iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

OpenAI公布GPT 5.4-Cyber，開放更多資安人員使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>不讓Anthropic Claude Mythos專美於前，<a href="https://openai.com/index/scaling-trusted-access-for-cyber-defense/" target="_blank">OpenAI昨（4/14）日公布</a>專為網路安全分析訓練的模型GPT-5.4-Cyber提供資安人員使用。</p> <p>OpenAI今年2月公布資安人員合作方案Trusted Access for Cyber（TAC），允許資安廠商及組織得以使用OpenAI為網路安全強化的AI模型。本週OpenAI宣布增加更多層級，讓更多人員也能經由此方案使用其模型。其中最高層級的人可以使用GPT-5.4-Cyber。它是以最新LLM GPT-5.4微調而成的變種，強化網路防衛能力的模型。</p> <p>OpenAI指出，和標準版本相較，GPT-5.4-Cyber降低AI模型的拒絕邊界（refusal boundary）而可用於合法的網路安全任務，並加入進階防護工作的新功能，包括二進位檔逆向工程，這功能允許資安專家分析惡意軟體能力，或是在不需存取原始碼情況下了解系統軟體漏洞及安全性。</p> <p>由於該模型使用限制更少，因此OpenAI一開始只提供有限且迭代的部署，對象為經過審核的安全廠商、組織與研究人員。而且對某些不具透明度用途的存取用量也會受限，像是零資料保留（Zero Data Retention，ZDR），尤其是經由第三方平臺存取OpenAI模型的用戶，因為OpenAI對使用者、環境及請求目的等都不了解。</p> <p>OpenAI也提供了加入TAC方案的方法。個人用戶可以透過<a href="http://chatgpt.com/cyber?openaicom_referred=true" target="_blank">ChatGPT網站</a>驗證身份，企業用戶可以向OpenAI業務人員要求加入。審核通過的用戶就可以使用安全限制更少的OpenAI模型，讓他們得以執行安全教育、防禦性程式開發和負責任的漏洞研究。而已經加入TAC的用戶也可以<a href="https://docs.google.com/forms/d/e/1FAIpQLSea_ptovrS3xZeZ9FoZFkKtEJFWGxNrZb1c52GW4BVjB2KVNA/viewform" target="_blank">表達</a>興趣，要求提升TAC層級，以便使用GPT-5.4-Cyber。</p> <p>多家<a href="https://www.reuters.com/technology/openai-unveils-gpt-54-cyber-week-after-rivals-announcement-ai-model-2026-04-14/" target="_blank">媒體</a>不約而同評析，OpenAI此舉是和一週前對手Anthropic預覽能抓漏洞的<a href="https://www.ithome.com.tw/news/174898" target="_blank">Claude Mythos</a>分庭抗禮，該模型已能找出數千個漏洞，包括數十年未被發現的OpenBSD零時差漏洞。Anthropic也透過全球資安防禦計畫Project Glasswing，集結十多家科技/金融業者，將模型提供給數十家關鍵基礎設施組織協助其加速抓到漏洞。</p> <p>上個月OpenAI也預覽公布了資安代理人<a href="https://www.ithome.com.tw/news/174282" target="_blank">Codex Security</a>，這項工具可自動分析程式碼、找出潛在安全漏洞並提出修補建議。</p> </div></div></div>
4/15 10:39作者林妍溱https://www.ithome.com.tw/news/175058
OpenAI收購AI個人金融App新創公司Hiro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>個人金融AI平臺供應商<a href="https://www.linkedin.com/feed/update/urn:li:activity:7449516144237002752/" target="_blank">Hiro昨日表示</a>將加入OpenAI，消息也獲得OpenAI證實。</p> <p>Hiro成立於2023年，根據其LinkedIn公司檔案，公司員工數不到50人。Hiro定位為平價個人AI CFO，扮演消費者的AI財務規劃師角色。使用者輸入財務資訊如薪水、債務和每月支出等，Hiro AI模型會做出多個模擬情境，協助消費者執行財務決策。Hiro創辦人之一為執行長Ethan Bloch表示，該平臺迄今已為客戶管理10億美元資產。</p> <p>這筆交易應為典型的「人才收購」（Acqui-hire），旨在強化OpenAI在高精度金融運算與自動化代理（Agent）領域的布局，因為大型語言模型（LLM）過去在處理精密金融計算時容易出現誤差或幻覺。Hiro團隊專精於高精度金融建模。收購該團隊能幫助OpenAI提升ChatGPT在處理複雜數值推理時的穩定度。另一方面，OpenAI也可能藉此進軍AI個人CFO服務領域。</p> <p>即日起，Hiro將不再接收新客戶，其產品也將在4月20日停止運作，伺服器也會在5月13日刪除所有資料，呼籲用戶匯出資料。OpenAI與Hiro交易金額不明。</p> <p>Bloch在Hiro之前創辦過個人化儲蓄、投資的行動銀行平臺供應商Digit。Digital 2021年被Fintech業者Oportun以2.11億美元收購。另一創辦人為Rushabh Doshi。</p> <hr /> <p> </p> </div></div></div>
4/15 10:58作者林妍溱https://www.ithome.com.tw/news/175060
Amazon收購蘋果衛星服務供應商Globalstar，瞄準全球衛星直連與緊急通訊市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aboutamazon.com/news/company-news/amazon-globalstar-apple" target="_blank">Amazon週二（4/14）宣布</a>，已與行動衛星服務業者Globalstar簽署最終合併協議，藉此強化其低軌衛星網路Amazon Leo的發展，並導入直接連接裝置（Direct-to-Device, D2D）通訊能力。雖然官方未公布整體交易金額，但媒體依每股90美元對價推估，此筆收購案規模約達115億美元，預計於2027年完成交易。</p> <p>Globalstar成立於1991年，為一專注於低軌衛星行動通訊服務（Mobile Satellite Services，MSS）的業者，主要提供衛星語音、簡訊、物聯網連線及緊急通訊等服務。該公司營運約24顆低軌衛星，並持有具全球授權的Band53／n53頻譜，長期深耕窄頻衛星通訊市場。Globalstar最知名的客戶為蘋果，為iPhone衛星SOS緊急通訊的服務供應商，讓使用者在無地面網路覆蓋的情況下仍能發送求救訊息與定位資訊，外傳蘋果在2024年以15億美元，取得了約20%的Globalstar股份。</p> <p>Amazon表示，收購Globalstar將使Amazon Leo可新增D2D服務，將語音、簡訊與數據通訊延伸至地面行動網路無法覆蓋的地區。透過整合Globalstar的衛星、頻譜與營運基礎，Amazon可加速實現其以太空為基礎的全球連線願景，為消費者、企業與政府提供更可靠的通訊服務。</p> <p>未來Globalstar現有與新一代衛星將與Amazon Leo寬頻系統協同運作，形成結合固定與行動衛星服務的統一網路。Amazon預計於2028年部署新一代D2D衛星系統，亦已與蘋果達成協議，將由Amazon Leo繼續支援iPhone及Apple Watch，並將共同開發未來的衛星服務。</p> <p>Globalstar的D2D應用以緊急通訊、基本語音簡訊與物聯網連線為主，強調全球覆蓋與可靠性；相較之下，SpaceX Starlink的<a href="https://www.ithome.com.tw/news/161701" target="_blank">Direct to Cell</a>著重延伸日常行動網路體驗，目標提供更即時且高頻寬的語音與數據服務，讓衛星成為地面基地臺的補充。</p> <p>在交易條款方面，Amazon將以每股90美元的價格收購Globalstar股份，股東可選擇領取現金或轉換為Amazon股票，現金比例上限為40%。該交易已獲約58%股東同意，預計於2027年完成，但仍須取得相關監管機構批准。</p> <p><a href="https://www.ithome.com.tw/news/174987" target="_blank">Amazon Leo</a>低軌衛星網路即將於今年中上線。Amazon指出，與Globalstar及蘋果的協議將推動航太、衛星與電信領域的創新及競爭，同時縮小全球的數位落差，也能在天災發生時提供關鍵的備用通訊能力，進一步強化公共基礎設施的韌性。</p> </div></div></div>
4/15 10:18作者陳曉莉https://www.ithome.com.tw/news/175056
Snowflake推資料互通架構，鎖定AI應用資料孤島與語意不一致問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在4月召開的Iceberg Summit期間，資料雲服務業者<a href="https://www.snowflake.com/en/blog/develop-agency-data-interoperability/" target="_blank">Snowflake說明其資料平臺發展方向</a>。該公司指出，隨著企業加速導入AI應用，資料孤島、治理分散與語意不一致，正逐漸成為影響AI運作的關鍵因素。當企業無法在原地處理資料時，往往需透過資料搬移以完成分析，不僅提高成本，也使語意脈絡難以維持，使相關專案在導入初期就難以順利推展。</p> <p>Snowflake表示，過去資料湖倉（Data Lakehouse）架構雖試圖提供單一且可治理的資料副本，並支援多種運算引擎存取，但實務上仍受限於專有技術綁定。即使開源資料表格式Apache Iceberg（由Netflix發起、現為Apache基金會專案），具備版本控管與ACID交易一致性（ACID Transactions，確保資料寫入維持完整與一致）等能力，並支援多引擎共享資料，已逐步成為資料互通基礎，但僅靠格式開放，仍難滿足企業在導入AI應用時，對資料、治理與語意一致性的需求。</p> <p>因此，Snowflake將重點放在跨層互通架構，目標是在不改變既有治理機制與語意脈絡的前提下，讓使用者可針對單一邏輯資料副本，在不同平臺與運算引擎上操作，建立資料主導權（agency over data）。</p> <p><span style="color:#B22222;"><strong>在資料層面強化Iceberg v3支援，提升跨引擎存取能力</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-Apache%20Iceberg%20v3.png" style="width: 450px;" /></p> <p>在資料層面，Snowflake持續以Apache Iceberg為核心，並規畫支援Apache Iceberg v3。該版本擴展資料互通能力，支援半結構化資料與變更資料擷取（Change Data Capture，CDC）等應用。</p> <p>Iceberg v3新增多項功能，使資料可被更多運算引擎直接存取。例如VARIANT型別可儲存半結構化資料並維持處理效能；列級資料血緣（Row-level Data Lineage）可追蹤資料在不同引擎間的變更歷程；刪除向量（deletion vectors）則提供列級刪除機制，並減少因刪除資料而產生的額外管理負擔。此外，也支援奈秒級時間戳記與地理空間資料型別，以因應高頻資料處理需求。</p> <p><span style="color:#B22222;"><strong>發展pg_lake專案，將交易型資料庫PostgreSQL整合至資料湖倉架構</strong></span></p> <p>除分析型資料外，企業關鍵資料仍大量存在於交易型資料庫。為此，Snowflake開發並開源pg_lake，讓PostgreSQL可直接整合至資料湖倉架構。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-pg_lake.png" style="width: 500px;" /></p> <p>pg_lake可就地查詢資料湖中的欄式儲存格式Parquet（Apache Parquet）與CSV檔案。Parquet透過欄式壓縮與編碼設計，可降低儲存空間並提升查詢效能，是資料湖環境常見格式。此外，pg_lake亦支援以PostgreSQL原生管理Apache Iceberg資料表，使交易型與分析型資料能在同一架構中運作，降低資料搬移需求。</p> <p><span style="color:#B22222;"><strong>以Apache Polaris與OSI強化資料治理與語意一致性</strong></span></p> <p>在資料治理層面，Snowflake推動開源專案Apache Polaris，透過政策交換（Policy Exchange）、治理聯邦（Governance Federation）與讀取限制API，讓資料存取控制可隨資料移動並跨引擎執行。</p> <p>Snowflake表示，此設計可讓細粒度存取控制（Fine-Grained Access Control，FGAC）在不同平臺維持一致，同時降低資料實體化帶來的額外運算負擔。</p> <p>在語意層面，Snowflake提出開放語意交換標準（Open Semantic Interchange，OSI），用於描述指標、維度與資料關聯，讓語意資訊可跨平臺共享。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-OSI-GitHub.png" style="width: 450px;" /></p> <p>Snowflake指出，當商業邏輯存在於封閉系統中時，AI代理在處理資料時，往往需要重新推測資料語意。OSI提供一套廠商中立標準，使語意資訊可在不同平臺間流通，目前已在Apache 2授權下釋出，並由包括Salesforce、Databricks與dbt Labs等超過35家業者參與。</p> </div></div></div>
4/14 21:26作者王珮瑤https://www.ithome.com.tw/news/175054
Cloudflare打造新一代CLI，目標涵蓋近3,000項API操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Cloudflare發布新<a href="https://blog.cloudflare.com/cf-cli-local-explorer/">CLI工具cf技術預覽版</a>，目標是逐步將旗下超過100項產品、近3,000個HTTP API操作納入CLI支援。該工具從底層重整程式碼生成工作管線，以自有的TypeScript結構定義（Schema）格式驅動，可同時產出CLI指令、SDK、Terraform provider與文件等多種介面，並在Schema層統一指令命名與參數慣例，以因應AI代理使用情境。</p> <p>現有的Wrangler CLI僅涵蓋部分Cloudflare產品，不少服務並無對應的CLI指令，但當前程式開發AI代理逐漸成為Cloudflare API的主要使用者，對CLI的一致性與覆蓋範圍要求也隨之提高。Cloudflare工程團隊指出，過去內部在更新CLI、Workers Bindings、wrangler.jsonc設定檔、儀表板與文件等介面時，仍有不少流程仰賴人工處理，容易出錯且難以擴展，無法支撐全平臺CLI的目標。</p> <p>Cloudflare沒有採用原本僅以OpenAPI Schema描述各種介面的作法，工程團隊認為，OpenAPI主要用於描述REST API，難以完整涵蓋互動式CLI指令、Workers Bindings的RPC介面，以及Agent Skills與文件等不同需求。因此他們設計了一套以TypeScript型別為基礎的自有Schema格式，並搭配慣例規範與檢查機制來確保一致性。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/BLOG-3224_3.jpg" style="width: 580px; height: 589px;" /></p> <p>針對AI代理的使用情境，Cloudflare在Schema層直接強制執行命名規則，例如查詢資源、強制執行與JSON輸出等情境，皆採固定命名方式。Cloudflare指出，在大型工程組織中，要是只靠人工程式碼審查維持數百條指令的一致性，往往難以全面防堵例外情況，只有在Schema層設下規則，才能系統性解決該問題。</p> <p>cf另一項設計重點是明確區分本機與遠端資源的操作，Wrangler CLI的特殊之處在於，同一套指令可以操作本機模擬的D1資料庫、R2儲存桶與KV命名空間，也可以操作遠端正式資源。不過，當代理無法分辨目前操作的是本機還是遠端環境，可能導致開發者難以追蹤資料變更，而新版CLI因此要求指令輸出必須明確標示資源來源，並統一預設行為。</p> <p>Cloudflare同日釋出的Local Explorer功能，讓開發者在使用Wrangler CLI或Cloudflare Vite套件進行本機開發時，可直接瀏覽與操作KV、R2、D1、Durable Objects及Workflows等模擬資源內容。過去若要確認本機儲存了哪些資料，開發者往往得自行翻查本機狀態檔案或另裝第三方工具，現在Local Explorer也提供可供代理使用的本機API介面，AI代理可透過該介面直接管理本機資源。</p> </div></div></div>
4/14 20:42作者李建興https://www.ithome.com.tw/news/175050
Python資料分析工具Marimo重大漏洞遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月8日，開發Python互動式運算環境Marimo的團隊揭露<strong><a href="https://github.com/marimo-team/marimo/security/advisories/GHSA-2679-6mx9-h9xc">重大漏洞CVE-2026-39987</a></strong>，有資安公司發現，公布後不到半天，已出現攻擊行動。</p> <p><strong><a href="https://www.sysdig.com/blog/marimo-oss-python-notebook-rce-from-disclosure-to-exploitation-in-under-10-hours">資安公司Sysdig指出</a></strong>，在Marimo發布公告約10小時後，他們看到漏洞利用嘗試的跡象，而且駭客在3分鐘之內成功竊得憑證。值得留意的是，當時該漏洞尚無登記CVE編號，也沒有公開的概念驗證程式碼（PoC），攻擊者只有根據資安公告的有限資訊，就成功利用漏洞，並在未經身分驗證的情況下存取終端機端點，然後手動偵察受害環境。Sysdig提及，之前公布的Langflow漏洞CVE-2026-33017，也同樣在公布不久後就被成功利用，駭客在公布的20小時用於實際攻擊，相較之下，駭客解析Marimo的漏洞並利用，花費的時間僅有Langflow漏洞的一半。</p> <p>Marimo開發團隊在公告中表明，CVE-2026-39987是預先驗證身分的遠端程式碼執行（RCE）弱點，起因是終端機的Web Socket端點缺乏身分驗證機制，未經身分驗證的攻擊者可藉此取得完整的偽終端（Pseudo-Terminal，PTY）Shell，並執行任意命令，影響0.20.4版以下的Marimo，該團隊發布0.23.0版進行修補。對於此漏洞的危險程度，GitHub將其CVSS v4.0評為9.3分（滿分10分）。</p> <p>相較於Langflow或n8n，其實Marimo的知名度沒有那麼高，但為何該漏洞會被駭客盯上？Sysdig指出，該漏洞有4個特性對攻擊者相當有吸引力，首先是無須通過身分驗證，既不需憑證或權杖，也不需管理連線階段（Session）。</p> <p>再者，駭客能藉由漏洞、以互動的方式存取Shell。有別於許多RCE漏洞必須使用特製的有效酬載觸發並下達每個指令，CVE-2026-39987提供了持續性的終端機環境，攻擊者可直接輸入指令並即時看到輸出結果。</p> <p>另一方面，利用CVE-2026-39987的門檻並不高，攻擊者只要能建立Web Socket連線，不需製作有效酬載，或是注入程式碼，就可以取得Shell。</p> <p>最後一點是Marimo存放的資料極具價值，原因是該平臺通常會與資料庫連線，存放API金鑰、雲端憑證等機敏資訊，攻擊者可於受害企業進行橫向移動。</p> </div></div></div>
4/14 14:56作者周峻佑https://www.ithome.com.tw/news/175041
AI驅動低碳電商轉型，Momo揭露單季上千萬筆訂單高效配送與減碳的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著電商經濟邁入成熟階段，從消費者下單、商品包裝到物流配送，每一個環節都牽動效率與成本。對Momo而言，面對上千萬筆訂單的營運規模，不僅考驗供應鏈與物流效率，也同步面臨減碳與永續的壓力。富邦媒體科技財務長呂鈺萍指出，「當我們一季超過一千萬筆訂單，如果只靠經驗、靠人力，是沒辦法有效運作的。」在規模驅動下，Momo正以AI與數據分析，重構電商營運流程，追求高效率的同時也力行減碳的目標。</p> <p>「做電商最難的是每個決策，都會影響到未來公司的營運成本」，Momo推動減碳不只是追求永續，更將碳排視為成本的一部分。</p> <p><span style="color:#B22222;"><strong>AI導入營運核心，從商品到消費決策全面優化</strong></span></p> <p>面對ESG、永續、競爭、少子化等轉型挑戰，Momo在電商的營運不同層面導入AI，涵蓋商品上架、用戶體驗、倉儲存貨、商品包裝、出貨配送、智能客服六大應用場景。</p> <p><img alt="" src="/sites/default/files/images/20260410_112009.jpeg" style="width: 600px; height: 515px;" /></p> <p>在商品上架方面，面對超過6,000種商品分類、數百萬種SKU，不同商品種類受到不同法規管理，例如商品標示法、食安法等等，過去仰賴人工進行商品審核與抽驗管理，但隨著規模擴大，風險也隨之增加。呂鈺萍坦言，「過去都是用人工，但商品一多，風險就會出現。」</p> <p>以酒精類商品為例說明人工審核的限制。她提到，曾有商品圖示為一般酒精產品，但實際在包裝細節中，卻以極小字標註「酒精濃度達40%」。這類資訊如果沒有被即時辨識出來，就可能在未符合相關法規的情況下上架販售。一旦發生這類疏漏，不僅可能遭主管機關處分，後續還會衍生客服申訴、退貨處理，產生額外的碳排，甚至影響消費者對平臺的信任。</p> <p>因應大量商品種類辨識需求及人工風險增加，Momo透過導入多模態分類模型及LLM分類模型，由AI自動進行商品分類與風險判讀，「讓AI不只是懂文字，也能看懂圖片、語音部分、預測風險」，呂鈺萍強調，這類應用的目的，在於降低人工判斷的盲點，確保商品上架合規，同時減少後端因錯誤上架所帶來的營運與環境成本，目前AI分類的準確度已達90%以上。</p> <p>另外，在前臺消費體驗上，Momo也運用AI分析用戶的行為，包括點擊、瀏覽與購物車內尚未結帳的紀錄，來優化商品的推薦機制。她表示：「我們的目的不是將更多商品推到消費者面前，而是希望更快把對的商品，放到對的人面前。」這不僅提升轉換率，也能降低無效曝光與衝動購物，間接降低消費者退貨與物流往返產生的碳排。</p> <p><span style="color:#B22222;"><strong>靠短鏈物流優化與AI調度降低包材與配送碳排</strong></span></p> <p>物流是電商碳排的主要來源之一。Momo透過全臺倉儲布局與AI調度系統，重新設計出貨模式。Momo在全臺約有50個倉庫，消費者一筆訂單內含有多個商品，可能存放在不同的倉庫，因此拆成多件包裏配送，就會產生多個包裝、多筆物流配送；現在則是透過「整體最優化」概念，將所有訂單整合計算，運用AI找出最低配送里程與最少包裹數的方式。</p> <p><img alt="" src="/sites/default/files/images/20260410_112630.jpeg" style="width: 600px; height: 512px;" /></p> <p>呂鈺萍說明：「我們AI不是只算單一訂單，而是將成千上萬訂單疊加在一起，從中找出最少里程、最少包裝、最平衡的出貨方式。」這項策略帶來顯著成效，去年減少超過45萬個紙箱使用量，約當250座臺北101的高度，減少88公噸以上的年度減碳。</p> <p>在最後一哩配送上，Momo也導入AI路徑規劃與電動三輪車，提升裝載效率並降低碳排。她指出：「讓人少繞路、少踩煞車點地」，透過科技降低不必要的能源消耗。</p> <p><span style="color:#B22222;"><strong>包裝與會員機制雙管齊下，推動消費端參與永續</strong></span></p> <p>對電商而言，包材的使用需要精準的控制，因為包材減量、緩衝材減少，可能增加配送商品在運送過程中損壞的風險，進而可能導致退貨，影響消費者對電商的信任。</p> <p>因此，Momo在包材減量方面，透過數據與測試精準控制。呂鈺萍表示，每一款紙箱都經過壓力測試與裝載分析，確保不同款式的紙箱具備商品保護能力後才使用，透過這套機制使單件包裹的重量降低34%，緩衝材減量近50%，同時避免因包裝不足導致的損壞與二次配送。因應不同商品需要，目前Momo使用的紙箱已從19款增加至46款。</p> <p>另外，過去Momo採用人工包裝，全臺50個倉庫，如果每個倉庫有10位包裝師，一天就有500位包裝師負責包裝商品，使用包材及緩衝材大小全都仰賴包裝師的經驗，難以統一包材的使用。現在則透過AI進行3D模擬與即時建議，提示第一線人員如何進行包裝，也能減少新進人員的訓練時間。</p> <p>Momo不只是自己實踐永續，也透過「綠活會員」機制，引導消費端參與低碳購物行為。從2023年推出以來，已有超過76萬人加入「綠活會員」，涵蓋7,000多項綠色商品。消費者透過選擇集中配送、購買綠色商品或使用循環包材，可累積綠色點數並回饋至公益。</p> <p>呂鈺萍強調：「我們不是只做好內部，而是邀請消費者一起走向低碳生活。」她認為，唯有將永續融入消費決策，才能形成正向循環，推動整體電商生態轉型。</p> <p>從Momo分享的經驗來看，電商正從「追求速度與規模」的競爭，轉向「效率與減碳並重」的新模式，不僅透過AI提高商品上架分類的準確度、降低風險，也提高電商配送的效率，縮減包材的使用，從商品管理、包裝決策到物流配送與消費行為，透過數據驅動，試圖在電商競爭的市場中，兼顧營運與永續的平衡點。</p> </div></div></div>
4/14 18:32作者蘇文彬https://www.ithome.com.tw/news/175049
【資安日報】4月14日，OpenAI證實遭遇Axios供應鏈攻擊波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175030"><strong style="font-size: 22px;">OpenAI更新憑證，並要求macOS用戶升級應用程式，起因是遭遇Axios供應鏈攻擊</strong></a></p> <p>3月31日HTTP用戶端套件Axios遭遇供應鏈攻擊，駭客於NPM發布有問題的1.14.1與0.30.4版，近日AI公司OpenAI證實，他們下載了惡意版本Axios而受到影響。</p> <p>OpenAI透過部落格文章指出，當時他們用於簽發macOS應用程式的GitHub Actions，拉取了1.14.1版Axios而曝險。由於此工作流程存放了macOS應用程式的憑證與公證資料，以供使用者與電腦驗證應用程式來自OpenAI，因此電腦版ChatGPT應用程式，以及Codex、Codex-cli，以及Atlas都受到影響。該公司已輪換macOS應用程式的簽章憑證並著手調查，並預告舊版macOS應用程式將自5月8日不再提供支援，有可能無法正常運作。</p> <p><a href="https://www.ithome.com.tw/news/175037"><strong style="font-size: 22px;">Claude Mythos完成多步驟攻擊測試，AI資安能力邁入新階段</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/0414-AISI-Claude Mythos Preview.png" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/0414-AISI-Claude%20Mythos%20Preview.png" style="width: 300px; float: right;" /></a></p> <p>針對近期Anthropic發表的最新模型Claude Mythos預覽版，4月13日英國AI安全研究所（AI Security Institute，AISI）公布評測結果，顯示該模型已能在受控環境中自主執行多步驟網路攻擊。在資安搶旗賽（CTF）專家級任務中，成功率達73%，並成為首個完整解出32步驟企業攻擊鏈的AI模型。</p> <p>在企業攻擊模擬部分，AISI建構名為「The Last Ones」的測試環境，模擬從初始偵察到全面控制系統的32個步驟攻擊流程，估計人類專家需約20小時完成。Claude Mythos在10次測試中平均完成22個步驟，並有3次成功執行全部流程，是目前唯一能從頭到尾解出攻擊鏈的模型。</p> <p><a href="https://www.ithome.com.tw/news/175039"><strong style="font-size: 22px;">冒牌Claude下載網站散布惡意程式PlugX</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/0414-claude-malware-600-1.png" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/0414-claude-malware-600-1.png" style="width: 300px; float: right;" /></a></p> <p>資安廠商Malwarebytes發現冒充Claude Pro版下載網站，一旦不知情的用戶點選下載，會將Claude-Pro-windows-x64.zip下載到電腦，內容是MSI安裝檔。</p> <p>若是使用者依照指示安裝，桌面上就會出現駭客準備的捷徑，點選就會執行Claude.vbs，此為VBScript惡意程式投放工具（Dropper），後續流程可分為兩個部分，其中一個是執行正牌Claude安裝程式，以免用戶察覺異狀，另一個則是透過惡意DLL檔載入遠端存取木馬（RAT）PlugX。值得留意的是，雖然過往此惡意程式主要是中國國家級駭客使用，不過其原始碼如今已在地下論壇流傳，他們難以確認攻擊者的身分。</p> <p><a href="https://www.ithome.com.tw/news/175032"><strong style="font-size: 22px;">Booking.com傳出外洩用戶訂房資料與個資</strong></a></p> <p>訂房網站Booking.com上週以電子郵件發出通知，用戶的資料可能遭到外洩，包括姓名、電子郵件以及訂房資訊。</p> <p>多名用戶在Reddit表示接到Booking.com的通知，內容提及，有未授權人士存取部分用戶的訂房資訊，根據調查，外洩的資訊包括用戶姓名、電子郵件、住址、電話，以及其他「用戶分享給住宿機構的資訊」。為確保用戶資訊安全，該網站已經更新了預約的PIN碼。有用戶表示接到不明人士電話聯繫，根據TechCrunch報導，有用戶在WhatsApp收到釣魚訊息，這表示攻擊者已經開始濫用竊得的用戶個資。</p> <p><a href="https://www.ithome.com.tw/news/175031"><strong style="font-size: 22px;">曝露在網際網路的AI影像生成管理平臺ComfyUI遭到鎖定，駭客試圖用於挖礦、部署殭屍網路</strong></a></p> <p><a href="/sites/default/files/images/ComfyUI-60.png" target="_blank"><img alt="" src="/sites/default/files/images/ComfyUI-60.png" style="width: 300px; float: right;" /></a></p> <p>威脅情報公司Censys指出，近期駭客鎖定曝露於網際網路的AI影像生成管理平臺ComfyUI，透過專屬的Python掃描工具於公有雲尋找下手目標，一旦成功入侵，他們就會將受害主機組成殭屍網路，用於挖礦或是架設非法代理伺服器，藉此獲取不法利益。值得留意的是，過程裡駭客使用的惡意程式ghost.sh，採取無檔案執行，並偽裝成核心層級的處理程序，以及導入LD_PRELOAD的Rootkit功能，藉此迴避偵測，此外，他們還加入3種備援機制，即使IT人員嘗試將ComfyUI重開機，或是移除惡意軟體相關元件，仍有可能透過備援機制恢復運作。</p> <p>Censys在過濾掉研究人員架設的蜜罐陷阱之後，找到超過1,000個曝露於網際網路的ComfyUI平臺，儘管數量並非極為龐大，不過該公司認為，已經足以讓攻擊者從事大規模利用。</p> <p><a href="https://www.ithome.com.tw/news/175034"><strong style="font-size: 22px;">蠕蟲程式GlassWorm透過程式語言Zig打造的載入工具，滲透多款IDE</strong></a></p> <p>去年10月揭露的蠕蟲程式GlassWorm，駭客最初於Open VSX與Visual Studio Code（VS Code）延伸套件市集從事活動，後續將範圍延伸到GitHub、NPM，甚至是Chrome延伸套件市集，如今傳出駭客轉移目標，針對受害開發環境的各種整合開發環境（IDE）工具。</p> <p>資安公司Aikido在Open VSX看到惡意套件code-wakatime-activity-tracker，駭客模仿熱門的時間追蹤工具WakaTime，並在套件挾帶以程式語言Zig編譯而成的二進位檔案。與之前攻擊行動相同的是，此二進位檔案並非GlassWorm的實際有效酬載，而是駭客用來傳遞該蠕蟲的工具，這次GlassWorm感染的目標，是受害電腦安裝的所有IDE工具。</p> <p><a href="https://www.ithome.com.tw/news/175018"><strong style="font-size: 22px;">木馬程式STX RAT同時具備竊資軟體的功能</strong></a></p> <p><a href="/sites/default/files/images/A-new-RAT-in-2026-with-Infostealer-Capabilities-17.png" target="_blank"><img alt="" src="/sites/default/files/images/A-new-RAT-in-2026-with-Infostealer-Capabilities-17.png" style="width: 300px; float: right;" /></a></p> <p>資安公司eSentire指出，他們在2月底看到遠端存取木馬（RAT）程式STX RAT的活動，駭客鎖定金融產業發動攻擊，藉由用戶的瀏覽器下載VBS指令碼檔案，於受害電腦部署此惡意程式。他們提到，資安公司Malwarebytes於3月初揭露有人散布惡意版本FTP應用程式FileZilla，是其中一種散布STX RAT的管道。