中嘉寬頻推動光纖化網路與AI雙軸轉型，打造可量化低碳營運固網寬頻服務

來源：https://www.ithome.com.tw/news/175283

隨著AI應用與智慧城市需求快速升溫，網路不再只是連線工具，而是支撐數位經濟與淨零轉型的關鍵基礎設施。中嘉寬頻近期分享他們從傳統有線電視業者的固網營運本質出發，推動「全光化網路」與「AI數據治理」的雙軸轉型成果，並嘗試把過去難以量化的碳排與能耗，轉為可監測、可優化的營運指標，讓數位轉型直接對應永續績效。

全光化網路取代高耗能架構，從源頭力行減碳

中嘉寬頻工程技術事業處副總經理鄭新禾指出，固網碳排主要來自3大面向，包括工程車輛燃油（Scope 1）、網路與機房用電（Scope 2），以及設備製造與用戶端耗能（Scope 3）。其中，傳統HFC同軸網路因需大量放大器持續供電，成為高耗能來源。其HFC網路年用電達3,276萬度，加上機房用電，整體用電量超過4,500萬度。

相較之下，FTTH光纖PON架構採被動式分光設計，中間傳輸幾乎不耗電。相較於HFC同軸網路，光纖在運行耗電（Scope 2）上可降低約93%至96%(下圖簡報，來源：中嘉)，顯著減少電力使用。

同時，光纖在製造碳排、設備壽命與維運效率上也具有優勢，例如設備耐用年限可達25至50年，較同軸網路延長2至3倍。中嘉指出，目前光化覆蓋率已於近3年間提升至約50%，並帶動每年約2.2萬噸CO₂的減碳效益，顯示基礎建設升級本身即具體反映在碳排改善上。

此外，透過AI輔助網路設計，進一步從源頭降低資源使用，包括纜線用量減少約13%，主被動元件原料降低約15%，在不影響工程品質前提下，減少材料與隱含碳排。

AI能源管理與碳盤查，讓減碳向智慧化治理發展

在治理面，中嘉導入AI三大管理系統，包括AI能源監控管理系統、AI服務管理系統、AI智慧派工系統。

中嘉將AI導入能源管理與碳排監控，強調ESG承諾需建立在可查核的「碳帳本」之上。2025年透過機房電力監控、設備調校與汰換高耗能設備，已減少306萬度用電，節電幅度達19.3%。後續規畫導入AI能源監控平台，建立即時量測、異常預警與決策支援機制，使碳管理從事後統計，轉為動態優化。

同時，中嘉也以AI強化服務與營運流程。AI服務管理系統可自動判斷故障位置，減少不必要入戶與重複報修，使入戶時間縮短15%、不必要出勤降低20%。

至於AI智慧派工則結合路況與工單資訊優化出勤路線，至今已節省約366萬張紙本工單，每年約減碳5公噸。這些應用顯示，數據治理不僅提升效率，也能直接轉化為減碳成果。

從營運效率到社會影響，擴大數位永續外溢效益

在社會面，中嘉將光纖網路視為公共基礎設施的一環，強調其在城市韌性與數位包容上的角色。透過穩定且低碳的網路環境，支撐智慧交通、水情監測、社區安全與偏鄉醫療等應用，降低因資訊落差與系統不穩定帶來的資源浪費。例如偏鄉醫療連線、AIoT智慧校園與防災監測系統，皆仰賴高品質網路作為底層支撐。

同時，AI客服與數位服務也提升服務可及性，2025年問題解決率達96.6%，2026年進一步提升至97.7%，並透過語音互動設計降低高齡用戶使用門檻。

以數據驅動淨零路徑，固網業者轉型為永續推手

中嘉寬頻透過「光纖網路×AI治理」策略，將原本分散於設備、能源與服務流程中的碳排，轉化為可追蹤的營運指標。未來也規畫將碳排盤查從Scope 1、2延伸至Scope 3，並導入第三方驗證與KPI連動機制，讓永續績效納入企業核心管理。

