iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 6篇
近 24 小時: 23篇
近 7 天: 116篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 09:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 116 篇內文

1
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象1 家

彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

採用AMD第五代EPYC，AWS與GCP紛推新款高效能運算服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_gcp_hpc-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年2月下半，公有雲廠商AWS與Google Cloud恰巧都針對高效能運算（HPC）用途，正式推出新款執行個體服務，它們都採用代號為Turin的<a href="https://www.ithome.com.tw/tags/amd-epyc-9005">AMD第五代EPYC處理器平臺</a>。</p> <h2><span style="color:#0000FF;"><strong>導入Nitro v6架構，AWS推出新一代高效能運算服務</strong></span></h2> <p>首先是2月16日AWS<strong><a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-hpc8a-instances-powered-by-5th-gen-amd-epyc-processors-are-now-available/">宣布</a></strong>Amazon EC2 Hpc8a上線，在去年SC25大會該公司曾預告將於<strong><a href="https://aws.amazon.com/tw/blogs/hpc/meet-the-advanced-computing-team-of-aws-at-sc25-in-st-louis/">2026年推出</a></strong>，等到真正上市之後，他們揭露Hpc8a搭配的處理器時脈最高達4.5 GHz，相較於上一代高效能運算服務Hpc7a，效能提升40％，記憶體頻寬高出42％，性價比領先25％。就系統資源配置而言，Hpc8a僅提供Hpc8a.96xlarge一種組態，內建192顆處理器核心、768 GiB記憶體，以及300 Gbps網路頻寬（搭配EFA網路卡）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS HPC-2025-12-HPC8a.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20HPC-2025-12-HPC8a.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS HPC-2025-12-EC2 instances.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20HPC-2025-12-EC2%20instances.jpg" style="width: 600px;" /></a></p> <p>而在Hpc8a的全球雲端區域供應上，AWS起初僅開放兩個：美國西部（俄亥俄）、歐洲（斯德哥爾摩），到了3月13日，AWS宣布亞太地區（東京）與GovCloud的美國西部區域，也能使用Hpc8a。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS HPC8a-2025-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20HPC8a-2025-12.jpg" style="width: 600px;" /></a></p> <p>關於高效能運算應用軟體的效能表現狀況，AWS在3月4日<strong><a href="https://aws.amazon.com/tw/blogs/hpc/a-technical-deep-dive-into-amazon-ec2-hpc8a-performance-for-engineering-and-scientific-workloads/">揭露多筆測試數據</a></strong>。</p> <p>以STREAM Triad測試而言，Hpc8a領先Hpc7a的幅度逼近43％；</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Hpc8a-image001.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Hpc8a-image001.jpg" style="width: 600px;" /></a></p> <p>執行Ansys Fluent時，Hpc8a領先Hpc7a的幅度均超過50％，執行個體若增至8臺，甚至可到59％；</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Hpc8a-image002.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Hpc8a-image002.jpg" style="width: 600px;" /></a></p> <p>執行西門子Simcenter Star-CCM+時，Hpc8a領先Hpc7a的幅度介於36％到44％；</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Hpc8a-image003.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Hpc8a-image003.jpg" style="width: 600px;" /></a></p> <p>執行Ansys Mechanical時，Hpc8a領先Hpc7a的幅度最高為45％；</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Hpc8a-image004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Hpc8a-image004.jpg" style="width: 600px;" /></a></p> <p>執行LS-DYNA Car2Car，Hpc8a領先Hpc7a的幅度逼近51％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Hpc8a-image005.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Hpc8a-image005.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Hpc8a也和近期上市的Amazon EC2執行個體一樣，均採用最新一代的AWS自研基礎架構卸載平臺Nitro System v6，可將虛擬化、儲存、網路等功能卸載至專屬加速卡，AWS強調，對比於先前推出的Hpc執行個體採用的Nitro舊世代技術，Nitro v6可提供更強大的封包處理效能，以及更低的網路存取延遲，能提供近乎裸機部署型態的系統效能，並兼顧雲端基礎架構需要的彈性、安全性與規模擴充能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Nitrov6-Hpc8a.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitrov6-Hpc8a.jpg" style="width: 600px;" /></a></p> <h2><span style="color:#0000FF;"><strong>首款實作Cloud RDMA技術的虛擬機器登場，Google Cloud推出新款主打HPC應用的運算最佳化服務</strong></span></h2> <p>在今年2月23日正式登場的Google Cloud H4D，這批虛擬機器搭配的處理器時脈最高為4.1 GHz，就系統資源配置而言，H4D提供三種組態：h4d-standard-192、h4d-highmem-192、h4d-highmem-192-lssd，處理器核心均有192顆、記憶體容量為720 GiB或1,488 GiB，以及200 Gbps網路頻寬（支援<strong><a href="https://docs.cloud.google.com/compute/docs/instances/create-vm-with-rdma?hl=zh-tw">Cloud RDMA</a></strong>），其中的h4d-highmem-192-lssd，可額外搭配本機Titanium SSD儲存，容量最高為3,750 GiB（10臺375 GiB容量的固態硬碟）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20H4D-2025-04.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP Cloud workload-2025-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20workload-2025-04.jpg" style="width: 600px;" /></a></p> <p>關於全球雲端區域的供應，H4D起先開放美國地區的愛荷華州（us-central1）、歐洲地區的荷蘭（Netherlands），今年3月增設亞太地區的新加坡（asia-southeast1-a）。</p> <p>在此之前，Google Cloud曾在去年多次公布H4D的效能測試數據。</p> <p>例如，<strong><a href="https://cloud.google.com/blog/products/compute/new-h4d-vms-optimized-for-hpc">在4月舉行的Next 2025大會</a></strong>，H4D用於開放原始碼的High-Performance Linpack（OSS-HPL），整臺VM節點的運算效能可達到12,000 gflops以上。相較於採用AMD第4代EPYC處理器的C3D，H4D單臺VM與每核心效能的領先幅度，分別高達80％與60％，比起採用AMD第3代EPYC處理器C2D，H4D單臺VM提供5.8倍效能，以及1.7倍的每核心效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-04-1_H4D_Performance_Overview_web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-04-1_H4D_Performance_Overview_web.jpg" style="width: 600px;" /></a></p> <p>用於測量記憶體頻寬的STREAM Triad，H4D整臺VM可提供到950 GB/s以上；相較於C3D，H4D單臺VM與每核心效能的領先幅度，分別高達30％與40％，比起C2D，H4D單臺VM提供3倍效能，以及1.4倍的每核心效能。</p> <p>用於不同用途的高效能運算應用程式，H4D的效能領先程度也相當顯著。用於製造領域，以計算流體動力學類型的軟體而言，像是西門子Simcenter Star-CCM+、Ansys Fluent，效能可增至3.6倍；用於醫療與生命科學領域，在分子動力學的軟體GROMACS上，效能可增至5倍；用於氣象預測領域，執行WRFv4時，效能提升至3.6倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-04-2_H4D_Performance_Overview_web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-04-2_H4D_Performance_Overview_web.jpg" style="width: 600px;" /></a></p> <p>接下來是10月舉行的<strong><a href="https://cloud.google.com/blog/topics/hpc/h4d-delivers-strong-performance-for-financial-services-workloads">STAC Summit NYC大會</a></strong>，Google Cloud揭露金融服務類型工作負載的執行效能，使用的工具是開放原始碼效能測試軟體KX Nano，整體而言，對比C3D，H4D在所有測試場景的效能領先幅度平均可達34％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-10-H4D-Scenario1_max-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-H4D-Scenario1_max-Web.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025-10-H4D-Scenario2_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-H4D-Scenario2_max-web.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025-10-H4D-Scenario3_max-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-10-H4D-Scenario3_max-Web.jpg" style="width: 198px;" /></a></p> <p>在11月的<strong><a href="https://www.amd.com/en/blogs/2025/driving-the-future-of-cloud-performance---5th-gen-amd-epyc--cpus.html">SC25大會</a></strong>，AMD公布H4D的高效能運算軟體效能數據，相較於C2D，H4D平均的效能可增至4倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-11-H4DPerfUplift-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-11-H4DPerfUplift-Web.jpg" style="width: 600px;" /></a></p> <p>今年3月，Google Cloud再度揭露多種高效能運算軟體的效能測試數據。</p> <p>在製造領域中，執行OpenFOAM時，H4D效能可達到C2D的5.2倍；執行Ansys Fluent時，H4D效能可達到C2D的4.1倍，就完成工作時間而言，H4D只需C2D的27％，以及C3D的71％，成本分別降低6成與7成。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2026-03-3_H4D-9YSJuty_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2026-03-3_H4D-9YSJuty_max-web.jpg" style="width: 600px;" /></a></p> <p>在醫療與生命科學領域，執行LAMMPS時，H4D效能可達到C2D的4.3倍；執行GROMACS，H4D效能可達到C2D的5.8倍，就完成工作時間而言，H4D只需C2D的四分之一，以及C3D的67％，成本卻降了7成。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2026-03-1_H4D-JTLuwUW_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2026-03-1_H4D-JTLuwUW_max-web.jpg" style="width: 600px;" /></a></p> <p>H4D之所以能提供如此大的性能效益，除了採用AMD第五代EPYC處理器平臺，配備的硬體卸載與網路加速技術也是關鍵因素。H4D同樣導入Google Cloud自行研發的Titanium技術，但這裡增加新的卸載功能，稱為<strong><a href="https://cloud.google.com/blog/products/compute/new-h4d-vms-optimized-for-hpc">Cloud RDMA（Cloud Remote Direct Memory Access）</a></strong>，也是首度配置在Google Cloud虛擬機器的技術，是專門為了支援高效能運算類型工作負載而發展的，因為運算流體動力學、氣象建模、分子動力學這類運算作業，重度依賴節點之間的通訊，<strong><a href="https://docs.cloud.google.com/compute/docs/instances/create-vm-with-rdma?hl=zh-tw">Cloud RDMA</a></strong>可幫忙虛擬機器分攤網路處理的負擔，減少主機CPU運作的瓶頸，進而替多個運算節點提供低延遲、高頻寬的可預期通訊能力。</p> <p>Google Cloud表示，Cloud RDMA本身也運用他們研發的硬體傳輸加速架構<strong><a href="https://cloud.google.com/blog/topics/systems/introducing-falcon-a-reliable-low-latency-hardware-transport">Falcon</a></strong>，能在資料中心乙太網路環境當中，提供可靠、低延遲的網路通訊能力，確保網路效能的表現不僅高且能夠被預期。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Titanium-2025-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Titanium-2025-04.jpg" style="width: 600px;" /></a></p> <p>他們也在2025年4月Next大會期間，揭露Cloud RDMA的傳輸加速能力。對比於使用TCP傳輸，同樣是1到4臺虛擬機器的執行，在OpenFOAM軟體測試中，改用Cloud RDMA傳輸，速度可提升至4.3倍；在西門子Simcenter Star-CCM+軟體測試中，Cloud RDMA可提升至1.9倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-04-3_H4D_Performance_Overview_ACW0JRf_max-280_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-04-3_H4D_Performance_Overview_ACW0JRf_max-280_max-web.jpg" style="width: 600px;" /></a></p> <p>若增至1到32臺虛擬機器的執行，在GROMACS軟體測試中，改用Cloud RDMA傳輸，速度可提升至2.8倍；在WRFv4軟體測試中，Cloud RDMA可提升至1.3倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-04-4_H4D_Performance_Overview_xD2Vaok_max-280_max-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-04-4_H4D_Performance_Overview_xD2Vaok_max-280_max-Web.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">AWS Amazon EC2 Hpc8a</span><br /> ●原廠：AWS<br /> ●建議售價：隨需定價模式，亞太地區（東京）區域，hpc8a.96xlarge每小時10.22989美元（192顆虛擬處理器、768 GiB記憶體）<br /> ●處理器：AMD EPYC 9R45<br /> ●服務規模與組態：<br /> hpc8a.96xlarge，192顆虛擬處理器、768 GiB記憶體、網路頻寬為300 Gbps，硬碟儲存搭配AWS雲端區塊儲存服務EBS，存取頻寬為87至2,085 Mbps</p> <p><span style="color:#0000FF;">Google Cloud H4D</span><br /> ●原廠：Google Cloud<br /> ●建議售價：h4d-standard-192，亞太地區新加坡（asia-southeast1）區域，每小時10.209696美元（192顆虛擬處理器、720 GiB記憶體）<br /> ●處理器：AMD EPYC 9B45 <br /> ●服務規模選擇與最大組態：<br /> h4d-highmem-192-lssd，192顆虛擬處理器、720或1,488 GiB記憶體、網路頻寬為200 Gbps，硬碟儲存搭配平衡Hyperdisk（每臺虛擬機器最多掛載64臺硬碟，平衡Hyperdisk最多8臺）或Local Titanium SSD</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
3/16 11:52作者李宗翰https://www.ithome.com.tw/review/174400
超過8成的美國醫生會在醫療工作中使用AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國醫學會（American Medical Association，AMA）上周四（3/12）所公布的<a href="https://www.ama-assn.org/press-center/ama-press-releases/ama-ai-usage-among-doctors-doubles-confidence-technology-grows" target="_blank">最新調查顯示</a>，人工智慧（Artificial Intelligence，AI）正快速進入醫療工作流程。2026年已有81%的醫師在專業工作中使用AI，較2023年的38%大幅增加，顯示AI正逐漸成為醫師日常工具。</p> <p>這項調查由AMA旗下數位健康與人工智慧中心（Center for Digital Health and AI）進行，自2023年起每年發布「醫師增強智慧調查」（Physician Survey on Augmented Intelligence）。AMA將AI稱為「增強智慧」（Augmented Intelligence），強調其用途在於協助醫師判斷與工作流程，而非取代醫師。</p> <p>調查指出，AI在醫療中的應用範圍持續擴大。2026年平均每位醫師使用AI的應用情境為2.3種，高於2023年的1.1種。目前最常見用途包括整理醫學研究資料、摘要學術文獻，以及協助撰寫與整理臨床文件等行政工作。</p> <p>多數醫師認為AI可提升醫療品質與效率。調查顯示，超過3/4的醫師認為AI能改善病患照護能力，高於2023年的65%。醫師普遍認為，AI最具潛力的應用包括提升診斷準確度，以及減少醫療行政流程帶來的工作負擔。</p> <p>不過，醫師在看好AI發展的同時也保持警惕。約40%的醫師表示對AI抱持「既期待又擔心」的態度，其中主要疑慮包括病患資料隱私，以及AI可能對醫病關係帶來影響。另有88%的醫師擔心長期依賴AI可能導致醫療技能退化，尤其是執業未滿10年的醫師。</p> <p>在病患使用AI方面，醫師態度相對保守。多數醫師支持病患利用AI查詢一般健康或用藥資訊，但對於需要專業判斷的用途則較為警惕。接近一半的醫師強烈反對病患使用AI自行解讀放射影像或病理檢查結果。</p> <p>AMA表示，未來推動AI在醫療領域廣泛應用的關鍵，在於確保資料隱私與建立可靠的安全與有效性驗證機制。調查顯示，86%的醫師認為資料隱私保護是AI採用的重要條件，88%則認為需要更完善的安全與效能驗證。同時，多數醫師也希望能參與醫療機構導入AI工具的決策過程。</p> </div></div></div>
3/16 11:56作者陳曉莉https://www.ithome.com.tw/news/174407
常駐型代理伺服器網路SocksEscort橫跨163國、近37萬個節點，歐美執法機關聯手破壞其運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般來說，許多執法行動針對勒索軟體、網路釣魚，以及網路詐騙而來，不過在最近幾年全球執法機關越來越積極的態勢下，他們也開始對駭客藏匿行蹤的設施進行破壞。其中，駭客綁架大量邊緣裝置與物聯網裝置，架設常駐型代理伺服器網路（Residential Proxy Network），並提供網路罪犯使用，讓他們能在隱匿行蹤的情況下從事非法活動，這樣的情況越來越氾濫，最近歐美多國聯手，阻斷這種網路設施的運作。</p> <p>3月12日<strong><a href="https://www.europol.europa.eu/media-press/newsroom/news/europol-and-international-partners-disrupt-socksescort-proxy-service">歐洲刑警組織（Europol）</a></strong>與<strong><a href="https://www.justice.gov/usao-edca/pr/authorities-dismantle-global-malicious-proxy-service-deployed-malware-and-defrauded">美國加州東區檢察官辦公室</a></strong>宣布，美國、奧地利、法國，以及荷蘭等7國執法機關攜手合作，協同歐洲刑警組織與歐洲司法組織（Eurojust），共同參與執法行動Operation Lightning，於3月11日成功圍剿常駐型代理伺服器服務SocksEscort，此服務橫跨全球163個國家、滲透逾36.9萬臺路由器及物聯網裝置，提供買家逾3.5萬個代理伺服器，透過這些合法裝置的流量，隱匿攻擊行動。</p> <p>歐洲刑警組織表示，執法機關成功封鎖與查封34個網域，以及分布在7個國家的23臺伺服器，美國凍結價值350萬美元的加密貨幣。這些執法單位也將通知其他受影響的國家，以便後續進一步調查。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SocksEscort-seizure-page.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SocksEscort-seizure-page.jpg" style="width: 580px;" /></a></p> <p>美國司法部也說明該代理伺服器服務的所在位置，他們表示，駭客提供約8,000臺代理伺服器節點裡，就有2,500臺位於美國，這突顯殭屍網路基礎設施偏好鎖定該國的邊緣裝置。</p> <p>網路罪犯利用SocksEscort隱藏攻擊來源，美國災情慘重，因為攻擊者藉此洗劫美國民眾的銀行帳戶及加密貨幣帳號，導致數百萬美元損失。其中有住在紐約的民眾，被騙走100萬美元的加密貨幣，也有位於賓州的製造業公司，因此損失70萬美元。</p> <p>參與本次執法行動的電信公司Lumen，<strong><a href="https://www.linkedin.com/pulse/escorted-out-blacklotuslabs-z5pre/">同日也在職場社群網站LinkedIn發布文章說明</a></strong>，他們3年前揭露的<strong><a href="https://www.ithome.com.tw/news/158111#AVRecon">殭屍網路病毒AVRecon</a>，與</strong>SocksEscort有關。從2025年開始，有28萬個IP位址被AVRecon入侵，並被用於提供SocksEscort服務，平均每週有2萬臺新的受害裝置出現。Lumen提到，有超過一半的受害裝置位於美國和英國，使得網路罪犯能用於高度針對性的活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1773328201676.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1773328201676.png" style="width: 580px;" /></a></p> </div></div></div>
3/16 12:09作者周峻佑https://www.ithome.com.tw/news/174409
前端開發工具Vite 8改採Rust打包器Rolldown，整併開發與正式建置打包流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>前端開發工具Vite核心團隊發布<a href="https://vite.dev/blog/announcing-vite8">Vite 8</a>，Vite原作者Evan You創立的VoidZero也宣布，將<a href="https://voidzero.dev/posts/announcing-vite-plus-alpha">Vite+ Alpha以MIT授權開源</a>。Vite 8是Vite的主版本更新，重點是把過去開發階段使用esbuild與正式建置使用Rollup的雙軌設計，改為以Rolldown為核心的單一打包流程。至於Vite+ Alpha，則是建立在Vite、Vitest、Rolldown與Oxc等開源專案之上的整合式工具鏈，把執行環境、套件管理、測試、檢查、格式整理與建置等工作，整合到單一入口。</p> <p>VoidZero是Vue與Vite作者Evan You於2024年成立的公司，Vite與Vitest仍維持既有的團隊治理，核心成員來自VoidZero、StackBlitz、NuxtLabs與Astro等不同組織；至於Oxc與Rolldown，則由VoidZero主導開發資源與產品方向。</p> <p>Vite 8版最主要的變動，是將過去開發階段使用esbuild、正式建置使用Rollup的雙軌設計，改為統一採用以Rust打造的Rolldown作為單一打包器。官方表示，這項調整可減少兩套轉換流程並行所帶來的維護與相容性問題，也讓Vite在開發與正式建置之間，能建立較一致的底層行為。官方指出，多數既有Vite外掛仍可沿用，並稱Rolldown在基準測試中的建置速度可較Rollup快10倍至30倍。</p> <p>除了底層打包器調整，也擴充開發與建置流程相關能力，涵蓋除錯、路徑解析、TypeScript支援與SSR等面向，並新增將瀏覽器控制臺訊息轉送到開發伺服器終端機的能力。官方另發布@vitejs/plugin-react v6，改用Oxc處理React Refresh轉換，預設不再依賴Babel。Node.js版本需求則維持與Vite 7相同，為20.19以上或22.12以上。</p> <p>在Vite 8之外，VoidZero還公布Vite+ Alpha，將Vite、Vitest、Oxlint、Oxfmt、Rolldown與tsdown整合為單一Web開發工具鏈，並以vp作為統一指令入口。官方提到，開發者可透過vp env、vp install、vp dev、vp check、vp test與vp build等指令，處理Node.js版本、相依項目安裝、開發伺服器、型別檢查、程式碼檢查、格式整理、測試與正式建置等工作。</p> <p>Vite+也納入名為Vite Task的新開源任務執行器，作為內建指令與vp run的基礎。官方表示，該機制可依輸入檔案與相依關係安排任務執行順序與快取，支援工作區與單一儲存庫情境，並可把多段指令拆成可分別快取的子任務。</p> <p>Vite 8處理的是Vite本身的底層建置架構更新，Vite+則是VoidZero在既有開源專案之上進一步整合出的上層工具鏈。前者仍屬Vite核心團隊推進的主版本演進，後者則更接近VoidZero用來串接Vite、Rolldown、Oxc與相關工具的上層入口。Vite+目前仍處於Alpha階段，但從官方已公開的產品結構來看，VoidZero正持續把多個原本分散的JavaScript開發工具，整併到同一條工具鏈之中。</p> </div></div></div>
3/16 13:20作者李建興https://www.ithome.com.tw/news/174418
國際刑警組織聯手72國執法機關，移除4.5萬個惡意IP位址、逮捕94人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路釣魚攻擊與詐騙活動氾濫，執法單位持續緝捕與破壞相關犯罪組織的活動，繼一週前歐洲刑警組織（Europol）宣布，他們聯合執法合作夥伴與多家企業組織，<strong><a href="https://www.ithome.com.tw/news/174205">成功摧毀Tycoon 2FA的全球釣魚即服務（Phishing-as-a-Service，PhaaS）平臺</a></strong>，近期又有相關執法行動有所斬獲。</p> <p>3月13日<strong><a href="https://www.interpol.int/en/News-and-Events/News/2026/45-000-malicious-IP-addresses-taken-down-in-international-cyber-operation">國際刑警組織（Interpol）宣布</a></strong>，他們聯手72個國家與地區的執法單位，於2025年7月18日至2026年1月31日從事執法行動Operation Synergia III，總共撤下45,000個惡意IP位址，這些主機被用於網路釣魚，以及惡意軟體與勒索軟體活動。執法機關總共逮捕94人，另對110人尚在進行調查。</p> <p>在執法活動期間，國際刑警組織促進跨國合作，並提供戰術支援，這些參與行動的國家根據國際刑警組織提供的初步調查結果，展開一系列活動，突襲重要地點及打擊惡意網路行為，總共查獲212臺電子設備與伺服器。</p> <p>國際刑警組織公布本起執法行動的部分成果，其中，他們提及澳門執法機關確認多達33,000個網釣及詐欺的網站，這些網站通常被用於冒充賭博網站，或是銀行、政府機關、支付服務的網站。歹徒通常竊取受害者的個資或信用卡資料來進行詐騙，或是誘使他們透過詐騙網站儲值。</p> <p>非洲和南亞也有斬獲。其中，在非洲國家多哥（Togolese Republic），警方逮捕10名涉嫌在住宅區經營詐騙集團的人士，有些專精於駭入社群網站帳號，有些從事戀愛詐騙及勒索等社交工程攻擊，一旦他們成功取得帳號後，就會對用戶的聯絡人下手，建立假的愛情關係，或冒充朋友與家庭成員，企圖讓這些聯絡人上當並轉帳；孟加拉警方逮捕40名嫌犯，並查獲134件與各種網路犯罪相關的電子設備。</p> <p>上個月國際刑警組織也公布與非洲國家聯手打詐的成果，<strong><a href="https://www.ithome.com.tw/news/173999">在執法行動Red Card 2.0當中</a></strong>，16個國家針對高報酬投資、行動支付與假貸款App詐騙展開掃蕩，逮捕651名涉案人士、追回或凍結不法資金逾430萬美元、查扣2,341項設備，以及關閉1,442個惡意IP位址、網域與伺服器等網路基礎設施。</p> </div></div></div>
3/16 14:42作者周峻佑https://www.ithome.com.tw/news/174419
Go 1.26新版go fix可自動改寫舊函式呼叫，加速API搬遷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://go.dev/blog/inliner">Go 1.26中的go fix子命令將採用全新實作</a>，官方表示，其中的原始碼層級內嵌器可直接在原始碼中改寫函式呼叫，讓開發者升級API時不必只靠手動搜尋與替換。套件作者也可透過//go:fix inline註解，在舊函式、型別或常數宣告上加註搬遷規則。在Google內部，這項技術已用來自動生成並準備提交超過18,000筆變更清單。</p> <p>Go 1.26中的go fix採用全新實作，除了延續針對特定語言與函式庫變更提供的現代化工具，也提供較具通用性的自助式機制。所謂原始碼層級內嵌器（Inliner），是在遇到被標示為可內嵌的函式呼叫時，直接以被呼叫函式本體取代原本呼叫，並把參數與引數關係一併改寫到呼叫端原始碼中。</p> <p>該設計可用於處理舊API搬遷，官方以ioutil.ReadFile為例說明，自Go 1.16起，該函式已由os.ReadFile取代。要是舊函式加上//go:fix inline標示，使用者執行go fix後，原本對ioutil.ReadFile的呼叫，就能改寫成os.ReadFile，連帶移除不再需要的舊匯入，改用新的套件名稱。</p> <p>Go團隊也指出，這套機制不只可處理函式更名，還可用來修補舊API設計上的問題，例如調整參數順序、將預設值改為明確指定的呼叫形式，或以新API取代冗餘函式。除了函式呼叫，內嵌分析器（Inline Analyzer）也可處理型別別名與常數參照，將舊套件中的名稱改寫為新套件的對應名稱。</p> <p>不過，這類改寫並非單純文字替換，Go團隊表示，為了避免改寫後改變程式行為，內嵌器必須處理多項語意層面的問題，包括參數是否能直接消除、副作用發生順序、常數運算在編譯期是否會提前觸發錯誤、名稱遮蔽、區域變數是否因此變成未使用，以及defer在函式生命周期中的執行時機。要是工具無法證明改寫安全，便會保守地插入額外變數繫結，或拒絕執行某些形式的內嵌。</p> <p>官方提到，這套原始碼層級內嵌技術先前已用於gopls的互動式重構功能，如Inline call、Change signature與Remove unused parameter。現在整合進新版go fix後，讓套件維護者可直接在舊宣告上加註搬遷規則，讓使用者透過工具完成更新。</p> </div></div></div>
3/16 16:45作者李建興https://www.ithome.com.tw/news/174421
