iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 13篇
近 24 小時: 29篇
近 7 天: 141篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 136 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Meta」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安週報】0511~0515，Linux零時差漏洞攻擊不斷，再爆Dirty Frag漏洞鏈遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週資安焦點首推Linux系統面臨的零時差漏洞攻擊威脅。繼先前的Copy Fail漏洞後，近期再度爆發鎖定Dirty Frag漏洞鏈的攻擊行動，甚至還有第三個同樣屬於本機提權漏洞的Fragnesia遭揭露。由於此類威脅波及多個主流Linux發行版，影響範圍之廣，企業維運團隊絕不容輕忽。</p> <p>在資安防禦焦點方面，上週舉行的臺灣資安大會中，多位政府與企業資安專家分享了第一手的治理藍圖與實務經驗。例如，金管會預告即將發布金融業PQC遷移指引，醫療產業對OT資安盤點的分級防護經驗，以及生成式AI時代下的治理挑戰與藍隊防禦實戰成果。這些來自第一線的實戰洞察，為企業在面對技術轉型與威脅加劇的雙重考驗下，提供了關鍵的應對指引。</p> <p> </p> <h1 style="margin: 0px;"><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color:#696969;"><strong>這一星期政策焦點聚焦於金融與醫療產業的資安韌性升級。金管會預告將發布金融業PQC遷移指引，積極應對後量子時代的加密挑戰；醫療端則建議醫學中心的資安預算應占總經費15％至10％，地區醫院至少也要有3%至5%。此外，英國NCSC提醒企業導入AI找漏洞前須先完善漏洞管理，以及AI SBOM最低要素指引的發布，亦提醒企業，須認知漏洞管理與SBOM已是AI治理的基本配置。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175737"><strong>金管會揭金融資安韌性藍圖最新進展，即將發布金融業</strong><strong>PQC</strong><strong>遷移指引</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_164814.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_164814.jpg" style="width: 380px; float: right;" /></a></p> <p>金融資安當前最迫切的挑戰為何？答案是：AI漏洞風暴與後量子密碼遷移。金管會資訊服務處處長林裕泰指出，面對AI加速漏洞攻擊的嚴峻態勢，建議應從三大面向著手：首先是部署AI防禦代理，其次是透過網路分段與零信任架構以「彈性阻斷」，最後則是建立漏洞維運（VulnOps）機制；面對後量子密碼的遷移，去年7月金管會已啟動先導計畫，預計這個月就會發布「金融業後量子密碼遷移參考指引」。此外，金管會亦正積極籌畫多項精進作為，包含建構具備四大治理主軸的金融韌性成熟度分級評估指標，並計畫訂定供應商分級與委外資安責任的參考範本。</p> <p><a href="https://www.ithome.com.tw/news/175707"><strong>金融資安治理、防護與韌性演練都必須持續升級</strong></a></p> <p>強化資安韌性持續成金融業關注焦點，金管會副主委莊琇媛強調AI對資安的影響越發顯現，他提醒國內金融業者，資安治理必須持續升級，防護能力也必須升級，韌性更一定要能演練和驗證，才能讓我們在面對攻擊發生時，能快速因應、盡速恢復。還有供應鏈資安管理這樣的重要課題，需將資安防護的責任，從單一金融機構擴展到整個生態系。</p> <p><a href="https://www.ithome.com.tw/news/175668"><strong>衛福部期中將著重</strong><strong>AI</strong><strong>與資安治理，醫院資安預算至少應編</strong><strong>3%</strong></a></p> <p>醫療產業近年約有95%的資安事件源於人為因素，中山醫學大學附設醫院醫療資訊中心副主任黃冠凱揭露問題之餘，同時強調臺灣多數醫院的資安成熟度，仍停留在第二至三級，亟需向第四級邁進——透過整合威脅情資、自動化回應與AI異常偵測，在攻擊擴散前主動阻斷風險。他並建議，醫院整體資安經費應占總預算3%至15%：地區醫院建議投入3%至5%、區域醫院5%至10%、醫學中心則應達10%至15%。</p> <p><a href="https://www.ithome.com.tw/news/175813"><strong>驅動供應鏈韌性，漢翔憑</strong><strong>CMMC</strong><strong>實戰經驗打造供應鏈資安評級系統</strong></a></p> <p>面對全球資安合規浪潮，漢翔航空工業作為全臺首家獲得美國國防部CMMC Level 2認證的國防大廠，該公司資訊處處長方一定於臺灣資安大會解析供應鏈管理之道，並公布漢翔依據CMMC實戰經驗開發的「供應鏈資訊安全評級系統（AIxSISAS）」。更引發矚目的是，漢翔不僅將此平臺落實於自身供應鏈治理，還期盼能與更多關鍵產業指標企業合作，共築供應鏈資安生態圈</p> <p><a href="https://www.ithome.com.tw/news/175732"><strong>英國</strong><strong>NCSC</strong><strong>提醒企業使用</strong><strong>AI</strong><strong>尋找漏洞前，先完善漏洞管理機制</strong></a></p> <p>英國國家網路安全中心（NCSC）指出，企業使用AI尋找漏洞前，應先完善漏洞管理機制。使用AI模型尋找漏洞，目的應是強化系統安全；企業組織在導入前，應先確認自身是否具備漏洞管理、資產盤點等能力，否則當漏洞回報量增加，反而可能加重資安團隊負擔。</p> <p><a href="https://www.ithome.com.tw/news/175762"><strong>DMTF</strong><strong>的</strong><strong>SPDM</strong><strong>硬體安全驗證標準被納入</strong><strong>FIPS 140-3</strong><strong>規範</strong></a></p> <p>國際非營利標準組織DMTF宣布，SPDM（Security Protocol and Data Model）標準已正式納入FIPS 140-3實作指引參考規範，這代表原本由產業推動的硬體安全驗證機制，開始進入美國聯邦加密驗證體系。SPDM近年已廣泛應用於PCIe裝置、伺服器BMC與SSD等硬體，用於裝置身分驗證、韌體完整性檢測。</p> <p><a href="https://www.ithome.com.tw/news/175770"><strong>CISA</strong><strong>與</strong><strong>G7</strong><strong>共同發布</strong><strong>AI</strong><strong>軟體物料清單入門指引，推動跨國</strong><strong>AI</strong><strong>供應鏈透明化</strong></a></p> <p>CISA與G7集團成員共同發布《AI軟體物料清單最低要素》指引，建立AI系統資訊揭露框架。AI SBOM除列出軟體元件，也涵蓋AI模型、資料集、推論框架與基礎設施等內容，協助企業掌握AI供應鏈依賴關係、漏洞風險與模型來源可信度，將成為AI治理與供應鏈透明化的重要一步。</p> <p><a href="https://www.ithome.com.tw/news/175597"><strong>逾</strong><strong>8</strong><strong>成金融業者已導入</strong><strong>AI</strong><strong>，監管機關最擔心資料隱私與</strong><strong>AI</strong><strong>幻覺風險</strong></a></p> <p>劍橋大學研究指出，81%金融服務業者已導入AI，生成式AI與代理式AI快速普及，但資料隱私、AI幻覺、輸出不可靠與模型可解釋性不足，也成為金融監管機關最關注的風險。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>AI資安</strong></span></h1> <p><span style="color:#696969;"><strong>AI領域正上演攻防兩端的自動化軍備競賽。一方面，OpenAI發表 Daybreak資安防禦方案，微軟公開MDASH多模型代理式AI安全系統，多家業者亦相繼展示利用AI找出大量系統漏洞的實戰成果，涵蓋Curl、開源電子病歷系統OpenEMR等；另一方面，Google首度揭露駭客濫用AI挖掘零時差漏洞並企圖發動大規模攻擊，加上LiteLLM漏洞遭利用、Mistral AI供應鏈攻擊等事件接連爆發，顯示AI生態系已成為駭客的新獵場。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175703"><strong>AI時代資安新風險，東元電機：未來駭客攻擊的不只是系統，而是企業決策</strong></a></p> <p>從資安治理到AI治理，東元電機數位發展處處長胡修武強調，專案只是培養企業能力的一種手段，應以能力成熟度為目標，如今生成式AI快速進入企業營運流程，需重視治理焦點的轉移，並指出資料流動掌控力的重要性，同時強調未來AI時代真正危險的地方是，當AI逐漸成為企業內部的「數位員工」，未來駭客攻擊的目標，也將不再只是系統本身，而是企業的決策能力</p> <p><a href="https://www.ithome.com.tw/news/175726"><strong>用</strong><strong>AI</strong><strong>對抗</strong><strong>AI</strong><strong>，緯創資通藍隊將資安事件回應速度從「小時」縮短至「分鐘」</strong></a></p> <p>面對AI時代日益嚴峻的網路攻擊，緯創資通從2024年即開始嘗試以AI強化藍隊防禦戰力。該公司在2026臺灣資安大會揭露實戰成果，指出過去SOC團隊每月面對將近1,000筆告警，但其中約65％是誤報，容易導致真正的威脅可能延遲處理。在發展初期，他們藉助AI判斷病毒感染與網頁攻擊事件，成效顯著，後續更延伸至複雜的異常登入場景，經長時間調校，正確率終於穩定達平均97.5%，整體處理時間也從4小時壓縮至10分鐘</p> <p><a href="https://www.ithome.com.tw/news/175767"><strong>AI</strong><strong>代理與開源模型正重塑資安風險，企業需建立制度化、自動化的漏洞治理與</strong><strong>AI</strong><strong>責任機制</strong></a></p> <p>面對AI新時代，企業不應僅停留在只是導入AI。元智大學資管系助理教授王仁甫指出，AI不只是工具，本身也是一套系統，而所有系統都存在漏洞。當AI開始具備自主操作、存取資料與呼叫API能力後，資安風險也將進一步擴大至AI代理、開源模型與供應鏈層級。因此，他建議，企業AI治理應聚焦四大核心：資料品質與完整性、透明性與可稽核性、偏誤與公平性管控，以及明確的責任歸屬，從而建立完整的AI治理與資安管理機制。</p> <p><a href="http://www.ithome.com.tw/news/175679"><strong>美國警告LiteLLM</strong></a><strong><a href="http://www.ithome.com.tw/news/175679">重大SQL注入漏洞已被用於實際攻擊</a>【</strong>CVE-2026-42208<strong>】</strong></p> <p>LiteLLM開發團隊4月24日揭露SQL注入漏洞CVE-2026-42208，在公告發布的36小時後，資安公司Sysdig發現有人將其用於實際攻擊，事隔兩週後，美國網路安全暨基礎設施安全局（CISA）將CVE-2026-42208列入已遭利用的漏洞名冊（KEV），要求聯邦機構必須在5月11日前完成修補。</p> <p><a href="https://www.ithome.com.tw/news/175764"><strong>Ollama</strong><strong>重大漏洞影響自架</strong><strong>LLM</strong><strong>部署</strong></a></p> <p>大型語言模型工具Ollama存在CVE-2026-7482重大漏洞，通報此漏洞的資安業者Cyera在5月5日公布漏洞細節，並將之命名為「Bleeding Llama」。值得關注的是，該漏洞於2月2日通報，2月24日Ollama就已發布0.17.1版本完成修補，不過當時新版釋出並未標註修補重大漏洞，且因CVE編號申請延宕，直到近3個月後才浮出檯面。這種情形，恐那些習慣先評估、後更新的企業未能及時警覺。</p> <p><a href="https://www.ithome.com.tw/news/175802"><strong>Mistral AI</strong><strong>的</strong><strong>PyPI</strong><strong>套件遭遇供應鏈攻擊</strong></a></p> <p>AI公司Mistral AI的PyPI套件2.4.6版遭到入侵，5月12日微軟威脅情報團隊提出警告，這波攻擊行動針對Linux開發環境，最終的有效酬載是竊資軟體，但值得留意的是，此惡意軟體在特定國家會出現不同的行為，例如，受害主機在俄語國家，酬載將停止運作；受害主機若位於以色列或伊朗，酬載將有六分之一的機率執行rm -rf /進行破壞。</p> <p><a href="https://www.ithome.com.tw/news/175713"><strong>OpenAI</strong><strong>發表</strong><strong>Daybreak</strong><strong>資安防禦方案，整合</strong><strong>GPT-5.5-Cyber</strong><strong>與</strong><strong>Codex Security</strong></a></p> <p>資安人員迎來新AI戰力，OpenAI發表Daybreak資安防禦方案，其核心理念在於從軟體開發初始階段即介入防護。具體而言，此方案整合GPT-5.5-Cyber與Codex Security，可將安全程式碼審查、威脅建模、修補驗證、相依套件風險分析，以及偵測與修復建議，納入日常軟體開發流程。特別的是，此方案還設計了模型分級存取機制，可依照使用情境與風險程度開放不同能力</p> <p><a href="https://www.ithome.com.tw/news/175789"><strong>AI</strong><strong>自主網攻能力加速，資安任務長度每</strong><strong>4.7</strong><strong>個月翻倍</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_165441.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_165441.jpg" style="width: 380px; float: right;" /></a></p> <p>近年大家對於AI模型進步速度深有所感，最新研究更是顯示，自2024年底以來，先進AI模型可穩定完成的資安任務長度，約每4.7個月翻倍。英國AI安全研究所（AISI）指出，若從Claude Mythos Preview與GPT-5.5的最新測試表現來看，甚至已超出原本的成長趨勢</p> <p><a href="https://www.ithome.com.tw/news/175721"><strong>AI</strong><strong>資安模型</strong><strong>Mythos</strong><strong>首度實戰</strong><strong>curl</strong><strong>專案，發現</strong><strong>1</strong><strong>項漏洞與</strong><strong>20</strong><strong>項程式缺陷</strong></a></p> <p>AI資安模型Mythos首次應用於curl專案的程式碼分析，掃描約17.6萬行程式碼後回報5項漏洞，最終僅1項低嚴重性漏洞獲得確認，其餘為誤判或一般程式缺陷。curl維護者指出，由於他們先前已使用多種工具發現與修補curl中的問題，Mythos要再發現新問題也變得更困難，單純比較漏洞發現數量並不盡公平。</p> <p><a href="https://www.ithome.com.tw/news/175805"><strong>微軟公開自家</strong><strong>MDASH</strong><strong>多模型代理式</strong><strong>AI</strong><strong>安全系統，發現</strong><strong>Windows</strong><strong>軟體</strong><strong>16</strong><strong>個漏洞</strong></a></p> <p>不讓Anthropic Claude Mythos及OpenAI Daybreak專美於前，微軟本週也展現以AI找漏洞的研發成果，他們公開代號MDASH的多模型代理式AI安全系統，並說明將其用於自家產品的漏洞掃描，結果它在StorageDrive驅動程式找出21項微軟刻意植入的漏洞，經過進一步驗證也顯示零誤判，而本週Patch Tuesday修補的Windows網路堆疊及相鄰服務漏洞中，也有16個是來自MDASH的發現。</p> <p><a href="https://www.ithome.com.tw/news/175674"><strong>Firefox</strong><strong>大改版修復的漏洞不只</strong><strong>271</strong><strong>個！</strong><strong>Mozilla</strong><strong>基金會指出其實</strong><strong>多達</strong><strong>423</strong><strong>個</strong></a></p> <p>近期兩大先進AI模型被用於資安漏洞偵測與修補的話題引發熱議，先前Firefox推出150版更新時，提到Mozilla基金會將Claude Mythos Preview用於Firefox，並修復在初步評估發現的271個漏洞。而在5月7日發布的部落格文章，Mozilla基金會揭露強化Firefox資安的幕後花絮，坦言結合AI、模糊測試、人工處理的漏洞其實有423個。</p> <p><a href="https://www.ithome.com.tw/news/175702"><strong>AI</strong><strong>工具</strong><strong>3</strong><strong>個月找出</strong><strong>38</strong><strong>個</strong><strong>OpenEMR</strong><strong>漏洞，包括恐導致敏感資料外洩的滿分重大漏洞</strong></a></p> <p>資安公司Aisle利用AI分析工具，在3個月內找出開源電子病歷系統OpenEMR的38項漏洞，其中2項為CVSS風險評分達10.0的重大漏洞，可能導致敏感資料外洩與遠端程式碼執行。相關漏洞已由OpenEMR維護團隊完成修補，並於程式碼審查流程整合AI審查工具AISLE PRO，強化後續漏洞偵測與修補流程。</p> <p><a href="https://www.ithome.com.tw/news/175722"><strong>Google</strong><strong>揭露駭客濫用</strong><strong>AI</strong><strong>找出零時差漏洞，企圖發動大規模攻擊</strong></a></p> <p>Google威脅情報團隊（GTIG）近日指出，首度偵測到駭客組織企圖利用AI挖掘的零時差漏洞進行大規模攻擊，經與廠商協作及時攔阻，攻擊並未成功。Google指出，發現該攻擊的指令碼內含大量註解說明，並提供一般駭客通常不會標註、疑似捏造的CVSS風險評分，再者，這些程式碼採用結構化、教科書式的Python程式撰寫風格等，這些都是人類駭客在撰寫程式碼不會出現的內容。不過，Google目前尚未揭露受影響的軟體或系統名稱。</p> <p><a href="https://www.ithome.com.tw/news/175660"><strong>因應</strong><strong>AI</strong><strong>輔助開發風險，</strong><strong>GitHub MCP Server</strong><strong>加入提交前機密憑證與相依套件掃描</strong></a></p> <p>針對GitHub MCP Server，GitHub新增了機密憑證與相依套件掃描功能。使用者可為儲存庫啟用GitHub Secret Protection，以協助檢查程式碼變更中是否包含可能外洩的密碼、金鑰、權杖或其他憑證；也可啟用Dependabot警示，由GitHub根據專案的相依套件資訊與GitHub漏洞公告資料庫進行比對，並回報受影響套件、漏洞嚴重程度及建議修補版本。</p> <p><a href="https://www.ithome.com.tw/news/175792"><strong>Meta</strong><strong>推出</strong><strong>Incognito Chat</strong><strong>，主打</strong><strong>AI</strong><strong>對話完全私密</strong></a></p> <p>WhatsApp與Meta AI App將針對AI對話情境新增Incognito Chat隱私聊天模式，Meta指出，隨著使用者開始向AI諮詢健康狀況、貸款、財務及職涯等敏感問題，透過Private Processing技術，可確保對話僅在臨時且隔離的安全環境中進行。該模式預設不儲存紀錄，訊息處理完畢後會自動消失，Meta官方也無法查看內容。</p> <p><a href="https://www.ithome.com.tw/news/175692"><strong>逾</strong><strong>5</strong><strong>千個</strong><strong>Vibe Coding</strong><strong>應用程式可公開存取且毫不設防，可能導致企業資料外洩</strong></a></p> <p>以色列資安業者RedAccess揭露，他們發現逾5千個透過AI輔助Vibe Coding建立的應用程式暴露於網路上，且缺乏驗證與保護機制，可能外洩企業敏感資料。問題源自使用者缺乏安全意識，且將應用程式直接公開部署，部分甚至可被搜尋引擎索引，引發資安疑慮。</p> <p><a href="https://www.ithome.com.tw/news/175775"><strong>Veeam</strong><strong>推出</strong><strong>DataAI Command Platform</strong><strong>，整合</strong><strong>AI</strong><strong>代理治理與資料復原</strong></a></p> <p>因應生成式AI與AI代理應用擴張，備份與資料保護大廠Veeam將防線由資料安全延伸至AI資安，該公司發表DataAI Command Platform，將AI代理治理、DSPM（資料安全態勢管理）、身分管理，以及資料復原功能，整合為統一的AI信任層。強調該平臺可分析敏感資料、AI代理權限與存取風險，並提供精細資料復原能力，降低AI代理錯誤操作帶來的影響。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>資料安全</strong></span></h1> <p><span style="color:#696969;"><strong>這一星期國內焦點為鴻海北美廠遭Nitrogen勒索軟體竊取8TB檔案，引起各界高度關注；國安局示警高德地圖異常蒐集與回傳個資，則引發對跨境傳輸機制的情資重視。國際間則有SailPoint與Trellix接連傳出遇襲，再次突顯資安大廠在資料保護上也面臨嚴峻挑戰。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175745"><strong>勒索軟體組織</strong><strong>Nitrogen</strong><strong>疑似駭入鴻海，取得</strong><strong>8TB</strong><strong>、上千萬份檔案</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_165553.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_165553.jpg" style="width: 380px; float: right;" /></a></p> <p>根據資安媒體Cybernews報導，5月初鴻海美國廠區發生嚴重IT問題後，勒索軟體Nitrogen操作者本週在其暗網網站將鴻海列為受害者。駭客宣稱取得8TB、1100萬份生產及客戶檔案，包括英特爾、蘋果、Dell、Nvidia的機密指令、專案和設計草圖，以及其他眾多檔案。5月12日晚上，鴻海公司在公開資訊觀測站發布重訊，提供有關集團北美部分廠區遭網路攻擊說明，指出資安團隊已啟動應變機制，目前受影響廠區之生產營運均維持正常。</p> <p><a href="https://www.ithome.com.tw/news/175644"><strong>國安局指出高德地圖存在資安問題，使用者通話及個資會回傳中國</strong></a></p> <p>中國導航服務高德地圖竄紅，但其資料來源與個資蒐集方式引發疑慮，4月下旬數發部根據資通安全管理法要求政府機關禁止使用，近日國家安全局也對高德地圖進行檢測，結果發現多項資安問題，例如，不僅持續收集使用者的通訊錄、通話內容、即時視訊影音內容，並回傳到中國伺服器，更值得留意的是，即便使用者將應用程式關閉，高德地圖仍持續回傳用戶資料，因此存在較高的資安風險。</p> <p><a href="https://www.ithome.com.tw/news/175715"><strong>汽車大廠</strong><strong>Skoda</strong><strong>網路商店被駭，疑外洩客戶個資</strong></a></p> <p>捷克汽車大廠Skoda線上商店平臺近期發生遭駭事故，該公司發布公告警示客戶姓名、電子郵件信箱等個資可能遭存取。Skoda指出攻擊者曾取得對網路商店系統的未授權存取權限，並研判駭客是濫用其運行線上商店的標準商店軟體的漏洞，可能存取線上商店平臺處理的資料。</p> <p><a href="https://www.ithome.com.tw/news/175711"><strong>身分驗證管理供應商</strong><strong>SailPoint</strong><strong>的</strong><strong>GitHub</strong><strong>儲存庫遭駭</strong></a></p> <p>身分驗證管理供應商SailPoint向美國證券交易委員會（SEC）提交8-K表單，說明該公司4月20日偵測到部分GitHub儲存庫出現未經授權存取的情況，事件回應團隊隨即阻止未經授權的行為，找出被入侵的原因並予以處置。該公司透露，攻擊者是透過第三方應用程式的弱點而獲得存取管道，目前該漏洞已經修復。根據初步的調查結果，SailPoint未發現客戶資料於生產或臨時環境遭到存取的跡象，亦未出現服務中斷，該公司已通知資料存放在上述儲存庫的客戶。</p> <p><a href="https://www.ithome.com.tw/news/175680"><strong>勒索軟體</strong><strong>RansomHouse</strong><strong>聲稱竊得資安公司</strong><strong>Trellix</strong><strong>的原始碼</strong></a></p> <p>5月初資安公司Trellix傳出原始碼儲存庫遭未經授權存取，外界好奇到底是哪一個駭客組織所為？上週勒索軟體RansomHouse將Trellix列於資料外洩網站，並發布螢幕截圖宣稱他們成功存取該公司的裝置管理系統，該團體聲稱於4月17日成功入侵Trellix。Trellix表示，他們已掌握駭客的說法並著手調查。</p> <p><a href="https://www.ithome.com.tw/news/175683"><strong>Canvas</strong><strong>再被駭客入侵斷線，大學被迫延遲期末考</strong></a></p> <p>學習管理系統Canvas開發商Instructure上週遭勒索軟體組織 ShinyHunters二次入侵。這群駭客將Canvas入口網站置換成勒索訊息，聲稱未接獲Instructure聯繫，並且一再威脅，後續該網站入口更是直接斷線。由於此時正是大學院校舉行期末考期間，斷線也導致使用Canvas平臺的大學院校行程大亂。包含伊利諾大學、貝勒大學及亞利桑納大學等校，均被迫延後或取消期末考試與報告。加州大學系統則宣布全面清查並暫時封鎖所有分校的Canvas存取，以確保系統安全。</p> <p><a href="https://www.ithome.com.tw/news/175757"><strong>Best Western Hotel</strong><strong>遭駭訂房資料外洩長達</strong><strong>6</strong><strong>個月</strong></a></p> <p>總部位於亞利桑納州、旗下擁有逾4,200家旅館的貝斯特韋斯特（Best Western Hotel，BWH）集團，本週發送電子郵件通知資料外洩事件，說明今年4月22日偵測到特定訂房網頁應用出現異常存取，隨即將該系統下線並註銷駭客權限，同時協同外部資安專家展開調查與加固。經調查，去年10月至今年4月間部分客戶資料遭非法存取，受影響資訊涵蓋姓名、電子郵件、電話、住家地址及訂房細節。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><span style="color:#696969;"><strong>繼Linux核心Copy Fail漏洞後，近期再度爆發鎖定Dirty Frag漏洞鏈的零時差漏洞攻擊；在Windows方面，亦有研究人員揭露YellowKey零時差漏洞，涉及BitLocker繞過而引發重視。此外，多則消息顯示駭客濫用RMM與資安元件側載DLL建立持久滲透，突顯端點防禦對合法工具濫用的偵測挑戰。</strong></span></p> <p><strong><a href="http://www.ithome.com.tw/news/175646">Linux核心再現本機提權漏洞，發行版修補前攻擊程式已流出</a>【Dirty Frag】【</strong><strong>CVE-2026-43284</strong><strong>、</strong><strong>CVE-2026-43500</strong><strong>】</strong></p> <p><a href="/sites/default/files/images/2026-05-15_165719.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_165719.jpg" style="width: 380px; float: right;" /></a></p> <p>Linux核心漏洞消息連連，繼Copy Fail漏洞之後，資安研究人員Hyunwoo Kim公開名為Dirty Frag的漏洞鏈，值得關注意的是，此漏洞影響所有主流Linux環境且修補尚未釋出，CVE編號也尚未公開，但已有第三方公開部分漏洞細節與攻擊程式。後續最新消息是，該漏洞指向<strong><a href="https://www.ithome.com.tw/news/175672">CVE-2026-43284與CVE-2026-43500</a></strong>，多家IT與資安廠商也紛紛發布相關的觀察分析，並警示影響的產品涵蓋2017年至今的Linux系統核心，以及Ubuntu、RHEL、 CentOS Stream、AlmaLinux、Fedora、openSUSE等Linux發行版，容器平臺OpenShift也面臨這樣的風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/175850">Linux再爆本機提權漏洞，兩週內已經找到第三個</a></strong></p> <p>近兩個禮拜以來，陸續有研究人員揭露涵蓋多個Linux發行版的本機提權漏洞（LPE），最新揭露的漏洞稱為Fragnesia（CVE-2026-46300），CVSS嚴重度評分為7.8，存在Linux核心的XFRM ESP-in-TCP子系統。研究人員已透過V12團隊的GitHub頁面公布利用該漏洞的概念驗證程式（PoC）、緩解與修補方式。目前已有多個Linux發行版本發布相關公告，包含AlmaLinux、Amazon Linux、CloudLinux、Debian、Gentoo、Red Hat Enterprise Linux、SUSE、Ubuntu。</p> <p><a href="https://www.ithome.com.tw/news/175634"><strong>Ivanti</strong><strong>修補裝置管理平臺</strong><strong>EPMM</strong></a><strong><a href="https://www.ithome.com.tw/news/175634">已遭利用的高風險漏洞</a>【CVE-2026-6973】</strong></p> <p>資安公司Ivanti揭露端點管理平臺Endpoint Manager Mobile（EPMM）存在5個高風險漏洞，其中CVE-2026-6973已出現實際攻擊活動。這些漏洞影響12.8.0.0以下版本的EPMM，Ivanti發布12.8.0.1、12.7.0.1、12.6.1.1版修補。該公司呼籲IT人員，應檢查具備管理員權限的帳號，並在必要的情況下輪換憑證。</p> <p><a href="https://www.ithome.com.tw/news/175747"><strong>微軟發布5月份安全例行更新，修補</strong><strong>137</strong><strong>個資安漏洞</strong></a></p> <p>5月份例行更新微軟公開137個由該公司登記CVE編號的漏洞，當中有13個很有可能會成為駭客利用的目標，較為值得留意，權限提升類型的漏洞占大多數，下列四個被評為重大等級：CVE-2026-35435、CVE-2026-40361、CVE-2026-40364、CVE-2026-41103，根據CVSS風險評分來看，最嚴重的是CVE-2026-41103，出現在用於Jira與Confluence的微軟單一登入（SSO）外掛程式，風險值為9.1。</p> <p><a href="https://www.ithome.com.tw/news/175755"><strong>蘋果發布作業系統</strong><strong>26.5</strong><strong>版更新，並為更多行動裝置修補通知服務漏洞</strong></a></p> <p>蘋果針對iOS、iPadOS、macOS、tvOS、watchOS、visionOS發布26.5版更新，從弱點數量來看，macOS有79個最多，iOS與iPadOS有61個居次，其中最受到關注的地方，就是先前為iOS 18與iOS 26修補的通知服務漏洞CVE-2026-28950，這次他們發布iPadOS 17.7.11、iOS與iPadOS的16.7.16、iOS與iPadOS 15.8.8，為更多裝置修補這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/175782"><strong>資安研究員揭露</strong><strong>Windows BitLocker</strong><strong>與</strong><strong>CTFMON</strong></a><strong><a href="https://www.ithome.com.tw/news/175782">的零時差漏洞</a>【YellowKey】【GreenPlasma】</strong></p> <p>研究人員再度公布新的零時差漏洞，一是磁碟加密機制BitLocker的漏洞YellowKey，另一是輸入法元件CTFMON的漏洞GreenPlasma，並釋出部分概念驗證程式碼（PoC）。這兩個漏洞皆影響Windows 11、Windows Server 2022與2025，但Windows 10似乎不受影響。其中值得留意的是YellowKey，Chaotic Eclipse形容它幾乎等同於後門，該漏洞出現在Windows復原環境（WinRE），攻擊者需要將特製的FxTx檔案存放於USB隨身碟或EFI磁碟分割區，就有機會在WinRE環境存取BitLocker保護的檔案。資安專家Kevin Beaumont確認該漏洞的存在，呼籲使用者為BitLocker設置PIN碼，或是採用BIOS密碼保護措施因應。</p> <p><a href="https://www.ithome.com.tw/news/175794"><strong>伊朗駭客</strong><strong>MuddyWater</strong><strong>攻擊韓國電子製造商，濫用</strong><strong>SentinelOne</strong><strong>元件側載</strong><strong>DLL</strong><strong>檔</strong></a></p> <p>賽門鐵克與Carbon Black威脅獵捕團隊揭露伊朗駭客組織MuddyWater最新一波網路間諜活動，範圍橫跨四大洲與9個國家，至少有9家企業組織受害，其中一家是韓國大型電子製造商。這些駭客大量使用DLL側載手法，濫用SentinelOne端點防護系統的二進位檔、富迪科技（Fortemedia）音訊驅動程式工具fmapp.exe，藉此植入竊資軟體ChromElevator，並竊取瀏覽器存放的密碼、cookie，以及付款資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/175648">駭客濫用遠端管理工具Tiflux於受害電腦建立存取管道</a></strong></p> <p>發現駭客使用巴西遠端監控及管理工具Tiflux的活動。威脅情報公司Huntress自今年2月起觀察到，攻擊者先透過網路釣魚活動與誘餌文件檔案建立初期存取管道，再將存取管道串連其他遠端管理工具，如UltraVNC、Splashtop、ScreenConnect。駭客選用Tiflux的關鍵在於該工具不僅鮮為人知，且安裝程式內含過時且具弱點的驅動程式HwRwDrv.sys，其簽章已過期。Huntress 警告，這種利用特定軟體缺陷進行濫用的手法，危險程度已大幅超越一般RMM工具入侵活動。</p> <p><a href="https://www.ithome.com.tw/news/175667"><strong>駭客結合釣魚攻擊與遠端管理工具，影響逾</strong><strong>80</strong><strong>個機構</strong></a></p> <p>資安業者Securonix揭露代號VENOMOUS#HELPER的攻擊行動，駭客透過假冒美國社會安全局的釣魚郵件，誘騙受害者在電腦上安裝SimpleHelp與ScreenConnect等合法RMM遠端管理工具，藉此建立持久遠端存取並規避傳統資安防護，並同時透過兩種RMM工具相互搭配，即使其中之一遭到阻擋，仍能維持遠端存取。駭客相關行為特徵疑似初始存取管道活動模式，與勒索軟體攻擊前兆。</p> <p><a href="https://www.ithome.com.tw/news/175801"><strong>微軟將透過</strong><strong>Windows Update</strong><strong>遠端復原問題驅動程式，減少手動排除故障負擔</strong></a></p> <p>針對透過Windows Update發布後被判定有品質問題的驅動程式，微軟將導入Cloud-Initiated Driver Recovery機制，遠端移除受影響裝置上的問題版本，回復到可正常運作的版本，降低仰賴硬體合作夥伴更新或使用者手動解除安裝的負擔。</p> <p><a href="https://www.ithome.com.tw/news/175719"><strong>iPhone</strong><strong>與</strong><strong>Android</strong><strong>互傳訊息更安全，</strong><strong>iOS 26.5</strong><strong>支援</strong><strong>RCS</strong><strong>端到端加密</strong></a></p> <p>過去Google Messages與iMessage雖各自支援端到端加密（E2EE），但跨平臺的RCS訊息卻始終缺乏保護，隨著Google與蘋果雙方合作將E2EE導入RCS標準，相關功能現已陸續正式上路。不過，目前該功能仍處於Beta階段，實際可用性取決於iPhone使用者是否升級至最新系統、電信商是否支援，以及Android端是否安裝最新版Google Messages。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>網路安全</strong></span></h1> <p><strong style="color: rgb(105, 105, 105);">邊界防護設備風險持續升溫，不僅有攻擊者鎖定Palo Alto防火牆發動零時差漏洞攻擊，還有俄羅斯組織利用SSH-over-Tor手法來規避監控的揭露。此外，德國.de網域因DNSSEC簽章錯誤導致大規模故障，突顯網路韌性風險；而Cloudflare與紅帽積極導入後量子加密（PQC），則顯示網路防禦正加速邁向抗量子時代。</strong></p> <p><a href="https://www.ithome.com.tw/news/175627"><strong>CISA</strong><strong>在</strong><strong>Palo Alto Networks</strong><strong>防火牆重大漏洞揭露當下，即同步納入</strong><strong>KEV</strong></a><strong>【CVE-2026-0300】</strong></p> <p>CISA將Palo Alto Networks防火牆重大漏洞CVE-2026-0300列入KEV清單，顯示該漏洞已遭實際利用。該漏洞影響實體與VM版防火牆的PAN-OS作業系統，可能導致遠端程式碼執行，目前尚未釋出修補程式，用戶需立即採取緩解措施以降低風險。</p> <p><a href="https://www.ithome.com.tw/news/175749"><strong>Fortinet</strong><strong>修補</strong><strong>FortiSandbox</strong><strong>、</strong><strong>FortiAuthenticator</strong><strong>重大</strong><strong>RCE</strong><strong>漏洞</strong></a></p> <p>本週Fortinet發布軟體更新，修補旗下產品FortiSandbox和FortiAuthenticator的RCE漏洞。其中，FortiSandbox最新漏洞是CVE-2026-26083，影響FortiSandbox、FortiSandbox Cloud及FortiSandbox PaaS，FortiAuthenticator則為API端點存取控制不當漏洞CVE-2026-44277，受影響產品為FortiAuthenticator 6.5、6.6、8.0.0/8.0.2，不影響FortiAuthenticator Cloud。</p> <p><a href="https://www.ithome.com.tw/news/175706"><strong>國家級駭客組織</strong><strong>Sandworm</strong><strong>利用</strong><strong>SSH-over-Tor</strong><strong>建立隱蔽通道以長期滲透</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170343.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170343.jpg" style="width: 380px; float: right;" /></a></p> <p>當心駭客利用SSH-over-Tor技術建立隱匿遠端通道！資安研究機構警示，俄羅斯駭客組織Sandworm（APT-C-13）在最新攻擊中，利用SSH-over-Tor技術建立隱匿遠端通道，以強化長期滲透能力。