iThome

Meta預覽AI裝置Muse Charm

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta創辦人暨執行長祖克柏（Mark Zuckerberg）周三（9/23）在一年一度的<a href="https://www.meta.com/zh-tw/connect/#watch">Meta Connect技術發表大會上展示了（影片53分處）全新的AI裝置Muse Charm</a>，它看起來就像是一個由錶面與掛繩組成的鑰匙圈，可與使用者即時語音交流，預計會在今年12月的聖誕購物季發售。</p> <p>祖克柏表示，Meta在Muse Charm上整合了完整的<a href="https://www.ithome.com.tw/news/178809">Muse體驗</a>，包括即時語音及虛擬角色系統；使用者只要觸碰裝置角落的指紋感測器，就能開始與之對話，不必解鎖手機或開啟App。</p> <p>他說，Meta在Muse Charm上使用了大量技術，對於沒有配戴AI眼鏡的人來說，Muse Charm將是與Muse交談，以及讓Muse了解周遭環境最快的方式。儘管Meta只製造了少量的原型機，但使用體驗已讓團隊感到非常開心。</p> <p><a href="https://www.bloomberg.com/news/articles/2026-09-23/meta-debuts-a-dedicated-palm-sized-muse-charm-device-to-use-ai-on-the-go">根據彭博社的報導</a>，Muse Charm約AirPods充電盒大小，配備約2吋OLED觸控螢幕、前後攝影機、麥克風、喇叭及USB-C充電埠，並內建5G數據機。螢幕可顯示Muse的虛擬角色，使用者能自定角色外觀、服裝及聲音。裝置可放入口袋或掛在鑰匙圈上，並透過iPhone或Android上的Muse App進行設定與同步，售價可能跟智慧手錶差不多。</p> <p>祖克柏並未公布Muse Charm的規格或售價，表示還沒確定最終外殼材質或內部元件配置，但希望趕在今年12月購物旺季前出貨。</p> </div></div></div>

Amazon封鎖Meta Muse，禁止AI代理人代替用戶購物

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta於9月8日<a href="https://www.ithome.com.tw/news/178809">推出個人AI代理人Muse</a>，可替使用者瀏覽網站、填寫表格、購物及預約服務。不過，Amazon本周證實已封鎖Muse存取Amazon.com，指其未經授權進入網站，且未表明AI代理人身分，違反Amazon使用條款。</p> <p>Muse目前於美國及加拿大提供服務，不同於一般AI聊天機器人，它可替使用者執行多步驟任務，且使用者關閉App後仍可繼續工作。<a href="https://techcrunch.com/2026/09/21/metas-muse-is-outpacing-chatgpts-early-mobile-launch/">TechCrunch引用</a>市場情報業者Apptopia的調查數據，指出Muse上市前12天其安裝量已達280萬次，並已登上美國App Store排行榜第1名，超越ChatGPT。</p> <p>Muse引發風潮的原因是它的使用經驗。在專門蒐集Muse用法的<a href="https://useofmuse.com/">獨立網站Use of Muse</a>上，可看到<a href="https://x.com/JosephDevoy/status/2098158828135002245">有使用者上傳</a>了汽車保險單，要求Muse找到同樣保障範圍但更便宜的方案，Muse在5分鐘內就找到了每年可節省3,500美元的保障，並購買了新保單，以及取消舊保單。</p> <p>另一名使用者<a href="https://www.threads.com/@2wrightfeet/post/DdDPkQFFB5T">叫Muse找出</a>尚未申報的獸醫帳單，它找到5筆、合計1,504.72美元，並替使用者向寵物保險公司提出申請。</p> <p><a href="https://x.com/buccocapital/status/2097848319095505064">還有一個例子是</a>使用者要Muse尋找一件綠色羽絨外套，接著尋找即時可用的折扣碼、把商品加入購物車、套用折扣碼，最後以能找到的最低價格購買。他也請Muse找食譜，然後把需要的食材直接加入Whole Foods購物車。</p> <p>不過，Amazon在周日（9/20）封鎖了Muse存取Amazon.com的能力，當使用者透過Muse嘗試進入Amazon購物時，會看到Amazon跳出的封鎖訊息「未經授權的AI代理人持續存取Amazon，違反使用者已同意的Amazon使用條款。」Amazon向<a href="https://www.geekwire.com/2026/amazon-blocks-metas-muse-ai-assistant-in-new-standoff-over-agentic-shopping/">GeekWire</a>表示，它先前已要求Meta主動把Amazon排除在Muse可操作的網站之外，但Meta沒有照做，因此Amazon才封鎖Muse。</p> <p>Amazon也向<a href="https://www.adweek.com/commerce/amazon-locks-out-metas-muse-in-agentic-shopping-standoff/">ADWEEK</a>解釋，這就像外送平臺與餐廳、旅遊網站與航空公司之間的關係，必須建立在雙方同意之上；Muse這類代理式第三方應用也有相同義務，Amazon因此要求Meta將Amazon從Muse的服務中移除。</p> <p>其實Amazon的作法有脈絡可尋。去年11月<a href="https://www.ithome.com.tw/news/172054">該公司也要求</a>Perplexity停止讓AI助手Comet存取Amazon.com，之後更提起訴訟，並一度取得法院禁制令，但今年8月遭上訴法院推翻，上訴法院認為實際存取Amazon的是使用者，而非Perplexity。目前這場官司仍在持續中。至於Meta迄今尚未針對Muse遭Amazon封鎖一事作出回應。</p> </div></div></div>

【資安週報】0914~0918，產品資安應變能力強化成焦點，AI安全爭議持續升溫

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2026年9月第三週的資安動態，產品資安合規成為重要焦點。隨著歐盟CRA通報義務正式上路，ENISA宣布CRA單一通報平臺上線，產品漏洞與重大資安事件的通報，已從產業最佳實務進一步成為法規明確要求；在臺灣，資安院則從國內產業發展角度出發，呼籲企業提升PSIRT成熟度，並指出資訊服務業也應及早建立相關機制。</p> <p>AI安全議題也再度升溫。如何兼顧安全護欄、人類控制與發展速度，引發業界不同立場；與此同時，各界也加快提出因應措施，微軟發布AI行為準則，OpenAI揭露先進AI安全新措施。企業防禦與治理架構也持續調整，CSA除了將AI代理納入零信任微分段控管，也發布企業零信任管理指引，建議成立專責辦公室推動長期治理；CISA則在內部威脅指引中納入AI風險。</p> <p>此外，國內外重大資安事件也接連揭露。臺灣方面，晶睿通訊、長榮航空與長榮航太、崴寶精密科技、達爾膚相繼發布資安重訊；海外則有日本政府系統、證件辨識平臺涉及大規模資料外洩或面臨外洩風險，義大利醫療機構也因勒索軟體攻擊導致多項醫療服務中斷近兩週。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">政策法規</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>歐盟CRA通報義務自9月11日正式生效，帶動國際產品資安合規成為本週焦點。除了ENISA啟用單一通報平臺並發布中小企業成熟度模型、OpenSSF示警開源專案注意通報規範外，資安院也呼籲臺灣企業須提升PSIRT成熟度，強調不僅硬體製造業，資訊服務業也應及早建立機制，才能提升臺灣整體產品資安應變能力。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/178953">歐盟CRA通報義務上路，臺灣企業建置PSIRT升溫，資安院提醒成熟度仍有落差</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/images/（圖4）TWCERTCC_資通訊產品資安事件企業應變機制手冊_適用對象_iThome整理.jpg"><img alt="" src="https://www.ithome.com.tw/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89TWCERTCC_%E8%B3%87%E9%80%9A%E8%A8%8A%E7%94%A2%E5%93%81%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E4%BC%81%E6%A5%AD%E6%87%89%E8%AE%8A%E6%A9%9F%E5%88%B6%E6%89%8B%E5%86%8A_%E9%81%A9%E7%94%A8%E5%B0%8D%E8%B1%A1_iThome%E6%95%B4%E7%90%86.jpg" style="width: 400px; float: right;" /></a></p> <p>歐盟網路韌性法案（Cyber Resilience Act，CRA）的通報義務先行上路，臺灣廠商產品資安應變能力成焦點，資安院指出，國內建置PSIRT的企業雖增加但成熟度須提升，提醒PSIRT並非「有就好」，能否跨部門穩定運作才是合規關鍵，且產品資安已是國際趨勢，資訊服務業亦應積極建立PSIRT機制。</p> <p><strong><a href="https://www.ithome.com.tw/news/178925">歐盟網路韌性法案漏洞通報義務上路，OpenSSF提醒開源專案應做好漏洞協調</a></strong></p> <p>歐盟網路韌性法案（CRA）針對製造商的漏洞與資安事件通報義務已於9月11日生效，開放原始碼安全基金會（OpenSSF）說明CRA製造商通報義務生效後對開源社群的影響，並強調一般開源專案維護者與CRA定義的開源軟體管理者（open-source software steward）屬於不同角色。一般維護者並不因這項新規直接承擔CRA通報義務；開源軟體管理者的通報義務則視其參與數位元素產品開發等情況而定。</p> <p><strong><a href="https://www.ithome.com.tw/news/178979">歐盟CRA單一通報平臺上線，漏洞與事故通報管道正式啟用</a></strong></p> <p><a href="/sites/default/files/images/CRA SRP(1).png"><img alt="" src="/sites/default/files/images/CRA%20SRP(1).png" style="width: 400px; float: right;" /></a></p> <p>隨著漏洞與重大資安事件通報義務自今年9月11日起率先適用，歐盟網路安全局（ENISA）也在同日宣布，正式啟用CRA單一通報平臺（Single Reporting Platform，SRP），供製造商通報已遭積極利用的產品資安漏洞，以及具有數位元素的產品面臨的重大資安事件。</p> <p><strong><a href="https://www.ithome.com.tw/news/178981">資源有限的中小企業如何盤點CRA準備缺口？ENISA推出SME產品資安成熟度評估模型</a></strong></p> <p>面對CRA帶來的資安要求，ENISA在啟用CRA單一通報平臺之際，特別提及今年7月針對資源有限的中小企業所發布的「CRA成熟度評估模型」。該模型藉由提供具體且系統化的檢視工具，協助企業從5大領域（治理與文件、風險管理及安全設計、漏洞與修補管理、產品生命週期管理，以及資安意識與能力）展開全面評估。</p> <p><strong><a href="https://www.ithome.com.tw/news/178891">CSA發布企業零信任管理指引，建議成立專責辦公室推動長期治理</a></strong></p> <p>雲端安全聯盟（CSA）發布《零信任計畫管理指引》（Zero Trust Program Management Guidance），提醒企業零信任不只是導入特定資安技術，而是需要長期協調跨部門工作、資源與既有資安措施。CSA因此提出專責治理架構，要求持續追蹤導入進度與成效。為避免相關工作分散在不同部門，CSA建議成立零信任計畫管理辦公室（ZT PMO），統籌不同事業單位與技術團隊的導入進度、預算及資源配置。</p> <p><strong><a href="https://www.ithome.com.tw/news/178904">美國國安局據傳推動大規模改組，將設五大任務中心強化網路安全與AI能力</a></strong></p> <p>美國國家安全局（NSA）據傳正在推動近10年來規模最大的組織改組，將以中國、網路安全、人工智慧、戰鬥支援及全球情報等五大任務主軸，成立五大任務中心，縮短情報支援軍事作戰的時間。各中心預計最快明年1月達到完整作戰能力，但部分組織歸屬及與美國網路司令部的協作方式仍未確定。</p> <p><strong><a href="https://www.ithome.com.tw/news/178998">澳洲警方逮捕涉及駭客組織TeamPCP的攻擊者，牽連逾千個組織的軟體供應鏈攻擊</a></strong></p> <p>澳洲警方逮捕兩名涉嫌參與駭客組織TeamPCP攻擊活動的男子。警方調查指出，該團體近年透過入侵開源軟體及開發平台，竊取開發人員憑證、驗證資訊與原始碼，相關攻擊疑已波及全球逾1,000個組織，竊取約50萬組憑證及至少300GB資料，兩名嫌犯目前合計面臨14項刑事指控，警方仍在持續調查中。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">資料安全</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>個資外洩事件頻傳，各國對資料保護的監管與企業責任也持續加強。臺灣消基會近日藉跨境電商平臺個資外洩案示警，指出平臺權限控管與資安治理漏洞，也凸顯跨境個資監管困境，呼籲政府加速成立個資保護委員會；韓國則進一步修法，針對造成1,000萬人以上個資外洩的重大事件，將最高罰款由營收3%提高至10%，並強化執行長與個資保護長責任。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/178878">消基會：酷澎案凸顯跨境個資治理缺口，籲政府加速成立個資保護委員會、跨境平臺將國內用戶資料在境內儲存納入監管</a></strong></p> <p>自2023年12月「個人資料保護委員會籌備處」啟動，如今邁入2026年，其正式掛牌時程成外界焦點。近日消基會重提去年底爆發的酷澎個資外洩事件，強調當涉及20萬國人資料的伺服器設於境外時，在分散式監管架構下，現行法規難以直接查核海外系統，唯有加速個資會的正式運作並補強跨境傳輸規範，才能有效因應跨國數位服務帶來的隱私風險。</p> <p><strong><a href="https://www.ithome.com.tw/news/178912">嚴懲超過千萬筆資料外洩的企業，韓國最高將處以公司年營收10%作為罰款</a></strong></p> <p>9月9日韓國資料隱私主管機關個人資訊保護委員會公布個人資訊保護法新措施，9月11日起正式實施，修法主要目的是針對反覆資料外洩實施懲罰性處罰，加強企業執行長與個資保護長的責任，並強制取得ISMS-P認證。修訂後的個人資訊保護法也明定，因有意或防護措施鬆散導致1,000萬人以上個資外洩的企業，最高罰金由現行總營收的3%提高為10%。</p> <p><strong><a href="https://www.ithome.com.tw/news/178924">日本數位廳GSS政府共通環境遭駭，已知VPN漏洞修補前遭利用，24.6萬筆個資恐外洩</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ri_ben_zheng_fu_gsszao_hai_24.6wan_bi_ge_zi_kong_wai_xie_shu_wei_ting_jie_yi_zhi_vpnlou_dong_xiu_bu_qian_zao_li_yong_.jpg?itok=hyBcACqf"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ri_ben_zheng_fu_gsszao_hai_24.6wan_bi_ge_zi_kong_wai_xie_shu_wei_ting_jie_yi_zhi_vpnlou_dong_xiu_bu_qian_zao_li_yong_.jpg?itok=hyBcACqf" style="width: 400px; float: right;" /></a></p> <p>日本數位廳揭露一起涉及政府共通業務環境GSS的資安事件，攻擊者利用VPN漏洞入侵系統，約24.6萬筆政府機關職員及相關業務人員個資可能外洩。數位廳後續發布的Q&amp;A更指出，遭利用的是攻擊前已公開、CVSS風險評分為中級（Medium）的已知漏洞，儘管當時已採取比一般應變速度更快的方式處理，但攻擊者仍搶在修補程式套用前成功入侵。</p> <p><strong><a href="https://www.ithome.com.tw/news/178896">證件辨識平臺IDScan證實外洩1.5億筆駕照資料</a></strong></p> <p>9月1日全球證件辨識平臺業者IDScan證實發生資安事件，導致大量民眾駕照資料外洩。先前媒體報導，外洩資料高達1.5億筆。該公司透過網站公告指出，接獲通知有特定資料遭非授權存取，立即採取措施防護系統，並偕同第三方專業人士調查事件本質及損害幅度。初步調查顯示，駭客可能已存取並竊走儲存於IDScan.net雲端平臺上，客戶帳號下的部分客戶資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/178935">勒索軟體The Gentlemen近期接連鎖定醫療產業，Nutex、Veradigm均向SEC揭露資安事件</a></strong></p> <p>醫療產業近期接連遭到勒索軟體組織The Gentlemen鎖定，美國醫療設施營運商Nutex Health與電子健康紀錄（EHR）業者Veradigm在9月初接連被列入其資料外洩網站。值得注意的是，兩家公司也恰好都向美國SEC提交資安事件報告文件，其中Veradigm揭露事件源自一家第三方供應商，攻擊者利用從該供應商竊得的憑證，存取Veradigm的API並下載患者個人資料。</p> <p><strong><a href="https://www.ithome.com.tw/news/178922">ShinyHunters聲稱竊取20萬筆佛州駕駛資料，佛州主管單位證實駕照資料庫DAVID遭入侵</a></strong></p> <p>ShinyHunters聲稱入侵佛羅里達州駕駛與車輛資訊資料庫DAVID，竊取逾20萬筆駕駛紀錄，並以知名性犯罪者艾普斯坦（Jeffrey Epstein）在該資料庫中的駕駛資料作為證明。佛州主管單位FLHSMV於9月11日證實資料庫確實遭入侵，表示攻擊者使用的是遭洩露的Plant City警察局帳號，目前尚未確認實際遭竊資料量。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">AI資安</strong></h1> <p><span style="color: rgb(105, 105, 105);"><strong>近半年各家AI模型能力快速提升，也引發更多業者與研究人員討論先進AI的安全護欄、人類控制與發展速度，部分業者與研究人員認為，應適度放慢先進模型的研發與部署；也有業者認為，要求整個產業共同放慢並無必要，若業者無法確定產品的功能、能力或安全性，就應自行延後推出；也有人質疑AI失控論缺乏科學根據，不應成為限制研發速度的理由。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/news/178916">OpenAI揭露前沿AI安全新措施，川普反對AI發展速度減緩</a></strong></p> <p>OpenAI執行長Sam Altman公布最新先進AI安全措施，強調將安全工作進一步往前移。他指出，過去業界多著重模型完成後的部署安全，但隨著AI能力快速攀升，如今應將焦點轉向模型開發與訓練階段。這項表態也呼應了日前Anthropic執行長Dario Amodei的呼籲；然而，美國總統川普則是站在地緣戰略與國家競爭的角度看待此事，他反對因安全疑慮而放慢腳步，認為許多末日風險根本言過其實。</p> <p><strong><a href="https://www.ithome.com.tw/news/178943">微軟發布AI行為準則，要求AI始終接受人類控制</a></strong></p> <p>微軟旗下Microsoft AI團隊最近發布首版《行為準則》草案，核心建立在「人本AI（Humanist AI）」理念之上，要求MAI模型必須始終接受人類控制，不得抗拒中斷、修正或關閉，亦不得自行擴大任務範圍。該草案目前開放全球18歲以上公眾透過線上表單提出意見。</p> <p><strong><a href="https://www.ithome.com.tw/news/178894">Anthropic執行長警告AI發展過快，OpenAI Altman同意應放慢腳步</a></strong></p> <p>AI能力進展速度已快到安全措施可能難以跟上，先前即有許多業界人士示警。如今三大AI業者的執行長接連表態引發高度關注——先是Anthropic執行長Dario Amodei發表長文示警，呼籲業界延緩先進AI發展速度；隨後OpenAI執行長Sam Altman與xAI執行長Elon Musk也相繼表態支持。</p> <p><strong><a href="https://www.ithome.com.tw/news/178985">黃仁勳反對新增AI監管，與Anthropic、OpenAI立場分歧</a></strong></p> <p>針對AI安全疑慮，Nvidia執行長黃仁勳近日接連在公開場合提出看法，指出安全是AI開發的首要工作，但AI終究是人類打造的軟體及運算系統，因此安全問題應能透過工程方法解決。業者若無法確定產品的功能、能力或安全性，就應自行放慢腳步、不應推出，直到有信心產品能被市場接受。他認為這是工程問題，而非法律問題，因此反對新增AI監管。</p> <p><strong><a href="https://www.ithome.com.tw/news/178976">祖克柏談AI安全，各家業者應自行確保模型安全</a></strong></p> <p>面對業界近期爭論是否放慢先進AI發展，Meta執行長祖克柏發文強調，各家AI實驗室都有責任及誘因，依安全需求調整研發步調。Meta自身就曾為了安全及資安問題，將Muse延後數個月推出，但並未要求其他業者也這麼做。他認為，應由企業自律而非要求同業同步降速，此番言論被外界解讀為不支持業界共同放慢腳步。</p> <p><strong><a href="https://www.ithome.com.tw/news/178861">駭客鎖定AI程式開發工具，提示詞注入成供應鏈攻擊手法</a></strong></p> <p>Google威脅情報小組（GTIG）指出，今年第二季觀察到攻擊者運用AI的方式，已從較基礎的提示詞操作，進一步轉向代理式AI工作流程，並利用AI將攻擊流程自動化。這類做法可加快攻擊節奏，壓縮防禦人員的應變時間。GTIG同時發現，攻擊者也愈來愈常直接鎖定企業AI資產，包括專有AI模型、原始碼、API憑證及雲端運算資源，相關攻擊動機涵蓋間諜活動、勒索及竊取運算資源。</p> <p><strong><a href="https://www.ithome.com.tw/news/178864">Anthropic發布AI濫用威脅報告，宣稱7家中國業者蒸餾Claude以訓練自家模型</a></strong></p> <p>Anthropic公布最新AI濫用威脅報告，揭露網路攻擊案例涵蓋：俄羅斯間諜活動、ShinyHunters資料竊取、AI漏洞挖掘與自主攻擊框架、AI供應鏈攻擊，以及鎖定歐洲政治組織的駭客行動；此外，報告中更揭露7家中國AI業者對Claude發動大規模非法蒸餾攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/178898">OpenAI代理人遭爆曾在今年5月攻擊RubyGems</a></strong></p> <p>再傳OpenAI內部AI代理發生非預期異常事件，日前揭露OpenAI代理利用公開Wiki交換訊息的資安研究人員，近日再度揭露新案例，指出今年5月有AI代理上傳數百個惡意套件至RubyGems開源套件庫，且研判這些惡意套件正是出自於OpenAI內部開發的AI代理。</p> <p><strong><a href="https://www.ithome.com.tw/news/178954">駭客濫用AI從事網釣，冒充高階主管與ServiceNow向財務人員進行詐騙</a></strong></p> <p>微軟近期觀察到最新一波大規模金融詐騙活動，攻擊者在8月3日至5日透過多個第三方郵件服務帳戶寄出逾100萬封郵件，且大部分寄往美國。基本上，這波釣魚攻擊以企業財務及應付帳款人員為主要目標，冒充目標公司的執行長、財務長或總裁，要求收件者處理一筆接近5萬美元的自動票據交換所（ACH）付款。根據微軟掌握的釣魚郵件特徵，顯示攻擊者可能借助AI製作信件範本。</p> <p><strong><a href="https://www.ithome.com.tw/news/178942">俄羅斯駭客利用PaperCut資安漏洞，透過AI代理進行大規模攻擊</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/6aa184837ce36bd6697d25b5_greynoise-incident-timeline-papercut-mca-timeline-156.jpg?itok=omPtpKUS"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/6aa184837ce36bd6697d25b5_greynoise-incident-timeline-papercut-mca-timeline-156.jpg?itok=omPtpKUS" style="width: 400px; float: right;" /></a></p> <p>8月底列印管理軟體廠商PaperCut揭露漏洞CVE-2026-82078、CVE-2026-81578，多次發布系統緊急更新，9月初資安公司Arctic Wolf揭露鎖定歐美學校的攻擊，威脅情報公司GreyNoise也發現用俄語的駭客藉助AI開發與測試惡意程式碼，並利用上述漏洞，攻擊全球各地的PaperCut NG與PaperCut MF系統。</p> <p><strong><a href="https://www.ithome.com.tw/news/178918">AWS評測12款頂尖AI模型，皆能找出漏洞但誤判或漏報率仍高</a></strong></p> <p>雲端服務業者AWS公布AI漏洞判斷基準Deception Benchmark，評測5家業者共12款通用頂尖AI模型後發現，現有模型雖能找出多數真正漏洞，但若以誤報率、漏報率都低於10%作為實際用於漏洞判斷的最低門檻，沒有任何受測模型能同時達標。</p> <p><strong><a href="https://www.ithome.com.tw/news/178879">Salesforce公布企業AI架構，集中管理自家與第三方AI</a></strong></p> <p>企業軟體與CRM服務業者Salesforce公布Enterprise AI Harness企業AI架構，用來支援企業管理AI代理與模型，提供AI運作所需的企業資料、工作執行、資安及治理能力，也可搭配企業原有的第三方模型、AI代理及系統使用。</p> <p><strong><a href="https://www.ithome.com.tw/news/178986">另一名相信AI可能殺死人類的研究人員自Google離職</a></strong></p> <p>隨著AI能力大幅躍升，安全護欄機制備受各界關注。近日一名研究人員在離開Google DeepMind後表示，已轉投專注於AI安全研究的BlueDot Impact，並憂心AI可能對人類存亡帶來威脅。</p> <p><strong><a href="https://www.ithome.com.tw/news/178845">Cylake募資2.45億美元，軟硬體整合AI資安平臺年底推出Beta版</a></strong></p> <p>近期Cylake宣布完成2.45億美元募資，這家資安新創由Palo Alto Networks創辦人Nir Zuk、SentinelOne共同創辦人Udi Shamir及Wilson Xu共同成立，這次募得資金將用於資安平臺開發與團隊擴充，產品預計2026年底推出Beta版，並於2027年正式推出。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">網路安全</strong></h1> <p><a href="https://www.ithome.com.tw/news/179024?fbclid=IwY2xjawUZ50twZG9mAWV4dG4DYWVtAjExAHNydGMGYXBwX2lkEDIyMjAzOTE3ODgyMDA4OTIAAR5LGTPDlBSo5r4080XHx6yzCTb0NPmXyfvajIsKh8hlkONFXiAakiKDWaOaFQ_aem_HJPi6HxB8boINkWr-Jh9CA"><strong>思科修補已遭利用的ISE滿分身分驗證繞過漏洞</strong></a><strong><span style="color: rgb(255, 0, 0);">【CVE-2026-76460】</span></strong></p> <p>思科針對身分識別與存取控制服務平臺ISE（Identity Services Engine）發布一系列資安更新，修補多個重大漏洞，其中的CVE-2026-76460特別值得留意，其CVSS嚴重程度評分達到滿分10分，而且已遭到積極利用。目前僅能透過基礎設施存取控制清單（iACLs）避免攻擊者遠端利用來降低風險，該公司呼籲用戶應儘速更新ISE因應。<a href="http://www.ithome.com.tw/news/179017">美國CISA已將此漏洞列入KEV名單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/178926">思科揭露郵件閘道重大等級的SQL注入漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-76461】</span></strong> </p> <p>思科揭露旗下的郵件安全閘道Cisco Secure Email Gateway存在SQL注入漏洞CVE-2026-76461，若不修補，攻擊者可在不需通過身分驗證的情況下，遠端以root權限在底層作業系統執行任意命令，CVSS評分為9.8分，無論實體設備或虛擬版本都受影響。思科警告該弱點已遭積極利用，由於沒有緩解措施，用戶應儘速套用軟體更新因應。<a href="http://www.ithome.com.tw/news/178927">美國CISA將此漏洞列入KEV名單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/178876">思科防火牆管理平臺的重大弱點遭國家級駭客利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-20079】</span></strong></p> <p><a href="http://www.ithome.com.tw/news/178849">美國網路安全與基礎設施安全局（CISA）警示</a>，思科防火牆管理平臺Secure Firewall Management Center（FMC）的漏洞CVE-2026-20079遭利用，此漏洞的CVSS嚴重度評分為10分，值得注意的是，同一天思科威脅情報團隊Talos指出，駭客組織UAT-12197、UAT-11823、UAT-11988已將其用於攻擊活動。</p> <p><strong><a href="https://www.ithome.com.tw/news/178848">CSA提出零信任微分段指引，將AI代理納入微分段控管</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0910-wei_fen_duan_-csa-960.jpg?itok=JbgGzOfp"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/0910-wei_fen_duan_-csa-960.jpg?itok=JbgGzOfp" style="width: 400px; float: right;" /></a></p> <p>隨著企業IT環境跨足雲端、營運技術（OT）、IoT及AI代理，傳統依賴IP位址、VLAN及固定網路拓樸的分段方式，愈來愈難因應不同系統之間持續變動的通訊關係。雲端安全聯盟（CSA）今年9月發布《零信任微分段指引》（Zero Trust Microsegmentation Guidance），提出企業可透過微分段落實最低權限通訊，減少不必要的系統可達性，藉此限制攻擊者橫向移動及縮小資安事件影響範圍。</p> <p><strong><a href="https://www.ithome.com.tw/news/178911">Cloudflare擴大來源伺服器PQC部署，後量子連線增至每日450億次</a></strong></p> <p>網路服務業者Cloudflare推出Automatic Key Exchange功能，會主動偵測來源伺服器支援的TLS 1.3金鑰建立方式，再自動選擇適合的演算法；若來源伺服器支援混合式金鑰建立機制X25519MLKEM768，就會優先採用。在目前已完成掃描的來源伺服器中，後量子連線已從每天約250億次增至450億次；在這批已完成掃描的來源伺服器中，需要透過HelloRetryRequest（HRR）重新進行TLS交握的連線比例，也從約52%降至3.7%，p90 TLS交握延遲減少超過150毫秒。</p> <p><strong><a href="https://www.ithome.com.tw/news/178978">VPN服務商Surfshark內部測試伺服器遭駭，未波及用戶資料</a></strong></p> <p>VPN與網路安全服務商Surfshark揭露資安事件，該公司內部測試伺服器因配置錯誤暴露於網際網路，遭攻擊者入侵。攻擊者取得部分系統二進位檔、內部服務配置及建置憑證，另存取一臺隔離VPS。不過該環境與正式服務環境分離，未存放用戶資料，Surfshark表示VPN服務、用戶資料、IP及瀏覽流量均未受影響。</p> <p><strong><a href="https://www.ithome.com.tw/news/178875">駭客利用已知漏洞入侵F5 BIG-IP APM裝置，部署Linux惡意程式</a></strong></p> <p>存在於F5 BIG-IP元件Access Policy Manager（APM）的重大漏洞CVE-2025-53521，去年10月由F5揭露後，今年上半陸續傳出遭利用的消息，本週資安公司Sophos表示近期發現專門攻擊F5 BIG-IP APM環境的Linux惡意程式，攻擊者入侵F5 BIG-IP系統的管道，就是透過CVE-2025-53521。</p> <p><strong><a href="https://www.ithome.com.tw/news/178928">Shadowserver發現全球260萬臺MikroTik路由器暴露於網路，RouterOS漏洞風險升高，臺灣有近1.9萬臺</a></strong></p> <p>MikroTik路由器的RouterOS作業系統近日傳出多項遭利用漏洞，Shadowserver基金會9月14日掃描發現，全球約260萬個MikroTik設備的IP位址仍暴露於公開網路，臺灣也有近2萬個。MikroTik產品涵蓋家用、企業及網路服務商等環境，大量設備持續暴露也凸顯RouterOS漏洞修補的部署落差。</p> <p><strong><a href="https://www.ithome.com.tw/news/178947">英國議會遭到攻擊的事故與SonicWall SMA1000漏洞利用活動有關</a></strong></p> <p>7月17日英國King&#039;s Lynn and West Norfolk自治區議會遭到網路攻擊，9月10日威脅情報公司Hunt.io指出，此事件疑似與專門鎖定SonicWall SSL VPN設備SMA1000、並大規模利用其漏洞CVE-2026-15409的攻擊活動有關，攻擊者利用漏洞得到VPN設備的指令執行權限，擷取組態配置資料，企圖還原LDAP憑證。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/178868">Check Point修補重大等級的VPN資安弱點</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/178877">Fortinet沙箱系統FortiSandbox存在高風險漏洞，若不處理恐洩露敏感資訊</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/178909">Palo Alto Networks修補防火牆作業系統XML功能漏洞</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/178867">Fortinet修補FortiMonitorOnSight、FortiPAM重大漏洞</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">應用程式安全</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/178902">Wiz警告3個JFrog Artifactory嚴重漏洞遭積極利用，部分漏洞被串連形成攻擊鏈</a><span style="color: rgb(255, 0, 0);">【CVE-2026-42018、CVE-2026-42016】</span></strong></p> <p>9月初JFrog的軟體供應鏈儲存庫Artifactory的CVE-2026-82329出現遭利用活動，一週後資安公司Wiz確認該產品有3個漏洞遭積極利用，分別是：CVE-2026-42016、CVE-2026-42018，以及前述CVE-2026-82329。攻擊者得以建立管理員帳號、部署惡意Groovy外掛、執行惡意程式碼，以及安裝以Rust打造的後門。後續<a href="http://www.ithome.com.tw/news/178897">美國CISA將兩項新漏洞列入KEV名單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/178892">GitLab修補CVSS滿分重大漏洞，公開隔天即出現漏洞探測</a><span style="color: rgb(255, 0, 0);">【CVE-2026-85706】</span></strong> </p> <p>GitLab修補CVSS風險分數達10分的重大（Critical）路徑穿越漏洞CVE-2026-85706，未通過身分驗證的遠端攻擊者在特定條件下，可能讀取GitLab伺服器上的任意檔案，並呼籲使用自管GitLab環境的企業儘速更新。值得關注的是，相隔不到一天，威脅情報公司watchTowr表示，已偵測到漏洞探測行為，後續<a href="http://www.ithome.com.tw/news/178897">美國CISA將CVE-2026-85706列入KEV名單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/178905">ConnectWise修補ScreenConnect重大漏洞</a><span style="color: rgb(255, 0, 0);">【CVE-2026-84869】</span></strong> </p> <p>9月3日軟體公司ConnectWise警告遠端監控與管理平臺ScreenConnect存在CVE-2026-84869漏洞，CVSS嚴重程度評分為9.9，呼籲用戶應儘速依照指引緩解。8日該公司發布26.6.5版ScreenConnect更新，由於該問題極有可能被鎖定或已被實際利用，ConnectWise因此將修補優先程度列為第一級，用戶需以最優先的層級採取行動。<a href="http://www.ithome.com.tw/news/178900">後續美國CISA已將此漏洞列入KEV清單</a>。</p> <p><strong><a href="https://www.ithome.com.tw/news/178906">ConnectWise公布的ScreenConnect重大漏洞，傳出已於8月下旬被用於攻擊活動</a></strong></p> <p><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small;">8月底出現一系列涉及ScreenConnect遠端存取軟體的</span><wbr style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small;"></wbr><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small;">可疑活動，</span>根據威脅情報公司Huntress觀察，受害者可能在假冒技術支援或退款表單等情境中，下載並執行惡意ScreenConnect安裝程式，而安裝未經授權或遭竄改ScreenConnect用戶端程式的電腦，會反覆啟動wscript.exe執行4個惡意VBScript檔。</p> <p><strong><a href="https://www.ithome.com.tw/news/178937">Acronis修補cPanel與WHM備份外掛高風險漏洞，警示已遭攻擊者利用</a><span style="color: rgb(255, 0, 0);">【CVE-2026-87886】</span></strong></p> <p>Acronis修補Acronis Backup plugin for cPanel &amp; WHM高風險漏洞，並警告漏洞已遭攻擊者實際利用。原廠起初未公布CVE編號、漏洞成因或攻擊細節，僅要求1.9.3版用戶更新至1.9.3 HF3或1.9.4。由於該外掛用於在cPanel與WHM環境管理Acronis備份與復原，用戶應儘速確認版本並完成更新。後續Acronis已公開其漏洞編號為CVE-2026-87886。美國CISA也將此漏洞列入KEV清單。</p> <p><strong><a href="https://www.ithome.com.tw/news/178959">暴露在網際網路的Vite開發伺服器被鎖定，攻擊者試圖竊取雲端憑證與組態設定</a><span style="color: rgb(255, 0, 0);">【</span><span style="color: rgb(255, 0, 0);">CVE-2026-39364】</span></strong></p> <p>Vite是輔助前端開發與程式碼打包作業的伺服器系統，網路安全與應用交付大廠F5上週末發出警告，指出其在8月觀察到大規模針對Vite的自動化偵察活動，攻擊者鎖定暴露在網際網路的Vite開發伺服器，利用檔案讀取漏洞CVE-2026-39364，嘗試取得雲端憑證、環境設定及基礎架構狀態檔。</p> <p><strong><a href="https://www.ithome.com.tw/news/178932">中國駭客Red Heron利用Gitea重大漏洞攻擊臺灣等多個國家</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/44aaddbef5203249f6955f54ba28a8d4-156.jpg?itok=ZvJ9HKv8"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/44aaddbef5203249f6955f54ba28a8d4-156.jpg?itok=ZvJ9HKv8" style="width: 400px; float: right;" /></a></p> <p>Gitea開發團隊7月底修補重大漏洞CVE-2026-60004，美國網路安全與基礎設施安全局警告該漏洞遭積極利用，本週資安公司Acronis指出，中國駭客Red Heron在上述漏洞公開數日後，打造攻擊框架，能在Gitea註冊帳號、利用漏洞、竊取儲存庫內容，以及移除特定的追蹤記錄，並嘗試植入Linux惡意程式Jitterly、Sixzut。</p> <p><strong><a href="https://www.ithome.com.tw/news/178930">中國駭客UNC3569利用搜狗輸入法漏洞，散布後門程式GrayRabbit</a></strong></p> <p>資安公司Gen Digital在中國駭客UNC3569攻擊的事故調查過程，發現騰訊搜狗輸入法存在重大漏洞CVE-2026-51990，4月通報騰訊，兩週內完成修補。UNC3569透過特製sgbiz:連結將受害者導向攻擊頁面，利用V8漏洞CVE-2021-38003取得程式碼執行能力，再下載7-Zip執行檔、遭竄改的DLL檔，以及經加密處理的惡意酬載。</p> <p><strong><a href="https://www.ithome.com.tw/news/178988">駭客利用資料分析工具Marimo重大漏洞從事攻擊，8秒完成竊取AWS憑證與SSH主機橫向移動</a></strong></p> <p>9月11日資安公司Sysdig揭露針對Python資料分析工具Marimo的攻擊活動，駭客利用4月上旬揭露的重大漏洞CVE-2026-39987，趁機竊取雲端憑證並橫向移動至SSH主機。Sysdig表示，攻擊者並未借助AI力量，而是手動撰寫程式碼及除錯，卻仍能以機器速度完成整個攻擊流程。</p> <p><strong><a href="https://www.ithome.com.tw/news/178972">電商平臺WooCommerce外掛重大漏洞被鎖定，攻擊者藉此在WordPress網站上傳後門</a></strong></p> <p>專供電商平臺WooCommerce的付費外掛程式Wholesale Lead Capture，今年2月公布及修補的重大漏洞CVE-2026-27540，9月14日資安廠商Wordfence警告近期出現遭積極利用的現象，自漏洞公開後Wordfence已擋下超過10萬次漏洞利用嘗試，8月底達到高峰，一天內嘗試利用該弱點超過4萬次。</p> <p><strong><a href="https://www.ithome.com.tw/news/178968">LiteSpeed Web Server漏洞恐讓共享主機單一帳號取得root權限</a></strong></p> <p>網頁伺服器系統開發商LiteSpeed的LiteSpeed Web Server Enterprise存在重大權限提升漏洞，共享主機（shared-hosting servers）上的低權限網站使用者可能藉此繞過帳號隔離機制，取得伺服器root權限。所謂共享主機，是指多個網站共同使用同一臺實體伺服器的資源。網站與伺服器管理平臺業者cPanel於9月14日發布安全公告，呼籲使用者升級至6.3.7或後續版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/178939">WordPress強化外掛更新安全審查，高風險版本自動阻止散布</a></strong></p> <p>WordPress.org外掛團隊強化自動化安全審查機制，新增高風險版本自動阻擋功能。每次外掛程式提交新版本後，在透過WordPress.org更新API散布前，系統都會先分析該版本的程式碼變更，檢查是否存在潛在資安問題；若該版本被評為高風險，系統將自動阻止該版本散布。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/178908">網站主機管理平臺cPanel存在SQL注入漏洞CVE-2026-67401，擁有郵件相關權限的攻擊者能以root權限執行任意程式碼</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/178899">Dell修補ObjectScale物件儲存平臺滿分重大漏洞，未更新可能導致遠端執行程式碼</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/178971">Google更新Chrome 153穩定版，修補42個資安漏洞</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/178975">Mozilla發布Firefox 156，修補73個資安漏洞</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">端點安全</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/178917">兩組中國駭客串連Chrome與Windows零時差漏洞，部署後門與竊資軟體</a></strong></p> <p><a href="/sites/default/files/images/Mind the (Patch) Gap Multiple Chinese Threat Actors Chain 0-day Exploits in Chrome Windows_Volexity.jpg"><img alt="" src="/sites/default/files/images/Mind%20the%20(Patch)%20Gap%20Multiple%20Chinese%20Threat%20Actors%20Chain%200-day%20Exploits%20in%20Chrome%20%20Windows_Volexity.jpg" style="width: 400px; float: right;" /></a></p> <p>中國駭客組織UTA0560鎖定非政府組織（NGO）發動網釣活動，根據資安公司Volexity的偵測，釣魚信的連結導向攻擊者基礎設施，觸發包含Chrome漏洞CVE-2026-85046、Windows漏洞CVE-2026-85880的利用鏈，而在郵件遙測資料中，Volexity發現另一組中國駭客也用相同漏洞鏈，但基礎設施、惡意軟體及攻擊目標皆不同。</p> <p><strong><a href="https://www.ithome.com.tw/news/178965">微軟9月Windows更新引發遠端桌面服務異常，發布臨時更新搶修</a></strong></p> <p>微軟9月發布的Windows安全性更新造成遠端桌面服務（Remote Desktop Services，RDS）異常，部分Windows裝置安裝更新後，可能出現遠端桌面連線或登入失敗。微軟已於9月14日發布臨時更新（Out-of-band update，OOB）修復，受影響範圍涵蓋Windows 11、Windows 10及多個Windows Server版本。</p> <p><strong><a href="https://www.ithome.com.tw/news/178934">Apple同步更新macOS三大分支版本，修補逾200個資安漏洞</a></strong></p> <p>Apple於9月14日同步發布macOS Golden Gate 27、Tahoe 26.7與Sequoia 15.8等三個更新版本，包含共通漏洞在內，三份公告合計涉及逾500個修補項目，其中Golden Gate 27涵蓋216個漏洞，Tahoe 26.7與Sequoia 15.8也各自包含157個與158個漏洞，主要涵蓋Kernel、CUPS、SMB與SceneKit等元件。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/178915">Google發布9月份Android例行更新，修補200個資安漏洞</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/178961">Apple發布iOS 27與iPadOS 27，修補126個資安漏洞</a></strong></p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">資安維運</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/178858">CISA更新內部威脅指引，將AI風險納入企業防護</a></strong></p> <p><img alt="" src="/sites/default/files/images/cisa-insider-threat-mitigation-guide-2026_CISA.jpg" style="width: 400px; float: right;" /><span style="color: rgb(29, 28, 29);">美國網路安全與基礎設施安全局（CISA）更新《內部威脅緩解指引》（Insider Threat Mitigation Guide），</span>新增AI、混合與遠距工作等議題，並提出企業建立內部威脅管理機制時，應整合人員通報、資安監控與實體安全的資訊。</p> <p><strong><a href="https://www.ithome.com.tw/news/178982">泰國大型寬頻網路供應商3BB遭滲透，駭客濫用遠端管理工具MeshCentral控制內部設備</a></strong></p> <p>近期泰國大型寬頻網路公司3BB（Triple T Broadband）傳出遭到網路攻擊鎖定的消息，根據本週威脅情報公司Hunt.io的揭露，他們在網路上找到一個公開資料夾，內含攻擊指令碼、權限提升工具、暴力破解工具、遠端管理工具MeshCentral的代理程式組態，以及遭到入侵的裝置名單，並確認這些檔案都是用來攻擊3BB的工具。</p> <p><strong><a href="https://www.ithome.com.tw/news/178921">義大利醫療機構遭INC Ransom攻擊，多項醫療服務中斷近兩週後全面恢復</a></strong></p> <p>醫療產業再度傳出遭勒索軟體攻擊的資安事件，義大利醫療機構Policlinico Triestino於8月底發生系統中斷危機，並於9月中旬證實攻擊與勒索軟體組織INC Ransom有關。由於事件導致部分門診、檢驗、影像診斷及手術服務被迫暫停，近兩週後才全面恢復，此事故也讓外界再次關注醫療機構的資安韌性。</p> <p><a href="https://www.ithome.com.tw/news/179056"><strong>商周集團主站基礎服務恢復運作，旗下網站、互動功能、個人化服務將逐步開放</strong></a></p> <p>上週商周集團網站遭惡意攻擊，導致線上服務中斷，9月16日公告主網站基礎服務正式恢復，不過，其他系統仍在重建，9月9日後的新文章暫時無法提供閱讀。該集團旗下的商周財富網、良醫健康網、alive生活品味、Smart自學網，以及新財富備忘錄等網站，尚在進行驗證，確認安全無虞後才會陸續上線。此外，部分網站互動功能與個人化服務，將在系統穩定後逐步開放。</p> <p><a href="http://www.ithome.com.tw/news/178900"><strong>美國警告ConnectWise ScreenConnect、JFrog Artifactory漏洞遭積極利用</strong></a><span style="color: rgb(255, 0, 0);"><strong> 【CVE-2026-84869、CVE-2026-42018、CVE-2026-42016】</strong></span></p> <p>9月11日美國網路安全與基礎設施安全局（CISA）對3個漏洞提出警告，並更新已遭利用的漏洞名單（KEV），分別是ConnectWise ScreenConnect的CVE-2026-84869需優先處理，修補期限是9月14日；JFrog Artifactory的CVE-2026-42016與CVE-2026-42018，修補期限皆為9月25日。</p> <p><a href="https://www.ithome.com.tw/news/179017"><strong>思科ISE、Acronis網頁主機管理平臺備份工具漏洞遭積極利用</strong></a><strong style="color: rgb(255, 0, 0);">【CVE-2026-76460、CVE-2026-87886】</strong></p> <p>美國網路安全與基礎設施安全局（CISA）9月16日發布公告，表示已遭利用漏洞名單（KEV），加入兩個漏洞，分別是：思科身分識別服務引擎（ISE）特權API使用不正確漏洞CVE-2026-76460，以及Acronis網頁主機管理平臺備份工具預設權限不正確漏洞CVE-2026-87886，CISA要求聯邦機構必須在9月19日前完成修補。</p> <p><strong><a href="https://www.ithome.com.tw/news/178919">漏洞利用套件BlueMoon被用於攻擊美國、越南、新加坡、印尼</a></strong></p> <p>8月底出現使用漏洞利用工具包BlueMoon的活動，資安公司Proofpoint指出，攻擊目標涵蓋美國、越南、新加坡，以及印尼。最早發現的攻擊出現在美國，APT31鎖定非政府組織、礦業，以及大宗商品交易公司。後續UNK_DoubleCheck針對越南製造公司，UNK_QuietRacket同時針對新加坡及印尼政府、顧問與金融機構。</p> <p><strong><a href="https://www.ithome.com.tw/news/178910">研究人員揭露新型遠端存取木馬E4del、PINHOLE，濫用FTP歡迎畫面文字傳遞惡意指令</a></strong></p> <p>資安業者SOCRadar揭露兩款新型RAT E4del與PINHOLE，攻擊活動至少自7月初開始，攻擊者以西班牙文優惠券等誘餌散布LNK捷徑，利用FTP伺服器歡迎畫面文字傳遞惡意指令。E4del偽裝Discord，可遠端執行命令、擷取螢幕；PINHOLE則濫用Pinterest、SurveyMonkey取得C2資訊，並透過Cloudflare Workers隱匿流量。</p> <p><strong><a href="https://www.ithome.com.tw/news/178869">Cribl取得Radiant Security AI SOC技術，擴大資安營運布局</a></strong></p> <p>企業遙測資料平臺業者Cribl於8月中旬宣布，取得AI資安新創Radiant Security旗下AI原生資安營運中心（SOC）產品的技術資產與智慧財產權，目前正調整相關技術，使其能以應用程式形式執行於Cribl既有遙測資料平臺，並用於自動進行資安警示分類、調查及處置。</p> <p><strong><a href="https://www.ithome.com.tw/news/178889">Brinqa併購PlexTrac，補強曝險管理與攻擊驗證能力</a></strong></p> <p>企業資安曝險管理業者Brinqa於8月19日宣布併購滲透測試與攻擊驗證平臺業者PlexTrac，交易條件並未公布。Brinqa原本主要彙整弱點掃描、雲端及應用程式安全工具發現的資安問題，並依業務影響與威脅情報協助企業決定處理順序；PlexTrac則著重滲透測試、攻擊驗證及測試結果管理。這次併購讓Brinqa補上攻擊驗證與修補後複測能力，企業可確認高風險曝險是否確實能被利用，以及修補措施是否有效。相關驗證結果也會納入Brinqa既有平臺，作為後續風險排序與AI代理分析的依據。</p> <p><strong><a href="https://www.ithome.com.tw/review/178873">新增SIEM基本功能，Cynet年中改版主打多種快速處理特色</a></strong></p> <p>以色列資安業者Cynet今年下半陸續針對SaaS雲端服務平臺推出4.33版與5.0版，聚焦執行速度與處理規模的強化。這次改版新增的多項功能當中，最大亮點是SIEM基礎功能、XDR與ITDR警示的生成式AI解釋功能，以及CyOps事故主動應變功能，可藉此大幅縮短警示的分類處理時間及修復時間。</p> <p><strong><a href="https://www.ithome.com.tw/news/178969">長榮航空、長榮航太網路環境遭到入侵</a></strong></p> <p>9月15日晚間，長榮航空（2618）與長榮航太（2645）接連在股市公開資訊觀測站發布資安重訊，指出內部網路環境遭到入侵，已啟動資安應變機制。長榮航空表示，有不明人士透過惡意IP位址入侵，且取得員工姓名與公務聯絡資訊；長榮航太表示，該公司偵測到部分內部資訊系統遭到攻擊，該公司已隔離受影響設備。</p> <p><strong><a href="https://www.ithome.com.tw/news/178923">崴寶資訊系統遭到入侵，部分資料遭加密鎖定</a></strong></p> <p>9月14日下午，崴寶精密科技發布資安重大訊息指出，公司資訊系統遭到入侵，導致部分系統的資料遭到加密鎖定，該公司隨即啟動資安應變機制，進行網路斷線及系統隔離，同時委請外部資安團隊進駐協助調查與復原。受影響範圍包括公司網路系統、電子郵件系統，以及部分業務營運相關系統，不過未影響工廠生產作業，生產活動均維持正常，目前也尚未發現機密資料或個人資料外洩的跡象。</p> <p>■<strong><a href="https://www.ithome.com.tw/news/178893">生技醫療公司達爾膚部分內部資訊系統遭網攻</a></strong></p> <p>■<strong><a href="https://www.ithome.com.tw/news/178907">OpenJS CNA面臨AI生成漏洞通報增加，將暫停CVE處理近3週</a></strong></p> <p style="margin: 0px;">■<a href="https://www.ithome.com.tw/news/178999"><strong>BengalSEO鎖定Bing搜尋結果，透過SEO投毒散布惡意軟體MayaBot</strong></a></p> <p style="margin: 0px;"> </p> <p style="margin: 0px;"> </p> <h1><strong style="color: rgb(255, 140, 0);">身分安全</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/178841">ShinyHunters語音網釣鎖定醫療業，SaaS敏感資料恐遭竊</a></strong></p> <p>資料勒索組織ShinyHunters近期對全球醫療產業發動語音網釣攻擊。醫療產業資安資訊分享與分析中心Health-ISAC發布資安警訊，攻擊者近期註冊帶有醫療產業意涵或結合受害企業名稱的仿冒網域，顯示攻擊範圍正擴大至醫療機構營運及特定業務單位。</p> <p><strong><a href="https://www.ithome.com.tw/news/178977">HBO Max的Reddit社群網站帳號遭挾持，用於ClickFix攻擊推送惡意軟體</a></strong></p> <p>近期有攻擊者入侵HBO Max的社群網站Reddit帳號，將其用於推送惡意廣告，藉此對Windows與macOS用戶散布惡意軟體。根據資安公司Hudson Rock與Adam Networks聯手調查，該社群網站帳號遭挾持後，兩天內投放108則惡意廣告，推廣實際上不存在的HBO Max應用程式，以及AI工具和磁碟清理工具等多種應用程式。</p> <p><strong><a href="https://www.ithome.com.tw/news/178989">金融木馬Kremlin偽造瀏覽器完整性檢查，企圖竊取巴西銀行用戶憑證</a></strong></p> <p><a href="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/ref9334-156.jpg?itok=yWjFmqdX"><img alt="" src="https://www.ithome.com.tw/sites/default/files/styles/picture_size_large/public/field/image/ref9334-156.jpg?itok=yWjFmqdX" style="width: 400px; float: right;" /></a></p> <p>9月14日資安公司Elastic揭露金融木馬Kremlin的攻擊活動，過程中，駭客使用多階段JavaScript載入工具、自訂C++安裝程式，以及惡意瀏覽器擴充套件，鎖定巴西銀行使用者與金融機構，竊取使用者憑證、連線階段（session）權杖與敏感資料。該公司自去年5月開始追蹤相關活動，迄今已出現7波攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/news/178888">電子郵件行銷服務商Brevo客戶帳號遭入侵，攻擊者利用合法郵件管道寄送網釣信</a></strong></p> <p>電子郵件行銷與CRM服務商Brevo於9月9日發生資安事件，攻擊者取得部分客戶帳號的存取權限，並透過客戶的合法郵件發送管道寄送網釣信。Brevo事後確認，共有138個帳號遭入侵，其中6個被用來寄送網釣信。根據The Record報導，已知受影響業者包括硬體加密貨幣錢包品牌Trezor與BitBox，以及加密貨幣資產追蹤服務CoinTracking。</p> <p> </p> <h1><strong style="color: rgb(255, 140, 0);">IoT/OT安全</strong></h1> <p><strong><a href="https://www.ithome.com.tw/news/178834">美國能源部研究AI強化電網資安，網路威脅偵測與定位準確率達95%</a></strong></p> <p><a href="/sites/default/files/images/CESER C2E2 AI.jpg"><img alt="" src="/sites/default/files/images/CESER%20C2E2%20AI.jpg" style="width: 400px; float: right;" /></a></p> <p>美國能源部（DOE）旗下網路安全、能源安全與緊急應變辦公室（CESER）與美國桑迪亞國家實驗室合作，研究如何利用大型語言模型（LLM）及生成式AI協助電網資安分析。這項研究稱為Communications and Cybersecurity for the Energy Edge（C2E2），2024年獲得CESER資助。根據桑迪亞國家實驗室公布的研究說明，過去研究人員必須先蒐集並整理電網的實體量測、資安資訊與系統拓樸等資料，再交由機器學習模型分析。</p> <p><strong><a href="https://www.ithome.com.tw/news/178859">臺灣網路攝影機廠商晶睿傳出遭勒索軟體Everest攻擊</a></strong></p> <p>9月1日勒索軟體Everest聲稱入侵台達電旗下的網路攝影機廠商晶睿通訊（Vivotek），竊取236 GB內部資料，共近9.5萬個檔案，包括網路攝影機與網路錄影機相關韌體、原始程式碼，以及開發、測試與維修資料。台達電資深經理施孟璁表示，台達電與晶睿均無系統受到影響，也沒有敏感資料外洩，研判駭客手上取得的資料，是晶睿公開對外提供的檔案，其中部分是舊資料。</p> <p> </p> </div></div></div>

