Claude Code程式碼外洩，研究人員揭露開發人員安全風險

來源：https://www.ithome.com.tw/news/174870

Anthropic Claude Code外洩引發眾多有興趣的使用者從GitHub等平臺下載測試，但資安廠商Zscaler研究人員警告，可能導致引進惡意程式、引進新漏洞，造成供應鏈攻擊或本地開發環境破壞等後果。

Anthropic本週Claude Code程式碼外洩。由於內部人員作業不慎，誤將程式來源映射檔（source map file）指向NPM套件並發布於網上，並指向Claude Code完整未經混淆的TypeScript原始碼壓縮檔（.zip）。這個59.8 MB的.zip為Claude Code套件2.1.88版，內含51.2萬行程式。若經還原可了解Anthropic AI技術細節及未來開發藍圖。訊息公開不久後，已有眾多開發人員從Anthropic的Cloudflare R2 bucket下載、在GitHub建立映射，或是分叉。有些GitHub儲存庫甚至獲得8.4萬顆星及8.2萬次分叉。雖然Anthropic已向數個映射站發出數位千禧年版權法（Digital Millennium Copyright Act,DMCA）通知以阻止散布，但已難以阻止智慧財產外洩。

Zscaler指出，在GitHub上散布的數千個儲存庫可能造成的風險之一是供應鏈攻擊；攻擊者可能在分叉或儲存庫注入後門程式、竊資軟體或採礦程式。第二是濫用Claude Code已知或新漏洞。Claude Code既有漏洞包括CVE-2025-59536、CVE-2026-21852可能被惡意配置檔、hooks、MCP伺服器等武器化。而且攻擊者也可能透過檢視程式碼，製作精準惡意儲存庫或專案檔案，造成任意shell執行或竊取憑證。此外，使用者將未檢視的程式碼下載到工作站上，可能引入不安全的相依性或執行路徑，本週稍早Axios NPM供應鏈攻擊，攻擊者試圖在Windows、macOS、Linux開發環境植入木馬程式，也是出於類似原因。

除了理論推估，Zscaler研究人員也發現了由代號idbzoomh的用戶發布名為「Claude Code leak」的GitHub儲存庫.Zip檔，實則散布竊資程式。這個儲存庫README檔甚至宣稱是經由Claude Code NPM套件.map檔下載並分叉而成，具有「無鎖定」企業功能，也沒有訊息限制。

Zscaler

這個惡意.Zip檔包含Rust撰寫的dropper ClaudeCode_x64.exe，一旦執行就會載入竊資軟體Vidar 及網路流量代理伺服器工具GhostSocks。Zscaler發現攻擊者在短短13小時內就更新了二次。此外，另一帳號則以「Download ZIP」檔散布同一批惡意程式。此外，三月初另一資安業者Huntress也發現另一個由GitHub散布活動，顯示有心人士正利用使用者對Claude Code外洩程式碼的好奇心發動攻擊。

為防止被「木馬化」（trojanized）Claude代理程式形成影子AI執行個體威脅資安，資安廠商建議企業用戶部署零信任架構來減低危險，並部署安全工具防範惡意程式濫用合法Claude代理人漏洞。

'

微軟擴大MAI模型版圖，補齊語音與影像能力

來源：https://www.ithome.com.tw/news/174869

微軟週三（4/2）於官方部落格宣布，在Microsoft Foundry推出3款自研AI模型，包括語音辨識模型MAI-Transcribe-1、語音生成模型MAI-Voice-1，以及文字生成圖片模型MAI-Image-2，顯示其正擴大MAI模型版圖，補齊語音與影像能力，邁向多模態AI布局。

Microsoft Foundry最初名為Azure AI Foundry，定位為Azure上的AI開發服務，隨著功能從模型存取擴展至工具與應用整合，微軟後續逐步改以Microsoft Foundry稱之，轉為整體AI平臺品牌。微軟亦於2025年8月透過Microsoft AI部門發表首批自研模型，包括語言模型MAI-1-preview與語音生成模型MAI-Voice-1，作為其自建基礎模型體系的起點。

此次發布的MAI-Transcribe-1為微軟首款語音轉文字模型，支援25種語言，主打企業級辨識準確度，並強調相較同類模型可降低約50%的GPU成本，可應用於會議逐字稿、客服通話分析與語音資料建檔等場景。MAI-Voice-1則可在單一GPU上於1秒內生成長達60秒的語音內容，強調語音自然度與情緒表達能力，適用於語音助理、客服回應與影音配音等應用。

MAI-Image-2則為文字轉圖片模型，著重寫實風格、版面控制與圖中文字呈現能力，可用於行銷素材製作、設計輔助與內容生成，顯示微軟正補齊影像生成能力，並強化跨模態生成布局。

這3款模型目前已整合至微軟自家產品體系，包括Copilot、Bing與PowerPoint，並透過Azure Speech與Foundry平臺對外開放，讓開發者可建置語音互動、內容生成與多媒體應用。微軟指出，語音與影像正逐漸成為AI代理人的重要互動介面。

外界認為，此舉顯示微軟正強化自研模型布局，並在語音與影像等領域與OpenAI、Google等業者競爭；此外，自研模型亦有助提升產品彈性與成本控制能力。

'

