iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 25篇
近 24 小時: 27篇
近 7 天: 141篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 17:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 141 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客設置壓縮軟體7-Zip冒牌網站散播惡意軟體，企圖將使用者電腦變成固定代理伺服器節點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>論及壓縮軟體，不少人會想到開源的7-Zip，然而最近有人架設假網站，並透過YouTube教學影片引誘使用者上當，用戶直到防毒軟體偵測到惡意程式，才驚覺受害。</p> <p>資安公司Malwarebytes發出警告，<strong><a href="https://www.malwarebytes.com/blog/threat-intel/2026/02/fake-7-zip-downloads-are-turning-home-pcs-into-proxy-nodes">近期發現假冒7-Zip壓縮軟體的下載網站正在散布惡意軟體</a></strong>，受害者不知不覺下載、安裝後，電腦會被用來作為固定代理（Residential Proxy）節點，成為駭客網路活動的中繼站。</p> <p>駭客建立外觀與正牌7-Zip類似的網站，引誘用戶下載有問題的安裝程式。值得留意的是，正牌網站是7-zip.org，並非使用常見的.com，而對於一般使用者來說，這次駭客使用的網域是7zip[.]com，再加上透過搜尋引擎與教學影片誘導，讓不少用戶誤以為是正牌7-Zip網站，並下載安裝。<strong><a href="https://www.bleepingcomputer.com/news/security/malicious-7-zip-site-distributes-installer-laced-with-proxy-tool/">資安新聞網站Bleeping Computer指出</a></strong>，他們發現冒牌網站仍持續運作，駭客複製正牌網站的文字，架構也相當接近（編按：與正牌網站仍有些許差異，其中最明顯的部分是冒牌網站多了橫幅圖片）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/7zip-com-site.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7zip-com-site.jpg" style="width: 580px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7zip-org-site.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7zip-org-site.jpg" style="width: 580px;" /></a></p> <blockquote><p>我們將冒牌網站7zip[.]com（上）與正牌7-Zip網站（下）畫面放在一起，可以看到兩者存在明顯差異，但文字部分大致相同，顯示攻擊者並非像大部分駭客直接套用正牌網站的程式碼，而這麼做的原因，我們推測有可能與駭客透過YouTube教學影片引誘使用者上當的作法有關，因為他們會在影片裡置入此網頁內容，藉此誤導使用者。然而，對於一般使用者而言，若只看網站內容，難以察覺到7zip[.]com是假網站，甚至還會因為認定7-zip是廠商供應的軟體，而無法從.com網域名稱判斷網站異常。</p> </blockquote> <p>這起事故的揭露，最早是有人在社群網站Reddit透露他們上當的過程，其中一名組裝電腦的用戶，根據YouTube教學影片從7zip[.]com下載安裝程式，並先後於筆電和新的桌機安裝，然而，安裝的過程並不順利，他反覆遇到32位元及64位元版本的錯誤，最終只好放棄並改用作業系統內建功能。大約過了兩週之後，防毒軟體Microsoft Defender偵測到木馬程式（Trojan:Win32/Malgent!MSR），這名用戶才驚覺下載到有問題的7-Zip安裝程式，電腦已經中毒。</p> <p>究竟假安裝程式執行完成後會發生什麼事？Malwarebytes指出，電腦看似成功安裝了7-Zip，實際上木馬也隨之悄悄植入系統。這類木馬會安裝在Windows系統特定資料夾，並隨著開機自動啟動，同時，駭客也修改防火牆規則，允許外界透過受害者電腦的IP位址連線。</p> <p>Malwarebytes分析惡意安裝程式，指出駭客使用已註銷的錦卓網路公司（Jozeal Network Technology Co., Limited）發布的數位簽章，企圖掩人耳目，此安裝程式確實會部署能正常運作的7-Zip，但也同時在電腦植入有問題的元件，它們是服務管理及更新載入工具Uphero.exe、以Go語言打造的代理伺服器有效酬載hero.exe，以及程式庫hero.dll。該公司也發現駭客建立額外的更新管道，這代表惡意酬載可能運用異於下載安裝程式的方式進行滲透，例如，透過惡意更新的方式植入受害電腦。</p> <p>值得留意的是，這個冒牌7-Zip網站攻擊活動已有許多資安專家關注，紛紛在1月下旬提出警告，不過，當時並未受到外界注意。最早<strong><a href="https://sourceforge.net/p/sevenzip/discussion/45797/thread/119837b16d/">有人1月19日在7-Zip論壇通報</a></strong>，後續22日<strong><a href="https://wizsafe.iij.ad.jp/2026/01/2075/">日本資安公司wizSafe指出</a></strong>，此網站上的x86版本Windows安裝檔案（32位元與64位元）有問題，Windows on Arm、Linux、macOS版本的連結，會連往正牌網站。24日<strong><a href="https://qiita.com/RaichuLab/items/f592cad98b76a0bba150">資安研究團隊RaichuLab</a></strong>與<a href="https://blog.lukeacha.com/2026/01/beware-of-fake-7zip-installer-upstage.html">研究人員Luke Acha</a>公布分析的詳細結果，Luke Acha將此活動命名為upStage Proxy。</p> </div></div></div>
2/12 16:30作者周峻佑https://www.ithome.com.tw/news/173921
因應全面上雲後的開發挑戰，第一資本平臺工程五次大改造
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國財金百大之一的第一資本在2020年，關掉最後一個地端資料中心，成了一家純雲端金融公司，2024年，兩千套部署在公雲上的應用，超過三分之一改用無伺服器架構。為了支援上萬名技術團隊的龐大開發需求，他們早在2018年，就開始打造一套共用的內部開發者平臺。 </p> <p>成立於1994年的第一資本，全美現在擁有1億多名顧客、5萬多名員工，是美國第三大發卡銀行。他們從不認為自己是一家金融公司，而自詡為一家從事金融業務的科技公司。</p> <p>從2013年就導入敏捷開發，2014年推動IT現代化，改用RESTful API和微服務架構來打造金融系統，開始整併8座資料中心，2015年更實行開源優先策略。2016年時，第一資本啟動了上雲之旅，發下豪語，要成為全美第一家100%上雲的金融業者。第一資本所用的地端資料中心，原本在2014年有8座，2016年整併到5座，接著開始積極上雲，2018年剩下3座，2020年關閉了最後1座資料中心，成為一家全雲端企業。</p> <p>全面上雲不只更有韌性，也讓第一資本的交易錯誤量減少了五成，而災難復原時間則加快了七成，還加速了他們創新的速度，建置開發環境的平均時間，從過去地端資料中心時期的3個月，縮短到只需要幾分鐘，開發團隊可以運用的先進機器學習工具和熱門AI服務也比過去更多了。</p> <p>第一資本將原本只有4千多人的技術團隊，也在上雲過程中，擴編到了1萬1千人的規模，85%是軟體工程師，其他還有產品經理、設計師、資料科學家等角色，全都採取敏捷開發和DevOps流程。</p> <p>為了支援日後龐大技術團隊的敏捷開發需求，早在2018年，第一資本展開了平臺工程計畫，開始打造了第一版的開發者平臺Dragon，來支援新一代雲原生應用的各種開發需求。</p> <p>第一資本平臺工程部門技術產品負責人Jake Walden和傑出工程師Bradley Whitfield在2025年KubeCon大會上，分享了這個萬人開發者共用的Dragon開發者平臺的五次大改版歷程。</p> <h3><span style="color:#0000FF;"><strong>第一代平臺：以最小可行性版本盡快上線</strong></span></h3> <p>2017年，第一資本的目標是盡快提供一個容器化的微服務開發平臺，方便工程師利用公雲業者提供的種種服務，快速開發自己的微服務。第一版的Dragon平臺是一個最小可行性版本（MVP）的開發者平臺，先部署在AWS的ECS和EC2上，也方便工程師運用公雲業者的各種服務。</p> <p>一開始，平臺工程部門還不熟悉各個技術團隊需要什麼樣的開發工具和流程，為了避免工程師分心，一開始先開放部分可用的功能，而不是什麼都開放或允許工程師自己安裝新工具，另一方面，因為平臺團隊還不熟悉技術團隊的作業流程，第一版平臺先延後非必要的自動化機制的開發，也避免撰寫太詳細的文件。平臺團隊先花力氣把第一版平臺的功能做出來，趁機觀察和搜集不同技術團隊的慣用工具和作業習慣。</p> <p>當時雲原生應用的開發實踐很少，例如12因子App開發原則還不普及，平臺團隊同時也要肩負教育技術團隊的任務，像是建立SRE的相關知識。</p> <p>不過，第一版平臺的AP配置做法相對簡略，對一項業務服務的功能和網域，就配置獨立的應用程式負載平衡器，很快就遇到API連線速率的限制，公雲負載平衡器的規則數量限制等問題。</p> <h3><span style="color:#0000FF;"><strong>第二代平臺：從公雲轉移到自建K8s，擁抱SRE強化維運能力</strong></span></h3> <p>第一版開發者平臺只是階段性的平臺，很快他們轉移到K8s環境，這就是第二代的Dragon開發者平臺。第一版平臺獲得技術團隊好評，越來越多技術團隊想要用，但是第一版平臺的不足，成了第二代平臺改版的外部壓力。</p> <p>因為第一版平臺的自動化機制不多，導致許多維運和設定作業，需要平臺團隊手動處理，也因為文件不夠詳細，甚至很多功能沒有相關文件，平臺團隊花了大量時間解釋，也消耗了平臺團隊的工作時間。</p> <p>不只如此，第一版的技術債也開始產生影響，例如針對每個功能和網域設定負載平衡的做法，越來越難維護而且成本昂貴，隨著服務越來越多，API存取效率也越來越差。</p> <p>所以，第二版Dragon開發者平臺除了轉移底層架構之外，還要強化維運能力。一方面，平臺團隊將Dragon平臺從公雲轉移到自家的K8s，為了避免出錯，當部署一個新的微服務時，會同時部署到舊版ECS環境和新版K8s環境，確定可正常運作後，再移除ECS的版本。</p> <p>另外，第二版平臺開始導入SRE實踐，例如SLI、SLO、SLA等，來提高開發者平臺的可用性，並且向所有開發團隊公開這些指標，讓他們知道不同功能或服務的可用狀態如何。</p> <p>聚焦維運的第二版開發者平臺，透明度是獲得所有人信賴的關鍵，可以讓技術團隊更信賴這個開發者平臺提供的工具和可用服務。平臺團隊同時也開始依據K8s環境的特性，來優化流程和補充大量文件說明，並且用Go語言，建立了許多自動部署範本，來減少手動作業。</p> <p>第一資本平臺團隊將Dragon平臺搬遷到自家K8s環境後，不用再受限業者提供的功能，更容易額外安裝自己想要的底層功能，也可以自己開發各種新的K8s元件等，例如他們自己新增了秘密管理，服務發現機制等。</p> <p>隨著越來越多技術團隊和應用系統，改用Dragon平臺來開發，如何提高資源利用率成了新的壓力，許多過去是特例的用法，越來越多團隊使用，變成了常態。</p> <h3><span style="color:#0000FF;"><strong>第三代平臺：多租戶架構和共享責任管理</strong></span></h3> <p>Dragon也展開了第三代版本的升級，主要是建立了多租戶架構，來提供更好的系統隔離和權限管理，提供更細緻的RBAC角色權限控管，來確保不同用戶間CI/CD流程的獨立性，不會互相干擾，或有人不小心部署了其他人的任務。</p> <p>在多租戶架構的階段，不同團隊需要的技術支援請求，越來越多，因此，Dragon第三版也新增了一套自助式的支援服務。</p> <p>在第三版Dragon平臺中，第一資本平臺團隊還建立了「共享責任管理」（shared responsibility model）制度和事故管理機制，來區分平臺團隊和技術團隊的責任分工介面。他們到了第三版本的階段，也開始和資安團隊、審計團隊、IAM團隊、內部雲端基礎架構團隊有更多合作。</p> <p>這個共享責任管理制度，明定了平臺和使用者之間的關鍵權責和風險歸屬，主要針對PaaS和SaaS兩種平臺類型，明確界定出平臺方與租戶方各自的權責，包括了開發與測試、內部委外、部署與發布管理、基礎設施管理、可觀測性、彈性、網路安全、風險管理與合規性、變更和事件管理等面向的權責。</p> <p>在Dragon平臺功能的開發上，仍採取較保守的做法，選擇性的增加新功能，而不是漫天發展各種新功能，尤其要避免偏離核心基礎功能太遠的需求。</p> <h3><span style="color:#0000FF;"><strong>第四代平臺：重新改寫，善用CRD加強維運自動化</strong></span></h3> <p>經過三次改版，平臺團隊已經累積了夠多的K8s專業知識，對技術團隊需要的K8s控制流程，有更清楚的了解，也知道如何發展出一整套的流程自動化做法。因此，他們決定展開第四次的改版，這次是幾乎重寫的大改版，主要透過K8s的CRD客製化資源定義功能，打造出各種維運任務的自動化操作，從資源分配、命名空間建立、網路政策套用、角色權限綁定等。</p> <p>第一資本平臺工程部門技術產品負責人Jake Walden用平臺金字塔架構，來形容第四代Dragon開發者平臺，和其他內部平臺的關係。最底層是雲端供應商管理的K8s服務，例如AWS的EKS，再上層是第一資本自建的K8s平臺，稱為Enterprise OneKube，以及相關合規調度工具（嚴格套用金融法遵要求），再上一層就是Dragon基礎平臺，這是一套共用的開發工作環境和工具，上面還有各部門自己的專屬平臺，例如各自的規則平臺，調度平臺，最上面就是工程團隊。</p> <p><strong>第一資本的平臺金字塔架構，Dragon開發者平臺是開發團隊與底層基礎架構的中介層，讓開發人員不用直接管理複雜的底層環境。(圖片來源：第一資本)</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E5%AD%97%E5%A1%94%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%AC%AC%E4%B8%80%E8%B3%87%E6%9C%AC.jpeg" /></p> <p>對工程團隊來說，下面一層一層就是他們可以使用的平臺工具，除了不同業務部門各自的工具平臺之外，Dragon開發者平臺提供了一個抽象層，讓工程團隊不用直接面對更底層的企業內部K8s和外部公雲的K8s服務。第一資本也開始導入Argo CD來管理更複雜、更進階的API應用方式。</p> <h3><span style="color:#0000FF;"><strong>第五代平臺：因應大規模K8s叢集管理 </strong></span></h3> <p>到了2025年下半年，採用Dragon平臺的工程團隊快速增加，在上面開發的專案也越來越多，所需要的K8s叢集數量，一年暴增了6倍之多。Dragon平臺成了工程團隊管理其他底層平臺最重要的平臺，可說是平臺上的平臺。Dragon平臺團隊也遇到了大規模叢集的管理挑戰，需要更多進階的自動化工具，也導入了服務網格（Service Mesh）架構，可以在不中斷服務的情況下，將單一微服務從A叢集搬遷到B叢集。</p> <p> <strong>Dragon平臺第五次大改變重點，要因應大規模K8s叢集的管理。(圖片來源：第一資本)</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%BA%94%E4%BB%A3%E7%B3%BB%E7%B5%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%AC%AC%E4%B8%80%E8%B3%87%E6%9C%AC.jpeg" /></p> <h3><span style="color:#0000FF;"><strong>未來發展：叢集管理架構再一次抽象化</strong></span></h3> <p>下一步，Dragon平臺準備將應用程式的管理做法，套用到叢集管理上，將叢集管理架構進一步抽象化，拆分出一般管理平面、網路管理控制平面、應用系統層管理平臺等不同的抽象層，並改用軸幅架構（Hub and Spoke）來運作大量叢集，來減少單一應用發生事故的影響範圍，也能增加每一個抽象層的水平擴充能力。</p> <p><strong>第一資本平臺工程的下一步要將叢集管理架構進一步抽象化。(圖片來源：第一資本)</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%AA%E4%BE%86%E7%99%BC%E5%B1%95-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%AC%AC%E4%B8%80%E8%B3%87%E6%9C%AC.jpeg" /></p> <p>Jake Walden用一句話點出現在的管理秘訣是，「對所有叢集一視同仁，像一群牛來管，而非一隻隻個性不同的寵物。」</p> </div></div></div>
2/12 16:46作者王宏仁https://www.ithome.com.tw/news/173935
英特爾與AMD發布2月安全更新，修補逾80項漏洞，涵蓋Intel TDX技術與Ryzen、EPYC處理器等產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>晶片大廠英特爾與AMD於本周同步發布2月例行性安全更新，合計修補超過80項資安漏洞，涵蓋處理器微架構、伺服器韌體、管理引擎與繪圖驅動程式等多個面向。其中，英特爾信賴網域擴充技術（Trust Domain Extensions，TDX）的漏洞，以及AMD多款Ryzen與EPYC處理器相關問題，成為本次更新的焦點。</p> <p><span style="color:#B22222;"><strong>英特爾修補逾30項漏洞，TDX重大風險恐危及雲端隔離機制</strong></span></p> <p class="rtecenter"><a href="http://www.intel.com/content/www/us/en/security-center/default.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0212-intel%20patch-600.png" style="width: 500px;" /></a></p> <p><a href="https://www.intel.com/content/www/us/en/security-center/default.html" target="_blank">英特爾此次共發布18則安全公告</a>，修補超過30項漏洞，其中3則被列為High（高風險）等級。</p> <p>其中最受關注的是影響TDX技術的高風險漏洞，CVE編號為<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01397.html#:~:text=CVEID%3A%20%C2%A0CVE,H/A%3AN" target="_blank">CVE-2025-30513</a>，CVSS風險分數達8.4分。TDX是英特爾為了強化雲端運算環境隔離而設計的硬體機制，可在虛擬化架構下建立受保護的執行環境。該漏洞由英特爾與Google合作發現，這項漏洞源自TDX模組在Ring 0（即超級管理程式層級）中存在的競態條件（race condition），使得在具備部分特權的使用者環境下，攻擊者可能在沒有額外使用者互動的情況下進行權限提升。根據官方資料，在具有本地存取與特權使用者的前提下，可能使攻擊者突破雲端虛擬化隔離，進一步獲取更高系統控制權限。Intel 已針對相關TDX韌體發布修補程式。</p> <p>除TDX外，本次英特爾修補的中度風險以上的漏洞還包括：</p> <p>影響伺服器韌體更新工具（Server Firmware Update Utility，SysFwUpdt）的<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01325.html#:~:text=CVEID%3A%20%C2%A0CVE%2D2025%2D25210,H/I%3AH/A%3AH" target="_blank">CVE-2025-25210漏洞</a>，CVSS風險分數達8.2分，屬於高風險等級，這類權限提升問題，可能讓攻擊者取得更高系統控制權。</p> <p>影響用於資料壓縮與加密卸載的快速輔助技術（Quick Assist Technology，QAT）的<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01406.html#:~:text=CVEID%3A%20%C2%A0CVE,H/A%3A" target="_blank">CVE-2025-35998</a>，CVSS風險分數達7.9分，這項高風險弱點可能導致權限提升或阻斷服務。</p> <p>影響資安與管理融合引擎（Converged Security and Management Engine，CSME）的中度風險漏洞<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01315.html#:~:text=CVEID%3A%20%C2%A0CVE%2D2025%2D27708,H/I%3AN/A%3AN" target="_blank">CVE-2025-27708</a>，涉及資訊洩漏風險。</p> <p>此外，英特爾也針對<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01415.html" target="_blank">AI Playground</a>軟體、<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01171.html" target="_blank">乙太網路卡800系列控制器</a>、<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01403.html" target="_blank">神經處理單元（NPU）驅動程式</a>，以及多款伺服器平臺韌體與儲存工具，發布中、低風險修補。官方指出，若未及時更新，攻擊者可能藉由漏洞觸發阻斷服務，或進一步提升權限。</p> <p><span style="color:#B22222;"><strong>AMD修補逾50項漏洞，涵蓋Ryzen與EPYC系列處理器</strong></span></p> <p class="rtecenter"><a href="http://www.amd.com/en/resources/product-security.html" target="_blank"><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/0212-amd-patch-600.png" style="width: 500px;" /></strong></span></a></p> <p><a href="https://www.amd.com/en/resources/product-security.html" target="_blank">AMD本月發布7則安全公告</a>，合計處理超過50項CVE漏洞。</p> <p><a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-4013.html" target="_blank">其中一則公告</a>列出14項影響Athlon與Ryzen系列處理器的漏洞，CVE編號橫跨2021年至2025年。若遭利用，可能造成未經授權存取、權限提升、任意程式碼執行、阻斷服務或資訊洩漏等後果。</p> <p>在企業級產品方面，AMD亦為<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3023.html" target="_blank">EPYC與EPYC Embedded伺服器處理器</a>修補19項漏洞；針對繪圖驅動程式，AMD也修補15項問題。</p> <p>工具與開發環境方面，AMD修補µProf效能分析工具組的一項高風險權限提升漏洞，編號為<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-9022.html" target="_blank">CVE-2025-61969</a>，CVSS風險分數為7.0，可能被用來執行任意程式碼；另外，AMD也針對<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-8013.html" target="_blank">Vivado設計套件</a>，修補兩項高風險安全漏洞。</p> <p>除了既有CVE漏洞公告外，AMD本月也針對近期學術研究與外部安全分析揭露的側寫攻擊手法，發布兩則未編列CVE編號的安全說明。這些內容並非源自AMD產品被實際濫用，而是研究人員在特定條件下驗證可能的攻擊理論，AMD則就其產品是否受影響提出技術評估。</p> <p><a href="http://www.amd.com/en/resources/product-security/bulletin/amd-sb-6026.html" target="_blank">其中一項為時序型旁路攻擊（Timing-based Side Channels）</a>，AMD指出，近期有研究針對特定GPU架構進行時序分析，嘗試透過運算時間差異推測內部資料處理情形。不過，AMD表示，相關研究與攻擊手法主要針對競爭對手產品設計，並不影響其自家GPU架構。</p> <p><a href="http://www.amd.com/en/resources/product-security/bulletin/amd-sb-8022.html" target="_blank">另一項為物理光學旁路攻擊（Physical Optical Side Channel）</a>，根據公開研究，在具備實體接觸與專業設備的前提下，攻擊者理論上可能透過晶片背面進行光學觀測，從加密位元流（bitstream）中還原明文組態資料。AMD強調，這類攻擊屬於需拆解晶片並進行背面物理操作的高門檻情境，已超出AMD 7系列FPGA產品原本的威脅模型，因此不視為一般遠端攻擊風險。</p> <p>由於本次更新涉及處理器底層微架構、韌體與核心驅動程式，影響範圍橫跨資料中心、企業伺服器與個人電腦環境。資安專家建議，企業IT部門與使用者應儘速至英特爾與AMD官方的安全中心網站，檢視受影響產品清單，並依照公告指引完成韌體與驅動程式更新，以降低遭攻擊風險。</p> </div></div></div>
2/12 15:04作者王珮瑤https://www.ithome.com.tw/news/173925
德國警告國家支持的釣魚攻擊鎖定歐盟Signal高風險用戶而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.verfassungsschutz.de/SharedDocs/publikationen/DE/praevention_wirtschafts-und_wissenschaftsschutz/2026-02-06-gemeinsame-warnmitteilung-phishing.pdf" target="_blank">德國政府上周警告</a>有國家支持釣魚攻擊正透過加密通訊軟體Signal，鎖定歐洲記者或政治人物、軍方等高風險用戶攻擊。</p> <p>德國聯邦憲法保護局（Bundesamt für Verfassungsschutz, BfV）與聯邦資訊安全局（BSI）2月初發布聯合警告通告（gemeinsame Warnmitteilung），說明近日收集到情報顯示，攻擊者正在利用即時通訊軟體等發動釣魚攻擊，透過社交工程手法誘使目標用戶點擊惡意連結，藉此竊取帳號控制權或竊取敏感通訊內容，甚至入侵更大網路。</p> <p>德國官方提醒，進階釣魚攻擊通常是針對政治人物、軍方、外交官與新聞媒體。駭客可能假冒官方支援部門或自動化聊天機器人，透過App聯繫受害者，或是利用QR code，誘使用戶帳號連結攻擊者控制的裝置，藉此存取受害者聯絡人、近日通訊紀錄。</p> <p>官方警告未說明攻擊者身分，但說，基於受害者的類型，可能是國家支持的駭客所為。此外，雖然這波攻擊主要是Signal，但官方也提醒小心其他通訊平臺，例如WhatsApp的攻擊。</p> <p>在歐洲，就曾發現數起由俄羅斯駭客對其他國家Signal用戶發動的攻擊。<a href="https://therecord.media/ukraine-new-russian-malware-social-engineering-signal-chats" target="_blank">去年烏克蘭發現</a>，俄國國家駭客利用Signal散布後門程式，企圖竊取烏國軍方人員及政府官員機密資訊。而Google研究人員也發現Sandworm駭客建立了一套基礎設施，讓俄羅斯軍隊能從戰場上取得的烏國裝置攔截加密Telegram和Signal通訊。</p> </div></div></div>
2/12 15:24作者林妍溱https://www.ithome.com.tw/news/173928
Meta開始於Threads中測試AI推薦功能Dear Algo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/02/threads-dear-algo/" target="_blank">Meta周三（2/11）宣布</a>，已開始分階段於Threads中測試可讓使用者自訂推薦演算法的AI工具Dear Algo，讓使用者直接對推薦系統發出指令。</p> <p>Dear Algo中的Algo是Algorithm（演算法）的簡寫，使用者只要在公開Threads貼文中輸入「Dear Algo」，接著寫下你希望多看或少看的主題，系統會立即套用使用者的偏好設定。該效果會維持3天，3天後就會自動恢復成原本的推薦邏輯。</p> <p>例如可以輸入「Dear Algo，請顯示更多關於Podcast的貼文。」轉發別人的Dear Algo請求，也能將對方的內容偏好套用到自己的動態中。由於只會停留3天，代表它的設計是短期的主題偏好覆蓋，而非改變使用者的長期興趣模型。</p> <p>Threads或其它社交平臺通常都會根據使用者的喜好來推薦內容，但Dear Algo是首個讓使用者可直接以自然語言控制推薦邏輯的功能。</p> <p>Meta表示，Threads平臺讓使用者可掌握即時動態，但有時候使用者在乎的事情會瞬間改變，那時也會希望其動態內容可即時反映相關變化，像是於NBA直播比賽期間看到更多的相關貼文，或者是想要在還沒追完特定影集時少看相關討論，而Dear Algo讓Threads更具個人化體驗，幫助使用者找到與自身相關最新對話的另一種方式。</p> <p>目前Dear Algo已在美國、紐西蘭、澳洲與英國推出，未來將陸續拓展至更多國家。</p> </div></div></div>
2/12 15:34作者陳曉莉https://www.ithome.com.tw/news/173929
郵件伺服器平臺SmarterMail重大漏洞遭到利用，中國駭客Storm-2603企圖植入勒索軟體Warlock
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>軟體開發商SmarterTools於1月15日<strong><a href="https://www.smartertools.com/smartermail/release-notes/current">發布更新</a></strong>，為旗下郵件伺服器SmarterMail修補重大層級漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-23760">CVE-2026-23760</a></strong>，一週後兩家資安公司<strong><a href="https://labs.watchtowr.com/attackers-with-decompilers-strike-again-smartertools-smartermail-wt-2026-0001-auth-bypass/">watchTowr</a>與<a href="https://www.huntress.com/blog/smartermail-account-takeover-leading-to-rce">Huntress</a></strong>提出警告，有人用於挾持SmarterMail的特權帳號，本週有資安公司揭露最新調查結果，指出中國駭客將其用於勒索軟體攻擊。</p> <p>資安公司ReliaQuest指出，他們發現CVE-2026-23760遭到積極利用的跡象，<strong><a href="https://reliaquest.com/blog/threat-spotlight-storm-2603-exploits-CVE-2026-23760-to-stage-warlock-ransomware/">經過調查，確認是中國駭客組織Storm-2603所為</a></strong>，最終目的是使用勒索軟體Warlock加密檔案。值得留意的是，雖然該漏洞可被用於繞過身分驗證流程，並重設管理員密碼，不過這些駭客並未這麼做，而是在取得存取權限後，串連SmarterMail內建的磁碟掛載功能（Volume Mount），得到完全控制受害系統的能力。得逞後，駭客部署數位鑑識工具Velociraptor，藉此建立長期存取權限，並為後續勒索軟體活動做準備。</p> <p>巧合的是，<a href="https://www.cisa.gov/news-events/alerts/2026/02/05/cisa-adds-two-known-exploited-vulnerabilities-catalog">美國網站安全暨基礎設施安全局（CISA）於2月5日提出警告</a>，SmarterMail另一個資安漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-24423">CVE-2026-24423</a></strong>已被用於勒索軟體活動，由於探測到該漏洞的時間與Storm-2603活動重疊，但發動攻擊的來源不同，因此ReliaQuest推測，有可能是這些駭客輪換IP位址所為，或是其他團隊的活動。</p> <p>SmarterMail是由SmarterTools開發的郵件伺服器與協作平臺，標榜是成本低廉的Exchange替代方案，且功能齊全，部署較具彈性，企業能使用Windows Server、Linux主機，或是Docker來架設。此套系統臺灣有代理商引進，也有主機代管商或IT服務廠商提供郵件伺服器代管服務，因此相關漏洞利用活動臺灣可能會受到波及。</p> <p>針對漏洞利用活動發生的過程，ReliaQuest指出Storm-2603利用CVE-2026-23760進行滲透，從而控制整個SmarterMail系統，但為了進一步掌握底層的Windows Server，以便讓惡意程式以作業系統層級運作，他們利用SmarterMail內建的磁碟掛載功能，下達惡意指令。此功能顧名思義，用途就是讓管理者掛載網路磁碟，由於SmarterMail信任管理員輸入的內容，不會對相關命令進行檢查，而且，這些指令都會繼承SmarterMail服務取得的高權限，駭客便是看上這點，將其用於發動遠端程式碼（RCE）攻擊。ReliaQuest指出，駭客將API弱點與濫用應用系統內建功能串連，代表他們的手法相當複雜。</p> <p>一旦上述的手法成功，Storm-2603就會透過公用程式msiexec，從雲端開發後端平臺Supabase下載惡意酬載v4.msi。此下載過程仰賴SmarterMail的服務，駭客利用該郵件系統的處理程序MailService.exe生成指令Shell，將上述下載惡意軟體的流量偽裝成一般的常態系統活動。有效酬載最終在受害主機部署Velociraptor充當後門，駭客曾嘗試植入Warlock，但並未得逞。</p> <p>針對這起攻擊活動被利用的漏洞，CVE-2026-23760可被用於身分驗證繞過，該漏洞存在於SmarterMail的密碼重設API，未經身分驗證的攻擊者可藉此挾持管理員帳號，導致該郵件伺服器遭到全面入侵，CVSS v3.1風險評為9.8分、CVSS v4.0為9.3分，為重大等級（Critical）風險。SmarterTools提及，若攻擊者取得SmarterMail管理權限，就有機會透過內建管理功能，以SYSTEM或root的權限，於主機底層執行作業系統命令。</p> <p>另一項CISA提出警告的漏洞CVE-2026-24423，存在於ConnectToHub API，為遠端程式碼執行漏洞，未經授權的攻擊者可將SmarterMail指向惡意HTTP伺服器來利用漏洞，CVSS v3.1風險同樣達到9.8分、CVSS v4.0為9.3分。SmarterTools發布SmarterMail新版build 9511，修補上述兩個漏洞。</p> </div></div></div>
2/12 15:42作者周峻佑https://www.ithome.com.tw/news/173924
Anthropic Claude Cowork推出Windows版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic的代理人Claude Cowork推出Mac版一個多月後，<a href="https://claude.com/blog/cowork-research-preview" target="_blank">本周也推向了Windows平臺</a>。</p> <p>Anthropic Claude Cowork是由Anthropic推出的新型AI自動化工具，基於Claude系列大模型與其代理架構，旨在讓Claude不只是回答問題，而是以類似同事的角色執行工作任務。一月中Claude Cowork以研究預覽版於Claude Desktop macOS版中提供給付費訂閱用戶。本周Cowork已經部署到Claude Windows App。Anthropic說，Windows版將提供和macOS版相同能力，包含檔案存取、多步驟任務、外掛及所有MPC連接器等。</p> <p>Anthropic還新增通用與資料匣指令。用戶可以告訴Claude偏好的工作風格，包括用戶工作角色、喜好的語氣及格式等，它會全面適用於每個互動。用戶也可以設定特定資料匣的指令，未來開啟該資料匣就會啟用。這些都可在Claude聊天中下達變更指示。</p> <p>現在用戶可以下載最新版<a href="https://claude.ai/download" target="_blank">Claude Windows版App</a>使用Cowork。支援平臺包含Windows及arm64-based Windows。</p> <p>Anthropic已分別在1月中及1月底宣布Cowork提供給Team、Enterprise方案以及Pro方案用戶。這表示所有付費方案用戶都可以使用Cowork研究預覽版。</p> <p>Windows版的推出說明了Anthropic和微軟間強化合作的成果。去年11月<a href="https://www.ithome.com.tw/news/172340" target="_blank">微軟宣布</a>投資Anthropic 50億美元，Microsoft Foundry客戶可存取Anthropic模型包括Claude Sonnet 4.5、Claude Opus 4.1、和Claude Haiku 4.5。據<a href="https://venturebeat.com/technology/anthropics-claude-cowork-finally-lands-on-windows-and-it-wants-to-automate" target="_blank">Venturebeat</a>報導，Anthropic也承諾將採購價值300億美元的Azure算力。</p> </div></div></div>
2/12 15:53作者林妍溱https://www.ithome.com.tw/news/173930
OpenClaw Clawdbot存在高風險點擊漏洞，可外洩權杖導致閘道器遭接管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>代理型AI系統OpenClaw專案<a href="https://github.com/openclaw/openclaw/security/advisories/GHSA-g8p2-7wf7-98mq">揭露</a>一項高風險漏洞，影響NPM套件Clawdbot在控制介面Control UI的連線流程。GitHub資安通報指出，攻擊者可透過精心設計的惡意連結或網站，誘導使用者在瀏覽器載入頁面時，自動連線到攻擊者控制的端點，進一步外洩儲存在瀏覽器內的閘道器（Gateway）驗證權杖（Token）。</p> <p>一旦權杖遭竊，攻擊者就可能取得對Gateway API的操作權限，進而接管Gateway，並在Gateway主機上達成程式碼執行。該漏洞已在Clawdbot v2026.1.29修補，受影響版本為Clawdbot v2026.1.28含以前。通報給出CVSS 3.1總分8.8，等級為高風險。</p> <p>漏洞根本原因在於Control UI會從網址查詢字串讀取gatewayUrl參數，卻未先驗證其有效性，頁面載入後也會自動連線。而且該自動建立的WebSocket連線負載，會帶出先前儲存的Gateway驗證權杖，使得使用者只要點擊一次惡意連結或誤入惡意網站，就可能在不知情的情況下把權杖送到攻擊者控制的伺服器。</p> <p>攻擊者取得權杖後，即可連回受害者的本機Gateway，並進一步變更設定內容，例如沙箱或工具政策等，同時呼叫高權限動作，最終讓攻擊者得以在Gateway主機上執行程式碼。</p> <p>通報也提醒，即使Gateway僅綁定在回送（Loopback）介面，例如127.0.0.1，仍可能落入這條攻擊鏈。原因在於連線是由受害者瀏覽器主動發起對外連線，瀏覽器在此情境中成為橋梁，讓攻擊者仍有機會取得權杖並完成後續接管。</p> <p>OpenClaw團隊表示，已調整Control UI的行為，將過去載入頁面即自動連線的流程，改為需要使用者在介面中確認新的Gateway URL，避免僅靠外部網址參數就觸發連線與權杖傳送。官方也在通報中明確列出已修補版本為v2026.1.29，並建議仍使用舊版的團隊儘快更新，以避免暴露於風險中。</p> </div></div></div>
