iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Meta開始在資料中心採用奈秒級精確度的時間協定PTP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2022/11/21/production-engineering/future-computing-ptp/">Meta更換資料中心所使用的時間協定成精確時間協定（PTP）</a>，使得網路和資料中心得以提供更高準確度和精確度的時間，Meta現在開源支援PTP的網路硬體和軟體，來加速PTP在產業資料中心的擴大採用。</p> <p>由於訊息傳遞、視訊會議、線上遊戲，甚至是更新和刪除內容，都仰賴跨伺服器甚至是跨資料中心的精確計時，當端點之間的伺服器越多，同步也就更加重要，只要有一臺伺服器與其他伺服器不同步，就會造成明顯的延遲和錯誤。</p> <p>Meta提到，隨著技術的改進和新產品的推出，原本所使用的網路時間協定（NTP）已經到達極限，PTP提供了NTP所無法達到的準確度和精確度，並且能明顯降低網路延遲和錯誤的發生。在Meta的試驗計畫成功後，便會將PTP擴展到所有資料中心。</p> <p>Meta解釋PTP之所以重要，是因為其提供的準確度和精確度，準確度可以看作是電腦量測時間與實際時間相近的程度，而精確度也就是不同電腦彼此量測時間的接近程度。PTP原本是一種分散式系統同步時間的方法，由一個稱作Stratum的網路電腦保存當前時間，並向訊問時間的電腦發送時間參照。</p> <p>因爲網路延遲的關係，時間封包到達接收電腦的時候，因為各種延遲原因，時間已經不再準確，但延遲是無法避免的，只能透過量測來進行補償，當能夠量測延遲，就有能力在客戶端同步當前的時間。</p> <p>不過，量測參照電腦和客戶端電腦之間的延遲並非一件容易的事，因為缺乏全域時鐘，而且每臺電腦都有自己的時間，因此要量測兩端的延遲，必須要基於兩個假設，一致性和對稱性，一致性代表封包在經過網路傳輸時面臨的延遲都是一致的，而對稱性則代表在兩端來回的延遲相同。</p> <p>所以只要盡可能提高一致性和對稱性，就能最大程度提升時間同步精確度，而PTP運用硬體時間戳記和透明時鐘機制，可分別提高一致性和對稱性。即便電信業使用PTP已經有十多年，但是大規模資料中心的採用仍十分緩慢，與NTP相比，PTP讓主機以更高的精確度同步至同一個時間來源，NTP已能夠精確到毫秒，但是PTP更可以精確到奈秒。</p> <p>Meta舉出PTP能夠在各種應用帶來的好處，除了對未來元宇宙應用相當重要之外，當前的應用也能獲得好處，訊息傳遞能夠因為伺服器時間精確度時間更同步，線上遊戲也能夠因為PTP避免延遲，特別是基於雲端架構的遊戲，更能發揮其作用。</p> </div></div></div>
2022/11/23 09:07作者李建興https://www.ithome.com.tw/news/154346
Google運用AI大規模分析美國10年電視節目，探索不同性別與膚色的螢幕時間變化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一項由Geena Davis媒體性別研究機構、Google研究院、南加大訊號分析和解釋實驗室共同合作的<a href="https://blog.google/technology/ai/using-ai-to-study-12-years-of-representation-in-tv/">研究</a>，透過分析近10年來的美國電視節目，以了解性別和膚色在螢幕時間上的變化趨勢。</p> <p>這是第一個使用大規模人工智慧模型，進行的電視節目研究，總共分析了440小時的節目，發現即便到了2021年，女性演員在螢幕上出現的時間，仍較男性少，而且深膚色的演員說話時間僅占16％。</p> <p>這項研究調查2010年到2021年，每一季Nielsen媒體指標前10名，且有劇本的美國電視節目，這些節目包括喜劇、政治劇、愛情劇到科幻片等總共440小時。Google在24小時內處理完所有鏡頭，每秒處理超過100個影格，並使用機器學習模型，大規模分析1,200萬個在螢幕上出現的臉部。</p> <p>報告呈現幾個重要結果，第一，女性角色在螢幕出現時間上升，但男女仍然存在差距，到了2021年，男性角色的螢幕時間仍然較女性角色多16％。第二，淺膚色和深膚色的角色，螢幕時間差距從2010年的81％，縮小到2021年的55％，每年大概增加8到9個百分點，但即便如此，這仍是很大的差距。</p> <p>第三，年長的男性和年輕女性的螢幕時間更長，螢幕上男性角色最常出現的年齡段是33歲到66歲，女性角色則是18到33歲，外觀年齡超過60歲的女性，僅有不到1％的螢幕時間。第四，這10年間，深膚色女性角色的說話時間上升最多，每年以平均1.2％增加，但即便如此，他們仍是在螢幕上最不可能有臺詞的族群，說話時間僅占總螢幕時間的16％。</p> <p>南加大訊號分析和解釋實驗室研究團隊提到，計算性媒體智慧能夠以前所未有的規模以及細節，分析媒體所講述的故事，並且獲得細微的結果，同時也創造了包容和公平體驗的工具。</p> <p>Google提到，他們會繼續與這兩個組織合作，研究世界其他地區的跨文化和混合媒體內容，除了檢查「出現」訊號，也要進一步檢驗「描述性」訊號，包括領導社交互動的角色，甚至是某些社群是否被以刻板印象看待。</p> </div></div></div>
2022/11/23 09:12作者李建興https://www.ithome.com.tw/news/154348
美光揭露轉型智慧工廠多年成果，不只大量運用AI、數位分身技術，下一階段更要朝向智慧企業來發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「美光工廠的AI模型每周就要分析2,300萬張晶圓影像，來優化製程與提升製造效率。」美光科技技術部門資深總監曾耀瑩如此說道。這正是這家跨國記憶體大廠多年數位轉型的成果，這些年智慧製造推動成果，也成了這家高科技半導體公司朝向下一階段智慧企業來發展的關鍵助力。</p> <p>美光很早就展開數位轉型，從轉型智慧工廠做起，多年發展下來，美光全球工廠在上千道晶圓製程中已經運用到許多ML、AI技術，來提升良率和確保產品品質。在今年臺灣AI年會上，有更多成果揭露。</p> <h3><strong>全球工廠部署57萬個IoT感測器，成了發展大數據分析與AI應用的關鍵數據</strong></h3> <p>為了發展智慧製造，美光很早就開始在晶圓廠安裝大量IoT感測器，迄今一共部署了57萬個IoT感測器在全球工廠中，能存取超過2.3億個資料控制點（control points）。這些年來，美光在全球工廠累積了34 PB的資料，這些資料都成為了美光用來發展大數據分析與AI應用的關鍵數據。並以每天新增30TB的速度持續增長。</p> <p>有了這些感測器產生的大數據後，為蒐集與分析這些數據，美光還建立IIoT平臺和Hadoop大數據分析平臺，從多種感測器的大數據中，用於建立預防性設備維護和製程異常檢測機制，更用這些數據訓練不同AI模型，全力發展AI應用，解決工廠製程問題。</p> <p>像是為了提高良率，美光不只打造YMS良率管理系統，還結合ML演算法，能夠即時分類與辨識出有瑕疵的晶圓，提供更精準的結果給產線人員，甚至經由大數據分析，系統能馬上給出造成晶圓製程問題的建議，讓設備工程師能基於這些建議來檢測機臺的狀況。他們建立KM知識管理系統，將這些造成良率問題的事件建立一套知識和經驗，只要ML系統偵測到有異常情況（如陰影），就會比對KM系統，找出過去有無發生相似的情況，提供給產線工程師建議，能夠更快找出問題加以解決。</p> <p>美光的晶圓製程有上千多道製程工序，黃光製程是其中一個關鍵製程，但以往機臺噴頭偶爾會出現液體漏滴的現像，對於良率影響甚大，但過去難以靠人工判斷，為了解決這個問題，後來美光在工廠導入噴嘴液滴檢測系統，結合AI影像辨識，能夠更快偵測到機臺有無漏滴，減少良率損失。</p> <p>另外在洗淨製程中，噴灑機臺會在晶圓上噴灑多種不同的化學液體，但以往機臺上容易因為液體殘留產生結晶體造成噴嘴口堵塞，導致出現噴灑不均勻的情況，這些都會影響到洗淨的效果，後來他們也導入影像AI偵測模型加以解決。其他AI應用，還有像是因為長期使用，使得放置晶圓的底座表面容易產生沉積物而附著在晶圓上，對良率產生影響，他們也結合AI影像識別技術做運用，一旦偵測到有殘留物的地方就會告警，通知相關人員盡速處理。</p> <p>不光大量運用大數據、AI技術，來提高生產良率，Fab廠內近年來也導入自動化倉儲，結合地面AGV無人搬運車，來提高物料搬運效率，舉例來說，以往設備工程師進行設備維護前須自行到倉庫領料，再把這些料搬到機臺旁，現在只需透過App就能進行物料搬運排程，系統就會自動把維護用到的物料放進搬運箱中，再由AGV送到指定的機臺附近位置，能夠提高人員工作效率。</p> <h3><strong>導入數位分身系統模擬工廠運作，能根據生產排程變化靈活調度產線</strong></h3> <p>美光更打造一套數位分身系統，用於模擬廠內運作狀況，包括晶圓製程流程、機臺的使用狀況，讓生產人員能更快根據生產排程變化靈活調度產線機臺，來縮短周期支援更大產能，不光如此，這套系統也能透過模擬方式提供跨廠區不同產品組合的建議。此外，目前在機臺設備的維修巡檢、遠端培訓上，都已結合AR與VR應用。</p> <p>幾年下來，美光因為推動智慧製造帶來不少效益，不只製造設備工具可用性提高4%，新產品推向市場和品質問題改善的時間大幅減半，晶圓報廢減少20％以上，就連員工生產力也因此提高近2成。也因為這些轉型成果，讓美光台中A3廠在2年前獲世界經濟論壇評選為工業4.0燈塔工廠。</p> <p>這些重要智慧製造成果，更仰賴美光的資料科學團隊，協助這家公司掌握智慧製造關鍵技術與應用，美光目前全球超過600位資料科學家、資料工程師及解決方案架構師，其中有100位在臺灣。</p> <h3><strong>從智慧製造邁向智慧企業</strong></h3> <p>對美光來說，不只是要讓工廠智慧化，更進一步開始推向企業內部，從設計、研發、採購到供應鏈等，都開始運用AI來協助公司解決問題與增加更多營收。</p> <p>像是採購部分，美光就找來相關廠商合作，運用AI加強供應鏈風險控管和透明性，如他們開始結合不同地域、國家、天災等資料，透過數據分析找出影響交期的潛在風險並提供警訊給採購部門，進而避開向高風險的原料供應商下單。其他還有廠內物料庫存管理上，也改用AI預測每月有多少用料來決定叫料數量，取代過去人工判斷，因此能夠更準確掌控物料數量，也能預防斷料的問題。</p> <p>甚至在產品定價策略上，美光也開始通過蒐集各個供應商、客戶狀況、歷史資料、市場動向以及產品特性，建立AI定價策略模型，他說，希望透過AI給出定價的建議，未來能夠幫助公司增加營收。另外因應ESG永續發展潮流，美光也有相關結合AI的做法，目標是希望訓練出來的AI模型能夠預測公司未來3年永續績效指標。</p> <p>供應鏈管理結合AI更是美光未來幾年重點發展之一，曾耀瑩表示，供應鏈管理對於半導體廠越來越重要，尤其製程演進從20奈米縮小到10奈米，越來越多製程容易受供應商原料的影響，嚴重甚至可能造成良率損失，他強調，之後將透過AI、大數據分析來加以解決。</p> </div></div></div>
2022/11/23 05:51作者余至浩https://www.ithome.com.tw/news/154358
首設部長級資安首長，澳洲如何用資安政策發揮國際影響力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年澳洲政府新增了資安部長一職，是G20中唯一設立部長級資安主管的國家，更為詐騙、隱私、網路人身安全等重點資安議題成立專責監管機關，並由總主管機關每年發布官方資安威脅報告，列出通報資安案件趨勢及應對建議。</p> <p>澳洲資安法規發展成熟，也曾成為臺灣擬定相關法案時的參考對象，例如管制通訊戰的《境外勢力影響透明法》草案，就有參考澳洲《2018 外國勢力透明化法案》。不只如此，蒙納許大學犯罪學副教授張耀中說，澳洲於不少臺灣有加入或往來意願的國際策略聯盟中，都積極提倡資安，來發揮國際影響力。</p> <p>舉例來說，澳洲在評估臺灣是否應加入CPTPP時，便將資安成熟度作為重要標準。在ASEAN和PIF等組織中，澳洲更扮演著資安建設和資安成熟度評估的角色。張耀中說，臺灣在與中國競爭國際組織加入權時，資訊安全是一個重要籌碼，因此澳洲對資安的態度與做法，不只是資安教材，更是外交教材。</p> <p><strong>監管機關分工細緻、重視民間資安意識和關鍵基礎設施，甚至協助他國建立安全網路硬體環境</strong></p> <p>澳洲網路安全中心ACSC隸屬於國防情報局，2014年成立，早於其他主管機關。ACSC統管所有資安相關議題，包括受理資安通報及制定資安政策，每年也會發布《年度資安威脅報告》，供澳洲資安產官學界參考。</p> <p>隨著資安議題受到更多重視，澳洲其他政府部門紛紛於旗下設立了資安管轄單位，包含競爭及消費者委員會ACCC旗下的Scamwatch，專門管轄網路詐騙等犯罪；澳洲通訊與媒體管理局旗下的eSafety Commissioner，管轄例如兒童安全、復仇色情、深度偽造、網路霸凌等人身安全案件；以及司法部旗下的Office of the Australian Information Commissioner，管轄數據防護、隱私及侵犯案件。</p> <p>張耀中以ACSC發布的《2021 資安威脅報告》及其資安政策，來說明澳洲近年資安政策發展及重視的資安議題。</p> <p>ACSC觀察，澳洲2020年歷經了兩百多天的封城，因此利用疫情議題進行釣魚攻擊的通報數大幅增加。同時段，商務電子郵件詐騙情形加劇，且往組織化攻擊發展，讓澳洲政府更加積極提倡民間資安意識。</p> <p>張耀中說，澳洲政府相當重視資安教育，時常發布提醒民眾提升資安意識的宣傳廣告。澳洲內政部2020頒布的《澳洲網路安全策略》中，更宣布加碼16.7億澳幣，來加強10項資安措施，超過一半項目與強化企業及民眾的資安意識有關。<br /> 這些措施包括：增加資安時事敏感度及分享威脅資訊的效率、增加社群資安威脅意識、透過資安計畫加強與企業合作力度、為中小企業提供資安諮詢、對企業和消費者宣導物聯網資安重要性、提供中小企業及一般家戶24小時資安諮詢熱線等。</p> <p><strong>澳洲資安法規發展概覽，重視基礎設施防禦及國外勢力滲透</strong></p> <p>2020年澳洲另一大資安威脅是關鍵服務及基礎建設遭受攻擊。據ACSC統計，他們接獲的網路威脅通報案中，約25%與澳洲關鍵基礎設施有關。值得注意的是，澳洲政府視高等教育機構為關鍵基礎設施，且高等教育機構因握有與政府合作的研究案及高階公務人員培訓資料，近年頻繁成為國家級駭客攻擊標的。</p> <p>張耀中說，雖然澳洲從未表示這些國家級駭客主要來自哪裡，卻用行為透露出他們主要防備對象。2018年起，澳洲全面禁用華為裝置及5G設施。不僅如此，他們還積極遊說邦交國不用華為網路設施，並提議協助自行建立網路基礎建設，來聯合往來國家一同拉起資訊安全的封鎖線。</p> <p>不只對外利用外交手段來防禦國家級駭客攻擊，澳洲2018年也設立了《關鍵基礎設施安全法》、《間諜與外國干預法》及《外國勢力透明化法案》，以建立國內基礎設施資安即時通報和潛在國外勢力入侵管理機制。</p> <p>《2018 關鍵基礎設施安全法》（The Security of Critical Infrastructure Act 2018）規定關鍵基礎設施有義務通報網路事件。此法規定義11類關鍵基礎設施，包括通訊傳播、金融及市場服務、數據儲存或處理、國防、高等教育及研究機構、能源、食物及雜貨、保健及醫療機構、太空科技、交通、水利設施等。相較之下，臺灣定義的關鍵基礎設施為能源、水資源、通訊傳播、交通、金融、緊急救援與醫院、政府機關、科學園區與工業區8大分類，不包含教育研究機構和數據服務等資安相關領域。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%AA%E5%91%BD%E5%90%8D(6).png" style="width: 600px;" /></p> <p>規定通報義務，有利於澳洲政府評估基礎設施資安風險。隨著關鍵基礎設施遭受攻擊的通報持續增加，澳洲當局也在《2020 澳洲網路安全策略》10項投資項目中，設立了加強關鍵基礎設施防護以及加強政府機關網路跟資料防護兩條項目。2022年，澳洲政府進一步追加行政規則，定義執法細節，並更加強硬的要求基礎設施通報。</p> <p>《2018 間諜與外國干預法》（Espionage and Foreign Interference Bill 2018）和《外國勢力透明化法案》（Foreign Influence Transparency Scheme Act 2018），則是參考參考美國《外國代理人註冊法》，規定外國資助的活動項目必須登記並持續通報。張耀中以自身情況舉例，他從臺灣申請經費到澳洲研究時，就會有通報義務。他補充，此法規是報備制而非審核制，因此只要項目負責人依照義務通報，活動內容通常不會受到澳洲政府干預。</p> <p>張耀中指出，儘管普遍認知上，這兩條法律是用來預防極權國家滲透，不過澳洲執法時會針對所有國外資助的活動項目，且戰略上也沒有明確假想敵，因此此法並未引起太大爭議。「反觀臺灣的戰略情形特殊，制定類似法規時，需要考量得更周全。」</p> <p>另一項澳洲近年強調的概念是資安GEDSI（性別平等、殘疾及社會包容，Gender Equality, Disability and Social Inclusion）。張耀中解釋，隨著IoT科技開始成熟，智慧家庭跟智慧汽車等產品逐漸普及後，澳洲發現大部分設定或安裝這些設備的人以男性居多，因此更加重視性別在物聯網資安領域的角色。他舉例解釋資安GEDSI，像是汽車駕駛知不知道自己的路線能被家人監控？智慧家庭設備是誰控制的，我能不能調整設定？現在澳洲已經會鼓勵廠商將這些GEDSI相關的資訊在產品說明中揭露。</p> <p>不只國內大力推行GEDSI，澳洲還有意將此概念大力推廣到其他國家。澳洲外交部在資安和關鍵科技合作計畫CCTCP中就有強調GEDSI，作為協助ASEAN及PIF會員國建立資安基礎能力時的一個面向。</p> <p><strong>澳洲資安法規也有負面教材，竟提供政府「查水表」法源依據</strong></p> <p>澳洲資安法規雖然較早發展，但也有不值得效仿的做法。張耀中舉例，《協助及存取法案2018》（Assistance and Access Act 2018）是澳洲一條備受爭議的法案。此法大意是，安全或執法部門可以要求在澳洲營運的企業協助，解密並存取特定個人的通訊資料，而不被當事人所知。執法者更能直接將硬體沒收，存取裡面的資料。「簡單來說，企業所有軟硬體都要開後門給政府擷取資料。」張耀中直言。</p> <p>這個有政府濫權嫌疑的法律，不僅影響澳洲國內企業，更有可能影響在澳洲有營運據點的外國企業。張耀中舉例，在五眼聯盟加盟國（紐、澳、英、美、加）中，若其他4國政府調查犯罪時有需要調取特定企業資料，而這個企業在澳洲有據點，便能透過澳洲政府輕鬆取得解密後資料。</p> </div></div></div>
2022/11/22 17:10作者郭又華https://www.ithome.com.tw/news/154345
【資安日報】2022年11月22日，駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，駭客在攻擊行動濫用合法服務的情況可說是相當值得留意，這種情況往往騙過使用者與許多資安系統，不只讓攻擊者得逞，也讓提供相關服務的業者蒙受商譽損失，除了使用者需要提高警覺，服務供應商若是能進一步偵測相關異常行為，才有機會減少這類濫用情事。</p> <p>首先是駭客組織Luna Moth的網釣攻擊，他們假借寄送訂閱服務發票的名義，誘使收信人撥打電話取消付款，然而一旦依照指示聯絡「客服」，對方就會企圖在電腦上安裝遠端連線軟體來進行控制。另一個運用「客服」的攻擊行動，則是針對加密貨幣投資者而來。駭客針對Coinbase、MetaMask、Crypto.com，以及KuCoin等交易所的用戶，發出釣魚信竊取相關帳密，並假借客服的名義，通過上述交易所的進階身分驗證或裝置驗證。</p> <p>Google商業圖像化分析工具Looker Studio也成為駭客濫用的對象！資安新聞網站Bleeping Computer發現有人藉此提升盜版網站在搜尋引擎的排名。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://unit42.paloaltonetworks.com/luna-moth-callback-phishing/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth發動電話網釣攻擊，遠端協助工具Zoho Assist遭濫用而成為綁架受害者電腦的幫凶</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/luna-moth-59.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/luna-moth-59.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露駭客組織Luna Moth（亦稱Silent ransomware group）自今年3月以來的攻擊行動，該組織鎖定法律與零售等多個行業的企業而來，假借寄出訂閱服務的發票通知信，並聲稱該服務即將生效及扣款，收信人如有疑問可透過信中的電話聯繫客服。</p> <p>一旦收信人依照指示撥打電話，就有可能被對方說服在電腦部署遠端支援工具Zoho Assist，使得攻擊者能夠控制受害電腦，並植入另一款軟體Syncro以便能持續存取，然後使用Rclone與WinSCP傳送竊得的資料。研究人員指出，由於駭客避免使用不必要的攻擊工具，而能夠規避各式資安系統的偵測。</p> <h3><a href="https://pixmsecurity.com/blog/phish/coinbase-attacks-bypass-2fa/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣交易所Coinbase、MetaMask雙因素驗證被繞過，駭客透過TeamViewer、冒牌客服支援得逞</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/coinbase2d.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/coinbase2d.png" style="width: 300px; float: right;" /></a>資安業者Pixm揭露鎖定多個加密貨幣交易所用戶的網路釣魚攻擊，駭客針對Coinbase、MetaMask、Crypto.com，以及KuCoin的使用者下手，於微軟Azure Web Apps上架設釣魚網站，假借交易請求確認，或是偵測到異常登入活動的名義，引導使用者存取這些網站，一旦使用者照做，就會被要求填寫帳密資料，提供雙因素驗證碼或通關密語（Seed Words），而這些輸入的資料將會被駭客用於挾持加密貨幣錢包。</p> <p>而在此同時，駭客也宣稱使用者帳戶出現可疑活動被停用，需要聯絡網頁上的「客服」處理，駭客藉此確認受害者輸入的資料，並利用TeamViewer通過加密貨幣交易所的裝置驗證流程。研究人員指出，這些駭客過往主要針對Coinbase用戶而來，但現在範圍擴及多個加密貨幣交易所。</p> <h3><a href="https://decoded.avast.io/janrubin/vipersoftx-hiding-in-system-logs-and-spreading-venomsoftx/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體VenomSoftX假冒Google試算表瀏覽器擴充套件，竊取加密貨幣錢包</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VenomSoftX-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VenomSoftX-7.png" style="width: 300px; float: right;" /></a>防毒業者Avast揭露名為VenomSoftX的惡意程式，此軟體以Chrome瀏覽器擴充套件的型式散布，目的是竊取Windows電腦使用者的加密貨幣，以及使用者上網的記錄。研究人員發現，該擴充套件是經由惡意軟體ViperSoftX植入受害電腦的瀏覽器，而攻擊者藉由破解軟體名義（如Activator.exe或Patch.exe）來散布ViperSoftX。根據上述惡意程式的加密貨幣錢包，截至11月8日已為駭客竊得13萬美元。</p> <p>為了降低被害者警覺，攻擊者將VenomSoftX偽裝成Google Sheets 2.1，一旦成功部署，將會針對Binance、Coinbase、Gate.io、Kucoin、Blockchain.com等加密貨幣交易所的API請求進行監控，在請求發出前竄改交易內容，將加密貨幣轉給駭客。此外，VenomSoftX也會監控電腦的剪貼簿內容來加入錢包位置。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/google-search-results-poisoned-with-torrent-sites-via-data-studio/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google提供的Data Studio遭到濫用，影響搜尋引擎結果</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，有人利用Google商業圖像化分析工具Looker Studio，來竄改搜尋引擎的排名，發動搜尋引擎最佳化（SEO）中毒攻擊，目的是推廣非法網站。這些網站提供盜版內容、垃圾資訊，以及Torrent檔案。</p> <p>該新聞網站接獲讀者的通報進行調查，結果發現有部分Google搜尋結果，出現許多datastudio.google.com網域的連結，這些連結多半透過Bit.ly短網址服務轉址，最終將使用者導向垃圾網站，這些網站使用關鍵字填充（Keyword stuffing）手法，來提升網站在搜尋引擎的排名。研究人員已向Google通報，但尚未得到回應。</p> <h3><a href="https://thehackernews.com/2022/11/meta-reportedly-fires-dozens-of.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta開除挾持使用者臉書與IG帳號的員工</span></strong></a></h3> <p>根據華爾街日報於11月17日的報導，IT業者Meta過去一年解僱及處份超過20名員工與承包商，理由是他們涉嫌入侵及接管臉書或Instagram用戶的帳號。這些被解偏的人士，包含了社群網站公司的保全，他們擁有能協助認識的人復原密碼的內部工具使用權限，此系統名為Online Operations（簡稱Oops），使得有人向用戶收取數千美元的費用，接洽社群網站員工來重設特定帳號的密碼。</p> <p>華爾街日報指出，有安全承包商協助外部人士以詐欺手段接管Instagram帳號；另一個承包商則是收取比特幣為酬勞，為駭客重設多個帳號，直到該公司內部調查發現後解僱。Meta向華爾街日報表示，買賣帳號或是提供復原帳號的付費服務，都違反了他們的服務條款。</p> <h3><a href="https://www.databreaches.net/airasia-victim-of-ransomware-attack-passenger-and-employee-data-acquired/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞洲航空遭到勒索軟體駭客Daixin攻擊，5百萬旅客與員工資料外洩</span></strong></a></h3> <p>根據資安新聞網站DataBreaches.net的報導，駭客組織Daixin約在11月11日至12日，攻擊廉價航空業者亞洲航空（AirAsia），並宣稱竊得5百萬旅客及員工的個資，在駭客公布的資料樣本裡，包含了旅客資料、預約編號，以及該公司員工的個人資料。而對於能夠成功入侵亞洲航空，駭客向DataBreaches.net透露，原因是該航空公司貧乏的資安防護，以及混亂的網路組織架構，而讓他們能夠得逞。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-actively-abused-proxynotshell-exchange-bug/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布微軟Exchange漏洞ProxyNotShell的概念性驗證攻擊程式</span></strong></a></h3> <p>越南資安業者GTSC於9月底發現微軟Exchange重大漏洞ProxyNotShell（CVE-2022-41082、CVE-2022-41040），當時已有攻擊行動，但微軟直到11月的例行修補（Patch Tuesday）才提供更新軟體。在此之前，尚未有公開的概念性驗證（PoC）攻擊程式。</p> <p>事隔一週，研究人員Janggggg於17日發布了<a href="https://github.com/testanull/ProxyNotShell-PoC">概念性驗證攻擊程式</a>，另一名研究員<a href="https://twitter.com/wdormann/status/1593311129874403335">Will Dormann進行驗證</a>，確認該PoC程式可在Exchange Server 2016、2019執行，稍加調整亦能攻擊Exchange Server 2013。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/154301"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為讓組織能發現Cobalt Strike遭濫用的跡象，Google發布YARA規則</span></strong></a></h3> <p>滲透測試工具Cobalt Strike常被用於攻擊行動，但由於此工具原本的用途是用於攻防演練，究竟要如何辨別被濫用於攻擊還是內部使用？有IT業者提供相關工具。Google於上週發布YARA規則，目的是讓社群能精準標記和辨識Cobalt Strike遭濫用的元件，該公司收集自2012年以來所有Cobalt Strike的JAR檔案，可比對340個版本的元件，進而讓組織能確認是內部使用的合法版本。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/asoc/202211180172.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">涉收陸企資金對臺認知作戰，法務部調查局約談6人送辦</span></span></strong></a></p> <p><a href="https://www.hackread.com/leaky-server-mastodon-users-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">15萬Mastodon用戶資料遭到網頁抓取而洩露</span></span></strong></a></p> <p><a href="https://wojciechregula.blog/post/macos-sandbox-escape-via-terminal/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員公布macOS沙箱逃逸漏洞的概念性驗證程式</span></span></strong></a></p> <p><a href="https://blog.sekoia.io/aurora-a-rising-stealer-flying-under-the-radar/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密軟體Aurora攻擊行動升溫，至少有7組駭客採用</span></span></strong></a></p> <p><a href="https://www.scmagazine.com/analysis/data-security/white-house-sets-six-month-timeline-for-agencies-to-kick-off-post-quantum-encryption-migration-work"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府要求聯邦機構半年內導入後量子加密防護措施</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154324">【2022年11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154295">【2022年11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> </div></div></div>
2022/11/22 15:48作者周峻佑https://www.ithome.com.tw/news/154342