</p> <p>STX RAT的本質是遠端存取木馬，其中整合了HVNC與隱匿的遠端桌面連線功能，使得攻擊者能遠端控制受害電腦，不過除此之外，該惡意程式還納入竊資軟體的功能，鎖定瀏覽器存放的憑證與Cookie、加密貨幣錢包，以及FTP用戶端程式的憑證。</p> <p><a href="https://www.ithome.com.tw/news/174833"><strong style="font-size: 22px;">資安研究人員揭露Google Vertex AI權限設計缺陷，可能導致雲端資料外洩</strong></a></p> <p>資安公司Palo Alto Networks發布研究報告，揭露Google Vertex AI存在權限設計缺陷，預設服務帳戶的權限過大，可能導致攻擊者存取用戶敏感資料。</p> <p>Vertex AI是Google的雲端機器學習開發與部署平臺，可支援從模型訓練到上線應用的整合AI服務。Palo Alto Networks指出，Vertex AI預設服務帳戶的服務代理（Per-Project, Per-Product Service Agent，P4SA)，被授予過大的權限（Over-Privileged），形成權限提升風險。當AI服務代理運作時，系統會呼叫中繼資料服務並暴露服務帳戶憑證，攻擊者可藉此取得用戶專案資訊與存取權限，甚至讀取用戶儲存在雲端儲存區中的資料，破壞原有隔離機制。</p> <p><a href="https://www.ithome.com.tw/news/174793"><strong style="font-size: 22px;">Nvidia發布2026年3月安全公告，修補多個驅動程式與AI應用套件漏洞</strong></a></p> <p>AI晶片大廠Nvidia近日發布安全公告，修補旗下硬體與軟體產品的多個漏洞，其中最嚴重的漏洞可能導致遠端程式碼執行、拒絕服務（DoS）等風險，建議用戶儘速修補。</p> <p>其中最嚴重的漏洞，是Apex套件的CVE-2025-33244，CVSS嚴重性評分達9.0分，未經授權的攻擊者可利用此漏洞，對不受信任的資料執行反序列化處理，進而導致執行任意程式碼、拒絕服務、權限提升、資訊外洩等風險。其他值得注意的高風險漏洞，還包括Model Optimizer的CVE-2026-24141（7.8分），NeMo的CVE-2026-24157與CVE-2026-24159（7.8分），以及Triton推論伺服器的CVE-2025-33238、CVE-2025-33254、CVE-2026-24158（7.5分）。</p> <p><a href="https://www.ithome.com.tw/news/174767"><strong style="font-size: 22px;">群暉修補NAS產品telnetd重大漏洞，若未更新可能導致遠端執行任意程式碼</strong></a></p> <p>國產NAS主要廠商之一的群暉（Synology）近日發布安全公告，修補與Telnet服務相關的重大漏洞CVE-2026-32746，這個漏洞源自GNU Inetutils網路工具套件中的telnetd元件，CVSS嚴重性評分達9.8分，屬於CWE-120緩衝區溢位弱點。問題來自telnetd的LINEMODE SLC處理程序，在寫入資料前未能檢驗緩衝區空間是否足夠，導致攻擊者可藉此執行越界寫入（out-of-bounds write）的非法存取。</p> <p>CVE-2026-32746會影響群暉NAS作業系統DiskStation Manager（DSM）的7.2.1、7.2.2與7.3版，以及UC系列儲存設備DSM UC作業系統的3.1版。群暉已釋出DSM修補版本，DSM會自動下載並安裝此更新；使用者亦可選擇自行下載更新檔案。至於DSM UC的修補版本目前仍在開發中。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193439&SPOKE_DATE=20260413&COMPANY_ID=3483"><strong style="font-size: 22px;">散熱系統製造商力致資訊系統遭網路攻擊</strong></a></p> <p>4月13日散熱系統開發及製造商力致科技（3183）發布資安重訊，表示有部分資訊系統遭到駭客攻隱，資訊部門全面啟動防禦機制與復原作業，並對所有資訊系統及檔案進行全面性的徹底掃描檢測，確認安全後即以備份資料復原運作。對於這起事故可能帶來的影響，力致表示根據初步評估的結果，對公司運作無重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://intel.breakglass.tech/post/apt41-winnti-elf-cloud-credential-harvester-alibaba-typosquat">中國駭客APT41使用惡意程式搜刮雲端憑證，範圍涵蓋AWS、GCP、Azure、阿里雲</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.helpnetsecurity.com/2026/04/09/saas-platforms-notification-systems-phishing/">GitHub與Jira的電子郵件系統基礎設施遭濫用，駭客從事網釣活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.helpnetsecurity.com/2026/04/10/clickfix-mac-malware-script-editor/">駭客架設假蘋果網頁從事ClickFix網釣，散布竊資軟體Atomic Stealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/bypass-of-aws-sandbox-network-isolation-mode/">AWS沙箱環境AgentCore存在重大漏洞，攻擊者恐繞過網路隔離防護機制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/showdoc-rce-flaw-cve-2025-0520-actively.html">中國技術文件協作平臺SnowDoc存在重大漏洞，已被用於實際攻擊活動</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175020"><strong>【4月13日】CPUID網頁被入侵，駭客散布木馬程式STX RAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174990"><strong>【4月10日】伊朗駭客鎖定美國關鍵基礎設施發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174940"><strong>【4月9日】Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客</strong></a></p> </div></div></div>
4/14 15:24作者周峻佑https://www.ithome.com.tw/news/175043
媒體封鎖Wayback Machine引爭議，記者連署力挺Internet Archive
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.wired.com/story/the-internets-most-powerful-archiving-tool-is-in-mortal-peril/" target="_blank">《Wired》近日報導</a>，多家主流媒體近期陸續限制網際網路檔案館（Internet Archive）旗下Wayback Machine存取，包括封鎖其網頁爬蟲或降低內容可見性，使部分新聞無法被完整存檔。此舉被視為媒體因應生成式AI發展的防禦措施，令Wayback Machine遭到池魚之殃，同時引發新聞界反彈，逾百名記者已發起連署，公開支持Internet Archive持續保存新聞內容。</p> <p>Internet Archive成立於1996年，是一個致力於保存網路與數位內容的非營利組織，其最知名服務時光機（Wayback Machine）可定期抓取並保存網站歷史版本，讓使用者查閱過去頁面內容。該工具長期被記者、研究人員與法律實務使用，用於查證資訊、追蹤內容變動，或保存可能遭刪除的公開紀錄。</p> <p>《Wired》引述Originality AI分析指出，目前已有23家主要新聞網站封鎖Internet Archive的爬蟲程式，也有部分媒體透過限制API或調整介面顯示，降低歷史內容的可存取性。包括The New York Times、USA Today、The Guardian、Financial Times及Reddit等媒體與平臺。</p> <p>媒體的封鎖原意是阻擋AI業者取用內容，Wayback Machine卻因此誤中流彈，因其保存的大量歷史頁面，同樣可能成為AI模型的訓練來源之一。</p> <p>由Fight for the Future、Electronic Frontier Foundation與Public Knowledge等數位權利與公共政策團體<a href="https://www.fightforthefuture.org/news/2026-03-17-journalist-letter/" target="_blank">發起的連署書指出</a>，在實體報紙大量停刊、地方公共圖書館又難以系統性保存數位內容的現實下，新聞史料的守護責任已逐漸落到Internet Archive身上；現在Wayback Machine已為維基百科上近500萬篇新聞文章保存了永久引用連結，讓這些報導不因連結失效或媒體整併而從公共記憶中消失，對於追蹤錯誤資訊或審查行為的數位調查報導而言，更是不可或缺的工具。</p> <p>此外，Internet Archive從未繞過付費牆或進行不當抓取，而是持續與新聞機構合作，以審慎方式保存內容；應支持Internet Archive的運作，以確保今日的報導能留存給未來的記者、研究者與大眾。</p> <p>值得觀察的是，推動封鎖Wayback Machine的多為新聞媒體機構本身，但此次公開連署支持Internet Archive的，亦來自同一產業的記者與新聞工作者，凸顯新聞業內部對內容保護與公共保存之間的立場分歧。</p> </div></div></div>
4/14 14:54作者陳曉莉https://www.ithome.com.tw/news/175040
Claude Mythos完成多步驟攻擊測試，AI資安能力邁入新階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國AI安全研究所（AI Security Institute，<a href="https://www.aisi.gov.uk/blog/our-evaluation-of-claude-mythos-previews-cyber-capabilities" target="_blank">AISI）週一（4/13）公布</a>針對Anthropic最新模型Claude Mythos Preview的評測結果，顯示該模型已能在受控環境中自主執行多步驟網路攻擊。在資安搶旗賽（Capture the Flag，CTF）專家級任務中，成功率達73%，並成為首個完整解出32步驟企業攻擊鏈的AI模型。</p> <p>AISI成立於2023年，隸屬英國科學、創新與科技部，主要負責評估前沿AI模型的潛在風險。此次評測透過CTF與企業攻擊模擬環境，檢驗模型能否自主完成漏洞發現、權限提升與橫向移動等攻擊步驟，以評估其在真實世界中可能帶來的資安威脅。</p> <p><a href="https://www.ithome.com.tw/news/174898" target="_blank">Claude Mythos Preview</a>則是Anthropic最新發表的通用模型，在資安任務上表現突出，不僅發現了大量零日漏洞，亦能生成漏洞利用程式。由於該能力可能帶來風險，Anthropic已啟動全球資安防禦計畫Project Glasswing，並僅限特定合作夥伴存取該模型，以加速漏洞修補。</p> <p>根據AISI的測試，在資安搶旗賽（Capture the Flag，CTF）測試中，Claude Mythos Preview在專家級任務中的成功率達73%。這類任務在2025年以前尚無模型能完成，顯示其在高難度漏洞利用能力上已有顯著突破。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-AISI-Claude%20Mythos%20Preview.png" style="width: 600px;" /></p> <p>在企業攻擊模擬部分，AISI建構名為「The Last Ones」的測試環境，模擬從初始偵察到全面控制系統的32步驟攻擊流程，估計人類專家需約20小時完成。Claude Mythos Preview在10次測試中平均完成22步，並有3次完整走完全部流程，是目前唯一能從頭到尾解出該攻擊鏈的模型。</p> <p>不過，AISI也指出，該測試環境並未納入真實世界常見的防禦機制，例如即時監控、入侵偵測與事件回應系統，且模型在執行攻擊過程中不會收到警告或中斷，因此結果仍無法完全代表其在實際高防護環境中的表現。</p> <p>此外，在部分工業控制系統（OT）測試中，Claude Mythos Preview未能完成攻擊流程，主要卡在前段IT環節，顯示其跨環境攻擊能力仍有限。</p> <p>AISI提醒，隨著模型能力持續提升，未來AI可能被用於自動化漏洞挖掘與攻擊行動，對防護薄弱的企業系統構成風險；建議企業強化基本資安措施，包括定期更新系統、落實存取控制與強化日誌紀錄，同時提前強化防禦能力，以因應AI驅動攻擊能力的快速演進。</p> </div></div></div>
4/14 13:40作者陳曉莉https://www.ithome.com.tw/news/175037
攻擊者仿冒Claude下載網站散布遠端存取木馬PlugX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>人氣愈來愈高的Anthropic Claude也成為攻擊者利用的目標。<a href="https://www.malwarebytes.com/blog/scams/2026/04/fake-claude-site-installs-malware-that-gives-attackers-access-to-your-computer" target="_blank">研究人員發現</a>，攻擊者結合釣魚與進階DLL側載手法，架設冒充Claude官網的惡意網站，藉此散布遠端存取木馬程式PlugX。</p> <p>資安廠商Malwarebytes研究團隊發現一個假網站冒充Claude Pro版下載網頁。不知情的用戶選擇下載後，它會在用戶電腦下載名為Claude-Pro-windows-x64.zip。該壓縮檔包含MSI安裝檔（installer），會以模仿Anthropic Claude下載路徑儲存到拼錯字的C:\Program Files (x86)\Anthropic\Claude\Cluade\資料夾，且在桌面建立名為Claude AI.lnk的假捷徑。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-claude-malware-600-1.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Malwarebytes</span></span></p> <p>假捷徑指向隱藏在暫存資料夾（SquirrelTemp）裡的Claude.vbs，後者實際上是VBScript Dropper（下載器）。當用戶執行捷徑，會觸發VBScript Dropper執行二部份下載。一是安裝並運行正版Claude應用程式，但作用是煙幕彈。同時間它背景偷偷執行側載，釋放惡意DLL檔案，載入RAT（Remote Access Trojan）程式PlugX。為了迴避偵測，VBS腳本在完成任務後自毀，建立一個新的、乾淨的捷徑（Claude.lnk），直接指向真的claude.exe，同時刪除原本有毒的Claude AI.lnk捷徑。</p> <p>研究人員指出，這是教科書等級的側載攻擊，Lab52於今年2月解析過利用資安業者G DATA的合法執行檔及改造過的DLL檔載入PlugX木馬。</p> <p>PlugX過去和中國國家駭客有關，但研究人員相信現在已廣泛流向各種駭客社群。一旦進入用戶系統，可能造成駭客截圖竊取資訊、錄影錄音、鍵盤側錄密碼等等監控行為。</p> <p>Claude現今人氣直追ChatGPT，每月下載次數接近2.9億。面對結合社交工程與進階隱蔽技術的攻擊，研究人員提供了感染指標（IoC），建議用戶檢查啟動資料夾內是否有以下檔案：NOVUpdate.exe、avk.dll或NOVUpdate.exe.dat。並搜尋拼錯字的資料夾C:\Program Files (x86)\Anthropic\Claude\Cluade\是否存在。如果有幾乎可以確定已感染。此外也可檢查防火牆或Proxy紀錄，看是否有連向IP 8.217.190.58的異常對外連線。</p> </div></div></div>
4/14 14:14作者林妍溱https://www.ithome.com.tw/news/175039
蠕蟲程式GlassWorm透過程式語言Zig打造的載入工具，滲透多款IDE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年10月揭露的蠕蟲程式GlassWorm，駭客最初於Open VSX與Visual Studio Code（VS Code）延伸套件市集從事活動，後續將範圍延伸到GitHub、NPM，甚至是Chrome延伸套件市集，如今傳出駭客轉移目標，針對受害開發環境的各種整合開發環境（IDE）工具。</p> <p>資安公司Aikido在Open VSX<strong><a href="https://www.aikido.dev/blog/glassworm-zig-dropper-infects-every-ide-on-your-machine">看到惡意套件code-wakatime-activity-tracker</a></strong>，駭客模仿熱門的時間追蹤工具WakaTime，並在套件挾帶以程式語言Zig編譯而成的二進位檔案。與之前攻擊行動相同的是，此二進位檔案並非GlassWorm的實際有效酬載，而是駭客用來傳遞該蠕蟲的工具，這次GlassWorm感染的目標，是受害電腦安裝的所有IDE工具。</p> <p>這次駭客上傳的惡意套件，看起來與正牌的WakaTime幾乎相同，具備相同的註冊指令、API金鑰的提示、狀態列圖示，但不同的地方在於其功能函式。惡意套件在執行WakaTime的邏輯之前，會根據受害電腦的作業系統載入對應的二進位檔案，在Windows電腦執行的是PE32+的DLL檔；而在macOS環境裡，則為可在x86或Arm晶片執行的通用Mach-O檔案。無論是DLL還是Mach-O檔，都是Node.js原生的附加元件（Add-on），駭客使用Zig編寫，並透過特定的共享程式庫編譯而成，並直接在Node.js的執行環境（Runtime）載入，更可怕的是，這種應用程式不僅能突破JavaScript沙箱限制而執行，還具備完整的作業系統層級存取權限。</p> <p>一旦二進位檔案於受害電腦成功載入，就會試圖找出開發人員使用的IDE工具，這些工具的共通點，在於都能安裝VS Code延伸套件。這些IDE包含VS Code、VS Code Insiders、Cursor、Windsurf、VSCodium，以及Positron。接著，二進位檔案才會從GitHub擷取惡意的VSIX檔案。</p> </div></div></div>
4/14 11:57作者周峻佑https://www.ithome.com.tw/news/175034
臺灣為何需要首批50款SMART on FHIR App？李建璋：從標準走向應用生態的關鍵一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>衛福部資訊處昨日（4/13）揭露SMART on FHIR應用程式選拔結果，在115件參賽應用中，共有50件入選優良名單，涵蓋醫療AI、醫療營運管理、臨床決策支援與資料視覺化四大類型，例如眼底鏡影像判讀、癌症用藥審查、ICD-10自動編碼及院級儀表板等應用。這些App都符合國際醫療資料交換標準FHIR與SMART on FHIR應用框架標準，也通過一系列嚴謹的評估，如程式完整性、防備性，臨床實用性以及落地程度等。</p> <p>衛福部資訊處處長李建璋指出，衛福部也正建立專屬臺灣的SMART on FHIR應用程式市集，名為THAS。他們希望藉此形塑資料經濟，鼓勵醫療機構以訂閱方式使用好用的App，進而促進IT研發，形成正向循環。他也預告，今年5月開始衛福部將提供FHIR Box作業系統，來給全臺醫學中心部署，預計今年底前完成所有醫學中心的FHIR化。</p> <h2><strong>115件申請、50支SMART App脫穎而出，聚焦四大場景</strong></h2> <p>擔任本次評審的臺中榮總前院長陳適安指出，本次徵選共收到115件應用，來自醫療機構與產業界。他也收到衛福部資訊處的一份細緻、嚴謹評分表，重點涵蓋系統完整性、防備性，以及應用的便利性、實用性與落地能力。</p> <p>不只如此，在這次選拔中，衛福部也與工研院建置雙層沙盒機制。第一層是傳統標準沙盒，由工研院嚴格檢核應用是否100%符合TW Core和SMART國際標準；第二層則是創新沙盒，就像是國家級實驗室，來模擬實際醫療場域，包括輸入大量模擬病歷資料來進行高強度壓力測試、在標準醫療資訊系統（HIS）環境下進行UI／UX驗證，並由30位跨領域專家擔任評審，來審查臨床安全和實用性。</p> <p>最終入選的50款應用，主要聚焦四大類型，包括醫療AI、臨床決策支援、行政管理工具和資料視覺化。</p> <p>在醫療AI方面，有眼底鏡影像判讀、胸部X光分析與心電圖（ECG）智慧分析等應用；在臨床決策支援領域，則包含癌症用藥審查、出血風險預測和醫療品質指標（CQI）自動計算等。行政管理工具則有ICD-10自動編碼與護理排班，資料視覺化則涵蓋院級儀表板和個案健康追蹤等應用。</p> <p>比如，國軍高雄總醫院開發一款火線超人FHIRLineBot，整合了Line平臺和FHIR，民眾透過Line就能查閱自己的健康資料；該應用也搭配Kafka AI健康分析模組，來提供個人化健康洞察。又或是中研院統計科學研究所打造一支第二型糖尿病風險計算機，結合AI統計模型和SMART on FHIR標準，系統完成認證後，就能截取基本資料，並預測未來3、5、7年的發病風險。</p> <p><img alt="" src="/sites/default/files/images/%E4%B8%AD%E7%A0%94%E9%99%A2.JPG" /></p> <p>還有一例是新光吳火獅紀念醫院，他們打造一款住院病人排程儀表板，來解決臨床處置排程資訊分散和高風險用藥缺乏即時檢核的痛點。重點是，該系統還內建前端CQL執行引擎，可直接把臨床決策支援整合到工作流程中。</p> <h2><strong>臺灣醫院IT現況：為一杯牛奶，養一頭牛</strong></h2> <p>力推臺灣SMART on FHIR應用的李建璋回顧，臺灣醫院的數位轉型現況，就像「為了一杯牛奶，要自己養一頭牛」。</p> <p>首先，醫院IT系統大都封閉自建，形成數據孤島。在這樣的架構下，醫院若要建置智慧應用，就沒辦法從一個公開市場，挑選驗證過、標準化的應用，而是得找廠商或自行從頭開發、對接私有資料庫慢慢訓練AI，正式上線可能動輒半年。</p> <p>「醫院花在系統串接與重複開發的時間，遠遠超過創新的時間，」他坦言。</p> <p>這個挑戰，也進一步擴大數位落差。因為資源充足、能自行研發AI的醫學中心，往往能夠獨享數位紅利，而資源不足的中小型或偏鄉醫院，只能因數位落差而掉隊。就算醫學中心開發出來的AI應用，直接給中小型醫院使用，也會因AI模型的訓練資料不同，而產生不準確的答案、無法落地，造成創新無法規模化。</p> <h2><strong>導入FHIR與SMART on FHIR，建立醫療版App生態</strong></h2> <p>為解決互通痛點，衛福部推動導入FHIR與SMART on FHIR兩大國際標準，要實現「資料統一、應用統一」的目標。</p> <p>進一步來說，FHIR是由Grahame Grieve於2009年創立，他借鏡RESTful API、引入資源（Resources）概念，建立FHIR標準，來促進醫療資料互通。他的設計理念是，定義80%全球通用的資料核心結構，並保留20%的在地化擴充彈性。FHIR的出現，就像是醫療資訊界的WWW，讓鎖在醫院裡的醫療資料，可以有通用的標準來交換。</p> <p>SMART on FHIR標準則由美國哈佛大學醫學院教授Kenneth D. Mandl創立，這個標準使用OAuth2，解決了身份驗證和授權機制問題，將需要取得的資料範圍最小化，確保資訊安全。也因此，SMART on FHIR應用可以直接嵌入醫療資訊系統（HIS）中，不必切換頁面。</p> <p>李建璋認為，有了這兩大標準，臺灣醫療資訊生態，就能發展出專屬的SMART on FHIR市集，如同App Store般，來提供各種智慧應用、供醫院選用。這個市集，也就是衛福部正在建置的THAS市集，未來還要擴大成一個生態系。</p> <h2><strong>從標準統一走向工具統一，FHIR Box補上最後一哩路</strong></h2> <p>李建璋話鋒一轉，光有FHIR標準還不夠，標準之後的工具與實作方式也需要整合。因為，要是各家醫院都導入FHIR，但使用的工具、版本和實作方式不同，FHIR伺服器彼此不相容，還是會導致應用仍被鎖在單一醫院體系內。換句話說，過去是資料格式分裂，現在變成工具分裂，「只是把問題往下移了一層。」</p> <p>為避免這個問題，衛福部決定不只訂標準，而是直接提供整套工具，並與工研院合作推出FHIR Box，要從底層架構重新整合醫療資訊系統。</p> <p><img alt="" src="/sites/default/files/images/FB2.JPG" /></p> <p>FHIR Box的核心概念，是在各家醫院既有HIS系統之上，加上一層共通平臺。醫院不需要更換原有系統，只需將資料接口接入，平臺就會自動將資料轉換為FHIR格式，並串接SMART on FHIR應用框架。</p> <p>也就是說，就算不同醫院的底層系統都不一樣，也能執行相同的應用服務，形成跨院共享的應用生態。</p> <h2><strong>FHIR Box：從資料到應用，一次打通的醫療互通作業系統</strong></h2> <p>在實作上，FHIR Box有三大元件，包括資料轉換器（Converter）、FHIR Server與應用環境，醫院只需串接既有系統，就能完成FHIR部署。衛福部形容，這就像把原本難以利用的資料，「從Garbage變成Gold」，讓資料真正具備應用價值。</p> <p><img alt="" src="/sites/default/files/images/FHIR%20box.JPG" /></p> <p>在架構設計上，FHIR Box也是一套三層的整合平臺。最底層是資料空間（Data Space），負責將醫院內各類資料轉換為FHIR，建立標準化的真實世界資料（RWD）；中層是規則空間（Rule Space），可透過Clinical Quality Language（CQL），將醫療知識轉為可執行的決策邏輯；最上層的應用空間（App Space）則支援SMART on FHIR應用，形成可跨院執行的App生態。</p> <p><img alt="" src="/sites/default/files/images/3%E5%B1%A4%E6%9E%B6%E6%A7%8B.JPG" /></p> <p>李建璋也透露，衛福部已於今年3月啟動補助計畫，並獲得各大醫學中心支持，預計5月開始提供FHIR Box給醫學中心部署，年底前讓全臺醫學中心完成FHIR化，進一步建立跨院互通的應用環境。</p> <h2><strong>醫院IT角色將轉變，接下來要走向資料經濟</strong></h2> <p>在推動策略上，衛福部也將重點從單一系統建置，轉向流程整合和推動資料經濟。</p> <p>尤其，臺灣的THAS市集規模化後，可以翻轉醫院IT角色，從單純的系統「維護者」，轉型為創造應用價值的「創作者」。同時，市集的出現，也能帶動訂閱制，比如原本沒有資源自行開發的中小型醫院，可將成本省下來改以訂閱方式，訂閱好用的App。而這種訂閱機制，也能正向促使開發者投入資源研發，建立永續的資料經濟模式。</p> <p></p> </div></div></div>
4/14 12:56作者王若樸https://www.ithome.com.tw/news/175036
曝露在網際網路的AI影像生成管理平臺ComfyUI遭到鎖定，駭客試圖用於挖礦、部署殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>威脅情報公司Censys指出，<strong><a href="https://censys.com/blog/comfyui-servers-cryptomining-proxy-botnet/">近期駭客鎖定曝露於網際網路的AI影像生成管理平臺ComfyUI</a></strong>，透過專屬的Python掃描工具於公有雲尋找下手目標，一旦成功入侵，他們就會將受害主機組成殭屍網路，用於挖礦或是架設非法代理伺服器，藉此獲取不法利益。值得留意的是，過程裡駭客使用的惡意程式ghost.sh，採取無檔案執行，並偽裝成核心層級的處理程序，以及導入LD_PRELOAD的Rootkit功能，藉此迴避偵測，此外，他們還加入3種備援機制，即使IT人員嘗試將ComfyUI重開機，或是移除惡意軟體相關元件，仍有可能透過備援機制恢復運作。</p> <p>ComfyUI是以節點（Node）為基礎的應用程式，能讓使用者下達一系列的文字提示產生圖片。此系統廣泛受到AI社群採用，通常會搭配Stable Diffusion或其他免費的擴散模型（Diffusion Model），以及配備高階圖像運算資源的硬體，使得這類應用系統成為駭客眼中的肥羊，因為用於圖片生成的GPU，在閒置時能被用來挖礦。再加上許多ComfyUI建置於雲端基礎設施，曝露在網際網路上且未設置身分驗證機制，使得攻擊者能直接入侵及濫用。</p> <p>Censys在過濾掉研究人員架設的蜜罐陷阱之後，找到超過1,000個曝露於網際網路的ComfyUI平臺，儘管數量並非極為龐大，不過該公司認為，已經足以讓攻擊者從事大規模利用。</p> <p>這起事故的發現，源自Censys於3月12日，在一家防彈主機代管供應商察覺到公開的資料夾，其內容被該公司的威脅情報平臺標示為可疑，數日後他們看到資料夾的檔案數量快速增加，代表駭客正積極開發攻擊工具。Censys進一步分析，確認駭客尋找曝露在網路上的ComfyUI，利用特定的錯誤組態設定，使得程式碼能透過特定的節點執行。得逞後，駭客透過基於Flask框架而成的網頁儀表板列管，並使用挖礦工具XMRig與lolMiner，挖取門羅幣與Conflux代幣，同時將受害系統加入代理伺服器殭屍網路Hysteria v2。</p> <p>值得留意的是，若是目標ComfyUI不存在上述節點，駭客的掃描工具就會進一步部署存在弱點的節點套件ComfyUI-Manager，然後再度嘗試進行控制。</p> </div></div></div>
4/14 10:50作者周峻佑https://www.ithome.com.tw/news/175031
生成式AI現身3年的普及率為53%，超越PC及網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>史丹佛大學人本AI研究所（Stanford HAI）近日發表年度AI趨勢報告《<a href="https://hai.stanford.edu/ai-index/2026-ai-index-report" target="_blank">2026 AI Index Report</a>》，指出AI模型在許多能力上已接近甚至超越人類，只現身3年的普及率便達53%，超越個人電腦（PC）及網路，此外，儘管AI基礎設施高度集中於美國，但美國與中國的模型差距幾乎消失了。</p> <p>研究顯示，2024年全球企業對AI的投資為2,530億美元，但2025年直接成長超過1倍達到5,817億美元，其中，針對生成式AI的投資成長超過200%。在生成式AI領域，美國在2025年的投資金額達到2,859億美元，遠超過中國與歐洲的總和（334億美元）。</p> <p>此外，生成式AI在現身3年內的普及率達到53%，快過電腦及網際網路。其中，電腦問世後大概經過15年的普及率才接近50%，網路則花了7年才接近50%。對生成式AI接受度前五名的國家依序是阿拉伯聯合大公國（United Arab Emirates，阿聯），普及率為64%，新加坡的60.9%，挪威的46.4%，愛爾蘭的44.6%，以及法國的44%。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-stanford-speed%20ai.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><a href="http://hai.stanford.edu/ai-index/2026-ai-index-report" target="_blank">Stanford HAI《2026 AI Index Report》</a></span></span></p> <p>美國雖然投資最多，但生成式AI的普及率只有28.3%，排名24，而臺灣的生成式AI普及率則達到28.4%，排名23。</p> <p>從企業的角度來看，有88%的企業至少在一個業務功能上使用AI，有79%使用生成式AI。值得注意的是，2023年只有33%的企業導入生成式AI，但2025年就快速成長到79%，這是因為ChatGPT等工具讓AI直接進入工作流程，而且企業使用AI的方式也更為廣泛。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-stanford-adopt.png" style="width: 600px;" /></p> <p><a href="http://hai.stanford.edu/ai-index/2026-ai-index-report" style="font-size: 14px;" target="_blank">Stanford HAI《2026 AI Index Report》</a></p> <p>在AI整體實力方面，美國擁有5,427個資料中心，是其它國家的10倍以上；中國在論文發表、引用及專利授權上引領全球，在2025年出版了30個重要模型，至於美國則擁有更高影響力的專利，同年出版的模型達到50個。中國在2024年取得了全球74%的AI專利，相較之下美國僅取得了12%。</p> <p>值得注意的是，美國與中國的頂級<a href="https://hai.stanford.edu/ai-index/2026-ai-index-report/technical-performance" target="_blank">模型表現</a>已不相上下，在由人類盲測的Arena排行榜上，2026年3月是由Anthropic、xAI、Google、OpenAI、阿里巴巴及DeepSeek共列前段班，彼此差距極小，幾乎處於同一競爭層級，顯示模型的性能優勢已明顯收斂，且競爭壓力開始由模型的性能，轉向成本、可靠性，以及特定場景能力。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-stanford-Arena.png" style="width: 600px;" /></p> <p><a href="http://hai.stanford.edu/ai-index/2026-ai-index-report" style="font-size: 14px;" target="_blank">Stanford HAI《2026 AI Index Report》</a></p> <p>報告指出，自2025年初以來，美國與中國的模型在性能排名上多次互換位置，DeepSeek-R1在2025年2月曾短暫與美國頂級模型並駕其驅，2026年3月，美國頂級模型則以2.7%的優勢領先，過去這一年來，就算此一差距有所波動，但始終保持在個位數，顯示中美之間的AI模型效能差距實際上已消失。</p> <hr /> <p> </p> </div></div></div>
4/14 12:10作者陳曉莉https://www.ithome.com.tw/news/175035
