iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 17篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

法國計畫將部份公部門Windows電腦改成Linux，使用開源IT軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.numerique.gouv.fr/sinformer/espace-presse/souverainete-numerique-reduction-dependances-extra-europeennes/" target="_blank">法國政府上週宣布</a>，為減少在資訊科技對美國科技公司的依賴，計畫將政府特定部門工作站由Windows改成Linux，也將改用非美國公司開發的數位工具。</p> <p>在法國總理近期發布指示下，跨部會數位總局（DINUM）上週與法國企業總局（DGE）、國家資訊系統安全局（ANSSI）及國家採購總局（DAE）舉行跨部會會議，以確保數位主權。法國政府計畫結合各部會、大型公共營運機構及民間企業資源，推動使用開源碼與互通標準（如Open-Interop、OpenBuro等），減少對非歐洲技術的依賴。</p> <p>這是法國推動數位主權的最新宣布。一月<a href="https://www.ithome.com.tw/news/173633" target="_blank">法國宣布</a>在2027年前，於所有國家機關全面以Visio取代微軟Teams和其他美國視訊工具如、Zoom、GoTo Meeting或Webex等。</p> <p>在此大目標下，DINUM也將於6月協調一項跨部會計畫。每個部會（包括其所屬機構）須在秋季前制定自身計畫，涵蓋工作站、協作工具、防毒系統、人工智慧、資料庫、虛擬化與網路設備，以確保可供國家採購。</p> <p>公務機關工作站方面，DINUM已宣布將淘汰Windows，改用Linux-based工作站。在其他單位中，則有法國國家健保基金（NHF）本月初宣布8萬名員工遷移至法國開發的工具，如即時通訊工具Tchap、視訊會議工具Visio及大檔案傳輸工具FranceTransfert。上個月法國政府也宣布將在2026年底前，將法國健康資料平臺搬移到「可信賴」解決方案。</p> <p>Tchap、Visio和FranceTransfert是<a href="https://beta.gouv.fr/startups/suite-numerique.html" target="_blank">DINUM開發</a>的法國主權生產力套件La Suite的一部份。其他還包含檔案協同平臺Fichiers、語音會議軟體Audioconf、郵件及同步平臺Messagerie＋OpenExchange等。整個平臺架在法國IT業者Dassault子公司Outscale的基礎架構上。到2026年4月，La Suite已有法國政府用戶超過4萬人試用過。</p> <p>不過法國政府並未指定使用哪個發行版Linux，而各部會也可以自由選擇升級方法。</p> <p>法國政府IT遷移行動反映在美國總統川普上任後，尤其是去年強徵關稅，歐洲感到數位自主的重要性。除了法國外，<a href="https://www.theregister.com/2025/10/15/schleswig_holstein_open_source/" target="_blank">德國</a>北部Schleswig-Holstein省也於去年宣布計畫換掉微軟Exchange Server和Outlook，改用Open-Xchange和Mozilla Thunderbird，涉及4萬帳號。</p> </div></div></div>
4/13 08:47作者林妍溱https://www.ithome.com.tw/news/175000
微軟簡化Windows Insider方案，使頻道轉換及功能取得更為簡便
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟持續改進Windows用戶的觀感，本週針對正式版Windows Insider方案（Windows Insider Program,WIP）<a href="https://blogs.windows.com/windows-insider/2026/04/10/improving-your-windows-insider-experience/" target="_blank">宣布多項變革</a>，包括合併Canary和Dev頻道、以更簡明方式顯示新功能，以及讓使用者更容易在不同頻道切換。</p> <p>微軟幾個月前和Windows Insider社群互動蒐集使用者意見，歸結有二大點抱怨，一是使用者不知該加入哪個頻道，以及加入後不容易轉換頻道。二是使用者難以找到微軟新釋出的功能。</p> <p><strong>合併Canary、Dev為Experimental頻道</strong></p> <p>微軟宣布多項措施來解決上述問題。首先，微軟將整合Beta前的Canary和Dev頻道為新的Experimental（實驗）頻道，這命名意味著其中的Windows功能可能改變、延遲或取消。而Beta和Release Preview頻道命名則維持不變。</p> <p>大部份使用者就是在Beta或「Experimental/實驗」頻道之間選擇切入，但是針對想更深入的用戶，微軟將加入進階選項以選擇和硬體相容的Windows核心版本。大部份用戶會在25H2或26H1中看到這進階選項。此外，「Experimental」頻道未來也會加入「Future Platforms」選項，提供給想搶先了解Windows新功能的用戶，這將是Windows最早的預覽版。不過它和零售版Windows並沒有對齊，之後轉換較麻煩，微軟建議只是想使用新功能的人不要安裝這個版本。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0413-Future%20Platforms.png" style="width: 450px;" /></p> <p>一直以來使用者常找不到Windows中的功能，許多人會用開源命令列工具Vive Tool來解鎖、啟用或停用Windows 10/11系統中隱藏的實驗性功能（A/B功能）。針對Insider用戶找不到新功能的問題，微軟解釋這是受控功能部署（controlled feature rollout）的緣故，是為了降低新功能衝擊的產業標準作法。</p> <p><strong>加速尋找新功能</strong></p> <p>為了解決用戶困擾，微軟部署了二個新措施。其一，Beta版雖然命名不變，但Beta版新功能將不再以多個版本漸次部署，以免使用者得知某功能卻找不到；未來微軟宣布某個功能包含在Beta釋出，使用者就一定能找到，只是新功能各版本會略有不同。第二項措施是在「Experimental」版「設定」中加入新的「功能（Feature）」flag頁，讓使用者可以開、關特定功能。這一頁只會顯示較大的新功能，而像修補程式和系統更新就不會出現在這。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0413-windows%20insider-Feature%20flags.png" style="width: 450px;" /></p> <p><strong>簡化頻道轉換</strong></p> <p>用戶對Windows測試版的另一抱怨是想離開Insider方案，或只是想加入其他頻道，都需要刪除PC軟體，再全新安裝（clean install）Windows，非常不方便。為此，微軟做了底層變更，讓Insider版本可以用就地升級（in-place upgrade，IPU）工具在同一Windows核心的Experimental、Beta和Release Preview頻道間轉換，但不必全新安裝。微軟說IPU只比普通升級耗時稍久一點。</p> <p>但由於Experimental Future Platforms和零售版不對齊，因此轉換到其他頻道或推出Insider方案仍然需要全新安裝。</p> <p>最後，微軟也改版了Windows Insider Program設定頁，使其下載更快，版面更清爽，簡化用戶步驟和重開機次數。</p> <p>上個月，微軟也為了回應用戶批評微軟Copilot塞進Windows的作法，<a href="https://www.ithome.com.tw/news/174574" target="_blank">發表</a>改善Windows 11品質的措施，包括縮減Copilot在Windows整合幅度、減少Windows Update帶來的干擾、以及提供最多人想要的垂直工作列。</p> </div></div></div>
4/13 08:57作者林妍溱https://www.ithome.com.tw/news/175001
Gmail全程加密擴展到企業客戶的Android、iOS App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在桌機版推出2年後，<a href="https://workspaceupdates.googleblog.com/2026/04/gmail-end-to-end-encryption-now-available-on-mobile-devices.html" target="_blank">Google上週宣布</a>將Gmail全程加密（end-to-end encryption，E2EE）由桌機版推向Android和iOS裝置。不過能享受者僅限訂閱付費版Workspace的企業用戶。</p> <p>Google首先在2025年4月透過Workspace方案，為桌機版Gmail<a href="https://www.ithome.com.tw/news/168220" target="_blank">加入</a>S/MIME全程加密。現在Google將這項功能透過Workspace Enterprise Plus with Assured Controls版本，或是Assured Controls Plus擴充程式，推向Android及iOS手機上的Gmail用戶端加密（client-side encryption，CSE）功能。</p> <p>在此之後，用戶就可以在手機版Gmail App原生讀寫E2EE加密訊息，不需額外下載其他App或使用郵件入口網站。具有E2EE授權的用戶可以撰寫並發送加密的信件給任何用戶，不論對方有沒有Gmail。如果收件者有Gmail App，可以像平常一樣收取信件。若他們沒有Gmail App，也可以在既有瀏覽器上收信並回覆，不論是用哪種裝置或是不是用Gmail。這項新功能結合加密技術及友善介面，讓所有小型企業、大型企業、或是公部門用戶都能簡單上手安全收、發信件。</p> <p>現在手機版Gmail全程加密功能已提供給Workspace企業用戶。管理員須在CSE管理員介面啟用Android和iOS用戶端。而終端用戶若想在任何訊息加入用戶端加密，需先點選Gmail介面的鎖頭圖示、選擇額外加密。之後就能像平常一樣寫郵件和增加附件。</p> <p>Google未說明全程加密功能會不會推向消費版或免費版本。以主要郵件程式（如Gmail、Outlook及Apple iMessage）來看，Gmail是唯一原生支援的服務。蘋果Apple Mail和微軟Outlook都內建S/MIME，但蘋果用戶需要自行申請數位憑證，微軟Outlook與Apple Mail類似，需要依賴企業內部的Microsoft Purview或是個人自行申請S/MIME憑證。一般個人用戶也尚沒有「一鍵加密」的原生功能。若看通訊程式，Meta WhatsApp以支援E2EE聞名。Google Messages（簡訊/RCS）及Apple iMessage完全原生支援E2EE。微軟Teams則只有1對1語音通話原生支援（文字通訊沒有）。</p> </div></div></div>
4/13 09:19作者林妍溱https://www.ithome.com.tw/news/175002
Adobe揭露與修補Acrobat Reader零時差漏洞，建議用戶72小時內完成更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">本週二Acrobat Reader爆出<strong><a href="https://www.ithome.com.tw/news/174963">零時差漏洞</a></strong>的消息，<strong><a href="https://pub.expmon.com/">資安漏洞濫用偵測系統EXPMON</a></strong>的創辦人李海飛（Haifei Li）表示，他發現鎖定這套軟體平臺的PDF漏洞濫用攻擊，當中利用Adobe尚未揭露與修補的漏洞，而且在Adobe Reader的最新版本26.00121367，仍然有效，隔天又有人向其回報新的變種攻擊樣本，並確認該樣本去年底就出現在線上資安檢測服務VirusTotal，顯示此項漏洞濫用威脅已持續4個月以上，引發資安界關注。</p> <p style="margin-left:.05pt;">4月11日Adobe發布<strong><a href="https://www.adobe.com/devnet-docs/acrobatetk/tools/ReleaseNotesDC/index.html">預先排定計畫的Acrobat Reader安全性修補公告</a></strong>，揭露漏洞編號為CVE-2026-34621，CVSS嚴重度評分為9.6分，屬於重大漏洞，問題出在對物件原型屬性的修改管理不當，被歸類為原型汙染（Prototype Pollution）類型的弱點，影響的產品包括早於26.001.21367版的 Acrobat DC與Acrobat Reader DC，以及早於24.001.30356版的Acrobat 2024。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Adobe Acroba Reader Vulnerability Details-2026-04-11.png"><img alt="" src="/sites/default/files/images/Adobe%20Acroba%20Reader%20Vulnerability%20Details-2026-04-11.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">值得注意的是，在這份編號為APSB26-43的公告中，Adobe警告CVE-2026-34621已經廣泛遭到濫用，並在最後註明此漏洞的通報與修補合作對象正是Haifei Li與EXPMON，間接證實CVE-2026-34621就是本週受熱議的Acrobat Reader零時差漏洞，李海飛也在職場社群網站<strong><a href="https://www.linkedin.com/posts/haifeili_adobe-security-bulletin-activity-7448748671820775424-SR5N?utm_source=share&utm_medium=member_desktop&rcm=ACoAABO49rEB_XcR5tLyq9lkQKvasoroFrBEYzI">LinkedIn貼文</a></strong>確認此事。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Adobe Acrobat Reader-Update Before.jpg"><img alt="" src="/sites/default/files/images/Adobe%20Acrobat%20Reader-Update%20Before.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">若要修補這個漏洞，Acrobat DC與Acrobat Reader DC須更新至26.001.21411版，Acrobat 2024的Windows版本須更新至24.001.30362版，macOS版本須更新至24.001.30360版。值得注意的是，Adobe將此次安全性更新優先度定為第一級，建議系統管理者在72小時內完成。若是一般使用者，可在電腦開啟Acrobat或Acrobat Reader主選單的說明，選取「檢查更新」，即可進行相關程序。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Adobe Acrobat Reader-Update After.jpg"><img alt="" src="/sites/default/files/images/Adobe%20Acrobat%20Reader-Update%20After.jpg" style="width: 600px;" /></a></p> </div></div></div>
4/12 01:30作者李宗翰https://www.ithome.com.tw/news/174998
攔阻影子AI有道！SailPoint提供基於瀏覽器外掛的企業管理框架
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/sair_dashboard_screenshot-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了提高工作效率，越來越多人在企業管理的環境當中，使用各種生成式AI服務，然而，也因此經常發生所謂的「影子AI」，也就是員工未獲得IT部門的許可而擅自使用AI，由於資安人員無法知曉他們如何與AI平臺互動，導致出現管理的盲點與失去狀態掌控的能力，針對這樣的管理需求，專攻身分治理解決方案的資安廠商SailPoint，<strong><a href="https://www.sailpoint.com/press-releases/sailpoint-launches-shadow-ai-remediation">今年3月下半宣布推出SailPoint Shadow AI Remediation（SAIR）</a></strong>，提供即時AI治理與安全性框架，因應員工未經授權使用AI工具的行為，提供持續探查、監督與防護機制，協助緩解AI應用急速成長帶來的安全性與法規遵循風險。</p> <p>在防護架構上，SAIR提供多個層級的處理，一是身分平臺（Identity provider，IdP）的連接與整合，能夠凸顯身分驅動的存取與AI的採用狀況；一是部署至各種端點設備的瀏覽器外掛或延伸套件（plugins / extensions），以便更就近偵測實際的AI應用模式、已安裝的AI平臺瀏覽器外掛、與多種AI服務的互動狀況；綜整身分、應用系統、端點等環境的資訊，建立統一的AI用量資產概觀。</p> <p>因此，基於上述組成方式，SAIR能識別多個面向的AI使用狀況。在身分平臺的整合上，SAIR透過單一登入整合（SSO）與企業身分管理系統，掌握企業員工連接的AI應用系統存取狀況；另一個是瀏覽器與瀏覽器外掛，SAIR可偵測員工經由網站應用程式存取，以及直接從各大AI網站服務存取的AI工具，也能識別AI平臺提供的瀏覽器外掛，涵蓋用於執行AI代理人的延伸套件。</p> <p>簡而言之，這套解決方案能更直接展現企業影子AI的使用現況，即時呈現員工如何運用AI工具，例如<strong><a href="https://www.sailpoint.com/blog/sailpoint-shadow-ai-remediation?blaid=8485090">追蹤與監督員工將文件上傳至ChatGPT、Claude、Gemini的活動，以及與這些一般使用者常用AI工具互動的頻率，</a></strong>了解員工可能在不知情的狀況下，將機密資料上傳至不被允許使用的AI模型進行處理，立即掌握員工以何種方式運用企業無法監控的AI工具，藉此透視敏感資料外洩的重大風險。</p> <p><a href="/sites/default/files/images/SAIR-image-20260218-071848.jpg"><img alt="" src="/sites/default/files/images/SAIR-image-20260218-071848.jpg" style="width: 600px;" /></a></p> <p>SAIR目前可涵蓋哪些AI應用？SailPoint<strong><a href="https://developer.sailpoint.com/discuss/t/new-capability-shadow-ai-remediation-sair/199704">列出5大情境</a></strong>，分別是：文字內容產生與透過提示操作的AI工具、行銷與內容自動化處理平臺、筆記整理與生產力AI工具、銷售與顧客推廣AI工具、AI代理人框架與自動化處理延伸套件。</p> <p>突顯可能的資安問題、消除員工使用AI的管理盲點之後，企業資安團隊也能透過SAIR自動阻擋未經授權的檔案上傳、將使用者重新導向至企業批准使用的安全AI工具，或是出現提示，要求員工提供業務必須使用這些AI的理由，藉此在AI驅動的當代IT環境中，透過提供即時矯正的方式，主動預防員工誤用企業不允許的AI服務，減少資安防護的間隙，推動合乎規範的AI應用。</p> <p>關於影子AI的矯正與治理，SAIR目前內建4大功能。首先是即時介入AI工作流程，一旦偵測到員工正在使用未經授權的AI工具，SAIR就會觸發這項攔阻機制；其次是提供面向使用者的自動化處理腳本，SAIR能在員工使用AI的過程，即時指引他們遵循企業訂定與許可的規範；若使用者嘗試存取企業不允許的AI服務，SAIR可將網頁重新導引至企業授權使用的AI工具；可透過不同政策強制實施，支援教育訓練、風險降低、行為異動等多種管制情境，而不會犧牲員工生產力。</p> <p>而在實際的系統建置方式上，SAIR目前可經由微軟Intune、Jamf這類統一端點管理系統（UEM），將SailPoint提供的專屬瀏覽器外掛元件大量部署到員工的電腦與行動裝置，達到集中管理多臺端點設備的目的，企業不需要為此更新網路環境或IT基礎架構，也能在不影響終端使用者體驗的狀況下，設置適當的安全防護措施。</p> <p><a href="/sites/default/files/images/SAIR dashboard screenshot.jpg"><img alt="" src="/sites/default/files/images/SAIR%20dashboard%20screenshot.jpg" style="width: 600px;" /></a></p> <p>SailPoint表示，透過SAIR的推出，他們想要展現企業可經由以平臺為中心（platform-centric）的方式，透過身分、資料、資安情報的即時統合，將人員身分與非人員身分連結起來，控制員工對於AI的使用，SAIR正是基於這個原則而建立的AI治理與安全框架，希望協助企業不只是藉此掌控影子AI現況，也能有效治理這類風險。</p> <p>SAIR的出現，也補足SailPoint即時治理與資安的能力，在統合AI代理身分安全、機器身分安全、資料存取安全之餘，也能搭配SAIR，將AI工具用量的狀態掌握能力，整合到SailPoint的Identity Security Cloud平臺，充實企業的身分圖學資料，增添重要的前後文脈絡，針對強化AI安全提供更廣泛的方式，提升企業的存取與資安風險決策能力。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">SailPoint Shadow AI Remediation</span><br /> ●原廠：SailPoint<br /> ●建議售價：廠商未提供<br /> ●受保護的個人電腦：Windows、macOS<br /> ●個人端部署方式：使用行動裝置管理系統（Microsoft Intune、JumpCloud、Jamf Pro、Omnissa Workspace ONE UEM）、集中管理平臺（Microsoft SCCM、群組原則）、PowerShell（範本、自我簽署），大量部署Edge或Chrome瀏覽器外掛<br /> ●整合的身分系統：Microsoft Entra ID、Okta、OpenID Connect（OIDC）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
4/11 14:38作者李宗翰https://www.ithome.com.tw/review/174894
Node.js宣布不再提供抓漏獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名漏洞懸賞平臺HackerOne<strong><a href="https://hackerone.com/ibb/policy_versions?change=3771829">近日宣布</a></strong>，由於AI輔助漏洞挖掘提升覆蓋範圍與發現的速度，使得開源生態圈出現改變：漏洞發現與漏洞修復的平衡被打破了，自3月27日開始，網際網路漏洞懸賞專案（Internet Bug Bounty，IBB）將不再受理新漏洞提交，這樣的情況很快影響到開源專案。</p> <p><strong><a href="https://nodejs.org/fr/blog/announcements/discontinuing-security-bug-bounties">Node.js發布公告指出</a></strong>，由於IBB暫停，他們向通報漏洞的人士發出獎賞的資金來源因此中斷，由於Node.js是由自願參與的人士發起的專案，未有專屬預算能供應漏洞懸賞使用，因此在沒有其他外部經濟援助的情況下，他們將不會為漏洞通報者提供獎勵。</p> <p>雖然不再提供獎金，不過Node.js開發工程團隊強調現有的漏洞通報流程並未改變，他們還是歡迎研究人員通過HackerOne通報漏洞，並承諾仍以相同程度的重視維護Node.js安全，他們仍會優先處理，漏洞揭露政策、回應時間，以及發布修補程式的流程並未調整。</p> <p>IBB自2012年開始運作，背後由多家軟體公司提供漏洞懸賞獎金，目前已發出超過150萬美元獎勵通報者。IBB有80%的資金用於發現新漏洞，其餘20%用於支援漏洞修補工作。</p> <p>Node.js對於IBB的金援依賴，在開源資安領域相當普遍，許多重要專案未有專門的漏洞懸賞預算，而是像Node.js一樣依賴外部資金。</p> <p>針對HackerOne與Node.js近日的公告，<a href="https://socket.dev/blog/node-js-drops-bug-bounty-rewards-funding-dries-up">資安公司Socket指出</a>，在IBB停止金援之前，Node.js已經不斷調整漏洞懸賞專案的運作方式，導入更嚴格的通報要求，原因是提供獎金的做法會出現大量無效的通報內容，開發工程團隊必須花費大量心力過濾，對該專案的志工造成了嚴重的負擔。</p> <p>值得留意的是，Node.js並非唯一因為AI抓漏而受到衝擊的開源專案。例如，<strong><a href="https://www.ithome.com.tw/news/173546">今年1月Curl宣布終止漏洞懸賞專案</a></strong>，原因是AI生成的漏洞通報過於浮濫。</p> </div></div></div>
4/10 18:18作者周峻佑https://www.ithome.com.tw/news/174996
以資安打造企業永續基石，Fortinet談AI與資安如何打造低碳、可信任的數位轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在企業加速數位轉型與淨零壓力同步升溫的當下，資安不再只是防禦工具，而逐漸成為支撐永續發展的關鍵基礎。Fortinet工控資安產業發展總監陳心怡在2026數位永續高峰中指出，在AI與ESG交會時代，沒有資安，就沒有真正的轉型，企業如果忽略資安，數位與永續轉型發展都可能失去根基。</p> <p><span style="color:#B22222;"><strong>資安成為永續轉型的「必要條件」</strong></span></p> <p>隨著企業將資料、系統與營運全面上雲，或是將數據提供給AI，資料的流動與系統連結大幅擴張，也使得攻擊面同步放大。陳心怡強調，數位化與AI發展仰賴大量資料交換、交握，這些資料若缺乏安全保護，不僅影響企業營運的穩定，更可能破壞企業在永續治理（ESG）積累的信任基礎。</p> <p>企業若沒有建立完善資安機制，她直言，數位轉型只會停留在表面的優化，難以真正達到長期永續。以能源、電網、交通等關鍵基礎設施為例，資安關係到關鍵基礎設施的營運韌性與社會穩定，為永續治理中不可或缺的一環。</p> <p><strong><span style="color:#B22222;">AI x資安，從被動防禦走向主動治理</span></strong></p> <p>面對日益複雜的威脅環境，AI正快速成為資安核心能力。陳心怡(下圖)指出，導入AI後，資安系統可大幅提升偵測與回應效率，例如提升攻擊偵測與回應速度、提升威脅分析效率達數倍、即時處理海量的資安事件。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-10%20%E4%B8%8B%E5%8D%883_29_40(1).jpeg" style="width: 600px; height: 469px;" /></p> <p>這些是傳統上仰賴人力難以做到的，從實務經驗來看，AI能在極短時間內分析大量資料並給出判斷，使資安從過去仰賴人工判讀，轉為即時、自動化決策機制。以Fortinet的威脅情報體系為例，每天需處理數以億計的攻擊數據，若沒有AI輔助幾乎無法運作。</p> <p>同時，AI也帶來雙面刃效應，駭客同樣利用AI強化攻擊能力，使威脅自動化、擴大規模與精準度，進一步突顯企業導入AI資安的必要性。</p> <p><span style="color:#B22222;"><strong>平臺化與整合架構，兼顧資安與低碳</strong></span></p> <p>Fortinet也分享自己怎麼實踐永續, 例如設定2030年達成碳中和的目標，建築透過綠建築認證、推動科學基礎減碳目標（SBTi）及培育百萬資安人才等等。</p> <p>Fortinet這幾年推動平臺化的資安架構，將不同安全功能整合於單一平臺，降低系統複雜度與能源消耗。</p> <p>陳心怡指出，這種整合模式帶來三大效益，減少設備與人力成本、降低整體能耗與碳排、提升管理效率與營運韌性。她強調，平臺化不只是技術選擇，也是實現「可持續數位轉型」的重要手段。</p> <p><span style="color:#B22222;"><strong>從產品設計到碳管理，資安導入ESG</strong></span></p> <p>在產品層面，Fortinet透過自研ASIC晶片，提升效能的同時降低能耗與延遲，打破高效能和高耗能間的傳統既定印象。</p> <p>此外，產品從原料、生產到使用階段皆進行碳足跡盤查，讓企業在採購設備時，即可掌握相關碳排數據，作為碳管理與申報依據。陳心怡透露，已有企業因導入相關解決方案，在永續評比中獲得加分。</p> <p>Fortinet也將AI導入其資安架構（Security Fabric），讓AI不只是外掛工具，更內建於整體系統中。這種設計讓企業在面對海量資料與威脅時，能同時兼顧效率、安全與永續。</p> <p>她認為，有資料才有AI，但沒有資安，就沒有有效的AI。如果企業遭到入侵，資料遭竄改或外洩，AI分析結果將會失去可信度，對企業的決策產生影響。</p> <p>最後，她認為在AI與淨零浪潮下，企業考量資安不應該只是成本議題，也應該視其為永續競爭力的一部分。未來的數位轉型須建立在安全、可信且低碳的基礎上，才能真正實現長期價值。</p> </div></div></div>
4/10 18:37作者蘇文彬https://www.ithome.com.tw/news/174995
