iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 17篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

後門程式BPFDoor出現變種，駭客透過C2路由與ICMP中繼手法逃過偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在3月底，資安公司Rapid7揭露<strong><a href="https://www.ithome.com.tw/news/174715">中國駭客Red Menshen（Earth Bluecrow）的攻擊行動</a></strong>，駭客鎖定電信網路部署後門程式BPFDoor，長時間潛伏在4G與5G核心網路環境，近期該公司再度公布最新調查結果，指出駭客已發展出多個新的變種，其中導入了C2路由與網際網路控制訊息協定中繼（ICMP Relay）手法，使得該後門程式的活動更加難以追蹤。</p> <p><strong><a href="https://www.rapid7.com/blog/post/tr-new-whitepaper-stealthy-bpfdoor-variants/">Rapid7總共發現7個BPFDoor的變種</a></strong>，其中最重要的兩個是httpShell和icmpShell。該公司指出，駭客使用BPFDoor的時間長達數年，這幾年隨著資安工具的偵測機制出現變化，而調整手法，其中一種就是早期版本的無檔案執行策略，駭客在成功啟動BPFDoor後，就將檔案刪除，目的是讓資安人員難以採集證據；後來EDR具備對應的偵測機制，httpShell的開發團隊就調整手法，不再刪除惡意程式檔案，而是將其混入一般的系統處理程序裡。</p> <p>BPFDoor是執行在Linux系統核心層級的後門程式，其特點就是從作業系統的核心濫用Berkeley封包過濾器（BPF），檢查來自C2的流量，一旦攻擊者透過無狀態協定的隧道傳送特製觸發封包，此後門程式就能在受害企業組織難以偵測的狀態下，持續於網路環境活動。</p> <p>究竟新的變種出現那些變化？其中被稱做httpShell的BPFDoor變種，採用核心層級的封包過濾器，同時驗證IPv4與IPv6的流量，並利用HTTP隧道機制截取隱藏的命令，駭客加入Hidden IP（HIP）欄位進行動態路由。此後門程式具備核心層級的解密機制，透過偏移迴避偵測（Offset Evasion）、IPv6限制等作法，來隱匿相關活動。</p> <p>另一個變種是icmpShell，駭客通常會用於受到高度限制的環境，其特點是設置動態的PTY隧道，連線階段（Session）通常完全運用ICMP協定來進行。此變種會向系統核心注入動態的BPF過濾器，並綁定惡意程式執行的處理程序識別碼（PID），由於每次執行的PID都不同，使得靜態的防火牆規則難以防範。icmpShell另一個特色是具備多種運作模式，除基本的Shell功能，駭客實作了雙向ICMP隧道、UDP與ICMP的打孔（hole-punching）機制，以及RC4加密機制。</p> </div></div></div>
4/16 15:10作者周峻佑https://www.ithome.com.tw/news/175114
從產業界角度看FIDO最新3大趨勢，可驗證數位憑證（VDC）與認識你的Agent（KYA）成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了幫助國內產業掌握FIDO最新發展態勢，近期FIDO臺灣分會於今年3月舉辦分享活動，邀請多位親赴FIDO巴黎研討會的專家分享第一手觀察，透過解析會議中的關鍵動態，協助國內產業深入了解最新趨勢，為未來的身分識別轉型做好準備。</p> <p>這次活動除了有<strong><a href="https://www.ithome.com.tw/news/175115">工研院專家解析FIDO聯盟正聚焦三大議題</a></strong>：數位憑證（Digital Credential）、代理式AI（Agentic AI）、歐盟CRA（Cyber Resilience Act），現場還有多位產業人士解析FIDO聯盟最新進展，當中同樣有針對上述三大態勢提出深度解析。</p> <p>例如，關於FIDO與數位憑證的發展上，全景軟體副總經理陳俊良表示，FIDO聯盟的政府部署工作小組（GDWG）在去年9月，曾發表一份與數位憑證相關的<strong><a href="https://fidoalliance.org/passkeys-and-verifiable-digital-credentials-a-harmonized-path-to-secure-digital-identity/">白皮書</a></strong>，名為《Passkeys and Verifiable Digital Credentials (VDC): A Harmonized Path to Secure Digital Identity》。</p> <p>陳俊良解釋，這份白皮書在探討通行密鑰（Passkey）與可驗證數位憑證（VDC）如何協調運作。首要重點是，此白皮書開宗明義指出Passkey與VDC是互補的解決方案，而非競爭關係。Passkey作為Web存取的安全門戶，而VDC則在高風險交易中提供驗證資料；其次，Passkey技術本身僅聚焦登入安全，現在則是進一步探討核發前的身分驗證。</p> <p><a href="/sites/default/files/images/（圖6）2026_FIDO台灣分會解析最新態勢_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%892026_FIDO%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E8%A7%A3%E6%9E%90%E6%9C%80%E6%96%B0%E6%85%8B%E5%8B%A2_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>全景軟體副總經理陳俊良表示，目前趨勢方向是透過VDC來支援Passkey的核發與帳戶復原，提升實名身分認證的可信度。該白皮書也點出，全球已有許多國家正加速布局VDC的發展。</strong></p> <p>對於FIDO應對代理式AI的討論，東擎科技軟體技術二部資安產品經理劉佳明表示，在這次研討會上他也深刻觀察到Agent時代的認證挑戰。他進一步剖析，當AI Agent成為具備執行力的行動者，傳統驗證將出現困境。過去我們驗證的是「人是否為本人」，但在AI Agent時代，當Agent遠端向系統發送請求，系統如何確認它還是那個Agent？</p> <p>針對此態勢，FIDO聯盟成員正積極探討KYA（Know Your Agent），也就是「認識你的代理人」的概念。劉佳明認為，KYA是未來趨勢，是必要的起點，但尚未解決此刻Agent是否可信的問題，像是KYA要求「持續監控Agent行為」，這在現實中是一大挑戰。舉例來說，Passkey可以驗證是本人授權每個動作，但Agent每日執行數百個動作，人類的耐心是有限的。</p> <p>他另提到，從硬體製造角度來看，KYA在發展上還要考量多層防線，像是需要Hardware in the Loop，也就是Agent執行過程中，由硬體層判斷當前狀態是否允許操作，硬體Root of Trust（RoT）同樣是必要條件，確保安全策略不被竄改，並提供完善的憑證保護。另外，雖然KYA驗證了Agent身分，但Agent遭受提示注入或記憶投毒的問題，則是另一層面的嚴峻挑戰。</p> <p>至於FIDO與CRA之間的探討，劉佳明指出，這也是他們硬體廠商非常關注的重要議題。他認為，儘管CRA於2027年正式生效，但漏洞通報規範今年9月率先上路，若等明年相關指引出爐才倉促應對是完全來不及，因此目前其公司內部是以全公司規模去做準備。另外他也推薦，可參考FIDO聯盟提出的「5步驟輕量化CRA合規計畫」。</p> <p><a href="/sites/default/files/images/（圖3）2026_FIDO台灣分會解析最新態勢_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892026_FIDO%E5%8F%B0%E7%81%A3%E5%88%86%E6%9C%83%E8%A7%A3%E6%9E%90%E6%9C%80%E6%96%B0%E6%85%8B%E5%8B%A2_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>東擎科技軟體技術二部資安產品經理劉佳明表示，他注意到FIDO聯盟提出一套「5步驟輕量化CRA合規計畫」，從釐清製造商、界定CRA合規義務歸屬開始，一步步到驗證準備就緒，其流程極具參考價值，足以供外界業者借鏡。</strong></p> </div></div></div>
4/16 16:23作者羅正漢https://www.ithome.com.tw/news/175116
Python後門ViperTunnel被用於勒索軟體DragonForce活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年活動頻頻的勒索軟體DragonForce，<strong><a href="https://www.ithome.com.tw/news/168799">傳出對多家英國零售公司發動攻擊</a></strong>，後續在臺灣<strong><a href="https://www.ithome.com.tw/news/173247">也有企業疑似受害</a></strong>。在最近一起攻擊行動當中，駭客使用新的後門程式來隱匿行蹤，引起資安公司的注意。</p> <p>資安公司InfoGuard<strong><a href="https://labs.infoguard.ch/posts/slithering_through_the_noise">在最近一起DragonForce攻擊行動裡</a></strong>，發現不尋常的現象：其中一個工作排程任務竟在無命令列參數的條件下執行，由於在正常的Windows環境，未下達指令碼的路徑或參數相當少見，該公司起初推測攻擊者使用DLL側載手法，不過進一步調查後發現並非如此，攻擊者濫用Python的自動匯入功能，讓惡意程式碼在電腦啟動時自動執行。</p> <p>駭客使用的惡意程式，是以Python為基礎打造的後門程式ViperTunnel，駭客將其偽裝成系統檔案b5yogiiy3c.dll，不過本質上是以系統程式庫形成建立的Python指令碼，為了避免他人識破，駭客採用3種演算法與壓縮機制進行處理，此後門程式採用SOCKS5隧道建立通訊。根據調查結果，攻擊者的身分是EvilCorp旗下的UNC2165。</p> <p>InfoGuard也提及駭客還會搭配另一個惡意程式ShadowCoil，此為Python打造的竊資軟體，可針對以Chromium為基礎的瀏覽器竊取使用者憑證，後來也支援對Firefox發動攻擊。</p> <p>針對這起事故的調查結果，代表使用ViperTunnel的駭客正在轉型，而兩款惡意程式在混淆手法上出現顯著的技術程度差異，代表開發團隊可能不同。值得留意的是，ShadowCoil近期加入了Linux除錯器檢查機制，顯示駭客可能朝向跨平臺發展。再者，這些惡意程式的基礎設施不採用8000部等常見的通訊連接埠，並搭配偽造的標頭來妨礙偵察，使得攻擊來源更加難以解析。</p> </div></div></div>
4/16 17:04作者周峻佑https://www.ithome.com.tw/news/175119
樹莓派OS新版改變預設行為，sudo指令需輸入密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>樹莓派（Raspberry Pi）釋出作業系統<a href="https://www.raspberrypi.com/news/a-security-update-for-raspberry-pi-os/">Raspberry Pi OS 6.2版本</a>，這是自去年推出的Trixie版本第二次更新，本次版本最受關注的調整在於新安裝系統預設停用無密碼sudo，使用者執行具有管理者權限的指令時，需先輸入當前帳號的密碼。其目的在於封堵一般使用者帳號可直接取得管理者權限的安全缺口。</p> <p>官方強調，此次預設行為變更不會影響既有安裝的升級行為，升級後的系統雖然Control Centre中會出現Admin Password開關，但無密碼sudo仍維持啟用狀態，除非使用者自行關閉。</p> <p>在Linux系統中，一般使用者若需執行管理者層級的操作，通常會在指令前加上sudo作為前綴，讓系統以管理者身分執行該動作。Raspberry Pi OS過去為了便於操作，長期將一般帳號設定為無需輸入密碼即可使用sudo，但此設計也意味著任何能存取該裝置的人，都可從一般帳號直接進行管理者動作，其中包含潛在的惡意操作。</p> <p>從6.2版起，新安裝系統中的一般帳號執行sudo時，終端機會立即出現密碼輸入提示，輸入正確密碼後指令才會繼續執行，輸入錯誤則會被拒絕。桌面環境中涉及管理者權限的操作，例如Control Centre中的部分設定項目，也會跳出對話框要求輸入密碼。官方表示，輸入一次密碼後，5分鐘內的後續sudo操作不會再次詢問，降低重複輸入造成的操作負擔。</p> <p>對於不希望每次被詢問密碼的使用者，Raspberry Pi OS保留了切換選項。桌面版使用者可開啟Control Centre，於System分頁切換Admin Password開關，關閉後系統將還原為過去的無密碼sudo行為。不含桌面環境的Raspberry Pi OS Lite版使用者，則可透過raspi-config工具的System選單調整相同設定。</p> <p>在公告留言區，有使用者抱怨此舉增加操作不便，可能影響無頭（Headless）裝置與自動化腳本等既有使用情境，也有人認為應在映像檔製作或安裝流程中提供切換選項。官方表示，面對網路攻擊威脅日益升高，此類調整可能造成部分習慣原有操作方式的使用者不便，但仍選擇更動預設設定，以提升系統的基本安全性。</p> </div></div></div>
4/16 15:52作者李建興https://www.ithome.com.tw/news/175109
FIDO身分識別觸角擴大，聚焦3大關鍵議題：數位憑證、AI代理、歐盟CRA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>想要了解「網路身分識別」的最新發展，FIDO聯盟揭露的技術路線向來是了解相關產業發展的風向球。相較於前幾年聚焦以通行密鑰（Passkey）取代密碼，以及IoT開放標準協定FDO及支付領域Payment Passkey應用，2026年則展現出全新的探討重心。</p> <p>在今年2月舉行的<a href="https://fidoalliance.org/fido-paris-seminar-2026/">FIDO巴黎研討會</a>中，數位憑證與代理式AI已躍升為核心議題，歐盟網路韌性法案（CRA）亦是討論焦點。這些動向不僅展現FIDO正擴張其接軌範疇，也預示著身分識別在AI代理時代面臨的全新挑戰。</p> <h2><strong>FIDO技術迎來全新布局，從Passkey普及邁向多元生態接軌</strong></h2> <p>有哪些全新發展重點？近期參加FIDO巴黎研討會的工業技術研究院資通所副所長黃維中指出，他在今年會議上觀察到3大核心議題：數位憑證、代理式AI，以及歐盟網路韌性法案（CRA）。</p> <h3><strong><span style="color: rgb(178, 34, 34);">焦點一：數位憑證（Digital Credential）</span></strong></h3> <p>首先是數位憑證與FIDO的結合。黃維中解釋，過去FIDO標準主要聚焦於「身分驗證」動作，相當適用於不需實名認證的場景。然而，隨著數位錢包（Digital Wallet）興起，如何安全存放並使用數位駕照、護照等數位憑證，已成為產業發展的新關鍵。</p> <p>針對此態勢，FIDO聯盟已展開布局。黃維中指出，為因應數位憑證帶來的新需求，FIDO聯盟近兩年陸續推出DocAuth（文件驗證）與Face Verification（人臉驗證）兩大標準，以解決數位憑證在線上註冊（Onboarding）時的信任挑戰。</p> <p>不過，在目前的數位憑證生態系中，FIDO僅扮演其中一個環節，主要負責裝置間的互動。例如，在歐盟eIDAS規範下，App與錢包間的近距離互動即是採用FIDO的CTAP協議。至於數位憑證本身的標準，目前仍多由OpenID基金會、W3C、IETF等組織主導，還有像是ISO 18013中的行動駕照mDL標準。</p> <p>未來有哪些重要變化值得關注？黃維中點出FIDO數位憑證工作小組（DCWG）的最新動向。他表示，在納入數位錢包應用後，多了「驗證者（Verifier）」與「憑證管理器／錢包（Credential Manager）」的角色，因此FIDO的角色也會變得與以往不同。</p> <p>基於此架構，DCWG未來將鎖定兩大發展重點：第一是推動數位錢包的認證，確保其安全性與互通性，第二是驗證者識別規範制定，也就是確認「請求資料的驗證方」是否合法合規，確保憑證交換過程的安全。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>焦點二：代理式AI（Agentic AI）</strong></span></h3> <p>談到這次巴黎研討會最大的收穫，黃維中直言，FIDO與代理式AI的交會點最引人注目，卻也最令專家戒備。他強調，一旦AI代理能在系統面前「像人一樣行動」，身分、授權與責任邊界將同步被放大，風險不容忽視。</p> <p>黃維中轉述會中專家是如何看待代理式AI，首先，FIDO聯盟將AI代理的互動模式歸納為3類，分別是：Delegation（委任）、Impersonation（冒充）、Just-in-Time（及時授權）。</p> <p>在3種互動模式當中，委任模式被認為相對完整且具防禦餘地。例如，使用者以Passkey進行授權後，發出如OAuth Token的憑據給AI代理執行任務。黃維中強調，Passkey是目前唯一能驗證你是真實人類親自在場（Human in the loop）的技術。此外，目前討論熱度高的MCP若搭配OAuth也可行，但需注意OAuth去年針對此類需求新增了條文，企業應採用最新版本以確保完整性。</p> <p>冒充互動模式則被視為高風險區，黃維中指出，現行AI代理出現代理失控案例多與此模式有關，因為使用者在設定檔中將權限完全開放。</p> <p>至於Just-in-Time互動模式，則被視為在效率與人類把關之間折衷的做法。簡單而言，使用者一開始先給最基礎的授權，之後Agent想要執行任何關鍵動作時，再即時進行一次驗證授權。</p> <p>那麼FIDO聯盟在Agentic AI浪潮下將有哪些行動？黃維中指出兩個討論重點：</p> <p>（一）在目前的技術討論中，Passkey被視為極少數能有效確認「使用者親自在場」的技術手段。所以Agent要安全，流程中一定要有Passkey驗證。</p> <p>（二）為了進一步提升AI代理的安全性，FIDO聯盟正規畫制定一套技術規範，將Passkey授權憑證當作Agent的授權證明，從中規範代理能做什麼、不能做什麼。一旦出問題，至少能證明當初授權的範圍，責任歸屬會比較明確。因此，FIDO也將定義這種授權證明的格式，預計這是FIDO聯盟這一兩年會熱烈討論的方向。</p> <p>黃維中也補充，這類以Passkey簽署的授權證明，在臺灣現行環境下，將能與數位簽章制度的適用性討論接軌，強化法律上的證據力，因此，這類技術對於金融、政府與大型平臺業者同樣具參考價值。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>焦點三：歐盟CRA（Cyber Resilience Act）</strong></span></h3> <p>最後一個重點是歐盟網路韌性法案（CRA），就目前聯盟討論方向來看，CRA法案與FIDO的發展路線有重疊與交集之處。</p> <p>首先是技術對齊方面，CRA要求裝置內必須有Root of Trust（信任根），與FIDO聯盟要求一致；其次是流程規範方面，FIDO標準對於各項技術步驟如何生效、如何驗證都有明文規定。</p> <p>第三點是最重要的CRA通報時程要求，也就是業者若發現漏洞必須在24到72小時內向主管機關完成通報，否則面臨巨額罰款或產品禁售。黃維中指出，企業若採用自訂規格需自行發現、追蹤並回報漏洞；相對地，如果企業是採用FIDO標準，FIDO聯盟在漏洞追蹤、提供通報歐盟所需規格文件上，可以更容易合規。這種標準化的價值不僅在 CRA，在歐盟其他合規要求中也一再被提到。</p> </div></div></div>
4/16 15:55作者羅正漢https://www.ithome.com.tw/news/175115
【資安日報】4月16日，17年前的Excel漏洞驚傳遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175102"><strong style="font-size: 22px;">駭客正在利用17年前的Excel漏洞展開攻擊</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）將兩個安全漏洞列入已知遭利用漏洞清單（KEV），要求美國聯邦機構於兩週內修補，一個是微軟甫修補的SharePoint Server漏洞CVE-2026-32201，另一個則是現身於17年前、微軟於2009年修補的Excel漏洞CVE-2009-0238。</p> <p>根據微軟在17年前的公告，CVE-2009-0238是個記憶體毀損漏洞，當使用者開啟包含異常物件的特製Excel檔案時，駭客便能成功利用該漏洞，自遠端執行任意程式碼，進而掌控使用者電腦，包括安裝程式、檢視、變更或刪除資料，或是建立具備完整權限的新帳號。</p> <p><a href="https://www.ithome.com.tw/news/175088"><strong style="font-size: 22px;">CISA在微軟揭露SharePoint漏洞當下即同步納入KEV清單，顯示風險急迫</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）以少見的急迫速度，在微軟於4月14日揭露SharePoint漏洞CVE-2026-32201的同時，便將其納入已知遭利用漏洞清單（KEV），要求各機構立即修補，顯示此漏洞的風險正迅速升高。</p> <p>這個SharePoint漏洞，是微軟4月例行更新修補的165個漏洞之一，屬於輸入驗證不當（Improper Input Validation）類型弱點，攻擊者一旦成功利用此漏洞，將能在未經授權下透過網路執行欺騙操作，會影響SharePoint伺服器訂閱版、SharePoint伺服器2019版與SharePoint Enterprise伺服器2016版，微軟已在更新中提供修補。</p> <p><a href="https://www.ithome.com.tw/news/175099"><strong style="font-size: 22px;">ShinyHunters聲稱從遊戲公司Rockstar Games竊得兩款網路遊戲的內部資料</strong></a></p> <p><a href="/sites/default/files/images/20260414_083628214651146639906719-1.jpg" target="_blank"><img alt="" src="/sites/default/files/images/20260414_083628214651146639906719-1.jpg" style="width: 300px; float: right;" /></a>製作《俠盜獵車手VI（GTA VI）》的知名遊戲公司Rockstar Games傳出資料外洩事故，ShinyHunters於4月11日聲稱入侵了該公司的Snowflake平臺，竊得大量資料，要求4月14日前支付贖金，否則就要公開手中握有的資料。最早揭露此事的資安新聞網站HackRead與Cybersec Guru指出，駭客並非直接對Snowflake發動網攻，而是經由AI績效分析平臺Anodot得逞。</p> <p>後續Rockstar Games坦承有發生資料外洩的情況，不過並未透露其他細節。ShinyHunters已公開竊得資料的部分檔案截圖，Cybersec Guru指出內容多與網路版遊戲有關，涵蓋GTA Online、Red Dead Online兩款遊戲，以及部分玩家的個人可識別資料（PII），再者，這份資料也呈現GTA Online的財務資料，其中光是鯊魚現金卡（Shark Card）就創造了超過50億美元的收入。</p> <p><a href="https://www.ithome.com.tw/news/175103"><strong style="font-size: 22px;">瑞典指控親俄駭客去年試圖攻擊供熱廠</strong></a></p> <p>瑞典民防部長Carl-Oskar Bohlin週三在首都舉行的記者會上指出，該國一座供暖廠於2025年春天，遭到親俄駭客組織攻擊，試圖破壞營運。由於廠內的資安防護啟動，阻止了該次入侵。入侵未遂目標是營運科技（OT）系統，即控制發電廠、水務設施及製造設備等實體基礎設施的工業控制系統。該供暖廠位於瑞典西部，但他並未透露是哪一座廠受到攻擊。瑞典安全部門調查確認，攻擊者可能與俄羅斯情報機構有聯繫。</p> <p>在瑞典的攻擊行動之前，挪威、丹麥、拉脫維亞及波蘭也在先後經歷了類似的攻擊。波蘭官員今年1月發布報告，指出2025年12月29日至30日間，兩座熱電共生（CHP）電廠、負責管理風力與光電設施的再生能源調度系統遭到攻擊，但遭到阻擋。調查結果將矛頭指向親俄駭客組織Sandstorm。</p> <p><a href="https://www.ithome.com.tw/news/175087"><strong style="font-size: 22px;">Chrome Web Store出現108款惡意擴充程式</strong></a></p> <p>資安業者Socket指出，他們在Chrome Web Store發現了108款共用C2基礎設施的惡意擴充程式，這些偽裝成通訊、播放器、遊戲或工具的擴充程式，可竊取使用者的Google帳戶、Telegram帳號或瀏覽行為，並將它們傳送到cloudapi[.]stream。</p> <p>此次揭露的擴充程式涵蓋Telegram擴充工具、影音播放器、翻譯服務及各類小遊戲等常見應用，安裝後仍可正常運作，降低使用者警覺。但實際上會在背景透過OAuth機制擷取Google帳戶的電子郵件、名稱與唯一識別碼（sub），並持續蒐集瀏覽行為資料。</p> <p><a href="https://www.ithome.com.tw/news/175089"><strong style="font-size: 22px;">PHP套件管理器Composer爆兩指令注入漏洞，可觸發任意指令執行</strong></a></p> <p>PHP生態系受廣泛使用的套件管理工具Composer，存在兩個高嚴重性指令注入漏洞CVE-2026-40261與CVE-2026-40176，問題均源自Perforce版本控制整合模組，在建構Shell指令時，未對外部輸入做適當跳脫處理。其中CVSS評分達8.8的CVE-2026-40261，可透過惡意Composer套件儲存庫遠端觸發，且不需要用戶端安裝Perforce即可執行任意指令，形成軟體供應鏈攻擊風險，Composer開發團隊已釋出2.2.27與2.9.6版修補。</p> <p>兩個漏洞的根本成因相似，都是Composer的Perforce驅動程式在組合系統指令時，直接將外部提供的參數嵌入指令字串，未經過濾或跳脫處理，導致攻擊者可藉由在參數中夾帶Shell特殊字元來注入任意指令。</p> <p><a href="https://www.ithome.com.tw/news/175079"><strong style="font-size: 22px;">Apache Tomcat修補多個高風險漏洞，最嚴重漏洞可能導致加密機制遭到繞過</strong></a></p> <p>Apache軟體基金會近日發布安全公告，修補Java應用程式伺服器軟體Apache Tomcat存在的多個漏洞，建議用戶儘速更新。</p> <p>最嚴重的是涉及EncryptInterceptor元件加密機制的2個高風險漏洞，CVSS嚴重性評分均為7.5。以EncryptInterceptor元件的漏洞為例，資安公司Oligo Security研究人員發現的第1個漏洞CVE-2026-29146，問題出在EncryptInterceptor元件預設使用密碼區塊連結（CBC）模式，可能導致攻擊者在特定條件下解密攔截到的流量，但資安公司Striga.ai研究人員發現Apache Tomcat對此漏洞發布的最初修補並不完全，修補機制可能遭到繞過，產生第2個漏洞CVE-2026-34486，必須升級到進一步修補的新版本才能解決問題。</p> <p><a href="https://www.ithome.com.tw/news/175098"><strong style="font-size: 22px;">研究人員揭露wolfSSL函式庫重大漏洞，未修補可能導致不安全憑證通過驗證</strong></a></p> <p>IoT、車用與嵌入式系統常用的SSL通訊函式庫wolfSSL，近日發布安全公告，修補可能導致驗證失效的重大漏洞，攻擊者可利用偽造憑證通過驗證。開發商wolfSSL公司已於4月8日發布wolfSSL 5.9.1版修補此漏洞，由於wolfSSL函式庫廣泛應用於IoT與嵌入式裝置，此漏洞可能影響大量設備，用戶應儘速完成修補，以降低遭攻擊風險。</p> <p>這次修補的漏洞編號為CVE-2026-5194，屬於憑證驗證不當（Improper Certificate Validation）類型弱點，CVSS v4.0嚴重性評分達9.3分，問題源自憑證驗證過程中，未正確檢查憑證hash/digest大小與物件識別碼（Object Identifier，OID）等資訊，從而會降低憑證驗證的安全性，導致系統在特定情況下可能接受不安全的憑證。</p> <p><a href="https://www.ithome.com.tw/news/175096"><strong style="font-size: 22px;">OpenSSL 4.0清理十年技術債，加入後量子密碼與ECH支援</strong></a></p> <p>加密函式庫OpenSSL專案正式釋出4.0版，移除SSLv3協定支援、SSLv2 Client Hello與Engine機制，並新增Encrypted Client Hello（ECH）支援及後量子相關密碼學功能，是改版幅度較大的主要版本更新。</p> <p>本次受矚目的新功能，是依循RFC 9849規範實作的ECH支援。ECH可將TLS交握過程中的敏感Client Hello內容加密，包含實際SNI等資訊，降低網路路徑上第三方辨識連線目標的可能性，強化TLS隱私保護。再者，開發團隊還新增多項密碼學功能，涵蓋中國商用密碼演算法、後量子密碼，以及新的雜湊函式等支援，例如RFC 8998相關功能、sm2sig_sm3、curveSM2、curveSM2MLKEM768、ML-DSA-MU與cSHAKE。在TLS層面，4.0版也新增TLS 1.2的FFDHE金鑰交換協商支援。</p> <p><a href="https://www.ithome.com.tw/news/175081"><strong style="font-size: 22px;">Anthropic新模型Claude Mythos引發金融業資安疑慮，美英加監理機關關注風險</strong></a></p> <p>AI模型開發商Anthropic於4月7日公布Claude Mythos預覽版本，因其具備強大的尋找並利用軟體弱點能力，引起金融業與監理機關注意。根據路透社與金融時報報導，美國、英國與加拿大主管機關近期已與銀行高層討論相關風險，顯示這類具攻防雙重用途的AI模型，正被視為影響企業資安防禦節奏的重要變數。企業AI資安業者Guardrail Technologies執行長TJ Marlin接受路透社採訪時指出，Claude Mythos這類先進模型能夠橫跨複雜系統架構進行分析，包括企業內部長期累積的舊系統環境，使過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業彼此之間高度連結，多數機構採用相似的軟體來進行開戶流程（onboarding）、客戶審查計畫（KYC）驗證與交易處理，一旦攻擊手法可規模化運用，影響可能迅速擴散。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-agingfly-malware-used-in-attacks-on-ukraine-govt-hospitals/">烏克蘭政府、醫院遭到惡意軟體AgingGly攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-plugin-suite-hacked-to-push-malware-to-thousands-of-sites/">逾30個WordPress套件被植入惡意程式碼，允許攻擊者未經授權存取網站</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/janelarat-malware-targets-latin.html">拉丁美洲銀行遭遇惡意軟體JanelaRAT攻擊，巴西是主要目標，去年有近1.5萬次活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/north-koreas-apt37-uses-facebook-social.html">北韓駭客APT37濫用臉書從事社交工程攻擊，企圖傳遞惡意軟體RokRAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/n8n-webhooks-abused-since-october-2025.html">工作流程自動化平臺n8n遭到濫用，攻擊者從事網釣長達半年</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175084"><strong>【4月15日】微軟、SAP、Adobe發布本月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175043"><strong>【4月14日】OpenAI證實遭遇Axios供應鏈攻擊波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175020"><strong>【4月13日】CPUID網頁被入侵，駭客散布木馬程式STX RAT</strong></a></p> </div></div></div>
4/16 13:11作者周峻佑https://www.ithome.com.tw/news/175111
