iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 23:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Ubisoft腳本編寫新工具Ghostwriter，以AI加速遊戲NPC對話編寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著現在遊戲的世界場景越來越大，需要的NPC（Non-Player Character）數量也更多，導致編劇需要編寫大量的NPC對話腳本，而Ubisoft現在應用人工智慧技術開發<a href="https://news.ubisoft.com/en-us/article/7Cm07zbBGy4Xml6WgYi25d/the-convergence-of-ai-and-creativity-introducing-ghostwriter">Ghostwriter</a>，遵循編劇的指令以及腳本編寫風格提供建議，加速NPC腳本編寫的速度。</p> <p>在遊戲中，NPC在觸發事件中所發出的短語、聲音，以及人群之間的聊天，能夠讓玩家感覺他們僅是這個世界的一份子，整個遊戲世界的運作並非完全由他們驅動，而這正是營造遊戲沈浸體驗的重要元素。不過無論是路邊NPC的交談，抑或是在進入特定區域觸發NPC間的交流，都必須由編劇花費時間和精力編寫對話腳本。</p> <p>而Ubisoft在今年的遊戲開發者大會，就介紹他們所開發的人工智慧工具Ghostwriter，該工具的目的是要提供NPC對話腳本建議，使得編劇可以將生產力用在更重要的核心劇情中，但同時又讓編劇能一定程度地控制NPC的對話腳本。Ghostwriter並非編寫初稿，而是生成讓編劇選擇和潤飾的樣本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be-8OeSOXHBvCI%20(1).jpg" style="width: 580px;" /></p> <p>最初編劇需要先創造一個角色，以及想要產生的互動或是對話，Ghostwriter會提供對話變體，供編劇根據劇情需要自由選擇和編輯，Ghostwriter每一句話會提供兩個選項，由編劇從中比較和選擇，Ghostwriter會逐漸從編劇的選擇中學習，使得之後所產生的對話建議越來越準確。</p> <p>官方表示，要在遊戲中實際應用人工智慧技術，不只是需要工具，同時還需要結合人類的回饋。因此Ubisoft還針對編劇開發了後端工具網站Ernestine，使得編劇能夠訓練自己的機器學習模型，並將這個模型用在Ghostwriter中，生成符合自己風格的腳本。</p> </div></div></div>
2023/3/24 08:29作者李建興https://www.ithome.com.tw/news/156080
Mozilla投入3,000萬美元成立新創Mozilla.ai，以發展可信任生成式AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/introducing-mozilla-ai-investing-in-trustworthy-ai/" target="_blank">Mozilla宣布成立人工智慧新創公司Mozilla.ai以及相關社群</a>，建立可信任且獨立的開源人工智慧生態系，投入3,000萬美元資金，首要目標是開發安全且透明的生成式人工智慧工具。</p> <p>近期人工智慧技術蓬勃發展，許多應用和服務都整合機器學習模型，提供創新服務，這波熱潮由Stable Diffusion等文生圖模型，以及類似<a href="https://www.ithome.com.tw/news/155929">GPT-4</a>等大型語言模型所驅動，Mozilla認為，生成式人工智慧（Generative AI）工具足以對人類溝通、創造力，甚至是整個社會，產生深遠的影響。</p> <p>生成式人工智慧是指特定一類的人工智慧技術，能夠自動生成具有特定特徵，或是符合特定規則的資料，目前生成式人工智慧被應用在多種領域上，諸如圖像生成、語音合成、自然語言處理以及圖形合成等，由於該技術能夠一定程度模仿人類的創造力，因此生成式人工智慧能夠創作圖像、音樂和文本。</p> <p>Mozilla提到，儘管新一波人工智慧浪潮讓人興奮，但同時也帶來了憂慮。在越來越多應用整合生成式人工智慧，也讓人發現了更多該技術許多缺陷，像是<a href="https://www.ithome.com.tw/news/155675">模型生成結果的不可控制性</a>，人工智慧可能會產生不符道德或是不真實的內容，或是<a href="https://www.ithome.com.tw/news/152773">如Deepfake技術被濫用在不道德和惡意的目的上</a>，且由於模型訓練需要有大量的資料，因此人工智慧生成的產物，也<a href="https://www.ithome.com.tw/news/155229">存在著作權和智慧財產權等問題</a>。</p> <p>Mozilla在過去與社群反覆探討相關問題下，勾勒出他們認為可信任人工智慧應該有的樣子，並且決定投入資源創立可以實現該願景的新創公司。雖然社群正在建構開源人工智慧技術，並且發展稽核方法，試圖建立可信任的人工智慧技術，但Mozilla認為，目前對人工智慧最具影響力的大型科技公司，他們並沒有看到足夠的努力，甚至這些公司更重視鞏固市場的控制。</p> <p>Mozilla.ai將從非營利組織Mozilla拿到3,000萬美元資金，建立開源社群以及建構可信任人工智慧。Mozilla.ai目標是開發同時具有代理性、責任性和透明性的人工智慧系統。</p> <p>也就是說，Mozilla.ai將發展具有一定程度的自主性和能力人工智慧系統，該系統將使相關利益方對人工智慧系統的行為負起責任，他們所開發的人工智慧系統，運作原理和決策過程也會清晰易懂，讓人們因為其透明機制而能夠信任人工智慧，Mozilla也特別強調了開放性，認為人工智慧應該開放利益相關者參與、評估和改進，以促進技術創新，保持公平、公正和無歧視性。</p> <p>Mozilla.ai最初的重點在於開發安全且透明的生成式人工智慧工具，發展以人為本的推薦系統，避免散布錯誤訊息，Mozilla.ai還會在接下來數個月發布更多相關資訊和成果。</p> </div></div></div>
2023/3/24 08:34作者李建興https://www.ithome.com.tw/news/156084
深入淺出AI演算法
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-bai_hua_aiyan_suan_fa_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>所謂的智慧是一個謎，這個概念至今仍然沒有一個統一的定義。一般來說，具備自主性與適應性的事物可視為具有智慧。自主性表示不需要持續的指令，而適應性則代表該事物會隨著環境或問題空間而改變行為。當我們在觀察生物或機器時，會發現運作的核心要素是資料。所見所聞皆為資料，對於周圍一切事物之測量也全都是資料。我們使用、處理並根據這些資料做出決定，因此，對周邊資料的概念有基本的了解，在理解人工智慧（AI）演算法上至關重要。</p> <p><span style="font-size:28px;"><strong>定義AI</strong></span></p> <p>在此粗略把AI定義為能夠表現出「智能」行為的綜合系統。與其試圖定義某種事物是否為AI，不如來談談它與AI的相似性。某些事物可能會表現出部分智能，因為它可以幫助我們解決難題並提供價值與效益。通常，模擬視覺、聽覺等自然感官的AI實作會被視為類AI。能夠在適應新資料與環境的同時自主學習的解也是類AI。</p> <p>以下為具備AI性質的一些例子：</p> <p>●可以玩多種複雜遊戲的系統。</p> <p>●癌症腫瘤檢測系統。</p> <p>●基於少量輸入資訊便可生成藝術作品的系統。</p> <p>●自動駕駛汽車。</p> <p>侯世達（Douglas Hofstadter）曾說：「所有未竟之事都是AI。」在上述舉例中，自動駕駛汽車因為還沒有被完善，所以看起來非常先進聰明。這和不久前能夠計算加法的電腦被認為非常聰明，現在卻被視為稀鬆平常是一樣的概念。</p> <p>追根究柢，AI是一個模稜兩可的詞彙，對不同人、行業或學科來說都有著不同的意義。本書中的演算法從以前到現在都被歸類為AI演算法，是否能夠賦予AI一個明確的定義其實並不重要，重點是它們能夠用於解決難題。