攻擊流程從魚叉式網路釣魚展開，透過偽裝PDF的LNK檔與PowerShell指令部署惡意程式，並結合Tor隱藏網路服務與obfs4混淆技術，規避傳統資安監測與追蹤機制。</p> <p><a href="https://www.ithome.com.tw/news/175822"><strong>DNSSEC</strong><strong>簽章錯誤導致德國</strong><strong>.de</strong><strong>網域大規模故障，數百萬網站斷線數小時</strong></a></p> <p>5月5日晚間至5月6日凌晨，德國.de網域曾因DNSSEC簽章錯誤發生大規模故障，導致數百萬網站短暫無法解析。事件源自DENIC在密鑰輪替過程中產生錯誤RRSIG簽章，使驗證型DNS解析器回傳錯誤並拒絕服務。Cloudflare緊急啟用負向信任錨（NTA）暫時略過驗證，協助恢復連線。整起事故約持續數小時，凸顯DNSSEC配置與金鑰管理風險。</p> <p><a href="https://www.ithome.com.tw/news/175688"><strong>2026</strong><strong>年第一季全球網際網路中斷事件偏多，政府斷網、停電與軍事衝突成主因</strong></a></p> <p>網路與資安服務業者Cloudflare發布2026年第一季全球網際網路中斷事件觀察，烏干達、伊朗與剛果共和國都在選舉或衝突背景下發生大規模斷網，古巴則在3月發生3次國家電力系統崩潰，軍事衝突則進一步波及雲端基礎設施。Cloudflare指出，3月初，AWS位於阿拉伯聯合大公國與巴林的資料中心，因無人機攻擊受損。其他中斷原因還包括惡劣天候、海底纜線受損與技術問題。</p> <p><a href="https://www.ithome.com.tw/news/175652"><strong>AWS</strong><strong>美東資料中心傳出供電與冷卻異常，</strong><strong>EC2</strong><strong>與</strong><strong>EBS</strong><strong>服務受影響</strong></a></p> <p>AWS US-EAST-1美東服務區域單一可用區發生供電與冷卻系統異常，導致EC2與EBS服務出現功能降級（impairment）。AWS指出已暫停部分流量並導向其他可用區，並透過額外冷卻資源逐步恢復受影響機架，目前已出現初步復原跡象，但完整恢復時間仍未確定。</p> <p><a href="https://www.ithome.com.tw/news/175690"><strong>Cloudflare</strong><strong>廣域網路即服務開始支援</strong><strong>PQC</strong><strong>，強化企業</strong><strong>WAN</strong><strong>量子威脅防護</strong></a></p> <p>網路服務與資安業者Cloudflare宣布，Cloudflare IPsec後量子加密功能正式上線，採用混合的模組格基式金鑰封裝機制（ML-KEM），結合傳統Diffie-Hellman金鑰交換與後量子演算法，降低未來量子電腦破解現行公開金鑰密碼學的風險。</p> <p><a href="https://www.ithome.com.tw/news/175684"><strong>紅帽新版</strong><strong>RHEL</strong><strong>強化後量子安全準備，導入抗量子簽章與</strong><strong>AI</strong><strong>輔助升級</strong></a></p> <p>Red Hat宣布Red Hat Enterprise Linux（RHEL）10.2與9.8版即將正式推出，將後量子密碼學（Post-Quantum Cryptography，PQC）納入系統基礎，並搭配機密運算與AI輔助自動化處理與系統升級，協助企業在混合雲環境兼顧安全性與維運一致性。</p> <p><a href="https://www.ithome.com.tw/review/175733"><strong>VCF 9.1</strong><strong>增強橫向存取安全，擴充</strong><strong>EDR</strong><strong>整合勒索軟體隔離復原</strong></a></p> <p>支援AI與Kubernetes環境建置的私有雲基礎架構平臺VMware Cloud Foundation（VCF）邁入9.1版，安全面向先從企業最在意、也最難守的內部網路風險下手：新版強化內網橫向存取的防護能力，協助降低入侵後在內網擴散的可乘之隙，博通並強調相關機制不會犧牲網路傳輸頻寬。在勒索軟體威脅方面，VCF延續以隔離資料防護為主的思路：先前已可整合Carbon Black，9.1版再擴充支援CrowdStrike Falcon等端點安全方案。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>應用程式安全</strong></span></h1> <p><span style="color:#696969;"><strong>軟體供應鏈攻擊持續成為資安威脅焦點，本週不僅Checkmarx再傳出Jenkins AST外掛遭竄改，更出現首個具備SLSA 3級見證的惡意NPM套件，以及駭客在Hugging Face冒充OpenAI散布竊資軟體。這些事件顯示，從開發工具到AI模型庫都已成為深層滲透的跳板。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175714"><strong>資安公司</strong><strong>Checkmarx</strong><strong>再傳遭供應鏈攻擊，</strong><strong>Jenkins AST</strong><strong>外掛被竄改</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170447.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170447.jpg" style="width: 380px; float: right;" /></a></p> <p>5月9日Checkmarx發布資安公告，因為他們察覺發布於Jenkins延伸套件市集的Jenkins AST外掛程式，出現遭到竄改的跡象，攻擊者發布帶有惡意程式的新版本，呼籲用戶要儘速檢查，確定使用的版本是2025年12月17日發布的2.0.13-829.vc72453fa_1c16，或之前的版本，而非有資安風險的2026.5.09版，才能避免CI/CD環境被滲透。</p> <p><a href="https://www.ithome.com.tw/news/175689"><strong>Hugging Face</strong><strong>出現冒充</strong><strong>OpenAI</strong><strong>的惡意儲存庫，鎖定</strong><strong>Windows</strong><strong>用戶散布竊資軟體</strong></a></p> <p>在Hugging Face發布的Open-OSS/privacy-filter存在惡意程式碼，AI資安公司HiddenLayer指出，他們近日發現該儲存庫複製了OpenAI近日開源的去識別化資料模型Privacy Filter，內容幾乎與正牌的Privacy Filter一模一樣，然而，若依照其指示操作，使用者的電腦就有可能被植入竊資軟體。值得留意的是，該儲存庫在Hugging Face下架前，已被下載超過20萬次，甚至登上熱門排行榜，因此影響範圍恐怕會非常廣泛，研究人員提醒，在完全清除前切勿登入電腦。使用者應將主機隔離，然後將所有存放於瀏覽器、密碼管理工具，以及受害電腦的憑證進行輪換。</p> <p><a href="https://www.ithome.com.tw/news/175724"><strong>網頁應用程式框架</strong><strong>TanStack</strong><strong>的</strong><strong>NPM</strong><strong>套件遭</strong><strong>Mini Shai-Hulud</strong><strong>供應鏈攻擊</strong></a></p> <p>最新一波蠕蟲程式Mini Shai-Hulud攻擊被揭露，TeamPCP針對網頁應用程式框架TanStack的GitHub Actions發布流程，利用挾持的OIDC權杖（token），發布TanStack Router的惡意NPM套件。與先前攻擊的差異在於，這次被滲透的套件，竟然具有軟體供應鏈安全框架SLSA第3級來源見證，使得Mini Shai-Hulud成為第一個可產生有效見證的惡意軟體套件、又有文件記載的NPM蠕蟲。值得留意的是，Mini Shai-Hulud已從TanStack擴散，影響UiPath、DraftLab及其他維護者的套件。</p> <p><a href="https://www.ithome.com.tw/news/175687"><strong>檔案下載工具</strong><strong>JDownloader</strong><strong>網站遭駭，駭客竄改安裝檔下載連結</strong></a></p> <p>提供檔案下載工具軟體JDownloader的官方網站遭駭，最早發現此事的是ID為PrinceOfNightSky的使用者，後續開發這款軟體的廠商AppWork在JDownloader網站發布公告，表明這起事故最早可追溯到世界協調時間（UTC）5月5日半夜，約於23時55分攻擊者首度嘗試竄改檔案下載連結，後續在6日凌晨又有其他連結被竄改。假若使用者在5月6日至7日從Download Alternative Installer下載Windows版安裝檔，或是使用Linux版Shell安裝程式，就有可能從外部網站取得惡意檔案。</p> <p><a href="https://www.ithome.com.tw/news/175638"><strong>Mozilla</strong><strong>發布</strong><strong>Firefox 150.0.2</strong><strong>，修補</strong><strong>3</strong><strong>項高風險漏洞</strong></a></p> <p>Mozilla基金會發布Firefox 150.0.2，共修補3項高風險資安漏洞，分別是CVE-2026-8090、CVE-2026-8092、CVE-2026-8093，皆與記憶體有關，值得留意的是，漏洞管理廠商Tenable認為CVE-2026-8092屬重大層級風險，將此漏洞的嚴重性評為9.8分。</p> <p><a href="https://www.ithome.com.tw/news/175717"><strong>Google</strong><strong>發布</strong><strong>ChromeOS</strong><strong>長期支援版更新，修補多項高風險記憶體漏洞</strong></a></p> <p>Google發布ChromeOS長期支援版（LTS-144）更新，版本升級至144.0.7559.250，修補11項安全漏洞，其中多數為高風險記憶體安全問題。漏洞涵蓋Blink、Media、Network、WebCodecs與WebUSB等元件，包含Compositor元件的重大漏洞（CVSS 9.6分），建議用戶儘速更新，以降低攻擊風險。</p> <p><a href="https://www.ithome.com.tw/news/175748"><strong>Adobe</strong><strong>針對</strong><strong>10</strong><strong>款應用系統發布</strong><strong>5</strong><strong>月更新，呼籲用戶應優先對電商平臺進行處理</strong></a></p> <p>Adobe本月例行更新修補10款應用程式及系統的資安漏洞，涵蓋Premiere Pro、After Effects、Illustrator，以及Adobe Commerce等常見應用程式，弱點數量總共有52個，與上個月55個相當接近。Adobe Commerce是這波漏洞修補數量最多的產品，一共修補15個漏洞，其中有10個被評為重大等級，這些漏洞又以阻斷服務（DoS）類型的最多，從CVSS風險評分來看，最嚴重的漏洞出現在Adobe Connect，這次共修補兩個重大漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175744"><strong>SAP</strong><strong>修補</strong><strong>S/4HANA</strong><strong>與</strong><strong>Commerce Cloud</strong><strong>重大漏洞</strong></a></p> <p>SAP的5月例行更新修補15個資安漏洞，其中有兩項被評為重大等級這些漏洞，其中CVE-2026-34260漏洞存在於SAP S/4HANA，攻擊者可藉此存取資料庫敏感資訊或導致S/4HANA當機；另一是CVE-2026-34263漏洞，影響SAP Commerce Cloud，未經身分驗證的攻擊者能上傳惡意組態及注入程式碼，導致任意程式碼執行。兩者的CVSS風險評分皆為9.6，特別值得留意。</p> <p><a href="https://www.ithome.com.tw/news/175712"><strong>cPanel</strong><strong>身分驗證漏洞被用於散布</strong><strong>RAT</strong><strong>木馬</strong><strong>Filemanager</strong></a></p> <p>上星期駭客鎖定cPanel零時差漏洞（CVE-2026-41940）攻擊的消息不斷，5月初再添一樁！中國資安公司奇安信發現有人利用CVE-2026-41940散布的新惡意程式，此酬載以Go語言撰寫，嵌入疑為AI生成的大量土耳其語事件記錄與訊息，主要功能是將SSH公鑰、惡意PHP與JavaScript程式碼植入cPanel系統，竊取登入憑證，並回傳攻擊者控制的Telegram頻道，最終部署RAT遠端存取木馬Filemanager。</p> <p><a href="https://www.ithome.com.tw/news/175673"><strong>cPanel</strong><strong>新揭露與修補</strong><strong>3</strong><strong>個漏洞</strong></a></p> <p>近期網站主機代管業者常用管理軟體cPanel與Web Host Manager（WHM）重大漏洞CVE-2026-41940，引發一連串資安風波，5月8日這系列產品再度發布漏洞公告，揭露與修補3個新漏洞：CVE-2026-29201、CVE-2026-29202、CVE-2026-29203。當中最需要注意的是CVE-2026-29202與CVE-2026-29203，CVSSv3嚴重度皆為8.8分，都屬於高風險漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175781"><strong>郵件傳輸代理伺服器</strong><strong>Exim</strong><strong>存在重大漏洞，影響採用程式庫</strong><strong>GnuTLS</strong><strong>進行通訊的環境</strong></a></p> <p>5月12日Exim開發團隊發布4.99.3版Exim，修補遠端的記憶體釋放後再存取使用（Use After Free）的漏洞CVE-2026-45185，此漏洞CVSS風險為9.8分，存在於Exim的GnuTLS後端，攻擊者可遠端觸發，並造成記憶體資料損毀。Exim開發團隊強調，呼籲IT人員儘速升級。</p> <p><a href="https://www.ithome.com.tw/news/175761"><strong>Claude</strong><strong>瀏覽器延伸套件存在設計缺陷，攻擊者恐透過惡意套件挾持</strong><strong>AI</strong></a></p> <p>Claude的Chrome延伸套件功能（Claude in Chrome）被資安廠商LayerX發現資安弱點，透過該漏洞，其他延伸套件在無須取得特殊權限的情況下，可注入惡意指令並挾持Claude in Chrome的功能，擷取攻擊者想要的任何資料，並讓Claude的代理程式執行攻擊者指定的操作或任意指令。另要注意的是，LayerX發現Anthropic修補不完整，呼籲用戶應採取行動降低風險，像是引入extension-to-page的身分驗證權杖（token）、限縮受信任的延伸套件名單內容等。</p> <p><a href="https://www.ithome.com.tw/news/175666"><strong>惡意</strong><strong>NuGet</strong><strong>套件冒充中國</strong><strong>.NET</strong><strong>程式庫，企業鎖定開發人員的瀏覽器、加密貨幣錢包發動攻擊</strong></a></p> <p>名為bmrxntfj的開發者上架5個惡意套件，資安公司Socket指出，這些套件冒充中國廣泛使用的.NET程式庫，內含經.NET Reactor保護的竊資軟體，能針對12種瀏覽器、8種加密貨幣錢包的應用程式，以及5種加密貨幣錢包的瀏覽器延伸套件功能，從中竊取機密，然後傳送到特定的C2網域。值得留意的是，這些套件總共被下載超過6.5萬次，影響範圍相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/175669"><strong>惡意程式</strong><strong>ZiChatBot</strong><strong>透過</strong><strong>PyPI</strong><strong>套件散布，針對</strong><strong>Windows</strong><strong>與</strong><strong>Linux</strong><strong>用戶而來</strong></a></p> <p>駭客組織OceanLotus（APT32）自2025年7月上傳一系列的惡意套件至PyPI儲存庫，根據資安公司卡巴斯基的分析，這些套件確實具備駭客宣稱的功能，實際上卻會根據受害電腦的作業系統，執行Windows版或Linux版的惡意程式載入工具（Dropper），最終植入惡意軟體ZiChatBot，該公司向PyPI維護團隊通報後，上述套件已被下架。</p> <p><a href="https://www.ithome.com.tw/news/175662"><strong>WordPress</strong><strong>轉址外掛功能發現潛藏多年後門程式，逾</strong><strong>7</strong><strong>萬網站恐暴險</strong></a></p> <p>下載用戶數量相當大的WordPress轉址外掛程式Quick Page/Post Redirect，被發現潛藏長達5年的後門程式，影響逾7萬個網站，遭竄改版本可透過隱藏更新機制，繞過WordPress.org正常審查流程，自外部來源下載惡意程式碼，進而導致內容注入與惡意程式散播等問題。WordPress.org已緊急將外掛下架，建議用戶立即停用並移除。</p> <p><a href="https://www.ithome.com.tw/news/175686"><strong>非關聯式資料庫</strong><strong>Redis</strong><strong>揭露</strong><strong>5</strong><strong>個漏洞，未修補可能導致遠端執行程式碼攻擊</strong></a></p> <p>Redis資料庫近日修補5項安全漏洞，其中4項為高風險，最嚴重可能導致遠端程式碼執行。漏洞主要涉及RESTORE指令及blocked client處理流程，以及RedisTimeSeries與RedisBloom模組。Redis OSS/CE、Redis Software與Redis Cloud等3種部署版本皆受影響，目前已釋出修補版本，建議用戶盡速升級以降低風險。</p> <p><a href="https://www.ithome.com.tw/news/175795"><strong>微軟修補</strong><strong>Android</strong><strong>版</strong><strong>Teams</strong><strong>漏洞，未更新可能導致偽造攻擊</strong></a></p> <p>微軟近日揭露協作平臺Teams的漏洞CVE-2026-32185，可能被攻擊者用於假冒通訊內容，誘騙用戶並進一步發動社交工程攻擊，此漏洞會影響Android版Teams，微軟已在5月份例行更新（Patch Tuesday）中釋出修補，建議用戶儘速更新。</p> <p><a href="https://www.ithome.com.tw/news/175588"><strong>Telegram Mini Apps</strong><strong>遭濫用於假冒服務詐騙</strong></a></p> <p>攻擊者頻繁濫用Telegram內的輕量化網頁應用（Telegram Mini Apps）與機器人（Telegram Bot）建立釣魚網站與惡意網站，近期資安業者CTM360再揭露一起案例，並將之命名為FEMITBOT的詐騙基礎架構，駭客主要利用Telegram內建網頁瀏覽不必跳轉程式的特性，讓受害者進入假冒頁面，該架構包含逾140個機器人與60個活躍網域，且能隨意更換品牌模板進行大規模詐騙。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>身分安全</strong></span></h1> <p><span style="color:#696969;"><strong>近期兩則身分安全報告值得優先關注：其一指出近三年流入暗網的2.31億個密碼中，有6成能在RTX 5090算力下於一小時內破解MD5雜湊，突顯密碼長度的重要性；另一份2026身分安全現況調查報告則顯示，有6成6的勒索軟體受害者指出事故源頭即為針對身分的攻擊，再次印證身分防護已成為防範勒索威脅的重中之重。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175663"><strong>約六成的密碼</strong><strong>MD5</strong><strong>雜湊值可在一小時內破解</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170535.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170535.jpg" style="width: 380px; float: right;" /></a></p> <p>要確保密碼的強度，其中一個關鍵是密碼組成的長度。近日卡巴斯基分析2023年至2026年流入暗網的2.31億個密碼，發現其中六成只需1小時與幾美元的費用就能破解，值得注意的是，有近半數（48%）只要1分鐘就能破解。該公司說明，一般應用系統不會以明文存放密碼，而是經過特定演算法處理，並以雜湊值存放，一旦駭客取得這些雜湊值，而且能解密，就能還原成使用者輸入的密碼。</p> <p><a href="https://www.ithome.com.tw/news/175780"><strong>身分安全威脅成為勒索軟體主要侵入途徑，三分之二受害組織認為勒索軟體攻擊源頭是身分攻擊</strong></a></p> <p>帳號與密碼外洩、遭暴力破解攻擊、漏洞遭濫用等狀況層出不窮，導致勒索軟體攻擊等資安事故持續爆發，資安廠商Sophos最近發布的2026身分安全現況調查報告指出，全球17個國家當中（不包含臺灣），有71%的組織曾遭遇至少一次與身分相關的資安事件；而且有高達66.5％的勒索軟體受害者表示，這類事故是影響最重大的身分攻擊類型。而導致這類攻擊的三大因素，分別為帳號與密碼外洩（占所有案例的42.06％）、遭暴力破解攻擊（15.58％）、漏洞遭濫用（16.04％）。</p> <p><a href="https://www.ithome.com.tw/news/175659"><strong>Microsoft Teams</strong><strong>將針對可疑外部來電示警，防範品牌冒用語音詐騙</strong></a></p> <p>微軟將強化Microsoft Teams通話安全，針對Teams Calling新增品牌冒用防護功能，防範攻擊者透過外部的VoIP網路語音來電假冒企業、客服或其他可信任組織，誘騙使用者回應或進一步提供資訊。</p> <p><a href="https://www.ithome.com.tw/news/175772"><strong>Google</strong><strong>更新</strong><strong>Android</strong><strong>安全與隱私功能，攔截假冒銀行來電</strong></a></p> <p>可透過合作銀行App驗證金融來電真偽，這是Google近期為Android新增多項防護機制中，最受矚目的新功能。首波合作對象包括Revolut、Itaú與Nubank。換言之，除了金融機構需支援此功能外，使用者也必須安裝並登入該銀行App，Android才能在背景驗證來電真偽。此外，其他升級的防護機制還包括惡意App即時行為偵測、APK下載前掃描、手機竊盜防護，以及更細緻的位置與聯絡人權限控管。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>IoT/OT安全</strong></span></h1> <p><span style="color:#696969;"><strong>在IoT/OT安全方面，本週聚焦於AI滲透威脅與產業防禦實務。墨西哥水利系統遭駭事件近期揭露新細節，調查顯示駭客利用Claude模型分析IT與OT環境關聯並尋找滲透途徑，顯見AI已成為跨網段攻擊的利器。此外，國內醫療OT資安議題亦受關注，專家強調應落實資產盤點與分級防護，並提醒避免將 IT 控管思維硬套至醫療現場，以確保設備持續運作與病患安全。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175633"><strong>駭客濫用</strong><strong>Anthropic</strong><strong>與</strong><strong>OpenAI</strong><strong>的模型攻擊墨西哥水力及排水系統</strong></a></p> <p>墨西哥多個政府機關遭遇的大規模入侵事故，攻擊者從利用AI協助從受害組織的IT環境滲透關鍵基礎設施的OT環境。資安公司Gambit Security指出墨西哥政府機構自2025年12月開始遭遇攻擊，對方使用Anthropic Claude與OpenAI GPT模型，Dragos進一步發現，駭客在入侵城市供水與排水公營事業的企業IT環境後，試圖進一步滲透OT環境。</p> <p><a href="https://www.ithome.com.tw/news/175738"><strong>醫院</strong><strong>OT</strong><strong>資安不能照辦公室</strong><strong>IT</strong><strong>那套！應先盤點、縮小範圍，再談防護</strong></a></p> <p>醫院推動OT資安的挑戰為何？擔任亞東紀念醫院、秀傳醫療體系與羅東博愛醫院醫工顧問的張韶良指出，對醫療現場而言，設備持續運作遠比系統登入更重要；此外，病安不等於資安，具備高病安等級的設備不一定有高資安需求。他建議，醫院OT資安落地的第一步是盤點「資安列管醫療儀器」，鎖定需優先保護的邊界設備與控制系統，而非認為每一臺設備都要做同樣等級的防護。他並強調，資安法是通法，醫療器材管理法則是專法，兩者衝突時應以專法為準。</p> <p><a href="https://www.ithome.com.tw/news/175735"><strong>Mirai</strong><strong>變種</strong><strong>xlabs_v1</strong><strong>殭屍網路現蹤，劫持</strong><strong>Android</strong><strong>裝置發動</strong><strong>DDoS</strong><strong>攻擊</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_170910.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_170910.jpg" style="width: 380px; float: right;" /></a></p> <p>資安廠商揭露Mirai變種xlabs_v1殭屍網路，鎖定暴露在網際網路，且啟用ADB（Android Debug Bridge）介面的Android裝置，植入惡意軟體組成DDoS攻擊網路，任何預設啟用ADB且連上網際網路的物聯網硬體設備都可能受到感染，這款惡意軟體還採用商業化運作，能測量受害裝置頻寬，並依此設定收費等級。</p> <p><a href="https://www.ithome.com.tw/news/175739"><strong>奇偶科技影像監控管理軟體存在重大漏洞</strong></a></p> <p>4月27日奇偶科技（GeoVision）GV-VMS V20存在3個資安漏洞，影響20.0.2以下的版本，攻擊者只要發送特製的HTTP請求，就有機會在未經身分驗證的情況下，觸發漏洞執行任意程式碼，該公司發布20.1.0版修補。這些漏洞當中，最嚴重的是CVSS風險達到滿分10分的CVE-2026-42369，另外兩個漏洞CVE-2026-42370、CVE-2026-7372，風險值被評為9.8、9.0，皆為重大等級的資安漏洞。</p> <p> </p> <h1><span style="color: rgb(255, 140, 0);"><strong>資安維運</strong></span></h1> <p><span style="color:#696969;"><strong>資安維運正聚焦於信任治理的轉型，這一星期多則新聞突顯不同的維運議題，包括專家提醒AI雖能輔助效率，但仍無法解決DevSecOps中責任定義與風險標準等核心問題；亦有金融主管提出「三層式資安預算架構」，讓資安投資範疇更為明確；以及電商大廠推出漏洞獎勵計畫並倡議成立R-ISAC。這些舉措顯示，資安維運正與更深層的治理架構及產業協作緊密結合，成為強化企業數位信任的關鍵。</strong></span></p> <p><a href="https://www.ithome.com.tw/news/175611"><strong>沒弄清楚</strong><strong>DevSecOps</strong><strong>流程反模式，靠</strong><strong>AI</strong><strong>也解不了四大根本問題</strong></a></p> <p>臺灣企業推動DevSecOps時反模式有哪些？長年擔任企業IT顧問的盧建成在臺灣資安大會上一一道出，並指出隨著生成式AI技術和工具更加成熟，企業開始想用AI解決DevSecOps成效不彰的困境，但仍有四大核心問題是AI無法解決的：責任定義、風險接受標準、例外與特簽機制，以及治理與追蹤。因此他建議，人員要能承接責任，而不是被指派，風險應被深入理解而非僅作分類，資安控管應視為決策過程並確保結果可追蹤，而非一次性處理</p> <p><a href="https://www.ithome.com.tw/news/175742"><strong>資安預算不等於資安部門預算，企業應重新定義資安投資範圍</strong></a></p> <p>針對資安預算占比議題，台新新光金控資安部資深協理方振維指出，各企業對資安定義不一，導致數據難以直接比較。對此他提出三層式資安預算架構：第一層「直接資安預算」，像是防火牆、EDR、IAM與SOC等直接維護 CIA 的資安工具；第二層「可用性基礎設施預算」，包括備份、機房、UPS、備援中心與供電系統等；第三層則是「間接資安預算」，涵蓋AD、變更管理、EOS/EOL汰換與零信任架構與微服務等，雖然不一定由資安部門主導，但與資安風險高度相關</p> <p><a href="https://www.ithome.com.tw/news/175741"><strong>酷澎宣布首個公開版漏洞獎勵計畫，並揭露背後的戰略藍圖</strong></a></p> <p>【臺灣資安大會直擊】酷澎臺灣宣布於HackerOne平臺推出首個公開版漏洞獎勵計畫，這不只是臺灣首個與HackerOne的合作案，也是酷澎全球首發合作專案。酷澎臺灣暨日本資安長陳浩維在臺灣資安大會現場，不僅談及先前韓國酷澎因前中國籍員工外洩個資的事件，也揭露酷澎臺灣近兩年已導入物流隱碼與Passkey技術，並能主動識別外部仿冒網站；同時，他更倡議臺灣應建立零售與旅宿業情資分享中心（R-ISAC）。陳浩維強調，資安團隊必須從建立信任出發，進而蛻變為推動企業成長的「信任引擎」</p> <p><a href="https://www.ithome.com.tw/news/175704"><strong>惡意軟體框架</strong><strong>PCPJack</strong><strong>鎖定雲端基礎設施，封鎖駭客團體</strong><strong>TeamPCP</strong><strong>的存取權限</strong></a></p> <p><a href="/sites/default/files/images/2026-05-15_171105.jpg"><img alt="" src="/sites/default/files/images/2026-05-15_171105.jpg" style="width: 380px; float: right;" /></a></p> <p>4月底資安公司SentinelOne發現主要攻擊目標是雲端環境的一段惡意程式碼，其首要工作是驅逐與清理TeamPCP有關的攻擊工具，再加上此惡意工具鎖定目標，類似另一個駭客組織TeamPCP去年12月的攻擊行動Operation PCPcat，因此攻擊者很有可能是TeamPCP的前成員，於是SentinelOne將惡意程式框架命名為PCPJack。</p> <p><a href="https://www.ithome.com.tw/news/175637"><strong>駭客架設假</strong><strong>Claude</strong><strong>網站散布惡意軟體</strong><strong>Beagle</strong></a></p> <p>資安公司Sophos示警留意新的後門程式Beagle，該公司在4月發現冒牌Claude網站的攻擊行動，他們起初認為是PlugX攻擊事故，但進一步調查後發現，駭客使用了過往未曾出現的後門程式，該公司將其命名為Beagle，此後門程式具備多項功能，包括：執行攻擊者下達的指令、上傳或下載檔案、建立資料夾、重新命名檔案、列出所有資料夾等，而在滲透目標的過程中，駭客使用第一階段酬載DonutLoader將其載入。根據駭客不慎曝露的Cloudflare原始來源憑證，假Claude網頁的主機可能在今年3月架設。</p> <p> </p> </div></div></div>
5/15 18:00作者羅正漢https://www.ithome.com.tw/news/175859
【資安日報】5月15日，思科SD-WAN裝置重大漏洞被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175835"><strong style="font-size: 22px;">思科Catalyst SD-WAN控制器曝重大身分認證繞過漏洞</strong></a></p> <p>5月14日思科發布資安公告，Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage）的對等身分驗證流程存在漏洞，未經身分驗證的攻擊者可遠端繞過驗證流程，並得到系統管理權限，此漏洞登記為CVE-2026-20182，CVSS風險評為10分（滿分10分），屬重大風險等級，相當危險，而且，無論本地建置的SD-WAN環境，或是由思科代管的雲端版本都會受到影響。值得留意的是，已發現遭到利用的跡象，該公司已發布更新版完成修補，並強調沒有其他解決方法，呼籲用戶儘速更新。</p> <p><a href="https://www.ithome.com.tw/news/175836"><strong style="font-size: 22px;">CISA下令聯邦機構3天內修補思科Catalyst SD-WAN控制器重大漏洞</strong></a></p> <p>思科揭露CVE-2026-20182，此漏洞存在於Catalyst SD-WAN Controller與Catalyst SD-WAN Manager（原名SD-WAN vSmart、SD-WAN vManage），為風險值達到滿分10分的重大漏洞，當天美國網路安全暨基礎設施安全局（CISA）也發布警訊，將此漏洞列入已遭利用漏洞名冊（KEV），要求聯邦機構必須在5月17日之前完成修補。與其他列入KEV的漏洞有所不同的是，這次CISA也要求所有聯邦機構根據今年2月發布的緊急指令ED 26-03，盤點思科SD-WAN系統。</p> <p><a href="https://www.ithome.com.tw/news/175840"><strong style="font-size: 22px;">駭客組織UAT-8616積極利用思科Catalyst SD-WAN系統滿分零時差漏洞</strong></a></p> <p>思科公布重大漏洞CVE-2026-20182，並表示產品安全事件回應團隊（PSIRT）在本月發現有限度的攻擊行動，該公司威脅情報團隊Talos也公布調查結果，指出利用該漏洞的駭客組織，就是他們在2月揭露、曾經利用另一個漏洞CVE-2026-20127發動攻擊的駭客組織UAT-8616。UAT-8616在成功利用CVE-2026-20182之後，就會試圖新增SSH金鑰、竄改NETCONF組態設定，並提升至root權限。Talos提到，這些駭客發動攻擊的基礎設施，與他們密切監控的操作中繼盒（Operational Relay Box，ORB）網路環境有所交集。</p> <p><a href="https://www.ithome.com.tw/news/175845"><strong style="font-size: 22px;">今年2月修補的思科SD-WAN系統高風險漏洞，已有多組人馬用於實際攻擊</strong></a></p> <p>本週思科警告Catalyst SD-WAN Controller與Catalyst SD-WAN Manager最新資安漏洞CVE-2026-20182遭到利用，威脅情報團隊Talos透露攻擊者的身分是UAT-8616。不過，在公開上述漏洞如何遭到利用的同時，Talos也透露有人試圖利用其他已知漏洞攻擊思科SD-WAN設備的情況。Talos從今年3月至4月，掌握一系列有別於UAT-8616的駭客團體，利用今年2月下旬修補的任意檔案覆寫漏洞CVE-2026-20122、權限提升漏洞CVE-2026-20126，以及資訊洩露漏洞CVE-2026-20133（CVSS風險值為7.1、7.8、7.5），攻擊尚未修補的思科SD-WAN系統。</p> <p><a href="https://www.ithome.com.tw/news/175851"><strong style="font-size: 22px;">F5修補存在18年的Nginx重大漏洞</strong></a></p> <p><a href="/sites/default/files/images/nginx-findings-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/nginx-findings-63.jpg" style="width: 300px; float: right;" /></a></p> <p>5月13日F5發布資安公告，指出採用非同步事件驅動框架的網頁伺服器Nginx存在資安漏洞CVE-2026-42945，問題發生在ngx_http_rewrite_module元件。目前CVE-2026-42945的CVSS v4.0風險評為9.2分，影響Nginx Plus R32至R36、Nginx Open Source、Nginx Instance Manager、Nginx Ingress Controller等平臺，F5發布更新軟體修補。通報此事的AI資安公司Depthfirst透露，該漏洞是從18年前的0.6.27版引入，影響1.30.0版以前的Nginx，起因於指令碼引擎的執行採用兩個步驟，一旦指令裡的替代字串出現問號，就有可能觸發這個問題，該公司也公布概念驗證程式碼（PoC）。</p> <p><a href="https://www.ithome.com.tw/news/175850"><strong style="font-size: 22px;">Linux再爆本機提權漏洞，兩週內已經找到第三個</strong></a></p> <p>繼Copy Fail、Dirty Frag這兩個涵蓋多個Linux發行版的本機提權漏洞（LPE）揭露，5月13日又有資安研究人員揭露新的這類型漏洞，稱為Fragnesia，透過V12團隊的GitHub頁面公布利用該漏洞的概念驗證程式（PoC）、緩解與修補方式，並表示所有受Dirty Frag影響的Linux發行版都無法倖免。Fragnesia漏洞的編號被定為CVE-2026-46300，CVSS嚴重度評分為7.8，存在Linux核心的XFRM ESP-in-TCP子系統，攻擊者可濫用邏輯漏洞，在本機系統中，將任意位元組的資料寫入唯讀檔案的核心頁面快取（Kernel Page Cache），且不需任何競態條件。</p> <p><a href="https://www.ithome.com.tw/news/175852"><strong style="font-size: 22px;">美政府外包商前員工被控刪除近100個政府資料庫，詢問AI如何刪除系統記錄</strong></a></p> <p>曾任職於美國政府外包商的員工Muneeb Akhter，被控在遭到公司解聘時，趁著尚有存取權限期間將96個美國政府資料庫刪除，並企圖刪除犯罪跡證。聯邦陪審團本週裁定Sohaib Akhter與Muneeb Akhter共謀電腦詐欺、輸送密碼及其他罪名成立。Muneeb與Sohaib兩人是雙胞胎兄弟，原先任職於美國政府外包IT業者Opexus，今年2月因竊取帳密資料遭到投訴及解職，兩人憤而報復，Muneeb濫用尚未撤銷的權限，在一小時內刪除了約96個由Opexus代管的美國政府資料庫，包含與資訊自由法相關資料及屬於聯邦機構的敏感調查檔案，其中一個資料庫隸屬美國國土安全部。</p> <p><a href="https://www.ithome.com.tw/news/175818"><strong style="font-size: 22px;">英國國民保健署因AI資安疑慮，將部分GitHub公開儲存庫改設私有</strong></a></p> <p>為因應先進AI模型可能帶來的資安風險，英國國民保健署（NHS）要求技術主管暫時限制部分開放原始碼專案的公開存取權限。根據The Register報導，NHS內部指引要求：在5月11日前，相關GitHub儲存庫必須由公開狀態改設為私有；除非有明確且特殊需求，否則不應維持公開，影響的GitHub儲存庫數量達數百個。NHS England發言人表示，這只是暫時性措施，目的是在評估AI模型快速發展影響的同時，進一步強化資安；若有明確需求，NHS仍會繼續發布原始碼。</p> <p><a href="https://www.ithome.com.tw/news/175837"><strong style="font-size: 22px;">日本啟動內閣層級資安戰略檢討，因應先進AI帶來的新型防禦挑戰</strong></a></p> <p>Anthropic於4月公布Claude Mythos Preview後，引發美國、英國與加拿大等國金融監理機關的關注。這類先進AI模型若被用於攻擊情境，可能加快漏洞的發現與利用，使政府系統與金融服務等關鍵基礎設施面臨更大的防禦壓力。根據The Register報導，日本首相高市早苗於5月12日內閣會議中，指示網路安全擔當大臣松本尚與相關內閣成員採取行動，檢查政府系統是否具備偵測與修補漏洞的能力，並研擬協助關鍵基礎設施營運者強化防禦的措施。</p> <p><a href="https://www.ithome.com.tw/news/175822"><strong style="font-size: 22px;">DNSSEC簽章錯誤導致德國.de網域大規模故障，數百萬網站斷線數小時</strong></a></p> <p><a href="/sites/default/files/images/BLOG-3309_2-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/BLOG-3309_2-63.jpg" style="width: 300px; float: right;" /></a>5月5日晚間，德國頂級網域（ccTLD）「.de」發生大規模DNS異常事件，大量德國網站的網域名稱當時無法解析。根據網路服務與資安業者Cloudflare的報告指出，事件起因是德國網域管理機構DENIC發布錯誤的DNSSEC數位簽章，導致DNS伺服器的DNSSEC驗證失敗，數百萬個採用.de網域的網站同時斷線，Cloudflare隨即啟用「負向信任錨」（Negative Trust Anchors，NTA）機制緩解問題。