Nginx網頁管理介面元件Nginx UI存在重大漏洞，有資安公司警告已遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網頁伺服器Nginx的第三方網頁管理介面Nginx UI存在重大漏洞，後續傳出遭到利用，由於攻擊者可用來在無須通過身分驗證的情況下接管網頁伺服器，這個弱點受到資安界高度關注。</p> <p>這個漏洞被登記為<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-33032">CVE-2026-33032</a></strong>，起因是Nginx UI與模型上下文協定（Model Context Protocol，MCP）整合時，會曝露兩個HTTP端點/mcp與/mcp_message，其中的/mcp同時需要從白名單IP位址並通過身分驗證，才能存取，不過/mcp_message只需透過白名單IP位址就能存取，然而IP位址白名單預設沒有任何內容，再加上中間軟體預設允許所有的存取，導致未經身分驗證的攻擊者能使用所有的MCP工具，將Nginx重新啟動，或是建立、竄改、刪除組態設定檔案，甚至能觸發自動設定重新載入，完全挾持Nginx服務，CVSS風險評為9.8分（滿分10分），相當危險。</p> <p>值得留意的是，無論是<strong><a href="https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-h6c2-x2m2-mwhf">開發者於3週前發布的資安公告</a></strong>，還是美國國家漏洞資料庫<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2026-33032">於3月30日記錄的內容</a></strong>，都強調該漏洞未有修補程式，不過通報漏洞的資安公司Pluto Security<strong><a href="https://pluto.security/blog/mcp-bug-nginx-security-vulnerability-cvss-9-8/#post-item-10">於4月15日的部落格文章指出</a></strong>，Nginx UI開發團隊<strong><a href="https://github.com/0xJacky/nginx-ui/releases/tag/v2.3.4">已於3月15日發布的2.3.4版</a></strong>完成修補，為何會有這種資訊落差，目前不得而知，為求保險起見，用戶應升級最新版本（目前是2.3.6版）因應。</p> <p>CVE-2026-33032被用於攻擊行動的情況，最早是資安公司Recorded Future<strong><a href="https://www.recordedfuture.com/blog/march-2026-cve-landscape">於4月13日提出警告</a></strong>，他們在3月份發現有31個漏洞遭到駭客積極利用，其中一個就是CVE-2026-33032。至於攻擊者如何利用，該公司並未進一步說明。</p> <p>Pluto Security在部落格文章說明漏洞細節，由於Nginx UI的特定功能缺乏身分驗證流程，使得12種MCP工具曝露，其中一種是能以自動重新載入的方式將Nginx組態設定寫入，攻擊者只要使用一次未經身分驗證的API呼叫，就能注入設定並接管Nginx。</p> <p>該公司將CVE-2026-33032命名為MCPwn，並指出該漏洞的發現，代表開發者將MCP與現有應用程式整合，MCP端點會繼承應用程式的完整功能，卻不一定具備原本的安全機制，而有可能因為能繞過應用程式所有的身分驗證機制，而形成可被利用的後門。Pluto Security透過物聯網搜尋引擎Shodan，在超過50個國家找到2,689個Nginx-UI執行個體（Instance），這些都是攻擊者的潛在目標。</p> <p>利用CVE-2026-33032，攻擊者總共能取得12種工具，其中7種能對Nginx造成破壞，另有5種可用於偵察。而且攻擊流程大致只有兩個步驟，一是利用漏洞建立通過身分驗證的SSE連線，再來是在上述連線狀態下呼叫想要使用的工具，過程裡完全無須通過身分驗證流程。對於該漏洞可能造成的影響，攻擊者可攔截所有流量、挖掘管理員憑證、取得永久存取權限、洩露網站架構，或是終止網站服務的運作。</p> </div></div></div>
4/16 12:20作者周峻佑https://www.ithome.com.tw/news/175108
行政院將建置國家級海洋雷達觀測網，跨部會整合海洋觀測資料，用AI強化海域監測與預警應變能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著海洋活動日益頻繁、海象風險持續升高，因應我國海洋監測量能不足與資訊分散的挑戰。行政院在今天(4/16)通過海洋委員會自去年起啟動的「國家級海洋雷達觀測網」建置計畫，鎖定跨部會資料整合與AI應用兩大核心，試圖打造一套具備即時監測、智慧分析與決策支援能力的海域感知系統。</p> <p>目前國內海洋雷達站分散於不同單位，包括國家海洋研究院、交通部與國科會等機構，各自建置與管理，導致資料格式不一、難以整合，成為我國海洋資訊應用的主要瓶頸。海委會國家海洋研究院長陳璋玲指出，各單位的海洋雷達資料孤島問題，已直接影響航行安全、海域油氣作業、油污染擴散預測，甚至災害預防等關鍵應用。</p> <p>因此，行政院建立國家級海洋雷達觀測網首要任務是完成跨部會雷達資料整合，建立統一的資料交換與治理機制。</p> <p>在建設規模上，該計畫預計於未來4年內（自2025年至2028年）大幅提升雷達覆蓋範圍，從現行約15萬平方公里擴展至21萬平方公里，同時提高訊號回傳密度與資料解析度。這不僅意味著監測範圍的擴張，也代表資料顆粒度的細緻化，海象的變化能被更精準捕捉，提升整體系統的即時性與可靠度。</p> <p>除了整合既有設施，陳璋玲表示，觀測網也將補強過去監測不足的海域盲區，包括彭佳嶼周邊海域、呂宋海峽及臺灣灘等關鍵水域，透過新增雷達站點提升覆蓋完整性。另一方面，系統也將延伸至民生應用場景，針對海灘等高活動熱點提供即時海象資訊，讓民眾可掌握如離岸流等風險，提高國人從事海域活動的安全意識。</p> <p>在技術層面，AI被視為計畫的關鍵加值能力。由於雷達網將持續產生大量即時資料，相關單位已導入AI模型進行資料分析與預測，包括航行安全判斷、油污染擴散路徑模擬，以及海難搜救路徑推估等。此外，針對與民眾安全高度相關的離岸流偵測，也將透過AI模型提升辨識準確度，強化預警能力。</p> <p>這套國家級海洋雷達觀測網不僅是感測基礎設施的升級，更是一項結合資料整合、AI運算與跨域應用的數位工程。未來隨著資料持續累積與模型優化，系統預期將在海域安全、污染防治、搜救應變與防災韌性等面向發揮關鍵作用，並透過對外資訊服務平臺（如GoOcean）降低使用門檻，擴大海洋數據的社會影響力。</p> </div></div></div>
4/16 14:08作者蘇文彬https://www.ithome.com.tw/news/175112
瑞典稱親俄駭客去年試圖攻擊供熱廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>瑞典官員<a href="https://www.epochtimes.se/svenskt-varmekraftverk-attackerat-av-ryssland" target="_blank">本週表示</a>，該國一座供暖廠2025年春天遭到疑似親俄駭客組織試圖攻擊破壞營運。</p> <p>瑞典民防部長Carl-Oskar Bohlin週三在首都舉行的<a href="https://therecord.media/sweden-hackers-russia-power-plant" target="_blank">記者會上指出</a>，由於廠內的資安防護啟動，阻止了該次入侵。入侵未遂目標是一個營運科技（OT）系統，即控制發電廠、水務設施及製造設備等實體基礎設施的工業軟體。該供暖廠位於瑞典西部，但他並未透露是哪一座廠受到攻擊。瑞典安全部門調查確認，攻擊者可能與俄羅斯情報機構有聯繫。</p> <p>在瑞典的攻擊行動之前，挪威、丹麥、拉脫維亞及波蘭也在先後經歷了類似的攻擊。波蘭官員今年一月<a href="https://www.ithome.com.tw/news/173842" target="_blank">發布報告</a>，指出2025年12月29日至30日間，兩座熱電共生（CHP）電廠以及負責管理風力與光電設施的再生能源調度系統遭到攻擊，但遭到阻擋。調查結果將矛頭指向親俄駭客組織Sandstorm。</p> <p>他相信，過去發動阻斷服務（DoS）攻擊的親俄團體，現在正試圖升高攻擊力道，對歐洲組織發動破壞性網路活動。瑞典官員說，若基礎設施營運系統被駭客成功干擾、摧毀或遠端控制，可對社會帶來重大後果。</p> <p>美國政府於今年聯合公告指出，包括CyberArmyofRussia_Reborn和NoName057（16）等俄羅斯政府支持團體，針對能源、水資源和食品生產等領域的西方基礎設施業者。</p> <p>近日美國又因美伊戰爭，成為伊朗駭客的目標。FBI、CISA、NSA、環境保護署（EPA）、能源部（DOE），以及網路作戰司令部的網路國家任務部隊（CNMF）等6大機構上週<a href="https://www.ithome.com.tw/news/174990" target="_blank">發布聯合警告</a>，伊朗駭客組織CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）正在對美國的關鍵基礎設施（CI）發動攻擊。</p> </div></div></div>
4/16 11:38作者林妍溱https://www.ithome.com.tw/news/175103
Google六月起將處罰使用返回鍵劫持手法的網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://developers.google.com/search/blog/2026/04/back-button-hijacking" target="_blank">Google宣布</a>六月起將對以返回鍵劫持（back button hijacking）阻撓用戶的網站開罰，可能導致Google搜尋排序調降。</p> <p>返回鍵劫持是網站阻止用戶按返回鍵離開目前網頁，回到前頁的手法。網站可能將使用者導向他們未曾造訪過的網頁，擅自發送推薦或廣告、或是其他行為。</p> <p>Google指出，返回鍵劫持干擾瀏覽器的功能、破壞預期的使用者旅程，導致使用上的挫折。一如Google過去所說，在使用者上網過程插入欺騙性或操弄性的網頁是違反Google Search Essentials（即過去的Webmaster Guidelines）的行為。因此Google將把垃圾訊息政策擴展到返回鍵劫持上，因為這類行為造成用戶期待和實際結果的不一致，導致欺騙性的用戶體驗，並危及用戶安全或隱私，明顯是Google垃圾訊息政策中的「惡意作法」（malicious practice）。</p> <p>有的返回鍵劫持是源自網站內建的函式庫或廣告平臺，Google鼓勵網站持有人檢查網站的技術實作，若發現有任何使用腳本、程式碼、配置來插入欺騙性或操弄性網頁於用戶瀏覽器歷史紀錄的話，應移除或關閉。</p> <p>Google也給網站持有人2個月的時間檢查網站並調整。從2026年6月15日起，Google將啟動懲處；針對這類網頁，<a href="https://support.google.com/webmasters/answer/9044175" target="_blank">Google將施以</a>人工判決處罰或自動降級，可導致網站在Google搜尋結果頁被調降排序。</p> </div></div></div>
4/16 12:02作者林妍溱https://www.ithome.com.tw/news/175106
Cal.com要閉源了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國開源排程平臺<a href="https://cal.com/blog/calcom-v6-4" target="_blank">Cal.com週三（4/15）宣布</a>，將原本可公開存取的商業版本程式碼轉為閉源，並同步推出名為Cal.diy的開源版本供開發者自行部署，原因是生成式AI進展所帶來的資安風險日益升高。</p> <p>Cal.com成立於2022年，由Bailey Pumfleet與Peer Richelsen共同創辦，主打開源排程服務，提供類似Calendly的預約管理工具，讓用戶可透過連結安排會議、面試或諮詢。與傳統SaaS不同，Cal.com過去採開源核心模式，允許開發者自行部署與客製化系統，並在此基礎上提供雲端與企業服務，被視為開源商業化的代表案例之一。</p> <p>Cal.com說明，此次轉向閉源主要與生成式AI所帶來的資安風險有關。隨著AI程式設計工具普及，開發者可更快速撰寫程式，但同時也讓漏洞掃描與利用門檻大幅降低，特別是對可公開取得的程式碼而言。</p> <p>過去開源模式仰賴社群共同檢視與修補漏洞，但在AI輔助下，駭客同樣可大規模分析程式碼結構，使公開原始碼反而成為潛在弱點來源，進而增加用戶資料外洩風險，迫使其在開放性與安全性之間做出取捨。</p> <p>共同創辦人之一的<a href="https://x.com/pumfleet/status/2044406553508274554" target="_blank">Pumfleet透過X發出</a>了「開源已死」（Open source is dead）的聲明，還說他從沒想過自己會講出這句話。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0416-Bailey%20Pumfleet-600.png" style="width: 500px;" /></p> <p>Pumfleet表示，AI從根本上改變了資安格局，過去需要時間、知識與精心策畫的攻擊流程，現在可以大規模地自動化執行，程式碼不再只是被閱讀，而是被掃描、建模與利用，且成本幾近於零。在那樣的世界裡，透明等於曝露，特別是在大規模的情境下，這使得他們即便再三考量，最後還是決定關閉核心的Cal.com程式碼庫。</p> <p>在新授權的架構下，Cal.com已將原本商業版本的程式碼自公開倉庫移除，改為僅透過私有GitHub儲存庫提供給企業或付費用戶存取，一般開發者將無法再直接檢視核心系統。同時，該公司將原有開源部分重組為Cal.diy，並以MIT授權釋出，供開發者自行部署與實驗。不過，Cal.diy主要定位為社群使用，並不涵蓋完整商業功能，顯示開源版本已由原本的產品核心，轉為功能較為精簡的輔助性質版本。</p> <p>換句話說，Cal.diy是從原本Cal.com開源版本中剝離企業與商業功能之後的精簡版，主要用於自架與開發者實驗，而不再是完整可商用的替代方案。</p> </div></div></div>
4/16 12:20作者陳曉莉https://www.ithome.com.tw/news/175107
ShinyHunters聲稱從遊戲公司Rockstar Games竊得兩款網路遊戲的內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年駭客組織ShinyHunters接連入侵企業組織的雲端CRM平臺Salesforce，頻繁出現在資安新聞版面而成為焦點，最近這些駭客發起新一波攻擊，再度受到關注。</p> <p>製作《俠盜獵車手VI（GTA VI）》的知名遊戲公司Rockstar Games傳出資料外洩事故，ShinyHunters於4月11日聲稱入侵了該公司的Snowflake平臺，竊得大量資料，要求4月14日前支付贖金，否則就要公開手中握有的資料。最早揭露此事的資安新聞網站<strong><a href="https://hackread.com/shinyhunters-rockstar-games-snowflake-breach-anodot/">HackRead</a></strong>與<strong><a href="https://thecybersecguru.com/news/rockstar-games-snowflake-breach/">Cybersec Guru</a></strong>指出，駭客並非直接對Snowflake發動網攻，而是經由AI績效分析平臺Anodot得逞。</p> <p>由於不久前才傳出Anodot發生資安事故，其中一個受影響的SaaS整合平臺就是Snowflake，因此，可能還有其他的企業組織也受到影響。一旦攻擊者若駭入Anodot，就有機會滲透企業已進行整合的SaaS服務環境，若攻擊者成功從Anodot取得憑證而通過身分驗證，即可在無須利用Snowflake弱點的情況下，存取已連結Anodot的Snowflake帳號，這麼做使得攻擊者的存取看起來與合法活動無異，不少受害企業未及時察覺異狀。</p> <p>後續Rockstar Games坦承有發生資料外洩的情況，不過並未透露其他細節。ShinyHunters已公開竊得資料的部分檔案截圖，<strong><a href="https://thecybersecguru.com/news/rockstar-games-snowflake-breach/">Cybersec Guru指出</a></strong>內容多與網路版遊戲有關，涵蓋GTA Online、Red Dead Online兩款遊戲，以及部分玩家的個人可識別資料（PII），再者，這份資料也呈現GTA Online的財務資料，其中光是鯊魚現金卡（Shark Card）就創造了超過50億美元的收入。</p> <p>除此之外，<strong><a href="https://www.bleepingcomputer.com/news/security/stolen-rockstar-games-analytics-data-leaked-by-extortion-gang/">ShinyHunters也向資安新聞網站Bleeping Computer透露</a></strong>，這批檔案的主要內容是內部分析資料，用於監控Rockstar Games網路服務及客服支援工單，不僅包括GTA Online與Red Dead Online的財務資料，可能還有Zendesk的客戶支援分析資料。值得留意的是，<strong><a href="https://www.cyberdaily.au/security/13448-wasted-gta-developer-rockstar-games-confirms-hack-as-shinyhunters-demands-pay-or-leak">這波攻擊活動已傳出有多家企業受害</a></strong>，例如：賀卡公司Hallmark Cards、美國國鐵公司Amtrak，以及<strong><a href="https://www.ithome.com.tw/news/175082">教育出版商麥格羅希爾（McGraw-Hill）</a></strong>。</p> </div></div></div>
4/16 10:02作者周峻佑https://www.ithome.com.tw/news/175099
Google公布macOS版Gemini App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在OpenAI ChatGPT<a href="https://www.ithome.com.tw/news/163657" target="_blank">推出</a>macOS版App將近2年後，Google於昨（4/15）日<a href="https://blog.google/innovation-and-ai/products/gemini-app/gemini-app-now-on-mac-os/" target="_blank">公布macOS版Gemini App</a>，主打可理解螢幕畫面、並能以捷徑隨處開啟。</p> <p>macOS版Gemini App現在可以在<a href="https://gemini.google/mac/" target="_blank">Gemini網頁</a>下載，提供原生的桌機版使用體驗。首先，用戶可在和Gemini問答互動時分享螢幕畫面給它，包括看的網頁或本機檔案。例如用戶可以分享複雜的圖表問Gemini「圖表中三大重點為何」來獲取Gemini的回答。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0416-gemini%20macOS-600.png" style="width: 600px;" /></p> <p>此外macOS版Gemini App欲解決不斷在不同視窗間切換的麻煩。現在在macOS電腦上任何地方按捷徑鍵（Option+Space）即可啟用Gemini而無需切換不同視窗，例如製作市場報告時若用戶想驗證日期或建立預算試算表時，需要正確公式，可以立即叫出Gemini提供正確答案再很快回到工作檔案。用戶也可以透過Gemini以Nano Banana生成圖或以Veo生成影片來強化創作。</p> <p>現在macOS版Gemini App已公開提供全球用戶免費下載，不過macOS版本需在15版以上。Google說Gemini桌機App只是將實現桌機版AI助理的第一步，目前Google正在開發桌機版底層AI模型，以實現真正強大的個人化助理，未來幾個月內Google還會陸續發布相關消息。</p> <p>Google沒有說是否推出Windows版Gemini App。不過OpenAI在macOS及Windows平臺都提供了ChatGPT App。</p> </div></div></div>
4/16 10:37作者林妍溱https://www.ithome.com.tw/news/175100
鞋商轉型AI運算，Allbirds股價大漲580%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國鞋業品牌<a href="https://ir.allbirds.com/news-releases/news-release-details/allbirds-inc-executes-50m-convertible-financing-facility" target="_blank">Allbirds週三（4/15）宣布</a>，已賣掉該品牌及其鞋類資產，並將轉型為GPU即服務（GPU-as-a-Service，GPUaaS），更名為NewBird AI。當天Allbirds股價即大漲582.33%，以16.99美元作收。</p> <p>Allbirds為紐西蘭前職業足球員Tim Brown與生物材料專家Joey Zwillinger在2015年共同創辦，公司主打以天然材料製鞋，例如美麗諾羊毛與甘蔗基泡棉，強調舒適性與永續概念，並迅速在矽谷科技圈走紅。Allbirds在2021年以每股14美元的發行價登上那斯達克（Nasdaq）股市，當年市值一度超過40億美元，然而，激烈的市場競爭讓Allbirds業績與市值雙雙滑落，2025年下半年股價就落到個位數且持續下滑。</p> <p>Allbirds在2026年的3月30日<a href="https://ir.allbirds.com/news-releases/news-release-details/allbirds-signs-definitive-asset-purchase-agreement-american" target="_blank">宣布</a>，將以3,900萬美元把該公司的智慧財產權與資產/負債出售給美國時尚配件及品牌管理業者American Exchange Group，本週再宣布將轉型為GPUaaS。</p> <p>Allbirds表示，已與一機構投資者簽署一項金額為5,000萬美元的可轉換融資協議，預計於今年第二季完成，以將公司轉型為AI運算基礎設施業者，長期目標是成為整合式GPU即服務與AI原生雲端解決方案供應商，並更名為NewBird AI，相關計畫將於5月18日召開的特別股東大會中表決。</p> <p>在完成上述交易後，Allbirds品牌與鞋業將由American Exchange Group接手並持續經營，既有股東可透過特別股利取得資產出售所得，或選擇繼續持有轉型後的NewBird AI股票，參與其AI算力業務發展。</p> <p>過去在區塊鏈與加密貨幣熱潮期間，亦曾出現企業跨足熱門領域以提振股價的案例。然而，考量AI算力產業高度資本密集且技術門檻極高，Allbirds能否在短時間內建立實質營運能力仍有待觀察。</p> </div></div></div>
4/16 10:52作者陳曉莉https://www.ithome.com.tw/news/175101
CISA警告，駭客正在利用17年前的Excel漏洞展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國網路安全與基礎設施安全局（CISA）本週二（4/14）<a href="https://www.cisa.gov/news-events/alerts/2026/04/14/cisa-adds-two-known-exploited-vulnerabilities-catalog" target="_blank">將兩個安全漏洞列入已知遭利用漏洞清單</a>（ Known Exploited Vulnerability，KEV），要求美國聯邦機構於兩週內修補，一個是微軟甫於同一天修補的SharePoint Server漏洞<a href="https://www.ithome.com.tw/news/175088" target="_blank">CVE-2026-32201</a>，另一個則是現身於17年前、微軟於2009年修補的Excel漏洞CVE-2009-0238。</p> <p>由CISA所維護的KEV清單，收錄了具高度風險且已被駭客實際利用的安全漏洞，並要求美國聯邦機構在期限內完成修補，從幾天到幾週不等。該清單被視為優先修補指引，CISA亦建議企業比照辦理。</p> <p>根據微軟在17年前的<a href="https://learn.microsoft.com/zh-tw/security-updates/securitybulletins/2009/ms09-009" target="_blank">公告</a>，CVE-2009-0238是個存在於Microsoft Office Excel中的記憶體毀損漏洞，當使用者開啟了一個包含異常物件的特製Excel檔案時，駭客便能成功利用該漏洞，自遠端執行任意程式碼，進而掌控使用者電腦，包括安裝程式、檢視、變更或刪除資料，或是建立具備完整權限的新帳號。</p> <p><a href="https://securityaffairs.com/190852/hacking/u-s-cisa-adds-microsoft-sharepoint-server-and-microsoft-office-excel-flaws-to-its-known-exploited-vulnerabilities-catalog.html" target="_blank">Security Affairs</a>則說，當年CVE-2009-0238的CVSS風險評分高達9.3，只要使用者開啟一個特製的Excel檔案就可能被觸發，導致應用程式存取記憶體中的無效物件，造成記憶體損壞，而讓遠端駭客得以透過使用者權限在受影響的電腦上執行任意程式碼。</p> <p>該漏洞影響多個Office產品版本，涵蓋Microsoft Office 2000SP3、Microsoft Office XPSP3、Microsoft Office 2003SP3、Microsoft Office 2007SP1中的Excel，以及Excel Viewer 2003（含SP3）、Microsoft Office Compatibility Pack 2007SP1，另亦波及Microsoft Office 2004 for Mac與Microsoft Office 2008 for Mac中的Excel元件，而它們多半皆已停止支援。</p> <p>新的KEV清單意味著有部分系統迄今仍在使用受到影響的舊版Office，才會被駭客以17年前的漏洞發動攻擊。而CISA並未透露太多有關CVE-2009-0238如何遭到利用的訊息。</p> </div></div></div>
4/16 11:14作者陳曉莉https://www.ithome.com.tw/news/175102
PHP套件管理器Composer爆兩指令注入高風險漏洞，可遠端觸發任意指令執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>PHP生態系受廣泛使用的套件管理工具Composer，<a href="https://github.com/composer/composer/security/advisories">官方揭露</a>兩個高嚴重性指令注入漏洞<a href="https://github.com/composer/composer/security/advisories/GHSA-gqw4-4w2p-838q" target="_blank">CVE-2026-40261</a>與<a href="https://github.com/composer/composer/security/advisories/GHSA-wg36-wvj6-r67p" target="_blank">CVE-2026-40176</a>，均源自Perforce版本控制整合模組在建構Shell指令時未對外部輸入做適當跳脫處理。其中CVSS評分達8.8的CVE-2026-40261，可透過惡意Composer套件儲存庫遠端觸發，且不需要用戶端安裝Perforce即可執行任意指令，形成軟體供應鏈攻擊風險。官方已釋出Composer 2.2.27與2.9.6修補版本。</p> <p>兩個漏洞的根本成因相似，都是Composer的Perforce驅動程式在組合系統指令時，直接將外部提供的參數嵌入指令字串，未經過濾或跳脫處理，導致攻擊者可藉由在參數中夾帶Shell特殊字元來注入任意指令。</p> <p>CVE-2026-40261涉及Perforce::syncCodeBase()方法，該方法在同步程式碼時將來源參照直接附加到Shell指令中。由於來源參照屬於套件中繼資料的一部分，任何Composer套件儲存庫都能在提供套件資訊時宣告Perforce為來源類型，並夾帶惡意內容。因此只要開發者從遭入侵或蓄意架設的Composer儲存庫安裝套件，就可能在不知情的情況下觸發指令執行。該漏洞可在以原始碼方式安裝或更新相依套件時被利用，包括使用--prefer-source，或安裝dev前綴版本時的預設行為。</p> <p>CVE-2026-40176則出現在Perforce::generateP4Command()方法，該方法在產生P4指令時，將使用者提供的Perforce連線參數包括Port、User與Client直接內嵌至指令字串。攻擊者可透過在composer.json中定義惡意的Perforce VCS儲存庫設定來觸發指令注入。不過該漏洞的攻擊面相對受限，因為VCS儲存庫定義僅從專案根目錄的composer.json或Composer全域設定目錄載入，無法透過已安裝的相依套件間接觸發。</p> <p>兩個漏洞影響Composer 2.0至2.2.26的LTS分支，以及2.3至2.9.5的主線分支，官方已在2.2.27與2.9.6版完成修補。要是開發者暫時無法升級，針對CVE-2026-40261，開發者可改用下載封裝檔的方式安裝套件，避免以原始碼方式取得相依套件，至於CVE-2026-40176，則應避免在來源不明的專案目錄中執行Composer指令。</p> </div></div></div>
4/15 19:22作者李建興https://www.ithome.com.tw/news/175089
OpenSSL 4.0清理十年技術債，加入後量子密碼與ECH支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openssl-library.org/post/2026-04-14-openssl-40-final-release/">加密函式庫OpenSSL專案正式釋出4.0.0版</a>，這版移除SSLv3協定支援、SSLv2 Client Hello與Engine機制，並新增ECH（Encrypted Client Hello）支援及後量子相關密碼學功能，是一次幅度較大的主要版本更新。</p> <p>OpenSSL 4.0新版本清除歷史包袱，SSLv3協定的支援被完全移除，該協定自2015年即被標記為棄用，OpenSSL自1.1.0版起便預設關閉SSLv3，此次4.0版則是徹底將其從程式碼中剔除。同樣被移除的還有SSLv2 Client Hello的支援。</p> <p>另一項影響深遠的改變是完全移除Engine機制。Engine是OpenSSL長期用於對接硬體安全模組（HSM）等外部加密實作的擴充介面，在3.x版本中已逐步被Provider架構取代。 OpenSSL 4.0版正式將no-engine設為唯一選項，OPENSSL_NO_ENGINE巨集為持續啟用狀態，仰賴Engine機制的既有系統必須遷移至Provider架構。</p> <p>此外，OpenSSL 4.0也移除多個早已標記為棄用的API，包括部分加密、摘要與金鑰相關自訂方法、固定版本的SSL/TLS方法函式，以及ERR_get_state()等函式。部分資料結構與X509相關公開API也調整得更嚴格，仰賴舊介面或直接存取內部成員的程式，在升級時可能需要修改。</p> <p>OpenSSL 4.0受矚目的新功能，是依循RFC 9849規範實作的ECH支援。ECH可將TLS交握過程中的敏感Client Hello內容加密，包含實際SNI等資訊，降低網路路徑上第三方辨識連線目標的可能性，強化TLS隱私保護。</p> <p>OpenSSL 4.0還新增多項密碼學功能，涵蓋中國商用密碼演算法、後量子密碼，以及新的雜湊函式等支援，例如RFC 8998相關功能、sm2sig_sm3、curveSM2、curveSM2MLKEM768、ML-DSA-MU與cSHAKE。在TLS層面，4.0版也新增TLS 1.2的FFDHE金鑰交換協商支援。</p> <p>不過，OpenSSL 4.0並非長期支援版本，官方支援期僅至2027年5月14日，下一個版本OpenSSL 4.1預計於2026年10月釋出。</p> </div></div></div>
4/15 19:57作者李建興https://www.ithome.com.tw/news/175096
