iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

NordVPN釋出免費Meshnet功能，一舉開源Linux版程式、Libtelio與Libdrop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名VPN業者NordVPN上周一舉宣布釋出<a href="https://nordvpn.com/zh-tw/blog/why-is-meshnet-free/" target="_blank">免費加密通道功能Meshnet</a>，同時<a href="https://nordvpn.com/zh-tw/blog/nordvpn-linux-open-source/" target="_blank">開源Linux版程式</a>，以及Libtelio與Libdrop函式庫，藉以展現該公司對產品的信心，同時鼓勵開源社群協助改善相關產品。</p> <p>Meshnet過去是付費版NordVPN的一項功能，可於不同裝置之間建立加密通道，例如使用者於他國旅行時，可連至家中電腦再進行瀏覽；或是把自己的電腦當作VPN伺服器，允許海外的親友連線使用；也能在兩臺裝置間建立加密通道來傳送檔案；還是與友人一起玩遊戲時利用Meshnet來連結裝置。</p> <p>NordVPN表示，他們相信所有人都應該利用VPN的安全與便利性，但並非所有人都已準備好要使用有價的NordVPN服務，Meshnet可用來滿足簡單的需求，作為使用者進入付費服務的試金石，有別於NordVPN服務仰賴全球的伺服器網路，Meshnet功能所需的架構與維護成本都低得多。</p> <p>Meshnet最多可連結60臺裝置，可支援Windows、macOS、Linux、Android與iOS等不同的作業系統。</p> <p>同一天NordVPN還開源了完整的<a href="https://github.com/NordSecurity/nordvpn-linux" target="_blank">Linux版NordVPN程式</a>，NordVPN所有平臺所使用的<a href="https://github.com/NordSecurity/libtelio" target="_blank">網路函式庫Libtelio</a>，以及Meshnet用來分享檔案的<a href="https://github.com/NordSecurity/libdrop" target="_blank">Libdrop函式庫</a>。其中，Libtelio是NordVPN所有版本的程式碼骨幹，不僅限於Linux版。</p> <p>NordVPN表示，這3個元素的開源將允許任何人檢查、變更或重新遞送這些元素，倘若有人認為Linux版的NordVPN需要改善，或新增功能，那麼便能更改它，進而建立自己的版本。此外，他們想要來自程式碼社群的審查與意見，同時對外展現NordVPN對自家軟體的信心，也能透過社群的貢獻來改善產品。</p> </div></div></div>
2023/3/20 14:00作者陳曉莉https://www.ithome.com.tw/news/156004
研究人員釋出工具以避免藝術作品遭到AI模仿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一邊有科學家極力蒐集廣大的資訊以供AI模型學習並仿效，另一邊則有研究人員打造機制來防堵AI模型的模仿，芝加哥大學的隨機分析和非線性動力學實驗室（SAND Lab）與專業藝術社群合作，<a href="https://glaze.cs.uchicago.edu/" target="_blank">於上周六（3/18）釋出了Glaze Beta2</a>，藝術家只要在上傳作品至網路之前，利用Glaze將作品稍加變更，就能避免AI模型剽竊其作品概念與風格，進而生成類似的作品。</p> <p>在與SAND Lab合作的逾1,100名藝術家中，<a href="https://conceptartworld.com/artists/karla-ortiz/" target="_blank">最有名的莫過於概念性藝術家/插畫家Karla Ortiz</a>，她經常替作者設計封面、插畫，或協助玩具製造商打造新圖騰。</p> <p>若Ortiz在上傳作品至網路之前使用了Glaze，它就能變更原始作品元素，肉眼很難辨識這些變更，因此在網路上看起來與原作幾乎一模一樣，不過，SAND Lab將這些變更稱為「風格偽裝」（Style Cloak），可把於網路上流傳的Ortiz作品變成「偽裝藝術品」（Cloaked Artwork），以免遭到AI模型的剽竊，而且藝術家還可以指定所要偽裝的風格。</p> <p>例如Ortiz可指定將自己作品的風格偽裝成梵谷（Vincent van Gogh），即便作品在網路上看起來與Ortiz的原作一樣，卻會使AI模型將其風格誤認為梵谷，蒐集與學習該作品的AI模型所生成的就是梵谷風格的作品，而非Ortiz。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-Glaze%20protection-2.png" style="width: 600px;" /></p> <p><a href="http://glaze.cs.uchicago.edu/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SAND Lab</span></span></a></p> <p>Glaze Beta2目前最大的限制在於它並非可永遠對抗AI的模仿，進展快速的AI技術很可能於未來繞過Glaze，但SAND Lab團隊認為Glaze是必要的第一步，而且可在必要的技術及法令出爐前先行保護藝術家。</p> <p>SAND Lab團隊表示，Glaze僅用於研究目的，並不打算商業化，發布的當下就能供外界免費下載及使用。Glaze Beta2支援Windows 10/11 ，以及基於英特爾或M1/M2處理器的macOS。</p> </div></div></div>
2023/3/20 12:35作者陳曉莉https://www.ithome.com.tw/news/156000
紐西蘭國會加入禁用TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.parliament.nz/en/footer/about-us/parliamentary-service/parliamentary-service-media-releases/media-statement-tiktok-on-parliamentary-service-devices/" target="_blank">紐西蘭國會上周宣布</a>，國會公務裝置將不得安裝TikTok，成為最新一個對這個短影片社交應用實施禁令的政府單位。</p> <p>紐國國會主席Rafael Gonzalez-Montero表示，基於網路安全專家建議，國會已要求國會議員及員工移除所有具國會網路存取權的裝置上的TikTok應用程式。他說，根據專家分析以及紐國國內、外政府的討論，國會判斷相關風險已是現有紐國國會無法接受的程度。</p> <p>紐西蘭是五眼聯盟中，最新一個在公用手機上禁用TikTok的成員國家。美國參議院已在去年底通過政府機構裝置不得安裝使用該App的法案，只剩總統簽字即會成為法令。CNN上周引述短影片社交平臺TikTok母公司字節跳動（ByteDance）證實，美國拜登政府要求出售TikTok手中持股，否則將正式禁用。</p> <p>加拿大及英國分別在<a href="https://www.bbc.com/news/world-us-canada-64792894" target="_blank">2月底</a>及<a href="https://www.ithome.com.tw/news/155982" target="_blank">上周</a>宣布政府部門員工裝置不得安裝這款中國App。而根據澳洲媒體<a href="https://www.smh.com.au/technology/federal-government-expected-to-ban-TikTok-on-its-devices-20230317-p5cszo.html" target="_blank">《Sydney Morning Herald》</a>報導，澳洲政府還在評估，但可能也會在近期頒布禁令。此外，<a href="https://www.ithome.com.tw/news/155700" target="_blank">不是五眼聯盟的歐盟已在2月底宣布類似禁令</a>。</p> </div></div></div>
2023/3/20 12:42作者林妍溱https://www.ithome.com.tw/news/156001
微軟預覽低程式碼開發平臺Power Platform用的Copilot AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155983" target="_blank">繼上周的Office之後</a>，微軟上周四（3/16）再宣布<a href="https://powerapps.microsoft.com/en-us/blog/announcing-a-next-generation-ai-copilot-in-microsoft-power-apps-that-will-transform-low-code-development/" target="_blank">整合低程式碼開發平臺Power Platform的Copilot預覽版</a>，讓Power Platform的開發人員和使用者用自然語言就能完成工作。</p> <p>最新Copilot是以<a href="https://www.ithome.com.tw/news/155884" target="_blank">Azure OpenAI服務</a>的GPT模型為底層，將AI助理加入Power Platform底下三項產品，包括Power Apps、Power Virtual Agents和Power Automate。使用者可以自然語言描述自己的目的，以開發應用程式、聊天機器人（bot）或工作流程。</p> <p>Power Apps本來就是低程式碼工具，旨在讓不具程式開發背景的使用者，也能撰寫出應用程式。用戶描述應用程式用途，Power Apps就會自動產生App的資料表格，而有了Copilot，使用者可以用自然語言依據自己的需求調整App。一旦用戶可以解決簡單的應用開發需求，開發人員就能把時間專注在更複雜的程式碼、元件和整合工作上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-Copilot%20in%20Microsoft%20Power%20Apps-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Power Automate用於建立重覆性事務的自動化流程。微軟宣稱，Power Automate 2022年10月上線的預覽版中的「Describe it to design it」功能，已可減少50%的流程開發時間，Copilot則可把建立作業縮短為幾秒鐘內完成。</p> <p>Power Virtual Agents這項產品本身用於開發處理多種主題、回應和情境知識的聊天機器人。但微軟表示，即便是低程式碼，也需要花一段時間。現在有了Copilot，作業可將在幾分鐘內開發完成。用戶可以使用自然語言，援引Copilot生成性AI模型GPT建立及微調主題內容，它的對話介面又讓這個過程更簡單而快速。</p> <p>目前這個版本是預覽版，微軟警告，這個版本功能有限，部署也有限制，不應用於生產環境。</p> <p>這是微軟自Bing、Edge、<a href="https://www.ithome.com.tw/news/155884" target="_blank">Azure OpenAI服務</a>、上周的Microsoft 365/Office之後，最新整合ChatGPT能力的微軟產品。而一如之前所有產品，微軟也不忘強調，AI會犯錯，因此Copilot提供的建議，最終還是需要用戶許可、接受，他們也可以針對Copilot的建議加以編輯。</p> </div></div></div>
2023/3/20 13:08作者林妍溱https://www.ithome.com.tw/news/156002
【資安週報】2023年3月13日到3月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周包括微軟、SAP、思科、Adobe、西門子、施耐德電機等多家科技大廠，相繼發布產品安全性更新公告，紛紛呼籲用戶盡速修補，值得關注的是，有4個漏洞已出現利用情形要特別留意，包括：微軟本周安全性更新釋出，當中有兩個零時差漏洞已遭鎖定利用，一是涉及Outlook（CVE-2023-23397）另一是涉及SmartScreen（CVE-2023-24880），Fortinet針對一周前修補的防火牆產品漏洞（CVE-2022-41328）示警，已發現針對該漏洞的攻擊行動，最後是Adobe ColdFusion的漏洞（CVE-2023-26360）。</p> <p>關於威脅態勢與攻擊活動揭露方面，有三類議題值得關注，包括在近期熱門的ChatGPT與矽谷銀行（SVB）新聞事件下，有更多駭客組織假借名義的攻擊活動出現；在網釣攻擊上，微軟揭露新一波大規模攔截使用者Cookie的AiTM網釣攻擊，駭客組織已發展出網釣工具包並出售套件；去年底已有攻擊者利用的Progress Telerik漏洞，本周有更多技術細節公開，揭露攻擊者是如何利用美國政府IIS服務器中的這項漏洞。</p> <p>在資安事件方面，國際間有兩起與供應鏈安全有關事件，包括傳出SpaceX的零件製造商遭LockBit入侵，駭客聲稱取得SpaceX設計藍圖，以及AT&T用戶發生資料外洩，已調查出事件起因為合作廠商遭駭；在國內，不只是故宮博物院館藏的數位圖檔證實外洩的事件受注目，也傳出國光客運遭網路攻擊使訂票服務停擺狀況。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155893"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月13日】資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</span></strong></a></h3> <p>又是資安業者傳出資料外洩事故！這次Acronis事故與過往有所不同的是，疑似客戶的帳密遭竊，而導致回傳給技術支援團隊的組態資料外洩。但為何客戶的帳密遭竊？該公司沒有說明。</p> <p>Go語言殭屍網路病毒GoBruteforcer針對多種應用系統而來的攻擊行動也值得留意，這些駭客專門針對特定的資料庫、網頁管理系統、檔案共用伺服器而來，而且，其惡意軟體同時針對x86及Arm的類Unix主機下手。</p> <p>想要透過LinkedIn求職的資安人員要提高警覺！北韓駭客組織假借這類名義找尋攻擊目標，並透過測試研究人員能力為由來散布惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/155926"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</span></strong></a></h3> <p>人工智慧語言模型ChatGPT當紅，駭客假借提供相關工具來發動攻擊的情況不斷出現，而最近一起資安事故裡，攻擊者將竊密軟體包裝在Chrome延伸套件，並成功通過審核機制上架到Chrome Web Store市集，突顯這類攻擊的手法變得越來越隱蔽。</p> <p>除了時下熱門的ChatGPT，勒索軟體攻擊的態勢也同樣值得我們關注。例如，衛星網路業者SpaceX零件供應商傳出遭勒索軟體LockBit攻擊的情況，駭客揚言若不付錢，就將竊得的專利資料賣給相關競爭對手。</p> <p>回到國內，去年因摔壞國寶引起各界撻伐的故宮博物院，傳出館藏文物的數位圖檔外流事故。該單位也證實確有此事，並指出外洩的原因是承辦人員將資料搬移到連結到網際網路的應用系統上。</p> <h3><a href="https://www.ithome.com.tw/news/155947"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</span></strong></a></h3> <p>大型銀行倒閉影響範圍甚廣，許多用戶擔心自己的存款會拿不出來，也會影響往來企業的資金周轉，因此受到各界高度關注。最近，美國矽谷銀行（Silicon Valley Bank，SVB）宣布倒閉，駭客隨即註冊大量網域，並隨著事態的變化發動多起網路釣魚攻擊。</p> <p>除了SVB相關的攻擊行動，多家IT與OT業者近期發布了每月的軟體例行更新公告，也相當值得我們留意。微軟、Adobe、SAP、西門子、施耐德電機等廠商都在這幾天發布本月份的例行修補，值得留意的是，已有部分是出現攻擊行動的零時差漏洞，用戶應儘速安裝相關更新軟體。</p> <p>論及零時差漏洞的利用攻擊，MFT檔案共享系統GoAnywhere的資安弱點再傳有組織受害！這次公告受害的組織身分，是資料安全保護業者，所幸他們沒有用戶資料外流的情況。</p> <h3><a href="https://www.ithome.com.tw/news/155969"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月16日】AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</span></strong></a></h3> <p>駭客假借提供破解軟體，並透過YouTube影片告訴觀眾如何下載相關檔案的名義，藉此散布惡意軟體的情況時有所聞，但最近這種類型的攻擊行動出現新的變化──駭客利用AI產生有人現身說法、透露如何操作的影片，一改過往錄下電腦桌面環境的操作影片的做法。這麼做的目的，就是透過「有人」現身說法，來拉近與觀眾之間的距離，進而讓他們卸下心防。</p> <p>除了上述的散布手法，惡意軟體的威脅態勢也值得我們留意──有雲端服務業者根據DNS流量分析，發現殭屍網路病毒Emotet東山再起，還有NAS惡意軟體QSnatch也藉此大肆發動攻擊，流量竟在2022年超越其他的惡意程式。</p> <p>不只是惡意軟體攻擊的態勢出現變化，挖礦攻擊也有新的招式，駭客疑似嘗試挖掘另一種名為Dero的數位貨幣，使得資金流量有可能變得更難追蹤。</p> <h3><a href="https://www.ithome.com.tw/news/155993"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</span></strong></a></h3> <p>Fortinet近日透露旗下防火牆作業系統FortiOS的路徑穿越漏洞CVE-2022-41328已出現攻擊行動，呼籲用戶儘速修補，但並未說明更多資訊。直到這幾天，協助調查的資安業者Mandiant表示，該漏洞在2022年的攻擊行動就被利用，並指出駭客也對受害組織部署的Fortinet其他類型的產品出手。</p> <p>今天我們也注意到另一起利用漏洞進行攻擊的重大攻擊，那就是發生在美國行政機關（FCEB）的資安事故，有多個駭客組織攻入該機構，而他們利用的是3年前被揭露的應用程式框架Progress Telerik漏洞CVE-2019-18935，而這些攻擊者當中，有1個是國家資助的駭客組織。</p> <p>但不只是漏洞攻擊，與烏克蘭戰爭有關的網路攻擊也相當值得留意。俄羅斯駭客組織APT29看上波蘭想要尋求美國的軍事援助，藉此發動網釣攻擊。特別的是，過程中駭客濫用了歐盟的文件交換系統。</p> </div></div></div>
2023/3/20 10:57作者羅正漢https://www.ithome.com.tw/news/155999
Docker為政策說明不清道歉，承諾不會刪除Free Teams組織的公開映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker官方在部落格為最近含糊不清的信件內容<a href="https://www.docker.com/blog/we-apologize-we-did-a-terrible-job-announcing-the-end-of-docker-free-teams/">道歉</a>。前幾天Docker透過電子郵件通知Free Team組織成員，該免費訂閱層級已終止，要求他們轉向付費方案，或是重新申請DSOS（Docker-Sponsored Open Source）計畫，否則帳戶將被凍結，私有儲存庫中的資料也會被刪除。</p> <p>由於之前使用Free Team訂閱有不少開源專案，Docker這封內容不清的信件使維護者人心惶惶，擔心映像檔工作管線被破壞。現在Docker官方發文道歉並解釋，Free Teams訂閱早已經被棄用，部分原因是其針對性很差，也不如他們新提供的DSOS計畫，官方指出該計畫所提供的好處超過Free Team訂閱，歡迎開源專案轉向使用DSOS計畫。</p> <p>另外，Docker特別回應在信中未說明，且眾多開源專案維護者困惑的問題，官方承諾只有維護者主動刪除公開映像檔時，他們才會從Docker Hub中刪除該映像檔。因此當維護者不採取任何行動，Docker便會繼續發布這些公開映像檔。</p> <p>只有在訂閱欄位被標記為Docker Free Team的用戶，才會受到該政策影響，官方提到這些用戶數不到總用戶的2％，而且即便用戶的組織受到影響，用戶個人Docker也不受該政策影響。官方鼓勵所有開源專案都可申請DSOS計畫，Docker在2022年9月更新計畫並且放寬資格，因此之前已經申請過被拒絕的開源專案，也可以再嘗試一次。</p> <p>申請DSOS計畫的組織不受Free Team訂閱終止的影響，這些組織帳戶將暫時不會被暫停或是刪除，即便申請被拒絕，這些組織也會有30天的時間行動，之後才會被暫停帳戶。至於Free Teams訂閱用戶的私人儲存庫，則確定會在2023年4月13日被停用，Docker官方解釋，因為私人儲存庫是一項付費功能，因此只有用戶付費訂閱才能繼續使用。</p> <p>Free Teams用戶也可以選擇在4月13日之前，將原本Docker註冊表上私有儲存庫的映像檔，轉移到Docker之外的儲存庫，或是當用戶選擇付費訂閱方案，帳戶和所有關聯的配置、映像檔和儲存庫則完全不會改變。</p> <p>當Free Teams組織最終沒有付費，也沒有通過DSOS計畫申請，組織被暫停、刪除，組織的命名空間也不會被釋出，因此其他用戶沒有辦法搶占組織的映像檔。</p> </div></div></div>
2023/3/19 15:50作者李建興https://www.ithome.com.tw/news/155991
微軟在VS Code Insiders釋出資料準備工具Data Wrangler，可簡單生成資料操作Python程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對資料科學家，推出可用Python處理表格資料的工具<a href="https://devblogs.microsoft.com/python/data-wrangler-release/">Data Wrangler</a>，Data Wrangler是VS Code Insiders版本的擴充套件，能夠執行資料準備、清理和視覺化工作，協助用戶辨識和修復資料錯誤，也能分析資料的品質，並將資料轉換成為需要的格式。</p> <p>Data Wrangler內建的轉換和視覺化函式庫，在用戶執行資料更改時，擴充套件會自動使用開源Python函式庫，替用戶的資料操作產生程式碼，也就是說用戶可以更迅速且正確地編寫資料準備程式。</p> <p>由於資料的品質會直接影響模型預測的品質，因此資料科學家通常需要花費大量的時間準備資料，在探索資料的過程，資料科學家需要編寫許多小程式碼片段，來刪除資料行或是移除缺失的數值，微軟提到，目前缺乏簡化資料準備工作的工具，資料科學家常需要到Stack Overflow搜尋程式碼片段，並且複製貼上到程式中。</p> <p>Data Wrangler的互動式使用者介面，能夠替用戶快速產生程式碼，在用戶查看和視覺化Python資料分析模組Pandas資料框（Dataframes）時，Data Wrangler能夠產生目標操作的程式碼，像是用戶只要右鍵點擊資料行標題並將其刪除，Data Wrangler便可以自動產生Python程式碼來執行此操作。</p> <p>另外，當資料科學家想要從Pandas資料框的資料行，創建一個新的衍生資料行，編寫自定義程式碼的過程容易出現錯誤，而Data Wrangler讓用戶只要提供輸出範例，告訴Data Wrangle希望衍生資料列的資料形式，該擴充套件便會透過人工智慧合成技術PROSE編寫Python程式碼。</p> <p>現在資料科學家想要在VS Code Insiders使用Data Wrangler，可以直接從應用程式市集中下載，並且從Jupyter Notebook的Pandas資料框中啟動Data Wrangler，或是在VS Code Insiders中，選擇以Data Wrangler開啟CSV或Parquet檔案。</p> </div></div></div>
2023/3/19 15:57作者李建興https://www.ithome.com.tw/news/155994
Teams現可整合AWS Chatbot方便用戶操作雲端資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/aws-chatbot-now-integrates-with-microsoft-teams/">AWS宣布</a>讓用戶可以在微軟的通訊協作平臺Teams中整合AWS Chatbot，在聊天頻道就能夠以指令操作AWS資源，還有進行故障排除。用戶早在2020年，就能夠於Chime和Slack聊天頻道使用AWS Chatbot，而現在也能在Teams集中管理基礎設施，以聊天機器人自動化工作流程。</p> <p>在Teams或其他通訊協作平臺，用戶會收到來自AWS Chatbot的通知，使用戶可以直接在聊天頻道中輸入指令操作AWS服務，而不需要切換到其他工具。用戶收到的通知包括系統運作狀況、預算、安全事件或是CI/CD工作管線狀態的警示。</p> <p>AWS Chatbot也不只有問題通知這項功能，聊天機器人也讓用戶能夠以互動的方式，接收預定義的CloudWatch控制面板，以及檢索Logs Insights日誌，使用戶可以直接在聊天串中解決問題。同時用戶也可以直接在聊天頻道中輸入大多數的AWS CLI指令，檢索其他遙測資料和資源，甚至能夠依據操作手冊修復問題。</p> <p>AWS Chatbot讓用戶能夠以自然語言提問，AWS Chatbot會以AWS文件，或是支援文章回覆用戶的提問，用戶可以使用的問句像是顯示我在eu-west-3中的EC2執行個體。AWS Chatbot也提供指令別名功能，來解決長指令難以記憶的問題，用戶可以定義別名來引用常用的指令和參數，減少完成任務的步驟。</p> </div></div></div>
2023/3/19 16:02作者李建興https://www.ithome.com.tw/news/155995
【資安日報】3月17日，本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Fortinet近日透露旗下防火牆作業系統FortiOS的路徑穿越漏洞CVE-2022-41328已出現攻擊行動，呼籲用戶儘速修補，但並未說明更多資訊。直到這幾天，協助調查的資安業者Mandiant表示，該漏洞在2022年的攻擊行動就被利用，並指出駭客也對受害組織部署的Fortinet其他類型的產品出手。</p> <p>今天我們也注意到另一起利用漏洞進行攻擊的重大攻擊，那就是發生在美國行政機關（FCEB）的資安事故，有多個駭客組織攻入該機構，而他們利用的是3年前被揭露的應用程式框架Progress Telerik漏洞CVE-2019-18935，而這些攻擊者當中，有1個是國家資助的駭客組織。</p> <p>但不只是漏洞攻擊，與烏克蘭戰爭有關的網路攻擊也相當值得留意。俄羅斯駭客組織APT29看上波蘭想要尋求美國的軍事援助，藉此發動網釣攻擊。特別的是，過程中駭客濫用了歐盟的文件交換系統。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/fortinet-malware-ecosystem"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet零時差漏洞傳出遭到中國駭客利用</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-attack-lifecycle-fortimanager.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-attack-lifecycle-fortimanager.png" style="width: 300px; float: right;" /></a>資安業者Fortinet於3月7日修補防火牆路徑穿越漏洞CVE-2022-41328（CVSS風險評分為6.5分），並於13日表示該漏洞已出現攻擊行動，最近有資安業者公布更多細節。</p> <p>資安業者Mandiant發現，中國駭客組織UNC3886於2022年中旬，就利用上述的漏洞攻擊政府組織，在Fortinet防火牆設備執行未經授權的程式碼或命令，進而部署惡意程式，於受害組織從事網路間諜行動、洩露資料，或是下載及寫入檔案，研究人員也看到目標裝置收到惡意ICMP封包後，出現開啟遠端Shell的情況。</p> <p>攻擊者在成功入侵Fortinet防火牆之後，就設置後門Thincrust與Castletap並進行橫向感染，接著，他們存取已遭植入後門程式的VMware虛擬化平臺ESXi、vCenter，目的是避免攻擊行動被發現。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-074a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構遭到駭客利用跨平臺應用程式框架Progress Telerik漏洞入侵</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、跨州資訊共享及分析中心（Multi-State Information Sharing and Analysis Center，MS-ISAC）聯手發布資安通告，指出多個駭客組織利用跨平臺應用程式框架Progress Telerik漏洞CVE-2019-18935（CVSS風險評分為9.8分），於2022年11月至2023年1月攻擊聯邦政府的行政機關（FCEB），進而在微軟IIS網頁伺服器上執行程式碼。</p> <p>但這並非駭客首度利用此漏洞對FCEB下手──2022年8月，有人利用該漏洞上傳惡意的DLL程式庫，並將程式庫檔案偽裝成PNG圖檔，然後透過w3wp.exe處理程序執行。</p> <p><a href="https://blogs.blackberry.com/en/2023/03/nobelium-targets-eu-governments-assisting-ukraine"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟遭到俄羅斯駭客攻擊，利用波蘭外交使者行程做為幌子，並藉由歐盟檔案交換系統散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nobelium-fig01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/nobelium-fig01.png" style="width: 300px; float: right;" /></a>波蘭外交大使傳出要訪問美國，尋求美軍駐守等相關支援，而這樣的情勢也成為駭客用來發動攻擊的幌子。BlackBerry旗下的研究及情資團隊於3月初發現，俄羅斯駭客組織APT29（亦稱Nobelium）鎖定歐洲國家發動網路釣魚攻擊，駭客對波蘭外交部，以及與美國互動感興趣的人士製造誘餌，濫用歐盟的文件檔案交換系統LegisWrite、資料安全傳輸系統eTrustEx，並在薩爾瓦多的圖書館網站上，植入波蘭大使的「公開行程表」。</p> <p>一旦使用者依照指示存取駭客製作的惡意網頁（此攻擊HTML網頁亦稱為EnvyScout），該網頁就會透過HTML挾持（HTML Smuggling）手法，將帶有惡意軟體IMG或ISO映像檔傳送到受害者的電腦。值得留意的是，駭客透過線上筆記系統Notion架設C2中繼站，而使得相關流量可能會被部分資安系統視為合法。</p> <p><a href="https://blog.talosintelligence.com/yorotrooper-espionage-campaign-cis-turkey-europe/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">獨立國家國協、大使館、歐盟醫療機構遭到YoroTrooper攻擊行動鎖定</span></strong></a></p> <p>思科旗下的威脅情報團隊Talos揭露自2022年6月出現的攻擊行動，駭客組織YoroTrooper鎖定獨立國家國協（CIS）的政府機關及能源組織而來，且已有從事醫療保健的歐盟機構、世界智慧財產權組織（WIPO）、多個歐洲大使館受害，研究人員發現駭客竊得大量帳密資料、Cookie、瀏覽器的存取記錄。</p> <p>這些駭客先是冒充白俄羅斯和俄羅斯的組織，使用名稱相似的網域發送釣魚郵件，挾帶惡意PDF檔案攻擊白俄羅斯組織，接著這些駭客將注意力轉移至白俄羅斯和亞塞拜然，部署Python打造的竊資軟體Stink Stealer。到了2023年，該駭客組織更換目標為塔吉克和烏茲別克，並改用HTA檔案來散布上述竊資軟體。</p> <p><a href="https://www.welivesecurity.com/2023/03/14/slow-ticking-time-bomb-tick-apt-group-dlp-software-developer-east-asia/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">東亞資料外洩防護業者遭到駭客組織Tick鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Timeline-of-the-attack-and-related-incidents.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Timeline-of-the-attack-and-related-incidents.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織Tick發起的攻擊行動，該組織自2021年2月，攻擊東亞的資料外洩防護（DLP）開發商，先是散布已竄改的檔案管理軟體Q-Dir安裝程式，一旦使用者執行，電腦就會被植入VBScript後門程式ReVBShell，以及名為ShadowPy的惡意程式下載器，然後植入後門程式Netboy（亦稱Invader）、Ghostdown下載器。</p> <p>過程中駭客先是破壞此開發商的內部更新伺服器，從而在該公司內部網路散布惡意軟體，並對他們的安裝程式植入木馬相關的程式碼，最終目的是在此DLP廠商的客戶電腦執行惡意軟體。研究人員指出，2022年2月及6月，有2家該公司的客戶受到波及，其中1個是東亞工程及製造公司。</p> <p><a href="https://www.fortinet.com/blog/industry-trends/work-from-anywhere-global-study-2023-highlights"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">居家辦公演變為隨處辦公，三分之二企業因遠距工作員工面臨資料外洩風險</span></strong></a></p> <p>因疫情而興起的居家辦公（WFH），現在雖然疫情已漸趨緩，仍有部分員工繼續採用這種上班型式，而使得企業面臨網路安全管理上的挑戰。資安業者Fortinet於2023年1月，針對全球百人以上員工規模的570家組織進行調查，結果發現仍有6成企業實施部分居家辦公，僅有4成要求員工必須回到辦公室。</p> <p>企業認為這種遠距辦公最大的威脅，主要是家用網路不夠安全（41%），其次則是員工將公司筆電用於私人用途帶來的隱憂（38%）。而且，這些企業有三分之二曾因居家辦公的員工曝險，引發資料外洩事件。</p> <p>研究人員認為，居家辦公現在已經逐漸演變成隨處辦公（Work-From Anywhere），這使得IT部門、資訊長、資安長制訂相關資安政策時，面臨更大的挑戰。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國光客運傳出遭到網路攻擊，波及旅客訂票，迄今網站仍停擺</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/xAYYeqVFcB_20230317-1622-17369.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xAYYeqVFcB_20230317-1622-17369.png" style="width: 300px; float: right;" /></a>根據<a href="https://news.cts.com.tw/cts/life/202303/202303152154052.html">華視</a>、<a href="https://news.ltn.com.tw/news/life/breakingnews/4240505">自由時報</a>、<a href="https://udn.com/news/story/7266/7033506">聯合報</a>等媒體導，國光客運傳出電腦系統於3月12日遭到駭客攻擊而無法運作，到了15日，相關系統仍未恢復運作，導致民眾無法訂票、退票，只能到車站購買當日車票。</p> <p>對此，<a href="https://www.facebook.com/kingbustaiwan/posts/pfbid02YJdGV7bRsqDfH9i57NK24RviG757sD8mW3LeMxwgVzx9XvgRAiA3FtyVW77nxgbul">國光客運先是在12日於臉書發出公告</a>，表示機房系統臨時維護、更新，當日售票改以人工售票處理，後來向媒體透露預計於17日前完成修復。但截至3月17日下午6時30分為止，該公司網站仍未恢復運作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://googleprojectzero.blogspot.com/2023/03/multiple-internet-to-baseband-remote-rce.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星Exynos晶片出現重大RCE漏洞，波及三星、Google、Vivo手機</span></strong></a></p> <p>Google旗下的Project Zero團隊揭露三星獵戶座（Exynos）處理器18個零時差漏洞，這些漏洞是在2022年底至2023年初被發現，其中有4個是最為嚴重的漏洞，攻擊者只要得知目標手機的電話號碼，就可透過基頻（Baseband）訊號遠端執行任意程式碼（RCE），過程完全不需使用者互動。</p> <p>這些漏洞存在於三星Galaxy S22、M33、A71、A53、A33等多款型號的手機，還有Google Pixel 6、Pixel 7，以及Vivo X70、X60等手機，此外，採用Exynos W920晶片的穿戴式裝備、搭載Exynos Auto T5123晶片的車載系統都會曝險。</p> <p>研究人員指出，已有5個漏洞超過90天期限仍未修補，他們公布了相關資料，並呼籲在廠商提供相關更新程式之前，使用者應該考慮停用Wi-Fi通話和VoLTE來避免遭到攻擊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155985"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客LockBit宣稱竊得SpaceX產品設計藍圖，威脅馬斯克贖回</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155986"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">卡巴斯基提供勒索軟體Conti變種「MeowCorp」解密工具</span></span></strong></a></p> <p><a href="https://redacted.com/blog/bianlian-ransomware-gang-continues-to-evolve/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">沒有加密檔案的勒索！勒索軟體「變臉」改變索討贖金的策略</span></span></strong></a></p> <p><a href="https://latitudefs.zendesk.com/hc/en-au/articles/13777669694225-Latitude-Cyber-Incident-Update"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲金融業者Latitude遭到網路攻擊，用戶個資外洩</span></span></strong></a></p> <p><a href="https://therecord.media/wymondham-college-cyberattack-uk-boarding-school"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國大型寄宿學校Wymondham證實遭遇網路攻擊</span></span></strong></a></p> <p><a href="https://www.securityweek.com/mozilla-patches-high-severity-vulnerabilities-with-release-of-firefox-111/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 111，修補7個高風險漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155969">【3月16日】 AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</a></strong></p> </div></div></div>