數發部規畫推動國內綠色軟體標章制度，助攻企業實賤永續，也助台廠打入國際綠色供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「未來的系統設計不只是看效能，也必須看碳排。」數發部數位國際司長莊盈志在今天(4/10)舉行數位永續高峰會上說。他表示，隨著數位科技與淨零轉型交錯發展，軟體本身的碳排放正受到更多的關注，逐漸成為企業與政府無法忽視的新課題。</p> <p>他表示，過去企業在評估資訊系統時，多半聚焦於「功能好不好用、效率高不高」，但現在還必須進一步思考：「這套系統是否低碳、是否具備環境友善特性」。</p> <p>這樣的轉變來自於國際上的數位發展逐漸重視「綠色軟體」。</p> <p><span style="color:#B22222;"><strong>從國際趨勢看綠色軟體制度化</strong></span></p> <p>綠色軟體逐漸受到重視，莊盈志歸納出和當前全球的四大趨勢有關，即政策化、標準化、平臺化與產業化。其中在政策化方面，COP會議將數位科技的環境衝擊納入議程，使得數位基礎設施從過去被視為減碳的工具，自身的碳排也成為法規和治理的對象。</p> <p>另一個關鍵的原因是標準的建立。</p> <p>他提到，2024年國際已發布相關標準，如ISO/IEC 21031，這是一項針對軟體碳強度（Software Carbon Intensity, SCI）的國際標準規範，讓軟體的碳排放「開始變得可量測、可比較，也能被納入決策」。這意味著，未來企業在採購或導入系統時，「碳排將與成本、效能並列為重要指標」。</p> <p>同時，國際大型科技企業也已積極投入，包括主要的雲端平臺提供碳排分析工具，產業化方面，企業及政府將綠色軟體納入企業採購規範，或對供應鏈提出要求。</p> <p><span style="color:#B22222;"><strong>軟體成為減碳新戰場</strong></span></p> <p>莊盈志指出，隨著AI與雲端運算快速成長，資料中心耗電量正大幅攀升，軟體帶來的碳排問題愈發顯著。</p> <p>根據IEA在2024年預測，到2030年的時候全球資料中心的用電會成長大概1倍左右。在AI增加資料中心用電成長的趨勢下，軟體運算已成為企業成本與碳管理的新熱點，軟體本身也應被納入碳管理範疇。</p> <p>綠色軟體涵蓋：用更少的能源完成同樣的服務、用更少的資源支撐同樣的需求，在更低碳的時間與地點進行運算。</p> <p><span style="color:#B22222;"><strong>臺灣推動標章制度：從自願到採購誘因</strong></span></p> <p>面對國際壓力與趨勢，國內也開始規劃制度化推動。莊盈志透露，數發部正研議建立「綠色軟體標章制度」，搭配分級機制，引導產業逐步導入。</p> <p>數發部去年舉辦2次座談會，提出「綠色數位服務藍圖」初步構想，包括建立綠色軟體國家標準與驗證能量、推動自願性綠色軟體標章，同時納入綠色採購、推動自願性綠色軟體與數位服務憑證、完善綠色數位服務人才培育機制，以及接軌國際最新技術。</p> <p>他說明，標章制度的核心目的是，讓企業投入綠色軟體後「被看見」，並進一步轉化為市場競爭力。當企業投入綠色軟體或是綠色軟體做得更好時，不只會被大家看見，也會讓企業有更大的誘因因此被納入採購裡，影響企業的商機與在供應鏈的地位。</p> <p>該制度在設計上將採「由自願走向制度化」的策略，初期以鼓勵參與為主，逐步建立在地化的碳盤查、驗證與查核機制，最終與國際標準接軌。</p> <p><span style="color:#B22222;"><strong>讓綠色軟體可被衡量</strong></span></p> <p>他進一步說明，企業應如何評估軟體碳排，應從三個步驟開始，首先盤查基準線，找出高耗能或高運算的系統，其次是建立管理指標，將碳排與成本、效能一起納入決策，最後是優化熱點場景，從低風險、高可見度的應用先行改善</p> <p><img alt="" src="/sites/default/files/images/20260410_094756.jpeg" style="width: 600px; height: 380px;" /></p> <p>而分級制度的目的，正是讓企業能從初階逐步提升，從單一場景優化，走向全面性的綠色軟體治理。</p> <p><span style="color:#B22222;"><strong>臺灣從制度、產業與工具三軌並進</strong></span></p> <p>展望下一步，莊盈志指出，臺灣推動綠色軟體將從三大面向著手：制度面，建立標章與分級制度，並接軌國際標準；產業面，發揮ICT與軟體優勢，切入全球供應鏈；工具面，發展在地化盤查與管理工具，降低導入門檻。</p> <p>數發部目前已公開綠色軟體參考手冊(草案)，供企業參考，從綠色軟體的核心原則、綠色軟體與AI應用、碳排評估方法到應用情境，協助企業逐步導入綠色軟體。</p> </div></div></div>
4/10 17:29作者蘇文彬https://www.ithome.com.tw/news/174994
【資安日報】4月10日，伊朗駭客鎖定美國關鍵基礎設施發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174965"><strong style="font-size: 22px;">伊朗駭客CyberAv3ngers鎖定曝露在網路上的可程式化邏輯控制器，滲透美國關鍵基礎設施</strong></a></p> <p>美國的FBI、CISA、NSA、環境保護署（EPA）、能源部（DOE），以及網路作戰司令部的網路國家任務部隊（CNMF）等6大機構發布聯合警告，指出伊朗駭客組織CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）正在對美國的關鍵基礎設施（CI）發動攻擊，他們尋找能透過網際網路存取的可程式化邏輯控制器（PLC），這些設備的廠牌包括Rockwell與Allen-Bradley。遭到攻擊的組織，涵蓋政府服務、水資源與廢水處理系統，以及能源產業，自今年3月開始，已有部分受害組織出現營運中斷或財務損失。</p> <p>針對CyberAv3ngers滲透受害組織OT環境的過程，他們通常會利用多個外國IP位址犯案，從網際網路尋找Rockwell與Allen-Bradley製造的PLC設備。這些駭客租用第三方代管基礎設施，部署組態管理軟體，而且，這些設備使用的其中一種組態管理軟體，是Rockwell的Studio 5000 Logix Designer。至於被鎖定的PLC設備，包含CompactLogix與Micro850</p> <p><a href="https://www.ithome.com.tw/news/174976"><strong style="font-size: 22px;">Rockwell未修補的重大漏洞遭鎖定，伊朗駭客CyberAv3ngers用於攻擊可程式化邏輯控制器</strong></a></p> <p>弱點管理解決方案公司Tenable指出，伊朗駭客組織CyberAv3ngers在近期鎖定美國關鍵基礎設施攻擊行動裡，使用已知漏洞CVE-2021-22681滲透Rockwell的PLC裝置，此為憑證保護不夠周延造成的弱點（CWE-522），CISA將其CVSS風險評為滿分10分，非常危險，影響Rockwell旗下多種系統與設備，包括PLC管理軟體RSLogix 5000與Studio 5000 Logix Designer，以及CompactLogix、ControlLogix、GuardLogix、DriveLogix、SoftLogix等控制器設備。CISA於今年3月5日將CVE-2021-22681加入已遭利用的漏洞名冊（KEV），時間點相當吻合。</p> <p>值得留意的是，駭客鎖定此漏洞的原因，很有可能就是Rockwell並未發布修補程式。Tenable提及，Rockwell在公告裡強調，CVE-2021-22681無法直接透過安裝修補程式解決，呼籲用戶應導入國防等級的縱深防禦措施因應。換言之，若是企業組織缺乏相關的資安管控機制，這樣的弱點將會持續存在。</p> <p><a href="https://www.ithome.com.tw/news/174963"><strong style="font-size: 22px;">Acrobat Reader驚傳零時差漏洞，駭客自去年11月就用於針對俄羅斯能源產業</strong></a></p> <p><a href="/sites/default/files/images/Acrobat-10.png" target="_blank"><img alt="" src="/sites/default/files/images/Acrobat-10.png" style="width: 300px; float: right;" /></a></p> <p>研究員Haifei Li於4月7日提出警告，他建置的資安威脅監控系統ExpMon偵測到有問題的PDF檔案，經進一步分析後，判定此漏洞具備收集資料與洩露的能力，攻擊者還能遠端執行任何程式碼（RCE），並進行沙箱逃逸（SBX），當中利用了Acrobat Reader零時差漏洞，此弱點允許攻擊者執行特殊權限的API，影響最新版本的Acrobat Reader。隔天他更新部落格文章內容，指出有人發現新的漏洞利用檔案的變種，值得留意的是，此檔案於去年11月28日就上傳到VirusTotal，代表此零時差漏洞的利用活動已持續長達近半年。</p> <p>另一名資安研究員Giuseppe Massaro（N3mes1s）於4月8日發布完整調查報告，指出他針對兩個利用零時差漏洞的PDF檔案進行分析，結果發現駭客藉此採集受害電腦的系統指紋，將電腦裡的資料傳送到C2伺服器，並下載經AES演算法處理的JavaScript有效酬載並執行。</p> <p><a href="https://www.ithome.com.tw/news/174989"><strong style="font-size: 22px;">Windows零時差漏洞BlueHammer涉及內建防毒軟體更新流程</strong></a></p> <p>資安研究員Chaotic Eclipse於GitHub公布零時差漏洞BlueHammer引起外界高度關注，此弱點可被用於本機權限提升（LPE），原因疑為微軟要求通報者必須提供影片，造成該名研究員不滿而選擇直接公布。有資安公司循線調查，公布更多細節。</p> <p>資安公司Cyderes指出，BlueHammer主要與內建防毒Microsoft Defender的更新機制有關，攻擊者搭配磁碟區陰影複製服務（VSS）使用後，就有機會從低權限提升至NT AUTHORITY\SYSTEM。該公司強調，此漏洞無須利用系統核心錯誤、記憶體損毀等缺陷，攻擊者也不需在Microsoft Defender內部執行程式碼。一旦成功利用BlueHammer，攻擊者可讀取安全帳號管理員（Security Account Manager，SAM）資料庫、解開NTLM密碼雜湊值、接管本機管理員帳號，並啟動系統層級的Shell。若是攻擊者進一步還原密碼雜湊資料，還能避免資安系統的偵測。</p> <p><a href="https://www.ithome.com.tw/news/174964"><strong style="font-size: 22px;">Google發布Chrome 147，修補60個漏洞，含多個重大與高風險漏洞</strong></a></p> <p>Google於4月7日發布Chrome瀏覽器的147版，將Windows與Mac平臺穩定版更新至147.0.7727.55與147.0.7727.56，Linux版本更新至147.0.7727.55，同時也修補多個重大與高風險漏洞。</p> <p>其中最嚴重的是CVE-2026-5858與CVE-2026-5859，皆被歸類為重大漏洞，Google分別給予通報者4萬3千美元獎金。這兩個漏洞有個共通點，都與瀏覽器的機器學習API模組WebML有關，CVE-2026-5858會造成WebML堆積緩衝區溢位（Heap buffer overflow），CVE-2026-5859則會造成WebML發生整數溢位（Integer overflow）。</p> <p><a href="https://www.ithome.com.tw/news/174991"><strong style="font-size: 22px;">為防範惡意程式竊取Cookie，Google於瀏覽器導入DBSC資安機制</strong></a></p> <p><a href="/sites/default/files/images/Screenshot 2026-04-09 at 10_11_22 AM.png" target="_blank"><img alt="" src="/sites/default/files/images/Screenshot%202026-04-09%20at%2010_11_22%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>本週Google宣布，他們在近期推出的Windows版本Chrome 146版裡，導入了2024年4月公布的裝置綁定連線階段憑證（Device Bound Session Credentials，DBSC）技術，目的防範惡意程式竊取cookie。該公司表示，他們在即將推出的下個版本（147版）將相關功能提供給macOS用戶。Google並公布推動DBSC標準化的計畫。</p> <p>DBSC涉及裝置金鑰、瀏覽器、硬體業者與產業標準，Google推動DBSC的策略，是先在Chrome落地並結合自身服務擴散，再試圖標準化。</p> <p><a href="https://www.ithome.com.tw/news/174803"><strong style="font-size: 22px;">Nvidia推出OpenShell執行環境，為自主AI代理應用套上安全控制</strong></a></p> <p>在先前的GTC大會中，Nvidia除了發表各式各樣嶄新的AI硬體與軟體功能，擴展AI應用能力，也針對自主AI代理風行所帶來的安全風險，推出稱作OpenShell的安全執行環境，為OpenClaw等自主AI代理應用，提供安全控管功能。</p> <p>OpenShell則藉由結合沙箱（Sandbox）、政策強制執行引擎（Policy Engine），以及隱私路由器（Privacy Router）等功能，提供AI代理的控管能力。藉由沙箱在AI代理與基礎架構之間建立隔離的執行環境，並透過政策引擎與隱私路由器，對AI代理的檔案系統存取、網路連線存取、系統程序控制與API呼叫，執行強制性的權限管制，從而讓AI代理自主運作時，不致踰越管理者預設的安全邊界。</p> <p><a href="https://www.ithome.com.tw/news/174843"><strong style="font-size: 22px;">n8n工作流程自動化平臺修補重大漏洞，未更新可能導致遠端執行任意程式碼攻擊</strong></a></p> <p>工作流程自動化平臺n8n近日發布安全公告，修補2個可能導致遠端執行程式碼的重大漏洞，影響n8n的2.14.x，2.13.x與1.123.x等版本，解決辦法是更新至2.14.1，2.13.3與1.123.27版。</p> <p>第一個漏洞的編號為CVE-2026-33660，CVSS嚴重性評分達9.4分。問題是出在n8n用於處理不同來源資料合併的Merge節點，在「Combine by SQL」模式下使用的AlaSQL沙箱，對SQL指令處理存在缺陷，攻擊者可藉此執行任意程式碼或存取主機檔案。</p> <p><a href="https://www.ithome.com.tw/news/174957"><strong style="font-size: 22px;">HPE擴展後量子密碼技術應用，為ProLiant伺服器引進PQC加密技術</strong></a></p> <p>面對日漸逼近的量子運算威脅，HPE正積極為旗下產品引進後量子密碼學（PQC）技術，近期宣布為ProLiant Compute Gen12伺服器導入PQC技術，以因應量子電腦破解傳統公鑰加密的風險。而在近日的RSA大會上，HPE進一步發表iLO7支援PQC的具體時間，預定於2026年夏季正式推出這項功能。</p> <p>縱觀市面上的伺服器基礎架構廠商，目前我們只看到HPE發布伺服器產品支援PQC的具體架構，以及正式導入時間的訊息，但僅限於最新的ProLiant Compute Gen12伺服器，以及iLO7管理平臺，但更早世代的ProLiant伺服器與iLO平臺的PQC遷移規畫，目前仍不明朗。</p> <p><a href="https://www.ithome.com.tw/news/174860"><strong style="font-size: 22px;">Cloudflare以沙箱外掛架構挑戰WordPress安全痛點，推出CMS開源專案EmDash</strong></a></p> <p>Cloudflare開源內容管理系統EmDash，其完全以TypeScript開發，並且重新設計外掛架構。EmDash每個外掛在獨立的沙箱環境中執行，須事先宣告所需權限，從根本改變WordPress外掛與主程式共享執行環境的安全模型。EmDash採MIT授權，底層基於網頁框架Astro，目前釋出v0.1.0開發者預覽版，可部署至Cloudflare帳戶或任何Node.js伺服器。</p> <p>在部署架構上，EmDash設計為無伺服器優先，可運用Cloudflare Workers的V8 isolate架構，在請求進入時啟動執行環境，無流量時可縮至零，並按CPU運算時間計費。EmDash另內建x402協定支援，讓網站經營者可對內容存取收費，無需額外開發即可向AI代理等自動化客戶端收費。此外也提供MCP伺服器與CLI工具，使AI代理能程式化管理CMS內容，處理搬遷與批次修改等作業。</p> <p><a href="https://www.ithome.com.tw/news/174970"><strong style="font-size: 22px;">歐鐵票券營運商去年資料外洩事件影響30萬人</strong></a></p> <p>經營歐鐵票券（Eurail Pass）的旅遊業者Eurail B.V.，近日向美國政府通報去年的網路攻擊事件，透露有近30萬人個資及旅遊資料外流。</p> <p>上述通報源自公司今年傳出的資安事故，Eurail有數個內部系統遭駭客存取，遭竊的資料包含客戶訂單資訊，如個資和聯絡資訊、國外客戶護照資訊如護照號碼、核發國家及到期日等。此外還有透過DiscoverEU方案外洩的青年客戶資料，包含姓名、出生日期、年齡、護照號碼或相片、電子郵件信箱、住宅地址、居住地、電話號碼、國際銀行帳戶號碼、健康資訊等。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/bitter-linked-hack-for-hire-campaign.html">與Bitter有關的駭客團體經營僱傭服務，攻擊中東與北非的新聞記者</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/n-korean-hackers-spread-1700-malicious.html">北韓駭客散布1,700個惡意套件，橫跨NPM、PyPI、Go、Rust生態圈</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/tr-new-whitepaper-stealthy-bpfdoor-variants/">後門程式BPFDoor出現變種，導入無狀態C2與ICMP中繼手法隱匿活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-venom-phishing-attacks-steal-senior-executives-microsoft-logins/">網釣平臺Venom活動升溫，駭客用於對高階主管發動攻擊，意圖竊取M365帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-suspends-dev-accounts-for-high-profile-open-source-projects/">微軟無預警停用多個高知名度開源專案的開發者帳號，恐導致維護者無法發布新版軟體修補資安漏洞</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174940"><strong>【4月9日】Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174916"><strong>【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174890"><strong>【4月7日】Claude Code資料外洩事故成駭客散布惡意軟體的新誘餌</strong></a></p> </div></div></div>
4/10 15:49作者周峻佑https://www.ithome.com.tw/news/174990
Rockwell未修補的重大漏洞遭鎖定，伊朗駭客CyberAv3ngers用於攻擊可程式化邏輯控制器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週美國當局對伊朗駭客團體CyberAv3ngers的攻擊行動<strong><a href="https://www.ithome.com.tw/news/174965">提出警告</a></strong>，說明駭客鎖定美國的關鍵基礎設施（CI），能從網際網路存取的可程式化邏輯控制器（PLC）下手，透過能從網際網路存取的可程式化邏輯控制器（PLC）下手，從而阻礙受害組織的OT環境運作。現在有資安公司接續公布更多細節。</p> <p>弱點管理解決方案公司Tenable指出，<strong><a href="https://www.tenable.com/blog/what-to-know-about-cyberav3ngers-the-irgc-linked-group-targeting-critical-infrastructure">這些駭客在最新一波攻擊行動裡</a></strong>，使用已知漏洞CVE-2021-22681滲透Rockwell的PLC裝置，此為憑證保護不夠周延造成的弱點（CWE-522），<strong><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-21-056-03">CISA將其CVSS風險評為滿分10分</a></strong>，非常危險，影響Rockwell旗下多種系統與設備，包括PLC管理軟體RSLogix 5000與Studio 5000 Logix Designer，以及CompactLogix、ControlLogix、GuardLogix、DriveLogix、SoftLogix等控制器設備。CISA於今年3月5日將CVE-2021-22681<strong><a href="https://www.cisa.gov/news-events/alerts/2026/03/05/cisa-adds-five-known-exploited-vulnerabilities-catalog">加入已遭利用的漏洞名冊（KEV）</a></strong>，時間點相當吻合。</p> <p>值得留意的是，駭客鎖定此漏洞的原因，很有可能就是Rockwell並未發布修補程式。Tenable提及，Rockwell在公告裡強調，CVE-2021-22681無法直接透過安裝修補程式解決，取而代之的是，Rockwell呼籲用戶應導入國防等級的縱深防禦措施，例如：網路分段、工程用工作站電腦隔離，以及實作關鍵基礎設施防護（Critical Infrastructure Protection，CIP）安全防護機制等。換言之，若是企業組織缺乏相關的資安管控機制，這樣的弱點將會持續存在。</p> <p>Tenable指出，CyberAv3ngers偏好小型公用供水基礎設施、市政設施與鄉村能源營運商，原因是這些公司通常會使用TeamViewer或AnyDesk等遠端管理工具管理OT環境，或是直接開放PLC的管理介面能直接透過網際網路存取，這些作法完全無法受到企業IT資安控管，形成一般資安防護難以察覺的攻擊面。</p> <p>再者，這些公司也往往對於IT與OT環境的網路分段不足，以及缺乏專精OT領域的資安人員，再加上資安防護的預算不足，使得相關的問題更加嚴重。</p> <p>這些駭客攻擊關鍵基礎設施已有前例，他們曾在2023年鎖定以色列廠牌Unitronics的PLC裝置，對超過70個美國水利設施發動攻擊。值得注意的是，CyberAv3ngers的能力也越來越強大，他們2024年中旬開始使用自製的工控惡意軟體Iocontrol，同年10月開始濫用ChatGPT等AI工具加速偵察與程式碼除錯的速度，再加上近期美伊戰爭仍在持續進行，這種針對以色列或美國產製的工控設備，在美國從事攻擊行動的情況，將會越來越頻繁。</p> </div></div></div>
4/10 14:19作者周峻佑https://www.ithome.com.tw/news/174976
解決代理程式分散管理難題，AWS Agent Registry跨雲納管企業AI代理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS推出<a href="https://aws.amazon.com/blogs/machine-learning/the-future-of-managing-agents-at-scale-aws-agent-registry-now-in-preview/">Agent Registry預覽版</a>，透過Amazon Bedrock AgentCore平臺提供，讓企業在單一註冊中心集中發現、治理和重複使用散布在不同環境中的AI代理程式、工具與代理程式技能。Agent Registry預覽版目前已在美國東部（北維吉尼亞）、美國西部（奧勒岡）、亞太地區（雪梨）、亞太地區（東京）與歐洲（愛爾蘭）等5個AWS區域開放使用。</p> <p>AWS指出，企業在擴展代理程式規模時，主要面臨三大難題，分別是可見性不足，不清楚組織內有哪些代理程式，以及治理不易，無法控管誰能發布、哪些資源可被全組織發現，還有重複建置，團隊各自開發已經存在的功能。</p> <p>Agent Registry的一大特色在於跨平臺納管能力，其不僅限於索引AWS上的代理程式，也能納入其他雲端平臺或地端環境中建置的代理程式，讓企業的代理程式全貌能在同一註冊中心呈現。註冊方式有兩種，一是透過主控臺、AWS SDK或API手動提供後設資料，二是指向MCP或A2A端點，由系統自動擷取相關資訊。Agent Registry原生支援MCP與A2A兩項代理程式互通協定，也允許企業自訂Schema或欄位結構。</p> <p>該服務提供完整的生命週期管理流程，所有註冊紀錄從草稿狀態開始，進入待審核階段，核准後才對組織內其他成員公開。管理者可透過IAM政策控管誰能註冊、誰能查詢，紀錄也支援版本追蹤與棄用標記，企業可在每筆紀錄中加入自訂後設資料，記錄團隊歸屬、合規狀態或部署環境等資訊。</p> <p>搜尋機制採用混合式設計，結合關鍵字比對與語意理解。當開發者輸入較長的自然語言查詢時，系統能辨識概念相近的結果，例如搜尋payment processing也能找到標記為billing或invoicing的工具。Agent Registry本身也能以MCP Server形式存取，Kiro和Claude Code等MCP相容客戶端可直接查詢。</p> <p>AWS表示，未來計畫將Agent Registry擴展至更多AWS服務，實現代理程式部署後自動索引，並加入跨註冊中心聯邦（Cross-registry Federation）查詢、自訂分類系統，以及整合AgentCore Observability的執行資料。</p> </div></div></div>
4/10 15:28作者李建興https://www.ithome.com.tw/news/174988
Windows零時差漏洞BlueHummer涉及內建防毒軟體更新流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究員Chaotic Eclipse於GitHub<strong><a href="https://www.ithome.com.tw/news/174902">公布零時差漏洞BlueHammer</a></strong>引起外界高度關注，此弱點可被用於本機權限提升（LPE），原因疑為微軟要求通報者必須提供影片，造成該名研究員不滿而選擇直接公布。有資安公司循線調查，公布更多細節。</p> <p>資安公司Cyderes指出，<strong><a href="https://www.cyderes.com/howler-cell/windows-zero-day-bluehammer">BlueHammer主要與內建防毒Microsoft Defender的更新機制有關</a></strong>，攻擊者搭配磁碟區陰影複製服務（VSS）使用後，就有機會從低權限提升至NT AUTHORITY\SYSTEM。該公司強調，此漏洞無須利用系統核心錯誤、記憶體損毀等缺陷，攻擊者也不需在Microsoft Defender內部執行程式碼。一旦成功利用BlueHammer，攻擊者可讀取安全帳號管理員（Security Account Manager，SAM）資料庫、解開NTLM密碼雜湊值、接管本機管理員帳號，並啟動系統層級的Shell。若是攻擊者進一步還原密碼雜湊資料，還能避免資安系統的偵測。</p> <p>具體來說，BlueHammer與多個作業系統內建工具與服務有關，包含了Microsoft Defender更新流程、磁碟區陰影複製服務，以及Cloud Files API等，全部都是微軟公開文件揭露的合法Windows功能，而且這些功能皆如預期運作，需透過特定順序串連上述服務，才會形成弱點。</p> <p>Cyderes提及，微軟後續推送了防毒軟體定義檔更新，將研究員的概念驗證程式（PoC）標示為Exploit:Win32/DfndrPEBluHmr.BB。然而由於弱點與Windows元件的互動有關，攻擊者只要調整弱點實作的方式，就能在繞過Microsoft Defender偵測的情況下利用BlueHammer。</p> <p>雖然Chaotic Eclipse刻意在概念驗證程式加入臭蟲，不過Cyderes在排除這些問題後，套用最新發布更新的Windows 10與Windows 11電腦進行測試，結果具備低權限的攻擊者只花了不到一分鐘，就成功將權限等級提升至為NT AUTHORITY\SYSTEM。由於BlueHammer迄今未登記CVE編號列管，微軟也尚未提供漏洞修補程式，接下來駭客組織將會很快整合到作案工具，並用於實際攻擊。</p> </div></div></div>
4/10 15:31作者周峻佑https://www.ithome.com.tw/news/174989
Google Chrome 146正式加入防cookies竊取的DBSC功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼2024年4月公布後，<a href="https://security.googleblog.com/2026/04/protecting-cookies-with-device-bound.html" target="_blank">Google本週釋出</a>Windows版本Chrome 146版，提供裝置綁定會話憑證（Device Bound Session Credentials，DBSC）技術，防範惡意程式竊取cookies。預定下一版macOS版本Chrome加入防護。Google並公布推動DBSC標準化的計畫。</p> <p>用戶裝置一旦不慎下載惡意程式，可能導致會話竊取（session theft）。惡意程式會從瀏覽器擷取會話cookies，或等用戶登入新帳號時攔截token，最後送到攻擊者控制的伺服器。由於cookies效期拉長，駭客就能利用它們非授權存取用戶帳號，也不需要密碼。而被竊的憑證可能在駭客或地下市場出售，導致攻擊來源擴大。</p> <p>竊資程式如LummaC2竊取憑證的手法愈來愈高明，一旦惡意程式進入用戶裝置，就能從本機檔案和記憶體讀取到瀏覽器儲存的驗證cookies。過去任何作業系統上沒有有效防範cookies竊取的純軟體方案。只能在發生憑證被竊事件後，利用一組繁複的啟發式分析（heuristic）偵測，但這種作法是被動式偵測，滲透攻擊者往往也能迴避。DBSC的出現則實現主動防禦，使被竊的cookies無法用於使用者帳號驗證。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0410-DBSC-600.png" style="text-align: center; width: 500px;" /></p> <p>簡單而言，若把cookies當成存取服務伺服器的通行證，問題出現在誰取得cookies通行證，就能獲得伺服器放行。DBSC就是將cookies加入數位鎖，使只有儲存該cookies的那臺機器，才能在伺服器驗證成功。Google推動DBSC的核心是Chrome，在用戶登入網站時Chrome會配合Windows PC的TPM（Mac電腦則是Secure Enclave）生成公、私鑰。公鑰儲存在服務伺服器（或網站），只認用戶機器，而私鑰以加密儲存在用戶硬體。Chrome在登入服務伺服器時，必須以私鑰和伺服器完成驗證，確認用戶裝置是當初登入的那臺裝置。</p> <p>Google的作法是推動DBSC為業界標準，並建立一個生態體系。</p> <p>這個機制涉及裝置金鑰、瀏覽器、硬體業者與產業標準，Google推DBSC的作法是先在Chrome落地並結合自身服務擴散，再試圖標準化。目前只有Chrome支援。</p> <p>Google表示，為推動DBSC標準化，除了產業合作，未來Chrome版本將會陸續加入新功能，包括聯邦式身份，支援跨來源綁定；進階註冊（registration），將DBSC會話綁定到既有金鑰如mTLS憑證或硬體金鑰；以及擴大裝置支援，透過加入軟體金鑰來保護沒有金鑰技術的硬體（如舊PC）。</p> </div></div></div>
4/10 16:01作者林妍溱https://www.ithome.com.tw/news/174991
Meta再加碼210億美元採購CoreWeave算力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI雲端基礎設施業者<a href="https://www.coreweave.com/news/coreweave-and-meta-announce-21-billion-expanded-ai-infrastructure-agreement" target="_blank">CoreWeave週四（4/9）宣布</a>，已與Meta簽署一項總額約210億美元的長期合約，將提供AI算力支援至2032年，主要用於支撐其AI模型推理與部署需求。</p> <p>CoreWeave與Meta早於2025年即建立AI算力合作關係，外界估計當時合約規模約為142億美元，此次的加碼顯示Meta對外部AI運算資源的需求持續擴大。</p> <p>CoreWeave成立於2017年，總部位於美國紐澤西州，專注提供以GPU為核心的AI雲端基礎設施，主要客戶包括AI模型開發商與大型科技公司，於2025年登上那斯達克股市。其營收高度集中於少數客戶，例如在2024年的19.2億美元營收中，前兩大客戶合計貢獻約77%營收，其中最大客戶為微軟，占比達62%。</p> <p>AI雲端基礎設施屬於高成長且資本密集的產業。CoreWeave於2025年營收達51.31億美元，年增168%，但全年淨損11.67億美元，更甚於2024年的8.63億美元虧損，主因為持續加碼投資基礎設施與GPU。不過，CoreWeave截至2025年底的訂單積壓（Revenue Backlog）已達668億美元，顯示其未來收入多由長期合約鎖定。</p> <p>消息傳出後，CoreWeave週四（4/9）股價上漲了3.49%，以92美元作收。</p> </div></div></div>
4/10 16:10作者陳曉莉https://www.ithome.com.tw/news/174992