【資安日報】9月16日，歐盟CRA通報義務上路，臺灣廠商建置PSIRT升溫，資安院提醒成熟度仍有落差

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/178984#CRA">歐盟CRA上路，臺灣廠商建PSIRT升溫，資安院提醒成熟度仍有落差</a><br /> ● <a href="https://www.ithome.com.tw/node/178984#Oracle">Oracle發布9月例行更新，修補672個資安弱點</a><br /> ● <a href="https://www.ithome.com.tw/node/178984#AI">駭客濫用AI從事網釣，冒充高階主管與ServiceNow詐騙財務人員</a><br /> ● <a href="https://www.ithome.com.tw/node/178984#Cut">俄羅斯駭客利用PaperCut資安漏洞，透過AI代理進行大規模攻擊</a><br /> ● <a href="https://www.ithome.com.tw/node/178984#SMA">英國議會遭攻擊事件與SonicWall SMA1000漏洞利用活動有關</a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/178969"><span style="font-size: 22px;"><strong>長榮航空、長榮航太網路環境遭到入侵</strong></span></a></p> <p>長榮集團旗下的航空運輸公司長榮航空（2618）與航空設備維修及製造公司長榮航太（2645）於9月15日晚間，在股市公開資訊觀測站發布資安重訊，指出內部網路環境遭到入侵，已啟動資安應變機制因應。長榮航空表示，有不明人士透過惡意IP位址入侵，且取得員工姓名與公務聯絡資訊，評估對公司所有業務不造成影響；長榮航太表示，該公司偵測到部分內部資訊系統遭到攻擊，他們對受影響設備進行隔離，核心資訊系統及營運業務運作正常，未發現客戶或第三方敏感個資外洩。<a href="https://www.ithome.com.tw/news/178969">詳全文</a> <a id="SMA" name="SMA"></a></p> <p><a href="https://www.ithome.com.tw/news/178947"><span style="font-size: 22px;"><strong>英國議會遭攻擊事件與SonicWall SMA1000漏洞利用活動有關</strong></span></a></p> <p>7月14日SonicWall針對VPN設備SMA1000提出警告，部分機種存在CVE-2026-15409、CVE-2026-15410，並指出這些漏洞已遭利用，後續資安公司Rapid7透露相關攻擊活動出現的時間點可能更早，並公布相關細節。9月10日威脅情報公司Hunt.io指出，7月17日英國King&#039;s Lynn and West Norfolk自治區議會傳出發生網路攻擊事件，疑似與專門鎖定SMA1000設備並大規模利用CVE-2026-15409的活動有關，攻擊者利用漏洞得到VPN設備的指令執行權限，然後擷取組態資料，企圖還原相關的LDAP憑證，並用於後續攻擊。<a href="https://www.ithome.com.tw/news/178947">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178977"><span style="font-size: 22px;"><strong>HBO Max的</strong></span></a><a href="https://www.ithome.com.tw/news/178977"><span style="font-size: 22px;"><strong>Reddit</strong></span></a><a href="https://www.ithome.com.tw/news/178977"><span style="font-size: 22px;"><strong>社群帳號遭挾持，用於ClickFix攻擊推送惡意軟體</strong></span></a></p> <p>資安公司Hudson Rock與Adam Networks聯手調查一起不尋常的ClickFix社交工程攻擊活動，攻擊者入侵了HBO Max的Reddit社群帳號，將其用於推送惡意廣告，藉此對Windows與macOS用戶散布惡意軟體。兩家公司指出，該社群帳號遭挾持後，2天內投放了108則惡意廣告，內容包含推廣實際上不存在的HBO Max應用程式，以及AI工具和磁碟清理工具等多種應用程式，因此其攻擊範圍並非局限於HBO Max用戶。這波活動可能與更廣泛的跨平臺攻擊PasteSwitch有關，其特點是會根據受害者取得的誘餌內容，以及受害電腦的作業系統，提供不同的惡意酬載。<a href="https://www.ithome.com.tw/news/178977">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178978"><span style="font-size: 22px;"><strong>VPN服務商Surfshark內部測試伺服器遭駭，未波及用戶資料</strong></span></a></p> <p>VPN與網路安全服務商Surfshark於9月9日揭露資安事件，該公司內部測試伺服器因配置錯誤暴露於網際網路，遭攻擊者存取，該伺服器屬工程測試環境，與提供Surfshark VPN等服務的正式環境分離，未儲存或處理用戶資料，因此沒有用戶受到影響，也未造成VPN服務、流量或瀏覽活動資訊外洩。Surfshark表示，該公司於8月31日從監控系統發現可疑活動，9月2日確認測試伺服器遭入侵並完成隔離。<a href="https://www.ithome.com.tw/news/178978">詳全文</a> <a id="Cut" name="Cut"></a></p> <p><a href="https://www.ithome.com.tw/news/178942"><span style="font-size: 22px;"><strong>俄羅斯駭客利用PaperCut資安漏洞，透過AI代理進行大規模攻擊</strong></span></a></p> <p>列印管理軟體廠商PaperCut於8月底揭露零時差漏洞CVE-2026-82078、CVE-2026-81578，並多次為PaperCut NG與PaperCut MF系統發布緊急更新，9月初資安公司Arctic Wolf揭露鎖定歐美學校的攻擊活動，近日有新的大規模攻擊活動出現。9月9日威脅情報公司GreyNoise指出，他們發現使用俄語的駭客藉助AI的力量開發與測試惡意程式，並利用前述漏洞攻擊全球各地的PaperCut NG與PaperCut MF系統。攻擊者結合OpenAI程式碼助理Codex與DeepSeek模型，打造數百個AI代理，並搭配能公開取得的攻擊工具，於包含臺灣在內的48個國家發動AI自主攻擊，有395個組織使用的至少440臺PaperCut執行個體（instance）被入侵，攻擊者成功得到其中12個組織的網域管理員權限。<a href="https://www.ithome.com.tw/news/178942">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178972"><span style="font-size: 22px;"><strong>電商平臺WooCommerce外掛重大漏洞被鎖定，攻擊者藉此在WordPress網站植入後門</strong></span></a></p> <p><a href="/sites/default/files/images/blocked-attacks-08-waf-899-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/blocked-attacks-08-waf-899-156.jpg" style="width: 300px; float: right;" /></a>9月14日資安廠商Wordfence警告，專供電商平臺WooCommerce的付費外掛程式Wholesale Lead Capture，於今年2月公布及修補的重大漏洞CVE-2026-27540，近期出現遭到積極利用的現象，自漏洞公開後，Wordfence已擋下超過10萬次漏洞利用攻擊，自6月初開始出現數次大規模活動，並在8月底達到高峰，當時攻擊者一天內嘗試利用該弱點超過4萬次。對此，Wordfence呼籲，網站管理者應升級Wholesale Lead Capture至2.0.3.2以上版本（目前最新為2.0.6版）以獲得保護。<a href="https://www.ithome.com.tw/news/178972">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178959"><span style="font-size: 22px;"><strong>暴露在網路的開發伺服器Vite被鎖定，攻擊者試圖竊取雲端憑證與組態設定</strong></span></a></p> <p>網路安全與應用交付大廠F5於9月11日提出警告，8月出現大規模針對開發工具的自動化偵察活動，攻擊者鎖定暴露在網際網路的開發伺服器Vite，利用檔案讀取漏洞CVE-2026-39364，嘗試取得雲端憑證、環境設定及基礎架構狀態檔。該公司的蜜罐陷阱在當月分析期間記錄807組攻擊、約3.2萬筆原始事件。攻擊者的掃描目標包括.env、.env.local、.env.production等環境設定檔，以及多個使用者目錄下的AWS憑證、Azure存取權杖、AWS設定備份、Terraform狀態檔與無伺服器（Serverless）設定。<a href="https://www.ithome.com.tw/news/178959">詳全文</a> <a id="Oracle" name="Oracle"></a></p> <p><a href="https://www.ithome.com.tw/news/178980"><span style="font-size: 22px;"><strong>Oracle發布9月例行更新，修補672個資安弱點</strong></span></a></p> <p>9月15日Oracle發布關鍵安全修補更新（CSPU），這次Oracle共為旗下17種應用系統修補672個漏洞，其中有104個為重大等級，占15.5%；503個為高風險等級，占74.7%。從受影響的應用系統來看，Oracle E-Business Suite（EBS）有159個漏洞最多，其次是Oracle Fusion Middleware，有153個。​<a href="https://www.ithome.com.tw/news/178980">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178971"><span style="font-size: 22px;"><strong>Google更新Chrome 153穩定版，修補42個資安漏洞</strong></span></a></p> <p>Google於9月15日發布Chrome瀏覽器新版本，在桌面版方面，Windows與Linux平臺穩定版更新至153.0.8010.47，Mac平臺版本更新至153.0.8010.48；在行動裝置版方面，Android版本更新至153.0.8010.47。此次改版共納入42個資安漏洞的修補，含三個重大漏洞與28個高風險等級漏洞。就這次修補涉及的元件來看，漏洞分布相對平均，Core、Extensions、Skia、ServiceWorker等元件各有3個漏洞，Input、V8、Compositing、ANGLE則各有兩個漏洞。就漏洞類型而言，這次修補仍是以記憶體安全問題居多。<a href="https://www.ithome.com.tw/news/178971">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178961"><span style="font-size: 22px;"><strong>Apple發布iOS 27與iPadOS 27，修補126個資安漏洞</strong></span></a></p> <p>除了更新macOS外，Apple在9月14日也同步發布iOS 27與iPadOS 27，修補126個資安漏洞。相較於上個月的iOS與iPadOS更新，這次更新修補的方向明顯不同。就這次漏洞修補涉及的元件來說，與Kernel有關的漏洞最多，共有16個，其次是SceneKit與CoreUI，分別占7個與5個漏洞；至於先前修補中常見的WebKit相關元件，這次則只占4個。而從漏洞類型來看，這次修補是以記憶體安全類型為最大宗。<a href="https://www.ithome.com.tw/news/178961">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178975"><span style="font-size: 22px;"><strong>Mozilla發布Firefox 156，修補73個資安漏洞</strong></span></a></p> <p>Mozilla於9月15日發布Firefox瀏覽器156版，並修補73個漏洞，包含29個高風險漏洞。就漏洞涉及的元件來看，這次Firefox修補最多集中在圖形處理類型，包括Graphics與Graphics: CanvasWebGL在內合計有15個漏洞；次之是Widget: Win32與Networking，各有6個與4個漏洞。在漏洞類型方面，這次Firefox修補最多的，包括邊界條件錯誤（Incorrect boundary conditions）與記憶體已釋放卻仍被使用（UAF），分別有19個與17個漏洞。<a href="https://www.ithome.com.tw/news/178975">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178968"><span style="font-size: 22px;"><strong>LiteSpeed Web Server漏洞恐讓共享主機單一帳號取得root權限</strong></span></a></p> <p>共享主機（shared-hosting servers）上的低權限網站使用者可能藉此繞過帳號隔離機制，取得伺服器root權限。網站與伺服器管理平臺業者cPanel於9月14日發布安全公告，指出網頁伺服器系統開發商LiteSpeed的LiteSpeed Web Server Enterprise存在重大權限提升漏洞，影響6.3.7之前的版本，共享主機上的惡意低權限網站使用者可能藉此繞過包括CageFS在內的帳號隔離機制，取得伺服器root權限。LiteSpeed於9月11日發布6.3.7版，該版本紀錄列出3項安全性項目，不過未說明其中哪一項安全性項目對應cPanel揭露的權限提升漏洞，因此目前仍無法確認漏洞的具體成因。<a href="https://www.ithome.com.tw/news/178968">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178965"><span style="font-size: 22px;"><strong>微軟9月Windows更新引發遠端桌面服務異常，發布臨時的軟體更新搶修</strong></span></a></p> <p>微軟9月發布的Windows安全性更新造成遠端桌面服務（Remote Desktop Services，RDS）異常，部分Windows裝置安裝更新後，可能出現遠端桌面連線或登入失敗。微軟已於9月14日發布臨時更新（Out-of-band update，OOB）修復，受影響範圍涵蓋Windows 11、Windows 10及多個Windows Server版本。根據微軟說明，受影響系統的遠端桌面連線可能在數分鐘後失敗，使用者也可能無法登入；部分Windows Server也可能在遠端桌面設定階段停止回應。<a href="https://www.ithome.com.tw/news/178965">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178939"><span style="font-size: 22px;"><strong>WordPress強化外掛更新安全審查，高風險版本自動阻止散布</strong></span></a></p> <p>WordPress.org外掛團隊強化自動化安全審查機制，新增高風險版本自動阻擋功能。每次外掛程式提交新版本後，在透過WordPress.org更新API散布前，系統都會先分析該版本的程式碼變更，檢查是否存在潛在資安問題；若該版本被評為高風險，系統將自動阻止該版本散布。<a href="https://www.ithome.com.tw/news/178939">詳全文</a> <a id="AI" name="AI"></a></p> <p><a href="https://www.ithome.com.tw/news/178954"><span style="font-size: 22px;"><strong>駭客濫用AI從事網釣，冒充高階主管與ServiceNow向財務人員進行詐騙</strong></span></a></p> <p><a href="/sites/default/files/images/ach-38-156.jpg" target="_blank"><img alt="" src="/sites/default/files/images/ach-38-156.jpg" style="width: 300px; float: right;" /></a>9月10日微軟警告，駭客正借助生成式AI的力量，改善冒名高階主管發信與發票詐騙郵件的製作方式，讓內容更貼近企業內部溝通情境。該公司近期觀察到最新一波大規模金融詐騙活動，攻擊者在8月3日至5日間透過多個第三方郵件服務帳戶寄出逾100萬封郵件，這些信大部分寄往美國。這波攻擊以企業財務及應付帳款人員為主要目標，攻擊者冒充目標公司的執行長、財務長或總裁，要求收件者處理一筆接近5萬美元的自動票據交換所（ACH）付款。郵件不只偽造寄件者顯示名稱、Reply-To名稱及簽名，還加入一封看似由執行長轉寄的郵件串，以及仿冒ServiceNow的年度訂閱發票，要求將款項匯入攻擊者控制的帳戶。<a href="https://www.ithome.com.tw/news/177638">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178925"><span style="font-size: 22px;"><strong>歐盟網路韌性法案漏洞通報義務上路，OpenSSF提醒開源專案做好漏洞協調</strong></span></a></p> <p><a href="/sites/default/files/images/CRA Report(1).png" target="_blank"><img alt="" src="/sites/default/files/images/CRA%20Report(1).png" style="width: 300px; float: right;" /></a> 歐盟網路韌性法案（Cyber Resilience Act，CRA）針對製造商的漏洞與資安事件通報義務已於9月11日生效，開放原始碼安全基金會（OpenSSF）說明CRA製造商通報義務生效後對開源社群的影響，並強調一般開源專案維護者與CRA定義的開源軟體管理者（open-source software steward）屬於不同角色。一般維護者並不因這項新規直接承擔CRA通報義務；開源軟體管理者的通報義務則視其參與數位元素產品開發等情況而定。OpenSSF建議開源專案先確認是否已有明確的漏洞通報方式，包括建立或更新SECURITY.md檔案、維持有效的資安聯絡資訊；若包含開源軟體管理者或所屬基金會，也應確認對方是否已有漏洞協調機制。<a href="https://www.ithome.com.tw/news/178925">詳全文</a> <a id="CRA" name="CRA"></a></p> <p><a href="https://www.ithome.com.tw/news/178953"><span style="font-size: 22px;"><strong>歐盟CRA通報義務上路，臺灣廠商建置PSIRT升溫，資安院提醒成熟度仍有落差</strong></span></a></p> <p><a href="/sites/default/files/images/（圖4）TWCERTCC_資通訊產品資安事件企業應變機制手冊_適用對象_iThome整理(1).jpg" target="_blank"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89TWCERTCC_%E8%B3%87%E9%80%9A%E8%A8%8A%E7%94%A2%E5%93%81%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E4%BC%81%E6%A5%AD%E6%87%89%E8%AE%8A%E6%A9%9F%E5%88%B6%E6%89%8B%E5%86%8A_%E9%81%A9%E7%94%A8%E5%B0%8D%E8%B1%A1_iThome%E6%95%B4%E7%90%86(1).jpg" style="width: 300px; float: right;" /></a> 歐盟《網路韌性法案》（CRA）第14條所規範的漏洞與資安事件通報義務，於2026年9月11日正式上路，部分義務先行適用。這項規定不僅牽動廠商對外通報資安漏洞的流程，更考驗廠商內部是否具備能持續運作的產品資安事件應變小組（PSIRT）機制。資安院國際合作及資安治理中心經理李婉萍表示，近一兩年來，企業面對的產品資安壓力明顯升高，尤其是直接面對國際市場、國際客戶或品牌商的企業感受最深，在CRA等法規要求與國際產品資安意識提升的帶動下，不僅開始建立或規畫PSIRT機制的企業增加，也有部分原本已有漏洞處理機制的企業，進一步朝制度化方向發展。不過，企業開始建立相關機制，不代表PSIRT已經成熟。資安院並不將PSIRT局限於單一團隊的組織概念，而是更聚焦實際功能與運作機制，包括漏洞受理、分析、修補、更新等流程，以及跨部門的協作能力，評估企業的PSIRT能力，關鍵不在於是否設有名為PSIRT的專責團隊，而在於相關機制是否真正建立，以及實際運作的成熟程度。<a href="https://www.ithome.com.tw/news/178953">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178918"><span style="font-size: 22px;"><strong>AWS評測12款頂尖AI模型，皆能找出漏洞但誤判或漏報率仍高</strong></span></a></p> <p><a href="/sites/default/files/images/0914-ai_benchmark-aws-960.jpg" target="_blank"><img alt="" src="/sites/default/files/images/0914-ai_benchmark-aws-960.jpg" style="width: 300px; float: right;" /></a> 雲端服務業者AWS公布AI漏洞判斷基準Deception Benchmark，評測5家業者共12款通用頂尖AI模型後發現，現有模型雖能找出多數真正漏洞，但若以誤報率、漏報率都低於10%作為實際用於漏洞判斷的最低門檻，沒有任何受測模型組態能同時達標。這套基準採用直接判斷與Proof-of-Exploit（PoE）兩種提示方式，除了檢查模型能否辨識漏洞特徵，也納入實際環境已阻斷攻擊路徑的案例，評估模型能否判斷漏洞是否真的可遭利用。以整體準確率來看，Claude Opus 5採用PoE方式時表現最高，準確率為79.3%，誤報率24.9%、漏報率16.8%；其次是GPT-5.4，採用PoE方式時準確率77.7%，誤報率10.1%、漏報率33.6%。<a href="https://www.ithome.com.tw/news/178918">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178916"><span style="font-size: 22px;"><strong>OpenAI揭露前沿AI安全新措施，川普反對因安全疑慮減緩AI發展速度</strong></span></a></p> <p>OpenAI執行長Sam Altman於9月13日揭露新的前沿AI安全措施，將原本主要在模型完成訓練後、部署前進行的安全評估，進一步提前至可能大幅提升模型能力的訓練之前。Altman表示，OpenAI過去的《準備框架》（Preparedness Framework）主要著重模型訓練完成後、部署前的風險評估，現在則將安全工作進一步往前移。對於預期會大幅提升模型能力的強化學習（Reinforcement Learning，RL）訓練，OpenAI將在訓練開始前先建立安全論證（Safety Cases），評估如何確保模型能力提升不會超越既有的對齊與監控措施。不過，美國總統川普同日反對因安全疑慮而降低AI發展速度，強調美國必須維持AI發展領先中國的優勢。<a href="https://www.ithome.com.tw/news/178916">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/178976"><span style="font-size: 22px;"><strong>祖克柏談AI安全，指出各業者應自行確保模型安全</strong></span></a></p> <p>Meta執行長祖克柏（Mark Zuckerberg）於9月15日透過X談及AI安全，認為各AI實驗室都有責任及誘因，以確保安全所需的步調來發展AI模型，並應自行採取必要的安全措施。祖克柏以Meta為例指出，該公司曾為了安全及資安問題，將Muse延後數個月推出，但並未要求其他業者也這麼做，而是自行採取必要措施。祖克柏也支持引進獨立評估機構及顧問，認為這是業界最佳實務，旗下超級智慧實驗室（Meta Superintelligence Labs，MSL）已在多個領域採取相關做法，並看好規模更大、更多元的AI評估生態系有助於產業發展。<a href="https://www.ithome.com.tw/news/178976">詳全文</a></p> </div></div></div>

祖克柏談AI安全，各家業者應自行確保模型安全

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta執行長<a href="https://x.com/finkd/status/2099997096896274533" target="_blank">祖克柏（Mark Zuckerberg）周二（9/15）</a>透過X談及AI安全，認為各家AI實驗室都有責任及誘因，以確保模型安全所需的步調發展，並應自行採取必要的安全措施。</p> <p>AI業界近期正就是否應放慢前沿AI發展展開討論。Anthropic執行長Dario Amodei上周六發表長文《We Must Pace the Frontier》，警告AI能力進展速度已快到安全措施可能難以跟上，主張業界放慢前沿AI模型的能力提升速度；OpenAI執行長<a href="https://www.ithome.com.tw/news/178894">Sam Altman隨後也認同</a>應適度放慢AI能力進展。</p> <p>祖克柏則以Meta為例指出，公司曾為了安全及資安問題，將Muse延後數個月推出，但並未要求其他業者也這麼做，而是自行採取必要措施。這番說法也被外界解讀為不支持AI業界協調放慢發展。</p> <p>祖克柏認為，使用者不會想使用與自身意圖不一致、不按照要求行事的AI代理人，因此業者自然有強烈誘因改善模型對齊；信任與對齊也將成為AI代理人及模型的重要競爭力，不重視對齊的業者將會落後。此外，如果AI模型造成傷害，業者可能面臨重大法律責任，同樣形成確保模型安全的誘因。</p> <p>不過，祖克柏支持引進獨立評估機構及顧問，認為這是業界最佳實務，旗下超級智慧實驗室（Meta Superintelligence Labs，MSL）已在多個領域採取相關做法，並看好規模更大、更多元的AI評估生態系有助於產業發展。</p> <p>他強調，AI業者應將絕大多數運算資源投入服務使用者，而非競逐AI的遞迴式自我改進（recursive self-improvement），Meta已做出這項承諾，其他AI實驗室也可以採取相同做法。</p> </div></div></div>

Meta推出個人AI助理Muse

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta周二（9/8）發表專為大眾打造的<a href="https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/">個人AI助理Muse</a>。不同於傳統僅能回答問題的聊天機器人，Muse具備實際執行任務的能力，能協助用戶處理日常事務、分擔專案工作，並將長期目標轉化為具體行動計畫。</p> <p>Muse奠基在Muse Spark模型上。每位使用者在雲端擁有專屬的Muse Secure VM，裡面存放代理程式、個人資料與連接憑證；同時存在一個獨立的Sentinel代理於系統層面監督Muse對外執行的動作，只有在取得用戶同意或授權後才會執行。</p> <p>依照Meta的說法，Muse可協助用戶發送郵件、預訂旅程、進行購物，甚至管理跨步驟的長期計畫。官方範例涵蓋將Instagram食譜轉換為購物清單、記錄飲食限制，並協助制定長期生活規劃。而對於高風險行為，系統會需要更嚴格的用戶確認流程。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0909-muse-600-1.png" style="width: 479px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源/Meta</span></span></p> <p>在安全及隱私上，Muse除了透過Sentinel代理進行網路存取審核、確保Muse無法直接窺探密碼與信用卡號之外，用戶亦可隨時調整應用程式授權、清除記憶，並選擇退出AI模型訓練。Meta預計於今年稍晚推出「Muse Confidential VM」，提供全加密的資料保護。</p> <p>目前Meta先行於美國市場推出Muse服務，支援iOS、Android及網頁版，使用者可藉由新的Muse程式或透過WhatsApp與之互動，也有免費及付費訂閱版。Meta也計畫將Muse擴展到AI眼鏡上。</p> </div></div></div>

Meta發表Muse Spark 1.3，強調主動確認與長時多工能力

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta周三（9/2）<a href="https://research.meta.ai/blog/introducing-muse-spark-1-3">發布新一代模型Muse Spark 1.3</a>，可透過Muse Code與Meta Model API存取。此次更新的重點放在代理型任務與程式撰寫能力，並讓模型更貼近實際應用場景。</p> <p>Muse Spark是Meta Superintelligence Labs旗下的旗艦AI模型系列，<a href="https://www.ithome.com.tw/news/174932">首款模型於今年4月問世</a>，7月釋出Muse Spark 1.1，8月發表Muse Spark 1.2，9月推出Muse Spark 1.3，在5個月內已發布4個版本，迭代快速。</p> <p>除了效能的提升之外，Muse Spark 1.3比較特別的是互動方式的調整。新版模型能在同一段長對話裡同時處理多項工作，遇到指令不清楚時會主動詢問，卡關時也會提出警示，遇到重大操作則會先確認過才動作。此外，Muse Spark 1.3對自己能力的邊界判斷更準，比較不會在做不到的事情上硬掰出結果。另也強調其程式碼撰寫風格更清晰及簡潔，相較於上一個版本，Muse Spark 1.3工具呼叫次數少了20%，Token用量也少了25%。</p> <p>Meta還以尚在預覽中的Muse Spark 1.3 max版本來與OpenAI GPT 5.6 Sol（max）及Anthropic Opus 5（max）作比較，發現它在長文本理解及程式撰寫這兩大類幾乎全面領先，而代理型任務類別則是互有勝負。</p> <p>第三方評測機構<a href="https://x.com/ArtificialAnlys/status/2095247787277553929">Artificial Analysis指出</a>，目前正式對外開放的Spark 1.3 xhigh版本取得61分，與GPT-5.6 Sol（max）、Grok 4.6（high）、Claude Opus 5（high）打平，落後於Claude Fable 5.1（max，66分）、Claude Opus 5（max，63分）、Claude Fable 5（max，62分），而仍在預覽階段的Spark 1.3 max版本則拿下62分，僅次於Claude Fable 5.1與Claude Opus 5。</p> </div></div></div>

Meta推出即時音訊模型Muse Voice Transcribe，Mac按住Fn鍵即可系統級語音輸入

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://research.meta.ai/blog/introducing-muse-voice-transcribe">Meta周二（9/1）正式推出</a>由超級智慧實驗室（Meta Superintelligence Labs，MSL）所開發的首個即時音訊感知模型Muse Voice Transcribe。該模型將串流式自動語音辨識、說話者分離（Diarization）與端點偵測（Endpointing）整合於單一模型之中，用戶說話時系統可同步輸出文字，無需等待完整錄音結束後再進行後製處理。</p> <p>即時音訊感知模型，是一種能在語音發生的當下同步轉寫與分析的AI技術。有別於傳統離線服務需等錄音結束才處理，此類模型以毫秒級的串流方式持續接收音訊並即時輸出文字。核心挑戰在於低延遲與高準確度間的權衡。市場上主要產品包括Google Gemini 3.5 Transcribe、OpenAI GPT Live Transcribe、ElevenLabs Scribe等，競爭日趨激烈。</p> <p>在核心技術上，Muse Voice Transcribe採用了自適應延遲（Adaptive Delay）的動態決策機制。系統不會對所有詞彙採用固定的速度與準確度取捨，而是針對每個詞判斷需要額外接收多少音訊後再輸出識別結果。對於較容易辨識的語音，系統可更快提交轉寫結果；面對發音不清、術語較多或語境複雜的詞彙時，則會調用更多前後文音訊資訊以提升準確度。</p> <p><a href="https://x.com/finkd/status/2094836602681938385">Meta執行長Mark Zuckerberg解釋</a>，模型會決定何時聆聽，在困難的字詞上等待稍久，在簡單的字詞上更快提交，利用自適應延遲來預測每個token並提高準確度。</p> <p>Muse Voice Transcribe以超過70種語言的數據進行訓練，發布時已有25種語言完成驗證。模型支援長度超過一小時的音訊，並可在同一句子內或句子之間進行原生層級的語碼切換（Code-Switching），例如中英文夾雜的對話也能無縫辨識。此外，模型還支援語言、關鍵字及情境偏置（Biasing）功能，可進一步提升特定術語或場景下的辨識準確度。</p> <p>在說話者分離方面，Muse Voice Transcribe能夠在包含20餘名說話者的錄音中區分不同發言者。</p> <p>根據Meta官方公布的數據，截至2026年9月1日，Muse Voice Transcribe在Artificial Analysis串流語音轉文字排行榜上，以3.1%的最終轉寫字錯誤率（WER） 與0.16秒的延遲，優於ElevenLabs Scribe v2 Realtime（3.6%／0.14秒）及Google Gemini 3.5 Transcribe Live（4.0%／0.41秒）等競爭對手，並在說話者分離基準測試中以17.5%的平均錯誤率領先其他系統。</p> <p>該模型現已透過Meta Model API提供給開發者使用，定價為每1,000分鐘音訊3美元（約每小時0.18美元）。此外，Muse Voice Transcribe也已整合至Meta AI for Mac及Muse Code的語音輸入功能中。在Mac平臺上，用戶只需按住Fn鍵，即可在任何應用程式中進行系統級的語音輸入。</p> </div></div></div>

Meta重啟開源AI路線，推出本機代理模型Muse Glimmer

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Meta執行長<a href="https://about.fb.com/news/2026/08/the-future-is-for-everyone/" target="_blank">祖克柏（Mark Zuckerberg）周一（8/10）表示</a>，去年成立的Meta超級智慧實驗室（Meta Superintelligence Labs）如今已步上軌道，Meta將恢復發布部分開放模型。同日，<a href="https://research.meta.ai/blog/introducing-muse-glimmer-open-agentic-model" target="_blank">Meta推出</a>300億參數的本機AI代理模型Muse Glimmer，並以Apache 2.0授權釋出模型權重。</p> <p>Meta過去以開放權重的Llama系列建立開發者生態，但去年成立Meta超級智慧實驗室並重整AI部門後，率先推出的Muse系列並未延續這項作法。今年4月問世的Muse Spark，以及後來的Muse Spark 1.1與Muse Code，均只透過Meta AI或API提供，未釋出模型權重，Meta當時也未說明原因。Muse Glimmer因此象徵Meta短暫轉向封閉模型後，重新回到開放權重路線。</p> <p>祖克柏所描繪的AI願景，是每個人都有一個真正了解自己的AI助理，24小時替自己工作。它會記得使用者的習慣及需求，協助安排生活、管理健康與財務、學習新技能，甚至一起創作或經營事業，而不只是回答問題。祖克柏認為，這類AI不應只由少數企業或政府掌握，而應成為人人都能使用及控制的工具。</p> <p>開放模型是Meta實現這項願景的重要手段。祖克柏認為，開放模型能讓個人及小型企業自行下載、修改及部署AI，避免最強大的模型只掌握在少數業者手中；最危險的情況不是人人都能使用強大AI，而是少數實驗室以安全為由把模型留在自己手中，最終發展出無法受到其他系統制衡的單一超級智慧。</p> <p>Muse Glimmer便是為這類個人AI助理打造，可長時間在使用者的Mac或PC上運作，模型本身不必連上雲端也能執行。它能管理行程、撰寫訊息、整理檔案、呼叫外部工具及協助寫程式，也能同時理解文字、圖片、螢幕截圖、圖表與文件；若工具執行失敗，還會判斷問題並重新嘗試，而非直接停止。</p> <p>Meta以規模更大的Muse Spark作為教師模型，透過知識蒸餾將其代理推理能力轉移至Glimmer。Muse Glimmer在完整精度下需要超過55GB記憶體，經4位元量化後可縮小至20GB以下，能在配備24GB或32GB記憶體的Mac，或具有單張消費級GPU的PC上執行。</p> <p>Muse Glimmer的模型權重目前已在Hugging Face開放下載，未來幾天也將支援Ollama、LM Studio、llama.cpp、MLX及ExecuTorch等工具。</p> </div></div></div>