2/12 16:00作者李建興https://www.ithome.com.tw/news/173923
廢棄Outlook增益集遭供應鏈攻擊竊取4000餘憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.koi.ai/blog/agreetosteal-the-first-malicious-outlook-add-in-leads-to-4-000-stolen-credentials" target="_blank">研究人員發現</a>一個開發人員不再維護的Outlook增益集遭到供應鏈攻擊成為惡意程式，並竊取了超過4,000多個電子郵件憑證、密碼及信用卡號等。</p> <p>資安業者Koi Security發現一個名為AgreeTo的Outlook增益集（add-in）程式，被改造成惡意程式並在微軟Office Add-in Store供用戶使用。研究人員相信這是首個已知惡意Outlook增益集被偵測公開傳布的例子。</p> <p>AgreeTo於2022年上傳到Office Add-in Store，它是一個會議排程工具，頗受歡迎，有1,000人下載，評分達4.71。但後來不知何故開發人員不再維護，Chrome版已經被Google移除，但Outlook版卻留在微軟軟體商店上。該外掛指向的代管於Vercel的URL可為他人註冊，也被駭客取得。同時間，微軟基礎架構將AgreeTo納入到Outlook側邊欄中供使用者繼續使用。</p> <p>研究人員發現問題出在AgreeTo的宣告（manifest）。Outlook增益集在宣告檔中說明「在Outlook以iFrame載入這個URL」，實際內容則是每次開啟該增益外掛時連向外部伺服器取得UI、邏輯等等。微軟在2022年12月簽發了AgreeTo的宣告，而後不再檢視。AgreeTo宣告提供讀取和修改用戶郵件的權限，賦予控制該URL的人過大權限。</p> <p>另一問題出在系統無法檢查它執行的內容。因為它沒有靜態bundle檔可以檢查，也沒有雜湊可供驗證。這使得架在outlook-one.vercel.app伺服器的程式也可以直接執行在Outlook上。伺服器推送惡意或損壞的更新檔將立即在Outlook上執行。完整讀寫權限及缺乏驗證，使任何控制URL的人能讀取到和使用者相同的內容。</p> <p>研究人員將此波攻擊稱為AgreeToSteal。駭客幾乎沿用這個廢棄增益集原始基礎架構，只建立了釣魚工具，包括假的微軟帳號登入頁、密碼蒐集頁、資料外傳指令碼及重導引。一旦用戶從Outlook側邊欄點選開啟AgreeTo就會受害。他們不會看到會議排程頁面，而是微軟帳號登入頁，不知情的用戶會被騙取帳號密碼，但最後會被重導引向真正的login.microsoftonline.com以降低用戶警覺性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0212-AgreeToSteal-Koi%20Security-600.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Koi Security</span></span></p> <p>由於Office Add-in Store沒有計數器，研究人員無法得知受害人數。但他們存取駭客建立的外傳通道，發現整個攻擊行動竊取了超過4000人的微軟帳號憑證。深入探索後，他們發現攻擊者還冒充加拿大ISP、Webmail供應商等。此外，他們還發現受害者被竊的信用卡號、驗證碼、PIN和銀行安全驗證的答案，顯示是一個專業的釣魚攻擊行動。攻擊者在研究前一天還正在積極測試竊來的憑證，攻擊基礎架構也都在活動中。</p> <p>研究人員說，2019年就有<a href="https://www.mdsec.co.uk/2019/01/abusing-office-web-add-ins-for-fun-and-limited-profit/" target="_blank">資安廠商警告</a>Office增益集的安全風險，現在這預言已成真。</p> </div></div></div>
2/12 11:33作者林妍溱https://www.ithome.com.tw/news/173922
Coinbase爆內部人員不當存取用戶資料，客服支援系統畫面外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>加密貨幣交易所Coinbase近日證實，去年12月發生一起涉及約聘人員的內部資料存取事件。該名人員在職務範圍外查閱約30名用戶資料，事後相關支援系統畫面更在Telegram等管道短暫流傳，引發外界對委外服務與權限控管風險的討論。</p> <p>Coinbase向<a href="https://www.bleepingcomputer.com/news/security/coinbase-confirms-insider-breach-linked-to-leaked-support-tool-screenshots/" target="_blank">資安媒體BleepingComputer說明</a>，其資安團隊於2025年12月偵測到異常內部存取行為，確認一名約聘人員不當查閱少數用戶資訊。公司表示，涉事人員已停止服務，亦已於去年底通知受影響用戶，並提供身分盜用防護與相關協助，同時依規定通報主管機關。</p> <p>Coinbase並強調，此案與2025年涉及另一家外包商TaskUs的<a href="https://www.ithome.com.tw/news/168972" target="_blank">內部威脅事件</a>無關。</p> <p>這起事件之所以擴大，是因自稱「Scattered Lapsus Hunters（SLH）」的威脅組織，曾在Telegram張貼疑似Coinbase客服後臺工具截圖，隨後刪除。截圖顯示，支援控制臺可查閱用戶姓名、電子郵件、電話、出生日期，以及KYC驗證相關資訊與帳戶交易紀錄。</p> <p>目前尚無證據顯示駭客是否直接策動內部人員，或從其他來源取得畫面。不過，SLH組織過去曾疑似收買CrowdStrike員工，企圖取得這家資安業者的內部資訊。</p> <p><span style="color:#B22222;"><strong>委外體系成高風險節點</strong></span></p> <p>BleepingComputer進一步分析，隨著金融科技與加密貨幣業者大量將客服與後臺作業外包給商業流程委外（Business Process Outsourcing，BPO）廠商，具備查詢帳戶資訊與協助身分驗證權限的第一線人員，成為高風險節點。即便企業核心交易系統未遭入侵，單一帳號的權限濫用，仍可能對品牌信任與合規風險造成衝擊。</p> <p>過去一年，已有多起事件顯示第三方支援體系成為入侵跳板。例如，清潔用品大廠Clorox指控其IT服務供應商Cognizant人員在身分驗證流程上出現疏失，導致攻擊者取得企業網路存取權限，並提起高額求償。</p> <p>此外，通訊平臺Discord亦曾因BPO客服帳號遭駭，導致數百萬筆用戶資料外洩。英國零售通路Co-op與Marks & Spencer則遭社交工程攻擊波及，最終引發營運中斷與資料外洩風險。</p> <p>面對此類風險，<a href="https://www.ncsc.gov.uk/news/retailers-incident" target="_blank">英國政府曾發布針對服務臺與委外業者的防護指引</a>，建議企業強化第三方權限最小化管理、異常行為監測與雙重驗證機制。</p> <p>從產業發展來看，當企業將營運流程切分並外包，資安責任也隨之延伸至供應鏈各環節。與其將事件視為單一內部人員問題，更關鍵的是如何建立可驗證、可稽核的委外治理機制，避免「合法權限」成為攻擊者最有效率的入侵途徑。</p> </div></div></div>
2/12 10:32作者王珮瑤https://www.ithome.com.tw/news/173918
CISA警告舊版GitLab漏洞遭攻擊利用，呼籲使用單位儘速完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全暨基礎設施安全局（CISA）警告，開源原始碼管理與DevOps平臺<a href="https://about.gitlab.com/releases/2021/12/06/security-release-gitlab-14-5-2-released/#when-user-registration-is-limited-external-users-that-arent-developers-shouldnt-have-access-to-the-ci-lint-api" target="_blank">GitLab已修補多年的漏洞CVE-2021-39935</a>，近期出現實際濫用跡象，<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2021-39935" target="_blank">要求聯邦機關限期完成修補</a>，也呼籲所有組織將修補該漏洞列為優先事項，以降低持續進行中的攻擊風險。</p> <p class="rtecenter"><a href="http://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2021-39935" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0212-gitlab-600.png" style="width: 450px;" /></a></p> <p>這項漏洞CVSS v3.1風險分數為7.5分，屬於高風險（High）等級。根據美國國家漏洞資料庫（NVD）說明，<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-39935" target="_blank">CVE-2021-39935</a>屬於伺服器端請求偽造（Server-Side Request Forgery，SSRF）漏洞。攻擊者可藉由濫用CI Lint API，誘使目標伺服器對內部或外部資源發送未預期請求，可能導致敏感資訊外洩或內部服務暴露。</p> <p><a href="http://about.gitlab.com/releases/2021/12/06/security-release-gitlab-14-5-2-released/#when-user-registration-is-limited-external-users-that-arent-developers-shouldnt-have-access-to-the-ci-lint-api" target="_blank">GitLab已於2021年12月發布安全更新修補此漏洞</a>。官方指出，早於14.3.6版、14.4.4版，以及14.5.2版的版本均受影響；用戶應依所用版本的系列，分別升級至14.3.6、14.4.4或14.5.2以上版本，才能排除風險。</p> <p>CISA指出，已觀測到攻擊者實際利用CVE-2021-39935發動攻擊，並於今年2月3日將其納入已知遭利用漏洞（KEV）清單，要求聯邦機關在期限內完成修補，否則須停止使用存在風險的系統。</p> <p>值得注意的是，CVE-2021-39935公布至今已超過4年，卻仍出現在近期攻擊行動中，顯示部分組織可能未完成版本盤點與更新作業。這類已發布修補多年的「舊漏洞」，往往因為系統長期運行或權限設定複雜，而成為攻擊者反覆利用的目標。</p> <p>企業除了確認GitLab版本，也應重新檢視使用者註冊政策與外部帳號權限設定，同時定期比對CISA KEV清單，將已出現實際濫用跡象的漏洞列為優先修補項目，以降低潛在入侵風險。</p> </div></div></div>
2/12 10:33作者王珮瑤https://www.ithome.com.tw/news/173919
xAI展開組織重組，馬斯克揭露月球計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在SpaceX<a href="https://www.ithome.com.tw/news/173722" target="_blank">宣布買下xAI</a>，接著傳出又有xAI的共同創辦人離職之後，<a href="https://x.com/elonmusk/status/2021673886157607383" target="_blank">馬斯克（Elon Musk）透過X表示</a>，xAI已於日前進行組織重組，<a href="https://www.nytimes.com/2026/02/10/technology/elon-musk-lunar-factory.html" target="_blank">馬斯克還告訴xAI員工</a>，他要在月球上建造一座可生產AI衛星的工廠。</p> <p>馬斯克旗下的太空公司<a href="https://www.ithome.com.tw/news/173710" target="_blank">SpaceX甫於1月30日</a>向美國聯邦通訊委員會（Federal Communications Commission，FCC）提出申請，打算發射100萬顆衛星，以建立一個環繞地球的軌道資料中心網路；接著在2月2日宣布買下xAI，以垂直整合AI、火箭、太空網路、行動裝置直連通訊，以及即時資訊與言論自由平臺。</p> <p>根據<a href="https://www.bloomberg.com/news/articles/2026-02-11/musk-restructures-xai-s-teams-after-co-founders-exit" target="_blank">彭博社</a>（Bloomberg）的報導，2023年創立的xAI總計有12名共同創辦人，其中，本周宣布離職的<a href="https://x.com/yuhu_ai_/status/2021113745024614671" target="_blank">Tony Wu</a>與<a href="https://x.com/jimmybajimmyba/status/2021374875793801447" target="_blank">Jimmy Ba</a>，已是第五及第六位離開xAI的共同創辦人，且最近還有其他xAI員工離職。</p> <p>馬斯克則說，xAI的重組是為了提高執行速度，隨著公司的成長，特別像是xAI這樣快速發展的公司，其結構也必須像任何生物體一樣快速演化；這意味著他們不得不與一些人分道揚鑣，祝他們未來一切順利。</p> <p>此外，馬斯克亦公開招募人才，歡迎對於在月球上建造質量加速器（Mass Driver）感到興奮的人加入xAI。</p> <p>馬斯克創立SpaceX的最終目標就是移民火星，但他最近偶爾會提到月球。<a href="https://www.nytimes.com/2026/02/10/technology/elon-musk-lunar-factory.html" target="_blank">紐約時報</a>（The New York Times）報導，本周馬斯克告訴xAI員工，該公司需要在月球上建造一個工廠以生產AI衛星，還要有一個巨大的彈射裝置將衛星發射到太空。</p> <p>馬斯克向員工表示，他們必須登上月球，於月球上建造一座可自給自足的城市，再前往火星。儘管馬斯克將月球描述成通往火星的跳板，不過，兩名已離開SpaceX的高層向紐時透露，過去公司內部其實從未將月球列為核心發展重點。</p> </div></div></div>
2/12 10:49作者陳曉莉https://www.ithome.com.tw/news/173920
OpenAI擴充Responses API支援長任務，新增伺服端壓縮整理與Shell容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI<a href="https://x.com/OpenAIDevs/status/2021286050623373500?s=20">擴充Responses API的多項基礎能力</a>，解決長時間代理型工作常見的兩個障礙。一是對話與工作狀態累積後容易觸及模型上下文上限，二是代理需要更可預期的計算與執行環境來跑腳本、處理檔案或整理資料。該更新將壓縮、容器與終端機式執行整合成可組合的元件，讓開發者能用同一套API執行長任務。</p> <p>OpenAI加入<a href="https://developers.openai.com/api/docs/guides/compaction">伺服端壓縮</a>整理來強化上下文管理，開發者在呼叫Responses API時，可以設定由系統代為管理上下文，並指定啟動壓縮的門檻。當對話累積到一定長度，伺服端會在同一個串流回應中自動進行壓縮與修剪，降低上下文不斷膨脹而導致後續請求失敗的風險。官方也說明，壓縮後的內容會加密保存，主要用來讓模型延續工作脈絡，並不是設計給人直接閱讀。</p> <p>在執行環境方面，<a href="https://developers.openai.com/api/docs/guides/tools-shell">OpenAI推出Shell工具</a>，讓模型可以在完整終端機環境下執行指令。Shell提供兩種路徑，包含OpenAI代管的容器，以及由開發者自行托管並回傳執行結果的本機執行模式。</p> <p>容器可重複使用，讓同一個任務能跨多次請求延續狀態，但其並非永久工作區，可能在一段時間未使用後到期。開發者只要在後續請求持續引用同一個容器，就能讓檔案與工作狀態在容器存活期間延續，適合迭代式分析與資料處理流程。</p> <p>容器的對外連線則採取預設關閉的策略。官方解釋，代管容器預設沒有對外網路，若要開啟，需組織管理者在後臺設定允許清單，之後每次請求再明確指定本次可連線的網域。OpenAI提醒允許名單可能引入提示詞注入導致的資料外洩風險，應限縮到必要且可信任的目的地。</p> <p>Responses API的Shell工具還提供網域機密資訊（domain_secrets）機制，滿足使用者憑證與私有授權需求，讓模型在執行時只看到占位符名稱，由系統在核准目的地請求時套用真實密鑰或權杖，降低憑證在上下文中暴露與外流的機率。</p> <p>另外，OpenAI新推出的元件是Skills。OpenAI將Skill定義為帶有SKILL.md資訊清單的版本化檔案組合，可用於封裝可重用的流程與慣例，並宣稱相容於開放的Agent Skills standard。技能可以掛載到代管或本機Shell環境中，讓同一套工作規範在不同執行場域可被重複套用。</p> </div></div></div>
2/12 10:59作者李建興https://www.ithome.com.tw/news/173917
不是告別，而是換另一種方式同行
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>這一期，是iThome週刊最後一次以紙本形式發行。<img alt="" src="https://s4.itho.me/sites/default/files/images/ithome-1273%2B1274-600-3.png" style="width: 301px; float: right;" /></p> <p>對許多讀者，也對編輯部而言，在過去將近一千三百個禮拜中，每週從截稿、校稿、編排、印刷到準時遞送到讀者手上，iThome週刊成為許多資訊人掌握科技脈動、產業趨勢的固定節奏。在這樣帶有儀式感的過程中，每一週我們都有跟著世界又往前走了一點的感覺。</p> <p>今天，我們選擇在這裡，把紙本週刊畫下一個句點。但這並不是iThome的終點，也不是內容的終止。</p> <p>自2001年創刊以來，iThome週刊的報導一路跟著臺灣企業從電腦化進展到數位化。那是一個從「e化」走向「網路化」，接著擴及「行動化」、「雲端化」，再邁向全面「數位化」的企業轉型歷程。而今新一代人工智慧推動企業邁向「智慧化」之際，我們依然會堅守使命，繼續在iThome網站報導臺灣企業邁向智慧、韌性與永續發展的未來。</p> <p>回顧創刊之初，資訊科技在臺灣多數企業中的角色仍屬後勤支援性質—負責系統穩定、設備維運與成本控制。資訊主管多半隱身於組織內部，既非決策核心，也鮮少成為媒體關注或報導的對象。</p> <p>在那個年代，資訊長這個角色尚未普及，資訊工作的價值，往往只有在系統當機或專案延誤時，才被注意到。即使有少數資訊長率先倡議，資訊部門的定位應由成本中心轉變為更具策略意義的利潤中心，但還難以進入經營決策核心。</p> <p>iThome週刊，正是在這樣的背景下誕生，但我們相信在產銷人發財之外，資訊科技將會是未來企業營運的必備要素。因此，我們從2005年展開「CIO Talk」單元，每週走訪各行各業，報導資訊長這個嶄新的角色與最真實的資訊應用經驗，推動企業重視資訊長的策略意義與資訊科技的戰略價值。這個單元直到最後一期未曾停歇，至今已累積了827則資訊長的報導。</p> <p>隨著資訊科技逐步成為企業營運的核心，資訊部門不再只是支援角色，而是直接影響企業營運、風險治理與競爭力的關鍵力量。資訊主管開始被要求參與策略討論，評估投資報酬、管理資安風險，並在關鍵時刻對經營決策提出專業判斷。</p> <p>如今，資訊長與資安長甚至已在董事會占有一席之地。他們的專業與經驗，不再只是技術觀點，更被視為理解企業數位能力與治理成熟度的重要依據。這不只是媒體關注焦點的改變，而是整個產業對資訊與資安專業價值的重新定位。</p> <p>來到2026年，生成式AI的快速發展，進一步強化了資訊與資安角色的重要性。AI不再只是技術工具，而是融入企業核心，牽涉資料治理、風險控管、組織責任與信任基礎等核心議題。資訊長與資安長，已成為橫跨技術、策略與治理的關鍵角色。</p> <p>在這樣的時代節點上，我們選擇讓紙本週刊完成它的階段性任務。</p> <p>停刊，代表的只是停止發行紙本週刊；iThome的網站與數位內容，仍將持續運作，並以更即時、更多元的形式呈現，繼續記錄資訊科技與資訊人角色的演進。</p> <p>從後勤支援，到決策成員；從不被看見，到成為競爭關鍵。這段轉變，是臺灣資訊科技發展史中重要的一頁。iThome有幸參與其中，也將在AI企業時代，持續把這段歷史，寫下去。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ithome">iThome</a></div></div></div>
2/12 06:00作者吳其勳https://www.ithome.com.tw/voice/173881
Adobe 2月修補44項漏洞，After Effects等工具逾半數可致任意程式碼執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="113" data-start="69">數位創意軟體業者<a href="https://helpx.adobe.com/security.html" target="_blank">Adobe於2月例行安全更新發布9則資安公告</a>，合計修補44項漏洞，多款Creative Cloud工具均在弱點影響範圍之內。超過半數屬於可導致任意程式碼執行的重大風險漏洞，主要與檔案解析與記憶體處理機制相關。</p> <p data-end="495" data-start="228">本次受影響產品包括After Effects、Audition、InDesign Desktop、Substance 3D Designer、Substance 3D Stager、Substance 3D Modeler、Bridge、Lightroom Classic與DNG SDK。從Adobe公告內容來看，漏洞類型集中在越界寫入、越界讀取、Use-After-Free與整數溢出等記憶體安全問題。攻擊情境多半涉及使用者開啟特製檔案後，觸發應用程式在本機執行任意程式碼；另有部分漏洞可能導致記憶體資訊曝光或阻斷服務（DoS）。</p> <p data-end="495" data-start="228">以修補數量來看，<a href="https://helpx.adobe.com/security/products/after_effects/apsb26-15.html" target="_blank">After Effects</a>為本月最多，共修補15項漏洞，其中13項被列為重大風險；<a href="https://helpx.adobe.com/security/products/audition/apsb26-14.html" target="_blank">Audition</a>修補6項漏洞，當中有1項被評為具有重大風險，其餘為重要／高度風險；<a href="https://helpx.adobe.com/security/products/substance3d_designer/apsb26-19.html" target="_blank">Substance 3D Designer</a>修補7項漏洞，當中有2項被評為具有重大風險，其餘為重要／高度風險；<a href="https://helpx.adobe.com/security/products/substance3d_stager/apsb26-20.html" target="_blank">Substance 3D Stager</a>則修補5項重大風險漏洞；<a href="https://helpx.adobe.com/security/products/dng-sdk/apsb26-23.html" target="_blank">DNG SDK</a>修補4項漏洞，具有重大風險與重要／高度風險的弱點各占一半；<a href="https://helpx.adobe.com/security/products/indesign/apsb26-17.html" target="_blank">InDesign Desktop</a>修補3項漏洞，當中有1項具有重大風險，其餘具有重要／高度風險；<a href="https://helpx.adobe.com/security/products/bridge/apsb26-21.html" target="_blank">Bridge</a>修補2項重大風險漏洞；<a href="https://helpx.adobe.com/security/products/lightroom/apsb26-06.html" target="_blank">Lightroom Classic</a>修補1項重大風險漏洞；<a href="https://helpx.adobe.com/security/products/substance3d-modeler/apsb26-22.html" target="_blank">Substance 3D Modeler</a>則修補1項重要等級漏洞，屬記憶體資訊曝光問題。</p> <p data-end="830" data-start="744">Adobe表示，目前未觀測到這批漏洞出現實際濫用跡象，且所有公告的部署優先順序皆為3。儘管短期內成為大規模攻擊目標的可能性有限，但企業若廣泛使用上述工具，仍應儘速完成更新。</p> <p data-end="912" data-start="832">Adobe建議使用者升級版本，應透過Creative Cloud Desktop或各產品內建更新機制進行；企業IT部門亦應盤點環境並依測試流程部署修補，以降低潛在風險。</p> </div></div></div>
2/12 09:00作者王珮瑤https://www.ithome.com.tw/news/173904
Chrome開放WebMCP早期預覽，網站可把功能公開成AI代理工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Chrome開發團隊宣布<a href="https://developer.chrome.com/blog/webmcp-epp">WebMCP開放早期預覽</a>，並提供給早期預覽計畫參與者進行原型開發。<a href="https://github.com/webmachinelearning/webmcp/blob/main/README.md">WebMCP</a>希望讓網站以結構化工具的形式，向瀏覽器代理清楚描述可執行的動作與入口，降低僅靠原始DOM操作推測流程帶來的不確定性。Chrome團隊將WebMCP視為在代理式Web領域的嘗試，目的是讓網站在代理與網站互動時扮演更主動的角色。</p> <p>Chrome團隊指出，WebMCP希望提供一種較一致的方式，讓網站把可被代理呼叫的能力公開成工具。網站經營者可透過工具定義，明確描述代理的互動位置、互動方式、使用的參數，以及互動後期待的結果。如此更直接的溝通管道，減少代理在不同網站間反覆嘗試與修正的成本，讓跨多步驟的工作流程更可預期。</p> <p>WebMCP提出兩類介面涵蓋不同複雜度的網站互動情境，第一類是宣告式介面，針對可標準化的常見動作，讓網站能直接在HTML表單等既有結構上描述可執行的操作。第二類是命令式介面，鎖定較複雜或高度動態的互動流程，允許透過JavaScript執行，貼近真實網站行為的情境。這兩類介面讓網站更適合代理存取，也更容易建立穩定的代理工作流程，而不必完全仰賴原始DOM操作。</p> <p>WebMCP用一套JavaScript介面，讓網站把既有功能整理成可被代理呼叫的工具。這些工具本質上是JavaScript函式，另外附上用途說明，以及一份可用參數與回傳結果的結構化描述，讓代理不必猜測就能知道使用方式，網站再透過瀏覽器提供的navigator.modelContext介面，把這些工具註冊給瀏覽器內的代理使用。</p> <p>官方舉例WebMCP可解決的服務場景常見痛點，在客服情境，代理要是能取得結構化工具入口，就能自動補齊必要技術細節，協助建立更完整的支援工單。電商情境則是讓代理更容易依需求搜尋商品、選定規格選項並走完結帳流程。旅遊情境則能在航班搜尋與篩選等需要精準條件比對的操作，降低代理誤選或漏選條件的機率。</p> <p>WebMCP目前仍是規格提案而非正式標準。Web機器學習社群工作小組發布的規格文件也明確註記它不是W3C標準，且不在W3C標準化路徑中。Chrome這次開放早期預覽，主要提供網站進行原型開發並蒐集回饋，協助釐清宣告式API與命令式API在真實網站的實作需求。</p> </div></div></div>
2/12 09:00作者李建興https://www.ithome.com.tw/news/173914
Claude桌面擴充套件遭指存在零點擊RCE漏洞，逾1萬用戶恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者LayerX<a href="https://layerxsecurity.com/blog/claude-desktop-extensions-rce/?utm_source=chatgpt.com">揭露</a>一項針對Claude桌面擴充套件（Claude Desktop Extensions）的零點擊遠端程式碼執行漏洞。研究人員指出，攻擊者可透過單一Google Calendar行事曆事件植入特定內容，受害者只要請Claude讀取最新行程並協助處理相關事項，系統就可能在使用者未察覺的情況下觸發本機任意程式碼執行。LayerX指出此問題影響逾1萬名活躍使用者並波及50個以上的擴充套件，CVSS風險分數10.0。LayerX已向Anthropic通報，但官方目前不打算修補。</p> <p>該風險不如傳統軟體漏洞那樣因為單一元件的程式錯誤，研究人員將其歸咎於工作流程與信任邊界設計。Claude在回應使用者需求時，會自行判斷需呼叫的連接器與工具，並把不同來源的資料串接起來完成任務。</p> <p>研究人員對Claude桌面擴充套件的權限模型提出警告。相較於瀏覽器擴充套件多受沙箱與權限控管限制，桌面擴充套件在本機執行時缺乏沙箱隔離，且其可觸及的資源範圍等同於作業系統上該使用者所擁有的權限，因而可能具備讀取任意檔案、執行系統命令、存取已儲存憑證等能力。一旦環境同時啟用了可讀取行事曆的連接器，又安裝了具命令執行能力的本機工具，模型就可能把行事曆事件中的文字誤判為可直接執行的工作指令，進一步造成端點層級的風險擴大。</p> <p>外媒CSO Online<a href="https://www.csoonline.com/article/4129820/anthropics-dxt-poses-critical-rce-vulnerability-by-running-with-full-system-privileges.html">報導</a>引述Anthropic發言人Jennifer Martinez表示，報告描述的攻擊情境成立前提，是目標端已自行安裝相關MCP工具，並授權其在不另行跳出確認的情況下執行操作。他指出Claude Desktop的MCP整合屬於本機開發工具，使用者需自行配置並授權要在本機執行的伺服器，他同時提醒，企業與使用者在導入MCP伺服器時，應以安裝第三方軟體同等的標準進行評估與控管，包含檢視工具來源、權限範圍與實際需要，避免在高權限環境中開放不必要的自動化路徑。</p> <p>已導入Claude電腦版並允許安裝桌面擴充套件的組織，應盤點端點上已啟用的連接器與工具類型，避免讓模型在未經明確同意的情境下跨越信任邊界。Anthropic文件指出，桌面擴充套件可支援簽章與驗證，Team與Enterprise方案的管理者也可透過允許清單控管組織可用的擴充套件範圍。</p> </div></div></div>
2/11 19:24作者李建興https://www.ithome.com.tw/news/173905
今年6月淘汰最後一座機房，百年Levi’s牛仔褲集團十年上雲成功關鍵大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>創立170年的Levi’s牛仔褲集團，很早就開始思考，要不要上雲。從評估、遷移到全面上雲，前後歷時近十年，2026年6月，即將完成最後一座資料中心的搬遷，實現地端機房全面上雲的最後一步。</p> <p>Levi’s集團把150年前礦工的褲子，變成了現在最流行的服飾種類之一，在全球有超過3千家零售據點，一年營收超過了90億美元，三年前更設立了專責推動數位轉型的數位長，要大力擁抱AI。但這家老字號的服飾品牌，早從2017年就展開了IT的現代化工程。</p> <p>2017年當時，他們在全球有五座實體資料中心，兩座位於美國境內，一座在比利時布魯塞爾，亞洲新加坡也有一座規模較小的資料中心，南美洲智利中部的洛斯安第斯（Los Andes）來支援南美洲的業務所需。為了彙整各種業務資訊，Levi’s集團也陸續建置了多達9套的地端ERP系統，而且是不同的廠牌，必須將所有資料全部集中後，才能獲得營運數據。</p> <p>花了一、兩年時間評估，他們決定展開大規模的IT現代化工程，不只要將分散在五座資料中心的多套ERP，整合到單一平臺，還要陸續將資料中心的所有應用系統和服務，全都搬上公雲。從2021年，開始搬遷第一座資料中心上雲，預計在2026年6月，完成最後一座資料中心的搬遷，整個過程，從2017年開始評估、規畫，2021年啟動搬遷工程，到2026年全數上雲，長達十年之久。</p> <p>Levi’s集團原有的五座資料中心，不是那種老舊、難以維護的機房，而是高度自動化和標準化的現代化機房，也有一套簡單好用的資料中心管理工具。IT維運工程師只需要點選幾個按鈕，不用幾分鐘，就能自動配置妥一個運算環境，各種配套的監控機制都預設其中，可以快速交付給AP團隊使用。</p> <p>但是，他們從2017年就開始評估，要不要上雲，他們當時準備升級現有的資料中心，來因應日益增加的需求。 </p> <p>這五座現代化資料中心，仍有不少維運挑戰，IT維運人員要花很多時間來管理資料中心內的軟硬體，像是韌體更新、作業系統更新、維護UPS等，甚至，Levi’s集團在全球上千個辦公據點中，還有小型的邊緣主機，同樣由總部IT團隊來負責。維護人員80%的時間都是用於管理這些邊緣主機。對Levi’s集團的IT來說，這些維護工作沒有幫企業帶來新的業務價值，後來，他們決定先將部分的工作負載上雲。</p> <p>2021年開始，Levi’s集團先從規模最小的新加坡機房開始搬遷，從小規模搬遷工作來練習，這是第一座上雲的資料中心，但是，到了2026年，他們就能全面關閉所有的自建資料中心，原有在地端部署的應用，全面上雲。</p> <p><strong>Levi’s牛仔褲集團原本有5座資料中心，分散美洲和歐亞，從2021年開始陸續上雲，先搬遷新加坡資料中心的應用上雲，預計2026年6月，完成最後搬遷完最後一座。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E4%BA%94%E5%A4%A7%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E4%BD%8D%E7%BD%AE-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Levis.jpeg" /></p> <h3><span style="color:#0000FF;"><strong>百年牛仔褲品牌成功上雲三大關鍵：不一樣思維、架構標準化、FinOps</strong></span></h3> <p>Levi’s集團企業平臺資深總監Shawn Harris在一場分享中提到，他們可以全面上雲主要有三大關鍵，不一樣的思維、雲端架構標準化，以及從第一天就擁抱FinOps。</p> <p>這位Levi’s集團 IT現代化關鍵推手提到的「不一樣的思維」，指的是他們顛覆了IT部門原有的維運模式，他們原本在地端資料中心的維運方式是高度分工，因此有許多孤島式的維運團隊。以伺服器管理來說，就按照作業系統分成了Linux維運團隊和Windows維運團隊，也有按照用途分工的團隊，如儲存服務團隊、備份服務團隊等。這些團隊各司其職，經常需要互相交接工作，有時，一項工作必須經過多個團隊接手處理，交接之際會出現延遲的情況，前一個團隊已經完成他的階段任務，但下一個接手團隊還在忙於其他工作，無法立即接續處理。</p> <p>後來，Levi’s集團直接設立了一個專門的雲端團隊，一個團隊就能掌握從頭到尾的整套雲端解決方案的能力，不用多個團隊人力協力，一個團隊就可以完成所有工作，由這個團隊採取「自動化優先」策略來管理所有公雲上的資源，再提供給內部AP團隊使用。這是Levi’s集團成功上雲的第一個關鍵。</p> <p>第二個關鍵是雲端架構標準化。Levi’s集團IT訂定了許多不同雲端環境配置的藍圖，可供AP團隊選用，而不用自己設計，也提供了大量自動化腳本程式的範本，讓不同AP團隊都有同樣的雲端資源利用方式。</p> <p>雲端成本控管是第三個成功上雲關鍵，Levi’s集團從上雲的第一天就開始擁抱FinOps（雲端維運財務管理），Levi’s集團上雲之前就非常擔心，每個月會收到驚人的帳單，所以，花了不少時間投入FinOps的導入，來提供公雲成本的可視化和最佳化。其中一項做法就是導入內部公雲成本計價制度。</p> <p>過去，資料中心的成本大多由IT部門負責，凡事業務單位要求要增加備援，擴充頻寬，提高運算能力，新增的軟硬體費用，大都由IT買單。但是，上雲之後改由使用者單位來負擔成本，一項業務系統用了哪些公雲服務，花了多少錢，都會通知業務專案的負責人和付錢的使用者單位，也會讓AP團隊知道自己所用公雲資源的代價。</p> <p>每一個內部單位都要訂出每一年的公雲預算，每個月檢討用量和剩餘可用的預算。IT部門也會主動通知業務單位，告知公雲預算即將用完，需要申請追加才能繼續提供服務。</p> <p>除了上述三大關鍵之外，一開始，Levi’s集團IT只指派一位雲端工程師來負責，後來開始進行搬遷資料中心後發現，傳統的工作負載難以直接轉移搬遷上雲，必須先導入雲原生技術才更容易上雲，因此，開始將更多傳統團隊的人力，轉移到雲端團隊，訓練他們具備新的雲原生技能。另一方面，也盡可能利用現成的公雲服務，讓開發團隊可以多聚焦在自己內部的開發需求，而不是用來開發上公雲需要的機制或工具。</p> <p>還有一樣重要的上雲做法，Levi’s集團有五座資料中心，每一次搬遷時，都會進行大量的規模調整（Right-sizing），找出最適合這套應用系統的工作負載規模。</p> <p>因為過去資料中心的成本由IT團隊負責，導致有許多備用系統、冗餘的運算資源，但這些軟硬體資源，就像是蚊子館一樣，長期沒有使用而閒置。因此，每一座資料中心搬遷之前，先進行規模調整。</p> <p>除了搬遷之前先進行規模調整之外，應用系統上雲之後，還可以進行工作負載規模的優化。因為，Levi’s集團的硬體設備汰換週期是5年，但是，許多CPU經過三、四年，已經越來越跑不動新一代的應用系統，經常得部署更多顆處理器，或是更多臺伺服器才夠用。趁著搬遷上雲，除了調整工作負載的規模，Levi’s集團也會換成公雲上新款CPU的虛擬機器，來減少工作節點的數量，一樣達到規模縮小的作用。</p> <p>一開始上雲時，Levi’s集團先使用少數、熟悉的公雲服務，後來越用越多，現在從運算、虛擬化、網路、身份識別、資料庫、儲存和備份、分析、可觀察性、自動化和遷移管理等，都用了公雲業者提供的各式各樣服務，全都靠一個39人規模的雲端團隊，來負責管理。</p> <h3><span style="color:#0000FF;"><strong>Levi’s雲端架構採軸輻網路（hub-and-spoke）模式來設計，共用的核心系統放在Hub，不同的應用或系統是各自獨立雲端帳號的分支。</strong></span></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7Levis%E9%9B%B2%E7%AB%AF%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Levis.jpeg" /></p> <p>採用公雲之後，Levi’s集團的雲端基礎架構也有獨到的做法，他們採用了軸輻網路（hub-and-spoke）模式來設計。這個模式有一個中央節點，稱為Hub，另外有許多的周邊節點，稱為分支（Spoke），就像是以前的馬車輪子，有一個車軸，搭配許多輻射狀的輔助分支一樣。</p> <p>因為Levi’s集團業務遍佈全球120國，他們將所有服務搬上公雲時候，採取了零信任架構的設計來確保安全，並且將共用的核心服務和關鍵資源，集中到中央節點的Hub區中，各個不同的應用系統或服務有自己的公雲訂閱帳戶，各自屬於一個個獨立的分支（Spoke），Levi’s集團會限制不同分支之間的橫向流量，不同分支（雲端訂閱帳戶）的AP，預設不能互相溝通，除非獲得授權，來降低風險。所有數據會儲存在靠近顧客的公雲資料中心內，在2021到2026年之間，地端資料中心還沒完全關閉之前，會用ExpressRoute 和 SD-WAN 建立地端機房與公雲業者機房之間的高速網路連線。</p> <p>前面提到，第一天就擁抱FinOps是成功上雲的第三個關鍵，一開始為了盡快導入FinOps，Levi’s集團先採購現成的第三方FinOps工具，不過，一年半以後就不敷使用，Levi’s集團決定自己開發，找來一位有開發能力的FinOps 工程師，打造出自己一套FinOps工具。</p> <h3><span style="color:#0000FF;"><strong>為了讓每一個人用copilot隨時讀取雲端成本數據，Levi’s集團決定用微軟Finops工具套件和Power BI來打造自家Finops工具</strong></span></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7FinOps%E6%B5%81%E7%A8%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Levis.jpeg" /></p> <p>這個自製工具，主要利用了微軟提供的FinOps工具套件來開發。先利用Azure Data Factory的工作流程，來獲取所有的FinOps數據，如雲端用量和費用資訊，並採用FinOps規範FOCUS定義的格式，將所有的用量數據標準化。</p> <p>接著，將這些FinOps數據儲存到Azure Data Lake Storage上，方便支援微軟的數據分析Kusto查詢語言（KQL），最後，透過兩個管道，提供給使用者查詢和分析這些數據，一個是線上版Power BI服務，另一個是有一款對話式的FinOps AI代理，可以提供各種FinOps視覺化儀表板和相關報表，給財務人員、工程師和高階主管參考。</p> <p>Shawn Harris解釋，因為Levi’s集團開放所有員工使用Copilot，為了讓每一個人用copilot隨時讀取自己的雲端成本數據，而不用每個月開會才知道，才決定用微軟Finops工具套件和Power BI來打造自家工具。</p> <p>全面上公雲，帶來不少好處</p> <p>地端資料中心的應用全面搬遷上雲後，Levi’s集團IT部門可以根據業務團隊的需求，更即時地交付各種服務，來提高企業的競爭力。對IT而言，也可以有更好的成本效益控管，減少許多蚊子資源的浪費。</p> <p>尤其，上公雲後所採取的內部公雲成本計價制度，每個單位每一個月都會收到公雲成本的帳單，讓他們更嚴謹的使用這些資源，後來統計，大約因此而退役了23%的老舊系統，也節省了不少成本。</p> <p>「正因為Levi’s集團採取了由上而下的上雲策略，由高層下令各單位配合，才讓這些做法順利實施。」Shawn Harris道出了背後的另一個關鍵。</p> <p> </p> </div></div></div>
