新高；每股盈餘為2.84美元，年增19%，同樣刷新紀錄。</p> <p>從產品線來看，iPhone仍是最大營收來源，該季營收達852.7億美元，年增23%，創歷史新高；服務事業營收為300.1億美元，年增14%，亦刷新單季紀錄。iPad營收為85.9億美元，年增6%；Mac營收為83.9億美元，較去年同期下滑7%。穿戴裝置、居家與配件（Wearables, Home and Accessories）營收為114.9億美元，年減2%，為該季唯一出現年減的產品類別。</p> <p>以區域來看，蘋果在各主要市場均維持成長，其中大中華區表現最為亮眼，單季營收達255.3億美元，年增38%。美洲市場營收為585.3億美元，年增11%；歐洲營收為381.5億美元，年增13%；日本營收為94.1億美元，年增5%；亞太其他地區營收為121.4億美元，年增18%。</p> <p>蘋果表示，iPhone在所有地理區域皆創下歷史新高，顯示高階裝置需求仍具韌性。</p> <p>在AI布局上，蘋果相較其他美國大型科技業者步調相對保守。該公司曾於2024年<a href="https://www.ithome.com.tw/news/163387" target="_blank">宣布</a>，將在作業系統中整合OpenAI的ChatGPT，並於2025年1月進一步<a href="https://www.ithome.com.tw/news/173313" target="_blank">確認</a>將採用Google Gemini作為AI合作夥伴。蘋果執行長庫克（Tim Cook）也在本次財報電話會議中透露，蘋果正與Google合作開發更具個人化能力的Siri，並持續將智慧功能深度整合至各項作業系統中。</p> </div></div></div>
1/30 15:31作者陳曉莉https://www.ithome.com.tw/news/173689
外傳OpenAI打算在今年第四季IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>華爾街日報（Wall Street Journal，WSJ）周四（1/29）<a href="https://www.wsj.com/tech/ai/openai-ipo-anthropic-race-69f06a42" target="_blank">引用消息來源報導</a>，OpenAI計畫在今年第四季首度公開發行股票（IPO），希望能搶在Anthropic之前，以吸引市場資金。</p> <p>同一天<a href="https://www.wsj.com/tech/ai/amazon-in-talks-to-invest-up-to-50-billion-in-openai-43191ba0" target="_blank">WSJ亦報導</a>，OpenAI正在進行高達1,000億美元的融資活動，其中，Amazon有意投入500億美元。且新一輪的融資將讓OpenAI的估值，從5,000億美元提高至8,300億美元。</p> <p>至於<a href="https://www.theinformation.com/articles/nvidia-microsoft-amazon-talks-invest-60-billion-openai" target="_blank">The Information則說</a>，Nvidia、微軟與Amazon都有意參與OpenAI新一輪的融資。其中Nvidia及微軟都是OpenAI的既有股東。</p> <p>儘管市場普遍認為AI估值已明顯偏高，甚至帶有泡沫化風險，但大型科技公司依然選擇持續加碼投入；這是因為AI已被視為下一個關鍵基礎設施，即使回收期不明、商業模型尚未完全成熟，企業仍不敢缺席。例如市場也傳出另一AI新創Anthropic近日原本只打算對外募資100億美元，結果<a href="https://www.ithome.com.tw/news/173648" target="_blank">超額募到</a>了200億美元，顯示在高估值疑慮之下，資本與企業仍選擇押注AI的長期戰略地位，而非短期獲利能力。</p> </div></div></div>
1/30 15:42作者陳曉莉https://www.ithome.com.tw/news/173691
ShinyHunters疑似經由第三方平臺取得約會App開發商Match Group逾1000萬筆資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://cybernews.com/security/hinge-okcupid-data-leak-shinyhunters-claims/" target="_blank">媒體發現</a>勒索軟體駭客組織ShinyHunters在暗網論壇上公告藉由第三方平臺，取得約會App如Tinder、OkCupid的開發商Match Group用戶及員工資料超過1,000萬筆。</p> <p>ShinyHunters貼文指出，它是經由AppsFlyer和數百份內部文件取得Hinge、Match與OkCupid等使用資料逾1,000萬筆。這些資料包含一個1.7GB壓縮檔。駭客同時公布資料樣本。AppsFlyer為行動行銷分析和歸因SaaS平臺。而Hinge、Match與OkCupid，連同受歡迎的Tinder都是由Match集團所開發。</p> <p>駭客疑似取得Match Group客戶資料、部份員工資料和公司資訊，釋出的樣本包含列出Hinge App配對文件，約100筆配對成功者帳號資料如姓名、基本資料。此外還有Hinge訂閱用戶資料如使用者ID、交易ID、支付金額、以及封鎖Hinge用戶的IP及地點。</p> <p>Match Group對媒體表示已得知可能的資料外洩，目前正在偕同外部專家著手調查。該公司表示目前沒有跡象顯示使用者登入憑證、財務資訊或私密通訊資訊外洩。此外他們相信只有很少數使用者資料受影響，也已著手準備通知用戶。</p> <p>另一方面行銷分析平臺AppsFlyer則駁斥駭客說法，堅持資料並非洩露自它的平臺，而且AppsFlyer系統也沒有發生資料外洩、資安事件或被駭等情形。</p> <p>ShinyHunters在經過去年執法機關取締沈寂一段時間後，近來似乎恢復行動力。近幾周ShinyHunters相繼聲稱竊得多家公司資料，包括創業公司資料庫Crunchbase、音樂串流平臺SoundCloud、自動化投資理財平臺Betterment、大型二手車零售商CarMax、汽車資訊與評測網站Edmunds.com及美國連鎖餐飲品牌Panera Bread逾200萬筆記錄。本周<a href="https://www.ithome.com.tw/news/173682" target="_blank">研究人員又發現</a>這個犯罪組織企圖對超過100家企業發動大規模語音網釣。</p> </div></div></div>
1/30 16:07作者林妍溱https://www.ithome.com.tw/news/173692
網路犯罪聯盟Scattered Lapsus$ Hunters企圖對超過100家企業發動大規模語音網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日前<a href="https://www.ithome.com.tw/news/173581">身分驗證業者Okta提出警告</a>，他們發現有人以租用服務形式提供客製化的網釣套件，駭客再以此攻擊Google、微軟、Okta，以及加密貨幣供應商的用戶，企圖竊取單一登入（SSO）的憑證，傳出攻擊者的身分是駭客組織ShinyHunters，後續有資安公司提出警告，他們發現最近一個月裡，這些駭客已打算對超過100家企業組織發動攻擊。</p> <p>威脅情資公司Silent Push<strong><a href="https://www.silentpush.com/blog/slsh-alert/">近日發布特殊資安警報</a></strong>，由Scattered Spider、Lapsus$，以及ShinyHunters三組人馬組成的網路犯罪聯盟Scattered Lapsus$ Hunters（SLSH），正對全球超過100家高價值企業發動大規模身分竊盜活動，鎖定Okta等單一登入平臺，透過高度互動的即時釣魚技術繞過多因素認證（MFA），恐對企業核心系統構成重大風險。</p> <p>Silent Push指出，這波攻擊並非傳統的自動化網釣，而是由真人操控、具高度互動的語音釣魚（Vishing）行動。攻擊者會在受害者登入流程中即時介入，利用即時釣魚控制臺（Live Phishing Panel）攔截帳號密碼與多因素驗證碼，取得企業單一登入連線階段的控制權。一旦這些駭客成功接管單一登入帳號，即可如同握有萬用鑰匙，存取企業內部多項雲端服務與應用程式，進一步進行資料竊取、橫向移動，甚至進行勒索。</p> <p>根據Silent Push的統計，過去30天內已有多個產業成為攻擊目標，包括科技與軟體、金融服務、金融科技、生技製藥，以及不動產投資領域。受影響或遭觀測的企業涵蓋Atlassian、Canva、HubSpot、Adyen、SoFi、Moderna、GileadSciences、Blackstone、CBRE，以及WeWork等知名組織，駭客正積極從事攻擊活動，或是準備對應的基礎設施。</p> <p>對此，他們呼籲這些企業組織應立即採取行動因應，因為SLSH的操作人員經常撥打電話給員工或是客服，同時即時操控釣魚網頁內容，讓受害者看到對應的登入資訊及通知，光是仰賴一般的資安意識訓綀，難以防範這類攻擊手法。企業應對員工及客服宣導，並要求只要收到疑似的訊息、電話，或是電子郵件，就要向主管及資安團隊通報；再者，企業也要稽查單一登入平臺的事件記錄，確認是否出現可疑的新裝置註冊事件，或是從來路不明的IP位址登入的情況。</p> </div></div></div>
1/30 14:22作者周峻佑https://www.ithome.com.tw/news/173682
蘋果20億美元收購AI語音技術新創Q.ai
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>蘋果近日收購以色列開發AI語音技術新創開發業者Q.ai，可能用來強化穿戴產品的人機互動。投資金額可能達20億美元，為蘋果歷來第二大收購案。</p> <p><a href="https://www.reuters.com/business/apple-acquires-audio-ai-startup-qai-2026-01-29/" target="_blank">路透社</a>首先報導此事，也獲得蘋果方面的證實。蘋果硬體業務部門副總裁Johnny Srouji表示很高興收購這家業者，而對未來可能的開發更感興奮。</p> <p>但蘋果未透露收購金額。路透社報導收購金額為16億美元，<a href="https://www.ft.com/content/49f4e2e4-3a68-4842-be67-879409d06aa1" target="_blank">金融時報</a>引述消息人士透露為20億美元金額，使本案成為僅次於2014年30億美元音訊消費電子業者（即耳機）Beats收購案的第二大收購案。</p> <p>Q.ai創辦人Aviad Maizels之前創立過PrimeSense，並在2013年為蘋果收購。PrimeSense的臉部辨識技術最終整合到iPhone中。Maizels於2022年離開蘋果並創辦Q.ai。另二個創辦人分別是電腦視覺專家Yonatan Vexler及腦機互動專家Avi Barliya。</p> <p>成立於以色列的Q.ai頗為低調，其主要<a href="https://www.ynetnews.com/business/article/by7ymzti11l" target="_blank">研發標的</a>是提升音訊溝通的機器學習系統。該公司的技術使裝置能夠理解呢喃低語，或強化吵雜環境中的人聲，以提升語音辨識與人機互動的準確度。這家業者有項專利可透過利用臉部肌肉細微動作及頭戴光學系統來辨識「靜音語言」（silent speech）、情緒和生命徵象技術。</p> <p>媒體判斷這些技術可能整合到蘋果穿戴式裝置如AirPods或Vision Pro，並可強化Siri和使用者的互動。</p> <p>這項收購前不久，<a href="https://www.theinformation.com/articles/apple-developing-ai-wearable-pin" target="_blank">The Information</a>報導，蘋果正在開發類似AI Pin的自有穿戴裝置，小巧的穿戴式iOS裝置配備多顆攝影機、麥克風與揚聲器，讓使用者別在領口或放在口袋方便和翻新的Siri聊天機器人互動。蘋果也<a href="https://www.ithome.com.tw/news/173313" target="_blank">和Google合作</a>，將以Gemini和Google雲端技術驅動新Siri，期望拉近和對手AI助理技術的落差。</p> </div></div></div>
1/30 15:19作者林妍溱https://www.ithome.com.tw/news/173688
富邦金內外並進守護資產，打造企業信任與防詐核心力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>冬日清晨六點半，天色剛透出微光，延後到達的冷氣團，反倒替「2025臺北馬拉松」送來適合長跑的清爽早晨。起跑汽笛畫破空氣的瞬間，兩萬八千名跑者同時湧向賽道。</p> <p>在這片流動的人海之中，富邦金控資安長蘇清偉以穩定的步頻前進，最終順利跑完馬拉松全程，成績落在參賽者中的中上段。對他而言，為馬拉松進行的跑步訓練是生活的日常；與駭客長期對峙，更是他工作中不曾停歇的日常。</p> <p>與多數出身純技術背景或企業機房的資安長不同，蘇清偉人生前半段，是在臺灣警界最前線度過，長年遊走於犯罪現場與數位證據之間。</p> <p>這段歷練，讓他對攻擊者的行為模式與戰術技術流程（TTPs）有著近乎本能的敏銳度，也培養出屬於第一線指揮官的冷靜與果斷。</p> <p>他從警界退休繼而轉戰金融業後，這股「警魂」則被蘇清偉移植到金融資安的戰場。這種從實戰中淬鍊出的「即時應變」DNA，讓蘇清偉在面對駭客威脅時，始終保持高度警戒。</p> <p>他以「步步為營、如履薄冰」形容自己對資安工作的態度；更隨時提醒自己：科技會進步，工具會更新，但人性與犯罪動機並不會改變。對他而言，看懂技術只是基本功，更重要的是看懂對手、看懂風險，以及在關鍵時刻，做出不容遲疑的判斷。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從基層科技警察到資安長的跨界之路</strong></span></span></p> <p>蘇清偉從警察大學資訊管理學系畢業後投身警界，是妥妥的本科生，在當時，科技警察是一條相對少見的養成路線。</p> <p>回顧在警隊服務的歲月，長期投入科技犯罪偵查與數位鑑識相關工作，蘇清偉感受到科技對傳統偵查方式帶來的衝擊。早年警察處理現場狀況時，後方指揮官只能透過無線電接收片段回報，「聽不到，也看不到」與犯罪現場的資訊不對稱，讓決策存在落差。</p> <p>為了改善這種斷層，他積極導入資訊技術，推動現場影像即時回傳情報中心，協助指揮中心能同步掌握全貌，幫助指揮官精準地下達指令、打擊犯罪。</p> <p>長年站在第一線的經驗，讓他能理解攻擊者如何蒐集資訊、如何試探防線，這種對風險近乎直覺的判斷方式，並非短時間內，能從書本或規範中學得。</p> <p>科技警察除了資訊專業外，更普遍具有法律素養，也為他日後從警界轉戰金融圈埋下伏筆。蘇清偉坦言，許多資安主管具備深厚IT與資安技術能力，但在面對法遵與跨部門協調時，往往需要更多磨合。警察出身的他，早已習慣在法律框架下運作，更能理解制度背後的治理邏輯，讓他更能適應金融界的工作型態。</p> <p>從警界轉入金融業，表面看似跨度甚大，但在他眼中，兩者核心高度相通。他直言，儘管今日的網路犯罪手法不可同日而語，但犯罪本質始終沒變，無論攻擊系統漏洞或透過社交工程操弄人心，目的都是尋找「脆弱點」。</p> <p>進入金融體系後，蘇清偉面對的是一個橫跨銀行、人壽、產險與證券的龐大金融集團；資安長要因應的挑戰，不只關乎系統是否穩定，而是涵蓋高度組織化的攻擊行為、地緣政治與利益衝突交織而成的資訊戰，以及不斷翻新的高科技詐騙手法。</p> <p>他表示，背後牽動數以百萬計客戶的資產安全與信任基礎，與難以量化、卻極為珍貴的品牌價值。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>一條鞭式的管理，平衡治理與技術</strong></span></span></p> <p>在資安圈，資安長的角色，長年存在技術與治理之爭，蘇清偉說：「資安長不能偏廢治理面，但沒有專業技術支撐的治理，往往會變得無法到位。」他語氣篤定表示，在發生真正網路攻防戰時，資安長若不理解攻擊原理，站在指揮位置上的人，很難做出精準決策。</p> <p>這樣的觀點，並非單純的技術至上論，而是來自他對「即時應對」的高度重視。蘇清偉舉例，當駭客試圖DDoS攻擊消耗系統資源時，處置必須快如閃電，治理若缺乏對技術細節的掌握，最後只會流於形式。</p> <p>這套思維，深刻影響他進入富邦金控後，所推動的資安治理模式。面對龐大的金融集團，蘇清偉很快意識到，資安最大風險在於「組織防禦力不一致」。他常掛在嘴邊的比喻是「木桶理論」：一個木桶能裝多少水，取決於最短的那塊木板。</p> <p>為了避免這種「短板效應」，蘇清偉在老闆授權下，推動「一條鞭」管理模式。意味著，在資安這條軸線上，他不只是顧問角色，而是擁有跨子公司統籌、監督的權力，必須對整個金控的資安狀況負責。</p> <p>他笑稱，現在自己是純金控資安長，不需像早期兼任銀行資安長、或兼任金控資訊長時，容易出現「左手打右手」的顧慮。</p> <p>「一條鞭」不代表高壓集權，而是以一致性為核心的治理設計。蘇清偉每年會邀集各子公司資安長共同討論，依據年度風險，訂定一套具體而量化的資安管理績效指標。</p> <p>這些指標涵蓋：資安曝險分數、病毒偵測數、員工社交工程演練的點擊率，及系統上線前的資安審查件數等。他表示，設定這些指標的目的不是為了排名或羞辱，而是確保每塊「木板」都達到基本高度。</p> <p>讓這套制度發揮效果的關鍵，在於透明化，蘇清偉每個月都會將各子公司的資安指標分數，直接送交董事長與總經理。他笑說，這個做法讓各級長官「立刻有感」，因為資安不只是技術單位內部的專業議題，而是攤在經營階層眼前的治理成績單。當資安表現開始與經營責任產生連動，組織內部的資源配置與決策優先順序，也隨之改變。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安是集團數位轉型幕後推手</strong></span></span></p> <p>對蘇清偉而言，資安存在的意義不是替創新踩煞車，而是成為那個「如影隨形」、協助集團順利數位轉型的守護者。</p> <p>蘇清偉直言，資安若只在最後一刻出現，會被視為「扯後腿」的角色，面對數位金融浪潮，資安長已逐步走到營運前線，追求的是：讓資安融入開發流程的每個環節，成為業務推進時，自然存在的一部分。</p> <p>他以能進行交易、查詢餘額、承載大量敏感資訊的「富邦Plus」（Fubon+）行動銀行App為例，資安團隊在開發初期就已加入協作，而不是等到系統接近完工、要做滲透測試（PT）時，才輪到資安團隊發揮。</p> <p>在App開發過程中，資安同仁不斷提醒開發人員要做到SSDLC（安全軟體開發生命週期），協助他們在寫程式時，就避免常見資安風險；讓系統未上線前，弱點已被找出並完成修補。</p> <p>蘇清偉坦言，早年做法是「開發完再找資安來測」，常常變成臨門一腳被打回重來，既傷感情，也影響效率。現在透過「敏捷式」的結合，資安與業務不再是對立的兩方，而是並肩合作的夥伴。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0130-CISO-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p>「資安團隊不扮演扯後腿的角色，而是要把IT和業務單位的系統，調校到最安全。」這句話，是蘇清偉在內部反覆傳達的核心理念。他追求的是「安全的可行性」，只要能清楚說明業務上的商用需求，資安團隊就會協助找到一條既安全、又能完成任務的路徑。</p> <p>這樣的治理哲學，讓資安不再被視為數位轉型的絆腳石，而是推動轉型的助力。在數位金融競爭激烈環境下，產品推出速度越來越快，系統複雜度越來越高，任何一個漏洞，都能直接衝擊客戶資產與品牌信任。蘇清偉深知，唯有讓資安與業務節奏同步，才能在創新與風險之間取得平衡。</p> <p>他用「下水道工程」來比喻資安工作本質：平時運作順暢時，沒有人會注意到它；但只要出問題，後果一發不可收拾。因此，他在富邦建立全天候的防護與監控機制，從端點的EDR、網路層的NDR，到24小時運作的SOC（資安監控中心），形成一張不間斷運轉的防護網。</p> <p>即便是下班時間，當系統偵測到異常活動，警報也會透過即時通訊軟體，第一時間傳送到同仁的手機。這種「隨時應戰」的運作模式，是為了確保在關鍵時刻，能即刻反應、即刻處置。對蘇清偉而言，資安不是朝九晚五的工作，而是一場需要高度韌性與紀律的長期戰役。</p> <p>在外界眼中，富邦金控能穩居市場領先地位，靠的是多元金融布局與亮眼營運表現；但他認為，在背後支撐整個數位體系運作的，正是這套看不見卻從未鬆懈的資安防線。</p> <p>他表示，當資安能「如影隨形」地融入每次系統開發、每項創新服務，它便不再只是風險控管的成本，而成為企業放心向前的底氣。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>金融業成為第一線打詐主力</strong></span></span></p> <p>在全民談詐色變的此刻，金融體系早已站上打詐第一線。蘇清偉表示，面對不斷進化的電信與網路詐騙，他將大半心力投注在「打詐」與「防範偽冒」之上，因為他比誰都清楚，一旦品牌被利用，受害的不只是個別客戶，而是整個金融體系的信用基礎。</p> <p>詐騙手法已從早期面對面詐騙、電話詐騙，演進到透過社群平臺進行大規模擴散，甚至即將邁入結合AI深偽技術的第四代詐騙。蘇清偉從實戰發現，當假冒官網帳號被下架後，詐騙集團將受害者導入沒有品牌Logo、難以主張侵權的私密群組中，繼續進行誘騙。這種「轉移術」，成為近年最令金融業頭痛的詐騙樣態。</p> <p>面對真假難辨的數位訊息，他不再依賴傳統、緩慢的人工巡邏，而是導入自動化工具進行大規模監測巡邏，要求Meta或LINE下架假冒富邦帳號，並以「一案一案處理」的方式，堅持將假訊息阻斷在源頭。他坦言，這是一場消耗戰，因為只要鬆手，代價就是客戶的信任。</p> <p>所以，他在金控內部成立跨部門的「打詐應變小組」與「偽冒應變組」，整合資安、風控、法遵、法務與品牌公關的力量，只要網路上出現假冒富邦高層或Logo的訊息，團隊就會立即啟動SOP，用最快速度向平臺檢舉並報案。</p> <p>「我不殺伯仁，伯仁因我而死。」這句話成為他形容企業打詐社會責任時最沉重的註腳。在他眼中，防詐不只是合規或風控問題，而是必須正面承擔的道德義務。</p> <p>警察出身的他深知「情報」與「聯防」，才是真正的防禦前線。他在富邦內部，建立一個高階主管通報群組，只要出現可疑IP位址、攻擊手法，甚至地緣政治引發的異常跡象，都會在第一時間把資訊同步給各子公司的資安主管，進行聯手防護。「這不只是技術協作，更是一種組織層級的風險共識。」他說。</p> <p>對外，他積極參與F-ISAC（金融資安資訊分享與分析中心）聯防機制，透過與同業交換情資，第一時間掌握駭客正在利用的漏洞與最新詐騙模式，迅速在內部防火牆設定規則、進行阻擋。同時，富邦也與政府單位如165反詐騙專線、數位發展部及電信業者保持密切合作。</p> <p>他直言，資安不該「自掃門前雪」，業界資安長間的人脈連結與資訊交換，往往是能否提前防禦的關鍵；打詐也不是單一機構能完成的任務，應該成立「打詐國家隊」，讓政府與企業站在同一陣線。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>內化資安文化到工作日常，從白名單重構信任</strong></span></span></p> <p>對蘇清偉而言，真正堅固的資安防線，不在機房深處，而在每位員工的日常選擇裡。他說：「只靠資安部門幾十個人的力量是不夠的。」因此，富邦推動「資安管理官」與「資安種子」制度，在各個業務單位中選拔對資安有基礎概念的同仁，成為第一線溝通與宣導節點。</p> <p>這些人不只是政策傳遞者，更是文化播種者，公司贊助這些種子人員考取ISO 27001等國際認證，讓「資安人人有責」不再停留在標語，而是轉化為可被驗證的專業能力。</p> <p>蘇清偉認同，AI將是資安防禦最大的挑戰，也是最大的機會，尤其是深偽技術（Deepfake）的成熟，「你沒辦法百分之百確定它是假的，」他冷靜地分析。</p> <p>因此，他提出一個策略：從「白名單」出發，與其費力澄清層出不窮的假訊息，不如建立讓客戶清楚辨識什麼是「真的」機制。例如，未來金控發布的官方影片，可以透過數位簽章認證，只要看到簽章標記，客戶就能確認這是來自富邦的真實資訊。在他看來，這不僅是技術問題，更是一場關於信任的重新建構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0130-CISO-300.jpg" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／富邦金控</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 公司檔案 </span></strong></span></p> <p><strong>富邦金控</strong></p> <p><strong>●董事長：蔡明興</strong></p> <p><strong>●總經理：韓蔚廷</strong></p> <p><strong>●1961年：富邦產物保險公司的前身國泰產險正式開業</strong></p> <p><strong>●1992年4月20日：富邦集團創立富邦商業銀行</strong></p> <p><strong>●2001年12月19日：富邦金控成為臺灣首家掛牌的金控公司</strong></p> <p><strong>●2021年：富邦金控公開收購日盛金控，國內首樁「金金併」里程碑</strong></p> <p><strong>●2022年：富邦金控完成合併日盛金控</strong></p> <p><span style="color:#ffffff;"><strong><span style="background-color:#3366ff;"> 資安部門檔案 </span></strong></span></p> <p><strong>●資安部門名稱：資訊安全處</strong></p> <p><strong>●成立時間：2019年</strong></p> <p><strong>●部門主管：蘇清偉副總經理</strong></p> <p><strong>●直屬主管：韓蔚廷總經理</strong></p> <p><strong>●資安部門人數：2025年金控暨子公司共計95名</strong></p> <p><strong>●資安部門工作範圍與目標：完善防護基礎、精進資安韌性、守護客戶資產</strong></p> <p><strong>●資安部門角色與分工：完善防護基礎、精進資安韌性、守護客戶資產；訂定資訊安全政策，規畫辦理資訊安全風險管理；規畫辦理資訊安全作業與管理規範；規畫辦理資訊安全交流與合作；規畫辦理各子公司資安績效衡量、監控、報告機制；規畫辦理資訊安全防護、偵測、回應、復原機制；維運資訊安全相關系統；規畫辦理資訊安全教育訓練</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 資安大事記 </span></strong></span></p> <p><strong>●2025年：富邦金控獲頒BSI「2025數位信任獎」集團獎；富邦金控打詐，加入「公眾人物反詐通報專用郵箱」機制</strong></p> <p><strong>●2024年：富邦人壽取得NIST CSF認證，通過ISO 22301營運持續管理續審認證；富邦證券通過BS10012：2017個資保護管理體系認證；富邦投信通過ISO 22301營運持續管理認證；北富銀啟用AI洗防系統「獵鷹系統」</strong></p> <p><strong>●2023年：富邦產險首家獲主管機關核准試辦行動身分識別；台北富邦銀行攜手刑事警察局，將鷹眼模型AI偵測專利技術無償提供逾30家銀行應用；富邦金控年底取得英國標準協會BS 10012：2017個資保護管理系統認證</strong></p> <p><strong>●2022年：台北富邦銀行獲得英國標準協會ISO 22301營運持續管理認證，首家獲頒此證的民營銀行</strong></p> <p><strong>●2014年：台北富邦銀行（安和分行）存匯業務及信用卡業務，通過BSI「BS 10012：2009」資料保護個人資訊管理制度」認證</strong></p> <p><strong>●2011年：富邦金控旗下銀行、信用卡與證券期貨三大客戶服務部門，領先通過英國標準協會BS 25999營運持續管理驗證</strong></p> <p><strong>●2009年：富邦金控資訊暨作業本部榮獲ISO 27001認證</strong></p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0130-ciso-960.jpg" width="960" height="420" alt="" title="富邦金控資安長蘇清偉　（攝影／洪政偉）" /></div></div></div>
1/30 13:59作者黃彥棻https://www.ithome.com.tw/people/173684
