今日 KeyFrame

職人學堂

• 管理演變的必然性：隨著企業事業擴大和新技術普及，傳統的家長式威權管理已無法適應現代企業需求，必須轉向授權與分權。
• 新世代員工特性：21世紀新世代員工因科技變革能快速取得知識，自主意識較強，要求更大的自主權與決策空間，促使管理思維必須調整。
• 分權管理的實質：分權不是權力下放的簡單概念，而是賦予各單位自負盈虧的責任機制，讓基層單位擁有實質決策權與經營自主性。

DeFi Security Summit - DSS

• 库函数安全的陷阱：Open Zeppelin的Mateo强调，虽然经过审计的库提供了可靠的基础块，但协议往往组合多个库，导致攻击面扩大。他以CK Sync与Rap USDM的集成黑客为例，说明即使各组件单独审计安全，它们的交互可能产生漏洞——特别是在多链场景中，原本被视为"不可能"的攻击条件（如攻击者拥有50%代币）在新链上变得现实。
• 简洁与优雅是防御的基础：Wonderland的Skeletor和Balancer的Quani都强调，复杂系统极难审查，容易引入漏洞。通过Keep It Simple、加入设计约束（如禁止升级核心合约）反而能推动更优雅的架构，最终达到既简洁又能解决问题的"informed simplicity"。
• 完整的分层防御工作流：从Open Zeppelin和Balancer的经验看，安全不是一次性检查，而是贯穿开发全周期的过程——代码阶段用多种测试工具验证，审计阶段邀请多家顶级团队轮次把关，部署前进行分叉测试，部署后配备漏洞赏金、应急机制和监控，目标是预防未知风险。

經營男不難

• HPA 強調「見古知今」，透過歷史數據找到經營決策的根據。Richard 於 1986 年主持寶島眼鏡時，用手工整理三年十二個月資料，耗時兩個月但找到關鍵要件，決策主攻上班族市場，一年內從全台第六大躍升第一大。說明歷史統計分析絕非虛功。
• 通路別分析需視產業而定。零售流通業分為實體通路（便利店、量販店、傳統店家）與線上通路，進一步細切為 7-11、全家等具體通路，才能看清楚每個通路的貢獻度與異常信號。外銷同理，要區分代理商、進口商、批發商、當地量販，找出最優賢能通路。
• 要因分析與改善對策是 HPA 的核心，當曲線出現「淡季不淡、旺季不旺」等異常，必須追查原因（內部行銷活動、新品爆款、外部市場變化），方能提出對應對策，避免盲目決策。

經營男不難

• 權責表是經營框架的第三要素：許多上市公司雖有權責表但未真正落實。權責表須清楚規定從基層到高階，各職能領域（如定價折扣、經銷商選擇、費用簽核）的決策權限額度，才能實現授權管理與分權。
• 組織惯性源自快速成長中的三大忽視：公司在成長過程疏忽了權責建構、根基教育訓練、以及跨領域能力開發，導致主管聽命行事、本位主義嚴重，遇到超出自身領域的事務就害怕、推諉，職位越高懂得反而越少。
• 決策勇氣來自全方位能力與周延思考：主管害怕做決策根本原因是缺乏培訓，八大職能不懂就會害怕。唯有當中階主管具備八大領域認證、外語能力、以及跨部門輪調經驗，才能建立周延的決策思維，消除恐懼。

查理的創業化合物

• 五个关键问题的威力：向客户提问最喜欢、最讨厌、若是老闆会做什么改变、如何形容、解决什么问题。这五个问题能帮你发现新产品方向、优化现有服务、找到品牌定位，本质上是用客户思维反推你的策略。
• 财务思维的核心漏斗：判断生意是否值得做，需要看市场规模够不够大、毛利率够不够多、毛利能否养活团队。这三个条件都过关才留下来，否则转行，不要困在一个赚不到钱的行业里。
• 创业三个死亡之谷：创业生存率在第2.5年死一次（90%失败），第七年又死一次（再减90%），只有1%的人能活到第七年。要提前准备好融资和现金流储备，让公司活得比竞争对手更久。

