ShapedPlugin多款WordPress外掛程式遭供應鏈攻擊，原廠付費版本被植入後門程式

來源：https://www.ithome.com.tw/news/176859

資安業者Wordfence於6月16日揭露，擁有近40萬個系統安裝量的WordPress外掛程式開發商ShapedPlugin，發生供應鏈攻擊事件，攻擊者入侵其基礎設施後，將惡意程式碼植入多款付費的Pro版外掛程式，並透過原廠網站與更新機制散布給用戶，使安裝受感染外掛程式的網站面臨風險。目前這起供應鏈攻擊事件已被指派CVE-2026-10735的漏洞編號，CVSS嚴重性評分達9.8分。

遭植入惡意程式碼的ShapedPlugin產品包括：Product Slider Pro for WooCommerce、Smart Post Show Pro，以及Real Testimonials Pro等三款，均為透過原廠網站下載的付費Pro版本，ShapedPlugin原廠已發布前兩款產品的修補版本，但截至Wordfence發布報告時，Real Testimonials Pro還未有修補版本。至於這三款產品透過WordPress.org網站提供的免費版本，則不受影響。

Wordfence指出，受感染的ShapedPlugin外掛程式會透過載入器從外部伺服器下載惡意軟體，並以外掛程式型式安裝惡意軟體，用於竊取受害者網站的憑證與雙重認證金鑰，還能建立多個長期存取通道、提供可寫入任意檔案的REST API後門，並擁有自行刪除載入器、竄改檔案修改時間等迴避偵測的機制。

'

研究團隊揭Rex框架，降低生成式AI回推失真率、可用來提高AI藥物設計和科學模擬精準度

來源：https://www.ithome.com.tw/news/176857

生成式AI已經很會創造內容了，但要精準修改或回推生成過程，仍是一大挑戰。美國克拉克森大學（Clarkson University）研究團隊開發一套新數學框架Rex，主打提高擴散模型和流匹配模型（Flow Matching Model）的可逆性，讓AI在生成圖片、設計分子或進行科學模擬時，可以更準確「倒帶」回原本狀態，減少重新生成時的失真。這項研究論文〈Rex: A Family of Reversible Exponential (Stochastic) Runge-Kutta Solvers〉也獲選在機器學習頂級會議ICML 2026中發表。

生成式AI不只要會生成，也要能精準回推

目前許多生成式AI模型，包括AI繪圖工具、分子設計模型和科學模擬工具，背後都採用擴散模型或流匹配模型。這類模型的基本概念，是從隨機雜訊出發，一步步生成有意義的結果，例如一張圖片、一個候選藥物分子，或一段科學模擬結果。

不過，真正的困難往往不是生成，而是「回推」。比如，研究者用AI產生一個分子結構後，可能想要修改其中某個化學特性，再觀察這個改動對藥效、穩定性或毒性的影響。影像編輯也有類似需求，使用者可能只想修改髮型、背景或服裝，但希望人物臉部特徵、光影和其他細節都能保留下來。

這時，AI得先把已經生成的結果，反向推回模型內部的原始表示，再重新生成修改後的內容。問題是，現有方法在反向推算過程中，常會累積數值誤差，導致模型回不到原本的位置。最後產生的結果，可能不只是局部被修改，而是整體結構或細節都跟著跑掉。

Rex要解決生成模型「倒帶失真」問題

Rex的目標，就是要讓AI模型的正向生成與反向回推過程更一致。

如果把生成過程想像成一條路線，模型原本從A點出發，經過多個步驟走到D點；現有方法在從D點倒退回A點時，可能會偏到另一個相近，但不完全相同的位置。Rex則希望讓模型更準確地沿著原路回去，降低每一步倒退時累積的誤差。

研究人員表示，Rex雖然無法完全消除數值誤差，但相較於現有可逆方法，其反向推算誤差可降低數個數量級。換句話說，它不是讓模型變成絕對完美的「時光機」，但可以讓模型倒帶時，少偏離很多。

這對生成式AI很重要，因為只要反向推算更準，模型就更容易做到可控修改，而不是每次修改都像重新抽一次籤。

可用於AI藥物設計與分子模擬

研究團隊指出，Rex的應用不只限於影像生成，更可能影響藥物設計和科學模擬。

近年AI藥物研發快速發展，許多研究機構和藥廠開始用生成式AI探索候選分子。這類應用通常不是一次生成就結束，而是需要反覆調整分子結構，觀察不同設計對分子性質的影響。