2023/3/17 17:12作者周峻佑https://www.ithome.com.tw/news/155993
React新互動式學習文件網站上線，以Hooks為主軸、添加600沙盒範例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前端開發框架React開發團隊經過長時間的準備，終於<a href="https://react.dev/blog/2023/03/16/introducing-react-dev">釋出全新的文件網站react.dev</a>，新網站提供互動式教學，能夠透過函式元件和Hooks，向開發者介紹React概念與開發方法，新文件網站有豐富的圖表、插圖和挑戰，並提供600多個互動式範例。舊React文件網址則移往legacy.reactjs.org。</p> <p>React從第一版釋出以來已經接近十年，在開發技術推陳出新的現在，官方開玩笑表示，React相當於存在了一整個世紀。因此希望透過更新入門指南和文件網站，更好地凸顯React仍是當前創建使用者介面的好工具。</p> <p>官方製作全新的文件網站，是因為舊版本已經無法勝任教育新開發者的工作。React在2018年的時候加入了一個稱為Hooks的概念，這與之前React中的類別元件（Class Components）是兩種不同建構和管理元件的方法，Hooks以函式元件為基礎，而類別元件則是以類別為基礎，使用物件導向開發的方式建構元件。</p> <p>Hooks讓開發者使用更函數式的方式編寫元件，藉以提高可讀性和可維護性，程式碼更簡潔而且具有更好的重用邏輯，官方團隊推薦剛開始學習React或是建置新專案的開發者，可以直接使用Hooks。由於React Hooks在2018年才發布，因此官方在當時舊版文件中，以假設讀者已經熟悉類別元件的角度編寫內容，希望加速社群採用Hooks。</p> <p>但是經過一段時間的發展，顯然舊文件已經不適合現在的React新開發者閱讀，畢竟舊文件要開發者必須要學習React兩次，第一次先使用類別元件，之後才能學會Hooks，而新教學文件則是一開始就介紹React Hooks寫法。</p> <p>新教學文件更強調互動性，還更新許多經典的教程，以函式元件和Hooks概念重新編寫，開發者也可以在新文件網站中看到許多沙盒（下圖），沙盒包含了程式碼與程式碼執行結果，開發者可以任意更改程式碼驗證想法，並即時查看結果，改壞了也可以直接點選Reset重新來過。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201700%20-%20Introducing%20react_dev%20%E2%80%93%20React%20-%20react_dev.png" style="width: 580px; height: 592px;" /></p> <p>官方提到，新文件改進舊文件中內容錯誤，同時也發現了一些React中的錯誤，甚至是開發團隊正在解決的設計漏洞。整體來說，新文件的內容更正確，也更符合React發展現況，官方也收集了社群對文件的要求，並會在之後繼續更新。</p> </div></div></div>
2023/3/17 16:06作者李建興https://www.ithome.com.tw/news/155988
零售IT雙周報第14期：日本7-Eleven將線上便利商店服務擴大到12,000家門市，並試營運外送機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0305~0318)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線上便利商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店鋪衛星倉</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#庫存管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AMR</span></span></strong></p> <p><strong>日本7-Eleven自有外送服務7Now擴大營運到12,000家便利商店，近3,000 SKU與店內庫存數據即時同步，並試營運AMR送貨</strong></p> <p>日本7-Eleven開始試營運外送機器人。他們使用的AMR是由軟銀集團旗下機器人公司Asratec研發的機器人Rice，目前投入兩臺在7-Eleven日本本部大樓實驗，希望未來能投入商辦大樓及醫院。</p> <p>這個外送機器人背後的服務是<a href="https://www.ryutsuu.biz/ec/p030340.html">日本7-Eleven線上便利商店7Now</a>。7Now是延伸實體店面到線上的服務，因此沒有外送專門店，都是由員工揀貨，再交由外送員送貨。目前7Now與日本東京、札幌及廣島5,000家實體店鋪近3,000個品項的庫存即時同步。日本7-Eleven表示，預計2023年將擴大此服務營運範圍到12,000家店，2024則要擴及全日本所有店面。</p> <p>3季試營運中，日本7-Eleven會員於實體門市的平均購買商品數為3.4件、客單價為693日圓，在7Now購買商品數為9.9件，客單價為 2,366 日元。日本7-Eleven表示，到實體門市消費的顧客數並沒有減少，因此線上便利商店並不會分食實體門市業績，而是作為另一個通路，服務不同消費者需求。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AMR</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#外送機器人</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動路徑規畫</span></strong></span></p> <p><strong>7-Eleven與工研院聯手試營運外送機器人Cubot One，能自動調整路徑，還能自主搭電梯</strong></p> <p>臺灣7-Eleven無獨有偶的<a href="https://www.ithome.com.tw/news/155634">也在實驗外送機器人</a>。3月起，高雄軟體園區國城辦公大樓內，能看到工研院的自主移動機器人（AMR）提供7-Eleven外送服務。這臺名為Cubot One的AMR，不僅能於園區內三棟大樓內自主移動、閃避行人或障礙物、跨越地形障礙，還能自主呼叫及搭乘電梯，完成跨樓層配送。</p> <p>為使AMR機器人能夠自主導航，研發團隊先為A、B、C三棟大樓建立3D地圖，當收到訂單商品，即會自動規畫導航路徑。移動時，則會利用頂部和底部搭載的3D光達，及前方配備的景深攝影機來避開障礙物。機器人要搭乘電梯時，會先由後臺觀察電梯當下是否有人使用，待無人搭乘時，後臺就會接管電梯控制，並將電梯控制至Cubot One所在樓層，來垂直移動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cubone.jpg" style="width: 600px;" /></p> <p>消費者透過7-Eleven旗下外送平臺Foodomo訂餐，外送平臺會先向門市人員確認商品存庫情形來決定接單與否，再安排Cubot One前往門市取餐。AMR抵達指定地點後，再由外送平臺後臺撥打電話通知消費者，消費者可以手機末4碼開啟機器人倉門領取商品。</p> <p>目前工研院共打造3輛Cubot One，1輛於高雄軟體園區服務，另1輛在新竹進行測試，還有1輛先前在國外CES展示。統一超商表示，目前先觀察視營運情況，希望明年有機會擴大規模，正式營運。（<a href="http://www.ithome.com.tw/news/155634">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#瀏覽器環境</span></span></strong></p> <p><strong>日本護膚品牌Tatcha推出虛擬體驗商店，用瀏覽器環境呈現出流暢高品質體驗</strong></p> <p>日本護膚品牌Tatcha推出<a href="https://emperia.digital/Tatcha/ForestAwakening/1/index.htm">網頁版虛擬體驗商店</a>，與一般虛擬商店常見的小空間、簡易設計不同，這個虛擬商店以檜木森林的溫泉秘地為主題，搭配互動探索元素、音聲體驗，及森林、溫泉、涼亭、和式房屋等場景，且這些場景都有豐富的光影細節、素材解析度也相當高。Tatcha將商品陳列於這些場景中可能出現的地方，而不是單純擺設在虛擬貨架上，並加入了產品原料介紹，以及音樂介紹、養生建議等非商品相關資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tacha.jpg" style="width: 600px;" /></p> <p>除了元素豐富度，這個虛擬商店另一項值得注意之處是，儘管此商店在瀏覽器環境運行，但體驗接近Google Maps街景服務，較許多瀏覽器版虛擬商店順暢。此商店背後的技術來自英國3D設計技術商Emperia，過去也曾替服飾品牌Lacoste、奢侈品牌Dior等品牌打造虛擬商店。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方第三方兼營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多平臺商務</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SKU管理</span></span></strong></p> <p><strong>北美最大手工藝品零售商Michaels開放第三方商家在自家電商上架商品，SKU數翻3倍還能即時同步各商家庫存</strong></p> <p>北美最大手工藝品及家居零售商Michaels<a href="https://www.globenewswire.com/news-release/2023/02/27/2616056/0/en/Michaels-Expands-Online-Assortment-with-New-Third-Party-Marketplace.html">開放自家電商網站為第三方、第一方商家兼容的市集</a>，讓其他商家能上架商品。Michaels表示，網站上的商品品項已經從250,000翻了3倍，來到高達1,000,000 SKU數。這不僅說明Michaels作為上架平臺的熱門程度，也顯示出Michaels整合大量商家及商品的資訊能力。</p> <p>Michaels提供網路賣家透過Michaels官方網路入口、API串接及第三方整合商等3種上架管道。小型商家可以透過網路入口簡單上架商品、較大規模的商家則能直接將自家電商或ERP、WMS系統直接串接到Michaels市集上，或者是串接Michaels到ChannelAdvisor等其它第三方商務整合平臺，把Michaels市集視為管理平臺上其中一個通路來管理。Michaels還提到，會提供商家多種工具來管理商家在市集上的業務，不過並未提供進一步說明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/micas.jpg" style="width: 600px;" /></p> <blockquote><p>從介面中可以看到，Michaels市集上顯示了第三方商家的即時庫存及物流方案等資訊。</p> </blockquote> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#貨架管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#倉儲管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong></p> <p><strong>美國大型零售商BJ;s批發俱樂部將在全美200多家店使用貨架管理機器人</strong></p> <p>美國大型零售商BJ's批發俱樂部在全美200家以上的分店中，<a href="https://www.businesswire.com/news/home/20230314005481/en/BJ%E2%80%99s-Wholesale-Club-Partners-with-Simbe-to-Transform-Club-Operations-through-Cutting-Edge-Technology">全面投入貨架管理機器人</a>。BJ's店面平均面積有3,000坪以上，因此將省去許多貨架追蹤的人力。有了一天多次的電子化紀錄，也讓BJ’s更容易管理及後續利用貨架狀態紀錄。</p> <p>這個名為Tally的機器人會在店面中巡邏，利用電腦視覺技術來記錄貨架上的商品位置、數量及標價情形，並即時回傳到後臺，來通知工作人員補貨或調整貨架商品安排。這些紀錄檔還能用於分析，來優化商品補貨、陳列方式等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#倉儲管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#庫存盤點</span></span></strong></p> <p><strong>Ikea在7國商店中投入100架倉處管理無人機，來盤點棧板上貨物的庫存</strong></p> <p><a href="https://www.ingka.com/news/one-hundred-drones-now-used-across-ikea-retail-for-stock-inventory/">大型家居零售商Ikea在歐洲7國商店中投入100臺盤點用無人機</a>，於非營業時間盤點飛越店面及倉儲空間，盤點每個棧板上的存貨。Ikea表示，此無人機結合其他自動化倉儲管理工具，像是揀貨機器人，有利於他們發展店面為線上線下零售訂單履行中心。</p> <p>除了無人機，近日也有海洋生物在Ikea店面中飛行。Ikea採用Meta Spark AR技術，於全瑞典店面中推出了AR體驗。此AR體驗是一個Instagram濾鏡，讓顧客看到各式海洋生物在店面中游泳，並介紹海洋生物及海洋汙染等知識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ikeawp.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. 7-Eleven的會員App能直接使用Google Pay，成為亞洲第一家會員App串聯國際支付工具的大型零售業者。</p> <p>2. Amazon在暫停無人生鮮超市Amazon Fresh擴店計畫後，又要收掉8家無人便利商店Amazon Go。</p> <p>3. <a href="https://www.austinfc.com/news/austin-fc-adds-just-walk-out-technology-to-q2-stadium">奧斯汀足球俱樂部球場採用Amazon Just Walk Out無人收銀系統，是全世界第一個採用此技術的足球球場。</a></p> <p>4. Meta在下架Facebook直播購物功能後，也<a href="https://www.facebook.com/help/instagram/1189600611393606?helpref=faq_content">下架了Instagram直播購物功能</a>。</p> <p>資料來源：iThome整理，2022年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Warping Reality、統一超商、Astratec、Michaels</p> </div></div></div>
2023/3/17 16:59作者郭又華https://www.ithome.com.tw/news/155992
Google Project Zero在三星Exynos晶片上發現18個零時差漏洞，波及三星、Vivo與Google手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Project Zero團隊本周指出，他們去年底與今年初在三星所生產的多款Exynos數據機上發現了18個零時差漏洞，當中4個最嚴重的漏洞將允許網路至基頻的遠端程式攻擊，且這18個漏洞影響了三星、Vivo及Google的眾多手機，亦波及採用Exynos W920晶片組的穿戴裝置及使用Exynos Auto T5123的汽車。</p> <p>根據Project Zero團隊的測試，這4個嚴重漏洞允許駭客自遠端危害使用者手機，駭客只需得知手機號碼就能展開攻擊，而且完全不需使用者互動，即使只進行有限的研發，該團隊亦相信老練的駭客將可輕易打造攻擊程式，自遠端悄悄危害手機，而不被使用者察覺。</p> <p>在4個嚴重漏洞中，目前僅有<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-24033" target="_blank">CVE-2023-24033</a>被賦予編號，含有該漏洞的多款晶片無法妥善檢查對話描述協定（Session Description Protocol，SDP）模組的格式類型，而可能導致服務阻斷。</p> <p>在其它較不嚴重的14個安全漏洞中，則有5個已被賦予漏洞編號，它們分別是CVE-2023-26072、CVE-2023-26073、CVE-2023-26074、CVE-2023-26075與CVE-2023-26076，這14個漏洞必須具備額外的條件才能被利用，例如要有惡意的行動營運商，或者是駭客必須實際存取裝置。</p> <p>上述18個安全漏洞波及數十款Exynos晶片，進行影響使用它們的裝置，涵蓋三星的Galaxy S22、M33、M13、M12、A71、A53、A33、A21、A13、A12與A04等手機，Vivo的S16、S15、S6、X70、X60與X30手機，Google的Pixel 6與Pixel 7，以及使用Exynos W920穿戴裝置，或是採用Exynos Auto T5123 的任何汽車等。</p> <p><a href="https://source.android.com/docs/security/bulletin/pixel/2023-03-01?hl=zh-tw" target="_blank">Google已在本周展開的3月安全更新中修補了Pixel手機的CVE-2023-24033漏洞</a>，由於各家業者修補漏洞的時間點不同，使得Project Zero資深安全工程經理Tim Willis建議，擁有相關裝置的使用者可於設定中暫時關閉Wi-Fi通話（Wi-Fi calling）及Voice-over-LTE（VoLTE）功能，以避免遭到攻擊。</p> <p>依照Google的漏洞揭露政策，這4個嚴重漏洞皆已超過90天的揭露期限，只是有鑑於揭露它們帶給駭客的好處可能多過於防禦方，使得Project Zero團隊決定延後揭露相關漏洞。</p> <p>而另外的14個漏洞中，上述5個具備編號的漏洞則已超過揭露期限，並已被Google及<a href="https://semiconductor.samsung.com/support/quality-support/product-security-updates/" target="_blank">三星</a>公開，其它的漏洞則會在到達揭露期限之際公諸於眾。</p> </div></div></div>
2023/3/17 15:45作者陳曉莉https://www.ithome.com.tw/news/155989
Google停售Google Glass智慧眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/glass-enterprise/customer/answer/13417888" target="_blank">Google本周宣布</a>，停售Google Glass企業版，而且也只會支援現有產品到今年9月中。</p> <p>Google從本周三（3/15）起終止銷售Glass企業版，並只會支援到今年9月15日。在此之後，Google不會再更新軟體，預建在眼鏡中的Meet on Glass也不會再獲得支援，可能隨時就停止運作。一旦產品硬體損壞，9月中之後Google不會再提供更換，用戶只得自行聯絡代理或經銷商，請求代為申請。</p> <p>此外，Google表示，眼鏡上的App大多是第三方廠商提供及維護的，Google只提供系統映像檔，這些系統映像檔9月15日之後也不會再更新。不過用戶還是可從<a href="https://developers.google.com/glass-enterprise/downloads/system-images" target="_blank">系統映像檔網頁</a>及經由無線（OTA）更新下載這些檔案一段時日，Google說，最少到維持到2024年4月1日。</p> <p>這也意謂Google智慧眼鏡將暫時步下舞臺。Google是在2013年針對開發人員及少數消費者銷售售價1,500美元的第一代Google Glass。不過由於造型怪異，訂價過高，加上支援的應用程式不多，這個智慧眼鏡無法吸引到具經濟規模的用戶，連帶影響開發商的意願。</p> <p>Google還是做了些努力，包括2014年和全球最大眼鏡集團Luxottica打造具時尚感的Google Glass，<a href="https://www.ithome.com.tw/news/130771" target="_blank">第二代Google智慧眼鏡</a>調整定位為企業用途，鎖定運輸、製造、維修現場等專業人士，價格也調降為1,000美元。但是智慧眼鏡高單價、應用效果有限，始終無法吸引夠多企業採用。</p> <p>不過Google Glass面臨的問題也同樣考驗其他智慧眼鏡業者，包括微軟。微軟的HoloLens具備擴增實境（Augmented Reality）功能，價格更高達3,000美元。HoloLens已推出第二代。不過去年傳出美國陸軍測試HoloLens出現效果不佳並引發身體不適，還遭到國會砍預算。業界謠傳微軟可能不會推出第三代，但微軟否認這個說法。</p> </div></div></div>
2023/3/17 15:57作者林妍溱https://www.ithome.com.tw/news/155990
卡巴斯基提供勒索軟體Conti解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商卡巴斯基（Kaspersky）近日<a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-releases-tool-for-decrypting-conti-based-ransomware" target="_blank">針對近年大為流行的勒索軟體Conti提供解密工具</a>。</p> <p>這家防毒軟體業者最近把Conti加入其<a href="https://noransom.kaspersky.com/en/?tool=conti" target="_blank">免費勒索軟體解密工具Rakhni Decryptor</a>防護的名單中。</p> <p>卡巴斯基研究人員表示，他們取得一個俄羅斯犯罪組織流出的資料，這批外流的資料包含258個私有金鑰、原始碼及一些解密工具，使其團隊得以製作完整解密工具。所有私有金鑰及程式碼都已加入最新版的Rakhni Decryptor中。</p> <p>這項工具除了Conti外，還可以解密包括Rakhni、TeslaCrypt（version 3及4）、Dharma、Cryakl、Egregor等20餘個勒索軟體。</p> <p>Conti是前幾年十分猖狂的勒索軟體，其組織成員主要來自俄羅斯、烏克蘭及其他東歐國家。去年俄烏戰事爆發，Conti表明會支持俄羅斯政府，之後遭一名安全研究人員公布其程式碼及內部基礎架構，以及駭客通訊紀錄，隨後美國政府也懸賞通緝。Conti去年5月<a href="https://www.ithome.com.tw/news/151058" target="_blank">被發現已關閉</a>，不過其成員仍然持續活躍，去年5月<a href="https://www.ithome.com.tw/news/151268" target="_blank">感染中美洲的哥斯大黎加多個政府系統及網站</a>，12月安全廠商還發現Conti變種。</p> </div></div></div>
2023/3/17 14:26作者林妍溱https://www.ithome.com.tw/news/155986
繼美國、歐盟與加拿大之後，英國政府也禁用TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/tiktok-banned-on-uk-government-devices-as-part-of-wider-app-review" target="_blank">英國內閣辦公室（Cabinet Office）周四（3/16）宣布</a>，將禁止境內政府機構所使用的公務裝置安裝TikTok，跟上<a href="https://www.ithome.com.tw/news/154929" target="_blank">美國</a>、<a href="https://www.ithome.com.tw/news/155700" target="_blank">歐盟</a>與<a href="https://www.canada.ca/en/treasury-board-secretariat/news/2023/02/statement-by-minister-fortier-announcing-a-ban-on-the-use-of-tiktok-on-government-mobile-devices.html" target="_blank">加拿大</a>的腳步。</p> <p>該辦公室指出，TikTok要求使用者賦予權限，以讓該程式得以存取儲存於裝置上的資料，使該公司能夠蒐集與儲存資料，相關的權限將讓TikTok存取裝置上的各式資料，從通訊錄、使用者內容到地理資料等。</p> <p>英國國務大臣Lancaster Oliver Dowden表示，政府機密資訊的安全必須置放於首位，於是決定於政府裝置上封鎖TikTok，且限制TikTok的使用是來自英國資安專家的建議。</p> <p>目前英國政府內部的TikTok使用有限，且政府員工於工作裝置上對TikTok的需求亦有限，意味著相關禁令將不會對當地公務員帶來太多衝擊。</p> <p>此外，該禁令並未擴及政府員工的私人裝置，也未影響英國的一般民眾。</p> <p>美國國會在去年的12月中旬通過了《No TikTok on Government Devices Act》，將禁止美國的任何公務裝置下載或使用TikTok，美國總統拜登（Joe Biden）則在12月29日簽署了該法令。</p> <p>目前TikTok執行長周受資仍積極與美國進行協商，根據《華爾街日報》（The Wall Street Journal）的報導，拜登要求TikTok母公司字節跳動出售TikTok的股權，否則就要在美國封殺TikTok。</p> <p>然而，周受資向<a href="https://www.wsj.com/articles/tiktok-ceos-message-to-washington-a-sale-wont-solve-security-concerns-94a8606?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>表示，讓字節跳動出脫TikTok的持股，並不會比TikTok先前的提議更有保障。當初TikTok已承諾要聘請甲骨文來存放TikTok美國用戶的所有資料，同時確保美國用戶所觀看的影片不會受到來自中國的任何影響。</p> </div></div></div>
2023/3/17 11:12作者陳曉莉https://www.ithome.com.tw/news/155982
微軟公布加入ChatGPT的Office工具Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在媒體及業界猜測許久之後，<a href="https://blogs.microsoft.com/blog/2023/03/16/introducing-microsoft-365-copilot-your-copilot-for-work/" target="_blank">微軟昨（16）日公布整合在Office應用的ChatGPT AI工具Copilot</a>，幫助使用者更快製作出文件、簡報、分析或電子郵件。</p> <p>Copilot是以最新的GPT-4為基礎，它和其他眾多工具出現在Microsoft 365應用如Word、PowerPoint及Outlook等的側邊欄供使用者啟用。如同ChatGPT一樣，使用者可以以文字或口頭在聊天介面輸入想要做的事，指示Copilot完成基本作業，再由其修正、編輯或強化。</p> <p>微軟執行長Satya Nadella指出，Copilot可提供使用者更多助力，並透過統一的自然語言介面讓科技變得更平易近人。</p> <p>微軟強調，Copilot不只是將OpenAI的聊天機器人ChatGPT整合到Office或Microsoft 365工具中，它背後有一個繁複的處理和協同過程，是將大型語言模型（large language model，LLM）如GPT-4整合到Microsoft 365及跨服務存取資料網路Microsoft Graph中的企業資料，將用戶的文字變成生產力工具。</p> <p>微軟表示，Copilot可為使用者產生Word文件草稿、在PowerPoint中可製作圖文並茂的簡報，並從使用者近期或更早以前撰寫的文件擷取資料。在Excel中用戶可叫Copilot製作樞紐表。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-Microsoft%20365%20Copilot%20with%20Outlook-960.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-Microsoft%20365%20Copilot%20with%20Powerpoint(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-Microsoft%20365%20Copilot%20with%20Excel%20(3).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>而在Outlook，Copilot不但能從一長串信件中做出摘要幫用戶起草信件，還能清理收件匣。在Teams視訊會議時，它可以將會議內容總結摘要，還能產生字幕，並在會議中提供行動事項建議。在流程平臺Power Platform中，用戶可以叫這AI工具完成重覆性業務、開發聊天機器人，或輸入描述文字，由其開發出簡單的App。透過結合Microsoft Graph微軟宣稱，Copilot可搜尋企業內所有業務資料和支援多種App以便幫助使用者更快搜尋到想要的答案。</p> <p>微軟表示，Copilot之所以能自動化完成Word、Excel、PowerPoint等應用任務，原因在於它支援Microsoft 365數千種指令，包括「為簡報製作動畫」、「插入表格」等，而未來還會持續增加。</p> <p>除了整合Office/Microsoft 365，<a href="https://news.microsoft.com/zh-tw/dynamics-365-copilot/" target="_blank">微軟上周也宣布整合微軟ERP、CRM商務應用的Dynamics 365 Copilot</a>，以AI支援用戶使用多項功能，包括業務模組Dynamics 365 Sales/ Viva Sales、客服模組Dynamics 365 Customer Service、行銷模組Customer Insights、Dynamics 365 Marketing，以及業務分析模組Customer Insights、供應鏈管理模組Supply Chain Management、Supply Chain Center以及電商管理模組Business Central。</p> <p>此外微軟上周也正式將ChatGPT整合到雲端服務Azure OpenAI服務項目中。</p> <p>微軟最新宣布也宣告Google和微軟在生成性AI的競爭進入白熱化。<a href="https://www.ithome.com.tw/news/155933" target="_blank">Google 2天前正式公布整合生成性AI的雲端生產力應用Workspace</a>。兩家軟體巨人也分別將ChatGPT和Google Bard整合到搜尋引擎。目前微軟的進度更快一些；媒體發現，本周起Edge用戶已經可以直接使用Bing Chat，不再需加入等候清單。</p> </div></div></div>
2023/3/17 11:36作者林妍溱https://www.ithome.com.tw/news/155983
生成式AI應用加速大廠競爭
