iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 13:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】3月13日，資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是資安業者傳出資料外洩事故！這次Acronis事故與過往有所不同的是，疑似客戶的帳密遭竊，而導致回傳給技術支援團隊的組態資料外洩。但為何客戶的帳密遭竊？該公司沒有說明。</p> <p>Go語言殭屍網路病毒GoBruteforcer針對多種應用系統而來的攻擊行動也值得留意，這些駭客專門針對特定的資料庫、網頁管理系統、檔案共用伺服器而來，而且，其惡意軟體同時針對x86及Arm的類Unix主機下手。</p> <p>想要透過LinkedIn求職的資安人員要提高警覺！北韓駭客組織假借這類名義找尋攻擊目標，並透過測試研究人員能力為由來散布惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.securityweek.com/acronis-clarifies-hack-impact-following-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Acronis傳出資料外洩，該公司表示流出的資料為單一客戶所有</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Acronis_hack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Acronis_hack.png" style="width: 300px; float: right;" /></a>資安業者Acronis傳出資料外洩，有人在3月9日於駭客論壇BreachForums，宣稱竊得12 GB的Acronis內部檔案，包含憑證、命令記錄、系統組態、檔案系統存檔、指令碼、備份組態資料等。對此，該公司資安長Kevin Reed表示，這些是單一客戶上傳的診斷資料，疑似存取Acronis技術支援服務的帳密外流而造成。</p> <p>該公司已暫時封鎖此客戶上傳的管道，並通報執法機關、提供合作夥伴入侵指標（IoC）。Kevin Reed強調，根據他們的調查，該公司旗下產品沒有受到影響。</p> <p><a href="https://unit42.paloaltonetworks.com/gobruteforcer-golang-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MySQL、phpMyAdmin、Postgres系統遭到惡意軟體GoBruteforcer鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gobruteforcer-F1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gobruteforcer-F1-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露殭屍網路GoBruteforcer的攻擊行動，駭客以Go語言打造此惡意軟體，而具備能在x86及Arm架構的類Unix電腦執行的特性。</p> <p>攻擊者先是尋找網路上開啟特定連接埠的主機，疑似透過弱密碼的破解而入侵目標設備，若是該主機部署了phpMyAdmin，攻擊者便會植入IRC機器人程式，反之，則會於目標主機部署PHP打造的Web Shell，但無論是IRC機器人還是Web Shell，目的都是用於C2通訊。</p> <p>研究人員指出，一旦成功入侵目標系統，GoBruteforcer就會開始掃描phpMyAdmin、MySQL、FTP、Postgres服務，針對這些系統發動攻擊。此外，該殭屍網路病毒還會掃描CIDR路由的網段，來進行橫向感染。</p> <p><a href="https://thehackernews.com/2023/03/north-korean-unc2970-hackers-expands.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</span></strong></a></p> <p>資安業者Mandiant揭露名為UNC2970的北韓駭客組織攻擊行動，駭客自2022年6月，針對歐美科技與媒體公司的資安人員下手，假借徵才的名義從職場社群網站LinkedIn尋找攻擊目標，並要求資安人員使用WhatsApp通訊，或是透過電子郵件的管道，發動網路釣魚攻擊，傳送含有惡意巨集的Word檔案，進而散布被改造成木馬程式的TightVNC遠端存取軟體（研究人員稱為Lidshift）。</p> <p>一旦資安人員依照指示執行TightVNC，就會啟動Lidshift的多項功能，例如，將訊號回傳C2伺服器，並將惡意程式下載器Lidshot注入被改造成木馬程式的記事本軟體Notepad++外掛程式，然後在記憶體內執行。而為了取得核心層級的權限，駭客也採取自帶驅動程式（BYOVD）手法，利用含有漏洞的華碩驅動程式Driver7.sys，執行另一個惡意程式Lightshow。</p> <p>此外，研究人員也發現駭客於受害電腦部署後門程式Plankwalk，並透過另一個惡意軟體Touchshift側錄用戶輸入的內容及擷取螢幕畫面。為了隱匿行蹤，駭客入侵WordPress網站架設C2，並透過加密通道連線應用程式Hookshot來進行通訊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-critical-vmware-rce-flaw-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告VMware Cloud Foundation重大漏洞已出現攻擊行動</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月10日更新已遭利用漏洞名單（KEV），其中新增了開源程式庫XStream漏洞CVE-2021-39144（CVSS風險評分9.8分），藉由這個弱點，攻擊者在無需未經身分驗證的狀態下，即可取得root權限，遠端執行任意程式碼（RCE），且過程完全不需要使用者互動。</p> <p>值得留意的是，這項漏洞被CISA納入的原因，很有可能與先前VMware終止支援NSX Data Center for vSphere（NSX-V），卻因漏洞遭到鎖定的事情有關，VMware去年10月為該系統破例提供修補程式。值得留意的是，這樣的漏洞不光波及已終止支援的產品，也影響Cloud Foundation 3.11版。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-actively-exploited-plex-bug-after-lastpass-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對網路電視Plex多媒體伺服器漏洞提出警告，傳出可能是駭客用於入侵LastPass工程師的管道</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月10日，將網路電視Plex在3年前公布的多媒體伺服器高風險漏洞CVE-2020-5741，列入已遭利用漏洞（KEV）名單，此漏洞允許具有管理員權限的攻擊者遠端執行Python程式碼，且過程完全不需要使用者互動，CVSS風險評分為7.2分。</p> <p>綜合科技新聞網站Ars Technica、資安新聞網站Bleeping Computer的報導，LastPass遭駭就是上述漏洞而起。根據科技新聞網站Ars Technica的報導，密碼管理服務業者LassPass去年8月遭駭的事件裡，駭客攻擊高階工程師的家中電腦而取得相關權限，所利用的漏洞來自網路電視Plex的應用程式，再加上Plex恰巧也在同月發布客戶資料外洩的公告，資安新聞網站Bleeping Computer認為，駭客利用的漏洞很有可能就是CVE-2020-5741。</p> <p><a href="https://www.bleepingcomputer.com/news/security/staples-owned-essendant-facing-multi-day-outage-orders-frozen/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Staples旗下文具用品公司Essendant業務中斷，起因可能是遭遇網路攻擊</span></strong></a></p> <p>大型文具用品批發業者Staples旗下公司Essendant（前身為United Stationers）傳出在3月6日晚間發生營運中斷的現象，波及客戶、供應商、貨運公司，根據資安新聞網站Bleeping Computer的報導，該公司自7日向客戶發出通知，表示他們面臨全網路中斷（Network-wide outage）的現象，導致客戶無法下單或是聯繫客服。</p> <p>Essendant於12日再度公布此事故的處理情形，表示他們即將復原部分系統，並對於已經在3月6日出貨的訂單，他們需要幾天的時間才能提供對應的貨號。然而，目前客戶仍然無法下單，該公司也要求其他的供應商暫停發貨。</p> <p>雖然Essendant並未透露系統中斷的原因，但Bleeping Computer認為很有可能是網路攻擊造成。</p> <p><a href="https://www.bleepingcomputer.com/news/security/blackbaud-to-pay-3m-for-misleading-ransomware-attack-disclosure/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對2020年勒索軟體事故，雲端服務業者Blackbaud支付300萬美元罰款</span></strong></a></p> <p>2020年雲端服務業者Blackbaud遭到勒索軟體攻擊，影響逾1.3萬客戶，美國證券交易所（SEC）指控該公司並未如實揭露此起資安事故帶來的影響。最近Blackbaud為了解決SEC提出的訴訟，決定支付300萬美元的民事罰款，但值得留意的是，該公司並未承認或否認SEC的調查結果。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://claroty.com/team82/research/the-silent-spy-among-us-modern-attacks-against-smart-intercoms"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國Akuvox智慧門鈴存在漏洞，可被用於控制攝影機或打開門鎖</span></strong></a></p> <p>資安業者Claroty在中國智慧門鎖Akuvox E11發現13個漏洞，這些漏洞可被用於在區域網路裡遠端執行任意程式碼（RCE），或是遠端啟動視訊鏡頭及麥克風，並將錄下的影片和聲音傳給攻擊者，此外，攻擊者還能存取外部不安全的FTP伺服器，下載該系統留存的圖片和資料。</p> <p>值得留意的是，這些漏洞迄今尚未得到修補──研究人員在2022年1月開始試圖向Akuvox通報未果，後來透過美國電腦網路危機處理暨協調中心（CERT/CC）進行溝通，該公司也沒有做出回應，到了12月，研究人員決定尋求美國網路安全暨基礎設施安全局（CISA）協助，但對方依然沒有回覆。</p> <p>於是，Claroty、CISA於3月9日公布漏洞細節，並指出其中最嚴重的漏洞是寫死root帳號密碼CVE-2023-0345，CVSS風險評分達9.8分。</p> <p><a href="https://cybernews.com/security/bmw-exposes-italy-clients/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">BMW義大利網站洩露網頁應用系統的開發資料</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員發現義大利BMW網站上，曝露了開發環境配置檔案（.ENV）和分散式版本控制系統Git的組態檔案（.GIT），並認為攻擊者一旦存取這些檔案，有機會將其用於偵察內部網路環境，尋找、收集各式系統資訊，或是找出儲存客戶資料的裝置竊密，甚至有可能找出網站可利用的漏洞。</p> <p>研究人員指出，上述的敏感檔案是由該公司開發網頁應用程式的PHP框架Laravel產生，而此次相關資料之所以暴露在外，很有可能是2017年該框架揭露的資安漏洞所致。BMW義大利分公司獲報後，已著手修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.akamai.com/blog/security/record-breaking-ddos-in-apac"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Akamai亞太客戶遭到大規模DDoS攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-onenote-to-get-enhanced-security-after-recent-malware-abuse/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對惡意軟體濫用OneNote散布的事件頻傳，微軟打算加強防護措施</span></span></strong></a></p> <p><a href="https://eprint.iacr.org/2022/1713"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府採用的對抗量子運算的加密演算法出現漏洞</span></span></strong></a></p> <p><a href="https://flashpoint.io/blog/bitwarden-password-pilfering/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">密碼管理器Bitwarden出現漏洞，攻擊者有機會藉由iframe竊取密碼</span></span></strong></a></p> <p><a href="https://therecord.media/israel-technion-ransomware-attack-iran-darkbit-muddywater"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列大學傳出遭到伊朗駭客發動勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.qnap.com/zh-tw/news/2023/qnap-%E5%95%9F%E5%8B%95%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E7%8D%8E%E5%8B%B5%E8%A8%88%E7%95%AB-%E7%A9%8D%E6%A5%B5%E5%AE%88%E8%AD%B7%E8%B3%87%E5%AE%89%E7%A2%BA%E4%BF%9D%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">威聯通啟動漏洞獎勵計畫</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155867">【3月10日】 SonicWall的SSL VPN設備遭到中國駭客鎖定、Oracle Weblogic Server被用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155854">【3月9日】惡意軟體QBot以微軟OneNote檔案散播攻擊的態勢升溫、Fortinet防火牆與網頁安全閘道存在重大漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155833">【3月8日】 ChatGPT被用於投資詐騙攻擊、Windows信任的資料夾被用於繞過使用者帳號控制防護措施</a></strong></p> </div></div></div>
2023/3/13 17:17作者周峻佑https://www.ithome.com.tw/news/155893
Go語言開發的殭屍惡意軟體GoBruteforcer，能聰明掃描網頁伺服器並嘗試暴力破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks旗下的威脅情報團隊Unit 42，最近發現了一個使用Go語言所開發的殭屍網路惡意軟體<a href="https://unit42.paloaltonetworks.com/gobruteforcer-golang-botnet/">GoBruteforcer</a>，能夠掃描並感染網頁伺服器，諸如執行phpMyAdmin、MySQL、FTP和Postgres服務的伺服器。GoBruteforcer相容於x86、x64和Arm架構，資安人員表示，GoBruteforcer仍在積極開發中，攻擊者改進其策略和惡意軟體的能力。</p> <p>GoBruteforcer會選擇一個無類別域間路由（CIDR）區塊，對該CIDR區塊所有IP位址進行掃描，以找出網路中不同IP位址的各種目標主機，像是當GoBruteforcer發現連接埠80開啟，並找到phpMyAdmin服務，便會暴力破解法嘗試登入並且存取受害這伺服器。一旦GoBruteforcer透過phpMyAdmin服務成功入侵受害者伺服器，就能夠在伺服器上部署並執行IRC機器人，IRC機器人充當命令與控制頻道，使惡意攻擊者能夠與受害者伺服器保持通訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gobruteforcer-F1-1.png" style="width: 580px;" /></p> <p>GoBruteforcer也會搜尋連接埠3306和5432尋找MySQL和Postgres服務，並且使用特定的用戶名和密碼嘗試存取受害者的資料庫，或是以同樣手法從連接埠21入侵FTP伺服器。之後，GoBruteforcer還會嘗試使用PHP網頁殼層（Web Shell）查詢受害者系統。</p> <p>遭成功入侵的伺服器 /.x/目錄下，可以發現一個名為cache_init的檔案，不過目前研究人員尚未找出，GoBruteforcer和PHP網頁殼層活動的初始感染媒介。PHP網頁殼層是一種由PHP開發的小程式，攻擊者透過將這些小程式植入到網頁伺服器中，方便從遠端存取和操作伺服器。</p> <p>研究人員從GoBruteforcer惡意軟體雜湊研究得知，GoBruteforcer主要針對類Unix平臺，包含x86、x64以及Arm架構的版本，研究人員猜測，之所以惡意攻擊人員會刻意挑選作業系統，是因為類Unix作業系統是託管伺服器的熱門選擇。</p> <p>由於GoBruteforcer可能正處在積極開發的階段，所以研究人員推測之後GoBruteforcer的初始感染媒介，或是有效負載可能會發生變化。GoBruteforcer的特別之處之一，在於使用Go程式語言開發，而研究人員也提到，Go越來越受惡意程式開發者歡迎，並且也被證實可以用於開發勒索軟體、竊取程式、遠端存取木馬，現在也被發現可用於開發殭屍網路惡意程式。</p> <p>另外，GoBruteforcer具有多重掃描功能能夠發現廣泛的目標，而且使用暴力破解法猜出伺服器管理密碼，因此對使用較弱或是預設密碼的網頁伺服器，可能造成嚴重資安威脅。</p> </div></div></div>
2023/3/13 16:59作者李建興https://www.ithome.com.tw/news/155889
【資安週報】2023年3月6日到3月10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周的漏洞消息中，最受關注的是有應用程式漏洞檢測業者警告，已出現針對程式庫XStream CVE-2021-39144漏洞的攻擊行動，而在漏洞修補消息上，以Jenkins，Fortinet與Veeam的漏洞修補與揭露值得留意。另外我們要提醒的是，關於最新的漏洞利用情形，除了上述XStream的漏洞，還有4個是前兩年的已知漏洞，雖然本周iThome資安新聞尚未提到，但近期都已確認出現鎖定利用情形，同樣需要優先重視，包括：Plex Media Server（CVE-2020-5741），Zoho ManageEngine（CVE-2022-28810），Apache Spark（CVE-2022-33891），以及Teclib GLPI（CVE-2022-35914）的漏洞。</p> <p>資安防護態勢上，零信任（Zero Trust）網路安全防護策略持續受到全球重視，最近有調查機構指出開始制定相關策略的歐洲組織，從兩年前的比例是四分之一，到2022年，比例已提升至三分之二，顯現更積極且普遍的態勢。</p> <p>在資安威脅焦點方面，首先是ChatGPT仍是主要話題，因此近來仍持續被發現有冒牌平臺的惡意活動，還有三個威脅態勢可以留意，包括：以規避而言，有資安業者持續對惡意軟體QBot透過微軟筆記軟體OneNote檔案散布的活動提出警告，木馬程式Remcos RAT的攻擊可規避系統內建UAC機制的揭露；以漏洞攻擊而言，有HiatusRAT的木馬程式鎖定居易Vigor 2960、3900路由器攻擊，上百企業受害的狀況曝光；以安全實作而言，Booking.com在登入OAuth實作上被資安業者發現有不安全的設計缺陷。</p> <p>在資安事件中，有宏碁與Acronis遇駭的事件。我們在周二報導資安業者Gridinsoft揭露宏碁在2月中疑發生資料外洩事故，隔日傍晚，宏碁以說明媒體報導方式發布重大訊息，指出是該公司提供當地商業夥伴下載產品文件的伺服器，因某廠商密碼保存與管理不當造成資料外洩。另外，備份解決方案業者Acronis也有遭駭的消息，並傳出上述兩起事件外洩資料的可能是同一人。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155798"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月6日】研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法、組態配置不佳的Redis伺服器被用於挖礦</span></strong></a></h3> <p>AI機器人被用於攻擊的情況，已有駭客將其拿來產生變種的惡意程式碼或是多樣的釣魚郵件，但最近有研究人員發現新的手法，他們在機器人可能會引用的網頁上埋入提示訊息，一旦使用者詢問相關問題，聊天機器人就可能藉著這類資訊向使用者套出多種個資。研究人員指出，駭客有可能自行架設網頁，或是搭配電子郵件來發動攻擊。</p> <p>又是Redis資料庫系統被用於挖礦攻擊的情況，與過往不同的是，駭客濫用了指令碼共享服務transfer.sh規避偵測，而且，還企圖榨取更多的記憶體資源來挖礦。</p> <p>有研究人員揭露針對上萬個網站而來的攻擊行動，駭客企圖將使用者導向成人或賭博網站牟利。但究竟駭客入侵這些網站的手法為何？仍有待進一步釐清。</p> <h3><a href="https://www.ithome.com.tw/news/155813"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月7日】宏碁再傳資料外洩事故、一百多家組織的居易路由器遭木馬程式HiatusRAT入侵</span></strong></a></h3> <p>宏碁曾在2021年兩度遭到駭客入侵的事故，但最近傳出有人聲稱成功入侵並竊得內部資料兜售的情況。根據賣家在暗網網路犯罪論壇上的廣告內容，駭客主要取得的資料，大多與筆電、桌上型電腦產品有關，像是產品簡報、BIOS檔案，或是部署Windows作業系統的相關工具。</p> <p>有駭客使用名為HiatusRAT的木馬程式針對兩款居易路由器設備下手，進而將路由器當作竊取內部環境資料的管道。研究人員發現駭客從2022年7月開始發動相關攻擊，但他們推測，這起攻擊行動很可能在2022年以前就出現。</p> <p>針對工控系統（ICS）漏洞提出警告的資訊也值得留意。德國、美國先後針對數個漏洞提出警告，其中部分漏洞的CVSS風險評分接近滿分，而有可能被用於執行任意程式碼，或是導致系統無法運作。</p> <h3><a href="https://www.ithome.com.tw/news/155833"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月8日】ChatGPT被用於投資詐騙攻擊、Windows信任的資料夾被用於繞過使用者帳號控制防護措施</span></strong></a></h3> <p>又是假借ChatGPT來發起的攻擊行動了！繼之前有人用於產生惡意程式碼、製作釣魚郵件內容，也有宣稱提供相關軟體來散布惡意程式的情況，現在有人聲稱採用ChatGPT架設AI對話機器人，目的是要對使用者進行投資詐騙。</p> <p>有駭客在木馬程式攻擊行動裡企圖繞過使用者帳號控制（UAC）機制，他們假造了Windows作業系統預設信任的資料夾，藉此在不受管制的情況下執行木馬程式。而這樣的手法是資安人員在2020年發現，如今已被用於實際攻擊行動。</p> <p>面對廠商已不再支援的產品，仍有可能被公布漏洞，若企業與組織仍在使用，IT人員千萬別以為可以放著不管，因為這些漏洞很可能成為駭客鎖定的目標。有資安業者發現，VMware於2022年10月修補的重大漏洞CVE-2021-39144，在12月出現大規模攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/155854"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月9日】惡意軟體QBot以微軟OneNote檔案散播攻擊的態勢升溫、Fortinet防火牆與網頁安全閘道存在重大漏洞</span></strong></a></h3> <p>資安業者Trellix針對惡意軟體QBot的攻擊提出警告，值得留意的是，他們並非首度揭露相關攻擊行動的資安業者──上個月就有兩家資安業者<a href="https://www.ithome.com.tw/news/155404#qbot-onenote">Cyble</a>、<a href="https://www.ithome.com.tw/news/155435#qbot-onenote">Sophos</a>提出警告，其共通點就是駭客的作案過程運用了OneNote檔案來進行。但不同的是，這次研究人員提及了駭客在QBot與相關惡意程式上，採用相當隱密的迴避偵測手法，而使得資安系統難以察覺異狀。</p> <p>昨天（3月8日）傳出有人在駭客論壇兜售宏碁2月遭駭而外洩資料一事，引起各界媒體報導。對此，宏碁晚間在股市公開觀測站發布重大訊息證實此事，並認為起因是有合作廠商密碼管理不當引起。</p> <p>3月7日資安廠商Fortinet公布重大漏洞CVE-2023-25610，影響的產品包括防火牆作業系統FortiOS、網頁安全閘道FortiProxy，有可能導致服務中斷，或是讓駭客能執行任意程式碼的情況。</p> <h3><a href="https://www.ithome.com.tw/news/155867"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月10日】SonicWall的SSL VPN設備遭到中國駭客鎖定、Oracle Weblogic Server被用於挖礦</span></strong></a></h3> <p>隨著遠距辦公成為常態，針對Foritnet、Pulse Secure等廠牌的SSL VPN設備而來的攻擊行動不時出現。最近有資安業者發現鎖定SonicWall旗下SSL VPN設備而來的惡意軟體攻擊，其目的就是要竊取連線的使用者帳密資料。</p> <p>鎖定Oracle Weblogic Server的攻擊行動也相當值得留意，有駭客組織專門將這種伺服器拿來挖礦，根據提供惡意程式的賣家指出，他們已納入數種迴避Windows系統內建惡意軟體偵測的機制，並提供進階功能讓買家選用。但特別的是，Oracle Weblogic Server可架設於Windows、Linux主機，但駭客專門鎖定前者，顯示這起攻擊行動可能有高度針對性。</p> <p>中國遠端桌面軟體的漏洞又再度被用於攻擊行動！這次是用於部署惡意軟體PlugX，<a href="https://www.ithome.com.tw/news/155423#sunlogin">在此之前</a>，已有駭客用於散布滲透測試工具、木馬程式，以及挖礦軟體。</p> </div></div></div>
2023/3/13 13:52作者羅正漢https://www.ithome.com.tw/news/155886
Acronis遭洩密12GB公司資料，資安長說僅1客戶受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周四（3/8）瑞士電腦防毒、儲存及終端安全廠商<a href="https://regmedia.co.uk/2023/03/10/acronis_breach_notice.pdf" target="_blank">Acronis據傳可能遭上周駭入宏碁的同一名駭客竊走12GB的資訊</a>。Acronis證實此事，但是說事情沒那麼嚴重，只有1家客戶資料受到影響。</p> <p>名為Kernelware的駭客在駭客論壇BreachedForums張貼公告，宣稱手上握有Acronis的公司資料，並附上下載連結。駭客聲稱，外洩的資料包含多項認證檔、指令log檔、該公司系統配置、系統資訊log檔、檔案系統歸檔、MariaDB資料庫的Python腳本程式、備份配置，以及多項備份作業的擷圖等。</p> <p>這名駭客說，駭入Acronis是因為很無聊，決定羞辱這家公司。他嘲弄指出，Acronis營收超過1.2億美元，員工逾2000，備份軟體有多家客戶，還號稱提供「多合一網路防護」的安全產品，但是發生安全事件，實在很諷刺。</p> <p>這名駭客可能是<a href="https://www.ithome.com.tw/news/155813" target="_blank">上周外洩宏碁資料</a>的同一人。遭外洩的宏碁資料包含電腦產品簡報、BIOS檔案，或是部署Windows作業系統的相關工具約160GB。</p> <p>不過Acronis資安長Kevin Reed上周末說明，本次事件影響相當有限。根據該公司的調查，這次事件出於一家客戶上傳診斷資料到Acronis支援服務的登入憑證外流所致。業者已經暫時封鎖該客戶上傳的管道，也已將入侵指標資訊提供合作夥伴和執法機關。</p> <p>Reed強調，從現有資料研判，其他系統或憑證都未受影響，因為沒有其他成功入侵或該客戶資料匣以外的資料外洩。該公司也對<a href="https://www.theregister.com/2023/03/10/acronis_data_breach_details/" target="_blank">《The Register》</a>表示Acronis產品不受這次事件影響。</p> </div></div></div>
2023/3/13 13:03作者林妍溱https://www.ithome.com.tw/news/155885
Google終止Windows版Chrome垃圾程式清理外掛工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於必要性漸減，<a href="https://security.googleblog.com/2023/03/thank-you-and-goodbye-to-chrome-cleanup.html" target="_blank">Google宣布從Chrome 111版本起</a>，不再提供Windows Chrome的垃圾程式清理外掛工具。</p> <p>Google於2015年推出 Chrome瀏覽器清理工具（Chrome Cleanup Tool）可以自動修復Chrome遭廣告注入或首頁綁架程式做的變更，並且移除這些軟體。不過這工具曾經是強制安裝，令用戶反感，<a href="https://www.ithome.com.tw/news/127266" target="_blank">2018年底Google才允許用戶移除</a>。</p> <p>Google清理工具迄今已經清除了8億個惡意程式，但是現今Windows環境下的垃圾程式危害已經下降。一來Chrome用戶通報垃圾程式比例漸少，去年僅3%，上個月Chrome清理工具掃瞄次數中，也只有0.06%有偵測到垃圾程式。其次，這項工具的功能也能為其他工具取代，像是Google安全上網（Safe Browsing）及防毒軟體都能阻擋檔案型垃圾程式。而且Chrome Web Store的審查流程也能先行防範惡意外掛。</p> <p>最後，Google指出，現在上網安全威脅已經改變，例如Cookie竊取程式正取而代之，為此Google也透過強化驗證流程和進階的啟發式演算法封鎖釣魚或詐騙信件、惡意登入網頁及惡意程式下載。</p> <p>因此，從Chrome 111起，Windows用戶無法再透過安全檢查要求，或是在Chrome設定頁的「重設設定和清理」選項啟動Chrome清理工具。Chrome也會移除定期掃瞄Windows並在發現可疑程式啟動用戶提示的元件。</p> <p>但Google說明，沒了這項工具，Google安全上網還是能自動偵測垃圾程式。使用者還能到Chrome設定頁的「安全」項目中啟動「進階防護」，這個模式能即時分享資訊給安全上網工具，以封鎖惡意網站和下載程式。</p> </div></div></div>
2023/3/13 09:07作者林妍溱https://www.ithome.com.tw/news/155880
科學家用腦細胞發展生物電腦，未來建立更省能源的超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hub.jhu.edu/2023/02/28/organoid-intelligence-biocomputers/" target="_blank">一群科學家計畫以腦細胞培育出有智慧能力的類大腦</a>，認為有朝一日可建立比搭載矽晶片的電腦更強大而節省能源的生物電腦。</p> <p>約翰霍普金斯大學（John Hopkins University）公衛學系教授Thomas Hartung率領的團隊，<a href="https://www.frontiersin.org/journals/science/article-hubs/organoid-intelligence-a-new-biocomputing-frontier/lay-summary" target="_blank">近日在期刊《科學疆域》（Frontiers in Science）公開其「類器官智慧（organoid intelligence）」研究成果</a>。</p> <p>所謂類器官，是指利用細胞組織在實驗室培養出能和正常器官如肝、腎、肺相同功能的微型生物體，以用於藥物或生物實驗，可免去人體或動物試驗的倫理問題。</p> <p>近日Hartung及其同僚以皮膚幹細胞培育出等同筆尖大的大腦類器官。每個類大腦具有約5萬個細胞，這些微型大腦具有神經元，可能發展出學習、記憶等基本的大腦功能。</p> <p>研究團隊計畫，未來再培育出更多大腦類器官並加以連結，可以打造出一臺生物電腦。Hartung相信，這生物電腦會比現行電腦更節能，也更強大。他指出，現今電腦執行數字和資料的計算任務比人腦快，但大腦更擅長複雜的邏輯決策，像是分辨狗和貓，而且以運算容量來看，大腦更節省能源。當今世界最新超級電腦為美國橡樹嶺實驗室的Frontiers，耗資6億美元，佔地約190坪，直到2022年6月，Frontiers運算容量才首度超越人腦，但耗電量是人腦的100萬倍。</p> <p>Hartung相信未來10年，執行在生物硬體的電腦將會出現，並可減少不環保的超級電腦的需求。</p> <p>不過距離這個夢想還有段距離。Hartung指出，能運算的類大腦需要的細胞，至少要從5萬增加到1,000萬個。此外，這些類器官需要彼此聯結。目前Hartung團隊正在開發一種類似腦波診斷的腦機介面裝置，是由電極和線路組成的網狀帽，只是是給類器官使用，功能是蒐集類器官的訊號，也可互相傳送訊號。</p> </div></div></div>
2023/3/13 09:33作者林妍溱https://www.ithome.com.tw/news/155881
微軟把ChatGPT整合到Azure OpenAI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure持續加碼人工智慧（AI）服務，<a href="https://azure.microsoft.com/en-us/blog/chatgpt-is-now-available-in-azure-openai-service/" target="_blank">上周宣布</a>，Azure Open AI服務將以預覽版推出ChatGPT服務。</p> <p>這是<a href="https://www.ithome.com.tw/news/155192" target="_blank">微軟Azure OpenAI服務繼今年1月推出GPT-3.5、Codex和DALL-E 2模型</a>後，最新上線的OpenAI服務。微軟說，迄今已經有超過1,000家客戶運用包含這3項以外的AI模型來創新其服務。</p> <p>現在開發人員可以將ChatGPT聊天機器人整合在其自有服務，包括回覆客戶問題、覆述客服對話、自動化處理理賠以及新增個人化的廣告文案。微軟說，Azure OpenAI可以和Azure認知服務合併使用，像是和Azure認知搜尋（Cognitive Search），以便利用對話式語言，在企業資料中進行知識庫檢索。</p> <p>ChatGPT即日起上線開放使用，費用為每1000 token 0.002美元，從3月13日開始收費。</p> <p>目前Azure用戶已有美國辦公用品供應商ODP Corporation、新加坡智慧國家數位政府專案辦公室及合約管理軟體業者Icertis使用ChatGPT的案例開發加值應用。ODP的HR部門用ChatGPT來改良文件檢視流程、建立新職缺描述及輔助溝通；新加坡政府用它作為專案辦公室的人機互動介面；Icertis則將之整合到商業合約檢視及總結功能。</p> <p>除了ChatGPT和Azure OpenAI的整合外，微軟內部也已將ChatGPT整合到其他消費及企業產品，包括GitHub Copilot使用OpenAI的AI模型加速開發、Teams付費服務加入智慧總結（intelligent recap）及AI分章節功能、員工社交及協同平臺Viva Sales服務以AI提供郵件內容建議及檢視業務資料；最知名的就是Bing加入ChatGPT強化搜尋。</p> <p>微軟強調其AI服務從4個層面確保符合「負責任AI（responsible AI）」的準則。第一是從應用層，例如告知文字結果是由AI產生，需用戶同意才可執行；第二是從提供技術面的防護，像是輸入、輸出的內容過濾；第三是流程和政策，包括通報濫用的系統，或服務層級協定（SLA）；第四則提供設計指引及透明化筆記等文件，說明模型的效益及測試過的項目。</p> </div></div></div>
2023/3/13 10:47作者林妍溱https://www.ithome.com.tw/news/155884
美醫療IT辦公室最新報告：醫療IT系統應現代化、獎勵措施再擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家醫療IT協調辦公室（ONC）在最近<a href="https://www.healthit.gov/sites/default/files/page/2023-02/2022_ONC_Report_to_Congress.pdf">交給美國國會的報告</a>中，說明了美國國內電子健康記錄（EHR）資訊的互通進展，比如截至2021年，全美已有96%的非聯邦急診醫院和近8成內科醫師使用ONC認證的EHR系統，但報告也點出不足之處，像是醫療院所和公衛組織系統應現代化改造、州與州之間的EHR資訊交換程度不夠、缺乏對長照和臨終關懷等機構的系統採用獎勵措施等。ONC因此建議國會，應透過健康資訊平等共享、跨體系資料共享獎勵等措施，來提高EHR資訊互通。</p> <p><span style="font-size:24px;"><strong>10年增加7成醫院使用國家認證EHR系統，奠下互通基礎</strong></span></p> <p>進一步來說，這份報告名為《2022年國會報告：電子健康資訊存取、交換與使用的最新進展》（2022 Report to Congress：Update on the Access, Exchange and Use of Electronic Health Information），由ONC和美國衛生公共服務部（HHS）共同撰寫。報告指出，隨著《21世紀醫療法案》出臺，推動醫療院所大量採用標準化EHR系統，也促使更多醫資廠商將數據標準納入產品中，提高資訊互通性。</p> <p>報告也寫道，至2021年，全美96%的非聯邦急診醫院和近8成內科醫師都使用ONC認證的EHR系統，然而，2011年，只有28%的非聯邦急診醫院和34%內科醫生採用這些系統。可以說，這十年來，採用國家認證EHR系統的醫院和內科醫生都增長了近7成。</p> <p>不只如此，透過EHR系統存取個人健康資訊的病人數量，也持續增加中。報告點出，在2020年，透過數位方式存取個人病歷資料至少一次的民眾，佔了6成以上，相較於2017年，增加了11%。</p> <p>而且，在這幾年間，醫療院所和其他機構也進行更多的健康資訊交換（HIE），特別是在州際等級和國家等級。報告統計，光是2021年，就有約三分之二的臨床醫師與外部組織進行健康資訊交換。</p> <p>不過，為推動更廣泛的跨網路（Network，或可想像為跨體系）資訊交換，美國政府也推動TEFCA醫療資訊交換框架，來加速醫療院所採用經ONC核可的醫療IT系統，以便進一步過渡到FHIR。就在上個月，ONC也對6家醫資廠商和協會組織，發出首波TEFCA認證，讓他們成為合格廠商（QHIN），來讓全美醫療機構使用。</p> <p><span style="font-size:24px;"><strong>疫情凸顯資訊互通的不足，獎勵措施尚未擴大至其他照護機構</strong></span></p> <p>但報告也直言，COVID-19疫情凸顯了美國醫療資料互通的不足。比如，受到《21世紀醫療法案》約束，身為政府重要單位的ONC和HHS無法向其他單位/機構透露特定訊息，這也讓其他機構難以取得關鍵資訊，來進行後續分析和評估。</p> <p>另一個問題是，有關流行病的EHR資訊互通也不夠。儘管Medicare暨Medicad服務中心要求醫事機構要互通相關訊息，但截至2019年，仍有7成非聯邦急診醫院和公衛組織面臨互通障礙。這份報告建議，這些醫院和公衛組織的IT系統應進行現代化改造，比如採用標準化的API和TEFCA框架，來更好地交換流行病資訊。</p> <p>ONC也發現，美國醫療資訊交換範圍太狹隘，只注重州內或個別地區內的醫療資訊交換而已。ONC認為，為做到更好的照護和病人體驗，應進一步擴大健康資訊交換範圍，像是跨州或更高層級。還有一個問題是政府獎勵措施不足，雖然HHS鼓勵醫療機構採用政府核可的EHR系統，但這個獎勵措施並未擴大到特定類型使用者，像是健康照護機構、長照和急性後期照護、臨終關懷和家庭醫師或社區照護機構，這也讓醫院與其他照護機構的資訊交換，埋下了阻礙。</p> <p><strong><span style="font-size:24px;">ONC提出6大建議來提高醫療資訊互通</span></strong></p> <p>也因此，ONC在這份報告中，向國會提出6大建議，來強化醫療資料互通性：</p> <ol> <li>支援「醫療公平設計」，也就是將公平性納入醫療IT設計中，來讓使用者能公平地存取相關資訊</li> <li>與疾管署和其他HHS機構協調，來讓不同層級的政府單位與地方單位，透過現代化的醫療IT系統來收集、存取、交換和使用公衛數據</li> <li>教導患者和照護社群來適當分享健康資訊，並就訊息封鎖法規來與HHS辦公室討論</li> <li>推動TEFCA來建立國家醫療資料交換技術基礎建設，強化跨網路的醫療資訊交換</li> <li>透過經認證的醫療IT系統，來推動醫療機構和所有照護機構採用現代化標準，包括API和USCDI（即美國核心醫療資料互通規範）</li> <li>與聯邦政府協調，來確保ONC採用的資料標準能支援跨聯邦計畫和醫療IT平臺的健康資訊存取、交換與使用</li> </ol> <p>ONC也希望，透過這些改善措施，來實現與聯邦政府推動的2020年至2025年醫療IT策略計畫。</p> </div></div></div>