</p> <p><span style="font-size:28px;"><strong>認知到資料是AI演算法的核心</strong></span></p> <p>資料為執行近乎神蹟的美妙演算法提供了輸入資訊。如果資料選擇不當、代表性不足或缺失，演算法便無法正確運算，因此輸入資料的品質關乎到結果的好壞。這個世界充滿了各種資料，有些甚至以我們無法感知的形式存在。資料能夠以數值的方式呈現，像是北極當前的溫度、池塘中有幾條魚、或是以天數為單位的目前年齡。上述舉例皆涉及根據事實而獲取的準確數值，因此很難誤判。特定時間地點的溫度是絕對真實的，不會受到任何偏差的影響。這類資料被稱為定量資料。</p> <p>資料也可以代表觀察值，例如花香或是某人對特定政治家政策的認同程度。這類資料被稱為定性資料，有時候不好解讀因為它不是絕對真實，而是某個人對真相的感知。</p> <p>資料為事物的原始事實，因此記錄通常不存在偏見。然而事實上，資料是在特定脈絡與使用方式等前提下被人們蒐集、記錄與連結。基於資料而建立有意義的觀點以回答問題的行為稱為建立資訊。基於過往經驗來活用資訊，並且有意識地應用資訊則產生了知識。這便是我們嘗試要以AI演算法模擬出來的部分。</p> <p>不同的人會根據各自對該領域的理解和對世界的看法對資料、訊息和知識做出不同的解釋，這無庸置疑地會影響到解的品質──因此使得科學觀點在創造各種科技時變得額外重要。藉由遵循可重複的科學過程來獲取資料、實驗並精準報告，我們便可以確保在使用演算法處理資料時，能得到更準確的結果與更優秀的解。</p> <p><span style="font-size:28px;"><strong>問題類型與解決問題範式</strong></span></p> <p>AI 演算法很強大，但也不是可以解決所有問題的靈丹妙藥。但話說回來，什麼是問題？本章將著眼於在電腦科學中常見的各種類型問題，帶領讀者如何對這些問題產生基本概念。這種基本概念可以幫助我們在現實世界中辨別出問題，並引導我們選擇正確的演算法。</p> <p>您會看到幾個在電腦科學和人工智慧中用於描述問題的術語，再根據其脈絡與目標來分類問題。</p> <p><span style="color:#B22222;"><strong>搜尋問題：找到通往解的路</strong></span></p> <p>搜尋問題用於可能出現多個解之情況，每個可能性都代表一條通往目的地的步驟（路徑）。有些可能包含了路徑中重疊的子資料集，有些路徑比其他選擇更好，而有些是比其他方案便宜。「比較好」的解取決於手上有哪些具體的問題，而「便宜」的方案表示執行計算上的花費較小。以從地圖上找到城市與城市之間的最短路徑為例，路徑可以有很多條，每一條的距離跟路況都不一樣，但其中有些路徑確實比其他選擇好。許多AI演算法都是以找到解空間的概念為基礎。</p> <p><span style="color:#B22222;"><strong>最佳化問題：找到一個良好解</strong></span></p> <p>最佳化問題通常存在著大量的有效解，但卻很難找到最好的。最佳化問題經常有著多到數不清的可能性，而每一種可能性在解決問題的能力上都有所不同。一個很好的例子是，想辦法將後車箱的空間利用最大化，好塞進所有行李。當然，這樣的排列組合多不勝數，但如果堆疊的方式越得當，可以放進去的行李就越多。</p> <p><span style="color:#B22222;"><strong>區域最佳解vs全域最佳解</strong></span></p> <p>由於最佳化問題存在著許多解，又因為這些解存在於搜尋空間的不同點上，因此區域最佳解和全域最佳解的概念便登場。區域最佳解是搜尋空間中特定區域內的最佳解，而全域最佳解則是在整個搜尋空間中最好的解。通常會有很多個區域最佳解，但只會有一個全域最佳解。這個概念可以理解為找出最適合的餐廳。您在住家附近找到的最好餐廳，不見得會是全國或全世界最好的。</p> <p><span style="color:#B22222;"><strong>預測與分類問題：從資料模式中學習</strong></span></p> <p>預測問題代表我們有關於某件事情的資料並試圖找出模式。例如，我們可能有關於不同車輛的資料、引擎大小和油耗數據。我們可以單就引擎的大小來預測出新車款的油耗嗎？如果引擎大小與油耗資料之間存在著某種關聯，那麼就有可能。</p> <p>分類問題跟預測問題很像，但並非試圖找出像是油耗這種準確的預測，而是根據某事物的特徵試圖找出它的分類。如果單就車輛尺寸、引擎大小和座位數量，我們是否能夠判斷該車輛是摩托車、轎車還是跑車呢？分類問題需要在資料中找出分類案例的模式。在尋找資料模式時，插補法是一個很重要的概念，因為我們是根據已知資料來估算新的資料點。</p> <p><span style="color:#B22222;"><strong>叢集問題：辨別資料中的模式</strong></span></p> <p>叢集問題需要從資料中發現趨勢和關係。可運用不同的方式搭配資料的各面向來將案例分組。例如，基於餐廳的成本與位置等資料，我們可能會發現年輕人傾向於光顧餐點較為便宜的地方。</p> <p>叢集的目的是從資料中找出關聯性，即使尚未提出明確的問題。這個方法也能夠幫助我們理解資料的用途。</p> <p><span style="color:#B22222;"><strong>確定性模型：每次計算的結果皆相同</strong></span></p> <p>確定性模型是在提供特定輸入之下必定會得到相同結果的模型。例如，特定城市的中午時段一定會是白天；而如果是午夜時段，則必然會是黑夜。當然了，這個簡單的例子沒有考慮到地球兩極附近較為奇特的日照時間。</p> <p><span style="color:#B22222;"><strong>隨機／概率模型：每次計算的結果都可能不同</strong></span></p> <p>概率模型是在提供特定的輸入之下，從一組可能的結果中得到輸出的模型。概率模型通常具有可控的隨機性元素，有助於得到可能的結果。例如，假設時間為中午，天氣可能會是晴天、陰天或雨天，沒有固定的天氣。</p> <p><span style="font-size:28px;"><strong>新舊 Al</strong></span></p> <p>有時候我們會使用新舊AI這個概念。舊AI常見的定義是經由人類寫了程式而讓演算法表現出智慧行為的系統──通常透過對問題的深入理解或反覆試驗。舊AI的一個例子便是手動建立決策樹，以及整棵樹中的規則和選項。新AI旨在建立可以從資料中學習的演算法和模型，並建立出自己的規則，其效能可能跟人類建立的一樣準確，甚至更好。不同之處在於後者可能會在資料中找到人類可能永遠都無法察覺，或者需要更多的時間才能找到的重要模式。</p> <p>搜尋演算法通常被視為舊AI，但對此演算法的深入了解，有助於學習更複雜的方法。<strong><span style="color:#696969;">（摘錄整理自《凡人也能懂的白話人工智慧演算法》第一章，碁峰資訊提供）</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-IT%E6%9B%B8%E6%91%98-%E7%99%BD%E8%A9%B1AI%E6%BC%94%E7%AE%97%E6%B3%95.png" style="width: 500px;" /></span></strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>凡人也能懂的白話人工智慧演算法（Grokking Artificial Intelligence Algorithms）</strong></span></p> <p>Rishal Hurbans／著；CAVEDU教育團隊曾吉弘／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%99%BD%E8%A9%B1AI%E6%BC%94%E7%AE%97%E6%B3%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Rishal%20Hurbans.png" style="width: 150px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Rishal Hurbans</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Rishal Hurbans</strong></p> <p>自孩提時期，Rishal便已醉心於電腦、科技與各種瘋狂的點子。在他的職業生涯中，他帶領了許多專案團隊、軟體工程、策略規劃以及針對許多國際企業來設計端對端的解決方案。他也曾經在其公司、社群與產業中積極推動關於實用主義、學習與技術發展的風氣。</p> <p>Rishal對於商業技巧與策略、帶領個人與團隊成長、設計思考、人工智慧與哲學有極大的熱情。Rishal推出了多款數位產品來提高個人與企業的生產力，同時專注於最重要的事情。他也曾頻繁於全球各大研討會分享，致力讓複雜的觀念變得更好理解，以及幫助人們提升自我。</p> </div></div></div>