2/11 17:15作者王宏仁https://www.ithome.com.tw/news/173907
Line Pay Money上線不到3個月用戶數突破300萬，社交轉帳發威單月轉帳達70億元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Line Pay底下的電子支付服務Line Pay Money在去年12月初上線後，不到3個月的時間，Line Pay Money宣布其電支用戶數已突破300萬，Line社交通訊平臺的社交轉帳發威，更是讓Line Pay Money的單月轉帳金額達到70億，為國內電子支付市場的黑馬。</p> <p>Line Pay去年與一卡通iPASS Money結束合作，原本Line Pay中的iPASS Money功能停用，改為獨立的一卡通iPASS Money App接手，而Line Pay主推自家的電子支付服務Line Pay Money，並於去年12月3日上線，鼓勵Line Pay用戶通過實名制驗證，綁定銀行帳戶儲值，就能進行轉帳、生活繳費等功能。</p> <p>Line Pay Money提供儲值、聊天室轉帳、分攤餐費等功能，其中以社交平臺的交易支付更是受到用戶青睞，挾著Line社交通訊平臺超過2,200萬戶，以及Line Pay超過1,360萬行動支付用戶，Line Pay Money一進入國內電子支付市場快速成長，上線70小時內用戶數即突破百萬，如今不到3個月更是突破300萬。</p> <p>相較於其他電子支付，Line Pay Money的背景使其具有一定的競爭優勢，其由Line Pay團隊開發，使用方式也與Line Pay的支付碼相似，並且Line Pay Money還整合Line Point點數，例如使用電支帳戶餘額付款時，可勾選部分使用Line Point點數折抵。</p> <p>Line Pay Money電子支付服務也與Line聊天室深度整合，社交轉帳是一大優勢，在Line聊天室就可以轉帳支付或是使用群組分帳功能，除了日常的好友轉帳，在特殊節日，例如即將到來的農曆過年，Line Pay Money也鎖定包紅包的商機，瞄準與親友間的紅包轉帳需求，祭出Line Point點數回饋活動。</p> <p>當初Line Pay正式推出Line Pay Money電子支付服務，預告Line Pay介面同步更新，進一步整合Line Pay生態圈，同時也針對用戶需要，提出豐富首頁功能、讓付款入口更清楚、個人化自訂選單為調整升級的三大面向，企圖翻新用戶的使用體驗。</p> </div></div></div>
2/11 18:03作者蘇文彬https://www.ithome.com.tw/news/173911
資安院針對國內群暉NAS產品用戶示警，發現超過千臺設備存在已知漏洞未修補，如今有人公開漏洞利用方式導致風險升高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.nics.nat.gov.tw/latest_news/announcements/Latest_Announcement/6395c358-142e-4599-87a3-c863d729d38f/">國家資通安全研究院（資安院）在2月9日示警，指出臺灣有大量群暉NAS用戶仍缺乏設備安全更新的意識</a>，對於業者在一年多前公布與修補的漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-50629">CVE-2024-50629</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-50630">CVE-2024-50630</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-50631">CVE-2024-50631</a>，仍未處理因應，因此呼籲民眾與中小企業，請立即檢查群暉NAS系統版本並完成更新，避免設備成為駭客攻擊的目標。</p> <p>基本上，本次事件涉及的漏洞已於2024年陸續被研究人員發現，群暉亦在修補後於2025年3月公開揭露上述3個CVE漏洞。</p> <p>資安院之所以在此時特別發出警示，是因為近期已有資安研究人員實際驗證並公開相關漏洞的利用方式，駭客運用這些弱點的門檻明顯降低，高風險漏洞可遭串聯利用，可能對尚未修補的設備發動掃描與攻擊，因此，短期內風險態勢急遽升高。</p> <p>近期資安院也特別評估臺灣用戶曝險情形，他們觀察到，國內仍有超過一千臺相關設備尚未完成更新且暴露於網際網路上，風險持續存在。</p> <p>有哪些設備受影響？資安院指出，包括 Synology BeeStation、DiskStation 及 DSM 系統。由於這些產品廣泛應用於家庭多媒體儲存，以及中小企業、醫療與教育機構的檔案共享、資料備援及遠端存取服務，加上這類設備可能長時間連網，若未能及時更新修補，恐成駭客目標，呼籲民眾儘速處理。</p> <p>關於這項威脅情資的確認，我們也聯繫群暉，請他們提出說明。該公司表示，資安院公告的CVE皆為已在過去修正完畢的漏洞，在通知用戶方面，群暉各產品皆有專屬的發行資訊<span style="font-size: small; color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;">，同時有</span>專門的<a href="https://www.synology.com/zh-tw/security/advisory">安全性諮詢頁面</a>，會揭示已修正完畢的漏洞；另外群暉也會反覆提醒使用者務必即時更新。</p> <p>對於是否有自動更新機制來避免用戶未及時更新？群暉表示，當前的DSM系統確實有自動更新機制，但部份用戶會有各自的考量而未必都會開啟此功能。同時，基於關閉自動更新會有一定程度的安全風險，因此2025年之後發行的機型，群暉已移除了UI上關閉自動更新的選項，若使用者需關閉自動更新，必須手動在系統設定。</p> <p>群暉亦表示，他們已有追蹤到資安院此次公告，並強調資安防護有賴各方共同維護，不論是群暉、資安院，目標都在於共同提醒用戶重視安全更新，並確保設備已及時升級至修正版本。</p> <p>對於廠商公告修補漏洞後、用戶未及時更新的狀況，過去我們持續報導許多這類消息，像是Shadowserver基金會，或是多家資安情資業者經常示警，發現特定漏洞在全球各國的曝險的數量，以此呼籲用戶儘速處理因應。</p> <p>而去年底我們也報導<strong><a href="https://www.ithome.com.tw/news/172752">英國國家網路安全中心（NCSC）試辦主動通報服務</a></strong>，同樣是希望透過公開資訊與可觀察的外部行為，避免企業因未主動追蹤漏洞而暴露風險的狀況。如今我們首次看到資安院開始有這方面的行動，</p> <p>畢竟，廠商提供修補程式只是第一步，用戶端是否能落實更新，才是完成資安防禦的最後一哩路。</p> <p> </p> </div></div></div>
2/11 18:23作者羅正漢https://www.ithome.com.tw/news/173912
歐盟通過Google、Wiz收購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/da/ip_26_333" target="_blank">歐盟執委會本周無異議通過</a>Google收購雲端安全平臺Wiz一案，使這樁320億美元的收購案接近完成。</p> <p>Google是在<a href="https://www.ithome.com.tw/news/167940" target="_blank">去年初宣布</a>收購Wiz。這家業者提供雲端原生應用防護平臺，涵蓋雲端安全態勢管理（CSPM）、漏洞管理、容器與Kubernetes安全、基礎設施即程式碼掃描、雲端基礎設施權限管理（CIEM）、雲端偵測與回應服務及ÁI安全等，可協助分析公有雲及Kubernetes上的基礎架構的安全風險。</p> <p>320億美元的交易金額是本案成為Google歷來最大的收購案。Google計畫將Wiz整併到Google Cloud Platform（GCP）部門。Google表示，這樁交易讓Google得以提升企業雲端安全及促進用戶使用多雲的能力。</p> <p>歐盟執委會在今年1月初接獲官方通知並展開競爭調查。蒐集雲端安全、雲端基礎架構的客戶及競爭業者的意見以進行調查。調查結論顯示，Google即使將Wiz多雲安全平臺搭售自己現有產品，或是Wiz和其他公雲不再相容時，客戶可以轉換平臺。此外，調查也發現，Google和Wiz合併後，從Wiz取得其他雲端業者的資料亦不涉及商業機密，別家安全軟體業者也能取得。是故歐盟委員會判斷本交易不至引發競爭者疑慮，因而無異議通過。</p> <p>本案也在去年11月<a href="https://www.ithome.com.tw/news/172140" target="_blank">獲得美國司法部的核准</a>。</p> <p>Google表示，本收購案可提供企業和政府多雲安全方案的選擇。本案可望在今年內完成。</p> </div></div></div>
2/11 18:29作者林妍溱https://www.ithome.com.tw/news/173913
Ivanti行動裝置管理平臺零時差漏洞傳出攻擊事故，荷蘭、芬蘭、歐盟受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>1月29日資安暨IT管理解決方案公司Ivanti<strong><a href="https://www.ithome.com.tw/news/173694">發布資安公告</a></strong>，行動裝置管理（MDM）平臺Endpoint Manager Mobile（EPMM）存在程式碼注入漏洞，弱點編號為CVE-2026-1281與CVE-2026-1340，並透露有少部分用戶遭到漏洞利用攻擊的情況。值得留意的是，後續傳出有荷蘭政府機關、歐盟委員會，以及芬蘭政府IT服務供應商受害，有資安媒體引述專家說法，指出這是單一駭客團體鎖定特定目標的精準攻擊活動。</p> <p>相關漏洞利用事故受到關注，<strong><a href="https://www.rijksoverheid.nl/documenten/beleidsnotas/2026/02/06/tk-beslisnota-incident-bij-de-autoriteit-persoonsgegevens-en-de-raad-voor-de-rechtspraak">最早源自荷蘭政府機關向國會報告的資料</a></strong>，荷蘭國家網路安全中心（NCSC）於1月29日接獲Ivanti通報，並並確認該國的兩個單位受到影響，分別是：個人資料保護局（AP）與司法委員會（Rvdr），根據初步調查的結果，AP人員工作的相關資料，例如：姓名、電子郵件信箱，以及電話號碼，遭到未經授權存取。NCSC將持續監控Ivanti漏洞的後續發展，荷蘭政府資訊長正對中央政府進行清查，確認是否有其他部門受害。</p> <p>另一個表明受害的是<strong><a href="https://www.ithome.com.tw/news/173871">歐盟委員會</a></strong>，2月6日發布公告，表明他們的行動裝置管理平臺基礎設施在1月30日出現遭到攻擊的跡象，部分員工的姓名與手機號碼可能外流。雖然歐盟並未透露他們採用的行動裝置管理平臺廠牌，不過外界懷疑就是採用EPMM而遭到漏洞攻擊。</p> <p>除荷蘭政府與歐盟委員會，傳出芬蘭政府機構也可能受害。<strong><a href="https://valtori.fi/en/-/update-on-the-mobile-device-management-data-breach-identified-on-30-january">專門提供政府機關資通訊服務的芬蘭廠商Valtori指出</a></strong>，他們於1月30日發現行動裝置管理服務發生資料外洩，攻擊者取得用戶姓名、電子郵件信箱、電話號碼，以及裝置資訊。該公司初步估計約有2萬臺裝置曝險，根據2月5日最新調查結果，可能約有5萬名使用該國政府共享資通訊服務的用戶受到影響。而對於這起事故的根本原因，Valtori指出就是他們採用的商業軟體當中，1月29日公布的資安漏洞。該公司於當天下午套用更新，並暫時將行動裝置管理服務與網路隔離，以阻止攻擊者的行動。</p> <p>針對上述3起事故存在共通點，不僅發生的時間點相當接近，受害的都是位於歐洲的政府機關，不禁讓人聯想：可能是相同駭客組織從事的漏洞利用攻擊。<a href="https://thehackernews.com/2026/02/dutch-authorities-confirm-ivanti-zero.html">資安新聞網站The Hacker News</a>取得資安公司watchTowr執行長Benjamin Harris說法，推測攻擊者的背景資訊﹐這些事故並非駭客隨機尋找下手目標，而是由一組技術非常精良，而且資源相當充足的駭客團體從事的精準攻擊。</p> </div></div></div>
2/11 18:35作者周峻佑https://www.ithome.com.tw/news/173906
【資安日報】2月11日，微軟修補6個已被用於實際攻擊的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173893"><strong style="font-size: 22px;">微軟發布2月例行更新，修補6個已被積極利用的零時差漏洞</strong></a></p> <p>2月10日微軟發布本月例行更新（Patch Tuesday），總共修補59個漏洞，較一月的112個明顯減少。不過，這當中有6個已被積極利用的零時差漏洞，用戶需盡快採取修補或緩解的行動。</p> <p>這些漏洞分別是：Windows Shell安全功能繞過漏洞CVE-2026-21510、MSHTML框架安全功能繞過漏洞CVE-2026-21513、Word安全功能繞過漏洞CVE-2026-21514、桌面視窗管理員（Desktop Window Manager，DWM）權限提升（EoP）漏洞CVE-2026-21519、遠端桌面連線管理員（RDCMan）阻斷服務（DoS）漏洞CVE-2026-21525，以及遠端桌面服務權限提升漏洞CVE-2026-21533。這些漏洞的嚴重程度大部分被評為重要（Important，相當於高風險等級的漏洞），僅有CVE-2026-21525為中等風險。</p> <p><a href="https://www.ithome.com.tw/news/173895"><strong style="font-size: 22px;">SAP修補CRM、S/4HANA、NetWeaver重大漏洞</strong></a></p> <p>SAP於2月10日發布本月例行更新（Security Patch Day），總共修補26個資安漏洞，根據危險程度區分，重大漏洞有2個，高風險漏洞有7個，中度風險漏洞有15個，低風險漏洞有2個。而上個月揭露的一個中度風險漏洞，SAP也在今天的資安公告更新相關說明。本次修補的重大漏洞是CVE-2026-0488與CVE-2026-0509，分別影響SAP CRM與S/4HANA，以及NetWeaver Application Server ABAP與ABAP平臺。</p> <p>根據CVSS風險評分，最危險的是達到9.9分的CVE-2026-0488，此為程式碼注入漏洞，通過身分驗證的攻擊者，可在SAP CRM或S/4HANA的指令碼編輯器觸發該項弱點，透過特定通用功能模組呼叫並執行未經授權的重要功能，從而執行任意的SQL描述指令（SQL Statement）。</p> <p><a href="https://www.ithome.com.tw/news/173898"><strong style="font-size: 22px;">Moxa為交換器修補前端授權邏輯造成的資訊洩露漏洞</strong></a></p> <p>臺灣工控設備製造商四零四科技（Moxa）於2月4日發布資安公告，指出旗下的TN-A與TN-G系列的部分型號交換器存在CVE-2024-12297，此為前端授權邏輯造成的資訊洩漏弱點，CVSS v4.0風險評為9.2分（滿分10分），危害程度屬於重大等級（Critical），該公司呼籲用戶應儘速套用新版韌體因應。我們也向四零四科技進一步詢問，該公司表示，目前尚未收到漏洞被利用的訊息。</p> <p>對於漏洞影響的範圍，他們指出TN-4500A與TN-5500A系列的交換器，若是搭配4.1版之前的韌體，就有可能受到影響；TN-G4500與TN-G6500系列交換器，只要採用5.5版之前的韌體，也會存在這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/173900"><strong style="font-size: 22px;">華碩公告商用電腦管理工具Business Manager資安漏洞，呼籲用戶儘速更新</strong></a></p> <p>華碩在2月2日發布資安公告，指出他們提供的商用電腦管理工具Asus Business Manager存在資安弱點CVE-2025-13348，此漏洞源於Secure Delete Driver的存取控制不當，若是遭到利用，攻擊者可在本機繞過安全限制，影響系統完整性，該公司提及，他們在新版當中棄用並完全移除檔案碎紙機（File Shredder）功能來緩解弱點，呼籲用戶儘速套用更新因應。我們也向華碩聯繫，該公司表示此漏洞僅影響商用電腦，其餘消費性電腦不受影響，目前尚未發現或接獲漏洞遭到利用的情形。</p> <p>華碩揭露的這項弱點，若不修補會產生那些危機？他們表示，攻擊者可在本機發送特製的請求，於特定路徑產生任意檔案，CVSS v4.0風險評為8.5分，為高風險等級。華碩呼籲用戶應更新至3.0.37.0以上版本因應。</p> <p><a href="https://www.ithome.com.tw/news/173875"><strong style="font-size: 22px;">群暉修補旗下NAS產品telnetd重大漏洞，呼籲盡速更新避免遭攻擊者取得Root權限</strong></a></p> <p>國產NAS主要廠商之一的群暉（Synology），於1月29日發布旗下NAS 產品DSM作業系統更新，修補一項與telnetd服務相關的重大安全漏洞。</p> <p>根據群暉公告，此次釋出的DSM 7.3.2-86009 Update 1更新版本，修正了一項與 telnetd相關的安全漏洞CVE-2026-24061，但未進一步說明漏洞細節。不過，依據我們稍早報導，CVE-2026-24061為源自Linux平臺常用網路工具套件GNU Inetutils的telnetd服務重大漏洞，CVSS風險評分高達9.8。</p> <p><a href="https://www.ithome.com.tw/news/173717"><strong style="font-size: 22px;">PHPUnit爆高風險漏洞CVE-2026-24765，CI/CD測試流程恐成RCE攻擊入口</strong></a></p> <p>開源PHP單元測試框架PHPUnit存在高風險資安漏洞CVE-2026-24765，CVSS風險分數為7.8分，屬於高風險等級（High）。在特定條件下，若於啟用測試覆蓋率的PHPT測試執行情境中，攻擊者能事先寫入惡意測試覆蓋率資料，便可觸發不安全反序列化，進而執行任意程式碼。</p> <p>PHPUnit維護團隊於1月27日發布安全公告，說明CVE-2026-24765漏洞成因出在PHPUnit於PHPT測試執行過程中，用於清理測試覆蓋率資料的cleanupForCoverage()邏輯。該流程會讀取並反序列化.coverage相關資料檔案，但未對其內容進行完整驗證，導致攻擊者只要能事先在系統中植入惡意序列化物件，就有機會在測試流程執行期間，觸發任意程式碼執行（RCE）。</p> <p><a href="https://www.ithome.com.tw/news/173902"><strong style="font-size: 22px;">北韓駭客UNC1069鎖定加密貨幣產業而來，透過AI社交工程散布後門與竊資軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/unc1069-crypto-ai-fig3a_max-1700x1700.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc1069-crypto-ai-fig3a_max-1700x1700.png" style="width: 300px; float: right;" /></a></p> <p>Google威脅情報團隊（GTIG）與資安公司Mandiant著手調查由北韓駭客組織UNC1069發起的攻擊，駭客鎖定加密貨幣及去中心化金融（DeFi）領域的金融科技公司，並且利用已遭外流的Telegram帳號、虛構的Zoom視訊會議、ClickFix網釣手法，以及使用AI生成的影片，進行社交工程攻擊，趁機掌握得以入侵這些企業內部環境的管道，得逞後駭客部署7種惡意軟體，其中包含搜刮及竊取受害者資料的工具，它們是：SilenceLift、DeepBreath，以及ChromePush。GTIG與Mandiant指出，他們發現UNC1069運用AI的方式出現變化，從單純想要藉此提升生產力，轉為在實際攻擊運用AI產生誘餌。</p> <p><a href="https://www.ithome.com.tw/news/173882"><strong style="font-size: 22px;">舊版鑑識軟體元件遭濫用，駭客以此打造能癱瘓EDR運作的工具，從事勒索軟體攻擊活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_40fbaa0b46f946998c4e18e8d2424790.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_40fbaa0b46f946998c4e18e8d2424790.png" style="width: 300px; float: right;" /></a></p> <p>威脅情報公司Huntress針對一起在2月上旬發生的資安事故進行回應，駭客利用外流的SSL VPN憑證存取SonicWall設備，取得受害組織的初期存取管道，得逞後便部署名為EDR殺手（EDR Killer）的工具，癱瘓防毒軟體與EDR的運作，其中利用Guidance Software（現已被OpenText併購）的數位鑑識軟體EnCase的元件來達到目的，企圖發動勒索軟體攻擊，但並未成功。</p> <p>這起事故引起Huntress關注的原因，在於駭客濫用的EnCase核心驅動程式元件EnPortv.sys，儘管該元件具備合法憑證，不過憑證早在2010年就到期，現在已被撤銷。然而，實際上Windows作業系統仍舊會將此憑證正常載入，Huntress指出，問題出在驅動程式簽章強制驗證機制（Driver Signature Enforcement，DSE）的弱點，使得攻擊者有機可乘。</p> <p><a href="https://www.ithome.com.tw/news/173887"><strong style="font-size: 22px;">針對國人及公務員年節赴中旅遊，資安署警告手機使用的7大資安風險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/擷取1(3).JPG" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961(3).JPG" style="width: 300px; float: right;" /></a></p> <p>農曆年節將近，不少人可能選擇出國渡假，數發部資安署針對國人赴中國旅遊或差勤發布警訊，提訊民眾在中國使用手機應避免7大資安風險，避免資料外洩。國人在假期間規畫出國旅遊，境外連網環境通常有較高的資料被竊或遭到監控的風險，特別是中國以《網路安全法》、《國家安全法》、《數據安全法》、《反間諜法》等法規，對網路通訊實施高強度監控，為高度資安風險地區，提醒國人赴中使用手機應具備資安防護意識，而公務人員應具有更高的資安防護意識，避免公務資料外洩。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-7-zip-site-distributes-installer-laced-with-proxy-tool/">駭客假借提供壓縮軟體7-Zip，企圖將使用者電腦變成固定代理伺服器節點</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-linux-botnet-sshstalker-uses-old-school-irc-for-c2-comms/">為掩人耳目，Linux殭屍網路SSHStalker利用老舊通訊協定IRC進行通訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/02/reynolds-ransomware-embeds-byovd-driver.html">勒索軟體Reynolds內建存在弱點的驅動程式元件，利用自帶驅動程式手法癱瘓EDR系統</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-breach-smartertools-network-using-flaw-in-its-own-software/">郵件伺服器平臺SmarterMail開發商驚傳遭駭，中國駭客Storm-2603植入勒索軟體Warlock</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/02/bloody-wolf-targets-uzbekistan-russia.html">烏茲別克與俄羅斯遭駭客組織Bloody Wolf鎖定，駭客透過NetSupport RAT從事網釣</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173884"><strong>【2月10日】網路間諜活動Shadow Campaigns肆虐，臺灣傳出有電力設備供應商遭駭</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173855"><strong>【2月9日】AI社群平臺Moltbook配置不當，攻擊者恐冒名AI代理寫入資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173824"><strong>【2月6日】中國駭客假借提供LINE安裝程式散布惡意軟體ValleyRAT</strong></a></p> </div></div></div>
2/11 18:36作者周峻佑https://www.ithome.com.tw/news/173908
OpenClaw預設值釀災，全球逾4萬AI代理系統曝露攻擊風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://securityscorecard.com/blog/beyond-the-hype-moltbots-real-risk-is-exposed-infrastructure-not-ai-superintelligence/" target="_blank">資安研究團隊STRIKE周一（2/9）指出</a>，全球至少82個國家存在約4.29萬個直接曝露在網際網路上的OpenClaw代理型AI實例，其中約1.52萬個存在遠端程式碼攻擊漏洞，占整體曝露部署的三分之一以上，代表它們可直接被駭客接管。</p> <p>OpenClaw原名<a href="https://www.ithome.com.tw/news/173578" target="_blank">Clawdbot</a>，曾短暫更名為Moltbot，再於今年1月29日重新命名為OpenClaw，是一套讓AI能長時間運作、主動執行任務並串接外部服務的代理型AI系統。</p> <p>STRIKE團隊指出，OpenClaw的安全危機源於預設設定。軟體預設綁定到「0.0.0.0:18789」，意思是允許任何人從網路連線進來。安全做法應設為「127.0.0.1:18789」，代表只有本機能使用。但OpenClaw選擇了「0.0.0.0:18789」，等於大門對外敞開。只要知道IP位址，駭客就能遠端連進控制面板。大多數使用者不懂技術，安裝後不會改設定，導致全球超過4萬臺電腦同時曝露。</p> <p>為了實現高度自動化，OpenClaw通常被賦予模型API金鑰、通訊平臺Token、Webhook密鑰，甚至系統或雲端存取權限，等同於替使用者或組織建立一個可代表其行動的「數位代理人」。</p> <p>因此，一旦這些OpenClaw實例遭駭客入侵，影響不僅是單一系統被控制，而是可能透過代理人既有的整合關係，進一步存取其他服務或系統。駭客將可利用被接管的代理人執行指令、存取檔案，或對外發動行為，且這些操作看起來往往像是合法使用者所為，增加追查與偵測難度。</p> <p>研究也強調，代理型AI具備長時間運作與自動化特性，使攻擊不再是一次性入侵，而可能轉為持續濫用。被入侵的OpenClaw實例可被用作長期攻擊節點，反覆執行惡意任務，放大實際衝擊。</p> <p>值得注意的是，<a href="https://github.com/openclaw/openclaw/releases#:~:text=Compare-,openclaw%202026.1.29,Status%3A%20stable.,-Changes" target="_blank">1月29日正式出爐的OpenClaw</a>修補了3個重大安全漏洞，分別是遠端程式碼執行漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-25253" target="_blank">CVE-2026-25253</a>，SSH指令注入漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-25157" target="_blank">CVE-2026-25157</a>，以及Docker沙箱逃逸漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-24763" target="_blank">CVE-2026-24763</a>，但根據STRIKE團隊的掃瞄，在這些曝露的實例中，只有約莫22%採用OpenClaw名稱，其它則為Clawdbot或Moltbot，代表絕大多數位於公開網路上的實例皆仍含有相關漏洞。</p> </div></div></div>
2/11 18:54作者陳曉莉https://www.ithome.com.tw/news/173915
JavaScript HTTP用戶端程式庫Axios存在高風險DoS漏洞，攻擊者可癱瘓伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>常用JavaScript HTTP用戶端程式庫Axios被揭露存在拒絕服務（DoS）漏洞CVE-2026-25639。漏洞成因是Axios在合併請求設定時，當遇到包含__proto__且被視為自有屬性的設定物件，程式會丟出TypeError並直接崩潰，進而讓服務中斷。</p> <p>根據<a href="https://github.com/advisories/GHSA-43fc-jf86-j433">GitHub資安通報</a>的描述，問題集中在Axios的mergeConfig函式，其在合併請求設定時，會依照每個欄位名稱到一份合併規則表找對應的處理函式。當外部輸入的設定物件含有__proto__且該欄位是自有屬性時，程式查表會意外取得Object.prototype上的同名屬性，接著將其當成函式呼叫，因而拋出TypeError並使程序崩潰。因此要是Axios用於後端服務且錯誤未被攔截，便可能導致服務停止回應。</p> <p>該漏洞風險取決於應用程式使用Axios的方法，GitHub資安通報提到較典型的受害情境是後端服務接收外部輸入後，以JSON.parse將內容轉成物件，接著把該物件直接當作Axios請求設定傳入。當攻擊者能影響這段設定物件的內容時，就可能透過特製的__proto__欄位觸發崩潰。也就是說，不是所有使用Axios的服務皆暴露在同等風險下。</p> <p>受影響範圍為axios 1.13.4以前版本，已於1.13.5修補。GitHub評估CVSS v3.1基準分數7.5為高風險，主要影響可用性。該攻擊複雜度相對較低，不需權限也不需使用者互動，對可用性衝擊較高，至於機密性與完整性則未受影響。</p> <p>GitHub資安通報同時提醒，該問題不屬於原型污染。原因在於程式在完成任何賦值或狀態改變之前就先崩潰，攻擊效果以讓服務停止回應為主，而不是在物件原型上植入持久的惡意屬性。</p> <p>開發者需更新套件，將Axios升級到1.13.5，以套用上游修補。另外也要回頭檢視程式流程，確認是否存在把外部輸入直接作為Axios設定的做法，特別是由請求內容或表單資料轉成JSON後，未經約束就交給HTTP請求層使用的情況。</p> </div></div></div>
2/11 17:23作者李建興https://www.ithome.com.tw/news/173901
舊版鑑識軟體元件遭濫用，駭客以此打造能癱瘓EDR運作的工具，從事勒索軟體攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了避免攻擊流程遭到端點防護工具阻斷，駭客通常會試圖讓防毒軟體與EDR系統無法正常運作，其中一種最常見的作法，就是利用存在資安漏洞的驅動程式，進行自帶驅動程式（BYOVD）攻擊。最近有一起資安事故引起資安公司的關注，原因是駭客利用了資安鑑識工具的元件來突破防線。</p> <p>威脅情報公司Huntress<strong><a href="https://www.huntress.com/blog/encase-byovd-edr-killer">針對一起在2月上旬發生的資安事故進行回應</a></strong>，駭客利用外流的SSL VPN憑證存取SonicWall設備，取得受害組織的初期存取管道，得逞後便部署名為EDR殺手（EDR Killer）的工具，癱瘓防毒軟體與EDR的運作，其中利用Guidance Software（現已被OpenText併購）的數位鑑識軟體EnCase的元件來達到目的，企圖發動勒索軟體攻擊，但並未成功。</p> <p><a href="https://s4.itho.me/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_40fbaa0b46f946998c4e18e8d2424790.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_40fbaa0b46f946998c4e18e8d2424790.png" style="width: 580px;" /></a></p> <p>這起事故引起Huntress關注的原因，在於駭客濫用的EnCase核心驅動程式元件EnPortv.sys，儘管該元件具備合法憑證，不過憑證早在2010年就到期，現在已被撤銷。然而，實際上Windows作業系統仍舊會將此憑證正常載入，Huntress指出，問題出在驅動程式簽章強制驗證機制（Driver Signature Enforcement，DSE）的弱點，使得攻擊者有機可乘。</p> <p>針對駭客本次使用的EDR殺手，此為64位元的二進位檔案，他們將其偽裝成韌體更新工具，可識別59種資安防護工具的處理程序，一旦發現，就在作業系統核心層級直接終止資安工具的運作，從而達到停用防毒軟體及EDR的目的。</p> <p>究竟駭客濫用的DSE問題是什麼？基本上，DSE是從2007年推出的Windows Vista引入的功能，此機制要求所有核心模式的驅動程式，必須具備由受信任的憑證授權機構簽章，目的是防止遭到竄改的驅動程式載入系統核心。每當驅動程式載入，Windows會驗證數位簽章的有效性，然而問題就在驗證的過程，基於效能考量等因素，電腦並非直接比對憑證註銷名單（Certificate Revocation Lists，CRL），而是檢查簽章是否由受信任的機構簽署，這種方式無法確認憑證遭到註銷的情況，而駭客正是針對這樣的問題，利用早就註銷的EnCase驅動程式達到目的。</p> <p>另一方面，雖然微軟後續導入其他防護機制，但為了向下相容，還是提供例外措施進行配套，使得駭客本次利用憑證已到期的簽章，仍能被作業系統載入與濫用。其中一個是微軟在Windows 10 1607版導入的新措施，要求所有的驅動程式通過Hardware Dev Center簽署，不過，在2015年7月29日前簽章的驅動程式不受此限。</p> <p>究竟EDR殺手載入EnCase驅動程式之後會發生什麼事情？該驅動程式將曝露IOCTL介面，使得任何以使用者模式執行的處理程序，都能直接透過核心模式終止其運作，這麼做將繞過所有使用者模式的防護機制，其中一個就是Protected Process Light（PPL），Windows通常用來保護重要系統處理程序與EDR代理程式。</p> <p>值得留意的是，這次駭客只有拿來終止EDR處理程序，不過Huntress指出，EnCase驅動程式具備超過18種功能函式，這些功能原本提供資安專家鑑識所需證據，若是遭到利用，影響將會更加嚴重。這些功能包括：核心模式檔案刪除、DKOM處理程序隱藏、存取記憶體內容等。</p> </div></div></div>
2/11 17:31作者周峻佑https://www.ithome.com.tw/news/173882
SAP修補CRM、S/4HANA、NetWeaver重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>SAP於2月10日發布本月例行更新（Security Patch Day），<strong><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/february-2026.html">總共修補26個資安漏洞</a></strong>，根據危險程度區分，重大漏洞有2個，高風險漏洞有7個，中度風險漏洞有15個，低風險漏洞有2個。而上個月揭露的一個中度風險漏洞，SAP也在今天的資安公告更新相關說明。</p> <p>本次修補的重大漏洞是<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-0488">CVE-2026-0488</a></strong>與<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-0509">CVE-2026-0509</a></strong>，分別影響SAP CRM與S/4HANA，以及NetWeaver Application Server ABAP與ABAP平臺。</p> <p>根據CVSS風險評分，最危險的是達到9.9分的CVE-2026-0488，此為程式碼注入漏洞，通過身分驗證的攻擊者，可在SAP CRM或S/4HANA的指令碼編輯器觸發該項弱點，透過特定通用功能模組呼叫並執行未經授權的重要功能，從而執行任意的SQL描述指令（SQL Statement）。長期觀察與參與SAP應用系統漏洞修補的資安公司Onapsis<strong><a href="https://onapsis.com/blog/sap-security-notes-february-2026-patch-day/">進一步說明</a></strong>，若成功利用漏洞，將導致資料庫完全被滲透，對此，SAP在受影響的通用功能模組呼叫機制裡，加入允許名單檢查流程，作為因應措施。若IT人員無法及時套用更新，應暫時停用受影響的ICF服務。</p> <p>另一個重大漏洞CVE-2026-0509，起因為缺乏授權檢查，取得低權限的攻擊者在特定情況下，無需S_RFC授權即可執行背景遠端功能呼叫，CVSS風險值為9.6。Onapsis提及，若要修補此漏洞，IT人員必須實作核心升級，並設置一組個人設定（Profile）參數，為了避免造成業務流程中斷，可能需要調整使用者角色與通用通訊框架（Unified Connectivity Framework，UCON）的組態。</p> </div></div></div>