2023/3/13 00:09作者王若樸https://www.ithome.com.tw/news/155879
微軟解釋《Call of Duty: Warzone》為何可在低階硬體Switch運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與任天堂簽署10年合約，一旦成功併購動視暴雪（Activision Blizzard），該公司所發行的遊戲《Call of Duty》系列也會移植供Switch玩家遊玩，遊戲內容和體驗都會比照Xbox、PlayStation等平臺，以促進遊戲市場良性競爭，這項合約引來各界質疑，包括認為任天堂Switch硬體效能可能不足以執行《Call of Duty》。</p> <p>在英國政府新釋出的文件中，揭露了<a href="https://assets.publishing.service.gov.uk/media/64088cf9d3bf7f25f61ff804/Microsoft.Activision_-_Response_to_Remedies_Notice_-_NCV__2_.pdf">微軟認為任天堂Switch能夠執行《Call of Duty》的原因</a>，以及<a href="https://assets.publishing.service.gov.uk/media/64086532d3bf7f557532cefc/2023-03-07_Microsoft-Activision_-_SIE_Observations_on_Remedies_Notice__Revised_NCV__redacted.pdf">Sony反對併購案的理由</a>。</p> <p>微軟在2022年的時候，宣布準備<a href="https://www.ithome.com.tw/news/148954">以687億買下遊戲公司動視暴雪</a>，這項微軟史上最大的併購案，引來了美國FTC、歐盟、英國政府的關注以及Sony的反對。為了消除各界對併購案可能導致遊戲市場被壟斷的疑慮，微軟在2022年2月公布<a href="https://www.ithome.com.tw/news/149286">開放程式商店準則</a>，目標促進市場競爭。</p> <p>而微軟更在今年宣布，Xbox PC的遊戲將會登陸GeForce NOW，使玩家能夠在Nvidia串流服務遊玩在Windows Store中購買的遊戲，同時Steam或Epic遊戲商店上所販售的Xbox PC遊戲，也會在GeForce NOW平臺串流。</p> <p><a href="https://www.ithome.com.tw/news/155637">微軟對遊戲市場公平競爭的承諾</a>，擴及任天堂的Switch平臺，要於併購後在Switch平臺推出《Call of Duty》，在微軟給英國競爭暨市場管理局的文件中提到，《Call of Duty: Warzone》所使用的遊戲引擎已經足夠成熟，對廣泛的硬體裝置進行最佳化，《Call of Duty: Warzone》可以支援2015年以來的PC硬體和GPU。</p> <p>微軟試圖以《Call of Duty: Warzone》是2015年PC硬體和GPU都可以執行的遊戲，說明2017年才發布的任天堂Switch，勢必具有執行《Call of Duty: Warzone》的能力。</p> <p>微軟指出，動視暴雪的開發團隊，過去早已就不同的硬體最佳化遊戲效能，同時運用微軟移植Apex Legends、DOOM Eternal、Fortnite和Crysis 3到Switch的技術，他們有信心讓《Call of Duty: Warzone》或是《Call of Duty: Modern Warfare 2》能夠在任天堂Switch上運作。</p> <p>另外，微軟也在文件中揭露，他們會繼續動視暴雪所建立的手機遊戲社群，包括《Call of Duty: Mobile》和《Call of Duty: Warzone》和《Diablo Immortal》，並擴大Xbox商店創建新的手機遊戲發布平臺Xbox Mobile Platform。</p> <p>Sony則仍抱持堅決反對的意見，也對微軟的10年合約不滿意，向英國競爭暨市場管理局表示，必須要禁止微軟併購動視暴雪，才能消除對主機和雲端造成的傷害，並擔心微軟可能釋出存在臭蟲和故障的《Call of Duty》PlayStation版本，使玩家對PlayStation失去信心，而不在該平臺上遊玩。</p> </div></div></div>
2023/3/11 14:34作者李建興https://www.ithome.com.tw/news/155877
OpenAI競爭對手AI21 Labs推出新一代文字生成AI模型Jurassic-2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧系統開發公司<a href="https://www.ai21.com/blog/introducing-j2">AI21 Labs發表兩樣新產品</a>，分別是生成語言模型Jurassic-2，以及一系列文字任務API。Jurassic-2是AI21 Labs最新推出的基礎模型，其提供多種尺寸，並且有較前一代更好的輸出品質和效能提升，而AI21 Labs所推出一系列針對特別文字任務的API，供開發者開箱即用，解決諸如釋義和摘要等各項讀寫任務。</p> <p>Jurassic-2的大小包括Large、Grande和Jumbo，還有經過指令調整的Grande和Jumbo的模型5種型號，供用戶選擇。AI21 Labs提到，Jurassic-2在史丹佛語言模型整體評估（HELM）表現亮眼，使用HELM儲存庫進行評估，Jurassic-2 Jumbo目前排名第二，而Jurassic-2 Grande在HELM的排名，較30倍大的模型排名更高，可在不影響品質的情況下，提供更佳的生產成本和效能。</p> <p>Jurassic-2較Jurassic-1支援更多的語言，包括西班牙、法語、德語和荷蘭語等，Jurassic-2具有更佳的零樣本指令能力，能夠良好地接受使用者的指令，而且執行效能也提升約30％。目前Jurassic-2在2023年5月1日前，開放供大眾免費使用。</p> <p>AI21 Labs也同時推出針對各項專屬文字任務的API，包括釋義、摘要、語法糾錯、文字改進和文字分割共5種API，官方解釋，雖然大型語言模型已經很強大，但是針對特定任務訓練和微調的API，可更好地處理文字任務。</p> <p>而官方也指出，文字任務API中的釋義和總結，表現都較OpenAI的模型更佳，像是AI21 Labs的摘要API準確度，就比OpenAI的Davinci-003模型高出19％，根據人類受測者的偏好，AI21 Labs摘要API輸出結果的接受率也較OpenAI高出18％。效能表現上，AI21 Labs的釋義API延遲是OpenAI的三分之一，且無論是在結果多樣性還是意義保存方面，AI21 Labs都優於OpenAI。</p> <p>AI21 Labs在今年初發表了<a href="https://www.ithome.com.tw/news/155224">Wordtune Spices</a>功能，便是利用人工智慧理解文字內容和意義，以協助使用者書寫，官方提到，透過公開文字任務API，使得用戶也能夠在應用程式中，整合Wordtune功能。</p> </div></div></div>
2023/3/11 14:11作者李建興https://www.ithome.com.tw/news/155875
老牌英文拼寫檢查工具Grammarly也推生成式AI應用GrammarlyGo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在各家編輯器紛紛整合大型語言模型，提供人工智慧編輯功能，協助使用者編寫文字的風潮下，用於糾正拼字、文法和標點錯誤的老牌輸入助理Grammarly，也將推出結合大型語言模型的新工具<a href="https://www.grammarly.com/grammarlygo">GrammarlyGO</a>，能夠以人工智慧技術依用戶要求修改文字。</p> <p>GrammarlyGO具體功能是可依據使用者的提示，快速產生文字草稿，或是以使用者的文字為基礎，依據需要的語氣和清晰度，重新編寫文字，用戶可以要求GrammarlyGO以較正式的語氣，或是更友善的語氣改寫原來的文字。GrammarlyGO也能夠修改文字調整長度，用戶只要點擊提示就可以讓文字更長或是更短。</p> <p>GrammarlyGO可以扮演協助構思的輔助角色，生成綱要或是想法，供使用者參考或是直接加入到文字中，另外，GrammarlyGO也能模仿他人的語氣，根據需要產出個人化寫作。</p> <p>GrammarlyGO會先向Grammarly訂閱用戶開放，商業和教育版帳號則可在之後參與Beta測試，GrammarlyGO也會供免費帳戶使用，從英國、日本和澳洲等國開始，逐漸向各個地區使用者開放。使用者須在Windows、Mac平臺的Grammarly應用程式、Chrome擴充套件和線上編輯器使用新的AI功能，GrammarlyGO會對Gmail、Google Doc、Word、LinkedIn和Medium等應用進行最佳化。</p> <p>官方也表示，GrammarlyGO將會在Beta階段添加到Text Editor SDK，供開發者取用開發程式。在隱私政策上，用戶在GrammarlyGO輸入的提示文字和上下文，將會與合作夥伴共享以提供AI功能，但是官方表示，第三方不能將使用者的資料，用於訓練模型和改進產品。</p> </div></div></div>
2023/3/11 14:13作者李建興https://www.ithome.com.tw/news/155876
Uncle Bob給新世代的敏捷價值和原則
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-1p-wu_xia_de_cheng_shi_ma_min_jie_pian_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本書並不是一本研究著作，我並沒有嚴謹地審閱所有的文獻。你即將要看到的，是我個人的「回憶」、「觀察」，以及我這二十年來使用敏捷的「看法」——僅此而已，除此之外沒別的。</p> <p>我的寫作風格是「談話式」和「口語化」，所以有時候我的用字遣詞會有點粗俗。雖然我不是那種喜歡講粗話的人，但有一個（稍微修飾過的）不雅字眼還是出現在書中，因為我想不到有任何更好的方式，可以用來傳達我想表達的意思。</p> <p>對了，這本書可不是完全在自吹自擂。一旦覺得有必要，我會引用一些參考資料供你去參照。我還會盡量和敏捷社群裡的人核對一些事實。我甚至要求其中幾個人，在他們所屬章節中分別提供補充資訊和反對意見。不過，你還是不應該把這本書看作是一本學術著作。把它當成回憶錄可能會更好一些——一個脾氣乖戾的老頭，一邊發著牢騷、一邊叫那些標新立異的敏捷小鬼們滾出他的草坪。</p> <p>本書適合程式設計師，也適合非程式設計師。它不是技術性的，這本書裡面沒有任何程式碼。它的目的，僅是概述「敏捷軟體開發」的初衷，而無需深入了解程式設計、測試或管理等技術細節。</p> <p>這是一本小書，因為所要論述的主題並不大。敏捷是一個小小的觀念，關於小型程式設計團隊做小事情時會遇到的小問題。敏捷並不是一個關於大型程式設計團隊做大事情會遇到大問題的巨大概念。只不過有些諷刺的是，這個小問題的「小小解決方案」剛好有一個名字。畢竟在1950和1960年代，幾乎與軟體發明的同一時間，這個小問題就解決了。在那段日子裡，小型軟體團隊在做小事情的時候，往往表現得很好。然而到了1970年代，小型軟體團隊在做小事情時，所有人卻都陷入了「意識型態的困境」，只因他們認為自己應該成為一個大團隊來幹大事。</p> <p>難道我們不應該成為大團隊來幹大事嗎？絕對不行！大團隊無法完成大事，必須由許多小團隊合作完成許多小事，才能夠完成大事。這是1950和1960年代的程式設計師自然而然就知道的事，然而卻在1970年代被遺忘了。</p> <p>為什麼會被遺忘呢？我懷疑是因為斷層（discontinuity）。1970年代，世界各地的程式設計師數量開始爆增。在這之前，全世界只有幾千名程式設計師。之後，卻有成千上萬個。現在這個數字已接近一億。</p> <p>那些1950和1960年代的第一批程式設計師並非年輕人。他們在1930、1940和1950年代開始程式設計。到了1970年代，當程式設計師的人口開始激增時，那些老人才正要退休。所以「必要的訓練」從未發生過。一群不可一世的20多歲年輕人正要進入就業市場，同一時間，另一群經驗豐富的人們卻開始離開，而他們的經驗並沒有得到有效的轉移。</p> <p>有人會說，這個事件在程式設計的歷史上開啟了一段黑暗時代。三十年來，我們一直在努力，企圖想以「大團隊」成就「大事情」，卻從不知道，秘訣其實是與「很多小團隊」做「很多小事情」。</p> <p>然後到了1990年代中期，我們開始意識到我們失去了什麼。「小團隊」的概念開始萌芽、茁壯。這個想法開始在軟體開發人員的社群裡傳播開來，凝聚成一股力量。時間來到2000年，我們意識到我們需要對整個行業進行重啟（reboot）。我們需要有人提醒，那些前輩本能就知道的事。我們需要再一次地意識到，「大事情」必須是由「許多個小團隊」共同合作「許多個小事情」，才得以完成。</p> <p>為了協助推廣這個想法，我們替它取了一個名字。我們稱之為「敏捷」（Agile）。</p> <p>我在2019年的第一天寫了這篇序言。自2000年的重啟以來，已過了近二十年，在我看來，是時候再來一次重啟了。為什麼呢？因為敏捷「簡單而微小的觀念」在這幾年間變得非常混亂。它與Lean、Kanban、LeSS、SAFe、Modern、Skilled以及其他許多概念混淆在一起。這些想法並不壞，但它們並非最初的敏捷思想。所以現在是時候了。讓我們喚回前輩在1950和1960年代所知道的「本能」，以及在2000年重新學到的東西。現在，該是還原敏捷真實面貌的時候了。</p> <p><span style="font-size:28px;"><strong>敏捷的價值觀</strong></span></p> <p>Kent Beck很久以前就命名了四個敏捷價值觀，它們是：勇氣（courage）、溝通（communication）、回饋（feedback）和簡單（simplicity）。</p> <p><span style="color:#B22222;"><strong>勇氣</strong></span></p> <p>第一個價值觀是勇氣——或者，換句話說，就是在一個合理的範圍內勇於冒險。</p> <p>敏捷團隊的成員並不太關注所謂政治意義上的「安全性」，因為這會犧牲品質和機會。他們發現長遠來看，管理軟體專案的最佳方式就是具備一定程度的侵略性。</p> <p>勇氣和莽撞是有差異的。部署最小功能集（minimum feature set）需要勇氣。維護高品質的程式碼和高品質的紀律需要勇氣。但是，倘若你對程式碼沒有高度信心，或是程式碼的設計不具備可持續性，這就是莽撞了。為了遵循時程表而犧牲品質，這是莽撞的。</p> <p>相信品質和紀律可以提高速率，這是一種勇敢的信念，它會持續受到強勢卻天真的人們挑戰，因為他們都很著急。</p> <p><span style="color:#B22222;"><strong>溝通</strong></span></p> <p>我們珍視直接、頻繁的跨管道溝通。敏捷團隊成員希望彼此交談。程式設計師、客戶、測試人員和管理人員希望坐在一起、頻繁互動，而不是只有在開會時才有交集。他們重視面對面、非正式的、人與人之間的對話，而不單是透過email、通訊軟體或備忘錄聯繫。</p> <p>這就是凝聚團隊的做法。在快速、混亂、非正式且瘋狂的頻繁互動中，人們經常靈光乍現、恍然大悟。一個經常坐在一起交流的團隊可以創造奇蹟。</p> <p><span style="color:#B22222;"><strong>回饋</strong></span></p> <p>我們研究的各種敏捷紀律，實際上都是為了向「做出重大決策的人」提供快速回饋。規劃遊戲（Planning Game）、重構（Refactoring）、測試驅動開發（Test Driven Development）、持續整合（Continuous Integration）、小型發布（Small Releases）、集體所有權（Collective Ownership）、完整團隊（Whole Team）等等會最大化回饋的頻率與數量。它們讓我們能夠及早確定事情出錯的時間，以便修正它們。這些實踐讓我們學到關於先前決策的後果，並從中記取經驗和教訓。敏捷團隊因回饋而成長茁壯。回饋是讓團隊有效工作的主因，也推動了專案取得有益的成果。</p> <p><span style="color:#B22222;"><strong>簡單</strong></span></p> <p>敏捷的下一個價值觀是簡單——即「直截了當」。我們經常聽到這樣的說法：軟體中的任何問題，都可以透過增加一個間接層（layer of indirection）來解決。但是，勇氣、溝通及回饋的價值觀確保了「問題的數量」被降至最低。因此，間接層也可以保持在最低限度。解決方案可以很簡單。</p> <p>這不僅適用於軟體，也適用於團隊。「被動攻擊型」（Passive Aggressive）的行為就是一種不直接的表達。假設你發現了一個問題，但你卻默不作聲地把問題傳給別人，你就採取了不直接的表達。若你明明知道會有嚴重後果，卻還是答應了管理人員或客戶的請求，你亦採取了不直接的行為。</p> <p>簡單就是直接——程式碼直截了當，溝通和行為也直截了當。在程式碼中，一定數量的間接層是必要的。間接層的機制可以減少彼此依賴所帶來的複雜性。在團隊中，其實不太需要這麼多間接層（亦即不直接）。大多數時候，你會希望盡量表現得直截了當一些。</p> <p>讓程式碼保持簡單。讓團隊更簡單。<strong><span style="color:#696969;">（本文摘錄整理自《無瑕的程式碼｜敏捷篇》，博碩文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_%E7%84%A1%E7%91%95%E7%9A%84%E7%A8%8B%E5%BC%8F%E7%A2%BC%EF%BC%9A%E6%95%8F%E6%8D%B7%E7%AF%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>無瑕的程式碼｜敏捷篇：還原敏捷真實的面貌</strong></span></p> <p>Robert C. Martin／著；盧國鳳、陳錦輝／譯；魏聲圩／審校</p> <p>博碩文化出版</p> <p>定價：560元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/180-%E7%84%A1%E7%91%95%E7%9A%84%E7%A8%8B%E5%BC%8F%E7%A2%BC%EF%BC%9A%E6%95%8F%E6%8D%B7%E7%AF%87.jpg" style="width: 180px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Angelacleancoder (CC BY-SA 4.0)</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span> <strong>Robert C. Martin</strong></p> <p>Robert C. Martin（Uncle Bob）1970 年就開始了他的程式設計師生涯。他是cleancoders.com 的共同創辦人，該網站為軟體開發人員提供線上影片訓練課程。他也是Uncle Bob Consulting LLC 的創辦人，為世界各地的大型企業提供軟體顧問、訓練以及技術開發等服務。他曾是一間芝加哥顧問公司8th Light的軟體工藝大師（Master Craftsman）。</p> </div></div></div>
2023/3/11 00:00未署名https://www.ithome.com.tw/article/155821
【資安日報】3月10日，SonicWall的SSL VPN設備遭到中國駭客鎖定、Oracle Weblogic Ser…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著遠距辦公成為常態，針對Foritnet、Pulse Secure等廠牌的SSL VPN設備而來的攻擊行動不時出現。最近有資安業者發現鎖定SonicWall旗下SSL VPN設備而來的惡意軟體攻擊，其目的就是要竊取連線的使用者帳密資料。</p> <p>鎖定Oracle Weblogic Server的攻擊行動也相當值得留意，有駭客組織專門將這種伺服器拿來挖礦，根據提供惡意程式的賣家指出，他們已納入數種迴避偵測的機制，並提供進階功能讓買家選用。但特別的是，Oracle Weblogic Server可架設於Windows、Linux主機，但駭客專門鎖定前者，這起攻擊行動可能有高度針對性。</p> <p>中國遠端桌面軟體的漏洞又再度被用於攻擊行動！這次是用於部署惡意軟體PlugX，<a href="https://www.ithome.com.tw/news/155423#sunlogin">在此之前</a>，已有駭客用於散布滲透測試工具、木馬程式，以及挖礦軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/suspected-chinese-persist-sonicwall"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SonicWall的SSL VPN設備遭到中國駭客鎖定</span></strong></a></p> <p>資安業者Mandiant揭露針對SonicWall的SSL VPN系統Secure Mobile Access（SMA）而來的攻擊行動，中國駭客組織UNC4540在這些設備植入惡意軟體，目的很有可能是竊取已加鹽的使用者帳密資料。</p> <p>研究人員指出，駭客運用的惡意軟體，由名為TinyShell的後門程式、偽裝成防火牆組態設定程式的ELF可執行檔，以及數個bash指令碼組成。</p> <p>值得留意的是，駭客為了讓惡意程式能持續在受害的SMA設備上運作，不只採用了備援機制，甚至竄改韌體植入後門root使用者帳號，並且每10秒偵測韌體是否遭到覆寫的情況。研究人員推測，相關的攻擊行動很可能從2021年就開始。</p> <p><a href="https://www.fortinet.com/blog/threat-research/old-cyber-gang-uses-new-crypter-scrubcrypt"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">部分Oracle Weblogic Server遭到挖礦軟體ScrubCrypt鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/screen-shot-2023-03-07-at-9_43_2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/screen-shot-2023-03-07-at-9_43_2.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露針對Windows版Oracle Weblogic Server而來的攻擊行動，駭客組織8220於今年1月至2月，透過名為ScrubCrypt的惡意軟體進行挖礦。</p> <p>研究人員提及，提供相關工具的賣家標榜，ScrubCrypt能規避防毒軟體Microsoft Defender偵測，並可躲避Windows作業系統的使用者帳戶控制（UAC）、反惡意軟體掃描介面（AMSI）、Windows事件記錄追蹤（ETW）等防護措施。</p> <p><a href="https://asec.ahnlab.com/en/49097/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠端桌面軟體漏洞被用於部署惡意軟體PlugX</span></strong></a></p> <p>遠端桌面軟體的漏洞也成為駭客入侵受害電腦的管道，例如，資安業者AhnLab揭露近期散布惡意軟體PlugX的攻擊行動，駭客利用中國遠端桌面軟體Sunlogin、Awesun的遠端任意程式碼執行（RCE）漏洞，進而在受害電腦部署PlugX。</p> <p>這些攻擊者透過PowerShell下載資安業者ESET開發的HTTP Server Service應用程式（esetservice.exe），以及程式庫http_dll.dll，然後透過DLL側載的方式，於記憶體內執行PlugX。</p> <p><a href="http://s1.ai/IceFire"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體IceFire鎖定IBM檔案共享系統下手，加密Linux主機</span></strong></a></p> <p>資安業者SentinelOne揭露近期勒索軟體IceFire的攻擊行動，駭客從2月中旬開始，破壞全球數家多媒體與娛樂組織的內部網路環境，一旦成功入侵，這些駭客就加密Linux伺服器的檔案，並留下勒索訊息。</p> <p>研究人員指出，有別於Windows版勒索軟體透過釣魚郵件散布，駭客入侵Linux主機的管道，是利用IBM檔案共享系統Aspera Faspex的<a href="https://www.ithome.com.tw/news/155549#ibm">反序列化漏洞CVE-2022-47986（CVSS風險評分為9.8分）</a>。值得留意的是，有別於許多Linux版勒索軟體專門針對VMware虛擬化平臺ESXi而來，IceFire的目標則是擴及各式Linux主機。</p> <p><a href="https://blog.morphisec.com/sys01stealer-facebook-info-stealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密程式SYS01 stealer鎖定企業用戶的臉書帳密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2023-03-07 193418.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202023-03-07%20193418.png" style="width: 300px; float: right;" /></a>資安業者Morphisec自2022年11月，追蹤名為SYS01 Stealer的竊密軟體攻擊行動。駭客主要的攻擊目標，是政府基礎設施與製造業，其他產業也有組織受害。他們利用Google廣告與虛構的臉書個資，假借宣傳遊戲、色情內容、破解軟體等名義，來針對企業的臉書帳號管理者下手，引誘目標下載惡意軟體，目的是竊取敏感的企業臉書帳號資料。</p> <p>研究人員推測此攻擊行動從5月出現，駭客先是引誘受害者點選特定臉書帳號個資或廣告當中的URL，下載帶有惡意程式的ZIP檔案，一旦受害者執行其中以Inno-Setup封裝的安裝程式，此檔案就會投放惡意的PHP指令碼（竊密軟體）。</p> <p>駭客在指令碼使用多種方式進行編碼，而使得相關分析與偵測變得更加困難，再者，駭客不只利用PHP指令碼，他們也看到利用DLL程式庫側載、Rust或Python執行檔的方式，在受害電腦植入SYS01 Stealer。</p> <p><a href="https://unit42.paloaltonetworks.com/lokibot-spike-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體LokiBot攻擊行動在2022年底大幅增加</span></strong></a></p> <p>資安業者Palo Alto Networks揭露發生於2022年底的惡意軟體LokiBot攻擊行動，駭客先是透過釣魚郵件挾帶附件ZIP壓縮檔，其內容是含有LokiBot的ISO映像檔，並於12月29日至31日達到高峰。</p> <p>研究人員指出，LokiBot具備竊取各式軟體帳密的能力，涵蓋多種瀏覽器、FTP及SSH用戶端程式、備份軟體、收信軟體、密碼管理工具，以及Windows帳號等，一旦收信人打開ISO裡偽裝成Office文件的LokiBot，該惡意程式就會透過處理程序挖空（Process Hollowing）手法，注入aspnet_compiler.exe執行。</p> <p>為了持續在受害電腦運作，此惡意程式會呼叫特定的API，將本身複製到應用程式組態資料夾（%APPDATA%），並寫入一組機碼。至於駭客散布此惡意軟體的目的，研究人員認為與商業郵件詐騙（BEC）有著密切關係。</p> <p><a href="https://www.bleepingcomputer.com/news/security/atandt-alerts-9-million-customers-of-data-breach-after-vendor-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">9百萬AT&T用戶資料外洩，起因是合作廠商遭駭</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，美國電信業者AT&T通知行動網路用戶個資外洩，人數約9百萬名，原因是他們合作的市場行銷業者在1月份遭駭所致。</p> <p>這些資料是用戶專屬的網路資訊（CNPI），包含了無線網路的線路數量，以及採用的網路速率，但不含信用卡資料、社會安全碼（SSN）、密碼，以及其他個資；此外，也有少部分使用者的資費方案流出的情況。該公司表示，他們自身的系統並未遭駭。</p> <p><a href="https://www.audio-technica.co.jp/news/detail/196"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本音響器材業者鐵三角傳出遭勒索軟體攻擊</span></strong></a></p> <p>日本音響器材業者鐵三角（Audio-Technica）發出公告，表示他們的內部網路在2月25日凌晨發生故障，對此，該公司決定暫停電商網站、電話、傳真、電子郵件等服務。到了3月7日，該公司表示在排除故障的過程中，發現是勒索軟體入侵所致，研判有部分公司內部資料可能遭竊，並恢復電話相關服務。</p> <p>而對於遭到洩露的資料範圍，鐵三角表示需要數個星期才能確認、處理，以及恢復，但因為他們將電商網站的付款系統外包，客戶的信用卡資料並未受到波及。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://blog.aquasec.com/jenkins-server-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Jenkins伺服器漏洞CorePlague有可能被攻擊者遠端執行任意程式碼</span></strong></a></p> <p>資安業者Aqua Security揭露CI/CD系統Jenkins存在嚴重漏洞CVE-2023-27898、CVE-2023-27905，他們將其命名為CorePlague，這些漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，於Jenkins伺服器執行任意程式碼，甚至有可能完全掌控整個伺服器。</p> <p>這些漏洞存在於Jenkins伺服器與Update Center元件，研究人員指出，由於漏洞存在Jenkins伺服器與Update Center元件，因此，就算攻擊者無法直接存取Jenkins伺服器，上述漏洞還是有機會被利用。</p> <p>上述漏洞與跨網站指令碼（XSS）有關，攻擊者可利用惡意Jenkins外掛程式觸發，將其上傳至Update Center，一旦IT人員執行Available Plugin Manager元件，上述的跨網站指令碼弱點就會觸發，攻擊者就能利用名為 Script Console的API執行任意程式碼。開發團隊於1月24日獲報後，已發布修補程式。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-posts-video-of-data-stolen-from-minneapolis-schools/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">明尼阿波利斯校區傳出遭到勒索軟體Medusa攻擊，駭客索討百萬美元換取刪除資料</span></span></strong></a></p> <p><a href="https://twitter.com/MsftSecIntel/status/1633515412142034944"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">商業郵件詐騙攻擊過程可能僅有數個小時</span></span></strong></a></p> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230309"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借賺錢遊戲盜取加密貨幣</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/2023/03/07/love-scam-espionage-transparent-tribe-lures-indian-pakistani-officials/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客鎖定安卓手機散布後門程式CapraRAT</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/android-march-2023-update-fixes-two-critical-code-execution-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android三月更新發布，修補2個重大程式碼執行漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155854">【3月9日】惡意軟體QBot以微軟OneNote檔案散播攻擊的態勢升溫、Fortinet防火牆與網頁安全閘道存在重大漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155833">【3月8日】 ChatGPT被用於投資詐騙攻擊、Windows信任的資料夾被用於繞過使用者帳號控制防護措施</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155813">【3月7日】宏碁再傳資料外洩事故、一百多家組織的居易路由器遭木馬程式HiatusRAT入侵</a></strong></p> </div></div></div>
2023/3/10 16:04作者周峻佑https://www.ithome.com.tw/news/155867
GitHub將在3月13日後，開始強制要求開發者啟用雙因素驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub在去年宣布於2023年時，所有開發者都需要啟用雙因素驗證，以提升帳戶安全，而現在官方<a href="https://github.blog/2023-03-09-raising-the-bar-for-software-security-github-2fa-begins-march-13/">發布最新措施</a>，從3月13日開始，GitHub將會逐步向開發者和管理員，發出啟用雙因素驗證的要求，收到通知的用戶將有45天配置時間，官方希望透過逐步擴大要求的方式，確保該政策能夠順利推展。</p> <p>當用戶收到啟用雙因素驗證要求，卻沒有在45天內成功配置，將會在之後第一次存取GitHub.com時被要求啟用雙因素驗證，用戶仍可以暫緩這項要求一星期，過了最後通牒時間帳戶的功能將受限。未收到啟用雙因素驗證要求的用戶，現在也可以主動啟用。</p> <p>啟用雙因素驗證的GitHub.com用戶，會在28天之後收到確認第二因素驗證的提示，官方提到，這是為了要避免用戶因為錯誤配置身分驗證應用程式，而導致帳號遭鎖定的預防措施。因此在該提示中，當用戶無法通過第二因素驗證，系統會提供一個快捷方法供用戶重置雙因素驗證，暫時還不會鎖定該帳戶。</p> <p>GitHub提供多種雙因素驗證方法，雖然用戶可以選擇包括身分驗證應用程式、SMS、安全金鑰或GitHub行動應用程式，但官方建議用戶最好使用安全金鑰和身分驗證應用程式，根據NIST 800-63B，SMS已經不是被推薦的第二驗證因素。</p> <p>GitHub也提醒用戶，啟用雙因素驗證的用戶應該解除帳號與電子郵件的連結，因為GitHub帳號都需要一個唯一的電子郵件地址，不過一旦帳戶被鎖定，用戶便難以使用常用的電子郵件重新創建新帳戶，因此官方現在提供解除帳號與電子郵件連結的功能，使得用戶能在啟用雙因素驗證的GitHub帳戶，取消與電子郵件地址的連結，如此當帳戶遭鎖定，用戶又無法找到SSH金鑰、PAT或是之前用來登入GitHub裝置來恢復帳號，就可以重新創建帳戶開始開發工作，貢獻圖也能夠正確顯示。</p> </div></div></div>
2023/3/10 17:00作者李建興https://www.ithome.com.tw/news/155870
GovTech月報第16期：AI智能手臂助攻，新北市啟用新AI資源回收分選廠，每年可處理1.2萬噸家戶資收物；羅馬尼亞…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0207~0308)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">資源回收</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>新北市啟用首座AI資源回收分選廠，靠AI機械手臂每年可分選1.2萬噸家戶資源回收物</strong></span></p> <p>傳統仰賴大量人力處理的資源回收出現新作法，新北市啟用首座AI資源回收分選廠「新北市資源循環教育基地」，位於五股地區的夏綠地，利用AI技術及自動化設備，降低資源回收分類對人力的需求，還結合智慧建築、參觀廊道、屋頂觀景平臺，成為環境教育的基地。</p> <p>新北市政府指出，傳統的資源回收需要大量人力進行分選，需廣大佔地、環境維護也不容易，該分選廠以自動輸送帶，搭配人工的初步整理，以光分選機分類塑膠及紙類，以磁選機分類鐵製回收物，再運用富智康與大豐環保合作開發的智能回收機器人，分選廠現在配備4支AI智能回收手臂，可識別紙類、紙容器、塑膠、鐵鋁罐共17類回收物，並且可分辨PET、PP、PS、HDPE、LDPE等不同塑膠材質，4支手臂每分鐘可抓取至少220件，一年約可處理2,500噸資收物，提升工作效率及資源再利用率。</p> <p>該分選廠結合智慧化、自動化設備，目前能夠分類多達56類，新北市政府估計啟用後，可處理五股、三重、蘆洲一帶，每年1.2萬噸的家戶資源回收物，協助新北市處理人口增加衍生的垃圾處理問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K1100.jpg" style="width: 600px; height: 400px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">羅馬尼亞</span></font> </strong></p> <p><span style="font-size:22px;"><strong>羅馬尼亞亮相首位AI顧問，助政府反映民情</strong></span></p> <p>羅馬尼亞近期對外揭露該國首位AI顧問Ion，這名AI顧問的實體為一面鏡子，可將該國民眾的意見向政府反映，在重要政策議題上，協助政府作出決策。</p> <p>羅馬尼亞總理Nicolae Ciuca在介紹這位AI顧問時表示，通過人工智慧，Ion能夠做到人類做不到的事情，傾聽所有羅馬尼亞人的聲音，並且代表民眾向政府發聲。</p> <p>根據羅馬尼亞政府的說明，這名AI顧問是運用人工智慧及自然語言處理，以識別該國民眾在社群媒體或新近在入口網站貼出的訊息，由AI顧問分類民眾的意見，建立優先性，將這些意見向政府反映，提供給總理及內閣成員參考。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">ChatGPT</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">國科會</span></font> </strong></p> <p><span style="font-size:22px;"><strong>生成式AI夯! 國科會：正規畫發展臺灣版的ChatGPT</strong></span></p> <p>國科會日前發布2023年我國整體科技發展方向，包括量子科技、太空、資安、高齡科技、淨零排碳、AI等，其中AI方面，除了設立臺灣AI卓越中心（AICoE），以提升我國在AI的科研、人才及治理，國科會強調將協調各部會，串接AI研發鏈的上中下游之外，也將加強與國際的交流合作。</p> <p>針對近來因ChatGPT帶動的生成式AI熱潮，國科會主委吳政忠表示，臺灣也要發展自己的ChatGPT，目前科技辦公室已開始規畫中。另外，為提升AI的基礎運算力，他並透露未來臺灣杉2號將升級，以提高算力。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位錢包</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> </strong></p> <p><span style="font-size:22px;"><strong>歐洲議會初步通過新的數位錢包計畫，打造統一數位身分框架</strong></span></p> <p>歐洲議會底下的工業、研究及能源委員會近期通過新的歐洲數位身分（eID）框架修正，新的數位身分可讓公民通過數位身分錢包，驗證他們的線上身分、授權，完全控制使用者的資料，決定和誰分享哪些資訊，不需仰賴第三方的商業服務，解決信任、安全及隱私方面的隱憂。</p> <p>根據新的修正案內容，該數位身分錢包將成為一種工具，以供讀取、驗證電子檔案，同時允許P2P的交流，強化隱私、網路安全，登記所有交易，確保第三方負起責任。此外，使用者可自願選擇是否使用數位錢包，必需確保選擇不用數位錢包者和選擇使用錢包者之間沒有差別對待。還要求成員國在其國內的eID計畫中，至少讓一個錢包可在歐盟的層級下互通運作。</p> <p>修正草案包括對安全請求、獲得、儲存、組合，以及使用個人身分資料、電子認證的規定，以用於線上或線下取得商品、公私服務。工業、研究及能源委員會通過更新案之後，將等待3月中的全體議會審議。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位孿生</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">城市治理</span></font> </strong></p> <p><span style="font-size:22px;"><strong>臺南市政府擬擴大利用數位孿生技術強化城市治理</strong></span></p> <p>臺南市政府運用數位孿生技術提升城市治理，去年於知名景點安平古堡啟動數位孿生試驗計畫，近期市府預告今年將進入第二階段擴大試辦，將以沙侖綠能科學城為場域，建立數位孿生平臺，透過動態展示該地區的交通、能源情形。</p> <p>市府去年啟動的數位孿生試驗，在安平古堡地區，結合無人機空拍、3D建模技術，打造一個與現實如同雙生的虛擬安平古堡場景，搭配現實生活的即時影像、物聯網感測器、ICT通訊，將現實與虛擬場景的動態連結，利用這個虛擬場景模擬交通管理、園區管理、防救災規畫、旅遊導引等不同方案的效益，將可視化的結果，作為市政決策，以及和各方溝通的參考。</p> <p>安平古堡3D模型局部放大：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(7).jpg" style="width: 600px; height: 248px;" /></p> <p>鑑於數位孿生技術在城市治理具有潛力，臺南市政府表示，今年將進入第二階段，以沙侖綠能科學城建立數位孿生平臺，未來數位孿生更可納入各行政區的重點區域，投入都市規畫、大型公共建設、防救災規畫、旅遊導覽規畫等等，如進一步結合生成式AI，可望重現過去時光，甚至模擬未來發展景象。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧農業</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">桃園市</span></font> </strong></p> <p><span style="font-size:22px;"><strong>桃園成立智慧農業推動小組，要用AI、IoT、大數據分析助農業升級</strong></span></p> <p>傳統農業需要大量勞力，但少子化造成勞力短缺，加上面臨極端氣候的挑戰，桃園市政府農業局近期宣布成立智慧農業推動小組，由副市長蘇俊賓擔任招集人，邀請學界及產業界，包括AI、大數據、無人機、IoT等領域的專家人士組成顧問團隊，協助桃園市加速智慧農業發展。</p> <p>除了組成顧問團隊，借助產學界的力量，市府也邀請農業試驗所、農糧署北區分署、桃園區農業改良場及茶業改良場、畜產試驗所新竹及桃園市農會，提供農業科技、產銷及推廣等經驗。希望結合ICT、AI、大數據、IoT等科技，蒐集氣候、作物生長數據，導入自動生產排程預估產量，改善農業人力資源管理，提高農業生產效率。</p> <p>桃園市農業局表示，智慧農業推動小組成立，將加速農業升級，實現農業的永續性，提升農業生產的效率與量能。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">筑波市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">IoT</span></font> </strong></p> <p><span style="font-size:22px;"><strong>日本筑波市與家電業者聯手，測試利用IoT家電協助發布防災訊息</strong></span></p> <p>日本茨城縣筑波市政府、地球科學及災害復原國家研究機構、家電業者Sharp合作，將測試利用連網的IoT智慧家電，向民眾發布語音的災難預警訊息。</p> <p>三方希望開發出一套系統，可利用IoT智慧家電，在必要時向民眾發布疏散等訊息，以協助民眾及早應對災難，降低災害的影響。這項測試將會募集自願參與者，在測試期間，民眾每天會透過智慧家電接收兩次訊息，研究單位蒐集、分析受試者對訊息數量、速度的意見。</p> <p>透過這項測試，可向地方政府或特定的災害區域傳遞訊息，由於室內很難聽到防災無線廣播，防災訊息的發布存在挑戰，筑波市期望通過這次的測試，可以改善當前的問題。</p> <p> </p> <p>圖片來源／新北市政府、臺南市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.英國提出科學與技術框架國家戰略，確保2030年科技強國地位</strong></p> <p><strong>2.日本北海道測試以無人機協助山區雪崩救援可能性</strong></p> <p>資料來源：iThome整理，2023年2月</p> </div></div></div>