經營男不難

• 台灣傳統企業採「射箭畫靶」模式——產品做好才去找客戶，導致廣告費用浪費。現代精準行銷應「畫靶射箭」——先確認市場需求與目標客群，再提供他們真正需要的產品或服務。
• 行銷十大步驟是系統化流程，講者以自創的聯盛機為例：1992年創立時定位「只服務中小企業」（台灣中小企業占98.7%），因此30多年持續成功，而同期創業者多已消失。清晰定位是長期經營的基礎。
• 「我賣的不一定是我做的」——企業應靈活組合產品與服務滿足客戶需求，不必擁有完整生產體系。這就是組合行銷的核心概念，能翻倍業績。

風傳媒 The Storm Media

• C2B逆商業模式是戰略基礎：必須先清晰定義目標客群，再針對其真實需求提供商品，而非依照自身能力反向銷售。講者的經營哲學是「我賣的不一定是我做的，但一定是客戶要的」，這打破了傳統製造業思維限制。
• 同心圓理論實現營收倍增：從本業開始，第二圓挖掘同一客群的周邊需求、第三圓發展跨業服務，必須循序漸進。電腦鼠標公司驗證此理論：滑鼠從1億成長至31億（30倍），周邊產品則創造109億營收。
• 管理制度與人才體系決定擴展能力：採用MA機制培養自有班底取代空降高管、用表單和績效指標控制而非事務干預、實施內部創業制既培養人才又防止競爭，這才能支撑公司快速成長。

職人學堂

• 業務團隊跨越行業邊界，核心工作都是銷售，行業間的差異不是本質，關鍵在於執行的方法論和工具。
• 銷售成功不能只依賴傳統的「銷售技能」，必須配合科學的方法、實用工具和具體技巧才能打造卓越績效。
• 數據是決策的基礎——人會欺騙但數字不會，通過數據整理和複雜分析可以識別問題、發現機會、定位關鍵改善點。

Bug Bounty Village

• 威脅模型轉變是安全盲區：當內部工具改為公開產品時，原有的隱性信任失效。Nginx 403 繞過案例說明需要識別異常的錯誤頁面差異（應用層 vs 網路層），這提示了防禦的真正位置。掌握 URL 編碼、WR 編碼、路徑遍歷等規範化繞過技巧往往能突破看似堅固但位置錯誤的防禦。
• 多視角連結攻擊產生指數級影響：經銷商 CRM 漏洞透過切換身份視角（客戶→經銷商→系統）發現了隱藏的功能標誌和 IDOR。三個漏洞（IDOR + XSS + IDOR）的連結不僅擴大了影響範圍，還形成了自我複製的蠕蟲，最終洩露千萬級資料。這說明深入應用的各個功能模組、啟用隱藏特性（透過 Kaido Match & Replace 切換功能標誌）是發現鏈條的前置條件。
• 跨領域協作大幅降低陌生技術的學習曲線：硬體硬化、二進位制逆向、SIP 協議等難題都透過與專長者合作而快速破解。物理韌體提取雖然前期失敗三次，但最終實現了配置注入利用；Perforce 二進位制協議透過協議文件自學加 ChatGPT 輔助成功開發了惡意伺服器。這體現了"10 天內從零到遠端 Shell"的可能性。

經營男不難

• 規劃優先於執行：創業初期必須決定是要開一家店生存，還是規劃連鎖系統。如果目標是多店發展，就應該先建立總部的八個功能，再以旗艦店作示範進行招商。先開店後補總部是本末倒置。
• 八個流是連鎖的骨架：行銷流建立品牌印象，營運流進行店務指導，資訊流讓總部實時掌握數據（如每晚10點半就知道全集團損益），管理流確保標準化SOP，商流決定商品規劃，物流負責配送（餐飲為中央廚房），人流培育人才，金流確保加盟者有清晰的投資報酬率。
• 與加盟者的信任基礎：總部必須清楚承諾加盟金額、預期營收、損益平衡時間，並根據商圈規劃協助選址。台灣許多連鎖總部未能做到這點，導致加盟者對連鎖模式產生畏懼。

