iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

英特爾首季營收超越預期，AI與代工業務成長強勁帶動股價盤後飆升22%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英特爾（Intel）於週四（4/23）正式<a href="https://www.intc.com/news-events/press-releases/detail/1767/intel-reports-first-quarter-2026-financial-results" target="_blank">公布2026年第一季財報</a>，數據顯示該季營收達136億美元，比去年同期增長7%，表現大幅超越華爾街分析師預期的124.2億美元。儘管營收動能回升，但受多項一次性費用影響，本季淨損達37億美元，每股虧損0.73美元。</p> <p>從業務部門觀察，資料中心與AI事業群（DCAI）成為本季成長的主要引擎，營收達51億美元，年增率高達22%。晶圓代工業務（Intel Foundry）亦展現轉型成效，營收來到54億美元，較去年同期成長16%。至於規模最大的客戶運算事業群（CCG），營收則為77億美元，微幅成長1%。</p> <p>本季出現巨額虧損的主因，主要歸咎於約51.6億美元的非經常性支出。其中包括40.7億美元的重整費用與Mobileye相關商譽減損，以及與美國政府合作計畫相關的股權價值變動，認列了約10.9億美元損失。若排除這些一次性項目，英特爾的基礎營運體質已明顯改善。</p> <p>英特爾執行長陳立武（Lip-Bu Tan）表示，AI的發展正進入新階段，智慧應用正從雲端基礎模型轉向更接近使用者的「終端推論」，並進一步催生出AI代理人（Agents）趨勢。這一轉變不僅提升了市場對英特爾CPU的需求，也為其晶圓製造與先進封裝技術帶來龐大訂單。英特爾目前已連續六個季度營收優於預期。</p> <p>展望未來，英特爾預估下一季營收將介於138億至148億美元之間，遠高於市場預期的130億美元。由於業績數據與財測展望雙雙優於預期，激勵投資人信心，促使英特爾當天盤後股價大漲22%，衝上81.58美元。市場分析認為，隨著AI應用重心由訓練轉移至推論，英特爾在PC與資料中心市場的戰略地位正被重新評價。</p> </div></div></div>
4/24 14:21作者陳曉莉https://www.ithome.com.tw/news/175279
OpenAI提供醫護人員免費使用ChatGPT for Clinicians
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI本週推出為醫護人員設計的免費AI工具<a href="https://openai.com/index/making-chatgpt-better-for-clinicians/" target="_blank">ChatGPT for Clinicians</a>，協助簡化文件撰寫和醫療研究。現階段免費提供給美國具證照的醫師、護理從業人員及藥師，計畫擴大推向其他國家地區。</p> <p><a href="https://chatgpt.com/plans/clinicians/" target="_blank">ChatGPT for Clinicians</a>和今年1月推出的OpenAI推出的<a href="https://openai.com/zh-Hant/solutions/industries/healthcare/" target="_blank">OpenAI for Healthcare</a>有所不同。OpenAI for Healthcare為提供給醫療機構的付費方案，旨在幫助醫療機構提高病患護理品質及合規要求，提供包括醫療專用GPT模型、權威公開研究資料查詢、存取管理功能、整合SharePoint等內部系統，支援HIPAA隱私法規要求。使用者涵括醫護人員、研究人員和行政單位。</p> <p>ChatGPT for Clinicians則為免費的個人專業版，提供給有執照的醫療執業者，包括執業醫師(Physician)、執業護理師(NP)、醫師助理(PA)以及藥劑師(Pharmacist)，協助臨床文件及醫療研究。</p> <p>ChatGPT for Clinicians包含以下元素：可回答複雜臨床問題的進階AI模型、ChatGPT具備重複性臨床工作流程技能，能處理轉介信、事前授權及病患指令等。它提供標註來源的臨床資訊查詢，像是從權威資料庫查詢案例和其他醫療資訊。醫護人員還可指派ChatGPT代為查詢醫學文獻並編輯成報告。</p> <p>此外，醫護人員在ChatGPT中研究臨床問題時，經過合格的證據審查可自動計入持續醫學教育(CME)學分。無需另行課程或額外文件。ChatGPT for Clinicians允許選擇性(Optional)HIPAA合規。OpenAI並承諾帳號安全與隱私，對話不用於訓練模型，並以多重身份驗證等安全措施保護敏感資訊。</p> <p>OpenAI還公佈基於ChatGPT for Clinicians的ChatGPT 5.4，在照護諮詢、撰寫與文件，以及醫學研究的標竿測試HealthBench Professional中表現最佳。ChatGPT for Clinicians中的GPT-5.4表現優於基礎GPT-5.4、其他OpenAI及競爭者模型，以及人類醫師。</p> <p>ChatGPT for Clinicians之前，今年一月OpenAI還推出<a href="https://www.ithome.com.tw/news/173226" target="_blank">ChatGPT Health</a>。ChatGPT Health定位在一般消費者的健康與醫療資訊助理，可協助用戶理解其上傳的健康紀錄及檢查報告，以了解自己健康狀況，協助掛號或比較保險方案等個人用途。</p> </div></div></div>
4/24 14:31作者林妍溱https://www.ithome.com.tw/news/175280
微軟預覽Foundry Agent Service託管代理人服務，強調治理及BYOC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://devblogs.microsoft.com/foundry/introducing-the-new-hosted-agents-in-foundry-agent-service-secure-scalable-compute-built-for-agents/" target="_blank">微軟週四（4/23）公布</a>Foundry Agent Service新的託管代理人（Hosted Agents）服務，主打具備雲端環境治理、持續性、可擴充的好處，允許Bring Your Own Code（BYOC）。</p> <p>隨著代理人深入企業環境，能自動化處理多種任務，許多企業在本地開發代理人執行特定工具、存取底層檔案系統、撰寫和執行程式碼，或運用檔案和記憶體以執行長期間的複雜任務。雖然在本地環境開發代理人很容易，缺點是難以均衡在整個企業環境部署，對話安全性、代理人治理及管理可視度也是問題。</p> <p>微軟去年Microsoft Ignite大會上首次公布Foundry Agent Service託管代理人，正是為了解決這些問題，將公有雲的安全、擴充性、穩定性及管理性等優點結合代理人的方便及能力。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0424-Foundry%20Agent%20Service-600-2(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0424-Foundry%20Agent%20Service-600-1(1).png" style="width: 600px;" /></p> <p>Foundry Agent Service託管代理人服務目前為公開預覽版。最新版本增加了獨立沙箱、scale-to-zero、及治理功能等。專用沙盒隔離（Per-session Isolation）：每個代理人會話（Session）都擁有獨立的VM級別隔離沙盒，而非僅是進程隔離。這確保即使代理執行任意程式碼，也不會跨用戶影響資料安全。使用者可以Isolation Key管理及劃定命名空間，並支援自有VNet管理代理人對外流量，滿足政府、金融或大型企業的連線控制權。</p> <p>具備持久化文件系統的「縮減至零」（Scale-to-Zero with Persistence）：這是一項重大突破。當代理人閒置時，系統會關閉計算資源以節省成本（Scale to Zero），但其磁碟狀態、文件與Session身份會保留。當代理人再次喚醒時，能從上次中斷的地方立即恢復，冷啟動時間極短。</p> <p>代理人內建身份與治理：每個代理人都擁有自己的Entra Agent ID，可以代表用戶（On-Behalf-Of，OBO）執行任務，並具備完整的審計日誌，解決了過去共享服務帳號帶來的安全盲點。</p> <p>框架與模型中立（Bring Your Own Everything），支持多種主流框架（如LangGraph、Microsoft Agent Framework、Claude SDK、OpenAI SDK）與多種模型（OpenAI, Anthropic, Meta, Mistral等）。主打Bring your own code（BYOC），開發者只需定義Dockerfile即可快速部署。</p> <p>其餘特色包括穩定代理人端點方便整合，內建代理人版本管理，便於代理人部署，以及支援多種協定，例如支援微軟的OpenResponses協定及Microsoft 365的Activity Protocol，這方便企業代理人的輸出結果輸出到M365，例如Teams。</p> <p>Flexible Invocations protocol支援則允許將代理人輸出整合到其他平臺如自家產品、車載系統或特定工業設備。此外，它提供AG-UI支援，允許代理人生成互動式UI。</p> <p><strong>其他工具</strong></p> <p>微軟同時宣布整合的工具，包括Microsoft Agent Framework v1.0，以及安全測試用代理人AI Red Teaming Agent。微軟也正在預覽工具箱與記憶體（Toolbox & Memory）：提供統一的工具管理工具箱（Toolbox）與受管長期記憶（Memory），讓代理人跨會話記住上下文，無需開發者自行配置外部數據庫。</p> </div></div></div>
4/24 15:02作者林妍溱https://www.ithome.com.tw/news/175281
GitHub同日通報多項服務異常與PR合併問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub於臺灣時間4月24日凌晨<a href="https://www.githubstatus.com/incidents/myrbk7jvvs6p">發生多項服務異常</a>，影響範圍包括Copilot、Webhooks與Actions等開發流程常用功能。GitHub狀態頁顯示，官方自4月24日0時12分開始調查，最初是Copilot與Webhooks出現可用性下降，之後擴大為多項服務無法使用，Actions也出現效能下降。GitHub在0時52分表示已找出問題原因並進行修復，1時30分將事件標示為解決。</p> <p>同日GitHub也<a href="https://www.githubstatus.com/incidents/zsg1lk7w13cf">通報拉取請求（Pull Requests，PR）相關事件</a>，影響開發團隊高度依賴的PR合併流程。GitHub表示，合併佇列出現回歸問題，部分PR可能被錯誤合併。對使用分支保護、必要狀態檢查與自動化CI/CD流程的團隊，該問題可能影響程式碼進入主要分支前的把關機制。</p> <p>GitHub的合併佇列用於管理繁忙分支上的PR合併流程，PR通過必要分支保護檢查後，可被加入佇列，系統會把該PR套用到目標分支最新狀態，以及佇列中位於前方的PR變更之上，再等待必要檢查通過，才將變更合併到目標分支，以降低開發者各自合併PR後，在主分支上才出現相容性問題的風險。</p> <p>在多項服務異常事件中，GitHub確認Actions效能下降，並陸續緩解Actions、Copilot與Webhooks異常。拉取請求事件則在臺灣時間4月24日凌晨3時50分開始調查，GitHub後續說明，已修復合併佇列搭配擠壓合併（Squash Merge）或重定基底（Rebase）時出現的迴歸問題，並於5時43分將事件標示為解決。GitHub表示，後續會公布詳細原因分析。</p> </div></div></div>
4/24 15:11作者李建興https://www.ithome.com.tw/news/175276
OpenAI公布GPT-5.5 能力強大向超級App邁進
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週才剛公布設計模型<a href="https://www.ithome.com.tw/news/175224" target="_blank">ChatGPT Images 2.0</a>，OpenAI（4/23）昨日又<a href="https://openai.com/index/introducing-gpt-5-5/" target="_blank">公布基礎語言模型GPT-5.5</a>，理解、分析能力更強，能支援處理混亂多步驟任務、不減速度，也更省成本，能協助代理式程式撰寫、知識工作者、及早期科學研究。</p> <p>GPT-5.5號稱是OpenAI最聰明最直覺的模型，並增強電腦工具使用能力，以協助處理「真正的工作」。GPT-5.5綜合撰寫程式與除錯、在網路上研究、分析資料、製作文件和試算表、操作軟體、使用工具的能力，直到完成任務。使用者可丟給它一項千頭萬緒、多步驟的任務，交由它規劃、使用工具、檢查，一步步釐清頭緒向前推進。這些能力特別適合代理式程式撰寫、電腦使用及早期科學研究。</p> <p>另一方面OpenAI宣稱，雖然一般來說模型更大速度會變慢，但即使GPT-5.5能力更強大，實際使用時，每token的延遲性表現並不低於GPT-5.4。而且在相同Codex任務中，GPT-5.5使用的token還少於GPT-5.4，意味它同時提高了能力和效率。</p> <p>GPT-5.5已經部署到Plus、Pro、Business及Enterprise方案用戶的ChatGPT和Codex。Business、Enterprise用戶還可經由ChatGPT使用GPT-5.5 Pro版本。很快OpenAI會將GPT-5.5及GPT-5.5 Pro部署到API。</p> <p><strong>測試結果</strong></p> <p>根據OpenAI官方發布的第三方標竿測試資料，GPT-5.5在核心的通用智能方面，GPT-5.5在ARC-AGI-2測試中達到了85.0%，於科學推理測試GPQA Diamond中獲得93.6%的高分，顯示其在處理高度專業化與學術性問題上的能力。</p> <p>在程式撰寫能力上，根據測試複雜指令行工作流程的Terminal-Bench 2.0、評估解決GitHub問題能力的SWE-Bench Pro及OpenAI內部長期編程任務的Expert-SWE等標竿測試上，GPT-5.5都超越GPT-5.4，且使用更少token。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0424-GPT%E2%80%915_5-600-1.png" style="width: 580px; height: 440px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>在知識工作能力上，在Codex環境下GPT-5.5在產生文件、試算表和投影片簡報方面優於GPT-5.4。在電腦操作技巧上，GPT-5.5展現理解螢幕內容、點擊、打字、操作介面，並精準地切換工具的能力。此外，該模型在GDPval知識工作測試中以84.9%的得分領先於GPT-5.4、或是對手模型Claude 4.7及Gemini 3.1 Pro。</p> <p>在特定領域的知識工作能力上，GPT-5.5雖然在安全與醫療問答測試HealthBench在「困難專業題」有限，但在科學研究GeneBench顯著優於GPT-5.4，在BixBench：已達公開模型最佳級別。法律/專業任務的BigLaw Bench測試得分達91.7%，已達「接近專業助手」等級。</p> <p>OpenAI強調模型的安全性，經過內外部安全演練團隊測試其進階網路安全和生物學能力，並由近200家早期試用的合作夥伴獲取回饋意見。</p> </div></div></div>
4/24 14:05作者林妍溱https://www.ithome.com.tw/news/175278
Checkmarx證實遭遇供應鏈攻擊，呼籲用戶採取行動因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本月22日資安公司Socket<strong><a href="https://www.ithome.com.tw/news/175264">發現</a></strong>，有人攻擊開源基礎架構掃描工具KICS的Docker映像檔，以及資安公司Checkmarx開發的Visual Studio Code（VS Code）延伸套件，後續Checkmarx證實此事，並公布影響範圍。</p> <p><strong><a href="https://checkmarx.com/blog/checkmarx-security-update-april-22/">根據Checkmarx初步調查結果指出</a></strong>，根據他們的初步調查結果，駭客的惡意元件僅影響特定時間上傳的Docker映像檔，以及VS Code延伸套件，其餘他們先前發布的正常版本未遭到覆蓋。因此，使用者若是採用在攻擊發生之前的版本，將不受影響。</p> <p>而對於疑似受到影響的用戶，Checkmarx呼籲儘速封鎖特定網域，並暫時關閉IDE市集的自動更新功能，以SHA雜湊值進行確認，若認為系統可能已部署惡意軟體，就應該更換憑證與相關資料。</p> <p>該公司指出本次事故影響範圍，涵蓋上架於Docker Hub的KICS映像檔、公開GitHub儲存庫ast-github-action，以及兩款VS Code延伸套件Checkmarx與Checkmarx Developer Assist。他們也公布上架有問題檔案的時間點，KICS映像檔是在世界協調時間（UTC）4月22日中午12時31分至12時59分，GitHub儲存庫是同日下午14時17分至15時41分。不過，對於VS Code延伸套件遭到入侵的確切時間點，Checkmarx仍在調查。</p> </div></div></div>
4/24 11:10作者周峻佑https://www.ithome.com.tw/news/175272
Checkmarx供應鏈攻擊事故擴大，密碼管理解決方案公司Bitwarden證實NPM套件遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Checkmarx<strong><a href="https://www.ithome.com.tw/news/175264">近日遭遇供應鏈攻擊</a></strong>引起關注，然而這起事故的影響範圍持續擴大，傳出有其他公司遭遇類似的攻擊。</p> <p>資安公司<strong><a href="https://socket.dev/blog/bitwarden-cli-compromised">Socket</a></strong>、<strong><a href="https://research.jfrog.com/post/bitwarden-cli-hijack/">JFrog</a></strong>、<strong><a href="https://www.stepsecurity.io/blog/bitwarden-cli-hijacked-on-npm-bun-staged-credential-stealer-targets-developers-github-actions-and-ai-tools">StepSecurity</a></strong>與<strong><a href="https://www.ox.security/blog/shai-hulud-bitwarden-cli-supply-chain-attack/">OX Security</a></strong>，以及獨立研究員<strong><a href="https://x.com/adnanthekhan/status/2047276201429897679">Adnan Khan</a></strong>提出警告，密碼管理軟體開發公司Bitwarden推出的NPM套件Bitwarden CLI遭遇供應鏈攻擊，駭客發布了惡意版本2026.4.0，目的是搜刮開發環境的機密資料，其特徵與Checkmarx事故一致，疑似該起攻擊活動的延伸。</p> <p><strong><a href="https://community.bitwarden.com/t/bitwarden-statement-on-checkmarx-supply-chain-incident/96127">Bitwarden當天隨即發布聲明證實此事</a></strong>，該公司在美國東部時間（ET）4月22日晚間5時57分至7時30分，識別惡意套件活動並進行控制，並表明此事與廣泛的Checkmarx供應鏈攻擊事故有關。Bitwarden強調，根據初步調查的結果，終端使用者的密碼保險庫（Vault）資料未出現遭到存取或是曝險的跡象，該公司生產環境的系統與資料也未遭入侵。僅在特定時間下載Bitwarden CLI並安裝的使用者，才會受這事故影響，該公司也準備為本起事故登記CVE編號。</p> <p>若不慎安裝惡意套件，Bitwarden呼籲應立即透過NPM指令移除，並清除NPM的暫存資料，清理過程應暫時停用NPM安裝指令碼的功能。另外，使用者也要在受影響的開發環境，輪替存放環境參數的API權杖（Token）、SSH金鑰，以及相關的機密資料，並檢查GitHub、CI工作流程是否出現未經授權的存取及變更。</p> </div></div></div>
4/24 12:42作者周峻佑https://www.ithome.com.tw/news/175275
NPM蠕蟲供應鏈攻擊竊取開發環境憑證與加密貨幣資產，透過遭駭帳號擴散
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月下旬駭客組織TeamPCP發動一連串供應鏈攻擊，其中一起是<strong><a href="https://www.ithome.com.tw/news/174614">蠕蟲程式CanisterWorm</a></strong>，如今傳出類似的蠕蟲活動再度出現。</p> <p>資安公司Socket發現<strong><a href="https://socket.dev/blog/namastex-npm-packages-compromised-canisterworm">新一波NPM供應鏈攻擊</a></strong>，駭客疑似針對AI系統建置服務及顧問公司Namastex Labs旗下的NPM套件進行竄改，挾帶的惡意軟體具備以下特性：套件安裝完成後即自動執行惡意程式，會從開發環境挖掘各式憑證、採用由Canister智慧合約驅動的服務，以及透過自我複製的方式滲透其他的套件。</p> <p>本次駭客使用的惡意程式具備4大功能，首先，會從開發環境收集各式機密資料，包括AWS、Azure與GCP雲端憑證，以及Kubernetes與Docker組態配置、SSH金鑰與組態、資料庫密碼檔，以及.npmrc、.git-credentials、.netrc與.env*等開發環境組態檔案，還有Terraform、Pulumi、Vault等平臺的資料。</p> <p>除了上述開發環境的資料，有效酬載還會從瀏覽器與加密貨幣錢包應用程式，挖掘各式資料。</p> <p>在搜刮這些資料後，此惡意軟體就會將檔案以兩種管道傳送，一種是HTTPS的Webhook端點，另一種是ICP智慧合約通訊協定的容器Canister。</p> <p>最終會透過NPM、PyPI進行擴散，以NPM環境而言，有效酬載會從受害電腦擷取權杖（Token），找出開發人員具發布權限的套件，下載檔案並注入惡意掛鉤（Hook），並重新發布。而對於PyPI環境的部分，惡意程式具備能產生Python酬載的指令碼，一旦找到對應的憑證，就會利用Twine製作惡意套件並上傳。</p> </div></div></div>
4/24 09:43作者周峻佑https://www.ithome.com.tw/news/175267
Meta計畫裁撤10%員工，微軟提出自願退休方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<a href="https://www.ft.com/content/fe875f6c-f45c-4dbd-9d18-168d1fdbfd5f" target="_blank">金融時報</a>（Financial Times）、<a href="https://www.bloomberg.com/news/articles/2026-04-23/meta-tells-staff-it-will-cut-10-of-jobs-in-push-for-efficiency" target="_blank">彭博社</a>（Bloomberg）及<a href="https://www.cnbc.com/2026/04/23/microsoft-plans-first-voluntary-retirement-program-for-us-employees.html" target="_blank">CNBC</a>等媒體的報導，Meta最近正計畫裁撤10%員工，以提升營運效率並抵銷投資支出；微軟則提出了自願退休方案，約7%美國員工符合資格，透過較溫和方式進行人力結構調整，顯示大型科技公司持續強化成本與人力配置。</p> <p>根據報導，Meta是在週四（4/23）於內部公告，準備在下個月裁撤10%，約影響8,000名員工，以提高營運效率，並抵銷Meta正在進行的其它投資。此外，Meta還取消了原本要招聘的6,000個職缺。</p> <p>而微軟也在同一天提出了自願退休計畫，鼓勵年紀加上資歷達到或超過70年的員工退休，估計約有7%的美國員工符合資格。</p> <p>美國媒體並未把此次裁員歸因於AI，多半解讀為效率與成本控管下的調整。不過，在AI及資料中心的需求帶動下，Amazon今年在AI資料中心預計投入2,000億美元，Google為1,850億美元，微軟1,140億美元，Meta則為1,350億美元，合計達6,500億美元，顯示資本支出與人力配置之間的重新平衡，已成為科技巨頭營運策略的核心。</p> </div></div></div>
4/24 09:20作者陳曉莉https://www.ithome.com.tw/news/175266
資安公司Checkmarx遭供應鏈攻擊，掃描工具KICS的Docker映像檔、VS Code延伸套件被入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一個月前，資安公司Checkmarx開發的<strong><a href="https://www.ithome.com.tw/news/174629">開源基礎架構掃描工具KICS遭遇供應鏈攻擊</a></strong>，駭客團體TeamPCP滲透KICS的GitHub Actions，植入可竊取憑證的惡意程式碼，影響使用該工具進行CI/CD流程的開發人員，如今KICS再度傳出遭遇供應鏈攻擊。</p> <p>資安公司Socket近日接獲Docker的通報，<strong><a href="https://socket.dev/blog/checkmarx-supply-chain-compromise">得知KICS的Docker Hub儲存庫出現惡意映像檔</a></strong>，Socket進一步調查此事，發現攻擊者覆寫了原本的標籤，並引入與上游版本不符的新標籤。而且，映像檔內的KICS二進位檔被竄改，駭客加入了原本不具備的資料收集與外洩功能，使得惡意的KICS能產生未經審查的掃描報告，進行加密處理後傳送到外部。企業若是利用KICS掃描Terraform、CloudFormation或Kubernetes的組態，就有可能受到這波攻擊影響。不過，截至目前為止，Checkmarx未公開回應此事。</p> <p>值得留意的是，經過深入調查，Socket發現Checkmarx其他開發工具也疑似受到影響，其中包含近期發布的Visual Studio Code（VS Code）延伸套件，駭客植入的惡意程式碼，會透過執行環境Bun下載其他附加元件，並在不需使用者確認的情況下，從特定的GitHub網域抓取JavaScript指令碼並執行。<br /> <br /> 究竟駭客植入的惡意程式會帶來哪些危害？Socket指出會收集開發環境及雲端憑證，洩露至以受害者帳號建立的公開GitHub儲存庫。另外，惡意軟體也會利用竊得的GitHub憑證，注入新的GitHub Actions工作流程，然後從工作流程挖掘機敏資訊，或是利用竊得的NPM憑證，識別可寫入的套件並試圖發布有問題的版本。Socket強調，駭客並非單純竊取受害環境的資料，而是將開發者的CI/CD存取權限變成新的供應鏈攻擊途徑。</p> <p>值得留意的是，TeamPCP透露這起事故可能是他們所為，<strong><a href="https://x.com/pcpcats/status/2047018766689599974">在社群網站X發布訊息嘲諷</a></strong>，但Socket認為，單憑這則推文，難以證明攻擊者就是TeamPCP。</p> </div></div></div>
4/23 17:43作者周峻佑https://www.ithome.com.tw/news/175264
Web應用框架ASP.NET Core DataProtection套件存在提權漏洞，受影響環境須升級並輪換金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<a href="https://github.com/dotnet/announcements/issues/395">資安公告</a>，確認現代化Web應用框架ASP.NET Core的Microsoft.AspNetCore.DataProtection套件10.0.0至10.0.6版本存在提權漏洞CVE-2026-40372，CVSS 3.1評分9.1。漏洞主要影響在Linux或macOS上執行、且使用受影響版本DataProtection套件的.NET 10應用程式，Windows平臺通常不受影響。微軟指出，受影響環境除須升級套件外，若漏洞期間曾對外提供服務，還需輪換DataProtection金鑰，否則攻擊者在此期間取得的合法權杖（Token）仍可能持續有效。</p> <p>漏洞發生於DataProtection套件的密碼學簽章驗證機制存在缺陷，微軟說明，攻擊者可藉由偽造認證Cookie發動提權攻擊，部分受DataProtection保護的資料內容也可能被解密。修補後，帶有全零HMAC位元組的偽造資料內容將被拒絕。</p> <p>主要受影響情境是應用程式以NuGet套件直接引用DataProtection 10.0.6，且執行於Linux或macOS。若應用程式實際載入的是ASP.NET Core共用框架內建版本，則不在影響範圍內。.NET 8.x與9.x的DataProtection套件同樣不受此問題影響，因為這段有缺陷的程式碼是在.NET 10開發過程中引入，未被移植至舊版。</p> <p>官方強調，單純升級套件至10.0.7並不足夠。若應用程式在漏洞期間對外提供服務，攻擊者可能已透過偽造Cookie成功通過驗證，並取得系統後續合法簽發的Token，例如API金鑰或密碼重設連結。由於這些Token在升級後不會自動失效，受影響環境還需輪換DataProtection金鑰。</p> <p>微軟建議依序完成三項處置，分別為升級套件至10.0.7並重新部署；輪換DataProtection金鑰；盤點漏洞期間所發出的長效Token，包括存於資料庫的API金鑰與尚未過期的密碼重設連結，這些屬於應用層資產，金鑰輪換無法使其失效，需由應用程式自行處理。要是應用程式在受保護的資料內容中儲存資料庫連線字串或第三方API金鑰等長效秘密，也應視為可能已洩露，盡速於來源端更換。</p> </div></div></div>
