iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google推出兩款研究代理人Deep Research與Deep Research Max
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/models-and-research/gemini-models/next-generation-gemini-deep-research/" target="_blank">Google週二（4/21）發表</a>兩款研究代理人Deep Research與Deep Research Max，進一步擴展其在自動化研究（Autonomous Research）領域的布局。兩者皆基於Gemini 3.1 Pro打造，並透過Gemini API以付費預覽形式開放，開發者需依使用量付費。</p> <p>Google於2025年12月透過Interactions API推出<a href="https://www.ithome.com.tw/news/172798" target="_blank">Gemini Deep Research代理人</a>，開放開發者將其研究能力嵌入應用程式，支援多步驟搜尋、資料整合與報告生成等功能。本次更新則在此基礎上推出優化後的Deep Research，並新增Deep Research Max，分別對應即時互動與高強度分析兩種使用場景。</p> <p>在功能上，Deep Research系列支援Model Context Protocol（MCP），可串接企業內部與外部資料來源；並整合網路搜尋、檔案與各類工具進行分析；同時支援PDF、CSV、圖片與影音等多模態輸入；系統亦導入原生視覺化能力，可直接生成圖表與資訊圖；並提供研究流程的檢視與調整機制。</p> <p>其中，Deep Research主打低延遲與效率，適合整合於搜尋或應用程式介面中。隨著導入Gemini 3.1 Pro，該系統已從摘要工具轉變為可支援企業工作流程的研究基礎，能在單次API呼叫下啟動完整研究流程，整合公開網路與企業內部資料來源，生成具引用來源的專業分析報告。</p> <p>至於Deep Research Max則定位為高完整度的研究引擎，強調分析深度與推理能力，透過延長測試時計算（test-time compute）進行多輪搜尋、驗證與修正，生成更全面且細緻的研究結果。</p> <p>Google指出，Deep Research系列已被應用在金融與生技等領域。例如投資機構可用於自動化盡職調查，整合市場訊號、競品與風險分析，將原本需數日完成的研究流程縮短至數小時；在科學研究方面，亦可用於整理生醫文獻與證據，加速藥物開發流程，提升研究效率，其中Deep Research Max在處理較高複雜度任務時表現更為完整。</p> <p>美國媒體普遍認為，Deep Research的關鍵在於將AI從對話工具轉變為可執行多步驟研究流程的代理人，不僅能自動搜尋與整合多來源資訊，還可生成具結構與引用的完整報告，逐步貼近企業實際工作場景。</p> </div></div></div>
4/22 11:51作者陳曉莉https://www.ithome.com.tw/news/175226
Google Cloud旗下Mandiant推出免費資安教學平臺FLARE Learning Hub，導入時間回溯除錯…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月中旬，<a data-saferedirecturl="https://www.google.com/url?q=https://www.linkedin.com/feed/update/urn:li:activity:7450267960667000832/&source=gmail&ust=1776907911265000&usg=AOvVaw3fteUEY33BwclFPvC2ofpl" href="https://www.linkedin.com/feed/update/urn:li:activity:7450267960667000832/" target="_blank">隸屬於Google Cloud的資安公司Mandiant宣布</a>，<wbr></wbr>由旗下專注於逆向工程與惡意程式分析的研究團隊FLARE（<wbr></wbr>FireEye Labs Advanced Reverse Engineering）推出FLARE Learning Hub，免費提供逆向工程與惡意程式分析教學內容，<wbr></wbr>並提供實作導向模組，<wbr></wbr>鎖定資安研究人員與企業防禦團隊的技能培訓需求。</p> <p>Mandiant表示，<a data-saferedirecturl="https://www.google.com/url?q=https://github.com/mandiant/flare-learning-hub?linkId%3D61425508&source=gmail&ust=1776907911266000&usg=AOvVaw2Rv3F8Yu8b_c_Dk1Vh9qKn" href="https://github.com/mandiant/flare-learning-hub?linkId=61425508" target="_blank">FLARE Learning Hub</a>整合團隊累積近20年的教學與研究經驗，<wbr></wbr>採用實作導向設計，透過Google Docs提供課程教材，<wbr></wbr>並於GitHub儲存庫中同步釋出對應實驗資源，<wbr></wbr>包括惡意程式樣本、指令碼與分析資料。<wbr></wbr><a href="https://security.googlecloudcommunity.com/news-announcements-9/announcing-the-launch-of-the-flare-learning-hub-free-educational-content-on-reverse-engineering-and-malware-analysis-7171" target="_blank">目前平臺提供三個教學模組</a>，涵蓋惡意程式分析入門課程（<wbr></wbr>Malware Analysis Crash Course）、Go可執行檔逆向工程參考資料（The Go Reverse Engineering Reference），以及時間回溯除錯入門教學（An Introduction to Time Travel Debugging），<wbr></wbr>協助學習者逐步建立從基礎到進階的分析能力。</p> <p>在教學內容中，FLARE團隊也透過實際案例示範，<a data-saferedirecturl="https://www.google.com/url?q=https://docs.google.com/document/d/15gbXsTtWyxlUr5bxWO0wvWNHDZqxqh_LEqLanyZpdyw/edit?tab%3Dt.0%23heading%3Dh.6jjiip4tsxp0&source=gmail&ust=1776907911266000&usg=AOvVaw29jdtY0htGKCmeESBDAb3h" href="https://docs.google.com/document/d/15gbXsTtWyxlUr5bxWO0wvWNHDZqxqh_LEqLanyZpdyw/edit?tab=t.0#heading=h.6jjiip4tsxp0" target="_blank">如何將TTD<wbr></wbr>應用於惡意程式分析流程</a>。<wbr></wbr>該技術為Windows除錯工具WinDbg提供的功能，<wbr></wbr>可完整記錄處理程序執行過程，並支援向前與向後回溯執行歷程。<wbr></wbr>透過查詢CreateProcess與WriteProcess<wbr></wbr>Memory等Windows API呼叫，資安分析人員可快速辨識惡意程式中的處理程序挖空（<wbr></wbr>Process Hollowing）行為，並從記憶體中還原隱藏載荷，<wbr></wbr>進一步分析其運作機制與潛在資料竊取行為。<wbr></wbr>相較於傳統逐步除錯方式，<wbr></wbr>TTD可將分析流程轉為以資料查詢為核心，<wbr></wbr>有助於在面對多層混淆與複雜攻擊鏈時縮短分析時間。</p> <p>FLARE團隊建議，使用者在進行模組練習時，<wbr></wbr>應先透過FLARE-VM建立安全隔離的虛擬機器環境，<wbr></wbr>並搭配支援快照功能的虛擬化工具，<wbr></wbr>以便在不同分析階段快速還原系統狀態。<wbr></wbr>目前所有教學模組僅支援Intel x86-64架構。</p> <p>研究人員也提醒，<wbr></wbr>儘管平臺提供的二進位檔與指令碼僅用於教學示範，<wbr></wbr>但部分行為與惡意程式相似，可能被防毒軟體判定為威脅。<wbr></wbr>建議僅於隔離環境中執行相關內容，以避免影響實際系統運作。</p> </div></div></div>
4/22 12:07作者王珮瑤https://www.ithome.com.tw/news/175228
SpaceX宣布與Cursor合作，醞釀600億美元收購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://x.com/SpaceX/status/2046713419978453374" target="_blank">SpaceX週二（4/21）宣布</a>與AI程式碼編輯器Cursor合作，雙方將共同開發鎖定程式開發與知識工作的AI模型，結合Cursor在軟體開發者社群的產品與分發能力，以及SpaceX的AI基礎設施。</p> <p>Cursor由美國新創公司Anysphere於2023年推出，為一款AI程式碼編輯器，支援生成、重構與除錯程式碼，並可切換多家模型。該產品已在開發者社群快速普及，被視為AI coding工具的重要代表之一，競爭對手包括Anthropic的Claude Code與OpenAI的Codex。該公司在2025年11月<a href="https://www.ithome.com.tw/news/172245" target="_blank">完成D輪融資</a>時估值為293億美元，Google及Nvidia皆為投資者。</p> <p>SpaceX表示，將提供運算規模相當於約100萬顆Nvidia H100等級的Colossus訓練超級電腦，用於訓練與部署模型；此外，Cursor也授予SpaceX一項選擇權，可於今年稍晚以600億美元收購該公司，或支付100億美元作為合作費用，顯示雙方合作同時涵蓋技術與資本層面。</p> <p><a href="https://cursor.com/zh-Hant/blog/spacex-model-training" target="_blank">Cursor則說</a>，他們約莫在半年前推出首個代理式程式設計模型Composer，其後的Composer 1.5將強化學習規模擴大20倍以上，Composer 2則導入持續預訓練，並以較低成本達到尖端效能，使算力提升能有效轉化為模型能力提升。</p> <p>由於過去模型訓練能力受限於算力資源，透過此次合作，將可運用xAI的Colossus基礎設施，大幅提升模型表現。</p> </div></div></div>
4/22 10:41作者陳曉莉https://www.ithome.com.tw/news/175222
OpenAI公布ChatGPT Images 2.0，能思考、生成多語文字還支援排版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI本週公布首個整合思考能力的圖片生成模型，並推向所有ChatGPT用戶，<a href="https://openai.com/index/introducing-chatgpt-images-2-0/" target="_blank">提供ChatGPT Images 2.0</a>，不但能生成精美圖片，還能整合多語文字及多變化版面設計，可用於製作漫畫、海報或看板。現在這項功能推向所有ChatGPT方案，包括免費版。</p> <p>ChatGPT Images 2.0是去年12月ChatGPT Images 1.5後的更新版。它是OpenAI第一個結合思考能力的圖片模型，當（付費版）ChatGPT使用者選擇了思考（Thinking）模式後，Images 2.0會搜尋網路上即時資訊生成圖片、可一次生成多張圖，並重複驗證自己的輸出，它還能處理兼具圖片和文字的複雜任務，尤其是在需要精準、最新資訊，以及一致化及視覺一貫性的場合。</p> <p>在圖像生成部分，ChatGPT Images 2.0增強了詳細指令遵從、可精準置放物件、生成豐富文字，還能生成多種長寬比例的圖片。ChatGPT Images 2.0可生成精湛繁複的圖片，能確實遵從用戶指令、保留需要的細節，生成過去圖片生成模型無法處理的元素，像是小塊文字、圖示設計、UI元素、繁複構圖及排版，而且都提供2K解析度，它甚至能在單一圖片中提供分鏡圖、或包含多欄位文字及圖表的雜誌設計。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0422-ChatGPT%20Images%202-600.png" style="width: 418px;" /></p> <p>ChatGPT Images 2.0另一特色是多語言支援。在此之前，Images 1.5可支援簡單英文和拉丁語系文字，Image 2.0版則具備多語理解，不但能生成非拉丁語文字，像是中文、日、韓、北印度語、孟加拉語，還能生成流暢文字。它不只是翻譯一二個標籤，而是融入設計的文字，因此能生成海報、手寫稿、漫畫、廣告或其他圖文並重的圖像。</p> <p>OpenAI表示，結合推理模型和視覺理解的ChatGPT Images 2.0不只是生成圖像，更是策略性設計工具，可協助使用者將想法轉為真實而用於分享、教學或進階設計的成果。</p> <p>現在，所有ChatGPT用戶、Codex和API都能獲得使用ChatGPT Images 2.0。不過根據<a href="https://venturebeat.com/technology/openais-chatgpt-images-2-0-is-here-and-it-does-multilingual-text-full-infographics-slides-maps-even-manga-seemingly-flawlessly" target="_blank">VentureBeat報導</a>，免費版用戶只能用最基本的ImageGen模型，Pro及Plus方案用戶才能享用Thinking功能。而Pro方案還可以再獲得ImageGen Pro模型。</p> <p>本工具推出不久前，<a href="https://www.ithome.com.tw/news/175160" target="_blank">Anthropic公布了</a>可用於產品設計圖、原型、簡報、一頁式簡報（one-pager）等文件製作的Claude Design。</p> </div></div></div>
4/22 11:06作者林妍溱https://www.ithome.com.tw/news/175224
法國國家安全憑證機構遭駭可能洩露1900萬企業及個人帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國負責發布身分證和護照的國家安全憑證機構（ANTS）本週<a href="https://www.interieur.gouv.fr/actualites/communiques-de-presse/incident-de-securite-relatif-au-portail-antsgouvfr" target="_blank">公布安全事件</a>，可能導致近2000萬個資及專業帳號資料外洩。</p> <p>法國國家安全憑證機構（ANTS）是隸屬於法國內政部，負責發放身分證、護照、駕駛執照等證明文件的機關。ANTS在4月15日偵測到異常活動，可能導致ants.gouv.fr入口網站上的個人和專業帳號被竊取。初步調查顯示，受影響的個人資料類別包括登入ID、姓名、出生日期、帳戶識別碼。其他可能外洩的資料包含電子郵件信箱、出生地、電話號碼等。</p> <p>ANTS表示，外洩資訊不會允許非授權存取入口網站，但可能被用於釣魚郵件和社交工程攻擊。當局提醒用戶留心可能的釣魚簡訊、電話和電子郵件等。ANTS已經通報法國資料主管機關、巴黎檢察官，當局已和法國網路安全管理署（ANSSI）合作展開調查。</p> <p>當局沒有公布可能外洩的資料規模，不過上週一名代號breach3d的駭客在駭客論壇上兜售聲稱來自ANTS，近1900萬筆的紀錄，資料包含全名、聯絡資訊、出生日期、住家地址、性別、國籍及帳號metadata等。</p> <p>二個月前<a href="https://www.ithome.com.tw/news/173994" target="_blank">法國公共財政總局（DGFiP）也證實</a>，該單位管理的國家銀行帳戶登記資料庫（FICOBA）遭未授權存取，約120萬個帳戶資料被不明人士存取。</p> </div></div></div>
4/22 11:12作者林妍溱https://www.ithome.com.tw/news/175225
【資安日報】4月21日，2025年網路犯罪美國損失逾200億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175212"><strong style="font-size: 22px;">FBI發布2025年網路犯罪報告，指出AI助長詐騙，勒索軟體持續影響關鍵基礎設施</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/0421-AI-FBI.png" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/0421-AI-FBI.png" style="width: 300px; float: right;" /></a></p> <p>由美國聯邦調查局（FBI）主導的網路犯罪通報中心（IC3）發布2025年網路犯罪投訴報告（IC3 Annual Report），指出全年接獲逾100萬件網路犯罪通報，相關損失達208億美元，較2024年成長26%，再創新高，顯示網路犯罪對企業營運與整體社會的衝擊持續擴大。</p> <p>值得注意的是，IC3成立近25年來，首次在年度報告中納入AI專章，凸顯AI已從新興技術轉變為影響網路犯罪型態的重要因素。從犯罪型態來看，投資詐騙仍是最大損失來源，金額約86億美元，其次為商務電子郵件詐騙（BEC）與技術支援詐騙（Tech Support scam）。FBI指出，透過網際網路進行的詐騙活動已占整體損失約85%，顯示攻擊者正大量採用社交工程手法，逐漸取代傳統以漏洞入侵為主的攻擊模式。</p> <p><a href="https://www.ithome.com.tw/news/175186"><strong style="font-size: 22px;">美國司法部與FBI瓦解俄羅斯軍方駭客DNS劫持網路，阻斷惡意竊取資訊管道</strong></a></p> <p>美國司法部與聯邦調查局（FBI）近日宣布，已在法院授權下採取行動，成功阻斷由俄羅斯軍事情報單位控制的DNS劫持網路，該DNS劫持網路由俄羅斯總參謀部情報總局（GRU）所屬單位26165主導，也就是駭客組織APT28。至少從2024年起，GRU人員就利用已知的漏洞，入侵與竊取全球數千臺TP-Link路由器的憑證，隨後篡改其設定，將DNS請求重定向到GRU控制的惡意DNS伺服器，進而發動中間人攻擊，攔截與竊取未加密的密碼、身分驗證權杖、電子郵件與其他敏感資訊。</p> <p>FBI在資安公司Lumen、微軟、MIT林肯實驗室的技術協助下，依據法院授權，將一系列指令（Command）發送給美國境內受感染的路由器，收集有關俄羅斯GRU人員活動的證據，清除惡意設定並重設DNS，強制這些路由器使用合法的DNS，從而阻擋GRU人員的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/175189"><strong style="font-size: 22px;">新加坡示警先進AI模型恐改變漏洞利用節奏，要求銀行與關鍵基礎設施加速補強防線</strong></a></p> <p>4月15日，新加坡網路安全局（Cyber Security Agency of Singapore，CSA）發布資安警示，提醒當地企業與關鍵資訊基礎設施營運單位，先進AI模型（Frontier AI Models）已具備大規模分析程式碼與發掘弱點的能力，並可能加快漏洞利用流程，將原本需耗費數月的作業縮短至數小時內完成。</p> <p>這波警示與美國AI新創Anthropic測試新一代模型Claude Mythos有關。該模型已引發金融業對資安風險的高度關注，並受到美國、英國與加拿大監理機關關切。CSA在公告中將防護建議區分為「立即措施」與「長期強化方向」。前者著重於快速降低曝露風險，包括優先修補對外系統的重大與高風險漏洞、關閉不必要的對外服務與連接埠、盤點並隔離開發與測試環境，以及在管理介面與雲端管理主控臺全面啟用多因素驗證（MFA）。</p> <p><a href="https://www.ithome.com.tw/news/175184"><strong style="font-size: 22px;">函式庫protobuf.js爆RCE漏洞，波及gRPC與Firebase套件</strong></a></p> <p>JavaScript生態系廣泛使用的Protocol Buffers函式庫protobuf.js，其開發團隊近日揭露嚴重漏洞，CVSS評分9.4。漏洞允許攻擊者透過惡意結構定義（Schema）檔案，在應用程式正常處理訊息時觸發任意程式碼執行。受影響版本為8.0.0，以及7.5.4以下版本，修補版本8.0.1與7.5.5已發布，開發團隊建議立即升級。</p> <p>要觸發此漏洞，攻擊者需能影響應用程式載入的protobuf定義或描述子，研究人員提到，雖然這聽起來條件有限，但在實務上卻涵蓋多種常見情境。gRPC定義了標準的伺服器反射協定，允許用戶端向伺服器請求Schema定義，若伺服器遭入侵，即可在同一個回應中夾帶惡意型別名稱。</p> <p><a href="https://www.ithome.com.tw/news/175207"><strong style="font-size: 22px;">思科修補網路存取控制平臺ISE重大漏洞，未更新可能導致遠端執行任意程式碼攻擊</strong></a></p> <p>去年7月資安公司Fortinet揭露殭屍網路RondoDox活動，駭客鎖定的其中一類裝置，是TBK的數位監控系統主機設備DVR-4104、DVR-4216，他們在網路上掃描作業系統命令注入漏洞CVE-2024-3721（CVSS風險6.3分），藉此綁架這些裝置並用於DDoS攻擊，如今傳出有其他人馬加入漏洞利用行列。</p> <p>Fortinet近日發現殭屍網路Nexcorium，此為Mirai的變種，駭客團體Nexus Team試圖操弄mdb與mdc功能參數，藉由觸發CVE-2024-3721漏洞，而能下載指令碼，然後根據目標裝置的系統架構，啟動殭屍網路病毒的有效酬載。Nexcorium的架構與大部分Mirai變種相似，包括採用XOR編碼的組態配置資料、監控模組，以及DDoS攻擊模組。</p> <p><a href="https://www.ithome.com.tw/news/175172"><strong style="font-size: 22px;">思科修補無線基地臺儲存空間異常占用缺陷，用戶須儘速修補確保系統正常更新</strong></a></p> <p>儲存空間耗盡，導致無法下載與執行更新程式，是智慧型手機或個人裝置無法更新系統的常見原因之一，但是在企業級網路設備上就相對罕見。不過近日思科（Cisco）的無線基地臺產品就發生這樣的情況，由於IOS XE軟體的缺陷，導致系統日誌占用容量持續異常增長，造成裝置儲存空間耗盡，最終可能使系統無法下載或安裝後續韌體更新。這個問題一舉影響超過230款思科無線基地臺產品，迫使該公司為此發布重大（Critical）產品公告，提醒用戶儘速修補。</p> <p>無線基地臺這類設備的儲存空間有限，隨著系統運行會逐漸累積日誌、映像檔等資料，若未清理而導致空間耗盡，是常見的使用狀況。但這次思科出現的問題，並非單純系統運行累積造成，而是先前IOS XE軟體17.12.4版函式庫更新帶來的問題所致，系統會在無線基地臺快閃記憶體中產生cnssdaemon.log日誌檔案，且每天會持續增加大約5MB容量，導致快閃記憶體空間逐步消耗，最終系統將因儲存空間不足，而無法下載與更新後續的系統軟體版本，產生安全性風險。</p> <p><a href="https://www.ithome.com.tw/news/175204"><strong style="font-size: 22px;">CISA警告Apache ActiveMQ重大漏洞已被用於攻擊，要求儘速修補</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）近日警告，4月初揭露的重大漏洞CVE-2026-34197已被實際利用，未修補此弱點的開源訊息中介軟體Apache ActiveMQ風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。</p> <p>這個ActiveMQ漏洞其實已存在13年之久，但一直沒被發現，直到4月初，才由資安公司Horizon3.ai研究人員在Anthropic AI工具Claude輔助下發現，問題源自ActiveMQ的Jolokia管理API輸入驗證機制不足，可能導致遠端執行程式碼攻擊。</p> <p><a href="https://www.ithome.com.tw/news/175146"><strong style="font-size: 22px;">Anthropic MCP協定遭揭存在設計缺陷，MCP伺服器可被誘導執行任意命令</strong></a></p> <p>資安公司OX Security指出，由Anthropic主導開發的開放標準MCP（Model Context Protocol）在架構設計上存在系統性風險，攻擊者可藉由其STDIO傳輸介面，在MCP伺服器上執行任意作業系統命令，進而取得敏感資料、API金鑰及對話紀錄，研究團隊已針對受影響的下游專案揭露10個以上高風險與重大等級CVE。Anthropic的回應則將相關行為視為預期設計，未修改協定架構。</p> <p>研究人員估計波及超過200個開源專案，相關套件累計下載量超過1.5億次，公開暴露的MCP伺服器超過7,000個，潛在受影響實例多達20萬個。研究團隊在6個正式營運平臺上成功執行概念驗證攻擊，受影響的知名專案包括LiteLLM、LangChain及IBM旗下的LangFlow等。</p> <p><a href="https://www.ithome.com.tw/news/175143"><strong style="font-size: 22px;">駭客公布McGraw-Hill逾100 GB資料</strong></a></p> <p>有駭客組織宣稱，他們從知名教育出版商麥格羅希爾（McGraw-Hill）的Salesforce竊得4,500萬筆紀錄，威脅該出版社若未聯繫，將把資料公布。</p> <p>Have I Been Pwned發現，超過100 GB的麥格羅希爾資料已被公開，當中包含多個站點的1,350萬筆電子郵件信箱，以及完整度不一的姓名、實體地址和電話等欄位。麥格羅希爾證實Salesforce系統確實遭未經授權存取，且有部分資訊外流，但不包含社會安全碼、財務資訊、學生資料。</p> <p><a href="https://www.ithome.com.tw/news/175216"><strong style="font-size: 22px;">新竹物流部分資訊系統遭網攻，服務停擺兩天引起民眾關注</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/KfCW0pUK1A.jpg" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/KfCW0pUK1A.jpg" style="width: 300px; float: right;" /></a></p> <p>4月17日新竹物流傳出因系統當機造成多項服務中斷，該公司原本承諾當天下午就會陸續恢復，用戶卻發現相關異常延續至18日下午。用戶存取新竹物流的網站，會看到系統緊急修復的公告。有人抱怨出貨與收貨受到影響，也有人取得客服的對話內容，指出該公司雲端伺服器遭到網路攻擊。此外，有媒體報導指出，許多新竹物流的司機因此無法正常配送貨物，只能在營業所待命。</p> <p>對此，新竹物流在網站上發出公告，指出他們4月17日遭到網路攻擊，該公司也在MOPS公開資訊測站說明此事，並強調根據初步評估，對公司營運無重大影響。新竹物流於20日上午到臺北市刑事警察大隊報案，由科技犯罪偵查隊受理調查。我們也向新竹物流致電進一步詢問，不過至截稿之前未收到回應。</p> <p><a href="https://www.ithome.com.tw/news/175115"><strong style="font-size: 22px;">FIDO身分識別觸角擴大，聚焦3大關鍵議題：數位憑證、AI代理、歐盟CRA</strong></a></p> <p>想要了解「網路身分識別」的最新發展，FIDO聯盟揭露的技術路線向來是了解相關產業發展的風向球。在今年2月舉行的FIDO巴黎研討會中，數位憑證與代理式AI已躍升為核心議題，歐盟網路韌性法案（CRA）亦是討論焦點。這些動向不僅展現FIDO正擴張其接軌範疇，也預示著身分識別在AI代理時代面臨的全新挑戰。</p> <p>有哪些全新發展重點？近期參加FIDO巴黎研討會的工業技術研究院資通所副所長黃維中指出，他在今年會議上觀察到3大核心議題：數位憑證、代理式AI，以及歐盟網路韌性法案（CRA）。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinas-apple-app-store-infiltrated-by-crypto-stealing-wallet-apps/">中國版蘋果App Store被駭客上架能竊取加密貨幣錢包的惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/the-gentlemen-ransomware-now-uses-systembc-for-bot-powered-attacks/">勒索軟體Gentlemen透過殭屍網路SystemBC滲透企業組織</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/seiko-usa-website-defaced-as-hacker-claims-customer-data-theft/">Seiko美國網站遭竄改，駭客聲稱從該公司後臺竊得客戶敏感資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ngate-android-malware-uses-handypay-nfc-app-to-steal-card-data/">安卓惡意軟體NGate濫用行動支付工具竊取付款資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/codex-exploits-samsung-tv/">AI程式碼助理Codex找出攻擊鏈，挖掘三星智慧電視的漏洞以取得root權限</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175180"><strong>【4月20日】第三個Microsoft Defender零時差漏洞被揭露</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175139"><strong>【4月17日】APT41鎖定4大雲端環境搜刮憑證與權杖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175111"><strong>【4月16日】17年前的Excel漏洞驚傳遭到利用</strong></a></p> </div></div></div>
4/21 18:57作者周峻佑https://www.ithome.com.tw/news/175221
AI推論框架SGLang曝RCE漏洞，惡意GGUF模型可觸發任意程式碼執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源大型語言模型推論框架SGLang被揭露存在嚴重遠端程式碼執行（RCE）漏洞CVE-2026-5760。攻擊者可製作內含惡意Jinja2模板注入惡意酬載（Payload）的GGUF模型檔，受害者一旦將模型載入SGLang，且有請求進入/v1/rerank端點，攻擊者就可能在目標伺服器上執行任意程式碼。</p> <p>美國卡內基美隆大學軟體工程研究所旗下的CERT協調中心（CERT/CC）於2026年4月20日<a href="https://kb.cert.org/vuls/id/915947">公告</a>該漏洞，並將概念驗證<a href="https://github.com/Stuub/SGLang-0.5.9-RCE">公開於GitHub</a>。CERT/CC表示，截至公告發布時，SGLang專案維護者未回應，也未提供修補程式。</p> <p>SGLang是一套用於部署大型語言模型與多模態模型的開源推論框架，相容OpenAI API規格，支援Qwen、DeepSeek、Mistral與Skywork等主流模型，在開源LLM推論基礎設施領域有一定能見度。</p> <p>此次漏洞出在SGLang的重新排序（Reranking）功能端點/v1/rerank。該端點在處理相關請求時，會建立Jinja2模板的執行環境，但採用的是未經沙箱限制的設定。這使模型檔中的chat_template在套用時，可能跳脫原有執行限制，在伺服器上執行任意Python程式碼。</p> <p>攻擊者可先在GGUF格式模型檔的tokenizer.chat_template欄位，植入惡意Jinja2伺服器端模板注入（SSTI）酬載開始，並加入特定觸發內容，引導請求進入含有漏洞的處理流程。受害者要是從HuggingFace等模型平臺下載並載入該惡意模型，只要後續有請求送至/v1/rerank端點，SGLang就可能讀取並套用模型內的chat_template，使惡意酬載在伺服器上執行。攻擊者一旦成功利用此漏洞，便可能取得SGLang服務的執行權限，導致主機遭入侵、橫向移動、資料外洩或阻斷服務（DoS）等風險。</p> <p>CERT/CC建議，應將_get_jinja_env()函式中的jinja2.Environment()替換為ImmutableSandboxedEnvironment，阻絕任意程式碼執行的可能性。凡是將/v1/rerank端點對外部或不受信任網路開放的SGLang部署，均屬高風險環境，應優先採取緩解措施或評估暫時關閉該端點。</p> </div></div></div>