【資安日報】8月10日，Meta AI模型在安全測試期間入侵其他公司系統，起因是環境配置錯誤

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><h3><strong>本日新聞焦點</strong></h3> <p>● <a href="https://www.ithome.com.tw/node/178000#Meta">Meta AI模型在安全測試期間因配置錯誤而入侵其他公司系統</a><br /> ● <a href="https://www.ithome.com.tw/node/178000#Linux">Linux核心SCTPhantom漏洞隱身18年，可取得最高權限並突破隔離</a><br /> ● <a href="https://www.ithome.com.tw/node/178000#SQL">研究人員揭露駭客入侵Oracle資料庫並執行Windows惡意指令手法</a><br /> ● <a href="https://www.ithome.com.tw/node/178000#OT">美國多地供水系統遭網攻，追查顯示逾4千臺OT控制器暴露於網路</a> <br /> ● <a href="https://www.ithome.com.tw/node/178000#POL">研究人員在DEF CON揭露波蘭公部門網站暴露的資安風險</a> <a id="Meta" name="Meta"></a></p> <h3> </h3> <h3><b>資安新聞總覽</b></h3> <p><a href="https://www.ithome.com.tw/news/177957"><span style="font-size: 22px;"><strong>Meta AI模型在安全測試期間入侵其他公司系統，起因是環境配置錯誤</strong></span></a></p> <p><a href="/sites/default/files/images/OpenAI Huggen Face-1(1).png" target="_blank"><img alt="" src="/sites/default/files/images/OpenAI%20Huggen%20Face-1(1).png" style="width: 300px; float: right;" /></a> Meta的AI模型在近日的測試入侵其他公司的系統並修改設定，這是繼OpenAI、Anthropic之後，最新一家AI大廠傳出AI模型逾越原有限制入侵其他公司系統。Meta對路透社證實此事，起因是合作廠商Irregular的測試環境配置錯誤，使模型意外得以連上網際網路而連上其他公司網域，由於這些公司環境存在已知漏洞，讓模型得以存取其系統。Meta並未說明發生問題的是哪個模型，不過根據The Information報導，Meta是在測試Muse Spark ​1.1時，模型入侵一家未公開名稱公司的系統，並且修改了內部環境設定。<a href="https://www.ithome.com.tw/news/177957">詳全文</a> <a id="Linux" name="Linux"></a></p> <p><a href="https://www.ithome.com.tw/news/177988"><span style="font-size: 22px;"><strong>Linux核心SCTPhantom漏洞隱身18年，可取得最高權限並突破容器隔離</strong></span></a></p> <p><a href="/sites/default/files/images/Corvus(1).png" target="_blank"><img alt="" src="/sites/default/files/images/Corvus(1).png" style="width: 300px; float: right;" /></a>騰訊OS安全團隊（Tencent Zhuque Lab）揭露Linux核心漏洞SCTPhantom，編號CVE-2026-64564，CVSS嚴重性評分達9.8分。該漏洞存在於SCTP網路通訊功能，問題可追溯至約18年前，研究人員已在多個Linux環境驗證，並示範低權限本機程式可藉此取得最高系統權限，在特定條件下也能從容器進一步控制主機。Linux核心開發團隊已發布修補程式，首批修補版本包括Linux 6.6.148、6.12.101、6.18.42、7.1.6，以及主線核心7.2-rc5。<a href="https://www.ithome.com.tw/news/177988">詳全文</a> <a id="SQL" name="SQL"></a></p> <p><a href="https://www.ithome.com.tw/news/177979"><span style="font-size: 22px;"><strong>研究人員揭露駭客入侵Oracle資料庫，並以Oracle為跳板在Windows執行惡意指令的手法</strong></span></a></p> <p><a href="/sites/default/files/images/Oracle SQL(1).png" target="_blank"><img alt="" src="/sites/default/files/images/Oracle%20SQL(1).png" style="width: 300px; float: right;" /></a>資安業者Huntress近日發現甲骨文資料庫遭到駭客入侵後被當成跳板，對Windows發動攻擊、竊取用戶密碼。在這起案例中，一家企業對外服務App因為未能檢查輸入內容安全性，導致攻擊者得以發動SQL注入，取得系統控制權。在執行SQL注入時，攻擊者上傳名為khunt的後滲透工具包，使用了迄今十分少見的手法繼續其攻擊。研究人員表示，這是2024年研究人員Anas Eladly曾經討論過，但較少文獻記錄的oraexec手法。<a href="https://www.ithome.com.tw/news/177979" id="OT" name="OT">詳全文 </a> </p> <p><a href="https://www.ithome.com.tw/news/177992"><span style="font-size: 22px;"><strong>美國多地供水系統遭網攻，研究發現全球逾4千臺Rockwell OT控制器暴露於公開網路</strong></span></a></p> <p><a href="/sites/default/files/images/OT Controller(1).png" target="_blank"><img alt="" src="/sites/default/files/images/OT%20Controller(1).png" style="width: 300px; float: right;" /></a>日前美國多州供水系統接連遭到網路攻擊，攻擊者鎖定直接暴露於網際網路的可程式化邏輯控制器（PLC），網路安全業者Forescout進一步調查發現，全球至少有4,407臺Rockwell Automation／Allen-Bradley控制器直接連上網際網路，其中有2,844臺、約65%位於美國。根據Vedere Labs的觀察，目前尚無法確認這波針對美國供水與廢水處理設施的攻擊是否利用特定CVE漏洞。<a href="https://www.ithome.com.tw/news/177992">詳全文</a> <a id="POL" name="POL"></a></p> <p><a href="https://www.ithome.com.tw/news/177991"><span style="font-size: 22px;"><strong>研究人員在DEF CON揭露波蘭公部門網站暴露的資安風險</strong></span></a></p> <p>波蘭研究人員Robert Kruczek與Kamil Szczurowski檢視該國公部門網站的安全狀況，並於8月舉行的資安大會DEF CON 34公布研究結果，相關問題涉及超過1萬個公部門單位、約25萬個網站，涵蓋機場、醫院與政府機關。兩位研究人員特別指出，波蘭部分政府機關使用的舊版內容管理系統PAD CMS存在重大漏洞，甚至不需要密碼就能闖入逾300個網站。<a href="https://www.ithome.com.tw/news/177991">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177985"><span style="font-size: 22px;"><strong>美國對沖基金公司遭駭客組織UNC6671鎖定，透過語音網釣試圖得到網路環境的存取權限</strong></span></a></p> <p>根據路透社、彭博社、金融時報的報導，有知情人士透露，駭客鎖定全球大型的對沖基金與數家私募股權公司，嘗試撥打電話，引誘員工交出存取權限或其他敏感資訊。其中一家受害公司是對沖基金業者Point72 Asset Management，該公司傳出於8月5日向投資人透露遭到網路攻擊，不過根據知情人士的說法，Point72強調客戶資訊並未外流。資安新聞網站Bleeping Computer取得Google威脅情報團隊（GTIG）的說法指出，前述攻擊活動的背後主使，很可能是與ShinyHunters有關的UNC6671。<a href="https://www.ithome.com.tw/news/177985">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177995"><span style="font-size: 22px;"><strong>網釣駭客團體UNC6671棄用BlackFile名號，改用多個新團體名稱持續犯案</strong></span></a></p> <p><a href="/sites/default/files/images/image5_j8oymfx-156(1).jpg" target="_blank"><img alt="" src="/sites/default/files/images/image5_j8oymfx-156(1).jpg" style="width: 300px; float: right;" /></a> Google威脅情報團隊（GTIG）發表最新的調查報告指出，與ShinyHunters有關的駭客團體UNC6671，原本使用BlackFile的名號竊取企業內部資料，並向受害組織進行勒索，然而，該組織在今年5月宣布BlackFile停止運作後，仍然持續從事資料竊取與勒索，GTIG根據遙測與基礎設施的分析，指出這些駭客確實並未解散，而是改用其他名號活動。UNC6671起初疑似因為脫離聯盟，從BlackFile更名為Redact，不過後續GTIG根據網釣工具、受害組織，以及共用的基礎設施，發現與UNC6671有關的駭客，也使用Pink、Helix和Falcon的名義向受害組織勒索。<a href="https://www.ithome.com.tw/news/177995">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177981"><span style="font-size: 22px;"><strong>Levi&#039;s遭駭入員工電腦，竊走公司資料</strong></span></a></p> <p>知名服飾品牌業者Levi Strauss &amp; Co（Levi&#039;s）近日發生員工電腦被駭，遭駭客存取公司檔案。根據Levi&#039;s向美國證券交易管理委員會（SEC）提交的報告，攻擊者利用社交工程手法，而得以存取三名員工的公司電腦，進而藉此存取公司檔案。Levi&#039;s偵測到異常活動就立即啟動事件應變程序，執行事件控制措施，也偕同第三方資安專家啟動調查。經過初步調查，Levi&#039;s相信駭客入侵存取並因此竊走部份公司資訊，但是沒有消費者資訊受影響，公司業務營運也並未發生任何中斷。<a href="https://www.ithome.com.tw/news/177981">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177983"><span style="font-size: 22px;"><strong>生技公司逸達遭遇網路攻擊</strong></span></a></p> <p>生技公司逸達（6576）於8月7日傍晚，在股市公開資訊觀測站發布重大訊息指出，資訊系統於8月4日遭受駭客攻擊，事件發生後立即啟動資訊安全防禦機制，並委請外部資安技術公司及專家協助處理。根據逸達的初步評估，本起事故對於公司營運未造成重大影響，並表示將依照相關程序，向主管機關進行通報。​<a href="https://www.ithome.com.tw/news/177983">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177993"><span style="font-size: 22px;"><strong>CISA警告Progress LoadMaster重大漏洞遭到利用</strong></span></a></p> <p>CISA警告Progress LoadMaster重大漏洞CVE-2026-8037已遭攻擊者實際利用，並將其列入已遭利用漏洞名單（KEV），要求美國聯邦機構在8月10日前完成修補。該漏洞CVSS達9.8分，可讓未經授權的攻擊者執行系統指令。資安業者eSentire稍早在6月底就曾發現攻擊者嘗試利用該漏洞，LoadMaster用戶應儘速更新系統。<a href="https://www.ithome.com.tw/news/177993">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177960"><span style="font-size: 22px;"><strong>Nvidia Dynamo修補重大程式碼執行漏洞</strong></span></a></p> <p><a href="/sites/default/files/images/Nvidia Dynamo(1).png" target="_blank"><img alt="" src="/sites/default/files/images/Nvidia%20Dynamo(1).png" style="width: 300px; float: right;" /></a> Nvidia揭露與修補分散式AI推論服務框架Dynamo多項漏洞， 其中最重要的是CVSS評分達9.8的CVE-2026-24254，位於Nvidia Dynamo for Linux的多模態服務拓撲（serving topology）中，可允許攻擊者越界寫入。成功利用本漏洞可導致程式碼執行、權限提升、資料竄改、阻斷服務及資料洩露， 用戶應升級至已修補完成的Dynamo for Linux v1.3.0版。<a href="https://www.ithome.com.tw/news/177960">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177990"><span style="font-size: 22px;"><strong>擁有兩萬安裝量的WordPress外掛ARVE遭植入後門，可能導致攻擊者取得網站管理權限</strong></span></a></p> <p>Wordfence揭露WordPress影音嵌入外掛程式ARVE遭植入後門，ARVE的10.8.7版被植入繞過身分驗證後門，攻擊者只要送出HTTP請求，即可能取得網站管理員權限。WordPress.org接獲通報後隨即關閉外掛程式ARVE的下載，該惡意版本尚未透過自動更新推送，但用戶仍應檢查版本以確保安全。<a href="https://www.ithome.com.tw/news/177990">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177977"><span style="font-size: 22px;"><strong>Gitea修補CVSS 9.8重大漏洞，攻擊者無須登入即可遠端執行程式碼</strong></span></a></p> <p>開源Git服務平臺Gitea揭露重大漏洞CVE-2026-59774，CVSS 3.1嚴重性評分達9.8分，遠端攻擊者不需要登入帳號，只要伺服器上存在可公開存取的儲存庫，就可能藉由文件處理功能讀取伺服器內的檔案，取得內部存取權杖後，甚至可以在系統上執行程式碼。受前述漏洞影響的版本涵蓋Gitea 1.22.1至1.27.0，維護團隊已在Gitea 1.27.1完成修補。<a href="https://www.ithome.com.tw/news/177977">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177959"><span style="font-size: 22px;"><strong>macOS ClickFix攻擊加入瀏覽器指紋篩選，逾250個網域藉此躲避自動化掃描</strong></span></a></p> <p>微軟揭露一波鎖定macOS的ClickFix攻擊活動，攻擊者在惡意網站加入伺服器端的瀏覽器指紋閘道，先辨識訪客使用的裝置與瀏覽環境，再決定是否顯示惡意內容。微軟追蹤期間確認超過250個相關網域，自動化掃描工具及資安分析環境造訪這些網站時，可能只會看到空白或看似正常的網頁，因此較難直接發現攻擊。在微軟分析的完整感染鏈中，攻擊者的最終目的是下載並執行Atomic Stealer（AMOS）竊資軟體，可竊取帳號密碼、瀏覽器資料、加密貨幣錢包及其他敏感檔案。<a href="https://www.ithome.com.tw/news/177959">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177962"><span style="font-size: 22px;"><strong>中國Zbtlink路由器內建後門，可遭遠端接管</strong></span></a></p> <p>根據資安業者VulnCheck於8月5日發布的研究，中國路由器品牌Zbtlink有至少20款產品的原廠韌體內建後門，路由器開機後會主動連上遠端伺服器，並以系統最高權限執行對方傳回的任何指令。由於連線過程並未驗證伺服器身分，使得駭客只要劫持此一連線，便能冒充原廠伺服器並接管路由器。 Zbtlink為中國深圳市智博通電子的旗下品牌，主要提供路由器OEM及ODM代工服務，VulnCheck認為前述後門是原廠主動加入的功能，智博通則向The Hacker News證實該功能的存在，同時表示這項功能僅供售後維護及樣品機除錯，不過目前已下架受影響的韌體，並正在開發修正版。<a href="https://www.ithome.com.tw/news/177962">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177976"><span style="font-size: 22px;"><strong>資安業者揭露Claude分享對話可被Google搜尋，恐導致用戶敏感資訊意外曝光</strong></span></a></p> <p>資安業者Malwarebytes揭露，Anthropic Claude的部分分享對話可能被Google搜尋引擎找到。問題源自Claude的對話公開分享功能Share chats，使用者建立公開分享連結後，部分內容可能遭搜尋引擎索引。Malwarebytes提醒，AI對話若包含個資或敏感資訊，應避免使用公開分享功能。<a href="https://www.ithome.com.tw/news/177976">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177994"><span style="font-size: 22px;"><strong>Anthropic讓AI監督AI，Claude Code自動模式8月14日成為預設</strong></span></a></p> <p><a href="/sites/default/files/images/0810-claude_code-auto_mode-960(1).jpg" target="_blank"><img alt="" src="/sites/default/files/images/0810-claude_code-auto_mode-960(1).jpg" style="width: 300px; float: right;" /></a> Anthropic於8月7日宣布，自8月14日起，Claude Code Pro、Max及Team方案新工作階段的預設權限模式，將改為自動模式（Auto Mode）。Claude Code可提供3種權限模式，包括執行命令前詢問使用者的人工核准模式、直接執行命令的略過權限檢查模式，以及由AI分類器判斷是否放行的自動模式，原本預設採用的是人工核准模式，改用自動模式能維持更穩定的危險命令攔截率，也可減少任務因等待核准而中斷。<a href="https://www.ithome.com.tw/news/177994">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/review/177980"><span style="font-size: 22px;"><strong>新增多重管理員驗證，NetApp物件儲存系統近期推出改版</strong></span></a></p> <p><a href="/sites/default/files/images/grid_manager_dashboard_and_menu-main(1).jpg" target="_blank"><img alt="" src="/sites/default/files/images/grid_manager_dashboard_and_menu-main(1).jpg" style="width: 300px; float: right;" /></a> 發展超過25年的企業級物件儲存系統StorageGRID，NetApp今年6月底推出12.1版。針對資安與治理，StorageGRID因應受監管環境的需求，提供更強大的控制能力，用戶可經由多重管理員驗證（Multi-Admin Verification，MAV）機制，兼顧業務運作效率與系統資料保護。NetApp表示，對於受到嚴格監管且需兼顧IT營運速度要求的環境，此項新功能至關重要，因為在重大操作生效前，會要求取得其他指定的管理員批准，不僅可防護意外的資料刪除與未經授權的政策變更，以及不符合法規的情況，也能確保IT團隊持續運作，而不會影響IT創新的速度。<a href="https://www.ithome.com.tw/review/177980">詳全文</a> </p> <p><a href="https://www.ithome.com.tw/news/177989"><span style="font-size: 22px;"><strong>AI代理安全業者Obsidian Security募資8,500萬美元，估值達11億美元</strong></span></a></p> <p>專注於第三方應用程式非人類身分與AI代理安全的業者Obsidian Security宣布完成8,500萬美元D輪募資，公司估值達11億美元。這筆資金將用於強化AI代理安全相關研發，並進一步拓展大型企業市場。Obsidian Security平臺可協助企業盤點環境中的AI代理，以及這些代理使用的模型上下文協定（MCP）伺服器與大型語言模型（LLM），讓資安團隊掌握AI代理連接第三方應用程式及後端系統的情形。<a href="https://www.ithome.com.tw/news/177989">詳全文</a></p> <p><a href="https://www.ithome.com.tw/news/177987"><span style="font-size: 22px;"><strong>自主滲透測試平臺業者Horizon3募資2.5億美元，公司估值逾20億美元</strong></span></a></p> <p>提供自主滲透測試技術的美國資安業者Horizon3宣布完成2.5億美元E輪募資，估值超過20億美元。資金將用於產品研發與全球市場拓展，包括進軍新加坡、澳洲，並深化歐洲、中東與非洲布局。Horizon3主要提供自主滲透測試平臺NodeZero，可在企業授權下對正式環境進行安全測試，找出錯誤設定、強度不足的登入憑證與身分管理缺口，並模擬攻擊者如何串連多項弱點形成攻擊路徑。<a href="https://www.ithome.com.tw/news/177987">詳全文</a></p> </div></div></div>

Meta AI模型在安全測試入侵其他公司系統，起因也是配置錯誤

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theinformation.com/articles/meta-ai-model-hacked-another-company-cybersecurity-testing" target="_blank">The Information</a>本周引述消息人士報導，Meta的AI模型在近日的測試中入侵了其他公司的系統並修改設定。</p> <p>這是OpenAI、Anthropic之後，最新一家AI大廠傳出AI模型逾越原有限制入侵其他公司系統。</p> <p>Meta對<a href="https://www.reuters.com/technology/metas-ai-model-hacked-another-company-during-testing-information-reports-2026-08-05/" target="_blank">路透社</a>證實此事。和Anthropic之前自我揭露的案例類似，Meta表示，這是因為合作廠商Irregular的測試環境配置錯誤，使模型意外得以連上網際網路而連上其他公司網域。後者存在已知漏洞，讓模型得以存取其系統。</p> <p>Meta並未說明發生問題的是哪個模型，不過The Information報導，Meta是在測試Muse Spark ​1.1時，模型入侵一家不知名公司的系統，並且修改了內部環境設定。</p> <p>Irregular也對路透社表示，Meta模型事件並未有模型逃逸出沙箱，或是濫用零時差漏洞等嚴重行為。Meta和Irregular表示正在調查此事。Irregular說正在準備關於事件解決和安全網路測試的白皮書。</p> <p>OpenAI和Anthropic都在近日模型測試時發生令人不安的行為。除了更早之前OpenAI模型入侵Hugging Face一事外，<a href="https://www.ithome.com.tw/news/177880" target="_blank">在英國政府評估</a>AI模型能力與風險的研究組織AI安全研究所（UK AI Security Institute，AISI）測試中，Anthropic Claude Mythos對GitHub進行供應鏈攻擊、並對專案維護者發動社交工程及精準釣魚、還會上傳有惡意程式碼的臭蟲報告，還有欺騙行為。OpenAI GPT-5.6 Sol則在進行Irregular提供的CTF（Capture the Flag）評估中，也誤擊了真實公司的網域。</p> </div></div></div>

Meta推出Muse Code程式代理人，以低價挑戰Claude Code與Codex

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://research.meta.ai/blog/introducing-muse-code-and-muse-spark-1-2" target="_blank">Meta周三（8/5）推出</a>新版AI模型Muse Spark 1.2及由其驅動的Muse Code測試版。Muse Spark 1.2強化程式碼生成、複雜除錯及程式碼庫理解能力；Muse Code則是在終端機中運作的AI程式代理人，可處理大型程式碼儲存庫中的完整軟體工程任務，包括規畫修改、撰寫程式碼及驗證結果。</p> <p>Muse Spark是Meta超級智慧實驗室（Meta Superintelligence Labs）今年4月推出的首款模型，7月升級至Muse Spark 1.1，成為Meta AI及Meta Model API的基礎模型。Muse Spark 1.2進一步增加程式任務的訓練運算資源及環境多樣性，並強化長時間程式開發能力。</p> <p>Muse Code目前支援macOS及Linux，使用者可透過一行指令安裝，尚未支援Windows。它會在整個工作階段維持多個背景代理人，使其持續累積專案脈絡並自行執行後續步驟。面對規模較大的任務時，系統能將工作分派給多個子代理人，在彼此隔離的工作樹中平行處理，避免修改使用者正在使用的程式碼副本。</p> <p>系統也會在本機記錄每次模型呼叫、工具執行、使用者核准及程式修改，即使途中當機也能從中斷處繼續。Meta曾讓Muse Spark 1.2針對Nvidia Hopper GPU執行核心最佳化任務，在最長24小時內進行逾1000次工具呼叫，持續改善核心效能。</p> <p>Meta目前以Muse Spark 1.1驅動Meta AI，服務涵蓋獨立App、網站、Facebook、Instagram、WhatsApp、Messenger、Threads及AI眼鏡；另提供Muse Image圖像生成模型及供開發者使用的Meta Model API。Muse Spark 1.2即日起也透過Muse Code及Meta Model API提供。</p> <p>Muse Code標準方案每100萬輸入及輸出token分別收費1.25美元與4.25美元；若使用者同意Meta利用其使用活動改善產品，貢獻者方案則降至0.1美元與0.2美元。相較之下，Anthropic Claude Sonnet 5分別收費3美元與15美元。</p> <p><a href="https://www.wsj.com/tech/ai/meta-releases-coding-agent-to-compete-with-openai-and-anthropic-af87b517" target="_blank">華爾街日報分析</a>，面對將鉅額AI投資轉化為營收的壓力，Meta將Muse Code定位為Claude Code及OpenAI Codex的低價替代方案，現階段主要以價格而非領先性能爭取開發者。</p> </div></div></div>

Gemini 3.5 Pro傳因從頭打造，再度延後推出

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google原本預定於6月釋出的最強模型Gemini 3.5 Pro並未如期問世，<a href="https://www.bloomberg.com/news/articles/2026-07-16/google-gemini-launch-delayed-as-tech-falls-short-of-internal-goals" target="_top">彭博報導</a>，這是Gemini開發團隊DeepMind因技術問題重新打造，再度延期上市。</p> <p><a href="https://www.ithome.com.tw/news/175949" target="_top">Google 5月Google I/O公布</a>Gemini 3.5家族第一個模型Flash時，預告Pro將於6月問世。事實證明Pro並未在API或模型平臺上線，業界原本預期會延至7月17日，然而隨著上周再度遲到，成為Gemini 3.5 Pro第三度跳票。</p> <p>彭博報導引述消息人士指出，這是因為原本的Gemini 3.5 Pro內部測試結果中，實際應用穩定性表現不佳，像是幻覺頻繁、輸出結果不一致等，迫使DeepMind必須放棄開發成果重新打造，致使整個Pro時程嚴重落後。</p> <p>Google母公司Alphabet發言人<a href="https://www.cnbc.com/2026/07/16/alphabet-stock-gemini-3-5-pro-ai.html" target="_blank">對CNBC發出聲明</a>，表示該公司目前正在和夥伴測試3.5 Pro、升級版Flash模型及其他模型，同時和美國政府以「具生產力的方式」互動中。</p> <p><a href="https://www.geeky-gadgets.com/gemini-3-5-pro-delayed-again/" target="_blank">另有報導指出</a>，受到3.5 Pro延遲上市造成的空白期中，Google可能會先推出Gemini 3.6 Flash和3.5 Flash Light，其中前者可能強化自然語言能力及SVG圖片生成功能。<a href="https://findskill.ai/blog/gemini-3-5-pro-release-date/" target="_blank">其他消息</a>包括3.5 Pro可能延到7月底、8月初推出，甚至整個跳過。</p> <p>在此同時，競爭者已相繼推出旗艦模型包括Anthropic Mythos/Fable 5、OpenAI GPT-5.6及<a href="https://www.ithome.com.tw/news/177231" target="_blank">Meta Muse Spark 1.1</a>。</p> <p>Google陣營相繼傳出AI高層人才出走可能是影響Gemini 3.5模型開發的原因之一。包括6月間諾貝爾獎得主、DeepMind副總裁<a href="https://www.ithome.com.tw/news/176788" target="_blank">John Jumper加入Anthropic</a>。前Gemini主管Sissie Hsiao亦跳槽OpenAI。而領導開發Gemini 2.5的Google工程部門副總裁<a href="https://x.com/NoamShazeer/status/2067400851438932297" target="_blank">Noam Shazeer也在6月時宣布</a>加入OpenAI。</p> </div></div></div>

Meta升級Muse Spark 1.1，強化代理人能力並首度開放Model API

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://ai.meta.com/blog/introducing-muse-spark-meta-model-api/" target="_blank">Meta周四（7/9）發表Muse Spark 1.1</a>，升級旗下由超級實驗室（Meta Superintelligence Labs，MSL）開發的首款模型Muse Spark，提升模型在代理人任務中的規畫、協調與執行能力，並強化工具使用、程式開發、電腦操作及多模態理解。目前Muse Spark 1.1已登上Meta AI App及meta.ai的Thinking模式，Meta亦首度釋出Meta Model API預覽版供開發者存取。</p> <p>Meta表示，Muse Spark 1.1是一款專為代理人任務打造的多模態推理模型，可跨多個外部應用程式與服務規畫及執行任務。該版本強化多代理人協作，可由主代理人蒐集資訊、制定計畫，再將工作分派給多個子代理人平行執行，以縮短複雜專案的處理時間；同時支援100萬個token的脈絡長度，可在長時間工作流程中保留重要資訊，並擷取較早之前的內容。</p> <p>在電腦操作上，Muse Spark 1.1可跨多個應用程式維持長流程任務，並依情況自行判斷要直接點擊介面、撰寫腳本自動化，或一次執行多個操作步驟，以減少人工介入並提升執行效率。</p> <p>在程式開發上，新版本可診斷及修復複雜程式錯誤、開發新功能及執行大規模程式碼遷移，並能先行規畫開發步驟、分派子任務，且於長時間開發流程中保留重要資訊。Meta說，公司內部開發人員及研究人員已每天使用Muse Spark 1.1協助開發與模型評測。</p> <p>多模態的Muse Spark 1.1可理解圖片、影片、PDF及音訊內容，並將感知結果用於後續操作，例如從商品影片中擷取適合的照片、分析商品資訊，再操作瀏覽器完成Facebook Marketplace刊登。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0710-Muse%20Spark%201_1_2(1).png" style="width: 600px;" /></p> <p>Meta也強調Muse Spark 1.1的安全性，指出已依照內部使用的安全框架《Advanced AI Scaling Framework》完成部署前的安全評估，在化學與生物、網路安全及失控風險等前沿風險領域均維持安全範圍，並提升對提示詞注入、越獄攻擊等攻擊手法的抵抗能力，同時降低幻覺及迎合使用者傾向。</p> <p>依據Meta內部AI安全治理框架<a href="https://ai.meta.com/static-resource/muse-spark-1-1-evaluation-report" target="_blank">《Advanced AI Scaling Framework》</a>，Muse Spark 1.1在代理人、程式開發及一般推理上較前代顯著提升，同時大幅改善信心校準、風險辨識與欺騙傾向，但在部分電腦操作、長脈絡及程式開發評測中仍落後GPT-5.5或Claude Opus 4.8。</p> <p>這次Meta首度開放Meta Model API預覽版，允許一般開發者透過該API存取Muse Spark 1.1，並將模型整合至自有應用程式。過去Muse Spark API屬於封閉預覽，僅供少數開發者使用。</p> </div></div></div>

Meta推出Muse Image，整合Instagram與WhatsApp圖片生成功能

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/07/introducing-muse-image-meta-ai/" target="_blank">Meta周二（7/7）發表</a>由超級智慧實驗室（Meta Superintelligence Labs，MSL）開發的AI圖片生成模型Muse Image，並將其整合至Meta AI，已開始支援Instagram Stories及WhatsApp。這是MSL繼今年4月的<a href="https://www.ithome.com.tw/news/174932" target="_blank">Muse Spark</a>之後所推出的第二款模型。Meta亦預告MSL正在開發影片生成模型Muse Video，但推出時程未定。</p> <p>根據Meta的說明，Muse Image可理解較複雜的提示詞，先規畫畫面內容，再結合即時網路資訊與多個視覺素材生成圖片。除了文字生圖外，也支援融合多張照片、移除背景中的路人、修改圖片內容，以及生成可正常掃描的QR Code。它也能在圖片中生成清晰且易於辨識的文字，可用於製作資訊圖表、活動邀請函等視覺內容。</p> <p>使用者亦可透過預設提示詞，快速套用創作風格，或直接在圖片上圈選、塗鴉及標註欲修改區域，由AI完成局部編修。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0708-Muse%20Image-meta.png" style="width: 550px;" /></p> <p>Muse Image將整合至Meta旗下多項產品。目前Instagram Stories已支援30多種由Muse Image驅動的AI特效，WhatsApp亦能在與Meta AI對話時生成圖片；未來計畫擴展至Facebook及Messenger，並讓廣告主及代理商透過Meta Advantage+ Creative建立AI廣告素材。</p> <p>此外，使用者拍攝房間照片後，可要求Meta AI重新設計室內空間，系統會結合Facebook Marketplace及網路上的實際商品，生成採用真實家具的裝潢示意圖。</p> <p>值得注意的是，Muse Image支援在Meta AI中以「@Instagram帳號」作為提示詞，引用公開Instagram帳號的照片生成AI圖片。Meta的用意是讓使用者用它來製作活動邀請函、共同創作或個人化圖片，結果<a href="https://www.cnet.com/tech/services-and-software/meta-muse-ai-image-content-reuse-deepfake-news/" target="_blank">CNET實測</a>發現，只要在提示詞中輸入公開Instagram帳號，就能在未取得帳號本人同意的情況下，生成含有該人物樣貌的AI圖片。</p> <p>對此，Meta則說，公開Instagram帳號用戶可在Instagram設定中，關閉「允許他人在Instagram及Meta AI功能中重複使用內容」（Sharing and reuse）選項，避免自己的公開照片被他人用於AI圖片生成；私人帳號則預設不開放。</p> </div></div></div>

Meta發表Meta Glasses AI眼鏡，首搭Muse Spark模型

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.meta.com/zh-tw/blog/introducing-meta-glasses-a-range-of-new-styles-from-meta-and-essilorluxottica-starting-at-299/" target="_blank">Meta周二（6/23）宣布推出全新AI眼鏡Meta Glasses</a>，成為繼Ray-Ban Meta與Oakley Meta之後的第三條AI眼鏡產品線，也是Meta首度以自有品牌推出AI眼鏡產品。Meta Glasses售價299美元，並首度搭載由Meta Superintelligence Labs開發的<a href="https://www.ithome.com.tw/news/174932" target="_blank">Muse Spark模型</a>。</p> <p>Meta Glasses提供Meta Adventurer、Meta Fury，以及與美妝網紅Kylie Jenner合作設計的Meta Glasses by Kylie等3種鏡框款式，並可搭配處方鏡片、太陽眼鏡、偏光及變色鏡片，總計有26種組合。至於Muse Spark，則是Meta Superintelligence Labs推出的首款模型，負責驅動新版Meta AI，而Meta Glasses是首款上市時即內建Muse Spark版Meta AI的AI眼鏡。</p> <p>Meta Glasses內建開放式喇叭、多麥克風陣列及拍照錄影功能，電池續航力超過8小時。</p> <p>新一代Meta AI強化了多模態理解能力，可提供更自然的語音互動體驗，讓Meta Glasses可更理解使用者看到的內容，並提供更即時的AI回應，從回答問題、查詢運動賽事資訊、推薦附近餐廳，一直到協助管理行事曆、建立健康習慣及處理日常事務等。</p> <p>除了Meta Glasses之外，美國及加拿大的Ray-Ban Meta與Oakley Meta用戶，也已可透過更新使用新版Meta AI。</p> <p>Meta也預告將陸續推出動態拍照與步行導航等功能，並將即時翻譯支援語言從原本的6種擴大至20種，新增中文、日文、韓文及印地語等14種語言。</p> <p>Meta Glasses即日起於北美、歐洲及澳洲等市場上市，可透過Meta官網、LensCrafters、Sunglass Hut、Best Buy及Amazon等通路購買。值得注意的是，Meta此次雖將即時翻譯功能擴大支援中文、日文、韓文及印地語等亞洲語言，但首波上市市場並未涵蓋亞洲國家。</p> </div></div></div>

Google支持的全球首座AI藝術博物館於洛杉磯開幕

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://blog.google/company-news/outreach-and-initiatives/arts-culture/dataland-ai-art-museum/" target="_blank">Google宣布</a>以其Google雲端與AI技術及資金支持的全球首座AI藝術博物館Dataland，將於6月20日在洛杉磯開幕。</p> <p>這座博物館位於洛杉磯市中心由知名建築師Frank Gehry設計的綜合商業區The Grand LA，佔地2.5萬平方英呎。博物館大量運用了Google Cloud的AI及運算基礎架構。Dataland首個展覽Machine Dreams: Rainforest使用了多媒體藝術家Refik Anadol工作室的「大自然模型（Large Nature Model，LNM）」。Google Cloud則提供多感官體驗及與觀者的互動，包括生成音訊地景（soundlandscape）、即時感測觀者情緒、並放大氣味，提供觀者沉浸式體驗。利用Google Cloud的Gemini Enterprise代理人平臺及Compute Engine協同複雜的AI模型包括生成對抗網路（GAN）、擴散模型和Gemini，Google Cloud得以處理環境資料而生成Dataland 12億像素的超生成實境（hyper-generative reality）。Google並強調博物館資訊系統皆由Google Cloud支援，其運算基礎設施標榜使用87%無碳再生能源。</p> <p>配合博物館開幕Google藝術與文化（Arts &amp; Culture）部門也贊助了Dataland AI藝術家駐村計畫，提供4位藝術家每人2.5萬美元經費、及Refik Anadol Studio的專家指導，以及Google Cloud工具及機器學習模型的存取權，以協助其創作。完成的作品也會在Dataland展區及Google藝術與文化網站展出。</p> </div></div></div>

收錄近600個歷史作業系統的虛擬作業系統博物館開幕了

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>一名加拿大獨立開發人員<a href="https://virtualosmuseum.org/" target="_blank">Andrew Warkentin在上周發表了Virtual OS Museum</a>，這是一個跨平臺與互動式的虛擬作業系統博物館，蒐集了逾570種作業系統，橫跨超過250種平臺，總計收錄逾1,700個虛擬機安裝環境。Windows、macOS或Linux用戶下載後，即可透過Linux虛擬機與內建模擬器，啟動多種歷史作業系統環境。</p> <p>Warkentin是位作業系統與模擬器收藏者，他花了二十多年來收集模擬器、磁碟映像檔，以及舊時代的作業系統環境。<a href="http://andreww591.blogspot.com/2026/05/ive-released-virtual-museum-with-nearly.html" target="_blank">他表示</a>，雖然近年已有不少歷史軟體保存專案與古老平臺模擬器，但一般使用者往往仍得自行處理繁複的安裝與設定；部分作業系統甚至只適用特定版本的模擬器，若模擬器更新後出現相容性退化，就可能無法正常執行。因此，Virtual OS Museum的目標，是把分散各處的歷史系統整理成可直接啟動、容易體驗的形式。</p> <p>Virtual OS Museum中所收錄的系統橫跨整個電腦發展史，從1948年的Manchester Baby、早期大型主機系統CTSS、Multics，到Unix、早期Windows NT、Classic Mac OS、NeXTSTEP、PalmOS、Symbian、Windows CE、QNX，以及各種BSD與Linux發行版。也包含Xerox Star Pilot/ViewPoint這類早期圖形介面系統，讓使用者可直接體驗作業系統從大型主機、個人電腦到行動與嵌入式裝置的演進。</p> <p>Warkentin表示，Virtual OS Museum幾乎納入所有知名作業系統與平臺，也包括許多冷門平臺。他已針對每個模擬器至少測試過一個客體安裝環境，並確認所有客體系統過去都曾在他的電腦上成功執行；不過，整合進Virtual OS Museum後，逾1,700個安裝環境目前仍在測試中，迄今僅完成不到一半。</p> <p>使用者可下載完整版或簡易版的Virtual OS Museum。其中，完整版已預先下載所有內容，檔案大小約為170GB，可離線使用；簡易版（Lite）則只有20GB，只包含基礎的Linux系統、安裝器、模擬器與啟動器，至於各種作業系統的虛擬機映像檔，則會在第一次執行時下載。</p> <p>Warkentin表示，手上仍有許多安裝映像檔，未來將持續替Virtual OS Museum新增虛擬機安裝環境，數量可望超過2,000個。</p> <p>開發者社群對Virtual OS Museum感到驚豔。<a href="https://www.osnews.com/story/145006/the-virtual-os-museum/" target="_blank">OSNews說</a>明，這類「下載即可使用」的懷舊收藏在遊戲領域並不陌生，但將數百個歷史作業系統整合成單一體驗平臺的案例卻很少見；<a href="https://forums.libretro.com/t/the-virtual-os-museum/50466" target="_blank">Libretro論壇用戶則說</a>這個讓數百個作業系統可直接開箱使用的Virtual OS Museum專案令人驚豔；<a href="https://www.theregister.com/oses/2026/05/23/the-virtual-os-museum-opens-its-doors/5243459" target="_blank">The Register則指出</a>，該專案還提供了快照還原功能，若使用者把模擬系統弄壞，可快速回復到正常狀態。</p> </div></div></div>

Meta營收成長33%，AI資本支出上調至1450億美元

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://investor.atmeta.com/investor-news/press-release-details/2026/Meta-Reports-First-Quarter-2026-Results/default.aspx" target="_blank">Meta週三（4/29）公布</a>2026年第一季財報，該季Meta創下563.11億美元的營收，比去年同期成長33%，淨收入為268億美元，成長61%，每股盈餘為10.44美元。當天Meta亦將2026年的資本支出從原本預測的1,150~1,350億美元，調高至1,250~1,450億美元。財報出爐後，Meta盤後股價下滑6.37%，跌至626.5美元。</p> <p>在563.11億美元的營收中，有550.24億美元來自程式家族（Family of Apps）廣告，占了Meta總營收的97.7%，而Reality Labs營收則是4.02億美元，程式家族另有8.85億美元為非廣告收入。整體而言，程式家族的營業收入為269億美元，Reality Labs則虧損了40.3億美元。</p> <p>Reality Labs去年同期的收入跟虧損都與今年相去不遠。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）<a href="https://s21.q4cdn.com/399680738/files/doc_financials/2026/q1/META-Q1-2026-Prepared-Remarks.pdf" target="_blank">在財報會議中表示</a>，全球每天有超過35億人使用Family of Apps的其中一款程式，儘管因為伊朗網路中斷，以及俄羅斯的封鎖措施，使得Family of Apps的每日使用量略顯下滑，但此外，所有應用程式的使用狀況都十分良好。</p> <p>祖克柏亦多次提到由超級智慧實驗室（Meta Superintelligence Labs，MSL）所打造的首款AI模型<a href="https://www.ithome.com.tw/news/174932" target="_blank">Muse Spark</a>，指出Meta的目標不僅是讓使用者把Meta AI當作助手，更要打造出能夠理解用戶目標、持續協助用戶實現這些目標的智慧助手。</p> <p>至於微幅提高今年資本支出的預估主要是為了反映今年零組件成本的上升，小部分是為了因應算力需求增加所需的資料中心建置成本。</p> </div></div></div>

微軟開源86-DOS 1.00

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>本週在DOS問世的45週年，<a href="https://opensource.microsoft.com/blog/2026/04/28/continuing-the-story-of-early-dos-development/" target="_blank">微軟開源</a>86-DOS 1.00，IBM PC的第一代DOS程式碼及相關紀錄。</p> <p>最新開源的86-DOS 1.00資源除了程式碼核心，還包括PC-DOS 1.00核心多個開發版本、知名工具如CHKDSK。除了上述程式的組譯清單，還包括組譯器本身的原始碼清單。</p> <p>這些資產由歷史學家及保存家組成的專門團隊整理、掃描和轉錄86-DOS 1.00的清單而成。其中有些清單是原始開發者Tim Patersonan本人保存的工作狀態和手寫筆記。這些資源反映了DOS早期的開發歷程，展示了功能實現的進展、錯誤修復過程，以及當時作業系統開發的真實樣貌。目前這些實體文件已由Tim Paterson捐贈給臨時計算機博物館（Interim Computer Museum）保存。</p> <p>Tim Paterson開發86-DOS 1.00是微軟與個人電腦歷史中最重要的轉折點之一。1980年代初期，Tim Paterson任職於Seattle Computer Products（SCP）。當時英特爾推出了16位元的8086處理器，但市場上缺乏能發揮該處理器性能的作業系統（當時的主流CP/M仍是8位元），Tim Paterson因此決定動手寫出一個全新的系統。Tim Paterson僅用了大約4個月就開發出了16位元的早期OS版本，最初命名QDOS（Quick and Dirty Operating System），後來正式定名為86-DOS。</p> <p>當時微軟正與IBM洽談為即將推出的IBM PC提供作業系統，但微軟手上並沒有現成軟體。微軟在1980年底向SCP購買了86-DOS的授權，並隨後在1981年正式將整套系統買斷。Tim Paterson後來也加入微軟，協助將86-DOS修改為PC-DOS 1.00，以適應IBM PC的硬體規範。他不僅寫了DOS核心，還親手編寫了組譯器（ASM.COM）以及像CHKDSK這樣至今仍廣為人知的診斷工具。</p> <p><a href="https://thebrokenpipe.com/dos/paterson_listings/" target="_blank">數位化小組網站</a>提供了86-DOS 1.00部份數位化典藏。86-DOS 1.00的開源程式碼則可在<a href="https://github.com/DOS-History/Paterson-Listings" target="_blank">GitHub</a>找到。</p> </div></div></div>

Meta發表由超級智慧實驗室開發的首款模型Muse Spark，將直接應用在產品上

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://about.fb.com/news/2026/04/introducing-muse-spark-meta-superintelligence-labs/" target="_blank">Meta週三（4/8）發表</a>新一代AI模型Muse Spark，這是<a href="https://www.ithome.com.tw/news/169824" target="_blank">超級智慧實驗室（Meta Superintelligence Labs，MSL）所打造的</a>Muse系列首款模型，主打多模態推理與多代理人協作能力，並已正式應用於美國市場的Meta AI App與網站，後續將擴展至WhatsApp、Instagram、Facebook與Messenger等服務，並預計在未來幾週內逐步推向全球市場。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0409-meta%20ai-600.png" style="width: 466px;" /></p> <p>2025年6月創辦的Meta超級智慧實驗室由Alexandr Wang領導，為Meta核心AI研發單位，它整合了FAIR（Fundamental AI Research）與生成式AI團隊，負責開發新一代通用人工智慧與個人超級智慧（Personal Superintelligence）。至於Meta AI則是個獨立的AI助理程式，提供網頁與行動版，2025年4月發表時採用的是<a href="https://www.ithome.com.tw/news/168674" target="_blank">Llama 4</a>模型。</p> <p>不同於Meta過去以開源基礎模型為主的Llama系列，Muse Spark轉向以產品應用為核心設計，直接整合進Meta AI與旗下社群與通訊服務，強調即時互動與任務處理能力，反映Meta由模型供應者轉向AI產品平臺的策略轉變。</p> <p>在功能上，Muse Spark為一款原生多模態模型，可同時理解文字與影像，並支援工具調用與視覺思維鏈，使其不僅能生成回應，亦可處理多步驟任務。此外，在其Contemplating推理模式下，Muse Spark可啟動多個子代理人進行分工與平行處理，例如同時規畫行程、比較選項與蒐集資訊，提升整體效率與結果品質，展現其由單一模型邁向AI協作系統的設計方向。</p> <p><a href="https://ai.meta.com/blog/introducing-muse-spark-msl/" target="_blank">Meta亦公布</a>Muse Spark於多項基準測試的表現，涵蓋多模態理解、推理、醫療與代理人任務等面向。其中，在圖像與跨模態理解測試CharXiv與MMMU Pro中，Muse Spark表現優於或接近GPT與Gemini等模型；在視覺問答測試SimpleVQA中亦維持競爭力。在高難度推理方面，GPQA Diamond（博士級科學推理測試）與Humanity&#039;s Last Exam（跨領域複雜問題測試）顯示其已具備第一梯隊水準。</p> <p>在醫療領域，Muse Spark於HealthBench（開放式醫療問答測試）與MedXpertQA（醫學選擇題測試）中亦展現穩定表現，顯示其在健康與醫療知識理解上的能力。此外，在程式能力測試LiveCodeBench與軟體修復測試SWE-Bench，以及代理人任務測試DeepSearchQA與Terminal-Bench中，Muse Spark亦具備一定競爭力，反映其在多步驟任務與工具操作上的表現。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0409-muse%20spark-600.png" style="width: 600px;" /></p> <p>在Contemplating推理模式中，Muse Spark於跨領域推理測試Humanity&#039;s Last Exam的無工具情境下達50.2%，高於Gemini 3.1 Deep Think與GPT 5.4 Pro，在可使用工具情境下則達58.4%，接近GPT 5.4 Pro水準。在科學研究測試FrontierScience Research中，Muse Spark達38.3%，亦優於Gemini的23.3%，並略高於GPT的36.7%，顯示其在複雜推理與科學問題處理上的競爭力。</p> <p>Meta表示，Muse Spark除整合至Meta AI與旗下產品外，也將透過API開放部分合作夥伴測試與導入，逐步擴大應用範圍，並隨全球部署推進擴展至更多服務與市場，朝個人超級智慧的長期目標邁進。</p> </div></div></div>

華碩的一家供應商遭駭，駭客可能竊取包含相機原始碼在內的1 TB內部資料

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣科技業者遭勒索軟體駭客攻擊的情況頻傳，鴻海旗下連接器製造商鴻騰精密（FIT）<strong><a href="https://www.ithome.com.tw/news/172592">傳出一週前遭INC Ransom入侵</a></strong>，竊得AD環境的組態資料與其他內部檔案，這兩天又有駭客組織聲稱，他們取得另一家臺灣知名科技公司的機密資料。</p> <p>根據資安新聞網站<strong><a href="https://hackread.com/everest-ransomware-asus-breach-1tb-data/">HackRead</a></strong>、<strong><a href="https://www.cyberdaily.au/security/12967-everest-ransomware-claims-breach-of-consumer-tech-giant-asus">Cyber Daily</a></strong>報導，12月2日勒索軟體Everest聲稱，他們從華碩內部竊得超過1 TB的檔案，其中包含相機的原始碼，要求華碩限期在3日晚間11時前，透過加密通訊平臺Qtox進行聯繫。此事3日經民視財經網與多家國內媒體報導後，引起全臺注目。對此，<strong><a href="https://press.asus.com/tw/news/statements/public-statement-regarding-unauthorized-third-party-data-access/">華碩同日發出簡短聲明表示</a></strong>，他們的供應商遭到攻擊，華碩手機的相機應用程式當中，與影像處理有關的原始碼受到影響。該公司強調，華碩旗下產品、公司內部系統，以及用戶隱私，皆未受到影響，不過，這份聲明透露的資訊有限，仍有不少資訊沒有說明。</p> <p>最早報導此事的是HackRead，他們提及，Everest指稱的相機原始碼，可能是華碩筆電或智慧型手機當中，內建的相機裝置軟體或韌體。這些資料可能包含相機模組底層控制程式碼、驅動程式，以及影像處理元件，或是與裝置整合相關的應用程式。</p> <p>除此之外，HackRead也根據Everest公布的螢幕截圖，指出這批資料還有內部的修補程式、測試模組，以及除錯事件記錄資料。其中，根據資料夾的名稱，還有多款智慧型手機的軟體開發套件（SDK），內含針對特定高通晶片的測試修補程式，代表高通或ArcSoft等合作夥伴也可能受到波及。</p> <p>這批資料也包含用於相機系統的AI模型，以及訓練資料、相機調整的組態檔案與後置指令碼、相機模組與影像處理程式碼的原始碼及檔案。再者還有測試版APK安裝程式、除錯檔案、簽章測試程式庫，以及自動化指令碼等。</p> <p>另一家資安媒體Cyber Daily指出，<strong><a href="https://www.cyberdaily.au/security/12971-asus-confirms-third-party-breach-as-hackers-release-sample-files">根據駭客公布的螢幕截圖內容</a></strong>，呈現適用於華碩多款手機（包含ROG系列）的ArcSoft軟體開發套件、除錯資料，以及各種相關測試的功能函式庫。但ArcSoft是否就是華碩公告提及遭到駭客攻擊的供應商？目前不得而知。</p> <p>回顧過去，Everest犯案已有數起，其中一起發生在今年9月，<strong><a href="https://www.ithome.com.tw/news/171330">當時歐洲多座機場因網路攻擊影響航班運作</a></strong>，原因在於Collins Aerospace公司打造的登機系統Muse遭到入侵，疑為勒索軟體攻擊。後續傳出Everest<strong><a href="https://cybernews.com/security/colins-aerospace-attack-claimed-by-everest-linking-ransomware-group-to-europe-airports-disruption/">於10月17日聲稱是他們所為</a></strong>，並竊得50 GB資料。</p> </div></div></div>