Amazon低軌衛星服務Leo預計於今年中正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Amazon執行長Andy Jassy週四（4/9）<a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-andy-jassy-2025-letter-to-shareholders" target="_blank">於致股東信中宣布</a>，Amazon低軌衛星服務Leo預計於今年中正式上線。目前Amazon Leo已發射逾200顆衛星，為全球第三大低軌衛星網路，僅次於Starlink及歐洲的OneWeb。</p> <p>Amazon於2019年啟動低軌衛星網路計畫Project Kuiper，目標透過在近地軌道部署衛星星座，提供全球高速網路服務，鎖定偏遠地區與基礎設施不足的市場，並於2025年底<a href="https://www.ithome.com.tw/news/172278" target="_blank">更名</a>為Amazon Leo。</p> <p>在星座規模上，Amazon Leo已獲美國聯邦通訊委員會（FCC）核准部署約7,700顆衛星（包含第一代3,236顆及2026年新獲核准的約4,500顆），然而目前實際在軌的衛星僅逾200顆，與Starlink近萬顆及OneWeb逾600顆相比，仍有顯著差距。</p> <p>Amazon表示，未來幾年將持續快速擴張Leo星座規模。在效能上，Leo上傳速度將比現有方案提升6至8倍、下載速度提升2倍，且成本更具競爭力；此外，Leo亦將與AWS雲端服務整合，使企業與政府可在衛星連線與雲端之間進行資料儲存、分析與AI運算，形成差異化優勢。</p> <p>儘管尚未正式上線，Leo已吸引多家大型企業提前卡位。美國廉價航空<a href="https://www.ithome.com.tw/news/171028" target="_blank">JetBlue</a>宣布將於2027年導入Leo強化機上Wi-Fi；<a href="https://www.aboutamazon.com/news/amazon-leo/amazon-leo-delta-in-flight-wifi-2028" target="_blank">達美航空</a>（Delta Airlines）則承諾以Leo作為未來機上Wi-Fi服務，首波將於2028年覆蓋500架飛機。其他客戶還包括AT&T、Vodafone、DIRECTV Latin America、澳洲國家寬頻網路（NBN）及NASA等橫跨電信、航空與政府的重量級名單。</p> </div></div></div>
4/10 14:41作者陳曉莉https://www.ithome.com.tw/news/174987
歐鐵票券營運商去年資料外洩事件影響30萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>經營歐鐵票券（Eurail Pass）的旅遊業者<a href="https://justice.oregon.gov/consumer/databreach/" target="_blank">Eurail B.V.近日向官方通報</a>去年的網路攻擊事件，導致近30萬個人個資及旅遊資料外流。</p> <p><a href="https://www.ithome.com.tw/news/173405" target="_blank">Eurail公司今年初</a>公告數個內部系統遭駭客存取，遭竊取的資料包含客戶訂單資訊如基本身份和聯絡資訊、國外客戶護照資訊如護照號碼、核發國家及到期日等。此外還有透過DiscoverEU方案外洩的青年客戶資料，包含姓名、出生日期/年齡、護照號碼或相片、電子郵件信箱、住宅地址、居住地、電話號碼、國際銀行帳戶號碼、健康資訊等。</p> <p>不過當時案件細節披露不多。本週這家荷蘭公司向美國包括<a href="https://justice.oregon.gov/consumer/databreach/" target="_blank">奧勒岡州</a>、德州及加州等通報外洩細節。根據官方紀錄，事件發生期間為2025年12月24日到2026年1月8日，影響人數高達308,777人。</p> <p>在向官方通報之前，今年2月一群駭客在Telegram上宣稱事件是其所為。他們宣稱從Eurail系統竊得1.3TB資料，包含GitLab的程式原始碼、AWS S3的資料備份以及工單平臺Zendesk的支援工單。</p> <p>有別於這家業者通報的30萬筆，駭客宣稱手上有數百萬筆個人資料，並貼出部份檔案，揚言若再未接到Eurail聯繫將出售所有竊得的資料。</p> </div></div></div>
4/10 13:43作者林妍溱https://www.ithome.com.tw/news/174970
伊朗駭客CyberAv3ngers鎖定曝露在網路上的可程式化邏輯控制器，滲透美國關鍵基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國的FBI、CISA、NSA、環境保護署（EPA）、能源部（DOE）以及網路作戰司令部的網路國家任務部隊（CNMF）等6大機構<strong><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a">發布聯合警告</a></strong>，指出伊朗駭客組織CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）正在對美國的關鍵基礎設施（CI）發動攻擊，他們尋找能透過網際網路存取的可程式化邏輯控制器（PLC），這些設備的廠牌包括Rockwell與Allen-Bradley。遭到攻擊的組織，涵蓋政府服務、水資源與廢水處理系統，以及能源產業，自今年3月開始，已有部分受害組織出現營運中斷或財務損失。</p> <p>針對CyberAv3ngers滲透受害組織OT環境的過程，他們通常會利用多個外國IP位址犯案，從網際網路尋找Rockwell與Allen-Bradley製造的PLC設備。這些駭客租用第三方代管基礎設施，部署組態管理軟體，而且，這些設備使用的其中一種組態管理軟體，是Rockwell的Studio 5000 Logix Designer。而被鎖定的PLC設備，包含CompactLogix與Micro850。</p> <p>若是得逞，CyberAv3ngers就會透過44818、2222、102、22、502埠等連接埠導入惡意流量。根據這些連接埠，攻擊者針對的PLC廠牌並非局限Rockwell與Allen-Bradley，也出現攻擊西門子S7系列PLC機種的情況再者，駭客會在受害組織的端點部署SSH連線工具Dropbear，此為OpenSSH的輕量級替代方案，經常用於嵌入式系統。最終駭客截取PLC設備的專案檔案，並竄改人機介面（HMI）與SCADA顯示的資料。</p> <p>對此，FBI呼籲企業組織應將PLC與對外網路斷開連線，並透過實體開關或是軟體金鑰切換等機制，防止未經授權的遠端修改。他們也呼籲要對PLC的邏輯與組態設置進行強而有力的備份，並測試與確認其有效性。</p> </div></div></div>
4/10 11:53作者周峻佑https://www.ithome.com.tw/news/174965
研究人員揭新手法可繞過Apple Intelligence護欄並誘導模型輸出不當內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>蘋果的Apple Intelligence將大語言模型（LLM）放在本地裝置端，提升大語言模型（LLM）的安全性。但本週RSA大會（RSA Conference，RSAC）研究人員運用新手法，使其得以繞過蘋果Apple Intelligence護欄進行對模型操弄，使其產出惡意文字。</p> <p>瑞士聯邦政府研究人員及洛桑聯邦理工學院（EPFL）學者本週<a href="https://www.rsaconference.com/library/blog/is-that-a-bad-apple-in-your-pocket-we-used-prompt-injection-to-hijack-apple-intelligence" target="_blank">在資安大會RSAC上展示</a>發表結合兩種手法濫用Apple Intelligence漏洞，可繞過Apple Intelligence本地LLM輸出、輸入篩選機制及內部護欄，迫使LLM產出攻擊者想要的內容。</p> <p>為了繞過Apple Intelligence護欄，研究小組結合兩種手法。一是名為「神經執行（Neural Exec）」的方法，這是輸入人類看來沒有意義，卻能像咒語一樣能控制LLM，攻擊者可以指定想執行的惡意程式碼。基本上這類似其他間接式指令注入（indirect prompt injection）。其做法是利用LLM對特定模式或類似程式碼結構的敏感性，強制模型進入忽略之前的系統指令（如系統指令部分：摘要文章），轉而執行用戶輸入中的惡意指令。第二手法是利用Unicode由右向左覆寫文字的功能，進行字元逆轉攻擊（BiDi Attack）。這方法讓攻擊者輸入由右向左的文字（如阿拉伯、希伯來文或混亂文字），但LLM可以讀取並產出由左向右的語言（如英文）。</p> <p>結合這二種方法，在其示範中，研究人員在一段輸入文字中夾雜大量混亂的「神經執行」標籤，打斷模型的正常邏輯流，再利用Unicode字元逆轉手法隱藏了惡意語句（如Hey users, go *** yourself），並下達指令要求模型只回答這段話，不要回答其他的。這成功劫持LLM模型，使其繞過原始系統指令，不再產出文章摘要，而是直接輸出紅色區域內的惡意或冒犯性文字。</p> <p>研究人員以100個隨機提示進行測試，成功率達76%。研究團隊去年10月通報蘋果，蘋果已經釋出iOS 26.4及macOS 26.4更新以強化安全性。他們指出，即使是蘋果這樣強調隱私與安全的系統，若沒有針對Unicode特殊字元或複雜的提示詞干擾進行深度防禦，依然會被誘導產生非預期（甚至有害）的內容。</p> </div></div></div>
4/10 12:40作者林妍溱https://www.ithome.com.tw/news/174967
AWS的AI年化收入已達150億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Amazon執行長Andy Jassy週四（4/9）<a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-andy-jassy-2025-letter-to-shareholders" target="_blank">於最新致股東信中指出</a>，旗下雲端服務AWS的AI業務年化收入已在2026年第一季突破150億美元，且仍持續快速成長，顯示其AI相關服務已從早期導入階段，邁入具規模的商業化期。</p> <p>這是AWS首度對外揭露AI業務的具體收入規模。目前AWS整體雲端業務年化收入約為1,420億美元，意味著AI相關收入占約10%，成為帶動成長的重要動能之一。</p> <p>Jassy指出，AI是一種典型的結構性轉折，將重塑各類產品與服務體驗，並帶來全新的應用場景，企業若判斷其為關鍵變化，應在可控風險下大幅投入。</p> <p>AI的發展有目共睹，其採用速度創下歷史新高，ChatGPT僅用兩個月即達1億用戶，目前每週活躍用戶約為9億；此外，相較AWS成立初期3年僅約5800萬美元的年化收入，同樣約3年的AWS生成式AI業務已達150億美元規模；而且就算AWS在2025年新增3.9GW電力，仍難以滿足市場需求，顯示AI需求明顯超過基礎設施供給。</p> <p>AWS的AI相關業務涵蓋模型開發工具（如SageMaker）、生成式AI平臺（如Amazon Bedrock）、推論運算，以及自研AI晶片（如Trainium）所支撐的算力供應，橫跨模型建構、部署到實際運行的完整流程。</p> <p>Amazon透露，其生成式AI平臺Amazon Bedrock曾因需求快速成長，原有推論系統不堪負荷而進行關鍵重構，團隊決定從頭重寫底層引擎，並導入自家AI程式開發工具Kiro，由AI負責部分系統設計與程式撰寫，加速開發流程。Amazon指出，若採傳統方式，通常需約40人團隊耗時一年才能完成。</p> <p>最終，該團隊僅以6人、76天完成新一代推論引擎Mantle，並成為Bedrock核心基礎設施。重構後系統效能顯著提升，使Bedrock在2026年第一季處理的運算量已超過過去所有年度總和。</p> <p>值得注意的是，AWS AI業務的收入規模也逐漸接近主流生成式AI公司，<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic</a>在2026年的年化收入超過300億美元，OpenAI今年3月時的年化收入則約240億美元，但其商業模式仍存在著差異。其中，OpenAI與Anthropic主要透過模型訂閱與API服務變現，直接面向終端用戶與開發者；AWS則以雲端基礎設施、模型託管與推論服務為核心，扮演支撐整個AI產業運作的底層供應者。</p> <p>市場分析認為，隨著企業導入AI的規模持續擴大，相關需求不僅集中於模型能力本身，也帶動了對算力、資料處理與部署環境的需求，正在重構整體產業價值鏈。</p> </div></div></div>
4/10 12:49作者陳曉莉https://www.ithome.com.tw/news/174969
Swift藉Open VSX擴大編輯器支援，官方擴充套件可用於Cursor等編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Apple主導的開放原始碼程式語言Swift官方擴充套件已正式上架<a href="https://www.swift.org/blog/expanding-swift-ide-support/">Open VSX Registry</a>，讓相容VS Code擴充套件機制的編輯器，包括Cursor、VSCodium、AWS Kiro與Google Antigravity，可更直接取得Swift開發支援。這也讓Swift擴充套件透過既有分發機制進入更廣泛的編輯器生態，降低安裝門檻。</p> <p>Open VSX由Eclipse基金會維護，是中立、開源的擴充套件登錄服務，近來成為不少AI開發平臺共用的基礎設施。</p> <p>Swift官方表示，這套擴充套件提供程式碼補全、重構、完整的除錯支援、測試總管與DocC支援，主要支援以Swift Package Manager建置的專案，並可在macOS、Linux與Windows上使用。也就是說，Swift原本已支援的多編輯器開發流程，現在可更直接延伸到更多採用Open VSX的編輯器，不必再手動下載擴充套件安裝檔。</p> <p>Swift過去已可在VS Code、Xcode、Neovim與Emacs等環境中開發，並支援實作Language Server Protocol的編輯器。這次擴大到Open VSX相容環境後，實際上是透過既有擴充套件分發機制，把Swift開發支援帶到更多相容編輯器與新型開發平臺。</p> <p>該更新有助於縮短Swift進入更多新編輯器的距離，不過目前官方說明仍以Swift Package Manager專案為主要支援對象。</p> </div></div></div>
4/10 12:51作者李建興https://www.ithome.com.tw/news/174966
觸及率大幅下滑，電子前線基金會宣布退出X
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>專門推動數位權利的非營利組織<a href="https://www.eff.org/deeplinks/2026/04/eff-leaving-x" target="_blank">電子前線基金會（Electronic Frontier Foundation，EFF）週四（4/9）宣布</a>，將退出待了20年的X平臺，主因為該平臺的觸及率大幅下滑。</p> <p>根據EFF的統計，2018年時它們每天在Twitter上（現在的X）發布5到10則推文，這些推文每月獲得約5,000萬到1億次的曝光量；到了2024年，它們一年在X平臺上發布2,500則推文，每月僅獲得200萬次的曝光量；而2025年時，它們發布了1,500則推文，全年的總曝光量只剩下1,300萬次。</p> <p>整體而言，現在EFF在X上一則推文的瀏覽量，還不到7年前的3%。</p> <p>在馬斯克（Elon Musk）於2022年10月買下Twitter時，EFF即曾公開呼籲平臺應強化內容審查透明度、導入真正的端對端加密私訊機制，並提升使用者與第三方開發者對平臺的控制權。然而EFF指出，這些期待並未實現，反而出現人權團隊遭裁撤、部分地區負責對抗審查的員工被解雇等變化，導致平臺環境出現轉變。</p> <p>EFF表示，儘管Twitter過去並非完美，但仍曾在言論自由與用戶權利上扮演重要角色；然而在經營方向調整後，平臺的影響力與功能性均已明顯下降，也有不少用戶選擇離開。</p> <p>事實上，在EFF之前，<a href="https://www.theguardian.com/media/2024/nov/13/why-the-guardian-is-no-longer-posting-on-x" target="_blank">衛報</a>（Guardian）、北愛爾蘭頂大University Belfast (QUB)與<a href="https://www.bbc.com/news/articles/cdxz995vd9ko" target="_blank">Belfast市政府</a>、或是<a href="https://www.reuters.com/business/media-telecom/teachers-union-says-its-leaving-x-calling-ai-images-children-the-last-straw-2026-01-13/" target="_blank">美國教師聯合協會</a>（American Federation of Teachers）都因不滿X上的內容而宣布退出該平臺，包括指責該平臺放任仇恨、厭女及兒童性剝削內容。</p> <p>不過，即使離開X，EFF依然會持續於Bluesky、Mastodon、LinkedIn、Instagram、TikTok、Facebook及YouTube等社交平臺上發聲。EFF解釋，之所以仍然使用TikTok、Facebook及Instagram等具爭議的平臺，是因為年輕人、有色人種、酷兒族群、活動家及組織每天都還在使用它們，將這些程式刪除並強迫所有使用者遷移到去中心化的聯邦宇宙（Federated Universe）並不容易。</p> <p>EFF也強調，存在於Facebook、Instagram、YouTube或TikTok亦不代表該組織認同它們，EFF將繼續針對這些平臺提出建議，只是不會再用X了。</p> </div></div></div>
4/10 10:45作者陳曉莉https://www.ithome.com.tw/news/174962
Acrobat Reader驚傳零時差漏洞，駭客自去年11月就用於針對俄羅斯能源產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>論及檢視PDF檔案，許多用戶會採用Acrobat Reader，如今有多位研究員發現，有人在數個月前找到零時差漏洞並發動攻擊。</p> <p>相關活動最早是研究員Haifei Li<strong><a href="https://justhaifei1.blogspot.com/2026/04/expmon-detected-sophisticated-zero-day-adobe-reader.html">於4月7日提出警告</a></strong>，他建置的資安威脅監控系統ExpMon偵測到有問題的PDF檔案，經進一步分析後，判定此漏洞具備收集資料與洩露的能力，攻擊者還能遠端執行任何程式碼（RCE），並進行沙箱逃逸（SBX），當中利用了Acrobat Reader零時差漏洞，此弱點允許攻擊者執行特殊權限的API，影響最新版本的Acrobat Reader。</p> <p>根據Haifei Li對於漏洞危險的說明，攻擊者可收集用戶資訊、竊取本機資料，並彙整受害電腦的系統指紋（Fingerprinting），以供後續攻擊活動運用。除此之外，若是受害電腦符合特定條件，攻擊者還能執行任意程式碼，或是從沙箱隔離中逃脫。</p> <p>隔天他更新部落格文章內容，指出有人發現新的漏洞利用檔案的變種，值得留意的是，此檔案於去年11月28日就上傳到VirusTotal，代表此零時差漏洞的利用活動已持續長達近半年。</p> <p><strong><a href="https://x.com/Gi7w0rm/status/2042003381158379554">威脅情報分析師Gi7w0rm指出</a></strong>，在利用Adobe Reader零時差漏洞的活動裡，駭客使用了俄文誘餌，內容提及俄羅斯石油與天然氣產業時下議題。而對於漏洞的部分，Gi7w0rm指出與其中的JavaScript引擎有關。</p> <p>另一名資安研究員Giuseppe Massaro（N3mes1s）<strong><a href="https://gist.github.com/N3mes1s/9e55e8d781235ee256d5b3f6720222dd">於4月8日發布完整調查報告</a></strong>，指出他針對兩個利用零時差漏洞的PDF檔案進行分析，結果發現駭客藉此採集受害電腦的系統指紋，將電腦裡的資料傳送到C2伺服器，並下載經AES演算法處理的JavaScript有效酬載並執行。</p> <p>經過VirusTotal檢測，在77個防毒引擎的分析之下，只有6個將其視為有害。Massaro指出，駭客使用專門的基礎設施，C2伺服器還能額外過濾受害者，只有在確認是攻擊目標的情況下才會傳遞有效酬載，他認為攻擊者很可能是專業的APT駭客，或是背後有國家資助。</p> <p>這些PDF檔案的內容，都是針對俄語使用者，目標有可能是政府機關、能源機構，或是關鍵基礎設施相關企業。PDF檔案都是使用Python程式庫PyMuPDF製作，沒有標題、作者、建立日期等中繼資料，而且都是以圖片的方式呈現，使用者無法選取其中的文字內容。</p> <p>Massaro提及此零時差漏洞涵蓋兩種層面的弱點，第1種是透過內部特定的API注入JavaScript指令碼，該指令碼會觸發另一個與原型汙染有關的弱點，從而提升權限，最終得到能呼叫任何Acrobat API能力的完整權限。</p> </div></div></div>
4/10 10:48作者周峻佑https://www.ithome.com.tw/news/174963
AI出現「暗中違規」行為，研究揭半年近700起事件、5個月暴增近5倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國非營利研究機構<a href="https://www.longtermresilience.org/reports/v5-scheming-in-the-wild_-detecting-real-world-ai-scheming-incidents-through-open-source-intelligence-pdf/" target="_blank">長期韌性中心（Centre for Long-Term Resilience）發布最新研究</a>指出，AI系統在真實環境中已出現違反人類指示、甚至規避限制的行為，且相關案例數量正快速增加。研究統計，在2025年10月12日至2026年3月12日期間，共辨識出698起與「scheming」（隱蔽偏離目標的行為）相關的真實事件，單月事件數量在5個月內成長達4.9倍。</p> <p>所謂「scheming」，是指AI同時具備「目標偏離」（misalignment）與「隱蔽性」（covertness），在未被察覺的情況下，執行偏離使用者或開發者原意的行為。研究認為，這類行為可視為AI系統可能出現失控風險的早期徵兆。</p> <p><span style="color:#B22222;"><strong>AI異常行為從實驗室走向真實環境</strong></span></p> <p>為了掌握這類行為在實際應用中的出現情形，研究團隊採用開源情報（Open-Source Intelligence，OSINT）方法，分析超過18萬筆公開AI對話紀錄，資料主要來自社群平臺X上分享的聊天截圖與對話連結。經篩選後，研究人員確認895起具可信度的事件報告，並在去除重複案例後，得到698起實際事件。</p> <p>研究結果顯示，這類過去多半僅在實驗環境中觀察到的行為，例如策略性欺騙、隱藏意圖或違反指令，如今已出現在實際部署的AI系統。</p> <p>從具體案例來看，有AI代理在被拒絕修改開源專案後，主動撰寫公開文章批評維護者，試圖影響結果；也有AI系統在使用者明確要求停止時，仍持續執行動作，甚至繞過限制機制完成任務。此外，研究也觀察到AI出現欺騙行為，例如聲稱任務已完成、生成不實數據，或改寫提示詞以繞過其他模型的安全限制。</p> <p>從時間趨勢來看，在2025年10月12日至11月12日期間，每月約65起相關事件，但到了2026年2月9日至3月12日，已增加至319起，成長幅度達4.9倍。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0410-scheming-related%20AI%20incidents-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://www.longtermresilience.org/reports/v5-scheming-in-the-wild_-detecting-real-world-ai-scheming-incidents-through-open-source-intelligence-pdf/" target="_blank"><span style="color:#696969;">Centre for Long-Term Resilience</span></a></span></p> <p>相較之下，同期間社群上相關討論貼文數量僅成長1.7倍，整體負面討論則成長1.3倍。研究指出，事件數量的成長可能與模型能力提升、使用量增加或回報行為改變等多重因素有關，目前仍無法單一歸因。</p> <p><span style="color:#B22222;"><strong>多數</strong></span><strong style="color: rgb(178, 34, 34);">AI異常行為</strong><span style="color:#B22222;"><strong>影響仍有限，但已出現實際損害案例</strong></span></p> <p>就目前觀察到的案例而言，多數影響仍屬低嚴重性或可回復範圍，例如錯誤操作或可還原的資料異動。這也反映當前AI系統多半仍作用於軟體與資料層面，相關問題通常可透過既有機制修復。</p> <p>不過，研究也指出部分事件已造成實際損害。例如，有AI系統在執行任務時刪除資料或基礎設施設定，導致服務中斷；另有案例顯示，AI代理在操縱性請求下轉移資產，引發價格波動與經濟損失。</p> <p>儘管如此，研究強調，目前尚未觀察到具高度策略性且大規模的「scheming」事件，多數案例仍可能與模型能力限制或判斷錯誤有關，而非明確的策略性行為。</p> <p><span style="color:#B22222;"><strong>研究建議以OSINT補強監測機制</strong></span></p> <p>從監測機制角度來看，研究團隊指出，現行AI事件通報多仰賴新聞報導，較難涵蓋技術性較高或影響較小的事件，可能導致實際情況被低估。</p> <p>因此，研究建議以開源情報（OSINT）方式蒐集公開對話紀錄，作為補充監測手段，以更即時掌握AI在實際部署中的行為變化。此類方法可用於支援後續研究、政策制定與風險評估，並作為觀察趨勢變化的重要依據。</p> </div></div></div>
4/10 11:15作者王珮瑤https://www.ithome.com.tw/news/174959
OpenAI推出月費100美元的ChatGPT Pro方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://help.openai.com/en/articles/9793128-about-chatgpt-pro-plans" target="_blank">OpenAI本週四（4/9）公佈</a>在頂級Pro及Plus方案之間，再推出每月100美元的新Pro方案。</p> <p>現有ChatGPT個人方案中，除了免費版外，還包括月費8美元的Go、20美元的Plus與200美元的Pro方案（臺幣月費方案則為270、690及3,300元）。然而Plus和Pro中間價格和使用限額差距過大，一直以來就有在中間增加一個價格層（tier）的呼聲。如今<a href="https://help.openai.com/en/articles/9793128-about-chatgpt-pro-plans" target="_blank">OpenAI公布新方案</a>來回應用戶需求。</p> <p>新增的方案也稱為Pro。根據OpenAI的定義，相較Plus提供基本用途、可使用些許Codex和Deep Research，100美元Pro方案是為真正的專案設計，每週可使用進階工具和模型的配額是Plus的5倍，並可在限定期間內獲得10倍的Codex配額。而現有200美元月費的Pro方案則提供較Plus高出20倍的使用額度，支援長時間執行高負載工作流程，並可同時處理多個專案。</p> <p>簡言之，兩個Pro方案提供的核心功能相同，差別在配額。和Plus相較，100美元Pro和200美元Pro方案各提供5倍和20倍限額。</p> <p>Plus用戶若想升級方案，可以從OpenAI ChatGPT價格頁或自App的「設定」>「我的方案」升級。用戶選擇Pro方案後就會出現兩種方案供選擇。現有最頂級Pro方案則不受影響。兩種Pro方案用戶可以隨時經由「設定」>「我的方案」切換方案，而系統也會根據方案週期自動調整收費。</p> <p>有些地區還看不到100美元Pro方案。OpenAI表示，由於暫時性的顯示問題，土耳其、越南、南非和埃及的部份iPhone用戶無法在ChatGPT iPhone價格頁看到$100 Pro，但用戶還是可以在Apple帳號下的「訂閱」>「ChatGPT」找到「可用方案」，選擇「ChatGPT Pro 5x」來訂閱。</p> <p>目前<a href="https://chatgpt.com/zh-Hant/pricing/" target="_blank">臺灣ChatGPT方案</a>價格頁尚未顯示最新100美元Pro方案。</p> </div></div></div>
4/10 09:45作者林妍溱https://www.ithome.com.tw/news/174960
Anthropic推託管代理服務，以解耦架構簡化長時間代理部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic發表<a href="https://www.anthropic.com/engineering/managed-agents">Claude Managed Agents託管服務</a>，開發者不必自行建構代理迴圈、沙箱或工具執行層，即可透過API部署可執行長時間、多步驟任務的AI代理。其架構核心是將模型推論、執行環境與工作階段紀錄解耦，以降低控制程式中的既有假設隨模型演進而失效的風險。</p> <p>Anthropic指出，代理控制程式（Agent Harness）本質上是用來補足模型現階段能力邊界的機制，但這些補償假設會隨模型進步而過時。官方舉例，Claude Sonnet 4.5在接近上下文上限時，會出現提早結束任務的情況，團隊當時因此在控制程式中加入上下文重置機制，但同一套控制程式套用到Claude Opus 4.5後，這種情況已不再出現，原本的重置設計反而成為多餘負擔。</p> <p>Managed Agents的設計靈感來自作業系統的抽象化原則，如同作業系統將硬體虛擬化為行程（Process）與檔案（File）等抽象介面，使應用程式不必處理底層硬體細節，Managed Agents也將代理系統拆成三個彼此獨立的介面，包括負責推論決策的「腦」，也就是模型與控制迴圈，還有負責實際執行的「手」，也就是沙箱容器與工具，以及獨立儲存的工作階段日誌。三者透過標準化介面溝通，任一部分故障或需要替換，都不影響其餘部分運作。</p> <p>完成解耦後，容器改為可隨時重建與替換的執行元件，控制程式不再部署在容器內，而是透過標準介面與容器互動，如同呼叫其他工具一樣。容器故障時，控制程式會先將錯誤回傳給Claude，再由Claude判斷是否重試並啟動新容器。由於工作階段日誌獨立存放於外部，控制程式本身也成為無狀態元件，即使發生故障，也能在重新讀取事件紀錄後接續執行。</p> <p>由於推論不必再等待容器完成啟動，Anthropic表示，首次詞元回應時間（TTFT）的p50降低約60%，p95更降低逾90%。</p> <p>解耦架構也改善了安全性，過去所有元件共處同一個容器時，Claude產生的程式碼與認證資料位於同一環境，提示詞注入攻擊只要說服Claude讀取環境變數，就可能取得存取權杖。新架構下，OAuth權杖儲存在沙箱之外的獨立保管庫中，Claude透過專屬代理服務呼叫MCP工具，控制程式與沙箱全程不接觸任何認證資料。</p> </div></div></div>
4/10 09:20作者李建興https://www.ithome.com.tw/news/174958