4/21 19:10作者李建興https://www.ithome.com.tw/news/175219
新竹物流部分資訊系統遭網攻，服務停擺兩天引起民眾關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來駭客針對物流公司與運輸公司發動攻擊的情況，不時有事故傳出，這些事故大部分發生在國外，如今有臺灣物流公司因遭遇攻擊而導致服務中斷，引起外界關注。</p> <p>4月17日新竹物流傳出因系統當機造成多項服務中斷，<strong><a href="https://newtalk.tw/news/view/2026-04-18/1030469">該公司原本承諾當天下午就會陸續恢復</a></strong>，用戶卻發現相關異常延續至18日下午。用戶存取新竹物流的網站，會看到系統緊急修復的公告。有人抱怨出貨與收貨受到影響，也有人取得客服的對話內容，指出該公司雲端伺服器遭到網路攻擊。此外，有媒體報導指出，<strong><a href="https://news.tvbs.com.tw/life/3181772">許多新竹物流的司機因此無法正常配送貨物</a></strong>，只能在營業所待命。</p> <p>對此，新竹物流在網站上發出公告，指出他們4月17日遭到網路攻擊，該公司<strong><a href="https://mops.twse.com.tw/mops/#/web/t146sb05?companyId=2619">也在MOPS公開資訊測站說明此事</a></strong>，並強調根據初步評估，對公司營運無重大影響。新竹物流<strong><a href="https://udn.com/news/story/7320/9452432">於20日上午到臺北市刑事警察大隊報案</a></strong>，由科技犯罪偵查隊受理調查。我們也向新竹物流致電進一步詢問，不過至截稿之前未收到回應。</p> <p><a href="/sites/default/files/images/KfCW0pUK1A.jpg" target="_blank"><img alt="" src="/sites/default/files/images/KfCW0pUK1A.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，新竹物流迄今只有承認這起事故是網路攻擊造成，並未說明事故發生的過程，或是受到影響的規模。值得留意的是，新竹物流僅公開發行股票，並未上市或上櫃，不過，他們還是發布股市重大訊息來證實此事。</p> </div></div></div>
4/21 16:55作者周峻佑https://www.ithome.com.tw/news/175216
臺灣港務公司推動智慧港口轉型，以AI與數據強化港口營運韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在全球供應鏈重組與淨零轉型壓力下，港口正從傳統基礎設施，轉型為高度數據化驅動的智慧營運場域，掌管國內9大港口的臺灣港務公司資訊處資深副處長林欣緯指出，當前港口面臨的兩大核心挑戰正是AI與ESG，「這些都是必要性的壓力，所以不得不為」。</p> <p>林欣緯說明，臺灣港務公司管理全臺9個港口，包括基隆港、臺北港、臺中港、安平港、花蓮港、高雄港、蘇澳港7個國際商港，以及布袋港、澎湖港2個國內商港，涵蓋貨櫃、散雜貨與郵輪觀光等多元業務，不僅牽動國內經濟，也直接連結國際供應鏈。舉凡民眾的食、衣、住、行、育、樂，例如身上穿的衣服、上班開的汽車，都和港口有關，突顯港口在國家經濟中的關鍵角色。</p> <p><img alt="" src="/sites/default/files/images/20260410_133505.jpg" style="width: 600px; height: 450px;" /></p> <p>然而，港口是國際貿易關鍵節點，牽動供應鏈與經濟發展，港口營運涉及船舶進出、裝卸、報關、運輸與多方業者協作，不僅流程高度複雜，且營運上面對中央、地方、業者與國際業者等多方利害關係人，龐大且複雜的流程，每天大量出入港口的人員、車輛、船舶、貨物、機械，例如郵輪停靠，數千名旅客上下船的出入管理，帶來龐大港務管理壓力，也是驅動港口數位轉型的動力。</p> <p><span style="color:#B22222;"><strong>上雲提升營運韌性、應對資安攻擊</strong></span></p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(34).JPG" style="width: 600px; height: 383px;" /></p> <p>在港口ESG的E(環境)、S(Social)、G(治理)三個方面，林欣緯列出臺灣港務公司在ESG的相關作為，包括環境永續、社會包容與共榮、公司治理等等。</p> <p>臺灣港務公司近幾年推動數位轉型，結合ESG永續發展推動雙軸轉型。其中數位轉型部分，推動平臺化與雲端化發展為關鍵之一。平臺化部分，港務公司建置「港站服務網（MTNet）」，以整合資料與流程；近幾年該公司也將原本部署於本地機房的核心系統逐步上雲，其目的是提升營運韌性。港口屬於高度依賴即時資訊的營運場域，一旦系統發生中斷，將直接影響船舶調度、貨物流通與通關效率，「主機不能掛」成為營運韌性的最基本要求。相較於集中在本地機房，雲端架構可提供更高的備援能力與服務穩定性。</p> <p>另一個原因則是強化對資安攻擊的防護能力。作為關鍵基礎設施的一環，港務系統經常會面臨外部攻擊壓力。林欣緯提到，目前系統每月承受高達上百萬次的DDoS攻擊，透過導入雲端平臺可借助其分散式架構與大型防護機制，有效提升整體防禦能力，減輕內部維運負擔。</p> <p>另外，上雲也為後續AI與資料應用奠定基礎。由於港口營運涉及龐大且分散的資料來源，包括船舶、貨物、車流、環境與能源等資訊，透過雲端平臺更容易進行整合與擴充。資料正是發展AI應用的關鍵基礎，未來無論是預測分析、自動化決策或跨系統整合，都需要仰賴具備彈性與擴展能力的運算環境。</p> <p>在智慧港口應用上，港務公司已導入多項數據與AI技術。例如，港區內每天進出的龐大車流管理，他們透過影像辨識與RFID技術，每日處理約3萬筆車輛進出，辨識準確率達99%以上，取代過去人工紙本作業。船舶管理方面，則透過VTS(船舶交通服務系統）整合雷達、感測器與氣象資料，進行航道監控與碰撞預警。</p> <p><span style="color:#B22222;"><strong>AI推動策略：從工具到文化</strong></span></p> <p>在AI推動策略上，港務公司並未採取集中式開發，而是向內部普及。林欣緯強調，我們目標不是讓資訊部門來做AI，而是希望建立「全民AI」，即每個人都能用AI，透過工具與訓練，讓各部門自行發展應用。目前內部已累積近200小時培訓時數，從基層到高階主管皆參與其中。</p> <p>港務公司也將AI應用於港口營運場景，包括不明船舶偵測、航道的異常預警、氣象、防災與營運分析等，進一步提升預測與決策能力。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(36).JPG" style="width: 600px; height: 430px;" /></p> <p>特別是每天港口出入的大量船隻，航道監測管理相當重要，例如偵測不明船舶靠近敏感水域、判斷船舶是否偏離航道、偵測違規行為（停留、超速）等等。</p> <p><span style="color:#B22222;"><strong>不只用AI提升港口營運效率，還能兼顧韌性及環境治理</strong></span></p> <p>在實際營運面上，港務公司也將AI導入貨物裝卸流程中。以貨櫃與散雜貨作業為例，透過影像辨識與自動化技術，系統可輔助辨識貨物類型、位置與裝卸狀態，並協助起重機進行更精準的吊掛作業。林欣緯形容貨櫃裝卸「就像夾娃娃」，需要極高精度與穩定度，特別是在處理重量龐大、形態不規則的貨物時，AI可有效降低人為操作風險，提升整體作業效率。</p> <p>在永續管理方面，港務公司建置環境監測與分析系統，持續蒐集港區空氣品質、水質與噪音等數據，並透過資料分析找出污染熱區與異常來源。這些數據不僅用於日常監控，也能在外界關注環境議題時即時回應。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(35).JPG" style="width: 600px; height: 418px;" /></p> <p>林欣緯指出，透過長期資料累積與分析，甚至回推污染可能來源，「例如某些區域長期出現異常，就有機會判斷附近是否存在特定污染源」，使港口營運管理單位在面對環保與社會壓力時更具主動性。</p> <p>此外，面對高耗能的港口營運環境，透過導入智慧能源管理系統，運用數據分析與儲能技術進行用電最佳化。系統可依據用電需求與電價變化進行調度，在電價較低時儲存電力，於尖峰時段釋放使用，達到削峰填谷效果，不僅降低能源成本，也提升供電穩定性。林欣緯強調，穩定的能源供應對港口至關重要，一旦系統因斷電中斷，將直接影響營運與資料完整性，因此透過智慧能源管理，同時兼顧效率與韌性，也是推動ESG的重要一環。</p> <p>最後，他強調AI與ESG並非對立，而是可以相輔相成，「因為有這些更簡單的做法，讓我們把心力放在對環境更有益的事情上」。他強調，港務公司未來將朝向數據驅動與高韌性營運發展，並以此提升國際競爭力，與全球港口接軌。</p> </div></div></div>
4/21 18:10作者蘇文彬https://www.ithome.com.tw/news/175217
微軟針對終止支援的舊版Exchange與Skype for Business發布第二階段ESU，延長安全更新至2026…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對已終止支援的Exchange Server 2016/2019與Skype for Business Server 2015/2019，<a href="https://techcommunity.microsoft.com/blog/exchange/announcing-period-2-exchange-20162019-extended-security-update-esu-program/4511603" target="_blank">微軟宣布推出</a>第二階段延伸安全更新（<wbr></wbr>Extended Security Update，ESU）計畫。</p> <p>微軟表示，上述產品<a href="https://www.ithome.com.tw/news/170150" target="_blank">第一階段ESU</a>即將於2026年4月底結束，<wbr></wbr>但部分客戶反映需要更多時間完成遷移至Exchange訂閱版本<wbr></wbr>（Exchange Subscription Edition，SE）或轉向Microsoft Teams，因此推出第二階段ESU。</p> <p>根據官方說明，<wbr></wbr>第二階段ESU自2026年5月起至10月底為止，為期6個月。<wbr></wbr>欲參與該計畫的客戶需重新購買ESU合約，<wbr></wbr>且不會自動延續第一階段授權。未購買第一階段ESU的客戶，<wbr></wbr>也可直接購買第二階段。</p> <p>微軟指出，此ESU計畫並不代表延長產品生命週期，<wbr></wbr>相關伺服器仍屬於終止支援狀態，<wbr></wbr>除非問題直接涉及ESU期間釋出的安全更新（Security Update，SU），否則無法取得技術支援服務。</p> <p>在更新提供機制上，微軟說明僅在出現關鍵（Critical）<wbr></wbr>或重要（Important）等級的安全問題時，<wbr></wbr>才會釋出安全更新，且未承諾在此期間一定會發布更新內容。<wbr></wbr>相關更新僅提供給已購買ESU的客戶。</p> <p>Skype for Business Server 2015與2019的<a href="http://techcommunity.microsoft.com/blog/skype_for_business_blog/announcing-%e2%80%9cperiod-2%e2%80%9d-for-skype-for-business-server-20152019-extended-security-u/4511619" target="_blank">第二階段ESU條件</a>與Exchange Server相同，包括需重新購買授權、更新不保證提供，<wbr></wbr>以及計畫結束後不再延長。</p> </div></div></div>
4/21 17:03作者王珮瑤https://www.ithome.com.tw/news/175218
兩個月前AI公司Context遭竊資軟體攻擊，疑為雲端開發平臺Vercel資料外洩事故的導火線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端開發平臺Vercel近日表示<strong><a href="https://www.ithome.com.tw/news/175209">因受到LiteLLM供應鏈攻擊波及，他們的內部環境遭到入侵</a></strong>，駭客滲透其中一名員工使用的第三方AI工具Context.ai而得逞。不過，為何駭客能夠滲透這名員工的工具？有資安公司透露，原因是Context在兩個月前遭遇竊資軟體攻擊。</p> <p>威脅情報公司HudsonRock指出，Vercel資安外洩事故的源頭，<strong><a href="https://www.hudsonrock.com/blog/6335/">可追溯到今年2月Context遭遇竊資軟體Lumma Stealer攻擊</a></strong>。根據他們的調查，一名具有敏感存取權限的Context員工，疑似為了尋找遊戲外掛，特別是Roblox的自動掛機指令碼與執行工具，導致電腦被感染了Lumma Stealer，導致大量企業憑證外流。值得留意的是，這名員工受害之前，Context.ai還有發生一次竊資軟體攻擊。根據這些攻擊的跡象，HudsonRock研判攻擊者很有可能就是ShinyHunters。</p> <p>駭客從這名Context員工的電腦裡，挖掘Google Workspace憑證，以及Supabase、Datadog、Authkit的金鑰與帳密資料。部分資訊相當敏感，其中一個是[email protected]帳號，這些開發成員與管理工具的曝光，讓駭客能夠提升權限、繞過該公司的初期資安防線，並轉向Vercel的基礎設施。</p> <p>值得留意的是，在Vercel發布資安公告後，<strong><a href="https://context.ai/security-update">Context也發出聲明</a></strong>，表示該公司於3月察覺AWS環境遭未經授權存取的事故，當時該公司委託資安公司CrowdStrike進行調查，通知受影響的客戶，並關閉AWS環境與相關資源，全面棄用消費端的產品。</p> <p>近日Context根據Vercel提供的情報再度進行內部調查，他們發現上述事故駭客疑似也滲透部分消費端用戶的OAuth權杖（Token），然後透過這些OAuth權杖存取Vercel的Google Workspace。</p> <p>Context強調，Vercel並非他們的客戶，不過至少有1名員工透過公司的Google Workspace帳號，註冊Context的消費型服務AI Office Suite，並授予全部同意（Allow All）的權限。</p> <p>針對上述資安事故的影響範圍，Context表示僅限於AI Office Suite等消費型產品，企業級產品不受影響，Bedrock用戶不受影響。該公司也提及AI Office Suite已經棄用，他們將直接聯絡受影響的用戶。</p> </div></div></div>
4/21 15:33作者周峻佑https://www.ithome.com.tw/news/175214
歐盟發包1.8億主權雲合約給4家本地雲端供應商，減少對美科技依賴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_26_833" target="_blank">歐盟執委會宣布</a>上週主權雲標案完成結標，發包給了4家歐洲雲端供應商，允許歐盟機構、組織部門、辦公室和局處未來6年最可採購1.8億歐元的主權雲服務，藉此減少對美國或其他國家的技術依賴度。</p> <p>4家獲得合約的雲端供應商包括盧森堡的Post Telecom、德國的StackIT、法國Iliad資料中心部門Scaleway及比利時Proximus等。其中Post Telecom將和法國的CleverCloud及OVHcloud合作，而Proximus則和Thales及Google Cloud合資公司S3NS、以及盧森堡Clarence和法國Mistral合作。</p> <p>歐盟執委會表示，本次招標是歐盟實現確保主權、強化對關鍵技術和基礎架構的策略性計畫的一環。歐盟在2025年10月公布雲端主權框架（Cloud Sovereignty Framework），涵括數位主權的策略、法律、營運、環境考量及供應鏈透明度、科技開放性、安全及遵從EU法規等8個目標，並於同月根據「雲端III動態採購系統」（Cloud III DPS）啟動招標。歐盟表示，這次同時發包了4項合約，是為了確保多元性、彈性、以及避免過度依賴單一業者。</p> <p>這些供應商必須滿足條件限制，確保非歐盟的第三方廠商對其用的技術或提供的服務，只能有部分控制權。歐盟執委會帶頭宣導各級部會使用歐盟自己的雲，以落實數位主權，也希望這次招標鼓勵整個雲端業遵守歐盟標準和價值觀。</p> <p>歐盟執委會正在確定雲端主權框架的更新版本，包含進行主權評估的具體標準，提供希望能借鏡歐盟作法的實體。</p> <p>歐盟委員會也正在製訂科技主權（Tech Sovereignty）統包式法案。該統包法包括開源戰略、《晶片法案2》、《能源領域數位化和人工智慧戰略路線圖》以及《雲端運算和人工智慧發展法案the Cloud and AI Development Act》（CADA）。CADA也將調和如何在單一市場內的雲端和AI運算服務落實主權，旨在提供各會員國採購，以及業者參與標案的指導原則。</p> <p>在川普上任後，歐盟各國更加意識到對Google、微軟與Amazon等美國科技業者的依賴風險。除此之外，歐盟也推行<a href="https://www.ithome.com.tw/news/168951" target="_blank">了歐盟漏洞資料庫EUVD</a>，並即將推出自己的<a href="https://www.ithome.com.tw/news/175145" target="_blank">線上年齡驗證App</a>。</p> </div></div></div>
4/21 14:48作者林妍溱https://www.ithome.com.tw/news/175213
GitHub原生支援堆疊式PR工作流程，提供gh stack CLI與PR堆疊檢視
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub宣布原生支援<a href="https://github.github.com/gh-stack/">堆疊式拉取請求（Stacked Pull Requests）</a>工作流程，並同步提供名為gh stack的GitHub CLI擴充工具，以及PR頁面的Stack Map介面。此功能目前處於私人預覽階段。</p> <p>堆疊式PR是將大型程式碼變更拆分為多個相互依賴拉取請求的開發方式。在這個結構中，最底層的PR以Main為目標分支，其上每一層PR則以下一層的分支為基底，形成有序的相依鏈。每個PR各自代表一個可獨立審查的原子性變更，讓審查者能逐層檢視，而不必面對一次性提交的大量程式碼。</p> <p>過去GitHub並未原生支援此工作模式，開發者若要採用堆疊式PR，往往需要採用第三方工具，或手動處理繁瑣的分支同步與重定基底（Rebase）作業。</p> <p>此次官方整合方案包括PR介面與本地開發兩部分，在PR介面方面，當一個PR屬於某個堆疊時，頁面頂部會顯示Stack Map，呈現整個堆疊的結構與各層狀態，並支援單點導覽至任意層。規則與CI的執行邏輯也有所調整，堆疊中各PR的合併條件，會以最底層PR的基底分支為準，通常就是Main，因此分支保護規則與CI檢查，都會對堆疊中的每一個PR生效，而不只限於最底層PR。</p> <p>堆疊中的PR必須由下而上依序進行，支援直接合併與合併佇列兩種方式。直接合併時，系統會在所有條件滿足的前提下，將該PR及其下方尚未合併的PR一併處理。合併佇列方面則具備堆疊感知能力，要是最底層PR被移出佇列，其上所有PR也會一同移除。</p> <p>自動化Rebase是此功能的另一個重點。過去手動管理多個相依分支的Rebase作業是堆疊式PR最耗時的環節，GitHub在PR介面加入Rebase按鈕，可對整個堆疊執行連動Rebase，而CLI端則對應gh stack rebase指令，執行相同的本地操作。當底層PR完成合併後，其餘分支也會自動Rebase，確保下一個PR直接對準Main，可立即進行審查與合併。</p> <p>gh stack CLI提供本地開發端完整的工作流程支援，涵蓋從建立分支、推送至遠端、建立或更新PR，以及在各層之間切換導覽的完整操作。GitHub說明，使用堆疊式PR並不強制要求安裝CLI，但CLI能有效簡化整體流程。</p> </div></div></div>
4/21 14:51作者李建興https://www.ithome.com.tw/news/175210
看好基於ePBF的執行期防護與韌體分析市場，義大利商Exein豋臺設立亞太營運中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鎖定臺灣在全球科技製造供應鏈的關鍵地位與資安需求，義大利物聯網安全Exein近日在臺舉辦記者會，宣布設立亞太營運中心暨臺北辦公室，展現搶攻臺灣與亞太商機的企圖心。</p> <p>隨著歐盟網路韌性法案(CRA) 的推動，裝置端資安成為全球焦點。Exein強調，看好臺灣及亞太製造商對Security by Design的需求，將推動安全左移概念，協助臺灣製造商從開發源頭植入防護機制，確保產品符合國際合規標準。</p> <p>在這場記者會上，Exein更揭露已與聯發科（MediaTek）、信驊科技（ASPEED）等指標性臺廠展開深度合作，共同強化嵌入式資安防護。</p> <h2><span style="color:#B22222;"><strong>聚焦嵌入式資安，主打基於eBPF與輕量化的執行期防護</strong></span></h2> <p>隨著物聯網資安日益受到重視，Exein執行長Gianni Cuozzo指出，他於2018年創立Exein的初衷，就是期望克服嵌入式系統長期存在的安全挑戰，避免同樣的漏洞問題一再出現。他認為，將資安機制導入產品設計與開發流程（Security by Design），正是解決此問題的關鍵。</p> <p>針對此一需求，Exein已經推出兩大核心產品線：一是提供執行期防護的Exein Runtime，二是專注於韌體分析與合規的Exein Analyzer。</p> <p>這些解決方案有哪些獨到之處？以Exein Runtime而言，該技術能直接嵌入裝置與韌體中，透過AI驅動的執行階段防護（Runtime Protection），即時偵測異常行為與潛在威脅。這不僅能協助製造商抵禦攻擊，也能確保產品符合全球日益嚴苛的資安法規要求。</p> <p>對於實際應用案例，Exein亞太暨日本副總裁莊景明指出，該公司已展現積極的臺廠合作成果。例如，2025年與聯發科（MediaTek）Genio平臺整合，提供即時威脅偵測與自動化漏洞通報機制；2026年初更進一步與信驊科技（Aspeed）合作，將Exein Runtime整合至其遠端伺服器管理晶片（BMC）。這些合作計畫，突顯臺灣半導體與硬體業者對嵌入式資安的迫切需求。</p> <p><a href="/sites/default/files/images/（圖5）Exein Runtime_Mediatek Tenio 720_攝影李宗翰-1.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Exein%20Runtime_Mediatek%20Tenio%20720_%E6%94%9D%E5%BD%B1%E6%9D%8E%E5%AE%97%E7%BF%B0-1.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖4）Exein Runtime_Aspeed AST2600 EVB_攝影李宗翰-1.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Exein%20Runtime_Aspeed%20AST2600%20EVB_%E6%94%9D%E5%BD%B1%E6%9D%8E%E5%AE%97%E7%BF%B0-1.jpg" style="width: 600px;" /></a></p> <p>然而，令我們好奇的是，執行期保護概念存在已久，Exein在技術上究竟有何不同？</p> <p>Gianni Cuozzo表示，其技術核心優勢在於對Linux系統底層eBPF的運用，採基於eBPF技術的Linux安全模組（LSM），藉此提供精細的可觀測性與政策執行能力。</p> <p>他進一步解釋，這與一般的容器安全方案不同，Exein的方案是針對資源受限且環境多變的嵌入式裝置所設計。例如，在MCU環境中，Exein透過在編譯期注入監控邏輯，無需在執行期修改程式碼來實現防護；在Linux環境下，則是透過eBPF在核心層級介入，監控核心產生的事件，結合行為異常偵測與規則式偵測實現威脅識別。</p> <p><a href="/sites/default/files/images/（圖6）Exein Runtime_ePBF.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Exein%20Runtime_ePBF.jpg" style="width: 600px;" /></a></p> <p>由於我們曾報導eBPF技術受<a href="https://www.ithome.com.tw/news/166037" target="_blank">Cisco</a>、<a href="https://www.ithome.com.tw/news/165682" target="_blank">CNCF</a>看重的趨勢，Exein對此也分享了他們的觀察，並強調這項技術架構在嵌入式安全中同樣具有極高的重要性。</p> <p>Gianni Cuozzo指出，傳統防禦多為反應式，往往在攻擊發生後才進行偵測，而Exein以eBPF為基礎，搭配該公司近期發表的Photon技術實作，便可做到整合於核心層級的主動式防禦，在攻擊行為造成影響前，即時攔阻可疑指令執行。</p> <p>他強調，在未來機器對機器的高速攻擊場景下，傳統防禦的反應速度已難以跟上，而Photon的優勢在於能提供機器等級的防禦速度，在損害發生前預先切斷攻擊鏈。</p> <p>輕量化是嵌入式安全的另一關鍵。莊景明指出，以信驊的BMC晶片為例，Exein將「韌體資源占用（Footprint）」大幅優化約70％，從2MB縮減至600KB，並持續朝400KB邁進，以適應BMC等晶片對ROM空間的限制。</p> <p>畢竟，邊緣運算或 IoT 裝置不像伺服器擁有充裕資源，因此Exein強調將CPU占用率控制在1％以下。莊景明強調，目前該方案已是全球最輕量的選擇之一，並且仍持續追求更極致的輕量化表現。</p> <p><a href="/sites/default/files/images/（圖1）Exein亞太暨日本副總裁莊景明_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Exein%E4%BA%9E%E5%A4%AA%E6%9A%A8%E6%97%A5%E6%9C%AC%E5%89%AF%E7%B8%BD%E8%A3%81%E8%8E%8A%E6%99%AF%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><span style="color:#B22222;"><strong>看準CRA商機，推動韌體掃描與AI合規工具</strong></span></h2> <p>韌體分析是另一市場焦點，過去幾年已有幾家業者布局此技術。回顧兩年前，我們曾在臺灣資安大會AIoT展區注意到相關態勢。例如， Keysight於2023年底併購韌體分析業者Firmalyzer，將其技術整合至IoT資安評估方案。還有Eclypsium與Binarly等業者，過去也曾多次揭露臺廠設備的韌體漏洞。</p> <p>Exein在前幾年亦發表Exein Analyzer搶攻韌體分析市場。莊景明指出，該產品設計的核心考量在於化解客戶最在意的「信任」問題。他解釋，許多企業對於將韌體或二進位檔（binary）交付給第三方分析仍感猶豫，擔心技術外洩。對此，Exein Analyzer採用SaaS模式，並部署於AWS環境，強調客戶無需提供原始碼，僅需上傳韌體或二進位檔即可進行深度掃描。</p> <p>至於實際運作流程，莊景明表示，客戶上傳韌體後，系統可以自動執行掃描並產出報告，根據實測經驗，平均約20至30分鐘即可完成一次完整的掃描，協助企業快速掌握韌體的安全狀態。</p> <p>此外，Exein Analyzer亦內建AI Compliance Tool，能自動化處理韌體與產品文件在法規合規上的工作。這顯然也是Exein看好臺廠需求的核心原因之一，隨著歐盟網路韌性法（CRA）即將正式施行，身為全球硬體供應鏈關鍵角色的臺灣製造商，正首當其衝地面臨前所未有的國際合規壓力。</p> <p><a href="/sites/default/files/images/（圖2）Exein亞太暨日本副總裁莊景明_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Exein%E4%BA%9E%E5%A4%AA%E6%9A%A8%E6%97%A5%E6%9C%AC%E5%89%AF%E7%B8%BD%E8%A3%81%E8%8E%8A%E6%99%AF%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>義大利嵌入式資安廠商Exein於去年底完成1億歐元融資。針對日後布局，Exein亞太暨日本副總裁莊景明表示，4月設立臺北辦公室後，將以臺灣為起點拓展亞洲版圖。接下來計畫在日本設點，聚焦車用與醫療等產業，並逐步布局中、韓市場。</strong></span></p> <p><a href="/sites/default/files/images/（圖3）Exein Runtime Security_built into every device_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Exein%20Runtime%20Security_built%20into%20every%20device_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>Exein於現場展示其執行期防護方案Exein Runtime的合作成果，當中有多項是臺廠產品，包含聯發科（MediaTek）、信驊科技（Aspeed）研揚科技（Aaeon）與利凌企業（Lilin）的產品。</strong></span></p> <p> </p> </div></div></div>
4/21 12:25作者羅正漢https://www.ithome.com.tw/news/175206