2023/3/24 00:00未署名https://www.ithome.com.tw/article/156069
Foodpanda進軍C2C快物流，物流服務Pandago在六都及新竹上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名美食外送服務業者Foodpanda大舉進攻物流市場，旗下快物流服務Pandago開放C2C物流服務，以Foodpanda龐大的外送司機車隊為基礎，用戶可使用Pandago下單，將忘在家中的鑰匙、文件或隨身碟，送到指定地點。</p> <p>Foodpanda其實在2021年便推出Pandago，在Foodpanda的App主畫面提供快物流服務，僅以B2C市場為主，與商家合作提供快物流服務，例如家樂福的家速配、全聯的小時達，還有麥當勞、肯德基、全家便利商店等等，歷經一年多的時間發展，Pandago訂單成長超過3倍，取得不錯的成績。</p> <p>今天Foodpanda宣布在臺北市、新北市、桃園市、臺中市、臺南市、高雄市及新竹縣市開放C2C的Pandago物流服務，除了商家，一般民眾也可以使用Pandago下單，設定好寄件及取件地點，系統自動依配送距離計算出運費金額，並媒合適合接單的司機，原則上物流配送距離以5到10公里為主，除了雙北市之外，未提供跨縣市物流服務。</p> <p>以臺北市迪化街送到內湖內科園區附近，該筆物流的運送費用約為170元，並不算便宜，但是至4月底，Foodpanda祭出物流運費不限次數5折優惠。</p> <p>Pandago是以Foodpanda既有的外送車隊作為物流服務的基礎，六都加上新竹約有10萬名的外送註冊司機，搭配採用Foodpanda的媒合系統為骨幹，針對物流特別優化，Pandago的物流服務號稱平均媒合時間僅需5分鐘，可24小時提出物流訂單。</p> <p>Foodpanda營運總監秦宇指出，過去幾年受到疫情影響，民眾使用美食外送服務，也養成對快物流服務的需求，Foodpanda思考如何增加營收，結合既有外送車隊、外送媒合系統的Pandago物流服務即具有發展潛力，除了C2C，未來電商的逆物流也可能是Pandago的發展範圍。今天開放六都、新竹市之後，今年第4季服務將擴大至全臺各縣市，並以2024年Pandago突破300萬訂單為目標。除了現有機車為主的車隊，未來在增加物流運送距離下，考慮和其他業者合作，提供4輪物流服務。</p> <p>Foodpanda挾外送車隊切入物流服務，將挑戰現有的物流服務，例如也鎖定快物流、提供機車物流配送的Lalamove。</p> <p>對此，秦宇認為，相較於其他物流業者，使用pandago不需另外再下載物流App，也擁有更多的外送車隊規模，pandago也發揮Foodpanda外送的科技力，當接單的人力不足時，系統會讓外送員夾單等等。</p> </div></div></div>
2023/3/23 19:03作者蘇文彬https://www.ithome.com.tw/news/156086
AI大神訓練所是門好生意
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未來會出現一種超大算力池的服務，不是AI大神未來住的地方，而是大神的訓練所，訓練時不用對外服務，大神閉關2個月後出來，功力快速提升兩甲子。」台灣大哥大副總經理暨資訊長蔡祈岩越講越興奮</p> <p>那是3月第一個周日的上午，OpenAI剛釋出ChatGPT付費API沒幾天，為了製作<a href="https://www.ithome.com.tw/article/155858">「ChatGPT能與不能」封面故事</a>，我向資訊長請教， ChatGPT對企業的未來影響，他足足講了兩個小時還欲罷不能。</p> <p>今年1月，台灣大哥大資訊群開始在內部試用ChatGPT，也嘗試讓開發人員用ChatGPT輔助寫程式，在內部九大工種，包括了iOS、Android、後端（Java、非Java）、前端（JavaScript、.NET)、PL/SQL、雲端工程以及QA等工種團隊中，挑選先期種子人員，包括新手和資深人員，實際在開發場域使用ChatGPT。資訊長自己更是早就付費嘗試各種點子，他告訴我，用越多，越有心得。</p> <p>蔡祈岩歸納，<a href="https://www.ithome.com.tw/news/155856">ChatGPT有5個層次的企業應用</a>，一是提高員工生產力；二是強化企業內外的數位平臺與服務；三是微調出企業需要的客製化ChatGPT ；四是訓練出企業自己擁有的GPT-like模型；最後一項則是打造或投資AI算力池。</p> <p>熱騰騰的封面故事才剛在10號出刊，隔周，Google在3月14日展開大反攻，發表了高達5,400億參數訓練的生成式AI模型PaLM的API，也展示生成式AI嵌入到Gmail等WorkSpace辦公室套件的新功能，十分讓人驚艷。</p> <p>沒想到，幾個小時後，GPT-4橫空問世，圖文通吃的新一代GPT，再次顛覆了眾人的想像，但這一周的AI大事件還沒結束，微軟在周四更揭露了用GPT-4打造的Office全新AI助手M365 Copilot，將這股GPT熱潮帶到更高峰。不只OpenAI開放限量GPT-4的API試用，微軟緊跟在3月21日釋出Azure OpenAI的GPT-4模型試用。</p> <p>趕搭這股生成式AI浪潮，Nvidia創辦人黃仁勳在3月20日的GTC大會開場演講中，發表了AI超級電腦雲服務DGX Cloud，這是一個在雲端提供的AI超級電腦租用服務。Nvidia找來三大公雲聯手，先後將在甲骨文OCI、微軟Azure 、Google Cloud上推出DGX Cloud服務。</p> <p>不只硬體服務，Nvidia還推出了一套生成式AI模型訓練服務AI Foundations，包括了文字生成模型服務NeMO、視覺語言模型服務Picasso以及生化產業專屬的文字生成式模型服務BioNeMo。</p> <p>Nvidia在NeMO服務上，提供了高達5,400億參數預訓練好的GPT-3模型軟體，搭配上AI超級電腦硬體租用服務，企業可以快速打造出自己的GPT-Like模型。</p> <p>Nvidia打造這兩項新服務的技術，都是過去1、2年來陸續發表的硬體與軟體產品，例如NeMO框架早在2020年就發表了，但在今年正式推出時，重新優化、組合成了新商業模式，Nvidia將自家AI軟硬體產品，變成雲端代管的AI服務。</p> <p>不論是使用OpenAI、微軟Azure或是Google Cloud提供的生成式模型API，企業終究得把內部資料，送到這些平臺上才能用。這正是許多企業最在意的機敏資料與隱私疑慮，甚至得考量諸多法遵規範的限制，例如臺灣金融機構若要使用只在美國機房部署的ChatGPT，來處理內部顧客資料，還得獲得金管會點頭才行。</p> <p>而Nvidia這一套AI超級電腦服務，聽起來就像是蔡祈岩提到的「AI大神訓練所」的服務，可以讓企業訓練出自己的GPT-like模型，客製專屬AI大神。甚至，DGX Cloud支援混合雲架構，也可以落地部署，只要企業財力雄厚，完全可以自己打造一套超級電腦運算池，蓋一座自己的大神訓練所。</p> <p>DGX Cloud不會是唯一的一所GPT類大神訓練所，三大公雲巨頭也早就有各種類型AI大神的訓練所，隨著ChatGPT帶來的生成式AI浪潮，人們看到了全新人機互動、人機協作的形式，勢必出現更多「養大神」的客製化生成式AI需求，大神訓練所可以成為一門新的好生意。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gpt">GPT</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/dgx">DGX</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div></div></div>
2023/3/23 18:01作者王宏仁https://www.ithome.com.tw/voice/156082