2/11 17:33作者周峻佑https://www.ithome.com.tw/news/173895
Moxa為交換器修補前端授權邏輯造成的資訊洩露漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣工控設備製造商四零四科技（Moxa）於2月4日<strong><a href="https://www.moxa.com/en/support/product-support/security-advisory/mpsa-241409-cve-2024-12297-frontend-authorization-logic-disclosure-vulnerability-in-ethernet-switches">發布資安公告</a></strong>，指出旗下的TN-A與TN-G系列的部分型號交換器存在CVE-2024-12297，此為前端授權邏輯造成的資訊洩漏弱點，CVSS v4.0風險評為9.2分（滿分10分），危害程度屬於重大等級（Critical），該公司呼籲用戶應儘速套用新版韌體因應。我們也向四零四科技進一步詢問，該公司表示，目前尚未收到漏洞被利用的訊息。</p> <p>針對這項漏洞，四零四科技表示起因是交換器的授權機制存在缺陷，有可能被繞過身分驗證流程。他們提及即便用戶端與後端有相關驗證機制，攻擊者還是有機會透過暴力破解手法猜出有效憑證，或是利用MD5雜湊值碰撞攻擊手法，偽造身分驗證所需的雜湊值，進而危及交換器的安全。</p> <p>對於漏洞影響的範圍，他們指出TN-4500A與TN-5500A系列的交換器，若是搭配4.1版之前的韌體，就有可能受到影響；TN-G4500與TN-G6500系列交換器，只要採用5.5版之前的韌體，也會存在這項弱點。</p> <p>值得留意的是，四零四科技去年曾為另一個產品線修補這個漏洞，去年3月，<strong><a href="https://www.ithome.com.tw/news/167831">他們指出PT系列交換器存在CVE-2024-12297</a></strong>，並表示攻擊者可能在未經授權的情況下，得以存取敏感組態資訊，或是造成服務中斷。</p> </div></div></div>
2/11 15:55作者周峻佑https://www.ithome.com.tw/news/173898
華碩公告商用電腦管理工具Business Manager資安漏洞，呼籲用戶儘速更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>華碩在2月2日發布<strong><a href="https://www.asus.com/security-advisory/">資安公告</a></strong>，指出他們提供的商用電腦管理工具Asus Business Manager存在資安弱點<strong><a href="https://www.cve.org/CVERecord?id=CVE-2025-13348">CVE-2025-13348</a></strong>，此漏洞源於Secure Delete Driver的存取控制不當，若是遭到利用，攻擊者可在本機繞過安全限制，影響系統完整性，該公司提及，他們在新版當中棄用並完全移除檔案碎紙機（File Shredder）功能來緩解弱點，呼籲用戶儘速套用更新因應。我們也向華碩聯繫，該公司表示此漏洞僅影響商用電腦，其餘消費性電腦不受影響，目前尚未發現或接獲漏洞遭到利用的情形。</p> <p>Asus Business Manager是華碩推出的商務電腦整合管理工具，專為中小企業打造，目的是簡化IT管理。此管理工具提供系統監控、資安更新管理、資源控管，以及備份與還原的功能。</p> <p>華碩揭露的這項弱點，若不修補會產生那些危機？他們表示，攻擊者可在本機發送特製的請求，於特定路徑產生任意檔案，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-13348">CVSS v4.0風險評為8.5分</a></strong>，為高風險等級。華碩呼籲用戶應更新至3.0.37.0以上版本因應。用戶可透過公用程式MyAsus升級，或是從華碩的<strong><a href="https://www.asus.com/tw/support/faq/1042634/#%E2%80%9D%E7%A1%AC%E9%AB%94%E8%88%87%E8%BB%9F%E9%AB%94%E9%9C%80%E6%B1%82%E5%8F%8A%E8%A1%8C%E5%8B%95%E8%A3%9D%E7%BD%AEApp%E4%B8%8B%E8%BC%89%E2%80%9D">客戶支援網站</a></strong>下載最新版本安裝檔，手動更新來緩解弱點。</p> </div></div></div>
2/11 16:07作者周峻佑https://www.ithome.com.tw/news/173900
北韓駭客UNC1069鎖定加密貨幣產業而來，透過AI社交工程散布後門與竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客濫用AI生成惡意程式或作案工具的情況越來越常見，而在今年，國家級駭客加入利用AI行列的消息不時傳出，例如，資安公司Check Point揭露<strong><a href="https://www.ithome.com.tw/news/173596">北韓駭客組織Konni最新一波活動</a></strong>，駭客散播以AI生成的PowerShell後門程式，現在傳出有其他北韓駭客跟進，利用AI協助發動社交工程攻擊。</p> <p>Google威脅情報團隊（GTIG）與資安公司Mandiant著手調查<strong><a href="https://cloud.google.com/blog/topics/threat-intelligence/unc1069-targets-cryptocurrency-ai-social-engineering">由北韓駭客組織UNC1069發起的攻擊</a></strong>，駭客鎖定加密貨幣及去中心化金融（DeFi）領域的金融科技公司，並且利用已遭外流的Telegram帳號、虛構的Zoom視訊會議、ClickFix網釣手法，以及使用AI生成的影片，進行社交工程攻擊，趁機掌握得以入侵這些企業內部環境的管道，得逞後駭客部署7種惡意軟體，其中包含搜刮及竊取受害者資料的工具，它們是：SilenceLift、DeepBreath，以及ChromePush。GTIG與Mandiant指出，他們發現UNC1069運用AI的方式出現變化，從單純想要藉此提升生產力，轉為在實際攻擊運用AI產生誘餌。</p> <p>關於UNC1069的來歷，Mandiant表示，這群犯罪者是以財務利益為動機的駭客組織，自2018年起便在全球金融與加密貨幣產業從事相關攻擊活動。該組織與已知的北韓APT駭客有高度關聯，其攻擊手法的特徵在於，擅長透過目標式釣魚手法與社交工程接觸受害組織。不過，有鑑於這起攻擊行動駭客運用多款新的惡意軟體，研究人員認為該組織的能力已大幅擴充。</p> <p>深入分析駭客發動攻擊的過程後，Google指出，UNC1069先入侵加密貨幣公司的高階主管Telegram帳號，然後與受害者互動並建立關係，發送Calendly會議邀請連結，引誘受害者加入，然而，該會議建置於駭客控制的基礎設施zoom[.]uswe05[.]us。</p> <p>接著，受害者看到疑似另一家加密貨幣公司執行長的影片，該影片疑似透過深偽（Deepfake）產生。一旦進入會議，駭客的網站就會產生錯誤訊息，使受害者誤以為聲音的訊號出現異常，但實際上，攻擊者藉此從事ClickFix網釣，聲稱使用者必須依照指示，複製貼上適用於Windows或macOS作業系統的故障排除指令，若是照做，就會啟動後續的感染鏈。</p> <p><a href="https://s4.itho.me/sites/default/files/images/unc1069-crypto-ai-fig3a_max-1700x1700.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc1069-crypto-ai-fig3a_max-1700x1700.png" style="width: 580px;" /></a></p> <p>該公司針對受害的Mac電腦著手調查，受害者在輸入並執行「故障排除」指令後，電腦就會執行AppleScript有效酬載，並於系統裡植入惡意的Mach-O二進位檔案。第1個駭客部署的惡意軟體，是名為WaveShaper的後門程式，其用途是部署惡意程式下載工具HyperCall。</p> <p>然後，攻擊者可能透過HyperCall從事3種行為，其中一個是執行名為HiddenCall的後門元件，提供攻擊者手動存取受害電腦的管道；另一種是下載第2個惡意程式下載工具，Mandiant命名為SugarLoader；最後一種是下載作為立足點的後門程式SilenceLift，並將受害電腦的系統資訊回傳至C2主機。</p> <p>對於駭客挖掘受害電腦資料的工具，主要分成兩種，分別被稱為DeepBreath與ChromePush。DeepBreath以程式語言Swift開發而成，攻擊者通常透過HiddenCall部署，藉此操縱macOS作業系統的透明度、同意與控制（TCC）資料庫，取得廣泛的檔案系統存取權限，竊取鑰匙圈（Keychain）存放的憑證、瀏覽器（Chrome、Brave、Edge）資料、加密通訊軟體Telegram資料，以及macOS內建筆記工具Apple Notes的內容，隨後打包成ZIP檔，並透過curl命令列工具將檔案外傳至遠端伺服器。</p> <p>另一款竊取資料的工具ChromePush，則是以C++編寫而成，駭客先後運用HyperCall與SugarLoader進行部署，此惡意程式冒充Google文件離線編輯的瀏覽器延伸套件，並在Chrome與Brave當中植入。除竊取資料的能力，ChromePush具備側錄鍵盤輸入內容，監控使用者輸入帳密資料，以及擷取Cookie的功能。</p> </div></div></div>
2/11 16:51作者周峻佑https://www.ithome.com.tw/news/173902
Canon商用複合機導入OLED提升列印解析度，並具維運機制AI預測
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/canon_imageforce_c5100_960x420-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年Canon在臺新推imageFORCE系列複合機，強調<a href="https://www.ithome.com.tw/news/173869">設備資安上的重要進展之餘</a>，同時揭露自家產品在列印技術、維修機制，以及ESG節能方面，亦有重要突破。</p> <p>本次發表共有7款新機，包括4款A3商用彩色複合機imageFORCE C5100彩色系列，涵蓋C5170 / C5160 / C5150 / C5140，以及3款A3商用黑白複合機imageFORCE 6100黑白高速系列，涵蓋6170 / 6160 / 6155。依照印速規格與擴充能力而有所不同，至於A4機型目前暫未引進臺灣。</p> <p>新款機型有何特色？列印技術升級是一大賣點，imageFORCE採用「D² Square Exposure」曝光技術，其最大特色是改以OLED作為光源，藉由精準錯開發光晶粒的位置，再讓發光時機與感光滾筒的旋轉同步，做到多層次曝光，讓列印解析度最高4,800×2,400 dpi的精細輸出，使色彩套印比傳統雷射列印機種更為精準。</p> <p>以imageFORCE這次的4,800 × 2,400 dpi列印解析度而言，這樣的提升幅度有多大？若與6年前imageRUNNER ADVANCE DX機種相比，當時標示列印解析度為1,200 × 1,200 dpi，新機提升幅度是相當顯著。</p> <p>若與市面上其他同為雷射列印產品相比，另一家事務機廠商Ricoh在前幾年已有機種標示列印方面的VCSEL解析度為2,400 x 4,800 dpi、RIP解析度為1,200 x 1,200 dpi，儘管各家定義不同，從此次Canon在列印解析度規格的大幅提升，也反映各家持續提升雷射列印細節表現的趨勢。</p> <p>另外值得一提的是，在色彩層次與相片表現上，雷射列印品質普遍仍難與噴墨相提並論。例如，Canon亦推出多款噴墨機種，以高階PIXMA iX6770而言，該產品標示的最高列印解析度為9,600 x 2,400 dpi。此外，市面上的大圖輸出設備，不僅列印尺寸更大，高階機種甚至可提供11色墨水，以擴展色域與提升色彩層次，相較一般以4色CMYK碳粉為主的雷射列印機種，在影像表現上仍具一定優勢。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）Canon複合機D²曝光_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Canon%E8%A4%87%E5%90%88%E6%A9%9FD%C2%B2%E6%9B%9D%E5%85%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/l-pjrBZC7kU?si=EMBHc31qRAW3WZO-" title="YouTube video player" width="560px"></iframe></div> <p>設備維修方面亦有重要升級。過去各家商用列印設備領域，中高階產品已普遍導入碳粉監控機制，可在耗材即將用盡前發出警示，並透過管理平臺通知IT或服務人員提前安排更換；近來則有愈來愈多業者開始強調運用AI預警設備零件故障，Canon亦是其中之一。</p> <p>在imageFORCE系列中，這次新導入了AI預測性維護機制「E² Analysis」來提升服務。Canon指出，設備本身配備邊緣IC與智慧感測器，並採用「機器學習」演算法進行訓練，可啟動預測性維護，提前預判馬達、風扇、感應器與各種內部元件的故障，減少停機時間，確保設備的正常運行，並能提升整體服務效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）Canon_AI叫修_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89Canon_AI%E5%8F%AB%E4%BF%AE_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）Canon複合機E² Analysis_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Canon%E8%A4%87%E5%90%88%E6%A9%9FE%C2%B2%20Analysis_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>關於ESG方面的進展，這些年來，各家列印設備業者都持續主打這項議題，Canon也不例外。</p> <p>這次imageFORCE系列發表新強調的是，在機身結構上大量採用再生塑料，降低對原生資源的依賴，產品包裝亦有變化，全面改用更輕量的紙板包裝，拒絕使用保麗龍材質。</p> <p>在列印技術節能與降低耗材方面，新一代機種在節電模式比先前機種更省電，Canon指出這可使整體用電量最高可節省達35%，並可搭配ESG儀表板與環境績效監控工具，供企業即時掌握列印行為、能源使用與節能成效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）Canon_ESG_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Canon_ESG_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p> </p> <p><span style="color: rgb(0, 128, 128);"><strong>產品資訊</strong></span></p> <p><span style="color: rgb(0, 0, 255);">Canon imageFORCE C5100彩色系列（C5170 / C5160 / C5150 / C5140）<br /> Canon imageFORCE 6100黑白高速系列（6170 / 6160 / 6155）</span><br /> ●原廠：Canon<br /> ●建議售價：廠商未提供<br /> ●操作面版：10.1" TFT LCD WSVGA彩色觸控面版<br /> ●記憶體：6 GB<br /> ●儲存空間：256 GB SSD（可選購１TB SSD）<br /> ●列印解析度：4,800 x 2,400 dpi<br /> ●彩色機型列印速度：<br /> C5170的A3列印為36PPM、A4列印為70PPM<br /> C5160的A3列印為32PPM、A4列印為60PPM<br /> C5150的A3列印為27PPM、A4列印為50PPM<br /> C5140的A3列印為20PPM、A4列印為40PPM<br /> ●黑白機型列印速度：<br /> 6170的A3列印為36PPM、A4列印為70PPM<br /> 6160的A3列印為32PPM、A4列印為60PPM<br /> 6165的A3列印為29PPM、A4列印為55PPM</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2/11 14:18作者羅正漢https://www.ithome.com.tw/review/173885
外包商Conduent系統被駭導致Volvo集團1.7萬北美員工資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>汽車大廠<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/5f8e9d3f-dfdb-4be0-8826-d7fe9d27a328.html" target="_blank">Volvo集團本周通知</a>美國政府一樁發生於一年多前的資料外洩事件，該公司外包商Conduent被駭，使該公司北美分公司將近1.7萬名員工資料遭竊取。</p> <p>這家汽車大廠向美國緬因州檢察長辦公室報告，公司接到業務流程委外（Business Process Outsourcing，BPO）業者Conduent業務服務部門的通知而得知此事。Conduent於2025年1月13日發現部分網路發生資安事故。在排除事件並展開調查後，他們發現2024年10月21日到2025年1月13日，一個未授權人士或程式存取公司網路環境，並導致客戶現任及前員工健康保險方案相關資訊被竊。遭竊取員工資訊包含姓名等資料。</p> <p>根據Volvo的通報，這起事件影響16991名北美分公司員工。</p> <p>Conduent為許多大型企業及政府部門客戶提供列印/郵件服務、檔案處理、支付安全等後臺支援服務。去年10月這家外包商<a href="https://www.ithome.com.tw/news/171988" target="_blank">通報資料外洩事件</a>，外洩資料類型涵括客戶姓名、社會安全號、出生日期、健康保險資料或身分證號碼、以及醫療資訊等。受害者遍及美國多個州，其中奧勒岡州有1050萬客戶受影響，德州有400萬人。<a href="https://www.foxbusiness.com/technology/data-breach-exposes-personal-data-25m-americans" target="_blank">Fox Business報導</a>，實際受影響者可能高達2500萬人，超出一開始估計的數字，使該事件成為去年最大的資料外洩案之一。</p> <p><a href="https://www.hipaajournal.com/conduent-business-solutions-data-breach/" target="_blank">媒體報導</a>，去年2月勒索軟體SafePay宣稱Conduent事件為其所為。歹徒稱竊取了這家BPO業者8.5TB的資料。</p> </div></div></div>
2/11 13:33作者林妍溱https://www.ithome.com.tw/news/173899
微軟發布2月例行更新，修補6個已被積極利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2月10日微軟發布本月例行更新（Patch Tuesday），<strong><a href="https://msrc.microsoft.com/update-guide/releaseNote/2026-Feb">總共修補59個漏洞</a></strong>，較<strong><a href="https://www.ithome.com.tw/news/173342">一月的112個</a></strong>明顯減少。不過，這當中有6個已被積極利用的零時差漏洞，用戶需盡快採取修補或緩解的行動。</p> <p>這些漏洞分別是：Windows Shell安全功能繞過漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-21510">CVE-2026-21510</a></strong>、MSHTML框架安全功能繞過漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-21513">CVE-2026-21513</a></strong>、Word安全功能繞過漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-21514">CVE-2026-21514</a></strong>、桌面視窗管理員（Desktop Window Manager，DWM）權限提升（EoP）漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-21519">CVE-2026-21519</a></strong>、遠端桌面連線管理員（RDCMan）阻斷服務（DoS）漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-21525">CVE-2026-21525</a></strong>，以及遠端桌面服務權限提升漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-21533">CVE-2026-21533</a></strong>。這些漏洞的嚴重程度大部分被評為重要（Important，相當於高風險等級的漏洞），僅有CVE-2026-21525為中等風險。</p> <p>從漏洞類型來看，這些被利用的漏洞有半數可被用於繞過安全功能，而且，這些安全功能繞過漏洞在微軟修補前就被公開。針對這些零時差漏洞，微軟在公告提及另一個共通點，那就是攻擊者必須與使用者互動，他們要誘騙使用者開啟惡意連結、捷徑檔（.LNK）、電子郵件附件、惡意HTML，或是Office檔案，才能利用漏洞。附帶一提的是，這3個漏洞都是由微軟威脅情報中心（MSTIC）、微軟安全事件回應中心（MSRC）、Office產品群組安全團隊、Google威脅情報團隊，以及不具名的資安研究員發現，這代表漏洞很可能被用於相同的攻擊活動。</p> <p>其中，CVE-2026-21510涉及Windows Shell的保護機制失效，未經授權的攻擊者可繞過SmartScreen與Windows Shell的安全警示，讓攻擊者控制的內容在未經用戶警告或同意的情況下執行，CVSS風險評為8.8分；另一個安全功能繞過功能CVE-2026-21513，會造成MSHTML框架中的保護機制失效，允許未經授權的攻擊者透過特製的檔案，操控瀏覽器與Windows Shell的處理流程，使得作業系統執行指定內容。微軟提及該漏洞不僅能讓攻擊者繞過安全防護功能，還有機會執行程式碼，CVSS風險同為8.8；第3個安全功能繞過漏洞CVE-2026-21514，起因是Word的安全決策仰賴不受信任的輸入，導致攻擊者能用於繞過OLE的緩解措施，CVSS風險值為7.8。附帶一提的是，微軟強調預覽窗格與攻擊向量沒有關聯。</p> <p>本次有兩個零時差漏洞CVE-2026-21519與CVE-2026-21533，其共通點為都能讓攻擊者取得SYSTEM權限，CVSS風險皆為7.8分。對於漏洞形成的原因，CVE-2026-21519為類型混淆弱點，CVE-2026-21533則與特殊權限不當管理有關。</p> <p>對於阻斷服務漏洞CVE-2026-21525，微軟提及未經授權的攻擊者可在本機觸發，造成遠端桌面連線管理員服務中斷。</p> <p>縱觀微軟這次修補的資安漏洞，權限提升型態的漏洞最多，有25個，遠端程式碼執行（RCE）漏洞12個居次，其他類型的漏洞數量如下：7個可被用於欺騙的漏洞、6個資訊洩露漏洞、5個安全功能繞過漏洞，以及3個阻斷服務漏洞。其中，有5個被評為重大層級，這些漏洞存在於Azure與Microsoft ACI Confidential Containers，可被用於權限提升或是資訊洩露。</p> </div></div></div>
2/11 14:10作者周峻佑https://www.ithome.com.tw/news/173893
Cisco發表Silicon One G300，主打AI資料中心核心交換網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科（Cisco）周二（2/10）於阿姆斯特丹舉行的Cisco Live EMEA大會上，<a href="https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2026/m02/cisco-announces-new-silicon-one-g300.html" target="_blank">正式發表新一代網路交換晶片Silicon One G300</a>，並同步推出搭載該晶片的Cisco N9000與Cisco 8000系列系統，以及新一代光學模組與管理平臺升級，明確將資料中心網路定位為AI基礎架構的核心元件。</p> <p>Silicon One G300為一款102.4Tbps交換晶片，強調支援大規模AI訓練、推論與即時代理人工作負載。過去幾年資料中心交換晶片的主流上限，大多停留在25.6Tbps與51.2Tbps兩個世代。51.2Tbps已被廣泛用於雲端與早期AI叢集網路，屬於超大規模等級。Silicon One G300把單顆晶片交換容量直接推到102.4Tbps，等於在單一晶片上翻倍，可在同一機箱內容納更多1.6T或800G連接埠，減少交換層級與設備數量。</p> <p>思科指出，隨著AI叢集規模擴大，效能瓶頸已從單一運算節點轉向叢集間的資料傳輸效率，網路本身逐漸成為影響GPU使用率與整體成本的關鍵因素。G300透過全共享封包緩衝、路徑式負載平衡與主動式網路遙測等設計，提升網路利用率並降低因壅塞導致的工作延遲。</p> <p>搭載G300的Cisco N9000與Cisco 8000系統，提供102.4Tbps交換能力，並支援全液冷與氣冷設計。思科表示，100%液冷版本可在單一系統中提供過去需多套設備才能達成的頻寬密度，整體能源效率提升近70%，有助於降低AI資料中心的用電與散熱成本。同步推出的1.6T OSFP光學模組與800G線性可插拔光學（LPO），則進一步降低光學模組功耗，強化AI橫向擴展網路的能效表現。</p> <p>在軟體與管理層面，思科也強化Nexus One平臺，提供統一的管理平面，整合晶片、系統、光學與網路作業系統，協助企業更快速部署與擴充AI網路。新增的AgenticOps功能，透過AI Canvas介面支援人機協作的故障排查與營運管理，並預計與Splunk平臺進行原生整合，提升AI工作負載的可觀測性。</p> <p>值得注意的是，思科在2019年推出的自研網路晶片架構Silicon One並非專為AI設計，而是款通用型高階網路晶片，主要服務雲端與電信網路；隨著AI叢集規模擴大，該架構才逐步被導入AI資料中心網路。而此次發表的G300，則是Silicon One產品線中首次明確以AI工作負載為設計核心的版本。</p> <p>根據市場研究機構<a href="https://my.idc.com/getdoc.jsp?containerId=prUS54033525&" target="_blank">IDC在2025年第三季的調查</a>，該季全球乙太網路交換器市場營收達147億美元，年增35.2%，其中資料中心類別年增高達62%，成為主要成長動能。IDC指出，思科在整體乙太網路交換器市場仍居第一，市占29.8%，但其資料中心交換器營收僅約占公司相關業務的35%，且年增率為16.9%，低於資料中心市場平均成長幅度。</p> <p>若依IDC揭露的各廠商營收結構推算，資料中心乙太網路交換器市場目前由Arista Networks以19.2%市占居首，思科約17%位居第二，第三名則是Nvidia的11.6%。</p> </div></div></div>
2/11 11:35作者陳曉莉https://www.ithome.com.tw/news/173896
微軟再次提醒Windows開機原始憑證將在6月到期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.windows.com/windowsexperience/2026/02/10/refreshing-the-root-of-trust-industry-collaboration-on-secure-boot-certificate-updates/" target="_blank">微軟本周通知</a>15年前核發的初代Windows安全開機（Secure Boot）憑證將在今年6月到期，提醒用戶2011年以前的電腦必須更新憑證，否則可能影響安全開機防護功能。已不再獲得更新的Windows 10 PC將是主要受影響的一群。</p> <p>安全開機是微軟於2011年引進Windows PC和伺服器的功能。它會在Windows載入前啟動，確保只有經過獲得數位簽發的受信任軟體才能執行，防止rootkit等韌體惡意程式在系統開機初期入侵用戶裝置，並躲避安全軟體的偵測。而在15年後，原始的安全開機憑證將在2026年6月底到期。</p> <p>微軟警告，若Windows PC沒有更新憑證，PC和軟體仍然可以持續運作，但是安全性會逐漸下降，功能也會逐漸退化。因為Boot Manager和其他早期啟動元件無法接收未來漏洞修補更新，未來若出現開機惡意程式，這類系統將無法獲得保護。此外，也可能導致相容性問題，因為新版OS、韌體、硬體或依賴安全開機元件或第三方軟體可能無法載入。</p> <p>微軟已在2023年推出了更新版安全開機憑證，並經由二個方式部署到用戶端。<a href="https://support.microsoft.com/en-us/topic/windows-devices-for-home-users-businesses-and-schools-with-microsoft-managed-updates-29bfd847-5855-49f1-bb94-e18497fe2315" target="_blank">微軟於去年就向家用、企業及教育用戶發布版號KB 5062711的每月安全更新</a>，以部署新版憑證。<a href="https://support.microsoft.com/zh-tw/topic/kb5074110-%E8%A8%AD%E5%AE%9A%E5%8B%95%E6%85%8B%E6%9B%B4%E6%96%B0-windows-11-%E7%89%88%E6%9C%AC-24h2-%E8%88%87-25h2-2026-%E5%B9%B4-1-%E6%9C%88-29-%E6%97%A5-7546f577-a103-458b-b910-9e8bca84b10b" target="_blank">今年1月底微軟發出提醒</a>，針對Windows 11 24H2、25H2 PC發布KB5074110更新。</p> <p>其次，微軟也和PC夥伴包括品牌電腦（OEM）及製造商（ODM）合作，在新Windows PC中內建新版安全開機憑證。2024年起出廠的部分PC及2025年出廠幾乎所有新PC、包括Copilot+ PC都包含新憑證，用戶無需再動作。</p> <p>但仍有部分PC會受到安全更新憑證到期影響。在Windows 11或Windows Server端，主要是企業統一管理的PC，有些伺服器或物聯網（IoT）裝置可能有特殊更新流程或是OEM廠商自有韌體。微軟呼籲管理員及早規劃並到OEM支援網頁查看最新版韌體資訊。</p> <p>此事對舊版Windows系統影響最大。例如，Windows 10於2025年底停止支援，將無法透過Windows Update取得新版憑證，更易受影響。</p> <p>因此除少數情況下，例如Secure Boot資料庫異常及其他問題，或是用戶曾關閉安全開機或裝置Linux及雙作業系統，使Windows Update未安裝，大多數消費者和企業、學校PC應該都已安裝新版憑證而無需動作。</p> <p>一般企業或消費Windows 11 PC都會經由每月Windows更新來部署安全開機憑證。<a href="https://www.zdnet.com/article/secure-boot-certificate-updates-2026/" target="_blank">ZDNet報導</a>，針對執行雙（Linux/Windows）OS的PC，微軟會發布適用Linux的憑證。接下來幾個月微軟會透過Windows Security App發布憑證更新狀態，協助企業管理員追蹤憑證更新。</p> </div></div></div>
2/11 11:49作者林妍溱https://www.ithome.com.tw/news/173897
自架Git服務Gogs揭3項高風險漏洞，遠端程式碼執行與帳號接管風險升高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>輕量化自架Git服務Gogs被揭露存在3項高風險資安漏洞，其中一項漏洞涉及既有防護機制的延伸風險，仍可能被濫用執行任意系統命令。其餘漏洞則涉及雙因素驗證（2FA）邏輯缺陷與檔案刪除問題，在特定條件下，可能導致帳號遭接管或影響服務可用性。</p> <p>這3項漏洞分別為<a href="https://github.com/gogs/gogs/security/advisories/GHSA-gg64-xxr9-qhjp" target="_blank">CVE-2025-64111</a>、<a href="https://github.com/gogs/gogs/security/advisories/GHSA-p6x6-9mx6-26wj" target="_blank">CVE-2025-64175</a>與<a href="https://github.com/gogs/gogs/security/advisories/GHSA-jp7c-wj6q-3qf2" target="_blank">CVE-2026-24135</a>，皆影響Gogs 0.13.3與更早版本，官方已在Gogs 0.13.4與0.14.0+dev完成修補。</p> <p data-end="577" data-start="470">在3項漏洞中，影響最為嚴重的是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-64111" target="_blank">CVE-2025-64111</a>，CVSS v3.1風險分數為9.3分，屬於重大風險等級。該漏洞被視為先前影響Gogs儲存庫更新流程的漏洞CVE-2024-56731之延伸問題，顯示既有防護機制仍存在可被繞過的情況。</p> <p data-end="707" data-start="579">根據Gogs發布的<a href="https://github.com/gogs/gogs/security/advisories/GHSA-gg64-xxr9-qhjp" target="_blank">安全公告說明</a>，攻擊者可利用Gogs提供的API功能更新儲存庫內檔案，進一步寫入.git目錄底下的設定檔，例如.git/config。由於這類Git內部檔案不應出現在一般更新流程中，一旦遭到竄改，系統在後續操作流程中，可能執行攻擊者植入的指令，最終導致遠端程式碼執行（RCE）。問題關鍵在於更新路徑與目錄檢查機制仍有不足，使原本應被阻擋的.git目錄仍可能遭到寫入。</p> <p class="rtecenter" data-end="707" data-start="579"><a href="http://github.com/gogs/gogs/security/advisories/GHSA-gg64-xxr9-qhjp" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0211-gogs-600.png" style="width: 450px;" /></a></p> <p>另一項漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-64175" target="_blank">CVE-2025-64175</a>，CVSS風險分數為7.7分，屬於高風險等級，問題出在2FA復原碼的驗證邏輯。官方指出，系統在驗證復原碼時，並未將復原碼與特定使用者帳號綁定，只要提供一組尚未使用過的復原碼，即可通過驗證。這代表攻擊者若已取得受害者帳號密碼，即可利用任一帳號的有效復原碼，繞過受害者帳號的2FA防護，在帳密外洩情境下，提高接管帳號的成功機率。</p> <p>第三項漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-24135" target="_blank">CVE-2026-24135</a>，同樣列為高風險，CVSS分數為7.2分，影響Gogs的Wiki功能。漏洞發生在Wiki頁面更名流程中，系統未妥善處理old_title參數，導致已通過驗證的使用者可藉由路徑穿越手法，操控系統去刪除目標檔案。雖然系統會自動附加.md副檔名，使可刪除的檔案類型有所限制，但仍可能刪除Wiki相關文件，對服務可用性造成影響，甚至引發阻斷服務（DoS）風險。</p> <p>維護團隊建議，已部署Gogs的管理者應儘速確認使用版本，並升級至0.13.4或更新版本，同時檢視內部帳號、API與Wiki功能的存取權限，以降低漏洞遭濫用的風險。</p> </div></div></div>
2/11 10:34作者王珮瑤https://www.ithome.com.tw/news/173891
【推動現代AI應用發展的關鍵技術】資料向量化應用與基礎架構的演進