凱擘推10G/10G，瞄準企業高頻寬與低延遲需求，另以行動網路作為備援網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>旗下提供120萬家戶寬頻服務的凱擘大寬頻今天(4/15)宣布推出新世代寬頻10G，主打10G等級連網能力，並結合Wi-Fi 7、資安防護與智慧家庭管理功能，宣告臺灣邁入新一波寬頻升級階段。</p> <p>隨著OTT網路影視服務興起，有線電視業者面臨剪線潮，有線電視用戶數不斷下滑，有線電視產業面臨轉型，凱擘大寬頻致力於提升網路架構，推動OTT及固網寬頻服務，目前該公司的寬頻營收已超過有線電視營收，顯示該公司正向寬頻網路與加值服務前進。</p> <p>凱擘大寬頻董事長盧榮輝表示，隨著AI應用的快速發展，從資料中心到終端設備的傳輸需求大幅攀升，傳統以影音串流為主的網路使用模式已轉向高度互動、機器對機器（M2M）與AI代理（Agent）運算，頻寬與上下載對稱能力成為關鍵基礎設施。</p> <p>凱擘過去5年投入逾百億元進行網路升級，與Harmonic合作，導入分散式存取架構（DAA）與DOCSIS 3.1 Ultra版本，作為未來邁向DOCSIS 4.0的基礎，以支援更高頻寬與更低延遲。同時，該公司也透過DAA與FTTH混合架構，依不同建築型態提供彈性部署，針對既有住宅與社區，升級既有的網路設備，在降低大規模施工更動線路下提升網速，針對新建案及商辦大數則導入全光纖網路，提供企業10G(R-OLT)及100G(switch技術)。</p> <p>因應AI時代需要高速下載及穩定上行能力，以支援影像生成、即時互動與多裝置連網情境，凱擘公布最新的家庭及商用寬頻服務及費率，其中寬頻服務主打下載及上行的雙向高速對稱服務。</p> <p>家用寬頻方面，300M/300M費率為799元、500M/500M為899元、1G/1G為999元，上述方案搭配Mesh Wi-Fi 6，其中1G/1G相當於提升既有服務的上行頻寬，加量不加價；另外還提供最高3G/1G寬頻，費率為1699元，搭配Wi-Fi 7 AP，並加贈有線電視24個月。</p> <p>在終端服務上，凱擘同步升級家用網路體驗，標配Wi-Fi 6並提供Wi-Fi 7選項，搭配Mesh架構強化全屋覆蓋與無縫漫遊。此外，與趨勢科技合作導入「網路守護家」，將資安防護機制內建於數據機，主打防詐與惡意流量偵測；並結合單一App進行智慧設備管理，因應AI與IoT裝置數量快速增加的需求。</p> <p><span style="color:#B22222;"><strong>企業寬頻上網祭出10G/10G雙向對稱</strong></span></p> <p>至於企業寬頻方面，提供企業上網固定制，除了300M/300M、500M/500M之外，1G/1G費率為3,900元、3G/3G費率為7,900元、5G/5G為9,900元，最高速率10G/10G，費率為19,900元。</p> <p><img alt="" src="/sites/default/files/images/20260415_145140%20(1).jpeg" style="width: 600px; height: 588px;" /></p> <p>比較特別的是，企業寬頻服務標配行固(行動+固網)備援服務，即凱擘大寬頻的企業寬頻服務標配台灣大哥大的行動網路作為備援網路，主要為FWA固定接取服務，預計將在8月提供，企業也可選擇搭配固網備援(雙路由設計)。</p> <p>凱擘大寬頻總經理謝明益表示，對於營運據點分布較廣的企業，當固網寬頻服務出現異常，可透過行動網路備援，確保連網通訊的韌性。</p> <p>在企業市場方面，規畫25G至100G的專線與行固網備援服務，鎖定需要更高速度的企業AI與大量資料傳輸需要。</p> <p>凱擘預計從4月15日先在臺北市優先推出服務，約5月於新北市試營運，其他地區將採分區方式陸續開放供裝。</p> <p>展望未來，凱擘認為1G將成為基本頻寬門檻，並提出「B+O（寬頻+OTT）」與「B+B（寬頻備援）」兩大策略，其中的B+O迎合寬頻服務的OTT內容消費趨勢；B+B則是倡議寬頻業者以合作取代過去的單純競爭，透過和寬頻同業互補，提供客戶寬頻網路備援，凱擘呼籲公部門將異質網路公司(同質網路的同業，或異質網路的異業)的備援電路設計放入標案規格，盼帶動私部門對備援電路的重視，強化網路韌性。</p> <p>相較於凱擘信心滿滿，要將10G推向全區，中華電信的10G寬頻服務儘管技術上可行，但採取針對性供裝策略，主流推廣速率為2G/1G 或1G/1G，針對企業專案提供10G服務。</p> </div></div></div>
4/15 18:06作者蘇文彬https://www.ithome.com.tw/news/175095
中國技術文件協作平臺ShowDoc存在重大漏洞，已被用於實際攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司VulnCheck提出警告，中國技術文件協作平臺ShowDoc已知漏洞CVE-2025-0520出現遭到利用的活動，<a href="https://www.linkedin.com/posts/ccondon_kev-share-7448763057851314176-KaIi/">他們透過蜜罐陷阱看到有人試圖部署Webshell</a>，這是首度出現該漏洞被用於攻擊的情況。</p> <p><strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-0520">CVE-2025-0520</a></strong>屬於未受限制的檔案上傳漏洞，起因是檔案類型的驗證不夠周延，可被攻擊者執行任何PHP指令，從而導致遠端程式碼執行（RCE）的情況，CVSS v4.0風險達到9.4分（滿分10分），屬重大等級，非常危險。ShowDoc開發團隊在2020年10月推出2.8.7版進行修補，當時中國將此漏洞登記為CNVD-2020-26585列管。</p> <p>VulnCheck指出，他們偵測到全球有超過2千個ShowDoc平臺，大部分在中國，不過，該公司發現的漏洞利用活動，出現在美國。值得留意的是，由於2年前有人公布此漏洞的<strong><a href="https://github.com/vulhub/vulhub/tree/master/showdoc/CNVD-2020-26585">概念驗證程式碼（PoC）</a></strong>，代表攻擊者想要利用，門檻將會大幅降低。</p> </div></div></div>
4/15 16:29作者周峻佑https://www.ithome.com.tw/news/175093
校正工作從2個月變1天！AI加速解碼小鼠全腦，找出嗅覺異常與自閉症關聯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中研院分子生物研究所聯手資訊科學研究所，今日（4/15）揭露一款AI加持的全腦自動腦區校正定量分析（BM-auto）系統，主打運用深度學習技術快速、精準辨識腦區位置，將過往需要人工2個月才能完成的工作，縮短為1天。</p> <p>這項技術大幅加速神經科學研究，讓團隊更快找出嗅覺皮質與自閉症的重要關聯，<a href="https://www.nature.com/articles/s41380-025-03340-2">成果不只刊登於國際知名期刊《分子精神病學》</a>，也為自閉症療法帶來新契機。而BM-auto技術接下來也將用於更廣泛的領域，比如其他疾病的小鼠腦部模式，或其他神經科學研究。</p> <h2><strong>為何需要深度學習加速全腦校正</strong></h2> <p>主導此次研究的中研院分子生物研究所特聘研究員薛一蘋，長年專攻自閉症研究。她指出，自閉症成因複雜，比如成千上百種基因突變，或後天環境造成，但共同特徵都指向神經迴路異常。</p> <p>也就是說，每個人出問題的地方可能都不一樣，最後卻呈現很類似的行為表現。也因此，團隊想知道，不論哪些基因突變，最後是不是都影響到大腦中的幾個關鍵腦區，或特定的神經迴路。</p> <p>為此，他們設立了2個研究目標，一是從與人類基因序列相似度接近100%（意味著功能相似度也極高）的小鼠身上，比較不同自閉症的小鼠全腦影像，從中找出關鍵腦區和異常的神經迴路；另一是加速神經迴路分析，他們要優化既有的全腦螢光影像定量系統，要加上AI功能，來提高小鼠500多個腦區的分析效率。</p> <p>薛一蘋進一步解釋，AI是要解決過去研究時的痛點，也就是雖然有BM-auto系統，但團隊仍得花大量時間，手動將小鼠腦部影像的螢光位置，一一比對標準腦部圖譜的位置，通常需要2、3個月才能完成一隻小鼠的全腦影像對齊。</p> <p>於是，他們找上中研院資科所副研究員王建堯團隊，來開發BM-auto系統的AI自動化功能。王建堯團隊以薛一蘋團隊過去5年累積的基準真相（Ground truth）資料來訓練AI模型，克服跨模態對齊的難題，讓模型學會辨識小鼠腦部螢光位置與標準圖譜之間的對應關係，進而能夠自動校正。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-04-15%20165210.png" /></p> <p>王建堯補充，這套模型辨識出的腦區位置，與標準圖譜的對應位置重疊約9成，意味著對齊效果相當準確，而且自動辨識時間只需10幾分鐘。如此一來，研究人員再人工校正幾十個腦區即可，1天就能完成全腦的校正工作。</p> <h2><strong>找出嗅覺缺陷與自閉症關聯</strong></h2> <p>也因為有了AI加速，薛一蘋團隊得以快速、精準分析每隻鼠腦的500多個腦區，完成3種自閉症小鼠全腦螢光影像定量分析。他們還連結、比對美國艾倫腦科學研究所建構的正常小鼠資料庫，發現3種自閉症小鼠的共同病灶：嗅覺皮質的特定投射神經細胞顯著下降。</p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-04-15%20164223.png" /></p> <p>他們進一步驗證，發現雖然3種自閉症小鼠仍保有嗅覺感應能力，能聞到各種氣味，卻失去「分辨氣味異同」的辨別力，導致嗅覺辨別障礙。團隊也進行後續一系列分析與比對，自閉症小鼠嗅覺皮質的異常不但影響嗅覺功能，連帶影響與其他腦區之間的訊息傳遞與連結，證實嗅覺皮質與自閉症病理機制的重要性。</p> <p>而這次研究所建立的BM-auto系統，不只突破傳統全腦影像處理的瓶頸，接下來還能應用於其他腦部疾病的分析研究。</p> <p></p> </div></div></div>
4/15 16:53作者王若樸https://www.ithome.com.tw/news/175094
【資安日報】4月15日，微軟、SAP、Adobe發布本月例行更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175055"><strong style="font-size: 22px;">微軟發布4月例行更新，修補SharePoint、Defender零時差漏洞</strong></a></p> <p>一週前Anthropic發布通用語言模型Claude Mythos預覽版本，聲稱該模型已在常見的作業系統、瀏覽器、開源軟體找出數千個零時差漏洞，並設立Project Glasswing專案號召科技、金融公司、關鍵基礎設施加入，使得4月份的各大IT廠商的安全性例行更新格外受到關注，因為外界預期各廠商將會公布大量的資安漏洞，果不其然，單就今天微軟發布的公告而言，就涵蓋超過200個漏洞。</p> <p>首先，4月微軟例行更新（Patch Tuesday）總共公開165個由微軟登記CVE編號的漏洞，數量較上個月多出一倍，再加上他們修補的第三方元件漏洞，總數將達到247個。</p> <p><a href="https://www.ithome.com.tw/news/175067"><strong style="font-size: 22px;">SAP修補商業規畫與合併財務報表系統、企業資料倉儲系統重大漏洞</strong></a></p> <p>4月14日SAP發布本月例行更新（Security Patch Day），總共揭露19個資安漏洞，其中有1個重大等級、1個高風險等級，其餘為中低風險等級。</p> <p>根據CVSS風險評分，最危險的是SQL注入漏洞CVE-2026-27681，影響商業規畫與合併財務報表系統SAP Business Planning and Consolidation（SAP BPC），以及企業資料倉儲系統SAP Business Warehouse（SAP BW），CVSS風險評為9.9分（滿分10分），屬重大等級。此漏洞形成原因在於上述系統的授權檢查不夠充分，通過身分驗證的攻擊者能執行指定的SQL描述指令（SQL Statement），從而讀取、竄改、刪除資料庫內容。</p> <p><a href="https://www.ithome.com.tw/news/175076"><strong style="font-size: 22px;">Adobe修補55個漏洞，ColdFusion列為最高優先更新</strong></a></p> <p>Adobe於4月14日發布的周二例行性更新中，修補旗下11款產品一共55個漏洞，其中的應用程式伺服器軟體ColdFusion，被列為用戶需要立即更新的等級1（Priority 1），建議用戶在72小時內更新。細部而言，ColdFusion修補7個漏洞，包括CVSS嚴重性評分達9.3分的輸入驗證漏洞CVE-2026-27304，另外還有可能導致路徑遍歷、資源消耗失控等問題的漏洞。</p> <p>列為等級2（Priority 2）的產品則有Acrobat Reader，修補2個原型汙染（Prototype Pollution）問題，建議用戶在30天內儘速修補。在這波更新之前，Adobe也剛於4月11日發布Acrobat Reader的另一個安全更新，修補已遭到攻擊者利用的重大零時差漏洞CVE-2026-34621。</p> <p><a href="https://www.ithome.com.tw/news/175041"><strong style="font-size: 22px;">Python資料分析工具Marimo重大漏洞遭到利用</strong></a></p> <p>4月8日，開發Python互動式運算環境Marimo的團隊揭露重大漏洞CVE-2026-39987，有資安公司發現，公布後不到半天，已出現攻擊行動。</p> <p>資安公司Sysdig指出，在Marimo發布公告約10小時後，他們看到漏洞利用嘗試的跡象，而且駭客在3分鐘之內成功竊得憑證。值得留意的是，當時該漏洞尚無登記CVE編號，也沒有公開的概念驗證程式碼（PoC），攻擊者只有根據資安公告的有限資訊，就成功利用漏洞，並在未經身分驗證的情況下存取終端機端點，然後手動偵察受害環境。</p> <p><a href="https://www.ithome.com.tw/news/175082"><strong style="font-size: 22px;">出版商McGraw-Hill傳出Salesforce系統被入侵，駭客聲稱竊得4500萬筆資料</strong></a></p> <p><img alt="" src="/sites/default/files/images/mcgraw.png" style="width: 300px; float: right;" />根據資安媒體Bleeping Computer報導，駭客組織ShinyHunters近日聲稱，他們從知名教育出版商麥格羅希爾（McGraw-Hill）的Salesforce平臺竊得一批資料，其中包含超過4,500萬筆可識別身分資訊（PII）記錄。駭客要求該出版商在週二之前聯繫，否則將公開這批資訊連同其網路環境漏洞。</p> <p>對此，麥格羅希爾證實有未經授權人士從Salesforce代管的網頁存取部分資料，並研判這事件可能是Salesforce系統配置錯誤的造成，受影響並非只有麥格羅希爾，有多家企業組織遭到攻擊。</p> <p><a href="https://www.ithome.com.tw/news/175058"><strong style="font-size: 22px;">OpenAI公布GPT 5.4-Cyber，開放更多資安人員使用</strong></a></p> <p>OpenAI今年2月公布資安人員合作方案Trusted Access for Cyber（TAC），允許資安廠商及組織使用該公司專為網路安全強化的AI模型。為了不讓Anthropic近期推出的Claude Mythos專美於前，4月14日OpenAI公布專為網路安全分析的模型GPT-5.4-Cyber，此為基於GPT 5.4而成的變形版本，和標準版本相較，GPT-5.4-Cyber降低AI模型的拒絕邊界（refusal boundary）而可用於合法的網路安全任務，並加入進階防護工作的新功能，包括二進位檔逆向工程，這功能允許資安專家分析惡意軟體能力，或是在不需存取原始碼情況下了解系統軟體漏洞及安全性。</p> <p>OpenAI也提供了加入TAC方案的方法。個人用戶可以透過ChatGPT網站，企業用戶可以向OpenAI業務人員申請。審核通過的用戶就可以使用限制更少的模型，讓他們得以執行安全教育、防禦性程式開發和負責任的漏洞研究。</p> <p><a href="https://www.ithome.com.tw/news/175042"><strong style="font-size: 22px;">CISA警告Fortinet FortiClient EMS重大漏洞已被用於攻擊，要求儘速修補</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）近日警告，2月初揭露的重大漏洞CVE-2026-21643已被實際利用，未修補此弱點的端點管理平臺FortiClient EMS風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。</p> <p>CVE-2026-21643屬於SQL注入型弱點（SQL Injection），CVSS嚴重性評分達9.1分，問題出在SQL指令使用的特殊元件，未妥善過濾輸入（improper neutralization），使得未經身分驗證的攻擊者能藉由特製的HTTP請求，執行未授權的程式碼或指令，會影響7.4.4版FortiClient EMS，解決辦法是升級到7.4.5以後版本。</p> <p><a href="https://www.ithome.com.tw/news/175044"><strong style="font-size: 22px;">NPM套件Axios修補滿分重大漏洞，未更新可能導致遠端執行任意程式碼攻擊</strong></a></p> <p>使用廣泛的HTTP用戶端NPM套件Axios，繼日前傳出的供應鏈攻擊事件後，該套件專案的維護者近日又發布安全公告，修補可能導致遠端執行任意程式碼的重大漏洞，建議用戶儘速更新版本。</p> <p>Axios這次修補的漏洞編號為CVE-2026-40175，CVSS嚴重性等級達到滿分10.0分，問題源自Axios的HTTP標頭處理缺陷，若結合原型污染（Prototype Pollution）問題，將形成可被利用的攻擊鏈。攻擊者可藉由應用程式其他相依套件污染JavaScript的Object.prototype，Axios會在合併設定時自動載入被汙染的惡意屬性，進而觸發HTTP請求挾帶（HTTP Request Smuggling）或伺服器端請求偽造（SSRF）等問題，可能進一步導致遠端執行任意程式碼。利用這個漏洞還可能讓攻擊鏈延伸到AWS雲端服務，導致攻擊者繞過AWS IMDSv2連線權杖保護機制，進而入侵雲端環境。</p> <p><a href="https://www.ithome.com.tw/news/175021"><strong style="font-size: 22px;">開源監控平臺Grafana修補AI助理功能漏洞，防範提示注入攻擊導致資料外洩</strong></a></p> <p><a href="/sites/default/files/images/Noma-Grafana-Blog.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Noma-Grafana-Blog.jpg" style="width: 300px; float: right;" /></a>資安公司Noma研究人員指出，開源監控與資料視覺化平臺Grafana的AI助理功能存在GrafanaGhost漏洞，可透過間接提示注入（Indirect Prompt Injection）手法，誘使AI助理將企業敏感資料外洩至外部伺服器。</p> <p>Grafana平臺內含的AI助理功能，可協助使用者以自然語言查詢與分析系統監控資料。研究人員指出，攻擊者可在Grafana平臺讀取的外部網址嵌入惡意指令，當AI助理功能解析這些資料時，可能被誘導繞過安全防護機制，進而執行對外傳輸請求，將用戶資料附帶於URL參數中，傳送至攻擊者控制的伺服器，由於整個過程不會出現任何錯誤訊息，用戶難以察覺異常。</p> <p><a href="https://www.ithome.com.tw/news/174754"><strong style="font-size: 22px;">DNS伺服器軟體BIND 9修補多個漏洞，未修補可能導致服務中斷等問題</strong></a></p> <p>網際網路系統協會（Internet Systems Consortium，ISC）近日發布安全公告，修補由其開發與維護的BIND 9 DNS伺服器軟體多個漏洞，這些漏洞可能導致服務中斷、記憶體資訊洩漏等問題，使用者須盡速修補。</p> <p>BIND 9是廣獲使用的開源伺服器軟體，這次修補的漏洞一共有4個，其中最嚴重的是CVE-2026-1519，為CVSS嚴重性評分7.5的高風險漏洞，攻擊者可透過特製DNS驗證資料導致系統資源耗盡，進而形成阻斷服務（DoS）攻擊。另一值得注意的漏洞是CVE-2026-3104，CVSS嚴重性評分同為7.5，攻擊者可透過特製的網域名稱，觸發BIND 9 DNS解析器（resolver）記憶體資訊洩漏。</p> <p><a href="https://www.ithome.com.tw/news/174710"><strong style="font-size: 22px;">PTC揭露旗下產品生命週期管理系統滿分重大漏洞，目前尚無修補程式，用戶須立即採取緩解措施</strong></a></p> <p>工業應用軟體廠商PTC近日發布安全公告，揭露旗下產品生命週期管理系統Windchill與FlexPLM存在重大漏洞，可能導致攻擊者藉此發動遠端執行任意程式碼攻擊，由於目前尚無修補程式，建議用戶立即採取緩解措施。</p> <p>PTC揭露的這個漏洞編號是CVE-2026-4681，CVSS 3.1嚴重性等級為滿分10分，屬於CWE-94程式碼注入（Code Injection）弱點，攻擊者可透過不受信任資料反序列化（deserialization of untrusted data），從遠端執行程式碼。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/adobe-patches-55-vulnerabilities-across-11-products/">Adobe修補旗下11款應用程式資安漏洞，呼籲用戶優先處理ColdFusion、Acrobat Reader</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/new-php-composer-flaws-enable-arbitrary.html">PHP編輯器存在高風險漏洞，若不處理攻擊者可注入任何命令</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/mirax-android-rat-turns-devices-into.html">惡意程式Mirax綁架安卓設備，將受害裝置變成SOCKS5固定型代理伺服器</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/190796/data-breach/shinyhunters-claim-the-hack-of-rockstar-games-breach-and-started-leaking-data.html">ShinyHunters聲稱從遊戲公司Rockstar Games竊得8.1 GB內部資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/190716/hacking/iran-linked-group-handala-claims-to-have-breached-three-major-uae-organizations.html">伊朗駭客Handala聲稱對阿拉伯聯合大公國3個重要組織發動網路攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/ransomware-vipertunnel-malware-uk-us-businesses/">Python後門程式ViperTunnel鎖定美英企業，被用於勒索軟體DragonForce活動</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175043"><strong>【4月14日】OpenAI證實遭遇Axios供應鏈攻擊波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175020"><strong>【4月13日】CPUID網頁被入侵，駭客散布木馬程式STX RAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174990"><strong>【4月10日】伊朗駭客鎖定美國關鍵基礎設施發動攻擊</strong></a></p> </div></div></div>
4/15 13:50作者周峻佑https://www.ithome.com.tw/news/175084
國泰世華上周五網銀服務延遲近5小時，起因是負載平衡器逼近極限未切換備援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國泰世華銀行於上周五（4/10）發生網路銀行與行動App交易延遲事件，影響時間從當天上午9:31至14:30，影響長達近5小時，導致用戶投訴超過400件。金管會銀行局本周二指出，問題核心並非外部攻擊或突發流量，而是該行內部關鍵設備「負載平衡器」的負載飆高，在流量調度失效下，導致交易請求無法有效分流，而引發大規模延遲。</p> <p>從架構面來看，此次事件發生在銀行對外服務的「入口層」。根據金管會公布的資料，負責分配流量的F5負載平衡器，在正常情況下CPU使用率維持在70%至90%的高檔區間，顯示系統長期處於高負載運行狀態。事發當天CPU瞬間衝至99%，接近設備處理極限，使得新進交易請求無法被有效轉送至後端系統，形成請求堆積與延遲擴散。由於負載平衡器位於系統前端，一旦失效，將影響所有下游服務，包括轉帳、匯款、換匯及證券交割等核心交易。</p> <p>值得注意的是，這起突發事件並未導致系統全面中斷，而是部分可用但效能劣化，使得交易成功率從接近100%下滑至70%至90%，反映系統仍具備基本處理能力，但已進入壅塞狀態。</p> <p>外界關注為何未能即時啟動備援切換，對此，金管會指出，銀行端的考量是，當主設備尚未完全失效時，若直接切換至備援系統，可能將同樣面臨轉移過來的高負載壓力，導致備援節點同步過載。此外，若採取全面重啟策略，將造成約2小時完全中斷，相較之下，銀行選擇維持部分服務運作並逐步調整流量。</p> <p>從高可用設計角度檢視，此次事件暴露三項關鍵問題。首先，入口層設備可能長期的高負載使用，顯示容量規劃方面未預留足夠餘裕。其次，備援機制雖存在，但未能在性能劣化初期自動介入，可能存在health check與切換門檻設計上的不足。第三，系統缺乏即時流量調節限流機制，無法在異常初期有效降低壓力，避免問題擴大。</p> <p>在影響層面，此次事件已引發逾400件客訴，部分用戶因交易延遲面臨匯率或交割損失。金管會已要求銀行依公平待客原則處理補償，並限期在4月21日前提出完整事故報告，以釐清是否涉及人為疏失或SOP未落實，後續不排除開罰。</p> <p>F5則回應，近期個別事件顯示，當系統長期處於高壓運行環境下，若流量成長、服務複雜度與架構調整節奏之間出現失衡，整體平台所承受的壓力將大幅上升，進而影響服務穩定性。這類問題已不僅是單一企業的挑戰，而是在數位轉型與AI應用快速深化的背景下，整體產業都必須正視的共通風險。</p> <p>對此，F5建議企業應從「因應現狀」轉向「預見性規劃」，在系統設計初期即預留充足運算餘裕，以因應高峰負載；同時強化跨部門協作與流量可視化能力，從即時監控進一步走向長期趨勢預測與主動治理。透過建立具彈性且可擴展的基礎架構，企業才能在推動創新的同時，確保未來5至10年的系統穩定與韌性。</p> <p>這起事件可供企業在數位轉型過程中借鏡，除了追求核心交易引擎的性能提升之外，「基礎設施」的流量控制也不容忽視。特別是當服務全面線上化、交易即時性要求提高後，負載平衡、流量調節分流與自動化故障切換能力，已是影響服務穩定性的關鍵。</p> </div></div></div>
4/15 16:15作者蘇文彬https://www.ithome.com.tw/news/175071
中國駭客APT41使用惡意程式搜刮雲端憑證，範圍涵蓋AWS、GCP、Azure、阿里雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年初，國安局點名<strong><a href="https://www.ithome.com.tw/news/173172">多組中國國家級駭客組織鎖定臺灣9大關鍵基礎設施發動攻擊</a></strong>，其中一組就是惡名昭彰的APT41（Winnti），近日有資安公司指出，這些駭客滲透雲端環境多年，範圍涵蓋4大公有雲環境。</p> <p><strong><a href="https://intel.breakglass.tech/post/apt41-winnti-elf-cloud-credential-harvester-alibaba-typosquat">資安公司Breakglass指出</a></strong>，他們發現APT41近期打造的ELF後門程式，鎖定建置在AWS、GCP、Azure、阿里雲的Linux雲端工作負載，該後門程式使用郵件通訊協定SMTP常用的25埠建立C2通訊，收集雲端服務供應商的憑證與中繼資料，然後將竊得資料傳送到3個冒充阿里巴巴的網域，這些主機架設於阿里雲新加坡的基礎設施。值得留意的是，尚無VirusTotal納入的防毒引擎將後門程式視為有害，再加上駭客導入的C2交握驗證機制，使得Shodan、Censys等物聯網搜尋引擎難以識別受害的工作負載。</p> <p>究竟此後門會收集哪些資料？首先，駭客會從AWS查詢身分識別與存取管理（IAM）的角色憑證，接著，他們從GCP的中繼資料伺服器挖掘服務帳號的權杖（Token），並讀取應用程式的預設憑證。</p> <p>針對Azure的部分，駭客會查詢實體中繼資料服務（Instance Metadata Service，IMDS）端點的內容，取得代管的身分識別權杖並讀取設定檔；至於阿里雲，他們會查詢Elastic Compute Service（ECS）的中繼資料，搜刮資源存取管理（Resource Access Management，RAM）的角色憑證，以及命令列介面（CLI）的組態。</p> <p>上述所有竊得的憑證，後門程式都會搭配寫死的（hardcoded）AES-256金鑰進行加密處理，再外傳到攻擊者控制的網域。</p> <p>值得留意的是，這次駭客不再使用HTTPS進行C2通訊，而是刻意採用SMTP常見的連接埠。Breakglass指出，原因可能是雲端環境通常會提供電子郵件服務，因此25埠的流量往往會被視為正常，再加上許多資安工具不會深入檢查SMTP流量，以及各家雲端服務廠商對於25埠出口流量過濾做法不一致，使得相關活動難以被察覺。</p> <p>Breakglass提及C2伺服器實作選擇性交握機制，只有初始的EHLO字串包含來自用戶端提供的有效權杖，才會進行連線，否則就會傳送標準的SMTP橫幅（SMTP Banner）以及表達傳遞成功的狀態訊息220之後關閉連線。這代表物聯網搜尋引擎只會偵測到普通的SMTP伺服器，自動威脅情報平臺不會將IP位址標記為有問題。</p> <p>APT41打造Linux惡意程式並非首例，最早可追溯到6年前的<strong><a href="https://www.ithome.com.tw/news/143239">Pwnlnx</a></strong>，後續他們於2023年打造具雲端識別能力的KeyPlug，<strong><a href="https://www.ithome.com.tw/news/163086">隔年又改進迴避偵測的能力</a></strong>，並首度具備雲端中繼資料收集的能力。由此看來，該組織致力讓Linux版後門成為雲端原生的惡意程式，從早期的基本反向Shell，已經發展成具備專屬的雲端憑證收集工具。</p> </div></div></div>
4/15 13:34作者周峻佑https://www.ithome.com.tw/news/175083
微軟將於五月關閉Outlook Lite App for Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://mc.merill.net/message/MC1276508" target="_blank">微軟公告</a>Outlook Lite App for Android將在2026年5月25日完全退役，呼籲用戶改用Outlook Mobile App。</p> <p>Outlook Lite是微軟2022年開發Android裝置專用的精簡App，主打運行更輕巧、更快、更省電，適合當年頻寬較小的電信網路。下載次數約有1000萬次。</p> <p>伴隨關閉Outlook Lite for Android，微軟將切斷以Outlook Lite存取郵件信箱，但仍允許應用程式開啟。微軟呼籲用戶轉用Outlook Mobile，這App支援所有郵件功能和遵循能力。管理員無需任何行動，但必須通知使用者轉換。</p> <p>Outlook Lite for Android的關閉將影響使用較平價手機、頻寬較小的用戶。<a href="https://www.windowscentral.com/microsoft/windows/outlook-lite-android-end-of-life" target="_blank">Windows Central</a>分析，這項決定顯示微軟希望統一各平臺上Outlook的使用經驗。</p> <p>微軟去年9月就宣布退役Outlook Lite的計畫。10月微軟就不再允許下載Outlook Lite。微軟建議想要高效能的用戶改用瀏覽器執行Outlook，或是「購買或管理」手機連網方案。</p> </div></div></div>
4/15 14:35作者林妍溱https://www.ithome.com.tw/news/175086
資安業者揭露Chrome Web Store上共用同一C2基礎設施的108款惡意擴充程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者<a href="https://socket.dev/blog/108-chrome-ext-linked-to-data-exfil-session-theft-shared-c2" target="_blank">Socket週一（4/13）指出</a>，他們在Chrome Web Store上發現了108款共用同一C2基礎設施的惡意擴充程式，這些偽裝成通訊、播放器、遊戲或工具的擴充程式可竊取使用者的Google帳戶、Telegram帳號或瀏覽行為，並將它們傳送到同一個網域cloudapi[.]stream。</p> <p>此次揭露的擴充程式涵蓋Telegram擴充工具、影音播放器、翻譯服務及各類小遊戲等常見應用，安裝後仍可正常運作，降低使用者警覺。但實際上會在背景透過OAuth機制擷取Google帳戶的電子郵件、名稱與唯一識別碼（sub），並持續蒐集瀏覽行為資料。</p> <p>還有部分擴充程式更具備帳號接管能力，例如可每15秒竊取Telegram Web登入Session，讓攻擊者在不需密碼或雙重驗證的情況下直接存取帳號內容。此外，部分外掛內建後門機制，會在瀏覽器啟動時連線至遠端伺服器並接收指令，甚至可開啟任意網頁或動態注入內容。</p> <p>根據統計，有54個擴充程式可透過OAuth2竊取Google帳戶身分；有45個含有通用後門，以於瀏覽器啟動時開啟任意網址；另有1個擴充程式會持續竊取Telegram登入Session。不過，這108個擴充程式總計的下載量大約只有2萬。</p> <p>研究發現，這些擴充程式雖然是由5個不同的開發者所發行，但它們的C2伺服器都位於同一個IP位址，也都使用同一網域，而且不管是程式碼結構、後門機制與回傳機制都高度一致，可能為同一操作者所控制。</p> </div></div></div>