FBI發布2025年網路犯罪報告：年損失突破208億美元，AI助長詐騙，勒索軟體持續影響關鍵基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由美國聯邦調查局（FBI）主導的網路犯罪通報中心（<wbr></wbr>Internet Crime Complaint Center，IC3）<a data-saferedirecturl="https://www.google.com/url?q=https://www.fbi.gov/news/press-releases/cryptocurrency-and-ai-scams-bilk-americans-of-billions&source=gmail&ust=1776832245246000&usg=AOvVaw1LLJT_CgIGl1OjyIM2Fiy4" href="https://www.fbi.gov/news/press-releases/cryptocurrency-and-ai-scams-bilk-americans-of-billions" target="_blank">發布2025年網路犯罪投訴報告</a>（IC3 Annual Report），指出全年接獲逾100萬件網路犯罪通報，<wbr></wbr>相關損失達208億美元，較2024年成長26%，再創新高，<wbr></wbr>顯示網路犯罪對企業營運與整體社會的衝擊持續擴大。</p> <hr /> <p><a href="https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf" target="_blank"><img alt="" src="/sites/default/files/images/0421-FBI-report.png" style="width: 500px;" /></a></p> <hr /> <p>值得注意的是，IC3成立近25年來，<wbr></wbr>首次在年度報告中納入AI專章，<wbr></wbr>凸顯AI已從新興技術轉變為影響網路犯罪型態的重要因素。</p> <p>從犯罪型態來看，投資詐騙仍是最大損失來源，金額約86億美元，<wbr></wbr>其次為商務電子郵件詐騙（Business Email Compromise，BEC）與技術支援詐騙（Tech Support scam）。FBI指出，<wbr></wbr>透過網際網路進行的詐騙活動已占整體損失約85%，<wbr></wbr>顯示攻擊者正大量採用社交工程手法，<wbr></wbr>逐漸取代傳統以漏洞入侵為主的攻擊模式。</p> <hr /> <p><img alt="" src="/sites/default/files/images/0421-BEC-FBI.png" style="width: 600px;" /></p> <hr /> <p>加密貨幣同樣成為詐騙資金流動的主要工具。<wbr></wbr>2025年相關案件損失達113億美元，占整體比例過半。其中，<wbr></wbr>投資詐騙多結合假投資平臺與長期誘騙策略，<wbr></wbr>部分案件甚至涉及東南亞跨國犯罪集團運作，使資金流向更難追蹤，<wbr></wbr>也提高執法單位防堵難度。</p> <p>在AI相關威脅方面，2025年IC3共接獲逾2.2萬件案件，<wbr></wbr>損失約8.9億美元。攻擊者利用生成式AI製作釣魚郵件、深偽（<wbr></wbr>deepfake）內容與語音仿冒（voice cloning）攻擊，使詐騙手法更具可信度。<wbr></wbr>例如在BEC攻擊中，<wbr></wbr>攻擊者可模擬企業高階主管語氣發送匯款指示郵件，<wbr></wbr>大幅提高詐騙成功率。</p> <p><img alt="" src="/sites/default/files/images/0421-AI-FBI.png" style="width: 592px;" /></p> <hr /> <p>從企業資安角度來看，AI的導入也代表攻擊模式出現轉變。<wbr></wbr>攻擊者可快速產生大規模為目標量身打造的內容，並針對特定對象進行精準詐騙，<wbr></wbr>使企業員工更難辨識異常訊息，進一步放大內部風險。</p> <p>在傳統資安威脅方面，勒索軟體仍持續影響關鍵基礎設施。<wbr></wbr>2025年IC3接獲超過3,600起相關通報，損失金額逾3,<wbr></wbr>200萬美元。不過FBI指出，此數據並未納入停機損失、<wbr></wbr>營運中斷、資料重建與第三方應變服務等間接成本，<wbr></wbr>實際衝擊規模可能遠高於統計數字。</p> <hr /> <p><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small;"><img alt="" src="/sites/default/files/images/0421-CI-ransomware-FBI.png" style="width: 600px;" /></span></p> <hr /> <p>從攻擊態勢來看，勒索軟體仍以關鍵基礎設施為主要目標，<wbr></wbr>受影響產業集中於製造、醫療與政府機構，<wbr></wbr>顯示攻擊者持續鎖定對營運中斷高度敏感的組織，<wbr></wbr>以提高勒索成功率。此外，<wbr></wbr>2025年IC3共辨識出63個新的勒索軟體變種，<wbr></wbr>平均每月新增逾5種，顯示威脅持續演化，且攻擊工具快速商品化，<wbr></wbr>降低攻擊門檻。</p> <p>在實際攻擊手法上，駭客多結合資料竊取與勒索雙重策略（<wbr></wbr>double extortion），不僅加密系統，也威脅公開外洩資料，<wbr></wbr>以提高受害組織支付贖金的壓力。另一方面，<wbr></wbr>橫向移動與網路內部擴散能力亦持續強化，<wbr></wbr>使單一入侵點可能迅速擴大為全網影響事件。</p> <p>FBI強調，企業未必完整通報勒索事件或相關損失，<wbr></wbr>使整體統計數據可能被低估。對企業而言，<wbr></wbr>勒索軟體已從單純的資安事件，<wbr></wbr>轉變為影響營運持續性與商譽的重大風險，需從備份策略、<wbr></wbr>網路分段到端點偵測與回應（EDR）等多層面強化防護。</p> <p>在防禦建議方面，FBI強調企業應全面啟用多因素驗證（<wbr></wbr>Multi-Factor Authentication，MFA）、落實最小權限控管，<wbr></wbr>並建立離線備份與網路分段機制，<wbr></wbr>以降低勒索軟體在內網橫向擴散的風險。同時，針對詐騙事件，<wbr></wbr>及早通報對降低損失至關重要。IC3透過「金融詐騙阻斷機制」（<wbr></wbr>Financial Fraud Kill Chain，FFKC），在2025年成功凍結約58%<wbr></wbr>的可疑資金。</p> <p>整體而言，FBI認為網路犯罪正呈現三大趨勢：<wbr></wbr>攻擊手法由傳統技術入侵轉向AI輔助的社交工程、<wbr></wbr>加密貨幣使資金流向更難追蹤，<wbr></wbr>以及攻擊規模與自動化程度持續提升。對企業而言，<wbr></wbr>資安已不僅是IT部門的責任，<wbr></wbr>更是影響營運韌性與財務風險的核心管理議題。</p> <p><span style="font-size:14px;"><a href="http://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf" target="_blank"><span style="color:#696969;">圖片來源／FBI</span></a></span></p> </div></div></div>
4/21 14:13作者王珮瑤https://www.ithome.com.tw/news/175212
雲端開發平臺Vercel資料外洩，起因是員工使用的第三方AI工具遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端開發平臺Vercel傳出遭遇資安事故，有駭客聲稱從該公司竊得一批內部資料，並尋找買家兜售。由於Vercel供應開發人員主機與開發基礎設施的雲端平臺，影響範圍可能非常廣泛。</p> <p>4月19日<strong><a href="https://vercel.com/kb/bulletin/vercel-april-2026-security-incident">Vercel發布資安公告</a></strong>，指出他們的內部系統遭到未經授權存取，有部分用戶未加密儲存的非敏感環境變數遭駭，該公司也通知這些用戶，呼籲立即輪替相關憑證。</p> <p>後續該公司更新部落格文章，指出這起事故是員工使用的第三方AI工具Context.ai被入侵造成，駭客藉此取得權限，接管該名員工的Google Workspace帳號，從而存取部分Vercel環境，以及未標記為敏感層級的環境變數。該公司提到，標記為敏感的環境變數資料，會以不可直接讀取的方式儲存，而這類已經過處理的資料，並未出現遭異常存取的跡象。</p> <p>根據攻擊者活動的速度，以及了解Vercel系統的程度極為詳細，Vercel研判這些駭客的侵入手法相當複雜。該公司已尋求Mandiant與其他資安公司、執法單位、同業及Context.ai，進行合作，以釐清攻擊事故發生的經過。Vercel資安團隊與GitHub、微軟、NPM、Socket合作，確認他們發布的NPM套件未遭竄改或入侵。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/vercel-confirms-breach-as-hackers-claim-to-be-selling-stolen-data/">資安新聞網站Bleeping Computer的報導</a></strong>，Vercel發布資安公告的原因，源於自稱駭客組織ShinyHunters成員的人士於駭客論壇Breachforums表示，他們成功入侵了Vercel，竊得存取金鑰、原始碼，以及資料庫，並有意出售存取Vercel的權限。</p> <p>這名賣家聲稱，買家可取得多名員工的帳號、多個內部部署環境，以及API金鑰，其中包含NPM與GitHub的權杖（Token）。</p> <p>為了取信買家，賣家公布含有Vercel員工資訊的純文字檔，內含580筆記錄，包括姓名、電子郵件信箱，帳號狀態，以及活動時間的戳記。該名賣家公布另一張螢幕截圖，看起來像是Vercel內部的企業儀表板，但相關資料真實性尚未獲得證實。賣家也在Telegram頻道聲稱，他們向Vercel索討200萬美元贖金，換取不將竊得的資料公開。</p> </div></div></div>
4/21 12:48作者周峻佑https://www.ithome.com.tw/news/175209
IETF出現IPv8草案引發爭議，專家質疑缺乏實用性、社群認為偏向研究用途
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2026年4月中旬，網際網路標準制定組織Internet Engineering Task Force（IETF）出現<a href="https://www.ietf.org/archive/id/draft-thain-ipv8-00.html" target="_blank">一份名為IPv8的網路協定草案</a>，引發技術社群與產業專家關注。該提案由研究人員J. Thain提交，試圖探索不同於現行IPv4與IPv6架構的新型網路設計，但外界普遍質疑其實際可行性與採用價值。</p> <p>值得注意的是，IETF草案（Internet-Draft）本身並不代表正式標準提案。根據IETF說明，任何人皆可提交Internet-Draft文件，該文件不代表IETF立場，也不具備標準制定流程中的正式地位，僅屬於早期討論與概念驗證性質。</p> <p>根據IETF發布的草案文件（draft-thain-ipv8-00），IPv8並非單純延伸既有IP位址長度，而是提出一套全新封包格式與位址設計，強調彈性與可擴展性，並試圖重新定義網路節點識別與路由方式。此一設計與現行IP協定（如IPv4與IPv6）的演進邏輯有所不同，也未直接承襲既有相容性架構。</p> <p>不過，<a href="https://cybernews.com/tech/ipv8-proposal-slammed-by-tech-professionals/" target="_blank">科技媒體Cybernews報導</a>，多位網路技術專業人士對此提案表達質疑，認為IPv8缺乏明確的實際應用場景，也未說明如何與現行網際網路基礎設施整合。部分評論指出，在全球仍持續推動IPv6普及的情況下，再提出全新版本的IP協定，可能增加產業混亂，且難以獲得大規模採用。</p> <p>Cybernews亦引述IETF文件狀態說明指出，該草案未獲IETF背書，也未具備正式標準地位。此外，外界亦出現質疑聲音，認為該文件可能帶有AI生成特徵，不過目前尚無官方證實。</p> <p>進一步觀察開發者社群反應，在論壇<a href="https://news.ycombinator.com/item?id=47788857" target="_blank">Hacker News的討論串</a>中，多數使用者將IPv8視為概念性或研究導向的設計，而非短期內可部署的實際協定。有開發者指出，該提案較接近用於驗證新型網路架構或分散式系統的實驗性模型，與現行商業網際網路的需求存在明顯落差。</p> <p>整體而言，IPv8目前仍處於IETF草案初期階段，尚未進入標準化流程的關鍵里程碑。從產業與社群反應來看，此一提案更可能被視為探索未來網路架構的研究方向，而非短期內取代IPv6的實際技術路線。</p> </div></div></div>
4/21 13:20作者王珮瑤https://www.ithome.com.tw/news/175211
藍色起源發射失誤導致衛星報廢，商業發射能力面臨市場檢驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國衛星通訊公司<a href="https://www.businesswire.com/news/home/20260419512905/en/AST-SpaceMobile-Addresses-Todays-Orbital-Launch-of-BlueBird-7-on-the-New-Glenn-Launch-Vehicle" target="_blank">AST SpaceMobile週日（4/19）指出</a>，其搭載藍色起源（Blue Origin）New Glenn火箭發射的BlueBird 7衛星，在任務中被送入低於預期的軌道。雖然衛星成功分離並啟動，但由於高度不足，無法透過自身推進系統維持運行，最終將進行脫軌處理，等同任務失敗。不過，該衛星成本將透過保險理賠回收，並不會對其財務造成太大衝擊。</p> <p>2017年在美國德州成立的AST SpaceMobile，致力於打造全球可直接連接一般智慧型手機的太空行動寬頻網路，透過部署BlueBird系列低地球軌道衛星，提供涵蓋商用與政府應用的通訊服務；過去任務主要透過SpaceX的Falcon 9與印度LVM3火箭發射，此次則首度改由藍色起源執行任務。</p> <p>AST SpaceMobile表示，BlueBird 7原本為其第8顆部署衛星，目前正在生產BlueBird 32，而BlueBird 8至10預計可於30天內出貨，並維持2026年平均每1至2個月發射一次的節奏，目標在年底前部署約45顆衛星。</p> <p>至於藍色起源則是由Amazon創辦人Jeff Bezos在2000年所創立，專注於可重複使用火箭與太空基礎設施開發。New Glenn為其進軍商業發射市場的核心運載工具，企圖與SpaceX競爭商業與政府發射訂單。此外，藍色起源是由Bezos個人所創辦，並非為Amazon子公司。</p> <p>此次任務為New Glenn第三次發射，也是首次承載商業客戶衛星。相較於前兩次以內部測試與政府科學任務為主，本次發射被視為藍色起源正式切入商業發射市場的重要里程碑。此次任務中，火箭第一節已成功回收，但第二節在軌道投送階段出現偏差，使整體任務未能達成主要目標。</p> <p>外界普遍認為，此次失誤雖對AST SpaceMobile的財務影響有限，但可能衝擊市場信心，並為相關時程帶來不確定性。</p> <p>相較之下，市場更關注藍色起源的技術成熟度。火箭發射產業的核心在於「將酬載精準送入目標軌道」，此次錯誤直接觸及最關鍵的能力指標。隨著SpaceX在可重複使用火箭與商業發射市場已建立高度穩定性，藍色起源若無法迅速證明New Glenn的可靠度，恐會在競爭中處於劣勢，或是波及Amazon Leo等衛星計畫的部署節奏。</p> </div></div></div>
4/21 09:37作者陳曉莉https://www.ithome.com.tw/news/175193
蘋果執行長接班人選定案！Tim Cook交棒硬體工程資深副總裁John Ternus，9月上任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.apple.com/newsroom/2026/04/tim-cook-to-become-apple-executive-chairman-john-ternus-to-become-apple-ceo/" target="_blank">蘋果週一（4/20）宣布</a>，將由硬體工程資深副總裁John Ternus接任該公司的新執行長，預計於9月1日上任，屆時Ternus也將進入蘋果董事會。而現任執行長Tim Cook這段期間將協助交接，之後則會出任蘋果董事會的執行董事長。蘋果此一人事異動呼應了日前的市場<a href="https://www.ithome.com.tw/news/173545" target="_blank">傳聞</a>。</p> <p>現年50歲的Ternus畢業於賓州大學機械工程系，於2001年加入蘋果產品設計團隊，並在2013年升任硬體工程副總裁。2021年，他以硬體工程資深副總裁身分加入高階管理團隊。在蘋果任職期間，Ternus負責多項突破性產品的硬體工程工作，涵蓋公司所有產品類別。他在多條新產品線的推出中扮演關鍵角色，包括iPad與AirPods，並參與多代iPhone、Mac與Apple Watch的開發。</p> <p>Ternus還主導蘋果在可靠性與耐用性等領域的發展，引入多項新技術，使蘋果產品在耐用度上顯著提升。他同時推動材料與硬體設計創新，降低產品碳足跡。</p> <p>Ternus表示，他幾乎整個職涯都在蘋果度過，曾受Steve Jobs領導、由Cook指導，並參與打造多項改變人們互動方式的產品，備感榮幸；未來將延續蘋果使命，並以過去半個世紀建立的價值與願景帶領公司。</p> <p>至於現年65歲的Cook是在1998年加入蘋果，於2011年從Jobs手上接下蘋果執行長位置，在擔任執行長15年的期間內，帶領公司年營收成長至超過4000億美元、市值達約4兆美元，較其接任時成長逾20倍；期間推出Apple Watch（2015）、AirPods（2016）與Vision Pro（2024）等新產品線，並強化供應鏈體系。</p> <p>Cook表示，他全心熱愛蘋果，能夠擔任執行長是畢生最大的榮幸，並形容Ternus擁有工程師的思維、創新者的靈魂，以及以誠信領導的特質，是帶領蘋果邁向未來的最佳人選。</p> </div></div></div>
4/21 09:56作者陳曉莉https://www.ithome.com.tw/news/175194
Anthropic長約鎖定AWS 5GW算力，Amazon加碼投資最高250億
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/anthropic-amazon-compute" target="_blank">Anthropic週一（4/20）宣布</a>，已與Amazon簽署新的長期合作協議，將在未來10年投入超過1000億美元採購AWS算力，並取得最高5GW的運算容量，用於訓練與部署Claude模型。雙方同時擴大資本合作，Amazon將先投資50億美元，未來依商業里程碑再追加最多200億美元。</p> <p>根據雙方的協議，在算力及基礎設施上，Anthropic將取得最高5GW運算容量，並採用Amazon自研AI晶片Trainium2、Trainium3與Trainium4，涵蓋現有與未來世代。相關產能將自2026年起陸續上線，包括上半年啟用的Trainium2，以及年底前累計接近1GW的Trainium2與Trainium3算力，用於支撐Claude模型訓練與推論；雙方亦持續擴建由數十萬顆晶片構成的Project Rainier叢集。</p> <p>在雲端策略上，Anthropic則承諾未來10年於AWS投入超過1000億美元，並持續以AWS作為關鍵任務的主要訓練與雲端平臺，同時擴展亞洲與歐洲的推論能力，以支援其全球客戶需求。</p> <p>Claude平臺將直接整合至AWS環境中，企業可透過既有AWS帳號、權限控管與計費機制使用AI服務，無需額外建立憑證或合約；同時，Claude仍維持跨雲部署，可於AWS、Google Cloud與微軟Azure等平臺上運行。</p> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-invests-additional-5-billion-anthropic-ai" target="_blank">Amazon此次</a>將先投資50億美元，並依商業里程碑再追加最多200億美元，加上先前已投入的約80億美元，累計投資規模最高可達330億美元，市場估計其持股落在10%~20%之間。Google則是Anthropic的早期投資者，已投入超過30億美元，外界估計其持股約為14%。</p> <p>日前<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic亦宣布</a>擴大與Google及博通（Broadcom）的合作，在既有的1GW算力合約之外，再取得3.5GW的AI算力資源，這次再與Amazon簽署最高5GW算力合約，顯示其同時在兩大雲端體系建立大規模算力布局，此種跨雲且深度的基礎設施結盟，在AI產業中相對少見。</p> </div></div></div>
4/21 10:15作者陳曉莉https://www.ithome.com.tw/news/175195
AI面試新創平臺Mercor遭供應鏈攻擊，傳言有臺灣企業受影響，已被否認
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月底<strong><a href="https://www.ithome.com.tw/news/174661">Python套件LiteLLM遭遇供應鏈攻擊</a></strong>，駭客團體TeamPCP在PyPI發布遭植入後門的惡意版本1.82.7與1.82.8，由於此套件廣泛用於整合多個大型語言模型（LLM）API的代理服務，影響範圍相當大，後續已有AI新創Mercor透露遭波及，<strong><a href="http://www.aiwhathappen.com/posts/2026-04-11-mercor-data-breach-10b-valuation-crisis/">有網路傳言指出</a></strong>臺灣有多家企業採用而受到影響，對此，104與PChome表示，未有資料庫串接或導入使用，他們並未受到影響。</p> <p>根據<strong><a href="https://www.securityweek.com/mercor-hit-by-litellm-supply-chain-attack/">資安新聞網站SecurityWeek的報導</a></strong>，3月30日駭客組織Lapsus$在網站公布新的受害企業名單，當中包含AI面試新創平臺Mercor。駭客宣稱握有近4 TB的Mercor內部資料，其中原始碼有939 GB、包含AI訓練資料在內的資料庫檔案有211 GB，以及3 TB的其他檔案。另外，駭客強調取得該公司使用的TailScale VPN完整資料。</p> <p>對此，4月1日Mercor<strong><a href="https://x.com/mercor_ai/status/2039101905675403306">於社群網站X發布推文表示</a></strong>，他們是其中一家受到LiteLLM供應鏈攻擊事故影響的公司，該公司的資安團隊迅採取行動因應，遏制攻擊活動並著手修復，並請求第三方鑑識專家支援調查。值得留意的是，Mercor並未進一步說明受影響的範圍，也沒有透露是否出現資料外洩的情況，他們只有提到，LiteLLM事故有數千家公司受到波及。</p> <p>值得留意的是，TeamPCP為了將竊得的憑證與權杖等機敏資料換取經濟利益，他們開始與Lapsus$合作，這或許是Mercor強調遭受LiteLLM事故波及的原因。</p> <p>事隔一週，4月8日律師事務所Schubert Jonckheer & Kolbe<strong><a href="https://www.classactionlawyers.com/blog/mercor">發出聲明</a></strong>，透露這起事故更多細節。他們提到，Mercor確實受到LiteLLM供應鏈攻擊事故影響，Lapsus$後續聲稱手上握有從Mercor竊得的4 TB資料。該事務所指出，外洩的資料可能涉及Slack交談內容、內部工單、Mercor人工智慧系統與平臺承包商之間的對話、個人可識別資訊、員工資料，以及原始碼、API金鑰、密鑰等科技資產。此外，目前Mercor尚未向美國政府通報此事。</p> <p>值得留意的是，國內有<strong><a href="https://www.aiwhathappen.com/posts/2026-04-11-mercor-data-breach-10b-valuation-crisis/">網站指出</a></strong>，臺灣有多家企業採用Mercor而受到影響，該站聲稱，104與CakeResume證實有客戶資料受影響，而且有1家IC設計大廠、2家金融公司、3家電商平臺也受害。對此，我們也向一零四資訊科技和PChome網路家庭進行了解。一零四資訊科技表示，經盤點該公司與Mercor無資料庫串接，故本次事件對104客戶資料並無影響；PChome網路家庭表示並未導入或使用Mercor招募平臺，不受該平臺本身漏洞之直接影響。</p> </div></div></div>
4/21 10:49作者周峻佑https://www.ithome.com.tw/news/175179
OpenAI高層人事動盪，應用、Sora、AI部門主管接連離去
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI高層人事異動再添名單，Sora、科學開發及企業應用主管相繼離職。</p> <p>負責帶領Sora開發的Bill Peebles和科學部門主管Kevin Weil雙雙於X公布離職消息。<a href="https://x.com/billpeeb/status/2045225014807670949" target="_blank">Peebles</a>向部門同事表達感謝，說和團隊從零開始打造Sora是一生的榮幸以及難忘的旅程。他說在2023年7月在外界對1080p解析度multi-shot AI生成影片抱持懷疑之際，其團隊仍然在7個月內達成使命。他也感謝執行長Sam Altman等人型塑友善研究的環境，Sora是一個在其他地方都無法誕生的專案。另一方面，去年9月才由產品長轉任科學部門主管的Kevin Weil也<a href="https://x.com/kevinweil/status/2045230426210648348" target="_blank">公告</a>離職。他說加速推進科學是OpenAI推動AGI最傑出的正面效果之一。就在上週Weil才<a href="https://www.ithome.com.tw/news/175158" target="_blank">公布</a>用於支援生命科學及藥物開發的模型GPT-Rosalind。</p> <p>兩個人是OpenAI致力實現今年底IPO而進行的組織改造中自行離開。為了IPO，公司高層決定將資源集中在開發人員工具及企業導向服務，要員工減少花心力在「不相干」的專案。上個月OpenAI<a href="https://www.ithome.com.tw/news/174651" target="_blank">宣布</a>終止開發Sora，原因是維護這個模型太燒錢，估計一天要花1500萬美元</p> <p>但與公司開發企業導向產品策略一致的部門主管也離職。OpenAI B2B應用開發技術長Srinivas Narayanan本週<a href="https://www.linkedin.com/posts/srinivasnarayanan_after-3-incredible-years-i-am-leaving-openai-activity-7451025653967114240-NW6Y" target="_blank">宣布</a>離職。此前行銷長Kate Rouch則因嚴重健康問題離職。</p> <p>在此之前，還有數位高層人事變動，包括去年由Instacart<a href="https://www.ithome.com.tw/news/168850" target="_blank">延攬來</a>，並具有臉書應用及廣告業務經驗的<a href="https://x.com/fidjissimo" target="_blank">Fidji Simo</a>於上個月因「長新冠」（Long COVID）相關問題請病假。此外，營運長Brad Lightcap轉任「特殊專案」，專注領導複雜交易和投資，據信可能和OpenAI IPO有關。3月份，才由Meta轉戰OpenAI不到半年的硬體部門主管Caitlin Kalinowski，因公司簽下美國國防部AI專案而<a href="https://www.ithome.com.tw/news/174268" target="_blank">宣布</a>離開公司。</p> <p>同時間，OpenAI也找來重要人才，包括英特爾技術長<a href="https://www.ithome.com.tw/news/172181" target="_blank">Sachin Katti</a>以及OpenClaw專案發起人<a href="https://www.ithome.com.tw/news/173981" target="_blank">Peter Steinberger</a>等。</p> </div></div></div>
4/21 11:09作者林妍溱https://www.ithome.com.tw/news/175203
高下載量protobuf.js函式庫爆RCE漏洞，波及gRPC與Firebase套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>JavaScript生態系廣泛使用的Protocol Buffers函式庫protobuf.js<a href="https://github.com/protobufjs/protobuf.js/security/advisories/GHSA-xq3m-2v4x-88gg">揭露</a>嚴重漏洞，CVSS評分9.4。漏洞允許攻擊者透過惡意結構定義（Schema）檔案，在應用程式正常處理訊息時觸發任意程式碼執行。受影響版本為8.0.0，以及7.5.4以下版本，修補版本8.0.1與7.5.5已發布，官方建議立即升級。</p> <p>protobuf.js是JavaScript環境中，處理Protocol Buffers資料格式的主流函式庫，<a href="https://www.endorlabs.com/learn/the-dangers-of-reusing-protobuf-definitions-critical-code-execution-in-protobuf-js-ghsa-xq3m-2v4x-88gg">資安公司Endor Labs研究人員估計</a>，每周protobuf.js在NPM下載量接近5,200萬次，並以傳遞依賴（Transitive Dependency）的形式內嵌於@grpc/proto-loader、Firebase SDK與Google Cloud用戶端函式庫中。</p> <p>protobuf.js採用動態編譯設計，每次載入Schema時，函式庫會根據訊息型別名稱動態生成JavaScript原始碼，再透過Function()建構子執行，以提升執行效能。研究人員指出該漏洞在於，函式庫在修補前未對型別名稱進行任何過濾或驗證，直接將其拼接至生成的程式碼字串中。Function()的行為本質上與eval()相同，要是型別名稱包含惡意內容，即可在字串中插入並執行任意JavaScript指令。</p> <p>漏洞不是在載入Schema時觸發，而是應用程式第一次需要該型別建構子時才會觸發，實務上通常發生在首次解碼、編碼或建立該型別訊息時。</p> <p>要觸發此漏洞，攻擊者需能影響應用程式載入的protobuf定義或描述子，研究人員提到，雖然這聽起來條件有限，但在實務上卻涵蓋多種常見情境。gRPC定義了標準的伺服器反射協定，允許用戶端向伺服器請求Schema定義，若伺服器遭入侵，即可在同一個回應中夾帶惡意型別名稱。此外，企業內部或第三方Schema Registry的存取控制一旦出現缺口，或開發人員在本機載入來源不明的.proto檔案進行除錯，都可能成為攻擊入口。</p> <p>上游修補僅新增一行程式碼，在型別名稱進入程式碼生成流程前，以正規表達式移除所有非英數字與底線以外字元，切斷惡意內容的注入路徑。</p> <p>開發人員可執行NPM ls protobufjs指令確認專案中是否存在該套件，包含傳遞依賴，並依使用的版本升級至8.0.1或7.5.5。要是生產環境不需要在執行時期動態編譯Schema，protobuf.js函式庫官方也建議改用pbjs與pbts工具預先生成靜態程式碼，從根本上縮小攻擊面。</p> </div></div></div>
4/20 20:29作者李建興https://www.ithome.com.tw/news/175184
AWS推出Interconnect託管服務，擴大跨雲與混合雲私有連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS宣布<a href="https://aws.amazon.com/blogs/aws/aws-interconnect-is-now-generally-available-with-a-new-option-to-simplify-last-mile-connectivity/">AWS Interconnect正式上線</a>，這是針對企業跨雲與混合雲網路連線情境設計的託管服務，第一個多雲合作廠商為Google Cloud，Microsoft Azure與Oracle Cloud Infrastructure（OCI）預計於2026年稍晚加入。</p> <p>AWS Interconnect分為多雲（multicloud）與最後一哩連線服務（last mile）兩項功能。AWS Interconnect-multicloud負責AWS VPC與其他雲端平臺VPC之間的私有Layer 3連線，流量經由AWS全球骨幹網路與合作雲端供應商的私有網路傳輸，不通過公共網際網路。AWS Interconnect-last mile則讓企業的分公司、資料中心或遠端據點，透過合作電信業者的既有網路基礎設施建立私有連線至AWS，初期合作業者為Lumen，AT&T與Megaport預計後續加入。</p> <p>建立連線時，使用者可在AWS Direct Connect主控臺選擇目標雲端供應商或電信業者、來源與目的地區域及頻寬需求，主控臺會產生一組啟用金鑰，使用者在對端完成驗證後，路由可在兩側自動傳播，布建流程可在數分鐘內完成。</p> <p>AWS表示，AWS Interconnect－multicloud會在AWS與合作雲端供應商在互連設施之間的實體鏈路上，預設啟用IEEE 802.1AE MACsec加密，AWS Interconnect－last mile也預設啟用MACsec加密，無需使用者另行設定。備援方面，每條連線橫跨至少兩個實體機房的多條邏輯鏈路，單一設備或機房故障不會中斷連線。</p> <p>兩項功能均整合Amazon CloudWatch，每條連線內含Network Synthetic Monitor，可追蹤來回延遲與封包遺失，並提供頻寬使用量指標供容量規劃參考。</p> <p>AWS Interconnect－last mile支援1 Gbps至100 Gbps頻寬，提供至Direct Connect連接埠的99.99%可用性SLA，頻寬可直接從主控臺調整，無需重新布建。服務自動配置四條備援連線，分散於兩個實體位置，並預設啟用BGP路由設定與Jumbo Frame。</p> <p>AWS另將AWS Interconnect－multicloud的底層技術規格以Apache 2.0授權公開於GitHub，其他雲端業者可依規格實作，並申請成為其合作夥伴。</p> <p>AWS Interconnect－multicloud與last mile兩項功能均依用戶所選頻寬等級收取固定時費，按小時比例計算。跨地區對的費率會因區域組合而異，要是搭配AWS Cloud WAN進行全球路由，整體部署成本也會受到跨區流量路徑影響。</p> <p>目前AWS Interconnect-multicloud已在5組區域配對上線，分別是US East（N. Virginia）至Google Cloud N. Virginia、US West（N. California）至Google Cloud Los Angeles、US West（Oregon）至Google Cloud Oregon、Europe（London）至Google Cloud London，以及Europe（Frankfurt）至Google Cloud Frankfurt。AWS Interconnect-last mile目前僅限US East（N. Virginia），後續將擴展至更多地區。</p> </div></div></div>