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1月初刊出的<a href="https://www.ithome.com.tw/article/155042" target="_blank">《展望2023》</a>封面故事中，我們的醫療IT主編王若樸即以「<a href="https://www.ithome.com.tw/news/155031" target="_blank">生成式AI應用大爆發，從企業商用走入更多個人端工具</a>」為題，點出這股新浪潮，沒想到2月OpenAI實驗室推出的ChatGPT風靡全球，所有人都在討論、測試、體驗生成式AI帶來的各種應用，也因為其影響力越來越大，為了幫助大家了解這項議題，我們這兩期陸續製作《<a href="https://www.ithome.com.tw/article/155858" target="_blank">ChatGPT能與不能</a>》，以及《<a href="https://www.ithome.com.tw/article/155981" target="_blank">企業如何上手ChatGPT</a>》。</p> <p>以投資OpenAI、被視為這一波AI最大受益者的微軟，2月初推出以ChatGPT強化的新版Bing搜尋引擎、Edge瀏覽器，開放大眾試用。而身為在雲端服務、AI、軟體領域技術創新能力的Google，也在這段期間展示他們發展的實驗型對話AI服務Bard，背後採用的大型語言模型是基於他們開發的LaMDA模型。以短短一個月後的現在來看，這一輪兩家大廠的發表，微軟可說是大獲全勝，佔盡全球所有媒體的版面，而且，不論是各領域專家或一般個人，都在社群媒體發表他們與ChatGPT互動的心得，各種廠商也爭相沾光，希望能夠分食這塊市場大餅。</p> <p>而在3月中，Google宣布他們針對辦公室文書處理應用、軟體開發領域下手，釋出他們的生成式AI功能。就辦公室應用而言，Google Workspace系列服務裡面目前已導入部分AI功能，像是Gmail的智慧撰寫、Google Docs的自動產生摘要，而他們在3月中這次的發布中，提到將提供全新的生成式AI功能。</p> <p>舉例來說，在上述兩種服務中，使用者可輸入想撰寫的主題，系統就能馬上產生AI擬定的草稿。根據Google公布的操作過程動畫圖片，我們在本文編輯區會看到標示為「Help Me Write」的小功能區塊，只需在裡面輸入需要AI建立的內容主題，例如「寫一份招募區域銷售員的公告」（英文），按下建立（Create）按鈕後，AI會產生徵才公告範本，按下置入（Insert）按鈕後，會將這些內容貼入本文，我們再進行修改，例如，填入公司名稱。</p> <p>而在Google Workspace的YouTube頻道中，他們也公布一支特色簡介影片，呈現更多生成式AI輔助製作文件。以Gmail而言，這裡展示在多封電子郵件來回溝通之後的最底部，AI會產生一份對話摘要，若要簡單回覆自己正在進行的意見，並以更禮貌、親切的方式表達時，這裡也提供類似上述「Help Me Write」的AI命令列，我們可以輸入「I’m on it」，AI會產生兩段內容表達目前狀態，讓你能夠輕鬆、快速完成回信，而不會被對方認為自己很粗魯、懶於回信。</p> <p>若想要將這些透過電子郵件互動的過程寫成一份簡介報告，Google Workspace也可以透過AI產生文件，如果想要讓特定段落的內容變得靈活、多一些趣味變化，可自行輸入口語詞彙來要求AI調整敘事風格、加入彩色圖像化符號。</p> <p>在製作活動簡報時，使用者可在Google Slides網頁介面右側要求AI產生多種圖片，方便搭配；透過Google Meet進行線上視訊會議時，可協助所有與會者產生一份速記，當中可顯示會中大家談論到的工作事項與下一步目標；製作與顧客連絡接觸的表格資料時，使用者可在Google Sheets的儲存格中，輸入活動訊息，之後，只需要以滑鼠對這一欄的儲存格按住、拖曳、下拉，即可針對表格中列出的所有顧客，快速而簡易地產生不同的招呼與促銷訊息。</p> <p>若要在智慧型手機上，對整個團隊寫一封感謝信，Gmail的行動App的信件編寫介面，也提供「Help Me Write」的AI命令列，我們可在此輸入要AI產生感謝整個團隊的信件草稿，之後可選擇不同風格以調整行文語氣。</p> <p>以軟體開發而言，Google這次也特別針對需要試驗AI技術的開發人員需求，推出PaLM API，希望提供簡易、安全的方式，使開發者在Google發展的語言模型上，進行應用程式的組建，同時，Google也將提供一套名為MakerSuite的工具，可透過直覺方式協助開發者快速建構原形概念，未來將會增設提示工程（prompt engineering）、合成資料產生（synthetic data generation），以及自定模型調校（custom-model tuning）等功能特色。</p> <p>在如此大動作回應之後，相信微軟與其他雲端、軟體大廠勢必要跟進，廣泛在各種領域結合、搭配、運用生成式AI，今年將有更多種應用進入我們的工作與生活。</p> <p class="rtecenter"><span style="font-size:18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);">相關報導 </span></span></strong></span><span style="color: rgb(255, 255, 255);"><strong> </strong></span><span style="font-size: 20px; color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/155981" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1121-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=Gb2Zc5-F" style="width: 550px;" /></a></p> <p class="rteright"><span style="color: rgb(255, 255, 255);"><strong><a href="https://www.ithome.com.tw/article/155858" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1120-feng_mian_gu_shi_-p1_open-960x420_gong_zuo_qu_yu_1-v2.jpg?itok=icMzhzQI" style="width: 550px;" /></a></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2023/3/17 11:48作者李宗翰https://www.ithome.com.tw/voice/155984
LockBit駭客宣稱駭得SpaceX產品設計藍圖，威脅馬斯克贖回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體LockBit背後的駭客組織宣稱，經由駭入航太業者SpaceX的供應商，取得SpaceX產品設計藍圖，並威脅馬斯克贖回，否則將出售他人。</p> <p><a href="https://mobile.twitter.com/AlvieriD/status/1635376556003713026" target="_blank">安全研究人員Dominic Alvieri發現</a>，LockBit駭客在地下網路論壇張貼訊息，表示他們從SpaceX的供應商Maximum Industries竊得3,000份SpaceX的產品設計圖，要求SpaceX要在3月20日前出手贖回，否則將賣給其他人。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-LockBit-ransomware-SpaceX-image%20by%20Dominic%20Alvieri.png" style="width: 249px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://mobile.twitter.com/AlvieriD/status/1635376556003713026" target="_blank"><span style="color:#696969;">Dominic Alvieri</span></a></span></p> <p>Maximum Industries是位於德州的金屬銑削、CNC加工的外包商。LockBit駭客顯然是向Maximum Industries勒索得不到回應，轉而公開兜售，並藉此羞辱這家外包商。</p> <p>駭客表示，相信這批資料很快就會找到買家，他們同時張貼了一段給SpaceX執行長馬斯克（Elon Musk）訊息，說可以幫忙他把設計圖出售給其他製造商，以更快打造出太空船。</p> <p><a href="https://www.theregister.com/2023/03/13/lockbit_spacex_ransomware/" target="_blank">駭客聲稱</a>手上有3,000份SpaceX的設計圖，不過尚無法證實其說法。目前馬斯克及Maximum Industries皆未回應此事。</p> <p>LockBit近年相當活躍，LockBit 2.0版是去年上半年為害最多的勒索軟體之一。去年下半還陸續感染國防安全技術供應商<a href="https://www.ithome.com.tw/news/154000" target="_blank">Thales</a>、日本科技業者<a href="https://www.ithome.com.tw/news/153685" target="_blank">大宮化成</a>、銷售馬牌輪胎知名的汽車零件大廠<a href="https://www.ithome.com.tw/news/154053" target="_blank">大陸集團</a>。臺灣的鴻海及<a href="https://www.ithome.com.tw/news/155693" target="_blank">飛宏科技</a>也都曾身受其害。</p> </div></div></div>
2023/3/17 12:03作者林妍溱https://www.ithome.com.tw/news/155985
【不只解圖還能看手繪草圖生成對應網頁程式碼】多模態的新版GPT-4來了，同時輸入圖文是新特色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在付費API服務釋出剛滿2周，OpenAI就大動作發表了多模態的GPT-4模型，最大變革是可以同時輸入文字和圖片。OpenAI共同創辦人Greg Brockman在直播中展示，拍攝他在筆記本上手繪的設計草圖輸入GPT-4後，GPT-4能自動生成對應網頁的程式碼，不只畫面幾乎和手繪草圖一樣，還能產生按鈕和對應的事件觸發JavaScript程式，他強調，這會大大改變網站設計模式。</p> <p>GPT-4目前先開放ChatGPT付費用戶試用，也在OpenAI API支援模型中，開放限定對象選用。已經有少數企業或組織開始試用，例如全球最大財富管理公司摩根士丹利財管，冰島政府，Stripe支付平臺、可汗學院、Duolingo語言學習平臺、Be My Eyes視障者輔助App等，而2月發表的微軟新版Bing用的模型也是GPT-4新版。</p> <p><span style="font-size:28px;"><strong>可輸入圖文，回答正確率超過3.5</strong></span></p> <p>GPT-4最大特色是不只文字對話還能輸入圖片，讓AI來解讀，而且解答能力和正確率大幅超越了GPT-3.5，也更能控制GPT輸出人設來符合企業想要的的形象，輸入Token數量也將大幅增加到32,768個，相當於50頁文字。目前先開放了文字輸入API功能，ChatGPT Plus付費用戶可優先排入試用新版。圖片輸入功能目前則只開放給特定合作夥伴。</p> <p>GPT-4是一個多模態AI超大模型，可接受圖片和文字輸入，來生成文字的回覆，可以提供人類等級的回答內容。根據OpenAI實測，在全美統一律師資格考檢定上，3.5只能拿到倒數10%的名次，但GPT-4卻能拿到前10%的高分。或像是在SAT數學測驗或GRE測驗等三十多項不同學科的主流檢定測驗上，GPT-4都大勝3.5版。</p> <p>Open AI花了6個月時間，利用ChatGPT和其他多項對抗式測試計畫來調整，終於打造出答案更真實、更可操控和更能防範濫用的新一代GPT-4。</p> <p>雖然GPT-4和3.5版的訓練資料同樣都只使用到2021年9月為止的開放網路資料，但是4.0版模型在多項傳統機器學習能力評比上，都超越了3.5版，在多項模型評比上都達到SOTA等級。尤其在14,000題的多選題測試MMLU（理解力）評比上，OpenAI宣稱，GPT-4英文答題的正確率達到80.5%，高於3.5版的70.1%，甚至也高於Google日前的PaLM模型英文答題的69.3%正確率，不過，PaLM答題正確率是OpenAI自行實測的結果，而非Google官方數據。值得注意的是，GPT-4對翻譯成中文版的MMLU答題正確率也達到了80.1%，日語和韓語版也都有70～80％的正確率。</p> <p>除了答題能力更正確之外，第4版最大特色是能看圖，而且可以同時輸入指定圖片和圖片，GPT-4會以文字來解釋圖片內容，並且符合文字任務的要求。輸入的圖片可以是照片、圖表或螢幕解圖。未來，GPT-4還將持續強化解圖能力，例如可以輸入多組圖片範例，或是提供分解動作解釋的解圖（chain-of-thought）能力。</p> <p>不過目前圖片輸入功能還處於研究者預覽版本，沒有對外開放，OpenAI也沒有透露開放時程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961%E5%B1%95%E7%A4%BA1%E8%A7%A3%E9%87%8B%E5%9C%96%E7%89%87.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> GPT-4展示1：摘要圖片重點 </span></span><span style="color:#3399ff;"> </span><span style="color:#696969;">可以從多張圖組合的畫面中，一一介紹每一張圖各自的重點和特色，如上面3張不同角度的VGA連接線圖片中提供產品說明。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／OpenAI</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%B1%95%E7%A4%BA2%E5%88%86%E6%9E%90%E5%9C%96%E8%A1%A8.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> GPT-4展示2：</span></span></strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">解讀圖表趨勢 </span></strong></span><span style="color:#3399ff;"><strong> </strong></span><strong style="color: rgb(105, 105, 105);">可以輸入圖表讓GPT-4解讀每張圖表中呈現的數據趨勢變化，甚至可以進一步比較不同項目之間的數據差異。</strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%B1%95%E7%A4%BA3%E7%9C%8B%E5%9C%96%E7%AD%94%E9%A1%8C.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> GPT-4展示3：</span></span></strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">看圖分解動作答題 </span></strong></span><span style="color:#3399ff;"><strong> </strong></span><strong style="color: rgb(105, 105, 105);">可以看圖來回答試卷紙上的考題，不只給出正確答案，而且可以分解動作，說明如何一步步從圖中資訊來解答問題。</strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p><span style="font-size:28px;"><strong>可操控性強，能指定GPT-4扮演的角色來限定人設</strong></span></p> <p>另一個值得注意的新版特色是GPT-4的可操控性（Steerability），可以透過輸入的提示或微調模型，來指定GPT-4的角色人設，例如回答的用語、風格、語調等條件，以便限制GPT-4的回覆行為。例如在OpenAI API中使用System角色參數，來要求GPT-4扮演不能直接回答答案的數學課輔老師，在OpenAI釋出的展示範例中可以看到，不管學生怎麼問，甚至輸入特殊提示指令試圖越獄，也都無法得到直接的答案。這個新功能可用來限制和控制GPT-4所能回答的限制，可供企業用來設定想要GPT-4回答的內容範圍，或者禁止回答的內容。</p> <p>為了防範AI模型遭到濫用，OpenAI在GPT-4模型中也特別針對AI濫用或不當使用進行強化，根據OpenAI公布的實測數據，gpt-3.5-turbo對敏感指令（例如違反倫理的指令）的攔截失誤率超過40%，但GPT-4降到20％出頭，等於5次會誤判一次，或不良行為指令的阻擋失誤率更不到5%（如犯罪行為教學等）。</p> <p>還有一個企業用戶最在乎的新功能是，GPT-4大幅放寬了輸入Token的上限，最大放寬到32K，比GPT-3.5的4k上限，多了8倍，達到32,768個Token之多。以每千次中文約700個Token來估算，32k的Token等於可以輸入超過2萬字中文的內容。</p> <p>不過，目前開放的GPT-4版本只提供8K版本，也就是比原本3.5多了一倍，達到8,192個Token，32K版引擎目前先開放特定對象試用。不過，目前GPT-4效能只達到每分鐘處理40K個Token或每分鐘200次呼叫的能力，OpenAI正在持續優化中，改善後才會擴大開放API試用的用戶規模。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155981" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/155981" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1121-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=Gb2Zc5-F" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/3/17 10:46作者王宏仁https://www.ithome.com.tw/news/155980
企業如何上手ChatGPT
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1121-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=Gb2Zc5-F" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在3月1日正式跨入企業應用市場，釋出ChatGPT背後GPT-3.5版的付費API服務，微軟Azure也跟進，提供更企業需求等級的OpenAI服務，吸引了不少大型企業的青睞。3月中，新一代GPT-4模型問世，不只文字，還能輸入圖片，帶來了生成式AI更多種企業應用的可能</p> </div></div></div>
2023/3/17 10:50未署名https://www.ithome.com.tw/article/155981
企業擁抱ChatGPT技術要知道的10個QA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月1日，OpenAI正式跨入企業應用市場，釋出了ChatGPT背後GPT-3.5版模型的付費API服務，也跨進了更多企業對話式應用情境，從搜尋、問答、客服、導覽到語音操控等。</p> <p>不到2周，新一代GPT-4模型問世，不只文字，還能輸入圖片，帶來了生成式AI更多種應用的可能，不只是回答問題，還可以解釋圖片、看圖答題，或是分析圖表趨勢，甚至，只要輸入一張手繪的網站設計草圖，GPT-4就能自動生成對應網頁的程式碼。不只國外企業，臺灣金融業、製造業、政府和教育機構都躍躍欲試，想要開始採用ChatGPT背後的超大語言模型技術。</p> <p>不過，企業擁抱GPT的考量，和個人使用截然不同，我們整理了10個企業擁抱ChatGPT技術要先知道的10個QA。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-OpenAI%E6%9C%8D%E5%8B%99%E7%8B%80%E6%85%8B.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">OpenAI的付費API沒有提出服務可用性的保證，根據其服務狀態儀表板來看，API可用性約98~99％，每個月會中斷30～40分鐘。這是企業採用前要留意的事。</span></strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：GPT、ChatGPT、OpenAI和Azure OpenAI有何不同？</strong></span></span></p> <p><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> A </span></strong></span></span> <strong>這是上手ChatGPT技術前要先釐清的四個名詞，ChatGPT應用是爆紅的AI對話服務，背後所用的生成式AI模型就是GPT模型的3.5版本，而開發出ChatGPT應用的公司就是OpenAI，他們也在3月1日釋出了OpenAI的API服務，其中就包括了ChatGPT模型的API。而微軟則是將OpenAI的技術部署到Azure上來提供，也就是Azure OpenAI服務。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：OpenAI和Azure提供的ChatGPT技術API有什麼不同？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>在技術上，凡是OpenAI公司提供API功能或模型，微軟承諾會盡快跟進在自家Azure OpenAI服務上提供。兩者主要不同是，OpenAI公司的API傾向於研發、研究使用為主，而微軟則比照原本Azure公雲的服務等級，提供了更多資安強化（例如VLAN傳輸）、服務可用性承諾（例如99.9%的的SLA）、企業合規要求、顧客資料保護承諾、隱私機制、AI倫理機制等。另外，企業則可自助申請快速啟用OpenAI的付費API服務，但Azure OpenAI目前則採審查申請制，需等待一段時間審查才能開通。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：企業可以使用哪些OpenAI生成式模型？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>OpenAI目前可以提供最新多模態的GPT-4（限定測試版）以及ChatGPT所用的GPT-3.5版模型，以及GPT-3模型，另外還提供了圖片生成式模型DALL·E （測試版）、語音轉文字的Whisper模型（測試版）、程式碼生成模型Codex（限定測試版）、過濾敏感資料的微調模型Moderation，還有一個適合用於企業內部運用的Embeddings模型API。不過，這些模型都是公版的基礎模型（base-model），企業若希望模型能更佳客製化，需要進行模型微調（Finetune）或是輸入提示（Prompt）來引導。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：提示和微調有什麼不同？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>ChatGPT可以輸入提示文字（prompt）來引導ChatGPT產生的內容，越來越符合使用者預期的需求，同樣也可以用於OpenAI的API，甚至出現了「AI提示工程師」（Prompt Engineer）或者更詩意的「AI詠唱者」說法，只要提問的問題問得好，就越能得到更貼切的答案。</strong></p> <p><strong>但是，輸入提示給基礎模型，不會改變基礎模型本身的權重。因此，每一次都要重新輸入提示文字才能得到想要的答案。若要建立客製化的模型，企業得改用微調（Finetune）的方式，輸入一批自己的資料，來調教OpenAI提供的基礎模型，產生自己的客製化模型。不過，目前OpenAI還沒有開放GPT-3.5和GPT-4的微調，只能透過提示工程來進行客製化。另外，微調也不是重新訓練整套GPT模型，而是針對使用者提供的少量數據來改變部分參數的權重（或者可以說是加上一個屬性模型），讓模型輸出的結果更符合使用者的期待，因此，微調模型不需要龐大訓練資料，也不需要像重新訓練那樣費時及龐大成本。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：為何要計算Token? 一次最多上傳多少字？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>當輸入一段文字到API後，OpenAI會抽取這段文字中的詞或概念（類似斷詞），將文字轉換成一個個Token。以中文字來說，平均一千個中文字約有600～700個Token不等，但還要看文字內容而定。OpneAI的API上傳限制就是按照Token數量來計算，例如 GPT-3.5模型的上限是4K個Token，而GPT-4則增加了四倍，最大到32K個（不過，目前只開放特定用戶）。Token也是OpenAI API的計價單位，以對話用的gpt-3.5-turbo的API來說，每千個Token要價0.002美元，而最新的GPT-4的32K引擎版本則每千個Token要價0.12美元，後者貴了60倍。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：什麼是Embeddings模型？有什麼用途？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>不同於GPT-4或GPT-3.5是生成媲美人話的文字來回覆使用者，Embeddings模型是將輸入的文字轉換成一個浮點數值的嵌入向量（Embeddings Vector），當兩段文字的向量距離越近（可透過向量計算得到），就代表了這兩段文字的關聯性越高。可以用於搜尋（比對一段話在一篇文章中的位置，或從一批文章找出最相關者）、分類用途（將相關性高的文章分成同一群）、尋找關鍵字（找出中一篇文章最相關的幾個關鍵詞）等。摩根士丹利財管公司就是利用Embeddings功能來搜尋和整理龐大知識資產。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：企業能不能下載模型到本地端部署？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>不能，不論是OpenAI或Azure都沒有提供GPT-3.5或GPT-4的本地端部署，企業只能將資料上傳到雲端API。透過微調產生的客製化模型，也只能儲存在雲端，透過API呼叫來使用，無法下載部署。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：OpenAI將資料儲存在哪？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>目前全都儲存在Azure美國機房，微軟的Azure OpenAI服務也是。所以，對臺灣企業而言，等於是境外服務。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：企業上傳的資料會不會變成訓練資料？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>企業上傳到OpenAI的資料可分為兩類，一類是每次輸入的提示文字或問題，另一類是用來微調模型的數據。OpenAI承諾從3月1日後不會用這些提示文字資料來訓練（代表之前會），不過，企業可選擇願意授權給他們用於訓練。對於第二類，OpenAI保證只會用於顧客自己模型的微調，不做他用。微軟則比照Azure政策，不會私自使用顧客上傳的資料也不會賣給第三方。不過，不論是OpenAI或微軟，對於輸入的第一類提示文字則會保留30天，以供敏感資料的真人審查之用。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：為何需要真人審查？企業能不能拒絕？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>GPT-4目前只能過濾8成敏感內容（不當指令攔截可超過95%但並非100%），而gpt-3.5-turbo甚至不到6成，因此，OpenAI在特定情況下會由少數獲得授權的真人來審查有疑慮的內容，微軟Auzre OpenAI服務也是如此，不過，微軟也提供企業可以專案申請免除真人審查。</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%9C%9F%E4%BA%BA%E5%AF%A9%E6%9F%A5%E6%B5%81%E7%A8%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></strong></p> <p><strong><span style="color:#696969;">不論是OpenAI或微軟，對於企業輸入的提示文字會保留30天，以供敏感資料的真人審查之用。不過，微軟開放企業專案申請免除真人審查。</span></strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2023/3/17 09:52作者王宏仁https://www.ithome.com.tw/news/155973
【微軟專家剖析企業採用關鍵考量】Azure OpenAI導入前得先知道這4件事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI推出ChatGPT API的一周後，微軟即在自家Azure OpenAI服務推出企業級ChatGPT 模型的API。Azure OpenAI原本已經有DALL-E、GPT-3、Codex等大型生成式AI模型API的存取選項。微軟大中華區Azure BG資深市場策略經理陳婉瑜表示，自Azure OpenAI開放申請使用的一個多月以來，不僅受到多國企業關注，也有臺灣企業看到生成式應用價值。國外企業申請以遊戲業和零售業最為熱烈，臺灣則是製造、金融、政府、教育等產業的企業或機構較多。</p> <p>陳婉瑜表示：「OpenAI的服務傾向研究和實驗使用，Azure OpenAI則注重商業上的可用性。」企業用戶在應用ChatGPT等生成式AI時，必須比一般使用者謹慎，因此Azure的OpenAI服務，雖然技術與OpenAI服務基本相同，但設計了更多瞄準企業需求的機制。</p> <p><span style="font-size:28px;"><strong>重點1：企業應了解OpenAI的服務可用性及運算資源限制是否符合需求</strong></span></p> <p>根據OpenAI服務狀態網頁，網頁版ChatGPT和ChatGPT API的每個月的服務可用時間都在98%至99%間浮動。雖然對於個人級別的使用場景而言，1個月中有只有14個小時不能使用ChatGPT並不會造成太大困擾，但對企業來說，若服務中斷於流量高峰期等關鍵時刻，就可能帶來巨大損失。</p> <p>OpenAI沒有對ChatGPT的服務可用性作出任何承諾，因此企業難以衡量服務中斷的風險。微軟Azure OpenAI則提供了服務水準協議（Service Level Agreement, SLA），保證提供99.9%服務可用性，這也適用於ChatGPT模型的API。換句話說，平均1個月最多只會有40分鐘的服務中斷時間。有了SLA，企業更容易評估服務中斷的風險，也能根據SLA來設計對應的失效安全措施。不只如此，服務可用時間高達99.9%，代表企業將ChatGPT等AI模型應用到更多系統時，服務中斷的風險相比只有98%到99%可用性的OpenAI服務低上不少。這也有利於企業維運與顧客觀感有關或要求高度可用性的系統。</p> <p>除了可用性外，運算資源也是企業必須考量到的一大重點。根據Azure OpenAI官網，目前微軟版ChatGPT給企業用戶的預設運算上限是每個模型每分鐘接受300份請求、120,000個Token，每個資料中心區域（Region）能動用的基礎架構資源（Resource）上限為2份。也就是說，1個企業用戶每分鐘最多能送出600份請求、240,000個Token。當然，若企業要提升使用量，也能專案申請加價購買。不過這也意味著，企業應用ChatGPT及Azure OpenAI上其他模型時，須考量應用場景和規模，以免造成請求量過載，或成本超出預期。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%88%E8%8F%AF-%E5%BE%AE%E8%BB%9F-%E5%9C%962.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">Azure OpenAI版的ChatGPT介面。與OpenAI推出的ChatGPT API一樣，使用者可以調整Temperature、Top Probabilities、最長Tokens長度等參數，來控制ChatGPT輸出回覆的傾向。</span></strong></p> <p><span style="font-size:28px;"><strong>重點2：企業應了解如何防範不當內容及控管資料存取權限</strong></span></p> <p>在開始應用ChatGPT等生成式AI前，企業必須先客製化AI模型，將企業內部資料或業務邏輯輸入AI模型。企業客製化AI模型時，一種常用方法是微調（Fine tune）。台灣微軟技術架構師黃耀逸解釋，微調的原理是改變回覆字句的權重，讓AI有更高機率回答出貼近企業需求的答案。不過，自ChatGPT問世以來，網路上已經流傳著許多案例，證明讓AI做出不恰當或不雅的回覆，是相當容易的事。</p> <p>因此，黃耀逸建議，在微調模型時，不只要將希望AI回答的字句訓練進去，還要同時規範AI不應回答的內容，也就是將不當字句的回覆權重調低。同時，微軟的Azure OpenAI服務也內建內容過濾器，排除情色、暴力、歧視、仇恨言論等內容。</p> <p>企業另一項常見需求是，為了符合不同角色工作需求或保護企業高敏感度資料，必須依照身分來區分AI對使用者輸出的內容，例如基層員工不能從AI問出企業高層才有權限取得的營業資料。因此，企業不論是將生成式AI整合到對外溝通工具，還是用於營業數據分析、知識管理等內部用途，都有必要控管回覆內容。</p> <p>黃耀逸說，Azure OpenAI可以整合企業既有Azure AD身分管理服務服務，來辨認詢問者身分。企業可以先設定不同內容過濾器，甚至微調出不同版本的模型，例如一個基層員工模型、一個高層主管模型，再要求Azure OpenAI依照詢問者身份，根據權限來過濾特定問答，或切換到對應的模型。</p> <p><span style="font-size:28px;"><strong>重點3：企業應了解OpenAI問答內容有可能經過人工審查</strong></span></p> <p>OpenAI版的ChatGPT會保留問答內容30天，以便在需要時，人工審查不當內容。儘管OpenAI強調，不會將這些資料用來訓練自家模型，但對企業來說，既然資料會在自己無法控管的環境中保留，還有可能遭真人存取，難免會擔心敏感資料外洩。</p> <p>微軟版ChatGPT則多了一些彈性。陳婉瑜表示，原則上微軟也會保留問答資料30天，若自動內容過濾機制難以判斷內容是否合乎規範，就會調出資料來人工審查。不過，考量到有些企業對於資料保護的需求，微軟接受企業申請免除審查，以降低資料外洩風險。目前申請通過的情況依個案情況而定，沒有明文規定豁免審查的細項條件。</p> <p>資料傳輸方法上，Azure OpenAI服務可以透過私有網路VLAN傳輸資料，企業還能以自有私鑰來加密傳輸過程，安全性較高。相較之下，企業使用OpenAI服務時，是透過一般網際網路的加密協定來上傳資料，因此傳輸過程的安全性較低。</p> <p><span style="font-size:28px;"><strong>重點4：Azure策略是快速跟進OpenAI主要模型重大更新</strong></span></p> <p>陳婉瑜表示，未來微軟與OpenAI的模型更新會盡量同步。若OpenAI的主要模型有重大更新，Azure OpenAI也會盡快跟進。舉例來說，OpenAI 3月1日發布了使用GPT-3.5-Turbo模型的ChatGPT API，微軟同月8日就跟上了。她並強調，考量到企業用戶對穩定性的需求更高，微軟只會跟進重大版本更新，重大版本間的小型更新則不一定會跟上。</p> <p>陳婉瑜補充，雖然新模型發布時間較OpenAI晚，但Azure OpenAI服務會和Azure許多服務高度整合，是OpenAI版較難做到的，例如和Azure虛擬網路運行環境VNet中的各式服務整合，或是結合Azure AD，來控管使用者的問答權限。</p> </div></div></div>
2023/3/17 10:06作者郭又華https://www.ithome.com.tw/news/155974
深度學習函式庫PyTorch 2.0正式發布，帶來高效能Transformer API與模型編譯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PyTorch基金會如去年底所公開的資訊，現在<a href="https://pytorch.org/blog/pytorch-2.0-release/">正式發表PyTorch 2.0</a>，增加了一個主要版本號，代表著功能有著巨大變化，這個版本的重要更新包括加入穩定版Accelerated Transformers，以及新的編譯器torch.compile Beta測試版，並且改進PyTorch在GPU和CPU上的推理和訓練效能。</p> <p>開發團隊在PyTorch 2.0增加新的PyTorch Transformer API，這個全新的Accelerated Transformers高效能實作版本，讓開發者能夠以更低的成本訓練和部署先進Transformer模型。Accelerated Transformers的前身稱作Better Transformer，藉由使用自定義的核心架構，在訓練和推理中使用SPDA（Scaled Dot Product Attention）自注意力方法，以獲得更好的效能。</p> <p>過去Better Transformer應用Fastpath方法，Fastpath是深度神經網路的剪裁策略，透過剪去不必要的連接和神經元，減少模型複雜度，以達到壓縮神經網路大小與提高推理速度的目的，而SPDA則是自注意力機制的注意力計算方法，SPDA會計算序列中每個元素和其他元素之間的注意力分配權重，減少權重低的運算來降少整體運算量，而且因為計算方法的優勢，SPDA不只高效計算精度也更高。</p> <p>這項改進讓PyTorch 2.0開發者可以明顯看到運算效能提升，也能夠支援諸如使用Cross-Attention的模型、Transformer Decoders等更多種用例。針對不同的模型和Transformer使用案例，PyTorch 2.0支援不同的SDPA自定義核心，使得不同模型和硬體都能應用高效能核心。</p> <p>PyTorch 2.0的另一個更新重頭戲便是torch.compile，這是PyTorch 2.0的主要API，能夠打包用戶的模型並且回傳經過編譯的模型。torch.compile完全向後相容，底層採用TorchDynamo、AOTAutograd、PrimTorch和TorchInductor四大重要技術，在163個開源模型中，torch.compile能夠成功執行其中93％，在float32資料類型下，torch.compile可使模型執行速度提升20％，而且在自動混合精度技術（AMP），這種組合不同精度的資料類型提高運算效率的方法，torch.compile還可讓模型速度提高36％。</p> <p>整體來說，torch.compile是一種高效能編譯器，不只可正常執行大多數的開源模型，還可以明顯提升模型在不同精度下的執行速度。</p> <p>另外，Apple高效能圖形運算函式庫Metal Performance Shaders（MPS）後端也增加PyTorch在Mac平臺的支援，新加入60個常用操作，總支援操作數增加至300個。AWS搭載自家晶片Graviton3的C7g執行個體，也最佳化了PyTorch的CPU推理，與之前的版本相比，PyTorch 2.0在Graviton的推理效能更好，包括Resnet50和Bert模型都受益。</p> </div></div></div>