在AI與數位基礎設施持續擴張的趨勢下，固網業者的角色正從單純連線提供者，轉變為支撐低碳經濟與城市治理的關鍵節點。透過將數位轉型與永續目標深度結合，中嘉也以此證明，基礎建設升級不只是成本投入，還是可帶來長期節能與減碳回報的競爭力來源。

'

資安公司還原Bitwarden CLI事故發生經過，駭客滲透工程師GitHub帳號而得逞

來源：https://www.ithome.com.tw/news/175285

4月23日密碼管理軟體開發商Bitwarden遭遇供應鏈攻擊，該公司發布的命令列工具Bitwarden CLI遭到入侵，駭客透過GitHub Actions發布惡意NPM套件。有許多資安公司與研究人員試圖拼湊事件發生的經過，不過多半聚焦於惡意軟體帶來的危害，以及攻擊者的身分，不過，有資安公司嘗試透過NPM套件的活動監控，還原攻擊初期發生的過程，並指出這是首度有人濫用NPM受信任發布機制OIDC Trusted Publishing的攻擊活動。

資安公司StepSecurity指出，這起事故最初是1名Bitwarden工程師的GitHub帳號被入侵，駭客在儲存庫建立新分叉（Branch），存放事先建構完成的惡意Tarball檔案，然後竄改工作流程，透過NPM儲存庫的API，將GitHub Actions的OIDC權杖（Token）交換為NPM身分驗證權杖。接著，工作流程利用交換而來的權杖將Tarball檔案發布到NPM，得逞後駭客刪除所有工作流程的運行記錄、分支與發布標記。

一旦使用者下載惡意套件並安裝，電腦就會在系統背景下載JavaScript執行環境Bun，啟動大小為9.7 MB的憑證竊取工具bw1.js。駭客鎖定SSH金鑰、NPM與GitHub權杖、AWS與GCP憑證、Shell執行記錄、環境變數，以及AI工具的組態設定檔案。StepSecurity強調，這是首度在駭入NPM生態且明確針對AI程式碼工具的活動，並將MCP伺服器視為主要竊取資料的目標，駭客針對的AI工具，涵蓋Claude Code、Cursor、Kiro、Codex CLI與Aider。

駭客得逞後，惡意軟體就會將竊得資料以AES-256-GCM演算法進行加密處理，傳送到冒充資安公司Checkmarx的網域audit.checkmarx.cx。然而，若是該網域遭到阻擋，惡意軟體會透過以GitHub為基礎的備用C2通道，將檔案傳送給攻擊者。

一旦有效酬載於受害環境取得經身分驗證的GitHub權杖，就會從竊取機密的活動升級，變成主動濫用。首先，此惡意軟體會找出權杖能寫入的所有儲存庫，以及能夠存取的GitHub Actions機密資料，然後再於儲存庫建立新的分叉，並注入惡意工作流程檔案，藉此在新的工作流程執行過程蒐集更多機密資料。

'

GitHub同日通報多項服務異常與PR合併問題

來源：https://www.ithome.com.tw/news/175276

GitHub於臺灣時間4月24日凌晨發生多項服務異常，影響範圍包括Copilot、Webhooks與Actions等開發流程常用功能。GitHub狀態頁顯示，官方自4月24日0時12分開始調查，最初是Copilot與Webhooks出現可用性下降，之後擴大為多項服務無法使用，Actions也出現效能下降。GitHub在0時52分表示已找出問題原因並進行修復，1時30分將事件標示為解決。

同日GitHub也通報拉取請求（Pull Requests，PR）相關事件，影響開發團隊高度依賴的PR合併流程。GitHub表示，合併佇列出現回歸問題，部分PR可能被錯誤合併。對使用分支保護、必要狀態檢查與自動化CI/CD流程的團隊，該問題可能影響程式碼進入主要分支前的把關機制。

GitHub的合併佇列用於管理繁忙分支上的PR合併流程，PR通過必要分支保護檢查後，可被加入佇列，系統會把該PR套用到目標分支最新狀態，以及佇列中位於前方的PR變更之上，再等待必要檢查通過，才將變更合併到目標分支，以降低開發者各自合併PR後，在主分支上才出現相容性問題的風險。