【資安日報】1月30日，駭客要求AI根據開發流程打造功能複雜的惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173672"><strong style="font-size: 22px;">雲端惡意軟體框架VoidLink疑似以AI生成，具開發能力的駭客要求AI根據開發流程，打造近9萬行程式碼的複雜惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Void-Link-AI.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Void-Link-AI.png" style="width: 300px; float: right;" /></a></p> <p>1月13日資安公司Check Point揭露雲端惡意軟體框架VoidLink，事隔數日，他們又公布新的調查結果，指出此惡意軟體是由大型語言模型（LLM）高度參與生成的完整惡意軟體架構，標誌著AI生成威脅已從簡單的編寫指令碼，演進到能開發複雜的攻擊工具，而VoidLink背後參與開發的駭客，實際上可能只有一人。</p> <p>有別於其他缺乏開發能力的駭客，利用AI生成惡意程式，成品多半是模仿能公開取得的惡意軟體，VoidLink是本身具備開發經驗的駭客所為，而且，他不光直接利用AI生成程式碼，還要求AI根據規格取向的開發方法（Spec-Driven Development，SDD），先規畫結構化的多團隊開發流程，包含工作排程、成品規格，以及預期的交付成果，然後模型根據這些安排打造惡意軟體，並進行迭代更新與測試。</p> <p><a href="https://www.ithome.com.tw/news/173673"><strong style="font-size: 22px;">雲端惡意框架VoidLink透過C2即時編譯，廣泛對多種版本Linux核心的環境發動攻擊</strong></a></p> <p>資安公司Sysdig取得雲端惡意軟體框架VoidLink二進位檔案進行解析，指出VoidLink最具突破性的特徵，在於採用了「伺服器端編譯Rootkit」機制。一般而言，傳統Linux核心模組Rootkit採用可載入核心模組（Loadable Kernel Modules，LKM），必須針對特定Linux核心版本編譯，才能正常載入及運作，因此，攻擊的範圍會局限在執行特定核心版本的Linux主機，而VoidLink的C2伺服器會根據受害主機回傳的核心版本與設定，即時編譯相容的核心Rootkit後再傳送到受害主機，大幅提高在不同環境中的成功率與隱匿性。Sysdig將此技術稱為Serverside Rootkit Compilation（SRC），並指出VoidLink是第一個採用這種機制的Linux惡意程式。</p> <p>除了透過C2直接編譯能在受害主機運作的VoidLink，更可怕的地方在於，VoidLink展現了對現代Linux技術的成熟應用。其中一個就是濫用extended Berkeley Packet Filter（eBPF）技術，隱密地從事網路監控及竊取資料。由於eBPF能在不更動核心原始碼的情況，在核心執行Rootkit程式，使得VoidLink能在網路堆疊的最底層監聽流量，從而規避應用層的防火牆或監控工具。這種將雲端原生診斷工具轉化為網路間諜工具的手法，突顯開發者對系統底層架構的深刻理解。</p> <p><a href="https://www.ithome.com.tw/news/173678"><strong style="font-size: 22px;">工作流程自動化平臺n8n存在重大沙箱繞過漏洞，通過身分驗證的攻擊者有機會接管系統</strong></a></p> <p>資安公司JFrog指出，他們近期在n8n的沙箱機制Abstract Syntax Tree（AST）當中，發現兩個資安漏洞：CVE-2026-1470與CVE-2026-0863，它們存在於表達式評估引擎和Python程式碼節點，其中又以風險達到重大層級的CVE-2026-1470，特別危險。JFrog指出，對於動態及高階語言（如JavaScript和Python）提供防護的沙箱機制而言，這些漏洞的存在，意味著須設法克服嚴峻的挑戰，即使AST具備多層驗證、封鎖列表，以及管制能力，攻擊者還是有機會透過程式語言的特性，或是執行環境（Runtime）的行為，繞過資安防護措施。</p> <p><a href="https://www.ithome.com.tw/news/173642"><strong style="font-size: 22px;">OpenSSL修補加密訊息語法解析的堆疊溢位漏洞，恐致DoS甚至引發RCE</strong></a></p> <p>OpenSSL專案發布安全公告，修補高風險漏洞CVE-2025-15467。該漏洞發生的原因，源自程式在解析加密訊息語法（Cryptographic Message Syntax，CMS）的AuthEnvelopedData資料時，如果輸入惡意製作的訊息，可能觸發堆疊緩衝區溢位，導致服務當機形成拒絕服務（DoS），且在部分平臺防護不足時，有可能引發遠端程式碼執行（RCE）。受影響版本涵蓋OpenSSL 3.0到3.6多個分支，OpenSSL 1.1.1與1.0.2則不受此漏洞影響。官方也表示FIPS模組不受影響，原因是CMS實作不在FIPS模組邊界內。</p> <p>只要是會解析不受信任的CMS或公鑰加密標準PKCS#7內容，且使用AEAD加密演算法的服務與應用都可能受影響，例如處理S/MIME AuthEnvelopedData且採用AES-GCM的情境。因此企業郵件閘道或內容掃描服務，會自動解析外部寄入的S/MIME封裝內容，且底層連結到受影響版本，建議列為高優先修補項目。</p> <p><a href="https://www.ithome.com.tw/news/173677"><strong style="font-size: 22px;">Google修補Chrome高風險漏洞，Background Fetch API存在實作問題</strong></a></p> <p>Google修補Chrome高風險資安漏洞CVE-2026-1504，涉及Background Fetch API的不當實作，可能導致背景下載流程在特定條件的情境中，出現邏輯錯誤，進而影響原本應受限制的存取與驗證機制。本次修補已透過Chrome穩定版本發布頻道，於1月27日推出，Windows與Mac版本為144.0.7559.109／.110，Linux則為144.0.7559.109。此漏洞由安全研究人員Luan Herrera於1月9日通報，Google已依漏洞獎勵計畫提供3,000美元獎金。</p> <p><a href="https://www.ithome.com.tw/news/173671"><strong style="font-size: 22px;">雲端電動滑板車BLE設計存風險，預設金鑰恐解鎖所有車輛</strong></a></p> <p>愛沙尼亞資安研究人員Rasmus Moorats近日揭露，一款Äike雲端連線電動滑板車在低功耗藍牙（BLE）通訊設計上，存在嚴重安全缺陷，攻擊者可利用寫死在韌體與行動應用程式中的預設主控金鑰，直接解鎖並控制所有同型號車輛。由於該產品製造商已停止營運，相關漏洞至今仍無官方修補，突顯物聯網裝置在產品生命週期末期所面臨的資安風險。</p> <p>Moorats在分析Android版App後發現，應用程式內嵌了一組用於BLE驗證的主控金鑰（master key），且該金鑰並非每臺裝置唯一，而是所有車輛共用同一組預設值。他進一步比對BLE通訊流程後確認，只要取得這把金鑰，便能在藍牙範圍內直接向車輛下達控制指令，完全不需要登入雲端帳號或通過額外驗證。</p> <p><a href="https://www.ithome.com.tw/news/173667"><strong style="font-size: 22px;">Dormakaba門禁系統爆20項漏洞，入侵內網的攻擊者可任意開門</strong></a></p> <p>資安顧問公司SEC Consult揭露，瑞士門禁與鎖具廠Dormakaba旗下企業級實體存取控制系統Kaba Exos 9300，存在超過20項弱點，其中20項已取得CVE編號。研究團隊指出，這套系統被不少歐洲大型企業場域採用，如工業與服務業、物流、能源供應商與機場營運單位，攻擊者要是能先取得目標環境的網路或存取硬體，便可能透過多條路徑開啟任意門禁，或在未經事前授權下重設控制器與周邊設定。</p> <p>Dormakaba表示已提供修補程式與強化指引，並稱受影響客戶雖達數千家，但屬高安全需求環境者僅占少數。</p> <p><a href="https://www.ithome.com.tw/news/173654"><strong style="font-size: 22px;">WhatsApp新增安全設定，防範高風險個人遭植入監聽軟體</strong></a></p> <p>Meta宣布為WhatsApp新增嚴格帳戶設定（Strict Account Settings）功能，以防止使用者遭到進階攻擊者，如政府監聽通訊內容或外洩。</p> <p>這項設定是向所有WhatsApp使用者開放的功能選項，一般消費者也可以啟用，但官方說明指出，這個功能是為了應對高度複雜和精準網路攻擊情境而設計，主要設定用戶是可能處於高風險的人士，如記者、公眾人物，以及維權人士等。本功能會在未來幾週內部署。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hugging-face-abused-to-spread-thousands-of-android-malware-variants/">AI模型共享平臺Hugging Face遭濫用，駭客用來散布數千個安卓惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/aisuru-botnet-sets-new-record-with-314-tbps-ddos-attack/">殭屍網路Aisuru與Kimwolf再度發動大規模DDoS攻擊，創下31.4 Tbps的新紀錄</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ivanti-warns-of-two-epmm-flaws-exploited-in-zero-day-attacks/">Ivanti修補行動裝置管理平臺EPMM兩項零時差漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/gemini-mcp-tool-0-day-vulnerability/">Gemini的MCP工具存在零時差漏洞，攻擊者可發動RCE攻擊</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173656"><strong>【1月29日】波蘭電力基礎設施遭遇攻擊，傳出是俄羅斯駭客所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173643"><strong>【1月28日】竄紅的開源AI平臺Clawdbot出現部分系統配置不當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173616"><strong>【1月27日】金管會資安監理政策2026年六大新重點</strong></a></p> </div></div></div>
1/30 14:18作者周峻佑https://www.ithome.com.tw/news/173683
傳聞馬斯克有意合併SpaceX與xAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.reuters.com/world/musks-spacex-merger-talks-with-xai-ahead-planned-ipo-source-says-2026-01-29/" target="_blank">路透社（Reuters）本周</a>引述消息來源指出，馬斯克（Elon Musk）有意讓旗下的SpaceX與xAI合併，以讓SpaceX同時擁有火箭、Starlink衛星、AI聊天機器人Grok，以及社交平臺X。</p> <p>根據報導，這兩家公司已分別在內華達州設立新的實體，可能是為了併購作準備。不過，不論是馬斯克、SpaceX或xAI都未回應路透社的詢問。</p> <p>馬斯克於2023年創立的xAI是家AI公司，已推出Grok聊天機器人，<a href="https://www.ithome.com.tw/news/168140" target="_blank">在2025年3月買下</a>了同樣屬於馬斯克麾下的X社交平臺，當時合併後的新公司價值1,130億美元。</p> <p>xAI或許是為了資料量才整合X。而<a href="https://www.weforum.org/stories/2026/01/elon-musk-technology-abundant-future-davos-2026/" target="_blank">日前馬斯克</a>在世界經濟論壇（World Economic Forum）上表示，他認為AI部署的根本限制為電力，因此SpaceX的計畫之一就是在幾年內發射具備太陽能發電能力的衛星，為部署於太空中的AI資料中心提供穩定能源來源，且太空亦具備更有利的散熱條件，理論上可降低長期運算及冷卻成本。</p> <p>若將xAI併入SpaceX體系，等同於把AI模型、運算需求與發射、能源及通訊能力納入同一個垂直整合架構之中，形成馬斯克所構想的下一代AI基礎設施。</p> <p>目前SpaceX的估值約為8,000億美元，xAI則是2,300億美元，市場傳出SpaceX可能會在今年首度公開發行股票（IPO）。</p> </div></div></div>
1/30 12:23作者陳曉莉https://www.ithome.com.tw/news/173681
Google領軍查緝全球最大住宅型代理網路IPIDEA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google威脅情報小組（Google Threat Intelligence Group，GTIG）昨日（1/29）<a href="https://cloud.google.com/blog/topics/threat-intelligence/disrupting-largest-residential-proxy-network" target="_blank">宣布協同合作夥伴</a>，查緝了曾助長Aisuru/Kimwolf殭屍網路、全球最大住宅型代理網路（Residential proxy network）IPIDEA。</p> <p>住宅型代理網路是透過軟體及網路協定，將眾多家用電腦、手機或物聯網裝置串聯，這些裝置在使用者同意下分享頻寬成一個IP池（pool），並可由單一住宅IP擔任對外出口。經由這個網路連出去的流量，從外部看來是該住宅IP的流量。</p> <p>住宅型代理網路的流量行為模式像真人，可作為網站可用性、市場或廣告研究等合法用途，但一旦被濫用，可被用來刷票、繞過地區限制或隱匿攻擊流量來源等灰色或不法用途。</p> <p>Google說明，IPIDEA的代理基礎架構是數位生態系中鮮為人知的一環，廣為各種不法人士使用。其基礎架構原理是在家用裝置如電腦、手機或路由器等植入惡意軟體使其變成代理節點，用戶對頻寬被分享出去以及被當成代理（proxy）並不知情。</p> <p>Google威脅情報小組說明，這次行動包含三個部分。一為透過法律途徑封鎖用以控制家用裝置及控制流量的網域，其次是將發現到的IPIDEA軟體開發套件（SDK）及代理軟體分享給平臺供應商、執法機關或研究單位。SDK作用是將用戶裝置納編到IPIDEA網路。此外，Google也會以Android內建安全防護方案Google Play Protect自動偵測、警告或移除含有相關SDK的Android應用，防止再度感染。</p> <p>這次行動查緝了IPIDEA使用的部分網路基礎架構，減損數百萬代理營運者可用的裝置池。由於這些代理營運者是利用經銷協議共享這些裝置的IP池，Google認為這次行動會對下游同夥產生影響。</p> <p>IPIDEA的網路基礎架構因助長駭客攻擊而聞名。其SDK被用來收編用戶裝置到殭屍網路，其代理伺服器軟體則可用來操控行動。許多殭屍網路都和它有關，包括BadBox2.0、和近日的Aisuru和Kimwolf。2026年1月，Google觀察到有來自中國、北韓、伊朗和俄羅斯等550多個威脅組織，使用IPIDEA出口節點來隱匿其行動，存取SaaS環境與本地部署基礎架構，和發動密碼潑灑攻擊。</p> <p>Google也列出了多個由IPIDEA營運者控制的10多個代理網路及其使用的SDK，提供用戶留意。這些代理網路看似獨立的VPN及代理伺服器合法業者如360 Proxy、922 Proxy、ABC Proxy、Cherry Proxy、Door VPN。以下SDK為同一批駭客控制：Castar SDK、Earn SDK、Hex SDK、Packet SDK。</p> </div></div></div>
1/30 11:58作者林妍溱https://www.ithome.com.tw/news/173679
Google修補Chrome高風險漏洞，Background Fetch API存在實作問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google修補Chrome一項高風險資安漏洞CVE-2026-1504，涉及Background Fetch API的不當實作，可能在特定情境下，影響瀏覽器既有的安全檢查機制。</p> <p>本次修補機制已透過Chrome穩定版本發布頻道，<a href="https://chromereleases.googleblog.com/2026/01/stable-channel-update-for-desktop_27.html" target="_blank">於1月27日推出</a>，Windows與Mac版本升級至144.0.7559.109／.110，Linux則為144.0.7559.109。</p> <p>根據Google說明，該漏洞屬於API層級的實作問題，可能導致背景下載流程在特定條件的情境中，出現邏輯錯誤，進而影響原本應受限制的存取與驗證機制。</p> <p>Background Fetch API用於支援長時間下載任務，即使使用者關閉分頁或瀏覽器未維持前景狀態，下載仍可持續進行。相關機制涉及權限與下載狀態控管，若實作不當，可能成為攻擊者繞過瀏覽器安全模型的切入點。</p> <p>此漏洞由安全研究人員Luan Herrera於1月9日通報，Google已依漏洞獎勵計畫提供3,000美元獎金。官方表示，在多數使用者完成更新前，將暫時限制公開漏洞的技術細節。</p> <p>Google建議使用者透過Chrome內建的「關於Chrome」功能檢查並安裝最新版本，完成更新後重新啟動瀏覽器，以確保修補生效。企業與組織亦應留意用戶端瀏覽器版本管理，避免舊版軟體持續曝露於已知風險之下。</p> </div></div></div>
1/30 12:10作者王珮瑤https://www.ithome.com.tw/news/173677
AI趨勢周報第284期：Google DeepMind給出多語言模型的最佳擴展法則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0123～0129）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ATLAS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 擴展法則 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google DeepMind </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google DeepMind給出多語言模型的最佳擴展法則</strong></span></p> <p>Google DeepMind最近提出一套新訓練法則ATLAS（Adaptive Transfer Scaling Laws），專門解決一個老問題：多語言模型越練越大，但效果常常不如預期。進一步來說，過去大家熟悉的擴展法則（Scaling laws），幾乎都是在「只訓練英文」的情況下推導出來的。一旦模型要同時支援幾十、幾百種語言，原本的經驗法則就不太管用。</p> <p>ATLAS實際跑了774次受控訓練實驗，模型大小從1,000萬到80億參數不等，涵蓋了400多種語言訓練，而團隊評估了48種目標語言的表現。他們發現，語系或書寫系統相近的語言一起訓練，最容易加分，例如西班牙文、葡萄牙文、義大利文一起訓練，效果通常比亂混更好。</p> <p>這項研究也量化了常被提到的「多語言詛咒」。結論是，語言變多確實會佔用模型容量，但影響沒那麼可怕：如果支援的語言數量翻倍，只要把模型放大約1.18倍、資料量增加1.66倍，就能維持效能。團隊也在ATLAS給出建議，算力資源不夠時，先微調現有的多語言模型最划算；資源要是夠多，再從頭訓練。<a href="https://research.google/blog/atlas-practical-scaling-laws-for-multilingual-models/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-research2023-media/images/ATLAS-2.width-1250.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 翻譯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hugging Face </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hugging Face釋出1兆Token的超大翻譯資料集FineTranslations</strong></span></p> <p>Hugging Face最近公開FineTranslations資料集，規模超過1兆Token，涵蓋500多種語言與英文對照翻譯的平行文本，是目前最大的合成翻譯資料集之一。為建立這套資料集，團隊先是將多語言預訓練資料集FineWeb2的非英文內容，透過Gemma 3 27B模型，大規模翻譯成英文。這個資料集以ODC-By 1.0授權釋出，使用者可自由使用、重製，團隊也完整公開產製流程。</p> <p>FineTranslations的核心目的，是要補齊現有模型的翻譯弱點。多數語言模型在「外語翻英文」時表現很好，但在「英文翻外語」，尤其是低資源語言，翻譯品質仍明顯落後。Hugging Face的做法，是先建立大量的原文－英文對照資料集，再用這些平行語料來微調模型，強化英文 → 其他語言的翻譯能力。</p> <p>團隊測試發現，這批英文資料本身也保留各國文化和語境特徵，單獨用於英文模型訓練時，效果已接近FineWeb等高品質語料。這也顯示，以AI合成的資料，再反過來訓練AI，是一個可行的方法。<a href="https://huggingface.co/datasets/HuggingFaceFW/finetranslations">（詳全文）</a></p> <p><img alt="" src="https://huggingface.co/datasets/HuggingFaceFW/admin/resolve/main/finetranslations_plot.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Clawbot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 協作 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Clawdbot走紅，AI助理走向開始做事的行動代理</strong></span></p> <p>開源AI代理專案Clawdbot（現名為Moltbot）近日在開發者社群快速竄紅，被視為AI助理邁向行動代理（Agent）的重要象徵。該專案由奧地利工程師、PSPDFKit共同創辦人Peter Steinberger於2026年1月推出，主打使用者可自行部署且控制的本地AI助理，而非綁定單一雲端服務。</p> <p>Clawdbot的設計重點，在於讓大型語言模型不只回話，而是能在取得授權後實際執行任務。使用者可將其部署在本地電腦或伺服器，串接OpenAI、Anthropic等模型API，並透過Telegram、Slack、Discord或Teams等既有通訊工具下指令，讓AI進行檔案讀寫、終端機操作、網頁擷取與流程自動化。</p> <p>相較多數雲端AI服務，Clawdbot不強調專屬介面，而是嵌入原有工作流程。其以Gateway負責權限與訊息控管，實際行動則交由本地代理執行。社群分享顯示，已有使用者將其用於內容產製、研究與內部流程自動化。雖仍偏向開發者實驗框架，但Clawdbot的爆紅意味著，AI助理正從聊天工具，走向可被信任、可被授權的工作夥伴。<a href="https://github.com/moltbot/moltbot">（詳全文）</a></p> <p><img alt="" src="https://raw.githubusercontent.com/moltbot/moltbot/main/docs/whatsapp-clawd.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 憲章 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Claude </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic改用一整份說明書教AI怎麼想，還授權釋出</strong></span></p> <p>Anthropic近日公開新版Claude憲章，完整揭露模型的行為原則和價值優先順序，並以CC0授權釋出，任何人都能自由使用。Anthropic強調，這份文件不只是對外說明立場，還會直接用在模型訓練，來優化Claude對複雜情境的判斷。</p> <p>和過去條列式規則不同，這次憲章改寫成一份「有前因後果」的完整文件，花大量篇幅解釋為什麼要這樣做、界線在哪裡。Anthropic認為，只叫AI守規則並不夠，還要讓模型理解原則背後的理由，遇到價值衝突時才不會僵硬套用。</p> <p>這份憲章主要寫給Claude看，用來說明模型可能遇到的兩難情境，例如誠實與同理如何拿捏、協助使用者時如何保護敏感資訊。實務上，憲章不只作為行為目標，也會用來產生合成訓練資料，持續影響後續版本。Anthropic也明訂行為優先順序：先確保整體安全與人類可監督性，再來是廣義倫理，接著才是公司指引與使用者需求，反映現階段模型仍可能誤判風險的現實。<a href="https://www.anthropic.com/constitution">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MCP Apps </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Claude </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工作流程 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Claude導入MCP Apps，AI工具整合從「用文字說」走向「一起操作」</strong></span></p> <p>Anthropic宣布，旗下AI聊天機器人Claude正式導入MCP Apps，可將第三方工具的互動式介面直接嵌入對話中，讓Claude從以文字為主的協作助手，進一步變成可視化的工作介面，目前已支援Asana、Box、Figma、Slack等9種工具，後續也規畫加入Salesforce。</p> <p>MCP（Model Context Protocol）是Anthropic推出的開放標準，用來定義AI如何安全連接外部工具並執行指令。過去Claude雖能透過MCP建立任務或操作工具，但流程多以文字回饋為主；MCP Apps則更進一步，允許工具把原本的UI一起帶進AI對話中。</p> <p>實際使用時，使用者可在Claude內直接查看並編修Asana專案、預覽與修改Slack訊息，或在Figma FigJam中把文字指令轉成流程圖與甘特圖，就像是和AI一起盯著同一個畫面工作，而不是只等結果回報，為AI代理更深入工作流程鋪路。<a href="https://modelcontextprotocol.io/docs/extensions/apps">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 瀏覽器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chrome </span></strong></span></p> <p><span style="font-size:22px;"><strong>Gemini進駐Chrome側欄，瀏覽器更像行動AI代理了</strong></span></p> <p>Google最近更新Chrome的AI能力，讓Gemini常駐於瀏覽器側邊欄，還能隨分頁切換，即時理解使用情境，讓使用者不必跳離頁面，就能請AI彙整重點、比較網站內容或整理行程。目前先於美國推出。</p> <p>與此同時，Google也推出代理式瀏覽功能Auto Browse，能在使用者授權下，由Gemini代為開啟分頁、搜尋資訊、填寫表單與比對選項，並即時顯示操作流程；遇到登入、付款等敏感動作，則會要求人工確認。目前Auto Browse僅開放AI Pro與Ultra用戶試用，並設有使用上限。</p> <p>此外，Google也把影像創作模型Nano Banana直接內建於瀏覽器，讓使用者可對網頁圖片即時轉換風格或視覺化資料。換句話說，Chrome正從單純的瀏覽工具，進一步成為AI可實際動手做事的入口。<a href="https://gemini.google/tw/overview/gemini-in-chrome/?hl=zh-TW">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Ai2 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 後訓練 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Ai2推SERA程式開發代理，把後訓練門檻壓到最低</strong></span></p> <p>美國艾倫AI研究院（Ai2）最近啟動Open Coding Agents計畫，首波釋出程式開發代理SERA，並同步公開訓練資料和可重現的後訓練流程。Ai2希望，開發團隊能用低成本，把模型快速調整到企業內部或私有程式碼庫。</p> <p>Ai2指出，封閉模型通常沒看過企業或組織內部的程式碼風格與API慣例，實務上常「不懂專案在幹嘛」。SERA採用合成資料驅動的後訓練方法，降低對完整測試環境的依賴。官方估算，重現既有最佳開源成果僅需約400美元算力，若要逼近同級頂尖模型，成本上限約1.2萬美元，小團隊也能負擔。</p> <p>就效能來說，SERA-32B在SWE-Bench Verified的解題率達54.2%，約40個GPU日內即可完成訓練，還可直接相容Claude Code。Ai2也與Nvidia合作，優化模型在H100、B200平臺的推論效率。<a href="https://allenai.org/blog/open-coding-agents">（詳全文）</a></p> <p><img alt="" src="https://www.datocms-assets.com/64837/1769524922-screenshot-2026-01-26-at-11-38-37-1.png?fit=max&fm=webp&h=810&w=1550" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google AI Plus </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Deep Research </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NotebookLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google AI Plus正式在臺上線</strong></span></p> <p>Google正式在臺灣推出Google AI Plus訂閱方案，主打每月新臺幣260元，整合旗下多項進階AI模型與工具，瞄準工作效率和創作需求。即日起新用戶還可享前兩個月半價優惠。</p> <p>訂閱後，使用者可在Gemini App中解鎖Gemini 3 Pro，用於程式撰寫、推理和複雜任務；此外也能使用Deep Research生成較完整的主題分析報告。在創作部分，Google提供Nano Banana Pro影像生成，以及Veo 3.1 Fast的文字轉影片功能，並每月附贈200點AI點數，可用於Flow和Whisk製作短片。</p> <p>而且，使用者也能透過內建於Gmail和Google文件的Gemini，來協助寫信、整理草稿；至於NotebookLM，則可提供更高的語音摘要和筆記本上限。這個方案還包含200GB雲端儲存空間，最多還能與5位家庭成員共享。Google表示，臺灣既有Google One Premium 2TB用戶，也將自動獲得AI Plus權益。<a href="https://blog.google/intl/zh-tw/products/explore-get-answers/ai-plus/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/AI_Plus_Hero.width-2200.format-webp.webp" /></p> <p>圖片來源／Google DeepMind、Hugging Face、Moltbot、Ai2、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Moonshot AI開源Kimi K2.5，可自動生成最多100個子代理</strong></p> <p><strong>2. 衛福部正式啟動高算力中心暨跨國聯邦學習平臺，要解決公雲的合規局限</strong></p> <p>資料來源：iThome整理，2026年1月</p> <div id="gtx-trans" style="position: absolute; left: 531px; top: 3778.47px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