【資安日報】3月23日，北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南北韓之間的情勢緊張，北韓駭客對南韓使用者發動攻擊時有所聞，最近有一起資安通告與駭客利用惡意瀏覽器擴充套件的攻擊行動有關，但特別的是，這次發出警告的並非僅有南韓主管機關，還有德國憲法保護聯邦辦公室（BfV），原因很可能是相關攻擊會漫延到全球。</p> <p>電商網站的網站交易資料側錄攻擊也出現新的攻擊手法！研究人員看到駭客轉移陣地，將惡意程式碼植入外接的支付系統閘道元件，使得有關攻擊行動將更難察覺。</p> <p>入侵網站的事故，也有可能是散布惡意軟體攻擊行動的一部分。有駭客在拉丁美洲多個國家散布惡意軟體，並攻擊WordPress網站並用於架設C2中繼站、存放惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.verfassungsschutz.de/SharedDocs/publikationen/EN/prevention/2023-03-20-joint-cyber-security-advisory-korean.pdf?__blob=publicationFile"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客利用瀏覽器外掛竊取Gmail的信件</span></strong></a></p> <p><a href="http://www.verfassungsschutz.de/SharedDocs/publikationen/EN/prevention/2023-03-20-joint-cyber-security-advisory-korean.html;jsessionid=5F54A73439C826897C132E375AB684F2.intranet252">德國憲法保護聯邦辦公室（BfV）</a>與<a href="https://www.ncsc.go.kr:4018/main/cop/bbs/selectBoardArticle.do?bbsId=SecurityAdvice_main&nttId=25266&pageIndex=1#LINK">南韓國家情資服務中心（NIS）</a>聯手發布資安通告，指出北韓駭客組織Kimsuky利用惡意的Chrome擴充套件針對南韓發動攻擊，目標是竊取受害者的Gmail郵件資料，而且，BfV與NIS認為，這些駭客很有可能也將這種手法運用於攻擊其他國家。</p> <p>駭客先透過釣魚郵件要求收信人，為Chrome、Edge、Brave等以Chromium為基礎的瀏覽器，安裝名為AF的擴充套件，一旦收信人在瀏覽器存取Gmail，此擴充套件便會自行啟動，竊取受害者的電子郵件內容。此外，這些駭客不光對電腦用戶下手，也試圖藉由惡意App攻擊安卓用戶。</p> <p><a href="https://www.zscaler.com/blogs/security-research/unintentional-leak-glimpse-attack-vectors-apt37"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織APT37透過微軟說明文件檔案散布惡意程式</span></strong></a></p> <p>資安業者Zscaler的研究人員發現北韓駭客組織APT37經營的GitHub儲存庫，進而推測該組織自2020年10月至今所使用攻擊工具與手法。研究人員指出，駭客透過網路釣魚攻擊散布名為Chinotto的PowerShell後門程式，其誘餌文件檔案的類型相當多元，除了最常見的Office檔案、Excel附加元件（XLL），這些駭客也利用Windows說明文件檔案（CHM），以及南韓辦公室軟體Hancom office檔案（HWP）。</p> <p>再者，這些駭客不只散布惡意軟體，也專注於透過網路釣魚竊取使用者的帳密。而在基礎設施的部分，此駭客組織經常入侵南韓的電子佈告欄系統（BBS），並用來架設C2中繼站。</p> <p><a href="http://blog.sucuri.net/2023/03/woocommerce-skimmer-reveals-tampered-gateway-plugin.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WooCommcerce電商網站的付款流程模組遭到攻擊，駭客注入竊資程式碼</span></strong></a></p> <p>資安業者Sucuri揭露鎖定WooCommerce電子商務網站的攻擊手法，駭客竄改了目標網站上的class-wc-authorize-net-cim.php、wc-authorize-net-cim.min.js，植入惡意指令碼，竊取信用卡卡號、有效期限、CVV號碼、住家地址、電話號碼、電子郵件信箱等資料。</p> <p>值得留意的是，有別於過往駭客將惡意指令碼植入電子商城的結帳網頁，這些被竄改的PHP檔案是電商網站整合Authorize.net支付閘道系統的重要檔案，而使得這種竊取電商網站交易資料的MageCart攻擊行動更加難以察覺，若是網站管理者檢查網站的HTML檔案，也不會發現異狀。</p> <p><a href="https://www.metabaseq.com/mispadu-banking-trojan/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">拉丁美洲遭金融木馬Mispadu鎖定，逾9萬個帳號密碼遭濫用</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Mispadu-Banking-Trojan-Fig-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mispadu-Banking-Trojan-Fig-02.png" style="width: 300px; float: right;" /></a>資安業者Metabase Q揭露金融木馬Mispadu的攻擊手法，駭客自2022年8月，針對智利、墨西哥、秘魯、葡萄牙而來，他們先是針對容易入侵的WordPress網站下手，將其變為他們的C2伺服器，並散布惡意軟體。</p> <p>接著，駭客透過垃圾郵件散布HTML檔案，一旦使用者開啟附件檔案，就有可能從遠端伺服器下載第一階段的惡意程式Mispadu，進而在受害電腦部署以PowerShell、.NET打造的RAT木馬程式，並且從Chrome與Outlook竊取資料。值得留意的是，駭客在作案過程裡將惡意埋藏於證書檔案，然後透過Windows內建的certutil來解密，而能躲過近30個廠牌的防毒軟體。</p> <p>究竟這起攻擊行動的規模有多大？研究人員指出，根據惡意程式濫用的遭竊帳號密碼，他們一共發現了90,518個，而這些資料源自超過1.7萬個網站。</p> <p><a href="https://securelist.com/bad-magic-apt/109087/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭地方政府遭到駭客組織Bad Magic攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CommonMagic_backdoor_09.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CommonMagic_backdoor_09.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露駭客組織Bad Magic的攻擊行動，這些駭客約自2021年9月，鎖定頓涅茨克、盧甘斯克、克里米亞半島等烏克蘭地區的政府機關、農業單位、交通運輸組織，透過網路釣魚的手法，引導目標從惡意伺服器下載ZIP壓縮檔。</p> <p>此檔案內含PDF、XLSX，或DOCX文件檔案，以及惡意連結（LNK）檔案，一旦使用者執行LNK檔案，電腦就會被植入後門程式PowerMagic、惡意框架CommonMagic。其中，惡意框架具備解密來自C2中繼站的流量，並能執行外掛程式的功能，像是截取螢幕畫面，或是從USB竊取特定檔案等。</p> <p><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/threat-reports/roundup/rethinking-tactics-annual-cybersecurity-roundup-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022網路威脅攻擊達到1,460億次，較前年多出55%</span></strong></a></p> <p>資安業者趨勢科技針對2022年網路安全態勢公布相關分析結果，發現全年資安威脅整體數量較2021年增加55%，惡意程式數量增加242%，之所以如此嚴重，很可能是因為這段期間駭客廣泛攻擊所有產業與一般的使用者。