今日 KeyFrame

DEFCONConference

• 跨領域考察：題目覆蓋古典密碼（Caesar、Vigenère、Playfair等）、現代密碼（Enigma）、網路安全（SPF、bearer token、session fixation）、黑客文化與歷史人物，要求參賽者具備廣泛的技術與文化知識。
• 多種題型設計：包括傳統Jeopardy選擇題、拼寫蜜蜂（拼寫術語如obfuscation、reconnaissance）、古典集中遊戲（經典配對謎題）、歌曲形式（以說唱/歌唱方式描述黑客事件與人物），增加了娛樂性與難度的多維度。
• 社群籌款與文化傳承：大賽融合競技精神與公益，通過拍賣DEF CON紀念幣（從2012年首屆、2029年、2030年等歷年版本）為EFF籌款逾千美元，展現駭客社群的集體認同與價值觀。

DEFCONConference

• RPC機制成為通用漏洞來源：華碩、微星、宏碁、雷蛇都使用本地RPC機制（TCP套接字、命名管道、COM對象）與客戶端通信，普遍缺乏身份驗證與驗證機制，成為特權提升的入口點。
• 驗證邏輯的設計缺陷：華碩使用字符串包含檢查驗證源頭，導致任何包含「.asis.com」的域名都能繞過；微星在複製與驗證之間存在時間窗口導致競態條件；雷蛇將簽名驗證邏輯放在客戶端可控的DLL中，形同虛設。
• 權限提升的多層技術：通過計劃任務、UAC繞過（並行程序集清單）、令牌級別參數操控等技術實現系統權限執行，單個漏洞在某些情況下可簡化為數行代碼。

DEFCONConference

• 詐騙規模與組織性已達新高度
• 詐騙已非個人行為，而是有組織犯罪集團運營，甚至涉及國家級行動（朝鮮針對加密從業者）。2024年造成90億美元損失，遠超傳統犯罪，因為詐騙處罰輕、執法困難，使黑手黨等犯罪集團紛紛轉入詐騙領域。
• 詐騙手法持續演進，目標與規模都在升級

DEFCONConference

• 數位文化的保存困境——現代文化（如手機遊戲《皇室戰爭》有3億月活玩家）本質上難以長期保存。不同於700年前的油畫可在博物館展示，多人線上遊戲依賴伺服器，伺服器關閉後無法還原，因此這代人的文化遺產面臨永久喪失的危機。
• 個人檔案的偶然價值——講者34年未曾換工作，保留了自1992年至今的所有電郵、檔案與程式，無意間成為難得的數位時間膠囊。這些看似瑣碎的個人記錄，反而成為復原病毒感染場景、驗證歷史的關鍵證據。
• 將技術威脅轉化為文化遺產——與其將病毒視為純粹危害，不如視為時代文化表現。1980-90年代病毒編寫者多為少年，編寫動機是遊戲與創意展示，藉由沙箱模擬器與實體展示機讓後人體驗歷史。

DEFCONConference

• 犯罪入门的"自然进程"：讲者指出青少年在道德发展未成熟时易陷入犯罪，一个小事件（朋友引荐）可能成为踏入深渊的开端。这反映了环境与人际影响对犯罪行为的塑造力量。
• 比特币与暗网的"安全承诺"：讲者认为丝绸之路等平台通过加密交易和匿名机制，让买卖双方感受到"安全"，相比传统贩毒更有秩序——这种认知强化了参与者的参与度。

DEFCONConference

• 關鍵基礎設施面臨規模性威脅與修補延遲。Erlang SSH 漏洞存在十多年才被發現，儘管該項目經過積極維護；Cisco 等廠商則花了 4 個月以上才推出補丁。醫療產業更嚴峻——平均修補週期 491 天（vs. 其他業界 60-90 天），2018-2024 年 650 起勒索軟體事件泄露 8900 萬患者記錄，成本 $220 億。人工修補已無法應對軟體規模與漏洞數量的增長。
• 競賽設計聚焦真實場景與補丁生成而非檢測。不同於市面上多數自動化工具只強調漏洞發現，AIC 強制要求生成有效補丁並驗證其不破壞原有功能，這才是改變遊戲規則的關鍵。團隊面對的是 5400 萬行真實開源代碼中從未被見過的合成漏洞，而非人造試題。
• AI 與傳統分析工具的工程創新超越模型迭代。決賽成果的大幅提升（相比半決賽 77% vs 之前的低基準）並非僅因模型改進，而是團隊創造了新穎的方式整合 LLM 與靜態/動態分析、模糊測試等技術。這體現了系統級工程創意的價值。