Google連兩天發布Chrome更新，修補Skia和V8的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週Google接連在3月12日與13日發布公告，修補Chrome兩項資安漏洞<strong><a href="https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_13.html">CVE-2026-3909</a></strong>與<strong><a href="https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_12.html">CVE-2026-3910</a></strong>，這些漏洞的影響範圍涵蓋電腦版與安卓版用戶，而且都已出現遭到利用的現象，美國網路安全暨基礎設施安全局（CISA）於3月13日<strong><a href="https://www.cisa.gov/news-events/alerts/2026/03/13/cisa-adds-two-known-exploited-vulnerabilities-catalog">將其加入已遭利用的漏洞名冊（KEV）</a></strong>，要求聯邦機構於3月27日前完成修補。Windows、macOS，以及Linux版用戶應儘速升級Chrome至146.0.7680.80版、安卓用戶更新至<strong><a href="https://chromereleases.googleblog.com/2026/03/chrome-for-android-update_13.html">146.0.76380.119版</a></strong>緩解漏洞。</p> <p>這些漏洞都是由Google威脅分析團隊（TAG）於3月10日發現，其中的CVE-2026-3910涉及V8元件的不當實作，另一個漏洞CVE-2026-3909為Skia元件的記憶體越界寫入弱點，但Google未進一步說明細節。</p> <p>根據美國國家漏洞資料庫（NVD）登記的內容，我們可以看到更多資訊：兩個漏洞都能透過特製HTML網頁觸發，CVSS風險評分皆為8.8分。關於漏洞具體造成的資安風險，NVD資料庫註明<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-3910">CVE-2026-3910</a></strong>可被攻擊者用於在沙箱環境執行任意程式碼；至於<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-3909">CVE-2026-3909</a>，</strong>則可能被用於越界記憶體存取。</p> <p>回顧近期Chrome安全性更新，Google一個月前曾修補另一個零時差漏洞。2月13日該公司發布電腦版Chrome更新145.0.7632.75與145.0.7632.76，<strong><a href="https://www.ithome.com.tw/news/173972">修補已遭利用的CSS元件高風險漏洞CVE-2026-2441</a></strong>，此漏洞發生的原因是記憶體釋放後再存取（Use After Free），<strong><a href="https://nvd.nist.gov/vuln/detail/cve-2026-2441">風險值評為8.8</a></strong>。</p> </div></div></div>
3/16 10:22作者周峻佑https://www.ithome.com.tw/news/174401
iFixit拆解蘋果入門級筆電MacBook Neo，是近14年來最容易維修的MacBook
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3C產品DIY維修教學網站iFixit上周五（3/13）<a href="https://zh.ifixit.com/News/116152/macbook-neo-is-the-most-repairable-macbook-in-14-years" target="_blank">發布MacBook Neo的拆解報告</a>，指出這款蘋果新推出的入門筆電在可維修設計上出現明顯改善，並給予6/10的可維修性評分，同時也成為蘋果近14年來最容易維修的MacBook。</p> <p>長期以來，MacBook一直因維修困難而受到批評，多數MacBook機型過去的可維修評分大約落在1至5分。例如2012年的MacBook Pro Retina曾被評為1/10，主要原因包括電池以黏著膠條固定在機身內部、鍵盤以鉚釘固定在上蓋，以及記憶體與儲存裝置焊接在主機板上，使零件幾乎無法更換或升級。</p> <p><a href="https://www.ithome.com.tw/news/174206" target="_blank">MacBook Neo</a>是蘋果首款採用iPhone晶片的Mac筆電，它搭載了iPhone 16 Pro所使用的A18 Pro晶片，最低售價只要599美元（19,900元新臺幣）。</p> <p>iFixit發現，MacBook Neo在幾個關鍵設計上有所調整，最明顯的是電池結構。過去MacBook電池多以黏著膠條固定，更換時需要拆除膠條並小心取出電池。Neo則改採電池托盤設計，電池由18顆螺絲固定在托盤上，只需拆下螺絲即可取出，iFixit拆測這可能與歐盟預計於2027年實施的可更換電池規範有關。</p> <p>在內部結構上，Neo拆開底殼後即可接觸到電池、喇叭、USB-C連接埠與觸控板等主要零件，多數元件只需拆除少量螺絲即可更換。此外，USB-C連接埠與耳機孔均採模組化設計，若連接埠損壞不必更換整塊主機板；螢幕模組的拆卸流程也比過去的MacBook簡單。</p> <p>另一項變化是零件配對限制有所放鬆。過去蘋果設備在更換螢幕或電池後，系統常會出現「未授權零件」警告。iFixit測試將不同設備的主機板互換後，再透過蘋果Repair Assistant工具校準，發現系統可正常接受替換的螢幕與電池，未出現警告訊息。不過，iFixit並未測試第三方元件的相容性。</p> <p>此外，MacBook Neo仍保留部分限制，例如記憶體與儲存裝置依舊焊接在主機板上，無法升級或更換；鍵盤維修仍需拆除膠帶與41顆螺絲，維修過程仍相對繁瑣。此外底部仍採用五角花形螺絲，也被認為不利於一般用戶自行維修。</p> <p>整體而言，iFixit認為MacBook Neo在電池結構、模組化連接埠與維修限制等方面的改進，使其可維修性明顯優於過去MacBook，因此給予6/10評分。</p> <p>相較之下，Lenovo近期推出的ThinkPad T14 Gen 7與ThinkPad T16 Gen 5在iFixit評分中<a href="https://zh.ifixit.com/News/115827/new-thinkpads-score-perfect-10-repairability" target="_blank">獲得10/10滿分</a>。這兩款商務筆電採用多項可維修設計，例如電池可快速更換、使用標準M.2 SSD與可拆換記憶體，連接埠與散熱模組多採模組化設計，若零件損壞可單獨更換，而不必更換整塊主機板。其鍵盤更換流程也相當簡單，幾乎可直接拆換。值得注意的是，Lenovo在產品開發過程中曾諮詢iFixit，直接將可維修性納入設計初期考量。</p> </div></div></div>
3/16 10:44作者陳曉莉https://www.ithome.com.tw/news/174402
Windows 11二月更新後，部分三星筆電無法存取C槽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/zh-tw/windows/release-health/status-windows-11-24h2#3801msgdesc" target="_blank">微軟上周公告</a>，部分三星電腦在安裝2月份安全更新後出現無法存取C磁碟及相關應用程式的問題。但這次責任應該不在微軟身上。</p> <p>微軟接獲報告，部分三星電腦在安裝2月作業系統組建26100.7840（KB5077181）及後續更新後，出現無法存取C槽（C:/）的情形。使用者可能會接到「C:/無法存取—存取被拒絕」的訊息，造成無法存取檔案，以及部分應用程式無法執行，包括Outlook、Office、瀏覽器、系統公用程式和快速助手（Quick Assist）。某些情況下，用戶也無法提升權限、卸載更新或收集日誌，原因是權限失敗。</p> <p>微軟和三星共同調查發現，這些問題並非出於Windows安全更新。雖然爆發時間點和上周3月份安全更新時間點重疊，但肇事者並非Windows安全更新，而是三星自己的Galaxy Connect應用程式。<a href="https://news.samsung.com/us/fact-sheet-samsung-connect-unpacked-2017" target="_blank">這款App</a>原是三星設計用於統一管理連接、監控及控制各式三星家電與裝置，但現在三星已將這些功能整合於SmartThings App上。</p> <p>受影響的裝置包括搭載Windows 11 24H2及25H2的三星Galaxy Book 4與三星桌機（24H2與25H2），包括NP750XGJ、NP750XGL、NP754XGJ、NP754XFG、NP754XGK、DM500SGA、DM500TDA、DM500TGA及DM501SGA。本問題並不影響伺服器版本。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-windows-11-users-cant-access-c-drive-on-some-samsung-pcs/" target="_blank">Bleeping Computer</a>則報導，通報問題的地區主要包括巴西、葡萄牙、南韓、印度。</p> <p>微軟目前正與三星合作開發修補程式，並預告會更新公告。三星已先從Microsoft Store下架Samsung Galaxy Connect App，並更新解決問題的版本。因此尚未安裝過的機器可以正常運行，至於已出現問題的裝置，雖然媒體報導有使用者聲稱可以將C磁碟及所有子資料匣所有權改成「所有人」，但這方法可能增加非授權存取的風險，因此最保險的方案是等待修補程式。</p> </div></div></div>
3/16 10:54作者林妍溱https://www.ithome.com.tw/news/174403
Meta傳聚焦資源於AI，將裁員20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.reuters.com/business/world-at-work/meta-planning-sweeping-layoffs-ai-costs-mount-2026-03-14/" target="_blank">路透社報導</a>，Meta計畫裁減20%的員工，以平衡發展AI的龐大投資。</p> <p>報導引述二名消息來源人士指出，因應AI投資花費太大，公司主管接到指示要開始制訂裁員計畫以撙節開支。但是裁員幅度並未最後底定，計畫執行時程也未確定。</p> <p>根據Meta的<a href="https://investor.atmeta.com/investor-news/press-release-details/2026/Meta-Reports-Fourth-Quarter-and-Full-Year-2025-Results/default.aspx" target="_blank">官方資料</a>，截自2025年12月31日，公司員工數為78865人。如果報導成真，則有將近1.6萬人受到影響。</p> <p>在執行長Mark Zuckerberg的領軍下，Meta過去一年大舉增加對AI投資。這家社群平臺龍頭2025年成立超級智慧實驗室（SuperIntelligence Labs）以開發基礎AI模型，並且大舉收購AI新創公司及招攬頂尖AI人才。例如去年Meta從蘋果挖角的AI開發主管龐若鳴，薪資成本傳為4年2億美元。Meta並先後收購AI代理人開發平臺<a href="https://www.ithome.com.tw/news/173091" target="_blank">Manus</a>及社群平臺<a href="https://www.ithome.com.tw/news/174320" target="_blank">Moltbook</a>，可望吸收其團隊以強化自主代理人的能力。</p> <p>上一次Meta大裁員是為了削減疫情期間公司過度擴張的人員編制，分別在2022年11月及2023年裁減<a href="https://www.ithome.com.tw/news/154112" target="_blank">1.1萬</a>及<a href="https://www.ithome.com.tw/news/157036" target="_blank">1.1萬</a>人。期間有陸續規模大小不等的裁員，今年初亦<a href="https://www.ithome.com.tw/news/173336" target="_blank">裁減</a>開發VR/AR的Reality Labs及Horizon超過千人。</p> </div></div></div>
3/16 11:39作者林妍溱https://www.ithome.com.tw/news/174404
馬斯克改組xAI，陸續清洗原創辦班底
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>馬斯克（Elon Musk）上周為強化AI工具改組xAI，再失去多名員工，使三年前創辦班底只剩2人。</p> <p>馬斯克<a href="https://x.com/elonmusk/status/2032201568335044978" target="_blank">在X上</a>簡短公告，xAI創辦時的設定不太對，因此將從基礎重新打造。據<a href="https://x.com/grok/status/2032207207471731160" target="_blank">Grok</a>回答，馬斯克意思是xAI原始設定和架構並不適合該公司希望長的規模（理解宇宙、驅動進階AI如機器人等），因此團隊將一切打掉基礎重建，包括團隊、流程，以及和特斯拉/SpaceX的整合，一如特斯拉早期重建設計、改造生產，且幾近從本質重新開張，以迎接未來爆發性成長。Grok說，「這正是重新再出發的經典首要原則。」</p> <p>Techcrunch<a href="https://techcrunch.com/2026/03/13/not-built-right-the-first-time-musks-xai-is-starting-over-again-again/" target="_blank">報導</a>，馬斯克是在抱怨xAI的AI開發助理工具不如競爭對手OpenAI Codex及Anthropic Claude Code後，解僱了一批員工，包括xAI兩名創辦人。馬斯克並且在xAI舉行公司會議，宣示在今年年中趕上競爭者的計畫。媒體報導，連同這兩人，使2023年和馬斯克攜手草創xAI的12名員工，已經在2月以來的數波人事異動中走了10人。</p> <p>報導引述馬斯克周四<a href="https://x.com/elonmusk/status/2032341856944865487" target="_blank">說法</a>，指出已經為了加速補充人力，他也和另一名主管重新檢視面試被刷掉的應徵者。</p> <p>現在矽谷眾家軟體大廠都在爭搶人才增強AI實力。為改造xAI，馬斯克旗下的SpaceX已在今年2月<a href="https://www.ithome.com.tw/news/173722" target="_blank">買下</a>xAI以便垂直整合AI、火箭、太空網路、行動裝置直連通訊，以及即時資訊與社群平臺。</p> </div></div></div>
3/16 11:50作者林妍溱https://www.ithome.com.tw/news/174406
無懼多家公有雲業者接連爆發「機瘟」，Akamai連續4年守住平臺服務的可靠度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球IT服務與資料中心在2025年<strong><a href="http://www.ithome.com.tw/news/173529">大規模當機事件頻傳</a></strong>，令人意外的是，當中不乏許多企業與組織重度依賴的大型公有雲業者，如<strong><a href="https://www.ithome.com.tw/tags/cloudflare%E7%95%B6%E6%A9%9F">Cloudflare</a></strong>、<strong><a href="https://www.ithome.com.tw/tags/aws%E7%95%B6%E6%A9%9F">AWS</a></strong>、<strong><a href="https://www.ithome.com.tw/tags/azure%E6%95%85%E9%9A%9C">Azure</a></strong>、<strong><a href="https://www.ithome.com.tw/tags/Google-Cloud%E7%95%B6%E6%A9%9F">Google Cloud</a></strong>，這些事件不僅嚴重影響這些服務商的商譽，也促使眾人反思是否過度高估公有雲的可靠度。然而，在一連串大規模服務停擺事故發生期間，仍有大型雲端業者正常運作，而且已建立4年以上未發生重大當機的紀錄，這家廠商正是以提供CDN服務、資安服務與邊緣雲端服務著稱的Akamai。</p> <p>在本週舉行的年度記者會上，Akamai副總裁暨亞太區總經理李昇表示，他們協助全球指標性企業達成<strong><a href="https://www.akamai.com/blog/edge/how-the-edge-improves-microservices">99.999％</a></strong>（5個9）的高可靠度標準，他強調可靠度與可用性是非常關鍵的，因為作為平臺化的服務，Akamai除了功能面的發展，每年也投入很多資源，不停提升整個平臺的可用性、穩定性、韌性、靈活度，因為隨著平臺持續添加新的功能型應用，架構勢必越來越複雜，每做一次版本更新或升級，也將面臨更多風險，越來越難控制，對此Akamai會確保整個平臺達到5個9的可靠度，而這樣的服務表現優於同類廠商。</p> <p>對比其他公有雲業者的可靠度服務等級，多數廠商的設定在99.9％與99.99％之間。例如，就CDN而言，<strong><a href="https://aws.amazon.com/cloudfront/sla/">AWS的Amazon CloudFront是99.9％</a></strong>，<strong><a href="https://learn.microsoft.com/zh-tw/azure/well-architected/reliability/metrics">Azure Front Door是99.99％</a></strong>，<strong><a href="https://cloud.google.com/cdn/sla?hl=zh-TW">GCP Cloud CDN是99.95%</a></strong>。</p> <p>李昇說，大家很少在網路上看到Akamai發生重大事故的消息，但對於Akamai而言，沒消息就是好消息，他重申背後有強大的平臺工程團隊，持續調校與維護全球網路服務，使得Akamai服務的可靠度在業界獲得很多認可。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Akamai Reliability.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Akamai%20Reliability.png" style="width: 600px;" /></a></p> <h2><strong><span style="color: rgb(0, 0, 255);">剖析發生全球IT大當機事故的原因，以及得以倖免於難的關鍵</span></strong></h2> <p>Akamai做對了哪些事情？Akamai資深技術顧問王明輝表示，早期他們開發CDN架構的時候，就將可靠度作為公司發展的重要DNA，雖然在2025年很多大型的平臺出現中斷的問題，影響很多客戶的營運，但Akamai從2021年7月至今，將近5年皆未發生平臺斷線的事件，對於大型的公有雲來說，是個非常難得的紀錄。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Akamai%20Reliability-2026-03-1.jpg" style="width: 600px;" /></p> <p>他坦言，這並不代表Akamai開發的軟體並沒有任何bug，任何大型的雲平臺一定都會有，但問題在於能否有效控制、監控、自我修復，將bug的影響控制在最小的範圍裡面，也是大型雲平臺必須追求的方向。</p> <p>為何會發生大型雲端服務中斷？王明輝認為有四大原因。</p> <p>首先，是軟體有缺陷，競態條件、錯誤配置或邏輯缺陷引入了不穩定性。第二，後續發生檢測機制失效的問題：原本應該監控bug的檢測系統，卻臨時失效了。第三，在這樣的情況下，連鎖反應開始擴散到上下游的不同元件。第四，最終造成整個系統的崩潰（無法運作）。系統一旦出問題，平常不會連線或存取的使用者，可能此時反而都想要進來看看。例如，出現某廠商系統或服務斷線的傳聞，全臺灣可能有一半以上IT的人員都會嘗試連線，確認是否真有其事，但其實這會造成更大的網路流量負擔，加速整體平臺崩潰。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Akamai Reliability-2026-03-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Akamai%20Reliability-2026-03-2.jpg" style="width: 600px;" /></a></p> <p>他強調，Akamai設計可靠度架構時，要做的並非防止bug產生，因為bug就是會發生，而是設計有效偵測這類狀況且能自我修復的系統。這當中有五個主要的核心要素，第一是建立具有高可用性的架構，Akamai透過全球設置大量邊緣節點，防止<strong>單一節點故障</strong>的問題；第二是設計能自動發現與修復問題的系統，而且這個系統本身也必須可靠，並非平臺用了高可用性架構之後，檢查運作狀況的系統就能鬆懈，因為這類系統一旦失效、無法及時發現問題的時候，也會導致嚴重的影響；第3是有效治理，在大型平臺裡面，有非常多的開發團隊進行業務的開發，如何促使多個IT開發者遵循相同的治理策略，並且採用最佳實踐化的方式設計架構，會是相當困難的挑戰，因此在Akamai的企業文化中，會自我要求採用高可用性的思維方式，去設計所有的軟體架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Akamai-Kevin-DSCF3375-source-Akamai-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Akamai-Kevin-DSCF3375-source-Akamai-Web.jpg" style="width: 600px;" /></a></p> <p>第四是變更的安全性。有別於其他雲廠商，Akamai若要執行任何的軟體變更作業，都會在小範圍先試行，王明輝表示，公司在全球有超過4千個節點，會在一部分節點進行間接發布，一旦出現問題，他們可以及時發現與阻擋，並且實施組態設定復原（configuration rollback）的機制，將影響的範圍與程度控制到最小，提升危機管理能力，而且，這樣的概念也跟微分段（Micro-segmentation）相通，因為在微分段的實作上，同樣會設法將這個風險把它控制到最小範圍的部分，就不會造成企業整體崩壞的狀況。</p> <p>第五則是實踐企業可靠度文化，Akamai 副總裁暨技術長James Kretschmar在去年The ITPro Procast探討雲端大當機的專訪強調，建立可靠度的文化至關重要，如果我們正在做上述的事情，而且每天都這麼做，就會自然而然地成為組織的文化與常態，因此，我們需要營造這種文化，而且有時做著做著就達到目標。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Akamai Reliability-2026-03-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Akamai%20Reliability-2026-03-3.jpg" style="width: 600px;" /></a></p> <h2><span style="color: rgb(0, 0, 255);"><strong>呼籲各界認知到平臺可靠度不只是特性與承諾，更牽涉到客戶的業務成敗</strong></span></h2> <p>關於2025年發生全球多家雲端服務大當機事故，Akamai營運長暨雲端科技事業群總經理Adam Karon<strong><a href="https://www.akamai.com/blog/cloud/reliability-isnt-a-feature-its-a-commitment">曾有感而發</a></strong>，表明他們也曾經歷類似狀況，直言系統不可靠的代價不僅是技術層級的故障，而是影響整個組織的業務挫敗與連鎖反應。</p> <p>他認為，隨著技術不斷演進，可靠度越來越重要，但兩者的差距正在加大而非縮減，Adam Karon也特別點出IT大當機必然且頻繁發生的原因。他用二分法區隔兩種IT平臺，一種是定義規模與穩定性的核心平臺，將可靠度視為商業模式的根本，聚焦可靠度創新的精益求精，提供可預測的效能、安全性、可用性，其他則是將本身視為商品的平臺，業者積極宣傳本身的快速創新與持續部署，目的是不斷吸引眾人關注與引起興趣，並輕忽可靠度，視其為成本中心。</p> <p>有些企業為了使用成本更低廉的雲端服務，而接受每一季中斷多次服務的代價，但Adam Karon認為，認可線上業務停擺每季停擺一小時的收入損失，這不僅意味著組織承擔了技術債，也代表組織向競爭劣勢低頭，他強調，身處顧客體驗決定誰是市場贏家的時代，可靠度不該被犧牲。</p> <p>最後他重申完美的持續運作（Perfect uptime）並不存在，但接近完美（near perfect）與夠好（good enough）的差距，可透過收入損失金額與不滿意服務的用戶數量等量化指標得知的，當然，對於品牌傷害的影響更是難以估計，而Akamai的立場是提供最佳的可靠度，即使這麼做將使公司面臨更困難的挑戰、更昂貴的成本負擔、更複雜的技術架構設計，但他們很清楚客戶的業務不能只是建立在彼此的承諾之上，而要仰賴的是持續穩定運作的平臺。</p> </div></div></div>
3/14 15:09作者李宗翰https://www.ithome.com.tw/news/174399
微軟擴大DirectX機器學習布局，讓ML工作負載更直接整合進繪圖管線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<a href="https://devblogs.microsoft.com/directx/evolving-directx-for-the-ml-era-on-windows/">公開</a>DirectX新一波機器學習相關技術布局，重點包括用於著色器層級運算的DX Linear Algebra，以及用於完整模型圖（Full Model Graphs）執行的DirectX Compute Graph Compiler。這兩項技術的共同方向，是讓Windows遊戲可在DirectX繪圖工作管線內更直接地執行機器學習工作負載，而不再只把DirectX視為傳統繪圖API。</p> <p>DirectX這次的調整可分成兩個層次，微軟說明，第一個層次是把機器學習延伸到著色器內部執行，微軟先前已在Shader Model 6.9引入Cooperative Vector，讓開發者可在HLSL中使用硬體加速的向量乘矩陣運算。現在則往前推進，新增DX Linear Algebra，把支援範圍從向量─矩陣運算擴大到矩陣─矩陣運算，讓降噪、時間性升尺度等較依賴矩陣計算與批次執行的工作負載，也能以同一套DirectX程式模型處理。</p> <p>第二個層次則是把機器學習從著色器層級擴展到完整模型圖，微軟提出的DirectX Compute Graph Compiler是一個新的DirectX ML編譯器API，用途在於讓來自現代框架的模型圖，先依裝置條件完成圖分析、記憶體規畫與運算子融合，再轉成可直接整合進D3D12佇列與命令串列的工作負載。依微軟描述，這條路線主要處理較大型、較完整的模型，不再要求開發者把整個AI流程拆成個別著色器自行手寫。</p> <p>微軟正把DirectX中的機器學習能力切成兩條路線，其中較小、需要與傳統著色邏輯緊密結合的工作負載，可交由HLSL與DX Linear Algebra在著色器內直接執行，而較大、具有完整資料流與相依關係的模型，則交由DirectX Compute Graph Compiler負責。微軟也表示，之後DirectX圖形分析與除錯工具PIX將可在單一擷取流程中，同時檢視圖形與機器學習工作負載，讓開發者能在同一工具鏈內檢查兩類運算。</p> <p>硬體供應商方面，AMD、<a href="https://www.intel.com/content/www/us/en/developer/articles/news/microsoft-collaboration-powers-future-of-pc-gaming.html">Intel</a>、<a href="https://developer.nvidia.com/blog/nvidia-rtx-innovations-are-powering-the-next-era-of-game-development/?linkId=100000412162805#accelerating_in-game_ai_with_new_directx_apis">Nvidia</a>與Qualcomm都表態支援相關技術。微軟預告，DX Linear Algebra將於4月進入公開預覽，DirectX Compute Graph Compiler則預計於今年夏季開放私人預覽。</p> </div></div></div>
3/13 18:57作者李建興https://www.ithome.com.tw/news/174393
Kotlin開源函式庫Tracy強化AI應用可觀測性，支援追蹤LLM呼叫與工具執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Kotlin開源<a href="https://blog.jetbrains.com/kotlin/2026/03/introducing-tracy-the-ai-observability-library-for-kotlin/">函式庫Tracy</a>，著重強化AI應用的可觀測性，能追蹤LLM呼叫、工具執行與應用程式流程。該函式庫建立在OpenTelemetry之上，協助開發者除錯失敗情況、量測執行時間，並掌握模型呼叫、工具呼叫與自訂應用程式邏輯的運作情形。</p> <p>Tracy支援常見的Kotlin與LLM整合堆疊，包括OkHttp與Ktor用戶端，也可搭配OpenAI、Anthropic與Gemini相關用戶端使用。其設計重點在於，不要求開發者一定得透過特定AI框架的API發出呼叫，才能留下追蹤資料，而是可透過API用戶端或HTTP用戶端層級的追蹤機制收集遙測資料，再配合函式或程式區塊層級的追蹤，整理AI元件與AI代理程式內部狀態之間的時間順序與因果關係。</p> <p>與Spring AI、Koog等具備內建可觀測性能力的AI框架相比，官方指出，這類框架通常要求LLM呼叫必須透過框架本身的API發出，才會留下追蹤資料，也較難涵蓋框架外部的應用程式流程。Tracy提供3種較高階的追蹤方式，包括以withSpan包住特定程式區塊、直接替LLM用戶端啟用追蹤，以及透過@Trace註解追蹤函式或介面方法。以工具呼叫為例，開發者只要在介面方法加上@Trace，所有實作類別都可採用相同設定，減少逐一補寫追蹤程式碼的工作。</p> <p>在資料內容方面，Tracy預設追蹤的是中繼資料，例如呼叫的API、模型與參數，不會直接記錄輸入與輸出內容。若開發者在開發階段需要保留LLM輸入與輸出以利除錯，也可額外以程式方式啟用，或透過環境變數開啟。</p> <p>Tracy收集到的追蹤資料可匯出到各類相容OpenTelemetry的後端，包括Jaeger、Zipkin與Grafana，也可直接整合Langfuse與W&B Weave等LLM工程平臺，官方並提到，儲存庫已提供多個範例，包含將文章中的聊天應用範例接上追蹤與遙測匯出的實作方式。</p> </div></div></div>
3/13 16:33作者李建興https://www.ithome.com.tw/news/174392
【資安日報】3月13日，蘋果為11年前的舊裝置修補遭Coruna利用的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174383"><strong style="font-size: 22px;">蘋果為舊款iPhone及iPad用戶發布更新，修補已被攻擊套件Coruna利用的漏洞</strong></a></p> <p>3月11日蘋果針對iPhone與iPad用戶發布更新，包含iOS與iPadOS 16.7.15、15.8.7版，修補4個資安漏洞，其中包含出現於系統核心的CVE-2023-41974，以及出現在瀏覽器排版引擎WebKit的CVE-2023-43000、CVE-2023-43010、CVE-2024-23222，CVSS風險介於7.8至8.8分。而這些漏洞的共通點，就是已被近期Google揭露的漏洞利用工具包Coruna收錄，而被用於實際攻擊活動。</p> <p>目前採用15與16版iOS、iPadOS的行動裝置相當多，涵蓋2015年以後推出的裝置，包含：iPhone 6s、第一代iPhone SE、第二代iPad Air、第四代iPad mini、第7代iPod touch、第五代iPad、9.7吋iPad Pro，以及第一代12.9吋的iPad Pro，為了避免暴露在上述漏洞遭濫用的風險，用戶應儘速更新系統版本。</p> <p><a href="https://www.ithome.com.tw/news/174357"><strong style="font-size: 22px;">3月更新Adobe修補80個漏洞，呼籲用戶應優先處理Adobe Commerce</strong></a></p> <p>Adobe於3月10日針對旗下8種應用系統發布更新，範圍涵蓋Adobe Commerce（Magento Open Source）、Adobe Experience Manager（AEM）、Acrobat及Acrobat Reader、Illustrator，以及Premiere，總共修補80個漏洞，其中有四分之一被評為重大層級。值得留意的是，該公司特別將Adobe Commerce的修補工作，列為較需優先處理的項目，呼籲IT人員儘速套用新版軟體。</p> <p>本次Adobe為Adobe Commerce與Magento Open Source修補19個漏洞，其中有6個是重大層級，影響Adobe Commerce與Magento Open Source 2.4.9-alpha3及之前版本，以及Adobe Commerce B2B 1.5.3-alpha3及之前版本。該公司將Adobe Commerce的修補優先程度列為第2級，其餘7個應用系統為第3級。</p> <p><a href="https://www.ithome.com.tw/news/174338"><strong style="font-size: 22px;">川普公布「美國網路戰略」，以「六個支柱」落實美國優先，吹響數位戰鬥號角</strong></a></p> <p>美國白宮日前正式公布《2026年川普總統美國網路戰略》（President Trump’s CYBER STRATEGY for America），這份由總統親自署名並作序的戰略，標誌著美國網路政策的重大轉向，相較於過往偏重防禦的策略，新版戰略明確強調「主動打擊」與「美國優先」，並首度將代理式AI（Agentic AI）、後量子加密（PQC）與區塊鏈技術列為國家安全的核心技術防線。</p> <p>川普在戰略前言中強調，美國的網路能力要透過無與倫比的「非動力」（non-kinetic）打擊能力，確保美國在網路空間的絕對優勢，讓任何企圖發動網路攻擊的對手付出慘痛代價。在該份戰略中也指出，美國政府將不再採取被動防禦，而是透過政府與私部門合作，主動偵測並瓦解敵對網路⾏動；並提出「六大政策支柱」（Six Policy Pillars）作為核心架構，明確強調美國將在網路空間採取更積極的國家安全行動。<strong><a href="https://www.ithome.com.tw/news/174368">我們也將其完整內容翻譯成正體中文供大家參考</a></strong>。</p> <p><a href="https://www.ithome.com.tw/news/174358"><strong style="font-size: 22px;">歐盟法院顧問對銀行提出呼籲，應退還釣魚詐騙受害者被盜款項</strong></a></p> <p>歐盟總法律顧問（Advocate General）Athanasios Rantos本月提出建議，要求歐盟法院（CJEU）修改他們對歐盟支付服務指令第二版（Second Payment Services Directive，PSD2）法條的詮釋。他認為，銀行應該要賠償金融詐騙受害者損失的金錢。</p> <p>本案是起於波蘭銀行遭網路詐騙受害者控告不退還被騙金額。一名消費者在網拍平臺交易，遭到釣魚網站騙取帳號，對方已進行未授權交易。消費者通報警方及銀行，要求銀行退款，但銀行以消費者自己有疏失，未履行妥善保管支付工具的義務拒絕退款，於是遭到消費者提告。波蘭法院向歐盟法院提出先決裁定（preliminary ruling）。</p> <p><a href="https://www.ithome.com.tw/news/174387"><strong style="font-size: 22px;">加拿大BPO業者Telus Digital遭駭，疑外洩1 PB資料</strong></a></p> <p>ShinyHunters日前宣稱，他們從加拿大流程外包業者（BPO）Telus Digital系統竊取了將近1 PB的資料，欲勒贖6500萬美元。這群駭客告訴資安媒體Bleeping Computer，他們從之前外洩的Salesloft Drift聊天機器人資料，找到登入GCP的憑證，進而成功存取其系統。</p> <p>這群駭客宣稱取得該公司程式原始碼、FBI背景檢測、財務資訊、Salesforce資料、以及多家公司的尋求支援的通話紀錄。除了存取資料系統，還說也攻擊了母公司Telus Corporation的電信服務，包括消費者固網部門的通話記錄、語音紀錄，以及行銷資料。對此，Telus Digital本周證實系統遭駭，客戶資料外洩。</p> <p><a href="https://www.ithome.com.tw/news/174386"><strong style="font-size: 22px;">勒索軟體Interlock利用AI打造後門程式Slopoly</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/x-force-slopoly-ransomware-fig-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/x-force-slopoly-ransomware-fig-3.png" style="width: 300px; float: right;" /></a></p> <p>IBM資安研究團隊X-Force於今年初，發現疑似由AI生成的C2框架Slopoly，攻擊者的身分是外號為Hive0163的駭客組織，他們向來透過勒索軟體Interlock及資料外洩，向受害組織進行勒索。