4/20 20:35作者李建興https://www.ithome.com.tw/news/175185
新加坡示警先進AI模型恐改變漏洞利用節奏，要求銀行與關鍵基礎設施加速補強防線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月15日，<a href="https://www.csa.gov.sg/alerts-and-advisories/advisories/ad-2026-004/" target="_blank">新加坡網路安全局（Cyber Security Agency of Singapore，CSA）發布資安警示</a>，提醒當地企業與關鍵資訊基礎設施營運單位，先進AI模型（Frontier AI Models）已具備大規模分析程式碼與發掘弱點的能力，並可能加快漏洞利用流程，將原本需耗費數月的作業縮短至數小時內完成。</p> <p>這波警示與美國AI新創Anthropic測試新一代模型Claude Mythos有關。<a href="https://www.ithome.com.tw/news/175081" target="_blank">該模型已引發金融業</a>對資安風險的高度關注，並受到美國、英國與加拿大監理機關關切。<a href="https://www.ithome.com.tw/news/174898" target="_blank">Anthropic指出</a>，該模型在漏洞分析與程式碼理解方面的能力已有明顯提升，並透過Project Glasswing提供部分企業測試，主要用於防禦用途。</p> <p>CSA在公告中將防護建議區分為「立即措施」與「長期強化方向」。前者著重於快速降低曝露風險，包括優先修補對外系統的重大與高風險漏洞、關閉不必要的對外服務與連接埠、盤點並隔離開發與測試環境，以及在管理介面與雲端管理主控臺全面啟用多因素驗證（Multi-Factor Authentication，MFA）。CSA指出，這些對外系統與管理介面最容易遭自動化工具掃描，一旦遭入侵，影響範圍可能擴及整體系統。</p> <p>相較之下，長期強化方向則聚焦於提升整體防禦韌性，例如導入網路分段與縱深防禦（defence-in-depth）架構、持續監控網路流量與使用者行為、縮短漏洞修補與核准流程，以及強化帳號權限控管與供應鏈安全管理。CSA強調，在先進AI可能加速攻擊流程的情況下，企業若缺乏持續修補與監控能力，將更難即時因應威脅變化。</p> <p>值得注意的是，CSA特別提及應利用AI識別漏洞，呼籲企業應建置自動化處理的AI輔助式弱點偵測系統，以便針對整體IT基礎架構進行持續掃描，以及辨別系統的組態設定不當、強度不足的身分驗證方式，與各種可濫用的弱點，而且，這些工具需能充分因應有AI助力的網路攻擊速度與規模，提供超越傳統手動資安稽核的即時弱點評估能力。</p> </div></div></div>
4/20 19:07作者王珮瑤https://www.ithome.com.tw/news/175189
【資安日報】4月20日，第三個Microsoft Defender零時差漏洞被揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175159"><strong style="font-size: 22px;">又有第三個Microsoft Defender零時差漏洞被揭露！連同前面兩個皆已傳出用於攻擊活動</strong></a></p> <p><a href="/sites/default/files/images/HGDhYzUWwAAxm2Z.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HGDhYzUWwAAxm2Z.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究員Chaotic Eclipse（在GitHub的名稱為Nightmare-Eclipse）因不滿微軟處理獲報漏洞的做法，先是在4月初公開第一個Microsoft Defender零時差漏洞BlueHammer，微軟在14日發布本月例行更新（Patch Tuesday）修補，並登記為CVE-2026-33825列管，該研究員後續又公布新漏洞RedSun，如今傳出他又公布第三個零時差漏洞，且這些漏洞現在已出現利用活動的跡象。</p> <p>4月17日威脅情報公司Huntress指出，他們發現該名研究員公布的資安漏洞已遭到利用，除了上述已被媒體報導的BlueHammer和RedSun，還有一個叫做UnDefend的新漏洞，也出現攻擊活動。該公司最早於4月10日發現BlueHammer遭到利用，駭客試圖執行FunnyApp.exe觸發漏洞，結果遭到受害電腦的Microsoft Defender攔截與隔離，因而未能成功。</p> <p><a href="https://www.ithome.com.tw/news/175162"><strong style="font-size: 22px;">工作流程自動化平臺n8n遭到濫用，駭客從事網釣活動散布有效酬載</strong></a></p> <p><a href="/sites/default/files/images/AI_flow_automation_attack-chain.jpg" target="_blank"><img alt="" src="/sites/default/files/images/AI_flow_automation_attack-chain.jpg" style="width: 300px; float: right;" /></a></p> <p>思科威脅情報團隊Talos提出警告，他們發現從2025年10月至今年3月，濫用n8n寄送的惡意郵件數量成長686%。駭客濫用n8n的Webhook功能投放惡意郵件，誘使收信人存取需通過圖靈驗證CAPTCHA的釣魚網頁，若是依照指示操作，就會從外部伺服器下載有效酬載，其中包含遠端管理工具（RMM）Datto與ITarian Endpoint Management，駭客將這類工具當作後門來控制受害電腦。</p> <p>由於整個流程封裝在HTML檔案的JavaScript，瀏覽器會以為下載的內容來自n8n的網域。Talos指出，由於n8n的Webhook會隱藏資料的來源伺服器，攻擊者可傳遞來自不受信任來源的有效酬載，但讓資料看起來像是從受信任網域送出；同時，Webhook能根據觸發事件啟動，服務不同的資料流，因此攻擊者還能根據受害者的使用者代理字串（User Agent），量身打造有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/175178"><strong style="font-size: 22px;">Apple帳號變更通知遭濫用，有攻擊者將其用於發送釣魚信件，原廠通知機制反成為攻擊管道</strong></a></p> <p><a href="/sites/default/files/images/apple-account-callback-phishing.jpg" target="_blank"><img alt="" src="/sites/default/files/images/apple-account-callback-phishing.jpg" style="width: 300px; float: right;" /></a></p> <p>國外資安媒體BleepingComputer近日揭露，Apple帳號變更通知被濫用於發送釣魚信件，在看似正常的原廠通知訊息挾帶釣魚詐騙訊息，攻擊者試圖藉此提高信件可信度，增加通過郵件驗證與過濾機制的機率。</p> <p>BleepingComputer指出這些信件的目的，在於誘騙收件人誤以為自身帳戶被盜用於購物，誘使他們撥打詐騙者的支援電話，然後再透過電話進一步詐騙。這類詐騙雖然早已有之，但這次發現的新手法，是攻擊者透過Apple郵件基礎設施寄送釣魚訊息。攻擊者透過建立Apple ID，將釣魚信件內容分拆、填入姓名等欄位，並觸發帳號資訊變更通知郵件。由於系統會在通知訊息中自動帶入前述用戶資料，導致惡意訊息將直接出現在郵件本文，成為正常訊息的一部分，並透過Apple郵件基礎設施寄送，因而可通過SPF、DKIM與DMARC等驗證機制。</p> <p><a href="https://www.ithome.com.tw/news/175169"><strong style="font-size: 22px;">殭屍網路PowMix鎖定捷克企業與求職者發動攻擊，採用隨機C2通訊匿蹤</strong></a></p> <p><a href="/sites/default/files/images/PowMix.jpg" target="_blank"><img alt="" src="/sites/default/files/images/PowMix.jpg" style="width: 300px; float: right;" /></a></p> <p>思科威脅情報團隊Talos揭露殭屍網路PowMix的攻擊活動，駭客冒充連鎖超市Edeka，利用捷克資料保護法或其他監管框架為誘餌，疑似鎖定捷克企業的人力資源（HR）、法務、員工招募部門從事網路釣魚活動，此外，為了降低使用者警覺，駭客也會搭配薪酬資料與合規參考資料，以提升誘餌檔案的真實感。值得留意的是，也有多個產業的求職者遭到攻擊，涵蓋IT、金融、物流領域。</p> <p>PowMix最特別的地方，在於採用了隨機的C2連線，由於Beacon並未持續與C2伺服器連線，而難以透過特徵碼進行偵測，而且，該殭屍網路具備遠端更新C2網域的機制，代表攻擊者能輕易更換C2控制來源。</p> <p><a href="https://www.ithome.com.tw/news/175173"><strong style="font-size: 22px;">Mirai殭屍網路變種Nexcorium綁架TBK DVR設備</strong></a></p> <p>去年7月資安公司Fortinet揭露殭屍網路RondoDox活動，駭客鎖定的其中一類裝置，是TBK的數位監控系統主機設備DVR-4104、DVR-4216，他們在網路上掃描作業系統命令注入漏洞CVE-2024-3721（CVSS風險6.3分），藉此綁架這些裝置並用於DDoS攻擊，如今傳出有其他人馬加入漏洞利用行列。</p> <p>Fortinet近日發現殭屍網路Nexcorium，此為Mirai的變種，駭客團體Nexus Team試圖操弄mdb與mdc功能參數，藉由觸發CVE-2024-3721漏洞，而能下載指令碼，然後根據目標裝置的系統架構，啟動殭屍網路病毒的有效酬載。Nexcorium的架構與大部分Mirai變種相似，包括採用XOR編碼的組態配置資料、監控模組，以及DDoS攻擊模組。</p> <p><a href="https://www.ithome.com.tw/news/175177"><strong style="font-size: 22px;">殭屍網路Condi綁架TP-Link無線路由器，利用已知漏洞進行滲透</strong></a></p> <p>2025年6月，美國網路安全暨基礎設施安全局（CISA）表明TP-Link無線路由器漏洞CVE-2023-33538已遭利用，將其列入已遭利用漏洞名冊（KEV），近日有資安公司透露，當時有人嘗試掃描漏洞，企圖植入Mirai殭屍網路變種。</p> <p>資安公司Palo Alto Networks在CISA發布KEV的期間，偵測到大規模的漏洞利用嘗試，駭客針對特定端點發出GET請求，試圖透過ssid功能參數執行多組命令，從特定IP位址下載ELF二進位檔案，並授予此檔案讀取、寫入，以及執行的權限，然後使用tplink的參數執行二進位檔。根據上述駭客使用的指令，該公司推測是殭屍網路活動。經過進一步分析，此為Mirai的變種Condi。</p> <p><a href="https://www.ithome.com.tw/news/175161"><strong style="font-size: 22px;">惡意軟體ZionSiphon企圖滲透以色列水利設施，恐影響水資源處理與海水淡化</strong></a></p> <p>資安公司Darktrace揭露針對以色列水處理及海水淡化系統的攻擊行動，駭客打造專為操作科技（OT）環境設計的惡意軟體ZionSiphon，主要的目的是破壞氯氣和壓力控制的能力。此惡意軟體結合了權限升級、透過USB裝置散播、掃描ICS設備等功能。根據駭客指定的IPv4位址範圍，再加上惡意軟體的攻擊目標都與以色列國家水利基礎設施相關，且用Base64編碼的字串隱含攻擊者的意識形態口號，並針對水處理與海水淡化系統進行檢查，這些跡象代表攻擊者的目標非常明確，並非隨機尋找存在弱點的OT環境。</p> <p>關於ZionSiphon採用的攻擊手法，Darktrace發現駭客試圖利用通訊協定Modbus從事破壞，竄改氯氣與壓力控制相關的檔案，並對於子網路的ICS設備進行掃描，顯然駭客想直接與工業流程相關的控制設備互動，進而造成重大損害。</p> <p><a href="https://www.ithome.com.tw/news/174933"><strong style="font-size: 22px;">Docker修補重大漏洞，未更新可能導致攻擊者繞過授權機制</strong></a></p> <p>開源容器平臺專案Docker近日發布安全公告，修補AuthZ授權外掛程式（authorization plugin）的重大漏洞CVE-2026-34040，建議用戶盡速修補。</p> <p>這次修補的漏洞CVE-2026-34040，CVSS嚴重性評分達8.8，問題出在AuthZ授權外掛程式處理機制的設計缺陷，攻擊者可透過特製的API請求，導致授權外掛無法正確檢查操作內容，允許原本應被拒絕的請求通過，進而可能導致未經授權的容器操作，會影響29.3以前的Docker Engine版本，解決方法是更新到29.3.1以後版本，若用戶未使用AuthZ外掛程式則不受影響。</p> <p><a href="https://www.ithome.com.tw/news/174901"><strong style="font-size: 22px;">Progress修補ShareFile重大漏洞，未修補可能導致遠端執行程式碼攻擊</strong></a></p> <p>軟體廠商Progress近日發布產品資安公告，修補旗下企業檔案傳輸解決方案ShareFile的兩個重大漏洞，分別涉及繞過身分驗證與遠端執行任意程式碼，而且這兩個漏洞可串聯利用，導致攻擊者控制系統。</p> <p>ShareFile原為Citrix產品，2024年轉手給Progress。這次揭露的兩個漏洞，都是由資安公司watchTowr研究人員發現，第1個漏洞CVE-2026-2699會造成繞過身分驗證問題，CVSS嚴重性評分達9.8分，第2個漏洞CVE-2026-2701則可能導致遠端執行任意程式碼，CVSS嚴重性評分也是9.8分。</p> <p><a href="https://www.ithome.com.tw/news/175144"><strong style="font-size: 22px;">漏洞數暴增263%，NIST縮減CVE分析範圍轉向風險優先</strong></a></p> <p>美國國家標準暨技術研究院（NIST）宣布，因應CVE漏洞的數量在2020年至2025年間暴增263%，將調整其國家漏洞資料庫（NVD）的運作模式，不再對所有漏洞進行完整分析與評分，改採風險優先機制，僅針對已被利用或關鍵系統相關漏洞進行加值處理，且即日起生效。</p> <p>具體而言，NIST將不再全面分析所有漏洞，而是優先處理已被美國網路安全暨基礎設施安全局（CISA）列為已知遭利用漏洞清單（KEV）的項目，目標是在一個工作天內完成分析，同時也會優先處理政府與關鍵系統相關漏洞。</p> <p><a href="https://www.ithome.com.tw/news/174934"><strong style="font-size: 22px;">全球掀起簡訊OTP禁用潮，印度、UAE金融監管新法4月生效</strong></a></p> <p>全球政府禁用簡訊OTP（一次性密碼）的態勢越發顯著，在今年3月舉辦的FIDO臺灣分會活動中，就有電信身分識別專家分享此類議題，太思科技董事長何俊炘針對簡訊OTP議題說明產業對策，在解析eSIM Passkey技術發展之餘，特別指出多國政府正陸續加入禁用OTP的行列。</p> <p>何俊炘在演說中進一步揭露，這股趨勢正迅速擴散：馬來西亞更早提出分階段推動，現已全面停用簡訊OTP；阿拉伯聯合大公國（UAE）則從2026年3月31日開始全面禁用簡訊OTP，印度亦從4月1日起禁止銀行以簡訊OTP為唯一認證管道，並且要求銀行負擔賠償責任。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/vercel-confirms-breach-as-hackers-claim-to-be-selling-stolen-data/">雲端前端開發平臺Vercel遭遇資安事故，駭客聲稱竊得開發環境資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2026/04/18/crosstenant-helpdesk-impersonation-data-exfiltration-human-operated-intrusion-playbook/">駭客冒充IT與客服人員，透過跨租戶Teams通訊進行社交工程攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/payouts-king-ransomware-uses-qemu-vms-to-bypass-endpoint-security/">勒索軟體Payouts King濫用QEMU虛擬機器迴避偵測</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/tycoon-2fa-loses-phishing-kit-crown-amid-surge-in-attacks/">大型網釣平臺Tycoon 2FA遭執法單位圍勦後活動銳減，駭客轉向其他網釣套件從事攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/claude-opus-enabled-creation-of-working-chrome-exploit/">研究人員透過Claude Opus建立Chrome漏洞利用鏈，成功於Mac電腦執行計算機App</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175139"><strong>【4月17日】APT41鎖定4大雲端環境搜刮憑證與權杖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175111"><strong>【4月16日】17年前的Excel漏洞驚傳遭到利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175084"><strong>【4月15日】微軟、SAP、Adobe發布本月例行更新</strong></a></p> </div></div></div>
4/20 16:24作者周峻佑https://www.ithome.com.tw/news/175180
AI對話恐不具保密性？美國法院裁定聊天紀錄不受保護，律師示警衝擊企業法律策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2026年2月，美國紐約南區聯邦地方法院一項判決引發法律界關注。法院裁定，<wbr></wbr>企業高階主管使用生成式AI聊天機器人產生的文件，<wbr></wbr>不適用律師與當事人保密特權（attorney-client privilege），亦不受工作成果保護原則（work product doctrine）保障，相關內容在訴訟程序中可能被要求交出。</p> <p><a href="https://www.reuters.com/legal/government/ai-ruling-prompts-warnings-us-lawyers-your-chats-could-be-used-against-you-2026-04-15/" target="_blank">根據路透社報導</a>，此案涉及已破產的金融服務公司GWG Holdings前執行長兼董事長Bradley Heppner的證券詐欺案件。檢方指出，Heppner曾使用Anthropic的Claude撰寫與案件相關文件並提供律師參考。辯方主張內容涉及法律策略，但檢方認為，相關文件並非在律師指示下產生，且AI並非律師，雙方互動不構成受法律保護的溝通關係。</p> <p>承審法官Jed Rakoff指出，律師與當事人保密特權僅適用於法律諮詢溝通，而AI平臺不具法律專業身分，也無法提供法律意見，因此不在保護範圍內。法院同時認為，使用者與AI互動亦不具合理保密期待，例如服務條款已載明可能存取或揭露資料。<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/xmvjyjekkpr/Rakoff%20-%20order%20-%20AI.pdf" target="_blank">法院最終裁定</a>相關文件不受保護，Heppner須交出31份透過Claude產生的文件。</p> <p>判決出爐後，多家美國律師事務所提醒企業，與生成式AI工具的互動內容，未來可能在刑事或民事訴訟中被調閱，影響訴訟策略。</p> <p>另一方面，美國密西根州聯邦地方法院一宗民事案件則出現不同見解。該案中，原告未委任律師，而是以自行訴訟（pro se）身分提告，被告要求調閱其與ChatGPT的對話紀錄。承審法官<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/mypmyjwdzpr/Warner%20order%20-%20AI.pdf" target="_blank">Anthony Patti在今年2月裁定</a>，相關內容屬於整理資料與釐清思路的過程，性質接近個人筆記，可視為工作成果，不在可調閱範圍內。</p> <p>法院並指出，在此情境下，生成式AI屬輔助工具，其產出更接近使用者思考的延伸，而非與第三方的溝通。</p> <p>整體而言，兩起判決顯示生成式AI在法律上的定位仍在發展中，是否受保密特權或工作成果保護，將取決於使用情境，包括是否在律師指示下使用及內容性質等因素。</p> <p>另一方面，<a href="https://openai.com/zh-Hant/policies/privacy-policy/" target="_blank">OpenAI</a>與<a href="https://privacy.claude.com/zh-TW/collections/10672568-%E9%9A%B1%E7%A7%81%E8%A8%AD%E5%AE%9A%E5%92%8C%E6%8E%A7%E5%88%B6" target="_blank">Anthropic</a>的使用條款也提到，在特定情況下可能與第三方或監管機構分享用戶資料，並建議在法律等專業領域，仍應諮詢具資格的專業人士，而非僅依賴AI回應。</p> </div></div></div>
4/20 16:36作者王珮瑤https://www.ithome.com.tw/news/175182
台達分享以AI驅動ESG落地，從內部碳定價到能源平臺打造永續成長新引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在企業加速導入永續與AI的浪潮下，如何將ESG從管理指標轉化為實際成長動能，成為關鍵課題。台達電近期分享他們從制度設計到AI應用，逐步建立一套以數據與技術驅動的永續實踐模式，可供其他企業推動AI x ESG驅動轉型參考。</p> <p>台達ESG策劃整合辦公室經理許惠卿指出，永續本身已展現成長潛力，「在我們的研究裡面發現，這幾年整個綠色營收的複合成長率，大概成長12%，很顯著的超過傳統服務」，顯示ESG正逐步成為企業成長的重要來源。</p> <p>同時，AI也被視為另一股推動力量。她提到，「AI所帶來的紅利，它其實也一直引領著經濟的成長」，不僅帶動產業發展，也在減碳與能源效率上發揮影響力。</p> <p><span style="color:#B22222;"><strong>內部碳定價制度，建立減費基金投資減碳作為形成正向循環</strong></span></p> <p>「創辦人建立台達的一開始，就將環境永續納入我們的DNA」, 在永續落地上，台達相當重視制度設計的重要性，「台達要將永續和企業的經營合而為一」，許惠卿表示，台達遵循國際倡議訂定目標，承諾RE100，不斷超越訂定的目標，「這是台達的淨零成長路徑」。</p> <p>台達實踐永續的策略，從綠色工廠、綠色建築到運用AI創新應用(如資料中心)等等。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-20%20%E4%B8%8B%E5%8D%884_49_08.jpeg" style="width: 600px; height: 392px;" /></p> <p>其中，台達在內部推動碳費機制來落實推動減碳的具體行動。「公司全集團內部只要有產生碳排，就會按每噸300元美金計算碳費」，這項內部的碳定價制度甚至高於國內碳費徵收的每噸300元台幣，台達再將內部的碳費資金投入碳費基金，用於投入能資源的管理、再生能源的採用、AI創新相關等減碳投資。</p> <p>這項設計的核心，在於建立循環機制。她指出，「投入減碳相關投資，造成碳排下降，那你要付的錢就變少」，形成正向的循環，讓各單位在營運與投資決策時，自然而然地朝減碳方向調整。</p> <p><strong><span style="color:#B22222;">再生能源與減碳成果已具體呈現</span></strong></p> <p>在長期推動下，台達的減碳與能源轉型已有具體成果。許惠卿提到，「台達在減碳的部分，已下降了53.62%」，而在再生能源使用上，「2024年是84%，但2025年已經達到91%，在台灣已經是RE100」。</p> <p>她強調，這些成果來自於策略與落實執行的成果，建築面、產品面已展現高效、節能的效益。</p> <p><span style="color:#B22222;"><strong>永續AI的三項應用，從作業到決策全面導入</strong></span></p> <p>在數位化方面，台達也將AI用於驅動ESG決策，並依使用情境分為三類，作業型AI、營運型AI、商業型AI。</p> <p>在作業型AI方面，台達已發展多項AI工具以支援日常工作。許惠卿表示，「台達針對不同的工作使用情境，開發出22種AI的應用情境」，包括法規查詢與內部資料整合，「例如內部散落的法規、資料，利用AI即時的爬找」。</p> <p>此外，AI也用於提升處理效率，「在部門內只要聽到很花時間，就會想到AI能為我們作什麼，就會有AI團隊協助開發」，她說。</p> <p>在營運型AI方面，運用AI輔助營運決策。她指出，「台達透過AI讓不同角色，可以做更好的關鍵決策」，從現場人員、廠長到高階主管，可以透過不同報表與儀表板掌握資訊。換言之，AI讓ESG從「報告」變成「即時管理工具」。</p> <p><img alt="" src="/sites/default/files/images/20260410_120732%20(1).jpeg" style="width: 600px; height: 403px;" /></p> <p>至於商業型AI，即可為台達帶來商機的AI應用，可對外輸出變現，例如能源和碳管理平臺。</p> <p>許惠卿說明，由AI驅動的企業級能源與碳排平臺，可協助企業制定能源與永續KPI，並進行追蹤管理，並透過AI報表與儀表板呈現關鍵指標。</p> <p><strong><span style="color:#B22222;">AI優化綠電匹配調度，支撐RE100達標</span></strong></p> <p>再生能源有一些不可控特性，台達也透過數據與AI進行精細管理。許惠卿指出，透過平臺「可以幫助用戶掌握電力分配」，並「透過視覺化的方式，可以清楚看到每日的用電匹配量」。</p> <p><img alt="" src="/sites/default/files/images/20260410_120919%20(1).jpeg" style="width: 600px; height: 466px;" /></p> <p>她進一步說明，台達大量採用購電協議，台達目前有將近70到80%是透過PPA購買」，並搭配系統進行調度，運用AI最佳化再生電力的分配，是台達在臺灣達成RE100的重要因素。</p> <p>整體而言，台達從制度、數據到AI逐步推進。從內部碳定價機制，到AI導入營運決策，再到能源與碳管理平台的發展，形成一套數位永續架構。</p> <p>隨著AI與能源需求持續攀升，企業如何在成長與減碳之間取得平衡已是重要的課題，台達的淨零策略及實務經驗，可供企業以技術驅動永續轉型的參考路徑。</p> </div></div></div>
4/20 17:01作者蘇文彬https://www.ithome.com.tw/news/175183
工作流程自動化平臺n8n遭到濫用，駭客從事網釣活動散布有效酬載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI興起，工作流程自動化平臺n8n竄紅，這類平臺的主要功能是串接Slack、Gmail、Google Docs等應用程式，並搭配AI模型，應用於多種領域的工作流程自動化，然而這類平臺也出現遭到濫用的情況，攻擊者將其用於惡意活動。</p> <p>思科威脅情報團隊Talos提出警告，<strong><a href="https://blog.talosintelligence.com/the-n8n-n8mare/">他們發現從2025年10月至今年3月</a></strong>，濫用n8n寄送的惡意郵件數量成長686%。駭客濫用n8n的Webhook功能投放惡意郵件，誘使收信人存取需通過圖靈驗證CAPTCHA的釣魚網頁，若是依照指示操作，就會從外部伺服器下載有效酬載，其中包含遠端管理工具（RMM）Datto與ITarian Endpoint Management，駭客將這類工具當作後門來控制受害電腦。由於整個流程封裝在HTML檔案的JavaScript，瀏覽器會以為下載的內容來自n8n的網域。Talos指出，由於n8n的Webhook會隱藏資料的來源伺服器，攻擊者可傳遞來自不受信任來源的有效酬載，但讓資料看起來像是從受信任網域送出；同時，Webhook能根據觸發事件啟動，服務不同的資料流，因此攻擊者還能根據受害者的使用者代理字串（User Agent），量身打造有效酬載。</p> <p>除了濫用n8n投放有效酬載，Talos也看到駭客用於收集裝置的識別資料（fingerprinting），具體作法是在惡意郵件嵌入隱形圖片或追蹤像素，一旦收信人透過Outlook、Gmail或其他收信軟體讀取信件，就會從特定網址擷取圖片。</p> <p>當收信軟體試圖載入圖檔，就會自動向n8n的Webhook網址發送HTTP GET請求，相關網址包含收信人電子郵件信箱等追蹤參數，以便攻擊者的伺服器精確識別使用者的身分。</p> </div></div></div>
4/20 09:46作者周峻佑https://www.ithome.com.tw/news/175162
殭屍網路PowMix鎖定捷克企業與求職者發動攻擊，採用隨機C2通訊匿蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最近兩到三年，經營殭屍網路的駭客特別偏好綁架缺乏防護的物聯網裝置，不過現在也有專門針對企業員工的攻擊行動，意圖綁架Windows工作站電腦。</p> <p>思科威脅情報團隊Talos揭露<strong><a href="https://blog.talosintelligence.com/powmix-botnet-targets-czech-workforce/">殭屍網路PowMix</a></strong>的攻擊活動，駭客冒充連鎖超市Edeka，利用捷克資料保護法或其他監管框架為誘餌，疑似鎖定捷克企業的人力資源（HR）、法務、員工招募部門，此外，為了降低使用者警覺，駭客也會搭配薪酬資料與合規參考資料，以提升誘餌檔案的真實感。值得留意的是，也有多個產業的求職者遭到攻擊，涵蓋IT、金融、物流領域。</p> <p>PowMix最特別的地方，在於採用了隨機的C2連線，由於Beacon並未持續與C2伺服器連線，而難以透過特徵碼進行偵測，而且，該殭屍網路具備遠端更新C2網域的機制，代表攻擊者能輕易更換C2控制來源。根據駭客使用ZIP檔傳遞有效酬載、利用Windows工作排程於受害電腦持續活動，以及採用雲端平臺即服務（PaaS）Heroku充當C2，Talos指出，PowMix活動採用的戰術，與<strong><a href="https://www.ithome.com.tw/news/170950">Check Point去年8月揭露的ZipLine攻擊活動</a></strong>有共通之處。</p> <p>針對駭客散布PowMix的過程，從收信人打開釣魚郵件的ZIP檔附件開始，此檔案內含惡意Windows捷徑檔（LNK），一旦收信人執行，電腦就會執行PowerShell惡意程式載入工具指令碼，然後載入惡意ZIP檔並解壓縮，於記憶體內執行殭屍網路PowMix有效酬載，並與C2進行通訊。</p> <p>為了迴避偵測，駭客的惡意程式載入工具導入了防惡意軟體掃描介面（AMSI）繞過機制，欺騙Windows安全性子系統AMSI未初始化，使該系統停用指令碼的即時掃描功能，讓指令碼能執行其中的惡意內容，且不會被Microsoft Defender或其他EDR系統察覺有異，最終於受害電腦植入PowMix。</p> <p>PowMix可提供哪些功能？駭客用於遠端存取、偵察、執行任意程式碼，並在受害電腦加入每天上午11時啟動的工作排程，以便該殭屍網路能持續活動。此殭屍網路進行C2通訊的方式，是將機器人識別編號（Bot ID）、心跳資料、使用隨機字串嵌入的URL，並偽裝成合法的REST API進行呼叫。</p> </div></div></div>