4/23 19:40作者李建興https://www.ithome.com.tw/news/175258
行政院投入近31億元建置逾2千處淹水感測器，串聯近萬監視器，靠AI強化淹水預警及應變能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>目前國內正推動抗旱工作，不過隨著颱風季節來臨，極端氣候造成淹水災情，往往導致民眾生命及財產的損失，也重創國內經濟發展，為加強科技防災工作，行政院核定經濟部水利署「水災智慧防災計畫（第二期）」，5年將投入30.9億元，建置上千個淹水感測器，串聯近萬監視器影響，利用AI即時掌握水情變化，提升對水災的應變能力。</p> <p>該計畫將建置超過2,000處淹水感測器，並串聯近萬支監視設備，利用AI 24小時即時掌握各地的水情，提升預警與應變效率。</p> <p>經濟部水利署長林元鵬指出，透過和氣象署合作建置防災降雨雷達，以掌握各地降雨情形，快速掌握各地降雨情形，並且將在全臺設置2,068支淹水感測器，其中6成的災點可以自動偵測，相較以往由民眾通報，再派人赴現場勘察，效率更為提升。</p> <p>以容易淹水的地下涵洞為例，當感測器偵測到人行地下道、車行地下道、涵洞等地勢較低處發生淹水情形，就會即時管制出入，避免車輛在不知情下通行造成人員傷亡或車輛故障。</p> <p>另外，該計畫也將整合9,650支CCTV，由AI監控各處的淹水畫面影像，節省派人到場勘災。「未來AI的導入，將可提升防災效率」，他說。</p> <p>除了這些之外，林元鵬進一步說明，水利署也和Google Map合作，在地圖上檢視哪裡發生淹水，提供行車路徑參考，主動繞過淹水的地點。</p> </div></div></div>
4/23 16:51作者蘇文彬https://www.ithome.com.tw/news/175257
【資安日報】4月23日，近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175247"><strong style="font-size: 22px;">近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞，暴露於敏感資料外洩風險下，用戶需儘速更新</strong></a></p> <p>微軟上週發布的4月例行更新（Patch Tuesday）所修補160多個漏洞中，最關鍵的是兩個已被實際利用的零時差漏洞，其中之一是SharePoint伺服器的欺騙弱點CVE-2026-32201，在微軟揭露此漏洞的同一天，美國網路安全與基礎設施安全局（CISA）也以少見的急迫速度，將其納入已知遭利用漏洞清單（KEV），要求各機構需在4月28日以前完成修補。</p> <p>微軟原廠與CISA的通報都指出，CVE-2026-32201這個漏洞已被實際用於攻擊，修補工作十分緊迫，但更重要的是，SharePoint用戶是否已採取修補行動？依據資安監測組織Shadowserver基金會的掃描顯示，截至4月20日為止，仍有將近1,300臺未修補前述漏洞的SharePoint伺服器，暴露於網際網路上，其中以美國數量最多，占555臺，次之是德國107臺與加拿大60臺，臺灣也有1臺。</p> <p><a href="https://www.ithome.com.tw/news/175234"><strong style="font-size: 22px;">未修補漏洞的Apache ActiveMQ主機仍有6,400臺，暴露於遠端執行程式碼攻擊風險下，用戶需儘速更新</strong></a></p> <p>資安公司Horizon3.ai研究人員透過AI工具Claude輔助，發現潛藏13年的Apache ActiveMQ重大漏洞CVE-2026-34197，從而引發AI工具在發現資安漏洞方面的新聞熱潮後，這個漏洞也很快就被攻擊者利用，美國網路安全與基礎設施安全局（CISA）隨後將此漏洞納入已知遭利用漏洞清單（KEV），要求各機構在4月30日前完成修補。</p> <p>不過在新聞熱潮下，更重要的是ActiveMQ用戶是否已採取修補行動。依據資安監測組織Shadowserver基金會的掃描顯示，截至4月20日為止，仍有多達6,476臺未修補前述漏洞的Apache ActiveMQ主機，暴露於網際網路上，其中以中國數量最多，占1,400臺，次之是美國的1,100臺，然後是巴西的356臺，臺灣也有20臺。</p> <p><a href="https://www.ithome.com.tw/news/175227"><strong style="font-size: 22px;">CISA警告思科SD-WAN資安漏洞遭到積極利用，限期聯邦機構4天完成修補</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）近日警告，2月底揭露的3個漏洞CVE-2026-20122、CVE-2026-20128與CVE-2026-20133已遭實際利用，未修補這些弱點的思科廣域網路存取平臺Catalyst SD-WAN風險大增，CISA將這些漏洞納入已知遭利用漏洞清單（KEV）。由於SD-WAN是用戶存取廣域網路環境的中樞平臺，其漏洞會影響到用戶整個網路環境的安全，風險特別高，因此CISA要求聯邦機構須在4天內完成修補，相較多數KEV漏洞常見約2週的修補期限，顯得更為急迫。</p> <p>這次列入KEV清單的3個漏洞中，風險較高的是CVE-2026-20128與CVE-2026-20133，CVSS嚴重性評分均為7.5分。</p> <p><a href="https://www.ithome.com.tw/news/175229"><strong style="font-size: 22px;">中國駭客Mustang Panda針對印度金融機構、韓國外交政策圈，散布後門程式LotusLite</strong></a></p> <p><a href="/sites/default/files/images/413ebea07807dc1a9e214eb63d5fa035-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/413ebea07807dc1a9e214eb63d5fa035-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Acronis發現後門程式LotusLite的攻擊行動，此惡意程式具備微軟合法簽章，並透過HTTPS與動態DNS對C2進行通訊，其主要功能包括遠端Shell存取、檔案操作，以及連線階段（Session）的內容管理，因此該公司推測，駭客的攻擊目標主要是從事網路間諜活動，與經濟利益無關，攻擊者的身分是中國APT駭客組織Mustang Panda（別名Earth Preta、RedDelta、TA416）。</p> <p>這些駭客使用LotusLite已有前例，3月初資安公司Zscaler揭露鎖定中東衝突的攻擊行動，當時Mustang Panda以伊朗衝突為誘餌，試圖散布這支惡意程式。Acronis指出，這次駭客傳遞的方法出現許多轉變，經由CHM檔接觸受害電腦，搭配JavaScript打造的惡意程式載入工具，最終透過DLL側載手法執行惡意軟體。而在攻擊目標的部分，也從以美國政府機關為主，轉向印度金融機構。</p> <p><a href="https://www.ithome.com.tw/news/175114"><strong style="font-size: 22px;">後門程式BPFDoor出現變種，駭客透過C2路由與ICMP中繼手法逃過偵測</strong></a></p> <p><a href="/sites/default/files/images/ICMP-relay-using-HIP-field-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ICMP-relay-using-HIP-field-63.jpg" style="width: 300px; float: right;" /></a></p> <p>在3月底，資安公司Rapid7揭露中國駭客Red Menshen（Earth Bluecrow）的攻擊行動，駭客鎖定電信網路部署後門程式BPFDoor，長時間潛伏在4G與5G核心網路環境，近期該公司再度公布最新調查結果，指出駭客已發展出多個新的變種，其中導入了C2路由與網際網路控制訊息協定中繼（ICMP Relay）手法，使得該後門程式的活動更加難以追蹤。</p> <p>Rapid7總共發現7個BPFDoor的變種，其中最重要的兩個是httpShell和icmpShell。該公司指出，駭客使用BPFDoor的時間長達數年，這幾年隨著資安工具的偵測機制出現變化，而調整手法，其中一種就是早期版本的無檔案執行策略，駭客在成功啟動BPFDoor後，就將檔案刪除，目的是讓資安人員難以採集證據；後來EDR具備對應的偵測機制，httpShell的開發團隊就調整手法，不再刪除惡意程式檔案，而是將其混入一般的系統處理程序裡。</p> <p><a href="https://www.ithome.com.tw/news/175243"><strong style="font-size: 22px;">勒索軟體PayoutsKing濫用QEMU虛擬機器迴避偵測</strong></a></p> <p>自2025年底開始，資安公司Sophos發現兩群駭客濫用此虛擬化平臺的情況增加，其中，以經濟利益為動機的STAC4713特別值得留意，因為他們的活動與勒索軟體PayoutsKing及資料竊取有關，而其濫用QEMU是為了建立反向SSH後門，藉此傳遞攻擊工具，並挖掘受害組織的網域憑證。</p> <p>STAC4713透過QEMU建置Alpine Linux虛擬機器，內含攻擊所需工具，通常會有Adaptix C2（tinker2）、自製的WireGuard流量混淆器wg-obfuscator、BusyBox、Chisel，以及Rclone。而在建置此虛擬機器前，駭客會建立工作排程TPMProfiler，藉由SYSTEM帳號啟動虛擬機器，開機後就會利用Adaptix C2或OpenSSH建立反向SSH隧道，使得駭客能繞過端點防護系統的偵測。</p> <p><a href="https://www.ithome.com.tw/news/175119"><strong style="font-size: 22px;">Python後門ViperTunnel被用於勒索軟體DragonForce活動</strong></a></p> <p><a href="/sites/default/files/images/control_flow_decryption_BHEiknA0_Z1aLxUx-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/control_flow_decryption_BHEiknA0_Z1aLxUx-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司InfoGuard在最近一起DragonForce攻擊行動裡，發現不尋常的現象：其中一個工作排程任務竟在無命令列參數的條件下執行，由於在正常的Windows環境，未指定指令碼的路徑或參數的狀況相當少見，該公司起初推測攻擊者使用DLL側載手法，不過進一步調查後發現並非如此，攻擊者濫用Python的自動匯入功能，讓惡意程式碼在電腦啟動時自動執行。</p> <p>駭客使用的惡意程式，是以Python為基礎打造的後門程式ViperTunnel，駭客將其偽裝成系統檔案b5yogiiy3c.dll，不過本質上是以系統程式庫形成建立的Python指令碼，為了避免他人識破，駭客採用3種演算法與壓縮機制進行處理，此後門程式採用SOCKS5隧道建立通訊。根據調查結果，攻擊者的身分是EvilCorp旗下的UNC2165。</p> <p><a href="https://www.ithome.com.tw/news/175225"><strong style="font-size: 22px;">法國國家安全憑證機構遭駭，恐洩露1,900萬企業及個人帳密</strong></a></p> <p>法國負責發布身分證和護照的國家安全憑證機構（ANTS）本週公布安全事件，可能導致近2000萬筆個資及專業帳號資料外洩。</p> <p>ANTS隸屬於法國內政部，負責發放身分證、護照、駕駛執照等證明文件。ANTS在4月15日偵測到異常活動，可能導致ants.gouv.fr入口網站上的個人和專業帳號被竊取。初步調查顯示，受影響的個人資料類別包括登入ID、姓名、出生日期、帳號識別碼。其他可能外洩的資料包含電子郵件信箱、出生地、電話號碼等。</p> <p><a href="https://www.ithome.com.tw/news/175233"><strong style="font-size: 22px;">資安談判專員勾結勒索軟體集團，洩露客戶機密抬高贖金</strong></a></p> <p>4月20日美國司法部表示，曾任勒索軟體談判專員的佛羅里達州男子Angelo Martino已認罪，承認於2023年共謀協助勒索軟體集團BlackCat發動攻擊，並勒索美國企業，最高恐面臨20年徒刑。</p> <p>41歲的Martino原任職於資安事件回應公司，負責代表受害企業與駭客談判。然而自2023年4月起，他濫用職務，在處理多起勒索事件期間，曾代表5家受害企業進行談判，未經授權向BlackCat攻擊者提供客戶的談判策略、內部立場與保險理賠上限等機密資訊，協助對方精準提高贖金金額，並從中收取報酬。此外，Martino亦與兩名美國同夥Ryan Goldberg及Kevin Martin共謀，在2023年4月至11月期間，針對全美多家企業部署BlackCat。</p> <p><a href="https://www.ithome.com.tw/news/175009"><strong style="font-size: 22px;">Juniper修補Junos OS網路作業系統多個漏洞，最嚴重漏洞可能導致遠端接管設備</strong></a></p> <p>網路設備供應商HPE Juniper Networking近日發布安全公告，修補旗下網路作業系統Junos OS與Junos OS Evolved中近30項漏洞，這些漏洞可能被利用於權限提升、阻斷服務（DoS）及遠端執行指令等攻擊。</p> <p>這次Juniper Network修補的漏洞中，最嚴重的是編號CVE-2026-33784的重大漏洞，CVSS v3.1嚴重性評分達9.8分，CVSS v4.0也達9.3分，源於Support Insights的vLWC元件軟體映像，出廠時預先置入高權限帳號的密碼，且設定過程中也未強制要求變更，使攻擊者可利用預設帳號密碼從遠端登入，並完全控制受影響設備。</p> <p><a href="https://www.ithome.com.tw/news/175122"><strong style="font-size: 22px;">FIDO結合DBSC等技術來應對Session劫持，並聚焦SSF框架拓展不同身分安全協作</strong></a></p> <p>近期FIDO臺灣分會舉辦活動，多項FIDO最新技術動態亦成為會中焦點，包括FIDO2標準的最新進展，以及與其他協定合作的動向。對此，全景軟體副總經理陳俊良在會中分享了更多深度觀察。</p> <p>陳俊良指出，回顧半年多來，FIDO2（CTAP2）標準有新的技術演進，新標準允許傳遞更多元參數，讓驗證器在進行身分鑑別的同時，能安全地傳遞可驗證數位憑證（Verifiable Digital Credentials，VDC）、檢查PIN碼複雜度、指定特定認證器，甚至具備儲存加解密金鑰的功能，大幅擴展了其應用場景。此外，支付應用今年也已獨立成立工作小組Payments Working Group（PWG）。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-mirai-campaign-exploits-rce-flaw-in-eol-d-link-routers/">殭屍網路Mirai綁架生命週期結束的D-Link路由器</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-npm-supply-chain-attack-self-spreads-to-steal-auth-tokens/">NPM供應鏈攻擊竊取憑證，惡意程式透過遭駭帳號擴散</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-gogra-malware-for-linux-uses-microsoft-graph-api-for-comms/">Linux惡意軟體GoGra濫用Microsoft Graph API通訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/04/malicious-kics-docker-images-and-vs.html">資安公司Checkmarx遭供應鏈攻擊，掃描工具KICS的Docker映像檔、VS Code延伸套件被入侵</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/tycoon-2fa-loses-phishing-kit-crown-amid-surge-in-attacks/">大型網釣平臺Tycoon 2FA遭執法單位圍勦後活動銳減</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175231"><strong>【4月22日】雲端開發平臺Vercel驚傳資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175221"><strong>【4月21日】2025年網路犯罪美國損失逾200億美元</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175180"><strong>【4月20日】第三個Microsoft Defender零時差漏洞被揭露</strong></a></p> </div></div></div>
4/23 15:10作者周峻佑https://www.ithome.com.tw/news/175256
高德地圖在臺圖資紅綠燈倒數秒數精準惹爭議，資安署：蒐集用戶數據所得，已啟動檢測評估是否建議民間不要使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>中國導航服務高德地圖近期在臺灣快速竄紅，由於其可精準顯示紅綠燈倒數秒數等功能，但也因此引發資料來源與個資蒐集疑慮，引發資安與國安層級關注。數發部資安署已啟動檢測機制，評估是否對公部門甚至整體使用進行限制。</p> <p>高德地圖近期在台上線紅綠燈倒數功能，且準確度極高，引發外界質疑其資料來源。由於臺灣各地方政府並未對外提供即時號誌資料API，也未與該業者合作，引發「資料從何而來」的疑慮，成為外界關心的重點。</p> <p>根據國內媒體的報導，業者回應，相關功能主要透過用戶定位資訊與歷史行車數據，結合演算法推估而成，而非直接介接政府系統，該說法證實並沒有直接取用地方政府的交通號誌控制系統數據，但也進一步引發對用戶數據蒐集的疑慮。</p> <p><span style="color:#B22222;"><strong>涉及行為軌跡蒐集，資安與國安疑慮升高</strong></span></p> <p>根據業者的說法，紅綠燈秒數仰賴群眾數據推算，代表應用程式需長期蒐集使用者位置與移動行為，才可能重建個人通勤路徑與生活軌跡。</p> <p>這類數據若被集中分析，雖然提供精準的導航功服，但是後臺蒐集數據可能侵犯用戶個人隱私，還可能涉及敏感區域活動模式，包括政府機關或軍事設施周邊動線，風險已不僅止於個資外洩，而可能延伸至國安層級。</p> <p>過去就曾經有相關案例，由於健身熱潮興起，不少人會使用健身應用程式，曾有一個健身應程式業者公佈全球熱圖，意外地將美國等國軍方人員在敘利亞、阿富汗等偏遠地區的跑步路線曝光，意外曝露隱秘軍事基地、秘密哨所的位置，這直接涉及國家安全。</p> <p>此外，由於高德地圖背後業者屬於阿里巴巴集團所有，其資料處理與跨境傳輸機制，也成為另一個關注焦點。</p> <p><span style="color:#B22222;"><strong>資安署長：政府機關禁用，民間將待資安院技術檢測後對外說明</strong></span></p> <p>在今天行政院會後記者會上，數發部資通安全署署長蔡福隆表示，高德地圖是從荷蘭業者Here Technology合作取得臺灣的圖資，並非高德地圖自己蒐集的臺灣地圖資料；對於其紅綠燈倒數秒數資料，高德地圖並未與政府相關的號誌系統介接，而是根據用戶在路口紅綠燈停等數據推算相關的秒數。</p> <p>高德地圖蒐集用戶的定位、行動跡軌資料，這些資料回傳至中國，依中國網路安全法等相關法規規定，中國政府有權存取企業相關的資料，民間也有義務配合該國政府情報蒐集，提醒使用的國人注意相關的隱私風險。</p> <p>蔡福隆也指出，資安署將交由資安院檢測，預計檢測完畢後，5月中召開記者會對外說明。而公部門方面，依據去年12月確訂的資通安全管理法，高德地圖本來就是危害國家資通安全的產品，政府機關不能使用。高德地圖目前以兩岸經商的台商使用居多，國人使用還不多，但提醒高德地圖蒐集用戶的定位、軌跡資料，呼籲民眾不要在臺灣使用高德地圖。</p> <p>儘管如此，高德地圖仍因導航精準、功能完整（如車道提示、測速提醒、號誌預測）獲得不少用戶青睞。</p> <p>不過，此事件也顯示當導航服務精準度愈高，背後所需的數據規模與細緻程度也隨之增加，大量用戶數據的蒐集、處理與流向，涉及用戶個人隱私，也可能成為國家安全風險。</p> <p>政府過去已多次針對中國來源應用程式提出資安警示。數發部資安署曾點名多款中國製App，指出其在安裝過程中，可能要求過度授權，例如存取通訊錄、定位、裝置資訊等，甚至存在蒐集與服務功能無直接關聯的資料情形，增加個資外洩與濫用風險。當時即提醒民眾，應審慎評估來源不明或高風險應用的使用必要性。</p> <p>此外，資安署也曾強調，部分境外App涉及資料回傳至境外伺服器，在中國的特定法規下，企業可能需配合當地政府調取資料，這使得「資料是否可被第三方存取」成為關鍵風險。也因此，政府過去已對公務機關訂有相關使用限制，要求避免在公務設備下載或使用特定來源App。</p> <p> </p> </div></div></div>
4/23 15:41作者蘇文彬https://www.ithome.com.tw/news/175252
中國駭客Mustang Panda針對印度金融機構、韓國外交政策圈，散布後門程式LotusLite
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一般而言，許多中國國家級駭客發動攻擊，往往與地緣政治及相關事件有關，不過最近有駭客組織突然轉換攻擊目標，引起資安公司的注意。</p> <p>資安公司Acronis<strong><a href="https://www.acronis.com/en/tru/posts/same-packet-different-magic-mustang-panda-hits-indias-banking-sector-and-korea-geopolitics/">發現後門程式LotusLite的攻擊行動</a></strong>，此惡意程式具備微軟合法簽章，並透過HTTPS與動態DNS對C2進行通訊，其主要功能包括遠端Shell存取、檔案操作，以及連線階段（Session）的內容管理，因此該公司推測，駭客的攻擊目標主要是從事網路間諜活動，與經濟利益無關。而對於攻擊者的身分，是被稱為Mustang Panda、Earth Preta、RedDelta、TA416的中國APT駭客組織。</p> <p>這些駭客使用LotusLite已有前例，3月初<strong><a href="https://www.zscaler.com/blogs/security-research/middle-east-conflict-fuels-opportunistic-cyber-attacks">資安公司Zscaler揭露鎖定中東衝突的攻擊行動</a></strong>，當時Mustang Panda以伊朗衝突為誘餌，試圖散布這支惡意程式。Acronis指出，這次駭客傳遞的方法出現許多轉變，經由CHM檔接觸受害電腦，搭配JavaScript打造的惡意程式載入工具，最終透過DLL側載手法執行惡意軟體。而在攻擊目標的部分，也從以美國政府機關為主，轉向印度金融機構。該公司強調，Mustang Panda過往的攻擊目標多半是政府機關或其他類型的組織，這次不僅罕見針對金融業，就連整體的戰術、技術與流程（TTP）也有所差異。</p> <p>針對這些駭客發動攻擊的過程，他們疑似透過網路釣魚散布惡意CHM檔啟動攻擊鏈，但也有使用已編譯HTML檔的情況。值得留意的是，Acronis雖然強調駭客主要針對印度金融業而來，但也有韓國外交政策圈組織受害。</p> </div></div></div>
4/23 14:23作者周峻佑https://www.ithome.com.tw/news/175229
勒索軟體PayoutsKing濫用QEMU虛擬機器迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客濫用虛擬化平臺迴避偵測的手法，已出現多起資安事故，其中最常見的是濫用VMware ESXi，也有利用VirtualBox和Hyper-V的情況，最近有人濫用另一款虛擬化工具QEMU，而引起資安公司的注意。</p> <p>自2025年底開始，<strong><a href="https://www.sophos.com/en-us/blog/qemu-abused-to-evade-detection-and-enable-ransomware-delivery">資安公司Sophos發現兩群駭客濫用此虛擬化平臺的情況增加</a></strong>，其中，以經濟利益為動機的STAC4713特別值得留意，因為他們的活動與勒索軟體PayoutsKing及資料竊取有關，而其濫用QEMU是為了建立反向SSH後門，藉此傳遞攻擊工具，並挖掘受害組織的網域憑證。</p> <p>STAC4713透過QEMU建置Alpine Linux虛擬機器，內含攻擊所需工具，通常會有Adaptix C2（tinker2）、自製的WireGuard流量混淆器wg-obfuscator、BusyBox、Chisel，以及Rclone。而在建置此虛擬機器前，駭客會建立工作排程TPMProfiler，藉由SYSTEM帳號啟動虛擬機器，開機後就會利用Adaptix C2或OpenSSH建立反向SSH隧道，使得駭客能繞過端點防護系統的偵測。</p> <p>值得留意的是，這些駭客偵察時，通常會利用Windows內建的小畫家、記事本、Edge，並搭配第三方工具WizTool，找出檔案共享資料夾及檔案存取的管道。而對於憑證資料的部分，STAC4713會下達print命令，將AD資料庫NTDS.dit、安全帳號管理員（Security Account Manager，SAM）資料庫，以及SYSTEM登錄區（Hive）的內容，透過SMB複製到暫存資料夾。另一方面，STAC4713濫用磁碟區陰影複製服務（VSS）建立快照。</p> <p>至於攻擊者如何入侵受害組織，Sophos觀察到有兩種，一種是從網際網路存取未啟用多因素驗證（MFA）的SonicWall VPN，不過在今年1月的事故裡，駭客利用SolarWinds網路IT服務臺漏洞CVE-2025-26399來達到目的。</p> </div></div></div>
4/23 14:26作者周峻佑https://www.ithome.com.tw/news/175243
Google發表TPU 8t與8i，AI晶片走向訓練與推論分工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google週三（4/22）在Cloud Next大會上<a href="https://blog.google/innovation-and-ai/infrastructure-and-cloud/google-cloud/eighth-generation-tpu-agentic-era/" target="_blank">發表第8代張量處理器</a>（Tensor Processing Unit，TPU），首度將TPU產品線拆分為訓練與推論兩種專用晶片，分別為TPU 8t與TPU 8i，主打支援AI代理人（Agentic AI）所需的高效能運算與低延遲回應能力。</p> <p>Google指出，AI代理人興起使模型從單純生成轉向推理與任務執行，對運算架構的需求明顯提升，原本兼顧訓練與推論的單一設計已逐漸出現瓶頸，因此在第8代TPU採用專用化設計，推出TPU 8t與TPU 8i以因應不同運算需求。</p> <p>其中，TPU 8t主要鎖定大型模型訓練場景，強調高運算吞吐量與大規模擴展能力。其架構可在單一超級運算叢集（Superpod）（由數千顆TPU組成）中運行，並透過高頻寬記憶體與強化的晶片間互連設計，支援大規模分散式訓練。Google指出，相較前一代產品，TPU 8t在訓練效能上可提升近3倍，有助於縮短大型模型的開發周期。</p> <p>至於TPU 8i則鎖定AI推論與即時推理場景，特別是多個AI代理人同時運作的應用。其設計重點在於降低延遲與提升同時處理能力，讓AI在回答問題或執行任務時能更快回應。為此，TPU 8i強化記憶體與晶片內資料處理能力，減少資料來回傳輸時間，並優化多晶片間的通訊效率。Google表示，相較前一代產品，TPU 8i在推論的成本效能可提升約80%，可在相同成本下支援更多使用需求。</p> <p>美國金融科技業者Citadel Securities技術長Josh Woods表示，使用Google Cloud第7代Ironwood TPU，已可將最具挑戰的工作負載執行速度提升2至4倍，同時降低30%成本，並期待進一步導入搭載TPU 8t與TPU 8i的Google Cloud AI Hypercomputer，以持續改善訓練成本結構並提升系統擴展能力。</p> <p>兩款晶片預計將於今年稍晚正式開放使用，並將整合至Google AI Hypercomputer。該平臺為一體化AI運算架構，結合運算、儲存與網路等客製化硬體，以及框架與推論引擎等軟體資源，TPU 8t與TPU 8i則為其中的核心運算引擎。</p> </div></div></div>
4/23 13:31作者陳曉莉https://www.ithome.com.tw/news/175251
Firefox系瀏覽器IndexedDB隱私漏洞恐成跨網站指紋，Tor Browser也受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>裝置指紋與詐騙偵測資安公司<a href="https://fingerprint.com/blog/firefox-tor-indexeddb-privacy-vulnerability/">Fingerprint揭露</a>，所有Firefox系瀏覽器都受到同一IndexedDB隱私漏洞影響。問題發生在IndexedDB資料庫清單查詢功能的回傳順序，網站可藉此推導出一個穩定且可重現的瀏覽器程序識別值，在沒有Cookie或其他共用儲存機制的情況下，辨識是否為同一個執行中的瀏覽器實體。該隱私漏洞不僅影響一般Firefox系瀏覽器，也波及Tor Browser原本主打的隱私隔離設計。</p> <p>研究人員解釋，列出IndexedDB資料庫資訊的API所回傳的資料庫清單順序，意外把瀏覽器內部儲存結構的排列差異暴露成可被觀察的指紋訊號。網站只要建立一組固定名稱的IndexedDB資料庫，再呼叫該API查看回傳順序，就可能得到在同一個瀏覽器程序存續期間內維持一致的排列結果。由於該結果屬於程序層級，而非單一來源層級，不同網站便可能各自觀察到同一組識別特徵。</p> <p>在Firefox私密瀏覽模式下，即使使用者關閉所有私密視窗，只要Firefox程序仍未完全結束，該識別訊號就可能持續存在，讓網站在看似全新的私密工作階段中再次辨識同一名使用者。對Tor Browser影響更為敏感，因為其New Identity功能原本是為了切斷前後活動的可連結性，但這項漏洞代表在同一程序尚未重啟前，網站仍可能把不同階段的活動串接起來。</p> <p>由於Firefox私密瀏覽模式下會把網站提供的資料庫名稱映射為UUID，並存放在跨來源共用的全域雜湊表中，之後當整理資料庫清單時，又未先做排序，而是直接依內部雜湊結構的迭代順序回傳結果。研究人員認為，正是這個看似無害的內部行為，讓回傳順序成為可被利用的穩定指紋。要是網站控制16個資料庫名稱，理論上可形成約44 bits的識別空間，足以成為高辨識度訊號。</p> <p>Mozilla針對此漏洞釋出修補，Firefox 150與ESR 140.10.0已納入修正。修正方式是讓API回傳結果改以固定順序排序，避免內部儲存結構的排列差異繼續外露成隱私風險。由於問題根源來自Gecko的IndexedDB實作，其他下游採用相同核心的產品要是未額外處理，皆可能受到相同影響。</p> </div></div></div>