DeFi Security Summit - DSS

• 社會工程是所有大型駭客事件的共同入口：Lazarus 從未靠技術漏洞直接突破，而是透過偽造 VC 投資邀約、假採訪、惡意 npm 練習題、假文件等方式讓目標執行不受信任的程式碼，因此防禦的第一層是人員意識，而非技術工具。
• 最小權限原則是組織安全最被低估的措施：Mudit 在 Polygon 本人也不擁有任何系統的管理員權限，所有操作須開工單留下紀錄，這樣即使核心人員被滲透，攻擊者也無法橫向移動。
• 多簽本身不是銀彈，配置錯誤等於沒有：ZkSync 與 Mint 駭客事件中多簽閾值設為 1/1，毫無意義；正確做法是依資金規模升級閾值，且每位簽名者須使用不同廠牌或作業系統的硬體錢包，避免單一攻擊向量同時攻陷所有簽名者。

DeFi Security Summit - DSS

• 人類是安全最薄弱環節，但可透過多層防禦補強 — 社交工程包括釣魚郵件、假冒文件、虛假代碼審查等，即使大公司也容易中招。防禦不是變成偏執狂，而是建立獨立的多個防禦層級，使攻擊者必須同時突破所有層才能得手。
• 硬體錢包與多簽配置需隨金額階梯式升級 — 資金$500k以下用硬體錢包單簽或2之3多簽；$500萬～$1千萬升至3之5；$5千萬～$1億用9之11或10之13。永遠不用1之1多簽，所有簽署者應使用硬體錢包而非軟體密鑰。
• 新手最可行防護是設備隔離，而非極端安全配置 — 將日常生活設備（下載、遊戲、工作）與加密簽署設備完全分開，即使被駭也只損失隔離設備的資金。iOS因沙盒機制天生更安全，是加密操作優先選擇。

Bug Bounty Village

• Bug Bounty成功需要長期專注而非短期投機心態。初期投入40小時在1-2個目標上，理解應用業務邏輯才能找到有意義的漏洞；同時平均首個獎金需20小時研究，但隨經驗累積能降至數分鐘。報告撰寫品質決定80%的拒絕原因，不是技術本身，必須向CISO層級講述「可怕故事」而非技術細節，才能說服他們投入工程資源修復。
• Triager並非想克扣獎金，而是為公司和研究者把關；拒絕通常因缺乏冲擊證明（低危害、無登入狀態的XSS無數據可竊、IDOR僅改變購物籃等），應主動詢問改進方向並學習，而非重複提交相同類型報告。
• 找漏洞前先理解平台規則、目標架構與業務邏輯。Google Images、Subdomain Brute Force、Twitter搜尋、Demo版本挖掘都是實用的OSINT工具；遇到未知參數應保持好奇心深入研究，因為隨意設計的參數往往隱含業務邏輯洩露。

經營男不難

• 川普關稅政策並非無限期，而是用90天談判期望各國讓步，但台灣電子產業短期內仍會大量出貨美國以避關稅，進而推高運費與航運股。長期而言，製造業應評估遷廠，菲律賓因英語為官方語言、勞動成本低且人口紅利強，同時對美關稅僅17%，是最優選擇。美國國內已有22州與勞工反對關稅，會導致stagflation（停滯型通膨），這限制了川普政策的永續性。台灣企業應主動利用當地留學生回鄉擔任管理者、與本地人合資或收購當地工廠，而非被動等待衝擊。

Bug Bounty Village

• 環境隔離缺失導致認證完全繞過：Swisscom測試環境與生產環境共享密鑰存儲庫，測試環境固定PIN碼111可直接登入生產系統，雖然簡單卻影響數百萬用戶個人資訊。
• 加密cookie的設計漏洞可被簡單利用：三個加密cookie中的SMS令牌可複製到驗證碼顯示cookie中洩露，因為兩者使用相同加密密鑰與演算法，攻擊難以自動化但低成本高收益。
• 複雜漏洞鏈需多層技術結合：路徑遍歷繞過 → 刪除保護文件 → XML注入 → XInclude包含日誌 → XPath盲注逐字竊取會話令牌 → RCE，每一步都基於對應用實現的深度理解。