IBM指出，這起攻擊行動的發現，代表駭客組織的攻擊策略上出現本質性的改變，藉由AI輕易在短時間內開發新的惡意軟體或框架。</p> <p>該公司在調查一起勒索軟體事件時，發現攻擊者在受害伺服器上部署名為Slopoly的PowerShell程式碼。這個程式疑似透過生成式AI產生，原因是程式內容包含大量註解、錯誤處理，以及完整變數命名，這些都是典型AI生成程式碼的特徵，不過，究竟駭客濫用何種大型語言模型，IBM表示不清楚。</p> <p><a href="https://www.ithome.com.tw/news/174163"><strong style="font-size: 22px;">駭客濫用DeepSeek與Claude對Fortinet防火牆發動大規模攻擊，相關活動可追溯至去年12月</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OPENDIR_1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/OPENDIR_1.png" style="width: 300px; float: right;" /></a></p> <p>2月下旬Amazon威脅情報團隊揭露專門鎖定Fortinet防火牆的大規模攻擊行動，缺乏技術能力的小型駭客團體借助多種AI服務的力量，僅花耗費短短5週，就成功入侵超過600臺FortiGate裝置，他們尋找採用弱密碼、未啟動多因素驗證，以及曝露管理連接埠的系統下手，一旦成功進入受害組織的網路環境，就會進一步擷取AD憑證資料庫並對Veeam備份系統發動攻擊，後續也有其他研究人員發現類似的攻擊活動，並公布相關細節。</p> <p>資安威脅研究員Mike於部落格Cyber and Ramen發布文章指出，他在2月初發現駭客錯誤配置的伺服器，存放超過1千個檔案，當中包含遭竊的防火牆組態、AD資料、匯出的憑證資料，以及詳細的攻擊計畫。這臺伺服器與一般駭客經營的伺服器存在顯著差異，就是攻擊者直接將大型語言模型（LLM）整合到整個攻擊活動的流程。根據對此伺服器的調查，攻擊者很可能在去年12月就發起類似的攻擊行動。雖然Mike與Amazon揭露的資訊有些出入，不過各家資安新聞媒體普遍認為，兩者的調查與同一事故有關。</p> <p><a href="https://www.ithome.com.tw/news/174167"><strong style="font-size: 22px;">開源AI資安平臺CyberStrikeAI遭濫用，駭客用於大規模攻擊Fortinet防火牆</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberStrikeAI-dashboard.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberStrikeAI-dashboard.png" style="width: 300px; float: right;" /></a></p> <p>威脅情報團隊Amazon Threat Intelligence揭露針對Fortinet防火牆設備的大規模攻擊活動，駭客從今年1月11日至2月18日入侵超過600臺FortiGate裝置，過程中濫用多個生成式AI服務而引發關注。有資安公司根據Amazon公布的調查結果，發現與中國政府有關的駭客可能參與其中。</p> <p>資安公司Team Cymru指出，他們根據Amazon公布的入侵指標，發現駭客用於掃描活動的基礎設施212.11.64[.]250，與名為CyberStrikeAI的資安測試平臺有關。此平臺由代號為Ed1s0nZ的團體打造，根據該開發團隊的GitHub資料，他們與中國政府資助的團體進行互動，部分為與中國國家安全部（MSS）有明確關聯的企業組織。其中一個是資安公司知道創宇（Knownsec），Ed1s0nZ在2025年12月將CyberStrikeAI發布到該公司經營的Starlink專案。</p> <p><a href="https://www.ithome.com.tw/news/174301"><strong style="font-size: 22px;">OpenAI併購AI安全測試工具Promptfoo，強化AI代理安全評估能力</strong></a></p> <p>OpenAI於3月9日宣布併購AI安全測試平臺Promptfoo，未來將把其技術整合至企業AI平臺OpenAI Frontier，以強化AI代理（Agents）在開發與部署過程中的安全測試、風險評估，以及合規能力。</p> <p>有鑑於企業逐步將AI代理人導入實際工作流程，評估、安全與合規已成為企業部署AI系統的基礎需求。OpenAI指出，透過整合Promptfoo技術，Frontier未來將在平臺中提供自動化安全測試與紅隊演練功能，協助企業在部署前識別風險並修補漏洞。</p> <p><a href="https://www.ithome.com.tw/news/174355"><strong style="font-size: 22px;">OWASP列出AI代理10大風險，臺灣分會長呼籲別把排行示警當教條</strong></a></p> <p>非營利組織OWASP於去年底發布首份「AI代理10大風險」，同樣是在喚起各界對此新興領域安全性的重視。OWASP臺灣分會會長胡辰澔特別強調，十大風險的用意在於提高對於弱點的意識，並不是拿來做為招標依據或是絕對性的標準。他直言，曾聽聞有政府單位想要拿LLM十大風險來做招標規範，他對此深感不安。</p> <p>在OWASP社群的發展動態中，近期大家關注AI代理10大風險的發布，然而，另一項專案「AI資安驗證標準（AISVS）的進展，同樣不容忽視。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-recently-patched-ivanti-epm-flaw-now-actively-exploited/">CISA警告Ivanti端點裝置管理平臺EPM的身分驗證繞過漏洞已遭到利用</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/critical-n8n-flaws-allow-remote-code.html">工作流程自動化平臺n8n存在沙箱逃逸與未經驗證的表達式評估漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/veeam-warns-of-critical-flaws-exposing-backup-servers-to-rce-attacks/">Veeam修補備份軟體4個近滿分的重大層級漏洞，恐允許攻擊者遠端執行任何程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/researchers-trick-perplexitys-comet-ai.html">研究人員藉由AI推理行為降低瀏覽器防護，誘騙Perplexity Comet存取釣魚網頁</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/termite-ransomware-breaches-linked-to-clickfix-castlerat-attacks/">駭客組織Velvet Tempest運用ClickFix手法並搭配Windows公用程式，部署惡意軟體DonutLoader、CastleRAT</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174365"><strong>【3月12日】Google完成併購Wiz，將整合到Google Cloud事業群</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174339"><strong>【3月11日】微軟發布例行更新，修補已被公開的零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174309"><strong>【3月10日】AI瀏覽器Perplexity Comet存在零點擊漏洞，可用於竊取檔案及挾持密碼管理工具帳號</strong></a></p> </div></div></div>
3/13 12:00作者周峻佑https://www.ithome.com.tw/news/174389
VS Code改採周更，1.111版新增Autopilot並強化代理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟發布<a href="https://code.visualstudio.com/updates/v1_111">VS Code 1.111</a>，這是VS Code自3月9日起改採每周發布穩定版後的第一個版本。該更新延續近月的代理功能開發，重點包括代理權限（Agent permissions）、Autopilot預覽、代理範疇Hook預覽，以及供除錯使用的偵錯事件快照（Debug Events Snapshot）。</p> <p>微軟在<a href="https://github.com/microsoft/vscode/issues/300108">GitHub的VS Code 2026年3月迭代計畫草案</a>中表示，自2025年夏季以來，VS Code採每月發布1個穩定版、另有3到4個修補版的節奏，而自2026年3月9日起，團隊改為每周發布新的穩定版。原本的最終（Endgame）收尾流程也將併入每周作業，相關議題則會指派到以對應版本號命名的里程碑。</p> <p>前一版1.110的釋出日期為3月4日，1.111則在3月9日推出，兩版相隔5天，已不同於過去以月為單位的主要版本更新方式。</p> <p>Autopilot是1.111首波每周穩定版更新的重點之一。微軟在聊天檢視加入新的權限選擇器，讓使用者可針對單次工作階段調整代理自主程度。可選層級包括沿用既有核准設定的預設核准、會自動核准工具呼叫並在出錯時自動重試的略過核准，以及Autopilot預覽。啟用Autopilot後，代理除會自動核准工具呼叫、在發生錯誤時自動重試外，也會自動回應問題，並持續自行處理任務直到完成為止。</p> <p>微軟也在版本說明中提醒，略過核准與Autopilot都會略過手動核准提示，且不受既有核准設定限制，可能涉及檔案編修、終端機命令與外部工具呼叫等動作。Autopilot在Insiders版本預設啟用，穩定版則需由使用者手動開啟chat.autopilot.enabled設定。</p> <p>除Autopilot外，1.111也新增代理範疇Hook預覽功能，允許開發者把前處理與後處理邏輯綁定到特定代理，不影響其他聊天互動。此外，這版也加入偵錯事件快照，讓使用者可將代理偵錯事件的快照附加到聊天內容，用於檢查載入的自訂設定、詞元消耗與代理行為問題。</p> <p>就1.111這次公開的新增項目來看，多半圍繞代理執行控制、客製化與偵錯。微軟也在GitHub議題中提到，團隊預計在3月中說明，之後會如何對外更新正在進行與規畫中的工作內容，相關說明方式仍大致會按月整理。</p> </div></div></div>
3/13 13:37作者李建興https://www.ithome.com.tw/news/174390
Anthropic為Claude加入即時視覺化功能，可於對話中生成互動圖表
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://claude.com/blog/claude-builds-visuals" target="_blank">Anthropic周四（3/12）宣布</a>，旗下AI助理Claude已新增互動式視覺化能力，可在聊天過程中直接生成圖表、流程圖與資料視覺化內容。這些視覺元素會嵌入在回覆內容中，並可隨對話進展即時調整，協助使用者更直觀理解討論的主題。</p> <p>Anthropic說明，這項能力是去年推出的<a href="https://www.anthropic.com/news/claude-sonnet-4-5" target="_blank">Imagine with Claude</a>功能的延伸。該功能原本允許Claude在不需要撰寫程式碼的情況下建立即時視覺內容，而現在已整合進Claude的聊天對話中，使AI可以在回答問題時同步生成視覺化說明。</p> <p>與Claude既有的Artifacts功能不同，新推出的圖表與示意圖並非用於保存或分享的文件，而是用來輔助理解的臨時視覺內容。這些視覺化內容會直接出現在對話回覆中，而不是顯示在側邊面板，並會隨著對話內容更新或改變，甚至可能在對話結束後消失。</p> <p>例如當使用者詢問「複利如何運作」，Claude可以生成可互動的成長曲線，讓使用者調整參數觀察變化；若詢問元素週期表，Claude則能建立可點擊的互動式元素表格，使用者可直接點選元素查看相關資訊。此外，Claude也可生成像是紙飛機摺法或建築結構受力的示意圖，協助說明概念。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-claude-600-1.jpg" style="width: 600px;" /></p> <p>除了學習與教育用途，這項功能也可用於商業情境。例如創業者可將營收資料提供給Claude，要求生成營收趨勢圖或其他資料圖表，以視覺化方式呈現業務表現。</p> <p>Claude會根據對話情境自動判斷是否生成視覺化內容，用戶也可以直接提出要求，例如輸入「把這個畫成圖表」或「視覺化這個變化趨勢」。生成圖表後，使用者也能要求調整或加入更多細節。</p> <p>此一新的視覺化功能已開放給所有Claude用戶，包括免費方案在內，並預設啟用。</p> </div></div></div>
3/13 13:56作者陳曉莉https://www.ithome.com.tw/news/174391
蘋果為舊款iPhone及iPad用戶發布更新，修補已被攻擊套件Coruna利用的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一週前Google揭露<strong><a href="https://www.ithome.com.tw/news/174211">iOS漏洞利用工具包Coruna</a></strong>，該工具包能利用23種已知漏洞，且串連5種完整的漏洞利用攻擊鏈而受到關注。後續美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.ithome.com.tw/news/174351">將其中3個漏洞列入已遭到利用的漏洞列表（KEV）</a></strong>，本週蘋果也發布資安公告，為舊版行動裝置作業系統修補相關漏洞。</p> <p>3月11日蘋果針對iPhone與iPad用戶發布更新，包含iOS與iPadOS <a href="https://support.apple.com/zh-tw/126646" style="font-weight: bold;">16.7.15</a>、<strong><a href="https://support.apple.com/zh-tw/126632">15.8.7</a></strong>版，修補4個已遭Coruna利用的資安漏洞，其中包含出現於系統核心的CVE-2023-41974，以及出現在瀏覽器排版引擎WebKit的CVE-2023-43000、CVE-2023-43010、CVE-2024-23222，CVSS風險介於7.8至8.8分。</p> <p>目前採用15與16版iOS、iPadOS的行動裝置相當多，涵蓋2015年以後推出的裝置，包含：iPhone 6s、第一代iPhone SE、第二代iPad Air、第四代iPad mini、第7代iPod touch、第五代iPad、9.7吋iPad Pro，以及第一代12.9吋的iPad Pro，為了避免暴露在上述漏洞遭濫用的風險，用戶應儘速更新系統版本。</p> <p>附帶一提的是，上述的資安漏洞當中，CISA已將3個列入KEV，其中包含<strong><a href="https://www.ithome.com.tw/news/161048">蘋果2024年1月公布時就列入的CVE-2024-23222</a></strong>，以及上週被加入的CVE-2023-41974和CVE-2023-43000。</p> </div></div></div>
3/13 10:35作者周峻佑https://www.ithome.com.tw/news/174383
勒索軟體Interlock利用AI打造後門程式Slopoly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客運用AI加速攻擊步調的作法，不斷有相關消息傳出，如今有勒索軟體駭客用來打造部分攻擊流程的工具，引起研究人員的注意。</p> <p>IBM資安研究團隊X-Force於今年初，<strong><a href="https://www.ibm.com/think/x-force/slopoly-start-ai-enhanced-ransomware-attacks">發現疑似由AI生成的C2框架Slopoly</a></strong>，攻擊者的身分是外號為Hive0163的駭客組織，他們向來透過勒索軟體Interlock及資料外洩，向受害組織進行勒索。IBM指出，這起攻擊行動的發現，代表駭客組織的攻擊策略上出現本質性的改變，藉由AI輕易在短時間內開發新的惡意軟體或框架。</p> <p>該公司在調查一起勒索軟體事件時，發現攻擊者在受害伺服器上部署名為Slopoly的PowerShell程式碼。這個程式疑似透過生成式AI產生，原因是程式內容包含大量註解、錯誤處理，以及完整變數命名，這些都是典型AI生成程式碼的特徵，不過，究竟駭客濫用何種大型語言模型，IBM表示不清楚。</p> <p>針對Slopoly的性質，它既是後門程式，也是攻擊者的C2框架用戶端軟體。Slopoly會蒐集系統資訊並定期向C2伺服器回報，每30秒傳送一次心跳訊號並等待指令，一旦接收到指令就透過cmd.exe執行，再將結果回傳給遠端伺服器，使攻擊者能遠端操控受害主機。</p> <p>研究顯示，駭客利用這個後門在受害系統中維持超過一週的存取權限。Slopoly通常在攻擊流程後期部署，用來確保持續控制受害系統，並可能搭配其他惡意軟體共同運作。</p> <p>整體攻擊流程從社交工程手法ClickFix開始。攻擊者會誘騙受害者複製並執行惡意PowerShell指令，進而下載NodeSnake惡意程式，建立初始控制權，接著再部署其他工具與Slopoly。</p> <p><a href="https://s4.itho.me/sites/default/files/images/x-force-slopoly-ransomware-fig-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/x-force-slopoly-ransomware-fig-3.png" style="width: 580px;" /></a></p> <p>儘管Slopoly的技術並不算特別複雜，但IBM指出，AI生成惡意程式的出現，代表攻擊門檻正在下降。透過生成式AI，攻擊者可以在更短時間內開發新的惡意軟體框架，未來甚至可能會有能在攻擊過程中自主決策的AI惡意程式。</p> </div></div></div>
3/13 11:25作者周峻佑https://www.ithome.com.tw/news/174386
加拿大BPO業者Telus Digital遭駭，疑外洩1PB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在惡名昭彰的ShinyHunters宣稱取得其1 petabyte的資料後，加拿大流程外包業者（Business Process Outsourcing，BPO）Telus Digital本周證實系統遭駭，客戶資料外洩。</p> <p>Telus Digital隸屬於加拿大電信公司Telus Corporation，為企業客戶設計和執行客戶支援、內容管理、AI資料服務等業務。其客戶涵蓋科技、遊戲、通訊和媒體、電子商務、金融服務、銀行、信用卡、金融科技、旅遊和酒店、醫療保健以及汽車等產業。</p> <p>該公司本周向<a href="https://www.bleepingcomputer.com/news/security/telus-digital-confirms-breach-after-hacker-claims-1-petabyte-data-theft/" target="_blank">BleepingComputer</a>證實，部份系統遭到未授權存取。但Telus Digital說，公司所有業務皆正常運行，沒有客戶連線或服務中斷的跡象。</p> <p>Telus Digital並說，發現第一時間已解決了異常活動，強化公司系統防禦。該公司已偕同外部專家進行調查及通報主管機關，也準備必要時通知受影響的客戶。</p> <p>ShinyHunters日前宣稱，從Telus Digital系統竊取了將近1 petabyte的資料，欲勒贖6500萬美元。這群駭客告訴媒體，是之前外洩的Salesloft Drift聊天機器人資料中找到登入Telus Google Cloud Platform憑證，進而成功存取其系統。這群駭客宣稱取得該公司程式原始碼、FBI背景檢測、財務資訊、Salesforce資料、以及多家公司的尋求支援的通話紀錄。除了存取資料系統，還說也攻擊了Telus電信服務，包括消費者固網部門的通話紀錄、語音紀錄和行銷資料。</p> <p>去年ShinyHunters利用和Salesforce整合的Salesloft Drift聊天機器人漏洞大舉入侵七百多家知名企業，並且竊得大量儲存在Salesforce平臺的企業資訊，其宣稱外洩資料高達15億筆。</p> <p>駭客並說，Telus Digital只是這波攻擊的28家受害企業之一。巧合的是，本周<a href="https://www.ithome.com.tw/news/174337" target="_blank">媒體報導</a> ，ShinyHunters似乎又再度活動，利用Salesloft Drift、Gainsight再對Salesforce的企業用戶發動攻擊。</p> <p>加拿大最大零售商Loblaw本周也<a href="https://www.bleepingcomputer.com/news/security/canadian-retail-giant-loblaw-notifies-customers-of-data-breach/" target="_blank">公告遭駭</a>，影響部份IT系統並外洩部份客戶的基本資訊。本案是否也和ShinyHunters目前不得而知。</p> </div></div></div>
3/13 11:36作者林妍溱https://www.ithome.com.tw/news/174387
在職18年的Adobe執行長Shantanu Narayen準備卸任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://news.adobe.com/news/2026/03/leadership-update" target="_blank">Adobe周四（3/12）宣布</a>，執行長Shantanu Narayen將在董事會選出繼任者後卸下CEO職務，未來將續任董事長。消息傳出後，當天Adobe的盤後股價下滑7.62%，跌至249.22美元。</p> <p>Narayen於1988年加入Adobe，2007年升任CEO，至今已領導公司18年。在其任內，Adobe完成重要商業模式轉型，將Photoshop、Illustrator等產品從一次性授權改為Creative Cloud訂閱服務，逐步建立以雲端為核心的營運模式。在此一期間，公司員工人數由約3,000人增加至超過3萬人，年營收也從不足10億美元成長至超過250億美元。</p> <p>近年Adobe積極布局生成式AI，推出Firefly等AI創作工具，並將AI功能整合至Photoshop、Illustrator與Adobe Express等產品。Narayen在<a href="https://news.adobe.com/news/2026/03/employee-memo" target="_blank">致員工信中</a>表示，AI正重新定義創意工作流程與新的表達形式，Adobe希望在這一波技術變革中持續引領創意產業。</p> <p>同一天<a href="https://news.adobe.com/news/2026/03/adobe-q1fy26-financial-results" target="_blank">Adobe也公布</a>了截至2月27日的2026財年第一季財報。該季Adobe營收為64億美元，年增約12%；淨利為18.9億美元，高於去年同期的18.1億美元；每股盈餘為6.06美元，高於市場預期的5.87美元。</p> <p>Adobe表示，AI相關產品的年化營收已較去年同期成長超過三倍。Adobe目前在Acrobat、Creative Cloud、Express與Firefly等產品的月活躍用戶合計達8.5億人，比去年同期增加了17%。此外，Adobe預估第二財季營收將落在64.3億至64.8億美元之間，每股盈餘為5.80至5.85美元。</p> <p>即便財報表現超乎預期，近年Adobe股價仍持續下跌。市場擔心生成式AI可能改變創意工具市場結構，使得Adobe股價在2024與2025年連續兩年下跌超過20%，今年以來亦下跌約23%。</p> <p>多家媒體分析指出，現年62歲的Narayen已擔任CEO長達18年，在大型科技公司中屬於相當長的任期，此次應屬正常的接班規畫。而董事會在生成式AI快速改變創意工具市場之際啟動CEO交棒，也被解讀為替下一階段AI發展布局。</p> </div></div></div>
3/13 11:56作者陳曉莉https://www.ithome.com.tw/news/174388
Google調整Antigravity收費方式，Pro方案可使用配額大為受限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://x.com/antigravity/status/2031835833716625883" target="_blank">Google本周宣布</a>調整AI開發IDE平臺Antigravity的收費模式，將佔用訂閱方案點數，引發眾多Pro方案用戶批評可用配額大為縮減。</p> <p>新的調整下，各級（如Pro、Ultra）方案內建的點數可用以使用Antigravity，如果配額用罄就得付費購買，25美元可買2500點，「提供更順暢的擴充途徑」。Google並宣稱，新的作法提供用戶更多控制權。</p> <p>Google並指出，AI Pro適合只使用IDE的人，包括「講求實際」的程式開發者、興趣者、學生和開發人員，他們不一定需要依賴代理人。本方案提供「慷慨」的Gemini Flash用量及基準配額，包括試用最先進的頂級模型。AI Ultra方案則是為那些每日需要大規模產出程式的開發人員而設計，他們需要一致化、大量存取Google最複雜的模型。Google鼓勵Pro用戶，如果需要更快或使用頂級模型，可以加買AI點數來客製化計畫。</p> <p>Google去年11月以預覽版提供Antigravity，<a href="https://antigravity.google/docs/plans" target="_blank">並公布</a>訂閱方案層級為基礎的使用配額規定，目前本頁還未更新。其中Google AI Ultra或Google Workspace AI Ultra for Business的方案用戶可提供「最高、最大方」的配額，每5小時更新一次，沒有每周使用上限。而Google AI Pro方案提供「高而大方」的使用配額，每5小時重置，且每周使用量及傳輸量都有上限。免費或其他方案用戶不但配額很少、且用量滿了就得等到下周。</p> <p>眾多Pro方案用戶已經感受到使用配額更緊縮。一名用戶<a href="https://old.reddit.com/r/google_antigravity/comments/1rr9n6x/mark_my_words_google_is_moving_towards_the_credit/" target="_blank">表示</a>，他在二月就感受到流量限制，輸入/輸出token由一月的1周1.5億/100萬token降為8000萬/50萬token，三月還愈來愈少，起初為2500萬/25萬token，本周跌剩900萬/20萬token，比Gemini CLI更少。此外，他也更頻繁遇到5小時重置，而且也不再能用到更高階的Gemini Pro模型。</p> <p>還有數名用戶抱怨，他們在配額用光後等了5天（而不是原來的5小時），再準備輸入時，又被告知需再等5天。另一人因此放棄Antigravity，改去訂閱Anthropic Claude、OpenAI Codex和Microsoft Copilot。</p> </div></div></div>
3/13 10:25作者林妍溱https://www.ithome.com.tw/news/174382
面臨AI隱憂，Atlassian裁員1600人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>澳洲軟體巨擘Atlassian昨（3/12）日<a href="https://www.atlassian.com/blog/announcements/atlassian-team-update-march-2026" target="_blank">宣布裁員</a>約10%，將近1600名員工並計畫公司重組，成為AI興起衝擊的最新一家軟體公司。</p> <p>Atlassian是知名軟體公司，擁有多項深受開發人員愛用的產品，包括專案管理產品Jira、技術文件管理平臺Confluence、視覺化專案管理Trello與程式碼代管平臺Bitbucket等。</p> <p>Atlassian執行長Mike Cannon-Brookes坦承，AI是公司決定裁員的原因之一。他說，雖然公司不認為AI可取代人類工程師，但假裝AI對軟體公司技能組成或需要的人員數量沒有影響就太不智了。他表示，為了適應新的挑戰，公司正在重塑技能組成，並改變未來工作方式。</p> <p>Atlassian上季雲端營運成長25%，衡量公司營收潛力的RPO（Remaining Performance Obligation，剩餘履約義務）來到25%、ARR（Annual Recurring Revenue，年度經常性收入）客戶超過百萬的客戶有600多家、AI雲端產品Rovo每月平均用戶超過500萬。但受到AI的衝擊，Atlassian的股價已自1年前跌了70%。</p> <p>Cannon-Brookes指出，透過裁員公司將重新架構，以強化於AI及企業市場銷售的投資。公司也將更著重獲利率，並且自我改組以提升行動速度，包括所有產品部門及其他獲利單位都要成立專屬的領導團隊。</p> <p><a href="https://www.reuters.com/technology/atlassian-lay-off-about-1600-people-pivot-ai-2026-03-11/" target="_blank">路透社報導</a>，組織重整計畫預計今年第四季前完成，歐洲、中東、日本、菲律賓及非洲預計有少部份裁員。</p> <p>由OpenAI、Anthropic等AI公司提供的自動撰寫程式碼、測試工具，已危及人類的飯碗。Atlassian之前，推特創辦人Jack Dorsey創辦的Block宣布裁撤4000人，佔公司人數的將近一半。電商龍頭Amazon去年10月<a href="https://www.cnbc.com/2025/10/28/amazon-layoffs-corporate-workers-ai.html" target="_blank">宣布</a>1.4萬人的裁員計畫，但<a href="https://www.bbc.com/news/articles/cx2ywzxlxnlo" target="_blank">一月</a>裁了1.6萬人。此外，二周前Anthropic<a href="https://www.theregister.com/2026/02/23/ibm_share_dive_anthropic_cobol/" target="_blank">宣布</a>Claude Code新增撰寫Cobol程式的能力後，引發IBM股價大跌最多13%。</p> </div></div></div>
3/13 10:45作者林妍溱https://www.ithome.com.tw/news/174384
微軟推出Copilot Health，整合病歷與穿戴裝置資料打造AI健康助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟周四（3/12）<a href="https://microsoft.ai/news/introducing-copilot-health/" target="_blank">宣布推出Copilot Health</a>，這是一項整合在Copilot App中的人工智慧健康服務，可整合用戶的醫療紀錄、檢驗結果與穿戴裝置資料，並利用AI分析健康資訊，提供個人化健康建議。該服務將先在美國推出，並採分階段方式開放用戶加入候補名單。</p> <p>Copilot Health定位為Copilot中的專屬健康空間，讓使用者可以將分散在不同系統中的健康資料集中管理。用戶可匯入電子病歷、檢驗報告與醫師就診摘要，並連接來自Apple Health、Oura、Fitbit等穿戴裝置的活動量、睡眠與生理數據。AI會依據這些資訊分析健康趨勢，協助使用者理解檢驗結果、整理健康紀錄，或在就醫前準備要向醫師詢問的問題。</p> <p>微軟表示，目前Bing與Copilot每天處理超過5,000萬個健康相關問題，因此希望透過Copilot Health提供更完整的健康資訊服務。許多使用者在面對健康問題時，往往需要在多個網站、應用程式與醫療文件之間搜尋資訊，而Copilot Health的目標是將這些資料整合為可理解的健康脈絡，協助使用者更好地掌握自身健康狀況。</p> <p>現階段Copilot Health可連接超過5萬家美國醫療機構與醫療服務提供者的資料，並整合實驗室檢驗與健康應用程式的資訊。系統也可分析穿戴裝置的睡眠、活動量與生理數據，讓AI能根據使用者的健康歷史與日常生活型態提供更個人化的建議。Copilot Health的回答則是引用來自50個國家的可信醫療與健康機構資訊，並由臨床團隊依據美國國家醫學院（National Academy of Medicine）制定的原則進行驗證。</p> <p>考量醫療資料的高度敏感性，微軟強調Copilot Health採用獨立的安全架構。健康資料與一般Copilot聊天內容會分開儲存，並使用額外的加密與存取控制機制。使用者可隨時管理或刪除自己的健康資料，而相關資訊也不會被用於訓練AI模型。</p> <p>Copilot Health是由微軟內部臨床團隊與工程團隊共同開發，並由來自24個國家的230多名醫師組成的外部專家小組提供醫療專業與安全建議。微軟表示，該服務的目標是協助使用者理解健康資訊並更有效地與醫師溝通，而非取代醫療專業人員。</p> <p>隨著生成式AI快速發展，醫療也被視為重要應用場景。許多民眾在出現症狀或收到檢驗報告時，往往會先在網路上搜尋資訊。AI助理能透過對話方式整理醫療資料並提供解釋，因此被認為有機會改善醫療資訊取得不易與理解困難的問題。</p> <p>除了微軟之外，多家AI公司也正加速布局醫療領域。包括OpenAI今年推出ChatGPT健康（<a href="https://www.ithome.com.tw/news/173226" target="_blank">ChatGPT Health</a>），讓使用者可連接電子病歷與健康應用程式，並在專屬空間中詢問健康問題。Google則持續發展<a href="https://www.ithome.com.tw/news/173364" target="_blank">醫療AI模型</a>與健康AI技術，用於醫療研究、健康分析與公共衛生應用。</p> <p>目前Copilot Health仍處於早期推出階段，並將先以英文在美國提供服務。微軟表示，未來將逐步擴充支援的資料來源、語言與地區，並持續提升AI在健康分析與醫療資訊理解方面的能力。</p> </div></div></div>
3/13 11:19作者陳曉莉https://www.ithome.com.tw/news/174385