4/23 13:35作者李建興https://www.ithome.com.tw/news/175250
OpenAI開源可自動去識別化資料的Privacy Filter模型，強化AI隱私基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI週二（4/22）<a href="https://openai.com/index/introducing-openai-privacy-filter/" target="_blank">發布Privacy Filter</a>，這是一款用於偵測並遮蔽個人可識別資訊（PII）的開放權重模型，已於<a href="https://huggingface.co/openai/privacy-filter" target="_blank">Hugging Face</a>與<a href="https://github.com/openai/privacy-filter" target="_blank">GitHub</a>釋出，採用Apache 2.0授權，支援開發者下載、部署與商業使用。該工具主打可在本地端執行，讓資料在送往雲端或大型模型前即可完成去識別化處理。</p> <p>隨著生成式AI的應用擴大，企業面臨的關鍵問題之一是敏感資料可能在訓練或推論過程中外洩。Privacy Filter的定位，即是在資料進入AI流程前先行過濾個資，被視為是內建隱私（privacy-by-design）的資料處理機制，有助於降低合規與資安風險。</p> <p>在技術架構上，Privacy Filter基於OpenAI開放權重模型系列gpt-oss打造，有別於一般大型語言模型逐字生成內容的自回歸方式，該模型採用雙向Token分類架構，能同時利用前後語境判斷每個詞是否屬於個資。此設計使其在辨識需語意判斷的資訊（如姓名、日期）時，較傳統依賴規則的工具更具準確度。</p> <p>此外，模型採用稀疏混合專家（Mixture-of-Experts, MoE）架構，總參數約15億，但每次僅啟用約5000萬參數，有助於在維持效能的同時降低運算成本。其支援12.8萬個Token的脈絡長度，可一次處理長文件或多封郵件串，避免分段處理所引發的上下文遺失問題。</p> <p>Privacy Filter可辨識8種個資，包括姓名、地址、電子郵件、電話、網址、日期、帳號資訊與機密資料（如密碼與API key），並透過序列標記與解碼機制，確保遮蔽後內容在語意上保持一致。企業可將其部署於本地或私有雲，在資料進入如GPT-5等大型模型前完成清洗，以符合GDPR或HIPAA等法規要求。</p> <p>對開發者而言，該模型可在筆電或瀏覽器上執行，並可依需求進行微調。Apache 2.0授權亦允許企業將其整合至自有產品中，無需公開原始碼或支付授權費。</p> <p>不過，OpenAI也提醒，Privacy Filter應被視為輔助工具，而非完整的隱私保證。在醫療、法律與金融等高風險場景中，仍需搭配人工審查，以降低漏判與誤判風險。</p> </div></div></div>
4/23 11:47作者陳曉莉https://www.ithome.com.tw/news/175246
Google宣布Workspace Intelligence，以AI串接企業文件、檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在Cloud Next大會上Google<a href="https://workspace.google.com/blog/product-announcements/introducing-workspace-intelligence" target="_blank">宣布Workspace Intelligence</a>，解決企業不停在文件、檔案、郵件、行事曆及傳訊程式之間切換尋找資料以完成決策的困擾，並生成想要的簡報或檔案。</p> <p><a href="https://workspaceupdates.googleblog.com/2026/04/introducing-workspace-intelligence-with-admin-controls.html" target="_blank">Google指出</a>，Workspace Intelligence是一個底層AI系統，以提供Gemini即時理解Google Workspace上所有文件、檔案和資訊。</p> <p>根據Workspace Intelligence<a href="https://services.google.com/fh/files/misc/workspace_intelligence_contextual_ai_for_the_enterprise.pdf" target="_blank">技術文件</a>，Workspace Intelligence並非只是搜尋工具，而是一個能理解組織內複雜語義關係、動態檢索資料並具備安全性的基礎架構，它是Gemini代理人與企業知識之間的通用語義脈絡層（universal semantic context layer）。</p> <p>當使用者輸入指令時，系統的搜尋是多階段檢索架構（Multi-stage Retrieval Architecture）。Workspace Intelligence集結三大支柱精準找出資訊。其一為嵌入式檢索與企業知識圖譜（Knowledge Graph），在理解用戶組織關係下，找出精準符合需求的資訊。第二，它具備工作流意識與記憶（Workflow Awareness and Memory），會記錄用戶最近跨應用的互動（如剛讀過的文件或剛結束的會議），並將其作為排序信號，讓AI能處理如「根據我剛才的會議草擬郵件」這類具備指代關係的任務。第三則是整合Google進行搜尋。</p> <p><img alt="" src="/sites/default/files/images/0423-Gemini%20in%20Google%20Slides.png" style="width: 600px;" /></p> <p>利用Workspace Intelligence，所有在Workspace環境下的生成式AI任務結果都會根據及取自Gmail、Chat、Drive（Docs、Sheets、Slides）、Calendar，省去使用者在每次查詢時都得手動提供Gemini上下文的必要。</p> <p>Google同時宣布Google Chat指令行工具Ask Gemini in Chat。</p> <p><img alt="" src="/sites/default/files/images/0423-Ask%20Gemini%20in%20Chat-600.png" style="width: 600px;" /></p> <p>用戶可以在Google Chat描述工作目標，Gemini就會背景執行，並將成果送到Google Chat。它會摘要今日工作重點、未讀取的信件或訊息，以及緊急要求動作。而利用Workspace Intelligence，就能為用戶產生文件與投影片。它能安排適合所有人的會議時間，並僅憑描述找到任何檔案。透過第三方連接器，Gemini現在能橋接Workspace內容與外部工具如Asana、Jira和Salesforce。</p> <p>Google並強調，藉由了解用戶組織關係和溝通模式，還可學習用戶的工作風格、語氣及格式偏好，藉此生成具個人化風格的產出。此外，Google特別強調Workspace Intelligence的安全性與隱私保護，嚴格遵循現有的權限設定，且用戶數據不會被用於訓練外部模型。</p> </div></div></div>
4/23 12:07作者林妍溱https://www.ithome.com.tw/news/175248
Sony AI桌球機器人Ace首度於真實比賽擊敗菁英選手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ai.sony/news/sony-ai-announces-breakthrough-research-in-real-world-artificial-intelligence-and-robotics" target="_blank">Sony AI今日（4/23）宣布</a>，其桌球機器人Ace可在真實比賽中即時追蹤來球位置與旋轉，並在毫秒內完成判斷與回擊，具備高速感知、決策與動作能力，且已在符合國際桌球總會（ITTF）規則的實戰中擊敗具長期高強度訓練背景的菁英選手。相關研究並已登上<a href="https://www.nature.com/articles/s41586-026-10338-5" target="_blank">《Nature》</a>期刊。</p> <p>Sony AI為Sony Group於2020年成立的人工智慧研究部門，隸屬於Sony Research，聚焦機器人、影像感測等領域，並致力於將AI技術導入實際應用場景。</p> <p>桌球機器人研究可追溯至1980年代，但過去多侷限於發球機或固定路徑回擊，近年雖導入強化學習等技術，也大多停留在模擬環境或簡化對打情境，難以處理高速旋轉與真實對抗的不確定性；Ace則進一步整合高速感測與學習式控制，首次在符合正式規則的實戰中與高水準選手對抗並取得勝場，代表桌球機器人已從實驗室驗證走向真實競技。</p> <p>在實測中，Ace於符合國際桌球總會（ITTF）規則的比賽中對戰5位菁英選手與2位職業選手，對菁英選手取得5戰3勝，並在13局中拿下7局；對職業選手則未取得整體勝利，僅在7局中贏得1局，顯示其已具備接近高水準人類的競爭力。</p> <p>從對戰表現來看，人類選手多依賴高速與強旋轉進攻得分，而Ace則以穩定回擊為主，在高旋轉來球下仍能維持逾7成回擊成功率，並在發球階段取得16次直接得分，高於菁英選手的8次，展現不同於人類的策略優勢。</p> <p>上述的菁英選手指的是超過10年密集訓練經驗、過去一年平均每周約20小時練習，並曾參與國家或區域級賽事的競技選手，實力已接近職業水準，並非一般業餘玩家。</p> <p>過去桌球機器人難以在實戰中擊敗高水準選手，主要受限於感知、控制與學習三大瓶頸；傳統視覺系統難以即時捕捉高速且高旋轉的來球，很難在不到半秒內完成判斷與精準回擊，且多數強化學習方法侷限於模擬環境，難以應對真實世界中的雜訊與人類對手的不確定性。Ace的最大突破，在於整合高速感測、低延遲控制與可轉移至現實的學習方法，首次將AI從模擬環境推向真實世界的高速人機對抗，並在正式規則下擊敗菁英選手。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0423-Project%20Ace-table%20tennis-Sony%20AI-600.jpg" style="width: 600px;" /></p> <p>此項成果的意義不僅限於桌球運動本身，而在於驗證AI已具備在高速、動態且不可預測的實體環境中，即時感知、決策與行動的能力。研究指出，這類技術可延伸至需要精準控制與即時反應的人機互動場景，包括製造自動化、服務型機器人以及其他安全關鍵系統。</p> <hr /> <p> </p> </div></div></div>
4/23 12:20作者陳曉莉https://www.ithome.com.tw/news/175249
Google宣布Gemini企業代理人平臺，扮演新的代理人開發中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在週三（4/22）的Cloud Next大會上，<a href="https://cloud.google.com/blog/products/ai-machine-learning/introducing-gemini-enterprise-agent-platform" target="_blank">Google Cloud部門宣布Gemini企業代理人平臺</a>（Enterprise Agent Platform），作為新的企業代理式AI的開發管理中心。</p> <p>過去Google以Vertex AI作為企業AI開發測試及部署中心，但隨著代理式AI的興起，代理人和企業多個系統更密切互動，需要更強化安全及治理護欄，為此，Google宣布Gemini企業代理人平臺。Google形容它是Vertex AI的進化版，除了提供模型選擇、打造及代理人開發功能，還加入代理人整合、DevOps、協同及安全功能。</p> <p>細分而言，Gemini企業代理人平臺涵括開發、擴充及治理、優化四個階段。其作為開發中心針對不同技術含量提供相應開發平臺，從以低程式碼、視覺介面的新Agent Studio，到程式碼優先的Agent Development Kit（ADK），也以AI原生編碼功能簡化整個生命周期。在擴充階段，它提供強化的Agent Runtime及Memory Bank技術支援長期運行的代理人。新的平臺提供Agent Identity、Agent Registry、Agent Gateway協助企業建立中央化控管來管理所有代理人身份，並以Agent Simulation、Agent Evaluation及Agent Observability來追蹤代理人及了解代理人推論，以確保代理人行為符合公司目標。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0423-Gemini%20Enterprise%20Agent%20Platform-600.png" style="width: 600px;" /></p> <p>簡單地說，代理人平臺未來將成為Google AI的整合性開發及管理中心。企業開發出的代理人都經由Gemini Enterprise App提供企業員工服務，也密切整合企業IT運作。新上線的Gemini企業代理人平臺將透過Model Garden提供200多個模型提供企業用戶或開發商，包含Gemini 3.1 Pro、Gemini 3.1 Flash Image、Lyria 3、開放模型Gemma 4，以及合作夥伴提供的模型如Anthropic的Claude Opus、Sonnet及Haiku等。現在Vertex AI是獨立服務，但未來所有Vertex AI的服務和功能更新只會透過代理人平臺提供，來支援代理人開發。</p> <p>企業可以透過<a href="https://console.cloud.google.com/projectselector2/agent-platform/overview" target="_blank">Google Cloud console</a>存取代理人平臺。</p> </div></div></div>
4/23 11:21作者林妍溱https://www.ithome.com.tw/news/175245
國內金融大語言模型專案啟動，16家金融業者聯手打造熟悉在地金融法規、產業知識的大語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由金管會指導的金融科技產業聯盟今天(4/22)宣布啟動金融大語言模型(FinLLM)專案，將有中信金控、第一金控等16家國內金融機構參與專案，共用打造國內金融法規、金融產業知識打造國內首個金融業專用的大語言模型，預計年底推出模型，先供16家金融機構優先採用，後續也會開放商業模式，讓其他金融機構採用。</p> <p>參與專案的16家金融機構，包括中信金控、中華郵政、台新新光金控、永豐金控、合庫金控、兆豐金控、第一金控、將來銀行、國泰金控、富邦金控、華南金控、凱基金控、彰化銀行、臺灣銀行、臺灣土地銀行、臺灣中小企銀。其他參與的單位包括金融研訓院、資策會、政大金融科技研究中心、亞太智能機器APMIC等等。</p> <p><span style="color:#B22222;"><strong>推出熟悉臺灣在地金融法規、產業知識的LLM</strong></span></p> <p>金管會主委彭金隆今天出席活動時表示，金融服務業本質上高度仰賴文字與語言的理解與處理，不論在銀行、資本市場或保險領域，都存在大量可透過自動化提升效率的應用場景。隨著AI技術快速發展，特別是大語言模型（LLM）的成熟，如何在創新應用與合規要求之間取得平衡，已是金融業當前最核心的課題之一，也促使主管機關與產業共同思考在地化AI發展的必要性。</p> <p>他指出，金融業屬於高度監理產業，涉及複雜且具在地性的法規與監理實務，現有通用型大語言模型多以國際資料訓練，若直接套用，可能出現法規適用錯誤或資訊偏差等風險。因此，推動具備台灣法規與金融知識的在地化大模型，不僅是技術發展問題，更是確保合規與風險控管的重要基礎工程。</p> <p>在政策層面，彭金隆強調，此次金融大語言模型專案已納入國家AI發展重點計畫，並由主管機關協同相關部會共同推動，透過整合資料來源、制度環境與跨部會資源，打造符合金融監理需求的AI基礎建設。另外，藉由16家金融機構與產官學合作的模式，降低各機構重複投入成本，加速形成產業共用的技術平台，提升整體金融業的科技競爭力。</p> <p>他進一步指出，該計畫不僅著眼於技術導入，更希望強化國家在AI領域的自主能力。透過將本地法規、監理實務與產業知識內化於模型之中，可降低對國外技術的依賴，並同步提升資料治理與資訊安全能力。未來相關成果也可逐步擴展至中小型金融機構，甚至延伸至企業與教育領域，進一步提升金融服務的可及性與公共價值。</p> <p>在推動進程上，彭金隆表示，專案將採分階段方式進行，首階段以銀行業應用為主，目標在今年底推出初步成果，後續再逐步擴展至保險、證券等其他金融領域。他強調，金管會將持續扮演引導與協調角色，完善制度環境，並與各部會密切合作，推動AI技術在金融產業的深化應用。</p> <p><strong><span style="color:#B22222;">年底完成金融大語言模型最終版，建立授權、應用場景</span></strong></p> <p>負責這項專案召集人的中信金控資訊長賈景光表示，金融大語言模型專案是在金融科技聯盟架構下，由16家金融機構共同推動的協作專案，目標是建立一套可共同研發、治理與應用的AI模型機制。目前多數金融機構使用的是國外大語言模型技術，雖具備一定能力，但普遍缺乏台灣在地法規與金融實務知識，容易在實際應用中產生偏差，因此建置本土化模型已成為產業共同需求。</p> <p>在技術與資源配置上，他表示，專案成功的關鍵在於三大要素。首先是資料來源，將結合數發部的主權AI語料庫、金融會的法規資料，以及金融研訓單位所提供的法規與專業資料、政大的金融教科書及著作，建立具合規性的訓練基礎。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-22%20%E4%B8%8B%E5%8D%885_49_14.png" style="width: 620px; height: 378px;" /></p> <p>其次是技術支援，將由本土技術團隊APMIC負責模型調校與優化，並由16家金融機構參與模型的技術研發討論、資料校對及標註，確保模型符合金融場景需求；第三則是由政大建立建立評測標準滿16家金融機構評定評測標準，並參與專案討論，針對模型輸出結果的正確性、合規性與風險進行判斷，作為未來金融業導入AI的重要依據。</p> <p>在發展目標與推動時程上，賈景光指出，第一階段將打造具備推理能力的金融大語言模型，不僅能進行問答，也能理解金融邏輯並完成分析任務，目標達到初階銀行從業人員的專業水準，並涵蓋授信、財務分析及市場判讀等能力。專案預計於今年底推出初步版本，後續將持續優化並建立長期維運機制，確保模型能隨法規與市場變化持續更新，並進一步擴展至保險與證券等領域，形成完整的金融AI應用體系。</p> <p>這項專案將會採用開源的大語言模型，結合國內在地語料內容、金融相關法規及資料進行訓練，預計在今年第3季完成初版模型，今年底完成最終版模型，未來將會委託第三方，協助模型後續維護、模型迭代、授權、建立應用生態。在FinLLM模型完成後，將先供16家金融機構使用，由各金融業者結合自家的知識庫，建立自己內部使用的專用模型。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-22%20%E4%B8%8B%E5%8D%885_48_19.jpeg" style="width: 600px; height: 360px;" /></p> <p><span style="color:#B22222;"><strong>和現行作法差異</strong></span></p> <p>賈景光指出，目前多數銀行在導入生成式AI時，主要採用RAG（Retrieval-Augmented Generation）架構，也就是在通用大語言模型之外，額外建立知識庫，讓模型在回答問題時「即時查詢」相關資料再生成答案。他比喻這種作法是讓模型「翻書作答」，可在一定程度上降低錯誤風險，但仍存在限制，例如資料需切分後檢索，容易出現資訊遺漏或上下文不完整的情況，當知識量快速增加時，也會出現查詢效率下降與回答不穩定的瓶頸。</p> <p>相較之下，這次專案推動的金融大語言模型，核心在於將台灣金融法規與產業知識「內化」至模型本身，使其不再依賴外部查詢，而能直接理解並生成答案。以「考前翻書」與「真正學會」作比喻，指出RAG屬於前者，而金融大模型則是將知識轉為模型的內在能力，能顯著提升回應速度、完整性與推理能力，特別是在涉及複雜法規、授信判斷或財務分析等場景中，更能降低錯誤率並提升一致性。</p> <p>由於RAG和模型訓練各有優缺點，賈景光認為，未來會採「內化訓練大語言模型加上RAG外掛知識庫的混合模式，針對最新法規或即時資訊，持續透過外部知識庫補充。</p> <p>在應用潛力上，金融大語言模型末來可被視為邁向「AI代理人」的關鍵基礎。賈景光指出，過去AI多停留在問答輔助，但未來可進一步發展為具備理解、判斷與執行能力的數位行員，例如自動分析企業年報、協助授信評估，甚至串接內部流程完成任務。不過，由於金融業高度監理，對正確性與風險控管要求極高，仍會是以「人機協作」為主，由AI提供分析與建議，再由人員進行決策把關。隨著模型精準度與穩定度提升，預期可逐步擴大應用範圍，帶動金融服務效率與品質的全面升級。</p> </div></div></div>
4/22 17:56作者蘇文彬https://www.ithome.com.tw/news/175239
GitHub暫停Copilot個人方案新申請，並收緊各方案用量上限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub<a href="https://github.blog/news-insights/company-news/changes-to-github-copilot-individual-plans/">宣布</a>對Copilot個人方案實施三項調整，即日起暫停Pro、Pro+與Student方案的新用戶申請，同步收緊所有個人方案的使用量上限，並將Opus系列模型從Pro方案移除。官方說明，代理式工作流程帶來的龐大運算需求已超出現行定價架構的負荷，此次調整目的是確保現有用戶的服務穩定。</p> <p>GitHub即日起暫停Student、Pro與Pro+三種個人方案的新申請，Copilot Free不受影響，仍開放新用戶使用，而現有用戶則可繼續使用服務。使用量限制方面，GitHub目前採兩層機制，第一層是工作階段上限（Session Limit），主要用於避免尖峰時段服務過載，第二層是每7天計算的詞元（Token）上限，用來控管長時間、平行化請求帶來的高成本。</p> <p>官方表示，Pro+方案的上限超過Pro的5倍，Pro用戶若需要更高的用量配額，可升級至Pro+。VS Code與Copilot CLI現已內建用量警示功能，用戶接近上限時會主動提示，後續也將推出更完整的用量追蹤介面。</p> <p>另外，Opus系列模型即日起從Copilot Pro方案移除，Opus 4.7目前仍可在Pro+方案中使用，但Opus 4.5與Opus 4.6兩個版本將依先前公告的時程從Pro+下架。</p> <p>GitHub提到，代理式工作流程使得少數幾個請求的成本，有時就足以超過整個月的方案費用。當越來越多用戶採用子代理（Subagent）等複雜工作流程，運算成本已遠超原始方案設計時的預期，服務品質也因此受到影響。</p> <p>GitHub也提供退款機制，現有Pro或Pro+用戶若認為此次調整不符需求，可在5月20日前申請退還目前訂閱剩餘期間的費用。</p> </div></div></div>
4/22 16:29作者李建興https://www.ithome.com.tw/news/175235
【資安日報】4月22日，雲端開發平臺Vercel驚傳資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175209"><strong style="font-size: 22px;">雲端開發平臺Vercel資料外洩，起因是員工使用的第三方AI工具遭駭</strong></a></p> <p><a href="/sites/default/files/images/Vercel-hacking-forum-post.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Vercel-hacking-forum-post.jpg" style="width: 300px; float: right;" /></a></p> <p>雲端開發平臺Vercel傳出遭遇資安事故，有駭客聲稱從該公司竊得一批內部資料，並尋找買家兜售。由於Vercel供應開發人員主機與開發基礎設施的雲端平臺，影響範圍可能非常廣泛。4月19日Vercel發布資安公告，指出他們的內部系統遭到未經授權存取，有部分用戶未加密儲存的非敏感環境變數遭駭，該公司也通知這些用戶，呼籲立即輪替相關憑證。</p> <p>後續該公司更新部落格文章，指出這起事故是員工使用的第三方AI工具Context.ai被入侵造成，駭客藉此取得權限，接管該名員工的Google Workspace帳號，從而存取部分Vercel環境，以及未標記為敏感層級的環境變數。該公司提到，標記為敏感的環境變數資料，會以不可直接讀取的方式儲存，而這類已經過處理的資料，並未出現遭異常存取的跡象。</p> <p><a href="https://www.ithome.com.tw/news/175214"><strong style="font-size: 22px;">兩個月前AI公司Context遭竊資軟體攻擊，疑為雲端開發平臺Vercel資料外洩事故的導火線</strong></a></p> <p><a href="/sites/default/files/images/Vercel-hacking-forum-post.jpg" target="_blank"><img alt="" src="/sites/default/files/images/vercel2.png" style="width: 300px; float: right;" /></a></p> <p>雲端開發平臺Vercel近日表示內部環境遭到入侵，駭客滲透其中一名員工使用的第三方AI工具Context.ai而得逞。不過，為何駭客能夠滲透這名員工的工具？有資安公司透露，原因是Context在兩個月前遭遇竊資軟體攻擊，Context也公布相關調查結果證實此事。</p> <p>威脅情報公司HudsonRock指出，Vercel資安外洩事故的源頭，可追溯到今年2月Context遭遇竊資軟體Lumma Stealer攻擊。根據他們的調查，一名具有敏感存取權限的Context員工，疑似為了尋找遊戲外掛，特別是Roblox的自動掛機指令碼與執行工具，導致電腦被感染了Lumma Stealer，導致大量企業憑證外流。值得留意的是，這名員工受害前，Context.ai還發生一次竊資軟體攻擊。根據這些攻擊的跡象，HudsonRock研判攻擊者很有可能就是ShinyHunters。</p> <p><a href="https://www.ithome.com.tw/news/175179"><strong style="font-size: 22px;">AI面試新創平臺Mercor遭供應鏈攻擊，傳言有臺灣企業受影響，已被否認</strong></a></p> <p><a href="/sites/default/files/images/mercor-lapsus-1.jpg" target="_blank"><img alt="" src="/sites/default/files/images/mercor-lapsus-1.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站SecurityWeek的報導，3月30日駭客組織Lapsus$在網站公布新的受害企業名單，當中包含AI面試新創平臺Mercor。駭客宣稱握有近4 TB的Mercor內部資料，其中原始碼有939 GB、包含AI訓練資料在內的資料庫檔案有211 GB，以及3 TB的其他檔案。另外，駭客強調取得該公司使用的TailScale VPN完整資料。</p> <p>對此，4月1日Mercor於社群網站X發布推文表示，他們是其中一家受到LiteLLM供應鏈攻擊事故影響的公司，該公司的資安團隊迅採取行動因應，遏制攻擊活動並著手修復，並請求第三方鑑識專家支援調查。值得留意的是，Mercor並未進一步說明受影響的範圍，也沒有透露是否出現資料外洩的情況，他們只有提到，LiteLLM事故有數千家公司受到波及。</p> <p><a href="https://www.ithome.com.tw/news/175223"><strong style="font-size: 22px;">Mozilla發布Firefox 150，修補Claude Mythos找到的271個漏洞</strong></a></p> <p>4月21日Mozilla基金會發布Firefox 150大改版，改善分割檢視（Split View）、新增PDF編輯功能、快速分享多個分頁網址。特別的是，這次該基金會發布部落格文章指出，他們藉助AI的力量，找出271個漏洞並完成修補。</p> <p>而這次Mozilla基金會使用的AI模型，就是近日Anthropic標榜資安能力直逼頂尖人類駭客而引發話題的Claude Mythos Preview，當時Anthropic宣布啟動全球資安防禦計畫Project Glasswing，將此模型提供給逾40個打造與維護重要軟體基礎設施的組織，本次的成果宣布，代表Mozilla基金會也受邀使用Claude Mythos Preview。該基金會利用AI找出資安漏洞已有前例，他們先前曾使用同公司的Claude Opus 4.6，找出22個弱點，並發布Firefox 148修補。</p> <p><a href="https://www.ithome.com.tw/news/175215"><strong style="font-size: 22px;">Google旗下AI開發工具Antigravity存在重大漏洞，可能導致繞過沙箱防護遠端執行指令</strong></a></p> <p><a href="/sites/default/files/images/69e4bf011eceec5e1dc07760_Example_ Antigravity IDE compromise (1).png" target="_blank"><img alt="" src="/sites/default/files/images/69e4bf011eceec5e1dc07760_Example_%20Antigravity%20IDE%20compromise%20(1).png" style="width: 300px; float: right;" /></a></p> <p>資安公司Pillar Security研究人員近日發布報告，揭露Google的AI代理開發工具Antigravity存在提示注入（Prompt Injection）弱點，攻擊者可藉此繞過沙箱防護機制，進而從遠端執行惡意指令，此漏洞已向Google通報，並完成修補。