微軟Foundry Local正式版發布，支援將本地AI推論整合進應用程式

來源：https://www.ithome.com.tw/news/175010

微軟Foundry Local正式推出，這是一套跨平臺的本地端AI推論方案，讓開發者透過SDK將AI模型直接嵌入應用程式，在使用者的裝置上離線執行推論，不需要雲端連線，也不會產生額外詞元（Token）運算費用。

Foundry Local讓開發者可將AI推論能力直接隨應用程式一併發布，開發者安裝SDK後，Foundry Local Core與ONNX Runtime執行檔會在建置階段自動納入應用程式。微軟表示，該方案體積精簡，不會明顯增加安裝包大小，終端使用者也不必另外安裝CLI工具或第三方軟體，即可直接使用AI功能。

其支援Windows、macOS與Linux。Windows版整合Windows ML（WinML）進行推論，並透過Windows Update自動取得與硬體相符的執行提供者外掛，以處理驅動程式相容性問題。macOS版則原生支援Apple Silicon，透過Metal提供GPU加速。Foundry Local會自動偵測硬體環境，使用GPU、NPU或CPU執行推論，開發者不需要額外撰寫硬體偵測邏輯。

SDK部分，Foundry Local提供Python、JavaScript、C#與Rust四種語言支援，推論API採用OpenAI相容的請求與回應格式，涵蓋聊天完成（Chat Completions）、音訊轉錄及Open Responses API。微軟表示，這讓開發者可以在雲端與本地推論之間順暢切換，而不需要額外架設本地HTTP伺服器，但如果應用場景需要REST呼叫，也可以在初始化時選擇啟用OpenAI相容的HTTP端點。

由於Foundry Local整合Foundry Model Catalog，應用程式首次執行時會從目錄下載針對裝置硬體最佳化的模型，後續則從本地快取載入。目前支援的模型系列包括GPT OSS、Qwen、Whisper、Deepseek、Mistral與Phi，同時支援可中斷續傳的下載機制，使用者即使中途關閉應用程式或斷線，下次啟動時可從中斷處繼續下載。

在微軟的AI部署架構中，Foundry Local負責裝置端推論，可在手機、筆電與桌機等終端裝置上執行模型，雲端則由Microsoft Foundry提供高階模型、AI代理人與微調服務。至於結合Azure Local的Foundry Local部署選項，目前仍處於預覽階段，主打將這些模型與代理式AI帶到用戶自有的分散式基礎設施。

微軟也揭露後續發展方向，包括擴充模型目錄、即時麥克風語音轉錄，更廣泛的NPU與GPU硬體支援，以及改進共享快取機制，讓多個應用程式能共用已下載的模型。Foundry Local的程式碼範例現已公開於GitHub。

'

企業面臨碳費徵收壓力節節升溫，碳權交易機制成減碳調適關鍵工具

來源：https://www.ithome.com.tw/news/175019

國內在今年開始徵收碳費之下，高碳排企業正面臨前所未有的財務壓力。成立已2年多的臺灣碳權交易所資深經理蔡旻樺在2026數位永續高峰會分享她的觀察，她以中鋼為例，若以其一年碳排放量約1,800萬噸，每噸300元碳費計算，若沒有任何碳費優惠費率下，相當於要繳交60億元，碳費成本已能直接左右企業的盈虧。在此背景下，碳權機制逐漸受到關注，成為企業因應碳費壓力的重要輔助工具。

蔡旻樺說明，政府推動碳費徵收制度的目的，並非是要增加企業營運的負擔，或是增加國家財政的收入，而是希望促使高碳排企業力行減碳，以迎合國際上淨零減碳的趨勢。同時也設計誘因機制，若企業提出自主減量計畫，如導入節能技術或低碳製程，碳費優惠可從每噸300元降至100元，甚至是50元，對鋼鐵、水泥等高碳排產業，還可能再打折，「可能變成一噸20元」，在減碳與產業競爭力之間取得平衡。

在此制度上，國內目前尚未導入總量管制與排放交易制度（ETS），而是採碳費制度。蔡旻樺指出，國際上例如歐盟的排放權價格約為「一噸3千元」，相較之下國內目前300元的碳費，「其實沒辦法反映市場上的減碳成本」，未來仍有上調空間。

至於市場上常提及的「碳權交易」，國內現階段以「自願性碳權」為主。蔡旻樺解釋，企業可透過造林、節能等減碳專案取得碳權，再於市場交易，「你願意去做一些減碳專案，經過環境部認證，就可以拿到碳權去賣」。

在這樣的制度架構下，2023年成立的臺灣碳權交易所扮演關鍵角色。蔡旻樺指出，國內碳權（法規稱為減量額度）依法「只能透過碳交所購買」，是唯一合法交易管道。

不過，碳權並非企業規避碳費的「捷徑」。蔡旻樺強調，現行制度下，國內碳權雖可用於抵減碳費，但比例有限，例如10%；國際碳權則尚未開放抵減碳費。因此，即便是中鋼這類高排放的企業，也無法單靠購買碳權解決龐大碳費支出，減碳仍然須回到製程改善與能源轉型本身，也是政府徵收碳費的本意，企業推動內部的減排措施。