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1273-cover-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"><p>圖片來源／Qdrant</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>關於資料的向量化處理（Data Vectorization），已成為當前AI應用不可或缺的核心基礎，隨著大型語言模型（LLM）、多模態模型，以及語意搜尋需求的爆發式成長，文字、影像、語音等高度異質的資料，必須以一致且可計算的形式處理，才能支撐即時推論與大規模應用。在這樣的背景下，向量逐漸成為AI系統用於語意理解與相似度計算的重要資料表示方式。</p> <p>隨著向量資料（Vector data）的迅速膨脹，便需要透過資料庫管理與保存，但面對大量向量資料的處理需求，傳統資料庫在索引與查詢上的限制隨之浮現，這也促使業界發展出針對向量資料最佳化的搜尋引擎，以及向量資料庫，並逐步演化出結合物件儲存的新型架構。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>現代AI應用的關鍵：資料的向量化</strong></span></span></p> <p>基本上，資料的向量化處理，以及相關的搜尋與索引技術，在2010年代中、後期便逐漸成熟，但一開始的應用面向十分有限，直到2020年代，才隨著大型語言模型的興起，引爆資料向量化的相關應用。搭配大型語言模型的增強檢索生成（Retrieval-Augmented Generation，RAG）技術，便是當前最重要的資料向量化應用之一。</p> <p>藉由訓練階段的預先學習，大型語言模型能夠針對多數領域的問題，提供相對合適的回覆。然而，在某些特定知識領域中，由於模型本身知識範圍與更新頻率的限制，其回應的準確性與即時性可能不足。而與大型語言模型結合的RAG技術，便是為了克服這一問題而誕生，這類架構會在模型生成回應之前，先根據使用者提出的問題，透過檢索機制從外部資料庫搜尋相關內容，並將檢索結果提供給大型語言模型整合，從而向使用者提供更精確的答案。</p> <hr /> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> AI應用的基礎：資料的向量化 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1273-cover-600-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Odrant.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>文字、影像與視訊等各式各樣資料，透過嵌入模型（Embedding Model）轉為由數值與維度構成的向量，映射到數值構成的語意空間中，從而便可利用各式各樣的近似演算法，藉由搜尋向量間的相似度，找出最接近使用者需求的回覆。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Qdrant</span></span></p> <hr /> <p>在RAG應用架構中，資料之所以能夠有效率地搜尋與比對，關鍵在於資料內容先被轉換為向量的形式，此一過程稱為向量嵌入（Vector Embedding）。將資料轉為向量後，AI系統可以利用向量之間的相似度，迅速找出最接近使用者需求的內容。</p> <p>RAG只是向量嵌入的眾多應用之一，當前還有大量其他類型的AI應用，廣泛使用向量嵌入技術，包括：搜尋引擎中的非關鍵字搜尋與語意搜尋、影音平臺的內容推薦系統，社群網站的貼文審核與排序，企業客服系統的AI／FAQ應用，電商網站的商品搜尋與推薦，以及影像、語音等跨模態搜尋與辨識。此外，企業內部知識庫、金融風險控管系統、履歷與人才媒合、以及AI Agent的長期記憶機制等，也都高度依賴向量嵌入作為核心技術。</p> <p>藉由向量嵌入將資料轉為向量形式，能讓AI應用超越關鍵字比對的限制，深入語意層級的分析與比對，以更貼近人類理解的方式，回應使用者需求。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>向量嵌入的基本概念</strong></span></span></p> <p>所謂的向量嵌入處理，是將指定的資料透過專門的嵌入模型（Embedding Model）進行編碼，轉換為數值與維度（Dimension）構成的向量，從而映射到高維度的數值空間，使原本彼此難以比較的資料內容，能藉由數學的方式進行相似度計算與搜尋。</p> <p>而每一個向量中的維度，代表模型在訓練過程中所學習到的抽象特徵，我們可粗略地將個別的維度，理解為資料對象蘊含的某些特徵或屬性（例如：文字向量可能含有某些主題訊息，影像向量則可能表達顏色、形狀或物體特徵），但這些維度並非人工定義，且個別維度通常不具備直觀、可理解的語意內涵；而維度的數值大小，則代表向量在這個維度上的位置。向量之間在整體空間的相對位置，特別是距離或方向上的差異，能夠反映資料在語意或特徵上的相似程度，用於衡量資料間的相似度。</p> <p>理論上，向量的維度越高，所能承載的特徵資訊也越豐富，有助於描述較為複雜的資料對象，在實務中，向量的維度通常可達到數百，甚至上千個。然而過高的向量維度，也會帶來運算成本上升、耗用儲存空間增加，以及搜尋效率下降等問題，因此，實際的向量維度設計，通常需在特徵表現能力與系統效能之間取得平衡，並且依照具體應用場景而有所取捨。</p> <p>藉由將資料轉換為向量形式，AI系統能夠透過向量之間的相似度計算（例如基於向量距離或方向的相似度指標），從大量向量資料中，找出語意上最接近使用者需求的內容，並生成最終回應。</p> <p>而大量非結構化的文字、影像或其他資料，經由嵌入模型編碼為多個數值所組成的向量資料後，將累積形成大規模的向量集合，若僅以檔案或簡單儲存方式管理，將難以支援高效率的相似度搜尋與即時查詢，因此，需要透過具備索引與查詢能力的資料庫系統，加以保存與管理。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>向量資料庫的興起</strong></span></span></p> <p>高維度向量資料的相似度搜尋，在計算的複雜度與資料的規模上，大大不同於以條件比對與索引查詢為主的傳統結構化資料查詢模式，而且，傳統資料庫處理大量向量資料比對時，往往存在明顯的效能瓶頸，難以同時滿足搜尋速度，以及系統擴展性的需求。</p> <p>因此，業界逐漸發展出專門的向量資料庫，以及配套儲存系統，進而在當前以語意搜尋與生成式AI為核心的應用中，構成不可或缺的關鍵單元，其在索引設計、搜尋效能與系統擴展性上的表現，將直接影響AI系統的回應速度、準確性與實際可用性。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 傳統資料庫 vs. 向量資料庫 </span></strong></span></p> <p>傳統資料庫與向量資料庫在資料型態與查詢機制存在顯著差異，適用情境也不盡相同。</p> <p>舉例來說，傳統資料庫基於表格與欄位的概念來管理資料，資料型態為欄位中的值，如數字、字串或日期等，每個欄位皆有明確涵義。資料查詢依據在於判斷資料是否符合使用者指定的條件，屬於以邏輯判斷為基礎的精確查詢。</p> <p>相對地，向量資料庫是基於座標空間的概念來管理資料，主要資料型態為高維度向量，用以表示資料在數值空間中的位置。向量資料庫運作的核心假設在於：語意或特徵相近的資料，會在向量空間中彼此接近，因此資料查詢時，並非以條件比對為核心，而是依據向量之間的距離或相似度進行排序。</p> <p>另一方面，傳統資料庫擅長提供精確查詢結果，能依據明確條件找出完全符合的資料，並具備良好的一致性與交易保障，因此適用於結構化資料，以及嚴格要求正確性的應用情境，例如：金流處理、庫存管理與各類交易系統。</p> <p>向量資料庫大多用於相似度搜尋，通常依據「近似最近鄰搜尋（Approximate Nearest Neighbor，ANN）」技術，在可接受誤差範圍內，提供「最相近的若干筆資料」。因此，向量資料庫不適合在要求嚴格精確性與一致性的應用擔任主資料庫，但適合語意搜尋、推薦系統、文件檢索，以及技術核心為語意分析的AI應用。</p> <p>傳統資料庫並非無法儲存向量資料，主要限制在於無法有效率地進行向量搜尋，其索引架構（如B-tree或Hash Index）並不能因應高維向量的距離排序需求，當進行相似度查詢時，往往只能透過全表掃描或計算所有向量距離，導致運算成本極高、效能表現不佳，僅適用於資料量較小的場景。</p> <p>因此，當向量資料的規模成長至一定程度時，便必須依賴專門的向量資料庫系統。這類系統通常針對高維向量的近似最近鄰搜尋（ANN）技術，進行最佳化設計，在搜尋效率、擴展性與搜尋結果品質（誤差範圍）之間取得平衡。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 向量資料庫的構成 </span></strong></span></p> <p>基本上，向量資料庫是以向量搜尋引擎（Vector Search Engine）為核心，結合資料持久保存、索引管理、查詢介面與系統管理機制的資料庫系統。</p> <p>向量搜尋引擎可透過各種ANN演算法，如HNSW（Hierarchical Navigable Small World）、IVF（Inverted File Index）、IVF-PQ（Inverted File Index with Product Quantization），以及用於小規模或基準測試的Flat演算法，對大量高維向量建立索引並進行相似度計算，找出與查詢向量在語意空間最近的一組資料（如文件片段或其他資料實體）。</p> <p>然而，僅有向量搜尋引擎通常難以單獨支撐完整的生產系統，仍需搭配外部的資料庫與儲存系統來管理資料與支援系統運作。在2010年代與更早期的一些資料向量化應用中，大多採用「向量搜尋引擎+第三方資料庫」的架構來運作。</p> <p>到了2019年前後，隨著資料向量化應用逐漸普及，Zilliz、Weaviate等廠商陸續推出第一批以「向量資料庫」為定位的產品。這類產品以向量搜尋引擎為核心，並整合一系列資料庫與系統層能力，包括metadata管理、安全性與權限控管、索引管理、結構化條件篩選、分散式處理與儲存機制、高可用性與資料複製，以及API與SDK，從而構成可用於生產環境的資料庫系統。</p> <p>當前的向量資料庫產品底層，通常會支援一或多種向量索引與搜尋機制。例如知名的開源向量資料庫Milvus，即可搭配多種ANN索引機制，如基於FAISS的IVF/PQ索引、HNSW，以及DiskANN等。在實務應用中，開發者仍然可以選擇僅使用向量搜尋引擎（如Meta的FAISS），再自行整合第三方資料庫或儲存系統，以滿足特定需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1273-cover-graph-2.png" style="width: 450px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>縱覽主要的向量搜尋引擎與資料庫</strong></span></span></p> <p>目前有數十種向量搜尋引擎與資料庫產品，涵蓋開源、商用，以及雲端平臺原生等類型，以下簡要介紹常見產品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 開源的向量資料庫 </span></strong></span></p> <p>包括FAISS、Milvus、Qdrant、Weaviate、Apache Lucene、OpenSearch 、Elasticsearch等，大致分為三種類型：單純的向量搜尋引擎、具備向量功能的搜尋系統，以及完整的向量資料庫。</p> <p>如Meta的FAISS是單純的向量搜尋引擎，Apache Lucene是提供向量搜尋能力的搜尋引擎核心函式庫，OpenSearch與Elasticsearch則是可以提供部分資料庫功能的分散式搜尋系統，Milvus、Qdrant與Weaviate是完整的向量資料庫。</p> <p>Milvus是目前使用最廣泛的開源向量資料庫之一，並提供商用版本Zilliz Cloud。Qdrant在RAG應用相當常見，Weaviate則以原生整合嵌入模型為其特色，後兩者亦分別提供商用版本Qdrant Cloud與Weaviate Cloud Service。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 商用的向量資料庫 </span></strong></span></p> <p>較知名的這類產品，包括：Pinecone Systems的Pinecone，DataStax的Astra DB Vector，還有Zilliz Cloud、Qdrant Cloud、Weaviate Cloud Service等。</p> <p>與開源版本相比，商用版向量資料庫的主要差別，不僅在於支援更大規模的應用，還在於功能完整性、可靠性、管理能力與支援性等方面。</p> <p>關於功能，商用版通常支援更多索引與搜尋的類型、更複雜的篩選條件，部分產品亦提供GPU加速處理的能力。</p> <p>在應用規模上，開源版本理論上亦可支援大型向量規模，但往往需要用戶自行投入大量建置與維運成本；商用版則能以託管方式提供大規模擴展能力。</p> <p>在可用性上，開源版本需由使用者自行建置高可用與災難備援架構，商用版則多半內建高可用性、資料複製，甚至跨區域備援。</p> <p>就安全性與管理性而言，商用版通常提供完整的存取控制、管理介面、監控儀表板與日誌機制，可降低整體運維門檻，而面對開源版本的使用，企業通常只能透過CLI命令與API來操作。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 雲端平臺原生向量資料庫 </span></strong></span></p> <p>主要雲端平臺亦陸續在向量資料管理與搜尋方面，推出相關服務，例如AWS的OpenSearch Vector Engine，還有最近新增向量功能的DynamoDB，Microsoft Azure AI Search，以及Google Cloud的Vertex AI Vector Search。</p> <p>從產品的定位來看，這類服務除了提供向量搜尋相關功能，更重要的目的，是將向量搜尋能力整合進既有的雲端服務。像是OpenSearch Vector Engine、Azure AI Search與Vertex AI Vector Search都偏向於向量搜尋服務，DynamoDB則是在鍵值資料庫上，加入向量搜尋能力。相較於Pinecone、Weaviate等向量資料庫產品，這些雲端原生服務的優勢，在於能深度整合雲端平臺既有管理架構與生態系，讓原本使用該平臺的用戶能快速導入，無須額外建置或搬移資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1273-cover-graph-1.png" style="width: 311px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>下一代架構：向量資料庫結合物件儲存</strong></span></span></p> <p>隨著AI應用規模持續擴大，向量資料的數量與複雜度，進入快速成長的狀態，也使得向量資料庫的使用成本不斷攀升。事實上，向量資料庫的計費，通常依節點數量與硬體資源（CPU、記憶體、SSD）評估，但也有部分服務，亦會依據查詢或掃描的次數收費。當向量數量增加、維度提高，而且，同時還要求高精度索引與低延遲搜尋時，對硬體資源的需求將顯著上升，進而推高企業的整體擁有成本。</p> <p>為了能夠緩解上述問題，近來市面上，又陸續出現「向量資料庫結合物件儲存系統」的新架構，這樣搭配的核心概念，在於資料的冷熱分離。</p> <hr /> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 向量資料庫結合物件儲存 </span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1273-cover-600-%EF%BC%92-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.png" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(51, 102, 255);"><strong>為緩解資料量增加、導致向量資料庫使用成本大幅上升問題，近來出現物件儲存結合向量資料庫的分層架構，將不常存取的資料置於物件儲存區，從而節省成本。上為AWS的S3向量儲存桶，可提供低成本向量儲存空間，並與AWS其他AI應用整合，例如OpenSearch向量搜尋引擎，Bedrock知識庫與SageMaker機器學習服務等。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／AWS</span></span></p> <hr /> <p>在傳統向量資料庫的架構裡面，包括向量資料、索引、metadata，甚至部分原始資料片段，通常都集中存放於資料庫節點上。</p> <p>而在向量資料庫結合物件儲存的架構下，向量資料庫主要扮演搜尋加速層的角色，只存放活躍的向量資料與索引；至於佔用大量空間的原始資料、大型資料集，以及查詢頻率較低的向量資料，則存放於低成本、且可大規模擴展使用規模的外部物件儲存系統中。</p> <p>這種新架構不僅能顯著降低整體儲存與運算成本，也提升了系統的彈性。例如，當需要更換向量資料庫或重新進行向量嵌入與索引時，原始資料仍保留於物件儲存中，避免被特定資料庫綁定。</p> <p>不過，採用這種架構的前提是，使用者能接受部分資料存取時增加的延遲。當查詢結果所對應的資料位於外部物件儲存環境時，系統需額外進行一次讀取，通常會因此增加數十毫秒等級或更多的延遲。所以，這種架構不適合對延遲極敏感或檢索頻率極高的應用場景，例如即時推薦系統。</p> <p>目前已有多家廠商推出基於此概念的解決方案，例如Cloudian透過其HyperStore物件儲存平臺，整合Milvus向量資料庫，提供可擴展至PB乃至EB等級的AI資料平臺；AWS則為其S3物件儲存服務，新增擁有向量資料處理能力的新版S3 Vector，強調快速上線、且能整合AWS既有AI生態系（如OpenSearch、Bedrock知識庫）。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>隨AI應用進化的向量資料基礎架構</strong></span></span></p> <p>最後，我們回頭檢視資料向量化應用的發展歷程，可以發現此一領域是在最近三、四年，才從原本的特定領域應用擴展至多個AI領域，並迎來爆發期。</p> <p>資料向量化與相似度搜尋的理論基礎，早在2000年代前後便已打下基礎，主要用於資訊檢索、機器學習與資料探勘，以及電腦視覺特徵比對等領域。到了2010年代，向量搜尋引擎逐漸成熟，但資料向量化仍缺乏跨領域、通用型的殺手級應用，主要用於推薦系統與部分自然語言處理任務。</p> <p>2019年後，第一批向量資料庫產品問世，但整體應用仍相對有限。直到2022年以後，隨著大型語言模型的快速普及，才真正點燃向量嵌入技術、向量搜尋與向量資料庫的全面發展。</p> <p>而資料向量化應用的基礎架構，從最初僅有向量搜尋引擎，演進為完整的向量資料庫，再進一步發展為結合物件儲存的新架構，正反映出AI語意分析應用不斷擴展與深化的趨勢。在可預見的未來，向量搜尋、向量資料庫與相關技術，也將成為連結AI模型與實際資料之間，不可或缺的關鍵基礎設施。</p> <p><a href="https://www.ithome.com.tw/article/173880" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/12731274-feng_mian_gu_shi_-p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=axQoKd-D" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/12731274-feng_mian_gu_shi_-p1-ming_de_-open-960x420_2.jpg?itok=XeAzyyXX" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai%E6%87%89%E7%94%A8">AI應用</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%90%91%E9%87%8F%E5%8C%96%E6%87%89%E7%94%A8">資料向量化應用</a></div><div class="field-item even"><a href="/tags/%E5%90%91%E9%87%8F%E5%B5%8C%E5%85%A5">向量嵌入</a></div><div class="field-item odd"><a href="/tags/%E5%90%91%E9%87%8F%E8%B3%87%E6%96%99%E5%BA%AB">向量資料庫</a></div><div class="field-item even"><a href="/tags/%E5%90%91%E9%87%8F%E6%90%9C%E5%B0%8B%E5%BC%95%E6%93%8E">向量搜尋引擎</a></div></div></div>
2/11 09:00作者張明德https://www.ithome.com.tw/tech/173850
老牌基因定序公司擁PB級巨量資料，跨足代工製造瞄準供應鏈風險
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「我們應該是全臺產出最多資料的基因定序公司之一！」基龍米克斯資安長許勝達開門見山說道。</p> <p>這句話，既點出了基龍米克斯的資安挑戰，也道明了近年基因定序產業的關鍵變化。</p> <p>隨著高通量基因定序設備快速發展，一個人的全基因組資料，往往就高達上百GB。再加上政府政策鼓勵基因檢測與精準醫療應用，這類資料不再只是零星產出，而是每天、每周持續地累積。再加上，法規要求這類資料必須長期保存，基龍米克斯的資料規模，很快就從TB等級，暴增1千倍，達到了PB級的巨量資料。</p> <p>這意味著，資料不再只是研究分析的附帶產物，而是公司最核心的資產。資料用得越深、應用場景越廣，能創造的價值就越大；但同時，一旦管理不當，風險也會同步放大。</p> <p>對基龍米克斯而言，巨量資料的保護，成了新的課題。尤其醫療資料的合規要求更嚴謹，資安不再是「發生事故才需要處理」的補救措施，而是必須提早建立、長期投入的基本功。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>以基因定序研究起家，早期資安需求相對單純</strong></span></span></p> <p>2001年，將DNA定序技術引進臺灣的中研院基因定序學者周德源，與其子周孟賢共同創辦了基龍米克斯，逐步發展成為臺灣最大的商業基因體公司。他們最早以基因定序與生物資訊分析服務起家，協助研究單位與醫療端，將原始的基因序列轉換成可解讀、可應用的分析結果。</p> <p>公司一路發展，累積了不少亮眼成果。例如2004年，基龍米克斯建立了癌症標靶藥物基因檢測系統，成為衛福部疾管署定序合約的長期供應商；2005年參與國際水稻基因體定序計畫，完成水稻第五條染色體定序；2013年完成櫻花鉤吻鮭基因解碼、協助政府拯救瀕臨絕種物種。</p> <p>之後，基龍米克斯也跨足婦幼健康基因檢測市場，還參與多項政府專案，包括中研院癌症登月計畫、臺灣人體生物資料庫建置，以及TPMI臺灣精準醫療計畫等。</p> <p>這類業務高度仰賴資訊系統支撐，像是實驗室資訊管理系統（LIMS）、資料分析平臺，以及與各項業務流程串接的ERP系統，每一個環節幾乎都與資料處理密切相關。</p> <p>基龍米克斯成立初期，以研究為主，資料多半用於學術或研究用途，影響範圍相對有限，公司高層對資安的要求，偏向於不出問題就好的態度，尚未視為營運層級的關鍵議題。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>隨著業務版圖擴展，資安不再是加分項</strong></span></span></p> <p>近幾年，基龍米克斯開始積極拓展業務版圖，推動實驗室開發檢測（LDTs），定序和檢測報告不再只是研究參考，而是可能直接影響臨床判斷、治療方向與用藥決策的正式依據。</p> <p>這樣的轉變，也意味著資訊系統的角色出現變化——系統不只要「算得快、產得出報告」，還必須能完整記錄每一個分析流程、版本變更與存取紀錄，確保結果在事後能被清楚追溯與驗證，經得起各方檢驗。</p> <p>基龍米克斯擴大的另一條業務線，則是2021年開始投入的委託開發暨製造服務（CDMO）營運模式，以及GMP合規製造廠區的建置，業務範圍從原本的分析服務，進一步延伸至核酸藥物相關製程。</p> <p>這一步，讓基龍米克斯的營運模式大轉變，從以基因定序服務為核心的公司，變成了一家提供研發與製造代工服務的生技製造服務商。這個轉型，更讓資安的價值和重要性，從加分項，拉高到了非做不可的合規層級任務。</p> <p>因為，CDMO模式是接受商業客戶的委託，進行開發和製造產品，資訊系統處理的不再只是內部研究資料，還包含客戶的配方、製程參數與尚未公開的研發資訊。換句話說，一旦資料外洩或遭到未經授權的存取，影響的不只是內部作業，而是直接牽涉到客戶信任與商業責任。</p> <p>至於GMP合規製造，則必須接受主管機關與稽核單位的檢核，關注的也不只是流程是否標準，而是每一筆製程與品質資料，是否能清楚說明「誰在什麼時間、以什麼身分做了什麼事」，並且確保紀錄未被未經授權地修改。</p> <p>這也代表，帳號管理、存取權限、系統日誌與資料完整性，都是GMP合規不可或缺的基礎條件。一旦資安機制不足，不僅可能帶來資料外洩風險，也可能讓整個製程的可追溯性與合規性受到質疑。</p> <p>與此同時，走向GMP製造，也需要IT與OT流程的整合。</p> <p>因為在基因定序／檢測與臨床研究階段，重心仍以IT系統為主，例如LIMS、分析平臺和ERP系統；實驗室中雖然有定序儀和相關的OT設備，但多半各自獨立，主要用來支撐單一實驗流程，並未有太多整合的管理挑戰。</p> <p>但建置GMP場域後，這些設備和系統就必須整合進製程管理中，OT成為製程和品質控管的一部分，需要整合電子批次紀錄、品質文件管理系統，以及與設備連動的資料蒐集和控制機制等。</p> <p>對基龍米克斯來說，CDMO和GMP不單是新業務線，也是讓資料和系統正式成為法規、品質和營運責任的重要一環。這一連串業務模式與公司階段的轉變，更讓資安從單純的內部管理議題，升級為影響企業信任與營運穩定的關鍵條件。</p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1273-%E5%9F%BA%E9%BE%8D%E7%B1%B3%E5%85%8B%E6%96%AF-CISO-600-1-%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安策略的起點不是工具，而是整體架構</strong></span></span></p> <p>2017年進入基龍米克斯的許勝達，原本專攻生物資訊分析，負責帶領NGS定序資料處理／分析平臺與IT團隊。直到2023年，配合公司業務發展，他才正式接下資安長一職。</p> <p>回顧接任資安長的第一階段工作，許勝達自己並不急著導入各種高階資安工具，而是先從最基礎的系統與網路架構下手。</p> <p>他指出，早期因公司規模較小，多數系統共用同一個網路環境，權限設計也相對寬鬆。這樣的做法在初期或許方便，但當資料量、系統數量與人員規模同步成長，一旦發生問題，影響範圍就可能成倍放大。</p> <p>因此，他優先推動網路分段與權限重整，依部門與系統性質切割網段，並將GMP製造場域與研發、行政系統完全隔離。這樣的設計，讓風險能被限制在最小範圍內，也讓日後的稽核、事件回溯與責任歸屬變得可行。</p> <p>在使用者端，他同步導入單一登入（SSO）與帳密管理政策，在提升安全性的同時，盡量降低對日常工作的影響。對他來說，資安不是制度寫得多嚴格，而是能不能在不影響工作的前提下，真正落實。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>鼓勵嘗試生成式AI工具，但也要兼顧安全</strong></span></span></p> <p>基龍米克斯是臺灣少數結合次世代基因定序（NGS）、CDMO製造與AI輔助能力的跨域團隊，對新技術向來抱持開放態度，就連生成式AI也不例外。</p> <p>許勝達坦言，他經常鼓勵團隊使用生成式AI，不論是輔助程式開發的Vibe coding工具，還是串接AI代理、協助行政人員執行工作的無程式碼工具，都在推廣範圍內。</p> <p>因為這些工具能大幅提升工作效率、減輕人力負擔，他甚至會安排教育訓練，協助同仁熟悉相關工具。</p> <p>「教育同仁如何正確使用工具、建立正確的觀念，而不是一開始就排斥新技術，」他說。</p> <p>在擁抱新技術的同時，安全性也沒被忽略。儘管目前尚未對生成式AI工具進行嚴格的控管，主要仍仰賴防護軟體過濾，但許勝達仍會在教育訓練中反覆強調資料隱私與安全的重要性，藉此提升同仁的整體資安意識。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安長最大的挑戰，往往來自組織本身</strong></span></span></p> <p>談到落實資安的最大挑戰，許勝達並不諱言，往往不是技術，而是人。</p> <p>比如密碼規則變嚴、USB使用受限、流程多一道檢核，對第一線同仁來說，都是實際的不便。</p> <p>尤其一開始，這些改變往往引發反彈，甚至被視為影響工作效率。</p> <p>但他的做法不是強硬要求，而是持續溝通和調整。例如在提高帳密安全性的同時，引入單一登入（SSO）來減少負擔；或是在新措施正式上線前，先向同仁說明背景與原因。他希望讓公司同事理解，資安不是為了限制工作，而是為了保護公司長期發展與累積的成果。</p> <p>在這個過程中，資安也逐漸從被動遵守的規範，轉變為需要全體同仁共同維護的文化。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>把資安變成營運的一部分</strong></span></span></p> <p>談起基龍米克斯的資安原則，許勝達直言：「資安不能靠IT部門自己扛。」在他看來，資安應該由「治理、管理、技術」三層結構共同支撐。</p> <p>治理層包括資安政策與跨部門協作機制，例如去年7月成立的跨部門資安小組，由董事長、總經理、稽核人員、IT與資安角色及各部門代表共同參與。</p> <p>這個小組以「治理—執行—查核」模式運作：由資安長統籌制度與風險管理並定期向高層報告，資訊部門負責技術與日常落實，稽核單位則進行獨立查核與改善追蹤。他們透過這樣的分工，來定義資安任務，將資安正式納入公司治理框架。</p> <p>有了完整的治理層，接下來就是管理層，包括風險評估與通報流程。另一重點則是技術層，泛指NAS、VPN、日誌紀錄等工具的實際運用。</p> <p>許勝達也透露，團隊正評估導入安全資訊與事件管理（SIEM）、端點偵測及回應（EDR）等工具，以強化事件預警與應變能力。這些工具的導入，並非追求形式上的完整，而是希望讓資安真正支撐業務長期、穩定地運作。</p> <p>另一方面，基龍米克斯也正參考ISO 27001資訊安全管理系統架構，導入相同的治理思維，讓整體營運更貼近國際通行的安全標準。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>下一步要把關供應鏈風險</strong></span></span></p> <p>隨著業務從研究走向臨床與製造，供應鏈安全也逐漸成為基龍米克斯不得不面對的課題。</p> <p>不論是委外的軟體開發商、雲端平臺服務商，還是生物資訊分析相關工具，只要能接觸到資料或系統，就可能成為風險來源。許勝達坦言，雖然內部的供應鏈資安尚未一步到位，但已先建立清楚方向。</p> <p>例如，基龍米克斯已開始盤點能接觸核心資料或關鍵系統的廠商，並在合約中納入資安相關條款，依據供應商能接觸的資料與系統層級，進行分級管理。接下來，他們還會透過問卷，或基本審查機制，逐步建立起供應鏈資安的最低門檻。</p> <p>這不只是技術層面的問題，也涉及資料主權、跨境合作與地緣風險的判斷。在基因資料高度敏感的產業中，供應鏈的每一個環節，都是整體資安的一部分。</p> <hr /> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> CISO小檔案 </span></strong></span></p> <p><strong>基龍米克斯資安長許勝達</strong></p> <p>學歷：交大生物資訊及系統生物所博士畢業</p> <p>經歷：曾任交通大學博士後研究員、生命先鋒投資股份有限公司研究員，宣捷生物科技股份有限公司顧問及康百事生物資訊股份有限公司研究員。2017年加進入基龍米克斯，先後擔任生物資訊部門經理、創新技術部經理與技術長；2023年配合公司業務發展，擔任資安長至今</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1273-%E5%9F%BA%E9%BE%8D%E7%B1%B3%E5%85%8B%E6%96%AF-CISO-600-2-%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 450px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 公司檔案 </span></strong></span></p> <p><strong>基龍米克斯</strong></p> <p>●地址：新北市汐止區新台五路一段100號14樓</p> <p>●成立時間：2001年</p> <p>●網址：www.genomics.com.tw</p> <p>●主要業務：基因定序服務、GMP等</p> <p>●員工數：約200人</p> <p>●資本額：724,480,570元</p> <p>●年營收：4.8億元（2024年）</p> <p>●董事長：周孟賢</p> <p>●總經理：江俊奇</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 資安部門大事記 </span></strong></span></p> <p>●2023年：資安長（CISO）角色正式設置，由資訊與資安治理分離，強化橫向協調角色</p> <p>●2024年：初步規劃資訊安全制度藍圖，參考ISO/IEC 27001架構，盤點內部資安需求與痛點；強化資安文化推動與培訓活動，結合案例教育與社交工程測試</p> <p>●2025年：成立跨部門資安小組，成員涵蓋董事長、總經理、稽核與IT，啟動定期治理會議；規劃導入SIEM與EDR系統，以強化內部資安事件的即時監控與預警能力</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1273-ciso-ji_long_mi_ke_si_zi_an_chang_hong_zheng_wei_she_-960.jpg" width="960" height="420" alt="" title="基龍米克斯資安長許勝達　（攝影／洪政偉）" /></div></div></div>
2/11 09:00作者王若樸https://www.ithome.com.tw/people/173852
微軟調整Windows Update政策，終止支援第三方印表機驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>基於Windows未來會內建印表機驅動程式，微軟已經在今年一月中啟動Windows Update不再提供第三方印表機驅動程式的支援，涵括Windows 11及Server 2025及以後版本。</p> <p><a href="https://learn.microsoft.com/en-us/windows-hardware/drivers/print/end-of-servicing-plan-for-third-party-printer-drivers-on-windows" target="_blank">微軟在2023年9月宣布</a>舊式第三方印表機驅動程式終止服務的計畫。從Windows 10 21H2起，微軟從網路和USB介面提供Microsoft IPP類別驅動程式，以支援符合莫普里亞（Mopria）規範的印表機硬體。這樣一來，就不需要印表機製造商提供自己的安裝程式、驅動程式、公用程式等等。微軟最終目的是裝置製造商不需重新開發驅動程式。但伴隨Windows列印平臺的革新，微軟同時宣布Windows終止支援舊版v3和v4 Windows印表機驅動程式。</p> <p><a href="https://www.tomshardware.com/peripherals/printers/microsoft-stops-distrubitng-legacy-v3-and-v4-printer-drivers" target="_blank">媒體分析</a>，由Windows Update代為更新上千個第三方驅動程式不僅造成微軟維持整個生態系的負擔，更重要的是可能讓Windows曝露於漏洞風險，例如2021年的<a href="https://www.ithome.com.tw/news/145478" target="_blank">PrintNightmare</a>。藉由減少Windows Update的更新範疇，微軟可以將舊硬體的支援責任丟回給印表機廠商。</p> <p><a href="https://learn.microsoft.com/zh-tw/windows-hardware/drivers/print/end-of-servicing-plan-for-third-party-printer-drivers-on-windows" target="_blank">隨著微軟停止支援的期程推移</a>，在2026年1月15日的非安全更新下，Windows 11及Windows Server 2025以後版本中的Windows Update不再發布新的印表機驅動程式。只有經過個別核准的驅動程式才能持續經由Windows Update更新。但印表機廠商可以透過個別套件安裝驅動程式。</p> <p>從2026年7月1日起，印表機驅動程式排序將改為以Windows IPP驅動程式優先。從2027年7月1日起，除了安全修補外，將不再允許第三方驅動程式以Windows Update更新。使用者可利用印表機廠商提供的安裝套件來安裝第三方驅動程式。</p> <p>停止Windows Update支援後，使用v3和v4印表機驅動程式的用戶可能會覺得安裝不太方便。不過微軟在Q&A章節中說，沒有停用和舊版驅動程式平臺相關列印功能的計畫。此外，即使更新支援終止，但已安裝在Windows PC上的驅動程式還是能留在PC上，不會被移除。</p> </div></div></div>
2/11 09:11作者林妍溱https://www.ithome.com.tw/news/173892
免費端點加速AI代理查詢公開資料，Google將Data Commons MCP託管上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google旗下Data Commons團隊<a href="https://developers.googleblog.com/access-public-data-insights-faster-data-commons-mcp-is-now-hosted-on-google-cloud/">宣布</a>，將Data Commons的MCP（Model Context Protocol）服務改採Google雲端平臺託管形式提供，開放使用者連線到一個免費的雲端端點，讓支援MCP的AI代理人得以用一致的介面查詢datacommons.org上的公開統計資料，而不需要先在本機安裝與維護MCP伺服器所需的工具與執行環境。不過，要是使用Gemini CLI延伸套件以外的用戶端，仍需申請免費Data Commons API金鑰並在連線時帶入。</p> <p>Data Commons是Google推動的公開資料知識圖譜計畫，彙整多來源的統計指標與地理、主題脈絡，供研究、分析與應用開發使用。MCP則是一套用來讓AI代理人對外部資料與工具進行互動的標準化協定。Data Commons團隊在2025年下半年，已先推出Data Commons MCP伺服器與Gemini CLI延伸套件，讓使用者能以自然語言驅動代理人查詢資料。</p> <p>過去做法多半仰賴本機環境安裝開源Python工具並啟動本地MCP伺服器，官方在說明中指出，這種依賴對部分高安全管控環境並不友善，也讓想把查詢代理人對外提供給他人使用的開發者，面臨擴充與維運的門檻，而改為雲端託管，便可減輕開發者部署與維護的負擔，改由Google在雲端集中管理。</p> <p>對既有使用者而言，要是先前已使用Data Commons的Gemini CLI延伸套件，官方表示下一次啟動Gemini CLI後，延伸套件會自動更新為透過網路連線到雲端託管伺服器，而不是在本機啟動一個伺服器實例。對未使用延伸套件或採用其他MCP用戶端的團隊，官方則把託管服務的連線目標設為https://api.datacommons.org/mcp，並要求以Data Commons API金鑰進行存取。</p> <p>官方同時劃出託管服務的使用邊界，該託管MCP伺服器僅能用來查詢datacommons.org的資料，如果組織採用Custom Data Commons自建資料實例，仍需自行部署對應的MCP伺服器，無法直接改用官方託管端點。</p> </div></div></div>
2/11 09:57作者李建興https://www.ithome.com.tw/news/173889
主要以鳥鳴資料訓練的Perch 2.0模型跨域水下聲學，少量標註就能區分鯨豚聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google研究院與Google DeepMind<a href="https://research.google/blog/how-ai-trained-on-birds-is-surfacing-underwater-mysteries/">合作研發</a>生物聲學基礎模型Perch 2.0。Perch 2.0訓練資料主要來自鳥類與其他陸域發聲動物，訓練資料不含水下音訊或海洋哺乳類類別，仍能把學到的聲學嵌入向量轉用到水下錄音的分類任務。研究團隊<a href="https://arxiv.org/html/2512.03219v1">強調</a>，研究者只要準備少量已標註片段，就能在新資料上用轉移學習快速建立可用的自訂分類器。</p> <p>研究人員在NeurIPS 2025的非人類動物溝通AI工作坊發表，採用少樣本線性探針流程，先以預訓練模型為聲音片段產生嵌入向量，再在嵌入向量上訓練多類別邏輯迴歸分類器，評估其區分不同類別的能力。研究在NOAA PIPAN、ReefSet與DCLDE等資料集測試後指出，Perch 2.0多數設定下為最佳或次佳。</p> <p>Perch 2.0為何能跨域？研究人員解釋較大模型與較多樣的訓練資料有助泛化，以及在鳥類相近叫聲之間做細緻區分，會迫使模型學到更精細的聲學特徵，進而轉用於區分不同鯨類物種或不同虎鯨族群。研究也將Perch 2.0與AVES-bio、AVES-bird、BirdNet v2.3等既有模型比較，並以嵌入向量的視覺化結果說明，在部分任務上，不同類別的特徵分布會交錯在一起，界線不清楚，但Perch 2.0整體表現更穩定，較常在資料量很小時，仍能穩定區分不同物種或聲音類型。</p> <p>水下聲學常用於長期監測海洋生物，但水下聽音器錄到的聲景龐雜，人工標註耗時且仰賴領域專家，新聲音的來源也可能多年後才被釐清。NOAA以Biotwang為例指出，該聲音2014年在馬里亞納群島的自動化聲學錄音中被發現，當時只能推測出自鬚鯨，直到結合目擊與聲學調查資料，才將其歸因於布氏鯨，這也凸顯出聲音歸因與標籤建立的難度。</p> <p>因此，Perch 2.0此次跨域的意義，較接近以通用嵌入向量降低新任務門檻，而非宣稱模型理解所謂鯨豚語意。論文也比較多個既有生物聲學模型，指出即使部分模型未針對水下訓練，仍可能在特定任務奏效，但Perch 2.0整體更穩定。</p> <p>研究團隊也提到以Google Cloud上的NOAA NCEI被動聲學資料庫做端到端示範，並提供Colab教學，讓研究者從公開音檔到自訂分類器的流程更易重現。NOAA NCEI說明，該資料庫用於彙整與散布各單位蒐集的被動聲學音檔與相關資料產品，提供搜尋與存取。</p> </div></div></div>
2/11 10:04作者李建興https://www.ithome.com.tw/news/173888