</p> <p>Antigravity是Google用於開發自主AI代理應用的平臺，為確保AI代理運作時的安全，可透過安全模式（Secure Mode）將AI代理隔離在虛擬沙箱環境中，限制AI代理的存取權限。但研究人員發現，Antigravity的檔案搜尋工具「find_by_name」被歸類為「原生」（native）系統工具，因而在安全模式的保護措施生效之前即可呼叫執行。</p> <p><a href="https://www.ithome.com.tw/news/175219"><strong style="font-size: 22px;">AI推論框架SGLang曝RCE漏洞，惡意GGUF模型可觸發任意程式碼執行</strong></a></p> <p>開源大型語言模型推論框架SGLang被揭露存在嚴重遠端程式碼執行（RCE）漏洞CVE-2026-5760。攻擊者可製作內含惡意Jinja2模板注入惡意酬載（Payload）的GGUF模型檔，受害者一旦將模型載入SGLang，且有請求進入/v1/rerank端點，攻擊者就可能在目標伺服器上執行任意程式碼。</p> <p>美國卡內基美隆大學軟體工程研究所旗下的CERT協調中心（CERT/CC）於4月20日公布該漏洞，並將概念驗證公開於GitHub。CERT/CC表示，截至公告發布時，SGLang專案維護者未回應，也未提供修補程式，用戶應採取行動，以緩解漏洞帶來的資安風險。</p> <p><a href="https://www.ithome.com.tw/news/175220"><strong style="font-size: 22px;">思科宣布將併購AI觀測平臺Galileo，強化AI代理監控能力</strong></a></p> <p>為了強化AI管理布局，近日思科宣布併購AI可觀測性（AI Observability）新創公司Galileo Technologies，強化其在AI代理（AI Agent）監控與管理領域的能力，預計於2026會計年度第四季完成併購程序。</p> <p>思科Splunk部門資深副總裁兼總經理Kamal Hathi表示，Galileo的平臺能在AI代理開發過程中，為多代理系統（Multi-agent systems）提供即時可觀測性與安全防護，將增強思科既有的Splunk Observability產品線，大幅提升Splunk Observability Cloud服務的AI代理監控功能，在整個AI代理開發生命週期（Agent Development Lifecycle，ADLC），提供監控、可觀測性與安全防護措施，橫跨早期開發階段的提示最佳化與模型選擇、後續的評估，以及最終上線使用階段。</p> <p><a href="https://www.ithome.com.tw/news/175136"><strong style="font-size: 22px;">Claude Opus 4.7強化開發與影像處理，資安能力刻意低於Mythos模型</strong></a></p> <p><a href="/sites/default/files/images/d434d15757c6abac1122af483617741776d5a114-2600x2638.png" target="_blank"><img alt="" src="/sites/default/files/images/d434d15757c6abac1122af483617741776d5a114-2600x2638.png" style="width: 300px; float: right;" /></a>Anthropic正式發布Claude Opus 4.7，主打高難度軟體工程任務的自主完成能力，以及更高解析度的影像處理能力。Anthropic也表示，該模型在訓練階段曾嘗試降低網路安全防護能力，並先在這類能力較Claude Mythos Preview低的模型上測試新的資安防護措施。</p> <p>Opus 4.7能夠處理過去需要人類密切監督的複雜、長時間執行任務，並在回報結果前自行設計驗證方式檢查輸出正確性。Anthropic指出，早期測試使用者已能將最困難的程式開發工作交由模型獨立完成。視覺處理是Opus另一項重要升級，Opus 4.7支援長邊最高2,576像素，總共約375萬像素的影像輸入，是先前Claude模型的三倍以上。這項改進直接影響需要細緻視覺判讀的應用場景，包括電腦操作代理程式讀取密集螢幕截圖，以及從複雜圖表中擷取資料。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=162156&SPOKE_DATE=20260420&COMPANY_ID=3501"><strong style="font-size: 22px;">維熹科技資訊系統遭網路攻擊</strong></a></p> <p>主要從事電源線組、插頭與連接器製造的電子零組件廠維熹科技（3501），於4月20日在股市公開觀測站發布重大訊息，資訊系統遭受網路攻擊，該公司立即啟動相關防禦機制及復原作業因應。根據初步調查的結果，維熹評估對公司營運沒有重大影響，無個資、機密資料、重要文件外流。</p> <p><a href="https://www.ithome.com.tw/news/175116"><strong style="font-size: 22px;">從產業界角度看FIDO最新3大趨勢，可驗證數位憑證VDC與Know Your Agent（KYA）成關鍵</strong></a></p> <p>為了幫助國內產業掌握FIDO最新發展態勢，近期FIDO臺灣分會於今年3月舉辦分享活動，邀請多位親赴FIDO巴黎研討會的專家分享第一手觀察，透過解析會議中的關鍵動態，協助國內產業深入了解最新趨勢，為未來的身分識別轉型做好準備。</p> <p>關於FIDO與數位憑證的發展上，全景軟體副總經理陳俊良表示，FIDO聯盟的政府部署工作小組（GDWG）在去年9月，曾發表一份與數位憑證相關的白皮書，名為《Passkeys and Verifiable Digital Credentials (VDC): A Harmonized Path to Secure Digital Identity》。陳俊良解釋，這份白皮書在探討通行密鑰（Passkey）與可驗證數位憑證（VDC）如何協調運作。首要重點是，此白皮書開宗明義指出Passkey與VDC是互補的解決方案，而非競爭關係。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-lotus-data-wiper-used-against-venezuelan-energy-utility-firms/">委內瑞拉能源公司、公營事業公司遭遇資料破壞軟體Loutus攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/tr-kyber-ransomware-double-trouble-windows-esxi-attacks-explained">勒索軟體Kyber將攻擊範圍從Windows電腦延伸到VMware虛擬化平臺</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-flags-new-sd-wan-flaw-as-actively-exploited-in-attacks/">CISA警告思科SD-WAN資安漏洞遭到積極利用，限期聯邦機構4天完成修補</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/actively-exploited-apache-activemq-flaw-impacts-6-400-servers/">尚有6400臺Apache ActiveMQ主機未修補CVE-2026-34197</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.tenable.com/blog/oracle-april-2026-critical-patch-update-addresses-241-cves">Oracle發布2026年第二季例行更新，修補241個資安漏洞</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175221"><strong>【4月21日】2025年網路犯罪美國損失逾200億美元</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175180"><strong>【4月20日】第三個Microsoft Defender零時差漏洞被揭露</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175139"><strong>【4月17日】APT41鎖定4大雲端環境搜刮憑證與權杖</strong></a></p> </div></div></div>
4/22 13:17作者周峻佑https://www.ithome.com.tw/news/175231
600萬臺連網伺服器還在使用FTP，四成未加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者指出，問世超過半世紀的FTP（File Transfer Protocol）協定仍在將近600萬臺面向網際網路的伺服器上執行，其中將近245萬臺使用未加密傳輸。</p> <p>FTP誕生於1971年由印度學者Abhay Bhushan編寫，用於檔案在用戶端和伺服器間傳輸，1980年被TCP/IP取代。由於FTP設計初衷是為了在不同電腦系統之間提供一個穩定的檔案交換標準，因此並未將安全性或加密列為核心考量。</p> <p>從安全角度來看，FTP有數個重大缺點。它採用明文（cleartext）傳輸，包括使用者帳號、密碼及檔案內容皆未經加密，因此容易遭到網路側錄、中間人攻擊（MITM）、暴力破解攻擊（Brute Force）被竊取敏感資訊。資安專家建議改用SFTP（SSH File Transfer Protocol）作為互動式或腳本程式傳輸的預設協定，但如果有FTP無法立即替換，可以先改成FTPS是來過渡。FTPS（FTP Secure）是附加TLS的FTP。</p> <p>即使有如此安全疑慮，但資安業者<a href="https://censys.com/blog/ftp-exposure-brief/" target="_blank">Censys最新一項研究</a>發現，現在全球仍然有數百萬臺FTP伺服器曝險於網際網路上。這家資安業者估計，截自2026年4月全球還有將近600萬臺主機執行至少一個面向網際網路的FTP服務，雖然比起2024年超過1010萬個減少40%。</p> <p>在這些FTP主機上，有將近245萬臺主機未觀測到有任何FTP服務的TLS handshake，這意謂這些伺服器可能未更新、不支援或尚未完成TLS設定。研究人員說，這不是指這些主機的檔案傳輸和憑證都一定以明文進行，但是意謂著有相當多數量的傳輸在未加密下進行。</p> <p>採用TLS的FTP可確保FTP的資料傳輸安全性。從區域來看，香港以87.2%居所有國家之冠。美國為73.7%。以採用TLS的FTP主機比例最低的分別是中國（17.9%）及韓國（14.5%）。研究人員推斷，中國FTP服務集中在阿里雲和中國聯通，其使用的Windows Server VM執行IIS FTP預設關閉TLS。韓國則是因為FTP主機集中在韓國電信住宅網路，其指向的消費者CPE（Customer Premises Equipment，CPE）及小型站點可能永遠不會更新到TLS。</p> <p>另外日本雖然有高比例FTP採用TLS，但卻佔了採用舊式版本TLSv1.0/1.1的FTP主機的大宗（71%），推論可能出於KDDI及NTT基礎架構之故。</p> </div></div></div>
4/22 13:36作者林妍溱https://www.ithome.com.tw/news/175232
資安談判專員勾結勒索軟體集團，洩露客戶機密抬高贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.justice.gov/opa/pr/florida-man-working-ransomware-negotiator-pleads-guilty-conspiracy-deploy-ransomware-and" target="_blank">美國司法部週一（4/20）表示</a>，一名曾任勒索軟體談判專員的佛羅里達州男子Angelo Martino已認罪，承認於2023年共謀協助BlackCat勒索軟體集團發動攻擊並勒索美國企業，最高恐面臨20年徒刑。</p> <p>調查顯示，41歲的Martino原任職於資安事件回應公司，負責代表受害企業與駭客談判。然而自2023年4月起，他濫用職務，在處理多起勒索事件期間，曾代表5家受害企業進行談判，未經授權向BlackCat攻擊者提供客戶的談判策略、內部立場與保險理賠上限等機密資訊，協助對方精準提高贖金金額，並從中收取報酬。</p> <p>此外，Martino亦與兩名美國同夥Ryan Goldberg及Kevin Martin<a href="https://www.ithome.com.tw/news/172028" target="_blank">共謀</a>，在2023年4月至11月期間，針對全美多家企業部署BlackCat勒索軟體。三人皆具資安背景，曾成功向一名受害企業勒索價值約120萬美元的比特幣，並進行分贓與洗錢。</p> <p>執法單位目前已查扣Martino約1000萬美元資產，包括加密貨幣、車輛及船隻。</p> <p>美國司法部未揭露三人任職公司。不過根據美國媒體報導，Goldberg為以色列資安業者Sygnia員工，而Martin及Martino曾任職於DigitalMint，惟相關公司未被指控涉案。</p> </div></div></div>
4/22 14:14作者陳曉莉https://www.ithome.com.tw/news/175233
開源監控平臺Grafana Cloud加入AI Observability，納管AI代理對話與工具呼叫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源監控平臺廠商Grafana Labs<a href="https://grafana.com/blog/ai-observability-for-agents-in-grafana-cloud/">發表</a>AI Observability in Grafana Cloud，目前進入公開預覽階段。該功能將AI Agent的對話紀錄、工具呼叫、token用量與輸出品質評估，整合進現有的Grafana Cloud可觀測性環境，讓開發團隊能夠即時監控代理行為、持續評估輸出是否符合預期，並在潛在風險出現前提早收到警示，無需另外導入獨立工具。</p> <p>Grafana Labs指出，傳統可觀測性工具的不足，也就是當AI代理在生產環境中運行時，開發團隊往往難以僅從既有的指標、日誌紀錄與追蹤判斷輸出品質與行為是否出現偏差，問題常要到回應品質下降或使用者反映後才浮現。</p> <p>AI Observability in Grafana Cloud的作法，是將代理對話與工作階段納入主要遙測訊號，相容OpenTelemetry標準。開發者完成設定後，平臺會擷取對話內容、模型與供應商後設資料、工具使用情況、延遲、詞元用量與推論成本。這些資料都可在同一介面中依模型、供應商、時間區間、標籤或環境條件篩選與查詢。</p> <p>輸出品質的評估支援三種方式，包括LLM-as-a-judge、啟發式規則與正規表示式，可用來偵測低品質回應、政策違規或異常行為模式，並透過Grafana Alerting原生發出警示。平臺也具備潛在風險偵測能力，例如辨識回應中是否出現憑證洩漏，或是否存在異常使用模式。</p> <p>AI Observability也提供版本管理功能，當開發者修改代理的系統提示詞或工具集時，平臺會自動建立新的代理版本，讓團隊能夠分別追蹤不同版本的表現差異，找出效能最佳的配置，也更能發現特定變更所引發的問題。</p> <p>當需要進一步除錯時，開發者可透過Grafana Assistant以自然語言查詢，交叉檢視AI資料與其他遙測訊號，協助分析延遲尖峰的成因，或找出較高成本的操作與工具。要是再結合代理專屬操作手冊（Runbook），當代理出現異常行為時，用戶也可直接要求助理閱讀手冊並提出修復建議。</p> <p>除了AI Observability in Grafana Cloud，Grafana Labs也<a href="https://grafana.com/press/2026/04/21/grafana-labs-targets-the-ai-blind-spot-with-new-observability-tools-announced-at-grafanacon-2026/">發表</a>Grafana Cloud CLI（GCX），這是一套支援自動化與代理驅動工作流程的命令列工具，另也推出開源基準測試工具o11y-bench，用來評估AI代理執行可觀測性工作流程的表現。</p> </div></div></div>
4/22 14:18作者李建興https://www.ithome.com.tw/news/175230
Mozilla發布Firefox 150，修補Claude Mythos找到的271個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月21日Mozilla基金會發布<strong><a href="https://www.firefox.com/en-US/firefox/150.0/releasenotes/">Firefox 150大改版</a></strong>，改善分割檢視（Split View）、新增PDF編輯功能、快速分享多個分頁網址，並<strong><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2026-30/">修補41個資安漏洞</a></strong>。特別的是，這次該基金會<strong><a href="https://blog.mozilla.org/en/firefox/ai-security-zero-day-vulnerabilities/">發布部落格文章</a></strong>指出，他們藉助AI的力量，找出271個漏洞並完成修補。</p> <p>而這次Mozilla基金會使用的AI模型，就是近日Anthropic標榜資安能力直逼頂尖人類駭客而引發話題的<strong><a href="https://www.ithome.com.tw/news/174898">Claude Mythos Preview</a></strong>。該基金會利用AI找出資安漏洞已有前例，他們先前曾使用同公司的Claude Opus 4.6，<strong><a href="https://www.ithome.com.tw/news/174279">找出22個弱點</a></strong>，並發布Firefox 148修補。</p> <p>Mozilla強調，一般來說，資安專家往往可從程式原始碼找出模糊工具（Fuzzer）無法察覺的錯誤，然而這麼做相當耗時，也會讓資安人力相當吃緊。直到Claude Mythos出現，他們發現該模型具備等同資安專家的能力，並表示人類能找到各式類型與複雜的漏洞，Claude Mythos也能辦到。</p> <p>雖然AI能找出大量漏洞的能力出現突破，短時間可能會讓人恐慌，不過Mozilla認為，長遠來看，對於防守方其實是好事。原因是本來電腦尋找漏洞的能力與人類存在差距，因此駭客可投入數個月並耗費大量人力挖掘單一漏洞，一旦AI尋找漏洞的能力與人類大幅拉近，駭客這方面的優勢就會隨之削弱，因為找出漏洞所需的時間與資源，已隨之降低。</p> </div></div></div>
4/22 10:48作者周峻佑https://www.ithome.com.tw/news/175223
Google推出兩款研究代理人Deep Research與Deep Research Max
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/models-and-research/gemini-models/next-generation-gemini-deep-research/" target="_blank">Google週二（4/21）發表</a>兩款研究代理人Deep Research與Deep Research Max，進一步擴展其在自動化研究（Autonomous Research）領域的布局。兩者皆基於Gemini 3.1 Pro打造，並透過Gemini API以付費預覽形式開放，開發者需依使用量付費。</p> <p>Google於2025年12月透過Interactions API推出<a href="https://www.ithome.com.tw/news/172798" target="_blank">Gemini Deep Research代理人</a>，開放開發者將其研究能力嵌入應用程式，支援多步驟搜尋、資料整合與報告生成等功能。本次更新則在此基礎上推出優化後的Deep Research，並新增Deep Research Max，分別對應即時互動與高強度分析兩種使用場景。</p> <p>在功能上，Deep Research系列支援Model Context Protocol（MCP），可串接企業內部與外部資料來源；並整合網路搜尋、檔案與各類工具進行分析；同時支援PDF、CSV、圖片與影音等多模態輸入；系統亦導入原生視覺化能力，可直接生成圖表與資訊圖；並提供研究流程的檢視與調整機制。</p> <p>其中，Deep Research主打低延遲與效率，適合整合於搜尋或應用程式介面中。隨著導入Gemini 3.1 Pro，該系統已從摘要工具轉變為可支援企業工作流程的研究基礎，能在單次API呼叫下啟動完整研究流程，整合公開網路與企業內部資料來源，生成具引用來源的專業分析報告。</p> <p>至於Deep Research Max則定位為高完整度的研究引擎，強調分析深度與推理能力，透過延長測試時計算（test-time compute）進行多輪搜尋、驗證與修正，生成更全面且細緻的研究結果。</p> <p>Google指出，Deep Research系列已被應用在金融與生技等領域。例如投資機構可用於自動化盡職調查，整合市場訊號、競品與風險分析，將原本需數日完成的研究流程縮短至數小時；在科學研究方面，亦可用於整理生醫文獻與證據，加速藥物開發流程，提升研究效率，其中Deep Research Max在處理較高複雜度任務時表現更為完整。</p> <p>美國媒體普遍認為，Deep Research的關鍵在於將AI從對話工具轉變為可執行多步驟研究流程的代理人，不僅能自動搜尋與整合多來源資訊，還可生成具結構與引用的完整報告，逐步貼近企業實際工作場景。</p> </div></div></div>
4/22 11:51作者陳曉莉https://www.ithome.com.tw/news/175226
Google Cloud旗下Mandiant推出免費資安教學平臺FLARE Learning Hub，導入時間回溯除錯…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月中旬，<a data-saferedirecturl="https://www.google.com/url?q=https://www.linkedin.com/feed/update/urn:li:activity:7450267960667000832/&source=gmail&ust=1776907911265000&usg=AOvVaw3fteUEY33BwclFPvC2ofpl" href="https://www.linkedin.com/feed/update/urn:li:activity:7450267960667000832/" target="_blank">隸屬於Google Cloud的資安公司Mandiant宣布</a>，<wbr></wbr>由旗下專注於逆向工程與惡意程式分析的研究團隊FLARE（<wbr></wbr>FireEye Labs Advanced Reverse Engineering）推出FLARE Learning Hub，免費提供逆向工程與惡意程式分析教學內容，<wbr></wbr>並提供實作導向模組，<wbr></wbr>鎖定資安研究人員與企業防禦團隊的技能培訓需求。</p> <p>Mandiant表示，<a data-saferedirecturl="https://www.google.com/url?q=https://github.com/mandiant/flare-learning-hub?linkId%3D61425508&source=gmail&ust=1776907911266000&usg=AOvVaw2Rv3F8Yu8b_c_Dk1Vh9qKn" href="https://github.com/mandiant/flare-learning-hub?linkId=61425508" target="_blank">FLARE Learning Hub</a>整合團隊累積近20年的教學與研究經驗，<wbr></wbr>採用實作導向設計，透過Google Docs提供課程教材，<wbr></wbr>並於GitHub儲存庫中同步釋出對應實驗資源，<wbr></wbr>包括惡意程式樣本、指令碼與分析資料。<wbr></wbr><a href="https://security.googlecloudcommunity.com/news-announcements-9/announcing-the-launch-of-the-flare-learning-hub-free-educational-content-on-reverse-engineering-and-malware-analysis-7171" target="_blank">目前平臺提供三個教學模組</a>，涵蓋惡意程式分析入門課程（<wbr></wbr>Malware Analysis Crash Course）、Go可執行檔逆向工程參考資料（The Go Reverse Engineering Reference），以及時間回溯除錯入門教學（An Introduction to Time Travel Debugging），<wbr></wbr>協助學習者逐步建立從基礎到進階的分析能力。</p> <p>在教學內容中，FLARE團隊也透過實際案例示範，<a data-saferedirecturl="https://www.google.com/url?q=https://docs.google.com/document/d/15gbXsTtWyxlUr5bxWO0wvWNHDZqxqh_LEqLanyZpdyw/edit?tab%3Dt.0%23heading%3Dh.6jjiip4tsxp0&source=gmail&ust=1776907911266000&usg=AOvVaw29jdtY0htGKCmeESBDAb3h" href="https://docs.google.com/document/d/15gbXsTtWyxlUr5bxWO0wvWNHDZqxqh_LEqLanyZpdyw/edit?tab=t.0#heading=h.6jjiip4tsxp0" target="_blank">如何將TTD<wbr></wbr>應用於惡意程式分析流程</a>。<wbr></wbr>該技術為Windows除錯工具WinDbg提供的功能，<wbr></wbr>可完整記錄處理程序執行過程，並支援向前與向後回溯執行歷程。<wbr></wbr>透過查詢CreateProcess與WriteProcess<wbr></wbr>Memory等Windows API呼叫，資安分析人員可快速辨識惡意程式中的處理程序挖空（<wbr></wbr>Process Hollowing）行為，並從記憶體中還原隱藏載荷，<wbr></wbr>進一步分析其運作機制與潛在資料竊取行為。<wbr></wbr>相較於傳統逐步除錯方式，<wbr></wbr>TTD可將分析流程轉為以資料查詢為核心，<wbr></wbr>有助於在面對多層混淆與複雜攻擊鏈時縮短分析時間。</p> <p>FLARE團隊建議，使用者在進行模組練習時，<wbr></wbr>應先透過FLARE-VM建立安全隔離的虛擬機器環境，<wbr></wbr>並搭配支援快照功能的虛擬化工具，<wbr></wbr>以便在不同分析階段快速還原系統狀態。<wbr></wbr>目前所有教學模組僅支援Intel x86-64架構。</p> <p>研究人員也提醒，<wbr></wbr>儘管平臺提供的二進位檔與指令碼僅用於教學示範，<wbr></wbr>但部分行為與惡意程式相似，可能被防毒軟體判定為威脅。<wbr></wbr>建議僅於隔離環境中執行相關內容，以避免影響實際系統運作。</p> </div></div></div>
4/22 12:07作者王珮瑤https://www.ithome.com.tw/news/175228
SpaceX宣布與Cursor合作，醞釀600億美元收購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://x.com/SpaceX/status/2046713419978453374" target="_blank">SpaceX週二（4/21）宣布</a>與AI程式碼編輯器Cursor合作，雙方將共同開發鎖定程式開發與知識工作的AI模型，結合Cursor在軟體開發者社群的產品與分發能力，以及SpaceX的AI基礎設施。</p> <p>Cursor由美國新創公司Anysphere於2023年推出，為一款AI程式碼編輯器，支援生成、重構與除錯程式碼，並可切換多家模型。該產品已在開發者社群快速普及，被視為AI coding工具的重要代表之一，競爭對手包括Anthropic的Claude Code與OpenAI的Codex。該公司在2025年11月<a href="https://www.ithome.com.tw/news/172245" target="_blank">完成D輪融資</a>時估值為293億美元，Google及Nvidia皆為投資者。</p> <p>SpaceX表示，將提供運算規模相當於約100萬顆Nvidia H100等級的Colossus訓練超級電腦，用於訓練與部署模型；此外，Cursor也授予SpaceX一項選擇權，可於今年稍晚以600億美元收購該公司，或支付100億美元作為合作費用，顯示雙方合作同時涵蓋技術與資本層面。</p> <p><a href="https://cursor.com/zh-Hant/blog/spacex-model-training" target="_blank">Cursor則說</a>，他們約莫在半年前推出首個代理式程式設計模型Composer，其後的Composer 1.5將強化學習規模擴大20倍以上，Composer 2則導入持續預訓練，並以較低成本達到尖端效能，使算力提升能有效轉化為模型能力提升。</p> <p>由於過去模型訓練能力受限於算力資源，透過此次合作，將可運用xAI的Colossus基礎設施，大幅提升模型表現。</p> </div></div></div>
4/22 10:41作者陳曉莉https://www.ithome.com.tw/news/175222