OpenAI受Axios供應鏈攻擊影響，已更新憑證，呼籲MacOS用戶更新到最新版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/axios-developer-tool-compromise/" target="_blank">OpenAI昨日表示</a>自己也受到NPM套件Axios供應鏈攻擊影響，不過沒有客戶或自家系統、智財外洩。該公司也更新了macOS憑證，要求Mac用戶在5月8日前儘速升級App。</p> <p>3月31日受歡迎的第三方套件<a href="https://www.ithome.com.tw/news/174813" target="_blank">Axios遭駭客</a>利用維護者憑證發布有問題的1.14.1與0.30.4版，開發人員一旦下載安裝，電腦可能被植入RAT木馬等惡意程式。那時OpenAI用於簽發macOS應用程式的GitHub Actions工作流程就下載了1.14.1版Axios。這個工作流程具有存取簽發macOS版OpenAI程式必要的憑證和公證資料。這些憑證目的在讓使用者確認App是真實來自OpenAI的App。涉及的OpenAI App包括macOS版ChatGPT Desktop、Codex、Codex-cli和Atlas。</p> <p>OpenAI說已經偕同外部數位鑑識及資安事件回應業者合作啟動調查，並且輪換macOS App簽章憑證、並且以新憑證更新App，再上架到蘋果App Store。OpenAI分析，從惡意程式執行、憑證注入驗證過程、以及驗證序列及其他因素時間點來看，簽發憑證應該沒有外洩也沒有被濫用情形。但是為保險起見，OpenAI已開始註銷和輪換憑證。</p> <p>自2026年5月8日起，舊版OpenAI macOS桌面版應用程式將不再提供更新與支援，且可能無法正常運作。OpenAI表示，使用者需升級至以下版本或更新版本，這些版本為採用新憑證簽署的最早版本，包括ChatGPT Desktop 1.2026.051、Codex App 26.406.40811、Codex CLI 0.119.0，以及Atlas 1.2026.84.2。</p> <p>用戶可以從macOS App的程式內更新或官網下載到最新版本App。OpenAI呼籲用戶不可從任何電子郵件、訊息、廣告或第三方網站下載，以免安裝假的App。</p> <p>此外OpenAI也檢視所有以舊憑證簽發的所有軟體版本確保沒有遭到惡意修改。目前該公司沒有發現現有軟體可能或已經遭到惡意修改。OpenAI並重申，這次事件只影響OpenAI macOS App，Web版並不受影響。</p> </div></div></div>
4/14 10:29作者林妍溱https://www.ithome.com.tw/news/175030
Booking.com外洩用戶訂房資料、個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>訂房網站Booking.com上週以電子郵件通知用戶資料外洩，包括姓名、電子郵件以及訂房資訊。</p> <p><a href="https://www.reddit.com/r/Bookingcom/comments/1sji0gf/serious_security_breach_confirmed_by_bookingcom/" target="_blank">多名用戶</a>在Reddit反映接到Booking.com的通知。Booking.com告知，一個未授權人士存取了一定用戶的訂房資訊，根據調查，外洩的資訊包括用戶姓名、電子郵件、住址、電話和任何「用戶分享給住宿機構的資訊」。為確保用戶資訊安全，該網站已經更新了預約的PIN碼。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0614-booking%20dot%20com(1).png" style="width: 500px;" /></p> <p>有用戶表示接到不明人士電話聯繫。另外<a href="https://techcrunch.com/2026/04/13/booking-com-confirms-hackers-accessed-customers-data/" target="_blank">TechCrunch</a>報導，有用戶經由WhatsApp接到釣魚訊息，這表示攻擊者已經開始濫用竊得的用戶個資。</p> <p>Booking.com發言人向媒體證實公司發現系統可疑活動，導致使用戶訂房資訊被不明行為者存取。但該公司向<a href="https://www.theguardian.com/technology/2026/apr/13/booking-com-customers-hack-exposed-data" target="_blank">The Guardian</a>表示，用戶財務資訊未遭到存取。</p> <p>不確定是Booking.com哪個系統遭存取，也尚未有駭客組織出面承認。</p> <p>Booking.com<a href="https://www.theguardian.com/technology/2026/apr/13/booking-com-customers-hack-exposed-data" target="_blank">官網資訊</a>指出，自2010年以來，該平臺已累計促成約68億人次的住宿預訂，其中包括約18億筆公寓、住宅及其他類型住宿。</p> <p>這不是Booking.com第一次發生資料外洩事故。2023年底，<a href="https://www.ithome.com.tw/news/160616" target="_blank">駭客藉由</a>假扮用戶向Booking.com合作旅館下手，在旅館人員電腦散布竊資軟體取得相關帳密資料，進而利用旅館的Booking.com帳號發送釣魚訊息給旅客。</p> </div></div></div>
4/14 11:02作者林妍溱https://www.ithome.com.tw/news/175032
Red Hat發布OpenShift 4.21，整合AI、容器與虛擬化於單一平臺並強化GPU資源調度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源解決方案供應商紅帽（Red Hat）近日宣布推出企業級Kubernetes平臺<a href="https://www.redhat.com/en/blog/achieve-more-red-hat-openshift-421" target="_blank">Red Hat OpenShift 4.21</a>。此版本以Kubernetes 1.34與容器執行環境CRI-O 1.34為基礎，將AI、容器與虛擬化工作負載整合於同一基礎架構，並透過動態資源配置機制強化GPU資源調度能力，以提升混合雲環境下的整體資源使用效率。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0413-openshift-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／紅帽</span></span></p> <p>隨著企業逐步將AI應用導入正式營運環境，AI訓練與推論工作負載對於資源調度與系統整合的需求持續提高。Red Hat指出，過去AI、容器、虛擬機器多半分散於不同平臺運作，不僅增加系統管理複雜度，也降低資源配置效率。OpenShift 4.21強調在統一營運模型下整合不同類型工作負載，並可依實際需求自動調整資源配置。</p> <p>在AI工作負載支援方面，OpenShift 4.21導入Red Hat組建的Kueue（Red Hat build of Kueue）1.2版，以及用於OpenShift Container Platform的JobSet Operator。Kueue是Kubernetes上的工作負載排程與佇列管理機制，適用於AI訓練等批次任務，並提供任務佇列可視化能力，讓使用者可掌握執行順序與預估啟動時間；JobSet Operator則用於協調多個相互依賴的分散式任務，支援容錯與重試機制，使企業可在既有GitOps與權限控管架構下，執行大規模分散式運算。</p> <p>針對AI運算核心的GPU資源管理，Red Hat在此版本中強化Dynamic Resource Allocation（DRA）機制。DRA為Kubernetes的動態資源配置功能，允許工作負載依硬體條件（如GPU記憶體容量）提出資源需求，由系統自動匹配符合條件的設備，並支援資源優先順序與替代策略，以提升資源配置彈性。此外，該機制也提供管理員例外存取能力，以利進行監控與除錯。</p> <p>在核心平臺能力方面，OpenShift 4.21針對Hosted Control Plane導入Vertical Pod Autoscaler（VPA）。Hosted Control Plane是將Kubernetes控制層元件集中託管，並與工作節點分離的架構設計，而VPA可依據實際資源使用情況，自動調整Pod（容器執行單元）的CPU與記憶體配置，降低人工設定負擔並提升資源使用效率，以降低基礎架構成本。</p> <p>在既有企業環境整合方面，OpenShift 4.21支援VMware Cloud Foundation 9，並可部署於Oracle的Oracle Database Appliance，提供整合硬體與軟體的資料庫環境，以強化混合雲部署彈性。</p> <p>在安全機制上，此版本支援Microsoft Azure環境執行的Confidential Containers，透過硬體層級保護機制，確保資料在記憶體中處理時仍維持隔離狀態，以降低雲端平臺或底層系統存取敏感資料的風險。</p> <p>虛擬化方面，OpenShift Virtualization支援在同一平臺上同時執行虛擬機與容器工作負載，並提供跨叢集零停機遷移功能，可在不中斷服務的情況下進行維護或資源調整。此外，該版本亦支援IPv6專用的控制層與次要網路，並可在Google Cloud裸機環境執行虛擬化工作負載，以滿足低延遲與高效能需求。</p> </div></div></div>
4/14 06:00作者王珮瑤https://www.ithome.com.tw/news/175027
紅帽支援RHEL執行SQL Server 2025整合Azure管理延伸模組，強化授權彈性與可視性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.redhat.com/en/blog/red-hat-enterprise-linux-now-supported-microsoft-sql-server-azure-vms-sql-iaas-agent-extension" target="_blank">紅帽（Red Hat）與微軟宣布</a>，企業可在Azure虛擬機器上，於Red Hat Enterprise Linux（RHEL）環境執行SQL Server 2025，並整合SQL IaaS Agent延伸模組，以強化授權管理與監控資訊的可視性。</p> <p>在此架構下，企業於RHEL環境部署SQL Server後，可透過SQL IaaS Agent延伸模組進行註冊，並在Azure中建立對應的SQL虛擬機器資源。該資源與原本的虛擬機器分開管理，可協助呈現授權使用的類型，提供訂閱層級的追蹤能力，以及相關監控資訊。</p> <p>在授權模式方面，該延伸模組支援三種選項，包括隨用隨付（Pay-as-you-go），將SQL Server授權費用納入Azure虛擬機器計費；Azure Hybrid Benefit（Azure混合權益），允許企業沿用既有SQL Server授權；以及災難復原（Disaster Recovery）授權，用於Azure中的高可用性與災難復原備援節點，企業可依需求選擇適用的授權模式。</p> <p>在操作上，使用者需透過Azure CLI或Azure PowerShell，將Azure訂閱註冊至Microsoft.SqlVirtualMachine資源提供者，以完成SQL IaaS Agent延伸模組的初始設定。後續管理作業包括授權調整，則可透過Azure入口網站進行。</p> <p>紅帽表示，隨著SQL Server 2025支援部署於RHEL 10，企業可在Linux平臺上執行關鍵資料庫工作負載。RHEL提供容器原生架構、強化安全機制與自動化管理能力，並支援混合雲、邊緣運算與AI導向環境。</p> </div></div></div>
4/14 06:00作者王珮瑤https://www.ithome.com.tw/news/175028
【資安週報】0407~0410，Claude Mythos預覽版的自主漏洞發現能力，直逼頂尖人類駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="123" data-start="0">【資安新聞編輯室報告】在清明連假後的資安新聞中，最受產業矚目的消息之一，是Anthropic發布的Claude Mythos Preview。這款專為安全研究開發的模型，已展現出能自主發現並利用數千個零時差漏洞的驚人能力。這是利用AI解決資安漏洞問題的新里程碑，自<a href="https://www.ithome.com.tw/news/171723">DARPA的AIxCC計畫</a>證明可行性後，Claude Mythos正式將此願景推向大規模實際應用，並且是攻擊概念程式都能一手包辦。</p> <p data-end="123" data-start="0">此外，汰除簡訊OTP已逐漸從倡議轉向政府層級的金融監管行動，尤其是印度、阿拉伯聯合大公國自4月起開始禁用OTP的措施格外引發關注。另一方面，後量子密碼學（PQC）的消息不斷，隨著業界預期量子運算能力在2026年將有明顯進展，因此認為PQC遷移腳步也需加快，更多科技大廠目標於2029年完成。</p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 政策法規、技術趨勢、產業脈動 </span></strong></span><br /> </h1> <h3><strong>☼ Claude Mythos預覽版問世</strong></h3> <p>發表此技術成果的<a href="http://www.ithome.com.tw/news/174898">Anthropic表示，為了防止這樣的技術落入危險份子手中，已啟動全球資安防禦計畫<strong>Project Glasswing</strong></a>，讓10多家科技與金融業者與40多個關鍵CI組織優先使用Mythos Preview，提前展開大規模漏洞掃描與修補。</p> <p>我們認為未來的觀察重點在於「AI雙面刃效應」：正面效益在於其能彌補資安人力的缺口，並顯著提升潛在漏洞修補的效率，而且數家科技大廠已經有所行動；隱憂則是未來攻擊者同樣能利用此技術發動攻勢，這對尚未強化產品安全的業者與企業而言，將面臨極大的挑戰。</p> <p>同一時間，還有其他用AI找漏洞的影響浮現，像是HackerOne最近決定暫停網際網路漏洞懸賞計畫（IBB），這也使得仰賴其漏洞獎金的<a href="https://www.ithome.com.tw/news/174996">Node.js宣布不再提供抓漏獎金</a>。原因在於，目前的漏洞修復能力，並未隨漏洞發現能力的躍升而同步演進，還有先前AI生成的漏洞通報浮濫，維護者花更多實踐驗證，有效提交數量卻從15%降至5%。或許，未來若有更多模型能力能與Claude Mythos Preview齊頭並進，整體概況可能又會有所不同。</p> <h3><span style="color: rgb(32, 33, 35); font-family: "PingFang TC", "Microsoft JhengHei", "Helvetica Neue", Helvetica, Arial, sans-serif; font-size: 16px;">⊗ </span><strong>全球掀起簡訊OTP禁用潮</strong></h3> <p>隨著簡訊OTP持續被詐騙集團與駭客濫用，全球金融監管趨勢正迎來重大轉折，<a href="https://www.ithome.com.tw/news/174934">要求金融業禁用簡訊OTP的國家越來越多，包括新加坡、馬來西亞，還有印度與阿拉伯聯合大公國（UAE）</a>的限制政策也於2026年4月正式生效。</p> <h3><strong>☆ </strong><strong>Cloudflare將PQC遷移進程提前至2029年</strong></h3> <p>不只<a href="https://www.ithome.com.tw/news/174696">Google將PQC遷移提前至2029年</a>完成，Cloudflare跟進的態勢，顯示更多科技大廠認為我們需要加速PQC遷移。Cloudflare的作法分成<a href="https://www.ithome.com.tw/news/174910">四個階段</a>：2026年確保Cloudflare與來源伺服器間的連線支援ML-DSA；2027年擴大保護範圍至一般訪客連線；2028年整合進Cloudflare One SASE；2029年整合至全產品線。</p> <p>而促使Cloudflare加速行動的關鍵，一是Google宣布大幅改進破解橢圓曲線密碼學P-256的量子演算法，另一個是量子運算新創Oratomic發表的資源估算報告。此外，HPE亦擴展後量子密碼技術應用，<a href="https://www.ithome.com.tw/news/174957">為ProLiant伺服器引進PQC加密技術</a>。</p> <h3><a href="/sites/default/files/images/Screenshot 2026-04-09 at 10_11_22 AM(1).png"><img alt="" src="/sites/default/files/images/Screenshot%202026-04-09%20at%2010_11_22%E2%80%AFAM(1).png" style="width: 260px; float: right;" /></a></h3> <h3><span style="color: rgb(32, 33, 35); font-family: "PingFang TC", "Microsoft JhengHei", "Helvetica Neue", Helvetica, Arial, sans-serif; font-size: 16px;">◈ </span><strong>Google於瀏覽器導入DBSC</strong></h3> <p>即便MFA已廣泛普及，Session Cookie劫持仍是攻擊者繞過身分驗證的終極手段，Google自<a href="https://www.ithome.com.tw/news/162126">2024年測試</a>裝置綁定連線階段憑證（Device Bound Session Credentials，DBSC）技術後，如今終於<a href="https://www.ithome.com.tw/news/174991">導入瀏覽器正式版</a>，並公布推動DBSC標準化的計畫。</p> <h3><strong>♦ Nvidia推出OpenShell執行環境</strong></h3> <p>近期OpenClaw當紅，但也顯示自主AI代理應用缺乏風險管控，<a href="https://www.ithome.com.tw/news/174803">Nvidia趁著此波風潮在GTC大會中推出OpenShell</a>，其核心價值在於提供安全執行環境，結合沙箱、政策強制執行引擎，以及隱私路由器等功能。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 最新漏洞威脅 </span></strong></span></h1> <p> </p> <p>在漏洞利用消息方面，這一星期有3項漏洞因為已有駭客鎖定利用須優先關注。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Fortinet </strong></span><strong style="color: rgb(178, 34, 34);">CVE-2026-35616</strong></h3> <p>●發生零時差漏洞攻擊事件，目標是Fortinet的FortiClient EMS的<a href="https://www.ithome.com.tw/news/174874">CVE-2026-35616</a>，攻擊者身分未知。已被列入KEV。</p> <h3><strong><span style="color: rgb(178, 34, 34);">Citrix CVE-2026-3055</span></strong></h3> <p>●Citrix甫修補NetScaler的重大漏洞<a href="https://www.ithome.com.tw/news/174760">CVE-2026-3055，有威脅情報公司watchTowr與Defused Cyber發現積極偵察活動</a>。已被列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Oracle</strong></span><span style="color: rgb(178, 34, 34);"><strong> CVE-2026-21962</strong></span></h3> <p>●Oracle在今年1月修補WebLogic Server漏洞<a href="https://www.ithome.com.tw/news/174854">CVE-2026-21962，CloudSEK研究人員發現</a>已有鎖定利用跡象。尚未被列入KEV。</p> <p>還有3項尚未有CVE編號的漏洞消息揭露值得留意，其中兩起更是零時差漏洞攻擊事件，已有攻擊者鎖定利用。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Adobe </strong></span><span style="color: rgb(178, 34, 34);"><strong>PolyShell</strong></span></h3> <p>●<a href="https://www.ithome.com.tw/news/174931">駭客利用PolyShell漏洞大規模入侵Magento電商平臺</a>，手法是用雙連擊（Double-tap）交易資料側錄工具，將竊取信用卡資料的竊資軟體埋藏在SVG圖。目前PolyShell尚未有CVE編號，僅有Adobe安全公告APSB25-94。</p> <h3><strong><span style="color: rgb(178, 34, 34);">Adobe Reader</span></strong></h3> <p>●多位研究人員發現<a href="https://www.ithome.com.tw/news/174963">Acrobat Reader有新的零時差漏洞攻擊事件</a>，並指出攻擊者掌握漏洞的時間至少半年。目前這些漏洞尚未有CVE編號公開。</p> <h3><span style="color:#B22222;"><strong>微軟 BlueHammer</strong></span></h3> <p>●有研究人員疑不滿微軟處理態度，憤而<a href="https://www.ithome.com.tw/news/174916">公布名為BlueHammer的零時差漏洞</a>，資安公司Cyderes指出<a href="https://www.ithome.com.tw/news/174989">該漏洞與內建防毒Microsoft Defender的更新機制有關</a>。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重要威脅態勢 </span></strong></span></h1> <p> </p> <div> <h3><span style="color: rgb(178, 34, 34);"><strong>UAT-10362駭客團體鎖定臺灣NGO與大學發動網釣</strong></span></h3> <p>此攻擊活動因高度針對臺灣而引發資安圈關注，<a href="https://www.ithome.com.tw/news/174935">思科Talos</a><a href="http://www.ithome.com.tw/news/174935">指出</a>駭客部署的工具LucidPawn會偵測正體中文的電腦環境才啟動，目的是散布惡意軟體LucidRook，並會進一步下載Lua有效酬載並執行，而其感染途徑主要使用惡意LNK檔案與EXE檔。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Axios</strong><strong>供應鏈攻擊事故調查公布</strong></span></h3> <p>這起事件再次反映社交工程手法鎖定開發人員的威脅。<a href="https://www.ithome.com.tw/news/174887">維護者Jason Saayman</a>指出，駭客偽裝某公司創辦人，冒用肖像及相關資料，偽造具品牌商標的Slack工作空間，並在頻道裡張貼LinkedIn文章，之後駭客邀請Saayman加入工作空間，並誤以為貼文由實際企業的帳號發布。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Claude Code</strong><strong>程式碼外洩後續風險浮現</strong></span></h3> <p>由於這是Anthropic內部人員作業不慎發布，眾多研究人員下載後建立映射或分叉，其留意的重點在於，攻擊者可能在分叉或儲存庫注入惡意程式，或是濫用Claude Code已知或新漏洞。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>2百家企業5千臺的SOHO網路設備鎖定</strong></span></h3> <p>俄羅斯駭客組織APT28鎖定SOHO網路攻擊越發猛烈，我們認為其AiTM中間人網釣手法最需留意，相關揭露顯示：<a href="https://www.ithome.com.tw/news/174913">其手法竄改路由器DNS組態</a>，近期再有<a href="https://www.ithome.com.tw/news/174914">200家企業的SOHO網路設備遭鎖定</a>。<a href="https://www.ithome.com.tw/news/174911">美國司法部、FBI則聯手破壞其AiTM網釣基礎設施</a>，指出其手法會透過解析器提供特定網域名稱的假DNS紀錄，藉此模仿合法的IT系統服務。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>伊朗駭客鎖定PLC攻擊</strong></span></h3> <p>這項消息反映OT安全與關鍵CI風險，更重要是<a href="https://www.ithome.com.tw/news/174965">美國6大機構聯合示警</a>，指出伊朗駭客CyberAv3ngers正尋找能透過網際網路存取的PLC，主要被鎖定設備廠牌包括Rockwell與Allen-Bradley，並提醒自今年3月已有部分受害組織出現營運中斷或財務損失。</p> </div> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 數字情報 </span></strong></span></h1> <p> </p> <p><span style="font-size: 24px;"><strong>臺灣海纜障礙事件2025全年</strong></span><span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);"><strong>32起</strong></span></span><span style="font-size: 24px;">，<strong>近岸事件7起中有</strong></span><span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);"><strong>6起</strong></span></span><span style="font-size: 24px;"><strong>是人為</strong></span></p> <p><a href="https://www.ithome.com.tw/news/174892">數發部公布我國海纜受損年度分析報告</a>，指出，1起為蕊線劣化的自然因素，其餘6起都和人為有關，包括船錨勾損、漁撈作業及疑似外力破壞。還有25起遠海海障礙障事件，原因多與地震引發的海底滑坡有關。</p> <p><strong><span style="font-size: 24px;">駭客鎖定企業雲端環境的初始入侵手法大洗牌，語音網釣以</span><span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">23%</span></span><span style="font-size: 24px;">居冠</span></strong></p> <p>M-Trends 2026報告揭示：<a href="https://www.ithome.com.tw/news/174730">全球有4成企業能在一星期內發現入侵</a>，但2025年出現逆轉訊號，同時指出<a href="https://www.ithome.com.tw/news/174794">語音網釣威脅在2025年竄升</a>，成為初始入侵第二常見途徑，更引人注目的是，駭客鎖定企業雲端環境的初始入侵手法大洗牌，<a href="https://www.ithome.com.tw/news/174796">語音網釣居冠</a>。</p> <p><strong><span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">逾5成</span></span><span style="font-size: 24px;">企業未自行掌控雲端資料加密金鑰</span></strong></p> <p>Thales發布《<a href="https://www.ithome.com.tw/news/174807">2026年資料威脅報告</a>》指出，逾半數企業未自行掌控雲端資料加密金鑰，而是交由雲端服務商管理，顯示金鑰控管能力不足；而在加密金鑰的管理方式上，僅約三成企業採用自帶金鑰（BYOK）模式，多數仍依賴雲端平臺工具。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 專家觀點 </span></strong></span></h1> <p> </p> <p><span style="color: rgb(255, 140, 0);"><span style="font-size: 24px;"><strong>Anthropic專家談Claude Mythos Preview能力</strong></span></span></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/INGOC6-LLv0?si=UtzgnKO7pwvgSi1y&start=220" title="YouTube video player" width="560px"></iframe></div> <p><a href="https://youtu.be/INGOC6-LLv0?si=nwl1OOGDq2Li3rZh&t=220" style="text-align: right;">Anthropic研究科學家Nicholas Carlini</a><span style="text-align: right;">表示，在過去幾週發現的Bug，比我這輩子加起來還要多。例如在OpenBSD中，發現了一個隱藏長達27年的漏洞，僅需向伺服器發送特定封包即可導致系統崩潰；而在 Linux系統中，則發現了多個權限提升漏洞，允許非授權用戶藉由執行特定 Binaries 獲取最高管理權限。</span></p> <p> </p> <p><span style="color: rgb(255, 140, 0);"><span style="font-size: 24px;"><strong>Project Glasswing計畫標誌著網路安全的轉捩點</strong></span></span></p> <p>過去擔任Sophos產品總監，現為Arctic Wolf 的技術與服務總裁的<a href="https://arcticwolf.com/resources/blog/project-glasswing-marks-a-turning-point-for-cybersecurity/">Dan Schiappa指出，Anthropic聯合多家科技巨頭啟動的全球資安防禦計畫Project Glasswing，</a>多年來，AI模型一直在幫助網路攻擊者縮小漏洞發現和利用之間的差距，Mythos的出現標誌著網路威脅的重大變革<font dir="auto" style="box-sizing: border-box; -webkit-tap-highlight-color: transparent; vertical-align: inherit;">。例如，</font>發現新型漏洞的成本，可能降低至僅需一次提示（Prompt）的代價，漏洞發現到被演變為攻擊利用的時間差將持續縮減，資安團隊所需評估與修復的漏洞總量，將會面臨大規模擴張。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重大資安事件 </span></strong></span></h1> <p>上市櫃資安重訊：</p> <p><span style="font-size: 22px;"><strong>工業電腦製造廠<a href="http://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=172512&SPOKE_DATE=20260402&COMPANY_ID=8114">振樺電子</a>指出接獲外部情資單位通知，官網及部分網路服務資料疑遭入侵而導致部分資料外洩。</strong></span></p> <p><span style="font-size: 22px;"><strong>航太引擎扣件製造商<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=92327&SPOKE_DATE=20260408&COMPANY_ID=3004">豐達科技</a>表示資訊系統遭受駭客網路攻擊</strong></span></p> <p><span style="font-size: 22px;"><strong>製藥廠<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=64601&SPOKE_DATE=20260407&COMPANY_ID=4114">健喬信元醫藥生技</a>表示資訊系統遭受駭客攻擊</strong></span></p> <p><span style="font-size: 22px;"><strong>近期股價衝上3000元的半導體設備大廠<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162739&SPOKE_DATE=20260410&COMPANY_ID=3131">弘塑科技</a>表示公司資訊系統遭受勒索病毒攻擊</strong></span></p> <p>國際重要資安事件</p> <p><span style="font-size:22px;"><strong>美國麻州醫療體系<a href="https://www.ithome.com.tw/news/174925">Signature Healthcare遭網路攻擊</a>，導致化療、救護車派送、及藥局運作受到影響。</strong></span></p> <p><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/news/174924">洛杉磯警局傳出遭駭消息</a>，有勒索軟體組織透過World Leaks網站聲稱竊得其7.7 TB官司資料並公開文件。</strong></span></p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 資安活動快訊 </span></strong></span></h1> <p> </p> <h3 style="margin: 0px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月16日 </span></span></strong> <strong>數位轉型攻略 VIII<a href="https://webinar.ithome.com.tw/session-page/711">【Rearchitect the Future — The Next Wave of Intelligence】</a> Webinar線上研討會</strong><br /> </h3> <h3><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月23日 </span></span>【<a href="https://o11yday.ithome.com.tw/2026/CFP">Observability Day可觀察性技術日】</a></strong><br /> </h3> <h3><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月21~23日 </span></span>【<a href="https://www.teeia.org.tw/tw/news/SEMIE187">SEMI E187半導體設備資安合規實踐研討會</a><a href="https://o11yday.ithome.com.tw/2026/CFP">】</a>4/21台中場、4/22高雄場、4/23新竹場</strong><br /> </h3> <h3><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月25日 </span></span>【<a href="https://www.twcert.org.tw/newepaper/cp-68-10817-1f929-3.html">資安防護實戰-CTF 資安人才培育課程(台南場)</a>】</strong></h3> <p> </p> <p> </p> </div></div></div>