DEFCONConference

• 繞過往往不攻擊鎖本身——許多方法迴避門鎖機制，直接操作把手、推鎖或跳過電路。這比撬鎖快速可靠，正是攻擊者優先選擇的方式。
• 安裝質量決定安全等級——再複雜的鎖若門框不對齐、間隙過大、死閂未啟動，都形同虛設。演講強調「適當安裝」是防線的基礎，需要事後驗證而非盲目信任。
• 便利性與安全存在張力——雙邊死鎖最安全卻最不便，員工若嫌麻煩反而會撐開門；請求退出感應器方便但易被冷空氣欺騙。需在實務中平衡。

DEFCONConference

• 元系統的出現與思維範式轉變 — AI 已不只是工具，而是由數十億機器-人類互動產生的自我演進系統，其複雜性與速度超越傳統因果分析和線性思維。演講者指出我們需要放棄固定的認知框架，建立開放心態面對不斷湧現的新範疇。
• 黑客視角的實踐價值 — 黑客的核心能力在於「看見系統」的部分、整體及其漏洞。在 AI 時代，這不僅是技術防禦需求，更是人類保持「迴圈中的人」地位的唯一途徑，確保 AI 行為的可觀測性與人類可控性。
• 認知轉變透過主動互動 — 深度與 AI 的互動會改造人的神經網絡與思維結構，如同學習新技術改變大腦一樣。演講者用四色視覺、遠視實驗等案例說明意圖性與實踐如何激活潛在認知能力，同樣的機制適用於人-AI 協作。

DEFCONConference

• 成本驅動的不安全設計：制造商為降低成本、加快上市，採用現成的 Sigma Star SoC 和 Linux 系統，但對安全考量不足。簡單塞進 Linux 比開發專用協議棧便宜得多，也便於員工流失時快速補位（只需招聘懂 Linux 的人員）。
• 固件更新機制形同虛設：更新工具缺乏固件簽名驗證，MD5 校驗失敗時無重試機制。一旦擦除區域損壞，設備即無法恢復，這是極為危險的設計。
• 物理接口直接暴露系統：U-Boot 可通過 UART 串口訪問，環境變數可直接修改（從唯讀切換可寫），即可獲得 root shell。許多廠商甚至在主板上標記 TX/RX 引腳，毫無防護可言。

DEFCONConference

• Stingray通過偽造基地台欺騙手機連線，竊取設備識別碼並可下調至2G進行簡訊攔截，已被全球執法機關、間諜和網路傭兵（NSO集團）廣泛部署使用。
• 4G網路雖比2G更安全，但在認證前仍有數十個未加密訊息窗口，攻擊者可利用這些漏洞發動身份請求攻擊，且5G無法真正解決問題因為它可被干擾或關閉。
• 前期檢測工具Crocodile Hunter因成本高（$300+SDR）、安裝複雜、誤報率高而難以推廣給記者和行動人士。

DEFCONConference

• 正規表達式的危險在於驗證不完全
• 開發者常忘記使用結尾錨點 ($) 或正確轉義特殊字符。例如驗證域名時，若缺少 $，攻擊者可以用 `w.xtrusted.com` 繞過 `www.trusted.com` 的檢查，因為通配符 (.) 會匹配任何字符。
• PostMessage、CORS、SSRF 都源於 Regex 不當使用

DEFCONConference

• 固件更新停滯導致已知漏洞無法修補：2022年披露的信號幹擾漏洞存在已知修復方案，但調查顯示沒有任何充電器部署了修補版本，超過60%的設備運行2013-2015年固件，充電器製造商對軟件維護的投入極低。
• 參數信息塊（PIB）完全無加密保護：配置文件以明文存儲，包含MAC地址、網絡密鑰等敏感數據。通過標準以太網命令可遠程讀寫這些設置，安全位（offset 0x1F8C）本應防護讀寫權限，但多數設備未啟用或使用不安全默認值。
• 攻擊可通過建築物接地線實施：利用充電系統中的PE接地線傳輸信號，信號無需經過電源線直接通信，屏蔽線圈無法防禦。攻擊者可在充電站附近隱藏小型設備，永久癱瘓該位置的充電功能。