1/30 12:17作者王若樸https://www.ithome.com.tw/news/173680
工作流程自動化平臺n8n存在重大沙箱繞過漏洞，通過身分驗證的攻擊者有機會接管系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>能串接多種應用程式與服務，讓用戶無須程式碼就能建立自動化流程的工作流程自動化平臺n8n，由於隨著AI與自動化應用普及，逐漸成為企業與技術團隊常用的整合工具而竄紅，若是這類平臺存在弱點，攻擊者不僅可能趁機打亂或竄改流程，甚至從事網路攻擊，近期不斷有極為嚴重的漏洞揭露，而成為外界關注的焦點。</p> <p>資安公司JFrog指出，他們近期在n8n的沙箱機制Abstract Syntax Tree（AST）當中，<strong><a href="https://research.jfrog.com/post/achieving-remote-code-execution-on-n8n-via-sandbox-escape/">發現兩個資安漏洞：CVE-2026-1470與CVE-2026-0863</a></strong>，它們存在於表達式評估引擎和Python程式碼節點，其中又以風險達到重大層級的CVE-2026-1470，特別危險。JFrog指出，對於動態及高階語言（如JavaScript和Python）提供防護的沙箱機制而言，這些漏洞的存在，意味著須設法克服嚴峻的挑戰，即使AST具備多層驗證、封鎖列表，以及管制能力，攻擊者還是有機會透過程式語言的特性，或是執行環境（Runtime）的行為，繞過資安防護措施。</p> <p>這些漏洞為何會形成？以CVE-2026-1470為例，它是沙箱繞過漏洞，起因是AST在限制危險語法的功能實作上，對於JavaScript的with陳述式未完全阻斷，導致攻擊者可搭配經變造的識別字constructor來繞過檢查，從而在n8n的主要節點執行任意程式碼，在通過身分驗證的情況下，攻擊者可進一步完全接管n8n執行個體（instance），CVSS風險達到9.9分（滿分10分），開發團隊獲報後發布1.123.17、2.4.5，以及2.5.1版修補。</p> <p>另一個漏洞CVE-2026-0863被評為高風險等級，為沙箱逃逸漏洞，JFrog發現攻擊者可濫用字串格式化與例外處理特性，並搭配Python從3.10版導入的AttributeError的新屬性，繞過AST的防護機制，遠端執行任意程式碼（RCE），風險值為8.5，開發團隊獲報後發布1.123.14、2.3.5，以及2.4.2版修補。</p> <p>在上述消息公開之前，最近一個月以來，n8n已陸續揭露與修補多個風險值接近或達到滿分的重大漏洞，去年12月下旬，他們修補出現在工作流程的表達式評估系統的<strong><a href="https://www.ithome.com.tw/news/173006">CVE-2025-68613</a></strong>，後續資安公司Cyera公布了<strong><a href="https://www.ithome.com.tw/news/173236">CVE-2025-68668</a></strong>（N8scape）與<strong><a href="https://www.ithome.com.tw/news/173235">CVE-2026-21858</a></strong>（Ni8mare），3個漏洞的CVSS評分為9.9、9.9、10分。</p> </div></div></div>
1/30 12:19作者周峻佑https://www.ithome.com.tw/news/173678
AWS推出搭配輝達Blackwell伺服器級PCIe GPU的運算服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_amazon_ec2_g7e-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年10月，Google Cloud宣布推出新一代GPU加速運算服務<a href="https://www.ithome.com.tw/review/172216">G4</a>，當中將採用Nvidia新一代資料中心PCIe GPU產品<a href="http://www.ithome.com.tw/review/170510">RTX Pro 6000 Blackwell Server Edition（BSE）</a>，12月初公有雲龍頭業者AWS在年度用戶大會舉行的期間，與Nvidia聯合預告數週後將推出搭配上述GPU產品的雲端服務，到了今年1月AWS宣布為此增設新的加速運算服務G7e，能針對生成式AI推論與承擔繁重圖形處理負荷的工作負載，提供具有成本效益的效能。</p> <p>純就加速生成式AI推論與空間運算（Spatial Computing）工作負載的AWS雲端運算服務而言，將既有的資料中心GPU加速運算服務G6e作為比較基準，最新上線的G7e可提供2.3倍的AI推論效能。</p> <p>就細部配置而言，G7e具有多種領先G6e的特色。以GPU而言，G6e搭配的<a href="https://www.ithome.com.tw/review/161433">Nvidia L40S</a>，GPU內建GDDR6記憶體，容量為48 GB，頻寬為864 GB/s，G7e搭配的Nvidia RTX Pro 6000 Blackwell Server Edition，GPU內建GDDR7記憶體，容量增加1倍（96 GB），頻寬提升85％（1,597 GB/s），單靠一張GPU，就足以執行FP8精度、700億個參數的中型規模AI模型。</p> <p>在I/O架構上，G7e支援Nvidia的GPUDirect P2P技術，可針對多GPU工作負載的執行，減少存取延遲。基本上，AWS雲端執行個體能經由PCIe介面互連多個GPU，每個GPU之間可藉此直接溝通，而且，基於同一個PCIe交換器，針對多個GPU的存取，提供最低延遲的點對點存取方式。</p> <p>除此之外，單就多個GPU互連頻寬而言，比起G6e採用的L40S，G7e搭配的RTX Pro 6000 Blackwell Server Edition，可達到4倍之多，能大幅提升多GPU工作負載的運作效能。基於這些改善特色，用戶可橫跨多個GPU執行更大規模的模型，以單一執行個體而言，G7e最大可配置8個GPU，總共可提供768 GB的GPU記憶體容量。</p> <p>網路頻寬的配置方面，G7e也予以大幅強化。例如，G6e網路頻寬最大可達到400 Gbps，G7e則是1,600 Gbps，一舉提升4倍，用戶可將這臺執行個體用於小型的多節點工作負載執行。同時，採用多GPU組態的G7e執行個體，也透過AWS EFA網路卡支援Nvidia GPUDirect RDMA（Remote Direct Memory Access）提供遠端記憶體直接存取，能針對多節點工作負載之間的遠端GPU互相溝通，減少延遲。</p> <p>AWS表示，G7e執行個體也額外支援Nvidia GPUDirectStorage，使GPU能直連AWS雲端檔案存取服務Amazon FSx for Lustre，如此一來，能將資料吞吐量提升至1.2 Tbps，用戶可更快載入AI模型。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">AWS Amazon EC2 G7e</span><br /> ●原廠：AWS<br /> ●建議售價：美西地區（俄亥俄），g7e.2xlarge隨需每小時3.36312美元<br /> ●處理器：英特爾第五代Xeon Scalable<br /> ●提供服務規模選擇與組態：g7e.48xlarge，191顆虛擬處理器、2,048 GiB記憶體、8張Nvidia RTX Pro 6000 Blackwell Server Edition、網路頻寬為1600 Gbps，網路儲存：使用AWS區塊儲存服務EBS，存取頻寬為100 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/29 19:03作者李宗翰https://www.ithome.com.tw/review/173669
雲端惡意框架VoidLink透過C2即時編譯，廣泛對多種版本Linux核心的環境發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月上旬資安公司Check Point揭露<strong><a href="https://www.ithome.com.tw/news/173384">惡意程式框架VoidLink</a></strong>，駭客以現代系統程式語言Zig開發，具備完整的C2功能，並擁有惡意程式載入工具、部署工具、Rootkit等多達37個外掛模組，其最大特色在於能自動識別主要的雲端服務平臺，偵測是否在Docker容器或Kubernetes叢集環境執行，並根據環境動態調整行為，後續有其他資安公司解析其二進位檔案，公布該惡意程式極為不同的運作方式。</p> <p><strong><a href="https://www.sysdig.com/blog/voidlink-threat-analysis-sysdig-discovers-c2-compiled-kernel-rootkits">資安公司Sysdig指出</a></strong>，VoidLink最具突破性的特徵，在於採用了「伺服器端編譯Rootkit」機制。一般而言，傳統Linux核心模組Rootkit採用可載入核心模組（Loadable Kernel Modules，LKM），必須針對特定Linux核心版本編譯，才能正常載入及運作，因此，攻擊的範圍會局限在執行特定核心版本的Linux主機，而VoidLink的C2伺服器會根據受害主機回傳的核心版本與設定，即時編譯相容的核心Rootkit後再傳送到受害主機，大幅提高在不同環境中的成功率與隱匿性。Sysdig將此技術稱為Serverside Rootkit Compilation（SRC），並指出VoidLink是第一個採用這種機制的Linux惡意程式。</p> <p>除了透過C2直接編譯能在受害主機運作的VoidLink，更可怕的地方在於，VoidLink展現了對現代Linux技術的成熟應用。其中一個就是濫用extended Berkeley Packet Filter（eBPF）技術，隱密地從事網路監控及竊取資料。由於eBPF能在不更動核心原始碼的情況，在核心執行Rootkit程式，使得VoidLink能在網路堆疊的最底層監聽流量，從而規避應用層的防火牆或監控工具。這種將雲端原生診斷工具轉化為網路間諜工具的手法，突顯開發者對系統底層架構的深刻理解。</p> <p>VoidLink的感染流程採用多階段設計，攻擊鏈是由Zig語言編譯、檔案極小的ELF執行檔開始，該程式在執行後會透過分叉（fork）產生子處理程序，並將自身處理程序的名稱偽裝成常見的核心工作執行緒，以降低被管理者察覺的風險。隨後，它會連線至遠端C2下載後續模組，並利用memfd_create與execveat等機制，完全在記憶體中執行惡意程式碼，避免在磁碟上留下檔案痕跡。</p> <p>在第二階段，VoidLink會載入功能更完整的工具，支援HTTP Range下載，能夠分段取得大型惡意模組，進一步降低網路行為異常的可見度。整個過程幾乎不依賴傳統檔案落地方式，使靜態掃描與事後鑑識變得更加困難。</p> <p>VoidLink同時具備高度自適應的偵測與迴避能力。它會主動檢查系統中是否存在EDR、容器安全工具，或行為監控機制，並依據結果調整通訊頻率與行為模式。此外，惡意程式也會嘗試偵測除錯器與動態分析工具，避免在研究環境中暴露完整功能。</p> <p>在核心層級，VoidLink可依據目標系統的Linux版本，選擇不同的Rootkit部署方式。對於較新版本的核心，攻擊者可能透過eBPF方式注入惡意邏輯；在較舊環境中，則使用傳統LKM方式載入核心模組。該Rootkit能夠隱藏自身在/proc/modules與/sys/module中的紀錄，並攔截特定系統呼叫，以達成隱藏處理程序、檔案，以及網路連線的目的。</p> <p>在控制通道方面，VoidLink不僅透過標準C2連線下達指令，還支援隱蔽的ICMP通訊通道。攻擊者可將命令封裝於特殊識別碼的ICMP封包中，藉此繞過部分防火牆與流量監控機制，進一步提高隱匿性。這些ICMP指令不僅可用於管理特定的規則，還具備自我銷毀多種作案痕跡的能力，這些包括停用LKM及清除所有的PID、連接埠、檔案前綴，並抹除事件記錄與Shell歷史記錄，以及清除VoidLink相關元件等。</p> <p>儘管VoidLink設計先進，Sysdig仍強調其行為在執行階段具備可偵測特徵。例如記憶體中直接執行ELF檔案、異常的核心模組載入行為、eBPF程式注入，以及不尋常的ICMP流量。Sysdig建議組織強化核心層與容器層的行為監控，而非僅依賴傳統防毒或靜態掃描機制。</p> <p>附帶一提，Sysdig提到駭客利用AI及大型語言模型開發的跡象。他們看到駭客不僅使用簡體中文從事開發，核心原始碼隨處可見簡體中文註解，研判駭客使用了大型語言模型生成相關範本。</p> </div></div></div>
1/30 10:33作者周峻佑https://www.ithome.com.tw/news/173673
雲端電動滑板車BLE設計存風險，預設金鑰恐解鎖所有車輛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一名資安研究人員近日揭露，一款雲端連線電動滑板車在低功耗藍牙（Bluetooth Low Energy，BLE）通訊設計上，存在嚴重安全缺陷，攻擊者可利用寫死在韌體與行動應用程式中的預設主控金鑰，直接解鎖並控制所有同型號車輛。由於該產品製造商已停止營運，相關漏洞至今仍無官方修補，突顯物聯網裝置在產品生命週期末期所面臨的資安風險。</p> <p><span style="color:#B22222;"><strong>預設金鑰未更換，所有設備共用同一把「鑰匙」</strong></span></p> <p>揭露此事的是愛沙尼亞資安研究人員Rasmus Moorats，<a href="https://blog.nns.ee/2026/01/06/aike-ble/" target="_blank">他在部落格中分享</a>自己對電動滑板車進行逆向工程的過程。研究對象為主打雲端管理與手機App解鎖的電動滑板車品牌Äike，其設計透過BLE與手機App通訊，執行解鎖、上鎖等控制指令。</p> <p>Moorats在分析Android版App後發現，應用程式內嵌了一組用於BLE驗證的主控金鑰（master key），且該金鑰並非每臺裝置唯一，而是所有車輛共用同一組預設值。他進一步比對BLE通訊流程後確認，只要取得這把金鑰，便能在藍牙範圍內直接向車輛下達控制指令，完全不需要登入雲端帳號或通過額外驗證。</p> <p><span style="color:#B22222;"><strong>從App逆向到PoC，數分鐘即可重現攻擊</strong></span></p> <p>技術分析顯示，研究人員先將Android App反編譯，並對其使用的位元組碼（ bytecode）進行逆向，找出負責BLE驗證與加解密流程的程式邏輯。隨後，他依照觀察到的通訊格式，自行撰寫Python腳本，成功在實體環境中重現解鎖流程。</p> <p>在這個概念驗證（PoC）中，只要攻擊者位於車輛藍牙訊號範圍內，便可利用該腳本發送正確格式的BLE封包，直接解除車輛鎖定狀態。研究人員指出，這類設計等同於把所有設備的「萬用鑰匙」直接放在用戶端應用程式中，一旦被逆向，整個產品線的安全性便形同失守。</p> <p><span style="color:#B22222;"><strong>廠商結束營運，漏洞修補陷入真空</strong></span></p> <p>更棘手的是，Äike公司已結束營運，相關雲端服務與產品維護也隨之中止。Moorats在文章中提到，部分硬體與BLE模組採用第三方供應商的SDK，該SDK本身提供了預設金鑰範例，但理應由產品開發商在量產前更換為裝置專屬金鑰。最終未落實這項基本安全措施，才導致漏洞產生。</p> <p>在缺乏原廠支援的情況下，使用者幾乎無法透過更新來降低風險，只能仰賴自行停用藍牙功能或避免在公共場合使用等權宜作法。</p> <p><span style="color:#B22222;"><strong>過去已有前例：BLE控制弱點反覆出現</strong></span></p> <p>回顧過去資安研究，電動滑板車的藍牙低功耗（BLE）控制弱點並非首次出現。早在2019年，行動裝置資安業者<a href="https://www.ithome.com.tw/news/128760" target="_blank">Zimperium就曾揭露</a>，Xiaomi電動滑板車M365的BLE密碼驗證在裝置端未被正確使用，使駭客可在藍牙範圍內執行未經授權命令，涵蓋鎖車、加速等操作，威脅行駛安全。</p> <p>類似的安全問題，也曾出現在Segway-Ninebot產品上。資安研究公司<a href="https://www.ioactive.com/ninebot-by-segway-minipro-vulnerabilities/" target="_blank">IOActive於2017年發布技術報告</a>指出，Segway MiniPro在藍牙通訊與韌體更新機制上，存在多項設計弱點，可能讓攻擊者在未經授權的情況下，擅自變更裝置設定或取得控制權。</p> <p><span style="color:#B22222;"><strong>「孤兒裝置」成為資安盲點，風險不會隨著產品退場而消失</strong></span></p> <p data-end="264" data-start="118">英國資安顧問公司NCC Group過去在針對<a href="https://www.nccgroup.com/newsroom/putting-the-brakes-on-e-scooter-security-flaws-with-which/" target="_blank">電動滑板車安全性的研究</a>中指出，多數智慧交通裝置在藍牙低功耗（BLE）通訊與裝置身分驗證設計上仍存在不足，常見問題包括缺乏有效的加密機制或未採用裝置專屬的藍牙憑證，可能使攻擊者有機會繞過基本驗證流程。</p> <p data-end="493" data-start="271">類似觀點也出現在美國國家標準與技術研究院（NIST）發布的物聯網裝置資安指引中。NIST在<a href="https://csrc.nist.gov/pubs/sp/800/213/a/final" target="_blank">SP 800-213A</a>與<a href="https://www.nist.gov/itl/applied-cybersecurity/nist-cybersecurity-iot-program/nistir-8259-series" target="_blank">NISTIR 8259</a>系列文件指出，IoT裝置的安全設計應納入整個產品生命週期的考量，涵蓋身分驗證、加密通訊、金鑰管理與安全更新等基本能力。相關指引同時提醒，製造商與採購單位在規畫裝置更新與維護機制時，應評估產品停止支援後的安全狀態，避免裝置在缺乏修補與維運的情況下，仍持續保有完整控制能力，形成長期存在的潛在風險。</p> </div></div></div>
1/30 10:45作者王珮瑤https://www.ithome.com.tw/news/173671
雲端惡意軟體框架VoidLink疑似以AI生成，具開發能力的駭客要求AI根據開發流程，打造近9萬行程式碼的複雜惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI當道，駭客運用相關工具打造惡意程式的情況也越來越常見，不過，以往濫用AI的情況，多半是讓不具開發能力的駭客能輕易生成所需工具，常被發現仍有不足之處，如今有惡意軟體功能完整，且結構相當複雜，研究人員起初認定是精通多種程式語言的駭客打造，然而進一步調查發現，實際上程式碼幾乎都是AI生成。</p> <p>1月13日資安公司Check Point揭露<strong><a href="https://www.ithome.com.tw/news/173384">雲端惡意軟體框架VoidLink</a></strong>，事隔數日，<a href="http://research.checkpoint.com/2026/voidlink-early-ai-generated-malware-framework/">他們又公布新的調查結果</a>，指出此惡意軟體是由大型語言模型（LLM）高度參與生成的完整惡意軟體架構，標誌著AI生成威脅已從簡單的編寫指令碼，演進到能開發複雜的攻擊工具，而VoidLink背後參與開發的駭客，實際上可能只有一人。</p> <p>為何Check Point察覺駭客由AI打造VoidLink？原因是他們意外發現開發者的營運安全（OpSec）失誤，於是進一步分析曝露的開發資料，確認此惡意程式主要就是使用AI開發，而且在不到一週的時間，就能開發出程式碼超過8.8萬行的惡意程式第一個版本。</p> <p>有別於其他缺乏開發能力的駭客，利用AI生成惡意程式（如<strong><a href="https://www.ithome.com.tw/news/166929">勒索軟體FunkSec</a></strong>），成品多半是模仿能公開取得的惡意軟體，VoidLink是本身具備開發經驗的駭客所為，而且，他不光直接利用AI生成程式碼，還要求AI根據規格取向的開發方法（Spec-Driven Development，SDD），先規畫結構化的多團隊開發流程，包含工作排程、成品規格，以及預期的交付成果，然後模型根據這些安排打造惡意軟體，並進行迭代更新與測試。</p> <p>駭客疑似利用AI整合式開發環境（IDE）Trae Solo，從2025年11月著手開發，此人起初利用Trae產生簡體中文教學文件，這些資料呈現駭客的初期規畫與需求，其中一份描述安排了為期20週的快速開發計畫，並由3個團隊進行。特別的是，初期規畫藍圖內含一組標準化檔案，規範嚴格的程式撰寫範例與實作指引。</p> <p>Check Point指出，雖然駭客表面上安排了超過20週的開發流程，但實際上他從11月27日著手規畫後，在12月4日就產生第一個版本的VoidLink。過程裡開發者自己進行測試、整合，以及定義規格，不過幾乎所有的編寫程式碼的工作已交由AI執行，而且產生的惡意程式，與具備多組專業團隊開發的成品不相上下。</p> <p>針對這次的調查結果，代表AI被具備開發能力的駭客所用，可實質提升攻擊威力、速度，以及規模。Check Point因開發者營運安全失誤而得以一窺相關細節，這代表應該還有其他具備開發能力的駭客，也加入利用AI加速惡意軟體開發的行列，但因為沒有在營運上出錯，而並未被人發現。</p> </div></div></div>
1/30 10:01作者周峻佑https://www.ithome.com.tw/news/173672
AI角色從工具漸走向陪伴，可能扭曲使用者現實認知
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI的使用情境逐漸從工作擴大到關係與健康等更私人的議題，Anthropic<a href="https://www.anthropic.com/research/disempowerment-patterns">分析</a>約150萬筆Claude.ai對話，嘗試量化部分互動是否可能削弱使用者的自主判斷。研究將這類風險定義為去賦權潛勢（Disempowerment Potential），也就是互動可能在不易察覺的情況下，讓使用者的現實理解、價值判斷或後續行動偏離自身原本的判斷。</p> <p>研究將去賦權拆成三個面向，現實認知扭曲是指AI以過度肯定的方式附和推測，讓使用者對現實的理解變得不準確。價值扭曲是指AI替使用者下結論該優先什麼，讓原本重視的價值被外部建議取代。行動扭曲則是AI提供可直接照用的完整腳本或計畫，使用者照單全收後，行動與自身價值出現落差。</p> <p>研究團隊先以分類器排除純技術型對話，再由Claude Opus 4.5將每則對話在三面向上從無到高嚴重分級，並以人工標註驗證。量化結果顯示，高嚴重等級整體很少見，約每1,000到10,000則對話出現1則。最常見的是現實認知扭曲，約每1,300則對話1則，其次是價值扭曲約每2,100則1則，行動扭曲約每6,000則對話出現1則。</p> <p>研究也觀察四種放大因子，包含權威投射、依附、依賴與脆弱處境。高嚴重等級最常見的是脆弱處境，約每300則對話1則。依附、依賴與權威投射的高嚴重比例則依序約為每1,200、2,500與3,900則對話1則。團隊發現，放大因子愈明顯，對應的去賦權潛勢也愈高。</p> <p>去賦權潛勢較高的對話多落在關係議題，以及生活型態、醫療保健與身心健康等領域。研究以隱私保護分析工具歸納互動樣態，指出常見模式包括AI以迎合語氣肯定難以驗證的敘事，對他人行為給出過度定性的道德判斷，或直接產出可複製貼上的溝通話術與逐步行動方案。</p> <p>由於Claude.ai提供按讚與倒讚回饋機制，研究發現，帶有中度或高嚴重度去賦權潛勢的互動，在當下反而更容易獲得正面評價。但如果對話出現較像已採取行動的線索，價值與行動相關的正評會低於基準水準，現實認知扭曲則是例外，即使出現已採取行動的線索，正評仍偏高。</p> <p>Anthropic提醒，風險通常並非AI主動操控，而是使用者在情緒強烈或反覆依賴的互動中把判斷權交出去，系統要是以迎合或完整腳本回應，就可能放大偏誤。</p> </div></div></div>
1/30 08:27作者李建興https://www.ithome.com.tw/news/173668
GitHub Copilot CLI支援ACP協定，第三方IDE可用標準協定串接代理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub Copilot CLI已<a href="https://github.blog/changelog/2026-01-28-acp-support-in-copilot-cli-is-now-in-public-preview/">實作Agent Client Protocol（ACP）</a>並以公開預覽形式提供。ACP是一套標準化協定，用於外部用戶端與AI代理執行環境溝通，讓第三方工具、整合開發環境與自動化系統能透過可擴充介面，直接串接Copilot的代理能力。</p> <p>ACP讓外部用戶端可以先與Copilot CLI建立連線並探索可用能力，再建立彼此隔離的工作階段，將提示內容與脈絡資源送入工作階段中，並以串流方式接收代理的處理進度與回覆。同時，用戶端也能回應權限請求，必要時取消操作並管理工作階段生命周期。</p> <p>該變化把Copilot CLI從終端機內的互動工具，延伸為可供外部用戶端連線的代理後端，開發者不必受限於特定官方整合形式，第三方整合開發環境只要具備ACP用戶端能力，就能把Copilot CLI串接到既有的編輯器介面與工作流程。GitHub也指出，整合不只限於IDE，也可延伸到自訂前端介面，用來設計更貼合特定團隊或專案的互動方式。</p> <p>在自動化場景，GitHub指出ACP可用於持續整合與持續交付等工作流程，讓自動化系統能在流程中編排代理式的程式開發任務，並透過標準協定啟動、監控與終止工作階段。考量自動化作業常牽涉檔案修改與指令執行，ACP也把權限請求與回覆納入協定互動，使外部系統得以在關鍵動作前加入核准關卡，降低未經確認就執行的風險。</p> <p>由於ACP提供一致的溝通介面，外部調度端可在同一套協定下管理不同代理工具，讓Copilot CLI有機會被納入跨代理的協作流程中。GitHub釋出Copilot CLI的ACP伺服器文件，說明連線建立方式、支援的資料內容型態，以及權限請求與回覆等互動機制，方便第三方工具與整合環境進行串接。</p> </div></div></div>
1/30 08:35作者李建興https://www.ithome.com.tw/news/173670