</p> <p>該公司表示，根據他們的觀察，2022年臺灣有4項資安威脅高居全球前5名，分別是勒索軟體攻擊、惡意網址攻擊、手機的資安事故，以及智慧家庭連網系統的內外部攻擊。對此，研究人員認為，這代表從政府機關、企業，以及社會大眾都需強化有關的資安防護。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.cisa.gov/news-events/alerts/2023/03/21/cisa-releases-eight-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對工控系統重大漏洞提出警告</span></strong></a></p> <p>3月21日美國網路安全暨基礎設施安全局（CISA）針對台達電、Rockwell等廠牌的工業控制系統漏洞提出警告，呼籲企業應儘速修補。這些漏洞最嚴重的CVSS風險評分達到9.8分，分別是存在於台達電資料中心設施監控軟體InfraSuite Device Master系統的CVE-2023-1133，以及出現在Rockwell自動化系統元件Automation ThinManager的CVE-2023-27855。</p> <p>CVE-2023-1133為不受信任資料的反序列化漏洞，起因是此監控軟體的裝置狀態服務會放行未經驗證的UDP封包，以及反序列化的內容，而讓未經身分驗證的攻擊者可遠端執行任意程式碼。</p> <p>CVE-2023-27855則是與路徑名稱不適當的限制有關，而能允許未經授權的攻擊者上傳任意檔案，甚至能夠覆寫可執行檔，有可能被用於RCE攻擊。</p> <p><a href="https://blog.talosintelligence.com/vulnerability-spotlight-netgear-orbi-router-vulnerable-to-arbitrary-command-execution/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布Netgear Orbi家用Wi-Fi路由器重大漏洞的概念性驗證程式</span></strong></a></p> <p>思科旗下的Talos威脅情資團隊揭露向Netgear通報的Orbi RBR750家用Wi-Fi路由器4項漏洞細節。這些漏洞最嚴重的是CVE-2022-37337，該漏洞存在於Orbi的Satellite延伸設備，攻擊者可遠端發送特製的HTTP請求觸發漏洞，在路由器上執行任意命令，CVSS風險評分為9.1分。</p> <p>CVE-2022-38452、CVE-2022-36429也是任意命令執行漏洞，存在於Orbi主路由器設備，CVSS風險評分皆為7.2分。CVE-2022-38458則是可被用於中間人攻擊（MitM），CVSS風險評分為6.5分。</p> <p>研究人員亦針對前3個漏洞，發布了概念性驗證的攻擊程式碼（PoC），他們表示，雖然目前尚未出現相關漏洞攻擊，但使用者仍應儘快安裝更新程式。此外，Netgear尚未提供CVE-2022-38452的修補程式，使用者也要留意相關公告。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.postguam.com/news/local/docomo-restoring-its-services-after-cybersecurity-incident/article_2211d1e6-c497-11ed-b87c-a7ce522f93de.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電信業者Docomo遭到網路攻擊，相關服務正在恢復</span></span></strong></a></p> <p><a href="https://www.sec.gov/Archives/edgar/data/1857475/000185747523000013/dole-20221231.htm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">農產品批發商Dole證實勒索軟體攻擊事故導致員工資料外洩</span></span></strong></a></p> <p><a href="https://www.enisa.europa.eu/publications/enisa-transport-threat-landscape"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體成2022年歐洲交通運輸業者的重大威脅</span></span></strong></a></p> <p><a href="https://www.scmagazine.com/news/ransomware/black-basta-killnet-lockbit-groups-targeting-healthcare"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療機構成駭客組織Killnet、LockBit攻擊目標</span></span></strong></a></p> <p><a href="https://www.crowdstrike.com/blog/global-threat-report-preview-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客將更加專注於攻擊、竊取雲端系統的資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a></strong></p> </div></div></div>
2023/3/23 15:25作者周峻佑https://www.ithome.com.tw/news/156071
GitHub發表AI軟體開發願景Copilot X，嵌入GPT-4能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-03-22-github-copilot-x-the-ai-powered-developer-experience/" target="_blank">GitHub周三（3/22）發表了基於GPT-4的Copilot X</a>，除了可協助開發者完成註解及程式碼之外，它還能處理拉取請求（Pull Request）、命令列，以及對專案文件的提問，同時納入了聊天及語音寫程式功能，GitHub將Copilot X稱為AI軟體開發的願景，期待GitHub Copilot成為整個程式開發周期的AI助理。</p> <p>GitHub自2021年開始預覽，於2022年6月正式上線的GitHub Copilot是首個來自於OpenAI Codex模型的大規模生產式AI開發工具，該Codex模型為GPT-3模型的後裔，不到一年的時間，全球已有超過5,000個企業及100萬名開發人員採用Copilot，它讓開發人員撰寫程式的速度快了55%，且有46%的程式碼是來自Copilot。</p> <p>而今隨著GPT-4的問世，Copilot旋即採用了最新的GPT-4，整合了聊天及語音功能，並賦予Copilot更多的能力。看起來Copilot X並非是Copilot的特定版本，而是GitHub對Copilot的未來想像。</p> <p>在Copilot X中，開發人員的編輯器將具備類似ChatGPT的GitHub Copilot Chat聊天介面，只是它更注重開發者的需求，而且直接整合了VS Code與Visual Studio，讓開發人員可得到深入分析，了解各個程式碼區塊的作用，生成單元測試，甚至取得修補臭蟲的建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-GitHub%20Copilot%20X-Chat.png" style="width: 600px;" /></p> <p>此外，<a href="https://www.ithome.com.tw/news/154153" target="_blank">GitHub也將去年底展開實驗</a>的語音寫程式功能Hey, GitHub！更名為GitHub Copilot Voice，並把它嵌入GitHub Copilot Chat。</p> <p>新的Copilot for Pull Requests功能則奠基於GPT-4模型，可自動產生拉取請求描述，開發者還可藉由另一個GitHub程式，根據所變更的程式碼自動產生標籤。