4/15 15:12作者陳曉莉https://www.ithome.com.tw/news/175087
出版商McGraw-Hill疑被竊取Salesforce系統4500萬筆資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一個駭客組織宣稱竊取了4,500萬筆紀錄後，知名教育出版商麥格羅希爾（McGraw-Hill）週二證實其使用的Salesforce環境曾遭未授權存取，但強調不是自己帳號被駭，也沒有客戶資料外洩。</p> <p>麥格羅希爾是美國三大教育出版商之一，總部位於紐約，業務遍布全球28個國家，出版領域涵蓋商管、財經、醫學及自然科學等領域，為教育產品和電子書服務供應商。</p> <p>資安媒體<a href="https://www.bleepingcomputer.com/news/security/mcgraw-hill-confirms-data-breach-following-extortion-threat/" target="_blank">Bleeping Computer報導</a>，一個駭客組織貼出公告，聲稱竊得這家出版商包含可識別身份資訊（PII）超過4,500萬筆Salesforce紀錄。駭客要求該出版商在週二之前聯繫，否則將公開這批資訊連同其網路環境漏洞。</p> <p>麥格羅希爾證實，近日發現有人非授權從Salesforce代管的公司某網頁存取了一小部份資料。這事件可能是Salesforce環境配置錯誤的一環，受影響的有多家組織。</p> <p>但麥格羅希爾出版社說，這起事件並非該公司Salesforce帳號、客戶資料庫、教材系統或內部系統被非授權存取。這公司並說，與外部資安業者合作調查發現，外洩的資訊不包含社會安全碼、財務資訊或教育平臺的學生資料。</p> <p>另外，製作二大知名電玩遊戲《俠盜獵車手Grand Theft Auto V》及《碧血狂殺II/Red Dead Redemption II》的Rockstar Games也在近日傳出被駭。<a href="https://www.cyberdaily.au/security/13448-wasted-gta-developer-rockstar-games-confirms-hack-as-shinyhunters-demands-pay-or-leak" target="_blank">媒體報導</a>，Rockstar Games和麥格羅希爾資料外洩事故皆由ShinyHunters聲稱所為。其他受害者還包括知名賀卡公司Hallmark Cards、美國國鐵公司Amtrak。</p> <p>但兩者被存取的系統不同。Rockstar Games是駭客經由其使用的績效AI分析工具Anodot平臺存取了Rockstar Games的Snowflake實例，但該遊戲出版商<a href="https://mashable.com/article/grand-theft-auto-6-rockstar-games-hack-data-breach" target="_blank">聲稱</a>，外流的是重要性較低的資訊，也沒有遊戲玩家資料。</p> </div></div></div>
4/15 13:26作者林妍溱https://www.ithome.com.tw/news/175082
Google在Chrome導入Skills，將AI提示轉為可重複執行的工作流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/products-and-platforms/products/chrome/skills-in-chrome/" target="_blank">Google週二（4/14）宣布</a>在Chrome中導入Skills功能，讓使用者可將常用的AI提示（Prompt）儲存為可重複使用的操作，並透過一次點擊快速執行。該功能整合於Chrome中的Gemini，支援在當前頁面或多個分頁上運行，進一步強化瀏覽器中的AI應用能力。</p> <p>過去使用者若需重複執行相同AI任務，例如比較產品規格或整理文章內容，往往需要在不同網頁間反覆輸入提示。Skills的推出，將這些提示轉為可儲存的操作單位，用戶可直接從聊天紀錄中建立Skill，並可透過輸入斜線（/）快速調用，顯著降低重複操作成本。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0415-skills-chrome-600-1.png" style="width: 500px;" /></p> <p>Google列出了Skills的多種應用場景，例如在健康領域中快速計算食譜的營養成分、在購物時跨分頁比較商品規格，或在工作中從長篇文件中擷取重點資訊。此外，Google亦同步推出Skills資料庫，提供一系列預設範本，使用者可直接套用或進一步自訂，建立個人化的AI工作流程。</p> <p>在安全設計上，Skills不會自動執行涉及外部操作的任務，相關動作需經使用者確認後才會進行，並結合既有瀏覽器防護與持續測試機制，以降低誤操作與濫用風險，例如新增行事曆事件或寄送電子郵件等操作。</p> <p><a href="https://www.ithome.com.tw/news/171287" target="_blank">Google</a>自2025年9月起將Gemini整合到Chrome瀏覽器中，使其具備AI助理能力，但截至今年3月，<a href="https://workspaceupdates.googleblog.com/2026/03/gemini-in-chrome-expands-to-more-countries-and-languages.html" target="_blank">此一功能</a>仍只支援美國、加拿大、紐西蘭及印度市場，尚未擴及臺灣，而此次推出的Skills則是Gemini in Chrome的功能之一。</p> </div></div></div>
4/15 14:07作者陳曉莉https://www.ithome.com.tw/news/175085
SAP修補商業規畫與合併財務報表系統、企業資料倉儲系統重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月14日SAP發布<strong><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2026.html">本月例行更新（Security Patch Day）</a></strong>，總共揭露19個資安漏洞，其中有1個重大等級、1個高風險等級，其餘為中低風險等級。</p> <p>根據CVSS風險評分，最危險的是SQL注入漏洞CVE-2026-27681，影響商業規畫與合併財務報表系統SAP Business Planning and Consolidation（SAP BPC），以及企業資料倉儲系統SAP Business Warehouse（SAP BW），CVSS風險評為9.9分（滿分10分），屬重大等級。此漏洞形成原因在於上述系統的授權檢查不夠充分，通過身分驗證的攻擊者能執行指定的SQL描述指令（SQL Statement），從而讀取、竄改、刪除資料庫內容。</p> <p>長期觀察並參與SAP漏洞修補的資安公司Onapsis<strong><a href="https://onapsis.com/blog/sap-security-notes-april-2026-patch-day/">也對此漏洞提出說明</a></strong>，低權限的攻擊者只要上傳帶有任何SQL描述指令的檔案，SAP BPC與SAP BW的ABAP程式就會執行，SAP在受影響的應用程式停用可執行的程式碼，以緩解漏洞。若是IT人員無法及時套用修補程式，Onapsis建議可在使用者帳號註銷S_GUI授權物件的上傳權限，不過，該公司強調，此臨時緩解措施有可能對其他應用程式造成影響，再加上漏洞非常嚴重，Onapsis仍呼籲IT人員儘速套用更新。</p> </div></div></div>
4/15 11:29作者周峻佑https://www.ithome.com.tw/news/175067
Meta攜手博通打造自研AI算力體系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/04/meta-partners-with-broadcom-to-co-develop-custom-ai-silicon/" target="_blank">Meta週二（4/14）宣布</a>與博通（Broadcom）擴大合作，雙方將共同開發多個世代的自研AI晶片MTIA（Meta Training and Inference Accelerator），並整合晶片設計、先進封裝與高速網路技術，打造可擴展至多GW等級的AI算力基礎設施，顯示Meta正將自研晶片提升為核心算力戰略，並逐步降低對外部GPU的依賴。</p> <p>Meta在AI算力布局上採多軌策略，一方面依賴外部GPU與雲端資源，另一方面也與博通合作投入自研MTIA晶片，於不同AI工作負載中選擇最適合的加速器，以在效能與總持有成本之間取得最佳平衡。</p> <p>根據雙方所揭露的規畫，此次合作涵蓋了晶片開發、系統架構與大規模部署等層面。其中，雙方將共同開發多個世代的MTIA晶片，包括推理與生成式AI等工作負載，並導入先進製程（如2奈米），以提升效能與能效比。除晶片外，合作亦延伸至先進封裝與高速網路，透過博通的乙太網與XPU平臺，建構可支援大規模運算叢集的低延遲、高頻寬架構。</p> <p>整體系統將以GW等級部署為目標，從初期超過1GW起步，逐步擴展至多GW規模。該合作預計延續至2029年，目標為支撐Meta在WhatsApp、Instagram與Threads等平臺上的生成式AI與推薦系統運作。</p> <p><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-announces-extended-partnership-meta-deploy-technology" target="_blank">博通解釋</a>，雙方的合作將建立在該公司的XPU（客製化加速器）平臺之上，協助Meta進行多世代MTIA晶片的協同設計，並整合晶片邏輯、記憶體與高速I/O，以支援不同世代的AI運算需求。博通也將提供乙太網路、交換器、光通訊與高速互連等技術，用於建構可支援大規模AI運算叢集的網路架構，並確保在高負載情境下仍能維持低延遲與高頻寬的資料傳輸能力。</p> <p>博通為AI基礎設施關鍵供應商，提供客製化晶片與高速網路技術，長期參與Google自研AI晶片TPU的開發，亦為<a href="https://www.ithome.com.tw/news/171641" target="_blank">OpenAI</a>與<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic</a>的合作夥伴。這一次進一步深化與Meta合作，原任Meta董事的博通執行長Hock Tan亦將轉任顧問，協助規畫客製化晶片發展藍圖。</p> </div></div></div>
4/15 11:35作者陳曉莉https://www.ithome.com.tw/news/175069
Anthropic新模型Claude Mythos引發金融業資安疑慮，美英加監理機關關注風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI模型開發商Anthropic於4月7日公布Claude Mythos Preview後，因其具備尋找並利用軟體弱點的能力，引起金融業與監理機關注意。<a href="https://www.reuters.com/legal/litigation/ai-boosted-hacks-with-anthropics-mythos-could-have-dire-consequences-banks-2026-04-13/" target="_blank">路透社</a>與<a href="https://www.ft.com/content/397bf755-54cf-4018-a01d-8f714d8667c5?syn-25a6b1a6=1" target="_blank">金融時報</a>報導，美國、英國與加拿大主管機關近期已與銀行高層討論相關風險，顯示這類具攻防雙重用途的AI模型，正被視為影響企業資安防禦節奏的重要變數。</p> <p>目前Claude Mythos Preview被視為Anthropic程式撰寫與代理式任務能<wbr></wbr>力最強的模型，可依指示找出並利用作業系統與瀏覽器未公開或未廣泛揭露的弱點。對銀行而言，風險特別顯著，主因在於IT環境同時整合最新工具與運行多年的舊系統，潛藏弱點的範圍更廣。</p> <p>企業AI資安業者Guardrail Technologies執行長TJ Marlin接受<a href="http://www.reuters.com/legal/litigation/ai-boosted-hacks-with-anthropics-mythos-could-have-dire-consequences-banks-2026-04-13/" target="_blank">路透社</a>採訪時指出，Claude Mythos這類先進模型能夠橫跨複雜系統架構進行分析，包括企業內部長期累積的舊系統環境，使過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業彼此之間高度連結，多數機構採用相似的軟體來進行開戶流程（onboarding）、客戶審查計畫（KYC，Know Your Customer）驗證與交易處理，一旦攻擊手法可規模化運用，影響可能迅速擴散。</p> <p>在監理動態方面，美國財政部長Scott Bessent與聯準會主席Jerome Powell已召集大型銀行執行長，提醒留意相關風險；英國國家網路安全中心（National Cyber Security Centre，NCSC）已開始討論其對關鍵系統的影響；加拿大財政部與央行也將其列為資安議題。</p> <p>在產業合作上， Anthropic目前透過<a href="https://www.ithome.com.tw/news/174898" target="_blank">Project Glasswing</a>，讓AWS、Google、微軟等合作夥伴，在受控情境下用於防禦測試，並提供資源協助提前發現與修補弱點。Anthropic<a href="https://red.anthropic.com/2026/mythos-preview/" target="_blank">技術文件</a>指出，Claude Mythos已找出數千個高風險與重大風險漏洞，多數尚未修補，因此未公開細節。</p> <p>英國<a href="https://www.ithome.com.tw/news/175037" target="_blank">AI Security Institute（AISI）評測</a>顯示，Claude Mythos在專家級搶旗競賽任務（CTF）成功率達73%，並可完成32步驟企業攻擊鏈。不過研究人員也指出，測試未納入實際企業防禦機制，因此結果尚不能直接反映真實環境。</p> <p>另一方面，<a href="https://newsroom.ibm.com/2026-04-09-Open-Source,-After-Mythos" target="_blank">IBM發布評論</a>指出，Claude Mythos反映AI在攻防兩端的能力正同步提升，企業若僅依賴封閉測試或單一廠商機制，將難以全面掌握風險，應透過開源與跨組織協作強化防禦。</p> </div></div></div>
4/15 13:08作者王珮瑤https://www.ithome.com.tw/news/175081
微軟發布4月例行更新，修補SharePoint、Defender零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一週前Anthropic發布<strong><a href="https://www.ithome.com.tw/news/174898">通用語言模型Claude Mythos預覽版本</a></strong>，聲稱該模型已在常見的作業系統、瀏覽器、開源軟體找出數千個零時差漏洞，並設立Project Glasswing專案號召科技、金融公司、關鍵基礎設施加入，使得4月份的各大IT廠商的安全性例行更新格外受到關注，因為外界預期，廠商將會公布大量的資安漏洞，果不其然，單就今天微軟發布的公告而言，就涵蓋超過200個漏洞。</p> <p>首先，4月微軟例行更新（Patch Tuesday）總共公開165個該公司登記CVE編號的漏洞，數量較<strong><a href="https://www.ithome.com.tw/news/174321">上個月</a></strong>多出一倍，再加上他們修補的第三方元件漏洞，總數將達到247個。</p> <p>另一個不尋常之處在於，在165個漏洞當中，有兩個被列為零時差漏洞，分別是已遭利用的SharePoint伺服器欺騙弱點<strong><a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-32201">CVE-2026-32201</a></strong>，以及已被公開的Microsoft Defender權限提升漏洞<strong><a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-33825">CVE-2026-33825</a></strong>。</p> <p>針對CVE-2026-32201，微軟僅提及攻擊者一旦成功利用漏洞，就能檢視部分敏感資訊，並對揭露資訊進行變更，導致機密性與完整性受到影響，CVSS風險評分為6.5，該公司將其危險程度評為重要（Important）等級，不過，他們強調，由於利用漏洞無法限制對於特定資源的存取，可用性不受影響。<strong><a href="https://www.rapid7.com/blog/post/em-patch-tuesday-april-2026/">長期分析微軟例行更新的資安公司Rapid7認為</a></strong>，駭客有可能將CVE-2026-32201與其他漏洞串連，形成攻擊鏈加以利用。</p> <p>另一個零時差漏洞CVE-2026-33825，攻擊者若是成功利用，就能得到SYSTEM權限，CVSS風險評為7.8分，危險程度同為重要等級。不過，微軟強調若是用戶停用Microsoft Defender，攻擊者將無法利用這個漏洞。上述的說明，讓人不禁聯想到之前被公布的零時差漏洞<strong><a href="https://www.ithome.com.tw/news/174902">BlueHammer</a></strong>，原因是後來有資安公司指出<strong><a href="https://www.ithome.com.tw/news/174989">該漏洞與Microsoft Defender的更新流程有關</a></strong>。儘管微軟指出此漏洞由兩位研究人員通報，分別是Zen Dodd與Yuanpei XU（HUST），但<strong><a href="https://www.zerodayinitiative.com/blog/2026/4/14/the-april-2026-security-update-review">不過漏洞懸賞專案Zero Day Initiative（ZDI）指出</a></strong>，CVE-2026-33825顯然就是BlueHammer。</p> </div></div></div>
4/15 10:04作者周峻佑https://www.ithome.com.tw/news/175055
OpenAI公布GPT 5.4-Cyber，開放更多資安人員使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>不讓Anthropic Claude Mythos專美於前，<a href="https://openai.com/index/scaling-trusted-access-for-cyber-defense/" target="_blank">OpenAI昨（4/14）日公布</a>專為網路安全分析訓練的模型GPT-5.4-Cyber提供資安人員使用。</p> <p>OpenAI今年2月公布資安人員合作方案Trusted Access for Cyber（TAC），允許資安廠商及組織得以使用OpenAI為網路安全強化的AI模型。本週OpenAI宣布增加更多層級，讓更多人員也能經由此方案使用其模型。其中最高層級的人可以使用GPT-5.4-Cyber。它是以最新LLM GPT-5.4微調而成的變種，強化網路防衛能力的模型。</p> <p>OpenAI指出，和標準版本相較，GPT-5.4-Cyber降低AI模型的拒絕邊界（refusal boundary）而可用於合法的網路安全任務，並加入進階防護工作的新功能，包括二進位檔逆向工程，這功能允許資安專家分析惡意軟體能力，或是在不需存取原始碼情況下了解系統軟體漏洞及安全性。</p> <p>由於該模型使用限制更少，因此OpenAI一開始只提供有限且迭代的部署，對象為經過審核的安全廠商、組織與研究人員。而且對某些不具透明度用途的存取用量也會受限，像是零資料保留（Zero Data Retention，ZDR），尤其是經由第三方平臺存取OpenAI模型的用戶，因為OpenAI對使用者、環境及請求目的等都不了解。</p> <p>OpenAI也提供了加入TAC方案的方法。個人用戶可以透過<a href="http://chatgpt.com/cyber?openaicom_referred=true" target="_blank">ChatGPT網站</a>驗證身份，企業用戶可以向OpenAI業務人員要求加入。審核通過的用戶就可以使用安全限制更少的OpenAI模型，讓他們得以執行安全教育、防禦性程式開發和負責任的漏洞研究。而已經加入TAC的用戶也可以<a href="https://docs.google.com/forms/d/e/1FAIpQLSea_ptovrS3xZeZ9FoZFkKtEJFWGxNrZb1c52GW4BVjB2KVNA/viewform" target="_blank">表達</a>興趣，要求提升TAC層級，以便使用GPT-5.4-Cyber。</p> <p>多家<a href="https://www.reuters.com/technology/openai-unveils-gpt-54-cyber-week-after-rivals-announcement-ai-model-2026-04-14/" target="_blank">媒體</a>不約而同評析，OpenAI此舉是和一週前對手Anthropic預覽能抓漏洞的<a href="https://www.ithome.com.tw/news/174898" target="_blank">Claude Mythos</a>分庭抗禮，該模型已能找出數千個漏洞，包括數十年未被發現的OpenBSD零時差漏洞。Anthropic也透過全球資安防禦計畫Project Glasswing，集結十多家科技/金融業者，將模型提供給數十家關鍵基礎設施組織協助其加速抓到漏洞。</p> <p>上個月OpenAI也預覽公布了資安代理人<a href="https://www.ithome.com.tw/news/174282" target="_blank">Codex Security</a>，這項工具可自動分析程式碼、找出潛在安全漏洞並提出修補建議。</p> </div></div></div>
4/15 10:39作者林妍溱https://www.ithome.com.tw/news/175058
OpenAI收購AI個人金融App新創公司Hiro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>個人金融AI平臺供應商<a href="https://www.linkedin.com/feed/update/urn:li:activity:7449516144237002752/" target="_blank">Hiro昨日表示</a>將加入OpenAI，消息也獲得OpenAI證實。</p> <p>Hiro成立於2023年，根據其LinkedIn公司檔案，公司員工數不到50人。Hiro定位為平價個人AI CFO，扮演消費者的AI財務規劃師角色。使用者輸入財務資訊如薪水、債務和每月支出等，Hiro AI模型會做出多個模擬情境，協助消費者執行財務決策。Hiro創辦人之一為執行長Ethan Bloch表示，該平臺迄今已為客戶管理10億美元資產。</p> <p>這筆交易應為典型的「人才收購」（Acqui-hire），旨在強化OpenAI在高精度金融運算與自動化代理（Agent）領域的布局，因為大型語言模型（LLM）過去在處理精密金融計算時容易出現誤差或幻覺。Hiro團隊專精於高精度金融建模。收購該團隊能幫助OpenAI提升ChatGPT在處理複雜數值推理時的穩定度。另一方面，OpenAI也可能藉此進軍AI個人CFO服務領域。</p> <p>即日起，Hiro將不再接收新客戶，其產品也將在4月20日停止運作，伺服器也會在5月13日刪除所有資料，呼籲用戶匯出資料。OpenAI與Hiro交易金額不明。</p> <p>Bloch在Hiro之前創辦過個人化儲蓄、投資的行動銀行平臺供應商Digit。Digital 2021年被Fintech業者Oportun以2.11億美元收購。另一創辦人為Rushabh Doshi。</p> <hr /> <p> </p> </div></div></div>
4/15 10:58作者林妍溱https://www.ithome.com.tw/news/175060
Amazon收購蘋果衛星服務供應商Globalstar，瞄準全球衛星直連與緊急通訊市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.aboutamazon.com/news/company-news/amazon-globalstar-apple" target="_blank">Amazon週二（4/14）宣布</a>，已與行動衛星服務業者Globalstar簽署最終合併協議，藉此強化其低軌衛星網路Amazon Leo的發展，並導入直接連接裝置（Direct-to-Device, D2D）通訊能力。雖然官方未公布整體交易金額，但媒體依每股90美元對價推估，此筆收購案規模約達115億美元，預計於2027年完成交易。</p> <p>Globalstar成立於1991年，為一專注於低軌衛星行動通訊服務（Mobile Satellite Services，MSS）的業者，主要提供衛星語音、簡訊、物聯網連線及緊急通訊等服務。該公司營運約24顆低軌衛星，並持有具全球授權的Band53／n53頻譜，長期深耕窄頻衛星通訊市場。Globalstar最知名的客戶為蘋果，為iPhone衛星SOS緊急通訊的服務供應商，讓使用者在無地面網路覆蓋的情況下仍能發送求救訊息與定位資訊，外傳蘋果在2024年以15億美元，取得了約20%的Globalstar股份。</p> <p>Amazon表示，收購Globalstar將使Amazon Leo可新增D2D服務，將語音、簡訊與數據通訊延伸至地面行動網路無法覆蓋的地區。透過整合Globalstar的衛星、頻譜與營運基礎，Amazon可加速實現其以太空為基礎的全球連線願景，為消費者、企業與政府提供更可靠的通訊服務。</p> <p>未來Globalstar現有與新一代衛星將與Amazon Leo寬頻系統協同運作，形成結合固定與行動衛星服務的統一網路。Amazon預計於2028年部署新一代D2D衛星系統，亦已與蘋果達成協議，將由Amazon Leo繼續支援iPhone及Apple Watch，並將共同開發未來的衛星服務。</p> <p>Globalstar的D2D應用以緊急通訊、基本語音簡訊與物聯網連線為主，強調全球覆蓋與可靠性；相較之下，SpaceX Starlink的<a href="https://www.ithome.com.tw/news/161701" target="_blank">Direct to Cell</a>著重延伸日常行動網路體驗，目標提供更即時且高頻寬的語音與數據服務，讓衛星成為地面基地臺的補充。</p> <p>在交易條款方面，Amazon將以每股90美元的價格收購Globalstar股份，股東可選擇領取現金或轉換為Amazon股票，現金比例上限為40%。該交易已獲約58%股東同意，預計於2027年完成，但仍須取得相關監管機構批准。</p> <p><a href="https://www.ithome.com.tw/news/174987" target="_blank">Amazon Leo</a>低軌衛星網路即將於今年中上線。Amazon指出，與Globalstar及蘋果的協議將推動航太、衛星與電信領域的創新及競爭，同時縮小全球的數位落差，也能在天災發生時提供關鍵的備用通訊能力，進一步強化公共基礎設施的韌性。</p> </div></div></div>
4/15 10:18作者陳曉莉https://www.ithome.com.tw/news/175056
Snowflake推資料互通架構，鎖定AI應用資料孤島與語意不一致問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在4月召開的Iceberg Summit期間，資料雲服務業者<a href="https://www.snowflake.com/en/blog/develop-agency-data-interoperability/" target="_blank">Snowflake說明其資料平臺發展方向</a>。該公司指出，隨著企業加速導入AI應用，資料孤島、治理分散與語意不一致，正逐漸成為影響AI運作的關鍵因素。當企業無法在原地處理資料時，往往需透過資料搬移以完成分析，不僅提高成本，也使語意脈絡難以維持，使相關專案在導入初期就難以順利推展。</p> <p>Snowflake表示，過去資料湖倉（Data Lakehouse）架構雖試圖提供單一且可治理的資料副本，並支援多種運算引擎存取，但實務上仍受限於專有技術綁定。即使開源資料表格式Apache Iceberg（由Netflix發起、現為Apache基金會專案），具備版本控管與ACID交易一致性（ACID Transactions，確保資料寫入維持完整與一致）等能力，並支援多引擎共享資料，已逐步成為資料互通基礎，但僅靠格式開放，仍難滿足企業在導入AI應用時，對資料、治理與語意一致性的需求。</p> <p>因此，Snowflake將重點放在跨層互通架構，目標是在不改變既有治理機制與語意脈絡的前提下，讓使用者可針對單一邏輯資料副本，在不同平臺與運算引擎上操作，建立資料主導權（agency over data）。</p> <p><span style="color:#B22222;"><strong>在資料層面強化Iceberg v3支援，提升跨引擎存取能力</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-Apache%20Iceberg%20v3.png" style="width: 450px;" /></p> <p>在資料層面，Snowflake持續以Apache Iceberg為核心，並規畫支援Apache Iceberg v3。該版本擴展資料互通能力，支援半結構化資料與變更資料擷取（Change Data Capture，CDC）等應用。</p> <p>Iceberg v3新增多項功能，使資料可被更多運算引擎直接存取。例如VARIANT型別可儲存半結構化資料並維持處理效能；列級資料血緣（Row-level Data Lineage）可追蹤資料在不同引擎間的變更歷程；刪除向量（deletion vectors）則提供列級刪除機制，並減少因刪除資料而產生的額外管理負擔。此外，也支援奈秒級時間戳記與地理空間資料型別，以因應高頻資料處理需求。</p> <p><span style="color:#B22222;"><strong>發展pg_lake專案，將交易型資料庫PostgreSQL整合至資料湖倉架構</strong></span></p> <p>除分析型資料外，企業關鍵資料仍大量存在於交易型資料庫。為此，Snowflake開發並開源pg_lake，讓PostgreSQL可直接整合至資料湖倉架構。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-pg_lake.png" style="width: 500px;" /></p> <p>pg_lake可就地查詢資料湖中的欄式儲存格式Parquet（Apache Parquet）與CSV檔案。Parquet透過欄式壓縮與編碼設計，可降低儲存空間並提升查詢效能，是資料湖環境常見格式。此外，pg_lake亦支援以PostgreSQL原生管理Apache Iceberg資料表，使交易型與分析型資料能在同一架構中運作，降低資料搬移需求。</p> <p><span style="color:#B22222;"><strong>以Apache Polaris與OSI強化資料治理與語意一致性</strong></span></p> <p>在資料治理層面，Snowflake推動開源專案Apache Polaris，透過政策交換（Policy Exchange）、治理聯邦（Governance Federation）與讀取限制API，讓資料存取控制可隨資料移動並跨引擎執行。</p> <p>Snowflake表示，此設計可讓細粒度存取控制（Fine-Grained Access Control，FGAC）在不同平臺維持一致，同時降低資料實體化帶來的額外運算負擔。</p> <p>在語意層面，Snowflake提出開放語意交換標準（Open Semantic Interchange，OSI），用於描述指標、維度與資料關聯，讓語意資訊可跨平臺共享。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-OSI-GitHub.png" style="width: 450px;" /></p> <p>Snowflake指出，當商業邏輯存在於封閉系統中時，AI代理在處理資料時，往往需要重新推測資料語意。OSI提供一套廠商中立標準，使語意資訊可在不同平臺間流通，目前已在Apache 2授權下釋出，並由包括Salesforce、Databricks與dbt Labs等超過35家業者參與。</p> </div></div></div>