</p> <p><a href="https://www.ithome.com.tw/news/175805"><strong style="font-size: 22px;">微軟公開自家MDASH多模型代理式AI安全系統，發現16個Windows漏洞</strong></a></p> <p><a href="/sites/default/files/images/Image-for-MDASH-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/Image-for-MDASH-63.jpg" style="width: 300px; float: right;" /></a>在Anthropic Claude Mythos及OpenAI Daybreak之後，微軟也展現以AI找漏洞的研發成果。微軟本週公開多模型代理式AI安全系統MDASH，並指出此工具讓該公司成功找出Windows網路及驗證功能的16項新漏洞。微軟將MDASH用於自家產品的漏洞掃描測試，結果在StorageDrive驅動程式找出21項微軟刻意植入的漏洞，進一步驗證也顯示零誤判。之後，5月份例行更新（Patch Tuesday）修補的Windows網路堆疊及相鄰服務漏洞中，有16個是來自MDASH的發現。</p> <p><a href="https://www.ithome.com.tw/news/175801"><strong style="font-size: 22px;">微軟將透過Windows Update遠端復原問題驅動程式，減少手動排除故障負擔</strong></a></p> <p>為了降低驅動程式更新出問題後的處理負擔，微軟5月12日宣布在Windows Update導入Cloud-Initiated Driver Recovery機制。若驅動程式在硬體開發中心（Hardware Dev Center）的發布品質審查流程（Driver Shiproom）中被判定有品質問題，微軟即可遠端啟動復原作業，移除受影響裝置上有問題的版本，並回復到先前已知可正常運作的版本，或改用可透過Windows Update取得、經核准的替代版本。這項功能適用於透過Hardware Dev Center發布驅動程式的合作夥伴。</p> <p><a href="https://www.ithome.com.tw/news/175743"><strong style="font-size: 22px;">老牌Windows診斷工具Sysinternals推出新版本，3大工具同步升級</strong></a></p> <p>常用於系統監控與資安事件分析的Windows診斷工具集Sysinternals，近日發布新版本，涵蓋系統啟動分析工具Autoruns、記憶體傾印分析工具ProcDump，以及螢幕放大與標註工具ZoomIt的更新。其中Autoruns更新至14.2版，新增對Windows套件化封裝應用程式（Windows packaged apps）的支援，提升對當前Windows應用程式新型啟動機制的解析能力。ProcDump更新至12.0版，新增透過-pt參數，以整個程序階層結構（process tree）為單位擷取記憶體dump資料，讓記憶體dump分析可以涵蓋整個應用程式的主從程序結構，不像舊版ProcDump只能針對單一程序擷取記憶體資料。</p> <p><a href="https://www.ithome.com.tw/news/175795"><strong style="font-size: 22px;">微軟修補Android版Teams漏洞，未更新可能導致偽造攻擊</strong></a></p> <p>微軟近日揭露協作平臺Teams的漏洞CVE-2026-32185，可能被攻擊者用於假冒通訊內容，誘騙用戶並進一步發動社交工程攻擊，此漏洞會影響Android版Teams，微軟已在5月份例行更新（Patch Tuesday）中釋出修補，建議用戶儘速更新。這項漏洞源自Teams的檔案與目錄存取權限控制問題，可能被外部存取，進而導致攻擊者可藉此進行偽造攻擊（spoofing），誘使用戶信任假冒的惡意通訊內容。微軟將此漏洞列為重要（Important）等級，CVSS嚴重性評分為5.5分，雖然攻擊需在本機環境進行，且需與用戶互動，但不需額外權限即可利用。</p> <p><a href="https://www.ithome.com.tw/news/175792"><strong style="font-size: 22px;">Meta推出Incognito Chat，主打AI對話完全私密</strong></a></p> <p>Meta宣布將於WhatsApp及Meta AI App推出全新的Incognito Chat隱私聊天模式，主打使用者可在完全私密的環境下與AI互動；強調相關對話會在特殊的安全環境中處理，連Meta本身也無法查看內容，而且對話預設不會保存，訊息也會自動消失。Incognito Chat是建立在WhatsApp既有的Private Processing技術之上。當使用者啟動Incognito Chat後，便會建立僅自己可見的臨時AI聊天空間，訊息會在隔離的安全環境中完成處理。</p> <p><a href="https://www.ithome.com.tw/news/175775"><strong style="font-size: 22px;">Veeam推出DataAI Command Platform，整合AI代理治理與資料復原</strong></a></p> <p>看好生成式AI與AI代理應用快速擴張帶來的資安風險管理需求，資料保護軟體供應商Veeam去年底併購資料安全態勢管理（DSPM）服務廠商Securiti AI後，便結合雙方技術，在今年2月發表AI代理應用管理平臺Agent Commander，在近期舉行VeeamON 2026大會上，Veeam又發表新的DataAI Command Platform，除了Agent Commander的AI代理管理功能外，進一步將資料保護、AI治理、身分管理與資料安全等應用，整合至新推出的DataAI Command Platform，構成統一的AI信任層。</p> <p><a href="https://www.ithome.com.tw/news/175829"><strong style="font-size: 22px;">Red Hat擴展主權雲與私有雲能力，強化資料駐留、區域支援與AI模型生命週期控管</strong></a></p> <p>開源解決方案供應商Red Hat（紅帽）宣布擴展主權雲（sovereign cloud）與私有雲（private cloud）功能，更新項目涵蓋合規自動化、隔離式部署、區域內支援與AI服務部署，回應企業在資料駐留（data residency）、法規遵循與關鍵工作負載控管等議題的需求。在法規遵循方面，主權雲與私有雲不只要求資料留在特定區域，也要求企業能持續提供安全設定與技術控制的佐證資料。</p> <p><a href="https://www.ithome.com.tw/news/175838"><strong style="font-size: 22px;">叡揚資訊延攬前總統府二局局長馬正維，強化推動數位韌性</strong></a></p> <p>迄今成立40年的臺灣軟體業者叡揚資訊，日前延攬前總統府第二局局長馬正維，擔任該公司數位韌性辦公室執行長。這項人事任命備受業界關注，不僅因為馬正維在公部門深耕逾37年，親身參與國家最高層級資安與機要管理工作，更因為他的加入，象徵臺灣民間資訊服務業在「數位韌性」議題上，正全面接軌國家戰略視野，向企業治理層次邁進。</p> <p><a href="https://www.ithome.com.tw/news/175813"><strong style="font-size: 22px;">【臺灣資安大會直擊】驅動供應鏈韌性，漢翔憑CMMC實戰經驗打造供應鏈資安評級系統</strong></a></p> <p>全球資安合規浪潮正席捲各產業，供應鏈安全亦成為最關鍵的議題，而當中最受關注的施行標準，莫過於美國國防部推動的網路安全成熟度模型認證（CMMC）2.0版。身為國防軍工指標大廠的漢翔航空工業，該公司自2016年承接F-16維修專案起，長期接受洛克希德馬丁稽核，歷經從NIST SP 800-171到現行CMMC 2.0日益嚴謹的挑戰，如今更將CMMC合規實戰經驗，建構出一套「供應鏈資訊安全評級系統」（AIxSISAS），將複雜的合規要求轉化，成為可執行、可追溯且可持續的管理機制。</p> <p><a href="https://www.ithome.com.tw/news/175847"><strong style="font-size: 22px;">【臺灣資安大會直擊】專家談跨國企業資安治理：真正難的不是技術，而是跨文化協作</strong></a></p> <p>保瑞藥業全球資安經理Jesse Ku在今年臺灣資安大會上分享他多年參與跨國企業資安治理與海外協作的經驗，他認為，企業資安最大的困難，很多時候不是技術，而是「人」。Jesse認為，資安裡面最弱的環節是人，但人同時也是做好資安最重要的因素。許多人以為跨國企業資安協作最大的問題是英文能力，實際上，語言只是第一層障礙。真正困難的，是不同文化背景下，對同一句話可能產生完全不同的解讀。這種語意解讀落差（interpretation gap），其實是跨國資安合作中非常常見，但也最容易被忽略的問題。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175803"><strong>【5月14日】Exim修補可導致任意程式碼執行的重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175765"><strong>【5月13日】鴻海驚傳遭勒索軟體Nitrogen攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175725"><strong>【5月12日】駭客首度濫用AI挖掘零時差漏洞並生成攻擊工具</strong></a></p> </div></div></div>
5/15 15:37作者周峻佑https://www.ithome.com.tw/news/175857
AI半導體業者Cerebras上市首日股價飆漲68%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國AI半導體業者Cerebras Systems週四（5/14）以CBRS為代號，登上美國那斯達克股市。<a href="https://www.cerebras.ai/press-release/cerebras-systems-announces-pricing-of-initial-public-offering" target="_blank">CBRS的發行價為185美元</a>，上市當天就上漲了68.15%，以311.07美元作收，盤後續漲至329.57美元。</p> <p>2016年於美國創立的Cerebras是家專注於AI專用硬體的半導體新創公司，其最具代表性的創新為晶圓級處理器（Wafer-Scale Engine，WSE）架構，把整片矽晶圓當作單一處理器，完全跳脫傳統GPU或CPU以多顆晶片組裝的設計邏輯，這也讓Cerebras的晶片尺寸達到Nvidia GPU的58倍。然而，該架構使得運算核心、記憶體與內部頻寬高度整合，大幅降低資料搬移延遲，特別適合大型語言模型與科學運算等高強度AI工作負載。</p> <p>近來Cerebras已分別與OpenAI、Amazon Web Services、Meta、Mistral AI、以及Windsurf建立合作。</p> <p>在此次IPO中，Cerebras以每股185美元出售3,000萬股，總計募得55.5億美元。<a href="https://www.cnbc.com/2026/05/14/cerebras-cbrs-stock-trade-nasdaq-ipo.html" target="_blank">根據CNBC的報導</a>，這是自Uber於2019年上市以來，美國科技公司IPO募資最高的一案。</p> <p>Cerebras近年營收快速成長，從2022年的2460萬美元增至2024年的2.903億美元，3年內成長超過10倍；2025年營收進一步成長76%至5.1億美元。獲利方面，Cerebras 2025年依GAAP認列淨利2.378億美元，較2024年淨損4.816億美元大幅改善；不過，若排除股票薪酬與遠期合約負債公允價值變動等項目，2025年Non-GAAP仍為淨損7570萬美元，且該年仍有1.46億美元營業虧損。</p> <p><a href="https://www.ft.com/content/4848fbef-d9af-46ee-b6ef-ad344a7a3814" target="_blank">英國金融時報</a>（Financial Times，FT）指出，Cerebras不到一年前的私募估值只有81億美元，但此次上市後的市值已接近700億美元，顯示AI基礎架構概念股仍受到市場追捧，可能進一步推高市場對OpenAI與Anthropic未來上市的期待。</p> </div></div></div>
5/15 13:42作者陳曉莉https://www.ithome.com.tw/news/175853
高達7成美國人反對在住家附近興建AI資料中心，反對比例高於核電廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國民調機構蓋洛普（Gallup）針對美國成年人進行調查，詢問他們是否支持在所居住的地區興建AI資料中心或核電廠，<a href="https://news.gallup.com/poll/709772/americans-oppose-data-centers-area.aspx" target="_blank">結果有71%的受訪者反對興建AI資料中心</a>，但只有53%反對興建核電廠。自蓋洛普於2001年起追蹤核電廠地方建設題目以來，最高的反對比例也只有63%。</p> <p>蓋洛普先是在今年3月針對約1,000名美國成年人，調查他們是否支持在居住地區興建AI資料中心與核電廠，接著在4月透過Gallup Panel，向逾2,000名受訪者詢問支持或反對AI資料中心的理由。</p> <p>AI資料中心主要用來放置支撐AI服務運作的運算設備，供企業、大學與其他機構使用。不過，這類設施通常占地廣大，營運時需要大量電力，也必須使用相當多的水來冷卻設備，因此引發外界對環境衝擊與地方電費上漲的疑慮。</p> <p>近年美國大型科技公司持續擴大AI資料中心投資，例如<a href="https://www.ithome.com.tw/news/172334" target="_blank">微軟正在</a>威斯康辛州Mount Pleasant興建Fairwater AI資料中心，Amazon則在密西西比州擴大資料中心投資，規模達250億美元；<a href="https://www.ithome.com.tw/news/167160" target="_blank">Meta也在</a>路易斯安那州Richland Parish興建該公司迄今最大資料中心，用於支援AI模型訓練。此外，OpenAI、Oracle與SoftBank的Stargate計畫，也已公布在德州Abilene、威斯康辛州Port Washington等地建設AI資料中心。</p> <p>在3月的調查中，71%的受訪者反對在居住地附近興建AI資料中心；其中48%為強烈反對，23%為有點反對，支持者則約占26%。相較之下，同次調查中反對在當地興建核電廠的比例為53%。</p> <p>4月的調查則顯示，在反對者中，有50%擔心資源問題，像是水、電的消耗，以及對環境與生態的可能影響；有22%擔心生活品質受到衝擊，例如人口增加、房地產價格變化、交通惡化，或是認為土地應作其它用途；有20%擔心生活成本上升，像是電費或其它成本的增加；有16%擔心污染；14%擔心經濟影響，如工作被AI取代；另有13%擔心AI所帶來的倫理、隱私、社交或過於依賴等問題。</p> <p>而支持者的理由則有66%認為可帶動地方經濟效益，17%認為可享受科技帶來的好處，10%相信AI有助於個人福利。</p> <p>蓋洛普指出，反對在當地興建AI資料中心的態度，橫跨不同年齡、種族、教育程度、收入與城鄉族群，這些群體的總體反對比例並沒有明顯差異。不過，若看「強烈反對」比例，民主黨支持者達56%，高於獨立選民的48%與共和黨支持者的39%；女性強烈反對比例也達55%，高於男性的43%。在地區上，中西部與南部總體反對比例較高，分別為76%與75%，東部與西部則為68%與63%。</p> </div></div></div>
5/15 14:18作者陳曉莉https://www.ithome.com.tw/news/175855
Xcode 26.5更新程式開發助理，並支援StoreKit新版訂閱測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Apple程式開發工具<strong><a href="https://developer.apple.com/documentation/xcode-release-notes/xcode-26_5-release-notes">Xcode 26.5</a></strong>納入Swift 6.3.2，以及iOS 26.5、iPadOS 26.5、watchOS 26.5、tvOS 26.5、macOS 26.5與visionOS 26.5軟體開發套件。更新重點在於程式開發助理的互動能力、StoreKit訂閱測試支援，以及多項開發、測試與效能分析工具修正。</p> <p>Xcode 26.5的程式開發助理新增訊息佇列功能，使用者可先送出多個問題或工作要求，再由系統依序處理。Apple也提到，程式開發助理中的代理功能現在能主動提出釐清問題，以便在需求不夠明確時取得更多資訊。該調整讓開發者可在同一輪操作中先排入多個請求，並在需求不明確時依助理追問補充條件，較適合分段處理開發工作。</p> <p>新版也修正程式開發助理相關問題，包括部分測試工具呼叫可能產生格式錯誤資料，以及使用Claude Code時可能出現OAuth權杖過期錯誤訊息的情況。</p> <p>Xcode內建的StoreKit Testing工具也擴充訂閱測試能力。StoreKit是Apple提供給App開發者處理App內購買與訂閱的框架，常用於付費功能、數位內容解鎖、自動續訂訂閱等情境。開發者可在StoreKit設定檔中，替自動續訂訂閱建立月繳且承諾使用12個月的計費方案，並透過Xcode的交易管理工具模擬使用者訂閱。團隊可在上架前測試較複雜的收費條件，不必等到正式環境才確認流程是否正確。</p> <p>其他修正則集中在效能分析、模擬器與測試環境。Instruments修正符號視窗搜尋欄位輸入時，每輸入一個字元就建立一個搜尋條件的問題，也修正使用Metal系統追蹤搭配GPU計數器擷取資料時，可能讓記憶體用量暴增到數十GB的情況。Simulator修正剪貼簿同步失效問題，測試工具也修正iOS 15模擬器無法執行測試的問題。</p> <p>官方也列出幾項已知限制，平行測試等情境若同時讀取多個程序的標準輸出與標準錯誤輸出，結果可能明顯延遲。Swift方面，啟用特定並行預設設定的專案，可能遇到閉包隔離判斷問題。Apple建議移除不必要的明確擷取，或改用明確標示執行隔離狀態的區域函式。Xcode 26.5支援iOS 15、tvOS 15、watchOS 8與後續版本的實機除錯，並要求Mac執行macOS Tahoe 26.2或後續版本。</p> </div></div></div>
5/15 09:03作者李建興https://www.ithome.com.tw/news/175832
行政院通過能源管理法修正草案，擬要求一定契約容量的用電大戶設置自發自用發電與儲能設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為強化電網韌性與提升能源使用效率，行政院今天(5/14)通過經濟部提出的「能源管理法」修正草案，其中一項重要方向，是針對大型用電戶新增自發自用發電與儲能設備要求。經濟部表示，希望透過修法，提升企業自主供電能力，同時降低電網負擔，未來也將要求特定用電戶提出能源管理計畫，進一步推動節能與能源治理。</p> <p>此次政院通過的「能源管理法」修正草案，增訂第10條第4項，要求達一定用電規模的用戶，需設置「自發自用」的發電設備及儲能系統。這項措施主要希望強化用電戶本身的能源韌性，在電力公司維持供電穩定之外，用戶也需具備一定程度的自主供電與調節能力。</p> <p>經濟部表示，除了提升企業自身供電能力，相關設備也可在尖峰或特殊情況下協助電網調節，對於整體供電效率與電網韌性都有幫助。尤其是近年AI資料中心、高科技製造與半導體產業用電需求快速成長下，如何分散電網壓力，已成為能源政策的重要課題。</p> <p>官員也提到，未來特定大型用電戶，還可能需提出能源管理計畫，作為節能管理與能源效率改善的依據。相關制度細節，包括適用門檻、設備容量與管理要求，後續仍將依修法授權另訂子法規範。</p> <p>此次「能源管理法」修法共涉及14項條文調整，核心方向包括行政透明化、能源效率提升，以及因應能源韌性需求。其中，大型用電戶導入自發自用與儲能設備，被視為對產業影響最大的修法內容之一。行政院通過能管法修正草案後，接下來將送立法院審議。</p> <p>經濟部認為，此次修法除可能帶動儲能與再生能源市場需求，也有助於能源技術服務（ESCO）與能源管理產業發展。</p> <p>針對這次修正草案第10條第四項規定，對於一定契約容量以上能源用戶應設置自用發電及儲能設備，經濟部強調目的在於強化我國能源用戶的能源自給能力，提升電網韌性、降低輸配線路損耗。</p> <p>在能管法第10條修正草案，針對能源用戶簽定的用電契約，其契約容量達一定容量者，需在一定期限內設置一定裝置容量以上的自用發電設備及儲能設備。增訂條文的目的是提升能源用戶，如半導體及大型資料中心等產業的能源自給能力。</p> <p>但經濟部能源署也強調，第10條的規定並沒限制特定產業，而是對於達到一定契約容量的者的規定，如果是已自建符合一定容量要求的企業並不受草案的影響，不需額外設置自發用電設備及儲能設備，修法目的在促使能源用戶提升用電自主韌性，值得注意的是，能管法也沒有要求能源用戶建置的自用發電設備須採用再生能源或是低碳能源。</p> <p>另外，此次修法也加重對於違法的處罰，未來違反能管法第10條，主管機關得限期要求改善，屆期未改善者可處以15萬到75萬元罰鍰。</p> <p data-end="143" data-start="0">隨著AI資料中心用電需求快速攀升，國際上近幾年也開始出現要求大型資料中心承擔更多能源責任的政策趨勢。特別是在歐洲與美國部分地區，由於AI運算帶來的高密度、長時間耗電特性，對既有電網形成壓力，各國監管機構逐漸從過去將資料中心視為一般大型用戶，轉向要求其具備一定程度的自主供電與電力調節能力，一方面讓業者具備一定的能源自主韌性能力，另一方面也減輕對電網的影響。</p> <p data-end="450" data-is-last-node="" data-is-only-node="" data-start="145">以愛爾蘭為例，因大量超大型資料中心集中於都柏林周邊，已要求新建資料中心須搭配發電或儲能能力的政策方向，避免新增負載完全依賴公共電網。美國也有部分的電網監管機構開始要求大型AI資料中心提出電網穩定評估，甚至將表後發電（behind-the-meter generation）納入監管架構。</p> <p data-end="450" data-is-last-node="" data-is-only-node="" data-start="145">目前在業界也逐漸形成「Bring Your Own Power（自帶電力）」的新模式，包括Meta、Oracle與xAI等業者，都開始布局天然氣發電、儲能與微電網設施，以因應AI運算快速擴張帶來的供電壓力。臺灣這次「能源管理法」修法，要求特定大型用電戶設置自發自用與儲能設備，也算是與國際AI能源治理趨勢逐步接軌。</p> </div></div></div>
5/14 15:27作者蘇文彬https://www.ithome.com.tw/news/175812
Meta推出Incognito Chat，主打AI對話完全私密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/05/incognito-chat-whatsapp-meta-ai/" target="_blank">Meta週二（5/13）宣布</a>，將於WhatsApp及Meta AI App推出全新的Incognito Chat隱私聊天模式，主打使用者可在「完全私密」的環境下與AI互動；強調相關對話會在特殊的安全環境中處理，連Meta本身也無法查看內容，而且對話預設不會保存，訊息也會自動消失。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0514-meta%20ai-960.png" style="width: 600px;" /></p> <p>Meta表示，隨著AI逐漸成為使用者獲取資訊、尋求建議的重要工具，人們也開始向AI詢問更多敏感問題，例如健康狀況、貸款、財務與職涯等，因此希望提供更高等級的隱私保護。</p> <p>Incognito Chat是建立在WhatsApp既有的Private Processing技術之上。當使用者啟動Incognito Chat後，便會建立一個僅自己可見的臨時AI聊天空間，訊息會在隔離的安全環境中完成處理。</p> <p>Meta表示，其他App雖然也有類似無痕模式，多半只是降低資料保存，或限制資料用於訓練，Incognito Chat則是在AI處理階段就採取隔離保護。</p> <p>例如OpenAI ChatGPT提供Temporary Chat模式，仍可能為安全目的保留最多30天；Google Gemini也允許使用者關閉對話紀錄，但相關對話仍可能保存最多72小時，以維持服務與處理回饋。</p> <p>Meta也預告，未來幾個月將推出Sidechat功能，可在不干擾主要聊天的情況下，讓Meta AI理解WhatsApp聊天脈絡並提供協助，且同樣採用Private Processing架構。</p> </div></div></div>
5/14 12:06作者陳曉莉https://www.ithome.com.tw/news/175792
Arm財報創新高，押注AGI CPU擴大雲端市占
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>英國晶片設計公司<a href="https://newsroom.arm.com/news/arm-q4-fye26-results" target="_blank">Arm週三（5/6）公布</a>截至3月31日的2026財年第四季財報，該季Arm創下14.9億美元的營收，成長20%。該季Arm淨收入為3.13億美元，每股盈餘0.29美元，高於去年同期的0.2美元。當天Arm股價上漲了13.63%，以237.3美元作收。</p> <p>在14.9億美元的營收中，有8.2億美元來自於授權費，成長了29%，另外的6.7億美元為權利金，成長11%。</p> <p>原本主要提供處理器架構及設計IP的<a href="https://www.ithome.com.tw/news/174667" target="_blank">Arm在今年3月發表</a>了首款自行研發的資料中心處理器Arm AGI CPU，雖然此次財報尚未反映Arm AGI CPU的實際營收貢獻，但Arm在財報公告中以相當篇幅說明該處理器的市場需求、合作夥伴與雲端AI布局，顯示Arm已將其視為下一階段資料中心業務的成長重點。</p> <p>Arm表示，AGI CPU是該公司專為代理式AI所設計的產品，且是出自於客戶的明確需求，共同開發者為Meta，相較於基於x86的平臺，Arm AGI CPU每個機架的效能可提升兩倍以上。而客戶在2027財年（2026年4月到2027年3月）與2028財年對Arm AGI CPU的採購總額已超過20億美元，為Arm最初預期的兩倍以上。</p> <p>事實上，目前在主要超大規模雲端業者中，Arm架構CPU已約占CPU運算的50%；Amazon、Google與Nvidia也已在AI加速器系統中採用Arm架構CPU，以用來協調GPU、TPU等加速器的運作，顯示Arm已先在雲端與AI伺服器市場建立基礎，再進一步推出自有CPU產品擴大資料中心布局。</p> </div></div></div>
5/7 11:08作者陳曉莉https://www.ithome.com.tw/news/175602
Telegram Mini Apps遭濫用於假冒服務詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者CTM360<a href="https://www.ctm360.com/reports/femitbot-telegram-mini-apps-fraud-campaigns">發布資安研究報告</a>，揭露名為FEMITBOT的詐騙基礎架構。攻擊者濫用Telegram Mini Apps與Telegram Bot，在Telegram內建立假冒加密貨幣、金融、AI、串流媒體與加密貨幣挖礦池的互動頁面，誘導使用者投入資金，部分網站還會提供Android APK檔案散布惡意程式。</p> <p>研究人員指出，Telegram Mini Apps是Telegram內的輕量化網頁應用，可支援登入、付款與互動功能。攻擊者利用這種不必離開Telegram的使用體驗，透過機器人（Bot）誘導使用者啟動Mini App，再於Telegram內建WebView載入攻擊者控制的網站，使假冒服務看起來像是在Telegram內正常執行。</p> <p>CTM360將這套基礎架構命名為FEMITBOT，原因是研究人員在多個相關網域與Telegram Mini Apps中，發現一致的API回應內容「Welcome to join the FEMITBOT platform」。研究人員推測，不同的詐騙活動可能共用同一套後端架構，而非彼此獨立的釣魚網站。</p> <p>FEMITBOT的運作方式偏向模組化部署，相關基礎架構包含60個以上仍回應有效JSON的活躍網域、146個以上Telegram Bot、15個以上視覺模板、25個以上JavaScript程式碼包、100多組廣告追蹤碼識別碼，並涉及30個以上遭冒用品牌，包括BBC、Netflix、Binance、OKX、Nvidia與Circle等品牌或服務名稱。</p> <p>FEMITBOT攻擊流程通常從社群廣告、Telegram邀請或被動收入話術開始，當被害者進入Bot後，Mini App會載入假平臺頁面，前端再依後端設定套用不同品牌外觀。頁面會顯示假的即時收益、挖礦速度或限時名額，當受害者嘗試提領這些虛假收益時，再要求以小額首次存款啟用帳號，或完成邀請他人的社交任務。</p> <p>FEMITBOT相關活動整合Meta與TikTok的廣告追蹤碼，用來記錄頁面瀏覽、註冊、首次存款或再次存款等事件，攻擊者會利用這些資料，衡量不同誘導頁面與流量來源的成效，並調整詐騙流程。</p> <p>研究人員發現部分網站含有控制顯示App下載功能的旗標，啟用後，網站會提供Android APK檔案，誘導使用者側載安裝，而這些APK的檔名會設計成類似合法應用，或採用不易引起懷疑的隨機名稱，並託管在與API相同的網域，以維持TLS憑證有效，避免瀏覽器出現混合內容警告。</p> </div></div></div>
5/6 15:50作者李建興https://www.ithome.com.tw/news/175588
思科開源AI模型溯源工具，提供辨識模型血緣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>防範第三方AI模型帶來的供應鏈安全問題，<a href="https://blogs.cisco.com/ai/model-provenance-kit" target="_blank">思科近日開源模型溯源工具組</a>（Model Provenance Kit），供企業辨識模型來源，以避免模型身份不明，引發版權或其他安全及合規疑慮。</p> <p>AI應用當道，許多企業使用從Hugging Face上下載的第三方AI模型，經微調後用於開發AI應用。這些模型往往缺乏變更紀錄，無從追蹤模型開發過程做了哪些修改。使用這些模型可能的風險包括模型有漏洞或遭下毒、或是因模型系譜關係不明造成資安回應盲點、欠缺模型來源可能引發版權問題。而且缺少訓練資料、模型訓練方法及風險評估文件的模型，也無法滿足歐盟AI法規（AI Act）的法規。</p> <p>思科說明現有模型紀錄法的不足。Meta、阿里巴巴、DeepSeek和Mistral等主要業者使用相同建構元素如分組查詢注意力（grouped-query attention）、旋轉位置嵌入（rotary positional embeddings）、和均方根標準化（Root Mean Square Normalization，RMSNorm）等，雖然有配置檔可描述這些架構，但無法說明模型是否為獨立訓練或是從其他模型複製來的。思科開源其自有使用的AI模型溯源工具組<a href="https://github.com/cisco-ai-defense/model-provenance-kit" target="_blank">Model Provenance Kit</a>，旨在解決上述疑慮。</p> <p>其Model Provenance Kit為一個Python工具包和指令行介面（CLI），能以分層策略分析架構metadata、標記器（tokenizer）結構及其權重，判斷兩個模型是否有相同的來源，第一步先快速檢查結構，若光是metadata無法判斷，再深入到權重層分析。</p> <p>在第一階段中，這工具會比較模型的配置（config）文件及結構metadata。若架構規格完全不同可以判定為不相關，若架構相同則進入第二階段深度分析。在權重分析中，它會從模型權重擷取出5種訊號或指紋，並將其加權整合成一個最終系譜（lineage）分數。這個工具會使用兩種比對模式，在比較模式（compare mode）中需輸入二個模型，可判斷其中一模型是否由抄襲、微調另一模型而生。在掃描模式（scan mode），則輸入一個模型，由系統比對資料庫的模型指紋判斷可能的來源模型。</p> <p>思科運用111組模型對（model pairs）做了一個系統性的基準測試，驗證Model Provenance Kit準確判斷兩個模型血緣關係的能力。跑分結果證明Model Provenance Kit能準確追出模型來源，又不會把「長得像」的模型誤認為同一血統，具備實務上可用的模型鑑識能力。</p> <p>配合這個溯源工具，思科也發布第一版<a href="https://huggingface.co/datasets/cisco-ai/model-provenance-kit" target="_blank">指紋資料庫</a>，涵括20多家發布業者、超過45個家族的近150個基礎模型，模型規模由1.35億到超過700億個參數，提供比對基準。</p> </div></div></div>
5/4 12:23作者林妍溱https://www.ithome.com.tw/news/175502
Meta買下專門開發機器人AI模型的Assured Robot Intelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>機器人AI模型新創Assured Robot Intelligence（ARI）共同創辦人<a href="https://x.com/LerrelPinto/status/2050297929294885270" target="_blank">Lerrel Pinto</a>及<a href="https://x.com/xiaolonw/status/2050298370842132680" target="_blank">Xiaolong Wang</a>上週證實，已將ARI出售給Meta，加入Meta的超級智慧實驗室（Meta Superintelligence Labs，MSL）。此一併購應已完成，但雙方並未透露交易金額。</p> <p>Pinto為機器人專家，曾共同創辦人形機器人公司Fauna Robotics，Fauna Robotics已於2026年3月賣給了Amazon；Wang則曾為Nvidia的研究員，負責打造基礎模型，兩人在2025年共同創辦ARI，專門開發應用於人形機器人的AI模型，以讓機器人得以理解、預測及適應複雜環境的人類行為。</p> <p>Pinto表示，過去一年來該公司的目標是替人形機器人打造符合產業標準的AI系統，其技術堆疊是建立在人類的經驗之上，並將這些經驗濃縮為可操作的Token，以快速導入至真實世界的硬體上。ARI下週就會加入MSL，繼續推動最先進的機器人模型，讓個人超級智慧得以延伸到實體世界，讓AI從「能思考及對話」轉為可於現實世界中可靠協助人類的行動型AI。</p> <p>至於Wang則說，ARI的使命是實現實體通用AI，相信這個代理人將會是人形，其規模化將來自直接向人類經驗學習，而不僅是依賴遠端遙控，Meta的生態體系整合了實現此一願景所需的關鍵要素。</p> <p>不過，Assured Robot Intelligence<a href="https://www.arirobots.com/" target="_blank">的官網上</a>只有商業與招聘聯繫方式，並未揭露ARI的技術、規畫或產品，網際網路檔案館（Internet Archive）在這一年來的幾次存檔也都只出現同樣的簡單內容。</p> <p>Meta的AI長、負責領導MSL的汪滔（Alexandr Wang）則<a href="https://x.com/alexandr_wang/status/2050305805455700378" target="_blank">透過X</a>歡迎ARI團隊加入Meta。</p> </div></div></div>
5/4 11:54作者陳曉莉https://www.ithome.com.tw/news/175496
蘋果App Store驚見假錢包，FakeWallet攻擊竊取助記詞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者<a href="https://securelist.com/fakewallet-cryptostealer-ios-app-store/119474/" target="_blank">Kaspersky近日揭露</a>，一波名為FakeWallet的攻擊行動已滲透蘋果App Store，出現至少26款偽裝成主流加密貨幣錢包的應用程式。這些App表面看似正常，但實際上會將使用者導向仿冒下載頁，誘導安裝被植入惡意程式的錢包，或透過釣魚介面騙取助記詞（Recovery Phrase）與私鑰，進而竊取加密資產。</p> <p>這波攻擊主要出現在中國區App Store。Kaspersky已發現至少26款釣魚應用偽裝成主流加密貨幣錢包。由於多數官方錢包無法在中國區App Store上架（特別是Apple ID設為中國地區的用戶），使駭客得以利用此情境，上架名稱與圖示與官方錢包高度相似的假App，並宣稱官方版本無法取得，誘導使用者轉往其他管道下載，進而展開後續攻擊。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0501-FakeWallet1-600-1.png" style="width: 600px;" /></p> <p>上述釣魚應用主要模仿多款主流加密貨幣錢包，包括MetaMask、Ledger Live、Trust Wallet、Coinbase旗下錢包，以及TokenPocket、imToken與Bitpie等，透過使用與官方高度相似的圖示、名稱（甚至刻意拼錯字），並搭配看似正常的介面或功能，增加使用者誤信與下載的機率。</p> <p>這些假錢包App多半只是入口，開啟後會將使用者導向仿冒頁面，誘導下載被植入惡意程式的錢包，或直接要求輸入助記詞。當使用者建立或匯入錢包時，助記詞就會被攔截並傳送給攻擊者，進而取得錢包控制權並竊取資產；部分針對硬體錢包的攻擊，則會偽裝成「安全驗證」畫面，誘騙使用者自行輸入助記詞。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0501-Phishing%20window%20for%20seed%20phrase%20verification.png" style="width: 462px;" /></p> <p>研究發現，這類攻擊並非單一手法，部分樣本是透過植入惡意程式庫或竄改原始碼，在應用執行過程中攔截助記詞，亦有版本會利用iOS描述檔機制，繞過App Store安裝限制，將受感染的錢包直接安裝至裝置中，增加偵測與防範難度。</p> <p>在攻擊來源方面，Kaspersky指出，FakeWallet行動可能與另一已知惡意程式SparkKitty存在關聯。研究人員在部分樣本中發現同時包含兩者模組，且程式內部出現中文註解與紀錄訊息，顯示開發者可能為中文母語者。不過，目前尚無法確認這些攻擊是否出自同一駭客組織。</p> <p>值得注意的是，儘管本次攻擊主要以中國市場為目標，但惡意模組本身並未設有地區限制，且部分釣魚介面可依語言自動調整，意味著該手法具備擴散至其他市場的能力。</p> </div></div></div>
5/1 15:20作者陳曉莉https://www.ithome.com.tw/news/175477
Amazon財報出爐，AWS成長28%，創15季新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ir.aboutamazon.com/news-release/news-release-details/2026/Amazon-com-Announces-First-Quarter-Results/default.aspx" target="_blank">Amazon週三（4/29）公布</a>截至3月31日的2026年第一季財報，該季營收達1,815億美元，年增17%，營業利潤為239億美元，高於去年同期的184億美元。受AI投資與業務擴張帶動，淨利達303億美元，每股盈餘為2.78美元。</p> <p>在1,815億美元營收中，北美市場為1,041億美元，成長12%；國際市場為398億美元，成長19%；AWS為376億美元，成長28%。其中AWS成長速度為近15季以來最快，顯示企業對雲端與AI運算需求持續攀升。</p> <p>在營業利潤上，AWS貢獻141億美元，仍為主要獲利來源；北美市場為83億美元，國際市場則為14億美元。整體營業利潤年增30%，反映規模經濟與高毛利雲端業務的帶動。</p> <p>Amazon指出，過去12個月自由現金流降至12億美元，主要因AI基礎設施投資大幅增加，包括資料中心與自研晶片。公司透露，其Trainium、Graviton與Nitro晶片業務年化營收已突破200億美元，且呈現3位數成長。</p> <p>在AI布局上，Amazon持續強化Amazon Bedrock與代理人能力，推出Managed Agents與AgentCore等服務，並與<a href="https://www.ithome.com.tw/news/175395" target="_blank">OpenAI</a>、<a href="https://www.ithome.com.tw/news/175195" target="_blank">Anthropic</a>、<a href="https://www.ithome.com.tw/news/175317" target="_blank">Meta</a>等業者合作，擴大AI模型供應與雲端運算基礎設施布局。</p> <p>Amazon過去12個月資本支出達1,510億美元，較前一年增加約593億美元，主要投入AI基礎設施。</p> </div></div></div>
4/30 14:19作者陳曉莉https://www.ithome.com.tw/news/175453
Meta營收成長33%，AI資本支出上調至1450億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://investor.atmeta.com/investor-news/press-release-details/2026/Meta-Reports-First-Quarter-2026-Results/default.aspx" target="_blank">Meta週三（4/29）公布</a>2026年第一季財報，該季Meta創下563.11億美元的營收，比去年同期成長33%，淨收入為268億美元，成長61%，每股盈餘為10.44美元。當天Meta亦將2026年的資本支出從原本預測的1,150~1,350億美元，調高至1,250~1,450億美元。財報出爐後，Meta盤後股價下滑6.37%，跌至626.5美元。</p> <p>在563.11億美元的營收中，有550.24億美元來自程式家族（Family of Apps）廣告，占了Meta總營收的97.7%，而Reality Labs營收則是4.02億美元，程式家族另有8.85億美元為非廣告收入。整體而言，程式家族的營業收入為269億美元，Reality Labs則虧損了40.3億美元。</p> <p>Reality Labs去年同期的收入跟虧損都與今年相去不遠。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）<a href="https://s21.q4cdn.com/399680738/files/doc_financials/2026/q1/META-Q1-2026-Prepared-Remarks.pdf" target="_blank">在財報會議中表示</a>，全球每天有超過35億人使用Family of Apps的其中一款程式，儘管因為伊朗網路中斷，以及俄羅斯的封鎖措施，使得Family of Apps的每日使用量略顯下滑，但此外，所有應用程式的使用狀況都十分良好。</p> <p>祖克柏亦多次提到由超級智慧實驗室（Meta Superintelligence Labs，MSL）所打造的首款AI模型<a href="https://www.ithome.com.tw/news/174932" target="_blank">Muse Spark</a>，指出Meta的目標不僅是讓使用者把Meta AI當作助手，更要打造出能夠理解用戶目標、持續協助用戶實現這些目標的智慧助手。</p> <p>至於微幅提高今年資本支出的預估主要是為了反映今年零組件成本的上升，小部分是為了因應算力需求增加所需的資料中心建置成本。</p> </div></div></div>
