雅婷智慧推FedGPT主權AI平臺，瞄準72%企業地端部署需求

來源：https://www.ithome.com.tw/news/176993

臺灣人工智慧實驗室與其策略合作夥伴雅婷智慧今日（6/30）揭露今年度臺灣企業AI轉型洞察報告，發現只有15%的受試企業在不同部門使用AI，其餘85%仍在小規模試行或在評估中。調查也發現，高達72%的企業需要地端部署的AI。看準這股需求，雅婷智慧力推FedGPT主權AI平臺，符合資料自主、系統自主等主權AI需求，提供會議記錄和萬能秘書等2大亮點應用。

只有15%企業實際運用AI、72%企業需要地端部署

雅婷智慧董事長廖群揭露在會中《2026台灣企業AI轉型洞察報告》，該報告分析了562份問卷，涵蓋10多個產業，如教育、媒體、醫療、政府、製造、金融等。

調查發現，臺灣僅有15%的受試企業廣泛運用AI於多個部門，其餘44%仍在小規模試行，更有41%還沒導入或在評估中。可以說，85%的受試企業還沒有明確的AI應用與治理架構。

這些企業，最希望將AI用來自動化重複的性行政流程（56%）、數據分析與決策輔助（44%），以及內部知識查詢與文件問答（42%）。但是，超過半數的受試企業（51%）擔憂資料外洩風險。

有趣的是，調查進一步發現，大多數企業需要地端部署的AI。尤其，高達77%的受訪者認為，現行公有雲AI服務對企業使用仍有限制，72%則對地端部署有明確的需求。

另一大發現是，現有公有雲AI工具難以深度融入企業營運流程，包括34%的企業認為，公有雲AI無法根據業務需求調整判斷邏輯；39%認為AI無法理解產業術語；還有24%的企業擔心公有雲AI停止服務，導致既有應用無法繼續運作 ，另有19%擔心模型更新後，會影響原本的使用效果。

瞄準痛點，臺灣人工智慧實驗室力推主權AI

臺灣人工智慧實驗室（Taiwan AI Labs）創辦人杜奕瑾指出，臺灣人工智慧實驗室從2017年成立至今，輔導不少企業導入AI，如今企業對AI的疑慮，已經不是有沒有效，而是企業能否握有「自主權」，也就是主權AI。

杜奕瑾進一步解釋，不論是企業還是國家層級，主權AI都涵蓋5大要點：

資料主權：確保資料留在組織內或在地，且敏感資料受保護。 模型主權：即便是開源模型，也要能根據需求微調，或使用在地模型，不受特定跨國企業限制。 運算主權：使用在地算力，避免算力掌握在少數巨頭、影響服務持續性。 系統主權：自家系統可以與AI服務或平臺整合，不受單一或少數人控制，重視自主框架能力和生態系建立。 治理主權：對齊國際先進AI治理，打造可驗證、可稽核、可信任的AI倫理和法治體系。

瞄準企業痛點，雅婷智慧也力推符合主權AI的雅婷FedGPT服務。雅婷智慧企業解決方案總經理杜長城現場指出，FedGPT可全地端部署，屬於企業級主權AI平臺，能串接既有系統、資料可全數保留在組織內。

而FedGPT所搭載的AI模型，也都由臺灣團隊研發，且模型對臺灣知識、語境的理解能力，比國際大模型還要優秀。

他也揭露FedGPT的2大亮點應用，包括會議助理、萬能秘書及其全落地的語音對話功能。以會議助理來說，已在臺灣人工智慧實驗室內部使用，它能串接所有公開的職員行事曆，並自動加入會議。在會議過程中，會議助理會記錄內容、摘要，包括標題、摘要、待辦事項、誰該執行哪些任務等等，並在會議結束後自動發送給與會職員，還會在系統中標註，方便追蹤。

再來是萬能秘書，它可以串接公司行政流程和所需資料，就能協助員工查詢報帳、請假、出差、物資申請等流程，還能自動送件。

另一方面，FedGPT也能根據產業特性，打造符合需求的自動化應用，比如串接醫院資訊系統和醫療資料，來自動生成臨床摘要、提供衛教問答、整理醫護人員月報等。或是串接人臉辨識門禁系統，可供人資即時查詢同仁出席狀況、預約會議等。