4/14 21:26作者王珮瑤https://www.ithome.com.tw/news/175054
Cloudflare打造新一代CLI，目標涵蓋近3,000項API操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Cloudflare發布新<a href="https://blog.cloudflare.com/cf-cli-local-explorer/">CLI工具cf技術預覽版</a>，目標是逐步將旗下超過100項產品、近3,000個HTTP API操作納入CLI支援。該工具從底層重整程式碼生成工作管線，以自有的TypeScript結構定義（Schema）格式驅動，可同時產出CLI指令、SDK、Terraform provider與文件等多種介面，並在Schema層統一指令命名與參數慣例，以因應AI代理使用情境。</p> <p>現有的Wrangler CLI僅涵蓋部分Cloudflare產品，不少服務並無對應的CLI指令，但當前程式開發AI代理逐漸成為Cloudflare API的主要使用者，對CLI的一致性與覆蓋範圍要求也隨之提高。Cloudflare工程團隊指出，過去內部在更新CLI、Workers Bindings、wrangler.jsonc設定檔、儀表板與文件等介面時，仍有不少流程仰賴人工處理，容易出錯且難以擴展，無法支撐全平臺CLI的目標。</p> <p>Cloudflare沒有採用原本僅以OpenAPI Schema描述各種介面的作法，工程團隊認為，OpenAPI主要用於描述REST API，難以完整涵蓋互動式CLI指令、Workers Bindings的RPC介面，以及Agent Skills與文件等不同需求。因此他們設計了一套以TypeScript型別為基礎的自有Schema格式，並搭配慣例規範與檢查機制來確保一致性。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/BLOG-3224_3.jpg" style="width: 580px; height: 589px;" /></p> <p>針對AI代理的使用情境，Cloudflare在Schema層直接強制執行命名規則，例如查詢資源、強制執行與JSON輸出等情境，皆採固定命名方式。Cloudflare指出，在大型工程組織中，要是只靠人工程式碼審查維持數百條指令的一致性，往往難以全面防堵例外情況，只有在Schema層設下規則，才能系統性解決該問題。</p> <p>cf另一項設計重點是明確區分本機與遠端資源的操作，Wrangler CLI的特殊之處在於，同一套指令可以操作本機模擬的D1資料庫、R2儲存桶與KV命名空間，也可以操作遠端正式資源。不過，當代理無法分辨目前操作的是本機還是遠端環境，可能導致開發者難以追蹤資料變更，而新版CLI因此要求指令輸出必須明確標示資源來源，並統一預設行為。</p> <p>Cloudflare同日釋出的Local Explorer功能，讓開發者在使用Wrangler CLI或Cloudflare Vite套件進行本機開發時，可直接瀏覽與操作KV、R2、D1、Durable Objects及Workflows等模擬資源內容。過去若要確認本機儲存了哪些資料，開發者往往得自行翻查本機狀態檔案或另裝第三方工具，現在Local Explorer也提供可供代理使用的本機API介面，AI代理可透過該介面直接管理本機資源。</p> </div></div></div>
4/14 20:42作者李建興https://www.ithome.com.tw/news/175050
Python資料分析工具Marimo重大漏洞遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月8日，開發Python互動式運算環境Marimo的團隊揭露<strong><a href="https://github.com/marimo-team/marimo/security/advisories/GHSA-2679-6mx9-h9xc">重大漏洞CVE-2026-39987</a></strong>，有資安公司發現，公布後不到半天，已出現攻擊行動。</p> <p><strong><a href="https://www.sysdig.com/blog/marimo-oss-python-notebook-rce-from-disclosure-to-exploitation-in-under-10-hours">資安公司Sysdig指出</a></strong>，在Marimo發布公告約10小時後，他們看到漏洞利用嘗試的跡象，而且駭客在3分鐘之內成功竊得憑證。值得留意的是，當時該漏洞尚無登記CVE編號，也沒有公開的概念驗證程式碼（PoC），攻擊者只有根據資安公告的有限資訊，就成功利用漏洞，並在未經身分驗證的情況下存取終端機端點，然後手動偵察受害環境。Sysdig提及，之前公布的Langflow漏洞CVE-2026-33017，也同樣在公布不久後就被成功利用，駭客在公布的20小時用於實際攻擊，相較之下，駭客解析Marimo的漏洞並利用，花費的時間僅有Langflow漏洞的一半。</p> <p>Marimo開發團隊在公告中表明，CVE-2026-39987是預先驗證身分的遠端程式碼執行（RCE）弱點，起因是終端機的Web Socket端點缺乏身分驗證機制，未經身分驗證的攻擊者可藉此取得完整的偽終端（Pseudo-Terminal，PTY）Shell，並執行任意命令，影響0.20.4版以下的Marimo，該團隊發布0.23.0版進行修補。對於此漏洞的危險程度，GitHub將其CVSS v4.0評為9.3分（滿分10分）。</p> <p>相較於Langflow或n8n，其實Marimo的知名度沒有那麼高，但為何該漏洞會被駭客盯上？Sysdig指出，該漏洞有4個特性對攻擊者相當有吸引力，首先是無須通過身分驗證，既不需憑證或權杖，也不需管理連線階段（Session）。</p> <p>再者，駭客能藉由漏洞、以互動的方式存取Shell。有別於許多RCE漏洞必須使用特製的有效酬載觸發並下達每個指令，CVE-2026-39987提供了持續性的終端機環境，攻擊者可直接輸入指令並即時看到輸出結果。</p> <p>另一方面，利用CVE-2026-39987的門檻並不高，攻擊者只要能建立Web Socket連線，不需製作有效酬載，或是注入程式碼，就可以取得Shell。</p> <p>最後一點是Marimo存放的資料極具價值，原因是該平臺通常會與資料庫連線，存放API金鑰、雲端憑證等機敏資訊，攻擊者可於受害企業進行橫向移動。</p> </div></div></div>
4/14 14:56作者周峻佑https://www.ithome.com.tw/news/175041
AI驅動低碳電商轉型，Momo揭露單季上千萬筆訂單高效配送與減碳的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著電商經濟邁入成熟階段，從消費者下單、商品包裝到物流配送，每一個環節都牽動效率與成本。對Momo而言，面對上千萬筆訂單的營運規模，不僅考驗供應鏈與物流效率，也同步面臨減碳與永續的壓力。富邦媒體科技財務長呂鈺萍指出，「當我們一季超過一千萬筆訂單，如果只靠經驗、靠人力，是沒辦法有效運作的。」在規模驅動下，Momo正以AI與數據分析，重構電商營運流程，追求高效率的同時也力行減碳的目標。</p> <p>「做電商最難的是每個決策，都會影響到未來公司的營運成本」，Momo推動減碳不只是追求永續，更將碳排視為成本的一部分。</p> <p><span style="color:#B22222;"><strong>AI導入營運核心，從商品到消費決策全面優化</strong></span></p> <p>面對ESG、永續、競爭、少子化等轉型挑戰，Momo在電商的營運不同層面導入AI，涵蓋商品上架、用戶體驗、倉儲存貨、商品包裝、出貨配送、智能客服六大應用場景。</p> <p><img alt="" src="/sites/default/files/images/20260410_112009.jpeg" style="width: 600px; height: 515px;" /></p> <p>在商品上架方面，面對超過6,000種商品分類、數百萬種SKU，不同商品種類受到不同法規管理，例如商品標示法、食安法等等，過去仰賴人工進行商品審核與抽驗管理，但隨著規模擴大，風險也隨之增加。呂鈺萍坦言，「過去都是用人工，但商品一多，風險就會出現。」</p> <p>以酒精類商品為例說明人工審核的限制。她提到，曾有商品圖示為一般酒精產品，但實際在包裝細節中，卻以極小字標註「酒精濃度達40%」。這類資訊如果沒有被即時辨識出來，就可能在未符合相關法規的情況下上架販售。一旦發生這類疏漏，不僅可能遭主管機關處分，後續還會衍生客服申訴、退貨處理，產生額外的碳排，甚至影響消費者對平臺的信任。</p> <p>因應大量商品種類辨識需求及人工風險增加，Momo透過導入多模態分類模型及LLM分類模型，由AI自動進行商品分類與風險判讀，「讓AI不只是懂文字，也能看懂圖片、語音部分、預測風險」，呂鈺萍強調，這類應用的目的，在於降低人工判斷的盲點，確保商品上架合規，同時減少後端因錯誤上架所帶來的營運與環境成本，目前AI分類的準確度已達90%以上。</p> <p>另外，在前臺消費體驗上，Momo也運用AI分析用戶的行為，包括點擊、瀏覽與購物車內尚未結帳的紀錄，來優化商品的推薦機制。她表示：「我們的目的不是將更多商品推到消費者面前，而是希望更快把對的商品，放到對的人面前。」這不僅提升轉換率，也能降低無效曝光與衝動購物，間接降低消費者退貨與物流往返產生的碳排。</p> <p><span style="color:#B22222;"><strong>靠短鏈物流優化與AI調度降低包材與配送碳排</strong></span></p> <p>物流是電商碳排的主要來源之一。Momo透過全臺倉儲布局與AI調度系統，重新設計出貨模式。Momo在全臺約有50個倉庫，消費者一筆訂單內含有多個商品，可能存放在不同的倉庫，因此拆成多件包裏配送，就會產生多個包裝、多筆物流配送；現在則是透過「整體最優化」概念，將所有訂單整合計算，運用AI找出最低配送里程與最少包裹數的方式。</p> <p><img alt="" src="/sites/default/files/images/20260410_112630.jpeg" style="width: 600px; height: 512px;" /></p> <p>呂鈺萍說明：「我們AI不是只算單一訂單，而是將成千上萬訂單疊加在一起，從中找出最少里程、最少包裝、最平衡的出貨方式。」這項策略帶來顯著成效，去年減少超過45萬個紙箱使用量，約當250座臺北101的高度，減少88公噸以上的年度減碳。</p> <p>在最後一哩配送上，Momo也導入AI路徑規劃與電動三輪車，提升裝載效率並降低碳排。她指出：「讓人少繞路、少踩煞車點地」，透過科技降低不必要的能源消耗。</p> <p><span style="color:#B22222;"><strong>包裝與會員機制雙管齊下，推動消費端參與永續</strong></span></p> <p>對電商而言，包材的使用需要精準的控制，因為包材減量、緩衝材減少，可能增加配送商品在運送過程中損壞的風險，進而可能導致退貨，影響消費者對電商的信任。</p> <p>因此，Momo在包材減量方面，透過數據與測試精準控制。呂鈺萍表示，每一款紙箱都經過壓力測試與裝載分析，確保不同款式的紙箱具備商品保護能力後才使用，透過這套機制使單件包裹的重量降低34%，緩衝材減量近50%，同時避免因包裝不足導致的損壞與二次配送。因應不同商品需要，目前Momo使用的紙箱已從19款增加至46款。</p> <p>另外，過去Momo採用人工包裝，全臺50個倉庫，如果每個倉庫有10位包裝師，一天就有500位包裝師負責包裝商品，使用包材及緩衝材大小全都仰賴包裝師的經驗，難以統一包材的使用。現在則透過AI進行3D模擬與即時建議，提示第一線人員如何進行包裝，也能減少新進人員的訓練時間。</p> <p>Momo不只是自己實踐永續，也透過「綠活會員」機制，引導消費端參與低碳購物行為。從2023年推出以來，已有超過76萬人加入「綠活會員」，涵蓋7,000多項綠色商品。消費者透過選擇集中配送、購買綠色商品或使用循環包材，可累積綠色點數並回饋至公益。</p> <p>呂鈺萍強調：「我們不是只做好內部，而是邀請消費者一起走向低碳生活。」她認為，唯有將永續融入消費決策，才能形成正向循環，推動整體電商生態轉型。</p> <p>從Momo分享的經驗來看，電商正從「追求速度與規模」的競爭，轉向「效率與減碳並重」的新模式，不僅透過AI提高商品上架分類的準確度、降低風險，也提高電商配送的效率，縮減包材的使用，從商品管理、包裝決策到物流配送與消費行為，透過數據驅動，試圖在電商競爭的市場中，兼顧營運與永續的平衡點。</p> </div></div></div>
4/14 18:32作者蘇文彬https://www.ithome.com.tw/news/175049
【資安日報】4月14日，OpenAI證實遭遇Axios供應鏈攻擊波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175030"><strong style="font-size: 22px;">OpenAI更新憑證，並要求macOS用戶升級應用程式，起因是遭遇Axios供應鏈攻擊</strong></a></p> <p>3月31日HTTP用戶端套件Axios遭遇供應鏈攻擊，駭客於NPM發布有問題的1.14.1與0.30.4版，近日AI公司OpenAI證實，他們下載了惡意版本Axios而受到影響。</p> <p>OpenAI透過部落格文章指出，當時他們用於簽發macOS應用程式的GitHub Actions，拉取了1.14.1版Axios而曝險。由於此工作流程存放了macOS應用程式的憑證與公證資料，以供使用者與電腦驗證應用程式來自OpenAI，因此電腦版ChatGPT應用程式，以及Codex、Codex-cli，以及Atlas都受到影響。該公司已輪換macOS應用程式的簽章憑證並著手調查，並預告舊版macOS應用程式將自5月8日不再提供支援，有可能無法正常運作。</p> <p><a href="https://www.ithome.com.tw/news/175037"><strong style="font-size: 22px;">Claude Mythos完成多步驟攻擊測試，AI資安能力邁入新階段</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/0414-AISI-Claude Mythos Preview.png" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/0414-AISI-Claude%20Mythos%20Preview.png" style="width: 300px; float: right;" /></a></p> <p>針對近期Anthropic發表的最新模型Claude Mythos預覽版，4月13日英國AI安全研究所（AI Security Institute，AISI）公布評測結果，顯示該模型已能在受控環境中自主執行多步驟網路攻擊。在資安搶旗賽（CTF）專家級任務中，成功率達73%，並成為首個完整解出32步驟企業攻擊鏈的AI模型。</p> <p>在企業攻擊模擬部分，AISI建構名為「The Last Ones」的測試環境，模擬從初始偵察到全面控制系統的32個步驟攻擊流程，估計人類專家需約20小時完成。Claude Mythos在10次測試中平均完成22個步驟，並有3次成功執行全部流程，是目前唯一能從頭到尾解出攻擊鏈的模型。</p> <p><a href="https://www.ithome.com.tw/news/175039"><strong style="font-size: 22px;">冒牌Claude下載網站散布惡意程式PlugX</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/0414-claude-malware-600-1.png" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/0414-claude-malware-600-1.png" style="width: 300px; float: right;" /></a></p> <p>資安廠商Malwarebytes發現冒充Claude Pro版下載網站，一旦不知情的用戶點選下載，會將Claude-Pro-windows-x64.zip下載到電腦，內容是MSI安裝檔。</p> <p>若是使用者依照指示安裝，桌面上就會出現駭客準備的捷徑，點選就會執行Claude.vbs，此為VBScript惡意程式投放工具（Dropper），後續流程可分為兩個部分，其中一個是執行正牌Claude安裝程式，以免用戶察覺異狀，另一個則是透過惡意DLL檔載入遠端存取木馬（RAT）PlugX。值得留意的是，雖然過往此惡意程式主要是中國國家級駭客使用，不過其原始碼如今已在地下論壇流傳，他們難以確認攻擊者的身分。</p> <p><a href="https://www.ithome.com.tw/news/175032"><strong style="font-size: 22px;">Booking.com傳出外洩用戶訂房資料與個資</strong></a></p> <p>訂房網站Booking.com上週以電子郵件發出通知，用戶的資料可能遭到外洩，包括姓名、電子郵件以及訂房資訊。</p> <p>多名用戶在Reddit表示接到Booking.com的通知，內容提及，有未授權人士存取部分用戶的訂房資訊，根據調查，外洩的資訊包括用戶姓名、電子郵件、住址、電話，以及其他「用戶分享給住宿機構的資訊」。為確保用戶資訊安全，該網站已經更新了預約的PIN碼。有用戶表示接到不明人士電話聯繫，根據TechCrunch報導，有用戶在WhatsApp收到釣魚訊息，這表示攻擊者已經開始濫用竊得的用戶個資。</p> <p><a href="https://www.ithome.com.tw/news/175031"><strong style="font-size: 22px;">曝露在網際網路的AI影像生成管理平臺ComfyUI遭到鎖定，駭客試圖用於挖礦、部署殭屍網路</strong></a></p> <p><a href="/sites/default/files/images/ComfyUI-60.png" target="_blank"><img alt="" src="/sites/default/files/images/ComfyUI-60.png" style="width: 300px; float: right;" /></a></p> <p>威脅情報公司Censys指出，近期駭客鎖定曝露於網際網路的AI影像生成管理平臺ComfyUI，透過專屬的Python掃描工具於公有雲尋找下手目標，一旦成功入侵，他們就會將受害主機組成殭屍網路，用於挖礦或是架設非法代理伺服器，藉此獲取不法利益。值得留意的是，過程裡駭客使用的惡意程式ghost.sh，採取無檔案執行，並偽裝成核心層級的處理程序，以及導入LD_PRELOAD的Rootkit功能，藉此迴避偵測，此外，他們還加入3種備援機制，即使IT人員嘗試將ComfyUI重開機，或是移除惡意軟體相關元件，仍有可能透過備援機制恢復運作。</p> <p>Censys在過濾掉研究人員架設的蜜罐陷阱之後，找到超過1,000個曝露於網際網路的ComfyUI平臺，儘管數量並非極為龐大，不過該公司認為，已經足以讓攻擊者從事大規模利用。</p> <p><a href="https://www.ithome.com.tw/news/175034"><strong style="font-size: 22px;">蠕蟲程式GlassWorm透過程式語言Zig打造的載入工具，滲透多款IDE</strong></a></p> <p>去年10月揭露的蠕蟲程式GlassWorm，駭客最初於Open VSX與Visual Studio Code（VS Code）延伸套件市集從事活動，後續將範圍延伸到GitHub、NPM，甚至是Chrome延伸套件市集，如今傳出駭客轉移目標，針對受害開發環境的各種整合開發環境（IDE）工具。</p> <p>資安公司Aikido在Open VSX看到惡意套件code-wakatime-activity-tracker，駭客模仿熱門的時間追蹤工具WakaTime，並在套件挾帶以程式語言Zig編譯而成的二進位檔案。與之前攻擊行動相同的是，此二進位檔案並非GlassWorm的實際有效酬載，而是駭客用來傳遞該蠕蟲的工具，這次GlassWorm感染的目標，是受害電腦安裝的所有IDE工具。</p> <p><a href="https://www.ithome.com.tw/news/175018"><strong style="font-size: 22px;">木馬程式STX RAT同時具備竊資軟體的功能</strong></a></p> <p><a href="/sites/default/files/images/A-new-RAT-in-2026-with-Infostealer-Capabilities-17.png" target="_blank"><img alt="" src="/sites/default/files/images/A-new-RAT-in-2026-with-Infostealer-Capabilities-17.png" style="width: 300px; float: right;" /></a></p> <p>資安公司eSentire指出，他們在2月底看到遠端存取木馬（RAT）程式STX RAT的活動，駭客鎖定金融產業發動攻擊，藉由用戶的瀏覽器下載VBS指令碼檔案，於受害電腦部署此惡意程式。他們提到，資安公司Malwarebytes於3月初揭露有人散布惡意版本FTP應用程式FileZilla，是其中一種散布STX RAT的管道。</p> <p>STX RAT的本質是遠端存取木馬，其中整合了HVNC與隱匿的遠端桌面連線功能，使得攻擊者能遠端控制受害電腦，不過除此之外，該惡意程式還納入竊資軟體的功能，鎖定瀏覽器存放的憑證與Cookie、加密貨幣錢包，以及FTP用戶端程式的憑證。</p> <p><a href="https://www.ithome.com.tw/news/174833"><strong style="font-size: 22px;">資安研究人員揭露Google Vertex AI權限設計缺陷，可能導致雲端資料外洩</strong></a></p> <p>資安公司Palo Alto Networks發布研究報告，揭露Google Vertex AI存在權限設計缺陷，預設服務帳戶的權限過大，可能導致攻擊者存取用戶敏感資料。</p> <p>Vertex AI是Google的雲端機器學習開發與部署平臺，可支援從模型訓練到上線應用的整合AI服務。Palo Alto Networks指出，Vertex AI預設服務帳戶的服務代理（Per-Project, Per-Product Service Agent，P4SA)，被授予過大的權限（Over-Privileged），形成權限提升風險。當AI服務代理運作時，系統會呼叫中繼資料服務並暴露服務帳戶憑證，攻擊者可藉此取得用戶專案資訊與存取權限，甚至讀取用戶儲存在雲端儲存區中的資料，破壞原有隔離機制。</p> <p><a href="https://www.ithome.com.tw/news/174793"><strong style="font-size: 22px;">Nvidia發布2026年3月安全公告，修補多個驅動程式與AI應用套件漏洞</strong></a></p> <p>AI晶片大廠Nvidia近日發布安全公告，修補旗下硬體與軟體產品的多個漏洞，其中最嚴重的漏洞可能導致遠端程式碼執行、拒絕服務（DoS）等風險，建議用戶儘速修補。</p> <p>其中最嚴重的漏洞，是Apex套件的CVE-2025-33244，CVSS嚴重性評分達9.0分，未經授權的攻擊者可利用此漏洞，對不受信任的資料執行反序列化處理，進而導致執行任意程式碼、拒絕服務、權限提升、資訊外洩等風險。其他值得注意的高風險漏洞，還包括Model Optimizer的CVE-2026-24141（7.8分），NeMo的CVE-2026-24157與CVE-2026-24159（7.8分），以及Triton推論伺服器的CVE-2025-33238、CVE-2025-33254、CVE-2026-24158（7.5分）。</p> <p><a href="https://www.ithome.com.tw/news/174767"><strong style="font-size: 22px;">群暉修補NAS產品telnetd重大漏洞，若未更新可能導致遠端執行任意程式碼</strong></a></p> <p>國產NAS主要廠商之一的群暉（Synology）近日發布安全公告，修補與Telnet服務相關的重大漏洞CVE-2026-32746，這個漏洞源自GNU Inetutils網路工具套件中的telnetd元件，CVSS嚴重性評分達9.8分，屬於CWE-120緩衝區溢位弱點。問題來自telnetd的LINEMODE SLC處理程序，在寫入資料前未能檢驗緩衝區空間是否足夠，導致攻擊者可藉此執行越界寫入（out-of-bounds write）的非法存取。</p> <p>CVE-2026-32746會影響群暉NAS作業系統DiskStation Manager（DSM）的7.2.1、7.2.2與7.3版，以及UC系列儲存設備DSM UC作業系統的3.1版。群暉已釋出DSM修補版本，DSM會自動下載並安裝此更新；使用者亦可選擇自行下載更新檔案。至於DSM UC的修補版本目前仍在開發中。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193439&SPOKE_DATE=20260413&COMPANY_ID=3483"><strong style="font-size: 22px;">散熱系統製造商力致資訊系統遭網路攻擊</strong></a></p> <p>4月13日散熱系統開發及製造商力致科技（3183）發布資安重訊，表示有部分資訊系統遭到駭客攻隱，資訊部門全面啟動防禦機制與復原作業，並對所有資訊系統及檔案進行全面性的徹底掃描檢測，確認安全後即以備份資料復原運作。對於這起事故可能帶來的影響，力致表示根據初步評估的結果，對公司運作無重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://intel.breakglass.tech/post/apt41-winnti-elf-cloud-credential-harvester-alibaba-typosquat">中國駭客APT41使用惡意程式搜刮雲端憑證，範圍涵蓋AWS、GCP、Azure、阿里雲</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.helpnetsecurity.com/2026/04/09/saas-platforms-notification-systems-phishing/">GitHub與Jira的電子郵件系統基礎設施遭濫用，駭客從事網釣活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.helpnetsecurity.com/2026/04/10/clickfix-mac-malware-script-editor/">駭客架設假蘋果網頁從事ClickFix網釣，散布竊資軟體Atomic Stealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/bypass-of-aws-sandbox-network-isolation-mode/">AWS沙箱環境AgentCore存在重大漏洞，攻擊者恐繞過網路隔離防護機制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/showdoc-rce-flaw-cve-2025-0520-actively.html">中國技術文件協作平臺SnowDoc存在重大漏洞，已被用於實際攻擊活動</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175020"><strong>【4月13日】CPUID網頁被入侵，駭客散布木馬程式STX RAT</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174990"><strong>【4月10日】伊朗駭客鎖定美國關鍵基礎設施發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174940"><strong>【4月9日】Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客</strong></a></p> </div></div></div>
4/14 15:24作者周峻佑https://www.ithome.com.tw/news/175043
媒體封鎖Wayback Machine引爭議，記者連署力挺Internet Archive
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.wired.com/story/the-internets-most-powerful-archiving-tool-is-in-mortal-peril/" target="_blank">《Wired》近日報導</a>，多家主流媒體近期陸續限制網際網路檔案館（Internet Archive）旗下Wayback Machine存取，包括封鎖其網頁爬蟲或降低內容可見性，使部分新聞無法被完整存檔。此舉被視為媒體因應生成式AI發展的防禦措施，令Wayback Machine遭到池魚之殃，同時引發新聞界反彈，逾百名記者已發起連署，公開支持Internet Archive持續保存新聞內容。</p> <p>Internet Archive成立於1996年，是一個致力於保存網路與數位內容的非營利組織，其最知名服務時光機（Wayback Machine）可定期抓取並保存網站歷史版本，讓使用者查閱過去頁面內容。該工具長期被記者、研究人員與法律實務使用，用於查證資訊、追蹤內容變動，或保存可能遭刪除的公開紀錄。</p> <p>《Wired》引述Originality AI分析指出，目前已有23家主要新聞網站封鎖Internet Archive的爬蟲程式，也有部分媒體透過限制API或調整介面顯示，降低歷史內容的可存取性。包括The New York Times、USA Today、The Guardian、Financial Times及Reddit等媒體與平臺。</p> <p>媒體的封鎖原意是阻擋AI業者取用內容，Wayback Machine卻因此誤中流彈，因其保存的大量歷史頁面，同樣可能成為AI模型的訓練來源之一。</p> <p>由Fight for the Future、Electronic Frontier Foundation與Public Knowledge等數位權利與公共政策團體<a href="https://www.fightforthefuture.org/news/2026-03-17-journalist-letter/" target="_blank">發起的連署書指出</a>，在實體報紙大量停刊、地方公共圖書館又難以系統性保存數位內容的現實下，新聞史料的守護責任已逐漸落到Internet Archive身上；現在Wayback Machine已為維基百科上近500萬篇新聞文章保存了永久引用連結，讓這些報導不因連結失效或媒體整併而從公共記憶中消失，對於追蹤錯誤資訊或審查行為的數位調查報導而言，更是不可或缺的工具。</p> <p>此外，Internet Archive從未繞過付費牆或進行不當抓取，而是持續與新聞機構合作，以審慎方式保存內容；應支持Internet Archive的運作，以確保今日的報導能留存給未來的記者、研究者與大眾。</p> <p>值得觀察的是，推動封鎖Wayback Machine的多為新聞媒體機構本身，但此次公開連署支持Internet Archive的，亦來自同一產業的記者與新聞工作者，凸顯新聞業內部對內容保護與公共保存之間的立場分歧。</p> </div></div></div>
4/14 14:54作者陳曉莉https://www.ithome.com.tw/news/175040
Claude Mythos完成多步驟攻擊測試，AI資安能力邁入新階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國AI安全研究所（AI Security Institute，<a href="https://www.aisi.gov.uk/blog/our-evaluation-of-claude-mythos-previews-cyber-capabilities" target="_blank">AISI）週一（4/13）公布</a>針對Anthropic最新模型Claude Mythos Preview的評測結果，顯示該模型已能在受控環境中自主執行多步驟網路攻擊。在資安搶旗賽（Capture the Flag，CTF）專家級任務中，成功率達73%，並成為首個完整解出32步驟企業攻擊鏈的AI模型。</p> <p>AISI成立於2023年，隸屬英國科學、創新與科技部，主要負責評估前沿AI模型的潛在風險。此次評測透過CTF與企業攻擊模擬環境，檢驗模型能否自主完成漏洞發現、權限提升與橫向移動等攻擊步驟，以評估其在真實世界中可能帶來的資安威脅。</p> <p><a href="https://www.ithome.com.tw/news/174898" target="_blank">Claude Mythos Preview</a>則是Anthropic最新發表的通用模型，在資安任務上表現突出，不僅發現了大量零日漏洞，亦能生成漏洞利用程式。由於該能力可能帶來風險，Anthropic已啟動全球資安防禦計畫Project Glasswing，並僅限特定合作夥伴存取該模型，以加速漏洞修補。</p> <p>根據AISI的測試，在資安搶旗賽（Capture the Flag，CTF）測試中，Claude Mythos Preview在專家級任務中的成功率達73%。這類任務在2025年以前尚無模型能完成，顯示其在高難度漏洞利用能力上已有顯著突破。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-AISI-Claude%20Mythos%20Preview.png" style="width: 600px;" /></p> <p>在企業攻擊模擬部分，AISI建構名為「The Last Ones」的測試環境，模擬從初始偵察到全面控制系統的32步驟攻擊流程，估計人類專家需約20小時完成。Claude Mythos Preview在10次測試中平均完成22步，並有3次完整走完全部流程，是目前唯一能從頭到尾解出該攻擊鏈的模型。</p> <p>不過，AISI也指出，該測試環境並未納入真實世界常見的防禦機制，例如即時監控、入侵偵測與事件回應系統，且模型在執行攻擊過程中不會收到警告或中斷，因此結果仍無法完全代表其在實際高防護環境中的表現。</p> <p>此外，在部分工業控制系統（OT）測試中，Claude Mythos Preview未能完成攻擊流程，主要卡在前段IT環節，顯示其跨環境攻擊能力仍有限。</p> <p>AISI提醒，隨著模型能力持續提升，未來AI可能被用於自動化漏洞挖掘與攻擊行動，對防護薄弱的企業系統構成風險；建議企業強化基本資安措施，包括定期更新系統、落實存取控制與強化日誌紀錄，同時提前強化防禦能力，以因應AI驅動攻擊能力的快速演進。</p> </div></div></div>