4/13 19:14作者羅正漢https://www.ithome.com.tw/news/175026
木馬程式STX RAT同時具備竊資軟體的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週末<strong><a href="https://www.ithome.com.tw/news/175007">知名處理器資訊顯示工具CPU-Z的開發者網站CPUID遭到入侵</a></strong>，駭客滲透特定網站元件並竄改下載連結，散布遠端存取木馬（RAT）程式STX RAT，這個惡意軟體會造成何種危害？近期有資安公司公布細節。</p> <p><strong><a href="https://www.esentire.com/blog/stx-rat-a-new-rat-in-2026-with-infostealer-capabilities">資安公司eSentire指出</a></strong>，他們在2月底看到該惡意程式的活動，駭客鎖定金融產業發動攻擊，藉由用戶的瀏覽器下載VBS指令碼檔案，於受害電腦部署此惡意程式。他們提到，<strong><a href="https://www.malwarebytes.com/blog/threat-intel/2026/03/a-fake-filezilla-site-hosts-a-malicious-download">資安公司Malwarebytes於3月初揭露</a></strong>有人散布惡意版本FTP應用程式FileZilla，是其中一種散布STX RAT的管道。</p> <p>STX RAT的本質是遠端存取木馬，其中整合了HVNC與隱匿的遠端桌面連線功能，使得攻擊者能遠端控制受害電腦，不過除此之外，該惡意程式還納入竊資軟體的功能，鎖定瀏覽器存放的憑證與Cookie、加密貨幣錢包，以及FTP用戶端程式的憑證。eSentire指出，駭客似乎還打算破解應用程式綁定加密（Application-Bound Encryption，ABE）機制——<strong><a href="http://www.ithome.com.tw/news/164219">此為Chrome 127版導入的對抗竊資軟體功能</a></strong>，不過，研究人員並未看到駭客成功擷取ABE金鑰，推測相關功能尚未正式啟用。</p> <p>駭客使用多階段的解密與解壓縮機制，藉由XXTEA與Zlib來解開嵌入的有效酬載。此惡意軟體只有在收到C2伺服器的明確命令後，才會執行竊取資料的工作，目的是避免在沙箱環境或是資安人員的測試環境留下證據。</p> <p>值得一提的是，C2通訊雖然以常見的TCP連線進行，但攻擊者採用專屬且具有特定前綴的通訊協定，並透過精心設計的加密C2通道，避免資安系統與研究人員察覺異狀。再者，駭客也透過Clearweb與Tor網路連線，作為備援的C2通訊機制。</p> <p>為了避免研究人員逆向工程，STX RAT經過多層字串混淆處理，再者，駭客也透過加鹽處理的SHA-1雜湊值，解析Windows的API與功能模組的相依性，這麼做也使得研究人員分析變得更加困難。</p> </div></div></div>
4/13 15:14作者周峻佑https://www.ithome.com.tw/news/175018
【資安日報】4月13日，CPUID網頁被入侵，駭客散布木馬程式STX RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175007"><strong style="font-size: 22px;">硬體監控工具開發公司CPUID網頁遭入侵，駭客用來散布惡意軟體STX RAT</strong></a></p> <p>知名的硬體監控工具CPU-Z、HWMonitor的供應商CPUID，傳出網站遭到入侵，駭客藉此散布惡意軟體。最早揭露此事的是資安研究團隊VX-Underground，他們在社群網站X指出，東部時間（EST）4月10日晚間7時（臺灣時間4月11日上午7時）有使用者發現CPUID的網站cpuid.com存在惡意軟體，駭客入侵後，透過偽造的HWMonitor軟體散布惡意程式，目的似乎是竊取瀏覽器憑證等各式資料，因為研究人員在分析的過程發現，惡意軟體會試圖針對Chrome的IElevation COM介面，擷取並解密存放的密碼資料。後續該團隊發現，駭客也對CPU-Z上下其手。</p> <p>對此，CPUID的經營者Doc TB證實此事，他們初步判斷是網站的某個API工具遭駭，攻擊者約從4月9日至10日入侵約6個小時，導致網站隨機顯示惡意連結。不過，經過該公司簽章的原始檔案，未遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/174998"><strong style="font-size: 22px;">Adobe揭露與修補Acrobat Reader零時差漏洞，建議用戶72小時內完成更新</strong></a></p> <p>上週二Acrobat Reader爆出零時差漏洞的消息，資安漏洞濫用偵測系統EXPMON的創辦人李海飛（Haifei Li）表示，他發現鎖定這套軟體平臺的PDF漏洞濫用攻擊，當中利用Adobe尚未揭露與修補的漏洞，而且在Acrobat Reader的最新版本26.00121367，仍然有效，隔天又有人向其回報新的變種攻擊樣本，並確認該樣本去年底就出現在線上資安檢測服務VirusTotal，顯示此項漏洞濫用威脅已持續4個月以上，引發資安界關注。</p> <p>4月11日Adobe發布預先排定計畫的Acrobat Reader安全性修補公告，揭露漏洞編號為CVE-2026-34621，CVSS嚴重度評分為9.6分，屬於重大漏洞，問題出在對物件原型屬性的修改管理不當，被歸類為原型汙染（Prototype Pollution）類型的弱點，影響的產品包括早於26.001.21367版的Acrobat DC與Acrobat Reader DC，以及早於24.001.30356版的Acrobat 2024。</p> <p><a href="https://www.ithome.com.tw/news/175003"><strong style="font-size: 22px;">網釣平臺Venom活動升溫，駭客用於對高階主管發動攻擊，意圖竊取微軟帳號</strong></a></p> <p><a href="/sites/default/files/images/VENOM-PhaaS-Malicious-Email.jpg" target="_blank"><img alt="" src="/sites/default/files/images/VENOM-PhaaS-Malicious-Email.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Abnormal揭露網路釣魚服務平臺（PhaaS）Venom，並指出相關攻擊活動從2025年11月至2026年3月期間升溫，駭客系統性針對全球重要組織的執行長、財務長等高階主管，假借SharePoint檔案共用的通知，並以財務報告的誘餌引誘收信人掃描QR Code。值得留意的是，駭客根據姓名挑選下手目標，有六成是總裁或C級主管，攻擊的範圍橫跨超過20個產業。</p> <p>一旦收信人掃描QR Code，駭客就會先透過假的驗證工具過濾使用者身分，檢查使用者代理字串（User Agent），藉此排除資安公司、無頭瀏覽器、雲端服務供應商、滲透測試工具等。駭客也搭配IP位址即時聲譽檢測工具、蜜罐陷阱（Honeypot），目的是捕捉自動化工具與看不見的網頁元素互動的情形。</p> <p><a href="https://www.ithome.com.tw/news/175006"><strong style="font-size: 22px;">Apache ActiveMQ修補存在13年的高風險漏洞，未更新可能導致遠端程式碼執行</strong></a></p> <p>開源訊息中介軟體ActiveMQ存在高風險漏洞，可能導致遠端執行任意程式碼，根據資安公司Horizon3.ai在4月7日的揭露，此漏洞已存在13年之久，之所以發現，源自該公司研究人員使用Anthropic的AI工具Claude，負責維護ActiveMQ的Apache基金會隨即發布安全公告，並釋出修補程式。</p> <p>這個漏洞編號為CVE-2026-34197，CVSS嚴重性評分達8.8分，問題源自ActiveMQ內建的Jolokia管理API輸入驗證機制不足，攻擊者可透過特定操作，誘使系統載入外部惡意設定檔（Spring XML），進而在系統上執行任意指令。發現與通報這個漏洞的資安公司Horizon3.ai表示，攻擊者需要通過身分驗證才能利用此漏洞，但在ActiveMQ的6.0.0到6.1.1等版本中，由於另一漏洞CVE-2024-32114的存在，將導致攻擊者無須驗證身分即可存取Jolokia API，進而利用CVE-2026-34197發動遠端執行程式碼攻擊。</p> <p><a href="https://www.ithome.com.tw/news/174876"><strong style="font-size: 22px;">OpenSSH發布10.3版修補指令注入漏洞，未更新可能導致執行任意指令攻擊</strong></a></p> <p>Linux常用的開源遠端存取工具OpenSSH，日前發布10.3與10.3p1版，修補包括指令注入、檔案權限處理與憑證驗證在內的多個漏洞，未修補可能導致任意指令執行、提升權限、繞過驗證等問題，建議用戶盡速修補。</p> <p>這次修補的漏洞中，最受矚目的是指令注入（Shell Injection）漏洞CVE-2026-35386，雖然CVSS嚴重性評分只有3.6分，需要特殊的設定與輸入條件才能觸發，但可能導致遠端執行任意程式碼。細部而言，問題出在OpenSSH用戶端對於使用者名稱與輸入字元的處理，存在缺陷，攻擊者可透過特定用戶名稱與設定檔中的特定標記字串，進行指令注入攻擊。</p> <p><a href="https://www.ithome.com.tw/news/174967"><strong style="font-size: 22px;">Apple Intelligence護欄可被繞過，研究人員誘導模型輸出不當內容</strong></a></p> <p>為提升大型語言模型（LLM）的安全性，蘋果Apple Intelligence將模型存放在本地裝置，不過，近期RSA大會（RSA Conference，RSAC）研究人員運用新手法，使其得以繞過蘋果Apple Intelligence護欄進行對模型操弄，使其產出惡意文字。</p> <p>瑞士聯邦政府研究人員及洛桑聯邦理工學院（EPFL）學者結合兩種手法，成功繞過Apple Intelligence護欄。一是名為「神經執行（Neural Exec）」的方法，類似間接式指令注入（indirect prompt injection），輸入人類看來沒有意義的內容，卻能像咒語一樣能控制LLM，攻擊者可以藉此指定想執行的惡意程式碼；第二手法是利用Unicode由右向左覆寫文字的功能，進行字元逆轉攻擊（BiDi Attack）。</p> <p><a href="https://www.ithome.com.tw/news/174959"><strong style="font-size: 22px;">AI出現「暗中違規」行為，研究揭半年近700起事件、5個月暴增近5倍</strong></a></p> <p>英國非營利研究機構長期韌性中心（Centre for Long-Term Resilience）發布最新研究指出，AI系統在真實環境中已出現違反人類指示、甚至規避限制的行為，且相關案例數量正快速增加。研究統計，在2025年10月12日至2026年3月12日期間，共辨識出698起與「scheming」（隱蔽偏離目標的行為）相關的真實事件，單月事件數量在5個月內成長達4.9倍。</p> <p>所謂「scheming」，是指AI同時具備「目標偏離」（misalignment）與「隱蔽性」（covertness），在未被察覺的情況下，執行偏離使用者或開發者原意的行為。研究認為，這類行為可視為AI系統可能出現失控風險的早期徵兆。</p> <p><a href="https://www.ithome.com.tw/news/174996"><strong style="font-size: 22px;">Node.js宣布暫停提供抓漏獎金</strong></a></p> <p>知名漏洞懸賞平臺HackerOne近日宣布，由於AI輔助漏洞挖掘提升覆蓋範圍與發現的速度，使得開源生態圈出現改變：漏洞發現與漏洞修復的平衡被打破了，自3月27日開始，網際網路漏洞懸賞專案（Internet Bug Bounty，IBB）將不再受理新漏洞提交，這樣的情況很快影響到開源專案。</p> <p>Node.js發布公告指出，由於IBB暫停，他們向通報漏洞的人士發出獎賞的資金來源因此中斷，由於Node.js是由自願參與的人士發起的專案，未有專屬預算能供應漏洞懸賞使用，因此在沒有其他外部經濟援助的情況下，他們將暫停為漏洞通報者提供獎勵。</p> <p><a href="https://www.ithome.com.tw/news/174995"><strong style="font-size: 22px;">以資安打造企業永續基石，Fortinet談AI與資安如何打造低碳、可信任的數位轉型</strong></a></p> <p>在企業加速數位轉型與淨零壓力同步升溫的當下，資安不再只是防禦工具，而逐漸成為支撐永續發展的關鍵基礎。Fortinet工控資安產業發展總監陳心怡在2026數位永續高峰中指出，在AI與ESG交會時代，沒有資安，就沒有真正的轉型，企業如果忽略資安，數位與永續轉型發展都可能失去根基。</p> <p>企業若沒有建立完善資安機制，她直言，數位轉型只會停留在表面的優化，難以真正達到長期永續。以能源、電網、交通等關鍵基礎設施為例，資安關係到關鍵基礎設施的營運韌性與社會穩定，為永續治理中不可或缺的一環。\</p> <p><a href="https://www.ithome.com.tw/news/174956"><strong style="font-size: 22px;">中國駭客Silver Fox假借稅務名義從事網釣，將攻擊範圍擴大至南亞多國</strong></a></p> <p><a href="/sites/default/files/images/silverfox-1.png" target="_blank"><img alt="" src="/sites/default/files/images/silverfox-1.png" style="width: 300px; float: right;" /></a></p> <p>曾針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（也被稱做Void Arachne），近年來攻擊活動頻傳，駭客藉此散布後門程式Winos 4.0（ValleyRAT），不過，最近有資安公司發現，這些駭客的手法出現重大變化。</p> <p>資安公司Sekoia針對Silver Fox進行長期追蹤，指出這些駭客的攻擊行動最早可追溯到2022年，犯案的動機是為了經濟利益，約從2024年開始，Silver Fox逐漸轉向APT型態的活動。他們主要的工具是模組化後門Winos 4.0，有些活動還會搭配Gh0st RAT變種HoldingHands，以及Blackmoon等中國駭客普遍採用的惡意軟體。值得留意的是，Sekoia發現，這些駭客從去年開始，從原本慣用的Winos 4.0轉向合法的遠端監控與管理工具（RMM），後續又改用以Python開發的竊資軟體，他們將該惡意軟體偽裝成WhatsApp的應用程式來魚目混珠。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162739&SPOKE_DATE=20260410&COMPANY_ID=3131"><strong style="font-size: 22px;">弘塑資訊系統遭勒索軟體攻擊，著手搶救資料</strong></a></p> <p>4月10日半導體濕製程設備製造商弘塑科技（3131）發布資安重訊，指出資訊系統遭遇勒索軟體攻擊，該公司在第一時間偵測到異常情況並進行確認後，隨即啟動資安應變機制，進行係隔離、防護強化，以及資料復原作業。值得留意的是，該公司提及目前仍在持續搶救資料當中，對於事故造成的損失，則有待進一步評估。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nearly-4-000-us-industrial-devices-exposed-to-iranian-cyberattacks/">美國關鍵基礎設施近4千臺設備遭伊朗駭客攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/glassworm-campaign-uses-zig-dropper-to.html">蠕蟲程式GlassWorm透過載入工具Zig滲透IDE</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/marimo-rce-flaw-cve-2026-39987.html">Python資料分析工具Marimo重大漏洞遭到利用</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/over-1000-exposed-comfyui-instances.html">逾1,000個AI影像生成管理平臺ComfyUI遭到攻擊，駭客用於挖礦、部署殭屍網路</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.welivesecurity.com/en/business-security/cunning-predator-how-silver-fox-preys-japanese-firms-tax-season/">中國駭客Silver Fox針對日本報稅季發動網釣</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174990"><strong>【4月10日】伊朗駭客鎖定美國關鍵基礎設施發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174940"><strong>【4月9日】Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174916"><strong>【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施</strong></a></p> </div></div></div>
4/13 15:24作者周峻佑https://www.ithome.com.tw/news/175020
微軟Foundry Local正式版發布，支援將本地AI推論整合進應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<a href="https://devblogs.microsoft.com/foundry/foundry-local-ga/">Foundry Local正式推出</a>，這是一套跨平臺的本地端AI推論方案，讓開發者透過SDK將AI模型直接嵌入應用程式，在使用者的裝置上離線執行推論，不需要雲端連線，也不會產生額外詞元（Token）運算費用。</p> <p>Foundry Local讓開發者可將AI推論能力直接隨應用程式一併發布，開發者安裝SDK後，Foundry Local Core與ONNX Runtime執行檔會在建置階段自動納入應用程式。微軟表示，該方案體積精簡，不會明顯增加安裝包大小，終端使用者也不必另外安裝CLI工具或第三方軟體，即可直接使用AI功能。</p> <p>其支援Windows、macOS與Linux。Windows版整合Windows ML（WinML）進行推論，並透過Windows Update自動取得與硬體相符的執行提供者外掛，以處理驅動程式相容性問題。macOS版則原生支援Apple Silicon，透過Metal提供GPU加速。Foundry Local會自動偵測硬體環境，使用GPU、NPU或CPU執行推論，開發者不需要額外撰寫硬體偵測邏輯。</p> <p>SDK部分，Foundry Local提供Python、JavaScript、C#與Rust四種語言支援，推論API採用OpenAI相容的請求與回應格式，涵蓋聊天完成（Chat Completions）、音訊轉錄及Open Responses API。微軟表示，這讓開發者可以在雲端與本地推論之間順暢切換，而不需要額外架設本地HTTP伺服器，但如果應用場景需要REST呼叫，也可以在初始化時選擇啟用OpenAI相容的HTTP端點。</p> <p>由於Foundry Local整合Foundry Model Catalog，應用程式首次執行時會從目錄下載針對裝置硬體最佳化的模型，後續則從本地快取載入。目前支援的模型系列包括GPT OSS、Qwen、Whisper、Deepseek、Mistral與Phi，同時支援可中斷續傳的下載機制，使用者即使中途關閉應用程式或斷線，下次啟動時可從中斷處繼續下載。</p> <p>在微軟的AI部署架構中，Foundry Local負責裝置端推論，可在手機、筆電與桌機等終端裝置上執行模型，雲端則由Microsoft Foundry提供高階模型、AI代理人與微調服務。至於結合Azure Local的Foundry Local部署選項，目前仍處於預覽階段，主打將這些模型與代理式AI帶到用戶自有的分散式基礎設施。</p> <p>微軟也揭露後續發展方向，包括擴充模型目錄、即時麥克風語音轉錄，更廣泛的NPU與GPU硬體支援，以及改進共享快取機制，讓多個應用程式能共用已下載的模型。Foundry Local的程式碼範例現已公開於GitHub。</p> </div></div></div>
4/13 16:51作者李建興https://www.ithome.com.tw/news/175010
企業面臨碳費徵收壓力節節升溫，碳權交易機制成減碳調適關鍵工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國內在今年開始徵收碳費之下，高碳排企業正面臨前所未有的財務壓力。成立已2年多的臺灣碳權交易所資深經理蔡旻樺在2026數位永續高峰會分享她的觀察，她以中鋼為例，若以其一年碳排放量約1,800萬噸，每噸300元碳費計算，若沒有任何碳費優惠費率下，相當於要繳交60億元，碳費成本已能直接左右企業的盈虧。在此背景下，碳權機制逐漸受到關注，成為企業因應碳費壓力的重要輔助工具。</p> <p>蔡旻樺說明，政府推動碳費徵收制度的目的，並非是要增加企業營運的負擔，或是增加國家財政的收入，而是希望促使高碳排企業力行減碳，以迎合國際上淨零減碳的趨勢。同時也設計誘因機制，若企業提出自主減量計畫，如導入節能技術或低碳製程，碳費優惠可從每噸300元降至100元，甚至是50元，對鋼鐵、水泥等高碳排產業，還可能再打折，「可能變成一噸20元」，在減碳與產業競爭力之間取得平衡。</p> <p>在此制度上，國內目前尚未導入總量管制與排放交易制度（ETS），而是採碳費制度。蔡旻樺指出，國際上例如歐盟的排放權價格約為「一噸3千元」，相較之下國內目前300元的碳費，「其實沒辦法反映市場上的減碳成本」，未來仍有上調空間。</p> <p>至於市場上常提及的「碳權交易」，國內現階段以「自願性碳權」為主。蔡旻樺解釋，企業可透過造林、節能等減碳專案取得碳權，再於市場交易，「你願意去做一些減碳專案，經過環境部認證，就可以拿到碳權去賣」。</p> <p>在這樣的制度架構下，2023年成立的臺灣碳權交易所扮演關鍵角色。蔡旻樺指出，國內碳權（法規稱為減量額度）依法「只能透過碳交所購買」，是唯一合法交易管道。</p> <p>不過，碳權並非企業規避碳費的「捷徑」。蔡旻樺強調，現行制度下，國內碳權雖可用於抵減碳費，但比例有限，例如10%；國際碳權則尚未開放抵減碳費。因此，即便是中鋼這類高排放的企業，也無法單靠購買碳權解決龐大碳費支出，減碳仍然須回到製程改善與能源轉型本身，也是政府徵收碳費的本意，企業推動內部的減排措施。</p> <p>她強調碳權並非企業減碳替代方案，「減碳最重要的還是自己減，不能只靠買碳權」，應先盤查排放、找出熱點，再進行減量，最後才以碳權補足無法削減的部分。</p> <p><strong style="color: rgb(178, 34, 34);">企業取得國際碳權多因應供應鏈壓力</strong></p> <p>從市場實務來看，企業購買碳權的動機也不僅止於法規需求。蔡旻樺指出，目前市場上「買比較多的是國際碳權」，原因在於價格較低，且多用於回應供應鏈壓力。</p> <p>企業面臨來自供應鏈的壓力，特別是國際品牌將減碳責任下放至製造端，「像蘋果、微軟這些公司，95%以上碳排來自範疇三」，迫使臺灣供應鏈必須跟進減碳。此外，企業也會將碳權用於ESG揭露、產品碳中和或品牌行銷，例如飯店計算每晚碳足跡後，提供旅客加價抵銷碳排，或商品透過碳權達成「碳中和」標示。</p> <p>但是碳費取得並不容易，蔡旻樺提醒，碳權的取得門檻不低。碳權必須具備「額外性」，也就是需證明減碳效果來自額外投入，並須經第三方查驗，整體開發流程「通常至少2到3年以上」。她直言，「如果有人說可以馬上給你碳權，90%都是騙人的」，呼籲企業審慎評估來源。</p> <p><img alt="" src="/sites/default/files/images/20260410_145055.jpeg" style="width: 600px; height: 450px;" /></p> <p>觀察國際趨勢，自然型碳匯（例如造林、紅樹林）仍是主流。她指出，科技大廠雖投入碳捕捉等技術，但目前成本高且尚未成熟，「種樹還是最快的方式」。此外，國際碳權專案多位於開發中國家，不僅降低成本，也可帶來供水、教育等聯合國永續發展目標（SDGs）效益。</p> <p>整體來說，碳費與碳權市場形成互補關係，碳費透過財務成本壓力驅動企業減碳，碳權則提供企業彈性輔助調節工具。蔡旻樺強調，企業核心的因應策略應是「先減碳，再用碳權補不足」，而非本末倒置。隨著臺灣將於2030年前逐步導入總量管制與排放交易制度，臺灣碳市場也將持續朝更成熟的機制發展。</p> </div></div></div>
4/13 15:50作者蘇文彬https://www.ithome.com.tw/news/175019
硬體監控工具開發公司CPUID網頁遭入侵，駭客用來散布惡意軟體STX RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名的硬體監控工具CPU-Z、HWMonitor的供應商CPUID，傳出網站遭到入侵，駭客藉此散布惡意軟體。</p> <p>最早揭露此事的是資安研究團隊VX-Underground，<strong><a href="https://x.com/vxunderground/status/2042499378233876715">他們在社群網站X指出</a></strong>，東部時間（EST）4月10日晚間7時（臺灣時間4月11日上午7時）有使用者發現CPUID的網站cpuid.com存在惡意軟體，駭客入侵後，透過偽造的HWMonitor軟體散布惡意程式，目的似乎是竊取瀏覽器憑證等各式資料，因為研究人員在分析的過程發現，惡意軟體會試圖針對Chrome的IElevation COM介面，擷取並解密存放的密碼資料。（編按：Chrome並無IElevation COM介面，此處仍有待確認）。後續該團隊發現，<strong><a href="https://x.com/vxunderground/status/2042499686150353210">駭客也對CPU-Z上下其手</a></strong>。對此，<strong><a href="https://x.com/d0cTB/status/2042520961824559150">CPUID的經營者Doc TB證實此事</a></strong>，他們初步判斷是網站的某個API工具遭駭，攻擊者約從4月9日至10日入侵約6個小時，導致網站隨機顯示惡意連結。不過，經過該公司簽章的原始檔案，未遭到入侵。</p> <p>資安專家Giuseppe Massaro（N3mes1s）與資安公司卡巴斯基也揭露進一步的調查細節。Massaro指出，<strong><a href="https://gist.github.com/N3mes1s/b5b0b96782b9f832819d2db7c6684f84">這起事故影響CPUID旗下多種工具的用戶</a></strong>，涵蓋CPU-Z、HWMonitor、HWMonitor Pro、PerfMonitor 2，以及PowerMAX+，駭客試圖散布由Alien RAT衍生的變種木馬與後門程式。值得留意的是，雖然CPUID已修復網站遭到竄改的問題，但駭客控制的基礎設施仍在運作，不僅持續提供VBS有效酬載，並透過R2儲存桶存放有問題的cpu-z_2.19-en.zip；另一個伺服器qwen1.pages.dev，也被繼續用來傳送Shellcode。</p> <p>Massaro指出，駭客將惡意檔案Cryptbase.dll與原本的CPU-Z執行檔進行捆綁，一旦使用者執行CPU-Z，電腦就會透過DLL側載的方式載入惡意DLL檔案，從而啟動多階段感染鏈。首先，以Zig語言編譯的代理伺服器元件DLL檔，會從特定位置解出Shellcode，然後以反射式PE載入手法啟動經加密處理的有效酬載。為了迴避DNS監控，攻擊者濫用Cloudflare的DNS-over-HTTPS（DoH）解析服務1.1.1.1。</p> <p>接著，C2才會提供真正的後門程式，電腦啟動以PowerShell寫成的惡意程式載入器，並於記憶體裡以C#編譯有效酬載及執行。為了讓後門能持續於受害電腦活動，駭客濫用了MSBuild檔案、工作排程、COM TypeLib挾持，以及PowerShell個人設定檔自動執行等4重機制。</p> <p><strong><a href="https://securelist.com/tr/cpu-z/119365/">卡巴斯基揭露其他細節</a></strong>，指出這起事故發生的時間點，在世界協調時間（UTC）4月9日下午3時至10日上午10時（臺灣時間4月9日晚間11時至10日下午6時），駭客竄改CPUID網站的下載網址，散布另一家資安公司eSentire揭露的<strong><a href="https://www.esentire.com/blog/stx-rat-a-new-rat-in-2026-with-infostealer-capabilities">遠端存取木馬（RAT）程式STX RAT</a></strong>。根據遙測的資料，至少有150名用戶受害，雖然大部分是一般的個人用戶，但也有零售業、製造業、顧問公司、電信公司，以及農業領域的企業組織受到影響。這起事故影響哪些國家或地區？卡巴斯基指出，巴西、俄羅斯、中國的情況最為嚴重。</p> <p>值得留意的是，雖然只有卡巴斯基提及最終的惡意程式是STX RAT，但是VX-Underground、Massaro、卡巴斯基都不約而同提及，駭客在這波攻擊使用的基礎設施與惡意軟體，部分曾出現在<strong><a href="https://www.malwarebytes.com/blog/threat-intel/2026/03/a-fake-filezilla-site-hosts-a-malicious-download">一個月前針對Filezilla用戶的攻擊行動</a>，而駭客使用的惡意程式，後來被</strong>eSentire命名為STX RAT。</p> </div></div></div>
4/13 12:21作者周峻佑https://www.ithome.com.tw/news/175007
Amazon調整Luna定位，從遊戲平臺轉向訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.amazon.com/gp/help/customer/display.html?nodeId=TY9Z4zZ7vgVwLA0b7C&linkCode=sl2&tag=schoon0f-20&linkId=578a863db82b5957755260360323cf11&language=en_US&ref_=as_li_ss_tl" target="_blank">Amazon近日宣布</a>，旗下雲端遊戲服務Amazon Luna自2026年4月10日起，停止提供第三方遊戲商店、單獨購買遊戲（A-la-carte）以及第三方訂閱服務，全面轉向以訂閱制為核心的內容服務。</p> <p>2020年推出的Amazon Luna<a href="https://www.ithome.com.tw/news/140195" target="_blank">最初定位</a>為一個整合內容與通路的雲端遊戲平臺，試圖同時扮演遊戲商店、訂閱服務與發行通路的角色，不僅提供自有訂閱Luna+，也引入Ubisoft+、Jackbox等發行商頻道，並支援單獨購買遊戲與「Bring Your Own Library」（BYOL）功能，讓用戶可連結EA、Ubisoft與GOG帳號，在同一平臺上管理與遊玩不同來源的遊戲。</p> <p>此次調整自4月10日起生效，Amazon已關閉單獨購買遊戲的功能，並停止新增Ubisoft+與Jackbox Games等第三方訂閱服務。BYOL功能將於6月3日停用；已單獨購買的遊戲則可遊玩至2026年6月10日，屆時將從平臺上移除，用戶可在90天內下載備份。</p> <p>簡單地說，Amazon Luna將移除所有第三方服務，只剩自有訂閱服務，包括納入Prime會員的Luna Standard，以及主力付費方案Luna Premium。</p> <p>Amazon指出，此次調整是為了簡化服務體驗，並將重心放在為Prime會員與訂閱用戶提供持續更新的遊戲內容，未來將主推Luna Premium訂閱方案，提供無須單獨購買即可遊玩的遊戲庫。不過，外界分析指出，Luna過去整合平臺、銷售與訂閱的架構提高了使用與營運複雜度，也限制其擴張能力，因此最終轉向以訂閱為核心的單一商業模式。</p> <p>回顧這波雲端遊戲浪潮，微軟、Google與Amazon幾乎在同一時間點燃戰火。微軟在2019年發表<a href="https://www.ithome.com.tw/news/133621" target="_blank">Project xCloud</a>，隔年便將其<a href="https://news.xbox.com/en-us/2020/07/16/players-first-you-are-the-future-of-gaming/" target="_blank">併入</a>Xbox Game Pass，並依附Game Pass生態持續擴展。Google則在2019年高調推出<a href="https://www.ithome.com.tw/news/133630" target="_blank">Stadia</a>，砸重金自製硬體與獨家內容，卻始終未能打開市場，最終在2022年黯然<a href="https://www.ithome.com.tw/news/153375" target="_blank">關閉</a>。Amazon的Luna則從試圖整合商店、訂閱與發行的全方位平臺，轉型成一個專注於訂閱的串流服務。</p> <p> </p> </div></div></div>