Dormakaba Exos 9300門禁系統爆20項CVE漏洞，攻擊者入侵內網可任意開門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安顧問公司SEC Consult<a href="https://sec-consult.com/blog/detail/hands-free-lockpicking-critical-vulnerabilities-in-dormakabas-physical-access-control-system/">揭露</a>，瑞士門禁與鎖具廠Dormakaba旗下企業級實體存取控制系統Kaba Exos 9300，存在超過20項弱點，其中20項已取得CVE編號。研究團隊指出，這套系統被不少歐洲大型企業場域採用，如工業與服務業、物流、能源供應商與機場營運單位，攻擊者要是能先取得目標環境的網路或存取硬體，便可能透過多條路徑開啟任意門禁，或在未經事前授權下重設控制器與周邊設定。</p> <p>Dormakaba表示已提供修補程式與強化指引，並稱受影響客戶雖達數千家，但屬高安全需求環境者僅占少數。</p> <p>研究人員說明，exos 9300屬於集中式門禁管理軟體，常部署在Windows伺服器，系統資料主要存放在MSSQL資料庫，並透過網路把設定下發到現場的Access Manager門禁控制器，再與門邊的註冊裝置（Registration Unit）讀卡器與PIN Pad等周邊協同運作。SEC Consult揭露的弱點橫跨管理伺服器、控制器韌體與註冊裝置硬體，要是通訊保護與身分驗證設計不足，就可能讓入侵從網路一路延伸到實體出入口。</p> <p>就弱點類型而言，包含預設缺乏身分驗證的管理介面、硬編碼帳密與金鑰、弱預設密碼、密碼衍生機制不當，以及路徑走訪與指令注入等問題。當攻擊者進入內網後，可能偽造或任意新增門禁紀錄，也可能竊取與雙因素驗證相關的PIN資訊，進一步干擾或改寫控制器設定，造成門維持常開或警報失效等異常狀態。</p> <p>另有一項針對帶有PIN鍵盤的註冊裝置90 02弱點，官方指出該裝置背面存在外露UART介面，會輸出每次按鍵資訊，當攻擊者具備實體接觸並加裝硬體植入物，可能導致PIN碼外流。研究人員也提醒，在最糟情況下，當部署與網路區隔不當，部分設備可能被暴露到網際網路而增加風險。</p> <p>Dormakaba在安全公告中把問題拆分為Exos 9300、Access Manager與註冊裝置90 02三部分，並指出4.4.0之前的Exos 9300安裝環境受影響，建議用戶至少將Exos 9300升級到4.4.1，並依Access Manager不同型號與韌體分支完成對應更新與必要的強化設定。廠商也強調，利用這批弱點需先取得客戶內部網路或硬體存取，用戶應透過網路分段、限制管理介面可達性，以及強化管理伺服器與控制器間的通訊保護，降低門禁管理系統被橫向滲透後遭濫用的風險。</p> </div></div></div>
1/29 19:29作者李建興https://www.ithome.com.tw/news/173667
Nvidia CUDA Toolkit曝4項高風險漏洞，恐影響支援輝達GPU加速的應用系統運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>晶片大廠<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5755" target="_blank">Nvidia於1月20日發布安全公告</a>，指出旗下GPU運算開發工具CUDA Toolkit存在4項資安漏洞，編號為CVE-2025-33228、CVE-2025-33229、CVE-2025-33230及CVE-2025-33231。相關漏洞涉及作業系統指令注入與不安全搜尋路徑設計，在特定條件下，可能被攻擊者濫用以執行任意程式碼或造成服務中斷。</p> <p class="rtecenter"><a href="http://nvidia.custhelp.com/app/answers/detail/a_id/5755" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0129-NVIDIA%20CUDA%20Toolkit.png" style="width: 600px;" /></a></p> <p>CUDA Toolkit是Nvidia提供的GPU平行運算與加速開發套件，廣泛應用於AI模型訓練、資料分析與科學計算。Nvidia在公告中指出，相關漏洞影響Windows與Linux平臺使用的CUDA Toolkit，且主要出現在套件所包含的效能分析工具Nsight Systems元件。</p> <p><span style="color:#B22222;"><strong>漏洞性質與可能影響</strong></span></p> <p>Nvidia指出，其中CVE-2025-33228與CVE-2025-33230屬作業系統指令注入漏洞，CVSS風險分數均為7.3，風險等級為高。攻擊者若能在受影響系統上觸發漏洞，可能執行未經授權的系統指令，導致程式異常終止、資料外洩，或引發阻斷服務（DoS）。</p> <p>CVE-2025-33229同樣被評為高風險，CVSS風險分數為7.3。該漏洞源於CUDA元件在搜尋可執行檔或函式庫時，未妥善限制搜尋路徑，攻擊者可藉此植入惡意檔案並被系統誤載入執行，可能導致本機任意程式碼執行，並成為後續攻擊或橫向移動的切入點。</p> <p>至於CVE-2025-33231，風險等級為中等，CVSS風險分數為6.7，與Windows平臺的不安全DLL搜尋路徑機制有關。攻擊者若能在特定目錄放置惡意DLL，可能誘使CUDA相關工具載入並執行，造成惡意程式碼執行或權限提升。</p> <p><span style="color:#B22222;"><strong>受影響情境與修補建議</strong></span></p> <p>資安業者<a href="https://www.sentinelone.com/vulnerability-database/cve-2025-33228/" target="_blank">SentinelOne分析</a>指出，目前尚未觀測到這批漏洞出現大規模實際濫用跡象，但在多使用者GPU伺服器、雲端運算環境，或開發人員共用的AI訓練主機中，可被未授權存取或濫用的風險相對較高。若系統允許一般使用者執行CUDA開發或效能分析工具，且權限控管不嚴，可能成為攻擊者干擾服務或進行橫向移動的切入點。</p> <p>在實際部署環境中，使用自訂安裝路徑、允許執行外部指令碼，或Windows平臺權限與DLL管理不當的環境，漏洞遭濫用風險較高，可能影響GPU運算穩定性，甚至中斷AI訓練流程。</p> <p>Nvidia在安全公告中指出，這些漏洞影響所有CUDA Toolkit早於13.1版的版本，<a href="https://developer.nvidia.com/cuda-toolkit-archive" target="_blank">並已於13.1版完成修補</a>，建議用戶儘速升級至該版本以降低風險。對於短期內無法更新的環境，資安專家建議限制本機使用者權限，避免執行來源不明的指令碼，並強化GPU工作負載的隔離與管理機制。</p> <p>美國國家漏洞資料庫所屬機構NIST提醒，GPU相關開發工具的安全性已納入供應鏈風險考量，企業應關注官方公告並及早完成修補與風險盤點。</p> </div></div></div>
1/29 18:39作者王珮瑤https://www.ithome.com.tw/news/173665
專攻低、中密度無線網路部署需求，思科推新款Wi-Fi 7基地臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_wireless_9174_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科這幾年陸續推出多款Wi-Fi 7基地臺，我們曾介紹<a href="https://www.ithome.com.tw/review/166822">9176系列、9178系列</a>，以及<a href="https://www.ithome.com.tw/review/171378">9172系列</a>，現在來看看去年11月登場的CW9171I與CW9174系列，它們是在Cisco Partner Summit大會發表的產品，並且搭配鎖定中小型環境應用需求的無線網路控制器<a href="https://www.cisco.com/c/en/us/products/collateral/networking/wireless/wireless-lan-controllers/cw9800l-wireless-controller-ds.html">CW9800L</a>，支援低密度與中密度的無線網路部署，提供高吞吐量、低延遲度，以及智慧型管理機制，而且能順暢地擴充網路建置規模，預計於2025年第四季開放預訂。一個月後，思科也正式公開上述兩款基地臺的細部技術規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wireless Portfolio-2025-11-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wireless%20Portfolio-2025-11-11.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wi-Fi 7-2025-11-Live1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wi-Fi%207-2025-11-Live1.jpg" style="width: 600px;" /></a></p> <p>以9171系列而言，提供1個2.5GbE埠與入門級的新世代無線網路建置能力，Wi-Fi通訊支援雙頻三波段（2.4 GHz與5GHz或6 GHz），匯集傳輸效能最大可達6120 Mbps，特色是能針對Wi-Fi 7提供彈性、便於使用、安全，以及完整效能，而不需要耗費大量成本，或設置高密度基礎設施而產生架構複雜的問題。</p> <p>基本上，這批機型適用於低密度環境，像是零售店面空間、精品酒店、醫療診所、遠端工作中心、教室、學生宿舍，衛星辦公室、區域分支機構、物流樞紐等分散式企業據點，以及小型至中型企業。</p> <p>至於9174系列，內建1個5GbE埠，Wi-Fi通訊支援三頻（2.4 GHz、5GHz、6 GHz），傳輸效能最大可達17.5 Gbps，能夠針對無法容許中斷的現代化應用系統，提供高速傳輸與可靠的網路連線；這批機型適用於應用需求較嚴苛的環境，像是醫療照護設施、餐旅服務領域、製造廠區，以及大型辦公園區。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wi-Fi 7-2025-11-Live2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wi-Fi%207-2025-11-Live2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Wi-Fi 7-2025-11-Live3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Wi-Fi%207-2025-11-Live3.jpg" style="width: 600px;" /></a></p> <p>在這波產品發表的消息當中，思科也順勢介紹Wi-Fi 7基地臺搭配無線網路控制器<a href="https://www.cisco.com/c/en/us/td/docs/wireless/controller/9800/technical-reference/ai-enhanced-rrm-dg.html">Catalyst 9800系列</a>，企業可運用AI強化無線通訊管理（AI-Enhanced RRM）功能，並說明最新推出的3種無線網路傳輸保障效能的特色：漫遊運作正常度的洞察分析（Roaming Health Insights）、個人端裝置連網分析（Client Analytics）、主動測試（Active Testing）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ai-enhanced-rrm-dg.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ai-enhanced-rrm-dg.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco AI Enhanced RRM-2025-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20AI%20Enhanced%20RRM-2025-06-2.jpg" style="width: 298px;" /></a></p> <p>關於漫遊功能檢測的功能，用戶可藉此識別與展示網路與地理位置層級的漫遊議題，加快問題故障排除的速度，能簡化個人端裝置漫遊行為的呈現，提供後續可採取行動的資料，以便縮短平均修復時間（MTTR）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco AI Enhanced RRM-2025-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20AI%20Enhanced%20RRM-2025-06-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco AI Enhanced RRM-2025-11-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20AI%20Enhanced%20RRM-2025-11-1.jpg" style="width: 600px;" /></a></p> <p>個人端連網分析的部分，可透過整合<a href="https://www.zebra.com/ap/en/products.html">Zebra公司的硬體設備</a>，獲得原生的網路狀態透視能力，而不需要在裝置額外安裝軟體。舉例來說，在倉儲環境當中，網管人員可經由這項整合機制，追蹤Zebra的掌上型掃描器，得知驅動程式與序號，以便快速排除無法順利連線的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco AI Enhanced RRM-2025-11-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20AI%20Enhanced%20RRM-2025-11-2.jpg" style="width: 600px;" /></a></p> <p>主動測試的功能源自Cisco旗下的數位體驗監控系統ThousandEyes，可在Wi-Fi 基地臺啟用隨需指定與排程執行的測試作業，有助於網管人員更容易找出問題，確認發生在基地臺至雲端管理服務的哪一個部分。舉例來說，在大學校園網路環境中，管理者可在Wi-Fi 基地臺執行主動測試，即便處於網路傳輸尖峰期間，在學生尚未面臨連線問題之前，就能偵測與解決網路傳輸的瓶頸，提供最佳效能。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">Cisco Wireless 9171</span><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型：CW9171（內部天線）、CW9171I（全向天線）<br /> ●支援無線網路規格：802.11 n/ac/ax/be<br /> ●網路介面：2.5 GbE埠<br /> ●天線架構：6 GHz、5 GHz或2.4 GHz搭配2x2天線，提供兩個空間串流，MU-MIMO<br /> ●傳輸速度：6 Gbps（6 GHz或5 GHz或2.4 GHz搭配2x2天線）<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙5.3<br /> ●尺寸：CW9174I為20 x 20 x 5.3公分<br /> ●重量：CW9171I為817克<br /> ●系統軟體：Cisco IOS XE 17.18.2<br /> ●集中管理平臺：Catalyst 9800系列無線網路控制器、Catalyst 9000交換器</p> <p> <span style="color:#0000FF;">Cisco Wireless 9174</span><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型：CW9174I（全向型天線）、CW9174E（外部天線）<br /> ●支援無線網路規格：802.11 n/ac/ax/be<br /> ●網路介面：5 GbE埠<br /> ●天線架構：6 GHz、5 GHz搭配4x4天線，提供四個空間串流，2.4 GHz搭配2x2天線，提供兩個空間串流；5 GHz、2.4 GHz均搭配4x4天線，提供四個空間串流，MU-MIMO<br /> ●傳輸速度：最高合計17.5 Gbps（6 GHz、5 GHz均搭配4x4天線，2.4 GHz搭配2x2天線）或5.4 Gbps（5 GHz、2.4 GHz均搭配4x4天線）<br /> ●支援供電方式：PoE<br /> ●整合其他無線通訊技術：低功耗藍牙5.3<br /> ●尺寸：CW9174I與CW9174E均為22.6 x 22.6 x 4.9公分<br /> ●重量：CW9174I為1.52公斤，CW9174E為1.47公斤<br /> ●系統軟體：Cisco IOS XE 17.18.2、Cisco Meraki MR32.1.5<br /> ●集中管理平臺：Catalyst 9800系列無線網路控制器、Catalyst 9000交換器、Meraki雲端管理平臺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
1/29 17:29作者李宗翰https://www.ithome.com.tw/review/173621
Chrome導入Auto Browse，AI開始接手瀏覽器操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/products-and-platforms/products/chrome/gemini-3-auto-browse/" target="_blank">Google於周三（1/28）更新</a>Chrome的AI能力，讓Gemini可常駐於瀏覽器側邊欄，並可隨分頁切換即時更新理解脈絡。另也推出代理式瀏覽功能Auto Browse，允許Gemini於使用者授權下，代為執行多步驟的網頁操作，如開啟分頁、搜尋資訊與填寫線上表單等。</p> <p>更新後的Chrome將Gemini整合進瀏覽器側邊欄，並作為主要操作入口。使用者在瀏覽任何分頁時，無需另開視窗或離開當前頁面，即可呼叫Gemini協助彙整資訊、比較不同網站內容，或整理行事曆與行程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0129-Gemini%20in%20Chrome-600.png" style="width: 600px;" /></p> <p>此外，Google將創意模型Nano Banana直接內建於瀏覽器中。用戶只需在側邊欄輸入指令，即可對網頁上的影像進行即時轉換，例如將研究數據圖表化，或將室內設計圖片調整為不同風格，省去了下載與重複上傳的繁瑣步驟。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0129-Gemini%20in%20Chrome%20uses%20Nano%20Banana(1).png" style="width: 600px;" /></p> <p>Chrome中的Gemini亦支援Connected Apps功能，可連結Gmail、日曆、YouTube、地圖及Google Flights。例如若使用者打算參加商務會議，Gemini即可自動檢索電子郵件中的行程詳情，結合Google Flights提供機票建議，並自動草擬通知同事抵達時間的信件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0129-Gemini%20in%20Chrome%20works%20with%20other%20Google%20apps.png" style="width: 600px;" /></p> <p>此外，Auto Browse目前僅提供給AI Pro與Ultra訂閱用戶使用，仍處於預覽階段，並設有每日使用次數限制。</p> <p>啟用後，使用者只需在側邊欄下指令，Auto Browse即可自行開啟與切換分頁、搜尋資訊、填寫線上表單、整理資料，或比對多個選項。系統會即時顯示AI的操作過程，並在需要輸入帳號、使用密碼或進行付款等敏感行為時，主動要求使用者確認。它也能在設定預算下搜尋飯店與航班、管理訂閱服務，或根據圖片辨識商品並加入購物車。</p> <p>Google亦計畫在未來幾個月於Gemini in Chrome中，導入個人化智慧（Personal Intelligence），允許系統記憶過去的對話情境，提供具備脈絡關聯的建議。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
1/29 14:23作者陳曉莉https://www.ithome.com.tw/news/173660
Amazon延續去官僚化策略，裁減約1.6萬個職位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Amazon周三（1/28）<a href="https://www.aboutamazon.com/news/company-news/amazon-layoffs-corporate-jan-2026" target="_blank">宣布進一步進行組織調整</a>，將裁減約1.6萬個職位，主要影響企業與科技相關團隊。這是該公司自<a href="https://www.ithome.com.tw/news/171911" target="_blank">去年10月</a>裁撤約1.4萬名企業員工後，延續同一輪組織瘦身與去官僚化改革的後續行動。</p> <p>Amazon人員體驗與科技資深副總裁Beth Galetti在內部信中指出，此次調整並非新一波突發性裁員，而是部分團隊尚未於去年10月完成組織重整，如今才完成相關工作。整體改革目標仍是減少管理層級、提升責任歸屬，並移除影響決策速度與創新的官僚流程。</p> <p>Amazon強調，這並不代表公司將進入「定期裁員」的新節奏。Galetti表示，各團隊仍會持續評估是否具備足夠速度與能力為客戶創新，並在必要時進行調整，但並非每隔數月就進行全面裁撤。</p> <p>若將時間拉長觀察，這波人力調整與Amazon近年大舉投入生成式AI與代理人技術密切相關。去年6月，Amazon執行長<a href="https://www.ithome.com.tw/news/169603" target="_blank">Andy Jassy</a>即曾在內部信中直言，隨著生成式AI與代理人在公司內部廣泛應用，未來將需要更少的人來做目前的工作，但同時也需要更多人投入不同類型的職務。</p> <p>根據外媒統計，Amazon自2022年至2023年間已裁撤超過2.7萬人，去年10月與今年1月的兩次調整，合計影響約3萬個職位，約占其企業與科技人力的一成。不過，Amazon截至去年第三季全球員工仍約158萬人。</p> <p>在裁減人力的同時，Amazon也重申將持續在對未來至關重要的策略領域招募與投資，特別是人工智慧與資料中心相關基礎建設。</p> </div></div></div>
1/29 15:02作者陳曉莉https://www.ithome.com.tw/news/173661
針對波蘭電網遭到攻擊有新的調查結果，駭客鎖定分散式能源下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>波蘭指出該國電力系統於12月的最後一週，<strong><a href="https://www.gov.pl/web/primeminister/poland-stops-cyberattacks-on-energy-infrastructure">遭遇近幾年最大規模的網路攻擊</a></strong>，意圖打亂再生能源設施與配電營運公司之間的通訊，但並未得逞。後續資安公司ESET<strong><a href="https://www.ithome.com.tw/news/173597">公布這起事故是俄羅斯駭客Sandworm所為</a></strong>，駭客在去年12月29日使用名為DynoWiper的資料破壞軟體（Wiper）從事活動，現在有其他資安公司揭露更多細節。</p> <p>專精於工控領域的<strong><a href="https://hub.dragos.com/report/electrum-targeting-polands-electric-sector">資安業者Dragos發布調查報告</a></strong>，指出這場攻擊活動是與Sandworm有關的另一個組織Electrum發起。這起攻擊活動的目標，並非傳統的大型發電廠，而是鎖定波蘭境內的分散式能源資源（Distributed Energy Resources，DER），標誌著網路攻擊戰術正隨著全球能源轉型而出現重大轉向。</p> <p>針對這起事故的影響範圍，Dragos指出，攻擊者成功入侵了至少12個設施，受害環境包括熱電共生（Combined Heat and Power，CHP）設施、風力發電場，以及太陽能發電場。攻擊者不僅禁用重要通訊控制設備，甚至部署惡意軟體對硬體進行破壞，導致部分遠端終端單元（RTU）永久損壞（Bricking），無法透過遠端修復。</p> <p>為何駭客看上分散式能源資源？過去的電力供應，主要由大型電廠統一發電，再經由長距離輸電線傳送給用戶，而這種方式就是轉變為在靠近用戶端的地方，設置許多小型發電或儲能設備，涵蓋再生能源發電設備（如太陽能板）、電力儲存系統、小型電網，以及同時產生熱能與電力的熱電共生設施，這類裝置除了增進能源轉型，同時能提高電網韌性，以及減少傳輸造成的能量損耗。然而，由於分散式能源資源分散，也導致攻擊面變大，再加上相關設備透過網路遠端控制，資安防護通常不若國家電網嚴密，使得這種新型態的電力結構，成為駭客的新攻擊目標。</p> <p>針對駭客組織Electrum的來歷，Dragos指出這些駭客對電網設備和運作方式相當熟悉，精通電力系統中使用的工控通訊協議，並同時能夠為IT和OT環境開發客製化的惡意軟體和資料破壞工具，而且，他們曾在2015年與2016年兩度癱瘓烏克蘭電網，根據相關攻擊特徵的比對，Dragos研判本次事故可能是由Electrum所為。</p> </div></div></div>
1/29 12:59作者周峻佑https://www.ithome.com.tw/news/173655
英國政府要求Google允許出版商退出AI Overviews索引以免被竊走流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國監管機關競爭與市場管理署（Competition and Markets Authority，CMA）昨（1/29）日提出管制措施草案，<a href="https://www.gov.uk/government/news/cma-proposes-package-of-measures-to-improve-google-search-services-in-uk" target="_blank">要求Google搜尋</a>提供選擇以確保市場自由競爭，包括允許出版商退出（opt-out）AI Overviews的顯示方式。</p> <p>Google推出的AI Overviews匯整了多家網頁內容於搜尋結果頁最上方，讓查詢用者更快獲取答案而不需點入網頁。然而這也大幅減少Google導向各網站的流量，嚴重傷害依賴流量及廣告營收的內容出版商。</p> <p>由於Google據有英國一般性搜尋流量的超過90%，2025年10月CMA認定Google在搜尋服務具有策略性市場地位（strategic market status，SMS）。這使用CMA得以根據法律導入干預措施以確保市場自由競爭。最新草案即干預措施的一環。CMA本周將草案公布並開放各方意見直到2月25日。</p> <p>本草案包括出版商控制、公平排序、選擇性視窗及資料可攜性。首先，英國政府要求Google允許出版商可控制其內容退出AI Overviews等AI服務，或是用於訓練AI模型。CMA也要求Google提出可行步驟使AI回應內容明確指向出版商網站。在公平排序部份，當局要求Google搜尋排序方法公平且透明化，提供方法供企業提出質疑及調查。</p> <p>CMA也要求Google在Android手機提供預設選擇視窗，允許搜尋使用者可切換搜尋服務，並在Chrome瀏覽器加入選擇視窗。最後，英國政府要求Google提供搜尋資料方便使用者和企業使用。</p> <p>針對英國政府要求，<a href="https://blog.google/products-and-platforms/products/search/search-ai-features-controls/" target="_blank">Google回應</a>，多年來已經提供網路出版商多項選擇，如使用開放標準的robots.txt，供出版商管理如何整合到Google搜尋。此外也提供Featured Snippets、圖片預覽，以及最近以Google-Extended供企業管理其內容如何用於Gemini模型訓練。但Google也表示正在研究改進控制選擇，讓網站可退出Google搜尋的生成式AI功能。</p> <p>Google表示會配合CMA要求和出版商協商，但前提是要確保新增控制不會導致碎片化或令使用者混淆，而破壞Google搜尋服務。</p> </div></div></div>
1/29 13:30作者林妍溱https://www.ithome.com.tw/news/173657
微軟財報出爐，Microsoft Cloud成長26%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟周三（1/28）公布截至2025年12月31日的<a href="https://www.microsoft.com/en-us/Investor/earnings/fy-2026-Q2/press-release-webcast" target="_blank">2026財年第二季財報</a>，該季微軟創下813億美元的營收，年增17%。在一般公認會計原則（GAAP）下，微軟淨收入為385億美元，年增60%；若排除對OpenAI投資帶來的影響，非GAAP淨收入為309億美元，年增23%。財報公布後，微軟盤後股價下滑5.66%，跌至454.36美元。</p> <p>從各部門營收來看，包括Microsoft 365、LinkedIn與Dynamics的生產力與業務流程（Productivity and Business Processes）締造341億美元營收，年增16%；涵蓋伺服器產品與雲端服務的智慧雲端（Intelligent Cloud）營收為329億美元，年增29%；更多個人運算（More Personal Computing）營收為143億美元，年減3%。</p> <p>至於所有以雲端、訂閱或用量計費方式交付的Microsoft Cloud，該季營收達515億美元，年增26%。該類別的商業剩餘履約義務（Commercial Remaining Performance Obligation，RPO）年增110%，達6,250億美元。<a href="https://www.cnbc.com/2026/01/28/microsoft-msft-q2-earnings-report-2026.html" target="_blank">根據CNBC報導</a>，在這6,250億美元的商業剩餘履約義務中，約45%與OpenAI相關。</p> <p>在<a href="https://www.ithome.com.tw/news/171923" target="_blank">微軟與OpenAI</a>於2025年10月公開的協議中，微軟持有OpenAI Group PBC營利事業約27%的股份，而OpenAI則承諾在未來多年向微軟採購價值約2,500億美元的Azure雲端服務。</p> <p>從個別服務表現來看，該季營收成長幅度最高的是Azure與其他雲端服務，年增39%；其次為Microsoft 365 Consumer Cloud，年增29%；Microsoft Cloud整體營收年增26%。</p> <p>在會計處理上，微軟並未將OpenAI併入合併報表，而是以投資方式認列其對損益的影響。2026財年第二季，微軟因投資OpenAI認列約76億美元的淨收益，使GAAP淨收入顯著提升；微軟在Non-GAAP數據中則將OpenAI投資影響排除，Non-GAAP淨收入為309億美元。微軟指出，Non-GAAP結果較能反映雲端、辦公軟體與企業服務等核心業務的實際經營表現。</p> <p>微軟執行長Satya Nadella表示，目前仍處於AI普及的起步階段，但微軟已建立規模不亞於部分核心業務的AI業務，並持續在整體AI技術堆疊上推進創新。</p> </div></div></div>