她強調碳權並非企業減碳替代方案，「減碳最重要的還是自己減，不能只靠買碳權」，應先盤查排放、找出熱點，再進行減量，最後才以碳權補足無法削減的部分。

企業取得國際碳權多因應供應鏈壓力

從市場實務來看，企業購買碳權的動機也不僅止於法規需求。蔡旻樺指出，目前市場上「買比較多的是國際碳權」，原因在於價格較低，且多用於回應供應鏈壓力。

企業面臨來自供應鏈的壓力，特別是國際品牌將減碳責任下放至製造端，「像蘋果、微軟這些公司，95%以上碳排來自範疇三」，迫使臺灣供應鏈必須跟進減碳。此外，企業也會將碳權用於ESG揭露、產品碳中和或品牌行銷，例如飯店計算每晚碳足跡後，提供旅客加價抵銷碳排，或商品透過碳權達成「碳中和」標示。

但是碳費取得並不容易，蔡旻樺提醒，碳權的取得門檻不低。碳權必須具備「額外性」，也就是需證明減碳效果來自額外投入，並須經第三方查驗，整體開發流程「通常至少2到3年以上」。她直言，「如果有人說可以馬上給你碳權，90%都是騙人的」，呼籲企業審慎評估來源。

觀察國際趨勢，自然型碳匯（例如造林、紅樹林）仍是主流。她指出，科技大廠雖投入碳捕捉等技術，但目前成本高且尚未成熟，「種樹還是最快的方式」。此外，國際碳權專案多位於開發中國家，不僅降低成本，也可帶來供水、教育等聯合國永續發展目標（SDGs）效益。

整體來說，碳費與碳權市場形成互補關係，碳費透過財務成本壓力驅動企業減碳，碳權則提供企業彈性輔助調節工具。蔡旻樺強調，企業核心的因應策略應是「先減碳，再用碳權補不足」，而非本末倒置。隨著臺灣將於2030年前逐步導入總量管制與排放交易制度，臺灣碳市場也將持續朝更成熟的機制發展。

'

Juniper修補Junos OS網路作業系統多個漏洞，最嚴重漏洞可能導致遠端接管設備

來源：https://www.ithome.com.tw/news/175009

網路設備供應商HPE Juniper Networking近日發布安全公告，修補旗下網路作業系統Junos OS與Junos OS Evolved中近30項漏洞，這些漏洞可能被利用於權限提升、阻斷服務（DoS）及遠端執行指令等攻擊。

Junos OS與Junos OS Evolved是Juniper網路設備（如路由器、交換機及防火牆）的核心作業系統，因而相關漏洞也會影響全球採用Juniper網路設備的企業組織，影響範圍相當廣泛，用戶須立即檢視網路環境中的Juniper設備，並進行相應的系統更新，以降低遭受潛在攻擊的風險。

這次Juniper Network修補的漏洞中，最嚴重的是編號CVE-2026-33784的重大漏洞，CVSS v3.1嚴重性評分達9.8分，CVSS v4.0也達9.3分，源於Support Insights的vLWC元件軟體映像，出廠時預先置入高權限帳號的密碼，且設定過程中也未強制要求變更，使攻擊者可利用預設帳號密碼從遠端登入，並完全控制受影響設備。

另一個值得關注的漏洞還有CVE-2026-33771，CVSS v3.1嚴重性評分達7.4分，CVSS v4.0則達9.1分，問題源自密碼管理功能的缺陷，密碼管理選單雖然允許管理員設定密碼複雜度要求，但這些設定未被保存套用，可能導致用戶使用弱密碼，從而顯著增加攻擊者暴力破解與未授權存取的風險。

其他漏洞多為中等風險，影響範圍涵蓋資訊洩露、權限提升、指令注入與防火牆繞過等，這些漏洞分別影響Junos OS與Junos OS Evolved與其元件的不同版本，Juniper已釋出修補版本，建議用戶迅速更新。

'

Apache ActiveMQ修補存在13年的高風險漏洞，未更新可能導致遠端程式碼執行

來源：https://www.ithome.com.tw/news/175006

開源訊息中介軟體ActiveMQ存在高風險漏洞，可能導致遠端執行任意程式碼，根據資安公司Horizon3.ai在4月7日的揭露，此漏洞已存在13年之久，之所以發現，源自該公司研究人員使用Anthropic的AI工具Claude，負責維護ActiveMQ的Apache基金會隨即發布安全公告，並釋出修補程式。

這個漏洞編號為CVE-2026-34197，CVSS嚴重性評分達8.8分，問題源自ActiveMQ內建的Jolokia管理API輸入驗證機制不足，攻擊者可透過特定操作，誘使系統載入外部惡意設定檔（Spring XML），進而在系統上執行任意指令。發現與通報這個漏洞的資安公司Horizon3.ai表示，攻擊者需要通過身分驗證才能利用此漏洞，但在ActiveMQ的6.0.0到6.1.1等版本中，由於另一漏洞CVE-2024-32114的存在，將導致攻擊者無須驗證身分即可存取Jolokia API，進而利用CVE-2026-34197發動遠端執行程式碼攻擊。

CVE-2026-34197會影響ActiveMQ的5.19.x，以及6.0.0到6.2.x之間的所有版本，解決方法是將5.19.x更新到5.19.4以後版本，6.0.0以後則應更新到6.2.3版本，用戶應儘速升級，以降低遭入侵風險。

'