4/13 12:31作者陳曉莉https://www.ithome.com.tw/news/175008
CoreWeave與Anthropic簽署多年合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI雲端基礎設施業者<a href="https://www.coreweave.com/news/coreweave-announces-multi-year-agreement-with-anthropic" target="_blank">CoreWeave週四（4/10）宣布</a>，已與AI公司Anthropic簽署多年合作協議，將支援其Claude系列模型的開發與部署。根據外電報導，這是Anthropic首度採用CoreWeave算力，顯示其正積極引進新的算力來源。</p> <p>成立於2017年、以加密貨幣挖礦起家的CoreWeave，之後轉型為提供GPU為核心的AI雲端基礎設施，並吸引Nvidia入股，已於2025年登上美國那斯達克股市。</p> <p>根據雙方的協議，Anthropic將透過CoreWeave雲端平臺運行生產等級工作負載，並利用其高效能與高可靠性的基礎設施，加速模型推理與實際應用落地。相關算力資源預計於今年稍晚分階段上線，雙方亦保留未來擴大合作的空間，但未揭露具體金額。</p> <p>CoreWeave指出，隨著Anthropic加入，其平臺已涵蓋全球前10大AI模型供應商中的9家。</p> <p>目前已知採用CoreWeave平臺的業者包括微軟、<a href="https://www.ithome.com.tw/news/167789" target="_blank">OpenAI</a>與<a href="https://www.ithome.com.tw/news/174992" target="_blank">Meta</a>等。其中，<a href="https://www.sec.gov/Archives/edgar/data/1769628/000119312525044231/d899798ds1.htm" target="_blank">微軟</a>在2023及2024年都是CoreWeave最大客戶，這兩年分別占CoreWeave營收的35%及62%，但CoreWeave在2025年的財報則未公布客戶營收比重。</p> <p>至於Anthropic則被外界視為OpenAI的主要競爭對手，近來亦積極鞏固算力供應，透過多元合作分散基礎設施來源，以支撐模型快速成長。</p> <p>其中，Amazon Web Services（AWS）為其主要雲端與模型訓練夥伴，負責核心算力基礎；此外，<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic</a>亦與Google及Broadcom合作導入TPU等晶片資源，並進一步引入CoreWeave等新型AI雲供應商，持續擴展其算力來源。</p> </div></div></div>
4/13 11:25作者陳曉莉https://www.ithome.com.tw/news/175005
網釣平臺Venom活動升溫，駭客用於對高階主管發動攻擊，意圖竊取微軟帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>基本上，網路釣魚工具通常被用於廣泛、針對大量目標的攻擊行動，不過最近有個專門針對高階主管的活動，引起研究人員的注意。</p> <p>資安公司Abnormal揭露<strong><a href="https://abnormal.ai/blog/venom-phishing-campaign-mfa-credential-theft">網路釣魚服務平臺（PhaaS）Venom</a></strong>，並指出相關攻擊活動從2025年11月至2026年3月期間升溫，駭客系統性針對全球重要組織的執行長、財務長等高階主管，假借SharePoint檔案共用的通知，並以財務報告的誘餌引誘收信人掃描QR Code。值得留意的是，駭客根據姓名挑選下手目標，有六成是總裁或C級主管，攻擊的範圍橫跨超過20個產業。</p> <p>針對這波攻擊的流程，駭客通常會使用遭到入侵的商業電子郵件帳號，寄送聲稱是SharePoint檔案共用的通知，並提供QR Code供收信人掃描。</p> <p>除了使用針對性的電子郵件，駭客也加入多種迴避偵測的機制，例如，他們為了因應特徵碼的偵測機制，這些釣魚信都包含獨有的HTML元素，這些元素的數值在每次寄信時都會隨機變化，確保所有釣魚信不會出現相同的雜湊值或是特徵字串。這些駭客注入的特徵，涵蓋了13種假的CSS樣式表類別與元素ID。</p> <p>在信件內文之外，HTML程式碼還包含5個電子郵件的對話串，並與另一個隨機生成的人物進行對話，內容可能是會議提案或假的財務表單，使其看似正常的企業信件往來。</p> <p>一般來說，許多的QR Code都是以圖片產生，但前述提及的QR Code並非如此，它是由Unicode字元組成，避免檢測郵件圖片是否為QR Code的工具察覺異狀。使用QR Code最重要的目的在於，讓收信人改用個人的行動裝置存取，而這些裝置往往不會受到企業的資安系統監控與管理。</p> <p>一旦收信人掃描QR Code，駭客就會先透過假的驗證工具過濾使用者身分，檢查使用者代理字串（User Agent），藉此排除資安公司、無頭瀏覽器、雲端服務供應商、滲透測試工具等。駭客也搭配IP位址即時聲譽檢測工具、蜜罐陷阱（Honeypot），目的是捕捉自動化工具與看不見的網頁元素互動的情形。</p> <p>在成功確認是攻擊目標後，駭客就會將他們導向AI生成的企業網站，進行對手中間人攻擊（AiTM）或裝置驗證碼攻擊，藉此騙取收信人的微軟帳號。</p> </div></div></div>
4/13 10:36作者周峻佑https://www.ithome.com.tw/news/175003
美國CIA準備在內部所有分析平臺整合AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<a href="https://www.politico.com/news/2026/04/09/cia-ai-intelligence-analysis-00865893" target="_blank">Politico</a>與<a href="https://cointelegraph.com/news/cia-ai-co-workers-help-intelligence-analysts" target="_blank">Cointelegraph</a>的報導，美國中央情報局（Central Intelligence Agency，CIA）副局長Michael Ellis在上週的一場演講上透露，CIA已利用AI來完成史上首份自主情報報告，且未來將把AI整合到該機構的所有分析平臺上。</p> <p>CIA為美國負責對外情報的核心機構，主要任務是蒐集與分析全球政治、軍事與經濟資訊，提供給總統與國安決策使用；它也會執行秘密行動，在海外影響局勢；不同於FBI，CIA並不負責國內執法，而是專注於海外情報與戰略。</p> <p>Ellis說，CIA已利用AI建立了史上首份自主情報報告，該機構在未來幾年將會把AI整合到內部所有分析平臺中，以協助分析人員完成基本任務，包括草擬關鍵判斷、檢驗結論，以及自所蒐集的資料中發現趨勢等。他還預測未來AI可能在情報產出中扮演更廣泛的角色，不過CIA將會確保關鍵決策仍由人類主導。</p> <p>其實CIA也已於300個專案中測試了AI，包括利用AI來處理大型資料集、協助翻譯、發布報告，以及辨識間諜。</p> <p>Ellis還在演講中表示，CIA的主要動機是保持領先中國，特別是中國與美國之間在技術創新上的差距已明顯縮小。</p> </div></div></div>
4/13 11:01作者陳曉莉https://www.ithome.com.tw/news/175004
法國計畫將部份公部門Windows電腦改成Linux，使用開源IT軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.numerique.gouv.fr/sinformer/espace-presse/souverainete-numerique-reduction-dependances-extra-europeennes/" target="_blank">法國政府上週宣布</a>，為減少在資訊科技對美國科技公司的依賴，計畫將政府特定部門工作站由Windows改成Linux，也將改用非美國公司開發的數位工具。</p> <p>在法國總理近期發布指示下，跨部會數位總局（DINUM）上週與法國企業總局（DGE）、國家資訊系統安全局（ANSSI）及國家採購總局（DAE）舉行跨部會會議，以確保數位主權。法國政府計畫結合各部會、大型公共營運機構及民間企業資源，推動使用開源碼與互通標準（如Open-Interop、OpenBuro等），減少對非歐洲技術的依賴。</p> <p>這是法國推動數位主權的最新宣布。一月<a href="https://www.ithome.com.tw/news/173633" target="_blank">法國宣布</a>在2027年前，於所有國家機關全面以Visio取代微軟Teams和其他美國視訊工具如、Zoom、GoTo Meeting或Webex等。</p> <p>在此大目標下，DINUM也將於6月協調一項跨部會計畫。每個部會（包括其所屬機構）須在秋季前制定自身計畫，涵蓋工作站、協作工具、防毒系統、人工智慧、資料庫、虛擬化與網路設備，以確保可供國家採購。</p> <p>公務機關工作站方面，DINUM已宣布將淘汰Windows，改用Linux-based工作站。在其他單位中，則有法國國家健保基金（NHF）本月初宣布8萬名員工遷移至法國開發的工具，如即時通訊工具Tchap、視訊會議工具Visio及大檔案傳輸工具FranceTransfert。上個月法國政府也宣布將在2026年底前，將法國健康資料平臺搬移到「可信賴」解決方案。</p> <p>Tchap、Visio和FranceTransfert是<a href="https://beta.gouv.fr/startups/suite-numerique.html" target="_blank">DINUM開發</a>的法國主權生產力套件La Suite的一部份。其他還包含檔案協同平臺Fichiers、語音會議軟體Audioconf、郵件及同步平臺Messagerie＋OpenExchange等。整個平臺架在法國IT業者Dassault子公司Outscale的基礎架構上。到2026年4月，La Suite已有法國政府用戶超過4萬人試用過。</p> <p>不過法國政府並未指定使用哪個發行版Linux，而各部會也可以自由選擇升級方法。</p> <p>法國政府IT遷移行動反映在美國總統川普上任後，尤其是去年強徵關稅，歐洲感到數位自主的重要性。除了法國外，<a href="https://www.theregister.com/2025/10/15/schleswig_holstein_open_source/" target="_blank">德國</a>北部Schleswig-Holstein省也於去年宣布計畫換掉微軟Exchange Server和Outlook，改用Open-Xchange和Mozilla Thunderbird，涉及4萬帳號。</p> </div></div></div>
4/13 08:47作者林妍溱https://www.ithome.com.tw/news/175000
微軟簡化Windows Insider方案，使頻道轉換及功能取得更為簡便
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟持續改進Windows用戶的觀感，本週針對正式版Windows Insider方案（Windows Insider Program,WIP）<a href="https://blogs.windows.com/windows-insider/2026/04/10/improving-your-windows-insider-experience/" target="_blank">宣布多項變革</a>，包括合併Canary和Dev頻道、以更簡明方式顯示新功能，以及讓使用者更容易在不同頻道切換。</p> <p>微軟幾個月前和Windows Insider社群互動蒐集使用者意見，歸結有二大點抱怨，一是使用者不知該加入哪個頻道，以及加入後不容易轉換頻道。二是使用者難以找到微軟新釋出的功能。</p> <p><strong>合併Canary、Dev為Experimental頻道</strong></p> <p>微軟宣布多項措施來解決上述問題。首先，微軟將整合Beta前的Canary和Dev頻道為新的Experimental（實驗）頻道，這命名意味著其中的Windows功能可能改變、延遲或取消。而Beta和Release Preview頻道命名則維持不變。</p> <p>大部份使用者就是在Beta或「Experimental/實驗」頻道之間選擇切入，但是針對想更深入的用戶，微軟將加入進階選項以選擇和硬體相容的Windows核心版本。大部份用戶會在25H2或26H1中看到這進階選項。此外，「Experimental」頻道未來也會加入「Future Platforms」選項，提供給想搶先了解Windows新功能的用戶，這將是Windows最早的預覽版。不過它和零售版Windows並沒有對齊，之後轉換較麻煩，微軟建議只是想使用新功能的人不要安裝這個版本。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0413-Future%20Platforms.png" style="width: 450px;" /></p> <p>一直以來使用者常找不到Windows中的功能，許多人會用開源命令列工具Vive Tool來解鎖、啟用或停用Windows 10/11系統中隱藏的實驗性功能（A/B功能）。針對Insider用戶找不到新功能的問題，微軟解釋這是受控功能部署（controlled feature rollout）的緣故，是為了降低新功能衝擊的產業標準作法。</p> <p><strong>加速尋找新功能</strong></p> <p>為了解決用戶困擾，微軟部署了二個新措施。其一，Beta版雖然命名不變，但Beta版新功能將不再以多個版本漸次部署，以免使用者得知某功能卻找不到；未來微軟宣布某個功能包含在Beta釋出，使用者就一定能找到，只是新功能各版本會略有不同。第二項措施是在「Experimental」版「設定」中加入新的「功能（Feature）」flag頁，讓使用者可以開、關特定功能。這一頁只會顯示較大的新功能，而像修補程式和系統更新就不會出現在這。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0413-windows%20insider-Feature%20flags.png" style="width: 450px;" /></p> <p><strong>簡化頻道轉換</strong></p> <p>用戶對Windows測試版的另一抱怨是想離開Insider方案，或只是想加入其他頻道，都需要刪除PC軟體，再全新安裝（clean install）Windows，非常不方便。為此，微軟做了底層變更，讓Insider版本可以用就地升級（in-place upgrade，IPU）工具在同一Windows核心的Experimental、Beta和Release Preview頻道間轉換，但不必全新安裝。微軟說IPU只比普通升級耗時稍久一點。</p> <p>但由於Experimental Future Platforms和零售版不對齊，因此轉換到其他頻道或推出Insider方案仍然需要全新安裝。</p> <p>最後，微軟也改版了Windows Insider Program設定頁，使其下載更快，版面更清爽，簡化用戶步驟和重開機次數。</p> <p>上個月，微軟也為了回應用戶批評微軟Copilot塞進Windows的作法，<a href="https://www.ithome.com.tw/news/174574" target="_blank">發表</a>改善Windows 11品質的措施，包括縮減Copilot在Windows整合幅度、減少Windows Update帶來的干擾、以及提供最多人想要的垂直工作列。</p> </div></div></div>
4/13 08:57作者林妍溱https://www.ithome.com.tw/news/175001
Gmail全程加密擴展到企業客戶的Android、iOS App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在桌機版推出2年後，<a href="https://workspaceupdates.googleblog.com/2026/04/gmail-end-to-end-encryption-now-available-on-mobile-devices.html" target="_blank">Google上週宣布</a>將Gmail全程加密（end-to-end encryption，E2EE）由桌機版推向Android和iOS裝置。不過能享受者僅限訂閱付費版Workspace的企業用戶。</p> <p>Google首先在2025年4月透過Workspace方案，為桌機版Gmail<a href="https://www.ithome.com.tw/news/168220" target="_blank">加入</a>S/MIME全程加密。現在Google將這項功能透過Workspace Enterprise Plus with Assured Controls版本，或是Assured Controls Plus擴充程式，推向Android及iOS手機上的Gmail用戶端加密（client-side encryption，CSE）功能。</p> <p>在此之後，用戶就可以在手機版Gmail App原生讀寫E2EE加密訊息，不需額外下載其他App或使用郵件入口網站。具有E2EE授權的用戶可以撰寫並發送加密的信件給任何用戶，不論對方有沒有Gmail。如果收件者有Gmail App，可以像平常一樣收取信件。若他們沒有Gmail App，也可以在既有瀏覽器上收信並回覆，不論是用哪種裝置或是不是用Gmail。這項新功能結合加密技術及友善介面，讓所有小型企業、大型企業、或是公部門用戶都能簡單上手安全收、發信件。</p> <p>現在手機版Gmail全程加密功能已提供給Workspace企業用戶。管理員須在CSE管理員介面啟用Android和iOS用戶端。而終端用戶若想在任何訊息加入用戶端加密，需先點選Gmail介面的鎖頭圖示、選擇額外加密。之後就能像平常一樣寫郵件和增加附件。</p> <p>Google未說明全程加密功能會不會推向消費版或免費版本。以主要郵件程式（如Gmail、Outlook及Apple iMessage）來看，Gmail是唯一原生支援的服務。蘋果Apple Mail和微軟Outlook都內建S/MIME，但蘋果用戶需要自行申請數位憑證，微軟Outlook與Apple Mail類似，需要依賴企業內部的Microsoft Purview或是個人自行申請S/MIME憑證。一般個人用戶也尚沒有「一鍵加密」的原生功能。若看通訊程式，Meta WhatsApp以支援E2EE聞名。Google Messages（簡訊/RCS）及Apple iMessage完全原生支援E2EE。微軟Teams則只有1對1語音通話原生支援（文字通訊沒有）。</p> </div></div></div>
4/13 09:19作者林妍溱https://www.ithome.com.tw/news/175002
Adobe揭露與修補Acrobat Reader零時差漏洞，建議用戶72小時內完成更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p style="margin-left:.05pt;">本週二Acrobat Reader爆出<strong><a href="https://www.ithome.com.tw/news/174963">零時差漏洞</a></strong>的消息，<strong><a href="https://pub.expmon.com/">資安漏洞濫用偵測系統EXPMON</a></strong>的創辦人李海飛（Haifei Li）表示，他發現鎖定這套軟體平臺的PDF漏洞濫用攻擊，當中利用Adobe尚未揭露與修補的漏洞，而且在Adobe Reader的最新版本26.00121367，仍然有效，隔天又有人向其回報新的變種攻擊樣本，並確認該樣本去年底就出現在線上資安檢測服務VirusTotal，顯示此項漏洞濫用威脅已持續4個月以上，引發資安界關注。</p> <p style="margin-left:.05pt;">4月11日Adobe發布<strong><a href="https://www.adobe.com/devnet-docs/acrobatetk/tools/ReleaseNotesDC/index.html">預先排定計畫的Acrobat Reader安全性修補公告</a></strong>，揭露漏洞編號為CVE-2026-34621，CVSS嚴重度評分為9.6分，屬於重大漏洞，問題出在對物件原型屬性的修改管理不當，被歸類為原型汙染（Prototype Pollution）類型的弱點，影響的產品包括早於26.001.21367版的 Acrobat DC與Acrobat Reader DC，以及早於24.001.30356版的Acrobat 2024。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Adobe Acroba Reader Vulnerability Details-2026-04-11.png"><img alt="" src="/sites/default/files/images/Adobe%20Acroba%20Reader%20Vulnerability%20Details-2026-04-11.png" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">值得注意的是，在這份編號為APSB26-43的公告中，Adobe警告CVE-2026-34621已經廣泛遭到濫用，並在最後註明此漏洞的通報與修補合作對象正是Haifei Li與EXPMON，間接證實CVE-2026-34621就是本週受熱議的Acrobat Reader零時差漏洞，李海飛也在職場社群網站<strong><a href="https://www.linkedin.com/posts/haifeili_adobe-security-bulletin-activity-7448748671820775424-SR5N?utm_source=share&utm_medium=member_desktop&rcm=ACoAABO49rEB_XcR5tLyq9lkQKvasoroFrBEYzI">LinkedIn貼文</a></strong>確認此事。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Adobe Acrobat Reader-Update Before.jpg"><img alt="" src="/sites/default/files/images/Adobe%20Acrobat%20Reader-Update%20Before.jpg" style="width: 600px;" /></a></p> <p style="margin-left:.05pt;">若要修補這個漏洞，Acrobat DC與Acrobat Reader DC須更新至26.001.21411版，Acrobat 2024的Windows版本須更新至24.001.30362版，macOS版本須更新至24.001.30360版。值得注意的是，Adobe將此次安全性更新優先度定為第一級，建議系統管理者在72小時內完成。若是一般使用者，可在電腦開啟Acrobat或Acrobat Reader主選單的說明，選取「檢查更新」，即可進行相關程序。</p> <p style="margin-left:.05pt;"><a href="/sites/default/files/images/Adobe Acrobat Reader-Update After.jpg"><img alt="" src="/sites/default/files/images/Adobe%20Acrobat%20Reader-Update%20After.jpg" style="width: 600px;" /></a></p> </div></div></div>
4/12 01:30作者李宗翰https://www.ithome.com.tw/news/174998
攔阻影子AI有道！SailPoint提供基於瀏覽器外掛的企業管理框架
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/sair_dashboard_screenshot-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了提高工作效率，越來越多人在企業管理的環境當中，使用各種生成式AI服務，然而，也因此經常發生所謂的「影子AI」，也就是員工未獲得IT部門的許可而擅自使用AI，由於資安人員無法知曉他們如何與AI平臺互動，導致出現管理的盲點與失去狀態掌控的能力，針對這樣的管理需求，專攻身分治理解決方案的資安廠商SailPoint，<strong><a href="https://www.sailpoint.com/press-releases/sailpoint-launches-shadow-ai-remediation">今年3月下半宣布推出SailPoint Shadow AI Remediation（SAIR）</a></strong>，提供即時AI治理與安全性框架，因應員工未經授權使用AI工具的行為，提供持續探查、監督與防護機制，協助緩解AI應用急速成長帶來的安全性與法規遵循風險。</p> <p>在防護架構上，SAIR提供多個層級的處理，一是身分平臺（Identity provider，IdP）的連接與整合，能夠凸顯身分驅動的存取與AI的採用狀況；一是部署至各種端點設備的瀏覽器外掛或延伸套件（plugins / extensions），以便更就近偵測實際的AI應用模式、已安裝的AI平臺瀏覽器外掛、與多種AI服務的互動狀況；綜整身分、應用系統、端點等環境的資訊，建立統一的AI用量資產概觀。</p> <p>因此，基於上述組成方式，SAIR能識別多個面向的AI使用狀況。在身分平臺的整合上，SAIR透過單一登入整合（SSO）與企業身分管理系統，掌握企業員工連接的AI應用系統存取狀況；另一個是瀏覽器與瀏覽器外掛，SAIR可偵測員工經由網站應用程式存取，以及直接從各大AI網站服務存取的AI工具，也能識別AI平臺提供的瀏覽器外掛，涵蓋用於執行AI代理人的延伸套件。</p> <p>簡而言之，這套解決方案能更直接展現企業影子AI的使用現況，即時呈現員工如何運用AI工具，例如<strong><a href="https://www.sailpoint.com/blog/sailpoint-shadow-ai-remediation?blaid=8485090">追蹤與監督員工將文件上傳至ChatGPT、Claude、Gemini的活動，以及與這些一般使用者常用AI工具互動的頻率，</a></strong>了解員工可能在不知情的狀況下，將機密資料上傳至不被允許使用的AI模型進行處理，立即掌握員工以何種方式運用企業無法監控的AI工具，藉此透視敏感資料外洩的重大風險。</p> <p><a href="/sites/default/files/images/SAIR-image-20260218-071848.jpg"><img alt="" src="/sites/default/files/images/SAIR-image-20260218-071848.jpg" style="width: 600px;" /></a></p> <p>SAIR目前可涵蓋哪些AI應用？SailPoint<strong><a href="https://developer.sailpoint.com/discuss/t/new-capability-shadow-ai-remediation-sair/199704">列出5大情境</a></strong>，分別是：文字內容產生與透過提示操作的AI工具、行銷與內容自動化處理平臺、筆記整理與生產力AI工具、銷售與顧客推廣AI工具、AI代理人框架與自動化處理延伸套件。</p> <p>突顯可能的資安問題、消除員工使用AI的管理盲點之後，企業資安團隊也能透過SAIR自動阻擋未經授權的檔案上傳、將使用者重新導向至企業批准使用的安全AI工具，或是出現提示，要求員工提供業務必須使用這些AI的理由，藉此在AI驅動的當代IT環境中，透過提供即時矯正的方式，主動預防員工誤用企業不允許的AI服務，減少資安防護的間隙，推動合乎規範的AI應用。</p> <p>關於影子AI的矯正與治理，SAIR目前內建4大功能。首先是即時介入AI工作流程，一旦偵測到員工正在使用未經授權的AI工具，SAIR就會觸發這項攔阻機制；其次是提供面向使用者的自動化處理腳本，SAIR能在員工使用AI的過程，即時指引他們遵循企業訂定與許可的規範；若使用者嘗試存取企業不允許的AI服務，SAIR可將網頁重新導引至企業授權使用的AI工具；可透過不同政策強制實施，支援教育訓練、風險降低、行為異動等多種管制情境，而不會犧牲員工生產力。</p> <p>而在實際的系統建置方式上，SAIR目前可經由微軟Intune、Jamf這類統一端點管理系統（UEM），將SailPoint提供的專屬瀏覽器外掛元件大量部署到員工的電腦與行動裝置，達到集中管理多臺端點設備的目的，企業不需要為此更新網路環境或IT基礎架構，也能在不影響終端使用者體驗的狀況下，設置適當的安全防護措施。</p> <p><a href="/sites/default/files/images/SAIR dashboard screenshot.jpg"><img alt="" src="/sites/default/files/images/SAIR%20dashboard%20screenshot.jpg" style="width: 600px;" /></a></p> <p>SailPoint表示，透過SAIR的推出，他們想要展現企業可經由以平臺為中心（platform-centric）的方式，透過身分、資料、資安情報的即時統合，將人員身分與非人員身分連結起來，控制員工對於AI的使用，SAIR正是基於這個原則而建立的AI治理與安全框架，希望協助企業不只是藉此掌控影子AI現況，也能有效治理這類風險。</p> <p>SAIR的出現，也補足SailPoint即時治理與資安的能力，在統合AI代理身分安全、機器身分安全、資料存取安全之餘，也能搭配SAIR，將AI工具用量的狀態掌握能力，整合到SailPoint的Identity Security Cloud平臺，充實企業的身分圖學資料，增添重要的前後文脈絡，針對強化AI安全提供更廣泛的方式，提升企業的存取與資安風險決策能力。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">SailPoint Shadow AI Remediation</span><br /> ●原廠：SailPoint<br /> ●建議售價：廠商未提供<br /> ●受保護的個人電腦：Windows、macOS<br /> ●個人端部署方式：使用行動裝置管理系統（Microsoft Intune、JumpCloud、Jamf Pro、Omnissa Workspace ONE UEM）、集中管理平臺（Microsoft SCCM、群組原則）、PowerShell（範本、自我簽署），大量部署Edge或Chrome瀏覽器外掛<br /> ●整合的身分系統：Microsoft Entra ID、Okta、OpenID Connect（OIDC）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
4/11 14:38作者李宗翰https://www.ithome.com.tw/review/174894
Node.js宣布不再提供抓漏獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名漏洞懸賞平臺HackerOne<strong><a href="https://hackerone.com/ibb/policy_versions?change=3771829">近日宣布</a></strong>，由於AI輔助漏洞挖掘提升覆蓋範圍與發現的速度，使得開源生態圈出現改變：漏洞發現與漏洞修復的平衡被打破了，自3月27日開始，網際網路漏洞懸賞專案（Internet Bug Bounty，IBB）將不再受理新漏洞提交，這樣的情況很快影響到開源專案。</p> <p><strong><a href="https://nodejs.org/fr/blog/announcements/discontinuing-security-bug-bounties">Node.js發布公告指出</a></strong>，由於IBB暫停，他們向通報漏洞的人士發出獎賞的資金來源因此中斷，由於Node.js是由自願參與的人士發起的專案，未有專屬預算能供應漏洞懸賞使用，因此在沒有其他外部經濟援助的情況下，他們將不會為漏洞通報者提供獎勵。</p> <p>雖然不再提供獎金，不過Node.js開發工程團隊強調現有的漏洞通報流程並未改變，他們還是歡迎研究人員通過HackerOne通報漏洞，並承諾仍以相同程度的重視維護Node.js安全，他們仍會優先處理，漏洞揭露政策、回應時間，以及發布修補程式的流程並未調整。</p> <p>IBB自2012年開始運作，背後由多家軟體公司提供漏洞懸賞獎金，目前已發出超過150萬美元獎勵通報者。IBB有80%的資金用於發現新漏洞，其餘20%用於支援漏洞修補工作。</p> <p>Node.js對於IBB的金援依賴，在開源資安領域相當普遍，許多重要專案未有專門的漏洞懸賞預算，而是像Node.js一樣依賴外部資金。</p> <p>針對HackerOne與Node.js近日的公告，<a href="https://socket.dev/blog/node-js-drops-bug-bounty-rewards-funding-dries-up">資安公司Socket指出</a>，在IBB停止金援之前，Node.js已經不斷調整漏洞懸賞專案的運作方式，導入更嚴格的通報要求，原因是提供獎金的做法會出現大量無效的通報內容，開發工程團隊必須花費大量心力過濾，對該專案的志工造成了嚴重的負擔。</p> <p>值得留意的是，Node.js並非唯一因為AI抓漏而受到衝擊的開源專案。例如，<strong><a href="https://www.ithome.com.tw/news/173546">今年1月Curl宣布終止漏洞懸賞專案</a></strong>，原因是AI生成的漏洞通報過於浮濫。</p> </div></div></div>
4/10 18:18作者周峻佑https://www.ithome.com.tw/news/174996