GitLab AI Gateway爆重大漏洞，CVE-2026-1868恐危及自架環境安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>原始碼代管與DevOps平臺業者<a href="https://about.gitlab.com/releases/2026/02/06/patch-release-gitlab-ai-gateway-18-8-1-released/" target="_blank">GitLab警告</a>，供用戶自行架設與管理GitLab Duo Self-Hosted AI Gateway存在一項<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-1868" target="_blank">重大資安漏洞CVE-2026-1868</a>。該漏洞CVSS v3.1風險分數高達9.9分，屬於重大（Critical）風險等級，在特定條件下，攻擊者可能藉此對GitLab AI Gateway發動阻斷服務（Denial of Service，DoS）攻擊，甚至在該服務上取得程式碼執行能力，對企業開發環境構成高度風險。GitLab已針對此問題釋出修補版本，並建議使用者儘速升級，以降低遭濫用風險。</p> <p>GitLab AI Gateway是GitLab提供的AI相關服務元件，主要用於支援Duo等AI輔助功能，讓開發流程可透過代理與工作流程機制，呼叫模型並執行自動化任務。此次漏洞發生於GitLab AI Gateway內部的Duo Workflow Service，該元件負責處理AI代理工作流程，是整體服務的核心組成之一。</p> <p><a href="https://about.gitlab.com/releases/2026/02/06/patch-release-gitlab-ai-gateway-18-8-1-released/" target="_blank">根據GitLab官方資安公告說明</a>，CVE-2026-1868的成因與不安全的模板展開（Insecure Template Expansion）有關。系統在處理使用者提供的工作流程定義與模板資料時，未能妥善限制特定輸入內容，導致在符合條件的情境下，攻擊者可影響指令生成與執行流程，進一步放大攻擊影響範圍。</p> <p class="rtecenter"><a href="http://about.gitlab.com/releases/2026/02/06/patch-release-gitlab-ai-gateway-18-8-1-released/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0211-gitlab-CVE-2026-1868.png" style="width: 600px;" /></a></p> <p>此類問題亦對應到MITRE所制定的<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-1868#:~:text=Weakness%20Enumeration,GitLab%20Inc." target="_blank">CWE-1336</a>（Improper Neutralization of Special Elements in a Template Engine）弱點分類。該分類描述系統在模板引擎處理使用者輸入資料時，未能妥善中和或限制特殊語法元素，可能導致模板邏輯遭到竄改。對實際使用者而言，這類弱點可能引發的風險包括：攻擊者操控模板內容，插入非預期的指令或流程定義，影響服務執行結果，嚴重時可能導致後端服務異常，並在符合特定條件的情境下，於GitLab AI Gateway上取得程式碼執行能力。</p> <p>GitLab指出，成功利用該漏洞的前提，是攻擊者必須具備已驗證的存取權限，也就是能登入GitLab並操作GitLab AI Gateway相關功能。不過，官方也提醒，這類攻擊情境仍可能出現在帳號遭竊、權限被濫用，或惡意內部人員的狀況下，因此不應低估實際風險。</p> <p>在影響範圍方面，<a href="https://nvd.nist.gov/vuln/detail/CVE-2026-1868" target="_blank">CVE-2026-1868</a>漏洞影響GitLab AI Gateway的多個版本分支，<a href="https://about.gitlab.com/releases/2026/02/06/patch-release-gitlab-ai-gateway-18-8-1-released/" target="_blank">GitLab已釋出修補更新</a>，並強烈建議使用者儘速升級至GitLab AI Gateway 18.6.2、18.7.1或18.8.1版本，以降低遭濫用風險。GitLab也補充說明，由官方託管的GitLab AI Gateway服務，包括GitLab.com與GitLab Dedicated，已完成修補，用戶無須額外採取行動。</p> <p>值得注意的是，這項漏洞並非由外部研究人員通報，而是GitLab內部工程團隊在安全檢視過程中主動發現，並隨即展開修補與版本更新作業。</p> <p>從更廣泛的資安實務角度來看，美國國家標準與技術研究院<a href="https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final" target="_blank">（NIST）安全指引中</a>指出，涉及模板引擎與使用者輸入資料的功能，若缺乏完善的輸入驗證與隔離機制，往往被視為潛在的高風險攻擊入口。對於導入AI代理與自動化工作流程的系統，企業除應即時套用修補更新，也需重新檢視權限設計與存取控管，避免單一元件漏洞被放大為整體開發平臺的安全破口。</p> </div></div></div>
2/11 10:13作者王珮瑤https://www.ithome.com.tw/news/173890
TIOBE指數Python仍居第一但熱度下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>TIOBE<a href="https://www.tiobe.com/tiobe-index/">公布</a>2026年2月程式語言社群指數，Python以21.81%續居第一，仍比第二名C語言的11.05%高出逾10個百分點。不過TIOBE指出，Python在2025年7月曾達26.98%高點，但現在卻評分回落，且相較去年同月下滑2.08個百分點，顯示熱度正在降溫。</p> <p>TIOBE CEO Paul Jansen解讀，Python分數下降並非因某個競爭語言快速拉近差距，而是部分需求逐步分流到更專門的特定領域語言，其中以R語言與Perl最為明顯。R長期在統計與資料科學領域與Python競爭，近年一度被Python拉開差距，但近期能見度再度回升，並已連續數月重返前十。</p> <p>R本月以2.19%排第八名，名次從去年第15名上升，Perl則以1.67%排第11名，名次從第30名大幅攀升。Paul Jansen指出，Perl曾是指令碼領域的主流語言，後來因社群路線分歧，加上新語言崛起而逐漸降溫。近期Perl排名回升到榜單前段，他認為Perl已重新回到前十名附近的角逐行列，再度成為關注對象。</p> <p>除了Python降溫與R、Perl回升，前段班也出現排名變動，C++本月以8.55%排第三，Java以8.12%排第四，兩者相較去年同月分別下滑2.82與2.54個百分點。C#以6.83%維持第五名，但年增2.71個百分點，是前五名中少數明顯成長者。</p> <p>前十名其他語言還包括JavaScript 2.92%、Visual Basic 2.85%、SQL 1.93%與Delphi/Object Pascal 1.88%，顯示多元語言生態仍同時存在於企業系統與開發社群的關注範圍內。</p> <p>TIOBE指數每月更新，評分依據全球具相關技能的工程師數量、課程與第三方供應商等訊號，並彙整Google、Amazon、Wikipedia與Bing等超過20個網站資料計算，可用來觀察語言能見度與人才熱度，並不代表最佳程式語言，也不等同以程式碼行數衡量的使用量。</p> </div></div></div>
2/11 08:33作者李建興https://www.ithome.com.tw/news/173886
IoT產品資安議題升溫，Canon揭露複合機內建多種防護機制，並發布自家設備零信任安全模型實作指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>早年列印複合機與事務機往往被視為辦公設備，成為IT與資安管理容易忽略的角落，雖然這類產品後續的發展，已重視文件安全、功能權限控管與稽核機制的強化，不過安全重心放在文件與使用者層面。</p> <p>隨著物聯網（IoT）風險日益嚴峻，不論路由器、攝影機、印表機都有可能被駭客入侵操控，甚至成為內網跳板，使得設備本身的安全防護日益受重視。例如，過去我們曾介紹<a href="https://www.ithome.com.tw/review/125918">晶睿監控攝影機強化防護</a>，導入趨勢科技的物聯網防護系統，即顯現IoT設備對資安防護的提升。</p> <p>在列印設備方面，早年多是強調提供硬碟加密與資料安全覆寫等防護功能，後續我們亦注意陸續有業者展開更多行動，強化設備本身的安全，提供BIOS驗證、韌體完整性檢查，以及即時監控防護。</p> <p>經過多年的安全性持續改進，近期佳能（Canon）在臺發表新款商用複合機imageFORCE系列，產品資安設計竟一躍成為最大賣點，也讓我們有機會了解近期這類事務設備防護功能的最新趨勢，包括：提供可主動建議資安設定的AI環境評估，內建開機驗證系統與Trellix資安防護，以及發布設備零信任安全模型實作指引的白皮書等。</p> <h3><strong>新增AI強化安全環境評估，可主動偵測環境提供資安設定建議</strong></h3> <p>這次發表會主角是Canon全球最新推出的imageFORCE系列複合機，1月在臺灣舉行的產品發表會上，佳能亞洲行銷總部商用產品行銷部資深經理Bhatt Ravi指出，Canon在安全設計上迎來重要突破，新一代產品全面導入2025年推出的AI強化「安全環境評估引擎（Security Environment Estimation Engine」，可提供更直覺的安全設定操作。</p> <p>具體而言，這項安全環境評估引擎是Canon自行開發，以機器學習技術預先訓練的軟體演算法，其核心價值在於，當複合機感測到網路環境發生變化時，系統會立即提出相應的資安建議，可協助無專業IT背景的客戶，在設備初次連網或日後環境變更時，可分析網路環境、自動建議最佳安全設定並持續監控風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Canon複合機本身資安提升_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Canon%E8%A4%87%E5%90%88%E6%A9%9F%E6%9C%AC%E8%BA%AB%E8%B3%87%E5%AE%89%E6%8F%90%E5%8D%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>現場Canon人員展示安全環境評估引擎功能的設定介面。從畫面中可見，其觸發條件包括使用環境更新，或偵測到網路安全性問題，或發現無線區域網路加密方法存在漏洞時。</strong></span></p> <p>事實上，部分家用無線路由器品牌已提供類似機制，會根據當前環境主動提供簡化流程後的安全設定建議。然而，這類安全環境評估設計在列印設備領域相對少見，如今Canon已將這類概念導入商用複合機產品中。</p> <p>至於其他最新安全功能的發展，Canon imageFORCE系列還新增3項強化措施，包含在遠端存取控制機制中導入MFA，提升可設定的密碼長度上限，以及改善雙網路架構，進一步支援無線區域網路作為主線路。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Canon複合機本身資安提升_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Canon%E8%A4%87%E5%90%88%E6%A9%9F%E6%9C%AC%E8%BA%AB%E8%B3%87%E5%AE%89%E6%8F%90%E5%8D%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><strong>以Root of Trust</strong><strong>防範竄改，以白名單保護開機啟動檔案完整性</strong></h3> <p>除了上述AI環境評估等最新安全功能，在設備內建安全功能方面，在這次發表會上，Canon亦強調裝置層即時防護，結合Trellix資安引擎主動攔截風險，並具備系統完整性監控。</p> <p>基本上，這類開機防禦功能的強化已推動多年，我們在七、八年前即觀察少數列印設備業者有此發展，像是HP等，Canon亦在2019年已跟上潮流，包括：引入開機驗證系統功能，以及導入McAfee Embedded Control解決方案（現稱Trellix Embedded Control）。</p> <p>上述所謂的開機驗證系統功能，是以硬體信任根（Root of Trust）強化防範軟體竄改的安全性，確保啟動時執行程序，包括開機程式碼、作業系統、韌體及MEAP應用程式未遭竄改。此外，期間Canon亦升級TPM 2.0晶片。</p> <p>以導入McAfee Embedded Control而言，將與開機驗證系統功能協同運作，主要是以白名單機制確保設備韌體與應用程式的檔案完整性，禁止未經授權的註冊軟體模組改寫行為，僅允許授權系統程序對設備實施變更，此設計有助於限制蠕蟲、病毒、間諜軟體及其他惡意軟體對裝置的侵害。</p> <p>還有一項重點是，Canon商用複合機在2018年增加與第三方SIEM系統的整合，設備主要支援透過Syslog協定推送即時安全事件，以實現與第三方SIEM解決方案的日誌同步。</p> <h3><strong>Canon發布設備零信任安全模型實作指引，強調將列印設備納入端點安全討論</strong></h3> <p>資安合規亦是Canon強調的重點，當中最矚目的是通過FIPS 140-3認證，根據NIST網站公開資料顯示，Canon的MFP Security Chip加密模組已在2024年底取得FIPS 140-3認證。以列印設備商而言，目前Canon在這方面的進度算是領先。</p> <p>由於產品資安已是產業共識，產品資安事件應變團隊（PSIRT）的建立也是大家關心的重點之一，Canon在這方面的進展又是如何？</p> <p>李紹祺表示，最早可追溯至2022年1月，當時Canon PSIRT即加入FIRST國際資安應變組織，建立起標準化的漏洞通報與因應機制，隔年正式公開揭露自家PSIRT。</p> <p>此外，Canon亦針對列印設備發布多份資安白皮書。儘管發布白皮書是國際大廠的常態，但我們過去較少有進一步介紹，因此這次也請該公司說明其背後的意義。</p> <p>以「Canon設備NIST SP 800-171/800-172合規指引」而言，這是Canon在2022年1月發布。李紹祺表示，主要是回應NIST標準要求，提升產品合規與國際市場採購需求，特別的是，他提到Canon亦針對醫療、教育、法務等垂直產業推出客製化版本，這將顯現業者不僅是設備供應商，也能是資安合規夥伴。同年7月，還有發布「Canon設備NIST SP 800-193平臺韌體保護指引」。</p> <p>以「Canon設備零信任安全模型實作指引」而言，是在2025年11月發布。李紹祺指出，這不僅呼應全球資安發展趨勢，更聚焦將列印設備正式納入「端點設備」範疇，展示其在網路防護、身分驗證、加密、偵測與回復等面向的對應機制，讓IT團隊能將印表機視為零信任策略的一環。</p> <p>此外，Canon配合商用複合機產品早年亦推出文件安全管理系統Therefore，如今Therefore Online亦強調對全球多國合規標準的支援。</p> <p>整體而言，我們可以發現，對於產品資安的強化，列印設備領域亦是相當積極，而臺灣的產品與服務業者亦可從中借鏡，並將產品從純硬體銷售提升至資安合規服務的戰略層次。</p> <p> </p> <h3 class="rtecenter"><span style="color:#0099ff;"><strong>列印驅動新變革，微軟2027年7月不再提供第三方驅動更新</strong></span></h3> <p>列印驅動的發展態勢亦受關注，這次Canon亦介紹其搭配商用複合機的企業列印管理平臺uniFLOW Online雲端服務，提供漫遊列印，已整合微軟最新Universal Print，因此不像早年uniFLOW軟體需架設專用伺服器與特定驅動程式。</p> <p>我們猜測這項發展應是呼應<a href="http://www.ithome.com.tw/news/158794">微軟在2023年推動以IPP Class Driver與Windows Protected Print（WPP）模式</a>，取代傳統的第三方驅動程式，並也推出Universal Print服務簡化其應用。如今Canon表示他們已做好這方面的準備，uniFLOW Online服務已全面相容微軟的最新規範，進一步提升雲端列印方便與安全。</p> <p>而我們也查詢這方面的最新進展，微軟表示預計從2026年7月起，優先採用內建的IPP Class Driver，2027年7月則是更進一步，Windows Update不再提供第三方驅動更新。這意味著，微軟正持續推動列印架構轉型，藉由統一維護列印核心元件，降低第三方驅動程式將漏洞引入作業系統的風險，目前，各大列印設備供應商已普遍跟進支援此趨勢。</p> <h3 class="rtecenter"> </h3> </div></div></div>
2/10 18:30作者羅正漢https://www.ithome.com.tw/news/173869
國人及公務員年節赴中旅遊，資安署：小心手機使用的7大資安風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>農曆年節將近，不少人可能選擇出國渡假，數發部資安署針對國人赴中國旅遊或差勤發布警訊，提訊民眾在中國使用手機應避免7大資安風險，避免資料外洩。</p> <p>資安署指出，國人在假期間規畫出國旅遊，境外連網環境通常有較高的資料被竊或遭到監控的風險，特別是中國以《網路安全法》、《國家安全法》、《數據安全法》、《反間諜法》等法規，對網路通訊實施高強度監控，為高度資安風險地區，提醒國人赴中使用手機應具備資安防護意識，而公務人員應具有更高的資安防護意識，避免公務資料外洩。</p> <p>資安署強調在全球科技競爭、供應鏈重組、美中戰略緊張，中國以政策及法規加強審查，已遠超資通安全保護的目的，民眾到中國旅遊，應評估個人資料保護、資通安全風險，公務人員則應採更謹慎的態度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961(3).JPG" style="width: 600px; height: 482px;" /></p> <p>資安署列出在中國使用手機的7項資安風險，第1項為建議國人使用國內電信業者原號國際漫遊，由於通訊內容會以加密傳輸，相較於使用當地SIM卡或eSIM而言相對比較安全，不過由於使用漫遊，仍不可避免漫遊時手機識別碼（IMEI）、GPS遭蒐集，資安署建議如為公務員應使用飛航模式，必要時才連網。</p> <p>第2項是不要使用公共Wi-Fi，公共Wi-Fi難以確保安全，也是駭客鎖定的攻擊手法，一般民眾應儘可能避免使用；至於公務員則禁用公共Wi-Fi，避免公務資料遭竊。</p> <p>第3項避免使用當地的SIM卡或是eSIM卡，與前面第1項風險為一體兩面，由於當地的SIM卡或eSIM卡為實名制，申請當地SIM卡或eSIM卡等於將自身的身分資訊、位置、網路活動曝露在中國的網路審查及監控機制下，資安署建議國人使用國內電信業者原號漫遊，公務員僅在必要時連網。</p> <p>第4項是應注意的風險是避免使用公共USB充電，這是一種充電陷阱(Juice Jacking)的攻擊手法，駭客利用機場、酒店或購物中心等公共場所的USB 充電座或被改造的惡意充電線，在設備充電時竊取資料或是植入惡意軟體。資安署建議國人或公務員應使用自己攜帶的行動電源或充電器，以避免被竊取資料或遭駭。</p> <p>第5項是手機應避免離身，如果因故離身、遭到搜查或留置，回國後應立即重置系統，降低被監控的風險；至於公務人員出國前，應先確認手機內是否留存公務資料，並且在中國期間避免公務聯絡，以防遭到竊聽。</p> <p>第6是不要安裝中國的App，由於App可能要求過多的權限，例如存取通訊錄、麥克風、相機、位置等，可能增加個人隱私與資料外洩風險，公務設備則完全禁止安裝中國的App。</p> <p>事實上在去年12月時，資安署就針對中國App提出警示，包括微信、抖音、小紅書、微博、百度雲盤5款來自中國的App具有資安風險，除了將資料回傳中國之外，還有過度蒐集個資、使用者的權限等情形。</p> <p>第7項則是不要購買當地手機或中國品牌手機，因為這些手機可能被植入後門或監控軟體，導致資料被蒐集，因此不要購買當地的手機或中國品牌手機，至於公務員則禁止使用其手機。</p> </div></div></div>
2/10 18:12作者蘇文彬https://www.ithome.com.tw/news/173887
【資安日報】2月10日，網路間諜活動Shadow Campaigns肆虐，臺灣傳出有電力設備供應商遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173867"><strong style="font-size: 22px;">國家級駭客鎖定關鍵基礎設施從事大規模網路間諜活動，範圍涵蓋全球155個國家</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-674925-171562-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-674925-171562-1.png" style="width: 300px; float: right;" /></a></p> <p>Palo Alto Networks旗下威脅情報團隊Unit 42發現亞洲國家級駭客組織TGR-STA-1030（別名UNC6619）出沒，針對全球的政府機關與關鍵基礎設施發動大規模攻擊Shadow Campaigns，最近一年已入侵37個國家的政府機關與關鍵基礎設施，意味著全球有五分之一的國家受害。值得留意的是，這些駭客從去年11月至12月，進行廣泛且積極的偵察，範圍涵蓋臺灣在內的155個國家。對此，Unit 42公布駭客使用的複雜技術與基礎設施，並透露全球各地部分國家被針對的情況。根據各地區受害組織的調查，駭客主要鎖定的目標，是已建立經貿合作關係，或正在尋求特定經貿合作關係的國家。</p> <p>研究人員根據駭客的語言設定偏好、特定區域的工具與服務頻繁使用、活動與GMT+8時區對齊，以及駭客發動攻擊的時間點，正好與特定國家對於感興趣的事件發生的時間點一致等特徵，認為駭客來自亞洲。上述行為模式特徵，很難不讓人聯想到：這組人馬有可能來自中國，巧合的是，Unit 42提及，該組織其中一人使用阿里巴巴及雲鋒基金（Yunfeng Capital）共同創辦人馬雲的英文名字「JackMa」作為代號，不禁讓人聯想：TGR-STA-1030可能是熟悉中國狀況的攻擊者，甚至就是中國國家級駭客。</p> <p><a href="https://www.ithome.com.tw/news/173870"><strong style="font-size: 22px;">大規模網路間諜活動Shadow Campaigns肆虐，臺灣傳出有電力設備供應商一年內兩度遭駭</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-690168-171562-7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-690168-171562-7.png" style="width: 300px; float: right;" /></a></p> <p>2月5日資安公司Palo Alto Networks旗下的威脅情報團隊Unit 42，揭露代號為Shadow Campaigns的大規模攻擊行動，攻擊者的身分是外號為TGR-STA-1030、UNC6619的國家級駭客組織，值得留意的是，這次Unit 42也特別透露臺灣受到影響的情形。根據這家資安廠商的調查，在2025年初，TGR-STA-1030曾入侵臺灣電力設備產業的一家主要供應商，從而掌握全臺各地發電專案的相關檔案。值得留意的是，這些駭客大約於去年12月中旬，再度存取該廠商的網路環境。</p> <p>還有一個國家遭到TGR-STA-1030攻擊的活動，也可能與臺灣有關。他們提及去年10月31日美洲出現大規模偵察活動，駭客鎖定超過200個宏都拉斯政府基礎設施的IP位址，由於一個月後該國即將舉辦總統與議員大型選舉，時間點相當巧合。Unit 42認為，這波大規模偵察活動的動機，可能與其中有兩位總統候選人對於恢復臺灣的外交關係，表達開放的態度有關。</p> <p><a href="https://www.ithome.com.tw/news/173879"><strong style="font-size: 22px;">SolarWinds網路IT服務臺漏洞遭到利用，駭客搭配鑑識工具控制受害主機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SolarWindsWebHelpDesk-image-13.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SolarWindsWebHelpDesk-image-13.png" style="width: 300px; float: right;" /></a></p> <p>微軟與威脅情報公司Huntress提出警告，他們發現有人鎖定SolarWinds的網路IT服務臺Web Help Desk（WHD）下手，於受害組織部署名為Zoho ManageEngine的遠端管理工具（RMM）建立存取管道，最終於被滲透的主機植入了數位鑑識與事件回應（DFIR）工具Velociraptor。</p> <p>較早警告此事的是微軟，他們看到針對SolarWinds的網路IT服務臺的多階段攻擊活動，駭客首先透過WHD取得受害組織的初期存取管道，隨後橫向移動到網路環境的其他高價值資產。由於SolarWinds甫於1月28日揭露與修補遠端程式碼執行（RCE）漏洞CVE-2025-40551，再加上該漏洞能與另一個安全控制繞過漏洞CVE-2025-40536串連，不免讓人聯想到駭客可能利用這些漏洞從事攻擊。不過，微軟指出，這波活動發生在去年12月，加上遭到攻擊的IT服務臺版本不一，他們無法確定駭客利用了哪些漏洞，並表示不排除另一個去年9月修補的CVE-2025-26399，也可能遭到濫用。</p> <p><a href="https://www.ithome.com.tw/news/173872"><strong style="font-size: 22px;">新加坡指控中國駭客UNC3886入侵電信業，去年4家業者遭攻擊</strong></a></p> <p>針對去年7月中國駭客UNC3886攻擊新加坡關鍵基礎設施架構的情況，本週新加坡網路安全局（Cyber Security Agency，CSA）及資訊網路媒體開發管理署（Infocomm Media Development Authority，IMDA）指出，駭客鎖定當地4家電信公司M1、SIMBA Telecom、新加坡電信（Singtel），以及StarHub發動攻擊，政府介入此事，有效減弱駭客攻擊的災害範疇。</p> <p>這場攻擊一開始是由電信業者偵測到，後者隨後通知IMDA及CSA。隨後兩機關動員全星國政府，啟動代號為「網路保衛者行動（Operation CYBER GUARDIAN）」的回應行動，是新加坡歷來最大的聯合網路事件回應，時間長達11個月，涉及的網路防護機關超過100個，包含CSA、IMDA、策略資通訊技術中心（CSIT）、數位和智慧服務（DIS）、新加坡政府科技局（GovTech）、以及國內安全部（Internal Security Department，ISD）等。</p> <p><a href="https://www.ithome.com.tw/news/173811"><strong style="font-size: 22px;">歐盟行動裝置管理平臺遭網路攻擊，員工資料傳出外洩</strong></a></p> <p>歐盟執委會資安維護單位CERT-EU於1月30日，在其集中式行動裝置管理（Mobile Device Management，MDM）基礎架構發現到網路攻擊的跡證。歐盟執委會強調迅速回應，在9小時內阻止了事件，並清理系統。執委會表示將徹底調查此事，目前還未偵測到行動裝置被駭，不過，歐盟執委會尚未公布網路攻擊事件細節。</p> <p>值得留意的是，歐洲政府機關行動裝置管理平臺遭駭的情況接連發生，上周荷蘭資料防護管理署和司法議會向荷蘭國會通報系統遭駭，兩個組織發生的事故出現共通點，駭客都是針對端點管理平臺Ivanti Endpoint Manager（EPM），利用任意程式碼執行漏洞CVE-2025-10573。</p> <p><a href="https://www.ithome.com.tw/news/173842"><strong style="font-size: 22px;">波蘭電網遭俄羅斯駭客發動大規模破壞攻擊，2家資安業者與CERT Polska發布調查報告</strong></a></p> <p>鎖定國家基礎設施的威脅再次升級，隨著今年1月下旬ESET、Dragos兩家資安業者發布相關調查報告，更引發重視的是，月底波蘭電腦應急響應小組（CERT Polska）公布更具體的調查結果，這場針對OT與電網安全的攻擊活動，成為國際關注的焦點。</p> <p>此消息最初是在1月13日由該國能源部長Miłosz Motyka向媒體披露，兩日後，波蘭總理Donald Tusk召開記者會，公布事件初步狀況，指出該國能源基礎設施於12月29日至30日期間遭到攻擊，目標包括兩座熱電共生（CHP）電廠，以及負責管理風力與光電設施的再生能源調度系統。所幸事件已成功阻擋，未引發停電等實質風險。Donald Tusk總理表示，據掌握跡象來看，這起攻擊係由與俄羅斯情報部門直接聯繫的組織策畫。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/173811"><strong style="font-size: 22px;">CISA更新VMware ESXi已遭利用漏洞資訊，確認遭勒索軟體濫用</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於2025年3月，首度將VMware ESXi高風險資安漏洞CVE-2025-22225納入「已知遭利用漏洞」（KEV）名單。今年2月上旬，CISA進一步更新KEV資訊，正式標註該漏洞已遭勒索軟體攻擊活動利用。</p> <p>CVE-2025-22225的CVSS v3.1風險分數為8.2分，屬於高風險等級漏洞。Broadcom在2025年3月發布的安全公告指出，若攻擊者在VMX處理程序中具備高權限，可能觸發核心層級的任意寫入行為，進而從虛擬機器的沙箱逃逸出去，影響宿主系統安全。受影響產品包括VMware ESXi、vSphere、Workstation、Fusion、Cloud Foundation，以及Telco Cloud Platform等虛擬化平臺。</p> <p><a href="https://www.ithome.com.tw/news/173853"><strong style="font-size: 22px;">在臺灣用AI護世界，臺灣資安新創廠商奧義掛牌上市</strong></a></p> <p>成立於2017年底的臺灣資安新創公司奧義智慧科技（CyCraft），因為三位領軍的創辦人：吳明蔚（Benson Wu）、邱銘彰（Birdman）、叢培侃（PK）分別具有工程師、白帽駭客與警察身分，多次連續創業成功的傳奇經歷，以及專注運用AI技術與自動化資安防護技術的發展，使得該公司備受各界看好，2019年獲得1.75億元的國際創投B輪融資，2025年完成1.36億元現金增資，到了今年2月5日，該公司即將以代號7823、奧義賽博科技（CyCraft Technology Corporation）的身分，正式在創新板掛牌上市。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ole-chain/">北韓駭客ScarCruft濫用俄羅斯雲端服務從事攻擊，藉由OLE物件挾帶惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/02/dutch-authorities-confirm-ivanti-zero.html">兩個荷蘭政府機關遭到Ivanti零時差漏洞攻擊，駭客入侵行動裝置管理平臺EPMM竊取員工資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-smartermail-rce-flaw-used-in-ransomware-attacks/">美國CISA警告郵件伺服器暨協作平臺SmarterMail重大漏洞已遭利用，駭客用於勒索軟體攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-breach-smartertools-network-using-flaw-in-its-own-software/">郵件伺服器平臺SmarterMail開發商驚傳遭駭，中國駭客Storm-2603植入勒索軟體Warlock</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-abuse-clawhub/">惡意OpenClaw技能套件利用外部網站迴避ClawHub掃描機制</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173855"><strong>【2月9日】AI社群平臺Moltbook配置不當，攻擊者恐冒名AI代理寫入資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173824"><strong>【2月6日】中國駭客假借提供LINE安裝程式散布惡意軟體ValleyRAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/173782"><strong>【2月5日】與APT41有關的中國駭客利用WinRAR漏洞在東南亞從事網路間諜活動</strong></a></p> </div></div></div>
2/10 18:15作者周峻佑https://www.ithome.com.tw/news/173884
Cloud趨勢雙周報第223期：日本雅虎和LINE私雲大整併最新進展，三大公雲財報反應AI代理新課題，FinOps規範…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><span style="color:#FF0000;"><strong>雲端趨勢重點新聞（2026/1/1～2/8）</strong></span></p> <h3><strong style="color: rgb(0, 0, 255);">#本期焦點 #私雲整併 #AIOps</strong><br /> <strong style="color: rgb(0, 0, 255);">日本雅虎和LINE兩大私雲大整併，未來三年要打造智慧私雲</strong></h3> <p>LINE母公司LYC在2月6日宣布，將日本LINE和日本Yahoo原有兩套私雲環境，整併成了一套新的私雲平臺Flava，並開始將原有所用的雲端服務，陸續轉移到新的平臺中。LYC雲端服務部門成員Young Hee Park也揭露了這個新平臺多項細節。</p> <p>LINE與日本雅虎於2021年合併，組成了LY Corporation（簡稱LYC）。去年5月在年度科技大會中宣布了兩家公司IT基礎架構的5年大整併計畫，預計用五年時間，全面整合日本、韓國、越南、臺灣和泰國的IT資源，來降低成本、強化安全性和豐富開發功能。</p> <p>LYC預計打造一個整合所有IT資源的超大平臺的內部專案名稱為Catalyst One，將包括了私雲、AI、數據、商業服務、DevOps、資安、設計平臺等。私雲平臺就稱為Flava。</p> <p>Line與Yahoo! Japan原本都各有一套自己的私雲環境，當時宣布這項計畫的LYC服務基礎管理事業群總經理冨川修広指出，他們擁有超過50萬臺伺服器，網路流量高達3TBps，處理超過1.2EB海量資料，更有三百多個不同平臺，來支援超過1,700人的DevOps開發團隊。LYC計畫先合併重複功能的服務，再升級資安做法，最後導入各項新技術來完成整併。</p> <p>Young Hee Park表示，開發團隊所用的產品和服務，仍分散在不同的內部平臺上，目前首要任務是提供開發團隊所需的各種開發服務，並且確保可提供一致的開發體驗和共享的基礎架構，他們將這項工作稱為「平臺Flava化」，預計一到兩年可以完成大部分的工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7Flava-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90LYC.jpeg" /></p> <p>Flava最大特色是在雲端平臺層面預設遵循了LYC內部的安全治理要求，像是依據資料安全等級（如預設安全、秘密、最高機密）來區分雲端環境，以隔離方式儲存和處理每一層級的資料。資源配置作業也從過去1、2個月縮短到幾分鐘，只要10個獨立作業流程就能完成。不過，這些流程目前仍需經過審核，運算資源如建立一個VDI帳號的端到端交付時間，依舊要花上兩個月，這是他們接下來要雲端治理要優化的重點。</p> <p>Flava接下來有三大發展方向，第一是支援AIOps（用AI支援IT維運）的工具、發展AI底層技術，升級成智慧雲（Intelligent Cloud）。<br /> 在AIOps工具上， LY集團中，許多團隊都積極運用AI來提高生產力，也需要對應的支援平臺，例如MCP協定伺服器平臺，向量資料庫平臺、AI可觀測性平臺、AI模型管理系統等。Flava平臺計畫要提供一套標準化、符合內部規範的共享雲端平臺。AI底層技術則聚焦網路和儲存服務，像是如何善用資料處理晶片（DPU）或超高速NVMe的儲存系統等技術研發。</p> <p>最後一項目標是要整合AI來發展一朵智慧私雲，要讓不同團隊的工程師，可以用自然語言輸入複雜的開發和配置需求，雲端平臺自動生成可執行的架構方案，也能進行部署和配置。甚至希望可以透過AI來處理大規模資源的漏洞、提供成本優化建議、監控資源利用率、偵測未加密個資等能力。這是Flava未來三年的發展方向。</p> <h3><span style="color:#0000FF;"><strong>#雲端費用管理 #FOCUS #成本分攤<br /> FinOps規範FOCUS最新版重點，要解決成本分攤和公雲契約追蹤難題</strong></span></h3> <p>Linux基金會旗下FinOps組織推動的雲端財務管理維運規範FOCUS在去年底發布了1.3版，新版規範最大特色是解決了三個雲端成本控管時的難題，共享資源的成本分攤、雲端供應商合約承諾的追蹤，以及各種維運資料時效性的驗證難題。</p> <p>新版規範增加了一個「合約承諾」資料集，可以用來記錄合約條款相關資訊，例如契約開始和結束時間，剩餘數量和描述等，方便企業用結構化的方式來追蹤合約的承諾。<br /> 另外，1.3版中，用來將企業內部數據轉換成符合FOCUS規範資料（用於跨雲管理用）的資料產生器，增加了成本分配的欄位，可以用來將工作負載的成本如何分攤到不同用途上，方便企業用來設定共享資源的分攤方式。支援FOCUS規範的供應商，未來也需要在所提供的費用資料，加上時間戳和完整性狀態的標記，例如是否為最終版價格，以利自動對帳工作的執行。</p> <p>主流公雲業者和多家雲端服務商都參與了1.3版規範，包括AWS、Google雲端、微軟、甲骨文OCI、OVH、Databricks、Grafana、阿里雲、華為、騰訊雲等。這些廠商也都支援FOCUS，只是支援版本不一，例如AWS和微軟Azure都支援到1.2版，Google雲端和甲骨文則只有支援1.0。下一個FOCUS 版本將繼續強化對SaaS計費機制的支援，還會增加更多在資料中心和人工智慧各類費用的管理類型。</p> <h3><strong><span style="color:#0000FF;">#全球資料中心支出暴增<br /> Gartner預測：全球IT支出成長率達10.8%，資料中心支出則將暴增31.7%</span></strong></h3> <p>分析機構Gartner在2月3日公布了今年的全球IT支出預測，今年全球IT支出規模將達到6.15兆美元，整體支出規模比2025年增加了10.8%。尤其是AI相關硬體和軟體支出都持續增加，大規模雲端供應商對AI工作負載所需伺服器的投資更是帶動整體IT支出的成長。</p> <p>Gartner更細分出不同IT類別的支出，IT全球資料中心支出今年將達到6,534億美元，比去年增加了31.7%，成長力道次高的是全球軟體支出，今年預估規模達到1.43兆美元，成長率14.7%。金額最高的IT服務類支出則高達1.857兆美元，比去年增加了8.7%。另外一個大宗支出則是通訊服務，達到1.365兆美元，比去年也增加了4.7%，最後一類全球企業的裝置（平板，手機，電腦等）支出，規模則有7,883億美元，比去年增加了6.1%。</p> <p>和去年相比，不論是資料中心或裝置的成長力道，都比去年減弱，Gartner分析時認為，受到記憶體價格上漲的影響，裝置平均價格跟著增加，也削弱了企業汰換設備的幅度，也造成低階設備市場的供應量減少。</p> <h3><span style="color:#0000FF;"><strong>#OpenClaw #超級AI代理<br /> 想玩最夯OpenClaw超級助理，Cloudflare釋出雲端部署版Moltworker專案</strong></span></h3> <p>最近幾個月，開發圈最夯的是超級AI代理OpenClaw（原名ClawdBot)，相關的技能套件超過上千個，雖然也出現了多項因為權限太高而衍生的資安風險，更開始有竊資木馬瞄準AI代理的電腦。Cloudflare是出了一個開源的雲端部署版Moltworker，可以讓開發者在雲端沙盒環境中，部署一套ClawdBot，而不需要實體的硬體設備。</p> <p>Moltworker的入口Worker，負責API路由與代理，並透過Sandbox SDK在隔離環境中啟動容器，執行Moltbot的既有閘道環境與整合項目。為了讓AI代理能執行需要瀏覽器的工作，專案也接上Cloudflare Browser Rendering，提供無頭瀏覽器能力，讓Moltbot可進行網頁操作與截圖等流程。另一方面，考量容器屬短暫執行環境，專案以R2物件儲存提供持久化資料，用於保存對話紀錄與必要的狀態檔案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7Moltworker%E5%B0%88%E6%A1%88-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Cloudflare.jpeg" /></p> <h3><span style="color:#0000FF;"><strong>#政府上公雲 #CloudOne<br /> 美國國防部年初與多家公雲簽署累計超過8億美元的合約</strong></span></h3> <p>美國國防部在1月宣布了與多家公雲業者的新合約金額，用於Cloud One專案的基礎架構需求，限定美國本土境內的指定資料中心，預定2028年12月7日前完成。其中，AWS則獲得5.8億美元的合約，微軟Azure獲得1.7億美元合約、甲骨文則獲得8千8百多萬美元的合約。<br /> Cloud One是美國空軍從2017年開始設立的多雲企業平臺，專門提供美國國防部各種任務的一站式雲端解決方案，從飛機機組人員回報設備狀況，到特種作戰部隊身上戰術裝置的數據傳輸系統等。這個平臺採購了多家工雲的服務，再由美國空軍生命週期管理中心的企業雲端服務部門負責管理。</p> <h3><span style="color:#B22222;"><strong>#Azure單季營收 #AI代理管理<br /> 微軟雲端單季營收達515億美元，去年同期增加26%，接下來瞄準Agent管理與保護新需求</strong></span></h3> <p>微軟在1月28日公布截至2025年12月31日的2026財年第二季財報，單季創下813億美元的營收，年增17%。所有以雲端、訂閱或用量計費方式交付的Microsoft Cloud，該季營收達515億美元，年增26%。該季營收成長幅度最高的是Azure與其他雲端服務，年增39%，不過，比前一季的成長率40%略低；其次為Microsoft 365 Consumer Cloud，年增29%；Microsoft Cloud整體營收年增26%。