除了這些應用，FedGPT也提供不少Flow流程範本，來供企業使用，比如Bug回報與修復追蹤流程、每月營運報告彙整流程等。

'

美超微AI伺服器出口案調查擴大，青雲、是方電訊遭搜索，是方澄清僅提供機房服務

來源：https://www.ithome.com.tw/news/176991

基隆地檢署偵辦高階AI伺服器涉嫌違法出口中國案件持續擴大，繼5月發動首波搜索後，周一(6/29)展開第二波偵辦行動，搜索美超微（Supermicro）台灣分公司、青雲科技及是方電訊等地，並約談多名主管及相關人員到案，調查是否有人涉嫌利用不實報關文件或虛報最終目的地等方式，將搭載Nvidia高階GPU的AI伺服器違法出口至中國、香港及澳門等受美國出口管制地區。

根據檢調調查方向，涉案設備為搭載高階AI晶片的伺服器，疑似透過第三地轉運、虛報貨品流向等方式規避出口管制，目前朝偽造文書、背信及違反貿易相關法令等方向持續偵辦。

基隆地檢署5月立案後擴大追查供應鏈

基隆地檢署是在今年5月展開首波搜索行動，當時檢調鎖定疑似協助高階AI伺服器非法出口的3名相關人士的居住所與公司12處進行搜索，並展開扣押與約談。

進入6月底後，檢調展開第二波搜索行動，將調查範圍擴大到供應鏈上游與周邊服務業者，包括美超微台灣分公司、青雲科技及是方電訊等單位。

相較於首波調查主要聚焦於涉案個人與直接出口鏈條，第二波搜索擴大至AI伺服器供應鏈全流程，包括系統製造、通路銷售、物流運輸與資料中心代管等環節，顯示檢調正追查設備從採購、存放、出貨到最終流向的完整鏈結。

遭搜索的青雲科技發布重大訊息表示，公司全力配合檢調調查，目前營運、財務及業務均維持正常，不受本案影響。不過事件曝光後，市場擔憂案件後續發展，該公司股價跌停鎖住。

是方：僅提供機房代管服務，未參與設備交易

國內知名IDC機房業者是方電訊也被列為搜索對象，是方今天先後發布重大訊息及聲明澄清，公司此次是配合檢調調查機房客戶涉及AI設備非法輸出案件，本身並非設備所有人，也未參與設備交易。

是方表示，該公司提供IDC資料中心及機房代管服務，依法無權介入客戶放置於機房內設備的內容、用途及流向，也無法自行檢視或處分客戶設備，該公司依政府要求配合調查，全力協助釐清案件。

是方也表示，目前公司營運、財務及業務均維持正常，事件對營運沒有重大影響，並將依既有資料中心管理機制，若發現客戶涉及違法情形，將依契約及法令規定配合主管機關辦理。

美司法部3月已調查AI伺服器違反出口禁令

除了臺灣檢調的偵辦外，今年3月美國司法部針對相似違反出口管制的案件提出刑事起訴，起訴美超微共同創辦人廖益賢（Wally Liaw）等3人，指控其涉嫌自2022年起透過第三地公司與不實交易安排，規避美國出口管制，將搭載Nvidia高階GPU的AI伺服器轉運至中國，涉案金額約25億美元。

美國司法部指出，相關行為涉及偽造最終用戶資訊、利用境外公司下單及變更設備流向等手法，以規避出口限制，該案件成為美國近年針對AI晶片與高階運算設備出口管制的重要案件之一。

'

Meta用AI從打字腦訊號重建語句，推進非侵入式腦機介面研究

來源：https://www.ithome.com.tw/news/176990

Meta發表Brain2Qwerty v2研究，嘗試用AI從受試者打字時的腦部活動重建自然語句。研究人員使用腦磁波儀（MEG）記錄大腦活動產生的微弱磁場，不需手術植入電極，希望藉由免手術的非侵入式文字溝通方式，讓因腦部損傷而難以說話或動作的人，未來有機會透過腦機介面表達內容。

Meta解釋，Brain2Qwerty v2以9名志願受試者的資料訓練，研究團隊蒐集約22,000個句子，每名受試者各接受10小時記錄。實驗過程中，受試者在腦磁波儀中主動打字，模型再從腦部訊號推測對應文字，因此這套系統解碼的是打字任務中的腦部活動，並不能解讀人腦中任意浮現的想法。