中國駭客Silver Fox假借稅務名義從事網釣，將攻擊範圍擴大至南亞多國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>曾針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（也被稱做Void Arachne），近年來攻擊活動頻傳，駭客藉此散布後門程式Winos 4.0（ValleyRAT），不過，最近有資安公司發現，這些駭客的手法出現重大變化。</p> <p>資安公司Sekoia<strong><a href="https://blog.sekoia.io/silver-fox-the-only-tax-audit-where-the-fine-print-installs-malware/">針對Silver Fox進行長期追蹤</a></strong>，指出這些駭客的攻擊行動最早可追溯到2022年，犯案的動機是為了經濟利益，約從2024年開始，Silver Fox逐漸轉向APT型態的活動。他們主要的工具是模組化後門Winos 4.0，有些活動還會搭配Gh0st RAT變種HoldingHands，以及Blackmoon等中國駭客普遍採用的惡意軟體。值得留意的是，Sekoia發現，這些駭客從去年開始，從原本慣用的Winos 4.0轉向合法的遠端監控與管理工具（RMM），後續又改用以Python開發的竊資軟體，他們將該惡意軟體偽裝成WhatsApp的應用程式來魚目混珠。</p> <p>雖然在作案工具的運用出現變化，但是這些駭客取得受害企業組織的初期存取管道的做法，仍是偏好冒充國家稅務機關，或是以薪資檔案為誘餌。不過，駭客的活動範圍，從原本針對臺灣與中國，已經延伸到日本、馬來西亞、印度、印尼、新加坡、泰國及菲律賓等多個南亞國家的實體。</p> <p>Sekoia從去年1月開始，看到這些駭客3個階段的攻擊手法演進，第一波是針對臺灣企業組織，以稅務稽核抽查的名義，誘使收信人開啟PDF附件，導致受害電腦被植入Winos 4.0。附帶一提的是，Fortinet同年4月發現相關攻擊範圍擴大，駭客也攻擊日本企業組織。</p> <p>第二波攻擊出現在去年12月中旬，這次Silver Fox針對馬來西亞、菲律賓、泰國、印尼、新加坡、印度，雖然駭客同樣以稅務當作幌子，並延用部分基礎設施，不過這次他們並未使用PDF附件，而是直接在釣魚信嵌入連結，引誘收信人連往冒牌稅務網站，並從網站下載壓縮檔，其內容為中國品牌的遠端監控與管理工具的安裝程式。</p> <p>最近一波手法轉變出現在今年2月，這些駭客改用Python竊資軟體來取代遠端監控與管理工具。Sekoia看到的活動針對馬來西亞，但他們不排除駭客也會對南亞其他國家的企業從事類似攻擊。駭客將竊資軟體偽裝成WhatsApp應用程式，其竊得的資料除被用於網路間諜活動，還有可能用於商業郵件詐騙（BEC），或是竊取內部資料並轉售牟利。</p> </div></div></div>
4/9 17:12作者周峻佑https://www.ithome.com.tw/news/174956
全球掀起簡訊OTP禁用潮，印度、UAE金融監管新法4月生效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球政府禁用簡訊OTP（一次性密碼）的態勢越發顯著，在今年3月舉辦的FIDO臺灣分會活動中，就有電信身分識別專家分享此類議題，太思科技董事長何俊炘針對簡訊OTP議題說明產業對策，在解析eSIM Passkey技術發展之餘，特別指出多國政府正陸續加入禁用OTP的行列。</p> <p>回顧2024年，新加坡因網路釣魚詐騙造成至少1,420萬美元損失，為此，<strong><a href="http://www.ithome.com.tw/news/163923">新加坡金融管理局要求銀行限期汰除簡訊OTP</a></strong>，此舉引發我們關注其後續發展，隨後，當地多家銀行陸續採取行動，改以手機App作為身分驗證機制，包括<a href="https://www.dbs.com.sg/personal/support/general-digibank-security-login-authentication.html">星展銀行</a>、<a href="https://www.uob.com.sg/personal/digital-banking/digital-token.page">大華銀行</a>、<a href="https://www.ocbc.com/personal-banking/help-and-support/digital-banking/online-banking-onetoken">華僑銀行</a>等皆已推動相關措施。</p> <p>這次何俊炘在演說中進一步揭露，這股趨勢正迅速擴散：馬來西亞更早提出分階段推動，現已全面停用簡訊OTP；阿拉伯聯合大公國（UAE）則從2026年3月31日開始全面禁用簡訊OTP，印度亦從4月1日起禁止銀行以簡訊OTP為唯一認證管道，並且要求銀行負擔賠償責任。</p> <h3><span style="color:#B22222;"><strong>因應詐騙與網路犯罪，馬來西亞、UAE與印度強化金融監管</strong></span></h3> <p>我們進一步檢視相關消息，例如，<a href="https://www.bnm.gov.my/-/financial-crime-exhibition-speech-en">馬來西亞國家銀行（BNM）從2022年就開始宣布</a>，由於詐騙與網路犯罪日益猖獗，因此，業者要求高風險線上銀行作業，必須從簡訊OTP遷移至更安全的驗證方式。後續當地銀行分階段遷移，包括馬來亞銀行在內的多家銀行已於2024年9月完成過渡。</p> <p>阿拉伯聯合大公國中央銀行（CBUAE）於2025年5月發布第2025/3057號通知，明訂自2026年3月31日起，國內支付、國際轉帳及線上購物等金融交易，不得再將簡訊OTP、Email OTP或靜態密碼作為獨立驗證手段，必須改以生物辨識、App推播或FIDO等強驗證方式取代。</p> <p><a href="https://www.rbi.org.in/Scripts/NotificationUser.aspx?Id=12898&Mode=0">印度儲備銀行（RBI）於2025年9月祭出新法</a>，其頒布的《數位支付交易認證機制指令2025》，明定所有數位支付交易自2026年4月1日起，必須至少採用雙因素驗證（2FA），簡訊OTP不得單獨作為驗證方式，須搭配生物辨識、App通證或裝置綁定等更安全機制，且若未落實導致詐騙發生，銀行恐需負擔賠償責任。</p> <h3><span style="color:#B22222;"><strong>綜觀多國政府汰除簡訊OTP的態勢，其實與FIDO聯盟目標一致</strong></span></h3> <p>對於全球多國相繼禁用簡訊OTP的態勢，何俊炘分析指出，網路犯罪生態系長期將簡訊OTP視為防禦破口。攻擊者常透過社交工程、釣魚網站誘騙受害者提供驗證碼，進而非法取得雲端帳戶存取權限。</p> <p>在此類威脅日益嚴峻之下，傳統簡訊OTP的多因素驗證（MFA）已顯得力不從心，這也使得各國監管機構正加速淘汰簡訊OTP的使用。</p> <p>而這樣的政策方向，也與FIDO聯盟推動的Passkey發展高度一致。何俊炘強調，為了因應網釣攻擊，轉向具備抗網釣能力的強式MFA驗證機制已是必然。</p> <p>整體來看，我們可以發現，這股汰換浪潮並非一蹴而就，早在<strong><a href="https://www.ithome.com.tw/news/128566">前幾年舉行的FIDO研討會上</a></strong>，即指出美國國家標準技術研究所（NIST）2016年發布的數位身分認證指南，已開始建議企業不要再透過電信的簡訊與電話語音來執行二次驗證；後續美國CISA也在2019年特別<strong><a href="https://www.ithome.com.tw/news/155547">發布抗網釣MFA導入指引文件</a></strong>，明確將簡訊MFA定位為「過渡到強式MFA之前的臨時方案」；時至今日，這股趨勢已轉化為全球性的監管行動，陸續有政府將禁用OTP列入政策。</p> <p>至於未來還有哪些重要發展？隨著Passkey應用漸趨普及，讓用戶在帳號登入可防範網釣攻擊，但何俊炘指出，在帳號登入之外，帳號註冊與帳號復原等流程也需要同步升級驗證機制。何俊炘在演說中也提到<strong><a href="https://www.ithome.com.tw/news/174936">FIDO聯盟成員正與電信業合作研發應對方案</a></strong>，例如電話號碼驗證（PNV）等新技術，以及基於eSIM Passkey的技術方案，這也是全球產業正在持續探討與發展的最新態勢。<br /> </p> </div></div></div>
4/9 18:29作者羅正漢https://www.ithome.com.tw/news/174934
解決簡訊OTP難題，FIDO生態系設法與電信業者整合，電話號碼驗證PNV與eSIM Passkey成新對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期<a href="https://www.ithome.com.tw/news/174834">大量LINE帳號遭盜用</a>的事件受到廣泛關注，雖然這次事件主因在於電信業語音信箱採用預設密碼，讓攻擊者有機可乘，但整起事件背後還有其他更深層議題值得探討，因為雲端服務相關驗證機制仍仰賴OTP認證碼（一次性密碼）。</p> <p>儘管全球產業早已推動<a href="https://www.ithome.com.tw/news/155547">採用更強的多因素驗證（MFA</a>）與<a href="https://www.ithome.com.tw/news/172885">Passkey</a>，以降低雲端服務登入遭網釣風險，但許多雲端服務在帳號註冊或復原的流程中，至今仍經常依賴簡訊OTP作為身分驗證方式。</p> <p>是否已有因應之道？今年3月FIDO臺灣分會舉辦活動，太思科技董事長何俊炘在一場演說剛好談及這方面的議題，揭露<a href="https://www.ithome.com.tw/news/174934">全球多國政府陸續禁用OTP的態勢</a>之餘，更強調FIDO聯盟成員正積極與電信業合作的全新發展態勢。</p> <h3><span style="color:#B22222;"><strong>串連電信資源，電話號碼驗證PNV正興起</strong></span></h3> <p>何俊炘表示，FIDO生態系如何與電信業者深度結合，是他今年2月參與FIDO巴黎研討會時關注的核心議題。</p> <p>目前相關對策仍在持續發展中，其中有兩大技術趨勢備受矚目：一是仰賴電話號碼的電話號碼驗證（Phone Number Verification，PNV）機制，另一則是去電話號碼識別，基於eSIM Passkey的技術方案。</p> <p>關於PNV的發展，何俊炘表示，身為FIDO聯盟成員的Google，<a href="https://www.ithome.com.tw/news/173007#PNV"><strong>去年在臺解析Passkey技術時，就曾介紹PNV認證機制的進展</strong></a>，而其重點就是設法與電信業者合作。</p> <p>他進一步解釋，由於Google等許多大型雲端服務業者的用戶規模數以億計，難以逐一驗證身分，因此現行的帳號復原流程，仍會依賴電信業者協助傳送簡訊OTP。然而，鑑於簡訊OTP安全性不足，因此業界正加速轉向更安全的驗證機制，像是Google推動的PNV認證機制，就是設法與電信業者的直接整合，並藉助Firebase等服務來協調與介接。</p> <p><a href="/sites/default/files/images/Firebase PNV.jpg"><img alt="" src="/sites/default/files/images/Firebase%20PNV.jpg" style="width: 600px;" /></a></p> <p><strong>根據<a href="https://firebase.blog/posts/2026/03/firebase-pnv-public-preview/">Firebase網站</a>說明，Firebase PNV公開預覽版已於今年3月1日正式推出，象徵電話號碼驗證機制的重大演進。目前，該計畫已與芬蘭、德國、印度、荷蘭、馬來西亞及英國等多國電信業者展開深度合作。</strong></p> <p>換言之，Google新推動的PNV認證即是為了解決簡訊OTP的痛點：藉由電信業者在網路端掌握的門號、裝置與連線資訊進行背景驗證。</p> <p>另一科技大廠Meta同樣重視此議題，何俊炘表示，Meta在一個月前發布白皮書「<strong><a href="https://engineering.fb.com/wp-content/uploads/2026/02/Meta-White-Paper-The-Promise-of-Silent-Auth-APIs.pdf">The Promise of Phone Number Silent Authentication APIs</a></strong>」，也是基於相同理由聚焦靜默網路認證（Silent Network Auth）而來。</p> <p>在此同時，GSMA全球行動通訊系統協會亦積極推動標準化，在GSMA Open Gateway框架之下，提供Number Verification API，利用行動網路原生的IP位址與裝置狀態資訊來背景比對，實現無感門號驗證，並可協同SIM Swap API快速偵測該門號指定期間（如近一個月內）是否有更換SIM卡的紀錄，藉此防範帳號盜用。</p> <h3><span style="color:#B22222;"><strong>提倡「去電話號碼識別」</strong><strong>，eSIM Passkey發展成新焦點</strong></span></h3> <p>關於另一項eSIM Passkey與去電話號碼識別的發展，何俊炘表示，目前FIDO聯盟成員正與電信業者合作，評估導入eSIM Passkey的可行性，以提供更安全的MFA。</p> <p>具體而言，太思科技正與GSMA全球行動通訊系統協會討論，將eSIM Passkey API標準化，成為全球電信業者通用的Open API。在此同時，太思科技已經開始與印度、日本、歐洲等幾個國家電信業者展開合作。</p> <p>為何此機制比PNV更安全？何俊炘指出，前述的Number Verification機制本質上是被動驗證，用戶通常不會察覺驗證過程，但對於高風險交易而言，仍需要用戶主動確認。</p> <p>他進一步說明，現行GSMA Open Gateway框架雖然透過開放API提供驗證能力，但本質多屬於網路層的狀態查詢與比對。對金融業者而言，僅依賴這類網路層回報，難以滿足強式MFA、可稽核性與不可否認性等監管要求。因此，仍需由電信端或信任服務端提供更高安全性的機制，才能支撐銀行與高風險服務場景的需求。</p> <p>另一項關鍵議題在於，現行電話號碼一旦給出去就難以收回，任何人甚至AI都可以撥打或發送簡訊給你。何俊炘強調，電話號碼的本質並非為網路身分而設計，其初衷是通訊路由，而非數位身分識別。將電話號碼視為身分錨點，已帶來系統性風險，未來的信任架構應朝「去識別化即設計（De-identification by design）」發展。</p> <p>因此，這項新方案不僅是將FIDO技術延伸至eSIM層，發展出eSIM Passkey，同時也強調電話號碼去識別化，並達到身分驗證AAL2的安全水準，而且亦可整合數位身分皮夾。</p> <p>不過這項方案仍需與FIDO聯盟合作推動。新方案採用電信OTA專用通道進行驗證，與現行FIDO機制有所不同，因此這仍是目前需要持續推進的發展方向。</p> <p><a href="/sites/default/files/images/（圖2）面對簡訊OTP，PNV與eSIM Passkey成新對策.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%9D%A2%E5%B0%8D%E7%B0%A1%E8%A8%8AOTP%EF%BC%8CPNV%E8%88%87eSIM%20Passkey%E6%88%90%E6%96%B0%E5%B0%8D%E7%AD%96.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖1）面對簡訊OTP，PNV與eSIM Passkey成新對策.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9D%A2%E5%B0%8D%E7%B0%A1%E8%A8%8AOTP%EF%BC%8CPNV%E8%88%87eSIM%20Passkey%E6%88%90%E6%96%B0%E5%B0%8D%E7%AD%96.jpg" style="width: 600px;" /></a></p> <p>總結這兩項技術的發展，何俊炘指出，PNV是電信網路端發起，用戶被動接受認證的方案，某些低安全性認證情境可以取代簡訊OTP；eSIM Passkey則進一步以eSIM晶片做到AAL2加密認證，取代目前使用簡訊OTP作為MFA的場景。</p> <p>另外，對於近期LINE帳號盜用的事件，後續我們也請何俊炘分享其觀察與見解。何俊炘表示：駭客使用LINE語音驗證的前提，需要知道用戶的電話號碼，才能進入語音信箱聽取OTP。所以，根本的原因是個人資料的洩漏，如果服務商不以用戶電話號碼作為服務ID，就可以避免這樣的問題。而像是eSIM Passkey的認證方式，不需要電話號碼，不會洩漏個資。</p> <p> </p> </div></div></div>
4/9 18:52作者羅正漢https://www.ithome.com.tw/news/174936
AWS推出S3 Files，S3儲存桶現可掛載為檔案系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS發表<a href="https://aws.amazon.com/blogs/aws/launching-s3-files-making-s3-buckets-accessible-as-file-systems/">Amazon S3 Files</a>，讓通用S3儲存桶可掛載為檔案系統，供EC2執行個體、EKS工作負載與Lambda函式存取，並可用於部分ECS部署。該服務底層是Amazon EFS，活躍資料延遲約1毫秒，檔案系統與S3儲存桶之間可自動雙向同步，目前已在所有AWS商用地區上線。</p> <p>物件儲存與檔案系統長期以來是兩種不同的儲存架構，前者擅長大規模低成本儲存，後者提供應用程式熟悉的目錄結構與隨機讀寫能力。過去使用者必須根據工作負載特性擇一，或自行搭建資料搬移工作管線串接兩端。S3 Files的設計是降低物件儲存與檔案系統之間切換與同步的成本，讓支援的AWS運算資源可用標準檔案操作直接存取S3資料。</p> <p>S3 Files支援NFS v4.1以上版本的所有操作，包括檔案與目錄的建立、讀取、更新及刪除。系統採用智慧分層存取策略，經常使用的檔案會自動放置在高效能儲存層，提供低延遲存取，而大型循序讀取的檔案則直接從S3讀取以最大化吞吐量。</p> <p>透過檔案系統介面寫入的變更，會先彙整短時間內的連續寫入，再同步成S3儲存桶中的新物件或新版本。從S3端對物件所做的變更通常在數秒內更新到檔案系統，但要是檔案資料已從高效能儲存層過期，則要等到下次存取時才會從S3抓取最新版本。S3 Files支援多運算資源同時掛載存取，採用NFS的close-to-open一致性模型，適合需要多節點協作讀寫的場景。</p> <p>S3 Files整合IAM進行存取控管，支援身分與資源政策。檔案系統使用POSIX權限模型，依據UID與GID檢查檔案層級的存取權限，相關權限資訊儲存為S3物件的中繼資料，傳輸中資料一律以TLS 1.3加密，靜態資料則支援SSE-S3或透過AWS KMS使用客戶自管金鑰加密。</p> <p>AWS強調，S3 Files與Amazon FSx系列服務的定位不同。S3 Files適合資料本身就存放在S3，但需要透過檔案系統介面進行互動式共享存取的場景，AWS特別點名AI代理系統、ML訓練工作管線及多運算資源協作等工作負載。Amazon FSx則適用從地端NAS環境搬遷、HPC與GPU叢集儲存，或需要Lustre、NetApp ONTAP、OpenZFS、Windows File Server等特定檔案系統功能的需求。</p> </div></div></div>
4/9 16:24作者李建興https://www.ithome.com.tw/news/174949
AI基礎設施競賽新護城河!？美綠色資料中心業者砸5,300萬美元買下風電設施擁自主綠電來源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國專門開發及營運綠能資料中心的Soluna Holdings近期宣布以5,300萬美元收購位於德州、裝置容量150MW的風電業者Briscoe Wind Farm。從資料中心的單純用電者，轉型為能源生產者，突顯在全球AI算力基礎設施加速擴張下，能源與數位基礎設施整合的趨勢。</p> <p>Soluna藉此完成Dorothy專案的園區垂直整合，從土地、再生能源到資料中心算力基礎設施皆由該公司掌握，強化成本控制與供電穩定性。</p> <p>在永續IT架構下，能源供應已成為全球AI與高效能運算（HPC）擴張的主要瓶頸。過去仰賴電力採購協議（PPA）的模式，藉此取得再生能源，一方面降低碳排，也能避免自行建置風機或太陽能設施的成本與風險。</p> <p>然而，在全球能源價格波動加劇、供電不穩與用電需求攀升下，單純購電模式開始受到檢視。業者逐漸意識到，能源不只是永續議題，也是影響AI基礎設施競爭力的關鍵資產。</p> <p>透過持有風電資產，降低對外部電力市場的依賴，在電價波動劇烈的環境中建立長期競爭優勢。Soluna執行長John Belizaire直言，「能源主權將成為AI基礎設施競賽中最關鍵的護城河」。</p> <p>隨著電力來源到位，該公司下一階段擴張計畫「Dorothy 3」，預計在既有園區旁新增300英畝土地，打造最高可達300MW規模的再生能源AI運算園區，鎖定生成式AI與高效能運算應用。該擴建計畫將結合電網擴容與在地發電，進一步提升算力與能源配置效率。</p> <p>隨著AI帶動資料中心投資持續升溫，從「購電」走向「自發自用」的垂直整合模式，正逐漸成為永續IT發展的新主軸，也預示能源將成為下一波數位競爭的資源。</p> </div></div></div>
4/9 16:52作者蘇文彬https://www.ithome.com.tw/news/174955
【資安日報】4月9日，Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174898"><strong style="font-size: 22px;">Anthropic發布預覽版Claude Mythos，AI資安能力直逼頂尖人類駭客，該公司宣布啟動全球資安防禦計畫</strong></a></p> <p>Anthropic發表全新通用語言模型Claude Mythos預覽版，該模型已自主發現數千個橫跨作業系統、瀏覽器，以及開源軟體的零時差漏洞，並同步啟動全球資安防禦計畫Project Glasswing，集結十多家科技與金融公司，納入逾40個關鍵基礎設施組織，優先提供模型存取以加速漏洞修補。</p> <p>在Claude Mythos發現的數千個高風險漏洞裡，絕大部分是零時差漏洞，其中一個是存在於OpenBSD長達27年的問題，允許駭客癱瘓任何連線中的主機；另一個在FFmpeg找到的漏洞也存在16年，Anthropic強調，就算經過500萬次自動化測試，也無法發現這個弱點。Claude Mythos能根據使用者下達的指示，從常見的作業系統與瀏覽器找到零時差漏洞，甚至還能打造概念驗證程式碼，其中包含能串連4個瀏覽器漏洞的攻擊程式。</p> <p><a href="https://www.ithome.com.tw/news/174935"><strong style="font-size: 22px;">臺灣非政府組織、大學遭到Lua惡意軟體LucidRook攻擊</strong></a></p> <p><a href="/sites/default/files/images/Taiwan-NGO-01.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Taiwan-NGO-01.jpg" style="width: 300px; float: right;" /></a></p> <p>思科旗下威脅情報團隊Talos近日揭露名為UAT-10362的駭客團體，疑似針對臺灣的非政府組織（NGO）與大學從事網釣活動，散布名為LucidRook的惡意軟體，藉此進一步下載Lua有效酬載並執行。值得留意的是，駭客部署LucidRook的工具LucidPawn，會特別檢查受害電腦使用的語言及地理位置，只有在與臺灣有關，且使用正體中文的電腦環境，才會啟動LucidRook，上述跡象顯示這起活動極具針對性。</p> <p>針對感染LucidRook的途徑，Talos指出大致可歸納成兩種方法，分別是使用惡意LNK檔案與EXE檔，不過，這些手法存在共通點，駭客都濫用外部應用程式安全測試（OAST）服務，並滲透FTP伺服器充當C2基礎設施。</p> <p><a href="https://www.ithome.com.tw/news/174927"><strong style="font-size: 22px;">APT28針對烏克蘭與北約國家從事網路攻擊，疑串連兩個零時差漏洞散布惡意軟體Prismex</strong></a></p> <p><a href="/sites/default/files/images/pawn-storm-deploys-prisma_fig10.png" target="_blank"><img alt="" src="/sites/default/files/images/pawn-storm-deploys-prisma_fig10.png" style="width: 300px; float: right;" /></a></p> <p>今年2月，烏克蘭電腦緊急應變團隊（CERT-UA）與資安公司Zscaler先後提出警告，俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）在最新一波攻擊行動Operation Neusploit裡，將微軟1月底修補的Office零時差漏洞CVE-2026-21509用於實際攻擊，現在有最新的調查結果指出，這些駭客疑似串接另一個零時差漏洞從事相關活動。</p> <p>趨勢科技指出，他們在APT28攻擊烏克蘭與北約組織（NATO）會員國的活動當中，看到駭客使用名為Prismex的惡意軟體套件，此工具結合了隱寫術（Steganography）、元件物件模型（COM）挾持，並濫用合法雲端服務充當C2。值得留意的是，這些駭客不僅利用CVE-2026-21509，也試圖串連MSHTML框架安全功能繞過漏洞CVE-2026-21513。而對於這起攻擊行動的目的，駭客不僅從事網路間諜活動，也企圖透過資料抹除的指令進行破壞。</p> <p><a href="https://www.ithome.com.tw/news/174938"><strong style="font-size: 22px;">APT28綁架路由器從事DNS挾持，目的是AiTM網釣與情報收集</strong></a></p> <p>針對俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）滲透路由器的殭屍網路活動，駭客的主要目標是將受害者導向對手中間人攻擊（AiTM）的基礎設施，藉此擷取他們的密碼、OAuth權杖（Token），以及其他憑證資料，英國國家網路安全中心（NCSC）近日公布相關調查結果，指出這些駭客的攻擊大致可分成兩種型態，目的也不盡相同。</p> <p>駭客滲透的路由器設備，廠牌大部分是TP-Link，NCSC確認至少有23款成為APT28下手的目標。其中一款型號為WR841N的設備，攻擊者疑似利用已知漏洞CVE-2023-50224，而能在未經身分驗證的情況下，透過特製的HTTP GET請求得到密碼與憑證資訊。</p> <p><a href="https://www.ithome.com.tw/news/174926"><strong style="font-size: 22px;">駭客組織UNC6783滲透業務流程外包公司，已有數十家高價值企業組織成為目標</strong></a></p> <p>軟體大廠Adobe近日傳出資料外洩，自稱是Mr. Raccoon駭客疑似從該公司印度業務流程外包商（BPO）著手，在其中一名員工的電腦植入遠端存取工具啟動攻擊流程，從而竊得Adobe內部機敏資料。如今類似的攻擊行動再度傳出，上述事故很有可能是供應鏈攻擊的一部分。</p> <p>Google威脅情報團隊（GTIG）主要威脅分析師Austin Larsen於社群網站LinkedIn指出，他們近期追蹤名為UNC6783的駭客團體，該組人馬犯案的動機是為了經濟利益，正在進行針對性的社交工程與網釣活動，GTIG已掌握有多個產業、數十家高價值企業組織成為目標。值得留意的是，Google提及UNC6783很可能與稱為Raccoon的人士有關。</p> <p><a href="https://www.ithome.com.tw/news/174931"><strong style="font-size: 22px;">電商平臺Magento遭鎖定，駭客利用SVG圖檔挾帶交易資料側錄工具</strong></a></p> <p>4月7日Sansec發現，有99個Magento電商網站出現Magecart大規模感染的跡象，駭客使用一種雙連擊（Double-tap）的交易資料側錄工具，他們將竊取信用卡資料的竊資軟體埋藏在SVG圖檔，並藉此將竊得的交易資料傳送到6個網域，而駭客可能的入侵途徑是PolyShell漏洞，該漏洞仍在持續影響未受保護的Magento商店。</p> <p>Sansec提到，金融卡側錄惡意程式（skimmer）會向消費者顯示幾可亂真的安全結帳畫面，其中包含卡片資料驗證與帳單資料的欄位，在擷取付款資料後，此側錄程式將消費者導向真正的結帳網頁，因此一般使用者難以察覺有異。</p> <p><a href="https://www.ithome.com.tw/news/174925"><strong style="font-size: 22px;">美國麻州醫療體系Signature Healthcare遭網路攻擊，化療與救護車調度受影響</strong></a></p> <p>美國麻州的主要醫療體系Signature Healthcare，公布本週稍早發生的網路攻擊事件，導致化療、救護車派送、及藥局運作受到影響。他們於4月6日首度透露此事，部分醫療系統遭網路攻擊，院方已啟動安全回應措施，暫停重要性較低的醫療服務因應。</p> <p>在發生網路攻擊事故後，院方被迫分散救護車派送任務，並取消4月7日癌症病患化療輸液服務，直到8日仍未恢復運作。有兩個地區的藥局一度被迫關閉，目前已恢復營運，不過僅提供諮詢服務，暫時無法提供病人使用處方箋領藥。</p> <p><a href="https://www.ithome.com.tw/news/174924"><strong style="font-size: 22px;">駭客聲稱入侵洛杉磯警局，竊得7.7 TB官司資料並公開文件</strong></a></p> <p>研究人員Emma Best於4月8日發現，有勒索軟體組織透過World Leaks網站，公開關於洛杉磯警局（LAPD）警官司法案件的資料，並得以下載檢視，隨後由洛杉磯時報跟進報導。此事發生的原因，可能出於外界對洛杉磯警局調查內部風紀紀錄未能向大眾公開，而感到不滿。</p> <p>這批外洩資料包含337,000份檔案，其中主要是洛杉磯警官因風紀問題遭控告文件，包含證人名字與訪談記錄、警方醫療資訊、未經遮蔽的犯罪控告與洛杉磯政府調查文件，檔案大小接近7.7 TB。值得留意的是，在一般情形下，相關調查記錄會經部分塗改才公開。</p> <p><a href="https://www.ithome.com.tw/news/174929"><strong style="font-size: 22px;">CISA警告Ivanti EPMM重大漏洞已被用於攻擊，要求盡速修補</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）近日警告，1月底揭露的重大漏洞CVE-2026-1340已被實際利用，未修補此弱點的行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM）風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。</p> <p>CVE-2026-1340屬於程式碼注入型（Code Injection）弱點，CVSS嚴重性評分達9.8分，攻擊者可在未經驗證情況下，對EPMM裝置發動遠端執行任意程式碼攻擊，Ivanti已在1月底發布修補程式，建議用戶盡速修補。</p> <p><a href="https://www.ithome.com.tw/news/174912"><strong style="font-size: 22px;">Google修補Android作業系統重大漏洞，未更新可能導致拒絕服務攻擊</strong></a></p> <p>Google近日發布2026年4月Android作業系統安全公告，修補多項漏洞，涵蓋框架層級（Framework），以及Google與恩智浦（NXP）、意法半導體（STMicroelectronics）、Thales等廠商的StrongBox元件，建議用戶盡速更新。</p> <p>在這次修補的Android漏洞中，Google認定最嚴重的是零互動（zero‑interaction）漏洞CVE‑2026‑0049，存在於核心框架元件，攻擊者可利用這個漏洞，在無需與使用者互動或額外權限的情況下，導致本機系統發生拒絕服務（DoS）的狀況。</p> <p><a href="https://www.ithome.com.tw/news/174910"><strong style="font-size: 22px;">量子威脅時程大幅提前，Cloudflare加速後量子搬遷鎖定2029年</strong></a></p> <p>Cloudflare宣布，目標在2029年全面達成涵蓋加密與身分驗證的後量子（Post-Quantum）安全。這項決定的背景，是近期量子運算領域接連出現重大突破，使得量子電腦可破解現行密碼機制的時間點（Q-Day），從業界原先普遍預估的2035年後，大幅提前至最快2029到2030年。</p> <p>促使Cloudflare加速行動的關鍵，是上周發表的兩項研究：其一是Google宣布大幅改進了破解橢圓曲線密碼學P-256的量子演算法，另一個是量子運算新創Oratomic發表的資源估算報告，指出以中性原子（Neutral Atom）量子電腦破解P-256僅需約1萬個量子位元，遠低於先前預期，其關鍵在於中性原子架構的量子位元連接性優於超導架構，每個邏輯量子位元僅需約3到4個物理量子位元，大幅降低硬體門檻。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-macos-stealer-campaign-uses-script-editor-in-clickfix-attack/">新一波ClickFix網釣鎖定macOS用戶，駭客濫用指令碼編輯器於電腦植入竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/new-chaos-variant-targets-misconfigured.html">惡意軟體Chaos鎖定組態配置不當的雲端環境，加入SOCKS代理伺服器功能隱匿行蹤</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/masjesu-botnet-emerges-as-ddos-for-hire.html">殭屍網路Masjesu綁架物聯網裝置，提供受僱型DDoS服務</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/missile-alert-phishing-iran-us-israel-microsoft-logins/">駭客冒充政府機關發送的飛彈空襲警報，意圖騙取使用者的M365帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://stock.ltn.com.tw/article/v4dvex7mh6hf">針對臺灣子公司頻光半導體遭到勒索軟體攻擊，母公司九州電子說明影響範圍與處理過程</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174916"><strong>【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174890"><strong>【4月7日】Claude Code資料外洩事故成駭客散布惡意軟體的新誘餌</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174853"><strong>【4月2日】手機門號語音信箱預設密碼成Line帳號盜用新破口</strong></a></p> </div></div></div>