2023/3/10 15:21作者蘇文彬https://www.ithome.com.tw/news/155848
ChatGPT能與不能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1120-feng_mian_gu_shi_-p1_open-960x420_gong_zuo_qu_yu_1.jpg?itok=7ApT3Ywn" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上億人搶著用的殺手級應用ChatGPT，正式推出API跨入企業市場，不只搶進搜尋引擎戰場，也跨入更多企業對話式應用情境，但ChatGPT並非萬能魔杖，企業大舉導入前，不只要知道它的能耐，更得掌握背後的挑戰和風險</p> </div></div></div>
2023/3/10 10:52未署名https://www.ithome.com.tw/article/155858
【先行者經驗：Gogolook共同創辦人暨執行長郭建甫】因應ChatGPT浪潮，企業要先做2件事也思考3大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著ChatGPT浪潮爆紅，也開始吹起一股擔心自己工作不保的焦慮感，「這個時間點，我鼓勵大家開放心態談論ChatGPT，不要恐懼自己被裁員，公司不會這樣做。」Gogolook共同創辦人暨執行長郭建甫要建立健康的正面討論氛圍，正是他看到這股AI新浪潮後做的第一件事。</p> <p>郭建甫引述a16z創辦人Andreessen Horowitz的觀察，人們對自動化浪潮焦慮的爆發，從1930年代以來，大概每30年會出現一次，不過每一次這種令人深刻的演示，很多人擔心快速爆炸後，會影響到所有人類的勞動力，Andreessen Horowitz強調這種感受是大錯特錯，他不只鼓吹這股趨勢，也反思提醒說，這種事其實每30年就會發生一次。</p> <p>郭建甫用「On top of AI」(站在AI的肩膀上）這個概念來聚焦員工的思考，「如何用AI強化自己的能力，把AI當作是自己的延伸，只是這次不是實體的延伸而是心智、知識的延伸，」他表示：「要從這種生產力層面來思考，能不能用150個人（編按：與目前同樣的人力規模），做到10倍、20倍的成長。」</p> <p>不只如此，他更進一步探討ChatGPT浪潮的本質，就像10年前，iPhone問世時，創造了一個以iOS為基礎的公共基礎設施，也就是行動網際網路，在上面可以發展很多行動App，「從公共基礎設施（utility）的角度來看，帶來了一種空間和時間的公共設施（space and time），」他解釋，讓你擺脫物理限制，變得生產力很高，坐在這邊按一個鍵，食物就從A點送到B點，時間跟空間被壓縮，這是當年iPhone moment帶來的效用。</p> <p>ChatGPT的出現，同樣被形容成是另一次的iPhone時刻，同樣的道理，「生成式AI是底層基礎，上面是知識的公共基礎設施，知識變成一種公共財，所有人都可以存取到跨語言、跨文化的知識。」他更進一步強調：「這種知識公共基礎設施會帶來兩種衝擊，第一是對生產力帶來衝擊，」所以，郭建甫要求員工開始解構自己工作中，無聊、沒有意義的成分，思考如何交給AI，來獲得更多的時間。</p> <p>帶動每一個人開始使用和思考後，甚至有Gogolook開發端主管思考，是否要區分前後端，前端工程師能不能保留系統分析、邏輯思考、將人的需求轉化成機器聽得懂的語言，保留這些能力，但借助No Code工具和ChatGPT，能不能學會後端開發的技能。</p> <p><span style="font-size: 28px;"><strong>迎戰ChatGPT浪潮要先做的2件事</strong></span></p> <p>郭建甫的第一步是「要求公司每一個人都思考，從主管到個人，讓大家開放心態的談論這件事。」他先從鼓勵討論著手的目的是，要讓全公司「真的理解ChatGPT代表什麼樣的演化。」</p> <p>不只追求更徹底的了解，第二步，他向自己和所有員工這樣提問：「當知識變成一種公共基礎設施（Utility）之後，如何加入到產品中？」他強調：「如何在這些知識之上，創造你的應用，變得更重要。」</p> <p>不只Gogolook，很多動作快的新創都已經開始思考，如何解決用戶痛點，在證明有存在價值的服務上，再加上AI的能力。郭建甫表示：「用戶痛點是重點，如何在既有服務，在已經可以解決用戶痛點的商業模式上，透過這些生成式AI將UI/UX升級，我覺得，絕對是必要的事，但不是像接水管般一樣就創造一個服務，你可以這樣做，別人也可以這樣做。」</p> <p>OpenAI創辦人Sam Altman也曾探討過新創在這波浪潮中的機會，他的看法是，全世界最後會剩下只有幾家公司提供超大語言模型Base Model的服務，如何善用「1%的客製化」成了關鍵。</p> <p>因為像GPT 3這種一次訓練要價千萬美元的超大語言模型，沒有幾家企業可以負擔，而OpenAI公司目前也沒有開源釋出底層基礎模型（Foundation Model或稱為Base Model），只開放透過API來客製化微調(Finetune）的是在這個基礎模型上的屬性模型（Attribute Model），仍然需要在基礎模型上才能執行。所以，新創可以利用屬性模型的微調，來建立客製化的中間層的服務。</p> <p><span style="font-size: 28px;"><strong>發展客製化AI的兩大方向</strong></span></p> <p>郭建甫認為，屬性模型客製化可以有兩大方向，第一是瞄準ChatGPT沒有的領域知識（Domain Knowledge），它不是每個領域的專家，第二個層面是可以進行原則或政策（principle 或policy）的客製化。</p> <p>領域知識是許多企業想要進一步調教ChatGPT的重要方向，這是許多企業或新創已經看到的主流客製化做法，但是郭建甫提到的Policy層客製化又是什麼？為何是重要的發展？</p> <p>他進一步解釋，模型本身會有基本的道德面政策，例如不能涉及敏感政治問題、暴力、詐騙等，但做生意需要的不只是這種政策機制。</p> <p>例如日本有很多IP角色，也需要有一套符合對應人設的Chatbot AI發言政策控管機制，日本公司才敢授權。所以，郭建甫才認為：「中間層的控制，除了領域知識，我覺得原則或政策機制的控制，也很重要。」例如為了避免濫用，一套好的監控機制，來確保不會授權角色的濫用，也很重要。</p> <p><span style="font-size: 28px;"><strong>生成式AI也帶來3個層面的新挑戰</strong></span></p> <p>不過，ChatGPT不只帶來新的機會，郭建甫觀察，也帶來了三個層面的挑戰，第一個層面是資料與資訊面的挑戰，GPT模型本身目前最為人詬病的就是內容真實性不足的問題，郭建甫指出，如何讓ChatGPT的回答更具備事實基礎和提供參考來源，這是一個值得被解決的問題，甚至他認為，在問題解答中標記出所用的參考來源網址，也可以是一種好的商業模式，例如Bing結合ChatGPT模型後的做法。</p> <p>不過，郭建甫更強調，第二項監管層的挑戰，這就是他所謂在中間層的控制機制。「出現很多客製化GPT時，這也代表需要制定這個客製化AI的政策，」就像若有家銀行要以ChatGPT技術來打造大型企業的發言人，就需要一套這家公司專屬的人設政策，來限定發言的AI什麼可說，什麼不能說，而且不能出錯。或者如美國已有人工智慧相關的法遵，要求必須在商用或政治領域用Chatbot中標明這是AI而非真人。「未來，在治理面、平臺到應用層，每一層都需要再建立政策機制，」</p> <p>但是，還有一個更困難，也就是第三個層面的挑戰，「教育層面的挑戰，包括了資訊識讀、批判性思考、邏輯思考、獨立思考的能力的培養，我認為非常重要。」他強調。</p> <p>ChatGPT出現後，可預期釣魚郵件、簡訊詐騙等各種內容訊息詐騙手法會更加逼真，可以做到高度個人化。郭建甫觀察，「單靠內容越來越難分辨，得從資料源頭的發送者身分著手，身分識別的可信度會比過去更重要，這才是不變的重要關鍵。」他強調。</p> </div></div></div>
2023/3/10 09:20作者王宏仁https://www.ithome.com.tw/news/155846
【先行者經驗：台灣大哥大副總經理暨資訊長蔡祈岩】不只IT人人能變全端工程師，ChatGPT更有企業5大層次應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年1月開始，台灣大哥大資訊群開始在內部試用ChatGPT，「真的運用到工作上，才知道會帶來什麼影響。」台灣大哥大副總經理暨資訊長蔡祈岩強調。</p> <p><span style="font-size:28px;"><strong>台灣大哥大怎麼用ChatGPT</strong></span></p> <p>蔡祈岩開始嘗試讓開發人員用ChatGPT輔助寫程式，在內部九大工種，包括了iOS、Android、後端（Java、非Java）、前端（Javascript、.NET)、PL/SQL、雲端工程以及QA等工種團隊中，各挑選一些先期種子，有資深人員，也有新手工程師，實際在開發場域使用ChatGPT。從2月開始，更在每周工程師分享時間中，找來這群ChatGPT實作者，分享在他所屬工種情境中的測試報告跟使用狀況。</p> <p>台灣大哥大去年就曾嘗試程式碼AI幫手Copilot，這次也列入與ChatGPT程式碼生成的比較。目前結論是：ChatGPT比Copilot強很多。蔡祈岩解釋，ChatGPT所用的模型更新，涵蓋的語言種類更多，對開發者描述語的理解也比較深，因此，ChatGPT所產生的程式碼的正確率也較高。</p> <p>不過，他觀察，目前ChatGPT自動產生程式碼的作法還是有局限，第一，沒辦法幫忙修改現有較大的系統，因為它還沒有能力理解系統架構，也就沒辦法幫忙依照需求修改老舊系統。</p> <p>對IT團隊來說，舊有系統修改是更大的關鍵需求，若能將舊系統整套匯入，AI讀完能夠完整理解全局邏輯，甚至能幫助工程師新增或修改部分功能而不會改A弄壞B，但目前的ChatGPT無法做到這件事。</p> <p>目前可以幫助之處，像是快速生成原型系統、撰寫自動化腳本、協助單元測試，或是陌生技術開發，例如更快串接新API或新資料庫等。</p> <p>另外，它可能會讓軟體工程師打破工種分工，例如：若工程師只熟悉A技術，而不熟悉B技術，過去這類工程師要開發B技術應用相對痛苦，蔡祈岩表示，ChatGPT可以扮演一個熟悉B技術的助手，「能讓工程師會更有自信，開發速度比較快，也能夠減少嘗試錯誤的次數。」</p> <p>甚至，進一步來說，熟悉iOS的工程師，借助ChatGPT也能夠開發Android程式，甚至後端工程師也能開發前端應用，而且不只Web應用，還可以開發iOS或Android應用。</p> <p>「根據我們目前的實驗，未來有可能，所有的工程師都會人人變成全端工程師。」蔡祈岩強調。</p> <p>蔡祈岩認為，從ChatGPT開始，AI正式揭開序幕，往後會出現更多種大型語言模型或其他類人性的AI模型，「AI會開始大量介入每個人、每家企業的日常。這是ChatGPT真正的影響。」</p> <p><span style="font-size:28px;"><strong>ChatGPT的企業五大層次應用</strong></span></p> <p>從台灣大哥大的試用經驗中，蔡祈岩更提出ChatGPT的企業五大層次應用，一是提高員工生產力；二是強化企業內外的數位平臺與服務；三是微調出企業需要的客製化ChatGPT ；四是訓練出企業自己擁有的GPT-like模型；五是打造或投資AI算力池。</p> <p>ChatGPT對提高員工生產力的效果，已經有很多應用實例，像是IT用來協助撰寫程式，行銷企劃用來產生素材、寫文案，或者台灣大哥大也有員工用來翻譯、提案或學習新事物。「員工學習新事物，ChatGPT是很好的助教。」蔡祈岩說。</p> <p>到了第二個層次，企業應該要思考，現有對內或對外的數位平臺或服務，是否能串接ChatGPT來提升原本平臺的能力，尤其3.5版API開放後，成本比上一版低了九十%，另外也提供了開源的Whisper API，企業可以用來將過去客服錄音檔轉成文字。</p> <p>更進一步，企業可以評估要不要微調出一個客製化的ChatGPT，這是第三個層次的應用。蔡祈岩解釋，微調出自己的客製化模型，是ChatGPT背後大型語言模型的關鍵設計，稱為PPLM（Plug and Play Language Model）。</p> <p> PPLM是一種架構設計，在大型語言模型底層有一個基礎模型（Base Model）或稱基石模型（Foundation Model）。需要龐大資料量，每次訓練宣稱要價千萬美元的模型訓練，就是指對基礎模型的和龐大資料的模型訓練，因為這個基礎模型的參數多達上千億個。</p> <p>在這個基礎模型上還有一個屬性模型（Attribute Model），可以用來改變或調整模型輸出結果，更接近使用者對結果的需求或期待。蔡祈岩解釋，屬性模型和基礎模型最大的不同就是，屬性模型是一個可以更換（Plug and Play）的模型。</p> <p>換句話說，就像AI大腦中有大量知識，當要開口講的時候，再透過一個小型的神經網路模型來判斷，該說什麼更符合使用者喜歡的答案。</p> <p>「ChatGPT講起話來很像人話，非常流暢的關鍵，就是屬性模型用了大量的人工標示資料，來進行增強式學習的訓練。」蔡祈岩表示，企業打造客製化ChatGPT模型時，所微調（FineTune）的就是這個屬性模型。</p> <p>屬性模型就像是一個外掛模組一樣，企業微調出自己的客製化模型，不會改變或影響到原本的基礎模型，但很容易切換成不同的外掛。蔡祈岩比喻，就像是製作奶油蛋糕上的壓花，只要更換壓花接頭，就可以擠出不同形狀的形狀，但更換接頭不能改變奶油的本質，只能改變輸出的形狀。</p> <p>蔡祈岩指出，屬性模型是一個重要設計，關鍵是可以用相對小非常多的參數量，可能只要十萬分之一的參數量，就可以對基礎模型的輸出，產生翻天覆地的變化。在第三個層次應用中，企業可以用自己的語料和資料，訓練出一隻行銷大軍或客服大軍。蔡祈岩提供一個加速微調客製化模型的訣竅是，可以用另一隻ChatGPT產生大量新語料，例如用AI產生一句話的1千種說法，來微調訓練新的AI屬性模型。</p> <p>如果企業有更大的企圖心和財力，蔡祈岩建議，可以進入第四個層次，訓練自己的基礎模型，例如使用已經釋出原始碼和預訓練模型的類GPT 3模型，如BLOOM或GPT-Neo 3.0 或GPT 2來訓練，或是企業可以參與國際大型模型的研究計畫。</p> <p>最後一項打造或投資AI算力池的層次，則需要龐大財力，但是，「就像是過去要擁有超級電腦的概念，未來AI算力池會成為戰略性的資源。」他強調。</p> <p>對臺灣企業而言，蔡祈岩認為，所有企業都應該做到第一個層次的應用。而大部分稍具規模或擁有數位平臺的企業，如擁有網站、App、或內部資訊系統，則可以考慮發展到第二個層次。</p> <p>若企業顧客數龐大，或擁有龐大的客服團隊或業務團隊，「只有其中一個團隊規模超過數百人，企業就應該想辦法做到第三層次的ChatGPT應用。」蔡祈岩建議，因為ChatGPT的價值不是用來減少人力，而是可以增強這類對話情境的服務深度和顧客滿意度，例如24小時提供具有平均水準的客服或業務人員，不只解答還能推薦產品來行銷。「只要訓練出一支這種AI，就是千軍萬馬。」</p> <p>蔡祈岩表示，台灣大哥大已經開始推動第一層「提高生產力」的應用，任何企業都應該做到第一層應用，「而第二層到第五層，對台灣大哥大來說，也是會考慮的開放選項。」</p> <p><span style="font-size:28px;"><strong>要建立AI可用資料分級資安規範</strong></span></p> <p>在大力擁抱ChatGPT的同時，蔡祈岩提醒，需要有配套的資安規範，尤其對機敏資料的管理，他建議，企業要開始對資料進行分級，將AI視為外人，凡是不可以對外人說的資料，都不能放到ChatGPT上，可以比照企業對雲端儲存的機密控管規範做法一樣。</p> </div></div></div>
2023/3/10 09:30作者王宏仁https://www.ithome.com.tw/news/155856
IT現代化腳步不能停
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在3月初，希臘發生嚴重的火車對撞事故，已造成57人罹難，根據紐約時報的報導，如果業者如期設置現代化安全系統，就不會發生貨運列車與客運列車行駛在同一條軌道的危險狀況，因為會出現警示聲音提醒相關人員注意，並且啟動自動剎車，然而，過去10年以來，希臘鐵路系統雖然已獲得7億歐元資金，為的就是推動現代化的改造工程，但是，這項大眾運輸服務至今仍名列歐洲最危險的鐵路，而未能預防本次重大交通事故的發生，確保所有乘客與貨運安全。</p> <p>根據上述報導，在此之前，歐盟持續推動27個成員國能安裝精密的新機制，名為「歐洲列車控制系統」，期盼在2030年能完成，以便監督列車狀態，控制車速過快、闖越紅燈禁行警示或行駛在錯誤軌道等狀況，遺憾的是，希臘竟遲遲未導入，甚至從來都沒有建置與使用國家級的自動化安全系統，以這次出事的拉里薩（Larissa）路段而言，轉轍系統不完備的狀況已持續多年，就連基本的訊號處理傳輸設備的運作都有問題，部分零件丟失正是原因之一。</p> <p>為何希臘不積極針對鐵路運輸採用更完善的安全系統？他們面臨許多現實經濟上的因素，像是國家財政預算吃緊、因COVID-19而導致的供應鏈問題、官僚主義造成的拖延，以及合約糾紛。</p> <p>對於許多企業與組織而言，過去幾年以來，因為疫情的關係而大力推動數位轉型，然而，我們也歷經了中美貿易戰、晶片短缺、貨櫃塞港、烏克蘭戰爭爆發、極端氣候變遷、劇烈的通貨膨脹等種種危機，導致難以樂觀看待未來的全球與區域經濟走勢，因此，有不少人會選擇撙節、縮減不必要的開支，希望能度過眼前仍看不到盡頭的各式難關，然而，節省開銷雖然是大環境的共通氛圍，卻不該以寶貴的生命做為代價，因為大家固然可以忍耐不方便、共體時艱，安全性卻不能輕易妥協。</p> <p>而且，科技的突破與普及並非只帶來便利性，在現今這個自然與人力資源持續短缺的狀況下，我們其實更需要仰賴技術來實現以少作多（Do more with less）的槓桿效益，提供更有效率、更有彈性，以及具備更大韌性的運作方式。</p> <p>回顧過去的IT架構發展，不論是從主從式架構、多層式架構到網站應用程式、行動App，或是從內部網路、主機代管到雲端服務、物聯網，或是個人電腦／伺服器、整合應用／嵌入式設備，到運算虛擬化、容器、無伺服器，在當下我們總會懷疑，為何要一次次地進行架構的轉移與兼容並蓄？</p> <p>事實上，IT領域已持續經歷過多次典範轉移，每個階段都面臨不同程度的數位化變革，例如，從封閉走向開放（大型主機vs. 個人電腦），由集中趨於分散（伺服器服務由單體走向多體，用戶端設備從個人電腦擴展至行動裝置），將多機整併於少機執行（伺服器虛擬化、融合式架構、超融合基礎架構），從地端走向雲端（私有雲、公有雲、混合雲、從邊緣運算連至公有雲）。</p> <p>基於這些長期推進的IT改革，無疑替大家帶來更多工作與生活的機會與選擇，而且，無論是大型企業或是中小企業、公私組織與機構、家庭、個人，都能找到各自適合的解決方案，但最終仍有個關卡是必須由組織或個人本身來決定的，那就是何時採用。</p> <p>基於許多現實考量，尤其是財務的壓力，我們總是找得到各種理由來表達不用新科技的意願，當然，每個人都可以擁有自己接受與否的時程，以及繼續尋求與現況相去不遠且代價少的替代方案，但也必須思考長期不用、不接受的代價划得來嗎？是否有一天會高到自己會後悔的地步。而且，有時我們也不僅只是考慮個人與組織單位既有習慣，也需要了解整個外在環境需求的變化，若涉及親友、客戶、合作夥伴，為了確保他們的福祉（well-being）與安全，我們咬著牙也必須調整本身的作業方式，勇敢踏上改革道路。</p> <p>對此，資訊科技過往的發展已不斷做出示範，未來不論是面對多極（multipolar）化的全球競爭合作局勢，或是積極響應2050淨零排放的環保淨零排放勢，資訊科技本身仍必須持續推動現代化的改良與鋪極，才能在這些變化之下，提供更多確保眾人生存的手段。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%A4%9A%E6%A5%B5%E5%8C%96">多極化</a></div><div class="field-item odd"><a href="/tags/multipolar">multipolar</a></div><div class="field-item even"><a href="/tags/%E6%B7%A8%E9%9B%B6%E6%8E%92%E6%94%BE">淨零排放</a></div><div class="field-item odd"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div><div class="field-item even"><a href="/tags/it%E7%8F%BE%E4%BB%A3%E5%8C%96">IT現代化</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div></div></div>
2023/3/10 09:36作者李宗翰https://www.ithome.com.tw/voice/155857
【先行者經驗：Chimes AI執行長謝宗震】靠ChatGPT輔助，非技術人員更容易發想AI新點子
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業數位轉型開始擴大導入新興科技時，對非技術人員往往會面臨很大的適應考驗，他們不知道如何應用新科技、分析數據或解讀BI報表來決策。AI新創Chimes AI執行長謝宗震從去年底開始，開始用ChatGPT協助自家企業顧客面對這些挑戰。</p> <p><span style="font-size:28px;"><strong>可用ChatGPT產生AI提案計畫書</strong></span></p> <p>有一家使用了Chimes AI建模與管理平臺產品的企業，老闆想要將AI擴大應用到其他部門，要求各部門提案。不過，非技術部門不熟悉AI技術，無法想像如何將AI應用於工作流程優化。</p> <p>謝宗震參考自家過往AI導入案例，利用提示工程做法，讓ChatGPT自動生成AI應用發展企畫書。謝宗震說，這份企畫書已經足以提供企業思考的大方向，之後只要稍做修改，就能成為具可行性的計畫。目前可以利用ChatGPT生成AI應用場景的計畫書、產生專案開發計畫、建議專案資料盤點、模擬專案資料、補齊專案資料、提供解讀等等不同專案階段的參考資料或知識。</p> <p><span style="font-size:28px;"><strong>能學習ChatGPT如何解讀BI報表</strong></span></p> <p>如何運用ChatGPT來輔助非技術人員，例如企業業務團隊常需要參考BI報表來決策，不過，就算有BI報表，業務人員不一定能將報表內容直接轉化為具體洞見或執行計畫。謝宗震觀察，對不諳資料科學的中階主管而言，從BI報表上冰冷的數據找到延伸方向，並整理為合理易懂的解釋，不是一件易事。這是一個ChatGPT能應用的場景。企業可以輸入報表或各式圖表給ChatGPT，讓它生成出易懂的分析來作為報告參考。</p> <p>謝宗震說明，AI可以幫忙從資料之間的關聯性找出可能解釋。舉例來說，ChatGPT能快速觀察出太陽能光電廠的發電量跟天氣、氣溫、能見度等變數間的關聯性，並輸出易懂的文字結論，例如發電量與哪個變數關聯性最強。</p> <p>儘管ChatGPT是處理自然語言的AI，不過也有辦法讓它讀取視覺化圖表。使用者可以對ChatGPT描述圖表資料結構，例如折線圖XY軸，再將數據以CSV的格式提供給ChatGPT，它就能讀懂非純文字的圖表。謝宗震也觀察到，為了避免資料外洩等原因，企業實務上通常不會直接將所有數據輸入ChatGPT，而是將部分數據或模擬數據提供給ChatGPT解釋後，再參考它生成的解釋方向，來解讀實際數據。</p> <p><span style="font-size:28px;"><strong>ChatGPT參數及提示輸入是成果精準度關鍵</strong></span></p> <p>如何善用提示工程來引導ChatGPT的生成時，謝宗震提到，對ChaGPT定義使用者角色的重要性。舉例來說，在請ChatGPT發想技術應用企畫時，可以指示ChatGPT扮演生產技術部門裡面的一個品管人員，生成的企畫細節就會更加貼近實務需求。甚至，若指示ChatGPT扮演經驗豐富的數據科學家角色來解釋BI報表，解讀能力也會提升。</p> <p>企業導入ChatGPT的另一個隱憂是生成結果的精確度。作為一個生成式AI，ChatGPT會不會輸出與實務情況脫節的內容，例如在生成報告時，添加了現實中不存在的數據或細節等？謝宗震坦言，這種情況確實有可能發生，因此在ChatGPT API的參數設定及指令輸入上，必須依照需求做出相對應的調整，才能獲得足夠精確的輸出成果。</p> <p>舉例來說，在ChatGPT API中，提供了一個Temperature參數，決定生成結果的多樣性，數字越高，多樣性越大，也就越可能與現實脫節。因此在需要高精度和可重現性的應用場景中，可以將此參數降為0。不過，也有些應用場景反而需要ChatGPT生出更多元的結果，例如探索新興技術應用可能時就需要調高。</p> <p>雖然ChatGPT只能根據2021年3月之前的數據來生成內容，不過，謝宗震認為，參考2年前的網路資料雖無法讓企業一躍成為業界最前線，但已經足以讓企業不落於人後。他甚至表示，這種用ChatGPT生成新興技術應用企畫的做法，「是一般企業追趕頂尖企業最好的方法。」</p> <p><span style="font-size:28px;"><strong>資料模糊化技術將成降低資料外洩風險關鍵</strong></span></p> <p>對不少企業來說，使用ChatGPT這類工具的一大疑慮，是擔心敏感資料外洩。謝宗震認為，首要做法是，企業內部要規範好數據控管機制，以避免員工不慎上傳涉及個資隱私或營業機密的數據。接下來，則是妥善利用資料模糊化技術。</p> <p>由於企業使用ChatGPT來進行企畫書或報表解讀時，通常只需要大方向的趨勢解讀，因此企業可以先模糊化數據，再輸入數據給ChatGPT。這些方法包括將具體數字轉化為百分比、在數據中加入一定程度的雜訊，或者以實際數據為基礎，做出一份模擬數據。</p> <p>不過，謝宗震認為，隨著越來越多企業認同ChatGPT等AI工具的價值，未來資料模糊化技術也會更加重要。就算財力雄厚的大型企業能直接購買一套AI模型，部署到自家環境中，要做到這種程度的投資前，企業內部仍須先進行小型概念驗證，建立企業對這類工具的信心，因此資料模糊化這種較簡單的做法，對於大小企業來說都有其必要性。</p> </div></div></div>
2023/3/10 09:38作者郭又華https://www.ithome.com.tw/news/155843
【ChatGPT先行者經驗：多奇數位創意總經理黃保翕】靠AI減少開發重工和註解負擔，IT人語言邏輯能力未來更重要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自然語言處理AI可以成為程式開發工作的強力輔助。事實上，從自動生成程式碼、提供修改建議，到撰寫代碼註釋、生成程式說明文件，客製化軟體開發公司多奇數位創意都已經在用ChatGPT和同樣使用GPT-3模型的GitHub Copilot，來簡化這些環節的許多工作。這些工具對開發工作帶來的改變，讓語言邏輯能力成為工程師重要能力之一，「甚至以後文組的人，即使程式能力不是很強，也可以把開發做得很好。」多奇數位創意總經理黃保翕直言。</p> <p><span style="font-size:28px;"><strong>自動化高重複性開發及解釋性文書工作</strong></span></p> <p>黃保翕他以自家一位Java工程師第一次嘗試使用Copilot的體驗，來說明AI如何應用於程式開發。</p> <p>這位工程師當時正在與黃保翕討論專案程式碼重複性高，是否要建立一些設計模式（Design pattern）的問題。「這種事情用Copilot其實一下就搞定了。」黃保翕說。</p> <p>起初這位工程師還半信半疑，加上當時Copilot免費試用已經結束了，因此工程師不太情願試用。黃保翕只好直接掏出300塊，並當場教這位工程師Copilot的使用方法。</p> <p>「結果他在IDE剛打了一個@，後面100%正確的程式碼就自動完成了。」黃保翕解釋，Copilot可以自動將專案所有的原始碼進行建模跟分析。當工程師輸入提示文字，它便會考慮專案的設計模式跟架構，並預測一個最適合的回答。這意味著，許多重複性的程式碼，例如增刪查改（CRUD）指令，都能用AI又快又好的完成，省下開發人員撰寫重複代碼的時間和精力。黃保翕並表示，由於AI生成的程式碼是依照提示指令及開發中專案既有程式碼，動態生成出來的，因此這些程式碼沒有抄襲的疑慮。</p> <p>多奇還會利用Copilot及ChatGPT生產程式碼注釋及說明書。黃保翕說，工程師通常不喜歡寫程式碼說明文件，而AI生成的說明書，不只條理清晰，幾乎不用修改，還可以文情並茂，容易閱讀。現在多奇PM或SA只要把程式碼貼到ChatGPT裡面，再把生成的說明書貼到Word裡，幾乎就完成了所有工作。由於程式碼是邏輯性很強的文字內容，因此NLP AI可以清楚理解，並生成精確的說明文件，「如果ChatGPT看不懂你的程式碼，那你寫的東西也是夠爛的。」他笑道。</p> <p>ChatGPT還能用來優化或檢查程式碼，多奇甚至為此開發了輔助工具，進一步加速工程師用ChatGPT做這件事。他們開發了一個Google Chrome擴充功能，能自動填入Web版ChatGPT的提示文字，再寫了一個Microsoft Teams機器人，可以將輸入的程式碼拋轉到這個擴充功能上。這樣一來，工程師只要在自家Teams頻道上貼入程式碼，就能直接拋轉到Web版ChatGPT，讓AI幫忙檢查，並提出建議。黃保翕補充，這樣不只能簡化程式碼檢查工作，而且每個工程師一天至少會使用ChatGPT 10至20次，透過這個工具來利用免費的Web版ChatGPT，還能省下呼叫ChatGPT API的使用費用。</p> <p><span style="font-size:28px;"><strong>顛覆開發工作流程，語言邏輯能力更加重要</strong></span></p> <p>GitHub Copilot和ChatGPT自動化了開發工作流程中許多工作，不過黃保翕強調，這並不代表工程師會被取代，因為AI沒有自主發想能力，因此人類工程師發起新專案、新功能的角色，難以由AI替代。</p> <p>不過，工程師的工作內容和流程，以及強調的能力，確實會因為這些AI工具的問世而改變。要用提示語言來操作AI寫程式、寫文件，工程師必須具備兩種能力，其一是語言邏輯能力，其二是對開發技術及框架的理解。</p> <p>給你一個情境，如果你要對ChatGPT描述它，你會怎麼說？黃保翕拿這個問題考過許多人，「很多人會詞窮，對工程師來說，這是一個警訊。」他指出，重複性高、有明顯設計模式的程式碼，工程師可以輕易命令AI生成。但如果要AI生成的內容，涉及較為複雜的業務邏輯或沒有標準化開發模式，就需要工程師用更精準的語言提示AI。此時，比起寫程式的能力，工程師的語言邏輯能力就顯得更加重要。「以後甚至可以找文組生來生成程式碼，因為他們更能對AI精確描述需求。」他說。</p> <p>要清楚描述需求，除了理解業務邏輯，工程師還得對開發框架及技術足夠熟悉。若工程師對技術理解有限，就無法準確告訴AI怎麼寫程式。黃保翕說，目前Copilot和ChatGPT約省下了工程師20%的工作時間，這些時間，工程師應該用來深化自己對技術的了解，以利未來能命令AI寫出更多、更複雜的程式碼。研究開發技術的方向，也會從記憶特定程式碼怎麼寫，轉向理解這個開發框架或技術的強弱項及運作邏輯，因為具體程式碼已經不再是由工程師親手敲出來，而是由AI工具代為生成。</p> </div></div></div>
2023/3/10 09:38作者郭又華https://www.ithome.com.tw/news/155842
【ChatGPT先行者經驗：臺北市政府資訊局長趙式隆】擴大應用須落地，公務用得確保合規
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於ChatGPT受到外界注目，企業或政府機關也開始思考如何運用ChatGPT，希望提升內部工作效率，不只是資訊部門，這股ChatGPT旋風也吸引企業高層或政府部門首長的注意，從上而下指示IT部門研究ChatGPT應用的潛力，例如臺北市長蔣萬安近期也在內部會議裡，要求資訊局研究評估ChatGPT應用可能性。</p> <p>儘管ChatGPT看似無所不能，擅長機器學習、深度學習技術的臺北市政府資訊局長趙式隆認為，ChatGPT目前開放免費使用，仍處於對外展示技術的階段，從創造的效益來看，是很好的技術展示，但距離商業化的應用仍有許多問題待克服。</p> <p><span style="font-size: 28px;"><strong>必需落地降低權限控管風險</strong></span></p> <p>趙式隆指出，目前ChatGPT部署在公有雲，背後依靠龐大運算量，才能支援各種使用者的提問，背後所花費成本相當高，應用部署在外部資料中心的ChatGPT，上傳客戶或民眾隱私資料，無法知道Open AI會不會取得這些資料，對資料的權限控管就會出現問題。因此，對重視資料安全的政府機關或高度監管產業而言，使用外部系統會有權限控管風險。如果將ChatGPT在市府內部落地使用，目前來看，建置成本、耗電、機房規模，並非公務機關能夠負擔，因此要落地到機關內部使用，必需降低運算量需求才有機會。</p> <p>儘管因應政府或重視資料安全的企業，公有雲業者提出主權雲，解決公務機關或企業的資料安全疑慮，趙式隆仍認為，主權雲仍然在公有雲上，如何保證擁有完整權限的公有雲業者無法看到這些資料，權限必需完全由政府掌握，第三方不能擁有Root權限。唯有落地才能滿足政府機關的資安要求。</p> <p>如何落地至政府機關，趙式隆認為，現今ChatGPT在公有雲提供全功能，可針對公務機關的特定應用需求可以推出特化版本的ChatGPT，特化版本的運算需求低於公開版本，可落地在政府機關內使用，ChatGPT產出的內容，需經過人工審核校正，讓它不斷訓練，精進特化版本的公務應用。</p> <p><span style="font-size: 28px;"><strong>必需建立規範</strong></span></p> <p>不過，趙式隆也強調，AI在使用上應建立配套措施，由於AI無法為決策負責，加上生成式AI產出的內容缺少信心值，使用者難以辨識其產出的內容真偽，因此需要經過人工檢閱，以AI作為公務人員的輔助應用，並建立究責機制，當發生問題時才能確認責任歸屬，否則沒有人員敢於使用。</p> <p>他認為，政府機關內部採用新科技，技術難題可交由廠商解決，政府或企業可以建立規範，設立標準流程或範本，確保內部人員使用，有配套措施，究責時有責任歸屬，同時透過建立指引，讓樂於使用新科技提升效率、發揮創意的人有適當的規範，讓擔心風險而不敢使用人可以安心使用。</p> <p>趙式隆表示，對公務機關而言，法遵相當重要，運用AI能夠發揮創意，增進工作效率，但應先由專業單位，例如資訊局與法務局合作，共同檢視是否有潛在的道德或法律問題，對於灰色地帶可訂立自律規範，確保公務工作合規。</p> <p>未來在AI的輔助下，如同「擴增智能」（Augmented intelligence）的人機協作概念，人類處理小數據問題，由機器來處理大數據問題，機器將許多的訊息匯整歸納為一個公文，由公務人員進一步檢閱公文是否有問題。</p> <p>企業或政府機關尚未決定是否採用ChatGPT之前，因ChatGPT開放所有人使用，可能已有員工在工作中嘗試使用生成式AI，可能在未察覺下增加風險。</p> <p>他認為在決定採用之前，更重要的是先定出指引規範，說明背後可能的風險。市府已準備邀請相關專家，舉辦訓練營，增進員工的了解。</p> </div></div></div>
2023/3/10 09:08作者蘇文彬https://www.ithome.com.tw/news/155844