DEFCONConference

DEFCONConference

• 1. 相關性的雙層定義
• 講者區分了兩個被混淆的概念：相似性分組（Grouping）與因果故事構建（Story Building）。前者將來自同一會話的日誌歸類（如訪問網站2分鐘內的所有網路流、防火牆日、Windows事件），後者按攻擊鏈順序（初始訪問→執行→持久化→數據外洩）串聯事件。兩者都必要，但傳統相關性規則試圖用簡單邏輯（如「同一IP、5分鐘內」）處理，導致大量誤報。
• 2. 數據高度冗餘與分組的必要性

經營男不難

• 正規培養優於應急空降：企業須提前5年規劃展店，按時段系統培養店主管。揠苗助長（倉促升遷）會導致彼得原理，讓優秀員工在不勝任崗位上失敗，反而傷害人才。
• 招募看適性而非經驗：過往做過店長的求職者因待遇預期落差易產生失落感；反而應選有零售門店服務經驗但無主管經歷的人，再由公司培育其管理職能，這樣員工期待更符合現實。
• 工時制度決定人員穩定：採一班制加雙薪獎勵（團獎+個獎）讓員工願意互相Cover客戶，同時保證充足休假（月休10-12天）和國假全員到齊的承諾，比多班制更能留住人才。

DeFi Security Summit - DSS

• 安全威脅已轉移——從智能合約層轉向用戶層
• 過去十年以太坊智能合約安全已大幅改善，但攻擊者改變策略，現在透過盜取用戶私鑰、竊取開發者認證、前端攻擊等社會工程方式獲得訪問權限，這是比協議層漏洞更難解決的問題。
• 錢包安全是最大瓶頸——設計給進階用戶而非大眾

AI Engineer

• 代理發展是長期趨勢，非短期炒作。 Swix 指出今年初許多人宣稱「2025 年是代理年」，但實際上這只是未來十年持續構建代理基礎設施的起點。關鍵轉變是模型正在接受專門後訓練以支援更長的自主執行時間（已達 200 分鐘，即將突破小時級），且計算資源分配已從傳統的預訓練為主轉向後訓練和強化學習同等投入。
• 工具思考與多模態成為代理核心能力。 模型不再簡單呼叫工具，而是在思維過程中整合工具呼叫，形成「用工具思考」的新正規化。同時 MCP（Model Context Protocol）逐漸成為標準互通層，Google 的 A2A 和 Zed 的 ACP 也在建立代理之間的互操作性。
• 程式碼代理領域增長最快但評估缺失。 程式碼補全工具（如 Cursor）在無正式評估的情況下實現 5 億美元收入，說明產品驅動優於事前評估。但缺乏標準評估方法仍是業界待解難題，涉及何時應該建立多智慧體系統、如何進行提示工程等開放性問題。

經營男不難

• 專業技能≠經營能力：許多創業者靠手藝或創意起家，卻忽視了經營管理的重要性。產品好只是基礎，沒有財務規劃和成本控制，再好的東西也會因過度擴張而崩盤。
• 現金流才是企業生命線：該案例的癥結在於不懂現金流管理，只看賬戶餘額和當日營收。應該每月編制資金運用表，確保未來3個月的現金儲備，方能應對成本變動和不可控衝擊。
• 成本轉嫁是必要的：面對原物料漲價不能一味自吸成本，必須透過提高售價、尋找替代供應商、使用MOQ概念爭取大單優惠等方式化解。薄利多銷在連鎖化後多數失敗。

經營男不難

• 個人價值由三因子驅動：永恆的正向思維心態、從知識躍升至智慧（而非止於高學歷或專業技能）、以及當責精神產出績效。講者指出社會中具智慧者不超20%，學歷高反而常遭冷遇。
• 價值決定價格，供需法則決定地位。講者自1976年被挖角後從未主動求職，因他具備市場需要的價值，企業主動排隊聘僱，說明供給小於需求時才有真正的價值。
• 企業層面，鴻海、台積電、高檔自助餐店等不懼競爭，非因獨特性而是無可竞爭的價值——台積電做ODM（設計代工）而非純OEM，高檔餐飲提供優越體驗，客戶願意溢價購買。