2023/3/16 17:00作者李建興https://www.ithome.com.tw/news/155968
AWS更新自家Linux發行版發布Amazon Linux 2023
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在釋出<a href="https://aws.amazon.com/tw/blogs/aws/amazon-linux-2023-a-cloud-optimized-linux-distribution-with-long-term-support/">Amazon Linux 2023</a>，這是第三代Amazon Linux發行版，同時支援x86_64和Arm兩種機器架構，並且各分為標準與小型兩種版本，總共有四個Amazon Linux 2023 AMI。小型AMI僅包含可用於啟動作業系統的基本工具和公用程式，而標準版則包含了常用的應用程式和工具。</p> <p>官方提到，Amazon Linux 2023針對雲端設計且提供長期支援，具有高安全性、生命周期可預測性和體驗一致性三項優點。Amazon Linux 2023包含預配置安全政策，使用戶可以簡單地實施通用產業準則，在啟動和執行時就可簡單配置這些政策。</p> <p>另外，用戶還能夠簡單規畫Amazon Linux 2023作業系統生命周期，AWS每兩年會推出一個新的Amazon Linux主要版本，主要版本擁有新功能，並且改進整個堆疊安全性和效能，改進包含核心、工具鏈、GLib C、OpenSSL與其他函式庫等。</p> <p>每個主要版本都有5年的長期支援，並分為前兩年與後三年兩階段。在前兩年每三個月官方會發布一次更新，包括安全性和錯誤修復，以及新功能和軟體套件，因此也會有最新的語言Runtime，還有Ansible、Docker等其他熱門的軟體套件，除了季度更新之外，安全更新則會在可用時立刻發布。經過前兩年更新後，後三年會進入維護期，AWS提供安全漏洞和錯誤修復。</p> <p>而Amazon Linux的版本化儲存庫，提供了用戶確定性更新，這種更新機制鎖定特定版本的Amazon Linux套件儲存庫，使用戶可以控制更新的方式和時間，與Amazon Linux 2不同的是，Amazon Linux 2023使用套件管理器dnf，其預設行為不會像是Amazon Linux 2中的yum一樣，dnf更新命令並不會更新用戶安裝的套件。</p> <p>官方提到，這種機制能夠確保用戶整個機隊使用相同的軟體套件版本，因此所有使用AMI啟動的EC2執行個體，都會使用相同版本的套件。確定性更新也能夠確保基礎設施不可變，當用戶需要更新時，便能夠更新基礎設施即程式碼腳本，重新部署新的基礎設施，或是將dnf指向新的套件儲存庫，也能夠直接更新Amazon Linux 2023發行版本。</p> <p>AWS在2021年底的時候，發布消息表示Amazon Linux 2022將會使用Fedora作為上游發行版，這次在發布Amazon Linux 2023時，AWS便特別提到Fedora，表示新版本使用包括來自Fedora 34、35和36版本的套件，部分與Fedora中的相同另有部分經過修改，還有一些與CentOS Stream 9的元件類似，並也有獨立開發的套件。Amazon Linux核心則來自於kernel.org，獨立於Fedora的核心。</p> </div></div></div>
2023/3/17 08:11作者李建興https://www.ithome.com.tw/news/155970
Docker要Free Team層級使用者一個月內付費不然凍結帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Docker向之前Free Team組織用戶，透過電子郵件通知舊的免費訂閱層即將終止，信中表示Free Team組織訂閱層級包含許多付費Docker Team訂閱層級的功能，因此要求舊版Free Team組織必須要在4月14日前暫停存取私有儲存庫等付費功能，並且升級到付費訂閱層級。</p> <p>官方在信中還提到，如果用戶不升級訂閱，Docker將會在30天後刪除該帳戶資料。雖然在這段期間用戶仍可以存取公開映像檔，但是卻會受到存取速度限制。</p> <p>有不少開源專案正採用Free Team組織訂閱層級，因此一旦Docker刪除這些專案的帳戶資料，將會破壞開源專案的持續整合工作管線。不只<a href="https://github.com/mamba-org/micromamba-docker/issues/276">Micromamba專案映像檔維護者Will Holtz反應這個問題</a>，<a href="https://github.com/docker/hub-feedback/issues/2314">Dokku專案維護者Jose Diaz-Gonzalez也對該信件內容感到困惑</a>，因為Dokku僅將Docker Hub用於Dokku專案相關的映像檔，Dokku專案專案並未使用私有儲存庫，且信中也未提供轉換至付費帳號的途徑。</p> <p>Docker資訊不明的信件，讓不少開源專案維護者無所適從，<a href="https://github.com/docker/hub-feedback/issues/2314#issuecomment-1468574145">Docker產品團隊的工程師Yavor Georgiev則出來回應</a>，Docker的DSOS（Docker-Sponsored Open Source）計畫服務開源專案，因此開源專案將不受Free Team方案終止的影響，正在申請DSOS計畫的開源專案，帳戶和資料也不會遭到停用或是刪除，至少會給組織30天的轉移時間。另外，Yavor Georgiev也強調，即便組織被停用和刪除，命名空間也不會釋出，因此組織無需搶用之前的命名空間。</p> <p>但顯然Docker也尚未完全確定該項政策的執行方式，因為Yavor Georgiev希望社群可以繼續對該項計畫提供回饋，他們會根據社群的意見調整之後的作法。而且Docker目前也沒有回答，當Free Team層級的專案最後沒有升級為付費專案，也沒有通過DSOS申請，那公開儲存庫中的資料是否將會真的被刪除。</p> </div></div></div>
2023/3/17 08:15作者李建興https://www.ithome.com.tw/news/155971
微軟正式發布VS Code多語言筆記本擴充套件Polyglot Notebooks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式推出可用於VS Code的多語言筆記本擴充套件<a href="https://devblogs.microsoft.com/dotnet/announcing-polyglot-notebooks-harness-the-power-of-multilanguage-notebooks-in-visual-studio-code/">Polyglot Notebooks</a>，所使用的引擎為.NET Interactive，目前支援包括C#、F#、PowerShell、JavaScript和SQL等多種程式語言，讓資料科學家能夠簡單執行跨語言任務，像是使用SQL查詢SQL Server資料庫，並將表格結果共享至JavaScript和HTML，創建互動視覺化。</p> <p>Notebooks是一種方便使用的互動式程式開發工具，可用於執行程式碼、視覺化資料、執行方程式，或是編寫純文字，Notebooks的特性是讓使用者能以增量的和分段的方式，執行單元格內的程式。</p> <p>最有名的Notebooks來自Jupyter專案，多數人會結合Python和Jupyter Notebooks一起使用，快速迭代程式碼，以創建具有文字和資料視覺化的內容，也可成為學習程式語言，或快速製作概念原型的工具。而微軟所開發的Polyglot Notebooks，則進一步擴展Notebooks的優點，過去開發者要在Notebooks上使用多種語言非常麻煩，難以使用一般IDE語法突出顯示和自動完成等功能。</p> <p>Polyglot Notebooks擴充套件使用由.NET技術，所開發的.NET Interactive引擎，由於該引擎可充當筆記本中不同程式語言的核心，因此使Polyglot Notebooks能夠順暢以多種語言進行開發，像是連接SQL Server資料庫和Kusto叢集，並使用SQL或是KQL編寫和執行查詢。</p> <p>開發者可在同一個筆記本中使用多種語言，並獲得良好的開發體驗，也不需要在使用多種語言時，於不同的工具間切換，當以一種語言完成工作時，開發者便可以將需要的變數共享給另一種語言，繼續在同一個檔案中進行開發。</p> </div></div></div>
2023/3/17 08:21作者李建興https://www.ithome.com.tw/news/155972
【資安日報】3月16日，AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假借提供破解軟體，並透過YouTube影片告訴觀眾如何下載相關檔案的名義，藉此散布惡意軟體的情況時有所聞，但最近這種類型的攻擊行動出現新的變化──駭客利用AI產生有人現身說法、透露如何操作的影片，一改過往錄下電腦桌面環境的操作影片的做法。這麼做的目的，就是透過「有人」現身說法，來拉近與觀眾之間的距離，進而讓他們卸下心防。</p> <p>除了上述的散布手法，惡意軟體的威脅態勢也值得我們留意──有雲端服務業者根據DNS流量分析，發現殭屍網路病毒Emotet東山再起，還有NAS惡意軟體QSnatch也藉此大肆發動攻擊，流量竟在2022年超越其他的惡意程式。</p> <p>不只是惡意軟體攻擊的態勢出現變化，挖礦攻擊也有新的招式，駭客疑似嘗試挖掘另一種名為Dero的數位貨幣，使得資金流量有可能變得更難追蹤。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cloudsek.com/blog/threat-actors-abuse-ai-generated-youtube-videos-to-spread-stealer-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AI產生的YouTube影片被用於散布竊密軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/640ea5cc12bf3283d48c4a39_jXh9O9oSD-JUG02Hi0UZo08vtrs_UbCodxkgoKc2S1iiQp8qo9knEdRiCQi5cXj9lXpH9jWbTheFTVg9bJiAnivPtyaY62Jb4OYmAH6oGk2-zDER2digXn7oNZ-gPnEEDCORIarKOiVsbwA79x1Kl1A.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/640ea5cc12bf3283d48c4a39_jXh9O9oSD-JUG02Hi0UZo08vtrs_UbCodxkgoKc2S1iiQp8qo9knEdRiCQi5cXj9lXpH9jWbTheFTVg9bJiAnivPtyaY62Jb4OYmAH6oGk2-zDER2digXn7oNZ-gPnEEDCORIarKOiVsbwA79x1Kl1A.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK揭露自2022年11月升溫的惡意軟體攻擊行動，駭客在YouTube上傳AI產生的影片，聲稱提供破解版Photoshop、Premiere Pro、Autodesk 3ds Max、AutoCAD等商業軟體，目的是要散布Raccoon、RedLine、Vidar等竊資軟體（Info Stealer），一旦使用者依照指示下載破解版應用程式，就有可能受害。</p> <p>研究人員指出，這類影片的數量，以每個月200%至300%的幅度成長，其中有部分是挾持熱門YouTube帳號來進行，目的是要在短時間觸及大量觀眾。特別的是，為了取信觀眾，駭客利用Synthesia、D-ID等AI影片產生平臺製作的情況有所增加。</p> <p><a href="https://www.akamai.com/blog/security/a-deep-dive-on-malicious-dns-traffic"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet再度死灰復燃、QSnatch攻擊在2022躍居首位</span></strong></a></p> <p>雲端服務業者Akamai針對每天7兆次DNS請求進行分析，對於殭屍網路病毒Emotet、NAS惡意程式QSnatch的攻擊態勢提出警告。他們指出在2022年7月至12月消聲匿跡的Emotet，近期有捲土重來的跡象──去年底出現大規模的攻擊行動。</p> <p>另一個值得留意的部分，在於QSnatch橫行的現象──研究人員在企業網路與C2網域連線的受害裝置裡，發現有36%與此惡意程式有關，其次則是Emotet（22%）。</p> <p><a href="https://www.crowdstrike.com/blog/crowdstrike-discovers-first-ever-dero-cryptojacking-campaign-targeting-kubernetes/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kubernetes叢集被用於挖礦，但駭客更換挖掘的數位貨幣為Dero</span></strong></a></p> <p>資安業者CrowdStrike揭露鎖定Kubernetes的挖礦攻擊行動，研究人員從今年2月，發現有3臺位於美國的伺服器遭到攻擊，但與大部分挖礦攻擊最為不同之處，在於駭客將這些伺服器用來挖取名為Dero的加密貨幣。</p> <p>研究人員指出，相較於相關攻擊常見的門羅幣（Monero），Dero的交易更為隱蔽，而且挖取此種加密貨幣的利潤較高，攻擊者將原本挖取門羅幣的工具加以改造，控制Kubernetes叢集的API，挖取這類數位貨幣。</p> <p><a href="https://www.mdsec.co.uk/2023/03/exploiting-cve-2023-23397-microsoft-outlook-elevation-of-privilege-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Outlook零時差漏洞的概念性驗證手法，說明極為容易用於攻擊</span></strong></a></p> <p>針對微軟在3月份例行更新（Patch Tuesday）修補的零時差漏洞CVE-2023-23397，資安業者MDSec公布概念性驗證（PoC）攻擊手法，研究人員根據微軟提供的指令碼進行解析，結果發現一旦攻擊者濫用PidLidReminderFileParameter、PidLidReminderOverride等參數，就有可能藉由帶有行事曆資訊（.MSG）的特製電子郵件，觸發漏洞並將收信人的NTLM雜湊資料轉送到特定伺服器，攻擊者再將相關資料用於NTLM中繼攻擊。</p> <p>研究人員指出，不只是行事曆，工作排程、便箋等功能都有可能被用於觸發上述漏洞。他們也透過影片，展示概念性驗證攻擊。</p> <p><a href="https://blog.eclecticiq.com/dark-pink-apt-group-strikes-government-entities-in-south-asian-countries"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南亞政府機關遭到駭客組織Dark Pink鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/KamiKakaBot-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/KamiKakaBot-1.png" style="width: 300px; float: right;" /></a>資安業者EclecticIQ揭露駭客組織Dark Pink的攻擊行動，駭客自2023年2月，利用名為KamiKakaBot的惡意軟體，鎖定東南亞國協（ASEAN）的成員國政府機關。</p> <p>駭客先是透過電子郵件夾帶ISO映像檔，此檔內含可執行檔Winword.exe、DLL程式庫MSVCR100.dll，以及嵌入KamiKakaBot的Word文件檔案。一旦收信人依照指示開啟Word檔案，攻擊者就會透過前述的DLL程式庫檔案側載KamiKakaBot，然後將其載入Winword.exe的處理程序，並在記憶體內執行。</p> <p>此惡意程式的功能在於，從瀏覽器竊取相關資料，然後使用命令提示字元遠端執行程式碼。最終，此惡意程式將竊得的資料打包成ZIP檔案，傳送給Telegram即時通訊機器人程式。研究人員指出，相較於1月發現的攻擊行動，KamiKakaBot的混淆手法較為複雜，更能迴避防毒軟體的偵測。</p> <p><a href="http://www.ic3.gov/Media/PDF/AnnualReport/2022_IC3Report.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">860個關鍵基礎設施在2022年遭到勒索軟體攻擊</span></strong></a></p> <p>美國聯邦調查局（FBI）在2022年，總共獲報2,385起勒索軟體攻擊事件，累計損失至少3,430萬美元。其中，有870件是針對關鍵基礎設施（CI）而來，數量最多的是醫療照護產業，有210起，其次是製造業的157起、政府機關的115起。</p> <p>而發動攻擊的勒索軟體家族，令人不意外最多的是LockBit，有149起，其次是BlackCat（Alphv）的114起、Hive也有87起。FBI指出，駭客入侵的手段包含了發動釣魚郵件攻擊、利用遠端桌面連線（RDP）相關工具，但利用軟體漏洞是駭客最常使用的方法。</p> <p><a href="https://www.checkpoint.com/press-releases/check-point-software-releases-its-2023-security-report-highlighting-rise-in-cyberattacks-and-disruptive-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年網路攻擊增加近4成，教育、研究單位是首要目標</span></strong></a></p> <p>資安業者Check Point針對2022年的資安態勢提出看法，他們發現網路攻擊的數量較前一年增加38%，每個組織平均一週遭遇1,168次攻擊，當中受害最為嚴重的是教育與研究機構，但值得留意的是，鎖定醫療機構而來的攻擊行動成長了74%。</p> <p>研究人員認為，2023年的資安威脅發展，有3個面向相當值得關注，分別是國家級駭客與一般駭客的界線更加模糊、勒索軟體攻擊更加著重於資料破壞或是外洩，以及鎖定雲端服務業者的供應鏈攻擊大幅成長。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.kali.org/blog/kali-linux-2023-1-release/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kali Linux發布10週年版本，著眼防禦安全領域</span></strong></a></p> <p>滲透測試工具Kali Linux於3月15日發布2023.1版，首度提供了名為Kali Purple的版本，強調針對藍隊或紫隊提供相關工具，可供相關人員學習、進行SOC分析、尋找威脅、從設計及測試實行安全控制、紅藍紫隊演練等。此版本具備開箱即用的SOC工具、超過100種的防禦工具、自動化攻擊指令碼產生器Kali Autopilot等。其中，防禦工具包含了全封包截取及分析軟體Arkime、網路加解密瑞士刀CyberChef、SIEM系統Elastic Security、弱點掃描工具GVM等。</p> <p>此外，開發團隊也針對行動裝置版Kali NetHunter，對於執行3種較新版作業系統的手機提供支援，包含了執行OneUI 5.0桌面環境的三星Galaxy S20 FE、搭載LineageOS 20作業系統的Motorola X4，以及執行LineageOS 18.1的LG V20。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-adobe-coldfusion-bug-exploited-as-a-zero-day/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA警告Adobe ColdFusion零時差漏洞已出現攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-selling-data-allegedly-stolen-in-us-marshals-service-hack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國法警局資料流入駭客論壇</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/healthcare-provider-ils-warns-42-million-people-of-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療照護業者ILS疑420萬人資料外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-claims-essendant-attack-company-says-network-outage-/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">文具用品批發商Essendant營運中斷傳出是遭到勒索軟體攻擊，但遭到否認</span></span></strong></a></p> <p><a href="https://gizmodo.com/amazon-ring-ransomware-gang-claims-hack-1850223835"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Amazon旗下的居家安全業者Ring傳出遭勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155951"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣個資外洩頻傳，消基會提個資修法三大建議</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月13日】資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</a></strong></p> </div></div></div>
2023/3/16 16:46作者周峻佑https://www.ithome.com.tw/news/155969
利用矽谷銀行事件的網釣與詐騙如雨後春筍般地湧現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>任何重大新聞事件都會惹來駭客的覬覦，不管是<a href="https://www.ithome.com.tw/news/155930" target="_blank">ChatGPT</a>或者是<a href="https://www.ithome.com.tw/news/155909" target="_blank">上周發生擠兌的矽谷銀行</a>（Silicon Valley Bank，SVB），<a href="https://isc.sans.edu/diary/Incoming+Silicon+Valley+Bank+Related+Scams/29630/" target="_blank">SANS網路風暴中心</a>（SANS Internet Storm Center）與<a href="https://blog.cyble.com/2023/03/14/svb-collapse-triggers-heightened-cybersecurity-concerns/" target="_blank">資安業者Cyble</a>明顯看到以SVB相關字眼註冊的網域名稱數量大增，另有駭客假冒為穩定幣USDC發行商Circle，企圖危害使用者的加密貨幣錢包。</p> <p>駭客大量註冊SVB相關網站是為了利用它們來展開網釣攻擊。根據SANS網路風暴中心的統計，原本平日僅有不到10筆使用SVB文字的相關註冊，但在SVB關閉（3/10）的隔天，單日註冊量即超過20筆，3月12日更達到50筆。</p> <p>這些新的網域名稱都是用來誘騙SVB關係人，或許是合作夥伴、投資人或存款人，SVB的官網網址為svb.com，各方駭客則註冊了login-svb、svbclaim、svbdebt、svb-usdc或svbank。駭客利用這些以假亂真的網址來進行商業電子郵件詐騙，寄送郵件要求SVB存款人變更帳戶資訊。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2023/03/Figure-5-%E2%80%93-Suspicious-site-claiming-to-pay-cash-on-claim-verification.png?resize=1024%2C563&ssl=1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Cyble</span></span></p> <p>因應SVB事件出現的網釣網站不僅假冒為SVB，也偽裝成USDC發行商Circle。</p> <p>USDC用戶遭到駭客鎖定的主要原因，為其發行商Circle存放了33億美元的USDC現金儲備於SVB，使得SVB的擠兌事件一度造成USDC與美元脫鉤，也讓USDC用戶急著贖回，<a href="https://www.circle.com/blog/an-update-on-usdc-and-silicon-valley-bank" target="_blank">一直到Circle宣布</a>，將在SVB於3月13日重新開張時，開放用戶以1:1贖回美元。隨後Circle也已安全地將所有現金儲備移轉至其它銀行。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2023/03/Figure-3-%E2%80%93-Crypto-Phishing-scam-impersonating-Circle.png?resize=1024%2C529&ssl=1" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Cyble</span></p> <p>近來加密貨幣市場的動盪再加上SVB的危機更讓駭客趨之若鶩，於是有<a href="https://twitter.com/threatinsight/status/1635448977209585666/photo/1" target="_blank">使用者開始收到謊稱來自Circle的電子郵件</a>，使用偽裝的Circle網域名稱，例如circle-reserves、redeemed-circle或svb-circle等，宣稱符合資格的用戶只要以加密貨幣錢包掃描QR Code就能免費獲得空投的USDC，然而，結果很可能是個資或加密貨幣遭竊。</p> <p>使用者除了應對可疑郵件具備高度警覺之外，要執行重大資訊變更或展開重要行動之前，最好可以藉由諸如電話等曾經建立的通訊管道與對方聯繫，而非僅透過電子郵件完成。</p> </div></div></div>
2023/3/16 16:23作者陳曉莉https://www.ithome.com.tw/news/155967
Cloud周報第169期：Google把生成式AI帶進Workspace，不只能整理Gmail郵件做摘要，還能自動潤稿…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（03/09～03/16）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Workspace </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Workspace將內建生成式AI，從Gmail和Google文件先推提供寫作輔助</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(8).png" style="width: 600px; height: 372px;" /></p> <p>日前，Google大動作推出5,400億參數PaLM模型打造的生成式AI開發工具，更宣布旗下雲端生產力應用Workspace將開始內建生成式AI功能，先從Gmail和Google開始提供寫作輔助，例如初稿撰寫或自動潤稿等。</p> <p>透過這個生成式AI功能，Workspace用戶只要在Gmail和Google文件中，輸入想要撰寫的主題，就能透過生成式AI自動生成對應該主題的內容，還可以使用它來幫忙把Gmail中與同事或其他客戶往返郵件做重點整理和摘要，再以此基礎來改寫信件或是請生成式AI依據提示來修改信件，再回信給所有人。</p> <p>使用Google文件寫作時，除了提供協作、校對、撰寫和重新編輯等，使用者也能提出想要的文體風格和調性，讓它重新編寫內容，生成出符合該風格的文章。甚至不只Gmail和Google文件，未來也能在Google簡報中利用生成式AI自動生成圖像、音訊和影片，或是在Google 試算表中自動分類或計算公式等。不過目前這項功能先開放給特定測試者試用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端CRM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce雲端CRM服務將開始內建整合OpenAI的生成式AI功能</span></strong></p> <p>雲端CRM巨頭Salesforce推出可用於雲端CRM的生成式AI功能Einstein GPT，可以根據企業CRM數據自動生成行銷內容、或安排會議與客戶互動，以及回覆顧客的提問等。因為整合了OpenAI，Einstein GPT也具有和ChatGPT相同的生成式對答能力，但是專用於CRM。</p> <p>Einstein GPT被Salesforce視為是Einstein AI下一代技術，目前在CRM平臺Customer 360中使用Einstein執行AI預測每天超過2千億次，但Salesforce認為Einstein GPT未來運用層面更廣也更多，像是在銷售上，就能透過Einstein GPT自動產出銷售任務，幫助銷售人員撰寫郵件發送給客戶，還能安排會議或準備下一次與客戶互動。由於整合了ChatGPT，也能把銷售人員與客戶在Slack 中的對話內容做成摘要並提供分析洞察，增加更多銷售機會。</p> <p>除了銷售能用，Einstein GPT還能根據雲端CRM系統中的數據，產生出能適合不同客群的行銷或廣告文案，方便行銷人員用於行銷活動吸引更多顧客，或是作為智慧客服回覆各種疑難提問，提高客戶滿意度。</p> <p>Einstein GPT結合企業版ChatGPT技術與Salesforce自己的AI模型，來提供相關且可信的AI生成內容。借助Einstein GPT，CRM用戶可以將該數據連接到OpenAI的生成式AI模型，或使用自己模型並直接在Salesforce CRM中以自然語言提示來生成所需內容。不過Einstein GPT目前先提供特定使用者進行封閉測試。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">MongoDB資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud與MongoDB擴大聯手，要讓BigQuery與開源資料庫數據互通更容易</span></strong></p> <p>最近，Google Cloud與開源NoSQL資料庫MongoDB共同宣布將擴大結盟，讓GCP雲端服務與MongoDB產品更緊密整合，不只在銷售團隊和產品發布上將有多合作，還預告將有10多個相關更新即將推出。</p> <p>在這次更新中，雙方合作首要重點就是強化BigQuery與MongoDB整合功能，新功能將使開發者更容易把串流資料從BigQuery傳送到MongoDB資料庫中做進一步處理，加快應用開發。</p> <p>在AI/ML方面，雙方也有進一步合作，未來MongoDB用戶可以更容易使用GCP的AI/ML功能來處理資料庫中的數據，進行模型開發，還將整合Google全託管機器學習平臺Vertex AI。同時也加強MongoDB在數據主權支援能力，讓企業能夠更好地管理資料庫中的數據，來因應內部資料治理或配合法遵、安全和政策要求。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">航空業上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT現代化 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">美西南航空全面擁抱公雲展開IT現代化改造，不只強化系統韌性，還要優化航班營運提升乘客體驗</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(4).jpg" style="width: 600px; height: 401px;" /></p> <p>美國廉價航空西南航空（Southwest Airlines）近日揭露他們將擁抱公雲進行大規模IT現代化改造，來改善乘客旅程、優化營運和建立擴充彈性的IT基礎設施。</p> <p>西南航空是全美最大廉價航空，不只旅客數眾多，甚至旺季一天就要處理4,000航班。事實上，西南航空很早就開始上雲，來因應營運成長，但過去只是將局部系統上到AWS公雲，像是官網和行動app的訂票和搜尋服務等，許多老舊系統仍放在地端，如排班系統，也因此遇到去年底超大風暴在美國境內擾亂，導致排班系統出狀況，影響上萬航班。</p> <p>經過這起事故，西南航空決定全面上雲，除了要透過雲端儲存、容器和無伺服器，提高系統內在韌性，來降低因風暴等天然災害對於航班影響，還要從航班數據分析來優化航班登機口配置、機場和航班營運，以及飛機維運，更要引進AI、ML技術，提升乘客搭機體驗。目前他們已利用SageMaker建立一個自助式ML平臺，讓資料科學團隊可以更容易構建、訓練和部署ML模型。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">零售商 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電商雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">百年奢華精品零售商也要轉型上雲，施華洛世奇優先把電商平臺搬上公雲增加效率與降低成本</span></strong></p> <p>除了大型電商，傳統奢華精品零售商也開始轉型上雲。例如老牌水晶工藝品製造商施華洛世奇（Swarovski）為因應LUXignite新戰略開始上雲，還擬定雲端策略。其實近幾年，施華洛世奇積極轉型創新零售服務，不只推出行動app，更打造自己的電商平臺，讓顧客可以線上瀏覽、購物。擁抱雲端第一步，施華洛世奇優先將原本在地端部署的電商平臺直接搬上SAP電商雲，還在雲端中打造數位平臺架構，希望借助雲服務的靈活彈性和安全性，能幫助公司加快服務創新和顧客體驗。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超融合服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Nutanix混合雲超融合服務終於登上Azure</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(7).png" style="width: 600px; height: 283px;" /></p> <p>去年底超融合基礎架構業者Nutanix宣布將在Azure上提供NC2（Nutanix Cloud Clusters）服務，直到最近，這項服務終於推出上市，這也是繼3年前AWS推出以後終於有第二家大型公雲支援，推出Nutanix Cloud Clusters on Azure服務。</p> <p>NC2 on Azure是Nutanix所推出超融合混合雲方案，可以讓企業更容易將本地HCI架構的工作負載搬上Azure公雲，透過Azure裸機執行個體，在Azure環境建構出Nutanix超融合叢集環境，並能結合本地端超融合環境，實現混合雲應用架構。還能使用與本地端一樣的Nutanix管理介面來管Azure公雲中實例，以此來達到混合雲部署和維運。該服務已在北美地區推出。</p> <p>圖片來源／Nutanix、Google、西南航空</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.微軟在Azure OpenAI服務中推出預覽版ChatGPT </strong></p> <p><strong>2.SAP推出新一代的雲端資料倉儲Datasphere，強化資料探索與建模功能</strong></p> <p><strong>3.Azure公開預覽使用Nvidia H100 Tensor核心GPU的新一代虛擬機器ND H100 v5</strong></p> <p><strong>4.IBM將雲端CI/CD服務使用的License Scanner工具貢獻給OWASP安全組織，加速推動SBOM發展</strong></p> <p><strong>資料來源：iThome整理，2023年3月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/3/16 16:30作者余至浩https://www.ithome.com.tw/news/155955