【ChatGPT先行者經驗：中國附醫AI中心副主任游家鑫】先從熟悉領域下手，下一步要優化技術文件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI大爆發，各種ChatGPT研討會、工作坊前仆後繼出現，各行各業都想用ChatGPT加速轉型、勝過同業，但同時，鋪天蓋地的新技術討論也引發焦慮。如何降低這份焦慮感？「先從手邊題目做起，」中國醫藥大學附設醫院AI中心副主任游家鑫回答。他開發不少醫療AI應用，著名案例有細菌抗藥性預測模型，最快1小時就能預測，是中國附醫近年的醫療AI代表作，也獲國內外不少獎項。</p> <p>這不是醫療業第一次面對新技術爆紅。游家鑫指出，過去，卷積網路（CNN）興起時，醫療業大力擁抱，發展出許多醫學影像判讀AI，甚至連圖靈獎得主Geoffrey Hinton都說，5年內就能停止對放射科醫師的訓練。儘管他的預測並未成真，卻能看出醫界積極成為新技術前期採用者的決心。這次面對ChatGPT洶湧崛起，醫療業亦是想贏在起跑點。</p> <p>「參加研討會、工作坊是一種降低新技術焦慮感的方法，」但游家鑫認為，一些具體問題如新技術前期適用範圍、如何下手等，很難在幾場會議中得出結論。因此，最快的孰悉方法還是「從手邊題目做起，思考新技術能如何改善既有流程，取得初步成功後，再透過分享、交流，將新技術應用於其他領域，」他總結。</p> <p><span style="font-size:28px;"><strong>從熟悉領域下手，改善文獻查找和會議記錄</strong></span></p> <p>他第一次嘗試ChatGPT，是在今年春節。游家鑫發現，網頁版ChatGPT資訊摘要和分析的表現出色，很適合用來優化文獻查找工作。</p> <p>因為，在醫療資訊研發領域，開發者常接觸跨專科或次專科領域，為理解這些領域，就得使用美國國衛院（NIH）維護的PubMed搜尋引擎，來查找相關文獻。該引擎以關鍵字為檢索依據，只會篩出帶有關鍵字的文章，這就導致，跨領域的資訊難以被搜尋到，再加上研發者不一定兼具跨專科知識，若想透過關鍵字搜尋，來蒐集專案題目素材，就很容易受限。</p> <p>於是，他嘗試ChatGPT，發現ChatGPT可快速將主題相關資訊陳列出來，使用者再將其中的關鍵字，輸入PubMed搜尋文獻即可。甚至，當使用者發想專案題目、還未有清晰的輪廓時，可在ChatGPT輸入一段文字或一個問題，得到相關醫學說明，提供發想點子，使用者再透過PubMed查證即可。如此一來，ChatGPT就成為題目發想的好工具。</p> <p>不只優化文獻查找，同一時間，游家鑫也思考用ChatGPT來優化線上協作工具。當時，OpenAI還未推出ChatGPT API，於是他先採用OpenAI另一款媲美GPT-3的text-davinci-003 API，以及語音轉文字模型Whisper API，將這2個API串接至微軟Teams協作平臺，來改善會議記錄流程。</p> <p>因為，以往開研發會議時，團隊總得撥出一人，來記錄會議重點。但透過上述2項API，可先將會議語音即時轉為文字，再透過Davinci API，來摘要會議重點，如此省下大量人工記錄時間。經過1個多月使用，這項決定也證實，會議能開得更有效率。</p> <p>在熟悉領域取得初步成果後，游家鑫與中國附醫AI中心成員分享經驗，彼此進一步將ChatGPT延伸至專業領域。</p> <p><span style="font-size:28px;"><strong>延伸至護理記錄、病歷摘要與程式效率優化</strong></span></p> <p>比如，他們嘗試用ChatGPT來優化護理記錄。工作原理與上述會議記錄相似，但為保護資料隱私，中國附醫AI中心先下載Whisper模型原始碼，先以預訓練模型的版本，來將護理師口述的護理記錄，轉為文字檔，再透過ChatGPT摘要重點。</p> <p>但護理記錄涉及專業術語，預訓練模型的語音辨識準確率，只有70%左右。後來，團隊用護理記錄資料重新訓練Whisper模型，發現新版模型準確率提高至94%，有了準確的語音轉文字能力，就能更準確摘要內容。這是中國附醫嘗試成功的案例之一。</p> <p>另一個例子是，團隊用ChatGPT來摘要病人病史和醫囑，好讓醫師快速掌握病人概況。在這個嘗試中，團隊只取與病人個資無關的病史和醫囑記錄，如用藥說明等，複製貼上至網頁版ChatGPT，來產出約150字的簡短摘要。他們設想的情境是，當醫院湧入大量病患或出現緊急患者，又或是醫師交班時，可透過該方法快速理解病人情況。不過游家鑫指出，在這項實驗中，ChatGPT產出的摘要可能出錯，並非總是正確的。</p> <p>除了在臨床業務試水溫，中國附醫AI中心也用ChatGPT，來提高程式效率。比如，團隊執行程式時，偶爾會在後臺發現，某些程式耗能較高。為找出問題，他們將某段程式碼貼上ChatGPT，請ChatGPT優化，以此找出有問題的某幾行程式碼。經測試，程式執行效率可提高30%。</p> <p><span style="font-size:28px;"><strong>下一步：程式開發、技術文件撰寫和跨域溝通</strong></span></p> <p>有了這些成功經驗，中國附醫團隊進一步思考，ChatGPT還可在哪些應用場景發揮效益。他們想到的一類場景是程式開發，依使用對象分為2種情境，一是針對無IT背景的臨床醫師，醫師可透過ChatGPT輸入指令、生成原型程式，再快速測試這支程式，可行後再進行後續調整，以此加速專案試驗。游家鑫雖未加入該專案的討論，但他透露，目前有不少醫師感興趣。</p> <p>另一類情境是針對程式開發者。比如，資淺的工程師可透過ChatGPT，快速產生初步的程式模板，後續再加入資料路徑或模型參數等資訊即可，減少往返詢問、瀏覽Google或Stack Overflow尋找解答的時間。又或是，資深工程師可善用ChatGPT，來輔助撰寫程式碼註解，作為未來智慧醫材取證的技術文件之一，加速與法務人員的溝通。</p> <p>不只如此，中國附醫也觀察到，ChatGPT用於醫學論文編修和翻譯的可能性。游家鑫表示，為實現醫學知識的傳播，一直以來，都仰賴具醫學專業和翻譯專業的領域專家們，花費大量時間編撰醫學叢書。但透過ChatGPT，可大幅縮短這個流程，他舉例，網路上有人實驗，ChatGPT一晚能完成600頁原文書翻譯，後續只需數小時的人工校訂，就能產出品質不錯的醫學叢書。</p> <p>反過來說，臺灣學者在撰寫醫學論文時，往往得花費時間和金錢，請編修社來翻譯、編修論文。若透過ChatGPT先潤稿，也許能降低作者與編修社的溝通和修訂成本，而討論的內容，也更能聚焦在更深層的議題。</p> <p>不過，對游家鑫來說，ChatGPT還有個很重要的潛在應用場景，也就是跨領域溝通。「臨床醫師有其專業，」他表示，研發人員與臨床醫師溝通時，未必能馬上理解彼此的專業術語或想法，若透過語音轉文字API，即時將語音轉為文字，再透過ChatGPT翻譯、摘要或解釋，就能讓跨領域的會議成員，立即知道對方想法，讓會議討論更有效率，也更能解決問題。</p> <p>游家鑫坦言，這波生成式AI大浪衝擊許多產業，也帶給管理層不少焦慮。身為管理層一員，他認為，降低這份焦慮的最好方法就是動手做，先從熟悉領域或手邊專案做起。比如，他將OpenAI的2支API串接至Teams，就是先用來改善手邊工作效率，同時讓團隊感受新技術的好處，進而激發更多討論。這些討論，可將新技術帶往更多領域，擦出更多可能的火花。</p> </div></div></div>
2023/3/10 09:08作者王若樸https://www.ithome.com.tw/news/155840
強化資料探索與建模功能，SAP推新一代資料倉儲Datasphere
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP推出新一代資料倉儲<a href="https://news.sap.com/2023/03/sap-datasphere-business-data-fabric/">Datasphere</a>，官方提到，這是一個建立於SAP BTP（Business Technology Platform）上的綜合資料服務，其提供資料整合、資料編目、語義建模、資料倉儲、資料聯合和資料視覺化等功能，簡化重要業務資料的存取。現有SAP Data Warehouse Cloud用戶，不需要採取搬遷措施，已經可以看到Datasphere的新功能。</p> <p>官方解釋，SAP Datasphere是新一代的SAP Data Warehouse Cloud，除了保留當前所有資料倉儲的功能之外，還添加資料探索、建模和發布的強化功能。SAP Datasphere可充當SAP和非SAP應用程式資料的整合資料儲存，聯合或是複製資料至業務語義層，使得用戶不需要具有底層應用程式資料庫的技術知識，就可以簡單地進行資料庫建模。</p> <p>由於Datasphere採用了分析型模型，在抽象業務語義層提供進階多維功能，像是資料聚合、時間相依性、資料預覽和業務階層等，分析型模型可以協調不同來源的資料，並加速相關業務資料的存取。</p> <p>Datasphere的編目功能可以簡化資料搜尋、探索，用戶能用自家業務分類編目物件，或是使用自定義術語和階層標籤，更好地整理資料。Datasphere編目支援來自Datasphere的實體以及Analytics Cloud的資料物件，之後也會支援SAP BW、SAP ECC和SAP S/4 HANA，甚至擴及非SAP資料。Datasphere的資料溯源（Data Lineage）功能，也使用戶方便地追蹤資料流向，以及轉換的過程。</p> <p>SAP強化資料擷取功能，Datasphere讓用戶不需要手動配置，就能夠複製資料自動建立大量工作管線，用戶只要選擇想要複製資料的來源，系統會自動處理資料載入，並且增加需要的工作管線。</p> <p>Datasphere合併所有資料並進行轉換，確保資料使用者都能獲取相同的資料，企業可以選擇在任意雲端，或是混合環境執行Datasphere。另外，SAP也宣布與Databricks、Collibra和Confluent等公司合作，使企業能夠方便地跨雲端基礎架構存取業務資料。</p> </div></div></div>
2023/3/10 08:09作者李建興https://www.ithome.com.tw/news/155849
DuckDuckGo查詢助理DuckAssist能摘要維基百科回答提問
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>各搜尋引擎無不以各種方式應用語言模型，期望增加自家搜尋引擎的使用率，隱私搜尋引擎DuckDuckGo也不例外，推出一個稱為<a href="https://spreadprivacy.com/duckassist-launch/">DuckAssist</a>的擴充功能，只要用戶在DuckDuckGo的搜尋框輸入維基百科能夠回答的問題，人工智慧便會參照維基百科的內容，生成簡短的來源摘要。</p> <p>DuckAssist使用DuckDuckGo索引掃描特定來源的資料回答問題，目前來源主要是維基百科，偶而會使用大英百科全書，透過使用OpenAI和Anthropic的自然語言技術，來總結在維基百科中找到的內容，DuckDuckGo希望DuckAssist給出的答案能夠比傳統搜尋結果，更直接回應使用者的提問。</p> <p>目前DuckAssist僅會回答能夠從維基百科取得答案的問題，像是「什麼是搜尋引擎」，而會略過「什麼是最好的搜尋引擎」等複雜提問，另外，因為DuckAssist所使用的維基百科，是能夠下載到的最新版本，因此與線上版本會有些微差異，針對最新條目的提問DuckAssist可能無法回答，但是DuckDuckGo搜尋頁面結果仍可以提供相關的回應。</p> <p>生成式人工智慧的幻覺（Hallucination）是常見的問題，官方提到，他們透過讓DuckAssist僅使用來自維基百科的資訊，大幅降低出現幻覺的可能性，而且摘要下方會提供來源連結，方便使用者存取維基百科進一步驗證。</p> <p>不過官方提到，DuckAssist可以使用的資訊有限，無法總是產生準確的答案，因此僅會使用維基百科中最相關的句子。用戶仍要有DuckAssist可能出錯準備，DuckDuckGo在摘要旁提供匿名回饋連結，供用戶回報錯誤案例。</p> <p>DuckDuckGo強調，DuckAssist是DuckDuckGo私密搜尋的一部分，完全匿名且免費，當用戶使用應用程式或是擴充套件時，DuckDuckGo不會紀錄或是共享用戶的搜尋歷史，OpenAI和Anthropic等第三方也只會收到匿名搜尋和歷史紀錄，而且匿名搜尋不會提供第三方訓練人工智慧模型，匿名回饋連結的內容也僅會交給DuckDuckGo。</p> <p>用戶可以在DuckDuckGo瀏覽器或是擴充套件中用到DuckAssist，目前仍在測試階段，DuckDuckGo會在測試順利後，將其擴展至所有搜尋用戶，官方提到，他們接下來幾個月會推出一系列人工智慧輔助功能，DuckAssist是這項計畫下的第一個產品。</p> <p>在搜尋引擎加入語言模型的還有微軟，透過與OpenAI合作，在搜尋引擎<a href="https://www.ithome.com.tw/news/155429">Bing</a>使用共同開發的大型語言模型Prometheus，微軟提到，Prometheus比ChatGPT及GPT 3.5更強大。新版的Bing支援關鍵字、自然語言和語音輸入搜尋，除了提供更好的搜尋結果，能夠協助用戶產出內容，編寫電子郵件和規畫行程等任務。有別於DuckDuckGo和微軟使用第三方人工智慧技術的做法，<a href="https://www.ithome.com.tw/news/155766">Brave</a>則是用自家開發的模型提供搜尋功能，在Brave搜尋頁面的頂端，依搜尋結果產生簡單扼要的摘要。</p> </div></div></div>
2023/3/10 08:15作者李建興https://www.ithome.com.tw/news/155855
矽時代下的新賽局
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-1p-jing_pian_zhan_zheng_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年8月18日，美國驅逐艦馬斯廷號（USS Mustin）獨航穿越台灣海峽的北端，艦上的五吋砲口朝向南方，並重申這些國際水域並非由中國掌控——至少現在還不是。</p> <p>半導體的製造與微型化，一直是我們這個時代最大的工程挑戰。如今，沒有一家公司能比台積電更精準地製造晶片。2020年，當全球因一種直徑約100奈米的病毒所造成的封城而動盪不安時，台積電最先進的Fab 18廠正在刻由微小電晶體所組成的微型迷宮，蝕刻出比新冠病毒的一半還小的圖案（約一個粒線體的百分之一）。台積電以人類史上前所未有的規模，複製這個製程。蘋果售出逾1億支iPhone 12，每一支都採用A14處理晶片，那晶片上刻了118億個微小電晶體。換句話說，iPhone 12內建十幾種晶片，在短短幾個月內，台積電的Fab 18廠就為iPhone 12內建的一種晶片製造了超過1萬兆個電晶體（1萬兆這個數字有18個零）。去年，晶片業生產的電晶體數量，比人類史上所有其他產業的所有公司生產的所有商品的總和還多。任何東西的產量都無法與之匹敵。</p> <p>僅僅60年前，一塊頂尖晶片上的電晶體數量，不是118億個，而是4個。從1965年展望未來，摩爾預測未來十年將呈指數級成長，但這種驚人的進步速度如今已持續了半個多世紀。1970年，摩爾創立的第二家公司英特爾（Intel）推出一款可儲存1024條資訊（「位元」）的記憶體晶片，價格約20美元，亦即每個位元約2美分。如今20美元可買到一個儲存超過10億位元的隨身碟。</p> <p>現在我們想到矽谷，腦中浮現的是社群網路與軟體公司，而不是讓矽谷得名的那個物質。然而，網路、雲端、社群媒體、整個數位世界之所以存在，都是因為工程師學會掌控電子在矽晶片上流動時的最小移動。要不是處理及記憶1與0的成本在過去半個世紀大降了10億倍，那些大型科技公司根本不可能存在。</p> <p>如今拜摩爾定律所賜，半導體嵌入每台需要運算力的裝置中——在物聯網時代，這意味著幾乎每台裝置都內建半導體。即使是汽車這種有百年歷史的產品，現在通常也內建價值上千美元的晶片。全球大部分的GDP都是由依賴半導體的裝置創造出來的。對於一個75年前還不存在的產品來說，這是一種非比尋常的進步。</p> <p>2020年8月，馬斯廷號往南航行時，世界才剛開始意識到我們對半導體的依賴，以及對台灣的依賴。我們每年使用的新運算力中，有三分之一是來自台灣製造的晶片。世界上幾乎所有最先進的處理晶片，都是由台灣的台積電生產。2020年，當新冠病毒席捲全球時，晶片業也受到衝擊。一些工廠暫時關閉，車用晶片的採購量大幅下滑。隨著世界各地許多地區準備在家工作，個人電腦與資料中心的晶片需求大幅飆升。接著，2021年，一連串的事件又導致上述供應鏈中斷的現象加劇：日本一間半導體工廠失火；德州發生冰風暴（那裡是美國的晶片製造中心）；馬來西亞開始新一輪的新冠疫情封城（許多晶片是在馬來西亞組裝及測試）。突然間，許多離矽谷很遠的產業都面臨嚴重的晶片短缺。從豐田（Toyota）到通用汽車（GM）等大型汽車製造商都不得不關廠數週，因為他們無法取得需要的半導體。即使是最簡單的晶片短缺，也會導致地球另一端的工廠關閉。這一切彷彿是全球化出問題的完美寫照。</p> <p><span style="font-size: 28px;"><strong>矽時代──半導體定義的世界</strong></span></p> <p>過去幾十年來，美國、歐洲、日本的政治領導人從未多想過半導體。他們就像一般人一樣，以為「科技」指的是搜尋引擎或社群媒體，而不是矽晶圓。當美國總統拜登（Joe Biden）與德國總理梅克爾（Angela Merkel）問道，為什麼他們國家的汽車廠關閉時，答案隱藏在錯綜複雜的半導體供應鏈背後。一個典型的晶片，可能是一個加州與以色列的工程師團隊，使用美國的設計軟體，根據總部位於英國、軟銀集團旗下的ARM公司的藍圖設計出來的。設計完成後，會送到台灣的工廠，那家工廠從日本購買超純矽晶圓及特殊氣體，接著利用全球最精密的機器，把前述設計刻在矽上。那種精密機器可以蝕刻、沉積、測量幾個原子厚度的材料層。這些工具主要是由五家公司生產，一家荷蘭公司、一家日本公司與三家加州公司。如果沒有這些公司，基本上不可能製造出先進的晶片。之後，晶片會經過封裝與測試，通常是在東南亞進行，然後才運到中國，裝進手機或電腦。</p> <p>如果半導體的生產過程中有任一步驟中斷，全球新運算力的供給就會受到威脅。在人工智慧時代，大家常說資料是新石油。然而，我們面臨的真正限制，其實不是資料的取得，而是資料的處理力。儲存與處理資料的半導體數量是有限的，生產半導體的流程極其複雜，而且成本高的可怕。石油可以從許多國家購買，但運算力不一樣。運算力的生產，根本上是取決於連串的關鍵控制點：機台、化學物、軟體。這些通常是由少數幾家公司生產，有時甚至只有一家公司生產。經濟上找不到如此依賴那麼少公司的產業了。台灣的晶片每年提供全球37％的新運算力；兩家韓國公司生產全球44％的記憶晶片；全球所有的極紫外光（EUV）曝光機都是由荷蘭的ASML製造，沒有這些機器，頂尖的晶片根本不可能製造出來。相較之下，石油輸出國組織（OPEC）的產油量占全球產量的40％，那看起來就沒什麼大不了了。</p> <p>美、中、台晶片業之間的相互連結極其複雜，令人眼花繚亂。找不到比台積電創辦人更適合說明這點的人了。截至2020年，台積電還把美國的蘋果與中國的華為視為兩個最大的客戶。張忠謀生於中國，二戰時期在香港成長，後來在哈佛、麻省理工學院、史丹佛接受教育。他在達拉斯為德儀工作期間，幫忙建立了美國早期的晶片業。他獲得了美國最高機密的安全許可，為美國軍方開發電子產品，並使台灣成為世界半導體製造的中心。中國與美國的一些外交政策的策略家，夢想著讓兩國的科技業不再有牽連。但是像張忠謀這樣的人幫忙建立了一個由晶片設計師、化學品供應商、機台製造商所組成的超高效率國際網絡，這個網絡是不可能輕易解體的。</p> <p>當然，除非有什麼東西爆炸，那就另當別論了。中國明確表示，絕不排除武力犯台以追求統一的可能。但它不會採取兩棲攻擊那樣戲劇性的手段，而導致半導體引發的震波席捲全球經濟。即使中國軍隊展開部分封鎖，那也可能引發毀滅性的破壞。對台積電最先進的晶片製造廠發動一次導彈襲擊，就可以輕易造成成千上百億美元的損失（把手機、資料中心、汽車、電信網路、其他技術的生產延誤成本加總起來，就非同小可）。</p> <p>讓全球經濟受制於世界上最危險的政治爭端之一，似乎是一個可能在歷史上留下記錄的重大錯誤。然而，先進的晶片製造集中在台灣、南韓、東亞的其他地區並非偶然。政府官員與企業高管連串深思熟慮的決定，創造了如今這些遍及全球的供應鏈。亞洲龐大的廉價勞力資源，吸引了尋找低成本勞力的晶片製造商。該區的政府與企業利用海外的晶片組裝廠，來學習並最終開發出更先進的技術。美國外交政策的策略家把複雜的半導體供應鏈，視為把亞洲與美國主導的世界綁在一起的工具。資本主義對經濟效率的持續要求，促使業者不斷地削減成本，也促進企業整合。摩爾定律背後的穩定技術創新，需要更複雜的材料、機械與製程，那些東西都只能透過全球市場供應或資助。我們對運算力的龐大需求只會持續成長。<strong><span style="color: rgb(105, 105, 105);">（摘錄整理自《晶片戰爭》前言，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E5%9C%961_%E6%99%B6%E7%89%87%E6%88%B0%E7%88%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_天下雜誌出版</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>晶片戰爭</strong></span></p> <p>克里斯・米勒（Chris Miller）／著；洪慧芳／譯</p> <p>天下雜誌出版</p> <p>定價：720元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/150-%E5%9C%962_%E6%99%B6%E7%89%87%E6%88%B0%E7%88%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Chris%20Miller.png" style="width: 150px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_Chris Miller</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><strong>克里斯・米勒（Chris Miller）</strong></p> <p>克里斯・米勒（Chris Miller）在塔夫茨大學（Tufts University）的弗萊徹學院教授國際史，他也是美國企業研究院（American Enterprise Institute）的Jeane Kirkpatrick客座院士、外交政策研究院（Foreign Policy Research Institute）的歐亞主任，以及總經與地緣政治顧問公司綠罩（Greenmantle）的董事。米勒著有《普丁經濟學》（Putinomics）等書，他也經常為《紐約時報》、《華爾街日報》、《外交事務》、《外交政策》、《美國利益》等媒體撰稿。他於耶魯大學取得歷史學博士學位，於哈佛大學取得歷史學學士學位。米勒個人網站：ChristopherMiller.net，以及推特帳號：@crmiller1。</p> </div></div></div>
2023/3/10 00:00未署名https://www.ithome.com.tw/article/155820
【資安日報】3月9日，惡意軟體QBot以微軟OneNote檔案散播攻擊的態勢升溫、Fortinet防火牆與網頁安全閘道…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Trellix針對惡意軟體QBot的攻擊提出警告，值得留意的是，他們並非首度揭露相關攻擊行動的資安業者──上個月就有兩家資安業者<a href="https://www.ithome.com.tw/news/155404#qbot-onenote">Cyble</a>、<a href="https://www.ithome.com.tw/news/155435#qbot-onenote">Sophos</a>提出警告，其共通點就是駭客的作案過程運用了OneNote檔案來進行。但不同的是，這次研究人員提及了駭客在QBot與相關惡意程式上，採用相當隱密的迴避偵測手法，而使得資安系統難以察覺異狀。</p> <p>昨天（3月8日）傳出有人在駭客論壇兜售宏碁2月遭駭而外洩資料一事，引起各界媒體報導。對此，宏碁晚間在股市公開觀測站發布重大訊息證實此事，並認為起因是有合作廠商密碼管理不當引起。</p> <p>3月7日資安廠商Fortinet公布重大漏洞CVE-2023-25610，影響的產品包括防火牆作業系統FortiOS、網頁安全閘道FortiProxy，有可能導致服務中斷，或是讓駭客能執行任意程式碼的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/qakbot-evolves-to-onenote-malware-distribution.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot大肆透過微軟筆記軟體OneNote檔案散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/qakbot-evolves-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/qakbot-evolves-3.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix針對近期惡意程式QBot（亦稱Qakbot）的攻擊行動提出警告，他們看到自2023年1月開始，駭客大肆透過釣魚郵件，挾帶含有微軟筆記應用程式OneNote的檔案附件，或是內含下載OneNote檔案的URL，來針對Windows電腦散布此惡意軟體。</p> <p>一旦收信人依照指示開啟了OneNote檔案，駭客就會執行PowerShell解密批次檔裡的指令，發出沒有使用者代理字串（User Agent）的請求，從遠端下載埋藏惡意軟體的圖片，並透過rundll32執行，而這個圖片檔案實際上是DLL程式庫。</p> <p>研究人員發現，這個DLL檔案駭客運用多種手法進行模糊處理，執行的時候會使用XOR演算法解密，並在記憶體內啟動Shell Code，最終解密QBot的DLL檔案。而這個QBot大部分字串值都被加密，使得靜態分析工具難以察覺其惡意特徵。</p> <p><a href="https://www.cna.com.tw/news/afe/202303080428.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">宏碁證實產品技術文件伺服器遭駭</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Acer_20230308.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Acer_20230308.png" style="width: 300px; float: right;" /></a>臺灣科技大廠宏碁今年2月中旬疑似發生資料外洩事故，駭客在暗網論壇聲稱竊得超過160 GB資料，這些資料大部分與該公司的產品相關。</p> <p>對此，宏碁於3月7日晚間於股市公開觀測站發布重大訊息，表示此伺服器存放了供合作夥伴所需的產品文件，因部分廠商密碼管理不當而遭到他人濫用，並強調這些資料是廠商維修產品的技術資料，並未出現客戶或員工個資外洩的情況，伺服器也並未遭到破壞。但耐人尋味的是，該公司特別提及其他企業也要對於網路異常的狀況提高警覺。</p> <p><a href="https://research.checkpoint.com/2023/pandas-with-a-soul-chinese-espionage-attacks-against-southeast-asian-government-entities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客Sharp Panda鎖定亞洲政府機關而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NDB7HW48QG-image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NDB7HW48QG-image1.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露中國駭客組織Sharp Panda於2022年末的攻擊行動，駭客使用惡意程式載入工具SoulSearcher，於受害電腦植入模組化惡意框架Soul，針對東南亞的政府機關下手。</p> <p>攻擊者先是寄送含有惡意DOCX附件檔案的釣魚郵件，藉此在受害電腦植入RoyalRoad RTF工具包，目的是利用舊漏洞於記憶體內投放惡意軟體，接著，利用此惡意軟體下載SoulSearcher，進而在記憶體內下載、解密、執行惡意框架，並載入不同的攻擊模組。研究人員指出，利用惡意框架Soul的攻擊行動有越來越頻繁的跡象。</p> <p><a href="https://twitter.com/henryrodgersdc/status/1633575335869521921"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國眾議院傳出資料外洩，FBI著手調查</span></strong></a></p> <p><a href="/sites/default/files/images/U_S_ House members' data for sale.png"><img alt="" src="/sites/default/files/images/U_S_%20House%20members'%20data%20for%20sale.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，美國眾議院傳出資料外洩的情況，導致議員和員工的資料曝光，美國聯邦調查局（FBI）已介入調查。資料外洩的管道，是專門管理議員、員工，以及家屬的醫療照顧系統DC Health Link，這些人士已收到資料外洩的通知信。</p> <p>該新聞網站發現有人已在駭客論壇兜售相關資料，並聲稱約有17萬人的個資，這些資料包含了姓名、生日、居住地址、電子郵件信箱、電話號碼、社會安全碼等，且疑似已有買家下單。對此，Health Benefit Exchange Authority證實，有部分遭竊資料在公共論壇洩露。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fortinet-warns-of-new-critical-unauthenticated-rce-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet防火牆、網頁安全閘道存在重大漏洞</span></strong></a></p> <p>資安業者Fortinet近日公布防火牆作業系統FortiOS、網頁安全閘道FortiProxy的重大漏洞CVE-2023-25610，一旦遭到利用，攻擊者可在未經身分驗證的情況下，藉由發出特定的偽造請求，執行任意程式碼或是發動阻斷服務（DoS）攻擊。</p> <p>這個漏洞發生的原因與記憶體負位（Underflow）有關，當應用程式嘗試從記憶體緩衝區讀取額外的資料時，就有可能導致系統存取相鄰的記憶體位置，進而衍生資安風險，CVSS風險評分為9.3分。該公司表示，約有50款存在漏洞的設備僅能被用於DoS攻擊，但駭客無法拿來執行任意程式碼。</p> <p><a href="https://www.veeam.com/kb4424"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Veeam高風險漏洞恐讓駭客破壞組織的備份基礎架構</span></strong></a></p> <p>災害復原暨資料備份解決方案業者Veeam揭露高風險漏洞CVE-2023-27532，該漏洞存在於Veeam Backup & Replication（VBR）系統，未經授權的攻擊者可用於從組態資料庫取得加密的密碼，進而存取備份基礎架構伺服器，CVSS風險評分為7.5分。</p> <p>該公司指出，此漏洞的根源發生在Veeam.Backup.Service.exe元件，他們針對VBR v11和v12發布修補程式，並建議用戶若暫時無法安裝更新軟體，也可封鎖上述元件預設存取的TCP 9401埠來因應。</p> <p><a href="https://eaton-works.com/2023/03/06/toyota-c360-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Toyota墨西哥分公司的CRM系統出現嚴重漏洞，可被用於存取客戶資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/full.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/full.png" style="width: 300px; float: right;" /></a>研究人員Eaton Zveare發現，豐田汽車（Toyota）墨西哥分公司的CRM系統Customer 360存在嚴重漏洞，攻擊者一旦利用，有可能存取該公司的客戶資料，包括個資、購買記錄與服務的記錄。</p> <p>研究人員指出，該公司總共架設4臺CRM伺服器，其中1臺為正式上線的版本，其餘則是用於開發及測試，但無論那臺伺服器，都存在能繞過登入流程的漏洞——他藉由修改網頁應用程式元件Angular的JavaScript指令碼，突破上述的身分驗證機制。這些狀況已於去年10月向豐田通報，該公司已採取相關措施避免曝險。</p> <p><a href="https://chromereleases.googleblog.com/2023/03/stable-channel-update-for-desktop.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 111，修補40個漏洞</span></strong></a></p> <p>Google於3月7日發布Chrome 111版（Chrome 111.0.5563.64，部分Windows版本為Chrome 111.0.5563.65），總共修補了40個漏洞，其中有8個為高風險層級。</p> <p>根據該公司頒發給研究人員的獎金來看，通報CVE-2023-1213的研究人員獲得15,000美元最高，這是Swiftshader元件的記憶體釋放後濫用（UAF）漏洞，獎金次高的漏洞為CVE-2023-1214，這項漏洞與瀏覽器排版引擎V8的類型混淆（Type Confusion）有關。稍微值得慶幸的是，這次修補的漏洞並未出現相關攻擊行動。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/ahel/202303080054.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">數發部擬透過電信業者或是App防堵詐騙電話</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/dont-answer-russia-aligned-ta499-beleaguers-targets-video-call-requests"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織TA499藉由視訊電話向歐美人士宣傳烏克蘭戰爭負面消息</span></span></strong></a></p> <p><a href="https://vulncheck.com/blog/2022-cisa-kev-review"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國在2022年彙整557個已被用於攻擊的漏洞</span></span></strong></a></p> <p><a href="https://sandboxgame.medium.com/notice-of-security-incident-february-2023-ea692ee8094b"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">有人利用區塊鏈電玩Sandbox的名義發動網釣攻擊，散布惡意程式</span></span></strong></a></p> <p><a href="https://www.kroll.com/en/insights/publications/cyber/pypi-packages-deliver-python-remote-access-tools"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件挾帶惡意軟體Colour-Blind</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155829"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">JetBrains程式碼品質檢查工具Qodana可對PHP程式碼進行污點分析</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155833">【3月8日】 ChatGPT被用於投資詐騙攻擊、Windows信任的資料夾被用於繞過使用者帳號控制防護措施</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155813">【3月7日】宏碁再傳資料外洩事故、一百多家組織的居易路由器遭木馬程式HiatusRAT入侵</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155798">【3月6日】研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法、組態配置不佳的Redis伺服器被用於挖礦</a></strong></p> </div></div></div>
2023/3/9 18:24作者周峻佑https://www.ithome.com.tw/news/155854
Google發表具5,620億參數的多模態語言模型PaLM-E，實體機器人更能解決複雜長任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表視覺語言模型<a href="https://palm-e.github.io/#demo">PaLM-E</a>，這是一個可用於機器人的嵌入式多模態語言模型，PaLM-E由視覺模型<a href="https://arxiv.org/abs/2302.05442">ViT</a>以及語言模型<a href="https://arxiv.org/abs/2204.02311">PaLM</a>相結合而成，綜合了語言、視覺和視覺語言的訓練，使機器人可以理解人類的指令，解決需要多種推理能力的長時間指令（Long-Horizon Instruction）。</p> <p>雖然大型語言模型已被證明足夠強大，可以解決複雜的任務，但是要用於真實世界的一般性推理，像是要讓一個實體機器人聽懂人類語言並且完成任務，仍有一大段距離需要努力，Google提出了實體（Embodied）語言模型，使得語言模型能接受連續的感測器訊號，將文字和感知連結起來。</p> <p>實體語言模型的輸入是多模態的語句，綜合視覺、連續狀態評估和文字輸入編碼，研究人員端到端訓練這些編碼，結合預訓練的大型語言模型，便能用來完成各種實體任務，諸如機器人操作、視覺問答和產生字幕等。</p> <p>PaLM-E結合具220億參數的ViT視覺模型，以及5,400億參數的PaLM語言模型，因此PaLM-E總共擁有5,620億個參數。具220億參數的ViT視覺模型是Google在今年發表的大型視覺Transformer模型，ViT使用了在自然語言處理領域中，已經非常成功的視覺Transformer模型，影像訊號會被編碼成序列畫素或是影格，透過Transformer網路進行處理。</p> <p>而PaLM則是Google研究院在2022年發表的模型，建立在Pathways人工智慧架構之上，運用分散式機器學習加速器，訓練出高達5,400億參數的PaLM語言模型，在語言、推理和程式碼任務都具有良好的表現。</p> <p>PaLM-E可說是集語言模型技術大成的實體多模態模型，在多種實體裝置上以多種觀察模式，解決各式各樣推理任務，且由於PaLM-E的訓練資料集包括語言、視覺和視覺語言類型，該模型經多樣化資料聯合訓練，因此能夠表現出正遷移的特性，也就是在執行任務時，能夠因為不同的學習經驗而獲得正向影響。</p> <p>研究人員解釋，Palm-E的主要架構思路是持續注入實體觀察，將圖像、狀態評估和各種感測器模式，輸入到語言模型的語言嵌入空間中。由於圖像、狀態和感測器等觀測資料，都會編碼成和語言權杖嵌入空間相同維度的向量序列，因此語言模型也能夠處理圖像、感測器數值等這類非語言資料，而這些連續資料也以類似語言權杖的方式，持續注入到語言模型中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/approach.png" style="width: 580px;" /></p> <p>Google展示PaLM-E的範例之一是一個長時間指令「從抽屜拿玉米片給我」，在人工智慧領域的長時間指令，是要求機器人執行一個需要執行多個子任務，才能完成的長任務，而「從抽屜拿玉米片給我」的這項指令，機器人需要聽懂人類的指令，輔以電腦視覺的回饋，移動到櫃子前拿起玉米片，並克服其他研究人員的干擾，將玉米片取回給發出指令的人。</p> <p>PaLM-E還表現出獨特的泛化能力，即便是指令中包含過去沒有見過的物體，PaLM-E也能驅動機器人完成任務，像是「將綠色積木推給烏龜」的這項範例指令，即便PaLM-E沒有看過烏龜，也能成功執行任務。</p> <p>除了賦予機器人更強大的能力之外，PaLM-E本身就是一個優秀的視覺語言模型，可以看圖說故事，或是依據圖片內容回答提問。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201682%20-%20PaLM-E_%20An%20Embodied%20Multimodal%20Language%20Model%20-%20palm-e_github_io.png" style="width: 580px;" /></p> </div></div></div>
2023/3/9 17:03作者李建興https://www.ithome.com.tw/news/155845