4/9 14:41作者周峻佑https://www.ithome.com.tw/news/174940
美上訴法院挺國防部，Anthropic兩案出現判決分歧
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI公司Anthropic近期針對美國政府提出兩項訴訟，分別挑戰五角大廈將其列為「供應鏈風險」（Supply Chain Risk，SCR），以及要求聯邦機構全面停止使用其Claude模型的行政命令。隨著案件進入不同法院審理，目前已出現判決分歧。</p> <p>針對「全面停用Claude模型」的措施，<a href="https://www.ithome.com.tw/news/174720" target="_blank">加州聯邦法院於3月底裁定</a>，暫時禁止政府執行該命令，認為此舉可能涉及違憲，特別是對企業AI安全立場的報復，以及未提供充分申辯機會，因而發出初步禁制令，使Anthropic得以在案件審理期間維持既有業務與部分政府合作。</p> <p>不過，在另一項針對SCR認定的訴訟中，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cadc.42923/gov.uscourts.cadc.42923.01208838678.0_1.pdf" target="_blank">美國華盛頓特區聯邦上訴法院週三（4/8）裁定</a>，駁回Anthropic提出的暫時禁制令申請，拒絕在訴訟期間暫停該認定，使其仍被排除於國防部相關合約之外。</p> <p>SCR認定由美國國防部於3月初作出，要求國防承包商不得在軍事項目中使用Claude模型，並可能透過跨部門審查機制，進一步擴大至整個聯邦政府採購體系。</p> <p>Anthropic主張，政府此舉並非單純國安決策，而是對其AI安全立場的報復。該公司拒絕讓Claude用於大規模境內監控及完全自主武器，並指控相關措施違反美國憲法第一修正案的言論自由，以及第五修正案的正當程序保障。</p> <p>上訴法院則認為，雖然Anthropic可能面臨財務損失，但在軍事衝突背景下，政府確保AI技術供應與控制的利益更為重要，因此拒絕暫停該項認定，並要求案件加速審理。</p> <p>外界分析指出，兩案之所以出現不同結果，關鍵在於所挑戰的行政措施與法律基礎不同。加州法院審理的是政府「全面禁用Anthropic技術」的命令，涉及對企業權利的廣泛限制，因此傾向從憲法角度審查並予以暫停；而上訴法院處理的則是國防部將其列為供應鏈風險（SCR）的決策，屬於國安與軍事採購範疇，法院通常給予行政機關較大裁量空間，因而未同意暫停。</p> <p>在此情況下，目前形成「部分限制被擋、部分仍有效」的局面。具體而言，Anthropic技術並未被全面禁止使用，但仍無法進入國防採購體系，呈現「可用但受限」的過渡狀態。</p> <p>此案被視為AI產業與國安政策交會的重要案例，核心爭議在於政府是否可透過供應鏈風險機制對企業施加廣泛限制，以及企業能否以安全與倫理為由拒絕特定軍事用途。後續判決結果，將對AI治理與政府採購制度帶來長遠影響。</p> </div></div></div>
4/9 15:27作者陳曉莉https://www.ithome.com.tw/news/174943
Google與美國航空用AI調整航線，減少飛機凝結尾帶來的暖化影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/models-and-research/google-research/contrail-avoidance-research/" target="_blank">Google公布一項結合AI與航空營運的實地研究成果</a>，顯示透過AI預測並調整飛行路徑，可降低飛機凝結尾（contrails）對氣候的影響。這項研究由Google Research與美國航空（American Airlines）、航班規畫軟體業者Flightkeys等單位合作，並於2025年1月中旬至5月中旬進行為期17週的隨機對照試驗，將凝結尾預測整合至既有航班規畫流程中。</p> <p><a href="https://www.scitw.cc/posts/20250105-17747" target="_blank">凝結尾</a>是飛機在高空飛行時，排放的水氣與微粒所形成的雲狀軌跡，被認為是航空業非CO2氣候影響中最大單一來源之一。由於其存在時間從數分鐘到數小時不等，若能避開特定大氣條件，有機會在短時間內降低相關氣候影響。</p> <p>在技術上，Google開發機器學習模型，結合衛星觀測資料與歐洲中期天氣預報中心（ECMWF）的氣象預測，推估飛行過程中形成凝結尾的機率，並轉換為以二氧化碳當量（CO2-equivalent，CO2e）表示的氣候影響指標，納入航班規畫系統的成本計算。當系統判定某航班的凝結尾影響較高時，會產生替代飛行路徑，例如調整飛行高度或繞行特定區域，以避開容易形成凝結尾的冰過飽和區域（Ice Supersaturated Regions，ISSRs）。</p> <p>研究團隊以美國飛往歐洲的跨大西洋航線為測試範圍，將航班隨機分為實驗組與對照組，並透過衛星影像與自動化演算法驗證凝結尾生成情況。結果顯示，在所有納入試驗的航班中，凝結尾生成率平均降低11.6%；而在實際採用並依計畫執行AI建議航線的航班中，凝結尾生成率降低幅度達62%。此外，研究亦指出燃料使用量未出現統計上顯著差異。</p> <p>不過，研究同時指出實際應用仍受營運流程與人員決策影響。在試驗期間，約有15.4%的航班調度員選擇採用凝結尾優化航線，而最終實際依計畫執行的航班比例為7.8%。研究指出，相關差異與調度員工作負荷、飛行安全考量及既有航路限制等因素有關。</p> </div></div></div>
4/9 15:42作者王珮瑤https://www.ithome.com.tw/news/174946
行政院通過廢清法、循環法修法草案，將接軌歐盟相關法規趨勢鼓勵以綠色產品設計、維修或再利用鼓勵資源循環經濟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>行政院今天（4/9）通過環境部研擬的「資源回收再利用法」修正草案及「廢棄物清理法」(簡稱廢清法)部分條文修正草案，接下來將送立法院審議。其中立法已超過20年的「資源回收再利用法」改名為「資源循環推動法」(簡稱循環法)，接軌歐洲等國際相關資源循環利用的立法趨勢，鼓勵產品綠色設計、以回收及維修取代廢棄，鼓勵資源循環利用產業發展。</p> <p>行政院長卓榮泰表示，面對全球資源有限性及環境永續挑戰，我國正推動雙軸轉型，建構循環治理的綠色成長模式。環境部推動環境雙法修正，一方面透過廢清法遏止廢棄物的非法棄置，另一方面透過循環法促進循環經濟發展，從產業、環境及社會等多面向整體推動。</p> <p>政府推動雙法修正的目的是，「最大化資源循環效益、最小化廢棄物最終處理」。透過修法將立法20多年的「資源回收再利用法」向國際趨勢的「資源循環推動法」修正，趕上國際環保趨勢。其中包括增訂由中央有關機關來推動資源循環及其權責事項，包括由環境部設立國家整體資源循環計畫，並邀專家設立資源循環推動會，地方政府擬訂資源循環行動計畫。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-09%20%E4%B8%8B%E5%8D%883_16_29.jpeg" style="width: 600px; height: 320px;" /></p> <p>其次由環境境規劃產品及營建工程的綠色設計原則，打造綠色臺灣品牌「Green Made in Taiwan」（gMIT）。依綠色設計原則訂定綠色設計準則，並公告一定種類、規模之產品或營建工程遵行綠色設計準則及使用再生粒（材)，以資源循環推動環境與完善法制，加速建立循環經濟。</p> <p>依照環境部公開的「循環法」修正草案說明，業者應遵行的綠色設計準則指定項目，例如產品使用單一或易於資源循環之材質、使用一定比率再生材料或採行易維修、可升級等提升耐用性設計等。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-09%20%E4%B8%8B%E5%8D%883_33_50.jpeg" style="width: 600px; height: 329px;" /></p> <p>另外，循環法修正草案還增訂中央主管機關可指定公告物品或其包裝、容器重複使用目標及方式，其製造、輸入或販賣業者應提報包裝容器重複使用計畫及執行成果。</p> <p><span style="color:#B22222;"><strong>資源使用到最後一刻才是廢棄物</strong></span></p> <p>環境部長彭啟明解釋，資源循環推動法歷經5年時間，終於在行政院通過，「這是個進步的法案」，他說。該法案迎合國際上相關法案趨勢，特別是符合歐洲相關法規，讓國內接軌國際法規方向，可使我國產品輸出至國際會更具競爭力。</p> <p>彭啟明進一步指出，推動循環利用的背後一定要有經濟誘因才能達到永續，因此循環法的目的是推動循環經濟，環境部統計國內循環經濟的產值約有1,688億年產值，約10萬的人力投入該產業，該產業過去被忽視，循環法修正草案通過後，將加大力道促使循環產業升級，可解決廢清物處理量能的問題，過去設立回收基金是因為我們將它當成廢棄物，「現在應該將所有廢棄物當成資源，將每個資源用到最後一刻才是廢棄物」，如何將廢棄物循環利用做的好，是循環法修法的重要目的。</p> <p>彭啟明以生活上常見的保溫杯為例，過去保溫杯破了就廢棄，保溫瓶透過綠色設計，未來透過產品的數位護照可以知道它的材質，過去產品壞了多以廢棄來取代維修，未來鼓勵要有維修權。另外，保溫杯的生產者也應有回收的責任，當生產者符合種種要求，就會要求公部門及企業綠色採購這類產品。過去將廢棄物當成垃圾處理，「我們應該把廢棄物當成資源看待，廢棄物就是錯置的資源」。</p> <p>除了以「循環法」作為蘿蔔之外，另方面以「廢清法」作為棍子，以此厄止違法處理廢棄物，包括運用科技來監控廢棄物動向，加重環境損害刑責到7年。</p> <p>環境部表示，透過雙法修法，目的在聯合中央、地方、產業推動相關子法訂定。另外，保留關鍵的資源在經濟體內循環利用，達成零廢棄的願景，打造臺灣的韌性供應鏈；引導我國從廢棄物管理轉型為資源管理。</p> </div></div></div>
4/9 15:42作者蘇文彬https://www.ithome.com.tw/news/174945
臺灣非政府組織、大學遭到Lua惡意軟體LucidRook攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>思科旗下威脅情報團隊Talos近日揭露<strong><a href="https://blog.talosintelligence.com/new-lua-based-malware-lucidrook/">名為UAT-10362的駭客團體</a></strong>，疑似針對臺灣的非政府組織（NGO）與大學從事網釣活動，散布名為LucidRook的惡意軟體，藉此進一步下載Lua有效酬載並執行。值得留意的是，駭客部署LucidRook的工具LucidPawn，會特別檢查受害電腦使用的語言及地理位置，只有在與臺灣有關，且使用正體中文的電腦環境，才會啟動LucidRook，這項發現代表這起活動極具針對性。</p> <p>針對感染LucidRook的途徑，Talos指出大致可歸納成兩種方法，分別是使用惡意LNK檔案與EXE檔，不過，這些手法存在共通點，駭客都濫用外部應用程式安全測試（OAST）服務，並滲透FTP伺服器充當C2基礎設施。</p> <p>在調查LucidRook的過程裡，Talos還找到另一個惡意程式LucidKnight，此為偵察工具，能透過Gmail竊取受害電腦的系統資訊。因此Talos研判，UAT-10362可能事先使用LucidKnight分析攻擊目標，然後再進行完整的LucidRook感染鏈。</p> <p>在其中一起發生在2025年10月的網釣活動裡，駭客鎖定臺灣的非政府組織，根據此信件的中繼資料內容，駭客疑似從經過授權的郵件基礎設施寄出，這代表攻擊者事先可能掌握合法的管道。釣魚信內含短網址，一旦點選，便會下載受到密碼保護的壓縮檔，駭客在信件內文提供解壓縮的密碼。</p> <p>若是使用LNK檔的感染行動，駭客將此檔案以PDF圖示引誘收信人上當，一旦收信人點選執行，電腦就會執行PowerShell測試框架指令碼，濫用部署映像服務與管理（DISM）公用程式側載LucidPawn，此惡意程式會執行LucidRook，並將原本的LNK檔案刪除，置換PDF、Word或Excel檔案，然後開啟Edge，以分散受害者的注意。</p> <p>另一種感染鏈是透過EXE檔觸發，攻擊者使用.NET打造的可執行檔，其中一個具備趨勢科技防毒軟體的圖示，根據檔名，Talos認為可能是模仿Worry-Free Business Security Services的清理工具。值得留意的是，若是使用者執行，駭客同樣透過DISM工具啟動LucidRook，後續還會顯示清理完成的訊息，讓使用者以為此工具確實執行了相關清理工作。</p> </div></div></div>
4/9 12:42作者周峻佑https://www.ithome.com.tw/news/174935
APT28綁架路由器從事DNS挾持，目的是AiTM網釣與情報收集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）<strong><a href="https://www.ithome.com.tw/news/174911">滲透路由器的殭屍網路活動</a></strong>，駭客的主要目標是將受害者導向對手中間人攻擊（AiTM）的基礎設施，藉此擷取他們的密碼、OAuth權杖（Token），以及其他憑證資料，<strong><a href="https://www.ncsc.gov.uk/news/apt28-exploit-routers-to-enable-dns-hijacking-operations">英國國家網路安全中心（NCSC）近日公布相關調查結果</a></strong>，指出這些駭客的攻擊大致可分成兩種型態，目的也不盡相同。</p> <p>NCSC指出，他們掌握APT28從2024年開始，就將虛擬專屬伺服器（VPS）設置為惡意DNS伺服器的情況，這些VPS主機通常會接收大量來自路由器的DNS請求。</p> <p>其中第一種活動裡，APT28入侵SOHO路由器，竄改DHCP與DNS的組態設定，加入駭客控制的IP位址，使得相關的組態被下游的電腦與行動裝置繼承。惡意DNS伺服器會查調含有特定服務相關的網域名稱，這些服務大部分是電子郵件系統的登入網頁，若是攻擊者鎖定的目標，他們就會被導向駭客的IP位址，從事對手中間人攻擊。</p> <p>駭客滲透的路由器設備，廠牌大部分是TP-Link，NCSC確認至少有23款成為APT28下手的目標。其中一款型號為WR841N的設備，攻擊者疑似利用已知漏洞CVE-2023-50224，而能在未經身分驗證的情況下，透過特製的HTTP GET請求得到密碼與憑證資訊。</p> <p>一旦成功取得路由器的憑證，APT28就會發送第二個HTTP GET請求，竄改路由器的DHCP與DNS設定。通常駭客會竄改主要DNS伺服器的IP位址，但也有次要DNS伺服器設定被更換的情況，代表有些路由器可能遭到多次攻擊。</p> <p>另一種活動當中的VPS主機，則同時會收到TP-Link與MikroTik路由器的DNS請求，但不同的是，這些請求會轉送給攻擊者其他的遠端伺服器。NCSC提及其中占少數的MikroTik路由器，主要位於烏克蘭，因此他們推測，這些設備對APT28具有情報價值。</p> </div></div></div>
4/9 13:59作者周峻佑https://www.ithome.com.tw/news/174938
3月多起供應鏈攻擊揭露CI/CD管線風險，GitLab提出防護建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期多起軟體供應鏈攻擊事件接連曝光，顯示攻擊手法已延伸至開發流程，對企業軟體供應鏈安全帶來風險。</p> <p>3月19日至31日期間，名為TeamPCP的攻擊行動先後入侵開源漏洞掃描工具<a href="https://www.ithome.com.tw/news/174601" target="_blank">Trivy</a>、基礎架構即程式碼（Infrastructure as Code，IaC）安全掃描工具<a href="https://www.ithome.com.tw/news/174629" target="_blank">Checkmarx KICS</a>、AI模型閘道<a href="https://www.ithome.com.tw/news/174661" target="_blank">LiteLLM</a>，以及JavaScript HTTP用戶端函式庫<a href="https://www.ithome.com.tw/news/174887" target="_blank">Axios</a>，顯示攻擊目標涵蓋多類型開發工具。</p> <p>針對此次與TeamPCP攻擊行動相關的供應鏈事件，原始碼代管與DevOps平臺業者<a href="https://about.gitlab.com/blog/pipeline-security-lessons-from-march-supply-chain-incidents/#trusted-by-millions-compromised-in-minutes" target="_blank">GitLab指出</a>，攻擊者透過竄改套件版本或標籤，濫用既有信任機制，將惡意程式碼導入CI/CD管線，並在建置流程中存取環境變數與敏感憑證。GitLab指出，在AI輔助攻擊工具增加的情況下，針對CI/CD管線的攻擊已更為常見，單一憑證遭竊即可能在多個開發工具間擴散。</p> <p>GitLab建議，若企業曾使用受影響元件，應假設管線憑證已暴露，立即進行憑證輪替並檢查是否存在後門程式，同時透過定期輪替與短期存取權杖降低風險。</p> <p>在管線流程安全控管方面，應落實最小權限原則（Principle of Least Privilege），並依建置、測試與部署階段劃分權限；同時強化執行環境隔離，避免共用資源，以降低橫向移動風險。GitLab同時建議導入完整性驗證機制，包括以雜湊值（checksum）鎖定套件版本、避免使用可變動標籤（tag），並在CI/CD執行前驗證工具與相依元件未遭竄改。</p> <p>此外，企業應提升CI/CD管線的可視性與監控能力，記錄建置行為、追蹤憑證使用情況並建立異常警示，同時持續監控相依套件變化，並將安全檢查集中於管線政策層級管理，以降低被繞過風險。GitLab強調，漏洞掃描工具、應用程式安全測試（Static Application Security Testing，SAST）工具與AI閘道等資安工具本身也可能成為攻擊目標，應限制其權限範圍，避免存取不必要資源。</p> </div></div></div>
4/9 14:28作者王珮瑤https://www.ithome.com.tw/news/174939
希臘宣布2027年起禁止15歲以下使用社群媒體，盼推動歐盟統一規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.tiktok.com/@kyriakosmitsotakis_/video/7626290675322981654" target="_blank">希臘總理Kyriakos Mitsotakis</a>週三（4/8）透過TikTok影片宣布，該國將自2027年1月1日起，禁止15歲以下兒童使用社群媒體。他在影片中表示，這是一項「困難但必要」的決定，主因是青少年普遍出現睡眠不足、焦慮，以及長時間使用手機等問題。</p> <p>Mitsotakis指出，他與許多家長交流後發現，孩子「睡不好、容易焦慮，且長時間滑手機」，同時也有青少年反映，對社群平臺上的比較、評論與「必須隨時在線」的壓力感到疲憊。他強調，政策目的並非讓年輕人遠離科技，而是要限制部分應用程式的「成癮式設計」。</p> <p>他並表示，希臘將是最早採取此措施的國家之一，但不會是最後一個，並希望藉此推動歐盟建立統一制度，以更有效管理跨境社群平臺。</p> <p>在執行機制方面，希臘尚未公布完整技術細節。不過巴爾幹半島調查媒體<a href="https://balkaninsight.com/2026/04/08/greece-to-ban-use-of-key-social-media-platforms-by-under-15s" target="_blank">Balkan Insight引用</a>希臘數位治理部長Dimitris Papastergiou的說明，指出政府規畫透過家長控制工具Kids Wallet進行年齡驗證，並要求平臺配合執行，違規者將面臨處罰。此外，相關法案預計於2026年中提交國會審議，之後才會確立具體規範。</p> <p>此舉也呼應全球對青少年網路使用的監管趨勢。<a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲</a>已於2025年實施16歲以下禁止使用社群媒體的制度，<a href="https://www.ithome.com.tw/news/174273" target="_blank">印尼</a>與<a href="https://apnews.com/article/austria-government-social-media-under-14-ban-7516559412eecd9197df70ed958186fe" target="_blank">奧地利</a>亦提出類似措施；在歐洲，法國已通過限制15歲以下使用社群媒體的法案，尚待最終立法完成；英國則正進行試驗與政策評估；丹麥與西班牙已宣布相關禁令方向並著手推動立法，德國則是處於政策討論階段。</p> <p>不過，相關禁令的實際效果仍具爭議。有觀察指出，青少年可能透過VPN等方式繞過限制，或轉向監管較少的平臺，而影響政策成效。</p> </div></div></div>
4/9 12:57作者陳曉莉https://www.ithome.com.tw/news/174937
電商平臺Magento遭鎖定，駭客利用SVG圖檔挾帶交易資料側錄工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月下旬資安公司Sansec針對電商平臺Adobe Commerce與Magento用戶<strong><a href="https://www.ithome.com.tw/news/174543">提出警告</a></strong>，Adobe在預覽版本修補了名為PolyShell的資安漏洞，但並未對正式版本發布相關更新，要用戶盡速採取行動因應。後續Sansec發現大規模攻擊活動，<strong><a href="https://www.ithome.com.tw/news/174686">駭客已在超過一半的電商網站植入Webshell或Shell程式</a></strong>，如今有人以此部署側錄交易資料的工具。</p> <p>4月7日Sansec發現，<strong><a href="https://sansec.io/research/svg-onload-magecart-skimmer">有99個Magento電商網站出現Magecart大規模感染的跡象</a></strong>，駭客使用一種雙連擊（Double-tap）的交易資料側錄工具，他們將竊取信用卡資料的竊資軟體埋藏在SVG圖檔，並藉此將竊得的交易資料傳送到6個網域。金融卡側錄惡意程式（skimmer）會向消費者顯示幾可亂真的安全結帳畫面，其中包含卡片資料驗證與帳單資料的欄位，在擷取付款資料後，此側錄程式將消費者導向真正的結帳網頁，因此一般使用者難以察覺有異。</p> <p>駭客在會在電商網站的HTML程式碼注入僅有1×1像素的SVG元件，然而此SVG檔案內含完整的金融卡側錄程式有效酬載，並經過Base64演算法處理。Sansec進一步說明，駭客這麼做的目的，是因為有些資安掃描工具會對外部參照的指令碼提出警告，而這次的惡意酬載完全埋藏在SVG圖檔，並採用單一字串進行編碼處理。</p> <p>值得留意的是，PolyShell利用活動不時有事故傳出。<strong><a href="https://sansec.io/research/polyshell-mass-attack-wave">3月30日Sansec發現</a></strong>，有人在1小時裡感染471個電商網站，他們利用漏洞上傳PHP打造的Webshell，以此於電商網站的多個資料夾部署accesson.php後門程式，然後將JavaScript載入工具注入內容管理平臺（CMS）。</p> </div></div></div>
4/9 11:44作者周峻佑https://www.ithome.com.tw/news/174931
Meta發表由超級智慧實驗室開發的首款模型Muse Spark，將直接應用在產品上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/04/introducing-muse-spark-meta-superintelligence-labs/" target="_blank">Meta週三（4/8）發表</a>新一代AI模型Muse Spark，這是<a href="https://www.ithome.com.tw/news/169824" target="_blank">超級智慧實驗室（Meta Superintelligence Labs，MSL）所打造的</a>Muse系列首款模型，主打多模態推理與多代理人協作能力，並已正式應用於美國市場的Meta AI App與網站，後續將擴展至WhatsApp、Instagram、Facebook與Messenger等服務，並預計在未來幾週內逐步推向全球市場。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0409-meta%20ai-600.png" style="width: 466px;" /></p> <p>2025年6月創辦的Meta超級智慧實驗室由Alexandr Wang領導，為Meta核心AI研發單位，它整合了FAIR（Fundamental AI Research）與生成式AI團隊，負責開發新一代通用人工智慧與個人超級智慧（Personal Superintelligence）。至於Meta AI則是個獨立的AI助理程式，提供網頁與行動版，2025年4月發表時採用的是<a href="https://www.ithome.com.tw/news/168674" target="_blank">Llama 4</a>模型。</p> <p>不同於Meta過去以開源基礎模型為主的Llama系列，Muse Spark轉向以產品應用為核心設計，直接整合進Meta AI與旗下社群與通訊服務，強調即時互動與任務處理能力，反映Meta由模型供應者轉向AI產品平臺的策略轉變。</p> <p>在功能上，Muse Spark為一款原生多模態模型，可同時理解文字與影像，並支援工具調用與視覺思維鏈，使其不僅能生成回應，亦可處理多步驟任務。此外，在其Contemplating推理模式下，Muse Spark可啟動多個子代理人進行分工與平行處理，例如同時規畫行程、比較選項與蒐集資訊，提升整體效率與結果品質，展現其由單一模型邁向AI協作系統的設計方向。</p> <p><a href="https://ai.meta.com/blog/introducing-muse-spark-msl/" target="_blank">Meta亦公布</a>Muse Spark於多項基準測試的表現，涵蓋多模態理解、推理、醫療與代理人任務等面向。其中，在圖像與跨模態理解測試CharXiv與MMMU Pro中，Muse Spark表現優於或接近GPT與Gemini等模型；在視覺問答測試SimpleVQA中亦維持競爭力。在高難度推理方面，GPQA Diamond（博士級科學推理測試）與Humanity's Last Exam（跨領域複雜問題測試）顯示其已具備第一梯隊水準。</p> <p>在醫療領域，Muse Spark於HealthBench（開放式醫療問答測試）與MedXpertQA（醫學選擇題測試）中亦展現穩定表現，顯示其在健康與醫療知識理解上的能力。此外，在程式能力測試LiveCodeBench與軟體修復測試SWE-Bench，以及代理人任務測試DeepSearchQA與Terminal-Bench中，Muse Spark亦具備一定競爭力，反映其在多步驟任務與工具操作上的表現。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0409-muse%20spark-600.png" style="width: 600px;" /></p> <p>在Contemplating推理模式中，Muse Spark於跨領域推理測試Humanity's Last Exam的無工具情境下達50.2%，高於Gemini 3.1 Deep Think與GPT 5.4 Pro，在可使用工具情境下則達58.4%，接近GPT 5.4 Pro水準。在科學研究測試FrontierScience Research中，Muse Spark達38.3%，亦優於Gemini的23.3%，並略高於GPT的36.7%，顯示其在複雜推理與科學問題處理上的競爭力。</p> <p>Meta表示，Muse Spark除整合至Meta AI與旗下產品外，也將透過API開放部分合作夥伴測試與導入，逐步擴大應用範圍，並隨全球部署推進擴展至更多服務與市場，朝個人超級智慧的長期目標邁進。</p> </div></div></div>
4/9 11:54作者陳曉莉https://www.ithome.com.tw/news/174932