4/14 13:40作者陳曉莉https://www.ithome.com.tw/news/175037
攻擊者仿冒Claude下載網站散布遠端存取木馬PlugX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>人氣愈來愈高的Anthropic Claude也成為攻擊者利用的目標。<a href="https://www.malwarebytes.com/blog/scams/2026/04/fake-claude-site-installs-malware-that-gives-attackers-access-to-your-computer" target="_blank">研究人員發現</a>，攻擊者結合釣魚與進階DLL側載手法，架設冒充Claude官網的惡意網站，藉此散布遠端存取木馬程式PlugX。</p> <p>資安廠商Malwarebytes研究團隊發現一個假網站冒充Claude Pro版下載網頁。不知情的用戶選擇下載後，它會在用戶電腦下載名為Claude-Pro-windows-x64.zip。該壓縮檔包含MSI安裝檔（installer），會以模仿Anthropic Claude下載路徑儲存到拼錯字的C:\Program Files (x86)\Anthropic\Claude\Cluade\資料夾，且在桌面建立名為Claude AI.lnk的假捷徑。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-claude-malware-600-1.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Malwarebytes</span></span></p> <p>假捷徑指向隱藏在暫存資料夾（SquirrelTemp）裡的Claude.vbs，後者實際上是VBScript Dropper（下載器）。當用戶執行捷徑，會觸發VBScript Dropper執行二部份下載。一是安裝並運行正版Claude應用程式，但作用是煙幕彈。同時間它背景偷偷執行側載，釋放惡意DLL檔案，載入RAT（Remote Access Trojan）程式PlugX。為了迴避偵測，VBS腳本在完成任務後自毀，建立一個新的、乾淨的捷徑（Claude.lnk），直接指向真的claude.exe，同時刪除原本有毒的Claude AI.lnk捷徑。</p> <p>研究人員指出，這是教科書等級的側載攻擊，Lab52於今年2月解析過利用資安業者G DATA的合法執行檔及改造過的DLL檔載入PlugX木馬。</p> <p>PlugX過去和中國國家駭客有關，但研究人員相信現在已廣泛流向各種駭客社群。一旦進入用戶系統，可能造成駭客截圖竊取資訊、錄影錄音、鍵盤側錄密碼等等監控行為。</p> <p>Claude現今人氣直追ChatGPT，每月下載次數接近2.9億。面對結合社交工程與進階隱蔽技術的攻擊，研究人員提供了感染指標（IoC），建議用戶檢查啟動資料夾內是否有以下檔案：NOVUpdate.exe、avk.dll或NOVUpdate.exe.dat。並搜尋拼錯字的資料夾C:\Program Files (x86)\Anthropic\Claude\Cluade\是否存在。如果有幾乎可以確定已感染。此外也可檢查防火牆或Proxy紀錄，看是否有連向IP 8.217.190.58的異常對外連線。</p> </div></div></div>
4/14 14:14作者林妍溱https://www.ithome.com.tw/news/175039
蠕蟲程式GlassWorm透過程式語言Zig打造的載入工具，滲透多款IDE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年10月揭露的蠕蟲程式GlassWorm，駭客最初於Open VSX與Visual Studio Code（VS Code）延伸套件市集從事活動，後續將範圍延伸到GitHub、NPM，甚至是Chrome延伸套件市集，如今傳出駭客轉移目標，針對受害開發環境的各種整合開發環境（IDE）工具。</p> <p>資安公司Aikido在Open VSX<strong><a href="https://www.aikido.dev/blog/glassworm-zig-dropper-infects-every-ide-on-your-machine">看到惡意套件code-wakatime-activity-tracker</a></strong>，駭客模仿熱門的時間追蹤工具WakaTime，並在套件挾帶以程式語言Zig編譯而成的二進位檔案。與之前攻擊行動相同的是，此二進位檔案並非GlassWorm的實際有效酬載，而是駭客用來傳遞該蠕蟲的工具，這次GlassWorm感染的目標，是受害電腦安裝的所有IDE工具。</p> <p>這次駭客上傳的惡意套件，看起來與正牌的WakaTime幾乎相同，具備相同的註冊指令、API金鑰的提示、狀態列圖示，但不同的地方在於其功能函式。惡意套件在執行WakaTime的邏輯之前，會根據受害電腦的作業系統載入對應的二進位檔案，在Windows電腦執行的是PE32+的DLL檔；而在macOS環境裡，則為可在x86或Arm晶片執行的通用Mach-O檔案。無論是DLL還是Mach-O檔，都是Node.js原生的附加元件（Add-on），駭客使用Zig編寫，並透過特定的共享程式庫編譯而成，並直接在Node.js的執行環境（Runtime）載入，更可怕的是，這種應用程式不僅能突破JavaScript沙箱限制而執行，還具備完整的作業系統層級存取權限。</p> <p>一旦二進位檔案於受害電腦成功載入，就會試圖找出開發人員使用的IDE工具，這些工具的共通點，在於都能安裝VS Code延伸套件。這些IDE包含VS Code、VS Code Insiders、Cursor、Windsurf、VSCodium，以及Positron。接著，二進位檔案才會從GitHub擷取惡意的VSIX檔案。</p> </div></div></div>
4/14 11:57作者周峻佑https://www.ithome.com.tw/news/175034
臺灣為何需要首批50款SMART on FHIR App？李建璋：從標準走向應用生態的關鍵一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>衛福部資訊處昨日（4/13）揭露SMART on FHIR應用程式選拔結果，在115件參賽應用中，共有50件入選優良名單，涵蓋醫療AI、醫療營運管理、臨床決策支援與資料視覺化四大類型，例如眼底鏡影像判讀、癌症用藥審查、ICD-10自動編碼及院級儀表板等應用。這些App都符合國際醫療資料交換標準FHIR與SMART on FHIR應用框架標準，也通過一系列嚴謹的評估，如程式完整性、防備性，臨床實用性以及落地程度等。</p> <p>衛福部資訊處處長李建璋指出，衛福部也正建立專屬臺灣的SMART on FHIR應用程式市集，名為THAS。他們希望藉此形塑資料經濟，鼓勵醫療機構以訂閱方式使用好用的App，進而促進IT研發，形成正向循環。他也預告，今年5月開始衛福部將提供FHIR Box作業系統，來給全臺醫學中心部署，預計今年底前完成所有醫學中心的FHIR化。</p> <h2><strong>115件申請、50支SMART App脫穎而出，聚焦四大場景</strong></h2> <p>擔任本次評審的臺中榮總前院長陳適安指出，本次徵選共收到115件應用，來自醫療機構與產業界。他也收到衛福部資訊處的一份細緻、嚴謹評分表，重點涵蓋系統完整性、防備性，以及應用的便利性、實用性與落地能力。</p> <p>不只如此，在這次選拔中，衛福部也與工研院建置雙層沙盒機制。第一層是傳統標準沙盒，由工研院嚴格檢核應用是否100%符合TW Core和SMART國際標準；第二層則是創新沙盒，就像是國家級實驗室，來模擬實際醫療場域，包括輸入大量模擬病歷資料來進行高強度壓力測試、在標準醫療資訊系統（HIS）環境下進行UI／UX驗證，並由30位跨領域專家擔任評審，來審查臨床安全和實用性。</p> <p>最終入選的50款應用，主要聚焦四大類型，包括醫療AI、臨床決策支援、行政管理工具和資料視覺化。</p> <p>在醫療AI方面，有眼底鏡影像判讀、胸部X光分析與心電圖（ECG）智慧分析等應用；在臨床決策支援領域，則包含癌症用藥審查、出血風險預測和醫療品質指標（CQI）自動計算等。行政管理工具則有ICD-10自動編碼與護理排班，資料視覺化則涵蓋院級儀表板和個案健康追蹤等應用。</p> <p>比如，國軍高雄總醫院開發一款火線超人FHIRLineBot，整合了Line平臺和FHIR，民眾透過Line就能查閱自己的健康資料；該應用也搭配Kafka AI健康分析模組，來提供個人化健康洞察。又或是中研院統計科學研究所打造一支第二型糖尿病風險計算機，結合AI統計模型和SMART on FHIR標準，系統完成認證後，就能截取基本資料，並預測未來3、5、7年的發病風險。</p> <p><img alt="" src="/sites/default/files/images/%E4%B8%AD%E7%A0%94%E9%99%A2.JPG" /></p> <p>還有一例是新光吳火獅紀念醫院，他們打造一款住院病人排程儀表板，來解決臨床處置排程資訊分散和高風險用藥缺乏即時檢核的痛點。重點是，該系統還內建前端CQL執行引擎，可直接把臨床決策支援整合到工作流程中。</p> <h2><strong>臺灣醫院IT現況：為一杯牛奶，養一頭牛</strong></h2> <p>力推臺灣SMART on FHIR應用的李建璋回顧，臺灣醫院的數位轉型現況，就像「為了一杯牛奶，要自己養一頭牛」。</p> <p>首先，醫院IT系統大都封閉自建，形成數據孤島。在這樣的架構下，醫院若要建置智慧應用，就沒辦法從一個公開市場，挑選驗證過、標準化的應用，而是得找廠商或自行從頭開發、對接私有資料庫慢慢訓練AI，正式上線可能動輒半年。</p> <p>「醫院花在系統串接與重複開發的時間，遠遠超過創新的時間，」他坦言。</p> <p>這個挑戰，也進一步擴大數位落差。因為資源充足、能自行研發AI的醫學中心，往往能夠獨享數位紅利，而資源不足的中小型或偏鄉醫院，只能因數位落差而掉隊。就算醫學中心開發出來的AI應用，直接給中小型醫院使用，也會因AI模型的訓練資料不同，而產生不準確的答案、無法落地，造成創新無法規模化。</p> <h2><strong>導入FHIR與SMART on FHIR，建立醫療版App生態</strong></h2> <p>為解決互通痛點，衛福部推動導入FHIR與SMART on FHIR兩大國際標準，要實現「資料統一、應用統一」的目標。</p> <p>進一步來說，FHIR是由Grahame Grieve於2009年創立，他借鏡RESTful API、引入資源（Resources）概念，建立FHIR標準，來促進醫療資料互通。他的設計理念是，定義80%全球通用的資料核心結構，並保留20%的在地化擴充彈性。FHIR的出現，就像是醫療資訊界的WWW，讓鎖在醫院裡的醫療資料，可以有通用的標準來交換。</p> <p>SMART on FHIR標準則由美國哈佛大學醫學院教授Kenneth D. Mandl創立，這個標準使用OAuth2，解決了身份驗證和授權機制問題，將需要取得的資料範圍最小化，確保資訊安全。也因此，SMART on FHIR應用可以直接嵌入醫療資訊系統（HIS）中，不必切換頁面。</p> <p>李建璋認為，有了這兩大標準，臺灣醫療資訊生態，就能發展出專屬的SMART on FHIR市集，如同App Store般，來提供各種智慧應用、供醫院選用。這個市集，也就是衛福部正在建置的THAS市集，未來還要擴大成一個生態系。</p> <h2><strong>從標準統一走向工具統一，FHIR Box補上最後一哩路</strong></h2> <p>李建璋話鋒一轉，光有FHIR標準還不夠，標準之後的工具與實作方式也需要整合。因為，要是各家醫院都導入FHIR，但使用的工具、版本和實作方式不同，FHIR伺服器彼此不相容，還是會導致應用仍被鎖在單一醫院體系內。換句話說，過去是資料格式分裂，現在變成工具分裂，「只是把問題往下移了一層。」</p> <p>為避免這個問題，衛福部決定不只訂標準，而是直接提供整套工具，並與工研院合作推出FHIR Box，要從底層架構重新整合醫療資訊系統。</p> <p><img alt="" src="/sites/default/files/images/FB2.JPG" /></p> <p>FHIR Box的核心概念，是在各家醫院既有HIS系統之上，加上一層共通平臺。醫院不需要更換原有系統，只需將資料接口接入，平臺就會自動將資料轉換為FHIR格式，並串接SMART on FHIR應用框架。</p> <p>也就是說，就算不同醫院的底層系統都不一樣，也能執行相同的應用服務，形成跨院共享的應用生態。</p> <h2><strong>FHIR Box：從資料到應用，一次打通的醫療互通作業系統</strong></h2> <p>在實作上，FHIR Box有三大元件，包括資料轉換器（Converter）、FHIR Server與應用環境，醫院只需串接既有系統，就能完成FHIR部署。衛福部形容，這就像把原本難以利用的資料，「從Garbage變成Gold」，讓資料真正具備應用價值。</p> <p><img alt="" src="/sites/default/files/images/FHIR%20box.JPG" /></p> <p>在架構設計上，FHIR Box也是一套三層的整合平臺。最底層是資料空間（Data Space），負責將醫院內各類資料轉換為FHIR，建立標準化的真實世界資料（RWD）；中層是規則空間（Rule Space），可透過Clinical Quality Language（CQL），將醫療知識轉為可執行的決策邏輯；最上層的應用空間（App Space）則支援SMART on FHIR應用，形成可跨院執行的App生態。</p> <p><img alt="" src="/sites/default/files/images/3%E5%B1%A4%E6%9E%B6%E6%A7%8B.JPG" /></p> <p>李建璋也透露，衛福部已於今年3月啟動補助計畫，並獲得各大醫學中心支持，預計5月開始提供FHIR Box給醫學中心部署，年底前讓全臺醫學中心完成FHIR化，進一步建立跨院互通的應用環境。</p> <h2><strong>醫院IT角色將轉變，接下來要走向資料經濟</strong></h2> <p>在推動策略上，衛福部也將重點從單一系統建置，轉向流程整合和推動資料經濟。</p> <p>尤其，臺灣的THAS市集規模化後，可以翻轉醫院IT角色，從單純的系統「維護者」，轉型為創造應用價值的「創作者」。同時，市集的出現，也能帶動訂閱制，比如原本沒有資源自行開發的中小型醫院，可將成本省下來改以訂閱方式，訂閱好用的App。而這種訂閱機制，也能正向促使開發者投入資源研發，建立永續的資料經濟模式。</p> <p></p> </div></div></div>
4/14 12:56作者王若樸https://www.ithome.com.tw/news/175036
曝露在網際網路的AI影像生成管理平臺ComfyUI遭到鎖定，駭客試圖用於挖礦、部署殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>威脅情報公司Censys指出，<strong><a href="https://censys.com/blog/comfyui-servers-cryptomining-proxy-botnet/">近期駭客鎖定曝露於網際網路的AI影像生成管理平臺ComfyUI</a></strong>，透過專屬的Python掃描工具於公有雲尋找下手目標，一旦成功入侵，他們就會將受害主機組成殭屍網路，用於挖礦或是架設非法代理伺服器，藉此獲取不法利益。值得留意的是，過程裡駭客使用的惡意程式ghost.sh，採取無檔案執行，並偽裝成核心層級的處理程序，以及導入LD_PRELOAD的Rootkit功能，藉此迴避偵測，此外，他們還加入3種備援機制，即使IT人員嘗試將ComfyUI重開機，或是移除惡意軟體相關元件，仍有可能透過備援機制恢復運作。</p> <p>ComfyUI是以節點（Node）為基礎的應用程式，能讓使用者下達一系列的文字提示產生圖片。此系統廣泛受到AI社群採用，通常會搭配Stable Diffusion或其他免費的擴散模型（Diffusion Model），以及配備高階圖像運算資源的硬體，使得這類應用系統成為駭客眼中的肥羊，因為用於圖片生成的GPU，在閒置時能被用來挖礦。再加上許多ComfyUI建置於雲端基礎設施，曝露在網際網路上且未設置身分驗證機制，使得攻擊者能直接入侵及濫用。</p> <p>Censys在過濾掉研究人員架設的蜜罐陷阱之後，找到超過1,000個曝露於網際網路的ComfyUI平臺，儘管數量並非極為龐大，不過該公司認為，已經足以讓攻擊者從事大規模利用。</p> <p>這起事故的發現，源自Censys於3月12日，在一家防彈主機代管供應商察覺到公開的資料夾，其內容被該公司的威脅情報平臺標示為可疑，數日後他們看到資料夾的檔案數量快速增加，代表駭客正積極開發攻擊工具。Censys進一步分析，確認駭客尋找曝露在網路上的ComfyUI，利用特定的錯誤組態設定，使得程式碼能透過特定的節點執行。得逞後，駭客透過基於Flask框架而成的網頁儀表板列管，並使用挖礦工具XMRig與lolMiner，挖取門羅幣與Conflux代幣，同時將受害系統加入代理伺服器殭屍網路Hysteria v2。</p> <p>值得留意的是，若是目標ComfyUI不存在上述節點，駭客的掃描工具就會進一步部署存在弱點的節點套件ComfyUI-Manager，然後再度嘗試進行控制。</p> </div></div></div>
4/14 10:50作者周峻佑https://www.ithome.com.tw/news/175031
生成式AI現身3年的普及率為53%，超越PC及網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>史丹佛大學人本AI研究所（Stanford HAI）近日發表年度AI趨勢報告《<a href="https://hai.stanford.edu/ai-index/2026-ai-index-report" target="_blank">2026 AI Index Report</a>》，指出AI模型在許多能力上已接近甚至超越人類，只現身3年的普及率便達53%，超越個人電腦（PC）及網路，此外，儘管AI基礎設施高度集中於美國，但美國與中國的模型差距幾乎消失了。</p> <p>研究顯示，2024年全球企業對AI的投資為2,530億美元，但2025年直接成長超過1倍達到5,817億美元，其中，針對生成式AI的投資成長超過200%。在生成式AI領域，美國在2025年的投資金額達到2,859億美元，遠超過中國與歐洲的總和（334億美元）。</p> <p>此外，生成式AI在現身3年內的普及率達到53%，快過電腦及網際網路。其中，電腦問世後大概經過15年的普及率才接近50%，網路則花了7年才接近50%。對生成式AI接受度前五名的國家依序是阿拉伯聯合大公國（United Arab Emirates，阿聯），普及率為64%，新加坡的60.9%，挪威的46.4%，愛爾蘭的44.6%，以及法國的44%。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-stanford-speed%20ai.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><a href="http://hai.stanford.edu/ai-index/2026-ai-index-report" target="_blank">Stanford HAI《2026 AI Index Report》</a></span></span></p> <p>美國雖然投資最多，但生成式AI的普及率只有28.3%，排名24，而臺灣的生成式AI普及率則達到28.4%，排名23。</p> <p>從企業的角度來看，有88%的企業至少在一個業務功能上使用AI，有79%使用生成式AI。值得注意的是，2023年只有33%的企業導入生成式AI，但2025年就快速成長到79%，這是因為ChatGPT等工具讓AI直接進入工作流程，而且企業使用AI的方式也更為廣泛。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-stanford-adopt.png" style="width: 600px;" /></p> <p><a href="http://hai.stanford.edu/ai-index/2026-ai-index-report" style="font-size: 14px;" target="_blank">Stanford HAI《2026 AI Index Report》</a></p> <p>在AI整體實力方面，美國擁有5,427個資料中心，是其它國家的10倍以上；中國在論文發表、引用及專利授權上引領全球，在2025年出版了30個重要模型，至於美國則擁有更高影響力的專利，同年出版的模型達到50個。中國在2024年取得了全球74%的AI專利，相較之下美國僅取得了12%。</p> <p>值得注意的是，美國與中國的頂級<a href="https://hai.stanford.edu/ai-index/2026-ai-index-report/technical-performance" target="_blank">模型表現</a>已不相上下，在由人類盲測的Arena排行榜上，2026年3月是由Anthropic、xAI、Google、OpenAI、阿里巴巴及DeepSeek共列前段班，彼此差距極小，幾乎處於同一競爭層級，顯示模型的性能優勢已明顯收斂，且競爭壓力開始由模型的性能，轉向成本、可靠性，以及特定場景能力。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0414-stanford-Arena.png" style="width: 600px;" /></p> <p><a href="http://hai.stanford.edu/ai-index/2026-ai-index-report" style="font-size: 14px;" target="_blank">Stanford HAI《2026 AI Index Report》</a></p> <p>報告指出，自2025年初以來，美國與中國的模型在性能排名上多次互換位置，DeepSeek-R1在2025年2月曾短暫與美國頂級模型並駕其驅，2026年3月，美國頂級模型則以2.7%的優勢領先，過去這一年來，就算此一差距有所波動，但始終保持在個位數，顯示中美之間的AI模型效能差距實際上已消失。</p> <hr /> <p> </p> </div></div></div>
4/14 12:10作者陳曉莉https://www.ithome.com.tw/news/175035
OpenAI受Axios供應鏈攻擊影響，已更新憑證，呼籲MacOS用戶更新到最新版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/axios-developer-tool-compromise/" target="_blank">OpenAI昨日表示</a>自己也受到NPM套件Axios供應鏈攻擊影響，不過沒有客戶或自家系統、智財外洩。該公司也更新了macOS憑證，要求Mac用戶在5月8日前儘速升級App。</p> <p>3月31日受歡迎的第三方套件<a href="https://www.ithome.com.tw/news/174813" target="_blank">Axios遭駭客</a>利用維護者憑證發布有問題的1.14.1與0.30.4版，開發人員一旦下載安裝，電腦可能被植入RAT木馬等惡意程式。那時OpenAI用於簽發macOS應用程式的GitHub Actions工作流程就下載了1.14.1版Axios。這個工作流程具有存取簽發macOS版OpenAI程式必要的憑證和公證資料。這些憑證目的在讓使用者確認App是真實來自OpenAI的App。涉及的OpenAI App包括macOS版ChatGPT Desktop、Codex、Codex-cli和Atlas。</p> <p>OpenAI說已經偕同外部數位鑑識及資安事件回應業者合作啟動調查，並且輪換macOS App簽章憑證、並且以新憑證更新App，再上架到蘋果App Store。OpenAI分析，從惡意程式執行、憑證注入驗證過程、以及驗證序列及其他因素時間點來看，簽發憑證應該沒有外洩也沒有被濫用情形。但是為保險起見，OpenAI已開始註銷和輪換憑證。</p> <p>自2026年5月8日起，舊版OpenAI macOS桌面版應用程式將不再提供更新與支援，且可能無法正常運作。OpenAI表示，使用者需升級至以下版本或更新版本，這些版本為採用新憑證簽署的最早版本，包括ChatGPT Desktop 1.2026.051、Codex App 26.406.40811、Codex CLI 0.119.0，以及Atlas 1.2026.84.2。</p> <p>用戶可以從macOS App的程式內更新或官網下載到最新版本App。OpenAI呼籲用戶不可從任何電子郵件、訊息、廣告或第三方網站下載，以免安裝假的App。</p> <p>此外OpenAI也檢視所有以舊憑證簽發的所有軟體版本確保沒有遭到惡意修改。目前該公司沒有發現現有軟體可能或已經遭到惡意修改。OpenAI並重申，這次事件只影響OpenAI macOS App，Web版並不受影響。</p> </div></div></div>
4/14 10:29作者林妍溱https://www.ithome.com.tw/news/175030
Booking.com外洩用戶訂房資料、個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>訂房網站Booking.com上週以電子郵件通知用戶資料外洩，包括姓名、電子郵件以及訂房資訊。</p> <p><a href="https://www.reddit.com/r/Bookingcom/comments/1sji0gf/serious_security_breach_confirmed_by_bookingcom/" target="_blank">多名用戶</a>在Reddit反映接到Booking.com的通知。Booking.com告知，一個未授權人士存取了一定用戶的訂房資訊，根據調查，外洩的資訊包括用戶姓名、電子郵件、住址、電話和任何「用戶分享給住宿機構的資訊」。為確保用戶資訊安全，該網站已經更新了預約的PIN碼。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0614-booking%20dot%20com(1).png" style="width: 500px;" /></p> <p>有用戶表示接到不明人士電話聯繫。另外<a href="https://techcrunch.com/2026/04/13/booking-com-confirms-hackers-accessed-customers-data/" target="_blank">TechCrunch</a>報導，有用戶經由WhatsApp接到釣魚訊息，這表示攻擊者已經開始濫用竊得的用戶個資。</p> <p>Booking.com發言人向媒體證實公司發現系統可疑活動，導致使用戶訂房資訊被不明行為者存取。但該公司向<a href="https://www.theguardian.com/technology/2026/apr/13/booking-com-customers-hack-exposed-data" target="_blank">The Guardian</a>表示，用戶財務資訊未遭到存取。</p> <p>不確定是Booking.com哪個系統遭存取，也尚未有駭客組織出面承認。</p> <p>Booking.com<a href="https://www.theguardian.com/technology/2026/apr/13/booking-com-customers-hack-exposed-data" target="_blank">官網資訊</a>指出，自2010年以來，該平臺已累計促成約68億人次的住宿預訂，其中包括約18億筆公寓、住宅及其他類型住宿。</p> <p>這不是Booking.com第一次發生資料外洩事故。2023年底，<a href="https://www.ithome.com.tw/news/160616" target="_blank">駭客藉由</a>假扮用戶向Booking.com合作旅館下手，在旅館人員電腦散布竊資軟體取得相關帳密資料，進而利用旅館的Booking.com帳號發送釣魚訊息給旅客。</p> </div></div></div>
4/14 11:02作者林妍溱https://www.ithome.com.tw/news/175032
Red Hat發布OpenShift 4.21，整合AI、容器與虛擬化於單一平臺並強化GPU資源調度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源解決方案供應商紅帽（Red Hat）近日宣布推出企業級Kubernetes平臺<a href="https://www.redhat.com/en/blog/achieve-more-red-hat-openshift-421" target="_blank">Red Hat OpenShift 4.21</a>。此版本以Kubernetes 1.34與容器執行環境CRI-O 1.34為基礎，將AI、容器與虛擬化工作負載整合於同一基礎架構，並透過動態資源配置機制強化GPU資源調度能力，以提升混合雲環境下的整體資源使用效率。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0413-openshift-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／紅帽</span></span></p> <p>隨著企業逐步將AI應用導入正式營運環境，AI訓練與推論工作負載對於資源調度與系統整合的需求持續提高。Red Hat指出，過去AI、容器、虛擬機器多半分散於不同平臺運作，不僅增加系統管理複雜度，也降低資源配置效率。OpenShift 4.21強調在統一營運模型下整合不同類型工作負載，並可依實際需求自動調整資源配置。</p> <p>在AI工作負載支援方面，OpenShift 4.21導入Red Hat組建的Kueue（Red Hat build of Kueue）1.2版，以及用於OpenShift Container Platform的JobSet Operator。Kueue是Kubernetes上的工作負載排程與佇列管理機制，適用於AI訓練等批次任務，並提供任務佇列可視化能力，讓使用者可掌握執行順序與預估啟動時間；JobSet Operator則用於協調多個相互依賴的分散式任務，支援容錯與重試機制，使企業可在既有GitOps與權限控管架構下，執行大規模分散式運算。</p> <p>針對AI運算核心的GPU資源管理，Red Hat在此版本中強化Dynamic Resource Allocation（DRA）機制。DRA為Kubernetes的動態資源配置功能，允許工作負載依硬體條件（如GPU記憶體容量）提出資源需求，由系統自動匹配符合條件的設備，並支援資源優先順序與替代策略，以提升資源配置彈性。此外，該機制也提供管理員例外存取能力，以利進行監控與除錯。</p> <p>在核心平臺能力方面，OpenShift 4.21針對Hosted Control Plane導入Vertical Pod Autoscaler（VPA）。Hosted Control Plane是將Kubernetes控制層元件集中託管，並與工作節點分離的架構設計，而VPA可依據實際資源使用情況，自動調整Pod（容器執行單元）的CPU與記憶體配置，降低人工設定負擔並提升資源使用效率，以降低基礎架構成本。</p> <p>在既有企業環境整合方面，OpenShift 4.21支援VMware Cloud Foundation 9，並可部署於Oracle的Oracle Database Appliance，提供整合硬體與軟體的資料庫環境，以強化混合雲部署彈性。</p> <p>在安全機制上，此版本支援Microsoft Azure環境執行的Confidential Containers，透過硬體層級保護機制，確保資料在記憶體中處理時仍維持隔離狀態，以降低雲端平臺或底層系統存取敏感資料的風險。</p> <p>虛擬化方面，OpenShift Virtualization支援在同一平臺上同時執行虛擬機與容器工作負載，並提供跨叢集零停機遷移功能，可在不中斷服務的情況下進行維護或資源調整。此外，該版本亦支援IPv6專用的控制層與次要網路，並可在Google Cloud裸機環境執行虛擬化工作負載，以滿足低延遲與高效能需求。</p> </div></div></div>
4/14 06:00作者王珮瑤https://www.ithome.com.tw/news/175027
紅帽支援RHEL執行SQL Server 2025整合Azure管理延伸模組，強化授權彈性與可視性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.redhat.com/en/blog/red-hat-enterprise-linux-now-supported-microsoft-sql-server-azure-vms-sql-iaas-agent-extension" target="_blank">紅帽（Red Hat）與微軟宣布</a>，企業可在Azure虛擬機器上，於Red Hat Enterprise Linux（RHEL）環境執行SQL Server 2025，並整合SQL IaaS Agent延伸模組，以強化授權管理與監控資訊的可視性。</p> <p>在此架構下，企業於RHEL環境部署SQL Server後，可透過SQL IaaS Agent延伸模組進行註冊，並在Azure中建立對應的SQL虛擬機器資源。該資源與原本的虛擬機器分開管理，可協助呈現授權使用的類型，提供訂閱層級的追蹤能力，以及相關監控資訊。</p> <p>在授權模式方面，該延伸模組支援三種選項，包括隨用隨付（Pay-as-you-go），將SQL Server授權費用納入Azure虛擬機器計費；Azure Hybrid Benefit（Azure混合權益），允許企業沿用既有SQL Server授權；以及災難復原（Disaster Recovery）授權，用於Azure中的高可用性與災難復原備援節點，企業可依需求選擇適用的授權模式。</p> <p>在操作上，使用者需透過Azure CLI或Azure PowerShell，將Azure訂閱註冊至Microsoft.SqlVirtualMachine資源提供者，以完成SQL IaaS Agent延伸模組的初始設定。後續管理作業包括授權調整，則可透過Azure入口網站進行。</p> <p>紅帽表示，隨著SQL Server 2025支援部署於RHEL 10，企業可在Linux平臺上執行關鍵資料庫工作負載。RHEL提供容器原生架構、強化安全機制與自動化管理能力，並支援混合雲、邊緣運算與AI導向環境。</p> </div></div></div>