挑戰推特，Meta籌畫去中心的社群服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta除了臉書、Instagram、WhatsApp之外，將開發新的去中心化社群App，以挑戰推特的龍頭地位。</p> <p><a href="https://www.moneycontrol.com/news/business/startup/meta-mulls-a-twitter-competitor-codenamed-p92-that-will-be-interoperable-with-mastodon-10223961.html" target="_blank">《Money Control》引述消息人士報導</a>，Meta將在P92專案下開發一個文字型社群App，這個App是在IG品牌下，讓用戶以IG帳號密碼登入。這新的App將以聯邦式網路協定ActivityPub為基礎。推特競爭服務Mastodon及其他去中心化社群App都是以此為底層協定。</p> <p><a href="https://www.reuters.com/technology/meta-explores-decentralized-social-network-app-text-updates-2023-03-10/" target="_blank">Meta則對《路透社》證實</a>，該公司正在嘗試可提供分享文字的獨立去中心化社群網路App，Meta相信存在另一種型式的社交平臺機會，可讓創作者和公眾人物即時貼出關於各種興趣喜好的更新訊息。</p> <p>去年12月IG就推出名為Notes的功能，讓用戶可張貼最多60個字元及表情符號的訊息。當時引起Meta可能想推出類似推特的服務。在馬斯克接手後種種作法引發許多推特用戶不滿出走、流向Mastodon。</p> <p>目前P92專案已開發出部分功能。消息人士指出，初步構想是讓App用戶廣播其貼文給其他伺服器（如Mastodon）的用戶，但是否能關注其他服務的用戶和內容則還未確定。其他功能包括可預覽貼文連結內容、加入使用者資料檔、驗證徽章、自訂使用者名稱、可分享影片和圖檔。現在可以允許按讚，未來版本則會加入留言及傳送訊息。此外除了企業及創作者帳號，團隊也計畫允許轉貼其他社群App的內容。</p> <p>但Meta若是讓IG和P92 App用戶資料互通，則可能又引發隱私問題。消息人士說，目前的規畫是IG用戶資料只會在最小程度上和P92共享，例如將IG使用者姓名、相片和粉絲數匯入P92資料，其餘兩者都是切開的。</p> <p>這項計畫也反映在面臨不景氣挑戰中，Meta企圖重新強化App服務。<a href="https://www.ithome.com.tw/news/155934" target="_blank">Meta本周宣布將裁員1萬人</a>，並將調整業務，把資源放在高優先業務上。該公司本周宣布將停止NFT計畫，高層表示將以其他方式，如訊息服務或短影片服務Reels及Meta Pay提供創作者獲利平臺。</p> <p>2月底Meta宣布生成性AI開發部門，<a href="https://www.ithome.com.tw/news/155698" target="_blank">執行長Mark Zuckerberg表示</a>，新成立的AI部門長期目標是發展文字、影片及多模式能力用於提升旗下各App。</p> </div></div></div>
2023/3/16 14:39作者林妍溱https://www.ithome.com.tw/news/155965
微軟Patch Tuesday修補2項零時差漏洞，包含影響Outlook的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2023-Mar" target="_blank">微軟本周Patch Tuesday修補了83項軟體瑕疵</a>，並警告2項為零時差漏洞，包含影響Outlook的重大漏洞，微軟已緊急釋出偵測及緩解工具。</p> <p>2項零時差漏洞中，一項影響Windows版Outlook。該漏洞編號<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-23397" target="_blank">CVE-2023-23397</a>，為權限擴張（elevation of privilege，EoP）漏洞。攻擊者可傳送MAPI屬性包含通用命名規範（Universal Naming Convention，UNC）的惡意郵件，導致受害者連向攻擊者控制的外部SMB伺服器共享資料夾。這能讓駭客經由取得受害者的Net-NTLMv2雜湊，藉此發動NTLM Relay攻擊，即可連到另一項服務，並冒用受害者身分完成驗證存取。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-23397" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Microsoft%20Outlook-vulnerability-CVE-2023-23397.png" style="width: 550px;" /></a></p> <p>微軟並警告，這漏洞可以經由預覽窗格預覽郵件而觸發，讓受害者沒開信也會遭到攻擊。</p> <p>這漏洞是由烏克蘭電腦網路危機處理小組（CERT）及微軟威脅情報中心共同發現，風險值達9.8。本漏洞影響所有版本Windows版Outlook，但Android、iOS、Mac及Web版Outlook則未受影響，且Microsoft 365等線上服務不支援NTLM驗證，因此不受這類惡意信件影響。</p> <p><a href="https://msrc.microsoft.com/blog/2023/03/microsoft-mitigates-outlook-elevation-of-privilege-vulnerability/" target="_blank">微軟指出</a>，攻擊該漏洞的是一個俄羅斯的駭客組織。他們相信該組織正對歐洲部分政府、交通、能源及軍事單位發動精準攻擊。</p> <p>另一項零時差漏洞則是<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-24880" target="_blank">CVE-2023-24880</a>，為SmartScreen安全功能繞過漏洞。攻擊者可製作惡意檔案，繞過Windows的Mark of the Web（MOTW）防護。MOTW防護是指當用戶從網路上下載檔案，Windows會在該檔加入MOTW的識別碼，在用戶開啟執行時發送SmartScreen檢查並警告用戶留意。最新漏洞會導致SmartScreen警告不會被觸發，提高惡意程式下載機會。本漏洞風險值5.4，影響Windows 10以上桌機，以及Windows Server 2016、2019及2022。</p> <p>微軟強烈建議所有用戶升級到最新版本軟體。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-24880" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0316-Windows%20SmartScreen-Vulnerability-CVE-2023-24880.png" style="width: 600px;" /></a></p> <p>微軟昨日同時針對CVE-2023-23397緊急釋出<a href="https://microsoft.github.io/CSS-Exchange/Security/CVE-2023-23397/" target="_blank">偵測及緩解腳本程式CVE-2023-23397 script</a>。這項工具可以偵測是否有連到指向不明共享資料夾的電子郵件、行事曆或待辦事項物件。一旦偵測到就會移除或清除參數。如果未偵測到任何物件，表示用戶組織應該沒有受漏洞影響。</p> </div></div></div>
2023/3/16 11:45作者林妍溱https://www.ithome.com.tw/news/155952
微軟Bing Chat疑似已全面開放使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟以ChatGPT強化的新Bing在2月初宣布及部份上線將近1個月後，本周媒體發現已經全面開放大眾使用，不用再報名等候。</p> <p>新Bing 2月份上線後，傳統搜尋列介面第一時間即可使用，但主要ChatGPT功能及聊天機器人的介面，則只對部分用戶開放。其他用戶必須先加入等候清單等待獲得測試通知。不過<a href="https://www.windowscentral.com/software-apps/bing/it-appears-anyone-can-now-sign-up-for-the-new-bing-no-waiting-required" target="_blank">《Windows Central》</a> 昨（15）日報導，多位未加入等候清單的用戶已經可以直接使用。<a href="https://www.theverge.com/2023/3/15/23641683/microsoft-bing-ai-gpt-4-chatbot-available-no-waitlist" target="_blank">《The Verge》</a>則測試同時登入多個微軟帳號，也都全部立即獲得電子郵件確認開通。</p> <p>微軟尚未對此做出官方宣布，因此在Bing.com仍然保留「Join the waitlist」的選項。但用戶登入微軟帳號後就立即能用Bing了。不過用戶必須使用Edge瀏覽器才能使用類似ChatGPT的聊天機器人介面。</p> <p><a href="https://www.ithome.com.tw/news/155884" target="_blank">微軟本周稍早也將ChatGPT整合到Azure OpenAI服務中</a>。這家軟體巨人預定歐美地區3月16日將有生成性AI的相關記者會，媒體推測可能是關於新Bing的宣布。</p> <p>於此同時，<a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnote-stable-channel" target="_blank">微軟本周稍早也透過穩定通道釋出Edge 111.0.1661.41更新版本</a>。這個版本的側邊欄加入了數項新功能，當中包含名為Edge Copilot的搜尋工具。微軟指出，這功能可根據網頁上下文及用戶目標提供智慧建議及分析整理資訊，一如新Bing，Edge Copilot可協助用戶撰寫出更好的信件、更快搜尋、學習新技能。企業用戶需IT管理員同意。若管理員許可，員工就能在其電腦上使用側邊欄及Edge Copilot功能。</p> </div></div></div>
2023/3/16 12:31作者林妍溱https://www.ithome.com.tw/news/155954
【GPT4企業實例】摩根史坦利財管靠GPT 4解讀龐大知識資產，讓上萬理財顧問的Chatbot助手再升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大財富管理公司摩根士丹利財富管理公司，是率先在企業內部應用引進GPT-4模型的企業之一，用來協助旗下1萬6千多名財管顧問的知識管理挑戰。摩根士丹利財管數據分析創新部門負責人Jeff McMillan指出，這項技術（編按：GPT-4）有效解放了我們累積多年的財富管理知識，甚至可以說，這讓每一個財管顧問，擁有24小時待命的首席投資專家級AI助手。</p> <p>摩根士丹利財管早從2018年就利用AI引擎打造了一套NBA（Next Best Action）系統，這是一個可以讓財管顧問們與所服務的顧客溝通的平臺，也可以快速提供客製化分析建議或理財資訊給財管顧問，更快速回應顧客的問題。在疫情期間，這套系統成了財顧服務旗下顧客最重要的工具。</p> <p>不過，摩根士丹利財管擁有龐大的PDF表格和文件資料，分散在許多內部網站內。財管顧問得花上一番力氣和時間搜尋和整理，才能找齊特定問題的答案。可是，摩根史坦利財管的業務越來越廣且多，近幾年更有多起併購，如2019年買下股票管理服務Solium、2020年以130億美元併購了E*Trade網路券商、70億美元收購了基金管理公司Eaton Vance。這些併購案都讓摩根史坦利擁有的文件和智慧財產迅速暴增，如何運用龐大的財富管理文件和知識庫，成了摩根史坦利財管的新挑戰。*</p> <h3><strong>GPT-4帶來摩根士丹利知識管理大變革</strong></h3> <p>從去年開始，摩根士丹利財管就開始研究如何將GPT的Embedding（嵌入）功能和檢索能力，運用到龐大且快速擴充的智慧資產上。他們先從GPT-3開始試用，現在已經改用最新發表的GPT-4模型。摩根士丹利財管看上了GPT4利用龐大公開網路知識訓練出來的超強內容綜合整理能力。</p> <p>摩根士丹利財管在內部專用的Chatbot中，提供了財務管理知識的任意搜尋能力， Jeff McMillan指出：「有效解放了積累在系統中的財管知識。」他正是摩根士丹利財管 GPT-4專案的負責主管，他這樣形容這個專案帶來的價值是，「GPT-4將洞察報告，變成了一種更容易重複利用，也更有行動力的形式。」<br /> 任何財管顧問，可以具備最資深財富管理專家的知識，Jeff McMillan這樣比喻，就像你可以24小時隨時打電話給首席投資策略長、全球經濟分析首席等級的AI助手。</p> <p>成立近90年的摩根士丹利財管，每年會發表數千篇各種分析報告與研究，涵蓋不同資本市場、各類資產、不同產業到全球各區域經濟，在機構內控監督下，設立了一個專門的內容儲存庫，來集中這些智慧財產，再用GPT-4來處理。</p> <p>摩根士丹利財管強調，不是使用公開的ChatGPT服務，而是使用了來GPT-4模型服務，生成內部專屬的內容，且有一套配到的控制機制。</p> <p>另外，摩根士丹利財管也不是所有內容都放進GPT-4服務，而是會避開機敏性或不適合上雲的資料，例如會排除涉及股票買賣、財務投資或參與交易戰略等機敏性內容，不會作為訓練GPT-4模型的素材。</p> <p>摩根士丹利財管用訓練好的GTP-4模型，打造了一個內部專用的Chatbot，來協助其下龐大財管顧問更快取得所需要的資訊。財管顧問可以用問問題的方式，來取得內部龐大文件和資料，還指定將這些內容以顧客容易理解的形式來呈現，並列出所參考的原始資料來源連結，方便財顧近一步閱讀。</p> <p>目前先開放給200名顧問用於每天的基礎工作上，讓他們可以要求Chatbot以指定形式來提供回應顧客諮詢時需要的資料，來加快對顧客服務的速度，這群種子顧問也需要回饋使用經驗，來優化這個Chatbot。</p> <p>例如顧問可以問這個內部Chatbot，能不能列出某項服務的開戶步驟，AI就會一步步列出開戶過程，讓顧問複製內容，直接回覆給顧客，不用再自行蒐集整理成條列式操作步驟。</p> <p>摩根士丹利財管目前也正在評估，是否能將OpenAI其他技術用於顧問筆記或與顧客後續往來溝通紀錄的分析上。</p> <p> </p> </div></div></div>
2023/3/16 12:55作者王宏仁https://www.ithome.com.tw/news/155956
臺灣個資外洩頻傳，該如何使個資法發揮更大保護力？消基會提個資修法三大建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據媒體報導，全臺灣2,300萬民民眾個資，只需要15萬元就可以買到，這意味著，個資外洩已經是多麼嚴重的事情。不只如此，從近期發生的多起個資外洩事件來看，不管外洩的是華航300萬筆會員資料、iRent（和雲行動服務公司）的40萬筆客戶資料，格上租車的訂單資料曝險，甚至是微風百貨的90萬筆會員資料爆發相關的個資外洩事件，都可以發現，企業發生個資外洩的事情，已經是另外一種常態。</p> <p>站在保護一般民眾與消費者立場的消基會，也是臺灣第一個，在雄獅旅行社爆發外洩旅客個資時，代表外洩個資民眾進行符合個資法規定的團體訴訟單位。現任消基會副董事長徐則鈺律師也是當年代表外洩個資民眾向雄獅旅行社提出團體訴訟的義務律師。</p> <p>徐則鈺認為，真正要讓個資法可以保護到民眾的權益，並讓企業深自警惕的話，《個資法》應該參考消保法第七條的規定進行修法，必須由企業針對民眾個資沒有外洩進行舉證，而不應該由相對較為弱勢的消費者進行舉證。他說：「個資法修法的第一件事情，應該就是要做到：個資受駭者和企業的舉證責任轉換。」</p> <p>他也表示，個資法的賠償金額過低，加上團訟門檻高，個資外洩的受害者權益往往難以伸張。他進一步解釋，過往消費者必須舉證，的確因為外洩的個資，造成個人的權益損害，但舉證難度非常高。</p> <p>徐則鈺舉例說明，消基會之前曾經針對雄獅旅行社外洩民眾個資事件，提出臺灣第一起個資團體訴訟。不過，消基會在一審判決時敗訴，其中的一個重要原因在於，法官採信雄獅旅行社的說法，因為雄獅旅行社有撰寫《個人資料檔案安全維護計畫書》並報請交通部核備，就表示雄獅旅行社已經善盡企業保護個資之責。</p> <p>徐則鈺表示，對於許多資安專家而言，書面的個資防護計畫和實際上的作為是否一致，都應該要進一步確認實務的個資保護作為是否有疏失，才可以真正清楚知道，雄獅旅行社是否有做好個資保護，書面的防護計畫不應該代表該公司保護個資的作為。</p> <p>其次，徐則鈺表示，《個資法》修法應該提供相關的罰則，才能讓企業警覺，一旦沒有做好個資保護，就必須負擔高額賠償，才會讓企業願意投資更多資源落實個資保護。</p> <p>最後，徐則鈺明白指出，過往個資保護沒有專責獨立的個資保護機關，所有政府部門彼此都是互踢皮球，互說彼此不是個資外洩事件的主管機關，也造成外界普遍認為，臺灣在個資保護方面的作為非常落後。因此，他認為，政府部門儘速成立保護個資的獨立專責機構應該是當務之急。</p> <h2><strong>公路總局對iRent外洩個資開罰20萬元</strong></h2> <p>捍衛消費者權益的消基會，日前相當罕見的針對iRent（和雲行動服務公司）的40萬筆客戶資料外洩事件，對外發布新聞稿進行譴責，尤其是，該起個資外洩事件發生的原因，是因為iRent的雲端資料庫在網路上遭到公開，不設防個資資料庫形同在網路上裸奔，而只要知道該資料庫IP位址的所有人，都可以堂而皇之的下載資料庫的個資內容。而揭露此資安事件的國外資安研究員，在與iRent發電子信件聯繫未果，轉而聯繫數位發展部部長唐鳳後，此事才獲得重視與處理。</p> <p>消基會也嚴正譴責iRent對雲端個人資料保全的輕忽程度，因為消費者必須下載iRent的App才能使用相關的租車服務，但iRent對於雲端防駭和資料保全的作為卻如此輕忽，與其現代化經營形象有天壤之別，更讓民眾對於和iRent互動往來感到憂心。</p> <p>過往，只要有個資外洩案件一經媒體報導，行政院通常會要求受駭單位的目的事業主管機關，指定由專家或者是由一月底掛牌的數位發展部所轄資安研究院相關人員，一同進行行政檢查。</p> <p>該起案件曝光後，交通部公路總局臺北市區監理所便在2月2日，派人赴iRent進行現場查核，調查時也發現，iRent並未能依規定提供《汽車運輸業個人資料檔案安全維護計畫書》，且現場也無法說明確切可能洩漏客戶個資的筆數。因為iRent後來也未能於限期內配合改善，目的事業主管機關交通部公路總局臺北市區監理所也將依照職權，對iRent開罰最高罰金20萬元。</p> <h2><strong>建議一：儘速成立個資保護專責獨立機關</strong></h2> <p>臺灣的常見資安事件，大致可以分成一般駭侵事件以及個資外洩事件，不過，一般駭侵事件不一定涉及個資外洩；但個資外洩事件，除了內神通外鬼的內賊外，通常跟駭侵事件脫離不了關係。</p> <p>面對一般的駭侵事件，許多人第一直覺會認定，該起駭侵事件應該是受到「資通安全管理法」的規範與管轄，但臺灣的「資通安全管理法」目前只規範公務機關以及特定非公務機關（泛指八大關鍵基礎設施服務提供者），所以不管是華航、iRent、格上租車或是微風百貨等民營業者，都不在「資安法」納管範圍之中。</p> <p>但從《電腦個人資料保護法》修正成《個人資料保護法》迄今已經滿十年的《個資法》，即便期間也經歷幾次修法，但一直未能解決《個資法》施行過程中，各界共同面臨的真正核心問題，那就是：到底哪個機關才是個資法真正的主管機關呢？一旦爆發個資外洩事件時，到底應該要找哪個機關負責呢？</p> <p>徐則鈺表示，目前臺灣並沒有個資主管機關，國發會是負責個資法的法規解釋，一旦有企業爆發個資外洩事件，根據《個資法》的規定，將會是由「目的事業主管機關」對其進行行政檢查並予以裁罰；但平常時候，這些目的事業主管機關不會主動關心，企業是否有落實個資保護等相關事宜。</p> <p>他認為，因為臺灣還沒有成立個資專責機關，所以，只能等到有發生個資外洩事情時，再看看發生個資外洩的企業是哪一個行業別，再由該行業別的目的事業主管機關出面進行行政檢查，但平常這些目的事業主管機關是不會主動找企業麻煩、去關切個資保護的落實程度。</p> <p>徐則鈺也說：「這些目的事業主管機關進行的行政檢查如果有用，詐騙就不會這麼橫行了！」行政檢查沒用，因為連企業都不怕，消極的作為只會助長詐騙集團聲勢。</p> <p>就像是，公路總局用公路法懲罰iRent外洩個資，但這樣的行政處罰，跟《個資法》或是個資保護，到底有什麼關係呢？</p> <p>很多政府部門都是依法行政，徐則鈺也同意，如果個資保護不是某個機關的依法行政的範圍內的話，相關的部會機關也不會逾越相關權責。而目前，有許多的個資外洩事件，通常都是網站資料庫外洩，去年剛成立的數位發展部也是相對有IT量能的部會時，他說：「建議行政院可以直接指定個資專責機關，而數位部也應該有舍我其誰的精神。」</p> <h2><strong> 建議二：個資法對企業保護太過，應仿效消保法肩負舉證責任</strong></h2> <p>消保法為了保護消費者權益，便在消保法第七條明定：「從事設計、生產、製造商品或提供服務的企業經營者，對於消費者應負無過失責任。」</p> <p>徐則鈺認為，同樣的狀況，若發生在個資外洩的情境，為了保護個資受害者的權益，個資受害者和進行團體訴訟時的舉證責任應該從個資受害者端，轉換成由企業負起證明「個資沒有外洩」的責任。</p> <p>他說，當初個資法在修法時，為了避免民眾濫訟，條文中也載明企業應該符合的「適當安全維護措施」的規範，這也讓許多企業認為，只要滿足條文的規定，就足以符合《個資法》的法律規定。</p> <p>消費者相對企業更為弱勢，徐則鈺指出，企業載明符合「適當安全維護措施」的規範，其中落實程度有多少，除非可以透過類似目的事業主管機關的行政檢查，或者是第三方單位進行查核，外洩都難以一窺全貌的情況下，反而必須由個資受害當事人舉證，自己的確有因為企業外洩的個資遭受到損害。</p> <p>最明顯的案例就是，消基會針對雄獅旅行社提出第一起個資外洩團體訴訟，雄獅旅行社因為像法院提出有撰寫《個人資料檔案安全維護計畫書》並報請交通部核備，承審法官採信，這樣的作為就表示雄獅旅行社已經善盡企業管理之責，因此判決雄獅旅行社一審勝訴。</p> <p>徐則鈺認為，雄獅旅行社有完善《個資法》要求的書面資料，但真正落實程度，應該由目的事業主管機關進行行政檢查，確認有無缺失，或者是由第三方公正單位進行查核後，這樣才能證明，雄獅旅行社的確已經做到所有能做的個資保護措施了。</p> <p>《個資法》將最難的、攸關訴訟成敗的舉證責任，交由個資受害者負擔，徐則鈺表示，這對於受害者是相當不公平的。他以團體訴訟為例，受害者要證明因為，因為oo公司外洩的個資，導致受害者被詐騙xx元，這意味著，受害者不只要證明有個資外洩事件，還得證明個人因為該事件有遭受損失；倘若無法證明損失，法院也只會依照《個資法》賠償受害者500元～2萬元。</p> <p>徐則鈺認為，《個資法》不保障相對弱勢的消費者是不對的，應該參考《消保法》第七條「企業必須證明產品在進入市場時的產品是良好無害」的精神，將舉證個資外洩的責任，從消費者端轉換到企業端。</p> <p>因為「舉證之所在、敗訴之所在。」徐則鈺說，多數民眾都不喜歡打官司，加上消費者不只要證明發生個資外洩事件，也必須證明因此遭到損失，這樣的舉證責任對一般民眾而言，都具有相對的難度。這也可以從《個資法》實施以來，企業打《個資法》官司都會贏的情況來看，反成形成一股間接鼓勵企業，不需要花更多心力去保護個資也沒有關係的氛圍。</p> <h2><strong>建議三：提高《個資法》罰則，讓企業覺得落實個資保護更划算</strong></h2> <p>《個資法》規定，如果被害者不易或不能證明實際損害金額時，每個人獲得的賠償就是500元以上、2萬元以下；如果是同一事件造成多數人受害，累計損害賠償最多2億元，而受害者可以證明損害超過2億元除外，就可以要求賠償實際受害損失。</p> <p>徐則鈺表示，因為提出訴訟的過程耗時又費錢，如果求償金額過低，許多消費者往往會自認倒楣、默默承受損失，而不會對企業提出訴訟。因此，徐則鈺建議，《個資法》應該參考歐盟GDPR（歐盟個資法）的罰則──GDPR違法情節重大者，最高罰款2千萬歐元（折合約新臺幣6.6億元），或是前一年全球營業額4%，企業一旦意識到，沒有做好個資保護，一旦爆發個資外洩事件時，可以會遭到天價的罰金。當罰金相對於個資和隱私保護的投資，有如此大的差異時，企業就會比較心甘情願做好個資和隱私保護。</p> <p>他也說，《個資法》修法時，應該要重新訂定賠償金額，但只有提高賠款上線沒有意義，同時也要提高賠款下限，畢竟，訴訟費用實在太高，一般人很難只為500元～2萬元去花高額訴訟費用去打官司。</p> <p>他進一步解釋，個資法沒有刑事責任、只有民事求償，所以原告不需要支付偵訊時的律師費用；而民事遞狀後，法院會收裁判費，金額是以訴訟標的的1.1％計算；若是團體訴訟，裁判費最多先收60萬元，其他等判決出來後，再依照勝敗收取裁判費用；若是一般消費者自行提告，並不算在團體訴訟範圍。他說，其他訴訟費用還包括律師費，委任律師會依照審級去計算，若以義務律師來計算一審費用，至少5萬元起跳。</p> <p>徐則鈺指出，《個資法》對於受害當事人並沒有任何優待，就是傳統的民事訴訟，即便是團體訴訟，也只是代理受害者提出訴訟、打官司而已，目的事業主管機關也不願意補助團訟費用。上述種種的現實，更讓《個資法》像是沒有牙齒的老虎，沒有任何威嚇力，更無助提高企業落實個資保護的意願。</p> <p>他也以自身協助個資團訟的經驗為例，一般消費者若對企業提告，通常都是企業法務代表出庭，即便敗訴，賠償金額2萬元，企業通常會很爽快賠償；但若是發動團體訴訟，企業通常會籌組龐大的律師團因應，就是怕消費者團結力量大，一旦勝訴，就會對企業商譽造成重大損失，或者需要支付高額賠償金。</p> <p>徐則鈺坦言，如果因為《個資法》賠償金額提高，發生原本立法者不想看到的濫訟情況時，企業是否也可能因為必須支出額外的法務費用，回過頭來，決定提升資安防護、落實個資和隱私保護呢？畢竟，目的事業主管機關對企業的行政裁罰只有2萬元～20萬元，企業不會感到痛，唯有提高賠償金額以及法院判決，才可能讓企業感到個資外洩對企業造成的「痛」，才願意去修正。</p> <h2><strong>《個資法》團訟不應該奠基在消保團體的犧牲上</strong></h2> <p>在數位時代，個資外洩不像以往紙本時代，是幾百筆、幾千筆的外洩，資料庫外洩個資動輒數十萬筆、數百萬筆甚至數千萬筆個資外洩。因此，徐則鈺建議，司法院也應該針對法官，加強更多的資訊素養，讓法官面對個資外洩事件時，可以更容易理解資訊科技對個資保護帶來的衝擊；也可以明文排除法官的自由心證，或讓法官自由心證空間小一點，透過舉證責任轉換，可以更有利消費者。</p> <p>面對外界對於消基會的期待，希望可以扮演個資團訟領航者的角色，但徐則鈺認為，目前《個資法》的團訟機制，其實是建立在消保團體的犧牲奉獻上，《個資法》修法之初，不管是財團法人或是社團法人，只要在章程中記載有個資保護的目的，就可以提出團體訴訟，但因為個資訴訟的勝率低、加上賠償金額少，後來只剩下消基會還承擔此項業務。</p> <p>但他也說，因為《個資法》對於團體訴訟沒有任何優待，消基會必須獨自承擔團訟過程中，所有的律師費、訴訟費、裁判費以及相關的時間、心力等，如果沒辦法勝訴，所有的費用都只能由消基會自行承擔。</p> <p>徐則鈺表示，消基會代替受害民眾提出團體訴訟時，例如，亞歷山大健身中心的團體訴訟，體育署有補助部分費用，所以十多年下來，還可以繼續打官司；但消基會對雄獅旅行社提出團體訴訟時，主管機關交通部觀光局則說沒錢、並不願意給予任何補助。他也說，主管機關是否支持民眾提出個資團訟，並給予團訟代理人適當的經費補助，將會是個資團訟能否持續運作的關鍵。</p> <p>臺灣詐騙橫行，根據警政署的統計，臺灣在2021年發生的詐騙案件高達2萬4千多起、被害人超過4萬4千人；到2022年前九個月，詐騙案件就已經高達2萬1千多起，2022年前三季發生的詐騙案件，就逼近2021年總和，預計2022年發生的詐騙案件，將會創下過去十年來的新高紀錄。</p> <p>徐則鈺表示，詐騙案件的起源很大一部分是來自於個資外洩，因此，消基會也呼籲相關部會應先就個資外洩、不安全的網路店家或賣場的個資管理系統進行全面查核，或許能稍稍遏阻臺灣成為詐欺之島。</p> <p>過去五年來，詐騙集團猖獗，因為知道消費者的個資和消費明細，容易讓消費者相信。徐則鈺認為，為了降低詐騙，建議政府可以思考從電信業者端去防堵詐騙電話。他說，有很多一打就掛的電話，都是各種電話行銷公司收集的資料，像是民間業者Whoscall的App因為民眾長期回報可疑電話，也可以提醒民眾審慎接聽來電可疑的電話，降低民眾受騙機率。</p> <p>他指出，包括二類電信公司在內的電信公司，都可以從這些詐騙電話中收到相關費用，電信公司賺錢，但民眾卻是接電話被騙，這是一個不合理的過程，政府或是主管機關可能會認為，民間公司蒐集回報的詐騙電話樣本樹太少，但如果樣本數夠多呢？主管機關能否想辦法從源頭去遏止這樣的詐騙歪風，讓民眾不用擔心接到詐騙電話呢？他認為，這才會對民眾發揮最大的助益。</p> </div></div></div>
2023/3/16 11:05作者黃彥棻https://www.ithome.com.tw/news/155951
去年美國有870個重大基礎設施遭到勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/PDF/AnnualReport/2022_IC3Report.pdf" target="_blank">近日美國聯邦調查局（FBI）網路犯罪投訴中心（Internet Crime Complaint Center，IC3）公布了2022年的網路犯罪報告</a>，顯示去年美國有870個與重大基礎設施有關的組織遭到勒索軟體攻擊，鎖定重大基礎設施的前三大勒索軟體依序是Lock bit、ALPHV/Blackcoats與Hive。</p> <p>去年IC3收到2,385個與勒索軟體有關的投訴，受害者總計損失了超過3,430萬美元。駭客採用不同的技術來滲透勒索軟體受害者，從網釣郵件、遠端桌面協定到攻擊軟體漏洞，其中，最受駭客青睞的是藉由軟體漏洞來入侵組織。</p> <p>在重大基礎設施的870個勒索軟體受害者中，涉及了16種重大基礎設施中的13種領域，傳出最多受害者的是醫療照護與公共衛生組織，占了210個，居次的是關鍵製造業，占了157個，政府設施也有115個，資訊科技為107個，金融服務則有88個，其它還包括商業設施、食物與農業、交通運輸、通訊、能源、化學、緊急服務、水資源與國防等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0316-Ransomware%20and%20Critical%20Infrastructure%20Sectors-FBI.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／FBI</span></span></p> <p>Lock bit勒索軟體集團是攻擊重大基礎設施的最大兇手，受害組織有149個，ALPHV/Blackcoats攻陷了114個，Hive受害者則有87個。</p> <p>FBI再次強調，它們並不鼓勵受害者支付贖金，但不管付不付，都希望受害者向該FBI提報，以利當局追蹤勒索軟體駭客。</p> <p>其實勒索軟體攻擊在美國的網路犯罪事件中並不算大宗，只是它帶來的影響超越金錢上的損失。去年IC3總計收到了800,944個與網路犯罪有關的投訴，從投訴數量來看，最多的是網路釣魚，有超過30萬名受害者，勒索軟體受害者數量排名第22，從損失金額來看，最多的是投資詐騙，受害者損失超過33億美元，勒索軟體受害者的損失規模排名第21。</p> </div></div></div>
2023/3/16 11:56作者陳曉莉https://www.ithome.com.tw/news/155953
追趕生成式AI熱潮，Google雲端推出AI應用開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在雲端人工智慧服務加緊腳步，宣布要在Google雲端一系列產品加上生成式人工智慧功能，<a href="https://cloud.google.com/blog/products/ai-machine-learning/generative-ai-for-businesses-and-governments">目前發表的兩項新技術</a>包括在Vertex AI提供生成式人工智慧支援，供用戶存取Google和第三方基礎模型，另外，生成式人工智慧應用程式建置工具，供用戶存取Google基礎模型，以開箱即用模板快速創建具有生成式人工智慧功能的應用程式。</p> <p>Vertex AI為Google雲端訓練和部署機器學習模型，與人工智慧應用程式的平臺，現在於Vertex AI，資料科學家可以簡單地開始使用PaLM等基礎模型，執行內容生成、聊天、摘要和分類等任務，用戶將可以選用由Google研究院和DeepMind所開發的模型，處理文字、圖片、影片、程式碼和聲音等資料格式。</p> <p>之後Vertex AI也會支援開源和第三方模型，藉由提供廣泛的模型選擇，企業用戶將可在同一個地方取用到廣泛種類的模型資源，使用自家的資料微調模型，並且選擇以Notebook、API或是互動提示的形式操作模型，在擁有資料主權和隱私的條件下最佳化模型輸出。</p> <p>Google另一個新推出的產品為生成式人工智慧應用程式建置工具，也就是要讓用戶簡單地創建具有生成式人工智慧能力的應用程式，開發人員可以直接以API存取基礎模型，結合開箱即用的模板，快速建立機器人、聊天應用程式或是自定義搜尋引擎。</p> <p>透過整合組織資料和資訊擷取技術，開發人員將可方便地建立問題回答應用程式，並在提供回應的同時附加引用和歸屬。這項新產品使得企業有能力在結構化流程中，加入自然語言對話，藉由安排基礎模型的輸出和逐步指引，企業能夠在應用程式中設計靈活的引導問答。</p> </div></div></div>
2023/3/15 23:25作者李建興https://www.ithome.com.tw/news/155943
Amazon揭露最新Kuiper衛星網路3款客戶端天線設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/155500">FCC同意Amazon發射Kuiper衛星之後</a>，Amazon的低軌衛星網路計畫終於可以推進至下一階段，正式開始發射衛星，Amazon現在也釋出用來<a href="https://www.aboutamazon.com/news/innovation-at-amazon/heres-your-first-look-at-project-kuipers-low-cost-customer-terminals">存取Kuiper衛星網路的3款客戶端天線設計</a>，輕薄型、家用型和企業級天線，分別可提供100 Mbps、400 Mbps和1 Gbps網路速度。</p> <p>過去要存取低軌衛星網路，用戶需要在室外安裝一個笨重的天線，體積不只龐大且價格昂貴，因此低軌衛星網路在使用上存在巨大的障礙，而Kuiper、Viasat和Starlink這類新興衛星寬頻服務的優勢，便要讓低軌衛星更加普及。</p> <p>Amazon提到當初他們設計Kuiper客戶端天線的成本，設定必須低於500美元，而他們也在2020年成功設計出新型天線架構，並經過2年多的改進，天線更小功能也更強大。Amazon現在展示了最新針對不同使用情境設計的3種Kuiper客戶端天線工程模型。</p> <p>第一種是最低階的輕薄型版本，整體設計小巧靈活，方形天線邊長約為18公分，方便用戶攜帶，重量只有不到500克，提供網路速度為100 Mbps，符合經濟型家用需求，或是有移動和物聯網需求的企業與政府用途。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kuiper4.jpg" style="width: 580px; height: 326px;" /></p> <p>第二種則是標準尺寸的客戶端，方形天線邊長不到30公分厚約為2.5公分，重量大概是2.3公斤，可安裝在建築物屋頂，提供400 Mbps的網路速度，官方提到這是目前同類產品中最強大的商用客戶端，最終Amazon希望該客戶端能以不到400美元的成本生產。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kuiper3.jpg" style="width: 580px; height: 326px;" />\</p> <p>Project Kuiper也有Gb級的客戶端天線，Amazon針對有高頻寬需求的企業、政府和電信應用設計，天線長寬約為76公分與48公分，傳輸速度可達1 Gbps。這3種天線皆使用Amazon自己設計的基頻晶片Prometheus，該晶片也被Amazon用於Kuiper衛星以及地面閘道器天線上，處理每顆衛星高達1 Tbps的網路流量。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/kuiper2.jpg" style="width: 580px; height: 326px;" /></p> <p>Project Kuiper獲FCC同意後從2023年開始發射衛星，該計畫預計要發射3,236顆衛星，並會在2026年暑假前發射一半，2029年前發射完另一半數量的衛星。Viasat和SpaceX等皆是Kuiper的競爭對手，SpaceX在2020年的時候就開始測試Starlink，標準版的網路速度為100 Mbps，使用者同樣需要先支付499美元購買客戶端設備，並支付網路使用費每月99元，而更快速的<a href="https://www.ithome.com.tw/news/149184">Starlink Premium</a>支援下載速度可達500Mbps，但是硬體費用高達2,500美元，衛星天線押金為500美元，網路月租費則為500美元。</p> </div></div></div>
2023/3/15 23:30作者李建興https://www.ithome.com.tw/news/155948