微軟以DAB打造SQL MCP Server，捨棄NL2SQL改走確定性查詢路線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟發布<a href="https://devblogs.microsoft.com/azure-sql/introducing-sql-mcp-server/">SQL MCP Server</a>，該功能建構於Data API Builder（DAB）2.0之上，讓AI代理能透過MCP（Model Context Protocol）安全存取企業資料庫，執行資料的新增、讀取、更新與刪除操作。該方案最大的技術特色在於不採用自然語言轉SQL（NL2SQL），改以DAB內建的Query Builder產生確定性的T-SQL查詢，降低AI直接生成SQL查詢的不確定性。</p> <p>微軟SQL MCP Server與採用NL2SQL的資料庫MCP Server做出區隔，讓大型語言模型不直接根據自然語言生成SQL語句。微軟認為，該做法存在根本風險，因為模型本身不具備確定性，相同的輸入不一定產生相同的輸出，且越複雜的查詢越容易出現細微錯誤，而這類查詢往往也是使用者最希望AI協助處理的工作。</p> <p>微軟SQL MCP Server改採NL2DAB路線，透過DAB的實體抽象層與內建Query Builder，將代理請求轉為格式正確的T-SQL，讓產出的T-SQL更可預測和測試。</p> <p>SQL MCP Server固定提供7個DML工具，包括describe_entities、create_record、read_records、update_record、delete_record、execute_entity與aggregate_records，無論後端資料庫規模多大，代理端看到的工具數量都一致。微軟指出，這是為了避免大量工具定義占用代理的上下文視窗，壓縮推理空間。</p> <p>SQL MCP Server繼承了DAB既有的企業級功能。在安全性方面，DAB的實體抽象層讓企業可以控制哪些Table、View或Stored Procedure對外暴露，也能為名稱與欄位建立別名，並為實體或參數補充說明，避免內部資料庫結構直接曝光。角色型存取控制（RBAC）則可在每個實體層級定義不同角色的讀取、建立、更新與刪除權限，相關規則會自動套用在REST、GraphQL與MCP端點上，不需要額外設定。</p> <p>其所支援的資料來源，包括Microsoft SQL Server、PostgreSQL、Azure Cosmos DB與MySQL，並能同時連接多個來源。DAB 2.0也支援在同一部署中同時啟用REST、GraphQL與MCP端點，讓既有應用程式與AI代理能透過不同協定存取相同的資料層。</p> <p>由於SQL MCP Server是一個容器化的零程式碼方案，開發者可透過一份JSON設定檔完成部署與啟動。此外，DAB 2.0也提供自動設定模式，在容器啟動時自動偵測資料庫結構並動態建立設定，適合快速建置或資料庫結構頻繁變動的場景。</p> <p>此外，SQL MCP Server整合Azure Log Analytics、Application Insights與OpenTelemetry，並提供健康檢查端點，讓企業從單一介面監控代理的資料存取活動。</p> </div></div></div>
4/9 12:14作者李建興https://www.ithome.com.tw/news/174930
APT28針對烏克蘭與北約國家從事網路攻擊，疑串連兩個零時差漏洞散布惡意軟體Prismex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年2月，烏克蘭電腦緊急應變團隊（CERT-UA）與資安公司Zscaler先後提出警告，俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）<strong><a href="https://www.ithome.com.tw/news/173816">在最新一波攻擊行動Operation Neusploit裡</a></strong>，將微軟1月底修補的Office零時差漏洞CVE-2026-21509用於實際攻擊，現在有最新的調查結果指出，這些駭客疑似串接另一個零時差漏洞從事相關活動。</p> <p>趨勢科技指出，<strong><a href="https://www.trendmicro.com/en_us/research/26/c/pawn-storm-targets-govt-infra.html">他們在APT28攻擊烏克蘭與北約組織（NATO）會員國的活動當中</a></strong>，看到駭客使用名為Prismex的惡意軟體套件，此工具結合了隱寫術（Steganography）、元件物件模型（COM）挾持，並濫用合法雲端服務充當C2。值得留意的是，這些駭客不僅利用CVE-2026-21509，也試圖串連MSHTML框架安全功能繞過漏洞CVE-2026-21513。而對於這起攻擊行動的目的，駭客不僅從事網路間諜活動，也企圖透過資料抹除的指令進行破壞。</p> <p>這波攻擊活動至少可追溯到2025年9月，並在今年1月出現大幅升級的情況。Prismex是一系列的工具，其命名源自駭客將有效酬載分散到整個圖檔，主要元件包含惡意軟體投放工具PrismexDrop、整合隱寫術功能的惡意軟體載入工具PrismexLoader，以及Covenant Grunt的元件（趨勢科技稱為PrismexStager）。除此之外，惡意軟體投放工具元件還有另一種，趨勢科技稱為PrismexSheet，它透過Excel啟動，並具備VBA巨集，同樣會透過隱寫術擷取其中的有效酬載。</p> <p>漏洞利用框架Covenant是以.NET打造的C2框架，Grunt是其中的代理程式，具備動態編譯與加密C2通訊的特性。趨勢科技認為，PrismexStager代表後門程式NotDoor生態系統的演進與擴張，從原本採取多條感染鏈的策略，轉換成快速利用新揭露的資安漏洞。</p> <p>趨勢科技也提及APT28對漏洞相當了解，其中，利用CVE-2026-21509的WebDAV伺服器，其網域名稱在漏洞揭露前兩週就註冊使用；另一個漏洞CVE-2026-21513，<strong><a href="https://www.ithome.com.tw/news/174182">Akamai於1月底通報這組人馬利用的跡象</a></strong>，發生在微軟公告及修補的11天前。</p> <p>他們推測APT28有可能將兩個漏洞串連利用，攻擊者可先利用CVE-2026-21509強迫受害電腦接收惡意LNK檔案，然後利用第二個漏洞CVE-2026-21513繞過安全機制，並在電腦不會向使用者發出警示的情況下，執行有效酬載。</p> </div></div></div>
4/9 11:00作者周峻佑https://www.ithome.com.tw/news/174927
美國麻州醫療體系Signature Healthcare遭網路攻擊，化療與救護車調度受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國麻州的主要醫療體系<a href="https://signature-healthcare.org/pages/alerts" target="_blank">Signature Healthcare公布</a>本週稍早發生的網路攻擊事件，導致化療、救護車派送、及藥局運作受到影響。</p> <p>位於美國麻州的Signature Healthcare為一家社區型教學中型醫療集團，擁有18個照護機構，包含一家有216床的大型醫院，員工約1500人。Signature Healthcare於週一（4/6）公布部份醫療系統發生網路攻擊事件，該院已啟動安全回應措施，暫停非關鍵醫療服務，並偕同資安業者展開調查。</p> <p>在醫療服務部份，網路攻擊影響期間，該院被迫分散救護車派送任務，並取消週二（4/7）癌症病患化療輸液服務，直到4月8日（週三）期間仍未恢復。</p> <p>住院及免預約急診（walk-in emergency services）醫療服務在事件期間持續開放。Signature 醫療集團的非住院醫療及急診雖然持續開放，但病患可能會感受到些許延遲。此外，有二個地點的零售藥局週一被迫關閉，週三時（4/8）已恢復諮詢，但還無法執行處方箋領藥。</p> <p>Signature Healthcare未說明是否有資料外洩，目前也尚未有勒索軟體或駭客組織宣稱犯案。不過醫院常是勒索軟體組織行動目標，有可能在醫院拒絕支付贖金或交涉後，會有駭客在暗網上現身，並公布擁有的資料型態或規模。</p> </div></div></div>
4/9 09:33作者林妍溱https://www.ithome.com.tw/news/174925
駭客組織UNC6783滲透業務流程外包公司，已有數十家高價值企業組織成為目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>軟體大廠Adobe<strong><a href="https://www.ithome.com.tw/news/174920">近日傳出資料外洩</a></strong>，自稱是Mr. Raccoon駭客疑似從該公司印度業務流程外包商（BPO）著手，在其中一名員工的電腦植入遠端存取工具啟動攻擊流程，從而竊得Adobe內部機敏資料。如今類似的攻擊行動再度傳出，上述事故很可能是供應鏈攻擊的一部分。</p> <p>Google威脅情報團隊（GTIG）主要威脅分析師Austin Larsen<strong><a href="https://www.linkedin.com/feed/update/urn:li:activity:7447117799153360896/">於社群網站LinkedIn指出</a></strong>，他們近期追蹤名為UNC6783的駭客團體，該組人馬犯案的動機是為了經濟利益，正在進行針對性的社交工程與網釣活動，GTIG已掌握有多個產業、數十家高價值企業組織成為目標。值得留意的是，Google提及UNC6783很可能與稱為Raccoon的人士有關。</p> <p>UNC6783主要聚焦於滲透為目標企業服務的業務流程外包商，GTIG也看到駭客對目標企業的客服下手的情況，不過，最終目的都是取得存取權限，然後竊取敏感資料並向受害企業勒索。</p> <p>駭客依賴即時通訊軟體作為社交工程的媒介，誘騙受害企業的員工存取偽造的Okta登入網頁。他們使用的網域名稱通常會冒充受害企業，其結構通常是<組織名稱>[.]zendesk-support<##>[.]com。GTIG提到，UNC6783的網釣工具能竊取受害電腦的剪貼簿內容，從而繞過多因素驗證（MFA）流程，並讓駭客註冊自己的裝置，以便建立持續存取的管道。</p> <p>一旦成功竊得資料並外流，UNC6783就會使用Proton Mail帳號，向受害企業寄送勒索信。此外，GTIG也看到駭客假借資安軟體更新的名義，誘騙使用者下載惡意軟體的情況。</p> </div></div></div>
4/9 09:53作者周峻佑https://www.ithome.com.tw/news/174926
洛杉磯警局疑遭駭客竊取7.7TB官司資料並公開文件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一個勒索軟體駭客組織疑似從洛杉磯市政府系統，竊取洛杉磯警局（LAPD）包含內部人員及執法調查文件達7.7TB，並於網上公開。</p> <p>研究人員<a href="https://bsky.app/profile/emma.best/post/3mix7ljhrb22j" target="_blank">Emma Best週三首先</a>發現一個勒索軟體組織透過World Leaks網站，公開關於洛杉磯警局警官司法案件的資料，並得以下載檢視。本消息隨後由<a href="https://www.latimes.com/california/story/2026-04-07/lapd-records-suspected-hack" target="_blank">洛杉磯時報</a>報導。</p> <p>報導指出，外洩資料包含337,000份檔案，其中主要是洛杉磯警官因風紀問題遭控告文件，包含證人名字與訪談紀錄、警方醫療資訊、和未經遮蔽的犯罪控告與洛杉磯政府調查文件近7.7TB。一般情形下，官方調查紀錄會經部份塗改才公開。</p> <p>在駭客公開後，一些用戶將檔案下載連結在社群平臺轉發。不過在數小時後，駭客要求不要再轉發，並將下載連結從World Leaks移除。</p> <p>此事可能出於外界對洛杉磯警局調查內部風紀紀錄未能向大眾公開感到不滿。報導引述在X轉發連結的網友指出，警方調查文件不公開，反映洛城檢察長及警局的無能和官官相護。</p> <p>這樁事件前，三月洛杉磯檢察長辦公室發生網路攻擊導致資料外洩。本週洛杉磯警局向媒體證實，駭客是經由入侵洛杉磯檢察長辦公室電腦取得資料，洛杉磯警局強調內部系統及網路沒有被駭，但會持續和檢察長辦公室合作調查資料外洩幅度。</p> <p>不過一旦警官資訊遭公開，可能為洛杉磯警局引來其他麻煩。2023年洛杉磯警局因回應公眾要求而公開警官的偵訊檔案照片，遭到900名警告控告侵害隱私及危及其人身安全。</p> </div></div></div>
4/9 09:19作者林妍溱https://www.ithome.com.tw/news/174924
【資安日報】4月8日，APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174911"><strong style="font-size: 22px;">美國破壞APT28架設的AiTM網釣基礎設施，駭客綁架TP-Link路由器從事DNS挾持活動</strong></a></p> <p>4月7日美國司法部（DOJ）與聯邦調查局（FBI）宣布，他們取得了法院授權，於美國境內破壞與俄羅斯聯邦軍隊總參謀部情報總局（GRU）旗下駭客團體APT28（Sofacy Group、Forest Blizzard、Fancy Bear）設置的網路環境，此網路是經由綁架多臺SOHO路由器所組成，駭客將其用於對俄羅斯當局關注的軍情目標，進行惡意DNS挾持活動，範圍涵蓋軍事單位、政府機關，以及關鍵基礎設施。</p> <p>美國司法部指出，APT28至少從2024年開始，利用已知漏洞竊得全球數千臺TP-Link路由器憑證，然後竄改這些路由器的DNS設定，使其導向GRU控制的惡意DNS解析器。值得留意的是，駭客後來導入自動過濾機制，攔截特定的DNS請求。他們針對特定的目標，透過解析器提供特定網域名稱的假DNS紀錄，藉此模仿合法的IT系統服務，其中一種是Microsoft Outlook Web Access。</p> <p><a href="https://www.ithome.com.tw/news/174913"><strong style="font-size: 22px;">APT28從事網釣攻擊活動FrostArmada，藉由路由器DNS組態將受害者導向AiTM基礎設施</strong></a></p> <p><a href="/sites/default/files/images/FB-Figure-1-848x566.png" target="_blank"><img alt="" src="/sites/default/files/images/FB-Figure-1-848x566.png" style="width: 300px; float: right;" /></a></p> <p>Lumen旗下的資安實驗室Black Lotus指出，他們追蹤APT28從事名為FrostArmada的攻擊活動，駭客入侵邊緣設備並竄改DNS組態，將與身分驗證有關的流量進行重新導向。駭客這麼做的目的，就是將指定的受害者導向AiTM基礎設施，並在幾乎不需與使用者互動的情況下，收集他們的憑證與權杖。值得留意的是，在去年8月英國網路安全中心（NCSC）公布Authentic Antics攻擊調查結果後，Lumen就看到APT28快速改變戰術，改以入侵路由器與DNS重新導向的手法進行相關攻擊。</p> <p>資安廠商Zscaler指出，他們發現有人打著Claude Code leak的名號，於GitHub散布特定的ZIP壓縮檔，表明是利用Anthropic近期外流的原始碼，編譯具備特定企業級功能、無訊息限制的Claude Code，然而若是開發人員依照指示操作，電腦就有可能被植入竊資軟體Vidar，以及代理伺服器工具GhostSocks。</p> <p><a href="https://www.ithome.com.tw/news/174914"><strong style="font-size: 22px;">APT28滲透SOHO裝置從事DNS挾持活動，逾200家企業受害</strong></a></p> <p><a href="/sites/default/files/images/data-src-image-db4dce44-eee2-436e-9329-a1333b7401e0.png" target="_blank"><img alt="" src="/sites/default/files/images/data-src-image-db4dce44-eee2-436e-9329-a1333b7401e0.png" style="width: 300px; float: right;" /></a></p> <p>針對APT28利用路由器等邊緣設備從事網釣的活動，微軟公布調查結果指出，APT28與附隨組織Storm-2754，從去年8月開始大規模綁架資安防護脆弱的SOHO網路設備，挾持DNS請求來收集特定網路流量。這些駭客還進一步向上游發動攻擊，入侵大型企業組織網路上游（upstream）的邊緣設備，藉由這類較少受到監控與管理的資產，探測企業的內部網路環境。該公司確認有超過200家企業組織、5,000臺消費型裝置受到影響。</p> <p>對於駭客綁架上述設備的目的，主要與協助俄羅斯當局收集外國情報有關。他們透過DNS挾持活動，針對微軟網路郵件服務Outlook的TLS連線從事對手中間人攻擊。微軟指出，這是他們首度看到APT28利用邊緣設備、DNS挾持等技術來從事網釣的情況。</p> <p><a href="https://www.ithome.com.tw/news/174895"><strong style="font-size: 22px;">CERT-EU公布歐盟執委會網站資料外洩事件調查結果，證實與Trivy供應鏈攻擊有關</strong></a></p> <p>三月底歐盟執委會公布駭客攻擊事件，約350 GB的內部資料疑似外洩。近日歐盟電腦緊急應變團隊（CERT-EU）證實，此事和開源軟體Trivy遭遇供應鏈攻擊的事件有關。</p> <p>經過近二週調查，CERT-EU證實，此次攻擊是近日爆發TeamPCP所為的Trivy供應鏈攻擊事件的一部分。駭客在Trivy資安事故當中，拿到特定的AWS API金鑰，而能控制和歐盟有關的AWS帳號。同一天駭客試圖呼叫Security Token Service（STS）來啟動憑證掃描，並驗證AWS憑證的工具，然後使用TruffleHog尋找其他憑證。</p> <p><a href="https://www.ithome.com.tw/news/174897"><strong style="font-size: 22px;">Storm-1175利用至少16個企業尚未修補的漏洞，於受害組織植入勒索軟體Medusa，最短在一天內就完成加密</strong></a></p> <p><a href="/sites/default/files/images/Storm-1175-attack-chain.png" target="_blank"><img alt="" src="/sites/default/files/images/Storm-1175-attack-chain.png" style="width: 300px; float: right;" /></a></p> <p>為了滲透企業組織的網路環境，其中一種最常見的作法就是針對能從網際網路存取的應用系統，透過已知或未知的漏洞來達到目的，駭客通常還會在企業組織還無法及時修補或實施緩解措施的空窗期，利用這些漏洞來增加成功的機會。</p> <p>最近微軟揭露中國駭客組織Storm-1175的攻擊活動，就是這種型態的例子。這些以經濟利益為動機的駭客，鎖定曝露在網際網路的系統，將廠商公開的已知漏洞（N-Day）快速打造成武器，在企業組織尚未普遍套用修補程式空窗期從事活動，一旦得逞，駭客就會迅速外洩資料並部署勒索軟體Medusa，大部分攻擊只有短短數天，有些甚至在1天內就完成。</p> <p><a href="https://www.ithome.com.tw/news/174902"><strong style="font-size: 22px;">疑不滿微軟處理態度，研究人員憤而公布Windows零時差漏洞BlueHammer</strong></a></p> <p><a href="/sites/default/files/images/7d522a2d40cec255.png" target="_blank"><img alt="" src="/sites/default/files/images/7d522a2d40cec255.png" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer的報導，自稱是Chaotic Eclipse的研究員近日透過部落格表示，他在GitHub公布名為BlueHammer的資安漏洞，並強調不會進一步說明漏洞細節，要「諸位天才」自行解析。這名研究員在GitHub說明網頁提及，概念驗證工具（PoC）存在一些臭蟲，目的是避免有人直接拿來用於實際攻擊，不過，他之後有可能會進行修正。值得留意的是，雖然Chaotic Eclipse並未說明漏洞細節，不過在字裡行間明顯表達了對微軟安全回應中心（MSRC）的不滿。</p> <p>究竟上述漏洞的真實性與嚴重程度為何？Tharros首席漏洞分析師Will Dormann透過社群網站Mastodon指出，BlueHammer確實是有效漏洞，此零時差漏洞涉及本機權限提升，不過並非每次觸發都能成功。</p> <p><a href="https://www.ithome.com.tw/news/174889"><strong style="font-size: 22px;">逾1.7萬臺F5 BIG‑IP APM裝置暴露在遠端執行程式碼攻擊風險下，用戶須立即修補</strong></a></p> <p>資安監測組織Shadowserver基金會近日揭露，超過1.7萬臺F5 BIG-IP APM裝置暴露於公共網路環境，更直接面臨CVE-2025-53521漏洞濫用行為的威脅。</p> <p>根據Shadowserver基金會的掃描顯示，目前網際網路的F5 BIG-IP APM裝置總共有1.7萬臺，這應是高風險系統數量的上限，因為我們目前無法得知未修補系統的數量與比例，其中以美國地區最多，占5,300臺，次之是日本的1,500臺、德國的1,100臺與澳洲的1,000臺，臺灣也有228臺，若這些裝置尚未完成修補，形同於暴露於這項漏洞導致的執行任意程式碼威脅下，可能成為攻擊者入侵的入口，用戶應立即進行修補以降低風險。</p> <p><a href="https://www.ithome.com.tw/news/174850"><strong style="font-size: 22px;">研究人員揭露ChatGPT資料外洩漏洞，攻擊者可竊取用戶對話內容與敏感資訊</strong></a></p> <p>資安公司Check Point發布報告，揭露ChatGPT存在資料外洩漏洞，OpenAI若未及時修補或緩解，將可能導致攻擊者竊取用戶對話內容與上傳資料。</p> <p>該漏洞之所以發生，Check Point認為源自隔離程式碼執行環境（isolated code execution environment）的防護缺陷，攻擊者可利用隱蔽對外通道（covert outbound channel）繞過安全措施，將用戶的對話記錄、上傳檔案與AI生成內容傳送到外部。</p> <p><a href="https://www.ithome.com.tw/news/174904"><strong style="font-size: 22px;">OpenAI Codex存在指令注入漏洞，攻擊者可藉此取得用戶GitHub存取權杖</strong></a></p> <p>資安公司BeyondTrust研究人員近日揭露，OpenAI旗下的程式碼生成工具Codex存在重大指令注入漏洞，攻擊者可藉此竊取開發者的GitHub存取權杖（Token），進而存取開發者的GitHub程式庫。</p> <p>研究人員指出，這項漏洞源自Codex在建立任務環境時，未妥善過濾外部輸入，導致GitHub分支名稱（branch name）可被直接帶入Shell指令中執行。攻擊者可在儲存庫中建立含惡意內容的分支名稱，當Codex處理相關專案時，就有機會觸發指令並洩漏GitHub存取權杖，進而導致攻擊者存取開發者的程式碼儲存庫。</p> <p><a href="https://www.ithome.com.tw/news/174892"><strong style="font-size: 22px;">天災人禍成我國海纜障礙新威脅，數發部擬加強「斷纜不斷網」韌性架構</strong></a></p> <p>臺灣四面環海，連接國內外的海纜已成為我國重要的國家關鍵基礎建設（CI）。數發部4月7日公布2025年我國海纜受損分析報告，指出臺灣面臨的資安風險不只來自駭客，還包括海上對海底電纜的「實體攻擊」。近4年臺灣海纜事故中，臺灣近岸（24海浬內）平均每年發生7至8起海纜障礙事件，其中因「船錨勾損」的平均占比達38.3%，平均每3起海纜障礙事件，就有超過1起源於船舶下錨。</p> <p>如果從2025年發生的7起近岸障礙事件來看，3起為「船錨勾損」，占比升至42.9%，且有2起肇因為外籍「權宜輪」（FOC）非法下錨，已形成我國海纜安全的新威脅。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=200246&SPOKE_DATE=20260407&COMPANY_ID=3004"><strong style="font-size: 22px;">豐達科遭網路攻擊，資訊系統受影響但無資料外洩</strong></a></p> <p>航太零組件廠豐達科技（3004）於4月7日在股市公開觀測站發布重大訊息，指出公司部分資訊系統遭受駭客網路攻擊，已立即啟動資安防禦機制並展開應變處置。針對影響評估，豐達科指出，目前未發現有個資、機密或重要文件資料外洩情形，且整體營運未受到重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-warns-of-iranian-hackers-targeting-critical-infrastructure/">伊朗駭客鎖定曝露在網路上的可程式化邏輯控制器，滲透美國關鍵基礎設施</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/iran-linked-password-spraying-campaign.html">伊朗駭客發動大規模密碼潑灑攻擊，逾300家採用M365的企業組織受害</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/dprk-linked-hackers-use-github-as-c2-in.html">北韓駭客濫用GitHub充當C2，對韓國從事多階段攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/china-linked-ta416-targets-european.html">歐洲政府遭到鎖定，中國駭客TA416透戰OAuth網釣散布惡意軟體PlugX</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-flaw-in-ninja-forms-wordpress-plugin/">WordPress表單外掛Ninja Forms存在重大漏洞，駭客已試圖用於攻擊活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/flowise-ai-agent-builder-under-active.html">AI代理建置工具Flowise滿分漏洞遭到利用</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174890"><strong>【4月7日】Claude Code資料外洩事故成駭客散布惡意軟體的新誘餌</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174853"><strong>【4月2日】手機門號語音信箱預設密碼成Line帳號盜用新破口</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174827"><strong>【4月1日】熱門NPM套件Axios遭北韓駭客供應鏈攻擊</strong></a></p> </div></div></div>
4/8 16:23作者周峻佑https://www.ithome.com.tw/news/174916
Momo拚電商營收成長：強化會員、品牌直營與開店平臺，要以AI打造電商競爭新優勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>面對通膨與關稅等外部環境的不確定性，加上電商高度競爭，Momo去年面臨上市以來營收首次衰退，Momo總經理谷元宏在今天(4/8)公開活動中表示，仍對電商市場成長抱持樂觀的態度，他表示，臺灣電商市場長期仍具成長空間，目前滲透率約14%至15%，相較周邊國家仍偏低，隨著科技演進與消費行為轉變，未來仍可望持續擴大。在整體市場「餅做大」的趨勢下，Momo今年的核心策略，是在成長動能中搶下更大市占，並以GMV（成交總額）成長為關鍵目標。</p> <p>在營運模式上，Momo的策略是深化「1P＋3P」的雙引擎架構。谷元宏指出，屬於自營的1P業務，會持續強化和品牌業者的合作，導入更多尚未進入平臺的品牌商品；至於3P的開店平臺業務則維持高速成長，近年已呈倍數擴張，成為推升整體GMV的重要引擎。兩者相互搭配，以滿足消費者在單一平臺上的多元購物需求，提升用戶黏著度與轉換率。</p> <p>在流量與內容策略上，去年營收衰退的原因之一，是電視購物業務的萎縮，Momo積極從電視購物轉向更積極擁抱數位場域，發展直播與短影音模式。Momo指出，直播本身對即時業績貢獻有限，但能顯著提升後續轉單與廣告效益。透過AI技術將直播內容剪輯為短影音（切片），不僅可應用於商品頁，也能進一步轉為30秒至1分鐘的短內容，符合消費者碎片化觀看習慣。實測顯示，直播後續帶來的延伸業績可再增加約1至2成，成為品牌行銷的重要工具。</p> <p>此外，Momo也積極布局聯盟行銷機制，開放YouTuber、網紅與一般消費者參與分潤推廣，結合品牌促銷資源，擴大外部流量導入。同時，Momo也與平臺方洽談合作，探索影音內容導購的更多可能性，強化站外導流能力。</p> <p>會員經濟則是另一大重點。Momo持續優化既有VIP制度，並推出輕量級會員方案，目前正進行權益調整，預計近期公布新版本。根據其觀察，只要用戶願意付費成為會員，通常會帶動更高頻消費與忠誠度，形成正向循環。未來也期望會員規模能比照Momo聯名卡用戶突破百萬的成長軌跡，成為長期營收動能。</p> <p>在新業務布局方面，跨境電商與點數生態圈進入調整期。跨境購物將優先聚焦越南商品，並優化物流與金流體驗；點數機制則拆分為「mo幣」與「Momo幣」，藉此擴大外部使用場景，打造更開放的消費生態。</p> <p><span style="color:#B22222;"><strong>AI成為電商平臺成長的核心基礎</strong></span></p> <p>因應蝦皮、酷彭等業者加入，國內電商進入高度競爭的局面。Momo已將AI定位為驅動電商平臺效率與成長的核心基礎建設，而不是單一功能的應用。「我們打造的不是單一AI功能，而是讓整個平臺運行在更好的演算法之上，當AI成為基礎建設，競爭優勢會隨時間累積，是Momo定義電商下一階段競爭規則的方式」，谷元宏說。</p> <p>目前Momo已運用AI投入精準廣告，用以提高品牌參與度，並且降低廣告導流成本逾35%，在商品推薦上，帶動人均點擊率提高24%。</p> <p>在電商服務的競爭中，物流效率是相當關鍵的一部分，牽涉到顧客下單後到配的全程履約體驗。Momo指出，履約體驗已是電商競爭的關鍵，速達服務準時率在去年達到9成以上，到貨時間已是可以被信任的承諾。</p> <p>為此，Momo不斷優化內部的物流效率，目前Momo在北高均建置大型物流中心，採用自動化設備與AI調度，改善電商服務的履約體驗，其中AI調度已涵蓋進貨、配貨、出貨的全部流程，不斷提高北區物中心的自動化比例。</p> <p>目前Momo在六都地區提供快速到貨服務，該公司預計在2027年啟用的中區物流中心，將會完成北中南的物流布局，提升電商服務品質，將履約能力擴大到更多縣市。</p> <p>至於GAI方面，Momo目前已將LLM應用於客服，提供客服小幫手，用於理解顧客反映的問題，提高回應的準確度。</p> <p>另外，為趕上國外電商的AI代理購物（Shopping Agent）趨勢，目前Momo也開始如何運用AI代理在購物的流程上，「理解消費者需求與精準配對」，除了對消費者的購物需求理解，也需要從商品資料的治理著手，增加AI對於商品功能應用的理解，才能配對消費者的需求。</p> <p>不過，谷元宏坦言，對於AI代理購物，Momo尚在早期研究階段，目前以測試底層能力與使用情境為主，尚未全面導入電商購物流程。代理購物的核心在於以自然語言取代傳統關鍵字搜尋與分類瀏覽，讓消費者可用對話方式提出需求，例如「露營新手需要準備什麼裝備」，由AI提供建議清單。然而，這類情境和目前多數用戶「直接搜尋明確商品」（如指定iPhone搜尋）的購物行為存在差異，需要進一步釐清適用場景與使用時機。</p> </div></div></div>
4/8 17:24作者蘇文彬https://www.ithome.com.tw/news/174917
GitHub Copilot CLI新增Rubber Duck審查代理，以雙模型審查機制提供第二意見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub在Copilot CLI中以實驗模式推出名為<a href="https://github.blog/ai-and-ml/github-copilot/github-copilot-cli-combines-model-families-for-a-second-opinion/">Rubber Duck</a>的新功能，透過引入不同AI模型家族作為獨立審查者，在程式碼代理的關鍵工作階段提供第二意見，藉此降低AI自動產生程式碼時累積錯誤的風險。</p> <p>現行AI程式開發代理的工作流程通常是評估任務、擬定計畫、實作、測試，再根據結果迭代修正。該流程雖然有效，但要是代理在早期規畫階段做出錯誤判斷，後續所有工作都會建立在有問題的基礎上，等到開發者察覺時，往往已經牽連多處程式碼。過去的做法是讓模型自我審查，但同一個模型受限於相同的訓練資料與偏差，很難發現自身盲點。</p> <p>Rubber Duck的做法，是引入不同模型家族擔任獨立審查者。當使用者在Copilot CLI的模型選擇器中選用Claude系列模型作為主要模型時，Rubber Duck會以GPT-5.4進行獨立審查，提出主模型可能遺漏的細節與值得質疑的假設，以及需納入考量的邊界情況。GitHub表示，目前Claude家族模型Opus、Sonnet與Haiku皆可搭配Rubber Duck使用，也正探索GPT-5.4擔任主要模型時的其他模型組合。</p> <p>GitHub以開源專案中大型、高難度的實際程式問題SWE-Bench Pro進行評測，結果顯示Claude Sonnet 4.6搭配由GPT-5.4驅動的Rubber Duck，可補上Sonnet與Opus之間74.7%的效能差距。在跨越3個以上檔案，通常需要70個以上步驟的困難任務中，效果更明顯，較Sonnet基準高3.8%，在三次試驗辨識出的最困難問題上則高4.8%。</p> <p>在觸發機制上，Rubber Duck會在3個檢查點自動啟動，分別是規畫草案完成後、複雜實作完成後，以及測試撰寫完成但尚未執行前。此外，當代理陷入迴圈無法推進時，也會主動尋求Rubber Duck的回饋。使用者則可在任意時間點手動要求Copilot進行審查。GitHub強調，Rubber Duck僅在回饋價值最高的時機介入，以避免干擾正常工作流程。</p> <p>目前該功能需在Copilot CLI中執行/experimental斜線指令啟用，並需具備GPT-5.4的存取權限。GitHub表示，Rubber Duck較適合用於複雜重構、架構變更、高風險任務，以及需要確認測試覆蓋率是否完整的情境。</p> </div></div></div>