以資安打造企業永續基石，Fortinet談AI與資安如何打造低碳、可信任的數位轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在企業加速數位轉型與淨零壓力同步升溫的當下，資安不再只是防禦工具，而逐漸成為支撐永續發展的關鍵基礎。Fortinet工控資安產業發展總監陳心怡在2026數位永續高峰中指出，在AI與ESG交會時代，沒有資安，就沒有真正的轉型，企業如果忽略資安，數位與永續轉型發展都可能失去根基。</p> <p><span style="color:#B22222;"><strong>資安成為永續轉型的「必要條件」</strong></span></p> <p>隨著企業將資料、系統與營運全面上雲，或是將數據提供給AI，資料的流動與系統連結大幅擴張，也使得攻擊面同步放大。陳心怡強調，數位化與AI發展仰賴大量資料交換、交握，這些資料若缺乏安全保護，不僅影響企業營運的穩定，更可能破壞企業在永續治理（ESG）積累的信任基礎。</p> <p>企業若沒有建立完善資安機制，她直言，數位轉型只會停留在表面的優化，難以真正達到長期永續。以能源、電網、交通等關鍵基礎設施為例，資安關係到關鍵基礎設施的營運韌性與社會穩定，為永續治理中不可或缺的一環。</p> <p><strong><span style="color:#B22222;">AI x資安，從被動防禦走向主動治理</span></strong></p> <p>面對日益複雜的威脅環境，AI正快速成為資安核心能力。陳心怡(下圖)指出，導入AI後，資安系統可大幅提升偵測與回應效率，例如提升攻擊偵測與回應速度、提升威脅分析效率達數倍、即時處理海量的資安事件。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-10%20%E4%B8%8B%E5%8D%883_29_40(1).jpeg" style="width: 600px; height: 469px;" /></p> <p>這些是傳統上仰賴人力難以做到的，從實務經驗來看，AI能在極短時間內分析大量資料並給出判斷，使資安從過去仰賴人工判讀，轉為即時、自動化決策機制。以Fortinet的威脅情報體系為例，每天需處理數以億計的攻擊數據，若沒有AI輔助幾乎無法運作。</p> <p>同時，AI也帶來雙面刃效應，駭客同樣利用AI強化攻擊能力，使威脅自動化、擴大規模與精準度，進一步突顯企業導入AI資安的必要性。</p> <p><span style="color:#B22222;"><strong>平臺化與整合架構，兼顧資安與低碳</strong></span></p> <p>Fortinet也分享自己怎麼實踐永續, 例如設定2030年達成碳中和的目標，建築透過綠建築認證、推動科學基礎減碳目標（SBTi）及培育百萬資安人才等等。</p> <p>Fortinet這幾年推動平臺化的資安架構，將不同安全功能整合於單一平臺，降低系統複雜度與能源消耗。</p> <p>陳心怡指出，這種整合模式帶來三大效益，減少設備與人力成本、降低整體能耗與碳排、提升管理效率與營運韌性。她強調，平臺化不只是技術選擇，也是實現「可持續數位轉型」的重要手段。</p> <p><span style="color:#B22222;"><strong>從產品設計到碳管理，資安導入ESG</strong></span></p> <p>在產品層面，Fortinet透過自研ASIC晶片，提升效能的同時降低能耗與延遲，打破高效能和高耗能間的傳統既定印象。</p> <p>此外，產品從原料、生產到使用階段皆進行碳足跡盤查，讓企業在採購設備時，即可掌握相關碳排數據，作為碳管理與申報依據。陳心怡透露，已有企業因導入相關解決方案，在永續評比中獲得加分。</p> <p>Fortinet也將AI導入其資安架構（Security Fabric），讓AI不只是外掛工具，更內建於整體系統中。這種設計讓企業在面對海量資料與威脅時，能同時兼顧效率、安全與永續。</p> <p>她認為，有資料才有AI，但沒有資安，就沒有有效的AI。如果企業遭到入侵，資料遭竄改或外洩，AI分析結果將會失去可信度，對企業的決策產生影響。</p> <p>最後，她認為在AI與淨零浪潮下，企業考量資安不應該只是成本議題，也應該視其為永續競爭力的一部分。未來的數位轉型須建立在安全、可信且低碳的基礎上，才能真正實現長期價值。</p> </div></div></div>
4/10 18:37作者蘇文彬https://www.ithome.com.tw/news/174995
數發部規畫推動國內綠色軟體標章制度，助攻企業實賤永續，也助台廠打入國際綠色供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>「未來的系統設計不只是看效能，也必須看碳排。」數發部數位國際司長莊盈志在今天(4/10)舉行數位永續高峰會上說。他表示，隨著數位科技與淨零轉型交錯發展，軟體本身的碳排放正受到更多的關注，逐漸成為企業與政府無法忽視的新課題。</p> <p>他表示，過去企業在評估資訊系統時，多半聚焦於「功能好不好用、效率高不高」，但現在還必須進一步思考：「這套系統是否低碳、是否具備環境友善特性」。</p> <p>這樣的轉變來自於國際上的數位發展逐漸重視「綠色軟體」。</p> <p><span style="color:#B22222;"><strong>從國際趨勢看綠色軟體制度化</strong></span></p> <p>綠色軟體逐漸受到重視，莊盈志歸納出和當前全球的四大趨勢有關，即政策化、標準化、平臺化與產業化。其中在政策化方面，COP會議將數位科技的環境衝擊納入議程，使得數位基礎設施從過去被視為減碳的工具，自身的碳排也成為法規和治理的對象。</p> <p>另一個關鍵的原因是標準的建立。</p> <p>他提到，2024年國際已發布相關標準，如ISO/IEC 21031，這是一項針對軟體碳強度（Software Carbon Intensity, SCI）的國際標準規範，讓軟體的碳排放「開始變得可量測、可比較，也能被納入決策」。這意味著，未來企業在採購或導入系統時，「碳排將與成本、效能並列為重要指標」。</p> <p>同時，國際大型科技企業也已積極投入，包括主要的雲端平臺提供碳排分析工具，產業化方面，企業及政府將綠色軟體納入企業採購規範，或對供應鏈提出要求。</p> <p><span style="color:#B22222;"><strong>軟體成為減碳新戰場</strong></span></p> <p>莊盈志指出，隨著AI與雲端運算快速成長，資料中心耗電量正大幅攀升，軟體帶來的碳排問題愈發顯著。</p> <p>根據IEA在2024年預測，到2030年的時候全球資料中心的用電會成長大概1倍左右。在AI增加資料中心用電成長的趨勢下，軟體運算已成為企業成本與碳管理的新熱點，軟體本身也應被納入碳管理範疇。</p> <p>綠色軟體涵蓋：用更少的能源完成同樣的服務、用更少的資源支撐同樣的需求，在更低碳的時間與地點進行運算。</p> <p><span style="color:#B22222;"><strong>臺灣推動標章制度：從自願到採購誘因</strong></span></p> <p>面對國際壓力與趨勢，國內也開始規劃制度化推動。莊盈志透露，數發部正研議建立「綠色軟體標章制度」，搭配分級機制，引導產業逐步導入。</p> <p>數發部去年舉辦2次座談會，提出「綠色數位服務藍圖」初步構想，包括建立綠色軟體國家標準與驗證能量、推動自願性綠色軟體標章，同時納入綠色採購、推動自願性綠色軟體與數位服務憑證、完善綠色數位服務人才培育機制，以及接軌國際最新技術。</p> <p>他說明，標章制度的核心目的是，讓企業投入綠色軟體後「被看見」，並進一步轉化為市場競爭力。當企業投入綠色軟體或是綠色軟體做得更好時，不只會被大家看見，也會讓企業有更大的誘因因此被納入採購裡，影響企業的商機與在供應鏈的地位。</p> <p>該制度在設計上將採「由自願走向制度化」的策略，初期以鼓勵參與為主，逐步建立在地化的碳盤查、驗證與查核機制，最終與國際標準接軌。</p> <p><span style="color:#B22222;"><strong>讓綠色軟體可被衡量</strong></span></p> <p>他進一步說明，企業應如何評估軟體碳排，應從三個步驟開始，首先盤查基準線，找出高耗能或高運算的系統，其次是建立管理指標，將碳排與成本、效能一起納入決策，最後是優化熱點場景，從低風險、高可見度的應用先行改善</p> <p><img alt="" src="/sites/default/files/images/20260410_094756.jpeg" style="width: 600px; height: 380px;" /></p> <p>而分級制度的目的，正是讓企業能從初階逐步提升，從單一場景優化，走向全面性的綠色軟體治理。</p> <p><span style="color:#B22222;"><strong>臺灣從制度、產業與工具三軌並進</strong></span></p> <p>展望下一步，莊盈志指出，臺灣推動綠色軟體將從三大面向著手：制度面，建立標章與分級制度，並接軌國際標準；產業面，發揮ICT與軟體優勢，切入全球供應鏈；工具面，發展在地化盤查與管理工具，降低導入門檻。</p> <p>數發部目前已公開綠色軟體參考手冊(草案)，供企業參考，從綠色軟體的核心原則、綠色軟體與AI應用、碳排評估方法到應用情境，協助企業逐步導入綠色軟體。</p> </div></div></div>
4/10 17:29作者蘇文彬https://www.ithome.com.tw/news/174994
【資安日報】4月10日，伊朗駭客鎖定美國關鍵基礎設施發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174965"><strong style="font-size: 22px;">伊朗駭客CyberAv3ngers鎖定曝露在網路上的可程式化邏輯控制器，滲透美國關鍵基礎設施</strong></a></p> <p>美國的FBI、CISA、NSA、環境保護署（EPA）、能源部（DOE），以及網路作戰司令部的網路國家任務部隊（CNMF）等6大機構發布聯合警告，指出伊朗駭客組織CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）正在對美國的關鍵基礎設施（CI）發動攻擊，他們尋找能透過網際網路存取的可程式化邏輯控制器（PLC），這些設備的廠牌包括Rockwell與Allen-Bradley。遭到攻擊的組織，涵蓋政府服務、水資源與廢水處理系統，以及能源產業，自今年3月開始，已有部分受害組織出現營運中斷或財務損失。</p> <p>針對CyberAv3ngers滲透受害組織OT環境的過程，他們通常會利用多個外國IP位址犯案，從網際網路尋找Rockwell與Allen-Bradley製造的PLC設備。這些駭客租用第三方代管基礎設施，部署組態管理軟體，而且，這些設備使用的其中一種組態管理軟體，是Rockwell的Studio 5000 Logix Designer。至於被鎖定的PLC設備，包含CompactLogix與Micro850</p> <p><a href="https://www.ithome.com.tw/news/174976"><strong style="font-size: 22px;">Rockwell未修補的重大漏洞遭鎖定，伊朗駭客CyberAv3ngers用於攻擊可程式化邏輯控制器</strong></a></p> <p>弱點管理解決方案公司Tenable指出，伊朗駭客組織CyberAv3ngers在近期鎖定美國關鍵基礎設施攻擊行動裡，使用已知漏洞CVE-2021-22681滲透Rockwell的PLC裝置，此為憑證保護不夠周延造成的弱點（CWE-522），CISA將其CVSS風險評為滿分10分，非常危險，影響Rockwell旗下多種系統與設備，包括PLC管理軟體RSLogix 5000與Studio 5000 Logix Designer，以及CompactLogix、ControlLogix、GuardLogix、DriveLogix、SoftLogix等控制器設備。CISA於今年3月5日將CVE-2021-22681加入已遭利用的漏洞名冊（KEV），時間點相當吻合。</p> <p>值得留意的是，駭客鎖定此漏洞的原因，很有可能就是Rockwell並未發布修補程式。Tenable提及，Rockwell在公告裡強調，CVE-2021-22681無法直接透過安裝修補程式解決，呼籲用戶應導入國防等級的縱深防禦措施因應。換言之，若是企業組織缺乏相關的資安管控機制，這樣的弱點將會持續存在。</p> <p><a href="https://www.ithome.com.tw/news/174963"><strong style="font-size: 22px;">Acrobat Reader驚傳零時差漏洞，駭客自去年11月就用於針對俄羅斯能源產業</strong></a></p> <p><a href="/sites/default/files/images/Acrobat-10.png" target="_blank"><img alt="" src="/sites/default/files/images/Acrobat-10.png" style="width: 300px; float: right;" /></a></p> <p>研究員Haifei Li於4月7日提出警告，他建置的資安威脅監控系統ExpMon偵測到有問題的PDF檔案，經進一步分析後，判定此漏洞具備收集資料與洩露的能力，攻擊者還能遠端執行任何程式碼（RCE），並進行沙箱逃逸（SBX），當中利用了Acrobat Reader零時差漏洞，此弱點允許攻擊者執行特殊權限的API，影響最新版本的Acrobat Reader。隔天他更新部落格文章內容，指出有人發現新的漏洞利用檔案的變種，值得留意的是，此檔案於去年11月28日就上傳到VirusTotal，代表此零時差漏洞的利用活動已持續長達近半年。</p> <p>另一名資安研究員Giuseppe Massaro（N3mes1s）於4月8日發布完整調查報告，指出他針對兩個利用零時差漏洞的PDF檔案進行分析，結果發現駭客藉此採集受害電腦的系統指紋，將電腦裡的資料傳送到C2伺服器，並下載經AES演算法處理的JavaScript有效酬載並執行。</p> <p><a href="https://www.ithome.com.tw/news/174989"><strong style="font-size: 22px;">Windows零時差漏洞BlueHammer涉及內建防毒軟體更新流程</strong></a></p> <p>資安研究員Chaotic Eclipse於GitHub公布零時差漏洞BlueHammer引起外界高度關注，此弱點可被用於本機權限提升（LPE），原因疑為微軟要求通報者必須提供影片，造成該名研究員不滿而選擇直接公布。有資安公司循線調查，公布更多細節。</p> <p>資安公司Cyderes指出，BlueHammer主要與內建防毒Microsoft Defender的更新機制有關，攻擊者搭配磁碟區陰影複製服務（VSS）使用後，就有機會從低權限提升至NT AUTHORITY\SYSTEM。該公司強調，此漏洞無須利用系統核心錯誤、記憶體損毀等缺陷，攻擊者也不需在Microsoft Defender內部執行程式碼。一旦成功利用BlueHammer，攻擊者可讀取安全帳號管理員（Security Account Manager，SAM）資料庫、解開NTLM密碼雜湊值、接管本機管理員帳號，並啟動系統層級的Shell。若是攻擊者進一步還原密碼雜湊資料，還能避免資安系統的偵測。</p> <p><a href="https://www.ithome.com.tw/news/174964"><strong style="font-size: 22px;">Google發布Chrome 147，修補60個漏洞，含多個重大與高風險漏洞</strong></a></p> <p>Google於4月7日發布Chrome瀏覽器的147版，將Windows與Mac平臺穩定版更新至147.0.7727.55與147.0.7727.56，Linux版本更新至147.0.7727.55，同時也修補多個重大與高風險漏洞。</p> <p>其中最嚴重的是CVE-2026-5858與CVE-2026-5859，皆被歸類為重大漏洞，Google分別給予通報者4萬3千美元獎金。這兩個漏洞有個共通點，都與瀏覽器的機器學習API模組WebML有關，CVE-2026-5858會造成WebML堆積緩衝區溢位（Heap buffer overflow），CVE-2026-5859則會造成WebML發生整數溢位（Integer overflow）。</p> <p><a href="https://www.ithome.com.tw/news/174991"><strong style="font-size: 22px;">為防範惡意程式竊取Cookie，Google於瀏覽器導入DBSC資安機制</strong></a></p> <p><a href="/sites/default/files/images/Screenshot 2026-04-09 at 10_11_22 AM.png" target="_blank"><img alt="" src="/sites/default/files/images/Screenshot%202026-04-09%20at%2010_11_22%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>本週Google宣布，他們在近期推出的Windows版本Chrome 146版裡，導入了2024年4月公布的裝置綁定連線階段憑證（Device Bound Session Credentials，DBSC）技術，目的防範惡意程式竊取cookie。該公司表示，他們在即將推出的下個版本（147版）將相關功能提供給macOS用戶。Google並公布推動DBSC標準化的計畫。</p> <p>DBSC涉及裝置金鑰、瀏覽器、硬體業者與產業標準，Google推動DBSC的策略，是先在Chrome落地並結合自身服務擴散，再試圖標準化。</p> <p><a href="https://www.ithome.com.tw/news/174803"><strong style="font-size: 22px;">Nvidia推出OpenShell執行環境，為自主AI代理應用套上安全控制</strong></a></p> <p>在先前的GTC大會中，Nvidia除了發表各式各樣嶄新的AI硬體與軟體功能，擴展AI應用能力，也針對自主AI代理風行所帶來的安全風險，推出稱作OpenShell的安全執行環境，為OpenClaw等自主AI代理應用，提供安全控管功能。</p> <p>OpenShell則藉由結合沙箱（Sandbox）、政策強制執行引擎（Policy Engine），以及隱私路由器（Privacy Router）等功能，提供AI代理的控管能力。藉由沙箱在AI代理與基礎架構之間建立隔離的執行環境，並透過政策引擎與隱私路由器，對AI代理的檔案系統存取、網路連線存取、系統程序控制與API呼叫，執行強制性的權限管制，從而讓AI代理自主運作時，不致踰越管理者預設的安全邊界。</p> <p><a href="https://www.ithome.com.tw/news/174843"><strong style="font-size: 22px;">n8n工作流程自動化平臺修補重大漏洞，未更新可能導致遠端執行任意程式碼攻擊</strong></a></p> <p>工作流程自動化平臺n8n近日發布安全公告，修補2個可能導致遠端執行程式碼的重大漏洞，影響n8n的2.14.x，2.13.x與1.123.x等版本，解決辦法是更新至2.14.1，2.13.3與1.123.27版。</p> <p>第一個漏洞的編號為CVE-2026-33660，CVSS嚴重性評分達9.4分。問題是出在n8n用於處理不同來源資料合併的Merge節點，在「Combine by SQL」模式下使用的AlaSQL沙箱，對SQL指令處理存在缺陷，攻擊者可藉此執行任意程式碼或存取主機檔案。</p> <p><a href="https://www.ithome.com.tw/news/174957"><strong style="font-size: 22px;">HPE擴展後量子密碼技術應用，為ProLiant伺服器引進PQC加密技術</strong></a></p> <p>面對日漸逼近的量子運算威脅，HPE正積極為旗下產品引進後量子密碼學（PQC）技術，近期宣布為ProLiant Compute Gen12伺服器導入PQC技術，以因應量子電腦破解傳統公鑰加密的風險。而在近日的RSA大會上，HPE進一步發表iLO7支援PQC的具體時間，預定於2026年夏季正式推出這項功能。</p> <p>縱觀市面上的伺服器基礎架構廠商，目前我們只看到HPE發布伺服器產品支援PQC的具體架構，以及正式導入時間的訊息，但僅限於最新的ProLiant Compute Gen12伺服器，以及iLO7管理平臺，但更早世代的ProLiant伺服器與iLO平臺的PQC遷移規畫，目前仍不明朗。</p> <p><a href="https://www.ithome.com.tw/news/174860"><strong style="font-size: 22px;">Cloudflare以沙箱外掛架構挑戰WordPress安全痛點，推出CMS開源專案EmDash</strong></a></p> <p>Cloudflare開源內容管理系統EmDash，其完全以TypeScript開發，並且重新設計外掛架構。EmDash每個外掛在獨立的沙箱環境中執行，須事先宣告所需權限，從根本改變WordPress外掛與主程式共享執行環境的安全模型。EmDash採MIT授權，底層基於網頁框架Astro，目前釋出v0.1.0開發者預覽版，可部署至Cloudflare帳戶或任何Node.js伺服器。</p> <p>在部署架構上，EmDash設計為無伺服器優先，可運用Cloudflare Workers的V8 isolate架構，在請求進入時啟動執行環境，無流量時可縮至零，並按CPU運算時間計費。EmDash另內建x402協定支援，讓網站經營者可對內容存取收費，無需額外開發即可向AI代理等自動化客戶端收費。此外也提供MCP伺服器與CLI工具，使AI代理能程式化管理CMS內容，處理搬遷與批次修改等作業。</p> <p><a href="https://www.ithome.com.tw/news/174970"><strong style="font-size: 22px;">歐鐵票券營運商去年資料外洩事件影響30萬人</strong></a></p> <p>經營歐鐵票券（Eurail Pass）的旅遊業者Eurail B.V.，近日向美國政府通報去年的網路攻擊事件，透露有近30萬人個資及旅遊資料外流。</p> <p>上述通報源自公司今年傳出的資安事故，Eurail有數個內部系統遭駭客存取，遭竊的資料包含客戶訂單資訊，如個資和聯絡資訊、國外客戶護照資訊如護照號碼、核發國家及到期日等。此外還有透過DiscoverEU方案外洩的青年客戶資料，包含姓名、出生日期、年齡、護照號碼或相片、電子郵件信箱、住宅地址、居住地、電話號碼、國際銀行帳戶號碼、健康資訊等。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/bitter-linked-hack-for-hire-campaign.html">與Bitter有關的駭客團體經營僱傭服務，攻擊中東與北非的新聞記者</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/n-korean-hackers-spread-1700-malicious.html">北韓駭客散布1,700個惡意套件，橫跨NPM、PyPI、Go、Rust生態圈</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/tr-new-whitepaper-stealthy-bpfdoor-variants/">後門程式BPFDoor出現變種，導入無狀態C2與ICMP中繼手法隱匿活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-venom-phishing-attacks-steal-senior-executives-microsoft-logins/">網釣平臺Venom活動升溫，駭客用於對高階主管發動攻擊，意圖竊取M365帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-suspends-dev-accounts-for-high-profile-open-source-projects/">微軟無預警停用多個高知名度開源專案的開發者帳號，恐導致維護者無法發布新版軟體修補資安漏洞</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174940"><strong>【4月9日】Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174916"><strong>【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174890"><strong>【4月7日】Claude Code資料外洩事故成駭客散布惡意軟體的新誘餌</strong></a></p> </div></div></div>
4/10 15:49作者周峻佑https://www.ithome.com.tw/news/174990
Rockwell未修補的重大漏洞遭鎖定，伊朗駭客CyberAv3ngers用於攻擊可程式化邏輯控制器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週美國當局對伊朗駭客團體CyberAv3ngers的攻擊行動<strong><a href="https://www.ithome.com.tw/news/174965">提出警告</a></strong>，說明駭客鎖定美國的關鍵基礎設施（CI），能從網際網路存取的可程式化邏輯控制器（PLC）下手，透過能從網際網路存取的可程式化邏輯控制器（PLC）下手，從而阻礙受害組織的OT環境運作。現在有資安公司接續公布更多細節。</p> <p>弱點管理解決方案公司Tenable指出，<strong><a href="https://www.tenable.com/blog/what-to-know-about-cyberav3ngers-the-irgc-linked-group-targeting-critical-infrastructure">這些駭客在最新一波攻擊行動裡</a></strong>，使用已知漏洞CVE-2021-22681滲透Rockwell的PLC裝置，此為憑證保護不夠周延造成的弱點（CWE-522），<strong><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-21-056-03">CISA將其CVSS風險評為滿分10分</a></strong>，非常危險，影響Rockwell旗下多種系統與設備，包括PLC管理軟體RSLogix 5000與Studio 5000 Logix Designer，以及CompactLogix、ControlLogix、GuardLogix、DriveLogix、SoftLogix等控制器設備。CISA於今年3月5日將CVE-2021-22681<strong><a href="https://www.cisa.gov/news-events/alerts/2026/03/05/cisa-adds-five-known-exploited-vulnerabilities-catalog">加入已遭利用的漏洞名冊（KEV）</a></strong>，時間點相當吻合。</p> <p>值得留意的是，駭客鎖定此漏洞的原因，很有可能就是Rockwell並未發布修補程式。Tenable提及，Rockwell在公告裡強調，CVE-2021-22681無法直接透過安裝修補程式解決，取而代之的是，Rockwell呼籲用戶應導入國防等級的縱深防禦措施，例如：網路分段、工程用工作站電腦隔離，以及實作關鍵基礎設施防護（Critical Infrastructure Protection，CIP）安全防護機制等。換言之，若是企業組織缺乏相關的資安管控機制，這樣的弱點將會持續存在。</p> <p>Tenable指出，CyberAv3ngers偏好小型公用供水基礎設施、市政設施與鄉村能源營運商，原因是這些公司通常會使用TeamViewer或AnyDesk等遠端管理工具管理OT環境，或是直接開放PLC的管理介面能直接透過網際網路存取，這些作法完全無法受到企業IT資安控管，形成一般資安防護難以察覺的攻擊面。</p> <p>再者，這些公司也往往對於IT與OT環境的網路分段不足，以及缺乏專精OT領域的資安人員，再加上資安防護的預算不足，使得相關的問題更加嚴重。</p> <p>這些駭客攻擊關鍵基礎設施已有前例，他們曾在2023年鎖定以色列廠牌Unitronics的PLC裝置，對超過70個美國水利設施發動攻擊。值得注意的是，CyberAv3ngers的能力也越來越強大，他們2024年中旬開始使用自製的工控惡意軟體Iocontrol，同年10月開始濫用ChatGPT等AI工具加速偵察與程式碼除錯的速度，再加上近期美伊戰爭仍在持續進行，這種針對以色列或美國產製的工控設備，在美國從事攻擊行動的情況，將會越來越頻繁。</p> </div></div></div>
4/10 14:19作者周峻佑https://www.ithome.com.tw/news/174976
解決代理程式分散管理難題，AWS Agent Registry跨雲納管企業AI代理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS推出<a href="https://aws.amazon.com/blogs/machine-learning/the-future-of-managing-agents-at-scale-aws-agent-registry-now-in-preview/">Agent Registry預覽版</a>，透過Amazon Bedrock AgentCore平臺提供，讓企業在單一註冊中心集中發現、治理和重複使用散布在不同環境中的AI代理程式、工具與代理程式技能。Agent Registry預覽版目前已在美國東部（北維吉尼亞）、美國西部（奧勒岡）、亞太地區（雪梨）、亞太地區（東京）與歐洲（愛爾蘭）等5個AWS區域開放使用。</p> <p>AWS指出，企業在擴展代理程式規模時，主要面臨三大難題，分別是可見性不足，不清楚組織內有哪些代理程式，以及治理不易，無法控管誰能發布、哪些資源可被全組織發現，還有重複建置，團隊各自開發已經存在的功能。</p> <p>Agent Registry的一大特色在於跨平臺納管能力，其不僅限於索引AWS上的代理程式，也能納入其他雲端平臺或地端環境中建置的代理程式，讓企業的代理程式全貌能在同一註冊中心呈現。註冊方式有兩種，一是透過主控臺、AWS SDK或API手動提供後設資料，二是指向MCP或A2A端點，由系統自動擷取相關資訊。Agent Registry原生支援MCP與A2A兩項代理程式互通協定，也允許企業自訂Schema或欄位結構。</p> <p>該服務提供完整的生命週期管理流程，所有註冊紀錄從草稿狀態開始，進入待審核階段，核准後才對組織內其他成員公開。管理者可透過IAM政策控管誰能註冊、誰能查詢，紀錄也支援版本追蹤與棄用標記，企業可在每筆紀錄中加入自訂後設資料，記錄團隊歸屬、合規狀態或部署環境等資訊。</p> <p>搜尋機制採用混合式設計，結合關鍵字比對與語意理解。當開發者輸入較長的自然語言查詢時，系統能辨識概念相近的結果，例如搜尋payment processing也能找到標記為billing或invoicing的工具。Agent Registry本身也能以MCP Server形式存取，Kiro和Claude Code等MCP相容客戶端可直接查詢。</p> <p>AWS表示，未來計畫將Agent Registry擴展至更多AWS服務，實現代理程式部署後自動索引，並加入跨註冊中心聯邦（Cross-registry Federation）查詢、自訂分類系統，以及整合AgentCore Observability的執行資料。</p> </div></div></div>
4/10 15:28作者李建興https://www.ithome.com.tw/news/174988
Windows零時差漏洞BlueHummer涉及內建防毒軟體更新流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究員Chaotic Eclipse於GitHub<strong><a href="https://www.ithome.com.tw/news/174902">公布零時差漏洞BlueHammer</a></strong>引起外界高度關注，此弱點可被用於本機權限提升（LPE），原因疑為微軟要求通報者必須提供影片，造成該名研究員不滿而選擇直接公布。有資安公司循線調查，公布更多細節。</p> <p>資安公司Cyderes指出，<strong><a href="https://www.cyderes.com/howler-cell/windows-zero-day-bluehammer">BlueHammer主要與內建防毒Microsoft Defender的更新機制有關</a></strong>，攻擊者搭配磁碟區陰影複製服務（VSS）使用後，就有機會從低權限提升至NT AUTHORITY\SYSTEM。該公司強調，此漏洞無須利用系統核心錯誤、記憶體損毀等缺陷，攻擊者也不需在Microsoft Defender內部執行程式碼。一旦成功利用BlueHammer，攻擊者可讀取安全帳號管理員（Security Account Manager，SAM）資料庫、解開NTLM密碼雜湊值、接管本機管理員帳號，並啟動系統層級的Shell。若是攻擊者進一步還原密碼雜湊資料，還能避免資安系統的偵測。</p> <p>具體來說，BlueHammer與多個作業系統內建工具與服務有關，包含了Microsoft Defender更新流程、磁碟區陰影複製服務，以及Cloud Files API等，全部都是微軟公開文件揭露的合法Windows功能，而且這些功能皆如預期運作，需透過特定順序串連上述服務，才會形成弱點。</p> <p>Cyderes提及，微軟後續推送了防毒軟體定義檔更新，將研究員的概念驗證程式（PoC）標示為Exploit:Win32/DfndrPEBluHmr.BB。然而由於弱點與Windows元件的互動有關，攻擊者只要調整弱點實作的方式，就能在繞過Microsoft Defender偵測的情況下利用BlueHammer。</p> <p>雖然Chaotic Eclipse刻意在概念驗證程式加入臭蟲，不過Cyderes在排除這些問題後，套用最新發布更新的Windows 10與Windows 11電腦進行測試，結果具備低權限的攻擊者只花了不到一分鐘，就成功將權限等級提升至為NT AUTHORITY\SYSTEM。由於BlueHammer迄今未登記CVE編號列管，微軟也尚未提供漏洞修補程式，接下來駭客組織將會很快整合到作案工具，並用於實際攻擊。</p> </div></div></div>
4/10 15:31作者周峻佑https://www.ithome.com.tw/news/174989
Google Chrome 146正式加入防cookies竊取的DBSC功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼2024年4月公布後，<a href="https://security.googleblog.com/2026/04/protecting-cookies-with-device-bound.html" target="_blank">Google本週釋出</a>Windows版本Chrome 146版，提供裝置綁定會話憑證（Device Bound Session Credentials，DBSC）技術，防範惡意程式竊取cookies。預定下一版macOS版本Chrome加入防護。Google並公布推動DBSC標準化的計畫。</p> <p>用戶裝置一旦不慎下載惡意程式，可能導致會話竊取（session theft）。惡意程式會從瀏覽器擷取會話cookies，或等用戶登入新帳號時攔截token，最後送到攻擊者控制的伺服器。由於cookies效期拉長，駭客就能利用它們非授權存取用戶帳號，也不需要密碼。而被竊的憑證可能在駭客或地下市場出售，導致攻擊來源擴大。</p> <p>竊資程式如LummaC2竊取憑證的手法愈來愈高明，一旦惡意程式進入用戶裝置，就能從本機檔案和記憶體讀取到瀏覽器儲存的驗證cookies。過去任何作業系統上沒有有效防範cookies竊取的純軟體方案。只能在發生憑證被竊事件後，利用一組繁複的啟發式分析（heuristic）偵測，但這種作法是被動式偵測，滲透攻擊者往往也能迴避。DBSC的出現則實現主動防禦，使被竊的cookies無法用於使用者帳號驗證。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0410-DBSC-600.png" style="text-align: center; width: 500px;" /></p> <p>簡單而言，若把cookies當成存取服務伺服器的通行證，問題出現在誰取得cookies通行證，就能獲得伺服器放行。DBSC就是將cookies加入數位鎖，使只有儲存該cookies的那臺機器，才能在伺服器驗證成功。Google推動DBSC的核心是Chrome，在用戶登入網站時Chrome會配合Windows PC的TPM（Mac電腦則是Secure Enclave）生成公、私鑰。公鑰儲存在服務伺服器（或網站），只認用戶機器，而私鑰以加密儲存在用戶硬體。Chrome在登入服務伺服器時，必須以私鑰和伺服器完成驗證，確認用戶裝置是當初登入的那臺裝置。</p> <p>Google的作法是推動DBSC為業界標準，並建立一個生態體系。</p> <p>這個機制涉及裝置金鑰、瀏覽器、硬體業者與產業標準，Google推DBSC的作法是先在Chrome落地並結合自身服務擴散，再試圖標準化。目前只有Chrome支援。</p> <p>Google表示，為推動DBSC標準化，除了產業合作，未來Chrome版本將會陸續加入新功能，包括聯邦式身份，支援跨來源綁定；進階註冊（registration），將DBSC會話綁定到既有金鑰如mTLS憑證或硬體金鑰；以及擴大裝置支援，透過加入軟體金鑰來保護沒有金鑰技術的硬體（如舊PC）。</p> </div></div></div>