羅浮宮監視攝影機使用LOUVRE當密碼、EoL的Windows版本

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>羅浮宮今年10月19日白天遭到歹徒利用雲梯潛入展示廳，在7分鐘之內竊走8件鑲有珠寶的文物，總價8,800萬歐元。雖然有點離譜，但事後法國官員證實羅浮宮監視攝影機並未被破壞。</p> <p><a href="https://www.liberation.fr/checknews/louvre-en-mot-de-passe-logiciels-obsoletes-mises-a-jour-impossibles-dix-ans-de-failles-dans-la-securite-informatique-du-premier-musee-au-monde-20251101_RD5YGV6WMVAXLL6U3SRGVFBIBY/" target="_blank">法國媒體《解放報》報導</a>，法國安全主管機關法國國家資訊系統安全局（ANSSI）一份2014 年前對羅浮宮進行的IT網路執行的稽核報告，發現該博物館的關鍵安全網路（包括監控、門禁、警報系統）可以從一般辦公室網路端輕易存取。其中視訊監控伺服器的密碼使用「LOUVRE」，而由Thales提供的監視攝影機，密碼則使用「Thales」。</p> <p>稽核報告還指出，羅浮宮IT系統有多臺裝置仍使用已終止支援的作業系統，包括Windows 2000、Windows XP、Windows Server 2003以及其他無法更新的軟體。</p> <p>此外，<a href="https://www.silicon.fr/business-1367/quand-un-rapport-de-lanssi-revelait-les-defaillances-cyber-du-louvre-224261" target="_blank">法國媒體Silicon報導</a>，雖然2014和2017年的資安稽核報告重覆突顯使用過期軟體的缺失，但羅浮宮2019至 2025年間的公開招標文件顯示，仍有至少8套重要的安全／監控軟體無法更新，這些軟體負責處理監控、門禁、伺服器等核心功能。欠缺更新可使重要系統漏洞遭到惡意程式或駭客攻擊。</p> <p>不過不確定這些問題在劫案發生時是否已經解決。</p> </div></div></div>

【資安月報】2025年9月，臺灣企業組織的資安預算創新高，總統公布資安法修正通過

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年9月資安新聞，關注多項臺灣資安防護相關消息揭露之餘，還有4大威脅焦點同樣值得我們重視，包括企業Salesforce資料遭鎖定突顯語音網釣及供應鏈攻擊的態勢，以及零時差漏洞攻擊、AI機器人及機器狗新興威脅、AI Agent風險與軟體供應鏈攻擊等，還有國內外重大資安事件。以下整理出7大焦點，幫助大家回顧本月重要新聞。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（一）臺灣多項資安防護態勢與新舉措</strong></span></p> <p>在資安防禦進展上，臺灣有多項重要消息揭露，以下為我們關注的6項：</p> <p>●iThome 2025企業資安大調查的結果出爐，今年資安預算平均金額突破2千萬創新高，而且其占IT預算比例，快要接近1成，顯現企業對資安投入的持續提升。<br /> ●《資通安全管理法》修正案於8月29日立法院三讀通過，9月24日總統正式對外公布，以回應國內外資安環境快速變遷的挑戰。<br /> ●資安署長蔡福隆在數位政府高峰會上，揭示我國最新資通安全發展，提及各機關應減少繁瑣資安應辦事項要求，增加技術面的處理，並將從明年起推動分級稽核。<br /> ●資安院公布推動中小企業與NGO增進防禦的最新成果，包含引進UC Berkeley Cybersecurity Clinic課程課綱，以打造資安健檢團。<br /> ●資安院推動臺灣製造商建立產品安全，公布產品資安漏洞獵捕計畫正式開放報名，並強調建立通報產品安全管道、SBOM管理在國際間漸開始成為強制要求。<br /> ●國際半導體展資安趨勢高峰論壇舉行，公布臺灣有11家半導體設備商的產品通過實驗室合格性驗證，並正式啟動SEMI E187半導體設備資安認驗證制度。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（二）Salesforce用戶的客戶資料遭鎖定：突顯語音網釣、供應鏈攻擊態勢</strong></span></p> <p>攻擊者鎖定Salesforce用戶竊取資料，相關事故在上個月頻頻登上新聞版面，到了9月持續有消息傳出，其中美國FBI發布的警報最值得關注，當中針對兩大駭客組織威脅手法示警。首先，UNC6040（ShinyHunters）駭客組織的攻擊是針對其用戶發動語音網釣，以技術支援詐騙手法鎖定企業客服人員騙取權限；另一UNC6395駭客組織的攻擊是針對第三方供應商Salesloft，鎖定其Salesforce整合的Drift應用程式，竊取OAuth token後而入侵。</p> <p>值得關注的是，關於上述供應鏈攻擊的調查結果，Salesloft後續公布更多詳情，他們指出最早攻擊活動是在今年3月到6月，當時駭客就試圖存取該公司的GitHub儲存庫，最終成功入侵Drift所使用的AWS環境，進而竊取了Drift客戶的OAuth憑證，因此能從客戶環境非法存取與Drift整合的資料。另外，由於持續曝光的受害企業大多位於國外，在我們向Salesforce詢問之後，得知Salesloft Drift的主要服務市場在美國，臺灣並無企業受此事件影響。這些事件再次突顯語音網釣、供應鏈攻擊的危害，仍是駭客持續利用且有效的攻擊手法。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（三）零時差漏洞攻擊威脅持續嚴峻</strong></span></p> <p>本月多起零時差漏洞攻擊新聞中，思科產品成為駭客的首要目標，有兩則零時差漏洞攻擊消息，一是鎖定IOS或IOS XE的漏洞CVE-2025-20352，另一是鎖定防火牆ASA與FTD系列產品的漏洞CVE-2025-20333、CVE-2025-20362。值得關注的是，這類威脅也擴及客戶關係管理系統（CRM），Sitecore的漏洞CVE-2025-53690亦被駭客先一步挖掘並用於攻擊，目的是植入名為WeepSteel的後門程式。此外，CVE-2025-10585是今年以來第6個Chrome零時差漏洞攻擊，使得Chromium為基礎的多款瀏覽器緊急修補，突顯瀏覽器持續是攻擊者的重要目標。</p> <p>還有一則漏洞攻擊活動值得國內留意，是郵件伺服器系統Roundcube今年6月公布的重大漏洞CVE-2025-49113，臺灣資安業者TeamT5杜浦數位安全指出，中國駭客組織CamoFei（ChamelGang）自4月就於攻擊行動鎖定該漏洞，目的是植入Godzilla後門程式及RAT木馬Pupy，臺灣亦有教育機構受害。</p> <p>另外，Apple近來時常對其用戶發出威脅通知，這類通知通常對應利用零時差或零點擊的間諜軟體攻擊，值得注意的是，法國CERT-FR特別提醒民眾不要破壞證據，呼籲收到通知的用戶應立即保存證據，避免自行操作裝置，以利後續調查。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（四）新興威脅浮現：AI機器人及機器狗</strong></span></p> <p>隨著人型機器人、巡檢機器狗的應用發展浪潮，在全球已有許多國家導入使用，相關資安議題隨之浮出檯面。2025年9月，我們針對「具身AI機器人」資安威脅進行封面故事報導，解析這類具備感知、決策、行動能力的新科技，隨著能力增強，我們必須持續改良其安全性，因為這不僅是技術革新，更是對社會、經濟，乃至國家安全帶來全新考驗的轉折點。</p> <p>這次報導中，我們解析了具身AI機器人的資安風險，範圍涵蓋AI模型LLM、視覺語言模型（VLM）的保護，ROS系統元件及機器人供應鏈安全性，以及雲地架構挑戰等，同時我們也解析五大攻擊面，包括物理實體、感知器、無線通訊、軟體與雲端應用、AI模型，並說明資安檢核項目發展，希望協助各界建立必要的防護措施，才能更好享受科技帶來的便利。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（五）AI Agent風險與軟體供應鏈攻擊成焦點</strong></span></p> <p>在資安威脅態勢上，還有兩個值得關注的議題，一是AI Agent風險，另一是軟體供應鏈攻擊。</p> <p>關於AI Agent風險的最新消息，例如，有研究人員揭露ShadowLeak零點擊攻擊，以及日前Notion 3.0推出並增加AI Agents與MCP的整合功能，有研究人員發現其AI代理可遭間接提示注入操控。此外，還有駭客濫用新推出的AI滲透測試自動化平臺HexStrike-AI，將防禦者使用的資安測試工具，作為其攻擊行動使用的工具；而在AI業者Anthropic發布的每月威脅情報調查報告中，還提及發現有人將AI代理置入攻擊鏈，從事Vibe Hacking活動的情形。</p> <p>關於軟體供應鏈攻擊的最新消息，熱門套件開發人員遭網釣最受關注，該開發者因為誤信假冒NPM客服寄來的更新憑證釣魚信，導致開發者帳號遭奪取，導致每週下載量達26億次的18款熱門NPM套件被植入惡意軟體。還有發現能植入具大量散播能力蠕蟲的「Shai-Hulud」軟體供應鏈攻擊，2天逾500個NPM套件受影響；以及Nx供應鏈攻擊事件影響擴大，導致6,700多個GitHub私有儲存庫被公開。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（六）臺灣重大資安事件</strong></span></p> <p>本月臺灣重大資安事故，以上市櫃公司於公開資訊觀測站的公告而言，總計有7則資安重大訊息發布。</p> <p>●第二週有6起：夠麻吉、政申分別揭露有系統遭駭客網路攻擊；奈米醫材公布子公司遭遇變更股利匯款帳戶的詐騙；智擎指稱官方網站代管廠商遭DDoS攻擊。還有鑫聯大投控代子公司捷元說明其B2B採購平臺遭異常下單，中信金代子公司台灣人壽保險說明因違法保險法及個資法被金管會開罰。<br /> ●第三週有1起，致茂揭露資訊系統遭受駭客網路攻擊。<br /> 另外，臺灣壽司郎有個資外洩事故曝光，因會員收到他人點數到期通知，該公司表示是系統的發送電子郵件程序出現異常。</p> <p>特別的是，還有一項需要留意的消息，早在2019年停止維護的搜狗注音輸入法，趨勢科技發現有攻擊者挾持其更新伺服器並註冊網域，對臺灣用戶發動網路間諜行動，散布多種惡意軟體。</p> <p> </p> <p><span style="color:#FF0000;"><strong>（七）國際間嚴重資安事故</strong></span></p> <p>走出臺灣，國際間有多則重大資安事故消息，有些事故災情相當嚴重，像是車廠停工一個月仍未復原的狀況，其他還涵蓋金融、政府、醫療的事故。在此我們列出6大事件：<br /> ●英國車廠Jaguar Land Rover（JLR）9月初發生資安事故，當地有兩座工廠停擺，9月底仍未恢復運作，甚至英國政府計畫將提供資金貸款擔保，避免仰賴JLR的供應商破產，以及JLR與上游廠商的可能裁員風險。<br /> ●歐洲多個機場發生航班延誤與取消情形，原因是提供自動化登機和行李處理MUSE系統的Collins Aerospace遭駭，造成櫃臺辦理登機手續混亂，該公司事發一週仍在逐步復原。<br /> ●中國「防火長城」爆發史上最大資料外洩事件，也意外曝光其網路審查技術已輸出他國的電信系統與資料中心，例如，緬甸、巴基斯坦、衣索比亞、哈薩克等。<br /> ●越南國家信用資訊中心（CIC）遭網路攻擊，駭客組織ShinyHunters聲稱從CIC資料庫竊得超過1.6億筆記錄。<br /> ●巴拿馬經濟暨財政部（MEF）揭露遭遇網路攻擊事件，INC Ransom勒索軟體聲稱已竊取其1.5TB的資料。<br /> ●巴西醫療軟體供應商MedicSolution傳出遭駭，勒索軟體組織KillSec聲稱是他們所為，此事件並波及多家醫療機構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171141"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0901~0905，已棄用的輸入法軟體更新伺服器遭挾持，駭客用於對臺發動目標式攻擊</span></strong></a></h3> <p>在9月第一週的資安新聞當中，專門鎖定臺灣的攻擊行動相當特別，因為駭客挾持了不再使用的輸入法軟體更新伺服器從事活動，一旦使用者不慎安裝、使用，數個小時後駭客就會派送惡意程式；另一方面，Salesloft Drift供應鏈攻擊事故有擴大的趨勢，有越來越多企業組織表示，他們的Salesforce系統受到波及，出現資料外洩的情形</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171185"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0908~0912，再有CRM平臺遭駭客鎖定，Sitecore遭零時差漏洞攻擊</span></strong></a></h3> <p>在2025年9月第二星期的資安新聞中，多家IT大廠發布每月例行安全更新的公告，揭露與修補近期掌握的弱點，攻擊者盯上CRM平臺Sitecore發動零時差漏洞攻擊也成焦點；國內多家上市櫃公司發布資安重訊，共有6則事件，涵蓋：夠麻吉、政伸、奈米醫材、智擎，以及兩家上市櫃公司的子公司：捷元與台灣人壽</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/171322"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0915~0919，中國駭客組織CamoFei鎖定郵件伺服器系統Roundcube漏洞攻擊，臺灣有教育機構受害</span></strong></a></h3> <p>回顧2025年9月第三星期的資安新聞，以中國駭客CamoFei積極利用郵件伺服器系統Roundcube漏洞的消息最後矚目，臺灣也有教育機構受害；國際間有兩大威脅態勢，包括DDoS攻擊的殭屍網路規模更擴大，NPM開發者遭攻擊的消息不斷，還有中國「防火長城」爆發史上最大資料外洩事件，並顯現網路審查技術已輸出他國</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171404"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0922~0926，歐洲多個機場發生登機系統遭駭，導致航班延遲或被取消</span></strong></a></h3> <p>在2025年9月第四星期資安新聞中，歐洲多個機場的登機系統遭駭的資安事故最受關注，還有「具身AI」機器人的最新威脅探討成為新興威脅焦點；在資安防護上，有關於強化臺灣的中小企業資安防護、提升產品資安的最新消息，資安院將擴大推動健檢團，並推出漏洞獵捕計畫</p> <h3> </h3> <p><span style="color:#FFFFFF;">文⊙羅正漢</span></p> <h3><a href="https://www.ithome.com.tw/news/170940">【2025年8月資安月報，駭客鎖定Salesforce用戶，語音網釣與第三方應用程式成主要破口】</a><br />  </h3> <h3><a href="https://www.ithome.com.tw/news/170565">【2025年7月資安月報，語音網釣與ClickFIX網釣日益嚴峻】</a><br />  </h3> <h3><a href="https://www.ithome.com.tw/news/170026">【2025年6月資安月報，中華電信憑證失去瀏覽器信任，以伊戰事引發網路攻擊】</a><br />  </h3> <h3><a href="https://www.ithome.com.tw/news/169340">【2025年5月資安月報，AI資安技術發展動能強勁，從Agentic SOC、資安LLM到紅藍隊攻防演練都有進展】</a><br />  </h3> <h3><a href="https://www.ithome.com.tw/news/168722">【2025年4月資安月報，臺灣資安產業蓬勃發展，PQC、零信任、產品資安受矚目，LLM安全風險因應成最新主軸】</a><br />  </h3> <h3><a href="https://www.ithome.com.tw/news/168181">【2025年3月資安月報，出現專門鎖定臺灣攻擊的勒索軟體，CrazyHunter攻擊目標從醫院擴大至上市櫃公司】</a><br />  </h3> <h3> </h3> </div></div></div>

【資安週報】0922~0926，歐洲多個機場發生登機系統遭駭，導致航班延遲或被取消

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年9月第四星期的資安新聞，最大資安事故是歐洲多個機場的登機系統遭駭（受影響機場包括：英國LHR、德國BER、比利時BRU、愛爾蘭DUB），櫃臺辦理登機手續混亂造成航班延誤，甚至數十個航班被取消。後續，提供自動化登機和行李處理MUSE系統的Collins Aerospace表示，正著手解決問題，24日表示系統還在逐步修復。另外，英國國家犯罪局逮捕與這起攻擊事件有關的四十多歲男子，還有資安專家Kevin Beaumont指出，駭客疑似使用Hardbit勒索軟體變種。</p> <p>還有一樁國家級資安事故也躍居本星期最熱門新聞，是越南國家信用資訊中心（CIC）遭網路攻擊的事件，該單位在當地金融體系如信用風險評估等具關鍵作用，VNCERT已證實此事，當地資安業者Resecurity也指出，駭客組織ShinyHunters聲稱從CIC資料庫竊得超過1.6億筆記錄。</p> <p>在漏洞利用消息方面，有攻擊者針對思科產品發動兩起零時差漏洞攻擊，思科先是針對IOS或IOS XE系統修補已遭利用的CVE-2025-20352，之后又針對防火牆ASA與FTD系列產品，修補已遭利用的CVE-2025-20333、CVE-2025-20362。</p> <p>還有攻擊者鎖定Google Chromium發動零時差漏洞攻擊，其漏洞編號為CVE-2025-10585，目前Google Chrome、微軟Edge、Vivaldi、Brave等瀏覽器均已修補。</p> <p>在最新威脅態勢上，我們近期製作的封面故事，探討「具身AI」機器人的最新威脅與發展，當中剖析了傳統機器人的差異，同時也說明現代具身AI機器人所面臨的資安風險，從保護AI模型，到AI機器人供應鏈與雲地架構的安挑戰，揭露具身AI機器人攻擊路徑，以及了解機器人該有的資安檢核項目。</p> <p>還有一則本星期許多人分享的熱門新聞是，研究人員Zero Salarium在其部落格揭露凍結EDR運作新手法，當中提到可透過Windows錯誤報告系統（WER，WerFaultSecure.exe）的條件競爭（Race condition）發動攻擊。</p> <p>其他威脅態勢方面，社交工程釣魚網站與AI Agent風險成主要焦點，有多起消息與之有關，我們整理如下：</p> <p>●密碼管理服務業者LastPass遭冒名，駭客設置GitHub儲存庫散布竊資軟體。<br /> ●資安公司Netcraft揭露兩個網釣即服務（PhaaS）正擴大其危害，Lucid的釣魚樣版鎖定全球63國、164個品牌，Lighthouse則鎖定全球50國、204個品牌。<br /> ●日前Notion 3.0推出並增加AI Agents與MCP的整合功能，資安公司CodeIntegrity研究人員發現，其AI代理可遭間接提示注入操控。<br /> ●資安公司Radware揭露ShadowLeak零點擊攻擊，指出透過特製郵件可在ChatGPT深入研究功能中隱藏指令，像是將竊取個資轉換Base64編碼，再附加特定URL參數。</p> <p>在資安防禦動向上，國內有兩則關於全社會資安人培與產品資安的重要消息。一是資安院公布打造健檢團與服務團，幫助對資安防護感到陌生的中小企業與非營利組織（NGO）強化防禦，同時也推出中小企業適用的資安防護指南手冊；另一是產品資安院漏洞獵捕計畫正式推出，已開放電子產品製造品牌廠商報名，同時也揭露軟體物料清單（SBOM）的最新推動與發展態勢。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171332" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月22日】歐洲多座機場因登機系統遭到網路攻擊而影響營運</span></strong></a></h3> <p>這個週末最受到關注的資安新聞，莫過於歐洲有多個機場因登機系統遭網攻而出現運作中斷的現象，且有部分航班因此被迫取消，這些機場是：柏林機場、布魯塞爾機場，以及位於倫敦的希思羅機場，他們皆透露事故發生的原因，在於Collins Aerospace公司打造的登機系統遭到網路攻擊。近期要前往歐洲的民眾要特別留意航班資訊，並採用其他登機方式（如線上登機）來避免受到影響。</p> <p>美國聯邦調查局的網路犯罪投訴中心（IC3）再度遭到歹徒冒名的情況也引起關注，值得留意的是，由於駭客仿冒IC3行騙的現象已非首例，加上這次FBI並未透露進一步細節，相關網路犯罪活動的態勢，有待FBI或資安業者公布。</p> <h3><a href="https://www.ithome.com.tw/news/171351"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月23日】協作平臺Notion導入AI代理，攻擊者可透過惡意PDF檔洩露資料</span></strong></a></h3> <p>應用程式導入人工智慧的情況越來越普遍，但同時也可能使得應用程式存在AI相關的資安弱點。例如，最近發布大改版的協作平臺Notion，開發團隊導入了AI代理程式，號稱能自動完成建立文件、更新資料庫、跨工具檢索與多步驟工作流程，但資安業者CodeIntegrity發現，此代理程式有可能被惡意內容操控，使得攻擊者有機會透過內建的網頁搜尋工具外洩資料。</p> <p>另一項受到外界關注的資安漏洞，是風險值達到滿分的Entra ID（原Azure AD）漏洞CVE-2025-55241，通報此事的研究人員指出，一旦攻擊者成功利用這項漏洞，就有機會透過舊版Azure AD Graph API在任意租戶隨意讀寫，相當危險。</p> <h3><a href="https://www.ithome.com.tw/news/171364"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月24日】美國拆除由10萬張SIM組成的貓池</span></strong></a></h3> <p>為了向民眾大量發送簡訊，或是從事網路詐騙犯罪行為，有些歹徒會架設<a href="https://zh.wikipedia.org/zh-tw/%E7%8C%AB%E6%B1%A0">貓池</a>（Modem Pool，國外稱SIM Farm，直譯為SIM卡農場）來犯案，因此這類設施的出現，背後有可能隱含一系列的網路犯罪。本週美國宣布拆除由10萬張SIM卡組成的貓池，引起高度關注，特別是此貓池架設於聯合國大會舉辦地點的附近，又適逢9月下旬舉行的總辯論，地點和時間點都相當敏感。雖然調查結果尚未出爐，但無論是否與聯合國大會有關，多家媒體報導指出，這些設備若全面運作，有可能對紐約市行動通訊帶來嚴重干擾。</p> <p>DDoS攻擊相關的網路犯罪也是今天的焦點，其中，資安業者Darktrace揭露名為ShadowV2殭屍網路，駭客以此提供他人現成的受僱型DDoS攻擊服務（DDoS-for-hire）；另一方面，本週Cloudflare宣布成功緩解新一波大規模DDoS攻擊，流量峰值達到22.2 Tbps再創下新高。</p> <h3><a href="https://www.ithome.com.tw/news/171374"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月25日】中國駭客RedNovember滲透多國，臺灣國防、半導體遭鎖定</span></strong></a></h3> <p>針對中國國家級駭客在全球各地從事網路間諜活動的現象，上週資安業者Proofpoint揭露針對美中貿易議題的APT41攻擊行動手法、Mustang Panda意圖使用USB蠕蟲SnakeDisk滲透泰國政府的隔離網路（Air-Gap）環境，本週又有資安業者公布新的發現。其中，以資安業者Recorded Future公布駭客組織的全球網路間諜活動最值得留意，因為臺灣是他們的主要目標之一。</p> <p>Google揭露UNC5221針對美國科技與法律業的活動，也是相當受到矚目的焦點，因為這些駭客從事網路間諜活動的範圍相當廣，竟是鎖定一系列的垂直產業，這樣的情況並不尋常，因此Google推測，駭客的主要目的很可能是要收集能開發零時差漏洞的情報。</p> <h3><a href="https://www.ithome.com.tw/news/171403"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月26日】資安院漏洞獵捕計畫正式推出</span></strong></a></h3> <p>產品資安議題約從兩年前出現大幅變化，歐盟、英國、美國、南韓及新加坡已採取多項行動，現在臺灣也有相關規畫。在昨日數位發展部資通安全署（資安署）與國家資通安全研究院（資安院）聯手舉辦的產品資安論壇裡，資安院產品資安漏洞獵捕計畫正式登場最受到矚目，另外，數位產業署順應國際態勢，將鼓勵共同供應契約廠商，從明年起依機關要求提供軟體物料清單（SBOM）。</p> <p>另一個資安焦點，與生命週期即將結束的Windows 10有關。微軟近日調整延伸安全更新（ESU）的說明，透露ESU在特定地區可能會有所差異，而這些差異很可能源自歐洲消費者組織（Euroconsumers Group）的要求，必須對歐盟地區用戶提供免成本得到ESU的選項。</p> </div></div></div>

【資安日報】9月26日，資安院漏洞獵捕計畫正式推出

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>產品資安議題約從兩年前出現大幅變化，歐盟、英國、美國、南韓及新加坡已採取多項行動，現在臺灣也有相關規畫。在昨日數位發展部資通安全署（資安署）與國家資通安全研究院（資安院）聯手舉辦的產品資安論壇裡，資安院產品資安漏洞獵捕計畫正式登場最受到矚目，另外，數位產業署順應國際態勢，將鼓勵共同供應契約廠商，從明年起依機關要求提供軟體物料清單（SBOM）。</p> <p>另一個資安焦點，與生命週期即將結束的Windows 10有關。微軟近日調整延伸安全更新（ESU）的說明，透露ESU在特定地區可能會有所差異，而這些差異很可能源自歐洲消費者組織（Euroconsumers Group）的要求，必須對歐盟地區用戶提供免成本得到ESU的選項。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171401"><strong style="font-size: 22px;">嚴重影響歐洲多座機場營運的資安事故證實是勒索軟體攻擊，英國目前逮捕一名涉案中年男子</strong></a></p> <p>自9月19日晚間開始，傳出歐洲有多個大型機場登機系統運作中斷，部分航班受到影響而延誤，攻擊者針對的目標，是航太暨國防業者Collins Aerospace打造的Muse登機系統，歐盟主管機關介入調查，初步判定是勒索軟體攻擊，現在英國找到疑似涉案的人士並逮捕，以釐清案情。</p> <p>9月24日英國國家犯罪局（NCA）宣布，在東南地區的區域打擊犯罪機構ROCU協助之下，他們於西薩塞克斯郡逮捕一名四十多歲的男子，罪名是涉嫌違反《電腦濫用法（Computer Misuse Act）》，並強調這次逮捕行動與Collins Aerospace網路事故有關。不過，目前此人獲得有條件的保釋。</p> <p>NCA指出，逮捕此人是踏出突破僵局的第一步，但目前仍處於早期階段，他們將持續進行。</p> <p><a href="https://www.ithome.com.tw/news/171397"><strong style="font-size: 22px;">研究人員揭露凍結EDR運作新手法，濫用Windows錯誤報告系統就能達到目的</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EDR-Freeze running parameters.PNG" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EDR-Freeze%20running%20parameters.PNG" style="width: 300px; float: right;" /></a></p> <p>為了迴避偵測，駭客通常會無所不用其極地癱瘓防毒軟體及EDR的運作，其中一種最常見的手法被稱做自帶驅動程式（BYOVD），駭客攜帶存在弱點的合法驅動程式，藉此在受害電腦提升權限，然而有研究人員發現，他能透過視窗作業系統內建的工具來達到類似目的，而無須設法植入驅動程式，或是找到電腦上存在弱點的內建驅動程式加以利用，就能讓端點防護機制無法正常運作。</p> <p>資安研究員Zero Salarium在部落格發表文章指出，他發現透過Windows錯誤報告系統（Windows Error Reporting，WER，WerFaultSecure.exe），就有機會讓防毒軟體或是EDR的處理程序休眠，而且，所有的過程都是運用使用者模式（User-mode）程式碼來達成，完全不需要其他的第三方工具。Zero Salarium也打造名為EDR-Freeze的程式來進行概念驗證（PoC）。</p> <p><a href="https://www.ithome.com.tw/news/171338"><strong style="font-size: 22px;">資安業者揭露疑似全球最早的LLM驅動惡意程式MalTerminal</strong></a></p> <p>資安業者SentinelOne於9月19日揭露整合了大型語言模型（LLM）的惡意程式MalTerminal，並說它在2023年就現身，很可能是全球首個LLM惡意程式，早於今年6月出現的LameHug，以及8月現身的PromptLock。</p> <p>針對此惡意程式出現的時間點，該公司找到多項證據來佐證，其中一個是惡意程式使用的OpenAI Chat Completions API端點，在2023年11月就被官方棄用，因而推斷MalTerminal很可能是目前所知最早的LLM惡意程式。</p> <p>不過，SentinelOne並沒有發現MalTerminal被應用在實際攻擊行動中，亦未被大規模部署，猜測它或許只是個概念驗證（PoC）惡意程式，或是紅隊測試工具。</p> <p><a href="https://www.ithome.com.tw/news/171363"><strong style="font-size: 22px;">網釣套件租用服務Lucid、Lighthouse橫行，範圍橫跨74國、攻擊316品牌</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/rCZQoqopgj8cqNsKlXCPIL0CVxE.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/rCZQoqopgj8cqNsKlXCPIL0CVxE.png" style="width: 300px; float: right;" /></a></p> <p>資安公司Netcraft發現兩個以訂閱制形式的網釣套件租用服務（Phishing-as-a-Service，PhaaS）平臺Lucid與Lighthouse，近期快速擴張，研究期間已偵測超過17,500個釣魚網域，鎖定74國共316個品牌。</p> <p>Lucid為高流量PhaaS之一，其樣板涵蓋金融、政府、郵務與道路收費等產業，樣板以主題名稱管理，例如針對金融業者Kuda的樣板標記為kuda295。為避免被資安研究或攔截系統發現，Lucid通常以三項條件保護釣魚內容，除了必須帶有指定路徑如/servicios之外，還要是來自特定代理國家，而且以行動裝置User-Agent存取，三者任一不符通常會回應一個看似正常的假電商頁面，以混淆偵測。Netcraft報告指出，Lucid目前已被用於攻擊63國164個品牌。</p> <p>Lighthouse由開發者WangDuoYu維護，具有頻繁更新與可客製化樣板，報告指出可透過模板蒐集雙因素憑證，其訂閱價格從每周88美元到每年1,588美元不等。研究人員研判，一系列採用高度HTML混淆的攻擊行動與Lighthouse相關，判斷依據包括攻擊所用模板與官方示範素材的一致性，以及在示範影片常見的測試網域test-24.top上確實觀測到部署跡象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/182577/data-breach/volvo-north-america-disclosed-a-data-breach-following-a-ransomware-attack-on-it-provider-miljodata.html">Volvo北美分公司資料外洩，起因是第三方供應商遭勒索軟體攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-warns-of-new-xcsset-macos-malware-variant-targeting-xcode-devs/">竊資軟體Xcseet鎖定macOS開發人員而來，並透過Xcode專案散布</a></strong></p> <!-- notionvc: 6dd78c1a-2894-4964-88be-4edb3794f239 --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/state-sponsored-hackers/">中國駭客Salt Typhoon鎖定電信基礎設施，範圍涵蓋臺灣、美國、歐盟</a></strong></p> <!-- notionvc: 82cf2705-1575-4b63-8b70-6cf3565f9ea4 --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/co-op-says-it-lost-107-million-after-scattered-spider-attack/">針對遭遇Scattered Spider攻擊的事故，英國消費者合作社Co-op認列逾1億美元營業損失</a></strong></p> <!-- notionvc: 9409f971-add6-4e42-8aaf-79e2a7a16807 --><p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171393"><strong style="font-size: 22px;">思科ASA防火牆傳重大風險零時差漏洞攻擊</strong></a></p> <p>思科本周發布二起安全公告，警告Adaptive Security Appliance（ASA）防火牆二項之前未知的重大漏洞已被駭客濫用發動攻擊，包括一個風險值9.9的重大漏洞。</p> <p>這二項漏洞分別是CVE-2025-20333和CVE-2025-20362，都是影響思科ASA防火牆及思科安全防火牆威脅防護（Cisco Secure Firewall Threat Defense，FTD）軟體的安全問題。</p> <p>其中CVE-2025-20333存在VPN Web Server軟體。它出於使用者HTTP請求輸入驗證不足，使具有有效VPN憑證的攻擊者可傳送改造的HTTP請求來濫用漏洞。成功濫用的攻擊者能在受害系統上以root權限執行任意程式碼，導致完全接管受害裝置。漏洞風險值高達9.9。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/solarwinds-releases-hotfix-for-critical.html">SolarWinds修補IT服務臺產品重大層級漏洞，若不處理可被用於遠端執行任意程式碼</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171392"><strong style="font-size: 22px;">強化臺灣產品資安，資安院漏洞獵捕計畫正式推出</strong></a></p> <p>產品安全議題已成國家議題，數位發展部資通安全署（資安署）與國家資通安全研究院（資安院）在9月25日，特別舉辦一場產品資安論壇，吸引一百多位產業人士與會，現場不僅公布資安院的產品資安漏洞獵捕計畫，同時解析了2025國際間的最新產品安全發展態勢，讓國內所有資通訊產品製造商，可以更好應對未來趨勢。</p> <p>畢竟，產品安全議題從兩年前開始有大幅變化，當時國際已有相當多行動展開，包括：歐盟網路韌性法（CRA）、英國PSTI法案發布，還有美國推動US Cyber Trust Mark安全標章，美CISA公布Secure by Design系列警報，以及南韓與新加坡簽署物聯網安全認證體系MOU等消息。</p> <p><a href="https://www.ithome.com.tw/news/171391"><strong style="font-size: 22px;">微軟對歐盟Windows 10消費者提供免費ESU</strong></a></p> <p>就在Windows 10技術支援快要到終止期限的前二周，傳出微軟將對歐盟消費用戶提供免費延伸安全更新（Extended Security Update，ESU）的特殊待遇，不需付費也不需啟用Windows備份服務。</p> <p>微軟兩周前提醒全球Windows 10用戶，Windows 10即將在10月14日結束技術支援，呼籲用戶升級到Windows 11，或是啟用ESU。而根據微軟規劃，消費者若是不願支付30美元取得ESU，也可以藉由啟用Windows備份、或是使用Microsoft Rewards換取ESU。</p> <p>根據歐洲消費者組織（Euroconsumers Group）和微軟的信件，微軟對歐盟Windows 10消費者提供免成本ESU選項，而且這項選擇無需消費者備份設定、應用程式、憑證，也不必用Microsoft Rewards。歐盟消費者組織認為，他們先前擔心，將必要的安全更新連結微軟自有服務，有違反歐盟數位市場法（DMA）的問題。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171374"><strong>【9月25日】中國駭客RedNovember滲透多國，臺灣國防、半導體遭鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171364"><strong>【9月24日】美國拆除由10萬張SIM組成的貓池</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171351"><strong>【9月23日】協作平臺Notion導入AI代理，攻擊者可透過惡意PDF檔洩露資料</strong></a></p> </div></div></div>

針對影響歐洲多座機場營運的勒索軟體攻擊事故，英國逮捕涉案中年男子

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自9月19日晚間開始，傳出<a href="https://www.ithome.com.tw/news/171330">歐洲有多個大型機場登機系統運作中斷</a>，部分航班受到影響而延誤，攻擊者針對的目標，是航太暨國防業者Collins Aerospace打造的Muse登機系統，歐盟主管機關介入調查，<a href="https://www.ithome.com.tw/news/171344">初步判定是勒索軟體攻擊</a>，現在英國找到疑似涉案的人士並逮捕，以釐清案情。</p> <p>9月24日<a href="https://www.nationalcrimeagency.gov.uk/news/uk-arrest-following-aerospace-cyber-incident">英國國家犯罪局（NCA）宣布</a>，在東南地區的區域打擊犯罪機構ROCU協助之下，他們於西薩塞克斯郡逮捕一名四十多歲的男子，罪名是涉嫌違反《電腦濫用法（Computer Misuse Act）》，並強調這次逮捕行動與Collins Aerospace網路事故有關。目前此人已在附帶條件下獲得保釋。</p> <p>NCA指出，雖然逮捕此人是積極調查事故的具體行動，但調查目前仍處於早期階段，他們將持續進行相關調查。</p> <p>詭異的是，這起事故發生快一個星期，卻只有英國當局逮捕一名嫌犯，且並未透露其他調查的進展，傳出介入調查的歐盟網路安全局（ENISA）沒有透露新的消息；受害機場所在地德國、比利時、愛爾蘭、英國，僅有英國公布簡短的聲明，對於這起事故調查的情況，可說是仍然相當撲朔迷離。</p> <p>針對歐洲當局介入調查並認為是勒索軟體攻擊的情況，Collins Aerospace母公司RTX Corporation也在近期呈報的資料當中證實此事。RTX Corporation在<a href="https://www.sec.gov/Archives/edgar/data/101829/000010182925000036/rtx-20250919.htm">提交給美國證券交易委員會（SEC）的8-K表單</a>裡，表示他們在19日獲報旗下產品的資安事故，起因是登機系統Muse系統上出現了勒索軟體。</p> <p>雖然執法機構與RTX Corporation並未透露其他細節，不過有資安專家提出看法。<a href="https://cyberplace.social/@GossiTheDog/115254672566587831">Kevin Beaumont指出</a>，駭客使用的勒索軟體，很可能是名為Hardbit的勒索軟體變種，而罕見的是，開發這款勒索軟體的駭客，並未架設羅列受害企業組織名單的網站。</p> <p>Kevin Beaumont也提及受害裝置出現不斷重覆感染勒索軟體的情況，迫使相關IT人員必須一直重開機及進行還原作業。對此，他呼籲相關單位，應協助這些IT人員進行事件回應。</p> </div></div></div>

【資安日報】9月23日，協作平臺Notion導入AI代理，攻擊者可透過惡意PDF檔洩露資料

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>應用程式導入人工智慧的情況越來越普遍，但同時也可能使得應用程式存在AI相關的資安弱點。例如，最近發布大改版的協作平臺Notion，開發團隊導入了AI代理程式，號稱能自動完成建立文件、更新資料庫、跨工具檢索與多步驟工作流程，但資安業者CodeIntegrity發現，此代理程式有可能被惡意內容操控，使得攻擊者有機會透過內建的網頁搜尋工具外洩資料。</p> <p>另一項受到外界關注的資安漏洞，是風險值達到滿分的Entra ID（原Azure AD）漏洞CVE-2025-55241，通報此事的研究人員指出，一旦攻擊者成功利用這項漏洞，就有機會透過舊版Azure AD Graph API在任意租戶隨意讀寫，相當危險。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171344"><strong style="font-size: 22px;">針對週末歐洲多個機場登機系統服務中斷事故，歐盟當局透露是勒索軟體攻擊所致</strong></a></p> <p>歐洲多個大型機場，包括：柏林勃蘭登堡機場、布魯塞爾機場，以及倫敦希思羅機場，從上週五（9月19日）晚間開始傳出登機系統中斷運作的現象，導致部分航班受到影響而出現延誤，引起全球關注。而本次傳出攻擊者下手的目標，是航太暨國防業者Collins Aerospace打造的Muse登機系統，歐盟主管介入調查，如今傳出這起事故是勒索軟體攻擊。</p> <p>根據衛報的報導，9月22日歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）透露這起事故的初步調查結果，指出Collins Aerospace疑似遭遇勒索軟體攻擊，從而引發這起事故。但除此之外，對於攻擊者的身分、勒索軟體名稱，以及其他細節，ENISA並未進一步說明。</p> <p>英國反恐立法獨立審查員Jonathan Hall KC也對此事提出看法，他認為攻擊者的身分，很有可能是國家資助的駭客組織，但不排除是強大的私人駭客組織所為。</p> <p><a href="https://www.ithome.com.tw/news/171349"><strong style="font-size: 22px;">密碼管理服務業者LastPass遭冒名，駭客設置GitHub儲存庫散布竊資軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/github-campaign---screen-capture-of-LastPass-impersonation-page-png.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/github-campaign---screen-capture-of-LastPass-impersonation-page-png.png" style="width: 300px; float: right;" /></a></p> <p>上週美國聯邦調查局（FBI）提出警告，近日有人偽裝他們旗下的網路犯罪投訴中心（Internet Crime Complaint Center，IC3），恐用於架設詐騙網站從事網路犯罪活動，進行網路釣魚、投資詐騙、商業郵件詐騙（BEC）等行為，現在也有資安業者遭到歹徒假冒的情況，他們公布相關手法並警告用戶提高警覺。</p> <p>密碼管理解決方案業者LastPass指出，他們追蹤正在進行、影響廣泛的竊資軟體攻擊活動，駭客透過冒牌GitHub儲存庫鎖定macOS用戶而來，意圖誘騙他們下載、安裝應用程式，其中一款就是號稱提供macOS版LastPass，假若用戶照做，電臘就會被植入竊資軟體Atomic Stealer（AMOS Stealer）。</p> <p>值得留意的是，根據LastPass列出的入侵指標（IoC），他們也看到攻擊者聲稱提供1Password、Dropbox、After Effects等其他應用程式的情況。</p> <p><a href="https://www.ithome.com.tw/news/171342"><strong style="font-size: 22px;">Jeep、Fiat母公司汽車集團Stellantis疑資料外洩，1,800萬筆北美客戶個資恐被竊</strong></a></p> <p>擁有Jeep、Fiat、克萊斯勒（Chrysler），以及瑪莎拉蒂（Maserati）等多個品牌的汽車集團Stellantis公告遭駭外洩北美客戶資料。惡名昭彰的勒贖組織ShinyHunters宣稱竊走了1800萬筆個資。</p> <p>Stellantis本周表示近日偵測到，支援其北美客戶服務的第三方服務平臺遭未授權存取，因而洩露了客戶個資。該公司立即啟動安全回應措施、阻止了惡意活動，並展開調查，同時通報主管機關及聯繫受影響的客戶。</p> <p>經過調查， Stellantis相信遭到存取的個資只有聯繫資訊，強調該平臺並未儲存財務或敏感個資，也沒有任何這些資料遭存取。該公司提醒客戶留心釣魚攻擊，切勿點擊不明來源的連結或分享個資的要求。雖然這家車廠沒有說明被存取的第三方客戶平臺為何，但根據資安新聞網站BleepingComputer報導，這起事件是最新一樁Salesforce資料外洩案。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/17500-phishing-domains-target-316.html">網釣套件租用服務Lighthouse、Lucid規模顯著增加，鎖定74國、冒充316個品牌</a></strong></p> <!-- notionvc: e2f114d3-7d9b-42fd-84b1-03d149757ffb --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thecyberexpress.com/apt28-recent-campaign-infection-chain/">俄羅斯駭客APT28結合隱寫術、雲端C2從事新一波惡意軟體感染活動</a></strong></p> <!-- notionvc: bcf2626a-73c9-463b-92ac-f9e786f9cf81 --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/dprk-hackers-use-clickfix-to-deliver.html">北韓駭客鎖定加密貨幣業者而來，透過ClickFix網釣散布惡意軟體BeaverTail</a></strong></p> <!-- notionvc: cb4bc0b3-7e0b-4472-b780-5bf34c77f07c --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://research.checkpoint.com/2025/nimbus-manticore-deploys-new-malware-targeting-europe/">伊朗駭客Nimbus Manticore鎖定西歐而來，攻擊國防製造、電信、航空業</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/oracle-database-scheduler/">Oracle Database Scheduler遭到鎖定，駭客以此滲透企業網路環境</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171334"><strong style="font-size: 22px;">Notion大改版3.0新增AI代理，恐遭間接提示注入攻擊並洩露機敏資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/notion-ai-agent-8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/notion-ai-agent-8.png" style="width: 300px; float: right;" /></a></p> <p>受廣泛使用的協作平臺Notion在甫推出的3.0版本，增加了AI Agents作為主打功能，讓代理能在工作區裡自動完成建立文件、更新資料庫、跨工具檢索與多步驟工作流程。該更新凸顯了SaaS平臺向人工智慧驅動自動化邁進的趨勢，不過資安公司CodeIntegrity研究人員也發現其存在間接提示注入風險，代理可被惡意內容操控，藉由內建的網頁搜尋工具，將工作區內的敏感資料外洩到攻擊者控制的伺服器。</p> <p>研究人員說明，一旦使用者在Notion中開啟含有隱藏指令的檔案，例如看似正常的PDF報告，代理在進行摘要任務時，便可能讀取內部頁面中的欄位資料，再把這些資訊組合成字串，嵌入URL並透過網頁搜尋工具發出查詢。</p> <p>攻擊者只要在伺服端記錄這些請求，就能取得PDF報告中公司名稱、產業分類或年度經常性收入（ARR）等機密內容。研究人員指出，這是一種典型的間接提示注入攻擊，其特徵是代理本身沒有惡意，但在被誤導的情境下自動執行不符合使用者原意的動作。</p> <p><a href="https://www.ithome.com.tw/news/171346"><strong style="font-size: 22px;">微軟修補Entra ID滿分漏洞，攻擊者有機會透過舊版Azure AD Graph API在任意租戶隨意讀寫</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/053dNh3oR7.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/053dNh3oR7.jpg" style="width: 300px; float: right;" /></a></p> <p>9月初微軟修補一系列的雲端服務漏洞，其中出現在Azure Networking的滿分漏洞CVE-2025-54914受到關注，資安業者Rapid7特別在9月例行更新（Patch Tuesday）提及，呼籲用戶在雲端資產進行通訊時，要特別留意，但除此之外，微軟還揭露了另一個Entra ID（Azure AD）滿分漏洞，通報此事的資安研究員近日公布相關細節，受到資安圈的高度關注。</p> <p>這項滿分漏洞被登記為CVE-2025-55241，出現在Azure Entra，可被用於權限提升，屬於未妥善驗證身分的弱點（CWE-287）。微軟對此僅表示他們已全面降低相關風險，使用者不需採取行動，之所以記錄這個漏洞，主要目的是提升後續追蹤的透明度。</p> <p>通報此事的Outsider Security資安研究員Dirk-jan Mollema透露，這是他看過影響最嚴重的Entra ID漏洞，而且，時間恰巧在7月，那時正在準備黑帽大會（Black Hat USA）及DEF CON兩項資安大型會議的資料。Dirk-jan在7月14日通報此事，17日微軟進行修補，並於23日確認已完全緩解。根據微軟內部的遙測，目前尚未出現漏洞遭到濫用的跡象。</p> <p> </p> <h3>【資安防禦措施】</h3> <p><a href="https://www.ithome.com.tw/news/171292"><strong style="font-size: 22px;">當機器人擁有自主思考能力──解析具身AI的資安臨界點</strong></a></p> <p>近年來，人工智慧（AI）的浪潮席捲全球，其觸角已從虛擬網路空間延伸至實體物理世界。當AI不再僅是無形的演算法，而是擁有「身體」，並能在現實中感知、行動、學習的機器人時，我們正迎來一個全新的「具身AI」（Embodied AI）時代。</p> <p>這不僅僅是技術的革新，更是對社會、經濟，乃至國家安全帶來全新考驗的轉折點。臺北市政府日前宣布引進中國宇樹科技（Unitree Robotics）的巡檢機器狗，原意為提升市政管理效率的創舉，卻不料激起層層資安疑雲，這不僅僅是一樁採購案的爭議，更是臺灣社會乃至全球，在迎接具身AI浪潮時，必須正視的嚴峻挑戰。</p> <p>我們該如何理解AI機器人的能力、應用需求，以及各種相關的安全性議題？針對各種智慧移動載具的資安威脅實驗室VicOne LAB R7，發表全球第一份《AI 機器人資安風險與防護白皮書》，當中強調：AI機器人具備「感知、決策、行動」三大能力，一旦遭到入侵，後果不僅止於個資和隱私等資料外洩，還可能導致機器人誤判行為，進而造成人身安全的危害。</p> <p><a href="https://www.ithome.com.tw/news/171173"><strong style="font-size: 22px;">Pixel 10相機與相簿啟用C2PA內容憑證，建立可驗證的拍攝與編輯鏈</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog image C2PA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog%20image%20C2PA.png" style="width: 300px; float: right;" /></a></p> <p>Google Pixel 10的相機應用會對每張JPEG寫入C2PA內容憑證，而Google相簿則會讀取與顯示C2PA內容憑證，並在編輯時續寫相應描述。該功能把可驗證的來源與歷程帶進行動攝影生態，Google強調，目的不是區分人工智慧或非人工智慧，而是讓影像的產生與處理步驟可以被查證。</p> <p>C2PA內容憑證是一套產業標準，透過數位簽章把影像的來源、拍攝或編輯步驟嵌入檔案。當支援的檢視工具讀到這些資料，使用者能看見影像是否由相機拍攝、是否經人工智慧或非人工智慧工具處理、處理順序為何。</p> <p>Pixel相機應用通過C2PA一致性計畫的第二級驗證保障（Assurance Level 2），這是目前計畫中最高等級的安全驗證，其達成仰賴Android的硬體安全架構，包括Tensor G5處理器、Titan M2安全晶片，以及Android Key Attestation、遠端金鑰配置（RKP）與StrongBox等功能。Titan M2經過國際安全標準的認證，用於在晶片層級產生並保護簽章金鑰，而Key Attestation則讓憑證機構能確認裝置狀態是否安全，並驗證請求憑證的應用是否為受信任的版本。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171332"><strong>【9月22日】歐洲多座機場因登機系統遭到網路攻擊而影響營運</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171285"><strong>【9月19日】多家資安業者紛紛宣布併購AI公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171274"><strong>【9月18日】逾500個NPM套件被植入具大量散播能力的蠕蟲</strong></a></p> </div></div></div>