1/29 14:04作者陳曉莉https://www.ithome.com.tw/news/173659
【資安日報】1月29日，波蘭電力基礎設施遭遇攻擊，傳出是俄羅斯駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173597"><strong style="font-size: 22px;">俄羅斯國家級駭客Sandworm鎖定波蘭電力產業，利用惡意軟體DynoWiper抹除資料</strong></a></p> <p>1月23日資安公司ESET表示，去年底波蘭能源系統遭到大規模網路攻擊，根據他們的調查結果，這起事故發生在12月29日，其特徵與Sandworm過往發動的資料破壞攻擊高度重疊，因此研判應該是這些俄羅斯駭客所為。這次駭客使用的資料破壞軟體（Wiper），ESET命名為DynoWiper。對於整起事故發生的完整過程，該公司表示尚在進一步調查當中，不過，目前尚未出現災情。</p> <p>針對駭客的動機，很可能是Sandworm鎖定能源設施發動攻擊正好滿10週年。2015年12月，該組織攻擊烏克蘭電網，使用惡意軟體BlackEnergy入侵變電站重要系統，導致約有70萬人停電數小時，而這是首度電力系統因惡意軟體攻擊造成的停擺的事故。</p> <p><a href="https://www.ithome.com.tw/news/173655"><strong style="font-size: 22px;">針對波蘭電網遭到攻擊有新的調查結果，駭客鎖定分散式能源下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RSYtYwtFIw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RSYtYwtFIw.png" style="width: 300px; float: right;" /></a></p> <p>波蘭指出該國電力系統於12月的最後一週，遭遇近幾年最大規模的網路攻擊，意圖打亂再生能源設施與配電營運公司之間的通訊，但並未得逞。專精於工控領域的資安業者Dragos發布調查報告，指出這場攻擊活動是與Sandworm有關的另一個組織Electrum發起。這起攻擊活動的目標，並非傳統的大型發電廠，而是鎖定波蘭境內的分散式能源資源（Distributed Energy Resources，DER），標誌著網路攻擊戰術正隨著全球能源轉型而出現重大轉向。</p> <p>針對這起事故的影響範圍，Dragos指出，攻擊者成功入侵了至少12個設施，受害環境包括熱電共生（Combined Heat and Power，CHP）設施、風力發電場，以及太陽能發電場。攻擊者不僅禁用重要通訊控制設備，甚至部署惡意軟體對硬體進行破壞，導致部分遠端終端單元（RTU）永久損壞（Bricking），無法透過遠端修復。</p> <p><a href="https://www.ithome.com.tw/news/173612"><strong style="font-size: 22px;">滲透合作公司員工郵件帳號發SharePoint文件共用信，能源公司遭多階段AiTM網釣與BEC鎖定</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AiTM-BEC-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-BEC-1.jpg" style="width: 300px; float: right;" /></a></p> <p>微軟21日揭露一起鎖定能源產業的大規模攻擊，駭客結合了對手中間人攻擊（AiTM）與商業郵件詐騙，過程裡運用SharePoint檔案共用服務發送釣魚的有效酬載，並依賴電子郵件系統的收件匣規則，讓使用者難以察覺異狀。一旦攻擊者成功入侵，他們就會利用受害組織能夠信任的內部使用者身分，藉此擴大活動範圍。針對這起事故，微軟指出駭客展現了對手中間人攻擊手法的複雜性，而且，採用的攻擊手段超越一般身分驗證的入侵方式，受害企業光是重設密碼不足以因應，必須撤銷尚在使用的連線階段（Session）及Cookie，並清除攻擊者建立的收件匣規則。</p> <p><a href="https://www.ithome.com.tw/news/173649"><strong style="font-size: 22px;">惡意VS Code延伸套件偽裝成Clawdbot，開發者電腦恐遭遠端完全控制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69789df963f057bd2846cc80_ece52c1c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69789df963f057bd2846cc80_ece52c1c.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Aikido近日揭露針對Visual Studio Code（VS Code）開發者的供應鏈攻擊事件，有人在延伸套件市集Visual Studio Code Marketplace，發布打著Clawdbot名號的AI程式碼助理擴充套件，由於Clawdbot專案並未推出VS Code延伸套件，該套件引起Aikido注意。經過調查後，確認套件內含惡意程式碼，會在使用者電腦上植入遠端管理工具ConnectWise ScreenConnect，使攻擊者能完全控制受害系統。Aikido向微軟通報此事，該套件已被移除。</p> <p>這款套件完整的名稱是「ClawdBot Agent – AI Coding Assistant」，顯然是攻擊者刻意仿冒熱門開源AI代理專案的名稱，藉此降低開發者戒心。值得留意的是該延伸套件在安裝後具備駭客宣稱的功能，表面看起來與一般AI程式碼助理工具無異，反而更容易取得使用者信任。</p> <p><a href="https://www.ithome.com.tw/news/173653"><strong style="font-size: 22px;">竊資軟體Amatera Stealer透過Click-Fix網釣散布，濫用App-V元件迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/app-v-png.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/app-v-png.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Blackpoint Cyber近日揭露最新一波ClickFix網釣攻擊手法，駭客透過偽造CAPTCHA圖靈驗證網頁，引導使用者主動執行系統指令，進而在電腦植入竊資軟體Amatera Stealer，其攻擊鏈設計與常見手法不同，關鍵差異在於濫用App‑V元件作為中繼節點，以迴避端點防護與行為型偵測機制。</p> <p>這起事件的攻擊鏈起點是看似正常的CAPTCHA驗證頁面，內容聲稱需要進行圖靈驗證或修復瀏覽器異常，要求使用者依照指示操作，然而若是照做，他們的電腦就會被植入竊資軟體。與多數ClickFix攻擊鏈直接呼叫PowerShell或CMD不同，這次攻擊者在初始階段改以Windows內建、具有合法簽章的SyncAppvPublishingServer.vbs指令碼作為攻擊鏈的一環。此指令碼屬於App‑V應用程式虛擬化架構工具，使攻擊鏈在行為上更接近正常系統作業，有效降低攻擊指令被EDR即時攔截的機率。</p> <p><a href="https://www.ithome.com.tw/news/173646"><strong style="font-size: 22px;">SoundCloud後臺輔助儀表板遭未授權存取，HIBP指約2,980萬帳號資料外流</strong></a></p> <p>音樂串流平臺SoundCloud日前揭露資安事件，表示其後臺一處周邊服務儀表板出現未授權活動，攻擊者得以把約兩成用戶的電子郵件地址，與原本就可在公開個人檔案頁面取得的資料建立對應關係。1月27日資料外洩追蹤網站Have I Been Pwned（HIBP）指出，受影響帳號約2,980萬筆，且外洩資料包含約3,000萬個唯一電子郵件地址，使攻擊者能將公開個人檔案資訊連結到特定電子郵件地址，資料並在隔月遭公開釋出，HIBP已收錄這批資料供民眾比對。</p> <p><a href="https://www.ithome.com.tw/news/173579"><strong style="font-size: 22px;">HPE修補Alletra與Nimble系列儲存陣列遠端提升權限漏洞</strong></a></p> <p>作為當前一線儲存大廠的HPE，於1月20日揭露影響其Alletra與Nimble系列儲存陣列作業系統軟體的重大漏洞，並釋出修補。根據該公司的公告，Alletra與Nimble儲存系統存在重大漏洞CVE-2026-23594，可能導致攻擊者從遠端提升權限，進而控制儲存陣列，CVSS嚴重性等級評分為8.8。</p> <p>根據HPE的公告，CVE-2026-23594影響的作業系統版本，包含：6.1.2.800之前的版本，以及6.1.3至6.1.3.300之前的版本。修補這個弱點的方法，是將上述HPE儲存陣列的作業系統更新至6.1.2.800版，或6.1.3.300版。</p> <p><a href="https://www.ithome.com.tw/news/173567"><strong style="font-size: 22px;">Kerberos驗證恐被DNS別名誘導，微軟補強HTTP服務防中繼攻擊</strong></a></p> <p>資安業者Cymulate研究團隊揭露，Windows在進行Kerberos服務驗證時，建構服務主體名稱（Service Principal Name，SPN）的流程會跟隨DNS回應的CNAME別名，並以別名主機名稱向票證授權服務TGS索取服務票證。研究人員指出，要是攻擊者能在網路路徑上攔截或竄改受害者的DNS查詢，就可能誘導用戶端替攻擊者指定的SPN索取票證，再把票證中繼到未強制簽章或未強制通道綁定權杖CBT的服務，達到冒用使用者身分存取資源的效果。</p> <p>研究人員已於2025年10月通報上述問題並經微軟確認，該漏洞以CVE-2026-20929編號追蹤，微軟在2026年1月安全性更新中針對HTTP.sys加入通道綁定權杖CBT支援，藉此提升HTTP類服務端面對Kerberos中繼的抵抗力。</p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-23830-critical-sandboxjs-flaw-cvss-10-allows-total-sandbox-escape/">JavaScript沙箱SandboxJS存在滿分層級的重大沙箱逃逸漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2026-24765-phpunit-vulnerability-exposes-ci-cd-pipelines-to-rce/">PHPUnit存在高風險漏洞，恐導致CI/CD管線曝露，攻擊者可竄改程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/safety-broken-pytorch-safe-mode-bypassed-by-critical-rce-flaw/">PyTorch安全模式存在漏洞，攻擊者可繞過防護執行任意程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/hpe-aruba-patches-high-severity-rce-and-openssl-flaws/">HPE Aruba修補高風險OpenSSL弱點</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173643"><strong>【1月28日】竄紅的開源AI平臺Clawdbot出現部分系統配置不當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173616"><strong>【1月27日】金管會資安監理政策2026年六大新重點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173582"><strong>【1月26日】ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣</strong></a></p> </div></div></div>
1/29 14:11作者周峻佑https://www.ithome.com.tw/news/173656
惡意VS Code延伸套件偽裝成Clawdbot，開發者電腦恐遭遠端完全控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源AI代理專案Clawdbot（現已更名為Moltbot）異軍突起，本週然吸引大量關注，但也<strong><a href="https://www.ithome.com.tw/news/173641">引發組態設定不當而產生資安風險的爭議</a></strong>，然而駭客也跟上這波熱潮，假冒其名號散布惡意軟體。</p> <p>資安公司Aikido近日揭露針對Visual Studio Code（VS Code）開發者的供應鏈攻擊事件，有人在延伸套件市集Visual Studio Code Marketplace，<strong><a href="https://www.aikido.dev/blog/fake-clawdbot-vscode-extension-malware">發布打著Clawdbot名號的AI程式碼助理擴充套件</a></strong>，由於Clawdbot專案並未推出VS Code延伸套件，該套件引起Aikido注意。經過調查後，確認套件內含惡意程式碼，會在使用者電腦上植入遠端管理工具ConnectWise ScreenConnect，使攻擊者能完全控制受害系統。Aikido向微軟通報此事，該套件已被移除。</p> <p>這款套件完整的名稱是「ClawdBot Agent – AI Coding Assistant」，顯然是攻擊者刻意仿冒熱門開源AI代理專案的名稱，藉此降低開發者戒心。值得留意的是該延伸套件在安裝後具備駭客宣稱的功能，表面看起來與一般AI程式碼助理工具無異，反而更容易取得使用者信任。</p> <p><a href="https://s4.itho.me/sites/default/files/images/69789df963f057bd2846cc80_ece52c1c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69789df963f057bd2846cc80_ece52c1c.png" style="width: 580px;" /></a></p> <p>一旦開發者安裝此延伸套件，電腦就會被植入ConnectWise ScreenConnect用戶端，用來讓受害電腦主動連線至攻擊者的伺服器，形成隱蔽的遠端存取通道。</p> <p>在連線建立之後，攻擊者便能即時操作受害系統，包含存取程式碼專案、竊取憑證、橫向移動至企業內部網路，甚至進一步部署其他惡意程式。對開發者而言，這類攻擊不僅威脅個人設備安全，也可能波及整個組織的軟體供應鏈。</p> <p>另一方面，該惡意延伸套件內建多組備援下載機制。若主要惡意伺服器無法連線，程式會嘗試其他硬編碼的備用網域，確保惡意負載仍能成功下載與執行。這種多層設計顯示攻擊者具備相當成熟的惡意程式開發經驗，藉此提高攻擊的成功率。</p> </div></div></div>
1/29 11:28作者周峻佑https://www.ithome.com.tw/news/173649
SoundCloud後臺輔助儀表板遭未授權存取，HIBP指約2,980萬帳號資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>音樂串流平臺SoundCloud日前<a href="http://soundcloud.com/playbook-articles/protecting-our-users-and-our-service">揭露</a>資安事件，表示其後臺一處周邊服務儀表板出現未授權活動，攻擊者得以把約兩成用戶的電子郵件地址，與原本就可在公開個人檔案頁面取得的資料建立對應關係。資料外洩追蹤網站Have I Been Pwned（HIBP）收錄後<a href="https://haveibeenpwned.com/Breach/SoundCloud">指出</a>，受影響帳號約2,980萬筆，且外洩資料包含約3,000萬個唯一電子郵件地址，使攻擊者能將公開個人檔案資訊連結到特定電子郵件地址，資料並在隔月遭公開釋出。</p> <p>SoundCloud在2025年12月15日說明，團隊偵測到未授權活動後即啟動事件應變程序並迅速阻止，並委託第三方資安專家協助調查。該公司強調，此次受影響的資料不包含密碼或財務資料，主要是電子郵件地址與公開個人檔案資訊。</p> <p>依SoundCloud說法，事件處置後平臺曾遭遇阻斷服務（DoS）攻擊，其中兩次一度影響網站端的可用性，SoundCloud也調整相關設定，強化監控、威脅偵測以及身分與存取控管，但部分使用VPN的用戶因此短暫出現連線問題，官方表示正持續修復。</p> <p>在1月13日後續更新中，SoundCloud指出，宣稱涉案的攻擊者團體近期提出要求，並以電子郵件洪水攻擊騷擾用戶、員工與合作夥伴，同時持續聲稱取得敏感資料。SoundCloud表示目前沒有證據支持這些說法，並已強化周邊防護與DoS攻擊的偵測與緩解能力，也正全面檢視服務並修補潛在弱點。</p> <p>HIBP於1月27日將該事件加入資料外洩清單，網站列出的受影響資料類型包含電子郵件地址、姓名、使用者名稱、頭像、地理位置與個人檔案統計等。由於電子郵件地址長被用作登入身分或對外聯絡管道，一旦能與公開個人檔案連結，外界就更容易鎖定特定對象投遞垃圾郵件，或以社交工程手法偽裝熟人與客服來訊，提高受害者誤信的機率。</p> <p>SoundCloud建議用戶維持基本的帳號與郵件防護習慣，留意可疑訊息與網路釣魚手法。官方強調不會以任何方式索取密碼或帳號憑證，當收到可疑來訊應避免點擊連結或回覆，以免在外洩資料被用來進一步冒用身分時，擴大後續損害。</p> </div></div></div>
1/29 11:29作者李建興https://www.ithome.com.tw/news/173646
WhatsApp新增安全設定防範高風險個人遭植入監聽軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.whatsapp.com/whatsapps-latest-privacy-protection-strict-account-settings" target="_blank">Meta宣布</a>為WhatsApp新增嚴格帳戶設定（Strict Account Settings），以防止使用者遭到進階攻擊者，如政府監聽通訊內容或外洩資訊。</p> <p>這項設定是向所有WhatsApp使用者開放的功能選項，一般消費者也可以啟用，但官方說明指出，這個功能是為了應對高度複雜和精準網路攻擊情境而設計，主要設定用戶是可能處於高風險的人士，如記者、公眾人物、維權人士等。本功能會在未來幾周內部署。</p> <p>WhatsApp表示，嚴格帳戶設定來自WhatsApp確保用戶免於進階網路威脅的技術之一。開啟此設定後，部份設定會鎖定在最嚴格，限制某些功能的運作，例如封鎖非聯絡人清單的附件和影音內容。</p> <p>進入「設定」>「隱私」>「進階」，啟用「嚴格帳號設定」。目前只能在主裝置即手機上開啟，無法在WhatsApp Web或桌機版上設定。</p> <p>此外，WhatsApp也在後臺導入了Rust撰寫成的媒體一致性（media library）函式庫，用以媒體格式驗證和一致性檢查，防止惡意檔案透過WhatsApp傳送給用戶。WhatsApp表示這項技術可確保用戶在和外界通訊時，免於照片、影片和訊息被間軟體等惡意程式監聽監看。</p> <p>最新安全設定是為了防範敵對國家、政府、或駭客利用間諜軟體竊聽特定個人通訊內容。<a href="https://www.ithome.com.tw/news/167253" target="_blank">去年初媒體揭露</a>義大利知名調查報導媒體Fanpage總編Francesco Cancellato及另二名異議人士手機，疑似遭義國政府利用Paragon出品的間諜軟體Graphite，竊取通訊內容及個資。此外，以色列業者NSO Group的間諜軟體Pegasus也常被用來監控WhatsApp用戶，據傳全球受害用戶約1,400人。2019年Meta/WhatsApp對NSO Group<a href="https://www.ithome.com.tw/news/133908" target="_blank">提出控告</a>。</p> </div></div></div>
1/29 11:49作者林妍溱https://www.ithome.com.tw/news/173654
竊資軟體Amatera Stealer透過Click-Fix網釣散布，濫用App-V元件迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最近幾年極為氾濫的網釣攻擊手法ClickFix，已經衍生出多種變形版本，例如誘導使用者操作流程都在瀏覽器進行的<strong><a href="https://www.ithome.com.tw/news/169733">FileFix</a></strong>、製造電腦必須進行安全更新假象的<strong><a href="https://www.ithome.com.tw/news/172511">JackFix</a></strong>、結合OAuth身分驗證流程的<strong><a href="https://www.ithome.com.tw/news/172800">ConsentFix</a></strong>，以及讓瀏覽器看起來像當掉的<strong><a href="https://www.ithome.com.tw/news/173506">CrashFix</a></strong>與<strong><a href="https://censys.com/blog/errtraffic-inside-glitchfix-attack-panel">GlitchFix</a></strong>，現在有人結合Windows內建的公用程式，讓惡意指令執行更加不受阻礙。</p> <p>資安公司Blackpoint Cyber近日<strong><a href="https://blackpointcyber.com/blog/novel-fake-captcha-chain-delivering-amatera-stealer/">揭露最新一波ClickFix網釣攻擊手法</a></strong>，駭客透過偽造CAPTCHA圖靈驗證網頁，引導使用者主動執行系統指令，進而在電腦植入竊資軟體Amatera Stealer，其攻擊鏈設計與常見手法不同，關鍵差異在於濫用App‑V元件作為中繼節點，以迴避端點防護與行為型偵測機制。</p> <p>這起事件的攻擊鏈起點是看似正常的CAPTCHA驗證頁面，內容聲稱需要進行圖靈驗證或修復瀏覽器異常，要求使用者依照指示操作，然而若是照做，他們的電腦就會被植入竊資軟體。與多數ClickFix攻擊鏈直接呼叫PowerShell或CMD不同，這次攻擊者在初始階段改以Windows內建、具有合法簽章的SyncAppvPublishingServer.vbs指令碼作為攻擊鏈的一環。此指令碼屬於App‑V應用程式虛擬化架構工具，使攻擊鏈在行為上更接近正常系統作業，有效降低攻擊指令被EDR即時攔截的機率。</p> <p>這種在攻擊鏈中插入App‑V元件的設計，能模糊命令真正的啟動來源，削弱資安產品對於異常命令行關聯分析的效果，成為本案最具代表性的技術差異。</p> <p>App‑V全名是Microsoft Application Virtualization，可將應用程式與作業系統環境隔離執行。它允許程式在虛擬環境中運行，不直接安裝到系統磁碟或修改登錄檔，並能集中管理與部署。然而，對攻擊者而言，App‑V腳本可作為合法外殼，在攻擊鏈中啟動PowerShell或其他程式，降低被資安防護系統偵測的可能性。</p> <p>此外，該攻擊鏈仍保留ClickFix常見的門檻檢查機制，例如確認指令是否經由剪貼簿貼上、是否由互動式使用者操作執行。若環境不符合預期條件，攻擊鏈便會中止，以避免在沙箱或自動化分析環境中暴露行為。</p> <p>在通過初步檢查後，攻擊鏈後段會從Google行事曆的ICS檔案中讀取攻擊設定，其中包含下一階段有效酬載的下載位置。利用高度可信的雲端服務作為設定來源，使攻擊者能即時調整攻擊鏈內容，同時降低惡意基礎設施遭封鎖的風險。</p> <p>接著，真正的惡意負載被隱藏於PNG圖片中，透過隱寫術將加密資料嵌入影像位元。圖片下載後，竊資軟體會在記憶體中解碼並執行，避免在磁碟留下明顯檔案，進一步提升整條攻擊鏈的隱蔽性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/app-v-png.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/app-v-png.jpg" style="width: 580px;" /></a></p> <p>該攻擊鏈的最終目標是植入竊資軟體Amatera Stealer。此軟體主要用於竊取瀏覽器儲存的帳號密碼、Cookie、加密貨幣錢包資料，以及其他敏感資訊，並透過加密通道回傳至攻擊者控制的伺服器，同時刻意混淆Host標頭等網路連線特徵，以降低被流量分析機制偵測的可能性。</p> </div></div></div>
1/29 12:08作者周峻佑https://www.ithome.com.tw/news/173653
Ai2推出SERA程式開發代理，公開可重現的低成本後訓練流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國艾倫AI研究院Ai2<a href="https://allenai.org/blog/open-coding-agents">發表</a>開源程式開發代理（Open Coding Agents）計畫，首波釋出SERA開源程式開發代理模型，並公開訓練資料與可重現的後訓練流程。Ai2目標是讓開發團隊能把模型快速調整到特定程式碼庫，包含企業內部或個人私有儲存庫，同時也把模型與整合工具放到公開平臺供外界取用。</p> <p>Ai2說明，封閉式模型通常未見過組織內部程式碼與慣例，因此在資料管線、內部API或程式碼風格等情境，容易出現理解落差。Ai2提出以合成資料驅動的後訓練方法，目標是降低私有程式碼庫的調整門檻。官方估算，重現先前最佳開源成果約需400美元的運算資源。若要把效能推進到同級尺寸的業界頂尖模型水準，成本最高約1.2萬美元，讓實驗室與小型團隊也較能負擔完整配方。</p> <p>在基準測試上，Ai2表示SERA-32B在SWE-Bench Verified的解題率可達54.2%，並稱以約40個GPU日或更少即可完成訓練，部署時也能直接相容於Claude Code。Ai2另與Nvidia合作，進行推論最佳化，提升在H100與B200等平臺的吞吐量。</p> <p>Ai2設定SERA為軟驗證的高效率儲存庫代理，其作法是先產生包含修補程式的合成開發軌跡資料。這些修補程式不必完全正確或通過完整測試驗證，也能用於訓練，藉此降低對測試環境與測試基礎設施的依賴，同時壓低合成資料生成成本。Ai2也引用既有分析整理的51種常見程式臭蟲型態，擴充資料多樣性，讓同一段函式程式碼能衍生出多種任務情境，增加訓練資料涵蓋面。</p> <p>在針對特定儲存庫調整後的表現上，Ai2以Django、SymPy與Sphinx等SWE-Bench大型儲存庫進行專案化訓練，稱每個儲存庫僅用8,000筆合成開發過程資料做監督式微調，就能在部分設定下達到或超過教師模型GLM-4.5-Air，並公布在32K上下文條件下，Django與SymPy的成績分別為52.23%與51.11%。</p> <p>Ai2也釋出SERA CLI與Claude Code相容層，並在PyPI提供ai2-sera-cli套件，說明其用途是讓Claude Code CLI可對接SWE-agent格式模型。官方表示本次釋出內容涵蓋模型、整合與訓練配方，讓研究者能檢視資料與方法，並在自身環境重現與延伸應用。</p> </div></div></div>
1/28 19:00作者李建興https://www.ithome.com.tw/news/173644