微軟也揭露，Azure 未來業務契有約45%來自OpenAI，約2,800億美元。這是OpenAI未來幾年承諾要付給微軟的費用。</p> <p>微軟目前優化策略，以「每瓦每美元的Token數」為指標，同時要善用矽晶片、系統和軟體利用率，來降低整體成本。這一季也宣布了7個國家的資料中心投資，來支援當地的主權雲需求。</p> <p>微軟觀察，這一季開始反映出AI的擴散，各行各業對AI開發的需求都大增，也反映到微軟AI開發平臺Foundry出現了許多鉅額用戶，單季支出100萬美元的企業增加了快80％。250家企業，每一家在Foundry上處理的Token數量累計，今年有機會超過1兆個Token。辦公室套件M365 Copilot的付費訂閱人數也達到1,500萬戶數，活躍用戶數比去年同級增加了10倍。而開發助手Github Copilot的付費訂閱數則達到了470萬人，比去年同期增加了75%。</p> <p>微軟執行長Satya在財報電話會議中提到，我們正處於AI擴散的初期，AI代理的普及帶來新的需求類別，企業需要用新的方式部署、管理和保護這些AI代理，這就創造了一個新的IT需求類別。這正是微軟看上的新產業機會。</p> <h3><strong><span style="color:#B22222;">#GCP單季營收 #Gemini用戶破7億<br /> Google雲端單季營收比去年同期暴增48%，Gemini全球用戶數突破7.5億人</span></strong></h3> <p>Google母公司Alphabet則在幾天後的2月4日公布2025年第四季財報，在搜尋廣告、Youtube和雲端業務同步成長的情況下，單季營收達到1,138億美元，比去年同期增加18%。其中，Google服務（Google Services）占了958.6億美元，成長14%，包括搜尋和各種訂閱服務。單看GCP雲端業務，單季營收則有177億美元，比去年同期大幅增加了48%。Alphabet揭露，Gemini全球每月活躍用戶突破了7.5億人，去年第四季就增加約1億人，主要成長助力來自圖片生成模型Nano Banana及Gemini系列產品的進展。不過，這個人數還沒趕上ChatGPT去年底約8億人用戶的規模。</p> <p>在AI服務上，推出才四個月的Gemini Enterprise付費訂戶超過800萬個。而推出才兩個月的Google Antigravity開發平臺每週活躍用戶數超過150萬人。</p> <p>Google正大規模將AI導入到自家產品和平臺中，像是Google搜尋推出AI模式後，人們的搜尋方式正在改變，美國用戶單日AI模式查詢次數翻了一倍，六分之一的AI模式查詢都是非文字內容的查詢，查詢時間是傳統搜尋的三倍，內容也更複雜。</p> <p>Alphabet預計2026年資本支出中約六成，約1050億到1,110億美元，將用於伺服器資產的費用，剩下4成則用於新建資料中心設施和網路的建置。伺服器支出則主要用來部署AI相關基礎設施，包括Google自己研發的TPU和NVIDIA的GPU。這些運算資源將平均分配到GCP和Google內部的工作負載上。</p> <h3><span style="color:#B22222;"><strong>#AWS單季營收 #瞄準AI代理上線管理<br /> AWS單季營收成長率創4年新高，下一步瞄準企業AI代理從部署到上線的安全管理新難題</strong></span></h3> <p>根據Amazon在2月5日公布截至2025年12月31日的第四季財報，該季創下2,134億美元的營收，年成長14%。其中，AWS營收為356億美元，年增24%，是四年多（13季）以來成長幅度最高者。</p> <p>AWS自製晶片Trainium和Graviton的年收入合計超過100億美元，每年成長率超過100%。140萬顆Trainium 2晶片已經全數訂閱完畢，去年底發表的Trainium 3晶片則預估2026年中就會賣光（訂閱），但是下一代晶片Trainium 4則要等到2027年才會開始交付，FP4運算效能是Trainium 3的6倍。用來開發各種AI應用的平臺Amazon Bedrock已有超過10 萬家企業採用，年營收超過了數十億美元，去年第四季的客戶支出比前一季增加了60%。</p> <p>Amazon執行長Andy Jassy在電話會議中強調，AI代理的部署和上線是企業最憂慮的一環，AI代理如何安全地連結到運算、資料工具、記憶體、身份、治理策略、效能監控等，這是一個全新的難題。Amazon則計畫2026年增加2,000億美元投資，大部分用於AWS。</p> <h3><span style="color:#0000FF;"><strong>#電信整合衛星寬頻 #AWS<br /> AT&T與AWS聯手，要將電信服務與衛星寬頻整合</strong></span></h3> <p>美國電信巨頭AT&T日前和AWS、Amazon的衛星服務Leo簽約，要來打通AT&T的電信服務與Amazon的衛星寬頻服務，來支援特定區域的固定寬頻服務之用。為了串接衛星服務，AT&T不只透過光纖連結到AWS的資料中心，也加速將許多本地部署的工作負載，轉移到AWS的整櫃式主機Outposts，來加速工作負載的營運效率。</p> <h3><span style="color:#0000FF;"><strong>#AI代理操作瀏覽器 #側欄功能大改版<br /> Chrome側欄大改版，自動瀏覽將支援Gemini，AI代理能接手多種瀏覽器操作</strong></span></h3> <p>這是Chrome版Gemini的重大更新，Chrome推出新的側邊欄，可以將Gemini 3整合到側邊欄進行多工任務，甚至可以由AI代理自動執行多項自動瀏覽任務。使用者在瀏覽任何分頁時，無需另開視窗或離開當前頁面，即可呼叫Gemini協助彙整資訊、比較不同網站內容，或整理行事曆與行程。</p> <p>原本只有自動填入資料能力的Auto Browse，也開始支援Gemini，可以在側邊欄，要求AI代理，自行開啟與切換分頁、搜尋資訊、填寫線上表單、整理資料，或比對多個選項。系統會即時顯示AI的操作過程，並在需要輸入帳號、使用密碼或進行付款等敏感行為時，主動要求使用者確認。它也能在設定預算下搜尋飯店與航班、管理訂閱服務，或根據圖片辨識商品並加入購物車。不過，Auto Browse目前只提供給AI Pro與Ultra訂戶，仍處於預覽階段，並設有每日使用次數限制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7Chtome%E8%87%AA%E5%8B%95%E7%80%8F%E8%A6%BDAI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.jpeg" /></p> <h3><span style="color:#0000FF;"><strong>#大數據分析AI助手 #BigQuey<br /> 分析海量數據不用再自己下SQL，Google推出BigQuery對話式分析</strong></span></h3> <p>Google推出BigQuery對話式分析的預覽版，在BigQuery Studio中，可以自然語言提問，系統會產生並執行SQL，回傳解讀、查詢結果與圖表。用戶也可以將驗證查詢與使用者自訂函式UDF，納入資料代理的知識來源，讓回答更貼近企業既有的計算邏輯提高答案可用性。AI分析結果中，可以提供文字說明、生成的SQL程式碼，以及視覺化的圖表。系統也會呈現產生的SQL與推理依據，並將大量資料的分析結果整理成摘要，供使用者核對與追溯。</p> <p>使用者僅能存取被授權查看的資料，且每次查詢都會留下紀錄以利稽核，企業可以透過IAM角色與權限，來管理對話式分析相關操作，讓自然語言查詢仍落在既有的權限框架內，避免機密外流給沒有授權的人員。</p> <h3><span style="color:#0000FF;"><strong>#瀏覽器AI #整合式Chatbot入口<br /> Firefox從2月底開始導入一站式AI總開關，側欄更可整合多家AI機器人</strong></span></h3> <p>從2月24日釋出的148版桌面版開始，Firefox將提供一站式的AI控制介面，使用者可以在單一介面中管理瀏覽器內所有AI功能，並提供一鍵關閉瀏覽器所有AI功能的總開關。屆時，在設定頁面中可以看到獨立的AI controls區塊，集中管理Firefox目前以及未來加入的生成式AI功能。可管理的功能包括網頁翻譯、PDF文件中的圖片替代文字說明、AI強化的分頁分組建議、連結預覽摘要，以及側邊欄整合的AI聊天機器人功能。該聊天機器人支援多種服務，包含Claude、ChatGPT、微軟Copilot、Google Gemini與Le Chat Mistral等。</p> <h3><span style="color:#0000FF;"><strong>#AI搜尋 #知識圖譜<br /> 老牌搜尋引擎Yahoo進軍AI搜尋，主打10億節點知識圖譜優化的個人化建議</strong></span></h3> <p>搜尋業者Yahoo也加入AI搜尋的競賽，宣布推出AI搜尋引擎Yahoo Scout，先在美國推出Beta版。Yahoo這款搜尋引擎結合了Anthropic和微軟的技術。Anthropic的Claude提供Scout的基礎模型，仰賴其速度、問題理解力、高品質生成內容及安全性來提供用戶可信賴且個人化的答案。另一方面，也用微軟搜尋引擎Bing的Grounding API來抓取開放網路上的內容，以便將這些內容與Claude AI生成的答案整合。Yahoo強調自家特色是，擁有全球5億消費者用戶和連結10億實體的知識圖譜，每年累積消費者事件（consumer event）高達18兆，可以讓AI引擎提供個人化答案和行動建議。</p> <h3><span style="color:#0000FF;"><strong>#憑證安全 #超短有效期<br /> 為了降低私鑰外洩風險，Let's Encrypt推出6天短效憑證上線</strong></span></h3> <p>憑證機構Let's Encrypt正式推出，只有160小時效期的短憑證，大約是六天多，來避免私鑰外洩或遭竊後的暴露時間。Let's Encrypt原本就計畫，未來數年將預設有效期逐步從90天降至45天，目前這次短效期是選用項目，而非預設。Let's Encrypt表示，推動短效憑證的主要理由，是縮短憑證遭濫用時的風險窗口。不過，對仰賴半手動更新憑證的企業而言，六天有效期意味著更密集的維運節奏，也更需要監控與警示，降低憑證過期導致服務中斷的風險，所以，Let's Encrypt也強調短效憑證暫時不會成為預設值。與短效憑證一起上線還有IP位址憑證，讓伺服器可直接對IP位址建立TLS身分驗證，而不僅限於網域名稱，並支援IPv4與IPv6。</p> <p><strong>責任編輯：王宏仁</strong></p> <p><strong>圖片來源：Google，LYC，Cloudflare</strong></p> </div></div></div>
2/10 15:01作者王宏仁https://www.ithome.com.tw/news/173878
SolarWinds網路IT服務臺漏洞遭到利用，駭客搭配鑑識工具控制受害主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最近兩年，駭客鎖定IT服務臺（Help Desk）作為入侵受害組織的管道，不時有資安事故傳出，一旦這類平臺出現嚴重的資安漏洞，往往可能成為駭客利用的弱點，而受到高度關注，近期就有廠商剛完成修補的資安漏洞，被發現已出現攻擊活動。</p> <p>微軟與威脅情報公司Huntress提出警告，他們發現有人鎖定SolarWinds的網路IT服務臺Web Help Desk（WHD）下手，於受害組織部署名為Zoho ManageEngine的遠端管理工具（RMM）建立存取管道，最終於被滲透的主機植入了數位鑑識與事件回應（DFIR）工具Velociraptor。</p> <p>較早警告此事的是微軟，<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/02/06/active-exploitation-solarwinds-web-help-desk/">他們看到針對SolarWinds的網路IT服務臺的多階段攻擊活動</a></strong>，駭客首先透過WHD取得受害組織的初期存取管道，隨後橫向移動到網路環境的其他高價值資產。由於SolarWinds<strong><a href="https://www.ithome.com.tw/news/173757">甫於1月28日</a></strong>揭露與修補遠端程式碼執行（RCE）漏洞CVE-2025-40551，再加上該漏洞能與另一個安全控制繞過漏洞CVE-2025-40536串連，不免讓人聯想到駭客可能利用這些漏洞從事攻擊。不過，微軟指出，這波活動發生在去年12月，加上遭到攻擊的IT服務臺版本不一，他們無法確定駭客利用了哪些漏洞，並表示不排除另一個去年9月修補的CVE-2025-26399，也可能遭到濫用。</p> <p>微軟看到駭客在成功入侵曝露在網際網路的WHD，從而在未經授權的情況下執行任意程式碼，入侵WHD執行個體服務，從中啟動PowerShell處理程序，然後濫用背景智慧型傳送服務（BITS）下載惡意軟體的酬載並執行，最終部署Zoho ManageEngine的元件，對受害主機進行控制。後續駭客找出網域管理員及其他敏感的使用者，並建立反向SSH與RDP的存取權限。</p> <p>在部分受害主機上，他們偵測到攻擊者建立工作排程，於電腦啟動時以SYSTEM帳號執行QEMU虛擬機器（VM）；攻擊者在部分主機利用DLL側載手法，使用公用程式wab.exe載入惡意DLL檔案sspicli.dll，截取LSASS記憶體內容來竊取憑證，此外也有利用公用程式DCSync向網域控制器（DC）請求密碼的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SolarWindsWebHelpDesk-image-13.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SolarWindsWebHelpDesk-image-13.png" style="width: 580px;" /></a></p> <p>事隔兩天，<strong><a href="https://www.huntress.com/blog/active-exploitation-solarwinds-web-help-desk-cve-2025-26399">Huntress針對這波攻擊公布更詳細的調查結果</a></strong>，他們指出，攻擊者滲透WHD的主要方式，就是利用<strong><a href="https://www.cisa.gov/news-events/alerts/2026/02/03/cisa-adds-four-known-exploited-vulnerabilities-catalog">2月3日美國網路安全暨基礎設施安全局（CISA）指出</a></strong>已遭利用的CVE-2025-40551，不過，他們看到也有利用CVE-2025-26399的情況。</p> <p>隨後，攻擊者透過WHD服務的包裝容器（Wrapper）啟動攻擊鏈，該服務由底層、以Tomcat為基礎的WHD應用程式孳生而成。接著，該Java處理程序執行CMD，從檔案共用服務Catbox下載MSI安裝檔，靜悄悄地部署Zoho ManageEngine代理程式。</p> <p>一旦遠端管理工具成功建置完成，駭客就改以手動模式進行後續活動，對AD進行偵察，找出已加入網域的電腦，最終植入Velociraptor，目的是進行C2通訊。值得留意的是，駭客使用的是存在權限提升漏洞CVE-2025-6264的0.73.4版，此舊版鑑識工具過往曾被<strong><a href="https://www.ithome.com.tw/news/171971">中國駭客組織Storm-2603用於勒索軟體活動</a></strong>。</p> <p>再者，駭客也從Cloudflare的GitHub取得Cloudflared的工具，建立備援的C2通訊。</p> <p>駭客在成功建立C2通訊後，執行PowerShell指令碼，將系統資訊回傳至Elastic Cloud執行個體（instance），此平臺架設於GCP基礎設施。罕見的是，駭客竟將原本Elastic的資安防護工具用於監控受害主機，他們打造資安事件管理平臺（SIEM），並透過Elastic將受害主機分流，所有的受害主機將完整的系統組態回傳到集中化管理的Elasticsearch執行個體，以便操作員能直接使用Kibana查詢、過濾，或是分類。</p> <p>值得留意的是，這些駭客也會停用受害主機的防毒軟體Microsoft Defender，並從後端服務（BaaS）平臺Supabase下載Visual Studio Code（VS Code）隧道元件的二進位檔案。</p> <p>除了建立複雜的C2通訊機制，駭客濫用了虛擬化平臺QEMU來持續在受害主機活動，他們建立特定名稱的工作排程，並利用QEMU設置SSH後門。根據駭客建置QEMU的時間，這波攻擊活動至少可追溯到1月16日。</p> <p><a href="https://s4.itho.me/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_a96cb9a3a8b74c94bc6f98057c6e4c27.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/assets_3eb6f92aedf74f109c7b4b0897ec39a8_a96cb9a3a8b74c94bc6f98057c6e4c27.jpg" style="width: 580px;" /></a></p> </div></div></div>
2/10 16:14作者周峻佑https://www.ithome.com.tw/news/173879
近500萬站點暴露Git .git目錄，超過25萬筆部署憑證恐外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>VPN服務商Mysterium的研究團隊<a href="https://www.mysteriumvpn.com/blog/news/git-metadata-leak">發布</a>一份2026年網際網路規模資料研究，指出有4,964,815個IP位址的網站伺服器，可從公開網路存取Git儲存庫的.git中繼資料，等同近500萬臺伺服器在部署或設定上出現疏漏，讓原本不應對外的內部檔案留在網站可被讀取的位置。研究也發現其中252,733個案例的.git/config內含部署憑證，其風險不僅是資訊暴露，更可能帳號權杖被濫用，甚至衍生後續入侵。</p> <p>研究人員在報告中指出，.git目錄不只是放置原始碼的副檔案夾，也保存版本歷史與設定資訊，足以讓外部人士拼湊出專案結構與變更脈絡。要是站點將.git目錄一併放入對外的網站根目錄，攻擊者可能藉此取得原始碼、設定檔線索或其他敏感資料，進一步用來研判弱點與橫向擴張。</p> <p>這類問題並非新型態漏洞，研究人員指出幾種常見情境，包括開發者將整個專案目錄直接上傳到正式環境，打包工具在產出檔案時把隱藏目錄一併帶入，以及站點只在主要網域做了保護，卻忽略其他入口，例如替代網域或直接以IP存取時仍可讀取隱藏目錄。由於不少Web伺服器預設不會主動阻擋隱藏目錄，便會讓小疏忽成為可被大量掃描發現的曝險面。</p> <p>曝險IP以美國最多，達1,722,949個，其後也包含德國、法國、印度與新加坡等地。研究人員強調，這些數字反映的是伺服器託管位置，而非網站所屬企業的登記地，與雲端區域選擇、內容傳遞架構與共享託管密度都有關。</p> <p>被特別提及的是暴露.git/config的危險性，該檔案保存遠端儲存庫位置與抓取規則等設定，在部分既有流程中，部署帳號密碼或存取權杖可能直接寫入遠端URL，讓憑證隨設定檔一併外洩。當曝險從中繼資料升級到憑證層級，風險就不再只是資訊暴露，還可能導致私有儲存庫遭未授權存取、程式碼被竄改，甚至放大供應鏈風險。</p> <p>研究人員建議的處置方向有兩個，第一是立即封鎖對.git等隱藏目錄的公開存取，並確認所有對外入口都一致套用規則。第二則是回到部署策略本身，避免把完整Git工作目錄帶上正式環境，改以構件或容器映像檔交付，降低歷史紀錄與設定檔留在公開Web根目錄的機率。</p> </div></div></div>
2/10 15:01作者李建興https://www.ithome.com.tw/news/173877
歐盟警告Meta排除第三方AI助理恐違法擬下令暫時恢復WhatsApp開放性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_26_310" target="_blank">歐盟執委會（European Commission，EC）周一（2/9）表示</a>，已正式通知Meta其WhatsApp政策可能違反競爭法，並正考慮採取「臨時措施」──也就是在調查未結束前，先要求企業暫停可疑行為，以避免市場遭受不可回復的損害。</p> <p>歐盟指出，Meta於2025年10月更新WhatsApp的商業解決方案使用條款（WhatsApp Business Solution），禁止第三方AI助理在WhatsApp上運作。自2026年1月15日起，WhatsApp內僅剩Meta自家的Meta AI可使用，<a href="https://www.ithome.com.tw/news/171751" target="_blank">其它AI助理全面被擋在門外</a>。</p> <p>執委會初步認為，這項政策可能構成濫用市場支配地位。Meta在歐洲的通訊應用市場影響力巨大，而WhatsApp是使用者最重要的日常通訊工具之一。一旦第三方AI助理無法進入，將失去接觸消費者的主要管道，影響整體市場競爭。</p> <p>歐盟表示，若放任此情況持續，可能提高競爭者的進入門檻，並對規模較小的AI業者造成難以彌補的傷害。因此正在考慮要求Meta暫時恢復對第三方AI助理的開放，避免市場在調查期間被迫走向壟斷。</p> <p>目前執委會發出的為「異議聲明」（Statement of Objections），屬於程序的一部分，不代表最終裁決。Meta仍可提供說明並提出抗辯。</p> <p>歐盟執行副主席Teresa Ribera指出，AI助理市場正在快速成長，監管機關必須確保競爭環境不被單一科技巨頭壟斷，也需迅速介入，避免市場在短期內遭到不可逆的傷害。</p> </div></div></div>
2/10 13:35作者陳曉莉https://www.ithome.com.tw/news/173874
針對國家級駭客從事大規模網路間諜活動Shadow Campaigns，臺灣有電力設備供應商一年內兩度遭到入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2月5日資安公司Palo Alto Networks旗下的威脅情報團隊Unit 42，<strong><a href="https://www.ithome.com.tw/news/173867">揭露代號為Shadow Campaigns的大規模攻擊行動</a></strong>，攻擊者的身分是外號為TGR-STA-1030、UNC6619的國家級駭客組織，這些駭客的主要目標是政府機關與關鍵基礎設施（CI），在過去一年入侵37個國家的政府機關與關鍵基礎設施之後，他們在去年11月至12日對包含臺灣在內的155個國家進行廣泛且積極的偵察，值得留意的是，這次Unit 42也特別透露臺灣受到影響的情形。</p> <p>其中發生在臺灣的攻擊活動，TGR-STA-1030曾在2025年初，入侵臺灣電力設備的主要供應商，從而掌握全臺各地發電專案的相關檔案。值得留意的是，這些駭客大約於去年12月中旬，再度存取該廠商的網路環境。</p> <p>雖然Unit 42對於臺灣發生的事故說明並不多，但還有一個國家遭到攻擊的活動，也可能與臺灣有關。他們提及去年10月31日美洲出現大規模偵察活動，駭客鎖定超過200個宏都拉斯政府基礎設施的IP位址而來，由於一個月後該國即將舉辦總統與議員大型選舉，時間點相當巧合。Unit 42認為，這波大規模偵察活動的動機，可能與其中有兩位總統候選人對於恢復臺灣的外交關係，表達開放的態度有關。</p> <p>Unit 42指出，雖然TGR-STA-1030的攻擊與偵察範圍涵蓋全球，但這些駭客特別優先針對包含臺灣在內的南海與泰國灣地區發動攻擊，其中研究人員較常看到駭客掃描印尼、泰國，以及越南政府的基礎設施。這些駭客多半掃描80及443埠來進行偵察工作，自去年11月起，他們也嘗試在部分環境存取22埠，進行SSH連線。這些駭客不只進行廣泛的偵察，Unit 42研判他們已經入侵臺灣、泰國、烏茲別克、越南、韓國、斯里蘭卡，以及沙烏地阿拉伯等15個國家的政府機關與關鍵基礎設施。</p> <p>對於這波大規模網路間諜活動，Unit 42公布了駭客使用的各式作案工具，以及入侵指標（IoC）。其中，他們提及駭客建立C2通訊的工具，從2024年至2025年初，通常會運用Cobalt Strike，不過，現在逐漸轉換至Go語言打造的C2框架VShell。但除此之外，Unit 42也有看到使用Havoc、SparkRat，以及Sliver的情況。</p> <p>再者，TGR-STA-1030為了能進行橫向移動，經常針對網頁伺服器部署Web Shell，包括：Behinder、Neo-reGeorg，以及Godzilla。Unit 42看到駭客利用可公開從GitHub取得的程式碼，對Godzilla進行混淆處理的情況。這些駭客也建立隧道隱匿C2通訊，相關工具有GO Simple Tunnel（GOST）、Fast Reverse Proxy Server（FRPS），以及IOX。此外，駭客使用名為ShadowGuard的後門程式，此為Linux核心Rootkit程式，採用extended Berkeley Packet Filter（eBPF）技術，具備核心層級、處理程序，以及檔案與資料夾隱藏的能力。</p> </div></div></div>
2/10 13:08作者周峻佑https://www.ithome.com.tw/news/173870
新加坡揭露中國駭客UNC3886入侵電信業，去年4家業者遭攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.csa.gov.sg/news-events/press-releases/largest-multi-agency-cyber-operation-mounted-to-counter-threat-posed-by-advanced-persistent-threat--apt--actor-unc3886-to-singapore-s-telecommunications-sector/" target="_blank">新加坡政府本周發布報告</a>，指中國國家駭客組織UNC3886去年7月份對該國4家電信業者發動攻擊，並且觸發新加坡歷來最大的政府回應行動，也有效減弱了駭客攻擊的災害範疇。</p> <p><a href="https://www.ithome.com.tw/news/170195" target="_blank">去年7月新加坡國家安全協調部長公布</a>，中國代號UNC3886的國家駭客攻擊新加坡關鍵基礎架構，當時並未公布細節。新加坡網路安全局（Cyber Security Agency，CSA）及資訊網路媒體開發管理署（Infocomm Media Development Authority，IMDA）本周發布報告，說明攻擊本質、新加坡政府的回應及攻擊結果。</p> <p>這場攻擊一開始是由電信業者偵測到，後者隨後通知IMDA及CSA。隨後兩機關動員全星國政府，啟動代號為「網路保衛者行動（Operation CYBER GUARDIAN）」的回應行動，是新加坡歷來最大的聯合網路事件回應，時間長達11個月，涉及的網路防護機關超過100多個，包含CSA、IMDA、策略資通訊技術中心（CSIT）、數位和智慧服務（DIS）、新加坡政府科技局（GovTech）、以及國內安全部（Internal Security Department，ISD）等。</p> <p>經過數個月的調查發現，UNC3886發動了規劃詳細的精準攻擊行動，新加坡4家主要電信業者包括M1、SIMBA Telecom、新加坡電信（Singtel）和StarHub全都成了攻擊目標。</p> <p>這份報告並說明UNC3886用以攻擊其電信系統的攻擊手法、工具和技倆。其中之一是使用零時差漏洞濫用程式，繞過電信業者周邊防火牆而存取其電信網路，還外洩了一小部分技術資料，研判主要是用以研究攻擊目標的網路相關資料。其二是攻擊者使用進階工具如rootkit來建立持久存取或隱匿蹤跡、躲避偵測。</p> <p>新加坡政府表示，網路防衛者行動偕同電信業者合作大幅限制了UNC3886的攻擊行動。他們相信攻擊行動造成的後果不如其他地方的嚴重。駭客的確成功存取了部分電信網路和系統，包括「部分存取」了關鍵系統，但迄今沒有證據顯示電信業者有敏感或個資，如客戶資料外洩或被存取。此外，也沒有證據顯示駭客擾亂電信服務如上網服務。</p> <p>星國政府表示，防護行動之後導入了修復措施、關閉UNC3886存取點，也擴大目標電信業者的監控能力，並自許將持續做好準備防護關鍵的電信基礎架構。</p> </div></div></div>
2/10 11:37作者林妍溱https://www.ithome.com.tw/news/173872
OpenAI開始測試廣告服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/zh-Hant/index/testing-ads-in-chatgpt/" target="_blank">OpenAI周一（2/9）宣布</a>，美國市場已開始在ChatGPT中測試廣告機制，這是ChatGPT推出以來首次正式導入商業廣告元素。此次測試僅限已登入的成人使用者，適用於免費版與Go方案，用戶若使用Plus、Pro、Business或Enterprise方案，則不會看到任何廣告。</p> <p>OpenAI表示，引入廣告的主要目的，在於支撐ChatGPT持續提供高品質的免費與低成本服務。隨著使用人數成長與模型能力提升，背後所需的運算資源與基礎設施投資亦快速增加，廣告被視為一種能維持服務穩定、同時擴大AI可近性的方式。</p> <p>倘若使用者不希望看到廣告，可選擇升級至付費方案，也能在免費版中關閉廣告，若是採用後者，每日可使用的免費訊息數將相對減少。</p> <p>針對外界最關注的內容中立性問題，OpenAI強調，廣告並不會影響ChatGPT的回答結果。所有回答仍僅依「對使用者最有幫助」為原則生成，廣告內容會清楚標示為贊助訊息，並在視覺上與自然回覆明確區隔。系統在選擇顯示哪一則廣告時，會比對對話主題、過往聊天內容與使用者過去與廣告的互動情形，但不會將聊天內容提供給廣告商。</p> <p>在隱私與安全方面，OpenAI指出，廣告商僅能取得整體成效數據，如瀏覽量與點擊量，無法存取任何聊天內容、個人資料或記憶資訊。此外，測試期間不會在未滿18歲的帳號中顯示廣告，也不會於涉及身心健康、政治等敏感或受規範主題時投放廣告。</p> <p>OpenAI同時提供使用者多項控制選項，包括關閉廣告、查看與刪除廣告紀錄、管理個人化設定，並可回饋對廣告體驗的意見。OpenAI說，這次測試的核心在於學習與調整，未來是否擴大推行，將高度依賴用戶回饋與實際使用成效。</p> </div></div></div>
2/10 12:15作者陳曉莉https://www.ithome.com.tw/news/173873
國家級駭客鎖定關鍵基礎設施從事大規模網路間諜活動Shadow Campaigns，範圍涵蓋全球155個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著國際局勢日趨緊張，國家級駭客針對關鍵基礎設施（CI）發動攻擊的情況也變得越來越頻繁，其中最近一起大型攻擊事故，是<strong><a href="https://www.ithome.com.tw/news/173715">波蘭電網遭到俄羅斯駭客網攻</a></strong>的情形，駭客使用名為<strong><a href="https://www.ithome.com.tw/news/173597">DynoWiper</a></strong>、LazyWiper的資料破壞軟體（Wiper），攻擊超過30個<strong><a href="https://www.ithome.com.tw/news/173655">風力與太陽能發電系統</a></strong>、一家大型熱電共生（Combined Heat and Power，CHP）發電廠，以及一家製造公司，如今有國家級駭客鎖定關鍵基礎設施從事大規模網路間諜活動，範圍遍及全球超過150個國家，引起資安公司高度關注。</p> <p>Palo Alto Networks旗下威脅情報團隊Unit 42發現亞洲國家級駭客組織TGR-STA-1030（別名UNC6619）出沒，<strong><a href="https://unit42.paloaltonetworks.com/shadow-campaigns-uncovering-global-espionage/">針對全球的政府機關與關鍵基礎設施發動大規模攻擊Shadow Campaigns</a></strong>，最近一年已入侵37個國家的政府機關與關鍵基礎設施，代表全球有五分之一的國家受害。值得留意的是，這些駭客從去年11月至12月，進行廣泛且積極的偵察，範圍涵蓋臺灣在內的155個國家。對此，Unit 42公布駭客使用的複雜技術與基礎設施，並透露全球各地部分國家被針對的情況。根據各地區受害組織的調查，駭客主要鎖定的目標，是已建立經貿合作關係，或正在尋求特定經貿合作關係的國家。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ShadowCampaigns-F1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShadowCampaigns-F1.png" style="width: 580px;" /></a></p> <p>對於TGR-STA-1030的觀察，Unit 42最早是在2025年初針對歐洲政府的一連串網釣活動，從而確認這是新興的駭客組織所為，根據駭客的基礎設施，他們最早從2024年1月開始活動，在過去一年，至少有5個國家層級的執法機關或邊境管制實體，以及金融等3個政府部會受害，縱觀全球各國，也出現與經濟、貿易、自然資源，以及外交相關的機構遭到滲透的情況。</p> <p>研究人員根據駭客的語言設定偏好、特定區域的工具與服務頻繁使用、活動與GMT+8時區對齊，以及駭客發動攻擊的時間點，正好與特定國家對於感興趣的事件發生的時間點一致等特徵，認為駭客來自亞洲。上述行為模式特徵，很難不讓人聯想這組人馬來自中國，巧合的是，Unit 42提及，該組織其中一人使用阿里巴巴及雲鋒基金（Yunfeng Capital）共同創辦人馬雲的英文名字「JackMa」作為代號，不禁讓人聯想TGR-STA-1030可能是熟悉中國狀況的攻擊者，甚至就是中國國家級駭客。</p> <p>對於這些駭客接觸目標組織的手法，Unit 42看到通常會遵循特定的模式，駭客聲稱要對於特定機關進行組織架構調整，並附上惡意檔案的連結。駭客使用檔案共用服務mega[.]nz暫存ZIP檔，而且，這些檔案都採用目標企業組織慣用的語言及檔名。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-674925-171562-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-674925-171562-1.png" style="width: 580px;" /></a></p> <p>此ZIP檔內含執行檔，以及檔案大小為零位元組的圖片pic1.png，一旦執行檔啟動，會先檢查受害電腦的螢幕解析度，寬度必須大於1440像素，並檢查pic1.png是否存在。Unit 42提及，若是資安人員只有取得執行檔進行檢查，那麼該惡意程式會因為缺少相依元件pic1.png，而不會顯露意圖。</p> <p>在完成上述檢查後，此惡意程式才會對5個廠牌（卡巴斯基、Avira、Bitdefender、SentinelOne，以及賽門鐵克）的端點防護元件執行偵測。一般而言，大多駭客會儘可能偵測所有廠牌的端點防護機制，TGR-STA-1030只過濾5家廠商的軟體並不尋常，不過對於為何駭客會這麼做，Unit 42表示不清楚。</p> <p>接著，駭客從GitHub下載其他偽裝成JPG與PNG圖檔的惡意軟體元件，最終於受害電腦部署Cobalt Strike。</p> <p>雖然TGR-STA-1030擅長利用網釣接觸受害組織，但是也有使用已知漏洞的情況，被針對的目標範圍很廣泛，涵蓋SAP Solution Manager、Exchange郵件伺服器、D-Link設備，以及Apache Struts 2等，其中有不少是中國廠牌的應用系統，包含：銳捷網路（Ruijie Networks）設備、億郵（Eyou）電子郵件系統，以及泛微（Weaver） Ecology-OA協作平臺等。</p> </div></div></div>
2/10 10:35作者周峻佑https://www.ithome.com.tw/news/173867
CISA更新VMware ESXi已遭利用漏洞資訊，確認遭勒索軟體濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="340" data-start="184">美國網路安全暨基礎設施安全局（CISA）於2025年3月首度將VMware ESXi高風險資安漏洞CVE-2025-22225納入「已知遭利用漏洞」（Known Exploited Vulnerabilities，KEV）目錄。今年2月上旬，CISA進一步更新KEV資訊，<a href="http://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-22225" target="_blank">正式標註該漏洞已遭勒索軟體攻擊活動利用</a>。</p> <p data-end="340" data-start="184"><a href="http://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-22225" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0206-CVE-2025-22225-VMware%20ESXi-Ransomware-CISA.png" style="width: 500px;" /></a></p> <p data-end="562" data-start="342"><a href="http://www.cve.org/CVERecord?id=CVE-2025-22225" target="_blank">CVE-2025-22225</a>的CVSS v3.1風險分數為8.2分，屬於高風險（High）等級漏洞。<a href="http://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25390" target="_blank">Broadcom在2025年3月發布的安全公告指出</a>，若攻擊者在VMX處理程序中具備高權限，可能觸發核心層級的任意寫入行為，進而從虛擬機器的沙箱逃逸出去，影響宿主系統安全。受影響產品包括VMware ESXi、vSphere、Workstation、Fusion、Cloud Foundation，以及Telco Cloud Platform等虛擬化平臺。</p> <p data-end="562" data-start="342"><a href="http://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25390" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0206-VMSA-2025-0004-CVE-2025-22224%2C%20CVE-2025-22225%2C%20CVE-2025-22226.png" style="width: 500px;" /></a></p> <p data-end="749" data-start="564">Broadcom當時也同步修補另外兩項漏洞CVE-2025-22224與CVE-2025-22226。其中，CVE-2025-22224屬於TOCTOU（Time-of-Check to Time-of-Use）競態條件問題，CVE-2025-22226則涉及資訊洩漏風險。原廠指出，具備管理員或root權限的攻擊者，可能透過串聯多項漏洞，突破虛擬化環境的沙箱隔離機制。</p> <p data-end="831" data-start="751">此外，<a href="http://www.ithome.com.tw/news/173318" target="_blank">資安業者Huntress</a>的調查顯示，這組VMware ESXi漏洞可能早在2024年2月即已遭到實際濫用，顯示相關攻擊行動發生時間早於漏洞正式揭露與修補。</p> <p data-end="970" data-start="833"><a href="http://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-22225" target="_blank">在CISA更新的KEV條目中</a>，CVE-2025-22225被標註為「已知被勒索軟體攻擊活動利用」，並列出具體的修補與緩解要求。CISA指出，受影響單位應依照原廠指引套用修補或緩解措施，並遵循具約束力的營運指令BOD 22-01；若無法有效降低風險，則應考慮停止使用相關產品。</p> <p data-end="1170" data-start="972">由於VMware虛擬化產品在企業環境中部署普遍，且常承載關鍵業務系統與敏感資料，長期成為勒索軟體集團與國家級威脅行為者鎖定的攻擊目標。CISA過去亦多次針對VMware漏洞發布修補命令，例如<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-41244&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=" target="_blank">在2025年10月底</a>，要求政府機構修補VMware Aria Operations與VMware Tools的一項高風險漏洞CVE-2025-41244，<a href="http://blog.nviso.eu/2025/09/29/you-name-it-vmware-elevates-it-cve-2025-41244/" target="_blank">該漏洞被指出</a>自2024年10月起即遭零時差方式濫用。</p> <p data-end="1306" data-start="1172">今年1月下旬，CISA也將VMware vCenter Server的一項重大漏洞<a href="http://www.cisa.gov/news-events/alerts/2026/01/23/cisa-adds-one-known-exploited-vulnerability-catalog" target="_blank">CVE-2024-37079列為已遭實際利用狀態</a>，<a href="http://www.cve.org/CVERecord?id=CVE-2024-37079" target="_blank">其CVSS v3.1風險分數高達9.8分</a>，並要求聯邦機構在指定期限內完成修補，顯示VMware相關漏洞仍是高強度攻擊行動的核心標的之一。</p> <p data-end="1437" data-start="1308">此外，資安業者<a href="http://www.greynoise.io/blog/unmasking-cisas-hidden-kev-ransomware-updates" target="_blank">GreyNoise近日揭露</a>，CISA在2025年間曾將多達59項漏洞標註為已被勒索軟體利用，但未逐一對外發布公告。該分析也引發外界關注，KEV目錄所揭露的威脅態勢，可能仍低於實際攻擊活動的規模，企業與政府單位恐需更主動盤點既有環境中的潛在風險。</p> </div></div></div>