針對週末歐洲多個機場登機系統服務中斷事故，歐盟當局透露是勒索軟體攻擊所致

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲多個大型機場，包括：柏林勃蘭登堡機場、布魯塞爾機場，以及倫敦希思羅機場，<a href="https://www.ithome.com.tw/news/171330">從上週五（9月19日）晚間開始傳出登機系統中斷運作的現象</a>，導致部分航班受到影響而出現延誤，引起全球關注。而本次傳出攻擊者下手的目標，是航太暨國防業者Collins Aerospace打造的Muse登機系統，歐盟主管介入調查，如今傳出這起事故是勒索軟體攻擊。</p> <p>根據<a href="https://www.theguardian.com/world/2025/sep/22/flight-delays-europe-cyber-attack-heathrow-brussels-berlin">衛報的報導</a>，9月22日歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）透露這起事故的初步調查結果，指出Collins Aerospace疑似遭遇勒索軟體攻擊，從而引發這起事故。但除此之外，對於攻擊者的身分、勒索軟體名稱，以及其他細節，ENISA並未進一步說明。</p> <p>英國反恐立法獨立審查員Jonathan Hall KC也對此事提出看法，他認為攻擊者的身分，很有可能是國家資助的駭客組織，但不排除是強大的私人駭客組織所為。</p> <p>目前有3家機場揭露這起事故的影響，其中情況較嚴重的布魯塞爾機場，9月22日取消40班出境與23班入境航班，並指出Collins Aerospace尚未確認登機系統是否恢復安全。</p> <p>另一個公開營運狀況的是希思羅機場，他們表示，絕大部分航班照常運作，但部分航班辦理登機手續及登機時間會比平常要來得久。發言人表示登機系統並非該機場所有，亦非他們經營，因此該機場無法介入處理，但他們對航空公司提供相關支援，並增加人手協助旅客。</p> <p>都柏林機場則是估計22日之後，不會因IT問題取消航班。除上述3座機場，也有航空公司表明受到衝擊。愛爾蘭航空（Aer Lingus）於21日表示，他們因這起事故受到嚴重影響。</p> <p>對於事故的後續處理，Collins Aerospace也在22日發出新的聲明，表示他們正在與4座受影響的機場，以及相關航空公司合作，目前正在恢復所有功能，處於完成所需更新的最終階段。</p> </div></div></div>

【資安日報】9月22日，歐洲多座機場因登機系統遭到網路攻擊而影響營運

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個週末最受到關注的資安新聞，莫過於歐洲有多個機場因登機系統遭網攻而出現運作中斷的現象，且有部分航班因此被迫取消，這些機場是：柏林機場、布魯塞爾機場，以及位於倫敦的希思羅機場，他們皆透露事故發生的原因，在於Collins Aerospace公司打造的登機系統遭到網路攻擊。近期要前往歐洲的民眾要特別留意航班資訊，並採用其他登機方式（如線上登機）來避免受到影響。</p> <p>美國聯邦調查局的網路犯罪投訴中心（IC3）再度遭到歹徒冒名的情況也引起關注，值得留意的是，由於駭客仿冒IC3行騙的現象已非首例，加上這次FBI並未透露進一步細節，相關網路犯罪活動的態勢，有待FBI或資安業者公布。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171330"><strong style="font-size: 22px;">歐洲多座機場因網路攻擊影響航班運作，矛頭指向登機系統可能遭駭</strong></a></p> <p>過往機場遭遇網路攻擊面臨服務中斷的現象，大多是駭客組織針對機場的網路環境下手，但這個週末同時有多處機場因網路攻擊而影響運作，起因是特定的應用系統成為歹徒下手的目標。</p> <p>根據9月21日SecurityWeek、路透社等新聞媒體的報導，從週五（19日）晚間開始，柏林機場、布魯塞爾機場，以及位於倫敦的希思羅機場，受到特定電子系統運作中斷的影響，導致辦理登機手續變得混亂，迫使航空公司工作人員改用手寫登機證與備用筆電等方式因應。而這些受影響機場存在共通之處，就是都採用Collins Aerospace打造的Muse登機系統。</p> <p>對此，Collins Aerospace在20日發布聲明，他們正著手解決問題，並指出這起事故影響電子客戶登機及行李托運，可透過手動作業來因應；後續母公司RTX Corporation（原Raytheon Technologies Corporation）表示，他們已注意到特定機場的軟體出現「網路相關的中斷（cyber-related disruption）」，但並未說明機場的名稱。歐洲聯盟委員會指出，航空安全與空中交通管制未受影響，目前無證據顯示為大規模攻擊，攻擊來源仍在調查中。</p> <p><a href="https://www.ithome.com.tw/news/171331"><strong style="font-size: 22px;">太歲頭上動土，駭客假冒FBI網路犯罪投訴中心</strong></a></p> <p>美國聯邦調查局（FBI）上周五（9月19日）發布警訊，駭客正偽裝成FBI旗下的網路犯罪投訴中心（Internet Crime Complaint Center，IC3）網站，提醒使用者不要上當。</p> <p>FBI並未公布駭客用來假冒IC3的網址，僅說駭客通常藉由稍微改變合法網域名稱的特徵來建立詐騙網站，以蒐集使用者所輸入的個人資訊，包括姓名、家庭地址、電話號碼、電子郵件位址與銀行資訊等。</p> <p>這並不是駭客第一次假冒IC3，過去駭客曾經利用社交工程建立了完善的詐騙流程。先是假冒成詐騙案件的受害者，以此建立了社交帳號，接著加入詐騙受害者群組，再將其他真正的受害者與假冒的IC3員工Jaime Quin建立連結，Quin聲稱受害者的資金已追回，取得受害者的財務資訊，然後再騙他們一次。從2023年12月至2025年2月間，FBI收到了超過100起冒充為IC3的詐騙案。</p> <p><a href="https://www.ithome.com.tw/news/171314"><strong style="font-size: 22px;">越南國家信用資訊中心傳出遭ShinyHunters攻擊，駭客聲稱竊得1.6億筆記錄</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/039225c6883e83a5531508fa916f4171.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/039225c6883e83a5531508fa916f4171.png" style="width: 300px; float: right;" /></a></p> <p>最近幾個月，駭客組織ShinyHunters、Scattered Spider鎖定零售業、科技產業的攻擊行動頻傳，但如今傳出這些駭客也有攻擊國營金融機構的情況。</p> <p>根據越南媒體報導，該國的國家信用資訊中心（National Credit Information Center，CIC）遭遇網路攻擊，這項事故得到越南電腦緊急應變團隊（VNCERT）證實，根據初步的調查結果，已有個人資料遭竊的跡象，外洩資料的數量及規模仍在調查。針對攻擊者的身分，根據路透社、Business Times等媒體的報導指出，CIC初步認為是ShinyHunters，因為這些駭客在9月9日已經在兜售資料。</p> <p>對於上述CIC的推測，後續有相關調查出爐。資安業者Resecurity指出，ShinyHunters聲稱從CIC資料庫竊得超過1.6億筆記錄，規模相當驚人，由於越南總人口僅接近1.02億，這代表這批資料很可能包含歷史資料及重複記錄。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/researchers-uncover-gpt-4-powered.html">惡意軟體MalTerminal結合GPT-4，能動態產生勒索軟體、反向Shell程式碼</a></strong></p> <!-- notionvc: ca74ee21-94b0-4cbd-ab51-b3b5e367cbed --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/lastpass-warns-of-fake-repositories.html">密碼管理服務業者LastPass遭冒名，駭客設置GitHub儲存庫散布竊資軟體</a></strong></p> <!-- notionvc: c9da2f5f-b9fa-48b0-b9c0-90deb941b468 --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-exposes-malware-kits-deployed-in-ivanti-epmm-attacks/">針對Ivanti今年5月修補的行動裝置管理平臺漏洞，傳出中國駭客將其用於實際攻擊行動</a></strong></p> <!-- notionvc: 41a4bda2-d512-4351-ad12-0c463a105c40 --><p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171326"><strong style="font-size: 22px;">ShadowLeak零點擊攻擊影響ChatGPT深入研究功能，恐外洩Gmail資料</strong></a></p> <p>資安公司Radware研究人員揭露一項名為ShadowLeak的零點擊攻擊，鎖定ChatGPT的深入研究功能（Deep Research）。研究顯示，當使用者啟用深入研究功能並授權存取Gmail與瀏覽器工具時，攻擊者僅需投遞一封特製HTML郵件，即可能在雲端自動將收件匣中的敏感內容外送至攻擊伺服器，而無須任何點擊或顯示警示。OpenAI已於8月初完成修補。</p> <p>研究人員指出，初期嘗試直接要求外洩資料時，模型多半會拒絕。但經過調整，攻擊者透過語言設計加入已獲授權、失敗請重試、若未完成會影響報告等社交工程元素，逐步提高代理執行外部請求的成功率。最後研究人員發現只要先將個資諸如姓名、地址轉換為Base64編碼，再附加到特定URL參數，代理便會透過雲端的瀏覽工具送出，研究中測得的成功率達到100％。</p> <p>與先前需要用戶端渲染內容觸發的攻擊不同，ShadowLeak的外洩封包直接從OpenAI雲端產生，這代表傳統的企業防禦措施，如安全閘道或端點偵測，無法攔截這類流量，同時，由於過程中沒有任何可見的畫面或互動，使用者也不會意識到資料已經外洩。研究人員強調，這使得攻擊面從客戶端延伸到伺服器端，風險範圍更廣。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-entra-id-flaw-allowed-hijacking-any-companys-tenant/">微軟修補Entra ID滿分漏洞，攻擊者有機會透過舊版Azure AD Graph API挖掘憑證</a></strong></p> <!-- notionvc: f8ae91a0-6cbd-4063-9b09-726d10bb8628 --><p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fortra-warns-of-max-severity-flaw-in-goanywhere-mfts-license-servlet/">MFT系統GoAnywhere存在滿分漏洞，恐被用於命令注入攻擊</a></strong></p> <p> </p> <h3>【資安防禦措施】</h3> <p><a href="https://www.ithome.com.tw/news/171261"><strong style="font-size: 22px;">資安院推中小企業資安防護指南手冊，預告臺版Cyberseek明年上線</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖5）臺版Cyberseek_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89%E8%87%BA%E7%89%88Cyberseek_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a>推動中小企業強化資安，幫助臺灣資安人才發展，是這些年來政府持續設法在因應的挑戰，近期國家資通安全研究院（資安院）公布新成果，他們不僅已經打造資安服務團與資安健檢團（Cybersecurity Clinic），還有兩項重要專案的發展，受到我們關注，分別是資安推廣工具「資安星際指南」手冊，以及臺灣資安人才資源專區。</p> <p>資安院人才培力中心主任鄭瑋表示，由於資安服務團與資安健檢團的規模仍有限，難以觸及所有需求單位，因此資安院在推動擴大規模的同時，同時也將實地輔導課程的教材內容，整理出一系列「資安防護指南」手冊。</p> <p>這套手冊預計將發布5個版本，希望讓所有中小企業、微型企業與非營利組織（NGO）作為強化資安的實用參考工具。目前已發布的兩本為「資安基礎概論篇」、「資通系統安心委外篇」，後續還將推出的是「網路安全管理實務篇」、「資安制度與風險管理篇」，以及「個資管理篇」。</p> <p> </p> <h3>【執法行動】</h3> <p><a href="https://www.ithome.com.tw/news/171291"><strong style="font-size: 22px;">橫掃47家美企與倫敦交通局，兩名Scattered Spider成員被捕，恐面臨95年徒刑</strong></a></p> <p>英國國家犯罪調查局（National Crime Agency，NCA）逮捕了現年19歲的Thalha Jubair與18歲的Owen Flowers，在周四（9月18日）指控他們在去年入侵了倫敦交通局（Transport of London，TfL）， 同一天美國也起訴了當中的Jubair，宣稱他參與了至少120起電腦網路入侵與勒索案件，涉及47家美國企業。不管是Jubair或Flowers，他們在從事駭客行動時都還是青少年。</p> <p>倫敦交通局（TfL）在去年8月底遭駭客集團Scattered Spider入侵，造成TfL票價與資料系統癱瘓了好幾個月，外洩5,000名乘客的個資，帶來約3,000萬英鎊的損失，而Jubair與Flowers即是涉及此案的Scattered Spider成員。</p> <p>美國司法部指出，Jubair在2022年5月至2025年9月間，透過社交工程取得企業網路存取權限，進而竊取並加密企業資料，再向企業勒索，總計勒索金額高達1.15億美元，並有部分贖金匯入了他所控制的伺服器錢包。在2024年7月伺服器被查扣時，Jubair還轉走了價值840萬美元的加密貨幣，另有3,600萬美元的加密貨幣遭警方沒收。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171285"><strong>【9月19日】多家資安業者紛紛宣布併購AI公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171274"><strong>【9月18日】逾500個NPM套件被植入具大量散播能力的蠕蟲</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171243"><strong>【9月17日】中國駭客CamoFei利用Roundcube攻擊臺灣教育機構</strong></a></p> </div></div></div>

歐洲多座機場因網路攻擊影響航班運作，矛頭指向登機系統可能遭駭

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往<a href="https://www.ithome.com.tw/tags/%E6%A9%9F%E5%A0%B4">機場</a>遭遇網路攻擊面臨服務中斷的現象，大多是駭客組織針對機場的網路環境下手，但這個週末同時有多處機場因網路攻擊而影響運作，起因是特定的應用系統成為歹徒下手的目標。</p> <p>根據9月21日<a href="https://www.securityweek.com/airport-cyberattack-disrupts-more-flights-across-europe/">SecurityWeek</a>、<a href="https://www.reuters.com/en/cyberattack-causes-flight-delays-cancellations-brussels-airport-2025-09-20/">路透社</a>等新聞媒體的報導，從週五（19日）晚間開始，柏林機場、布魯塞爾機場，以及位於倫敦的希思羅機場，受到特定電子系統運作中斷的影響，導致辦理登機手續變得混亂，迫使航空公司工作人員改用手寫登機證與備用筆電等方式因應。而這些受影響機場存在共通之處，就是都採用Collins Aerospace打造的Muse登機系統。</p> <p>對此，Collins Aerospace在20日發布聲明，他們正著手解決問題，並指出這起事故影響電子客戶登機及行李托運，可透過手動作業來因應；後續母公司RTX Corporation（原Raytheon Technologies Corporation）表示，他們已注意到特定機場的軟體出現「網路相關的中斷（cyber-related disruption）」，但並未說明機場的名稱。</p> <p>歐洲聯盟委員會指出，航空安全與空中交通管制未受影響，目前無證據顯示為大規模攻擊，攻擊來源仍在調查中。</p> <p>針對各機場受影響的狀況，部分機場也公開說明。其中，布魯塞爾機場受影響的情況相當嚴重，他們要求航空公司取消原定在週一（22日）的近140個航班，約總航班276個的一半。而在此之前，布魯塞爾機場在20日、21日分別取消了25個、50個航班。對此，該機場發言人Ihsane Chioua Lekhli表示，這起資安事故影響登機服務臺的電腦系統，自助登機不受影響，該航空公司轉換至替代的備用系統及筆電，來因應帶來的影響，並呼籲旅客出門前確認航班狀態，並運用其他的替代管道辦理登機手續。</p> <p>希思羅機場發出聲明表示，針對週五Collins Aerospace航班系統中斷影響登機的情況，他們持續處理與進行復原，並對航班延遲的旅客感到抱歉，但強調在航空公司的通力合作之下，大部分的航班都能持續運作。</p> </div></div></div>

傳微軟Office 365引進Anthropic AI技術減少對OpenAI的依賴

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/microsoft-buy-ai-anthropic-shift-openai" target="_blank">The Information報導</a>，微軟已和OpenAI的競爭對手Anthropic談定合作，將在其線上生產力工具Office 365使用其特定AI服務，外界相信這是為了減少對OpenAI的倚賴。</p> <p>報導引述消息人士指出，微軟將付費給Anthropic，以取得在其線上版Word、Excel、Outlook和PowerPoint中使用其AI功能的權利。這使得Office 365混合使用Anthropic和既有的OpenAI技術。</p> <p>這顯示微軟欲減少現行OpenAI過度倚重的問題。雖然微軟對OpenAI投資了137億美元，是其最主要投資者，但近年雙方在許多方面出現競爭。例如微軟在桌機上開發自有Phi模型系列，而其Copilot也使用自己開發的MAI-Voice-1和MAI-1-Preview。此外微軟內部還開發了電玩用的Muse及世界模型WHAM（World and Human Action Model）。</p> <p>而OpenAI也不再只和微軟合作。OpenAI的雲端平臺合作夥伴加入了Oracle和AWS，在桌機上ChatGPT也是Apple Intelligence的背後聊天機器人。OpenAI近來也成立了應用程式部門，推出類似微軟旗下LinkedIn的<a href="https://www.ithome.com.tw/news/171018" target="_blank">OpenAI Jobs Platform</a>。這家AI新創公司據說還計畫推出自有瀏覽器。</p> <p>但是顯然微軟現在還無法完全割捨OpenAI。<a href="https://www.bloomberg.com/news/articles/2025-07-29/microsoft-s-access-to-openai-tech-is-focus-of-contract-talks?embedded-checkout=true" target="_blank">7月底彭博報導</a>，微軟和OpenAI正在洽談新的合作計畫，以便取得OpenAI未來AI新技術的存取權。</p> </div></div></div>

微軟公布能設計電玩的AI模型Muse

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周在《自然》期刊<a href="https://www.nature.com/articles/s41586-025-08600-3#Sec1" target="_blank">發表</a>一款世界與人類行為互動模型（World and Human Action Model，WHAM），名為Muse，能生成電玩的視覺物件及控制器行為。</p> <p>生成式AI雖然逐漸普及應用於創意產業，如影片、圖片，加速協同溝通及自動化產製過程，但效果仍不如期望。微軟研究院Game Intelligence和Teachable AI Experience（Tai X）及Xbox Games的忍者理論（Ninja Theory）團隊合作開發出Muse，展示利用對使用者需求的知識，促進生成式AI開發創意內容的能力。最後結果是名為Muse的世界與人類行為模型（World and Human Action Model，WHAM），可生成一致化又多樣化的電玩遊戲情節，且能持續整合用戶需求。</p> <p>WHAM模型基於Transformer架構的自回歸模型。為了訓練Muse，研究團隊蒐集了4人對4人的Xbox線上遊戲Bleeding Edge玩家對戰時的影片作為訓練資料集，涵括10億張遊戲畫面與控制器輸入的資料，相當於7年的人類玩家遊戲資料。透過大量學習，來訓練WHAM生成遊戲玩法序列、關卡設計和角色行為。訓練環境先是使用Nvidia V100，之後全面改成H100，開發過程也經歷多輪迭代。</p> <p>最後的Muse（WHAM-1.6B）可生成遊戲視覺效果、遊戲內行動，或同時生成兩者。它能夠根據1秒的遊戲片段（1秒的影像與控制器輸入），預測接下來的遊戲發展。</p> <p>研究人員<a href="https://www.microsoft.com/en-us/research/blog/introducing-muse-our-first-generative-ai-model-designed-for-gameplay-ideation/" target="_blank">評估</a>，Muse有一致性（consistency）、多樣性（diversity）及持續性（persistency）的特點。一致性方面，Muse能夠生成長達兩分鐘的連續遊戲序列，並且能夠保持畫面穩定，不會出現明顯的視覺退化或不合理的變化。多樣性方面，Muse具備行為和視覺上的多樣性。例如，當給定相同的10幀（1秒）真實遊戲畫面作為條件時，Muse產生了不同的遊戲場景，包括不同的攝影機移動方式或是選擇不同路徑。此外，Muse也能產生視覺上的變化，例如角色的懸浮滑板樣式不同。Muse還具有「持續性」的能力，能夠使新角色合理地融入遊戲環境，而不是將其忽略或錯誤刪除。</p> <p>與以往需要手動定義或提取相對狹窄領域結構的創意支援工具不同，生成式AI模型可以從現有數據中學習相關結構，能夠在遊戲開發、遊戲測試和創意應用方面提供重要協助。</p> <p>研究團隊也開源了Muse權重及樣本資料，以及WHAM Demonstrator的執行檔，WHAM Demonstrator為概念模型原型，提供視覺介面和模型互動。開發人員可以在Azure AI Foundry<a href="https://ai.azure.com/" target="_blank">試用</a>Muse。</p> </div></div></div>

零售IT雙周報第51期：不在站上也查得到！Amazon開始支援搜尋品牌官網商品，還能支援訂單履行

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0202~0215)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品搜尋引擎 #第三方網站連結 #訂單履行</span></span></strong><br /> <strong>Amazon開始能搜尋到站外商品，更支援站外商品的訂單履行</strong></p> <p><a href="https://www.aboutamazon.com/news/retail/search-products-amazon-shopping-feature">Amazon進一步強化自身作為網購入口網站功能，開始在搜尋結果顯示站外商品。</a>這些搜尋結果會和Amazon站上商品一同顯示，當顧客選擇站外商品，則會被導向品牌自身網站。</p> <p>品牌還可以開放選項，讓Amazon負責履行官網訂單。顧客在這些品牌網站直接購買商品時，就能享有Buy with Prime會員功能，包括免費選擇用Amazon物流送貨、退貨，以及24小時顧客服務等。</p> <p>Amazon沒有提及，技術上是如何收錄這些外部網站商品數據，用於商品搜尋及推薦功能，也未提及品牌如何在外部網站啟用Buy with Prime功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #門市管理 #外送App</span></span><br /> ​</strong><strong>外送平臺Instacart推出店內任務功能，CPG品牌可以委託外送員紀錄實體門市中的行銷或存貨情況</strong></p> <p>難以接觸第一線零售通路，觀察商品銷售情況，一直是CPG製造商痛點。美國生鮮雜貨外送平臺Instacart鎖定此痛點，推出店內任務功能。CPG品牌可以出價委託外送員進行一系列門市內工作，例如紀錄自家商品貨架情況、拍攝門市內行銷素材展示情況等。外送員可以視報酬和任務內容，自由選擇接案。</p> <p>Instacart作為外送平臺，可以透過外送員，接觸上千家零售企業的近十萬間門市。他們正是利用此優勢，打造出店內任務這一獨特功能。這也符合他們這一兩年來，積極發展RMN及對CPG製造商服務的策略方向。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#家居電商 #生成式AI #模擬裝潢</span></span></strong><br /> <strong>Wayfair推出視覺化家居購物功能，即時生成裝潢示範，並用消費者提供的照片來模擬裝潢</strong></p> <p>家居類電商Wayfair推出視覺化購物功能Muse，利用多模態生成式AI技術理解自然語言搜尋，即時根據Wayfair商品目錄生成示範裝潢圖片。使用者可以瀏覽生成圖片中的商品，甚至上傳自家空間的照片，利用Muse將這些商品融入自家空間中，來模擬裝潢。Muse仍包括電商常見的其他功能，例如相似商品推薦、個人化推薦等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wayfarimuse.png" style="width: 600px;" /></p> <p>過往，這類功能都會只限於固定風格模板，例如臺灣的創業家兄弟，或Wayfair自家既有功能，都是會基於「北歐風」、「工業風」等少數模板來生成，生成內容缺乏多元性。Muse則是根據輸入內容，例如「有點Emo的1920年代客廳」，來生成影像內容。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#門市管理 #行動應用</span></span></strong><br /> <strong>CVS藥局開始測試在會員App中打開上鎖貨架的功能</strong></p> <p><a href="https://www.prnewswire.com/news-releases/introducing-the-cvs-health-app-your-go-to-companion-for-health--wellness-302361313.html">美國藥妝店龍頭CVS推出新版會員App</a>，開始測試透過App就能解鎖門市內藥架的功能，不過CVS沒有提供具體操作方法。</p> <p>零售業在門市中將高價值、高風險商品上鎖來防止盜竊等意外，是常見做法。不過，增加顧客拿取商品難度，也伴隨著降低購買意願的代價。近日，Walgreens藥局CEO才剛表示上鎖貨架的防盜措施，造成銷售下滑反而得不償失。CVS利用實名制會員App來提供自助解鎖功能，是利用IT來折衷開放與上鎖貨架的一個嘗試。</p> <p>CVS會員App其他功能包括藥局電商、個人化健康管理及建議、疫苗預約、領藥輔助、AI藥物及健康產品搜尋、健康教育、生成式AI藥品購買助理、個人化保健資源推薦等。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#RMN #3D全息圖廣告 #互動式行銷 #DOOH #AR廣告</span></span></strong><br /> <strong>西蒙地產集團在旗下30間百貨推出3D全息圖廣告聯播網</strong></p> <p><a href="https://www.globenewswire.com/news-release/2025/02/04/3020708/0/en/World-s-First-Holographic-3D-Ad-Network-Launches-at-Simon-Malls-Nationwide.html">美國最大零售業地主西蒙地產集團於旗下30間百貨公司推出全息圖廣告聯播網。</a>行銷型態是，在人流密集區設置3D全息投影箱播放廣告，搭配AR行銷內容，讓路過觀眾掃碼了解更多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1739445587923.jpg" style="width: 600px;" /></p> <p>根據統計，觀眾平均與全息影像互動時間長達24秒。AR行銷內容在兩週內，吸引數千名顧客參與，掃碼率高達35%。儘管可以預見，隨著新鮮感減少，這些互動數據會降低，不過目前來說仍非常驚人，是一般數位影音廣告的數倍到數十倍。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI致電 #生成式AI</span></span></strong><br /> <strong>Google開始實驗讓AI幫忙打電話到店家預約的功能</strong></p> <p><a href="https://x.com/dozenrose/status/1885006631752364249">Google開始實驗由AI幫忙消費者致電店家的功能，AI可以代為詢問商品或服務相關問題、預約時間，並告知店家如何回覆消費者。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gasm.png" style="height: 450px;" /></p> <p>致電前，AI會先詢問消費者所需資訊，例如致電修車廠前，詢問要更換機油還是輪胎、車款為何，希望預約時間、電子郵件或電話號碼等。店家接起電話時，Google會先告知店家，這通電話是由AI代替消費者本人撥出。</p> <p>目前，此功能只支援部分地區的車廠及指甲沙龍，預計逐步開放更多類型的商家。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺 #生成式AI #服飾零售</span></span></strong><br /> <strong>服飾電商平臺Poshmark推出生成式AI商品刊登功能，靠單張照片就能自動填入商品資訊</strong></p> <p><a href="https://www.prnewswire.com/news-releases/poshmark-marks-milestone-with-debut-of-smart-list-ai-ushering-in-the-next-chapter-of-ai-powered-resale-302363942.html">有超過8千萬使用者、2億件商品的跨國服飾電商平臺Poshmark推出生成式AI商品刊登功能Smart List AI。</a>商家最少只需上傳單張照片，此功能即可自動生成各類商品資訊，如商品標題、描述、建議售價與分類等，並引導賣家逐步完成刊登流程。初步測試結果顯示，商家平均刊登時間縮短48%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/poshwr.png" style="height: 450px;" /></p> <p>Poshmark與eBay類似，會販售全新及二手商品。這意味著有大量第三方賣家、許多非規格化商品，以及完整度不一的商品敘述。去年，eBay就推出了生成式AI上架輔助工具。如今，規模較小的Poshmark也跟上巨頭腳步，用GAI工具來降低第三方中小型賣家上架商品的門檻，並提升站上商品描述品質。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p><a href="https://newsroom.transunion.com/att-and-transunion-launch-the-industrys-first-in-network-branded-call-display-with-logos/">環聯信貸報告和AT&amp;T合作推出可以顯示致電品牌與致電原因的安卓手機功能，有望降低外送和客服等陌生來電被掛斷的情況</a></p> <p><a href="https://www.nikkei.com/article/DGXZQOUC180ZI0Y5A110C2000000/">日本7-Eleven開始淘汰門市內大型電腦，改用行動裝置進行門店管理、查看銷售數據及訂貨</a></p> <p><a href="https://www.nvidia.com/en-us/ai-data-science/ai-workflows/retail-shopping-advisor/">NVIDIA推出零售業AI Blueprint服務，提供開發GAI購物助手的流程模板及相關IT支援</a></p> <p><a href="https://www.wsj.com/articles/how-tech-helped-levis-ride-the-baggy-jeans-trend-f290721d">Levi’s如何整合跨國跨通路顧客數據，來協助產品開發決策</a></p> <p>資料來源：iThome整理，2025年2月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Wayfair、Poshmark、Hologram Media Network</p> <p><!-- notionvc: 56565a71-440a-4b2d-80dd-2e5993772a97 --></p> </div></div></div>

法國龍頭博物館遭網路攻擊

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當奧運在法國舉行之際，法國博物館法國巴黎大皇宮（Grand Palais Rmn）及羅浮宮於上周疑似遭到勒索軟體攻擊。</p> <p>大皇宮建物是法國古蹟、博物館，也是多家博物館及文化活動的管理單位。在今年奧運中，大皇宮也作為擊劍和跆拳道等競賽項目的場館。</p> <p>媒體<a href="https://www.leparisien.fr/high-tech/cybersecurite-le-grand-palais-et-plusieurs-musees-dont-le-louvre-victimes-dune-attaque-par-rancongiciel-05-08-2024-LYA4YVRAW5CQHPVRHSC3LAGPHM.php" target="_blank">Le Parisien</a>引述消息報導，法國巴黎大皇宮（Grand Palais Rmn）在8月3到4日之間遭到勒索軟體攻擊。報導指出，數個相關機構的財務資料系統遭到鎖定，資料已經被竊取，歹徒意在勒索贖金，此外，攻擊也波及了羅浮宮。</p> <p>消息遭官方否認。羅浮宮幕僚長<a href="https://x.com/matthiasgrolier/status/1820721589106725088" target="_blank">Matthias Grolier聲稱</a>羅浮宮沒有遭到任何勒索軟體攻擊。</p> <p><a href="https://presse.rmngp.fr/le-grandpalaisrmn-vise-par-une-cyberattaque/" target="_blank">大皇宮證實</a>在8月3、4日間遭網路攻擊。該單位說其技術團隊全力動員以緩解事件，而且聯絡法國相關單位分析情況，與回復網路運作。大皇宮雖然已通報法國主管機關，但有別於報導，該機構聲稱，唯一受影響的是36家書店和精品店，其網路和大皇宮網路是分開，IT單位很快就切斷網路以防止災害蔓延，因此他們沒有偵測到資料外洩，攻擊事件也未影響到業務運作，包括奧運賽事進行，而書店和精品店在網路中斷期間仍能向大眾開放。</p> <p>不過歷屆奧運等主要賽事向來是網路攻擊的焦點。資安專家警告，剩下的賽事包括帕奧期間，主辦單位或民眾仍然可能面臨各種網路威脅，包括假售票網站、社交工程攻擊、釣魚信件攻擊等。</p> </div></div></div>

Computex：微軟Copilot+PC筆電首次在臺亮相，各種AI PC應用開放體驗

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟甫於5月下旬發表Copilot+PC，推動新一波AI PC浪潮，本周舉行的Computex，本土兩大品牌宏碁、華碩紛紛展示Copilot+PC，現場並展示AI PC應用，包括以文字生成圖像、以圖生圖、即時翻譯字幕等等。 </p> <p>微軟提出的Copilot+PC，係內建40多個AI小模型，為新一代的AI筆電增添更多智慧化功能，為了滿足AI運算需求，Copilot+PC需具備NPU神經處理單元，以優化內建的AI功能，依微軟定義，NPU需具備40TOPS以上的算力，並且配備至少16GB記憶體及256GB SSD。此外，這些筆電還必需具有較長的電池續航時間，但並沒有規範多長的續航力。 </p> <p>微軟Copilot+PC首個合作夥伴為高通，搭載Snadragon X系列行動平臺，NPU算力最高達到45TOPS，滿足微軟Copilot+PC對NPU的要求，包括華碩、宏碁、Dell、HP、聯想將推出產品，預計6月18日陸續上市。</p> <p><span style="color:#B22222;"><strong>華碩、宏碁展示首批高通Copilot+PC產品 </strong></span></p> <p>宏碁與華碩身為本地業者，且在全球PC市場佔有一席之地，在今年Computex展示首波微軟Copilot+PC筆電。華碩即展示Vivobook及ProArt系列筆電，其中ProArt系列為創作者使用的筆電，現場展示採用高通Snapdragon X系列行動平臺的PZ13，這款筆電支援手寫筆進行創作，使用者可在螢幕上手繪，搭配Copilot+PC的AI功能Cocreator，用戶只要用手寫筆在螢幕上畫一個粗略的外形輪廓，並以文字描述概念，再選擇畫風，電腦就會自動生成圖像。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5789-600.jpg" style="width: 600px; height: 399px;" /></p> <p>例如使用手寫筆簡單地畫一顆樹，並且輸入Treehouse的文字描述，選擇畫風後，螢幕的右上方就會生成一個樹屋的圖像，不過，從生成的圖像來看，僅有樹屋而沒有背景，圖像畫面較為單調，現場工作人員表示，如果要更多的背景，可以手寫筆添加更多細節，或是在文字敘述上以一段話描述想要創作的景物，來為自動生成的圖像增加更豐富的內容。 </p> <p>除了Cocreator，另一個生成式AI應用MuseTree，可以圖生圖，即使不具有繪圖天分的一般人，只要使用手寫筆或滑鼠描繪一顆樹及房子，選擇畫風，例如童畫風格，電腦會自動運算處理，生成樹屋的4張圖像，讓使用者選擇最接近你想要的創作內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5791-600.jpg" style="width: 600px; height: 399px;" /> </p> <p>現場人員表示，MuseTree的底層採用Stable Diffusion，可以根據使用者簡略的畫圖，自動生成4種圖像，每張圖約需要5秒，因此需要數十秒的時間，就會生成4張圖像，讓使用者自行選擇。此外，這些產生的圖像不只有樹屋，還帶有背景，例如陸地、海底，或是天馬行空的奇幻場景。 </p> <p>另一款搭載高通Snapdragon X行動平臺的Copilot+PC為Vovobook筆電S15，相較於以內容創作為主的ProArt，Vovobook訴求一般的筆電使用者，目前已在國內電商平臺上架，定價約4.9萬元。現場展示YouTube影音，將影片內容的韓文發音同步翻譯成英文字幕，這項功能為Copilot+PC的AI功能即時字幕(Live Caption)，能夠將YouTube的影音內容、線上會議，甚至是筆電發出的音訊，將中、法、俄等40多種語言翻譯為英文字幕。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5801-600.jpg" style="width: 600px; height: 399px;" /></p> <p>另一家PC大廠宏碁，在今年Computex攤位上特別闢了一個Copilot+PC專區，展示旗下搭載高通Snapdragon X Elite行動平臺的Swift AI筆電，強調NPU算力達到45TOPS，微軟Copilot+PC的AI應用體驗，還有高通平臺較長的電池續航力，長達26小時的電池續航力。</p> <p>不少參觀者在宏碁展示的Copilot+PC專區體驗AI PC的功能，其中Copilot+PC機種Swift 14，展示自然語言的對話方式，要求AI搜尋提供相關的資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/aisearch.jpg" style="width: 600px; height: 390px;" /></p> <p><span style="color:#B22222;"><strong>其他AI PC也同臺亮相</strong></span></p> <p>除了微軟與高通合作首波Copilot+PC筆電成為Computex展出焦點，吸引不少人體驗之外。英特爾去年推動的AI PC，根據英特爾統計，目前全球約有超過800萬臺AI PC，此次Computex中不同規格、機型設計的AI PC也成為展示的重點之一。</p> <p>而且，英特爾與AMD兩家X86處理器大廠不約而同，在今年Computex發表新一代的行動處理器。英特爾發表Core Ultra筆電中代號LunarLake行動處理器，整合CPU、GPU及NPU，其中NPU較前一代大幅提升算力至48TOPS，使其NPU算力達到微軟Copilot+PC的要求；至於AMD則是發表第3代的Ryzen AI（Strix Point），NPU一舉提升至50TOPS，同樣提升旗下產品的AI PC戰力。英特爾、AMD最新一代行動處理器，其NPU算力達到Copilot+PC的NPU算力門檻，代表未來上市的新筆電將可支援微軟Copilot+PC，但需要等待微軟釋出更新。</p> <p>華碩就在攤位展示ProArt創作者筆電，其中一款機型搭載AMD Ryzen AI300系列行動處理器及Nvidia Geforce RTX4070的ProArt P16，這款16吋大螢幕的創作者筆電，內建華碩獨家AI App，包括Story Cube及MuseTree。</p> <p>由於AMD Ryzen AI300系列處理器內整合NPU具備50TOPS，符合微軟Copilot+PC的要求，因此這款筆電目前雖然還不是微軟合作的Copilot+PC產品，但之後可支援微軟Copilot+PC，因此現場產品說明牌上也說明支援Copilot+PC。但是據現場人員說明，AMD Ryzen AI300處理器可能在7月推出，微軟之後可能釋出該平臺的Copilot+PC，讓用戶更新OS，使用微軟內建的AI應用。</p> <p>至於英特爾在Computex期間正式發表LunarLake行動處理器，整合CPU、GPU及NPU，其中NPU算力提高至48TOPS，也符合微軟Copilot+PC對NPU算力的要求，但是據了解，LunarLake可能要等到第三季或第四季才會推出，且微軟對LunarLake平臺的Copilot+PC更新可能要到年底才會釋出，因此暫時不會太快在市場上看到英特爾平臺的Copilot+PC。另外，在Computex展示的LunarLake筆電多為靜態展示，為避免參觀者實機操作，以透明壓克力保護LunarLake平臺筆電。</p> <p>Computex上展示多款AI PC，部分機型主要搭載獨立顯示卡，例如Nvidia Geforce RTX系列，強調平臺的AI總合算力達到100至300多TOPS，大部分的AI算力來自高階的獨立顯示卡，可在筆電上執行一些較吃重的AI模型應用，另一部分機型額外搭載NPU，以應付AI工作負載。</p> </div></div></div>

微軟開源MS-DOS 4.00程式碼

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周將誕生超過40年的MS-DOS作業系統4.00版原始碼以開源專案釋出，供學術或技術研究使用。</p> <p>上周微軟將MS-DOS v.400程式碼<a href="https://github.com/microsoft/MS-DOS" target="_blank">公開於GitHub上</a>。GitHub儲存庫除了原始OS原始碼以外，還包含MS-DOS v1.25及v2.0版。後面兩個版本在2014年3月<a href="http://www.computerhistory.org/atchm/microsoft-ms-dos-early-source-code/" target="_blank">已經分享給</a>美國電腦歷史博物館，但整合在GitHub更容易為一般用戶發現、和外部程式參照，以及供有興趣探索PC早期OS人士研究與實驗用。</p> <p>MS-DOS（Microsoft Disk Operating System）是微軟開發的一種DOS系統，於1981年問世。起初MS-DOS是微軟和IBM合作為IBM PC開發，後來IBM和微軟的DOS作業系統各自發展並日益分歧，微軟的DOS系統就命名為MS-DOS（IBM的版本則命名為IBM PC DOS）。MS-DOS是圖形化使用者介面（GUI）OS以前最普及的x86 PC作業系統，直到被微軟1995年推出的Windows 95取代。微軟在1994年推出最後一代MS-DOS 6.22，2000年終止支援。MS-DOS 4.00於1988年開發完成，但微軟實際出貨的是加了修補程式的MS-DOS 4.01。</p> <p class="rtecenter"><a href="https://computerhistory.org/blog/microsoft-ms-dos-early-source-code/?key=microsoft-ms-dos-early-source-code" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429_The%20original%20IBM%20PC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FComputer%20History%20Museum.png" style="width: 278px;" /></a></p> <p class="rtecenter"><a href="https://computerhistory.org/blog/microsoft-ms-dos-early-source-code/?key=microsoft-ms-dos-early-source-code" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429_MS-DOS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FComputer%20History%20Museum.png" style="width: 600px;" /></a></p> <p><a href="https://computerhistory.org/blog/microsoft-ms-dos-early-source-code/?key=microsoft-ms-dos-early-source-code" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Computer History Museum</span></span></a></p> <p>MS-DOS所有檔案將以MIT授權分享。</p> <p>不過<a href="https://arstechnica.com/gadgets/2024/04/microsoft-and-ibm-release-source-code-for-one-of-the-weirdest-versions-of-ms-dos/" target="_blank">《Ars Technica》</a>形容MS-DOS 4.00是一個有些缺憾的開發成果，理由之一是MS-DOS並不支援多工；今天市場PC已不復見的OS/2已經具備多工能力，但微軟卻從未為MS-DOS加入多工支援。此外，MS-DOS較占記憶體。《Ars Technica》指出，4.00版RAM耗用記憶體92KB。從今天來看似乎不算什麼，但在記憶體昂貴的當年，這點頗令人介意。相較之下，IBM的PC DOS 2000僅耗用RAM 64KB。</p> <p>MS-DOS 4.00外，微軟參與開發的早期OS/2版本OS/2 2.0，也在今年3月被科技愛好者<a href="https://archive.org/details/msos-2-2.0-pr-2_5_14" target="_blank">上傳到網路上</a>。</p> </div></div></div>