Yahoo公布AI搜尋引擎Yahoo Scout 先在美國上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在Google及眾多新進業者跨入AI搜尋服務後，老牌搜尋業者Yahoo也宣布融合新式介面的AI搜尋引擎<a href="https://www.yahooinc.com/press/introducing-yahoo-scout-a-new-ai-answer-engine" target="_blank">Yahoo Scout</a>，目前為Beta版，已在美國推出給手機及桌機用戶。</p> <p>Yahoo將Yahoo Scout稱之為AI回覆引擎（answer engine），為Yahoo搜尋服務中的一個分頁。Yahoo Scout介面為簡單的搜尋列，和Perplexity或Google搜尋很類似，允許使用者輸入自然語言查詢。</p> <p>Yahoo Scout在回答用戶問題時會開放網際網路、以及Yahoo的資料和內容搜尋並合成答案。Yahoo強調其答案整合Yahoo豐富媒體、包括列表和表格的結構化內容的直覺格式，及資料來源，提供可信度和透明度，方便用戶檢視及進一步探查。</p> <p>從技術上，Yahoo Scout結合了Anthropic和微軟的技術。Anthropic的Claude提供Scout的基礎模型，仰賴其速度、問題理解力、高品質生成內容及安全性來提供用戶可信賴且個人化的答案。另一方面它使用了微軟搜尋引擎Bing的Grounding API來抓取開放網路上的內容，以便將這些內容與Claude AI生成的答案整合。</p> <p>雖然主要技術來自合作廠商，但<a href="https://www.theverge.com/ai-artificial-intelligence/868374/yahoo-scout-looks-like-a-more-web-friendly-take-on-ai-search" target="_blank">Yahoo也強調</a>自己是全美第三大搜尋引擎，擁有全球5億消費者用戶及連結10億實體的知識圖譜，每年消費者事件（consumer event）高達18兆，可讓Yahoo Scout提供個人化答案和行動建議。</p> <p>Yahoo也加入微軟的出版商內容市集測試（Publisher Content Marketplace pilot）計畫。這個計畫主要是透過財務回饋機制，讓網路內容創作者在其內容被AI整合提供用戶時能獲得金錢回饋，透過內容市集的合作架構，增加內容創作者的收入。</p> <p>除了Yahoo Scout外，Yahoo也宣布推出Yahoo Scout智慧平臺。該平臺整合了Yahoo線上服務，包括Yahoo Mail、News、Sports及AI能力，提供加值服務像是郵件的AI摘要、運動新聞的賽事分析、新聞的重點整理等。其他還有在Yahoo購物服務加入專家文章或網路討論的AI整理，以及在Yahoo Finance提供Yahoo Scout匯整的特定公司新聞、分析師評等及財報數字等作為投資參考。Yahoo首頁也將整合特定新聞的讀者討論內容。</p> <p>Yahoo Scout現為Beta版，已在美國上線，供2.5億桌機及手機用戶存取。</p> </div></div></div>
1/29 11:01作者林妍溱https://www.ithome.com.tw/news/173651
Meta Q4營收成長24%，今年將加速部署AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta周三（1/28）<a href="https://investor.atmeta.com/investor-news/press-release-details/2026/Meta-Reports-Fourth-Quarter-and-Full-Year-2025-Results/default.aspx" target="_blank">公布該公司2025年第四季財報</a>，該季Meta創下599億美元的營收，成長24%，淨收入為228億美元，成長9%。因財報數字超越分析師預期，當天Meta盤後股價上漲了6.3%，攀上711美元。</p> <p>包括臉書、Messenger、Instagram、WhatsApp與Threads在內的應用程式家族（Family of Apps）是Meta主要的營收來源，在599億美元的營收中，就有589億美元來自該家族，占比超過98%，且營收成長了25%；而元宇宙部門Reality Labs的營收為9.55億美元，還低於前一年同期的10.8億美元。</p> <p>此外，應用程式家族替Meta帶進308億美元的營業收入，Reality Labs則帶來60億美元的虧損，與前一年同期相當。</p> <p>應用程式家族不只是營收與淨收入成長，其每日活躍用戶數為35.8億，也成長了7%。另一方面，Meta逐步將重心從VR/AR轉向AI，在1月初<a href="https://www.ithome.com.tw/news/173336" target="_blank">裁撤</a>了1,500名Reality Labs部門的人力，約占該部門10%。</p> <p>Meta創辦人暨執行長祖克柏（Mark Zuckerberg）在財報會議上透露，Meta已進入重大的AI加速階段，預計於未來幾個月開始推出新模型與產品；其長期願景是打造能理解個人背景、興趣、內容及關係的超級智慧，讓AI變成更為個人化的助手；而AI代理技術已初步顯現其價值，未來將可建立全新的產品類別並改變工作方式及體驗。</p> <p>這一年來，Meta創立了<a href="https://www.ithome.com.tw/news/169824" target="_blank">超級智慧實驗室</a>（Meta Superintelligence Labs，MSL），不僅到處高薪<a href="https://www.ithome.com.tw/news/169841" target="_blank">挖角</a>AI人才，還宣布<a href="https://www.ithome.com.tw/news/173314" target="_blank">Meta Compute</a>計畫，打算在未來10年建置數十GW等級的運算與能源基礎，直逼雲端巨頭與國家級規模。</p> <p>Meta在2025年的成本暨費用為1,177億美元。Meta估計，2026年的相關數字應該落在1,620~1,690億美元之間，大多數的支出成長來自於基礎設施，包括第三方的雲端支出與基礎設施營運費用，其次則是員工薪資，主要為對技術人才的投資。</p> <p>至於Meta在2025年的資本支出為722.2億美元，今年則預估會成長至1,150~1,350 億美元，用以支援Meta超級智慧實驗室及核心業務。</p> </div></div></div>
1/29 11:14作者陳曉莉https://www.ithome.com.tw/news/173652
Anthropic完成新一輪融資，估值上看3,500億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據外電報導，AI新創Anthropic本周完成新一輪融資，估值上看3,500億美元。其中，<a href="https://www.cnbc.com/2026/01/27/anthropic-fundraising-microsoft-nvidia.html" target="_blank">CNBC指出</a>，此次融資超過了最初100億美元的目標，<a href="https://www.ft.com/content/5e6ee0d4-a313-452c-baac-27b45f5f2de5?utm_sf_cserv_ref=10977192&utm_sf_post_ref=660384781" target="_blank">金融時報</a>（Financial Times）則說，此次融資金額達到200億美元，達到原本計畫的兩倍，顯現出投資人對AI的熱情。</p> <p>Anthropic是在2021年成立於美國的AI新創，共同創辦人包括Dario Amodei與Daniela Amodei，兩人皆曾在OpenAI負責核心研究與安全工作。Anthropic最知名的產品為Claude系列大型語言模式，定位為強調安全、穩定與企業可用性的對話型AI，除了獲得Amazon與Google投資外，亦與Amazon AWS建立深度合作關係。</p> <p>擔任執行長的Dario Amodei日前對外透露，Anthropic在2025年已創造近100億美元的收入。相較之下，OpenAI在2025年的年化收入則突破了200億美元。</p> <p>根據報導，此次融資將由新加坡主權財富基金GIC與美國投資機構Coatue領投，紅杉資本（Sequoia Capital）與Anthropic既有投資者也會加入。目前並不確定Nvidia與微軟是否參與此次融資，這兩家業者<a href="https://www.ithome.com.tw/news/172340" target="_blank">去年承諾</a>將投資150億美元予Anthropic。</p> <p>目前全球前三大市值最高的AI新創依序是<a href="https://www.ithome.com.tw/news/171923" target="_blank">OpenAI</a>的5,000億美元，Anthropic的3,500億美元，以及<a href="https://www.ithome.com.tw/news/173214" target="_blank">xAI</a>的2,300億美元，其中，OpenAI與Anthropic都傳出可能會在今年首次公開發行股票（IPO）。</p> </div></div></div>
1/29 04:23作者陳曉莉https://www.ithome.com.tw/news/173648
【資安日報】1月28日，竄紅的開源AI平臺Clawdbot出現部分系統配置不當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173641"><strong style="font-size: 22px;">開源AI代理專案Clawdbot竄紅，研究人員警告部分系統出現配置不當，恐讓外人隨意存取機敏資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G_f8JXUbYAE_3vM.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G_f8JXUbYAE_3vM.jpg" style="width: 300px; float: right;" /></a></p> <p>由PDF技術公司PSPDFKit（後續更名為Nutrient）創辦人Peter Steinberger推出的開源AI代理專案Clawdbot（現已更名為Moltbot），近期在開發者社群爆紅，吸引大量使用者自行架設。資安研究人員Jamieson O’Reilly近日於社群平臺X發文指出，他在網際網路上發現數百個設置不當的Clawdbot Control管理介面。這些介面若未妥善設置驗證機制，可能讓未經授權的第三方直接存取，進而完全接管AI代理系統，包括讀取對話內容、竊取憑證資訊，甚至以系統最高權限執行指令。</p> <p>O’Reilly指出，由於Clawdbot Control在HTML回應中具有明確識別特徵，例如頁面標題包含「Clawdbot Control」，任何人都能透過Shodan、Censys等物聯網搜尋引擎，在短時間內找出大量公開Clawdbot執行個體（instance）的IP位址。O’Reilly實際檢視後發現，其中部分部署未正確啟用身分驗證機制，導致任何人都可直接連線存取。他也呼籲，若使用者將Clawdbot架設於反向代理伺服器後方，應立即設定下列項目：gateway.auth.password或gateway.trustedProxies，以避免曝險。</p> <p><a href="https://www.ithome.com.tw/news/173629"><strong style="font-size: 22px;">Fortinet公布已被積極利用的FortiCloud單一登入新漏洞，並釋出部分版本的更新程式</strong></a></p> <p>去年12月，Fortinet修補兩項重大層級的資安漏洞CVE-2025-59718與CVE-2025-59719（CVSS風險皆為9.8分），影響多款啟用FortiCloud單一登入（SSO）機制的設備，包括防火牆FortiGate、網頁應用程式防火牆FortiWeb、網頁安全閘道FortiProxy，以及網路設備管理平臺FortiSwitchManager。然而，一個月後，即傳出攻擊者自1月15日開始，仍可透過單一登入帳號竄改防火牆組態，22日Fortinet坦承先前修補不完整，並發現已修補上述漏洞的防火牆被入侵，該公司於27日將駭客利用的攻擊途徑登記新的CVE編號列管。</p> <p>根據Fortinet發布的最新資安公告，FortiCloud單一登入存在身分驗證繞過漏洞CVE-2026-24858。該漏洞影響FortiOS 7.0版以上的防火牆、FortiProxy、FortiSwitchManager，以及安全事件記錄分析與報告平臺FortiAnalyzer；FortiOS、FortiSwitchManager、FortiAnalyzer 6.4版不受影響。Fortinet評估其CVSS風險值為9.4分，美國國家漏洞資料庫（NVD）則標示為9.8分。同日，美國網路安全暨基礎設施安全局（CISA）將此漏洞列入已遭利用漏洞清單（KEV），要求聯邦機構於1月30日前完成因應措施。</p> <p><a href="https://www.ithome.com.tw/news/173638"><strong style="font-size: 22px;">俄羅斯與中國駭客加入利用WinRAR路徑遍歷漏洞的行列</strong></a></p> <p>Google威脅情報團隊（GTIG）提出警告，他們已掌握多組國家級駭客組織正積極利用WinRAR路徑遍歷漏洞CVE-2025-8088，同時也觀察到以經濟利益為動機的犯罪集團投入漏洞利用。攻擊者普遍透過該漏洞，在受害系統中取得初始存取權限，並投放多種惡意酬載，其手法高度一致，主要是將惡意檔案寫入Windows啟動資料夾（Startup Folder），以確保惡意程式能在系統重新啟動後持續執行。</p> <p>在國家級威脅方面，GTIG 指出俄羅斯駭客組織為主要勢力，攻擊重心多半鎖定烏克蘭軍方與政府單位，並以地緣政治議題作為社交工程誘餌。相關組織包括RomCom（UNC4895、Cigar）、APT44（FrozenBarents）、TEMP.Armageddon，以及Turla（Summit）。除了俄羅斯駭客外，GTIG也揭露一個未公開名稱的中國駭客組織同樣投入漏洞利用，該組織會將BAT批次檔寫入啟動資料夾，進一步下載並執行木馬程式PoisonIvy。</p> <p><a href="https://www.ithome.com.tw/news/173623"><strong style="font-size: 22px;">微軟緊急修補已遭利用的Office零時差漏洞</strong></a></p> <p>1月26日微軟緊急修補已遭駭客利用的Office零日漏洞CVE-2026-21509，該漏洞也被美國網路安全暨基礎設施安全局（CISA）納入已遭利用漏洞列表（KEV），要求政府機構在2月16日以前完成修補。</p> <p>該漏洞影響多個Office版本，包括Office 2016、Office 2019、Office LTSC 2021、Office LTSC 2024，以及Microsoft 365 Apps等。微軟已經釋出Office 2016與Office 2019的官方更新，微軟亦從伺服器端更新了Office 2021與之後的版本，使用者只要重啟便能生效。</p> <p><a href="https://www.ithome.com.tw/news/173631"><strong style="font-size: 22px;">逾80萬臺採用GNU Inetutils建置的Telnet伺服器存在重大漏洞，臺灣有2.4萬臺曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G_lR06cXIAAzCaF.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G_lR06cXIAAzCaF.jpg" style="width: 300px; float: right;" /></a></p> <p>上周研究人員揭露GNU Inetutils telnetd重大漏洞CVE-2026-24061，網路安全調查顯示，網路上有將近80萬伺服器曝險。非營利網路研究及偵測機構ShadowServer Foundation本周掃描結果顯示，存在本漏洞的Telnet伺服器已由最高峰的148萬臺減少，但截至1月26日，仍有超過80萬臺曝險。以曝險伺服器數量而言，中國（13萬）、巴西（12萬）和美國（5萬）為前三大，臺灣也有2萬4千多臺Telnet伺服器曝險。</p> <p>研究人員觀察到從1月22日起24小時內，開始有數個IP位址企圖登入GNU Inetutils telnetd程式，可能為惡意活動。研究人員及各國主管機關呼籲用戶應儘速更新軟體，或是關閉Telnet，啟用防火牆存取政策、使用VPN或ZNTA存取裝置。</p> <p><a href="https://www.ithome.com.tw/news/173595"><strong style="font-size: 22px;">CISA警告VMware vCenter重大漏洞CVE-2024-37079已遭濫用</strong></a></p> <p>美國網路安全暨基礎設施管理署（CISA）上周正式將2024年修補的VMware vCenter Server重大漏洞，加入已知遭濫用漏洞（KEV）清單，要求聯邦政府機關限期完成軟體的防護措施。</p> <p>CISA在安全公告指出，CVE-2024-37079屬於越界寫入漏洞，是常見的網路攻擊向量，對聯邦政府及相關機關造成重大危害，因此要求在2月13日之前完成IT環境盤查和軟體升級。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=140811&SPOKE_DATE=20260127&COMPANY_ID=3518"><strong style="font-size: 22px;">電子業者柏騰資訊系統遭網路攻擊，已採取隔離、檢測、系統復原措施因應</strong></a></p> <p>專精電子製造與真空濺鍍薄膜技術的上市公司柏騰（3518）於1月27日發布重大訊息公告，說明公司近期發生資訊安全事件。該公司於當日偵測到資訊系統遭受網路攻擊，隨即啟動相關資安應變與防護機制進行處理。他們已立即採取隔離、檢測及系統復原等措施，目前系統已恢復正常運作。經初步調查與評估，尚未發現有個人資料、機密資料，或重要營運資訊外洩情形。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=191143&SPOKE_DATE=20260127&COMPANY_ID=2745"><strong style="font-size: 22px;">五福旅行社發資安重訊，指出資訊系統有部分資料外流</strong></a></p> <p>上櫃公司五福旅行社（2745）於1月27日晚間於股市公開觀測站發布重大訊息，說明部分資訊系統遭受網路攻擊的情況，導致系統運作異常。公司資訊與資安單位即刻啟動防禦措施，並委請外部資安專家及系統廠商協助處理，目前受影響系統已恢復正常運作。根據內部初步調查，雖在事件中發現有部分資料外流，但經公司研判，未造成重大損害或實質影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/have-i-been-pwned-soundcloud-data-breach-impacts-298-million-accounts/">音訊串流共享平臺SoundCloud資料外洩，近3千萬帳號遭竊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/lazarus-hackers/">北韓駭客Lazarus鎖定歐洲無人機製造商從事網路間諜活動，意圖加速北韓無人機開發</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/indian-users-targeted-in-tax-phishing.html">惡意程式Blackmoon鎖定印度用戶而來，假冒稅務名義從事網釣活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/access-system-flaws-enabled-hackers-to-unlock-doors-at-major-european-firms/">Dormakaba門禁系統存在漏洞，攻擊者恐遠端開啟大門</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173616"><strong>【1月27日】金管會資安監理政策2026年六大新重點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173582"><strong>【1月26日】ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173553"><strong>【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</strong></a></p> </div></div></div>
1/28 19:25作者周峻佑https://www.ithome.com.tw/news/173643
衛福部正式啟動高算力中心暨跨國聯邦學習平臺，要解決公雲的合規局限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="285" data-start="152">衛福部今（28日）正式啟動高算力中心暨跨國聯邦學習平臺，除了回應行政院提出的AI新十大建設，也希望解決醫療體系在使用商用公雲時面臨的合規與治理局限。這座高算力中心，從硬體設備、機房環境、系統管理人員到模型訓練流程，全都設在臺灣境內，且完全受我國法規管轄。</p> <p data-end="433" data-start="287">這個算力中心早在2024年就開始規畫，當時衛福部已先建置LS40等級系統，去年再導入H200等級系統，未來還將進一步引進GB200等級系統。除了提升算力，衛福部也以這座高算力平臺為基礎，推動聯邦學習（Federated Learning），來解決醫療AI模型「不夠通用」的老問題。</p> <h2><strong>回應2大痛點：公雲局限與醫療AI通用性不足</strong></h2> <p>主導這項計畫的衛福部資訊處處長李建璋指出，建置專屬高算力中心，背後有3大國家層級的考量：AI主權、隱私與資安，以及聯邦學習的實際落地。</p> <p>他說明，目前商用公雲服務在醫療領域仍有難以跨越的限制，特別是涉及極度敏感的健康資料時，合規與管轄權就是一大問題。一旦公雲業者的外籍員工擁有存取權限，資料若被不當存取或帶出境外，國內法規將難以有效處理。</p> <p>因此，與全民健康高度相關的資料，政府必須握有絕對控制權，確保資料主權不外流。這也是衛福部提出高算力中心暨聯邦學習平臺的原因，從硬體、機房、系統管理到模型訓練流程，全數留在臺灣境內，並完全納入我國法規治理，形同打造一個隱私與資安等級最高的示範場域。</p> <h2><strong>用聯邦學習解決「模型換醫院就不準」的問題</strong></h2> <p>另一個亟需解決的問題，是醫療AI模型的通用性不足。李建璋指出，目前許多醫療AI模型，都是用單一醫學中心的資料訓練而成，在原訓練醫院表現良好，但一換到其他醫院，準確度就明顯下降。</p> <p>原因在於，不同醫院代表不同病患族群、疾病嚴重程度與就醫行為，資料分佈本來就不一樣，模型自然會「水土不服」。</p> <p>但醫療資料高度敏感，政府也不可能將全臺醫療資料集中到單一資料庫來訓練模型。為此，衛福部選擇聯邦學習作為解方，讓資料不離開醫院，也能進行接近全國規模的模型訓練與驗證。</p> <p>李建璋解釋，聯邦學習的運作方式，是由中央節點發起訓練計畫，先將初始模型送到各家參與醫院，各醫院再用本地資料進行訓練，資料全程留在院內。完成一輪訓練後，醫院只需回傳模型參數，由中央節點彙整並更新模型，重複進行，直到模型收斂。透過這種方式，就能訓練出更能適應不同醫院特性的AI模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%81%AF%E9%82%A6%E5%AD%B8%E7%BF%92.JPG" /></p> <p>他也強調，這種模式有助於讓算力與人才不足的小型醫院，也能使用接近醫學中心等級的AI診斷輔助，讓醫療AI真正成為公共建設，而不是少數大醫院的專利。</p> <h2><strong>2年前啟動建置，未來將導入GB200等級系統</strong></h2> <p>在硬體建設方面，衛福部早在2年前就啟動機房升級與改造工程。2024年完成電力與環境調整後，先建置LS40等級系統（效能相當於DGX A100），支援高效能運算與基礎AI訓練需求。</p> <p>2025年進一步導入H200等級系統，為大型語言模型（LLM）與醫學影像分析做準備，未來還將引進GB200等級系統，以因應更高複雜度的模型運算需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A1%AC%E9%AB%94%E5%BB%BA%E7%BD%AE%E8%B7%AF%E5%BE%91.JPG" /></p> <p>在算力資源管理上，李建璋指出，傳統靜態配置容易造成GPU閒置、使用效率不佳，因此衛福部導入Nvidia的Run:ai解決方案，能依模型需求即時分配算力，讓同一套硬體平行支援多個 AI 專案，提高整體使用效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E6%BA%90%E7%AE%A1%E7%90%86.JPG" /></p> <h2><strong>串聯19家醫院，打造國家級平臺</strong></h2> <p>李建璋也說明，這座高算力中心將結合原本三大AI中心中「第二類中心」的4家主責醫院，以及聯盟內已建置聯邦學習網路的15家醫院，共19家醫療機構，以高算力中心為樞紐，形成國家級的醫療AI平臺。</p> <p>衛福部補充，這項關鍵基礎建設成果，來自廣達電腦、Nvidia臺美團隊、工研院、衛福部次世代計畫團隊，以及由臺中榮總榮譽院長陳適安擔任召集人的16家AI外部驗證中心醫院共同投入與協作。</p> <h2><strong>走向跨國，與泰國、瑞典展開合作</strong></h2> <p>除了國內應用，衛福部也以這座高算力中心暨聯邦學習平臺為基礎，拓展跨國合作。</p> <p>其中一項合作是與泰國瑪希敦大學建立跨國聯邦學習機制，用於乳房攝影與肺結核X光影像的AI自動監測模型驗證。衛福部指出，透過這種合作模式，臺灣的智慧醫療產品未來可在東協市場進行驗證與落地，東協與泰國的AI模型也能在臺灣完成臨床驗證。</p> <p>另一項合作則是與瑞典卡洛琳斯卡醫院，目標是要推動跨國、跨族群的智慧醫療研究。李建璋甚至透露，未來也評估讓臺灣的醫療資訊長（CMIO）前往該院進行為期6個月的實務訓練。</p> <p data-end="433" data-start="287"> </p> </div></div></div>
1/28 19:57作者王若樸https://www.ithome.com.tw/news/173647
OpenSSL修補高風險CMS解析堆疊溢位漏洞，恐致DoS甚至引發RCE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenSSL專案發布安全公告，修補高風險漏洞<a href="https://openssl-library.org/news/vulnerabilities/#CVE-2025-15467">CVE-2025-15467</a>。官方指出，程式在解析加密訊息語法（Cryptographic Message Syntax，CMS）的AuthEnvelopedData資料時，如果輸入惡意製作的訊息，可能觸發堆疊緩衝區溢位，導致服務當機形成拒絕服務（DoS），且在部分平臺防護不足時不排除被利用為遠端程式碼執行。</p> <p>官方說明，問題出在使用具驗證的加密演算法例如AES-GCM時，抽象語法表示法（ASN.1）參數中的初始化向量會被複製到固定大小的堆疊緩衝區，但程式未先驗證長度是否符合目的緩衝區大小。攻擊者可透過提供過長初始化向量的CMS訊息，在任何驗證或標籤檢查之前就造成越界寫入。官方也特別提醒，由於溢位發生在驗證前，觸發漏洞不需要有效金鑰。</p> <p>受影響版本涵蓋OpenSSL 3.0到3.6多個分支，OpenSSL 1.1.1與1.0.2則不受此漏洞影響。官方也表示FIPS模組不受影響，原因是CMS實作不在FIPS模組邊界內。</p> <p>OpenSSL指出，只要是會解析不受信任的CMS或公鑰加密標準PKCS#7內容，且使用AEAD加密演算法的服務與應用都可能受影響，例如處理S/MIME AuthEnvelopedData且採用AES-GCM的情境。因此企業郵件閘道或內容掃描服務，會自動解析外部寄入的S/MIME封裝內容，且底層連結到受影響版本，建議列為高優先修補項目。</p> <p>修補方面，OpenSSL已在各分支釋出安全修補版本，包括OpenSSL 3.6.1、3.5.5、3.4.4、3.3.6與3.0.19，並在版本發布資訊中列入此漏洞修正。</p> <p>用戶可先盤點主機與容器映像內實際提供的OpenSSL函式庫版本，並依所屬分支升級到對應修補版，因為許多應用程式即使完成更新，執行時仍會動態載入系統或映像中的libssl與libcrypto，當底層函式庫未同步更新，修補可能不會生效。</p> <p>除了CVE-2025-15467，OpenSSL這次更新也一併修補多項風險較低或較受使用情境限制的漏洞，包含中等風險的CVE-2025-11187，以及多個主要影響為拒絕服務的低風險議題。其中CVE-2025-11187修補重點，是在驗證PKCS#12檔案的PBMAC1參數時缺乏完整驗證，可能在MAC驗證流程觸發堆疊緩衝區溢位或指標相關錯誤，導致服務當機形成DoS，官方指出，PKCS#12用於保存私鑰與憑證，實務上多屬內部產製與管理，應用程式直接接收不受信任PKCS#12檔案的情境相對少見，因此整體評估為中等風險。</p> </div></div></div>
1/28 18:31作者李建興https://www.ithome.com.tw/news/173642