4/8 17:46作者李建興https://www.ithome.com.tw/news/174915
APT28滲透SOHO裝置從事DNS挾持活動，逾200家企業受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國近日<strong><a href="https://www.ithome.com.tw/news/174911">破壞以路由器組成的殭屍網路</a></strong>，並指出該網路大部分被綁架的設備廠牌是TP-Link，俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）透過資安漏洞滲透這些設備，並竄改DNS組態，用於對手中間人攻擊（AiTM）活動。除了電信公司Lumen<a href="https://www.ithome.com.tw/news/174913">公布長期追蹤的調查結果</a>，另一家參與執法行動的科技龍頭微軟，也針對這波攻擊揭露相關發現。</p> <p>微軟指出<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/04/07/soho-router-compromise-leads-to-dns-hijacking-and-adversary-in-the-middle-attacks/">這波攻擊行動從去年8月開始</a></strong>，APT28與附隨組織Storm-2754，大規模綁架資安防護脆弱的SOHO網路設備，挾持DNS請求來收集特定網路流量。這些駭客還進一步向上游發動攻擊，入侵大型企業組織網路上游（upstream）的邊緣設備，藉由這類較少受到監控與管理的資產，探測企業的內部網路環境。該公司確認有超過200家企業組織、5,000臺消費型裝置受到影響。</p> <p>對於駭客綁架上述設備的目的，主要與協助俄羅斯當局收集外國情報有關。他們透過DNS挾持活動，針對微軟網路郵件服務Outlook的TLS連線從事對手中間人攻擊。微軟指出，這是他們首度看到APT28利用邊緣設備、DNS挾持等技術來從事網釣的情況。</p> <p>這些駭客疑似濫用名為dnsmasq的公用程式進行DNS解析與回應，並監聽53埠的DNS查詢內容。而在對手中間人攻擊活動裡，駭客都是針對TLS連線而來，根據目標的不同，大致可區分成兩種，一種是針對M365網域，另一種是鎖定特定政府機關伺服器下手。微軟提及，駭客控制的基礎設施會偽造微軟的網路服務，但通常會向使用者顯示無效的TLS憑證，若是使用者忽略無效的憑證警告，攻擊者就能主動攔截TLS連線底層的流量。</p> </div></div></div>
4/8 16:12作者周峻佑https://www.ithome.com.tw/news/174914
APT28從事網釣攻擊活動FrostArmada，藉由路由器DNS組態將受害者導向AiTM基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國近日破壞<strong><a href="https://www.ithome.com.tw/news/174911">俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）架設的殭屍網路</a></strong>，此網路主要由SOHO路由器組成，其中大部分設備的廠牌是TP-Link。駭客藉由這種殭屍網路，將攻擊目標導向對手中間人攻擊（AiTM）的基礎設施，從而挖掘他們的帳密資料、權杖（Token），以及其他敏感資料，參與此次執法活動的電信公司Lumen指出，這是他們近期在追蹤APT28最新一波的攻擊行動。</p> <p>Lumen旗下的資安實驗室Black Lotus指出，<strong><a href="https://www.lumen.com/blog-and-news/en-us/frostarmada-forest-blizzard-dns-hijacking">他們追蹤APT28從事名為FrostArmada的攻擊活動</a></strong>，駭客入侵邊緣設備並竄改DNS組態，將與身分驗證有關的流量進行重新導向。駭客這麼做的目的，就是將指定的受害者導向AiTM基礎設施，並在幾乎不需與使用者互動的情況下，收集他們的憑證與權杖。值得留意的是，在去年8月英國網路安全中心（NCSC）公布Authentic Antics攻擊調查結果後，Lumen就看到APT28快速改變戰術，改以入侵路由器與DNS重新導向的手法進行相關攻擊。</p> <p>關於APT28發動FrostArmada攻擊的時間點，最早從2025年5月開始，不過當時駭客針對的目標有限。FrostArmada的攻擊活動在同年12月達到高峰，當時該公司在超過120個國家當中，偵測到逾1.8萬個IP位址與APT28的基礎設施進行通訊。這波攻擊主要針對外交部與執法部門等政府機關，但也有第三方郵件服務供應商受害。</p> <p>雖然Lumen提到APT28綁架邊緣裝置，不過他們特別提及，駭客特別偏好TP-Link和MikroTik路由器，而且疑似鎖定網頁管理介面相關的已知漏洞。但除了SOHO與家用路由器，Lumen也看到APT28針對其他曝露在網際網路的設備，其中包含Fortinet等廠牌的企業級防火牆，主要是針對較舊的機種，但駭客也攻擊Nethesis等小廠的防火牆設備。</p> <p>這些路由器或防火牆設備遭到滲透後，駭客竄改其DNS設定，將其與虛擬專有伺服器（VPS）節點通訊，這些VPS也扮演DNS解析器的角色。</p> <p>駭客藉由入侵路由器設備，竊取內網工作站電腦的OAuth權杖，由於Lumen並未發現駭客濫用底層身分驗證協定有關的資安漏洞，他們研判是透過對手中間人攻擊達到目的。</p> </div></div></div>
4/8 15:27作者周峻佑https://www.ithome.com.tw/news/174913
量子威脅時程大幅提前，Cloudflare加速後量子搬遷鎖定2029年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Cloudflare<a href="https://blog.cloudflare.com/post-quantum-roadmap/">宣布</a>，目標在2029年全面達成涵蓋加密與身分驗證的後量子（Post-Quantum）安全。這項決定的背景，是近期量子運算領域接連出現重大突破，使得量子電腦可破解現行密碼機制的時間點（Q-Day），從業界原先普遍預估的2035年後，大幅提前至最快2029到2030年。</p> <p>促使Cloudflare加速行動的關鍵，是上周發表的兩項研究，Google宣布大幅改進了破解橢圓曲線密碼學P-256的量子演算法，同日，量子運算新創Oratomic發表資源估算報告，指出以中性原子（Neutral Atom）量子電腦破解P-256僅需約1萬個量子位元，遠低於先前預期，其關鍵在於中性原子架構的量子位元連接性優於超導架構，每個邏輯量子位元僅需約3到4個物理量子位元，大幅降低硬體門檻。</p> <p>Cloudflare強調，隨著Q-Day可能提早，後量子防禦重點正轉向更急迫的身分驗證升級。過去業界優先部署後量子加密，主要是防範攻擊者先截取加密流量，等待未來量子電腦成熟後再解密。Cloudflare自2022年起已在產品中預設導入後量子加密，目前超過65%經Cloudflare處理的人類流量已採後量子加密。不過，身分驗證遭破解的後果更為嚴重，任何未升級的遠端登入金鑰、根憑證或程式碼簽章憑證，都可能成為攻擊者的直接入口，軟體自動更新機制甚至可能成為遠端執行程式碼的管道。</p> <p>Cloudflare公布的具體時程分為四個階段，2026年中支援Cloudflare到來源伺服器連線的後量子身分驗證（ML-DSA）；2027年中透過Merkle Tree Certificates支援訪客到Cloudflare連線的後量子身分驗證；2028年初Cloudflare One SASE套件全面加入後量子身分驗證；2029年達成全面後量子安全。Cloudflare承諾，所有後量子升級將免費提供給所有方案的用戶。</p> <p>Cloudflare也對企業提出建議，應將後量子支援納入採購需求，並及早評估關鍵供應商的準備狀態。對政府機關而言，Cloudflare呼籲指定主責機關協調搬遷時程，避免各機關各自為政導致進度分散。</p> </div></div></div>
4/8 16:03作者李建興https://www.ithome.com.tw/news/174910
疑不滿微軟處理態度，研究人員憤而公布Windows零時差漏洞BlueHammer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因微軟認定漏洞通報內容未達到需要處理的條件等原因不予處理，引起研究人員不滿的情況再添一樁！近日有人公布名為BlueHammer的資安漏洞，該漏洞可被攻擊者用於本機權限提升（LPE），傳聞可能是微軟要求通報者必須提供影片，導致該名研究員不滿而決定直接公開漏洞，這樣的情況也再度引起外界高度關注。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/disgruntled-researcher-leaks-bluehammer-windows-zero-day-exploit/">資安新聞網站Bleeping Computer的報導</a></strong>，自稱是Chaotic Eclipse的研究員近日<strong><a href="https://deadeclipse666.blogspot.com/2026/04/public-disclosure.html">透過部落格表示</a></strong>，他在GitHub公布名為BlueHammer的資安漏洞，並強調不會進一步說明漏洞細節，要「諸位天才」自行解析。。這名研究員在GitHub說明網頁提及，概念驗證工具（PoC）存在一些臭蟲，目的是避免有人直接拿來用於實際攻擊，不過，他之後有可能會進行修正。值得留意的是，雖然Chaotic Eclipse並未說明漏洞細節，不過在字裡行間明顯表達了對微軟安全回應中心（MSRC）的不滿。</p> <p>究竟上述漏洞的真實性與嚴重程度為何？Tharros首席漏洞分析師Will Dormann透過社群網站Mastodon指出，<strong><a href="https://infosec.exchange/@wdormann/116358064691025711">BlueHammer確實是有效漏洞</a></strong>，此零時差漏洞涉及本機權限提升，不過並非每次觸發都能成功。他後續也<strong><a href="https://infosec.exchange/@wdormann/116358727550886866">在留言提到</a></strong>，在不同版本的Windows作業系統，利用BlueHammer的結果也會出現差異：在工作站版本的Windows，攻擊者可將權限提升至SYSTEM層級，而在伺服器版作業系統，則是能得到管理員權限。</p> <p>Dormann也提到該漏洞被公開的原因，顯然與MSRC的運作流程有關。他指出微軟為了節省預算，將專精技術的專家解僱，只留下僅依流程作業的員工。因此Dormann推測，很可能是研究人員拒絕依照MSRC的通報規定提供影片，而導致該漏洞直接被結案。</p> <p>他也向Bleeping Computer說明BlueHammer的其他細節，此漏洞同時結合了時間檢查及時間利用不一致（TOCTOU）的條件競爭漏洞，以及本機權限提升漏洞，雖然漏洞利用的難度較高，但能讓攻擊者從本機存取安全帳號管理員（Security Account Manager，SAM）資料庫內容，從而取得本機帳號的密碼雜湊值，進而得到SYSTEM權限，而有機會完全控制受害電腦，甚至能孳生SYSTEM層級的Shell。</p> <p>針對BlueHammer被公開的情況，微軟發言人4月7日向Bleeping Computer說明，該公司向客戶承諾會調查獲報的資安問題，並儘速更新受影響裝置來保護客戶。他們也支援業者廣泛採用的協調漏洞揭露機制，在公開揭露漏洞前進行詳細的調查與回應。</p> </div></div></div>
4/8 12:25作者周峻佑https://www.ithome.com.tw/news/174902
美國破壞APT28架設的AiTM網釣基礎設施，駭客綁架TP-Link路由器從事DNS挾持活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月7日美國司法部（DOJ）與聯邦調查局（FBI）<strong><a href="https://www.justice.gov/opa/pr/justice-department-conducts-court-authorized-disruption-dns-hijacking-network-controlled">宣布</a></strong>，他們取得了法院授權，於美國境內破壞與俄羅斯聯邦軍隊總參謀部情報總局（GRU）旗下駭客團體APT28（Sofacy Group、Forest Blizzard、Fancy Bear）設置的網路環境，此網路是經由綁架多臺SOHO路由器所組成，駭客將其用於對俄羅斯當局關注的軍情目標，進行惡意DNS挾持活動，範圍涵蓋軍事單位、政府機關，以及關鍵基礎設施。</p> <p>美國司法部指出，APT28至少從2024年開始，利用已知漏洞竊得全球數千臺TP-Link路由器憑證，然後竄改這些路由器的DNS設定，使其導向GRU控制的惡意DNS解析器。</p> <p>值得留意的是，駭客後來導入自動過濾機制，攔截特定的DNS請求。他們針對特定的目標，透過解析器提供特定網域名稱的假DNS紀錄，藉此模仿合法的IT系統服務，其中一種是Microsoft Outlook Web Access。而這種利用路由器組成的網路環境，APT28主要將其用於對手中間人攻擊（AiTM），從而解開使用者加密的網路流量，從受害路由器所處的網路環境裡，挖掘裝置上的密碼、身分驗證權杖（Token）、電子郵件，以及其他敏感資料。</p> <p>根據賓州地方法院的文件，FBI開發一系列指令，發送給美國遭到入侵的路由器，除了收集駭客行為的證據，也重置路由器的DNS組態設定，並防堵駭客初期入侵的管道。不過即便如此，美國司法部還是呼籲所有用戶最好採取行動，汰換已終止支援的機種、套用最新版韌體、檢查DNS解析器的設定，以及設置防火牆規則，來降低路由器遭到滲透的風險。</p> </div></div></div>
4/8 14:38作者周峻佑https://www.ithome.com.tw/news/174911
【李建璋觀點】從數位孤島到醫療生態系：台灣 SMART on FHIR 國家級基建的轉型之路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/guest-post/174905"><img src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/li_jian_zhang_tu_pian_2.jpeg?itok=VB5uw2ly" width="960" height="420" alt="" /></a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong>作者：李建璋／衛生福利部資訊處技監兼處長 </strong></p> <h3><span style="color:#B22222;"><strong>1. 醫療資訊的「基建革命」：重塑智慧醫療的發展藍圖</strong></span></h3> <p>過去十年，台灣智慧醫療發展的挑戰，並非缺乏先進的 AI 演算法，而是往往過度迷戀於單一亮點 App 的開發，卻忽視了最核心的命題：智慧醫療的成功，並不取決於應用程式本身的優劣，而取決於底層軟體基礎設施（Software Infrastructure）的健全。許多人會問：「台灣身為科技之島，難道還缺乏基礎設施嗎？」答案是：我們不缺電力、不缺光纖，但我們極度缺乏標準化的軟體基礎設施。</p> <p>目前的醫療體系充斥著「電子病歷碎片化」的結構性問題，這不僅導致病人資訊無法跨院無縫流通，更造成了嚴重的數位不平權。頂尖的 AI 診斷技術往往鎖在醫學中心的深牆內。深層的問題在於「數位不平權」。過往頂尖的 AI 診斷輔助或創新醫療軟體，往往僅能在資源充足的醫學中心開發與運行。中小型醫院受限於技術與經費，難以導入這些新科技，最終導致城鄉、院際之間的醫療品質出現數位落差。</p> <p>這不是單純購買軟體就能解決的。回顧網際網路的發展，之所以能有如今的應用盛世，關鍵在於 HTTP 與 HTML 協定的標準化。若醫療資訊持續維持封閉格式，每一次介接都像是在重新發明輪胎。解決上述結構性問題的關鍵，在於引入標準化的「作業系統」概念，將醫療資料從封閉孤島轉化為全球通用的 FHIR 協定，作為數位轉型的底層支柱。</p> <p><img alt="" src="/sites/default/files/images/%E6%9D%8E%E5%BB%BA%E7%92%8B%E5%9C%96%E7%89%87%201.jpeg" /></p> <h3><span style="color:#B22222;"><strong>2. 下世代電子病歷工程：從技術自主到國家標準</strong></span></h3> <p>隨著衛福部推動「次世代電子病歷」轉型，台灣正經歷一場從「技術自主」邁向「國家標準」的關鍵工程。這不僅是資訊系統的改版，更是將台灣核心資料（TW Core Data for Interoperability, TWCDI）定義為醫療數據的國家標準，讓所有醫療資訊不再各自為政。</p> <p>透過政府主導的技術開發，我們已成功打造出一套符合國際規範的 FHIR 轉換與介接工具。這套工具的穩定性已在長庚醫院、馬偕醫院、以及中山醫學大學附設醫院等指標性醫療體系中獲得實證。這些醫學中心的成功試辦，證明了標準化介接能大幅降低系統整合的困難度，並提升臨床資料的實用性。</p> <p>以下是從技術研發到全台醫學中心落地的關鍵進程：</p> <ul> <li>技術自主研發：完成符合國際規範的 FHIR 數據轉換工具。</li> <li>指標醫院驗證：於長庚、馬偕、中山醫等院所驗證臨床穩定性。</li> <li>全國性標準化：以 TW Core IG 為軸心，將標準推廣至全台所有醫學中心。</li> <li>生態系雛形：吸引產學研界投入，初步匯聚 115 個標準化應用程式。</li> </ul> <p>標準化資料的完成僅是第一步，接下來的核心挑戰在於如何透過這些資料驅動應用端的革命，讓醫療軟體實現真正的隨插即用。</p> <h3><span style="color:#B22222;"><strong>3. SMART on FHIR：醫療系統的「通用插座」與作業系統</strong></span></h3> <p>若將 FHIR 比作標準化的電力規格，SMART on FHIR 就是醫療系統中的「通用插座」。SMART （Substitutable Medical Applications and Reusable Technologies, SMART )是由美國哈佛大學 Kenneth D.Mandl 教授於 2010 年發明，歷經十年發展，現已成為美國立法強制執行的全國電子病歷應用標準。在過去，若一個 AI 應用要推廣至 10 家醫院，開發者必須面對 10 種不同的資料接口；現在，透過 SMART 標準，醫療 App 能像智慧手機應用程式一樣，在不同的電子病歷系統（EHR）上實現隨插即用（Plug-and-Play）。</p> <p>這場技術革命的意義，在於將醫療軟體的部署邏輯從「手工對接」轉向「生態規模化」。從開發者的視角而言，SMART 建立了一個低進入門檻（Low barriers to entry）的開放標準生態圈。開發團隊只需基於標準 API 撰寫一次程式碼，應用程式即可運行於各大 EHR 廠商（如 Epic、Cerner 等）系統中。這種「Write once, run anywhere」的架構，是驅動醫療數位創新爆發的絕對關鍵。</p> <p><img alt="" src="/sites/default/files/images/%E6%9D%8E%E5%BB%BA%E7%92%8B%E5%9C%96%E7%89%87%202.jpeg" /></p> <h3><span style="color:#B22222;"><strong>4. SMART on FHIR技術核心</strong></span></h3> <p>SMART on FHIR 技術核心如下</p> <ul> <li><strong>身分驗證層（Authentication）：</strong> 解決「你是誰」的問題。SMART 在 OAuth 2.0 之上疊加了 OpenID Connect (OIDC) 協定。當醫師或病患啟動 App 時，OIDC 會確認資源擁有者（Resource Owner）的真實身分，核發 ID Token。這確保系統能精準識別操作者，無論是檢視病歷的病患，或是下達醫囑的專科醫師。</li> <li><strong>安全授權層（Authorization）： </strong>解決「你能做什麼」的問題。採用 OAuth 2.0 標準，第三方應用程式（Client Application）在取得授權後，從授權伺服器獲得 Access Token。隨後，App 憑此 Token 向 FHIR Server 發起 RESTful API 呼叫。這讓使用者在不洩露 EHR 帳密的前提下，安全地委派特定資料存取權。</li> </ul> <h3><span style="color:#B22222;"><strong>5. 隱私守護設計：差異化授權與最小化資料存取</strong></span></h3> <p>在高度重視隱私的醫療領域，傳統「全有或全無」的資料存取模式已過時。SMART on FHIR 將<span style="color:#0000FF;"><strong>隱私守護設計（Privacy by Design）</strong></span>深植於架構中，其核心武器便是 SMART Scopes（授權範圍）。SMART Scopes 實踐了最小權限原則（Principle of Least Privilege）。它透過極精細的語法定義邊界，標籤包含三個層次：存取類型（如針對特定病患 patient 或全域 user）、資源類型（如 Immunization 紀錄或 Observation 數值）、以及具體操作（如 read 或 write）。</p> <p>例如，一款監測血壓的 App 僅會請求 patient/Observation.read 權限。系統與使用者皆能確保該 App 無法越權讀取用藥紀錄（如 patient/MedicationRequest.read），更無法竄改病歷。最新的 SMART v2 規範更針對<span style="color:#0000FF;"><strong>精細授權（Granular scopes）</strong></span>進行優化，為醫療隱私築起堅不可摧的防線。</p> <h3><span style="color:#B22222;"><strong>6. 無縫融入臨床工作流：IFrame 與前端整合技術</strong></span></h3> <p>再先進的 AI 工具，如果要求醫師跳出原本的 EHR 介面、額外開啟視窗並重新輸入病患 ID，最終必將被臨床捨棄。深度整合工作流（Workflow Integration）才是系統存活的關鍵。SMART on FHIR 的 UI 整合依賴於 IFrame（內嵌框架）等技術。當醫師在 EHR 中檢視病患病歷時，可直接從選單啟動 SMART 應用程式（如：生長曲線圖 App）。此時，第三方 Web App 會以 IFrame 形式直接內嵌於 EHR 介面中。系統會在背景將當下的「執行情境（Context）」（如病患 ID 與醫師身分）平滑傳遞給認證伺服器。</p> <p>對醫師而言，這個 App 的使用體驗與 EHR 原生功能無異，完全不會打斷臨床診斷的節奏。此外，透過 SMART Web Messaging 技術，內嵌 App 能與外層 EHR 即時溝通（如自動導航或寫入醫囑草稿區）。結合 CDS Hooks，我們更能實現在特定臨床事件發生時自動觸發應用程式，達成真正的「緊密 EHR 決策支援整合」。</p> <h3><span style="color:#B22222;"><strong>7. 國家級醫療 App 市集：台灣健康應用程式空間 (THAS)</strong></span></h3> <p>今天，我們正站在一個歷史性的轉捩點上。台灣正式推出了首個國家級的 SMART on FHIR 應用程式市集——Taiwan Health App Space (THAS)。這不僅僅是一個「軟體商店」，而是一場底層架構的革命。THAS 採用了具備高度語意互通性（Semantic Interoperability）的 HL7 FHIR R4 標準與台灣核心實作指引（TW Core IG），結合 OAuth 2.0 安全授權，讓醫療應用程式能像智慧型手機上的 App 一樣「隨插即用」。目前市集已匯聚 115 個應用程式，展現了極為健康的生態比例：50% 來自產業界，50% 來自醫學中心與研發機構。其內容可歸納為「醫療人工智慧」、「臨床決策支援」、「資料視覺化」與「行政營運效率」四大核心面向：</p> <h4><strong>A. 醫療人工智慧 (Medical AI)：次世代診斷的數位感官</strong></h4> <p>醫療 AI 已從實驗室走向床邊。在 THAS 平台上，AI 不再是獨立運作的黑箱，而是透過 SMART on FHIR 無縫嵌入工作流，成為醫師的「第二雙眼」。</p> <ul> <li><strong>一圖多篩</strong>：極大化影像價值的「機會性篩檢」面對肺癌與心血管疾病等沉默殺手，神瑞科技的「DeepLung-CAC 100」平台展示了機會性篩檢（Opportunistic Screening）的威力。系統能在單次低劑量電腦斷層（LDCT）中，同步偵測肺結節與冠狀動脈鈣化風險。透過 FHIR 格式，分析報告能直接回寫至 HIS，將閱片時間從 20 分鐘壓縮至 5 分鐘內。同樣地，三軍總醫院的「AI 胸部 X 光篩檢」能同步辨識急症病灶並預測骨質疏鬆風險（T-score 推估），讓醫師在既有流程中同時掌握急性異常與慢性風險。</li> <li><strong>深度量化與即時防線</strong>：在精準醫療領域，巨明生醫的「肯威比 (CanWellBeing)」僅需 3 秒即可完成腹部 CT 的肌群分割，將肌少症風險轉化為 70 多項 FHIR 結構化指標，輔助化療劑量優化。而在心血管急症中，廣達電腦的「QOCA 心電圖分析」與中國醫藥大學附設醫院的偵測軟體，將防線前推至救護車端，實證顯示能將 Door-to-balloon（到院至氣球擴張）時間縮短達 14 分鐘，實現無縫搶救。</li> </ul> <h4><strong>B. 臨床決策支援 (CDS)：資訊海嘯時代的智慧副駕</strong></h4> <p>現代醫學的複雜度已超越人腦極限，醫師面臨嚴重的認知超載（Cognitive Overload）。真正的 CDS 必須具備「情境感知」能力，而非僅是擾人的警示彈窗。</p> <ul> <li><strong>主動式預判與實證醫學</strong>：台北榮總的「醫析 (MediPrisma)」採用 Agentic AI 架構，在病歷載入瞬間主動提示潛在風險（如 eGFR 下降趨勢），並整合 RAG（檢索增強生成）技術確保建議皆附有文獻來源，解決了 AI 的「幻覺」痛點。</li> <li><strong>與死神賽跑的即時預警</strong>：針對敗血症，台北榮總的「SepsisProbe」與基隆長庚的「CHARM」系統利用即時生命徵象與 FHIR 數據，在數秒內產出風險評分，協助急診醫師安全排除低風險病患，避免抗生素濫用與資源浪費。此外，高雄長庚與林口長庚分別在「急性腎損傷預警」與「核醫藥物劑量治理」上，利用規則引擎為用藥安全築起最後一道防線。</li> </ul> <h4><strong>C. 資料視覺化 (Data Visualization)：破譯複雜病程的臨床敘事</strong></h4> <p>醫療數據的價值在於解讀。THAS 中的應用正致力於將破碎數據編織成連貫的病人旅程（Patient Journey）。</p> <ul> <li><strong>打造臨床戰情室</strong>：高雄榮總的「火線指揮官」系統顛覆了傳統列表式病歷，透過時間軸視覺化技術，讓醫師在 30 秒內掌握跨院的檢驗趨勢與用藥變化。微服務公司的「病人就醫歷程平台」則實現了跨裝置的全人照護。</li> <li><strong>動態趨勢與知識圖譜</strong>：萬芳醫院的「VitalFlow ED」監控急診病情的「變化率」而非靜態數值，主動識別惡化風險。中國醫大附醫則將 FHIR 資源轉化為互動式的知識圖譜，讓醫師能「沿著臨床線索」探索複雜的共病與用藥脈絡。</li> </ul> <h4><strong>D. 行政與營運效率 (Administrative Efficiency)：終結醫療過勞的解藥</strong></h4> <p>我們必須誠實地面對醫療人員的職業倦怠（Burnout）。THAS 平台正以自動化技術終結低價值的行政勞動。</p> <ul> <li><strong>品管自動化與病摘生成</strong>：台北長庚引入 CQL（臨床品質語言）技術，將原本需耗時數週的醫療品質監測（如 ESG、抗生素使用率）轉型為即時監測。新光醫院的「智慧護理系統」提升文書效率達 54%，並達成轉錄零錯誤。台北醫學大學的「One-Click NOTE」則利用 GenAI 讓原本需 40 分鐘的病歷撰寫縮減至 15 分鐘內。</li> <li><strong>消滅編碼與申報痛點</strong>：台北榮總與昕力資訊分別透過 AI 輔助 ICD-10 編碼，降低退件率。而國軍高雄總醫院的「TWPAS」系統則實現了高額藥物的事前審查自動化，將申請時間從一小時縮短至 10 分鐘，實現「診斷即送件」，讓病患更快獲得救命藥物。</li> </ul> <p><img alt="" src="/sites/default/files/images/%E6%9D%8E%E5%BB%BA%E7%92%8B%E5%9C%96%E7%89%87%203.jpeg" /></p> <h3><span style="color:#B22222;"><strong>8. 國際視野下的台灣模式：引領全球的數位醫療新戰略</strong></span></h3> <p>台灣已成為全球第一個由政府主導、採用國際標準打造國家級 SMART 市集的先行者。這項成就讓我們佔據了政策制高點：</p> <ol> <li>打破廠商壟斷：不同於美國受限於大型 EHR 廠商的封閉生態，台灣的 App 能跨品牌流通。</li> <li>超越客製化局限：不同於英國 NHS 的封閉式開發，台灣完全對齊國際 FHIR 標準，具備極強的輸出潛力。</li> <li>引發國際關注：泰國 Mahidol University 醫療體系已正式提出合作，證明台灣具備輸出「數位醫療基建」的能力。</li> </ol> <p><img alt="" src="/sites/default/files/images/%E6%9D%8E%E5%BB%BA%E7%92%8B%E5%9C%96%E7%89%87%204.jpeg" /></p> <h3><strong><span style="color:#B22222;">9. 結論：啟動數據驅動的醫療新經濟</span></strong></h3> <p>「軟體基建」是智慧醫療落地的最後一哩路。從 FHIR 標準到 SMART 框架，這些技術已演變為推動數位平權、提升醫療品質的社會引擎。哈佛大學 Kenneth Mandl 教授一路見證了我們的進程，他盛讚：「李處長目前推動的工程將引爆資料驅動的經濟市場。」我常將 SMART 比喻為醫療數據領域的 WWW（全球資訊網），建立一個通用基盤以打破資訊壟斷。當數據接口統一，「醫療瀏覽器」開始運轉，我們將徹底擺脫數位孤島。我呼籲所有 IT 專業人士與臨床醫師共同投入這個生態系，在標準化的基石上，共同打造造福全球病患的創新應用。</p> </div></div></div>
4/8 12:51作者客座文章https://www.ithome.com.tw/guest-post/174905