Google雲端內部開始部署可抵抗量子攻擊的加密演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端現在於原本ALTS（Application Layer Transport Security）協定，所使用的X25519加密演算法外，額外<a href="https://cloud.google.com/blog/products/identity-security/why-google-now-uses-post-quantum-cryptography-for-internal-comms">再以NTRU-HRSS演算法進行加密</a>，避免未來駭客使用量子運算技術，破解當前經加密的資料。</p> <p>當開發者存取URL為HTTPS開頭的網站，該連線受到安全公鑰加密協定保護，避免用戶資訊遭駭客竊取。目前廣泛部署的公鑰密碼演算法，足夠抵禦當前的駭客攻擊手法，但是由於量子運算技術的發展，普遍認為量子電腦將徹底破解這些演算法，因此密碼學界也開始發展能夠抵禦基於量子電腦攻擊的方法。</p> <p>雖然現在量子電腦仍不具備破解RSA等加密方法，之所以Google現在就開始規畫防禦措施，是因為攻擊者可能會先儲存加密資料，等到量子電腦足夠強大後再進行破解，又或是部分產品的生命周期，可能與未來量子電腦重疊，並且之後難以進行系統更新，因此需要提早準備。</p> <p>考量這兩個主要原因，Google雲端已經在內部的ALTS（Application Layer Transport Security）協定上啟用NTRU-HRSS演算法，來加強抵禦量子電腦攻擊的能力。</p> <p>Google提到，目前美國國家標準與技術研究院（NIST）仍未決定後量子密碼（Post-Quantum Cryptography，PQC）標準，也因為目前的後量子演算法仍屬於臨時性質，所以Google內部的ALTS便成為了良好的試驗對象，藉由控制所有端點抵禦先儲存後解密攻擊，同時，當未來NIST決定採用不同的標準，Google也可以相對簡單地進行切換。</p> <p>但是部署新密碼系統有其風險，因為仍未經實際測試，為了避免新密碼系統存在漏洞的風險，Google將NTRU-HRSS演算法作為額外的防護層，如此便能夠確保系統，仍受到原本經驗證加密方法的保護。</p> <p>之所以Google選擇部署NTRU-HRSS演算法，是因為在抵抗量子的演算法中，NIST更青睞基於格（Lattice）的演算法，最近NIST批准第一個後量子密碼金鑰封裝機制（KEM）Kyber，Kyber具有高效能的優點，但是目前仍有一些知識產權的爭議。</p> <p>另外一個格演算法便是NTRU-HRSS KEM演算法，Google提到，專家認為該演算法是在格解決方案中，更為保守的選擇。因此有鑒於效能和成熟度，Google選擇在ALTS協定，使用NTRU-HRSS KEM演算法。</p> <p>目前Google使用混合方法來部署加密機制，同時在ALTS中使用X25519和NTRU-HRSS，也就是說，攻擊者現在必須要突破兩層防禦，才能成功破解存取資料。</p> </div></div></div>
2022/11/22 16:27作者李建興https://www.ithome.com.tw/news/154344
從程式語言層級確保記憶體安全，不只美國NSA建議，今年Prossimo專案也在推動
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_mei_guo_nsajian_yi_kai_fa_zhe_duo_yong_bao_zhang_ji_yi_ti_an_quan_cheng_shi_yu_yan_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月10日，美國國家安全局（NSA）公開發表一份軟體開發指南，是針對軟體記憶體安全（Memory Safety）而來，建議開發者應多使用保障記憶體安全的程式語言，如C#、Rust、Go、Java、Ruby、Swift，以這些來取代C與C++，引起軟體開發界的討論。</p> <p>事實上，關於C、C++的資安爭論已持續多年，但隨著記憶體安全問題受到越來越大的重視，開發者輕忽指標、記憶體配置的狀況太過普遍，而願意花心力檢測、有足夠經驗處理這類問題的程式設計者太少，而使得軟體資安漏洞層出不窮。</p> <p>儘管為了降低這方面犯錯的機會，開發界持續宣導C/C++程式設計要重視記憶體管理，有些開發者的確能夠寫出足夠安全的C/C++程式碼，但對大多數程式設計師來說，卻可能並非易事，有些科技業者祭出記憶體安全機制來因應，但多年下來，犯錯比例仍是居高不下，這也使得另一條因應路線被持續探討，也就是多用具記憶體安全特性的程式語言，如此一來，即便是資安意識不足的開發人員，也因為開發環境的局限，而不用擔心記憶體管理的問題，減少犯錯的機會。而且，如今這類軟體開發安全措施的推動態勢，也從一些科技大廠而開始擴及國家政府機構。</p> <h3><strong>多數軟體漏洞可歸咎於記憶體安全性不足</strong></h3> <p>在今年5月，我們看到開源社群、科技大廠與美政府二度商討開源軟體安全對策，會後Linux基金會與開源安全基金會（OpenSSF）發布的開源軟體安全動員計畫白皮書中，替換不具記憶體安全（non-memory-safe）的程式語言，就是十大對策之一，並預計前兩年針對這方面投入經費550萬美元。</p> <p>到了11月，美國NSA也對此公開表態。針對軟體記憶體安全問題，他們建議各組織在可能情況下，對於程式語言的採用，應考慮做出戰略性的轉變，從不具記憶體保護的C/C++，轉而使用具記憶體安全的其他程式語言，例如C#、Go、Java、Ruby與Swift等。</p> <p>在這份公開文件中，NSA首先強調軟體記憶體安全的重要性，指出雖然開發人員經常進行嚴格測試，為軟體中的邏輯準備好應對意外情況，然而，各種可濫用的軟體漏洞，仍經常是基於記憶體問題而成。例如：記憶體緩衝區溢位，以及管理記憶體失當而導致的洩漏問題。</p> <p>最近幾年已有更多這方面的研究，例如，微軟在2019年曾公開提出自我檢討，他們表示，在2006年到2018年間的安全漏洞，有70%源自記憶體的安全問題，Google在2020年也針對自家發展的瀏覽器Chrome提出檢討，當中也存在同樣高比例的記憶體安全漏洞。由於存在規模如此龐大的軟體開發缺失，駭客可利用這些漏洞來執行遠端程式攻擊，作為大舉入侵組織網路的第一步。</p> <p>而在程式語言中，現今應用範圍最大且最常見的C與C++，方便之餘，多年來大家也經常詬病其安全性管制太少，而使得記憶體類型的漏洞總是無法徹底根絕。事實上，這兩種語言在記憶體管理上，提供了很大的自由度與彈性，相對地，用這些語言所開發的應用程式，其安全性將高度依賴開發者的處理方式，例如，是否對記憶體參照執行必要的檢查與驗證。因此，可能只要出現一個簡單的錯誤、疏忽，就會導致記憶體遭濫用的安全漏洞。</p> <p>固然我們可以透過軟體分析工具偵測出許多記憶體管理問題，透過作業系統環境本身內建的機制，也能帶來某些程度的保護，但NSA認為，若能藉由已內建記憶體保護的程式語言來撰寫程式，即可避免或減少絕大多數的記憶體管理問題。</p> <h3><strong>緩衝區溢位、管理不當，均是常見記憶體安全問題</strong></h3> <p>記憶體安全，也就是有關於程式如何管理記憶體的一大類問題。這當中有哪些常見問題？</p> <p>NSA指出，記憶體「緩衝區溢位」（buffer overflow）就是一例，也就是資料的存取意外超出緩衝區邊界（outside the bounds），另一個常見的安全問題則與記憶體分配有關。</p> <p>簡單來說，系統程式在執行時可以分配新的記憶體位置，然後在不需要記憶體時，將其取消分配，此舉稱為釋放記憶體，但如果開發者不小心這麼做，新的記憶體可能會在程式執行過程中被重複分配，因此，記憶體並非總是在不再需要時被釋放，進而出現記憶體洩漏（memory leak）的問題，最終甚至導致可用的記憶體資源被使用殆盡。</p> <p>此外，也有因邏輯錯誤而出現記憶體存取不安全的狀況。因為這樣的問題，程式可能試圖使用已經被釋放的記憶體，甚至重複釋放原本已被釋放的記憶體。例如，當程式語言允許使用尚未初始化的變數時，就會出現另一個問題，導致該變數使用之前在記憶體中該位置設置的值。</p> <p>另一個值得注意的問題，則是條件競爭（Race condition）。例如，當程式存取相同資料，此時若出現兩個操作順序，可能會因此影響程式的結果，而發生這個問題。NSA強調，所有這些記憶體問題都是相當常見的現象。</p> <p>而且，記憶體管理問題衍生安全漏洞只是其中一種類型的狀況，就算是不會遭到濫用的記憶體，也可能因為一些疏失而造成錯誤的程式結果，例如，降低執行效能或軟體本身無法執行。</p> <p>針對上述種種軟體記憶體安全的問題，NSA指出，採用能夠自動管理記憶體的程式語言，像是C#、Rust、Go、Java、Ruby、Swift等，可協助避免開發者陷入某些類型的記憶體問題，以預防無意採用錯誤的記憶體管理方式。</p> <p>但NSA也提醒，就算是使用這些內建記憶體保護的程式語言，也並非毫無風險，因為軟體有時仍需要執行不安全的記憶體管理功能，才能完成任務，而且，各種程式語言對記憶體的安全保護程度不一，因此不能單靠更換程式語言而確保軟體安全。</p> <p>另一方面，對於無法立即轉向採用內建記憶體安全的程式語言的開發者，NSA建議，應透過安全測試來強化應用程式的安全性，包括進行靜態（SAST）與動態（DAST）的安全測試，而且最好是執行多個SAST及DAST工具，以提高找出記憶體問題的機率，確保應用程式的安全。儘管這可能會增加大量的工作負擔，卻可以帶來更安全的程式碼。</p> <p>總之，NSA鼓勵組織儘可能採取多管齊下的方式，來強化記憶體管理的安全性。除了採用記憶體安全程式語言，還可同時輔以編譯器選項、工具分析及作業系統配置，以減少記憶體漏洞，提高駭客的攻擊門檻。</p> <h3><strong>今年出現Prossimo專案，開始推動安全程式語言的廣泛採用</strong></h3> <p>對於NSA的這項建議，根據IT新聞媒體The Register的<a href="https://www.theregister.com/2022/11/11/nsa_urges_orgs_to_use/">報導</a>，Acronis資安長Kevin Reed認為，NSA正在做正確的事情，但他懷疑這是否會有立竿見影的效果，因為多年來使用C/C++撰寫的程式碼數量龐大，即便明天就開始改用Rust與Go，也需要幾十年才能清理這個爛攤子。</p> <p>而且，真的能夠如此順利推動嗎？微軟Azure技術長Mark Russinovich在今年9月就曾針對這樣的議題，於社群媒體推特發表了看法。他指出，在安全性與可靠性考量下，現在該停用C/C++開發任何新專案，並建議改用Rust。但在此則貼文回應中，有相當多開發者持反對意見，畢竟C與C++仍是熱門程式語言。</p> <p>但無論如何，記憶體安全問題已不容忽視。對照MITRE公布的2022年25大常見CWE通用弱點列表名單，我們可以發現，記憶體越界寫入（Out of Bounds Writes），記憶體越界讀取（Out of Bounds Reads），以及使用已釋放的記憶體（Use after Free），都在前七名內，尤其是記憶體越界寫入，持續居於第一嚴重的地位，而這樣居高不下的排名，也呼應多數軟體漏洞可直接歸因於缺乏記憶體安全性的推論。</p> <p>而在今年5月Linux基金會與OpenSSF發布的「開源軟體安全動員計畫」白皮書中，其實已經針對此問題提出對策，此計畫的主要目標，是減少記憶體安全性漏洞的數量。</p> <p>首先，他們希望，在網際網路上最關鍵的軟體，能夠遠離C/C++等不安全的程式語言，並強調會優先升級對安全最敏感的元件，其次，系統級程式碼的工具需要受到更大的關注，因為這些是生態系統中最普遍與最脆弱的軟體，也最有可能是以不安全的系統程式語言所寫成，而產生了資安漏洞。</p> <p>同時，這項戰略的執行，將透過非營利組織網際網路安全小組（ISRG）的Prossimo專案來推動。目前這項計畫鎖定那些面向？例如，針對用C語言撰寫的Linux Kernel，如今已有Rust for Linux專案啟動；針對用C語言撰寫的OpenSSL，在替代方案上，也有一套名為Rustls的開放軟體專案正在發展。其餘面向還包括：網路時間協定NTP、Apache httpd的mod_tls模組、Trust-DNS、網路傳輸程式curl，Prossimo專案將針對相關工具進行投資，目的是讓建構更安全軟體變得簡單。</p> <p>而在這些消息中，我們可以發現支持採用Rust的聲浪最大，而且，許多大型企業與開源專案也都嘗試用Rust來撰寫，像是Google的Android與Chrome、Amazon的虛擬化技術Firecracker等。</p> <p>無論如何，因應軟體開發造成的記憶體安全性問題，已不只是口頭呼籲，而是有所行動，再加入美國NSA難得表態力挺使用安全程式語言，使得這項一再受到討論與思考的問題，出現了更多大幅改善的機會。文⊙羅正漢、陳曉莉</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong>根據Wikipedia上對於<span class="mw-page-title-main">Stack buffer overflow</span>的說明，當中也特別以圖像化方式表達緩衝區溢位的攻擊利用方式。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%E5%85%AC%E5%B8%83%E7%9A%842022%E5%B9%B425%E5%A4%A7%E5%B8%B8%E8%A6%8BCWE%E9%80%9A%E7%94%A8%E5%BC%B1%E9%BB%9E%E5%88%97%E8%A1%A8%E5%90%8D%E5%96%AE.jpg" style="width: 600px;" /></strong></p> <p><b>根據</b><strong>MITRE在今年8月3日<a href="http://cwe.mitre.org/top25/archive/2022/2022_cwe_top25.html">公布的2022年25大常見CWE通用弱點列表名單</a>（2022 CWE Top 25 Most Dangerous Software Weaknesses），我們可以看出在漏洞根因中，記憶體越界寫入（Out of Bounds Writes）居於第一，且指標分數高達64.20，記憶體越界讀取（Out of Bounds Reads）居第五，使用已釋放的記憶體（Use after Free）居第七。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80_201902-07%E5%BE%AE%E8%BB%9FBlueHat%20IL.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2019年2月7日</span> 微軟MSRC研究人員Matt Miller在<a href="https://github.com/Microsoft/MSRC-Security-Research/blob/master/presentations/2019_02_BlueHatIL/2019_01%20-%20BlueHatIL%20-%20Trends%2C%20challenge%2C%20and%20shifts%20in%20software%20vulnerability%20mitigation.pdf">BlueHat IL</a>資安會議的演講中表示，從2006年到2018年間，每一年發布的漏洞修補更新，有70%是與記憶體安全問題有關。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2020-05-16_Google.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2020年5月16日</span> Chromium專案研究人員<a href="https://www.ithome.com.tw/news/137826">指出</a>，此項軟體有超過70％的嚴重安全漏洞來自記憶體安全漏洞，也就是因C/C++指標操作錯誤所造成，其中一半的錯誤是釋放後使用（Use-After-Free）的問題。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2022-05-13_Replacement%20Non-Memory-safe.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年5月13日</span> 為了解決開源軟體安全問題，開源社群、科技大廠與美政府二度商討對策，會後發布「開源軟體安全動員計畫」白皮書，<a href="https://www.ithome.com.tw/news/151045">針對10大關鍵挑戰提出投資戰略</a>，當中1項就是聚焦於替換不具記憶體安全的程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_%E5%BE%AE%E8%BB%9FMark%20Russinovich.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年9月20日</span> 微軟Azure技術長Mark Russinovich在推特發文<a href="https://www.ithome.com.tw/news/153156">表示</a>，在安全性與可靠性考量下，現在應停用C/C++開發新專案，建議改用Rust。但許多開發者表示反對，因為C與C++畢竟是熱門程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Tor.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年10月4日</span> 以洋蔥路由聞名的開源軟體專案Tor，釋出以Rust重新實作的版本時<a href="https://www.ithome.com.tw/news/152886">表示</a>，在2001年用C語言是合理選擇，但他們發現安全使用C語言需付出許多心力，程式碼分析與安全性改進也變得越來越困難。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%963%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年11月10日</span> 美國NSA公開<a href="https://www.ithome.com.tw/news/154180">發表防範軟體記憶體安全問題的軟體開發指南</a>，建議開發人員使用保障記憶體安全的程式語言，例如：C#、Rust、Go、Java、Ruby或Swift，以取代C與C++。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Prossimo.jpg" style="width: 600px;" /></p> <p><strong>因應記憶體安全（Memory Safety）問題，不再只是呼籲口號，根據「開源軟體安全動員計畫」白皮書指出，已有非營利組織網際網路安全小組（ISRG）的Prossimo專案負責推動相關工作，當中建議使用Rust、Go、C#、java、Swift、Python與JavaScript等語言，來取代使用不具記憶體安全的C、C++與assembly。該專案網站：<a href="https://www.memorysafety.org/">https://www.memorysafety.org/</a></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/memory-safety">Memory Safety</a></div><div class="field-item odd"><a href="/tags/%E8%BB%9F%E9%AB%94%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8">軟體記憶體安全</a></div><div class="field-item even"><a href="/tags/c-1">C</a></div><div class="field-item odd"><a href="/tags/c">C++</a></div><div class="field-item even"><a href="/tags/rust">Rust</a></div><div class="field-item odd"><a href="/tags/non-memory-safe">non-memory-safe</a></div><div class="field-item even"><a href="/tags/%E7%B7%A9%E8%A1%9D%E5%8D%80%E6%BA%A2%E4%BD%8D">緩衝區溢位</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E6%B4%A9%E6%BC%8F">記憶體洩漏</a></div><div class="field-item even"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E5%AF%AB%E5%85%A5">記憶體越界寫入</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E8%AE%80%E5%8F%96">記憶體越界讀取</a></div><div class="field-item even"><a href="/tags/use-after-free">Use After Free</a></div><div class="field-item odd"><a href="/tags/prossimo">Prossimo</a></div><div class="field-item even"><a href="/tags/nsa">NSA</a></div></div></div>
2022/11/22 12:04作者羅正漢https://www.ithome.com.tw/tech/154339
歐盟將推動新的自家低軌衛星網路IRIS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_6952" target="_blank">歐洲議會（European Parliament）與歐盟成員國上周達成共識</a>，將在2023年至2027年間以24億歐元的經費，建造歐盟安全連結計畫（Union Secure Connectivity Programme），部署具備彈性、互連性與安全性的衛星基礎設施（Infrastructure for Resilience, Interconnectivity and Security by Satellite，IRIS），讓歐洲擁有一個自家的通訊衛星星座。</p> <p>歐盟現已贊助了兩個衛星系統，一個是用於全球導航的Galileo，另一個則是觀察地球之用的Copernicus，至於新的IRIS則是為了確保全球可存取安全及具經濟效益的衛星通訊服務，以及讓全歐的組織與民眾都能存取可靠的衛星服務。</p> <p>歐盟執委會（European Commission，EC）表示，當地的經濟與安全愈來愈仰賴可靠的連結，發展一個主權、自主及安全的連結基礎設施是歐洲最重要的事，確保能夠不受限制地存取網路，藉由避免對第三國家的依賴來強化歐盟價值鏈的彈性，並將整合歐洲的量子通訊技術進行安全加密。</p> <p>IRIS未來將支援政府、軍事與民間商業服務的使用，預期可提升歐洲產業的競爭力，特別是衛星通訊領域。</p> <p>在歐洲議會、歐盟高峰會（European Council）與EC就該計畫達成政治協議之後，必須再得到歐洲議員及歐盟高峰會的正式批准，接著由EC負責執行，包括制定實施細節與招標規範。</p> </div></div></div>
2022/11/22 13:44作者陳曉莉https://www.ithome.com.tw/news/154340
美國控告兩名經營Z-Library的俄羅斯人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/154057" target="_blank">美國在11月初扣押了號稱全球最大電子圖書館Z-Library所使用的多個網址</a>，當時Z-Library的狀態撲朔，不過，<a href="https://www.justice.gov/usao-edny/pr/two-russian-nationals-charged-running-massive-e-book-piracy-website" target="_blank">美國司法部在上周指出</a>，兩名經營Z-Library的俄羅斯人Anton Napolsky與Valeriia Ermakova已應美國的請求，在11月3日於阿根廷被逮捕，並遭到美國指控侵犯版權、電信詐欺與洗錢。</p> <p>美國紐約東區聯邦檢察官Breon Peace表示，Napolsky與Ermakova經常在書籍剛出版的幾個小時後，就將它們上傳到Z-Library，讓作者、出版社與書店受害，還藉由這些偷來的作品非法營利。</p> <p>成立於2009年的Z-Library提供包括英文、法文、簡體中文及繁體中文在內的逾20種文字的學術論文、教科書及大眾圖書供使用者免費下載，在今年10月初時，該平臺總計供應了逾1,100萬本電子書及超過8,000萬篇文章。</p> <p>根據調查，Z-Library提供不同格式的電子書檔案，除去它們的版權保護，並鼓勵使用者上傳與下載內容，當中有不少電子書受到版權的保護，或是理應為獨家出版，卻在Z-Library上對全球大開免費之門。此外，除了首頁之外，Z-Library還經營了249個相關的網域，不過，它們已全被美國政府封鎖並扣押。</p> <p>這起行動整合了許多單位的合作，包括美國司法部旗下的國際事務辦公室、電腦犯罪與智慧財產權處、FBI駐外法律專員、包括阿根廷在內的多個國家的執法機關，美國司法部還特別感謝美國作家協會（Authors Guild）與英國出版商協會（The Publishers Association）等受害者在調查上所提供的關鍵協助。</p> </div></div></div>
2022/11/22 13:51作者陳曉莉https://www.ithome.com.tw/news/154341
傳IBM Cloud將不再使用Watson IoT平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.theregister.com/2022/11/15/ibm_set_to_retire_watson/" target="_blank">The Register</a>》報導，IBM可能在其公有雲IBM Cloud將不再使用自家的Watson IoT平臺。</p> <p>《The Register》取得IBM 近日對客戶發出的一份信件指出，藍色巨人計畫IBM Cloud將終止使用Watson IoT Platform服務，預計從2023年12月1日生效，但並無直接取代的服務。在這個日期之後，平臺API將不再接受存取。</p> <p>IBM提醒客戶，屆時客戶的裝置也將無法再連接MQTT和HTTP端點，而現有連線也會被關閉。所有使用這服務的客戶都應及早規畫在此之前搬到其他服務。</p> <p>不過IBM官方並不願多做說明。</p> <p>IBM是在大約10年前推出Watson IoT平臺，它的角色是管理IoT裝置、監控使用、蒐集和處理裝置產生的資料。這類服務主要是部署在工廠，強調可蒐集工廠IoT裝置營運資料，以分析流程及作業效率。</p> <p>IBM近年漸漸淡化Watson的重要性。藍色巨人前任執行長原本獨立Watson部門，希望貢獻AI營收，不過新執行長Arvind Krishna上任後就轉向混合雲路線，並清算Watson業務。<a href="https://www.ithome.com.tw/news/149027" target="_blank">今年初IBM將AI醫療部門Watson Health出售私募基金業者</a>。</p> <p>不過IBM還是持續發展IoT方案，IBM藉由支援開源碼專案Open Horizon，以支援同時管理1萬多件邊緣運算裝置，這項專案也整合到IBM Edge Application Manager中。</p> </div></div></div>
2022/11/22 10:39作者林妍溱https://www.ithome.com.tw/news/154334
獲利策略失效，Amazon Alexa可能虧損超過100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周Amazon證實<a href="https://www.ithome.com.tw/news/154241" target="_blank">將裁員1萬</a>。《<a href="https://www.businessinsider.com/amazon-alexa-job-layoffs-rise-and-fall-2022-11" target="_blank">Business Insider</a>》報導，其中AI語音助理Alexa是受創最深的部門，因為這部門今年可能會讓公司虧損超過100億美元。</p> <p>報導指稱已採訪過10多名Alexa部門現任及前任員工，員工指出，這個部門因為多年來獲利計畫皆失敗，已經失去執行長的關愛眼神，而成為搖搖欲墜的部門。</p> <p>Amazon AI語音助理和Amazon Prime影音業務同屬於Amazon的全球數位（Worldwide Digital）部門。報導指出，這個部門光是今年第一季就虧損了30億美元，其中大部份來自Alexa。Alexa的虧損是其他部門的2倍，而單單硬體部門，今年全年可能就將虧掉100億美元。</p> <p>Amazon以該公司收購的Ivona語音合成軟體改造成Alexa，於2013年發表。它被用於智慧喇叭Echo系列，可讓用戶以語音指令查詢資訊、天氣、播放音樂或讀報，之後還成為智慧家庭控制中樞，能控制家中空調、照明或車庫門等設備。</p> <p>雖然Alexa帶動了AI語音助理風潮，且是Google Assistant及微軟Cortana追趕對象，但Amazon未曾透過Alexa獲利。Amazon原本寄望以Alexa帶進獲利，而非靠硬體賺錢，因此Echo幾乎是以成本價銷售，Alexa部門希望從消費者和Alexa的互動中找到獲利機會。</p> <p>Alexa 2019年人事凍結時，部門提出種種獲利計畫。例如Amazon曾經試圖從消費者以Alexa在其電商網站購物分潤，不過消費者並不信任沒見到產品或評價就下單的語音購物。該部門也曾和知名品牌如Uber或達美樂合作，希望經由消費者叫車或訂披薩時分潤，無奈消費者用量也不高。報導指出，消費者和Alexa之間的互動多數是播放音樂、查天氣這類瑣碎而無法產生利潤的行動，這讓Alexa團隊後來再也不提供有效使用預測，因為幾乎沒有。一名員工指Alexa是「想像力的重大失敗」、「浪費掉的大好機會」。</p> <p>Alexa曾是前執行長Jeff Bezos的重點項目，但是長年沒有獲利還不斷虧損，報導指出，Bezos 2020年就心灰意懶，而後Andy Jassy接任執行長後更無意保留。</p> <p><a href="https://www.aboutamazon.com/news/company-news/a-note-from-ceo-andy-jassy-about-role-eliminations" target="_blank">Jassy上周在員工公開信中</a>仍然表示將持續發展Alexa。不過一名員工表示，Amazon基本上未對Alexa及硬體業務提供明確方向，不但導致了設計有點莫名其妙的Astro機器人，在硬體未獲利情況下，未來暢銷機種恐怕也難無以為繼。</p> <p>Alexa部門裁員幅度並不清楚。</p> <p><a href="https://arstechnica.com/gadgets/2022/11/amazon-alexa-is-a-colossal-failure-on-pace-to-lose-10-billion-this-year/" target="_blank">Ars Technica報導</a>，Alexa部門裁員也反映AI語音助理的獲利能力問題。例如Google Assistant也在最近一波裁員中受到影響。</p> </div></div></div>
2022/11/22 11:00作者林妍溱https://www.ithome.com.tw/news/154335
Meta開發MultiRay平臺最佳化大型AI模型訓練、使用成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta透過開發<a href="https://ai.facebook.com/blog/multiray-large-scale-AI-models/">MultiRay</a>平臺來最佳化人工智慧模型運作，降低整體的模型運算成本。這個平臺的想法，是要集中化大型模型的使用，以共同分擔大部分的處理成本，除了能夠有效降低成本之外，可以獲得的模型服務，也比公司內各團隊自己發展的模型更大更好。</p> <p>現在人工智慧可以處理文字、圖像和各種形式的內容，但要產生高品質的結果，那就需要以非常多的資料訓練大型模型，但Meta表示，這個過程代價高昂，當有許多問題要解決，就需要產生非常多的大型模型，如此成本便會迅速失控。也就是說，事實上在生產環境中使用的模型，通常更小且更簡單。</p> <p>而MultiRay平臺便要透過重複使用，模型運算成本最昂貴的嵌入（Embedding），來最佳化人工智慧模型的訓練和託管成本。將整個企業的運算整合到單個模型中，更簡單地使用人工智慧加速器，並且以公司層級來權衡運算和儲存能力。MultiRay的通用模型經過訓練，可以廣泛應用在各種任務中，研究人員提到，這種通用模型比之前針對每個任務建立的小型模型表現更好。</p> <p>藉由使用MultiRay，使得所有Meta的團隊，都可以更快改進和迭代應用程式的機器學習模型，從貼文主題標記到仇恨言論偵測，比起每個團隊從頭開始建構的大型端到端模型，MultiRay能夠以更高的效率和更少的人力完成任務。</p> <p>MultiRay的第一個投入生產的模型是TextRay，支援文字理解應用，偵測虛假內容並改善用戶的搜尋體驗。但只有理解文字是不夠的，因為貼文可能包含文字、圖像和影片，要理解一篇文章，系統需要分析每個元素，並且綜合元素進行整合性分析。</p> <p>因此MultiRay的第二個模型PostRay，是將文字和圖像理解整合到同一個模型中，其應用的範圍很廣，包括臉書和Instagram上包含文字和圖像的資料，這包含用於Reels的主題分類。由於PostRay模型結合多個領域的研究，因此訓練、部署和維護也更複雜，透過MultiRay能夠將所有服務整合使用同一個通用模型，不只減省成本也能夠使應用更快投入生產。</p> </div></div></div>
2022/11/22 09:10作者李建興https://www.ithome.com.tw/news/154325