新版系統採用深度學習直接處理原始腦訊號，不再先由人工設計流程判斷神經事件。Meta也微調大型語言模型，使系統可利用語意脈絡，協助把雜訊較高的腦部記錄整理成較連貫的句子，並使用AI代理探索解碼流程的最佳化方向，但最終訓練設定仍由工程師人工選定。

根據Meta公開的實驗資料，Meta指出，Brain2Qwerty v2的單字正確率約為61%，換算平均單字錯誤率約為39%。在最佳受試者上，單字正確率達78%，且超過半數句子只出現一個單字錯誤以內。Meta將這項結果視為非侵入式腦訊號文字解碼的一項進展。不過，目前成果仍建立在受試者主動打字與腦磁波儀記錄的受控實驗中，後續若要用於輔助溝通，仍需面對設備、使用情境與解碼準確率等限制。

從Brain2Qwerty v1的結果來看，非侵入式腦訊號技術也面臨訊號品質與設備可用性的取捨。先前刊登於Nature Neuroscience的Brain2Qwerty v1研究指出，使用腦磁波儀時，平均字元錯誤率為29%，優於使用腦電圖（EEG）時的65%。腦磁波儀訊號品質較好，但設備仍屬實驗室等級，距離可攜式、臨床或日常使用仍有落差。

Meta已在GitHub釋出Brain2Qwerty v1與v2訓練程式碼，合作單位巴斯克認知、大腦與語言中心也釋出v1資料集，v2資料集則待論文獲接受後公開。

'

資安界如何優化漏洞修補優先順序？HackerCat教你快速搞懂CVSS、EPSS、KEV這三項指標

來源：https://www.ithome.com.tw/news/176987

漏洞修補策略該如何制定？對許多資安老手而言，CVSS、EPSS與KEV已是耳熟能詳的名詞，但對於第一線的開發人員或資安新手來說，這些指標背後的意義可能仍顯模糊。在今年的DevOpsDays活動上，以HackerCat外號活躍於資安社群，擔任DevSecOps Taiwan社群顧問，同時任職於力麗科技首席資安技術顧問的高于凱，他便以此為題，由淺入深地解構這些核心指標。

回顧近期漏洞新聞報導，通用漏洞評分系統（CVSS）最常被提及。實務上，我們不僅能參考美國國家漏洞資料庫（NVD）給出的風險評分，有時也會看到軟體原廠自己評估的分數，甚至不同資安組織也會提供各自的CVSS觀點。此外，國際資安事件應變組織FIRST在2023年發布CVSS 4.0版，在基本評分之外，進一步正式提出CVSS-BT（威脅情資）、CVSS-BE（環境因素）與CVSS-BTE（綜合評估）等不同評分項目。

除了CVSS的演進，漏洞風險的檢視維度在2021年變得更趨多元。例如，美國CISA發布「已知被利用漏洞清單」（KEV），要求聯邦機構限期修補，突顯漏洞已被實際利用的緊迫風險；同年，FIRST組織發布另一關鍵指標EPSS，聚焦於預測漏洞在未來被駭客利用的機率，我們先前也曾報導國內企業運用EPSS的實務經驗。

關於這三項指標背後的意義，目前在許多資安報導中雖已有相關介紹，這次高于凱透過綜整方式，讓更多人也能快速理解，並強調藉由這三項指標的過濾視角，將能找出最迫切需要修補的漏洞。他強調：「CVSS是起點但不是終點，EPSS告訴你機率，而KEV則代表緊急性，同時企業也必須考量自身環境。」

CVSS：常見漏洞評分標準，指標多元但實務多僅參考基礎分數

以CVE編號而言，高于凱指出，這就如同每個漏洞的身分證字號，方便業界溝通。例如知名的Log4Shell是研究人員給它的暱稱，其正式稱呼為CVE-2021-44228；只要提及此編號，多方溝通時便能確認探討的是同一個漏洞。

在MITRE公布CVE編號後，美國NVD會將其納入資料庫並進行CVSS風險評分。高于凱進一步解釋，當開發者使用軟體組成分析工具（SCA）或映像檔掃描工具後，通常會看到每個CVE都附帶一個漏洞評分，這就是根據CVSS（通用弱點評分系統）的國際標準所計算出來的。