【資安日報】1月3日，日本遊戲開發商因母公司Google Drive配置錯誤導致近百萬人的個資曝險

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月電玩產業發生多起資料外洩事故，例如：Sony旗下的<a href="https://www.ithome.com.tw/news/160484#insomniac">遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊</a>，<a href="https://www.ithome.com.tw/news/160546">Ubisoft面臨網路威脅滲透至內部的問題</a>，以及<a href="https://www.ithome.com.tw/news/160564#gta5">RockStar Games在2022年遭駭的部分資料被公開</a>。而上述資安事故，都是因為駭客入侵所致。</p> <p>而去年底還有一起資安事故因公布受影響的範圍而受到關注，主角是一家遊戲公司，原因是他們存放於雲端服務Google Drive的部分資料被設置為公開，而有可能讓客戶、合作夥伴、員工的個資曝光。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/android-game-devs-google-drive-misconfig-highlights-cloud-security-risks/"><strong style="font-size: 22px;">日本遊戲開發商Ateam Entertainment母公司公告近百萬人個資曝險長達6年，起因是Google Drive配置錯誤</strong></a></p> <!-- notionvc: 11fe01e8-4b1f-4cd9-bff7-87053156b739 --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/20231222_news_en_01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20231222_news_en_01.jpg" style="width: 300px; float: right;" /></a>12月7日日本應用程式開發商Ateam發布公告，表示他們於11月21日發現，採用的的雲端硬碟Google Drive當中，有部分檔案的權限設置為公開，只要知道連結的任何人都能存取，導致檔案儲存的個資可能因此曝光，該公司隔日限縮這些檔案的存取權限，他們也向日本個人資訊保護委員會（PIPC）通報此事。</p> <p>而上述曝露於網際網路的檔案，該公司當時透露約有4千個，總共包含有96萬筆個資記錄。到了22日，該公司公布更完整的影響範圍，並指出他們的客戶、業務夥伴、求職者、員工都可能曝險，確定含有個資的檔案數量為1,369個，總計有935,779人受害，大部分為該公司客戶，曝露的資料可能有姓名、電子郵件信箱、電話號碼、客戶編號、設備識別碼。</p> <p>值得留意的是，該公司旗下的Ateam Entertainment、Ateam LifeDesign、Ateam Wellness、Ateam CommerceTech子公司也受到影響，比例最高的是電玩遊戲開發商Ateam Entertainment的客戶，有736,081人。這些資料最早被公開在網路上的時間是在2017年3月，目前尚未發現遭到未經授權存取的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.a-tm.co.jp/en/news/43909/">https://www.a-tm.co.jp/en/news/43909/</a><br /> 2. <a href="https://www.a-tm.co.jp/en/news/44383/">https://www.a-tm.co.jp/en/news/44383/</a></p> <p><a href="https://www.theguardian.com/business/2023/dec/31/cyber-hackers-target-uk-nuclear-waste-company-rwm"><strong style="font-size: 22px;">英國核廢料服務業者遭遇網釣攻擊，駭客透過LinkedIn對其出手</strong></a></p> <!-- notionvc: 2754c71b-9e2f-4ac1-8569-8574e656dea2 --><p></p> <p>根據衛報的報導，英國放射性廢棄物管理公司（Radioactive Waste Management，RWM）遭遇網路攻擊，駭客企圖透過職場社群網站LinkedIn發動攻擊，但沒有成功，至於駭客使用何種手法侵入也不得而知。</p> <p>根據RWM交給當地公司註冊機構（Companies House）的會計資料，Nuclear Waste Services執行長Corhyn Parr提及，他們察覺部分實體遭到特定管道的攻擊，導致所有權被竄改，而這些管道大多是經由LinkedIn，所幸這起去年發生的資安事故並未造成實際影響。</p> <p><strong style="font-size: 22px;">勒索軟體駭客組織NoName針對芬蘭、立陶宛發動DDoS攻擊</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/noname-cyberattacks-on-finland-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/noname-cyberattacks-on-finland-1.png" style="width: 300px; float: right;" /></a>俄羅斯駭客組織NoName（亦稱NoName057(16)）在烏克蘭戰爭開打後，從2022年8月不斷對歐美國家發動DDoS攻擊，最近傳出針對芬蘭、立陶宛下手的情況。</p> <p>根據資安新聞網站Cyber Express的報導，這些駭客針對多個芬蘭政府機關發動一系列網路攻擊，導致部分網站暫時無法存取，這些機構包含了芬蘭運輸與通訊管理局（Traficom）、國家網路安全中心 （NCSC-FI）、鐵路局、芬蘭交通法規暨開發暨基礎設施局、芬蘭運輸基礎設施局。該新聞網站指出，駭客這次鎖定的目標多與交通運輸有關，目的很有可能是要干擾當地民眾生活。</p> <p>這些駭客近期也聲稱對8個立陶宛組織發動攻擊，目標涵蓋國防、交通物流、電信業者、網際網路供應商，理由是該國協助烏克蘭維修坦克。不過，這些遭到鎖定的目標網站仍正常運作，這些組織也並未證實是否遭遇相關攻擊。</p> <p>資料來源</p> <p>1. <a href="https://thecyberexpress.com/noname-cyberattacks-on-finland/">https://thecyberexpress.com/noname-cyberattacks-on-finland/</a><br /> 2. <a href="https://thecyberexpress.com/ddos-attacks-on-lithuanian-websites/">https://thecyberexpress.com/ddos-attacks-on-lithuanian-websites/</a></p> <p><a href="https://thecyberexpress.com/zeppelin2-ransomware/"><strong style="font-size: 22px;">勒索軟體Zeppelin2遭到破解，駭客在地下論壇散布原始碼、建置工具</strong></a></p> <!-- notionvc: 8af5a6ee-36f7-4db0-9418-890c790a600c --><p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCvoA8UaQAAvZlm.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCvoA8UaQAAvZlm.jpg" style="width: 300px; float: right;" /></a>曾在2019年至2022年6月橫行的勒索軟體Zeppelin2，開發者原本以租用服務（Ransomware-as-a-Service）提供給賣家運用，如今有人將其破解，有可能讓駭客大肆採用。</p> <p>根據資安新聞網站Cyber Express的報導，有人聲稱破解了勒索軟體Zeppelin2，兜售其原始碼及破解版的建置工具。這名開發者提供原始碼的螢幕截圖，並透露此勒索軟體是採用Delphi開發而成。此賣家提供的建置工具擁有多種功能，包含檔案配置、勒索訊息、IP位址事件記錄、啟動勒索軟體的命令、終止處理程序工具等。</p> <p>而對於這款勒索軟體的來歷，美國聯邦調查局（FBI）及網路安全暨基礎設施安全局（CISA）於2022年8月提出警告，駭客很可能透過遠端桌面連線（RDP）、SonicWall防火牆漏洞、網路釣魚等手法，入侵受害組織網路，在掌握組織內部網路環境狀態後部署Zeppelin2。</p> <p><a href="https://www.resecurity.com/blog/article/new-version-of-medusa-stealer-released-in-dark-web"><strong style="font-size: 22px;">竊資軟體Meduza攻擊範圍廣泛，能挖掘超過一百種瀏覽器與加密貨幣錢包資料</strong></a></p> <p>資安業者Resecurity在聖誕節前夕看到駭客在地下社群、Telegram頻道來宣傳2.2版竊資軟體Meduza，號稱能對更多應用程式下手，並強化信用卡資料抓取工具與挖掘帳密資料的能力。該竊資軟體可針對的應用程式琳琅滿目，涵蓋106款瀏覽器、107種加密貨幣錢包、27種密碼管理器，以及即時通訊軟體Telegram、Discord，還有遊戲平臺Steam、VPN用戶端軟體、收信軟體Outlook，都可以從中竊取用戶資料，此外駭客也標榜能盜取特定Token來挾持Google帳號。</p> <p>此外，駭客這次也提供額外的擴充功能，像是進階的防毒軟體迴避功能，以及加密受害電腦檔案的能力，而這些額外的功能，是由另一個地下加密服務業者TrueCrypt Service提供。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.courtlistener.com/docket/17216783/1090/brown-v-google-llc/"><strong><span style="font-size: 20px;">Google在瀏覽器無痕模式追蹤使用者，提出以50億美元尋求和解</span></strong></a></p> <!-- notionvc: 094815ba-db40-4fff-8592-fb8ba893e234 --><p></p> <p><a href="https://www.bleepingcomputer.com/news/security/online-museum-collections-down-after-cyberattack-on-service-provider/"><strong><span style="font-size: 20px;">網路博物館系統供應商Gallery Systems遭勒索軟體攻擊，為防堵受害範圍擴大暫停部分服務</span></strong></a></p> <!-- notionvc: e2974bad-ef2a-4df6-a710-ba7ba0d6b23f --><p></p> <p><a href="http://courts.vic.gov.au/news/court-services-victoria-cyber-incident"><strong><span style="font-size: 20px;">澳洲法院傳出遭駭客入侵，聽證會錄音恐外流</span></strong></a></p> <p><a href="https://thehackernews.com/2023/12/new-rugmi-malware-loader-surges-with.html"><strong><span style="font-size: 20px;">惡意程式載入工具Rugmi每天感染數百臺電腦</span></strong></a></p> <!-- notionvc: e043cf23-605e-4501-bde2-516807be1338 --><p></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-black-basta-decryptor-exploits-ransomware-flaw-to-recover-files/"><strong><span style="font-size: 20px;">研究人員找到能復原遭勒索軟體Black Basta破壞的檔案的方法</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160635"><strong>【1月2日】 竊資軟體濫用Google未公開的OAuth同步機制挾持用戶帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160616"><strong>【12月29日】 Booking.com合作旅館、房客面臨網釣攻擊且外洩個資出現轉交其他團體兜售現象</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160596"><strong>【12月28日】 別以為使用SSH連線就會比較安全！採用容易猜到的帳密有可能將Linux伺服器拱手送給駭客</strong></a></p> </div></div></div>

零售IT雙周報第26期：土耳其鐘錶珠寶店Konyalı Saat導入AI店面影像分析系統，強化保全、人力調度及店內行銷

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1210~1223)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI影像辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內營運優化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內行銷分析</span></span><br /> 土耳其連鎖鐘錶珠寶店導入AI店面影像分析系統，不只強化保全，還能輔助人力調度及店內行銷</strong></p> <p>土耳其老牌連鎖鐘錶珠寶店Konyalı Saat於全部40家店面<a href="https://www.idisglobal.com/index/latest_view/2970">導入AI店面影像分析系統</a>，不只能用於強化保全，還能輔助門市管理及店內行銷。</p> <p>此分析系統用解析度1080p以上鏡頭捕捉店內影像，並與Konyalı Saat的POS和ERP系統串接，能將商品內容及即時結帳資訊納入分析。除了根據影像內容來分析人流及可疑行為，還能於結帳畫面中同步標註POS端登記的結帳金額，以利管理人員事後觀察是否有可疑交易。不只如此，此系統可以追蹤線下商品行銷轉換率以及分析店內人力調度效率，來輔助店長及行銷人員決策。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生物特徵辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#科技歧視</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#科技法規</span></span></strong></p> <p><strong>美國連鎖藥局Rite Aid使用面部辨識科技涉嫌歧視及騷擾顧客，遭當局禁用生物辨識科技5年</strong></p> <p>日前<a href="https://www.ftc.gov/news-events/news/press-releases/2023/12/rite-aid-banned-using-ai-facial-recognition-after-ftc-says-retailer-deployed-technology-without?">美國聯邦貿易委員會（FTC）宣布</a>，禁止美國老牌連鎖藥局Rite Aid 5年內使用AI面部辨識科技。根據FTC公告，禁止原因是，Rite Aid過往應用面部辨識科技於保全系統時，不僅刻意對顧客隱瞞他們有使用生物辨識科技來監控，還在誤判情況下縱容店員騷擾、跟蹤及指控顧客。不只如此，這個面部辨識系統對有色人種的誤報率更高，而Rite Aid沒有有效處理科技歧視問題。Rite Aid則發布聲明否認這些指控，但表示尊重FTC決定。</p> <p>FTC表示，這是他們第一次因為生物辨識科技使用不當而祭出處分，並重申會積極管制企業利用生物特徵辨識來進行監控的應用情況是否合規。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#外部通路</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#傳產轉型</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#會員經營</span></span><br /> 中華海洋生技串接資訊流出奇招，不靠通路也要經營第一方會員數據</strong></p> <p>生技傳產中華海洋生技近年開始<a href="https://www.ithome.com.tw/people/160495">布局第一方會員及銷售數據經營</a>。他們面臨的問題是，9成營收來自數量多、組成複雜的外部通路，難以串接通路IT系統來蒐集數據。</p> <p>不過，他們沒有選擇開始大幅建設直營通路，而是採取MGM模式（Member get member，舊客帶新客），甚至反過來，經由消費者來串聯起外部通路之間的資訊流，以擬定進一步數位行銷做法、並強化營運決策。</p> <p>為了執行這個策略，他們將會員溝通介面、ERP、公益禮券、POS、EC、CRM、以及會員資料後臺都現代化，並打通內部系統間數據流。接著，他們開始準備外部資訊流串聯。明年開始，他們計畫於商品包裝貼上RFID標籤，來追蹤貨號。從工廠出貨前，利用感應器快速登記每批貨號分別送達哪個外部通路。</p> <p>另一方面，他們透過集點等誘因，鼓勵會員在外部通路購入商品後，登記消費紀錄到會員系統。這樣一來，中華海洋生技不用與外部通路的IT系統串聯，也可以連結起商品銷售通路、購買時間、會員身分等資訊，整理出商品於全臺不同通路的銷售情況及會員輪廓。</p> <p><font color="#ffffff"><span style="background-color: rgb(0, 153, 255);"><b>#個人化推薦</b></span></font> <font color="#ffffff"><span style="background-color: rgb(0, 153, 255);"><b>#非規格商品貼標</b></span></font> <font color="#ffffff"><span style="background-color: rgb(0, 153, 255);"><b>#RMN</b></span></font><br /> <strong>Pinkoi用AI強化個人化推薦、RMN投廣及多種電商經營輔助功能</strong></p> <p>設計類垂直電商Pinkoi日前發表自建AI模型「生活風格智慧模型」。這個模型由625萬會員的72億筆行為數據、5.2萬設計品牌數據，以及110萬商品數據等資料訓練而成，具備自然語言處理、電腦視覺及預測推薦功能。</p> <p>Pinkoi會用此模型來為站上商品及消費者來自動貼標。利用電腦視覺功能，此模型會分析商品外觀，再用NLP功能生成多語言、多維度的標籤。Pinkoi技術長李讓表示，至少有8成商品標籤都是由AI自動生成。替消費者貼標時，則會綜合商品貼標、消費者站上行為及消費輪廓類似的KOC（Key Opinion Consumer，關鍵意見消費者）購物行為，來推論出長期「購物人格」和短期「即時動機」2大類標籤。此模型接著會綜合商品和消費者標籤，來推薦消費者於商城及RMN廣告所見商品。</p> <p>此模型推薦功能還會應用於RMN投廣參數建議。當品牌主要投放廣告時，只要設定行銷預算及促銷商品，系統便會根據品牌過往數據及相似品牌數據，自動設定廣告出價、行銷受眾、廣告成效指標等參數。</p> <p>Pinkoi還用此模型來打造品牌個人化版面服務，根據造訪消費者的屬性不同，替商家調整品牌商城元素，最多可以排列組合出上萬種商城版面。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧購物車</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#面部辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線下分眾行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI客服</span></span><br /> 群創用AI改造智能超市，導入智慧購物車、即時分群廣告推播及互動式酒促客服體驗</strong></p> <p><a href="https://www.ithome.com.tw/news/160211">群創光電用自家顯示技術及AI技術來改造全家便利商店東森一號店</a>。第一項科技是智慧購物車。此購物車搭載鏡頭及重量感測器，透過AI影像辨識及秤重來判斷消費者放進購物車的商品品項及數量。商品規格等參數由由群創自行開發的CMS來管理，並串接到全家ERP。當購物車發現視覺辨識與重量感測到的商品內容有出入等異常時，會鎖定購物車並通知店員。</p> <p>第二項是用人臉辨識來判斷廣告投放內容的推播螢幕。推播後臺會根據消費者分群、門市地域、當下促銷活動等因素，1秒內完成辨識及廣告推播。為了AI歧視及隱私侵犯疑慮，目前此系統只會推播食品類商品等較不易產生歧視的廣告，也只會紀錄去識別化消費者特徵值。這些特徵值每7天會由地端電腦拋轉到雲端，進行紀錄與進一步分析，以優化行銷策略。</p> <p>另一個AI店內行銷科技是串接了ChatGPT的互動式酒促客服。安裝在酒架上的互動式螢幕會引導消費者順著行銷腳本來認識不同酒類。消費者還可以用語音輸入的方式指定飲酒情境，要求酒促客服推薦適合酒類。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fmmh.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://seekingalpha.com/article/4655062-five-below-inc-five-q3-2023-earnings-call-transcript">有約1,000家供應商的美國五元店Five Below將用科技強化庫存需求預測、補貨以及追蹤商品在供應鏈中的動態</a></p> <p>2. 圖像社群媒體Pinterest開始用AI分辨女性服飾商品適合的尺寸，並於商品搜尋功能中加入尺寸分類</p> <p>3. <a href="https://innovation.ebayinc.com/tech/product/new-social-caption-generator-uses-ai-to-help-sellers-post-more-easily/">eBay也推出生成式AI行銷文案生成工具，能根據產品圖片產生文案並根據商家提示調整內容</a></p> <p>4. <a href="https://www.dynamicyield.com/shopping-muse/">個人化推薦引擎巨頭Dynamic Yield也推出聊天機器人，根據圖文輸入及消費者過往數據來推薦商品。</a></p> <p>資料來源：iThome整理，2023年11月</p> <p>責任編輯：郭又華</p> </div></div></div>

Stability AI新模型採用對抗性擴散蒸餾技術，圖像生成更快品質更好

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI改進自家著名的文字轉圖像模型釋出<a href="https://stability.ai/news/stability-ai-sdxl-turbo">SDXL Turbo（Stable Diffusion XL Turbo）</a>，藉由應用創新的對抗性擴散蒸餾技術（Adversarial Diffusion Distillation，ADD），將需要的迭代步驟從50步減少到僅剩1步，單步驟就能生成高品質圖像。目前Stability AI將模型權重和程式碼公開在Hugging Face，供個人和非商業用途使用。</p> <p>SDXL Turbo模型最大特點，就是能夠單步合成影像輸出，並在即時文字轉影像輸出上保持高採樣傳真度。而之所以SDXL Turbo能夠有別於過去的模型，主要原因在於使用了一種稱為對抗性擴散蒸餾技術，官方論文提到，這個方法能夠只經過1到4步驟高效採樣，達到高品質輸出圖像。</p> <p>對抗性擴散蒸餾技術以現有的大型圖像擴散模型，作為教師訊號，並結合對抗性損失，確保即便在低步驟採樣中，也能維持高圖像傳真度。簡單來說，對抗性擴散蒸餾技術結合了蒸餾技術和對抗訓練，蒸餾技術可以精煉模型輸出，將大型模型知識濃縮到更小的模型中，而對抗性訓練則可以改進模型，以更好地模仿教師模型輸出。</p> <p>過去的蒸餾技術很難達到高效率又高品質，因為快速採樣通常會降低輸出品質，因此對抗性擴散蒸餾技術在高效生成高品質圖像方面，是一個重要的進步。</p> <p>官方評估SDXL Turbo的效能，將其與多個不同的模型變體進行，包括StyleGAN-T++、OpenMUSE、IF-XL、SDXL和LCM-XL。在這項評估中，人類評估者參與兩種實驗，第一個實驗是隨機查看兩個模型的輸出，並選擇出最符合提示詞的輸出圖像，第二項實驗則與第一項實驗執行方法相同，但人類評估者需選擇圖像品質較佳者。</p> <p>實驗結果顯示，SDXL Turbo在運算需求大幅降低的同時，仍可以保持良好的圖像品質，單步SDXL Turbo勝過4步配置的LCM-XL，並且4步配置SDXL Turbo就可擊敗50步配置的SDXL。SDXL Turbo的推理速度非常快，在A100 GPU上，計算512*512解析度的圖像，只需要207毫秒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/turbo_comparing.jpg" style="width: 580px;" /></p> </div></div></div>

AI趨勢周報第218期： 微軟發表130億參數模型Orca，表現比ChatGPT好

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0602～0606)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  Orca  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  生成式AI  </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟發表130億參數模型Orca，表現比ChatGPT還要好</strong></span></p> <p>微軟日前發表一款130億參數的語言模型Orca（虎鯨），還在一系列基準測試中贏過主流大型基礎模型，像是ChatGPT、Bard，以及其他同參數量的Vicuna-13B、Alpaca-13B和LLaMA-13B等模型。進一步來說，微軟想透過學習、模仿大型語言模型的推理過程，來提高小模型表現，於是，他們以GPT-4為標竿，讓Orca學習GPT-4的推理過程，包括解釋步驟、逐步（Step by step）思考模式和其他複雜指令，並由ChatGPT的老師模型來引導。</p> <p>測試時，團隊以GPT-4作為評分工具，來衡量Orca在嚴格的基準測試Big Bench Hard（BBH）中與其他SOTA模型的表現，發現比ChatGPT、Bard等要好，也在包含SAT、LSAT、GRE和GMAT等學術考試的AGIEval基準測試中，拿下不錯成績。<a href="https://arxiv.org/pdf/2306.02707.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-06-11%20at%2011_54_40%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  函式庫  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  Teams  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  Copilot  </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟推出AI函式庫，開發者可用來打造Teams AI應用程式</strong></span></p> <p>微軟不只在M 365生產力工具中加入Copilot擴充套件、用大型語言模型協助用戶處理語言任務，現在還進一步擴展大型語言模型的支援，推出Teams AI函式庫。Teams AI函式庫是一個開發工具，以GPT-4為基礎，能讓開發者在Teams平臺上打造具AI功能的Teams應用程式，也支援多種語言。Teams AI函式庫包括進階AI元件，如對話式AI、提示語管理和安全審查等功能，開發者可開發高度互動的應用程式。微軟指出，該函式庫的設計考慮了開發的簡單性和靈活性，所以開發者不需花大量時間，理解複雜的協定或是編寫自定義對話邏輯。<a href="https://devblogs.microsoft.com/microsoft365dev/build-your-own-apps-copilot-on-microsoft-teams-with-the-new-teams-ai-library/">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/HWTTm58jg9A?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Transformer  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  擴散模型  </span></strong></span></p> <p><span style="font-size:22px;"><strong>一句話</strong></span><strong style="font-size: 22px;">一張圖</strong><span style="font-size:22px;"><strong>就能準確生成新圖片，Google發表新文字生成圖片模型StyleDrop</strong></span></p> <p>Google最近發表一款圖片生成圖片的AI系統StyleDrop，以Google先前發表的同類模型Muse為基礎，可根據使用者給定的一張圖和文字提示，來生成同樣風格和紋理的圖片，表現比擴散模型（如Stable Diffusion、Imagen）還要好。</p> <p>進一步來說，有別於擴散模型，StyleDrop是一款基於離散Token的視覺Transformer模型。團隊在訓練模型時，採用了人工回饋和自動回饋方法，來提高產出品質，也就是說，團隊對StyleDrop輸入一張圖片後，模型會產出一組同樣風格的圖片，團隊手動挑選或用CLIP模型自動分類出品質最好的圖片，再用這些圖片來訓練模型。與此同時，團隊也利用Dreambooth模型來強化StyleDrop對物件圖片的生成表現，由前者學習物件、後者學習風格，再整合為生成結果。Google表示，StyleDrop的強項在於能捕捉圖片風格中的細微差異，像是色彩、陰影、圖案設計等，並能按照該風格生成圖片。他們評比發現，StyleDrop的風格轉換表現比Textual Inversion、Dreambooth、LoRAs和Imagen等主流模型還要好。<a href="https://styledrop.github.io/">（詳全文）</a></p> <p><img alt="" src="https://styledrop.github.io/images/styledrop_merge/05_0102.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Falcon  </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  LLM  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  SageMaker  </span></strong></span></p> <p><span style="font-size:22px;"><strong>阿拉伯聯合大公國打造400億參數LLM，霸榜OpenLLM排行榜</strong></span></p> <p>近日，阿拉伯聯合大公國科技創新研究所（TII）用AWS機器學習服務SageMaker打造出400億參數的語言模型Falcon-40B，在Hugging Face的OpenLLM排行榜上位居第一，贏過LLaMA、StableLM和RedPajama等模型，最近也開源了。</p> <p>Falcon-40B是因果解碼器，用將近5億個Token訓練而成。這些訓練資料來自網路公開文件，為提高訓練資料品質，團隊還自建資料處理工作流程，透過過濾和去重複化來挑出高品質資料。此外，團隊還採用了多重查詢注意力（Multiqery attention）機制和FlashAttention注意力機制，來提高模型效率。簡單來說，多重查詢注意力機制可讓模型對每個Token產生多個查詢，來更好表示同一序列中，不同token之間的關係；FlashAttention則能加速自我注意力的運算、降低複雜性，進而提高模型整體的運算效率。</p> <p>接著，團隊使用SageMaker服務和384顆GPU來進行2個月的訓練。經多個基準測試，表現比LLaMA、Vicuna和Alpaca好，目前開源的版本有Falcon-7B-Instruct和Falcon-40B-Instruct等。<a href="https://www.tii.ae/news/abu-dhabi-based-technology-innovation-institute-introduces-falcon-llm-foundational-large">（詳全文）</a></p> <p><img alt="" src="https://files-prod.tii.ae/inline-images/Graph-2%20Falcon%20LLM%20banner.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Google Cloud  </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Chatbot  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  資料搜尋  </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google雲推生成式AI新服務，企業可自建Chatbot搜尋內部資料</strong></span></p> <p>Google Cloud推出一項AI服務Enterprise Search on Gen App Builder，使用者可用來開發聊天機器人，來搜尋企業內部資料。進一步來說，這款服務特別之處，在與用生成式AI聊天機器人模式來搜尋資料，可克服傳統查詢方法的痛點，如出現大量模式匹配連結、相關答案需要人力檢查等。Enterprise Search on Gen App Builder可讓開發者打造特定資料源的搜尋引擎，提高搜尋準確性和相關性，且可處理多模態資料，像是圖片、影像，還能讓用戶控制答案輸出。</p> <p>Google也透露，美國醫療龍頭梅約醫學中心將採用Enterprise Search on Gen App Builder，來在幾分鐘內自建搜尋用的聊天機器人和語義搜尋應用程式，且幾乎不需要寫什麼程式，加速醫師及研究人員搜尋醫院內各種格式的文件，如病歷、研究論文、臨床指引和資料庫作為研究、診斷及治療之用。Google Cloud稱，這項服務已符合HIPAA標準。<a href="https://cloud.google.com/blog/products/ai-machine-learning/enterprise-search-on-gen-app-builder">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  微軟  </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  VS Code  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  C#  </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出全新C#開發工具包，新添AI開發功能</strong></span></p> <p>微軟推出VS Code新C#開發工具包，可在Linux、macOS和Windows等作業系統上，提供更高效可靠的工具環境。C#開發工具包由一組VS Code擴充套件組成，這組擴充套件提供完整的C#編輯、AI開發、解決方案管理和整合測試功能。</p> <p>在安裝C#開發工具包時，系統會自動安裝IntelliCode for C# Dev Kit，這個新IntelliCode比原本C#擴充套件中的IntelliCode還要好，而且，新添的AI功能還能依據開發者個人程式碼庫，提供整行程式碼完成以及星形標籤的建議，也會將最可能使用的內容，在C#專案的IntelliSense完成列表置頂。<a href="https://devblogs.microsoft.com/visualstudio/announcing-csharp-dev-kit-for-visual-studio-code/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Nvidia  </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  3D  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  Neuralangelo  </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia公布能將2D影片轉成3D的AI模型Neuralangelo</strong></span></p> <p>Nvidia最近發表可將2D影片片段轉為3D的AI模型Neuralangelo，而且細節豐富、紋理清楚，如建築、雕刻和其他真實物體，創作者可用來產生3D物件、匯入到設計應用，或是進一步編輯，應用於藝術、電玩開發、機器人或數位分身中。</p> <p>Neuralangelo使用即時神經繪圖原語來捕捉物體微妙的細節，能以不同角度拍攝的2D影片為素材，從中選擇多個不同角度的影格，一旦決定每個影格的相機位置後，就會產出初步的3D再現影像，並加入細節、使其成型，產出的3D物件可用於VR應用、機器人等領域。Nvidia研究院預定在6月18到22日舉行的電腦視覺盛會CVPR上發表這款模型，並在預定發布的影片中，展示模型如何重建米開朗基羅的著名雕刻《大衛》、平板拖車和建築物室內裝潢與室外設計。<a href="https://blogs.nvidia.com/blog/2023/06/01/neuralangelo-ai-research-3d-reconstruction/">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/PQMNCXR-WF8?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  OpenAI  </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  AI幻覺  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  過程監督  </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI新訓練方法可避免AI出現幻覺</strong></span></p> <p>OpenAI採用了一種稱為過程監督（Process Supervision）的訓練方法，來獎勵每個正確步驟的推理，讓模型能遵循人類認可的關聯思考（Chain-of-Thought），產生更可靠的結果。</p> <p>雖然近期大型語言模型的推理能力大幅度提高，但OpenAI指出，即便是最先進的模型，仍會產生邏輯錯誤，也就是幻覺（Hallucination），而解決幻覺是建置通用AI的關鍵。OpenAI先是評估2種監督方法，利用MATH測試集來衡量過程監督和結果監督，發現過程監督的效能比結果監督佳，而且當問題變得複雜，效能差距也會增加，整體來說，過程監督獎勵模型更加可靠。<a href="https://openai.com/research/improving-mathematical-reasoning-with-process-supervision">（詳全文）</a></p> <p>圖片來源／微軟、Google、TII、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  AI近期新聞 </span></strong></span></p> <p><strong>1. Google發表AI系統的安全性概念框架</strong></p> <p><strong>2. DeepMind AI模型不下圍棋了，新AlphaDev模型可加速資料中心運算效率</strong></p> <p><strong>3. Wordpress Jetpack AI助理可幫忙寫部落格</strong></p> <p>資料來源：iThome整理，2023年6月</p> </div></div></div>

AI趨勢周報第205期：語音版DALL-E！微軟文字轉語音AI給3秒樣本就能準確生成

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1230～0105)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  VALL-E  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  文字轉語音  </span></strong></span></p> <p><span style="font-size: 22px;"><strong>語音版DALL-E！微軟文字轉語音AI</strong></span><strong style="font-size: 22px;">給3秒樣本就能準確生成</strong></p> <p>微軟近日發表一套<a href="https://valle-demo.github.io/">文字轉語音模型VALL-E</a>，可根據文字輸入和3秒的語音樣本，來合成、產出目標語音，就像是OpenAI的文字轉圖片模型DALL-E一樣。微軟表示，他們用現成神經音檔編解碼模型中的離散碼，來訓練VALL-E這套神經編解碼器語言模型，把文字轉語音視為條件式語言建模任務，而不是像一般研究，視為連續性的訊號迴歸任務。</p> <p>在預訓練階段，團隊將文字轉語音的訓練資料，擴充到6萬小時的英語語音，是現有系統的幾百倍。VALL-E的工作流程是音素→離散碼→波形，先根據文字輸入和3秒語音提示（也就是想聽到的目標聲音），來產出與文字和目標聲音相應的離散音檔編解碼。</p> <p>微軟測試發現，VALL-E在語音自然度和相似度部分，表現比現有SOTA文字轉語音模型要好，而且還能保有語音提示的情緒與聲音環境。團隊指出，VALL-E可直接用於各種語音合成應用，如零樣本文字轉語音、語音編輯，以及搭配GPT-3等生成式AI模型，來生成更多內容。<a href="https://valle-demo.github.io/">（詳全文）</a></p> <p><img alt="" src="https://valle-demo.github.io/pics/Overview.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  大型模型  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  BigScience  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  PETALS  </span></strong></span></p> <p><span style="font-size: 22px;"><strong>在家也能跑千億參數模型！BigScience開源PETALS分散式AI專案</strong></span></p> <p>對語言模型來說，參數越多、模型表現越好，開發者也只需微調大型預訓練模型，就能得到不錯的預測結果。不過，BLOOM、PaLM、GPT等這類大型語言模型，即便開源，還是會耗費大量運算資源，雖然目前有2種方法來解決該問題，如RAM卸載和託管API，但前者對交互推論來說太慢，後者則不夠靈活。</p> <p>於是，由世界各地研究員組成的開源研究專案BigScience，日前開發一套系統PETALS，可在受信任的的條件下，集各使用者之力，來共同微調、推論千億參數的大模型。也就是說，每個使用者只需要載入一小部分的模型，就能和其他使用者一起協作，來共同執行模型推論和微調，就像是BT原理一樣。</p> <p>團隊測試發現，PETALS比在單一系統的RAM卸載方法，還要快上許多倍，在消費型GPU上推論1,760億參數的BLOOM模型，完成1個token所需時間近1秒。透過平行推論，每秒則能完成數百個token。而且，有別於大多數的推論API，PETALS還能顯示模型隱藏狀態，讓使用者可用有效的微調方法，來訓練、分享客製模型的外掛。不過，在PETALS初始階段，使用者可能因安全、隱私考量，協作進展可能較慢，因此BigScience推出BLOOM點數，來獎勵貢獻GPU資源的使用者。<a href="https://github.com/bigscience-workshop/petals">（詳全文）</a></p> <p><img alt="" src="https://camo.githubusercontent.com/58732a64488a9be928e25f3e60e3692b989ffe212ac86cb4902d8df20a042b03/68747470733a2f2f692e696d6775722e636f6d2f525459463379572e706e67" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  百度研究院  </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  大模型  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  產業化  </span></strong></span></p> <p><span style="font-size:22px;"><strong>百度研究院預測2023年：大模型將產業化</strong></span></p> <p>百度研究院日前發布科技趨勢預測，直言大型模型在2023年將產業化發展，用於更廣泛的產業中。百度研究院指出，現今的AI不斷朝跨任務、跨模態（資料類型）發展，且隨著底層大模型技術的成熟，以及為特定產業發展的AI基礎建設，這種產業型的大模型，已漸漸在航太、金融、能源等領域應用，形成「AI+產業」的發展結構。百度認為，大模型產業化將催生產業大模型生態，實現普惠AI。</p> <p>此外，百度研究院也預測，2023年的新型AI基礎設施需求將增長、更多產業講過應用AI機器人、AI將進入更多科學領域，以及隨著雲原生技術的成熟，將催生更多量子軟硬體合一的解決方案。此外，可解釋AI技術和科技永續發展，也在百度研究院預測的科技趨勢中。<a href="http://research.baidu.com/Blog/index-view?id=178">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  機器人訓練    </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  元宇宙  </span></strong></span></p> <p><span style="font-size:22px;"><strong>讓機器人更靈活！Nvidia更新模擬訓練平臺功能</strong></span></p> <p>Nvidia更新機器人模擬和訓練平臺Isaac Sim，使用者可從雲端存取Isaac Sim、使用新AI功能來加速機器人訓練了。Isaac Sim建立在元宇宙平臺Nvidia Omniverse上，使用者可在各種操作條件下模擬真實環境，建置和測試虛擬機器人，來加速物流、製造和零售等產業的自動化應用。</p> <p>Isaac Sim新功能有人物模擬功能，能在倉庫和製造設施中增添人物角色，還能讓人物執行不同動作，如推手推車。這個功能可讓開發者觀察，人機互動設計是否順暢，也能讓機器人學習避障和潛在意外。另一個新功能是即時呈現感測器資料，並能用光線追蹤技術模擬光達，在各種照明或反射材質條件下，獲得更準確的感測器資料，來讓機器人模擬更貼近真實世界環境。Isaac Sim其他更新還包括模擬3D物件庫、強化學習工具Isaac Gym，以及協作機器人程式開發工具Isaac Cortex等。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/lcee9ntkOjk?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  OpenAI  </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Bing  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  ChatGPT  </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟計畫用ChatGPT強化Bing搜尋功能</strong></span></p> <p>根據外媒The Information報導，微軟打算用ChatGPT來強化自家搜尋引擎Bing、提供新搜尋功能，預計在3月底推出。此外，微軟還可能用ChatGPT來分析用戶在研究的主題，好提供進一步的搜尋建議。</p> <p>微軟這一舉動，代表使用OpenAI技術的微軟產品數量持續增加。微軟在2019年10月與OpenAI展開合作，投資10億美元來發展通用AI。2020年，微軟購買GPT-3獨家授權，在自家產品中整合GPT-3。2021年，微軟就在Power Apps中嵌入GPT-3，使缺乏程式開發知識的人，也能利用自然語言開發程式。去年，微軟整合OpenAI DALL-E 2，發布圖像設計應用程式，能根據文字提示生成影像。<a href="https://www.theinformation.com/articles/microsoft-and-openai-working-on-chatgpt-powered-bing-in-challenge-to-google">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  元宇宙  </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  自然語言  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  3D  </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia新添元宇宙平臺協作功能和自然語言搜尋服務</strong></span></p> <p>Nvidia更新元宇宙平臺Omniverse Enterprise，支援最新GPU技術強化效能和可用性，同時增添新功能，達到即時又精確的模擬品質。此外，Nvidia也更新Omniverse平臺核心，讓使用者快速連接工具、共享虛擬空間中協作。</p> <p>Omniverse Enterprise是個讓企業用來開發、營運元宇宙應用程式的平臺，新加入的Omniverse連接器，可連接不同3D應用程式，實現無縫工作流程，另也支援如Adobe Substance 3D Painter、Autodesk Alias等軟體。此外，Nvidia也正式推出AI服務Omniverse DeepSearch，使用者可用自然語言或2D參考圖，直覺搜尋大型且未標記的3D資料庫。在平臺核心更新部分，則在用來建置擴充應用程式和微服務的Omniverse Kit SDK中，加入新模板和開發者工作流程，簡化開發作業。<a href="https://blogs.nvidia.com/blog/2023/01/03/omniverse-enterprise-release/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  Google  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  文字轉圖像  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  Transformer  </span></strong></span></p> <p><span style="font-size: 22px;"><strong>速度更快、畫面更細緻！Google發表新文字轉圖像模型Muse</strong></span></p> <p>Google日前發表一款文字轉圖像模型Muse，以Transformer架構為基礎，號稱產出速度更快、生成畫面更細緻，比擴散模型和自迴歸模型的表現還要好。進一步來說，Muse是以遮罩任務訓練而成，也就是先在大型語言預訓練模型中抽出文字嵌入，再訓練Muse來預測隨機被遮住的圖片Token。</p> <p>與DALLE-2這類像素空間的模型相比，Muse因為用了離散token，只需少量採樣迭代，因此更有效率。與Parti這類自迴歸模型相比，Muse因為用了平行解碼，因此也更有效率。Google表示，由於採用預訓練大型語言模型，Muse的語言理解能力，以至於從文字轉換為高保真圖片的能力都更細緻，而且對視覺概念的理解力也更強。</p> <p>團隊也進行測試，9億參數版本的Muse經CC3M資料集測試，達SOTA水準，且用來測量生成圖片和真實圖片相似度的FID分數，達6.06分（越低越相近）。而30億參數版本的Muse，在零樣本COCO資料集測試評估中，得到7.88的FID分數。此外，Muse不必微調模型，就能直接用於圖片編輯應用程式，像是圖片修復、圖片外擴/腦補、編輯等。<a href="https://muse-model.github.io/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/muse.png" /></p> <p>圖片來源／微軟、BigScience、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  AI近期新聞 </span></strong></span></p> <p><strong>1. Apple Books新添AI語音功能，電子書可轉為有聲讀物了</strong></p> <p><strong>2. 前特斯拉AI長Andrej Karpathy開源nanoGPT可優化GPT模型開發</strong></p> <p>資料來源：iThome整理，2023年1月</p> </div></div></div>