Google公布Gemma 4號稱最強本地端開放模型

來源：https://www.ithome.com.tw/news/174868

Google週四（4/2）以Apache 2.0開源最新版Gemma 4，以Gemini 3為基礎開發，號稱是現今最強大開放本地端AI模型。

Gemma 4主打以Gemini 3為基礎開發，具備強大能力，整個家族都不再只限於簡單對話，而能處理複雜邏輯和代理人工作流程。Gemma 4推出4個版本：Effective 2B (E2B)、Effective 4B (E4B)、26B Mixture of Experts (MoE)及31B Dense。根據Google說明，最大的二個版本都展現同級中最強效能，其中31B及26B版分別名列是Arena AI文字標竿測試中排行榜開放模型的第3及第6，也超過參數量更大的模型，如Mistral-Large3或DeepSeek-v3.2。

由於Gemma 4可在工作站執行，Google特別強調Gemma 4在開發上的效益。其一，Gemma 4具備更強推理能力，得以執行多步驟規劃及深度邏輯，在數學及指令遵從測試表現較前代大幅提升。Gemma 4原生支援功能呼叫、結構化JSON輸出及原生系統指令，使開發人員可以開發能透過API使用不同工具和執行流程的自主代理人。它也支援高品質離線撰寫程式，可在工作站執行開發工作，而且原生支援140多種語言，可用於開發出多個市場的應用程式。

Gemma 4家族具備更長脈絡（context）空間，基本款有128K，最大的二款有256K，允許用戶傳送儲存庫或長文件。所有4個模型都原生支援影片和圖像辨識，利於OCR及圖表理解。E2B和E4B版本還支援原生聲音檔輸入，可用於語音辨識和理解。

對Android開發人員而言，在Android Studio中Gemma 4可提供AI編程輔助，而利用ML Kit Gen Prompt API可直接在Android裝置上執行Gemma 4。

值得一提的是，相較於之前版本，Gemma 4採用如同Mistral、Qwen的無限制Apache 2.0授權開源，使其成為完全開放的版本。

Google強調Gemma 4支援眾多開發工具，包括Hugging Face(Transformer、TRL、Transformers.js、Candle)、LiteRT-LM、vLLM、llama.cpp、MLX,Ollama、NVIDIA NIM and NeMo、LM Studio、Unsloth、SGLang、Cactus、Baseten、Docker、MaxText、Tunix、Keras。以晶片平臺而言，Gemma 4為NVIDIA Jetson Orin Nano到Blackwell GPUs最佳化，能透過開源軟體ROCm整合AMD GPU，也能在Google的Trillium和Ironwood TPU平臺部署。

現在Gemma 4四個版本可分別在Google AI Studio（31B及26B MoE）及Google AI Edge Gallery（E4B及E2B）下載試用。欲客製化模型者可在自有遊戲GPU平臺環境，或是Google Colab或Vertex AI測試。Google也鼓勵開發人員在Google Cloud環境部署，包括Vertex AI、Cloud Run、GKE、主權雲（Sovereign Cloud）等。

'

OpenAI買下科技新聞談話節目TBPN

來源：https://www.ithome.com.tw/news/174867

OpenAI週四（4/2）宣布，已買下2024年才成立的科技新聞談話節目TBPN，雙方並未公布交易細節，但金融時報（Financial Times，FT）引述消息來源報導，該交易價值數億美元（low hundreds of millions）。

TBPN（Technology Business Programming Network）成立於2024年，由創業者Jordi Hays與John Coogan共同創辦，總部位於美國矽谷，定位為每日直播的科技談話節目。自2025年開始固定於平日直播約3小時，聚焦科技、AI與商業新聞，即時評論產業動態，並邀請企業高層進行訪談。來賓包含Meta執行長Mark Zuckerberg、微軟執行長Satya Nadella，以及OpenAI執行長Sam Altman等人。

該節目以「創業者主導媒體」為特色，風格偏向業界內部對話，強調即時性與觀點導向，在矽谷決策圈中快速累積影響力。主要透過廣告與贊助營收，曝光平臺涵蓋YouTube、X、Spotify、Apple Podcasts、LinkedIn及Instagram等，2025年收入約500萬美元，2026年預計突破3000萬美元。

OpenAI表示，收購TBPN是因應AI帶來的重大變革，傳統溝通方式已不足以支撐相關討論，因此希望透過TBPN建立一個讓開發者與使用者參與的對話平臺，並藉其既有影響力擴大AI相關議題的理解與交流。TBPN團隊之後將被併入OpenAI的策略部門。

華爾街日報（The Wall Street Journal，WSJ）指出，這象徵OpenAI進一步跨入每日新聞與媒體領域，並藉由該節目在矽谷決策圈的影響力，強化對AI相關討論的參與。

不過，Wired認為，OpenAI收購TBPN是為了改善近期形象並強化對AI公共討論的影響力；Business Insider則說這是OpenAI的公關及品牌策略，透過一個在矽谷具影響力的節目，提升OpenAI在產業與年輕科技受眾中的聲量。

'