在這樣的工作流程中，模型能不能準確回到原始分子表示，就會影響後續分析的可信度。如果反向推算誤差太大，研究人員可能難以判斷某個結果，究竟來自真正的分子調整，還是模型回推過程中的偏差。

Rex若能降低這類誤差，就有機會提高分子設計、化學模擬和藥物探索流程的精準度。對藥物研發來說，這類底層求解器的改進雖然不像新模型發布那麼吸睛，但卻能影響AI模型在高精度科研場景中的可靠性。

除了藥物設計，材料科學、流體力學、氣候模擬等領域，也同樣需要在正向模擬與反向分析間切換。只要模型需要回推系統如何演變到目前狀態，反向求解精度就會是重要的課題。

影像編輯是最直觀應用

Rex最容易應用的一大領域，就是AI影像編輯。

Rex作者Zander Blasingame指出，精確反向求解器的一項重要應用，就是round-trip image editing，也就是讓AI生成圖片後，再回到原始表示進行修改，接著重新生成圖片。

他表示，所有可逆方法都會累積一定程度的數值誤差，但Rex的反向誤差比同類方法低了很多。也就是說，當AI能更準確回到原始潛在表示後，使用者就能修改特定內容，例如髮型、背景或服裝，同時保留人物臉部特徵和其他重要細節，而不會因為重新生成，導致整體畫面出現明顯變化。這也是目前許多AI修圖工具有待改善的問題。

可整合既有生成模型，不必重建系統

Rex另一個亮點是，它不是一個全新的AI大模型，而是一套底層數值求解框架。

研究團隊表示，Rex可整合到既有擴散模型和流匹配模型中，不需要開發者重新設計整套AI系統。對已採用生成式AI技術的研究團隊或企業來說，導入門檻相對低。

從產業角度來看，過去幾年，各界大多關心模型能不能生成更逼真的圖片、更合理的分子，或更快速完成模擬。但當生成式AI開始深入藥物設計、工程設計和科學研究等場景後，光是「能生成」已經不夠，模型還要能被精準控制，且能清楚回溯生成過程。而Rex這類方法，就是要補上生成式AI在可逆性與可控性的缺口。

'

刑事局揭露濫用LINE螢幕共享、竊取TWQR付款碼的社交工程陷阱

來源：https://www.ithome.com.tw/news/176852

隨著行動支付日益普及，標榜跨平臺整合的「TWQR」掃碼支付竟成為網路犯罪集團詐財新管道。刑事警察局今年4月首度針對此威脅向大眾示警，並促請相關業者強化風險警示與異常交易監測。近日刑事局進一步公布打擊行動成果，並詳細揭露這起新興社交工程手法。

刑事局詐欺犯罪防制中心指出，自今年3月起，國內利用電子支付進行的「新型態詐欺洗錢模式」案件量出現異常暴增趨勢，分析後發現網路犯罪集團採用新手法，針對不清楚「螢幕共享」風險、不知道會因此導致TWQR付款碼遭截取的民眾，開發出複合式詐騙手法。

根據刑事局公布的手法解析，這項網路犯罪手法有4大關鍵階段：首先，詐團透過社群貼文引誘民眾注意，如「小農疏果優惠」、「限量門票」或「結緣免費送」，以優惠、限量與免費為號召，吸引民眾主動洽詢。建立聯繫之後，再以支付運費、確認收件資訊為由，引誘被害人前往釣魚網站，像是偽冒「7-ELEVEN賣貨便」等電商連結頁面輸入個資。

接著，詐團會假冒銀行或電商客服致電被害人，聲稱其帳戶「未完成實名認證」或「帳戶異常」，要求加入LINE客服進行金流驗證。此階段的關鍵手法在於，對方會要求被害人開啟LINE的「派對功能」（即螢幕共享），宣稱是為了線上指導操作。

最後，在螢幕共享狀態下，誘騙被害人打開電子支付App產生TWQR付款碼，便能即時監看受害者手機畫面與擷取該付款碼，並傳給待命的「掃碼車手」。

刑事局表示，在近日發動的全國同步掃蕩行動中，彙整相關異常交易及車手具體情資，成功緝獲117名涉案嫌犯。這些「掃碼車手」會前往超商列印遊戲點數單，並以上述收到的他人付款碼完成付款。經初步清查，受害人數高達1,341人，總財損金額高達1.3億元。

'