前端框架Angular 15加入Standalone API，簡化框架使用並加速編譯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google領導開發的前端框架Angular，釋出最新的主要更新版本<a href="https://blog.angular.io/angular-v15-is-now-available-df7be7f2f4c8">Angular 15</a>，這個版本有許多效能和開發人員體驗更新，但最引人關注的重點，莫過於Standalone API已經進入開發者預覽階段。</p> <p>Standalone API是一種讓Angular不需要NgModules，就可以建構應用程式的方法，也就是說，Angular應用程式現在能夠使用單一元件啟動應用程式。NgModules是Angular管理相依關係的方法，目前是Angular的核心概念之一，而這個模組提高了新進開發人員的進入門檻，因為就連創建最簡單的「Hello, World」應用程式，都需要先了解使用NgModules的方法</p> <p>更重要的是，NgModule被當作推理（Reasoning）和重用的單位，像是延遲載入便需要以NgModule為中心進行考量，而NgModule在Angular的核心地位，使得開發者很難單獨地對元件、指令和管道進行推理。Standalone API則能夠簡化Angular的心智模型，擺脫以NgModule為中心的重用模型。好處是讓Angular使用起來簡單，程式碼撰寫不冗長，而且編譯速度更快。</p> <p>Angular 15所提供的Standalone API，已可在包括HttpClient、Angular Elements和路由器等Angular各部分良好運作。</p> </div></div></div>
2022/11/22 09:13作者李建興https://www.ithome.com.tw/news/154326
【資安日報】2022年11月21日，駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是假冒Instagram名義的網釣攻擊！有資安業者揭露針對國家級教育機構而來的攻擊行動，但值得注意的是，駭客不只配置了幾可亂真的內容，還通過了郵件安全閘道、郵件伺服器安全管制規則的檢查，而能成功送到該組織員工的電子郵件信箱。</p> <p>針對工控系統漏洞而來的攻擊行動也相當值得留意。美國CISA針對歐姆龍PLC設備發出資安通告，指出該公司於7月、10月修補的重大漏洞已被用於攻擊行動。</p> <p>Samba近期修補了CVE-2022-42898，這項漏洞影響32位元作業系統，攻擊者有機會藉由偽造的PAC憑證觸發。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.armorblox.com/blog/instagram-credential-phishing-email-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">教育機構遭到駭客鎖定，以Instagram異常登入的名義發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig-3_instagram-attack-landing-page-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig-3_instagram-attack-landing-page-2.png" style="width: 300px; float: right;" /></a>資安業者Armorblox揭露假冒Instagram的釣魚郵件攻擊行動，針對教育領域的大型國家機構發動攻擊，目標是在裡面任職的人員。駭客針對2.2萬個電子郵件信箱寄送網釣郵件，佯稱有來路不明的登入行為，要收信人儘速處理。一旦收信人依照指示點選信中連結，就有可能被導向冒牌的變更密碼網站，而使得帳密資料落入駭客手中。</p> <p>研究人員指出，這起攻擊行動的信件內容與Instagram寄出的信件極為相似，釣魚網站甚至在地圖上顯示異常登入的地點，再加上寄件者的電子郵件信箱是<a href="mailto:[email protected]">[email protected]</a>，而使得用戶難以分辨真假。此外，釣魚郵件本身亦通過DKIM、DMARC、SPF等郵件檢查，而能繞過Exchange的安全機制與郵件安全閘道的偵測。</p> <h3><a href="https://www.securityweek.com/omron-plc-vulnerability-exploited-sophisticated-ics-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐姆龍PLC設備重大漏洞被用於散布工控系統惡意軟體</span></strong></a></h3> <p>美國網路安全暨基礎設施安全局（CISA）於11月10日發布兩則資安通告，當中提到駭客鎖定歐姆龍（Omron）的NJ、NX系列可程式化邏輯控制器（PLC）系統產品線發動攻擊，針對<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-08">CVE-2022-34151（CVSS風險評分為9.4分）</a>、<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-07">CVE-2022-33971（CVSS風險評分為8.3分）</a>等漏洞下手，其中以前者為寫死（Hardcoded）帳密的重大漏洞，攻擊者能用於存取PLC設備。通報上述漏洞的資安業者Dragos表示，CVE-2022-34151實際上已被駭客納入<a href="https://www.ithome.com.tw/news/150428#sandworm-ics">攻擊框架Pipedream、Incontroller</a>，並用於攻擊ICS系統。</p> <h3><a href="https://techcrunch.com/2022/11/18/cdsl-malware-internal-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度證券保管服務商CDSL遭惡意軟體攻擊，內部系統也受到破壞</span></strong></a></h3> <p>根據新聞網站TechCrunch報導，印度證券託管機構Central Depository Services Limited（CDSL）於11月18日向當地股市交易所通報，該公司偵測到惡意軟體攻擊，部分電腦受到波及，為了防止災情擴大，他們隨即隔離受害電腦，並切斷與其他系統的連結。</p> <p>根據初步調查的結果，CDSL尚未發現機密檔案或是投資者資料遭到外洩。該新聞網站指出，在CDSL通報此事時，網站亦無法存取，但CDSL不願透露網站是否遭到這起攻擊事件影響。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/k/earth-preta-spear-phishing-governments-worldwide.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Earth Preta濫用Google Drive散布惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/earth-preta-Fig-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-preta-Fig-3.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露中國駭客組織Earth Preta（亦稱Mustang Panda、TA416）的攻擊，本次行動自3月開始進行，目標是臺灣、日本、菲律賓、澳洲、緬甸，主要針對政府機關及法律機構而來（83.9%），但也傳出教育機構、商業公司受害。攻擊者以密件副本來寄送網釣郵件，並濫用雲端檔案共享服務Google Drive、Dropbox來散布壓縮檔（RAR、ZIP、JAR等），進而於受害電腦植入惡意程式ToneShell、ToneIns、PubLoad。</p> <h3><a href="https://blog.cyble.com/2022/11/18/axlocker-octocrypt-and-alice-leading-a-new-wave-of-ransomware-campaigns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體AXLocker結合加密受害電腦檔案及竊取Discord帳號能力</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-9-AXLocker-ransom-note-window.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-9-AXLocker-ransom-note-window.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露3種新的勒索軟體AXLocker、Octocrypt，以及Alice Ransomware，其中最值得留意的是AXLocker，該勒索軟體不僅具備加密檔案的能力，亦擁有竊密軟體的功能──可從受害電腦竊取Discord的使用者ID、系統詳細資訊、瀏覽器個人設定，透過Discord Webhook網址傳送至駭客的頻道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/samba-patches-vulnerability-can-lead-dos-remote-code-execution"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Samba修補可被用於阻斷服務、遠端執行任意碼的漏洞</span></strong></a></h3> <p>11月15日Samba發布安全性更新4.15.12、4.16.7、4.17.3，當中修補了CVE-2022-42898，此漏洞出現在使用者的代理服務元件S4U2proxy，影響32位元作業系統，通過身分驗證的攻擊者可藉由16位元區塊，來造成記憶體緩衝區溢位，成功利用可能導致阻斷服務（DoS），或是遠端執行任意程式碼（RCE），CVSS風險評分為6.4分，若現行Samba執行於64位元作業系統，則不受此漏洞影響。</p> <p>這項漏洞發生的原因，是在32位元作業系統上解析特權屬性憑證（PAC）的過程中，Samba的Kerberos程式庫會出現記憶體整數溢位的情況，而使得攻擊者能透過偽造的PAC發動攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/atlassian-fixes-critical-command-injection-bug-in-bitbucket-server/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian修補Bitbucket伺服器的重大命令注入漏洞</span></strong></a></h3> <p>Atlassian針對旗下的持續整合與持續開發（CI/CD）平臺Bitbucket、身分驗證解決方案Crowd發布資安通告，修補重大漏洞CVE-2022-43781、CVE-2022-43782。前者為Bitbucket伺服器的命令注入漏洞，攻擊者可在特定情況下，於目標系統執行程式碼，CVSS風險評分為9.8分，影響7.0版至7.21版、8.0版至8.4版Bitbucket，但由Atlassian代管的執行個體，或是執行PostgreSQL資料庫的執行個體不受影響；後者為Crowd伺服器的配置錯誤漏洞，攻擊者在註冊Crowd應用程式時能繞過密碼查核的流程，並呼叫具有特珠權限的API端點，影響3.0.0版以上的Crowd；但從低於3.0.0版升級的系統不受影響。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://blog.unit221b.com/dont-read-this-blog/0xdead-zeppelin"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現勒索軟體Zeppelin漏洞，並用於製作解密金鑰</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Screen-Shot-2020-03-13-at-6_16_01-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2020-03-13-at-6_16_01-PM.png" style="width: 300px; float: right;" /></a>資安業者Unit 221B揭露2020年初挖掘勒索軟體Zeppelin漏洞的過程，研究人員根據另一家資安業者Cylance在2019年12月發布的調查報告進行分析，找到在加密過程隨機產生的RSA-512公鑰，並藉由雲端基礎設施供應商DigitalOcean贊助的伺服器主機，透過暴力破解得到能復原檔案的AES金鑰。Unit 221B自2020年2月開始，將其研究成果用於協助受害組織解鎖檔案。</p> <p><a href="https://krebsonsecurity.com/2022/11/researchers-quietly-cracked-zeppelin-ransomware-keys/">資安新聞網站Krebs On Security指出，該公司已幫助近20個組織恢復檔案</a>。Unit 221B指出，Zeppelin鎖定的目標往往缺乏資安事件回應能力，如：非營利組織、慈善機構，促使他們找出復原檔案的方法。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-actively-abused-proxynotshell-exchange-bug/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Exchange漏洞ProxyNetShell出現概念性驗證攻擊程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-attacks-use-windows-security-bypass-zero-day-to-drop-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過MoTW漏洞入侵受害電腦</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154274"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客在美國聯邦機構網路上植入挖礦程式</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154311"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">PyPI再傳惡意套件，數百人受害，駭客運用隱寫技術將程式碼埋藏在圖片</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154208"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android漏洞恐讓攻擊者繞過手機螢幕鎖定保護</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154295">【2022年11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/21 16:46作者周峻佑https://www.ithome.com.tw/news/154324
微軟發表可打造太空應用的Azure Orbital Space SDK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布<a href="https://azure.microsoft.com/zh-tw/blog/any-developer-can-be-a-space-developer-with-the-new-azure-orbital-space-sdk/">Azure Orbital Space SDK</a>預覽版，這是一個包括託管平臺和應用程式工具包的開發工具，目的是要讓開發人員能夠在衛星上，創建、部署和運作應用程式。</p> <p>過去10年所發展的物聯網技術，至今都未被應用於太空任務中，而Azure Orbital Space SDK可以藉由現代敏捷軟體部署、容器、先進程式語言以及雲端託管等技術，將物聯網技術帶上太空。微軟提到，藉由將Azure雲端擴展到太空，降低太空應用的開發時間、成本，並讓更多的開發者跨足太空開發生態系。</p> <p>Azure Orbital Space SDK安全託管平臺和套件，目標要在太空船上安全地部署和運作應用程式，這個主機平臺在太空船上運作，包含了一個容器化、可擴展，且具有資源和調度管理能力的運算基礎設施。該應用程式套件提供一組模板、範例和文件，太空開發人員可以簡單地啟動和執行常見工作負載模式，像是地球觀測圖像處理等模板應用程式，使開發人員在地球上，就能針對主機平臺執行個體測試應用程式。</p> <p>該套件可用於開發不同的應用，像是遠端感測以及通訊。在太空中觀測地球，可以對商業、經濟、人道主義、情報和軍事應用上，提供無法替代資訊。由於大多數遠端感測衛星的連接時窗和頻寬有限，沒辦法將資料傳回地球處理，而且隨著感測器傳真度提高，他們所產生的資料超過可用頻寬，因此要將訊息經過處理後傳回地面，才能大幅改善成本和速度，提升衛星應用的價值。</p> <p>Azure Orbital Space SDK讓開發人員可以在衛星上，編寫和託管更智慧的應用程式，也就是說，可以更有效地擷取資料和使用時間，甚至在邊緣自動重新配置應用程式。Azure Orbital Space SDK不需要開發者，每次都建構獨特的應用程式，像是處理影像的任務，該套件就提供了一個通用模版，讓開發者可以更簡單地將模型和應用程式，從一個衛星配置轉移到另一個衛星配置。</p> <p>衛星通訊也是被廣泛使用的太空功能之一，藉由Azure Orbital Space SDK在衛星上提供應用程式和智慧運算能力，可以降低衛星通訊管理成本和提高效率，該套件提供了一種具有網路通訊能力的運算結構，可託管電信工作負載，使電信商更簡單地將應用程式，從地面基地站移動到軌道衛星，進而實現更大的彈性和網路利用率。</p> </div></div></div>
2022/11/21 16:35作者李建興https://www.ithome.com.tw/news/154322
AI程式開發助理先驅Kite宣布收攤，並開源產品程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kite.com/blog/product/kite-is-saying-farewell/">Kite</a>早在2014年，就開始研發可以協助開發人員編寫程式碼的人工智慧，但是創辦人Adam Smith現在宣布，Kite將結束並且開源產品程式碼。原因是，即便Kite擁有每月高達50萬的活躍使用者，但是這些開發人員卻不願意付費使用，缺乏成功的獲利模式，Kite最終只好收攤。</p> <p>創始團隊懷抱著極大的願景創立Kite，但現在他們已經停止開發Kite，不再繼續支援Kite軟體，Adam Smith表示，Kite主要在兩方面失敗，技術未成熟且未能建立獲利模式，他認為，Kite在技術未成熟的時候，過早發展人工智慧輔助程式開發技術。</p> <p>Kite並沒有達到當初承諾提供開發人員10倍改進的目標設定，這是因為在程式碼上使用機器學習的技術仍不夠成熟，Adam Smith提到，就連是由GitHub和Open AI合作所開發的Copilot，雖然有很大的前景，但是仍有一大段路要走。</p> <p>最大的問題在於，即便是最先進的模型，也無法理解程式碼的結構，Kite在更先進的模型有一些進展，但要解決這個問題，還要投入更多的資源，Adam Smith估算要建構能夠可靠合成程式碼的生產工具，花費可能要超過1億美元。</p> <p>除了技術不夠成熟外，Kite也沒有成功的獲利模式能支撐公司營運，自2014年公司成立以來，Kite一直到2019年才發展出能夠被市場接受的產品，而這個產品也獲得不少的用戶，在他們幾乎未投入行銷資源的情況下，每月可達50萬活躍開發者。</p> <p>但是Kite的產品並未能產生收入，50萬開發成員不付費使用服務，Adam Smith認為，個人開發者不會付費使用工具，會付錢的是工程經理，但是工程經理只想對個別功能付費，像是提高開發人員程式開發速度18％的工具，不過即便如此，仍無法引起足夠的共鳴。</p> <p>Kite在經過多次模索和業務轉型，他們找到新方向，便是運用人工智慧技術和開發人員足跡，來執行程式碼搜尋，但Adam Smith提到，在7年緊張工作以及創業壓力下，團隊已經累了，因此選擇讓Kite業務告一個段落。</p> <p>Kite的大部分程式碼都已經在GitHub上開源，包括Python類別推理引擎、Python公共套件分析器、桌面軟體、編輯器整合、GitHub爬蟲和分析器等。</p> <p>同為人工智慧程式碼輔助開發系統的GitHub Copilot，目前則正面臨訴訟風波，GitHub和Open AI因為使用公開程式碼訓練機器學習模型，卻未列出歸屬、版權聲明和授權，美國律師事務所Joseph Saveri代表眾多的開發者，對業者發起違反授權法律訴訟。</p> </div></div></div>
2022/11/21 15:11作者李建興https://www.ithome.com.tw/news/154319
研究人員發現勒索軟體Zeppelin漏洞，協助受害者打造解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.unit221b.com/dont-read-this-blog/0xdead-zeppelin" target="_blank">美國資安業者Unit 221B上周揭露了勒索軟體Zeppelin的多個安全漏洞</a>，但其實Unit 221B早在2020年便得知相關漏洞，而且已協助逾20家受害者打造解密金鑰，只是一直到近日才對外公布。</p> <p>Zeppelin現身於2019年，是以Delphi撰寫的俄羅斯勒索軟體，對受害者提出的平均贖金為5萬美元。Unit 221B表示，該公司之所以決定針對Zeppelin展開行動，是因為此一勒索軟體鎖定收容所、非營利機構與慈善機構等缺乏回應能力的組織進行攻擊，這觸發了該團隊的過動症狀。</p> <p>Unit 221B先參考了BlackBerry Cylance在2019年底、對一款Zeppelin變種所撰寫的分析報告，了解Zeppelin使用3種不同型態的加密金鑰來加密檔案，並於被感染的每臺機器上隨機產生臨時的RSA-512公鑰，用它來加密存取加密資料的AES金鑰。駭客會在完成資料加密之後，刪除系統上的RSA-512公鑰，但只要能夠復原該公鑰，就能破解它並取得AES金鑰。</p> <p>BlackBerry Cylance的分析報告協助Unit 221B找到了Zeppelin的安全漏洞，繼之獲得美國雲端基礎設施供應商DigitalOcean的贊助，利用20臺每臺具備40個CPU的伺服器叢集以進行RSA-512公鑰的因數分解，大概需要4~6小時來得到兩個主要的因數，再計算出私鑰。</p> <p>其實Unit 221B有關Zeppelin漏洞的研究報告在2020年2月就已出爐，但並未大張旗鼓地公開，而是秘密地協助Zeppelin受害者解鎖檔案。</p> <p><a href="https://krebsonsecurity.com/2022/11/researchers-quietly-cracked-zeppelin-ransomware-keys/" target="_blank">資安部落格《KrebsOnSecurity》專訪了一名Zeppelin受害者Peter</a>。Peter是位IT管理員，他的公司在2020年5月遭遇Zeppelin攻擊事件，當時他進這家公司才不到半年，而且不管是生產系統或備份系統都被駭客加密了，老板拖延了兩周之後，已經打算支付贖金，結果接到了FBI的電話，要求他們不要支付贖金，並推薦由Unit 221B協助解鎖。</p> <p>過去只要有資安業者公布了特定勒索軟體的解密金鑰，駭客就會得知自己的軟體含有安全漏洞並加以修補，這使得Unit 221B決定低調地提供協助，僅將漏洞報告提供給執法機構及少數的研究人員。</p> </div></div></div>
2022/11/21 14:00作者陳曉莉https://www.ithome.com.tw/news/154317
歐盟有意把資料中心放在太空
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）已委由Thales Alenia Space主導一項可行性研究《歐洲淨零排放與資料主權的先進太空雲》（Advanced Space Cloud for European Net zero emission and Data sovereignty，ASCEND），調查能否將資料中心置放於太空軌道上，以緩解地球上日益嚴重的氣候變遷。</p> <p>此一研究為歐盟Horizon Europe科學研究計畫的一環。Horizon Europe為一經費多達955億歐元的7年專案，著眼於解決氣候變遷，協助實現聯合國的可持續目標，同時推動歐盟的競爭力與成長。至於Thales Alenia Space則是由來自法國Thales（67%）與義大利Leonardo（33%）共同組成的公司，它們皆為航太、國防與安全領域的設備設計與製造商。</p> <p><a href="https://www.thalesgroup.com/en/worldwide/space/press-release/ascend-thales-alenia-space-lead-european-feasibility-study-data" target="_blank">Thales Alenia Space指出</a>，數位化的需求讓全球與歐洲的資料中心數量快速成長，對能源與環境造成重大影響，該公司的野心是在太空軌道上設立資料中心，並由太陽能電場供電，與地球的唯一連結為高吞吐量的光通訊，不僅能協助歐洲實現2050年的碳中和目標，也將成為歐洲太空與數位生態系統前所未有的發展。</p> <p>ASCEND可行性研究的首要目標為評估這些太空基礎設施的發射與生產，能否大規模減少地面資料中心所產生的碳排放，次要目標則是證明是否能夠發展出所需的發射解決方案，並以歐洲正在研發的機器人輔助技術來確保這些資料中心的部署與可操作性。</p> <p>總之，該專案若能證明在太空部署的資料中心可減少對地球環境與能源的衝擊，歐洲未來即可針對相關解決方案進行重大投資，例如打造可重複使用的重型運載火箭。</p> <p>Thales Alenia Space已設立一個聯盟，用以諮詢所需的各種專業與技術，涵蓋環境業者、雲端運算業者、運載火箭業者及軌道系統業者。</p> </div></div></div>
2022/11/21 12:50作者陳曉莉https://www.ithome.com.tw/news/154316
【資安週報】2022年11月14日到11月18日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週加密貨幣交易所FTX宣告破產後傳出遭駭客攻擊的消息，超過5億美元加密貨幣被盜取，甚至傳出FTX社群管理員警告移除FTX App的消息，成為國際矚目焦點。</p> <p>在國內，本週傳出有上市公司遭駭客網路攻擊的消息，業者已經發布資安事件重大訊息，說明部份資訊系統受影響，儘管事故細節未有太多揭露，但我們認為可能是勒索軟體攻擊導致。</p> <p>在漏洞消息方面，最受關注的是，微軟在17日發布例外更新，緊急修補Windows關於Kerberos登入問題，以及F5發布產品安全公告修補旗下BIG-IP、BIG-IQ系統重大漏洞的消息。其他值得注意的包括，開發人員入口網站平臺Backstage的重大漏洞SandBreak的修補，網頁伺服器軟體OpenLiteSpeed修補重大漏洞的修補，以及Android手機可繞過解鎖畫面漏洞的修補。</p> <p>還有一些威脅趨勢值得留意，例如，賽門鐵克指出中國駭客組織持續鎖定亞洲多個國家政府與國防單位攻擊，並會攻擊憑證認證機構（CA），進而運用具合法簽章的惡意軟體來規避偵測；有資安業者指出，AWS提供公開的RDS快照功能，可能成為駭客組織覬覦的目標受關注，提醒企業注意；威脅情報業者Cyjax指出駭客組織Fangxiao發動大規模的網釣攻擊行動，主要鎖定中國以外市場攻擊，將使用者導向4.2萬個惡意與釣魚網站。另外，還有惡意軟體載入器BatLoader攻擊行動升溫，關於PCspooF漏洞的漏洞研究。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154187"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</span></strong></a></h3> <p>加密貨幣交易所FTX宣告破產的效應如雪球般越滾越大，但雪上加霜的是，該交易所傳出可能因遭到駭客攻擊，導致5億美元的加密貨幣被轉走，此起事故發生的原因有待後續調查。</p> <p>於8月中旬出現的勒索軟體Venus，駭客專門透過遠端桌面連線（RDP）入侵受害電腦，如今該勒索軟體的攻擊行動已引起政府的關注。美國提出警告，此勒索軟體鎖定當地醫療機構而來，且已出現受害單位。</p> <p>又是連鎖零售業者遭到勒索軟體攻擊的事故！加拿大食品零售業者Sobeys傳出遭到勒索軟體Black Basta攻擊，波及部分服務，但因為POS機臺與支付系統採用專屬網路而倖免於難，使得多數門市仍能營業。</p> <h3><a href="https://www.ithome.com.tw/news/154205"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</span></strong></a></h3> <p>中國駭客鎖定該國少數民族進行監控的情況，已有數起攻擊行動傳出，但多數是針對iOS零時差漏洞而來。而最近有資安業者發現針對維吾爾族人的攻擊行動，駭客主要針對安卓手機植入惡意軟體。</p> <p>透過即時通訊軟體散布惡意網址的網釣攻擊行動時有所聞，最近有一起攻擊行動比較特別的地方，是針對中國以外的地區而來。</p> <p>手機的解鎖畫面竟出現可被繞過的漏洞！Google本月修補了CVE-2022-20465，這是在攻擊者能實際接觸手機的情況下，能繞過鎖定畫面存取手機的漏洞，該公司對研究人員發出7萬美元的高額獎勵。</p> <h3><a href="https://www.ithome.com.tw/news/154223"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</span></strong></a></h3> <p>中國駭客組織發動攻擊的情況屢見不鮮，資安業者揭露駭客組織Billbug的行動，當中值得留意的是，已經有憑證認證機構（CA）受害，而可能讓該機構的簽章工具用於簽署惡意軟體。</p> <p>多家企業與IT廠商採用的開發人員入口網站平臺Backstage出現了重大漏洞SandBreak，該漏洞源於此系統採用的VM2沙箱，而可能讓攻擊者存取開發團隊擁有的各式開發系統。</p> <p>推特被馬斯克（Elon Musk）買下後引發用戶出走潮，不少人選擇改用去中心化社群網站Mastodon，但有研究人員發現該社群網站出現可竊取使用者密碼的漏洞，使得Mastodon用戶可能曝險。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154277"><strong><span style="color: rgb(0, 0, 0);">【11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</span></strong></a></strong></p> <p>雲端關聯式資料庫服務提供的快照功能，有可能會洩露用戶存放的資料！有研究人員發現數百個AWS關聯式資料庫的快照曝露在外，而使得其內容有可能成為駭客濫用的目標。研究人員指出，有些快照甚至曝露了超過一個月。</p> <p>惡意軟體載入器被用於發動攻擊的情況屢見不鮮，最近有名為BatLoader惡意軟體載入器攻擊行動，值得留意的是，駭客也運用了寄生攻擊（LoL）手法，來避免資安系統的偵測。</p> <p>黑色星期五購物季即將到來，有資安業者針對Magento電子商務平臺的用戶提出警告，駭客鎖定今年2月被修補的漏洞發動攻擊，然而，有近4成以Magento 2架設的電子商務網站並未套用修補程式而曝險。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154295"><strong><span style="color: rgb(0, 0, 0);">【11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</span></strong></a></strong></strong></p> <p>智利政府與哥倫比亞研究所日前傳出遭到未知的勒索軟體攻擊，有資安研究人員表示，這兩起事故的攻擊者很可能相同，並表示雖然上述事件都發生在拉丁美洲，但駭客現在已開始攻擊其他國家的組織。</p> <p>隨著一年一度的大型購物季即將到來，除了有人鎖定電子商務平臺Magento的漏洞而來，也有針對購物者竊密的駭客組織。值得留意的是，這些駭客運用了相當特殊的URL混淆手法，而能逃過資安系統的攔截。</p> <p>F5針對旗下BIG-IP、BIG-IQ系統修補兩個重大漏洞CVE-2022-41622、CVE-2022-41800，這些漏洞一旦被成功利用，就有可能發動RCE攻擊。</p> </div></div></div>
2022/11/21 09:38作者羅正漢https://www.ithome.com.tw/news/154307
