人工智慧當紅，相關的開發工具越來越重要，例如，訓練大型語言模型的工具一旦存在資安弱點，很有可能危害AI的運作。

例如，6月24日Nvidia修補的分散式訓練框架Megatron LM，就有這樣的影響力，因此用戶必須重視相關的緩解作業。Nvidia公布CVE-2025-23264、CVE-2025-23265兩個高風險的資安漏洞，它們都存在於特定的Python元件，攻擊者可藉由惡意檔案造成程式碼注入的現象，最終導致程式碼執行、權限提升、資訊洩露，或是資料竄改，CVSS風險為7.8分，影響0.12.0以前的所有版本，該公司發布0.12.1版Megatron-LM修補。

Megatron-LM是專門訓練GPT、BERT、T5等大型語言模型的分散式深度學習訓練框架，當用戶訓練數十億至數千億個參數的模型時，能以此處理面臨的運算瓶頸與記憶體限制。這套框架也能與Nvidia的NeMo框架整合運用，透過DGX A100、H100等GPU叢集運作。因此，上述的漏洞若不處理，很有可能影響模型安全。

(參考資料 ithome 2025.06.26)

認識 CVE（Common Vulnerabilities and Exposures）
CVE 是全球資安漏洞的編號標準，能夠快速辨識並追蹤各類漏洞。每個 CVE 編號都附有漏洞細節（包含漏洞嚴重性、攻擊途徑、修補方式等），供資安人員與稽核人員參考。

CVE 主要用途：
漏洞管理：快速比對系統或應用程式的版本，判斷是否受到影響。

風險評估：結合 CVSS（Common Vulnerability Scoring System）評分，衡量漏洞的嚴重程度。

稽核作業：稽核人員可利用 CVE 編號建立檢查清單，追蹤修補狀態與合規性。

CVE 更新查核在資安稽核上的重要性
在資安稽核過程中，及時更新與比對最新的 CVE 資料是確保系統安全的重要步驟，具體效益包括：

降低被攻擊風險：確認高嚴重性（CVSS ≥ 9.0）的漏洞已及時修補。

符合法規要求：如 ISO 27001、NIST SP 800-53、金融資安命令等對漏洞管理的規範。

即時風險評估：避免因已知漏洞遭駭客利用造成重大資安事件。

JCAATs AI稽核軟體3.5新版上市！
JCAATs AI 稽核軟體可應用於資訊安全查核，運用 AI 強化資安稽核，歡迎洽詢https://www.jacksoft.com.tw/jcaats_3_5.php

0