4/20 10:31作者周峻佑https://www.ithome.com.tw/news/175169
殭屍網路Condi綁架TP-Link無線路由器，利用已知漏洞進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://www.ithome.com.tw/news/169602">2025年6月</a></strong>，美國網路安全暨基礎設施安全局（CISA）表明TP-Link無線路由器漏洞CVE-2023-33538已遭利用，將其列入已遭利用漏洞名冊（KEV），近日有資安公司透露，當時有人嘗試掃描漏洞，企圖植入Mirai殭屍網路變種。</p> <p>資安公司Palo Alto Networks在CISA發布KEV的期間，<strong><a href="https://unit42.paloaltonetworks.com/exploitation-of-cve-2023-33538/">偵測到大規模的漏洞積極利用嘗試</a></strong>，駭客針對特定端點發出GET請求，試圖透過ssid功能參數執行多組命令，從特定IP位址下載ELF二進位檔案，並授予此檔案讀取、寫入，以及執行的權限，然後使用tplink的參數執行二進位檔。根據上述駭客使用的指令，該公司推測是殭屍網路活動。經過進一步分析，此為Mirai的變種Condi。</p> <p>此殭屍網路病毒具備自我更新的機制，攻擊者通常會將受害路由器設定為網頁伺服器，並以此提供該病毒的二進位檔案，向其他存在漏洞的路由器進行橫向感染。</p> <p>CVE-2023-33538是命令注入漏洞，影響TP-Link旗下的數款路由器，包含：TL-WR940N V2/V4、TL-WR841N V8/V10，以及TL-WR740N V1/V2，CVSS風險評為8.8，屬高風險等級，攻擊者可透過元件/userRpm/WlanNetworkRpm觸發。值得留意的是，上述的路由器<strong><a href="https://support.omadanetworks.com/nordic/bulletin/14106/">生命週期已經結束（EOL）</a></strong>，這代表若是使用者未汰換設備，恐將成為攻擊者能持續利用的滲透管道。</p> </div></div></div>
4/20 14:43作者周峻佑https://www.ithome.com.tw/news/175177
Mirai殭屍網路變種Nexcorium綁架TBK DVR設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年7月資安公司Fortinet揭露<strong><a href="https://www.ithome.com.tw/news/170028">殭屍網路RondoDox活動</a></strong>，駭客鎖定的其中一類裝置，是TBK的數位監控系統主機設備DVR-4104、DVR-4216，他們在網路上掃描作業系統命令注入漏洞CVE-2024-3721（CVSS風險6.3分），藉此綁架這些裝置並用於DDoS攻擊，如今傳出有其他人馬加入漏洞利用行列。</p> <p>Fortinet近日發現<strong><a href="https://www.fortinet.com/blog/threat-research/tracking-mirai-variant-nexcorium-a-vulnerability-driven-iot-botnet-campaign">殭屍網路Nexcorium</a></strong>，此為Mirai的變種，駭客團體Nexus Team試圖操弄mdb與mdc功能參數，藉由觸發CVE-2024-3721漏洞，而能下載指令碼，然後根據目標裝置的系統架構，啟動殭屍網路病毒的有效酬載。Nexcorium的架構與大部分Mirai變種相似，包括採用XOR編碼的組態配置資料、監控模組，以及DDoS攻擊模組。此殭屍網路病毒支援多種類型的DDoS洪水攻擊，包含UDP flood、TCP ACK flood、SMTP flood等11種方法，而且，它還能停止攻擊或是終止相關的處理程序。</p> <p>值得留意的是，Fortinet發現的Nexcorium活動大多針對TBK裝置，不過駭客也嘗試利用另一個<a href="https://www.ithome.com.tw/news/167106">資安漏洞CVE-2017-17215</a>，此弱點存在於華為路由器HG532，CVSS風險評分為8.8。</p> </div></div></div>
4/20 12:45作者周峻佑https://www.ithome.com.tw/news/175173
Mozilla開源Thunderbolt AI客戶端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Mozilla基金會旗下子公司MZLA Technologies Corporation<a href="https://www.thunderbolt.io/announcing-thunderbolt" target="_blank">上週四（4/16）宣布</a>開源AI客戶端Thunderbolt，正式切入企業AI市場。該產品定位為主權AI客戶端，強調企業可在自有基礎設施上部署AI系統，掌握資料與模型控制權，並被外界視為可與ChatGPT Enterprise與Microsoft Copilot競爭的替代選項。</p> <p>Thunderbolt採開源架構，支援跨平臺運行，包括Web、iOS、Android、macOS、Linux與Windows，並允許企業自由選擇AI模型來源，涵蓋商業模型、開源模型與本地模型。系統可連接企業內部資料來源，並透過檢索增強生成（Retrieval-Augmented Generation，RAG）技術進行分析與回應，亦可整合代理人（Agents）與自動化流程，支援報告生成、資料整理與任務觸發等應用。</p> <p>在架構上，Thunderbolt可透過Model Context Protocol（MCP）與Agent Client Protocol（ACP）串接外部系統，亦可整合德國AI公司deepset所開發的Haystack平臺，支援AI任務編排、測試與部署，使企業得以建立從資料、模型到應用流程的一體化AI系統。此類整合模式也被視為將AI從單一工具轉變為可長期運營的企業系統。</p> <p><a href="https://x.com/mozilla/status/2044800535564370367" target="_blank">Mozilla表示</a>，隨著AI逐漸成為企業營運的核心，組織正面臨關鍵抉擇，是要依賴可能帶來策略風險的專有服務，或是建立在自身可掌控的開放基礎設施之上。而Thunderbolt正是建立在該組織數十年來所秉持的核心原則，包括使用者控制、開放標準，以及賦予個人在網路上的自主權。</p> <p>MZLA執行長Ryan Sipes指出，AI不應依賴外部供應商，透過Thunderbolt為企業提供主權AI客戶端，讓企業自行決定AI如何融入自家工作流程，並在自身基礎設施上、使用自身資料運行；而藉由整合Haystack，Thunderbolt可將控制能力延伸至更底層的系統架構。</p> <p>目前Thunderbolt已<a href="https://github.com/thunderbird/thunderbolt" target="_blank">在GitHub開源</a>並開放社群測試，但官方坦言產品仍處於早期開發階段，尚未提供完整推論服務，企業需自行整合模型與相關基礎設施。此外，Thunderbolt正進行安全性審查，並朝企業級部署（Production Readiness）邁進，初期主要鎖定具備自架能力的企業用戶。</p> </div></div></div>
4/20 13:26作者陳曉莉https://www.ithome.com.tw/news/175175
半導體新創Cerebras申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI晶片新創Cerebras Systems已向美國證券交易委員會（SEC）提交<a href="https://www.sec.gov/Archives/edgar/data/2021728/000162828026025762/cerebras-sx1april2026.htm" target="_blank">IPO申請文件</a>，計畫以代號CBRS於那斯達克上市。隨生成式AI帶動算力需求爆發，公司主打晶圓級晶片（Wafer-Scale Engine），試圖以不同於GPU的架構切入由Nvidia主導的AI晶片市場。</p> <p>2016年於美國創立的Cerebras是家專注於AI專用硬體的半導體新創公司，其最具代表性的創新為晶圓級處理器（Wafer-Scale Engine，WSE）架構，把整片矽晶圓當作單一處理器，完全跳脫傳統GPU或CPU以多顆晶片組裝的設計邏輯。該架構使得運算核心、記憶體與內部頻寬高度整合，大幅降低資料搬移延遲，特別適合大型語言模型與科學運算等高強度AI工作負載。</p> <p>根據Cerebras所提交的S1文件，其公司成長反映出市場對AI的採用，營收自2022年的2,460萬美元，成長至2023年的7,870萬美元、2024年的2.9億美元，一直到2025年的5.1億美元，年增76%。同年也轉為淨利2.38億美元（GAAP），相較2024年淨損4.82億美元明顯改善。</p> <p>不過，若排除股票酬勞與金融工具評價變動等非現金與一次性項目，2025年仍虧損7,570萬美元，2024年則為虧損2,180萬美元（non-GAAP），顯示公司核心營運尚未穩定轉盈，且年度間損益波動亦受會計評價因素顯著影響。</p> <p>Cerebras營收高度集中於少數客戶，主要來自大型AI模型開發商、企業與主權AI專案，顯示其已切入高價值算力市場，但也意味著營運仍高度依賴關鍵客戶。已揭露的客戶包括<a href="https://www.ithome.com.tw/news/173382" target="_blank">OpenAI</a>與AWS。</p> <p>其實Cerebras在2024年就曾申請IPO，隨之延後，再於2025年撤回IPO申請，外傳是因美國政府對阿聯科技集團G42入股Cerebras一案進行了國安審查。</p> </div></div></div>
4/20 13:20作者陳曉莉https://www.ithome.com.tw/news/175174
又有第三個Microsoft Defender零時差漏洞被揭露！連同前面兩個皆已傳出已被用於攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安研究員Chaotic Eclipse（在GitHub的名稱為Nightmare-Eclipse）因不滿微軟處理獲報漏洞的做法，先是在4月初公開第一個Microsoft Defender零時差漏洞<strong><a href="https://www.ithome.com.tw/news/174902">BlueHammer</a></strong>，微軟在14日發布<strong><a href="https://www.ithome.com.tw/news/175055">本月例行更新（Patch Tuesday）</a></strong>修補，並登記為CVE-2026-33825列管，該研究員後續又公布新漏洞<strong><a href="https://www.ithome.com.tw/news/175130">RedSun</a></strong>，如今傳出他又公布第三個零時差漏洞，且這些漏洞現在已出現利用活動的跡象。</p> <p>4月17日<strong><a href="https://x.com/HuntressLabs/status/2044882050314817880">威脅情報公司Huntress指出</a></strong>，他們發現該名研究員公布的資安漏洞已遭到利用，除了上述已被媒體報導的BlueHammer和RedSun，還有一個叫做UnDefend的新漏洞，也出現攻擊活動。該公司最早於4月10日發現BlueHammer遭到利用，駭客試圖執行FunnyApp.exe觸發漏洞，結果遭到受害電腦的Microsoft Defender攔截與隔離，因而未能成功。</p> <p>事隔一週，他們在16日看到有人利用RedSun和UnDefend，其中的RedSun觸發Microsoft Defender警示訊息，指出這是EICAR測試檔案；至於另一個漏洞UnDefend，攻擊者則是透過執行檔undef.exe進行利用。駭客在嘗試利用這兩個新漏洞後，就對受害組織進行偵察，攻擊者親自手動操作並下達命令。為了防範攻擊者後續的利用活動，Huntress已將受影響的組織隔離。</p> <p>究竟UnDefend是什麼樣的漏洞？綜合Chaotic Eclipse在<strong><a href="https://deadeclipse666.blogspot.com/2026/04/funny-dos-tool.html">部落格文章</a></strong>和<strong><a href="https://github.com/Nightmare-Eclipse/UnDefend">GitHub</a></strong>的說明，此為阻斷服務（DoS）類型的弱點，他指出微軟得知漏洞後應該會著手修補，但認定漏洞危險程度不高，處理的優先程度較低。不過，研究員提及該漏洞若是搭配BlueHammer一同使用，將會非常危險，攻擊者只要取得管理員權限，就能藉由UnDefend執行任何程式。他在GitHub提供的概念驗證工具（PoC），號稱可導致Microsoft Defender無法接收特徵碼更新，或是讓此防毒軟體停止運作。</p> </div></div></div>
4/20 09:36作者周峻佑https://www.ithome.com.tw/news/175159
惡意軟體ZionSiphon企圖滲透以色列水利設施，恐影響水資源處理與海水淡化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>過往水力設施的工業控制系統（ICS）遭到鎖定的事故，已傳出多起，最近一起是<strong><a href="https://www.ithome.com.tw/news/174965">美國遭遇伊朗駭客CyberAv3ngers（Storm-0784、Hydro Kitten、UNC5691）攻擊</a></strong>，如今有資安公司發現專門針對以色列關鍵基礎設施的惡意軟體活動。</p> <p>資安公司Darktrace揭露針對以色列水處理及海水淡化系統的攻擊行動，<strong><a href="https://www.darktrace.com/blog/inside-zionsiphon-darktraces-analysis-of-ot-malware-targeting-israeli-water-systems">駭客打造專為操作科技（OT）環境設計的惡意軟體ZionSiphon</a></strong>，主要的目的是破壞氯氣和壓力控制的能力。此惡意軟體結合了權限升級、透過USB裝置散播、掃描ICS設備等功能。根據駭客指定的IPv4位址範圍，再加上惡意軟體的攻擊目標都與以色列國家水利基礎設施相關，且用Base64編碼的字串隱含攻擊者的意識形態口號，並針對水處理與海水淡化系統進行檢查，這些跡象代表攻擊者的目標非常明確，並非隨機尋找存在弱點的OT環境。</p> <p>關於ZionSiphon採用的攻擊手法，Darktrace發現駭客試圖利用通訊協定Modbus從事破壞，竄改氯氣與壓力控制相關的檔案，並對於子網路的ICS設備進行掃描，顯然駭客想直接與工業流程相關的控制設備互動，進而造成重大損害。</p> <p>值得留意的是，儘管Darktrace取得的惡意軟體檔案無法正確過濾攻擊目標，還有DNP3和S7comm元件存在缺陷，代表目前ZionSiphon可能尚在開發階段，但根據整體的程式碼結構，駭客疑似正在嘗試操縱多個OT通訊協定，建立在OT網路環境長時間活動的方法，並透過外接式裝置擴大感染範圍。</p> </div></div></div>
4/20 09:42作者周峻佑https://www.ithome.com.tw/news/175161
汽車產業資安威脅急速升溫，勒索軟體事故2025年翻倍成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>去年9月，印度塔塔汽車（Tata）旗下的英國車廠Jaguar Land Rover（JLR）<strong><a href="https://www.ithome.com.tw/news/170991">遭遇勒索軟體攻擊</a>，而受到全球高度關注</strong>，<strong><a href="https://www.ithome.com.tw/news/171354">工廠被迫停止生產車輛1個月</a></strong>，損失慘重，<strong><a href="https://www.ithome.com.tw/news/171829">金額高達19億英鎊</a></strong>，而成為英國史上損失最大的資安事件，<strong><a href="https://www.ithome.com.tw/news/171431">英國政府提供15億英鎊貸款擔保</a></strong>，以協助JLR供應鏈恢復運作。有資安公司警告，勒索軟體對汽車產業的威脅加劇，過去一年勒索軟體是汽車產業成長最快的資安威脅，每兩起事故約有一起是勒索軟體攻擊。</p> <p>資安公司Halcyon<strong><a href="https://www.halcyon.ai/ransomware-research-reports/forty-four-percent-ransomware-automotive-industry">近日發布調查報告</a></strong>，指出汽車產業的資安事故自2023年開始不斷上升，2025年整體事件數量較2024年多出近50%。值得留意的是，勒索軟體是竄升速度最快的資安威脅，2025年的攻擊行動數量是2024年的兩倍。整體來說，2025年汽車產業遭遇的網路攻擊活動，有44%是勒索軟體攻擊。</p> <p>為何勒索軟體駭客會盯上汽車產業？Halcyon推測有幾個原因，首先是車聯網平臺、OTA更新機制，以及雲端架構的基礎設施，擴大了攻擊面，2025年的資安事故裡，有67%是利用遠端資訊系統、雲端平臺，以及API作為主要攻擊的途徑。</p> <p>再者，汽車工業仰賴各式零件供應商的生態系統，許多小型供應商可取得車廠系統的特殊權限，卻往往缺乏相關資安防護的資訊與落實資安政策。另一方面，汽車製造對停機時間的容忍度相當低，一旦生產中斷或是系統故障，隨即就會帶來重大財務損失，這樣的情況，也使汽車產業成為對駭客極具吸引力的勒索目標。</p> <p>Halcyon列出從2024年6月至今的數起重大勒索軟體攻擊事故，比較特別的地方，在於駭客不光針對汽車製造商、經銷商、零件供應商，以及IT服務供應商從事攻擊，也有遠端挾持車輛，然後要求車主付贖金解鎖的事故。</p> <p>2025年6月，駭客挾持俄羅斯車輛進行遠端控制，將車主鎖在車內、控制車窗及車門，甚至是讓車輛無法發動，要求受害者付錢，才能恢復相關的使用權限。攻擊者針對特定中國汽車的非官方應用程式註冊流程，藉由複製的SIM卡、過期的虛擬編號，以及被註銷的經銷商登入權限而得逞。</p> </div></div></div>
4/20 10:39作者周峻佑https://www.ithome.com.tw/news/175170
OpenAI公布生命科學語言模型GPT-Rosalind進軍藥物開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/introducing-gpt-rosalind/" target="_blank">OpenAI上週公布</a>為生命科學產業訓練的語言模型版本GPT-Rosalind，以加速藥物開發及醫學療法發展進程。</p> <p>GPT-Rosalind是支援生物、藥物發現和轉譯醫學的研究的尖端推理模型系列。傳統上，藥物開發從標的發現到獲得法規許可得耗費10到15年，縮短發現早期的時間花費，有助於目標選定、提高生物假設和高品質實驗。然而前端研究流程相當複雜且耗時，研究人員必須處理大量文獻、專門化資料庫、實驗數據和變動不斷的假設來產生及評估其想法。和許多其他AI模型一樣，GPT-Rosalind也意在加速生物科學研究的進程。</p> <p>該模型名稱源於促進DNA結構發現的英國化學家Rosalind Franklin。這模型以GPT為基礎，結合化學、蛋白質工程與基因知識及工具運用能力，並為生命科學研究流程優化。</p> <p>目前OpenAI已提供藥廠和研究單位包括Amgen、Moderna、艾倫研究所（the Allen Institute）、Thermo Fisher Scientific等將GPT-Rosalind用於研究和開發流程上。在和這些客戶合作的評估中，GPT-Rosalind在化學、生物學的子領域（如化學反應機制、蛋白質結構、突變效應和互動、DNA序列的親緣關係解釋）及實驗設計分析等的核心推理任務上，效能表現優於GPT 5、5.2、5.4。且GPT-Rosalind在多步驟研究流程包括文獻回顧、解釋實驗輸出、辨識蛋白質功能、合成外部資訊、後續實驗設計，都能有效使用科學工具和資料庫來支持其推理。</p> <p>該公司也引用生物資訊學及資料分析標竿測試BixBench的測試結果，顯示GPT-Rosalind還超越Gemini 3.1 Pro、Grok 4.2以及GPT 5、5.2、5.4。在科學研究標竿測試LABBench2上，GPT-Rosalind在6項任務中超過GPT-5.4，其中在DNA和酵素試劑的設計測試CloningQA上進步尤為顯著。而在與Dyno Therapeutics合作的RNA序列預測與生成測試中，新模型在預測任務上超過95%的人類專家，在序列生成上則達到人類專家的84百分位。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0420-GPT%E2%80%91Rosalind-600.png" style="width: 600px;" /></p> <p>現在GPT-Rosalind以研究預覽版經由ChatGPT、Codex和API提供給信賴存取方案的組織單位。他們也提供免費的Codex生命科學研究外掛程式，讓科學家們可連結GPT模型到50多個科學工具和資料源。</p> <p>OpenAI表示，GPT-Rosalind是其生命科學模型系列的第一個模型。未來該公司還會持續改進模型的生物學推理能力、強化對重度使用工具、長週期研究工作流的支援，並和頂尖科學研究機構例合作評估實際效果，例如和洛斯阿拉默斯（Las Alamos Nation Lab）等合作AI導引的蛋白質及催化劑設計。</p> </div></div></div>
4/20 09:30作者林妍溱https://www.ithome.com.tw/news/175158
Anthropic公布設計生成模型Claude Design，可用於簡報、網頁、行銷設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic上週<a href="https://www.anthropic.com/news/claude-design-anthropic-labs" target="_blank">宣布Claude Design</a>，讓網頁設計師和知識工作者可用以製作產品設計圖、原型、簡報、一頁式簡報（one-pager）等文件。</p> <p>Claude Design是以Anthropic剛剛宣布的最新模型Claude Opus 4.7為引擎，以研究預覽版形式逐步部署，以提供給Claude Pro、Max、Team、Enterprise方案訂閱戶。</p> <p>Claude Design提供給沒有設計背景的新創公司、產品經理、行銷人員，協助他們生成視覺元素。Claude Design的用途包括以下：設計師不需程式檢查或Pull Request可蒐集用戶回饋的互動式原型、產品經理能畫出功能流程由Claude Code實作或分享給設計師改進、新創公司創辦人或業務人員可製作說明簡報或送到Canva、行銷人員可設計登入頁、社群平臺貼文、宣傳文案，或由設計人員美化、任何人員都可製作具有語音、影片、3D和著色器和AI的網站原型。</p> <p>他們只要在Claude描述需求，Claude就會生成第一版，再漸次根據和使用者對話、線內（in-line）評論、直接編輯或自訂滑鈕修改到用戶理想狀態。用戶單位組織也可以開放存取權限，讓Claude將使用者設計系統自動套用到所有專案，確保所有設計呈現一致性風格。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0420-claude%20design-1.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0420-claude%20design-3.png" style="width: 600px;" /></p> <p>在實際執行上，在一開始，Claude會讀取用戶codebase和設計檔案以便建立公司專用的設計系統。之後它會套用用戶公司專屬色彩、字型和元件，用戶也可以自行改進。接著在每次專案中，用戶可上傳圖片和文件（DOCX、PPTX、XLSX）或指向自己的codebase，或是使用網頁抓取工具從自己的網站擷取代表公司的元素。在Claude產出第一個版本後，用戶可以針對特定元件直接下線內評論、編輯文字、或以調整功能來修改間隔、色彩、版型等，要求Claude將變更套用到整個設計中。做出的設計可以儲存、透過連結分享其他人讀取或修改，和Claude群組對話來協同設計，或是匯出PDF、PPT或HTML檔，或匯入到Canva。最後成品可交給Claude實作。</p> <p>Anthropic表示再幾個星期內，會公布其他方法，方便Claude Design整合用戶組織既有使用的第三方工具。已為Claude Design站臺的第三方工具商包括AI簡報製作平臺Canva以及互動學習平臺Brilliant。</p> </div></div></div>
4/20 09:41作者林妍溱https://www.ithome.com.tw/news/175160
微軟收購財務AI新創公司Fintool，強化Microsoft 365代理人功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟上週收購AI新創公司Fintool，將整合到Microsoft 365部門並用以強化財務AI代理人功能。</p> <p>Fintool是由執行長Nicolas Bustamante和Edouard Godfrey於2023年創立於舊金山的AI公司。根據<a href="https://www.ycombinator.com/companies/fintool" target="_blank">Y Combinator</a>，該公司有6名員工。Fintool定位為法人投資者的AI財務代理人，可讀取財報資料、分析申報文件並整合成研究報告，找出人力或一般搜尋軟體無法發現的訊號。Fintool獲得數千家避險基金、資產管理業者和投資銀行採用。Bustamante在<a href="https://fintool.com/" target="_blank">公司官網</a>公佈被微軟收購的消息。</p> <p>Fintool可和Microsoft 365生產力套件完全整合。今年一月Fintool第5版可背景自主執行，在Excel建立DCF模型，製作PowerPoint營收報告，也可以產出研究Word檔。</p> <p>雙方未說明收購金額。收購後Fintool將整合進Office產品部門。Fintool創辦人Bustamante指出，知識工作者使用Microsoft 365（M365），而其產品就跑在M365之上。微軟Office產品事業群主管<a href="https://www.linkedin.com/feed/update/urn:li:activity:7451005800518418432/" target="_blank">Sumit Chauhan指出</a>，整合Office套件和Fintool專業化功能，後者技術可完美補足微軟策略。</p> <p>這是AI大廠收購財務AI新創公司的最新案例。上週OpenAI也收購了個人化AI財務助理業者Hiro Finance，原因是這些新創公司的專業財務AI模型，能解決生成式AI幻覺的缺點，提高其AI助理的準確性。</p> </div></div></div>
4/20 09:51作者林妍溱https://www.ithome.com.tw/news/175164
全球記憶體短缺可能會持續到2027年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本經濟新聞（Nikkei Asia，日經）<a href="https://asia.nikkei.com/business/tech/semiconductors/memory-shortage-set-to-run-until-2027-as-chipmakers-focus-on-ai" target="_blank">上週報導</a>，在AI需求帶動下，全球記憶體短缺問題可能延續至2027年前後。</p> <p>根據市場研究機構<a href="https://counterpointresearch.com/en/insights/global-dram-and-hbm-market-share" target="_blank">Counterpoint Research</a>在2025年第四季的全球記憶體市場調查，全球前三大動態記憶體（DRAM）供應商依序是三星（36%）、SK hynix（32%）及美光（Micron）（23%），它們占據了全球9成的記憶體市場。</p> <p>隨著AI對高頻寬記憶體（High Bandwidth Memory，HBM）的需求大幅增加，三大廠優先將產能轉向HBM，壓縮原本用於PC與智慧型手機的通用型記憶體供給，導致市場供不應求並推升價格，2026年第一季記憶體價格季增約90%。</p> <p>報導指出，三星於韓國興建的第四座晶圓廠預計2026年上線，但要到2027年後才會全面量產，第五座HBM廠則最快2028年投產；美光在美國與日本的新廠也將分別於2027年與2028年量產。相較之下，SK hynix於2026年2月啟用的HBM工廠，是三大廠中唯一可在2026年實質增加產能的來源。</p> <p>此外，由於擴產速度仍落後於需求成長，報導指出，在2027年前，DRAM供給可能長期僅能滿足約六成市場需求。</p> </div></div></div>
4/20 10:01作者陳曉莉https://www.ithome.com.tw/news/175166