AI趨勢周報第210期：Google用Transformer模型即時導航機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0303～0309)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">電腦視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人導航 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google用Transformer模型來即時導航機器人</strong></span></p> <p>Google最近揭露一款控制系統Performer-MPC，以Transformer架構為基礎，可用於機器人上，讓機器人成功在密閉空間中即時導航、避開人類和障礙物，延遲僅8毫秒。進一步來說，Performer-MPC是一款端到端可學習的機器人系統，包含了基於Python函式庫JAX的可微分模型預測控制器（MPC），以及負責導航任務的Transformer編碼，可用來適應複雜的社交場景，不需人工介入、撰寫規則。Performer-MPC系統還有個重要元素，也就是構成Performer架構的可擴展Transformer模型，它具備線性空間和時間複雜度注意力模組，可讓機器人部署更有效率，實現8毫秒延遲。</p> <p>Google指出，儘管經過數十年研究，機器人還是難以在狹窄空間中安全移動，而近年，Transformer在不少真實世界的機器學習問題中已有大幅進展，比如多模態架構可讓機器人用Transformer語言模型，來進行高階規畫，且近期以Transformer對機器人進行策略編碼的研究，也開啟機器人於現實世界導航的新契機。雖然，Transformer這種大型模型部署在機器人上，會遭遇延遲挑戰，且注意力機制耗費運算成本，研究者不得不在模型表現和運算成本間取捨、對模型剪枝。</p> <p>但Google還是開發Performer-MPC，來測試Transformer能否讓機器人在狹小空間中，順利導航和避障。Google選定一款配有3D光達鏡頭和深度感測器的輪式機器人，並部署830萬參數、延遲8毫秒的Performer-ReLU變形模型，來執行導航任務。他們發現，在這個配置下，機器人可在狹窄場景，比如轉角死角處等，成功避開行走的人類，也能在不同障礙物間找出最佳路徑，成功穿越。Google表示，這項實驗證明，用Transformer架構設計具注意力機制的機器人控制器，是可行的。而且，百萬參數的Transformer架構與毫秒級推論延遲，能讓機器人有效率學習、作出適當的反應，更重要的是，該學習系統還能泛化，適應不同環境。<a href="https://ai.googleblog.com/2023/03/performer-mpc-navigation-via-real-time.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjndDYhkAG9gOhncdI36s1SUqujwPsJQYuFH_BiIA9Z082C_GDydIK5cHrSwq4k60q2YlSOpetyc7JO916NmkDa8T-TbqtGwIasaQKH-QwyzLJ0qGkU6sFW13nVQrpwSm9UAEXFhgxrrxo5uMiFxzOpmauoB6nui81tvV5pbJ1OAxayZYMzVfP9u1Q5ow/s16000/image4.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 司法院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國民法官 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>司法院法庭中文語音辨識系統正式上線，準確率超過9成</strong></span></p> <p>為讓法庭程序更順暢，司法院開發一款法庭中文語音辨識系統，來加速法庭筆錄作業。司法院表示，該系統用過去1千多萬筆裁判書、180萬筆開庭筆錄來訓練AI辨識系統，平均準確率達92%，且能辨識大多數法律專有名詞。</p> <p>這個語音辨識系統可用於逐字稿作業，也整合了法院審判筆錄和數位錄音系統、錄影回放系統和影音環控系統，來簡化過去書記官需聽、理解再騰打逐字稿的過程。簡單來說，該系統可在開庭過程中，即時產出逐字稿筆錄，就算有問題，也能調閱特定錄影段落來確認；該系統已於1月正式上線。</p> <p>司法院也指出，由於國民法官制度採連日連續進行制，審理程序一結束就得評議，行程緊湊，而語辨系統可即時產出筆錄、呈現法庭內發言內容，評議時也能搭配回放特定錄影段落，來加速評議過程。該系統已部署於全國21間地方法院的國民法官法庭，除國民法官適用的重大刑事案件外，司法院也打算讓一般刑事案件使用語辨系統，來產出即時筆錄。<a href="https://www.judicial.gov.tw/tw/cp-1887-819990-872a1-1.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料集 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dataset Search </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google搜尋再優化，新添資料集搜索引擎 </strong></span></p> <p>Google推出一款新搜尋引擎Dataset Search，使用者輸入關鍵字，就能搜尋相關資料集，可用來訓練或測試AI模型。這款資料集搜尋引擎，可查找1萬3千多個網站中的4,500萬筆資料集，這些資料集涵蓋多種學科和主題，也包含政府、科學、商用等領域。Dataset Search會顯示資料集的基本資料，也會預覽資料集概況、給出不同頁面的連結，如GitHub、Kaggle等。</p> <p>Dataset Search主要檢索網路上含schema.org結構化數據的資料集頁面，因為schema.org的詮釋數據，可讓作者用來描述資料集特性和關鍵元素，如下載格式、授權方式等。若使用者希望自己建立的資料集能被Dataset Search納入，首先要確保自己發布的資料集能容易搜尋，且要說明其他人可以如何使用該資料集。特別是要確保描述資料集的網頁，具有機器可讀的詮釋數據。<a href="https://ai.googleblog.com/2023/02/datasets-at-your-fingertips-in-google.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhPZQEaGyDdUNGfyeJkI3rAlEjuC3AcWO1rxg1CodKmfbnh6f_z_YzV_RR4osPfydR0I6xE5P1R5ndziK2zZE4ImKLCTGrh5owI0Mu4r8RYYVh0gvMMtS72bqc_HhhIEHKRpheaP4wPSaGikaUmBSCNgsLP_mUiijz_vFCmHSlgRInti8sm9oQYGDfJoA/s16000/image1.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Brave </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 搜尋摘要 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Brave搜尋引擎自建生成式AI，根據網頁結果摘要更即時</strong></span></p> <p>訴求高隱私安全的瀏覽器Brave也開發生成式AI系統Summarizer，來優化自家搜尋引擎，能總結搜尋結果，摘要旁也會列出資料來源，方便用戶查證。</p> <p>Summarizer由Brave搜尋團隊開發，由三大語言模型組成，這些語言模型分別負責不同任務，首先是問答模型，會嘗試從文字片段中擷取具體答案，之後，Brave搜尋會利用一組零樣本分類器，過濾掉仇恨言論、粗鄙用詞和垃圾訊息等文字，最後交由摘要模型處理，來重寫並刪除重複的文字，保持語言一致性和可讀性。Summarizer給出的答案，完全基於網頁搜尋結果，因此能給出當日事件的結果，也不會產出未經證實的結論。<a href="https://brave.com/ai-summarizer/#fn:4">（詳全文）</a></p> <p><img alt="" src="https://brave.com/static-assets/images/optimized/ai-summarizer/images/example-a.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> WhatsApp </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta成立生成式AI開發團隊</strong></span></p> <p>Meta執行長Mark Zuckerberg日前宣布要成立生成式AI開發團隊，來發展文字、圖片、影像等強化技術，改善旗下WhatsApp、Instagram和Messenger等服務。Zuckerberg指出，這個新部門將聚焦生成式AI，短期目標是要開發創意性的表現工具，長期目標則是開發可多方協助使用者的「AI人物」。在微軟、Google和OpenAI等相繼發表AI對話機器人後，AI成為Meta最重要的任務，團隊最近也發布AI大型語言模型LLaMA，並預告要開源LLaMA模型，來供AI研究社群進行不同領域研究。<a href="[https://www.qualcomm.com/news/onq/2021/08/17/qualcomm-flight-rb5-5g-platform-worlds-first-5g-and-ai-enabled-drone-platform](https://www.qualcomm.com/news/onq/2021/08/17/qualcomm-flight-rb5-5g-platform-worlds-first-5g-and-ai-enabled-drone-platform)">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 串流影片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 解析度 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia用AI強化串流影片解析度</strong></span></p> <p>Nvidia在GeForce RTX 40與30系列最新的GeForce Game Ready驅動程式中，加入影像超級解析度（VSR）功能支援，使用者只要用微軟Edge 110.0.1587.56或Google Chrome 110.0.5481.105以上版本的瀏覽器，就能將瀏覽器上低解析度的串流影片，提升到4K解析度。</p> <p>Nvidia解釋，由於串流影片是以區塊為單位來壓縮，因此會發生塊狀壓縮失真，若用傳統畫質提升演算法，反而會讓塊狀壓縮失真更嚴重。因此，RTX VSR技術透過邊緣偵測和特徵銳化，來解決問題。這是一個深度學習方法，Nvidia先用不同壓縮程度的影片來訓練模型，模型了解低解析度影片的壓縮失真類型後，就能從輸入的低解析度影片影格，預測目標解析度的殘差圖像，再將殘差圖像疊加到經Bicubic解析度提升演算法處理的影格，來校正假影錯誤和銳化邊緣，來產出高解析度影像。<a href="[https://code.visualstudio.com/updates/v1_59#_terminal](https://code.visualstudio.com/updates/v1_59#_terminal)">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型主機 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> z/OS </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM大型主機作業系統z/OS將擁抱AI</strong></span></p> <p>IBM預計在2023年第三季推出大型主機作業系統更新z/OS 3.1，該版本的一大更新重點，是要在作業系統融合AI和資料分析解決方案，來讓z/OS應用也能有智慧自動化與大規模加速推理功能，在z/OS 3的混合雲架構中整合AI功能。</p> <p>進一步來說，z/OS 3.1的工作量管理程式（WLM）將有AI加持，能預測即將發生的批次處理工作負載，還能採取相對應的系統最佳化措施。同時，新版本也會支援AI解決方案，讓企業用戶在z/OS上執行應用程式時，能獲得低延遲的AI功能。另一方面，IBM也希望z/OS能進一步支援企業混合雲策略，因此加入z/OS容器擴充（zCX），強化容器化Linux工作負載效能和安全性，還要強化程式語言COBOL和Java的互通性。<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/9/897/ENUSC23-009/index.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Bing Chat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語氣 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟Bing Chat加入3種語氣風格</strong></span></p> <p>微軟快馬加鞭更新Bing聊天機器人，近日已在Bing Chat中加入三種語氣風格，來供使用者選擇。微軟在2月底時，就多次預告要開發語氣調整功能，來解決Bing Chat時而情緒化、時而放肆乖張的發言問題。</p> <p>微軟網頁服務主管Mikhail Parakhin說明，Bing Chat測試用戶可看到Bing Chat模式選擇器，也就是一個3階段的滑鈕設計，提供「精準」、「創意」及「平衡」三種風格。其中，「精準」風格可提供更事實導向的答案，「創意」則會給出較長、類似聊天的答案，比較有趣，但也可能包含較多錯誤。<a href="https://twitter.com/MParakhin/status/1630958579485392896">（詳全文）</a></p> <p>圖片來源／Google、Brave</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 近期AI趨勢新聞 </span></strong></span></p> <p><strong>1. OpenAI針對付費用戶推出ChatGPT API和Whisper API服務</strong></p> <p><strong>2. 小米展示新AR眼鏡，具變色鏡片、支援手勢控制</strong></p> <p>資料來源：iThome整理，2023年3月</p> </div></div></div>
2023/3/9 15:05作者王若樸https://www.ithome.com.tw/news/155841
Cloud周報第168期：金融業上雲法規大鬆綁！銀行未來上雲非重大消金應用免申請，最快Q3上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（03/02～03/08）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">金管會大幅放寬金融業上雲規範，未來境外公雲不是重大消金應用免申請</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4)(2).png" style="width: 600px; height: 340px;" /></p> <p>金管會於7日宣布金融業委外辦法將有重大鬆綁，尤其是金融業上雲規定將大幅放寬，未來只有重大消費金融應用要上到境外公有雲，以及主管機關指定類型，才要申請核准，其餘不用申請。相較於4年前，金管會這次對金融業上雲鬆綁又更進一步。修正辦法將在正式預告60天後，最快Q3正式上路。</p> <p>過去銀行委外使用雲端服務時，只要涉及重大性委外作業（如客戶資料）或是將作業委託到境外公雲，都得事先向金管會申請核准，往返處理需耗費不少時間，考量到上雲對於金融業數位轉型及金融服務的敏捷彈性日益重要，因此金管會決定調整放寬上雲作業規定。</p> <p>金管會預告修正「金融機構作業委託他人處理內部作業制度及程序辦法」，其中關於委外上雲規範修正，主要重點是大幅放寬了對於境內外雲端委外作業規定和程序，以後銀行業者使用境內雲端服務（如GCP或AWS），處理一般性事務或辦公應用，不需要事先申請核准，也就是說，銀行以後可以直接使用境內公雲服務來儲存資料，免申請。</p> <p>不僅如此，對於境外雲端服務使用規定也放寬，允許業者免申請就能將各自業務資訊系統上到境外公雲，除非是屬於重大性消金業務系統，或主管機關指定類型，才須向金管會申請取得核准。新法修正還大幅簡化委外上雲申請核准的程序，有首案申請通過核定後，其他金融業者之後要用就不需要重新申請，如Microso 365等。這項鬆綁規定，將讓金融業很多上雲採用更容易。</p> <p>但使用雲端服務仍需遵循風險管控、客戶資料儲存境內為原則等八大項規定。此次修法，金管會也加強規範客戶資料保護及確保雲端技術應用安全可靠性，同時要求金融機構落實委外作業控管，成為內部治理架構一環。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">z/OS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IBM新版大型主機作業系統z/OS亮相，將能跨雲管理Linux與z/OS工作負載</span></strong></p> <p>前陣子，IBM介紹下半年即將推出的新版大型主機作業系統z/OS 3.1，其中一大特色，就是能夠進一步支援企業混合雲策略，讓企業可以在混合雲環境中建構、部署和管理Linux和z/OS工作負載。</p> <p>為了支援混合雲應用需求，新版本z/OS特別加強這方面的支援能力，包括推出z/OS容器擴展計畫，強化對於容器化應用的支援，來改進效能與安全，還支援NFS、HPPS，與支援混合型應用（虛擬機和容器）。</p> <p>另外，在z/OS 3.1更新版本中，還將為z/OS UNIX工具提供一套資料集檔案系統，讓使用者可以透過它以安全且一致方式來存取混合雲應用中的資料。還加強支援舊版31位元COBOL程式碼和64位元Java交互作業能力，可以更容易執行64位元Java應用。此外，新版z/OS也把雲原生管理能力帶到大型主機z/OS中，以及提供更現代化操作介面。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端生產力應用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料加密 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">企業版Gmail、行事曆服務終於能支援Google用戶端加密機制，強化用戶隱私控管</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(4)(1).png" style="width: 600px; height: 347px;" /></p> <p>繼去年Google讓自家雲端生產力應用Workspace部分套件，如Drive雲端硬碟、 Meet會議、 Docs文件、試算表等開始能夠支援Google用戶端（client-side encryption，CSE）加密機制，最近， Google也把這項加密功能擴大延伸到Gmail、行事曆服務都能支援，但只有Workspace企業及教育用戶能使用。</p> <p>透過這項加密技術，未來企業內部員工使用Gmail傳送信件或圖片、檔案時，在資料還沒傳到Google雲端伺服器前就會提前加密完成，透過這樣的方式，可確保資料就算送上Google公雲也無法從雲端伺服器中解讀原始信件或檔案內容，以此來強化對資料隱私的保護。加入CSE加密功能後，還帶給用戶更大主控權，可管理加密金鑰及控管存取這些金鑰的身分服務，來滿足各家企業對於法規遵循的要求。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">無伺服器應用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS推出能快速建置無伺服器應用的視覺化設計工具Application Composer</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(1)(2).jpg" style="width: 600px; height: 314px;" /></p> <p>最近，AWS推出名為Application Composer的雲端新服務，這是一個可以快速建置無伺服器應用的視覺化設計工具，讓使用者只要用拖拉操作，就能迅速將多個AWS服務組合起來，並連接到應用程式架構中，以此建立和部署無伺服器應用，因為是透過視覺化介面操作和拖移設計，即使不懂無伺服器的開發人員也能很快上手。</p> <p>AWS在去年底re:Invent大會上釋出預覽版，近日推出正式版，除了增加新功能之外，使用者以Application Composer來設計應用架構時，還能使用AWS基礎設施即程式碼服務CloudFormation或套用無伺服器應用程式範本，也能提供後續架構版本的維護。該服務目前已於美國東區、西區和亞洲部分地區推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CRM </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">不畏經濟放緩衝擊！雲端CRM巨頭Salesforce公布2022年第4季業績成長仍破1成，達83億美元</span></strong></p> <p>雲端CRM龍頭Salesforce近日公布2022年第4季以及全年財報，與前年同期相比，第4季營收成長14%，達到83.8億美元，加上前三季，合併全年總營收為314億美元，較前年增長18％。</p> <p>進一步來看各別業務營收，以雲端訂閱和支援業務的營收最多，共達290.2億美元，增長18%，這類訂閱服務有包括行銷雲、銷售雲、數據雲等，由此反映出企業對於雲端CRM相關投資需求，並未受到當前經濟不景氣大環境所影響而趨於保守。至於專業服務和其他收入的營收雖有增長，但與雲端營收仍有不少差距，只有23.3億美元。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端開採 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路威脅 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">研究：2022年駭客所開採的雲端漏洞增長95%</span></strong></p> <p>美國資安業者CrowdStrike在新公布的2023年全球威脅報告中指出，跟前年相比，去年網路威脅有明顯改變，特別是以雲端為攻擊目標的網路攻擊有大幅增長的趨勢。該公司資安團隊從CrowdStrike Falcon網路平臺分析來自企業用戶每日上兆起例行事件的數據，進而統整出過去一年網路威脅攻擊最新變化與趨勢。</p> <p>其中在雲端威脅方面，該報告指出，單是2022年由駭客或犯罪者所開採的雲端漏洞就增加了95%，增長幅度很快，不僅如此，該報告也發現，犯罪者基於這個目的而採取攻擊行動的案件量足足增長兩倍，顯示出除了以往常見攻擊途逕之外，雲端已逐漸成了駭客鎖定攻擊的新重點。</p> <p>圖片來源／金管會、GCP、AWS</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Salesforce推出採用Hyperforce架構新的雲端維運區域，讓企業更容易管控內部數據符合歐盟法遵</strong></p> <p><strong>2.為布局雲端運算市場，雲端CDN業者Akamai收購雲端儲存商Ondat</strong></p> <p><strong>3.IBM與資安廠商Cohesity合作推出雲端資料保護解決方案</strong></p> <p><strong>4.西班牙電信Telefónica大舉上雲，更要把旗下Vivo資料中心關鍵系統全面遷上OCI公雲</strong></p> <p><strong>資料來源：iThome整理，2023年3月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/3/9 12:29作者余至浩https://www.ithome.com.tw/news/155839
Databricks供用戶簡單部署模型服務，降低機器學習應用開發門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Spark技術團隊所成立的新創<a href="https://www.databricks.com/blog/2023/03/07/announcing-general-availability-databricks-model-serving.html">Databricks正式推出Model Serving</a>，這是一項無伺服器機器學習模型服務，透過將模型部署在湖邊小屋（Lakehouse）就近整合資料，用戶可以利用REST API存取模型，以快速建構包括個人化建議、聊天機器人和詐騙偵測等即時機器學習應用程式。</p> <p>不少企業希望在應用程式添加機器學習技術，提供創新服務，但Databricks提到，即時機器學習系統需要快速可擴展的服務基礎架構，不只需要專家知識建立和維護，也需要進行監控、自動部署和模型再訓練等工作，這對企業來說是一大挑戰。</p> <p>透過API提供機器學習服務則有助克服此挑戰，Databricks模型服務將模型部署於資料和訓練基礎設施旁，以進一步簡化用戶在機器學習生命周期管理工作。模型服務建構在Databricks湖邊小屋服務之上，使資料和人工智慧整合至同平臺，提供一個無伺服器解決方案，供企業以整合工具的方式添加機器學習技術，加速創新應用開發。</p> <p>用戶不需要考慮底層，由Databricks處理基礎設施的可擴展性，以及版本相容性和程式修補，且模型服務能夠原生與各種服務整合，用戶在單一平臺就能管理資料擷取、訓練、部署和監控整個機器學習工作流程，掌握模型生命周期整體情況。</p> <p>模型服務整合Databricks特徵商店，而特徵商店是一個方便查詢和共享特徵的集中式儲存庫，用戶可在訓練期間定義一次特徵，之後便由Databricks自動擷取並聯合相關特徵，以完成推論工作負載。Databricks模型服務還整合MLflow自動部署模型，用戶只要提供模型，MLflow便能自動準備容器，並將其部署成無伺服器服務。</p> </div></div></div>
2023/3/8 21:27作者李建興https://www.ithome.com.tw/news/155823
Salesforce與OpenAI合作在Slack與CRM等工具整合ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce推出客戶關係管理專用的生成式人工智慧<a href="https://www.salesforce.com/news/press-releases/2023/03/07/einstein-generative-ai/">Einstein GPT</a>，Einstein GPT整合了Salesforce原有的人工智慧模型、資料，以及OpenAI的生成式人工智慧模型ChatGPT，官方提到，由於Einstein GPT僅使用企業可用的資料，能夠生成可靠的內容加速產出行銷內容。另外，Salesforce還宣布在協作軟體<a href="https://www.salesforce.com/news/stories/chatgpt-app-for-slack/">Slack整合ChatGPT</a>，以提供對話摘要等功能。</p> <p>Salesforce提到，Einstein GPT是第一個客戶關係管理生成式人工智慧，能夠協助行銷人員生成個人化電子郵件，更快速且專業地回覆客戶的問題。同時，Einstein GPT也能夠產生針對性內容，提高行銷活動的回應率，甚至自動替開發人員產生程式碼。</p> <p>Salesforce原本就已經使用自家開發的人工智慧技術Einstein AI，每天在Customer 360執行超過2,000億次預測，現在Salesforce將自家Einstein AI，與OpenAI的ChatGPT對話模型相結合，使得用戶能夠以自然語言指示人工智慧執行自動化任務，並創建個人化內容。</p> <p>包括銷售、行銷、客戶關係和開發等Salesforce產品皆整合Einstein GPT，針對銷售應用，Einstein GPT可自動完成銷售相關任務，諸如編寫電子郵件、安排會議等，而Einstein GPT也能根據過去案例筆記產生知識文章，並自動生成聊天回應內容，協助提供個人化且快速的客戶服務。</p> <p>Einstein GPT能動態生成個人化行銷內容，還會在Slack Customer 360應用程式中提供客戶分析，針對銷售機會提供智慧摘要，並且提供新知識文章等客戶服務。開發者也能獲得Einstein GPT的協助，官方提到，Einstein GPT結合Salesforce研究院開發的大型語言模型，可生成程式碼提升開發人員工作效能。</p> <p>另外，Salesforce也宣布推出ChatGPT for Slack，藉由在Slack添加由OpenAI開發的ChatGPT，使得Slack能夠替對話進行摘要，協助用戶編寫訊息草稿，或是加速使用者了解特定主題。目前ChatGPT for Slack仍在Beta測試中。</p> </div></div></div>
2023/3/8 21:30作者李建興https://www.ithome.com.tw/news/155825
JetBrains程式碼品質檢查工具Qodana現可對PHP程式碼進行污點分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains在程式碼品質檢查工具Qodana，加入<a href="https://blog.jetbrains.com/qodana/2023/03/secure-your-php-code-with-taint-analysis-by-qodana/">PHP程式碼污點分析（Taint Analysis）功能</a>，Qodana現在能夠找出PHP程式碼中存在的SQL注入或是跨站腳本攻擊等問題，協助開發者編寫更安全的程式碼。</p> <p>由JetBrains所開發的程式碼品質檢查工具Qodana，能夠在用戶的持續整合工具中，提供伺服器端靜態分析功能，Qodana能夠在持續整合環境，提供與PhpStorm和其他JetBrains IDE相同的程式碼品質檢查功能。</p> <p>程式碼的污點，指得是經外部使用者修改的輸入值，可能對程式碼產生安全風險，因此當程式存在污點，且允許使用未經驗證的輸入資料，則惡意攻擊者便能夠透過執行惡意程式碼片段，進行SQL注入、算術溢位、跨站腳本和路徑走訪攻擊，進而達成破壞系統、竊取憑證，或是改變系統行為等目的。</p> <p>因此在審查程式碼時進行污點分析，便能夠額外提高程式碼的安全性，污點分析則是評估不受信任的用戶輸入，在函式和方法間傳遞的過程，目的是要避免因為意料之外的輸入，對程式執行造成的影響。</p> <p>過去開發者可以手動進行污點分析，找出所有接收外部使用者輸入的地方，並且追蹤所有資料傳遞過程，主要防止污點傳播的方法有兩個，第一是清理資料，將資料轉換成更安全的狀態，第二則是驗證資料，檢查資料符合所需模式與否。</p> <p>而在Qodana for PHP 2023.1 EAP中加入的污點分析預覽功能，能夠在污點源頭，也就是資料接受器追蹤資料，以及在使用該資料，卻未經清理和驗證時發出警示。污點分析能夠掃描程式碼，並且突出顯示存在污點以及具有潛在漏洞的程式碼，開發者能夠以PhpStorm開啟問題，視覺化查看污點資料流，並且進行修改。</p> <p>官方表示，Qodana for PHP是他們發布的第一個Linter，現在開放PHP開發者測試使用，待他們收集更多回饋後，會計畫添加更多語言的污點分析。</p> </div></div></div>
2023/3/8 21:32作者李建興https://www.ithome.com.tw/news/155829
【資安日報】3月8日，ChatGPT被用於投資詐騙攻擊、Windows信任的資料夾被用於繞過使用者帳號控制防護措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是假借ChatGPT來發起的攻擊行動了！繼之前有人用於產生惡意程式碼、製作釣魚郵件內容，也有宣稱提供相關軟體來散布惡意程式的情況，現在有人聲稱採用ChatGPT架設AI對話機器人，目的是要對使用者進行投資詐騙。</p> <p>有駭客在木馬程式攻擊行動裡企圖繞過使用者帳號控制（UAC）機制，他們假造了Windows作業系統預設信任的資料夾，藉此在不受管制的情況下執行木馬程式。而這樣的手法是資安人員在2020年發現，如今已被用於實際攻擊行動。</p> <p>面對廠商已不再支援的產品，仍有可能被公布漏洞，若企業與組織仍在使用，IT人員千萬別以為可以放著不管，因為這些漏洞很可能成為駭客鎖定的目標。有資安業者發現，VMware於2022年10月修補的重大漏洞CVE-2021-39144，在12月出現大規模攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bitdefender.com/blog/hotforsecurity/bitdefender-labs-warns-of-fresh-phishing-campaign-that-uses-copycat-chatgpt-platform-to-swindle-eager-investors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客架設冒牌ChatGPT平臺向用戶發動網釣攻擊，目標是進行投資詐騙</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image--17-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image--17-.png" style="width: 300px; float: right;" /></a>人工智慧機器學習語言模型ChatGPT爆紅，攻擊者無不想方設法假借其名義發動攻擊。資安業者Bitdefender揭露針對ChatGPT用戶的釣魚郵件攻擊行動，駭客假借寄送廣告信的名義，針對丹麥、德國、澳洲、愛爾蘭、荷蘭使用者下手，宣稱採用ChatGPT的聊天機器人能讓他們致富，每個月能賺進超過1萬美元利潤。</p> <p>一旦使用者接受此聊天機器人的提議，就會要求提供電子郵件信箱，以及設定WhatsApp帳號的電話號碼。若是照做，使用者就會接到聲稱是Import Capital的英國投資公司電話，對方使用羅馬尼亞語進行說明，並要求使用者至少投資250歐元。</p> <p>但研究人員根據對方使用的網域名稱進行調查，英國政府並未許可這家公司從事相關業務。他們認為，這樣的攻擊行為接下來很可能會在全球漫延。</p> <p><a href="https://www.sentinelone.com/blog/dbatloader-and-remcos-rat-sweep-eastern-europe/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">UAC再度出現被繞過的情況！Windows信任的資料夾存在可被繞過的弱點</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DBatLoader_and_Remcos_RAT_Sweep_Eastern_Europe_-_Google_Docs-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DBatLoader_and_Remcos_RAT_Sweep_Eastern_Europe_-_Google_Docs-2.png" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露鎖定東歐的木馬程式Remcos RAT攻擊行動，駭客先是假借發票、招標文件、財務資訊為由寄送釣魚郵件，挾帶副檔名為lz的壓縮檔，一旦收信人打開壓縮檔裡面的「文件」，電腦就會從OneDrive、Google Drive等雲端檔案共用服務，下載第二階段的惡意酬載DBatLoader，進而在受害電腦植入Remcos RAT。</p> <p>值得留意的是，部署木馬程式之前，DBatLoader建立Windows認定是重要資料夾的路徑，目的是規避系統內建的使用者帳號控制（UAC）機制。例如，C:\Windows \System32（Windows後面多一個空格），由於UAC會忽略資料夾名稱中的空格，而將此位置視為系統重要資料夾，使得存放在該資料夾裡的惡意程式不受管制而能直接執行。</p> <p><a href="https://lab.wallarm.com/vmware-nsx-manager-vulnerabilities-being-actively-exploited-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware終止支援產品的重大漏洞出現攻擊行動</span></strong></a></p> <p>應用程式漏洞檢測業者Wallarm Detect近日針對CVE-2021-39144（CVSS風險評分9.8分）的漏洞攻擊行動提出警告，此漏洞出現於VMware已終止支援的NSX Data Center for vSphere（NSX-V），起因是這些系統採用的程式庫XStream 存在漏洞。VMware於10月25日發布修補程式，並於27日提出警告已有概念性驗證（PoC）程式碼。這樣的漏洞不光波及已終止支援的產品，也影響Cloud Foundation 3.11版。</p> <p>該資安業者自12月8日發現駭客積極利用上述漏洞發動攻擊，並在同月下旬達到高峰，一天有超過4,600次攻擊，大部分攻擊鎖定Linode與Digital Ocean等資料中心。</p> <p><a href="https://www.rapid7.com/blog/post/2023/02/28/a-shifting-attack-landscape-rapid7s-2022-vulnerability-intelligence-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾半數漏洞公開後一週內就出現攻擊行動</span></strong></a></p> <p>資安業者Rapid7針對2022年出現的漏洞進行分析，結果發現駭客利用漏洞的速度較往年更快──相較於2021年快上12%、較2020年快上87%。2022年出現的漏洞有56%在公開後的7天內就出現攻擊行動，中位數為1天。</p> <p>研究人員表示，整體而言，2022年利用新漏洞發動攻擊的頻率約下降15%，但大規模的漏洞利用攻擊仍是常態，其中，有43%的漏洞攻擊與零時差漏洞有關。</p> <p>比較特別的是，勒索軟體駭客2022年利用漏洞的情況大幅降低，較前年少了33%，研究人員認為，這樣的現象與駭客採用的手法更加複雜有關，且有不少攻擊者選擇向掮客購買初期入侵管道，以增加攻擊速度，因此，不應掉以輕心。</p> <p><a href="https://www.tenable.com/blog/tenable-2022-threat-landscape-report-reduce-your-exposure-by-tackling-known-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年的漏洞濫用攻擊，有極大比例使用是2017年至2021年列管的漏洞</span></strong></a></p> <p>資安業者Tenable對於2022年的威脅態勢進行彙整，指出從2022年至2023年1月9日，共有25,112個漏洞登記CVE編號進行列管，較2021年的21,957個增加14.4%、2016年的6,447個增加287%。</p> <p>其中，他們認為2022年最嚴重的漏洞包含了Log4Shell（CVE-2021-44228）、Follina（CVE-2022-30190）、ProxyShell（CVE-2021-34473），以及Atlassian Confluence重大漏洞CVE-2022-26134。</p> <p>但研究人員特別提及，過往漏洞仍在2022年造成相當嚴重的威脅──鎖定2017至2022年舊漏洞的濫用攻擊數量驚人，高於2022年被揭露的4大嚴重漏洞。這些漏洞存在於各式品牌的IT系統，包含微軟Exchange、Zoho ManageEngine，Fortinet和Pulse Secure的SSL VPN解決方案等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.helpnetsecurity.com/2023/03/07/vulnerability-dji-drones-reveal-pilot-location/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DJI大疆無人機出現漏洞，恐曝露控制者的位置</span></strong></a></p> <p>德國波鴻魯爾大學、資安研究機構Helmholtz Center for Information Security（CISPA）的研究團隊聯手，針對大疆（DJI）無人機進行分析，結果總共發現16個漏洞，這些漏洞可被用於發動阻斷服務攻擊（DoS），或是執行任意程式碼，其中14個可透過操作者的智慧型手機遠端發動攻擊，並導致正在飛行的無人機失控、墜毀。</p> <p>研究人員指出，根據他們逆向工程的分析結果，操作者的遙控器與無人機之間傳輸的訊息並未加密，而有可能曝露操作者的隱私，再者，則是他們也看到能用於提升權限的弱點──攻擊者可在兩臺無人機和遙控器取得較高的權限，以便採取進一步的攻擊行動。大疆接獲研究人員通報後，已修補上述漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.nstc.gov.tw/folksonomy/detail/b62a118f-e022-4efb-9f73-7d13fc1724b6?l=ch"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">培育資安女力，國科會第3屆資安女婕思、女婕思好科技開放報名</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/335099633_1271894136733528_194112013907249298_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/335099633_1271894136733528_194112013907249298_n.jpg" style="width: 300px; float: right;" /></a>3月8日是婦女節，資安需要更多女性加入，國家科學及技術委員會主任委員吳政忠、NEC臺灣董事總經理賴佳怡、中研院院士李德財、教育部資訊及科技教育司副司長邱仁杰等，攜手高中校長、女同學代表、學者及企業代表，共同為「2023 GiCS 第3屆尋找資安女婕思」及「TechGiCS女婕思好科技」活動揭開序幕。</p> <p>本屆尋找資安女婕思競賽規畫高中職、大專校院組，並包含資安闖天關及創意發想賽等主題，預定於5月6日在臺南沙崙資安暨智慧科技研發大樓舉辦決賽。</p> <p>今年國科會也繼續舉辦名為女婕思好科技的研習活動，針對職場女性擴大舉辦科技通識相關領域的大師沙龍講座，規畫於4月初開始研習。</p> <p><a href="https://www.infosecurity-magazine.com/news/twothirds-of-european-started-zero/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲多數企業與組織擁抱零信任策略，有高達三分之二的比例開始採用</span></strong></a></p> <p>根據市場調查機構Forrester的調查，2022年約有三分之二的歐洲組織已開始制訂零信任（Zero Trust）的資安防護策略，相較於2020年僅有四分之一，可說是普及許多。其中，在歐洲政府機關與公部門的資安決策人員當中，有82%認為所屬的組織已針對零信任進行相關投資，較一般企業的決策者僅有72%高出不少。</p> <p>這種導入零信任防護策略大幅成長的情況，研究人員認為很可能與近期的政治事件有關，而使得關鍵基礎設施（CI）的網路安全受到關注所致。此外，該機構指出，表態正在落實或精進零信任策略的組織，幾乎在過去一年都遭遇資安事故，而可能成為這些組織採取相關策略的主要推力。根據國別來看採行零信任策略的組織比例，德國79%最高，其次是英國68%、法國66%。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-excel-now-blocking-untrusted-xll-add-ins-by-default/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟封鎖來自網路的Excel附加元件</span></span></strong></a></p> <p><a href="https://therecord.media/germany-ransomware-haw-hamburg-vice-society"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國大學傳出遭到勒索軟體Vice Society攻擊</span></span></strong></a></p> <p><a href="https://cofense.com/blog/emotet-sending-malicious-emails-after-three-month-hiatus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet再度捲土重來，假借發票的名義散布</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/bidencash-market-leaks-over-2-million-stolen-credit-cards-for-free/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">信用卡資料黑市BidenCash洩露逾2百萬張金融卡資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/epa-mandates-states-report-on-cyber-threats-to-water-systems/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國要求自來水供應業者在稽核過程必須報告資安威脅態勢</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155813">【3月7日】宏碁再傳資料外洩事故、一百多家組織的居易路由器遭木馬程式HiatusRAT入侵</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155798">【3月6日】研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法、組態配置不佳的Redis伺服器被用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155764">【3月3日】中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手</a></strong></p> </div></div></div>