4/10 16:01作者林妍溱https://www.ithome.com.tw/news/174991
Meta再加碼210億美元採購CoreWeave算力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI雲端基礎設施業者<a href="https://www.coreweave.com/news/coreweave-and-meta-announce-21-billion-expanded-ai-infrastructure-agreement" target="_blank">CoreWeave週四（4/9）宣布</a>，已與Meta簽署一項總額約210億美元的長期合約，將提供AI算力支援至2032年，主要用於支撐其AI模型推理與部署需求。</p> <p>CoreWeave與Meta早於2025年即建立AI算力合作關係，外界估計當時合約規模約為142億美元，此次的加碼顯示Meta對外部AI運算資源的需求持續擴大。</p> <p>CoreWeave成立於2017年，總部位於美國紐澤西州，專注提供以GPU為核心的AI雲端基礎設施，主要客戶包括AI模型開發商與大型科技公司，於2025年登上那斯達克股市。其營收高度集中於少數客戶，例如在2024年的19.2億美元營收中，前兩大客戶合計貢獻約77%營收，其中最大客戶為微軟，占比達62%。</p> <p>AI雲端基礎設施屬於高成長且資本密集的產業。CoreWeave於2025年營收達51.31億美元，年增168%，但全年淨損11.67億美元，更甚於2024年的8.63億美元虧損，主因為持續加碼投資基礎設施與GPU。不過，CoreWeave截至2025年底的訂單積壓（Revenue Backlog）已達668億美元，顯示其未來收入多由長期合約鎖定。</p> <p>消息傳出後，CoreWeave週四（4/9）股價上漲了3.49%，以92美元作收。</p> </div></div></div>
4/10 16:10作者陳曉莉https://www.ithome.com.tw/news/174992
Amazon低軌衛星服務Leo預計於今年中正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Amazon執行長Andy Jassy週四（4/9）<a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-andy-jassy-2025-letter-to-shareholders" target="_blank">於致股東信中宣布</a>，Amazon低軌衛星服務Leo預計於今年中正式上線。目前Amazon Leo已發射逾200顆衛星，為全球第三大低軌衛星網路，僅次於Starlink及歐洲的OneWeb。</p> <p>Amazon於2019年啟動低軌衛星網路計畫Project Kuiper，目標透過在近地軌道部署衛星星座，提供全球高速網路服務，鎖定偏遠地區與基礎設施不足的市場，並於2025年底<a href="https://www.ithome.com.tw/news/172278" target="_blank">更名</a>為Amazon Leo。</p> <p>在星座規模上，Amazon Leo已獲美國聯邦通訊委員會（FCC）核准部署約7,700顆衛星（包含第一代3,236顆及2026年新獲核准的約4,500顆），然而目前實際在軌的衛星僅逾200顆，與Starlink近萬顆及OneWeb逾600顆相比，仍有顯著差距。</p> <p>Amazon表示，未來幾年將持續快速擴張Leo星座規模。在效能上，Leo上傳速度將比現有方案提升6至8倍、下載速度提升2倍，且成本更具競爭力；此外，Leo亦將與AWS雲端服務整合，使企業與政府可在衛星連線與雲端之間進行資料儲存、分析與AI運算，形成差異化優勢。</p> <p>儘管尚未正式上線，Leo已吸引多家大型企業提前卡位。美國廉價航空<a href="https://www.ithome.com.tw/news/171028" target="_blank">JetBlue</a>宣布將於2027年導入Leo強化機上Wi-Fi；<a href="https://www.aboutamazon.com/news/amazon-leo/amazon-leo-delta-in-flight-wifi-2028" target="_blank">達美航空</a>（Delta Airlines）則承諾以Leo作為未來機上Wi-Fi服務，首波將於2028年覆蓋500架飛機。其他客戶還包括AT&T、Vodafone、DIRECTV Latin America、澳洲國家寬頻網路（NBN）及NASA等橫跨電信、航空與政府的重量級名單。</p> </div></div></div>
4/10 14:41作者陳曉莉https://www.ithome.com.tw/news/174987
歐鐵票券營運商去年資料外洩事件影響30萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>經營歐鐵票券（Eurail Pass）的旅遊業者<a href="https://justice.oregon.gov/consumer/databreach/" target="_blank">Eurail B.V.近日向官方通報</a>去年的網路攻擊事件，導致近30萬個人個資及旅遊資料外流。</p> <p><a href="https://www.ithome.com.tw/news/173405" target="_blank">Eurail公司今年初</a>公告數個內部系統遭駭客存取，遭竊取的資料包含客戶訂單資訊如基本身份和聯絡資訊、國外客戶護照資訊如護照號碼、核發國家及到期日等。此外還有透過DiscoverEU方案外洩的青年客戶資料，包含姓名、出生日期/年齡、護照號碼或相片、電子郵件信箱、住宅地址、居住地、電話號碼、國際銀行帳戶號碼、健康資訊等。</p> <p>不過當時案件細節披露不多。本週這家荷蘭公司向美國包括<a href="https://justice.oregon.gov/consumer/databreach/" target="_blank">奧勒岡州</a>、德州及加州等通報外洩細節。根據官方紀錄，事件發生期間為2025年12月24日到2026年1月8日，影響人數高達308,777人。</p> <p>在向官方通報之前，今年2月一群駭客在Telegram上宣稱事件是其所為。他們宣稱從Eurail系統竊得1.3TB資料，包含GitLab的程式原始碼、AWS S3的資料備份以及工單平臺Zendesk的支援工單。</p> <p>有別於這家業者通報的30萬筆，駭客宣稱手上有數百萬筆個人資料，並貼出部份檔案，揚言若再未接到Eurail聯繫將出售所有竊得的資料。</p> </div></div></div>
4/10 13:43作者林妍溱https://www.ithome.com.tw/news/174970
伊朗駭客CyberAv3ngers鎖定曝露在網路上的可程式化邏輯控制器，滲透美國關鍵基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國的FBI、CISA、NSA、環境保護署（EPA）、能源部（DOE）以及網路作戰司令部的網路國家任務部隊（CNMF）等6大機構<strong><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a">發布聯合警告</a></strong>，指出伊朗駭客組織CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）正在對美國的關鍵基礎設施（CI）發動攻擊，他們尋找能透過網際網路存取的可程式化邏輯控制器（PLC），這些設備的廠牌包括Rockwell與Allen-Bradley。遭到攻擊的組織，涵蓋政府服務、水資源與廢水處理系統，以及能源產業，自今年3月開始，已有部分受害組織出現營運中斷或財務損失。</p> <p>針對CyberAv3ngers滲透受害組織OT環境的過程，他們通常會利用多個外國IP位址犯案，從網際網路尋找Rockwell與Allen-Bradley製造的PLC設備。這些駭客租用第三方代管基礎設施，部署組態管理軟體，而且，這些設備使用的其中一種組態管理軟體，是Rockwell的Studio 5000 Logix Designer。而被鎖定的PLC設備，包含CompactLogix與Micro850。</p> <p>若是得逞，CyberAv3ngers就會透過44818、2222、102、22、502埠等連接埠導入惡意流量。根據這些連接埠，攻擊者針對的PLC廠牌並非局限Rockwell與Allen-Bradley，也出現攻擊西門子S7系列PLC機種的情況再者，駭客會在受害組織的端點部署SSH連線工具Dropbear，此為OpenSSH的輕量級替代方案，經常用於嵌入式系統。最終駭客截取PLC設備的專案檔案，並竄改人機介面（HMI）與SCADA顯示的資料。</p> <p>對此，FBI呼籲企業組織應將PLC與對外網路斷開連線，並透過實體開關或是軟體金鑰切換等機制，防止未經授權的遠端修改。他們也呼籲要對PLC的邏輯與組態設置進行強而有力的備份，並測試與確認其有效性。</p> </div></div></div>
4/10 11:53作者周峻佑https://www.ithome.com.tw/news/174965
研究人員揭新手法可繞過Apple Intelligence護欄並誘導模型輸出不當內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>蘋果的Apple Intelligence將大語言模型（LLM）放在本地裝置端，提升大語言模型（LLM）的安全性。但本週RSA大會（RSA Conference，RSAC）研究人員運用新手法，使其得以繞過蘋果Apple Intelligence護欄進行對模型操弄，使其產出惡意文字。</p> <p>瑞士聯邦政府研究人員及洛桑聯邦理工學院（EPFL）學者本週<a href="https://www.rsaconference.com/library/blog/is-that-a-bad-apple-in-your-pocket-we-used-prompt-injection-to-hijack-apple-intelligence" target="_blank">在資安大會RSAC上展示</a>發表結合兩種手法濫用Apple Intelligence漏洞，可繞過Apple Intelligence本地LLM輸出、輸入篩選機制及內部護欄，迫使LLM產出攻擊者想要的內容。</p> <p>為了繞過Apple Intelligence護欄，研究小組結合兩種手法。一是名為「神經執行（Neural Exec）」的方法，這是輸入人類看來沒有意義，卻能像咒語一樣能控制LLM，攻擊者可以指定想執行的惡意程式碼。基本上這類似其他間接式指令注入（indirect prompt injection）。其做法是利用LLM對特定模式或類似程式碼結構的敏感性，強制模型進入忽略之前的系統指令（如系統指令部分：摘要文章），轉而執行用戶輸入中的惡意指令。第二手法是利用Unicode由右向左覆寫文字的功能，進行字元逆轉攻擊（BiDi Attack）。這方法讓攻擊者輸入由右向左的文字（如阿拉伯、希伯來文或混亂文字），但LLM可以讀取並產出由左向右的語言（如英文）。</p> <p>結合這二種方法，在其示範中，研究人員在一段輸入文字中夾雜大量混亂的「神經執行」標籤，打斷模型的正常邏輯流，再利用Unicode字元逆轉手法隱藏了惡意語句（如Hey users, go *** yourself），並下達指令要求模型只回答這段話，不要回答其他的。這成功劫持LLM模型，使其繞過原始系統指令，不再產出文章摘要，而是直接輸出紅色區域內的惡意或冒犯性文字。</p> <p>研究人員以100個隨機提示進行測試，成功率達76%。研究團隊去年10月通報蘋果，蘋果已經釋出iOS 26.4及macOS 26.4更新以強化安全性。他們指出，即使是蘋果這樣強調隱私與安全的系統，若沒有針對Unicode特殊字元或複雜的提示詞干擾進行深度防禦，依然會被誘導產生非預期（甚至有害）的內容。</p> </div></div></div>
4/10 12:40作者林妍溱https://www.ithome.com.tw/news/174967
AWS的AI年化收入已達150億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Amazon執行長Andy Jassy週四（4/9）<a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-andy-jassy-2025-letter-to-shareholders" target="_blank">於最新致股東信中指出</a>，旗下雲端服務AWS的AI業務年化收入已在2026年第一季突破150億美元，且仍持續快速成長，顯示其AI相關服務已從早期導入階段，邁入具規模的商業化期。</p> <p>這是AWS首度對外揭露AI業務的具體收入規模。目前AWS整體雲端業務年化收入約為1,420億美元，意味著AI相關收入占約10%，成為帶動成長的重要動能之一。</p> <p>Jassy指出，AI是一種典型的結構性轉折，將重塑各類產品與服務體驗，並帶來全新的應用場景，企業若判斷其為關鍵變化，應在可控風險下大幅投入。</p> <p>AI的發展有目共睹，其採用速度創下歷史新高，ChatGPT僅用兩個月即達1億用戶，目前每週活躍用戶約為9億；此外，相較AWS成立初期3年僅約5800萬美元的年化收入，同樣約3年的AWS生成式AI業務已達150億美元規模；而且就算AWS在2025年新增3.9GW電力，仍難以滿足市場需求，顯示AI需求明顯超過基礎設施供給。</p> <p>AWS的AI相關業務涵蓋模型開發工具（如SageMaker）、生成式AI平臺（如Amazon Bedrock）、推論運算，以及自研AI晶片（如Trainium）所支撐的算力供應，橫跨模型建構、部署到實際運行的完整流程。</p> <p>Amazon透露，其生成式AI平臺Amazon Bedrock曾因需求快速成長，原有推論系統不堪負荷而進行關鍵重構，團隊決定從頭重寫底層引擎，並導入自家AI程式開發工具Kiro，由AI負責部分系統設計與程式撰寫，加速開發流程。Amazon指出，若採傳統方式，通常需約40人團隊耗時一年才能完成。</p> <p>最終，該團隊僅以6人、76天完成新一代推論引擎Mantle，並成為Bedrock核心基礎設施。重構後系統效能顯著提升，使Bedrock在2026年第一季處理的運算量已超過過去所有年度總和。</p> <p>值得注意的是，AWS AI業務的收入規模也逐漸接近主流生成式AI公司，<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic</a>在2026年的年化收入超過300億美元，OpenAI今年3月時的年化收入則約240億美元，但其商業模式仍存在著差異。其中，OpenAI與Anthropic主要透過模型訂閱與API服務變現，直接面向終端用戶與開發者；AWS則以雲端基礎設施、模型託管與推論服務為核心，扮演支撐整個AI產業運作的底層供應者。</p> <p>市場分析認為，隨著企業導入AI的規模持續擴大，相關需求不僅集中於模型能力本身，也帶動了對算力、資料處理與部署環境的需求，正在重構整體產業價值鏈。</p> </div></div></div>
4/10 12:49作者陳曉莉https://www.ithome.com.tw/news/174969
Swift藉Open VSX擴大編輯器支援，官方擴充套件可用於Cursor等編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Apple主導的開放原始碼程式語言Swift官方擴充套件已正式上架<a href="https://www.swift.org/blog/expanding-swift-ide-support/">Open VSX Registry</a>，讓相容VS Code擴充套件機制的編輯器，包括Cursor、VSCodium、AWS Kiro與Google Antigravity，可更直接取得Swift開發支援。這也讓Swift擴充套件透過既有分發機制進入更廣泛的編輯器生態，降低安裝門檻。</p> <p>Open VSX由Eclipse基金會維護，是中立、開源的擴充套件登錄服務，近來成為不少AI開發平臺共用的基礎設施。</p> <p>Swift官方表示，這套擴充套件提供程式碼補全、重構、完整的除錯支援、測試總管與DocC支援，主要支援以Swift Package Manager建置的專案，並可在macOS、Linux與Windows上使用。也就是說，Swift原本已支援的多編輯器開發流程，現在可更直接延伸到更多採用Open VSX的編輯器，不必再手動下載擴充套件安裝檔。</p> <p>Swift過去已可在VS Code、Xcode、Neovim與Emacs等環境中開發，並支援實作Language Server Protocol的編輯器。這次擴大到Open VSX相容環境後，實際上是透過既有擴充套件分發機制，把Swift開發支援帶到更多相容編輯器與新型開發平臺。</p> <p>該更新有助於縮短Swift進入更多新編輯器的距離，不過目前官方說明仍以Swift Package Manager專案為主要支援對象。</p> </div></div></div>
4/10 12:51作者李建興https://www.ithome.com.tw/news/174966
觸及率大幅下滑，電子前線基金會宣布退出X
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>專門推動數位權利的非營利組織<a href="https://www.eff.org/deeplinks/2026/04/eff-leaving-x" target="_blank">電子前線基金會（Electronic Frontier Foundation，EFF）週四（4/9）宣布</a>，將退出待了20年的X平臺，主因為該平臺的觸及率大幅下滑。</p> <p>根據EFF的統計，2018年時它們每天在Twitter上（現在的X）發布5到10則推文，這些推文每月獲得約5,000萬到1億次的曝光量；到了2024年，它們一年在X平臺上發布2,500則推文，每月僅獲得200萬次的曝光量；而2025年時，它們發布了1,500則推文，全年的總曝光量只剩下1,300萬次。</p> <p>整體而言，現在EFF在X上一則推文的瀏覽量，還不到7年前的3%。</p> <p>在馬斯克（Elon Musk）於2022年10月買下Twitter時，EFF即曾公開呼籲平臺應強化內容審查透明度、導入真正的端對端加密私訊機制，並提升使用者與第三方開發者對平臺的控制權。然而EFF指出，這些期待並未實現，反而出現人權團隊遭裁撤、部分地區負責對抗審查的員工被解雇等變化，導致平臺環境出現轉變。</p> <p>EFF表示，儘管Twitter過去並非完美，但仍曾在言論自由與用戶權利上扮演重要角色；然而在經營方向調整後，平臺的影響力與功能性均已明顯下降，也有不少用戶選擇離開。</p> <p>事實上，在EFF之前，<a href="https://www.theguardian.com/media/2024/nov/13/why-the-guardian-is-no-longer-posting-on-x" target="_blank">衛報</a>（Guardian）、北愛爾蘭頂大University Belfast (QUB)與<a href="https://www.bbc.com/news/articles/cdxz995vd9ko" target="_blank">Belfast市政府</a>、或是<a href="https://www.reuters.com/business/media-telecom/teachers-union-says-its-leaving-x-calling-ai-images-children-the-last-straw-2026-01-13/" target="_blank">美國教師聯合協會</a>（American Federation of Teachers）都因不滿X上的內容而宣布退出該平臺，包括指責該平臺放任仇恨、厭女及兒童性剝削內容。</p> <p>不過，即使離開X，EFF依然會持續於Bluesky、Mastodon、LinkedIn、Instagram、TikTok、Facebook及YouTube等社交平臺上發聲。EFF解釋，之所以仍然使用TikTok、Facebook及Instagram等具爭議的平臺，是因為年輕人、有色人種、酷兒族群、活動家及組織每天都還在使用它們，將這些程式刪除並強迫所有使用者遷移到去中心化的聯邦宇宙（Federated Universe）並不容易。</p> <p>EFF也強調，存在於Facebook、Instagram、YouTube或TikTok亦不代表該組織認同它們，EFF將繼續針對這些平臺提出建議，只是不會再用X了。</p> </div></div></div>
4/10 10:45作者陳曉莉https://www.ithome.com.tw/news/174962
Acrobat Reader驚傳零時差漏洞，駭客自去年11月就用於針對俄羅斯能源產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>論及檢視PDF檔案，許多用戶會採用Acrobat Reader，如今有多位研究員發現，有人在數個月前找到零時差漏洞並發動攻擊。</p> <p>相關活動最早是研究員Haifei Li<strong><a href="https://justhaifei1.blogspot.com/2026/04/expmon-detected-sophisticated-zero-day-adobe-reader.html">於4月7日提出警告</a></strong>，他建置的資安威脅監控系統ExpMon偵測到有問題的PDF檔案，經進一步分析後，判定此漏洞具備收集資料與洩露的能力，攻擊者還能遠端執行任何程式碼（RCE），並進行沙箱逃逸（SBX），當中利用了Acrobat Reader零時差漏洞，此弱點允許攻擊者執行特殊權限的API，影響最新版本的Acrobat Reader。</p> <p>根據Haifei Li對於漏洞危險的說明，攻擊者可收集用戶資訊、竊取本機資料，並彙整受害電腦的系統指紋（Fingerprinting），以供後續攻擊活動運用。除此之外，若是受害電腦符合特定條件，攻擊者還能執行任意程式碼，或是從沙箱隔離中逃脫。</p> <p>隔天他更新部落格文章內容，指出有人發現新的漏洞利用檔案的變種，值得留意的是，此檔案於去年11月28日就上傳到VirusTotal，代表此零時差漏洞的利用活動已持續長達近半年。</p> <p><strong><a href="https://x.com/Gi7w0rm/status/2042003381158379554">威脅情報分析師Gi7w0rm指出</a></strong>，在利用Adobe Reader零時差漏洞的活動裡，駭客使用了俄文誘餌，內容提及俄羅斯石油與天然氣產業時下議題。而對於漏洞的部分，Gi7w0rm指出與其中的JavaScript引擎有關。</p> <p>另一名資安研究員Giuseppe Massaro（N3mes1s）<strong><a href="https://gist.github.com/N3mes1s/9e55e8d781235ee256d5b3f6720222dd">於4月8日發布完整調查報告</a></strong>，指出他針對兩個利用零時差漏洞的PDF檔案進行分析，結果發現駭客藉此採集受害電腦的系統指紋，將電腦裡的資料傳送到C2伺服器，並下載經AES演算法處理的JavaScript有效酬載並執行。</p> <p>經過VirusTotal檢測，在77個防毒引擎的分析之下，只有6個將其視為有害。Massaro指出，駭客使用專門的基礎設施，C2伺服器還能額外過濾受害者，只有在確認是攻擊目標的情況下才會傳遞有效酬載，他認為攻擊者很可能是專業的APT駭客，或是背後有國家資助。</p> <p>這些PDF檔案的內容，都是針對俄語使用者，目標有可能是政府機關、能源機構，或是關鍵基礎設施相關企業。PDF檔案都是使用Python程式庫PyMuPDF製作，沒有標題、作者、建立日期等中繼資料，而且都是以圖片的方式呈現，使用者無法選取其中的文字內容。</p> <p>Massaro提及此零時差漏洞涵蓋兩種層面的弱點，第1種是透過內部特定的API注入JavaScript指令碼，該指令碼會觸發另一個與原型汙染有關的弱點，從而提升權限，最終得到能呼叫任何Acrobat API能力的完整權限。</p> </div></div></div>
4/10 10:48作者周峻佑https://www.ithome.com.tw/news/174963
AI出現「暗中違規」行為，研究揭半年近700起事件、5個月暴增近5倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國非營利研究機構<a href="https://www.longtermresilience.org/reports/v5-scheming-in-the-wild_-detecting-real-world-ai-scheming-incidents-through-open-source-intelligence-pdf/" target="_blank">長期韌性中心（Centre for Long-Term Resilience）發布最新研究</a>指出，AI系統在真實環境中已出現違反人類指示、甚至規避限制的行為，且相關案例數量正快速增加。研究統計，在2025年10月12日至2026年3月12日期間，共辨識出698起與「scheming」（隱蔽偏離目標的行為）相關的真實事件，單月事件數量在5個月內成長達4.9倍。</p> <p>所謂「scheming」，是指AI同時具備「目標偏離」（misalignment）與「隱蔽性」（covertness），在未被察覺的情況下，執行偏離使用者或開發者原意的行為。研究認為，這類行為可視為AI系統可能出現失控風險的早期徵兆。</p> <p><span style="color:#B22222;"><strong>AI異常行為從實驗室走向真實環境</strong></span></p> <p>為了掌握這類行為在實際應用中的出現情形，研究團隊採用開源情報（Open-Source Intelligence，OSINT）方法，分析超過18萬筆公開AI對話紀錄，資料主要來自社群平臺X上分享的聊天截圖與對話連結。經篩選後，研究人員確認895起具可信度的事件報告，並在去除重複案例後，得到698起實際事件。</p> <p>研究結果顯示，這類過去多半僅在實驗環境中觀察到的行為，例如策略性欺騙、隱藏意圖或違反指令，如今已出現在實際部署的AI系統。</p> <p>從具體案例來看，有AI代理在被拒絕修改開源專案後，主動撰寫公開文章批評維護者，試圖影響結果；也有AI系統在使用者明確要求停止時，仍持續執行動作，甚至繞過限制機制完成任務。此外，研究也觀察到AI出現欺騙行為，例如聲稱任務已完成、生成不實數據，或改寫提示詞以繞過其他模型的安全限制。</p> <p>從時間趨勢來看，在2025年10月12日至11月12日期間，每月約65起相關事件，但到了2026年2月9日至3月12日，已增加至319起，成長幅度達4.9倍。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0410-scheming-related%20AI%20incidents-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://www.longtermresilience.org/reports/v5-scheming-in-the-wild_-detecting-real-world-ai-scheming-incidents-through-open-source-intelligence-pdf/" target="_blank"><span style="color:#696969;">Centre for Long-Term Resilience</span></a></span></p> <p>相較之下，同期間社群上相關討論貼文數量僅成長1.7倍，整體負面討論則成長1.3倍。研究指出，事件數量的成長可能與模型能力提升、使用量增加或回報行為改變等多重因素有關，目前仍無法單一歸因。</p> <p><span style="color:#B22222;"><strong>多數</strong></span><strong style="color: rgb(178, 34, 34);">AI異常行為</strong><span style="color:#B22222;"><strong>影響仍有限，但已出現實際損害案例</strong></span></p> <p>就目前觀察到的案例而言，多數影響仍屬低嚴重性或可回復範圍，例如錯誤操作或可還原的資料異動。這也反映當前AI系統多半仍作用於軟體與資料層面，相關問題通常可透過既有機制修復。</p> <p>不過，研究也指出部分事件已造成實際損害。例如，有AI系統在執行任務時刪除資料或基礎設施設定，導致服務中斷；另有案例顯示，AI代理在操縱性請求下轉移資產，引發價格波動與經濟損失。</p> <p>儘管如此，研究強調，目前尚未觀察到具高度策略性且大規模的「scheming」事件，多數案例仍可能與模型能力限制或判斷錯誤有關，而非明確的策略性行為。</p> <p><span style="color:#B22222;"><strong>研究建議以OSINT補強監測機制</strong></span></p> <p>從監測機制角度來看，研究團隊指出，現行AI事件通報多仰賴新聞報導，較難涵蓋技術性較高或影響較小的事件，可能導致實際情況被低估。</p> <p>因此，研究建議以開源情報（OSINT）方式蒐集公開對話紀錄，作為補充監測手段，以更即時掌握AI在實際部署中的行為變化。此類方法可用於支援後續研究、政策制定與風險評估，並作為觀察趨勢變化的重要依據。</p> </div></div></div>
4/10 11:15作者王珮瑤https://www.ithome.com.tw/news/174959
OpenAI推出月費100美元的ChatGPT Pro方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://help.openai.com/en/articles/9793128-about-chatgpt-pro-plans" target="_blank">OpenAI本週四（4/9）公佈</a>在頂級Pro及Plus方案之間，再推出每月100美元的新Pro方案。</p> <p>現有ChatGPT個人方案中，除了免費版外，還包括月費8美元的Go、20美元的Plus與200美元的Pro方案（臺幣月費方案則為270、690及3,300元）。然而Plus和Pro中間價格和使用限額差距過大，一直以來就有在中間增加一個價格層（tier）的呼聲。如今<a href="https://help.openai.com/en/articles/9793128-about-chatgpt-pro-plans" target="_blank">OpenAI公布新方案</a>來回應用戶需求。</p> <p>新增的方案也稱為Pro。根據OpenAI的定義，相較Plus提供基本用途、可使用些許Codex和Deep Research，100美元Pro方案是為真正的專案設計，每週可使用進階工具和模型的配額是Plus的5倍，並可在限定期間內獲得10倍的Codex配額。而現有200美元月費的Pro方案則提供較Plus高出20倍的使用額度，支援長時間執行高負載工作流程，並可同時處理多個專案。</p> <p>簡言之，兩個Pro方案提供的核心功能相同，差別在配額。和Plus相較，100美元Pro和200美元Pro方案各提供5倍和20倍限額。</p> <p>Plus用戶若想升級方案，可以從OpenAI ChatGPT價格頁或自App的「設定」>「我的方案」升級。用戶選擇Pro方案後就會出現兩種方案供選擇。現有最頂級Pro方案則不受影響。兩種Pro方案用戶可以隨時經由「設定」>「我的方案」切換方案，而系統也會根據方案週期自動調整收費。</p> <p>有些地區還看不到100美元Pro方案。OpenAI表示，由於暫時性的顯示問題，土耳其、越南、南非和埃及的部份iPhone用戶無法在ChatGPT iPhone價格頁看到$100 Pro，但用戶還是可以在Apple帳號下的「訂閱」>「ChatGPT」找到「可用方案」，選擇「ChatGPT Pro 5x」來訂閱。</p> <p>目前<a href="https://chatgpt.com/zh-Hant/pricing/" target="_blank">臺灣ChatGPT方案</a>價格頁尚未顯示最新100美元Pro方案。</p> </div></div></div>
4/10 09:45作者林妍溱https://www.ithome.com.tw/news/174960
Anthropic推託管代理服務，以解耦架構簡化長時間代理部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic發表<a href="https://www.anthropic.com/engineering/managed-agents">Claude Managed Agents託管服務</a>，開發者不必自行建構代理迴圈、沙箱或工具執行層，即可透過API部署可執行長時間、多步驟任務的AI代理。其架構核心是將模型推論、執行環境與工作階段紀錄解耦，以降低控制程式中的既有假設隨模型演進而失效的風險。</p> <p>Anthropic指出，代理控制程式（Agent Harness）本質上是用來補足模型現階段能力邊界的機制，但這些補償假設會隨模型進步而過時。官方舉例，Claude Sonnet 4.5在接近上下文上限時，會出現提早結束任務的情況，團隊當時因此在控制程式中加入上下文重置機制，但同一套控制程式套用到Claude Opus 4.5後，這種情況已不再出現，原本的重置設計反而成為多餘負擔。</p> <p>Managed Agents的設計靈感來自作業系統的抽象化原則，如同作業系統將硬體虛擬化為行程（Process）與檔案（File）等抽象介面，使應用程式不必處理底層硬體細節，Managed Agents也將代理系統拆成三個彼此獨立的介面，包括負責推論決策的「腦」，也就是模型與控制迴圈，還有負責實際執行的「手」，也就是沙箱容器與工具，以及獨立儲存的工作階段日誌。三者透過標準化介面溝通，任一部分故障或需要替換，都不影響其餘部分運作。</p> <p>完成解耦後，容器改為可隨時重建與替換的執行元件，控制程式不再部署在容器內，而是透過標準介面與容器互動，如同呼叫其他工具一樣。容器故障時，控制程式會先將錯誤回傳給Claude，再由Claude判斷是否重試並啟動新容器。由於工作階段日誌獨立存放於外部，控制程式本身也成為無狀態元件，即使發生故障，也能在重新讀取事件紀錄後接續執行。</p> <p>由於推論不必再等待容器完成啟動，Anthropic表示，首次詞元回應時間（TTFT）的p50降低約60%，p95更降低逾90%。</p> <p>解耦架構也改善了安全性，過去所有元件共處同一個容器時，Claude產生的程式碼與認證資料位於同一環境，提示詞注入攻擊只要說服Claude讀取環境變數，就可能取得存取權杖。新架構下，OAuth權杖儲存在沙箱之外的獨立保管庫中，Claude透過專屬代理服務呼叫MCP工具，控制程式與沙箱全程不接觸任何認證資料。</p> </div></div></div>
4/10 09:20作者李建興https://www.ithome.com.tw/news/174958