【資安日報】3月15日，美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型銀行倒閉影響範圍甚廣，許多用戶擔心自己的存款會拿不出來，也會影響往來企業的資金周轉，因此受到各界高度關注。最近，美國矽谷銀行（Silicon Valley Bank，SVB）宣布倒閉，駭客隨即註冊大量網域，並隨著事態的變化發動多起網路釣魚攻擊。</p> <p>除了SVB相關的攻擊行動，多家IT與OT業者近期發布了每月的軟體例行更新公告，也相當值得我們留意。微軟、Adobe、SAP、西門子、施耐德電機等廠商都在這幾天發布本月份的例行修補，值得留意的是，已有部分是出現攻擊行動的零時差漏洞，用戶應儘速安裝相關更新軟體。</p> <p>論及零時差漏洞的利用攻擊，MFT檔案共享系統GoAnywhere的資安弱點再傳有組織受害！這次公告受害的組織身分，是資料安全保護業者，所幸他們沒有用戶資料外流的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.cyble.com/2023/03/14/svb-collapse-triggers-heightened-cybersecurity-concerns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客鎖定美國矽谷銀行倒閉相關議題，進行網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Phishing-site-offering-USD-coin-reward-program.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Phishing-site-offering-USD-coin-reward-program.png" style="width: 300px; float: right;" /></a>3月10日美國矽谷銀行（Silicon Valley Bank，SVB）宣布倒閉，為全球金融體系帶來衝擊，影響不少新創公司。但雪上加霜的是，有人疑似開始針對該銀行的用戶出手。系統網路安全協會（SANS Institute）旗下的<a href="http://isc.sans.edu/diary/Incoming+Silicon+Valley+Bank+Related+Scams/29630/">Internet Storm Center提出警告</a>，他們發現駭客在該銀行宣布倒閉後，大肆註冊與SVB有關的網域名稱，很有可能將其用於攻擊行動。</p> <p>資安業者Cyble也觀察到相關攻擊行動，其中一起假借SVB的名義，聲稱要回饋穩定幣USDC（USD Coin）給用戶，然而使用者若是依照指示透過加密貨幣錢包App掃描駭客提供的QR Code，他們的加密貨幣就有可能遭到洗劫一空。</p> <p>另一方面，此數位貨幣發行廠商Circle於13日發出公告，他們在SVB持有價值33億美元的USDC加密貨幣，用戶能1比1將USDC兌換成美元，但Cyble研究人員發現，有人架設冒牌Circle匯兌網站來行騙。此外，研究人員也看到駭客聲稱是創投集團，打算向受到影響的企業提供現金為由，騙取公司資料轉賣。</p> <p><a href="https://www.rubrik.com/blog/company/23/3/fortra-goanywhere"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料安全保護廠商Rubrik證實資料外洩，起因是遭到GoAnywhere零時差漏洞攻擊</span></strong></a></p> <p>MFT系統GoAnywhere零時差漏洞的受害組織再添一例！資料安全保護廠商Rubrik於3月14日發布公告，表示他們在「非生產用途的IT測試環境」裡，偵測到異常活動——出現利用GoAnywhere漏洞的未經授權存取行為，目前已流出一定（Limited）數量的資訊。</p> <p>該公司表示，攻擊者並未橫向移動至其他系統，他們也將此系統下線，經外部資安業者進行調查，確認沒有敏感個資外洩。Rubrik也強調，客戶的資料並未受到影響。而對於攻擊者的身分，勒索軟體Clop聲稱是他們所為。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/03/13/dev-1101-enables-high-volume-aitm-campaigns-with-open-source-phishing-kit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織DEV-1101發動大規模AiTM網釣攻擊</span></strong></a></p> <p>微軟的威脅情報團隊揭露駭客組織DEV-1101的網路釣魚攻擊，駭客自2022年5月，利用網釣工具包發出敵對型中間人攻擊（AiTM），該組織不只開發自己所需的工具包，也出售給其他網路罪犯使用。</p> <p>這些工具包提供冒牌的微軟Office、Outlook網釣網頁，並讓攻擊者可透過Telegram機器人程式自動管理攻擊進度，此外，它們也具備圖靈驗證機制CAPTCHA，並能攔截使用者送出的Cookie，繞過微軟網站的雙因素驗證（MFA）機制。研究人員指出，這些網釣工具包日益受到網路犯罪圈歡迎，導致售價也跟著水漲船高，他們認為相關的攻擊行動只會有增無減。</p> <p><a href="https://ics-cert.kaspersky.com/publications/reports/2023/03/06/threat-landscape-for-industrial-automation-systems-statistics-for-h2-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對俄羅斯的工控系統攻擊2022下半大幅增加，駭客主要鎖定內容管理系統Bitrix的漏洞下手</span></strong></a></p> <p>資安業者卡巴斯基發布了2022年下半工控系統威脅態勢的分析，並指出相關攻擊增加比例最高的是俄羅斯，其增加的來源主要是惡意指令碼和釣魚網頁。研究人員表示，他們在2022年8月至9月看到相關攻擊的行動突然飆升，原因與網站遭受大規模感染有關。</p> <p>而這些網站的共通點，就是大部分透過名為Bitrix的內容管理系統（CMS）架設，攻擊者入侵的管道，則是2022年3月修補的重大漏洞CVE-2022-27228（CVSS風險評分為9.8分）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2023-patch-tuesday-fixes-2-zero-days-83-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布3月例行更新，修補83個漏洞</span></strong></a></p> <p>3月14日微軟發布3月份例行更新（Patch Tuesday），總共修補了83個漏洞，當中有21個與權限提升有關、27個可被用於遠端執行任意程式碼（RCE）、15個會造成資訊洩露、10個可被用於偽冒、4個可導致服務遭到中斷（DoS）、2個可用於繞過安全功能。</p> <p>值得留意的是，這次有2個零時差漏洞CVE-2023-23397、CVE-2023-24880，前者出現於Windows版收信軟體Outlook，攻擊者可透過特製的電子郵件，強制目標裝置傳輸Windows使用者帳號的Net-NTLMv2雜湊值，進而提升權限，CVSS風險評分為9.8分。該漏洞為烏克蘭電腦緊急應變小組（CERT-UA）通報，俄羅斯駭客組織APT28（亦稱Fancy Bear）在2022年4月至12月將其用於攻擊行動。</p> <p>CVE-2023-24880則是能用於繞過Windows安全功能SmartScreen（即MoTW），CVSS風險評分為5.4分。此漏洞為Google威脅情報小組（TAG）通報，並指出勒索軟體Magniber已將其用於攻擊行動，駭客打包的MSI檔案已被下載超過10萬次，逾8成針對歐洲使用者而來。</p> <p><a href="https://www.bleepingcomputer.com/news/security/sap-releases-security-updates-fixing-five-critical-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP發布3月例行更新，修補5個重大漏洞</span></strong></a></p> <p>本月SAP於3月14日發布每月例行更新，一共修補19個漏洞，其中有5個為重大等級。這些漏洞出現於商業智慧軟體Business Objects，以及應用伺服器NetWeaver Application Server for Java、NetWeaver Application Server for ABAP兩個平臺。其中，出現在Business Objects的是CVE-2023-25616與CVE-2023-25617，前者為程式碼注入漏洞，允許攻擊者存取特權帳號可用資源；後者為命令注入漏洞，攻擊者可在BI Launchpad或中央管理主控臺執行任意命令，CVSS風險評分為9.9分及9.0分。</p> <p>CVE-2023-23857為資訊洩露漏洞，影響NetWeaver Application Server for Java平臺，未經授權的攻擊者可透過API資料夾開啟相關介面，CVSS風險評分為9.8分。</p> <p>CVE-2023-27269、CVE-2023-27500是資料夾路徑穿越漏洞，皆存在於NetWeaver Application Server for ABAP，CVSS風險評分皆為9.6分。</p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-over-100-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布3月份例行更新，修補超過100個漏洞</span></strong></a></p> <p>3月14日，大型工控解決方案業者西門子、施耐德電機剛好都發布資安通告，提供本月份例行更新。其中，西門子發布7則公告，涵蓋92個漏洞的修補，大部分與旗下產品採用的第三方軟體有關，如：Linux核心、Busybox、OpenSSL、OpenVPN等，光是在Ruggedcom和Scalance系列的網路設備，就有65個這類漏洞，攻擊者有可能用於注入程式碼，或是發動阻斷服務（DoS）攻擊。</p> <p>施耐德電機本次發布3則資安通告，修補10個漏洞，影響電力設備PowerLogic、電源管理系統EcoStruxure Power Monitoring Expert，以及IGSS SCADA系統。</p> <p><a href="https://www.securityweek.com/adobe-warns-of-very-limited-attacks-exploiting-coldfusion-zero-day/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe修補ColdFusion零時差漏洞，並警告已出現攻擊行動</span></strong></a></p> <p>3月14日Adobe針對旗下的電商網站平臺Adobe Commerce、網站應用程式開發平臺ColdFusion、網站內容管理平臺Experience Manager，以及Creative Cloud、Illustrator、Photoshop、Dimension等視覺設計軟體發布更新程式，共修補106個漏洞。</p> <p>其中最值得留意的是CVE-2023-26360，原因是已有攻擊者將其用於攻擊行動。此漏洞影響2021版與2018版ColdFusion，有可能導致任意程式碼執行、任意檔案系統讀取、記憶體洩漏，CVSS風險評分為8.6分。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-bfd-XmRescbT"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補企業級路由器的高風險漏洞</span></strong></a></p> <p>3月8日思科發布資安通告，針對旗下的ASR 9000系列企業級路由器發布更新，修補高風險漏洞CVE-2023-20049，此漏洞出現於網路設備作業系統IOS XR，影響名為雙向轉發偵測（Bidirectional Forwarding Detection，BFD）網路協定的硬體卸載功能，攻擊者一旦利用漏洞，就有可能在未經身分驗證的情況下遠端發動攻擊，CVSS風險評分為8.6分。</p> <p>該公司指出，此漏洞影響ASR 9902、ASR 9903兩款型號，以及安裝Lightspeed或Lightspeed-Plus線卡模組的ASR 9000系列機種，若是IT人員無法安裝相關更新程式，也可以停用BFD硬體卸載功能因應。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1886&serno=067c5129-551d-4a11-aef9-35725111479d"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">柬埔寨總理韓森傳出Telegram帳號被盜，指控攻擊IP位址來自臺灣，刑事警察局表示很可能是被當作VPN跳板</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fortinet-new-fortios-bug-used-as-zero-day-to-attack-govt-networks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet防火牆漏洞被用於攻擊政府機關</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/stalker-2-game-developer-hacked-by-russian-hacktivists-data-stolen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電玩遊戲浩劫殺陣2的開發商遭到俄羅斯駭客攻擊</span></span></strong></a></p> <p><a href="https://www.hacla.org/sites/default/files/Documents/HACLA%20-%20Website%20Notice%20-%20English%20Final.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">洛杉磯市房屋管理局1月發生勒索軟體攻擊事故，證實民眾資料外洩</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155930"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">小心！Chrome擴充套件借用ChatGPT名義來竊取臉書帳號</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155923"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療設備大廠Zoll Medical資料外洩，影響100萬人</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月13日】資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155867">【3月10日】 SonicWall的SSL VPN設備遭到中國駭客鎖定、Oracle Weblogic Server被用於挖礦</a></strong></p> </div></div></div>
2023/3/15 17:53作者周峻佑https://www.ithome.com.tw/news/155947
MedTech醫療科技雙周報第18期：數發部揭露3大高齡科技策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0301～0315)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數發部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 社交活動 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位學習 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">數發部揭露3大高齡科技策略，要推數位學習與社交互動</span></strong></p> <p>國科會日前召開高齡科技產業策略會議，其中，數發部政務次長李懷仁表示，數發部希望結合數位學習和教育科技，來發展高齡者數位學習與社交互動。他們有3大策略，一是整合既有資源，來將相關科技導入目標場域，也就是說，數發部會先盤點目標族群和需求，比如照護者痛點、高齡者需求和所需的學習資源等，接著建立終生數位學習和社交地圖，方便照顧者參考，協助高齡者申請，最後再導入數位解決方案，如學習歷程、將實體場域課程數位化等，來進行數位轉型，讓高齡者線上學習。</p> <p>另一個策略是建置學習社交資源平臺，建置過程可分為4步驟，首先是訂定高齡使用者介面設計原則，如無障礙設計規範，再來是打造高齡學習和社交資源共享平臺，之後再串接高齡友善相關平臺，來整合虛實資源和社交資源等，最後一步是將平臺推廣到社區和NGO平臺，並鼓勵照顧者繼續使用。數發部因應超高齡社會挑戰的第3個策略是鼓勵社會創新，包括鼓勵社創組織整合社區需求，來用科技打造高齡服務，不只如此，數發部也將補助ICT業者，來發展高齡數位學習和社交相關應用，打造符合高齡使用者需求的數位服務。<a href="https://youtube.com/live/zN1TPUnwWQ8?si=EnSIkaIECMiOmarE&t=16310">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/zN1TPUnwWQ8?controls=0&start=16310" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超高齡社會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 長照 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">衛福部提4解方因應超高齡社會挑戰</span></strong></p> <p>衛福部參與國家高齡科技產業策略會議，衛福部長照司司長祝健芳指出，臺灣即將進入超高齡社會，衛福部提出4大方法來因應，首先是以大數據分析找出潛在長照個案，透過ML模型分析個案健康、居住環境、經濟狀況和人力支援等變數，來找出可能需要長照服務的民眾，同時衛福部也與內政部合作發展銀髮安居計畫，來建置銀髮安居指數來評估風險指數，並用這個指數來預測潛在個案，進行長照風險個案造冊。</p> <p>第2個方法是發展高齡照護科技應用，來降低照顧者負擔，比如建立科技產業照護媒合機制（如搜尋國外創新照護產品、擴大長照媒合平臺）、建置示範場域等。另一個方法是強化高齡者社區安全防護，以及居家醫療整合，像是強化緊急救助系統、輔導廠商和醫療業者建置單一窗口等。最後一個方法是強化社區友善環境，比如提高高齡者交通運輸便利性、普及高齡友善且可負擔住宅、建立失智友善環境。<a href="https://youtube.com/live/zN1TPUnwWQ8?si=EnSIkaIECMiOmarE&t=22129">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9D%A2%E5%90%912(1).png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫病溝通 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>生成式AI於醫療新可能，跨國數位照護平臺提4大醫療情境</strong></span></p> <p>ChatGPT爆紅，國內外各大產業爭相採用、要找出最佳應用情境，醫療業也不例外。全球用戶2,400萬人的跨國數位醫療公司Babylon首席科學家Saurabh Johri日前接受美國醫療資訊暨管理系統協會（HIMSS）旗下媒體採訪時建議，ChatGPT可用於4大醫療情境，首先是提供患者更完善的疾病說明，比如彙整不同來源的數據，來解釋疾病狀況和治療策略，這種做法也能用於衛教知識。甚至透過「語氣轉換」，還能將難懂的醫學術語，轉化為白話解釋，來告知患者，或根據患者的閱讀程度，以簡單的說明來告知疾病資訊。</p> <p>對醫師來說，生成式AI還可簡化行政流程，比如自動撰寫轉介信件、快速產出會診報告和疾病代碼等。不只如此，Saurabh Johri透露，他們正在自家產品部署生成式AI，來加速遠距醫療諮詢，要更快對VIP客戶提供專業協助。但他也指出，這類生成式AI並不全然是正確的，偶爾也會產出錯誤答案，不過使用者可用豐富的臨床資料來微調這些模型，並以臨床資料來驗證，「新技術已經到來，就看高階主管和創新者如何運用，」他說。<a href="https://www.healthcareitnews.com/news/primer-generative-ai-and-what-it-could-mean-healthcare">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ONC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 現代化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 互通性 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美醫療IT辦公室建議國會：應加速美國醫療IT系統現代化</strong></span></p> <p>美國國家醫療IT協調辦公室（ONC）在最近交給美國國會的報告中，說明了美國國內電子健康記錄（EHR）資訊的互通進展，比如截至2021年，全美已有96%的非聯邦急診醫院和近8成內科醫師使用ONC認證的EHR系統，比起2011年，增加7成使用者，且民眾存取個人病歷資訊的比例，也從2017年的5成多增加至2020年的6成以上。</p> <p>但報告也點出不足之處，像是醫療院所和公衛組織系統應現代化改造、州與州之間的EHR資訊交換程度不夠，另外，美國政府雖獎勵醫院採用經核准的EHR系統，但這個獎勵措施並不適用健康照護機構、長照、臨終關懷等機構，因此影響醫院與這些機構的資料互通。ONC也提出6大建議給國會，比如健康資訊要平等共享、推動醫療系統現代化、落實TEFCA框架和跨體系資料共享獎勵等措施，來提高EHR資訊互通。<a href="https://www.healthit.gov/sites/default/files/page/2023-02/2022_ONC_Report_to_Congress.pdf">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">中國附醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式效率 </span></strong></span></p> <p><span style="font-size:22px;"><strong>中國附醫用ChatGPT試打護理記錄和優化程式效率</strong></span></p> <p>中國附醫AI中心副主任游家鑫揭露中國附醫如何ChatGPT嘗試。首先，他先用來改善研發會議記錄，由於當時ChatGPT API尚未釋出，他先採用OpenAI同類型、媲美GPT-3的語言模型text-davinci-003 API與語音轉文字模型Whisper API，來串接至Teams協作平臺，先即時將會議轉錄為逐字稿，再透過Davinci模型API來摘要重點，如此迅速生成會議記錄。經1個多月使用，團隊認為成效良好。</p> <p>接著，他們進一步用ChatGPT來摘要護理記錄。團隊先下載Whisper模型原始碼，先用預訓練版本模型來轉錄護理師口述記錄，後以護理記錄來重新訓練模型，將辨識準確率從7成提高至94%，再透過ChatGPT來摘要記錄。另一個嘗試則是用來提高程式效率，比如將耗能的程式碼輸入ChatGPT來改寫，找出有問題的幾行程式碼，再來改寫。經測試，效能可提高30%。游家鑫透露，中國附醫也思考用ChatGPT快速生成程式，來給臨床醫師使用，另也可用來產出程式碼註釋，以利後續智慧醫材取證時的技術文件準備，也能加速研發與法務的溝通。<a href="https://www.ithome.com.tw/news/155840">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台灣牙e通 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> K8s </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端診所 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺灣牙醫新創用K8s管理雲端HIS，下一步要串接商業保險</strong></span></strong></p> <p>本土牙醫新創台灣牙e通打造雲端牙科HIS，採Google雲服務來營運系統，並搭配主流容器管理平臺K8s來自動管理程式，是臺灣少數採用雲端和K8s的醫療系統廠商。進一步來說，這種SaaS服務模式可快速因應政策變動，比如當健保程式調整時，只需統一修改雲端HIS系統即可，不必一一到診所現場更新。同理，未來若衛福部全面要求醫事機構改用FHIR來交換資料，台灣牙e通也只需調整一次雲端版系統，就能支援所有診所。</p> <p>採用K8s可自動調配伺服器資源，不必人工介入。比如他們有家老牌牙醫診所客戶，每日都有上百位患者需治療，且擁有龐大的病歷資料，是一般診所的3到5倍，因此當診所流量大時，就會觸發K8s自動擴充功能來調度伺服器資源。另一方面，他們也開發牙周病風險偵測AI，目前正在取證中，接下來要與保險公司串接，讓病人在得知牙周病風險的當下，就能接受保險給付並治療。<a href="https://www.ithome.com.tw/people/155761">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高雄市 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 衛生局 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ESG </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>高雄市衛生局跨產官學成立ESG健康企業聯盟</strong></span></strong></p> <p>高雄市衛生局聯手高雄市各衛生局和市立醫院，來推動企業員工照護數位轉型、打造南臺灣ESG健康幸福企業聯盟，其中採用緯創醫學的Health365平臺作為數位工具，來供企業使用。</p> <p>這個Health365平臺有幾個主要功能，比如健走地圖，可記錄企業員工在辦公大樓或附近公園的健身活動，另一個功能是關卡集點，能透過集點兌換紀念品和健康商品，來提高員工參與度。還有一個功能是「我的餐盤」，是根據國健署最新的國人飲食指南，來讓使用者記錄飲食習慣，並規畫出個人化的均衡飲食計畫。去年，高雄市立大同醫院就已採用這款平臺，在3個月的健走競賽中，已累積了1.66億步。<a href="https://www.kmtth.org.tw/Web/KMTTHInterWeb/News/ShowMsgDetail/2020010638?msgid=17383&Type=New">（詳全文）</a></p> <p>圖片來源／國科會YouTube、衛福部長照司</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 麻省總醫院新試點專案用VR遠端照護血癌患者</strong></strong></p> <p><strong><strong>2. GE醫療聯手中國製藥大廠，要開發一般醫學影像系統</strong></strong></p> <p>資料來源：iThome整理，2023年3月</p> </div></div></div>
2023/3/15 17:22作者王若樸https://www.ithome.com.tw/news/155944
語言學習平臺Duolingo採用GPT-4推個人化學習服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>語言學習平臺Duolingo發布採用大型語言模型GPT-4的新產品<a href="https://blog.duolingo.com/duolingo-max/">Duolingo Max</a>，借助最新的人工智慧技術加入兩大新功能，分別是解釋我的答案（Explain My Answer），以及角色扮演（Roleplay），提供用戶個人化語言學習體驗。</p> <p>Duolingo Max是比Super Duolingo更新的訂閱方案，採用OpenAI剛發布的GPT-4，Duolingo Max擁有Super Duolingo的所有功能，但是更多了兩項由AI加持的新功能Explain My Answer和Roleplay。Explain My Answer能夠解析語言學習者，在語文練習題答對或是答錯的原因，在用戶回答完某些練習題類型之後，便可以點擊Explain My Answer按鈕與人工智慧進行對話，人工智慧便會提供正確或是錯誤答案的簡單解釋，用戶也能夠要求更多範例和說明。</p> <p>而Roleplay功能則是可讓語言學習者，在應用程式練習現實世界可能發生的對話，像是與朋友討論度假計畫，或是在咖啡館點餐等，在Roleplay中，人工智慧將會扮演特定情境中的角色，與學習者對話，官方提到，由於這個功能來自大型語言模型，因此每次對話都獨一無二，在對話之後，Duo會針對學習者回應的精準度和複雜度給出回饋，並且提供未來對話建議。</p> <p>Roleplay的情境由人類編寫，課程設計專家會設計對話一開始的提示，以確定人工智慧對話內容和情境一致。官方表示，他們會持續審查Explain My Answer和Roleplay人工智慧所產生的解釋，保證答案符合事實和語氣正確。</p> <p>目前Duolingo Max雖然已經開放所有人訂閱，但是用戶僅能在iOS平臺上使用，專供英文母語人士學習西班牙文和法文，官方預告將會增加更多語言課程和支援的平臺。Duolingo提醒用戶，雖然他們已經和OpenAI合作數個月，經過測試和訓練盡可能消除錯誤，但是人工智慧仍可能出錯，因此用戶收到有問題的回應，可以透過回報系統反應。</p> </div></div></div>
2023/3/15 15:45作者李建興https://www.ithome.com.tw/news/155937
AWS開源檔案客戶端Mountpoint，供用戶在本地檔案系統掛載S3物件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS開源適用於Amazon S3的檔案客戶端<a href="https://aws.amazon.com/tw/blogs/storage/the-inside-story-on-mountpoint-for-amazon-s3-a-high-performance-open-source-file-client/">Mountpoint</a> Alpha測試版，Mountpoint以程式語言Rust開發，能將本地檔案系統的API呼叫，轉換成為S3物件的API呼叫，適合用於處理PB級資料，或是跨數千個執行個體的讀取密集資料湖工作負載。</p> <p>AWS開發Mountpoint的原因，官方解釋，因為部分資料湖用戶使用特定領域的工具，這些工具輸入和輸出皆為本地檔案系統的檔案，而不支援S3物件API。像是開源的Linux基因組學研究工具便需要對本地檔案系統讀取定序資料，又或是機器學習訓練工作管線，也需要在本地檔案系統儲存檢查點檔案。</p> <p>用戶要將這些應用串接上S3可能是一件複雜的工作，又或是缺乏應用程式的原始碼，因此也無法達成這樣的目標。Mountpoint是開源檔案客戶端，能夠讓Linux應用程式簡單地連接到S3儲存桶，並且使用檔案API存取物件，Mountpoint擅長處理需要平行讀取、生成大量S3資料，且不需要更新既有S3物件的任務。</p> <p>Mountpoint使用戶能夠將S3儲存桶或是前綴，映射到執行個體的檔案系統命名空間，把儲存桶的內容當作本地檔案一樣取用，對S3進行GET和PUT操作，並且在不需要更改程式碼和擔心效能配置下，就可達到每秒TB級的聚合吞吐量。</p> <p>不過，Mountpoint畢竟不是通用網路檔案系統，因此存在一些檔案操作限制，目前Alpha測試版還不支援寫入物件，官方提到，未來Mountpoint也只會支援序列寫入新物件。因此需要執行跨執行個體或是用戶協作的共享檔案應用程式，AWS建議使用FSx或是EFS等全託管檔案服務。</p> <p>當資料湖應用程式不需要使用其他檔案系統檔案讀取大型物件，或是只需要對單一節點寫入物件，則Mountpoint便是可高效能存取S3的好用工具。AWS目前已經釋出Mountpoint Alpha測試版，用戶可以在GitHub上取用程式碼。</p> </div></div></div>
2023/3/15 16:26作者李建興https://www.ithome.com.tw/news/155938
Meta放棄Facebook、Instagram的NFT計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>景氣不佳加速Web 3.0等新科技退燒，Meta持續減少低優先性專案的投資，<a href="https://twitter.com/skasriel/status/1635386565487898624" target="_blank">本周宣布</a>，將停止Instagram（IG）的非同質化代幣（NFT）專案，但強調會有其他資助創作者的計畫。</p> <p>Meta FinTech主管Stephane Kasriel指出，為了專注在高優先性業務，公司重新審視全公司專案，決定暫時關閉數位收藏品（NFT）計畫，將改以其他方式支持創作者。</p> <p><a href="https://www.ithome.com.tw/news/149944" target="_blank">Meta於去年提供創作者在IG上鑄造NFT</a>，並可在臉書及IG上展示。</p> <p>但自去年春天以來，全球因俄烏戰爭及通膨因素導致景氣反轉，創投熱潮衰退殃及區塊鏈、加密貨幣或NFT等新興科技及其投資人。另一方面，Meta及其他大型科技業者也因廣告主或客戶投資縮減，被迫裁員以及縮減開支。</p> <p>Kasriel指出，公司仍會支持創作者及企業，但將著重「具有大規模影響力」的領域，像是訊息服務或短影片服務Reels獲利模式，以及Meta Pay。此外，Meta也將持續投資金融科技以利於創作者賺取營收，包括改善Meta Pay支付、結帳手續，以及全Meta平臺上的Facebook Messaging支付。</p> <p>周二Zuckerberg宣布公司第二波人數上萬的大裁員，並重申「效率之年」計畫，強調資源集中重要領域，關閉優先性較低的專案。<a href="https://www.ithome.com.tw/news/155698" target="_blank">開發生成性AI技術整合到各項App將是Meta的重點</a>。其他當初受高度期待的業務，如元宇宙硬體或智慧螢幕等產品，已在去年11月遭大幅精簡人事。</p> </div></div></div>
2023/3/15 13:27作者林妍溱https://www.ithome.com.tw/news/155934
Meta持續看壞景氣，再裁1萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/155521" target="_blank">去年11月首次大規模裁員1.1萬人</a>，<a href="https://about.fb.com/news/2023/03/mark-zuckerberg-meta-year-of-efficiency/" target="_blank">Meta昨（14）日宣布</a>，為因應經濟情勢持續低迷，將啟動第二波裁員行動，再減1萬人。</p> <p><a href="https://www.facebook.com/story.php?story_fbid=pfbid0382gobPjUPCEGVWwrJJvuNCEhoZHgxT1q9mm3BMm9hMYKKqSxj2zaqaPeYBw3GFFel&id=4" target="_blank">Meta執行長Mark Zuckerberg透過其臉書貼文宣布</a>，公司將自本周精簡招聘部門、從4月底開始針對數個科技部門啟動組織瘦身，並在5月底裁減業務部門人事，也會擴及美國及海外分公司。他預告第二波組織異動會持續到今年年底，總計裁撤約13%，大約1萬個職位，並將約5,000個已開啟的職缺關閉。</p> <p>Zuckerberg說，這是為了因應現有經濟情勢可能將持續好幾年而做準備，不利因素包括高利率、地緣政治的不穩定、嚴格法規及通膨帶動的成本增加等。</p> <p>但公司計畫在組織重整後各個部門會再重啟招聘及人事調動。</p> <p>這也是繼去年裁員1.1萬人後，今年初Meta因應經濟情勢嚴峻宣布的組織改造計畫的一環。Zuckerberg在2月初的財報會議上，宣布「效率之年」計畫，推動包括裁員、組織扁平化及移除中間管理角色以加速內部溝通，以及刪減低優先性專案、拉抬重要性高的專案等措施。Zuckerberg表示這些都會在未來幾個月內啟動。</p> <p>其他措施包括今年夏天檢討分散式作業的成效，並導入AI工具如Bucks2自動化部門程式碼開發，或找出不必要的流程等。</p> <p>其他科技公司也持續勒緊褲帶中。<a href="https://www.platformer.news/p/microsoft-just-laid-off-one-of-its" target="_blank">媒體報導</a>，微軟在今年稍早的萬人裁員計畫中，裁撤了負責AI倫理及安全的部門。此外，<a href="https://www.cnbc.com/2023/02/22/google-asks-some-employees-to-share-desks-amid-office-downsizing.html" target="_blank">Google也傳出為了節省開支</a>，而要求紐約、舊金山、華盛頓及加州森尼維爾（Sunnyvale）市辦公室員工共享辦公桌及隔間。</p> </div></div></div>
2023/3/15 12:23作者林妍溱https://www.ithome.com.tw/news/155932