4/14 06:00作者王珮瑤https://www.ithome.com.tw/news/175028
【資安週報】0407~0410，Claude Mythos預覽版的自主漏洞發現能力，直逼頂尖人類駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="123" data-start="0">【資安新聞編輯室報告】在清明連假後的資安新聞中，最受產業矚目的消息之一，是Anthropic發布的Claude Mythos Preview。這款專為安全研究開發的模型，已展現出能自主發現並利用數千個零時差漏洞的驚人能力。這是利用AI解決資安漏洞問題的新里程碑，自<a href="https://www.ithome.com.tw/news/171723">DARPA的AIxCC計畫</a>證明可行性後，Claude Mythos正式將此願景推向大規模實際應用，並且是攻擊概念程式都能一手包辦。</p> <p data-end="123" data-start="0">此外，汰除簡訊OTP已逐漸從倡議轉向政府層級的金融監管行動，尤其是印度、阿拉伯聯合大公國自4月起開始禁用OTP的措施格外引發關注。另一方面，後量子密碼學（PQC）的消息不斷，隨著業界預期量子運算能力在2026年將有明顯進展，因此認為PQC遷移腳步也需加快，更多科技大廠目標於2029年完成。</p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 政策法規、技術趨勢、產業脈動 </span></strong></span><br /> </h1> <h3><strong>☼ Claude Mythos預覽版問世</strong></h3> <p>發表此技術成果的<a href="http://www.ithome.com.tw/news/174898">Anthropic表示，為了防止這樣的技術落入危險份子手中，已啟動全球資安防禦計畫<strong>Project Glasswing</strong></a>，讓10多家科技與金融業者與40多個關鍵CI組織優先使用Mythos Preview，提前展開大規模漏洞掃描與修補。</p> <p>我們認為未來的觀察重點在於「AI雙面刃效應」：正面效益在於其能彌補資安人力的缺口，並顯著提升潛在漏洞修補的效率，而且數家科技大廠已經有所行動；隱憂則是未來攻擊者同樣能利用此技術發動攻勢，這對尚未強化產品安全的業者與企業而言，將面臨極大的挑戰。</p> <p>同一時間，還有其他用AI找漏洞的影響浮現，像是HackerOne最近決定暫停網際網路漏洞懸賞計畫（IBB），這也使得仰賴其漏洞獎金的<a href="https://www.ithome.com.tw/news/174996">Node.js宣布不再提供抓漏獎金</a>。原因在於，目前的漏洞修復能力，並未隨漏洞發現能力的躍升而同步演進，還有先前AI生成的漏洞通報浮濫，維護者花更多實踐驗證，有效提交數量卻從15%降至5%。或許，未來若有更多模型能力能與Claude Mythos Preview齊頭並進，整體概況可能又會有所不同。</p> <h3><span style="color: rgb(32, 33, 35); font-family: "PingFang TC", "Microsoft JhengHei", "Helvetica Neue", Helvetica, Arial, sans-serif; font-size: 16px;">⊗ </span><strong>全球掀起簡訊OTP禁用潮</strong></h3> <p>隨著簡訊OTP持續被詐騙集團與駭客濫用，全球金融監管趨勢正迎來重大轉折，<a href="https://www.ithome.com.tw/news/174934">要求金融業禁用簡訊OTP的國家越來越多，包括新加坡、馬來西亞，還有印度與阿拉伯聯合大公國（UAE）</a>的限制政策也於2026年4月正式生效。</p> <h3><strong>☆ </strong><strong>Cloudflare將PQC遷移進程提前至2029年</strong></h3> <p>不只<a href="https://www.ithome.com.tw/news/174696">Google將PQC遷移提前至2029年</a>完成，Cloudflare跟進的態勢，顯示更多科技大廠認為我們需要加速PQC遷移。Cloudflare的作法分成<a href="https://www.ithome.com.tw/news/174910">四個階段</a>：2026年確保Cloudflare與來源伺服器間的連線支援ML-DSA；2027年擴大保護範圍至一般訪客連線；2028年整合進Cloudflare One SASE；2029年整合至全產品線。</p> <p>而促使Cloudflare加速行動的關鍵，一是Google宣布大幅改進破解橢圓曲線密碼學P-256的量子演算法，另一個是量子運算新創Oratomic發表的資源估算報告。此外，HPE亦擴展後量子密碼技術應用，<a href="https://www.ithome.com.tw/news/174957">為ProLiant伺服器引進PQC加密技術</a>。</p> <h3><a href="/sites/default/files/images/Screenshot 2026-04-09 at 10_11_22 AM(1).png"><img alt="" src="/sites/default/files/images/Screenshot%202026-04-09%20at%2010_11_22%E2%80%AFAM(1).png" style="width: 260px; float: right;" /></a></h3> <h3><span style="color: rgb(32, 33, 35); font-family: "PingFang TC", "Microsoft JhengHei", "Helvetica Neue", Helvetica, Arial, sans-serif; font-size: 16px;">◈ </span><strong>Google於瀏覽器導入DBSC</strong></h3> <p>即便MFA已廣泛普及，Session Cookie劫持仍是攻擊者繞過身分驗證的終極手段，Google自<a href="https://www.ithome.com.tw/news/162126">2024年測試</a>裝置綁定連線階段憑證（Device Bound Session Credentials，DBSC）技術後，如今終於<a href="https://www.ithome.com.tw/news/174991">導入瀏覽器正式版</a>，並公布推動DBSC標準化的計畫。</p> <h3><strong>♦ Nvidia推出OpenShell執行環境</strong></h3> <p>近期OpenClaw當紅，但也顯示自主AI代理應用缺乏風險管控，<a href="https://www.ithome.com.tw/news/174803">Nvidia趁著此波風潮在GTC大會中推出OpenShell</a>，其核心價值在於提供安全執行環境，結合沙箱、政策強制執行引擎，以及隱私路由器等功能。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 最新漏洞威脅 </span></strong></span></h1> <p> </p> <p>在漏洞利用消息方面，這一星期有3項漏洞因為已有駭客鎖定利用須優先關注。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Fortinet </strong></span><strong style="color: rgb(178, 34, 34);">CVE-2026-35616</strong></h3> <p>●發生零時差漏洞攻擊事件，目標是Fortinet的FortiClient EMS的<a href="https://www.ithome.com.tw/news/174874">CVE-2026-35616</a>，攻擊者身分未知。已被列入KEV。</p> <h3><strong><span style="color: rgb(178, 34, 34);">Citrix CVE-2026-3055</span></strong></h3> <p>●Citrix甫修補NetScaler的重大漏洞<a href="https://www.ithome.com.tw/news/174760">CVE-2026-3055，有威脅情報公司watchTowr與Defused Cyber發現積極偵察活動</a>。已被列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Oracle</strong></span><span style="color: rgb(178, 34, 34);"><strong> CVE-2026-21962</strong></span></h3> <p>●Oracle在今年1月修補WebLogic Server漏洞<a href="https://www.ithome.com.tw/news/174854">CVE-2026-21962，CloudSEK研究人員發現</a>已有鎖定利用跡象。尚未被列入KEV。</p> <p>還有3項尚未有CVE編號的漏洞消息揭露值得留意，其中兩起更是零時差漏洞攻擊事件，已有攻擊者鎖定利用。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Adobe </strong></span><span style="color: rgb(178, 34, 34);"><strong>PolyShell</strong></span></h3> <p>●<a href="https://www.ithome.com.tw/news/174931">駭客利用PolyShell漏洞大規模入侵Magento電商平臺</a>，手法是用雙連擊（Double-tap）交易資料側錄工具，將竊取信用卡資料的竊資軟體埋藏在SVG圖。目前PolyShell尚未有CVE編號，僅有Adobe安全公告APSB25-94。</p> <h3><strong><span style="color: rgb(178, 34, 34);">Adobe Reader</span></strong></h3> <p>●多位研究人員發現<a href="https://www.ithome.com.tw/news/174963">Acrobat Reader有新的零時差漏洞攻擊事件</a>，並指出攻擊者掌握漏洞的時間至少半年。目前這些漏洞尚未有CVE編號公開。</p> <h3><span style="color:#B22222;"><strong>微軟 BlueHammer</strong></span></h3> <p>●有研究人員疑不滿微軟處理態度，憤而<a href="https://www.ithome.com.tw/news/174916">公布名為BlueHammer的零時差漏洞</a>，資安公司Cyderes指出<a href="https://www.ithome.com.tw/news/174989">該漏洞與內建防毒Microsoft Defender的更新機制有關</a>。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重要威脅態勢 </span></strong></span></h1> <p> </p> <div> <h3><span style="color: rgb(178, 34, 34);"><strong>UAT-10362駭客團體鎖定臺灣NGO與大學發動網釣</strong></span></h3> <p>此攻擊活動因高度針對臺灣而引發資安圈關注，<a href="https://www.ithome.com.tw/news/174935">思科Talos</a><a href="http://www.ithome.com.tw/news/174935">指出</a>駭客部署的工具LucidPawn會偵測正體中文的電腦環境才啟動，目的是散布惡意軟體LucidRook，並會進一步下載Lua有效酬載並執行，而其感染途徑主要使用惡意LNK檔案與EXE檔。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Axios</strong><strong>供應鏈攻擊事故調查公布</strong></span></h3> <p>這起事件再次反映社交工程手法鎖定開發人員的威脅。<a href="https://www.ithome.com.tw/news/174887">維護者Jason Saayman</a>指出，駭客偽裝某公司創辦人，冒用肖像及相關資料，偽造具品牌商標的Slack工作空間，並在頻道裡張貼LinkedIn文章，之後駭客邀請Saayman加入工作空間，並誤以為貼文由實際企業的帳號發布。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Claude Code</strong><strong>程式碼外洩後續風險浮現</strong></span></h3> <p>由於這是Anthropic內部人員作業不慎發布，眾多研究人員下載後建立映射或分叉，其留意的重點在於，攻擊者可能在分叉或儲存庫注入惡意程式，或是濫用Claude Code已知或新漏洞。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>2百家企業5千臺的SOHO網路設備鎖定</strong></span></h3> <p>俄羅斯駭客組織APT28鎖定SOHO網路攻擊越發猛烈，我們認為其AiTM中間人網釣手法最需留意，相關揭露顯示：<a href="https://www.ithome.com.tw/news/174913">其手法竄改路由器DNS組態</a>，近期再有<a href="https://www.ithome.com.tw/news/174914">200家企業的SOHO網路設備遭鎖定</a>。<a href="https://www.ithome.com.tw/news/174911">美國司法部、FBI則聯手破壞其AiTM網釣基礎設施</a>，指出其手法會透過解析器提供特定網域名稱的假DNS紀錄，藉此模仿合法的IT系統服務。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>伊朗駭客鎖定PLC攻擊</strong></span></h3> <p>這項消息反映OT安全與關鍵CI風險，更重要是<a href="https://www.ithome.com.tw/news/174965">美國6大機構聯合示警</a>，指出伊朗駭客CyberAv3ngers正尋找能透過網際網路存取的PLC，主要被鎖定設備廠牌包括Rockwell與Allen-Bradley，並提醒自今年3月已有部分受害組織出現營運中斷或財務損失。</p> </div> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 數字情報 </span></strong></span></h1> <p> </p> <p><span style="font-size: 24px;"><strong>臺灣海纜障礙事件2025全年</strong></span><span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);"><strong>32起</strong></span></span><span style="font-size: 24px;">，<strong>近岸事件7起中有</strong></span><span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);"><strong>6起</strong></span></span><span style="font-size: 24px;"><strong>是人為</strong></span></p> <p><a href="https://www.ithome.com.tw/news/174892">數發部公布我國海纜受損年度分析報告</a>，指出，1起為蕊線劣化的自然因素，其餘6起都和人為有關，包括船錨勾損、漁撈作業及疑似外力破壞。還有25起遠海海障礙障事件，原因多與地震引發的海底滑坡有關。</p> <p><strong><span style="font-size: 24px;">駭客鎖定企業雲端環境的初始入侵手法大洗牌，語音網釣以</span><span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">23%</span></span><span style="font-size: 24px;">居冠</span></strong></p> <p>M-Trends 2026報告揭示：<a href="https://www.ithome.com.tw/news/174730">全球有4成企業能在一星期內發現入侵</a>，但2025年出現逆轉訊號，同時指出<a href="https://www.ithome.com.tw/news/174794">語音網釣威脅在2025年竄升</a>，成為初始入侵第二常見途徑，更引人注目的是，駭客鎖定企業雲端環境的初始入侵手法大洗牌，<a href="https://www.ithome.com.tw/news/174796">語音網釣居冠</a>。</p> <p><strong><span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">逾5成</span></span><span style="font-size: 24px;">企業未自行掌控雲端資料加密金鑰</span></strong></p> <p>Thales發布《<a href="https://www.ithome.com.tw/news/174807">2026年資料威脅報告</a>》指出，逾半數企業未自行掌控雲端資料加密金鑰，而是交由雲端服務商管理，顯示金鑰控管能力不足；而在加密金鑰的管理方式上，僅約三成企業採用自帶金鑰（BYOK）模式，多數仍依賴雲端平臺工具。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 專家觀點 </span></strong></span></h1> <p> </p> <p><span style="color: rgb(255, 140, 0);"><span style="font-size: 24px;"><strong>Anthropic專家談Claude Mythos Preview能力</strong></span></span></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/INGOC6-LLv0?si=UtzgnKO7pwvgSi1y&start=220" title="YouTube video player" width="560px"></iframe></div> <p><a href="https://youtu.be/INGOC6-LLv0?si=nwl1OOGDq2Li3rZh&t=220" style="text-align: right;">Anthropic研究科學家Nicholas Carlini</a><span style="text-align: right;">表示，在過去幾週發現的Bug，比我這輩子加起來還要多。例如在OpenBSD中，發現了一個隱藏長達27年的漏洞，僅需向伺服器發送特定封包即可導致系統崩潰；而在 Linux系統中，則發現了多個權限提升漏洞，允許非授權用戶藉由執行特定 Binaries 獲取最高管理權限。</span></p> <p> </p> <p><span style="color: rgb(255, 140, 0);"><span style="font-size: 24px;"><strong>Project Glasswing計畫標誌著網路安全的轉捩點</strong></span></span></p> <p>過去擔任Sophos產品總監，現為Arctic Wolf 的技術與服務總裁的<a href="https://arcticwolf.com/resources/blog/project-glasswing-marks-a-turning-point-for-cybersecurity/">Dan Schiappa指出，Anthropic聯合多家科技巨頭啟動的全球資安防禦計畫Project Glasswing，</a>多年來，AI模型一直在幫助網路攻擊者縮小漏洞發現和利用之間的差距，Mythos的出現標誌著網路威脅的重大變革<font dir="auto" style="box-sizing: border-box; -webkit-tap-highlight-color: transparent; vertical-align: inherit;">。例如，</font>發現新型漏洞的成本，可能降低至僅需一次提示（Prompt）的代價，漏洞發現到被演變為攻擊利用的時間差將持續縮減，資安團隊所需評估與修復的漏洞總量，將會面臨大規模擴張。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重大資安事件 </span></strong></span></h1> <p>上市櫃資安重訊：</p> <p><span style="font-size: 22px;"><strong>工業電腦製造廠<a href="http://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=172512&SPOKE_DATE=20260402&COMPANY_ID=8114">振樺電子</a>指出接獲外部情資單位通知，官網及部分網路服務資料疑遭入侵而導致部分資料外洩。</strong></span></p> <p><span style="font-size: 22px;"><strong>航太引擎扣件製造商<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=92327&SPOKE_DATE=20260408&COMPANY_ID=3004">豐達科技</a>表示資訊系統遭受駭客網路攻擊</strong></span></p> <p><span style="font-size: 22px;"><strong>製藥廠<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=64601&SPOKE_DATE=20260407&COMPANY_ID=4114">健喬信元醫藥生技</a>表示資訊系統遭受駭客攻擊</strong></span></p> <p><span style="font-size: 22px;"><strong>近期股價衝上3000元的半導體設備大廠<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162739&SPOKE_DATE=20260410&COMPANY_ID=3131">弘塑科技</a>表示公司資訊系統遭受勒索病毒攻擊</strong></span></p> <p>國際重要資安事件</p> <p><span style="font-size:22px;"><strong>美國麻州醫療體系<a href="https://www.ithome.com.tw/news/174925">Signature Healthcare遭網路攻擊</a>，導致化療、救護車派送、及藥局運作受到影響。</strong></span></p> <p><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/news/174924">洛杉磯警局傳出遭駭消息</a>，有勒索軟體組織透過World Leaks網站聲稱竊得其7.7 TB官司資料並公開文件。</strong></span></p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 資安活動快訊 </span></strong></span></h1> <p> </p> <h3 style="margin: 0px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月16日 </span></span></strong> <strong>數位轉型攻略 VIII<a href="https://webinar.ithome.com.tw/session-page/711">【Rearchitect the Future — The Next Wave of Intelligence】</a> Webinar線上研討會</strong><br /> </h3> <h3><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月23日 </span></span>【<a href="https://o11yday.ithome.com.tw/2026/CFP">Observability Day可觀察性技術日】</a></strong><br /> </h3> <h3><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月21~23日 </span></span>【<a href="https://www.teeia.org.tw/tw/news/SEMIE187">SEMI E187半導體設備資安合規實踐研討會</a><a href="https://o11yday.ithome.com.tw/2026/CFP">】</a>4/21台中場、4/22高雄場、4/23新竹場</strong><br /> </h3> <h3><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月25日 </span></span>【<a href="https://www.twcert.org.tw/newepaper/cp-68-10817-1f929-3.html">資安防護實戰-CTF 資安人才培育課程(台南場)</a>】</strong></h3> <p> </p> <p> </p> </div></div></div>
4/13 19:14作者羅正漢https://www.ithome.com.tw/news/175026
木馬程式STX RAT同時具備竊資軟體的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上週末<strong><a href="https://www.ithome.com.tw/news/175007">知名處理器資訊顯示工具CPU-Z的開發者網站CPUID遭到入侵</a></strong>，駭客滲透特定網站元件並竄改下載連結，散布遠端存取木馬（RAT）程式STX RAT，這個惡意軟體會造成何種危害？近期有資安公司公布細節。</p> <p><strong><a href="https://www.esentire.com/blog/stx-rat-a-new-rat-in-2026-with-infostealer-capabilities">資安公司eSentire指出</a></strong>，他們在2月底看到該惡意程式的活動，駭客鎖定金融產業發動攻擊，藉由用戶的瀏覽器下載VBS指令碼檔案，於受害電腦部署此惡意程式。他們提到，<strong><a href="https://www.malwarebytes.com/blog/threat-intel/2026/03/a-fake-filezilla-site-hosts-a-malicious-download">資安公司Malwarebytes於3月初揭露</a></strong>有人散布惡意版本FTP應用程式FileZilla，是其中一種散布STX RAT的管道。</p> <p>STX RAT的本質是遠端存取木馬，其中整合了HVNC與隱匿的遠端桌面連線功能，使得攻擊者能遠端控制受害電腦，不過除此之外，該惡意程式還納入竊資軟體的功能，鎖定瀏覽器存放的憑證與Cookie、加密貨幣錢包，以及FTP用戶端程式的憑證。eSentire指出，駭客似乎還打算破解應用程式綁定加密（Application-Bound Encryption，ABE）機制——<strong><a href="http://www.ithome.com.tw/news/164219">此為Chrome 127版導入的對抗竊資軟體功能</a></strong>，不過，研究人員並未看到駭客成功擷取ABE金鑰，推測相關功能尚未正式啟用。</p> <p>駭客使用多階段的解密與解壓縮機制，藉由XXTEA與Zlib來解開嵌入的有效酬載。此惡意軟體只有在收到C2伺服器的明確命令後，才會執行竊取資料的工作，目的是避免在沙箱環境或是資安人員的測試環境留下證據。</p> <p>值得一提的是，C2通訊雖然以常見的TCP連線進行，但攻擊者採用專屬且具有特定前綴的通訊協定，並透過精心設計的加密C2通道，避免資安系統與研究人員察覺異狀。再者，駭客也透過Clearweb與Tor網路連線，作為備援的C2通訊機制。</p> <p>為了避免研究人員逆向工程，STX RAT經過多層字串混淆處理，再者，駭客也透過加鹽處理的SHA-1雜湊值，解析Windows的API與功能模組的相依性，這麼做也使得研究人員分析變得更加困難。</p> </div></div></div>
4/13 15:14作者周峻佑https://www.ithome.com.tw/news/175018