那些推動金融科技的先驅

<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-1p-dian_fu_hua_er_jie_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">大牌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊克朗．馬格登－伊斯梅爾（Iqram Magdon-Ismail）與安德魯．科蒂納（Andrew Kortina）是大一在賓州大學相識的，升上大四後，他們合作開發了一個小事業：大學的分類廣告網站，名為「吾校郵報」（My Campus Post）。</p> <p>吾校郵報從未蓬勃發展，卻是很好的學習機會。最重要的是，那次經驗讓他們知道，兩人想繼續合作下去。畢業後，他們搬到紐約，開始當程式設計師，從一家新創企業跳槽到另一家，並在過程中累積經驗。後來，費城一家公司招募馬格登－伊斯梅爾去擔任工程副總裁，他接受了那份工作，但他又不想終止與科蒂納的合作。最近他們剛把焦點轉向某個真正有潛力的大創新，他們稱之為Venmo。</p> <p>Venmo是一款音樂app。他們是在一場爵士音樂會上萌生這樣的創意。那音樂很棒，但以後再也聽不到了。他們想，如果只要發一則簡訊給樂團，就能透過電郵收到那場現場演出的錄音，那不是很酷嗎？這個創意看起來很有前景，但需要花很多時間才能搞懂該怎麼做。這表示，他們其中一人必須更常利用週末，搭火車去找另一人做腦力激盪及程式設計。</p> <p>某個週末，馬格登－伊斯梅爾忘了帶錢包。科蒂納告訴他別擔心，畢竟這種事情又不是第一次發生在他們身上。他們是多年的室友，以前常互相借錢買酒、買日用品、繳房租，最後一定會拿出計算機，結算誰欠誰多少錢，再開支票還錢。</p> <p>他們這樣做了幾次呢？幾十次？甚至數百次了吧？</p> <p>但這次，馬格登－伊斯梅爾一想到他們使用的那套老舊系統就笑了。開支票？他連支票簿塞到哪兒去了都不曉得，現在都是上網繳費。</p> <p>2009年，幾乎任何事情都可以在手機上處理了，只有轉帳不行。不知怎的，這種最基本的功能一直沒發明出來。</p> <p>為什麼不行？科技專家與行銷人士喜歡稱這種情況為「阻力」，也就是說，明明很簡單卻無法做到的事情。想像一下你去汽車監理站，卻不由自主地瑟瑟發抖，那就是因為有抗拒心態。</p> <p>「阻力」一直是生活中許多發現與發明的背後驅動力，Venmo也不例外。</p> <p>「我們想辦法來解決這個問題吧。」他們如此下定決心。於是，馬格登－伊斯梅爾與科蒂納開始把他們開發的行動音樂app「Venmo」，轉變成轉帳工具。</p> <p>然而，為什麼在網路上轉帳那麼困難？2009年，在網路上轉帳不是什麼新鮮事。那時亞馬遜和eBay已營運近十五年。各大零售商的網站上都有某種版本的線上購物車。美國人口普查局的資料顯示，電子商務每年創造的銷售額逾1,300億美元。</p> <p>而且，電子商務不止收信用卡而已。使用銀行發行的簽帳金融卡也可以上網消費。</p> <p>為什麼上網付款給亞馬遜和eBay那麼簡單直接，但轉帳給個人卻不行？</p> <p><span style="font-size:28px;"><strong>付款閘道：兩三秒，就完成十幾個步驟</strong></span></p> <p>如今上網購物變得稀鬆平常，所以大家已經忘了它有多複雜。只要點擊「立即購買」的按鈕，訂單就成立了。</p> <p>就是那麼神奇！</p> <p>但那個神奇效果的背後，需要經過許多複雜的步驟，那些步驟統稱為「付款閘道」（payment gateway）。</p> <p>首先，想在網路上接收信用卡資訊的人，都必須遵循Visa、Mastercard，以及支付卡行業（Payment Card Industry，PCI）的其他成員所制定的規範。也就是說，他們的技術必須符合PCI標準，亦即所謂的「PCI合規」（PCI compliant）。</p> <p>PCI合規需要達到銀行等級的資料安全性，這包括：為敏感資訊加密的既有加密協定；保護資訊儲存位置的安全措施；維護與測試以確保這些系統始終是安全的。</p> <p>要達到銀行等級的安全性並非易事，而且成本也高。儘管對大型電商來說，那費用是合理的投資，但是對小企業或想彼此轉帳的個人來說，那是完全負擔不起的成本。而且，PCI合規只是付款流程的一部分而已。</p> <p><span style="font-size:28px;"><strong>不單只是轉帳，更能社交</strong></span></p> <p>馬格登－伊斯梅爾與科蒂納想做的，就是開發出可以把錢從個人銀行帳戶，轉到他人銀行帳戶的app。銀行有網站顯示他們的個人帳戶上有多少錢，所以他們知道這些資料早已數位化了，但為什麼想取得這些資料那麼難？</p> <p>更重要的是，為什麼銀行不自己開發這種功能？</p> <p>一個答案是，銀行根本不在乎。銀行老早就有開發新技術的歷史，但是對他們來說，創新始終是為了讓銀行本身的流程變得更好、更有效率。然而，創新「顧客體驗」並不是他們會想到的事情，即使他們真的有想過，那也不會是他們的優先考量，尤其是在市場崩盤後的蕭條年代。</p> <p>但是，對軟體開發者來說，創造良好的用戶體驗才是最重要的。</p> <p>即使銀行真的想開發轉帳工具，那也不像表面上看來那麼簡單。美國聯邦存款保險公司的資料顯示，2009年，美國有近七千家銀行。要讓這些銀行相互對話已經夠難了，要讓它們的資料庫相互對話更是難上加難，因為每家銀行的資料庫都有自己的規格。那需要投入大量的心力，銀行根本沒有動力那樣做。</p> <p>但馬格登－伊斯梅爾與科蒂納找到了動機，所以他們開始投入開發。</p> <p>後來發現，打造系統原型其實沒那麼難。他們很快就可以做到相互轉帳，並留下一長串交易的簡訊收據。那收據內容很快就從簡單的「馬格登－伊斯梅爾20」演變成「科蒂納為Nooch餐廳的泰式午餐付你20美元」。</p> <p>所以個人之間的轉帳沒有問題。</p> <p>問題在於獲得開發資金。他們參加了一場又一場的創業會議，但沒有人認真看待他們。畢竟他們沒有創業記錄，也沒有用戶群，他們的原型是在Google Voice上拼湊出來的，不足以讓創投業者感到放心。一位投資者聆聽馬格登－伊斯梅爾與科蒂納做創業簡報時，直接打斷他們，說他只對「一次大賺數十億美元的投資機會」感興趣。馬格登－伊斯梅爾不禁反駁：「這會是一家價值上兆美元的公司。」</p> <p>那位投資者不相信。當時多數的投資者還沒聽過FinTech。而且，他們的盈利計畫是什麼？這個在朋友之間做小額轉帳的小工具，要如何產生可觀的利潤？</p> <p>馬格登－伊斯梅爾與科蒂納也沒有明確的答案，但這並未改變他們對這款app的投入。他們繼續想辦法把用戶體驗改得更順暢，不斷地精進，並在系統中來回傳送無數則簡訊。</p> <p>接著，他們注意到一件事。他們收集的簡訊收據開始為他們的生活勾勒出一幅生動的景象，儘管看似偶然。交易清單顯示他們喜歡去哪裡吃喝，喜歡聽什麼樂團，跟誰一起度過時光。每次有人轉帳給別人，都是因為有一些有趣的事情發生。而把這些個人交易的相關資訊匯集起來，就可以開始講獨特的故事。</p> <p>他們在偶然間創造了社交動態消息（social news feed）。</p> <p>Venmo不單只是轉帳方式，也可以是社交網路，傳播用戶的即時資料訊息。</p> <p>這就非同小可了，那可能發展成龐大事業。問題是他們要先取得資金才行。<span style="color:#696969;"><strong>（本文摘錄整理自《顛覆華爾街的金融奇才》第一章，大牌出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/289_%E9%A1%9B%E8%A6%86%E8%8F%AF%E7%88%BE%E8%A1%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A7%E7%89%8C%E5%87%BA%E7%89%88.png" style="width: 299px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_大牌出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>顛覆華爾街的金融奇才：從行動支付、加密貨幣到區塊鏈，一群金融怪傑如何引爆商業與社會的重大革命</strong></span></p> <p>丹尼爾․賽門（Daniel P. Simon）／著；洪慧芳／譯</p> <p>大牌出版</p> <p>定價：450元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E9%A1%9B%E8%A6%86%E8%8F%AF%E7%88%BE%E8%A1%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Vested.png" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Vested</span></span></p> <p><strong>丹尼爾·賽門（Daniel P. Simon）</strong></p> <p>專欄作家、演講撰稿人、創業者、金融溝通專家。美國金融博物館（Museum of American Finance）通訊委員會的主席，也是全球金融整合傳播公司Vested的共同創辦人暨執行長。自FinTech革命出現以來，他就一直參與其中，為業界的一些最大品牌提供諮詢服務，包括摩根士丹利、美國運通、彭博、高盛。</p> <p>此外，他也是《富比士》、《市場媒體》（Markets Media）、《Cointelegraph》等媒體的專欄作家，常在Cheddar、Asset TV、FinTech TV等平台上發表評論，也是線上新聞網站TalkingBizNews的執行長，以及超人氣播客《Wall &amp; Broadcast》的共同主持人。</p> </div></div></div>

Confluence App寫死的密碼遭公布，可能致企業內部資料曝光

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Atlassian旗下企業維基與協同軟體Confluence一款App寫死在程式中（hardcoded）的密碼，上周遭人透過推特公布，可能讓企業用戶的內部資料因此被外人存取。Atlassian呼籲用戶應儘速升級到最新版App。</p> <p><a href="https://confluence.atlassian.com/security/july-2022-atlassian-security-advisories-overview-1142446703.html" target="_blank">Atlassian上周三發布關於3項漏洞的安全公告</a>，其中一項是<a href="http://www.cve.org/CVERecord?id=CVE-2022-26138" target="_blank">CVE-2022-26138</a>，是發生在Confluence Server及Confluence Data Center專用的Questions for Confluence App。這項App可讓用戶快速獲得Confluence常見問題的技術支援。</p> <p class="rtecenter"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-CVE-2022-26138-Questions%20For%20Confluence%20app%20-600.png" style="width: 600px;" /></a></p> <p>該漏洞出於該App一個帳號密碼寫死（hardcoded）在程式碼中。<a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html" target="_blank">根據Atlassian說明</a>，在Confluence Server或Data Center啟動Questions for Confluence App後，它會建立一個用戶名稱為disabledsystemuser的Confluence用戶帳號，該帳號用於協助管理員將資料從App搬到Confluence Cloud。Disabledsystemuser建好時有個寫死的密碼，加入到用戶群組，以方便用戶查詢、編輯Confluence所有預設非管制的維基頁面。取得這個密碼的遠端非授權攻擊者將可登入Confluence及存取Confluence合法用戶具有存取權的任何頁面。</p> <p>在公布安全公告的隔天Atlassian又緊急公告，這個重要但寫死的密碼已被外部組織公布於推特上。CVE-2022-26138風險被列為重大。Atlassian指出，有鑒於密碼已公開，受影響系統應立即解決該漏洞。</p> <p>如果Confluence Server或Data Center執行個體上，出現啟用中的disabledsystemuser用戶或用戶帳號、或是dontdeletethisuser[@]email.com，表示系統曝險。但曾經安裝Questions for Confluence App，之後又移除者也可能會發現上述資訊。</p> <p>爆出漏洞的App是Confluence Server（2.7.x、3.0.x）或Data Center的Questions for Confluence App，存取Confluence Cloud的App則不受影響。Atlassian提醒，雖然有問題的App是會建密碼寫死的版本，但沒有這些版本App的Confluence環境還是可能受影響。</p> <p>解決方案有二：一是升級到更新版Questions for Confluence App，分別是2.7.38及3.0.5，最新版不會自動建disabledsystem帳號，也會移除曾建立的帳號。但如果Confluence是設定使用唯讀的外部目錄（如Atlassian Cloud），則需使用另一個方法：即關閉或刪除disabledsystem帳號。</p> <p>Atlassian警告，光是移除Questions for Confluence App並不能同時刪除disabledsystemuser帳號，必須安裝最新版App。</p> <p>上周Atlassian修補的另2個漏洞是<a href="https://www.cve.org/CVERecord?id=CVE-2022-26136" target="_blank">CVE-2022-26136</a>和<a href="https://www.cve.org/CVERecord?id=CVE-2022-26137" target="_blank"> CVE-2022-26137</a>，是同屬可讓遠端攻擊者呼叫繞過Servlet Filters的漏洞。兩項漏洞影響Confluence Server/Data Center、Bamboo Server/Data Center、Bitbucket Server/Data Center、Jira Server/Data Center、 Jira Service Management Server、Fisheye及Crucible等。</p> </div></div></div>

【資安週報】2022年7月18日到7月22日

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周發生與揭露的攻擊與威脅中，有幾個焦點事件，包括有駭客透過供應鏈手法，從WordPress外掛WPBakery Page Builder的Kaswara元件程式下手攻擊；有駭客宣傳PLC與HMI密碼破解工具，真能破解但其實還暗藏木馬程式Sality；有中國米可達斯（MiCODUS）車用GPS追蹤器存在六大重大漏洞，廠商遲遲未修補，促使業者通報未果後請美國CISA協助示警；以及有駭客打造CloudMensis惡意軟體，是專門鎖定蘋果Mac電腦用戶。</p> <p>在漏洞修補方面，微軟上月修補的一項Windows NFS漏洞CVE-2022-30136，趨勢科技最近特別警告，該漏洞將比Follina漏洞更為容易利用，呼籲還沒修補的企業盡速因應。</p> <p>此外，關於Log4j漏洞的嚴重性再受關注，美國網路安全審查委員會首份報告出爐，指出最大問題是──使用者或軟體開發商並不知道自己使用軟體內含有漏洞的Log4j元件，或是專案有很高的相依性，這將導致漏洞問題將影響企業長達十年，因此報告中也提出四大因應上的建議。</p> <p>勒索軟體的動向中，以程式語言Rust打造的勒索軟體增加，除了BlackCat、Hive，又有資安業者揭露全新的Luna。這裡我們認為要注意的是，用這類語言編寫的勒索軟體，可以很容易地從一個平臺移植到其他平臺，包括Windows、Linux版本，以及近來逐漸增加鎖定VMware ESXi，因此可同時針對不同的作業系統攻擊。此外，近年RaaS的興起，已降低勒索軟體攻擊門檻，最近又出現以免費下載在抽成的勒索軟體Redeemer 2.0。</p> <p>此外，在新興攻擊手法研究中，紐澤西理工學院（NJIT）的研究受關注，指出攻擊者能透過特製的網站，讓瀏覽器在載入網頁時，透過旁路攻擊方式，發出對於社群網站嵌入式資源的跨網站請求，藉此解析目標身分並拚湊用戶的數位生活圈。</p> <p>另外較特別的是，本周有多國政府與重要單位傳出引發關注的資安事件，其中阿爾巴尼亞上周六晚上遭到網路攻擊最嚴重，該國未因應攻擊，直接關閉了許多政府網站與線上申辦服務，還有以色列衛生局遭網路攻擊，當地媒體報導有自稱Altahrea Team親伊朗的駭客組織表示是他們所為，還有印度證交所也傳出資安事件。</p> <p>而以國內而言，本周有生技醫療上櫃公司遭遇資安事件，是近一年來的第二起。此外，國內科技製造業機密資料被內鬼竊取事件層出不窮，可成科技在2020年發生陸續有14名員工離職，背後卻是收取立訊提供數百萬元安家費，竊取可成機密投靠立訊，由於涉及營業秘密，檢方經過1年6個月的偵查及蒐證，今年7月中旬新北地方檢察署起訴14人。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152082#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_WP.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_ICS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_Mac.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_DD.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_PL.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_Luna.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_GPS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_NFS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_G.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_MA.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_%E7%9C%8B%E6%9B%B4%E5%A4%9A.jpg" style="width: 550px;" /></strong></p> <p id="A"> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/07/attacks-on-modern-wpbakery-page-builder-addons-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客透過老舊外掛程式鎖定近160萬個WordPress網站，目標是外掛程式WPBakery Page Builder的元件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png" style="width: 300px; float: right;" /></a>WordPress外掛程式的漏洞很可能因為開發者不再維護，而成為攻擊者用來對網站下手的管道。資安業者Wordfence針對一起大規模網站攻擊行動提出警告，駭客鎖定WordPress外掛程式WPBakery Page Builder的Kaswara元件下手，利用任意文件上傳漏洞CVE-2021-24284進行攻擊行動。</p> <p id="B">研究人員自今年7月4日至13日，總共偵測到1,599,852個網站成為攻擊目標，該公司平均一天攔截逾44萬次嘗試攻擊的行動。由於此漏洞CVSS風險評分達到10分，且沒有修補軟體，廠商也不再維護此外掛程式，攻擊者有可能將其用於接管網站，他們呼籲管理者最好移除此外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">駭客宣傳可提供15家業者PLC與HMI破密工具但暗藏惡意程式</span></a><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">Sality</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png" style="width: 300px; float: right;" /></a>工業控制系統（ICS）的管理者，很有可能因為需要管控許多設備而可能會忘掉密碼，有人在網路提供能夠破解可程式化邏輯控制器（PLC）或人機介面（HMI）密碼的工具，但也有人藉由提供這個工具的名義，進而在工控環境植入木馬程式。資安業者Dragos發現，有人在數個社群網站上投放廣告，宣稱提供PLC或是HMI的密碼廠解工具，針對的工控設備廠牌涵蓋了Automation Direct、歐姆龍（Omron）、西門子（Siemens）、台達自動化、富士電子（Fuji Electric）、三菱（Mitsubishi）、松下（Panasonic）、LG、Vigor、Pro-Face、Allen Bradley、Weintek，以及ABB等。</p> <p id="C">研究人員針對其中一個能解鎖Automation Direct系統的軟體進行分析，發現此工具確實能破解密碼，但是是利用工控系統的已知漏洞來進行，而在提供密碼的同時，此工具也暗中在工控設備植入木馬程式Sality。研究人員呼籲工控環境的管理者，在需要重新取得PLC或MHI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體CloudMensis鎖定Mac電腦而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png" style="width: 300px; float: right;" /></a>駭客鎖定Mac電腦開發後門程式，並繞過了macOS作業系統的防護機制來洩露資料。資安業者ESET在7月19日揭露，他們最早在4月時發現一款名為CloudMensis的惡意軟體，駭客主要將其用於從Mac電腦竊密，此惡意軟體具備截圖螢幕畫面、列出電子郵件與附件內容、列出外接儲存裝置檔案，並能透過Shell命令將資料上傳到雲端檔案共享服務。此外，駭客透過Dropbox、Yandex、pClould等檔案共享服務架設C2，而難以追蹤攻擊來源。</p> <p id="D">研究人員發現，此惡意程式藉由CoreFoundation漏洞CVE-2020-9934，能繞過macOS的Transparency Consent and Control（TCC）機制，而能在不需使用者授權的情況下，取得螢幕截圖與鍵盤輸入的資料。研究人員指出，雖然CVE-2020-9934已得到修補，但駭客還有可能利用其他漏洞來繞過TCC，呼籲用戶使用最新版本的macOS來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla以提供DDoS攻擊工具為由，對親烏克蘭人士的安卓手機下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭裡，力挺烏克蘭的人士會想要利用DDoS攻擊工具，來癱瘓俄羅斯的網路，意圖牽制該國的軍事行動。對此，俄羅斯駭客曾經以散布DDoS攻擊工具為由，鎖定聲援烏克蘭人士的電腦植入惡意軟體，而現在駭客也針對這些人士的手機下手。</p> <p id="E">Google發現俄羅斯駭客組織Turla，近期以提供Cyber Azov安卓手機DDoS攻擊工具的名義，對想要癱瘓俄羅斯網路基礎設施的人士下手。而Turla製作Cyber Azov的模仿對象，很可能就是名為StopWar的安卓App。</p> <h3><strong style="font-size: 22px;"><a href="https://leakuidatorplusteam.github.io/"><span style="color: rgb(0, 0, 0);">研究人員揭露瀏覽器快取旁路攻擊手法，有可能導致上網用戶身分曝光</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack_alternative.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack_alternative.png" style="width: 300px; float: right;" /></a>國家級駭客試圖運用各式的攻擊手法，企圖辨識網路上的用戶並進行跟蹤，有研究人員發現新的手法，能讓攻擊者將存取網站的使用者進行解析，將其數位生活拼湊起來，確認目標的身分，進行目標式去匿名化（Deanonymization）攻擊。</p> <p>紐澤西理工學院（NJIT）的研究人員指出，他們發現攻擊者能透過特製的網站來收集使用者瀏覽器的資料，當受害者瀏覽攻擊者的網站時，此網站會在瀏覽器載入網頁的過程中，發出對於社群網站（如：YouTube、Dropbox、推特、臉書、TikTok等）嵌入式資源的跨網站請求，並忽略使用者身分驗證的Cookie，而這些社群網站會依據使用者的身分做出回應。攻擊者藉由上述的跨網站請求獲得的共享資源，就有機會得知受害者是否為他們鎖定的目標。</p> <p>最後一步，攻擊者會確認共享資源在受害電腦（或行動裝置）上被載入的情形，他們會針對瀏覽器占用處理器快取的旁路通道資源進行比對，來確認此使用者就是他們鎖定的攻擊目標。</p> <p id="F">研究人員提出警告，這樣的手法很可能會影響政治人物、參與政治活動的人士，以及記者，而且不光能對於時下主流的網頁瀏覽器進行攻擊，還能對洋蔥瀏覽器（Tor Browser）下手。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/luna-black-basta-ransomware/106950/"><span style="color: rgb(0, 0, 0);">又有新的勒索軟體以程式語言Rust打造而成，並採用獨特的演算法</span></a></strong></h3> <p>駭客以程式語言Rust打造的勒索軟體，已有BlackCat、Hive，而最近有新的勒索軟體也使用這種程式語言進行開發。卡巴斯基在地下論壇看到有人在宣傳新的勒索軟體Luna，並表明他們只打算與使用俄文的駭客合作。從宣傳的資料來看，駭客已經打造了Windows版、Linux版的勒索軟體，並開發了針對虛擬化平臺VMware ESXi的專屬版本。</p> <p>研究人員指出，Luna採用的加密演算法是x25519與AES，可說是相當少見的配置。此外，上述版本的勒索軟體使用相同的程式碼編譯而成，但有一些差異，例如，僅有Linux版本必須要下達參數才會執行。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/20/redeemer-ransomware-back-action/"><span style="color: rgb(0, 0, 0);">勒索軟體Redeemer 2.0免費提供駭客使用，得手後作者抽成牟利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg" style="width: 300px; float: right;" /></a>駭客要發動勒索軟體的門檻可說是越來越低，甚至有人免費提供相關工具，然後在受害者支付贖金時才向其抽成。資安業者Cyble發現，有人在7月5日於地下論壇開始宣傳勒索軟體Redeemer 2.0，並提供免費下載，一旦任何人取得，都能用來發動勒索軟體攻擊，而開發者則會在收到贖金後，收取20%做為報酬。</p> <p id="I">以軟體服務型式提供的勒索軟體（Ransomware-as-a-Service，RaaS），已讓駭客不需自行開發攻擊工具就能發動攻擊，大幅降低攻擊門檻，但現在有了這種免費提供勒索軟體的作法，將有可能使得勒索軟體攻擊更加氾濫。</p> <h3><strong style="font-size: 22px;"><a href="https://www.pcc.moj.gov.tw/media/287299/111-07-15-%E6%96%B0%E5%8C%97%E6%AA%A2%E5%81%B5%E8%BE%A6%E5%8F%AF%E6%88%90%E5%85%AC%E5%8F%B8%E5%89%8D%E5%93%A1%E5%B7%A5%E9%84%AD-%E7%A6%8F%E7%AD%89%E9%81%95%E5%8F%8D%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%B3%95%E7%AD%89%E6%A1%88%E5%81%B5%E6%9F%A5%E7%B5%82%E7%B5%90-%E6%96%B0%E8%81%9E%E7%A8%BF.pdf"><span style="color: rgb(0, 0, 0);">臺灣iPhone外殼供應商可成科技的營業秘密被外洩，偵察終結14名員工遭起訴</span></a></strong></h3> <p>中國企圖重金收買臺灣企業員工，竊取公司關鍵的技術，很可能會嚴重影響我國產業的競爭力。臺灣新北地方檢察署於7月15日指出，中國立訊精密工業為了迅速打入蘋果生產供應鏈爭取訂單，鎖定臺灣市占最高的金屬機殼供應商可成科技，引誘該公司派駐中國的研發團隊，竊取製作iPhone、iPad外殼的營業秘密，宣稱投靠後會提供高額安家費、年薪，並於立訊成功量產後，給予主管職位的方式來進行挖角。此研發團隊的鄭姓主管等14人於離職前，以分工合作方式竊取大量可成科技研發、業務相關的營業秘密資料，企圖攜往立訊使用。</p> <p id="J">新北地檢署經過1年6個月的偵查及蒐證，並發動4次搜索，訊問相關證人及被告，扣押涉嫌收取立訊安家費、薪資的帳號，全案於7月15日偵查終結，這14人依違反證券交易法特別背信罪、營業秘密法意圖在境外使用而侵害營業秘密等罪嫌遭到起訴。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152030"><span style="color: rgb(0, 0, 0);">上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響</span></a></strong></h3> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <h3><strong style="font-size: 22px;"><a href="https://citizenlab.ca/2022/07/geckospy-pegasus-spyware-used-against-thailands-pro-democracy-movement/"><span style="color: rgb(0, 0, 0);">泰國民主運動參與者的iPhone手機遭植入間諜軟體Pegasus</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png" style="width: 300px; float: right;" /></a>與網路間諜軟體Pegasus相關的攻擊行動，之前多半被用於攻擊歐美與中東地區的人士，如今也有鎖定東南亞的攻擊行動而引起人權組織的關注。加拿大多倫多大學公民實驗室（Citizen Lab）、國際特赦組織、泰國法律權利監督機構iLaw指控，泰國政府疑似針對參與民主運動的30名人士下手，在2020年至2021年，對他們的iPhone手機植入Pegasus，而遭到鎖定的人士身分，涵蓋了學生、律師、歌手、女演員等，年紀最小的僅有18歲。</p> <p>而這起攻擊行動被發現的原因，是因為蘋果在2021年11月，針對可能遭到Pegasus跟蹤的人士提出警告，而使得這些受害者尋求相關社會組織進行調查，進而使得此起事件近日曝光。離譜的是，有些受害者在不到2年的時間裡，手機就被植入Pegasus超過10次，而這些攻擊行動的共通點，駭客都是透過iOS零點擊漏洞Kismet與Forcedentry，來對手機下手。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cloaked-ursa-online-storage-services-campaigns/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用檔案共享服務Dropbox、Google Drive來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-image-91.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-image-91.png" style="width: 300px; float: right;" /></a>為了隱匿攻擊行動，駭客組織濫用檔案共享服務的情況越來越頻繁。資安業者Palo Alto Networks 指出，俄羅斯駭客APT29（亦稱Nobelium、Cozy Bear）今年5月初至6月針對西方外交使團、全球駐外大使館的攻擊行動裡，濫用了Google Drive與Dropbox，散布惡意HTML檔案EnvyScout，並進一步在受害電腦投放Cobalt Strike與其他惡意軟體。研究人員向Google、Dropbox通報，兩家業者已封鎖相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/from-the-front-lines-8220-gang-massively-expands-cloud-botnet-to-30000-infected-hosts/"><span style="color: rgb(0, 0, 0);">駭客組織8220已控制逾3萬臺雲端伺服器組成殭屍網路</span></a></strong></h3> <p>駭客組織8220因日前利用Atlassian Confluence零時差漏洞，來將此種協作平臺伺服器用於挖礦而引起研究人員關注，這個組織架設的殭屍網路規模大幅增長，帶來的威脅可說是更加險峻。資安業者SentinelOne提出警告，他們觀察到駭客組織8220所建置的殭屍網路，規模從去年中旬的2千臺伺服器，現在已控制超過3萬臺伺服器。研究人員指出，駭客很可能是因為加密貨幣價格大幅下跌，為了能保有相同的利潤，而增加殭屍網路挖礦伺服器的數量。</p> <h3><a href="https://www.intezer.com/blog/research/lightning-framework-new-linux-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lightning Framework鎖定Linux主機而來，恐被用來部署後門程式與Rootkit</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg" style="width: 300px; float: right;" /></a>鎖定Linux作業系統而來的惡意軟體最近經常出現，而且很可能難以偵測。資安業者Intezer揭露名為Lightning Framework的惡意軟體，攻擊者可使用SSH連線來對目標主機植入後門程式，或是部署Rootkit。</p> <p>該惡意軟體採模組化設計，並能透過外掛程式添加功能，研究人員形容此惡意軟體就像瑞士刀，並指出此軟體具備多種與攻擊者互動的功能，例如可在受害主機上開啟SSH連線，並支援多種型態的命令與控制（C2）組態等。模組化設計的做法在Windows惡意軟體其實相當常見，但鮮少有Linux惡意軟體採用。</p> <p>此惡意軟體主要元件就是下載器，攻擊者在受害主機植入後，就能下載安裝其他模組與外掛程式。至於駭客散布Lightning Framework的方式，則是將其偽裝成GNOME密碼管理器元件Seahorse，而能躲過資安系統的偵測。</p> <p>研究人員指出，雖然他們尚未看到這個惡意軟體被用於攻擊行動的跡象，但駭客針對Linux開發此種具備高度擴充性的軟體並不常見，而相當值得關注後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/convincing-youtube-google-ads-lead-to-windows-support-scams/"><span style="color: rgb(0, 0, 0);">駭客濫用Google關鍵字廣告，謊稱受害電腦中毒來進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg" style="width: 300px; float: right;" /></a>Google關鍵字的廣告相當容易模仿，而讓人難以分辨真假。資安業者Malwarebytes指出，他們近期看到有人濫用這種關鍵字廣告的攻擊行動，駭客投放了YouTube網站的廣告，雖然根據內容來看，其網址正確，同時也顯示了與之相關的網站連結，內容與正常的廣告相同，但是只要使用者一旦點選廣告，就會被帶往一個Windows Defender資安警報的網站，並告知使用者的電腦偵測到可疑活動並予以攔截，疑似是遭到木馬與間諜程式感染，使用者可撥打技術支援專線來處理。</p> <p>一旦使用者依照指示聯繫「技術支援」人員，就會被要求安裝TeamViewer來遠端控制並修復電腦，而使得電腦遭到控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/amid-rising-magecart-attacks-online-ordering-platforms"><span style="color: rgb(0, 0, 0);">駭客鎖定美國線上訂餐平臺，竊得逾5萬張金融卡資料</span></a></strong></h3> <p>隨著疫情蔓延，線上訂餐平臺也跟著崛起，但這類平臺也成為駭客盜取交易資料的攻擊目標。根據資安新聞網站Recorded Future的調查，駭客先後於去年11月與今年1月，發動兩起Magecart攻擊，將惡意程式碼注入參與美國線上訂餐平臺MenuDrive、Harbortouch，以及InTouchPOS的餐廳，結果有超過311家餐廳、共5萬張金融卡資料遭竊，並在暗網市場求售。</p> <p>研究人員指出，較不知名的線上訂餐平臺已成為Magecart攻擊者的重要目標，因為攻擊這類平臺，很有可能竊得大部分餐廳的交易資料。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/ongoing-roaming-mantis-smishing-campaign-targeting-france/"><span style="color: rgb(0, 0, 0);">網釣簡訊攻擊Roaming Mantis鎖定法國發動攻擊</span></a></strong></h3> <p>專門從事網釣簡訊（Smiphing）攻擊的中國駭客組織Roaming Mantis，最近又有新的攻擊行動引起研究人員關注。資安業者Sekoia指出，他們在7月上詢偵測到新的Roaming mantis網釣簡訊攻擊，駭客鎖定7萬名法國人的手機而來，若是使用者的手機執行安卓作業系統，遭到攻擊後會被植入惡意程式MoqHao（亦稱Wroba），此惡意程式偽裝成Chrome並暗中收集資料。</p> <p>但假如受害者使用的手機是iPhone，還是不能掉以輕心。iPhone用戶點選網釣簡訊連結後，會被帶往釣魚網站，駭客目的是騙取Apple ID與iCloud等相關資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/belgium-says-chinese-hackers-attacked-its-ministry-of-defense/"><span style="color: rgb(0, 0, 0);">比利時政府指控遭到多個中國駭客組織攻擊</span></a></strong></h3> <p>中國駭客疑似大肆針對西方國家進行攻擊的情況，最近再度上演。比利時外交部於7月18日控訴，中國政府支持的多個駭客組織：Gallium、APT27、APT30、APT31，鎖定該國的國防部與內政部下手，並要求中國政府出面處理，但除此之外並未對網路攻擊事故進一步說明。對此，中國駐比利時大使館予以否認，認為這是比利時的不實指控。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800"><span style="color: rgb(0, 0, 0);">中國政府要求阿里巴巴高層調查10億個資外洩事故</span></a></strong></h3> <p>在7月初，自稱ChinaDan的駭客兜售含有10億人民個資的資料庫，並聲稱資料來自上海國家警察，這起事件傳出在媒體報導之前，中國政府和雲端服務業者阿里巴巴早就知情。根據華爾街日報（WSJ）在7月14日的報導，阿里巴巴在媒體揭露之前就得知資料外洩情事，並於7月1日召開內部緊急會議，暫時關閉資料庫檢查相關程式碼，隨後中國監控機構就開始約談該公司的高階主管。</p> <p>資安業者LeakXI也針對此事公布進一步的調查結果，該公司表示，駭客疑似在6月26日動手偷走資料庫，外洩的資料來源是未受保護的Kibana實例，而使得Elasticsearch叢集採用了預設的使用者名稱及密碼，也沒有其他身分驗證機制來保護資料，而能讓駭客輕易將資料偷走。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2207.07413.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露可透過SATA排線外洩資料的手法</span></a></strong></h3> <p>位於隔離網路環境（Air-gapped）的電腦，因為沒有直接與外部網路連線，而具有較高的安全性，但研究人員還是發現有方法能夠突破這樣的限制，把資料傳送到外部。以色列本．古里安大學（Ben-Gurion University）資安研究人員Mordechai Guri發現名為SATAn的攻擊手法，駭客可在成功入侵位於隔離網路的目標電腦後，利用連接磁碟機的SATA排線發送無線電波，進而將資料傳輸到攻擊者的接收裝置。</p> <p>雖然這項手法接收器最多只能距離目標電腦1.2公尺，但這種能突破網路隔離措施的手法仍有可能造成威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vice.com/en/article/g5vqx3/hacker-posts-internal-roblox-employee-documents-online"><span style="color: rgb(0, 0, 0);">遊戲業者Roblox內部資料遭到公開，起因是駭客索討贖金不成</span></a></strong></h3> <p>駭客鎖定遊戲產業下手的情況，可說是越來越常見。根據新聞網站Motherboard的報導，有駭客公開了4 GB的文件檔案，內容疑似是電玩遊戲Roblox創作者的電子郵件信箱、身分證明文件，以及表單。Roblox向該新聞網站表示，這些資料很可能是因為他們拒絕了駭客的勒索而被公開，他們已尋求外部資安專家進行合作，並強化他們的系統來防堵相關攻擊。而對於Roblox遭到入侵的原因，該公司表示很可能是其中一名員工遭到網路釣魚攻擊所致。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/"><span style="color: rgb(0, 0, 0);">LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png" style="width: 300px; float: right;" /></a>駭客組織冒用知名品牌來取信受害者，這樣的情況相當普遍，但他們又偏好那些品牌呢？根據資安業者Check Point針對今年第2季網路釣魚活動進行分析，有45%是使用LinkedIn，其次是微軟和DHL，分別為13%與12%。再者，Amazon與蘋果位居第4與第5，但比例都較今年第一季大幅成長而相當值得留意。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/neopets-data-breach-exposes-personal-data-of-69-million-members/"><span style="color: rgb(0, 0, 0);">虛擬竉物網站Neopets資料外洩，6,900萬用戶與原始碼遭竊</span></a></strong></h3> <p>電玩產業遭到攻擊與資料外洩的情況經常發生，最近又有業者傳出受害。根據資安新聞網站Bleeping Computer的報導，虛擬竉物網站Neopets的資料外洩，駭客在地下論壇以4個比特幣的價格（9.4萬美元）兜售，並宣稱內含6,900萬個會員的帳號及密碼，以及該網站的原始碼。Neopets在他們的Discord伺服器上坦承此事，並著手處理。有人向該新聞網站透露，駭客很可能在先前的資料外洩事故取得網站的原始碼，進而找到漏洞再度行竊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-seizes-and-forfeits-approximately-500000-north-korean-ransomware-actors"><span style="color: rgb(0, 0, 0);">美國從勒索軟體Maui追回50萬美元加密貨幣</span></a></strong></h3> <p>遭到勒索軟體攻擊並選擇支付贖金的組織，因為迅速向執法單位通報，而幸運拿回贖金。美國司法部（DOJ）於7月19日指出，他們從使用Maui的勒索軟體駭客組織手上，成功追回50萬美元的贖金，支付贖金的受害組織都是醫療保健機構──其中，位於堪薩斯州的醫院、科羅拉屬州的醫院，分別向該駭客組織支付了10萬及12萬美元的加密貨幣。該單位表示，由於受害的醫院迅速通報，調查人員能取得更為有效的跡證，進而加速破案。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/"><span style="color: rgb(0, 0, 0);">間諜軟體利用Chrome瀏覽器零時差漏洞攻擊中東用戶</span></a></strong></h3> <p>Chrome的WebRTC記憶體溢位漏洞CVE-2022-2294於7月初得到修補，Google公告此漏洞已被用於攻擊行動，但沒有進一步說明細節。本週防毒業者Avast透露，此漏洞被用於間諜軟體攻擊。</p> <p>研究人員指出，網路間諜公司Candiru打造的間諜軟體DevilsTongue，在今年3月開始利用此漏洞，攻擊黎巴嫩、土耳其、葉門，以及巴基斯坦的用戶。研究人員推測，這起攻擊行動很可能是鎖定當地記者和特定的新聞報導而來。</p> <p>而針對這項漏洞的影響範圍，研究人員也補充說明，當時Candiru只鎖定Windows電腦下手，但這個WebRTC記憶體溢位漏洞與通訊協定有關，其他瀏覽器也可能受到影響。他們將漏洞細節通報蘋果，蘋果在7月20日發布新版Safari予以修補。</p> <p id="G"> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker"><span style="color: rgb(0, 0, 0);">車輛GPS追蹤器MiCODUS MV720存在重大漏洞，恐讓駭客進行跟蹤或控制車輛</span></a></strong></h3> <p>GPS追蹤器讓企業能準確掌握車輛的狀態，但這類設備一旦出現漏洞，有可能讓他人進行跟蹤，甚至是遠端中斷車輛動力。資安業者BitSight在MiCODUS MV720車輛追蹤器上發現6個漏洞，當中包含了寫死（Hard-coded）帳密、驗證不當、跨網站指令碼弱點等，其中最嚴重的漏洞是CVE-2022-2107和CVE-2022-2141，CVSS風險評分皆為9.8分，攻擊者可利用前者存取管理伺服器，假冒用戶傳送命令到車輛；後者則是能讓攻擊者不需通過檢查密碼的身分驗證流程，就可以下達命令。</p> <p id="H">由於此裝置用戶遍及169國、部署逾150萬輛車，涵蓋政府機關、軍隊、警方，以及財星50大企業，影響的範圍相當廣，但研究人員自去年9月開始，多次向MiCODUS通報沒有得到回應，今年初找上美國網路安全暨基礎設施安全局（CISA）協助進行溝通，該公司始終沒有提供修補程式，於是，研究人員與CISA決定公布相關細節，並呼籲用戶最好先暫停使用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/7/13/cve-2022-30136-microsoft-windows-network-file-system-v4-remote-code-execution-vulnerability"><span style="color: rgb(0, 0, 0);">資安業者呼籲修補NFS漏洞CVE-2022-30136，比Folina漏洞更容易被利用</span></a></strong></h3> <p>在6月份微軟發布的每月例行修補（Patch Tuesday），許多研究人員聚焦在已出現攻擊行動的Follina漏洞（CVE-2022-30190），但最近有資安業者提出警告，有另外一個漏洞攻擊者更加容易利用也相當值得留意。</p> <p>趨勢科技於7月14日提出警告，微軟在上個月修補的Windows網路檔案系統（NFS）漏洞CVE-2022-30136，可讓攻擊者在沒有通過身分驗證的情況下，對於目標伺服器發送惡意的遠端程序呼叫（RPC），進而在SYSTEM的上下文執行任意程式碼，但若是漏洞利用失敗，還是有可能癱瘓該伺服器。此漏洞影響使用NFS第4版協定的Windows電腦，第2版與第3版NFS協定沒有相關風險。</p> <p>研究人員指出，此漏洞較Follina更為容易利用，而有可能被用於癱瘓伺服器，他們呼籲使用者應儘速安裝修補程式來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y"><span style="color: rgb(0, 0, 0);">思科資料中心網路管理系統存在漏洞，恐讓攻擊者取得root權限執行命令</span></a></strong></h3> <p>思科於7月20日發布資安通告，修補旗下資料中心網路管理系統Nexus Dashboard的3個漏洞，這些漏洞一旦遭到攻擊者利用，就有可能在沒有通過身分驗證的情況下遠端執行任意命令、讀取，上傳容器映像檔，以及發動跨網站偽造請求（CSRF）攻擊。</p> <p>其中最嚴重的漏洞是CVE-2022-20857，CVSS評分為9.8分，起因與部分API存取控制的配置有關，駭客可藉由發送偽造的HTTP請求，來存取特定的API，而能夠在受害裝置上執行任意命令。該公司發布Nexus Dashboard 2.2(1e)修補上述漏洞，並呼籲用戶儘速升級軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Confluence寫死帳密的漏洞</span></a></strong></h3> <p>企業協作平臺Confluence傳出內建寫死的帳號密碼，引發用戶高度關注，但有別於一般將帳密直接寫入程式碼的情況，這個漏洞竟是附加元件在部署流程裡，自動建立的系統帳號造成。</p> <p>Atlassian於7月20日，針對Confluence伺服器與資料中心，修補重大漏洞CVE-2022-26138，此漏洞與名為Questions for Confluence附加元件有關，原因在於企業在Confluence伺服器上部署此附加元件後，就會自動建立帳密皆為disabledsystemuser的帳號，此帳號為confluence-users群組成員，駭客很有可能用來入侵此協作系統並發動攻擊。該公司發布Questions for Confluence新版2.7.38、3.0.5來修補漏洞，管理者亦可透過移除此帳號來處理。</p> <h3><strong style="font-size: 22px;"><a href="https://bishopfox.com/blog/netwrix-auditor-advisory"><span style="color: rgb(0, 0, 0);">IT稽核軟體Netwrix Auditor漏洞恐被駭客用於挾持AD網域</span></a></strong></h3> <p>稽核軟體很可能握有高系統權限，而使得此種系統的漏洞引起嚴重的後果。資安業者Bishop Fox發出資安公告指出，他們在IT稽核軟體Netwrix Auditor上找到新的漏洞（尚未取得CVE編號），與不安全的物件反序列化有關，一旦攻擊者加以利用，就有可能在目標伺服器上執行任意命令。</p> <p>研究人員指出，由於Netwrix Auditor對於指令的執行，是使用NT AUTHORITY\SYSTEM的權限，而使得上述漏洞的危害相當嚴重，除了攻擊者可能將Netwrix伺服器完全破壞，還能進一步挾持受害組織的AD網域。研究人員呼籲，組織應儘速更新Netwrix Auditor至10.5版，來避免此漏洞帶來的資安風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/software-vendors-start-patching-retbleed-cpu-vulnerabilities"><span style="color: rgb(0, 0, 0);">多家企業級系統軟體著手修補處理器漏洞Retbleed</span></a></strong></h3> <p>上星期<a href="https://www.ithome.com.tw/news/151943#retbleed">研究人員揭露影響Intel與AMD處理器的漏洞Retbleed</a>（CVE-2022-29900、CVE-2022-29901、CVE-2022-28693、CVE-2022-23825），近期有多家企業級系統軟體，著手予以修補。根據資安新聞網站SecurityWeek的報導，虛擬化平臺Citrix Hypervisor、VMware ESXi、Xen都已提供修補程式，Red Hat、SUSE、Ubuntu等Linux作業系統也有相關的資安通報。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@numanturle/microsoft-teams-stored-xss-bypass-csp-8b4a7f5fccbf"><span style="color: rgb(0, 0, 0);">微軟Teams的貼圖功能存在漏洞，恐讓攻擊者用於XSS攻擊</span></a></strong></h3> <p>協作平臺提供的貼圖功能可讓人更容易表達看法，但這樣的功能也有可能出現漏洞，而成為攻擊者利用的目標。研究人員Numan Turle在微軟Teams的貼圖（Sticker）功能裡，發現了能觸發跨網站指令碼（XSS）的漏洞， 起因與微軟採用了舊版JavaScript框架元件Angular有關。研究人員使用HTML程式碼製作惡意iframe，然後透過Teams的貼圖功能傳送後，能夠觸發前述的XSS漏洞。微軟於今年1月6日獲報，並在3月完成修補，研究人員在7月13日公布細節。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/blitzjs-prototype-pollution/"><span style="color: rgb(0, 0, 0);">JavaScript網頁應用程式框架Blitz.js存在原型污染漏洞</span></a></strong></h3> <p>網頁應用程式框架有助於增加開發的速度，但也可能產生更多攻擊面或是潛在的弱點，而引起研究人員關注。資安業者SonarSource揭露JavaScript網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，此漏洞出現在該框架的遠端程序呼叫（RPC）層中，名為superjson的序列化程式庫，一旦攻擊者加以利用，就有可能在沒有經過身分驗證的情況下，對此網頁應用程式框架進行原型污染（Prototype Pollution）攻擊，操縱採用Blitz.js的應用程式，並藉由建立反向Shell的方式，來在受害伺服器上執行任意命令。</p> <p>研究人員於今年2月7日通報，Blitz.js與superjson於同月10日提供更新版本，研究人員於7月12日公布相關細節。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/juniper-releases-patches-for-critical.html"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路管理平臺、軟體定義網路系統的重大漏洞</span></a></strong></h3> <p>資安業者Juniper Networks於7月13至14日，針對旗下多項產品發布修補程式，其中最為嚴重的漏洞是CVE-2021-23017，CVSS風險評分為9.4分，存在於網路管理系統Junos Space、NorthStar Controller所使用的Nginx解析器元件，一旦攻擊者加以利用，就有機會藉由DNS伺服器傳送偽造的UDP封包，來造成1個位元的記憶體覆寫，導致正在執行的處理程序損毀等情況。</p> <p>這次Juniper也針對軟體定義網路解決方案Contrail Networking進行升級，修補一組影響程度達到CVSS評分10分的漏洞，其具體做法是更新此系統所使用的容器映像檔Red Hat Universal Base Image（UBI），從RHEL 7升級至RHEL 8。</p> <p>該公司發布了Junos Space 22.1R1、NorthStar Controller 5.1.0 Service Pack 6與6.2.2，以及Contrail Networking 21.4.0來修補上述漏洞。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152011"><span style="color: rgb(0, 0, 0);">群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例</span></a></strong></h3> <p>面板大廠群創光電在6月25日，正式加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），是臺灣第12個加入這個聯盟的單位，值得一提的是，該公司是臺灣首家高科技製造業加入FIRST的成員。事實上，近期國際間也不乏高科技製造業加入的例子，像是艾司摩爾（ASML）在2020年12月加入，AMD在2021年7月加入。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ltn.com.tw/news/politics/paper/1529049"><span style="color: rgb(0, 0, 0);">我國將智慧監控醫院、故宮博物院列為關鍵基礎設施</span></a></strong></h3> <p>根據自由時報的報導，行政院正在界定新的關鍵基礎設施（CI）名單，目前已完成關鍵基礎設施主管機關的自評流程，預計於8月至9月呈報行政院複評，行政院將在10月完成指定。這份名單中，傳出臺電中央電力調度中心，以及核一、核二、核三廠皆被納入，但核四廠因為已經封存且停止運作，將不再列為關鍵基礎設施。</p> <p>而在本次規畫新增的設施裡，包含了24小時智慧監控醫院，以及典藏國家文物的故宮博物院。不過，該報導指出，故宮採用封閉的內部網路，沒有與網際網路連接，相關的資安事宜不必呈報行政院納管。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152073"><span style="color: rgb(0, 0, 0);">微軟Windows 11 22H2將帳號鎖住原則列為預設，提高RDP暴力破解難度</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0722-微軟-defenses-against-human-operated-ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-%E5%BE%AE%E8%BB%9F-defenses-against-human-operated-ransomware.png" style="text-align: center; width: 220px; float: right;" /></a></p> <p>為降低RDP相關暴力破解密碼攻擊，微軟預計下半年新版Windows 11 22H2中，將把帳號鎖住原則（Account Lockout Policy）設為預設啟用，也就是10分鐘內10次登入錯誤即鎖住帳號，提高破解難度，而未來之前的Windows版本也可能實施。<span style="color:#FFFFFF;">㊣</span></p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的態勢美國提出警告，可能影響會長達10年</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://nicst.ey.gov.tw/Page/8770AD7511CB8DC9/e9eb6bb1-2c8d-4e4f-8f95-17b9107bb07f"><span style="color: rgb(105, 105, 105);"><strong><span style="font-size: 20px;">我國資通安全處在7月15日發布６月資通安全月報</span></strong></span></a></span></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/fortinet-researchers-discover-vulnerabilities-in-siemens-solutions"><span style="color: rgb(0, 0, 0);">西門子修補PCB印刷電路版電路配置檢視設備的漏洞</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/digium-phones-web-shell/"><span style="color: rgb(0, 0, 0);">Elastix網路電話系統遭到鎖定，被駭客植入Web Shell</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://theprint.in/world/albania-closes-down-online-govt-systems-after-cyber-attack/1043448/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到網路攻擊，被迫關閉政府線上申辦系統</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.i24news.tv/en/news/israel/defense/1658119439-israel-health-ministry-website-faces-cyberattack-oversea-access-blocked"><span style="color: rgb(0, 0, 0);">以色列衛生局遭伊朗駭客組織Altahrea Team攻擊，起因疑與軍事行動有關</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.lrt.lt/en/news-in-english/19/1739037/lithuanian-ad-website-hit-by-cyberattack-warns-of-possible-customer-data-leak"><span style="color: rgb(0, 0, 0);">立陶宛廣告網站遭受網路攻擊，客戶資料恐外洩</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://inc42.com/buzz/sebi-lodges-fir-in-connection-with-a-cyber-security-incident-involving-its-email-system/"><span style="color: rgb(0, 0, 0);">印度證券交易所坦承遭到網路攻擊，但聲稱這是「小」事故，且沒有資料遺失</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">駭客組織Predatory Sparrow聲稱攻擊伊朗鋼鐵廠，並傳出</span></a></span></strong><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">引發火災</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat也濫用紅隊測試工具Brute Ratel C4</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/07/19/declaration-by-the-high-representative-on-behalf-of-the-european-union-on-malicious-cyber-activities-conducted-by-hackers-and-hacker-groups-in-the-context-of-russia-s-aggression-against-ukraine/"><span style="color: rgb(0, 0, 0);">針對俄羅斯頻繁對歐洲國家發動DDoS攻擊，歐盟予以譴責，並呼籲成員國要強化網路韌性</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-starts-blocking-office-macros-by-default-once-again/"><span style="color: rgb(0, 0, 0);">微軟再度啟用Office封鎖機制，停用從網路下載的巨集</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion"><span style="color: rgb(0, 0, 0);">資安業者揭露勒索軟體Conti破壞哥斯大黎加政府的經過</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/above-fold-and-your-inbox-tracing-state-aligned-activity-targeting-journalists"><span style="color: rgb(0, 0, 0);">駭客假冒記者的名義對新聞媒體發動攻擊</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/building-materials-giant-knauf-hit-by-black-basta-ransomware-gang/"><span style="color: rgb(0, 0, 0);">建材廠商Knauf遭勒索軟體Black Basta攻擊</span></a></span></strong></strong></p> <p> </p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.providencejournal.com/story/news/local/2022/07/16/ri-sewer-system-narragansett-bay-commission-hit-cyber-attack/10076978002/"><span style="color: rgb(0, 0, 0);">美國羅州下水道系統營運業者遭到勒索軟體攻擊</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/joker-facestealer-and-coper-banking-malwares-google-play-store"><span style="color: rgb(0, 0, 0);">資安業者Zscaler揭露安卓銀行木馬Joker、Facestealer、Coper透過Google Play市集散布</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/07/accusoft-vuln-spotlight-.html"><span style="color: rgb(0, 0, 0);">圖片處理工具ImageGear存在漏洞，恐被用於執行程式碼</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Peace 2022將於8月19日舉行</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/new-variant-of-qakbot-spread-by-phishing-emails"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過HTML檔案散布，並透過處理程序空心化執行來規避偵測</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.ic3.gov/Media/News/2022/220718.pdf"><span style="color: rgb(0, 0, 0);">美國再度警告加密貨幣投資者遭到鎖定，駭客佯稱提供錢包應用程式來騙錢</span></a></span></strong></strong></p> <p class="rtecenter"><strong><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152082"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-7-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 600px;" /></a></span></span></strong></strong></p> </div></div></div>