搭32G記憶體、性價比優於競品，英特爾新增中階專業GPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://www.ithome.com.tw/sites/default/files/arc-pro-b70_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個月底英特爾舉行<strong><a href="https://newsroom.intel.com/client-computing/intel-core-ultra-series-3-with-vpro-powers-next-gen-pcs-on-18a">商業專業日Intel Pro Day 2026</a></strong>，在這場聚焦企業個人電腦解決方案的產品發表會上，不僅展示<strong><a href="https://newsroom.intel.com/intel-products/intel-launches-new-intel-xeon-600-processors-for-workstation">2月推出的工作站處理器Xeon 600</a></strong>，也包含搭載vPro平臺的商用PC處理器Intel Core Ultra系列3<strong>，</strong>令人意外的是，此次也宣布專業繪圖處理器Arc Pro系列擴展更多產品選擇，提供更強大與超值的運算效能，因應內容創作、工程設計類型工作負載，以及AI推論處理需求。英特爾表示，這批新機型能針對多個使用者與代理人的AI工作負載，提供最佳效能，而且能橫跨工作者與邊緣運算平臺，提供更理想的性價比選擇。</p> <p><a href="/sites/default/files/images/Intel Arc Pro B series-2026 H1.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B%20series-2026%20H1.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/Intel B70-Performance-All.jpg"><img alt="" src="/sites/default/files/images/Intel%20B70-Performance-All.jpg" style="width: 600px;" /></a></p> <p>此次Arc Pro系列新增兩款機型，英特爾先推出B70，從3月25日開始供貨，市面上將有採用英特爾與多家合作廠商品牌的產品，像是<a href="https://asrock.com/news/index.tw.asp?iD=5766">華擎科技（ASRock）</a>、<a href="https://www.sparkle.com.tw/tw/products/view/23a450ddb59E">撼與科技（Sparkle Computer）</a>，英特爾B70的建議售價為949美元起，在此同時，伺服器與邊緣運算設備廠商Supermicro也在SYS-212B-FN2T這款<a href="https://www.supermicro.com/en/support/resources/gpu?rsc=fltr_sku%3DSYS-212B-FN2T">邊緣運算伺服器</a>，將Intel Arc Pro B70列入可搭配的GPU產品。</p> <p>另一款B65預計4月中供貨，也將經由英特爾合作廠商推出產品，<a href="https://www.sparkle.com.tw/tw/products/b9b5114a1db55185761bb52e711294f6?filter=eyJhbW91bnQiOjEwLCJwYWdlcyI6MSwic2VhcmNoIjoiIiwic2VyaWVzIjo2MX0=">華擎</a>和<a href="https://www.linkedin.com/posts/sparkle-computer-co-ltd_sparkle-intelarcpro-intel-activity-7443280737870446593-QrCa/">撼與</a>都已在網站公開這批GPU的資訊。</p> <p><a href="/sites/default/files/images/Intel Arc Pro B70-AIB.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B70-AIB.jpg" style="width: 600px;" /></a></p> <p>相較於去年推出的<a href="https://www.ithome.com.tw/review/171313">Intel Arc Pro B60與B50</a>，今年最新發表的Intel Arc Pro B70與B65同樣導入Xe2-HPG架構，製程也採用TSMC N5，搭配的記憶體是GDDR6，但提供更多GPU核心（B70內建32顆Xe2，B65與B60均為20顆Xe2，B50為16顆Xe2），以及更大容量的GPU記憶體（B70與B65均內建32 GB，B60為24 GB，B50為16 GB）。</p> <p><a href="/sites/default/files/images/Intel Arc B70 and B65.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20B70%20and%20B65.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/Intel Arc Pro B series-SPEC.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B%20series-SPEC.jpg" style="width: 600px;" /></a></p> <p>在運算效能的突破上，英特爾揭露B70的INT8整數運算可達到367 TOPS，B65為197 TOPS，</p> <p><a href="/sites/default/files/images/all Intel Arc Pro GPU Processors SKUs.png"><img alt="" src="/sites/default/files/images/all%20Intel%20Arc%20Pro%20GPU%20Processors%20SKUs.png" style="width: 600px;" /></a></p> <p>稍早（今年2月底）該公司<strong><a href="https://edc.intel.com/content/www/us/en/products/performance/benchmarks/desktop_1/">公布B70的測試比較結果</a></strong>，將配置24 GB GDDR7記憶體的<strong><a href="https://www.nvidia.com/en-us/products/workstations/professional-desktop-gpus/rtx-pro-4000/">Nvidia RTX Pro 4000 Blackwell</a></strong>列為基準。在Llama 3.1 8B模型的測試中，搭配B70的工作站系統可提供2.2倍的脈絡處理長度（context window）；</p> <p><a href="/sites/default/files/images/Intel Arc Pro B70-Context.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B70-Context.jpg" style="width: 600px;" /></a></p> <p>而在Ministral-8B-Instruct-2410模型的多人或多AI代理工作負載，反應速度領先幅度達到6.2倍。</p> <p><a href="/sites/default/files/images/Intel Arc Pro B70-Response.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B70-Response.jpg" style="width: 600px;" /></a></p> <p>而在性價比的效益上，Intel Arc Pro B70提供1.6倍至2倍單位運算效能。以成本來看，Intel Arc Pro B70的價格定為949美元，Nvidia RTX Pro 4000 Blackwell收集8大通路的售價，平均價格定為1,775.94美元；在英特爾的測試環境當中，設置單GPU、雙GPU、四GPU的系統，執行多個大型語言模型，分別是Llama-3.1-8B與Qwen3-8B、Mistral-Small-24B，以及DeepSeek-R1-Distill-Qwen-32B。</p> <p><a href="/sites/default/files/images/Intel Arc Pro B70-KV Cache.jpg"><img alt="" src="/sites/default/files/images/Intel%20Arc%20Pro%20B70-KV%20Cache.jpg" style="width: 600px;" /></a></p> <p>在4月初公布的MLPerf Inference v6.0效能測試結果中，英特爾也提交並被列入<strong><a href="https://newsroom.intel.com/artificial-intelligence/intel-delivers-ai-performance-mlperf-inference-v6-0">搭配4張Intel Arc Pro B70、B60、B50的系統運算效能</a></strong>，同樣執行OpenAI gpt-oss-120b的模型，若以搭配B60的系統為基準，搭配B70的系統推論效能可達到1.8倍。英特爾也透露與其他競爭GPU產品相比，Intel Arc Pro B70足以處理更大的AI模型與多GPU組態系統的脈絡長度，能在執行大型AI模型時，提供1.6倍的KV快取容量。</p> <p><a href="/sites/default/files/images/MLPERF 6_0-Intel Pro B70-text.png"><img alt="" src="/sites/default/files/images/MLPERF%206_0-Intel%20Pro%20B70-text.png" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/MLPERF 6_0-Intel Pro B70.jpg"><img alt="" src="/sites/default/files/images/MLPERF%206_0-Intel%20Pro%20B70.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;">產品資訊</span></p> <p><span style="color:#0000FF;">Intel Arc Pro B65與B70</span><br /> ●原廠：Intel<br /> ●建議售價：B70為949 美元起，AIB合作夥伴版本的價格依最終產品配置而有所不同，B65<br /> ●GPU架構：Intel Xe2<br /> ●GPU晶片製程：TSMC N5<br /> ●GPU核心：B70內建32個Xe2-HPG核心、8個渲染切片、32個光線追蹤單元、256個XMX引擎、256個Xe向量引擎；B65內建20個Xe2-HPG核心、5個渲染切片、20個光線追蹤單元、160個XMX引擎、160個Xe向量引擎<br /> ●GPU運算效能：B70的FP32浮點運算為22.94 TFLOPS，INT8整數運算為367 TOPS；B65的FP32浮點運算為12.28 TFLOPS，INT8整數運算為197 TOPS<br /> ●I/O介面：PCIe 5.0 x16<br /> ●內建記憶體容量：GDDR6，B70與B65均為32 GB<br /> ●記憶體頻寬：B70與B65均為608 GB/s<br /> ●外觀尺寸：B70與B65均為雙槽<br /> ●DisplayPort埠：B70與B65均配備4個2.1版DisplayPort<br /> ●耗電量：B70為230瓦，B65為200瓦<br /> ●支援API：B70與B65均支援DirectX 12 Ultimate，B70支援OpenGL 4.6、OpenCL 3.0、Vulkan 1.3、OpenVINO</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
4/18 15:39作者李宗翰https://www.ithome.com.tw/review/174999
【資安週報】0413~0417，美英加監管機構警戒LLM模型能力提升恐威脅金融舊系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p data-end="123" data-start="0">【資安新聞編輯室報告】這一星期最受產業矚目的消息之一，莫過於LLM模型在資安攻防兩端展現的深遠影響力，繼Anthropic Claude Mythos預覽版發布，OpenAI亦擴大GPT-5.4-Cyber的申請範圍，由於Mythos已展現強大的跨系統分析能力，此態勢已引起美、英、加三國監理機關的高度警戒，憂心這類先進模型若早一步被攻擊方利用，將用於金融業者。</p> <p data-end="123" data-start="0">此外，這星期我們也看到因應簡訊OTP難題的最新探討與推動，包括電話號碼認證（PNV）與基於eSIM去電話號碼識別的方案，這些進展均顯示：若要解決這類問題科技業，需與電信業者合作來應對。</p> <p data-end="123" data-start="0"> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 政策法規、技術趨勢、產業脈動 </span></strong></span></h1> <p> </p> <h2><strong>OpenAI擴大提供GPT-5.4-Cyber</strong></h2> <p>繼Anthropic於本月初公布Claude Mythos預覽版後，OpenAI則宣布<a href="https://www.ithome.com.tw/news/175058">擴大其GPT-5.4-Cyber專用模型的申請使用範圍</a>。這款專為網路安全分析優化的模型，現在將開放給更多資安人員申請使用，同時加入進階防護工作的新功能，支援惡意程式分析與逆向工程，協助理解軟體漏洞。</p> <h2><strong>Claude Mythos能力引發多國監理機關關注風險</strong></h2> <p>隨著Claude Mythos預覽版發布，<a href="https://www.ithome.com.tw/news/175081">美國、英國與加拿大主管機關近期已與銀行高層討論相關風險</a>，主因是Claude Mythos這類先進模型能跨系統分析複雜架構，對於企業內部長期累積的舊系統環境而言，過去未被發現的弱點與系統複雜性，現在都可能轉化為可被利用的攻擊面。此外，銀行業大量採用相似的KYC與交易軟體，一旦出現規模化AI攻擊，高度連結的金融體系受到的影響可能迅速擴散。</p> <h2><strong>數發部資安署發布中小企業基本資安指引</strong></h2> <p><a href="/sites/default/files/images/2026-04-17_174928.jpg"><img alt="" src="/sites/default/files/images/2026-04-17_174928.jpg" style="width: 280px; height: 295px; float: right;" /></a></p> <p> </p> <p>繼金管會於2021年底發布「<a href="https://www.ithome.com.tw/news/150803">上市上櫃公司資通安全管控指引</a>」後，為進一步帶動全臺企業重視資安，去年資通安全研究院（資安院）<a href="https://www.ithome.com.tw/news/171253">建立實地資安健檢服務</a>，引進美國加州柏克萊大學Cybersecurity Clinic課程課綱，就是聚焦輔導中小企業而來，近期數發部資安署再發布「<a href="https://moda.gov.tw/ACS/laws/guide/rules-guidelines/904">中小企業基本資安防護指引</a>」及自我檢核表，將專業資安要求轉化為易懂清單，涵蓋帳號管理、設備管理、落實資料備份等實務建議。</p> <p> </p> <h2><strong>解決簡訊OTP難題需與電信業者整合</strong></h2> <p>前陣子大量LINE帳號遭盜用的事件受到廣泛關注，更深層問題是OTP認證碼（一次性密碼）仍普遍應用，目前相關對策仍在持續發展中，但焦點就是要<a href="https://www.ithome.com.tw/news/174936">探討如何與電信業者深度結合，目前已有兩大技術趨勢備受矚目</a>，一是仰賴電話號碼的電話號碼驗證（Phone Number Verification，PNV）機制，另一則是去電話號碼識別，基於eSIM Passkey的技術方案。</p> <h2 style="margin: 0px;"><strong>OpenSSL 4.0發布</strong></h2> <p>作為全球應用最廣泛的開源加密函式庫，<a href="https://www.ithome.com.tw/news/175096"><strong>OpenSSL發布4.0重大版本更新</strong></a>。本次改版聚焦於架構現代化與清理技術債，包括正式移除SSLv3協定與SSLv2 Client Hello支援，並全面廢除Engine機制；此外，部分資料結構與X509相關公開API也調整得更為嚴謹。在安全性強化方面，則新增支援ECH（Encrypted Client Hello）技術及後量子密碼學（PQC）相關功能。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 最新漏洞威脅 </span></strong></span></h1> <p> </p> <p>在漏洞利用消息方面，多家IT大廠發布每月例行安全更新的公告，揭露與修補近期掌握的弱點，其中微軟本月例行安全更新就修補自家產品165個漏洞（包含兩個零時差漏洞，其中一個已遭利用），並修補第三方元件漏洞82個。進一步從整體來看，本星期有5項漏洞發現遭駭客鎖定利用，須優先關注！</p> <h3><span style="color: rgb(178, 34, 34);"><strong>微軟 CVE-2026-32201</strong></span></h3> <p>●零時差漏洞攻擊事件發生，目標是微軟SharePoint Server的漏洞<a href="https://www.ithome.com.tw/news/175055">CVE-2026-32201</a>，微軟發現有鎖定利用情形後於每月例行更新修補，攻擊者身分尚未揭露。已被美國CISA列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Apache CVE-2026-34197</strong></span></h3> <p>●Apache基金會4月初修補ActiveMQ的漏洞<a href="https://www.ithome.com.tw/news/175006">CVE-2026-34197</a>，美國CISA在漏洞公開後一星期將之列入KEV，目前尚未有更多攻擊狀況揭露的消息。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Marimo CVE-2026-39987</strong></span></h3> <p style="margin: 0px;">Python資料分析工具Marimo揭露<a href="https://www.ithome.com.tw/news/175134">CVE-2026-39987</a>的漏洞，資安公司Sysdig指出在Marimo發布公告約10小時後，已經發現漏洞利用嘗試的跡象。截稿前尚未被美國CISA列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Nginx UI CVE-2026-33032</strong></span></h3> <p>網頁伺服器Nginx的第三方網頁管理介面Nginx UI在3月底揭露的漏洞<a href="https://www.ithome.com.tw/news/175108">CVE-2026-33032</a>，資安公司Recorded Future於兩週後示警，指出Nginx UI團隊已於3月中釋出修補程式，但後續亦在3月發現漏洞利用情形。截稿前尚未被美國CISA列入KEV。</p> <h3 style="margin: 0px;"><span style="color: rgb(178, 34, 34);"><strong>ShowDoc CVE-2025-0520</strong></span></h3> <p>中國技術文件協作平臺ShowDoc在去年4月修補的漏洞<a href="https://www.ithome.com.tw/news/175093">CVE-2025-0520</a>，資安公司VulnCheck揭露有鎖定利用的攻擊活動，近期於蜜罐陷阱看到有攻擊者試圖部署Webshell的情形。中國將此漏洞登記為CNVD-2020-26585列管。截稿前尚未被美國CISA列入KEV。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>RedSun</strong></span></h3> <p>有研究人員提前揭露Microsoft Defender存在名為<a href="https://www.ithome.com.tw/news/175130">RedSun的零時差漏洞</a>，已有攻擊概念驗證（PoC）公開，突顯該漏洞的可利用性。目前微軟尚未揭露相關CVE編號。</p> <p>其他重要修補動向：</p> <p>包括<a href="https://www.ithome.com.tw/news/175079">Apache Tomcat</a>、開源監控平臺<a href="https://www.ithome.com.tw/news/175021">Grafana</a>、DNS伺服器軟體<a href="https://www.ithome.com.tw/news/174754">BIND 9</a>、SSL通訊函式庫<a href="https://www.ithome.com.tw/news/175098">wolfSSL</a>、<a href="https://www.ithome.com.tw/news/174876">OpenSSH</a>、<a href="https://www.ithome.com.tw/news/175089">PHP套件管理器Composer</a>的漏洞修補消息。特別的是，工控軟體大廠<a href="https://www.ithome.com.tw/news/174710">PTC</a>揭露旗下產品生命週期管理系統滿分重大漏洞，目前尚無修補程式，用戶須立即採取緩解措施</p> <h3> </h3> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重要威脅態勢 </span></strong></span></h1> <p> </p> <div> <h3><span style="color: rgb(178, 34, 34);"><strong>CPUID網頁遭入侵</strong></span></h3> <p>提供硬體監控工具CPU-Z、HWMonitor的<a href="https://www.ithome.com.tw/news/175007">CPUID網頁遭入侵</a>，駭客用來散布惡意軟體STX RAT，經營CPUID的Doc TB表示，初步判斷是網站的某個API工具遭駭，攻擊者約從4月9日至10日入侵約6個小時，導致網站隨機顯示惡意連結。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>瑞典供熱廠去年遭親俄駭客試圖攻擊</strong></span></h3> <p><a href="https://www.ithome.com.tw/news/175103">瑞典民防部長Carl-Oskar Bohlin在當地一場記者會上指出</a>，該國一座供熱廠於2025年春天遭親俄駭客組織攻擊，試圖破壞OT系統營運，由於廠內的資安防護啟動，阻止了該次入侵。瑞典安全部門調查確認，攻擊者可能與俄羅斯情報機構有聯繫。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>中國駭客以ELF後門大肆搜刮雲端憑證</strong></span></h3> <p><a href="https://www.ithome.com.tw/news/175083">資安公司Breakglass發現</a>中國駭客APT41近期打造的ELF後門程式，鎖定建置在AWS、GCP、Azure、阿里雲的Linux雲端工作負載，該後門程式使用郵件通訊協定SMTP常用的25埠建立C2通訊，收集雲端服務供應商的憑證與中繼資料，然後將竊得資料傳送到3個冒充阿里巴巴的網域，這些主機架設於阿里雲新加坡的基礎設施。值得留意的是，VirusTotal納入的防毒引擎均未偵測出惡意程式，再加上駭客導入的C2交握驗證機制，使得Shodan、Censys等物聯網搜尋引擎難以識別受害的工作負載。</p> </div> <h3><span style="color: rgb(178, 34, 34);"><strong>中國駭客網釣範圍擴大至南亞多國</strong></span></h3> <p>之前針對臺灣企業以稅務稽核、雲端電子發票為誘餌從事攻擊的中國駭客組織Silver Fox（亦稱Void Arachne），攻擊範圍已擴散至南亞多國。<a href="https://www.ithome.com.tw/news/174956">資安公司Sekoia指出</a>，該組織自2024年起從早期的經濟利益驅動，轉型為APT偵察活動。在工具使用上，Silver Fox去年放棄慣用的Winos 4.0，改採合法的遠端監控管理工具（RMM）以規避偵測，後續更進一步換裝自研的Python竊資軟體。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>Axios供應鏈攻擊事故影響持續擴大</strong></span></h3> <p style="margin: 0px;"><a href="https://www.ithome.com.tw/news/175030">Open AI表示</a>經調查確認受Axios供應鏈攻擊影響，已輪換macOS App簽章憑證、並以新憑證更新App再上架到蘋果App Store，呼籲macOS用戶更新到最新版。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 數字情報 </span></strong></span></h1> <p> </p> <p><span style="font-size: 24px;"><strong><span style="color: rgb(178, 34, 34);"><span style="font-size: 36px;">60%</span></span>組織認技能落差更勝人力不足，AI重塑<span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">74%</span></span>資安團隊結構</strong></span></p> <p><a href="/sites/default/files/images/2026-04-17_170844.jpg"><img alt="" src="/sites/default/files/images/2026-04-17_170844.jpg" style="width: 260px; float: right;" /></a></p> <p>專門研究與教育的SANS Institute組織發布《<a href="https://www.sans.org/mlp/2026-evolving-cybersecurity-workforce-ai-compliance-talent#download">2026 Cybersecurity Workforce Research Report</a>》，指出資安人力危機已從人數不足（Headcount Gap）轉為技能落差（Skills Gap），今年有60%組織認為「技能落差」是更大挑戰，比例比去年52%更提升。此外，AI正重塑團隊結構：74%資安團隊因AI調整人員規模與角色。更值得關注的是，雖然39%的組織表示職位並未減少，但以SOC與資安分析師的裁減比例最高（32%），其次為威脅情資分析師（26%）、事件應變人員（22%）及開發人員或 DevSecOps（19%）。這些職位的共通點在於，其工作內容包含大量重複性分析與模式識別。但同時新增AI安全專家（34%）、AI安全工程師（32%）等新職位。</p> <p><span style="font-size: 24px;"><strong>Claude Mythos預覽版在CTF專家級任務的成功率達<span style="color: rgb(178, 34, 34);"><span style="font-size: 36px;">73%</span></span></strong></span></p> <p><a href="https://www.ithome.com.tw/news/175037">英國AI安全研究所（AISI）公布Claude Mythos預覽版最新評測結果</a>，指出該模型在資安搶旗賽（CTF）測試中，專家級任務的成功率達73%；而在企業攻擊模擬部分，10次測試中有3次能完成從初始偵察到全面控制系統的32個攻擊流程步驟；至於在OT環境測試中，則未能成功完成攻擊流程。</p> <p><strong><span style="font-size: 24px;">AI暗中違規行為數量暴增，半年出現近<span style="color: rgb(178, 34, 34);"><span style="font-size: 36px;">700起</span></span>事件，暴增近<span style="font-size: 36px;"><span style="color: rgb(178, 34, 34);">5倍</span></span></span></strong></p> <p><a href="https://www.ithome.com.tw/news/174959">英國非營利研究機構長期韌性中心最新研究指出</a>，AI系統在真實環境中違反指示、規避限制的「scheming」行為正快速增加。研究統計，自2025年10月起的5個月內，共辨識出698起相關事件，單月案例數激增4.9倍，報告指出這是AI系統失控風險的早期徵兆。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 專家觀點 </span></strong></span></h1> <p> </p> <p><span style="color: rgb(255, 140, 0);"><span style="font-size: 24px;"><strong>研究人員揭露用Claude模型找出存在13年漏洞的實際經驗</strong></span></span></p> <p>Apache在4月初修補ActiveMQ的漏洞CVE-2026-34197，在一星期後被攻擊者鎖定利用。於3月下旬通報此漏洞的<a href="https://horizon3.ai/attack-research/disclosures/cve-2026-34197-activemq-rce-jolokia/">Horizon3.ai研究人員指</a>出，該弱點其實已存在長達13年，這次成功找出漏洞的關鍵在於Claude模型的進步。他表示，這陣子都會先用Claude來掃描原始碼找漏洞，但大多數時候僅能發現一些有趣的線索，但這一次他只用幾個基本提示就有出色的表現，整體大約有80%是Claude貢獻，僅有20%是人工來綜整。這還是在尚未使用Mythos模型的情況下。</p> <p style="margin: 0px;"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 140, 0);">Fortinet談AI與資安如何打造低碳、可信任的數位轉型</span></strong></span></p> <p>面對AI、資安、ESG交會的時代，Fortinet工控資安產業發展總監陳心怡<a href="https://www.ithome.com.tw/news/174995">在2026數位永續高峰會分享實踐經驗</a>，指出「沒有資安就沒有真正的轉型」。她強調推動平台化資安架構的重要性，將不同安全功能整合於單一平臺，此模式也是契合ESG潮流，能有效減少設備與人力成本、降低整體能耗與碳排，進而提升管理效率與營運韌性。</p> <p style="margin: 0px;"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 140, 0);">AI輔助攻擊最快只要25分鐘，這半年新模型推出將更顯嚴峻</span></strong></span></p> <p>在Mythos模型還沒公布之際，<a href="https://www.paloaltonetworks.com/perspectives/weaponized-intelligence/">Palo Alto Networks執行長Nikesh Arora執行長已示警</a>，指出傳統企業偵測入侵可能需要數天，但AI輔助攻擊從進入系統到竊取資料，最快僅需25分鐘。他強調Anthropic、OpenAI等公司即將推出的模型，具備大規模自動化尋找系統漏洞的能力，預期半年內，發動複雜攻擊的門檻將持續降低。他並認為感測器、AI驅動數據湖（AI-enabled data lakes）與消除零散化（Consolidation）將是防禦體系的重要關鍵。</p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 重大資安事件 </span></strong></span></h1> <p>上市櫃資安重訊：</p> <p><strong><span style="font-size: 22px;">知名餐飲業<a href="https://mopsov.twse.com.tw/mops/web/t146sb05"><span style="color: rgb(0, 153, 255);">Q Burger</span></a>指出部分內部資訊系統發生異常，初步研判為網路攻擊事件。</span></strong></p> <p><strong><span style="font-size: 22px;">散熱模組廠<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193439&SPOKE_DATE=20260413&COMPANY_ID=3483"><span style="color: rgb(0, 153, 255);">力致</span></a>表示部分資訊系統遭受駭客網路攻擊</span></strong></p> <p><strong><span style="font-size: 22px;">旅遊業<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=152113&SPOKE_DATE=20260413&COMPANY_ID=2745"><span style="color: rgb(0, 153, 255);">五福</span></a>因違反個資法被交通部裁罰100萬元，原因是今年1月遭駭事故導致客戶資料外洩</span></strong></p> <p>國際重要資安事件</p> <p><span style="font-size: 22px;"><strong>線上旅遊訂房平臺<a href="https://www.ithome.com.tw/news/175032"><span style="color: rgb(0, 153, 255);">Booking.com</span></a>部分訂房資料遭未授權存取，導致用戶個資外洩</strong></span></p> <p> </p> <h1><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 0, 205);"> 資安活動快訊 </span></strong></span></h1> <p> </p> <h2><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月23日 </span></span>【<a href="https://o11yday.ithome.com.tw/2026/CFP">Observability Day可觀察性技術日】</a></strong><br /> </h2> <h2><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月21~23日 </span></span>【<a href="https://www.teeia.org.tw/tw/news/SEMIE187">SEMI E187半導體設備資安合規實踐研討會</a><a href="https://o11yday.ithome.com.tw/2026/CFP">】</a>4/21台中場、4/22高雄廠、4/23新竹場</strong><br /> </h2> <h2><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 4月25日 </span></span>【<a href="https://www.twcert.org.tw/newepaper/cp-68-10817-1f929-3.html">資安防護實戰-CTF 資安人才培育課程(台南場)</a>】</strong></h2> <p> </p> <p> </p> <p> </p> </div></div></div>