GitHub內部也在測試其它有關拉取請求的功能，像是依照程式碼的變更在開發者建立拉取請求時提供句子與段落的建議，或是在開發者建立拉取請求卻忘了充分測試時提出警告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-GitHub%20Copilot%20X-Copilot%20for%20Pull%20Requests.png" style="width: 600px;" /></p> <p>而即將發表的GitHub Copilot for Docs則是一項實驗性工具，透過一個聊天介面來自動回答使用者對專案文件的各種問題。另一項新工具為Copilot for the command line interface，可用來撰寫命令及迴圈，藉由模糊的查找標誌來滿足開發者的查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-GitHub%20Copilot%20X-Get%20AI-generated%20answers%20about%20documentation.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-GitHub%20Copilot%20X-Get%20AI-Copilot%20for%20the%20command%20line%20interface.png" style="width: 600px;" /></p> <p><a href="https://github.com/features/preview" target="_blank">目前上述功能或工具都處於預覽階段</a>，開發者必須分別申請試用。</p> </div></div></div>
2023/3/23 15:21作者陳曉莉https://www.ithome.com.tw/news/156070
AWS推出資料無塵室服務Clean Rooms，供企業與外部進行安全資料協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在推出資料無塵室服務<a href="https://aws.amazon.com/tw/blogs/aws/aws-clean-rooms-now-generally-available/">Clean Rooms</a>，該服務讓企業及其合作夥伴能夠協作處理資料，資料擁有者不需要共享和複製個別的資料，就能安全地分析整合資料集，使用戶能夠在擁有資料安全地同時，進行行銷活動、投資決策，甚至是臨床研究分析等。</p> <p>資料無塵室（Data Clean Room）的概念是指一個安全的資料分析環境，在這個可以保護用戶隱私和資料安全的環境中，資料科學家和分析師能夠有限制地存取、分析和處理資料，但又不用擔心敏感資料洩漏。資料無塵室中的資料需要經過去識別化，具有合適權限的人員才能存取和處理資料無塵室中的資料，資料的使用經過監控和審核，在輸出資料前，也會需要經過聚合和去識別化，以確保資料主體的隱私。</p> <p>在觸及敏感資料的應用，資料無塵室能夠很好地派上用場，像是廣告和行銷上，由於要分析用戶行為、研究市場和評估投放效益，常需要處理包含個人資訊的資料，資料無塵室便能在保護個資隱私前提下，操作這些資料，因此包括醫療保健、教育和社會研究等，資料無塵室也都能夠發揮作用。</p> <p>而AWS Clean Rooms是一個方便的資料無塵室服務，用戶可以在AWS雲端上創建無塵室，並且應用內建隱私控制功能，限制無塵室參與成員可以執行的查詢資料和日誌記錄，並且限制查詢輸出。</p> <p>Clean Rooms還提供了進階加密工具，使得資料即便在查詢處理時也能保持加密狀態，以符合企業嚴格的資料處理政策。用戶可以使用AWS SDK和CLI存取Clean Rooms，並將Clean Rooms整合到產品或是工作流程中。</p> <p>目前Clean Rooms已經在AWS美東、美西和歐洲地區推出，在亞洲則已經可在首爾、新加坡、雪梨和東京地區使用。</p> </div></div></div>
2023/3/23 16:14作者李建興https://www.ithome.com.tw/news/156072
ChatGPT修補曝露用戶對話紀錄標題的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周因ChatGPT出現一個會曝露用戶對話標題的「重大問題」，OpenAI一度暫時關閉ChatGPT服務，現已緊急修補完成。</p> <p><a href="https://old.reddit.com/r/ChatGPT/comments/11wkw5z/has_chatgpt_or_me_been_hacked_ive_never_had_these/" target="_blank">周一（3/20）有ChatGPT用戶貼出其使用擷圖</a>，顯示出現簡體中文及關於中國社會主義的內容標題，顯然是來自其他人的對話紀錄。<a href="https://twitter.com/JordanLWheeler/status/1637853083865579520" target="_blank">另有使用者也反映看到他人對話標題</a>，不過內容倒是未外洩。此外也發生網路連線錯誤。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-chatgpt%20bug-600(1).png" style="width: 599px;" /></p> <p>OpenAI於當天短暫關閉ChatGPT後已恢復開放使用。</p> <p><a href="https://twitter.com/sama/status/1638635717462200320" target="_blank">OpenAI執行長Sam Altman周一說明</a>，ChatGPT服務的問題出在使用的開源碼函式庫有一臭蟲，導致少數用戶可以看到其他用戶的對話紀錄。維護單位已釋出修補程式，OpenAI也已完成驗證。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-chatgpt%20bug-ceo%20reply.png" style="width: 500px;" /></p> <p><a href="https://twitter.com/sama/status/1638635718691135488" target="_blank">Altman稍後指出</a>，為安裝修補程式，ChatGPT使用者會有一段時間無法存取自己的對話紀錄，他也承諾事後會提供技術說明。</p> <p>但Alman並未說是何種開源函式庫引發問題。</p> <p><a href="https://help.openai.com/en/articles/6783457-chatgpt-general-faq" target="_blank">ChatGPT的FAQ網頁說明</a>，用戶對話紀錄中的提示無法被刪除，因此提醒用戶不要提供敏感資訊。</p> <p>ChatGPT自去年11月以預覽版上線以來，用戶快速增加，到今年1月用戶已經超過1億。ChatGPT的成功不僅讓Google發出紅色警戒、加緊開發AI聊天機器人Bard，也讓微軟甘心在OpenAI身上投資數十億美元，並將其底層模型整合到Microsoft 365、Power Platform、Bing、Azure以及生產力協同平臺Loop中。</p> </div></div></div>
2023/3/23 12:43作者林妍溱https://www.ithome.com.tw/news/156068
SEC控告Tron，向Coinbase發出違法通知