在多項服務異常事件中，GitHub確認Actions效能下降，並陸續緩解Actions、Copilot與Webhooks異常。拉取請求事件則在臺灣時間4月24日凌晨3時50分開始調查，GitHub後續說明，已修復合併佇列搭配擠壓合併（Squash Merge）或重定基底（Rebase）時出現的迴歸問題，並於5時43分將事件標示為解決。GitHub表示，後續會公布詳細原因分析。

'

NPM套件Bitwarden CLI遭駭，疑與Shai-Hulud軟體供應鏈攻擊有關

來源：https://www.ithome.com.tw/news/175282

資安公司Socket、JFrog、StepSecurity與OX Security，以及獨立研究員Adnan Khan，揭露密碼管理軟體開發公司Bitwarden遭遇供應鏈攻擊事故，並指出是資安公司Checkmarx大規模攻擊的一部分，而且得到Bitwarden證實。至於攻擊者的身分，上述研究人員提出不同看法。

JFrog先是於社群網站X發文指出，這起事故是TeamPCP攻擊Checkmarx的延續，不過他們後來發布部落格文章表示，有效酬載內含與小說《沙丘（Dune）》有關的種族、人名，以及巨型生物，駭客使用的GitHub儲存庫的名稱與說明也有類似情形，並聲稱是Shai-Hulud的第三波攻擊（Shai-Hulud: The Third Comingsardaukar）。對此，他們認為這起事故的攻擊者可能與Shai-Hulud有所交集。

OX Security認為，基於駭客在惡意套件嵌入第三波Shai-Hulud攻擊字串，攻擊者顯然就是從事軟體供應鏈攻擊的駭客組織Shai-Hulud。該公司提及，攻擊者來自俄羅斯，因為受害電腦若安裝與使用俄文，惡意軟體就無法執行。

Socket指出，在Checkmarx與Bitwarden的攻擊事故裡，儘管駭客共用作案工具，代表使用相同的惡意軟體生態系統，惡意軟體運作的某些特徵卻不相同，使得攻擊者身分更難釐清。

有別於TeamPCP暗示Checkmarx事故與他們有關，並在惡意軟體加入看似正常的描述，這次駭客直接將意識形態的品牌塑造（ideological branding）嵌入檔案，其中包含Shai-Hulud的資料庫名稱，以及小說裡的「巴特勒聖戰（Butlerian Jihad）」宣言。Socket認為，這代表攻擊Bitwarden的駭客使用Checkmarx事故的基礎設施，且具備強烈的意識形態，也可能代表Shai-Hulud活動出現目標的轉變。

'

微軟預覽Foundry Agent Service託管代理人服務，強調治理及BYOC

來源：https://www.ithome.com.tw/news/175281

微軟週四（4/23）公布Foundry Agent Service新的託管代理人（Hosted Agents）服務，主打具備雲端環境治理、持續性、可擴充的好處，允許Bring Your Own Code（BYOC）。

隨著代理人深入企業環境，能自動化處理多種任務，許多企業在本地開發代理人執行特定工具、存取底層檔案系統、撰寫和執行程式碼，或運用檔案和記憶體以執行長期間的複雜任務。雖然在本地環境開發代理人很容易，缺點是難以均衡在整個企業環境部署，對話安全性、代理人治理及管理可視度也是問題。

微軟去年Microsoft Ignite大會上首次公布Foundry Agent Service託管代理人，正是為了解決這些問題，將公有雲的安全、擴充性、穩定性及管理性等優點結合代理人的方便及能力。

Foundry Agent Service託管代理人服務目前為公開預覽版。最新版本增加了獨立沙箱、scale-to-zero、及治理功能等。專用沙盒隔離（Per-session Isolation）：每個代理人會話（Session）都擁有獨立的VM級別隔離沙盒，而非僅是進程隔離。這確保即使代理執行任意程式碼，也不會跨用戶影響資料安全。使用者可以Isolation Key管理及劃定命名空間，並支援自有VNet管理代理人對外流量，滿足政府、金融或大型企業的連線控制權。