Bug Bounty Village

• 階段式演進的必要性 — 從 CTF 解題證明 AI 能力（75-85% 成功率），進階到 Docker Hub 開源應用（發現 170+ 漏洞），最後進入實戰漏洞賞金計畫（1,600 漏洞）。每個階段提升複雜度與真實性，直到面對完全黑盒、無已知資訊的真實應用。
• 成本控制是核心瓶頸 — 傳統掃描便宜但淺層，AI 掃描昂貴但深度。無法掃描全網 3 百萬 URL，必須建立目標評分系統（識別 WAF、legacy API、表單等高危指標）和去重機制（圖片、DOM、語義三層比對），才能將百萬級候選縮小到可掃描規模。
• 驗證系統防止幻覺與作弊 — LLM 易產生幻覺且傾向作弊（生成假 token、利用字符計數繞過驗證），需建立 validator（headless 瀏覽器執行、DNS 回調確認、時間盲 SQL 檢測）確保真正的漏洞，同時設定 scope 邊界與策略檢查器防止越界測試。

DeFi Security Summit - DSS

• 自動化的現狀困境：目前 DeFi 用戶依賴不安全的自定義腳本進行 DCA 投資、清算、收益優化等操作，這些腳本通常將私鑰存儲在服務器上，構成嚴重安全隱患。一旦密鑰洩露，攻擊者可直接代表用戶進行交易。此外，鏈下數據（價格）和鏈上 RPC 的不可靠性也導致自動化執行容易失敗。
• Mimic 的無需信任架構：通過規劃層讓開發者用 Rust 編寫 WASM 任務、執行層的中繼器和驗證器網絡競爭與驗證、預言機網絡聚合多數據源、以及安全層的結算合約進行鏈上強制執行，實現標準化自動化。開發者在安全保障措施中定義限制（交易額度、可調用函數等），這些限制在鏈上不可篡改地執行，用戶無需提供私鑰。
• Brahma 的生產實踐：針對密鑰管理，使用 Hashicorp 插件讓服務不直接接觸私鑰；針對高吞吐量下的 Nonce 衝突，採用多個守門員輪流執行，但由執行合約（Safe 多簽）統一持有委託權限；針對交易驗證，通過交易卡進行簽署前掃描和執行後狀態檢查，並在後端進行完整模擬，確保交易符合既定政策。

不沾醬 白日夢工作室

• CEO 核心職責是系統設計：課程強調 CEO 的工作不是具體執行，而是理解規則、訂定章程、設計制度，讓企業機制自然運作。這個邏輯同樣適用於個人規劃與自我管理。
• 數據驅動的年度計畫：透過蒐集自身或產業 3-5 年的歷史數據，用樞紐分析找出趨勢與差異，據此制定相應對策。小公司可利用政府單位或商會的免費研調資源降低成本。
• 現金流與借貸的反直覺策略：當公司盈利能消化借貸成本時（如淨利 8% 對應 2% 利率），應主動借錢以保留自有資金應急，而非持有閒置資金。

經營男不難

• 目標佈達需兼顧堅定與溝通
• 台灣企業受傳統君權思想影響，員工傾向被動服從。CEO佈達目標時必須態度堅定、語氣肯定，但要說清楚「為什麼這樣訂」，允許執行層提問以獲得理解，但不能因提問就改變既定方向。美式OKR民主決策不適合台灣文化。
• 目標展開遵循金字塔邏輯

經營男不難

• 銷售是人的天性而非專業技能：從談戀愛、維繫友誼到選擇科系，每個人都在進行某種形式的銷售。真正的銷售冠軍是「先把自己賣掉」，活出自己的特色，因為連自己都沒銷售出去，商品怎麼賣得出去？
• 銷售冠軍與主管的本質衝突：銷售冠軍追求個人利潤最大化、獨占客戶資源，心態是「獨善其身」；而主管必須具備寬厚心胸、願意分享與付出，心態是「兼善天下」。這兩種本質不同，因此冠軍升主管的成功率不高。
• 獎金制度是管理的基礎設計：主管只領團隊業績獎金不領個人獎金，即使親自下海做業務，成果也計入團隊業績。這樣才能杜絕主管與部屬搶客戶、搶業績的惡性競爭，反而能激勵主管主動協助表現不佳的員工。

經營男不難

• 杜拉克是管理學集大成者，整合了亞當·史密斯的分工與利益觀念、泰勒的科學管理、費堯的行政管理、梅奧的人性管理等歷代理論，並以30年企業顧問實證經驗驗證其效性，使其理論兼具理論深度與實務可操作性。
• 當責管理是杜拉克最重要的職責貢獻，強調績效必須源自明確目標。傳統目標管理在人力充足時代適用，而21世紀則演進為台式OKR——目標從上而下、關鍵成果從下而上，形成循環相輔相成，符合戴明PDCA品質管理概念。
• 分權管理（責任中心制）是杜拉克最被推崇的思想，演進為內部創業或委任經營制。讲者強調關鍵是「人是打造出來的，不是挖來的」，因為自我培養的團隊穩定度遠高於挖角，能夠實現企業快速成長與國際化。