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-59" target="_blank">美國證券交易委員會（SEC）本周三（3/22）控告</a>加密貨幣資產企業家孫宇晨（Justin Sun），以及孫宇晨所擁有的Tron Foundation、BitTorrent Foundation及Rainberry等3家公司違反證券法令，同一天<a href="https://www.coinbase.com/blog/we-asked-the-sec-for-reasonable-crypto-rules-for-americans-we-got-legal" target="_blank">美國加密貨幣交易平臺Coinbase亦證實</a>已收到來自SEC認為該公司可能違法的威爾斯通知（Wells notice），顯示SEC正積極整頓加密貨幣產業。</p> <p>孫宇晨是在2014年創立開源的Tron區塊鏈系統，並發行Tronix（TRX）加密貨幣，再於2017年設立Tron Foundation來管理Tron，<a href="https://www.ithome.com.tw/news/124768" target="_blank">2018年時以1.4億美元買下</a>分散式串流服務BitTorrent，之後即成立BitTorrent Foundation，由Tron Foundation與BitTorrent Foundation在2019年共同發行BitTorrent Token（BTT）加密貨幣，而BitTorrent原本的串流業務則交給新成立的Rainberry。不管是Tron或BitTorrent兩個基金會都設立於新加坡，但相關加密貨幣的發行與推廣則擴及全球，包括美國在內。</p> <p>SEC指出，孫宇晨與旗下公司藉由多個未註冊的計畫，以投資為名義來推廣及兜售TRX及BTT，這些行為已違反美國《證券法》（Securities Act）。</p> <p>此外，孫宇晨也涉嫌操縱市場，在2018年4月至2019年2月間，利用所屬的兩個加密貨幣帳號執行60萬次的大量TRX交易，每日交易量超過450萬美元，企圖建立市場需求的假象，此外，孫宇晨也把這些未經註冊的TRX出售到二級市場，獲利超過3,100萬美元。</p> <p>除了上述被告之外，SEC甚至控告了8位替孫宇晨行銷TRX及BTT的名人，原因是他們在替這兩個加密貨幣打廣告的同時，並未向大眾揭露這其實是業配。</p> <p>總之，SEC認為TRX及BTT屬於必須註冊的證券，應受《證券法》規範，孫宇晨操縱市場的行為還涉及了詐欺。</p> <p>SEC不僅對孫宇晨、Tron與BitTorrent提告，還向在美國上市的加密貨幣交易平臺發出威爾斯通知，代表SEC準備向Coinbase採取法律行動。</p> <p>此事是由Coinbase主動揭露，闡明自去年夏天就開始與SEC協商，討論要向SEC註冊Coinbase的部分業務，雙方之間的會議超過30次，然而，9個月之後，SEC卻逕自針對Coinbase旗下的 Coinbase Earn、Coinbase Prime、Coinbase Wallet及未指名的多個數位資產發出威爾斯通知，指出Coinbase暗藏潛在違反《證券法》的行為，而且SEC拒絕透露Coinbase上的哪些數位資產屬於證券。</p> <p>這使得Coinbase抱怨美國加密貨幣的監管混亂，而且SEC並不會讓加密貨幣業者註冊或進入證券領域，因為該公司試過了，呼籲美國的加密貨幣監管環境應該多一些指導，而不是更多的執法。</p> </div></div></div>
2023/3/23 10:57作者陳曉莉https://www.ithome.com.tw/news/156066
微軟預覽Office協同工具Loop，也加入了AI工具Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/03/22/new-microsoft-loop-app-is-built-for-modern-co-creation/" target="_blank">微軟昨（22）日宣布</a>可讓Office靈活分享及更新內容的協同工具Loop上線，<a href="https://loop.microsoft.com/learn" target="_blank">以預覽版讓所有人試用</a>，也釋出Android及iOS版App開放企業帳號登入。</p> <p>微軟首次<a href="https://www.ithome.com.tw/news/147628" target="_blank">於2021年底公布Loop</a>。類似Notion，Loop也是提供任務、內容及文件共享與協同的Hub，它是以Fluid框架為基礎，可將網頁或文件各種內容，如文字、表格、圖片元件化，讓使用者將單獨元件複製、貼上、搬移到另一個畫布（canvas）或工作區的地方，像是Microsoft Teams、Outlook、或是Microsoft 365中的Word及Whiteboard等App上組合，也可幾近即時分享給專案其他成員。</p> <p>Loop包含三個部分，分別是工作區（Workspace）、工作頁（Pages）及元件（Component）。所謂元件指的是可搬動的表格、段落和清單，工作頁則將單一專案的相關資訊與元件組合，而工作區上可一覽所有專案及元件，並和他人共享。微軟最新推出的Loop App則讓使用者存取三個部分。</p> <p>利用Loop，用戶可以拖放方式將文字段落、圖片或表格在單一工作頁上組合、編排及整理。只要輸入工作區標題及其他關鍵字，Loop就能建議相關可以加入其中的元件，另外也內建範本方便使用者新增單一專案。建立好的Pages可以以連結或網頁方式分享給其他人。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/wp-content/uploads/sites/2/2023/03/14-%E2%80%94-Loop-Control-2048x1067.webp" style="width: 600px;" /></p> <p>Loop可和微軟其他協同工具整合使用，例如在Loop App及任務清單上分配的工作，它提供進度追蹤器及客製化標籤，方便用戶追蹤，通知功能協助掌控進度或他人回應。Loop上的任務還能同步到Microsoft Planner及To Do上。用戶也可針對其他成員元件予以回應、評論、或加表情符號。</p> <p>這次Loop宣布最重要的新功能是加入了AI助理Copilot。Copilot可提供草擬、腦力激盪、規畫及描述等提示詞，引導用戶使用，用戶也可以直接輸入想要的協助，例如「幫我寫出公司的任務宣言」。Loop中的Copilot支援多人模式，允許多位成員問問題或編輯建議，以共同編輯Word文件、或透過Outlook、Whiteboard、或Teams協同。此外，未來Copilot也會加入Loop頁內容及關聯文件摘要功能，並以元件同步給所有成員。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/wp-content/uploads/sites/2/2023/03/M365_Loop_Copilot_031523.gif" style="width: 600px;" /></p> <p>目前Loop中的Copilot僅以封閉預覽版提供少數人試用。至於文件摘要功能則會在幾個月後正式推出。</p> <p>目前Web版Loop已經上線，也提供Android及iOS版App，不過今天只有工作帳號能登入，但個人帳號不久後也會開放。IT管理員必須以<a href="http://aka.ms/EnableLoop" target="_blank">Loop App的設定頁</a>開放員工使用Loop。</p> <p>企業用戶若想以Loop協同，目前預覽版支援一個工作頁最多50人同時編修。微軟說已測試過數百人同時使用，但該公司建議一個工作頁最好是2到12人以免降低作業效率。</p> </div></div></div>
2023/3/23 11:19作者林妍溱https://www.ithome.com.tw/news/156067
微軟在Bing及Edge中嵌入基於最新DALL-E模型的Bing Image Creator
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/03/21/create-images-with-your-words-bing-image-creator-comes-to-the-new-bing/" target="_blank">微軟周二（3/21）宣布</a>，已於新版Bing及Edge上提供基於最新DALL-E模型的Bing Image Creator，讓使用者只要輸入文字敘述就能自動產生圖像。DALL-E為OpenAI所開發的文字轉圖像AI模型，<a href="https://www.ithome.com.tw/news/153341" target="_blank">去年9月即開放外界試用</a>。</p> <p>微軟表示，研究顯示人腦處理視覺資訊的速度是處理文字的6萬倍，代表視覺工具為人們搜尋、建立及取得理解的重要工具，此外，影像也是人們最常搜尋的類別，僅次於網頁搜尋，過去的搜尋侷限在網路上的既有影像，而現在則幾無限制。</p> <p>微軟已將Bing Image Creator整合在基於ChatGPT的Bing聊天功能上，初期僅出現於創意（Creative）模式，只要輸入「create an image」等文字提示，就能呼叫圖像生成功能；也將它整合在Microsoft Edge上，可透過側邊欄的Bing Image Creator圖示進入；或是可直接造訪bing.com/create來試用Bing Image Creator。</p> <p>在Bing Image Creator中，使用者可輸入影像的文字描述，甫以諸如地點或活動的其它脈絡，再選擇藝術風格，系統就會自動產生使用者想像中的圖像。</p> <p>為了避免遭到濫用，微軟亦與OpenAI合作以共同捍衛Bing Image Creator的安全性，例如在偵測到有害的影像描述時，即會封鎖並跳出警告，也會在由Bing Image Creator產生的圖像上註明出處。</p> <p>目前Bing Image Creator僅支援英文，微軟已計畫讓它支援更多的語言。</p> </div></div></div>