2023/3/8 18:27作者周峻佑https://www.ithome.com.tw/news/155833
微軟公開預覽先進電腦視覺基礎模型Florence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟公開Project Florence的最新成果，<a href="https://azure.microsoft.com/zh-tw/blog/announcing-a-renaissance-in-computer-vision-ai-with-microsofts-florence-foundation-model/">公開預覽Florence基礎模型</a>，該模型現在已整合至Azure Cognitive Service for Vision，提供新的電腦視覺服務。新的視覺服務提供自動圖說、智慧裁切、分類、背景移除和圖像搜尋等功能，同時該服務還提供負責任人工智慧功能，用戶可以控制追蹤活動、分析環境，並接收即時警示。</p> <p><a href="https://www.microsoft.com/en-us/research/project/projectflorence/">Project Florence是微軟的人工智慧認知服務研究計畫</a>，目的是要研發先進的電腦視覺技術，開發下一代電腦視覺辨識框架。官方提到，從2012年深度學習技術有所突破以來，圖像分類的準確率，已經從50.9％上升到90.2％。</p> <p>但是微軟認為，距離實際應用電腦視覺技術仍有一段路要走，通用物件偵測的精確度只有65.9％，無法實際應用在關鍵任務，況且在影片上的應用挑戰更大。因此微軟想藉由Project Florence，推進電腦視覺技術的發展。</p> <p>微軟在2021年發表<a href="https://www.microsoft.com/en-us/research/publication/florence-a-new-foundation-model-for-computer-vision/">《Florence: A New Foundation Model for Computer Vision》</a>論文，Florence是一個電腦視覺的基礎模型，在資料集ImageNet-1K零樣本分類中，top-1精確度達到83.74％，top-5精確度可達97.18％。微軟提到，該模型經數十億筆圖像文字資料進行訓練，現在整合至Azure Cognitive Service for Vision，提供生產用電腦視覺服務。</p> <p>微軟開始在旗下的應用程式中整合新的視覺服務，包括Teams、PowerPoint、Outlook、Word、Designer、OneDrive等Microsoft 365應用程式，Teams應用新模型的圖像分割功能，而PowerPoint、Outlook和Word以模型替圖像自動產生替代文字，以提高無障礙性，Designer和OneDrive則是運用新視覺服務的圖像標記、圖像搜尋和背景生成，以簡化圖像搜尋和編輯任務。另外，Microsoft Datacenters也使用新的視覺服務，強化安全性和基礎架構可靠性。</p> <p>用戶現在可於Vision Studio立即試用由Florence基礎模型所加持的電腦視覺功能，諸如圖說生成、圖像搜尋、背景移除、模型自訂等功能。在Vision Studio中還能試用影片總結功能，不需要額外的後設資料，讓用戶可直覺地搜尋影片內容。</p> </div></div></div>
2023/3/8 17:01作者李建興https://www.ithome.com.tw/news/155822
Google在臺投入3億元設立基金，助國內新聞產業數位轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部（數位部）去年底力促國內新聞產業與Google、Meta等大型數位平臺對話，針對新聞內容與大型平臺之間的廣告分潤議題建立共識，在首輪對話之後，Google在今天（3/8）宣布將以3年共3億元台幣成立「台灣新聞數位共榮基金」，委託數位經濟暨產業發展協會（DTA）獨立管理，以協助國內新聞產業轉型為目的，今年上半年就會對外徵件。</p> <p>過去Google曾推動Google新聞倡議計畫（Google News Initiatives,GNI），提供基金，開放數位媒體申請，鼓勵新聞產業製作高品質新聞，並打擊假新聞。此次成立的共榮基金擴大Google與台灣新聞產業的合作，開放台灣所有的新聞媒體申請，以製作具有原創性內容、符合公眾利益的媒體，可向DTA申請，由DTA邀請數位轉型、新聞、技術方面專家成立的諮詢委員會、指導委員會提供建議，確認方案後再由DTA審定、核發經費。原則上為每個單位每年申請一項計畫。</p> <p>DTA理事長陳正然表示，共榮基金的成立目的是協助台灣新聞產業，包括電子、平面及各種新創媒體，未來針對新聞內容願意作創新嘗試，符合公眾利益者，都是基金贊助的對象。Google不會介入基金運作，由DTA獨立管理，針對媒體的提案，邀請產業界、學界專家、公民團體等代表組成委員會，提供專業上的協助。</p> <p>陳正然表示，DTA將邀請專家，儘快確定共榮基金開放外界申請的方式、申請基金的上限等等，準備工作都完備之後，預期最快在今年5月會對外開放徵件。</p> <p><span style="color:#B22222;"><strong>數位部：仍支持新聞有價，廣告分潤立法仍是選項</strong></span></p> <p>新聞內容產業和跨國數位平臺之間的廣告分潤議題，由於跨國大型平臺掌控流量，新聞內容產業在廣告分潤協商上處於不對等的地位，已受到國外政府或大型經濟體的重視，為解決新聞產業和跨國大型平臺間的廣告分潤爭議，澳洲政府立法「新聞議價法」，讓新聞媒體從產製的內容中獲得合理的報酬，當媒體與數位平臺無法達成共識時，援引該法強制仲裁，歐盟也在新的著作權指令中提出鄰接權，確保出版商從使用新聞內容的科技平臺獲得合理報酬。</p> <p>去年我國成立數位發展部，數位部其中一個重要任務便是促成數位經濟發展，對於國內新聞內容產業與跨國大型數位平臺間的廣告分潤爭議，去年底推動新聞內容產業與跨國數位平臺業者第一輪談話，希望對爭議形成共識，此次Google成立共榮基金，數位部認為是Google展現傾聽新聞產業聲音的誠意，也是第一輪對話初步成果，盼後續的對話達成更多共識。</p> <p>對於將廣告分潤以立法來解決，今天出席活動的數位部次長李懷仁表示，數位部支持新聞有價的立場，廣告分潤的立法仍是選項之一，未來期望透過推動對話，促成新聞媒體和平臺間更多合作的可能。在第一輪對話之後，數位部已開始規畫接下來第二輪對話，希望能在3月下旬推動。</p> <p>除了Google展現與媒體產業合作的誠意之外，李懷仁指出，另一個大型數位平臺Meta也在研擬中，並與其總部溝通中，目前數位部無法代其揭露方案內容。</p> </div></div></div>
2023/3/8 17:28作者蘇文彬https://www.ithome.com.tw/news/155824
金融業開放上雲將有重大鬆綁！未來境外公雲不是重大消金應用免申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會於7日宣布金融業委外辦法將有重大鬆綁，尤其是金融業上雲規定將大幅放寬，未來只有重大消費金融應用要上到境外公有雲，以及主管機關指定類型，才要申請核准，其餘不用申請。相較於4年前，金管會這次對於金融業上雲鬆綁又更進一步。修正辦法將從本周起正式預告60天，最快Q3正式上路。</p> <p>過去銀行委外使用雲端服務時，只要是涉及重大性委外作業（如客戶資料）或是將作業委託到境外公雲，都得事先向金管會申請核准，需耗費不少時間，考量到上雲對於金融業數位轉型及金融服務的敏捷彈性日益重要，因此金管會決定調整放寬上雲作業規定。</p> <p>金管會預告修正「金融機構作業委託他人處理內部作業制度及程序辦法」，其中關於委外上雲規範修正，主要重點是對境內外雲端委外作業規定和程序大鬆綁，以後銀行業者使用境內雲端服務（如GCP或AWS），處理一般性事務或辦公應用，不需要事先申請核准，也就是說，以後可以直接使用境內公雲服務來儲存資料，免申請。</p> <p>不僅如此，對於境外雲端服務使用規定也放寬，允許業者免申請就能將各自業務資訊系統上到境外公雲，除非是屬於重大性消金業務系統，或主管機關指定類型，才須向金管會申請取得核准。另外，還大幅簡化委外上雲申請核准的程序，有首案申請通過核定後，其他金融業者之後要用就不需要重新申請，如Microsoft 365等。這項鬆綁規定，將讓金融業很多上雲採用更容易。</p> <p>但使用雲端服務仍需遵循風險管控、客戶資料儲存境內為原則等八大項規定。金管會這次修法也強化規範客戶資料保護及確保雲端技術應用安全可靠性，同時要求金融機構落實委外作業控管，成為內部治理架構一環。</p> </div></div></div>
2023/3/8 08:28作者余至浩https://www.ithome.com.tw/news/155815
Google用於YouTube的通用語音模型，現可辨識超過100種語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在去年的時候宣布，將要建構一個能夠支援1,000種語言的機器學習模型，現在釋出階段性研究成果，Google的<a href="https://sites.research.google/usm/">通用語音模型（USM）</a>已經能夠支援100種語言，這項成果目前發表在arXiv論文預印本網站。</p> <p>研究人員提到，傳統的監督式學習方法欠缺可擴展性，要將語音技術擴展至更多的語言，便需要有足夠多的資料訓練高品質模型。過去資料準備的常見方法，需要以人工手動標記音訊資料，而這是耗時且昂貴的過程，更何況對於缺乏資源的語言，更是難以收集足夠的訓練資料。而自我監督式的學習，反而可以利用純音訊資料，因此更可能達到擴展至數百種語言的目標。</p> <p>Google的通用語音模型則是使用自我監督式學習，運用大型未標記的多語言資料集預訓練模型編碼器，並使用較小的標記資料集進行微調，使模型能夠辨識缺乏資源的語言。通用語音模型具有20億參數，使用1,200小時的語音和280億條文字句子進行訓練。</p> <p>通用語音模型主要用於YouTube，不只可以對英語和漢語執行自動語音辨識，甚至還可以辨識資源缺乏的阿薩姆語、馬達加斯加語和宿霧語等。目前通用語音模型能夠對100多種語言執行自動語音辨識，儘管該模型所使用的標記訓練資料集，僅有Whisper模型的七分之一，但是在跨多種語言的語音辨識任務，卻有相同甚至更佳的表現。</p> <p>通用語音模型在其中73種語言，平均每種語言的訓練資料不到3,000小時，卻實現了低於30％的單詞錯誤率，而這是Google過去從未達到的成果。在各種公開的資料集測試，包括CORAAL、SpeechStew和FLEURS，與Whisper模型相比較，通用語音模型的單詞錯誤率都較低。研究人員還利用CoVoST資料集微調通用語音模型，和Whisper的語音翻譯能力進行比較，通用語音模型無論是在資源可用性低、中和高的語言，BLEU分數都較Whisper更佳。</p> </div></div></div>
2023/3/8 08:55作者李建興https://www.ithome.com.tw/news/155811
IBM與Cohesity合作推出雲端資料保護解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM與資安公司Cohesity合作，藉由結合兩家公司的資料保護、網路韌性和資料管理技術，推出<a href="https://newsroom.ibm.com/2023-03-02-IBM-and-Cohesity-Announce-New-Data-Security-and-Resiliency-Collaboration-Advancing-Enterprises-Ability-to-Fight-the-Impacts-of-Breaches-and-Cyberattacks">IBM Storage Defender解決方案</a>，使用者能夠以單一管理平面，以人工智慧和事件技術監控多個平臺，並且具有資料自動恢復功能，以保護企業不會因勒索軟體或人為錯誤等因素造成資料丟失。</p> <p>IBM Storage Defender加入了Cohesity DataProtect解決方案，可跨環境大規模恢復遺失的資料，保護存放在多雲平臺的資料來源，Cohesity DataProtect可以在本地、異地伺服器或是多雲平臺，複製和儲存資料，確保用戶在發生資料遺失時，可以快速獲取最新的資料副本。</p> <p>前身為IBM Spectrum Protect也進入Storage Defender產品組合，更名為IBM Storage Protect，能夠對實體檔案伺服器、虛擬環境和各種應用程式提供資料韌性，企業可以利用集中式介面，創建本地和雲端資料備份。Storage Defender還包含全快閃混合儲存平臺IBM Storage FlashSystem，以及用於紅帽OpenShift的容器原生儲存和資料調度服務IBM Storage Fusion。</p> <p>IBM計畫在2023年第二季推出IBM Storage Defender解決方案，一開始將先向用戶提供IBM Storage Protect和Cohesity DataProtect兩產品。</p> </div></div></div>
2023/3/8 09:15作者李建興https://www.ithome.com.tw/news/155814
微軟商務應用Dynamics 365也加入AI，可自動生成文字內容和分析訂單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其商務應用程式<a href="https://cloudblogs.microsoft.com/dynamics365/bdm/2023/03/06/introducing-microsoft-dynamics-365-copilot-bringing-next-generation-ai-to-every-line-of-business/">Dynamics 365加入Copilot人工智慧功能</a>，在各種業務功能提供互動式人工智慧輔助，解決日常工作中的重複性任務，尤其像是客戶關係管理和企業資源規畫等，需要大量手動輸入資料的系統，Dynamics 365 Copilot能夠自動生成內容提供建議。</p> <p>有Copilot加持的Dynamics 365 Sales和Viva Sales，可協助銷售人員編寫給客戶的電子郵件，並且在Outlook創建Teams會議的電子郵件摘要。而Dynamics 365 Customer Service中的Copilot，則可以根據客戶的對話和電子郵件產生詢問的解答草稿，並且能夠把知識庫和歷史案例作為基礎，回應客戶的問題。</p> <p>而客戶分析應用Dynamics 365 Customer Insights，Dynamics 365 Copilot讓行銷人員以自然語言操作資料平台，以獲得高度自定且具針對性的客戶分群，並獲得市場分割建議。在Dynamics 365 Marketing中，Copilot能夠提供電子郵件行銷活動靈感，人工智慧可根據行銷人員輸入的主題，以及現有的電子郵件等資料提供行銷建議。</p> <p>Dynamics 365 Business Central用戶有Copilot輔助，上架產品更簡單，僅需提供產品的屬性，Copilot便能夠快速生成產品描述，還能夠設定語調、格式和長度自定描述，Business Central和Shopify整合，共同客戶只要透過簡單點擊，就可以快速將帶有描述的產品發布到Shopify商店。另外，在Dynamics 365 Supply Chain Management中，Copilot則會主動標記可能影響關鍵供應鏈流程的問題，諸如天氣、財務和地理等，並且對訂單進行預測分析。</p> <p>微軟積極投資人工智慧，<a href="https://www.ithome.com.tw/news/109620">與OpenAI早在2016年就展開人工智慧研究</a>，並在之後<a href="https://www.ithome.com.tw/news/145340">共同發布人工智慧程式開發助理GitHub Copilot</a>，微軟也開始於各項既有產品加入人工智慧功能，像是<a href="https://www.ithome.com.tw/news/144649">在Power Apps嵌入GPT-3讓用戶以自然語言開發應用</a>，<a href="https://www.ithome.com.tw/news/155259">微軟更在2023年1月宣布擴大與OpenAI的合作</a>，接著<a href="https://www.ithome.com.tw/news/155351">在Teams推出內建語言模型GPT-3.5的Premium版本</a>，還<a href="https://www.ithome.com.tw/news/155429">以ChatGPT強化搜尋引擎Bing和瀏覽器Edge</a>，現在於Dynamics 365也加入Copilot人工智慧功能，逐步強化自家的人工智慧產品組合。</p> </div></div></div>
2023/3/8 08:40作者李建興https://www.ithome.com.tw/news/155806
GitHub Desktop 3.2供開發者預覽拉取請求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在最新的GitHub Desktop 3.2，用戶可以用到新功能預覽拉取請求，查看要合併到儲存庫主要分支的所有變更差異，官方提到，這項功能是來自GitHub Desktop 3.1的功能進化，在之前的版本用戶可以查看多個提交的變更差異，確保要推送的程式碼沒有預期外的變更。</p> <p>拉取請求是貢獻者對儲存庫程式碼提出更改建議的方式，而新的預覽拉取請求功能，供開發者在打開拉取請求之前，先查看功能分支上所有提交的變更差異，使開發者在離開本地開發環境之前，能夠進行第二次檢查。這項功能讓開發者在將變更推送到GitHub.com之前，在本地端進行審查，以確保拉取請求中沒有除錯用等不必要的程式碼。</p> <p>除了預覽拉取請求這項更新之外，GitHub Desktop也調整了強制推送和擷取的操作，過去用戶只能在Rebase等操作之後，進行強制推送，但現在開發者只要發現分支處在分歧的狀態下，就可以使用強制推送。而在新版的本地分支中，當開發者尚未準備發布，但是想獲取查看主分支上是否存在可合併的變更，開發者不用再切換分支，可以直接使用儲存庫選單以擷取變更。</p> </div></div></div>
2023/3/8 08:48作者李建興https://www.ithome.com.tw/news/155808
【資安日報】3月7日，宏碁再傳資料外洩事故、上百家組織的居易路由器遭木馬程式HiatusRAT入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>宏碁曾在2021年兩度遭到駭客入侵的事故，但最近傳出有人聲稱成功入侵並竊得內部資料兜售的情況。根據賣家在暗網的網路犯罪論壇上的廣告內容，駭客主要取得的資料，大多與筆電、桌上型電腦產品有關，像是產品簡報、BIOS檔案，或是部署Windows作業系統的相關工具。</p> <p>有駭客使用名為HiatusRAT的木馬程式針對兩款居易路由器設備下手，進而將路由器當作竊取內部環境資料的管道。研究人員發現駭客從2022年7月開始發動相關攻擊，但他們推測，這起攻擊行動很可能在2022年以前就出現。</p> <p>針對工控系統（ICS）漏洞提出警告的情況也值得留意。美國、德國先後針對數個漏洞提出警告，其中部分漏洞的CVSS風險評分接近滿分，而有可能被用於執行任意程式碼，或是導致系統無法運作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://gridinsoft.com/blogs/acer-breach-2023-160-gb-leaked/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">宏碁再傳資料外洩事故</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/acer-leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/acer-leak.png" style="width: 300px; float: right;" /></a>資安業者Gridinsoft揭露臺灣科技大廠宏碁今年2月中旬發生的資料外洩事故，駭客在暗網論壇聲稱竊得超過160 GB資料，總共約有655個資料夾、2,869個檔案，這些資料大部分與該公司的產品相關，例如：簡報檔案、產品除錯手冊、宏碁自行打造的應用程式軟體、BIOS檔案、可替換的Windows數位產品金鑰（RDPK）、Windows映像檔（WIM）檔案、ISO檔案、Windows系統開發映像檔（SDI）檔案等，並要求買家支付門羅幣進行交易。</p> <p>為了取信買家，這名賣家提供數張螢幕截圖，內容包括系統安裝指引、UEFI與BIOS的組態配置，以及該公司部分新產品的藍圖。這並非宏碁首度遭到網路攻擊──2021年勒索軟體REvil兩度入侵得逞，並宣稱透過相同的漏洞入侵。</p> <p><a href="https://blog.lumen.com/new-hiatusrat-router-malware-covertly-spies-on-victims/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上百家組織的居易路由器遭駭客組織鎖定，植入木馬程式HiatusRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HiatusRAT-fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HiatusRAT-fig4.png" style="width: 300px; float: right;" /></a>資安業者Lumen揭露名為HiatusRAT的木馬程式攻擊行動，駭客從2022年7月，鎖定使用居易Vigor 2960、3900路由器的企業發動攻擊，有超過100家企業受害，主要分布於歐洲、北美、南美。</p> <p>研究人員無法判斷駭客入侵路由器的方式，然而攻擊者一旦成功取得初始存取權限，就部署bash指令碼，並下載木馬程式HiatusRAT，以及tcpdump網路掃描工具。</p> <p>此木馬程式監聽8816埠，然後收集路由器的系統資訊、網路配置、執行的處理程序等資料，並架設SOCKS代理伺服器傳輸資料到C2伺服器。研究人員指出，全球曝險的居易路由器超過4千臺，日後很有可能還會有其他企業受害。。</p> <p><a href="https://www.metabaseq.com/fixs-atms-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">墨西哥銀行遭到ATM惡意軟體FiXS鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ATM-Fixs-Malware-Fig-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ATM-Fixs-Malware-Fig-10.png" style="width: 300px; float: right;" /></a>資安業者Metabase Q揭露ATM惡意軟體FiXS的攻擊行動，主要目標是墨西哥的銀行，此攻擊行動於今年2月出現，駭客透過看起來無害的處理程序隱藏蹤跡，且因為針對執行Windows作業系統、支援CEN/XFS架構的ATM設備而來，無論是那一家廠商製造的設備都有可能受害。</p> <p>研究人員指出，此惡意軟體透過外接式鍵盤與駭客互動，並會在ATM重開機30分鐘後吐鈔。研究人員指出，發動攻擊的駭客很可能來自使用俄文的地區。</p> <p><a href="https://blog.cyble.com/2023/02/28/r3nin-sniffer-toolkit-an-evolving-threat-to-e-commerce-consumers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電商網站客戶遭到R3NIN Sniffer工具包鎖定</span></strong></a></p> <p>資安業者Cyble揭露名為R3NIN Sniffer電商網站攻擊套件，賣家透過訂閱服務提供給駭客運用，並在惡名昭彰的俄羅斯網路犯罪論壇上兜售。此攻擊套件主要用於在電商網站竊取信用卡資料，具備在電商網站注入惡意JavaScript指令碼的功能、並能跨瀏覽器洩露竊得的信用卡資料，然後為攻擊者產生報表。</p> <p>研究人員指出，此套件還會在網頁上彈出iFrame視窗，要求使用者填寫與線上交易無關的個資。</p> <p><a href="https://techpoint.africa/2023/03/05/hackers-have-stolen-2-9-billion-from-flutterwave/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">非洲金融科技新創Flutterwave遭到駭客攻擊，損失逾420萬美元</span></strong></a></p> <p>根據科技新聞網站Techpoint Africa的報導，非洲金融科技（Fintech）新創公司Flutterwave，於今年2月上旬傳出遭到網路攻擊，該公司於2月13日向警方報案，並於19日向奈及利亞首都拉哥斯州警察局副局長說明細節，當中提及駭客經由網路攻擊，透過63筆交易，將2,949,557,867英鎊（約420萬美元）資金轉移到28個戶頭。為了清查該國金融機構收取上述贓款的帳戶，以便追回款項，警方向27家金融機構提出訴訟，並獲得拉各斯法院核准。</p> <p>此事傳出後，部分用戶表示Flutterwave帳戶遭到凍結，疑似就是這起資安事故所致。對此，Flutterwave否認遭到駭客攻擊，表示他們發現部分用戶出現不尋常交易的情況，這些使用者並未啟用該公司建立的安全措施而遇害。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerabilities-allow-hackers-to-take-full-control-of-wago-plcs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國針對Wago可程式化邏輯控制器漏洞提出警告</span></strong></a></p> <p>德國電腦緊急應變小組<a href="mailto:CERT@VDE">CERT@VDE</a>於2月27日發布資安通告，指出工業自動化解決方案業者Wago旗下的可程式化邏輯控制器（PLC）存在重大漏洞CVE-2022-45138、CVE-2022-45140，前者可讓攻擊者在不需通過身分驗證的情況下，讀取或配置設備部分參數，而有可能導致控制器故障；後者則是允許攻擊者透過root權限寫入任意資料，有可能被用於執行任意程式碼，或是影響整個系統運作，上述兩個漏洞CVSS風險評分都是9.8分。</p> <p>通報漏洞的研究人員Ryan Pickren表示，他會在即將發布的學術論文說明漏洞細節。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/03/02/cisa-releases-five-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對5個工控系統漏洞提出警告</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月2日，針對5種工業控制系統（ICS）設備：Baicells Nova無線基地臺、三菱電機MELSEC與Electric Factory Automation Engineering系統、Rittal CMC III存取系統、美敦力（Medtronic）Micro Clinician and InterStim App發布資安通告。</p> <p>其中最嚴重的漏洞是CVE-2023-0776，這項漏洞存在於Baicells的LTE無線基地臺產品線Nova 436Q、Nova 430E、Nova 430I、Neutrino 430 LTE TDD，攻擊者可用於遠端透過HTTP命令注入的方式執行Shell Code，CVSS風險評分為9.8分。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.securityweek.com/new-tool-made-by-microsoft-and-mitre-emulates-attacks-on-machine-learning-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟與MITRE聯手，發布能模擬攻擊機器學習系統的工具Arsenal</span></strong></a></p> <p>近期微軟與MITRE聯手發布名為Arsenal的工具套件，此為適用於MITRE Adversarial Threat Landscape for Artificial-Intelligence Systems（ATLAS）框架的外掛程式，其功能是協助資安人員模擬對於機器學習系統的攻擊。</p> <p>此外掛程式整合了微軟自動化AI攻擊測試套件Counterfit，而使得MITRE的自動化對手模擬系統CALDERA能套用微軟的工具來發動相關攻擊。資安人員需從caldera-atlas儲存庫下載相關檔案，並依照指示部署Arsenal。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://securityaffairs.com/143121/cyber-crime/hospital-clinic-de-barcelona-ransomware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙醫院傳出遭到勒索軟體Ransom House而癱瘓</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-windows-security-updates-for-intel-cpu-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟針對Intel處理器弱點發布更新程式</span></span></strong></a></p> <p><a href="https://www.reuters.com/article/poland-pegasus/polish-mayor-targeted-by-pegasus-spyware-media-idINL8N35B21J"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">波蘭市長傳出遭到間諜軟體Pegasus跟縱</span></span></strong></a></p> <p><a href="https://www.securityweek.com/ransomware-operators-leak-data-allegedly-stolen-from-city-of-oakland/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Play洩露聲稱從美國奧克蘭市竊得的資料</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155784"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">白宮發布最新國家資安策略，要求企業負起更大責任</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155787"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">FBI和CISA警告Royal勒索軟體瞄準關鍵基礎設施</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155798">【3月6日】研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法、組態配置不佳的Redis伺服器被用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155764">【3月3日】中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155740">【3月2日】惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來</a></strong></p> </div></div></div>
2023/3/7 18:17作者周峻佑https://www.ithome.com.tw/news/155813
蘋果終於放行使用ChatGPT的App上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155749" target="_blank">上周蘋果App Store傳出</a>拒絕一款使用ChatGPT的iOS App程式更新，所幸過了幾天蘋果又同意放行。</p> <p>本月初開發商Blix向媒體抱怨，該公司BlueMail App新版本可以ChatGPT技術，協助用戶撰寫郵件或行事曆資料，遭到蘋果拒絕更新版上架，被外界懷疑蘋果將插手管制使用AI機器人的iOS App。蘋果給開發商的理由是，為防App產生兒童不宜的資訊，要求開發商為其應用程式加入內容過濾，或將App改成僅限17歲以上適用。</p> <p>此舉引發Blix抱怨蘋果阻礙創新，也說其他內建AI技術的App都沒有被要求年齡限制。Blix也懷疑是因為該公司曾經批評及反對蘋果App Store管制作法，而遭到報復。</p> <p>周末<a href="https://www.wsj.com/articles/apple-approves-chatgpt-powered-app-after-assurance-of-content-moderation-9c82cd7" target="_blank">《華爾街日報》</a>引述Blix共同創辦人Ben Volach說法報導，在Blix同意加入內容過濾技術，並公布使用ChatGPT或其他AI系統的新政策後，上周五已獲得蘋果上架許可。這款App仍然維持4歲以上用戶適用。</p> <p>蘋果並未對此發表評論。</p> <p>ChatGPT或使用ChatGPT的Bing在上線後，傳出曾產生不安全程式碼或無禮、具威脅或兒童不宜的內容。另一方面，蘋果對上架App Store的應用程式向來管理嚴格，App內容若涉及色情、暴力、賭博或犯罪色彩，即可能遭下架或拒絕。不過《華爾街日報》報導，目前App Store政策尚未針對生成性AI加入正式指引規範。</p> </div></div></div>
2023/3/7 14:50作者林妍溱https://www.ithome.com.tw/news/155805
Android 15可能要叫Vanilla Ice Cream
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Android 14今年稍晚才會釋出，不過Google已經在開發Android 15。承襲以甜點命名的傳統，下一代Google行動作業系統工程代號，可能叫Vanilla Ice Cream。</p> <p><a href="https://twitter.com/MishaalRahman/status/1631742485729878016" target="_blank">一名科技記者</a>在<a href="https://android-review.googlesource.com/q/VanillaIceCream" target="_blank">Android開發功能網站</a>發現這個名稱，也讓Android的工程代號命名字母進到V。</p> <p>以甜點名稱首字字母依序為Android版本命名，是Google著名的傳統。最早是Android 1.5 Cupcake、接下來的主要版本像是Android 3.0 Honeycomb、4.0 Ice Cream Sandwich、4.4 KitKat、5.0 Lollipop、6.0 Marshmallow、7.0 Nougat、8.0 Oreo。Google在Android 9 Pie之後就宣布不再公開工程代號，不過公司內部仍然還是使用甜點命名。目前的Android 13及即將推出的Android 14分別為Tiramisu及Upside Down Cake。</p> <p>記者Mishaal Rahman認為，此時就出現Android 15似乎有點太早，但是不代表開發專案不成熟，因為這個網站列出了Google來不及加入最新產品中的功能，可能會放在未來Android中。例如Android 14預定加入的背景安裝控制系統服務，也會是Android 15某些未宣布的新功能的底層技術。</p> <p>事實上預定今年8月公開釋出的Android 14 Upside Down Cake，早在2022年4月就已經釋出給少數開發人員。Google預計7月要釋出Android 14最後一個測試版 Beta 4。</p> </div></div></div>
2023/3/7 12:44作者林妍溱https://www.ithome.com.tw/news/155804
微軟、Mitre釋出機器學習攻擊模擬外掛工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.com/mitre-atlas/arsenal" target="_blank">微軟與Mitre本周釋出</a>，可模擬針對機器學習（machine learning，ML）系統之攻擊的外掛工具Arsenal。</p> <p>這是微軟與Mitre針對機器學習系統防護的最新一項合作。雙方2020年合作<a href="https://github.com/mitre/advmlthreatmatrix" target="_blank">Adversarial ML Threat Matrix開發框架</a>，去年微軟推出<a href="https://www.microsoft.com/en-us/security/blog/2021/05/03/ai-security-risk-assessment-using-counterfit/" target="_blank">Counterfit自動化紅隊演練AI攻擊測試工具</a>，供企業對AI演算法進行安全評估。最新的Arsenal即是將Counterfit整合於外掛中。</p> <p>Mitre的資源頁說明，這個外掛可儲存和建立Mitre攻擊ATT&CK資料庫<a href="https://atlas.mitre.org/" target="_blank">ATLAS（Adversarial Threat Landscape for Artificial-Intelligence Systems）</a>定義的攻擊策略和手法，並整合到其CALDERA自動化攻擊模擬平臺App。Arsenal外掛也可和CALDERA視覺化外掛Almanac配合使用。</p> <p>Arsenal可協助安全研究人員發現ML工作流程各元素的漏洞，並提供防護方法。截至1月，這個最新外掛提供發現遠端、本機及可用的網路服務與ML專門服務，還可匯出ML模型並以counterfit程式庫繞過ML模型。Mitre表示未來會持續強化Arsenal的功能。</p> <p>Arsenal可執行於Ubuntu 18.04或20.04的系統上，並需要Python 3.7以上版本。</p> <p>不過Arsenal目前還不是CALDERA預設的外掛，用戶需要連到caldera-atlas程式庫循指示下載。</p> </div></div></div>
2023/3/7 11:43作者林妍溱https://www.ithome.com.tw/news/155803
微軟展示不只看懂文字，還能理解圖像的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/abs/2302.14045" target="_blank">微軟上周公布一項AI模型Kosmos-1</a>，除了能理解文字，也能看懂圖片及影像，可用於更多任務，像是為影片加字幕說明、看圖片回答文字問題、正確蒐集網頁資訊等等。</p> <p>微軟在一篇名為《<a href="https://arxiv.org/abs/2302.14045" target="_blank">Language Is Not All You Need: Aligning Perception with Language Models</a>》的論文中指出，雖然現行大型語言模型在自然語言處理有很成功的應用，但對於多模態（包括文字、聲音及圖像）資料，仍然很難原生使用大型語言模型。微軟指出，「多模感知」（multimodal perception）能力是通用AI「智能」（intelligence）的必要條件，像是獲取知識並運用於現實生活。而若能增加多模輸入能力，將能大幅拓展語言模型用於高價值任務的可能性，像是多模態機器學習、文件AI智慧以及機器人等。</p> <p>因此微軟提出多模大型語言模型（Multimodal Large Language Model，MLLM）KOSMOS-1，希望它具備常見多模態（如圖像、文字、聲音）資料、依循指令（即零樣本學習）並在特定條件中學習（少樣本學習）的能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0307-MLLM%20%E5%BE%AE%E8%BB%9F-1(2).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>為了訓練一個能「看」和「說話」的模型，微軟倣效METALM HSD+22的訓練方法來訓練KOSMOS-1。他們使用Transformer模型作為通用介面，再接上感知模組。之後，研究人員以網路上蒐集的多模資料，包括純文字資料、圖文摻雜的任意資訊，及具有文字說明的圖片等來訓練，之後再輸入純語言資料，以校正各模態遵循指令的能力。</p> <p>微軟以多種任務來評估訓練完成的KOSMOS-1模型，包括語言理解、常識理解、非口語推理（如IQ測驗）、為圖片加文字說明或回答視覺相關的提問，以及零樣本（zero-shot）視覺資料的分類及描述等。其中，實驗結果顯示，16億參數的小型KOSMOS-1模型在零樣本的圖像加文字說明的任務表現尤其優異，而在回答視覺問題方面，只要少量樣本訓練過，KOSMOS-1表現可優於其他模型（包括MetaLM）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0307-MLLM%20%E5%BE%AE%E8%BB%9F-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>而在常用的IQ測驗（Raven IQ test）中，KOSMOS-1展現出能理解題目中非口語（如圖片）資料的概念規則，還能自行推論、預測接下來出現的元素（如圖片）。研究人員表示，這是第一個能作答零樣本Raven IQ test的模型。雖然該模型和普通成人推論能力相比還差一截，但展現出零樣本語言模型的非口語理解能力具有相當潛力。另外，KOSMOS-1也可在沒有OCR技術的協助下，讀取及理解圖片中挾雜的文字。若提供文字描述，更能大幅提升這個模型的圖像辨識能力。</p> <p>Bing二月上線時，在從網頁蒐集公司財報資料出現許多錯誤，這是因為LLM模型並不擅長蒐集資料。為此，研究人員測試了KOSMOS-1依網頁回答問題的能力。實驗顯示，KOSMOS能根據網頁版型及Style資訊理解網頁圖片，又不犠牲語言能力。</p> <p>此外，研究人員指出，傳統LLM必須仰賴文字資訊和線索來回答視覺常識問題，使其較無法理解物件屬性。相較之下，KOSMOS-1還具備模態轉移力，能將從視覺獲得的知識／資訊轉移到語言任務。</p> <p>研究人員表示，未來計畫將KOSMOS-1再加以擴大，並整合語言能力。他們相信這多模態大型語言模型處理多型態資料的能力，能用作整合介面，提供多模學習，協助使用指令和範例來控制以語言生成圖像的AI 工具。</p> </div></div></div>