俄羅斯與中國駭客加入利用WinRAR路徑遍歷漏洞的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月底，知名壓縮軟體WinRAR開發商Rarlab發布7.13版，修補高風險路徑遍歷漏洞CVE-2025-8088，CVSS風險評為8.8分（4.0版為8.4分），<strong><a href="https://www.ithome.com.tw/news/170567">最早通報漏洞的資安業者 ESET 指出</a></strong>，發現漏洞的起因，是俄羅斯駭客組織RomCom已實際將其用於攻擊行動，目標涵蓋歐洲與加拿大的金融、製造、國防及物流產業。</p> <p>後續，俄羅斯資安公司BI.Zone也觀察到另一個俄羅斯駭客組織Paper Werewolf（又稱 Goffee），疑似從駭客論壇取得漏洞利用方式後投入實戰。隨著漏洞細節在地下社群擴散，越來越多駭客組織加入濫用行列，使得攻擊規模持續擴大。</p> <p>Google威脅情報團隊（GTIG）進一步指出，<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/exploiting-critical-winrar-vulnerability">他們已掌握多組國家級駭客組織正積極利用CVE-2025-8088</a></strong>，同時也觀察到以經濟利益為動機的犯罪集團投入漏洞利用。攻擊者普遍透過該漏洞，在受害系統中取得初始存取權限，並投放多種惡意酬載，其手法高度一致，主要是將惡意檔案寫入Windows啟動資料夾（Startup Folder），以確保惡意程式能在系統重新啟動後持續執行。</p> <p>在國家級威脅方面，GTIG 指出俄羅斯駭客組織為主要勢力，攻擊重心多半鎖定烏克蘭軍方與政府單位，並以地緣政治議題作為社交工程誘餌。相關組織包括RomCom（UNC4895、Cigar）、APT44（FrozenBarents）、TEMP.Armageddon，以及Turla（Summit）。其中，RomCom散布惡意程式被稱為NestPacker或Snipbot；APT44透過漏洞投放惡意LNK檔案；TEMP.Armageddon則將HTA檔案置入啟動資料夾，以下載第二階段工具；Turla則利用漏洞散布惡意軟體StockStay。GTIG特別警告，TEMP.Armageddon的相關攻擊行動至今仍在進行中。</p> <p>除了俄羅斯駭客外，GTIG也揭露一個未公開名稱的中國駭客組織同樣投入漏洞利用，該組織會將BAT批次檔寫入啟動資料夾，進一步下載並執行木馬程式PoisonIvy。</p> <p>在以金錢為動機的攻擊活動中，GTIG觀察到多個犯罪集團利用漏洞部署RAT木馬與竊資惡意程式。其中一個駭客組織鎖定印尼企業，將CMD檔投放至啟動資料夾；另一組專門針對旅館與旅遊業者，以訂房相關主題為誘餌，散布XWorm與AsyncRAT；此外，也有攻擊團隊鎖定巴西銀行客戶，散布惡意Chrome瀏覽器擴充功能，於特定銀行網頁中注入JavaScript，顯示釣魚內容以竊取使用者憑證。</p> <p>由於各駭客組織的利用手法高度一致，GTIG認為這與漏洞在地下生態圈被「商品化」高度相關。報告中提到，漏洞掮客zeroplayer曾於今年7月宣稱握有CVE-2025-8088的漏洞利用工具，顯示該漏洞可能早已在黑市中流通。</p> <p>GTIG最後呼籲，企業與一般用戶儘速將WinRAR更新至最新版本，防止攻擊者持續利用已知漏洞取得系統存取權限。</p> </div></div></div>
1/28 14:45作者周峻佑https://www.ithome.com.tw/news/173638
開源AI代理專案Clawdbot竄紅，研究人員警告部分系統出現配置不當，恐讓外人隨意存取機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由PDF技術公司PSPDFKit（後續更名為Nutrient）創辦人Peter Steinberger推出的開源AI代理專案Clawdbot（<strong><a href="https://x.com/moltbot/status/2016058924403753024">現已更名為Moltbot</a></strong>），<strong><a href="https://www.ithome.com.tw/news/173578">近期在開發者社群爆紅</a></strong>，吸引大量使用者自行架設。由於該專案主打可在本地端長時間運行，不少開發者甚至為此添購低功耗、體積小、可長時間開機的Mac mini，使該設備銷量攀升。然而，資安專家近日提出警告，指出大量Clawdbot部署因錯誤配置而暴露於公開的網際網路，恐讓任何人都有機會完全接管整套AI代理系統。</p> <p>Clawdbot是一款開源AI代理整合平臺，強調使用者可自行掌控與部署，無須依賴特定雲端服務或專屬介面。使用者可在個人電腦上部署後，透過WhatsApp、Telegram、Discord等即時通訊軟體與AI互動，並將對話資料儲存在本地端，以確保隱私安全。該專案目前在GitHub已累積約7.8萬顆星，被不少使用者形容為電影《鋼鐵人》中AI助理Jarvis的「開源版本」。</p> <p>資安研究人員Jamieson O’Reilly<strong><a href="https://x.com/theonejvo/status/2015401219746128322">近日於社群平臺X發文指出</a></strong>，他在網際網路上發現數百個錯誤配置的Clawdbot Control管理介面。這些介面若未妥善設置驗證機制，可能讓未經授權的第三方直接存取，進而完全接管AI代理系統，包括讀取對話內容、竊取憑證資訊，甚至以系統最高權限執行指令。</p> <p>O’Reilly指出，由於Clawdbot Control在HTML回應中具有明確識別特徵，例如頁面標題包含「Clawdbot Control」，任何人都能透過Shodan、Censys等物聯網搜尋引擎，在短時間內定位大量公開的Clawdbot實體（instance）。實際檢視後發現，其中部分部署未正確啟用驗證機制，導致可直接連線存取。他也呼籲，若使用者將Clawdbot架設於反向代理伺服器後方，應立即設定gateway.auth.password或gateway.trustedProxies，以避免曝險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G_f8JXUbYAE_3vM.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G_f8JXUbYAE_3vM.jpg" style="width: 580px;" /></a></p> <p>針對漏洞成因，O’Reilly說明，問題主要來自反向代理部署下的信任模型錯誤。Clawdbot預設會自動信任來自localhost的連線，原本是為了方便本地開發，但實務上多數使用者會透過Nginx或Caddy等反向代理工具對外提供服務，導致所有外部連線在應用層看起來皆來自127.0.0.1，進而繞過驗證機制。</p> <p>儘管Clawdbot本身提供受信任代理伺服器（trusted proxy）與密碼驗證等安全設定選項，但這些功能預設並未啟用，且需使用者自行閱讀文件進行設定，導致不少實際部署長期暴露於高風險狀態。</p> <p>調查結果也凸顯AI代理架構在安全上的結構性挑戰。由於AI代理必須集中保存多組高權限憑證、長期儲存對話內容，並具備執行系統指令的能力，使其成為攻擊者極具吸引力的目標。一旦遭入侵，影響層面遠高於傳統單一應用程式。</p> <p>在部分錯誤配置的實例中，攻擊者可直接讀取完整系統設定，包括AI服務的API金鑰、Telegram機器人權杖、Slack的OAuth憑證與簽章密鑰，形同全面憑證外洩。此外，Clawdbot Control亦可存取所有歷史對話紀錄，涵蓋私訊內容、附件與跨平臺溝通資訊，具高度情報價值。</p> <p>更嚴重的是，部分Clawdbot代理啟用了指令執行功能，且系統容器以root權限運行。研究人員實測發現，在未經任何身分驗證的情況下，即可透過Control介面直接執行系統指令，取得完整主機控制權，風險等同於遠端未驗證的系統入侵。</p> <p>至於影響範圍，<strong><a href="https://www.facebook.com/unwirehk/posts/pfbid0uD7zFy6aiPDoASp4jce955u1sr3Fvidz8mVsFm3JaghXhsVLSwX2Vk3cfVHs27Kwl">香港科技媒體Unwire.hk亦提出警告</a></strong>，只要在網際網路上掃描Clawdbot預設開啟的連接埠18789埠，就有機會找到配置不當的Clawdbot平臺，進而竊取API金鑰與密碼、檢視所有對話記錄，甚至控制使用者電腦，他們透過Shadon發現有923臺疑似配置不當的Clawdbot主機。該媒體呼籲使用者應立即調整Clawdbot組態設定；企業方面，則應留意是否出現與18789埠相關的可疑流量，並透過防火牆或網路設備加以管制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/622436525_1323993719769091_3872440273740078010_n-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/622436525_1323993719769091_3872440273740078010_n-2.jpg" style="width: 580px;" /></a></p> </div></div></div>
1/28 17:57作者周峻佑https://www.ithome.com.tw/news/173641
Google平價AI Plus方案拓展至全球包括臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google昨日（1/27）宣布Google AI Plus再推向35個市場，包含美國、臺灣，使這個平價版AI方案得以在全球上線。</p> <p>Google去年公布AI Plus首先在40個新興國家市場推出，包括越南、菲律賓、印尼等。AI Plus包括可在Gemini App使用Gemini 3 Pro及Nano Banana（但臺灣方案沒有包含Nano Banana）、智慧AI影片製作應用程式Flow、圖像生成工具Google Whisk、研究撰寫助理服務NotebookLM、以及內建Gemini的Gmail、Google Docs與Spreadsheets。其中Flow有200 AI點數的額度限制。此外還享有200GB線上儲存空間，可以和最多5名家人共享。</p> <p>最新方案為Google在現有Google AI Pro（20美元/650臺幣）和AI Ultra（250美元/8150臺幣）外提供的低價方案。Google AI Plus方案在美國每月7.99美元。<a href="https://support.google.com/googleone/answer/16548195?hl=zh-US" target="_blank">臺灣則為</a>每月260元臺幣，現在提供前兩個月每月130元臺幣優惠。</p> <p>在已推出Google AI Plus方案的市場中，若使用者為Google One Premium 2TB訂閱用戶，未來幾天內也可自動取得Google AI Plus使用權利。但透過第三方合作夥伴訂閱Google One及Pixel Pass訂閱Google One方案者無法升級到Google AI Plus方案。</p> <p>Google AI Plus將直接和本月宣布的OpenAI平價版AI方案<a href="https://www.ithome.com.tw/news/173427" target="_blank">ChatGPT Go</a>競爭。ChatGPT Go為每月8美元或290元臺幣。</p> </div></div></div>
1/28 09:30作者林妍溱https://www.ithome.com.tw/news/173634
逾80萬臺採用GNU Inetutils建置的Telnet伺服器存在重大漏洞CVE-2026-24061，臺灣有2.4…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上周研究人員揭露GNU Inetutils telnetd重大漏洞CVE-2026-24061，網路安全調查顯示，網路上有將近80萬伺服器曝險。</p> <p><a href="https://www.ithome.com.tw/news/173556" target="_blank">CVE-2026-24061</a>是由資安廠商GreyNoise發現。它源自於GNU Inetutils的telnetd（telnet daemon）對USER變數驗證不當，使攻擊者透過在輸入中加入-f root值，得以繞過驗證流程，獲得root權限。濫用本漏洞可能讓攻擊者讀取敏感資料、修改系統配置、執行任意指令、毀損系統可用性。由於漏洞可讓非經驗證的攻擊者從網路遠端發動，易於操作、且不需使用者互動，而且濫用後果嚴重性高。<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-24061" target="_blank">NIST漏洞資料庫</a>將之CVSS風險評分列為9.8。</p> <p>CVE-2026-24061影響GNU Inetutils 1.9.3到2.7，維護組織已釋出2.8版解決本漏洞。</p> <p>非營利網路研究及偵測機構ShadowServer Foundation本周<a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=scan&source=scan6&tag=telnet&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on" target="_blank">掃描結果顯示</a>，存在本漏洞的Telnet伺服器已由最高峰的148萬臺減少，但截至1月26日仍有超過80萬臺曝險。</p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Regarding CVE-2026-24061 in GNU InetUtils telnetd: while we are not scanning for it explicitly (due to current lack of ability to check in a safe way, we share - and have for years - data on exposed instances in our Accessible Telnet Report: <a href="https://t.co/2JR0hChy5Z">https://t.co/2JR0hChy5Z</a></p> <p>~800K exposed <a href="https://t.co/cPLGvOtnZK">pic.twitter.com/cPLGvOtnZK</a></p> <p>— The Shadowserver Foundation (@Shadowserver) <a href="https://twitter.com/Shadowserver/status/2015732286562398351?ref_src=twsrc%5Etfw">January 26, 2026</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p><a href="https://x.com/Shadowserver/status/2015732286562398351" target="_blank">根據詳細統計</a>，以曝險伺服器數量而言，中國（13萬）、巴西（12萬）和美國（5萬）為前三大，臺灣也有2萬4千多臺Telnet伺服器曝險。</p> <p>研究人員觀察到從1月22日起24小時內，開始有數個IP位址企圖登入GNU Inetutils telnetd程式，可能為惡意活動。研究人員及各國主管機關呼籲用戶應儘速更新軟體，或是關閉Telnet，啟用防火牆存取政策、使用VPN或ZNTA存取裝置。</p> </div></div></div>
1/28 12:40作者林妍溱https://www.ithome.com.tw/news/173631
OpenAI推出科學文件協作平臺Prism
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI周二（1/27）<a href="https://openai.com/zh-Hant/index/introducing-prism/" target="_blank">推出了Prism服務</a>，該服務建置在OpenAI所買下的雲端LaTeX平臺Crixet上，並導入GPT‑5.2，成為一個可用來撰寫科學文件、修訂內容，以及團隊協作的AI原生雲端工作區。</p> <p>OpenAI表示，AI已在各個領域加快科學研究的推進速度，像是於數學研究中拓展前沿，在人類免疫細胞實驗中加速分析⁠，或是在分子生物學實驗提升反覆測試的效率⁠等；然而，研究工作涉及的許多日常步驟，包括論文撰寫、論點修訂、管理公式與引文，以及協作者之間的協調，至今仍分散在多個各自為政的工具之中。</p> <p>這使得研究人員經常在文字編輯器、PDF、LaTeX編輯器、參考文獻管理工具，以及獨立的對話介面之間來回切換，而Prism即是為了解決上述問題而推出的服務。</p> <p>LaTeX是種專為學術寫作而設計的文件排版系統，主要可讓數學與科學文件能以高度精確、可重現的方式排版。使用者能以指令描述文件結構，例如標題、章節、公式、引文與圖表，再由系統自動排版成符合學術標準的文件。由於它能穩定處理複雜公式、跨頁排版、期刊格式與參考文獻的一致性，而在數學、物理、工程、電腦科學與部分生命科學領域被廣泛採用。</p> <p>至於Crixet則是一個基於LaTeX的雲端寫作與協作平臺，OpenAI是在發布Prism時才揭露已收購Crixet，並讓它成為Prism的基礎。</p> <p><a href="https://prism.openai.com/" target="_blank">Prism擁有獨立的介面</a>，只要擁有ChatGPT個人帳戶的使用者都能使用，在建立一個專案後，即能於該工作區與GPT‑5.2 Thinking對話，探索、測試或推論複雜的科學問題；可以加入公式；請它撰寫論文摘要；加入參考文獻；新增表格；邀請協作者；或要求LaTeX轉換手繪圖等。</p> <p>OpenAI指出，Prism專為大規模協作所設計，支援不限人數的協作，且使用者完全不需安裝LaTeX管理環境，可把時間花在真正重要的研究工作上。Prism開放一般用戶免費使用，未來也會透過付費的ChatGPT方案提供更強大的Prism功能。</p> </div></div></div>
1/28 14:01作者陳曉莉https://www.ithome.com.tw/news/173632
法國推動數位主權，政府部門將以Visio取代Teams與Zoom
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國負責公務體系與國家改革的部長級代表David Amiel<a href="https://presse.economie.gouv.fr/souverainete-numerique-letat-generalise-visio-sa-solution-de-visioconference-securisee-et-souveraine-a-destination-des-agents-publics/?utm_source=chatgpt.com" target="_blank">在本周一（1/26）宣布</a>，法國政府將在2027年前，於所有國家機關全面推廣由該國政府自行開發的視訊會議工具Visio，取代Teams、Zoom、GoTo Meeting或Webex等非歐洲解決方案，以維持數位主權。</p> <p>法國經濟、財政暨工業、能源與數位主權部（Ministère de l’Économie, des Finances et de la Souveraineté industrielle, énergétique et numérique）表示，目前許多行政機關同時使用Teams、Zoom、GoTo Meeting或Webex等多種工具，不僅增加資料安全風險，也使國家對外部基礎設施形成策略依賴，造成額外成本並提高跨部會協作的複雜度。</p> <p>因此，法國政府將在未來幾個月，逐步推動由國家掌控、以法國技術為基礎的統一解決方案。</p> <p>而<a href="https://lasuite.numerique.gouv.fr/produits/visio" target="_blank">Visio則是由</a>法國跨部會數位事務處（DINUM）開發的視訊會議工具，它最多可支援150人與會，藉由AI產生即時字幕，可將對話轉錄成文字，也能錄製會議。只要是法國的公務人員都可免費使用Visio，並藉由連結邀請他人與會。</p> <p>此外，Visio採用法國國家資訊系統安全局（ANSSI）認證的SecNumCloud主權雲端，代表它不管是在安全性、機密性及法規主權上都符合高標。</p> <p>其實法國政府自1年前就開始試驗Visio，迄今已有4萬名固定用戶，正準備擴大部署至20萬名公務人員，包括CNRS、法國全民健康保險、公共財政總署（DGFiP）與國防部都將在2026年第一季全面導入。</p> <p>除了安全性及主權以外，法國政府估計，每年讓10萬名使用者轉至Visio，不再付費使用其它付費軟體授權，一年約可替法國政府省下100萬歐元的經費。</p> </div></div></div>
1/28 14:14作者陳曉莉https://www.ithome.com.tw/news/173633
Fortinet公布已被積極利用的FortiCloud單一登入新漏洞，並釋出部分版本的更新程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年12月，Fortinet<strong><a href="http://www.ithome.com.tw/news/172750">修補兩項重大層級的資安漏洞CVE-2025-59718與CVE-2025-59719</a></strong>（CVSS風險皆為9.8分），影響多款啟用FortiCloud單一登入（SSO）機制的設備，包括防火牆FortiGate、網頁應用程式防火牆FortiWeb、網頁安全閘道FortiProxy，以及網路設備管理平臺FortiSwitchManager。然而，一個月後，即傳出<strong><a href="http://www.ithome.com.tw/news/173541">攻擊者自1月15日開始，仍可透過單一登入帳號竄改防火牆組態</a></strong>，22日Fortinet<strong><a href="http://www.ithome.com.tw/news/173577">坦承先前修補不完整</a>，並發現已修補上述漏洞的防火牆被入侵</strong>，該公司於27日將駭客利用的攻擊途徑登記新的CVE編號列管。</p> <p>根據Fortinet發布的最新資安公告，<a href="http://www.fortiguard.com/psirt/FG-IR-26-060">FortiCloud單一登入存在身分驗證繞過漏洞CVE-2026-24858</a>。該漏洞影響FortiOS 7.0版以上的防火牆、FortiProxy、FortiSwitchManager，以及安全事件記錄分析與報告平臺FortiAnalyzer；FortiOS、FortiSwitchManager、FortiAnalyzer 6.4版不受影響。Fortinet評估其CVSS風險值為9.4分，<strong><a href="http://nvd.nist.gov/vuln/detail/CVE-2026-24858">美國國家漏洞資料庫（NVD）則標示為9.8分</a></strong>。同日，美國網路安全暨基礎設施安全局（CISA）<strong><a href="http://www.cisa.gov/news-events/alerts/2026/01/27/cisa-adds-one-known-exploited-vulnerability-catalog">將此漏洞列入已遭利用漏洞清單（KEV）</a></strong>，要求聯邦機構於1月30日前完成因應措施。</p> <p>Fortinet指出，CVE-2026-24858正是其PSIRT團隊在調查攻擊事件時，所發現的全新攻擊途徑，攻擊者可針對已完成修補CVE-2025-59718與CVE-2025-59719的設備繼續發動攻擊。該漏洞屬於「替代路徑或頻道」導致的身分驗證繞過弱點，攻擊者可利用已註冊的裝置及FortiCloud帳號，登入其他同樣啟用FortiCloud SSO功能的設備。</p> <p>雖然相關設備預設並未啟用FortiCloud單一登入機制，但若管理員在註冊裝置至技術支援服務平臺FortiCare時，未於註冊頁面手動關閉「允許使用FortiCloud SSO進行管理員登入」選項，系統便會在裝置註冊過程中自動啟用該功能，進而擴大風險曝露面。</p> <p>針對漏洞遭實際利用的情況，Fortinet透露已發現兩個惡意FortiCloud帳號，並於1月22日將其封鎖。隨後，該公司在1月26日一度全面停用FortiCloud單一登入機制，並於27日重新啟用，但僅允許已完成修補CVE-2026-24858的裝置使用。Fortinet同時公布入侵指標（IoC），指出攻擊者使用的FortiCloud帳號與來源IP位址，並說明駭客在成功入侵後，會於受害設備建立多個本機管理員帳號，並下載設備組態設定檔。</p> <p>在修補進度方面，Fortinet目前僅針對部分版本釋出更新，包括FortiOS 7.4.11、FortiManager 7.4.10，以及FortiAnalyzer 7.4.10，其餘版本對應的修補程式，尚未正式發布。</p> </div></div></div>
1/28 12:29作者周峻佑https://www.ithome.com.tw/news/173629
Moonshot AI開源Kimi K2.5，可自動生成最多100個子代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國AI新創<a href="https://www.kimi.com/blog/kimi-k2-5.html" target="_blank">Moonshot AI近日宣布</a>開源新一代模型Kimi K2.5，並將其定位為「視覺型代理智慧（Visual Agentic Intelligence）」，宣稱是目前能力最強的開源模型之一，不僅具備原生多模態能力，還能在處理複雜任務時，自動生成並協調最多100個子代理，平行處理大規模工作流程。</p> <p>Moonshot AI的中文名稱為「月之暗面」，在2023年於北京創立，同年即推出<a href="https://www.kimi.com/" target="_blank">Kimi聊天機器人</a>，主要開發「可實際完成工作的AI」，甫於去年<a href="https://www.ithome.com.tw/news/170033" target="_blank">開源Kimi K2模型</a>。</p> <p>新一代的Kimi K2.5是在Kimi K2基礎上持續預訓練而成，並額外使用約15兆個混合文字及視覺的Token進行訓練，且從模型架構上便採用原生多模態設計，使得它能同時理解文字、圖片與影片內容。Moonshot AI說，在足夠規模下，視覺與文字能力不再需要取捨，而是同步提升，替真實應用場景提供穩定基礎。</p> <p>Kimi K2.5最大的特色為「代理群（Agent Swarm）」，當任務複雜度提高時，K2.5可自行拆解問題，動態生成最多100個子代理，並行執行搜尋、程式撰寫、資料整理與驗證等工作，最多可協調1,500次工具呼叫。</p> <p>此外，整個代理群由模型自動建立與調度，無需事先定義角色或人工設計工作流程，相較於單一代理模式，代理群可將整體執行時間最多縮短4.5倍。</p> <p>Kimi K2.5也具備結合視覺的程式能力，可根據自然語言指令，直接生成完整的前端介面，包含互動式版面與動畫效果，並能透過圖片或影片進行程式生成與視覺除錯。</p> <p>Kimi K2.5已可透過Kimi.com、Kimi App、API與Kimi Code使用。Kimi.com與Kimi App目前提供K2.5 Instant、K2.5 Thinking、K2.5 Agent與K2.5 Agent Swarm的4種模式，其中的Agent Swarm仍處於測試階段，僅開放高階付費用戶試用。研究或開發人員也可透過<a href="https://huggingface.co/moonshotai/Kimi-K2.5" target="_blank">Hugging Face下載</a>Kimi K2.5模型的權重與配置。</p> </div></div></div>
1/28 12:33作者陳曉莉https://www.ithome.com.tw/news/173630
微軟調查Windows 11安全更新引發的電腦無法開機問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟一月針對Windows 10及Windows 11釋出的安全更新又傳出包，引發部分PC無法正常開機。微軟表示已經著手調查。</p> <p>微軟於上周二（1/13）釋出針對Windows 11 24H2及25H2的安全更新<a href="https://support.microsoft.com/zh-tw/topic/2026-%E5%B9%B4-1-%E6%9C%88-13-%E6%97%A5-kb5074109-%E4%BD%9C%E6%A5%AD%E7%B3%BB%E7%B5%B1%E7%B5%84%E5%BB%BA-26200-7623-%E8%88%87-26100-7623-3ec427dd-6fc4-4c32-a471-83504dd081cb#id0enbd=windows_update" target="_blank">KB5074109</a>。這個版本旨在解決WSL鏡像網路失敗、Azure虛擬桌面環境中啟動RemoteApp連線失敗、解決數據機驅動程式相容性問題、強化安全啟動、並解決Windows核心元件WinSqlite3.dll安全漏洞等。然而<a href="https://learn.microsoft.com/zh-tw/answers/questions/5724404/kb5074109" target="_blank">用戶抱怨</a>安裝後出現各種毛病。但本周<a href="https://www.neowin.net/news/windows-11-patch-tuesday-horrors-continue-as-some-pcs-now-cannot-boot/" target="_blank">Neowin</a>首先報導，有些用戶安裝本更新後，Windows 11電腦無法開機，成為繼上周引發眾多大小問題後最為嚴重的麻煩。</p> <p>媒體<a href="https://www.askwoody.com/forums/topic/reports-of-boot-failures-with-the-january-2026-security-update-and-later-updates/" target="_blank">Askwoody</a>發現微軟在管理員中心通知中證實，接獲少部分用戶通報此事。這些裝置安裝1月13日釋出的KB5074109及之後更新後發生無法開機，以及顯示「UNMOUNTABLE_BOOT_VOLUME」的錯誤訊息。受影響裝置顯示黑色螢幕（即「死亡螢幕」）及一行「裝置發生問題，必須重新啟動。」的訊息。但用戶試圖重啟時，裝置卻無法完成啟動，需要手動回復步驟。</p> <p>微軟說，迄今的通報顯示問題只侷限在實體裝置，沒有客戶反映問題出現在虛擬機器，此外，問題僅影響安裝Windows 11 24H2及25H2的用戶端OS，不影響伺服器。</p> <p>微軟表示正在調查本問題，看看是否為Windows更新引發的回歸問題。微軟承諾會再更新資訊。</p> <p>這是針對Windows 11 24H2/25H2發布的1月Patch Tuesday所引發的最新麻煩。在此之前，微軟已經釋出二次例外（out-of-band,OOB）更新修補問題。第一次更新修補Windows 11電腦無法成功關閉、休眠、或在遠端連線下無法登入。<a href="https://www.windowscentral.com/microsoft/windows-11/windows-11-second-emergency-out-of-band-update-kb5078127-released-address-outlook-bugs" target="_blank">微軟周末釋出</a>第二次例外更新KB5078127/KB5078132/KB5078131，解決了Windows App無法順利開啟或儲存檔案到OneDrive，以及Outlook儲存PST檔到OneDrive時，Outlook無法順利開啟的問題。</p> <p>其他包括鎖定畫面登入選項看不到密碼圖示等小問題，微軟表示會持續尋找解決方案，並會再更新資訊。</p> </div></div></div>