OpenAI公布ChatGPT Images 2.0，能思考、生成多語文字還支援排版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI本週公布首個整合思考能力的圖片生成模型，並推向所有ChatGPT用戶，<a href="https://openai.com/index/introducing-chatgpt-images-2-0/" target="_blank">提供ChatGPT Images 2.0</a>，不但能生成精美圖片，還能整合多語文字及多變化版面設計，可用於製作漫畫、海報或看板。現在這項功能推向所有ChatGPT方案，包括免費版。</p> <p>ChatGPT Images 2.0是去年12月ChatGPT Images 1.5後的更新版。它是OpenAI第一個結合思考能力的圖片模型，當（付費版）ChatGPT使用者選擇了思考（Thinking）模式後，Images 2.0會搜尋網路上即時資訊生成圖片、可一次生成多張圖，並重複驗證自己的輸出，它還能處理兼具圖片和文字的複雜任務，尤其是在需要精準、最新資訊，以及一致化及視覺一貫性的場合。</p> <p>在圖像生成部分，ChatGPT Images 2.0增強了詳細指令遵從、可精準置放物件、生成豐富文字，還能生成多種長寬比例的圖片。ChatGPT Images 2.0可生成精湛繁複的圖片，能確實遵從用戶指令、保留需要的細節，生成過去圖片生成模型無法處理的元素，像是小塊文字、圖示設計、UI元素、繁複構圖及排版，而且都提供2K解析度，它甚至能在單一圖片中提供分鏡圖、或包含多欄位文字及圖表的雜誌設計。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0422-ChatGPT%20Images%202-600.png" style="width: 418px;" /></p> <p>ChatGPT Images 2.0另一特色是多語言支援。在此之前，Images 1.5可支援簡單英文和拉丁語系文字，Image 2.0版則具備多語理解，不但能生成非拉丁語文字，像是中文、日、韓、北印度語、孟加拉語，還能生成流暢文字。它不只是翻譯一二個標籤，而是融入設計的文字，因此能生成海報、手寫稿、漫畫、廣告或其他圖文並重的圖像。</p> <p>OpenAI表示，結合推理模型和視覺理解的ChatGPT Images 2.0不只是生成圖像，更是策略性設計工具，可協助使用者將想法轉為真實而用於分享、教學或進階設計的成果。</p> <p>現在，所有ChatGPT用戶、Codex和API都能獲得使用ChatGPT Images 2.0。不過根據<a href="https://venturebeat.com/technology/openais-chatgpt-images-2-0-is-here-and-it-does-multilingual-text-full-infographics-slides-maps-even-manga-seemingly-flawlessly" target="_blank">VentureBeat報導</a>，免費版用戶只能用最基本的ImageGen模型，Pro及Plus方案用戶才能享用Thinking功能。而Pro方案還可以再獲得ImageGen Pro模型。</p> <p>本工具推出不久前，<a href="https://www.ithome.com.tw/news/175160" target="_blank">Anthropic公布了</a>可用於產品設計圖、原型、簡報、一頁式簡報（one-pager）等文件製作的Claude Design。</p> </div></div></div>
4/22 11:06作者林妍溱https://www.ithome.com.tw/news/175224
法國國家安全憑證機構遭駭可能洩露1900萬企業及個人帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國負責發布身分證和護照的國家安全憑證機構（ANTS）本週<a href="https://www.interieur.gouv.fr/actualites/communiques-de-presse/incident-de-securite-relatif-au-portail-antsgouvfr" target="_blank">公布安全事件</a>，可能導致近2000萬個資及專業帳號資料外洩。</p> <p>法國國家安全憑證機構（ANTS）是隸屬於法國內政部，負責發放身分證、護照、駕駛執照等證明文件的機關。ANTS在4月15日偵測到異常活動，可能導致ants.gouv.fr入口網站上的個人和專業帳號被竊取。初步調查顯示，受影響的個人資料類別包括登入ID、姓名、出生日期、帳戶識別碼。其他可能外洩的資料包含電子郵件信箱、出生地、電話號碼等。</p> <p>ANTS表示，外洩資訊不會允許非授權存取入口網站，但可能被用於釣魚郵件和社交工程攻擊。當局提醒用戶留心可能的釣魚簡訊、電話和電子郵件等。ANTS已經通報法國資料主管機關、巴黎檢察官，當局已和法國網路安全管理署（ANSSI）合作展開調查。</p> <p>當局沒有公布可能外洩的資料規模，不過上週一名代號breach3d的駭客在駭客論壇上兜售聲稱來自ANTS，近1900萬筆的紀錄，資料包含全名、聯絡資訊、出生日期、住家地址、性別、國籍及帳號metadata等。</p> <p>二個月前<a href="https://www.ithome.com.tw/news/173994" target="_blank">法國公共財政總局（DGFiP）也證實</a>，該單位管理的國家銀行帳戶登記資料庫（FICOBA）遭未授權存取，約120萬個帳戶資料被不明人士存取。</p> </div></div></div>
4/22 11:12作者林妍溱https://www.ithome.com.tw/news/175225
【資安日報】4月21日，2025年網路犯罪美國損失逾200億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175212"><strong style="font-size: 22px;">FBI發布2025年網路犯罪報告，指出AI助長詐騙，勒索軟體持續影響關鍵基礎設施</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/0421-AI-FBI.png" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/0421-AI-FBI.png" style="width: 300px; float: right;" /></a></p> <p>由美國聯邦調查局（FBI）主導的網路犯罪通報中心（IC3）發布2025年網路犯罪投訴報告（IC3 Annual Report），指出全年接獲逾100萬件網路犯罪通報，相關損失達208億美元，較2024年成長26%，再創新高，顯示網路犯罪對企業營運與整體社會的衝擊持續擴大。</p> <p>值得注意的是，IC3成立近25年來，首次在年度報告中納入AI專章，凸顯AI已從新興技術轉變為影響網路犯罪型態的重要因素。從犯罪型態來看，投資詐騙仍是最大損失來源，金額約86億美元，其次為商務電子郵件詐騙（BEC）與技術支援詐騙（Tech Support scam）。FBI指出，透過網際網路進行的詐騙活動已占整體損失約85%，顯示攻擊者正大量採用社交工程手法，逐漸取代傳統以漏洞入侵為主的攻擊模式。</p> <p><a href="https://www.ithome.com.tw/news/175186"><strong style="font-size: 22px;">美國司法部與FBI瓦解俄羅斯軍方駭客DNS劫持網路，阻斷惡意竊取資訊管道</strong></a></p> <p>美國司法部與聯邦調查局（FBI）近日宣布，已在法院授權下採取行動，成功阻斷由俄羅斯軍事情報單位控制的DNS劫持網路，該DNS劫持網路由俄羅斯總參謀部情報總局（GRU）所屬單位26165主導，也就是駭客組織APT28。至少從2024年起，GRU人員就利用已知的漏洞，入侵與竊取全球數千臺TP-Link路由器的憑證，隨後篡改其設定，將DNS請求重定向到GRU控制的惡意DNS伺服器，進而發動中間人攻擊，攔截與竊取未加密的密碼、身分驗證權杖、電子郵件與其他敏感資訊。</p> <p>FBI在資安公司Lumen、微軟、MIT林肯實驗室的技術協助下，依據法院授權，將一系列指令（Command）發送給美國境內受感染的路由器，收集有關俄羅斯GRU人員活動的證據，清除惡意設定並重設DNS，強制這些路由器使用合法的DNS，從而阻擋GRU人員的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/175189"><strong style="font-size: 22px;">新加坡示警先進AI模型恐改變漏洞利用節奏，要求銀行與關鍵基礎設施加速補強防線</strong></a></p> <p>4月15日，新加坡網路安全局（Cyber Security Agency of Singapore，CSA）發布資安警示，提醒當地企業與關鍵資訊基礎設施營運單位，先進AI模型（Frontier AI Models）已具備大規模分析程式碼與發掘弱點的能力，並可能加快漏洞利用流程，將原本需耗費數月的作業縮短至數小時內完成。</p> <p>這波警示與美國AI新創Anthropic測試新一代模型Claude Mythos有關。該模型已引發金融業對資安風險的高度關注，並受到美國、英國與加拿大監理機關關切。CSA在公告中將防護建議區分為「立即措施」與「長期強化方向」。前者著重於快速降低曝露風險，包括優先修補對外系統的重大與高風險漏洞、關閉不必要的對外服務與連接埠、盤點並隔離開發與測試環境，以及在管理介面與雲端管理主控臺全面啟用多因素驗證（MFA）。</p> <p><a href="https://www.ithome.com.tw/news/175184"><strong style="font-size: 22px;">函式庫protobuf.js爆RCE漏洞，波及gRPC與Firebase套件</strong></a></p> <p>JavaScript生態系廣泛使用的Protocol Buffers函式庫protobuf.js，其開發團隊近日揭露嚴重漏洞，CVSS評分9.4。漏洞允許攻擊者透過惡意結構定義（Schema）檔案，在應用程式正常處理訊息時觸發任意程式碼執行。受影響版本為8.0.0，以及7.5.4以下版本，修補版本8.0.1與7.5.5已發布，開發團隊建議立即升級。</p> <p>要觸發此漏洞，攻擊者需能影響應用程式載入的protobuf定義或描述子，研究人員提到，雖然這聽起來條件有限，但在實務上卻涵蓋多種常見情境。gRPC定義了標準的伺服器反射協定，允許用戶端向伺服器請求Schema定義，若伺服器遭入侵，即可在同一個回應中夾帶惡意型別名稱。</p> <p><a href="https://www.ithome.com.tw/news/175207"><strong style="font-size: 22px;">思科修補網路存取控制平臺ISE重大漏洞，未更新可能導致遠端執行任意程式碼攻擊</strong></a></p> <p>去年7月資安公司Fortinet揭露殭屍網路RondoDox活動，駭客鎖定的其中一類裝置，是TBK的數位監控系統主機設備DVR-4104、DVR-4216，他們在網路上掃描作業系統命令注入漏洞CVE-2024-3721（CVSS風險6.3分），藉此綁架這些裝置並用於DDoS攻擊，如今傳出有其他人馬加入漏洞利用行列。</p> <p>Fortinet近日發現殭屍網路Nexcorium，此為Mirai的變種，駭客團體Nexus Team試圖操弄mdb與mdc功能參數，藉由觸發CVE-2024-3721漏洞，而能下載指令碼，然後根據目標裝置的系統架構，啟動殭屍網路病毒的有效酬載。Nexcorium的架構與大部分Mirai變種相似，包括採用XOR編碼的組態配置資料、監控模組，以及DDoS攻擊模組。</p> <p><a href="https://www.ithome.com.tw/news/175172"><strong style="font-size: 22px;">思科修補無線基地臺儲存空間異常占用缺陷，用戶須儘速修補確保系統正常更新</strong></a></p> <p>儲存空間耗盡，導致無法下載與執行更新程式，是智慧型手機或個人裝置無法更新系統的常見原因之一，但是在企業級網路設備上就相對罕見。不過近日思科（Cisco）的無線基地臺產品就發生這樣的情況，由於IOS XE軟體的缺陷，導致系統日誌占用容量持續異常增長，造成裝置儲存空間耗盡，最終可能使系統無法下載或安裝後續韌體更新。這個問題一舉影響超過230款思科無線基地臺產品，迫使該公司為此發布重大（Critical）產品公告，提醒用戶儘速修補。</p> <p>無線基地臺這類設備的儲存空間有限，隨著系統運行會逐漸累積日誌、映像檔等資料，若未清理而導致空間耗盡，是常見的使用狀況。但這次思科出現的問題，並非單純系統運行累積造成，而是先前IOS XE軟體17.12.4版函式庫更新帶來的問題所致，系統會在無線基地臺快閃記憶體中產生cnssdaemon.log日誌檔案，且每天會持續增加大約5MB容量，導致快閃記憶體空間逐步消耗，最終系統將因儲存空間不足，而無法下載與更新後續的系統軟體版本，產生安全性風險。</p> <p><a href="https://www.ithome.com.tw/news/175204"><strong style="font-size: 22px;">CISA警告Apache ActiveMQ重大漏洞已被用於攻擊，要求儘速修補</strong></a></p> <p>美國網路安全與基礎設施安全局（CISA）近日警告，4月初揭露的重大漏洞CVE-2026-34197已被實際利用，未修補此弱點的開源訊息中介軟體Apache ActiveMQ風險大增，CISA將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。</p> <p>這個ActiveMQ漏洞其實已存在13年之久，但一直沒被發現，直到4月初，才由資安公司Horizon3.ai研究人員在Anthropic AI工具Claude輔助下發現，問題源自ActiveMQ的Jolokia管理API輸入驗證機制不足，可能導致遠端執行程式碼攻擊。</p> <p><a href="https://www.ithome.com.tw/news/175146"><strong style="font-size: 22px;">Anthropic MCP協定遭揭存在設計缺陷，MCP伺服器可被誘導執行任意命令</strong></a></p> <p>資安公司OX Security指出，由Anthropic主導開發的開放標準MCP（Model Context Protocol）在架構設計上存在系統性風險，攻擊者可藉由其STDIO傳輸介面，在MCP伺服器上執行任意作業系統命令，進而取得敏感資料、API金鑰及對話紀錄，研究團隊已針對受影響的下游專案揭露10個以上高風險與重大等級CVE。Anthropic的回應則將相關行為視為預期設計，未修改協定架構。</p> <p>研究人員估計波及超過200個開源專案，相關套件累計下載量超過1.5億次，公開暴露的MCP伺服器超過7,000個，潛在受影響實例多達20萬個。研究團隊在6個正式營運平臺上成功執行概念驗證攻擊，受影響的知名專案包括LiteLLM、LangChain及IBM旗下的LangFlow等。</p> <p><a href="https://www.ithome.com.tw/news/175143"><strong style="font-size: 22px;">駭客公布McGraw-Hill逾100 GB資料</strong></a></p> <p>有駭客組織宣稱，他們從知名教育出版商麥格羅希爾（McGraw-Hill）的Salesforce竊得4,500萬筆紀錄，威脅該出版社若未聯繫，將把資料公布。</p> <p>Have I Been Pwned發現，超過100 GB的麥格羅希爾資料已被公開，當中包含多個站點的1,350萬筆電子郵件信箱，以及完整度不一的姓名、實體地址和電話等欄位。麥格羅希爾證實Salesforce系統確實遭未經授權存取，且有部分資訊外流，但不包含社會安全碼、財務資訊、學生資料。</p> <p><a href="https://www.ithome.com.tw/news/175216"><strong style="font-size: 22px;">新竹物流部分資訊系統遭網攻，服務停擺兩天引起民眾關注</strong></a></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/KfCW0pUK1A.jpg" target="_blank"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/KfCW0pUK1A.jpg" style="width: 300px; float: right;" /></a></p> <p>4月17日新竹物流傳出因系統當機造成多項服務中斷，該公司原本承諾當天下午就會陸續恢復，用戶卻發現相關異常延續至18日下午。用戶存取新竹物流的網站，會看到系統緊急修復的公告。有人抱怨出貨與收貨受到影響，也有人取得客服的對話內容，指出該公司雲端伺服器遭到網路攻擊。此外，有媒體報導指出，許多新竹物流的司機因此無法正常配送貨物，只能在營業所待命。</p> <p>對此，新竹物流在網站上發出公告，指出他們4月17日遭到網路攻擊，該公司也在MOPS公開資訊測站說明此事，並強調根據初步評估，對公司營運無重大影響。新竹物流於20日上午到臺北市刑事警察大隊報案，由科技犯罪偵查隊受理調查。我們也向新竹物流致電進一步詢問，不過至截稿之前未收到回應。</p> <p><a href="https://www.ithome.com.tw/news/175115"><strong style="font-size: 22px;">FIDO身分識別觸角擴大，聚焦3大關鍵議題：數位憑證、AI代理、歐盟CRA</strong></a></p> <p>想要了解「網路身分識別」的最新發展，FIDO聯盟揭露的技術路線向來是了解相關產業發展的風向球。在今年2月舉行的FIDO巴黎研討會中，數位憑證與代理式AI已躍升為核心議題，歐盟網路韌性法案（CRA）亦是討論焦點。這些動向不僅展現FIDO正擴張其接軌範疇，也預示著身分識別在AI代理時代面臨的全新挑戰。</p> <p>有哪些全新發展重點？近期參加FIDO巴黎研討會的工業技術研究院資通所副所長黃維中指出，他在今年會議上觀察到3大核心議題：數位憑證、代理式AI，以及歐盟網路韌性法案（CRA）。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinas-apple-app-store-infiltrated-by-crypto-stealing-wallet-apps/">中國版蘋果App Store被駭客上架能竊取加密貨幣錢包的惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/the-gentlemen-ransomware-now-uses-systembc-for-bot-powered-attacks/">勒索軟體Gentlemen透過殭屍網路SystemBC滲透企業組織</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/seiko-usa-website-defaced-as-hacker-claims-customer-data-theft/">Seiko美國網站遭竄改，駭客聲稱從該公司後臺竊得客戶敏感資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ngate-android-malware-uses-handypay-nfc-app-to-steal-card-data/">安卓惡意軟體NGate濫用行動支付工具竊取付款資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/codex-exploits-samsung-tv/">AI程式碼助理Codex找出攻擊鏈，挖掘三星智慧電視的漏洞以取得root權限</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175180"><strong>【4月20日】第三個Microsoft Defender零時差漏洞被揭露</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175139"><strong>【4月17日】APT41鎖定4大雲端環境搜刮憑證與權杖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175111"><strong>【4月16日】17年前的Excel漏洞驚傳遭到利用</strong></a></p> </div></div></div>
4/21 18:57作者周峻佑https://www.ithome.com.tw/news/175221
AI推論框架SGLang曝RCE漏洞，惡意GGUF模型可觸發任意程式碼執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源大型語言模型推論框架SGLang被揭露存在嚴重遠端程式碼執行（RCE）漏洞CVE-2026-5760。攻擊者可製作內含惡意Jinja2模板注入惡意酬載（Payload）的GGUF模型檔，受害者一旦將模型載入SGLang，且有請求進入/v1/rerank端點，攻擊者就可能在目標伺服器上執行任意程式碼。</p> <p>美國卡內基美隆大學軟體工程研究所旗下的CERT協調中心（CERT/CC）於2026年4月20日<a href="https://kb.cert.org/vuls/id/915947">公告</a>該漏洞，並將概念驗證<a href="https://github.com/Stuub/SGLang-0.5.9-RCE">公開於GitHub</a>。CERT/CC表示，截至公告發布時，SGLang專案維護者未回應，也未提供修補程式。</p> <p>SGLang是一套用於部署大型語言模型與多模態模型的開源推論框架，相容OpenAI API規格，支援Qwen、DeepSeek、Mistral與Skywork等主流模型，在開源LLM推論基礎設施領域有一定能見度。</p> <p>此次漏洞出在SGLang的重新排序（Reranking）功能端點/v1/rerank。該端點在處理相關請求時，會建立Jinja2模板的執行環境，但採用的是未經沙箱限制的設定。這使模型檔中的chat_template在套用時，可能跳脫原有執行限制，在伺服器上執行任意Python程式碼。</p> <p>攻擊者可先在GGUF格式模型檔的tokenizer.chat_template欄位，植入惡意Jinja2伺服器端模板注入（SSTI）酬載開始，並加入特定觸發內容，引導請求進入含有漏洞的處理流程。受害者要是從HuggingFace等模型平臺下載並載入該惡意模型，只要後續有請求送至/v1/rerank端點，SGLang就可能讀取並套用模型內的chat_template，使惡意酬載在伺服器上執行。攻擊者一旦成功利用此漏洞，便可能取得SGLang服務的執行權限，導致主機遭入侵、橫向移動、資料外洩或阻斷服務（DoS）等風險。</p> <p>CERT/CC建議，應將_get_jinja_env()函式中的jinja2.Environment()替換為ImmutableSandboxedEnvironment，阻絕任意程式碼執行的可能性。凡是將/v1/rerank端點對外部或不受信任網路開放的SGLang部署，均屬高風險環境，應優先採取緩解措施或評估暫時關閉該端點。</p> </div></div></div>
4/21 19:10作者李建興https://www.ithome.com.tw/news/175219
新竹物流部分資訊系統遭網攻，服務停擺兩天引起民眾關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近年來駭客針對物流公司與運輸公司發動攻擊的情況，不時有事故傳出，這些事故大部分發生在國外，如今有臺灣物流公司因遭遇攻擊而導致服務中斷，引起外界關注。</p> <p>4月17日新竹物流傳出因系統當機造成多項服務中斷，<strong><a href="https://newtalk.tw/news/view/2026-04-18/1030469">該公司原本承諾當天下午就會陸續恢復</a></strong>，用戶卻發現相關異常延續至18日下午。用戶存取新竹物流的網站，會看到系統緊急修復的公告。有人抱怨出貨與收貨受到影響，也有人取得客服的對話內容，指出該公司雲端伺服器遭到網路攻擊。此外，有媒體報導指出，<strong><a href="https://news.tvbs.com.tw/life/3181772">許多新竹物流的司機因此無法正常配送貨物</a></strong>，只能在營業所待命。</p> <p>對此，新竹物流在網站上發出公告，指出他們4月17日遭到網路攻擊，該公司<strong><a href="https://mops.twse.com.tw/mops/#/web/t146sb05?companyId=2619">也在MOPS公開資訊測站說明此事</a></strong>，並強調根據初步評估，對公司營運無重大影響。新竹物流<strong><a href="https://udn.com/news/story/7320/9452432">於20日上午到臺北市刑事警察大隊報案</a></strong>，由科技犯罪偵查隊受理調查。我們也向新竹物流致電進一步詢問，不過至截稿之前未收到回應。</p> <p><a href="/sites/default/files/images/KfCW0pUK1A.jpg" target="_blank"><img alt="" src="/sites/default/files/images/KfCW0pUK1A.jpg" style="width: 580px;" /></a></p> <p>值得留意的是，新竹物流迄今只有承認這起事故是網路攻擊造成，並未說明事故發生的過程，或是受到影響的規模。值得留意的是，新竹物流僅公開發行股票，並未上市或上櫃，不過，他們還是發布股市重大訊息來證實此事。</p> </div></div></div>
4/21 16:55作者周峻佑https://www.ithome.com.tw/news/175216
臺灣港務公司推動智慧港口轉型，以AI與數據強化港口營運韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在全球供應鏈重組與淨零轉型壓力下，港口正從傳統基礎設施，轉型為高度數據化驅動的智慧營運場域，掌管國內9大港口的臺灣港務公司資訊處資深副處長林欣緯指出，當前港口面臨的兩大核心挑戰正是AI與ESG，「這些都是必要性的壓力，所以不得不為」。</p> <p>林欣緯說明，臺灣港務公司管理全臺9個港口，包括基隆港、臺北港、臺中港、安平港、花蓮港、高雄港、蘇澳港7個國際商港，以及布袋港、澎湖港2個國內商港，涵蓋貨櫃、散雜貨與郵輪觀光等多元業務，不僅牽動國內經濟，也直接連結國際供應鏈。舉凡民眾的食、衣、住、行、育、樂，例如身上穿的衣服、上班開的汽車，都和港口有關，突顯港口在國家經濟中的關鍵角色。</p> <p><img alt="" src="/sites/default/files/images/20260410_133505.jpg" style="width: 600px; height: 450px;" /></p> <p>然而，港口是國際貿易關鍵節點，牽動供應鏈與經濟發展，港口營運涉及船舶進出、裝卸、報關、運輸與多方業者協作，不僅流程高度複雜，且營運上面對中央、地方、業者與國際業者等多方利害關係人，龐大且複雜的流程，每天大量出入港口的人員、車輛、船舶、貨物、機械，例如郵輪停靠，數千名旅客上下船的出入管理，帶來龐大港務管理壓力，也是驅動港口數位轉型的動力。</p> <p><span style="color:#B22222;"><strong>上雲提升營運韌性、應對資安攻擊</strong></span></p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(34).JPG" style="width: 600px; height: 383px;" /></p> <p>在港口ESG的E(環境)、S(Social)、G(治理)三個方面，林欣緯列出臺灣港務公司在ESG的相關作為，包括環境永續、社會包容與共榮、公司治理等等。</p> <p>臺灣港務公司近幾年推動數位轉型，結合ESG永續發展推動雙軸轉型。其中數位轉型部分，推動平臺化與雲端化發展為關鍵之一。平臺化部分，港務公司建置「港站服務網（MTNet）」，以整合資料與流程；近幾年該公司也將原本部署於本地機房的核心系統逐步上雲，其目的是提升營運韌性。港口屬於高度依賴即時資訊的營運場域，一旦系統發生中斷，將直接影響船舶調度、貨物流通與通關效率，「主機不能掛」成為營運韌性的最基本要求。相較於集中在本地機房，雲端架構可提供更高的備援能力與服務穩定性。</p> <p>另一個原因則是強化對資安攻擊的防護能力。作為關鍵基礎設施的一環，港務系統經常會面臨外部攻擊壓力。林欣緯提到，目前系統每月承受高達上百萬次的DDoS攻擊，透過導入雲端平臺可借助其分散式架構與大型防護機制，有效提升整體防禦能力，減輕內部維運負擔。</p> <p>另外，上雲也為後續AI與資料應用奠定基礎。由於港口營運涉及龐大且分散的資料來源，包括船舶、貨物、車流、環境與能源等資訊，透過雲端平臺更容易進行整合與擴充。資料正是發展AI應用的關鍵基礎，未來無論是預測分析、自動化決策或跨系統整合，都需要仰賴具備彈性與擴展能力的運算環境。</p> <p>在智慧港口應用上，港務公司已導入多項數據與AI技術。例如，港區內每天進出的龐大車流管理，他們透過影像辨識與RFID技術，每日處理約3萬筆車輛進出，辨識準確率達99%以上，取代過去人工紙本作業。船舶管理方面，則透過VTS(船舶交通服務系統）整合雷達、感測器與氣象資料，進行航道監控與碰撞預警。</p> <p><span style="color:#B22222;"><strong>AI推動策略：從工具到文化</strong></span></p> <p>在AI推動策略上，港務公司並未採取集中式開發，而是向內部普及。林欣緯強調，我們目標不是讓資訊部門來做AI，而是希望建立「全民AI」，即每個人都能用AI，透過工具與訓練，讓各部門自行發展應用。目前內部已累積近200小時培訓時數，從基層到高階主管皆參與其中。</p> <p>港務公司也將AI應用於港口營運場景，包括不明船舶偵測、航道的異常預警、氣象、防災與營運分析等，進一步提升預測與決策能力。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(36).JPG" style="width: 600px; height: 430px;" /></p> <p>特別是每天港口出入的大量船隻，航道監測管理相當重要，例如偵測不明船舶靠近敏感水域、判斷船舶是否偏離航道、偵測違規行為（停留、超速）等等。</p> <p><span style="color:#B22222;"><strong>不只用AI提升港口營運效率，還能兼顧韌性及環境治理</strong></span></p> <p>在實際營運面上，港務公司也將AI導入貨物裝卸流程中。以貨櫃與散雜貨作業為例，透過影像辨識與自動化技術，系統可輔助辨識貨物類型、位置與裝卸狀態，並協助起重機進行更精準的吊掛作業。林欣緯形容貨櫃裝卸「就像夾娃娃」，需要極高精度與穩定度，特別是在處理重量龐大、形態不規則的貨物時，AI可有效降低人為操作風險，提升整體作業效率。</p> <p>在永續管理方面，港務公司建置環境監測與分析系統，持續蒐集港區空氣品質、水質與噪音等數據，並透過資料分析找出污染熱區與異常來源。這些數據不僅用於日常監控，也能在外界關注環境議題時即時回應。</p> <p><img alt="" src="/sites/default/files/images/%E6%93%B7%E5%8F%96(35).JPG" style="width: 600px; height: 418px;" /></p> <p>林欣緯指出，透過長期資料累積與分析，甚至回推污染可能來源，「例如某些區域長期出現異常，就有機會判斷附近是否存在特定污染源」，使港口營運管理單位在面對環保與社會壓力時更具主動性。</p> <p>此外，面對高耗能的港口營運環境，透過導入智慧能源管理系統，運用數據分析與儲能技術進行用電最佳化。系統可依據用電需求與電價變化進行調度，在電價較低時儲存電力，於尖峰時段釋放使用，達到削峰填谷效果，不僅降低能源成本，也提升供電穩定性。林欣緯強調，穩定的能源供應對港口至關重要，一旦系統因斷電中斷，將直接影響營運與資料完整性，因此透過智慧能源管理，同時兼顧效率與韌性，也是推動ESG的重要一環。</p> <p>最後，他強調AI與ESG並非對立，而是可以相輔相成，「因為有這些更簡單的做法，讓我們把心力放在對環境更有益的事情上」。他強調，港務公司未來將朝向數據驅動與高韌性營運發展，並以此提升國際競爭力，與全球港口接軌。</p> </div></div></div>