英特爾宣布加入馬斯克的Terafab AI晶片專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國晶片設計暨製造商<a href="https://x.com/intel/status/2041501301318766866" target="_blank">英特爾（Intel）週二（4/7）透過X宣布</a>，將加入由馬斯克（Elon Musk）旗下SpaceX、xAI與特斯拉（Tesla）共同發起的Terafab AI晶片專案。</p> <p>馬斯克是在2026年3月22日<a href="https://x.com/elonmusk/status/2035506574182199757" target="_blank">發表Terafab專案</a>，表示該專案的目標是每年生產超過1TW（1000GW）的運算能力，涵蓋邏輯、記憶體與封裝，而且有80%將應用在太空，只有20%會於地球上部署。</p> <p>根據<a href="https://x.com/elonmusk/status/2035743704322023820" target="_blank">馬斯克的規畫</a>，Terafab專案將由兩個晶圓廠組成，每個晶圓廠只生產一種晶片設計，以簡化製程並讓晶圓搬運更線性化，以提升效率及產能。而<a href="https://www.bloomberg.com/news/articles/2026-03-22/elon-musk-says-tesla-xai-spacex-terafab-to-start-in-austin" target="_blank">彭博社</a>（Bloomberg）則報導，這兩個晶圓廠將分別生產可應用於汽車與機器人等邊緣運算及推理的晶片，以及專為太空設計、可供SpaceX及xAI使用的高效能晶片。</p> <p>儘管馬斯克宣布Terafab晶片專案時只提到SpaceX及特斯拉，但Terafab的<a href="https://terafab.ai/" target="_blank">官網</a>同時列出了SpaceX、特斯拉與xAI。</p> <p>目前Terafab官網並沒有太多內容，只說該專案整合了邏輯、記憶體與先進封裝技術，也將縮小目前晶片生產及未來需求的差距，並以成為銀河文明為目標。指出美國目前每年需要0.5TW的運算能力，而Terafab的目標是每年生產1TW運算能力，以應用在地球與太空。</p> <p>英特爾表示，該公司在設計、製造與封裝超高效能晶片的大規模能力，將有助於加速Terafab實現每年1太瓦（terawatt）算力產出的目標，以支援未來AI與機器人技術發展，很榮幸能加入Terafab專案，協助重構矽製造技術。</p> </div></div></div>
4/8 12:54作者陳曉莉https://www.ithome.com.tw/news/174906
Storm-1175利用至少16個企業尚未修補的漏洞，於受害組織植入勒索軟體Medusa，最短在一天內就完成加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了滲透企業組織的網路環境，其中一種最常見的作法就是針對能從網際網路存取的應用系統，透過已知或未知的漏洞來達到目的，駭客通常還會在企業組織還無法及時修補或實施緩解措施的空窗期，利用這些漏洞來增加成功的機會。</p> <p>最近微軟揭露<strong><a href="https://www.microsoft.com/en-us/security/blog/2026/04/06/storm-1175-focuses-gaze-on-vulnerable-web-facing-assets-in-high-tempo-medusa-ransomware-operations/">中國駭客組織Storm-1175的攻擊活動</a></strong>，就是這種型態的例子。這些以經濟利益為動機的駭客，鎖定曝露在網際網路的系統，將廠商公開的已知漏洞（N-Day）快速打造成武器，在企業組織尚未普遍套用修補程式空窗期從事活動，一旦得逞，駭客就會迅速外洩資料並部署勒索軟體Medusa，大部分攻擊只有短短數天，有些甚至在1天內就完成。值得留意的是，這些駭客雖然主要使用已知漏洞，不過微軟也看到使用零時差漏洞的情況，有些在漏洞公布前一週就用於攻擊行動，再者，這些駭客也會串連多個漏洞，目的是推動入侵之後的活動流程。</p> <p>在Storm-1175成功入侵受害組織並建立初期的存取管道後，他們就會設置新帳號，接著，部署遠端監控與管理工具（RMM）等多種工具來橫向移動、竊取憑證、竄改端點防護軟體，最終部署勒索軟體。微軟指出，這些駭客最近活動大多針對美國、英國、澳洲，嚴重影響了醫療機構、教育、專業服務，以及金融領域。</p> <p>微軟指出，Storm-1175從2023年開始，至少利用16個漏洞，這些漏洞影響郵件伺服器Exchange、列印管理系統PaperCut、Ivanti Connect Secure、ConnectWise ScreenConnect、JetBrains TeamCity、SimpleHelp、CrushFTP、GoAnywhere、SmarterMail、BeyondTrust。他們利用漏洞的速度極快，例如，去年4月24日SAP公布NetWeaver漏洞CVE-2025-31324，微軟隔天就看到Storm-1175用於實際攻擊。</p> <p><a href="/sites/default/files/images/Storm-1175-exploitation-1.png" target="_blank"><img alt="" src="/sites/default/files/images/Storm-1175-exploitation-1.png" style="width: 580px;" /></a></p> <p>另一個微軟提到的現象，是這些駭客濫用的遠端監控與管理工具相當多元，他們至少使用了8種，涵蓋：Atera、Level、N-able、DWAgent、MeshAgent、ConnectWise ScreenConnect、AnyDesk，以及SimpleHelp。</p> </div></div></div>
4/8 10:18作者周峻佑https://www.ithome.com.tw/news/174897
Anthropic發布Claude Mythos Preview，AI資安能力直逼頂尖人類駭客並啟動全球資安防禦計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://red.anthropic.com/2026/mythos-preview/" target="_blank">Anthropic週二（4/7）發表</a>全新前沿模型Claude Mythos Preview，該模型已自主發現數千個橫跨作業系統、瀏覽器及開源軟體的零日漏洞，並同步啟動全球資安防禦計畫<a href="https://www.anthropic.com/glasswing" target="_blank">Project Glasswing</a>，集結十多家科技/金融業者，納入逾40個關鍵基礎設施組織，優先提供模型存取以加速漏洞修補。</p> <p>其實Mythos Preview是款通用型語言模型，雖然各方面都升級了，只是在電腦安全任務上特別出色，它所發現的數千個高嚴重性漏洞中，絕大多數都是零日漏洞，包括一個已於OpenBSD存在27年的漏洞，允許駭客自遠端癱瘓任何連線中的主機；或是一個於FFmpeg中存在16年的漏洞，就算曾經過500萬次的自動化測試都沒有被發現。</p> <p>Anthropic表示，只要使用者指示，Mythos Preview就能在主要作業系統與主流瀏覽器中識別並利用零日漏洞。而且它所建構的漏洞利用程式，並不只是普通的堆疊溢位型攻擊程式，它可寫出串連4個瀏覽器漏洞的JIT堆積噴射，成功逃逸渲染器與作業系統的沙箱；還能自主寫出一個針對FreeBSD的NFS伺服器的遠端程式碼執行漏洞利用程式，讓未經驗證的使用者取得完整的Root權限。</p> <p>此外，就算不是專家，也可以利用Mythos Preview來尋找與利用高階漏洞。Anthropic內部沒有受過正式資安訓練的工程師，曾要求Mythos Preview隔夜尋找遠端程式碼執行漏洞，隔天早上醒來時，就得到一個完整且可用的漏洞利用程式。</p> <p>Anthropic坦承，這些能力在AI模型中出現得非常快。上個月<a href="https://www.ithome.com.tw/news/174279" target="_blank">Anthropic</a>才揭露曾與Mozilla合作，以最新的Claude Opus 4.6找出Firefox 147的22個安全漏洞，當時Anthropic才說Claude發現漏洞的能力遠高於利用漏洞。</p> <p>根據Anthropic的內部評估，Opus 4.6在自主開發漏洞利用程式上的成功率通常接近0%，但Mythos Preview已明顯跨過這個門檻。例如在要求Opus 4.6建立Firefox 147一漏洞的JavaScript攻擊程式時，在數百次的嘗試中它只成功了兩次，當採用Mythos Preview重新測試時，它成功開發出181次可用的攻擊程式，另有29次可控制CPU暫存器。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0408-Claude%20Mythos%20Preview-600.jpg" style="width: 600px;" /></p> <p>Anthropic指出，AI模型的程式能力已達到一個程度，能在發現與利用軟體漏洞方面，超越除最頂尖專家之外的所有人類，由於擔心該能力擴散太快，甚至落入危險份子手中，衝擊經濟、公共及國家安全，因而啟動Project Glasswing，將Mythos Preview優先用於防禦。</p> <p>Project Glasswing集結了AWS、蘋果、Google、微軟、Nvidia、Cisco、CrowdStrike、Palo Alto Networks、JPMorganChase及Linux基金會等科技與金融巨頭，並另外納入負責建構或維護關鍵軟體基礎設施的逾40個組織，讓它們優先存取Mythos Preview，展開大規模的漏洞掃描與修補，以在AI攻擊能力普及前強化整體防禦。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0408-Project%20Glasswing-anthropic-2.jpg" style="width: 600px;" /></p> <p>Project Glasswing合作夥伴將取得Claude Mythos Preview，用於發現與修補其核心系統中的漏洞與弱點，預期工作將包括：本地漏洞檢測、二進位黑箱測試、端點安全強化，以及系統滲透測試等。Anthropic將提供最高1億美元的Mythos Preview使用額度，並額外捐出400萬美元給開源資安組織，涵蓋Alpha-Omega、OpenSSF及Apache軟體基金會。</p> <p>之後Mythos Preview將以每百萬tokens輸入25美元、輸出125美元的價格提供，可透過Claude API、Amazon Bedrock、Google Vertex AI與微軟Foundry使用。</p> <p>Anthropic計畫在90天後發表Project Glasswing成果。</p> </div></div></div>
4/8 10:59作者陳曉莉https://www.ithome.com.tw/news/174898
CERT-EU證實歐盟執委會網站資料外洩事件與Trivy供應鏈攻擊有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>三月底，歐盟執委會公布一起駭客攻擊事件，疑似有約350GB的內部資料外洩。上週<a href="https://cert.europa.eu/blog/european-commission-cloud-breach-trivy-supply-chain" target="_blank">歐盟電腦緊急應變小組CERT-EU證實</a>，此事和開源軟體Trivy遭遇供應鏈攻擊的事件有關。</p> <p>歐盟官方是在3月24日，發現某個外部組織存取了代管在第三方雲端基礎架構上的Europa.eu網站，導致部份網站資料被竊取，通報CERT-EU啟動調查，並在3月31日通知受影響人員。<a href="https://www.bleepingcomputer.com/news/security/european-commission-investigating-breach-after-amazon-cloud-account-hack/" target="_blank">Bleeping Computer</a>則明確報導，一個駭客組織宣稱藉由歐盟的Amazon Web Services（AWS）數個帳號，竊取了350GB內部資料。</p> <p>經過近二週調查，CERT-EU發布官方證實，此次攻擊是近日爆發TeamPCP所為的Trivy供應鏈攻擊事件的一部份。調查顯示，開源漏洞掃描工具Trivy供應鏈攻擊導致駭客拿到AWS某個API金鑰，並控制和歐盟有關的AWS帳號。同一天駭客試圖呼叫STS（Security Token Service）來啟動憑證掃描及驗證AWS憑證的工具TruffleHog尋找其他憑證。STS是一個生成短效安全憑證的AWS服務。接著他們藉由取得的AWS金鑰，為一位現有使用者增加新的存取鑰以迴避偵測，然後啟動偵察活動。歐盟當時偵測到惡意活動，很快就著手註銷該帳號的權利，防止其他存取活動，最後所有存取金鑰也都關閉或刪除。</p> <p>歐盟和CERT-EU調查後，高度確信最初的攻擊者是近日廣泛發動Trivy供應鏈攻擊的TeamPCP。理由主要來自兩者發生時間點相近、攻擊標的都是AWS憑證和雲端基礎架構，以及歐盟執委會在那段時間不知情之下，透過軟體更新而用到了有漏洞的Trivy。</p> <p>TeamPCP竊得的資料涉及託管於第三方雲端基礎架構的歐盟網站上71個客戶，包括42個歐盟機構及至少29個其他歐盟相關實體。然後在3月28日，知名ShinyHunters就在暗網上<a href="https://www.ithome.com.tw/news/174751" target="_blank">宣稱</a>握有歐盟資料。他們宣稱竊得郵件伺服器的資料、機密文件、合約以及其他敏感資料。外洩的資料是近91.7 GB壓縮檔，未壓縮時則為340 GB。</p> <p>目前確認外洩資料型態包括個資，如姓名清單、使用者名稱、電子郵件信等。絕大多數都是來自歐盟執委會網站，但資料所有人分布多個會員國。其他還包括對外通訊相關的51,992份檔案總數達2.22GB。其中大部份是沒什麼內容的自動通訊。然而回彈／退信（bounce-back）通知可能包含原用戶輸入的內容，而造成個資曝光。</p> </div></div></div>
4/8 09:36作者林妍溱https://www.ithome.com.tw/news/174895
天災人禍成我國海纜障礙新威脅，數發部：加強「斷纜不斷網」韌性架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣四面環海，連接國內外的海纜已成為我國重要的國家關鍵基礎建設(CI)之一。數發部今天(4/7)公布2025年我國海纜受損分析報告，指出臺灣面臨的資安風險不只來自駭客，還包括海上對海底電纜的「實體攻擊」。</p> <p>根據該報告分析，近4年臺灣海纜事故中，臺灣近岸(24海浬內)平均每年發生7至8起海纜障礙事件，其中因「船錨勾損」的平均占比達38.3%，平均每3起海纜障礙事件，就有超過1起源於船舶下錨。</p> <p>如果從2025年發生的7起近岸障礙事件來看，3起為「船錨勾損」，占比升至42.9%，且有2起肇因為外籍「權宜輪」（FOC）非法下錨，已形成我國海纜安全的新威脅。外籍權宜輪非法下錨的案例，顯示海纜正面臨灰色地帶行為與人為干擾的新型態威脅，讓關鍵通訊基礎設施暴露在低技術門檻、高影響性的實體攻擊風險下。</p> <p>下圖統計資料顯示，去年發生的7起24海浬內近岸海纜障礙事件中(來源：數發部)，除了1起為蕊線劣化的自然因素之外，其餘6起都和人為有關，造成障礙原因包括船錨勾損、漁撈作業及疑似外力破壞。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-07%20%E4%B8%8B%E5%8D%885_43_28.jpeg" /></p> <p>至於24海浬以外的遠海海纜損害原因，2025年共發生25起遠海海纜障事件，障礙的原因多和地震引發的海底滑坡有關，例如去年底臺灣東部海域發生強震，同時造成SJC2、PLCN、EAC1、FNAL、RNAL及EAC2等6條重要國際海纜短期內相繼發生障礙。</p> <p>目前臺灣的周邊共有15條國際、10條國內海纜，已全數列為我國的關鍵基礎設施。一旦發生斷纜或異常故障事件，不僅可能使得網路變慢，還可能影響跨境資料傳輸、雲端服務、金融交易，甚至是政府機關的運作。</p> <p>數發部指出，在地震頻繁的環境下，遠海海纜承受天然災害風險，例如近期東部海域地震曾同時影響多條國際海纜，就突顯出單一路徑設計的脆弱性。海纜受損這類「高衝擊、低頻率」事件，已成為現代資安治理中棘手的韌性挑戰。</p> <p>面對人為破壞與天災雙重夾擊，防護思維正從過去被動修復轉向預防的「韌性優先」。</p> <p>數發部表示，具體作法包括強化多路由備援，包括鼓勵業者投資新建海纜，同時加強對海纜的物理防護、深埋設計，並且提升對海纜的監測與預警能力，以及建立跨國維修與調度機制，降低單點故障帶來的風險。另外，還有引進衛星通訊星系，透過衛星通訊作為備援通訊。</p> <p>同時，也透過強化船舶識別系統（AIS）監管與司法追訴，提高破壞成本，尤其是過去幾起事件和越界抽砂的船隻有關，由於抽砂導致海纜受損，因此需要加強取締與重罰，防止非法抽砂行為，確保海床與海纜基礎持續穩定。</p> <p>數發部已將海纜保護納入更廣義的資安防禦體系。對於關鍵基礎通訊設施的防護思維，已不再只是防止斷纜，而是在即使發生中斷，仍確保網路能持續運作，即「斷纜不斷網」的通訊韌性。</p> </div></div></div>
4/7 18:21作者蘇文彬https://www.ithome.com.tw/news/174892
【資安日報】4月7日，Claude Code資料外洩事故成駭客散布惡意軟體的新誘餌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174870"><strong style="font-size: 22px;">Claude Code程式碼外洩引發GitHub供應鏈攻擊風險，駭客散布惡意程式鎖定開發者</strong></a></p> <p><a href="/sites/default/files/images/Claude-Code_5_2.png" target="_blank"><img alt="" src="/sites/default/files/images/Claude-Code_5_2.png" style="width: 300px; float: right;" /></a></p> <p>3月底AI程式開發工具Claude Code驚傳NPM儲存庫的Java程式來源映射檔（Source Map File）被公開，引起許多開發人員下載及流傳，Anthropic坦承確實有內部原始碼外流的情況，是人為疏失造成。值得留意的是，駭客也看上開發人員好奇的心理，假借提供相關檔案的名義，散布惡意程式。</p> <p>資安廠商Zscaler指出，他們發現有人打著Claude Code leak的名號，於GitHub散布特定的ZIP壓縮檔，表明是利用Anthropic近期外流的原始碼，編譯具備特定企業級功能、無訊息限制的Claude Code，然而若是開發人員依照指示操作，電腦就有可能被植入竊資軟體Vidar，以及代理伺服器工具GhostSocks。</p> <p><a href="https://www.ithome.com.tw/news/174874"><strong style="font-size: 22px;">Fortinet緊急修補已遭利用的FortiClient EMS零時差漏洞</strong></a></p> <p>4月4日資安公司Fortinet發布公告，指出旗下的端點管理平臺FortiClient EMS存在資安漏洞CVE-2026-35616，未通過身分驗證的攻擊者可使用特製的請求，執行未經授權的程式碼或命令，影響7.4.5至7.4.6版FortiClient EMS，CVSS風險評為9.1分（滿分10分），屬重大等級風險，該公司特別提及，已掌握漏洞遭到利用的情況，他們在即將推出的7.4.7版發布之前，特別針對7.4.5與7.4.6版用戶提供熱修補程式，呼籲用戶應儘速依照指引套用。</p> <p>由於Fortinet公告的時間點在週末，企業組織往往難以及時採取行動與套用修補程式，數日後CVE-2026-35616威脅態勢出現加劇的現象。弱點管理平臺廠商Tenable於4月6日發布部落格文章提出警告，他們看到有人公布概念驗證（PoC）程式碼，不過該公司尚未驗證是否有效。</p> <p><a href="https://www.ithome.com.tw/news/174883"><strong style="font-size: 22px;">駭客濫用React2Shell從事自動化攻擊，企圖從網頁應用程式搜刮各式憑證</strong></a></p> <p><a href="/sites/default/files/images/data-src-image-db4dce44-eee2-436e-9329-a1333b7401e0.png" target="_blank"><img alt="" src="/sites/default/files/images/data-src-image-db4dce44-eee2-436e-9329-a1333b7401e0.png" style="width: 300px; float: right;" /></a></p> <p>去年12月React開發工程團隊揭露重大漏洞CVE-2025-55182（React2Shell），此為遠端程式碼執行（RCE）漏洞，出現在伺服器元件（React Server Components），CVSS風險評分達到滿分10分，很快就有中國與北韓國家級駭客、勒索軟體、殭屍網路將其用於實際攻擊，如今傳出有人用於大規模搜刮應用系統的憑證。</p> <p>思科旗下的威脅情報團隊Talos指出，他們發現名為UAT-10608的駭客團體鎖定網頁應用程式下手，從事大規模挖掘憑證的活動，鎖定存在React2Shell的Next.js應用程式，試圖透過漏洞取得初期的存取管道，然後利用自動化指令碼從多種應用程式大規模擷取憑證、SSH金鑰、雲端憑證，以及環境機敏資訊，並傳送憑證至C2伺服器，全球至少有766臺主機遭到入侵，這些伺服器遍布多個地區與雲端服務供應商。</p> <p><a href="https://www.ithome.com.tw/news/174887"><strong style="font-size: 22px;">Axios供應鏈攻擊事故調查出現新進展，北韓駭客透過Slack、Teams竊得憑證而得逞</strong></a></p> <p><a href="/sites/default/files/images/76fea4bb244809c96227594534e671fa2456591d-1600x1704.png" target="_blank"><img alt="" src="/sites/default/files/images/76fea4bb244809c96227594534e671fa2456591d-1600x1704.png" style="width: 300px; float: right;" /></a></p> <p>3月底受到廣泛採用的HTTP用戶端程式庫Axios遭遇供應鏈攻擊，北韓駭客UNC1069（也被稱為Sapphire Sleet、Stardust Chollima、BlueNoroff）挾持知名維護者Jason Saayman的NPM憑證而得逞，後續該名開發人員透露，因遭遇社交工程攻擊而被騙走上述資料。</p> <p>Jason Saayman起初於3月31日的資安公告透露，Axios的維護團隊成員大約在兩週前遭遇社交工程攻擊。事隔數日，他於該公告留言說明駭客如何攻擊。這些駭客偽裝成某家公司的創辦人，並冒用他的肖像及相關資料，然後邀請Saayman存取特定的Slack工作空間（Workspace），該工作空間設置公司的品牌商標，駭客在頻道裡張貼了LinkedIn文章，Saayman因而降低警覺，誤以為這些貼文由實際企業的帳號發布。</p> <p><a href="https://www.ithome.com.tw/news/174859"><strong style="font-size: 22px;">F5 BIG-IP遠端執行程式碼重大漏洞已被利用，凸顯網路邊緣裝置漏洞風險</strong></a></p> <p>F5近日更新BIG-IP重大漏洞CVE-2025-53521的安全公告，確認此漏洞可用於遠端程式碼執行，且已出現實際攻擊行為，建議用戶盡速修補。資安業者Eclypsium近日也發布報告指出，這個漏洞顯示網路邊緣裝置（Network Edge Device）正成為攻擊者目標。</p> <p>CVE-2025-53521是去年10月揭露的F5 BIG-IP APM元件漏洞，最初歸類為阻斷服務（DoS）問題，但後續分析證實其可用於遠端執行任意程式碼攻擊，F5於今年3月29日更新安全公告，將其CVSS v4.0嚴重性評分從8.7上調為9.3，並指出此漏洞已被攻擊者利用，建議用戶立即檢視設備並修補漏洞。</p> <p><a href="https://www.ithome.com.tw/news/174854"><strong style="font-size: 22px;">駭客積極嘗試利用Oracle WebLogic遠端執行程式碼重大漏洞，攻擊活動急遽升溫</strong></a></p> <p>資安媒體Cyber Security News與gbhackers近日指出，今年1月揭露的Oracle WebLogic Server重大漏洞CVE‑2026‑21962，正被攻擊者積極嘗試利用，另外攻擊者也嘗試透過幾個舊的WebLogic Server漏洞發起攻擊，顯示這個平臺正成為攻擊焦點，用戶應立即修補，以降低風險。</p> <p>這次被攻擊者針對的CVE‑2026‑21962，主要存在於WebLogic Server代理程式外掛，是CVSS嚴重性評分10分的重大漏洞，允許未經身分驗證的遠端攻擊者透過HTTP存取受影響服務，可能導致遠端執行任意程式碼。發現這次攻擊跡象的是資安公司CloudSEK，其研究人員指出，當GitHub上有人發布偵測與利用此漏洞的程式碼後，他們利用蜜罐（Honeypot）模擬WebLogic Server進行監控；結果顯示，從1月22日起，針對該漏洞的掃描與惡意攻擊流量出現急遽增長的趨勢。</p> <p><a href="https://www.ithome.com.tw/news/174818"><strong style="font-size: 22px;">CISA警告Citrix NetScaler重大漏洞已被用於攻擊，要求盡速修補</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）近日警告，3月下旬揭露的重大漏洞CVE-2026-3055已被實際利用，未修補此弱點的Citrix NetScaler設備風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。</p> <p>CVE‑2026‑3055屬於記憶體越界讀取（Out‑of‑Bounds Read）類型弱點，CVSS嚴重性評分達9.3，攻擊者可在特定SAML身分提供者（Identity Provider，IdP）設定下，繞過驗證、直接讀取記憶體存放的敏感資料。受影響的產品涵蓋應用程式傳遞控制器NetScaler ADC，以及SSL VPN遠端存取設備NetScaler Gateway，解決辦法是升級系統軟體至Citrix建議的版本。</p> <p><a href="https://www.ithome.com.tw/news/174857"><strong style="font-size: 22px;">駭客冒充烏克蘭資安防護機構，企圖散布惡意軟體Agewheeze</strong></a></p> <p><a href="/sites/default/files/images/CERT-UA-2.png" target="_blank"><img alt="" src="/sites/default/files/images/CERT-UA-2.png" style="width: 300px; float: right;" /></a></p> <p>CERT-UA提出警告，名為UAC-0255的駭客組織於3月26日至27日，冒充CERT-UA的名義傳送受密碼保護的ZIP壓縮檔，針對政府機關、醫療中心、資安公司、教育機構、金融機構，以及軟體公司等，引誘收信人依照指示安裝特定軟體，然而若是照做，電腦就會被名為Agewheeze的多功能遠端控制軟體接管。</p> <p>值得留意的是，駭客組織Cyber Serp聲稱這起事故就是他們所為。根據資安新聞網站The Hacker News報導，3月28日Cyber Serp（他們也自稱是Cyber Sickle）宣稱向100萬個ukr[.]net信箱寄送釣魚信，導致超過20萬臺裝置被入侵。該組織強調，他們未對一般民眾發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/174872"><strong style="font-size: 22px;">微軟驚傳透過LinkedIn大規模監控用戶身分</strong></a></p> <p>代表LinkedIn企業用戶的組織FairLinked進行名為BrowserGate的研究，指控微軟旗下的LinkedIn網站未經用戶同意，暗中在用戶瀏覽器下載監控上網行蹤的程式。藉由公布調查結果，FairLinked希望蒐集相關證據，並募資以便發動法律行動，來阻止「數位史上最大企業間諜與資料外洩醜聞」。</p> <p>根據調查結果發現，每當用戶瀏覽linkedin.com，嵌入網頁上的JavaScript程式會掃描瀏覽器，檢查其安裝的Chrome擴充程式，目的是為了探知用戶的種族、宗教、政治傾向，將掃描結果送回LinkedIn伺服器，而且，只要瀏覽器載入linkedin.com，每次都會進行掃描。值得留意的是，微軟掃描的擴充程式超過6千個，涵蓋與LinkedIn有關的生產力或內容製作工具、LinkedIn競爭對手的應用程式、求職者工具、資安工具與VPN軟體，甚至有宗教及政治相關應用，以及自閉症等認知功能障礙有關的工具。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=172512&SPOKE_DATE=20260402&COMPANY_ID=8114"><strong style="font-size: 22px;">振樺電公告資安事件，部分系統遭入侵</strong></a></p> <p>工業電腦製造廠振樺電子（8114）於4月2日，於股市公開資訊觀測站發布重大訊息，指出公司資訊系統遭受網路攻擊，部分系統受到影響，已立即啟動資安應變機制。針對影響程度，振樺電初步評估，本次資安事件對營運尚無重大影響，亦未發現有客戶資料外洩情形，詳細情況有待進一步調查確認。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=64601&SPOKE_DATE=20260407&COMPANY_ID=4114"><strong style="font-size: 22px;">健喬資訊系統異常，啟動資安應變機制並強化防護</strong></a></p> <p>製藥廠健喬信元醫藥生技（4114）於4月7日發布重大訊息，指出公司資訊系統發生異常，已立即啟動資安應變機制並展開調查。根據目前初步評估，健喬認為，本次事件對公司營運尚無重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cert.europa.eu/blog/european-commission-cloud-breach-trivy-supply-chain">歐盟針對資料外洩事故公布調查結果，駭客從Trivy供應鏈攻擊取得相關憑證</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-links-medusa-ransomware-affiliate-to-zero-day-attacks/">中國駭客透過資安漏洞迅速於受害組織植入勒索軟體Medusa</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/adobe-breach/">駭客聲稱從Adobe竊得大量敏感資料，疑滲透業務流程委外公司員工而得逞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-progress-sharefile-flaws-can-be-chained-in-pre-auth-rce-attacks/">Progress修補檔案協作與共享系統ShareFile漏洞，攻擊者可將漏洞串連外洩資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/phishing-attackers-pose-as-panw-recruiters/">駭客冒充資安公司Palo Alto Networks的人才招募團隊，鎖定高階主管從事社交工程攻擊</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174853"><strong>【4月2日】手機門號語音信箱預設密碼成Line帳號盜用新破口</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174827"><strong>【4月1日】熱門NPM套件Axios遭北韓駭客供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174797"><strong>【3月31日】駭客組織ShinyHunters聲稱入侵歐盟AWS帳號並竊取資料</strong></a></p> </div></div></div>
4/7 15:56作者周峻佑https://www.ithome.com.tw/news/174890