1/28 11:41作者林妍溱https://www.ithome.com.tw/news/173628
ISC修補BIND 9高風險漏洞CVE-2025-13878，惡意DNS紀錄可導致服務當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Internet Systems Consortium（ISC）揭露，旗下開源DNS伺服器軟體BIND 9存在高風險漏洞CVE-2025-13878。攻擊者可透過惡意構造的DNS資源紀錄，遠端觸發named服務程序異常終止，造成名稱解析服務中斷，形成阻斷服務（DoS）風險。ISC已發布修補版本，建議管理者儘速升級。</p> <p><a href="https://kb.isc.org/docs/cve-2025-13878" target="_blank">ISC於1月21日發布安全公告指出</a>，該漏洞源於BIND處理BRID與HHIT類型DNS資源紀錄的方式當中，存在驗證邏輯的缺陷。在特定條件下，BIND可能因檢查失敗而直接中止服務程序，進而影響DNS解析的可用性。攻擊者不需通過驗證，即可從遠端觸發該問題。</p> <p>BIND 9是廣泛使用的開源DNS伺服器軟體，常部署為遞迴解析器或權威DNS伺服器，支撐網站、電子郵件與各類網路服務的名稱解析需求。由於DNS屬於關鍵基礎設施，一旦解析服務中斷，影響範圍可能擴及多項對外服務。</p> <p><span style="color:#B22222;"><strong>漏洞影響多個BIND 9版本，CVSS評為高風險</strong></span></p> <p>根據ISC公告，CVE-2025-13878影響多個仍在維護中的BIND 9版本，包括9.18.40至9.18.43、9.20.13至9.20.17，以及9.21.12至9.21.16，亦波及相對應的預覽版本。</p> <p><a href="https://www.cve.org/CVERecord?id=CVE-2025-13878" target="_blank">CVE資料顯示</a>，該漏洞的CVSS風險分數為7.5，屬於高風險等級。攻擊者可在無需使用者互動的情況下遠端觸發漏洞，主要影響系統可用性。</p> <p><span style="color:#B22222;"><strong>ISC釋出更新，建議管理者儘速修補</strong></span></p> <p>ISC已釋出修補版本BIND 9.18.44、9.20.18與9.21.17，建議管理者儘速完成升級。對於短期內無法更新的環境，管理者可評估限制不必要的DNS功能與存取範圍，並加強服務監控，以降低遭濫用風險。</p> <p>資安廠商<a href="https://www.sentinelone.com/vulnerability-database/cve-2025-13878/" target="_blank">SentinelOne則提醒</a>，實務上風險較高的情境，主要出現在對外公開的遞迴DNS解析器或權威DNS伺服器。若DNS服務允許來自任意來源的查詢請求，攻擊者即可遠端送出特製封包觸發漏洞，導致名稱解析服務中斷，因此相關部署模式更容易成為阻斷服務攻擊的目標。</p> <p>雖然ISC的公告未提及是否已有大規模攻擊行為，但由於DNS在網路服務中的關鍵角色，相關漏洞仍可能被用於阻斷服務攻擊，管理者應及早評估環境風險並完成修補。</p> </div></div></div>
1/28 11:47作者王珮瑤https://www.ithome.com.tw/news/173622
Amazon將關閉Amazon Go、Fresh實體無人超市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aboutamazon.com/news/company-news/amazon-fresh-go-stores-closing-expanding-whole-foods" target="_blank">Amazon宣布</a>將關閉智慧超市Amazon Go、Amazon Fresh，以強化線上零售同日遞送及Whole Foods Market的經營。</p> <p><a href="https://www.ithome.com.tw/news/126004" target="_blank">Amazon Go</a>與<a href="https://www.ithome.com.tw/news/162115" target="_blank">Amazon Fresh</a>分別在2018年及2020年開設首家店面。兩個實體店面品牌都標榜以智慧科技如電腦視覺、感測器、AI及自動化系統，如自動結帳系統Just Walk Out取代人力結帳，提供免排隊、快速而方便的自助購物體驗。</p> <p>Amazon表示，雖然Amazon實體超市展現令人振奮的訊號，但公司仍未能創造真正獨特客戶體驗，以及大量擴展所需的經濟模式。在審慎評估下。公司被迫做出困難決定，關閉Amazon Go和Amazon Fresh實體店面。未來這些據點將轉為同屬Amazon集團的有機食品超市連鎖Whole Foods Markets店面。Amazon Fresh線上銷售則不受影響。</p> <p>雖然Amazon強調實體店面的科技創新，像是閘門式無人結帳系統Just Walk Out，但其實2024年Amazon就已<a href="https://www.ithome.com.tw/news/162115" target="_blank">停用</a>本方案，而改使用較小的智慧購物車Dash Cart方案。</p> <p>未來，Amazon將把資源聚焦在高成長領域，包括Amazon電商平臺的同日遞送（Same-Day Delivery）以及Whole Foods Markets。<a href="https://www.ithome.com.tw/news/114980" target="_blank">Whole Foods Market</a>為Amazon 2017年收購，目前有550多個地方設有據點。年銷售額成長率達40%。Amazon也計畫將生鮮商店同日遞送推向更多社區。</p> <p>另一方面，伴隨Amazon強化AI資料中心及服務的投資、以及辧公室導入AI，這家電商巨人近年也開始削減人事及其他成本。<a href="https://www.reuters.com/business/world-at-work/amazon-plans-thousands-more-corporate-job-cuts-next-week-sources-say-2026-01-22/" target="_blank">路透社</a>上周引述消息人士報導 Amazon計畫裁減3萬白領員工，而在去年裁員1.4萬人後，Amazon可能在本周還會進行第二波裁員。</p> </div></div></div>
1/28 10:57作者林妍溱https://www.ithome.com.tw/news/173624
微軟緊急修補已遭利用的Office零日漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509" target="_blank">微軟周一（1/26）緊急修補</a>了位於Office中、已遭駭客利用的CVE-2026-21509零日漏洞。該漏洞也被美國網路安全暨基礎設施安全局（CISA）納入已遭利用漏洞(Known Exploited Vulnerabilities，KEV)目錄，<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">要求政府機構</a>在2月16日以前完成修補。</p> <p class="rtecenter"><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog#:~:text=MICROSOFT%20%7C%20OFFICE,CWE%3A%20CWE%2D807" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0128-CVE-2026-21509-office-600.png" style="width: 600px;" /></a></p> <p>CVE-2026-21509是一個安全性功能繞過漏洞，源自於Microsoft Office在進行安全判斷時依賴不可信的輸入，導致未經授權的駭客可在本機情境下繞過原本用於防護的OLE/COM緩解機制。駭客必須將惡意的Office檔案傳送給使用者，同時誘導使用者開啟該檔案，才能成功利用CVE-2026-21509。</p> <p>COM的全名為元件物件模型（Component Object Model），為Windows上的軟體架構標準，用來讓不同程式與不同語言撰寫的功能模組，能以一致的方式彼此呼叫與互通；而物件連結與嵌入（Object Linking and Embedding，OLE）則建立在COM之上，允許不同應用程式的內容可於同一份文件中被嵌入、連結與互動。</p> <p>該漏洞影響多個Office版本，包括Office 2016、Office 2019、Office LTSC 2021、Office LTSC 2024，以及Microsoft 365 Apps等。微軟已經釋出Office 2016與Office 2019的官方更新，微軟亦從伺服器端更新了Office 2021與之後的版本，使用者只要重啟便能生效。</p> </div></div></div>
1/28 09:27作者陳曉莉https://www.ithome.com.tw/news/173623
Nvidia擴大Earth-2開放模型家族，涵蓋15天全球預報與短時即時預報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia在美國氣象學會年會<a href="https://blogs.nvidia.com/blog/nvidia-earth-2-open-models/">公布</a>Earth-2開放模型家族，將氣象與氣候AI所需的模型、函式庫與框架整理成一套開放軟體堆疊。新一批模型涵蓋最長可達15天的全球中期預報，以及0到6小時的臨近預報，用於支援地方尺度的風暴與危害性天氣判讀。</p> <p>過去高品質天氣預報多仰賴以物理為基礎的數值天氣預報模式與大型運算資源，Nvidia表示，把AI預報定位為降低計算成本與時間的一條路徑，讓更多國家、氣象服務單位與企業能建置更貼近自身情境的預報系統，而不是只依賴少數大型中心的運算能力。</p> <p>新公布的三個核心模型分別對應氣象流程的不同環節，Earth-2 Medium Range採用名為Atlas的模型架構，用於中期預報，涵蓋溫度、氣壓、風與濕度等70種以上變數。Earth-2 Nowcasting採用StormScope架構，以生成式AI學習衛星與雷達資料，將國家尺度的預報轉為公里等級解析度，並在數分鐘內產出0到6小時的地方風暴預報。Earth-2 Global Data Assimilation則採用HealDA架構，負責把多來源觀測資料轉成預報所需的初始條件，並宣稱可在GPU上以秒級產出，縮短傳統超級電腦資料同化（Data Assimilation）的耗時。</p> <p>除了新增模型，Nvidia也把既有的開放模型放在同一個Earth-2脈絡下，包含用於降尺度的Earth-2 CorrDiff，以及用於多種氣象變數預測的Earth-2 FourCastNet3。Nvidia同時提到，Earth-2也可整合ECMWF、微軟、Google等單位釋出的開放模型，並以PhysicsNeMo作為訓練與微調的開源Python框架，讓研究或企業能在自有基礎設施上延伸既有能力。</p> <p>Nvidia也點出目前已參與或評估的用戶，包括臺灣中央氣象署、以色列氣象服務機構、The Weather Company與美國國家氣象局NWS等預報單位，以及能源預報與電網營運相關的TotalEnergies、Eni與GCL等。另外還有能源交易、保險與風險評估等業者，該工具鏈不只能用於研究，也支援需要天氣資訊作為決策輸入的應用場景。</p> <p>Nvidia表示，Earth-2 Medium Range與Earth-2 Nowcasting已透過Earth2Studio開放取得，並同步在GitHub與Hugging Face提供預訓練模型與相關工具。Earth-2 Global Data Assimilation則預計在今年稍晚釋出。</p> </div></div></div>
1/28 09:45作者李建興https://www.ithome.com.tw/news/173620
GitHub釋出Copilot SDK，供應用程式內嵌Copilot CLI代理執行迴圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://github.blog/news-insights/company-news/build-an-agent-into-any-app-with-the-github-copilot-sdk/" target="_blank">GitHub公布</a>Copilot SDK技術預覽版，將GitHub Copilot CLI背後的代理執行迴圈封裝成可程式化介面，讓開發者能在自家應用程式中執行多回合任務，並由Copilot負責規畫步驟、呼叫工具、編輯檔案與執行命令。GitHub強調，該SDK沿用Copilot CLI的執行核心，目標是降低團隊自行開發規畫器、工具迴圈與執行環境的負擔。</p> <p>官方直言，從零開始打造代理式工作流程並不容易，在真正開發產品邏輯之前，通常就得先處理一整套共通的工程問題。而Copilot SDK的目標，是把這些基礎能力做成現成可用的元件，讓團隊把心力放到應用設計。</p> <p>Copilot SDK首波支援Node.js與TypeScript、Python、Go與.NET。開發者可沿用既有GitHub Copilot訂閱，也可採自備金鑰模式，並延續Copilot CLI對多個AI模型的支援，官方也提到，SDK支援MCP伺服器整合、GitHub身分驗證與即時串流輸出，方便在互動介面呈現回應與執行進度。</p> <p>官方儲存庫文件指出，各語言SDK透過JSON-RPC與Copilot CLI的伺服器模式溝通，SDK會管理CLI程序生命周期，也可改連接外部CLI伺服器。這使Copilot CLI原本在終端機內完成的工具呼叫與檔案操作，能以程式呼叫方式嵌入桌面程式、網頁服務或內部系統。</p> <p>不過，GitHub也提醒，Copilot SDK在預設設定下會啟用Copilot CLI的第一方工具組合，也就是說，代理具備檔案系統操作、Git操作與網際網路請求等能力。開發者可透過SDK明確指定可以使用與需停用的工具，以配合權限模型與風險控管需求。</p> </div></div></div>
1/28 08:59作者李建興https://www.ithome.com.tw/news/173619
【資安日報】1月27日，金管會資安監理政策2026年六大新重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173594"><strong style="font-size: 22px;">金管會資安監理政策2026年六大新重點</strong></a></p> <p>金管會在去年底最後一場記者會中，發表了未來四年金融資安監理的新政策框架「金融資安韌性發展藍圖」，涵蓋四大主軸共10類工作項目，可以細分成29項措施，值得留意的是，其中有多項是2026年就會發布，或是2027年開始實施，但企業早在2026年就得開始準備的工作項目。</p> <p>其中，金管會預計在2026年底前完成的重點工作，包括訂出「API安全基準」、「AI系統安全防護及檢測參考指引」和「後量子密碼（PQC）遷移參考指引」，另外也會訂定「供應商分級及委外資安責任參考範本」。金管會在2026年還增加了三項對金融業的新資安監理要求，包括了明定金融資安長的權責、零信任架構從鼓勵轉為必備，以及必須建立軟體供應鏈安全機制如SBOM。</p> <p><a href="https://www.ithome.com.tw/news/173599"><strong style="font-size: 22px;">為協助警方辦案，微軟傳出曾提供BitLocker復原金鑰給FBI惹議</strong></a></p> <p>根據富比士的報導，2025年微軟將3臺筆電的BitLocker加密磁碟之復原金鑰交給了FBI。FBI為了偵辦一起發生於關島的失業救濟金詐騙案，需要存取嫌犯筆電上的資料，因而向微軟出示搜索票，這被視為首度公開揭露微軟向執法單位提供BitLocker復原金鑰的案例。微軟向媒體證實，如果接到有效的法律命令，的確會提供BitLocker復原金鑰。微軟發言人並說，該公司平均每年會接獲20件提供復原金鑰的請求。</p> <p>迫於警方或法院命令交出金鑰，此舉仍引發商業倫理與用戶隱私層面的爭議，因為這留有行政濫權的空間。約翰霍普金斯大學教授Matt Green認為，蘋果、Google，以及Meta等科技巨頭皆未曾向執法單位低頭，並因無法取得金鑰為由拒絕提供，微軟是唯一沒有這麼做的公司，既然FBI與其他政府機構已經知道微軟會配合類似關島案的搜查令，未來勢必會向該公司提出更多加密金鑰的要求。</p> <p><a href="https://www.ithome.com.tw/news/173596"><strong style="font-size: 22px;">北韓駭客Konni利用AI生成PowerShell惡意軟體，鎖定區塊鏈開發人員而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CT6NXRBJK7-image2.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Check Point揭露針對軟體開發人員與工程團隊的網路釣魚活動，此攻擊由北韓駭客組織Konni發起，利用區塊鏈與加密貨幣相關的專案文件作為誘餌，散播AI生成的PowerShell後門程式。這象徵北韓攻擊者的技術手段有了重大演進，AI在網路攻擊中已從實驗階段正式進入實戰運用，並擴張了駭客在亞太地區的攻擊範圍。</p> <p>為何Check Point會發現後門由AI生成？原因在於其程式碼結構與邏輯具有明顯的AI生成特徵，結構極其工整，擁有異常清晰、人員容易理解的註解說明，充分描述指令碼的功能；再者，該後門採用模組化設計，當中使用大量AI助理常見的程式碼格式；另外，程式碼當中包含類似「此處應填入特定功能」的占位修飾符號或教學式註解，這也是程式碼由AI生成的重要特徵。</p> <p><a href="https://www.ithome.com.tw/news/173588"><strong style="font-size: 22px;">惡意PyPI套件仿冒SymPy，鎖定Linux主機投放挖礦程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5ce5e8e6539d13424c1a0a2aa4c24180.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5ce5e8e6539d13424c1a0a2aa4c24180.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Socket威脅研究團隊揭露，Python套件庫PyPI近期出現名為sympy-dev的惡意套件，刻意仿冒知名符號數學函式庫SymPy的專案描述與呈現方式，誘使開發者在搜尋或安裝時誤用。</p> <p>攻擊者2026年1月17日在PyPI發布4個版本，從1.2.3到1.2.6皆含惡意程式碼，發布者資訊顯示為Nanit。該套件上架首日下載數即突破1,000次，研究人員強調，下載數雖不等於實際感染數，但足以顯示其可能已進入部分開發者工作站，或自動化建置與測試環境。</p> <p><a href="https://www.ithome.com.tw/news/173536"><strong style="font-size: 22px;">憑證機構LiteSSL遭揭ACME驗證資料重用漏洞，已撤銷143張憑證</strong></a></p> <p>憑證機構LiteSSL在Mozilla CA Program的公開合規事件追蹤中被點名，外部研究人員指稱其ACME自動化簽發服務的網域驗證資料可被不當重用，導致在憑證簽發時，出現未重新確認網域控制權就核發萬用字元憑證的風險。</p> <p>Mozilla Bugzilla上的初步事故報告則指出，TrustAsia在2026年1月21日收到社群通報後調查確認，LiteSSL的ACME服務存在與網域驗證資料重用相關的漏洞。影響範圍涵蓋2025年12月29日之後以ACME簽發的憑證，原因是ACME驗證授權資料曾跨不同ACME帳號被重用，合計影響143張，TrustAsia表示目前已全數撤銷且完成修補，服務已恢復。</p> <p><a href="https://www.ithome.com.tw/news/173613"><strong style="font-size: 22px;">Pwn2Own Automotive 2026發出逾百萬美元獎金，電動車充電樁成最大攻擊面</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Leaderboard Day 3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Leaderboard%20Day%203.png" style="width: 300px; float: right;" /></a></p> <p>由趨勢科技旗下Zero Day Initiative（ZDI）主辦的Pwn2Own Automotive 2026，日前於日本東京Automotive World舉行，為期三天的競賽共揭露76個獨立零日漏洞，發出總獎金104.7萬美元，吸引來自全球的資安研究團隊，共提交73次攻擊嘗試，規模創下汽車主題Pwn2Own新高。</p> <p>本屆比賽項目涵蓋車載資訊娛樂系統（In-Vehicle Infotainment，IVI）、特斯拉（Tesla）資訊娛樂USB實體攻擊、電動車Level 2與Level 3充電樁，以及車用作業系統Automotive Grade Linux，受測對象均為實際商用產品，反映汽車與充電生態在高度軟體化下的真實攻擊面。</p> <p><a href="https://www.ithome.com.tw/news/173505"><strong style="font-size: 22px;">21種傳統攻擊手法因AI進化，網域冒充問題加劇需正視</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）微軟數位防禦報告_攻擊者用AI提升21項傳統攻擊技術_圖片來源微軟.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%95%B8%E4%BD%8D%E9%98%B2%E7%A6%A6%E5%A0%B1%E5%91%8A_%E6%94%BB%E6%93%8A%E8%80%85%E7%94%A8AI%E6%8F%90%E5%8D%8721%E9%A0%85%E5%82%B3%E7%B5%B1%E6%94%BB%E6%93%8A%E6%8A%80%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 300px; float: right;" /></a></p> <p>去年底微軟發布新一年度數位防禦報告，一共列出21項受到AI加持的攻擊手法或技術，這些傳統攻擊手法受到AI加持，威脅程度大增，涵蓋自動化詐騙、自動化魚叉式網路釣魚、語言翻譯、深偽技術（Deepfake）、合成身分建立、網域冒充等，正提高網路攻擊的速度、規模，以及精密度。</p> <p>近期微軟印度暨南亞區首席資安顧問Anujh Tewari亦針對這方面進行解析。他強調，現在攻擊者正隨著AI時代進步，利用AI來擴大攻擊規模，一旦發現某次攻擊效果不錯，就可以迅速複製攻擊模式。</p> <p><a href="https://www.ithome.com.tw/news/173615"><strong style="font-size: 22px;">生命週期結束的晶睿通訊網路攝影機存在重大漏洞</strong></a></p> <p>上週資安業者Akamai指出，他們透過AI逆向工程工具，在數十款晶睿通訊（Vivotek）已終止支援的網路攝影機當中，發現未經授權的命令注入漏洞CVE-2026-22755，此漏洞允許未經身分驗證的攻擊者，遠端以root權限執行任意指令，4.0版CVSS風險評分達到9.3分（滿分10分），相當危險。對此，我們連繫晶睿並詢問此事，該公司表示，本次涉及之機型為已停止支援之舊款產品，其產品生命週期已結束，不在韌體與資安更新的支援範圍，對於仍在使用該類機型的用戶，該公司建議將設備部署於受保護的內部網路環境，避免直接對外連線，並儘速更換以確保資訊安全。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=155443&SPOKE_DATE=20260126&COMPANY_ID=5511"><strong style="font-size: 22px;">營造業者德昌子公司經典國際遭網路攻擊</strong></a></p> <p>上櫃建築營造公司德昌營造（5511）於1月26日發布重大訊息，其重要子公司經典國際發生資訊系統遭受網路攻擊，察覺後立即啟動相關防禦機制，目前營運尚未受重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nearly-800-000-telnet-servers-exposed-to-remote-attacks/">近8萬臺採用GNU InetUtils建置的Telnet伺服器存在重大漏洞CVE-2026-24061</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflare-misconfiguration-behind-recent-bgp-route-leak/">針對BGP路由洩露的事故，Cloudflare表示是組態設定出錯造成</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/187340/data-breach/shinyhunters-claims-2-million-crunchbase-records-company-confirms-breach.html">駭客組織ShinyHunters聲稱竊得創業公司資料庫Crunchbase逾200萬筆記錄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-patches-actively-exploited-office-zero-day-vulnerability/">微軟修補已遭利用的辦公室軟體Office高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/01/phishing-attack-uses-stolen-credentials.html">駭客假借Greenvelope發送邀請函，企圖在受害組織部署遠端管理工具LogMeIn進行滲透</a></strong></p> <p></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173582"><strong>【1月26日】ShinyHunters鎖定Okta、Google、微軟單一登入從事語音網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173553"><strong>【1月23日】Fortinet單一簽入功能重大漏洞傳出攻擊活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173528"><strong>【1月22日】駭客冒充員工對IT服務臺發動社交工程攻擊，轉走員工薪資</strong></a></p> </div></div></div>
1/27 16:49作者周峻佑https://www.ithome.com.tw/news/173616
兩款VS Code AI程式開發助理延伸套件遭指洩漏資料，安裝量合計約150萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Koi Security發布<a href="https://www.koi.ai/blog/maliciouscorgi-the-cute-looking-ai-extensions-leaking-code-from-1-5-million-developers">研究報告</a>，指出兩款上架於微軟Visual Studio Marketplace的VS Code AI程式開發助理延伸套件，除了提供程式碼問答與自動完成功能，還會在未明確告知的情況下蒐集使用者工作區檔案內容與行為資料，並回傳至位於中國的伺服器。研究人員將該活動命名為MaliciousCorgi，並稱兩套件合計安裝量約150萬。</p> <p>被點名的延伸套件為ChatGPT - 中文版與ChatGPT - ChatMoss（CodeMoss）。研究人員指出，兩者含有相同的惡意程式碼與後端架構，只是以不同發行者身分在市集中流通。以2026年1月27日Marketplace頁面為準，ChatGPT - 中文版累計1,340,885次安裝，ChatGPT - ChatMoss（CodeMoss）則超過15萬次。</p> <p>兩套件具有三個外傳資料的管道，其一是即時監控，使用者只要開啟檔案，延伸套件就會讀取整份內容並送出，且在每次編輯時持續回傳更新後內容。其二是伺服器端可下指令觸發批次蒐集，研究人員提到，惡意套件可在不需使用者額外操作下，一次性蒐集工作區多個檔案，最高可達50個。其三則是行為剖析，報告稱延伸套件內嵌頁面會載入多個分析服務的程式碼，用於彙整使用者行為與裝置特徵。</p> <p>編輯器延伸套件安裝門檻低，不少開發者只看評分與安裝量就決定採用，研究人員提醒，AI助理需要讀取部分程式碼才能回覆，但仍應要求揭露資料傳輸範圍與目的，並以內部政策限制延伸套件的安裝來源。此外，要是開發環境包含商業機密或客戶資料，風險與處理成本會更高。</p> <p>在企業開發環境中，工作區常同時包含程式碼庫、組態檔與各式機密資料，例如環境變數檔、API金鑰與SSH金鑰等。依研究人員分析，這些資料可能在使用者開啟檔案或遭批次蒐集時一併被回傳，目的地為位於中國的伺服器。</p> </div></div></div>
1/27 18:31作者李建興https://www.ithome.com.tw/news/173617