4/21 18:10作者蘇文彬https://www.ithome.com.tw/news/175217
微軟針對終止支援的舊版Exchange與Skype for Business發布第二階段ESU，延長安全更新至2026…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>針對已終止支援的Exchange Server 2016/2019與Skype for Business Server 2015/2019，<a href="https://techcommunity.microsoft.com/blog/exchange/announcing-period-2-exchange-20162019-extended-security-update-esu-program/4511603" target="_blank">微軟宣布推出</a>第二階段延伸安全更新（<wbr></wbr>Extended Security Update，ESU）計畫。</p> <p>微軟表示，上述產品<a href="https://www.ithome.com.tw/news/170150" target="_blank">第一階段ESU</a>即將於2026年4月底結束，<wbr></wbr>但部分客戶反映需要更多時間完成遷移至Exchange訂閱版本<wbr></wbr>（Exchange Subscription Edition，SE）或轉向Microsoft Teams，因此推出第二階段ESU。</p> <p>根據官方說明，<wbr></wbr>第二階段ESU自2026年5月起至10月底為止，為期6個月。<wbr></wbr>欲參與該計畫的客戶需重新購買ESU合約，<wbr></wbr>且不會自動延續第一階段授權。未購買第一階段ESU的客戶，<wbr></wbr>也可直接購買第二階段。</p> <p>微軟指出，此ESU計畫並不代表延長產品生命週期，<wbr></wbr>相關伺服器仍屬於終止支援狀態，<wbr></wbr>除非問題直接涉及ESU期間釋出的安全更新（Security Update，SU），否則無法取得技術支援服務。</p> <p>在更新提供機制上，微軟說明僅在出現關鍵（Critical）<wbr></wbr>或重要（Important）等級的安全問題時，<wbr></wbr>才會釋出安全更新，且未承諾在此期間一定會發布更新內容。<wbr></wbr>相關更新僅提供給已購買ESU的客戶。</p> <p>Skype for Business Server 2015與2019的<a href="http://techcommunity.microsoft.com/blog/skype_for_business_blog/announcing-%e2%80%9cperiod-2%e2%80%9d-for-skype-for-business-server-20152019-extended-security-u/4511619" target="_blank">第二階段ESU條件</a>與Exchange Server相同，包括需重新購買授權、更新不保證提供，<wbr></wbr>以及計畫結束後不再延長。</p> </div></div></div>
4/21 17:03作者王珮瑤https://www.ithome.com.tw/news/175218
兩個月前AI公司Context遭竊資軟體攻擊，疑為雲端開發平臺Vercel資料外洩事故的導火線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端開發平臺Vercel近日表示<strong><a href="https://www.ithome.com.tw/news/175209">因受到LiteLLM供應鏈攻擊波及，他們的內部環境遭到入侵</a></strong>，駭客滲透其中一名員工使用的第三方AI工具Context.ai而得逞。不過，為何駭客能夠滲透這名員工的工具？有資安公司透露，原因是Context在兩個月前遭遇竊資軟體攻擊。</p> <p>威脅情報公司HudsonRock指出，Vercel資安外洩事故的源頭，<strong><a href="https://www.hudsonrock.com/blog/6335/">可追溯到今年2月Context遭遇竊資軟體Lumma Stealer攻擊</a></strong>。根據他們的調查，一名具有敏感存取權限的Context員工，疑似為了尋找遊戲外掛，特別是Roblox的自動掛機指令碼與執行工具，導致電腦被感染了Lumma Stealer，導致大量企業憑證外流。值得留意的是，這名員工受害之前，Context.ai還有發生一次竊資軟體攻擊。根據這些攻擊的跡象，HudsonRock研判攻擊者很有可能就是ShinyHunters。</p> <p>駭客從這名Context員工的電腦裡，挖掘Google Workspace憑證，以及Supabase、Datadog、Authkit的金鑰與帳密資料。部分資訊相當敏感，其中一個是[email protected]帳號，這些開發成員與管理工具的曝光，讓駭客能夠提升權限、繞過該公司的初期資安防線，並轉向Vercel的基礎設施。</p> <p>值得留意的是，在Vercel發布資安公告後，<strong><a href="https://context.ai/security-update">Context也發出聲明</a></strong>，表示該公司於3月察覺AWS環境遭未經授權存取的事故，當時該公司委託資安公司CrowdStrike進行調查，通知受影響的客戶，並關閉AWS環境與相關資源，全面棄用消費端的產品。</p> <p>近日Context根據Vercel提供的情報再度進行內部調查，他們發現上述事故駭客疑似也滲透部分消費端用戶的OAuth權杖（Token），然後透過這些OAuth權杖存取Vercel的Google Workspace。</p> <p>Context強調，Vercel並非他們的客戶，不過至少有1名員工透過公司的Google Workspace帳號，註冊Context的消費型服務AI Office Suite，並授予全部同意（Allow All）的權限。</p> <p>針對上述資安事故的影響範圍，Context表示僅限於AI Office Suite等消費型產品，企業級產品不受影響，Bedrock用戶不受影響。該公司也提及AI Office Suite已經棄用，他們將直接聯絡受影響的用戶。</p> </div></div></div>
4/21 15:33作者周峻佑https://www.ithome.com.tw/news/175214
歐盟發包1.8億主權雲合約給4家本地雲端供應商，減少對美科技依賴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_26_833" target="_blank">歐盟執委會宣布</a>上週主權雲標案完成結標，發包給了4家歐洲雲端供應商，允許歐盟機構、組織部門、辦公室和局處未來6年最可採購1.8億歐元的主權雲服務，藉此減少對美國或其他國家的技術依賴度。</p> <p>4家獲得合約的雲端供應商包括盧森堡的Post Telecom、德國的StackIT、法國Iliad資料中心部門Scaleway及比利時Proximus等。其中Post Telecom將和法國的CleverCloud及OVHcloud合作，而Proximus則和Thales及Google Cloud合資公司S3NS、以及盧森堡Clarence和法國Mistral合作。</p> <p>歐盟執委會表示，本次招標是歐盟實現確保主權、強化對關鍵技術和基礎架構的策略性計畫的一環。歐盟在2025年10月公布雲端主權框架（Cloud Sovereignty Framework），涵括數位主權的策略、法律、營運、環境考量及供應鏈透明度、科技開放性、安全及遵從EU法規等8個目標，並於同月根據「雲端III動態採購系統」（Cloud III DPS）啟動招標。歐盟表示，這次同時發包了4項合約，是為了確保多元性、彈性、以及避免過度依賴單一業者。</p> <p>這些供應商必須滿足條件限制，確保非歐盟的第三方廠商對其用的技術或提供的服務，只能有部分控制權。歐盟執委會帶頭宣導各級部會使用歐盟自己的雲，以落實數位主權，也希望這次招標鼓勵整個雲端業遵守歐盟標準和價值觀。</p> <p>歐盟執委會正在確定雲端主權框架的更新版本，包含進行主權評估的具體標準，提供希望能借鏡歐盟作法的實體。</p> <p>歐盟委員會也正在製訂科技主權（Tech Sovereignty）統包式法案。該統包法包括開源戰略、《晶片法案2》、《能源領域數位化和人工智慧戰略路線圖》以及《雲端運算和人工智慧發展法案the Cloud and AI Development Act》（CADA）。CADA也將調和如何在單一市場內的雲端和AI運算服務落實主權，旨在提供各會員國採購，以及業者參與標案的指導原則。</p> <p>在川普上任後，歐盟各國更加意識到對Google、微軟與Amazon等美國科技業者的依賴風險。除此之外，歐盟也推行<a href="https://www.ithome.com.tw/news/168951" target="_blank">了歐盟漏洞資料庫EUVD</a>，並即將推出自己的<a href="https://www.ithome.com.tw/news/175145" target="_blank">線上年齡驗證App</a>。</p> </div></div></div>
4/21 14:48作者林妍溱https://www.ithome.com.tw/news/175213
GitHub原生支援堆疊式PR工作流程，提供gh stack CLI與PR堆疊檢視
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>GitHub宣布原生支援<a href="https://github.github.com/gh-stack/">堆疊式拉取請求（Stacked Pull Requests）</a>工作流程，並同步提供名為gh stack的GitHub CLI擴充工具，以及PR頁面的Stack Map介面。此功能目前處於私人預覽階段。</p> <p>堆疊式PR是將大型程式碼變更拆分為多個相互依賴拉取請求的開發方式。在這個結構中，最底層的PR以Main為目標分支，其上每一層PR則以下一層的分支為基底，形成有序的相依鏈。每個PR各自代表一個可獨立審查的原子性變更，讓審查者能逐層檢視，而不必面對一次性提交的大量程式碼。</p> <p>過去GitHub並未原生支援此工作模式，開發者若要採用堆疊式PR，往往需要採用第三方工具，或手動處理繁瑣的分支同步與重定基底（Rebase）作業。</p> <p>此次官方整合方案包括PR介面與本地開發兩部分，在PR介面方面，當一個PR屬於某個堆疊時，頁面頂部會顯示Stack Map，呈現整個堆疊的結構與各層狀態，並支援單點導覽至任意層。規則與CI的執行邏輯也有所調整，堆疊中各PR的合併條件，會以最底層PR的基底分支為準，通常就是Main，因此分支保護規則與CI檢查，都會對堆疊中的每一個PR生效，而不只限於最底層PR。</p> <p>堆疊中的PR必須由下而上依序進行，支援直接合併與合併佇列兩種方式。直接合併時，系統會在所有條件滿足的前提下，將該PR及其下方尚未合併的PR一併處理。合併佇列方面則具備堆疊感知能力，要是最底層PR被移出佇列，其上所有PR也會一同移除。</p> <p>自動化Rebase是此功能的另一個重點。過去手動管理多個相依分支的Rebase作業是堆疊式PR最耗時的環節，GitHub在PR介面加入Rebase按鈕，可對整個堆疊執行連動Rebase，而CLI端則對應gh stack rebase指令，執行相同的本地操作。當底層PR完成合併後，其餘分支也會自動Rebase，確保下一個PR直接對準Main，可立即進行審查與合併。</p> <p>gh stack CLI提供本地開發端完整的工作流程支援，涵蓋從建立分支、推送至遠端、建立或更新PR，以及在各層之間切換導覽的完整操作。GitHub說明，使用堆疊式PR並不強制要求安裝CLI，但CLI能有效簡化整體流程。</p> </div></div></div>
4/21 14:51作者李建興https://www.ithome.com.tw/news/175210
看好基於ePBF的執行期防護與韌體分析市場，義大利商Exein豋臺設立亞太營運中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鎖定臺灣在全球科技製造供應鏈的關鍵地位與資安需求，義大利物聯網安全Exein近日在臺舉辦記者會，宣布設立亞太營運中心暨臺北辦公室，展現搶攻臺灣與亞太商機的企圖心。</p> <p>隨著歐盟網路韌性法案(CRA) 的推動，裝置端資安成為全球焦點。Exein強調，看好臺灣及亞太製造商對Security by Design的需求，將推動安全左移概念，協助臺灣製造商從開發源頭植入防護機制，確保產品符合國際合規標準。</p> <p>在這場記者會上，Exein更揭露已與聯發科（MediaTek）、信驊科技（ASPEED）等指標性臺廠展開深度合作，共同強化嵌入式資安防護。</p> <h2><span style="color:#B22222;"><strong>聚焦嵌入式資安，主打基於eBPF與輕量化的執行期防護</strong></span></h2> <p>隨著物聯網資安日益受到重視，Exein執行長Gianni Cuozzo指出，他於2018年創立Exein的初衷，就是期望克服嵌入式系統長期存在的安全挑戰，避免同樣的漏洞問題一再出現。他認為，將資安機制導入產品設計與開發流程（Security by Design），正是解決此問題的關鍵。</p> <p>針對此一需求，Exein已經推出兩大核心產品線：一是提供執行期防護的Exein Runtime，二是專注於韌體分析與合規的Exein Analyzer。</p> <p>這些解決方案有哪些獨到之處？以Exein Runtime而言，該技術能直接嵌入裝置與韌體中，透過AI驅動的執行階段防護（Runtime Protection），即時偵測異常行為與潛在威脅。這不僅能協助製造商抵禦攻擊，也能確保產品符合全球日益嚴苛的資安法規要求。</p> <p>對於實際應用案例，Exein亞太暨日本副總裁莊景明指出，該公司已展現積極的臺廠合作成果。例如，2025年與聯發科（MediaTek）Genio平臺整合，提供即時威脅偵測與自動化漏洞通報機制；2026年初更進一步與信驊科技（Aspeed）合作，將Exein Runtime整合至其遠端伺服器管理晶片（BMC）。這些合作計畫，突顯臺灣半導體與硬體業者對嵌入式資安的迫切需求。</p> <p><a href="/sites/default/files/images/（圖5）Exein Runtime_Mediatek Tenio 720_攝影李宗翰-1.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Exein%20Runtime_Mediatek%20Tenio%20720_%E6%94%9D%E5%BD%B1%E6%9D%8E%E5%AE%97%E7%BF%B0-1.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖4）Exein Runtime_Aspeed AST2600 EVB_攝影李宗翰-1.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Exein%20Runtime_Aspeed%20AST2600%20EVB_%E6%94%9D%E5%BD%B1%E6%9D%8E%E5%AE%97%E7%BF%B0-1.jpg" style="width: 600px;" /></a></p> <p>然而，令我們好奇的是，執行期保護概念存在已久，Exein在技術上究竟有何不同？</p> <p>Gianni Cuozzo表示，其技術核心優勢在於對Linux系統底層eBPF的運用，採基於eBPF技術的Linux安全模組（LSM），藉此提供精細的可觀測性與政策執行能力。</p> <p>他進一步解釋，這與一般的容器安全方案不同，Exein的方案是針對資源受限且環境多變的嵌入式裝置所設計。例如，在MCU環境中，Exein透過在編譯期注入監控邏輯，無需在執行期修改程式碼來實現防護；在Linux環境下，則是透過eBPF在核心層級介入，監控核心產生的事件，結合行為異常偵測與規則式偵測實現威脅識別。</p> <p><a href="/sites/default/files/images/（圖6）Exein Runtime_ePBF.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Exein%20Runtime_ePBF.jpg" style="width: 600px;" /></a></p> <p>由於我們曾報導eBPF技術受<a href="https://www.ithome.com.tw/news/166037" target="_blank">Cisco</a>、<a href="https://www.ithome.com.tw/news/165682" target="_blank">CNCF</a>看重的趨勢，Exein對此也分享了他們的觀察，並強調這項技術架構在嵌入式安全中同樣具有極高的重要性。</p> <p>Gianni Cuozzo指出，傳統防禦多為反應式，往往在攻擊發生後才進行偵測，而Exein以eBPF為基礎，搭配該公司近期發表的Photon技術實作，便可做到整合於核心層級的主動式防禦，在攻擊行為造成影響前，即時攔阻可疑指令執行。</p> <p>他強調，在未來機器對機器的高速攻擊場景下，傳統防禦的反應速度已難以跟上，而Photon的優勢在於能提供機器等級的防禦速度，在損害發生前預先切斷攻擊鏈。</p> <p>輕量化是嵌入式安全的另一關鍵。莊景明指出，以信驊的BMC晶片為例，Exein將「韌體資源占用（Footprint）」大幅優化約70％，從2MB縮減至600KB，並持續朝400KB邁進，以適應BMC等晶片對ROM空間的限制。</p> <p>畢竟，邊緣運算或 IoT 裝置不像伺服器擁有充裕資源，因此Exein強調將CPU占用率控制在1％以下。莊景明強調，目前該方案已是全球最輕量的選擇之一，並且仍持續追求更極致的輕量化表現。</p> <p><a href="/sites/default/files/images/（圖1）Exein亞太暨日本副總裁莊景明_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Exein%E4%BA%9E%E5%A4%AA%E6%9A%A8%E6%97%A5%E6%9C%AC%E5%89%AF%E7%B8%BD%E8%A3%81%E8%8E%8A%E6%99%AF%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><span style="color:#B22222;"><strong>看準CRA商機，推動韌體掃描與AI合規工具</strong></span></h2> <p>韌體分析是另一市場焦點，過去幾年已有幾家業者布局此技術。回顧兩年前，我們曾在臺灣資安大會AIoT展區注意到相關態勢。例如， Keysight於2023年底併購韌體分析業者Firmalyzer，將其技術整合至IoT資安評估方案。還有Eclypsium與Binarly等業者，過去也曾多次揭露臺廠設備的韌體漏洞。</p> <p>Exein在前幾年亦發表Exein Analyzer搶攻韌體分析市場。莊景明指出，該產品設計的核心考量在於化解客戶最在意的「信任」問題。他解釋，許多企業對於將韌體或二進位檔（binary）交付給第三方分析仍感猶豫，擔心技術外洩。對此，Exein Analyzer採用SaaS模式，並部署於AWS環境，強調客戶無需提供原始碼，僅需上傳韌體或二進位檔即可進行深度掃描。</p> <p>至於實際運作流程，莊景明表示，客戶上傳韌體後，系統可以自動執行掃描並產出報告，根據實測經驗，平均約20至30分鐘即可完成一次完整的掃描，協助企業快速掌握韌體的安全狀態。</p> <p>此外，Exein Analyzer亦內建AI Compliance Tool，能自動化處理韌體與產品文件在法規合規上的工作。這顯然也是Exein看好臺廠需求的核心原因之一，隨著歐盟網路韌性法（CRA）即將正式施行，身為全球硬體供應鏈關鍵角色的臺灣製造商，正首當其衝地面臨前所未有的國際合規壓力。</p> <p><a href="/sites/default/files/images/（圖2）Exein亞太暨日本副總裁莊景明_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Exein%E4%BA%9E%E5%A4%AA%E6%9A%A8%E6%97%A5%E6%9C%AC%E5%89%AF%E7%B8%BD%E8%A3%81%E8%8E%8A%E6%99%AF%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>義大利嵌入式資安廠商Exein於去年底完成1億歐元融資。針對日後布局，Exein亞太暨日本副總裁莊景明表示，4月設立臺北辦公室後，將以臺灣為起點拓展亞洲版圖。接下來計畫在日本設點，聚焦車用與醫療等產業，並逐步布局中、韓市場。</strong></span></p> <p><a href="/sites/default/files/images/（圖3）Exein Runtime Security_built into every device_攝影羅正漢.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Exein%20Runtime%20Security_built%20into%20every%20device_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>Exein於現場展示其執行期防護方案Exein Runtime的合作成果，當中有多項是臺廠產品，包含聯發科（MediaTek）、信驊科技（Aspeed）研揚科技（Aaeon）與利凌企業（Lilin）的產品。</strong></span></p> <p> </p> </div></div></div>
4/21 12:25作者羅正漢https://www.ithome.com.tw/news/175206
FBI發布2025年網路犯罪報告：年損失突破208億美元，AI助長詐騙，勒索軟體持續影響關鍵基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>由美國聯邦調查局（FBI）主導的網路犯罪通報中心（<wbr></wbr>Internet Crime Complaint Center，IC3）<a data-saferedirecturl="https://www.google.com/url?q=https://www.fbi.gov/news/press-releases/cryptocurrency-and-ai-scams-bilk-americans-of-billions&source=gmail&ust=1776832245246000&usg=AOvVaw1LLJT_CgIGl1OjyIM2Fiy4" href="https://www.fbi.gov/news/press-releases/cryptocurrency-and-ai-scams-bilk-americans-of-billions" target="_blank">發布2025年網路犯罪投訴報告</a>（IC3 Annual Report），指出全年接獲逾100萬件網路犯罪通報，<wbr></wbr>相關損失達208億美元，較2024年成長26%，再創新高，<wbr></wbr>顯示網路犯罪對企業營運與整體社會的衝擊持續擴大。</p> <hr /> <p><a href="https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf" target="_blank"><img alt="" src="/sites/default/files/images/0421-FBI-report.png" style="width: 500px;" /></a></p> <hr /> <p>值得注意的是，IC3成立近25年來，<wbr></wbr>首次在年度報告中納入AI專章，<wbr></wbr>凸顯AI已從新興技術轉變為影響網路犯罪型態的重要因素。</p> <p>從犯罪型態來看，投資詐騙仍是最大損失來源，金額約86億美元，<wbr></wbr>其次為商務電子郵件詐騙（Business Email Compromise，BEC）與技術支援詐騙（Tech Support scam）。FBI指出，<wbr></wbr>透過網際網路進行的詐騙活動已占整體損失約85%，<wbr></wbr>顯示攻擊者正大量採用社交工程手法，<wbr></wbr>逐漸取代傳統以漏洞入侵為主的攻擊模式。</p> <hr /> <p><img alt="" src="/sites/default/files/images/0421-BEC-FBI.png" style="width: 600px;" /></p> <hr /> <p>加密貨幣同樣成為詐騙資金流動的主要工具。<wbr></wbr>2025年相關案件損失達113億美元，占整體比例過半。其中，<wbr></wbr>投資詐騙多結合假投資平臺與長期誘騙策略，<wbr></wbr>部分案件甚至涉及東南亞跨國犯罪集團運作，使資金流向更難追蹤，<wbr></wbr>也提高執法單位防堵難度。</p> <p>在AI相關威脅方面，2025年IC3共接獲逾2.2萬件案件，<wbr></wbr>損失約8.9億美元。攻擊者利用生成式AI製作釣魚郵件、深偽（<wbr></wbr>deepfake）內容與語音仿冒（voice cloning）攻擊，使詐騙手法更具可信度。<wbr></wbr>例如在BEC攻擊中，<wbr></wbr>攻擊者可模擬企業高階主管語氣發送匯款指示郵件，<wbr></wbr>大幅提高詐騙成功率。</p> <p><img alt="" src="/sites/default/files/images/0421-AI-FBI.png" style="width: 592px;" /></p> <hr /> <p>從企業資安角度來看，AI的導入也代表攻擊模式出現轉變。<wbr></wbr>攻擊者可快速產生大規模為目標量身打造的內容，並針對特定對象進行精準詐騙，<wbr></wbr>使企業員工更難辨識異常訊息，進一步放大內部風險。</p> <p>在傳統資安威脅方面，勒索軟體仍持續影響關鍵基礎設施。<wbr></wbr>2025年IC3接獲超過3,600起相關通報，損失金額逾3,<wbr></wbr>200萬美元。不過FBI指出，此數據並未納入停機損失、<wbr></wbr>營運中斷、資料重建與第三方應變服務等間接成本，<wbr></wbr>實際衝擊規模可能遠高於統計數字。</p> <hr /> <p><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small;"><img alt="" src="/sites/default/files/images/0421-CI-ransomware-FBI.png" style="width: 600px;" /></span></p> <hr /> <p>從攻擊態勢來看，勒索軟體仍以關鍵基礎設施為主要目標，<wbr></wbr>受影響產業集中於製造、醫療與政府機構，<wbr></wbr>顯示攻擊者持續鎖定對營運中斷高度敏感的組織，<wbr></wbr>以提高勒索成功率。此外，<wbr></wbr>2025年IC3共辨識出63個新的勒索軟體變種，<wbr></wbr>平均每月新增逾5種，顯示威脅持續演化，且攻擊工具快速商品化，<wbr></wbr>降低攻擊門檻。</p> <p>在實際攻擊手法上，駭客多結合資料竊取與勒索雙重策略（<wbr></wbr>double extortion），不僅加密系統，也威脅公開外洩資料，<wbr></wbr>以提高受害組織支付贖金的壓力。另一方面，<wbr></wbr>橫向移動與網路內部擴散能力亦持續強化，<wbr></wbr>使單一入侵點可能迅速擴大為全網影響事件。</p> <p>FBI強調，企業未必完整通報勒索事件或相關損失，<wbr></wbr>使整體統計數據可能被低估。對企業而言，<wbr></wbr>勒索軟體已從單純的資安事件，<wbr></wbr>轉變為影響營運持續性與商譽的重大風險，需從備份策略、<wbr></wbr>網路分段到端點偵測與回應（EDR）等多層面強化防護。</p> <p>在防禦建議方面，FBI強調企業應全面啟用多因素驗證（<wbr></wbr>Multi-Factor Authentication，MFA）、落實最小權限控管，<wbr></wbr>並建立離線備份與網路分段機制，<wbr></wbr>以降低勒索軟體在內網橫向擴散的風險。同時，針對詐騙事件，<wbr></wbr>及早通報對降低損失至關重要。IC3透過「金融詐騙阻斷機制」（<wbr></wbr>Financial Fraud Kill Chain，FFKC），在2025年成功凍結約58%<wbr></wbr>的可疑資金。</p> <p>整體而言，FBI認為網路犯罪正呈現三大趨勢：<wbr></wbr>攻擊手法由傳統技術入侵轉向AI輔助的社交工程、<wbr></wbr>加密貨幣使資金流向更難追蹤，<wbr></wbr>以及攻擊規模與自動化程度持續提升。對企業而言，<wbr></wbr>資安已不僅是IT部門的責任，<wbr></wbr>更是影響營運韌性與財務風險的核心管理議題。</p> <p><span style="font-size:14px;"><a href="http://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf" target="_blank"><span style="color:#696969;">圖片來源／FBI</span></a></span></p> </div></div></div>
4/21 14:13作者王珮瑤https://www.ithome.com.tw/news/175212
雲端開發平臺Vercel資料外洩，起因是員工使用的第三方AI工具遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端開發平臺Vercel傳出遭遇資安事故，有駭客聲稱從該公司竊得一批內部資料，並尋找買家兜售。由於Vercel供應開發人員主機與開發基礎設施的雲端平臺，影響範圍可能非常廣泛。</p> <p>4月19日<strong><a href="https://vercel.com/kb/bulletin/vercel-april-2026-security-incident">Vercel發布資安公告</a></strong>，指出他們的內部系統遭到未經授權存取，有部分用戶未加密儲存的非敏感環境變數遭駭，該公司也通知這些用戶，呼籲立即輪替相關憑證。</p> <p>後續該公司更新部落格文章，指出這起事故是員工使用的第三方AI工具Context.ai被入侵造成，駭客藉此取得權限，接管該名員工的Google Workspace帳號，從而存取部分Vercel環境，以及未標記為敏感層級的環境變數。該公司提到，標記為敏感的環境變數資料，會以不可直接讀取的方式儲存，而這類已經過處理的資料，並未出現遭異常存取的跡象。</p> <p>根據攻擊者活動的速度，以及了解Vercel系統的程度極為詳細，Vercel研判這些駭客的侵入手法相當複雜。該公司已尋求Mandiant與其他資安公司、執法單位、同業及Context.ai，進行合作，以釐清攻擊事故發生的經過。Vercel資安團隊與GitHub、微軟、NPM、Socket合作，確認他們發布的NPM套件未遭竄改或入侵。</p> <p>根據<strong><a href="https://www.bleepingcomputer.com/news/security/vercel-confirms-breach-as-hackers-claim-to-be-selling-stolen-data/">資安新聞網站Bleeping Computer的報導</a></strong>，Vercel發布資安公告的原因，源於自稱駭客組織ShinyHunters成員的人士於駭客論壇Breachforums表示，他們成功入侵了Vercel，竊得存取金鑰、原始碼，以及資料庫，並有意出售存取Vercel的權限。</p> <p>這名賣家聲稱，買家可取得多名員工的帳號、多個內部部署環境，以及API金鑰，其中包含NPM與GitHub的權杖（Token）。</p> <p>為了取信買家，賣家公布含有Vercel員工資訊的純文字檔，內含580筆記錄，包括姓名、電子郵件信箱，帳號狀態，以及活動時間的戳記。該名賣家公布另一張螢幕截圖，看起來像是Vercel內部的企業儀表板，但相關資料真實性尚未獲得證實。賣家也在Telegram頻道聲稱，他們向Vercel索討200萬美元贖金，換取不將竊得的資料公開。</p> </div></div></div>