《2026年川普總統美國網路戰略》（President Trump’s CYBER STRATEGY for Amer…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h1> </h1> <h1><strong>第⼀部分：總統序</strong></h1> <h2><strong>白宮，華盛頓</strong></h2> <p>在過去的一年裡，美國向全世界展示了我們擁有地球上最強大、最精密的尖端軍事力量，而且這是不言而喻的。這不僅包括我們壓倒性的傳統軍事力量，還包括我們無與倫比的「非動力」（non-kinetic）。</p> <p>這份《國家網路戰略》概述了我的優先事項，以確保美國在網路空間保持無可匹敵的地位。它呼籲政府各部門與私部門進行前所未有的協調，投資於最尖端的技術並持續推動世界級的創新，以充分發揮美國在攻擊與防禦任務中的網路能力。</p> <p>我們的網路工具與維運人員是世界上最頂尖的，我們正在授權他們通過干擾和使對手迷失方向，並拒絕為其提供安全避風港來保衛美國。美國擁有的能力是世界其他國家難以想像的。我們的網路戰士每天都在努力工作，以確保任何試圖傷害美國的人，都將付出最沉重且最慘痛的代價。</p> <p>本戰略的核心在捍衛美國人民的安全、保障與繁榮。隨著美國獨立250周年即將到來，本文件中制定的戰略，將有助於確保美國在遙遠的未來，繼續成為世界歷史上最強大、最自由、最偉大的國家。美國的力量終將在網路空間屹立不倒。</p> <p>(川普總統簽名)</p> <h1><strong>第⼆部分：前言</strong></h1> <p>網路空間誕生於美國。美國的人才、創新、研究以及強大的政府能力相結合，創造了一個充滿活動且蓬勃發展的數位世界，每位美國⼈的資訊獲取、經濟機會與基本⽣活⽅式都依賴於此。事實上，網路領域是川普總統採取行動以確保美國在金融、創新與新興技術、軍事力量和製造業領先世界的關鍵。</p> <p>然而，網路空間的自由與安全不能被視為理所當然。對手與網路犯罪分子利用網路空間推行威權主義、壓制民主並破壞我們的國家與經濟安全。與其他政府不同，川普政府不會在邊緣試探，也不會採取忽視網路威脅數量與嚴重性日益增長的局部措施和含糊策略，川普總統將繼續直接應對網路空間的威脅。</p> <p>美國享有無與倫比的技術與經濟創新、無與倫比的軍事力量，以及一個致力於自由開放表達的社會。每個美國人都應該採取實際步驟在網路空間保護自己和家人，但美國公民並不孤單。川普總統一次又一次證明，他決心透過利用我們所有的相對優勢，使美國人安全且繁榮。本戰略是川普總統行動的延續，並透過在網路空間落實「美國優先」，直接支援國家安全戰略。</p> <p>我們的對手與網路犯罪分子在網路空間瞄準我們的家庭、鄰居、中小企業、農民、急救人員、病患和年長者。他們破壞醫療保健、銀行、食品供應和水處理等關鍵服務，他們給我們的經濟帶來了巨大的損失，並使日常用品變得昂貴難以負擔。</p> <p>然而，川普總統的行動發出了一個明確的信號：我們將採取行動，捍衛我們在網路空間的利益。無論是摧毀網路詐騙者的網路並沒收其150億美元的盜取資金，還是支持一項跨全球的行動以摧毀伊朗的核基礎設施，亦或是在一場完美無缺的軍事行動中使我們的對手陷入盲目與不解，並將國際毒品恐怖分子馬杜洛（委內瑞拉總統）繩之以法，對手們都已收到警告：美國的網路維運人員與工具是世界上最強大的，可以迅速有效地部署以捍衛美國利益。</p> <p>美國人民再次選出川普總統，以落實「美國優先」。本戰略向美國人民、國會、我們的產業夥伴、全球盟友以及對手，傳達了川普政府的網路願景與方針。它解釋了政府的優先事項，總結為「六大政策支柱」，這將指引後續的行動與資源配置。本戰略建立在川普總統迄今為止的行動基礎上，並需要以前所未有的協調、承諾和政治意志來對抗網路威脅。川普總統的領導力已創造了網路空間的新時代。</p> <h1><strong>第三部分：邁向未來與行動支柱</strong></h1> <h2><strong>邁向未來</strong></h2> <p>我們的決心是堅定的。我們將迅速、審慎、積極主動地採取行動，消除對美國的網路威脅。我們的因應措施不會侷限於「網路」領域。我們將採取前所未有的行動，在美國政府各部門之間協調一致、持續推進。我們將與全球盟友合作，維護美國的利益和安全；我們將堅決反對任何對言論自由的箝制，我們將戰勝那些兜售「低成本」人工智慧和數位技術，卻隱含審查、監控和意識形態偏見的對手。我們將與產業界和學術界緊密合作，以應對我們所面臨的威脅，並堅持我們的價值觀，採取與時俱進的行動。</p> <p>川普總統已將針對美國公民的攻擊，定性為危險之舉。我們的對手已經並將繼續感受到其行為的後果；我們將摧毀網路，追捕駭客和間諜，並制裁非法的外國駭客公司。我們將揭露並譴責網路間諜活動、破壞性宣傳和影響力行動，以及文化滲透。</p> <p>透過瓦解對手的網路攻擊，增強我們網路的防禦能力和韌性，我們將釋放創新潛力，加速經濟成長，並確保美國在科技領域的主導地位。我們將取消繁瑣且無效的法規，以便我們的產業合作夥伴能夠在新興技術領域快速創新。私部門的合作夥伴必須能夠迅速應對和恢復，以確保美國經濟的持續發展。我們將把「安全」作為創新的基石，從而捍衛我們的聯邦系統、關鍵基礎設施和供應鏈。我們推動資訊系統現代化，確保老舊的基礎設施不會阻礙創新。我們將透過外交、商務和行動參與國際事務，確保各項規範和標準能體現我們的價值觀。我們將充分利用私部門研究機構的巨大才能和創造力。我們將建立公部門和私部門之間更高層次的合作關係，以在和平時期和戰爭時期捍衛美國。</p> <h2><strong>行動支柱</strong></h2> <p>六大政策支柱支撐著本戰略，並將指導實施與成功衡量標準。</p> <h2>1.形塑對手行為（Shape Adversary Behavior）</h2> <p>美國公民、企業和我們的盟友不應獨自在網路空間抵禦老練的軍事、情報和犯罪對手。我們將部署美國政府全套的防禦性和攻擊性網路行動能力。我們將透過建立誘因來識別並瓦解對手網路，提升國家網路能力，藉此釋放私部門潛能。</p> <p>我們必須在對手入侵我們的網路和系統之前，偵測、對抗並擊敗他們。我們將削弱他們的實力和能力，並動用一切國家力量手段，提高他們侵略的成本。我們將遏制監控國家和威權技術的蔓延，這些技術監視和壓制公民。網路犯罪和智慧財產權竊取是全球經濟面臨的最大威脅之一。我們將剷除犯罪基礎設施，切斷其資金來源和避風港。</p> <p>捍衛網路空間和維護網路自由是一項集體行動——美國及其擁有共同民主價值的盟友，必須公平地分擔成本和責任。我們將攜手合作，為企圖傷害我們的對手製造真正的實質風險，並對那些採取敵對行動的人追究責任。</p> <h2>2.推動合理監管（Promote Common Sense Regulation）</h2> <p>網路防禦不應淪為一份成本高昂、延遲準備、行動和回應的清單。我們將簡化網路安全法規，以減輕合規負擔，明確責任歸屬，並更好地協調全球監管機構和產業之間的關係。我們將簡化資料和網路安全法規，確保私部門擁有應對快速演變威脅所需的靈活性。我們將強調美國公民及其資料享有的隱私權。</p> <h2>3.強化聯邦政府資安架構（Modernize and Secure Federal Government Networks）</h2> <p>我們將透過實施網路安全最佳實踐、後量子密碼學、零信任架構和雲端轉型，加速聯邦資訊系統的現代化、防禦性和韌性。我們將努力提升網路安全在政府領導階層和董事會中的重要性。我們將運用最先進的技術和團隊，持續測試並追蹤聯邦網路上的惡意行為者。我們將優先保障支撐我們軍事、情報和民用機構的國家安全系統的安全性和韌性。我們將致力於採用人工智慧驅動的網路安全解決方案，以大規模防禦聯邦網路並阻止入侵。我們將與政府各部門合作，以實現採購流程的現代化和競爭性化，消除准入壁壘，使政府能夠購買和使用最好的技術。</p> <h2>4.保護關鍵基礎設施（Secure Critical Infrastructure）</h2> <p>我們將盤點、排序優先順序並強化美國的關鍵基礎設施防護能力，同時確保其供應鏈安全，包括國防關鍵基礎設施及其相關供應商、民間企業、網路與服務體系。這些領域涵蓋能源電網、金融與電信系統、資料中心、自來水設施與醫療院所等，並確保資訊技術（IT）與營運技術（OT）供應鏈的安全性。我們必須逐步降低對敵對國家供應商與產品的依賴，並推動採用美國自主技術與產品。我們將阻止對手取得初始入侵的機會；一旦發生事件，也必須具備快速復原與恢復營運的能力。同時，我們將強化州政府、地方政府、部落政府以及領地政府在資安防護中的角色，使其成為國家整體資安體系的重要補充，而非替代機制，共同支撐全國性的網路安全工作。</p> <h2>5.維持新興科技優勢（Sustain Superiority in Critical and Emerging Technologies）</h2> <p>確保美國的創新能力並保護國家的智慧財產與技術優勢，將是首要任務。我們將建立安全的技術與供應鏈體系，在從設計到部署的各個階段保護使用者隱私，包括支持加密貨幣與區塊鏈技術的安全發展。同時，我們將推動後量子密碼技術（Post-Quantum Cryptography）的採用，以及安全量子運算的發展。</p> <p>我們也將確保人工智慧技術堆疊（AI technology stack）的安全，包括資料中心等關鍵基礎設施，並促進AI安全領域的創新。我們將迅速部署AI驅動的網路防禦工具，以偵測、轉移並誤導威脅行為者。同時，也將快速導入並推廣代理式人工智慧（Agentic AI），以安全方式擴大網路防禦與反制行動的規模。透過網路外交（Cyber Diplomacy），我們將確保人工智慧——特別是生成式AI與代理式AI——能在促進創新之餘，同時維持全球穩定。我們將確保支撐美國在AI領域領導地位的資料、基礎設施與模型安全，並對那些進行審查、監控並誤導使用者的外國AI平臺公開揭露並加以遏制其擴散。</p> <h2>6.建立資安人才體系（Build Talent and Capacity）</h2> <p>川普總統曾指出，美國的資安人力是「保護美國人民、守護國土與維繫美國生活方式」的戰略性資產。這項資產值得投入大量資源培育，也是維持國家經濟繁榮與安全不可或缺的基礎。為此，美國需要建立一條能夠持續培養並共享資安人才的培育管道。這套體系必須務實且具可及性，整合並善用既有資源，包括大學、技職教育體系、企業與創投等多元管道，以培育並提升現有各產業與職類的資安人力，同時吸引下一世代投入，設計與部署先進的網路安全技術與解決方案。此外，政府也將排除阻礙產業、學術界、政府與軍方之間協作的制度障礙，使各方能在誘因與資源上更有效對齊，進而建立一支具高度專業能力的資安人才隊伍。美國將善用既有資源、制度授權、人才與創新能力，進一步強化國家的網路安全實力。</p> <h1><strong>結論</strong></h1> <p>本戰略清楚說明川普總統在網路空間所推動的政策方向，以及美國政府未來將持續深化並擴大影響力的行動路徑。川普總統致力於確保美國——特別是下一個世代——能生活在一個強大且安全的國家之中，使人民獲得保護與防衛，並擁有以個人自由、經濟繁榮與機會而定義的未來。同時，川普總統也將持續向那些在網路空間中損害美國利益、攻擊美國價值的行為者傳達明確訊息：任何此類行動，都將使其自身面臨風險與後果。</p> <p> </p> <h2 class="page-header" style="--tw-border-spacing-x: 0; --tw-border-spacing-y: 0; --tw-translate-x: 0; --tw-translate-y: 0; --tw-rotate: 0; --tw-skew-x: 0; --tw-skew-y: 0; --tw-scale-x: 1; --tw-scale-y: 1; --tw-pan-x: ; --tw-pan-y: ; --tw-pinch-zoom: ; --tw-scroll-snap-strictness: proximity; --tw-ordinal: ; --tw-slashed-zero: ; --tw-numeric-figure: ; --tw-numeric-spacing: ; --tw-numeric-fraction: ; --tw-ring-inset: ; --tw-ring-offset-width: 0px; --tw-ring-offset-color: #fff; --tw-ring-color: rgb(59 130 246 / .5); --tw-ring-offset-shadow: 0 0 #0000; --tw-ring-shadow: 0 0 #0000; --tw-shadow: 0 0 #0000; --tw-shadow-colored: 0 0 #0000; --tw-blur: ; --tw-brightness: ; --tw-contrast: ; --tw-grayscale: ; --tw-hue-rotate: ; --tw-invert: ; --tw-saturate: ; --tw-sepia: ; --tw-drop-shadow: ; --tw-backdrop-blur: ; --tw-backdrop-brightness: ; --tw-backdrop-contrast: ; --tw-backdrop-grayscale: ; --tw-backdrop-hue-rotate: ; --tw-backdrop-invert: ; --tw-backdrop-opacity: ; --tw-backdrop-saturate: ; --tw-backdrop-sepia: ; margin: 0px 0px 14px; font-family: "Microsoft YaHei", "Microsoft JhengHei", 微軟正黑體, PMingLiU, Helvetica, Verdana, Arial, sans-serif; font-weight: bold; text-rendering: optimizelegibility; font-size: 32pt; padding-bottom: 9px; border: none; background-color: rgb(247, 247, 247);"><a href="https://www.ithome.com.tw/news/174338"><span style="color:#0000FF;">川普公布「美國網路戰略」，以「六個支柱」落實美國優先，吹響數位戰鬥號角</span></a></h2> </div></div></div>
3/12 16:44作者黃彥棻https://www.ithome.com.tw/news/174368
【資安日報】3月12日，Google完成併購Wiz，將整合到Google Cloud事業群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174345"><strong style="font-size: 22px;">Google完成史上金額最高的併購案，Wiz將整併至Google Cloud</strong></a></p> <p>去年Google宣布以320億美元買下資安新創公司Wiz，創下該公司有史以來最高的併購金額，引起資安界震憾。此事在11月通過美國司法部的反托拉斯審查，今年2月再獲得歐盟批准，3月11日宣布完成併購，Wiz將併入Google Cloud事業群，但營運據點仍維持在紐約，其品牌和支援各種雲端環境的定位也不會改變。</p> <p>這起併購對於臺灣Wiz用戶是否會帶來影響？我們也詢問代理商艾盾資科（AIShield），艾盾資科執行長陳至彥表示，他們與Wiz在臺灣的合作關係與市場推廣計畫不受影響，該公司認為，Wiz併入Google Cloud有助於提升在臺灣市場的能見度，並增加企業的信任度。</p> <p><a href="https://www.ithome.com.tw/news/174341"><strong style="font-size: 22px;">PQC遷移最新發展受矚目，4項最新研究成果於RWC揭露</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RWC 2026_KEM Combiners_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RWC%202026_KEM%20Combiners_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a>後量子密碼學（PQC）是近年密碼學格外關注的焦點，主因是量子電腦發展加速，對傳統公鑰密碼系統構成嚴重威脅，因此1年多前PQC標準開始陸續發布後，現有加密系統在實務上如何升級PQC，就成為最新關注重點，以因應「先攔截、後解密」（Harvest Now, Decrypt Later，HNDL）的威脅。</p> <p>2026年首場國際密碼學盛會「Real World Crypto Symposium」在臺灣舉行，PQC建構是重要議題之一，其中4場演說的主題皆與此有關，涵蓋KEM混合建構、實用ML-DSA數位簽章、Signal協定優化，以及Signal群組通訊重新建構，展現2026年初最新研究成果。同時，現場還有其他議程中也多次談及相關面向，會前更舉辦PQC工作坊活動，同樣顯示PQC從研究走向實務落地的探討正持續受學界與產業關注，相關發展值得臺灣學界與產業界留意。</p> <p><a href="https://www.ithome.com.tw/news/174342"><strong style="font-size: 22px;">Gartner揭露2026年網路安全六大趨勢</strong></a></p> <p>市場研究機構Gartner近日公布2026年網路安全重要趨勢報告，指出AI快速普及、地緣政治與監管環境變化，以及量子運算發展，正在重塑網路安全環境，形成六個將帶來重大影響的新趨勢，其中3個涉及AI應用，企業必須在風險管理、營運韌性與資源配置方面採取新策略。</p> <p>Gartner指出，首先值得關注的趨勢，是代理式AI（Agentic AI）帶來的新風險。隨著企業在開發流程與營運工具中導入AI代理與自動化工具，這些工具可能形成新的潛在風險。例如低程式碼或無程式碼（No-code／Low-code）開發工具，可能產生未受管理的程式碼與潛在漏洞。因此企業需要建立AI代理的治理與控制機制。</p> <p><a href="https://www.ithome.com.tw/news/174347"><strong style="font-size: 22px;">親伊朗駭客攻擊美國醫療巨頭Stryker</strong></a></p> <p>美國醫療科技業者Stryker周三（3月11日）遭到網路攻擊，造成內部所使用的微軟環境於全球出現網路與服務中斷。親伊朗駭客組織Handala自稱，他們是此攻擊行動的主謀。根據華爾街日報的報導，該公司員工在當天早上發現公司的筆電與手機無法使用，駭客清除了裝置資料，並在Stryker內部登入網頁加入駭客組織標誌。</p> <p>Handala宣稱，此行動是為了報復美國對伊朗的攻擊，包括透過網路攻擊抵抗軸心（Axis of Resistance）的基礎設施，以及襲擊了Minab市的學校，而挑選Stryker的原因，在於該公司支持以色列。</p> <p><a href="https://www.ithome.com.tw/news/174350"><strong style="font-size: 22px;">輪胎巨擘米其林證實Oracle系統遭駭</strong></a></p> <p>輪胎巨擘米其林（Michelin）本周證實，該公司去年因遭遇Oracle E-Business Suite（EBS）漏洞攻擊事件，導致部分資料外洩。</p> <p>對於這起事故造成的影響，米其林表示只有「少部分內部資料」被存取，沒有敏感或技術IT資訊受到影響。該公司否認遭勒索軟體攻擊，且事件未影響全球系統。根據資安新聞網站SecurityWeek報導，勒索軟體組織Cl0p已公開米其林被駭資料，檔案大小達到315 GB，從資料欄位判斷，可能是來自Oracle EBS。</p> <p><a href="https://www.ithome.com.tw/news/174364"><strong style="font-size: 22px;">已被俄羅斯及中國駭客取得的iOS漏洞利用工具包Coruna，傳出源自美國的國防承包商</strong></a></p> <p>一週前Google威脅情報團隊（GTIG）揭露iOS漏洞利用工具包Coruna，並指出有人將其用於實際攻擊，分別是：間諜軟體公司的客戶、俄羅斯國家級駭客、以經濟利益為動機的駭客，同一天行動裝置安全公司iVerify也公布調查報告，提到此套件疑似來自開發間諜軟體的公司，本週科技新聞網站TechCrunch追蹤報導此事，指出該工具很可能來自美國國防承包商L3Harris。</p> <p>由於L3Harris專門向美國政府及五眼聯盟提供Trenchant工具套件，TechCrunch推測，起初使用Coruna的單位可能是與五眼聯盟有關的軍情機構，後續不慎遭到外流。但目前Google發現的Coruna究竟有多少內容由Trenchant打造，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/174337"><strong style="font-size: 22px;">Salesforce用戶再遭鎖定，ShinyHunters傳出針對配置不當的Experience Cloud網站下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShinyHunters_AuraCampaign.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShinyHunters_AuraCampaign.png" style="width: 300px; float: right;" /></a>阿里巴巴研究人員發現，自己的模型在訓練代理程式時，可能在未接獲任務提示的情況下，演化出未經授權存取外部網路資源，甚至進行加密貨幣挖礦等偏差行為。該研究團隊以其代理式學習生態系統（Agentic Learning Ecosystem，ALE）基礎架構，以超過100萬個軌跡（trajectory）訓練出開源代理程式ROME（ROME is Obviously an Agentic Model）。</p> <p>但在部署某個版本時，團隊意外發現，代理程式在沒有明顯指示下做出不安全的行為，而且還突破預定的沙箱環境。當時多起行為引發阿里巴巴雲的防火牆發出嚴重警告。這些行為包括試圖存取內部網路資源，以及和加密貨幣挖礦活動一致型態的流量。</p> <p><a href="https://www.ithome.com.tw/news/174346"><strong style="font-size: 22px;">CISA指出n8n重大漏洞已遭利用，要求聯邦機構兩週內完成修補</strong></a></p> <p>3月11日美國網路安全暨基礎設施安全局（CISA）發布警訊，指出工作流程自動化工具n8n的資安漏洞CVE-2025-68613，已出現被利用的跡象，他們將其列入已遭利用漏洞列表（KEV），要求聯邦機構在3月25日前完成修補。</p> <p>雖然CISA並未說明該漏洞如何遭到利用，但值得留意的是，近期剛好有資安公司指出該漏洞被用於殭屍網路攻擊。資安公司Akamai揭露名為Zerobot的殭屍網路，駭客積極嘗試利用兩個已知漏洞，其中一個就是CVE-2025-68613，相關活動最早可追溯至2025年12月初。</p> <p><a href="https://www.ithome.com.tw/news/174351"><strong style="font-size: 22px;">美國指出3個iOS、iPadOS高風險資安漏洞已遭利用</strong></a></p> <p>3月5日美國網路安全暨基礎設施安全局（CISA）已遭利用漏洞列表（KEV）納入5個已知漏洞，其中最受關注的部分，是3個與蘋果產品有關的漏洞，聯邦機構須於26日前完成修補。這些漏洞是：整數溢位漏洞CVE-2021-30952，以及記憶體釋放後再使用（Use After Free）漏洞，包括CVE-2023-43000與CVE-2023-41974，CVSS風險介於7.8至8.8分，蘋果先後於2021年12月、2023年6月及9月修補。</p> <p>在相關公告裡，CISA並未說明漏洞如何遭到利用，不過，同日Google恰巧揭露iOS漏洞利用工具包Coruna當中，而此攻擊同時涵蓋這些漏洞的利用。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-beatbanker-android-malware-poses-as-starlink-app-to-hijack-devices/">安卓惡意程式BeatBanker冒充衛星網路Starlink應用程式，洗劫用戶資產並將裝置用於挖礦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/unc6426-exploits-nx-npm-supply-chain.html">駭客組織UNC6426透過NPM供應鏈攻擊外流金鑰，3天內入侵受害組織的AWS環境</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-blacksanta-edr-killer-spotted-targeting-hr-departments/">俄羅斯駭客鎖定人資部門而來，利用EDR殺手BlackSanta癱瘓端點防護系統運作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-zombie-zip-technique-lets-malware-slip-past-security-tools/">研究人員揭露迴避偵測手法Zombie ZIP，操弄檔案標頭欺騙資安系統</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sqli-flaw-in-elementor-ally-plugin-impacts-250k-plus-wordpress-sites/">WordPress外掛Elementor Ally存在SQL注入漏洞，影響逾25萬個網站</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174339"><strong>【3月11日】微軟發布例行更新，修補已被公開的零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174309"><strong>【3月10日】AI瀏覽器Perplexity Comet存在零點擊漏洞，可用於竊取檔案及挾持密碼管理工具帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174286"><strong>【3月9日】新型態社交工程手法InstallFix被用於攻擊Claude Code用戶</strong></a></p> </div></div></div>
3/12 16:13作者周峻佑https://www.ithome.com.tw/news/174365
AI趨勢周報第286期：Perplexity喊出萬物皆電腦，推Personal Computer讓AI替你24小時工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0306～0312）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Perplexity </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Personal Computer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Perplexity喊出萬物皆電腦，推Personal Computer讓AI替你24小時工作</strong></span></p> <p>AI搜尋公司Perplexity近日提出萬物皆電腦的新願景，執行長Aravind Srinivas表示，當AI具備高準確率搜尋、多模型調度，以及代理式上網能力時，AI本身就能成為一臺「電腦」，直接理解目標並完成任務。</p> <p>其中最受關注的是Personal Computer，這是一套在Mac mini桌上型電腦上執行的AI系統，持續連接本地應用與Perplexity伺服器，充當使用者的「數位代理」，可跨工具整理檔案、執行任務，即使人不在電腦前，它也能持續工作。系統還有權限審核和Kill Switch功能，確保敏感操作都經使用者核准。</p> <p>Perplexity也同時推出Computer for Enterprise服務，可透過App連接器，直接查詢Snowflake、Salesforce等數百個企業工具。公司表示，內部測試顯示，該系統在4週內完成人類3.25年的工作量，節省約160萬美元人力成本。</p> <p>此外，Perplexity還發布Search、Agent、Embeddings、Sandbox等四大API，整合了Statista、PitchBook等專業資料來源，讓AI從回答問題進化到「直接完成工作」。<a href="https://www.perplexity.ai/hub/blog/everything-is-computer">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MoE </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia推出專為AI代理打造的大模型</strong></span></p> <p>Nvidia最近發布一款開放模型Nemotron 3 Super，主打支援日益複雜的AI代理應用。這款模型具1,200億參數，但在推論時只啟用120億活躍參數，來降低運算成本、提升效率。</p> <p>Nemotron 3 Super採混合式 + MoE架構，混合式是指模型採用Mamba層的高效率記憶能力，以及Transformer層的推理能力，讓資料吞吐量比前一代最高提高5倍。模型同時提供100萬Token的上下文窗口，讓AI代理在處理長任務時，能保留完整工作流程，例如一次分析大型程式碼庫或數千頁財務報告。</p> <p>在Blackwell GPU平臺上，模型可以NVFP4精度運行，推論速度可達Hopper平臺FP8運算的4倍，還能維持相同準確度。Nvidia也開放模型權重和研究方法，並公開超過10兆Token的訓練資料流程，讓開發者可在地端或雲端環境部署、客製化。<a href="https://developer.nvidia.com/blog/introducing-nemotron-3-super-an-open-hybrid-mamba-transformer-moe-for-agentic-reasoning/">（詳全文）</a></p> <p><img alt="" src="https://developer-blogs.nvidia.com/wp-content/uploads/2026/03/image3-3.webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI元老開源Autoresearch：讓AI代理自己跑實驗、幫LLM找最佳設定</strong></span></p> <p>OpenAI共同創辦人之一的Andrej Karpathy最近在GitHub開源新專案 Autoresearch，想把大型語言模型（LLM）研究中，那些繁瑣的調參數和實驗流程，都交給AI代理自動完成。</p> <p>這套框架做得很精簡，核心只有三個檔案：負責資料與環境準備的prepare.py、唯一會被AI修改的訓練程式train.py，以及由人類撰寫研究目標的program.md。使用者只要用文字說明任務，AI代理就會自行修改模型架構、調整超參數或訓練設定，接著啟動實驗並檢查結果。</p> <p>為了比較不同實驗，Karpathy把每次訓練都限制在5分鐘內完成。他實測讓AI代理持續跑2天、完成276次實驗，還真的替nanochat模型抓出29個優化點，甚至還讓模型達到GPT-2水準的訓練時間，從2.02小時縮短到1.8小時。目前Autoresearch主要在單張Nvidia GPU（如H100）環境測試，也點出一個有趣的趨勢：未來AI研究人員可能不用天天改程式，而是負責指導AI做實驗。<a href="https://github.com/karpathy/autoresearch">（詳全文）</a></p> <p><img alt="" src="https://github.com/karpathy/autoresearch/raw/master/progress.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯發創新基地 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Breeze 3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺語 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯發科Breeze 3新模型用1萬小時合成語料，解決臺語變調和在地防護難題</strong></span></p> <p>聯發創新基地（MediaTek Research）日前發表MR Breeze 3系列模型，透過大規模、高品質的資料工程，解決臺語語音技術長期面臨的變調複雜、書寫不一以及語料匱乏等挑戰。進一步來說，團隊這次推出3款模型，首先是語音辨識模型Breeze ASR 26，它基於OpenAI Whisper架構，以1萬小時的臺語合成語音訓練而成。與傳統朗讀式語料不同，這批訓練資料模擬了大量國臺語夾雜、自然語速和口語用詞，大幅提升模型處理臺灣日常晶晶體對話的準確度。</p> <p>另一款模型是專攻語音合成的BreezyVoice 26，採CosyVoice 2架構，可掌握臺語特有的聲調變化與節奏。模型在人工評測（MOS）中獲得5分滿分，也就是說，它產出的語音已非常接近真人發音的自然度。第三款模型是把關內容安全的Breeze Guard 26，它以Breeze 2 8B模型為基礎，額外針對1.2萬筆臺灣特有的風險情境（如在地詐騙話術、歧視性言論、政治操弄）進行微調。相較於國際通用安全模型，Breeze Guard 26更能精準判別繁體中文語境下的有害內容。</p> <p>另一方面，為推動在地AI生態系，聯發科還同步發表了臺語語音評測基準Breeze Taigi Benchmark、臺灣安全評測基準TS-Bench，並開源ASR和Guard模型。目前，所有模型功能都已整合至<a href="https://line.me/R/ti/p/@905yonxs">Breeze AI LINE官方帳號</a>，使用者可直接體驗AI聽、說臺語的能力。<a href="https://www.mediatek.com/zh-tw/tek-talk-blogs/mediatek-research-breeze-3">（詳全文）</a></p> <p><img alt="" src="https://www.mediatek.com/hs-fs/hubfs/MediaTek%20Assets/Images/Press%20Room/CHT/2026-Feb-26_Breeze-3-Tek-Talk-Blog/Sample-Breeze-Guard-26.jpg?width=582&height=626&name=Sample-Breeze-Guard-26.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta加速自研AI晶片布局，要把迭代周期縮短到6個月</strong></span></p> <p>Meta最近公開自研AI晶片MTIA的發展藍圖，為因應生成式AI的龐大算力需求，他們決定將晶片研發周期，從傳統的2年縮短到6個月，從目前的MTIA 300晶片到2027年要大規模部署的MTIA 500開始。</p> <p>MTIA系列晶片由Meta和Broadcom合作開發，主要用於AI模型訓練與推論。Meta表示，目前已有數十萬顆MTIA晶片部署於資料中心，來支援社群內容推薦和廣告排序等演算法，部分大型語言模型（LLM）也已開始在MTIA平臺上測試。</p> <p>新一代MTIA晶片將大幅提升AI運算能力。Meta表示，從MTIA 300到MTIA 500，高頻寬記憶體（HBM）頻寬將提升4.5倍、算力提升25倍，來強化LLM推論效能。同時，晶片也支援MX4、MX8等低精度運算格式，來提高推論吞吐量。Meta也說，AI模型演進的速度，已超過傳統晶片開發周期，因此採用模組化Chiplet設計，來加快晶片迭代。未來除了自研MTIA，Meta也將搭配GPU等外部晶片，打造多元的AI運算基礎設施。<a href="https://ai.meta.com/blog/meta-mtia-scale-ai-chips-for-billions/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/645641458_2714334042270228_6361859224395917142_n.png?_nc_cat=100&ccb=1-7&_nc_sid=e280be&_nc_ohc=iB8RmXqNMcYQ7kNvwHNQ43o&_nc_oc=AdloFZ39tYuPzrE9snyUwXOprddc5sSKaQe-XlvbPdS9f5mdXrGhca7IwFzvzZremnA&_nc_zt=14&_nc_ht=scontent.ftpe7-1.fna&_nc_gid=OshmKrQWAxUtVcIWiYuFtw&_nc_ss=8&oh=00_AfzQRH6uVSwHdvezXIKrTstdX_OezdjCL7U_q1wCwoMiDg&oe=69CCDEFD" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 能源 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>黃仁勳：AI時代，底層關鍵其實是能源</strong></span></p> <p>在GTC大會前夕，Nvidia執行長黃仁勳提出一個新比喻：AI就像一塊「五層蛋糕」，從下到上依序是能源、晶片、基礎設施、模型與應用，而最底層的關鍵其實是電力。他指出，運算世界正從「預先寫好的軟體」轉向「即時生成的智慧」。過去，電腦只是依照程式執行查詢，如今AI能理解圖片、語音與文字並即時推理，也讓整個運算架構必須重新設計。</p> <p>在這個新堆疊中，能源是最現實的限制。每生成一個AI Token，本質都是電力轉換成運算與熱能管理，因此能源供應將直接限制AI智慧的產出規模。其上則是GPU與HBM等晶片、AI資料中心等基礎設施，再到模型與應用。</p> <p>黃仁勳也認為，AI不一定會減少工作。隨著AI提高生產力，企業反而需要更多人，包括建設AI資料中心的電工、管線工程師與網路技術人員等。<a href="https://blogs.nvidia.com/blog/ai-5-layer-cake/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> xAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Macrohard </span></strong></span></p> <p><span style="font-size:22px;"><strong>馬斯克新AI計畫Macrohard曝光</strong></span></p> <p>xAI創辦人馬斯克最近在X發文，透露一項名為Macrohard的新AI計畫構想。這是一個結合xAI和Tesla技術的系統，架構上由Grok負責理解世界與決策，就像是導航系統；而Digital Optimus則負責操作電腦，例如分析螢幕畫面、控制鍵盤和滑鼠。</p> <p>馬斯克形容，Grok就像人類思維中的「思考系統」，負責推理、決策；Digital Optimus則像「直覺系統」，負責即時行動。Macrohard系統會持續分析使用者最近5秒的螢幕畫面和操作紀錄，再決定下一步操作。</p> <p>硬體方面，該系統預計在Tesla自家的AI4晶片（約650美元）上執行，只有在必要時，才使用xAI比較昂貴的Nvidia GPU資源。馬斯克認為，若這類AI代理成熟，未來可能模擬企業內的各種工作流程。<a href="https://x.com/elonmusk/status/2031751255060885911?_bhlid=bcfd138f1d85e83ed2d22a25fd2c99034fecdd08">（詳全文）</a></p> <p>圖片來源／Nvidia、Andrej Karpathy、聯發創新基地、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.anthropic.com/news/the-anthropic-institute">Anthropic成立研究院，要解決AI可能帶來的社會風險</a></strong></p> <p><strong>2. <a href="https://www.canva.com/newsroom/news/magic-layers/">Canva推出新功能Magic Layers</a>，使用者可編輯AI生成的圖片</strong></p> <p>資料來源：iThome整理，2026年3月</p> <div id="gtx-trans" style="position: absolute; left: 546px; top: 3051.14px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
3/12 17:22作者王若樸https://www.ithome.com.tw/news/174370
Graylog日誌管理平台｜手把手教學