【資安日報】4月13日，CPUID網頁被入侵，駭客散布木馬程式STX RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175007"><strong style="font-size: 22px;">硬體監控工具開發公司CPUID網頁遭入侵，駭客用來散布惡意軟體STX RAT</strong></a></p> <p>知名的硬體監控工具CPU-Z、HWMonitor的供應商CPUID，傳出網站遭到入侵，駭客藉此散布惡意軟體。最早揭露此事的是資安研究團隊VX-Underground，他們在社群網站X指出，東部時間（EST）4月10日晚間7時（臺灣時間4月11日上午7時）有使用者發現CPUID的網站cpuid.com存在惡意軟體，駭客入侵後，透過偽造的HWMonitor軟體散布惡意程式，目的似乎是竊取瀏覽器憑證等各式資料，因為研究人員在分析的過程發現，惡意軟體會試圖針對Chrome的IElevation COM介面，擷取並解密存放的密碼資料。後續該團隊發現，駭客也對CPU-Z上下其手。</p> <p>對此，CPUID的經營者Doc TB證實此事，他們初步判斷是網站的某個API工具遭駭，攻擊者約從4月9日至10日入侵約6個小時，導致網站隨機顯示惡意連結。不過，經過該公司簽章的原始檔案，未遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/174998"><strong style="font-size: 22px;">Adobe揭露與修補Acrobat Reader零時差漏洞，建議用戶72小時內完成更新</strong></a></p> <p>上週二Acrobat Reader爆出零時差漏洞的消息，資安漏洞濫用偵測系統EXPMON的創辦人李海飛（Haifei Li）表示，他發現鎖定這套軟體平臺的PDF漏洞濫用攻擊，當中利用Adobe尚未揭露與修補的漏洞，而且在Acrobat Reader的最新版本26.00121367，仍然有效，隔天又有人向其回報新的變種攻擊樣本，並確認該樣本去年底就出現在線上資安檢測服務VirusTotal，顯示此項漏洞濫用威脅已持續4個月以上，引發資安界關注。</p> <p>4月11日Adobe發布預先排定計畫的Acrobat Reader安全性修補公告，揭露漏洞編號為CVE-2026-34621，CVSS嚴重度評分為9.6分，屬於重大漏洞，問題出在對物件原型屬性的修改管理不當，被歸類為原型汙染（Prototype Pollution）類型的弱點，影響的產品包括早於26.001.21367版的Acrobat DC與Acrobat Reader DC，以及早於24.001.30356版的Acrobat 2024。</p> <p><a href="https://www.ithome.com.tw/news/175003"><strong style="font-size: 22px;">網釣平臺Venom活動升溫，駭客用於對高階主管發動攻擊，意圖竊取微軟帳號</strong></a></p> <p><a href="/sites/default/files/images/VENOM-PhaaS-Malicious-Email.jpg" target="_blank"><img alt="" src="/sites/default/files/images/VENOM-PhaaS-Malicious-Email.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Abnormal揭露網路釣魚服務平臺（PhaaS）Venom，並指出相關攻擊活動從2025年11月至2026年3月期間升溫，駭客系統性針對全球重要組織的執行長、財務長等高階主管，假借SharePoint檔案共用的通知，並以財務報告的誘餌引誘收信人掃描QR Code。值得留意的是，駭客根據姓名挑選下手目標，有六成是總裁或C級主管，攻擊的範圍橫跨超過20個產業。</p> <p>一旦收信人掃描QR Code，駭客就會先透過假的驗證工具過濾使用者身分，檢查使用者代理字串（User Agent），藉此排除資安公司、無頭瀏覽器、雲端服務供應商、滲透測試工具等。駭客也搭配IP位址即時聲譽檢測工具、蜜罐陷阱（Honeypot），目的是捕捉自動化工具與看不見的網頁元素互動的情形。</p> <p><a href="https://www.ithome.com.tw/news/175006"><strong style="font-size: 22px;">Apache ActiveMQ修補存在13年的高風險漏洞，未更新可能導致遠端程式碼執行</strong></a></p> <p>開源訊息中介軟體ActiveMQ存在高風險漏洞，可能導致遠端執行任意程式碼，根據資安公司Horizon3.ai在4月7日的揭露，此漏洞已存在13年之久，之所以發現，源自該公司研究人員使用Anthropic的AI工具Claude，負責維護ActiveMQ的Apache基金會隨即發布安全公告，並釋出修補程式。</p> <p>這個漏洞編號為CVE-2026-34197，CVSS嚴重性評分達8.8分，問題源自ActiveMQ內建的Jolokia管理API輸入驗證機制不足，攻擊者可透過特定操作，誘使系統載入外部惡意設定檔（Spring XML），進而在系統上執行任意指令。發現與通報這個漏洞的資安公司Horizon3.ai表示，攻擊者需要通過身分驗證才能利用此漏洞，但在ActiveMQ的6.0.0到6.1.1等版本中，由於另一漏洞CVE-2024-32114的存在，將導致攻擊者無須驗證身分即可存取Jolokia API，進而利用CVE-2026-34197發動遠端執行程式碼攻擊。</p> <p><a href="https://www.ithome.com.tw/news/174876"><strong style="font-size: 22px;">OpenSSH發布10.3版修補指令注入漏洞，未更新可能導致執行任意指令攻擊</strong></a></p> <p>Linux常用的開源遠端存取工具OpenSSH，日前發布10.3與10.3p1版，修補包括指令注入、檔案權限處理與憑證驗證在內的多個漏洞，未修補可能導致任意指令執行、提升權限、繞過驗證等問題，建議用戶盡速修補。</p> <p>這次修補的漏洞中，最受矚目的是指令注入（Shell Injection）漏洞CVE-2026-35386，雖然CVSS嚴重性評分只有3.6分，需要特殊的設定與輸入條件才能觸發，但可能導致遠端執行任意程式碼。細部而言，問題出在OpenSSH用戶端對於使用者名稱與輸入字元的處理，存在缺陷，攻擊者可透過特定用戶名稱與設定檔中的特定標記字串，進行指令注入攻擊。</p> <p><a href="https://www.ithome.com.tw/news/174967"><strong style="font-size: 22px;">Apple Intelligence護欄可被繞過，研究人員誘導模型輸出不當內容</strong></a></p> <p>為提升大型語言模型（LLM）的安全性，蘋果Apple Intelligence將模型存放在本地裝置，不過，近期RSA大會（RSA Conference，RSAC）研究人員運用新手法，使其得以繞過蘋果Apple Intelligence護欄進行對模型操弄，使其產出惡意文字。</p> <p>瑞士聯邦政府研究人員及洛桑聯邦理工學院（EPFL）學者結合兩種手法，成功繞過Apple Intelligence護欄。一是名為「神經執行（Neural Exec）」的方法，類似間接式指令注入（indirect prompt injection），輸入人類看來沒有意義的內容，卻能像咒語一樣能控制LLM，攻擊者可以藉此指定想執行的惡意程式碼；第二手法是利用Unicode由右向左覆寫文字的功能，進行字元逆轉攻擊（BiDi Attack）。</p> <p><a href="https://www.ithome.com.tw/news/174959"><strong style="font-size: 22px;">AI出現「暗中違規」行為，研究揭半年近700起事件、5個月暴增近5倍</strong></a></p> <p>英國非營利研究機構長期韌性中心（Centre for Long-Term Resilience）發布最新研究指出，AI系統在真實環境中已出現違反人類指示、甚至規避限制的行為，且相關案例數量正快速增加。研究統計，在2025年10月12日至2026年3月12日期間，共辨識出698起與「scheming」（隱蔽偏離目標的行為）相關的真實事件，單月事件數量在5個月內成長達4.9倍。</p> <p>所謂「scheming」，是指AI同時具備「目標偏離」（misalignment）與「隱蔽性」（covertness），在未被察覺的情況下，執行偏離使用者或開發者原意的行為。研究認為，這類行為可視為AI系統可能出現失控風險的早期徵兆。</p> <p><a href="https://www.ithome.com.tw/news/174996"><strong style="font-size: 22px;">Node.js宣布暫停提供抓漏獎金</strong></a></p> <p>知名漏洞懸賞平臺HackerOne近日宣布，由於AI輔助漏洞挖掘提升覆蓋範圍與發現的速度，使得開源生態圈出現改變：漏洞發現與漏洞修復的平衡被打破了，自3月27日開始，網際網路漏洞懸賞專案（Internet Bug Bounty，IBB）將不再受理新漏洞提交，這樣的情況很快影響到開源專案。</p> <p>Node.js發布公告指出，由於IBB暫停，他們向通報漏洞的人士發出獎賞的資金來源因此中斷，由於Node.js是由自願參與的人士發起的專案，未有專屬預算能供應漏洞懸賞使用，因此在沒有其他外部經濟援助的情況下，他們將暫停為漏洞通報者提供獎勵。</p> <p><a href="https://www.ithome.com.tw/news/174995"><strong style="font-size: 22px;">以資安打造企業永續基石，Fortinet談AI與資安如何打造低碳、可信任的數位轉型</strong></a></p> <p>在企業加速數位轉型與淨零壓力同步升溫的當下，資安不再只是防禦工具，而逐漸成為支撐永續發展的關鍵基礎。Fortinet工控資安產業發展總監陳心怡在2026數位永續高峰中指出，在AI與ESG交會時代，沒有資安，就沒有真正的轉型，企業如果忽略資安，數位與永續轉型發展都可能失去根基。</p> <p>企業若沒有建立完善資安機制，她直言，數位轉型只會停留在表面的優化，難以真正達到長期永續。以能源、電網、交通等關鍵基礎設施為例，資安關係到關鍵基礎設施的營運韌性與社會穩定，為永續治理中不可或缺的一環。\</p> <p><a href="https://www.ithome.com.tw/news/174956"><strong style="font-size: 22px;">中國駭客Silver Fox假借稅務名義從事網釣，將攻擊範圍擴大至南亞多國</strong></a></p> <p><a href="/sites/default/files/images/silverfox-1.png" target="_blank"><img alt="" src="/sites/default/files/images/silverfox-1.png" style="width: 300px; float: right;" /></a></p> <p>曾針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（也被稱做Void Arachne），近年來攻擊活動頻傳，駭客藉此散布後門程式Winos 4.0（ValleyRAT），不過，最近有資安公司發現，這些駭客的手法出現重大變化。</p> <p>資安公司Sekoia針對Silver Fox進行長期追蹤，指出這些駭客的攻擊行動最早可追溯到2022年，犯案的動機是為了經濟利益，約從2024年開始，Silver Fox逐漸轉向APT型態的活動。他們主要的工具是模組化後門Winos 4.0，有些活動還會搭配Gh0st RAT變種HoldingHands，以及Blackmoon等中國駭客普遍採用的惡意軟體。值得留意的是，Sekoia發現，這些駭客從去年開始，從原本慣用的Winos 4.0轉向合法的遠端監控與管理工具（RMM），後續又改用以Python開發的竊資軟體，他們將該惡意軟體偽裝成WhatsApp的應用程式來魚目混珠。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162739&SPOKE_DATE=20260410&COMPANY_ID=3131"><strong style="font-size: 22px;">弘塑資訊系統遭勒索軟體攻擊，著手搶救資料</strong></a></p> <p>4月10日半導體濕製程設備製造商弘塑科技（3131）發布資安重訊，指出資訊系統遭遇勒索軟體攻擊，該公司在第一時間偵測到異常情況並進行確認後，隨即啟動資安應變機制，進行係隔離、防護強化，以及資料復原作業。值得留意的是，該公司提及目前仍在持續搶救資料當中，對於事故造成的損失，則有待進一步評估。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nearly-4-000-us-industrial-devices-exposed-to-iranian-cyberattacks/">美國關鍵基礎設施近4千臺設備遭伊朗駭客攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/glassworm-campaign-uses-zig-dropper-to.html">蠕蟲程式GlassWorm透過載入工具Zig滲透IDE</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/marimo-rce-flaw-cve-2026-39987.html">Python資料分析工具Marimo重大漏洞遭到利用</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/over-1000-exposed-comfyui-instances.html">逾1,000個AI影像生成管理平臺ComfyUI遭到攻擊，駭客用於挖礦、部署殭屍網路</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.welivesecurity.com/en/business-security/cunning-predator-how-silver-fox-preys-japanese-firms-tax-season/">中國駭客Silver Fox針對日本報稅季發動網釣</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174990"><strong>【4月10日】伊朗駭客鎖定美國關鍵基礎設施發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174940"><strong>【4月9日】Anthropic全新模型漏洞挖掘能力超群，直逼人類頂尖駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174916"><strong>【4月8日】APT28綁架SOHO路由器設備，將受害者導向AiTM基礎設施</strong></a></p> </div></div></div>
4/13 15:24作者周峻佑https://www.ithome.com.tw/news/175020
微軟Foundry Local正式版發布，支援將本地AI推論整合進應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<a href="https://devblogs.microsoft.com/foundry/foundry-local-ga/">Foundry Local正式推出</a>，這是一套跨平臺的本地端AI推論方案，讓開發者透過SDK將AI模型直接嵌入應用程式，在使用者的裝置上離線執行推論，不需要雲端連線，也不會產生額外詞元（Token）運算費用。</p> <p>Foundry Local讓開發者可將AI推論能力直接隨應用程式一併發布，開發者安裝SDK後，Foundry Local Core與ONNX Runtime執行檔會在建置階段自動納入應用程式。微軟表示，該方案體積精簡，不會明顯增加安裝包大小，終端使用者也不必另外安裝CLI工具或第三方軟體，即可直接使用AI功能。</p> <p>其支援Windows、macOS與Linux。Windows版整合Windows ML（WinML）進行推論，並透過Windows Update自動取得與硬體相符的執行提供者外掛，以處理驅動程式相容性問題。macOS版則原生支援Apple Silicon，透過Metal提供GPU加速。Foundry Local會自動偵測硬體環境，使用GPU、NPU或CPU執行推論，開發者不需要額外撰寫硬體偵測邏輯。</p> <p>SDK部分，Foundry Local提供Python、JavaScript、C#與Rust四種語言支援，推論API採用OpenAI相容的請求與回應格式，涵蓋聊天完成（Chat Completions）、音訊轉錄及Open Responses API。微軟表示，這讓開發者可以在雲端與本地推論之間順暢切換，而不需要額外架設本地HTTP伺服器，但如果應用場景需要REST呼叫，也可以在初始化時選擇啟用OpenAI相容的HTTP端點。</p> <p>由於Foundry Local整合Foundry Model Catalog，應用程式首次執行時會從目錄下載針對裝置硬體最佳化的模型，後續則從本地快取載入。目前支援的模型系列包括GPT OSS、Qwen、Whisper、Deepseek、Mistral與Phi，同時支援可中斷續傳的下載機制，使用者即使中途關閉應用程式或斷線，下次啟動時可從中斷處繼續下載。</p> <p>在微軟的AI部署架構中，Foundry Local負責裝置端推論，可在手機、筆電與桌機等終端裝置上執行模型，雲端則由Microsoft Foundry提供高階模型、AI代理人與微調服務。至於結合Azure Local的Foundry Local部署選項，目前仍處於預覽階段，主打將這些模型與代理式AI帶到用戶自有的分散式基礎設施。</p> <p>微軟也揭露後續發展方向，包括擴充模型目錄、即時麥克風語音轉錄，更廣泛的NPU與GPU硬體支援，以及改進共享快取機制，讓多個應用程式能共用已下載的模型。Foundry Local的程式碼範例現已公開於GitHub。</p> </div></div></div>
4/13 16:51作者李建興https://www.ithome.com.tw/news/175010
企業面臨碳費徵收壓力節節升溫，碳權交易機制成減碳調適關鍵工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國內在今年開始徵收碳費之下，高碳排企業正面臨前所未有的財務壓力。成立已2年多的臺灣碳權交易所資深經理蔡旻樺在2026數位永續高峰會分享她的觀察，她以中鋼為例，若以其一年碳排放量約1,800萬噸，每噸300元碳費計算，若沒有任何碳費優惠費率下，相當於要繳交60億元，碳費成本已能直接左右企業的盈虧。在此背景下，碳權機制逐漸受到關注，成為企業因應碳費壓力的重要輔助工具。</p> <p>蔡旻樺說明，政府推動碳費徵收制度的目的，並非是要增加企業營運的負擔，或是增加國家財政的收入，而是希望促使高碳排企業力行減碳，以迎合國際上淨零減碳的趨勢。同時也設計誘因機制，若企業提出自主減量計畫，如導入節能技術或低碳製程，碳費優惠可從每噸300元降至100元，甚至是50元，對鋼鐵、水泥等高碳排產業，還可能再打折，「可能變成一噸20元」，在減碳與產業競爭力之間取得平衡。</p> <p>在此制度上，國內目前尚未導入總量管制與排放交易制度（ETS），而是採碳費制度。蔡旻樺指出，國際上例如歐盟的排放權價格約為「一噸3千元」，相較之下國內目前300元的碳費，「其實沒辦法反映市場上的減碳成本」，未來仍有上調空間。</p> <p>至於市場上常提及的「碳權交易」，國內現階段以「自願性碳權」為主。蔡旻樺解釋，企業可透過造林、節能等減碳專案取得碳權，再於市場交易，「你願意去做一些減碳專案，經過環境部認證，就可以拿到碳權去賣」。</p> <p>在這樣的制度架構下，2023年成立的臺灣碳權交易所扮演關鍵角色。蔡旻樺指出，國內碳權（法規稱為減量額度）依法「只能透過碳交所購買」，是唯一合法交易管道。</p> <p>不過，碳權並非企業規避碳費的「捷徑」。蔡旻樺強調，現行制度下，國內碳權雖可用於抵減碳費，但比例有限，例如10%；國際碳權則尚未開放抵減碳費。因此，即便是中鋼這類高排放的企業，也無法單靠購買碳權解決龐大碳費支出，減碳仍然須回到製程改善與能源轉型本身，也是政府徵收碳費的本意，企業推動內部的減排措施。</p> <p>她強調碳權並非企業減碳替代方案，「減碳最重要的還是自己減，不能只靠買碳權」，應先盤查排放、找出熱點，再進行減量，最後才以碳權補足無法削減的部分。</p> <p><strong style="color: rgb(178, 34, 34);">企業取得國際碳權多因應供應鏈壓力</strong></p> <p>從市場實務來看，企業購買碳權的動機也不僅止於法規需求。蔡旻樺指出，目前市場上「買比較多的是國際碳權」，原因在於價格較低，且多用於回應供應鏈壓力。</p> <p>企業面臨來自供應鏈的壓力，特別是國際品牌將減碳責任下放至製造端，「像蘋果、微軟這些公司，95%以上碳排來自範疇三」，迫使臺灣供應鏈必須跟進減碳。此外，企業也會將碳權用於ESG揭露、產品碳中和或品牌行銷，例如飯店計算每晚碳足跡後，提供旅客加價抵銷碳排，或商品透過碳權達成「碳中和」標示。</p> <p>但是碳費取得並不容易，蔡旻樺提醒，碳權的取得門檻不低。碳權必須具備「額外性」，也就是需證明減碳效果來自額外投入，並須經第三方查驗，整體開發流程「通常至少2到3年以上」。她直言，「如果有人說可以馬上給你碳權，90%都是騙人的」，呼籲企業審慎評估來源。</p> <p><img alt="" src="/sites/default/files/images/20260410_145055.jpeg" style="width: 600px; height: 450px;" /></p> <p>觀察國際趨勢，自然型碳匯（例如造林、紅樹林）仍是主流。她指出，科技大廠雖投入碳捕捉等技術，但目前成本高且尚未成熟，「種樹還是最快的方式」。此外，國際碳權專案多位於開發中國家，不僅降低成本，也可帶來供水、教育等聯合國永續發展目標（SDGs）效益。</p> <p>整體來說，碳費與碳權市場形成互補關係，碳費透過財務成本壓力驅動企業減碳，碳權則提供企業彈性輔助調節工具。蔡旻樺強調，企業核心的因應策略應是「先減碳，再用碳權補不足」，而非本末倒置。隨著臺灣將於2030年前逐步導入總量管制與排放交易制度，臺灣碳市場也將持續朝更成熟的機制發展。</p> </div></div></div>
4/13 15:50作者蘇文彬https://www.ithome.com.tw/news/175019
硬體監控工具開發公司CPUID網頁遭入侵，駭客用來散布惡意軟體STX RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名的硬體監控工具CPU-Z、HWMonitor的供應商CPUID，傳出網站遭到入侵，駭客藉此散布惡意軟體。</p> <p>最早揭露此事的是資安研究團隊VX-Underground，<strong><a href="https://x.com/vxunderground/status/2042499378233876715">他們在社群網站X指出</a></strong>，東部時間（EST）4月10日晚間7時（臺灣時間4月11日上午7時）有使用者發現CPUID的網站cpuid.com存在惡意軟體，駭客入侵後，透過偽造的HWMonitor軟體散布惡意程式，目的似乎是竊取瀏覽器憑證等各式資料，因為研究人員在分析的過程發現，惡意軟體會試圖針對Chrome的IElevation COM介面，擷取並解密存放的密碼資料。（編按：Chrome並無IElevation COM介面，此處仍有待確認）。後續該團隊發現，<strong><a href="https://x.com/vxunderground/status/2042499686150353210">駭客也對CPU-Z上下其手</a></strong>。對此，<strong><a href="https://x.com/d0cTB/status/2042520961824559150">CPUID的經營者Doc TB證實此事</a></strong>，他們初步判斷是網站的某個API工具遭駭，攻擊者約從4月9日至10日入侵約6個小時，導致網站隨機顯示惡意連結。不過，經過該公司簽章的原始檔案，未遭到入侵。</p> <p>資安專家Giuseppe Massaro（N3mes1s）與資安公司卡巴斯基也揭露進一步的調查細節。Massaro指出，<strong><a href="https://gist.github.com/N3mes1s/b5b0b96782b9f832819d2db7c6684f84">這起事故影響CPUID旗下多種工具的用戶</a></strong>，涵蓋CPU-Z、HWMonitor、HWMonitor Pro、PerfMonitor 2，以及PowerMAX+，駭客試圖散布由Alien RAT衍生的變種木馬與後門程式。值得留意的是，雖然CPUID已修復網站遭到竄改的問題，但駭客控制的基礎設施仍在運作，不僅持續提供VBS有效酬載，並透過R2儲存桶存放有問題的cpu-z_2.19-en.zip；另一個伺服器qwen1.pages.dev，也被繼續用來傳送Shellcode。</p> <p>Massaro指出，駭客將惡意檔案Cryptbase.dll與原本的CPU-Z執行檔進行捆綁，一旦使用者執行CPU-Z，電腦就會透過DLL側載的方式載入惡意DLL檔案，從而啟動多階段感染鏈。首先，以Zig語言編譯的代理伺服器元件DLL檔，會從特定位置解出Shellcode，然後以反射式PE載入手法啟動經加密處理的有效酬載。為了迴避DNS監控，攻擊者濫用Cloudflare的DNS-over-HTTPS（DoH）解析服務1.1.1.1。</p> <p>接著，C2才會提供真正的後門程式，電腦啟動以PowerShell寫成的惡意程式載入器，並於記憶體裡以C#編譯有效酬載及執行。為了讓後門能持續於受害電腦活動，駭客濫用了MSBuild檔案、工作排程、COM TypeLib挾持，以及PowerShell個人設定檔自動執行等4重機制。</p> <p><strong><a href="https://securelist.com/tr/cpu-z/119365/">卡巴斯基揭露其他細節</a></strong>，指出這起事故發生的時間點，在世界協調時間（UTC）4月9日下午3時至10日上午10時（臺灣時間4月9日晚間11時至10日下午6時），駭客竄改CPUID網站的下載網址，散布另一家資安公司eSentire揭露的<strong><a href="https://www.esentire.com/blog/stx-rat-a-new-rat-in-2026-with-infostealer-capabilities">遠端存取木馬（RAT）程式STX RAT</a></strong>。根據遙測的資料，至少有150名用戶受害，雖然大部分是一般的個人用戶，但也有零售業、製造業、顧問公司、電信公司，以及農業領域的企業組織受到影響。這起事故影響哪些國家或地區？卡巴斯基指出，巴西、俄羅斯、中國的情況最為嚴重。</p> <p>值得留意的是，雖然只有卡巴斯基提及最終的惡意程式是STX RAT，但是VX-Underground、Massaro、卡巴斯基都不約而同提及，駭客在這波攻擊使用的基礎設施與惡意軟體，部分曾出現在<strong><a href="https://www.malwarebytes.com/blog/threat-intel/2026/03/a-fake-filezilla-site-hosts-a-malicious-download">一個月前針對Filezilla用戶的攻擊行動</a>，而駭客使用的惡意程式，後來被</strong>eSentire命名為STX RAT。</p> </div></div></div>
4/13 12:21作者周峻佑https://www.ithome.com.tw/news/175007
Amazon調整Luna定位，從遊戲平臺轉向訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.amazon.com/gp/help/customer/display.html?nodeId=TY9Z4zZ7vgVwLA0b7C&linkCode=sl2&tag=schoon0f-20&linkId=578a863db82b5957755260360323cf11&language=en_US&ref_=as_li_ss_tl" target="_blank">Amazon近日宣布</a>，旗下雲端遊戲服務Amazon Luna自2026年4月10日起，停止提供第三方遊戲商店、單獨購買遊戲（A-la-carte）以及第三方訂閱服務，全面轉向以訂閱制為核心的內容服務。</p> <p>2020年推出的Amazon Luna<a href="https://www.ithome.com.tw/news/140195" target="_blank">最初定位</a>為一個整合內容與通路的雲端遊戲平臺，試圖同時扮演遊戲商店、訂閱服務與發行通路的角色，不僅提供自有訂閱Luna+，也引入Ubisoft+、Jackbox等發行商頻道，並支援單獨購買遊戲與「Bring Your Own Library」（BYOL）功能，讓用戶可連結EA、Ubisoft與GOG帳號，在同一平臺上管理與遊玩不同來源的遊戲。</p> <p>此次調整自4月10日起生效，Amazon已關閉單獨購買遊戲的功能，並停止新增Ubisoft+與Jackbox Games等第三方訂閱服務。BYOL功能將於6月3日停用；已單獨購買的遊戲則可遊玩至2026年6月10日，屆時將從平臺上移除，用戶可在90天內下載備份。</p> <p>簡單地說，Amazon Luna將移除所有第三方服務，只剩自有訂閱服務，包括納入Prime會員的Luna Standard，以及主力付費方案Luna Premium。</p> <p>Amazon指出，此次調整是為了簡化服務體驗，並將重心放在為Prime會員與訂閱用戶提供持續更新的遊戲內容，未來將主推Luna Premium訂閱方案，提供無須單獨購買即可遊玩的遊戲庫。不過，外界分析指出，Luna過去整合平臺、銷售與訂閱的架構提高了使用與營運複雜度，也限制其擴張能力，因此最終轉向以訂閱為核心的單一商業模式。</p> <p>回顧這波雲端遊戲浪潮，微軟、Google與Amazon幾乎在同一時間點燃戰火。微軟在2019年發表<a href="https://www.ithome.com.tw/news/133621" target="_blank">Project xCloud</a>，隔年便將其<a href="https://news.xbox.com/en-us/2020/07/16/players-first-you-are-the-future-of-gaming/" target="_blank">併入</a>Xbox Game Pass，並依附Game Pass生態持續擴展。Google則在2019年高調推出<a href="https://www.ithome.com.tw/news/133630" target="_blank">Stadia</a>，砸重金自製硬體與獨家內容，卻始終未能打開市場，最終在2022年黯然<a href="https://www.ithome.com.tw/news/153375" target="_blank">關閉</a>。Amazon的Luna則從試圖整合商店、訂閱與發行的全方位平臺，轉型成一個專注於訂閱的串流服務。</p> <p> </p> </div></div></div>
4/13 12:31作者陳曉莉https://www.ithome.com.tw/news/175008
CoreWeave與Anthropic簽署多年合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI雲端基礎設施業者<a href="https://www.coreweave.com/news/coreweave-announces-multi-year-agreement-with-anthropic" target="_blank">CoreWeave週四（4/10）宣布</a>，已與AI公司Anthropic簽署多年合作協議，將支援其Claude系列模型的開發與部署。根據外電報導，這是Anthropic首度採用CoreWeave算力，顯示其正積極引進新的算力來源。</p> <p>成立於2017年、以加密貨幣挖礦起家的CoreWeave，之後轉型為提供GPU為核心的AI雲端基礎設施，並吸引Nvidia入股，已於2025年登上美國那斯達克股市。</p> <p>根據雙方的協議，Anthropic將透過CoreWeave雲端平臺運行生產等級工作負載，並利用其高效能與高可靠性的基礎設施，加速模型推理與實際應用落地。相關算力資源預計於今年稍晚分階段上線，雙方亦保留未來擴大合作的空間，但未揭露具體金額。</p> <p>CoreWeave指出，隨著Anthropic加入，其平臺已涵蓋全球前10大AI模型供應商中的9家。</p> <p>目前已知採用CoreWeave平臺的業者包括微軟、<a href="https://www.ithome.com.tw/news/167789" target="_blank">OpenAI</a>與<a href="https://www.ithome.com.tw/news/174992" target="_blank">Meta</a>等。其中，<a href="https://www.sec.gov/Archives/edgar/data/1769628/000119312525044231/d899798ds1.htm" target="_blank">微軟</a>在2023及2024年都是CoreWeave最大客戶，這兩年分別占CoreWeave營收的35%及62%，但CoreWeave在2025年的財報則未公布客戶營收比重。</p> <p>至於Anthropic則被外界視為OpenAI的主要競爭對手，近來亦積極鞏固算力供應，透過多元合作分散基礎設施來源，以支撐模型快速成長。</p> <p>其中，Amazon Web Services（AWS）為其主要雲端與模型訓練夥伴，負責核心算力基礎；此外，<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic</a>亦與Google及Broadcom合作導入TPU等晶片資源，並進一步引入CoreWeave等新型AI雲供應商，持續擴展其算力來源。</p> </div></div></div>
4/13 11:25作者陳曉莉https://www.ithome.com.tw/news/175005
網釣平臺Venom活動升溫，駭客用於對高階主管發動攻擊，意圖竊取微軟帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>基本上，網路釣魚工具通常被用於廣泛、針對大量目標的攻擊行動，不過最近有個專門針對高階主管的活動，引起研究人員的注意。</p> <p>資安公司Abnormal揭露<strong><a href="https://abnormal.ai/blog/venom-phishing-campaign-mfa-credential-theft">網路釣魚服務平臺（PhaaS）Venom</a></strong>，並指出相關攻擊活動從2025年11月至2026年3月期間升溫，駭客系統性針對全球重要組織的執行長、財務長等高階主管，假借SharePoint檔案共用的通知，並以財務報告的誘餌引誘收信人掃描QR Code。值得留意的是，駭客根據姓名挑選下手目標，有六成是總裁或C級主管，攻擊的範圍橫跨超過20個產業。</p> <p>針對這波攻擊的流程，駭客通常會使用遭到入侵的商業電子郵件帳號，寄送聲稱是SharePoint檔案共用的通知，並提供QR Code供收信人掃描。</p> <p>除了使用針對性的電子郵件，駭客也加入多種迴避偵測的機制，例如，他們為了因應特徵碼的偵測機制，這些釣魚信都包含獨有的HTML元素，這些元素的數值在每次寄信時都會隨機變化，確保所有釣魚信不會出現相同的雜湊值或是特徵字串。這些駭客注入的特徵，涵蓋了13種假的CSS樣式表類別與元素ID。</p> <p>在信件內文之外，HTML程式碼還包含5個電子郵件的對話串，並與另一個隨機生成的人物進行對話，內容可能是會議提案或假的財務表單，使其看似正常的企業信件往來。</p> <p>一般來說，許多的QR Code都是以圖片產生，但前述提及的QR Code並非如此，它是由Unicode字元組成，避免檢測郵件圖片是否為QR Code的工具察覺異狀。使用QR Code最重要的目的在於，讓收信人改用個人的行動裝置存取，而這些裝置往往不會受到企業的資安系統監控與管理。</p> <p>一旦收信人掃描QR Code，駭客就會先透過假的驗證工具過濾使用者身分，檢查使用者代理字串（User Agent），藉此排除資安公司、無頭瀏覽器、雲端服務供應商、滲透測試工具等。駭客也搭配IP位址即時聲譽檢測工具、蜜罐陷阱（Honeypot），目的是捕捉自動化工具與看不見的網頁元素互動的情形。</p> <p>在成功確認是攻擊目標後，駭客就會將他們導向AI生成的企業網站，進行對手中間人攻擊（AiTM）或裝置驗證碼攻擊，藉此騙取收信人的微軟帳號。</p> </div></div></div>
4/13 10:36作者周峻佑https://www.ithome.com.tw/news/175003
美國CIA準備在內部所有分析平臺整合AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<a href="https://www.politico.com/news/2026/04/09/cia-ai-intelligence-analysis-00865893" target="_blank">Politico</a>與<a href="https://cointelegraph.com/news/cia-ai-co-workers-help-intelligence-analysts" target="_blank">Cointelegraph</a>的報導，美國中央情報局（Central Intelligence Agency，CIA）副局長Michael Ellis在上週的一場演講上透露，CIA已利用AI來完成史上首份自主情報報告，且未來將把AI整合到該機構的所有分析平臺上。</p> <p>CIA為美國負責對外情報的核心機構，主要任務是蒐集與分析全球政治、軍事與經濟資訊，提供給總統與國安決策使用；它也會執行秘密行動，在海外影響局勢；不同於FBI，CIA並不負責國內執法，而是專注於海外情報與戰略。</p> <p>Ellis說，CIA已利用AI建立了史上首份自主情報報告，該機構在未來幾年將會把AI整合到內部所有分析平臺中，以協助分析人員完成基本任務，包括草擬關鍵判斷、檢驗結論，以及自所蒐集的資料中發現趨勢等。他還預測未來AI可能在情報產出中扮演更廣泛的角色，不過CIA將會確保關鍵決策仍由人類主導。</p> <p>其實CIA也已於300個專案中測試了AI，包括利用AI來處理大型資料集、協助翻譯、發布報告，以及辨識間諜。</p> <p>Ellis還在演講中表示，CIA的主要動機是保持領先中國，特別是中國與美國之間在技術創新上的差距已明顯縮小。</p> </div></div></div>
4/13 11:01作者陳曉莉https://www.ithome.com.tw/news/175004