Alphabet的Waymo將測試真正無人的自駕車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下自駕車子公司Waymo將在加州提供真正無人的自駕計程車服務。<a href="https://www.cpuc.ca.gov/news-and-updates/all-news/cpuc-approves-new-driverless-autonomous-vehicle-service-under-pilot-program" target="_blank">加州公共設施委員會（California Public Utilities Commission，CPUC）宣布准許Waymo參加加州的測試計畫</a>，將對大眾提供真正無人的載送服務。</p> <p><a href="https://www.ithome.com.tw/news/113700" target="_blank">Waymo 2017年就提供</a>自駕車載送乘客的服務，但是駕駛座上都需要有個人以確保安全。CPUC指出，這次Waymo獲得許可是無人載送服務的里程碑，可將無人載送服務擴大提供給更多加州居民，並增加與大眾互動的機會。Waymo在測試中的任何載送服務都不能向乘客收費。</p> <p>CPUC表示，這計畫讓無人車業者一方面可測試其技術，另一方面測試無人車廠商是否能滿足安全、無障礙服務及環境效益的目標。Waymo是繼通用汽車旗下的Cruise後，第二家參加CPUC無人測試計畫的業者。</p> <p>在這項許可下，Waymo將可在舊金山全境和部份戴利市（Daly City）、洛斯阿圖斯（Los Altos）、洛斯阿圖斯山丘（Los Altos Hills）、山景市（Mountain View）、帕洛奧圖（Palo Alto）及桑尼維爾（Sunnyvale）市提供無人載送服務。Waymo的無人車可以在加州公路上以不超過時速104公里的速度提供服務，且不限白天或夜晚。</p> <p>參加測試的業者應每季提供當局要求的報告，以及說明其如何規劃確保乘客安全的乘客安全計畫。</p> <p>2018年Waymo已獲得加州車輛管理局（Department of Motor Vehicles，DMV）的真正無人車輛測試許可。無人車服務廠商要先具有DM許可的無人車輛，才能利用CPUC許可提供載客服務。</p> <p>Waymo另外還獲得CPUC二項測試計畫許可。二項都是車上有安全駕駛的服務，但一項是可測試收費，這只有在舊金山和部份戴利市。另一項則不可收費，範圍更廣，除了本次的服務地區，還包括洛杉磯市、聖塔莫尼卡（Santa Monica）及英格爾伍德（Inglewood）市。</p> </div></div></div>
2022/11/21 10:13作者林妍溱https://www.ithome.com.tw/news/154309
Meta AI科學用文字語言模型被批訛誤太多，上線三天後被撤下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不斷推進人工智慧（AI）模型的Meta上周公布一項以協助撰寫科學報告文獻的AI模型Galactica，但被研究人員批評可能撰寫出有偏見及謬誤文獻的倫理問題，<a href="https://www.technologyreview.com/2022/11/18/1063487/meta-large-language-model-ai-only-survived-three-days-gpt-3-science/" target="_blank">MIT Technology Review報導</a>，這模型上線三天後就被撤下。</p> <p>Meta是在上周公布Galactica，並邀請科學家測試，它是一個大型語言模型（large language model，LLM），旨在協助研究人員撰寫科學報告。Meta團隊宣稱它是以超過4,800萬份報告、課本、教學筆記、科學家網站及百科全書訓練而成。Galactica號稱研究人員只要在其網站輸入一些提示詞，背後的AI模型就能產出像是文獻回顧、Wiki文章、教學筆記、或是單純回答科學提問，能加速科技研究。</p> <p>但Galactica對科學家來說，存在LLM相同的問題，即這些LLM即使能產出看似有條理的文字，但其實並無法理解其中意義。因此科學家發現LLM模型可能產出具有偏見的文章，或是出現事實謬誤。</p> <p>而一些研究人員測試Galactica ，也發現有許多問題。<a href="https://twitter.com/Michael_J_Black/status/1593133722316189696" target="_blank">例如一名研究人員測試Galactica數次發現</a>，它的問題包括，雖然寫出看似合理的文章，也引述了確有其人的作者，但引述來源文獻是錯的，另一次則是引述了一篇根本不存在的文獻。</p> <p>研究人員認為Galactica是很有趣的計畫，但它在產出符合文法、具權威感文字的能力下，卻引進謬誤但難以察覺的科學知識，反而相當危險，可能危害真正的科學研究，也傷害被錯誤引述的學者。</p> <p>在眾多批評下，Meta已將Galactica暫時下線。<a href="https://twitter.com/ylecun/status/1593293058174500865" target="_blank">Meta AI的首席AI科學家Yan LeCun說</a>，外界已無法誤用它來取樂了。</p> <p><a href="https://www.galactica.org/" target="_blank">如果點入Galactica網頁</a>，現在只看到一段文字顯示感謝社群的回饋意見，這項展示已經暫停，該模型目前只提供給想進一步了解、且複製報告結果的研究人員。</p> <p>這也顯示AI雖然進步很快，但在價值判斷的能力上則像個人類小孩。<a href="https://www.ithome.com.tw/news/104851" target="_blank">微軟2016年測試的AI語音助理Tay</a>在上線1天就被網友「教壞」而發表種族歧視、性別偏見的言論，隔天就被微軟撤下，而後<a href="https://www.ithome.com.tw/news/110045" target="_blank">新一代的Zo則被設定不能談種族或政治議題</a>。</p> </div></div></div>
2022/11/21 10:25作者林妍溱https://www.ithome.com.tw/news/154310
PyPI再傳惡意套件，數百人受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.checkpoint.com/2022/check-point-cloudguard-spectral-exposes-new-obfuscation-techniques-for-malicious-packages-on-pypi/" target="_blank">安全廠商Check Point發現</a>惡意程式經由PyPI儲存庫感染Python開發人員，是近日發現的最新一波攻擊。研究人員發現已有數百人受害。</p> <p>Check Point於10月底偵測到一隻PyPI出現的惡意套件，該套件運用隱寫術（steganography），將惡意程式碼藏在圖片中，再上傳到GitHub上的開源專案，感染PyPI用戶。</p> <p>Checkpoint發現到的套件為Apicolor。研究人員分析，該套件包含三個部份，一是感染套件，負責以名稱誘騙使用者下載安裝。其次是載體程式碼，功能是將惡意程式碼導到受害系統中；在apicolor中，這部份程式碼是以代碼混淆手法藏在圖片中（即隱寫術），而圖片則是從看似無害的setup.py檔編寫的URL下載。之後載體程式碼再啟動第2階段程式下載。第3階段則是最後的惡意程式碼，Checkpoint研究人員分析，它安裝到開發人員電腦中最後會植入竊密木馬程式。</p> <p>這是繼本月初Phylum之後，發現的最新惡意PyPI惡意套件。<a href="https://www.ithome.com.tw/news/153998" target="_blank">Phylum研究人員發現</a>20多個出版的PyPI套件中，內含W4SP Stealer竊密程式。這波主要攻擊是首先發生於10月12日，並在10月22日爆發，但該公司今年7月就發現GitHub上有一小撮套件出現類似感染特徵。</p> <p><a href="https://medium.com/checkmarx-security/wasp-attack-on-python-polymorphic-malware-shipping-wasp-stealer-infecting-hundreds-of-victims-10e92439d192" target="_blank">另一家安全廠商Checkmarx歸納</a>Checkpoint及Phylum的研究，認為是同一攻擊者所為，並將攻擊者稱之為WASP。</p> <p>該公司分析惡意樣本顯示，WASP使用多型態手法，每次第2、3階段都會下載不同程式碼，目的在以不同程式碼監控個別受害機器的資料蒐集。此外，下載的Python程式碼還會以不同名稱儲存在暫存檔內，並修改機碼，以便每次用戶電腦重開機都會重新啟動，維持長期運作。最後釋出到開發人員系統的WASP竊密程式目標在蒐集Discord帳密、加密貨幣錢包、信用卡及其他檔案，最後回傳到攻擊者的Discord webhook位址。</p> <p>Checkmarx研究人員追蹤到，WASP的作者以20美元出售給其他有意犯罪者，宣稱幾乎無法偵測。他們還發現攻擊者的「名人堂」，顯示有數百起成功感染。</p> <p>此外，WASP作者和PyPI單位上演貓捉老鼠戲碼。例如經過CheckPoint通報後，PyPI將Apicolor這款套件移除，攻擊者就改名Apicolors、以及Colorapi、Colorsapi並以同一PyPI帳號重覆上傳。研究人員說，開源碼社群安全情報分享管道不暢通，是攻擊活動得以愈來愈猖獗的原因。</p> </div></div></div>
2022/11/21 10:34作者林妍溱https://www.ithome.com.tw/news/154311
破產監督人宣稱FTX的混亂內控前所未見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密貨幣交易平臺FTX在11月11日聲請破產保護，並由破產專家John Ray III接任FTX執行長，負責監督FTX集團的清算，然而，<a href="https://pacer-documents.s3.amazonaws.com/33/188450/042020648197.pdf" target="_blank">Ray在上周四（11/17）提交的法院文件中指出</a>，在他的職業生涯中，尚未見過企業控制如此失敗，且金融資訊如此不可靠的公司。另一方面，<a href="https://www.scb.gov.bs/wp-content/uploads/2022/11/Media-Release-SCB-Assumes-Control-of-Assets-of-FTX-Digital-Markets-Ltd.pdf" target="_blank">巴哈馬證券委員會（ Securities Commission of The Bahamas）出面證實</a>，是該組織在11日轉走並扣押了FTX的資產。</p> <p>現年64歲的Ray是名美國律師與破產專家，有超過40年的法律及重組經驗，曾監督過安隆（Enron）與北電網路（Nortel）破產案的執行。</p> <p>Ray於文件中表示，他所參與的破產或重組案件幾乎都具備內控、合規、人力資源或系統完整性上的缺陷，然而，在他的職業生涯中，從未見過內控如此失敗，財務資訊如此不可靠的公司。FTX集團不僅缺乏系統完整性，不當的監管，而且控制權集中在極少數缺乏經驗、天真又脆弱的個人手中，這樣的情況真是前所未見。</p> <p>具體而言，對於旗下的數位資產，FTX集團並未保留適當的帳本、紀錄或安全控制，還以不安全的電子郵件帳號作為存取機密私鑰與資料的使用者名稱，沒有每日核對區塊鏈上的款項，以軟體來隱瞞對客戶資金的濫用行為，以及大開方便之門予Alameda。</p> <p>另一個令人大開眼界的是，在FTX聲請破產保護之際，有人發現該平臺有價值數億美元的大批資產流出，原本外界猜測是駭客或內賊所為，結果巴哈馬證券委員會在17日發表了聲明，指稱該組織在當時獲得了最高法院的命令，將FTX的所有數位資產移轉到由該委員會控制的錢包中，進行妥善的保管。</p> <p>巴哈馬證券委員會表示，這是為了保護FTX客戶與債權人的利益，在必要時所採取的緊急臨時監管行動，未來也會與其它國家的監管機構合作，共同解決此一影響全球投資人的事件。</p> </div></div></div>
2022/11/21 09:15作者陳曉莉https://www.ithome.com.tw/news/154305
Google建立YARA規則集，供用戶偵測遭濫用的紅隊工具Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>常被紅隊用於測試網路防禦韌性的工具Cobalt Strike，在經過十幾年的更新與改進，現在已經發展成為一個成熟的點擊系統，而該工具近期被惡意攻擊者濫用，並將其用作在被害者網路中橫向移動的強大工具，成為第二階段攻擊有效負載的一部分。</p> <p>雖然Cobalt Strike供應商Fortra透過審查程序，試圖降低該軟體被濫用的可能性，但是因為Cobalt Strike不停地被洩露破解，導致未授權的Cobalt Strike與一般版本一樣強大。<a href="https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse">Google現在向社群發布一組開源的YARA規則</a>，使社群能夠精準標記和辨識Cobalt Strike遭濫用的元件。</p> <p>Cobalt Strike是多個軟體工具的集合，這些工具被整合到一個JAR檔案中，惡意攻擊者需要啟用團隊伺服器（Team Server）元件，該元件配置一個集中式伺服器，作為命令與控制端點，以及控制受感染裝置的協調中心。</p> <p>攻擊者透過啟用JAR來連結團隊伺服器，客戶端擁有視覺化介面，攻擊者可以從中控制團隊伺服器和受感染主機，團隊伺服器生成大量攻擊框架元件，攻擊者可以部署這些元件來感染和控制遠端端點。Cobalt Strike包含多個用於Javascript、VBA巨集和Powershell腳本的提交模板，這些模板可以部署小型植入程式，並透過各種網路協定呼叫團隊伺服器，並且下載最終感染元件Beacon。</p> <p>Beacon是核心二進位檔案，可讓攻擊者控制受感染的電腦，支援各種命令和操作，同時也能夠擴展下載和執行攻擊者開發的模組。</p> <p>Google收集2012年至最新的Cobalt Strike JAR檔案版本，針對各種野外Cobalt Strike元件集變體，建構YARA高精確度偵測規則，可偵測340個各版本元件的二進位檔案，官方提到，他們的目標是建立高傳真偵測，精確鎖定特定Cobalt Strike元件版本。</p> <p>Google偵測Cobalt Strike確切版本，來確定非惡意使用者的使用，官方提到，部分版本已經被惡意攻擊者大量濫用，透過精確偵測版本，來維持合法版本的正常使用。由於Cobalt Strike被濫用的版本，通常至少落後最新版一個版本，因此藉由製作專門的簽章來鎖定這些版本，這些簽章被整合成VirusTotal中集合。Google同時也將這些簽章開放給網路安全供應商，來提高整個產業的開源安全性。</p> </div></div></div>
2022/11/21 09:19作者李建興https://www.ithome.com.tw/news/154301
微軟擴展健康保健用AI技術，可辨識多語言非結構化病歷資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/expanding-ai-technology-for-unstructured-text-beyond-english/">微軟Azure認知服務中的健康保健用文字分析服務</a>，現在可以從7種語言的非結構化文字，擷取出有意義的分析，並且經過進一步處理，用於臨床決策支援上。微軟提到，全面支援多語言非結構化生物醫學資料分析，是自然語言服務中的創舉。</p> <p>除了英文，現在健康保健用文字分析功能還支援西班牙語、德語、法語、義大利語、葡萄牙語和希伯來語，這些語言支援，使得全球更多衛生組織，得以分析多語言非結構化臨床筆記。</p> <p>微軟提到，當前自然語言處理服務的挑戰之一，就是要跨出英文的限制，而困難之處是要找到多種語言資料，來訓練人工智慧模型，並針對特定國家進行微調，畢竟語法在不同語言之間是不同的，特別是非拉丁語言。</p> <p>不同國家所面對的健康保健挑戰不同，像是書面文字是口語、醫學術語和該國慣用速記方法的混合體，微軟的合作研究對象之一Leumit Health Services，其所提供的病歷，通常混合希伯來語和英語單詞，而巴西等地因為缺乏互通或是資料收集標準，導致出現許多非結構化資料。藉由微軟的AI技術，將可使這些病歷資料更為可用。</p> <p>健康保健用文字分析功能使用自然語言處理技術，來偵測和辨識文字中的醫學術語，並且進行分類後，與標準臨床編碼系統關聯，以推論資料中的語意關係和斷言，進而實現更深入的脈絡理解，微軟表示，透過整合非結構化資料和結構化資料，能夠揭露關鍵分析、辨識風險、自動填寫表格和配對臨床實驗者等，使更多潛在健康保健使用案例得以實現。</p> <p>過去多數健康保健相關技術都僅限英文，阻礙了非英語系國家的採用，新的自然語言處理技術可以彌補語言造成的健康平等差距。</p> </div></div></div>
2022/11/21 09:21作者李建興https://www.ithome.com.tw/news/154302
馬斯克透過網路投票恢復川普的Twitter帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月底才接手Twitter的馬斯克（Elon Musk），上周五（11/18）於Twitter上舉辦了一場網路投票，詢問是否該恢復美國前總統川普（Donald Trump）的Twitter帳號，結果在1,500萬的投票數中，<a href="https://twitter.com/elonmusk/status/1593767953706921985" target="_blank">有51.8%的使用者贊成</a>，確定投票結果之後，川普的Twitter帳號就被恢復了。</p> <p class="rtecenter"><a href="http://twitter.com/elonmusk/status/1593767953706921985" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1121-twitter-trump.png" style="width: 541px;" /></a></p> <p>在周末之前，<a href="https://web.archive.org/web/20221114024603/https://twitter.com/realDonaldTrump" target="_blank">造訪川普Twitter帳號@realDonaldTrump</a>只會看到該帳號因違反Twitter規定而被停用的訊息，並不會看到任何推文，不過現在該帳號已被復原，只是川普尚未發言，<a href="https://twitter.com/realDonaldTrump" target="_blank">上一次的推文</a>停留在2021年的1月8日，那是在美國國會暴動事件（2021/1/6）發生的兩天後，川普被指責煽動暴力而相繼遭到各社交平臺的封鎖。</p> <p>川普甫於上周二（11/15）宣布角逐2024年的美國總統大選，還誓言擊敗拜登。</p> <p><a href="https://www.wsj.com/articles/elon-musk-says-twitter-would-reinstate-donald-trumps-account-after-online-poll-11668906083?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（WSJ）分析，曾經宣告要設立內容委員會來處理帳號回復問題的馬斯克，最終還是自己發動了投票，彰顯了目前Twitter所有事情的主要決策者仍是他。</p> <p>馬斯克還在Twitter上表示，人們發聲了，川普的帳號恢復了，「人民之聲，上帝之聲」（Vox Populi, Vox Dei）。</p> <p>不過，川普迄今似乎不為所動，曾在網路投票當天表示，他有自己的社交平臺，沒有重新回到Twitter的理由。川普旗下媒體科技集團Trump Media & Technology Group於今年2月正式推出Truth Social社交平臺，提供行動程式及網路版，但目前僅支援美國、加拿大與巴西等市場。</p> </div></div></div>
2022/11/21 09:36作者陳曉莉https://www.ithome.com.tw/news/154306
Amazon將於明年關閉消費版加密傳訊程式Wickr Me
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wickr.com/our-focus-on-end-to-end-encrypted-enterprise-communications/" target="_blank">Amazon上周宣布</a>，將在明年12月31日關閉消費版加密傳訊程式Wickr Me，且自今年12月31日起就不再接受新用戶註冊。</p> <p>Amazon在2021年<a href="https://www.ithome.com.tw/news/145299" target="_blank">收購</a>的Wickr為一端對端加密的通訊平臺，支援各大平臺，提供傳訊、語音、視訊、檔案分享與協作能力，原本提供Wickr Me、Wickr Pro、Wickr RAM與Wickr Enterprise等不同的產品。Wickr最被傳頌的是它曾<a href="https://media.defense.gov/2020/Aug/14/2002477667/-1/-1/0CSI_%20SELECTING_AND_USING_COLLABORATION_SERVICES_SECURELY_FULL_20200814.PDF" target="_blank">被美國國安局（NSA）遴選為最安全及隱私的協作工具</a>，擊敗思科Webex、Google Workspace、Microsoft Teams、Signal與Slack等產品。</p> <p>納入麾下後，Amazon將其整併成Wickr Me、Wickr Enterprise與AWS Wickr，當中只有Wickr Me為免費的消費者版本，其它皆為付費版；現在即將退役的也只有Wickr Me，Wickr Enterprise與AWS Wickr都將持續存在。</p> <p>Amazon表示，該公司正努力讓AWS Wickr可符合用戶的安全通訊需求，這不僅是個端對端加密企業通訊服務，也支援資料保留義務，適用於企業與公部門客戶，此外，他們知道某些客戶會透過Wickr與組織外的個人通訊，未來也會啟用此一功能。</p> </div></div></div>
2022/11/21 09:55作者陳曉莉https://www.ithome.com.tw/news/154308
英特爾新FakeCatcher偵測技術，能以96%準確度即時辨識Deepfake影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾推出可準確偵測Deepfake虛假影片的偵測器<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-introduces-real-time-deepfake-detector.html#gs.iiv85u">FakeCatcher</a>，準確度高達96％，官方提到，這是目前全球第一個，能夠以毫秒速度即時回傳結果的Deepfake偵測器。英特爾即時平臺所使用的偵測器FakeCatcher，由英特爾與紐約州立大學研究人員共同開發，並在英特爾的硬體和軟體上運作。</p> <p>Deepfake影片氾濫成為網路上一大威脅，這些影片使用名人的臉部，合成他們未說過或是做過的事情，過去偵測應用程式需要上傳影片進行分析，通常需要數小時才能得到結果。英特爾提到，Deepfake詐欺可能造成傷害並產生嚴重負面結果，而FakeCatcher可以在伺服器端，迅速偵測這些Deepfake影片。</p> <p>目前大多數深度學習偵測器，都是查看原始資料，試圖找影片中不合理的線索，辨識出影片不真實的部分，官方解釋，FakeCatcher判斷影片人像的血流，也就是說其特別之處在於，尋找影片中真實的部分，來證明影片非合成。當人類的心臟跳動泵血作用發生時，靜脈的顏色會發生改變，FakeCatcher收集臉部的血流訊號，並將這些訊號轉換成時空圖（Spatiotemporal Map），深度學習演算法可以立刻判斷影片真偽。</p> <p>FakeCatcher的潛在使用案例包括在社交平台部署該技術，避免用戶上傳有害的Deepfake影片，新聞機構也可以使用該偵測器，避免無意放大遭人刻意操縱的影片，非營利組織也可以部署該平臺，使更多人可以偵測Deepfake影片。</p> </div></div></div>
2022/11/21 09:04作者李建興https://www.ithome.com.tw/news/154292
Google強化搜尋與地圖的AR功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google日前強化旗下搜尋及地圖服務的擴增實境（Augmented Reality，AR）功能，<a href="https://blog.google/products/shopping/more-ways-to-shop-in-ar/" target="_blank">前者</a>提供新的AR購物功能，方便使用者於網路上購買粉底與球鞋，後者則<a href="https://blog.google/products/maps/new-maps-updates-to-help-you-make-the-most-of-the-holidays/" target="_blank">宣布</a>將在紐約、洛杉機、舊金山、倫敦、巴黎與東京提供基於AR的Live View徒步導航功能。</p> <p>AR通常是在不需要搭配頭戴式顯示器的狀態下，呈現整合現實與虛擬的畫面，Google在2020年就針對線上購物推出AR功能，提供虛擬化的化妝服務，以讓使用者於網路上試用產品。本周則改善了網路購買粉底的AR功能，提供148名代表不同膚色、年齡、性別、臉型、種族與皮膚類型的模特兒，測試特定品牌的粉底塗上臉龐的效果，以協助使用者作出購買決定。</p> <p>也能利用AR於網路上購買球鞋，讓使用者可縮放及旋轉球鞋，或是模擬將鞋子放在使用者空間中的樣子。</p> <p>在Google Maps上對AR的應用則是Live View徒步導航功能，除了可看到基於實景的箭頭導航之外，也能看到特定建築物或品牌的介紹，下周起將部署在倫敦與東京等更多的國際城市。</p> <p>此外，原本就可顯示電動車充電站的Google Maps也將新增快速充電選項，方便電動車駕駛找到最合適的充電服務。</p> </div></div></div>
2022/11/21 09:07作者陳曉莉https://www.ithome.com.tw/news/154304
IBM聯合PyTorch大幅改進在雲端訓練大型AI模型的效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.ibm.com/blog/ibm-pytorch-cloud-ai-ethernet">IBM研究院與PyTorch合作</a>，發展一個稱作rate_limiter的控制元件，能夠透過配置訓練時的記憶體，使得具有數十億參數的模型，也能夠在標準雲端網路基礎設施，像是乙太網路上運作。</p> <p>當前的人工智慧模型，只要使用簡單的文字題事，就能創造出圖像、歌曲甚至是網站，而這種具有數十億參數的模型，被稱為基礎模型，不需要大量時數的訓練與標記，基礎模型就可以被簡單地重新用於另一項任務。</p> <p>基礎模型主要在高階的高效能運算（HPC）基礎設施上運作，雖然這些系統很可靠，但IBM提到，對於許多想要自己訓練基礎模型，並且僅供自己使用的人來說，HPC設備是一個極高的門檻，包括高階GPU搭配低延遲InfiniBand網路系統，以及各種專門的操作流程等。</p> <p>而IBM研究人員與PyTorch分散式團隊合作，尋找出可在網路硬體上，訓練大型人工智慧模型的方法，而這個聯合小組也已經驗證，可以在Red Hat的OpenShift平臺上，使用基於乙太網路的常規網路，來擴展和訓練大型模型。</p> <p>使用PyTorch的完全分片資料平行技術（FSDP），該團隊可以在IBM Cloud上的標準乙太網路，訓練具有110億參數的模型，實現與HPC網路系統同等規模的高效率訓練。研究人員提到，過去嘗試使用乙太網路，在PyTorch上訓練數十億參數的模型，但是效果不佳，遠低於訓練基礎模型所需要的效能，隨著模型規模成長，只有當GPU能夠完整包存模型副本和訓練狀態時，資料平行訓練的標準方法才能發揮作用。</p> <p>雖然FSDP或DeepSpeed等新方法可以在訓練期間，有效地將模型和資料分散到多個GPU上，但也只限於HPC系統，而無法在由乙太網路連接的系統上運作。為此，聯合研究團隊開發了一個FSDP API，並建構rate_limiter控制元件，該元件可以控制用於發送和接收張量所使用的記憶體，進而緩解系統的記憶體壓力，使效率較之前提高達4.5倍。</p> <p>這項研究使用的基礎設施為現成的硬體，該系統在IBM Cloud上運作，由200個節點組成，每個節點有8張Nvidia A100 80GB顯示卡，與96 vCPU、1.2TB CPU記憶體，節點內的顯示卡以NVLink連接，顯示卡之間頻寬為600 GBps，而節點之間透過兩條100 Gbps乙太網路連結，提供120 GBps可用頻寬。</p> <p>該GPU系統自5月來持續運作，研究人員配置Red Hat OpenShift容器平臺執行人工智慧負載，用於大型人工智慧模型的端到端訓練、微調和推理。研究人員提到，這是目前該產業中，第一個使用Kubernetes、PyTorch FSDP API和標準乙太網路，高效率實現高達110億個參數模型的用例，而這將有助於其他組織以更具成本效益的方式，在雲端訓練大型模型。</p> </div></div></div>
2022/11/21 09:11作者李建興https://www.ithome.com.tw/news/154297
以數據為核心，超商會員經營3大關鍵新做法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣超商上萬家，一年來客次數超過32億人次，產生的數據規模非常可觀。</p> <p>三大超商很早就開始挖掘龐大數據的價值，分析會員大數據來幫助行銷，不過，傳統分析做法的顆粒度較粗，通常聚焦整體消費者的消費趨勢，來進行各種分眾行銷，但是，難以分辨不同消費者各自對不同產品的需求，因此無法進一步做到更個人化的行銷。</p> <p>但這幾年超商會員行銷的做法不一樣了，為了更精準的行銷，超商開始聚焦在個人等級的會員數據，例如消費喜好、消費頻率、來店時間以及支付方法等，從不同角度去剖析每一個會員。超商更開始嘗試拓展數據蒐集範圍到其他通路，來了解會員更全面的消費需求。</p> <p>到了2022年，三大超商各自展開會員經營策略的大調整，雖然發展策略和擅長各有不同，但是可以歸納出3種以會員數據為核心的會員經營做法，是臺灣超商今年會員經營戰略的3大重要基礎。</p> <p><span style="font-size:28px;"><strong>做法1：利用App連結OMO零售資料及服務</strong></span></p> <p>為自己品牌推出App的做法早已被服務和零售業者廣泛採用。不過超商App的優勢是，客人消費頻率高，且服務和商品多元，有更多機會紀錄會員行為和習慣。因此，App在超商會員經營戰略中，扮演著非常關鍵的角色。</p> <p>3到5年前，超商經營App的策略以衝刺開啟率為主，希望透過提供方便的功能，讓消費者願意打開App。常見功能包括集點、促銷，以及跨店咖啡寄杯等。提升App開啟率，不僅代表會員黏著度提升，也能讓App其他功能及行銷內容曝光。至今，超商仍不斷在App功能上推陳出新，不過這些新功能不只為了衝高開啟率，還有了更多元、更深度的戰略意義。</p> <p>其中一個重要戰略意義是蒐集會員數據，來分析他們喜好、需求及習慣。隨著超商數據分析能力增加，新功能還會力求涵蓋會員生活不同面向，以進一步分析會員。例如全家內部便定義會員點數、App記帳本、交易資料以及支付工具為4大會員數據蒐集管道。這4種資料中，有3種是非App蒐集不可，說明App對超商數據蒐集的重要性。</p> <p>不只消費相關的數據，超商還會蒐集App功能使用狀況，從功能整體熱門度、單人使用頻率，到更細緻的使用時段、停留時間、子功能使用情況分析，都可以用來優化App體驗及行銷內容。</p> <p>過去，每個會員打開App都會看到同樣內容及介面，也會收到相同行銷推播訊息。為了提供更個人化的體驗，超商曾經嘗試提供面向不同分眾的介面模板，或讓會員自訂常用功能。不過，隨著超商採用更成熟的數據分析跟行銷科技，未來還能提供更自動化、更個人化的行銷及會員體驗。一個例子是，萊爾富對一群平均客單價150元的會員，發出滿200折50的優惠。他們發現最後有高達30%會員使用此折價券，效率遠高於一般行銷活動。</p> <p>會員點數是超商App中最核心、使用率最高的功能。從點數功能發展歷程，也能觀察出超商開始用App蒐集數據的意圖。最原始的App點數功能只是數位集點卡，將活動點數貼紙數位化，用來兌換紀念商品。後來，超商開始延長點數期限，並增加可兌換商品來增加累積點數誘因，並觸及更廣的客群。近兩年，超商不只要增加點數功能使用率，還要進一步拓展點數在超商以外的使用場域及情境，來分析會員更多消費需求。如今，點數已經是App開啟誘因、跨通路會員數據蒐集點及行銷工具。</p> <p><span style="font-size:28px;"><strong>做法2：利用支付工具蒐集跨通路消費數據</strong></span></p> <p>長年研究數據與決策分析的政治大學資訊管理學系教授莊皓鈞指出，超商商品、服務、甚至是點數跨通路用途，種類終究有限，就算是頻繁在超商及會員點數生態系消費的活躍會員，仍無法留下足夠紀錄，反映出該會員所有消費需求。近年開始熱門的支付工具，則能蒐集更完整的跨通路消費紀錄。</p> <p>跨通路點數用途通常是兌換商品或折抵消費，超商只能知道會員在哪裡使用、以及喜歡哪些兌換商品，可獲得的數據有限。相對來說，跨通路支付工具可以直接獲得消費者於其他通路消費的完整消費明細，使超商能更全面分析會員需求。莊皓鈞直言，「超商推動自家支付工具，是數據蒐集的Game Changer。」</p> <p>現在，3大超商都有經營自己的支付工具，統一超和全家的支付工具能在自家通路外消費，因此兩家超商積極拓展支付工具可用通路，以求紀錄更完整的消費者購物需求。同時，連結了App其他功能，並在會員使用支付工具時提供點數回饋，來吸引會員使用支付工具。</p> <p>萊爾富支付工具則只能用於萊爾富店面消費。不過，儘管還無法跨通路消費，萊爾富還是從支付工具使用數據中看到了值得參考的發現。他們發現，使用自家支付工具的會員，客單價明顯較高。萊爾富數位商務處處長葉育堅說，支付工具前置設定較多，形成一定使用門檻。不過進入門檻高，讓支付工具使用者成了品牌忠誠度及活躍度的一個標竿，「所以如果會員是VIP，那支付工具使用者就是VVIP。」因此就算還無法紀錄外部通路消費紀錄，萊爾富還是計畫透過各式活動來積極推廣支付工具。</p> <p><span style="font-size:28px;"><strong>做法3：利用POS機作為數據處理終端</strong></span></p> <p>超商的銷售時點情報系統機（POS機）一直以來都是蒐集進銷存資訊的端點。不過，現代POS機在數據驅動會員經營的戰爭中，被賦予了新意義。轉變關鍵是，計算能力及超商會員服務數量雙雙提升，POS機開始有能力能蒐集、分析許多過去無法利用的數據，並將分析結果化為個人化會員體驗的端點。</p> <p>過去，超商POS機上有「客層紀錄按鈕」，店員會依據消費者外貌，紀錄消費者性別跟大概年齡，用作後續銷售紀錄分析。不過，全家數位科技暨企劃部部長陳盈州說，單憑外貌難以準確猜測出年齡，且店員通常不會認真紀錄客層，只是為了打開收銀機而隨便按一個順手的按鈕。</p> <p>近5年，超商開始經營數位會員後，便會在消費者結帳時詢問會員身分，直接連結起會員資料及銷售紀錄，這才有了更準確的會員消費紀錄。不過，就算POS機辨認出當前消費者是會員，當時仍無法於結帳當下提供個人化體驗。</p> <p>今年，3大超商不約而同的更新POS機，會員個人化服務也是新POS機重點支援項目。例如，全家計畫開發的一個功能是，在辨認會員身分後，自動提醒包裹到店，或推薦根據個人偏好推薦點數兌換商品等。由於超商POS機已經串接會員功能系統及行銷系統，未來，超商還可能開發更多會員個人化行銷功能，例如依據結帳會員偏好決定POS機廣告顯示內容。</p> <p>另一項可以開發的個人化行銷功能是，結帳時自動追加及交叉銷售。莊皓鈞說，追加和交叉銷售相當仰賴店員行銷功力，超商店員又流動率高、培訓周期短，因此一直難以成為超商標準化流程。不過，若是讓POS機能像電商平臺一樣，透過大數據分析可以推銷的商品，有可能降低推銷難度門檻。</p> <p>POS機現有的兩項功能，也可以加入會員數據成為個人化行銷功能。第一個是優惠組合計算功能，根據消費者所購商品對應的促銷活動，計算出多種可能組合方式，甚至能追加推薦其他商品，形成更優惠組合。另一個是進貨訂單推薦功能，可以依據店內鄰近環境及進銷存數據等資訊，預測出店鋪未來銷售情況，來提供最佳進貨建議。</p> <p>這兩項功能所用資料，若再加入會員數據一併分析，便能成為結帳時追加銷售的依據。例如，計算優惠組合時，將會員常購買品項納入優先考量，甚至進一步計算訂貨時用到的進銷存、天氣及時間數據，決定推薦商品及促銷幅度。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154216