<div class="field field-name-field-conf-date field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">3/30 (一) 14:00 - 15:00</div></div></div><div class="field field-name-field-conf-site field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://subscribepage.io/Alprnm" target="_blank">Graylog日誌管理平台｜手把手教學</a></div></div></div><div class="field field-name-field-conf-register field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://subscribepage.io/Alprnm" target="_blank">線上報名</a></div></div></div><div class="field field-name-field-conf-type field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%9C%80%E6%96%B0%E7%A0%94%E8%A8%8E%E6%9C%83%E8%A8%8A%E6%81%AF">最新研討會訊息</a></div></div></div><div class="field field-name-field-conf-host field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">齊瑞科技</div></div></div>
3/12 17:23未署名https://www.ithome.com.tw/seminar/graylog日誌管理平台｜手把手教學
環境部公布第三期溫室氣體減量行動方案六大部門20項旗艦計畫，拚2030減碳目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>行政院2月26日核定的「第三期溫室氣體減量行動方案」，執行期間自2026年至2030年，將針對能源、製造、住商、運輸、農業及環境六大部門推動減碳策略。環境部表示，此次方案共規畫20項減碳旗艦行動計畫，搭配定期管考、資訊公開及公眾參與機制，推動我國2030年溫室氣體階段管制目標。</p> <p>政府減碳政策近年逐步與國際氣候治理接軌。行政院於去年5月依據氣候變遷因應法核定第三期溫室氣體階段管制目標，同年11月公布我國自定貢獻3.0，設定2030年、2032年及2035年分別較2005年減碳28±2%、32±2%及38±2%的目標。相關減量行動交由經濟部、交通部、內政部、農業部、環境部等部會依治理架構分工推動。</p> <p>在六大部門減碳策略方面，能源部門將透過能源結構轉型與能效提升，目標是在2030年將電力排放係數降至每度0.319公斤二氧化碳當量，較2024年減少約三成；製造部門則透過碳費制度與企業自主減量計畫，推動製程改善、能源轉換與循環經濟，並帶動供應鏈低碳轉型。住商部門則以近零碳建築與深度節能為核心，促進低碳生活型態。</p> <p>在交通與自然碳匯方面，運輸部門將以公共運輸與運具電動化為雙軸推動低碳交通；農業部門則採取「減量」與「增匯」並行策略，其中包括擴大森林及土地碳匯。環境部指出，環境部門目前的排放量已較基準年減少逾七成，未來將持續推動污染源減排，同時透過資源循環與淨零綠生活等旗艦計畫，進而協助其他部門共同達成減碳目標。</p> <p>環境部也強調，依氣候法規定，各部會未來需每年公布執行成果並接受檢核，同時地方政府也須在8個月內提出第三期溫室氣體減量執行方案草案。中央將透過協商機制與指引協助地方制定減碳策略，期望透過中央與地方協力及全民參與，逐步落實「臺灣總體減碳行動計畫」，推動我國邁向2030年減碳目標。</p> </div></div></div>
3/12 17:42作者蘇文彬https://www.ithome.com.tw/news/174372
Google公開原生多模態嵌入模型Gemini Embedding 2，支援跨媒介檢索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google公布第一款原生多模態嵌入模型<a href="https://blog.google/innovation-and-ai/models-and-research/gemini-models/gemini-embedding-2/">Gemini Embedding 2</a>，目前透過Gemini API與Vertex AI以公開預覽形式提供。相較Google先前以文字為主的嵌入模型，Gemini Embedding 2可將文字、圖片、影片、音訊與文件映射到同一個向量空間，讓開發者可用相同基礎模型處理跨媒介的檢索、分類與語意比對工作。</p> <p>Google擴展原本嵌入模型能力，從文字檢索進一步擴大到多模態內容處理。官方表示，新模型可支援超過100種語言，並可處理圖文混合等交錯輸入，讓系統不只辨識單一媒介內容，也能理解不同資料型態之間的語意關聯。對企業建立檔案搜尋、影音資產管理、知識庫檢索或檢索增強生成（RAG）系統時，藉由單一向量空間設計有助於減少原本分散的資料處理流程。</p> <p>Gemini Embedding 2可處理最長8,192個輸入詞元（Tokens）的文字輸入，每次請求最多可接受6張PNG或JPEG圖片，支援最長120秒的MP4或MOV影片，也可直接處理音訊而不需先轉成文字，另可直接嵌入最長6頁的PDF文件。Google也延續先前模型採用的Matryoshka Representation Learning訓練方式，讓嵌入向量即使維度縮減，仍能保留主要語意，官方建議3,072、1,536與768維度作為品質較高的選項。</p> <p>與Google先前文字嵌入模型相比，Gemini Embedding 2的更新重點不只在版本迭代，而是把嵌入範圍從文字語意表示，擴大到圖片、影片、音訊與文件的原生多模態表示。Google表示，Gemini Embedding 2在文字、圖片與影片任務上優於既有領先模型，並新增語音處理能力，擴大多模態覆蓋範圍。</p> </div></div></div>
3/12 17:55作者李建興https://www.ithome.com.tw/news/174373
已被俄羅斯及中國駭客取得的iOS漏洞利用工具包Coruna，傳出源自美國的國防承包商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一週前Google威脅情報團隊（GTIG）<strong><a href="https://www.ithome.com.tw/news/174211">揭露iOS漏洞利用工具包Coruna</a></strong>，並指出有人將其將其用於實際攻擊，分別是：間諜軟體公司的客戶、俄羅斯國家級駭客、以經濟利益為動機的駭客，同一天行動裝置安全公司iVerify也<strong><a href="https://iverify.io/blog/coruna-inside-the-nation-state-grade-ios-exploit-kit-we-ve-been-tracking">公布調查報告</a></strong>，提到此套件疑似來自開發間諜軟體的公司，本週科技新聞網站TechCrunch追蹤報導此事，指出該工具<strong><a href="http://techcrunch.com/2026/03/10/us-military-contractor-likely-built-iphone-hacking-tools-used-by-russian-spies-in-ukraine/">很可能來自美國國防承包商L3Harris</a></strong>。</p> <p>該媒體起初先取得iVerify的說法，他們懷疑打造Coruna的開發團隊來自一家公司，該公司打算將套件賣給美國政府。TechCrunch後續取得兩名L3Harris前員工的說法，得知此套件部分元件是L3Harris旗下的駭客與監控技術部門Trenchant開發。</p> <p>一名曾於Trenchant工作且熟悉iPhone駭客工具的前員工表示，Coruna顯然是某個元件的內部名稱。他也提及，整個Trenchant工具套件涵蓋Coruna及其他數個元件。有另一名前員工向TechCrunch指出，目前公開的技術資料當中，包含了來自Trenchant的駭客工具。</p> <p>由於L3Harris專門向美國政府及五眼聯盟提供Trenchant工具套件，TechCrunch推測，起初使用Coruna的單位可能是與五眼聯盟有關的軍情機構，後續不慎遭到外流。但目前Google發現的Coruna究竟有多少內容由Trenchant打造，目前仍不得而知。</p> <p>究竟俄羅斯國家級駭客如何取得Coruna？TechCrunch認為很可能與L3Harris Trenchant前主管Peter Williams有關，此人在2022年開始，一直到2025年中旬辭職前，向俄羅斯公司Operation Zero出售8個L3Harris的駭客工具。<strong><a href="https://techcrunch.com/2025/10/23/u-s-government-accuses-former-l3harris-cyber-boss-of-stealing-trade-secrets/">美國於2025年10月起訴Williams</a></strong>，並於<strong><a href="https://techcrunch.com/2026/02/24/former-l3harris-trenchant-boss-jailed-for-selling-hacking-tools-to-russian-broker/">今年2月判處7年徒刑</a></strong>。Williams坦承以130萬美元的價格，將前述駭客工具賣給Operation Zero。</p> <p>值得留意的是，美國在上個月宣布<strong><a href="https://techcrunch.com/2026/02/24/treasury-sanctions-russian-zero-day-broker-accused-of-buying-exploits-stolen-from-u-s-defense-contractor/">制裁Operation Zero等零時差漏洞掮客</a></strong>時，透露這組掮客將L3Harris的工具賣給至少一個「未經授權的使用者」。換言之，Coruna很可能是Williams盜賣的其中一項工具，俄羅斯駭客UNC6353後續透過當地的網路犯罪圈購得，並用於攻擊行動。</p> </div></div></div>
3/12 15:42作者周峻佑https://www.ithome.com.tw/news/174364
工研院：MWC預示未來行動通訊產業新方向，AI原生化網路、整合NTN與更智慧的終端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>剛落幕的西班牙2026年全球行動通訊大會（MWC），預示了行動通訊網路的未來。今年MWC以「The IQ Era」為題，凸顯AI與通訊基礎建設深度融合的產業趨勢，到處可嗅到AI結合通訊網路的新未來。</p> <p>工研院剖析今年MWC展出所看到的行動通訊趨勢，隨著AI快速進入網路架構核心，通訊產業正從過去「導入AI功能」的AI+模式，邁向「AI原生設計（AI-native）」的新階段。</p> <p>相較於過去通訊網路，在原有的架構下導入AI功能，AI原生化的趨勢將使未來的通訊系統在設計之初就會納入AI運算與資料分析能力，使網路在運作、優化與維護上有更高的智慧化程度。</p> <p>透過MWC，工研院剖析全球通訊產業未來發展的4大方向：AI原生網路崛起、電信業者開放API與新商業模式、AI驅動智慧終端發展、衛星與地面網路加速整合，非地面網路（NTN）生態成形。</p> <p><span style="color:#B22222;"><strong>AI原生網路崛起</strong></span></p> <p>在AI原生網路發展上，「AI-RAN」無疑是這次展會的焦點之一。RAN（無線接取網路）是行動通訊最核心、同時也是耗能與運算需求最高的部分，透過將AI直接嵌入RAN架構，就能即時分析基地臺與用戶流量資料，自動調整頻譜、功率與資源配置，大幅提升頻譜效率與網路效能。</p> <p>例如，AI可預測不同區域與時段的流量需求，提前調整基地臺資源配置，減少壅塞並提升用戶體驗；同時也能動態調整功率與運算資源，在低流量時降低能耗。這種即時的調整優化能力，使網路逐步朝向自動化、自調整甚至自癒（self-healing）的運作模式發展。</p> <p>在今年MWC中，相關的產業合作案例增加，像是Nokia與Nvidia共同驗證AI-RAN架構，嘗試利用GPU加速RAN運算。高通則提出自主AI網路方案，讓基地臺可即時進行AI推論。</p> <p><span style="color:#B22222;"><strong>電信業者開放API與新商業模式</strong></span></p> <p>AI-RAN不僅可提升網路效率，也將重塑電信基礎設施架構，例如透過共享或出租閒置GPU算力，發展「GPU-as-a-Service（GPUaaS）」等新型態商業模式，讓電信業者從單純的連線服務供應商，轉型為算力與平台服務提供者。</p> <p>這也帶出電信營運模式上轉變，電信商正試圖透過AI與開放API擴大營收來源。例如德國電信提出多代理人AI系統，用於即時監控網路並實現自動修復；SK電信展示5,190億參數的主權AI模型，並規畫建置超大型AI資料中心；KT則以AICT平台推動企業轉型。另一方面，NTT持續推進IOWN全光網路與光量子技術，以回應AI算力需求帶來的能耗挑戰。設備商方面，華為主打AI原生維運與5.5G商用方案，愛立信則透過Aduna生態系推動全球網路API與6G布局，這代表著電信產業正透過AI和開放架構創造新的價值。</p> <p><span style="color:#B22222;"><strong>AI驅動智慧終端發展</strong></span></p> <p>AI同樣加速智慧終端的再進化。例如在MWC中展出AI在手機、穿戴裝置、車載系統的應用，包括可跨應用程式操作的Agentic AI、離線運作的大型語言模型，以及整合個人化服務的智慧助理。晶片商則透過提升AI算力與影像處理能力，使手機能即時影像生成與智慧優化，並支援跨裝置應用整合。不過，GSMA Intelligence分析指出，AI目前仍僅是約53%消費者換機的誘因之一，電池續航、相機與螢幕等硬體性能仍是主要購買因素。</p> <p><span style="color:#B22222;"><strong>NTN網路發展生態漸成形</strong></span></p> <p>延續前幾年的展出，衛星與地面網路正在加速整合，推動非地面網路（NTN）生態發展。歐洲在6G研究計畫中已投入約1.16億歐元，推動包括NTN在內的多項關鍵技術。而隨著手機直連衛星（D2C）與5G-Advanced NR-NTN技術加速成熟，衛星通訊逐漸從專用系統走向基於3GPP標準的開放生態。</p> <p>例如SpaceX旗下Starlink正透過多國電信商合作推動D2C服務，Lynk Global與SES S.A.發展多軌衛星架構，而AST SpaceMobile則建構大型衛星直接連接手機寬頻。電信商Rakuten Group與VEON也逐漸將衛星網路視為提升覆蓋、災害備援與網路韌性的基礎設施。另一方面，聯發科與工研院已與國際夥伴完成3GPP R-19 NR-NTN測試案例，為未來衛星與地面網路整合奠定技術基礎。</p> <p>整體而言，AI正全面重塑通訊產業架構，從網路核心、終端設備到衛星通訊生態均出現重大變革。特別是AI-RAN的興起，不僅改變基地臺與網路運作模式，也可能重構電信產業的價值鏈，使電信網路逐步從「連線基礎設施」升級為結合算力、資料與智慧服務的數位平臺。可以預見，未來幾年隨5G-Advanced和6G技術發展，AI原生網路可能成為未來智慧社會與各類數位應用的基礎。</p> </div></div></div>
3/12 16:54作者蘇文彬https://www.ithome.com.tw/news/174366
Proxmox VE 服務說明會
<div class="field field-name-field-conf-date field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">4/1 (三) 14:00 - 15:00</div></div></div><div class="field field-name-field-conf-site field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://subscribepage.io/5tloEX" target="_blank">主辦單位: 齊瑞科技</a></div></div></div><div class="field field-name-field-conf-register field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://subscribepage.io/5tloEX" target="_blank">線上報名</a></div></div></div><div class="field field-name-field-conf-type field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/ithome%E7%A0%94%E8%A8%8E%E6%9C%83">iThome研討會</a></div></div></div>
3/12 17:19未署名https://www.ithome.com.tw/seminar/proxmox-ve-服務說明會
3月更新Adobe修補80個漏洞，呼籲用戶應優先處理Adobe Commerce
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Adobe於3月10日針對旗下8種應用系統發布更新，範圍涵蓋<strong><a href="https://helpx.adobe.com/security/products/magento/apsb26-05.html">Adobe Commerce（Magento Open Source）</a></strong>、<strong><a href="https://helpx.adobe.com/security/products/experience-manager/apsb26-24.html">Adobe Experience Manager（AEM）</a></strong>、<strong><a href="https://helpx.adobe.com/security/products/acrobat/apsb26-26.html">Acrobat及Acrobat Reader</a></strong>、<a href="https://helpx.adobe.com/security/products/illustrator/apsb26-18.html" style="font-weight: bold;">Illustrator</a>，以及<strong><a href="https://helpx.adobe.com/security/products/premiere_pro/apsb26-28.html">Premiere</a></strong>，總共修補80個漏洞，其中有四分之一被評為重大層級。值得留意的是，該公司特別將Adobe Commerce的修補工作，列為較需優先處理的項目，呼籲IT人員儘速套用新版軟體。</p> <p>本次Adobe為Adobe Commerce與Magento Open Source修補19個漏洞，其中有6個是重大層級，影響Adobe Commerce與Magento Open Source 2.4.9-alpha3及之前版本，以及Adobe Commerce B2B 1.5.3-alpha3及之前版本。該公司將Adobe Commerce的修補優先程度列為第2級，其餘7個應用系統為第3級。</p> <p>這些重大漏洞被登記為：CVE-2026-21284、CVE-2026-21361、CVE-2026-21289、CVE-2026-21290、CVE-2026-21311，以及CVE-2026-21309。就漏洞類型而言，其中有4個是跨網站指令碼（XSS）漏洞，另外兩個與不正確授權（Incorrect Authorization）有關，CVSS風險評分介於7.5至8.1分。而對於帶來的影響，大部分可用於提升權限，但也有能繞過安全功能。</p> <p>附帶一提的是，根據本次漏洞修補的規模，AEM有33個漏洞最多，這些全數為跨網站指令碼漏洞，攻擊者有機會用於執行任何程式碼，Adobe都評為重要（Important）層級，風險值皆為5.4分。</p> </div></div></div>
3/12 12:03作者周峻佑https://www.ithome.com.tw/news/174357
十大風險是為了喚起大眾對威脅的關注，別把排行示警當教條！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI瀏覽器與AI代理在2025下半年快速發展，研究人員揭露AI代理風險的消息亦不斷傳出，非營利組織OWASP亦於去年底發布首份「<a href="https://www.ithome.com.tw/news/174354"><strong>AI代理10大風險</strong></a>」，同樣是在喚起各界對此新興領域安全性的重視。</p> <p><strong><a href="https://www.ithome.com.tw/news/174183">近期我們報導這方面的消息之餘</a></strong>，同時也向OWASP臺灣的社群專家了解其發展態勢。該組織臺灣分會會長胡辰澔特別強調，十大風險的用意在於提高對於弱點的意識，並不是拿來做為招標依據或是絕對性的標準。他直言，曾聽聞有政府單位想要拿LLM十大風險來做招標規範，他對此深感不安。</p> <p>關於應對AI安全的發展上，綜觀全球已有多項重要發展，例如，美國非營利組織MITRE發布<strong><a href="https://atlas.mitre.org/">攻擊戰術與技術框架MITRE ATLAS</a></strong>，國際標準組織ISO也發布<strong><a href="https://www.iso.org/standard/42001">AI管理系統國際標準ISO 42001</a></strong>，近期還有美國<strong><a href="https://www.ithome.com.tw/news/173983">NIST啟動AI代理標準倡議</a></strong>，推動跨系統互通與安全運作的基礎建立。</p> <p>在OWASP社群的發展動態中，近期大家關注AI代理10大風險的發布，然而，另一項專案「AI資安驗證標準（AISVS）的進展，同樣不容忽視。</p> <p>胡辰澔進一步解釋，近年來OWASP對於AI專案改為建構出一個總計畫「<strong><a href="https://genai.owasp.org/">OWASP GenAI Security Project</a></strong>」，這個項目下有多個子專案，包括大家比較熟知的LLM十大風險、AI代理十大風險，其他重要議題還包括AIBOM Generator、AI資安驗證標準（AISVS）、AI漏洞評分系統（AIVSS）。</p> <p>因此他再次強調，公布十大排行榜（Top 10）是為了增進大家對風險的認識，針對常見風險提出示警。但風險並不是只有這些，真正要考量風險應從通盤治理的角度出發，企業最終應是要去參考多項安全指南進行全面評估，了解風險只是入門方式之一。</p> <p>以OWASP社群近期發展重點而言，最重要的是上述<strong><a href="https://owasp.org/www-project-artificial-intelligence-security-verification-standard-aisvs-docs/">AI資安驗證標準（AISVS）</a></strong>，全名是AI Security Verification Standard，目的是建立標準化的安全需求架構，驗證AI系統的安全性。</p> <p><strong><a href="https://aivss.owasp.org/">AI漏洞評分系統（AIVSS）</a></strong>目前是這項專案的關鍵之一，其全名是AI Vulnerability Scoring System，才能針對AI特有的威脅，提供精確的風險量化指標。但社群中亦有其他評分專案正在討論。</p> <p>胡辰澔坦言，GenAI Security Project發展的初期，並未優先將資源投入AISVS專案，但隨著產業對AI安全標準化的需求日益迫切，社群目前的開發重點已全面轉向此領域。</p> <p>儘管上述專案具體發布時程尚未定案，胡辰澔觀察到社群內部有許多不同意見。但我們可以確定的是，對於AI漏洞與分類的標準化，毫無疑問是大家關注的下一重點。</p> <p>這也顯現AI技術飛漲之際，局勢瞬息萬變，大家對於相關風險的認知，正在不斷討論的過程中演進，試圖建構出具共識的標準化框架。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96)OWASP%20GenAI%20Security%20Project.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖2)OWASP Gen AI Security Project.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%962)OWASP%20Gen%20AI%20Security%20Project.jpg" style="width: 600px;" /></a></p> </div></div></div>
3/12 14:28作者羅正漢https://www.ithome.com.tw/news/174355
【OWASP揭露Agentic十大風險】快速認識AI代理常見資安挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著大型語言模型（LLM）的不斷發展，生成式AI從堪用變得漸漸實用，如今更是朝向Agentic AI（代理AI）的應用階段邁進，然而，在迎接新技術的同時，相關風險的認識與緩解，也成為重要議題。</p> <p>過去經常發布10大資安風險的非營利組織OWASP，不只發布<strong><a href="https://www.ithome.com.tw/news/168417">LLM應用程式10大風險排行</a></strong>，希望喚起各界對於LLM風險的重視，到了2025年12月，再針對AI代理發布10大風險排行，也就是「<strong><a href="https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/">OWASP Top 10 for Agentic Applications for 2026</a></strong>」。</p> <p>經歷3年以上的發展，生成式AI應用正逐漸深入日常生活，就連Google搜尋也將AI摘要結果置頂。自2025年下半開始，AI瀏覽器與AI代理的快速發展，使得現代Agent展現自主規畫、調用外部API、操作資料庫與執行任務的能力，有別於過往僅能回應生成文字。</p> <p>這也顯現AI資安議題正從LLM模型安全，擴大至更複雜的AI代理安全（Agentic Security）。然而，大家對這方面的風險，卻還是處於一知半解的狀態，因此我們決定介紹這10大Agentic風險，並針對每項風險一一設計圖示、搭配易於逐一項目瀏覽的圖文版型配置，方便大家聯想其概念，同時還邀請OWASP臺灣分會會長胡辰澔協助導讀，透過他參與國際社群的實務觀察，提供更深刻的重要觀點解析。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Agentic Top 10 At A Glance .jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Agentic%20Top%2010%20At%20A%20Glance%20.jpg" style="width: 600px;" /></a></p> <div class="code-container" style="background-color: rgb(40, 44, 52); padding: 20px; border-radius: 8px; font-family: monospace; line-height: 1.8;"><strong><a href="https://www.ithome.com.tw/news/174354#ASI01" style="color: rgb(97, 175, 239);">ASI01：代理目標劫持（Agent Goal Hijack）</a><br /> <a href="https://www.ithome.com.tw/news/174354#ASI02" style="color: rgb(97, 175, 239);">ASI02：工具濫用與調用（Tool Misuse and Exploitation）</a><br /> <a href="https://www.ithome.com.tw/news/174354#ASI03" style="color: rgb(97, 175, 239);">ASI03：身分與權限濫用（Identity and Privilege Abuse）</a><br /> <a href="https://www.ithome.com.tw/news/174354#ASI04" style="color: rgb(97, 175, 239);">ASI04：代理式供應鏈漏洞（Agentic Supply Chain Vulnerabilities）</a><br /> <a href="https://www.ithome.com.tw/news/174354#ASI05" style="color: rgb(97, 175, 239);">ASI05：非預期程式碼執行RCE（Unexpected Code Execution RCE）</a><br /> <a href="https://www.ithome.com.tw/news/174354#ASI06" style="color: rgb(97, 175, 239);">ASI06：記憶體與上下文毒化（Memory & Context Poisoning）</a><br /> <a href="https://www.ithome.com.tw/news/174354#ASI07" style="color: rgb(97, 175, 239);">ASI07：不安全的代理間通訊（Insecure Inter-Agent Communication）</a><br /> <a href="https://www.ithome.com.tw/news/174354#ASI08" style="color: rgb(97, 175, 239);">ASI08：連鎖故障（Cascading Failures）</a><br /> <a href="https://www.ithome.com.tw/news/174354#ASI09" style="color: rgb(97, 175, 239);">ASI09：人機信任利用（Human-Agent Trust Exploitation）</a><br /> <a href="https://www.ithome.com.tw/news/174354#ASI10" style="color: rgb(97, 175, 239);">ASI10：失控代理（Rogue Agents）</a></strong></div> <h2> </h2> <h2><strong><a id="ASI01" name="ASI01"></a>ASI01：Agent Goal Hijack</strong></h2> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 風險1 </span></span> <span style="color: rgb(178, 34, 34);">代理目標劫持 </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/意象_OWASP ASI01_myedit_aiimag.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI01_myedit_aiimag.jpg" style="width: 300px; float: right;" /></a></p> <p>這是指由於 AI代理（Agents）具備自主執行能力，但AI代理無法透過可靠的方式區分合法指令，因此存在固有安全弱點，這就讓攻擊者有可乘之機，可透過多種手法操縱代理的目標、任務選擇或決策路徑。例如，透過惡意提示詞（Prompt）、偽造工具輸出或污染資料——進而改變代理的決策與行為。</p> <p>換句話說，在代理式架構下，指令與資料混雜於同一自然語言脈絡，代理無法可靠地區分合法指令與攻擊者控制的內容。</p> <p>對於此項風險要如何理解？胡辰澔指出，我們可以用AI世界裡的 Command Injection（指令注入）去設想「代理目標劫持」，重點在於可能操縱Agent的整體核心目標與結果。他並以近期熱門的OpenClaw為例，這個Agent是在個人電腦本機上執行，想像有人傳送一封包含惡意的電子郵件，當OpenClaw讀取該信件內容時，其中的隱藏指令便覆蓋掉原有的系統提示或核心提示，導致Agent執行結果的不同。</p> <p>這與LLM風險所提的「提示詞注入」不同，並非單次回應遭到操弄，「代理目標劫持」的涵蓋更廣，能操弄整個Agent的目標與結果。</p> <p> </p> <h2><strong><a id="ASI02" name="ASI02"></a>ASI02：Tool Misuse and Exploitation</strong></h2> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 風險2 </span></span> <span style="color: rgb(178, 34, 34);">工具濫用與調用</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/意象_OWASP ASI02_myedit_aiimag.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI02_myedit_aiimag.jpg" style="width: 300px; float: right;" /></a></p> <p>Agent並不是只有對話框，而是具備工具、甚至已進化成自動化技能組合Skill的執行架構。</p> <p>以ASI02的工具濫用而言，指的是代理可能因為提示詞注入、目標對齊失效、不安全授權或模糊指令而誤用合法工具，進而導致資料外洩、工具輸出被操縱或工作流被劫持。</p> <p>這項風險最主要關鍵是：代理如何選擇與應用工具。還有代理的記憶機制、動態工具選擇及授權委派，可能因為鏈式呼叫、權限提升與非預期行動而助長濫用。而這部分又與LLM風險的「過度代理」不同，Tool濫用側重在「合法工具」的誤用。</p> <p>對此風險，胡辰澔的舉例是Vibe coding，有人使用AI輔助開發模式，結果整個檔案被rm -rf指令刪除，這正是「給了合法工具，卻被以不安全或非預期方式執行」的典型。</p> <p> </p> <h2><strong><a id="ASI03" name="ASI03"></a>ASI03：Identity and Privilege Abuse</strong></h2> <p><span style="font-size: 28px; color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> </span></span><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">風險3 </span></span> <span style="color: rgb(178, 34, 34);">身分與權限濫用</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI03_myedit_aiimag.jpg" style="width: 300px; float: right;" /></p> <p>這項風險主要在於Agent系統中的動態信任與委派機制，過程中會因身分與權限濫用，而造成權限提升並繞過安全管控，包括操縱委派鏈（Delegation Chains）、角色繼承、控制流、Agent上下文。</p> <p>此風險源於以使用者為中心的身分系統，與代理式設計之間的架構落差。若Agent缺乏獨立受控的身分（涵蓋其指派角色及任何驗證資料API Key、OAuth Token、委派Session），就會有責任歸屬盲點，導致最小權限原則無法落實。</p> <p>這與上一項風險ASI02工具濫用不同，簡單來說，若是濫用涉及權限提升或憑證繼承，就會歸類在ASI03身分與權限濫用。</p> <p> </p> <h2><strong><a id="ASI04" name="ASI04"></a>ASI04：Agentic Supply Chain Vulnerabilities</strong></h2> <h2><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 風險4 </span></span> <span style="color: rgb(178, 34, 34);">代理式供應鏈漏洞</span></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI04_myedit_aiimag.jpg" style="width: 300px; float: right;" /></p> <p>當Agent調用的模型、工具、外掛、資料、MCP（Model Context Protocol）、A2A（Agent2Agent）由第三方提供，一旦遭惡意、遭入侵或在傳輸中遭竄改，就會造成代理式供應鏈漏洞。這些依賴可能將不安全程式碼、隱藏指令或欺騙行為，引入AI代理的執行鏈。</p> <p>胡辰澔解釋，現在AI Agent可能會根據指令，自主檢索並導入所需的工具或數據以補足執行資訊；然而，若其擷取的組件或數據存有惡意程式，便等同於Agent讓你被駭。</p> <p>他並以MCP（Model Context Protocol）為例說明此項風險：若惡意套件偽裝成合法的MCP服務，一旦AI Agent調用其功能發送郵件，該套件便可能暗中將郵件密件副本傳給外部第三方，導致敏感資訊外洩。因此，Agent引用的資源是否安全會是關鍵，近期業界高度強調AI SBOM（AI軟體物料清單）也是聚焦此類議題。