4/30 11:44作者陳曉莉https://www.ithome.com.tw/news/175447
澳洲新法擬以徵稅為手段，催Google、Meta、TikTok支付新聞網站授權費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.pm.gov.au/media/consultation-news-bargaining-incentive-now-open" target="_blank">澳洲本週公布新法案</a>，促使Google、Meta和TikTok等大型社群媒體或網路服務業者和新聞媒體議價內容授權費，否則就要支付稅收。</p> <p>新法案名為新聞媒體議價倡議（News Media Bargaining Incentive，NBI）。NBI法草案旨在修補舊有《新聞媒體議價法（News Media Bargaining Code）》的漏洞，尤其是數位巨頭拒絕與本地媒體協議付費的問題。</p> <p>新版法案適用於在澳洲年營收超過2.5億澳幣（約1.8億美元）的大型社群媒體或搜尋引擎服務供應商。初步鎖定Meta（Facebook/Instagram）、Google及TikTok。根據法案，若大型平臺未與澳洲本地新聞機構達成付費協議，政府將對其在澳洲的總營收課徵2.25%的稅款。若數位平臺選擇繳稅，這筆資金將由政府徵收，根據媒體雇用記者數量發放給媒體。他們如果與本地新聞機構簽署授權協議並支付費用，則可以用於抵減2.25%的稅額。</p> <p>2021年的法案強制數位平臺（如Google、Meta）必須為其平臺上顯示的新聞內容支付費用給媒體公司，並和當地新聞機構議價。但反對本案的Meta一度從Facebook平臺上撤下澳洲媒體新聞以避免支付費用。新草案下即便平臺移除新聞連結，只要其營收與用戶規模達到門檻都將繳稅，以防止其重施故技。澳洲政府估計，新法案如果上路，一年能徵收2.5億澳幣。</p> <p>Meta和Google雙雙反對新法案。<a href="https://www.theguardian.com/australia-news/2026/apr/28/albanese-tech-companies-australian-media" target="_blank">Guardian</a>引述Meta發言人指出，澳洲媒體是因為收費而自願貼文在其平臺，新法要求Meta對沒有顯示的本地新聞付費，無異是由政府強制徵稅的「數位稅」。</p> <p>Google則說目前該公司已向90家新聞機構及220多家網站支付費用，新法沒有改革必要，且澳洲政府也誤解了新聞業生存危機來自線上廣告的版圖移轉，此外，Google也批評新法只要求傳統數位平臺，而遺漏了AI平臺如微軟、OpenAI及Snapchat等對新聞內容的掠奪。</p> <p>新法案從本週起1個月接受各方討論，預計在7月2日提交國會審議。</p> </div></div></div>
4/30 11:16作者林妍溱https://www.ithome.com.tw/news/175445
資策會MIC：AI資料中心擴展瓶頸從算力轉向電力與散熱，基礎設施正面臨轉型變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著AI模型規模持續擴張，資料中心的競爭焦點正出現根本轉變。資策會MIC產業分析師郭思偉指出，過去以算力為核心的發展模式，正逐步轉為電力供應與散熱能力的瓶頸。從晶片功耗飆升，到機櫃、機房、電網層級的連鎖壓力，AI資料中心正迎接新的電力與散熱管理挑戰。</p> <p><span style="color:#B22222;"><strong>AI伺服器功耗飆升，資料中心面臨基礎設施極限</strong></span></p> <p>郭思偉指出，近十年GPU與AI伺服器的功耗大幅上升，單一晶片從400瓦、700瓦到1,200瓦，這意味著不只是伺服器、機櫃設計改變，連帶衝擊整體資料中心的電力與散熱架構。</p> <p>這使得問題不再限於單一機櫃，而擴及整棟建築乃至區域電網。當電力需求與熱排放同步增加，資料中心營運者必須同時解決「如何供電」與「如何散熱」兩大難題。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-29%20%E4%B8%8B%E5%8D%886_01_28.jpeg" style="width: 600px; height: 480px;" /></p> <p>舉例而言，在1U機架高度內，若晶片功耗在350瓦以內尚可使用氣冷，而超過此限制就必須使用水冷或液冷。由於資料中心的空間有限，不能因為散熱而減少機器密度，如何在有限空間內輸入更多電力並有效排熱成為關鍵。</p> <p><span style="color:#B22222;"><strong>高壓、穩定供電成趨勢，傳統48V架構面臨淘汰</strong></span></p> <p>由於模型訓練需要使用大量記憶體，模型訓練需要較長時間，在電源轉換或負載變動時若供電不及，可能導致訓練數月的模型毀於一旦，因此Nvidia建議高階AI伺服器需配備BBU(Battery Backup Unit)，高階系統配備BBU逐漸成為標配，目前BBU有2種方式，採用鋰電池或超電容，前者電量較大，但使用壽命較短，後者的電量較小，但比較耐用。</p> <p>另外，在電力架構上，傳統48V直流供電已難以支撐高功耗AI負載。郭思偉指出，隨著單一機櫃功率從過去10kW、30kW，提升至未來可能上看100kW甚至更高，業界正轉向高壓直流（HVDC）架構。</p> <p>郭思偉指出，目前HDVC有2派的技術路線主張，一派是微軟和Meta主張的正負400V，可延用現今較成熟的電動車零件，另一派則是Nvidia去年倡議的800V系統，效率較佳，但目前僅有少數電動跑車採用，仍在驗證階段，預期2025年至2026年將完成驗證，2027年前後有機會成為主流標準。</p> <p>除了HVDC，固態變壓器 (SST)因為體積更小、效率更高的優勢，預計將取代傳統大型線圈變壓器，改善精準的電力調度。</p> <p><span style="color:#B22222;"><strong>備援電力與供電模式全面重構</strong></span></p> <p>在供電架構轉型之外，備援電力系統也面臨變革。傳統UPS使用鉛酸電池與柴油發電機，因環保與碳排壓力逐漸被淘汰，取而代之的是鋰電池、儲能系統（BESS）及燃料電池等方案。目前已有UPS採用鋰電池，但相對的容易有燃燒爆炸風險，去年南韓政府的資料中心即因鋰電池管理不當造成資料中心火災，進而曝露南韓政府資料備份不足的問題。</p> <p>同時，資料中心業者也開始探索新的供電模式，例如「Behind-the-Meter」，直接從發電端供電給資料中心，以降低對既有電網的依賴。國外已有資料中心案例，直接採用自建發電設備，確保電力供應不受限制，另外，Amazon直接購買核電廠旁的土地建設資料中心，跳過脆弱的公共電網。</p> <p>郭思偉指出，這反映出電網建設速度難以跟上AI發展需求。</p> <p><span style="color:#B22222;"><strong>核能與再生能源成為長期解方</strong></span></p> <p>在能源來源上，郭思偉表示，目前業界尋求低碳能源解方，包括再生能源、氫能與核能，其中小型模組化核電（SMR）被視為兼具穩定供電與低碳排的潛力選項。</p> <p>此外，大型科技業者已開始透過長期購電協議（PPA）提前鎖定未來電力來源，確保AI資料中心的能源供應穩定。</p> <p><span style="color:#B22222;"><strong>液冷成主流，但仍處於過渡期</strong></span></p> <p>在散熱方面，傳統空氣冷卻已接近極限。郭思偉指出，空冷大致僅能支撐每機櫃約10kW至80kW的熱負載，無法滿足高階AI運算需求，這使得液冷快速崛起。</p> <p>目前主流為直接液冷（Direct-to-Chip），並持續導入微流道等技術提升效率。浸沒式冷卻雖具更高的散熱能力，但是因維護與成本問題，短期內仍難全面普及。</p> <p>值得一提的是，冷卻液也出現變革，過去常用的氟化液因環境疑慮正逐步退出市場，替代方案尚未確定，化工與材料業者積極投入競爭。</p> <p>郭思偉強調，短期內液冷仍將和氣冷並存，原因是液冷初期成本高，且需要基礎設施配合；短期間內，業者多採取能用氣冷的做法，以兼顧成本與市場接受度。但是液冷也在管線標準、漏水防護與維運機制等問題上已有改善，導入障礙正逐步降低。</p> <p><span style="color:#B22222;"><strong>用水也是問題</strong></span></p> <p>除了電力之外，資料中心也成「用水怪獸」，散熱也帶來水資源問題。資料中心大量用水進行冷卻，已在部分地區引發民眾關切。</p> <p>對此，目前業界已發展多種解法，包括水下資料中心，引用海水冷卻，或是將資料中心鄰近水源，設置於河邊，方便取水冷卻、建置封閉式水循環系統，甚至透過空氣取水技術降低對自來水的依賴。</p> <p><img alt="" src="/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-04-29%20%E4%B8%8B%E5%8D%885_53_54.jpeg" style="width: 508px; height: 386px;" /></p> <p>郭思偉指出，臺灣業者在液冷與電源供應鏈已具備完整布局，涵蓋水冷板、接頭、管線與CDU等關鍵元件。</p> <p>隨著BBU可望成為高階AI伺服器標配，帶動電源廠與電池廠之間的合作，台廠在模組整合能力上具優勢，有望在新一波架構升級中受惠。另外，在高壓供電（800V）標準上，已有多家台廠參與國際聯盟，提前卡位未來規格制定。</p> <p>郭思偉認為，AI資料中心正從單純的算力競賽，轉向電力與能源效率的競爭。當電網、能源與散熱能力成為限制因素，誰能有效解決這些問題，將是下一階段產業競爭的關鍵。</p> <p>AI發展不只是晶片與模型的問題，也是一場涵蓋能源、基礎建設與供應鏈的新競局。</p> </div></div></div>
4/29 18:08作者蘇文彬https://www.ithome.com.tw/news/175418
OpenAI模型、Codex在AWS上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI與Amazon Web Services（AWS）週二（4/28）<a href="https://www.aboutamazon.com/news/aws/bedrock-openai-models" target="_blank">宣布擴大合作</a>，OpenAI的頂級AI模型及AI開發助理Codex，將登上AWS成為服務陣容之一。</p> <p>其中，OpenAI最新模型將首次在Amazon Bedrock模型平臺提供，供用戶存取、微調和協同，成為繼Anthropic、Meta、Mistral、Cohere、Amazon等後，最新的模型供應商。OpenAI程式撰寫代理人Codex也同樣在Amazon Bedrock上架。</p> <p>此外，AWS推出了以OpenAI模型為基礎的Amazon Bedrock Managed Agents及Bedrock AgentCore。Amazon Bedrock Managed Agents是以OpenAI模型及OpenAI harness代理人功能為核心，以AWS為基礎架構，幫助企業更快開發代理人，可執行、推理或長期運行的任務。Bedrock AgentCore則是輔助性的代理人開發管理平臺，提供智慧記憶體、閘道加速、授權政策執行、工具發現、觀察評估等工具，協助建置、部署和監控Bedrock Managed Agent。</p> <p>包括OpenAI模型、OpenAI Codex到Bedrock Managed Agents等目前皆以限量預覽版形式上線。</p> <p>最新宣布是繼<a href="https://openai.com/index/amazon-partnership/" target="_blank">二月間</a>AWS和OpenAI合作的最新成果。在兩者合作下，Amazon將投資OpenAI 500億美元，OpenAI將使用AWS Trainium運算容量執行Stateful Runtime Environment、Frontier等AI工作負載。兩家公司也將合作開發自訂模型，支援AWS的AI應用。</p> <p>上週OpenAI與微軟宣布<a href="https://www.ithome.com.tw/news/175339" target="_blank">調整</a>合作協議，微軟不再是OpenAI智財的獨家授權對象，讓OpenAI得以自由和其他業者合作，免除對OpenAI的官司威脅。</p> </div></div></div>
4/29 11:27作者林妍溱https://www.ithome.com.tw/news/175395
【資安日報】4月28日，資安院宣布第二屆漏洞獵捕活動，為公務機關最常使用的軟體抓漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/175329"><strong style="font-size: 22px;">資安院首屆漏洞獵捕活動發現20個硬體產品漏洞，今年第二屆活動開放AI工具挖掘軟體漏洞</strong></a></p> <p>為鼓勵國內業者重視產品資安，數發部資安院在去年12月舉辦首屆漏洞獵捕（Bug Bounty）活動，邀請研華、威強電等11家業者參加，超過20項產品參與，共有179名資安研究人員參與，發現約20個漏洞，資安院為引導資安社群與產業建立機制，預告今年第四季將舉辦第二屆漏洞獵捕活動，鼓勵研究人員使用AI工具輔助，以增加找到漏洞的機會，針對的產品也從首屆活動以硬體、網通產品為主，第二屆活動將以公務機關使用最多的軟體產品為對象。</p> <p><a href="https://www.ithome.com.tw/news/175338"><strong style="font-size: 22px;">Checkmarx證實GitHub資料遭駭客團體Lapsus$流入暗網</strong></a></p> <p>4月22日資安公司Checkmarx發生供應鏈攻擊，VS Code延伸套件與掃描工具KICS的Docker映像檔被入侵，後續調查結果出現新的進展，4月26日Checkmarx公布新的調查結果，他們在第三方鑑識公司的協助下進行調查，有網路犯罪團體將該公司的資料於暗網公開。根據相關證據，這些資料來自Checkmarx的GitHub儲存庫。隔天Checkmarx發布新的內容，表示這是源自Trivy供應鏈攻擊的事故，該公司研判，攻擊者藉此取得憑證，而能夠未經授權存取他們的GitHub儲存庫，並以此發布惡意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/175340"><strong style="font-size: 22px;">蠕蟲程式GlassWorm透過73個VS Code延伸套件潛伏於Open VSX儲存庫</strong></a></p> <p>資安公司Socket指出，他們在3月於Open VSX發現73個惡意VS Code延伸套件，這些套件大部分看起來無害，但有6個已顯露真正的意圖，被用來傳送GlassWorm。該公司指出，這些惡意套件與今年3月揭露（1月發現）的活動有關，並遵循近期GlassWorm的攻擊模式，那就是惡意套件本身最初發布時，都不會出現明顯的有效酬載，之後駭客再透過延伸套件的更新機制傳遞惡意軟體。</p> <p><a href="https://www.ithome.com.tw/news/175341"><strong style="font-size: 22px;">RPC零時差漏洞PhantomRPC可被用於提升權限</strong></a></p> <p><a href="/sites/default/files/images/phantomrpc16-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/phantomrpc16-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司卡巴斯基近日公布零時差漏洞PhantomRPC，此漏洞與Windows作業系統的遠端程序呼叫（RPC）有關，攻擊者有機會以此提升本機權限至SYSTEM，所有版本的Windows作業系統都可能受影響。由於該弱點源自系統架構的弱點，潛在的攻擊手法近乎無限多種，原因是只要透過任何RPC的處理程序或服務，都有可能引入一種權限提升的路徑而觸發漏洞。</p> <p><a href="https://www.ithome.com.tw/news/175353"><strong style="font-size: 22px;">Linux作業系統套件管理器存在資安漏洞Pack2TheRoot，攻擊者能取得root權限</strong></a></p> <p><a href="/sites/default/files/images/581941838-9a7ce174-85d9-42b8-95ac-5407a26219ba-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/581941838-9a7ce174-85d9-42b8-95ac-5407a26219ba-63.jpg" style="width: 300px; float: right;" /></a></p> <p>德國電信公司Deutsche Telekom紅隊團隊近日公布高風險資安漏洞Pack2TheRoot，此漏洞存在於套件管理工具PackageKit的處理程序，影響Ubuntu、Debian、Fedora等多個Linux發行版，非特權攻擊者可在未經授權的情況下，安裝或移除系統套件，而有機會取得受害主機的root權限，或是透過其他管道入侵受害電腦。此漏洞被登記為CVE-2026-41651，CVSS風險評為8.8分，屬高風險等級，PackageKit開發團隊獲報後發布1.3.5版予以修補。</p> <p><a href="https://www.ithome.com.tw/news/175315"><strong style="font-size: 22px;">Linux惡意軟體GoGra濫用Microsoft Graph API隱匿活動蹤跡</strong></a></p> <p>賽門鐵克與Carbon Black威脅獵捕團隊發現，APT駭客組織Harvester近期開發了Linux後門程式GoGra，此惡意軟體具備高度迴避偵測的能力，利用微軟Graph API與電子郵件信箱服務Outlook建立C2通訊，疑似打算在印度與阿富汗從事網路間諜活動。由於此駭客組織的活動最早可溯到2021年，當時使用後門程式Graphon攻擊Windows電腦，GoGra的出現，代表Harvester採取跨平臺攻擊的策略。</p> <p><a href="https://www.ithome.com.tw/news/175324"><strong style="font-size: 22px;">中國駭客Tropic Trooper鎖定臺灣、日本、韓國，透過Adaptix C2與VS Code隧道控制受害電腦</strong></a></p> <p><a href="/sites/default/files/images/tropic_trooper_figure_1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/tropic_trooper_figure_1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Zscaler於3月12日發現鎖定臺灣使用者發動攻擊的惡意ZIP檔，該項行動由Tropic Trooper發起，並使用軍事相關的誘餌發動多階段攻擊，他們竄改PDF檢視器SumatraPDF的二進位檔案，用來部署AdaptixC2的Beacon代理程式，最終目的是下載與部署Visual Studio Code（VS Code）隧道。根據分析的結果，這些駭客的主要目標是使用中文的臺灣用戶，不過也有日本與韓國用戶受害。</p> <p><a href="https://www.ithome.com.tw/news/175325"><strong style="font-size: 22px;">中國駭客GopherWhisper鎖定蒙古，利用多種雲端服務從事網路間諜活動</strong></a></p> <p><a href="/sites/default/files/images/GopherWhisper-1-63.jpg" target="_blank"><img alt="" src="/sites/default/files/images/GopherWhisper-1-63.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司ESET揭露中國駭客GopherWhisper，這些駭客使用多種以Go語言撰寫而成的工具於蒙古某個政府機構部署並執行各種後門程式LaxGopher、RatGopher、SSLORDoor與BoxOfFriends，這些駭客也濫用Discord、Slack、Microsoft 365 Outlook，以及雲端檔案共享服務file.io等合法服務，進行C2通訊與資料外洩。</p> <p><a href="https://www.ithome.com.tw/news/175360"><strong style="font-size: 22px;">醫療設備製造商美敦力資料外洩，駭客聲稱竊取逾900萬筆個資</strong></a></p> <p>4月24日醫療器材大廠美敦力（Medtronic）發出聲明，證實資訊系統的資料遭到未經授權的第三方存取，事發後該公司立刻採取遏止措施、啟動事件應變程序，並找出疑似被存取的個人資訊。不過，該公司強調，這起事故對於他們的產品、病人安全、與客戶的連結、製造與分銷、財務報告系統未受到影響，也不影響他們因應病人需求的能力。資安新聞網站Bleeping Computer指出，聲稱入侵美敦力的駭客團體就是ShinyHunters。</p> <p><a href="https://www.ithome.com.tw/news/175367"><strong style="font-size: 22px;">網路學習平臺Udemy傳資料外洩，ShinyHunters聲稱竊得140筆個資</strong></a></p> <p>惡名昭彰的駭客團體ShinyHunters於4月24日宣稱，他們手上握有大型網路學習平臺Udemy的內部資料，並要求該公司必須在4月27日前取得聯繫並支付贖金，不然就要將竊得資料公諸於世（Pay or Leak）。針對外洩的資料，ShinyHunters聲稱包含超過140萬筆個人可識別資訊（PII），以及該公司的企業內部資料。不過，駭客並未公布部分資料供買家確認。</p> <p><a href="https://www.ithome.com.tw/news/175346"><strong style="font-size: 22px;">CISA警告D-Link路由器命令注入漏洞被用於實際攻擊</strong></a></p> <p>上週資安公司Akamai揭露殭屍網路Mirai變種tuxnokill攻擊行動，駭客利用命令注入漏洞CVE-2025-29635，綁架產品生命週期已經結束（EOL）的D-Link路由器DIR-823X，現在美國政府也證實該漏洞遭到利用的情況。4月24日美國網路安全暨基礎設施安全局（CISA）將4個資安漏洞列入已遭利用的漏洞名冊（KEV），並要求聯邦機構必須於5月8日完成修補，其中一個漏洞就是CVE-2025-29635。</p> <p><a href="https://www.ithome.com.tw/news/175362"><strong style="font-size: 22px;">Notepad++修補字串輸入漏洞，未更新可能導致資訊洩漏或程式當機</strong></a></p> <p>開源文字編輯器Notepad++近日發布公告，揭露可能導致資訊外洩或應用程式當機的漏洞，會影響8.9.3以前版本，解決辦法是升級到已修補的8.9.4版。這項漏洞的編號為CVE-2026-3008，問題源自Notepad++的FindInFiles功能未妥善處理特定輸入字串，攻擊者可利用此漏洞讀取記憶體內容，或觸發應用程式異常終止。</p> <p><a href="https://www.ithome.com.tw/news/175352"><strong style="font-size: 22px;">Tenable修補Nessus弱點掃描代理程式漏洞，未更新可能導致攻擊者取得SYSTEM權限</strong></a></p> <p>資安廠商Tenable近日發布公告，揭露旗下弱點掃描工具Nessus的Windows版代理程式存在高風險漏洞CVE-2026-33694，是由外部研究人員發現並向Tenable通報，CVSS嚴重性評分達8.2分，源自於Nessus代理程式執行檔案存取前，未妥善驗證檔案連結，在Windows系統環境中，擁有本機存取權限的攻擊者可以建立惡意的連接點（junction），誘使Nessus代理程式以SYSTEM權限刪除任意檔案，並進而以SYSTEM權限執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/175327"><strong style="font-size: 22px;">CrowdStrike修補LogScale重大漏洞，未更新可能導致遠端讀取任意檔案</strong></a></p> <p>端點防護與雲端資安平臺廠商CrowdStrike近日發布安全公告，修補旗下日誌分析與監控平臺LogScale重大漏洞CVE-2026-40050，一旦該系統暴露在網際網路，遠端攻擊者可利用此漏洞，在未通過身分驗證的狀態下，讀取伺服器檔案系統的任意檔案，CrowdStrike表示尚未發現此漏洞的濫用跡象，但仍建議所有自行建置版用戶升級，以降低攻擊風險。</p> <p><a href="https://www.ithome.com.tw/news/175331"><strong style="font-size: 22px;">LMDeploy LLM推論工具SSRF漏洞公開後13小時內即遭利用</strong></a></p> <p>資安公司Sysdig指出，InternLM開發的LMDeploy大型語言模型推論工具，在伺服器端請求偽造（SSRF）漏洞公開後，不到13小時就出現利用嘗試。該漏洞編號為CVE-2026-33626，影響LMDeploy 0.12.3之前版本，官方已在0.12.3版修補。CVE-2026-33626漏洞風險在於，攻擊者可透過模型請求中的image_url欄位，讓LMDeploy伺服器代為存取雲端中繼資料服務（metadata service）、內部網路或其他原本不應對外暴露的資源。</p> <p><a href="https://www.ithome.com.tw/news/175332"><strong style="font-size: 22px;">Python存在高風險的記憶體存取漏洞，未修補可能導致越界寫入與記憶體資料損毀</strong></a></p> <p>廣泛使用的高階程式語言Python存在高風險漏洞CVE-2026-3298，可能導致越界寫入（Out-of-Bounds Write）問題，進而造成記憶體資料毀損，此漏洞已由Python軟體基金會登記CVE編號，並於CPython程式碼庫提交修補程式，建議使用者儘速更新。這項漏洞的CVSS嚴重性評分達8.8分，是在4月21日由研究人員Seth Larson揭露，他透過Python安全公告郵件清單（security announcement mailing list）公開此事。</p> <p><a href="https://www.ithome.com.tw/news/175328"><strong style="font-size: 22px;">用AI發現漏洞還不夠，Google指出自動化大規模修補才是防禦核心</strong></a></p> <p>將AI用於資安防禦以對抗AI攻擊，已成為各界關注焦點，特別是近期AI在漏洞挖掘能力上的高速推進，然而，AI大廠Google認為，解決資安漏洞風險的關鍵，不只在於大規模「找出」漏洞，更關鍵的是，如何運用AI大規模且高效率地「修補」漏洞。近日Google工程部門副總裁Royal Hansen來臺，揭露自動化防禦的最新發展。</p> <p><a href="https://www.ithome.com.tw/article/175310"><strong style="font-size: 22px;">【2026 企業資安大調查｜資安預算變化】整體資安預算大增13％，金融業更加碼近2成</strong></a></p> <p>資安管理向來是企業資訊長和資安長的年度優先目標，近兩三年來，加上主管機關對上市櫃公司的資安法遵要求，如資安長設置要求，訂定資安事件重大訊息揭露標準等，促使企業投入更多資源來落實資安管理。根據2026 iThome CIO&CISO大調查，多數產業的資安預算皆成長，平均資安預算成長率高達13%，只有政府學校的資安預算比去年略減了4%。</p> <p><a href="https://www.ithome.com.tw/article/175311"><strong style="font-size: 22px;">【2026 企業資安大調查｜資安人才需求】因應資安人才缺口， 3成CIO想靠AI緩解</strong></a></p> <p>過去幾年，資安人才更成了超級搶手的人才，不分產業也都吹起了資安人才荒。在去年大調查中，我們開始調查資訊長和資安長對於AI緩解IT人才荒的看法，尤其是資安人才和開發人才缺口的緩解。去年已超過7成資訊長和資安長認同AI的確可以緩解IT人力需求，今年這個比例再次上升，達到77%之高，幾乎每五位資訊長，就有四位認為可以藉助AI來分擔人力。</p> <p><a href="https://www.ithome.com.tw/article/175312"><strong style="font-size: 22px;">【2026 企業資安大調查｜企業AI資安挑戰】人才和資料治理是AI資安兩大難題</strong></a></p> <p>隨著越來越多企業擁抱生成式AI，AI資安風險也成了資訊長和資安長當前最大的新挑戰。根據2026年iThome CIO&CISO大調查，從生成式AI發展成熟度來看，臺灣大型企業中，有23%的企業已經在正式環境中運用生成式AI，另有33%企業正在導入和驗證階段，26%的企業今年才開始計畫。換句話說，超過2成資安長日常工作已經開始面臨種種AI資安挑戰，另有5成資安主管至少得開始準備因應。</p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/175326"><strong>【4月27日】後門程式FireStarter鎖定思科防火牆發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175256"><strong>【4月24日】資安公司Checkmarx遭遇供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/175256"><strong>【4月23日】近1,300臺SharePoint伺服器尚未修補已遭利用的欺騙漏洞</strong></a></p> </div></div></div>
4/28 14:26作者周峻佑https://www.ithome.com.tw/news/175370
Meta與Overview Energy合作以存取太空太陽能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>為了因應AI與資料中心所需的龐大電力，<a href="https://about.fb.com/news/2026/04/powering-ai-strengthening-the-grid-space-solar-energy-and-long-duration-storage/" target="_blank">Meta週一（4/27）宣布兩項合作計畫</a>，一是與Overview Energy合作，把最多1GW的太陽能傳輸到地球，以實現全天候發電，二是與Noon Energy合作，部署功率達1 GW/100 GWh（連續100小時輸出1GW電力）的超長時效能源儲存系統。</p> <p>2022年在美國創立的<a href="https://www.overviewenergy.com/" target="_blank">Overview Energy</a>為一太空能源新創，主要發展太空太陽能技術，可於地球同步軌道收集持續日照，再轉為近紅外光傳回地面太陽能場，使其24小時發電。目前已完成空中傳電測試，目標是在2028年進行太空示範，2030年進入商轉。</p> <p>至於同樣位於美國的Noon Energy創立於2018年，主要開發超長時儲能技術，採用可逆固態氧化物燃料電池與碳基儲能材料，能將電力轉為化學能並儲存超過100小時，再轉回電力使用。主打不依賴鋰等稀缺金屬，降低成本與供應鏈風險。不過，Noon Energy目前仍處示範階段，預計2028年完成首個25MW/2.5GWh專案，之後再擴展至GW級規模，尚未正式商業化運轉。</p> <p>目前Meta已向Overview Energy預訂最多1GW的太空太陽能容量，以取得未來太空太陽能的優先使用權，屬於容量預購模式。此類合作不需立即建置發電設施，而是提前鎖定未來電力來源，被視為大型科技業者因應AI用電需求、提前布局能源供應的策略之一。</p> <p>與Noon Energy的合作同樣採用容量預購模式，預訂最多1GW／100GWh的儲能容量，未來可作為資料中心的備援與調節電力來源。</p> <p>迄今Meta已簽署超過30GW再生能源合約並投入數十億美元，包括與Sage Geosystems及XGS Energy合作開發新一代地熱技術，以及與Vistra、TerraPower、Oklo及Constellation Energy合作以支援總計7.7GW的核能專案，全面卡位電力供應，以因應AI與資料中心的長期用電需求。</p> </div></div></div>
4/28 15:19作者陳曉莉https://www.ithome.com.tw/news/175373
中國要求撤銷Meta與Manus的併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<a href="https://www.ft.com/content/1e4c269a-5258-406c-a308-e55c3d5d640f?syn-25a6b1a6=1" target="_blank">金融時報</a>（Financial Times，FT）、<a href="https://www.cnbc.com/2026/04/27/meta-manus-china-blocks-acquisition-ai-startup.html" target="_blank">CNBC</a>及<a href="https://apnews.com/article/china-meta-manus-ai-acquisition-5f8012791f86f719a24a3ebac06d9b0a" target="_blank">美聯社</a>（AP）的報導，中國國家發展及改革委員會在本週一（4/25）出手阻止了Meta與AI代理人開發商Manus的併購案。</p> <p>Manus源自於肖弘在2022年所創辦的蝴蝶效應（Butterfly Effect Technology），蝴蝶效應原本創立於中國，之後將總部遷移到新加坡，所開發的首款產品為Monica AI瀏覽器聊天機器人擴充程式，<a href="https://www.ithome.com.tw/news/167762" target="_blank">Manus</a>為第二款產品，定位為通用型AI助理，可將使用者的想法轉化為行動。</p> <p>Meta是在2025年12月宣布買下Manus（蝴蝶效應），外傳金額為20億美元，但2026年1月就<a href="https://www.ithome.com.tw/news/173610" target="_blank">傳出</a>中國政府介入該交易，不過，Manus在2026年2月仍以Meta的名義<a href="https://manus.im/zh-tw/blog/manus-agents-telegram" target="_blank">推出</a>Manus Agents並與Telegram合作。</p> <p>根據報導，中國國家發展及改革委員會、商務部，以及中國的反壟斷監管機構都針對該交易進行審查，已於本周一要求相關方撤銷此一收購交易，而且禁止外國投資Manus是依法作出的決定。</p> <p>該委員會並未明確對外說明禁止原因，但FT引述消息來源報導，中國透過各種法令來審查該交易，從出口管制、外國投資法到競爭法令等，調查期間還限制Manus創辦人離境；現在則要求兩家公司撤銷交易，包括退還資金、重新登記公司的所有權，以及禁止Meta使用Manus演算法等。</p> <p>Meta則說，該交易完全符合規定，相信此事會被妥善解決。</p> </div></div></div>
4/28 11:10作者陳曉莉https://www.ithome.com.tw/news/175345
LMDeploy LLM推論工具SSRF漏洞公開後13小時內即遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Sysdig威脅研究團隊<a href="https://webflow.sysdig.com/blog/cve-2026-33626-how-attackers-exploited-lmdeploy-llm-inference-engines-in-12-hours">指出</a>，InternLM開發的LMDeploy大型語言模型推論工具，在伺服器端請求偽造（SSRF）漏洞公開後，不到13小時就出現利用嘗試。該漏洞編號為CVE-2026-33626，影響LMDeploy0.12.3之前版本，官方已在0.12.3修補。CVE-2026-33626漏洞風險在於，攻擊者可透過模型請求中的image_url欄位，讓LMDeploy伺服器代為存取雲端中繼資料服務（metadata service）、內部網路或其他原本不應對外暴露的資源。</p> <p>LMDeploy是用於壓縮、部署與服務大型語言模型的工具，可提供文字模型與視覺語言模型推論服務。CVE-2026-33626漏洞原因出於視覺語言模組處理圖片URL的流程，load_image()函式在抓取遠端圖片時，未先驗證目標是否為內部IP、私有網段或連結本機（link-local）位址。對外開放的推論服務若允許使用者傳入圖片URL，後端伺服器就可能成為攻擊者存取內部資源的跳板。</p> <p>Sysdig以<a href="https://github.com/InternLM/lmdeploy/security/advisories/GHSA-6w67-hwm5-92mq">GitHub主要安全公告頁面</a>公開時間計算，該公告於臺灣時間為4月21日23時04分公開，Sysdig團隊於4月22日11時35分在蜜罐觀測到首次利用嘗試，時間差為12小時31分鐘。研究人員指出，當時未在GitHub或主要漏洞利用程式庫看到公開概念驗證程式，攻擊者可能已能依安全公告中的受影響檔案、參數與檢查缺口，自行組合可運作的攻擊流程。</p> <p>根據蜜罐觀測到的行為推斷，研究人員認為，攻擊者並非只驗證漏洞是否存在，而是把圖片載入功能當成HTTP請求代理，用於雲端憑證與內網服務偵察。</p> <p>由於SSRF可讓伺服器從受害環境內部發出請求，其影響取決於推論節點的部署方式。當節點部署在雲端GPU執行個體並綁定較高權限角色，中繼資料服務可能暴露臨時憑證，要是同一主機或叢集內有Redis、MySQL或管理介面，攻擊者也可能藉由連線回應確認服務存在。</p> <p>使用LMDeploy的團隊應優先升級至0.12.3或後續版本，若短期無法更新，應在反向代理或API閘道濾除不可信image_url，或暫時停用視覺模型端點。對已公開暴露且使用0.12.2或更早版本的部署，研究人員建議檢查是否有目標為169.254.169.254、127.0.0.1與私有網段的異常請求，必要時輪換IAM角色憑證，並以IMDSv2、VPC出口限制與執行期偵測降低後續風險。</p> </div></div></div>
4/27 16:31作者李建興https://www.ithome.com.tw/news/175331
Meta與AWS簽約，初期將採用Graviton千萬核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/04/meta-partners-with-aws-on-graviton-chips-to-power-agentic-ai/" target="_blank">Meta上週宣布</a>和Amazon Web Services（AWS）合作，將採購AWS Graviton處理器用於Meta運算基礎架構，包括最新的Graviton 5，使Meta成為最大Graviton客戶之一。</p> <p>本次簽約是雙方最新合作，也是長期合作的一環，一開始Meta將採用「數千萬Graviton核心」，未來可隨Meta AI容量需求成長擴充。Amazon表示，這合作反映AI基礎架構打造思維的轉變；雖然GPU對訓練大型模型仍然重要，但代理式AI興起推升CPU密集任務大量增加，像是即時推理、程式生成、搜尋和協調多步驟任務。</p> <p>AWS指出，運行代理人運作的基礎架構需要能處理數十億互動，同時協調複雜多步驟代理人工作流程，Graviton系列正是為此設計，透過這項合作，Graviton將支援Meta代理人在內的多種AI應用的大規模運作。</p> <p><a href="https://www.bloomberg.com/news/articles/2026-04-24/meta-inks-multibillion-dollar-deal-to-use-amazon-chips-for-ai" target="_blank">彭博上週報導</a>本案估計金額達數十億美元。</p> <p>Graviton是Amazon 2018年推出的自研Arm-based CPU，在AWS上，運行在專用軟硬體的AWS Nitro System之上。Amazon指出，Graviton已佔了EC2近兩年新增CPU容量超過一半。<a href="https://www.aboutamazon.com/news/aws/aws-graviton-5-cpu-amazon-ec2" target="_blank">去年12月宣布</a>3奈米製程的Graviton 5晶片具備192核心及前代5倍大的快取，使核心間通訊延遲性減少33%。Graviton 5執行個體還支援Elastic Fabric Adapter（EFA）有助於加速執行個體間的通訊。Graviton5-based Amazon EC2 M9g執行個體效能比使用前代時提升25%。</p> <p><a href="https://www.cnbc.com/2025/08/21/google-scores-six-year-meta-cloud-deal-worth-over-10-billion.html" target="_blank">去年媒體報導</a>Meta和Google簽下價值百億美元的六年雲端合約。</p> <p>Meta和AWS的最新合作是這家社群平臺龍頭為AI應用擴張運算容量計畫的一環。除了使用第三雲端及晶片基礎架構，Meta亟欲自行開發晶片。Meta 2023年發表第一代自研晶片MTIA（Meta Training and Inference Accelerator）100，迄今已經推出6代（MTIA 500）。</p> <p>Meta兩週前<a href="https://www.ithome.com.tw/news/175069" target="_blank">宣布與博通</a>（Broadcom）擴大合作，雙方將共同開發多個世代的自研AI晶片MTIA（Meta Training and Inference Accelerator），希望運用博通的晶片設計、封裝與高速網路技術，打造可擴展至多GW等級的AI晶片，降低對外部GPU的依賴。</p> <p>Meta和AWS的共同對手，包括Google、微軟都有自研晶片的進展。Google有Axion CPU及AI加速器TPU，後者包括上週發表的<a href="https://www.ithome.com.tw/news/175251" target="_blank">第8代TPU</a>（TPU 8i/8t）。微軟則有Cobalt CPU及AI加速器MAIA。</p> </div></div></div>
4/27 10:34作者林妍溱https://www.ithome.com.tw/news/175317