Bug Bounty Village

• DOS在漏洞賞金中的特殊地位：雖然DOS攻擊常被標記為超出範圍（因為影響太大可能完全癱瘓服務），但透過在非生產環境測試和與程式溝通，反而能發現價值最高的漏洞。講者強調需要在進行測試前諮詢程式，讓對方做好監控準備。
• 資料庫效能漏洞是最大金礦：N+1查詢問題（當單個請求觸發多個資料庫查詢）可產生46,000美元的賞金，其中Snorlax一人獲得30,000美元。攻擊者可透過增加資料量來放大DOS效果，資料越多影響越大。講者開發了Tridos Burp外掛來被動識別耗時超過設定閾值的請求。
• 協議層和快取機制是高效攻擊向量：Slowloris攻擊透過建立無限重定向迴圈耗盡伺服器套接字，快取投毒攻擊可利用快取鍵機制向所有使用者傳播惡意內容。npm registry案例中僅靠一個惡意請求就導致所有使用者安裝失敗，最終獲得10,000美元賞金。

經營男不難

• 三層思維適用層次遞進：商業思維面向外部市場環境（勞動市場、商品市場變化），經營思維決定公司戰略與制度（薪資架構、獎勵辦法），管理思維則是內部執行控管（人員效能、成本控制）。企業領導者必須同時具備三者，但多數員工只停留在執行層，容易造成各自為政的本位主義。
• 人資職能必須理解市場大環境。台灣企業常抱怨「沒有人」，但根本原因是沒有商業思維。市場上勞動力其實充足，問題在於年輕人寧選Uber或兼職，代表企業沒提供足夠誘因。唯有認識這個市場現實，才能設計出有競爭力的薪資制度與獎勵機制。
• 缺乏整體思維導致決策偏誤。物流部為節省費用減少出貨次數卻不考慮客戶體驗，員工達成了「費用節省」目標卻損傷客戶關係。這就是有管理思維卻無商業與經營思維的典型表現。

DeFi Security Summit - DSS

• 1. 社交工程攻擊鏈比單一漏洞更危險
• 攻擊者刻意設計多層跳轉（Twitter → Telegram → Slack 錯誤頁 → Reddit 教學 → GitHub 惡意驅動），讓受害者無法直覺連結「初次接觸者」與「最終感染行為」，導致警覺性降低。
• 2. 硬體錢包 + 多簽並非終極防線

Bug Bounty Village

• AI的自主學習與適應能力遠超預期：演講示例顯示AI不僅執行預設命令，還能分析應用回應、自動調整策略。JWT漏洞演示中，AI發現依賴缺失時自動安裝；XSS示例中自行發現字符過濾、嘗試多種編碼方案；無目標CTF中甚至能自發探索應用、發現隱藏功能並構建完整攻擊鏈。這類自適應能力是傳統漏洞掃描工具難以實現的。
• 規模化基準測試揭示了性能天花板：Expo投入三個月收集數千個真實挑戰，按難度分層評估。結果清晰顯示AI在標準化、可重複的任務上表現卓越(簡單90%、中等90%)，但在需要多步組合、非常規思路或深層邏輯推理的困難挑戰(40%)上明顯遇冷，反映出當前LLM模型的內在局限性。
• 人機互補性定義了最優協作模式：對5位不同等級滲透測試員的40小時實驗表明，AI以30分鐘完成速度優勢明顯，但在創意繞過、複雜漏洞鏈、應急決策上人類專家仍占優勢。這啟發了未來應用方向：AI負責基礎/重複工作(reconnaissance、payload生成、自動化測試)，人類專家專注創意與複雜判斷。