4/21 12:48作者周峻佑https://www.ithome.com.tw/news/175209
IETF出現IPv8草案引發爭議，專家質疑缺乏實用性、社群認為偏向研究用途
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>2026年4月中旬，網際網路標準制定組織Internet Engineering Task Force（IETF）出現<a href="https://www.ietf.org/archive/id/draft-thain-ipv8-00.html" target="_blank">一份名為IPv8的網路協定草案</a>，引發技術社群與產業專家關注。該提案由研究人員J. Thain提交，試圖探索不同於現行IPv4與IPv6架構的新型網路設計，但外界普遍質疑其實際可行性與採用價值。</p> <p>值得注意的是，IETF草案（Internet-Draft）本身並不代表正式標準提案。根據IETF說明，任何人皆可提交Internet-Draft文件，該文件不代表IETF立場，也不具備標準制定流程中的正式地位，僅屬於早期討論與概念驗證性質。</p> <p>根據IETF發布的草案文件（draft-thain-ipv8-00），IPv8並非單純延伸既有IP位址長度，而是提出一套全新封包格式與位址設計，強調彈性與可擴展性，並試圖重新定義網路節點識別與路由方式。此一設計與現行IP協定（如IPv4與IPv6）的演進邏輯有所不同，也未直接承襲既有相容性架構。</p> <p>不過，<a href="https://cybernews.com/tech/ipv8-proposal-slammed-by-tech-professionals/" target="_blank">科技媒體Cybernews報導</a>，多位網路技術專業人士對此提案表達質疑，認為IPv8缺乏明確的實際應用場景，也未說明如何與現行網際網路基礎設施整合。部分評論指出，在全球仍持續推動IPv6普及的情況下，再提出全新版本的IP協定，可能增加產業混亂，且難以獲得大規模採用。</p> <p>Cybernews亦引述IETF文件狀態說明指出，該草案未獲IETF背書，也未具備正式標準地位。此外，外界亦出現質疑聲音，認為該文件可能帶有AI生成特徵，不過目前尚無官方證實。</p> <p>進一步觀察開發者社群反應，在論壇<a href="https://news.ycombinator.com/item?id=47788857" target="_blank">Hacker News的討論串</a>中，多數使用者將IPv8視為概念性或研究導向的設計，而非短期內可部署的實際協定。有開發者指出，該提案較接近用於驗證新型網路架構或分散式系統的實驗性模型，與現行商業網際網路的需求存在明顯落差。</p> <p>整體而言，IPv8目前仍處於IETF草案初期階段，尚未進入標準化流程的關鍵里程碑。從產業與社群反應來看，此一提案更可能被視為探索未來網路架構的研究方向，而非短期內取代IPv6的實際技術路線。</p> </div></div></div>
4/21 13:20作者王珮瑤https://www.ithome.com.tw/news/175211
藍色起源發射失誤導致衛星報廢，商業發射能力面臨市場檢驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國衛星通訊公司<a href="https://www.businesswire.com/news/home/20260419512905/en/AST-SpaceMobile-Addresses-Todays-Orbital-Launch-of-BlueBird-7-on-the-New-Glenn-Launch-Vehicle" target="_blank">AST SpaceMobile週日（4/19）指出</a>，其搭載藍色起源（Blue Origin）New Glenn火箭發射的BlueBird 7衛星，在任務中被送入低於預期的軌道。雖然衛星成功分離並啟動，但由於高度不足，無法透過自身推進系統維持運行，最終將進行脫軌處理，等同任務失敗。不過，該衛星成本將透過保險理賠回收，並不會對其財務造成太大衝擊。</p> <p>2017年在美國德州成立的AST SpaceMobile，致力於打造全球可直接連接一般智慧型手機的太空行動寬頻網路，透過部署BlueBird系列低地球軌道衛星，提供涵蓋商用與政府應用的通訊服務；過去任務主要透過SpaceX的Falcon 9與印度LVM3火箭發射，此次則首度改由藍色起源執行任務。</p> <p>AST SpaceMobile表示，BlueBird 7原本為其第8顆部署衛星，目前正在生產BlueBird 32，而BlueBird 8至10預計可於30天內出貨，並維持2026年平均每1至2個月發射一次的節奏，目標在年底前部署約45顆衛星。</p> <p>至於藍色起源則是由Amazon創辦人Jeff Bezos在2000年所創立，專注於可重複使用火箭與太空基礎設施開發。New Glenn為其進軍商業發射市場的核心運載工具，企圖與SpaceX競爭商業與政府發射訂單。此外，藍色起源是由Bezos個人所創辦，並非為Amazon子公司。</p> <p>此次任務為New Glenn第三次發射，也是首次承載商業客戶衛星。相較於前兩次以內部測試與政府科學任務為主，本次發射被視為藍色起源正式切入商業發射市場的重要里程碑。此次任務中，火箭第一節已成功回收，但第二節在軌道投送階段出現偏差，使整體任務未能達成主要目標。</p> <p>外界普遍認為，此次失誤雖對AST SpaceMobile的財務影響有限，但可能衝擊市場信心，並為相關時程帶來不確定性。</p> <p>相較之下，市場更關注藍色起源的技術成熟度。火箭發射產業的核心在於「將酬載精準送入目標軌道」，此次錯誤直接觸及最關鍵的能力指標。隨著SpaceX在可重複使用火箭與商業發射市場已建立高度穩定性，藍色起源若無法迅速證明New Glenn的可靠度，恐會在競爭中處於劣勢，或是波及Amazon Leo等衛星計畫的部署節奏。</p> </div></div></div>
4/21 09:37作者陳曉莉https://www.ithome.com.tw/news/175193
蘋果執行長接班人選定案！Tim Cook交棒硬體工程資深副總裁John Ternus，9月上任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.apple.com/newsroom/2026/04/tim-cook-to-become-apple-executive-chairman-john-ternus-to-become-apple-ceo/" target="_blank">蘋果週一（4/20）宣布</a>，將由硬體工程資深副總裁John Ternus接任該公司的新執行長，預計於9月1日上任，屆時Ternus也將進入蘋果董事會。而現任執行長Tim Cook這段期間將協助交接，之後則會出任蘋果董事會的執行董事長。蘋果此一人事異動呼應了日前的市場<a href="https://www.ithome.com.tw/news/173545" target="_blank">傳聞</a>。</p> <p>現年50歲的Ternus畢業於賓州大學機械工程系，於2001年加入蘋果產品設計團隊，並在2013年升任硬體工程副總裁。2021年，他以硬體工程資深副總裁身分加入高階管理團隊。在蘋果任職期間，Ternus負責多項突破性產品的硬體工程工作，涵蓋公司所有產品類別。他在多條新產品線的推出中扮演關鍵角色，包括iPad與AirPods，並參與多代iPhone、Mac與Apple Watch的開發。</p> <p>Ternus還主導蘋果在可靠性與耐用性等領域的發展，引入多項新技術，使蘋果產品在耐用度上顯著提升。他同時推動材料與硬體設計創新，降低產品碳足跡。</p> <p>Ternus表示，他幾乎整個職涯都在蘋果度過，曾受Steve Jobs領導、由Cook指導，並參與打造多項改變人們互動方式的產品，備感榮幸；未來將延續蘋果使命，並以過去半個世紀建立的價值與願景帶領公司。</p> <p>至於現年65歲的Cook是在1998年加入蘋果，於2011年從Jobs手上接下蘋果執行長位置，在擔任執行長15年的期間內，帶領公司年營收成長至超過4000億美元、市值達約4兆美元，較其接任時成長逾20倍；期間推出Apple Watch（2015）、AirPods（2016）與Vision Pro（2024）等新產品線，並強化供應鏈體系。</p> <p>Cook表示，他全心熱愛蘋果，能夠擔任執行長是畢生最大的榮幸，並形容Ternus擁有工程師的思維、創新者的靈魂，以及以誠信領導的特質，是帶領蘋果邁向未來的最佳人選。</p> </div></div></div>
4/21 09:56作者陳曉莉https://www.ithome.com.tw/news/175194
Anthropic長約鎖定AWS 5GW算力，Amazon加碼投資最高250億
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.anthropic.com/news/anthropic-amazon-compute" target="_blank">Anthropic週一（4/20）宣布</a>，已與Amazon簽署新的長期合作協議，將在未來10年投入超過1000億美元採購AWS算力，並取得最高5GW的運算容量，用於訓練與部署Claude模型。雙方同時擴大資本合作，Amazon將先投資50億美元，未來依商業里程碑再追加最多200億美元。</p> <p>根據雙方的協議，在算力及基礎設施上，Anthropic將取得最高5GW運算容量，並採用Amazon自研AI晶片Trainium2、Trainium3與Trainium4，涵蓋現有與未來世代。相關產能將自2026年起陸續上線，包括上半年啟用的Trainium2，以及年底前累計接近1GW的Trainium2與Trainium3算力，用於支撐Claude模型訓練與推論；雙方亦持續擴建由數十萬顆晶片構成的Project Rainier叢集。</p> <p>在雲端策略上，Anthropic則承諾未來10年於AWS投入超過1000億美元，並持續以AWS作為關鍵任務的主要訓練與雲端平臺，同時擴展亞洲與歐洲的推論能力，以支援其全球客戶需求。</p> <p>Claude平臺將直接整合至AWS環境中，企業可透過既有AWS帳號、權限控管與計費機制使用AI服務，無需額外建立憑證或合約；同時，Claude仍維持跨雲部署，可於AWS、Google Cloud與微軟Azure等平臺上運行。</p> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-invests-additional-5-billion-anthropic-ai" target="_blank">Amazon此次</a>將先投資50億美元，並依商業里程碑再追加最多200億美元，加上先前已投入的約80億美元，累計投資規模最高可達330億美元，市場估計其持股落在10%~20%之間。Google則是Anthropic的早期投資者，已投入超過30億美元，外界估計其持股約為14%。</p> <p>日前<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic亦宣布</a>擴大與Google及博通（Broadcom）的合作，在既有的1GW算力合約之外，再取得3.5GW的AI算力資源，這次再與Amazon簽署最高5GW算力合約，顯示其同時在兩大雲端體系建立大規模算力布局，此種跨雲且深度的基礎設施結盟，在AI產業中相對少見。</p> </div></div></div>
4/21 10:15作者陳曉莉https://www.ithome.com.tw/news/175195
AI面試新創平臺Mercor遭供應鏈攻擊，傳言有臺灣企業受影響，已被否認
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>3月底<strong><a href="https://www.ithome.com.tw/news/174661">Python套件LiteLLM遭遇供應鏈攻擊</a></strong>，駭客團體TeamPCP在PyPI發布遭植入後門的惡意版本1.82.7與1.82.8，由於此套件廣泛用於整合多個大型語言模型（LLM）API的代理服務，影響範圍相當大，後續已有AI新創Mercor透露遭波及，<strong><a href="http://www.aiwhathappen.com/posts/2026-04-11-mercor-data-breach-10b-valuation-crisis/">有網路傳言指出</a></strong>臺灣有多家企業採用而受到影響，對此，104與PChome表示，未有資料庫串接或導入使用，他們並未受到影響。</p> <p>根據<strong><a href="https://www.securityweek.com/mercor-hit-by-litellm-supply-chain-attack/">資安新聞網站SecurityWeek的報導</a></strong>，3月30日駭客組織Lapsus$在網站公布新的受害企業名單，當中包含AI面試新創平臺Mercor。駭客宣稱握有近4 TB的Mercor內部資料，其中原始碼有939 GB、包含AI訓練資料在內的資料庫檔案有211 GB，以及3 TB的其他檔案。另外，駭客強調取得該公司使用的TailScale VPN完整資料。</p> <p>對此，4月1日Mercor<strong><a href="https://x.com/mercor_ai/status/2039101905675403306">於社群網站X發布推文表示</a></strong>，他們是其中一家受到LiteLLM供應鏈攻擊事故影響的公司，該公司的資安團隊迅採取行動因應，遏制攻擊活動並著手修復，並請求第三方鑑識專家支援調查。值得留意的是，Mercor並未進一步說明受影響的範圍，也沒有透露是否出現資料外洩的情況，他們只有提到，LiteLLM事故有數千家公司受到波及。</p> <p>值得留意的是，TeamPCP為了將竊得的憑證與權杖等機敏資料換取經濟利益，他們開始與Lapsus$合作，這或許是Mercor強調遭受LiteLLM事故波及的原因。</p> <p>事隔一週，4月8日律師事務所Schubert Jonckheer & Kolbe<strong><a href="https://www.classactionlawyers.com/blog/mercor">發出聲明</a></strong>，透露這起事故更多細節。他們提到，Mercor確實受到LiteLLM供應鏈攻擊事故影響，Lapsus$後續聲稱手上握有從Mercor竊得的4 TB資料。該事務所指出，外洩的資料可能涉及Slack交談內容、內部工單、Mercor人工智慧系統與平臺承包商之間的對話、個人可識別資訊、員工資料，以及原始碼、API金鑰、密鑰等科技資產。此外，目前Mercor尚未向美國政府通報此事。</p> <p>值得留意的是，國內有<strong><a href="https://www.aiwhathappen.com/posts/2026-04-11-mercor-data-breach-10b-valuation-crisis/">網站指出</a></strong>，臺灣有多家企業採用Mercor而受到影響，該站聲稱，104與CakeResume證實有客戶資料受影響，而且有1家IC設計大廠、2家金融公司、3家電商平臺也受害。對此，我們也向一零四資訊科技和PChome網路家庭進行了解。一零四資訊科技表示，經盤點該公司與Mercor無資料庫串接，故本次事件對104客戶資料並無影響；PChome網路家庭表示並未導入或使用Mercor招募平臺，不受該平臺本身漏洞之直接影響。</p> </div></div></div>
4/21 10:49作者周峻佑https://www.ithome.com.tw/news/175179
OpenAI高層人事動盪，應用、Sora、AI部門主管接連離去
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI高層人事異動再添名單，Sora、科學開發及企業應用主管相繼離職。</p> <p>負責帶領Sora開發的Bill Peebles和科學部門主管Kevin Weil雙雙於X公布離職消息。<a href="https://x.com/billpeeb/status/2045225014807670949" target="_blank">Peebles</a>向部門同事表達感謝，說和團隊從零開始打造Sora是一生的榮幸以及難忘的旅程。他說在2023年7月在外界對1080p解析度multi-shot AI生成影片抱持懷疑之際，其團隊仍然在7個月內達成使命。他也感謝執行長Sam Altman等人型塑友善研究的環境，Sora是一個在其他地方都無法誕生的專案。另一方面，去年9月才由產品長轉任科學部門主管的Kevin Weil也<a href="https://x.com/kevinweil/status/2045230426210648348" target="_blank">公告</a>離職。他說加速推進科學是OpenAI推動AGI最傑出的正面效果之一。就在上週Weil才<a href="https://www.ithome.com.tw/news/175158" target="_blank">公布</a>用於支援生命科學及藥物開發的模型GPT-Rosalind。</p> <p>兩個人是OpenAI致力實現今年底IPO而進行的組織改造中自行離開。為了IPO，公司高層決定將資源集中在開發人員工具及企業導向服務，要員工減少花心力在「不相干」的專案。上個月OpenAI<a href="https://www.ithome.com.tw/news/174651" target="_blank">宣布</a>終止開發Sora，原因是維護這個模型太燒錢，估計一天要花1500萬美元</p> <p>但與公司開發企業導向產品策略一致的部門主管也離職。OpenAI B2B應用開發技術長Srinivas Narayanan本週<a href="https://www.linkedin.com/posts/srinivasnarayanan_after-3-incredible-years-i-am-leaving-openai-activity-7451025653967114240-NW6Y" target="_blank">宣布</a>離職。此前行銷長Kate Rouch則因嚴重健康問題離職。</p> <p>在此之前，還有數位高層人事變動，包括去年由Instacart<a href="https://www.ithome.com.tw/news/168850" target="_blank">延攬來</a>，並具有臉書應用及廣告業務經驗的<a href="https://x.com/fidjissimo" target="_blank">Fidji Simo</a>於上個月因「長新冠」（Long COVID）相關問題請病假。此外，營運長Brad Lightcap轉任「特殊專案」，專注領導複雜交易和投資，據信可能和OpenAI IPO有關。3月份，才由Meta轉戰OpenAI不到半年的硬體部門主管Caitlin Kalinowski，因公司簽下美國國防部AI專案而<a href="https://www.ithome.com.tw/news/174268" target="_blank">宣布</a>離開公司。</p> <p>同時間，OpenAI也找來重要人才，包括英特爾技術長<a href="https://www.ithome.com.tw/news/172181" target="_blank">Sachin Katti</a>以及OpenClaw專案發起人<a href="https://www.ithome.com.tw/news/173981" target="_blank">Peter Steinberger</a>等。</p> </div></div></div>
4/21 11:09作者林妍溱https://www.ithome.com.tw/news/175203
高下載量protobuf.js函式庫爆RCE漏洞，波及gRPC與Firebase套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>JavaScript生態系廣泛使用的Protocol Buffers函式庫protobuf.js<a href="https://github.com/protobufjs/protobuf.js/security/advisories/GHSA-xq3m-2v4x-88gg">揭露</a>嚴重漏洞，CVSS評分9.4。漏洞允許攻擊者透過惡意結構定義（Schema）檔案，在應用程式正常處理訊息時觸發任意程式碼執行。受影響版本為8.0.0，以及7.5.4以下版本，修補版本8.0.1與7.5.5已發布，官方建議立即升級。</p> <p>protobuf.js是JavaScript環境中，處理Protocol Buffers資料格式的主流函式庫，<a href="https://www.endorlabs.com/learn/the-dangers-of-reusing-protobuf-definitions-critical-code-execution-in-protobuf-js-ghsa-xq3m-2v4x-88gg">資安公司Endor Labs研究人員估計</a>，每周protobuf.js在NPM下載量接近5,200萬次，並以傳遞依賴（Transitive Dependency）的形式內嵌於@grpc/proto-loader、Firebase SDK與Google Cloud用戶端函式庫中。</p> <p>protobuf.js採用動態編譯設計，每次載入Schema時，函式庫會根據訊息型別名稱動態生成JavaScript原始碼，再透過Function()建構子執行，以提升執行效能。研究人員指出該漏洞在於，函式庫在修補前未對型別名稱進行任何過濾或驗證，直接將其拼接至生成的程式碼字串中。Function()的行為本質上與eval()相同，要是型別名稱包含惡意內容，即可在字串中插入並執行任意JavaScript指令。</p> <p>漏洞不是在載入Schema時觸發，而是應用程式第一次需要該型別建構子時才會觸發，實務上通常發生在首次解碼、編碼或建立該型別訊息時。</p> <p>要觸發此漏洞，攻擊者需能影響應用程式載入的protobuf定義或描述子，研究人員提到，雖然這聽起來條件有限，但在實務上卻涵蓋多種常見情境。gRPC定義了標準的伺服器反射協定，允許用戶端向伺服器請求Schema定義，若伺服器遭入侵，即可在同一個回應中夾帶惡意型別名稱。此外，企業內部或第三方Schema Registry的存取控制一旦出現缺口，或開發人員在本機載入來源不明的.proto檔案進行除錯，都可能成為攻擊入口。</p> <p>上游修補僅新增一行程式碼，在型別名稱進入程式碼生成流程前，以正規表達式移除所有非英數字與底線以外字元，切斷惡意內容的注入路徑。</p> <p>開發人員可執行NPM ls protobufjs指令確認專案中是否存在該套件，包含傳遞依賴，並依使用的版本升級至8.0.1或7.5.5。要是生產環境不需要在執行時期動態編譯Schema，protobuf.js函式庫官方也建議改用pbjs與pbts工具預先生成靜態程式碼，從根本上縮小攻擊面。</p> </div></div></div>
4/20 20:29作者李建興https://www.ithome.com.tw/news/175184
AWS推出Interconnect託管服務，擴大跨雲與混合雲私有連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AWS宣布<a href="https://aws.amazon.com/blogs/aws/aws-interconnect-is-now-generally-available-with-a-new-option-to-simplify-last-mile-connectivity/">AWS Interconnect正式上線</a>，這是針對企業跨雲與混合雲網路連線情境設計的託管服務，第一個多雲合作廠商為Google Cloud，Microsoft Azure與Oracle Cloud Infrastructure（OCI）預計於2026年稍晚加入。</p> <p>AWS Interconnect分為多雲（multicloud）與最後一哩連線服務（last mile）兩項功能。AWS Interconnect-multicloud負責AWS VPC與其他雲端平臺VPC之間的私有Layer 3連線，流量經由AWS全球骨幹網路與合作雲端供應商的私有網路傳輸，不通過公共網際網路。AWS Interconnect-last mile則讓企業的分公司、資料中心或遠端據點，透過合作電信業者的既有網路基礎設施建立私有連線至AWS，初期合作業者為Lumen，AT&T與Megaport預計後續加入。</p> <p>建立連線時，使用者可在AWS Direct Connect主控臺選擇目標雲端供應商或電信業者、來源與目的地區域及頻寬需求，主控臺會產生一組啟用金鑰，使用者在對端完成驗證後，路由可在兩側自動傳播，布建流程可在數分鐘內完成。</p> <p>AWS表示，AWS Interconnect－multicloud會在AWS與合作雲端供應商在互連設施之間的實體鏈路上，預設啟用IEEE 802.1AE MACsec加密，AWS Interconnect－last mile也預設啟用MACsec加密，無需使用者另行設定。備援方面，每條連線橫跨至少兩個實體機房的多條邏輯鏈路，單一設備或機房故障不會中斷連線。</p> <p>兩項功能均整合Amazon CloudWatch，每條連線內含Network Synthetic Monitor，可追蹤來回延遲與封包遺失，並提供頻寬使用量指標供容量規劃參考。</p> <p>AWS Interconnect－last mile支援1 Gbps至100 Gbps頻寬，提供至Direct Connect連接埠的99.99%可用性SLA，頻寬可直接從主控臺調整，無需重新布建。服務自動配置四條備援連線，分散於兩個實體位置，並預設啟用BGP路由設定與Jumbo Frame。</p> <p>AWS另將AWS Interconnect－multicloud的底層技術規格以Apache 2.0授權公開於GitHub，其他雲端業者可依規格實作，並申請成為其合作夥伴。</p> <p>AWS Interconnect－multicloud與last mile兩項功能均依用戶所選頻寬等級收取固定時費，按小時比例計算。跨地區對的費率會因區域組合而異，要是搭配AWS Cloud WAN進行全球路由，整體部署成本也會受到跨區流量路徑影響。</p> <p>目前AWS Interconnect-multicloud已在5組區域配對上線，分別是US East（N. Virginia）至Google Cloud N. Virginia、US West（N. California）至Google Cloud Los Angeles、US West（Oregon）至Google Cloud Oregon、Europe（London）至Google Cloud London，以及Europe（Frankfurt）至Google Cloud Frankfurt。AWS Interconnect-last mile目前僅限US East（N. Virginia），後續將擴展至更多地區。</p> </div></div></div>
4/20 20:35作者李建興https://www.ithome.com.tw/news/175185
新加坡示警先進AI模型恐改變漏洞利用節奏，要求銀行與關鍵基礎設施加速補強防線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>4月15日，<a href="https://www.csa.gov.sg/alerts-and-advisories/advisories/ad-2026-004/" target="_blank">新加坡網路安全局（Cyber Security Agency of Singapore，CSA）發布資安警示</a>，提醒當地企業與關鍵資訊基礎設施營運單位，先進AI模型（Frontier AI Models）已具備大規模分析程式碼與發掘弱點的能力，並可能加快漏洞利用流程，將原本需耗費數月的作業縮短至數小時內完成。</p> <p>這波警示與美國AI新創Anthropic測試新一代模型Claude Mythos有關。<a href="https://www.ithome.com.tw/news/175081" target="_blank">該模型已引發金融業</a>對資安風險的高度關注，並受到美國、英國與加拿大監理機關關切。<a href="https://www.ithome.com.tw/news/174898" target="_blank">Anthropic指出</a>，該模型在漏洞分析與程式碼理解方面的能力已有明顯提升，並透過Project Glasswing提供部分企業測試，主要用於防禦用途。</p> <p>CSA在公告中將防護建議區分為「立即措施」與「長期強化方向」。前者著重於快速降低曝露風險，包括優先修補對外系統的重大與高風險漏洞、關閉不必要的對外服務與連接埠、盤點並隔離開發與測試環境，以及在管理介面與雲端管理主控臺全面啟用多因素驗證（Multi-Factor Authentication，MFA）。CSA指出，這些對外系統與管理介面最容易遭自動化工具掃描，一旦遭入侵，影響範圍可能擴及整體系統。</p> <p>相較之下，長期強化方向則聚焦於提升整體防禦韌性，例如導入網路分段與縱深防禦（defence-in-depth）架構、持續監控網路流量與使用者行為、縮短漏洞修補與核准流程，以及強化帳號權限控管與供應鏈安全管理。CSA強調，在先進AI可能加速攻擊流程的情況下，企業若缺乏持續修補與監控能力，將更難即時因應威脅變化。</p> <p>值得注意的是，CSA特別提及應利用AI識別漏洞，呼籲企業應建置自動化處理的AI輔助式弱點偵測系統，以便針對整體IT基礎架構進行持續掃描，以及辨別系統的組態設定不當、強度不足的身分驗證方式，與各種可濫用的弱點，而且，這些工具需能充分因應有AI助力的網路攻擊速度與規模，提供超越傳統手動資安稽核的即時弱點評估能力。</p> </div></div></div>
4/20 19:07作者王珮瑤https://www.ithome.com.tw/news/175189