具備持久化文件系統的「縮減至零」（Scale-to-Zero with Persistence）：這是一項重大突破。當代理人閒置時，系統會關閉計算資源以節省成本（Scale to Zero），但其磁碟狀態、文件與Session身份會保留。當代理人再次喚醒時，能從上次中斷的地方立即恢復，冷啟動時間極短。

代理人內建身份與治理：每個代理人都擁有自己的Entra Agent ID，可以代表用戶（On-Behalf-Of，OBO）執行任務，並具備完整的審計日誌，解決了過去共享服務帳號帶來的安全盲點。

框架與模型中立（Bring Your Own Everything），支持多種主流框架（如LangGraph、Microsoft Agent Framework、Claude SDK、OpenAI SDK）與多種模型（OpenAI, Anthropic, Meta, Mistral等）。主打Bring your own code（BYOC），開發者只需定義Dockerfile即可快速部署。

其餘特色包括穩定代理人端點方便整合，內建代理人版本管理，便於代理人部署，以及支援多種協定，例如支援微軟的OpenResponses協定及Microsoft 365的Activity Protocol，這方便企業代理人的輸出結果輸出到M365，例如Teams。

Flexible Invocations protocol支援則允許將代理人輸出整合到其他平臺如自家產品、車載系統或特定工業設備。此外，它提供AG-UI支援，允許代理人生成互動式UI。

其他工具

微軟同時宣布整合的工具，包括Microsoft Agent Framework v1.0，以及安全測試用代理人AI Red Teaming Agent。微軟也正在預覽工具箱與記憶體（Toolbox & Memory）：提供統一的工具管理工具箱（Toolbox）與受管長期記憶（Memory），讓代理人跨會話記住上下文，無需開發者自行配置外部數據庫。

'

OpenAI提供醫護人員免費使用ChatGPT for Clinicians

來源：https://www.ithome.com.tw/news/175280

OpenAI本週推出為醫護人員設計的免費AI工具ChatGPT for Clinicians，協助簡化文件撰寫和醫療研究。現階段免費提供給美國具證照的醫師、護理從業人員及藥師，計畫擴大推向其他國家地區。

ChatGPT for Clinicians和今年1月推出的OpenAI推出的OpenAI for Healthcare有所不同。OpenAI for Healthcare為提供給醫療機構的付費方案，旨在幫助醫療機構提高病患護理品質及合規要求，提供包括醫療專用GPT模型、權威公開研究資料查詢、存取管理功能、整合SharePoint等內部系統，支援HIPAA隱私法規要求。使用者涵括醫護人員、研究人員和行政單位。

ChatGPT for Clinicians則為免費的個人專業版，提供給有執照的醫療執業者，包括執業醫師(Physician)、執業護理師(NP)、醫師助理(PA)以及藥劑師(Pharmacist)，協助臨床文件及醫療研究。

ChatGPT for Clinicians包含以下元素：可回答複雜臨床問題的進階AI模型、ChatGPT具備重複性臨床工作流程技能，能處理轉介信、事前授權及病患指令等。它提供標註來源的臨床資訊查詢，像是從權威資料庫查詢案例和其他醫療資訊。醫護人員還可指派ChatGPT代為查詢醫學文獻並編輯成報告。

此外，醫護人員在ChatGPT中研究臨床問題時，經過合格的證據審查可自動計入持續醫學教育(CME)學分。無需另行課程或額外文件。ChatGPT for Clinicians允許選擇性(Optional)HIPAA合規。OpenAI並承諾帳號安全與隱私，對話不用於訓練模型，並以多重身份驗證等安全措施保護敏感資訊。

OpenAI還公佈基於ChatGPT for Clinicians的ChatGPT 5.4，在照護諮詢、撰寫與文件，以及醫學研究的標竿測試HealthBench Professional中表現最佳。ChatGPT for Clinicians中的GPT-5.4表現優於基礎GPT-5.4、其他OpenAI及競爭者模型，以及人類醫師。

ChatGPT for Clinicians之前，今年一月OpenAI還推出ChatGPT Health。ChatGPT Health定位在一般消費者的健康與醫療資訊助理，可協助用戶理解其上傳的健康紀錄及檢查報告，以了解自己健康狀況，協助掛號或比較保險方案等個人用途。

'