Google把生成性AI整合到Gmail、Google Docs、Meet等應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在嘗試將生成性AI（Generative AI）Bard整合到Google搜尋後，<a href="https://workspace.google.com/blog/product-announcements/generative-ai" target="_blank">Google本周再宣布Gmail及Workspace生產力工具也將整合最新的生成性AI工具</a>。</p> <p>Google很早就在其郵件及生產力工具整合AI功能，像是<a href="https://www.ithome.com.tw/news/129737" target="_blank">2019年</a>及<a href="https://www.ithome.com.tw/news/123650" target="_blank">2020年</a>分別為Gmail加入智慧撰寫（Smart Compose）及智慧回覆（Smart Reply），也為Google Docs加入自動產生摘要的功能，以及為Google Meet加入自動讓眼神集中的AI技術等。而在最新的宣布下，Google將把生成性AI整合到Workspace雲端工具，包括Gmail、Google Docs、Sides、Sheets以及Meet和Chat之中。</p> <p>新功能包括為起草文件、郵件內容、自動產生回覆訊息、按優先性排序郵件、文件內容自動校正、自動為Slides簡報加入圖片、音訊檔及影片、為Sheets試算表原始資料自動產生分析、建立公式或情境化的分類。AI功能也可為Meet自動加入背景或擷取紀錄、或是以Chat為控制端點，整合自動化流程。</p> <p>一開始新AI功能會部署到Docs和Gmail中。在撰寫功能方面，用戶只要輸入想撰寫主題，AI技術會立刻生成一篇草稿，再由使用者潤飾、編輯，AI也會同時提供建議。使用者也可針對AI提供的郵件或文件範本改寫語氣及格式，或是按Gmail的「好手氣」選項，允許AI加入更俏皮的語氣。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Docs_Web_030823.gif" target="_blank"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Docs_Web_030823.gif" style="width: 300px;" /></a><a href="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Gmail_Mobile_16x9_030823.gif" target="_blank"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Gmail_Mobile_16x9_030823.gif" style="width: 300px;" /></a></p> <p>新功能會從本月針對美國地區、英語用戶啟動限定測試，再逐步擴大給更多國家及語言版的消費者、小型企業、中大型企業、教育用戶。不過Google未說明Sheets、Slides及Meets、Chat的AI功能何時上線。</p> <p>Google表示，在負責任AI的原則下，用戶可以決定是否允許AI提供建議，也可修改及編輯。</p> <p>不是Workspace的組織可以透過免費工作用帳戶Google Workspace Starter試用AI功能。</p> <p>微軟在投資OpenAI後，也積極將ChatGPT整合到其Bing及Edge瀏覽器，外界預期下一步是整合到生產力軟體Office/Microsoft 365中。</p> </div></div></div>
2023/3/15 12:35作者林妍溱https://www.ithome.com.tw/news/155933
史丹佛大學開源輕量指令遵循模型Alpaca 7B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於當前缺乏學術用的指令遵循（Instruction-Following）模型資源，因此史丹佛大學基礎模型研究中心，開發出<a href="https://crfm.stanford.edu/2023/03/13/alpaca.html">Alpaca 7B模型</a>並開放給學術目的使用。Alpaca是以Meta的LLaMA 7B模型作為基礎，並使用OpenAI text-davinci-003模型所生成的5,2000個指令遵循演示範例微調而成，其具有與text-davinci-003非常類似的行為，特性是成本低易於複製。</p> <p>目前不少應用整合GPT-3.5、ChatGPT、Claude和Bing Chat等指令遵循模型，以加入人工智慧功能，不過這些模型在提供強大的功能之外，也帶來了許多風險，研究人員提到，指令遵循模型仍然存在許多缺陷，包括產生虛假資訊、有毒文字，並且傳播社會刻板印象，雖然這些問題急需解決，但目前學術界因為沒有行為接近閉源模型的開源模型，因此學術界難以參與研究。</p> <p>要以學術預算訓練高品質的指令遵循模型，面臨兩大問題，第一是需要強大的預訓練語言模型，第二則是高品質的指令遵循訓練資料。Meta最近發布的預訓練語言模型LLaMA解決了第一個問題，而第二個問題則可應用現有語言模型，自動生成指令資料來解決。</p> <p>Alpaca便是使用LLaMA模型，再以52,000個指令遵循演示範例進行微調而成。研究人員先以175個人工編寫的指令輸出對開始，並要求text-davinci-003以這175個種子指令集當作上下文，產生更多的指令，最後生成5,2000個指令遵循演示範例，OpenAI API使用總成本不到500美元。</p> <p>準備好52,000個指令遵循演示範例之後，研究人員使用Hugging Face訓練框架微調LLaMA模型，微調過程在雲端平臺使用8個A100 80GB GPU，微調LLaMA 7B模型需要3個小時，成本約為100美元。</p> <p>總共花費不到600美元訓練的Alpaca模型，在電子郵件寫作、社交媒體和生產力工具任務，和text-davinci-003進行盲測，研究人員發現兩個模型的效能非常相近，而且因為模型尺寸小，指令遵循資料集也不算大，因此Alpaca模型的表現相當讓人驚艷。</p> <p>Alpaca模型也存在語言模型常見的問題，會生成包括幻覺、有毒和刻板印象內容，且可用於產生以假亂真的誤導資訊。Alpaca模型是一個相對輕量的模型，能夠作為研究這些缺陷的基礎，基礎模型研究中心現在釋出Alpaca模型網頁展示、微調用指示集、微調模型的參數，之後研究人員也還會釋出模型權重和訓練程式碼。</p> <p>釋出上述資產讓學術界能夠對語言模型進行科學研究，以找出解決當前語言模型缺陷的辦法，不過這也使得惡意人士，能夠更方便地創建有害模型，但研究人員認為釋出Alpaca模型利大於弊。為了避免Alpaca模型網頁展示被濫用，他們使用了OpenAI內容審核API過濾內容，另外還對模型輸出加上浮水印，以方便偵測輸出是否來自Alpaca 7B模型。</p> <p>Alpaca僅能用於學術研究，禁止任何商業用途，因為LLaMA使用非商業授權，Alpaca以LLaMA為基礎，因此也繼承了非商業用途的要求，另外由於指令資料來自於OpenAI的text-davinci-003模型，其使用條款禁止用於開發和OpenAI競爭的模型，再來是Alpaca還沒有足夠的安全措施，因此無法部署在一般用途上。</p> </div></div></div>
2023/3/15 08:30作者李建興https://www.ithome.com.tw/news/155922
微軟證實新版Bing就是用GPT-4，冰島政府與摩根史坦利等多家企業也正在用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在OpenAI組織<a href="https://www.ithome.com.tw/news/155929">發布GPT-4新版模型</a>同時，微軟消費事業群行銷長Yusuf Mehdi也證實，早在<a href="https://www.ithome.com.tw/news/155429">2月初發表</a>的新版Bing，用的就是GPT-4模型，來客製化出微軟的新版搜尋引擎。不只微軟，OpenAI組織也同時公布了多家正在試用GPT-4的企業或政府單位，包括金融業摩根史坦利，冰島政府，Stripe支付平臺、可汗學院、Duolingo語言學習平臺、Be My Eyes視障者輔助App等。</p> <p>微軟先前公布新版Bing時，只強調採用了比GPT-3.5更準確更強大的語言模型Prometheus，可以將Bing搜尋排序和索引結果，整合到次世代GPT模型，再透過Bing調度器來回答使用者的問題。現在答案揭曉，這款次世代GPT就是GPT-4。不過，微軟利用了GPT-4的高度可控制性，加上了AI可解釋性的諸多限制，來打造一個客製化的GPT-4版本，以確保搜尋結果更符合AI倫理的要求。換句話說，可以將新版Bing視為GPT-4的客製化實例。</p> <p>目前在Bing.com網站上提供的搜尋、回答、聊天和寫作，背後都是用了GPT-4模型，不過，Bing還沒有提供GPT-4的圖片輸入能力。</p> <p>微軟在3月初已經將新版Bing預覽版，整合到Edge手機App和Skype，也要將Bing搜尋引擎整合到Winodws桌面版可輸入文字的任務列和搜尋列。</p> <p><strong>2023/3/15 10:40 更正啟事：原提及使用企業為摩根大通有誤，正確應為摩根史坦利集團。</strong></p> </div></div></div>
2023/3/15 09:58作者王宏仁https://www.ithome.com.tw/news/155931
微軟預覽生成式AI專用虛擬機器ND H100 v5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出最新用於大規模人工智慧運算的虛擬機器系列ND H100 v5，該虛擬機器系列採用Nvidia新的資料中心等級GPU H100，用戶可以按需配置8到數千個GPU，這些GPU可透過NVSwitch和NVLink 4.0技術相連，可提供更高的人工智慧運算效能。</p> <p>ND H100 v5所使用的<a href="https://www.ithome.com.tw/review/152926">H100</a>，是Nvidia去年剛發布目前該公司最先進的資料中心GPU，無論是在高效能運算、人工智慧模型推理還是訓練，效能都較上一代<a href="https://www.ithome.com.tw/news/144812">ND A100 v4虛擬機器</a>，所使用的Nvidia A100 Tensor Core GPU高上數倍，H100模型訓練可比A100快達9倍，模型推理甚至可快達30倍。</p> <p>除了製程的進展之外，H100特別之處在於內建了一個稱為Transformer Engine的加速運算引擎，能夠加速以Transformer神經網路架構為基礎的人工智慧模型，像是GPT-3.5或是RoBERTa等預訓練模型。同時H100還支援機密運算，Nvidia將原本僅能在CPU中提供的機密運算資料保護擴展到GPU上，供用戶安全地執行企業專屬模型，避免人工智慧模型未經授權存取。</p> <p>ND H100 v5中H100 Tensor Core GPU以NVSwitch和NVLink 4.0互連，每個虛擬機器的8個本地GPU，擁有3.6TB/s的對分頻寬（Bisectional Bandwidth），而GPU則是以PCIE 5.0和主機相連，每個GPU頻寬為64GB/s。</p> <p>ND H100 v5使用第4代Xeon Scalable處理器，並且具有DDR5記憶體，使用非阻塞廣樹（Fat-Tree）網路，每個虛擬機器具有3.2Tb/s頻寬，而每個GPU則有400 Gb/s網路頻寬。<a href="https://www.ithome.com.tw/tech/155638">第4代Xeon Scalable處理器</a>是英特爾在2023年初才剛推出的產品，採用10奈米製程，內建高階矩陣擴充（AMX）加速器，能夠提高人工智慧工作負載的處理效能。</p> </div></div></div>
2023/3/15 08:32作者李建興https://www.ithome.com.tw/news/155925
Google與MongoDB擴大合作強化雙方系統整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/partners/mongodb-expands-partnership-with-google-cloud">Google擴大與MongoDB從2018年以來的合作</a>，除了增加一倍MongoDB Atlas在Google雲端基礎設施的使用外，還要在Google自家雲端產品強化MongoDB整合，使雙方產品能夠更好地運作，同時共同協助新創建立事業。</p> <p>接下來Google BigQuery和MongoDB將會更深入的整合，提供客戶更加一體的分析解決方案，新功能將簡化資料從BigQuery串流至MongoDB的步驟，減少開發人員的工作，使用戶能更容易建立複雜的分析應用。用戶在MongoDB的資料也將能方便地應用Google人工智慧服務，透過增加MongoDB與Vertex AI的整合、新的參照架構，使企業可靈活地開發人工智慧應用。</p> <p>Google與MongoDB的合作，也會強化資料主權功能，MongoDB加入Google Cloud Ready-Sovereign Solutions計畫，使企業可以在使用MongoDB的同時，也能滿足本地資料治理和資料主權的需求。</p> <p>另一個Google與MongoDB合作重點，是要改善Atlas和Google雲端服務的搭配使用，以加速用戶產品上市進程，官方提到，用戶將可以在Google執行個體良好地部署MongoDB的產品，使Atlas和BigQuery能夠共享交易資料，執行複雜且即時的分析。在加速用戶產品上市的目標下，Google與MongoDB將會在實作、工程和支援團隊更緊密合作，使用戶在Google雲端靈活部署Atlas。</p> <p>新創公司也能夠在此次Google與MongoDB擴大合作下受惠，Google與MongoDB將會建立資源協助新創快速執行MongoDB，並且提供MongoDB和Google雲端產品點數以及上線支援，同時也會提供滿足新創公司特殊需求的工具，像是快速擴大或是縮小規模的基礎設施等。</p> </div></div></div>
2023/3/15 08:34作者李建興https://www.ithome.com.tw/news/155927
小心借用ChatGPT名義來竊取臉書帳號的Chrome擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當紅的ChatGPT持續遭到駭客利用，<a href="https://labs.guard.io/fakegpt-new-variant-of-fake-chatgpt-chrome-extension-stealing-facebook-ad-accounts-with-4c9996a8f282" target="_blank">資安業者Guardio在上周揭露了一款名為「Quick access to ChatGPT」的Chrome擴充套件</a>，它同時濫用了ChatGPT、Google與Facebook的合法API，其中一個主要目的是為了挾持並接管臉書用戶的帳號，特別是存有廣告額度的臉書企業帳號。</p> <p>Guardio是在今年的3月3日偵測到此一變種的惡意ChatGPT擴充套件，發現每天都有超過2,000名使用者安裝該擴充套件，且每一名受害者的臉書帳號都遭竊，無一倖免。Google則是在收到Guardio的通知後，於3月9日將它自Chrome Web Store下架。</p> <p>駭客是先在臉書上刊登廣告，吹噓只要安裝了「Quick access to ChatGPT」就能直接於瀏覽器及Google搜尋中使用ChatGPT，例如當使用者於Google搜尋列輸入問題時，結果頁的右邊即會出現另一個視窗，展示源自ChatGPT的答案。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/v2/resize:fit:720/format:webp/1*N_117h-kpxFLRgfzxPP6MA.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Guardio</span></span></p> <p>然而，此一已整合至Chrome瀏覽器的擴充套件，卻可於背景竊取所有受害者正使用服務的已授權對話Cookie，還能採用量身打造的策略來接管受害者的臉書帳號。</p> <p>因為在它堂而皇之地登上Chrome Web Store並安裝在受害者的Chrome瀏覽器之後，即可合法呼叫各種Chrome與臉書API，存取受害者各種服務的所有Cookie，包含安全與對話令牌，從YouTube、Google、Twitter到臉書不等，倘若受害者恰巧擁有臉書的企業帳號，那麼它還會蒐集受害者目前正在進行的臉書推廣活動及廣告餘額，並將所有的資料傳送至駭客所掌控的C2伺服器。</p> <p>駭客對臉書企業帳號特別感興趣，只是所使用的惡意模組並非企圖以對話令牌繞過2FA或是取得帳號密碼，而是藉由惡意的臉書應用程式來接管受害者的臉書帳號。</p> <p>Guardio說明，臉書生態體系中的應用程式通常是個獲准使用特殊API的SaaS服務，以讓第三方服務能夠取得帳號資訊並代替使用者進行操作，惡意模組即濫用ChatGPT的跳出視窗，代替使用者傳送請求至臉書伺服器，而且把於帳號中註冊應用程式的過程完全自動化，進而得到完整的管理模式。</p> <p>其中一個已經被臉書批准的惡意應用程式幾乎請求了所有的權限，得以讓駭客控制受害者的臉書檔案，擁有所有社團、粉絲頁及廣告帳號的管理權限，甚至能夠控制該臉書帳號與WhatsApp及Instagram帳號的連結。</p> <p>在取得了受害者的臉書企業帳號之後，駭客即可利用這些帳號的資源，再於臉書上展開「Quick access to ChatGPT」惡意擴充套件的廣告活動。</p> <p>Guardio指出，「Quick access to ChatGPT」不僅登上了Chrome的官方商店，還濫用了理應觸發臉書政策的應用程式API，更遑論這類的惡意廣告很容易得到臉書的批准；此外，Google也依舊放任搜尋結果中的惡意廣告，讓YouTube頻道被挾持以推廣加密貨幣詐騙，臉書亦持續允許那些模仿臉書自家程式且請求大量權限的仿冒程式。</p> <p>Guardio奉勸使用者不要再盲目信任這些大品牌，不要點選第一個搜尋結果，也不要點擊不確定幕後推手的廣告連結與貼文。</p> </div></div></div>
2023/3/15 09:12作者陳曉莉https://www.ithome.com.tw/news/155930
更強更正確的新版GPT-4來了！最大特色是能輸入圖片，不只能解釋還能看設計草圖生成對應網頁程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI正式推出了GPT-4模型，最大特色是不只文字對話還能輸入圖片，讓AI來解讀，而且解答能力和正確率大幅超越了GPT-3.5，也更能控制GPT輸出人設來符合企業想要的的形象，輸入Token數量也將大幅增加到32,768個，相當於50頁文字。目前先開放了文字輸入API功能，ChatGPT Plus付費用戶可優先排入試用新版。圖片輸入功能目前則只開放給特定合作夥伴。</p> <p>GPT-4是一個多模態AI超大模型，可接受圖片和文字輸入，來生成文字的回覆，可以提供人類等級的回答內容。根據OpenAI實測，在全美統一律師資格考檢定上，3.5只能拿到倒數10%的名次，但GPT-4卻能拿到前10%的高分。或像是在SAT數學測驗或GRE測驗等三十多項不同學科的主流檢定測驗上，GPT-4都大勝3.5版。</p> <p>Open AI花了6個月時間，利用ChatGPT和其他多項對抗式測試計畫來調整，終於打造出答案更真實、更可操控和更能防範濫用的新一代GPT-4。</p> <p>雖然GPT-4和3.5版的訓練資料同樣都只使用到2021年9月為止的開放網路資料，但是4.0再多項傳統機器學習能力評比上，都超越了3.5版，甚至多項都達到SOTA等級。甚至在1,4000題多選題測試的MMLU（理解力）評比上，OpenAI宣稱，GPT-4英文答題的正確率達到80.5%，高於3.5版的70.1%，甚至也高於Google日前的PaLM模型英文答題的69.3%正確率，不過，PaLM答題正確率是OpenAI自行實測的結果，而非Google官方數據。值得注意的是，GPT-4對翻譯成中文版的MMLU答題正確率也達到了80.1%，日語和韓語版也都有70～80％的正確率。</p> <h3><strong><span style="color:#FF0000;">不只是文字模型也是視覺模型，可同時輸入圖片和文字而生成文字解釋</span></strong></h3> <p>除了答題能力更正確之外，第4版最大特色是能看圖，而且可以同時輸入指定圖片和圖片，GPT-4會以文字來解釋圖片內容，並且符合文字任務的要求。輸入的圖片可以是照片、圖表或螢幕解圖。未來，GPT-4還將持續強化解圖能力，例如可以輸入多組圖片範例，或是提供分解動作解釋的解圖（chain-of-thought）能力。</p> <p> </p> <p>根據OpenAI使用多項標準學術視覺模型能力評比來實測，GPT-4解圖能力在不同評比的結果落差很大，在圖表或圖片問答評比如ChatQA、InfographicVQA、DocVQA達到SOTA程度，但也有些評比如VQAv2、LSMDC等還有不小的落差。目前圖片輸入功能還處於研究者預覽版本，沒有對外開放，OpenAI也沒有透露可能的開放時程。</p> <p>另一個值得注意的新版特色是操控性（Steerability），可以透過人設指定，例如回答的用語、風格、語調等條件，來限制GPT-4的回覆行為。例如在API中透過system角色，要求GPT-4扮演不能直接回答答案的的數學課輔老師，在展示範例中，不管，學生怎麼問，或者試圖透過特殊指令試圖越獄，也都無法得到直接的答案。這個新功能可用來限制和控制GPT-4所能回答的限制，可供企業用來設定想要GPT-4回答的內容範圍，或者禁止回答的內容。</p> <p>為了防範AI模型遭到濫用，OpenAI在GPT-4模型中也特別針對AI濫用或不當使用進行強化，目前實測上，gpt-3.5-turbo對敏感指令（例如違反倫理的指令）的攔截失誤率超過40%，但GPT-4可以降低到20％出頭，等於5次會誤判一次，或不良行為指令的阻擋失誤率更不到5%（例如犯罪行為教學等），例如禁止生成色情或犯罪相關的內容。</p> <h3><span style="color:#FF0000;"><strong>Token數量增加8倍，最多可輸入32768個，等於2萬多字中文</strong></span></h3> <p>在GPT-4的API中另一個企業用戶在乎的新功能是輸入Token的上限，最大放寬到32K，比GPT-3.5的4k，多了8倍，達到32,768個Token之多。以每千次中文約700個Token來估算，32k的Token等於可以輸入超過2萬字中文的內容。不過，目前開放的GPT-4版本只提供8K版本，也就是比原本3.5多了一倍，達到8,192個Token，32K版引擎目前先開放特定對象試用。目前GPT-4效能也只達到每分鐘處理40K個Token或每分鐘200次呼叫的能力，OpenAI表示，正在持續優化中。</p> <p><strong>OpenAI共同創辦人Greg Brockman透過直播展示GPT-4最新特色</strong></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/outcGtbnMuQ" title="YouTube video player" width="560px"></iframe></div> <h3><span style="color:#FF0000;"><strong>GPT-4如何解讀圖片的6大示範</strong></span></h3> <p><font color="#ff0000"><b>示範1:可以用來解釋組合圖中各自小圖的重點</b></font></p> <h3><span style="color:#FF0000;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A4%BA%E7%AF%84%E5%9C%961%E8%A7%A3%E9%87%8B%E5%9C%96%E7%89%87.png" /></strong></span></h3> <p><font color="#ff0000"><b>示範2:可以用來解讀圖表內容</b></font></p> <p><font color="#ff0000"><b><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A4%BA%E7%AF%84%E5%9C%962-%E8%A7%A3%E9%87%8B%E5%9C%96%E8%A1%A8.png" /></b></font></p> <p><font color="#ff0000"><b>示範3:可以看圖回答問題</b></font></p> <p><font color="#ff0000"><b><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A4%BA%E7%AF%84%E5%9C%963-%E7%9C%8B%E5%9C%96%E8%A7%A3%E9%A1%8C.png" /></b></font></p> <p><font color="#ff0000"><b>示範4:可以看圖找出圖中異常之處</b></font></p> <p><font color="#ff0000"><b><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A4%BA%E7%AF%84%E5%9C%964-%E6%89%BE%E5%87%BA%E5%9C%96%E7%89%87%E7%95%B0%E5%B8%B8.png" /></b></font></p> <p><font color="#ff0000"><b>示範5:可以解圖迷因圖片（以人類幽默感口吻來解讀）</b></font></p> <p><font color="#ff0000"><b><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A4%BA%E7%AF%84%E5%9C%965-%E8%A7%A3%E5%9C%96%E8%BF%B7%E5%9B%A0%E5%9C%96.png" /></b></font></p> <p><font color="#ff0000"><b>示範6：可以分解解讀漫畫的重點</b></font></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A4%BA%E7%AF%84%E5%9C%966-%E7%9C%8B%E6%BC%AB%E7%95%AB.png" /></p> <p> </p> </div></div></div>
2023/3/15 04:49作者王宏仁https://www.ithome.com.tw/news/155929
Google大反攻！推出5400億參數PaLM模型API，WorkSpace內建生成式AI，不只Gmail能改信還能在…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球爆紅的ChatGPT在3月初推出API切入企業市場，Google今日大動作推出用5400億參數PaLM模型打造的生成式AI開發工具Workspace，旗下機器學習平臺Vertex AI也開始提供PaLM模型API，以及多種由Google研究院與Deepmind開發的其他文字、圖像、程式碼或影音AI模型。不過，目前採審查申請制開放。</p> <p>不只如此，趕在微軟發表Office內建生成式AI之前，Google也同時宣布自家WorkSpace 套件開始內建生成式AI，先從Gmail和Google文件開始提供AI寫作輔助，例如自動回信或改寫文章等，未來不只Gmail和Docs，連Slides、Sheets、Meet和Chat服務都會內建生成式AI的功能。目前先開放給特定測試者試用。</p> <p>Google Workspace產品副總裁Johanna Voolich Wright表示，Workspace的願景是讓AI成為協作夥伴，可以跨Gmail、Docs、Slides、Sheets、Meet和Chat產品來支援。</p> <p>他也預告了未來整合生成式AI將陸續推出的功能，包括GMail自動生成草稿、自動回信、摘要或排序，而Docs則能提供腦力激盪、校對、寫作輔助、文章改寫等，而Google簡報將能提供圖片、聲音甚至是影片的自動生成。</p> <p>不只如此，Sheets則能自動分析原始資料或分類原始資料，或是讓使用者以文字描述來自動產生試算用的方程式，而Meet視訊會議也將提供自動筆記紀錄能力。目前先從Gmail和Docs開始內建生成式AI的功能。</p> <h3><strong>Google宣布在Workspace開始內建生成式AI功能，先從Gmail和Google文件開始</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Gmail%E5%B1%95%E7%A4%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-google.gif" /></p> </div></div></div>
2023/3/14 21:03作者王宏仁https://www.ithome.com.tw/news/155928
【資安日報】3月14日，惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧語言模型ChatGPT當紅，駭客假借提供相關工具來發動攻擊的情況不斷出現，而最近一起資安事故裡，攻擊者將竊密軟體包裝在Chrome延伸套件，並成功通過審核機制上架到Chrome Web Store市集，突顯這類攻擊的手法變得越來越隱蔽。</p> <p>除了時下熱門的ChatGPT，勒索軟體攻擊的態勢也同樣值得我們關注。例如，衛星網路業者SpaceX零件供應商傳出遭勒索軟體LockBit攻擊的情況，駭客揚言若不付錢，就將竊得的專利資料賣給相關競爭對手。</p> <p>回到國內，去年因摔壞國寶引起各界撻伐的故宮博物院，傳出館藏文物的數位圖檔外流事故。該單位也證實確有此事，並指出外洩的原因是承辦人員將資料搬移到連結到網際網路的應用系統上。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/fakegpt-new-variant-of-fake-chatgpt-chrome-extension-stealing-facebook-ad-accounts-with-4c9996a8f282"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌ChatGPT瀏覽器延伸套件企圖竊取臉書帳號，目的是投放惡意廣告</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1N_117h-kpxFLRgfzxPP6MA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1N_117h-kpxFLRgfzxPP6MA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露假借ChatGPT名號的惡意Chrome擴充套件，一旦使用者依照指示安裝，此擴充套件就有可能協助攻擊者偵察受害電腦的Cookie，並將這些資訊回傳C2伺服器進行解析（而且C2是架設在Cloudflare的Workers服務），然後得到與臉書有關的Cookie及連線階段（Session）資料，接著再以此挾持受害者臉書帳號，並在受害電腦部署惡意版本的臉書應用程式，投放惡意廣告。</p> <p>研究人員在3月3日於Chrome Web Store發現上述擴充套件，Google獲報後9日將其下架，這段期間每天約有2千次下載。</p> <p><a href="https://www.securityweek.com/zoll-medical-data-breach-impacts-1-million-individuals/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">醫療設備廠商Zoll Medical資料外洩，波及百萬人士</span></strong></a></p> <p>提供AED及心肺等生理監控裝置的Zoll Medical證實於1月遭駭，他們在1月28日發現內部網路出現異常活動並採取阻斷措施，偕同外部資安專家著手調查，初步發現攻擊者在2月2日存取部分用戶資訊，包含姓名、生日、社會安全碼（SSN），推測是該公司產品用戶的個資。Zoll Medical也向美國緬因州州長總檢察長辦公室通報，指出約有1,004,443人受到影響。</p> <p><a href="https://www.theregister.com/2023/03/13/lockbit_spacex_ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">衛星網路SpaceX零件製造商傳出遭到勒索軟體LockBit入侵</span></strong></a></p> <p>根據新聞媒體The Register的報導，勒索軟體駭客組織LockBit聲稱入侵為衛星網路業者SpaceX提供零件的廠商Maximum Industries，並竊得SpaceX開發的3千個專利設計圖。</p> <p>駭客要脅Maximum Industries與SpaceX，若是不願支付贖金，他們將在3月20日出售相關資料，協助其競爭對手快速生產相關產品，並聲稱這些專利資料經過SpaceX工程師「驗證」。對此，SpaceX和Maximum Industries並未做出回應。</p> <p><a href="https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/understanding-ransomware-using-data-science"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者揭露支付贖金助長勒索軟體攻擊的態勢，駭客得到的資金可發動9次攻擊</span></strong></a></p> <p>資安業者趨勢科技揭露勒索軟體攻擊事故的分析，並指出受害組織一旦支付贖金，就有可能讓駭客取得執行後續6至10次（平均9次）攻擊所需的資金。研究人員根據勒索軟體Conti和LockBit的受害組織進行分析，結果發現，非洲受害組織超過三分之一（34.8%）會付錢，但歐洲僅有11.1%妥協；此外，金融與法律相關行業會較為傾向付錢了事，至於規模較大的企業，通常不願意支付贖金。</p> <p>另一方面，研究人員也提及駭客為了獲利，會催促受害者儘速付款的情況──他們發現向勒索軟體DeadBolt購買解密金鑰的受害者裡，有超過半數20天內付錢，四分之三在40天裡付款。</p> <p><a href="https://www.npm.gov.tw/News-Content.aspx?sno=04013271&l=1&idstr=MDEwMDAwMDE="><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">故宮博物院館藏的數位圖檔傳出遭到中國盜賣，起因是將檔案存放在對外提供服務的伺服器</span></strong></a></p> <p><a href="https://www.mirrormedia.mg/story/20230313inv002/">根據鏡週刊的報導</a>，故宮博物院數千件國寶的數位圖檔傳出被中國駭客盜取，於百度等網站兜售，甚至免費提供下載。</p> <p>對此，故宮博物院發出聲明，表示他們於2022年6月得知資料外洩情形，政風室於8月12日啟動調查，結果於2023年1月確定，因助理研究員建檔過程將資料儲存於「公務系統中可提供對外服務之伺服器」，「有心人士得以使用工具軟體或拼圖軟體等方式，操作讀取局部的高階圖檔後加以拼接存取。」，後續導致這些數位圖檔被中國駭客盜取，於百度等網站兜售，甚至免費提供下載。</p> <p>故宮博物院表示，他們在2022年底已改採內部封閉式儲存設備，阻絕人為操作可能外流之風險，並打算透過法律顧問要求淘寶網、書格網等平臺下架，或是提出訴訟。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.imperva.com/blog/deanonymizing-opensea-nft-owners-via-xs-leaks-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NFT市集OpenSea出現跨網站搜尋漏洞</span></strong></a></p> <p>資安業者Imperva揭露NFT市集OpenSea的漏洞，攻擊者可透過簡訊或電子郵件寄送惡意URL來觸發。此連結的功能，就是讓駭客將IP位址、電子郵件信箱，或是瀏覽器的連線階段（Session），與特定的NFT串連。</p> <p>一旦用戶存取這類URL，他們的身分、裝置詳細資料、軟體版本等資訊就有可能曝露，接著，攻擊者利用上述的漏洞來得知受害者的NFT名稱，並與使用者的個資進行關聯。</p> <p>研究人員指出，此漏洞為該市集採用的程式庫iFrame-resizer配置錯誤造成，因沒有管制跨來源（Cross-Origin）通訊，導致出現前述的跨網站搜尋（XS-Search）漏洞，OpenSea獲報後已完成修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.cisa.gov/news-events/news/cisa-and-women-cybersecurity-strengthen-partnership-bridge-gender-gap-cyber-and-tech"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為促成更多女性參與資安工作，美國CISA與非營利組織WiCyS簽署合作備忘錄</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月8日婦女節，與非營利組織「網路資安女性（Women in Cybersecurity，WiCyS）」簽署合作備忘錄，目的是藉由更為緊密的合作，來減少網路安全的性別差距。</p> <p>CISA局長Jen Easterly表示，她在去年的WiCyS年會宣布，要號召更多女性和少數族群投入網路安全領域，並期望在2030年能達到50%的比率，這次簽署備忘錄的目的，就是促使更多女性能從事相關工作。WiCyS執行董事Lynn Dohm認為，她們與CISA的使命一致，合作後將提供更多女性所需資源，讓她們能在相關領域展開職業生涯。</p> <p>雙方宣布合作後的第一項任務，是CISA投入WiCyS的引路計畫（Mentorship Program），目的是媒合女性資安專家，協助新手投入資安職場。</p> <p><a href="https://www.ithome.com.tw/news/155897"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">無人機資安聯合驗測實驗室正式成立</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/drone-testing-lab.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/drone-testing-lab.jpg" style="width: 300px; float: right;" /></a>財團法人電信技術中心（TTC）於數位發展部的指導下，結合民間資安廠商中華資安國際、安華聯網、鑑智實相等，在3月1日於高雄科學園區總部，舉辦「無人機資安聯合驗測實驗室」揭牌儀式，宣告檢測服務正式啟動。行政院政務委員吳政忠、數位發展部部長唐鳳、高雄市政府副市長羅達生、交通部黃荷婷、民航局局長林國顯等首長親臨現場致詞。</p> <p>該實驗室將提供全方位檢測服務，涵蓋無人機產品的系統安全、軟體安全、通訊安全、韌體安全、晶片安全，以及製造商的資安成熟度等層面，未來將調和國內外資安規範，協助廠商取得所需的國際資安認證，提升國內無人機產業的競爭力。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="http://cerebral.com/static/hippa_privacy_breach-4000c6eb21449c2ecd8bd13706750cc2.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療照護業者Cerebral證實318萬用戶資料可能外洩</span></span></strong></a></p> <p><a href="https://www.security.nl/posting/788375/Ransomwaregroep+publiceert+paspoorten+artsen+Gelderse+oudereninstelling"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">荷蘭養老院遭勒索軟體Qilin攻擊，醫護人士的護照遭竊</span></span></strong></a></p> <p><a href="https://www.secureworks.com/blog/cobalt-illusion-masquerades-as-atlantic-council-employee"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客假冒大西洋理事會人員攻擊人權鬥士</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/03/lazarus-group-exploits-zero-day.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用含有弱點的簽章應用程式發動攻擊</span></span></strong></a></p> <p><a href="https://blog.talosintelligence.com/prometei-botnet-improves/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Prometei入侵1萬個系統</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-gang-begins-extorting-goanywhere-zero-day-victims/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">檔案共享系統GoAnywhere零時差漏洞已被勒索軟體Clop用於攻擊行動</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月13日】資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155867">【3月10日】 SonicWall的SSL VPN設備遭到中國駭客鎖定、Oracle Weblogic Server被用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155854">【3月9日】惡意軟體QBot以微軟OneNote檔案散播攻擊的態勢升溫、Fortinet防火牆與網頁安全閘道存在重大漏洞</a></strong></p> </div></div></div>