2023/3/7 10:16作者林妍溱https://www.ithome.com.tw/news/155800
開源特徵商店Feathr專案正式推出，新增沙盒環境供用戶簡單上手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源一年多，經過眾多企業的貢獻，LFAI與資料基金會旗下的開源特徵商店<a href="https://lfaidata.foundation/blog/2023/02/28/announcing-availability-of-feathr-1-0/">Feathr專案終於達到1.0版本</a>，最新的正式版本有幾項新功能，包括線上轉換、快速沙盒環境等，目標是要加速企業級機器學習專案的開發和部署。</p> <p>Feathr為企業級特徵商店，由LinkedIn在2017年開發，並2022年的時候和微軟共同開源，Feathr主要的功能是供開發者利用Python形式的的API，定義原始資料的特徵，並在模型訓練和推理工作流程中，按名稱註冊和取用特徵，透過Feathr企業能夠方便地在不同的團隊間共享特徵。</p> <p>由於準備和管理特徵，是開發大規模機器學習應用程式，極度耗費時間的工作之一，而Feathr提供一個抽象層，供開發者方便地按名稱計算和存取特徵，使得特徵生產者和消費者都可以透過Feathr交易特徵，生產者定義並註冊特徵，讓消費者存取和匯入特徵至機器學習工作流程中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/feathr2.png" style="width: 580px; height: 318px;" /></p> <p>Feathr正式版中提供了特徵即時轉換支援，官方提到，在許多機器學習場景中，訓練和推理都需要產生特徵，但是Feathr卻有著資料來源無法來自於線上服務的限制。</p> <p>由於特徵轉換只能發生在特徵資料發布到線上商店之前，因此當要求轉換速度接近即時，便需要建立一個機制，供用戶能夠在模型進行推理之前，動態地對推理資料進行轉換，而Feathr新的特定領域語言（Domain Specific Language，DSL）線上轉換功能，使用自定義轉換引擎解決這樣的問題，該引擎能夠以接近即時的速度，處理特徵轉換請求並且提供回應。</p> <p>另外，Feathr還加入功能齊全的沙盒環境，能夠快速啟動Feathr環境，供使用者快速對Feathr各種功能進行原型設計，讓沒有基礎設施背景知識的資料科學家，也能夠快速上手Feathr，實驗特徵定義和想法。該沙盒帶有Jupyter筆記本，供使用者能夠簡單地操作Feathr平臺。</p> </div></div></div>
2023/3/7 11:11作者李建興https://www.ithome.com.tw/news/155799
FBI和CISA警告Royal勒索軟體正瞄準關鍵基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）針對<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-061a">Royal勒索軟體</a>，發布聯合資安報告，除了公開Royal勒索軟體的行為以及動向之外，也提供企業避免感染的行動建議。</p> <p>Royal勒索軟體在2022年9月現蹤，與其他勒索軟體運作不同，Royal勒索軟體並非以勒索軟體即服務的方式運作，而是由一群具經驗的攻擊者操作。FBI和CISA認為使用自訂檔案加密程序程式的Royal勒索軟體，是之前Zeon加密程式的變體。</p> <p>在Royal勒索軟體獲得受害者系統存取權限後，該勒索軟體便會停用防毒軟體，並且開始竊取大量資料，最後才會對系統進行加密。惡意攻擊者通常要求受害者支付，價值100萬到1,100萬美元的比特幣作為贖金。由於Royal勒索軟體使用特別的部分加密技術，僅會選擇加密檔案特定比例的資料，如此便能降低大型檔案加密的比例來規避偵測。</p> <p>Royal勒索軟體鎖定許多重要基礎設施部門，包括製造、通訊、醫療保健和教育單位等，除了加密檔案之外，惡意攻擊者也採用雙重勒索策略，只要受害者不支付贖金，便會威脅公開加密資料。</p> <p>根據第三方報告，Royal勒索軟體主要的傳播方式是透過網路釣魚，有66.7％事件由惡意攻擊者寄送包含惡意PDF檔案或是惡意廣告的電子郵件，誘騙受害者點擊以取得一開始的系統存取權限。FBI和CISA還提到，遠端桌面協定（RDP）也是常見的Royal勒索軟體傳播方式之一，有13.3％的案例惡意攻擊者是透過RDP入侵。攻擊者也會透過存在漏洞的開放應用程式，又或是竊取使用者日誌以收集VPＮ憑證，來存取受害者系統。</p> <p>FBI和CISA提供可以減輕勒索軟體威脅的作為，提醒企業應該優先解決已知的漏洞，並且訓練使用者辨識和回報網路釣魚，同時強制啟用多因素身分驗證。</p> </div></div></div>
2023/3/7 08:27作者李建興https://www.ithome.com.tw/news/155787
【資安日報】3月6日，研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法、組態配置不佳的Redis伺服器被用於…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI機器人被用於攻擊的情況，已有駭客將其拿來產生變種的惡意程式碼或是多樣的釣魚郵件，但最近有研究人員發現新的手法，他們在機器人可能會引用的網頁上埋入提示訊息，一旦使用者詢問相關問題，聊天機器人就可能藉著這類資訊向使用者套出多種個資。研究人員指出，駭客有可能自行架設網頁，或是搭配電子郵件來發動攻擊。</p> <p>又是Redis資料庫系統被用於挖礦攻擊的情況，與過往不同的是，駭客濫用了指令碼共享服務transfer.sh規避偵測，而且，還企圖榨取更多的記憶體資源來挖礦。</p> <p>有研究人員揭露針對上萬個網站而來的攻擊行動，駭客企圖將使用者導向成人或賭博網站牟利。但究竟駭客入侵這些網站的手法為何？仍有待進一步釐清。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://greshake.github.io/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員找出濫用微軟搜尋引擎AI機器人騙取使用者個資的方法</span></strong></a></p> <p>德國沙爾大學、美國史丹佛大學、資安業者Sequire的研究人員聯手，揭露微軟搜尋引擎Bing採用的AI機器人程式含有弱點，攻擊者可竄改網頁，嵌入0像素字體的提示，一旦有人向Bing的AI助理詢問問題，就會觸發駭客「提示」內容，進而設法讓使用者吐露個資，進行「間接提示注入攻擊（Indirect Prompt Injection）」。</p> <p>研究人員舉例，攻擊者可破壞維基百科裡的愛因斯坦網頁，一旦使用者向AI助理談及愛因斯坦的時候，AI助理就會很自然地向使用者詢問一連串的個資，研究人員展示相關攻擊手法，讓AI助理宣稱為使用者下單，要求交出信用卡卡號、卡片到期日、CVV號碼等資料。</p> <p><a href="https://www.cadosecurity.com/redis-miner-leverages-command-line-file-hosting-service/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">指令共享服務遭到濫用！組態配置不佳的Redis伺服器遭鎖定，駭客發動挖礦攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image1-32.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1-32.png" style="width: 300px; float: right;" /></a>資安業者Cado Security揭露鎖定Redis伺服器的攻擊行動，他們發現有人從今年初，鎖定配置不安全的Redis伺服器來挖礦。</p> <p>攻擊者先是設定新的工作排程（cron job），其工作內容是強制Redis將資料庫檔案另存於特定的cron資料夾。一旦主機的工作排程軟體讀取此資料夾裡的檔案，就會執行上述的工作排程讀取和解析資料庫內容，進而執行任意命令，攻擊者這麼做的目的，是從指令碼代管服務transfer.sh上，找到下載挖礦軟體XMRig的管道。</p> <p>在執行挖礦軟體之前，駭客不只清除其他駭客部署的同類型程式、清除事件記錄檔案，還會強制主機將記憶體緩衝區的資料寫入磁碟，以便讓挖礦軟體能有更多記憶體可以運用。值得留意的是，此挖礦軟體還會橫向感染──駭客透過網路掃描程式pnscan找尋其他下手目標。</p> <p><a href="https://www.wiz.io/blog/redirection-roulette"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上萬個網站遭到挾持，將中國使用者重新導向到成人或賭博網站</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1677768423-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1677768423-5.png" style="width: 300px; float: right;" /></a></p> <p>雲端安全業者Wiz揭露從2022年9月開始的網站攻擊行動，攻擊者設法取得管理網站的FTP伺服器帳密，進而竄改網站的內容，在網頁裡植入引用JavaScript指令碼的HTML程式碼（亦有部分情況駭客是將JavaScript指令碼植入網頁伺服器），從而將瀏覽網站的使用者導向成人或賭博網站。研究人員發現超過一萬個網站受害，這些網站大部分是小型企業所有，迄今至少有數十萬中國使用者遭到重新導向的情況。</p> <p>研究人員推測，攻擊者的主要目的是牟取經濟利益，很可能是要進行廣告詐騙，或是操弄搜尋引擎最佳化（SEO），也有可能是要增加特定成人或賭博網站的流量。但駭客究竟如何取得初始入侵的管道？目前仍不得而知。</p> <p><a href="https://salt.security/blog/traveling-with-oauth-account-takeover-on-booking-com"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Booking.com修補可能導致用戶帳號遭接管的OAuth漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6400a45745e2aef9efbc0dfb_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6400a45745e2aef9efbc0dfb_5.png" style="width: 300px; float: right;" /></a>程式碼安全業者Salt Security發現住宿訂房網站Booking.com的漏洞，此弱點存在於其OAuth身分驗證功能的實作，一旦攻擊者加以利用，就有可能接管使用者的帳號。</p> <p>上述的弱點與Booking.com配置的不安全配置有關，首先是該公司向臉書註冊OAuth服務的時候，並未指定redirect_uri的路徑，再者則是他們的管理主控臺（My Dashboard）上，存在網址放任重新導向弱點（Open Redirect Vulnerability），攻擊者一旦結合兩者，就有可能透過社交工程引誘目標點選，然後接管用戶Booking.com的帳號。</p> <p>值得留意的是，上述手法不限於透過臉書帳號存取Booking.com的用戶，使用Google或其他帳號的用戶也會曝險，再者，類似的弱點也存在於該公司旗下的Kayak.com。Booking.com獲報後已著手修補。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-061a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Royal鎖定美國關鍵基礎設施而來</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）與聯邦調查局（FBI）聯手，針對近期勒索軟體Royal的攻擊行動升溫提出警告，並指出受害組織涵蓋製造、電信、教育、醫療保健業者。這是在該國衛生與公共服務部（HHS）於去年12月對醫療院所提出警告之後，美國政府機關再度針對此勒索軟體攻擊態勢發布警訊。</p> <p><a href="https://www.malwarebytes.com/blog/business/2023/02/ransomware-in-february-2023">根據資安業者Malwarebytes的統計</a>，2023年2月Royal至少發起19起攻擊，僅次於勒索軟體LockBit、BlackCat（Alphv）、Vice Society的51起、23起、22起。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bankinfosecurity.com/us-cybersecurity-strategy-shifts-liability-issues-to-vendors-a-21356"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國公布國家網路安全戰略，希望透過軟體廠商來改善相關安全</span></strong></a></p> <p>開源程式庫Log4j重大漏洞Log4Shell曝露軟體供應鏈安全問題，使得美國政府試圖藉助大型IT業者的力量，想要改善現況，最近他們又祭出了新的方針。美國總統拜登於3月1日公布國家網路安全戰略，當中就提及為了落實軟體開發安全，應該將特定軟體的維護責任，移交給聯邦政府認可的大型企業，這樣的計畫很可能需要長達十年才能達成。</p> <p>但根據新聞網站Bank Info Security的報導，有資安業界人士認為，若是政府立法要求軟體供應商負起相關責任，一旦這些廠商遇到旗下產品出現極為嚴重的漏洞，很有可能不願向美國政府完整透露相關資訊。知情人士透露，政府想要制訂更為嚴格的軟體開發實作指南來落實上述理念，但光是立法就有可能耗費超過一年的時間。</p> <p><a href="https://www.cisa.gov/news-events/news/helping-cyber-defenders-decide-use-mitre-attck"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA提供開源工具Decider，目的是讓資安人員能將攻擊行為對應到MITRE ATT&CK框架</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月1日發布名為Decider的工具，目的是讓資安人員能更容易將駭客的攻擊行為對應到MITRE ATT&CK框架，以便身為防守方的企業與組織彼此更容易溝通、交流威脅情資。此工具藉由決策樹的方式來引導使用者，挑選符合的攻擊手法及子項目，而能夠將資安事故的攻擊過程對應到ATT&CK框架。</p> <p><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/20466a66-3b95-40b8-80b3-e9833a4c3e30"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防範非公務機關個資外洩，行政院長陳建仁提出三大精進策略，首度提出要設置獨立個資監管機關</span></strong></a></p> <p>最近兩個月國內企業個資外洩頻傳，引起社會大眾高度關注，政府也對此提出相關做法。行政院院長陳建仁於3月2日表示，為了建構更完善的個資防護機制，國發會提出3種精進策略，分別是強化聯繫會議功能、提高違反個資法的罰則，以及設立個資保護獨立監督機關等策略。</p> <p>首先，由各目的事業主管機關每年擬定行政檢查計畫，優先針對高風險業者，強化例行性行政查核，並精進重大個資外洩事件的通報與監督程序；再者，則是參考其他國家法規，推動個資法修正，提高罰則、加強保護受害人；此外，為解決目前個資法分散式管理下的實務監管問題，行政院也將推動設置個資保護的獨立監督機關。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/play-ransomware-claims-disruptive-attack-on-city-of-oakland/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2月中旬美國加州奧克蘭市遭到網路攻擊傳出是勒索軟體Play所為</span></span></strong></a></p> <p><a href="https://www.metabaseq.com/fixs-atms-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">墨西哥銀行遭到ATM惡意軟體FiXS鎖定</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/02/28/r3nin-sniffer-toolkit-an-evolving-threat-to-e-commerce-consumers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電商網站客戶遭到R3NIN Sniffer工具包鎖定</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/lokibot-spike-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密軟體LokiBot攻擊行動在2022年底大幅增加</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155764">【3月3日】中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155740">【3月2日】惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155716">【3月1日】駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動</a></strong></p> </div></div></div>
2023/3/6 18:27作者周峻佑https://www.ithome.com.tw/news/155798
駭客可能結合AI聊天機器人、公開網站對用戶發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bing或ChatGPT可接受用戶詢問回答問題，但研究人員發現，若經過結合第三方網站，這些AI聊天機器人也能被駭客利用執行間接攻擊，像是傳送釣魚網站，或讓用戶洩露其身分資訊。</p> <p>Bing及ChatGPT為代表的大型語言模型（Large Language Model，LLM）提供的提示窗格，使輸入資料和指令的界線模糊化，若配合狡猾提示，可能使其變為攻擊工具。目前已經有些研究利用指令注入（prompt injection，PI）技巧對用戶發動攻擊，像是產生惡意內容或程式碼，或覆寫原有指令而執行惡意企圖。</p> <p>現有攻擊研究都假設攻擊者直接對LLM下提示的情境，但方法是將攻擊指令儲存在記憶體緩衝裏，難度較高。德國安全研究人員Kai Greshake及其團隊展示，會執行檢索（retrieval）及API呼叫的LLM（稱為Application Integrated LLM）可被下毒而用作間接執行PI攻擊，執行難度相對較低。</p> <p><a href="https://arxiv.org/pdf/2302.12173.pdf" target="_blank">Greshake及其團隊一項研究揭露</a>，間接PI攻擊是利用公開資源，像是可顯示於搜尋引擎結果或社群平台貼文的網站，或以程式庫匯入的程式碼產生，前者可以是許多用戶造訪的網站如Wikipedia，或是自己設立的惡意網站。研究人員先是在公開資源祕密注入指令，待用戶使用的LLM（如Bing Chat或ChatGPT）檢索這些資源時予以下毒。利用LLM的社交工程（如對話）能力，可引導使用者洩露隱私，例如自己的姓名。研究人員說，這種攻擊手法可用於國家企圖追查報導爭議事件的記者或是吹哨者身分。</p> <p>這種間接攻擊中，攻擊者也可以修改自己設置的網站，以更新指令，或是遠端控制LLM。此外，研究人員還提出，可以提示包在電子郵件中，送入自動化垃圾郵件偵測或個人助理模型，則能化被動為主動，將提示主動注入LLM。</p> <p><a href="https://greshake.github.io/" target="_blank">研究人員示範對Bing Chat進行的間接指令注入攻擊</a>。方法是攻擊者設立目標用戶會造訪的惡意網站，注入字級大小為0的提示，當目標用戶和Bing Chat對話時，Bing Chat就能處理這個提示，設法讓用戶吐露自己身分。在其示範例子中，研究人員以海盜版Bing吸引用戶好奇，並誘使用戶提供自己的姓名，或傳送URL讓用戶填寫。</p> <p>目前研究人員尚未能將其研究付諸真實網站或模型測試，不過已選定一個使用大型GPT模型的合成應用程式。此外，LLM主動詢問姓名可能會讓一般使用者起疑，但研究人員表示，就和所有社交工程攻擊一樣，用戶可能會在警戒心降低時上鈎。</p> </div></div></div>
2023/3/6 16:48作者林妍溱https://www.ithome.com.tw/news/155783
白宮發布最新國家資安策略，要求企業負起更大責任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國白宮發布接下來10年的<a href="https://www.whitehouse.gov/wp-content/uploads/2023/03/National-Cybersecurity-Strategy-2023.pdf">國家資安策略</a>，為得是要因應最新的資安趨勢，打造更為強韌的網路環境，拜登政府列出了國家資安政策的五大支柱，從關鍵基礎設施防護、打擊惡意攻擊者到與國際間的合作，皆制定了明確的目標以及執行方向，美國總統Joe Biden在國家資安策略文件中提到，他們需要公私部門間更強而有力的合作，要求企業負起更大的責任，但是也會制定保護傘，平衡個人和小型組織的安全責任。</p> <p>隨著全球數位化程度的提升，新興技術帶來了更多可能性，但同時也增加了不安全系統所帶來的風險，該文件提到，COVID-19的流行促進了全球數位化，但是這種全球更互聯互通的趨勢，也帶來了更大的風險，像是俄羅斯對烏克蘭所發動的NotPetya網路攻擊，擴散到其他地區，造成數十億美元的損失。</p> <p>由於數位化打破了數位與物理世界的界線，在工廠、電網和水利設施等國家重要的基礎設施，皆逐漸採用無線或是物聯網等數位技術，取代傳統的類比控制系統，拜登政府擔心這樣的趨勢，將會使重要的基礎系統更容易被破壞，進而影響民生。</p> <p>為了減輕網路攻擊所帶來的風險，拜登政府所推出的國家資安策略圍繞五大支柱，分別是一、防衛關鍵基礎設施，二、打擊和消除惡意攻擊者，三、塑造市場力量推動安全和韌性，四、投資更有韌性的未來，五、建立國際夥伴關係，以實現共同目標。</p> <p>第一支柱防衛關鍵基礎設施，目標是要實施持續且有效的協作防禦模型，在公平分配風險和責任的前提下，在數位系統建立起基本的安全性和韌性。拜登政府表示，網路基礎設施擁有者和營運者共同合作下，才有可能更好地防禦進階攻擊。</p> <p>拜登政府認為應該減輕終端使用者的安全責任，因此要求有能力的參與者負起更大數位生態系安全和韌性的責任。主管機關也將透過制定新的網路安全要求和法規，以推動更大規模的安全實踐，政府和產業也將合作制定網路安全監管框架，達到安全以及營運連續性要求。</p> <p>第二支柱則是美國將更積極打擊網路攻擊者的宣告，策略中提到美國將整合外交、資訊、軍事、金融、情報和法律等工具，來積極打擊並制裁惡意攻擊者，包括實施旅行禁令和禁用金融服務等限制，在公部門與企業的共同合作下，拜登政府將加強打擊惡意攻擊者的力道。</p> <p>第三支柱則是塑造市場力量推動安全和韌性，文件中提到，目前持續發生系統遭駭以及個人資料遭竊，代表僅靠市場力量不足以廣泛推動網路安全最佳實踐，且選擇不投資資安的企業會影響注重資安的企業，而且對小企業和弱勢社群造成不成比例的影響。</p> <p>美國政府為了要因應這樣的挑戰，將讓資料管理者負起保護個人資料的責任，推動安全網路裝置的開發，還要重新檢討相關法律，使企業必須對因為資安錯誤、軟體漏洞等所成的損害負起責任。聯邦政府也將會透過採購和贈款，來激勵企業注重產品安全性。</p> <p>第四支柱代表著美國政府，除了解決當前面臨的資安問題，也正著手建立下一世代的技術和基礎設施，以建構更安全和更具韌性的網路，透過對公部門和企業的投資，建設包括下一代電信、IT和分散式能源技術，並且發展避免智慧財產權遭剽竊、選舉被干擾等問題的方法。考量量子運算技術的發展，可能會對現有加密方法失效，美國政府也將優先發展量子加密技術。</p> <p>第五支柱則是要訴諸國際力量，拜登政府在聯合國與各國合作制定安全框架，並且支持擴大《布達佩斯網路犯罪公約》執行，致力於打擊中國和其他專制政權，在網路上的破壞性行為，並將對違反商定的國家進行制裁。</p> </div></div></div>
2023/3/6 17:06作者李建興https://www.ithome.com.tw/news/155784
【資安週報】2023年3月1日到3月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月初的漏洞消息中，最受關注的就是網頁應用程式開發框架ZK Framework的CVE-2022-36537漏洞，該漏洞在去年8月公開，近期已發現攻擊者鎖定利用的情形，由於ZK Framework是一個開源的Java框架，採用的專案不少，因此有多款產品都會受到波及，其影響性受關切。其他漏洞消息方面，以TPM 2.0的CVE-2023-1017、CVE-2023-1018漏洞最受關注。</p> <p>在資安威脅與事件焦點方面，首要焦點是ESET揭露中國駭客組織TA416（亦稱Mustang Panda）針對臺灣某個政府機關的攻擊行動，自今年1月即運用MQsTTang後門程式與發動釣魚郵件攻擊。其他資安業者揭露的重要消息，包括：針對容器化工作負載而來的Scarleteel攻擊行動；針對亞太與北美政府機關的惡意軟體下載器PureCrypter；可在Windows 11上繞過繞過UEFI安全開機的惡意軟體BlackLotus。在資安事件方面，受關注的包括：美國衛星通訊服務業者Dish Network遭勒索軟體攻擊，加拿大電信業者Telus資料外洩。</p> <p>資安防禦態勢方面，FIRST國際資安應變組織這一週發布「DNS濫用技術矩陣（DNS Abuse Techniques Matrix）」，臺灣半導體龍頭台積電與國內資安新創Shield宣布加入FIRST會員，還有一則是當週資安日報未提及，但可優先關注的消息，那就是，近日<a href="https://www.cisa.gov/news-events/alerts/2023/03/01/cisa-releases-decider-tool-help-mitre-attck-mapping">美國CISA釋出免費工具Decider</a>，可幫助攻擊者行為與MITRE ATT&CK框架的對應。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155716"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月1日】駭客假借Amazon Prime會員名義發動網釣攻擊、應用程式框架ZK Framework漏洞被用於攻擊行動</span></strong></a></h3> <p>為規避偵測，駭客濫用短網址的情況不時傳出。最近有人假借Amazon付費會員的名義來寄送釣魚信件，目的是騙得收信人的詳細個資及信用卡資料。但值得留意的是，這起攻擊行動中，駭客使用了LinkedIn短網址服務Smart Link來迴避偵測，而濫用該服務的攻擊行動已非首例──<a href="https://www.ithome.com.tw/news/153192#linkedin">去年9月就有駭客用於網釣攻擊</a>。</p> <p>建置於雲端的應用程式遭到鎖定也相當值得留意。研究人員揭露針對架設在AWS的K8s與容器相關系統的攻擊行動，但駭客不僅將目標容器叢集用於挖礦，還企圖將組織開發的應用程式程式碼偷走。</p> <p>名為ZK Framework應用程式框架的漏洞CVE-2022-36537已出現攻擊行動，使得美國政府提出警告，並指出採用該框架的應用程式也會成為攻擊目標。</p> <h3><a href="https://www.ithome.com.tw/news/155740"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月2日】惡意軟體BlackLotus繞過UEFI安全開機、勒索軟體LockBit鎖定西班牙語用戶而來</span></strong></a></h3> <p>針對UEFI韌體而來的惡意啟動程式（Bootkit），之前多半是國家級駭客打造，直到去年底，開始有人在駭客論壇兜售名為BlackLotus程式，當時揭露此事的研究人員，認為難以確認其危險程度。但最近有資安業者取得該惡意程式進行分析，證實確實具備賣家標榜的攻擊能力，使用者就算啟用UEFI安全開機機制，也無法避免電腦受到此惡意軟體感染。</p> <p>為了在加密檔案前能逃過資安系統的偵測，勒索軟體駭客也採取運用多種現成與合法工具的策略。例如，最近勒索軟體LockBit的攻擊行動裡，就採用了這樣的手法，使得防毒軟體及EDR系統都難以察覺異狀。</p> <p>工控物聯網系統（IIoT）的漏洞也相當值得注意。最近CISA針對PTC的ThingWorx Edge漏洞CVE-2023-0754、CVE-2023-0755提出警告，並指出有9種元件曝露於相關風險。</p> <h3><a href="https://www.ithome.com.tw/news/155764"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月3日】中國駭客組織TA416針對臺灣政府機關而來、APT41鎖定亞洲材料業者下手</span></strong></a></h3> <p>中國駭客的攻擊行動最近再度傳出，其中最值得注意的是駭客組織TA416的攻擊行動，而且臺灣首當其衝──該組織已對一個臺灣政府機關下手。</p> <p>另一個惡名昭彰的駭客組織APT41，則是針對材料公司下手竊取專利技術的情況，引起研究人員關注。</p> <p>SIM卡挾持（SIM Swapping）攻擊為何如此氾濫？很有可能是駭客極為容易取得所需的資料促成。有資安新聞網站指出，3個專門從事這類攻擊的駭客組織，在去年就入侵美國電信業者T-Mobile超過100次。</p> </div></div></div>
2023/3/6 09:42作者羅正漢https://www.ithome.com.tw/news/155769
上萬網站被駭客以FTP憑證劫持，對用戶發動竊密攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商近來發現，有數千到上萬網站被駭客以合法FTP憑證及其他方法控制，並對數十萬用戶發動資料竊取，或導向成人網站。</p> <p>安全廠商Wiz發現，從去年9月開始，上萬個面向中國用戶的網站被不明攻擊組織駭入劫持，其面向用戶的網頁被植入竊密程式碼。目前這樁攻擊仍在持續當中。</p> <p>研究人員先發現，駭客劫持代管在東亞Azure服務上的多個Web 服務，懷疑是一樁更大規模攻擊的一部分。攻擊者從一個專門管理Web App的FTP端點，從1個靜態IP以合法FTP憑證存取這些服務，並在原有HTML程式碼增加一行參照遠端網頁代管的Javascript標籤。這些惡意改造的網頁，有些還能將造訪的用戶導向成人網站。研究人員判斷，這些合法FTP登入憑證可能是之前外洩而被駭客取得。</p> <p>研究人員進一步追查後推斷，這是一波更大規模攻擊的一部分，他們相信，從去年秋天到今年2月已有至少1萬網站被駭入，每月有數十萬用戶遭重導引攻擊。</p> <p>受害的網站中許多是小型企業，但也不乏跨國公司。由於受害網站使用的技術和服務類型很分散，目前研究人員還無法判斷攻擊者是使用了哪些漏洞、錯誤配置、或利用來自哪些來源的密碼憑證，也尚未追查出這波攻擊的發動組織。</p> <p>研究人員建議，若企業是以FTP維護網站，最好使用FTPS或SFTP（FTP over SSL/TLS）安全協定並使用長用戶名稱及密碼，以免遭駭客劫持。如果企業發現在網頁伺服器上存在可能的入侵指標（indicators of compromise），研究人員建議輪換網站管理金鑰、在所有網域及網站上找出所有惡意的Javascript程式碼，或是以受信任的映像檔重新部署伺服器、重新安裝軟體、並升級到最新版本。</p> </div></div></div>
2023/3/6 13:01作者林妍溱https://www.ithome.com.tw/news/155773
【未來汽車應用軟體部署、管理將掀起新變革】容器掀起汽車第二次軟體化變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年1月舉行的美國CES電子消費大展，已成為各大車廠展示最新汽車技術和未來汽車的主舞臺，但是今年展覽很不一樣，除了各大車廠大秀軟體肌肉，第一次有車廠公開說，要把IT圈火紅的容器（Container）技術帶進汽車。</p> <p>儘管在IT領域，容器技術發展已相當成熟，為因應汽車軟體化風潮，車界近幾年出現不少關於汽車軟體容器化的討論，大多只限於開發或測試階段導入，還沒有真正在汽車內部環境使用。所以，當福斯要讓汽車支援容器技術的消息一出，格外引人矚目。</p> <p>其實早在多年前，賓士汽車就提出要用容器驅動汽車的概念，但當時還無法實現，現在福斯搶先一步完成，甚至福斯不是構想，而是已經開始實做。</p> <p>福斯汽車與雲端平臺負責人Amen Hamdan在今年CES主題演講中透露，目前已經能提供一個嵌入式容器化應用的runtime，讓開發者可以使用容器將應用打包後送到車上的實例做更新，而且可以將應用拆分，對個別小型功能進行更新。儘管他沒有透露哪些汽車功能會先採用容器，但也預告：「今年把這項技術導入車上後，會推向更多車款。」他表示。</p> <p>不只有車廠要讓汽車支援容器技術，去年5月，紅帽宣布要把企業級Linux帶進汽車上，也成了未來容器可以跑在汽車上的另一個關鍵證據。</p> <p>容器技術很早就在Linux平臺上實現，對於Linux支援也更完整，例如最早推廣容器而聞名的Docker就是基於Linux containers發展而來，但在眾多支援Linux containers的IT廠商中，紅帽發展腳步最快，從2014年RHEL 7作業系統就內建Docker，後來歷經多個版本更新，對於容器應用功能支援更全面，發展到現在已經相當成熟。</p> <p>從紅帽宣布與通用汽車的合作中透露出，未來紅帽車載OS將可以取得車上應用的底層控制權限，來支援安全和非安全車載相關應用，包括車載資訊娛樂系統、ADAS、車輛控制與車聯網等。甚至很快地，全球第一輛搭載車用RHEL的汽車今年上半年就會亮相。意味著，原先紅帽所擁有完整的容器開發平臺、應用工具等生態系都準備就緒，未來可以運用到汽車中。</p> <p>過去容器技術的出現，顛覆IT產業，掀起傳統IT架構變革，如今，這項技術也開始進到傳統封閉汽車產業，不只有機會推翻傳統汽車應用部署和管理模式，更將引領汽車軟體化發展往下一階段邁進。</p> <p><span style="font-size:28px;"><strong>為何汽車軟體需要容器化？</strong></span></p> <p>容器技術最大特色是為應用程式提供了一種標準封裝格式，可以把應用程式連同環境一起打包，再發布到任何可執行容器的平臺上，來方便管理、移動和部署應用程式。</p> <p>使用這種封裝格式，因為具有更好的移動性，軟體開發人員可以很容易將容器化汽車軟體部署到車上，不像採用傳統封裝的汽車軟體，除了安裝軟體之外，通常需額外加裝其他附加元件，來補足原本軟體執行所缺少的相關元件，才能順利執行。容器化汽車軟體因為在封裝過程中，已經預先把汽車應用軟體程式、組態及其相依性等所有執行需要使用的檔案、程式庫都打包起來，因此就不需要擔心環境不一致的問題。這是容器化汽車軟體和傳統汽車軟體最大的差異。</p> <p>尤其，以後車廠需要常常為所有出廠的汽車更新軟體，來提供各種汽車功能與體驗服務，使用容器技術，就可以更容易透過OTA更新替換汽車元件上軟體，來減少現場更新維護的人力，不需要採用跟過去一樣更新方式，得由車主親自開回原廠，再由車廠技師將更新檔案安裝到要更新的汽車裝置上（如車載電腦等），就能完成汽車軟體更新的動作，甚至遇到有一些共通性功能需要更新時，還能共用同一個更新檔，不需要根據入門、旗艦型等不同等級車款來調整，各別發布更新。</p> <p>容器化技術也是最能體現「搭建一次，隨處可用」精神。因此，用容器技術開發出來的應用，就可以很容易放在任何地方來執行，特別是在需要經常變動的汽車環境中，因為不需要考慮相依性的追蹤和異動，所以它的流通性更高，可以快速擴展，將有助於汽車軟體化生態的發展。</p> <p>不過，汽車越來越軟體化，也容易導致汽車內部軟體系統越來越複雜且龐大，但透過容器技術，搭配其他調度管理工具，也能加以改善。</p> <p>從軟體開發流程來看，更能確保不論是在測試環境，或上線前準備環境進行測試，都能和正式環境那套軟體環境保持一致，不容易受到不同環境配置差異的影響。</p> <p>因為有了容器技術，也讓軟硬體解耦變得更容易。過去汽車軟體開發流程上，必須考慮到車輛系統發布周期，導致軟體開發周期變長，因為軟硬體綁定，在軟體化汽車趨勢潮流下，首先就是要把硬體和軟體架構分離，讓軟體可以單獨開發，來縮短開發周期。由於容器技術是以應用程式為中心的虛擬化技術，可以讓這件事更容易被實現。</p> <p>從硬體架構來看，過去汽車內部是一個大型分散式架構系統，配備許多ECU，各自提供不同車用功能，新一代汽車E/E（電子電氣）底層架構逐漸走向集中式架構，在這個新架構下，原本分布在汽車中的ECU開始向上集中到少數主要ECU或汽車中央電腦的HPC平臺上處理，也將帶動汽車正式環境部署容器應用的需求，更進一步將汽車傳統應用程式從ECU中移植到新架構，從而加速軟體化汽車的發展。</p> <p>與傳統VM相比，容器化軟體也更輕量，可以用最小的方式將軟體所需執行的資源都封裝在一起，成為一個容器映像，再部署到汽車新舊裝置中。因為不需要借助作業系統來幫忙，因此就不需要先裝好一個作業系統，所以較不占用空間，啟動速度也更快。</p> <p>容器本身擁有完整且成熟的生態系，是汽車擁抱容器技術帶來的另一個好處，有許多現成容器開發和管理工具，以及資安工具等，都可以直接套用，甚至，容器技術也是目前主流，所以當車廠開始使用這個技術以後，原本專精於容器的這群人能直接進來，成為車廠開發容器化汽車應用即戰力。</p> <p>不過，初期，汽車容器化軟體還是會以非安全相關的汽車應用為主，畢竟汽車軟體仍與一般消費性或企業軟體有所差別，更加強調功能安全性，不像手機軟體當機，只要重開就好，汽車軟體一旦當機，嚴重可能攸關生命安全，所以設計上必須把這些安全要求納入考量。這也是為什麼紅帽開發汽車Linux花了2年多，就是要為了取得ISO　26262汽車功能安全的認證，才能夠放進車上使用，這也成了容器技術進到汽車上後能不能有更多應用的挑戰。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1119-%E5%B0%81%E9%9D%A2P2P3-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-%E5%B0%81%E9%9D%A2P2P3-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600.jpg" style="text-align: center; width: 600px;" /></a></p> <p><span style="font-size:28px;"><strong>汽車產業第二次軟體化變革</strong></span></p> <p>這不是汽車產業第一次技術大變革，而是近十年來第二次革新。過去因為電動車、自駕車的出現，汽車設計開始從硬體轉向軟體為中心，掀起第一波汽車軟體化的變革，從單一介面的軟體化開始，到汽車基礎架構軟體全面性改變。也因為汽車軟體越來越重要，甚至成了影響汽車應用或服務能不能更進一步延伸的關鍵。</p> <p>從軟體化更進一步發展到容器化應用，將是汽車軟體化後下一階段發展。不同第一次軟體化變革，更追求軟體敏捷和彈性，來滿足未來更多汽車功能增長與頻繁更新需求，更要改善因為這波軟體化汽車風潮而越來越複雜的軟體系統架構，方便在汽車中管理及部署。這是汽車產業迎來第二次的軟體化變革。</p> <p><span style="font-size:28px;"><strong>不只是容器，未來更多雲原生技術將走進汽車</strong></span></p> <p>傳統汽車體質也因為這波新變革而有不一樣的改變，讓車廠更容易在汽車內採用雲原生，來支援對於汽車應用程式進行快速更新迭代、移轉或部署，不只增強敏捷性，還能提高員工生產力和縮短應用交付的時間。這些雲原生技術，將成為加速推動汽車軟體化發展另一個重要關鍵。</p> <p>其實近兩年，不少大型車廠早就導入雲原生技術，運用容器、Kubernetes容器調度管理工具與微服務對汽車軟體開發流程進行現代化工程改造，並結合DevOps與CI/CD測試部署自動化，藉此來縮短軟體開發周期，以便更快推出新功能，包括福斯、賓士、福特、通用等，都已經實際採用。</p> <p>不過，現階段想要在汽車上使用Kubernetes來管理汽車容器化應用，還是有困難，但為了管理這些汽車容器化應用，就需要有一個能管理汽車中多支容器的管理工具，為此，也有IT廠商試圖尋找替代方案。例如，紅帽就打算以Podman來取代Kubernetes，用來管理汽車內部多容器應用程式。</p> <p>Podman同樣也是容器管理工具，但與採用多節點叢集架構的Kubernetes相比，Podman更加輕量，不需要處理多臺Pod主機叢集的網路連接、複雜的節點關係，因此就很適合在資源有限的汽車嵌入式環境中使用。</p> <p>原本Kubernetes使用YAML檔來描述工作負載，包括containers和pods，來減少管理的複雜度，因為Podman同樣支援Kubernetes YAML檔，當以Podman搭配systemd使用時可以支援Kubernetes應用描述，這意謂著，可以在車輛中使用與雲端相同的Kubernetes宣告或描述，使用YAML來管理在單個節點上的多個汽車容器應用，而沒有Kubernetes本身多節點叢集管理負擔和複雜性。</p> <p>從容器調度工具開始有了汽車專用版本的發展來看，也透露出，以後汽車環境不會只有單一容器，而是一個多容器的應用環境。甚至更進一步，還能發展成微服務架構。</p> <p>嵌入式處理器設計大廠Arm也看好雲原生將成為軟體化汽車更進一步發展所必備的關鍵技術。從Arm所揭露一張汽車軟體化發展架構圖也反應出這個趨勢。未來汽車內部軟體堆疊架構，將從傳統服務導向SOA架構，逐步轉向微服務架構的過程，在這個新架構下，以後汽車內部軟體應用程式將全部變成一支支微服務程式，來取代傳統單體式設計的應用程式。甚至更進一步，未來微服務架構還要能夠支援混合關鍵性任務（mixed critically）調度需求，以便符合車規即時處理和功能性安全的要求。</p> <p>對於汽車軟體化發展而言，拆分微服務顆粒度的好處是，可以將單一應用程式分拆成多個小型功能的微服務，因此更能應對經常變動的汽車應用程式的環境所需。並透過API讓不同微服務能夠彼此溝通和相互串聯來提供汽車服務。福斯目前也正在嘗試把這項技術運用在汽車上，未來還要透過API，讓開發者可以很容易取得汽車功能相關數據進行應用開發。</p> <p>當車廠開始把更多雲原生帶進汽車，以雲原生技術打造汽車基礎架構，就像現在許多大型企業資料中心都是雲原生資料中心，大力擁抱基礎架構程式碼化（Infrastructure as Code），使用軟體的方法管理資料中心的設計、硬體架構和維運。汽車也就像是一個裝輪子的雲原生資料中心，讓汽車基礎架構應用開發、部署與維運，都可以透過自動化方式來執行時，汽車將不只是容器化汽車，更是一輛雲原生汽車。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94-%E8%87%B3%E6%B5%A9-%20Arm%20-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Arm.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">從嵌入式處理器設計大廠Arm所揭露一張汽車軟體化發展架構圖能看見，未來汽車內部軟體堆疊架構，將從傳統服務導向SOA架構，逐步轉向微服務架構的過程。在這個新架構下，以後汽車內部軟體應用程式將變成一支支微服務程式，來取代傳統單體式設計的應用程式。甚至更進一步，未來微服務架構還要能夠支援混合關鍵性任務（mixed critically）調度需求，以便符合車規即時處理和功能性安全的要求。</span></strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Arm</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>大型開源社群力推SDV風潮，也加快汽車軟體容器化推動</strong></span></span></p> <p><strong>過去2年來，軟體定義汽車（Software Defined Vehicle,SDV）或軟體化汽車風潮迅速竄起，不只是傳統大型車廠積極投入，如福斯、通用、福特、賓士等，更有不少IT廠商、大型公雲業者搶進，就連大型開源社群都大力支持。</strong></p> <p><strong>去年3月，旗下有許多知名物聯網專案的Eclipse開源軟體基金會，成立了一個新的SDV工作小組，這也是第一個由大型開源軟體社群所成立的SDV專案計畫。該小組任務是要為軟體定義汽車打造一個程式優先的開源平臺，目的是要徹底改變汽車產業傳統軟體開發方式，因此初期工作項目，包括建立車載應用runtime堆疊、雲端汽車OS與整合開發工具鏈，讓汽車製造商和供應商可以安全可靠的方式部署、配置和監控車輛軟體，也提供跨不同車型、車廠車載軟體開發所用。初期成員有微軟、ZF、Arm、Bosch、紅帽、ETAS等，一年後成員數增加到30多家，日本汽車大廠豐田也加入。</strong></p> <p><strong>其實，早在Eclipse SDV成立前，就已經有相關SDV開源專案推出，其中又以紅帽主導的CentOS Automotive SIG為代表，不只要建立與汽車相關開源軟體，更要改造CentOS發展汽車Linux，作為車廠打造新車載OS的參考設計與概念驗證。</strong></p> <p><strong>CentOS Automotive SIG成立不到一個月，另一家嵌入式處理器設計大廠Arm也力推SOAFEE新架構，這是一個可擴充嵌入式邊緣軟體框架，Arm希望藉由SOAFEE架構，將雲原生技術導入車用領域，加速推動SDV發展，包括自動駕駛、先進駕駛輔助系統（ADAS）等，讓汽車業者更容易開發能在Arm裝置執行的混合關鍵型應用。目前已有第一個版本釋出。截至去年底參與該專案成員超過50家，涵蓋半導體晶片廠商、軟體供應商、系統整合商、雲端服務供應商、車廠與Tier1汽車供應商等。</strong></p> <p><strong>就連知名代工大廠鴻海，也瞄準軟體化汽車的商機，在2年前成立MIH開放電動車聯盟，在鴻海號召下，成立一年就有超過2千家業者加入，希望藉由打造開放汽車硬體框架打破傳統封閉的汽車開發環境，讓不只傳統車廠，其他行業都能加入，進而推動汽車產業的變革。期間還釋出了電動車開發者工具平臺EV Kit，能提供純電動車整車設計軟體介面及硬體規格。至今更以此架構推出三輛不同等級的電動車。</strong></p> <p><strong>透過引進這些開源軟體與社群的力量，未來將會有許多開源工具、軟體套件提供，搭配開放式硬體架構，將有助於未來汽車軟體容器化加速發展。</strong></p> </div></div></div>