英特爾首季營收超越預期，AI與代工業務成長強勁帶動股價盤後飆升22%

來源：https://www.ithome.com.tw/news/175279

英特爾（Intel）於週四（4/23）正式公布2026年第一季財報，數據顯示該季營收達136億美元，比去年同期增長7%，表現大幅超越華爾街分析師預期的124.2億美元。儘管營收動能回升，但受多項一次性費用影響，本季淨損達37億美元，每股虧損0.73美元。

從業務部門觀察，資料中心與AI事業群（DCAI）成為本季成長的主要引擎，營收達51億美元，年增率高達22%。晶圓代工業務（Intel Foundry）亦展現轉型成效，營收來到54億美元，較去年同期成長16%。至於規模最大的客戶運算事業群（CCG），營收則為77億美元，微幅成長1%。

本季出現巨額虧損的主因，主要歸咎於約51.6億美元的非經常性支出。其中包括40.7億美元的重整費用與Mobileye相關商譽減損，以及與美國政府合作計畫相關的股權價值變動，認列了約10.9億美元損失。若排除這些一次性項目，英特爾的基礎營運體質已明顯改善。

英特爾執行長陳立武（Lip-Bu Tan）表示，AI的發展正進入新階段，智慧應用正從雲端基礎模型轉向更接近使用者的「終端推論」，並進一步催生出AI代理人（Agents）趨勢。這一轉變不僅提升了市場對英特爾CPU的需求，也為其晶圓製造與先進封裝技術帶來龐大訂單。英特爾目前已連續六個季度營收優於預期。

展望未來，英特爾預估下一季營收將介於138億至148億美元之間，遠高於市場預期的130億美元。由於業績數據與財測展望雙雙優於預期，激勵投資人信心，促使英特爾當天盤後股價大漲22%，衝上81.58美元。市場分析認為，隨著AI應用重心由訓練轉移至推論，英特爾在PC與資料中心市場的戰略地位正被重新評價。

'

OpenAI公布GPT-5.5 能力強大向超級App邁進

來源：https://www.ithome.com.tw/news/175278

本週才剛公布設計模型ChatGPT Images 2.0，OpenAI（4/23）昨日又公布基礎語言模型GPT-5.5，理解、分析能力更強，能支援處理混亂多步驟任務、不減速度，也更省成本，能協助代理式程式撰寫、知識工作者、及早期科學研究。

GPT-5.5號稱是OpenAI最聰明最直覺的模型，並增強電腦工具使用能力，以協助處理「真正的工作」。GPT-5.5綜合撰寫程式與除錯、在網路上研究、分析資料、製作文件和試算表、操作軟體、使用工具的能力，直到完成任務。使用者可丟給它一項千頭萬緒、多步驟的任務，交由它規劃、使用工具、檢查，一步步釐清頭緒向前推進。這些能力特別適合代理式程式撰寫、電腦使用及早期科學研究。

另一方面OpenAI宣稱，雖然一般來說模型更大速度會變慢，但即使GPT-5.5能力更強大，實際使用時，每token的延遲性表現並不低於GPT-5.4。而且在相同Codex任務中，GPT-5.5使用的token還少於GPT-5.4，意味它同時提高了能力和效率。

GPT-5.5已經部署到Plus、Pro、Business及Enterprise方案用戶的ChatGPT和Codex。Business、Enterprise用戶還可經由ChatGPT使用GPT-5.5 Pro版本。很快OpenAI會將GPT-5.5及GPT-5.5 Pro部署到API。

測試結果

根據OpenAI官方發布的第三方標竿測試資料，GPT-5.5在核心的通用智能方面，GPT-5.5在ARC-AGI-2測試中達到了85.0%，於科學推理測試GPQA Diamond中獲得93.6%的高分，顯示其在處理高度專業化與學術性問題上的能力。

在程式撰寫能力上，根據測試複雜指令行工作流程的Terminal-Bench 2.0、評估解決GitHub問題能力的SWE-Bench Pro及OpenAI內部長期編程任務的Expert-SWE等標竿測試上，GPT-5.5都超越GPT-5.4，且使用更少token。