2023/3/14 18:25作者周峻佑https://www.ithome.com.tw/news/155926
醫療設備大廠Zoll Medical資料外洩，影響100萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以提供AED及心肺等生理監控裝置聞名的Zoll Medical今年1月底網路遭駭，致使超過100萬用戶姓名、生日等個資外洩。</p> <p>Zoll Medical於1月28日偵測到內部網路有異常活動，在阻止異常情形後，該公司偕同外部安全專家進行調查。初步調查發現，攻擊者在2月2日存取了部分用戶的相關資訊。Zoll Medical於是在3月10日對用戶發出通知。</p> <p>Zoll相信，外洩的用戶資訊包括姓名、生日、社會安全碼，這些資訊可推論用戶是Zoll產品的使用者身分。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/ab192c35-667d-4bc9-ad18-fa710bd10b15.shtml" target="_blank">根據Zoll Medical向美國緬因州通報的文件</a>，受影響人數為1,004,443。該公司僅說是外部的系統駭入，但未說明是勒索軟體，或是人為操作的攻擊行為。</p> <p>除了通報主管機關及執法機關外，Zoll也提供受影響用戶24個月的社會安全碼個資濫用監控服務。</p> </div></div></div>
2023/3/14 16:39作者林妍溱https://www.ithome.com.tw/news/155923
衛福部提4大解方因應超高齡社會挑戰，要用ML找出長照風險個案並造冊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣即將進入超高齡社會，衛福部長照司司長祝健芳日前（3/6）於<a href="https://www.youtube.com/watch?v=zN1TPUnwWQ8&t=16959s&ab_channel=%E5%9C%8B%E7%A7%91%E6%9C%83%E7%A7%91%E6%8A%80%E8%BE%A6%E5%85%AC%E5%AE%A4">國家高齡科技產業策略會議</a>中指出，衛福部提出4大方法來因應，包括以大數據分析找出潛在長照需求個案，也就是聯手內政部設計銀髮安居指數，以這個指數來預測潛在長照個案、進行造冊，此外也要發展階段式高齡照護科技應用，落實到長照實際場域中，並強化高齡者社區安全防護與居家醫療、改善高齡者社區環境，如提供更便利的交通工具和失智友善環境。除此之外，衛福部也將透過政府出題、產業解題模式，來發展更多高齡科技應用。</p> <p><span style="font-size:24px;"><strong>以大數據找出長照潛在需求個案，也要造冊追蹤</strong></span></p> <p>祝健芳指出，臺灣將於2026年進入超高齡社會，為因應超高齡社會的醫療照護需求，行政院於2021年就發布高齡社會白皮書，要協助高齡者維持自立性和自主性，並將建置高齡友善及安全環境，納入5大政策目標之一。去年11月，行政院更頒布因應超高齡社會對策方案，要提高對長者的支援、打造友善社會環境，並於2023年展開計畫至2026年，預計投入近1,200億元。</p> <p>而衛福部也提出4大措施，來因應超高齡社會挑戰。首先是以大數據分析找出潛在長照個案，透過機器學習（ML）模型分析關鍵參數，如個案健康、居住環境、經濟狀況和人力支援等變數，來找出可能需要長照服務的族群，並預測可能需要的服務。與此同時，衛福部也與內政部聯手，發展銀髮安居計畫、設計銀髮安居指數，這個指數包含6項指標，如行動健康、照顧人力、經濟與住宅狀況、環境便利性與安全性等，衛福部和內政部也將安居指數搭配ML來預測潛在長照需求個案，並用來產製長照風險個案造冊。</p> <p>不只開發模型，祝健芳指出，團隊也將持續修正安居指數預測模型，甚至進一步根據不同地區特性，發展相應的模型，來更精準預測需求，讓各縣市進行訪視評估。</p> <p><span style="font-size:24px;"><strong>4階段推動高齡科技落地，強化社區安全和醫療照護整合</strong></span></p> <p>衛福部提出的第2個方法，是要分階段來落地高齡科技應用。首先第一步，衛福部會以照顧者為主體，鎖定照顧者需求，比如從日照機構分析問題、找出應用情境，來規畫導入可用的科技產品，或是透過獎勵機制，來提高日照中心品質。接著，第2階段是建立照顧者和產業媒合機制，比如在政府採購網上架智慧照顧產品、引進國外創新產品，或是擴充智慧長照媒合平臺，因為據2021年統計，全國長照服務機構有2,536家，但平臺註冊只有21家。</p> <p>有了媒合機制，接下來就是要建置科技照護示範場域，來進一步推廣。在這個階段，衛福部將延伸跨部會科技研發成果，導入至特定機構，來作為示範場域，同時也要將獲補助的科技照顧機構，作為示範機構，開放他人經驗交流和觀摩。最後一步則是複製這些成功經驗，擴大至其他照顧場域，比如將示範場域的智慧服務模式，應用到其他日照中心，或是參照社區一對多的照顧模式，來對居家照護這種多對一的模式客製化。不過，這階段還有個重要目標，也就是提高日照中心的服務對象生活自主能力。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9D%A2%E5%90%912.png" /></p> <p>衛福部提出的第3個應對方法，則是強化高齡者社區安全防護，以及居家醫療整合。就前者來說，衛福部要改善緊急救援系統，來強化獨居老人關懷，比如增設緊急救援裝置功能，包括使用者主動回報平安功能、裝設按鈕讓使用者通報緊急狀況、新增GPS定位裝置，以及對跌倒和不活動的偵測功能等。同時，衛福部也要整合居家醫療資源，來強化高齡者照護，像是要在2027年，完成廠商與醫療機構建置單一窗口平臺，並要輔導至少5個偏鄉地區，導入整合式照護服務。</p> <p>衛福部提出的最後一個方法，是要強化社區友善環境，比如提高高齡者交通運輸便利性、普及高齡友善且可負擔住宅、建立失智友善環境，以及強化災害防救措施等，來讓長者生活環境更完善。</p> <p><span style="font-size:24px;"><strong>要藉政府出題、產業解題模式發展更多高齡科技應用</strong></span></p> <p>不只提出4大解方，衛福部也將透過政府出題、產業解題的模式，來激發更多高齡科技應用。在這個模式下，衛福部鎖定3個原則，也就是友善便利、系統整合和服務品質，其中，就友善便利來說，衛福部要導入智慧居家產品，來讓高齡者住家環境更友善。而系統整合，則是要打破不同系統的隔閡來整合資訊，比如融合不同運輸系統資訊，至於服務品質，是要鼓勵照護機構採用科技輔具，來優化照護品質，減少專業人員行政工作的操作時間。</p> </div></div></div>
2023/3/14 15:03作者王若樸https://www.ithome.com.tw/news/155914
匯豐以1英鎊買下矽谷銀行英國子公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部設於英國倫敦的<a href="https://www.hsbc.com/news-and-media/media-releases/2023/hsbc-acquires-silicon-valley-bank-uk-limited" target="_blank">匯豐集團控股公司HSBC Holdings plc周一（3/13）宣布</a>，將以象徵性的1英鎊買下近日倒閉的矽谷銀行英國子公司（Silicon Valley Bank UK Limited，SVB UK），且該交易即刻完成，讓SVB UK的服務一切照舊。</p> <p>此一交易是由英國中央銀行Bank of England（英格蘭銀行）、英國審慎監理局（Prudential Regulation Authority，PRA）、英國金融行為監管局（Financial Conduct Authority）及英國財政部（HM Treasury，HMT）共同推動，以儘可能降低SVB倒閉對英國科技領域所帶來的影響，同時支撐市場對金融體系的信心。</p> <p><a href="https://www.bankofengland.co.uk/news/2023/march/statement-on-silicon-valley-bank" target="_blank">英格蘭銀行表示</a>，在匯豐接管SVB UK之後，它們將可確保SVB UK所有存款人的資金都是安全的，SVB UK的業務持續運作，其客戶亦不會察覺任何變化。</p> <p>其實英格蘭銀行在得知矽谷銀行倒閉之後，已準備要求法院將SVB UK納入破產程序，沒想到在最後一刻出現了買家。</p> <p><a href="https://techcrunch.com/2023/03/13/in-historic-last-minute-deal-hsbc-acquires-silicon-valley-bank-uk-says-all-depositors-money-is-safe/" target="_blank">《TechCrunch》分析</a>，此一交易意味著英國並未如美國財政部一樣，為了保護存款人而被迫導入全系統支持，而是由一家銀行出手拯救另一家銀行，不至於被懷疑銀行的倒閉是為了獲得政府的出手相助。</p> <p>匯豐集團執行長Noel Quinn則說，這次的收購對HSBC的英國業務有良好的戰略意義，不僅強化其商業銀行的特許經營，也加強其對新創及快速發展企業提供服務的能力，包括位於英國及全球的科技及生命科學領域。</p> <p>截至今年3月10日，SVB UK的貸款為55億英鎊，存款為67億英鎊，2022年的稅前淨利為8,800萬英鎊，匯豐控股預計會在適當時機公布此一收購的財務細節。此外，該交易並未包含SVB UK母公司的資產與負債。</p> <p><span style="font-size:28px;"><strong>矽谷銀行的崩壞</strong></span></p> <p>位於加州聖克拉拉郡的矽谷銀行（Silicon Valley Bank，SVB）為全美第十六大銀行，也是矽谷的最大銀行，它對新創企業非常友善，吸引大量的新創企業將資金存入，並向該行借貸。<a href="https://ir.svb.com/home/default.aspx" target="_blank">在2022年12月31日時</a>，美國有接近一半攸關科技及生命科學的新創企業與矽谷銀行往來，該年首次公開發行股票的科技與生命科學公司也有44%是該行的客戶，其總資產為2,120億美元，客戶存款為3,420億美元，貸款金額為740億美元。</p> <p>歸納外界的分析，美國聯準會（Federal Reserve）的暴力升息很可能是壓垮SVB的最後一根稻草。SVB固定會把存款戶的資金拿去投資，購買公債與證券，聯準會的暴力升息造成市場利率快速升高，使得SVB所購買的證券於公開市場的價格低於帳面價值，促使SVB賠錢出售而出現虧損。另一方面，通膨與升息也讓SVB的存款人開始向該行提領資金，而讓SVB的資金流出超過流入。</p> <p><a href="https://ir.svb.com/news-and-research/news/news-details/2023/SVB-Financial-Group-Announces-Proposed-Offerings-of-Common-Stock-and-Mandatory-Convertible-Preferred-Stock/default.aspx" target="_blank">上周三（3/8）SVB即坦承</a>所拋售的210億美元的證券，將讓今年第一季虧損18億美元，同時宣布將出售總值約22.5億美元的股票來籌措資金。</p> <p>然而，SVB出售股票的計畫失敗了，也未能覓得買家，促使美國加州金融保護與創新部門（California Department of Financial Protection and Innovation）周五（3/10）關閉了SVB，<a href="https://www.fdic.gov/news/press-releases/2023/pr23016.html" target="_blank">並指派美國聯邦存款保險公司（Federal Deposit Insurance Corporation，FDIC）接管</a>，以將所有具保險的存款轉移到聖克拉拉存款保險國家銀行（Deposit Insurance National Bank of Santa Clara，DINB），由FDIC接手的SVB總行與17家美國分行已於本周一（3/13）重新展開營運。</p> <p><span style="font-size:28px;"><strong>轉機？</strong></span></p> <p><a href="https://home.treasury.gov/news/press-releases/jy1337" target="_blank">FDIC、美國財政部及美國聯準會在周日（3/13）發表了一份共同聲明</a>，指出美國財政部長葉倫（Janet Louise Yellen）已批准了多項行動，讓FDIC能夠完成對SVB的決議，確保所有的存款人都能取回他們的所有資金。</p> <p>事實上，FDIC針對每名存款戶的最高保險額度只有25萬美元，但此一共同聲明確認將保障所有存款人與資金，將囊括超過25萬美元的款項，或是未參與保險的對象。此外，該聲明亦強調相關的決議並不會動用到美國納稅人的資金，只是未說明資金來源。</p> <p><a href="https://www.cnbc.com/2023/03/13/wall-street-not-taxpayers-will-pay-for-the-svb-and-signature-deposit-relief-plans-.html" target="_blank">《CNBC》引用美國財政部官員的說法</a>，指出用來補償SVB存款人的款項將來自存款保險基金（Deposit Insurance Fund，DIF），此一基金的資金來源為逾6,000家銀行所支付的保險金，等於是由金融業贊助的私人保險基金。</p> <p>另一方面，美國監管機構亦未放棄出售SVB的計畫，仍將持續尋找有意接手SVB的買家。</p> </div></div></div>
2023/3/14 14:23作者陳曉莉https://www.ithome.com.tw/news/155909
第三方廠商被駭導致AT&T 900萬用戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國電信龍頭AT&T上周證實，由於該公司使用的第三方服務被駭，致使近900萬用戶個資被竊取。</p> <p><a href="https://forums.att.com/conversations/att-mail-features/is-this-cpni-email-a-phishing-scam/64066deaac6ccc24bdf19e05?commentId=6408bf3abef17304a8db5f5f" target="_blank">AT&T一名用戶上周接到電子郵件通知</a>，該公司發生了一起資安事件，使其客戶專屬網路資訊（Customer Proprietary Network Information，CPNI）被不明人士存取。用戶詢問下，AT&T證實這的確是來自該公司的通知函。</p> <p>CPNI是指電信業者蒐集關於消費者通話的資料，包括他們訂閱的服務有哪些，例如有哪些門號、現有收費方案、使用量資料，以及通話模式等。美國電信主管機關聯邦通訊委員會（Federal Communication Commission，FCC）去年1月新法規要求電信業者需在CPNI外洩事故發生後7天內通知客戶，此外也需通報FBI、特勤局及FCC。</p> <p><a href="https://therecord.media/att-says-nine-million-exposed-in-data-breach" target="_blank">AT&T上周向媒體證實此事</a>。AT&T解釋，該公司使用的第三方行銷系統廠商發生安全事件，導致部份無線服務帳號曝險。AT&T表示，外洩的資料已經是多年前的資料，且大部份是和裝置升級資格有關的資料。這家電信業者也說CPNI資料不包含敏感個人或財務資訊，像是社會安全碼或信用卡資料。</p> <p>但<a href="https://www.bleepingcomputer.com/news/security/atandt-alerts-9-million-customers-of-data-breach-after-vendor-hack/" target="_blank">《BleepingComputer》</a>引述AT&T的說法指出，將近900萬無線/行動帳號用戶的CPNI遭到存取，外洩資料還包括用戶名字、無線/行動帳號碼、手機號碼及電子郵件。</p> <p>AT&T說，目前第三方廠商已修補好漏洞，該公司也已通知執法機關。但該公司不願說明是哪家第三方服務業者被駭。</p> <p>這是AT&T兩年來第二次大宗用戶個資外洩。去年該公司坦承一個包含2,300萬美國民眾社會安全碼的資料庫被竊，但否認是公司自有系統被駭，而可能是和之前另一宗案件外洩的資訊有關。</p> </div></div></div>
2023/3/14 11:40作者林妍溱https://www.ithome.com.tw/news/155898
Cargo稀疏協定在Rust 1.68已達穩定，可提升Crate操作效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://blog.rust-lang.org/2023/03/09/Rust-1.68.0.html">Rust 1.68</a>版本中，套件管理器Cargo的稀疏註冊表協定已經進入穩定階段，可改善開發者在存取crates.io的效能，同時Rust加入新的功能pin!巨集，並且預設記憶體分配錯誤處理程式。</p> <p>之前Cargo為了要確認crates.io上存在的Crate，需要下載一個紀錄所有Crate版本的索引，而該索引託管在GitHub的儲存庫上，該系統由GitHub伺服器端處理，以增量擷取的方式獲取更新。官方提到，隨著時間發展索引大幅增加，也達到了系統擴展限制，初始擷取和更新速度變慢。</p> <p>因此官方引入了一個新協定，改進Cargo存取索引的方式，現在Cargo不再使用Git，而是直接使用HTTPS直接透過索引獲取檔案，Cargo只會下載專案中特定的Crate相依項目。官方預計要在Rust 1.70讓稀疏協定成為預設，但是crates.io的Git儲存庫仍會作為索引的真實來源，Cargo也會繼續無限期支援Git索引。</p> <p>由於官方在<a href="https://index.crates.io/">https://index.crates.io/</a>上託管crates.io索引，當開發者位於防火牆或是代理之後，便需要允許Cargo存取該站點。</p> <p>而在Rust新版本中，也加入新的功能pin!巨集，能夠將T表示式建構成Pin<&mut T>型態，使其無法被移動，進入固定引用（Pinning）的狀態。在Rust中，pin!可以用來防止堆疊上創建的物件被移動或是破壞，確保程式的安全性。pin!通常可被用於非同步程式開發的Future和Stream物件，以限制這些物件的可變更性，避免被意外的移動或是修改。</p> <p>Rust 1.68也預設記憶體分配錯誤的處理程式。過去Rust在分配記憶體失敗時，無法指出Box::new和Vec::push等API錯誤，所以需要透過一些特殊的程式碼路徑，處理這些錯誤和異常，當使用std crate的時候，程式就會將錯誤輸出到標準錯誤輸出stderr中。</p> <p>而在Rust 1.68中，雖然包含std的二進位檔案將繼續這樣的行為，但是在只包含alloc但不包含std的二進位檔案，在分配失敗的時候則會觸發panic!巨集，官方表示，之後std的行為也會更改，使其與僅包含alloc的二進位檔案一致。</p> </div></div></div>
2023/3/13 22:14作者李建興https://www.ithome.com.tw/news/155896
通訊軟體WhatsApp、Signal表態寧可退出英國，也不會遵守侵犯隱私的《網路安全法案》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國政府的《網路安全法案》（Online Safety Bill）要求包括臉書、TikTok、Instagram與推特等網路平臺，都需要對平臺上有害內容作出行動，而現在<a href="https://twitter.com/wcathcart/status/1631341705537495042">WhatsApp</a>、<a href="https://signal.org/blog/uk-online-safety-bill/">Signal</a>都表態不會對法案妥協，當他們沒辦法和英國立法者取得共識，他們便會結束在該國的營運。</p> <p>WhatsApp是英國人愛用的通訊軟體，相當於臺灣的Line，根據英國通訊監管機構Ofcom的資料，88％英國成人手機都有安裝WhatsApp。</p> <p><a href="https://www.ithome.com.tw/news/141707">英國政府在2020年底宣布將實行《網路安全法案》</a>，該法案雖然主要目的是要保護英國兒童，但範圍擴及規範所有有害內容，要求網站、應用程式與網路服務都要移除與限制，包括兒童性剝削、恐怖和自殺等有害內容，《網路安全法案》要求平臺必須保護兒童不得接受這些內容和活動，也必須要提供有害內容的檢舉機制，否則將會被判處非常高額的罰金。</p> <p>《網路安全法案》的推動引來大量的批評，加密通訊軟體Signal總裁Meredith Whittaker就在自家部落格抨擊這項法案的實施，他指出該法案以網路安全為名，但實則卻削弱保護數十億人網路安全的技術基礎。</p> <p>反對者擔心《網路安全法案》實際上破壞加密能夠提供的安全性，並且創造出一個前所未有的監控機制，Meredith Whittaker認為《網路安全法案》雖然有一些好的建議，但同時也綑綁危險的監視條款和模糊的守護職責，因此服務提供者便需要監控每個用戶發送的每一條訊息。</p> <p>Meredith Whittaker引用全球非營利組織<a href="https://www.internetsociety.org/resources/doc/2022/iib-encryption-uk-online-safety-bill/">Internet Society的報告</a>指出，端到端加密服務的供應商要遵守《網路安全法案》，唯一的方法就是移除或是弱化端到端加密。Meredith Whittaker認為，《網路安全法案》將破壞安全隱私，因此承諾Signal不會削弱加密或是向當前法案妥協。</p> <p>Meredith Whittaker在推特上標記並且詢問Meta WhatsApp負責人Will Cathcart的意見，而Will Cathcart表示，他們也有同感也會共同努力反擊，並同時張貼了外媒<a href="https://www.bbc.com/news/technology-62291328">BBC在2022年的報導</a>，重申WhatsApp不會降低即時通訊服務的安全性。</p> </div></div></div>
2023/3/13 22:06作者李建興https://www.ithome.com.tw/news/155894
Chrome 111開始支援單頁應用程式視圖切換
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google將在<a href="https://developer.chrome.com/blog/spa-view-transitions-land/">Chrome 111支援View Transition API</a>這項實驗性技術，View Transition API將讓開發者可以簡單更新DOM，在不同DOM狀態之間產生動畫轉換，還能進一步改變DOM的內容，簡化單頁應用程式切換畫面的開發工作。</p> <p>視圖切換（View Transition）是一個流行設計方式，透過保留瀏覽畫面中的上下文，僅更新部分內容，有助於減少用戶的認知負荷，並且減少應用程式狀態或是畫面切換時，所造成的載入延遲。根據<a href="https://developer.mozilla.org/en-US/docs/Web/API/View_Transitions_API">MDN網頁文件的資料</a>，要在網頁上進行畫面轉換向來困難，在單頁應用程式（SPA）中的狀態切換，需要編寫許多複雜的CSS和JavaScript程式碼。</p> <p>需要處理的部分包括新舊內容的載入和定位，還要創建動畫來從舊狀態過渡到新狀態，並處理當用戶意外點按到舊內容所可能導致的問題，最後在畫面切換完成後移除舊內容。另外，將新舊內容呈現在同一個位置，還需要處理閱讀位置遺失或焦點混亂等問題，而View Transition API向開發者提供一個處理DOM變更和動畫過渡的簡單方法。</p> <p>在瀏覽器的支援上，主要瀏覽器中現在僅有Chrome 111支援，Edge則還在開發中階段，Firefox和Safari則尚未支援。Google提到，他們還會擴展View Transition API的支援，使功能更加完整。不過目前Chrome Canary中View Transition API暫時故障，想要試用該API的開發者，需要選擇Chrome 111穩定版或是Chrome 112測試版。</p> </div></div></div>
2023/3/13 22:12作者李建興https://www.ithome.com.tw/news/155895
無人機資安聯合驗測實驗室成立，政府用及25公斤以上無人機優先驗測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年二月，烏克蘭戰爭爆發後，全世界都看到更多無人機在軍事國防上的應用；高雄市政府也在去年二月的臺灣燈會，用1,500架無人機進行展演，點亮南臺灣的天空，今年二月高雄佛光山的燈會也有500架無人機進行展演。</p> <p>無人機在臺灣的使用範圍越來越多，不管是空拍、災防、巡檢、物流等場域，應用已經越來越普及。數位發展部部長唐鳳表示，總統蔡英文在去年八月宣誓，政府不但會研擬臺灣無人機的產業發展方案，也結合產業安全研究的力量成立了臺灣無人機大聯盟，其中，資安防護就是其中最重要的關鍵。</p> <p>為什麼會特別針對無人機進行資安檢測？行政院政務委員兼國科會主委吳政忠表示，去年九月有一個國防科技學研中心，預計採購幾百架無人機，但因為跟國防有關係，就必須確保資安無虞；加上後來去年國慶展演的無人機也傳出相關零組件來由中國。</p> <p>後來，行政院科技會報辦公室就找電信技術中心（TTC）結合民間資安業者，包括中華資安、安華聯網以及鑑智實相等公司，共同籌組「無人機資安聯合驗測實驗室」，這個無人機資安聯合驗測實驗室也將協助交通部落實無人機資安管理，並提升臺灣無人機產業整體資安防護能力，該實驗室也於3月1日正式揭牌。</p> <p>不過，對於民航局將針對無人機納入資安驗測一事，有許多無人機業者於揭牌當天前往抗議，對電信技術中心表達對交通部要求資安檢測的抗議。業者抗議民航局不願嚴格取締非法業者，卻針對機體增加規範，導致許多合法無人機業者必須額外增加許多營業成本。</p> <p>民航局局長林國顯則表示，政府未來目標是全面納管但會分階段進行，目前會先以25公斤以上的無人機，依照機型不同進行資安驗測，政府和法人所使用的無人機，則會以合約規定，必須進行資安驗測。</p> <h2><strong>電信技術中心協助籌組無人機資安聯合驗測實驗室</strong></h2> <p>電信技術中心董事長吳宗成表示，無人機發展是國家重點政策之一，而無人機具有三維空間靈活運動的特性，但也同時伴隨著社會安定與隱私保護的風險，所以在發展無人機與提升國際競爭力的同時，如果沒有做好無人機的資安防護，也會使得整個無人機產業的發展藍圖，缺少最重要的一部分。</p> <p>吳宗成直言，任何產業的資安投資都是成本的考量，但它也可以是企業重要加值服務的展現，特別是面對全球無人機產業的激烈競爭，以及各界對資安要求的日益重視，若能被國際市場認可，未來，臺灣製造的無人機都可以做到資安保障，相信對於國內無人機產業發展，將具有更正面的助益。</p> <p>由於電信技術中心是公設財團法人，不僅配合政府政策和民間公司共同籌組「無人機資安聯合驗測實驗室」，也於今年一月四日發表臺灣第一份《無人機資安保障規範》。</p> <p>在該規範中，為確保無人機由開發設計階段，就導入資安防護要素，該規範便針對無人機製造商、無人機（含酬載系統）、地面控制站及交通管理系統等，分別制定查驗及檢測項目。</p> <p>而之前揭牌運作的「無人機資安聯合驗測實驗室，也將配合民航局將資安檢測要求納入《遙控無人機管理規則》的修訂作業時，執行相關資安檢測工作。</p> <p>另外，該實驗室也將針對群飛等無人機應用場域，提供場域資安防護評估服務，藉由威脅建模、漏洞檢測、滲透測試及衝擊分析等評估，強化無人機應用場域安全。</p> <p>吳宗成指出，這個實驗室除了有中華資安、安華聯網以及鑑智實相等公司加入外，其他像是經緯航太、雷虎科技以及中光電等公司，也協助精進相關驗測的實務機制，也使得整個資安驗測過程，可以符合產業對資安的要求和規範。</p> <h2><strong>資安和隱私保護是無人機產業發展的關鍵</strong></h2> <p>唐鳳表示，無人機資安的範圍很廣，但若從一些常見的資安風險來看，像是無人機載具或是陸海空的載具等，如果碰到駭客假造GPS訊號，系統會顯示該無人機是停在原先的位置上，事實上，已經被引導到駭客指定的位置。另外，駭客也可以利用無人機漏洞，遠距發送一個攻擊封包，讓無人機突然掉下來。她說，因為這些攻擊手法都已經驗證可行，也都已經包含在無人機資安驗測的範圍內。</p> <p>唐鳳認為，降低無人機載具的風險，也是協助無人機產業在發展的過程中，可以獲得外界對於無人機產品的信任，這也是數位部常說的全民數位韌性。</p> <p>唐鳳表示，籌組並成立「無人機資安聯合驗測實驗室」的目的，就是希望可以發展「可信任的科技」（Trust Tech），透過相關的資安驗測，不只是為了協助交通部，落實相關的無人機資安，更重要的是，也藉此提升臺灣的整體防護能力並接軌國際標準，讓臺灣製造的無人機產品可以獲得更多人的信任。</p> <p>吳政忠表示，臺灣無人機產業要能走的遠，資安防護一定是必備的要素，畢竟，無人機是三維科技，資通訊安全是第一要務。許多無人機玩家已經可以精準鎖定對象，並且可以做到自動化，因此，背後的資安加上隱私保護，更是未來產業發展的關鍵。</p> <p>吳政忠表示，烏克蘭戰爭後，各界都看到無人機在軍事國防上面的應用，而民主國家是站在一起對抗共產國家的，臺灣是全球民主國家可以信賴的夥伴時，除了具有強大的製造技術外，若可以配套更好的資安與隱私保護，將是臺灣無人機產業邁向國際市場的重要關鍵，而無人機資安聯合驗測實驗室的成立，則是臺灣無人機產業發展的重要里程碑。</p> <h2><strong>民航局將在系統註記，已通過資安驗測的無人機產品</strong></h2> <p>交通部主任秘書黃荷婷表示，針對無人機最早的規範就是民用航空法授權的《遙控無人機管理規則》，這個管理規則從2019年7月23日公布後，一直到2020年3月31日實施，這中間長達九個月的時間，就是產業希望政府不要管太嚴，民航局對於無人機管理應該是鬆或緊的拿捏上，也積極進行產業溝通的任務。</p> <p>交通部在2020年6月之後，也成立「交通科技產業會報」，其中就有一個「無人機小組」，從2020年到2022年期間，交通部也一直在找場域應用以精進無人機產業技術，或者也可以成立園區、協助更多人才培育。對此，她說，交通部也在新竹縣尖石鄉先做無人機的偏鄉運輸投遞，希望透過25公斤以上的大型無人機載具，可以先針對一些必要民生物資投遞做示範。</p> <p>由於未來的運具都是數位科技化，相關產業都願意投入研發，但產業希望政府能夠協助的兩件事，卻是牽涉重大。黃荷婷表示，首先就是「規格標準化」，業界希望政府可以統一規格，尤其是介接的規格一定要做到標準化，才可以開拓國內市場甚至於進軍國際市場。</p> <p>黃荷婷也說，無人機業界希望政府協助的第二件事情就是，資安和隱私保護的問題，她進一步解釋，因為資安和隱私保護會牽涉到消費者和使用者的信心程度，為了降低使用者的恐慌，可以訂定一個資安檢測規範，並成立一個有能力做驗測的無人機資安驗測實驗室，都是政府回應產業對資安和隱私保護的需求。</p> <p>她表示，民航局有一個「無人機管理資訊系統」，未來有通過資安驗測的無人機產品，也會幫忙協助上架，標記該產品是已經通過資安驗測的無人機產品。</p> <h2><strong>目標全面納管資安，2公斤以下機種以商品檢驗為主</strong></h2> <p>民航局長林國顯也說，目前會分階段進行無人機資安驗測的要求，首先是先針對25公斤以上、法人使用的無人機要進行資安檢測；至於25公斤～2公斤的機型，會訂定階段性目標推動；2公斤以下的機型，則會以經濟部商檢局的商品檢測為主，可由進口商或是製造廠商申請資安驗測。</p> <p>林國顯指出，目前農用無人機或是空拍機，依照既有法規是不用進行資安檢測，但行政院在去年12月4日發文給政府機關和相關國營公司時，便明文規範，未來政府使用的無人機，不管是採購或是勞務，都要經過資安檢測，所以會先以契約方式要求業者。</p> <p>至於，民間或是自然人所使用的無人機資安驗測的規範，林國顯表示，必須要等到民航法修正「無人機管理適用規則」才會進入實質階段。</p> <p>他也說，軍用商規的無人機並不在民航法的規定中，最終要由國防部來決定標準，而資安檢測標準分成高、中、低三個階段，採用標準則由使用和採購部門來決定，民航法只會要求製造商或進口商揭露和宣告，也必須註明來源地和製造工廠為何。</p> </div></div></div>
2023/3/13 19:10作者黃彥棻https://www.ithome.com.tw/news/155897