微軟預覽Foundry Agent Service託管代理人服務，強調治理及BYOC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://devblogs.microsoft.com/foundry/introducing-the-new-hosted-agents-in-foundry-agent-service-secure-scalable-compute-built-for-agents/" target="_blank">微軟週四（4/23）公布</a>Foundry Agent Service新的託管代理人（Hosted Agents）服務，主打具備雲端環境治理、持續性、可擴充的好處，允許Bring Your Own Code（BYOC）。</p> <p>隨著代理人深入企業環境，能自動化處理多種任務，許多企業在本地開發代理人執行特定工具、存取底層檔案系統、撰寫和執行程式碼，或運用檔案和記憶體以執行長期間的複雜任務。雖然在本地環境開發代理人很容易，缺點是難以均衡在整個企業環境部署，對話安全性、代理人治理及管理可視度也是問題。</p> <p>微軟去年Microsoft Ignite大會上首次公布Foundry Agent Service託管代理人，正是為了解決這些問題，將公有雲的安全、擴充性、穩定性及管理性等優點結合代理人的方便及能力。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0424-Foundry%20Agent%20Service-600-2(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0424-Foundry%20Agent%20Service-600-1(1).png" style="width: 600px;" /></p> <p>Foundry Agent Service託管代理人服務目前為公開預覽版。最新版本增加了獨立沙箱、scale-to-zero、及治理功能等。專用沙盒隔離（Per-session Isolation）：每個代理人會話（Session）都擁有獨立的VM級別隔離沙盒，而非僅是進程隔離。這確保即使代理執行任意程式碼，也不會跨用戶影響資料安全。使用者可以Isolation Key管理及劃定命名空間，並支援自有VNet管理代理人對外流量，滿足政府、金融或大型企業的連線控制權。</p> <p>具備持久化文件系統的「縮減至零」（Scale-to-Zero with Persistence）：這是一項重大突破。當代理人閒置時，系統會關閉計算資源以節省成本（Scale to Zero），但其磁碟狀態、文件與Session身份會保留。當代理人再次喚醒時，能從上次中斷的地方立即恢復，冷啟動時間極短。</p> <p>代理人內建身份與治理：每個代理人都擁有自己的Entra Agent ID，可以代表用戶（On-Behalf-Of，OBO）執行任務，並具備完整的審計日誌，解決了過去共享服務帳號帶來的安全盲點。</p> <p>框架與模型中立（Bring Your Own Everything），支持多種主流框架（如LangGraph、Microsoft Agent Framework、Claude SDK、OpenAI SDK）與多種模型（OpenAI, Anthropic, Meta, Mistral等）。主打Bring your own code（BYOC），開發者只需定義Dockerfile即可快速部署。</p> <p>其餘特色包括穩定代理人端點方便整合，內建代理人版本管理，便於代理人部署，以及支援多種協定，例如支援微軟的OpenResponses協定及Microsoft 365的Activity Protocol，這方便企業代理人的輸出結果輸出到M365，例如Teams。</p> <p>Flexible Invocations protocol支援則允許將代理人輸出整合到其他平臺如自家產品、車載系統或特定工業設備。此外，它提供AG-UI支援，允許代理人生成互動式UI。</p> <p><strong>其他工具</strong></p> <p>微軟同時宣布整合的工具，包括Microsoft Agent Framework v1.0，以及安全測試用代理人AI Red Teaming Agent。微軟也正在預覽工具箱與記憶體（Toolbox & Memory）：提供統一的工具管理工具箱（Toolbox）與受管長期記憶（Memory），讓代理人跨會話記住上下文，無需開發者自行配置外部數據庫。</p> </div></div></div>
4/24 15:02作者林妍溱https://www.ithome.com.tw/news/175281
Meta計畫裁撤10%員工，微軟提出自願退休方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>根據<a href="https://www.ft.com/content/fe875f6c-f45c-4dbd-9d18-168d1fdbfd5f" target="_blank">金融時報</a>（Financial Times）、<a href="https://www.bloomberg.com/news/articles/2026-04-23/meta-tells-staff-it-will-cut-10-of-jobs-in-push-for-efficiency" target="_blank">彭博社</a>（Bloomberg）及<a href="https://www.cnbc.com/2026/04/23/microsoft-plans-first-voluntary-retirement-program-for-us-employees.html" target="_blank">CNBC</a>等媒體的報導，Meta最近正計畫裁撤10%員工，以提升營運效率並抵銷投資支出；微軟則提出了自願退休方案，約7%美國員工符合資格，透過較溫和方式進行人力結構調整，顯示大型科技公司持續強化成本與人力配置。</p> <p>根據報導，Meta是在週四（4/23）於內部公告，準備在下個月裁撤10%，約影響8,000名員工，以提高營運效率，並抵銷Meta正在進行的其它投資。此外，Meta還取消了原本要招聘的6,000個職缺。</p> <p>而微軟也在同一天提出了自願退休計畫，鼓勵年紀加上資歷達到或超過70年的員工退休，估計約有7%的美國員工符合資格。</p> <p>美國媒體並未把此次裁員歸因於AI，多半解讀為效率與成本控管下的調整。不過，在AI及資料中心的需求帶動下，Amazon今年在AI資料中心預計投入2,000億美元，Google為1,850億美元，微軟1,140億美元，Meta則為1,350億美元，合計達6,500億美元，顯示資本支出與人力配置之間的重新平衡，已成為科技巨頭營運策略的核心。</p> </div></div></div>
4/24 09:20作者陳曉莉https://www.ithome.com.tw/news/175266
法國國家安全憑證機構遭駭可能洩露1900萬企業及個人帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國負責發布身分證和護照的國家安全憑證機構（ANTS）本週<a href="https://www.interieur.gouv.fr/actualites/communiques-de-presse/incident-de-securite-relatif-au-portail-antsgouvfr" target="_blank">公布安全事件</a>，可能導致近2000萬個資及專業帳號資料外洩。</p> <p>法國國家安全憑證機構（ANTS）是隸屬於法國內政部，負責發放身分證、護照、駕駛執照等證明文件的機關。ANTS在4月15日偵測到異常活動，可能導致ants.gouv.fr入口網站上的個人和專業帳號被竊取。初步調查顯示，受影響的個人資料類別包括登入ID、姓名、出生日期、帳戶識別碼。其他可能外洩的資料包含電子郵件信箱、出生地、電話號碼等。</p> <p>ANTS表示，外洩資訊不會允許非授權存取入口網站，但可能被用於釣魚郵件和社交工程攻擊。當局提醒用戶留心可能的釣魚簡訊、電話和電子郵件等。ANTS已經通報法國資料主管機關、巴黎檢察官，當局已和法國網路安全管理署（ANSSI）合作展開調查。</p> <p>當局沒有公布可能外洩的資料規模，不過上週一名代號breach3d的駭客在駭客論壇上兜售聲稱來自ANTS，近1900萬筆的紀錄，資料包含全名、聯絡資訊、出生日期、住家地址、性別、國籍及帳號metadata等。</p> <p>二個月前<a href="https://www.ithome.com.tw/news/173994" target="_blank">法國公共財政總局（DGFiP）也證實</a>，該單位管理的國家銀行帳戶登記資料庫（FICOBA）遭未授權存取，約120萬個帳戶資料被不明人士存取。</p> </div></div></div>
4/22 11:12作者林妍溱https://www.ithome.com.tw/news/175225
OpenAI高層人事動盪，應用、Sora、AI部門主管接連離去
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI高層人事異動再添名單，Sora、科學開發及企業應用主管相繼離職。</p> <p>負責帶領Sora開發的Bill Peebles和科學部門主管Kevin Weil雙雙於X公布離職消息。<a href="https://x.com/billpeeb/status/2045225014807670949" target="_blank">Peebles</a>向部門同事表達感謝，說和團隊從零開始打造Sora是一生的榮幸以及難忘的旅程。他說在2023年7月在外界對1080p解析度multi-shot AI生成影片抱持懷疑之際，其團隊仍然在7個月內達成使命。他也感謝執行長Sam Altman等人型塑友善研究的環境，Sora是一個在其他地方都無法誕生的專案。另一方面，去年9月才由產品長轉任科學部門主管的Kevin Weil也<a href="https://x.com/kevinweil/status/2045230426210648348" target="_blank">公告</a>離職。他說加速推進科學是OpenAI推動AGI最傑出的正面效果之一。就在上週Weil才<a href="https://www.ithome.com.tw/news/175158" target="_blank">公布</a>用於支援生命科學及藥物開發的模型GPT-Rosalind。</p> <p>兩個人是OpenAI致力實現今年底IPO而進行的組織改造中自行離開。為了IPO，公司高層決定將資源集中在開發人員工具及企業導向服務，要員工減少花心力在「不相干」的專案。上個月OpenAI<a href="https://www.ithome.com.tw/news/174651" target="_blank">宣布</a>終止開發Sora，原因是維護這個模型太燒錢，估計一天要花1500萬美元</p> <p>但與公司開發企業導向產品策略一致的部門主管也離職。OpenAI B2B應用開發技術長Srinivas Narayanan本週<a href="https://www.linkedin.com/posts/srinivasnarayanan_after-3-incredible-years-i-am-leaving-openai-activity-7451025653967114240-NW6Y" target="_blank">宣布</a>離職。此前行銷長Kate Rouch則因嚴重健康問題離職。</p> <p>在此之前，還有數位高層人事變動，包括去年由Instacart<a href="https://www.ithome.com.tw/news/168850" target="_blank">延攬來</a>，並具有臉書應用及廣告業務經驗的<a href="https://x.com/fidjissimo" target="_blank">Fidji Simo</a>於上個月因「長新冠」（Long COVID）相關問題請病假。此外，營運長Brad Lightcap轉任「特殊專案」，專注領導複雜交易和投資，據信可能和OpenAI IPO有關。3月份，才由Meta轉戰OpenAI不到半年的硬體部門主管Caitlin Kalinowski，因公司簽下美國國防部AI專案而<a href="https://www.ithome.com.tw/news/174268" target="_blank">宣布</a>離開公司。</p> <p>同時間，OpenAI也找來重要人才，包括英特爾技術長<a href="https://www.ithome.com.tw/news/172181" target="_blank">Sachin Katti</a>以及OpenClaw專案發起人<a href="https://www.ithome.com.tw/news/173981" target="_blank">Peter Steinberger</a>等。</p> </div></div></div>
4/21 11:09作者林妍溱https://www.ithome.com.tw/news/175203
中國駭客APT41使用惡意程式搜刮雲端憑證，範圍涵蓋AWS、GCP、Azure、阿里雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年初，國安局點名<strong><a href="https://www.ithome.com.tw/news/173172">多組中國國家級駭客組織鎖定臺灣9大關鍵基礎設施發動攻擊</a></strong>，其中一組就是惡名昭彰的APT41（Winnti），近日有資安公司指出，這些駭客滲透雲端環境多年，範圍涵蓋4大公有雲環境。</p> <p><strong><a href="https://intel.breakglass.tech/post/apt41-winnti-elf-cloud-credential-harvester-alibaba-typosquat">資安公司Breakglass指出</a></strong>，他們發現APT41近期打造的ELF後門程式，鎖定建置在AWS、GCP、Azure、阿里雲的Linux雲端工作負載，該後門程式使用郵件通訊協定SMTP常用的25埠建立C2通訊，收集雲端服務供應商的憑證與中繼資料，然後將竊得資料傳送到3個冒充阿里巴巴的網域，這些主機架設於阿里雲新加坡的基礎設施。值得留意的是，尚無VirusTotal納入的防毒引擎將後門程式視為有害，再加上駭客導入的C2交握驗證機制，使得Shodan、Censys等物聯網搜尋引擎難以識別受害的工作負載。</p> <p>究竟此後門會收集哪些資料？首先，駭客會從AWS查詢身分識別與存取管理（IAM）的角色憑證，接著，他們從GCP的中繼資料伺服器挖掘服務帳號的權杖（Token），並讀取應用程式的預設憑證。</p> <p>針對Azure的部分，駭客會查詢實體中繼資料服務（Instance Metadata Service，IMDS）端點的內容，取得代管的身分識別權杖並讀取設定檔；至於阿里雲，他們會查詢Elastic Compute Service（ECS）的中繼資料，搜刮資源存取管理（Resource Access Management，RAM）的角色憑證，以及命令列介面（CLI）的組態。</p> <p>上述所有竊得的憑證，後門程式都會搭配寫死的（hardcoded）AES-256金鑰進行加密處理，再外傳到攻擊者控制的網域。</p> <p>值得留意的是，這次駭客不再使用HTTPS進行C2通訊，而是刻意採用SMTP常見的連接埠。Breakglass指出，原因可能是雲端環境通常會提供電子郵件服務，因此25埠的流量往往會被視為正常，再加上許多資安工具不會深入檢查SMTP流量，以及各家雲端服務廠商對於25埠出口流量過濾做法不一致，使得相關活動難以被察覺。</p> <p>Breakglass提及C2伺服器實作選擇性交握機制，只有初始的EHLO字串包含來自用戶端提供的有效權杖，才會進行連線，否則就會傳送標準的SMTP橫幅（SMTP Banner）以及表達傳遞成功的狀態訊息220之後關閉連線。這代表物聯網搜尋引擎只會偵測到普通的SMTP伺服器，自動威脅情報平臺不會將IP位址標記為有問題。</p> <p>APT41打造Linux惡意程式並非首例，最早可追溯到6年前的<strong><a href="https://www.ithome.com.tw/news/143239">Pwnlnx</a></strong>，後續他們於2023年打造具雲端識別能力的KeyPlug，<strong><a href="https://www.ithome.com.tw/news/163086">隔年又改進迴避偵測的能力</a></strong>，並首度具備雲端中繼資料收集的能力。由此看來，該組織致力讓Linux版後門成為雲端原生的惡意程式，從早期的基本反向Shell，已經發展成具備專屬的雲端憑證收集工具。</p> </div></div></div>
4/15 13:34作者周峻佑https://www.ithome.com.tw/news/175083
Meta攜手博通打造自研AI算力體系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/04/meta-partners-with-broadcom-to-co-develop-custom-ai-silicon/" target="_blank">Meta週二（4/14）宣布</a>與博通（Broadcom）擴大合作，雙方將共同開發多個世代的自研AI晶片MTIA（Meta Training and Inference Accelerator），並整合晶片設計、先進封裝與高速網路技術，打造可擴展至多GW等級的AI算力基礎設施，顯示Meta正將自研晶片提升為核心算力戰略，並逐步降低對外部GPU的依賴。</p> <p>Meta在AI算力布局上採多軌策略，一方面依賴外部GPU與雲端資源，另一方面也與博通合作投入自研MTIA晶片，於不同AI工作負載中選擇最適合的加速器，以在效能與總持有成本之間取得最佳平衡。</p> <p>根據雙方所揭露的規畫，此次合作涵蓋了晶片開發、系統架構與大規模部署等層面。其中，雙方將共同開發多個世代的MTIA晶片，包括推理與生成式AI等工作負載，並導入先進製程（如2奈米），以提升效能與能效比。除晶片外，合作亦延伸至先進封裝與高速網路，透過博通的乙太網與XPU平臺，建構可支援大規模運算叢集的低延遲、高頻寬架構。</p> <p>整體系統將以GW等級部署為目標，從初期超過1GW起步，逐步擴展至多GW規模。該合作預計延續至2029年，目標為支撐Meta在WhatsApp、Instagram與Threads等平臺上的生成式AI與推薦系統運作。</p> <p><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-announces-extended-partnership-meta-deploy-technology" target="_blank">博通解釋</a>，雙方的合作將建立在該公司的XPU（客製化加速器）平臺之上，協助Meta進行多世代MTIA晶片的協同設計，並整合晶片邏輯、記憶體與高速I/O，以支援不同世代的AI運算需求。博通也將提供乙太網路、交換器、光通訊與高速互連等技術，用於建構可支援大規模AI運算叢集的網路架構，並確保在高負載情境下仍能維持低延遲與高頻寬的資料傳輸能力。</p> <p>博通為AI基礎設施關鍵供應商，提供客製化晶片與高速網路技術，長期參與Google自研AI晶片TPU的開發，亦為<a href="https://www.ithome.com.tw/news/171641" target="_blank">OpenAI</a>與<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic</a>的合作夥伴。這一次進一步深化與Meta合作，原任Meta董事的博通執行長Hock Tan亦將轉任顧問，協助規畫客製化晶片發展藍圖。</p> </div></div></div>
4/15 11:35作者陳曉莉https://www.ithome.com.tw/news/175069
微軟Foundry Local正式版發布，支援將本地AI推論整合進應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<a href="https://devblogs.microsoft.com/foundry/foundry-local-ga/">Foundry Local正式推出</a>，這是一套跨平臺的本地端AI推論方案，讓開發者透過SDK將AI模型直接嵌入應用程式，在使用者的裝置上離線執行推論，不需要雲端連線，也不會產生額外詞元（Token）運算費用。</p> <p>Foundry Local讓開發者可將AI推論能力直接隨應用程式一併發布，開發者安裝SDK後，Foundry Local Core與ONNX Runtime執行檔會在建置階段自動納入應用程式。微軟表示，該方案體積精簡，不會明顯增加安裝包大小，終端使用者也不必另外安裝CLI工具或第三方軟體，即可直接使用AI功能。</p> <p>其支援Windows、macOS與Linux。Windows版整合Windows ML（WinML）進行推論，並透過Windows Update自動取得與硬體相符的執行提供者外掛，以處理驅動程式相容性問題。macOS版則原生支援Apple Silicon，透過Metal提供GPU加速。Foundry Local會自動偵測硬體環境，使用GPU、NPU或CPU執行推論，開發者不需要額外撰寫硬體偵測邏輯。</p> <p>SDK部分，Foundry Local提供Python、JavaScript、C#與Rust四種語言支援，推論API採用OpenAI相容的請求與回應格式，涵蓋聊天完成（Chat Completions）、音訊轉錄及Open Responses API。微軟表示，這讓開發者可以在雲端與本地推論之間順暢切換，而不需要額外架設本地HTTP伺服器，但如果應用場景需要REST呼叫，也可以在初始化時選擇啟用OpenAI相容的HTTP端點。</p> <p>由於Foundry Local整合Foundry Model Catalog，應用程式首次執行時會從目錄下載針對裝置硬體最佳化的模型，後續則從本地快取載入。目前支援的模型系列包括GPT OSS、Qwen、Whisper、Deepseek、Mistral與Phi，同時支援可中斷續傳的下載機制，使用者即使中途關閉應用程式或斷線，下次啟動時可從中斷處繼續下載。</p> <p>在微軟的AI部署架構中，Foundry Local負責裝置端推論，可在手機、筆電與桌機等終端裝置上執行模型，雲端則由Microsoft Foundry提供高階模型、AI代理人與微調服務。至於結合Azure Local的Foundry Local部署選項，目前仍處於預覽階段，主打將這些模型與代理式AI帶到用戶自有的分散式基礎設施。</p> <p>微軟也揭露後續發展方向，包括擴充模型目錄、即時麥克風語音轉錄，更廣泛的NPU與GPU硬體支援，以及改進共享快取機制，讓多個應用程式能共用已下載的模型。Foundry Local的程式碼範例現已公開於GitHub。</p> </div></div></div>
4/13 16:51作者李建興https://www.ithome.com.tw/news/175010
CoreWeave與Anthropic簽署多年合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI雲端基礎設施業者<a href="https://www.coreweave.com/news/coreweave-announces-multi-year-agreement-with-anthropic" target="_blank">CoreWeave週四（4/10）宣布</a>，已與AI公司Anthropic簽署多年合作協議，將支援其Claude系列模型的開發與部署。根據外電報導，這是Anthropic首度採用CoreWeave算力，顯示其正積極引進新的算力來源。</p> <p>成立於2017年、以加密貨幣挖礦起家的CoreWeave，之後轉型為提供GPU為核心的AI雲端基礎設施，並吸引Nvidia入股，已於2025年登上美國那斯達克股市。</p> <p>根據雙方的協議，Anthropic將透過CoreWeave雲端平臺運行生產等級工作負載，並利用其高效能與高可靠性的基礎設施，加速模型推理與實際應用落地。相關算力資源預計於今年稍晚分階段上線，雙方亦保留未來擴大合作的空間，但未揭露具體金額。</p> <p>CoreWeave指出，隨著Anthropic加入，其平臺已涵蓋全球前10大AI模型供應商中的9家。</p> <p>目前已知採用CoreWeave平臺的業者包括微軟、<a href="https://www.ithome.com.tw/news/167789" target="_blank">OpenAI</a>與<a href="https://www.ithome.com.tw/news/174992" target="_blank">Meta</a>等。其中，<a href="https://www.sec.gov/Archives/edgar/data/1769628/000119312525044231/d899798ds1.htm" target="_blank">微軟</a>在2023及2024年都是CoreWeave最大客戶，這兩年分別占CoreWeave營收的35%及62%，但CoreWeave在2025年的財報則未公布客戶營收比重。</p> <p>至於Anthropic則被外界視為OpenAI的主要競爭對手，近來亦積極鞏固算力供應，透過多元合作分散基礎設施來源，以支撐模型快速成長。</p> <p>其中，Amazon Web Services（AWS）為其主要雲端與模型訓練夥伴，負責核心算力基礎；此外，<a href="https://www.ithome.com.tw/news/174875" target="_blank">Anthropic</a>亦與Google及Broadcom合作導入TPU等晶片資源，並進一步引入CoreWeave等新型AI雲供應商，持續擴展其算力來源。</p> </div></div></div>
4/13 11:25作者陳曉莉https://www.ithome.com.tw/news/175005
Gmail全程加密擴展到企業客戶的Android、iOS App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在桌機版推出2年後，<a href="https://workspaceupdates.googleblog.com/2026/04/gmail-end-to-end-encryption-now-available-on-mobile-devices.html" target="_blank">Google上週宣布</a>將Gmail全程加密（end-to-end encryption，E2EE）由桌機版推向Android和iOS裝置。不過能享受者僅限訂閱付費版Workspace的企業用戶。</p> <p>Google首先在2025年4月透過Workspace方案，為桌機版Gmail<a href="https://www.ithome.com.tw/news/168220" target="_blank">加入</a>S/MIME全程加密。現在Google將這項功能透過Workspace Enterprise Plus with Assured Controls版本，或是Assured Controls Plus擴充程式，推向Android及iOS手機上的Gmail用戶端加密（client-side encryption，CSE）功能。</p> <p>在此之後，用戶就可以在手機版Gmail App原生讀寫E2EE加密訊息，不需額外下載其他App或使用郵件入口網站。具有E2EE授權的用戶可以撰寫並發送加密的信件給任何用戶，不論對方有沒有Gmail。如果收件者有Gmail App，可以像平常一樣收取信件。若他們沒有Gmail App，也可以在既有瀏覽器上收信並回覆，不論是用哪種裝置或是不是用Gmail。這項新功能結合加密技術及友善介面，讓所有小型企業、大型企業、或是公部門用戶都能簡單上手安全收、發信件。</p> <p>現在手機版Gmail全程加密功能已提供給Workspace企業用戶。管理員須在CSE管理員介面啟用Android和iOS用戶端。而終端用戶若想在任何訊息加入用戶端加密，需先點選Gmail介面的鎖頭圖示、選擇額外加密。之後就能像平常一樣寫郵件和增加附件。</p> <p>Google未說明全程加密功能會不會推向消費版或免費版本。以主要郵件程式（如Gmail、Outlook及Apple iMessage）來看，Gmail是唯一原生支援的服務。蘋果Apple Mail和微軟Outlook都內建S/MIME，但蘋果用戶需要自行申請數位憑證，微軟Outlook與Apple Mail類似，需要依賴企業內部的Microsoft Purview或是個人自行申請S/MIME憑證。一般個人用戶也尚沒有「一鍵加密」的原生功能。若看通訊程式，Meta WhatsApp以支援E2EE聞名。Google Messages（簡訊/RCS）及Apple iMessage完全原生支援E2EE。微軟Teams則只有1對1語音通話原生支援（文字通訊沒有）。</p> </div></div></div>
4/13 09:19作者林妍溱https://www.ithome.com.tw/news/175002
Meta再加碼210億美元採購CoreWeave算力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI雲端基礎設施業者<a href="https://www.coreweave.com/news/coreweave-and-meta-announce-21-billion-expanded-ai-infrastructure-agreement" target="_blank">CoreWeave週四（4/9）宣布</a>，已與Meta簽署一項總額約210億美元的長期合約，將提供AI算力支援至2032年，主要用於支撐其AI模型推理與部署需求。</p> <p>CoreWeave與Meta早於2025年即建立AI算力合作關係，外界估計當時合約規模約為142億美元，此次的加碼顯示Meta對外部AI運算資源的需求持續擴大。</p> <p>CoreWeave成立於2017年，總部位於美國紐澤西州，專注提供以GPU為核心的AI雲端基礎設施，主要客戶包括AI模型開發商與大型科技公司，於2025年登上那斯達克股市。其營收高度集中於少數客戶，例如在2024年的19.2億美元營收中，前兩大客戶合計貢獻約77%營收，其中最大客戶為微軟，占比達62%。</p> <p>AI雲端基礎設施屬於高成長且資本密集的產業。CoreWeave於2025年營收達51.31億美元，年增168%，但全年淨損11.67億美元，更甚於2024年的8.63億美元虧損，主因為持續加碼投資基礎設施與GPU。不過，CoreWeave截至2025年底的訂單積壓（Revenue Backlog）已達668億美元，顯示其未來收入多由長期合約鎖定。</p> <p>消息傳出後，CoreWeave週四（4/9）股價上漲了3.49%，以92美元作收。</p> </div></div></div>
4/10 16:10作者陳曉莉https://www.ithome.com.tw/news/174992
解決簡訊OTP難題，FIDO生態系設法與電信業者整合，電話號碼驗證PNV與eSIM Passkey成新對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>近期<a href="https://www.ithome.com.tw/news/174834">大量LINE帳號遭盜用</a>的事件受到廣泛關注，雖然這次事件主因在於電信業語音信箱採用預設密碼，讓攻擊者有機可乘，但整起事件背後還有其他更深層議題值得探討，因為雲端服務相關驗證機制仍仰賴OTP認證碼（一次性密碼）。</p> <p>儘管全球產業早已推動<a href="https://www.ithome.com.tw/news/155547">採用更強的多因素驗證（MFA</a>）與<a href="https://www.ithome.com.tw/news/172885">Passkey</a>，以降低雲端服務登入遭網釣風險，但許多雲端服務在帳號註冊或復原的流程中，至今仍經常依賴簡訊OTP作為身分驗證方式。</p> <p>是否已有因應之道？今年3月FIDO臺灣分會舉辦活動，太思科技董事長何俊炘在一場演說剛好談及這方面的議題，揭露<a href="https://www.ithome.com.tw/news/174934">全球多國政府陸續禁用OTP的態勢</a>之餘，更強調FIDO聯盟成員正積極與電信業合作的全新發展態勢。</p> <h3><span style="color:#B22222;"><strong>串連電信資源，電話號碼驗證PNV正興起</strong></span></h3> <p>何俊炘表示，FIDO生態系如何與電信業者深度結合，是他今年2月參與FIDO巴黎研討會時關注的核心議題。</p> <p>目前相關對策仍在持續發展中，其中有兩大技術趨勢備受矚目：一是仰賴電話號碼的電話號碼驗證（Phone Number Verification，PNV）機制，另一則是去電話號碼識別，基於eSIM Passkey的技術方案。</p> <p>關於PNV的發展，何俊炘表示，身為FIDO聯盟成員的Google，<a href="https://www.ithome.com.tw/news/173007#PNV"><strong>去年在臺解析Passkey技術時，就曾介紹PNV認證機制的進展</strong></a>，而其重點就是設法與電信業者合作。</p> <p>他進一步解釋，由於Google等許多大型雲端服務業者的用戶規模數以億計，難以逐一驗證身分，因此現行的帳號復原流程，仍會依賴電信業者協助傳送簡訊OTP。然而，鑑於簡訊OTP安全性不足，因此業界正加速轉向更安全的驗證機制，像是Google推動的PNV認證機制，就是設法與電信業者的直接整合，並藉助Firebase等服務來協調與介接。</p> <p><a href="/sites/default/files/images/Firebase PNV.jpg"><img alt="" src="/sites/default/files/images/Firebase%20PNV.jpg" style="width: 600px;" /></a></p> <p><strong>根據<a href="https://firebase.blog/posts/2026/03/firebase-pnv-public-preview/">Firebase網站</a>說明，Firebase PNV公開預覽版已於今年3月1日正式推出，象徵電話號碼驗證機制的重大演進。目前，該計畫已與芬蘭、德國、印度、荷蘭、馬來西亞及英國等多國電信業者展開深度合作。</strong></p> <p>換言之，Google新推動的PNV認證即是為了解決簡訊OTP的痛點：藉由電信業者在網路端掌握的門號、裝置與連線資訊進行背景驗證。</p> <p>另一科技大廠Meta同樣重視此議題，何俊炘表示，Meta在一個月前發布白皮書「<strong><a href="https://engineering.fb.com/wp-content/uploads/2026/02/Meta-White-Paper-The-Promise-of-Silent-Auth-APIs.pdf">The Promise of Phone Number Silent Authentication APIs</a></strong>」，也是基於相同理由聚焦靜默網路認證（Silent Network Auth）而來。</p> <p>在此同時，GSMA全球行動通訊系統協會亦積極推動標準化，在GSMA Open Gateway框架之下，提供Number Verification API，利用行動網路原生的IP位址與裝置狀態資訊來背景比對，實現無感門號驗證，並可協同SIM Swap API快速偵測該門號指定期間（如近一個月內）是否有更換SIM卡的紀錄，藉此防範帳號盜用。</p> <h3><span style="color:#B22222;"><strong>提倡「去電話號碼識別」</strong><strong>，eSIM Passkey發展成新焦點</strong></span></h3> <p>關於另一項eSIM Passkey與去電話號碼識別的發展，何俊炘表示，目前FIDO聯盟成員正與電信業者合作，評估導入eSIM Passkey的可行性，以提供更安全的MFA。</p> <p>具體而言，太思科技正與GSMA全球行動通訊系統協會討論，將eSIM Passkey API標準化，成為全球電信業者通用的Open API。在此同時，太思科技已經開始與印度、日本、歐洲等幾個國家電信業者展開合作。</p> <p>為何此機制比PNV更安全？何俊炘指出，前述的Number Verification機制本質上是被動驗證，用戶通常不會察覺驗證過程，但對於高風險交易而言，仍需要用戶主動確認。</p> <p>他進一步說明，現行GSMA Open Gateway框架雖然透過開放API提供驗證能力，但本質多屬於網路層的狀態查詢與比對。對金融業者而言，僅依賴這類網路層回報，難以滿足強式MFA、可稽核性與不可否認性等監管要求。因此，仍需由電信端或信任服務端提供更高安全性的機制，才能支撐銀行與高風險服務場景的需求。</p> <p>另一項關鍵議題在於，現行電話號碼一旦給出去就難以收回，任何人甚至AI都可以撥打或發送簡訊給你。何俊炘強調，電話號碼的本質並非為網路身分而設計，其初衷是通訊路由，而非數位身分識別。將電話號碼視為身分錨點，已帶來系統性風險，未來的信任架構應朝「去識別化即設計（De-identification by design）」發展。</p> <p>因此，這項新方案不僅是將FIDO技術延伸至eSIM層，發展出eSIM Passkey，同時也強調電話號碼去識別化，並達到身分驗證AAL2的安全水準，而且亦可整合數位身分皮夾。</p> <p>不過這項方案仍需與FIDO聯盟合作推動。新方案採用電信OTA專用通道進行驗證，與現行FIDO機制有所不同，因此這仍是目前需要持續推進的發展方向。</p> <p><a href="/sites/default/files/images/（圖2）面對簡訊OTP，PNV與eSIM Passkey成新對策.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%9D%A2%E5%B0%8D%E7%B0%A1%E8%A8%8AOTP%EF%BC%8CPNV%E8%88%87eSIM%20Passkey%E6%88%90%E6%96%B0%E5%B0%8D%E7%AD%96.jpg" style="width: 600px;" /></a></p> <p><a href="/sites/default/files/images/（圖1）面對簡訊OTP，PNV與eSIM Passkey成新對策.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9D%A2%E5%B0%8D%E7%B0%A1%E8%A8%8AOTP%EF%BC%8CPNV%E8%88%87eSIM%20Passkey%E6%88%90%E6%96%B0%E5%B0%8D%E7%AD%96.jpg" style="width: 600px;" /></a></p> <p>總結這兩項技術的發展，何俊炘指出，PNV是電信網路端發起，用戶被動接受認證的方案，某些低安全性認證情境可以取代簡訊OTP；eSIM Passkey則進一步以eSIM晶片做到AAL2加密認證，取代目前使用簡訊OTP作為MFA的場景。</p> <p>另外，對於近期LINE帳號盜用的事件，後續我們也請何俊炘分享其觀察與見解。何俊炘表示：駭客使用LINE語音驗證的前提，需要知道用戶的電話號碼，才能進入語音信箱聽取OTP。所以，根本的原因是個人資料的洩漏，如果服務商不以用戶電話號碼作為服務ID，就可以避免這樣的問題。而像是eSIM Passkey的認證方式，不需要電話號碼，不會洩漏個資。</p> <p> </p> </div></div></div>
4/9 18:52作者羅正漢https://www.ithome.com.tw/news/174936
Meta發表由超級智慧實驗室開發的首款模型Muse Spark，將直接應用在產品上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/04/introducing-muse-spark-meta-superintelligence-labs/" target="_blank">Meta週三（4/8）發表</a>新一代AI模型Muse Spark，這是<a href="https://www.ithome.com.tw/news/169824" target="_blank">超級智慧實驗室（Meta Superintelligence Labs，MSL）所打造的</a>Muse系列首款模型，主打多模態推理與多代理人協作能力，並已正式應用於美國市場的Meta AI App與網站，後續將擴展至WhatsApp、Instagram、Facebook與Messenger等服務，並預計在未來幾週內逐步推向全球市場。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0409-meta%20ai-600.png" style="width: 466px;" /></p> <p>2025年6月創辦的Meta超級智慧實驗室由Alexandr Wang領導，為Meta核心AI研發單位，它整合了FAIR（Fundamental AI Research）與生成式AI團隊，負責開發新一代通用人工智慧與個人超級智慧（Personal Superintelligence）。至於Meta AI則是個獨立的AI助理程式，提供網頁與行動版，2025年4月發表時採用的是<a href="https://www.ithome.com.tw/news/168674" target="_blank">Llama 4</a>模型。</p> <p>不同於Meta過去以開源基礎模型為主的Llama系列，Muse Spark轉向以產品應用為核心設計，直接整合進Meta AI與旗下社群與通訊服務，強調即時互動與任務處理能力，反映Meta由模型供應者轉向AI產品平臺的策略轉變。</p> <p>在功能上，Muse Spark為一款原生多模態模型，可同時理解文字與影像，並支援工具調用與視覺思維鏈，使其不僅能生成回應，亦可處理多步驟任務。此外，在其Contemplating推理模式下，Muse Spark可啟動多個子代理人進行分工與平行處理，例如同時規畫行程、比較選項與蒐集資訊，提升整體效率與結果品質，展現其由單一模型邁向AI協作系統的設計方向。</p> <p><a href="https://ai.meta.com/blog/introducing-muse-spark-msl/" target="_blank">Meta亦公布</a>Muse Spark於多項基準測試的表現，涵蓋多模態理解、推理、醫療與代理人任務等面向。其中，在圖像與跨模態理解測試CharXiv與MMMU Pro中，Muse Spark表現優於或接近GPT與Gemini等模型；在視覺問答測試SimpleVQA中亦維持競爭力。在高難度推理方面，GPQA Diamond（博士級科學推理測試）與Humanity's Last Exam（跨領域複雜問題測試）顯示其已具備第一梯隊水準。</p> <p>在醫療領域，Muse Spark於HealthBench（開放式醫療問答測試）與MedXpertQA（醫學選擇題測試）中亦展現穩定表現，顯示其在健康與醫療知識理解上的能力。此外，在程式能力測試LiveCodeBench與軟體修復測試SWE-Bench，以及代理人任務測試DeepSearchQA與Terminal-Bench中，Muse Spark亦具備一定競爭力，反映其在多步驟任務與工具操作上的表現。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0409-muse%20spark-600.png" style="width: 600px;" /></p> <p>在Contemplating推理模式中，Muse Spark於跨領域推理測試Humanity's Last Exam的無工具情境下達50.2%，高於Gemini 3.1 Deep Think與GPT 5.4 Pro，在可使用工具情境下則達58.4%，接近GPT 5.4 Pro水準。在科學研究測試FrontierScience Research中，Muse Spark達38.3%，亦優於Gemini的23.3%，並略高於GPT的36.7%，顯示其在複雜推理與科學問題處理上的競爭力。</p> <p>Meta表示，Muse Spark除整合至Meta AI與旗下產品外，也將透過API開放部分合作夥伴測試與導入，逐步擴大應用範圍，並隨全球部署推進擴展至更多服務與市場，朝個人超級智慧的長期目標邁進。</p> </div></div></div>
4/9 11:54作者陳曉莉https://www.ithome.com.tw/news/174932
OpenAI買下科技新聞談話節目TBPN