圖片來源／OpenAI

在知識工作能力上，在Codex環境下GPT-5.5在產生文件、試算表和投影片簡報方面優於GPT-5.4。在電腦操作技巧上，GPT-5.5展現理解螢幕內容、點擊、打字、操作介面，並精準地切換工具的能力。此外，該模型在GDPval知識工作測試中以84.9%的得分領先於GPT-5.4、或是對手模型Claude 4.7及Gemini 3.1 Pro。

在特定領域的知識工作能力上，GPT-5.5雖然在安全與醫療問答測試HealthBench在「困難專業題」有限，但在科學研究GeneBench顯著優於GPT-5.4，在BixBench：已達公開模型最佳級別。法律/專業任務的BigLaw Bench測試得分達91.7%，已達「接近專業助手」等級。

OpenAI強調模型的安全性，經過內外部安全演練團隊測試其進階網路安全和生物學能力，並由近200家早期試用的合作夥伴獲取回饋意見。

'

Checkmarx供應鏈攻擊事故擴大，密碼管理解決方案公司Bitwarden證實NPM套件遭駭

來源：https://www.ithome.com.tw/news/175275

資安公司Checkmarx近日遭遇供應鏈攻擊引起關注，然而這起事故的影響範圍持續擴大，傳出有其他公司遭遇類似的攻擊。

資安公司Socket、JFrog、StepSecurity與OX Security，以及獨立研究員Adnan Khan提出警告，密碼管理軟體開發公司Bitwarden推出的NPM套件Bitwarden CLI遭遇供應鏈攻擊，駭客發布了惡意版本2026.4.0，目的是搜刮開發環境的機密資料，其特徵與Checkmarx事故一致，疑似該起攻擊活動的延伸。

Bitwarden當天隨即發布聲明證實此事，該公司在美國東部時間（ET）4月22日晚間5時57分至7時30分，識別惡意套件活動並進行控制，並表明此事與廣泛的Checkmarx供應鏈攻擊事故有關。Bitwarden強調，根據初步調查的結果，終端使用者的密碼保險庫（Vault）資料未出現遭到存取或是曝險的跡象，該公司生產環境的系統與資料也未遭入侵。僅在特定時間下載Bitwarden CLI並安裝的使用者，才會受這事故影響，該公司也準備為本起事故登記CVE編號。

若不慎安裝惡意套件，Bitwarden呼籲應立即透過NPM指令移除，並清除NPM的暫存資料，清理過程應暫時停用NPM安裝指令碼的功能。另外，使用者也要在受影響的開發環境，輪替存放環境參數的API權杖（Token）、SSH金鑰，以及相關的機密資料，並檢查GitHub、CI工作流程是否出現未經授權的存取及變更。

'

Checkmarx證實遭遇供應鏈攻擊，呼籲用戶採取行動因應

來源：https://www.ithome.com.tw/news/175272

本月22日資安公司Socket發現，有人攻擊開源基礎架構掃描工具KICS的Docker映像檔，以及資安公司Checkmarx開發的Visual Studio Code（VS Code）延伸套件，後續Checkmarx證實此事，並公布影響範圍。

根據Checkmarx初步調查結果指出，駭客的惡意元件僅影響特定時間上傳的Docker映像檔，以及VS Code延伸套件，其餘他們先前發布的正常版本未遭到覆蓋。因此，使用者若是採用在攻擊發生之前的版本，將不受影響。

而對於疑似受到影響的用戶，Checkmarx呼籲儘速封鎖特定網域，並暫時關閉IDE市集的自動更新功能，以SHA雜湊值進行確認，若認為系統可能已部署惡意軟體，就應該更換憑證與相關資料。

該公司指出本次事故影響範圍，涵蓋上架於Docker Hub的KICS映像檔、公開GitHub儲存庫ast-github-action，以及兩款VS Code延伸套件Checkmarx與Checkmarx Developer Assist。他們也公布上架有問題檔案的時間點，KICS映像檔是在世界協調時間（UTC）4月22日中午12時31分至12時59分，GitHub儲存庫是同日下午14時17分至15時41分。不過，對於VS Code延伸套件遭到入侵的確切時間點，Checkmarx仍在調查。

'