CVSS由FIRST國際組織制定，全名是通用漏洞評分系統（Common Vulnerability Scoring System），將風險等級區分為：低（0.1~3.9分）、中（4.0～6.9分）、高（7.0～8.9分）、重大（9.0~10.0分）。

常見的CVSS版本已有3.0、3.1與4.0版。雖然其評估維度已涵蓋基礎（Base）、時間（Temporal）或威脅（Threat）、環境（Environmental）等多重項目，但NVD公布的CVSS基礎評分通常是大家最常引用的評分，這也是大眾最常看到的數值。高于凱指出，儘管理論上企業應根據自身環境進行「時間或威脅」與「環境」的加權計算，但實務上資安人員鮮少有此餘裕。導致現狀往往是：NVD給出幾分，企業就照單全收。

儘管CVSS廣受運用，但也容易被誤用，而且資安界也意識到其存在盲點。例如缺乏時間動態與企業環境脈絡（如伺服器位於內網或外網、是否為核心系統等）。此外，所有遠端代碼執行（RCE）類型的漏洞幾乎都會被歸類為「重大」，還有並非所有漏洞都有公開的利用程式碼。因此，資安界早已意識到，不僅需要參考CVSS，還會搭配EPSS與KEV進行風險評估。

EPSS：可預測未來30天被攻擊機率，其價值仍未被廣泛察覺

以EPSS而言，全名是漏洞利用機率預測評分系統（Exploit Prediction Scoring System），同樣是由FIRST國際組織維護並發布。

簡單來說，EPSS是基於真實威脅情資的資料驅動機器學習模型，用於估計已發布的CVE在未來30天內被實際利用的機率。在該模型的輸入特徵之中，不僅包含CVSS基礎分數，也會納入是否已有公開PoC（概念驗證）或Exploit（漏洞利用）程式碼、歷史漏洞利用率校準等多種維度。儘管此指標已推出三、四年之久，但在業界的普及度仍有提升空間。

高于凱分享他在企業端（甲方）時深刻體會到EPSS的重要性。由於掃描工具產出的漏洞數量極為龐大，若缺乏有效過濾機制，修補工作將難以推行，因此他會運用EPSS來協助團隊排出優先順序。

在實務應用上，EPSS的機率分數介於0.07％到99％之間。高于凱指出，EPSS大於1％的漏洞對他而言就已屬於高風險範疇，會被優先排入修補清單，因此EPSS是比CVSS更實用的指標。但要注意的是，EPSS是一項動態數據，每天都會變動更新。

至於如何查詢EPSS？除了透過FISRT釋出的API連結獲取即時數據外（https://api.first.org/data/v1/epss?cve=cve-YYYY-XXXX，可自行替換網址後方的CVE編號），目前許多商業與開源工具也已開始整合此指標，例如部分軟體組成分析工具（SCA）已內建整合EPSS分數，讓開發與資安團隊能更直觀地進行風險決策。還有CVE Details.com網站上，大家也能快速檢視各CVE漏洞的CVSS、EPSS等資訊。

KEV：證實漏洞已有鎖定利用情形，其修補緊迫性不言而喻

第三個關鍵指標是已知被利用漏洞清單（KEV），全名是Known Exploited Vulnerabilities Catalog。若CVSS代表漏洞理論上的危害程度、EPSS代表未來30天內被攻擊的機率，KEV則直接證實該漏洞已在現實世界中被攻擊者鎖定並實際利用，不再僅是推測。

為了讓開發者更理解漏洞從發現到被利用的過程，高于凱進一步拆解PoC與Exploit等核心名詞的差異。

他指出，雖然CVE漏洞通報很多，但要成功利用漏洞往往存在技術門檻。通常CVE揭露初期僅有漏洞描述與初步評分，技術細節的釋出往往較晚。而在漏洞公開後，通常會伴隨PoC（概念驗證程式）或Exploit（漏洞利用程式）的出現。

簡單來說，PoC是初步的驗證腳本，用於證實漏洞確實存在；Exploit則是更具威脅性、能直接執行攻擊的程式碼。高于凱特別提醒，資安人員在尋找公開PoC與Exploit時必須極為謹慎，因為攻擊者常會釋出偽造的程式碼，將其作為散布惡意程式的陷阱。