</p> <p> </p> <h2><strong><a id="ASI05" name="ASI05"></a>ASI05：Unexpected Code Execution RCE</strong></h2> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 風險5 </span></span> <span style="color: rgb(178, 34, 34);">非預期程式碼執行RCE</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI05_myedit_aiimag.jpg" style="width: 300px; float: right;" /></p> <p>代理式系統（包含當前流行的Vibe coding工具）經常產生並執行程式碼。攻擊者可能設法將單純的指令升級為遠端程式碼執行（RCE）、本機濫用或對內部系統的滲透。由於這些程式碼是由Agent根據對話即時產生的，傳統的靜態安全掃描往往難以攔截。</p> <p>胡辰澔解釋，例如Vibe coding時，若是生成的程式碼有漏洞，攻擊者可能透過其他方法取得你Agent的權限，然後利用提示詞讓你的應用產生漏洞，造成RCE。</p> <p>從這些描述來看，似乎也屬於濫用行為，但與ASI02工具濫用風險是否有點雷同嗎？胡辰澔坦言，OWASP社群確實對此項目有許多議論，因為與工具濫用有部分重疊，但眾人討論認為這可能是特點而非單純工具控制，因此這一版暫不整併兩者。</p> <p> </p> <h2><strong><a id="ASI06" name="ASI06"></a>ASI06：Memory & Context Poisoning</strong></h2> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 風險6 </span></span> <span style="color: rgb(178, 34, 34);">記憶體與上下文毒化</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI06_myedit_aiimag.jpg" style="width: 300px; float: right;" /></p> <p>為了維持任務連貫性，代理式系統高度依賴儲存與檢索機制，如對話歷程快照、記憶體工具或擴展情境，其承載的上下文涵蓋了摘要、嵌入向量及RAG儲存內容。</p> <p>這項風險在於，攻擊者以惡意或誤導性資料方式，污染或植入這些情境，導致Agent在後續的推理、規畫或工具調度中產生偏差、不安全操作，甚至觸發機敏資料外洩。</p> <p>這項風險來自Agent汲取來源時，像是檔案上傳、API餵送、peer-agent交換，可能因為本質上不可信或是僅部分有被驗證。</p> <p>對於這類毒化問題，胡辰澔進一步提出其觀點，指出這類風險在短期可能看不出來，但長期下來在角色或行為上可能就會出現問題，他並提醒，大家要了解LLM有個特性，就是如果你騙它騙久了，它最後就會把這些內容當成事實，儘管對於大型語言模型影響較低，但小型語言模型的影響就會較大。</p> <p> </p> <h2><strong><a id="ASI07" name="ASI07"></a>ASI07：Insecure Inter-Agent Communication</strong></h2> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 風險7 </span></span> <span style="color: rgb(178, 34, 34);">不安全的代理間通訊</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI07_myedit_aiimag.jpg" style="width: 300px; float: right;" /></p> <p>在多代理系統之下，自主代理會透過API、訊息匯流排、共用記憶體以保持持續通訊與協作，但這也顯著擴大了攻擊面。例如，當這類架構通常具備高度去中心、自主程度不一、信任程度不均的情況，將使得以邊界為基礎的安全模型不再有效。再加上代理間在身分驗證、完整性、機密性或授權上的控制較為薄弱，使得攻擊者得以攔截、竄改、冒充或阻斷訊息。</p> <p>對此風險，胡辰澔很直白地說明，這主要是在提醒大家，別讓 API門戶大開到讓中間人攻擊容易有機可乘。就像是通訊如果不加密，攻擊者就能輕易攔截並讀取訊息，雖然現在已有mTLS或Token等防護機制，但實務上仍有許多通訊過程是完全不加密的。至於Token是否代表絕對安全？答案是不一定，但比起「完全沒保護」會好一些。</p> <p> </p> <h2><strong><a id="ASI08" name="ASI08"></a>ASI08：Cascading Failures</strong></h2> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 風險8 </span></span> <span style="color: rgb(178, 34, 34);">連鎖故障</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI08_myedit_aiimag.jpg" style="width: 300px; float: right;" /></p> <p>這項風險是指當單一故障在自主代理間傳播引發系統級危害時，造成連鎖故障反應，所謂的單一故障，涵蓋幻覺、惡意輸入、工具遭破壞或記憶污染，在代理、工具、工作流程間的傳播放大，這些潛在的故障就會引發系統級的危害，從原本微小的故障，演變成影響機密性、完整性與可用性的特權操作，最終導致大規模的連鎖崩潰與服務失效。</p> <p>對此，胡辰澔表示，當今Agent通常會使用多個，因此，如果其中一個代理出現幻覺或被毒化，被其下層代理當成事實，就會產生連鎖反應。像是今年初有人在網路分享用AI進行市場交易，如果市場分析被毒化了，下層交易代理就會因為這個結果，而執行非你預期的操作，就是一例。</p> <p> </p> <h2><strong><a id="ASI09" name="ASI09"></a>ASI09：Human-Agent Trust Exploitation</strong></h2> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 風險9 </span></span> <span style="color: rgb(178, 34, 34);">人機信任利用</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI09_myedit_aiimag.jpg" style="width: 300px; float: right;" /></p> <p>智慧代理因具備擬人化特質（Anthropomorphism），極易與使用者建立深厚信任。然而，在代理式系統中，若人類過度依賴其自主建議或無法驗證的推論，且在未經獨立查核下便核准行動，將進一步放大這項風險，像是資料外洩或財物損失。</p> <p>換言之，攻擊者若藉由權威偏誤與具說服力的解釋來操縱AI，並利用使用者過於信任AI建議，導致使用者核准執行惡意操作。這類攻擊最危險之處在於，它將代理轉化為不可追蹤的幕後黑手，使惡意行為在事後稽核中看起來像是人類的合法決策，導致鑑識難度大幅提升。而且，當代理表現得愈自信或具權威感，使用者因為過度信任，錯誤決策的機率就會愈高。</p> <p>胡辰澔感慨，隨著AI能力進步，大家可能在審核或質疑其回應的機率，可能會降低，而且，這項風險完全是針對我們人類而來，突顯人類對於代理的過度信任問題。他並借用社交工程概念來比喻，像是Agent告訴你收到一張發票，但金額的「幣別」解讀錯誤，如果人類因為信任AI而沒去覆核，後果將不堪設想，這是否可能是人為蓄意操弄？是有可能的，像是有人發票上寫下文字USD去影響AI判斷。</p> <p> </p> <h2><strong><a id="ASI10" name="ASI10"></a>ASI10：Rogue Agents</strong></h2> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 風險10 </span></span> <span style="color: rgb(178, 34, 34);">失控代理</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%84%8F%E8%B1%A1_OWASP%20ASI10_myedit_aiimag.jpg" style="width: 300px; float: right;" /></p> <p>關於失控代理的風險，是指脫離了原定的功能或授權範圍，在多代理或人機生態系中，以有害、欺騙或擅自行事的惡意AI代理或遭入侵的AI代理。這些代理的個別行動可能看似合法，串連起來的整體行為卻是有害，這對傳統以規則為基礎的系統形成管控漏洞。</p> <p>胡辰澔表示，這種自主性地偏離預定目標，像是在獎勵機制下，代理可能選擇採取違反安全的方式去獲取獎勵。雖然排名第10名，但帶來的危害不容忽視。<br /> </p> <h2><b>聚焦3大重點：</b><strong>提示詞注入、代理程式權限、資料與供應鏈</strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)10_胡辰澔_OWASP台灣分會會長_暨安創資訊執行長_暨創辦人_20260306.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)10_%E8%83%A1%E8%BE%B0%E6%BE%94_OWASP%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E6%9C%83%E9%95%B7_%E6%9A%A8%E5%AE%89%E5%89%B5%E8%B3%87%E8%A8%8A%E5%9F%B7%E8%A1%8C%E9%95%B7_%E6%9A%A8%E5%89%B5%E8%BE%A6%E4%BA%BA_20260306.jpg" style="width: 300px; float: right;" /></a></p> <p>從LLM到Agentic應用程式十大風險，面對這些新興風險，我們還需要注意什麼？對此，胡辰澔指出，最重要的核心原則即是「拒絕放任AI代理隨意執行」。這意味著從最基礎的日誌紀錄、動態監控到嚴謹的存取驗證，所有行為環節都必須納入嚴密的治理架構中。因此他亦強調，資安的基本功仍然重要，不論是給予最小權限、關注資料供應鏈、做好輸入監控，在AI時代依然適用。</p> <p>他同時指出，當前正值AI代理發展的墾荒期，在持續發展尚未定型前，攻擊者的利用往往也比我們想像中更簡單、更迅速。綜觀當前大家對LLM與Agentic的風險探討，其實都環繞在3大重點：提示詞注入、代理程式權限、資料與供應鏈。至於是否有其他重要面向，也是社群目前在持續探討的問題。</p> <p>而在了解OWASP所公布的十大風險之際，胡辰澔一再強調，十大風險的用意在於意識提升與風險示警，了解常見風險，但真正的風險管理，最終應是要去參考多項安全指南進行全面評估。</p> <p>此外，他並透露，上述「OWASP Top 10 for Agentic Applications」很快就會有第二版出爐，預計發布時間可能在2026年夏天，甚至，也有人主張將LLM十大風險與Agentic十大風險，予以合併。這也突顯AI技術發展蓬勃，相關資安風險正隨之快速變化。</p> <div> </div> </div></div></div>
3/12 11:38作者羅正漢https://www.ithome.com.tw/news/174354
歐盟法院顧問指出銀行應退還釣魚詐騙受害者被盜款項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>歐盟法院顧問本月初對網路釣魚詐騙審判<a href="https://infocuria.curia.europa.eu/tabs/jurisprudence?sort=DOC_DATE-DESC&searchTerm=%22C-70%2F25%22&publishedId=C-70%2F25" target="_blank">提出建議</a>，指出銀行應歸還受害者被盜刷、盜轉的金錢。</p> <p>歐盟總法律顧問（Advocate General）Athanasios Rantos本月提出建議，要求歐盟法院（CJEU）修改他們對歐盟支付服務指令第二版（Second Payment Services Directive，PSD2）法條的詮釋。他認為銀行應該要賠償金融詐騙受害者損失的金錢。</p> <p>而他的意見可能拯救眾多帳號被盜的民眾。PSD2下，如果民眾遭到網路詐騙、通報銀行時，銀行有權審查決定是否賠償受害者。現行模式下，銀行握有最高決定權，受害民眾只能被動接受，苦吞被騙後果。</p> <p>本案是起於波蘭銀行遭網路詐騙受害者控告不退還被騙金額。一名消費者在網拍平臺交易，遭到釣魚網站騙取帳號，對方已進行未授權交易。消費者通報警方及銀行，要求銀行退款，但銀行以消費者自己有疏失，未履行妥善保管支付工具的義務拒絕退款，於是遭到消費者提告。波蘭法院向歐盟法院提出先決裁定（preliminary ruling）。</p> <p>Rantos指出，對於未授權的支付交易，支付服務供應商（即銀行）應立即退款給受害者，不可以受害客戶有重大過失為由拒絕。但銀行可以在調查確認客戶有過失或詐欺行為，再追回款項。</p> <p>他並指出，在銀行帳號被盜的案例中，為了鼓勵受害者支付工具（如帳號）被盜時立即通報，用戶應僅承擔大約50歐元的損失。而如果受害者無法意識到支付工具被盜用或遺失，則不應承擔任何責任。此外，一旦受害者通知銀行其帳號已經外洩，則受害者就不應被要求承擔任何進一步損失。</p> <p>歐盟總法律顧問的建議沒有約束力，但是實務上，被法院採納機率相當高。</p> <p><a href="https://www.theregister.com/2026/03/11/eu_psd2_compensation/" target="_blank">The Register</a>引述專家分析，如果建議獲得歐盟法院接受，讓銀行承擔被詐騙的大部份損失，則銀行就更有動機偵測帳號盜用或是帳密外洩。</p> </div></div></div>
3/12 12:42作者林妍溱https://www.ithome.com.tw/news/174358
Anthropic成立Anthropic Institute研究AI對社會與經濟長期影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>人工智慧公司Anthropic周三（3/11）宣布<a href="https://www.anthropic.com/news/the-anthropic-institute" target="_blank">成立Anthropic Institute</a>，這是一個專門研究前沿AI系統對社會與經濟影響的研究機構，未來也將參與AI政策與治理議題的研究。</p> <p>Anthropic表示，AI技術在公司成立5年以來發展迅速，在成立兩年後推出第一個商用模型，並在隨後3年間開發出能發現嚴重資安漏洞、執行多種實際工作任務，甚至開始加速AI研究進展的模型。Anthropic預測，未來兩年AI能力仍可能出現更劇烈的提升。</p> <p>隨著AI系統能力持續增強，Anthropic認為政府與產業將面臨一系列重要問題，例如AI將如何改變就業市場與經濟活動、是否會帶來新的安全風險，以及社會應如何制定AI系統所遵循的價值與治理原則。此外，如果未來AI開始出現遞迴式自我改進能力，相關監管與治理機制也將成為重要議題。</p> <p>Anthropic Institute將整合公司三個研究團隊，包括負責測試AI能力極限的Frontier Red Team，研究AI在現實世界應用的Societal Impacts團隊，以及分析AI對就業與經濟影響的Economic Research團隊。研究院也將推動新的研究計畫，例如預測AI發展速度，以及研究強大AI系統與法律制度之間的互動。</p> <p>該研究院將由Anthropic共同創辦人Jack Clark領導，他原本負責公司的公共政策業務，並已擔任公共政策主管超過五年。此次人事調整後，他將轉任公共利益主管（Head of Public Benefit），負責帶領研究院的相關工作。</p> <p>而公共政策主管則由原本的對外事務主管Sarah Heck接任。Anthropic表示，公共政策團隊將持續關注AI安全與透明度、能源與AI基礎設施投資、出口管制以及AI治理等政策議題，並計畫在今年春天於華盛頓特區設立新的政策辦公室。</p> <p>近期Anthropic也因政策爭議受到關注。美國政府日前將Anthropic列為供應鏈風險（Supply Chain Risk，SCR），限制其技術在部分政府專案中的使用。Anthropic已對此<a href="https://www.ithome.com.tw/news/174295" target="_blank">提起訴訟</a>，挑戰該項決定。</p> </div></div></div>
3/12 12:51作者陳曉莉https://www.ithome.com.tw/news/174361
Perplexity推Personal Computer，將AI助手變成可持續運作的工作代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Perplexity宣布<a href="https://www.perplexity.ai/hub/blog/everything-is-computer">擴大Computer服務產品線</a>，新增Personal Computer與企業版Computer，並推出企業級AI瀏覽器Comet Enterprise、4種API，以及整合更多專業資料來源的金融研究能力。Perplexity正把原本偏重搜尋與問答的AI服務，轉為可跨工具執行任務、持續處理工作的代理式系統。</p> <p>Perplexity<a href="https://www.ithome.com.tw/news/174082">今年2月先發布Computer</a>，當時介紹這是一套可調度多個AI模型、拆解任務並執行複雜工作的系統。本次新發布則推出Personal Computer、企業版Computer、企業瀏覽器，以及開發與金融研究相關服務，進一步擴展Computer在不同工作場景的應用。</p> <p>其中，<a href="https://x.com/perplexity_ai/status/2031790180521427166?s=20">Personal Computer</a>是這次較受矚目的新服務。Perplexity表示，該服務需在一臺可24小時持續運作的Mac mini上運作，能連接本機應用程式、檔案與Perplexity安全伺服器，讓使用者可從不同裝置提出工作需求，由系統持續代為處理。官方強調，這類操作會設有明確防護機制，涉及敏感動作時需經使用者批准，並保留完整稽核軌跡，也提供可立即停止的控制機制。</p> <p>Perplexity也針對企業發布Computer for Enterprise，主打可直接連接企業既有軟體與資料平臺，例如Snowflake、Salesforce與HubSpot等服務，讓使用者以自然語言提出需求後，由系統撰寫查詢、執行任務並回傳結構化結果。依Perplexity的說法，該產品不只用於查資料，也可用於財務模型、儀表板與簡報製作，以及排程工作流程等日常知識工作。</p> <p>另一項新產品Comet Enterprise，則把AI功能帶進企業瀏覽器環境，讓管理員可針對整個瀏覽器或特定網域設定權限，限制助手僅能回答問題，或在較低風險場域執行操作，並支援透過既有MDM架構部署與管理。</p> <p>Perplexity也將Computer的底層基礎元件，整理為Search、Agent、Embeddings與Sandbox四種API，涵蓋搜尋、代理執行、向量化，以及受控執行環境等功能，並對外提供給開發者使用。</p> <p>除了個人端、企業端與開發平臺，Perplexity也明顯加碼金融研究。Perplexity表示，Computer現可在研究流程中存取Statista、CB Insights與PitchBook等付費資料來源，也擴大對超過40種即時金融工具的支援，資料可追溯至SEC filings、FactSet、S&P Global、Coinbase、LSEG與Quartr等來源，讓使用者能在同一套系統中進行市場研究、投資分析與投資組合分析。</p> </div></div></div>
3/12 13:09作者李建興https://www.ithome.com.tw/news/174360
CISA指出n8n重大漏洞已遭利用，要求聯邦機構兩週內完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月11日美國網路安全暨基礎設施安全局（CISA）<strong><a href="https://www.cisa.gov/news-events/alerts/2026/03/11/cisa-adds-one-known-exploited-vulnerability-catalog">發布警訊</a></strong>，指出工作流程自動化工具<strong><a href="https://www.ithome.com.tw/tags/n8n">n8n</a></strong>的資安漏洞CVE-2025-68613，已出現被利用的跡象，他們將其列入已遭利用漏洞列表（KEV），要求聯邦機構<strong><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-68613">在3月25日前完成修補</a></strong>。</p> <p>該漏洞由n8n開發工程團隊<strong><a href="https://www.ithome.com.tw/news/173006">於12月下旬首度揭露</a></strong>，出現於n8n工作流程的表達式評估系統，通過身分驗證的使用者在工作流程配置提供的表達式，將可能在未充分隔離的底層執行環境受到評估。因此，攻擊者有機會濫用上述現象，透過n8n處理程序的特殊權限執行任意程式碼，CVSS風險評為9.9分，n8n開發工程團隊在11月發布的1.120.4、1.121.1，以及1.122.0版，修補這項漏洞。</p> <p>雖然CISA並未說明該漏洞如何遭到利用，但值得留意的是，近期剛好有資安公司指出該漏洞被用於殭屍網路攻擊。資安公司Akamai揭露<strong><a href="https://www.ithome.com.tw/news/174188">名為Zerobot的殭屍網路</a></strong>，駭客積極嘗試利用兩個已知漏洞，其中一個就是CVE-2025-68613，相關活動最早可追溯至2025年12月初。</p> </div></div></div>
3/12 10:02作者周峻佑https://www.ithome.com.tw/news/174346
美國指出3個iOS、iPadOS高風險資安漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月5日美國網路安全暨基礎設施安全局（CISA）已遭利用漏洞列表（KEV）<strong><a href="http://www.cisa.gov/news-events/alerts/2026/03/05/cisa-adds-five-known-exploited-vulnerabilities-catalog">納入5個已知漏洞</a></strong>，其中最受關注的部分，是3個與蘋果產品有關的漏洞，<strong><a href="http://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2023-41974+CVE-2021-30952+CVE-2023-43000">聯邦機構須於26日前完成修補</a></strong>。</p> <p> </p> <p>這些漏洞是：整數溢位漏洞<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-30952">CVE-2021-30952</a></strong>，以及記憶體釋放後再使用（Use After Free）漏洞，包括<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-43000">CVE-2023-43000</a>與<strong><a href="https://nvd.nist.gov/vuln/detail/cve-2023-41974">CVE-2023-41974</a></strong>，CVSS風險介於7.8至8.8分，蘋果先後於2021年12月、2023年6月及9月修補。</p> <p>值得留意的是，這些漏洞的共通點是影響iPhone與iPad行動裝置的用戶。CVE-2021-30952涵蓋行動裝置、電腦、智慧手錶，以及電視盒，影響範圍最廣；至於CVE-2023-43000，同時影響行動裝置與執行macOS Ventura的電腦。</p> <p>在相關公告裡，CISA並未說明漏洞如何遭到利用，不過，同日Google恰巧揭露<strong><a href="https://www.ithome.com.tw/news/174211">iOS漏洞利用工具包Coruna</a></strong>當中，而此攻擊同時涵蓋這些漏洞的利用。</p> <p>另外兩個本次公告列入KEV的漏洞，分別是：海康威視（Hikvision）設備的身分驗證不完整漏洞CVE-2017-7921，以及Rockwell設備的憑證保護不足漏洞CVE-2021-22681。</p> </div></div></div>
3/12 11:01作者周峻佑https://www.ithome.com.tw/news/174351
Meta加速自研AI晶片MTIA布局，迭代節奏縮短至6個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta近日揭露其自研AI晶片MTIA（Meta Training and Inference Accelerator，Meta訓練與推論加速器）的最新進展。<a href="https://ai.meta.com/blog/meta-mtia-scale-ai-chips-for-billions/" target="_blank">Meta表示</a>，近兩年已規畫出MTIA 300、MTIA 400、MTIA 450與MTIA 500四個世代晶片，其中MTIA300已投入生產，MTIA 400正準備部署，而MTIA450與MTIA 500則預計於2027年大規模部署。</p> <p>MTIA是Meta與Broadcom合作開發的AI加速器，主要用於AI模型（model）的訓練與推論。Meta指出，每天有數十億用戶在其平臺上使用AI功能，包括內容推薦與AI助理，因此要如何在全球規模上支援各類AI模型，同時控制運算成本，是AI基礎設施的重要挑戰。</p> <p>先前Meta已推出前兩代MTIA晶片MTIA100與MTIA 200，相關設計分別於2023年與2025年公開，並已在資料中心部署數十萬顆MTIA晶片，用於支援內部AI服務。這些晶片主要負責Meta平臺上的排序與推薦系統（Ranking and Recommendation，R&R）推論工作負載，例如社群內容推薦與廣告排序等核心演算法。此外，Meta也已將部分大型語言模型（Large Language Model，LLM）移至MTIA平臺上進行測試。</p> <p>隨著生成式AI（Generative AI，GenAI）快速發展，Meta的AI運算需求也正從過去以推薦系統為主，逐步轉向生成式AI與大型語言模型的推論服務。</p> <p>在硬體設計上，MTIA晶片持續提升記憶體頻寬與計算能力。從MTIA 300到MTIA 500，高頻寬記憶體（High Bandwidth Memory，HBM）頻寬提升約4.5倍，而計算能力（FLOPS）則提升約25倍。Meta表示，HBM頻寬是影響生成式AI推論效能的重要因素，因此新一代晶片特別強化HBM頻寬，以加速大型語言模型的推論運算。</p> <p>此外，MTIA也加強對低精度運算的支援，例如MX4與MX8等資料格式。這類低精度運算可在維持模型品質的情況下提高推論吞吐量，已成為生成式AI推論的重要技術方向。</p> <p>Meta指出，AI模型的演進速度已超過傳統晶片開發週期。一般晶片設計往往需要約兩年才能完成並投入生產，但AI工作負載在此期間可能已出現重大變化。因此Meta採取快速迭代策略，透過模組化chiplet架構與可重用系統設計，使晶片開發節奏縮短至約每六個月推出新一代產品。</p> <p>Meta強調，公司將持續採取多元晶片策略，在自家研發的MTIA晶片之外，也會搭配外部供應商產品，例如GPU，以支援不同類型的AI工作負載。不過隨著生成式AI服務需求快速成長，Meta正透過自研AI晶片與快速迭代策略，強化其AI基礎設施能力，並試圖降低大規模AI服務的長期運算成本。</p> </div></div></div>
3/12 11:08作者陳曉莉https://www.ithome.com.tw/news/174352
親伊朗駭客攻擊美國醫療巨頭Stryker
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國醫療科技業者<a href="https://www.stryker.com/us/en/about/news/2026/a-message-to-our-customers-03-2026.html" target="_blank">Stryker周三（3/11）遭到網路攻擊</a>，造成內部所使用的微軟環境於全球出現網路/服務中斷。親伊朗駭客組織<a href="https://handala-hack.to/" target="_blank">Handala自稱</a>是此一攻擊行動的主謀。</p> <p>身為骨科醫生的Homer Stryker因發現醫療器材不好用，自行設計與改良醫療設備，隨後在1941年於美國密西根州創辦了Stryker，主要製造骨科植入物、手術室設備，以及其它醫療設備。Stryker在全球擁有逾5萬名員工，年營收超過250億美元，為全球前三大骨科醫療設備公司之一。</p> <p>根據Stryker的聲明，攻擊造成其全球微軟環境的中斷，但並未發現勒索軟體或惡意軟體的蹤跡，事件應已受到控制。目前正在調查影響範圍，並已啟動業務持續運作措施。</p> <p><a href="https://www.wsj.com/articles/stryker-hit-with-suspected-iran-linked-cyberattack-52f6615c?st=QTAGvn&reflink=desktopwebshare_permalink" target="_blank">華爾街日報</a>（WSJ）則報導，Stryker的員工是在周三醒來後就發現公司的手機跟筆電都無法使用了，駭客不僅清除了裝置資料，也在Stryker的內部登入頁面展示了駭客組織的標記。</p> <p>至於Handala則宣稱，此一行動是為了報復美國對伊朗的攻擊，包括透過網路攻擊抵抗軸心（Axis of Resistance）的基礎設施，以及襲擊了Minab城市的學校，而Stryker被選中的原因是該公司支持以色列。</p> <p>Handala現身於2023年，被外界視為是親巴勒斯坦（伊朗）的駭客組織，其行動通常帶有政治宣傳性質，攻擊目標則多為以色列或其盟友，主要攻擊手法包括入侵網頁、置換首頁、外洩資料、分散式服務阻斷攻擊，以及宣傳性網路攻擊等。</p> <p>目前美國與伊朗之間的網路衝突多呈現「大量小型網攻，而非大型破壞」的型態。<a href="https://www.cloudsek.com/blog/ai-the-iran-us-conflict-and-the-threat-to-us-critical-infrastructure" target="_blank">CloudSEK研究指出</a>，2026年中東局勢升高後，已有超過60個親伊朗駭客團體活躍，主要發動DDoS、網站入侵與資料外洩等攻擊，但目前尚未出現造成美國關鍵基礎設施大規模癱瘓的事件。</p> </div></div></div>
3/12 10:25作者陳曉莉https://www.ithome.com.tw/news/174347
輪胎巨擘米其林證實被竊取Oracle系統資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>輪胎巨擘米其林（Michelin）本周證實，該公司去年因Oracle E-Business Suite漏洞事件導致部分資料外洩。</p> <p>米其林官方指出，如同無數家公司，該公司有時也成為網路攻擊的目標，即使有最高層級的防護，米其林近日仍遭遇了和許多其他公司相同的事件。這家輪胎大廠表示只有「少部份本地資料」被存取，沒有敏感或技術IT資訊受到影響。但該公司否認攻擊涉及勒索軟體，且攻擊事件未影響全球系統。</p> <p>根據<a href="https://www.securityweek.com/michelin-confirms-data-breach-linked-to-oracle-ebs-attack/" target="_blank">SecurityWeek報導</a>，Cl0p勒索軟體組織已公開米其林被駭資料，達315GB，從資料欄位判斷可能是來自Oracle E-Business Suite。</p> <p>米其林是最新一家證實Oracle系統資訊外洩的大型企業。去年11月<a href="https://sosransomware.com/en/ransomware-en/cl0p-hits-oracle-ebs-a-hundred-companies-hacked-in-just-a-few-weeks/" target="_blank">Cl0p組織</a>在網路上公布透過Oracle E-Business Suite漏洞，成功竊取資料的受害企業名單。當中有許多已先後證實，包括博通、雅詩蘭黛（Estee Lauder）、藥廠及醫材業者Abbott、美航子公司Envoy、鳯凰城大學、馬自達（Mazda）、佳能（Canon）及米其林等總計百家以上。</p> </div></div></div>
3/12 10:51作者林妍溱https://www.ithome.com.tw/news/174350
Google完成Wiz 320億美元收購，將整併至Google Cloud
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在通過美國與歐盟主管機關的批准後，<a href="https://www.googlecloudpresscorner.com/2026-03-11-Google-Completes-Acquisition-of-Wiz" target="_blank">Google昨（3/11）日宣布</a>完成收購AI資安新創Wiz。</p> <p>在完成後Wiz將整併入Google Cloud事業群中，但營運據點仍維持在紐約，其品牌和支援各種雲端環境的定位也不會改變。</p> <p>Wiz整合雲端環境及程式碼的專業和串聯所有雲端環境的安全平臺，可協助預防及回應網路安全事件。其客戶涵括殼牌石油（Shell）、BMW、LVMH、摩根士丹利（Morgan Stanley）、瑪氏食品（Mars）、Salesforce、武田製藥（Takeda）、高露潔-棕欖（Colgate-Palmolive）及保險巨擘怡安（Aon）等。</p> <p>Google表示，Wiz的能力可補足Google Cloud雲端基礎架構和AI，包括AI威脅情報及安全營運工具。雙方結合將可提供整合性平臺，協助企業利用AI模型幫助安全人員辨識風險，使用AI模型偵測新威脅，以及防護對AI模型的威脅。其平臺的工具、流程和政策可一致化執行於所有平臺的每一層，從程式碼、雲端到runtime。</p> <p>Google是在2025年3月<a href="https://www.ithome.com.tw/news/167940" target="_blank">宣布</a>計畫以320億美元買下Wiz。Wiz一度<a href="https://www.ithome.com.tw/news/164092" target="_blank">拒絕</a>Google 230億美元的收購提議，而後Google將金額推高到320億美元。本案也創下該公司收購的紀錄。去年11月本案<a href="https://www.ithome.com.tw/news/172140" target="_blank">通過</a>美國司法部的反托拉斯審查。今年2月再獲得<a href="https://www.ithome.com.tw/news/173913" target="_blank">歐盟</a>批准，排除了這樁收購案的二大主要阻礙。</p> </div></div></div>
3/12 09:19作者林妍溱https://www.ithome.com.tw/news/174345