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/openai-acquires-tbpn/" target="_blank">OpenAI週四（4/2）宣布</a>，已買下2024年才成立的科技新聞談話節目TBPN，雙方並未公布交易細節，但<a href="https://www.ft.com/content/4fe4972a-3d24-45be-b9fa-a429c432b08e?syn-25a6b1a6=1" target="_blank">金融時報</a>（Financial Times，FT）引述消息來源報導，該交易價值數億美元（low hundreds of millions）。</p> <p>TBPN（Technology Business Programming Network）成立於2024年，由創業者Jordi Hays與John Coogan共同創辦，總部位於美國矽谷，定位為每日直播的科技談話節目。自2025年開始固定於平日直播約3小時，聚焦科技、AI與商業新聞，即時評論產業動態，並邀請企業高層進行訪談。來賓包含Meta執行長Mark Zuckerberg、微軟執行長Satya Nadella，以及OpenAI執行長Sam Altman等人。</p> <p>該節目以「創業者主導媒體」為特色，風格偏向業界內部對話，強調即時性與觀點導向，在矽谷決策圈中快速累積影響力。主要透過廣告與贊助營收，曝光平臺涵蓋YouTube、X、Spotify、Apple Podcasts、LinkedIn及Instagram等，2025年收入約500萬美元，2026年預計突破3000萬美元。</p> <p>OpenAI表示，收購TBPN是因應AI帶來的重大變革，傳統溝通方式已不足以支撐相關討論，因此希望透過TBPN建立一個讓開發者與使用者參與的對話平臺，並藉其既有影響力擴大AI相關議題的理解與交流。TBPN團隊之後將被併入OpenAI的策略部門。</p> <p><a href="https://www.wsj.com/cmo-today/openai-buys-tech-industry-talk-show-tbpn-484c01c5" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）指出，這象徵OpenAI進一步跨入每日新聞與媒體領域，並藉由該節目在矽谷決策圈的影響力，強化對AI相關討論的參與。</p> <p>不過，<a href="https://www.wired.com/story/openai-acquires-tbpn-buys-positive-news-coverage/" target="_blank">Wired</a>認為，OpenAI收購TBPN是為了改善近期形象並強化對AI公共討論的影響力；<a href="https://www.businessinsider.com/openai-tbpn-deal-what-people-are-saying-silicon-valley-altman-2026-4" target="_blank">Business Insider</a>則說這是OpenAI的公關及品牌策略，透過一個在矽谷具影響力的節目，提升OpenAI在產業與年輕科技受眾中的聲量。</p> </div></div></div>
4/3 17:22作者陳曉莉https://www.ithome.com.tw/news/174867
OpenAI買下科技新聞談話節目TBPN
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://openai.com/index/openai-acquires-tbpn/" target="_blank">OpenAI週四（4/2）宣布</a>，已買下2024年才成立的科技新聞談話節目TBPN，雙方並未公布交易細節，但<a href="https://www.ft.com/content/4fe4972a-3d24-45be-b9fa-a429c432b08e?syn-25a6b1a6=1" target="_blank">金融時報</a>（Financial Times，FT）引述消息來源報導，該交易價值數億美元（low hundreds of millions）。</p> <p>TBPN（Technology Business Programming Network）成立於2024年，由創業者Jordi Hays與John Coogan共同創辦，總部位於美國矽谷，定位為每日直播的科技談話節目。自2025年開始固定於平日直播約3小時，聚焦科技、AI與商業新聞，即時評論產業動態，並邀請企業高層進行訪談。來賓包含Meta執行長Mark Zuckerberg、微軟執行長Satya Nadella，以及OpenAI執行長Sam Altman等人。</p> <p>該節目以「創業者主導媒體」為特色，風格偏向業界內部對話，強調即時性與觀點導向，在矽谷決策圈中快速累積影響力。主要透過廣告與贊助營收，曝光平臺涵蓋YouTube、X、Spotify、Apple Podcasts、LinkedIn及Instagram等，2025年收入約500萬美元，2026年預計突破3000萬美元。</p> <p>OpenAI表示，收購TBPN是因應AI帶來的重大變革，傳統溝通方式已不足以支撐相關討論，因此希望透過TBPN建立一個讓開發者與使用者參與的對話平臺，並藉其既有影響力擴大AI相關議題的理解與交流。TBPN團隊之後將被併入OpenAI的策略部門。</p> <p><a href="https://www.wsj.com/cmo-today/openai-buys-tech-industry-talk-show-tbpn-484c01c5" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）指出，這象徵OpenAI進一步跨入每日新聞與媒體領域，並藉由該節目在矽谷決策圈的影響力，強化對AI相關討論的參與。</p> <p>不過，<a href="https://www.wired.com/story/openai-acquires-tbpn-buys-positive-news-coverage/" target="_blank">Wired</a>認為，OpenAI收購TBPN是為了改善近期形象並強化對AI公共討論的影響力；<a href="https://www.businessinsider.com/openai-tbpn-deal-what-people-are-saying-silicon-valley-altman-2026-4" target="_blank">Business Insider</a>則說這是OpenAI的公關及品牌策略，透過一個在矽谷具影響力的節目，提升OpenAI在產業與年輕科技受眾中的聲量。</p> </div></div></div>
4/3 12:11作者陳曉莉https://www.ithome.com.tw/news/174863
Meta推出處方鏡片款智慧眼鏡，新增AI飲食紀錄並擴大即時翻譯支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta<a href="https://www.meta.com/blog/ray-ban-meta-styles-prescription-lenses/">發表</a>Ray-Ban Meta Optics Styles系列智慧眼鏡，支援幾乎所有處方鏡片需求，並強調全天配戴舒適性，售價499美元起。Meta還宣布多項軟體功能更新，包括AI飲食營養追蹤，以及將即時翻譯擴展至中文、日語、韓語等20種語言，並預告未來數月將進入日本、韓國與新加坡等新市場。</p> <p>新推出的Optics Styles系列共有兩款框型，分別是長方形設計的Blayzer Optics與較圓潤的Scriber Optics，其中Blayzer Optics提供標準與大尺寸兩種選擇。Meta表示，該智慧眼鏡設計採用可過度延展的鉸鏈、可替換鼻墊，以及可由驗光師調整的鏡腳末端，讓不同臉型的使用者都能長時間配戴。即使不需要矯正視力的用戶，也可將其作為日常配戴的AI眼鏡使用。該系列即日起在美國開放預購，4月14日起於美國及部分國際市場的光學零售通路正式販售。</p> <p>軟體功能方面，Meta替AI眼鏡加入飲食營養追蹤功能。使用者可透過語音指令或拍照方式記錄飲食內容，Meta AI會擷取營養資訊並存入Meta AI App中的飲食日誌。隨著日誌累積，系統將提供個人化的營養建議，使用者也可以直接詢問「下一餐該吃什麼來提升體力？」之類的問題。Meta指出，該功能未來將朝自動化方向發展，目標是讓眼鏡主動辨識使用者正在吃的食物並自動記錄，不需手動觸發。此功能將先在美國向18歲以上的Ray-Ban Meta與Oakley Meta用戶推出，Meta Ray-Ban Display則預計於今年夏季支援。</p> <p>在通訊功能上，Meta正透過早期體驗計畫（EAP）測試WhatsApp免持摘要功能，用戶可以語音要求AI摘要群組訊息或查詢特定對話內容，例如詢問「Jamie晚餐建議吃什麼？」。Meta強調這些互動在裝置端處理，並維持端對端加密。</p> <p>針對已上市的Meta Ray-Ban Display機型，此次軟體更新帶來可直接在眼鏡上瀏覽Instagram Reels、Spotify個人化捷徑，以及可整合Google Calendar與Outlook的獨立行事曆App，並可搭配Meta神經手環（Meta Neural Band）遊玩2048等遊戲。此外，Neural Handwriting功能即將全面開放，使用者可在任何表面上以手指書寫來回覆訊息，支援Instagram、WhatsApp、Messenger及Android與iOS原生訊息應用。行人導航功能也預計5月擴展至全美城市。</p> <p>Ray-Ban Meta與Oakley Meta眼鏡將在未來數月進入日本、韓國、新加坡、智利、哥倫比亞及秘魯等新市場。不過，此次公布的新市場名單未列出臺灣。</p> </div></div></div>
4/1 16:02作者李建興https://www.ithome.com.tw/news/174824
Mistral AI舉債8.3億美元以建置自己的資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>法國AI新創Mistral AI近日向<a href="https://www.ft.com/content/229f4f59-d518-4e00-abd6-5a5b727cd2aa" target="_blank">金融時報</a>（Financial Times）及<a href="https://www.reuters.com/business/finance/frances-mistral-raises-830-million-debt-ai-data-centre-build-up-2026-03-30/" target="_blank">路透社</a>（Reuters）透露，已取得8.3億美元貸款，將用於在歐洲建置AI資料中心並擴充算力基礎設施。</p> <p>根據報導，這筆資金為Mistral AI首次採用銀行貸款形式，由BNP Paribas、HSBC等七家銀行聯合提供。資金將用於在巴黎近郊興建資料中心，並部署約13,800顆Nvidia最新GB300晶片，以支援大型語言模型的訓練與推論運算需求。該資料中心預計於2026年內啟用，並將成為該公司AI基礎設施的重要節點。</p> <p>除了法國據點外，Mistral也計畫在瑞典建置AI設施，並目標在2027年前於歐洲累積約200MW的算力容量。金融時報指出，這反映歐洲企業與政府對「主權AI」（Sovereign AI）的需求升溫，希望在本地建立可控的AI運算環境，以降低對外部雲端服務的依賴。</p> <p>Mistral AI是成立於2023年的法國AI新創，由前DeepMind與Meta AI研究人員創立，主打大型語言模型與企業級AI基礎設施，為目前歐洲最具代表性的前沿AI公司之一。</p> <p>歐洲近年積極推動主權AI（Sovereign AI），核心目標是在本地建立可控的AI模型與算力基礎設施，降低對美國雲端與AI服務的依賴，特別是在資料治理、隱私保護與政府應用場景上，而Mistral AI即被視為少數具備自研大型語言模型能力，且能同時提供基礎設施服務的本土業者。</p> <p>Mistral AI曾於2025年9月完成17億歐元的C輪融資，<a href="https://mistral.ai/news/mistral-ai-raises-1-7-b-to-accelerate-technological-progress-with-ai" target="_blank">估值</a>為117億歐元。市場分析指出，此次選擇舉債，主要是因資料中心與AI設備屬於可抵押的重資產投資，適合以專案貸款方式籌資，同時也可避免進一步稀釋股權。</p> </div></div></div>
3/31 10:42作者陳曉莉https://www.ithome.com.tw/news/174778
Google將Veo導入Ads，三張圖片即可生成影片廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://business.google.com/us/accelerate/gml-announcements/" target="_blank">Google於Marketing Live宣布</a>，將生成式影片模型Veo整合至Google Ads的Asset Studio，讓廣告主只需上傳三張圖片，即可自動生成約10秒的影片廣告，並可直接用於YouTube與Demand Gen等廣告格式。</p> <p>Veo為Google推出的生成式影片模型，原本定位於高品質影片生成，可依據文字或圖像生成具備場景連貫性與動態效果的影片內容。此次整合進Ads系統後，Google將其能力產品化，嵌入既有廣告素材製作流程，使廣告主無需仰賴專業剪輯工具，即可快速產出可投放的影音素材。Asset Studio亦支援圖片、文字與既有素材的混合生成，進一步簡化創意製作。</p> <p>此次Veo主要應用於YouTube與Demand Gen廣告。Demand Gen為Google近年主打的資訊流廣告形式，主要投放於YouTube、Discover與Gmail等場景，透過圖片與影片在用戶瀏覽內容時主動吸引注意力，進而刺激潛在需求。相較於以關鍵字為核心的搜尋廣告，Demand Gen更接近社群式廣告體驗，強調視覺與影音內容對轉換效果的影響。</p> <p>此舉代表Google正把生成式AI導入廣告製作流程，讓原本需要專業拍攝與剪輯的影音廣告，轉變為可快速生成的標準化素材，進一步降低中小企業進入影音廣告市場的門檻。</p> <p>過去Google已廣泛將AI應用於廣告服務的投放優化與文字、圖片素材生成，此次則首度將生成式影片能力直接整合進廣告製作流程。</p> <p>目前在AI廣告工具布局上，Meta整合程度最高，已將圖片生成納入廣告系統，並逐步導入影片生成能力，結合投放與優化形成完整流程；Google則透過導入Veo，首度將圖片轉影片能力直接整合進Ads，強化影音廣告製作能力；TikTok則推出Symphony等AI工具，支援影片生成、腳本與配音等功能，協助品牌快速產出短影音廣告內容。</p> </div></div></div>
3/30 18:51作者陳曉莉https://www.ithome.com.tw/news/174774
AI趨勢周報第287期：Meta推TRIBE v2腦模型，可預測人類大腦反應、準確度還提高2～3倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0320～0326）</span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TRIBE v2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大腦反應 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta推TRIBE v2腦模型：可預測人類大腦反應，準確度提高2～3倍</strong></span></p> <p>Meta最近發表新一代腦科學AI模型TRIBE v2（Trimodal Brain Encoder），可預測人類大腦在觀看影像、聆聽聲音時的神經反應，讓過去只能透過實驗觀察到的大腦活動，能漸漸用AI模擬了。</p> <p>該模型以超過700名受試者、累計500多小時的fMRI腦部掃描資料訓練，學習人在不同影音和語言刺激下的大腦活動模式。TRIBE v2可同時整合影像、音訊和文字三種模態，並預測全腦約7萬個體素（voxels）的活動，就像是重建一張高解析度的大腦反應圖，解析度較前一版模型提升了70倍左右。</p> <p>這款模型的一大突破，在於零樣本預測能力。模型不必重新訓練，就能預測未見過個體的大腦反應。在電影與有聲書的測試任務中，TRIBE v2表現比既有方法還要好，準確度提高2至3倍。Meta表示，這項技術可加速神經科學研究，並有助開發更貼近人類認知的AI系統，甚至應用於神經疾病的模擬與治療。不過，當AI能預測腦部反應，也引發一些隱私和潛在濫用的倫理討論。<a href="https://aidemos.atmeta.com/tribev2/">（詳全文）</a></p> <p><img alt="" src="/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202026-03-27%20152105.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 壓縮 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>跑LLM更快也更省錢：Google新壓縮技術記憶體用量降6倍、效能不打折</strong></span></p> <p>Google研究團隊提出一套新模型壓縮技術TurboQuant，改良了既有的向量量化（Vector quantization）方法，大幅降低AI模型的記憶體使用量，同時維持原本的準確度。</p> <p>這項技術鎖定大型語言模型（LLM）的瓶頸——KV cache（鍵值快取），這類資料是用來加速模型推論，但也非常耗費記憶體。因此，TurboQuant採用兩階段設計，一邊用PolarQuant壓縮主要資訊，一邊再用僅1-bit的QJL演算法，來補償壓縮誤差，在幾乎不增加額外負擔的情況下，維持模型的精度。</p> <p>從實驗結果來看，TurboQuant可以把KV cache壓縮到3-bit，記憶體使用量降低至少6倍，同時在長文本理解和搜尋任務中維持原本的準確度，甚至在部分情境下，還能提高效能最高8倍。這類壓縮技術的影響不只在模型本身，還會直接牽動向量搜尋效率，對生成式AI和語意搜尋這類應用來說，都是關鍵的基礎能力。<a href="https://research.google/blog/turboquant-redefining-ai-efficiency-with-extreme-compression/?utm_source=twitter&utm_medium=social&utm_campaign=social_post&utm_content=gr-acct">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-research2023-media/images/Quantization-2.width-1250.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 暗網 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google把Gemini放進暗網，用AI蒐集威脅情報</strong></span></p> <p>在RSA 2026資安大會上，Google Cloud宣布將Gemini部署於暗網環境，打造自動化威脅情資服務。該系統可每日蒐集並分析數百萬則暗網貼文，結合資安專家產出企業專屬報告，不僅能揭露資料外洩與攻擊討論，還能解析攻擊手法並提前預警。</p> <p>這套機制由一組AI代理運作，負責資料彙整與初步分類，讓資安人員專注於進階分析。Google表示，內部測試顯示，暗網威脅情報分析的外部事件準確率可達98%。</p> <p>除了暗網情報，Google也同步強化代理人化資安工具。例如在Security Operations中加入自動調查代理人，可自主分析警報、蒐集證據並提出建議；Security Command Center則整合Vertex AI Agent Engine，偵測未授權存取與資料外洩等代理式威脅。<a href="https://cloud.google.com/blog/products/identity-security/rsac-26-supercharging-agentic-ai-defense-with-frontline-threat-intelligence">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Claude </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Computer Use </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Anthropic讓Claude親手操作電腦，AI代理進入桌面時代</strong></span></p> <p>Anthropic推出Claude「Computer Use」功能，讓AI代理可透過滑鼠、鍵盤與螢幕直接操作電腦，完成開啟檔案、瀏覽網頁和執行開發工具等任務，正式邁向「電腦操作代理人」階段。</p> <p>該功能整合於Claude Cowork和Claude Code等AI工作環境中，系統會優先透過API或既有工具（如Slack、Google Calendar）完成任務，若無法處理，才改以「看畫面＋操作滑鼠鍵盤」方式執行。所有操作需經使用者授權，並內建提示注入防護與權限控管，降低AI被誘導執行錯誤指令的風險。</p> <p>目前Computer Use以研究預覽形式提供，僅支援macOS，且在複雜任務中仍可能需要多次嘗試，效率也低於直接系統整合。此次功能也結合Dispatch跨裝置任務機制，讓使用者可從手機指派任務，由AI在電腦端持續執行。<a href="https://claude.com/blog/dispatch-and-computer-use">（詳全文）</a></p> <p><img alt="" src="https://cdn.prod.website-files.com/68a44d4040f98a4adf2207b6/69c0acb66ca028e43998d824_Cowork-Dispatch-Blog-Permissions.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Ai2 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 視覺代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Ai2開源一款AI代理，可以看畫面、操作瀏覽器</strong></span></p> <p>Ai2最近開源一款視覺網頁代理MolmoWeb，以Molmo 2多模態模型為基礎而建立，提供4B和8B兩種版本，並同步公開模型權重、資料集和評測工具，支援自行部署。相較多數封閉系統，這次Ai2連訓練資料與流程也一併開放。</p> <p>MolmoWeb的最大特色是「看畫面來操作網頁」。它不讀HTML或無障礙樹，而是直接看網頁截圖，搭配任務指令與操作紀錄，逐步完成點擊、輸入和捲動等動作。Ai2認為這種方式更接近人類操作邏輯，也能降低token消耗。</p> <p>Ai2揭露，MolmoWebMix資料集包含了3.6萬筆人工任務軌跡、超過62萬筆子任務，以及近220萬筆截圖問答資料，涵蓋1,100個網站。另外，資料集也包含文字代理產生的合成操作軌跡，用來提升模型泛化能力。在效能測試上，MolmoWeb 8B在WebVoyager任務成功率達78.2%，pass@4可提升至94.7%。不過，模型仍可能誤判畫面文字，且尚未支援登入或金融交易等高風險場景。<a href="https://allenai.org/blog/molmoweb">（詳全文）</a></p> <p><img alt="" src="https://www.datocms-assets.com/64837/1774298660-unnamed-2026-03-23t164327-438.png?dpr=1.5&fit=max&fm=webp&h=810&w=1550" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Cloudflare </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> API </span></strong></span></p> <p><span style="font-size:22px;"><strong>Cloudflare推新功能，讓AI生成程式碼「跑完即丟」</strong></span></p> <p>Cloudflare最近推出Dynamic Worker Loader功能，開放Workers付費用戶在執行期間動態載入新的Worker，將AI即時生成的程式碼放入獨立沙箱中執行。這也讓AI代理不再只是呼叫工具，而是直接撰寫程式串接API，再交由隔離環境執行，達到「用完即丟」的運作模式。</p> <p>在安全設計上，該機制可將未受信任程式碼與主程式、外部網路及敏感資源隔離，並支援細部權限控管，例如封鎖對外連線、攔截或改寫HTTP請求，以及注入憑證，確保AI程式碼只能存取指定服務。與傳統容器不同，Dynamic Worker Loader採用V8隔離模型作為執行邊界，啟動時間可達毫秒等級，適合為單次任務建立一次性執行環境，任務完成即銷毀。這種設計可降低延遲與資源成本，也讓每次請求獨立隔離更容易實現。</p> <p>Cloudflare也將這項能力整合到Code Mode，讓AI以TypeScript撰寫程式並直接在沙箱中執行，甚至可預設封鎖對外網路連線。整體來看，AI代理正從呼叫工具呼叫，逐步走向生成程式並即時執行的新開發模式。<a href="https://blog.cloudflare.com/dynamic-workers/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 思科 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenClaw </span></strong></span></p> <p><span style="font-size:22px;"><strong>思科推DefenseClaw，為AI代理加上三層防護</strong></span></p> <p>在聚焦AI與資安的RSA 2026大會上，思科推出AI代理安全管理工具DefenseClaw，鎖定開源框架OpenClaw的應用風險，強化AI代理的系統操作安全。</p> <p>OpenClaw可讓AI代理直接呼叫工具、存取檔案甚至執行系統指令，雖然大幅提高自動化能力，卻也帶來權限濫用風險。為此，DefenseClaw提供三層防護機制：在安裝前整合skill-scanner、mcp-scanner和CodeGuard等工具進行掃描；在執行期間持續檢查AI輸入與輸出行為；並透過封鎖和允許清單，限制特定功能或元件被呼叫。</p> <p>底層則結合Nvidia OpenShell架構的核心隔離與預設拒絕網路存取等設計，形成從基礎設施到應用層的防護架構，同時還可與Splunk整合，強化監控和可觀測性。整體來看，隨著AI代理逐步取得更高系統權限，執行環境安全也成為新課題。<a href="https://blogs.cisco.com/ai/cisco-announces-defenseclaw">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Sora </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影片生成 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI喊停Sora：影片生成退場，轉攻企業與超級App布局</strong></span></p> <p>OpenAI近日宣布將停止影片生成模型Sora服務，後續也將公布應用與API下線時程，以及使用者作品的保存方式。這項決策也意味著，ChatGPT未來將不再支援影片生成功能。</p> <p>Sora自2024年推出以來，以高擬真影片生成能力引發關注，並在2025年發展為獨立應用，主打創作與分享。不過，根據《華爾街日報》報導，OpenAI此次收掉Sora，反映整體策略轉向，將資源集中在企業應用與開發者工具等AI生產力場景，並為可能的IPO布局。</p> <p>報導指出，OpenAI正整合ChatGPT、程式工具Codex和瀏覽器，打造單一「超級App」，將聊天、開發與搜尋等功能整合在同一平臺。隨著Sora退場，OpenAI在多模態影音領域的布局也出現調整，顯示其產品策略正從創作導向，轉向更直接帶來商業價值的應用場景。<a href="https://x.com/soraofficialapp/status/2036532795984715896">（詳全文）</a></p> <p>圖片來源／Meta、Google、Anthropic、Ai2</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/174698">ARC-AGI-3互動推理基準上線，人類可全解但主流AI得分卻不到1%</a></strong></p> <p>資料來源：iThome整理，2026年3月</p> <div id="gtx-trans" style="position: absolute; left: 21px; top: 6526.26px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
3/27 15:32作者王若樸https://www.ithome.com.tw/news/174729
川普公布PCAST首波名單，矽谷科技巨頭入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國白宮<a href="https://www.whitehouse.gov/articles/2026/03/president-trump-announces-appointments-to-presidents-council-of-advisors-on-science-and-technology/" target="_blank">週三（3/25）宣布</a>，總統川普（Donald Trump）任命總統科學與技術顧問委員會（President's Council of Advisors on Science and Technology，PCAST）的首批成員，由Craft Ventures創辦人David Sacks與前白宮科技政策顧問Michael Kratsios共同擔任主席。</p> <p>首波名單共計13名，涵蓋多位科技產業關鍵人物，包括Google共同創辦人Sergey Brin、甲骨文董事長Larry Ellison、Nvidia執行長黃仁勳、AMD執行長蘇姿丰，以及Meta執行長Mark Zuckerberg等。</p> <p>其他還包括a16z共同創辦人Marc Andreessen、Dell創辦人暨執行長Michael Dell、甲骨文執行長Safra Catz、核融合公司Oklo共同創辦人Jacob DeWitte、Coinbase共同創辦人Fred Ehrsam、The Production Board創辦人David Friedberg、量子計算科學家John Martinis，以及核融合公司Commonwealth Fusion Systems執行長Bob Mumgaard。</p> <p>PCAST為美國總統最高層級的科技政策顧問機制，主要由產業領袖與學界專家組成，負責就人工智慧、半導體、生醫與能源等關鍵領域提供建議。該機構不具執行權，但其建議通常會影響聯邦政府的研發投資方向、產業政策與國安科技布局，被視為觀察美國科技戰略的重要指標。</p> <p>根據白宮說明，本屆PCAST將聚焦新興科技對勞動市場的影響，以及如何確保美國在「創新黃金時代」（Golden Age of Innovation）維持領先地位。</p> <p>相較過去多由學界與政策專家主導的組成，此次PCAST首批成員幾乎全數來自產業界，顯示白宮優先納入AI與運算基礎設施的一線決策者。</p> <p>PCAST制度可追溯至1933年，歷任總統均會依政策需求重新組成顧問團隊。依規畫，本屆委員會最多可設24名成員，目前公布者為首批名單，後續仍將持續擴編並公布首次會議時程。</p> </div></div></div>
3/26 13:10作者陳曉莉https://www.ithome.com.tw/news/174692
Meta再裁減數百人、為高層加薪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>國際媒體報導，為資源集中投入AI，Meta本週再裁減涵蓋VR/AR部門Reality Labs及其他部門約數百名員工，同時為高層主管大幅加薪。</p> <p>The Information、<a href="https://www.bloomberg.com/news/articles/2026-03-25/meta-is-cutting-several-hundred-jobs-amid-record-ai-spending" target="_blank">彭博</a>、<a href="https://www.nbcnews.com/tech/social-media/meta-layoffs-hundreds-employees-five-divisions-vr-ai-who-rcna265127" target="_blank">CNBC</a>引述消息人士報導，這波裁員影響Reality Labs及至少其他4個部門，包括行銷、招募、業務人員及Facebook，總數在1000人以下，涵括美國及海外分公司，也有部份員工獲得在內部另尋職位的機會。</p> <p>Meta已對媒體證實裁員消息，表示Meta團隊經常重組或變動，以確保員工都能適任職位，也會為受影響的員工尋求其他機會。</p> <p>紐約時報<a href="https://www.nytimes.com/2026/03/25/technology/meta-layoffs-ai-executives.html" target="_blank">報導</a>，裁減員工數為700人，主要影響的是中間層級主管，以及與AI核心戰略關聯較低、被認為可被AI、自動化取代的員工。</p> <p>同時間<a href="https://www.reuters.com/business/meta-grants-senior-executives-stock-awards-retain-talent-2026-03-25/" target="_blank">路透社</a>報導指出，Meta同時還為高層主管，以及AI人才提供巨幅股票選擇權及其他紅利大幅加薪，甚至可達數億美元。這些方案主要是為了留才加上激勵。被點名受益者包括財務長Susan Li、技術長Andrew Bosworth、產品長Chris Cox、營運長Javier Olivan等。Mark Zuckerberg不在這波獎勵內。報導顯示，AI導致Meta正在轉型為員工人數更少、但資源更集中於AI工程與決策人才的組織。</p> <p>Meta現在全力將重心集中在AI上。Meta估計今年總支出1,620億～1,690億美元，其中1,150億到1,350億美元將用於打造AI資料中心、購買及自製晶片，此外也會用於AI人才招募、AI模型及AI應用開發。</p> <p>本月初<a href="https://www.ithome.com.tw/news/174404" target="_blank">路透社</a>報導，這家社群平臺龍頭計畫裁員公司20%的員工，以平衡發展AI的龐大開銷。</p> </div></div></div>
3/26 12:14作者林妍溱https://www.ithome.com.tw/news/174687
加州法院判定Meta、YouTube有如香煙致青少年成癮，須賠償數百萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>洛杉磯法院本週針對Meta、Google YouTube被控導致未成年成癮做出具備里程碑意義的裁決，陪審團判定兩巨擘需賠償受害者6百萬美元。</p> <p>法院陪審團判決，社群龍頭的App設計疏失，致使未成年使用者產生網路成癮而出現心理健康問題。其中Meta和Google YouTube將分別支付70%和30%的賠償費用給原告。</p> <p>本案起於現年20歲的洛杉磯居民K. G. M（後稱Kaley）於三年前控告兩家社群平臺。原告控告二家社群平臺設計如無限滾動、演算法推薦、自動播放等「上癮性產品」，導致原告從童年開始沉迷社群媒體，進而引發發展出焦慮、憂鬱、自我傷害、扭曲的自我形象等心理健康問題。原告指出，科技公司高層都了解此事，卻未儘力保護年輕使用者，並將這些社群平臺比喻為有如1990年代的煙草公司，提供具成癮產品危害脆弱族群身心健康，呼籲社會必須阻止這些大公司以廣告吸引未成年人。</p> <p>本案在上月進行審理，最後判決科技公司敗訴。<a href="https://www.bbc.com/news/articles/c747x7gz249o" target="_blank">報導引述</a>陪審團決議，兩公司操作社群平臺「帶有惡意、壓迫或欺騙」，需支付Kaley 300萬美元賠償及300萬罰款，共600萬美元，其中Meta和Google分別承擔70%和30%。</p> <p>兩公司均對判決表達不同意，也都將上訴。Meta指出青少年心理健康問題相當複雜，不應歸咎於單一App。Google則指，法院誤解了YouTube本質，其為「負責任建構」的串流平臺，而非社群媒體。</p> <p><a href="https://www.theguardian.com/media/2026/mar/25/jury-verdict-us-first-social-media-addiction-trial-meta-youtube" target="_blank">衛報報導</a>全美有數千件類似訴訟，可能引發集體訴訟浪潮，包括一件涉及1,600多名原告、350個家庭針對Meta、YouTube、TikTok、Snap的集體訴訟。TikTok、Snap選擇庭外和解。</p> <p>本週Meta也在新墨哥州遭遇司法挫敗。<a href="https://www.bbc.com/news/articles/cql75dn07n2o" target="_blank">陪審團認定</a>，擁有Facebook、Instagram和WhatsApp的Meta誤導用戶提供兒童平臺安全性，而使其接觸於露骨內容，並可能接觸到成年性加害者，命令Meta支付3.75億美元賠償。Meta亦打算進行上訴。</p> </div></div></div>
3/26 12:36作者林妍溱https://www.ithome.com.tw/news/174689
臺灣研究人員揭React2Shell漏洞因應另一面，助Vercel解決WAF繞過並獲1,000萬元獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣資安業者戴夫寇爾近日舉辦年度研討會，其中一場聚焦解析參與React2Shell相關漏洞獎勵計畫的實務經驗，我們意外得知臺灣研究人員當時也出力幫忙，並獲得獎勵。</p> <p>由於當時React2Shell報導多聚焦攻擊事件揭露，防禦層面的動向較少被注意到，這次戴夫寇爾研討會上恰巧談及這方面的處理狀況，剖析了React伺服器端元件的運作原理，React2Shell漏洞的觸發利用手法，並且詳細公開其通報WAF繞過手法的實戰經驗。</p> <p>令人意外的是，臺灣的資安研究人員也貢獻心力幫忙，特別是雲端業者Vercel為應對React2Shell漏洞緊急舉辦Vercel平臺保護的漏洞獎勵計畫，臺灣研究人員更從中獲得30萬美元獎金，這也印證出，臺灣資安研究人員不僅具備世界頂尖的漏洞挖掘實力，更在國際級的資安危機中扮演了關鍵的聯防角色，從第一時間發布PoC示警，到後續以驚人的效率協助Vercel完善WAF防禦規則，協助其開發者爭取到寶貴的修補時間。</p> <h3><strong>為了緩解React2Shell危機，臺灣研究人員也擔任重要聯防角色</strong></h3> <p>在這場演說中，兩位臺灣研究人員Ginoah與Maple分享其參與React2Shell漏洞應對的經歷，同時指出此事件背後仍有更多聯防機制正在運作。</p> <p>這場危機中，臺灣研究人員採取哪些行動？</p> <p>第一，在React2Shell漏洞公開後，隔日首個React2Shell概念驗證攻擊（POC）就是由戴夫寇爾人員所發表，這也顯示他們對此漏洞風險的看重。再隔一天，通報此漏洞的研究人員Lachlan Davidson也揭露原始PoC概念驗證攻擊。</p> <p>第二，在漏洞公開3日後，雲端平臺業者Vercel於HackerOne平臺上，推出以「React2Shell、WAF繞過」為題的超高金額漏洞獎勵計畫（Bug Bounty），每個高風險漏洞2.5萬美元，每個重大漏洞5萬美元。臺灣研究人員展現實力，首個繞過手法在Bug Bounty啟動後僅5分鐘內即發現並通報，由於獎金豐厚，研究人員的發現動作又夠快，Ginoah在這場演講直言：「這是我人生最接近一秒鐘幾十萬上下的時刻」；短短2小時內，他們更是接連提交3項繞過手法，後續更是提交越來越複雜的繞過技術。</p> <p>最終，兩人總計通報10個漏洞，其中6個視為有效，進而獲得30萬美元（約1,000萬元）的獎勵，協助Vercel在短時間內更新防護規則以阻擋React2Shell攻擊。</p> <h3><strong>為何Vercel大手筆祭出高達3,000萬元的漏洞獎勵計畫？</strong></h3> <p>上述提到臺灣研究人員參與Vercel舉辦的「React2Shell繞過WAF」漏洞獎勵計畫，亦成為我們關注的重要焦點。因為這讓外界更關注到，在推動用戶修補漏洞的同時，資安生態系也針對修補空窗期展開協調揭露與WAF緩解行動，而且竟然有業者為了在極短時間內強化對應React2Shell漏洞攻擊的WAF攔阻效果，舉辦為期不到10天的漏洞挖掘競賽，並發出總額高達100萬美元（約3,200萬元台幣）的獎金。</p> <p>如此驚人的獎金規模與密集的時程，在資安界實屬罕見；而前述提到的臺灣研究人員，正是因參與此活動而抱走30萬美元的高額獎金。</p> <p>若與其他指標性的漏洞獎勵計畫相比，<a href="https://www.ithome.com.tw/news/161765">Google最近剛好揭露了2025年全年度發出的獎金總額為1,700萬美元</a>，而Vercel僅在短短10天內就發出100萬美元，足以顯見該公司對強化此漏洞威脅緩解的急迫性與高度重視。</p> <p>為何Vercel願意祭出如此高額獎金？核心原因應在於React2Shell漏洞直接衝擊了以React伺服器端元件實作的Next.js。臺灣研究人員Ginoah表示，Vercel這家公司就是開源專案Next.js維護者，同時Vercel本身也有提供雲端平臺服務，因此他們的目的就是設法在客戶還沒完成更新React/Next.js前，透過WAF暫時保護其服務。</p> <p><a href="/sites/default/files/images/（圖1）Vercel Bug Bonutry.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Vercel%20Bug%20Bonutry.jpg" style="width: 600px;" /></a></p> <p>我們進一步檢視<a href="https://vercel.com/blog/our-million-dollar-hacker-challenge-for-react2shell">Vercel於2025年12月中發布的部落格文章</a>，當中說明了React2Shell漏洞獎勵計畫成果。</p> <p>之所以祭出高額獎金，Vercel技術長Malte Ubl指出，這不只是為了激勵白帽駭客，同時希望能將那些本來就在探測系統漏洞的人，轉化為共同強化安全的合作夥伴。最終，這項計畫共吸引116名研究人員提交156份報告，成功驗證38項弱點，並針對20種繞過技術發放100萬美元獎金。而且Vercel也將這些通報的技術細節，同步分享予其他平臺供應商。</p> <p>至於緩解成效？Vercel指出其防火牆在兩週內已成功攔截逾600萬次針對Next.js漏洞的攻擊嘗試。其中有一波攻擊相當猛烈，24小時內攔截量即達230萬次。</p> <p><a href="/sites/default/files/images/（圖2）Vercel Bug Bonutry.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Vercel%20Bug%20Bonutry.jpg" style="width: 600px;" /></a></p> <p>對於這次React2Shell漏洞危機，Vercel技術長Malte Ubl除感謝Lachlan Davidson負責任地揭露React2Shell外，也深入總結Vercel的學習經驗與後續防禦藍圖。</p> <p>「在React2Shell被負責任地揭露後，隨即進入攻防兩方比拼速度的時刻。」Vercel技術長Malte Ubl指出，考慮到惡意攻擊者會搶先行動並嘗試利用，因此他們與業界夥伴如AWS、Google、Microsoft、Cloudflare、Netlify、Fastly、Deno等合作，在正式公開前便預先透過WAF部署第一道防線的緩解措施，並呼籲用戶必須儘速完成修補。</p> <p>儘管已部署初步緩解措施，但面對攻擊者的嘗試利用，Vercel在這次事件應對中，最特別的動作就是──沒有等著「防範React2Shell的WAF規則」被攻擊者繞過，而是決定掌控修補週期，在漏洞公開僅3天後就徵求全球頂尖資安專家挑戰WAF繞過手法，讓他們先替Vercel找出這些繞過方式，提前封堵潛在的繞過途徑。例如，Vercel在漏洞獎勵計畫啟動後48小時內，就完成了多達20次的防禦規則更新。</p> <p>Malte Ubl在總結經驗時指出，縱深防禦雖能為企業爭取應變時間，但真正要讓該漏洞不會被利用，最根本解法仍在於完成修補。</p> <p>他並坦言，React2Shell以過去難以模擬的方式測試了Vercel本身的安全基礎建設，而這些應對方式也留下寶貴的經驗。例如，研究人員在這次漏洞獎勵計畫提供的繞過方法，現已轉化為Vercel防火牆過濾的永久規則；同時Vercel還部署了第二層防禦，這項執行期（runtime）緩解層是在應用程式內部運作，而非位於WAF層。因此可不依賴啟發式偵測，而是直接消除攻擊所針對的程式碼評估向量。此外，過程中協助客戶升級的工具與機制，也成為未來Vercel面對重大CVE漏洞的標準化應變劇本。</p> <p>綜合來說，Vercel在React2Shell漏洞因應的表現上，體現了現代雲端服務商的主動防禦思維。在各大CDN、雲端、WAF業者同樣都在協助提供緩解作法建立各自的WAF規則之下，Vercel選擇打破封閉開發的傳統，藉助全球頂尖資安專家之力，搶先幫忙找出可能的WAF繞過手法，提升自家平臺在緩解能力的水準，提供了極具參考價值的主動防禦經驗。</p> <p> </p> <h3 class="rtecenter"><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">去年底React2Shell漏洞威脅影響有多大？</span></strong></span></h3> <p>回顧React2Shell漏洞（CVE-2025-55182），最早於2025年11月29日被通報，此漏洞是由研究人員Lachlan Davidson透過Meta漏洞獎勵計畫通報，隔日Meta資安研究人員確認了漏洞，並開始與React團隊合作開發修復方案。</p> <p>React團隊於12月1日完成修補方案的開發，並與受影響的託管服務商及開源專案合作，以驗證修復程式、實施緩解措施並逐步推送更新。到了12月3日，修補更新釋出且CVE編號正式對外公開。</p> <p>由於各種以React伺服器端元件實作的框架或工具都受影響，包含廣泛使用的Next.js框架，加上該漏洞是CVSS滿分10分的漏洞，且觸發方式容易，攻擊者只需發送特製的HTTP請求，即可在伺服器上執行惡意指令，因此備受各界關注。</p> <p>嚴峻的是，漏洞修補發布沒多久，攻擊活動真的出現。有<a href="https://www.ithome.com.tw/news/172683">多家資安業者與機構警告React2Shell已遭積極利用</a>，Google後續亦揭露又有<a href="https://www.ithome.com.tw/news/172844">新出現的5組中國國家級駭客試圖利用</a>，而且持續有<a href="https://www.ithome.com.tw/news/172853">更多國家級駭客加入攻擊行列，</a>試圖入侵未修補的系統。</p> <p>當時業界是如何因應？<a href="https://www.ithome.com.tw/news/172628">React團隊在公告之初即表示</a>，在漏洞公開前，已與全球大型主機代管服務業者進行協調與資訊披露。</p> <p>大型雲端業者亦相繼發布防禦指引，包括<a href="https://aws.amazon.com/tw/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/">AWS</a>、<a href="https://cloud.google.com/blog/products/identity-security/responding-to-cve-2025-55182">Google Cloud</a>、<a href="https://techcommunity.microsoft.com/blog/azurenetworksecurityblog/protect-against-react-rsc-cve-2025-55182-with-azure-web-application-firewall-waf/4475291">Microsoft Azure</a>等。這些指引主要在於呼籲企業用戶，需盡速更新React/Next.js應用程式，同時也提供修補之際的緩解作法，也就是透過提供網頁應用程式防火牆（WAF）規則，藉此阻擋攻擊，作為緩解之道。事實上，開發者面臨最大的問題在於：軟體升級或漏洞修補都需要時間。</p> <p>面對React2Shell漏洞危機，為何這些業者強調WAF能爭取更多修補時間？因為WAF運作在網路的最外圍，若能針對React2Shell的攻擊特徵（Payload）進行攔截，就像在大門口先加裝一道臨時鎖，或是讓WAF扮演虛擬補丁的角色，在面對大規模攻擊嘗試時，可為受影響的開發團隊爭取更充裕的修補緩衝期，以進行版本升級與相容性測試。</p> <p>換言之，由於React2Shell漏洞根植於組件底層，程式碼修補仍是最終的根治手段，而藉助WAF增加對應React2Shell攻擊活動的規則，目的就是盡量避免在修補就緒前遭受攻擊，主要是填補從「漏洞公開」到「修補完成」之間的風險空窗期。</p> <p> </p> <p class="rtecenter"><strong>相關報導：<a href="https://www.ithome.com.tw/news/174644"><span style="color:#0000FF;">從React2shell因應看漏洞修補，企業應正視共同責任</span></a></strong><br /> </p> </div></div></div>