【全家會員新戰略】率先布局家庭式採購需求，更用會員數據開發高毛利業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【全家會員新戰略】</span></span><br /> <span style="color:#3399ff;">●會員經營焦點從個人擴大到家庭<br /> ●推出家庭訂閱制及可轉贈票券平臺<br /> ●推出支付工具蒐集跨通路消費數據</span></strong></span></p> <p>今年，全家根據分析會員App功能使用數據結果，推出家庭訂閱制度，意圖用活躍會員帶來更多活躍會員，並從個人等級的會員經營，擴張到以家庭為經營單位。全家會員經營戰略發展進程中，早已內化了活躍會員這一概念，因此今年已經脫離單純累積活躍會員的階段，進一步發展更多活躍會員經營方法。</p> <p><span style="font-size:28px;"><strong>超商會員數據經營起步最早，6年前就提出可追蹤會員概念</strong></span></p> <p>2016年，全家手握200萬會員，不過，為了強化會員消費行為追蹤及數位經營能力，全家決定將整個會員制度打掉重練，改用以App為中心的會員制度。全家是超商中最早提出「可追蹤會員」概念的超商，透過全面數位化會員功能，並不斷推出具高度吸引力的新功能讓會員累積使用數據，在數位會員經營賽道上領跑了好幾年。數年間，靠著領先統一超多年的咖啡跨店寄杯功能，以及開放點數兌換實用的民生用品，全家會員人數穩定增長，2019年率先達到千萬人等級。</p> <p>從公開資料中，可以窺見全家達到千萬會員後，透過數據經營會員的計畫進程。2019年，全家法說會資料中提到，自家CRM精細到以單店作為為經營單位。2020年，開始計畫進一步蒐集、分析會員數據，到了2021年更導入AI行銷科技解決方案，進行線上線下會員數據分析及自動化行銷，並延續單店會員經營方針，計畫進行單店活躍會員經營及單店單品建議研究。全家也揭露數位行銷策略擬定的4大支柱，是廠商行銷主檔、商品行銷主檔、單店行銷主檔以及會員數據，將供應方、總公司及分店的行銷需求，與購買方需求媒合。</p> <p>2022年，全家首次提及養成內部數據團隊計畫，要內化數據驅動到公司核心政策，主要職責也包括自行開發自動化行銷及AI/ML演算法模型。全家有信心落實這些做法，就是因為已經掌握這些措施背後不可或缺的大量會員數據。</p> <p><span style="font-size:28px;"><strong>推出家庭訂閱制及票券平臺，增加數據分析面向</strong></span></p> <p>全家App上五花八門的各項行銷模組是會員數據的重要來源，包含折價券、活動集章、成就積分系統、小遊戲、珍食等各類地圖，全家利用歷史數據分析結果推送給潛在目標受眾，再記錄發送數、兌換率、再購率等數據，用於未來行銷優化。</p> <p>今年推出的家庭訂閱制功能，就是建立在過往數據分析結果的基礎上。經過會員App使用數據分析，全家發現將購買商品轉贈給其他會員的功能，一年累計高達上億次使用筆數，且轉贈對象重覆性高。確認消費者需求後，全家才順勢推出家庭訂閱制行銷模式，鼓勵會員與親友帳號連接，以家庭為單位一次購買大量商品。</p> <p>有王品等大型品牌經營經驗的亞太行銷數位轉型聯盟協會理事長高端訓評論，家庭訂閱制提供了會員數據新面向，讓全家能以家庭或親友團為單位觀察會員需求，也能讓活躍會員帶動其他人使用會員App功能，是一種高效率獲客方法。他說明，家庭訂閱制會提供活躍會員誘因，主動幫全家過濾出潛在客群，全家便能積極將這些已經有需求的潛在客群轉為常客。他也推測這個商業模式可能對IT帶來的技術挑戰，包括加入新資料分類方法、建立消費需求歸因機制以及設計以家庭需求為單位的行銷模式等。</p> <p>今年另一項瞄準轉贈需求的做法是推出票券平臺，販售餐旅及生活類品牌的票券。今年年底，全家與票券廠商合作，一口氣推出了數十家異業品牌票券。特別的是，這些票券中有許多是批量販售且折扣幅度較有限，甚至有原價商品票券。不過全家表示，票券平臺主打的是提供各種品牌商品的線上通路，與一般主打優惠程度的票券功能不同，主要目的是讓會員能直接透過App購買多種品牌的異業商品，並相互轉贈。</p> <p><span style="font-size:28px;"><strong>推動能個人化行銷的智慧聯播網，將會員數據變現為廣告收入</strong></span></p> <p>全家變現會員數據價值的手法，除了嘗試提升會員消費貢獻，還有另一種做法，脫離了超商原本薄利多銷的利潤結構。那就是把以自家會員數據為籌碼，將自家零售媒體聯播網（RMN）的可精準化行銷廣告版位開放給供應商競標。</p> <p>全家RMN開放了自家數位廣告版位，包括店面內電子看板、數位自媒體、會員App、線上商城等，以及多元溝通管道，例如電子郵件、手機簡訊、Line官方帳號等，給廠商置入廣告。在可以呈現差別化內容的通路，更能根據會員樣貌、品牌關聯、競品關聯、併買關聯等數據，進行自動化分眾行銷，並追蹤行銷成效，回饋給廠商。</p> <p>高端訓指出，傳統變現會員數據的方法是，將數據分析結果用於自家行銷活動。這種做法，變現會員價值的階段在於消費，行銷只是促成消費的手段。雖然確實會帶來會員消費營收，不過銷售商品需考量進貨成本及營業費用，因此利潤較低。從全家年報可以看到，歷年毛利率約36%，營業利益率則不到5%。</p> <p>不同於傳統做法，經營RMN則是把行銷行為本身作為商品，販賣給自家供應商，將會員變現為廣告利潤。與此同時，由於廣告商品多在自家通路販賣，超商仍然能獲得會員消費的營收。高端訓表示，「當年王品聯播網App的40人團隊，完全都由外部廣告及聯名卡抽成等合作收入自給自足」，推測這種商業模式為全家帶來相當可觀的商機。他也認為，用會員數據經營RMN，需要有大量會員數據、嫻熟的會員數據分析能力及自動化行銷技術，顯示出全家數位化會員經營模式已經相當成熟。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154217
【萊爾富會員新戰略】要靠策略聯盟突圍，累積活躍會員人數及跨通路數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【萊爾富會員新戰略】</span></span><br /> <span style="color:#3399ff;">●今年開始積極強化會員數據經營<br /> ●販售優惠票券吸引線下異業消費者<br /> ●結盟電商平臺累積線上通路數據</span></span></strong></p> <p>在超商雙雄相繼達標1,500萬名會員之際，今年萊爾富便利商店會員人數剛達到500萬人。作為規模第3大的超商，萊爾富會員經營起步較超商雙雄晚，但今年也要開始用數據驅動會員行銷。萊爾富數位商務處處長葉育堅認為，超商要做分眾行銷，理想中一個分眾要5萬人，才能兼顧精準度及規模，這也是萊爾富達到500萬會員才開始論及會員數位經營的原因。</p> <p>萊爾富數位會員經營戰略分成3部分，發行餐飲品牌聯合電子票券、發展電商平臺策略結盟、以及利用數據分析技術剖析會員消費行為，意圖從線下異業和線上異平臺同盟，獲取更多會員及會員數據來分析。</p> <p>萊爾富每家分店會員數超過3,200人，活躍會員比例近5成，與超商雙雄不相上下。因此，以門市為中心吸引消費者加入會員的作法，萊爾富和其他兩家超商一樣，終將受到地理距離限制而無法持續帶來新會員。但論總會員人數，萊爾富則只有兩家的三分之一。從臺灣總消費人口的角度來看，萊爾富似乎還有很多獲客空間。</p> <p>為了持續衝刺會員人數，萊爾富今年三大會員數位戰略中，就包含了線下獲客及線上兩種獲取會員的做法。</p> <p><span style="font-size:28px;"><strong>突破地理距離限制，嘗試吸納異業消費者成為會員</strong></span></p> <p>第一部分是在會員App長期販售異業優惠電子票券。這是透過線下異業來獲取會員的做法。比起在超商通路銷售限量聯名商品，來獲得短期促銷效果，萊爾富異業合作模式更要將消費者變成會員，來開發更多長期價值。</p> <p>葉育堅說，電子票券看似簡單，但仍有兩個最大的關鍵挑戰，是「利潤分配談判及系統即時串接。」</p> <p>首先是利潤分配問題。萊爾富並非大型票券平臺，行銷能力還沒受到市場肯定，再加上為了提供更高折扣來吸引消費者，優惠票券單價也不高。這些都會壓縮萊爾富商議利潤分配的空間。不過，萊爾富深知販售票券的最終目的不是為了賺抽成，而是要透過差異化服務，持續引導消費者成為會員並來店消費。因此，「若能提高廠商合作意願和消費者購買意願，萊爾富壓縮票券收益」葉育堅說。</p> <p>另一個挑戰是帳務系統必須即時同步。由於票券本身在萊爾富App系統，但使用場景在異業店面中，因此當消費者兌換票券時，雙方系統都要立即核銷票券，才能避免消費者重複使用票券或用完之後還能退貨，造成帳務混亂。這就需要萊爾富票券核銷系統與業者POS系統整合，技術不難，但萊爾富需要協調自家IT與POS系統商的時程，光是協調排程可能長達半年，讓合作案停滯。因此，萊爾富也準備了Web app或外部終端機的票券核銷介面，作為替代方案來加速專案推進。</p> <p><span style="font-size:28px;"><strong>進行電子商務策略結盟，洞察會員跨通路消費行為</strong></span></p> <p>雖然串接異業合作商家系統，有助於分析票券的行銷成效，還能窺見會員在合作商家的消費行為，不過線下異業合作主要以餐飲業為主，因此涵蓋的面向不算廣。相對來說，跟電商平臺形成策略聯盟，就更容易獲得大量且多面向的會員消費數據。</p> <p>今年，萊爾富與電商平臺Line購物及開店平臺Cyberbiz形成策略聯盟，完成三方系統串接，讓會員消費數據能互通，更易於分析會員跨通路消費行為。</p> <p>萊爾富與Line購物合作主要是希望藉由加入Line Points生態系，同時獲得新會員及會員網購數據。萊爾富提供Line Points回饋、限定優惠等誘因，嘗試將Line購物龐大的人流量導向實體門市。據萊爾富統計，Line購物不僅帶來大量新會員，還活化了40%非活躍會員，客單價更超過一般消費者3倍。當消費者用這些可追蹤的Line Points消費，Line還會將去識別化的消費數據洞察報告提供給萊爾富，結合萊爾富自身消費數據一同分析。</p> <p>另一方面，過去萊爾富就有與Cyberbiz平臺合作，時常推出物流免運服務，期待將人流導致線下店面，以增加消費機會。今年，萊爾富進一步利用Cyberbiz服務，推出線上購物商城，提供線下店面沒有的商品，來探索會員更多面向的消費需求。</p> <p><span style="font-size:28px;"><strong>開始貼標分析會員，擬定未來會員分級制度，強調非消費型服務</strong></span></p> <p>獲得了大量會員數據後，萊爾富會員數位經營的最後一招，是利用數據分析技術，透過貼標等方法將會員分群，進行精準行銷。儘管才剛開始進行會員數據分析，但已經發現不少洞察，值得作為行銷策略擬定參考。葉育堅舉例，購買漢堡票券的會員，在線下門市購買泡麵頻率相當高，因此可以針對這些會員，推出速食類商品的專屬優惠。他們還發現，84%會員總消費金額僅由最活躍的12%會員貢獻，因此未來決定推出會員分級制度，為高貢獻度會員規畫更優惠的促銷方案。</p> <p>葉育堅補充，萊爾富會員分級不只要考慮消費頻率及客單價等消費相關指標，更要納入其他非消費性服務的使用頻率，因為它們也能創造來店誘因。「尤其是代收服務，這是剛性需求。」</p> <p>萊爾富提供2,000種以上的代收種類，且根據經濟部統計，每個人一個月最多可以繳費到10種帳單，因此會員代收種類及頻率等數據夠多、夠廣，也可以用來分析，並用於優化行銷手法。例如代收後附贈的優惠券是一個葉育堅看到可以優化的行銷管道。他說，目前這些優惠券，都只是當下超商想促銷的商品，完全沒有考慮會員身分或喜好，若依照會員偏好決定推銷商品，有望大幅提升轉換率。未來，萊爾富打算從代收項目分出10種客群做行銷。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154219
【會員戰略大轉向，單一顧客貢獻度成決勝關鍵】3大超商會員數據大賽白熱化，顧客口袋占有率成新目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年，臺灣3家分店破千超商的新戰略轉向，將為全臺灣線上線下零售業者的競合版圖帶來變動。這是因為，總計坐擁12,000家分店、3,500萬筆會員資料的零售王者，開始更積極將觸角伸進消費者更多面向的消費需求。</p> <p>2022年，統一超商、全家便利商店、萊爾富便利商店的會員人數紛紛達成重大里程碑。超商雙雄都超過1,500萬人，萊爾富則突破500萬人大關。這家3超商，平均一家分店的會員數約3,000人，其中約一半是近期有到店消費紀錄的活躍會員。</p> <p>萊爾富數位商務處處長葉育堅指出：「分店會員數達到這種規模後，以實體店面為中心招募會員的模式，無法繼續高速累積會員。」會員經營要往下走，超商必須另尋他法，3家超商不約而同都採取了相同的策略，就是深化數位經營，來增加單一會員的貢獻。</p> <p>就此，全臺規模最大的會員爭奪戰，今年進入了一個新階段。超商從爭奪更多會員占有率，轉為攻占個別會員口袋占有率，也就是狙擊消費者本來會在其他超商，甚至其他零售業者滿足的消費需求。這個戰略轉向，不僅會使業內更加激烈的互相搶奪消費需求，開發新市場以及形成各式異業策略聯盟的過程中，也將改變全臺灣線上線下零售業的競合關係。</p> <p>爭奪口袋占有率的關鍵是，用分析會員數據的結果，來驅動更精準、更個人化的行銷活動。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1105-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-600-big-V2(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1105-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-600(1).png" style="width: 589px;" /></a></p> <p><span style="font-size:28px;"><strong>會員數據經營賽開跑，誰贏在起跑點上？</strong></span></p> <p>今年，3家超商經營會員的戰略中，都脫離不了以數據為會員經營基礎。不只是宏觀的整體銷售數據──超商更要分析微觀的、深度的個人消費行為數據，來提升個別會員貢獻。因此，有近期消費數據的活躍會員，開始受到超商更高度重視。他們是超商提煉行銷和營運參考數據的來源，也是個人化行銷的對象，還能轉化為新會員磁鐵和廣告收入籌碼。</p> <p>將彼此視為頭號競爭者的超商雙雄之間，全家便利商店比統一超商更早開跑。全家搶先統一超推出會員點數數位化、紅利化，以及咖啡跨店寄杯等App功能，搭配以個別店面為單位的在地化會員經營，成為最早達標1,500萬名會員的超商。不只最早開始用數位化方法經營會員，他們也最早在公開資料中提及個人化數據分析策略。到了今年，全家已經要從個人級別的活躍會員數據分析，進階到更複雜的人際網絡級別數據分析。對會員數據的高掌握度，也讓他們能將會員數據變現為額外廣告收入。</p> <p>統一超商雖然起步較晚，但有著統一集團龐大規模撐腰，任何會員經營做法的效益都會被放大。例如2019年，統一超會員人數只有650萬人，但2020年整合集團其他通路會員資料後，人數直接突破千萬人大關。受益於龐大集團生態圈，統一超的會員優惠、點數折抵、數位支付等會員功能，這一年已經能在超過18個品牌間使用。統一超高速追趕全家進度，今年也加入了1,500萬會員人數的俱樂部，會員經營目標從累積總會員數，轉向提升活躍會員數，更訂下增幅60%的高成長目標，透露出大力推動會員數位經營的企圖心。</p> <p>超商界老三萊爾富便利商店規模不如超商雙雄，但超過1,500家分店的通路優勢，放眼零售業仍然不容小覷，連超市界龍頭全聯福利中心的1,117家分店都略少於萊爾富。因此萊爾富今年積極利用通路優勢，和線上線下異業結成策略聯盟，來拓展會員生態圈及跨通路消費數據來源，作為未來長期萃取會員價值的基礎。</p> <p>這場數位會員經營賽，3家超商的起跑點各不相同，但殊途同歸，都是要善用會員數據作為精準行銷及提供差異化服務的養分，來提升自家活躍會員的數量及貢獻。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154237
【統一超商會員新戰略】善用集團規模優勢，靠超大型生態圈擴大會員經營效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">【統一超商會員新戰略】</span></span><br /> <span style="color:#3399ff;">●提升活躍會員比例成首要戰略<br /> ●用集團優勢放大會員經營效益<br /> ●將會員生態圈拓展到更多集團外品牌</span></span></strong></p> <p>今年年初，統一超商正式將會員經營目標從衝刺總會員人數，轉向增加活躍會員比例，今年要一口氣增加60%活躍會員，目標是1,400萬名（現已達1,500萬名）會員中，960萬人是近期有消費數據的活躍會員。這意味著，統一超會員經營戰略態度，已經不再只是提供大量功能讓會員自己選擇，而是從被動轉為主動，用數據分析鎖定會員需求，推出高使用率、高行銷價值的會員功能。</p> <p>達到此目標關鍵是，用會員生態圈內眾多消費情境，吸引消費者使用會員功能，再透過生態圈內品牌互相導流這些會員。</p> <p><span style="font-size:28px;"><strong>經營龐大會員生態圈，增加會員功能使用情境</strong></span></p> <p>統一超是統一集團內最大的通路，也是整個集團會員數據分析、行銷策略擬定及執行的主要負責單位。不過在會員經營上，統一超特別強調集團會員生態圈的概念。統一超會員生態圈橫跨統一集團數十個品牌，近年更開始向集團外拓展。</p> <p>統一集團旗下零售通路類別囊括百貨、超商、餐飲、超市、電商，若成功收購家樂福，還會包括量販。統一集團的龐大規模及跨通路特性，在近年統一超會員經營策略中扮演著重要角色。</p> <p>統一超有一支獨立於官方App的會員App。這與全家和萊爾富官方App就是會員App的做法不同。</p> <p>統一超會員App的名稱都是以生態圈點數Open Point命名，體現出統一超用跨品牌點數貫穿整個集團會員的策略。</p> <p>打開會員App首頁，便會看到大量統一集團各個品牌的促銷活動及熱銷商品資訊。進入點數兌換頁面，更會發現統一超的商品並未被特別凸顯，而是作為生態圈內眾多品牌的其中之一，低調融入其中。</p> <p>由於統一超會員生態圈龐大，且積極創造會員App使用情境，根據資策會今年調查，統一超會員App是2022年超商類App使用率第一名。</p> <p>此策略可以追溯到2019年，統一超開始逐步整合統一集團旗下18個通路的會員資料，使會員人數從650萬人大幅成長到1,200萬名，一口氣追上全家人數規模，也讓會員點數使用情境大幅擴增。</p> <p>統一超深知生態圈規模的重要性，因此將集團內品牌會員整合至一定程度後，更開始與集團外部品牌合作，構建龐大會員生態圈，推出多通路累積點數及消費折扣方案，讓會員能依據自身生活中各式消費需求，來選擇會員優惠使用情境。直到今年，統一超會員系統已經串聯50個以上的品牌，會員只要開啟一個App、用同一個會員帳號，就可以在這些品牌進行支付、點數累積及兌換折扣。</p> <p>不過，這個階段，統一超運用龐大生態圈優勢的做法仍相當被動，仰賴會員自發選擇符合自身需求的功能，而非超商以數據分析為基礎，主動對會員精準行銷。</p> <p><span style="font-size:28px;"><strong>無所不在的服務，也是無所不在的數據蒐集點</strong></span></p> <p>從法說會和年報等資料可以觀察到，進入2021年，統一超內部開始更加強調會員經營，並積極思考如何用數據驅動精準行銷，要主動推出與會員需求相關的產品及行銷方案，而非一味推出新服務後讓會員選擇。</p> <p>今年，為了活化會員，統一超繼續發揮統一集團規模優勢，持續擴張自家點數功能及使用場域，以期涵蓋更廣的會員使用情境，能加速累積跨通路會員數據。新措施包括將會員生態圈推至集團外的美廉社及國泰人壽等企業、推出咖啡及愛心捐款訂閱制、中獎發票智能兌獎以及點數折抵代收項目等功能。</p> <p>當統一超能分析消費者使用會員功能所產生的數據，用於產品及行銷設計的優化參考，建構龐大會員生態圈就有了新的戰略意義：不僅是為會員增加選擇，更為統一超增加會員行為數據蒐集點。政治大學資訊管理學系教授莊皓鈞也推測，收購有900萬名會員的家樂福後，就算會員系統無法立即整合，統一超也會盡快串聯支付、會員點數系統跟雙方會員資料，來進行更全面的會員數據分析。</p> <p>不只透過積極增加會員生態圈品牌，來拓展數據蒐集點跟涵蓋面向。統一超還有另一個增加超過1,700個數據蒐集點的方法。</p> <p>這個做法就是推出獨立於店面的機臺，包括號稱一坪一間迷你超商的各式智慧販賣機，以及可以回饋消費金或會員點數的資源回收機。這些機臺有與會員App功能串接的功能，例如咖啡跨店寄杯可以於智慧販賣機兌換。超商也會在會員購物或進行資源回收時提供點數回饋，作為消費者表明會員身分的誘因，進而蒐集會員行為數據。目前智慧販賣機已經有4種機型、鋪機超過1,500臺，資源回收機則預計明年增設至200臺，成為實體店面以外的龐大線下數據蒐集網絡。</p> <p>從被動提供大量選擇，到主動根據數據分析結果推動會員經營策略，這個思維轉變，今年逐漸落實在更多統一超做法中。例如，統一超內部分析發現，會員App較常開啟的服務包括行動支付、點數兌換及折抵、活動集點卡、咖啡跨店寄杯、愛心捐款捐點等功能，統一超今年推出的咖啡及捐款訂閱制，便是以此為依據。年營收150億的咖啡產品線City Cafe，累積了大量相關消費數據，因此統一超今年也計畫導入精準化行銷模組，來持續增加此產品線的會員兌換率跟業績。統一超推動的會員經營政策，已經開始顯露成效，至2022年第3季，會員貢獻金額已經較去年同期成長超過2成。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154245
【專家意見：政治大學資管系教授莊皓鈞】超商可更用個人化數據行銷，減少任何不必要的降價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超商固然樂見透過促銷增加銷量，不過透過降價吸引消費者購買，利潤也會相應降低。長年研究零售數據分析的政治大學資訊管理學系教授莊皓鈞觀察，「零售界的新觀念是，任何不必要的降價都是一種浪費。」</p> <p>「零售業現在要提升行銷精細程度，更大幅減少無謂的降價。」莊皓鈞進一步解釋，行銷技術從無差異化行銷發展到分眾行銷，現在已經再進階到個人化行銷，超商能更精細地根據消費者需求，給出最合適的折扣方案。不過，「要實現個人化行銷，首先便要提升會員需求數據的掌握程度。」</p> <p>傳統上，零售業訂價時，大多用整體銷售量數據來分析，一方面要找出需要促銷的商品，但又得兼顧折扣成本不能造成虧損。莊皓鈞說，這種方法得出的行銷方案無法區分消費者，容易造成不必要的浪費。例如，當所有人買飲料都是第2件8折時，對於願意第2瓶9折購買的人而言，這樣的折扣就會造成浪費。</p> <p>「若從個人層級分析數據，便能開始針對不同族群或個人，給出不同程度的降價。」莊皓鈞指出。目前零售業界較常使用的差異化訂價策略是分眾行銷，將消費者依照不同特徵分為不同群體，祭出專屬群體的行銷方案。莊皓鈞說，分眾越精細，就越能達到個人等級的訂價及行銷，更大程度的避免過度降價。</p> <p>莊皓鈞認為，要從個人等級避免過度降價，最理想的做法是，排除原價就會購買的消費者，再分析其他消費者分別需要給出多少折扣才會買單，並對每個人給出最剛好的訂價。以美國零售巨頭Amazon為例，每一個會員在電商頁面上看到的商品推薦跟訂價都是量身打造的結果。他說，當臺灣超商會員數據分析及個人化行銷能力再進步，也能做到。</p> <p>不同於線上電商，實體超商如何做到個人化訂價及優惠？莊皓鈞說，個人化訂價原理都相同，都要在後端處理龐大數據的分析。雖然電商容易在網頁前端顯示個人化訂價及行銷，但超商透過App、POS機等終端，一樣可以做到會員身分辨認及個人化行銷，例如在App上推播個人化行銷訊息。</p> <p>莊皓鈞也指出，線下個人化訂價技術上可行，不過，比線上更容易因消費者間互相比較價格而衍生不滿，因此實務上需要數據分析團隊和行銷團隊合作。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154248
【專家意見：高科大行銷與流通管理系教授吳師豪】超商得更善用顧客現場消費行為數據，及時抓住行銷機會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年超商紛紛升級了作為店內運算核心的超商POS機，提升了單店邊緣運算能力。有多年零售業產學界經驗的高雄科技大學行銷與流通管理系教授吳師豪說，當店面有更強的運算能力，就能有意識的蒐集銷售現場數據，來及時行銷，抓住稍縱即逝的行銷機會。</p> <p>消費者在線上瀏覽商品頁面的行為能反映出當下興趣及需求，因此電商多會分析這些瀏覽行為，用於調整行銷內容。吳師豪指出，超商也能利用邊緣運算能力，在實體店面蒐集消費者停留、徘徊或查看商品的行為，並及時推播行銷訊息，來捕捉消費者一閃而過的興趣或需求。</p> <p>他舉例，現在已經有一些零售業者會利用Beacon微定位技術，對經過店面附近的會員推送行銷訊息，嘗試將會員吸引進店內。若感應到會員在店內一處停留較久，店家便會推測會員對此處商品有興趣但仍在猶豫中，並推送該區域商品的促銷優惠給會員。</p> <p>吳師豪說，這些消費者行為資訊一直都存在，可以對行銷帶來很大的幫助，但過去超商沒有善用這些數據。他認為，有了更強的POS機，超商便能開始蒐集消費者位置資訊、店內會員操作App行為、影像辨識消費者店內行為等數據，即時應用於店內行銷。</p> <p>另一項能用於即時調整行銷方案的數據是單店近期銷售數據。目前，超商POS機已開始利用銷售數據推薦進貨品項及數量的功能。吳師豪說，進貨是銷售的事前準備，難以考量銷售現場變數，因此銷售當下的行銷策略，更應該利用銷售數據分析來提升應變能力，尤其是針對時效性高的商品行銷。</p> <p>以超商即期鮮食為例，目前的行銷策略是，到了晚上固定時間便開始打折促銷。吳師豪說，這個策略難以應對銷售現場狀況。更好的做法是，考量當天銷售情況，甚至是周邊環境資訊，來即時決定恰當的行銷方案。例如，若有些品項近日熱銷，就不需要打折，或是減少折扣幅度，甚至當超商發現當天下雨，來店人數較少，可以考慮提早打折，根據現場情況最大化行銷效益。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154249
【專家意見：亞太行銷數位轉型聯盟協會理事長高端訓】改用商品消費頻率分析個人化需求周期，更適時促銷維持會員活躍度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超商為了分析會員消費數據，將活躍會員定義為有近期消費紀錄的會員，這是從來店頻率來定義活躍度。不過，有王品等大型品牌經營經驗的亞太行銷數位轉型聯盟協會理事長高端訓說，超商只從來店頻率來看會員活躍度不夠精細。要主動維持會員活躍程度，應該以商品消費頻率為單位，依照個人對不同商品的需求周期來行銷，以牢牢抓緊會員每一種需求。</p> <p>高端訓將會員活躍度依照消費頻率及產品需求周期分為3種狀態：活躍、預備冬眠跟冬眠。活躍會員每輪需求周期都會購買商品，若超過1個需求周期還沒消費，就進入預備冬眠狀態，超過3個需求周期則進入冬眠狀態。他認為，會員一旦進入冬眠狀態便很難喚醒，因此超商要在會員進入休眠狀態時有所警覺，盡早對會員進行相對應的促銷，喚醒會員對商品需求。</p> <p>依照會員消費周期來推銷的概念，類似於有些零售業者會幫消費者整理常買或愛買清單，在每次消費時提醒消費者，以避免流失消費者固定消費需求。不過採用這種做法的零售業者，會員消費模式與超商有很大的差別。這種清單通常針對定期大量採購需求，或容易在同一類型商品中形成固定品味的需求。兩者共通點是，每次訂單內容都很相似，因此業者只要觀察每次訂單重複品項，就能大致掌握消費者偏好。</p> <p>高端訓指出，超商進行周期性推銷的考量則更複雜，因為商品種類繁多且消費頻率高，消費者對不同種類的商品會有不同長度的需求周期，這些周期起訖甚至會橫跨數次消費間隔，導致每天訂單內容都不同。若會員每天都有消費紀錄，從消費頻率的角度來看，活躍度並未降低，但若從個別商品的角度來看，可能會發現特定商品回購率逐漸降低，需要透過促銷來嘗試喚醒消費需求。</p> <p>要辨認出這類警訊，高端訓建議，超商必須以個別產品為單位，分析大量歷史訂單，才能辨認出會員對每一項商品是否有固定需求周期，以及這些周期的長度，進而在會員購買間隔過長時，即時促銷以挽留消費意願。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154251
世界級超商再進化的關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣的超商世界有名！不只是門市密度全球第二，僅次於南韓，但在超商服務項目的種類，包山包海，遠勝其他各國的超商。幾乎每一個到臺灣長住的外國人，返國後，最不習慣的一點就是，生活中少了一個無所不服務的超商。臺灣超商是世界級有名的產業。</p> <p>這個高度成熟發展的超商，總是可以找到服務創新的出口。尤其這幾年，三大超商紛紛展開數位轉型，投入超商科技化的研發，引進機器人手臂、無人結帳櫃檯、臉部辨識進行更多服務實驗，甚至發展出了販賣機超商、行動超商等，商業模式也從店面零售增加了物流、金流服務，成為小店家的出貨、進貨、收款的櫃檯等。</p> <p>會員App成了這幾年超商OMO戰略的發展重心，不只是成為超商2樓虛擬賣場，App點數促銷，成了提高會員到店黏著度的重要媒介，也讓超商累積更多顧客消費數據，甚至更多不同類型通路的消費行為紀錄，成為日後個人化行銷的重要參考。而超商App結合支付工具，則成了超商擴大會員生態圈的新策略，透過金流服務，將超商會員生態圈延伸到餐飲、百貨、生活、藥妝等不同類型產業的通路。</p> <p>2022年，兩大超商龍頭相繼展開了新一代POS機的大升級，淘汰用了10年的POS，改成多功能，多結帳模式的新世代POS機。</p> <p>不論是，統一超商或全家，都開始支援雙模式結帳，可由店員結帳，也可切換成顧客自助結帳，讓櫃臺動態調整更有彈性。不只如此，也大幅升級螢幕和POS機硬體，甚至可以在POS機進行邊緣AI運算，未來將有能力依據門市現場和顧客屬性，提供每一個人都不一樣的專屬精準行銷，將POS變成面對顧客的新OMO數位通路。</p> <p>用App發展OMO戰略、整合支付生態圈、發展新世代POS，這些策略都為了因應日益白熱化的超商會員大戰。尤其，今年開始，三大超商的會員經營戰略，不約而同都展開了大改變。</p> <p>最先達成1,500萬名會員的全家便利商店，很早就善用數位化方式來經營會員，率先將超商會員點數數位化、紅利化，也很早就開始善用會員數據來經營，今年更進一步，以個人為主的數據戰略，進階到更複雜的人際網絡，以家庭為單位來分析和運用數據，也開始建立廣告聯播網，提供程序化廣告服務，將會員紅利變現。</p> <p>統一超商的會員經營雖然起步較慢，但善用自家統一集團的優勢，在2020年整合集團各通路會籍資料後，以點數App為核心，串連了18個品牌的會員生態圈，帶動會員規模快速成長，今年會員數也突破了1,500萬人。統一超今年也改變戰略，不再追求會員人數，轉而聚焦活躍會員人數的提升，訂下今年要成長60%的高目標。</p> <p>分店數平列第三的萊爾富今年也開始聚焦會員大數據運用，今年新戰略要利用上千家通路優勢，和更多線上、線下異業結盟，一方面發展生態圈，也累積更多跨通路的消費數據。</p> <p>超商營運科技化，到超商會員經營數據化，世界級的臺灣超商產業，正展開全新一波的進化。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B6%85%E5%95%86">超商</a></div><div class="field-item odd"><a href="/tags/%E6%9C%8D%E5%8B%99%E5%89%B5%E6%96%B0">服務創新</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item odd"><a href="/tags/omo">OMO</a></div><div class="field-item even"><a href="/tags/%E6%9C%83%E5%93%A1%E7%B6%93%E7%87%9F">會員經營</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E6%93%9A">數據</a></div><div class="field-item even"><a href="/tags/%E8%A1%8C%E9%8A%B7">行銷</a></div></div></div>