中國駭客Silver Fox假借稅務名義從事網釣，將攻擊範圍擴大至南亞多國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>曾針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（也被稱做Void Arachne），近年來攻擊活動頻傳，駭客藉此散布後門程式Winos 4.0（ValleyRAT），不過，最近有資安公司發現，這些駭客的手法出現重大變化。</p> <p>資安公司Sekoia<strong><a href="https://blog.sekoia.io/silver-fox-the-only-tax-audit-where-the-fine-print-installs-malware/">針對Silver Fox進行長期追蹤</a></strong>，指出這些駭客的攻擊行動最早可追溯到2022年，犯案的動機是為了經濟利益，約從2024年開始，Silver Fox逐漸轉向APT型態的活動。他們主要的工具是模組化後門Winos 4.0，有些活動還會搭配Gh0st RAT變種HoldingHands，以及Blackmoon等中國駭客普遍採用的惡意軟體。值得留意的是，Sekoia發現，這些駭客從去年開始，從原本慣用的Winos 4.0轉向合法的遠端監控與管理工具（RMM），後續又改用以Python開發的竊資軟體，他們將該惡意軟體偽裝成WhatsApp的應用程式來魚目混珠。</p> <p>雖然在作案工具的運用出現變化，但是這些駭客取得受害企業組織的初期存取管道的做法，仍是偏好冒充國家稅務機關，或是以薪資檔案為誘餌。不過，駭客的活動範圍，從原本針對臺灣與中國，已經延伸到日本、馬來西亞、印度、印尼、新加坡、泰國及菲律賓等多個南亞國家的實體。</p> <p>Sekoia從去年1月開始，看到這些駭客3個階段的攻擊手法演進，第一波是針對臺灣企業組織，以稅務稽核抽查的名義，誘使收信人開啟PDF附件，導致受害電腦被植入Winos 4.0。附帶一提的是，Fortinet同年4月發現相關攻擊範圍擴大，駭客也攻擊日本企業組織。</p> <p>第二波攻擊出現在去年12月中旬，這次Silver Fox針對馬來西亞、菲律賓、泰國、印尼、新加坡、印度，雖然駭客同樣以稅務當作幌子，並延用部分基礎設施，不過這次他們並未使用PDF附件，而是直接在釣魚信嵌入連結，引誘收信人連往冒牌稅務網站，並從網站下載壓縮檔，其內容為中國品牌的遠端監控與管理工具的安裝程式。</p> <p>最近一波手法轉變出現在今年2月，這些駭客改用Python竊資軟體來取代遠端監控與管理工具。Sekoia看到的活動針對馬來西亞，但他們不排除駭客也會對南亞其他國家的企業從事類似攻擊。駭客將竊資軟體偽裝成WhatsApp應用程式，其竊得的資料除被用於網路間諜活動，還有可能用於商業郵件詐騙（BEC），或是竊取內部資料並轉售牟利。</p> </div></div></div>
4/9 17:12作者周峻佑https://www.ithome.com.tw/news/174956
全球掀起簡訊OTP禁用潮，印度、UAE金融監管新法4月生效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>全球政府禁用簡訊OTP（一次性密碼）的態勢越發顯著，在今年3月舉辦的FIDO臺灣分會活動中，就有電信身分識別專家分享此類議題，太思科技董事長何俊炘針對簡訊OTP議題說明產業對策，在解析eSIM Passkey技術發展之餘，特別指出多國政府正陸續加入禁用OTP的行列。</p> <p>回顧2024年，新加坡因網路釣魚詐騙造成至少1,420萬美元損失，為此，<strong><a href="http://www.ithome.com.tw/news/163923">新加坡金融管理局要求銀行限期汰除簡訊OTP</a></strong>，此舉引發我們關注其後續發展，隨後，當地多家銀行陸續採取行動，改以手機App作為身分驗證機制，包括<a href="https://www.dbs.com.sg/personal/support/general-digibank-security-login-authentication.html">星展銀行</a>、<a href="https://www.uob.com.sg/personal/digital-banking/digital-token.page">大華銀行</a>、<a href="https://www.ocbc.com/personal-banking/help-and-support/digital-banking/online-banking-onetoken">華僑銀行</a>等皆已推動相關措施。</p> <p>這次何俊炘在演說中進一步揭露，這股趨勢正迅速擴散：馬來西亞更早提出分階段推動，現已全面停用簡訊OTP；阿拉伯聯合大公國（UAE）則從2026年3月31日開始全面禁用簡訊OTP，印度亦從4月1日起禁止銀行以簡訊OTP為唯一認證管道，並且要求銀行負擔賠償責任。</p> <h3><span style="color:#B22222;"><strong>因應詐騙與網路犯罪，馬來西亞、UAE與印度強化金融監管</strong></span></h3> <p>我們進一步檢視相關消息，例如，<a href="https://www.bnm.gov.my/-/financial-crime-exhibition-speech-en">馬來西亞國家銀行（BNM）從2022年就開始宣布</a>，由於詐騙與網路犯罪日益猖獗，因此，業者要求高風險線上銀行作業，必須從簡訊OTP遷移至更安全的驗證方式。後續當地銀行分階段遷移，包括馬來亞銀行在內的多家銀行已於2024年9月完成過渡。</p> <p>阿拉伯聯合大公國中央銀行（CBUAE）於2025年5月發布第2025/3057號通知，明訂自2026年3月31日起，國內支付、國際轉帳及線上購物等金融交易，不得再將簡訊OTP、Email OTP或靜態密碼作為獨立驗證手段，必須改以生物辨識、App推播或FIDO等強驗證方式取代。</p> <p><a href="https://www.rbi.org.in/Scripts/NotificationUser.aspx?Id=12898&Mode=0">印度儲備銀行（RBI）於2025年9月祭出新法</a>，其頒布的《數位支付交易認證機制指令2025》，明定所有數位支付交易自2026年4月1日起，必須至少採用雙因素驗證（2FA），簡訊OTP不得單獨作為驗證方式，須搭配生物辨識、App通證或裝置綁定等更安全機制，且若未落實導致詐騙發生，銀行恐需負擔賠償責任。</p> <h3><span style="color:#B22222;"><strong>綜觀多國政府汰除簡訊OTP的態勢，其實與FIDO聯盟目標一致</strong></span></h3> <p>對於全球多國相繼禁用簡訊OTP的態勢，何俊炘分析指出，網路犯罪生態系長期將簡訊OTP視為防禦破口。攻擊者常透過社交工程、釣魚網站誘騙受害者提供驗證碼，進而非法取得雲端帳戶存取權限。</p> <p>在此類威脅日益嚴峻之下，傳統簡訊OTP的多因素驗證（MFA）已顯得力不從心，這也使得各國監管機構正加速淘汰簡訊OTP的使用。</p> <p>而這樣的政策方向，也與FIDO聯盟推動的Passkey發展高度一致。何俊炘強調，為了因應網釣攻擊，轉向具備抗網釣能力的強式MFA驗證機制已是必然。</p> <p>整體來看，我們可以發現，這股汰換浪潮並非一蹴而就，早在<strong><a href="https://www.ithome.com.tw/news/128566">前幾年舉行的FIDO研討會上</a></strong>，即指出美國國家標準技術研究所（NIST）2016年發布的數位身分認證指南，已開始建議企業不要再透過電信的簡訊與電話語音來執行二次驗證；後續美國CISA也在2019年特別<strong><a href="https://www.ithome.com.tw/news/155547">發布抗網釣MFA導入指引文件</a></strong>，明確將簡訊MFA定位為「過渡到強式MFA之前的臨時方案」；時至今日，這股趨勢已轉化為全球性的監管行動，陸續有政府將禁用OTP列入政策。</p> <p>至於未來還有哪些重要發展？隨著Passkey應用漸趨普及，讓用戶在帳號登入可防範網釣攻擊，但何俊炘指出，在帳號登入之外，帳號註冊與帳號復原等流程也需要同步升級驗證機制。何俊炘在演說中也提到<strong><a href="https://www.ithome.com.tw/news/174936">FIDO聯盟成員正與電信業合作研發應對方案</a></strong>，例如電話號碼驗證（PNV）等新技術，以及基於eSIM Passkey的技術方案，這也是全球產業正在持續探討與發展的最新態勢。<br /> </p> </div></div></div>
4/9 18:29作者羅正漢https://www.ithome.com.tw/news/174934
解決簡訊OTP難題，FIDO生態系設法與電信業者整合，電話號碼驗證PNV與eSIM Passkey成新對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期<a href="https://www.ithome.com.tw/news/174834">大量LINE帳號遭盜用</a>的事件受到廣泛關注，雖然這次事件主因在於電信業語音信箱採用預設密碼，讓攻擊者有機可乘，但整起事件背後還有其他更深層議題值得探討，因為雲端服務相關驗證機制仍仰賴OTP認證碼（一次性密碼）。</p> <p>儘管全球產業早已推動<a href="https://www.ithome.com.tw/news/155547">採用更強的多因素驗證（MFA</a>）與<a href="https://www.ithome.com.tw/news/172885">Passkey</a>，以降低雲端服務登入遭網釣風險，但許多雲端服務在帳號註冊或復原的流程中，至今仍經常依賴簡訊OTP作為身分驗證方式。</p> <p>是否已有因應之道？今年3月FIDO臺灣分會舉辦活動，太思科技董事長何俊炘在一場演說剛好談及這方面的議題，揭露<a href="https://www.ithome.com.tw/news/174934">全球多國政府陸續禁用OTP的態勢</a>之餘，更強調FIDO聯盟成員正積極與電信業合作的全新發展態勢。</p> <h3><span style="color:#B22222;"><strong>串連電信資源，電話號碼驗證PNV正興起</strong></span></h3> <p>何俊炘表示，FIDO生態系如何與電信業者深度結合，是他今年2月參與FIDO巴黎研討會時關注的核心議題。</p> <p>目前相關對策仍在持續發展中，其中有兩大技術趨勢備受矚目：一是仰賴電話號碼的電話號碼驗證（Phone Number Verification，PNV）機制，另一則是去電話號碼識別，基於eSIM Passkey的技術方案。</p> <p>關於PNV的發展，何俊炘表示，身為FIDO聯盟成員的Google，<a href="https://www.ithome.com.tw/news/173007#PNV"><strong>去年在臺解析Passkey技術時，就曾介紹PNV認證機制的進展</strong></a>，而其重點就是設法與電信業者合作。</p> <p>他進一步解釋，由於Google等許多大型雲端服務業者的用戶規模數以億計，難以逐一驗證身分，因此現行的帳號復原流程，仍會依賴電信業者協助傳送簡訊OTP。然而，鑑於簡訊OTP安全性不足，因此業界正加速轉向更安全的驗證機制，像是Google推動的PNV認證機制，就是設法與電信業者的直接整合，並藉助Firebase等服務來協調與介接。</p> <p><a href="/sites/default/files/images/Firebase PNV.jpg"><img alt="" src="/sites/default/files/images/Firebase%20PNV.jpg" style="width: 600px;" /></a></p> <p><strong>根據<a href="https://firebase.blog/posts/2026/03/firebase-pnv-public-preview/">Firebase網站</a>說明，Firebase PNV公開預覽版已於今年3月1日正式推出，象徵電話號碼驗證機制的重大演進。目前，該計畫已與芬蘭、德國、印度、荷蘭、馬來西亞及英國等多國電信業者展開深度合作。</strong></p> <p>換言之，Google新推動的PNV認證即是為了解決簡訊OTP的痛點：藉由電信業者在網路端掌握的門號、裝置與連線資訊進行背景驗證。</p> <p>另一科技大廠Meta同樣重視此議題，何俊炘表示，Meta在一個月前發布白皮書「<strong><a href="https://engineering.fb.com/wp-content/uploads/2026/02/Meta-White-Paper-The-Promise-of-Silent-Auth-APIs.pdf">The Promise of Phone Number Silent Authentication APIs</a></strong>」，也是基於相同理由聚焦靜默網路認證（Silent Network Auth）而來。</p> <p>在此同時，GSMA全球行動通訊系統協會亦積極推動標準化，在GSMA Open Gateway框架之下，提供Number Verification API，利用行動網路原生的IP位址與裝置狀態資訊來背景比對，實現無感門號驗證，並可協同SIM Swap API快速偵測該門號指定期間（如近一個月內）是否有更換SIM卡的紀錄，藉此防範帳號盜用。</p> <h3><span style="color:#B22222;"><strong>提倡「去電話號碼識別」</strong><strong>，eSIM Passkey發展成新焦點</strong></span></h3> <p>關於另一項eSIM Passkey與去電話號碼識別的發展，何俊炘表示，目前FIDO聯盟成員正與電信業者合作，評估導入eSIM Passkey的可行性，以提供更安全的MFA。</p> <p>具體而言，太思科技正與GSMA全球行動通訊系統協會討論，將eSIM Passkey API標準化，成為全球電信業者通用的Open API。在此同時，太思科技已經開始與印度、日本、歐洲等幾個國家電信業者展開合作。</p> <p>為何此機制比PNV更安全？何俊炘指出，前述的Number Verification機制本質上是被動驗證，用戶通常不會察覺驗證過程，但對於高風險交易而言，仍需要用戶主動確認。</p> <p>他進一步說明，現行GSMA Open Gateway框架雖然透過開放API提供驗證能力，但本質多屬於網路層的狀態查詢與比對。對金融業者而言，僅依賴這類網路層回報，難以滿足強式MFA、可稽核性與不可否認性等監管要求。因此，仍需由電信端或信任服務端提供更高安全性的機制，才能支撐銀行與高風險服務場景的需求。</p> <p>另一項關鍵議題在於，現行電話號碼一旦給出去就難以收回，任何人甚至AI都可以撥打或發送簡訊給你。何俊炘強調，電話號碼的本質並非為網路身分而設計，其初衷是通訊路由，而非數位身分識別。將電話號碼視為身分錨點，已帶來系統性風險，未來的信任架構應朝「去識別化即設計（De-identification by design）」發展。</p> <p>因此，這項新方案不僅是將FIDO技術延伸至eSIM層，發展出eSIM Passkey，同時也強調電話號碼去識別化，並達到身分驗證AAL2的安全水準，而且亦可整合數位身分皮夾。</p> <p>不過這項方案仍需與FIDO聯盟合作推動。新方案採用電信OTA專用通道進行驗證，與現行FIDO機制有所不同，因此這仍是目前需要持續推進的發展方向。</p> <p><a href="/sites/default/files/images/（圖2）面對簡訊OTP，PNV與eSIM Passkey成新對策.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%9D%A2%E5%B0%8D%E7%B0%A1%E8%A8%8AOTP%EF%BC%8CPNV%E8%88%87eSIM%20Passkey%E6%88%90%E6%96%B0%E5%B0%8D%E7%AD%96.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖1）面對簡訊OTP，PNV與eSIM Passkey成新對策.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9D%A2%E5%B0%8D%E7%B0%A1%E8%A8%8AOTP%EF%BC%8CPNV%E8%88%87eSIM%20Passkey%E6%88%90%E6%96%B0%E5%B0%8D%E7%AD%96.jpg" style="width: 600px;" /></a></p> <p>總結這兩項技術的發展，何俊炘指出，PNV是電信網路端發起，用戶被動接受認證的方案，某些低安全性認證情境可以取代簡訊OTP；eSIM Passkey則進一步以eSIM晶片做到AAL2加密認證，取代目前使用簡訊OTP作為MFA的場景。</p> <p>另外，對於近期LINE帳號盜用的事件，後續我們也請何俊炘分享其觀察與見解。何俊炘表示：駭客使用LINE語音驗證的前提，需要知道用戶的電話號碼，才能進入語音信箱聽取OTP。所以，根本的原因是個人資料的洩漏，如果服務商不以用戶電話號碼作為服務ID，就可以避免這樣的問題。而像是eSIM Passkey的認證方式，不需要電話號碼，不會洩漏個資。</p> <p> </p> </div></div></div>
4/9 18:52作者羅正漢https://www.ithome.com.tw/news/174936
AWS推出S3 Files，S3儲存桶現可掛載為檔案系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS發表<a href="https://aws.amazon.com/blogs/aws/launching-s3-files-making-s3-buckets-accessible-as-file-systems/">Amazon S3 Files</a>，讓通用S3儲存桶可掛載為檔案系統，供EC2執行個體、EKS工作負載與Lambda函式存取，並可用於部分ECS部署。該服務底層是Amazon EFS，活躍資料延遲約1毫秒，檔案系統與S3儲存桶之間可自動雙向同步，目前已在所有AWS商用地區上線。</p> <p>物件儲存與檔案系統長期以來是兩種不同的儲存架構，前者擅長大規模低成本儲存，後者提供應用程式熟悉的目錄結構與隨機讀寫能力。過去使用者必須根據工作負載特性擇一，或自行搭建資料搬移工作管線串接兩端。S3 Files的設計是降低物件儲存與檔案系統之間切換與同步的成本，讓支援的AWS運算資源可用標準檔案操作直接存取S3資料。</p> <p>S3 Files支援NFS v4.1以上版本的所有操作，包括檔案與目錄的建立、讀取、更新及刪除。系統採用智慧分層存取策略，經常使用的檔案會自動放置在高效能儲存層，提供低延遲存取，而大型循序讀取的檔案則直接從S3讀取以最大化吞吐量。</p> <p>透過檔案系統介面寫入的變更，會先彙整短時間內的連續寫入，再同步成S3儲存桶中的新物件或新版本。從S3端對物件所做的變更通常在數秒內更新到檔案系統，但要是檔案資料已從高效能儲存層過期，則要等到下次存取時才會從S3抓取最新版本。S3 Files支援多運算資源同時掛載存取，採用NFS的close-to-open一致性模型，適合需要多節點協作讀寫的場景。</p> <p>S3 Files整合IAM進行存取控管，支援身分與資源政策。檔案系統使用POSIX權限模型，依據UID與GID檢查檔案層級的存取權限，相關權限資訊儲存為S3物件的中繼資料，傳輸中資料一律以TLS 1.3加密，靜態資料則支援SSE-S3或透過AWS KMS使用客戶自管金鑰加密。</p> <p>AWS強調，S3 Files與Amazon FSx系列服務的定位不同。S3 Files適合資料本身就存放在S3，但需要透過檔案系統介面進行互動式共享存取的場景，AWS特別點名AI代理系統、ML訓練工作管線及多運算資源協作等工作負載。Amazon FSx則適用從地端NAS環境搬遷、HPC與GPU叢集儲存，或需要Lustre、NetApp ONTAP、OpenZFS、Windows File Server等特定檔案系統功能的需求。</p> </div></div></div>
4/9 16:24作者李建興https://www.ithome.com.tw/news/174949
AI基礎設施競賽新護城河!？美綠色資料中心業者砸5,300萬美元買下風電設施擁自主綠電來源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國專門開發及營運綠能資料中心的Soluna Holdings近期宣布以5,300萬美元收購位於德州、裝置容量150MW的風電業者Briscoe Wind Farm。從資料中心的單純用電者，轉型為能源生產者，突顯在全球AI算力基礎設施加速擴張下，能源與數位基礎設施整合的趨勢。</p> <p>Soluna藉此完成Dorothy專案的園區垂直整合，從土地、再生能源到資料中心算力基礎設施皆由該公司掌握，強化成本控制與供電穩定性。</p> <p>在永續IT架構下，能源供應已成為全球AI與高效能運算（HPC）擴張的主要瓶頸。過去仰賴電力採購協議（PPA）的模式，藉此取得再生能源，一方面降低碳排，也能避免自行建置風機或太陽能設施的成本與風險。</p> <p>然而，在全球能源價格波動加劇、供電不穩與用電需求攀升下，單純購電模式開始受到檢視。業者逐漸意識到，能源不只是永續議題，也是影響AI基礎設施競爭力的關鍵資產。</p> <p>透過持有風電資產，降低對外部電力市場的依賴，在電價波動劇烈的環境中建立長期競爭優勢。Soluna執行長John Belizaire直言，「能源主權將成為AI基礎設施競賽中最關鍵的護城河」。</p> <p>隨著電力來源到位，該公司下一階段擴張計畫「Dorothy 3」，預計在既有園區旁新增300英畝土地，打造最高可達300MW規模的再生能源AI運算園區，鎖定生成式AI與高效能運算應用。該擴建計畫將結合電網擴容與在地發電，進一步提升算力與能源配置效率。</p> <p>隨著AI帶動資料中心投資持續升溫，從「購電」走向「自發自用」的垂直整合模式，正逐漸成為永續IT發展的新主軸，也預示能源將成為下一波數位競爭的資源。</p> </div></div></div>
4/9 16:52作者蘇文彬https://www.ithome.com.tw/news/174955
【資安日報】4月9日，Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174898"><strong style="font-size: 22px;">Anthropic發布預覽版Claude Mythos，AI資安能力直逼頂尖人類駭客，該公司宣布啟動全球資安防禦計畫</strong></a></p> <p>Anthropic發表全新通用語言模型Claude Mythos預覽版，該模型已自主發現數千個橫跨作業系統、瀏覽器，以及開源軟體的零時差漏洞，並同步啟動全球資安防禦計畫Project Glasswing，集結十多家科技與金融公司，納入逾40個關鍵基礎設施組織，優先提供模型存取以加速漏洞修補。</p> <p>在Claude Mythos發現的數千個高風險漏洞裡，絕大部分是零時差漏洞，其中一個是存在於OpenBSD長達27年的問題，允許駭客癱瘓任何連線中的主機；另一個在FFmpeg找到的漏洞也存在16年，Anthropic強調，就算經過500萬次自動化測試，也無法發現這個弱點。Claude Mythos能根據使用者下達的指示，從常見的作業系統與瀏覽器找到零時差漏洞，甚至還能打造概念驗證程式碼，其中包含能串連4個瀏覽器漏洞的攻擊程式。</p> <p><a href="https://www.ithome.com.tw/news/174935"><strong style="font-size: 22px;">臺灣非政府組織、大學遭到Lua惡意軟體LucidRook攻擊</strong></a></p> <p><a href="/sites/default/files/images/Taiwan-NGO-01.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Taiwan-NGO-01.jpg" style="width: 300px; float: right;" /></a></p> <p>思科旗下威脅情報團隊Talos近日揭露名為UAT-10362的駭客團體，疑似針對臺灣的非政府組織（NGO）與大學從事網釣活動，散布名為LucidRook的惡意軟體，藉此進一步下載Lua有效酬載並執行。值得留意的是，駭客部署LucidRook的工具LucidPawn，會特別檢查受害電腦使用的語言及地理位置，只有在與臺灣有關，且使用正體中文的電腦環境，才會啟動LucidRook，上述跡象顯示這起活動極具針對性。</p> <p>針對感染LucidRook的途徑，Talos指出大致可歸納成兩種方法，分別是使用惡意LNK檔案與EXE檔，不過，這些手法存在共通點，駭客都濫用外部應用程式安全測試（OAST）服務，並滲透FTP伺服器充當C2基礎設施。</p> <p><a href="https://www.ithome.com.tw/news/174927"><strong style="font-size: 22px;">APT28針對烏克蘭與北約國家從事網路攻擊，疑串連兩個零時差漏洞散布惡意軟體Prismex</strong></a></p> <p><a href="/sites/default/files/images/pawn-storm-deploys-prisma_fig10.png" target="_blank"><img alt="" src="/sites/default/files/images/pawn-storm-deploys-prisma_fig10.png" style="width: 300px; float: right;" /></a></p> <p>今年2月，烏克蘭電腦緊急應變團隊（CERT-UA）與資安公司Zscaler先後提出警告，俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）在最新一波攻擊行動Operation Neusploit裡，將微軟1月底修補的Office零時差漏洞CVE-2026-21509用於實際攻擊，現在有最新的調查結果指出，這些駭客疑似串接另一個零時差漏洞從事相關活動。</p> <p>趨勢科技指出，他們在APT28攻擊烏克蘭與北約組織（NATO）會員國的活動當中，看到駭客使用名為Prismex的惡意軟體套件，此工具結合了隱寫術（Steganography）、元件物件模型（COM）挾持，並濫用合法雲端服務充當C2。值得留意的是，這些駭客不僅利用CVE-2026-21509，也試圖串連MSHTML框架安全功能繞過漏洞CVE-2026-21513。而對於這起攻擊行動的目的，駭客不僅從事網路間諜活動，也企圖透過資料抹除的指令進行破壞。</p> <p><a href="https://www.ithome.com.tw/news/174938"><strong style="font-size: 22px;">APT28綁架路由器從事DNS挾持，目的是AiTM網釣與情報收集</strong></a></p> <p>針對俄羅斯駭客APT28（Sofacy Group、Forest Blizzard、Fancy Bear）滲透路由器的殭屍網路活動，駭客的主要目標是將受害者導向對手中間人攻擊（AiTM）的基礎設施，藉此擷取他們的密碼、OAuth權杖（Token），以及其他憑證資料，英國國家網路安全中心（NCSC）近日公布相關調查結果，指出這些駭客的攻擊大致可分成兩種型態，目的也不盡相同。</p> <p>駭客滲透的路由器設備，廠牌大部分是TP-Link，NCSC確認至少有23款成為APT28下手的目標。其中一款型號為WR841N的設備，攻擊者疑似利用已知漏洞CVE-2023-50224，而能在未經身分驗證的情況下，透過特製的HTTP GET請求得到密碼與憑證資訊。</p> <p><a href="https://www.ithome.com.tw/news/174926"><strong style="font-size: 22px;">駭客組織UNC6783滲透業務流程外包公司，已有數十家高價值企業組織成為目標</strong></a></p> <p>軟體大廠Adobe近日傳出資料外洩，自稱是Mr. Raccoon駭客疑似從該公司印度業務流程外包商（BPO）著手，在其中一名員工的電腦植入遠端存取工具啟動攻擊流程，從而竊得Adobe內部機敏資料。如今類似的攻擊行動再度傳出，上述事故很有可能是供應鏈攻擊的一部分。</p> <p>Google威脅情報團隊（GTIG）主要威脅分析師Austin Larsen於社群網站LinkedIn指出，他們近期追蹤名為UNC6783的駭客團體，該組人馬犯案的動機是為了經濟利益，正在進行針對性的社交工程與網釣活動，GTIG已掌握有多個產業、數十家高價值企業組織成為目標。值得留意的是，Google提及UNC6783很可能與稱為Raccoon的人士有關。</p> <p><a href="https://www.ithome.com.tw/news/174931"><strong style="font-size: 22px;">電商平臺Magento遭鎖定，駭客利用SVG圖檔挾帶交易資料側錄工具</strong></a></p> <p>4月7日Sansec發現，有99個Magento電商網站出現Magecart大規模感染的跡象，駭客使用一種雙連擊（Double-tap）的交易資料側錄工具，他們將竊取信用卡資料的竊資軟體埋藏在SVG圖檔，並藉此將竊得的交易資料傳送到6個網域，而駭客可能的入侵途徑是PolyShell漏洞，該漏洞仍在持續影響未受保護的Magento商店。</p> <p>Sansec提到，金融卡側錄惡意程式（skimmer）會向消費者顯示幾可亂真的安全結帳畫面，其中包含卡片資料驗證與帳單資料的欄位，在擷取付款資料後，此側錄程式將消費者導向真正的結帳網頁，因此一般使用者難以察覺有異。</p> <p><a href="https://www.ithome.com.tw/news/174925"><strong style="font-size: 22px;">美國麻州醫療體系Signature Healthcare遭網路攻擊，化療與救護車調度受影響</strong></a></p> <p>美國麻州的主要醫療體系Signature Healthcare，公布本週稍早發生的網路攻擊事件，導致化療、救護車派送、及藥局運作受到影響。他們於4月6日首度透露此事，部分醫療系統遭網路攻擊，院方已啟動安全回應措施，暫停重要性較低的醫療服務因應。</p> <p>在發生網路攻擊事故後，院方被迫分散救護車派送任務，並取消4月7日癌症病患化療輸液服務，直到8日仍未恢復運作。有兩個地區的藥局一度被迫關閉，目前已恢復營運，不過僅提供諮詢服務，暫時無法提供病人使用處方箋領藥。</p> <p><a href="https://www.ithome.com.tw/news/174924"><strong style="font-size: 22px;">駭客聲稱入侵洛杉磯警局，竊得7.7 TB官司資料並公開文件</strong></a></p> <p>研究人員Emma Best於4月8日發現，有勒索軟體組織透過World Leaks網站，公開關於洛杉磯警局（LAPD）警官司法案件的資料，並得以下載檢視，隨後由洛杉磯時報跟進報導。此事發生的原因，可能出於外界對洛杉磯警局調查內部風紀紀錄未能向大眾公開，而感到不滿。</p> <p>這批外洩資料包含337,000份檔案，其中主要是洛杉磯警官因風紀問題遭控告文件，包含證人名字與訪談記錄、警方醫療資訊、未經遮蔽的犯罪控告與洛杉磯政府調查文件，檔案大小接近7.7 TB。值得留意的是，在一般情形下，相關調查記錄會經部分塗改才公開。</p> <p><a href="https://www.ithome.com.tw/news/174929"><strong style="font-size: 22px;">CISA警告Ivanti EPMM重大漏洞已被用於攻擊，要求盡速修補</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）近日警告，1月底揭露的重大漏洞CVE-2026-1340已被實際利用，未修補此弱點的行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM）風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。</p> <p>CVE-2026-1340屬於程式碼注入型（Code Injection）弱點，CVSS嚴重性評分達9.8分，攻擊者可在未經驗證情況下，對EPMM裝置發動遠端執行任意程式碼攻擊，Ivanti已在1月底發布修補程式，建議用戶盡速修補。</p> <p><a href="https://www.ithome.com.tw/news/174912"><strong style="font-size: 22px;">Google修補Android作業系統重大漏洞，未更新可能導致拒絕服務攻擊</strong></a></p> <p>Google近日發布2026年4月Android作業系統安全公告，修補多項漏洞，涵蓋框架層級（Framework），以及Google與恩智浦（NXP）、意法半導體（STMicroelectronics）、Thales等廠商的StrongBox元件，建議用戶盡速更新。</p> <p>在這次修補的Android漏洞中，Google認定最嚴重的是零互動（zero‑interaction）漏洞CVE‑2026‑0049，存在於核心框架元件，攻擊者可利用這個漏洞，在無需與使用者互動或額外權限的情況下，導致本機系統發生拒絕服務（DoS）的狀況。</p> <p><a href="https://www.ithome.com.tw/news/174910"><strong style="font-size: 22px;">量子威脅時程大幅提前，Cloudflare加速後量子搬遷鎖定2029年</strong></a></p> <p>Cloudflare宣布，目標在2029年全面達成涵蓋加密與身分驗證的後量子（Post-Quantum）安全。這項決定的背景，是近期量子運算領域接連出現重大突破，使得量子電腦可破解現行密碼機制的時間點（Q-Day），從業界原先普遍預估的2035年後，大幅提前至最快2029到2030年。</p> <p>促使Cloudflare加速行動的關鍵，是上周發表的兩項研究：其一是Google宣布大幅改進了破解橢圓曲線密碼學P-256的量子演算法，另一個是量子運算新創Oratomic發表的資源估算報告，指出以中性原子（Neutral Atom）量子電腦破解P-256僅需約1萬個量子位元，遠低於先前預期，其關鍵在於中性原子架構的量子位元連接性優於超導架構，每個邏輯量子位元僅需約3到4個物理量子位元，大幅降低硬體門檻。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-macos-stealer-campaign-uses-script-editor-in-clickfix-attack/">新一波ClickFix網釣鎖定macOS用戶，駭客濫用指令碼編輯器於電腦植入竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/new-chaos-variant-targets-misconfigured.html">惡意軟體Chaos鎖定組態配置不當的雲端環境，加入SOCKS代理伺服器功能隱匿行蹤</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/masjesu-botnet-emerges-as-ddos-for-hire.html">殭屍網路Masjesu綁架物聯網裝置，提供受僱型DDoS服務</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/missile-alert-phishing-iran-us-israel-microsoft-logins/">駭客冒充政府機關發送的飛彈空襲警報，意圖騙取使用者的M365帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://stock.ltn.com.tw/article/v4dvex7mh6hf">針對臺灣子公司頻光半導體遭到勒索軟體攻擊，母公司九州電子說明影響範圍與處理過程</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174916"><strong>【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174890"><strong>【4月7日】Claude Code資料外洩事故成駭客散布惡意軟體的新誘餌</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174853"><strong>【4月2日】手機門號語音信箱預設密碼成Line帳號盜用新破口</strong></a></p> </div></div></div>
4/9 14:41作者周峻佑https://www.ithome.com.tw/news/174940