4/17 18:25作者羅正漢https://www.ithome.com.tw/news/175154
長庚醫療體系從制度與管理面推動數位與ESG並進，打造智慧永續醫院治理架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國內醫療產業加速數位轉型與淨零壓力並行的趨勢下，國內成立將近50年的長庚醫療體系也不例外，長庚醫療財團法人行政中心總執行長潘延健近期在數位永續高峰會分享，長庚醫療體系50年來推動資訊化與永續發展的心得，強調資訊化與永續「從來不是分開的兩條路」，而是共同建立在管理與制度基礎上的雙軸演進。</p> <p>他強調，長庚的資訊化發展核心，始終圍繞在管理與合理化之上，「如果資訊化沒有管理跟合理化，其實它是什麼都達不到」，同樣地，推動節能與ESG需要隨著公司整體的運作發展。</p> <p>長庚醫療體系很早便投入資訊化發展，從1976年台北長庚醫院成立，當時使用大型電腦就安置於台塑大樓，並有一群工程師為長庚醫院寫程式。創辦人王永慶在當時將台塑企業的管理精神帶到醫院。</p> <p>然而從長庚醫療體系發展至今，底下已有11個院區，營運管理日趨複雜之下，儘管體系內醫院共同使用一套資訊系統，但是在不同院區的應用發展還是存在落差。</p> <p>潘延健指出，長庚在推動數位轉型過程中，重點並不僅是系統建置，而是建立可跨院區運作的數據架構，支撐醫療、教學與研究需求。</p> <p>其資訊架構涵蓋電子病歷、資訊系統基礎設施、數據分析與影像系統等多個層面，並進一步朝向「數據中台」發展，以整合不同院區與場景的資料應用。他表示，透過統一架構可以支撐內部治理與多元應用需求。</p> <p><span style="color:#B22222;"><strong>導入國際評估體系，提升智慧醫療成熟度</strong></span></p> <p>為了帶動各個院區的資訊發展成熟度，長庚體系導入國際醫療資訊成熟度評估架構，例如HIMSS與DHI數位健康指標，逐步檢視並提升數位化程度。</p> <p>潘延健提到，這些評估不僅關注系統是否導入，更重視「落地執行」，包括醫療流程數位化、數據治理一致性，以及跨院區的標準化能力。他指出，真正的挑戰在於，即使系統相同，「不同院區在執行與數據運用上仍可能存在落差」。</p> <p>為此，長庚和HIMSS合作，透過白皮書機制來盤點各個院區的數位成熟度差異，檢視評估同一套系統在不同院區間的存在落差，持續不斷優化精進，後來在EMRAM電子病歷方面取得不錯的評級成果。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-17%20%E4%B8%8B%E5%8D%885_40_09.jpeg" style="width: 600px; height: 388px;" /></p> <p><span style="color:#B22222;"><strong>ESG從制度出發，節能不是單一部門責任</strong></span></p> <p>在透過資訊化建立長庚體系的數位治理基礎後，在ESG方面，將ESG視為和數位轉型同一治理架構的不同面向。潘延健強調，節能減碳並非單一單位的責任，而是整體制度的一部分，「節能應該是人人有責」。</p> <p>如同推動數位轉型一樣，長庚也透過制度與全員參與，讓ESG能長期落地執行。節能不只是能源或工務單位的責任，透過制度設計，讓各單位在日常運作中自主管理、持續改善。長庚透過目標設定、日常稽核與跨單位比較機制等等，將節能、數位化與流程優化內化為組織運作的一部分，形成一種強調紀律、標準化與長期累積的治理文化，也讓相關措施能在多院區體系中持續推進而不流於形式。</p> <p>潘延健舉例說明，長庚從早期從從管理制度面逐步導入能源管理與節能措施，例如醫院內的照明系統從傳統燈具逐步升級至LED與感應式控制、空調與冷卻系統優化，以及用水回收與電力系統改善等。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-17%20%E4%B8%8B%E5%8D%885_38_03.jpeg" style="width: 600px; height: 404px;" /></p> <p>同時，體系也導入ISO 14064碳盤查制度，並進一步推動綠建築與既有建築改善，強調永續並非新專案，而是長期管理機制的延伸。</p> <p>在技術應用上，長庚也將AI導入能源管理與營運優化，例如用電預測、契約容量管理，以及空調負載與能耗的優化，中央監控系統智慧調節等，以提升整體能源效率。</p> <p>長庚也從醫療服務流程進行碳足跡盤查，涵蓋門診、住院、手術、檢驗與影像等流程，擴大延伸至上游的採購、營運服務與下游的廢棄物處理，以建立完整碳排放模型。他指出，這些工作高度依賴資訊系統整合，而非人工盤查，「必須透過系統才能持續、正確地進行盤查與計算」。</p> <p><span style="color:#B22222;"><strong>建立數位與永續雙軸轉型的醫療治理模式</strong></span></p> <p>整體而言，長庚醫療體系的發展路徑顯示，數位轉型與ESG並非兩個獨立議題，而是透過同一套治理邏輯推動的雙軸轉型。</p> <p>從資訊系統建置、數據中台整合，到能源管理與碳盤查機制，核心始終圍繞在制度落實與持續改善。潘延健總結指出，醫療體系的長期發展，最終仍回到管理本質與執行力，而數位工具與ESG框架，正是讓制度得以規模化落實的關鍵支撐。</p> </div></div></div>
4/17 18:12作者蘇文彬https://www.ithome.com.tw/news/175151
Anthropic MCP協定遭揭存在設計缺陷，MCP伺服器可被誘導執行任意命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司OX Security<a href="https://www.ox.security/blog/the-mother-of-all-ai-supply-chains-critical-systemic-vulnerability-at-the-core-of-the-mcp/">指出</a>，由Anthropic主導開發的開放標準MCP（Model Context Protocol）在架構設計上存在系統性風險，攻擊者可藉由其STDIO傳輸介面，在MCP伺服器上執行任意作業系統命令，進而取得敏感資料、API金鑰及對話紀錄，研究團隊已針對受影響的下游專案揭露10個以上高風險與重大等級CVE。Anthropic的回應則將相關行為視為預期設計，未修改協定架構。</p> <p>Anthropic MCP協定設計缺陷在於MCP SDK的STDIO介面，該介面原本設計用於啟動本地伺服器程序，但實際運作時，傳入的作業系統命令無論伺服器是否成功啟動都會被執行，過程中沒有任何輸入驗證、過濾或沙箱隔離機制。</p> <p>研究人員指出，該設計邏輯為先執行而後驗證，並強調這並非程式碼層級的錯誤，而是架構層級的設計決策。該缺陷存在於Anthropic官方支援的全部語言SDK，涵蓋Python、TypeScript、Java、Go與Rust等10種主流程式語言。</p> <p>研究人員估計波及超過200個開源專案，相關套件累計下載量超過1.5億次，公開暴露的MCP伺服器超過7,000個，潛在受影響實例多達20萬個。研究團隊在6個正式營運平臺上成功執行概念驗證攻擊，受影響的知名專案包括LiteLLM、LangChain及IBM旗下的LangFlow等。</p> <p>研究人員歸納出四大類攻擊手法，分別是透過AI框架的未授權UI注入、繞過受保護環境的防禦機制，以及針對AI IDE的零點擊提示注入，還有在MCP市集中散布惡意伺服器。其中，團隊實際向11個主要MCP市集上傳概念驗證用的惡意MCP伺服器，結果有9個市集在未經安全審查的情況下直接接受，僅GitHub的託管Registry攔截了提交。</p> <p>OX Security轉述Anthropic的回應表示，MCP的STDIO機制本來就是用來啟動本機子程序，因此未將相關行為視為需要修改協定設計的有效漏洞。LiteLLM、DocsGPT、Bisheng等專案已發布修補，Agent Zero與Fay Framework則仍列為已通報狀態。</p> </div></div></div>
4/17 14:21作者李建興https://www.ithome.com.tw/news/175146
【資安日報】4月17日，APT41鎖定4大雲端環境搜刮憑證與權杖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175083"><strong style="font-size: 22px;">中國駭客APT41使用惡意程式搜刮雲端憑證，範圍涵蓋AWS、GCP、Azure、阿里雲</strong></a></p> <p>資安公司Breakglass指出，他們發現APT41近期打造的ELF後門程式，鎖定建置在AWS、GCP、Azure、阿里雲的Linux雲端工作負載，該後門程式使用郵件通訊協定SMTP常用的25埠建立C2通訊，收集雲端服務供應商的憑證與中繼資料，然後將竊得資料傳送到3個冒充阿里巴巴的網域，這些主機架設於阿里雲新加坡的基礎設施。值得留意的是，VirusTotal納入的防毒引擎均未偵測出惡意程式，再加上駭客導入的C2交握驗證機制，使得Shodan、Censys等物聯網搜尋引擎難以識別受害的工作負載。</p> <p>值得留意的是，這次駭客不再使用HTTPS進行C2通訊，而是刻意採用SMTP常見的連接埠。Breakglass指出，原因可能是雲端環境通常會提供電子郵件服務，因此25埠的流量往往會被視為正常，再加上許多資安工具不會深入檢查SMTP流量，以及各家雲端服務廠商對於25埠出口流量過濾做法不一致，使得相關活動難以被察覺。</p> <p><a href="https://www.ithome.com.tw/news/175134"><strong style="font-size: 22px;">Marimo重大漏洞遭利用，駭客透過Hugging Face散布惡意軟體NKAbuse</strong></a></p> <p>Python互動運算環境Marimo開發團隊上週揭露重大漏洞CVE-2026-39987（CVSS v4.0風險評為9.3分），資安公司Sysdig於10小時後首度看到漏洞利用活動，如今他們提出警告，已有多起漏洞利用攻擊出現。</p> <p>Sysdig指出，他們在4月11日至14日，總共看到有11個IP位址發動662起攻擊，包括反向Shell、擷取憑證與DNS資訊，以及利用竊得憑證橫向移動，駭入資料庫系統PostgreSQL與Redis，其中一起活動引起Sysdig的注意：駭客搭配搶先註冊Hugging Face Spaces服務的方式，散布惡意軟體NKAbuse。這次駭客針對執行Linux或macOS的AI開發工作站而來，並搭配知名AI服務、冒用常見的開發工具名稱，並利用CVE-2026-39987，突顯執行Marimo的開發工作站極具價值，因為通常會存放雲端憑證、SSH金鑰、API權杖（Token），甚至是內部網路的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/175130"><strong style="font-size: 22px;">研究人員對微軟回應BlueHammer感到失望，公布新的Microsoft Defender零時差漏洞RedSun</strong></a></p> <p>4月上旬研究員Chaotic Eclipse疑似對微軟通報漏洞的流程不滿，公布資安漏洞BlueHammer，後續有資安專家與資安公司證實這個漏洞確實存在，並指出問題與內建防毒軟體Microsoft Defender的更新機制有關，攻擊者若是成功利用，能取得SYSTEM權限，微軟在本月例行更新（Patch Tuesday）登記為CVE-2026-33825並提供修補。如今該名研究員想要繼續表達不滿，再度公布新的資安漏洞，目前尚無修補程式。</p> <p>根據資安新聞網站Bleeping Computer報導，Chaotic Eclipse疑似對微軟處理BlueHammer的過程頗有微詞，於4月16日公布新的漏洞RedSun。針對上述研究人員指控，微軟向Bleeping Computer說明，該公司承諾會調查獲報的資安問題，並儘快更新受影響的裝置，保護用戶的安全。這樣的說法，還是相當制式，也無從得知微軟對RedSun掌握的情形。</p> <p><a href="https://www.ithome.com.tw/news/175140"><strong style="font-size: 22px;">思科修補Webex重大漏洞</strong></a></p> <p>思科本週釋出安全更新，修補視訊會議產品Webex漏洞CVE-2026-20184，攻擊者可冒充合法用戶存取目標系統。此漏洞存在於Webex服務的控制臺Control Hub，涉及單一簽入（SSO）整合功能，起因在於憑證驗證不當，讓攻擊者能經由服務端點，以假造的權杖（token）通過身分驗證。成功濫用漏洞的攻擊者可假冒用戶，存取合法Cisco Webex服務，CVSS風險分數達到9.8，屬重大等級漏洞。</p> <p>思科已經更新Webex服務並解決漏洞，不過，為避免服務中斷，使用信任錨點作為SSO整合的使用者，必須上傳新的身分驗證供應商（Identity Provider，IdP）SAML憑證到Control Hub。</p> <p><a href="https://www.ithome.com.tw/news/175108"><strong style="font-size: 22px;">Nginx網頁管理介面元件Nginx UI存在重大漏洞，有資安公司警告已遭積極利用</strong></a></p> <p><a href="/sites/default/files/images/CVE-2026-33032-attack-flow.png" target="_blank"><img alt="" src="/sites/default/files/images/CVE-2026-33032-attack-flow.png" style="width: 300px; float: right;" /></a></p> <p>網頁伺服器Nginx的第三方網頁管理介面Nginx UI存在重大漏洞，後續傳出遭到利用，由於攻擊者可用來在無須通過身分驗證的情況下接管網頁伺服器，這個弱點受到資安界高度關注。</p> <p>這個漏洞被登記為CVE-2026-33032，起因是Nginx UI與模型上下文協定（Model Context Protocol，MCP）整合時，會曝露兩個HTTP端點/mcp與/mcp_message，其中的/mcp同時需要從白名單IP位址並通過身分驗證，才能存取，不過/mcp_message只需透過白名單IP位址就能存取，然而IP位址白名單預設沒有任何內容，再加上中間軟體預設允許所有的存取，導致未經身分驗證的攻擊者能使用所有的MCP工具，將Nginx重新啟動，或是建立、竄改、刪除組態設定檔案，甚至能觸發自動設定重新載入，完全挾持Nginx服務，CVSS風險評為9.8分（滿分10分），相當危險。</p> <p><a href="https://www.ithome.com.tw/news/175093"><strong style="font-size: 22px;">中國技術文件協作平臺ShowDoc存在重大漏洞，已被用於實際攻擊活動</strong></a></p> <p><img alt="" src="/sites/default/files/images/1775923503861.jpg" style="width: 300px; float: right;" />資安公司VulnCheck提出警告，中國技術文件協作平臺ShowDoc已知漏洞CVE-2025-0520出現遭到利用的活動，他們透過蜜罐陷阱看到有人試圖部署Webshell，這是首度出現該漏洞被用於攻擊的情況。</p> <p>CVE-2025-0520屬於未受限制的檔案上傳漏洞，起因是檔案類型的驗證不夠周延，可被攻擊者執行任何PHP指令，從而導致遠端程式碼執行（RCE）的情況，CVSS v4.0風險達到9.4分（滿分10分），屬重大等級，非常危險。ShowDoc開發團隊在2020年10月推出2.8.7版進行修補，當時中國將此漏洞登記為CNVD-2020-26585列管。</p> <p><a href="https://www.ithome.com.tw/news/175104"><strong style="font-size: 22px;">Google發布Chrome瀏覽器更新，修補31個漏洞，含多個重大與高風險漏洞</strong></a></p> <p>Google發布Chrome瀏覽器新版本，將Windows與Mac平臺穩定版更新至147.0.7727.101與147.0.7727.102，Linux版本更新至147.0.7727.101，此次改版修補多個重大與高風險漏洞。這次Chrome更新一共修補31個漏洞，包括5個重大漏洞、22個高風險漏洞，以及4個中度風險漏洞。</p> <p>其中最受矚目的是重大漏洞CVE-2026-6296，為圖形處理元件ANGLE的堆積緩衝區溢位（heap buffer overflow）問題， Google給予通報者9萬美元獎勵，是近幾個月來Chrome漏洞通報中少見的高額獎金。另一個值得關注的重大漏洞是CVE-2026-6297，問題在於跨程序通訊代理層（Proxy），出現記憶體釋放後再存取使用（Use After Free）的狀況，Google給予通報者1萬美元獎金。</p> <p><a href="https://www.ithome.com.tw/news/175117"><strong style="font-size: 22px;">降低基頻高風險攻擊面，Google在Pixel 10系列導入Rust改寫的DNS解析器</strong></a></p> <p>Google在Pixel 10系列基頻（Baseband）韌體中導入記憶體安全語言，具體作法是導入以Rust實作用來解析DNS回應的DNS解析器。Google選用開源Rust函式庫hickory-proto作為基礎，並以體積最佳化設定建置原型後估算，相關Rust程式碼總計約371 KB。</p> <p>開發團隊先從DNS著手，是因為現代行動通訊已轉為數位資料網路，連通話轉接等基本功能都仰賴DNS服務，而DNS協定複雜，必須解析來自網路的不受信任資料，容易衍生漏洞。以Rust重寫DNS解析器，可降低此處與記憶體不安全相關的漏洞風險。</p> <p><a href="https://www.ithome.com.tw/news/175002"><strong style="font-size: 22px;">Gmail全程加密擴展到企業客戶的行動裝置</strong></a></p> <p>在電腦版Gmail導入全程加密（E2EE）2年後，Google近日宣布將此功能推向Android和iOS裝置。不過，目前提供訂閱付費版Workspace的企業用戶使用。現在Google將這項功能透過Workspace Enterprise Plus with Assured Controls版本，或是Assured Controls Plus擴充程式，提供Android及iOS手機的Gmail用戶端加密（Client-side Encryption，CSE）功能。</p> <p>管理員須在CSE管理員介面啟用相關功能，終端用戶若想在任何訊息加入用戶端加密，需先點選Gmail介面的鎖頭圖示、選擇額外加密，之後就能像平常一樣寫郵件和增加附件。</p> <p><a href="https://www.ithome.com.tw/news/175123"><strong style="font-size: 22px;">Palo Alto Networks完成併購Koi Security，強化AI代理時代的端點防護</strong></a></p> <p>今年初傳出Palo Alto Networks有意買下以色列資安新創廠商Koi Security的消息，本週正式宣布完成，Palo Alto Networks將藉由整合Koi Security的技術，為AI代理與自動化工具所帶來的新型資安風險，提供全新的AI代理端點安全（Agentic Endpoint Security，AES）類別解決方案。</p> <p>Palo Alto Networks產品技術長Lee Klarich表示：代理AI為企業帶來巨大機遇，但也創造新的攻擊面，而傳統安全工具難以檢測這些攻擊面。透過併購Koi Security，則能為這項威脅的處理提供新的解決方案。Koi Security執行長兼聯合創辦人Amit Assaraf則表示：加入Palo Alto Networks後，他們將能為用戶提供最全面的解決方案，以保護終端和企業範圍內的所有AI與軟體安全。</p> <p><a href="https://www.ithome.com.tw/news/174936"><strong style="font-size: 22px;">解決簡訊OTP難題，FIDO生態系設法與電信業者整合，電話號碼驗證PNV與eSIM Passkey成新對策</strong></a></p> <p>近期大量LINE帳號遭盜用的事件受到廣泛關注，雖然這次事件主因在於電信業語音信箱採用預設密碼，讓攻擊者有機可乘，但整起事件背後還有其他更深層議題值得探討，因為雲端服務相關身分驗證機制仍仰賴OTP認證碼（一次性密碼）。</p> <p>儘管全球產業早已推動採用更強的多因素驗證（MFA）與Passkey，以降低雲端服務登入遭網釣風險，但許多平臺在帳號註冊或復原的流程中，至今仍經常依賴簡訊OTP作為身分驗證方式。是否已有因應之道？今年3月FIDO臺灣分會舉辦活動，太思科技董事長何俊炘在一場演說剛好談及這方面的議題，揭露全球多國政府陸續禁用OTP的態勢之餘，更強調FIDO聯盟成員正積極與電信業合作的全新發展態勢。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/newly-discovered-powmix-botnet-hits.html">捷克員工遭到殭屍網路PowMix攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/zionsiphon-malware-designed-to-sabotage-water-treatment-systems/">惡意軟體ZionSiphon針對以色列水利設施，恐影響水資源處理與海水淡化工作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/obsidian-plugin-abuse-delivers.html">筆記軟體Obsidian用戶遭鎖定，駭客意圖散布惡意軟體PhantomPulse RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-athr-vishing-platform-uses-ai-voice-agents-for-automated-attacks/">網釣平臺ATHR運用AI語音代理從事自動化攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/operation-poweroff-identifies-75k-ddos-users-takes-down-53-domains/">歐盟聯手21國從事執法活動Operation PowerOFF，找出逾7.5萬名涉及DDoS平臺的人士</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/automotive-ransomware-attacks/">鎖定汽車產業的的勒索軟體攻擊2025年翻倍</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175111"><strong>【4月16日】17年前的Excel漏洞驚傳遭到利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175084"><strong>【4月15日】微軟、SAP、Adobe發布本月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175043"><strong>【4月14日】OpenAI證實遭遇Axios供應鏈攻擊波及</strong></a></p> </div></div></div>
4/17 12:34作者周峻佑https://www.ithome.com.tw/news/175139
漏洞數暴增263%，NIST縮減CVE分析範圍轉向風險優先
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國國家標準暨技術研究院<a href="https://www.nist.gov/news-events/news/2026/04/nist-updates-nvd-operations-address-record-cve-growth" target="_blank">（NIST）週三（4/15）宣布</a>，因應CVE（Common Vulnerabilities and Exposures，通用漏洞揭露）數量在2020年至2025年間暴增263%，將調整其國家漏洞資料庫（National Vulnerability Database，NVD）的運作模式，不再對所有漏洞進行完整分析與評分，改採風險優先機制，僅針對已被利用或關鍵系統相關漏洞進行加值處理，且即日起生效。</p> <p>NVD是以CVE為基礎的公開資安資料庫，長期負責為已揭露漏洞補充結構化資訊，包括CVSS（Common Vulnerability Scoring System，通用漏洞評分系統）嚴重性分數、受影響產品（CPE）及弱點分類（CWE），並提供更完整的技術描述，協助企業進行風險評估與修補優先排序，被廣泛視為全球漏洞管理與資安工具的重要依據。</p> <p>NIST表示，此次調整主因在於CVE數量快速成長已超出處理能力，2020年至2025年間漏洞數量暴增263%，2025年新增約4.8萬筆CVE，比前一年多出45%，且即便去年已完成約4.2萬筆漏洞分析，仍無法跟上新增速度；而2026年前三個月提交量亦比去年同期再增加約三分之一，導致NVD持續累積大量未處理案件。</p> <p>在此一情況下，全面為所有漏洞提供分析與評分已不可持續，因此改採風險導向策略，優先處理已被利用或具關鍵影響的漏洞。而未被列入優先分析範圍的CVE，將被歸類為未排程（Not Scheduled）。</p> <p>具體而言，NIST將不再全面分析所有漏洞，而是優先處理已被美國網路安全暨基礎設施安全局（CISA）列為已知遭利用漏洞清單（Known Exploited Vulnerabilities，KEV）的項目，目標是在一個工作天內完成分析，同時也會優先處理政府與關鍵系統相關漏洞。</p> <p>至於其他一般漏洞，雖然仍會收錄在NVD中，但將不再提供評分與完整分析，僅保留基本資訊，只在收到申請或資源允許時才會進一步補充分析，並歸類為未排程（Not Scheduled）。</p> <p>儘管有人認為NVD的改制很可能會擴大漏洞情報落差，影響企業判斷風險的能力，然而，趨勢科技漏洞研究計畫Zero Day Initiative威脅認知負責人Dustin Childs向CyberScoop認為，NIST必須採取行動，因為該組織在CVE分析上已嚴重落後，而且可能永遠跟不上。</p> <p>NIST並未公布到底有多少待處理的CVE，但根據其<a href="https://nvd.nist.gov/general/nvd-dashboard" target="_blank">公開儀表板</a>，自NVD從2005年建立以來總計收錄了344,998筆CVE，現在已有超過10萬筆被列入Not Scheduled。</p> </div></div></div>
4/17 13:26作者陳曉莉https://www.ithome.com.tw/news/175144
Claude Opus 4.7強化開發與影像處理，資安能力刻意低於Mythos模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic正式發布<a href="https://www.anthropic.com/news/claude-opus-4-7">Claude Opus 4.7</a>，主打高難度軟體工程任務的自主完成能力，以及更高解析度的影像處理能力。Anthropic也表示，該模型在訓練階段曾嘗試降低網路安全能力，並先在這類能力較Claude Mythos Preview低的模型上測試新的資安防護措施。</p> <p>Opus 4.7能夠處理過去需要人類密切監督的複雜、長時間執行任務，並在回報結果前自行設計驗證方式檢查輸出正確性。Anthropic指出，早期測試使用者已能將最困難的程式開發工作交由模型獨立完成。此外，該模型在指令遵循能力上有明顯進步，但這也代表針對舊版模型撰寫的提示詞可能產生非預期結果，因為過去被模型忽略或寬鬆解讀的指令，現在會被逐字執行，使用者需重新調整提示詞。</p> <p>視覺處理是Opus另一項重要升級，Opus 4.7支援長邊最高2,576像素，總共約375萬像素的影像輸入，是先前Claude模型的三倍以上。這項改進直接影響需要細緻視覺判讀的應用場景，包括電腦操作代理程式讀取密集螢幕截圖，以及從複雜圖表中擷取資料。不過，由於高解析度影像會消耗更多詞元（Token），不需要額外細節的使用者可在送出前先降低影像解析度。</p> <p>Anthropic在Opus 4.7上測試新的資安防護措施，並在訓練過程中曾嘗試降低其網路安全能力，還加入自動偵測與封鎖機制，攔截禁止或高風險的網路安全用途請求。需要將模型用於弱點研究、滲透測試或紅隊演練等合法用途的資安專業人員，須加入新設立的Cyber Verification Program。</p> <p>Opus 4.7 API定價維持與Opus 4.6相同，每百萬輸入Token為5美元，每百萬輸出Token為25美元，可透過API、Amazon Bedrock、Google Cloud Vertex AI與Microsoft Foundry取用。但官方提醒，新版分詞器（Tokenizer）會使相同輸入對應到更多Token，可能為原本的1至1.35倍，模型在較高推理強度，特別是代理式情境的後續回合，也可能產生更多輸出Token，因此實際Token用量可能上升。</p> <p>Opus 4.7新增介於high與max之間的xhigh推理層級；API也推出任務預算功能公開測試版，讓開發者可替長時間任務設定Token預算。Claude Code則新增/ultrareview指令，用於變更審查，並將自動模式擴大開放給Max方案使用者。</p> </div></div></div>
4/17 13:42作者李建興https://www.ithome.com.tw/news/175136
歐盟即將推出線上年齡驗證App，可確保隱私完成驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/da/statement_26_817" target="_blank">歐盟宣布</a>年齡驗證應用程式已經開發完成，將可提供用戶在不暴露個人資料下證明年齡，藉此避免未成年人接觸不適宜內容。</p> <p>歐盟主席Ursula von der Leyen昨日公布，該應用程式將遵守歐盟《數位服務法》，規範線上平臺包括限制色情、賭博及酒精相關內容的存取，並防範未成年人接觸到這些內容。目前年齡驗證App技術上已經就緒，很快就能上架供下載。屆時用戶可從應用程式商店下載該應用程式，使用身分證明（如護照或國民身分證）完成驗證。</p> <p>根據歐盟官方，該App及系統類似COVID-19疫情期間使用的數位憑證，讓歐盟用戶在不曝露身分情況下證明疫苗接種狀況。利用新的年齡驗證App，使用者可以利用該資料確認自己在瀏覽受限內容時已超過某個年齡，而不會暴露身分。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0417-EU%20Age%20Verification%20Solution.png" style="width: 600px;" /></p> <p>根據<a href="https://ageverification.dev/" target="_blank">歐盟網站</a>這款App是以歐洲數位身分錢包（European Digital Identity Wallet）框架為基礎開發，可在用戶存取成人適用的服務時證明資格，旨在加速App於各歐盟委員國的適用，可視各國情況客製化。App開發架構遵循開放標準，促進各國家系統互通，且允許線上服務商開發相容解決方案。歐盟的網站也提供了技術文件、整合指引及開源元件。</p> <p>官員表示，該應用程式將完全匿名，並基於開源技術打造，意味著它也可能被歐盟以外的地區採用。</p> </div></div></div>
4/17 14:04作者林妍溱https://www.ithome.com.tw/news/175145