經營男不難

• 規劃必須前於招聘：企業應先定清目標，用人效推算需要多少員工，而非隨意擴充。有些老闆說「生意好沒人做」或「淡季沒案子」，實際上是沒有根據產業特性和營業目標做好組織規劃，導致組織編制不合理。
• 薪資制度決定留才速度：薪水過低是招不到人的根本原因。2025 年台灣法定時薪 190 元換算年薪需 33,440 元起跳，若公司還停留在 30k 左右將無法吸引人才。每年調薪亦很關鍵，否則新員工薪資反而比舊員工高，反而鼓勵員工離職重入。
• 績效考核應用 OKR 連動獎金：O（目標）由上而下制定，KR（關鍵成果）由員工自行達成，這樣員工會自我驅動而非被迫執行。績效分數 70 以下無獎金、70-90 按比例給獎、90 以上全額領，與薪資或業績掛勾才有依據可言。

Bug Bounty Village

• 資源效率優於覆蓋面積：暴力破解是最後的手段，應先窮盡所有被動偵察技術，這樣能用最少成本獲得最大發現量；講者日監控數百萬域名，幾乎全部來自被動源。
• 多層次被動資訊源的整合：SSL 證書日誌（Gungnir 可 20 秒內捕獲新證書）、反向 DNS 查詢、被動 DNS 資料庫（VirusTotal、SecurityTrails）等互補使用，能發現大量資產而無需主動掃描。
• 自建關鍵基礎設施勝過依賴第三方：PowerDNS Recursor + Redis 的自有 DNS 解析叢集可完全控制引數和監控，僅需月均 $25 成本就能處理每秒 12.5 萬查詢；關鍵是實現持續 5+ 天的重試列表，捕捉短期不可用但後來恢復的服務。

OMIA學東西

• 壯世代的職場優勢明顯：相比完全沒有工作經驗的年輕人（green head），壯年人因為經歷豐富、職場規則通透、工作經驗可直接應用，整體績效表現更佳。
• 壯年人的就業需求獨特：退休或壯年人進入職場的心態不同於年輕求職者，他們並非為了謀生而是尋求與社會的連結，希望透過工作進行服務和交流。
• 政府機關的成功案例：公家機構聘用大量義工的做法證實，這些服務經驗豐富的中年人能提供優質的服務水準，體現了壯世代的價值。

美上美皮膚科-莊盈彥醫師

• 專業與事業的本質差異是第一個關鍵。具備專業知識能賺到錢，但這只是「小錢」，因為受限於個人能力邊界。真正的事業家需要從執行者轉變為整合者，建立可複製的系統讓多個專業人才為你賺錢，這才是突破天花板的方法。
• 領導者的心態與身體狀態息息相關，這是第二個洞察。講者強調不在於保養品或運動，而是規律的生活作息、永遠愉快的心境與不計較他人。「心怎樣，臉就怎樣，身體就怎樣」這句古語道出本質——內在狀態直接決定外在成果。
• 人才培養與組織擴張需要反向思考，這是第三個關鍵點。勿空降外部人才（易產生企業文化衝擊），應從內部培養精英，透過VU內部創業制讓員工在母公司保護傘下獨立自主。面對2025年基本工資上升卻人才難尋的困境，應靈活運用part-time與freelancer，約60%工作可外包。

精算媽咪的家計簿

• 多元雇用與成本優化：善用二度就業婦女、退休人士和自由工作者，將固定成本轉為變動成本，組織因此擁有更高彈性，且媽媽族群因經歷養育考驗而具備高抗壓性與時間調配能力。
• 績效驅動的靈活工時制：提供 9:30-15:30 工時讓媽媽接送小孩，搭配績效獎金制激勵，既降低薪資支出又能激發員工主動性，實證顯示工作成效不亞於傳統全職。
• Joy Promotion 跨業合作模式：通過異業結合（如鞋業、喜餅、眼鏡行在 1993 年的案例）共享客群，互相推薦顧客，擴大市場接觸面，單季業績提升幅度達 19-49%。

經營男不難

• 产业衰退是科技进步的必然结果。 传统平板印刷已被新科技替代——电子档、银印机让印刷变成可选项而非必需品，这不仅是印刷业的问题，而是所有基于过时技术的传统产业都必须面对的挑战。唯有转向传统技术无法取代的特殊印刷、凸本印刷等高端领域，才有生存空间。
• 员工抗拒的根源在于沟通不足，不是员工本质问题。 二代推行年度计划时没有先解释为什么要做、为什么必须改变，员工基于几十年的工作惯性自然会拒绝。关键是要建立危机意识——"继续这样公司会关门、你们会失业"——让他们理解改变是为了生存，而非老板的任意决定。
• 战略分层是企业长期生存的基础。 很多企业只有年度计划，缺乏3年、5年、10年的远程愿景。年度计划只是战术执行，真正重要的是策略方向。当外界出现不可控冲击时，没有战略框架的企业就会陷入被动，因为他们不知道自己要往哪里去。