3/25 16:24作者羅正漢https://www.ithome.com.tw/news/174621
從React2shell因應看漏洞修補，用戶、研究員、業者的當責與相互合作均是解決問題的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>最近我們報導<a href="https://www.ithome.com.tw/news/174621">臺灣資安研究人員參與React2Shell相關漏洞獎勵計畫</a>，協助Vercel在短時間內更新WAF防護規則，以阻擋React2Shell攻擊可繞過防禦規則的可能性，並獲得30萬美元（約近1,000萬元）的獎勵，這不僅展現臺灣資安研究人員的專業與高效率，在國際級資安危機扮演關鍵的聯防角色，也帶出一個問題：當一項關鍵漏洞衝擊全球開發框架時，整個資安生態系的聯防體系如何運轉？</p> <p>或許有人會問，面對漏洞的因應，責任到底該如何認定？經我們盤點多方資訊後，可以歸納出一個結論：這場從漏洞發現、修補，到各方協助緩解、促進修補的應對過程，本質上是一場跨越各環節的防禦接力賽。</p> <h3><strong>第一棒：核心修補與協調披露</strong></h3> <p>以React2Shell而言，研究人員Lachlan Davidson在11月29日透過Meta漏洞獎勵計畫通報，隔日Meta資安研究人員確認漏洞後，React團隊也火速完成修補方案的開發，並在12月3日漏洞公開前，與相關生態系進行協調披露，以利在公開前部署緩解措施，為全球尚未及時更新程式碼的開發者與企業，建立起第一道緩衝防線。</p> <h3><strong>第二棒：邊緣緩解與WAF的攻防拉扯</strong></h3> <p>接下來，這場防禦接力賽交棒到防禦端的各個關卡，像是雲端業者、主機代管業者、CDN業者、WAF業者相繼透過虛擬補丁形式，運用WAF針對React2Shell的攻擊特徵（Payload）進行攔截，協助受影響用戶爭取到更充裕的修補緩衝期，以進行版本升級與相容性測試。</p> <h3><strong>第三棒：風險盤點與通報鏈</strong></h3> <p>在React2Shell漏洞修補釋出與邊緣防護運作的同時，企業既有採購的各類資安產品與服務，也會啟動各自的通報機制，形成另一條平行的情報鏈。例如，首當其衝的是企業建置的弱點管理系統、外部攻擊面管理平臺或SBOM分析工具，將透過管理儀表板警示、Email通報，甚至透過API或Webhook整合，提醒企業盤點受影響的資產。其他類型資安業者也可能同步示警，建議用戶儘速修補，像是雲端服務供應商、應用託管平臺、WAF等業者，還有SOC、EDR廠商除了在攻擊活動發生時要及時反映，漏洞揭露後同樣可能為了服務客戶，通知企業暴露於風險的狀況。</p> <h3><strong>第四棒：漏洞修補的最後一哩路</strong></h3> <p>最後還有另一重要關鍵：漏洞修補的最後一哩路，始終落在用戶身上。換言之，漏洞修補從來不是單一責任，而是一場與時間賽跑的聯防行動。<br /> </p> <h2><span style="color:#B22222;"><strong>研究人員還可以持續關注哪些面向？</strong></span></h2> <p>更進一步來看，對於受影響用戶而言，各環節是否確切落實，我們認為這將是研究人員可延伸探討的問題。</p> <p>以上述第一棒的核心修補層面而言：在研究人員通報後，這次漏洞問題最關鍵的部分，是React開發團隊的產品安全事件應變，而修補品質將是一大考驗，因為過去曾有研究人員揭露廠商或維護者漏洞修補不全，導致可被繞過的情形。</p> <p>以這起事件來看，確實有研究人員在檢視React2Shell（CVE-2025-55182）的修補後，發現仍有被繞過的可能，促使React開發團隊在修補發布後間隔一星期，<a href="https://www.ithome.com.tw/news/172790">又揭露3項新弱點</a>，包括CVE-2025-55184、CVE-2025-67779、CVE-2025-55183，指出原先修補後的程式碼雖已封堵直接導致RCE的攻擊路徑，但在特定條件下，仍可能被利用導致DoS或資訊外洩等風險。其後在2026年1月，研究人員指出CVE-2025-55184的再修補仍有不足，React開發團隊又以CVE-2026-23864進一步修補。這也意味著，即使已完成初步升級的用戶，仍需持續更新至後續修補版本。</p> <p>在第二棒的層面中，防禦緩解的成效，很大程度取決於WAF規則撰寫的精準度。像是近期我們報導Vercel透過漏洞獎勵競賽蒐集繞過手法、快速更新防護規則，正是為了持續優化這道防線，也讓外界更關注WAF在解析語義差異與複雜攻擊情境下的攻防拉扯。因此，各家WAF所提供虛擬補丁的強度與覆蓋能力，也成為企業用戶關注的重點，並可作為研究人員持續投入的方向。</p> <p>至於第三棒的層面，相關資安工具與服務的通知，是否即時且能協助採取行動，仍是實務上值得持續檢視的環節。</p> <p>當然，漏洞修補的最後一哩路始終落在用戶本身，若不修補，風險將會持續存在。除非像是半導體OT場域的機臺可停機時間極短，難以定期修補漏洞與系統更新，對於暫時無法修補的情境，企業則需搭配更嚴謹的多層次緩解措施，盡可能縮小攻擊面，並在風險承受與營運持續之間進行實務權衡。</p> <p> </p> </div></div></div>
3/25 16:25作者羅正漢https://www.ithome.com.tw/news/174644
Arm正式發表自家AI晶片AGI CPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://newsroom.arm.com/blog/introducing-arm-agi-cpu" target="_blank">Arm週二（3/24）發表</a>首款自研資料中心處理器Arm AGI CPU，將業務從既有的IP授權與運算子系統（Compute Subsystems，CSS）進一步延伸至晶片產品層。Arm AGI CPU鎖定AI資料中心與代理人式AI應用，由Meta擔任主要合作夥伴並參與共同開發，將大規模部署於其AI基礎設施。</p> <p>過去Arm主要提供處理器架構與設計IP，是全球主要的CPU架構供應商之一，其技術廣泛應用於智慧型手機、雲端資料中心與各類運算設備，並以授權費與權利金為主要收入來源。Arm雖為上市公司，但日本軟體銀行（SoftBank）約持有9成股權，控制權高度集中。</p> <p>Arm執行長Rene Haas表示，隨著AI快速改變運算架構，特別是代理人式AI帶動長時間運行與大規模任務協調需求，客戶開始尋求能更快部署的Arm運算平臺，因此公司進一步擴展至量產晶片，提供合作夥伴更多部署選項。</p> <p>Arm AGI CPU採用Arm Neoverse V3架構，由台積電負責製造。單顆處理器最高搭載136個核心，單核心記憶體頻寬達6GB/s，延遲低於100奈秒，並採約300W功耗設計。系統支援高密度機架部署，在氣冷配置下每機架可達8,160核心，液冷則可擴展至45,000核心以上。Arm表示，該處理器在機架層級的效能可達傳統x86架構的2倍，並有助提升AI資料中心的運算密度與加速器利用率。</p> <p>從技術角度來看，外界普遍認為Arm AGI CPU的設計重點不在單顆處理器效能，而是強調「機架層級」的運算效率與密度。其透過高記憶體頻寬與較高的每執行緒效能，提升整體運算利用率，特別適合長時間運行且高度平行的代理人式AI工作負載。</p> <p>它的主要競爭對手仍是Intel與AMD的x86資料中心CPU，也會與其他雲端業者基於Arm架構設計的處理器競爭，例如AWS、Nvidia與微軟等業者自行研發的CPU。</p> <p>Meta在此案中擔任主要合作夥伴與共同開發者。<a href="https://about.fb.com/news/2026/03/meta-partners-with-arm-to-develop-new-class-of-data-center-silicon/" target="_blank">Meta表示</a>，雙方將共同開發多個世代的CPU，並將Arm AGI CPU整合至其自有晶片布局中，與自研的MTIA加速器搭配運作。Meta基礎設施負責人Santosh Janardhan指出，隨著AI工作負載快速成長，傳統CPU已難以滿足需求，因此需透過客製化晶片提升資料中心的運算密度與整體效能。</p> <p>此次的行動被視為是Arm歷年來最重大的策略延伸之一，不僅首次跨入晶片產品市場，也開始與過去的客戶形成競合關係。市場分析認為，Arm此舉在於切入規模上看千億美元的資料中心CPU市場，以在AI基礎設施快速成長的浪潮中，擴大其收入來源與影響力。另一方面，這也意味著Arm需承擔更高的資本投入與營運風險，亦有可能影響Arm與既有客戶的長期合作關係。</p> </div></div></div>
3/25 13:22作者陳曉莉https://www.ithome.com.tw/news/174667
從理解到規畫決策只要1秒，LeWM加速世界模型落地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>有別於目前主流的生成式AI，前Meta首席AI科學家Yann LeCun最近帶領研究團隊，<a href="https://x.com/lucasmaes_/status/2036080584569618741">發表一款新模型LeWorldModel（LeWM）</a>，不只能從影像直接學習環境變化，還能在1秒內完成行動規畫。重點是，這套模型訓練方式大幅簡化，讓原本難以落地的JEPA技術，開始變得更實用。</p> <h2><strong>不只是生成，而是預測接下來會發生什麼</strong></h2> <p>過去幾年，AI的主流發展幾乎都在生成內容，比如ChatGPT生成文字、影像模型生成圖片或影片等，本質上都是在預測下一個字或下一個像素。但現在，有一群研究者在做一件不太一樣的事，也就是讓AI理解世界怎麼運作，而不是讓AI生成內容。</p> <p>這項研究的核心技術，是Yann LeCun近年一直推崇的JEPA（Joint Embedding Predictive Architecture）。它的運作方式貼近人類思考模式，比如看到一個畫面，不是去記每個細節，而是抓重點，然後預測接下來會發生什麼事。</p> <p>舉例來說，我們看到一顆球正往前滾，大都會直覺判斷它繼續往前滾，而不是突然消失或飛起來。JEPA想做的，就是讓AI也具備這種能力。</p> <h2><strong>新方法大幅簡化訓練流程，解決模型很難訓練的痛點</strong></h2> <p>不過，這種模型長期以來，一直有個大麻煩：很難訓練成功。因為這類模型常常學不到有用的資訊，研究人員必須加很多「補丁」，像是額外的訓練技巧或特殊設計，才能勉強讓它執行。這個缺陷，也讓JEPA一直停留在研究階段，很難實際應用。</p> <p>不過，這次團隊發表的LeWorldModel找到一個解方，把原本複雜的訓練流程，簡化到只剩兩個關鍵步驟。第一是讓模型預測「下一步的狀態」；第二是透過一種數學方法SIGReg，來確保模型學到的資訊不會崩塌或失真。</p> <p>這種設計，讓研究人員不再需要各種複雜技巧，就能穩定訓練模型。</p> <h2><strong>小模型也能做規畫，1秒就完成決策</strong></h2> <p>除了更容易訓練，這個新模型還有一個亮點：<strong>速度很快，而且也很省資源。</strong>因為，整個模型只有約1,500萬個參數，在單張GPU上就能訓練完成。更重要的是，它不到1秒，就能完成一段規畫（Planning），也就是模擬未來可能發生的情況，並選擇下一步行動。</p> <p>在實測上，與經典的世界模型DINO-WM，LeWM規畫時間快了48倍，也因此更接近實際應用，比如機器人即時決策。</p> <p>這個研究也反映出，AI開始從生成內容，走向理解環境並採取行動。尤其，近年在機器人和Agent系統中，「世界模型」與「規畫能力」逐漸成為重要的研究方向，也被視為AI落地應用的關鍵能力之一。</p> <p>雖然LeWM讓JEPA架構更接近實際應用，但離真正落地仍有段距離。比如，目前仍不確定，模型在更複雜的環境中是否仍能維持穩定表現，以及在更大的應用規模下，是否仍保持一樣的效率。但可以確定的是，這項研究讓原本難以訓練的JEPA，開始變得更簡單、更穩定，也讓AI理解世界並做決策這件事，從理論慢慢走向可行。</p> <p></p> </div></div></div>
3/24 19:07作者王若樸https://www.ithome.com.tw/news/174646
從VR轉向手機，Meta調整Horizon Worlds策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta近日調整Horizon Worlds策略。Quest官方社群原本<a href="https://communityforums.atmeta.com/blog/AnnouncementsBlog/updates-to-your-meta-quest-experience-in-2026/1369435" target="_blank">於本週宣布</a>，Horizon Worlds與Events將在3月31日前從Quest商店下架，Quest上的Horizon Worlds app也會在6月15日移除，後續由手機版承接。不過Meta技術長Andrew Bosworth<a href="https://www.instagram.com/stories/highlights/18021076667812693/" target="_blank">隨後澄清</a>，VR版Horizon Worlds在「可預見的未來」仍會存在，意味著Meta並未完全關閉VR版本，只是產品主軸已從VR優先轉向手機優先。</p> <p>Meta在2021年10月正式從臉書（Facebook）<a href="https://www.ithome.com.tw/news/147558" target="_blank">更名為Meta</a>，藉以宣誓公司未來將致力於打造新一代的元宇宙（Metaverse）；同年12月<a href="https://www.ithome.com.tw/news/148300" target="_blank">開放</a>北美用戶測試Horizon Worlds虛擬社交平臺，該平臺允許使用者於虛擬世界中建立自己的世界，打造自己的遊戲，或者是探索與執行他人所建造的世界與遊戲，當時只有Quest頭戴式虛擬裝置用戶才能存取Horizon Worlds，Horizon Worlds也被視為Meta元宇宙願景的重要元素。</p> <p>然而，Horizon Worlds在VR領域的發展似乎不如預期。Meta在2月19日<a href="https://developers.meta.com/horizon/blog/2026-vr-state-of-the-union-horizon-mobile-focus/" target="_blank">宣布</a>，將拆分Quest VR平臺與Horizon Worlds平臺，其中，Quest持續聚焦VR內容與開發者生態，Worlds則幾乎全面轉向行動裝置。</p> <p>Meta解釋，這是因為手機端的成長大幅超越VR。光是在2025年，Horizon Worlds手機端的每月用戶數成長了4倍，手機端專屬的Worlds從0增加到逾2,000個，有4位創作者累計營收突破100萬美元，近百位創作者去年收入達6位數。相較之下，Quest頭戴裝置上有86%的有效使用時間流向第三方應用程式，而非自家Worlds。</p> <p>Bosworth之後則說，VR版Worlds仍會保留既有內容與用戶存取，但未來不再推出新的VR遊戲或大幅擴張內容。換言之，VR端的Horizon Worlds將進入維護模式，未來的成長則押注於手機端。</p> <p>現階段Meta並未完全退出VR，只是把重心從VR/AR<a href="https://www.ithome.com.tw/news/173336" target="_blank">轉向AI</a>，一方面裁撤Reality Labs員工，另一方面<a href="https://www.ithome.com.tw/news/173652" target="_blank">也規畫了</a>1,150億至1,350億美元的資本支出，以用來支援Meta超級智慧實驗室（Meta Superintelligence Labs）及核心業務。</p> </div></div></div>
3/20 14:17作者陳曉莉https://www.ithome.com.tw/news/174548
iOS漏洞攻擊鏈DarkSword鎖定加密錢包，iPhone攻擊開始走向變現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google、Lookout與iVerify周三（3/18）揭露一套名為DarkSword的iOS漏洞攻擊鏈，該攻擊鎖定iPhone用戶，能在短時間內竊取包含加密錢包在內的大量敏感資料。相較過去多數針對iPhone的攻擊以監控與情報蒐集為主，DarkSword不僅具備完整間諜能力，也明確鎖定加密資產，顯示行動裝置攻擊開始從單純監控延伸至以金錢為導向的變現動機。</p> <p>DarkSword攻擊鏈自2025年11月起即被Google觀測到，並持續出現在不同攻擊行動中；Lookout則在後續分析惡意基礎設施時還原出完整攻擊鏈，並與Google及iVerify共同確認該威脅並命名為DarkSword。</p> <p>根據<a href="https://cloud.google.com/blog/topics/threat-intelligence/darksword-ios-exploit-chain" target="_blank">Google威脅情報團隊（GTIG）的分析</a>，DarkSword並非單一漏洞，而是由6個安全漏洞串聯而成的完整攻擊鏈。攻擊首先利用Safari中的JavaScriptCore漏洞CVE-2025-31277與CVE-2025-43529取得遠端程式執行權，接著透過dyld中的CVE-2026-20700繞過Pointer Authentication Code（PAC）記憶體保護機制，為後續權限提升鋪路。</p> <p>在突破初始防護後，攻擊鏈進一步利用CVE-2025-14174從Safari的WebContent程序橫向移動至GPU程序，再透過CVE-2025-43510進一步進入權限更高的系統服務mediaplaybackd，完成沙盒逃逸。最後再利用核心漏洞CVE-2025-43520取得核心層級讀寫權限，實現對裝置的全面控制。整體而言，這6個漏洞分別對應遠端程式執行、防護繞過、沙盒逃逸與核心權限提升等不同階段，影響範圍涵蓋iOS18.4至18.6.2版本。</p> <p>其中，僅CVE-2026-20700在攻擊發生時仍屬零時差漏洞，其他漏洞多為已知弱點，但被駭客串聯運用，形成完整入侵鏈。<a href="https://support.apple.com/en-us/126346" target="_blank">蘋果已於今年2月釋出的安全更新中</a>修補相關問題。</p> <p>DarkSword主要透過所謂的水坑攻擊（Watering Hole Attack）感染裝置。駭客會先入侵合法網站（如新聞網站或政府網站），在頁面中植入惡意iframe。當使用者利用iPhone的Safari瀏覽這些網站時，裝置會在不需額外操作的情況下自動載入惡意程式碼，進而觸發漏洞攻擊鏈，完成入侵。</p> <p>在成功取得系統權限後，DarkSword會載入後續的資料竊取模組，從多個系統服務與應用程式中蒐集敏感資訊。<a href="https://www.lookout.com/threat-intelligence/article/darksword" target="_blank">Lookout指出</a>，該工具可存取包括簡訊與即時通訊紀錄、通訊錄、通話紀錄、電子郵件、照片、iCloud資料、瀏覽紀錄、Wi-Fi設定與密碼等內容，甚至涵蓋裝置位置、健康資料與已儲存的帳號密碼，幾乎可完整還原使用者的數位活動。</p> <p>值得注意的是，DarkSword亦明確鎖定加密資產，能擷取多種主流交易所與錢包應用中的資料，包括Coinbase、Binance、Kraken、MetaMask等服務。Lookout指出，該攻擊在完成資料蒐集後，會在數秒至數分鐘內將資料傳送至遠端伺服器，並清除裝置上的相關痕跡後結束執行，屬於「快速滲透、快速撤離」的攻擊模式，進一步提升偵測與取證難度。</p> <p>整體而言，DarkSword顯示行動裝置攻擊正出現結構性變化。過去高階iOS漏洞多用於針對特定目標的監控與情報蒐集，但此次攻擊同時結合間諜能力與加密資產竊取，顯示駭客開始將手機視為可直接變現的資產入口。</p> <p>研究人員也發現，DarkSword並非由單一駭客使用，而是已被多個威脅行為者採用。這反映出原本多用於高端監控的iOS漏洞攻擊工具，已開始出現跨組織流通與重複利用的情況。隨著高階攻擊能力逐漸擴散，行動裝置所面臨的安全風險亦同步升高。</p> <p>由於該攻擊屬短暫且無感的入侵，一般使用者難以察覺是否遭到感染，研究人員建議，使用者應儘速更新iOS至最新版本，以修補已知漏洞並降低被駭風險。</p> </div></div></div>
3/19 13:53作者陳曉莉https://www.ithome.com.tw/news/174523
【資安日報】3月17日，駭客透過遠端裝置管理平臺抹除Stryker近8萬臺裝置的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/174435"><strong style="font-size: 22px;">駭客組織Handala攻擊美國醫療科技公司Stryker，傳出透過遠端裝置管理平臺抹除8萬臺裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/17-3-2026_105351_www_stryker_com.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/17-3-2026_105351_www_stryker_com.jpeg" style="width: 300px; float: right;" /></a></p> <p>3月11日美國醫療科技公司Stryker遭遇網路攻擊，該公司內部使用的微軟環境出現中斷，強調他們並未感染惡意軟體，或被勒索軟體加密檔案，當時該公司多個國家的員工筆電與行動裝置，傳出資料遭到遠端清除。現在有新聞報導指出，駭客並未使用惡意軟體，而是透過Stryker採用的裝置管理平臺來達到目的。</p> <p>根據資安新聞網站Bleeping Computer報導，知情人士透露，與伊朗情報與國家安全部（MOIS）的駭客團體Handala（也叫做Handala Hack Team、Hatef、Hamsa），成功入侵Stryker一個管理員帳號，並建立新的全域管理員帳號後，於世界協調時間（UTC）3月11日凌晨5時至8時，透過微軟的雲端端點管理服務Intune，下達指令抹除近8萬臺裝置的資料。換言之，這些駭客並未使用自行打造的惡意程式，就達到破壞該公司運作的目的。</p> <p><a href="https://www.ithome.com.tw/news/174440"><strong style="font-size: 22px;">後門程式Drillapp鎖定烏克蘭，濫用瀏覽器除錯功能隱匿行蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Captura-desde-2026-03-10-17-13-13.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Captura-desde-2026-03-10-17-13-13.png" style="width: 300px; float: right;" /></a></p> <p>資安公司S2 Group旗下的威脅情報團體Lab52揭露後門程式Drillapp，外號為Void Blizzard、Laundry Bear，以及UAC-0190的俄羅斯駭客，於今年2月鎖定烏克蘭的企業組織，假借司法與慈善有關的主題為誘餌，意圖散布後門程式。此後門程式以JavaScript為基礎打造，並透過Edge瀏覽器執行，使得攻擊者能上傳或下載檔案、使用麥克風，或是透過瀏覽器啟動網路攝影機來拍照。</p> <p>針對駭客散布Drillapp的途徑，Lab52指出大致有兩種。其中較早出現的是透過LNK檔啟動攻擊鏈，一旦使用者執行LNK檔，電腦就會在暫存資料夾建立HTML檔案，從程式碼共享服務Pastefy載入指令碼。為了能持續於受害電腦活動，駭客將所有LNK檔案複製到啟動資料夾。</p> <p><a href="https://www.ithome.com.tw/news/174422"><strong style="font-size: 22px;">星巴克內部系統遭遇入侵，數百名員工資料外洩</strong></a></p> <p>連鎖咖啡業者星巴克（Starbucks）近日揭露一起資料外洩事件，影響其內部員工系統Partner Central的帳號，導致數百名員工個人資料可能洩露。</p> <p>在提交給緬因州檢察長辦公室（Maine Attorney General）的資料外洩通知中，星巴克表示在2月6日發現約889個員工帳號資訊可能外洩，洩露的資訊包括姓名或其他個人識別碼，該公司已通知相關人員並展開事件調查，同時通報執法單位。</p> <p><a href="https://www.ithome.com.tw/news/174448"><strong style="font-size: 22px;">勒索軟體INC Ransom針對大洋洲醫療照護產業發動攻擊</strong></a></p> <p>澳洲網路安全中心（ACSC）、東加王國國家電腦緊急應變團隊（CERT Tonga），以及紐西蘭國家網路安全中心（NCSC）最近發布聯合警告，指出過往主要鎖定美國和英國的勒索軟體INC Ransom，以及其附屬團體，自2025年開始，攻擊澳洲、紐西蘭，以及太平洋島國的情況，變得越來越頻繁，而且，有不少攻擊行動是針對醫療照護產業，呼籲相關機構要嚴加防範相關威脅。</p> <p>其中，發生在澳洲的事故數量最多，ACSC從2024年7月1日至2025年12月31日，總共獲報發生11起INC Ransom攻擊行動，並參與事件應變，這些事故主要影響專業服務與醫療照護領域。</p> <p><a href="https://www.ithome.com.tw/news/174436"><strong style="font-size: 22px;">CISA警告Wing FTP資訊外洩漏洞已被用於攻擊，要求用戶盡速更新修補</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）近日警告，檔案傳輸軟體Wing FTP Server的漏洞已被實際利用，並將其納入已知遭利用漏洞清單（KEV），要求各機構儘速修補。</p> <p>Wing FTP Server為中小企業與個人環境常見的跨平臺檔案傳輸軟體，也有大型用戶使用，這次CISA警告的漏洞是CVE-2025-47813，問題出在Web登入流程對於輸入字串的處理不當，可能導致伺服器回傳錯誤訊息並洩露系統完整安裝路徑，造成資訊外洩。這個漏洞會影響7.4.3以前版本，解決辦法是更新到7.4.4以上版本。</p> <p><a href="https://www.ithome.com.tw/news/174423"><strong style="font-size: 22px;">蠕蟲程式GlassWorm於Open VSX市集從事新一波攻擊，濫用延伸套件相依性躲過套件審核流程</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5d688ef11013e22e800748242c59d68b6645a66b-2048x1141.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5d688ef11013e22e800748242c59d68b6645a66b-2048x1141.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Socket提出警告，他們在Open VSX偵測到新一波的GlassWorm活動，從1月31日起，總共看到72個有問題的VS Code延伸套件，有別於過往駭客直接在套件嵌入有效酬載，或是惡意程式載入工具（Loader），這次他們濫用看似無害的套件通過市集審查流程，與使用者建立信任關係之後，才在後續更新拉取GlassWorm相關的延伸套件。</p> <p>這種做法削弱了惡意元件的能見度，使得市集對於新套件的首次上架審核流程，不足以正確的評估這種套件的危害程度。對此，Socket呼籲企業組織，當務之急是稽核延伸套件的更新記錄，而非只針對最新版程式碼進行檢查，並封鎖與GlassWorm有關的基礎設施及指標。</p> <p><a href="https://www.ithome.com.tw/news/174446"><strong style="font-size: 22px;">NPM套件供應鏈攻擊PhantomRaven再度出現，攻擊者4個月內發動3波攻擊活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69b0628e0317937566275b9b_31bf23f5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69b0628e0317937566275b9b_31bf23f5.png" style="width: 300px; float: right;" /></a></p> <p>2025年10月資安公司Koi Security揭露大規模NPM套件攻擊行動PhantomRaven，攻擊者一共上架126個套件，藉由遠端動態相依性（Remote Dynamic Dependencies，RDD）的方式，躲過大部分NPM生態系統資安工具的偵測，後續另一家資安公司Sonatype發現83個惡意套件，使得這起活動的套件數量超過200個。最近有新的發現，指出相關活動仍持續進行。</p> <p>資安公司Endor Labs提出警告，他們在2025年11月至2026年2月，一共看到3波PhantomRaven攻擊，攻擊者先後共上架88個惡意套件，值得留意的是，這些套件仍有81個未遭到移除，3個C2伺服器有2個仍在運作。</p> <p><a href="https://www.ithome.com.tw/news/174427"><strong style="font-size: 22px;">企業過半敏感雲端資料未加密，Thales調查報告發出警示</strong></a></p> <p>企業保護敏感資料的前提，是知道敏感資料的所在，對敏感資料做出適當的分類，並提供基本的加密保護。但Thales近日發布的《2026年資料威脅報告》指出，只有34%企業能掌握資料位置，僅39%企業對資料敏感程度進行分類，更讓人驚訝的是僅有47%的雲端敏感資料受到加密保護，顯示許多企業對敏感資料的掌握與保護均不足。</p> <p>Thales的報告同時指出，包括雲端儲存、SaaS應用與雲端管理基礎設施在內的雲端資料，被受訪者列為前3大攻擊目標，對照前述過半雲端敏感資料尚未加密的數字，更凸顯出保護雲端資料的迫切性。</p> <p><a href="https://www.ithome.com.tw/news/174437"><strong style="font-size: 22px;">Google、微軟、Amazon、Meta等科技巨頭簽署協議以共同對抗網路詐騙</strong></a></p> <p>Google週一（3月16日）宣布，他們在聯合國於維也納舉行的全球反詐騙高峰會（UN Global Fraud Summit I）上，已與微軟、Amazon，以及Meta等科技巨頭簽署了《打擊網路詐騙產業協議》（Industry Accord Against Online Scams & Fraud），將整合各方力量，分享威脅情報，協調防禦措施，以共同打擊全球的詐騙份子。</p> <p>該會議是由聯合國毒品和犯罪問題辦公室（United Nations Office on Drugs and Crime）主導，該辦公室指出，詐騙已成為有組織犯罪集團的核心業務，而且日益跨國化。由於詐騙行為往往在孤立狀態下滋生，任何單一的司法管轄區或者是部門都無法獨自應對，此次的反詐騙高峰會即匯集了各國政府、執法部門、私部門以及民間社會，旨在加強合作，將承諾轉化為實際成果。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uks-companies-house-confirms-security-flaw-exposed-business-data/">英國公司監管機關Companies House修補網頁表單漏洞，恐曝露500萬家企業近5個月資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2026/03/clickfix-campaigns-spread-macsync-macos.html">駭客假借提供AI工具從事ClickFix網釣，企圖對macOS用戶散布竊資軟體MacSync</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/global-surge-fake-shipment/">假貨運追蹤網釣手法激增，許多駭客利用網釣工具包Darcula從事攻擊活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/189069/cyber-warfare-2/iran-linked-hackers-target-ip-cameras-across-israel-and-gulf-states-for-military-intelligence.html">為支援軍事情報，伊朗駭客入侵以色列及海灣國家的IP攝影機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.intel471.com/blog/israeli-us-strikes-against-iran-triggers-a-surge-in-hacktivist-activity">美國與以色列對伊朗發起軍事行動，伊朗駭客發動DDoS攻擊、俄羅斯駭客表態聲援伊朗</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/174425"><strong>【3月16日】歐美多國合作圍剿常駐型代理伺服器網路SocksEscort</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174389"><strong>【3月13日】蘋果為舊裝置修補遭Coruna利用的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/174365"><strong>【3月12日】Google完成併購Wiz，將整合到Google Cloud事業群</strong></a></p> </div></div></div>
3/17 17:37作者周峻佑https://www.ithome.com.tw/news/174452
AI軍備競賽燒6500億，蘋果只花140億靜觀其變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在AI基礎設施投資快速升溫之際，市場研究機構<a href="https://asymco.com/2026/03/10/the-most-brilliant-move-in-corporate-history/" target="_blank">Asymco分析師Horace Dediu</a>上週提出一項具爭議的觀點，指出當Amazon、Google、微軟與Meta合計投入約6500億美元建設AI資料中心時，蘋果卻維持約140億美元資本支出，幾乎未參與這場算力競賽，很可能是「史上最愚蠢或最聰明的決策」。</p> <p>這是因為AI模型正快速商品化，開源模型與低成本訓練正在削弱巨額投資所形成的護城河。在此情境下，蘋果選擇不自建模型，而是透過授權外部模型（如Gemini）取得AI能力，並保留切換供應商的彈性。</p> <p>相較之下，其競爭對手正大幅提高資本支出。Amazon今年在AI資料中心投入2,000億美元，Google為1,850億美元，微軟1,140億美元，Meta則為1,350億美元，合計達6,500億美元，這樣的規模，相當於每年打造一支美國海軍。而且，它們是將絕大多數的營運現金流投入AI基礎設施建設，這些曾是史上最賺錢的現金機器，如今卻得借錢來維持資料中心的正常運作。</p> <p>Dediu說，這些業者花了6,500億美元，而AI服務的總收入只有350億美元，僅占基礎設施支出的5%。儘管人們夢想著AI能帶來更多收益，可目前AI的商業模式尚未引起廣泛的市場共鳴。</p> <p>根據美國資產託管銀行<a href="https://www.mellon.com/insights/insights-articles/record-breaking-ai-related-debt-issuance-in-2025.html" target="_blank">BNY Mellon的研究</a>，包括Amazon、Alphabet/Google、Meta、微軟及甲骨文在2025年已發行約1,210億美元的公司債，且Morgan Stanley等機構亦預估未來AI相關融資需求可能達1.5兆美元，顯示業者正大量透過舉債支應AI基礎設施投資。</p> <p>另一方面，蘋果在2025財年的實際資本支出約為127億美元，估計2026財年將增至130~140億美元。這家公司拒絕像Amazon或Google般地巨額投入AI資料中心，其主要的模型策略是取得外部模型的授權，每年成本約為10億美元，而且可隨時更換供應商。蘋果利用自家晶片來強化端點AI，把全球的蘋果裝置視為分散式運算節點，這使得Dediu認為，蘋果押注AI價值將回歸用戶與裝置生態。</p> <p>Morgan Stanley則明確支持AI基礎設施投資。<a href="https://www.morganstanley.com/insights/articles/ai-market-trends-institute-2026" target="_blank">該機構指出</a>，AI已從單一科技應用轉變為帶動經濟成長的工業級建設，預估至2028年全球資料中心投資規模將接近3兆美元，且多數支出仍在未來幾年逐步釋出，顯示算力需求遠未飽和。</p> <p>而在Dediu質疑AI基礎設施的大規模支出的同一天（3/10），Nvidia創辦人暨執行長<a href="https://blogs.nvidia.com/blog/ai-5-layer-cake/" target="_blank">黃仁勳撰文指出</a>，AI並非單一應用或模型，而是如同電力與網路般的關鍵基礎設施，其運作建立在由電力、晶片、基礎設施、模型到應用構成的五層架構之上。目前全球僅投入數千億美元，整體建設仍處早期階段，未來仍需數兆美元資本支出，並可能成為人類史上規模最大的基礎建設之一。</p> <p>黃仁勳表示，AI正帶動新一波產業需求，包括電工、管線工程師、網路技術人員等技術勞動力，同時也提升知識工作的生產力，可望進一步擴大整體經濟規模。</p> </div></div></div>
3/17 18:21作者陳曉莉https://www.ithome.com.tw/news/174453