美國醫學期刊研究顯示AI早期診斷錯誤率逾80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國醫學期刊<a href="https://jamanetwork.com/journals/jamanetworkopen/fullarticle/2847679" target="_blank">JAMA Network Open於本週發布的研究</a>指出，現成大型語言模型（Large Language Models, LLMs）在臨床推理中仍存在明顯限制，特別是在早期的鑑別診斷階段，錯誤率普遍超過80%。</p> <p>JAMA Network Open為美國醫學會（American Medical Association，AMA）旗下的開放取用醫學期刊，採同儕審查機制，在醫學界具一定權威性。不過，本次研究屬於以標準化病例模擬（clinical vignettes）進行的橫斷式評估，主要用於測試AI模型在臨床推理流程中的表現，並非基於真實病患的臨床試驗結果，仍需進一步實證驗證其在實際醫療場景中的適用性。</p> <p>該研究評估21款主流大型語言模型，包括GPT-5、Claude 4.5 Opus、Gemini 3系列與Grok 4，透過29個標準化臨床案例，模擬醫療決策流程，涵蓋鑑別診斷、檢查選擇、最終診斷、治療管理，以及其他臨床推理等五個階段。</p> <p>結果顯示，各模型整體表現仍有差距，但在不同診療階段呈現明顯不均。研究發現，AI在「最終診斷」與「治療管理」的準確率相對較高，而「檢查選擇」與其他臨床推理則居中，但在最早期的「鑑別診斷」表現最差，錯誤率普遍超過80%，成為各模型共同的弱點。</p> <p>進一步分析指出，AI較擅長在資訊已較完整的情況下給出答案，但在資訊不足、需要逐步推理的早期階段，容易過早收斂至單一結論。相較之下，臨床醫師通常會在初期保留多種可能性，並隨著檢查與資料累積逐步修正判斷。研究認為，這種在不確定情境下推理能力的不足，是目前AI尚難直接應用於臨床決策的關鍵限制。</p> </div></div></div>
4/17 14:18作者陳曉莉https://www.ithome.com.tw/news/175147
思科修補Webex重大非授權存取漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-cui-cert-8jSZYhWL" target="_blank">思科本週釋出安全更新</a>，修補視訊會議產品Webex一個能讓駭客存取並冒充合法用戶的漏洞。</p> <p>編號CVE-2026-20184的漏洞是位於Cisco Webex Services控制臺Control Hub的單一簽入（single-sign-on，SSO）整合，可讓未經驗證的遠端攻擊者假冒該服務中的任何用戶。Cisco Webex Services為雲端版本，在被配置成使用信任錨點進行單一登入（SSO），允許用戶以Control Hub管理。該漏洞出在憑證驗證不當，讓攻擊者能經由服務端點，以假造的令牌（token）通過驗證。成功濫用漏洞者可假冒用戶，存取合法Cisco Webex服務。本漏洞屬於CVSS風險分數9.8的重大漏洞。</p> <p>思科已經更新這個Webex服務、解決漏洞。本漏洞沒有暫時性解決方法。不過為避免服務中斷，使用信任錨點作為SSO整合的使用者必須上傳新的身份供應商（identity provider）SAML憑證到Control Hub。</p> <p>本漏洞是思科內部安全測試時發現。思科的產品安全事件回應團隊（PSIRT）未發現漏洞有公開或惡意濫用的情形。</p> </div></div></div>
4/17 12:49作者林妍溱https://www.ithome.com.tw/news/175140
駭客公布McGraw-Hill逾100GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在日前發出警告後，駭客組織昨日公布了知名教育出版商麥格羅希爾（McGraw-Hill）約100GB的內部資料。</p> <p>上週一個駭客組織宣稱取得知名教育出版商麥格羅希爾（McGraw-Hill）Salesforce資料4,500萬筆紀錄，威脅該出版社若未聯繫，將把資料公布網上。</p> <p><a href="https://haveibeenpwned.com/Breach/McGrawHill" target="_blank">Have I Been Pwned昨日發現</a>，麥格羅希爾超100GB的資料已被公開，當中包含多個站點的1350萬筆電子郵件信箱，以及完整度不一的姓名、實體地址和電話等額外欄位。</p> <p>駭客可能是因未接到麥格羅希爾聯繫而公開資料。在駭客貼出公告後，週二這家出版公司<a href="https://www.ithome.com.tw/news/175082" target="_blank">證實</a>其使用的Salesforce系統的確遭未授權存取，並外流一小部份資訊。</p> <p>但麥格羅希爾表示，事件並非出於該公司Salesforce帳號、客戶資料庫、教材系統或內部系統被非授權存取。這公司並說，與外部資安業者合作調查發現，外洩的資訊不包含社會安全碼、財務資訊或教育平臺的學生資料。</p> <p>本事件可能是由ShinyHunterss所為。這個駭客組織同時間開始公開遊戲製造商Rockstar Games的內部資料。ShinyHunters宣稱是藉由從績效分析工具業者Anodot取得Rockstar Games的Snowflake實例憑證得逞。</p> <p>這群駭客還聲稱握有知名飯店集團永利度假村（Wynn Resorts）、加拿大BPO公司<a href="https://www.ithome.com.tw/news/174387" target="_blank">Telus Digital</a>、<a href="https://www.ithome.com.tw/news/174797" target="_blank">歐盟執委會</a>、知名賀卡公司Hallmark Cards、美國國鐵公司Amtrak的資料。</p> </div></div></div>
4/17 13:07作者林妍溱https://www.ithome.com.tw/news/175143
研究人員對微軟回應BlueHammer感到失望，公布新的Microsoft Defender零時差漏洞RedSun
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月上旬研究員Chaotic Eclipse疑似對微軟通報漏洞的流程不滿，<strong><a href="https://www.ithome.com.tw/news/174902">公布資安漏洞BlueHammer</a></strong>，後續有資安專家與資安公司證實這個漏洞確實存在，並指出問題<strong><a href="https://www.ithome.com.tw/news/174989">與內建防毒軟體Microsoft Defender的更新機制有關</a></strong>，攻擊者若是成功利用，能取得SYSTEM權限，微軟在<strong><a href="https://www.ithome.com.tw/news/175055">本月例行更新（Patch Tuesday）</a></strong>登記為CVE-2026-33825進行修補。如今該名研究員想要繼續表達不滿，再度公布新的資安漏洞，目前尚無修補程式。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/microsoft/new-microsoft-defender-redsun-zero-day-poc-grants-system-privileges/">資安新聞網站Bleeping Computer報導</a></strong>，Chaotic Eclipse疑似對微軟處理BlueHammer的過程頗有微詞，於4月16日<strong><a href="https://github.com/Nightmare-Eclipse/RedSun">公布新的漏洞RedSun</a></strong>。針對上述研究人員指控，微軟向Bleeping Computer說明，該公司承諾會調查獲報的資安問題，並儘快更新受影響的裝置，保護用戶的安全。</p> <p>值得留意的是，有資安專家根據Chaotic Eclipse公布的資料，指出該漏洞確實存在。Tharros首席漏洞分析師Will Dormann<strong><a href="https://infosec.exchange/@wdormann/116412019416916182">透過社群網站Mastodon指出</a></strong>，在已套用最新發布更新的Windows 10、Windows 11，以及Windows Server 2019，並啟用Microsoft Defender的情況下，未具備特殊權限的攻擊者的確能將權限提升到SYSTEM層級。Dormann指出，只要作業系統存在cldapi.dll元件，就有可能受到RedSun影響。</p> <p>Dormann透露RedSun其他細節，該漏洞利用了Cloud Files API，攻擊者只要將EICAR寫入使用該API的檔案，然後利用機會鎖定（oplock）贏得與磁碟區陰影複製服務之間的條件競爭，並利用資料夾的交接點或重解析點（junction/reparse point）將檔案重寫，然後重新導向在C:\Windows\system32\TieringEngineService.exe覆寫檔案。此時，Cloud Files基礎設施就會以SYSTEM的權限，執行攻擊者植入的TieringEngineService.exe。</p> <p>而對於揭露RedSun的原因，<strong><a href="https://deadeclipse666.blogspot.com/2026/04/public-disclosure-response-for-cve-2026.html">Chaotic Eclipse在部落格文章說明</a></strong>，在BlueHammer受到資安媒體廣泛報導後，微軟提出了極為制式的回應，突顯該公司並未重視研究員的訴求。Chaotic Eclipse認為，微軟很清楚BlueHammer一定會被公開，雖然獲報後將其立案，但後續還是選擇了駁回。Chaotic Eclipse與微軟安全性回應中心（MSRC）交涉時，發生什麼狀況？顯然有待雙方進一步說明。透過GitHub公開的文件，Chaotic Eclipse解釋發現這個漏洞的動機與原因。首先，他通常只提供概念驗證程式碼（PoC），其他人必須自行解析，但這次他覺得太可笑而決定說明原委，當Microsoft Defender發現惡意檔案具有雲端標籤時，本應隔離惡意軟體的防毒軟體，竟試圖將檔案還原到原本的位置，而他的概念驗證程式碼就是利用上述問題，成功覆蓋系統檔案並取得管理員權限。</p> </div></div></div>
4/17 11:10作者周峻佑https://www.ithome.com.tw/news/175130
Adobe發表Firefly AI Assistant，可跨Photoshop等多款應用執行多步驟創作流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Adobe發表<a href="https://blog.adobe.com/en/publish/2026/04/15/introducing-firefly-ai-assistant-new-way-create-with-our-creative-agent#access_token=eyJhbGciOiJSUzI1NiIsIng1dSI6Imltc19uYTEta2V5LWF0LTEuY2VyIiwia2lkIjoiaW1zX25hMS1rZXktYXQtMSIsIml0dCI6ImF0In0.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.HEHxmz_MT-LMkWtBVGiLdPI_Wyevk5--HuwoKTbQYxze4QfRQRrcyHGsR62cfCkl72U2GclZF4jHflpZla-H0ECtWoKrDxEMbXzHUZ44DfoshG227Y-aGQ40xAbTwDxi--Nvd1IUB1QRQGn8MCJQNO7NW8N78nhvIVPuhJA7kjLa_u6QJkIGO6E3VkSyeqAjE9fwIhKK2Jp1mL3yvU9YQfXe28GZbfWPVqNu0DLCuEwfP-WHWXLRGy63e1LXQv5dGq2Gkigy14mXWR-LfeOPGSHlODbu6JkDXojNM1bTcDzl3-25_oZfezG2H3KpM5te2kx_DXWiaqJa5DcHGR5ZqA&token_type=bearer&expires_in=86399996">Firefly AI Assistant</a>，該新功能由代理驅動，提供對話式操作介面。使用者以自然語言描述想要的成果，由代理在背後跨Photoshop、Premiere、Lightroom、Illustrator、Express與Firefly等Creative Cloud應用程式協調並執行多步驟工作流程，最終輸出仍保有Adobe原生檔案格式，後續可繼續編輯。</p> <p>使用者透過單一對話介面描述創作需求，代理會協調並執行跨應用程式的多步驟流程，並持續呈現結果供使用者迭代。當使用者切換至特定應用程式進行細部編輯，例如進入Photoshop做像素級修圖，對話介面與既有上下文會一同帶入該應用程式，不需重新開始。Adobe表示，代理執行過程中使用者可隨時介入，調整方向或修改輸出細節。</p> <p>Firefly AI Assistant內建Creative Skills技能庫，這是一組針對創意流程預先建置的多步驟工作流程，可用提示詞啟動，使用者也可自訂以符合自身工作習慣，像是社群媒體素材技能，使用者可一次完成主體裁切，運用Generative Extend擴展影像，並依各平臺格式調整尺寸、最佳化檔案大小，最後儲存至Creative Cloud儲存空間，或是將靜態影像轉為動畫。</p> <p>代理也具備情境感知能力，能理解使用者處理的內容類型與結構，官方舉例，編輯森林場景的產品照時，代理可提供滑桿讓使用者調整周圍樹木與植被的多寡，省去複雜編輯步驟。代理會逐步學習使用者常用工具與美學偏好，也可透過Frame.io分享作品供審閱者回饋，再依使用者需求將修改套用至作品中。</p> <p>此功能將於未來數周在Adobe Firefly以公開測試版推出，此為Adobe去年在Adobe MAX預覽的Project Moonlight，在私測版推進後演變而來的版本。Adobe也預告，未來將把Firefly AI Assistant的能力擴展至Anthropic Claude等第三方AI模型。</p> </div></div></div>
4/17 11:42作者李建興https://www.ithome.com.tw/news/175120
Marimo重大漏洞遭利用，駭客透過Hugging Face散布惡意軟體NKAbuse
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月8日Python資料分析工具Marimo開發團隊揭露重大漏洞CVE-2026-39987（CVSS v4.0風險評為9.3分），<strong><a href="https://www.ithome.com.tw/news/175041">資安公司Sysdig於10小時後首度看到漏洞利用活動</a></strong>，如今他們提出警告，已有多起漏洞利用攻擊出現。</p> <p>Sysdig指出，<strong><a href="https://www.sysdig.com/blog/cve-2026-39987-update-how-attackers-weaponized-marimo-to-deploy-a-blockchain-botnet-via-huggingface">他們在4月11日至14日</a></strong>，總共看到有11個IP位址從事了662起攻擊，包括反向Shell、擷取憑證、洩露DNS、以及利用竊得憑證向資料庫系統PostgreSQL與Redis進行橫向移動的情況，其中一起引起Sysdig的注意，駭客搭配搶先註冊Hugging Face Spaces服務的方式，散布惡意軟體NKAbuse。</p> <p>駭客假借VS Code的名義，於Hugging Face Spaces設置專案vsccode-modetx，並上傳install-linux.sh與二進位檔案kagent，此二進位檔案的名稱是模仿Kubernetes的AI代理程式。</p> <p>一旦攻擊者成功利用CVE-2026-39987，他們就會執行curl指令，從Hugging Face Spaces下載install-linux.sh指令碼並執行，由於Hugging Face Spaces是聲譽良好的平臺，通常不太會觸發資安系統的警報。</p> <p>install-linux.sh的實際功能是投放惡意軟體有效酬載kagent，經過分析，此為DDoS惡意軟體NKAbuse的變種，該惡意軟體的活動最早約於2023年出現，使用NKN區塊鏈進行C2通訊而得名。</p> <p>值得留意的是，當年攻擊者鎖定Linux作業系統的物聯網裝置，並利用Apache Struts已知漏洞CVE-2017-5638散布NKAbuse，這次駭客針對執行Linux或macOS的AI開發工作站而來，並搭配知名AI服務、冒用常見的開發工具名稱，並利用CVE-2026-39987，突顯執行Marimo的開發工作站極具價值，因為通常會存放雲端憑證、SSH金鑰、API權杖（Token），甚至是內部網路的存取權限。</p> </div></div></div>
4/17 11:59作者周峻佑https://www.ithome.com.tw/news/175134
OpenAI Codex macOS版App加入電腦工具使用功能，能上網、打字、生成圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>因應Anthropic Claude Code挑戰，<a href="https://openai.com/index/codex-for-almost-everything/" target="_blank">OpenAI本週宣布</a>更新Codex macOS版App，加入背景使用電腦工具的功能，不再只能撰寫程式，可理解螢幕、上網和生成圖片，幾乎什麼都能做。Codex並且大幅提升自動化與記憶能力，為開發人員提供更多協助。</p> <p>透過加入背景電腦工具使用能力，Codex現在不只能幫忙寫程式。它能理解螢幕上內容、能以滑鼠點擊App或打字。現在在Mac電腦上多個代理人能同時作業而不干擾其他App運作。對開發人員而言，這能力有助於前端變更、測試App或在不曝露API的應用程式中作業。</p> <p>Codex現在也可原生支援Web。它的App內建瀏覽器。目前用戶可以直接在網頁下評論，藉此提供精準指令給代理人，這有利於前端和遊戲開發工作。OpenAI表示，計畫未來將持續擴大Web支援，使Codex可以完全控制瀏覽器，而不只是操作localhost上的網頁應用程式。</p> <p>Codex也能使用gpt-image-1.5來生成或改良圖片。遊戲或應用程式開發人員可結合螢幕擷圖和程式碼創作產品概念、前端設計、概念原型和遊戲製作視覺效果。</p> <p>OpenAI今天為Codex發表90多個外掛程式，具備技能、App整合和MCP伺服器讓Codex得以執行更多任務。新外掛包括Atlassian Rovo，可管理JIRA、CircleCI、CodeRabbit、GitLab Issues、Microsoft Suite、Neon by Databricks、Remotion、Render、和Superpowers。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0417-codex-macos-plugin-600.jpg" style="width: 550px;" /></p> <p><strong>提升開發協助能力</strong></p> <p>現在Codex支援完整的軟體開發週期各個階段，包括能處理GitHub PR審查評論、執行多個終端Tab和以SSH連結遠端devbox。它還能直接在側邊欄開啟及預覽多種檔案，像是PDF、試算表、簡報、文件檔，並以新的摘要窗追蹤代理人計畫、來源和成品（artifact）。OpenAI表示，這些新增功能將可加速軟體開發週期各個階段，從撰寫程式、檢查輸出、檢視變更、及和代理人協作都可在單一工作空間完成。</p> <p>OpenAI並擴展Codex自動化能力，能重覆利用現有對話串、保留之前的脈絡。它能自我排程未來工作、休息後重啟執行數天或數週的長期任務。開發團隊可利用Codex的自動化功能來處理各種工作，包括開啟pull request到追蹤任務，以及掌握Slack、Gmail和Notion等上的對話。</p> <p>OpenAI也預覽了新的記憶能力，這能力使Codex記得之前工作的脈絡，像是個人喜好、修正的地方，或是花時間蒐集的資訊，省下開發團隊客製化的大量時間。Codex還能根據之前專案的脈絡、連結的外掛和記憶體，建議開發人員如何接續專案作業。例如它會從Google Docs找出評論、從Slack、Notion或codebase取得相關資訊，再提供行動建議。</p> <p>現在這些新功能將部署到桌機版Codex App，使用者登入ChatGPT就能使用。包含脈絡感知建議和記憶的個人化功能，將提供給Enterprise、Edu用戶，很快將推向歐盟和英國。電腦使用功能現在只提供給macOS版，也很快會推向歐盟和英國。</p> </div></div></div>
4/17 12:02作者林妍溱https://www.ithome.com.tw/news/175135
AI Mode進駐Chrome，瀏覽器AI競爭升溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/products-and-platforms/products/search/ai-mode-chrome/" target="_blank">Google週三（4/16）宣布</a>將AI Mode整合進Google Chrome，讓原本存在於搜尋中的對話式AI能力直接進入瀏覽器使用流程。用戶在瀏覽網頁時可即時提問、比較資訊並延伸查詢，無需反覆切換分頁。此舉顯示Google正將AI從搜尋結果頁推向瀏覽器核心場景，迎戰微軟於Microsoft Edge中導入Copilot的策略。</p> <p>AI Mode是Google在搜尋中推出的生成式AI模式，起源於2023年SGE（Search Generative Experience）實驗，並逐步發展為可進行多輪對話與複雜查詢的進階搜尋工具。不同於傳統關鍵字搜尋，AI Mode強調理解使用者需求，整合多個網路來源直接生成答案，並支援延伸追問與跨主題推理。</p> <p>在整合到Chrome之後，AI Mode的操作方式從原本的搜尋頁延伸至實際瀏覽流程。使用者直接於AI Mode中輸入需求後，可在同一畫面開啟網頁，系統會將AI介面與網頁並排呈現，讓用戶在閱讀內容的同時即時提問，例如針對產品規格、文章重點或差異比較進行延伸查詢。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0417-AI%20Mode%20in%20Chrome-600.png" style="width: 515px;" /></p> <p>此外，AI Mode亦支援跨分頁整合，用戶可透過介面中的「＋」功能，將已開啟的多個分頁、圖片或文件（如PDF）納入查詢範圍，由AI統一整理與比較。</p> <p>例如在選購咖啡機時，使用者可先在AI Mode中輸入需求，再開啟產品頁面並即時詢問如「是否容易清潔」等問題，AI會結合當前頁面與網路資訊提供回應，協助做出決策。或是在研究登山步道時，使用者可將已開啟的多個相關網站加入查詢，進一步詢問其他地區是否有適合親子的類似路線。</p> <p>不過，其實微軟早在2023年就將Copilot（當時仍名為Bing Chat）整合進Microsoft Edge側邊欄，讓使用者在瀏覽網頁時可直接進行對話、摘要內容與延伸查詢，開啟了AI與瀏覽器整合的先例。</p> </div></div></div>
4/17 12:20作者陳曉莉https://www.ithome.com.tw/news/175137
降低基頻高風險攻擊面，Google在Pixel 10系列導入Rust改寫的DNS解析器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://security.googleblog.com/2026/04/bringing-rust-to-pixel-baseband.html">Google在Pixel 10系列基頻（Baseband）韌體中導入記憶體安全語言</a>，具體作法是導入以Rust實作用來解析DNS回應的DNS解析器。Google選用開源Rust函式庫hickory-proto作為基礎，並以體積最佳化設定建置原型後估算，相關Rust程式碼總計約371 KB。</p> <p>Google指出，基頻近年已成為攻擊者與資安研究人員的重點目標，自家Project Zero過去就曾透過網際網路，在Pixel基頻上達成遠端程式碼執行。Pixel基頻可執行碼達數十MB，且絕大部分以記憶體不安全語言撰寫，仍可能潛藏其他關鍵記憶體安全漏洞。</p> <p>開發團隊先從DNS著手，是因為現代行動通訊已轉為數位資料網路，連通話轉接等基本功能都仰賴DNS服務，而DNS協定複雜，必須解析來自網路的不受信任資料，容易衍生漏洞。以Rust重寫DNS解析器，可降低此處與記憶體不安全相關的一整類漏洞風險。</p> <p>Google評估多個Rust DNS函式庫後選定hickory-proto，理由包含維護狀況良好、測試覆蓋率超過75%，以及在Rust社群中的高普及度。該函式庫原先不支援嵌入式環境所需的no_std，開發團隊替hickory-proto與其相依的rust-url與ipnet補上支援，相關成果已回饋上游。</p> <p>Google直接把Rust編譯流程接進原本的Pigweed與GN建構系統，開發團隊解釋，這樣做除了比較方便後續擴充，也能避免未來加入更多Rust元件時，在連結階段出現重複符號問題。由於Rust還得和既有的C/C++程式一起運作，團隊也另外處理了記憶體配置與程式異常當機時的銜接機制。</p> <p>等DNS回應完成解析後，Rust程式會再呼叫原本的C函式，更新既有資料結構。Google也提到，整合過程一度出現非預期的功耗與效能問題，原因是compiler_builtins中的memset與memcpy實作，在連結階段取代了基頻韌體內原本針對硬體調校過的版本。團隊最後在連結前移除compiler_builtins相關目標檔，才排除這個問題。</p> <p>程式碼體積是評估過程的重要變數，Google坦言hickory-proto並非為嵌入式環境設計，未針對體積最佳化，但因Pixel基頻記憶體空間相對寬裕，因此以程式碼品質與社群支援為優先。Google表示，這次導入雖僅替換基頻中一個高風險區塊，但已為後續將更多記憶體安全解析器與程式碼帶入基頻建立基礎。</p> </div></div></div>
4/17 10:44作者李建興https://www.ithome.com.tw/news/175117
數發部釋出公部門開源軟體應用參考手冊，彌補公部門對開源軟體的授權、管理資訊不足缺口
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為推動政府數位服務現代化並提升軟體開發治理能力，數位發展部於4月初發布<a href="https://www-api.moda.gov.tw/File/Get/moda/zh-tw/wTyfJVau2bsM8lr">「公部門開源軟體應用參考手冊」</a>，針對公部門在使用開源軟體過程中常見的授權、管理與資安議題，提供系統化指引，作為各級機關落實開源策略的重要依據。</p> <p>數發部自2024年起推動<a href="code.gov.tw">公共程式平臺</a>，透過與政府機關及民間開發社群合作，推動公私協力開發，並鼓勵將成果上架平台供外界使用，以降低各機關重複開發的成本。不過，在推動過程中，軟體授權與管理問題也逐漸浮現，數發部因此意識到，公部門在開源軟體治理上的認知與制度仍有待強化，故而推出參考手冊作為公部門的參考依據。</p> <p>該手冊的推出，可望補足公部門在實務運作上，對於開源授權條款（如GPL、MIT等）的理解仍普遍不足的問題，加上缺乏完善的內部管理流程，容易衍生授權違規、程式碼釋出不當，甚至影響資安與供應鏈風險控管。</p> <p>根據手冊的內容，其重點涵蓋開源軟體的選用評估、授權合規、開發與維運管理，以及對外釋出的原則與流程，並輔以實務案例與操作建議，有助於提升公部門對於開源軟體的認識，降低法律與營運風險，也使開源軟體的使用從過去偏向的技術決策，透過手冊的認識，強化組織對於開源軟體的治理機制。</p> <p>不論是推動公共程式平臺或是推出參考手冊，反映政府數位治理策略的轉向，即從傳統以採購或委外開發為主，進一步趕上國際趨勢，向強調「可重用」、「可審查」與「可協作」的開發模式，較傳統開發更有彈性靈活的作法，透過制度化管理開源軟體，政府可提升系統透明度，促進跨機關資源共享，並有效避免重複開發，進而提升整體行政效率。</p> <p>從國際趨勢來看，開源與公共程式已成為政府數位治理的關鍵策略之一。例如歐盟在European Commission主導下，推動「Public Money, Public Code」理念，強調以公帑開發的軟體應優先開源，以促進跨國共享與數位主權；美國則由White House制定聯邦原始碼政策，強調「先重用、後開發」，要求政府機關在啟動新系統前，須先盤點是否已有可用程式碼，並透過Code.gov統一管理與公開，促進跨機關共享與再利用。</p> </div></div></div>
4/17 10:58作者蘇文彬https://www.ithome.com.tw/news/175126
FIDO結合DBSC等技術來應對Session劫持，並聚焦SSF框架拓展不同身分安全協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期FIDO臺灣分會舉辦活動，除了<a href="https://www.ithome.com.tw/news/175115">解析FIDO聯盟今年的發展路線</a>，從<a href="https://www.ithome.com.tw/news/175116">產業視角深入探討三大核心發展方向</a>，值得關注的是，還有多項FIDO最新技術動態亦成為會中焦點，包括FIDO2標準的最新進展，以及與其他協定合作的動向。對此，全景軟體副總經理陳俊良在會中分享了更多深度觀察。</p> <p>陳俊良指出，回顧半年多來，FIDO2（CTAP2）標準有新的技術演進，新標準允許傳遞更多元參數，讓驗證器在進行身分鑑別的同時，能安全地傳遞可驗證數位憑證（Verifiable Digital Credentials，VDC）、檢查PIN碼複雜度、指定特定認證器，甚至具備儲存加解密金鑰的功能，大幅擴展了其應用場景。此外，支付應用今年也已獨立成立工作小組Payments Working Group（PWG）。</p> <p>在跨協定合作方面，FIDO聯盟企業部署工作小組（EDWG）近期的動態尤為特別，其中有兩大焦點值得業界注目：</p> <h3><strong><span style="color: rgb(178, 34, 34);">DBSC（Device Bound Session Credentials）</span></strong></h3> <p>首先，該小組於2025年5月發布<strong><a href="https://fidoalliance.org/white-paper-dbsc-dpop-as-complementary-technologies-to-fido-authentication/"><span style="color:#696969;">白皮書</span></a></strong>：《DBSC/DPOP as Complementary Technologies to FIDO Authentication》，強調雖然現行FIDO技術雖然防禦了登入階段時的密碼遭網釣威脅，但其他技術環節仍有風險，特別是後驗證（Post-Authentication）階段，使用者登入後獲得的Cookie或Access Token，仍可能被惡意軟體竊取。</p> <p>因此，該白皮書強調FIDO結合W3C正推動的DBSC（Device Bound Session Credentials）標準，以及結合OpenID基金會推動的DPoP（Demonstrating Proof-of-Possession）標準，這兩者主要目的都是要實現裝置綁定（Device Binding），將安全性從登入過程，延伸到後段的Session Security。</p> <p>事實上，近期這方面又有新進展，Google自兩年前<a href="https://www.ithome.com.tw/news/162126">測試DBSC</a>後，<a href="https://www.ithome.com.tw/news/174991">今年4月宣布將其導入於Chrome瀏覽器</a>。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>SSF（Shared Signals Framework）</strong></span></h3> <p>另一項重點是該小組於2025年10月發布的<a href="https://fidoalliance.org/white-paper-fido-and-the-shared-signals-framework/"><strong>白皮書</strong></a>《FIDO and the Shared Signals Framework》，該文件聚焦於OpenID基金會開發的共享訊號框架，目標是將身分與存取管理（IAM）與信任機制深度結合。</p> <p>簡單來說，在傳統架構下，各個IAM系統往往各自為政，這導致使用者在登入後的風險狀態變化，難以即時同步給其他系統，例如Token遺失或帳號遭劫持。而透過FIDO與SSF的結合，透過CAEP（持續存取評估）協定來即時分享設備合規狀態、撤銷Token或強制變更連線Session，透過RISC（風險事件協作）來傳遞帳號盜用與異常行為。陳俊良舉例，當行動裝置管理（MDM）系統偵測到手機環境不合規時，能透過SSF框架即時通知所有串連的應用系統強制登出；在人員入職、離職或調職時，也能確保各系統權限同步自動更新。此外，在執行帳戶復原流程時，配合SSF的訊號偵測，能有效防止攻擊者趁虛而入。</p> <p><a href="/sites/default/files/images/（圖1）FIDO跨協定合作聚焦DBSC與SSF_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89FIDO%E8%B7%A8%E5%8D%94%E5%AE%9A%E5%90%88%E4%BD%9C%E8%81%9A%E7%84%A6DBSC%E8%88%87SSF_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> </div></div></div>
4/16 18:33作者羅正漢https://www.ithome.com.tw/news/175122