2023/3/6 00:00作者余至浩https://www.ithome.com.tw/news/155746
不只汽車，雲原生更顛覆車廠軟體開發團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「容器在汽車軟體開發流程能發揮關鍵作用」福斯汽車Cariad首席產品負責人Marcus Greul簡單一句話道出容器重要性。不只是福斯，其他大型車廠，如賓士、通用、福特等，也都面對相同的挑戰，而要透過容器技術對汽車軟體開發流程展開大變革。</p> <p>因應汽車軟體化的趨勢，未來電動車都能透過OTA快速更新，甚至每幾個月就能更新一次，福斯雖然訂下目標未來2年軟體自主開發比重提高至6成，但仍有4成是委外，當軟體更新頻率加快，傳統汽車軟體開發方式已經跟不上汽車新功能需求增長，所以，福斯要徹底改造汽車軟體開發流程，並以其中的測試為改造首要重點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-%E5%B0%81%E9%9D%A2P4-%E8%87%B3%E6%B5%A9-600.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:28px;"><strong>福斯靠容器技術克服測試環境建置造成更新延遲</strong></span></p> <p>汽車內部是一個大型分散式軟體系統，一輛電動車就有60套ECU軟體，提供各種不同汽車功能，像是電動後視鏡調整等。開發人員每次更新或新增ECU軟體，都要經過繁瑣測試、整合測試驗證ECU，確保任何修改不會對車內執行的其他系統產生負面影響。不只測試耗費大量時間，每次測試前，研發人員必須把測試環境建置完成，才能開始測試，單是環境建置就需要好幾天，導致軟體更新周期變長。這也成了福斯首要難題，所以用容器來解決。</p> <p>福斯電動車研發團隊2年前採用紅帽OpenShift打造一個雲原生的虛擬測試平臺環境，來解決測試環境建置造成軟體更新延遲的問題，並以DevOps敏捷開發方式實踐。</p> <p>在這個虛擬測試平臺上，開發者可以使用容器將執行測試所需要的元件打包部署到該平臺上測試，不只可以使用容器執行ECU功能，來進行各項測試，包括整合測試等，也能快速在容器中建立不同虛擬ECU，來模擬各種條件下ECU上執行軟體堆疊的情況。</p> <p>因為不需要考慮測試環境準備，因此測試速度變更快。虛擬測試結果也能與實車測試相互比對加以改良，進而提高ECU軟體性能。</p> <p>導入容器技術改造開發測試流程一段時間後，福斯不只將測試平臺建置時間從數天減至幾小時，讓開研發團隊可以專注於測試，而不用管底層的硬體怎麼用，也大幅縮短汽車ECU軟體開發測試時間，還因此省下50%硬體成本，新的測試流程，對於跨團隊協作也獲得改善。</p> <p>不只是福斯，其他車廠也面臨同樣的考驗，而必須要讓汽車軟體開發流程跟著現代化。例如賓士很早就推出車聯網服務，提供車輛遠端監控、互動體驗等功能，但用戶一年僅獲得1～2次軟體更新，更新頻率太慢，沒辦法快速回應用戶需求，成了賓士首要解決的問題。</p> <p><span style="font-size:28px;"><strong>導入雲原生技術，讓賓士軟體發布周期縮短到3個月內</strong></span></p> <p>過去汽車軟體和硬體關係緊密不可分離，也反映在汽車軟體開發流程，必須考慮到車輛系統發布周期，每次要開發新軟體，軟體工程師必須先等硬體開發完後，才接著開發，甚至還要懂得硬體架構，以及使用哪些廠商硬體組裝等，單是軟體開發前置作業，就耗費不少時間，也導致軟體開發周期很長。</p> <p>為了縮短軟體更新周期，賓士決定要把軟體開發流程自車輛系統發布管理周期中分離，以此加快軟體更新迭代，賓士首席軟體工程師Rodrigo Nunes指出：「就需要用到容器。」</p> <p>賓士車聯網團隊自2年前導入AKS容器管理平臺，打造一個容器化軟體開發平臺，希望藉由這個新平臺實現軟體開發流程現代化，來改善軟體更新周期太長的問題，同時確保品質與安全性，並以自動化方式將軟體部署到車上。</p> <p>現在工程師使用筆電搭配模擬器，就可以在這個軟體開發平臺上進行開發，用軟體模擬和測試各種汽車功能，不用管硬體測試平臺該如何建置，就可以進行軟體開發和測試。之後再以自動化方式將軟體部署到實車上測試驗證。</p> <p>賓士後來更把每個容器化應用軟體都拆成一支支微服務，可以各自獨立開發、測試與驗證並能分別交由不同軟體工程師執行，等到完成測試驗證，再將多個微服務合併推出，來提升應用程式開發的效率。</p> <p>這些容器化軟體資源建立、配置和和功能交付，全都透過容器調度工具K8s來處理。還結合高度彈性的API設計，讓不同功能的開發不必互相等候，前後端團隊、不同Teir供應商可以彼此協作，是應用開發效率再提升的另一關鍵。開發團隊也使用如Go、JavaScript、C#、Python等主流程式語言來開發。</p> <p>導入這些雲原生技術後，對於賓士帶來的最大改變就是，軟體發布周期變更快，每3個月內就能更新一次軟體，等於一年至少3～4次更新頻率，就可以推出更多汽車功能。</p> <p>「用容器驅動的汽車（Container-driven cars）」這是賓士RD研發團隊幾年前對於他們正在發展的聯網汽車幽默稱呼，由此也透露出，賓士也想要把對於帶來汽車軟體開發流程變革的容器技術，也帶入車上。</p> <p>另一家汽車大廠福特也同樣採用容器、K8s管理平臺加快包含汽車軟體在內的應用程式開發和交付，而且為了更快速地開發及迭代軟體，也結合DevOps與CI/CD測試部署自動化。</p> <p>除了運用在研發部門，其他部門也有採用，例如，福特不同業務部門都有設立一個高度參與的開發社群，該社群負責建構最新技術的創新產品和服務，就會使用容器技術，例如汽車碰撞分析、自動駕駛機器學習開發，以及HPC硬體測試等就有用到。</p> <p>福特預期透過導入雲原生，除了能夠降低硬體投資成本，還能提高開發人員生產力，並加強應用程式安全性與合規性，符合各種行業安全標準和規範，如PCI DSS標準或是歐盟個資法。</p> <p><span style="font-size:28px;"><strong>除了一般汽車軟體開發流程，連自駕車軟體開發流程也要現代化</strong></span></p> <p>除了傳統車廠要把汽車軟體開發流程現代化，也有自駕車新創為了加快自駕軟體更新迭代與實現自駕車大規模部署，而重建自駕車軟體開發流程，來獲得更敏捷、更彈性的能力。通用旗下自駕車軟體公司Cruise就是其中一家。</p> <p>每次自駕車軟體更新前，研發人員必須先把實車蒐集到的數據，經過數據清洗等資料處理步驟，再餵給ML模型訓練，產出最終模型後，還要在模擬環境和實車上測試，才能更新到自駕車上。</p> <p>這樣一個自駕車軟體開發流程，對於Cruise來說，在去年一場自駕車道路實測上卻遇到瓶頸，不斷有車輛新的數據湧進來，還有以前沒看過新的交通情境、罕見場景出現，但是卻無法很快更新軟體，提高自駕車適應能力，因為Cruise這次測試的不只一部無人自駕車，而是有很多部自駕車一起在路上跑，還是在交通複雜的舊金山市區道路上，不只對於自駕車的挑戰很大，多輛車組成自駕車隊在路上測試，龐大資料量湧入不斷增加數據處理的負擔，也需要投入更多資源完成大規模驗證與測試，導致軟體更新步調變慢。</p> <p>為了解決這個問題，Cruise自駕車團隊使用GKE容器管理平臺，運用容器、K8s、微服務，將自駕車數據蒐集、清理、模型建立，都集中到一個平臺上處理，從而簡化自駕軟體開發流程，並搭配CI/CD流程，達到持續整合與持續部署。還使用該平臺快速建立模擬環境，產生類似交通情境來加以驗證。最後不只一周可以有多個版本更新，也能完成多輛自駕車軟體大規模部署與更新。</p> </div></div></div>
2023/3/6 00:00作者余至浩https://www.ithome.com.tw/news/155747
用SaaS模式翻轉牙科HIS，牙e通更要打造全新照護生態系
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想像自己走在街上，街邊有個電話亭空間，開門進入，機器就開始掃描口腔、進行診斷，接著伸出機械手臂來治療牙齒，完成後人醒來、走出電話亭，未來能這樣完成牙科治療嗎？這是台灣牙e通（dentall）創辦人暨執行長陳欽章對許多人拋出的問題，也是他對未來牙科的想像。</p> <p><span style="font-size:28px;"><strong>執業遇系統整合難題，捲起袖子決定改變產業</strong></span></p> <p>陳欽章本身是名牙科醫師，他結束長庚醫院住院醫師近2年的訓練，在2015年成立牙科診所，開始獨當一面執業。但很快地，各種挑戰一一浮現，小至牙科材料的購買，大至牙科診所所需的系統採購，都是讓他非常苦惱的問題。</p> <p>不只他，很多同業也有類似的採購困擾，陳欽章乾脆成立一個台灣牙e通社團，開始做起牙材團購，來供牙科醫師選購材料。不只如此，後來，他將團購概念擴展到牙醫課程上，提供課程團報服務，來讓牙醫師進修。2015年底，加入這個社團的臺灣牙醫師就多達4,000人，等於全臺牙醫每4人就有一人加入。隔年，陳欽章正式登記台灣牙易通股份有限公司。</p> <p>解決了牙材採購問題，陳欽章將目光轉向更龐大複雜的牙科系統。有別於大醫院的牙醫部門，牙科診所規模雖小，但得自行建置所有系統，從掛號、看診、病歷管理、客戶關係管理（CRM），再到後臺的庫存管理等系統都得一手包辦。</p> <p>一般傳統牙科診所，可能只需一套健保申報的電子病歷系統就夠了，但新型牙科診所，還需要各類系統來協助診所營運。陳欽章身歷其境，他指出，牙科診所常面臨的困境是，單一廠商無法提供一套完整的解決方案，診所就得自己東拼西湊，向不同廠商購買系統，比如從A廠商購買掛號系統、向B廠商採購庫存管理系統，最後再組合起來，串起經營牙科所需的流程。在組合過程中，牙科診所還得留意系統間的串接，來確保資訊不斷點，需額外付出許多心力。</p> <p>「這是臺灣長久難治的問題，」陳欽章說，長年來，臺灣市場上並無廠商提供整合式的牙科診所系統。為解決這個問題，他決定捲起袖子，自己跳下來改變這個產業。2018年，他找來技術長汪庭宇組建技術團隊，自行開發整合式的牙科系統解決方案。</p> <p><span style="font-size:28px;"><strong>首要瞄準牙科HIS，直覺式介面改造系統</strong></span></p> <p>不過他坦言，自建團隊前，曾掙扎思索過，要外包開發，還是要自行研發。後來他想通，「一套系統開發下去，會有許多內容要不斷迭代，」因此，陳欽章排除外包這個選項，決定自組團隊作為開發火力，「咬緊牙根也要這麼做，因為這是我們的創業核心！」他說。</p> <p>他們以牙科最重要、最複雜的醫療資訊系統（HIS）作為產品發展核心。為改造牙科HIS、做出讓使用者耳目一新的系統，他們格外聚焦使用者體驗，先梳理牙醫作業流程、規畫出使用者旅程，再分別融入視覺化圖示，讓操作更直覺，改善傳統系統為人詬病的密麻文字作風。比如，他們打造一套行事曆約診系統，以周月曆形式和顏色區塊，來呈現約診概況，醫師只要移動滑鼠，就能進一步查看預約患者資料。這種操作模式，更貼近生活中使用行事曆App的習慣，也更直覺。</p> <p>另一個例子是，HIS中有個病患清單（Patient List）功能，專門用來告訴醫師，今天有幾位預約患者，以及患者報到順序和看診時間，甚至是治療時長，就像是牙科醫師的工作排程表。傳統系統多以緊密的文字顯示，陳欽章和團隊改用簡單的圖示和顏色區塊來呈現關鍵資訊，讓醫師一眼就能掌握病人剩餘的處置時間、下位病人是否報到等資訊。還有一個例子是，為方便醫師向病人解說病況和治療策略，在系統中加入視覺化牙位圖，以顏色標註異常之處，方便醫病溝通，也讓民眾更理解治療策略。</p> <p>牙科HIS中的電子病歷系統，是陳欽章最看重的關鍵系統。因為，「只有擁有完整的病歷數據，才能驅動後續治療和服務，」就好比開場的未來牙科場景，唯有連接病人的病歷與診斷資料，才能精確治療。</p> <p>於是，他們以卡牌形式建立病歷系統中的病人基本資訊，還以分門別類的表格來顯示重點資訊，如近期診斷、治療方案、約診和費用等，讓醫師在一個畫面中就能同時查看。</p> <p>甚至，他們還一併改革傳統得靠複寫紙抄寫的牙技流程。他們在系統中加入新區塊，讓醫師填寫假牙製作需求和資訊，再將這些訊息傳給牙體技術所。過程中，他們還導入AI校色，醫師拍下患者牙齒照片、上傳雲端後，先以AI自動校正牙齒顏色，讓牙技師傅做假牙時，不必再到診所比色驗證。</p> <p><span style="font-size:28px;"><strong>Day 1就上雲，採K8s管理、自動調度資源</strong></span></p> <p>一開始，陳欽章打造這套牙科HIS產品時，就打算透過雲端提供服務。「我們Day 1就上雲，」陳欽章指出，團隊在設計系統初始，就決定採用落地臺灣的Google雲端服務，來營運牙科HIS。這麼做，讓系統維運等工作更便利。</p> <p>如透過SaaS提供服務，每次遇到健保程式調整時，只需統一修改雲端HIS系統即可，不必一一到診所現場更新。甚至，未來衛福部若全面改用FHIR標準來交換資料，台灣牙e通也只需調整一次雲端版系統，就能支援所有診所。</p> <p>除了上雲，團隊還搭配主流的容器管理平臺Kubernetes（即K8s）來管理系統，遇到高流量客戶時，能自動調度伺服器資源，不必人工介入。例如，他們有家歷史悠久的牙科診所客戶，每日有上百位患者需治療，且擁有龐大的病歷資料，是一般診所的3到5倍，當這家診所流量暴增時，就會觸發自動擴充功能來調度伺服器資源，不需手動調整。</p> <p><span style="font-size:28px;"><strong>未採用微服務架構，未來視系統複雜度而定</strong></span></p> <p>不過，台灣牙e通的HIS產品，並未採用近幾年流行的微服務（Microservice）架構來設計。汪庭宇解釋，開發牙科HIS時發現，HIS中的系統彼此相依性非常高，很難獨立切分為一個個微服務，來獨立管理。「就好像更動病歷系統中的某個功能，一定會牽動其他系統功能一樣，」汪庭宇認為，在這個牽一髮動全身的前提下，他們並不考慮發展微服務，再加上台灣牙e通團隊規模不大，並未達到數百人、需要以微服務來管理系統的程度。但未來團隊成長快速、系統架構越趨複雜時，他們就會考慮以微服務架構改造系統。</p> <p>雖然如此，台灣牙e通周邊系統的設計，也有類似微服務的概念。他們將非核心的周邊功能切分出來，像是通知病人的Line訊息發送、簡訊發送等功能，這些功能不與牙科HIS「綁在一起」，而是獨立出來，再透過API串聯彼此，以類似微服務的概念，來管理這些周邊功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1119-xTransformation-%E8%8B%A5%E6%A8%B8-600_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><strong><span style="color:#3399ff;"><span style="font-size:20px;">以精準的病歷系統為核心，就能根據過往治療記錄，發展出整合式的牙科照護生態圈。── 台灣牙e通創辦人暨執行長陳欽章</span></span></strong></p> <p><span style="font-size:28px;"><strong>從牙位辨識發展牙醫AI，先攻牙周病風險判讀</strong></span></p> <p>有了核心牙科HIS系統，台灣牙e通也循序漸進發展其他應用，特別是醫療AI。陳欽章點出，自2021年開始，團隊邁入新階段，開始研發醫療AI，作為牙科HIS未來串接的新功能。甚至，他們打造的AI還要結合商業保險，來實現診療自動理賠。</p> <p>他們的牙科AI發展策略，是以牙位辨識為基礎，再發展各種牙科疾病風險預測，接著申請取證、整合至自家HIS產品。起初，團隊先是與北醫開發牙位辨識AI，藉由北醫提供去識別化且經標註的牙齒影像，來教AI模型判斷牙位，比如是上下排、左右排的牙齒。接著，模型再學習辨識牙肉與牙齒位置，比如第幾顆牙齒。</p> <p>這麼做的好處是，牙科診所拍完患者口內影像或X光片後，不必再靠人工排序定位，模型直接就能將大量散亂的影像，自動按牙位排序。</p> <p>有了這些基礎，團隊開始訓練模型辨識其他疾病。他們首先選擇牙周病，因為，牙周病辨識可根據牙肉和牙齒露出牙肉的比例來計算，有了牙位和牙齒牙肉定位基礎，就能判斷每顆牙齒的牙周病風險。</p> <p>在風險的判斷上，他們依照美國牙周病學會標準，教模型學會辨識4種期別的牙周病，來預測每顆牙齒的期別風險。目前，這款牙周病判讀AI的準確率達97%，而這些期別預測值，可顯示於數位X光片的牙齒上，方便醫師與病人溝通。像是，醫師可解釋不同期別的治療方式，比如，第一期別屬於正常，第三期別需要牙周病再生治療。</p> <p>台灣牙e通自去年開始，也積極準備申請衛福部食藥署智慧醫材SaMD的認證，希望在今年取證，將牙周病風險預測AI串接至自家HIS中，作為功能擴充。同時，他們也準備申請美國FDA和歐盟的智慧醫材認證。</p> <p>對團隊而言，牙醫AI不只針對牙周病，他們也正開發蛀牙病灶偵測模型，來加速輔助醫師判讀。</p> <p>不只要取證、整合至HIS，陳欽章表示，牙周病風險預測還能與商業保險整合，比如AI判斷某顆牙屬於第三期別高風險，需要牙周病再生治療，這就符合保險給付資格。「我們的目標是，AI判斷風險後，保險公司能直接連線理賠、簡化給付流程，民眾也能當場接受治療方案，」他說，如此能節省原本需來回奔波，申請醫療證明和X光片的不便。台灣牙e通目前已與幾家保險公司洽談，對方也相當有興趣。</p> <p>同時，他們也正在評估如何串接壽險公會打造的保險理賠區塊鏈平臺。這個平臺的目的，也是要簡化保險理賠流程，透過民眾線上申請、醫療院所自動撈取所需資料，傳送給壽險公會平臺，平臺再將資訊傳給保險公司進行理賠，簡化保險理賠作業且落實無紙化。</p> <p><span style="font-size:28px;"><strong>發展整合式照護，下一步鎖定資源媒合</strong></span></p> <p>專攻雲端診所市場的台灣牙e通，除了瞄準醫師端所需的整合式資訊系統和社群，也進一步發展民眾端的口腔照護生態圈。3年前，台灣牙e通就建立牙齒衛教知識庫，也建立粉絲專頁，透過美編設計親民易懂、圖文並茂的衛教資訊，來供病患和民眾參考。甚至，陳欽章表示，未來也許能透過雲平臺，往前一步來媒合牙科需求，比如發展「牙科到宅」服務，將資源分配給所需民眾。</p> <p>這種資源媒合和整合，「是我們接下來要推動的重點。」他舉例，如以精準的病歷系統為核心，來發展整合式的口腔照護生態，根據民眾過去病史、接受過的治療，來串起前段的服務媒合需求，以及後續預約、就醫、保險給付，甚至是治療後的衛教照護服務，將過去分段式的口腔照護，一氣呵成連結起來，打造為更全面的牙科照護生態圈。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E5%8F%B0%E7%81%A3%E7%89%99%E9%86%AB%E9%80%9A_%E5%8F%B0%E7%81%A3%E7%89%99%E9%86%AB%E9%80%9A%20%E6%8F%90%E4%BE%9B.jpg" style="width: 400px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／台灣牙易通</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></span> <strong>台灣牙易通股份有限公司</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 關鍵人物 </span></strong></span> <strong>台灣牙e通創辦人暨執行長陳欽章</strong></p> <p><span style="color:#696969;"><strong>成立於2015年的台灣牙e通，是全臺最大牙科資訊整合平臺，牙醫師註冊會員超過8,000人，占全臺牙醫50%。台灣牙e通以牙科雲端診所管理系統為核心產品，同步發展HIS周邊系統，如AI輔助診斷系統，未來將與商業保險串聯，來簡化給付流程。此外，他們也提供牙科專業教育、牙材採購系統和醫務管理顧問等服務，並發展牙科衛教與牙助社群，要建立整合式牙科生態圈。</strong></span></p> <p>網址：<a href="http://www.dentall.io">www.dentall.io</a></p> <p>地址：臺北市中正區羅斯福路三段136號4F-1</p> <p>成立時間：2015年</p> <p>主要業務：研發整合式牙科IT系統，如結合牙科教育、牙材採購、系統管理、AI輔助診斷軟體，並要串聯牙科保險網路、發展病患個人牙科病歷雲端資料庫</p> <p>員工數：77人</p> <p>技術長：汪庭宇</p> <p>技術部門名稱：研發部</p> <p>技術部門職務：負責核心產品系統開發與維運、產品功能研發及使用者介面優化</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>2015：台灣牙e通成立，同年底設立官方網站，會員人數達4,000人</p> <p>2016：台灣牙e通正式登記營業登記為台灣牙易通股份有限公司</p> <p>2017：展開北市府一站式牙科數位整合方案計畫，推出線上學習平臺，規模為6,000名會員</p> <p>2019：於德國科隆國際牙材展首度發表雲端診所管理系統dentallHiS，同年臺灣版dentallHiS正式上線，並成立越南分公司，也開始發展牙醫AI</p> <p>2020：台灣牙e通累計會員達7,000人，占臺灣牙醫師人數過半</p> <p>2022：台灣牙e通總部成立，推動各項服務虛實整合</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1119-xtransformation-ruo_pu_-960_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="台灣牙e通創辦人暨執行長陳欽章　（攝影／洪政偉）" /></div></div></div>
2023/3/6 00:00作者王若樸https://www.ithome.com.tw/people/155761
軟體化汽車下一步
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1119-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=PhFuY3Ni" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為電動車、自駕車的出現，掀起第一波汽車軟體化的變革，從硬體轉向軟體為中心思維，這股風潮到今年開始出現改變，在福斯透露要讓汽車開始支援容器技術，也象徵了軟體化汽車進入下一階段發展，從傳統汽車軟體走向了汽車容器化軟體應用，這也是汽車產業近十年來第二次軟體化革新</p> </div></div></div>
2023/3/6 00:00作者余至浩https://www.ithome.com.tw/article/155763
Booking.com修補可能導致帳號接管的OAuth漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://salt.security/blog/traveling-with-oauth-account-takeover-on-booking-com" target="_blank">資安公司Salt Security發現住宿預訂服務Booking.com</a>，其在登入功能的OAuth實作，可能導致惡意攻擊者接管用戶的帳號，而且駭客也能夠以同樣的手法，登入Booking.com子公司Kayak.com。Booking.com在收到Salt Security的漏洞通報後，已經迅速修復問題，並且確認未有駭客利用該漏洞入侵平臺。</p> <p>OAuth（Open Authorization）是目前的開放身分驗證標準，使用戶可以允許應用程式讀取臉書或Google等帳號資料進行身分驗證，方便地登入應用程式。研究人員發現Booking.com上由於不安全的OAuth設計缺陷，使攻擊者有機會接管以臉書登入的帳號，而且一旦接管成功，攻擊者便可以假冒用戶執行任意操作，包括存取所有個人資訊。</p> <p>在Booking.com以臉書帳號登入，需要使用者、Booking.com和臉書三方，透過連結中所帶的參數通訊，Booking.com網站上「以臉書登入」按鍵的連結，帶著重新定向回Booking.com的路徑參數redirect_uri，當redirect_uri限制不夠嚴謹，便讓攻擊者有機可乘。</p> <p>惡意攻擊者可以精心設計OAuth驗證連結，再以社交工程的手法欺騙受害者點擊，由於OAuth連結使用臉書網域，乍看之下非常合理，因此受害者很容易上當。</p> <p>這項帳號接管攻擊，需要用上Booking.com上三個較小的不安全設計，第一個不安全的設計（下圖）是當Booking.com向臉書註冊OAuth身分驗證服務時，並沒有明確指定redirect_uri路徑，因此臉書接受所有account.booking.com以下的路徑，如此攻擊者只要在account.booking.com網域下，尋找開放重定向漏洞，就有機會將用戶定向至惡意站點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/6400a4456796a6cbb13cf351_4.png" style="width: 580px;" /></p> <p>而攻擊者剛好發現Booking.com「我的儀表板」功能，存在開放重定向（Open Redirection）漏洞這個不安全的設計，系統會根據連結所帶的變數決定重新定向的位置，因此駭客只要精心設計連結網址的變數，就能夠將受害者導向惡意網站。</p> <p>由於臉書仍會驗證過程中redirect_uri的一致性，因此如果一開始redirect_uri路徑，與之後遭到變造的redirect_uri路徑不一致，便會被臉書阻擋。但安全人員在Booking.com的行動應用程式上，發現第三個不安全的設計，使得攻擊者能夠繞過臉書對redirect_uri路徑的一致性驗證。</p> <p>行動應用程式會以Post的方式，傳遞一串代碼給Booking.com系統，攻擊者只要替換掉其中的resultURi（下圖），便能夠順利將受害者導向惡意網站，藉此攔截受害者的登入憑證，最終使用偷來的憑證接管受害者Booking.com的帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/63fd582a64e9fab78f869171_19.png" style="width: 580px;" /></p> <p>這項漏洞不只讓使用臉書帳號登入Booking.com的用戶受到影響，即便用戶是使用Google或其他登入方式創建帳號，攻擊者同樣也可以使用臉書登入功能接管其Booking.com帳號。攻擊者只要向使用Google身分驗證的Booking.com用戶發送惡意連結，由於受害者電子郵件地址相同，Booking.com便會自動關聯擁有相同電子郵件的帳戶允許登入。</p> <p>研究人員提到，這類OAuth配置錯誤對公司和用戶造成重大影響，攻擊者可能會代替受害者提出未經授權的請求、取消預訂，或是存取敏感個人資訊，包括預定歷史紀錄、個人喜好或是未來訂單。</p> <p>雖然要完成這項攻擊，需要結合三個不安全的設計，但安全人員提到，重點在於攻擊者有能力在redirect_uri使用不同的路徑，因此提醒應用程式在與臉書或是其他OAuth供應商整合時，配置中的redirect_uri必須要是寫死的路徑，而行動應用程式的問題也與redirect_uri有關，這個數值不應該來自用戶輸入。</p> </div></div></div>
2023/3/5 03:47作者李建興https://www.ithome.com.tw/news/155765
Brave搜尋使用AI模型摘要用戶搜尋結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>訴求高隱私安全的瀏覽器Brave開發人工智慧模型，不使用ChatGPT或是其他後端系統，在自家搜尋引擎加入能夠總結搜尋結果的人工智慧功能<a href="https://brave.com/ai-summarizer/#fn:4">Summarizer</a>，摘要旁也會列出資料來源，方便用戶查證事實。<a href="https://www.ithome.com.tw/news/147395">Brave在2021年正式推出自家的搜尋引擎</a>，取代Google成為預設，同樣主打不追蹤用戶活動或是搜尋的高隱私性。</p> <p>Brave提到，由於<a href="https://www.ithome.com.tw/news/154513">人工智慧語言模型ChatGPT的推出</a>，以及<a href="https://www.ithome.com.tw/news/155505">微軟宣布在Bing搜尋引擎整合OpenAI的模型</a>，為因應人工智慧在搜尋引擎上的應用趨勢，Brave透過整合過去發展的技術，開發了Summarizer。</p> <p>Summarizer會在Brave搜尋頁面的頂端，顯示簡單扼要的搜尋摘要，使用戶能夠快速掌握搜尋結果，官方提到，Summarizer所提供的摘要完全基於網頁搜尋結果，透過利用大型語言模型處理網頁上多個資料來源，產生簡潔精準的答案，並且以通順連貫的語句表達。</p> <p>Summarizer完全由Brave搜尋團隊開發，由三個不同的大型語言模型組成，這些語言模型分別負責不同的任務，第一個問答模型，會嘗試從文字片段中擷取具體的答案，Brave過去便已經使用大型語言模型提高搜尋的相關性，知識圖和精選摘要功能都是使用類似的技術，不同之處在於分析的文字片段數量和長度增加。</p> <p>在問答模型擷取粗略的答案後，Brave搜尋會利用一組零樣本分類器，過濾掉仇恨言論、粗鄙用詞和垃圾訊息等文字，最後留下可以使用的文字集，交由摘要模型處理，該模型會嘗試重寫並且刪除重複的文字，保持語言的一致性和可讀性。</p> <p>由於Summarizer所給出的答案，完全基於網頁的搜尋結果，Brave提到，與單純的生成性人工智慧不同，不會輸出未經證實的結論。而使用網頁搜尋結果，也讓Summarizer能夠提供當日事件的即時資訊，但是官方仍提醒，用戶不應該完全相信人工智慧所產生的結果，如同不應該完全相信網頁上的資訊。</p> <p>除了提供摘要之外，Brave搜尋也會以人工智慧模型產生網站摘要，替換原本各搜尋結果下方的文字描述，並且突出顯示可能的答案。這項功能屬於單一來源的摘要，也就是該網站文字摘要，而並非考慮多個來源所產生的全面性總結。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/before-after.jpg" style="width: 580px;" /></p> <p>Brave搜尋現在每秒處理600次的查詢，而Summarizer約針對17％的查詢產生摘要，官方提到，他們的AI模型可能是目前世界上最大型的該類系統，因為他們對每個查詢都使用Summarizer，因此每秒查詢量較其他搜尋引擎更多。Summarizer目前已經向所有Brave桌面和行動用戶推出，不想使用的用戶，可以在設定中關閉功能。</p> </div></div></div>
2023/3/5 03:56作者李建興https://www.ithome.com.tw/news/155766
IBM發布年度威脅報告，後門、網釣與勒索為主要焦點，尤其遠端後門攻擊已成企業最大威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於2022年的資安威脅態勢，IBM發布X-Force威脅情資指數報告（X-Force Threat Intelligence Index），當中最受注目的3大焦點包括，除了指出勒索軟體威脅仍然劇烈，遠端後門攻擊現在更成為企業面臨的最大資安威脅，其次，網路釣魚攻擊仍是主要攻擊媒介，有4成的攻擊事件都被發現與此種手法有關，第三，從對企業帶來的衝擊來看，勒索（Extortion）仍是攻擊者最慣用的手法，其中又以製造業被鎖定的比例最高。</p> <h3><strong>部署後門程式成為攻擊者行動時最常見的模式</strong></h3> <p>關於遠端後門攻擊的威脅為何近期持續增加？IBM團隊指出，後門存取（Backdoor access）正成為暗網熱門商品，因為每個後門存取的價格不斐，可能達到數千美元，若與每筆只值10美元的信用卡資料相比，後門存取對於駭客可能更有價值。</p> <p>更關鍵的是，IBM從他們觀察的全球資安威脅態勢分析，發現21%資安事件是攻擊者部署後門程式（以便從遠端存取系統），成為攻擊者針對目標採取行動時最常見的模式。他們認為，具有多種用途的惡意軟體Emotet，使後門活動變興盛。他們還提到，這些後門案例中有67%涉及勒索軟體的企圖，等於是先部署後門程式再勒索軟體攻擊。由於過往的資安年度報告中，很少指出這樣態勢，值得企業關注。</p> <p>對於勒索軟體的威脅，IBM表示，儘管比重降低，2021年是21%，2022年減至17%，但勒索軟體仍是明確且實際的威脅，只是呈現擴大而非放緩的態勢，因此依然不可輕忽。特別要留意的是，他們發現，近三年勒索軟體攻擊平均持續時間，已從兩個月變成不到4天。</p> <p>僅次於後門程式、勒索軟體攻擊，排名第三的威脅是電子商業郵件詐騙（BEC），佔X-Force回應事件的6%。</p> <h3><strong>去年有4成攻擊事件運用網釣手法</strong></h3> <p>從初期入侵攻擊手法來看，IBM指出，網路釣魚仍是慣用手段。在2022年有4成1的事件，用網釣相關手法，包括魚叉式網路釣魚附件（25%）、魚叉式網路釣魚連結（14%）、魚叉式網路釣魚服務（2%），基本上，這三類型網釣合計占了41%。其次，為利用公眾面向應用程式入侵，比例達26%，這部分與往年相比略有下降。</p> <p>另外，IBM還給出更多觀察，說明在網釣攻擊持續嚴峻的情況下，劫持電子郵件的身分冒用行徑在2022年大幅上升，成為攻擊者的一項武器，也就是攻擊者利用被入侵的電子郵件帳戶、冒充帳戶本人回應郵件。並且，攻擊者會利用這樣的途徑部署Emotet、Qakbot與IcedID等惡意軟體，企圖引發勒索軟體感染。</p> <h3><strong>攻擊者勒索策略持續強硬，製造業受害比例最高</strong></h3> <p>在這次年度資安報告中，IBM也從影響層面指出現今企業組織所面對的五大衝擊，其中，勒索（Extortion）以21%比例最高，資料竊取以19%比例居於第2，其次為憑證獲取（11%）、資料外洩（11%）、品牌名聲（9%）。</p> <p>對於為企業帶來最大衝擊的勒索，他們指出，勒索主要透過植入勒索軟體或利用企業電子郵件詐騙來實現。他們並認為，雖然敲詐勒索如今與勒索軟體最為聯繫在一起，但敲詐勒索活動包含以各種方法來對其目標施加壓力，像是透過DDoS威脅、告知他們資料已遭洩漏，增加被駭企業支付贖金的壓力。</p> <p>值得我們關注的是，以產業別來看，製造業是2022年面臨勒索威脅最嚴重的產業，佔比達3成，製造業其實也是受攻擊最嚴重的產業，因為攻擊者抓準製造業對停機事件容忍度極低，能對受害企業施加更大的心理壓力。此外，金融保險業、專業服務與客戶服務行業受勒索攻擊的數量排第二與第三名。</p> <p>此外，IBM還有針對漏洞利用狀況的分析。當中特別強調一點，老舊漏洞今日仍可能被重新用於攻擊中，例如，利用老舊漏洞啟動2017年所發現的WannaCry與Conficker等舊的惡意軟體攻擊仍然存在，而且，自2022年4月迄今，監控到的WannaCry勒索軟體流量增加了800%。因此，IBM Security建議，企業對於漏洞管理務必要有改善與優化的行動，更準確地瞭解潛在攻擊面，並從風險角度去規畫安全修補的優先順序。</p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）X-Force Threat Intelligence Index_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89X-Force%20Threat%20Intelligence%20Index_.jpg" style="width: 600px;" /></a></p> <p><strong>IBM X-Force團隊列出2022年企業組織遭受的前五大衝擊，勒索（Extortion）比例最高，資料竊取居次，其次為憑證獲取、資料外洩與品牌名聲。（圖片來源：IBM）</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）X-Force Threat Intelligence Index_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89X-Force%20Threat%20Intelligence%20Index_.jpg" style="width: 600px;" /></a></p> <p><strong>從產業別來看，根據X-Force這次報告顯示，儘管金融保險業面對的威脅仍持續嚴峻，不過，製造業在近兩年已成為受攻擊最多的產業。（圖片來源：IBM）</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）X-Force Threat Intelligence Index_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89X-Force%20Threat%20Intelligence%20Index_.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965B%EF%BC%89X-Force%20Threat%20Intelligence%20Index_(1).jpg" style="width: 600px;" /></p> <p><strong>IBM X-Force團隊指出2022年攻擊事件中駭客所使用的初期入侵手法，網路釣魚佔比最高，達4成1最高，當中包含如魚叉式網釣附件（25%）、網釣連結（14%）的型態。（圖片來源：IBM）</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）X-Force Threat Intelligence Index_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89X-Force%20Threat%20Intelligence%20Index_.jpg" style="width: 600px;" /></a></p> <p><strong>此外，在這份報告中，X-Force團隊還針對漏洞現況做出一份統整性的圖表，當中的資訊呈現了：至今被揭露的漏洞總數、成功利用的比例，零時差漏洞，並從嚴重程度來予以統計，同時指出歷年一些重大漏洞。（圖片來源：IBM）</strong></p> </div></div></div>
2023/3/3 15:30作者羅正漢https://www.ithome.com.tw/news/155758