【資安日報】2022年7月22日，勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Fra…

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動勒索軟體攻擊的方式，已出現軟體經營者和攻擊者分工的情況，其中最常被提及的就是軟體以服務的型式提供（Ransomware-as-a-Service，RaaS），讓攻擊者可透過購買或訂閱的方式取得，但現在有了新的做法，有開發者以免費的方式提供勒索軟體，直到收到贖金之後再和攻擊者拆帳獲利。這樣的情況，不只使得發動勒索軟體攻擊的門檻變得更低，攻擊者也無須付錢就能先行取得作案工具。</p> <p>惡意軟體Lightning Framework也引起研究人員注意，首先，它與近期出現的Linux惡意軟體（如：<a href="https://www.ithome.com.tw/news/150914#bpfdoor">BPFDoor</a>、<a href="https://www.ithome.com.tw/news/151388#Symbiote">Symbiote</a>等）都同樣難以偵測，但不同的是，此惡意軟體採用了模組化設計，而使得駭客可透過擴充元件增加攻擊能力，這樣的做法在Linux惡意軟體可說是相當罕見。</p> <p>思科針對旗下資料中心網路管理系統Nexus Dashboard著手修補，當中修補了3項弱點，其中一項為CVSS評分達9.8分的重大漏洞，由於沒有緩解措施，該公司呼籲用戶要儘速升級相關軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/20/redeemer-ransomware-back-action/"><span style="color: rgb(0, 0, 0);">勒索軟體Redeemer 2.0免費提供駭客使用，得手後作者抽成牟利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg" style="width: 300px; float: right;" /></a>駭客要發動勒索軟體的門檻可說是越來越低，甚至有人免費提供相關工具，然後在受害者支付贖金時才向其抽成。資安業者Cyble發現，有人在7月5日於地下論壇開始宣傳勒索軟體Redeemer 2.0，並提供免費下載，一旦任何人取得，都能用來發動勒索軟體攻擊，而開發者則會在收到贖金後，收取20%做為報酬。</p> <p>以軟體服務型式提供的勒索軟體（Ransomware-as-a-Service，RaaS），已讓駭客不需自行開發攻擊工具就能發動攻擊，大幅降低攻擊門檻，但現在有了這種免費提供勒索軟體的作法，將有可能使得勒索軟體攻擊更加氾濫。</p> <h3><a href="https://www.intezer.com/blog/research/lightning-framework-new-linux-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lightning Framework鎖定Linux主機而來，恐被用來部署後門程式與Rootkit</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg" style="width: 300px; float: right;" /></a>鎖定Linux作業系統而來的惡意軟體最近經常出現，而且很可能難以偵測。資安業者Intezer揭露名為Lightning Framework的惡意軟體，攻擊者可使用SSH連線來對目標主機植入後門程式，或是部署Rootkit。</p> <p>該惡意軟體採模組化設計，並能透過外掛程式添加功能，研究人員形容此惡意軟體就像瑞士刀，並指出此軟體具備多種與攻擊者互動的功能，例如可在受害主機上開啟SSH連線，並支援多種型態的命令與控制（C2）組態等。模組化設計的做法在Windows惡意軟體其實相當常見，但鮮少有Linux惡意軟體採用。</p> <p>此惡意軟體主要元件就是下載器，攻擊者在受害主機植入後，就能下載安裝其他模組與外掛程式。至於駭客散布Lightning Framework的方式，則是將其偽裝成GNOME密碼管理器元件Seahorse，而能躲過資安系統的偵測。</p> <p>研究人員指出，雖然他們尚未看到這個惡意軟體被用於攻擊行動的跡象，但駭客針對Linux開發此種具備高度擴充性的軟體並不常見，而相當值得關注後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/"><span style="color: rgb(0, 0, 0);">間諜軟體利用Chrome瀏覽器零時差漏洞攻擊中東用戶</span></a></strong></h3> <p>Chrome的WebRTC記憶體溢位漏洞CVE-2022-2294於7月初得到修補，Google公告此漏洞已被用於攻擊行動，但沒有進一步說明細節。本週防毒業者Avast透露，此漏洞被用於間諜軟體攻擊。</p> <p>研究人員指出，網路間諜公司Candiru打造的間諜軟體DevilsTongue，在今年3月開始利用此漏洞，攻擊黎巴嫩、土耳其、葉門，以及巴基斯坦的用戶。研究人員推測，這起攻擊行動很可能是鎖定當地記者和特定的新聞報導而來。</p> <p>而針對這項漏洞的影響範圍，研究人員也補充說明，當時Candiru只鎖定Windows電腦下手，但這個WebRTC記憶體溢位漏洞與通訊協定有關，其他瀏覽器也可能受到影響。他們將漏洞細節通報蘋果，蘋果在7月20日發布新版Safari予以修補。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y"><span style="color: rgb(0, 0, 0);">思科資料中心網路管理系統存在漏洞，恐讓攻擊者取得root權限執行命令</span></a></strong></h3> <p>思科於7月20日發布資安通告，修補旗下資料中心網路管理系統Nexus Dashboard的3個漏洞，這些漏洞一旦遭到攻擊者利用，就有可能在沒有通過身分驗證的情況下遠端執行任意命令、讀取，上傳容器映像檔，以及發動跨網站偽造請求（CSRF）攻擊。</p> <p>其中最嚴重的漏洞是CVE-2022-20857，CVSS評分為9.8分，起因與部分API存取控制的配置有關，駭客可藉由發送偽造的HTTP請求，來存取特定的API，而能夠在受害裝置上執行任意命令。該公司發布Nexus Dashboard 2.2(1e)修補上述漏洞，並呼籲用戶儘速升級軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Confluence寫死帳密的漏洞</span></a></strong></h3> <p>企業協作平臺Confluence傳出內建寫死的帳號密碼，引發用戶高度關注，但有別於一般將帳密直接寫入程式碼的情況，這個漏洞竟是附加元件在部署流程裡，自動建立的系統帳號造成。</p> <p>Atlassian於7月20日，針對Confluence伺服器與資料中心，修補重大漏洞CVE-2022-26138，此漏洞與名為Questions for Confluence附加元件有關，原因在於企業在Confluence伺服器上部署此附加元件後，就會自動建立帳密皆為disabledsystemuser的帳號，此帳號為confluence-users群組成員，駭客很有可能用來入侵此協作系統並發動攻擊。該公司發布Questions for Confluence新版2.7.38、3.0.5來修補漏洞，管理者亦可透過移除此帳號來處理。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://news.ltn.com.tw/news/politics/paper/1529049"><span style="color: rgb(0, 0, 0);">我國將智慧監控醫院、故宮博物院列為關鍵基礎設施</span></a></strong></h3> <p>根據自由時報的報導，行政院正在界定新的關鍵基礎設施（CI）名單，目前已完成關鍵基礎設施主管機關的自評流程，預計於8月至9月呈報行政院複評，行政院將在10月完成指定。這份名單中，傳出臺電中央電力調度中心，以及核一、核二、核三廠皆被納入，但核四廠因為已經封存且停止運作，將不再列為關鍵基礎設施。</p> <p>而在本次規畫新增的設施裡，包含了24小時智慧監控醫院，以及典藏國家文物的故宮博物院。不過，該報導指出，故宮採用封閉的內部網路，沒有與網際網路連接，相關的資安事宜不必呈報行政院納管。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-starts-blocking-office-macros-by-default-once-again/"><span style="color: rgb(0, 0, 0);">微軟再度啟用Office封鎖機制，停用從網路下載的巨集</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion"><span style="color: rgb(0, 0, 0);">資安業者揭露勒索軟體Conti破壞哥斯大黎加政府的經過</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】  上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】  俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】  可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> </div></div></div>

烏克蘭以俄國入侵歷史發行NFT

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/FedorovMykhailo/status/1507337161045168135" target="_blank">烏克蘭上周宣布成立一項NFT計畫</a>，將以俄國入侵的歷史發行NFT，成為第一個政府支持的NFT計畫。</p> <p>在NFT平臺Fair.xyz協助下，<a href="https://t.co/6iCMdBvIyw" target="_blank">烏國成立名為Meta History: Museum of War的NFT博物館</a>，以籌措未來重建所需的財源。該部門IT產業開發副部長Alex Bornyakov指出，重建國家需要現代解決方案，而IT、區塊鏈與NFT已成為保存烏克蘭國家及歷史的工具。</p> <p>這個網站紀錄了俄羅斯2月24日入侵烏克蘭以來的時間表，包括第一則為早上5:45俄國對烏東頓巴斯（Donbas）地區宣布特別軍事行動。</p> <p><a href="https://twitter.com/FedorovMykhailo/status/1507337161045168135" target="_blank">烏國數位轉型部長Mykhailo Fedorov 指出</a>，俄羅斯利用坦克摧毁烏克蘭，烏克蘭就靠革命性的科技，Meta History UA NFT博物館是保存戰爭記憶，以及頌揚烏克蘭認同和歷史的集結。烏國表示，消費者從這裏的交易都是100%良善且穩當的，因為他們使用智慧合約協定，所有所得都會直接匯入烏克蘭數位轉型部，用於幫助烏國人民和軍隊。而其智慧合約也都經過頂級加密技術專家的稽核。</p> <p class="rtecenter"><a href="https://twitter.com/FedorovMykhailo/status/1507337161045168135" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-Mykhailo%20Fedorov-%20Meta_History_UA-600-1.png" style="width: 550px;" /></a></p> <p>為了抵抗俄國，烏克蘭想方設法籌措財源。例如戰爭初期烏國發行戰爭債，也透過加密貨幣獲得外國匯款。從2月24日截至3月初，<a href="https://www.ithome.com.tw/news/149701" target="_blank">加密貨幣社群已經捐了</a>價值5,570萬美元的加密貨幣給烏克蘭政府。這個數字到3月10日<a href="https://twitter.com/gokhshteinmedia/status/1501718296441335811" target="_blank">已突破1億美元</a>。</p> </div></div></div>

義大利博物館用AI評量畫作的受歡迎度

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.enea.it/it/Stampa/news/beni-culturali-al-via-il-progetto-shareart-per-misurare-il-gradimento-delle-opere-d2019arte-con-l2019intelligenza-artificiale" target="_blank">義大利一家博物館</a>利用相機及人工智慧（AI）、大數據（Big Data）的技術，可更客觀分析展出的畫能否受到觀眾青睞，以及有多受歡迎。</p> <p>義大利波隆納博物館研究所近日使用一家廠商ENEA於2016年開發出的ShareArt，希望能在不需訪問參觀者情況下，協助觀畫研究。博物館方指出，對於觀畫，他們一直想知道包括人們欣賞畫會有哪些動作？人為和環境因素怎麼影響觀畫？傳統答案都只是猜測，希望以科技來回答這許多疑問。</p> <p>這套系統是以市售相機及後端AI及分析軟體組成。博物館選擇數個展廳作為實驗場所，將系統設置在展出的畫旁邊，拍攝並蒐集畫作周遭人們移動的資訊作為分析。這套系統蒐集的資料包括人們走向畫的路徑、畫作前聚集的人數、觀畫者和畫的距離及他注視畫的時間、觀畫者的年齡層、性別，或是臉上表情等等。蒐集到的資訊傳送到後端，研究人員可透過Web應用存取資料並以AI技術分析。<a href="https://www.bloomberg.com/news/articles/2021-07-15/new-museum-technology-collects-data-on-viewing-habits" target="_blank">數據顯示</a>，一般民眾一幅畫只會看個4、5秒，極少數才能吸引人們目光駐足超過15秒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Crocefissione.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／ENEA</span></p> <p>對博物館方面來說，藉由了解參觀者的動作，也能作為布展環境及動線安排的改進憑據。</p> <p>而在2021年的今天，這套系統還多了個防疫控管的效用。它可即時辨識出展間內人群彼此距離是否太近或<a href="https://www.youtube.com/watch?v=U6_hKPPtMQQ" target="_blank">參觀者是否有戴好口罩</a>，若偵測到不符合規定者也會立即發出提醒。</p> </div></div></div>

Audacity修改隱私條款蒐集資訊引發眾怒

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.audacityteam.org/about/desktop-privacy-notice/" target="_blank">音訊編輯軟體Audacity近日宣布</a>更新隱私條款將蒐集用戶資訊，引發用戶不滿，並被人質疑變成了間諜軟體。</p> <p>Audacity是知名開源音樂或聲音檔剪輯軟體，受到許多播客及音樂製作人士的歡迎，全球用戶高達1億。Audacity 4月間被跨國公司Muse Group收購，後者同時也擁有MuseScope及Ultimate Guitar等音樂製作軟體。被收購後的Audacity仍然免費提供。</p> <p>不過Muse Group本周公布的<a href="https://github.com/audacity/audacity/discussions/1225" target="_blank">隱私政策更新公告</a>，卻引發用戶不滿。在新版隱私政策下，Muse Group 計畫蒐集「非常有限」的資料，包括IP位址、OS版本及CPU類型等基本硬體資訊、錯誤回報資料（選擇性）。此外，在法院要求、警方辦案或其他國家政府要求下，該公司也會提供用戶資料。</p> <p>此外，根據<a href="https://www.audacityteam.org/about/desktop-privacy-notice/" target="_blank">Audacity的隱私政策</a>，用戶資料有時也會分享給俄羅斯總公司WSM集團，作為App分析及服務改進、法律遵循等用途。除了法院、執法機關及政府，Audacity有合法業務關係的員工及可能買主也能存取到用戶個資。</p> <p>這在網路論壇上迅速引爆<a href="https://github.com/audacity/audacity/issues/1213" target="_blank">用戶不滿</a>，揚言移除這款軟體，甚至<a href="https://fosspost.org/audacity-is-now-a-spyware/" target="_top">有人認為</a>在此新隱私政策下Audacity等於變成了間諜軟體。</p> <p>Muse Group策略長Daniel Ray透過<a href="https://www.bbc.com/news/technology-57721967" target="_blank">BBC</a>駁斥這項指控。他說隱私政策是所有傳送資訊給開發商的軟體必備要件，是由律師撰寫，對象也是律師，不是一般使用者。他強調，Muse公司不想知道用戶任何資訊，包括個資，也未曾蒐集。</p> <p>該公司強調，為了確保用戶隱私，歐洲用戶資料將儲存在歐洲。而未來13歲以下的兒童，也將無法使用Audacity。</p> <p>這是因為隱私政策變更引發用戶不滿的最新例子。今年一月<a href="https://www.ithome.com.tw/news/142081" target="_blank">WhatsApp</a>也因公告新版隱私政策引發反彈，一度造成用戶流失。WhatsApp希望蒐集在臉書、Instagram及WhatsApp上和店家通訊，及行動網購的用戶，作為發送個人化廣告之用。原本WhatsApp計畫不同意的用戶必須刪除，但在批評風波後<a href="https://www.ithome.com.tw/news/144716" target="_blank">做了調整</a>，即使不同意的用戶也能持續使用完整功能。</p> </div></div></div>

IoT雙周報第80期：NFC近場通訊技術標準正式加入WLC無線充電新模式，可用於低功耗的小型IoT裝置

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>05/02~05/15精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> NFC充電</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IoT裝置  </span></strong></span></p> <p><span style="font-size:22px;"><strong>NFC將有無線充電功能了！低功耗的小型IoT裝置將有新的充電選擇 </strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961-IoT%E9%9B%99%E9%80%B1%E5%A0%B1(1).jpg" style="width: 600px; height: 347px;" /></p> <p>負責制定全球NFC技術標準的NFC論壇，於近日宣布其董事會已核准通過在NFC近場通訊功能採用名為無線充電規格（WirelessCharging Specification，WLC）的技術，未來可用於內建NFC感應晶片的小型IoT裝置。這也意味著，原本僅作為通訊用途的NFC，未來在同一電子裝置裡，將能同時提供感應與充電兩種功能。這也是繼點對點、讀取/寫入、卡片模擬模式後，NFC新加入的第4種非接觸式操作模式。</p> <p>雖然在充電功率上，WLC規格只提供充電最高1瓦特，並不如主流無線充電規格Qi高，可提供5瓦、10瓦、甚至30瓦的充電功率，但WLC設計上，可以NFC單條天線同時執行通訊和充電，更為省電，因而適合用於低功率的IoT裝置，像是無線耳機、智慧型手錶、健身智慧腕帶、數位筆等小型消費裝置都適用。WLC規範目前已成為NFC論壇正式技術規格，並準備提供IoT硬體廠商實作。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕車 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Waymo  </span></strong></span></p> <p><span style="font-size:22px;"><strong>Waymo將於5月恢復自駕車營運，美國鳳凰城先復駛 </strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962-IoT%E9%9B%99%E9%80%B1%E5%A0%B1(1).jpg" style="width: 600px; height: 338px;" /></p> <p>Alphabet旗下的自駕車子公司Waymo於7日宣布，將逐漸恢復自駕車營運，包括重新提供載送服務，並繼續無人自駕車道路測試。由於受到武漢肺炎疫情的影響，為了配合各州防疫政策，該公司自3月決定暫停所有自駕車測試與營運。在停駛近2個月後，該公司近日表示，在確保個人健康與安全無虞前提下，將開始逐步恢復原有自駕車業務的運作，時間將自5月11日起。Waymo表示，第一階段將以測試車隊的復駛為主，重返道路展開測試；接著，將會重啟Waymo One自駕車叫車服務，並先以亞利桑那州的鳳凰城地區開始提供，接下來數周內也會加入舊金山、底特律和洛杉磯等城市。Waymo也重新規畫了自駕車移動與接送方式，以符合社交距離的要求，並也加強人員培訓以及車內消毒與清潔，為自駕車復駛做好準備。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無人機 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Remote ID   </span></strong></span></p> <p><span style="font-size:22px;"><strong>FAA公布以英特爾、亞馬遜、Wing為首的無人機RemoteID技術夥伴，中國無人機製造商DJI未列入名單 </strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.jpg" style="width: 600px; height: 287px;" /></p> <p>去年底，美國聯邦航空管理局（FAA）要求未來無人機要導入Remote ID技術，可供執法或聯邦安全機構自遠端辨識其身分，以改善無人機的安全。近日，FAA經過RFI提案審查公布8家技術合作夥伴，分別為Amazon、Intel、Airbus、Wing、AirMap、One Sky、Skyward、T-Mobile等，但並未包含中國最大無人機製造商DJI。</p> <p>FAA表示，未來將透過與這些無人機廠商與電信業者的合作，協助制定Remote ID技術規格，以便於其他無人機服務商可以依據此規格開發RemoteID所需的應用程式，並透過該應用向安全機構提供辨識正在飛行的無人機及其位置等資訊。目前該技術規格與先前提出的Remote ID規則都還在研擬當中，FAA表示，待公布正式規則以後，也將一併公布相關Remote ID應用要求，並開放相關業者申請，以符合FAA的規定。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IoT安全 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  SIEM  </span></strong></span></p> <p><span style="font-size:22px;"><strong>RSA推出物聯網安全監測工具，可提供相似SIEM安全資訊和事件管理功能</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964-%E5%9C%964-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.jpg" style="width: 600px; height: 331px;" /></p> <p>老牌資安產品及服務供應商RSA近日推出一個物聯網安全監測工具IoTSecurity Monitor，可強化IoT裝置和軟體安全性。該工具主要被運用於邊緣運算閘道器，採用先進行為分析與威脅偵測技術，來檢測對於IoT與邊緣裝置的威脅。該公司技術長Zulfikar Ramzan表示，該工具其中一個用途是可以提供近似於安全資訊和事件管理（SIEM）的功能，可以做到針對IoT裝置與工控OT系統即時進行安全監控，並能在偵測到威脅時立即反應，還能以視覺化方式來呈現這些異常事件或監測結果，方便安全管理者查看，早一步採取防護行動，以降低安全風險。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure Sphere   </span></strong></span></p> <p><span style="font-size:22px;"><strong>為強化安全物聯網平臺Azure Sphere的安全，微軟舉行挑戰賽祭出最高10萬美元獎金抓漏</strong></span></p> <p>微軟近日推出一項Azure Sphere安全研究挑戰賽，廣邀各路資安領域好手來抓漏，協助該公司找出Azure Sphere的安全漏洞。Azure Sphere是微軟今年2月推出一個安全物聯網平臺，由Azure Sphere作業系統、MCU晶片與Azure雲端安全服務所組成。為了強化Azure Sphere在IoT裝置的安全性，微軟決定推出Azure Sphere抓漏挑戰賽，並開放安全研究人員在5月15日以前提出申請，挑戰時間將為期3個月，從今年的6月1日到8月31日。若參賽者能在其中的Pluton安全子系統硬體上執行程式，或是在具備安全監控能力的SecureWorld執行程式，都有機會獲得最高10萬美元的獎金。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">無人機 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DJI    </span></strong></span></p> <p><span style="font-size:22px;"><strong>DJI新款工業用無人機Matrice 300 RTK亮相，結合更先進避障功能，續航可達近1小時</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965-%E5%9C%965-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.jpg" style="width: 600px; height: 420px;" /></p> <p>中國無人機廠商DJI最近推出新款工業用無人機Matrice 300 RTK，不僅飛行續航更長，在充飽電的狀態下，可以提供多達55分鐘的續航時間，且無需關機即可更換電池，還支援快充充電。這代無人機也改進了影像傳輸系統，能讓無人機從15公里遠的地方回傳即時影像畫面，並可維持1080p高畫質影像。而在環境感知及避障方面，該無人機還採用6向定位感測和位置追蹤技術，能偵測最遠40公尺障礙物，還加入如Smart Track物體自動追蹤等先進AI功能。它的機身還搭配一組Zenmuse H20雲臺相機，內含一個2,000萬畫素變焦鏡頭、1,200萬畫素廣角鏡頭、雷射測距儀，用於環境數據蒐集，還能整合紅外線攝影機，可運用於空中巡檢、環境測繪、安防等不同領域應用。該無人機將於下半年上市，但尚未公布售價。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧醫療</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  科技防疫    </span></strong></span></p> <p><span style="font-size:22px;"><strong>北醫聯手工研院試導入醫療防疫照護平臺，靠IoT與AI技術實現遠端患者病情監測，降低接觸感染風險</strong></span></p> <p>臺北醫學大學附設醫院近日於類負壓隔離病房導入一個零接觸式防疫科技平臺，用於防疫醫療照護。該平臺採用了工研院團隊開發的物聯網智慧閘道器與AI影像心律偵測技術，可將量測到的患者體溫、心律、呼吸、離床等生理資訊，改透過非接觸式的醫療IoT感測器匯整並通報給遠端的護理站，以降低醫療人員與患者近距離肢體接觸感染的風險。護理人員一旦發現異常，能透過該平臺以視訊向病患詢問與溝通，不需要多次進出病房，患者也能透過手機App即時取得自身生理數據、醫療記錄及相關衛教資源。</p> <p>圖片來源／圖片來源／DJI、NFC論壇、RSA、Waymo</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong><strong><strong>1.受到COVID-19疫情衝擊，福特決定延後自駕車商用服務至2022年上路</strong></strong></strong></p> <p><strong><strong><strong>2.中華電信正式取得AWS IoT能力認證，為臺灣電信商第一 </strong></strong></strong></p> <p><strong><strong><strong>3.傳聞微軟將以1.65億美元買下以色列工業IoT安全業者CyberX </strong></strong></strong></p> <p><strong><strong><strong>4.以GPS廠商Gurtam為首的數家IoT業者，新成立COVID-19物聯網聯盟，要協助各國對抗疫情 </strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2020年5月</strong></strong></p> </div></div></div>

OpenAI發布可自創歌曲的機器學習框架Jukebox

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/jukebox/" target="_blank">非營利人工智慧研究組織OpenAI發布了最新的人工智慧應用Jukebox</a>，這是一個可以產生各種類型和風格歌曲的神經網路，OpenAI現在將模型權重和程式碼，以及用於探索生成樣本的工具發布在GitHub上，供其他研究人員進一步深入研究。</p> <p>在早前就有不少音樂自動生成的研究，最先出現的是音符產生器，生成可以彈奏的樂譜，但是這種方法雖然能夠安排音符出現的時機、音高、速度和演奏樂器，製造出巴哈聖詠、複音音樂等作品，但是其具有不少限制，無法捕捉人聲，以及其他音樂細節，像是音色、力度和表現性。</p> <p>另一種音樂自動生成的方法，則是直接以音訊層級生成音樂，但這種方法也不容易，光以16位元44 kHz的CD音質，產生典型4分鐘的歌曲，就需要超過一千萬時步（Time Step），研究人員提到，這是要在音訊層級產生音樂的一大挑戰，相比OpenAI Five在每場Dota遊戲中，才花費數萬時步而言，千萬時步是一個很大的前進，因此要學習音樂的高階語義，模型需要能夠處理極長的相依關係。</p> <p>OpenAI提到，他們之所以會開始進行人工智慧在音樂上的應用，因為這是生成模型當前的界限，OpenAI之前的相關研究MuseNet，探索了大量MIDI資料合成音樂的方法，而現在他們從原始音訊中，讓模型解決高多樣性和超長結構的問題，且特別的是，在原始音訊域無法容忍發生在短期、中長期和長期時序的錯誤。</p> <p>OpenAI研究團隊使用自動編碼器解決這個問題，編碼器會移除無關的訊息位元，將原始音訊壓縮成較低維的空間（下圖），而新模型會在壓縮空間中產生音訊，然後將其採樣回原始音訊空間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202020-05-04%20%E4%B8%8B%E5%8D%883_55_06.jpg" style="width: 580px;" /></p> <p>為了訓練這個模型，OpenAI在網路上抓了120萬首歌組成新的資料集，其中有60萬首是英文歌，並配對LyricWiki的歌詞和元資料，歌曲元資料包含藝術家、專輯類型和歌曲年份，還有與每首歌曲相關聯的心情和播放列表關鍵字，以32位元44.1 kHz的原始音質，並隨機降混（Downmix）左右聲道產生單聲音訊，達到資料增強的目的。</p> <p>研究人員提到，雖然Jukebox無論是在音樂品質、連貫性、音訊樣本的長度，以及對藝術家、類型和歌詞的適應能力都往前一大步，但Jukebox所創建的音樂與人類的作品相比，仍是天壤之別。雖然Jukebox產生的歌曲，在局部具有連貫性，可產生遵循傳統的和弦模式，甚至表現出深刻的獨奏，但是卻不會有像是重複的副歌這類大型的音樂結構。</p> <p>而且由於受Jukebox所使用的採樣技術影響，採樣的過程非常緩慢，約要9個小時才能渲染出一分鐘的音訊，所以現在的成果還不能放在互動式的應用程式中。此外，Jukebox的訓練資料集，主要是西方音樂，歌詞的部分都是英文，將來OpenAI希望可以將Jukebox擴展應用更多地區的歌曲。</p> <p>除了研究成果之外，這項研究在推特上受到討論的另一個點，在於版權問題，因為Jukebox自動產生各種風格的歌曲，這些歌曲可能包含知名歌手的聲音以及相似風格的旋律，因此OpenAI也被質疑，在把這些歌曲作為訓練資料集之前，是否有取得適當的授權，但有人則認爲，這可能要討論用來訓練人類跟訓練機器人原始資料的不同之處。</p> </div></div></div>

AI趨勢周報第83期：北市教育局聯手臺大，推動中學AI教育

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0426～0502)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">北市教育局  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  臺大  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  AI課程  </span></strong></span></p> <p><span style="font-size: 22px;"><strong>北市教育局攜手臺大，要培養北市AI師資</strong></span></p> <p>為因應AI浪潮，臺北市教育局日前與臺大簽署AI教育合作備忘錄，要來推動臺北市AI教育，並培育AI師資。在AI教育方面，包括規畫AI教育專案、協助校長和教師發展專業訓練課程、在學校推動AI教學、協助資訊教師投入AI專案發展。在AI師資培育方面，永春高中希望藉教師專業課程來銜接實際教學，中正高中則期望課程能結合機器人語言與電腦視覺，以培育日後相關競賽選手。</p> <p>另一方面，永春高中已於今年4月開設2班AI科技學程班，共有6堂系列課程，像是AI 科普認知、Python機器學習與深度學習應用、實作AI Line 聊天機器人等，招收臺北市高中職學生共60名。中正高中則計畫於108學年度開設AI課程，以基礎邏輯、AI技術、AI應用場景探討等3層次為主軸。<a href="https://www.doe.gov.taipei/News_Content.aspx?n=0F560782595DACFC&amp;sms=72544237BBE4C5F6&amp;s=776B1A32A4D43FB4">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  OpenAI  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  MuseNet </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  音樂生成  </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI發表作曲AI技術MuseNet </strong></span></p> <p>OpenAI發表一款深度神經網路MuseNet，可自行用10種不同樂器演奏長達4分鐘的曲子，還能結合各種風格，比如鄉村、莫札特、流行樂等。OpenAI並未教MuseNet任何樂理，而是讓它從數十萬個MIDI音樂檔中，去學習預測下一個音樂風格的token，藉此找出樂曲的和弦、節奏和風格模式。MuseNet採用通用非監督式技術，也就是一種大型Transformer模型，訓練後可預測序列中的下一個token，可用於音訊和文本。</p> <p>OpenAI指出，在打造MuseNet時，團隊首先建立了作曲token和樂器token，以控管MuseNet產生的樂曲種類。在訓練階段，團隊將這些token加入到每個樣本前面，好讓模型用這些資訊來學習預測音符。在生成階段時，模型就能根據給出的提示（比如蕭邦夜曲的前5個音符），來產生風格相符的樂曲。OpenAI將於5月12日釋出MuseNet原型，開放民眾試用簡易版和進階版MuseNet。<a href="https://openai.com/blog/musenet/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MuseNet.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  靜宜大學 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  生殖醫學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  AI  </span></strong></span></p> <p><span style="font-size:22px;"><strong>準確率8成！靜宜大學開發出能預測人工受孕成功率的AI </strong></span></p> <p>靜宜大學聯手清大、北醫、臺科大以及數家生殖醫學中心，經1年努力研發出人工受孕（IVF）AI預測模型，準確率達8成。靜宜大學校長唐傳義表示，團隊首先利用生殖醫學中心資料，篩選出胚胎成功著床的特徵，將胚胎影像結合生化檢測數值，打造成一套AI分析引擎，可預測胚胎品質和受孕機率，並提供最佳受孕治療方式的建議給醫生。後來，團隊進一步結合AI和光動力學，研發出縮時影像判讀技術，建立非侵入性、準確率更高的胚胎預測系統，可從細胞向量移動中，得知細胞形變和活動力。唐傳義提到，該技術已申請專利，最快今年可進行臨床驗證。</p> <p>此外，靜宜大學今年也將完成AI個案管理系統，以微服務系統開發方法，來提供IVF個案管理平臺。靜宜大學表示，一直以來，生殖醫學中心資料多以紙本記錄，也未與病歷系統、檢驗影像設備整合，而AI個案管理系統就是要解決這個問題。<a href="http://www.pu.edu.tw/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Sparse Transformer    </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  預測 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI正研發一套深度神經網路模型，可預測數萬個序列元素的複雜關係</strong></span></p> <p>OpnAI近日開發一套深度神經網路模型Sparse Transformer，以改良過的注意力（Attention）演算法，能從比以往長30倍的文字、圖像或語音序列中萃取出模式，進而預測下一段文字、圖像或語音。OpenAI指出，目前AI研究的挑戰之一，就是用難以察覺相互關係的複雜資料（如圖像、影片、語音）來建立預測模型。而Sparse Transformer可利用數百層神經網路，為數萬個元素序列來建模，可用於多種領域。</p> <p>注意力機制，是指在Transformer模型中，每個輸入和輸出資料之間的權重會依各種情況來動態計算。雖然該機制能使Transformer比固定連接模式的模型更彈性，但當資料類型含有多個元素時，就會耗費龐大的記憶體資源。因此，OpenAI利用稀疏（Sparse）注意力模式，也就是只針對每個輸出位置，從輸入位置的子集合中計算權重，當子集合比整個輸入集小時，即便是非常大的序列，注意力計算結果也較容易處理。<a href="https://eng.uber.com/linux-uber-gold-membership/">（詳全文）</a></p> <p><img alt="" src="https://openai.com/content/images/2019/04/cond-grid-1.png" style="width: 716px; height: 521px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  TPU  </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  影像分割 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google為雲端TPU運算服務開源釋出兩套影像分割模型</strong></span></p> <p>Google最近為雲端TPU運算服務開發了兩套影像分割（Segmentation）模型：Mask R-CNN和DeepLab v3+。Mask R-CNN是一個兩階段的實例分割模型，能用來定位影像中的多個物體，第一階段先從輸入影像中萃取出特徵，產生區域分割建議；第二階段則是過濾並精化區域分割建議，進而預測每個物體的類別，以及為每個物體生成一個像素級的遮罩（Mask）。</p> <p>DeepLab v3+則是個快速又準確的語義分割模型。Google在TensorFlow 1.13框架中，搭配雲端TPU v2和TPU v3硬體，用PASCAL VOC 2012資料集訓練DeepLab v3+模型，若只用單個雲端TPU v2設備來訓練，DeepLab v3+模型能在大約8小時內完成訓練，成本還不到40美元。Google指出，兩套模型的效能和成本不同，使用者可依據自身需求，來選擇適合的模型和TPU配置；此外，兩套模型也已開源釋出。<a href="https://cloud.google.com/blog/products/ai-machine-learning/whats-in-an-image-fast-accurate-image-segmentation-with-cloud-tpus">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/Mask_R-CNN_instance_segmentation_results..max-2000x2000.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">工研院</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  AI產業化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  AI晶片 </span></strong></span></p> <p><span style="font-size:22px;"><strong>工研院AI產業化新進展：今年專攻邊緣運算、開發影像辨識監視器實驗AI晶片新架構</strong></span></p> <p>工研院在2019國際超大型積體電路技術研討會（VLSI）中，針對AI on Chip計畫揭露新進展，今年要先聚焦在邊緣運算，預計年底推出具影像辨識功能的監視器，透過自動擷取終端影像、上傳雲端的方式，來減少資料傳輸量。</p> <p>AI on Chip計畫是工研院去年9月發起，由「AI on Chip示範計畫籌備小組」執行，要結合產、官、學，來建立AI晶片產業鏈。目前參與的業界廠商有20多家，包括IC設計公司與半導體製造商。這項計畫為期4年，今年目標聚焦於邊緣運算，要讓終端裝置的AI模型具備推論能力，預計年底推出具影像辨識功能的監視器設備，可在終端先用人臉辨識技術擷取片段影像，再上傳雲端。此外，工研院也計畫於6、7月聯合硬體、IC設計、IC製造商組成AI on Chip聯盟，要整合AI晶片的設計、製造與應用等上下游產業鏈。<a href="https://www.itri.org.tw/chi/Content/NewsLetter/contents.aspx?&amp;SiteID=1&amp;MmmID=620605426331276153&amp;SSize=10&amp;SYear=2019&amp;Keyword=&amp;MSID=1035156107462506661">（詳全文）</a></p> <p><img alt="" src="https://www.itri.org.tw/chi/WebTools/Thumbnail.ashx?Siteid=1&amp;MmmID=620605426331276153&amp;fd=NewsLetter_Pics&amp;Pname=20190423_vlsi.jpg&amp;nw=600" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">PAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">  偏見 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">  風險評估  </span></strong></span></p> <p><span style="font-size:22px;"><strong>國際組織籲現行演算法仍不適用於司法風險評估</strong></span></p> <p>由Google、臉書、Nvidia等科技巨頭與各國教育、新聞和非營利組織組成的Partnership on AI（PAI）日前發表一篇研究報告，指出現行的演算法仍不適用於犯罪風險評估和保釋預審流程，因為統計預測的有效性和偏見、訓練資料樣本的偏差都是當前風險評估工具的問題，而且高、低風險也未有明確的定義。</p> <p>美國去年通過了第一步法案（First Step Act）和加州SB 10法案，該法案允許以演算法來取代原有的現金保釋制度。但PAI在報告中指出，刑事風險評估工具最凸顯了演算法偏見的嚴重性，該報告也表明，在部署風險評估系統時，應滿足10項條件，比如訓練資料集需計算預期的變數，或是透過重新加權，來改善歷史偏見問題。<a href="https://www.partnershiponai.org/report-on-machine-learning-in-risk-assessment-tools-in-the-u-s-criminal-justice-system/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PAI.JPG" /></p> <p>圖片來源／OpenAI、Google、工研院</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 歐洲議會通過92億歐元的科技預算，將用來研發超級電腦、AI及網路安全</strong></p> <p><strong>2. 新版Nextcloud 16能以機器學習偵測可疑登入行為</strong></p> <p><strong>3. 美國知名房地產網站用電腦視覺模型自動將圖片編輯為3D看房導覽</strong></p> <p><strong>4. 中華電信自行研發的中文智慧聲控服務平臺亮相，首推兩款智慧音箱</strong></p> <p>資料來源：iThome整理，2019年5月</p> </div></div></div>

AI也能作曲！OpenAI釋出用於作曲的深度神經網路MuseNet

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在人工智慧也會作曲了，OpenAI<a href="https://openai.com/blog/musenet/">開發了深度神經網路MuseNet</a>，可以用10種不同的樂器，結合鄉村、莫札特或是Lady Gaga等風格，製作長度四分鐘的音樂作品，OpenAI並沒有教MuseNet樂理或是編曲理論，而是讓人工智慧從數十萬個MIDI檔案中學習，探索合聲、節奏和風格等樂曲元素。</p> <div class="media_embed" height="166px"> <iframe allow="autoplay" frameborder="no" height="166px" scrolling="no" src="https://w.soundcloud.com/player/?url=https%3A//api.soundcloud.com/tracks/608629956&amp;color=%23ff5500&amp;auto_play=false&amp;hide_related=false&amp;show_comments=true&amp;show_user=true&amp;show_reposts=false&amp;show_teaser=true" width=""></iframe></div> <p>MuseNet使用通用用途的非監督式技術GPT-2，這是一種大規模的Transformer模型，經訓練之後可用來預測音訊或是文字的序列。OpenAI收集了多種音訊來源，作為MuseNet訓練資料，除了ClassicalArchives以及BitMidi兩個服務，貢獻的大量MIDI檔案之外，他們也在網路上收集了流行、非洲、印度、阿拉伯等風格的音樂，另外，還使用了MAESTRO資料集。</p> <p>Transformer模型被要求給定一組音符之後，有能力預測接下來的音符，OpenAI經各種試驗，找到了最有表現力和簡潔的編碼方式，將音調、音量和樂器訊息組合成單一的令牌。在訓練的時候，OpenAI透過升高或是降低音調以置換音符，也藉由調高或是調低各種樣本的整體音量，以強化音量效果，在強化樂曲時間上的變化，則是透過加速與減慢音訊片段達成。</p> <p>同時OpenAI還創建了一個批評者，在模型訓練期間，不停地詢問模型，檢視給定的樣本是來自真正的資料集，抑或是模型過去產生的結果，批評者會對樣本給出分數，當MuseNet在生成輸出的時候，會根據這個分數選擇樣本。OpenAI添加了數種嵌入（Embedding），讓模型能夠為樂曲加入更多樣的特徵，包括和弦或是音樂作品長短等變化。</p> <p>OpenAI創造了作曲家以及樂器令牌，讓使用者方便地控制MuseNet樣本種類，在訓練的時候，這些作曲家以及樂器令牌會被加到每個樣本中，因此模型可以依據這些資訊預測音符，而在生成階段，模型會依據使用者指定的作曲家以及樂器，進行音符預測。由於MuseNet掌握許多不同的音樂風格，因此還可以用新穎的混合方法，融合不同的風格。</p> <p>OpenAI將這個早期成果公開，使用者在簡單模式中，可以透過指定作曲家或是風格，以及一個著名的音樂作品作為開頭，程式便會接續創造出新的音樂作品，使用者能簡單地嘗試各種不同的音樂風格組合。</p> <p>而在高級模式中，有更多的參數可以設定，也需要較長的生成時間，但是可以讓使用者靈活地產生更有創意的作品。OpenAI提醒，將差異過大的風格與樂器合在一起，像集合蕭邦風格與貝斯和鼓，會讓MuseNet產生意料之外的結果，選擇適合作曲家的樂器可以讓結果更自然些。</p> </div></div></div>

Meta開源Muse Gadgets硬體開發套件，支援自製AI裝置

Meta開源Muse Gadgets，讓開發者利用ESP32開發板、Raspberry Pi等現成硬體自製AI裝置，並加入螢幕、按鈕、感測器及音訊功能

• #AI

五大科技巨頭主動型Agent大比較，一張表告訴你Dots、Muse和Spark有何不同

從11個項目來比較這些Agent產品的特色和差異，一張表就能快速了解五大巨頭的主動式Agent產品，也可作為評估和試用新型態Agent時的參考。

• #AI
• #Software
• #Dev
• #CIO

Meta推出主打小型企業用的Muse for Small Business

Meta推出小型企業版AI代理Muse for Small Business，可串接Shopify、Stripe、Slack等第三方服務，協助店家處理行銷、行政及客服工作，還能分析銷售、行銷活動與社群表現，提出成長策略

• #AI

Meta成立企業AI平臺，整合Muse等工具進軍企業市場

Meta正式進軍企業AI市場，成立Meta Enterprise Platform，將個人AI代理人Muse、Meta Business Agent、Muse API及Muse Code等技術提供給企業與開發者

• #AI