換言之，在漏洞生命週期中，在CVE公開之後，PoC的公開意味技術門檻開始下降，Exploit的出現則代表攻擊成本大幅降低，而進入Exploited（或稱Exploited in the wild）狀態時，則代表攻擊者已在真實環境中利用該漏洞發動攻擊。高于凱亦提醒，這些已被利用的漏洞並不代表皆已有修補程式釋出，KEV也可能包含尚無修補程式、僅有緩解措施的漏洞。

可運用三維決策框架找出優先修補順序

在建立CVSS、EPSS與KEV的基本概念後，高于凱針對DevOps實務中的漏洞決策提出了一套從「僅參考CVSS」轉向「CVSS+EPSS+KEV」的三維決策框架。

他強調，漏洞管理的核心在於「漏斗式篩選」，透過層層過濾找出真正具備威脅的目標。

高于凱舉例說明，若透過掃描工具初步產出的CVE漏洞共有1,575個，數量龐大到開發團隊難以負荷；此時若先以CVSS高風險與重大風險進行初步篩選，漏洞數會降至718個，接著，若進一步引入EPSS指標，篩選出被利用率大於0.95％（即30天內極可能被攻擊）的漏洞，數量將大幅縮減至33個。最後，再比對CISA KEV清單進行強制優先過濾，最終僅剩11個需最優先處理的關鍵漏洞，可將候選清單縮減95％以上。

上述只是一個概念呈現，高于凱強調，漏洞永遠修不完，正確的目標應是「優先修對的」，不是立即全部修完，並在有餘力時處理低風險漏洞，而非將其視為豁免修補。此外，還有VEX（Vulnerability Exploitability eXchange）指標也可留意，這是另一種標注套件是否受影響的補充方式。

綜上所述，這種篩選邏輯與全球資安倡導的「以風險為導向的漏洞管理」不謀而合。近期FIRST國際組織在公布2026年CVE漏洞預測數量上調的消息時，亦同步強調企業應持續採用EPSS與CISA KEV作為優先順序篩選的標準，這是目前仍然有效的應對策略。

調整漏洞溝通方式，降低修補摩擦

除了技術指標，高于凱也深入探討資安與開發團隊間的溝通挑戰。他認為安全文化的本質應是降低摩擦，而非單純增加管制措施。在實務溝通上，他建議資安人員應學會使用開發者能理解的語言，例如，與其僵化地告知「此漏洞CVSS評分為9.8，非常危險」，不如改以具體威脅描述：「這個漏洞能讓攻擊者僅用5行Python程式碼就取得資料庫帳密」，透過具體情境提升開發者的安全意識。

還有幾項溝通上的實務建議，例如，應將工具自動化，與其讓工程師手動查詢漏洞、手動修改package.json，資安團隊應盡可能提供「一鍵升版」的PR（Pull Request）；應展現修補成效，別只給工程師看待修清單，應展示平均修復時間（MTTR）的下降趨勢與漏洞總數的變化，讓開發團隊看到自己的進步。

最後，高于凱指出，資安不該只是中央資安團隊的責任，可透過在每個開發團隊培養1至2名安全種子的方式，從內部降低溝通成本。

'

Nakivo發布Backup & Replication 11新版本，新增支援VMware vSphere 9與Proxmox VE 9平臺

來源：https://www.ithome.com.tw/news/176989

資料保護軟體廠商Nakivo於上半年接連發布Backup & Replication 11.2版與11.2.1版，擴展對於最新虛擬化平臺的備份保護支援，並提升管理與通知機制的安全性。

其中11.2版最重要的改進，便是新增完整支援VMware vSphere 9.0、Proxmox VE 9.0等兩款虛擬化平臺，在6月初發布的11.2.1版中，又提供完整支援Proxmox VE 9.1的能力，協助企業在升級虛擬化平臺時，仍能維持對虛擬平臺的資料保護。

除了支援新的虛擬化平臺外，11.2版還大幅擴展其Oracle RMAN備份機制的支援環境，包括Oracle Linux 9.5、9.6與10.0，以及Windows Server 2022與2025，還有Oracle 26ai等。

另外11.2版也增加基礎設施部署環境的裝置支援，包括完整支援HPE StoreOnce VSA Gen 5作為備份儲存裝置，11.2.1版又新增在Buffalo NAS（基於Windows系統）部署的初步支援。

11.2版另一更新重點，是支援基於OAuth 2.0的電子郵件服務授權機制，可提升透過郵件發送備份作業通知與警示功能的安全性。

'