2022/11/21 00:00作者王宏仁https://www.ithome.com.tw/voice/154286
3大超商會員戰略大轉變
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3,500萬名超商會員大戰進入新階段，從擴大會員數，轉為瞄準會員口袋深度，統一超集團生態優勢繼續發威，全家率先經營家庭式會員，萊爾富則主攻異業策略聯盟</p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/article/154287
【資安日報】2022年11月18日，勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>智利政府與哥倫比亞研究所日前傳出遭到未知的勒索軟體攻擊，有資安研究人員表示，這兩起事故的攻擊者很可能相同，並表示雖然上述事件都發生在拉丁美洲，但駭客現在已開始攻擊其他國家的組織。</p> <p>隨著一年一度的大型購物季即將到來，除了有人鎖定電子商務平臺Magento的漏洞而來，也有針對購物者竊密的駭客組織。值得留意的是，這些駭客運用了相當特殊的URL混淆手法，而能逃過資安系統的攔截。</p> <p>F5針對旗下BIG-IP、BIG-IQ系統修補兩個重大漏洞CVE-2022-41622、CVE-2022-41800，這些漏洞一旦被成功利用，就有可能發動RCE攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blogs.blackberry.com/en/2022/11/arcrypter-ransomware-expands-its-operations-from-latin-america-to-the-world"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/arcrypter-fig02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/arcrypter-fig02.png" style="width: 300px; height: 62px; float: right;" /></a>IT業者BlackBerry的威脅研究團隊指出，在今年8月與10月，鎖定智利政府、哥倫比亞國家食品暨藥物監督研究所Invima發動攻擊的勒索軟體駭客，很可能是同一組人馬，並將他們所使用的勒索軟體命名為ARCrypter。這個駭客組織當時的目標主要是拉丁美洲，但研究人員指出，如今駭客也攻擊中國、加拿大等其他國家。<a href="https://www.bleepingcomputer.com/news/security/previously-unidentified-arcrypter-ransomware-expands-worldwide/">資安新聞網站Bleeping Computer也觀察到類似狀況</a>，並發現有德國、美國、法國的受害組織。</p> <p>而對於攻擊的途徑，BlackBerry指出駭客疑似透過匿名檔案共享網站AnonFiles，散布win.exe及win.zip，一旦攻擊者下載到受害電腦並搭配特定參數與密碼來執行相關的壓縮與解壓縮動作，電腦將會感染ARCrypter，大部分檔案也會遭到加密。與其他勒索軟體相同的是，ARCrypter也會刪除磁碟區陰影複製（Volume Shadow Copy）的備份資料，但駭客為了持續在受害環境運作，他們不僅利用登錄檔在電腦開機就啟動勒索軟體，還會保持所有網路磁碟機為連線狀態。</p> <h3><a href="https://www.akamai.com/blog/security-research/sophisticated-phishing-scam-abusing-holiday-sentiment"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歲末購物季來臨，美國、加拿大消費者遭到駭客鎖定，冒用當地知名品牌發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-scam-abusing-holiday-sentiment-four.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sophisticated-phishing-scam-abusing-holiday-sentiment-four.jpeg" style="width: 300px; float: right;" /></a>雲端網路與資安服務業者Akamai的威脅情報團隊揭露從今年9月出現的釣魚攻擊，駭客鎖定在網路上找尋假日促銷活動的購物者，他們佯稱是知名的零售商或是產品製造者，宣稱購物者只要在5分鐘之內提供信用卡資料並支付運費，或是填寫簡單的問卷，就有機會獲得獎品。然而一旦購物者上當，他們的信用卡資料就會被駭客用於盜刷。研究人員指出，有89%存取釣魚網站的用戶為美國人及加拿大人。</p> <p>值得留意的是，這起攻擊行動裡，駭客的釣魚網站不只內容極為完整，甚至有收到禮物的用戶「評價」，駭客亦搭配了多種手法來規避偵測──這包含了濫用短網址服務、合法雲端服務（如Google Cloud、AWS主機服務、Azure blob儲存空間等），來降低受害者的戒心。</p> <p>此外，研究人員還發現了過往未曾出現的手法。例如，駭客在重新導向使用者的過程裡，濫用了統ㄧ資源識別碼片段識別符號（URI fragment identifier），以及針對每個遭到鎖定的目標產生專屬URL，而能夠躲過各式資安系統的偵測。</p> <h3><a href="https://medium.com/checkmarx-security/wasp-attack-on-python-polymorphic-malware-shipping-wasp-stealer-infecting-hundreds-of-victims-10e92439d192"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織WASP鎖定Python開發者而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_63L1gU-jcc73Xqv6D5IKyw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_63L1gU-jcc73Xqv6D5IKyw.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx指出，在本月初由<a href="https://blog.phylum.io/phylum-discovers-dozens-more-pypi-packages-attempting-to-deliver-w4sp-stealer-in-ongoing-supply-chain-attack">Phylum</a>、<a href="https://research.checkpoint.com/2022/check-point-cloudguard-spectral-exposes-new-obfuscation-techniques-for-malicious-packages-on-pypi/">Check Point</a>揭露兩起惡意PyPI套件的攻擊行動，雖然手法存在顯著的差異，但攻擊者其實都是名為WASP的駭客組織，此組織專門利用竊密軟體WASP Stealer（編按：Phylum將其稱為W4SP Stealer），盜走開發者的Discord帳密、加密貨幣錢包、信用卡資料，並透過特定的Discord webhook網址將偷到的資料傳給駭客。</p> <p>根據研究人員的分析，攻擊者使用的是多型態（polymorphic）的惡意軟體，每次部署的酬載都會改變；此外他們也透過圖像隱碼術（steganography）來埋藏惡意程式碼，還會製造假的GitHub評價，來讓開發者上當。</p> <h3><a href="https://www.fortinet.com/blog/threat-research/new-rapperbot-campaign-ddos-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遊戲伺服器遭殭屍網路RapperBot鎖定，被用於DDoS攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1668464186293.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1668464186293.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露殭屍網路RapperBot近期的攻擊行動，他們發現此殭屍網路於10月上旬出現新的變種病毒，駭客鎖定《俠盜獵車手：聖安地列斯》多人連線遊戲（Grand Theft Auto: San Andreas Multiplayer）的伺服器而來，目的是要將其用於DDoS攻擊。</p> <p>研究人員指出，此殭屍網路病毒透過Telnet連線目標裝置，並採用內建的密碼本，嘗試暴力破解目標設備，不像過往採用SSH連線，也並非透過C2取得相關帳密資料；根據他們的分析，該病毒針對Arm、MIPS、PowerPC、Sparc架構的電腦而來，假如偵測到在Intel處理器的電腦上，就會停止運作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.rapid7.com/blog/post/2022/11/16/cve-2022-41622-and-cve-2022-41800-fixed-f5-big-ip-and-icontrol-rest-vulnerabilities-and-exposures/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補BIG-IP、BIG-IQ的RCE漏洞</span></strong></a></h3> <p>資安業者Rapid7發現F5旗下BIG-IP、BIG-IQ系統的重大漏洞<a href="https://support.f5.com/csp/article/K94221585">CVE-2022-41622</a>、<a href="https://support.f5.com/csp/article/K13325942">CVE-2022-41800</a>，分別存在於iControl SOAP、iControl REST元件，前者可被用於跨網站偽造請求（CSRF）攻擊，且攻擊者無需通過身分驗證；後者則是攻擊者通過身分驗證並取得管理員權限後，可繞過設備模式（Appliance mode）的限制，濫用未公開的iControl REST端點。</p> <p>這兩個漏洞的CVSS風險層級為8.8分及8.7分，但研究人員認為影響有限，因為最嚴重的CVE-2022-41622需要多種條件搭配，攻擊者才能觸發漏洞，而F5表示，一旦這些漏洞被成功利用，後果將會相當嚴重。F5獲報後，近日發布了資安通告與修補程式。</p> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-kerberos-auth-issues-in-emergency-updates/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟緊急修補Windows的Kerberos登入問題</span></strong></a></h3> <p>11月17日，微軟發布例外更新（OOB），目的是針對網域控制器（DC）在部署本月例行修補（Patch Tuesday）的更新軟體後，可能會衍生Kerberos認證問題，進行解決。</p> <p>這項問題有可能影響所有的Kerberos認證，網域群組的受管理服務帳號（gMSA）將無法進行身分驗證，遠端桌面連結也會失效，亦導致工作站電腦無法存取共用檔案，此外，需要網域用戶身分驗證的列印工作亦無法執行。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/qbot-phishing-abuses-windows-control-panel-exe-to-infect-devices/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用Windows控制臺主程式感染受害電腦</span></span></strong></a></p> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-321a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">已有1,300個組織遭勒索軟體Hive加密檔案</span></span></strong></a></p> <p><a href="https://maybuys.com/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">海外購物代運業者美買國際網站故障，疑為前技術人員破壞所致</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/misconfigured-server-exposed-phi-600000-inmates-a-20482?"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療保險業者伺服器配置不當，曝露60萬囚犯個資</span></span></strong></a></p> <p><a href="https://www.bloomberg.com/news/articles/2022-11-15/fbi-is-extremely-concerned-about-future-tiktok-deal-christopher-wray-says"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國FBI指控中國大規模竊取商業機密與個資，尤以TikTok最讓人感到威脅</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154285"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android版DuckDuckGo瀏覽器新增程式追蹤保護功能</span></span></strong></a></p> <p><a href="https://www.securityweek.com/firefox-107-patches-high-impact-vulnerabilities"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla基金會發布Firefox 107，修補19個漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154205">【2022年11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</a></strong></strong></strong></p> </div></div></div>
2022/11/18 17:19作者周峻佑https://www.ithome.com.tw/news/154295
臺灣人工智慧學校轉型，下一步要結合開源平臺、導入國際尖端技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣人工智慧學校校務長蔡明順今（11/18）在AI年會上表示，臺灣人工智慧學校（AIA）成立5年來，已開設97次專班、培育來自1,917家企業共9,000多名學員，橫跨15大產業，更有50家企業將內部30名以上員工送/參訓，如台積電、友達、富邦金、新光醫院等，涵蓋製造、醫療、金融、電信、學校與國營企業等領域。他點出，AIA目前已完成「為產業點火」第一階段目標，接下來，AIA導入國際AI尖端技術、定期提供AI最新資訊和AI社群發展，作為轉型發展重點。</p> <p><span style="font-size:24px;"><strong>AIA人才產業分析：IT科技業仍占大宗</strong></span></p> <p>蔡明順指出，AIA在2018年的成立初衷是「為產業點火」，將AI技術帶入各大產業、培育業界人才，因此成立以來，陸續開設各種專班來推動產業AI化、AI產業化，比如智慧醫療、智慧製造、智慧金融等產業專班，以及物件偵測、自然語言處理（NLP）和Edge AI等技術專班，甚至還有為因應2050年淨零碳排目標而開設的ESG碳中和專班。</p> <p>今年，蔡明順照例剖析AIA的校友分布，來檢視AIA與產業發展關係。至今，AIA已培育9,027名校友，其中5成為產業經理相關，包括周末的經理人研修班、智慧製造和金融產業專班，而技術工程類校友則占3成，包括技術領袖培訓班和各技術實作專班。特別的是，醫療產業專班占了15.4%，今年AIA校長暨中研院院士孔祥重開設的AI加速器短期訓練課程，則占了4.9%的校友總數。AIA也預告，未來將根據企業需求，開設更多切中業務核心的專班。</p> <p>另一方面，就校友產業分布來說，不論是經理人專班還是技術專班，資訊科技業都是最大宗、超過4成，而產業經理人班的第2大參與產業為半導體，占了12.7%，而技術專班則是傳產為第2大宗，占了27.9%（如下圖）。這一次，AIA也統計了校友年齡分布，產業經理班79%的校友為40至49歲，占最大宗，其次是50至59歲，技術工程班則稍有不同，73%的校友為30至49歲，醫療產業班也有65%的校友是30至49歲。令蔡明順印象深刻的是，AIA還有70至79歲的高階主管，甚至最年輕的有15歲學子，他認為不論年紀長幼，都抱持學習AI的熱忱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-11-18%20at%205_17_07%20PM.png" /></p> <p>不只如此，蔡明順進一步指出，這些接受AIA培訓的校友來自1,917家企業，其中，將內部30人以上送/參訓的企業就有50家，如台積電、廣達、友達、義隆電子、臺大醫院、新光醫院、富邦金、玉山金和國泰金等，涵蓋製造、醫療、金融、電信、學校與國營企業，共觸及15大產業。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E6%95%B8.png" /></p> <p><span style="font-size:24px;"><strong>從大規模校友、講師調查，形塑下一階段目標</strong></span></p> <p>「為產業AI點火、建立先鋒部隊，是2018年建校第一天的目標，也是成立5年來的努力方向。」蔡明順點出，AIA發展有不同階段和目標，如2018年至2019年是建立AI大軍，利用業界出題、學界解題模式快速散布AI火種，再來是2020年至2021年的深入產業，利用案例教學來建立產業個案。今年開始則進入新階段，要推動本土產業個案、結合開源平臺計畫（即AI加速器課程），來連結國際發展。</p> <p>為擬定更貼近產業需求的發展目標，AIA也在今年6月發送問卷，來了解校友、講師和合作夥伴的看法與建議，從而制定新一階段目標。</p> <p>就700多位校友的回饋來看，79.1%認為參與AIA的最大收穫是增加AI專業能力和解題能力，再來是超過5成校友認為，成為AIA一份子是件光榮的事，且完成AIA課程後，還能有效降低與相關產業人士的溝通障礙。就47位講師而言，前3大收穫不外乎是感性價值，包括能為AI知識的流動與人才培育出力、為成為AIA一份子感到光榮，以及貢獻技能、與學員交流切磋。</p> <p>而且，這些受試者都認同，AIA對社會的最大影響是培養大量臺灣AI基礎人才，以及促進跨產業的AI人才互動。甚至，在製造、醫療、金融、服務和半導體等5大產業領域來看，超過75%都認為AIA有助於產業AI化，協助產業應用案例擴散。</p> <p>不過，蔡明順表示，從這份問卷也可看出，認同AIA「導入國際AI尖端技術和應用案例」的受試者比例最低，是AIA要再努力的方向。與此同時，AIA也搜集利害關係人觀點，匯集雙方可以更做得更好的建議，前兩名包括「定期提供最新AI發展資訊」和「課程以外的社群活動」，特別是建立同好交流、更有影響力的AI社群。</p> <p>於是，AIA確立下一個5年的3大發展目標，要導入更多國際尖端AI技術和應用案例、定期提供AI新資訊，以及建立AI社群和活動，來促進跨業交流。</p> <p>不過，雖然建立社群是AIA下一階段目標，他們其實已有不少著墨。比如，AIA校友已成立社團協會，以線上交流模式，邀請社群AI講者來分享最新資訊，是臺灣規模最大的AI定期聚會。在技術部分，則建立AIA Journal Club，定期邀請AI技術專家來分享新知應用。</p> <p><span style="font-size:24px;"><strong>臺灣未來發展方向：AI晶片、人機協作</strong></span></p> <p>不只是AIA的發展方向，蔡明順也分享國際AI趨勢，不少國家都加碼投資AI，像是美國去年簽署《美國供應鏈行政命令》，對美國製造業供應鏈重新檢視外，美國國家人工智慧安全委員會也建議政府投資千億美金發展AI，美國總統拜登更在今年簽署《晶片與科學法案》，其中2,800億美元的預算，近2,260多億將用於基礎科學發展，特別是AI晶片、硬體、系統、資安與人才培育。</p> <p>再回顧臺灣，未來，AI技術將是關鍵戰略資源，臺灣可在現有的軟硬體優勢上，發展AI晶片供應自主化，並利用微感測器和AI晶片，來發展各種數位基礎應用，比如在醫療方面，可發展精準醫療和預防醫學，又或是在交通方面，可發展車用高速運算晶片，或是在能源方面，打造AI儲能系統、發展虛擬發電廠，來促進再生能源使用。</p> <p>除了可瞄準AI晶片發展，未來，臺灣也將面臨更嚴峻的高齡化社會挑戰，因此可發展AI人機協作，來解決缺工、醫療照護問題。這些是蔡明順觀察到的潛在發展方向，也是AIA未來可發展的方向。</p> </div></div></div>
2022/11/18 17:25作者王若樸https://www.ithome.com.tw/news/154296
微軟緊急修補Windows Kerberos認證問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-22h2#2953msgdesc" target="_blank">微軟日前發現</a>，在扮演網域控制器的Windows Server上部署11月8日釋出的Patch Tuesday安全更新後，即可能遭遇Kerberos認證問題，微軟已於本周四（11/17）釋出緊急更新進行修補。</p> <p class="rtecenter"><a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-22h2#2953msgdesc" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1118-Kerberos-KB5019980-issue.png" style="width: 600px;" /></a></p> <p>Kerberos為一電腦網路認證協定，可供客戶端與伺服器端認證彼此的身分，可用來避免竊聽與重放攻擊，被應用在Windows、macOS與Linux等作業系統上。</p> <p>根據微軟的說明，此一問題可能影響使用者環境中的任何Kerberos認證，造成網域用戶登入失敗，群組受管理的服務帳戶(gMSA) 無法認證，基於網域用戶的遠端桌面連結失效，無法存取工作站的共享文件夾或無法於伺服器上分享文件，需要網域用戶認證的列印亦無法執行。</p> <p>微軟已於本周釋出緊急更新，可用來安裝在使用者環境中的所有網域控制器，不同的Windows Server版本有不同的修補程式。</p> </div></div></div>
2022/11/18 16:25作者陳曉莉https://www.ithome.com.tw/news/154293
Amazon宣稱裁員行動將延續至明年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責裝置與服務的Amazon副總裁<a href="https://www.ithome.com.tw/news/154241" target="_blank">Dave Limp周三（11/16）證實</a>Amazon將展開裁員，隔天<a href="https://www.aboutamazon.com/news/company-news/a-note-from-ceo-andy-jassy-about-role-eliminations" target="_blank">Amazon執行長Andy Jassy則進一步說明</a>，此波裁員行動將會延續到明年，但不管是Limp或Jassy都未公布裁員規模。</p> <p>Jassy表示，Amazon正在進行年度的營運計畫審查，檢視每項業務的必要變更，由於過去幾年Amazon快速招聘，再加上經濟充滿挑戰，而讓今年的審查更加棘手。昨天不僅決定要削減裝置及書籍業務的人力，也針對人力資源部門（People, Experience, and Technology，PXT）宣布了自願被裁方案，且這波人力刪減計畫將會持續到明年初。</p> <p>目前Amazon各部門的主管仍在研究專案的優先順序與人力部署，目前僅確定將縮減商店與PXT人力，其它細節或裁員行動將隨後公告。</p> <p>截至今年第三季，Amazon的全球員工數為154.4萬人，比去年同期多出5%。而日前《紐約時報》（New York Times）則報導，Amazon準備裁撤1萬人，不到總員工數的1%。</p> </div></div></div>
2022/11/18 16:31作者陳曉莉https://www.ithome.com.tw/news/154294
Line將推出統一管理多品牌OA及廣告的平臺，還要推出非第三方Cookie的消費者追蹤方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line宣布12月要推出企業管理平臺，是一個能同時管理多個官方帳號（Official Account, OA）及廣告投放的管理平臺。集團企業主不僅能在平臺統一回覆所有品牌或產品線的OA訊息，還能整合所有OA的受眾數據，用於廣告投放，未來更能交叉分析各項廣告成效。</p> <p>此平臺一項重要的新功能是Non-Cookie使用者追蹤功能Conversion API，預計於明年Q1推出。由於第三方Cookie即將廢除，未來在前端瀏覽器用Cookie蒐集資料的方法可能會受到管制。因此Line改用API的做法，從後端伺服器拋轉使用者資料到Line伺服器，便能在後Cookie時代持續追蹤使用者的消費行為。</p> <p>Line表示，匯入企業管理平臺的數據及未來交叉分析的結果，目前都不開放串接到第三方工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_20221117_221117_48.jpg" style="width: 600px;" /></p> <p>廣告業務方面，Line將新增更多數據來源及廣告版位，包括Line禮物、Line Beacon等多種自家服務的使用數據、自有廣告受眾再分析結果，以及其他第三方資料。2023年上半年，Line還要活用這些數據，開放4大類原本只用於廣告分眾的資料，給OA分眾推播訊息功能使用。這4類數據分別是消費者的網購行為、購買能力、購物通路和有追蹤的OA類型。</p> <p>Line的官方帳號數量從2022年1月到10月間，從210萬成長到241個帳號。Line企業解決方案事業部總經理王俞蓉表示，因為Line在疫情間積極推動遠低於原價的校園OA方案，因此學校教育類OA成為2022年成長數量最多的帳號。成長比例最高的產業則是醫療產業，王俞蓉認為，這是因為在疫情壟罩之下，視訊診療的需求大增。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_20221117_221117_61.jpg" style="width: 600px;" /></p> <p>Line在2023年也將推出兩項OA行銷功能。一項預計Q2推出的新功能是，用戶點擊到OA頁面時，不管是否已經加入好友，都能預覽重要行銷訊息，以增加訊息觸及率。另一項則是新增好友加入管道作為分眾標籤，可以判斷使用者是從哪種管道加入OA好友，例如貼圖、廣告、搜尋、Line Points等，來判斷品牌各行銷管道的效益。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_20221117_221117_36.jpg" style="width: 600px;" /></p> </div></div></div>
2022/11/18 12:14作者郭又華https://www.ithome.com.tw/news/154290
不滿新東家馬斯克的作為，Twitter爆離職潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉（Tesla）與SpaceX創辦人馬斯克（Elon Musk）在10月28日完成Twitter的440億美元收購案之後，正式成為Twitter的主人，但接手後的內部整頓風波不斷，在實施50%的裁員政策之後，Twitter的員工人數已從原先的7,500名被裁到只剩3,700名，上周五（11/11）馬斯克又發了一封內部郵件，限時員工於本周一（11/14）之前回應是否承諾效忠新的Twitter 2.0，否則就會被遣散，結果傳出有超過7成的員工都未回應。</p> <p>馬斯克入主Twitter之後，率先傳出的是執行長Parag Agrawal與財務長Ned Segal被開除，繼之裁員50%的員工，之後再傳出馬斯克開除了十多名指正他的員工，而在上周對僅剩員工發出最後通碟之後，《FortuneMagazine》記者<a href="http://twitter.com/kyliebytes/status/1593391167718113280" target="_blank">Kylie Robison</a>引述了Twitter員工的看法，指出在剩下的3,700名員工中，約有75%並未選擇留在Twitter。</p> <p>周四（11/17）Twitter也宣布將關閉各個辦公室，直至下周一才會重新開放。猜測是擔心遭到離職員工的破壞所作的決定。</p> <p>倘若馬斯克堅決履行他的說法，那麼Twitter的員工人數很可能低於1,000人，屆時Twitter能否如常運作將成為外界關注的焦點。</p> <p>外界相信，工作文化的改變，是造成Twitter員工情願選擇離職的主因。在這封要求員工效忠Twitter 2.0的郵件中，馬斯克明白表示，在這個競爭日益激烈的世界中要打造成功的Twitter 2.0需要非常「強硬」（Hardcore），這同時也意味著長時間的高強度工作，只有表現出色才算及格。</p> <p>此外，身為社交媒體平臺，過去Twitter的管理風格既開放又彈性，是少數允許員工得以永遠選擇遠端工作的科技公司之一，但上周馬斯克要求員工每周至少要待在辦公室 40小時。</p> <p>不過，根據<a href="https://www.bloomberg.com/news/articles/2022-11-17/musk-softens-remote-work-mandate-to-retain-twitter-staffers" target="_blank">《彭博社》</a>（Bloomberg）的報導，在察覺打算離職的員工數量超乎預期之後，馬斯克的態度已有軟化，包括請人慰留特定員工，以及強調只要主管同意就能繼續遠端工作等。</p> </div></div></div>
2022/11/18 12:25作者陳曉莉https://www.ithome.com.tw/news/154291