AI算力外包成趨勢，Meta採用Nebius雲端資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://nebius.com/newsroom/nebius-signs-new-ai-infrastructure-agreement-with-meta" target="_blank">Nebius週一（3/16）宣布</a>，已與Meta簽署長期AI基礎設施供應協議。根據協議，Nebius將在未來5年提供價值120億美元的專屬算力容量，並自2027年起開始交付，部署將涵蓋多個地點，並建立在Nvidia Vera Rubin平臺的大規模基礎設施之上。</p> <p>此外，Meta也承諾在未來5年內，針對Nebius部分即將建置的新算力叢集，追加採購最多150億美元資源，使整體合作規模最高達約270億美元。Nebius指出，相關新建叢集仍會服務其AI雲其它客戶，剩餘容量再由Meta優先承接。</p> <p>從合作模式來看，Meta透過長期合約預先鎖定算力，並保留後續擴充彈性，反映AI基礎設施市場正從隨需租用轉向長期容量預購。在模型訓練與推論需求快速成長下，大型科技公司也開始導入外部AI雲，以加速擴張並降低基礎設施建置壓力。</p> <p>Nebius前身為Yandex控股公司，總部設於荷蘭，2011年於那斯達克上市。2022年俄烏戰爭後，Yandex受制裁影響，國際業務受阻並暫停交易，隨後於2024年出售俄羅斯本土業務，將海外資產重組為Nebius，並全面轉型為AI基礎設施業者，專注提供GPU叢集與AI運算服務。</p> <p>在Meta之前，<a href="https://www.ithome.com.tw/news/171069" target="_blank">Nebius已與微軟</a>簽署為期5年的AI雲端運算協議，合約金額最高達194億美元，為微軟資料中心提供GPU架構。</p> <p>根據Nebius所公布的<a href="https://assets.nebius.com/assets/2829268f-924f-4846-87b5-2365b7e58b41/Financial%20results_Q4%202025_11022026.pdf?cache-buster=2026-02-12T09:48:03.404Z" target="_blank">財報</a>，該公司在2025年締造5.3億美元的營收，比2024年成長479%。然而，Nebius去年的營業費用多達11.25億美元，遠高於營收，主要反映公司大幅投入AI基礎設施建設，包括GPU設備與資料中心帶來的折舊與攤銷費用大幅增加，顯示其仍處於以高資本支出換取成長的擴張階段。這使得該公司在2025年虧損了近4.5億美元，還多過前一年的2.4億美元虧損。</p> <p>Nebius的客戶涵蓋AI新創、研究機構與大型企業，累積訂單規模已超過200億美元。</p> <p>市場需求讓Nebius的腳步飛快，自今年3月以來相繼宣布位於美國密蘇里州、最大容量為1.2GW的<a href="https://nebius.com/newsroom/nebius-secures-approval-for-its-first-gigawatt-scale-ai-factory" target="_blank">AI工廠</a>計畫；任命亞太區/日本總經理John Haarer，以<a href="https://nebius.com/newsroom/nebius-expands-into-asia-pacific-region-to-support-rapid-global-growth" target="_blank">將服務版圖擴張</a>至新加坡、日本、韓國與印度；Nvidia與Nebius<a href="https://nebius.com/newsroom/nvidia-and-nebius-partner-to-scale-full-stack-ai-cloud" target="_blank">建立策略合作</a>，將投資20億美元，並<a href="https://nebius.com/newsroom/nebius-teams-with-nvidia-to-build-cloud-for-robotics-and-physical-ai" target="_blank">共同推出</a>針對機器人及實體AI的雲端平臺。</p> <p>另一方面，大型科技業者正開始將AI算力由自建轉向外部採購。除了Meta與Nebius外，OpenAI與CoreWeave，Google與第三方資料中心業者，以及Microsoft自建與外包並行的模式，都顯示算力供給正由少數超大雲端廠，擴展至專門的AI基礎設施業者。在需求爆發與建置成本高漲下，AI算力正加速走向長期合約化與專業分工。</p> </div></div></div>
3/17 14:20作者陳曉莉https://www.ithome.com.tw/news/174443
Nvidia發表Vera Rubin平臺，一口氣推CPU、GPU、LPU等7款晶片，瞄準代理AI的AI工廠需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Nvidia在美國聖荷西舉行的GTC 2026大會上，正式發表下一代AI基礎建設Vera Rubin平臺，一系列推出7款晶片，包括Vera CPU、Rubin GPU、NVLink 6高速連結交換器、Blue Field-4DPU、Spectrum -6乙太網路交換器、Connect X -9 SuperNIC及Groq 3 LPU，來打造新一代AI超級電腦，滿足代理式AI的AI工廠需求。</p> <p>Nvidia執行長黃仁勳形容Vera Rbin為垂直整合，完全與軟體整合延伸到端到端的龐大系統，因為代理AI最重要的工作負載是思考，所需要的大型語言模型會越來越大，產生更多的詞元，快速思考需要對記憶體的存取，以及大量結構、非結構化資料的存取，因此需要全新設計的儲存系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87%E3%80%91NVIDIA%20Vera%20Rubin%20%E9%96%8B%E5%95%9F%E4%BB%A3%E7%90%86%E5%9E%8B%20AI%20%E6%96%B0%E5%89%8D%E6%B2%BF%20(1).jpeg" style="width: 600px; height: 338px;" /></p> <p>黃仁勳指出，7款晶片、5款機架設計，一個巨大的超級電腦，可驅動AI的每個階段，代理AI的轉捩發展來臨，將由Vera Rubin推動最大規模的AI基礎建設。</p> <p>目前7款晶片已經量產，Nvidia還發表採用這些晶片的5款不同功能機架設計，包含Vera Rubin NVL72 GPU 機架、Vera CPU 機架、專門用於推論加速的Groq 3 LPX 機架、BlueField-4 STX儲存機架，還有Spectrum-6 SPX乙太網路機架。</p> <p>其中Vera Rubin平臺採用百分百的液冷設計，去除複雜的纜線設計，採用45度水溫液冷，有助於減輕資料中心的負荷，降低冷卻資料中心的成本。</p> <p>Vera Rubin NVL72機架內部整合72顆的Rubin GPU與36顆的Vera CPU，單一GPU可提供50 petaflops的NVFP4運算能力，並配備 HBM4 記憶體。</p> <p>Vera Rubin NVL72機架搭配NVLink 6高速互連，以及ConnectX-9 SuperNIC、BlueField-4 DPU，來加速運算處理效能。Nvidia強調該機架用於訓練大型混合專家模型時，需要的GPU數量原本Blackwell的平臺的四分之一，Vera Rubin的每瓦推論資料傳送量提升10倍，意謂著每個詞元產生的成本最低可到十分之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202026-03-17%20%E4%B8%8B%E5%8D%882_32_25.jpeg" style="width: 600px; height: 296px;" /></p> <p>Vera Rubin NVL72可透過Nvidia Quantum-X800 InfiniBand與Spectrum-X乙太網路擴充GPU，用於打造更多GPU數量的大型AI工廠。</p> <p>另外，配合AI的快速思考、處理需求，Nvidia發表全新設計的CPU，Vera CPU，內部搭載88 個Nvidia客製化的Olympus核心，強調特別針對強化學習、代理AI的工作負載需要的大量CPU環境而設計。</p> <p>黃仁勳強調這是專為提高單一執行緒效能而設計的CPU，具有出色的數據處理，極致的每瓦效能表現的能源效率，該CPU具備世上其他CPU兩倍的效能，目前已開始量產，過去Nvidia沒有單獨銷售CPU，現在則開始單獨銷售CPU，這將會是數十億美元的業務。</p> <p>Vera CPU機架同樣採用液冷設計，其採用MGX架構，內部256顆CPU，這些CPU具有優異的單執行緒效能，並可透過Spectrum X整合多個機架，確保AI工廠內多CPU作業環境同步，搭配GPU機架處理大規模AI工作負載。</p> <p><span style="color:#B22222;"><strong>Vera Rubin結合LPU，提升兆級參數規模推論資料量及詞元效能</strong></span></p> <p>Vera Rubin平臺強調涵蓋AI的不同階段，包括推論，特別是在推論所需的運算效能，推出Groq 3 LPX 機架，推論加速架構針對大型情境、低延遲所設計。其內採用256顆的Groq 3 LPU、128GB SRAM、每秒640TB頻寬，叢集連結後可作為單一處理器來加速推論。</p> <p>LPX機架搭配Vera Rubin機架，用於處理兆級參數規模的推論資料，每兆瓦推論資料傳輸量可提高至35倍。另外，Rubin GPU與LPU搭配，提升每個詞元的decode效能。LPX機架預計在今年下半年推出。</p> <p>Vera Rubin機架的進階版則是Rubin Ultra，該平臺採用新的Kiber機架設計，不同於Rubin，Rubin Ultra的運算節點採用垂直插入設計，以提供更高的GPU密度，單一NVLink連接下可達到144個GPU。</p> <p>至於AI工廠內的儲存方面，Nvidia BlueField-4 STX儲存機架強調專為AI原生設計的儲存架構，特色是將GPU記憶體延伸至整個POD，內部採用CPU與 ConnectX-9 SuperNIC來提高STX的頻寬，以滿足LLM和代理AI工作負載產生的大量KV快取資料，針對儲存和讀取作最佳化。</p> <p>STX採用專為BlueField DPU設計的DOCA Memos軟體開發框架，強調和通用儲存的設計相比，推論時的資料輸送量提升高達5倍，進而帶來更高的能源效率。</p> <p>至於AI工廠內網路架構，Nvidia Spectrum-6 SPX乙太網路機架則針對東西向流量設計，可使用Spectrum-X乙太網路或Quantum-X800 InfiniBand，降低機架間的延遲、提高資料傳輸，確保多GPU的同步效率。</p> <p>該機架採用共同封裝光學元件(Co-Packaged Optics, CPO)的 Spectrum-X 乙太網路光子技術，這項技術將光學引擎與交換器晶片整合在同一封裝內，省去傳統的可插拔光纖收發器，其效益是光學能效比傳統提升高達5倍，韌性也提升10倍。</p> <p>Nvidia也發表針對Vera Rubin設計的Vera Rubin DSX AI工廠參考設計，高度整合運算、網路、儲存、電力、散熱系統，從架構上來提升資料中心的能效，使AI工廠在穩定運作、擴展且最大化運作時間。</p> <p>如同黃仁勳多次在不同活動中一再強調的，在AI時代之下，更強大效能的AI基礎建設，將使</p> <p>AI工廠的產出量愈多，詞元生成速度愈快，代表業者可獲得更多的營收(Revernu)。</p> <p>Nvidia目前已和Anthropic、Meta、Mistral AI、OpenAI等業者合作，以Vera Rubin訓練更大規模、更強大的模型。該公司也表示，Vera Rubin平臺的相關伺服器，將由HP、Dell、Cisco、聯想等業者推出，華碩、鴻海、技嘉接下來也將會推出相關的系統。</p> </div></div></div>
3/17 14:36作者蘇文彬https://www.ithome.com.tw/news/174444
Google、微軟、Amazon與Meta等科技巨頭簽署協議以共同對抗網路詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/innovation-and-ai/technology/safety-security/google-industry-accord-combat-scams-fraud/" target="_blank">Google週一（3/16）宣布</a>，已與微軟、Amazon與Meta等科技巨頭在聯合國於維也納舉行的全球反詐騙高峰會（UN Global Fraud Summit I）上，簽署了《打擊網路詐騙產業協議》（Industry Accord Against Online Scams & Fraud），將整合各方力量，分享威脅情報，協調防禦措施，以共同打擊全球的詐騙份子。</p> <p>該會議是由聯合國毒品和犯罪問題辦公室（United Nations Office on Drugs and Crime）主導，<a href="https://www.unodc.org/unodc/en/organized-crime/global-fraud-summit/index.html" target="_blank">該辦公室指出</a>，詐騙已成為有組織犯罪集團的核心業務，而且日益跨國化。由於詐騙行為往往在孤立狀態下滋生，任何單一的司法管轄區或者是部門都無法獨自應對，此次的反詐騙高峰會即匯集了各國政府、執法部門、私部門以及民間社會，旨在加強合作，將承諾轉化為實際成果。</p> <p>根據全球反詐騙聯盟（Global Anti-Scam Alliance，GASA）<a href="https://gasa.org/knowledge-base/reports/global-state-of-scams-2025" target="_blank">針對全球42個國家的調查</a>，2025年這些國家的消費者因詐騙損失了4,420億美元，而且有13%的消費者每天至少遇到一次詐騙。</p> <p>在聯合國的推動下，包括Google、Adobe、Amazon、Levi Strauss & Co., LinkedIn、Match Group、Meta、微軟、OpenAI、Pinterest與Target等業者都簽署了《打擊網路詐騙產業協議》，承諾採取強力措施來對抗詐騙。</p> <p>該協議有四大主軸，涵蓋制定並實施積極的詐騙預防措施，包括以AI驅動的偵測系統、強大的安全功能，以及清楚的使用政策；也會與彼此及執法機構共享資訊，以進一步辨識金融詐騙，並改善對詐騙的共同理解，以應對不斷演變的威脅；並將支援安全的數位轉型與防禦工具的部署，以期能即時回應詐騙行為；以及教育大眾對詐騙的認識，以免受到犯罪者的操縱。</p> <p>其實Google在2024年便與GASA及DNS Research Federation<a href="https://blog.google/innovation-and-ai/technology/safety-security/the-new-global-signal-exchange-will-help-fight-scams-and-fraud/" target="_blank">共同發起了全球訊號交換平臺</a>（Global Signal Exchange，GSE），以供成員分享全球詐騙情報。GSE透過集中詐騙網址、帳號與攻擊訊號，讓企業與機構共享資料並以AI分析詐騙模式，加速跨平臺偵測與防堵。</p> </div></div></div>
3/17 11:08作者陳曉莉https://www.ithome.com.tw/news/174437
Meta傳聚焦資源於AI，將裁員20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.reuters.com/business/world-at-work/meta-planning-sweeping-layoffs-ai-costs-mount-2026-03-14/" target="_blank">路透社報導</a>，Meta計畫裁減20%的員工，以平衡發展AI的龐大投資。</p> <p>報導引述二名消息來源人士指出，因應AI投資花費太大，公司主管接到指示要開始制訂裁員計畫以撙節開支。但是裁員幅度並未最後底定，計畫執行時程也未確定。</p> <p>根據Meta的<a href="https://investor.atmeta.com/investor-news/press-release-details/2026/Meta-Reports-Fourth-Quarter-and-Full-Year-2025-Results/default.aspx" target="_blank">官方資料</a>，截自2025年12月31日，公司員工數為78865人。如果報導成真，則有將近1.6萬人受到影響。</p> <p>在執行長Mark Zuckerberg的領軍下，Meta過去一年大舉增加對AI投資。這家社群平臺龍頭2025年成立超級智慧實驗室（SuperIntelligence Labs）以開發基礎AI模型，並且大舉收購AI新創公司及招攬頂尖AI人才。例如去年Meta從蘋果挖角的AI開發主管龐若鳴，薪資成本傳為4年2億美元。Meta並先後收購AI代理人開發平臺<a href="https://www.ithome.com.tw/news/173091" target="_blank">Manus</a>及社群平臺<a href="https://www.ithome.com.tw/news/174320" target="_blank">Moltbook</a>，可望吸收其團隊以強化自主代理人的能力。</p> <p>上一次Meta大裁員是為了削減疫情期間公司過度擴張的人員編制，分別在2022年11月及2023年裁減<a href="https://www.ithome.com.tw/news/154112" target="_blank">1.1萬</a>及<a href="https://www.ithome.com.tw/news/157036" target="_blank">1.1萬</a>人。期間有陸續規模大小不等的裁員，今年初亦<a href="https://www.ithome.com.tw/news/173336" target="_blank">裁減</a>開發VR/AR的Reality Labs及Horizon超過千人。</p> </div></div></div>
3/16 11:39作者林妍溱https://www.ithome.com.tw/news/174404
AI趨勢周報第286期：Perplexity喊出萬物皆電腦，推Personal Computer讓AI替你24小時工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0306～0312）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Perplexity </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Personal Computer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Perplexity喊出萬物皆電腦，推Personal Computer讓AI替你24小時工作</strong></span></p> <p>AI搜尋公司Perplexity近日提出萬物皆電腦的新願景，執行長Aravind Srinivas表示，當AI具備高準確率搜尋、多模型調度，以及代理式上網能力時，AI本身就能成為一臺「電腦」，直接理解目標並完成任務。</p> <p>其中最受關注的是Personal Computer，這是一套在Mac mini桌上型電腦上執行的AI系統，持續連接本地應用與Perplexity伺服器，充當使用者的「數位代理」，可跨工具整理檔案、執行任務，即使人不在電腦前，它也能持續工作。系統還有權限審核和Kill Switch功能，確保敏感操作都經使用者核准。</p> <p>Perplexity也同時推出Computer for Enterprise服務，可透過App連接器，直接查詢Snowflake、Salesforce等數百個企業工具。公司表示，內部測試顯示，該系統在4週內完成人類3.25年的工作量，節省約160萬美元人力成本。</p> <p>此外，Perplexity還發布Search、Agent、Embeddings、Sandbox等四大API，整合了Statista、PitchBook等專業資料來源，讓AI從回答問題進化到「直接完成工作」。<a href="https://www.perplexity.ai/hub/blog/everything-is-computer">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MoE </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia推出專為AI代理打造的大模型</strong></span></p> <p>Nvidia最近發布一款開放模型Nemotron 3 Super，主打支援日益複雜的AI代理應用。這款模型具1,200億參數，但在推論時只啟用120億活躍參數，來降低運算成本、提升效率。</p> <p>Nemotron 3 Super採混合式 + MoE架構，混合式是指模型採用Mamba層的高效率記憶能力，以及Transformer層的推理能力，讓資料吞吐量比前一代最高提高5倍。模型同時提供100萬Token的上下文窗口，讓AI代理在處理長任務時，能保留完整工作流程，例如一次分析大型程式碼庫或數千頁財務報告。</p> <p>在Blackwell GPU平臺上，模型可以NVFP4精度運行，推論速度可達Hopper平臺FP8運算的4倍，還能維持相同準確度。Nvidia也開放模型權重和研究方法，並公開超過10兆Token的訓練資料流程，讓開發者可在地端或雲端環境部署、客製化。<a href="https://developer.nvidia.com/blog/introducing-nemotron-3-super-an-open-hybrid-mamba-transformer-moe-for-agentic-reasoning/">（詳全文）</a></p> <p><img alt="" src="https://developer-blogs.nvidia.com/wp-content/uploads/2026/03/image3-3.webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI元老開源Autoresearch：讓AI代理自己跑實驗、幫LLM找最佳設定</strong></span></p> <p>OpenAI共同創辦人之一的Andrej Karpathy最近在GitHub開源新專案 Autoresearch，想把大型語言模型（LLM）研究中，那些繁瑣的調參數和實驗流程，都交給AI代理自動完成。</p> <p>這套框架做得很精簡，核心只有三個檔案：負責資料與環境準備的prepare.py、唯一會被AI修改的訓練程式train.py，以及由人類撰寫研究目標的program.md。使用者只要用文字說明任務，AI代理就會自行修改模型架構、調整超參數或訓練設定，接著啟動實驗並檢查結果。</p> <p>為了比較不同實驗，Karpathy把每次訓練都限制在5分鐘內完成。他實測讓AI代理持續跑2天、完成276次實驗，還真的替nanochat模型抓出29個優化點，甚至還讓模型達到GPT-2水準的訓練時間，從2.02小時縮短到1.8小時。目前Autoresearch主要在單張Nvidia GPU（如H100）環境測試，也點出一個有趣的趨勢：未來AI研究人員可能不用天天改程式，而是負責指導AI做實驗。<a href="https://github.com/karpathy/autoresearch">（詳全文）</a></p> <p><img alt="" src="https://github.com/karpathy/autoresearch/raw/master/progress.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯發創新基地 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Breeze 3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺語 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯發科Breeze 3新模型用1萬小時合成語料，解決臺語變調和在地防護難題</strong></span></p> <p>聯發創新基地（MediaTek Research）日前發表MR Breeze 3系列模型，透過大規模、高品質的資料工程，解決臺語語音技術長期面臨的變調複雜、書寫不一以及語料匱乏等挑戰。進一步來說，團隊這次推出3款模型，首先是語音辨識模型Breeze ASR 26，它基於OpenAI Whisper架構，以1萬小時的臺語合成語音訓練而成。與傳統朗讀式語料不同，這批訓練資料模擬了大量國臺語夾雜、自然語速和口語用詞，大幅提升模型處理臺灣日常晶晶體對話的準確度。</p> <p>另一款模型是專攻語音合成的BreezyVoice 26，採CosyVoice 2架構，可掌握臺語特有的聲調變化與節奏。模型在人工評測（MOS）中獲得5分滿分，也就是說，它產出的語音已非常接近真人發音的自然度。第三款模型是把關內容安全的Breeze Guard 26，它以Breeze 2 8B模型為基礎，額外針對1.2萬筆臺灣特有的風險情境（如在地詐騙話術、歧視性言論、政治操弄）進行微調。相較於國際通用安全模型，Breeze Guard 26更能精準判別繁體中文語境下的有害內容。</p> <p>另一方面，為推動在地AI生態系，聯發科還同步發表了臺語語音評測基準Breeze Taigi Benchmark、臺灣安全評測基準TS-Bench，並開源ASR和Guard模型。目前，所有模型功能都已整合至<a href="https://line.me/R/ti/p/@905yonxs">Breeze AI LINE官方帳號</a>，使用者可直接體驗AI聽、說臺語的能力。<a href="https://www.mediatek.com/zh-tw/tek-talk-blogs/mediatek-research-breeze-3">（詳全文）</a></p> <p><img alt="" src="https://www.mediatek.com/hs-fs/hubfs/MediaTek%20Assets/Images/Press%20Room/CHT/2026-Feb-26_Breeze-3-Tek-Talk-Blog/Sample-Breeze-Guard-26.jpg?width=582&height=626&name=Sample-Breeze-Guard-26.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta加速自研AI晶片布局，要把迭代周期縮短到6個月</strong></span></p> <p>Meta最近公開自研AI晶片MTIA的發展藍圖，為因應生成式AI的龐大算力需求，他們決定將晶片研發周期，從傳統的2年縮短到6個月，從目前的MTIA 300晶片到2027年要大規模部署的MTIA 500開始。</p> <p>MTIA系列晶片由Meta和Broadcom合作開發，主要用於AI模型訓練與推論。Meta表示，目前已有數十萬顆MTIA晶片部署於資料中心，來支援社群內容推薦和廣告排序等演算法，部分大型語言模型（LLM）也已開始在MTIA平臺上測試。</p> <p>新一代MTIA晶片將大幅提升AI運算能力。Meta表示，從MTIA 300到MTIA 500，高頻寬記憶體（HBM）頻寬將提升4.5倍、算力提升25倍，來強化LLM推論效能。同時，晶片也支援MX4、MX8等低精度運算格式，來提高推論吞吐量。Meta也說，AI模型演進的速度，已超過傳統晶片開發周期，因此採用模組化Chiplet設計，來加快晶片迭代。未來除了自研MTIA，Meta也將搭配GPU等外部晶片，打造多元的AI運算基礎設施。<a href="https://ai.meta.com/blog/meta-mtia-scale-ai-chips-for-billions/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/645641458_2714334042270228_6361859224395917142_n.png?_nc_cat=100&ccb=1-7&_nc_sid=e280be&_nc_ohc=iB8RmXqNMcYQ7kNvwHNQ43o&_nc_oc=AdloFZ39tYuPzrE9snyUwXOprddc5sSKaQe-XlvbPdS9f5mdXrGhca7IwFzvzZremnA&_nc_zt=14&_nc_ht=scontent.ftpe7-1.fna&_nc_gid=OshmKrQWAxUtVcIWiYuFtw&_nc_ss=8&oh=00_AfzQRH6uVSwHdvezXIKrTstdX_OezdjCL7U_q1wCwoMiDg&oe=69CCDEFD" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 能源 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>黃仁勳：AI時代，底層關鍵其實是能源</strong></span></p> <p>在GTC大會前夕，Nvidia執行長黃仁勳提出一個新比喻：AI就像一塊「五層蛋糕」，從下到上依序是能源、晶片、基礎設施、模型與應用，而最底層的關鍵其實是電力。他指出，運算世界正從「預先寫好的軟體」轉向「即時生成的智慧」。過去，電腦只是依照程式執行查詢，如今AI能理解圖片、語音與文字並即時推理，也讓整個運算架構必須重新設計。</p> <p>在這個新堆疊中，能源是最現實的限制。每生成一個AI Token，本質都是電力轉換成運算與熱能管理，因此能源供應將直接限制AI智慧的產出規模。其上則是GPU與HBM等晶片、AI資料中心等基礎設施，再到模型與應用。</p> <p>黃仁勳也認為，AI不一定會減少工作。隨著AI提高生產力，企業反而需要更多人，包括建設AI資料中心的電工、管線工程師與網路技術人員等。<a href="https://blogs.nvidia.com/blog/ai-5-layer-cake/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> xAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Macrohard </span></strong></span></p> <p><span style="font-size:22px;"><strong>馬斯克新AI計畫Macrohard曝光</strong></span></p> <p>xAI創辦人馬斯克最近在X發文，透露一項名為Macrohard的新AI計畫構想。這是一個結合xAI和Tesla技術的系統，架構上由Grok負責理解世界與決策，就像是導航系統；而Digital Optimus則負責操作電腦，例如分析螢幕畫面、控制鍵盤和滑鼠。</p> <p>馬斯克形容，Grok就像人類思維中的「思考系統」，負責推理、決策；Digital Optimus則像「直覺系統」，負責即時行動。Macrohard系統會持續分析使用者最近5秒的螢幕畫面和操作紀錄，再決定下一步操作。</p> <p>硬體方面，該系統預計在Tesla自家的AI4晶片（約650美元）上執行，只有在必要時，才使用xAI比較昂貴的Nvidia GPU資源。馬斯克認為，若這類AI代理成熟，未來可能模擬企業內的各種工作流程。<a href="https://x.com/elonmusk/status/2031751255060885911?_bhlid=bcfd138f1d85e83ed2d22a25fd2c99034fecdd08">（詳全文）</a></p> <p>圖片來源／Nvidia、Andrej Karpathy、聯發創新基地、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.anthropic.com/news/the-anthropic-institute">Anthropic成立研究院，要解決AI可能帶來的社會風險</a></strong></p> <p><strong>2. <a href="https://www.canva.com/newsroom/news/magic-layers/">Canva推出新功能Magic Layers</a>，使用者可編輯AI生成的圖片</strong></p> <p>資料來源：iThome整理，2026年3月</p> <div id="gtx-trans" style="position: absolute; left: 546px; top: 3051.14px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
3/12 17:22作者王若樸https://www.ithome.com.tw/news/174370
Meta加速自研AI晶片MTIA布局，迭代節奏縮短至6個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta近日揭露其自研AI晶片MTIA（Meta Training and Inference Accelerator，Meta訓練與推論加速器）的最新進展。<a href="https://ai.meta.com/blog/meta-mtia-scale-ai-chips-for-billions/" target="_blank">Meta表示</a>，近兩年已規畫出MTIA 300、MTIA 400、MTIA 450與MTIA 500四個世代晶片，其中MTIA300已投入生產，MTIA 400正準備部署，而MTIA450與MTIA 500則預計於2027年大規模部署。</p> <p>MTIA是Meta與Broadcom合作開發的AI加速器，主要用於AI模型（model）的訓練與推論。Meta指出，每天有數十億用戶在其平臺上使用AI功能，包括內容推薦與AI助理，因此要如何在全球規模上支援各類AI模型，同時控制運算成本，是AI基礎設施的重要挑戰。</p> <p>先前Meta已推出前兩代MTIA晶片MTIA100與MTIA 200，相關設計分別於2023年與2025年公開，並已在資料中心部署數十萬顆MTIA晶片，用於支援內部AI服務。這些晶片主要負責Meta平臺上的排序與推薦系統（Ranking and Recommendation，R&R）推論工作負載，例如社群內容推薦與廣告排序等核心演算法。此外，Meta也已將部分大型語言模型（Large Language Model，LLM）移至MTIA平臺上進行測試。</p> <p>隨著生成式AI（Generative AI，GenAI）快速發展，Meta的AI運算需求也正從過去以推薦系統為主，逐步轉向生成式AI與大型語言模型的推論服務。</p> <p>在硬體設計上，MTIA晶片持續提升記憶體頻寬與計算能力。從MTIA 300到MTIA 500，高頻寬記憶體（High Bandwidth Memory，HBM）頻寬提升約4.5倍，而計算能力（FLOPS）則提升約25倍。Meta表示，HBM頻寬是影響生成式AI推論效能的重要因素，因此新一代晶片特別強化HBM頻寬，以加速大型語言模型的推論運算。</p> <p>此外，MTIA也加強對低精度運算的支援，例如MX4與MX8等資料格式。這類低精度運算可在維持模型品質的情況下提高推論吞吐量，已成為生成式AI推論的重要技術方向。</p> <p>Meta指出，AI模型的演進速度已超過傳統晶片開發週期。一般晶片設計往往需要約兩年才能完成並投入生產，但AI工作負載在此期間可能已出現重大變化。因此Meta採取快速迭代策略，透過模組化chiplet架構與可重用系統設計，使晶片開發節奏縮短至約每六個月推出新一代產品。</p> <p>Meta強調，公司將持續採取多元晶片策略，在自家研發的MTIA晶片之外，也會搭配外部供應商產品，例如GPU，以支援不同類型的AI工作負載。不過隨著生成式AI服務需求快速成長，Meta正透過自研AI晶片與快速迭代策略，強化其AI基礎設施能力，並試圖降低大規模AI服務的長期運算成本。</p> </div></div></div>
3/12 11:08作者陳曉莉https://www.ithome.com.tw/news/174352
圖靈獎得主Yann LeCun成立的AMI完成10.3億美元融資，推動世界模型AI系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>人工智慧新創Advanced Machine Intelligence<a href="https://amilabs.xyz/updates" target="_blank">（AMI）周二（3/10）宣布完成</a>10.3億美元融資（約8.9億歐元），由Cathay Innovation、Greycroft、Hiro Capital、HV Capital與Bezos Expeditions共同領投。AMI表示，這筆資金將用於開發以世界模型（World Models）為核心的新一代AI系統，目標是打造能理解現實世界、具備記憶、推理與規畫能力的通用智慧系統。</p> <p>AMI指出，其研究方向是開發能理解環境並長期累積知識的AI系統。這類系統除了可處理資料，也能建立持久記憶（Persistent Memory），並透過推理與規畫來完成複雜任務，同時確保系統可控制且安全。AMI認為，這種以世界模型為核心的架構，是邁向通用人工智慧的重要技術路徑。</p> <p>本輪融資吸引多家全球投資機構與科技產業人士參與。除領投機構外，投資人還包括Toyota Ventures、Temasek、Nvidia、Sea、Alpha Intelligence Capital與New Legacy Ventures等策略投資人，以及Mark Cuban、Eric Schmidt與Tim Berners-Lee等科技界人士。三星、Publicis Groupe與Bpifrance Digital Venture等機構也參與本輪投資。</p> <p>根據外電報導，AMI融資前的估值約為35億美元。AMI自成立之初即採跨國研究模式，目前團隊分布於巴黎、紐約、蒙特婁與新加坡。未來將持續擴大研究與工程團隊，以推動世界模型AI系統的開發與應用。</p> <p>AMI是由圖靈獎得主Yann LeCun所推動的AI研究與創業計畫。LeCun是卷積神經網路（Convolutional Neural Network，CNN）的重要奠基者之一，曾創立Meta基礎AI研究（FAIR）並長期擔任AI科學長。2025年他宣布離開Meta，成立AMI Labs，延續其多年來推動的先進機器智慧（Advanced Machine Intelligence）研究。</p> <p>LeCun近年持續倡議世界模型概念，認為下一代AI應能理解物理世界並進行長期推理，而不僅是生成文字或影像。隨著生成式AI快速發展，多位AI科學家也陸續成立新創公司發展下一代AI技術，例如前OpenAI技術長Mira Murati創辦<a href="https://www.ithome.com.tw/news/171481" target="_blank">Thinking Machines Lab</a>，OpenAI共同創辦人Ilya Sutskever成立<a href="https://www.ithome.com.tw/news/163560" target="_blank">Safe Superintelligence</a>，以及李飛飛所創立、研究空間智慧的<a href="https://www.ithome.com.tw/news/173979" target="_blank">World Labs</a>。</p> </div></div></div>
3/11 13:53作者陳曉莉https://www.ithome.com.tw/news/174330
Meta買下AI代理人社群平臺Moltbook，兩名創辦人加入超級智慧實驗室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>社群媒體龍頭Meta已收購AI代理人社群平臺Moltbook，兩名創辦人也加入公司。</p> <p>媒體<a href="https://www.axios.com/2026/03/10/meta-facebook-moltbook-agent-social-network" target="_blank">Axios首先報導</a>此項消息，Moltbook兩名創辦人包含Matt Schlicht及Ben Parr同時加入Meta超級智慧實驗室（Superintelligence Labs，MSL）。</p> <p>Meta官方也<a href="https://techcrunch.com/2026/03/10/meta-acquired-moltbook-the-ai-agent-social-network-that-went-viral-because-of-fake-posts/" target="_blank">向媒體證實</a>此事。Meta官方表示，Moltbook團隊加入MSL將可對AI代理人為使用者和企業工作開拓新途徑。該平臺透過長時（always-on）目錄串連代理人在快速發展的領域中是跨出嶄新的一步，Meta期待透過雙方整合能將創新、穩健的代理人體驗提供給所有人。</p> <p>Moltbook是類似Reddit的社群平臺，專供AI代理人使用，發文或建立子社群。人類只能觀看，無法參與Moltbook互動。Moltbook在2026年1月公開後短時間爆量，曾有超過250萬個AI agent帳號、平臺上有150萬以上AI agent活動，約74萬篇貼文、1200萬則留言、超過1.7萬個社群（Submolts）。自主AI代理人的活動也引發人類的關注甚至疑懼，擔心AI可能以人類無法控制的方式串聯及行動。</p> <p>外界認為本項收購更像是人才收購（acqui-hire），Meta欲取得研發團隊和技術。Meta可能藉其技術，使AI代理人能協助個人用戶及企業流程。例如自動客服、搜尋及完成任務。Moltbook平臺也可能被用於測試代理人行為的實驗場。</p> <p>Moltbook創辦人加入的MSL是Meta去年成立旨在開發核心AI模型的主要部門。上周，<a href="https://www.ithome.com.tw/news/174270" target="_blank">華爾街日報</a>才報導，Meta在Reality Labs之下成立應用AI（Applied AI）單位，將和超級智慧（SuperIntelligence）部門合作推動開發AI產品。此外，Meta也計畫自製晶片以支援開發AI模型。</p> <p>到此，自主AI代理人兩大開源專案的創始人都已被AI大廠吸收。和Moltbook高度相關的OpenClaw創始人Peter Steinberger也在今年2月<a href="https://www.ithome.com.tw/news/173981" target="_blank">宣布加入OpenAI</a>。不過Steinberger承諾OpenClaw專案將轉為基金會形式持續留存。</p> </div></div></div>
3/11 10:30作者林妍溱https://www.ithome.com.tw/news/174320
微軟發布MCP C# SDK 1.0，補齊授權與長任務處理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟宣布官方<a href="https://devblogs.microsoft.com/dotnet/release-v10-of-the-official-mcp-csharp-sdk/">MCP（Model Context Protocol）C# SDK正式達到1.0版本</a>，並完整支援2025年11月25日版MCP規格。這次更新的重點在於，.NET開發者已可透過較成熟的C#工具鏈，建置符合最新MCP規格的用戶端與伺服器，並支援代理應用常見的工具呼叫、授權控管，以及長時間執行工作的處理需求。</p> <p>MCP C# SDK 1.0這次補齊多項實務上常見的能力，更新範圍涵蓋授權探索與權限管理、工具與資源的中繼資料擴充、敏感資訊處理流程、取樣（Sampling）期間的工具呼叫，以及長時間HTTP請求的處理機制，同時也納入任務（Tasks）功能。</p> <p>授權與權限管理是這次更新的重要主軸之一，新版規格允許伺服器以更多方式公開受保護資源中繼資料（Protected Resource Metadata，PRM），讓用戶端可依序檢查這些PRM位置，再由文件內容得知可用的授權伺服器。其中，漸進式授權同意機制讓用戶端不必在一開始就要求所有權限，而是可依實際操作需求，逐步擴大授權範圍。該設計有助於降低過度授權的情形，也較符合企業環境強調的最小權限原則。針對需要處理敏感資訊的流程，MCP也新增URL模式互動引導機制，讓伺服器可將使用者導向自有頁面，處理API金鑰、第三方授權或付款資訊，避免敏感資料經過MCP主機或用戶端。</p> <p>另一項值得注意的更新，是取樣流程已可納入工具呼叫。伺服器在請模型產生回應時，可一併提供工具定義，由模型視需要請求呼叫工具，再由伺服器執行並把結果送回後續生成流程。如此將使MCP的工具使用方式，不再只是單次呼叫，而更接近代理應用常見的多輪推理與執行模式。</p> <p>MCP C# SDK 1.0也改善了長時間工作與連線逾時問題。微軟在HTTP傳輸下強化長時間請求的處理方式，讓伺服器可在提供事件識別資訊後關閉SSE連線，之後再由用戶端重新連線或輪詢結果，以降低長時間維持連線的壓力。另一方面，新增的任務機制則提供更完整的狀態追蹤與結果保留能力，讓任務狀態與結果可在之後被查詢，並支援列出任務或取消執行中的任務，適合用於批次處理、CI/CD流程或多步驟分析作業。不過，官方也提到，任務目前仍屬實驗性功能，後續API仍可能調整。</p> </div></div></div>
3/10 08:12作者李建興https://www.ithome.com.tw/news/174287