【資安日報】4月20日，第三個Microsoft Defender零時差漏洞被揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175159"><strong style="font-size: 22px;">又有第三個Microsoft Defender零時差漏洞被揭露！連同前面兩個皆已傳出用於攻擊活動</strong></a></p> <p><a href="/sites/default/files/images/HGDhYzUWwAAxm2Z.jpg" target="_blank"><img alt="" src="/sites/default/files/images/HGDhYzUWwAAxm2Z.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究員Chaotic Eclipse（在GitHub的名稱為Nightmare-Eclipse）因不滿微軟處理獲報漏洞的做法，先是在4月初公開第一個Microsoft Defender零時差漏洞BlueHammer，微軟在14日發布本月例行更新（Patch Tuesday）修補，並登記為CVE-2026-33825列管，該研究員後續又公布新漏洞RedSun，如今傳出他又公布第三個零時差漏洞，且這些漏洞現在已出現利用活動的跡象。</p> <p>4月17日威脅情報公司Huntress指出，他們發現該名研究員公布的資安漏洞已遭到利用，除了上述已被媒體報導的BlueHammer和RedSun，還有一個叫做UnDefend的新漏洞，也出現攻擊活動。該公司最早於4月10日發現BlueHammer遭到利用，駭客試圖執行FunnyApp.exe觸發漏洞，結果遭到受害電腦的Microsoft Defender攔截與隔離，因而未能成功。</p> <p><a href="https://www.ithome.com.tw/news/175162"><strong style="font-size: 22px;">工作流程自動化平臺n8n遭到濫用，駭客從事網釣活動散布有效酬載</strong></a></p> <p><a href="/sites/default/files/images/AI_flow_automation_attack-chain.jpg" target="_blank"><img alt="" src="/sites/default/files/images/AI_flow_automation_attack-chain.jpg" style="width: 300px; float: right;" /></a></p> <p>思科威脅情報團隊Talos提出警告，他們發現從2025年10月至今年3月，濫用n8n寄送的惡意郵件數量成長686%。駭客濫用n8n的Webhook功能投放惡意郵件，誘使收信人存取需通過圖靈驗證CAPTCHA的釣魚網頁，若是依照指示操作，就會從外部伺服器下載有效酬載，其中包含遠端管理工具（RMM）Datto與ITarian Endpoint Management，駭客將這類工具當作後門來控制受害電腦。</p> <p>由於整個流程封裝在HTML檔案的JavaScript，瀏覽器會以為下載的內容來自n8n的網域。Talos指出，由於n8n的Webhook會隱藏資料的來源伺服器，攻擊者可傳遞來自不受信任來源的有效酬載，但讓資料看起來像是從受信任網域送出；同時，Webhook能根據觸發事件啟動，服務不同的資料流，因此攻擊者還能根據受害者的使用者代理字串（User Agent），量身打造有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/175178"><strong style="font-size: 22px;">Apple帳號變更通知遭濫用，有攻擊者將其用於發送釣魚信件，原廠通知機制反成為攻擊管道</strong></a></p> <p><a href="/sites/default/files/images/apple-account-callback-phishing.jpg" target="_blank"><img alt="" src="/sites/default/files/images/apple-account-callback-phishing.jpg" style="width: 300px; float: right;" /></a></p> <p>國外資安媒體BleepingComputer近日揭露，Apple帳號變更通知被濫用於發送釣魚信件，在看似正常的原廠通知訊息挾帶釣魚詐騙訊息，攻擊者試圖藉此提高信件可信度，增加通過郵件驗證與過濾機制的機率。</p> <p>BleepingComputer指出這些信件的目的，在於誘騙收件人誤以為自身帳戶被盜用於購物，誘使他們撥打詐騙者的支援電話，然後再透過電話進一步詐騙。這類詐騙雖然早已有之，但這次發現的新手法，是攻擊者透過Apple郵件基礎設施寄送釣魚訊息。攻擊者透過建立Apple ID，將釣魚信件內容分拆、填入姓名等欄位，並觸發帳號資訊變更通知郵件。由於系統會在通知訊息中自動帶入前述用戶資料，導致惡意訊息將直接出現在郵件本文，成為正常訊息的一部分，並透過Apple郵件基礎設施寄送，因而可通過SPF、DKIM與DMARC等驗證機制。</p> <p><a href="https://www.ithome.com.tw/news/175169"><strong style="font-size: 22px;">殭屍網路PowMix鎖定捷克企業與求職者發動攻擊，採用隨機C2通訊匿蹤</strong></a></p> <p><a href="/sites/default/files/images/PowMix.jpg" target="_blank"><img alt="" src="/sites/default/files/images/PowMix.jpg" style="width: 300px; float: right;" /></a></p> <p>思科威脅情報團隊Talos揭露殭屍網路PowMix的攻擊活動，駭客冒充連鎖超市Edeka，利用捷克資料保護法或其他監管框架為誘餌，疑似鎖定捷克企業的人力資源（HR）、法務、員工招募部門從事網路釣魚活動，此外，為了降低使用者警覺，駭客也會搭配薪酬資料與合規參考資料，以提升誘餌檔案的真實感。值得留意的是，也有多個產業的求職者遭到攻擊，涵蓋IT、金融、物流領域。</p> <p>PowMix最特別的地方，在於採用了隨機的C2連線，由於Beacon並未持續與C2伺服器連線，而難以透過特徵碼進行偵測，而且，該殭屍網路具備遠端更新C2網域的機制，代表攻擊者能輕易更換C2控制來源。</p> <p><a href="https://www.ithome.com.tw/news/175173"><strong style="font-size: 22px;">Mirai殭屍網路變種Nexcorium綁架TBK DVR設備</strong></a></p> <p>去年7月資安公司Fortinet揭露殭屍網路RondoDox活動，駭客鎖定的其中一類裝置，是TBK的數位監控系統主機設備DVR-4104、DVR-4216，他們在網路上掃描作業系統命令注入漏洞CVE-2024-3721（CVSS風險6.3分），藉此綁架這些裝置並用於DDoS攻擊，如今傳出有其他人馬加入漏洞利用行列。</p> <p>Fortinet近日發現殭屍網路Nexcorium，此為Mirai的變種，駭客團體Nexus Team試圖操弄mdb與mdc功能參數，藉由觸發CVE-2024-3721漏洞，而能下載指令碼，然後根據目標裝置的系統架構，啟動殭屍網路病毒的有效酬載。Nexcorium的架構與大部分Mirai變種相似，包括採用XOR編碼的組態配置資料、監控模組，以及DDoS攻擊模組。</p> <p><a href="https://www.ithome.com.tw/news/175177"><strong style="font-size: 22px;">殭屍網路Condi綁架TP-Link無線路由器，利用已知漏洞進行滲透</strong></a></p> <p>2025年6月，美國網路安全暨基礎設施安全局（CISA）表明TP-Link無線路由器漏洞CVE-2023-33538已遭利用，將其列入已遭利用漏洞名冊（KEV），近日有資安公司透露，當時有人嘗試掃描漏洞，企圖植入Mirai殭屍網路變種。</p> <p>資安公司Palo Alto Networks在CISA發布KEV的期間，偵測到大規模的漏洞利用嘗試，駭客針對特定端點發出GET請求，試圖透過ssid功能參數執行多組命令，從特定IP位址下載ELF二進位檔案，並授予此檔案讀取、寫入，以及執行的權限，然後使用tplink的參數執行二進位檔。根據上述駭客使用的指令，該公司推測是殭屍網路活動。經過進一步分析，此為Mirai的變種Condi。</p> <p><a href="https://www.ithome.com.tw/news/175161"><strong style="font-size: 22px;">惡意軟體ZionSiphon企圖滲透以色列水利設施，恐影響水資源處理與海水淡化</strong></a></p> <p>資安公司Darktrace揭露針對以色列水處理及海水淡化系統的攻擊行動，駭客打造專為操作科技（OT）環境設計的惡意軟體ZionSiphon，主要的目的是破壞氯氣和壓力控制的能力。此惡意軟體結合了權限升級、透過USB裝置散播、掃描ICS設備等功能。根據駭客指定的IPv4位址範圍，再加上惡意軟體的攻擊目標都與以色列國家水利基礎設施相關，且用Base64編碼的字串隱含攻擊者的意識形態口號，並針對水處理與海水淡化系統進行檢查，這些跡象代表攻擊者的目標非常明確，並非隨機尋找存在弱點的OT環境。</p> <p>關於ZionSiphon採用的攻擊手法，Darktrace發現駭客試圖利用通訊協定Modbus從事破壞，竄改氯氣與壓力控制相關的檔案，並對於子網路的ICS設備進行掃描，顯然駭客想直接與工業流程相關的控制設備互動，進而造成重大損害。</p> <p><a href="https://www.ithome.com.tw/news/174933"><strong style="font-size: 22px;">Docker修補重大漏洞，未更新可能導致攻擊者繞過授權機制</strong></a></p> <p>開源容器平臺專案Docker近日發布安全公告，修補AuthZ授權外掛程式（authorization plugin）的重大漏洞CVE-2026-34040，建議用戶盡速修補。</p> <p>這次修補的漏洞CVE-2026-34040，CVSS嚴重性評分達8.8，問題出在AuthZ授權外掛程式處理機制的設計缺陷，攻擊者可透過特製的API請求，導致授權外掛無法正確檢查操作內容，允許原本應被拒絕的請求通過，進而可能導致未經授權的容器操作，會影響29.3以前的Docker Engine版本，解決方法是更新到29.3.1以後版本，若用戶未使用AuthZ外掛程式則不受影響。</p> <p><a href="https://www.ithome.com.tw/news/174901"><strong style="font-size: 22px;">Progress修補ShareFile重大漏洞，未修補可能導致遠端執行程式碼攻擊</strong></a></p> <p>軟體廠商Progress近日發布產品資安公告，修補旗下企業檔案傳輸解決方案ShareFile的兩個重大漏洞，分別涉及繞過身分驗證與遠端執行任意程式碼，而且這兩個漏洞可串聯利用，導致攻擊者控制系統。</p> <p>ShareFile原為Citrix產品，2024年轉手給Progress。這次揭露的兩個漏洞，都是由資安公司watchTowr研究人員發現，第1個漏洞CVE-2026-2699會造成繞過身分驗證問題，CVSS嚴重性評分達9.8分，第2個漏洞CVE-2026-2701則可能導致遠端執行任意程式碼，CVSS嚴重性評分也是9.8分。</p> <p><a href="https://www.ithome.com.tw/news/175144"><strong style="font-size: 22px;">漏洞數暴增263%，NIST縮減CVE分析範圍轉向風險優先</strong></a></p> <p>美國國家標準暨技術研究院（NIST）宣布，因應CVE漏洞的數量在2020年至2025年間暴增263%，將調整其國家漏洞資料庫（NVD）的運作模式，不再對所有漏洞進行完整分析與評分，改採風險優先機制，僅針對已被利用或關鍵系統相關漏洞進行加值處理，且即日起生效。</p> <p>具體而言，NIST將不再全面分析所有漏洞，而是優先處理已被美國網路安全暨基礎設施安全局（CISA）列為已知遭利用漏洞清單（KEV）的項目，目標是在一個工作天內完成分析，同時也會優先處理政府與關鍵系統相關漏洞。</p> <p><a href="https://www.ithome.com.tw/news/174934"><strong style="font-size: 22px;">全球掀起簡訊OTP禁用潮，印度、UAE金融監管新法4月生效</strong></a></p> <p>全球政府禁用簡訊OTP（一次性密碼）的態勢越發顯著，在今年3月舉辦的FIDO臺灣分會活動中，就有電信身分識別專家分享此類議題，太思科技董事長何俊炘針對簡訊OTP議題說明產業對策，在解析eSIM Passkey技術發展之餘，特別指出多國政府正陸續加入禁用OTP的行列。</p> <p>何俊炘在演說中進一步揭露，這股趨勢正迅速擴散：馬來西亞更早提出分階段推動，現已全面停用簡訊OTP；阿拉伯聯合大公國（UAE）則從2026年3月31日開始全面禁用簡訊OTP，印度亦從4月1日起禁止銀行以簡訊OTP為唯一認證管道，並且要求銀行負擔賠償責任。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/vercel-confirms-breach-as-hackers-claim-to-be-selling-stolen-data/">雲端前端開發平臺Vercel遭遇資安事故，駭客聲稱竊得開發環境資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2026/04/18/crosstenant-helpdesk-impersonation-data-exfiltration-human-operated-intrusion-playbook/">駭客冒充IT與客服人員，透過跨租戶Teams通訊進行社交工程攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/payouts-king-ransomware-uses-qemu-vms-to-bypass-endpoint-security/">勒索軟體Payouts King濫用QEMU虛擬機器迴避偵測</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/tycoon-2fa-loses-phishing-kit-crown-amid-surge-in-attacks/">大型網釣平臺Tycoon 2FA遭執法單位圍勦後活動銳減，駭客轉向其他網釣套件從事攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/claude-opus-enabled-creation-of-working-chrome-exploit/">研究人員透過Claude Opus建立Chrome漏洞利用鏈，成功於Mac電腦執行計算機App</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175139"><strong>【4月17日】APT41鎖定4大雲端環境搜刮憑證與權杖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175111"><strong>【4月16日】17年前的Excel漏洞驚傳遭到利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175084"><strong>【4月15日】微軟、SAP、Adobe發布本月例行更新</strong></a></p> </div></div></div>
4/20 16:24作者周峻佑https://www.ithome.com.tw/news/175180
AI對話恐不具保密性？美國法院裁定聊天紀錄不受保護，律師示警衝擊企業法律策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2026年2月，美國紐約南區聯邦地方法院一項判決引發法律界關注。法院裁定，<wbr></wbr>企業高階主管使用生成式AI聊天機器人產生的文件，<wbr></wbr>不適用律師與當事人保密特權（attorney-client privilege），亦不受工作成果保護原則（work product doctrine）保障，相關內容在訴訟程序中可能被要求交出。</p> <p><a href="https://www.reuters.com/legal/government/ai-ruling-prompts-warnings-us-lawyers-your-chats-could-be-used-against-you-2026-04-15/" target="_blank">根據路透社報導</a>，此案涉及已破產的金融服務公司GWG Holdings前執行長兼董事長Bradley Heppner的證券詐欺案件。檢方指出，Heppner曾使用Anthropic的Claude撰寫與案件相關文件並提供律師參考。辯方主張內容涉及法律策略，但檢方認為，相關文件並非在律師指示下產生，且AI並非律師，雙方互動不構成受法律保護的溝通關係。</p> <p>承審法官Jed Rakoff指出，律師與當事人保密特權僅適用於法律諮詢溝通，而AI平臺不具法律專業身分，也無法提供法律意見，因此不在保護範圍內。法院同時認為，使用者與AI互動亦不具合理保密期待，例如服務條款已載明可能存取或揭露資料。<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/xmvjyjekkpr/Rakoff%20-%20order%20-%20AI.pdf" target="_blank">法院最終裁定</a>相關文件不受保護，Heppner須交出31份透過Claude產生的文件。</p> <p>判決出爐後，多家美國律師事務所提醒企業，與生成式AI工具的互動內容，未來可能在刑事或民事訴訟中被調閱，影響訴訟策略。</p> <p>另一方面，美國密西根州聯邦地方法院一宗民事案件則出現不同見解。該案中，原告未委任律師，而是以自行訴訟（pro se）身分提告，被告要求調閱其與ChatGPT的對話紀錄。承審法官<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/mypmyjwdzpr/Warner%20order%20-%20AI.pdf" target="_blank">Anthony Patti在今年2月裁定</a>，相關內容屬於整理資料與釐清思路的過程，性質接近個人筆記，可視為工作成果，不在可調閱範圍內。</p> <p>法院並指出，在此情境下，生成式AI屬輔助工具，其產出更接近使用者思考的延伸，而非與第三方的溝通。</p> <p>整體而言，兩起判決顯示生成式AI在法律上的定位仍在發展中，是否受保密特權或工作成果保護，將取決於使用情境，包括是否在律師指示下使用及內容性質等因素。</p> <p>另一方面，<a href="https://openai.com/zh-Hant/policies/privacy-policy/" target="_blank">OpenAI</a>與<a href="https://privacy.claude.com/zh-TW/collections/10672568-%E9%9A%B1%E7%A7%81%E8%A8%AD%E5%AE%9A%E5%92%8C%E6%8E%A7%E5%88%B6" target="_blank">Anthropic</a>的使用條款也提到，在特定情況下可能與第三方或監管機構分享用戶資料，並建議在法律等專業領域，仍應諮詢具資格的專業人士，而非僅依賴AI回應。</p> </div></div></div>
4/20 16:36作者王珮瑤https://www.ithome.com.tw/news/175182
台達分享以AI驅動ESG落地，從內部碳定價到能源平臺打造永續成長新引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在企業加速導入永續與AI的浪潮下，如何將ESG從管理指標轉化為實際成長動能，成為關鍵課題。台達電近期分享他們從制度設計到AI應用，逐步建立一套以數據與技術驅動的永續實踐模式，可供其他企業推動AI x ESG驅動轉型參考。</p> <p>台達ESG策劃整合辦公室經理許惠卿指出，永續本身已展現成長潛力，「在我們的研究裡面發現，這幾年整個綠色營收的複合成長率，大概成長12%，很顯著的超過傳統服務」，顯示ESG正逐步成為企業成長的重要來源。</p> <p>同時，AI也被視為另一股推動力量。她提到，「AI所帶來的紅利，它其實也一直引領著經濟的成長」，不僅帶動產業發展，也在減碳與能源效率上發揮影響力。</p> <p><span style="color:#B22222;"><strong>內部碳定價制度，建立減費基金投資減碳作為形成正向循環</strong></span></p> <p>「創辦人建立台達的一開始，就將環境永續納入我們的DNA」, 在永續落地上，台達相當重視制度設計的重要性，「台達要將永續和企業的經營合而為一」，許惠卿表示，台達遵循國際倡議訂定目標，承諾RE100，不斷超越訂定的目標，「這是台達的淨零成長路徑」。</p> <p>台達實踐永續的策略，從綠色工廠、綠色建築到運用AI創新應用(如資料中心)等等。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-20%20%E4%B8%8B%E5%8D%884_49_08.jpeg" style="width: 600px; height: 392px;" /></p> <p>其中，台達在內部推動碳費機制來落實推動減碳的具體行動。「公司全集團內部只要有產生碳排，就會按每噸300元美金計算碳費」，這項內部的碳定價制度甚至高於國內碳費徵收的每噸300元台幣，台達再將內部的碳費資金投入碳費基金，用於投入能資源的管理、再生能源的採用、AI創新相關等減碳投資。</p> <p>這項設計的核心，在於建立循環機制。她指出，「投入減碳相關投資，造成碳排下降，那你要付的錢就變少」，形成正向的循環，讓各單位在營運與投資決策時，自然而然地朝減碳方向調整。</p> <p><strong><span style="color:#B22222;">再生能源與減碳成果已具體呈現</span></strong></p> <p>在長期推動下，台達的減碳與能源轉型已有具體成果。許惠卿提到，「台達在減碳的部分，已下降了53.62%」，而在再生能源使用上，「2024年是84%，但2025年已經達到91%，在台灣已經是RE100」。</p> <p>她強調，這些成果來自於策略與落實執行的成果，建築面、產品面已展現高效、節能的效益。</p> <p><span style="color:#B22222;"><strong>永續AI的三項應用，從作業到決策全面導入</strong></span></p> <p>在數位化方面，台達也將AI用於驅動ESG決策，並依使用情境分為三類，作業型AI、營運型AI、商業型AI。</p> <p>在作業型AI方面，台達已發展多項AI工具以支援日常工作。許惠卿表示，「台達針對不同的工作使用情境，開發出22種AI的應用情境」，包括法規查詢與內部資料整合，「例如內部散落的法規、資料，利用AI即時的爬找」。</p> <p>此外，AI也用於提升處理效率，「在部門內只要聽到很花時間，就會想到AI能為我們作什麼，就會有AI團隊協助開發」，她說。</p> <p>在營運型AI方面，運用AI輔助營運決策。她指出，「台達透過AI讓不同角色，可以做更好的關鍵決策」，從現場人員、廠長到高階主管，可以透過不同報表與儀表板掌握資訊。換言之，AI讓ESG從「報告」變成「即時管理工具」。</p> <p><img alt="" src="/sites/default/files/images/20260410_120732%20(1).jpeg" style="width: 600px; height: 403px;" /></p> <p>至於商業型AI，即可為台達帶來商機的AI應用，可對外輸出變現，例如能源和碳管理平臺。</p> <p>許惠卿說明，由AI驅動的企業級能源與碳排平臺，可協助企業制定能源與永續KPI，並進行追蹤管理，並透過AI報表與儀表板呈現關鍵指標。</p> <p><strong><span style="color:#B22222;">AI優化綠電匹配調度，支撐RE100達標</span></strong></p> <p>再生能源有一些不可控特性，台達也透過數據與AI進行精細管理。許惠卿指出，透過平臺「可以幫助用戶掌握電力分配」，並「透過視覺化的方式，可以清楚看到每日的用電匹配量」。</p> <p><img alt="" src="/sites/default/files/images/20260410_120919%20(1).jpeg" style="width: 600px; height: 466px;" /></p> <p>她進一步說明，台達大量採用購電協議，台達目前有將近70到80%是透過PPA購買」，並搭配系統進行調度，運用AI最佳化再生電力的分配，是台達在臺灣達成RE100的重要因素。</p> <p>整體而言，台達從制度、數據到AI逐步推進。從內部碳定價機制，到AI導入營運決策，再到能源與碳管理平台的發展，形成一套數位永續架構。</p> <p>隨著AI與能源需求持續攀升，企業如何在成長與減碳之間取得平衡已是重要的課題，台達的淨零策略及實務經驗，可供企業以技術驅動永續轉型的參考路徑。</p> </div></div></div>
4/20 17:01作者蘇文彬https://www.ithome.com.tw/news/175183
工作流程自動化平臺n8n遭到濫用，駭客從事網釣活動散布有效酬載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI興起，工作流程自動化平臺n8n竄紅，這類平臺的主要功能是串接Slack、Gmail、Google Docs等應用程式，並搭配AI模型，應用於多種領域的工作流程自動化，然而這類平臺也出現遭到濫用的情況，攻擊者將其用於惡意活動。</p> <p>思科威脅情報團隊Talos提出警告，<strong><a href="https://blog.talosintelligence.com/the-n8n-n8mare/">他們發現從2025年10月至今年3月</a></strong>，濫用n8n寄送的惡意郵件數量成長686%。駭客濫用n8n的Webhook功能投放惡意郵件，誘使收信人存取需通過圖靈驗證CAPTCHA的釣魚網頁，若是依照指示操作，就會從外部伺服器下載有效酬載，其中包含遠端管理工具（RMM）Datto與ITarian Endpoint Management，駭客將這類工具當作後門來控制受害電腦。由於整個流程封裝在HTML檔案的JavaScript，瀏覽器會以為下載的內容來自n8n的網域。Talos指出，由於n8n的Webhook會隱藏資料的來源伺服器，攻擊者可傳遞來自不受信任來源的有效酬載，但讓資料看起來像是從受信任網域送出；同時，Webhook能根據觸發事件啟動，服務不同的資料流，因此攻擊者還能根據受害者的使用者代理字串（User Agent），量身打造有效酬載。</p> <p>除了濫用n8n投放有效酬載，Talos也看到駭客用於收集裝置的識別資料（fingerprinting），具體作法是在惡意郵件嵌入隱形圖片或追蹤像素，一旦收信人透過Outlook、Gmail或其他收信軟體讀取信件，就會從特定網址擷取圖片。</p> <p>當收信軟體試圖載入圖檔，就會自動向n8n的Webhook網址發送HTTP GET請求，相關網址包含收信人電子郵件信箱等追蹤參數，以便攻擊者的伺服器精確識別使用者的身分。</p> </div></div></div>
4/20 09:46作者周峻佑https://www.ithome.com.tw/news/175162
殭屍網路PowMix鎖定捷克企業與求職者發動攻擊，採用隨機C2通訊匿蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最近兩到三年，經營殭屍網路的駭客特別偏好綁架缺乏防護的物聯網裝置，不過現在也有專門針對企業員工的攻擊行動，意圖綁架Windows工作站電腦。</p> <p>思科威脅情報團隊Talos揭露<strong><a href="https://blog.talosintelligence.com/powmix-botnet-targets-czech-workforce/">殭屍網路PowMix</a></strong>的攻擊活動，駭客冒充連鎖超市Edeka，利用捷克資料保護法或其他監管框架為誘餌，疑似鎖定捷克企業的人力資源（HR）、法務、員工招募部門，此外，為了降低使用者警覺，駭客也會搭配薪酬資料與合規參考資料，以提升誘餌檔案的真實感。值得留意的是，也有多個產業的求職者遭到攻擊，涵蓋IT、金融、物流領域。</p> <p>PowMix最特別的地方，在於採用了隨機的C2連線，由於Beacon並未持續與C2伺服器連線，而難以透過特徵碼進行偵測，而且，該殭屍網路具備遠端更新C2網域的機制，代表攻擊者能輕易更換C2控制來源。根據駭客使用ZIP檔傳遞有效酬載、利用Windows工作排程於受害電腦持續活動，以及採用雲端平臺即服務（PaaS）Heroku充當C2，Talos指出，PowMix活動採用的戰術，與<strong><a href="https://www.ithome.com.tw/news/170950">Check Point去年8月揭露的ZipLine攻擊活動</a></strong>有共通之處。</p> <p>針對駭客散布PowMix的過程，從收信人打開釣魚郵件的ZIP檔附件開始，此檔案內含惡意Windows捷徑檔（LNK），一旦收信人執行，電腦就會執行PowerShell惡意程式載入工具指令碼，然後載入惡意ZIP檔並解壓縮，於記憶體內執行殭屍網路PowMix有效酬載，並與C2進行通訊。</p> <p>為了迴避偵測，駭客的惡意程式載入工具導入了防惡意軟體掃描介面（AMSI）繞過機制，欺騙Windows安全性子系統AMSI未初始化，使該系統停用指令碼的即時掃描功能，讓指令碼能執行其中的惡意內容，且不會被Microsoft Defender或其他EDR系統察覺有異，最終於受害電腦植入PowMix。</p> <p>PowMix可提供哪些功能？駭客用於遠端存取、偵察、執行任意程式碼，並在受害電腦加入每天上午11時啟動的工作排程，以便該殭屍網路能持續活動。此殭屍網路進行C2通訊的方式，是將機器人識別編號（Bot ID）、心跳資料、使用隨機字串嵌入的URL，並偽裝成合法的REST API進行呼叫。</p> </div></div></div>
4/20 10:31作者周峻佑https://www.ithome.com.tw/news/175169
殭屍網路Condi綁架TP-Link無線路由器，利用已知漏洞進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><strong><a href="https://www.ithome.com.tw/news/169602">2025年6月</a></strong>，美國網路安全暨基礎設施安全局（CISA）表明TP-Link無線路由器漏洞CVE-2023-33538已遭利用，將其列入已遭利用漏洞名冊（KEV），近日有資安公司透露，當時有人嘗試掃描漏洞，企圖植入Mirai殭屍網路變種。</p> <p>資安公司Palo Alto Networks在CISA發布KEV的期間，<strong><a href="https://unit42.paloaltonetworks.com/exploitation-of-cve-2023-33538/">偵測到大規模的漏洞積極利用嘗試</a></strong>，駭客針對特定端點發出GET請求，試圖透過ssid功能參數執行多組命令，從特定IP位址下載ELF二進位檔案，並授予此檔案讀取、寫入，以及執行的權限，然後使用tplink的參數執行二進位檔。根據上述駭客使用的指令，該公司推測是殭屍網路活動。經過進一步分析，此為Mirai的變種Condi。</p> <p>此殭屍網路病毒具備自我更新的機制，攻擊者通常會將受害路由器設定為網頁伺服器，並以此提供該病毒的二進位檔案，向其他存在漏洞的路由器進行橫向感染。</p> <p>CVE-2023-33538是命令注入漏洞，影響TP-Link旗下的數款路由器，包含：TL-WR940N V2/V4、TL-WR841N V8/V10，以及TL-WR740N V1/V2，CVSS風險評為8.8，屬高風險等級，攻擊者可透過元件/userRpm/WlanNetworkRpm觸發。值得留意的是，上述的路由器<strong><a href="https://support.omadanetworks.com/nordic/bulletin/14106/">生命週期已經結束（EOL）</a></strong>，這代表若是使用者未汰換設備，恐將成為攻擊者能持續利用的滲透管道。</p> </div></div></div>
4/20 14:43作者周峻佑https://www.ithome.com.tw/news/175177