PQC遷移最新發展受矚目，4項最新研究成果於「真實世界密碼學研討會」揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>後量子密碼學（PQC）是近年密碼學格外關注的焦點，主因是量子電腦發展加速，對傳統公鑰密碼系統構成嚴重威脅，因此在去年PQC標準開始陸續發布後，現有加密系統在實務上如何升級PQC，就成為最新關注重點，以因應「先攔截、後解密」（Harvest Now, Decrypt Later，HNDL）的威脅。</p> <p>2026年首場國際密碼學盛會「Real World Crypto Symposium」在臺灣舉行，PQC建構是重要議題之一，其中4場演說的主題皆與此有關，涵蓋KEM混合建構、實用ML-DSA數位簽章、Signal協定優化，以及Signal群組通訊重新建構，展現2026年最新研究成果。同時，現場還有其他議程中也多次談及相關面向，會前更舉辦PQC工作坊活動，同樣顯示PQC從研究走向實務落地的探討正持續受學界與產業關注，相關發展值得臺灣學界與產業界留意。</p> <h3><strong>PQC混合式導入策略探討，KEM Combiner設計受矚目</strong></h3> <p>現階段我們身處PQC過渡時期，因此，混合式導入成為許多企業與組織認可的主流策略，例如，之前我們曾報導許多大型機構與科技公司，都已開始採用。</p> <p>在RWC 2026上的PQC議程中，首場演說就是聚焦於混合式［金鑰交換機制（KEM）］建構的探討，主題是《Keeping up with the KEMbiners》，團隊成員來自荷蘭恩荷芬理工大學、美國Selkie Cryptography公司、德國聯邦資訊安全辦公室，以及美國SandboxAQ公司。</p> <p>荷蘭恩荷芬理工大學的研究人員Kathrin Hövelmanns在這場演說中指出，目前混合實作方式涵蓋古典＋後量子KEM的組合，甚至兩種後量子KEM的組合，且大多基於FO（Fujisaki-Okamoto）建構，這種方法能將普通加密方案轉化為具備所需安全性的KEM，不過，各家KEM在實作細節上仍存在差異。</p> <p>為了找出最佳解方，他們提出一項名為QSI的新設計。SandboxAQ公司的研究人員Deirdre Connolly指出，該設計的重點在於利用CT-PRI（密文偽隨機性）這一特性，並認為這對未來混合式KEM建構極為有用。此外，團隊也提出更高效的QSF設計。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RWC 2026_KEM Combiners_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RWC%202026_KEM%20Combiners_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RWC 2026_KEM Combiners_QSI_QSF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RWC%202026_KEM%20Combiners_QSI_QSF.jpg" style="width: 600px;" /></a></p> <h3><strong>高效能Threshold ML-DSA，實用性突破受關注</strong></h3> <p>在後量子密碼學（PQC）的數位簽章方面，雖然FIPS 204 ML-DSA標準已經正式發布，但其效能表現始終是技術落地所關注的重點。</p> <p>如今我們看到《Efficient Threshold ML-DSA》的發表，似乎顯示此方面將有所突破。這項研究成果，是由PQShield公司、法國雷恩大學、法國國家科學研究中心（CNRS）、法國電腦科學與隨機系統研究中心（IRISA）、Brave 公司以及英國布里斯托爾大學的研究團隊共同提出。</p> <p>任職於PQC解決方案供應商PQShield的Thomas Espitau在本場會議上指出，該研究的核心價值在於「實務可用性」，而且是目前第一個能與ML-DSA完全相容的門檻式（Threshold）數位簽章設計。他進一步說明，雖然建構簽章時他們遵循「具中止機制的 Fiat-Shamir設計範式」，但該範式需要執行大量的「棄卻取樣（Rejection Sampling）」，這在多方運算（MPC）架構下極難處理。最終他們是利用「短秘密分享（Short Secret Sharing）」技術與優化的棄卻取樣機制來克服，成功在分散式環境中平衡了通訊效率與正確性。目前此方案支援最多6方參與，最低門檻為3方。</p> <p>任職於Brave瀏覽器公司的Sofia Celi亦分享了實測數據，指出透過libp2p協議模擬真實網路環境，臺北至首爾的簽署延遲僅27ms，跨洲傳輸則在750ms 以內。這樣的效能表現，印證該方案可應用於TLS、加密貨幣錢包等重視延遲的網路基礎設施。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RWC 2026_Efficient Threshold ML-DSA_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RWC%202026_Efficient%20Threshold%20ML-DSA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Efficient Threshold ML-DSA_TEST Taipei-Seoul.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Efficient%20Threshold%20ML-DSA_TEST%20Taipei-Seoul.jpg" style="width: 600px;" /></a></p> <h3><strong>XHMQV優化Signal初始交握，可抵銷後量子運算帶來的負擔</strong></h3> <p>另一大焦點是Signal Protocol加密協定的優化。在2026年，由德國達姆施塔特工業大學、IBM蘇黎世研究院、德國卡塞爾大學的研究團隊，以及Signal Messenger公司的研究人員，針對此加密協定提出XHMQV改良方案。</p> <p>簡單來說，Signal Protocol為全程加密（E2EE）機制，核心包含雙棘輪（Double Ratchet）與X3DH金鑰交換，已廣泛應用於WhatsApp、Facebook Messenger等服務。2023年此協定更是升級為PQXDH，導入PQC演算法。</p> <p>研究人員指出，現行X3DH/PQXDH在極端情況下仍有安全隱憂，若攻擊者取得一方的暫時金鑰（Ephemeral Key）與另一方的半靜態金鑰（Semi-static Key），安全性可能受影響，且運算效率非最優。今年他們提出的XHMQV，主要作法是將經典高效能金鑰交換機制HMQV優化後，直接導入Signal的交握流程。相較於X3DH僅串接3至4 個Diffie-Hellman（DH）值，XHMQV的安全性證明則涵蓋6種不同的金鑰洩漏組合。因此，即使在多種金鑰同時暴露的極端情況下，仍能確保對話金鑰的安全性。</p> <p>從他們這次發表的XHMQV內容來看，這次改進不僅強化了安全性，還大幅提升效能，並指出由於Signal近年已導入後量子密碼學並升級為PQXDH，若能將傳統交握部分升級為XHMQV，將能在不改變部署方式的前提下，有效抵銷部分後量子演算法帶來的運算負擔。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RWC%202026_XHMQV_deployment.jpg" style="width: 600px;" /></p> <h3><strong>Signal私人群組訊息的PQC遷移，重新思考系統架構</strong></h3> <p>在本場密碼學會議上，也有一場介紹通訊軟體Signal私人群組系統轉向量子安全的演說，並以「Call to Action」鼓勵社群積極推動相關發展。這項研究成果是由Signal Messenger、IBM蘇黎世研究院、蘇黎世理工學院組成的研究團隊發表。</p> <p>基本上，Signal是一款開源通訊服務，除了傳統的一對一通訊外，也允許使用者建立群組並交換訊息，即所謂的群組訊息（Group Messaging）。來自Signal Messenger的代表Rolfe Schmidt在會中表示，目前Signal的私密群組管理機制，主要結合匿名憑證與可驗證加密技術，不過，但這些系統原本是基於橢圓曲線密碼學而設計，如今也面臨「先攔截、後解密」（HNDL）的威脅。</p> <p>為了導入PQC，他們決定砍掉重練。IBM蘇黎世研究院研究員Sebastian Faller說明原因：若仍要求伺服器驗證後量子加密資料，運算成本將非常高，因此新的設計思路是降低伺服器的驗證負擔，改由用戶端負責驗證。</p> <p>他並提到，新系統採用一種稱為「金鑰可重新隨機化簽章」（Key Re-randomizable Signatures）的技術，並以Dilithium為基礎實作。簡單而言，使用者在每個群組中都會產生一組「假名簽章金鑰」。對伺服器而言，這些身分彼此無法關聯，但群組成員之間仍可驗證彼此身分，並在必要時追溯惡意行為。</p> <p>目前他們已規畫出一條可平順轉換的遷移路徑，Rolfe Schmidt認為，這對所有開發通訊軟體的業者而言，也是一個重要的參考案例：因為，面對PQC遷移的挑戰，不能只將新演算法套入既有架構，有時必須重新設計整體系統，才能真正解決問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RWC 2026_Siganl Group Messaging_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RWC%202026_Siganl%20Group%20Messaging_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RWC 2026_Siganl Group Messaging_Key Re-randomizable Signatures.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RWC%202026_Siganl%20Group%20Messaging_Key%20Re-randomizable%20Signatures.jpg" style="width: 600px;" /></a></p> <p> </p> <p> </p> </div></div></div>
3/11 17:31作者羅正漢https://www.ithome.com.tw/news/174341
AI是一塊五層蛋糕！黃仁勳：底層關鍵是能源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blogs.nvidia.com/blog/ai-5-layer-cake/">Nvidia執行長黃仁勳最近拋出一個讓人耳目一新的隱喻</a>：AI是一座拔地而起的「五層蛋糕」架構。從第一性原理（First Principles）出發，黃仁勳指出，電腦運算世界正經歷根本性的轉變，從過去「預錄好的軟體」進化到「即時生成的智慧」。</p> <p>意思是，過去由人類編寫演算法，再由電腦執行。資料必須經過精心結構化處理，儲存到表格中，再由人類透過SQL指令查詢檢索。但現在，有了AI，電腦可以理解非結構化資訊，如圖像、語音，還能即時生成智慧，而不是靠軟體從預存指令中檢索。這種轉變，迫使整個運算堆疊（Stack）必須從底層重新設計。</p> <h2><strong>解構AI五層蛋糕：缺一層都動不了</strong></h2> <p>黃仁勳認為，這種新架構，可以由下而上拆解為五個核心層級，每一層環環相扣：</p> <ol> <li><strong>能源（Energy）：</strong> 這是蛋糕的最底層，也是最現實的約束。黃仁勳直言，即時智慧需要即時電力。每一組Token的產生，都是電子流動與熱能管理的結果，能源已成為限制智慧產出總量的根本物理門檻。</li> <li><strong>晶片（Chips）：</strong> 在能源層之上，任務是高效地將電力轉化為運算力。這不只是GPU的競爭，更是高頻寬記憶體（HBM）與高速互連技術的總和，決定了「智慧成本」能降多少。</li> <li><strong>基礎設施（Infrastructure）：</strong> 這不是指傳統機房，而是AI工廠，包含土地、冷卻系統、配電工程與網絡連接。它們的設計目標不再是儲存資訊，而是「製造」智慧。</li> <li><strong>模型（Models）：</strong> 除了語言模型（LLM），最先進的進展還包括物理模擬、蛋白質AI、機器人技術與自主系統等領域。</li> <li><strong>應用（Applications）：</strong> 這塊蛋糕的最頂層，也是經濟價值落地處。從藥物研發、自動駕駛到法律助理，這層決定了技術如何變現。</li> </ol> <p><img alt="" src="https://blogs.nvidia.com/wp-content/uploads/2026/02/JHH-CES2026-FullStack-scaled-1536x716.jpg" /></p> <h2><strong>生產力愈高，勞動力需求愈大？</strong></h2> <p>針對外界對AI取代工作的擔憂，黃仁勳給出了不同見解。他以放射科醫師為例，雖然AI能輔助判讀影像，但對醫師的需求反而增加。原因在於生產力創造產能，產能創造成長。當AI分擔醫療日常工作，醫師就能專注於溝通和照護、服務更多患者，進而帶動整體僱用需求。</p> <p>黃仁勳強調，這場革命不僅需要電腦科學博士，更需要大量的高薪藍領。比如，建設AI工廠需要電工、水管工、配管工與網路安裝人員，這些技術職位目前在全球市場都極度短缺。</p> <h2><strong>開源模型正點燃底層需求</strong></h2> <p>黃仁勳也觀察到，過去一年AI已跨越大規模實用的門檻。隨著推理能力提升、幻覺減少，企業終於看到真正的產品市場媒合度。</p> <p><img alt="" src="https://blogs.nvidia.com/wp-content/uploads/2026/03/Open-Models-Slide-scaled-1536x728.png" />尤其，像DeepSeek-R1這樣強大的開源模型，讓先進AI變得人人可用，反而會回頭激發對下層技術堆疊的需求。因為應用端愈爆發，對訓練算力、晶片與能源的需求也就愈大。</p> <p></p> </div></div></div>
3/11 19:41作者王若樸https://www.ithome.com.tw/news/174344
AWS規畫擴充Security Hub，將支援多雲與混合環境安全營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS<a href="https://aws.amazon.com/blogs/security/aws-security-hub-is-expanding-to-unify-security-operations-across-multicloud-environments/">宣布</a>擴充Security Hub，將原本以AWS為主的安全營運能力，延伸至多雲、地端基礎設施與私有資料中心並存的企業環境。官方提到，未來Security Hub將朝向單一介面整合不同環境安全訊號的方向發展，讓安全團隊可在同一處檢視風險、分析暴露面並判斷處理優先順序，減少在多套工具與多個主控臺之間切換的負擔。</p> <p>Security Hub目前的基礎建立在AWS既有安全服務整合之上，AWS已將Amazon GuardDuty、Amazon Inspector、Security Hub CSPM與Amazon Macie納入同一操作體驗，整合威脅、弱點、錯誤組態與敏感資料等安全訊號。</p> <p>在最新公告中，AWS表示，Security Hub的定位將從以AWS環境為主的安全管理工具，推向可涵蓋多雲與混合環境的安全營運平臺。AWS規畫在接下來幾個月，以共同資料層整合不同工作負載所在環境的安全訊號，再由統一的政策與營運層提供一致的態勢管理、暴露面分析與風險排序能力。相較於既有AWS服務整合，Security Hub後續將不只匯整AWS內部安全資料，也將朝向集中呈現多雲與混合環境整體風險的方向發展。</p> <p>AWS也預告，Security Hub後續將擴大多項能力，包括擴充Amazon Inspector的弱點管理能力，涵蓋虛擬機器掃描、容器映像檔掃描與無伺服器掃描。另外，也會將加入外部網路掃描，以補充多雲環境中的網際網路暴露面資訊，範圍不只限於AWS上的資源。</p> <p><a href="https://www.ithome.com.tw/review/174091">AWS已於2月底推出Security Hub Extended方案</a>，讓企業可透過Security Hub接入部分合作夥伴安全產品，並由AWS擔任交易主體，提供單一帳單與較一致的採購體驗。從先前整合合作夥伴工具，到此次進一步宣布多雲擴張方向，AWS正持續擴大Security Hub在安全工具整合與安全營運中的角色。</p> </div></div></div>
3/11 19:08作者李建興https://www.ithome.com.tw/news/174343
Salesforce用戶再遭鎖定，ShinyHunters傳出針對配置不當的Experience Cloud網站下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2025年出現多起鎖定雲端CRM平臺<strong><a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a></strong>的攻擊，其中，又以<strong><a href="https://www.ithome.com.tw/tags/shinyhunters">駭客組織ShinyHunters</a></strong>的活動最為猖獗，他們先後針對採用<strong><a href="https://www.ithome.com.tw/tags/salesloft-drift">Salesloft Drift</a></strong>、<strong><a href="https://www.ithome.com.tw/news/172514">Gainsight</a></strong>連接Salesforce的用戶下手，如今傳出這些駭客發起新一波攻擊行動。</p> <p>這項消息源自<strong><a href="https://www.salesforce.com/blog/protecting-your-data-essential-actions-to-secure-experience-cloud-guest-user-access/">3月7日Salesforce發布的安全指引</a></strong>，呼籲企業檢查Experience Cloud網站的訪客帳號（guest user）存取權限設定，以防止資料被未授權存取。後續<strong><a href="https://www.bleepingcomputer.com/news/security/shinyhunters-claims-ongoing-salesforce-aura-data-theft-attacks/">資安新聞網站Bleeping Computer報導</a></strong>指出，Salesforce提到的攻擊者身分就是ShinyHunters，該組織宣稱正利用相關弱點竊取資料，已有多家企業受害。我們也針對此事詢問Salesforce臺灣分公司，不過在截稿之前尚未得到回應。</p> <p>Salesforce在公告中指出，他們發現攻擊者鎖定企業利用Experience Cloud建立的公開網站，而且，針對特定錯誤設定的行為增加。企業通常利用上述平臺建置客服入口網站或支援社群平臺，駭客利用訪客帳號權限設定錯誤的問題，在未登入的情況下透過API查詢資料。若企業賦予訪客帳號過多的資料存取權限，攻擊者就可能直接存取CRM系統中的資料物件，進而取得企業內部資訊或客戶資料。</p> <p>Salesforce強調，這些事件並非平臺本身存在軟體漏洞，而是部分企業在設定Experience Cloud訪客帳號權限時配置不當所致。若企業允許訪客帳號存取過多資料物件，攻擊者便可能透過API查詢CRM資料，例如客戶聯絡資訊或企業內部記錄。</p> <p>為降低風險，Salesforce建議企業檢查Experience Cloud訪客帳號的安全設定，包括限制訪客帳號可存取的資料物件、停用不必要的公開API存取權限，以及監控異常的API查詢行為。此外，也建議企業檢查是否存在未經授權的資料存取活動，以避免敏感資訊遭到大量擷取。</p> <p>針對攻擊的其他細節，Salesforce指出是一個已知的駭客團體所為。這些駭客利用<strong><a href="https://www.ithome.com.tw/news/173338">Mandiant開發的工具Aura Inspector</a></strong>，將此工具修改後，對可公開存取的Experience Cloud網站進行大規模掃描。基本上，原本的Aura Inspector功能僅限於探測網站暴露的API端點，藉此識別容易受到攻擊的物件，但是，駭客修改的版本，可進一步藉由網站過於寬鬆的訪客用戶設定，進行資料擷取。</p> <p>一般而言，在Experience Cloud網站上，任何瀏覽網頁的使用者會共用訪客使用者設定檔（guest user profile），其功能是允許未經授權的使用者檢視企業打算公開的資料，然而一旦該設定檔配置不當，被授予過多權限，攻擊者就有機會藉此直接查詢Salesforce上的CRM物件，過程中無須登入系統。對此，Salesforce呼籲用戶儘速採取行動因應。</p> <p>雖然Salesforce並未提及駭客團體的名稱，但這樣的手法很難不讓人聯想攻擊者就是ShinyHunters，該駭客組織向資安新聞網站Bleeping Computer聲稱，這波攻擊行動就是他們所為。</p> <p>ShinyHunters宣稱，2025年9月開始鎖定大量企業網站進行掃描，已從約100家知名企業取得資料，這些企業有許多是資安領域的公司。根據估計，受害企業總數介於300至400家，攻擊者可能將竊得的資料出售或用於勒索。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ShinyHunters_AuraCampaign.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShinyHunters_AuraCampaign.png" style="width: 580px;" /></a></p> <p>Mandiant也向Bleeping Computer證實，他們推出的工具遭到濫用，駭客試圖利用Aura Inspector，對於多個Salesforce環境自動化掃描漏洞，從而促成入侵活動。</p> </div></div></div>
3/11 16:27作者周峻佑https://www.ithome.com.tw/news/174337
【資安日報】3月11日，微軟發布例行更新，修補已被公開的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174321"><strong style="font-size: 22px;">微軟發布3月例行更新，修補2個已被公開的零時差漏洞</strong></a></p> <p>3月10日微軟發布本月例行更新（Patch Tuesday），總共修補83個漏洞，數量較2月增加40％。值得留意的是，其中有兩個是在微軟公告之前就被公開的零時差漏洞。這些漏洞是：SQL Server權限提升漏洞CVE-2026-21262，以及.NET阻斷服務（DoS）漏洞CVE-2026-26127，關於兩個漏洞的危險程度，微軟都評為重要（Important）等級，目前尚未出現遭到利用的跡象。</p> <p>根據CVSS風險評分，較嚴重的是CVE-2026-21262，通過身分驗證並具備特定權限的攻擊者有機會觸發漏洞，在登入SQL Server的過程裡取得sysadmin權限，CVSS風險值為8.8。長期關注微軟例行更新的資安公司Rapid7認為，若是攻擊者藉此取得相關權限，有可能啟用xp_cmdshell，進而直接呼叫底層的作業系統。</p> <p><a href="https://www.ithome.com.tw/news/174324"><strong style="font-size: 22px;">SAP修補FS-QUO與NetWeaver重大漏洞</strong></a></p> <p>SAP於3月10日發布本月例行更新（Security Patch Day），總共修補15個資安漏洞，從危險程度來看，重大等級有2個、高風險1個，其餘為中度及低風險弱點。</p> <p>其中，重大漏洞CVE-2019-17571相當特別，影響的SAP產品是報價管理相關的應用系統Quotation Management Insurance（FS-QUO），這個程式碼注入漏洞發生在該系統採用的Log4j元件，起因是該元件的SocketServer類別對於不受信任的資料，會出現反序列化處理的狀況，而在反序列化小工具（Gadget）從事件記錄資料監聽不受信任的網路流量過程中，攻擊者可藉機執行任何程式碼，目前這個漏洞的CVSS風險也因此被評為9.8分（滿分10分）。值得留意的是，由於該漏洞影響1.2至1.2.17版Log4j（2012年推出），代表FS-QUO採用該元件的版本相當老舊。</p> <p><a href="https://www.ithome.com.tw/news/174328"><strong style="font-size: 22px;">殭屍網路KadNap入侵華碩路由器與其他邊緣裝置，提供固定代理伺服器服務供網路罪犯運用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/img-bll-blog-crimeware-body-image-13.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/img-bll-blog-crimeware-body-image-13.jpg" style="width: 300px; float: right;" /></a></p> <p>電信公司Lumen旗下的威脅研究團隊Black Lotus指出，他們自2025年8月開始偵測到殭屍網路KadNap的活動，至今已觀察到超過1.4萬臺受感染設備，其中被針對的主要目標是華碩路由器。受害裝置分布於多個國家，其中美國約有六成，比例最高，但Lumen特別提及，臺灣、香港、俄羅斯受害裝置數量居次，各約占5%，若以此比例換算，臺灣約有700臺設備被綁架。</p> <p>與多數殭屍網路不同，KadNap採用改造版的Kademlia分散式雜湊表（Distributed Hash Table，DHT）機制，建立點對點（P2P）通訊架構。受感染設備會在BitTorrent網路中搜尋其他節點，從而取得C2資訊。由於相關基礎設施架構分散於P2P網路，使得防禦方難以透過封鎖單一C2伺服器來中斷整體殭屍網路。</p> <p><a href="https://www.ithome.com.tw/news/174335"><strong style="font-size: 22px;">Fortinet防火牆單一登入漏洞遭利用，攻擊者竊取服務帳號憑證、網路組態設定</strong></a></p> <p>資安公司SentinelOne近日揭露多起入侵事件，攻擊者從2025年11月開始，利用資安漏洞滲透FortiGate設備，取得存取內部網路環境的入口，進而竊取服務帳號與系統設定檔，最終深入企業內部的AD環境，並部署遠端管理工具。</p> <p>攻擊者主要利用多個Fortinet單一登入（SSO）漏洞，包括CVE-2025-59718與CVE-2025-59719，這些漏洞源於系統未正確驗證加密簽章，使未經驗證的攻擊者能透過特製的SSO權杖（Token）取得管理員存取權限。此外，另一項漏洞CVE-2026-24858也可能被利用，使攻擊者能透過自己的FortiCloud帳號登入受害設備。一旦成功存取FortiGate設備，攻擊者會執行特定指令匯出設備設定檔。由於FortiOS的設定檔採用可逆加密方式（reversible form of encryption）儲存，攻擊者可從中解析出系統服務帳號與網路拓撲資訊，進而取得進一步入侵企業環境所需的憑證。</p> <p><a href="https://www.ithome.com.tw/news/174325"><strong style="font-size: 22px;">APT28濫用開源漏洞利用框架Covenant滲透烏克蘭軍方，從事網路間諜活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Covenant-9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Covenant-9.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET指出，APT28自2024年起重新啟動進階惡意程式開發團隊，並在攻擊烏克蘭政府與軍事相關目標時使用新開發的工具，其中包括鍵盤側錄程式SlimAgent，以及後門程式BeardShell與修改版的開源滲透測試框架Covenant，這些工具被用於長期網路間諜活動。</p> <p>上述APT28打造及使用新自製工具的攻擊，最早可追溯到2024年4月，當時ESET在烏克蘭政府的電腦發現名為SlimAgent的間諜程式，APT28運用此軟體的鍵盤側錄、螢幕截圖，以及剪貼簿資料蒐集功能，持續監控受害者活動。ESET進一步分析後發現，SlimAgent的程式碼與APT28在2010年代使用的後門程式Xagent高度相似，顯示SlimAgent可能是以Xagent為基礎而打造的。</p> <p><a href="https://www.ithome.com.tw/news/174161"><strong style="font-size: 22px;">俄羅斯駭客組織APT28發動MacroMaze行動，濫用合法Webhook與Word巨集鎖定西歐與中歐目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0304-apt28-600-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-apt28-600-1.png" style="width: 300px; float: right;" /></a>西班牙資安業者S2 Grupo於2月中旬發布研究報告，揭露一波歸因於俄羅斯背景駭客組織APT28的滲透行動。S2 Grupo旗下威脅情報團隊Lab52以中度信心將此次行動歸因於該組織。APT28亦以Fancy Bear、Forest Blizzard與FROZENLAKE等名稱為外界所知。攻擊活動自去年9月持續至今年1月，鎖定西歐與中歐的特定組織及政府相關實體。</p> <p>研究團隊將此次行動命名為MacroMaze行動（Operation MacroMaze），過程中，攻擊者並未利用零時差漏洞或高度複雜的專屬惡意程式，而是運用批次檔、VBScript與簡單HTML等基本工具，搭配合法Webhook服務（如webhook[.]site）建構命令傳遞與資料外流流程，呈現出「工具簡單、流程精細」的戰術設計。</p> <p><a href="https://www.ithome.com.tw/news/174331"><strong style="font-size: 22px;">阿里巴巴發現模型訓練AI代理程式演化出挖礦等惡意行為</strong></a></p> <p>阿里巴巴研究人員發現，自己的模型在訓練代理程式時，可能在未接獲任務提示的情況下，演化出未經授權存取外部網路資源，甚至進行加密貨幣挖礦等偏差行為。該研究團隊以其代理式學習生態系統（Agentic Learning Ecosystem，ALE）基礎架構，以超過100萬個軌跡（trajectory）訓練出開源代理程式ROME（ROME is Obviously an Agentic Model）。</p> <p>但在部署某個版本時，團隊意外發現，代理程式在沒有明顯指示下做出不安全的行為，而且還突破預定的沙箱環境。當時多起行為引發阿里巴巴雲的防火牆發出嚴重警告。這些行為包括試圖存取內部網路資源，以及和加密貨幣挖礦活動一致型態的流量。</p> <p><a href="https://www.ithome.com.tw/news/174327"><strong style="font-size: 22px;">Google示警雲端攻擊加速，漏洞利用已由數週縮短到數天</strong></a></p> <p>Google Cloud發布H1 2026版《Cloud Threat Horizons Report》，指出2025下半年雲端攻擊模式明顯轉變，漏洞公開到遭積極利用的時間，已由過去數週縮短到數天。該報告由Google Cloud資訊安全長辦公室、Google威脅情報小組與Mandiant Consulting等團隊彙整，揭露攻擊者越來越傾向鎖定第三方軟體漏洞、身分憑證與雲端自動化信任鏈，企業原本仰賴人工修補與事後調查的做法，已難跟上攻擊速度。</p> <p>在Google Cloud觀察到的初始入侵案例中，第三方軟體漏洞占比已達44.5%，高於弱密碼或缺失憑證的27.2%，成為主要破口，第三方軟體漏洞首次超越憑證問題。其中，遠端程式碼執行占比由2025上半年的2.9%升至下半年的13.6%，增幅接近5倍。</p> <p><a href="https://www.ithome.com.tw/news/174308"><strong style="font-size: 22px;">公有雲儲存商Wasabi調查報告指出，超過一半企業已在資安監控應用中導入AI</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Wasabi-AI use cases-2026.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Wasabi-AI%20use%20cases-2026.png" style="width: 300px; float: right;" /></a>對於當前企業的主要AI應用型態，一般印象都會是文字、影像類型的生成式AI，或是各式各樣的AI代理（AI Agent）應用，還有應用程式開發與編寫程式碼等，不過雲端物件儲存服務商Wasabi日前公布《Wasabi全球雲端儲存指數2026》（Global Cloud Storage Index 2026）報告，卻顛覆我們刻板印象，報告中指出，目前企業導入AI技術的應用情境，比重最高的是資安監控與異常偵測領域，比重超過50%，是最高的一類，甚至超過生成式AI應用，與AI代理技術應用的比重相當。</p> <p>資安不僅是企業AI應用的核心之一，也是企業使用雲端儲存服務時關切的重點，Wasabi這份調查也顯示用戶對公有雲服務資料安全，與存取持續能力方面的需求，有44%的受訪企業表示曾因網路攻擊導致無法存取雲端資料，41%認為公有雲服務商提供的工具不足以保護其資料免受網路威脅。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/iphone-hacking-toolkit-may-have-originated-in-the-u-s/">針對已流入俄羅斯及中國駭客的iOS漏洞利用工具包Coruna，傳出源自美國的國防承包商</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.csoonline.com/article/4142600/cve-program-funding-secured-easing-fears-of-repeat-crisis.html">CISA傳出將CVE專案列為常態資助的專案，相關預算將受到保護</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/signal-confirms-sophisticated-phishing-scheme/">即時通訊軟體Signal用戶遭到針對性網路釣魚攻擊，駭客意圖挾持帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-hackers-abusing-ai-at-every-stage-of-cyberattacks/">微軟警告駭客在攻擊的各個層面廣泛濫用AI，加速攻擊及擴大活動規模</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyberpress.org/hackers-exploit-macos-and-ios-vulnerabilities/">美國CISA將3個iOS資安漏洞列入已遭利用的漏洞名單，要求聯邦機構限期完成修補</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174309"><strong>【3月10日】AI瀏覽器Perplexity Comet存在零點擊漏洞，可用於竊取檔案及挾持密碼管理工具帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174286"><strong>【3月9日】新型態社交工程手法InstallFix被用於攻擊Claude Code用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174259"><strong>【3月6日】維基百科驚傳遭到蠕蟲攻擊，4千個頁面被破壞</strong></a></p> </div></div></div>
3/11 17:30作者周峻佑https://www.ithome.com.tw/news/174339
JetBrains發表Air與Junie CLI，擴大代理式程式開發工具布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>JetBrains同日發布<a href="https://blog.jetbrains.com/air/2026/03/air-launches-as-public-preview-a-new-wave-of-dev-tooling-built-on-26-years-of-experience/">Air代理式開發環境</a>與<a href="https://blog.jetbrains.com/junie/2026/03/junie-cli-the-llm-agnostic-coding-agent-is-now-in-beta/">Junie CLI</a>，擴大代理式程式開發工具鏈，涵蓋多工具、多執行環境與多模型支援。前者是可同時調度多個程式開發代理的新環境，後者則把Junie從JetBrains IDE延伸到終端機、CI/CD流程，以及GitHub、GitLab等外部場景。</p> <p>Air為代理式開發環境，主打可在同一環境中管理多個代理任務並行執行，支援Codex、Claude Agent、Gemini CLI與Junie，且可在本機工作區、Git worktree或Docker容器中執行。JetBrains強調，Air並非要取代既有開發流程或IDE，而是把任務定義、上下文指定、審查與切換流程整合在一起，解決目前不同代理各自分散在不同工具、難以共享情境的問題。</p> <p>相較之下，Junie CLI的角色較像把JetBrains既有代理能力延伸至更廣的工具鏈。Junie CLI是可獨立運作的程式開發代理，可直接在終端機中使用，也能以非互動方式放進CI/CD程序，並介接到GitHub或GitLab流程中。Junie CLI不綁定單一大型語言模型的工具，支援OpenAI、Anthropic、Google與xAI等供應商模型，同時提供BYOK機制，讓開發團隊沿用自有模型金鑰或既有供應商帳號。</p> <p>Air處理的是多代理協作、任務隔離與審查整合，Junie CLI處理的則是單一代理在終端機、版本控制與自動化流程中的延伸使用。官方把Junie描述為從IDE原生AI走向生態系層級AI的一步，而Air則仍以個人開發者生產力為重點，後續將補強團隊協作能力。現階段Air公開預覽版可先在macOS上下載使用，Windows與Linux版本尚待推出。Junie CLI測試版目前可在Linux與Apple Silicon的macOS上運作，Windows版則需透過WSL。</p> </div></div></div>
3/11 18:17作者李建興https://www.ithome.com.tw/news/174340
川普公布「美國網路戰略」，以「六個支柱」落實美國優先，吹響數位戰鬥號角