2/10 10:47作者王珮瑤https://www.ithome.com.tw/news/173811
停止維護兩年後vm2原作者重啟專案，修補CVE-2026-22709等重大沙箱逃逸漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Node.js生態系常用的JavaScript沙箱函式庫vm2，近期被揭露存在重大沙箱逃逸漏洞<a href="https://www.cve.org/CVERecord?id=CVE-2026-22709" target="_blank">CVE-2026-22709</a>，該漏洞CVSS風險分數高達9.8分，屬於重大（Critical）風險等級。攻擊者可藉由特定JavaScript程式碼觸發漏洞，繞過vm2原本設計的沙箱限制，並在宿主環境中執行任意程式碼。vm2維護團隊於2025年10月重啟停止更新近兩年的專案，並建議使用者升級至vm2 3.10.3或更新版本，以降低遭濫用風險。</p> <p>vm2是一套用於Node.js環境的沙箱工具，設計目的是在同一個Node.js行程中，限制不受信任JavaScript程式碼對系統資源的存取，常見於線上程式執行平臺、外掛機制與可自訂腳本功能等應用情境。<a href="https://www.npmjs.com/package/vm2" target="_blank">根據NPM平臺統計</a>，vm2在過去一年間，每週下載量長期維持約100萬次，顯示該函式庫至今仍被大量專案實際採用。</p> <p>vm2專案維護者、同時也是原作者的<a href="https://github.com/patriksimek/vm2/security/advisories/GHSA-99p7-6v5w-7xg8" target="_blank">Patrik Simek在GitHub安全通報中指出</a>，CVE-2026-22709與vm2在處理Promise.prototype.then與Promise.prototype.catch回呼函式的淨化機制有關。在vm2 3.10.0以及更早版本中，相關回呼函式的淨化流程可被繞過，使攻擊者得以逃脫沙箱隔離機制，並執行任意程式碼。</p> <p class="rtecenter"><a href="http://github.com/patriksimek/vm2/security/advisories/GHSA-99p7-6v5w-7xg8" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-vm2-600.png" style="width: 500px;" /></a></p> <p>針對這項漏洞，<a href="https://github.com/patriksimek/vm2/releases" target="_blank">vm2專案於後續版本中逐步進行修補</a>。開發者說明，3.10.1版僅能部分緩解CVE-2026-22709的沙箱逃逸問題，而在隨後釋出的3.10.2版中，則進一步收緊修補邏輯，以避免攻擊者透過其他手法繞過防護機制。<a href="https://github.com/patriksimek/vm2/security/advisories/GHSA-99p7-6v5w-7xg8#:~:text=const%20%7B%20VM,code)%3B" target="_blank">開發者亦提供示範程式碼</a>，說明在未完整修補情況下，漏洞如何被觸發並於宿主系統上執行指令。</p> <p><strong><span style="color:#B22222;"><span style="font-size:28px;">維護者確認3.10.3版完成已知資安漏洞修補</span></span></strong></p> <p>事實上，vm2過去數年已多次被揭露存在沙箱逃逸漏洞，包括<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-36067" target="_blank">CVE-2022-36067</a>、<a href="https://nvd.nist.gov/vuln/detail/cve-2023-29017" target="_blank">CVE-2023-29017</a>與<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-30547" target="_blank">CVE-2023-30547</a>。vm2作者Patrik Simek於2023年曾坦言，vm2在設計上難以作為強安全邊界，並因此將專案標註為停止維護。不過，<a href="https://github.com/patriksimek/vm2/issues/533#issuecomment-3444774921" target="_blank">他在2025年10月宣布重啟專案時指出</a>，考量vm2仍被大量使用，且缺乏具備相同彈性的替代方案，選擇持續維護並修補已知漏洞，嘗試透過改善架構與開發流程，降低實際使用風險。<a href="https://www.bleepingcomputer.com/news/security/critical-sandbox-escape-flaw-discovered-in-popular-vm2-nodejs-library/#:~:text=%C5%A0imek%20told%20BleepingComputer%20that%20%22all%20disclosed%20vulnerabilities%20are%20properly%20fixed%22%20in%20vm2%20version%203.10.3%2C%20currently%20the%20most%20recent%20release." target="_blank">Patrik Simek於2月間向外媒表示</a>，上述漏洞皆已於vm2 3.10.3版中完成修補。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>vm2官方文件與NIST皆提醒：應用層沙箱難以作為完整安全邊界</strong></span></span></p> <p><a href="https://github.com/patriksimek/vm2#:~:text=Important%20Security%20Disclaimer,and%20its%20limitations." target="_blank">vm2專案在官方文件中也明確提出重要安全聲明</a>，指出該函式庫不應被視為可承擔完整安全邊界的隔離機制，無法保證在所有情境下防禦惡意行為。這樣的定位亦與<a href="http://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final" target="_blank">NIST在資安實務指引中</a>的觀點一致。NIST指出，應用層沙箱本身難以構成完整的安全邊界，對於需要執行不受信任程式碼的服務，仍應審慎評估其使用情境，並視需求採用容器、虛擬機等作業系統層級的隔離機制，或其他具備更嚴謹安全邊界的執行環境，以降低單一防護機制失效所帶來的整體風險。</p> </div></div></div>
2/10 10:52作者王珮瑤https://www.ithome.com.tw/news/173837
歐盟行動裝置管理平臺遭網路攻擊導致員工資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_26_342" target="_blank">歐盟上周五（2/6）揭露</a>今年1月底行動裝置集中管理平臺遭駭，導致部分員工姓名和電話號碼等資料外洩。</p> <p>歐盟執委會資安維護單位CERT-EU於1月30日，在其集中式行動裝置管理（mobile device management）基礎架構發現到網路攻擊的跡證。歐盟執委會強調迅速回應，在9小時內阻止了事件，並清理系統。執委會表示將徹底調查此事，目前還未偵測到行動裝置被駭。此時歐盟執委會尚未公布網路攻擊事件細節。</p> <p>上周荷蘭資料防護管理署和司法議會也分別向荷蘭國會通報系統遭駭，兩組織都是被駭客濫用了Ivanti Endpoint Manager (EPM) 任意程式碼執行漏洞CVE-2025-10573。<a href="http://hub.ivanti.com/s/article/Security-Advisory-EPM-December-2025-for-EPM-2024?language=en_US" target="_blank">Ivanti已在去年底修補了該漏洞</a>。</p> <p>此事發生前的1月20日，歐盟執委會才公布網路安全包裹法案（<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_26_105" target="_blank">Cybersecurity Package</a>），重點<a href="https://www.ithome.com.tw/news/173572" target="_blank">包括修訂《歐盟網路安全法 2.0》</a>，加入信任ICT供應鏈框架以防範高風險供應商。這些措施是由網路與資訊安全指令2（NIS2 Directive）支持，NIS2指令建立了統合性法規框架確保歐盟18個關鍵產業。該指令也呼籲會員國定義國家網安策略，並與歐盟合作跨境回應和執法。此外，還有《網路團結法》（Cyber Solidarity Act）以補足框架，目的在透過「網路安全盾」和「網路緊急機制」加強歐盟的團結，確保歐盟對大規模網路威脅的迅速與精準偵測和回應。</p> </div></div></div>
2/10 11:01作者林妍溱https://www.ithome.com.tw/news/173871
Salesforce Heroku改採維持性工程模式，不再新販售企業帳戶合約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Salesforce旗下雲端應用平臺Heroku<a href="https://www.heroku.com/blog/an-update-on-heroku/">宣布</a>將轉向維持性工程模式，後續產品與工程資源將著重穩定性、資安、可靠性與支援，而非持續推出新功能。Heroku同時強調，目前使用Heroku的客戶不需要採取任何行動，價格、使用方式與服務供應不會因這次調整而改變。</p> <p>對於透過Heroku儀表板以信用卡付費的既有與新客戶，Heroku表示價格、帳務、服務內容與每日操作方式都沒有變動。平臺核心功能也不受影響，包含應用程式、部署管線、團隊、附加元件等仍可照常使用，企業仍可將Heroku作為正式環境的生產平臺，承載業務關鍵工作負載。</p> <p>不過，Heroku未來不再向新客戶提供企業帳戶（Enterprise Account）合約。已簽署的企業訂閱與支援合約，Heroku承諾會完整履行，且可依原本方式續約，也就是說，既有企業客戶在合約期內權益不變，但尚未簽約的新客戶將無法以同樣方式取得企業帳戶合約。</p> <p>至於為何做出調整，Heroku給出的理由是希望把產品與工程投資集中，在能帶來長期客戶價值的領域，包含協助組織以更安全且可信的方式建置與部署企業級AI。Heroku並未在這次公告中進一步描述AI相關產品路線或交付時程。</p> </div></div></div>
2/10 08:35作者李建興https://www.ithome.com.tw/news/173859
Databricks在MLflow導入MemAlign方法，用雙記憶機制讓LLM評審貼近企業標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Databricks旗下Mosaic AI Research團隊發表<a href="https://www.databricks.com/blog/memalign-building-better-llm-judges-human-feedback-scalable-memory">MemAlign</a>，這是一套用雙記憶系統累積專家自然語言回饋的LLM評審對齊框架，並宣布將其導入模型生命周期開源平臺MLflow，使企業LLM評審判斷更貼近領域標準。開發團隊指出，提示詞工程在規則逐步增加後容易出現前後不一致、覆蓋範圍難以控管等問題，也會受限於上下文長度，而微調則需要較高的資料與時間成本，因此改以記憶機制讓評估標準能隨回饋累積而調整。</p> <p>企業在導入生成式AI後，常以LLM評審也就是讓大型語言模型充當自動評估器，檢查代理程式與客服機器人的輸出是否安全、正確且合乎規範。不過這類通用評估器的判斷，往往和領域專家在實務上看重的品質要求不一致。Mosaic團隊舉例，模型可能只從措辭是否禮貌下結論而忽略使用者意圖，也可能認為客服只要交代原因與處理時程就算合格，卻沒有把先安撫情緒、使用支持性語氣收尾等服務標準納入判斷。</p> <p>MemAlign採用雙記憶體架構，不必更新模型權重。系統會把專家以自然語言寫下的回饋，萃取為可在不同情境重複使用的原則，存入語意記憶，同時把較難用原則完整涵蓋，也較容易出錯的具體案例保留在情節記憶。當新輸入到來時，MemAlign會先彙整既有原則，並從情節記憶中檢索相近案例，一起組成工作記憶作為當次評估的參考脈絡，再交由LLM完成評分。記憶內容也支援刪除或覆寫，方便因應規定調整、需求變更，或資料清除等情境。</p> <p>在Prometheus-eval LLM評審基準測試的10個資料集上，團隊以最多50筆回饋樣本進行對齊。結果顯示，MemAlign在該設定下以約0.03美元的對齊成本，約40秒的對齊時間達到最高品質。相較之下，DSPy系列提示詞最佳化工具在同一對照中約需1至5美元成本，9至85分鐘才能完成一次對齊迭代。</p> <p>Databricks也提醒，推論階段因需要對記憶執行向量搜尋，單筆評估可能額外增加約0.8至1秒延遲。MLflow文件則把MemAlign標示為實驗性最佳化工具，提醒介面可能異動，並建議在評估追蹤紀錄中提供人工評估結果與自然語言理由，以方便對齊過程吸收專家判斷依據。Databricks表示，MemAlign已可在開源MLflow與Databricks平臺使用。</p> </div></div></div>
2/10 08:48作者李建興https://www.ithome.com.tw/news/173860
在臺灣用AI護世界，臺灣資安新創廠商奧義掛牌上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">成立於2017年底的臺灣資安新創公司奧義智慧科技（CyCraft），因為三位領軍的創辦人：吳明蔚（Benson Wu）、邱銘彰（Birdman）、叢培侃（PK）分別具有工程師、白帽駭客與警察身分，多次連續創業成功的傳奇經歷，以及專注運用AI技術與自動化資安防護技術的發展，使得該公司備受各界看好，<a href="https://www.cycraft.com/news/cycraft-ai20190802">2019年獲得1.75億元的國際創投B輪融資</a>，<a href="https://www.cycraft.com/news/nexus-cvc-20250528">2025年完成1.36億元現金增資</a>，到了今年2月5日，該公司即將以代號7823、奧義賽博科技（CyCraft Technology Corporation）的身分，正式在創新板掛牌上市。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/CyCraft Founders and CFO-2026-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20Founders%20and%20CFO-2026-01.jpg" style="width: 500px;" /></a></p> <blockquote><p style="margin-left:.05pt;">奧義智慧在2017年成立，2026年1月在創新板上市前業績發表會上，四位高層主管向媒體公開說明控股母公司奧義賽博公司的過去、現在與未來，由右而左依序為資安長暨共同創辦人叢培侃、董事長吳明蔚、技術長暨共同創辦人邱銘彰、財務長黃文傑。</p> </blockquote> <h2 style="margin-left: 0.05pt;"><strong><span style="color:#0000FF;">以長期發展的端點資安AI系統站穩市場腳跟，近期擴增AI防火牆與無人機反制系統</span></strong></h2> <p style="margin-left:.05pt;">經過8年的努力，奧義智慧如今確立三大產品技術發展方向。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/CyCraft three strategies-2026-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20three%20strategies-2026-01.jpg" style="width: 600px;" /></a></p> <blockquote><p style="margin-left:.05pt;">經過9年的戮力經營，奧義智慧1月首度公開揭露他們布局的三大成長引擎：資安韌性AI應用、AI模型韌性強固，以及國防AI韌性自主，對應的解決方案，分別是端點安全系統XCockpit、AI防火牆XecGuard，以及無人機反制系統XecDefend。</p> </blockquote> <p style="margin-left:.05pt;">首先是用AI提升資安韌性，他們提供的解決方案是端點防護類型的產品，目前最新主打XCockpit系列威脅曝險管理平臺，當中整合AI資安技術CyCraftGPT AI、端點偵測與應變系統（EDR）、身分攻擊面管理系統（IASM），以及外部攻擊面管理（EASM）。就XCockpit平臺而言，目前部署的AI感測器<a href="https://www.cycraft.com/news/auction-20260120">已超過60萬個</a>。</p> <p style="margin-left:.05pt;">在今年1月中舉行的創新板上市前業績發表會，擔任奧義賽博科技董事長暨執行長的吳明蔚表示，這些是一開始創造公司現金流，而且是能夠出海（進入海外市場銷售或提供服務）的資安自動化產品。</p> <p style="margin-left:.05pt;">目前有哪些企業與組織採用上述AI資安解決方案？吳明蔚透露，目前奧義智慧的端點資安產品服務<a href="https://www.cycraft.com/news/cycraft-ipo-20260112">超過300家企業或組織</a>，客戶涵蓋多種高度依賴資訊的產業，像是半導體、金融、製造、運輸、電商，以及政府公務部門等，橫跨三大領域，分別是：公部門與關鍵設施、金融機構、半導體／軍工／產業龍頭，這些客戶導入後，向他們反映可獲得兩大效益：資安應變效率提升30倍，維護成本節省3倍。</p> <p style="margin-left:.05pt;">第二是提升AI模型的資安韌性，奧義智慧提供的解決方案是AI安全護欄（AI Guardrails）類型的產品，他們在2025年7月宣布推出AI防火牆XecGuard，以及安全評測服務Safety LLM，主要訴求是能保護大型語言模型（LLM），避免AI對話機器人與代理人遭到攻擊，以及LLM被濫用、資料遭到外洩，僅回應任務相關指令，降低無效算力的消耗，節省不必要的AI運算成本。</p> <p style="margin-left:.05pt;">若要使用XecGuard，主要是安裝基於LoRA（Low-Rank Adaptation）技術而成的安全升級模組，企業即可在不需修改AI模型架構的狀況下，運用奧義智慧開發的近六萬筆安全攻防資料集，以及專屬的多階段微調技術，當中包含監督式微調（Supervised Fine-Tuning，SFT），以及群體相對策略最佳化（Group Relative Policy Optimization，GRPO）。</p> <p style="margin-left:.05pt;">XecGuard本身能支援多種AI基礎架構的部署，涵蓋SaaS雲端服務與企業內部管理環境。例如，針對AWS、Cloudflare等業者提供的AI服務，XecGuard提供可相容於OpenAI模型的LLM防火牆；用於公司內部建置（On-premises）的AI系統，像是基於Nvidia AI軟硬體架構的LLM伺服器時，XecGuard提供可嵌入AI模型的防火牆。</p> <p style="margin-left:.05pt;">吳明蔚在創新板上市前業績發表會表示，有鑑於百工百業都在發展AI聊天機器人與AI代理人，這些應用系統或服務也有資安防護的需求，奧義智慧2025年投入相關應用的研發，2026年開始量產出貨，達到一年內付諸實現的研發效率。</p> <p style="margin-left:.05pt;">第三是針對國防領域面臨的AI與自動化技術應用威脅，奧義智慧將提供更多強化韌性的機制，預計將涵蓋軍工產業的資安防禦與鑑識，以及無人機安全策略合作，相關的解決方案稱為XecDefend，他們將以「數位干擾（digital jamming）」技術切入無人機反制市場，藉此將公司的資安技術逐步拓展至國家安全防衛與公共安全治理的層級。</p> <p style="margin-left:.05pt;">吳明蔚預告，2026年奧義智慧就會布局國防軍工的產業，發展無人機反制系統，他強調，作為臺灣自主的技術廠商，奧義智慧不僅針對AI開發新的資安產品，也看好國防軍工無人機反制應用市場商機，他們將利用公司對於資安領域的know-how（解決實際問題的專業知識、技能與方法），發展純數位的手段，協助無人機做到更全面的反制。</p> <h2 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>整合AI創新技術，建立臺灣自主資安技術發展與市場推廣新典範</strong></span></h2> <p style="margin-left:.05pt;">以奧義智慧發展時間最久的端點安全產品而言，該公司成立前兩年開發出來的<a href="https://www.cycraft.com/news/cycraft-ai20190802">CyCraft AIR系列</a>資安維運平臺，提供端點偵測與應變系統（EDR），以及代管式偵測與應變服務（MDR），包括：端點防護系統Xensor、互動式資安駕駛艙CyCarrie、情資匯流平臺CyberTotal、具有AI的自動化資安應變平臺（SOAR），也陸續<a href="https://www.cycraft.com/en/news/cloud-computing20201202">提供兼顧威脅情資閘道及網路偵測與應變（NDR）</a>的整合應用設備ThreatWall，可支援企業內部與雲端服務等環境的部署需求，以及針對自家MDR的自動化分析報告功能<a href="https://www.cycraft.com/en/news/x-soc20210901">X-SOC</a>。</p> <p style="margin-left:.05pt;">在2023年，奧義智慧預告CyCraft AIR將整合到隔年問世的下一代網路安全平臺：<a href="https://www.cycraft.com/en/news/air-to-xcockpit-20230420">XCockpit</a>，當中將提供三大模組：用於EDR與MDR的XCockpit Endpoint，用於內部攻擊面管理的XCockpit Identity，用於外部攻擊面管理的XCockpit EASM，將觸角延伸至<a href="https://www.cycraft.com/en/news/xcockpit-en-20230420">當紅的身分偵測與應變（ITDR）與外部攻擊面管理（EASM）類型的資安產品</a>。針對半導體產業的設備資安標準遵循需求，他們也在2024年9月宣布推出<a href="https://www.cycraft.com/news/e187-tool-20240905">CyCraft SEMI E187 Assessment Tool</a>。</p> <p style="margin-left:.05pt;">到了2024年底，適逢AI代理技術崛起，奧義智慧透露XCockpit EASM<a href="https://www.cycraft.com/en/news/xcockpit-easm-wins-taiwan-cybersecurity-excellence-award-for-innovationer-20241224">內建多個用途的AI代理人</a>，像是資產探查代理（Asset Discovery Agent）、暗網代理（Dark Web Agent）、資安態勢評估代理（Security Posture Assessment Agent）、IT風險與法規遵循對應代理（IT Risk-to-Compliance Agent）。</p> <p><a href="https://www.cycraft.com/en/news/cycraft-ipo-en-20260113">今年1月中</a>隨著母公司奧義賽博即將上市，他們重申自動化威脅暴露管理平臺XCockpit之餘，也推出CyCraft AI Agent Suite，當中將運用多個AI代理人執行攻擊路徑的模擬，以及資安事故應變工作流程的自動處理，能夠大幅強化防護效率。</p> <p style="margin-left:.05pt;">在這段期間，奧義智慧為臺灣IT與資安產業立足國際市場的發展，開創許多前所未有的紀錄。首先，他們在<a href="https://www.ithome.com.tw/news/137638">2020年</a>、<a href="https://www.ithome.com.tw/news/143990">2021年</a>、<a href="https://www.cycraft.com/en/news/cycraft20220401">2022年</a>連續參加國際資安產品評測MITRE ATT&CK Evaluations；而在全球知名IT市場調查研究機構Gartner發布的報告中，奧義智慧截至目前為止，已被列入7次之多，而在企業級軟體與服務的客戶評價平臺<a href="https://www.gartner.com/reviews/market/endpoint-protection-platforms/vendor/cycraft/product/xcockpit-endpoint">Gartner Peer Insights</a>，他們的EDR產品也是極少數被列入的臺灣廠商解決方案。</p> <p style="margin-left:.05pt;">奧義智慧的發展有目共睹，全世界都逐漸知道這個資安品牌，2025年總統賴清德參觀臺灣資安大會時，造訪他們的展區時，特別親筆寫下「在臺灣用AI護世界」勉勵，也呼應吳明蔚在奧義智慧最新釋出的公司形象影片強調的創業理念：「秉持本土、實業、正派，在臺灣用AI面向全球市場，守護企業資安韌性」。</p> <p style="margin-left:.05pt;"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ysCHrVOyyRQ?si=mGHZQQaG-LH0sSOr" title="YouTube video player" width="560px"></iframe></div> <h2 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>與客戶結為設計夥伴，扭轉技術供應商「先建後售」的業務困境</strong></span></h2> <p style="margin-left:.05pt;">秉持三位創辦人對於資安技術長期累積與磨練得來的專業知識，以及精準的市場眼光與果決、高效率的行動力，奧義智慧持續勇闖國際資安競技舞臺，開創全球知名度，對於市場經營與生態系的建構，也獨樹一格，例如，在指標客戶的帶動下，他們的供應鏈合作夥伴大幅擴充，數<a href="https://www.cycraft.com/news/auction-20260120">量已超過1千家</a>。關於由上而下的市場串聯策略，吳明蔚特別用「粽子頭」比喻，並表示這是過去跟「猶太人」一起工作而得來的經驗。</p> <p style="margin-left:.05pt;">回顧2014年，三位創辦人二次創業成立的艾斯酷博（Xecure Lab）被以色列資安廠商Verint併購，從中學到價值創造與需求創造的重要性，以及實現的方法，徹底改變工程師本位的解決問題思維，最終他們找到的業務模式是「讓客戶變成我們的Design Partner」。</p> <p style="margin-left:.05pt;">吳明蔚說，他們在以色列資安公司工作的經驗當中，了解到廠商不應把產品做出來之後才找客戶，而是先了解客戶痛點，將「預售屋」描繪出來，經過向客戶說明、取得認可、預購的步驟，廠商再把「預售屋」蓋起來，而不要「先建後售」，因為如果找不到願意為此埋單的客戶，廠商營運的資金就有可能突然周轉不靈。</p> <p style="margin-left:.05pt;">對於資安產品的供需發展，也是同樣的道理，Design Partner可以跟廠商反映本身的資安痛點，彼此確認功能的需求，客戶再下單預購，等到雙方對於所要創造的價值，以及需要滿足的要求取得共識之後，廠商再把符合這些條件的產品做出來。透過上述「先售後建」的策略，業者與用戶都可以獲得一定程度的保障，而非廠商先完成產品開發之後，再去尋找願意花錢購買的客戶，因為，這麼做的風險在於：如果客戶不識貨、不瞭解廠商的產品是否適用，彼此就有可能失之交臂，廠商也會擔憂為何客戶不理解產品優勢，最終只能從價格吸引用戶關注。</p> <p style="margin-left:.05pt;">經過Verint磨練3年後，三位創辦人決定再次創業而成立奧義智慧，秉持的理念是「要把所有資安的工作自動化」。吳明蔚有感而發地表示，人為介入（人工處理）往往產生這類工作的痛苦與辛苦，而且，駭客從頭到尾都沒有親臨臺灣，為什麼要有人員值班、輪班來對付駭客？而這個思維就是改變整個產業看待資安的開始，他們想要實現這個理想！</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/CyCraft Milestone1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20Milestone1.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">對於自家公司開發的第一批產品，吳明蔚強調是100%自主技術資安平臺，相較於國際大廠的資安解決方案有何差異？他用環境清潔設備比喻彼此的特色差異，簡而言之，國際大廠的產品像是吸塵器，奧義智慧的產品是掃地機器人。</p> <p style="margin-left:.05pt;">若企業或資安代管服務業者採用國際大廠的產品，需派出技術人員到原廠接受教育訓練、拿到認證，然而，學成之後，資安產品能否善用與發揮應有效益，不僅勢必大幅仰賴該名人員的操作能力，公司後續若不幸遭駭，此人也承擔很大的責任與苦難。對於奧義智慧而言，產品設計理念是：相關工作都應該讓整合AI的資安系統來代勞，不用休息的AI才有辦法做到全天候巡視與持續應處，處理速度又比駭客還快，而且，從頭到尾沒有進入臺灣境內的駭客，現在也都用AI發動攻擊，吳明蔚認為，必須要透過技術創新與突破，才有辦法翻轉防守劣勢，奧義智慧的產品能夠提高資安防護效率，關鍵在於AI才有辦法做到。</p> <p style="margin-left:.05pt;">經歷前兩年募集2.5億的資本額與產品開發團隊的努力之後，奧義智慧很快打造出臺灣自主研發的端點防護產品。當時資安市場已存在各種防毒軟體與防火牆，非常壅擠，臺灣新創廠商已經沒有太大機會，於是他們決定投入當時剛崛起的端點偵測與應變系統（EDR）。吳明蔚坦言，在整個資安的技術版圖裡面，端點防護算是最困難的類型，但他們仍選擇這個議題去挑戰，倘若成功，就能解決掉最難的問題，而這也是三位創辦人的信念，因為「捨我其誰」其實是每一位駭客都想要挑戰自己的出發點。</p> <p style="margin-left:.05pt;"><a href="https://s4.itho.me/sites/default/files/images/CyCraft Milestone2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20Milestone2.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">開發出好的產品只是奧義智慧踏穩市場的基礎，接下來該如何推廣到市場上？他們精準布局國防、金融、半導體，他們成功以端點防護產品說服三大領域對應的指標客戶：國防部、富邦、聯發科，而這些單位與企業就是奧義智慧所謂的「粽子頭」。</p> <p style="margin-left:.05pt;">以金融業為例，奧義智慧先在富邦金控驗證導入效益，集團其他子公司後續也採用他們的解決方案，透過口碑推薦帶來更多客戶，目前國內近40家銀行當中，就有20家採用奧義智慧的產品，若以泛金融的機構而言，奧義智慧的客戶已超過一百家。</p> <h2 style="margin-left: 0.05pt;"><span style="color:#0000FF;"><strong>持續號召國內外廠商與其合作，共同拓展市場影響力</strong></span></h2> <p style="margin-left:.05pt;">關於端點資安系統的國內廠商合作關係建立，以代理商而言，<a href="https://www.cycraft.com/news/agent20190220">零壹科技</a>、<a href="https://www.cycraft.com/news/cycraftai20200806">鉅立資訊</a>、<a href="https://www.cycraft.com/news/metaage-partnership">邁達特</a>等公司取得奧義智慧的授權；在合作推出解決方案的部分，<a href="https://www.cycraft.com/news/cycraft-ai20200811">中華資安國際</a>、<a href="https://www.cycraft.com/news/cycraftmdr20210702">華電聯網</a>、<a href="https://www.cycraft.com/news/attackpath20220707">戴夫寇爾</a>等公司都與奧義智慧聯手推出服務，中華資安國際<a href="https://www.cycraft.com/news/cht-security-20250409">2025年也宣布對奧義智慧的母公司投資入股</a>，成為重要的投資者。</p> <p style="margin-left:.05pt;">在資安新應用的發展上，2022年奧義智慧與臺灣資安新創公司<a href="https://www.cycraft.com/news/trapasecurity20220427">菱鏡</a>（Trapa）宣布合作，目標是共同建構車聯網資安生態系。到了今年1月中，奧義智慧與能率創新集團旗下的<a href="https://www.cycraft.com/news/cycraft-honlynn-20260114">宏羚公司</a>（Honlynn）宣布合作，目的是將AI自動化資安軟體引進印表機這類辦公室終端事務設備，呼應2025年下半掀起的<a href="https://www.businesstoday.com.tw/article/category/183015/post/202510010013/">企業印表機遭駭議題</a>。吳明蔚表示，宏羚過往的主要業務是辦公室事務機的維護，前幾個月有媒體報導駭客侵入印表機的事故，突顯這類終端事務設備因為本身內建保護軟體而無法自保，公司單憑既有的資安防護機制，可能也無法注意到惡意程式躲在印表機裡面，這些情況帶來嚴峻的資安挑戰，但相對地，也成為新的市場商機。</p> <p style="margin-left:.05pt;">在資安市場經營上，除了固守臺灣，奧義智慧也積極開拓品牌的全球知名度與海外市場，2019年成立新加坡子公司<a href="https://recordowl.com/company/cycraft-singapore-pte-ltd">CyCraft Singapore Pte. Ltd.</a>，2021年<a href="https://www.cycraft.com/en/news/cybersecurity20210615">成立日本子公司</a>CyCraft Japan Corporation，以日本市場為例，奧義智慧陸續與多家當地廠商展開合作，像是<a href="https://www.cycraft.com/news/cycraftjapan20201021">三菱集團</a>的三菱綜合研究所（MRI）與旗下的系統整合公司INES、<a href="https://www.cycraft.com/news/itfor20210623">ITFOR</a>、Hitachi Systems集團子公司<a href="https://www.cycraft.com/en/news/cycraft20220427">SecureBrain</a>、NTT集團的子公司<a href="https://www.cycraft.com/news/nttat-partnership">NTT-AT</a>等。</p> <p style="margin-left:.05pt;">日本是第一個奧義智慧「出海」的國家，吳明蔚表示，原因是相關的人才更稀缺、人工費用更昂貴，產業規模卻比臺灣大得多，由於百工百業都需要資安，因此，奧義智慧發展的資安AI高度自動化產品，以及他們市場獲得的成功與創造的價值，可以吸引日本市場的注意。而在通路布局上，奧義智慧也是先與指標型廠商合作，例如，Hitachi、NTT等大型商社，一旦建立口碑，其他夥伴隨後也會與他們洽談，而不需要逐一推廣、希望對方能與其合作。吳明蔚表示，目前在日本總共發展出8家代理商，未來在日本的市場擴張會更加快速。</p> <p style="margin-left:.05pt;">除了長期耕耘的端點資安，奧義智慧在2025年新推出的AI防火牆XecGuard，也陸續與多家廠商展開合作，首先是7月發表時，<a href="https://www.cycraft.com/news/apmic-xecguard-20250701">與臺灣AI新創廠商亞太智能機器（APIMIC）宣布戰略合作</a>，奧義智慧選用APMIC與Twinkle AI社群聯合開發的開源模型F1，搭配安全升級模組XecGuard進行實戰演練，並導入LLM紅隊攻防演練服務驗證成效；今年1月奧義智慧在創新板上市前業績發表會預告，將有兩家新的合作廠商：分別是：臺灣AI新創公司偲捷科技（Spingence），以及臺灣雲端服務代管商萬里雲（CloudMile），前者以AI瑕疵檢測起家、後續跨入企業自建AI與邊緣AI應用，後者以營運與代管Google Cloud雲端服務聞名、成立初期即跨入AI應用的發展推廣。</p> <p style="margin-left:.05pt;">吳明蔚表示，偲捷正在工控領域協助很多製造業客戶訓練大型語言模型，當這些模型推出時，若能自動加上奧義智慧AI防火牆會是完美的結合，他們希望今年透過雙方的合作，可以推出建置在企業內部環境的AI防火牆；關於與萬里雲之間的策略合作，奧義智慧期盼AI防火牆能在雲端服務環境開花結果，保護所有用戶的AI互動，因為這當中如果有AI防護，上面執行的各種AI客服與AI員工，就能具備天生就不怕駭客欺負的特性。</p> <p>關於國防韌性AI的廠商合作，奧義智慧在創新板上市前業績發表會表示，將與發展無人機反制系統的<a href="https://www.cycraft.com/news/anti-drone-defense-20260119">臺灣新創廠商創未來科技（Tron Future Tech）合作</a>。吳明蔚說，創未來是臺灣自主無人機反制技術的第一把交椅，這項合作會是原廠的強強聯手，創未來負責通訊層級的處理，提供無線電干擾的「硬殺」能力，透過自主研發的射頻技術與核心演算法，精準感知與應對來自空中的各種訊號；奧義智慧負責數位層級的處理，強項在於透過純粹用軟體與封包的處理方式，提供<a href="https://www.cycraft.com/news/auction-20260120">數位干擾（digital jamming）類型</a>的反制與接管，也就是網路端的「智慧協作」，將龐雜的資訊封包即時分析、判讀，輔助系統快速做出正確決策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft partners-2026-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20partners-2026-01.jpg" style="width: 600px;" /></a></p> <blockquote><p>在三大資安產品的市場推廣上，奧義智慧多管齊下，持續號召臺灣本土與海外的廠商與其合作，他們在創新板上市前業績發表會，也首度公開目前的合作生態系。</p> </blockquote> <p> </p> </div></div></div>
2/10 00:52作者李宗翰https://www.ithome.com.tw/news/173853