Cloud周報第160期：台灣大車隊邁向永續運輸轉型大力擁抱公雲，關鍵核心叫車App服務也將分階段上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/10～11/16）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台灣大車隊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續運輸 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>台灣大車隊擁抱公雲邁向永續運輸轉型，不只積極發展綠色IT，關鍵核心叫車App服務也將分階段上雲</strong></span></strong></p> <p>台灣大車隊近幾年開始借重公雲，將更多服務上雲，甚至也把上雲視為公司邁向永續運輸服務轉型的重要一環。台灣大車隊執行長林念臻日前在一場活動上揭露自家永續運輸的淨零碳排短中長期三階段發展策略。</p> <p>台灣大車隊從2020年展開第一階段轉型，開始運用GCP雲端AI、ML工具建立叫車熱點預測模型，這個階段不只降低空車率，也因為減省油耗降低每輛車碳排放多達數千磅。接下來，台灣大車隊今年計畫用3年發展綠色IT，林念臻也舉例，當55688的叫車App發展成超級App後，今年開始把該App的新服務和資料分階段上雲，藉此降低資料中心的使用能耗，來幫助這家公司建構零碳排資料中心來達到快速減碳。</p> <p>長遠來看，台灣大車隊更希望在2030年透過混合多雲策略，結合更多雲端合作夥伴協同合作減碳，以達到建立永續運輸生態圈的目標。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 北醫大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲架構 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>北醫大靠導入混合雲平臺Anthos打造雲地混合資料運算中心，更採微服務架構進行體系IT再造工程</strong></span></strong></p> <p>臺北醫學大學近日在一場活動上透露自身數位轉型三階段進展，包括導入混合雲架構、建立數位化標準以及發展智慧創新服務，藉此改善使用者體驗、加速創新以及提供更有效率的維運管理。</p> <p>在基礎設施改造部分，臺北醫學大學資訊長張資昊表示，北醫大去年開始於資訊機房內部署Google Cloud混合雲平臺Anthos，來支援資源重整與再造，目前該平臺正在測試中，希望打造一個雲地混合資料運算中心，一來提供資料雲地備分；二來透過資料在地、服務在雲的架構來部署新服務，確保以後服務上雲，資料仍可保留在醫院端，未來更要建構以校為核心，來發展適用北醫體系的智慧雲機房。</p> <p>由於北醫大體系是由一校6院組成，張資昊表示，研究、教學及行政服務等相關資訊系統因應上雲需求正在進行再造，改採微服務架構設計，來支援IT的敏捷開發。另外在創新服務應用上，未來將會結合大數據及AI優化醫院、跨院及校內服務等。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雙11 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里巴巴 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>迎戰雙11！阿里巴巴旗下天貓商城全上雲，更靠阿里雲自研Apsara分散式雲端運算平臺支撐爆量交易需求</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4).png" style="width: 600px; height: 263px;" /></p> <p>今年雙11購物節，阿里巴巴一反常態沒有大肆慶祝，甚至也不如以往公開旗下天貓商城銷售成績，僅透露表現和去年持平，去年該公司雙11銷售額達5,403億元人民幣。</p> <p>雖說今年沒有揭露太多銷售業績，但是根據官方數據，今年雙11促銷活動共29萬個品牌店家參加，多達7,000種商品品項，活動開始4個小時內就有逾一百家店成交1億元人民幣。去年天貓雙11線上服務開始全面上雲，阿里巴巴表示，今年雙11已是100%上雲，來因應爆量的線上購物與交易需求。該公司表示，透過使用雲端架構，不只單位運算成本下降8%，今年也大幅提高綠能使用占比，來降低阿里雲資料中心的能耗。</p> <p>為因應雙11購物人潮，阿里雲今年首度採用自研的Apsara分散式雲端運算平臺支撐天貓雙11活動，並通過升級資料中心的運算、儲存和網路等基礎設施，來提升線上下單、網路支付的速度，同時加快退款流程。並導入無伺服器（Serverless）架構，來架設淘寶首頁網站和應用。</p> <p>商品選完後進到購物車結帳，阿里巴巴使用阿里雲雲原生資料庫，加大消費者虛擬購物車容量，從以往120件提高到現在最多300件商品結帳。其他還採用企業雲端記憶體內資料庫服務ApsaraDB for Redis，來提供快速產品分類和篩選功能，使消費者可以根據自身喜好來組合購物車內的商品，或是可利用自訂功能來取得跨店折扣、預購商品，或是優惠卷等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子醫療記錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Epic </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Google Cloud 與全美最大醫療記錄軟體商Epic簽署協議，要讓3億名病人電子醫療記錄都能搬上雲</strong></span></strong></p> <p>最近Google Cloud大動作宣布與美國私人醫療保健軟體公司Epic Systems完成簽署協議，所有採用 Epic服務的美國醫療機構未來從Google Cloud公雲上就能使用Epic軟體執行相關醫療工作，不一定需要透過本地端來執行。</p> <p>以提供醫療保健軟體產品為主的Epic Systems，可說是美國最大醫療紀錄軟體商，據Epic稱，目前使用其Epic軟體的醫院擁有美國78％患者的電子醫療記錄，至今全美更有逾3億人的電子醫療記錄都是儲存在Epic中。</p> <p>兩家合作後，Google Cloud 表示，醫院之後可以將各自使用的Epic軟體搬上雲端來執行，除了提高作業效率與安全性，未來也能搭配使用Google Cloud雲端工具做運用，如透過這些數據建立具有對話能力的AI虛擬化身，來改善現有照護流程等。目前已有像Hackensack Meridian Health等醫療保健組織計畫採用。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 轉型上雲</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雷諾汽車 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>法國車廠雷諾為發展軟體化汽車加快服務創新而大步邁向雲端轉型</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(10).png" style="width: 600px; height: 288px;" /></p> <p>法國車廠雷諾近日宣布將加速集團轉型上雲，以便協助車廠將傳統硬體為主的汽車開發，轉變為軟體定義汽車（Software-Defined Vehicle,SDV）新型開發模式，藉此提供更靈活的開發彈性與創新服務。</p> <p>早從2018年，雷諾就已經把上雲當作是集團轉型的重要戰略，更找上Google Cloud合作陸續將內部應用開始搬上雲，近日雙方宣布擴大合作關係，雷諾未來汽車設計和售後升級更新交付服務也將一併上雲。</p> <p>雷諾旗下品牌，包括Renault、Dacia、Alpine和Mobilize。雙方合作將利用車內Android的軟體建構SDV平臺，而在雲端則建立具備AI功能的汽車數位分身（Digital Twin），可方便將新服務持續更新到汽車上，以及建立新的車上（onboard）及車外（ooard）應用程式，藉此降低成本、提高作業效率及開發速度。雷諾最終更要將所有營運系統搬上雲端，加速推動集團轉型。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HPC運算 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟發表搭載第四代AMD EPYC的高效能運算用Azure HX與HBv4 VM，能提供高達96個運算核心</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(11).png" style="width: 600px; height: 423px;" /></p> <p>微軟Azure更新自家VM服務，新增兩款HPC專用的虛擬機器類型Azure HX與HBv4 VM，皆採用第四代AMD EPYC處理器，可以提供高達96個核心，以及800 GB/s的DDR5記憶體頻寬。兩款VM皆提供5種規格尺寸，效能最高的虛擬機最多可提供176個實體CPU核心與688GB記憶體容量。</p> <p>從整體效能來看，HBv4 VM較前一代HBv3提升至少2倍，能應付更複雜HPC運算任務。另一款HX VM配置的記憶體大小也較前一代增加3倍，每核心配置記憶體達近60 GB 。</p> <p>HBv4和HX也是Azure第一個採用Nvidia Quantum-2 InfiniBand高速網路互連技術的虛擬機器，可以提供高達400 Gb/s 的資料傳輸能力。兩款新VM將先在美東推出，之後陸續推向其他地區。</p> <p> </p> <p><strong><strong>圖片來源／雷諾汽車、Azure</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.Synergy Research Group最新調查顯示三大公雲在美國雲端服務市場市占率合計達76%</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.傳Amazon計畫裁減語音助理Alexa、零售和人力資源部門在內等一萬名員工</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.緯創為加速集團轉型積極擁抱雲端，連關鍵業務核心ERP系統也將全面上雲</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>4.Amazon發表Amazon Clinic遠距醫療平臺，將於美32州提供服務</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年11月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/11/18 11:39作者余至浩https://www.ithome.com.tw/news/154289
遊戲公司Ubisoft、Riot Games合作以機器學習技術，打擊遊戲聊天頻道中的有害行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ubisoft和Riot Games兩家遊戲公司，共同開展一項研究專案<a href="https://news.ubisoft.com/en-gb/article/6iCgVJQEZ00S2drMdPpmNB/ubisoft-and-riot-games-join-forces-to-tackle-harmful-content-in-game-chats">Zero Harm in Comms</a>，最終要發展一個框架，來降低線上遊戲聊天頻道中，可能出現的傷害。</p> <p>這兩間公司因為面對共同的挑戰，而且也都對目前的關鍵字偵測模型解決方案不滿意，因此聯手進行Zero Harm in Comms專案，目前他們創建了一個匿名資料的共享資料庫，用來訓練Ubisoft和Riot Games的系統，以偵測和降低破壞性行為。</p> <p>資料庫的內容來自Ubisoft和Riot當前遊戲內的聊天記錄，這些聊天紀錄會被清除個人可辨識資訊，並且加上像是中立、種族主義、性別歧視等標籤，以用於訓練自動化系統，更有效地辨識和分析這類有害行為。兩間大型遊戲公司合作的優勢，在於能夠收集到龐大的玩家聊天資料，訓練系統除了偵測關鍵字之外，還能透過理解對話脈絡，找出更多有害的行為。</p> <p>Ubisoft提到，部分有害關鍵字可以立即被辨識出來，但是有許多情況需要深入解析，才能判斷有害與否，像是在聊天中出現「我要帶你出去玩」，這句話出現在競技射擊遊戲中可能是合理的對話，但是在其他遊戲，情境就可能完全不同。</p> <p>但是Ubisoft也提到，難以教導人工智慧理解每一種有害情況，目標是要能夠藉由微調系統尋找特定案例，並且提高偵測的機率。</p> </div></div></div>
2022/11/18 09:22作者李建興https://www.ithome.com.tw/news/154280
Android版DuckDuckGo瀏覽器新增程式追蹤保護功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋暨瀏覽器業者<a href="https://spreadprivacy.com/app-tracking-protection-open-beta/" target="_blank">DuckDuckGo本周更新了Android版程式</a>，在最新的DuckDuckGo Privacy Browser 5.143.1中新增程式追蹤保護功能，可於背景封鎖Android程式所使用的各種追蹤器，<a href="https://github.com/duckduckgo/tracker-blocklists/tree/main/app" target="_blank">同時透過GitHub公布了封鎖名單</a>。</p> <p>DuckDuckGo表示，蘋果iPhone用戶有程式追蹤透明化（App Tracking Transparency）的保護，得以防止程式肆意追蹤使用者，但用戶數遠大於iPhone的Android手機卻缺乏同樣的保護，於是該公司即在新版的DuckDuckGo隱私瀏覽器中新增程式追蹤保護機制（App Tracking Protection），啟用後即可自動封鎖各種Android程式的追蹤器。</p> <p>根據DuckDuckGo的估計，每名Android手機用戶平均安裝了35款程式，而這35款程式每天可能執行1~2,000次的追蹤，並將資料傳送給逾70家不同的追蹤公司。</p> <p>程式所蒐集或追蹤的資料可能涵蓋使用者的名稱、電子郵件帳號、郵政編號、所處城市、坐標、廣告ID、Cookie、所使用的作業系統版本、裝置品牌、時區、裝置儲存空間、記憶體、裝置語言、音量、Wi-Fi網路名稱、電池狀態或裝置亮度等，不管是使用者想像得到或想不到的，都可能被蒐集與追蹤。</p> <p>業者利用這些資料來建立使用者的個人檔案，以執行目標式廣告或遞送特定內容。DuckDuckGo舉例，也許使用者某天在媽媽家待了一陣子之後，就會在手機上看到媽媽所使用的牙膏的廣告。</p> <p>而在使用者啟用App Tracking Protection之後，它便可偵測到程式企圖將資料傳送到第三方的追蹤公司，並在不影響程式運作的情況下，封鎖絕大多數的請求。此外，使用者還可檢視程式所蒐集並企圖傳送的資料。</p> <p>由於App Tracking Protection功能使用本地端的VPN連線，因此只會在裝置上運作，而不會將程式資料傳送至DuckDuckGo或其它伺服器。</p> </div></div></div>
2022/11/18 09:27作者陳曉莉https://www.ithome.com.tw/news/154285
IBM與Algorithmiq合作將運用量子運算技術加速新藥開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://algorithmiq.fi/wp-content/uploads/2022/11/algorithmiq-ibm-partnership-press-release-nov-2022.pdf">量子運算領導者IBM與量子新創Algorithmiq展開合作</a>，試圖將量子運算用於解決生命科學的複雜問題上，這次的合作，IBM提供先進硬體、軟體和量子應用專業知識，結合Algorithmiq的演算法技術，要探索大幅減少藥物開發時間和成本的方法。</p> <p>IBM研究人員與Algorithmiq共同克服，當今量子硬體的主要雜訊瓶頸，像是大型量子化學模擬，無論是在速度、準確性和規模都還不足，而Algorithmiq先進的量測技術，已被證明可大幅減少混合量子古典演算法的執行時間，此外，Algorithmiq用於減少錯誤的後處理策略，能夠明顯提高量子化學的準確性，因此雙方認為，兩家公司的合作，有望在近期量子技術發展上，提高量子演算法的效能。</p> <p>Algorithmiq提到，目前一種新藥上市，平均約需要花費10年時間以及10億美元。Algorithmiq將專注於量子運算演算法開發，發展有效且副作用小的新藥，同時還要顯著縮短新藥上市時間，借助量子運算的能力，結合複雜系統方法來探索和開發新藥，預防和治療疾病實現精準醫療。</p> <p>這項合作同時也會貢獻量子電腦開源SDK Qiskit專案，以促進量子運算這個新興生態系的發展，而合作的一部分，Algorithmiq將會加入IBM Quantum Network。</p> </div></div></div>
2022/11/18 09:34作者李建興https://www.ithome.com.tw/news/154283
伊朗駭客在美國聯邦網路上植入挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-320a" target="_blank">美國網路安全及基礎設施安全局（CISA）本周指出</a>，該局在參與一個聯邦文職行政部門（Federal Civilian Executive Branch，FCEB）的安全事件應變時，發現伊朗駭客利用了未修補的Log4Shell漏洞，於受害組織植入了XMRig挖礦程式，還在組織內部橫向移動、竊取憑證，同時安裝了反向代理工具Ngrok企圖長駐。</p> <p>由CISA負責管轄的<a href="https://www.cisa.gov/agencies" target="_blank">FCEB組織有數十個</a>，CISA並未公布受害組織的名稱，不過，顯然該組織已違反CISA的規定，因為遭到駭客利用的Log4Shell漏洞CVE-2021-44228早在去年底就被CISA列入<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">已知被濫用的安全漏洞（Known Exploited Vulnerabilities）目錄</a>中，所有FCEB組織都應該已於去年12月24日以前修補完成。</p> <p>根據CISA與美國聯邦調查局（FBI）的調查，駭客是在今年2月藉由VMware Horizon伺服器上未修補的CVE-2021-44228漏洞成功入侵該組織，而CISA則是在4月以入侵偵測系統EINSTEIN進行分析時，發現了該組織網路上的可疑行動。</p> <p>分析顯示，這應是由伊朗贊助的國家級駭客所為，除了在該組織的系統上安裝XMRig挖擴程式之外，也橫向移動至網域控制器，竊取了該組織的多個憑證，並植入Ngrok。</p> <p>CISA公布了此一攻擊行為的入侵指標（Indicators of Compromise，IOC）與戰術、技術和流程（TPP）供外界參考，並建議有偵測到相關ICO與TPP的其它組織，應假設駭客已執行橫向移動並展開全面的調查。</p> </div></div></div>
2022/11/17 19:15作者陳曉莉https://www.ithome.com.tw/news/154274
Line Beacon裝置將設於全臺小七和全家店面，升級為上萬據點的實體通路行銷網絡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「從消費者心動到購買之間，距離越短，反悔的風險就越低。」全家便利商店整合行銷部部長陳菀揚一句話點明，店面鄰近消費者重點行銷的好處。這也是為什麼超商雙雄都願意在店內裝設Line Beacon，以店面為中心進行地區型行銷。</p> <p>Line Beacon是Line的地區型行銷推播裝置，利用低功耗藍牙（Bluetooth Low Energy，BLE）技術對50公尺內的消費者推播行銷訊息。過去，此服務據點主要分布於臺北捷運站、百貨公司美食街以及Line Taxi上，約有千餘個據點。近日活動，Line宣布將於人潮商圈、熱門酒吧及超商雙雄全臺店面設置Line Beacon據點，一口氣拓展了據點涵蓋規模及商圈多樣性。Line表示，預計2023年能在超商雙雄六都的店面設置完Beacon裝置，未來更將擴展至全臺萬餘家店面。兩家超商的加入，也提升了Line Beacon廣告網絡規模好幾倍。</p> <p>Line企業解決方案事業部品牌行銷總監鄧傑方指出，從實體位置和出現時段，能窺見消費者習性跟興趣。因此這次Line Beacon網絡擴張，不僅增加了廣告投放據點數量，更有望吸引更多類型的廣告主使用此技術，為Line開啟了更多廣告商機。一個例子是，由於現在Line Beacon和百餘家酒吧合作，這些Beacon不只可以讓這些酒吧行銷自家品牌，更能讓洋酒經銷商跨店面行銷。</p> <p>還有一種更進階的應用是，統一超和全家等坐擁大量Beacon據點的廣告主，能記錄消費者出現的分店及時段，來深入了解消費者習性。不過，鄧傑方強調，出於隱私權考量，Line Beacon不會提供可識別化的數據。廣告主若想追蹤可識別化的消費者行為，需要自行設計合法機制來蒐集。例如，透過Beacon訊息提供連結，將消費者導向官方帳號或會員App，再於這些管道記錄消費者行為。</p> </div></div></div>
2022/11/17 18:05作者郭又華https://www.ithome.com.tw/news/154282
【資安日報】2022年11月17日，公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端關聯式資料庫服務提供的快照功能，有可能會洩露用戶存放的資料！有研究人員發現數百個AWS關聯式資料庫的快照曝露在外，而使得其內容有可能成為駭客濫用的目標。研究人員指出，有些快照甚至曝露了超過一個月。</p> <p>惡意軟體載入器被用於發動攻擊的情況屢見不鮮，最近有名為BatLoader惡意軟體載入器攻擊行動，值得留意的是，駭客也運用了寄生攻擊（LoL）手法，來避免資安系統的偵測。</p> <p>黑色星期五購物季即將到來，有資安業者針對Magento電子商務平臺的用戶提出警告，駭客鎖定今年2月被修補的漏洞發動攻擊，然而，有近4成以Magento 2架設的電子商務網站並未套用修補程式而曝險。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.mitiga.io/blog/how-mitiga-found-pii-in-exposed-amazon-rds-snapshots"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現數百個AWS關聯式資料庫雲服務可能出現資料外洩的狀況</span></strong></a></h3> <p>資安業者Mitiga揭露AWS關聯式資料庫雲端服務Relational Database Service（RDS）當中的快照備份資料有可能洩露，他們自今年9月21日至10月20日，總共找到810個公開的快照，其中有250個曝露長達30天，研究人員指出，這代表相關備份資料很可能已經被管理者遺忘。根據這些曝露的資料性質，攻擊者可竊取以獲得經濟利益，或是用來掌握目標組織的IT環境。</p> <p>研究人員表示，這些資料會曝光的原因，在於AWS提供公開的RDS快照功能，能允許備份整個雲端資料庫環境，且所有AWS帳號都能存取，而使得這類資料成為攻擊者覬覦的目標。</p> <h3><a href="https://www.darkreading.com/attacks-breaches/researchers-alarm-batloader-malware-dropper"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入器BatLoader攻擊行動升溫，並透過寄生攻擊入侵受害電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BatLoader_Picture1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BatLoader_Picture1.png" style="width: 300px; float: right;" /></a>資安業者eSentire、VMware Carbon Black先後針對惡意軟體載入器BatLoader的攻擊行動提出警告，<a href="https://www.esentire.com/blog/batloader-facilitates-fraud-hands-on-keyboard-attacks">eSentire指出，駭客架設冒牌的AnyDesk、Zoom、LogMeIn、TeamViewer等應用程式的下載網站，並透過搜尋引擎最佳化（SEO）廣告來引誘受害者上當</a>。一旦受害者執行從上述網站下載的安裝程式，攻擊者就會透過寄生攻擊（LoL）的手法，下達命令去收集系統資訊，進而下載第二階段酬載──在個人用戶的電腦上，BatLoader會植入銀行木馬Ursnif與竊密軟體Vidar；對於加入網域的電腦，除了植入上述惡意軟體，還會投放Cobalt Strike與遠端管理工具Syncro。</p> <p>而針對這起攻擊行動的受害規模，<a href="https://blogs.vmware.com/security/2022/11/batloader-the-evasive-downloader-malware.html">VMware的MDR服務團隊在90天內已在他們的用戶環境偵測到多次入侵</a>，其中9個受害組織為商業服務業者、7個為金融服務公司、5個為製造業；教育業、零售業、IT業者、醫療保健機構也都出現受害狀況。</p> <h3><a href="https://news.umich.edu/cyber-vulnerability-in-networks-used-by-spacecraft-aircraft-and-energy-generation-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PCspooF漏洞恐影響飛機與太空梭的動力系統運作</span></strong></a></h3> <p>美國密西根大學、賓夕法尼亞大學的資安研究人員與美國太空總署（NASA）聯手，發現能用來針對飛機與太空梭進行通訊的網路進行攻擊的手法PCspooF，此手法是針對這類飛行器具所採用「時間觸發網路（Time-Triggered Ethernet，亦稱TTE或TTEthernet）」而來，研究人員利用惡意設備對TTE路由器進行電磁干擾（EMI），試圖讓TTE設備暫時無法同步訊號長達1秒，進而使得飛機或是太空梭的動力系統失去控制。</p> <p>究竟要如何緩解PCspooF漏洞？研究人員認為，應該採用光電耦合器或突波保護器來避免電磁干擾造成的影響，並對於來源的MAC位址進行驗證等方式，來防堵利用PCspooF漏洞的攻擊手法。</p> <h3><a href="https://sansec.io/research/trojanorder-magento"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Magento電子商務平臺遭到TrojanOrders攻擊行動鎖定</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/trojanorder_attacks_rising_november.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/trojanorder_attacks_rising_november.png" style="width: 300px; float: right;" /></a>資安業者Sansec針對Magento電子商務平臺用戶提出警告，他們偵測到名為TrojanOrders的攻擊行動，駭客鎖定Adobe於2月發布修補程式的漏洞CVE-2022-24086，且至少有7個駭客組織發動相關攻擊並互相競爭，這些攻擊者將惡意JavaScript程式碼注入電商網站，研究人員指出，以Magento 2架設的電商網站當中，約有近4成因尚未安裝修補程式，而成為攻擊目標。由於接下來黑色星期五與聖誕節即將來臨，相關的攻擊行動可能會變得更氾濫。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-320a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構遭伊朗駭客入侵，管道是Log4Shell漏洞</span></strong></a></h3> <p>美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）聯手提出警告，該國的聯邦民眾行政機關（FCEB）於今年的6月中旬至7月中旬，疑似遭到伊朗APT駭客的攻擊，駭客入侵的管道是經由該單位使用的遠距工作平臺VMware Horizon，並利用Log4Shell漏洞，進而在內部網路部署XMRig挖礦軟體。這些駭客還會橫向移動至網域控制器（DC），竊取AD帳密資料，然後利用反向代理軟體Ngrok持續在受害組織環境運作。</p> <p>FBI與CISA表示，假若FCEB機關尚未著手修補VMware Horizon的Log4Shell漏洞，應假設駭客已經入侵內部網路並進行調查。</p> <h3><a href="https://www.foxnews.com/world/pro-russian-hackers-claim-cyber-attack-fbi-website"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦調查局傳出遭到俄羅斯駭客Killnet的DDoS攻擊</span></strong></a></h3> <p>根據美國媒體Fox News的報導，挺俄羅斯（Pro-Russia）駭客組織Killnet於11月14日，聲稱對美國聯邦調查局（FBI）網站發動DDoS攻擊，駭客宣稱是為了捍衛俄羅斯的網路空間而發動攻擊。另一家資安業者Better Cyber發現，FBI的網站一度無法存取，使用者會被引導至另一個網站。FBI向該新聞媒體表示，他們正在監控影響網站可用性的資安威脅，但不願多做評論。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154200"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">偷偷記錄用戶位置歷史資料，Google以近4億美元與美國40州和解</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154188"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">培養校園資安人才的金盾獎，數位部成立後重視力道加深</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154233"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">統領百貨遭遇網路攻擊，部分資訊系統受影響，顧客會員系統停擺兩天</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154104"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">【臺灣資安大會直擊】合勤投控資安長游政卿分享6個轉化資安投資的策略</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154210"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google宣布將針對部分Android 13裝置導入隱私沙箱測試版</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154205">【2022年11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154187">【2022年11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</a></strong></strong></strong></p> </div></div></div>
2022/11/17 16:42作者周峻佑https://www.ithome.com.tw/news/154277