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國白宮日前正式公布《2026年川普總統美國網路戰略》（President Trump’s CYBER STRATEGY for America），這份由總統親自署名並作序的戰略，標誌著美國網路政策的重大轉向，相較於過往偏重防禦的策略，新版戰略明確強調「主動打擊」與「美國優先」，並首度將代理式AI（Agentic AI）、後量子加密（PQC）與區塊鏈技術列為國家安全的核心技術防線。</p> <p>川普在戰略前言中強調，美國的網路能力將不再僅限於傳統的「動力（kinetic）」軍事力量，而是要透過無與倫比的「非動力」（non-kinetic）打擊能力，確保美國在網路空間的絕對優勢，讓任何企圖發動網路攻擊的對手付出慘痛代價。</p> <p>此外，在該份戰略中也指出，網路空間已成為國家競爭的重要戰場，敵對國家與網路犯罪集團持續利用網路攻擊金融、醫療、能源與供應鏈等關鍵基礎設施，美國政府將不再採取被動防禦，而是透過政府與私部門合作，主動偵測並瓦解敵對網路⾏動；並提出「六大政策支柱」（Six Policy Pillars）作為核心架構，明確強調美國將在網路空間採取更積極的國家安全行動。</p> <h2><strong>美國自詡為數位世界的源起，力保網路空間絕對優勢</strong></h2> <p>相較上一任拜登總統在2023年3月提出的《國家網路安全戰略》（National Cybersecurity Strategy），甚至是川普1.0在2018年9月提出的《國家網路戰略》（National Cyber Strategy of the United States of America），新版川普戰略不僅充滿民族主義色彩，也呈現滿滿的進攻性威懾思維。</p> <p>在前言中，特別宣示：過去的一年中，美國已經向全世界證明其擁有的軍事力量不僅是地球上最強大、最先進且最具威懾力的，而且這種優勢遙遙領先於任何競爭者，其中不僅包含壓倒性的傳統軍事力量，更涵蓋了無與倫比的「非動力性（non-kinetic）力量」。</p> <p>該戰略明確指出，最終目標則是讓「美國力量」在網路空間中真正站起來，要如何確保美國在網路空間具有絕對優勢，需要政府與私部門攜手合作，不僅要共同投資於最尖端的技術，還要持續進行世界一流的創新，以發揮美國在進攻與防禦任務中的最大網路能力。</p> <p>該份戰略文件回顧了網路空間的起源，並強調，這樣的數位世界誕生於美國，是由美國的人才、創新、研究以及強大的政府能力共同創造的動態繁榮領域，每一位美國人的資訊獲取、經濟機會及基本生活方式，都仰賴於此。。</p> <p>對於川普政府而言，網路空間是確保美國在金融、創新、新興技術、軍事力量及製造業領先全球的關鍵領域。然而，戰略也警示，網路空間的自由與安全並非理所當然，對手與網路犯罪分子正利用這一空間推進威權主義、壓制民主，並破壞美國的國家與經濟安全。</p> <p>整體而言，這份戰略與以往政府提出的戰略相比，最大的不同點在於，它拒絕採取任何「修修補補」或「部分措施」，也拋棄過往那些對日益嚴重的網路威脅所採取模棱兩可的含糊戰略。川普政府宣稱，將直接應對網路威脅，並充分發揮美國在技術、經濟、軍事以及自由表達方面的比較優勢，貫徹「美國優先」的原則，在網路空間保護所有國民免受對手對醫療、銀行、糧食供應及水處理等關鍵服務的破壞。</p> <h2><strong>解構六大政策支柱</strong></h2> <p>該份戰略也提出六大政策支柱（Six Policy Pillars）作為戰略核心，作為未來執行該戰略所需的行動與資源配置，並要求展現出前所未有的協調性、承諾與政治意志。</p> <p>「六大政策支柱」分別是：形塑對手行為（Shape Adversary Behavior）、推動合理監管（Promote Common Sense Regulation）、強化聯邦政府資安架構（Modernize and Secure Federal Government Networks）、保護關鍵基礎設施（Secure Critical Infrastructure）、維持新興科技優勢（Sustain Superiority in Critical and Emerging Technologies）和建立資安人才體系（Build Talent and Capacity）。</p> <h3><strong>第一支柱：形塑對手行為─反守為攻，主動出擊</strong></h3> <p>戰略中強調，美國公民、公司與盟友不應獨自面對複雜的軍事、情報與犯罪對手，美國將運用政府完整的網路攻防能力，提高敵對勢力發動攻擊的成本，包括追捕駭客、制裁外國駭客公司，以及瓦解網路犯罪基礎設施；同時也將與盟友合作，共同打擊跨國網路犯罪與智慧財產竊取。</p> <p>核心邏輯在於「主動出擊」，在對手突破網路系統之前就對其進行偵測、對抗與擊敗，並利用國家權力的所有工具提高其侵略成本。這也包含了打擊威權主義技術與監控國家的擴張，剷除網路犯罪基礎設施，並確保美國與盟友之間能公平分配成本與責任，共同對抗破壞民主價值的行為。</p> <p>戰略中特別點出，美國已具備摧毀跨國詐騙網路、凍結高額贓款（如最近沒收的150億美元網路詐騙金額），以及針對特定國家（如伊朗）關鍵基礎設施進行精準打擊的能力。這顯示，未來美國在網路空間的行動將更具侵略性，最終目的在透過提高攻擊成本來達成嚇阻效果</p> <h3><strong>第二支柱：推動合理監管─降低企業合規負擔</strong></h3> <p>在第二支柱中，川普政府計畫推動「合理監管（Common Sense Regulation）」，目的在精簡繁瑣的合規檢查清單，減輕企業負擔，讓私部門能更靈活地因應瞬息萬變的威脅，而非僅為了滿足法規審計。這也體現了川普政府一貫的去管制化色彩。</p> <p>美國政府認為，過度複雜的資安法規可能拖慢企業防禦能力，因此，未來將精簡資安與資料相關監管制度，在降低企業合規負擔的同時，也能維持資料隱私保護。</p> <p>值得注意的是，戰略明確強調美國人民與其數據的隱私權，認為監管應與產業全球接軌，而非成為創新的絆腳石。</p> <h3><strong>第三支柱：強化聯邦政府資安架構─加固聯邦資訊系統韌性</strong></h3> <p>在「強化聯邦政府資安架構」的戰略中，重點在於加速聯邦資訊系統的抗壓性、現代化和防禦性及韌性，實施網路安全最佳實踐、後量子加密（Post-quantum cryptography，PQC）、零信任架構（Zero-trust architecture）以及雲端轉型。</p> <p>從該戰略中也明確指出，川普政府也將致力提升網路安全在領導高層與董事會中的重要性，並利用人工智慧驅動的網路安全解決方案，在大規模範圍內防禦入侵與實施威懾。</p> <p>此外，也會利用優秀的技術與團隊，在聯邦網路系統中測試並獵捕惡意行為者，優先確保支撐軍事、情報和民營企業的「國家安全系統」（National Security Systems）的安全與韌性。</p> <p>同時呼籲建立具有競爭力的政府採購流程，消除障礙，使政府能夠購買並使用市面上最頂尖的技術。</p> <h3><strong>第四支柱：保護關鍵基礎設施─穩定國家運作根基</strong></h3> <p>為了確保國家運作的根本能夠穩定與安全，該政策支柱特別強調，要識別、排定優先順序與加固美國的關鍵基礎設施（CI），並確保其供應鏈安全。</p> <p>也就是說，川普政府將強化包括：國防關鍵基礎設施及相關供應商、私營公司、網路與服務——如能源網、金融與電信系統、資料中心、水電設施及醫院——確保資訊系統（IT）與營運技術（OT）的供應鏈安全。</p> <p>其中，最關鍵的轉向則是，美國必須降低對敵對國家技術的依賴，拒絕使用對手國家的供應商與產品，積極推廣與採用美國本土技術，以確保供應鏈的自主性。</p> <p>戰略追求的是，即便發生意外事故，也要具備快速恢復的能力，並強化州、地方、部落及領地當局的作用，發揮在國家網路安全體系中的補充作用，而非替代品。</p> <h3><strong>第五支柱：維持新興科技優勢─關注Agentic AI崛起</strong></h3> <p>為了確保美國的創新與國家知識優勢，該支柱特別強調，要建立安全的技術與供應鏈，從設計到部署都要保護使用者隱私，包括支持加密貨幣與區塊鏈技術的安全；也會推廣採用後量子加密，以確保量子運算的安全。</p> <p>關注「代理式AI」是本戰略的一大亮點。戰略指出，在人工智慧領域，美國將確保AI技術堆疊的安全，促進AI安全領域的創新；並透過實施AI賦能的網路工具來偵測、轉移與欺騙威脅者，並確保AI資料、模型與運算基礎設施的安全。</p> <p>此外，川普政府也計畫大規模部署「代理式AI」（agentic AI），能安全地擴展網路防禦與破壞的規模，並透過外交手段確保AI技術，特別是生成式AI與代理式AI，能促進創新與全球穩定。與此同時，美國也將堅決打擊那些進行審查、監視與誤導用戶的外國AI平臺。</p> <h3><strong>第六支柱：建立資安人才體系─長期網路安全實力基石</strong></h3> <p>川普總統將美國網路勞動力視為保護人民與生活方式的「戰略資產」，也是一項值得大力投資的資產，對於美國的經濟繁榮與安全至關重要。</p> <p>因此，第六支柱便是「建立資安人才體系」，川普政府計畫建立一個務實且易於獲取的管道，連結學術界、職業技術學校、企業與創投資源，建立完整的資安人才培育與招募體系，培訓現有人才並招募下一代優秀人才，來建立更具彈性的人才來源管道，並消除產業、學術界、政府與軍隊之間協作的障礙，充分發揮美國的人才優勢與獨創性，以支撐美國長期的網路安全能力。</p> <h2><strong>五大戰略特色，確保美國在網路世界的絕對優先</strong></h2> <p>綜合《2026年川普總統美國網路戰略》可以發現，川普政府與過去僅強調修補漏洞的被動姿態不同，「進攻性防禦」的轉向是第一大特色。</p> <p>新戰略中，明確要求在對手入侵前就將其擊潰，並將網路能力視為與動力軍事力量同等重要的國家武器。的國家威器。這種「主動擾亂、使其盲目」的策略，顯示美國已不再滿足於守勢，而是要透過製造真實風險來形塑對手的行為。</p> <p>其次，不管是在承平或戰爭時期，政府與私部門都必須建立全新的互動關係，以協調和因應各種網路威脅。這背後也隱含著，川普政府將美國企業視為「國力的延伸」，希望透過激勵措施，讓私部門可以參與到對抗威脅的第一線。</p> <p>這種「全政府與跨界聯動」的高度整合，涉及外交、商業、法律與行動的全面對戰，是第二大特色。</p> <p>第三大特色則是：「去管制化與經濟增長」的深度結合。這份戰略將降低監管門檻，視為增強安全手段之一，認為過於繁瑣的法規會扼殺創新，進而讓美國在技術競賽中落後。</p> <p>這種思維認為，唯有讓美國企業能夠以最快的速度創新，才能建立起最有效的數位屏障。這是一種以市場活力為動力，來解決國家安全問題的獨特路徑。</p> <p>第四大特色則是強烈的「技術主權與排他性」。戰略中多次提到，要擺脫對手國家的產品，推廣美國的技術，並打擊攜帶意識形態偏見、審查與監視功能的外國 AI與數位平臺。</p> <p>這標誌著，美國正試圖在網路空間建立一套基於自身價值的標準體系，並透過後量子加密、零信任架構等「乾淨技術」來重新定義全球數位鏈條。。</p> <p>最後，則是「對新興技術的快速軍事化應用」。該戰略中，對人工智慧、區塊鏈、後量子加密等前沿技術的描述，無不緊扣「防禦、偵測、欺騙、破壞」等作戰語彙。</p> <p>特別是提出「代理式人工智慧」的規模化部署，預示著未來的網路對抗，將演變為一種高度自動化、AI對抗AI的智慧博弈，從戰略中也可以看到，美國決心在這場競賽中，保持絕對領先優勢的決心。</p> <h2><strong>對臺灣產業帶來的三大影響</strong></h2> <p>觀察這份2026年的網路戰略，可以發現川普政府正試圖將網路空間轉變為⼀個「高風險、高代價」的戰場，美國已正式進入⼀個「AI自動化攻防」與「去監管化實戰」的新時代。</p> <p>這份《2026年川普總統美國網路戰略》對臺灣等盟友的意義在於：未來與美國的資安合作，將不再僅限於情資分享、網路攻防演練，更會涉及深入的供應鏈安全標準遵循，以及AI防禦技術的共同開發。</p> <p>對臺灣產業而言，這份戰略釋放了幾個關鍵訊號。首先，供應鏈重組壓力持續。川普第一任總統任內推動「乾淨網路」的影響力還歷歷在目，此次，美國更加強對於關鍵基礎設施供應鏈的審查，勢必比過往更加嚴格，臺灣業者如果要進入美國公部門或關鍵基礎設施相關的產業供應鏈，必須在資安合規與產地證明上，更具透明度。</p> <p>也就是說，以往某些臺灣業者習慣性拿「中國」產品「掛自家品牌」的作為，光是在產地證明上「洗白」就會是一大挑戰。</p> <p>其次，AI資安成為顯學。隨著「代理式AI」被川普政府列為國家級⼯具，未來的資安攻防戰，將直接演變為「AI對抗AI」的速度戰，企業在資安設備的投資上，勢必得朝向自動化與AI化轉型。</p> <p>第三，PQC轉型迫在眉睫。從該份戰略中可以發現，隨著美國政府將領頭實施後量子加密，相關技術標準與軟硬體更新，將會成為未來三到五年的產業升級重點。</p> <p>臺灣政府雖然有數位發展部數位產業署公布「後量子密碼遷移指引」，以推動臺灣產業達成「PQC Ready」的目標，但在美國政府帶頭往前衝的情況下，PQC相關技術與標準的演變速度勢必加快，臺灣產業轉型因應速度能否跟得上，值得後續持續關注。</p> </div></div></div>
3/11 16:36作者黃彥棻https://www.ithome.com.tw/news/174338
微軟向法院提交意見書聲援Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.465515/gov.uscourts.cand.465515.34.1.pdf" target="_blank">微軟近日</a>向美國加州北區聯邦地方法院提交法庭之友（Amicus Curiae Brief）意見書，支持人工智慧公司Anthropic所提出的臨時限制令（Temporary Restraining Order，TRO）請求，要求暫時阻止美國國防部將其列為供應鏈風險（Supply Chain Risk，SCR）。</p> <p>Anthropic日前<a href="https://www.ithome.com.tw/news/174295" target="_blank">狀告美國國防部</a>，指控政府因雙方對AI使用限制的分歧，而將該公司列為國防供應鏈風險。根據政府決定，聯邦機構將在6個月內逐步停止使用Anthropic技術，但相關標記已立即影響與Anthropic合作的政府承包商與科技公司。</p> <p>微軟於意見書中表示，與Anthropic具有合作關係，亦將Anthropic的AI技術整合到提供給政府與企業客戶的產品與服務中。因此，若相關決定立即生效，微軟與其他政府承包商可能需要迅速修改產品架構、調整政府合約，甚至重建部分AI系統，可能對美軍目前使用的技術能力造成影響。</p> <p>微軟指出，美國國防部本身已允許政府機構在6個月內逐步停止使用Anthropic服務，顯示即使政策維持不變，也需要時間進行技術轉換。然而，目前的供應鏈風險標記卻立即適用於合作企業，可能導致政府承包商必須在短時間內調整系統與產品配置。微軟因此主張，法院應暫時阻止該決定實施，以維持現狀並讓政府與Anthropic有時間尋求談判解決方案。</p> <p>值得注意的是，在微軟提交意見書之前，<a href="https://www.courtlistener.com/docket/72379655/24/1/anthropic-pbc-v-us-department-of-war/" target="_blank">來自OpenAI與Google</a>的多名AI研究員也曾以個人身分向法院提交法庭之友意見書。該文件主要從AI安全與公共政策角度出發，指出Anthropic對AI用途設定的限制在技術社群中具有合理性，並警告若AI被用於國內大規模監控或完全自主武器系統，可能對民主治理與公共安全帶來風險。</p> <p>兩份意見書的立場大致一致，皆支持暫時阻止政府的供應鏈風險決定，但關注重點有所不同。微軟的文件主要聚焦於政府採購與產業供應鏈的實務影響，強調禁令可能衝擊政府承包商與美軍技術部署；而OpenAI與Google研究員的文件則更側重AI治理與技術風險，主張需要為高風險AI用途設立安全護欄。</p> </div></div></div>
3/11 14:20作者陳曉莉https://www.ithome.com.tw/news/174332
AI網路攻擊來襲:企業如何建立智慧化資安防護網
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seminar/0311-di_yi_xian_-bannerti_xing_v1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-conf-date field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">3/25(三) 15:00-15:30</div></div></div><div class="field field-name-field-conf-site field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="http://marketing.go.dyxnet.com/2026/dyxsecuritywebinar/registration" target="_blank">第一線資訊科技線上研討會「AI網路攻擊來襲: 企業如何建立智慧化資安防護網」</a></div></div></div><div class="field field-name-field-conf-register field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="http://marketing.go.dyxnet.com/2026/dyxsecuritywebinar/registration" target="_blank">線上報名</a></div></div></div><div class="field field-name-field-conf-type field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/ithome%E7%A0%94%E8%A8%8E%E6%9C%83">iThome研討會</a></div></div></div><div class="field field-name-field-conf-summary field-type-text-long field-label-hidden"><div class="field-items"><div class="field-item even">AI 不只改變產業，也正在改變網路攻擊的方式。駭客開始運用 AI 發動更快速、更精準的攻擊，企業的資安防禦正面臨全新的挑戰。面對不斷升級的威脅環境，企業該如何提前部署防禦策略，確保營運安全？本次線上研討會將帶您了解 AI 時代的最新資安威脅趨勢，並分享企業如何透過 SASE 架構與 SOC 安全監控服務，打造更全面的資安防護能力。立即報名參加，一同掌握 AI 時代企業資安防禦的關鍵策略。</div></div></div>
3/11 14:34未署名https://www.ithome.com.tw/seminar/ai網路攻擊來襲企業如何建立智慧化資安防護網
Google示警雲端攻擊加速，漏洞利用已由數周縮短到數天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google Cloud發布<a href="https://services.google.com/fh/files/misc/cloud_threat_horizons_report_h12026.pdf">H1 2026版《Cloud Threat Horizons Report》</a>，指出2025下半年雲端攻擊模式明顯轉變，漏洞公開到遭積極利用的時間，已由過去數周縮短到數天。該報告由Google Cloud資訊安全長辦公室、Google威脅情報小組與Mandiant Consulting等團隊彙整，揭露攻擊者越來越傾向鎖定第三方軟體漏洞、身分憑證與雲端自動化信任鏈，企業原本仰賴人工修補與事後調查的做法，已難跟上攻擊速度。</p> <p>在Google Cloud觀察到的初始入侵案例中，第三方軟體漏洞占比已達44.5%，高於弱密碼或缺失憑證的27.2%，成為主要入口，研究人員強調，第三方軟體漏洞首次超越憑證問題。其中，遠端程式碼執行占比由2025上半年的2.9%升至下半年的13.6%，增幅接近5倍。Google並舉例指出，部分漏洞在公開後約48小時內，就已被用來部署加密貨幣挖礦程式，顯示出攻擊者利用公開漏洞的時間差正在快速縮小。</p> <p>除了漏洞利用加速之外，報告另一個重要重點是身分相關攻擊升溫。依據Mandiant在2025下半年處理的重大雲端與SaaS事件，83%案件與身分問題有關，73%事件的主要目標是資料竊取。報告並指出，17%案例涉及語音社交工程。攻擊者一方面冒充員工，誘使IT服務臺重設帳密或調整多因素驗證設定，另一方面也會冒充IT服務臺，引導受害者授權合法工具，並藉由看似正常的帳號與API操作進行大規模資料外洩。</p> <p>研究人員還點出，新的攻擊鏈已延伸到CI/CD流程與Kubernetes工作負載。Google揭露一宗由Mandiant處理的事件，攻擊者先透過遭竄改的NPM套件竊取開發者GitHub權杖，再濫用GitHub與AWS之間的OpenID Connect信任關係，在72小時內取得完整雲端管理權限，進一步竊取S3資料並破壞正式環境。</p> <p>另一個案例則是北韓相關駭客組織UNC4899，從受害者工作站橫向移動到Google Cloud環境，修改Kubernetes部署、竊取高權限服務帳號權杖，之後透過Cloud SQL Auth Proxy存取正式資料庫，重設高價值帳號的密碼與MFA種子，最終竊取數百萬美元等值加密貨幣。</p> <p>當公開漏洞從揭露到遭大規模利用的時間已由數周縮短到數天，Google認為，企業若仍依賴人工盤點、逐步修補與事後調查，會慢於攻擊者，因此認為修補、防護、日誌保全與事件回應需進一步自動化。</p> </div></div></div>
3/11 14:45作者李建興https://www.ithome.com.tw/news/174327
HIMSS執行長Hal Wolf：醫療AI進入醫院營運實戰、護理師是AI落地關鍵角色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過去，醫療AI多聚焦臨床應用，但現在，AI在醫療營運場景更受重視，也成為今年度HIMSS醫療科技年會現場的焦點。<a href="https://www.healthcareitnews.com/news/himss-ceo-real-value-ai-requires-process-and-workforce-changes">根據HIMSS旗下媒體揭露</a>，HIMSS總裁暨執行長Hal Wolf在3月10日的主題演講中指出，AI正從實驗階段轉向醫院內部的營運實戰，例如用來改善床位利用率、人力配置與供應鏈管理等。他也強調，AI的落地重點在於同步改造流程，護理師則是落地的關鍵角色。放眼未來，他看好醫療AI推動的資料互通架構，這種架構的成熟，將打破孤島式創新。</p> <h2><strong>什麼是HIMSS？全球醫療數位轉型的風向球</strong></h2> <p>HIMSS全名為美國醫療資訊暨管理系統協會，是全球最具影響力的醫療科技組織。他們每年舉辦的年會（HIMSS Global Health Conference & Exhibition）就像是醫療界CES，匯聚全球各國衛生官員、醫院高層、資訊長（CIO）和科技巨頭與新創齊聚一堂，發表最新的數位醫療標準、應用和技術趨勢。每年HIMSS大會釋出的訊號，都成為全球醫院IT預算走向的參考。</p> <h2><strong>醫療AI最有效益之處是改善營運</strong></h2> <p>Hal Wolf指出，若從醫院營運角度來看，AI目前最成熟的應用仍集中在效率提升，例如優化病床利用率、供應鏈管理和醫護人力配置等。</p> <p>而且，醫療AI的導入速度，在這幾年也有明顯變化。</p> <p>比如4年前，多數醫療機構仍停留在小規模實驗階段，主要以概念驗證（PoC）為主。到了2年前，把AI部署到正式營運環境中的醫療機構，甚至不到5%。但現在，AI已成為企業級醫療平臺標配的內建功能，採用速度大幅加快。</p> <h2><strong>AI落地重點是流程改造，護理師也是關鍵角色</strong></h2> <p>儘管導入速度加快，Hal Wolf強調，AI並不是解決醫院結構性問題的特效藥。</p> <p>他指出，許多數位轉型計畫之所以失敗，是因為醫院「只買技術，不改流程。」如果投資軟體卻不重新設計工作流程、不調整組織架構，技術就無法發揮應有的價值。</p> <p>同時，數據治理也是核心議題。尤其在工具上線前，醫院必須透過嚴格的治理審查和品質檢驗，才能發揮效益。</p> <p>另一方面，護理師成為Hal Wolf特別點的關鍵角色。他認為，護理師站在臨床第一線，與病人接觸最深，也最了解臨床系統的運作。</p> <p>因此在開發數位工具時，護理師的參與至關重要，需要靠他們提供最貼近臨床現場需求的回饋，才能協助醫療機構打造能落地的系統。</p> <h2><strong>AI推動資料互通，打破孤島式創新</strong></h2> <p>展望未來，Hal Wolf對AI帶來的資料互通性（Interoperability）感到樂觀。過去，數位醫療工具常陷入解決單一問題、卻無法與其他系統互通的困境，但現在，AI如火如荼發展，催生出不少資料整合與互通架構。隨著這些架構的成熟，不同系統的串接變得更容易，數位醫療創新的擴散速度也將加快。</p> <p>「醫療業沒有一件事是容易的，」Hal Wolf最後總結：「數位轉型的核心在於教育人員，並讓他們在第二天做出更好的決策。只要我們做到這點，醫療體系、醫護人員和患者三者皆贏。」</p> <p></p> <div id="gtx-trans" style="position: absolute; left: 688px; top: -5.33333px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
3/11 14:51作者王若樸https://www.ithome.com.tw/news/174334
Fortinet防火牆單一登入漏洞遭利用，攻擊者竊取服務帳號憑證、網路組態設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>攻擊者鎖定Fortinet防火牆設備FortiGate下手，藉此取得受害組織內部網路環境的存取管道，<strong><a href="https://www.ithome.com.tw/news/173996">最近一起事故</a></strong>是駭客透過AI策畫攻擊行動，並生成所需惡意程式，鎖定組態配置不當的FortiGate防火牆下手，然而，近日該公司修補的重大漏洞，再傳被用於攻擊活動，企業組織應提高警覺。</p> <p>資安公司SentinelOne近日揭露多起入侵事件，<strong><a href="https://www.sentinelone.com/blog/fortigate-edge-intrusions/">攻擊者從2025年11月開始</a></strong>，利用資安漏洞滲透FortiGate設備，取得存取內部網路環境的入口，進而竊取服務帳號與系統設定檔，最終深入企業內部的AD環境，並部署遠端管理工具。</p> <p>攻擊者主要利用多個Fortinet單一登入（SSO）漏洞，包括<strong><a href="https://www.ithome.com.tw/news/173629">CVE-2025-59718與CVE-2025-59719</a></strong>，這些漏洞源於系統未正確驗證加密簽章，使未經驗證的攻擊者能透過特製的SSO權杖（Token）取得管理員存取權限。此外，另一項漏洞<strong><a href="https://www.ithome.com.tw/news/173629">CVE-2026-24858</a></strong>也可能被利用，使攻擊者能透過自己的FortiCloud帳號登入受害設備。</p> <p>一旦成功存取FortiGate設備，攻擊者會執行特定指令匯出設備設定檔。由於FortiOS的設定檔採用可逆加密方式（reversible form of encryption）儲存，攻擊者可從中解析出系統服務帳號與網路拓撲資訊，進而取得進一步入侵企業環境所需的憑證。</p> <p>在其中一起事件中，攻擊者利用取得的服務帳號權限連線至企業網路，濫用AD組態設定將兩臺惡意工作站加入網域。該設定預設允許一般帳號將最多10臺電腦加入網域，使攻擊者得以在較少安全限制下進一步滲透企業環境。</p> <p>SentinelOne表示，攻擊者接著在網路內部進行掃描與帳密噴灑攻擊，試圖取得更多帳號存取權限。安全監控系統也觀察到大量登入失敗記錄，顯示攻擊者正嘗試透過暴力破解方式取得更多憑證。</p> <p>在另一起事故裡，攻擊者入侵FortiGate設備後建立名為「ssl-admin」的本機管理帳號，隨後利用取得的網域管理員帳密登入多臺伺服器。研究人員指出，攻擊者在登入後部署遠端監控與管理（RMM）工具，例如Pulseway與MeshAgent，以維持持續存取權限。</p> <p>攻擊者同時利用雲端儲存服務下載惡意程式，這些服務包括Google Cloud Storage與Amazon S3，並將惡意DLL偽裝為Java元件，以DLL側載手法執行惡意程式。這些程式隨後與外部惡意網域通訊，並透過PsExec在網路內橫向移動，對網域控制器（DC）發動攻擊。</p> </div></div></div>
3/11 14:56作者周峻佑https://www.ithome.com.tw/news/174335
殭屍網路KadNap入侵華碩路由器與其他邊緣裝置，提供固定代理伺服器服務供網路罪犯運用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客架設殭屍網路綁架物聯網裝置及邊緣設備的情況，不時有事故傳出，其中又以多次發動超大規模DDoS攻擊的Kimwolf和Aisuru最受關注。不過，最近有一個新的殭屍網路出現，主要標的是臺廠的網路設備而成為焦點。</p> <p>電信公司Lumen旗下的威脅研究團隊Black Lotus指出，<strong><a href="https://blog.lumen.com/silence-of-the-hops-the-kadnap-botnet/">他們自2025年8月開始偵測到殭屍網路KadNap的活動</a></strong>，至今已觀察到超過1.4萬臺受感染設備，其中被針對的主要目標是華碩路由器。受害裝置分布於多個國家，其中美國約有六成最多，但Lumen特別提及，臺灣、香港、俄羅斯受害裝置數量居次，各約占5%，若以此比例換算，臺灣約有700臺設備被綁架。</p> <p><a href="https://s4.itho.me/sites/default/files/images/img-bll-blog-crimeware-body-image-12.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/img-bll-blog-crimeware-body-image-12.jpg" style="width: 580px;" /></a></p> <p>KadNap主要感染路由器等邊緣網路設備，並將其轉換為代理伺服器節點，供犯罪集團轉送惡意流量。這些節點可能被用於發動密碼噴灑、暴力破解、分散式阻斷服務（DDoS）攻擊，以及其他入侵行動，使攻擊流量看起來像是來自一般家用或企業網路。</p> <p>與多數殭屍網路不同，KadNap採用改造版的Kademlia分散式雜湊表（Distributed Hash Table，DHT）機制，建立點對點（P2P）通訊架構。受感染設備會在BitTorrent網路中搜尋其他節點，從而取得C2資訊。由於相關基礎設施架構分散於P2P網路，使得防禦方難以透過封鎖單一C2伺服器來中斷整體殭屍網路。</p> <p>KadNap在成功感染受害裝置後，會先取得設備的外部IP位址，並向多個NTP時間伺服器查詢時間資訊，產生特殊雜湊值來尋找其他感染節點。接著，裝置會透過Kademlia DHT機制搜尋同樣遭感染的節點，取得進一步的指令，或下載其他惡意元件。</p> <p>雖然KadNap使用去中心化的P2P架構，但Lumen仍觀察到受感染裝置在連線至最終C2伺服器前，通常會先接觸兩個固定節點，因此Lumen推測，這些可能是駭客維持控制權的重要基礎設施。</p> <p>根據進一步調查與網路犯罪生態之間的關聯，KadNap殭屍網路與名為Doppelganger的代理伺服器服務有業務往來。該服務會將受感染設備的IP位址作為固定代理伺服器（Residential Proxy），供犯罪集團隱匿攻擊來源。而對於Doppelganger的來歷，Lumen認為，經營這項服務的人馬過往曾提供名為Faceless的服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/img-bll-blog-crimeware-body-image-13.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/img-bll-blog-crimeware-body-image-13.jpg" style="width: 580px;" /></a></p> </div></div></div>
3/11 12:51作者周峻佑https://www.ithome.com.tw/news/174328
Google Gemini加入生產力套件，能從郵件、檔案、網頁抓資料生成文件、簡報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/products-and-platforms/products/workspace/gemini-workspace-updates-march-2026/" target="_blank">Google周二（3/10）宣布</a>為生產力套件包括Docs、Sheets與Slides及雲端硬碟Drive整合Gemini，幫助使用者快速整合多種資料來源並製作精美的文件、試算表與簡報檔。</p> <p>現在這項功能已以beta版本提供給Google AI Ultra及Pro訂閱用戶。Google Docs/ Sheets/Slides已全球支援英文互動，Google Drive則先在美國上線。</p> <p>用戶可以在應用程式的側邊欄、或是Google新增底部列顯示的Gemini對話框，輸入想要Gemini做什麼事，以啟動執行任務。這些程式中的Gemini可從檔案、電子郵件和網頁蒐集相關資訊並依據用戶提示，從零生成內容和格式完整的文件、簡報或試算表。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0311-Gemini%20in%20Google%20Workspace-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>例如Gemini in Docs可以擷取Gmail中的機票、訂房和租車紀錄，生成一份旅行行程，用戶也可以在Sheets中填好欲申請的大學與項目後，讓Gemini整合檔案中的資料、由Google Search補齊並在試算表中填入大學的截止日、學費等等，或是根據里民大會會議紀錄及未來活動清單草擬電子報。用戶還能要求Gemini進行微調，修正語氣、格式、色彩等細項。Google預告不久後將推出由單一提示生成整個Slides簡報的功能。</p> <p>在Gemini整合進Google Drive後，用戶欲搜尋某些資訊時，Gemini會在Drive上方展示AI概覽（AI Overview）提供檔案相關資訊的摘要，遇複雜問題，例如退稅問題，用戶也可以直接詢問Gemini請它以實際資料回答。</p> <p><a href="https://www.ithome.com.tw/news/174303" target="_blank">微軟本周稍早也公布</a>Microsoft 365結合Anthropic的Claude Cowork，強調跨Outlook、Teams、Excel與其他Microsoft 365服務執行多步驟工作，以代理人提升用戶生產力。</p> </div></div></div>
3/11 13:34作者林妍溱https://www.ithome.com.tw/news/174329
圖靈獎得主Yann LeCun成立的AMI完成10.3億美元融資，推動世界模型AI系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>人工智慧新創Advanced Machine Intelligence<a href="https://amilabs.xyz/updates" target="_blank">（AMI）周二（3/10）宣布完成</a>10.3億美元融資（約8.9億歐元），由Cathay Innovation、Greycroft、Hiro Capital、HV Capital與Bezos Expeditions共同領投。AMI表示，這筆資金將用於開發以世界模型（World Models）為核心的新一代AI系統，目標是打造能理解現實世界、具備記憶、推理與規畫能力的通用智慧系統。</p> <p>AMI指出，其研究方向是開發能理解環境並長期累積知識的AI系統。這類系統除了可處理資料，也能建立持久記憶（Persistent Memory），並透過推理與規畫來完成複雜任務，同時確保系統可控制且安全。AMI認為，這種以世界模型為核心的架構，是邁向通用人工智慧的重要技術路徑。</p> <p>本輪融資吸引多家全球投資機構與科技產業人士參與。除領投機構外，投資人還包括Toyota Ventures、Temasek、Nvidia、Sea、Alpha Intelligence Capital與New Legacy Ventures等策略投資人，以及Mark Cuban、Eric Schmidt與Tim Berners-Lee等科技界人士。三星、Publicis Groupe與Bpifrance Digital Venture等機構也參與本輪投資。</p> <p>根據外電報導，AMI融資前的估值約為35億美元。AMI自成立之初即採跨國研究模式，目前團隊分布於巴黎、紐約、蒙特婁與新加坡。未來將持續擴大研究與工程團隊，以推動世界模型AI系統的開發與應用。</p> <p>AMI是由圖靈獎得主Yann LeCun所推動的AI研究與創業計畫。LeCun是卷積神經網路（Convolutional Neural Network，CNN）的重要奠基者之一，曾創立Meta基礎AI研究（FAIR）並長期擔任AI科學長。2025年他宣布離開Meta，成立AMI Labs，延續其多年來推動的先進機器智慧（Advanced Machine Intelligence）研究。</p> <p>LeCun近年持續倡議世界模型概念，認為下一代AI應能理解物理世界並進行長期推理，而不僅是生成文字或影像。隨著生成式AI快速發展，多位AI科學家也陸續成立新創公司發展下一代AI技術，例如前OpenAI技術長Mira Murati創辦<a href="https://www.ithome.com.tw/news/171481" target="_blank">Thinking Machines Lab</a>，OpenAI共同創辦人Ilya Sutskever成立<a href="https://www.ithome.com.tw/news/163560" target="_blank">Safe Superintelligence</a>，以及李飛飛所創立、研究空間智慧的<a href="https://www.ithome.com.tw/news/173979" target="_blank">World Labs</a>。</p> </div></div></div>
3/11 13:53作者陳曉莉https://www.ithome.com.tw/news/174330