VK科技閱讀時間

• YouTube的成功關鍵在於找到互補品而非獨立自主的策略。他們沒有砸錢做行銷，而是巧妙地寄生在MySpace上，讓內嵌影片成為每個頁面的免費廣告，啟動了網路效應的飛輪。當版權危機出現時，他們沒有被動防守，反而推出Content ID系統，將法律問題轉化為商業機會，讓版權方從侵權內容獲利而非起訴。此外，合作夥伴計畫的55-45分潤模式首創了創作者經濟，讓普通人可以靠創作維生。Susan Wojcicki在擔任執行長的9年間，從單一廣告模式演進出訂閱、直播電視等多元服務生態。

精算媽咪的家計簿

• 代際傳承困境與解決之道
• 台灣第一代創業者（嬰兒潮世代，現年70-80歲）至今仍未交棒，原因在於受教育更好的二代不願接管小工廠，導致交接失敗率約60%。相比日本、德國百年企業順利傳承，台灣的真正問題在於老一代放不了手。解決之道是採取分權管理，各部門自負盈虧，按比例分配利潤，激勵團隊為共同目標工作。
• 創業與事業的本質差異

經營男不難

• 第一，Z世代與AI雙重改造職場生態。00後員工在科技環境成長，知識獲取速度快，對職場要求高卻看不到前代努力；同時AI的資料分析、流程自動化、決策建議已在取代部分管理工作。這種壓力最終落在中層主管身上，形成「三明治主管」被夾擊的現象。
• 第二，組織扁平化是必然趨勢，不可逆轉。從1970年代的分權管理、1980年代的內部創業制、1990年代的BU制，本質都在減層。現實案例如台積電投資3.3兆台幣在美國，卻只需12名工程師運用全自動化設備完成，證明人力密集管理時代已結束。
• 第三，主管與老板必須成為全才者。八大職能（生、人、財、研、銷、總、資、管）都要懂，否則只是基層且易被AI取代。老板責任升級為做策略規劃與產業鏈規劃，像皇帝一樣掌握全局願景而非日常瑣事。

DeFi Security Summit - DSS

• AI對智能合約安全的二元性：適合提升開發效率（單元測試、代碼生成），但不適合單獨作為漏洞檢測工具，因為LLM基於模式識別，無法推理複雜的跨合約執行流，容易遺漏重要漏洞。在安全領域，漏掉一個漏洞可能導致協議死亡，因此必須結合企業級規則型工具。
• Olympics的分層架構哲學：先構建關鍵企業級基礎設施（靜態分析、測試工具），再在其上層疊加AI進行結果優化與信息精篩。不建議直接將合約丟入LLM，需要先用中間表示法（Intermediate Representation）讓AI更好地理解代碼語義。
• Hyper Native的實時防護方案：監控所有EVM鏈上的交易與合約部署，用神經網路對字節碼評分，識別異常行為。已成功在攻擊發生時預警，最著名案例是1Inch solver事件，透過實時提醒讓用戶在黑客盜取全部資金前成功撤出。

下一本讀什麼?

• 經營成功的本質是掌握方法而非專業深度。專業人士可能成為某領域傑出者，卻未必能成功經營企業，需要學習系統化的經營工具才能突破侷限。
• 策略地圖是明確的長期規畫工具。研華工業電腦以三個十年計畫達成世界第一，說明十年為一個完整的企業生命週期，十年後需要「第二曲線」創新，否則衰退。
• 同心圓理論驅動業績倍增。本業年增20-30%難翻倍，加入延伸商品可增加50-100%，再跨界國際化才能大幅成長，多家中小企業因此達成數倍至139倍增長。