AI趨勢周報第200期：成大打造消防AI即時預測火勢，還能整合現有系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1111～11117)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 消防輔助 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 火災逃生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成大 </span></strong></span></p> <p><strong style="font-size: 22px;">成大打造消防AI即時預測火勢，還能整合現有系統</strong></p> <p>成大製造資訊與系統研究所副教授蔡佩璇團隊打造一款消防輔助AI系統，可用來輔助室內消防安全檢測、即時預測室內火災走勢、加速指引民眾緊急逃生等3大層面，而且，這套系統可直接與現有消防系統並行，使用者不必重新建置整套系統。</p> <p>一般來說，消防系統應要有指引逃生、收集火場資訊和環境安全評估的功能，但傳統消防系統常見3種問題，一是逃生路徑是事先規畫的，無法根據火災當下來動態調整逃生路徑。再來是，火場即時資料大多來自感測器，但感測器網路設備容易受到高溫燃燒、氣體擾動影響，進而干擾資訊收集。第3是，目前的環境消防檢測大多仰賴專業人力實地評估檢驗，難以根據最新變動（如大型家具移動）來給予建議。</p> <p>因此，成大團隊先針對火場逃生，開發一套建築數位雙生逃生演算法，來規畫室內逃生路徑。他們利用建築物的資訊，如室內定位系統、室內地圖和火災偵測系統（感測器資訊）來建模，進而算出最安全的動態逃生路徑，並將資訊發送到手機等行動裝置上，協助民眾避開危險區域。團隊實驗發現，與其他現有方法相比，該方法的逃生生存率能有效提高。此外，他們還開發一套快速火災預測方法，可透過火災模擬，快速評估室內環境，也能在火災當下補強即時資訊，規畫出更安全的逃生路徑。</p> <p>為防範未然，成大團隊也打造一套自動化環境檢測工具，透過AI快速地將室內環境虛擬化並自動產生模型，結合火災模擬和物件、材質辨識，來找出引發火災或影響逃生的危險因子。在他們的模擬中，AI系統能根據不同材質，準確推算出不同時間的溫度和煙霧濃度變化值。而整套消防AI輔助系統，可加強現有公寓大樓、廠房倉庫等的消防安全不足之處，也能與現有消防系統並行。<a href="https://www.nstc.gov.tw/folksonomy/detail/22fa021c-2fb2-4801-8dd2-b2fd9442d610?l=ch#start-left">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-11-17%20171530.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 點追蹤 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件追蹤 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>如何準確追蹤移動中物體？DeepMind開源點追蹤基準測試</strong></span></p> <p>對自駕車、監控AI來說，準確辨識移動中物體的表面變化很重要，如旋轉、變形等，DeepMind最近開源一款TAP-Vid基準測試（Benchmark），包含4個資料集，皆由人工標註的追蹤點真實影片和模擬合成影片組成，可用來衡量AI模型對移動物件的辨識準確率。</p> <p>發展基準測試的同時，DeepMind也打造一款物件點追蹤模型TAP-Net，並開源程式碼供開發者使用。團隊指出，以TAP-Vid基準測試結果來看，TAP-Net的表現比傳統點追蹤方法要好，包括光流法和3D重建的運動恢復結構法（SfM）。不過，DeepMind也坦言，他們的研究成果仍有局限，比如仍無法處理液體或透明物體。<a href="https://twitter.com/DeepMind/status/1590029887213273089?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1590029887213273089%7Ctwgr%5E3d79fd86f0e76074d540b2d141847acc5ab38b39%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fgoogles-deepmind-sets-a-new-benchmark-in-object-detection%2F">（詳全文）</a><img alt="" src="https://twitter.com/i/status/1590029887213273089" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961(9).png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台電 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧電表 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微電網 </span></strong></span></p> <p><span style="font-size:22px;"><strong>台電智慧電表大數據發展產業動態指數，目前正打造微電網平臺</strong></span></p> <p>台電公司日前揭露發、輸、配、售等電力系統的轉型應用成果，像是在全臺安裝173萬具AMI智慧電表的基礎上，結合HEMS居家能源管理系統，發展出新應用，將用電異資訊常搭配智慧音箱，來調控家中的家器用電。</p> <p>此外，台電也用AI搭配智慧電表，來發展產業動態指數，也就是以台電用戶用電數據、帳單資訊和產業資料來訓練模型，產生產業動態指數，作為未來各產業發展參考。甚至，這些產業動態指數可透過數據介接，交由資料經銷商來販售，如提供給金融業、政府或其他利害關係人，作商業使用。</p> <p>在配電端部分，台電也已在部分配電變電所部署巡檢機器人，不只可預設巡檢目標、排程，由機器人自動執行外，中控中心也能從遠端遙控機器人至特定點檢测，取代部分維運人力。另一方面，台電也正在樹林區打造微電網平臺，包含儲能系統、主變電站，還有跟市電連結的控制系統，以及PV智慧變流器、電動車與各式儲能。台電表示，透過這座微電網，已可提供計畫性和非計畫性的微電網併網與孤島運轉，未來可打造成虛擬電廠，提供台電更多電能調度。<a href="https://www.ithome.com.tw/news/154093">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-PXL_20221018_075217381.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蛋白質 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ESMFold </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta釋出6億個微生物蛋白質結構，要揪出蛋白質界的「暗物質」</strong></span></p> <p>Meta在11月初發表一套用AI預測的微生物蛋白質結構資料庫，數量高達6億個，是現有最大的高解析度蛋白質預測結構，Meta也提供API，來供研究者取用所需的蛋白質結構。同時，他們也開源用來預測蛋白質結構的大型語言模型ESMFold，預測速度比時下SOTA模型快上60倍。</p> <p>近年來，AI用於蛋白質結構預測有不少突破，比如DeepMind打造AlphaFold2模型，解決50年來的蛋白質折疊預測難題，今年更進一步開源2億個蛋白質結構，幾乎涵蓋地球上所有已知的生命體基因庫。不過，Meta從另一面下手，鎖定總體基因體，也就是來自土壤、海洋、人體內部的微生物蛋白質，要來預測這些蛋白質的結構。因為，這些蛋白質可幫助人類解開進化之謎，也有可能治癒疾病、淨化環境或生產乾淨能源。</p> <p>他們用來預測蛋白質的網路是ESMFold，主要2019年開發的語言模型ESM為基礎。這個模型是自監督模型，能自動在一段話中，填入被遮住的空白處，如To __ or not to __, that is the ________.他們利用這個原理，來讓模型填補空白的蛋白質序列，如GL_KKE_AHY_G，進而探索新結構。這個模型由上百萬個蛋白質序列訓練而成，後來，他們進一步將模型擴展為ESM-2，參數量從800萬增加至150億個。該模型也加速蛋白質結構的預測時間，可比傳統方法快上60倍；Meta指出，他們用2,000顆GPU叢集，2周就完成6億個蛋白質結構預測。<a href="https://ai.facebook.com/blog/protein-folding-esmfold-metagenomics/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/312062054_824222298698283_7847738217102467171_n.png?_nc_cat=110&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=Et1fg8jZxKIAX8ntp3f&_nc_ht=scontent.ftpe7-1.fna&oh=00_AfAlzzgee07XyThrUhserr68XrIVOBG3eqW4-dFR-Ya8zw&oe=637B6393" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音壓縮 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MP3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 元宇宙 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta新AI語音壓縮技術效果比MP3好10倍</strong></span></p> <p>Meta日前發表一款AI音訊壓縮技術，效果比MP3好10倍，方便使用者在低頻寬網路傳送語音或音樂檔案。Meta表示，使用串流多媒體、傳送高品質音樂仍需大頻寬和儲存空間，但若發展元宇宙，就需要更有效的壓縮技術。</p> <p>於是，Meta AI研究部門開發一款AI音訊超壓縮技術，先建立一款包含編碼器、量化器和解碼器的EnCodec模型系統。其中，編碼器可將原始資料轉為高維度和低幀率的格式，量化器則將這格式資料壓縮。量化器經訓練，能將資料壓縮為所需大小，同時保留最重要的資訊。而解碼器，可將壓縮訊息重建為類似原始音訊的波形，FAIR也用GAN的鑑別器，來提升生成樣本的永久品質。</p> <p>在一項1.5kbps到12kbps低位元速率語音壓縮測試中，Meta發現，EnCodec在各種頻寬及音訊品質上，都能在單一CPU核心系統上即時編碼及解碼。而且， EnCodec（6kbps）壓縮率是MP3（64kbps）的近10倍。Meta也將EnCodec技術的程式碼和樣本公布在GitHub上，並發表技術白皮書。<a href="https://ai.facebook.com/blog/ai-powered-audio-compression-technique/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vision Studio </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出圖形介面電腦視覺工具Vision Studio</strong></span></p> <p>微軟發布圖形介面電腦視覺工具Vision Studio，用戶就算沒有技術基礎，也能探索電腦視覺功能，甚至採用微軟提供的客戶端函式庫和REST API，來部署電腦視覺應用。</p> <p>在Vision Studio中，每個電腦視覺功能都有一個或多個試用功能，用戶可用自己的圖像，或微軟提供的範例圖像來測試。Vision Studio還提供光學字元辨識（OCR）功能，供用戶從圖像和文件中，擷取印刷或手寫文字，另，Vision Studio也能進行空間分析，辨識影片裡的人物和人物的移動，並產生其他系統可回應的事件。至於圖像分析功能，則能從影像中擷取視覺特徵，如物件、臉部、成人內容，甚至是自動生成文字描述（圖說），來改善無障礙功能。<a href="https://azure.microsoft.com/zh-tw/blog/introducing-vision-studio-a-uibased-demo-interface-for-computer-vision/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 抖音 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 推薦系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Monolith </span></strong></span></p> <p><span style="font-size:22px;"><strong>抖音為何推這支影片？字節跳動揭露推薦系統架構</strong></span></p> <p>抖音母公司字節跳動前陣子發表論文，揭露抖音使用的即時推薦系統Monolith主要架構，具參數同步和高容錯兩大優勢。團隊表示，即時推薦對許多有時效性的業務很重要，如線上廣告、短影片排序，但現有的通用深度學習框架如TensorFlow、PyTorch，仍難以滿足推薦業務需求。因為，這些基於密集運算和靜態參數的調整系統，利用動態參數來推薦，因此影響模型品質。而且，這些框架的設計，並未整合批次訓練和正式上線這2階段，無法即時根據顧客需求來修正模型。</p> <p>於是，團隊首先設計一套無碰撞嵌入表格（Collisionless embedding table）並進行優化，以可終止嵌入和頻率過濾來降低記憶體用量；再來，他們打造高容錯性、隨時可正式上線的線上訓練架構，而且，他們的設計，可透過系統穩定性來換取即時的模型學習，更貼近即時回應的業務需求。字節跳動表示，這個推薦系統現已用於自家產品BytePlus Recommend上。<a href="chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://arxiv.org/pdf/2209.07663.pdf">（詳全文）</a></p> <p><img alt="" src="https://lh4.googleusercontent.com/-JhcCP67xEPK21fKRXVigZ0VcQkf_28JXRArfEN0NmWR9LDrjQbsjBGhWDPPJCnvsXrn874171ScdhuAcg5fZ_b5zxas4ulxqk4xTTxTttPdcf5-UOvpwY_V5a5nOEdc02x1-aDlPVC82ltgDKHiC_lQVO_mBlWmgjtjouRJUrnFcGJG7pKL_LUy6npfDg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CaP </span></strong></span></p> <p><span style="font-size: 22px;"><strong>機器人也能寫程式！Google揭露新AI模型</strong></span></p> <p>Google日前在AI大會上展示一款模型，可讓機器人寫程式，而且不需大量資料訓練。這款模型叫做Code as Policies（CaP），也就是將語言模型產生的程式，以實體機器人執行。CaP是以Google先前開發的幫手機器人模型PaLM-SayCan為基礎，根據Python通用語言少量、簡單的說明，就能讓語言模型撰寫機器人程式碼，並由機器人精準執行。Google的目的，是要讓單一系統執行多種複雜任務，不需特別訓練。</p> <p>研究人員解釋，CaP使用一種程式碼撰寫模型，在提供了暗示（如告知它有哪些API）及範例（如命令該如何轉成程式碼）後，就能為新命令撰寫新程式碼，像是重寫API呼叫、合成新函式，表達回饋循環，以程式語言表達出來，在runtime組成新行為。目前，Google也將CaP的程式碼及技術白皮書在GitHub上開源。<a href="https://ai.googleblog.com/2022/11/robots-that-write-their-own-code.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gartner </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自適應 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 即時 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Gartner預測2023年：自適應AI更為重要</strong></span></p> <p>Gartner揭露2023年十大科技趨勢預測，強調自適應AI（Adaptive AI）將越發重要，模型得根據不斷變化的環境，來調整預測。進一步來說，自適應AI要求系統要能根據即時回饋，來修正輸出值，適應不斷變化的環境，甚至邁向線上訓練、線上推論的方向。</p> <p>另一方面，Gartner認為，接下來將出現更多超級App（Superapps），也就是一款集應用、平臺和生態體系的應用程式。它不只有自己的功能，也提供平臺給第三方開發和發布自己的微應用程式，如微軟Teams、Slack等。他們預測，到2027年，全球50%以上的人口將成為超級App的日活躍用戶。不過，Gartner也點出，AI信任、風險和安全會是明年的重要課題，企業需確保模型的可靠性、可信度和數據保護，且需不同部門來聯手落實。<a href="https://www.gartner.com/en/articles/gartner-top-10-strategic-technology-trends-for-2023">（詳全文）</a></p> <p>圖片來源／成大、DeepMind、Meta、字節跳動</p> <p>攝影 / 余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google優化BigQuery文字分析能力，正式推出高效搜尋功能</strong></p> <p><strong>2. IBM發布433量子位元的新一代量子處理器Osprey</strong></p> <p>資料來源：iThome整理，2022年11月</p> </div></div></div>
2022/11/17 17:30作者王若樸https://www.ithome.com.tw/news/154281
微軟推出SQL Server 2022
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在微軟<a href="https://cloudblogs.microsoft.com/sqlserver/2022/11/16/sql-server-2022-is-now-generally-available/">SQL Server 2022</a>正式上市，這個版本無論是在效能、安全性和可用性都獲得提升，同時微軟也進一步強化SQL Server的雲端功能，藉由與Azure緊密連結，包括Azure Synapse Link和Microsoft Purview，使用戶能夠大規模且迅速地執行資料分析、預測和治理。</p> <p>SQL Server 2022添加與Azure SQL託管執行個體連結整合，使用戶能夠獲得災難恢復PaaS環境支援，確保資料庫持續正確運作，與IaaS環境相比，用戶能夠進一步減少管理和配置的時間，微軟解釋，Azure SQL託管執行個體連接功能，是透過在SQL Server 2022內建分散式可用群組（DAG）實作，將資料複製到Azure SQL執行個體，並把該執行個體當作災難恢復複製站點，或者，用戶也可以利用此讀取擴充方案，來分擔影響資料庫效能的繁重請求。</p> <p>過去用戶要將資料從本地資料庫移動至分析服務Azure Synapse，需要執行擷取、轉換和載入（ETL）過程，但是配置和運作ETL工作管線非常耗時，因此分析結果往往延遲許久，也就是說，用戶難以即時應用分析結果，SQL Server 2022所提供的Azure Synapse連結，能夠自動捕捉SQL Server的更新，並用於資料分析上，讓用戶可獲得接近即時的分析。</p> <p>當資料進到Synapse中，用戶便可以將其混合不同資料源，並使用Azure機器學習、Spark或Power BI進行分析，由於SQL Server 2022只會推送更改的內容，因此資料傳輸速度很快，能夠以對資料庫效能影響最小的方式，以接近即時的速度分析資料。而SQL Server 2022現在也與微軟統一資料治理和管理服務Purview整合，以強化資料探索打破資料孤島。</p> <p>SQL Server 2022的效能更新，讓用戶無需更改應用程式，就可以獲得效能強化，而在安全性更新上，微軟提到過去10年，SQL Server幾乎沒有出現漏洞，在最新版本加入Ledger for SQL Server功能，藉由紀錄資料修改歷程創建防篡改追蹤。</p> <p>微軟在推出SQL Server 2022的同時，也推出新的計費模式，透過連接Azure Arc，用戶現在可以使用SQL Server雲端計費模型，按使用量支付費用。微軟也針對物聯網使用，發布SQL Server IoT 2022。</p> </div></div></div>
2022/11/17 16:54作者李建興https://www.ithome.com.tw/news/154275
思科宣布組織重整，將裁撤5%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路設備大廠思科（Cisco）周三（11/16）<a href="https://investor.cisco.com/news/news-details/2022/CISCO-REPORTS-FIRST-QUARTER-EARNINGS/default.aspx" target="_blank">公布截至今年10月29日的2023財年第一季財報</a>，顯示該公司營收成長6%，但淨收入下滑了10%，同時宣布組織重整計畫，包括減少員工人數，思科並未公布裁員規模，但根據<a href="https://www.bizjournals.com/sanjose/news/2022/11/16/cisco-announces-600m-restructuring-layoffs.html?page=all" target="_blank">《Silicon Valley Business Journal》</a>的報導，該公司準備裁撤4,100名人力，約占思科總員工數的5%。</p> <p>思科該季創下136億美元的營收，成長6%，淨利為27億美元，下滑10%，每股盈餘為0.65美元，亦比去年同期減少7%。在136億美元的營收中，有102.5億美元來自產品，高於去年的95.3億美元，另有33.9億美元來自服務，略勝去年同期的33.7億美元。</p> <p>思科並未揭露太多組織重整的細節，也未公布裁員規模僅說將重新平衡組織，以在未來進行關鍵領域的投資，當中包括人才的流動與重組。思科預期將產生6億美元的重組費用，包括遣散費及一次性的解僱福利，再加上處分思科房地產投資的費用，當中的3億美元將在2023財年的第二季認列。</p> <p>截至今年7月30日，思科的全球員工數為8.33萬名。</p> </div></div></div>
2022/11/17 15:05作者陳曉莉https://www.ithome.com.tw/news/154254
Amazon證實正在裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2022/11/14/technology/amazon-layoffs.html" target="_blank">《紐約時報》</a>（New York Times）在本周一（11/14）披露，Amazon即將於本周展開裁員行動，規模約為1萬名員工，周三（11/16）負責裝置與服務的<a href="https://www.aboutamazon.com/news/company-news/a-team-update-from-dave-limp" target="_blank">Amazon副總裁Dave Limp</a>便透過內部備忘錄證實了此一消息，惟未公布裁員規模。</p> <p>Limp表示，Amazon持續面臨著不尋常且不確定的整體經濟環境，在經過審慎的考量後，決定整合某些團隊與專案，此一決策的後果之一就是不再需要某些角色。因此，Amazon已於周二（11/15）開始通知受影響的員工，包括協助這些員工於Amazon內部找到適合的角色，或是提供離職津貼及外部就業支持。</p> <p>Limp僅負責Amazon的裝置與服務，且Amazon發言人Kelly Nantel也向媒體證實，現在的經濟情勢使得Amazon不得不調整某些團隊的規模，這使得外電猜測這只是Amazon裁員行動的一部分，其它部門應該也會受到影響。</p> <p>截至今年第三季，<a href="https://ir.aboutamazon.com/news-release/news-release-details/2022/Amazon.com-Announces-Third-Quarter-Results/default.aspx" target="_blank">Amazon的全球員工數為154.4萬人</a>，倘若紐時所報導的數字是正確的，那麼這波Amazon的裁員行動還低於其全球員工數的1%。</p> </div></div></div>
2022/11/17 13:37作者陳曉莉https://www.ithome.com.tw/news/154241
影響我的重大語言
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為開發者，在程式開發的生涯裡，基本上，不會只學習一種語言，有時是為了工作的需要，可能是因為好奇，或者是想從中學習到某些觀念、思想、典範或設計的方式，如果你曾經學習多種語言，當中有哪些是對你後續影響特別重大的？</p> <p>我本身學過多種語言，理由也是各式各樣，有些語言在學習後，確實對後續的我有著重大影響，不過，在談到是哪些語言之前，我必須先聲明：這只是我個人的順序，每個人接觸語言的順序畢竟各不相同，就我而言，可能是接觸了A語言後感覺衝擊，後續接觸B語言，因為已經熟知相關概念，衝擊性就沒那麼大了，而對於其他人而言，可能是先B後A，相對地，B語言對他的重要性就會比較大一些。</p> <p><span style="font-size:28px;"><strong>Java</strong></span></p> <p>對我而言，第一個覺得影響重大的語言是Java，在接觸Java的那個時間點，Java正是聲勢上揚之際，充滿著大量的學習資源，這包含了大量的實體書。可以從大量實體書裡系統化學習，為日後的我奠定了重要的基礎，即便至今日，許多的文件資源，都可以從網路上搜尋而得，我依舊覺得實體書是系統化學習的重要媒介。</p> <p>那個年代也正是網際網路興起的年代，Java對我而言重大的另一原因，就是社群討論，一群人聚集在JavaWorld[@]TW，發問、回答、吵架、寫文件、打屁聊天，過程中累積起來了許多知識，那也是段快樂的時光，當時凝聚出來的向心力，甚至會讓人在JavaWorld[@]TW偶而掛點、無法上論壇時，就會覺得渾身不對勁，那種論壇參與感，在至今各式各樣討論區裡，都未曾再感受到。</p> <p>當年也是百花齊放的年代，有著各種開放原始碼的程式庫與框架，程式庫與框架本身就代表著某種經驗或設計概念，就算過去未曾接觸過相關開發，單是從程式庫、框架學習，就能獲益良多，由於是開放原始碼，必要時還能直接從原始碼一窺細節。</p> <p><span style="font-size:28px;"><strong>Scala</strong></span></p> <p>對我而言，第二個覺得重要的語言是Scala，當時接觸的動機是好奇，想知道作為一門可運行在JVM、可與Java互操作的Java.next語言是怎麼一回事，然而，我從中受到的衝擊，是首次接觸到函數式程式設計典範。</p> <p>回顧過去，我是從《Programming in Scala》系統化地學習Scala，從中初次感受到函數式的衝擊，儘管就現今來看那時留下的筆記文件，當初體會到的函數式思想也只是一知半解，然而，Scala為我開啟了函數式程式設計大門的事實，卻是不變的。</p> <p>作為一門Java.next，Scala試圖融合物件導向與函數式程式設計，雖然Scala沒能成為Java.next，然而，它帶給Java的影響重大，就現今的Java來看，確實有著不少Scala的元素，像是Lambda、record class、sealed class、模式比對等。</p> <p><span style="font-size:28px;"><strong>JavaScript</strong></span></p> <p>開發者如果學習過靜態定型語言，接觸動態定型語言也會是另一個必要的功課，反之亦然，畢竟動態定型與靜態定型間的設計方式有時截然不同，特別是在思考物件的行為，而不是型態這方面。</p> <p>我接觸過幾門動態定型語言，其中對我影響比較大的是JavaScript，理由有幾個，首先它是基於原型的（prototype-based）物件導向，這讓熟悉基於類別的我花了不少時間，思考兩者設計方式之不同，而不是一味地想以原型的概念模擬類別。</p> <p>另一個理由是一級函式，雖然Scala也有一級函式的概念，我卻是在JavaScript裡，看到了各種神乎奇技的應用，因為我接觸時的JavaScript並不成熟（ES3），然而正因為不成熟，而發展出許多奇技淫巧，其中多半就是基於原型與一級函式的應用。</p> <p>另一方面，也因為這些奇技淫巧，稍微讓我看到一些程式語言的底層，具體來說就是meta程式設計的概念，而這些底層概念，在後來我試著<a href="https://bit.ly/3VIOD0A" target="_blank">〈打造玩具語言〉</a>時，其中一些語法樹的實現，就是受到了JavaScript的影響。</p> <p><strong><span style="font-size:28px;">Haskell</span></strong></p> <p>由於JavaScript具有一級函式的概念，不少人會用它來談函數式程式設計，由於從Scala、JavaScript看函數式，對我來說，總是有種隔著薄紗的朦朧感，於是，我決定學習一門真正的函數式程式設計語言，也就是Haskell。</p> <p>Haskell對我影響深遠，特別是在代數資料型態的部分，因為代數資料型態是基於資料的結構來構成型態，新型態的構成來自於型態與型態的結合，具體而言，就是Sum型態與Product型態，也正因為代數資料型態，我真正看清了map/filter/fold等真正的意義，也才知道原來模式比對是這麼一回事。</p> <p>作為純函數式語言，Haskell對一級函式的支援是相當徹底的，Closure、Curried函式等，在Haskell是極為自然的存在，也因此才能進一步發展出函式合成，從而構成Functor、Applicative、Monad等高階抽象，這些高階抽象在Haskell裡相當自然，然而，在命令式語言裡試圖模仿卻顯得複雜。</p> <p>對於開發者，特別是從命令式語言接觸到函數式元素開發者，我總是會建議：有機會的話，應該學習一門純函數式語言，這會讓你在命令式語言使用函數式元素時，更得心應手，也能在傳達函數式概念時，不致於出現一些似是而非的觀念。</p> <p><span style="font-size:28px;"><strong>OpenSCAD</strong></span></p> <p>近期影響我最多的語言是OpenSCAD，一開始對它只是玩票性質，想知道使用程式語言來建模，可以做到什麼樣的3D模型效果，然而，OpenSCAD卻成為我進入數學、幾何領域的重要語言，也接觸了許多過去想都沒想過的演算法。</p> <p>OpenSCAD的變數特性，令程式在撰寫時，必須使用變數不可變的方式，使得OpenSCAD被視為具有函數式程式設計典範的語言，嚴格來說，它在其他函數式方面的支援並不齊全。然而，其實基於不可變撰寫程式，是許多開發者進入函數式的門檻之一，因為撰寫過大量的OpenSCAD程式碼，使得我在處理不可變方面的經驗豐富起來，連帶也提升了函數式方面的能力。</p> <p>雖然我建議開發者認識純函數式語言，不過，我本身並沒有使用Haskell做過任何的東西，學習Haskell目的在於啟發；然而，使用OpenSCAD的時間久了，<a href="https://bit.ly/3D8Jzex" target="_blank">也讓我逐漸建立起自己的開放原始碼程式庫dotSCAD</a>，並成為官方推薦的程式庫之一。</p> <p><span style="font-size:28px;"><strong>語言的學習路徑</strong></span></p> <p>再次強調，我列出的語言順序並不重要，沒列出的語言，也不代表它不重要，純粹只是我本身接觸語言的順序罷了；然而，像這樣回顧為何某個語言對我重要，也間接呈現出一種語言學習的路徑。</p> <p>例如，對於初學者而言，應該選擇學習資源豐富、社群熱絡的語言，這可以讓你快速成長；後續可以選擇具有不同設計概念、典範的語言，認識不同的開發方式；如果對某個典範看不清，最好選擇一個純粹支援該典範的語言；如果語言著重在某個領域，或許也值得學習，它可能成為你入門某個領域的基礎；然後，最重要的是，無論哪個語言，大量地撰寫程式碼，可以實現出自己的作品。</p> <p>你是不是也學習過多個語言？有哪些語言對你而言是影響重大的呢？試著回顧看看吧！或許可以發現自己與眾不同的語言學習路徑呢！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/11/17 14:06作者林信良https://www.ithome.com.tw/voice/154242
微軟與Nvidia擴大雲端AI超級電腦合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-microsoft-accelerate-cloud-enterprise-ai" target="_blank">Nvidia本周宣布</a>，已與微軟簽署多年合作協議，以於微軟Azure超級電腦運算架構上整合Nvidia的GPU、網路與AI軟體，以協助企業訓練及部署大規模的AI模型。</p> <p><a href="https://www.ithome.com.tw/news/144812" target="_blank">去年6月</a>，雙方便共同於Azure上提供基於Nvidia A100 GPU叢集的超級電腦服務，號稱為全球首個整合Nvidia AI能力的公有雲，現有的Azure實例配備Nvidia A100 GPU與Nvidia Quantum 200Gb/s InfiniBand網路，未來的實例將會整合Nvidia H100 GPU與Nvidia Quantum 2 400Gb/s InfiniBand網路。</p> <p>Nvidia說，結合先進的Azure雲端運算架構、網路與儲存能力，這些針對AI進行最佳化的產品將可替各種規模的AI訓練與深度學習推理，帶來可擴展的峰值效能。</p> <p>此外，雙方也會合作以最佳化微軟的DeepSpeed深度學習最佳化軟體，Nvidia針對Azure進行最佳化的AI工程流程與軟體開發套件，未來亦可供Azure客戶使用。</p> </div></div></div>
2022/11/17 12:47作者陳曉莉https://www.ithome.com.tw/news/154238
Evernote要賣給義大利的行動程式開發商Bending Spoons
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://evernote.com/blog/evernote-next-move-joining-bending-spoons/" target="_blank">2000年於美國創立的筆記與任務管理軟體Evernote周三（11/16）宣布</a>，即將出售給義大利的行動程式開發商Bending Spoons，雙方並未公布交易金額，僅說預計於明年初完成交易。</p> <p>Evernote創立時的概念很容易理解，它打算成為人們在運算裝置上的數位筆記本，它支援Windows、macOS，也有Web版，之後也進駐了Android及iOS版本，在2013年的估值接近10億美元。Evernote提供免費及付費訂閱版，主要是儲存量與功能上的差異，目前它支援25種語言，全球用戶數超過2.5億，每年的經常性收入約為1億美元。</p> <p><a href="https://bendingspoons.com/products" target="_blank">至於Bending Spoons則是2013年才創立的行動程式開發商</a>，旗下產品包括影片編輯程式Splice、照片復原程式Remini與健身程式30 Day Fitness等，也曾替義大利政府打造COVID-19追蹤程式Immuni。</p> <p><a href="https://www.prweb.com/releases/bending_spoons_to_acquire_renowned_productivity_app_evernote_to_enhance_suite_of_consumer_facing_digital_products/prweb19024575.htm" target="_blank">Bending Spoons執行長Luca Ferrari表示</a>，該公司的使命就是替客戶、員工與社會帶來正面的影響，每天全球都有數百萬使用者仰賴Evernote來組織他們的生活，讓Evernote成為非常適合Bending Spoons的產品。Evernote則說，與Bending Spoons的合作將可加速Evernote各個方案的功能改善與交付速度。</p> </div></div></div>
2022/11/17 11:51作者陳曉莉https://www.ithome.com.tw/news/154235