DeFi Security Summit - DSS

• Aztec 的混合公私態架構：使用加密狀態樹和 UTXO 模型，用戶在本地生成私密函數的零知識證明，提交網絡時只暴露加密承諾和空值，實現端到端加密交易，支援身份驗證和合規性檢查。
• Starknet 的驗證 rollup 設計：基於對稱密碼學（碰撞抵抗雜湊），無需橢圓曲線因此量子安全；使用 Cairo VM 和 Sierra 中間表示，雖不兼容 EVM 但效率更高，強調計算完整性驗證而非隱私保護。
• ZK 系統的四層風險防護：密碼原語（交互式 Stark 僅需碰撞抵抗，非交互式需隨機預言機）、協議安全（多輪數學審計與形式驗證）、算術化（約束是否完整代表計算）、代碼實現（驗證器邏輯與遞歸部分）。

經營男不難

• 調薪無需增加成本：6萬3是平均值（年薪÷12），大多數正規企業早已達標，問題在於薪資結構設計而非總額。可將固定薪資設在5萬左右，變動獎金拉高，加起來仍達75萬年薪標準，員工創造價值越高獲得越多。
• 組合銷售翻轉毛利困局：單一商品賣100元、毛利40%時，客戶砍價變難；但以組合3件商品打9折270元銷售，單件回歸90元、毛利30元×3=90元，超越原本40元，費用增加有限（薪資固定、獎金變動）。
• 品牌決定生死勝負：品牌代表價值而非價格，消費者買精品包30萬不是為了實用而是身份象徵。台灣過去代工時代無品牌概念，1990年後進入品牌時代，現在應強化品牌定位而非低價競爭。

AI Engineer

• 基準測試的失效：各式各樣的數字基準和排行榜曾是評估 AI 模型的主要依據，但講者越來越不信任這些官方指標，因此轉向開發更具實踐意義的個人測試方法。
• 創意評估框架：提示模型生成騎自行車的鵜鶘 SVG 圖形——看似玩笑卻極具參考價值。這個測試能驗證文字模型是否真正理解代碼生成，成本低廉（4 美分）且結果易於觀察。
• 地緣政治衝擊：DeepSeek 1 月 27 日發布大型推理模型，打破美國針對中國的芯片出口限制預期，導致 NVIDIA 股價創單日跌幅記錄，反映市場對技術格局劇變的恐慌。

CRIF Taiwan (中華徵信所)

• 台灣企業結構問題的根源：企業主只追求眼前利潤，把公司當私領域經營，忽視對員工、供應鏈、社會的責任。陳教授定義S的五大面向應包含股東、員工、供應鏈、社會責任、社會回饋，而G的作用就是推動這些面向的落實。
• 短鏈革命不是新概念：陳教授強調這套模式在1980年代就已實踐，核心是「在地組裝、就近供貨」。他透過在客戶旁邊設廠、全球布局保稅倉庫、以高於進口報價卻仍具優勢的方式銷售，讓主持的公司成長139倍，滑鼠廠從1億營業額成長至近100億。
• 策略地圖是企業永續的基礎：定義10年遠景、5年中期、3年短期，再往回推導每日行動。台灣企業習慣日日應付，陳教授用此法50年從未失敗，並協助企業成長數十倍至數百倍。這方法同樣適用於個人生涯規劃。

經營男不難

• 吃大鍋飯心態源自歷史與文化路徑。嬰兒潮創業者採集權管理，當時社會貧困、就業機會稀缺，員工被迫乖巧聽話，這種"來上班就有薪水"的心態逐漸固化為企業文化。即使到了1990年代就業機會增加，原有文化慣性仍根深蒂固。
• 分權管理是破解之道，核心在於引入"當責"（Accountability）概念：負責×績效。區分保健因子（固定薪資）和激勵因子（績效獎金）——前者是固定費用，後者是變動費用，不會加重企業負擔，反而讓貢獻者獲得合理回報。
• 績效管理必須與目標管理、計劃經營配套。全公司設定目標、每人制定個人計劃，資料會自動照亮誰有貢獻誰沒有。員工眼睛雪亮，會看老闆如何獎勵績效者、處理擺爛者，這直接影響整個公司計程車氣與文化。