2023/3/23 09:25作者陳曉莉https://www.ithome.com.tw/news/156055
Nvidia推出最新通用GPU L4，Google雲端率先推出搭載L4的G2 VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia新一代通用<a href="https://developer.nvidia.com/blog/supercharging-ai-video-and-ai-inference-performance-with-nvidia-l4-gpus/">L4 Tensor Core GPU</a>是T4 GPU的後繼者，適用於影片、視覺計算、圖形、虛擬化、生成人工智慧等廣泛應用，L4可達T4 GPU 2.7倍的生成式人工智慧效能，圖形效能上升達4倍，人工智慧影片工作管線更可支援即時運算，特別的是，由於L4新增FP8支援，因此能夠更好地執行機器學習推理運算。</p> <p>L4 GPU採用第4代張量核心的Ada Lovelace架構，以及第3代RT核心，擁有高達24 GB GDDR6的顯示卡記憶體，支援Shader execution reordering技術，能夠改善著色效能，同時也支援包括AV1解編碼等圖像和影片硬體加速處理引擎。</p> <p>在FP32精度效能可達30 TFLOPS，在FP16精度下，更能擁有高達運算能力242 TFLOPs，而且L4 GPU除了INT8、BFLOAT16和TF32精度之外，還新增支援FP8，使得L4 GPU更適合執行機器學習推理工作負載。</p> <p>L4 GPU的各項效能都高於T4 GPU數倍，除了生成式人工智慧效能的執行效能提升至2.7倍之外，由於第3代RT核心以及人工智慧加持的DLSS 3，L4能夠勝任圖形密集運算工作，在Omniverse、雲端遊戲和虛擬工作站上，可以提供4倍於T4的圖形效能，甚至可以用於即時計算電影品質的場景。</p> <p>新GPU在影音處理上也馬力十足，搭載L4 GPU的伺服器能夠以720p30的解析度，同時支撐超過1,000個AV1影片串流，此外，L4 GPU還可以將多種解析度和格式串流傳輸至多個平臺，進而支援在社交媒體平臺等更多頻道上的影片播放。</p> <p>而在Nvidia推出L4 GPU的同時，Google也發布首款採用L4 GPU的<a href="http://cloud.google.com/blog/products/compute/introducing-g2-vms-with-nvidia-l4-gpus">虛擬機器</a><a href="https://cloud.google.com/blog/products/compute/introducing-g2-vms-with-nvidia-l4-gpus">G2</a>，Google提到，從A10G GPU切換使用L4 GPU，基礎設施的成本可下降達40％，而從L4 GPU切換至T4 GPU，則可獲得2到4倍的效能提升。Google最佳化Vertex AI對G2虛擬機器的支援，供用戶使用最新的生成式人工智慧模型和技術，而無序額外調校。</p> </div></div></div>
2023/3/23 09:27作者李建興https://www.ithome.com.tw/news/156054
【資安日報】3月22日，缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Linux伺服器下手的惡意軟體攻擊近期不斷出現，新崛起的ShellBot殭屍網路病毒也是這類威脅之一，但值得留意的是，駭客之所以入侵這些伺服器，是因為它們的高權限系統管理帳號普遍採用弱密碼，而運用字典攻擊可猜到密碼、奪取系統主導權。</p> <p>雖然針對Linux作業系統的惡意軟體攻擊變多，但攻擊Windows電腦的惡意軟體也同樣不能掉以輕心。例如，名為DotRunpeX的惡意軟體不只用了處理程序挖空手法（Process Hollowing），更罕見地採用了虛擬化元件KoiVM來混淆程式碼。在此之前，只有名為MalVirt的惡意程式載入器採用此種混淆手段。</p> <p>攻擊者廣泛利用零時差漏洞的現象，也令人觸目驚心。有資安業者分析相關攻擊行動，結果發現2022年駭客偏好的零時差漏洞超過50個，最多的還是Windows作業系統漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://asec.ahnlab.com/en/49769/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">缺乏管理的Linux伺服器遭到DDoS惡意軟體ShellBot攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dotrunpex-image-60.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dotrunpex-image-60.png" style="width: 300px; float: right;" /></a>資安業者AhnLab揭露DDoS殭屍網路病毒ShellBot（亦稱PerlBot）的攻擊行動，此病毒程式以Perl開發而成，並透過IRC的通訊協定與C2伺服器連線。駭客專門鎖定缺乏管理的Linux伺服器下手，掃描目標是否開放SSH連接埠（22埠），然後透過常見的SSH帳密來進行字典攻擊，進而入侵並部署殭屍網路病毒。</p> <p>研究人員總共發現3種版本的ShellBot，分別是LiGhT's Modded perlbot v2、DDoS PBot v2.0、PowerBots (C) GohacK。前兩種的主要用途是DDoS攻擊，最後一種則擁有較多後門的功能，像是提供反向Shell連線，或是能對受害主機上傳任意檔案。</p> <p>但除了將受害伺服器用於DDoS攻擊，研究人員發現，攻擊者透過Shell指令碼編譯器植入了挖礦軟體。</p> <p><a href="https://research.checkpoint.com/2023/dotrunpex-demystifying-new-virtualized-net-injector-used-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DotRunpeX透過搜尋引擎廣告散布</span></strong></a></p> <p>資安業者Check Point揭露名為DotRunpeX惡意軟體，使用俄文的駭客將其用於散布多種竊資軟體（Infostealer），例如：Agent Tesla、FormBook、LokiBot、Raccoon Stealer, RedLine Stealer、Vidar等。</p> <p>此惡意程式採用.NET編譯而成的新型注入工具，並透過處理程序挖空（Process Hollowing）手法執行，通常在攻擊行動中將其用於第二階段行動。駭客通常透過釣魚郵件的附件，或是假借提供AnyDesk、LastPass應用程式的名義，投放惡意廣告引誘使用者上鉤。</p> <p>特別的是，此惡意軟體新的變種於2022年10月出現，首度採用了虛擬化工具KoiVM進行混淆，並透過存在漏洞的Sysinternals工具包驅動程式元件procexp.sys，進行自帶驅動程式攻擊（BYOVD），停用Windows作業系統的防惡意軟體服務。</p> <p><a href="https://www.mandiant.com/resources/blog/zero-days-exploited-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年有55個零時差漏洞遭到廣泛利用</span></strong></a></p> <p>駭客利用零時差漏洞發動攻擊的事件不時傳出，但他們最常用到的漏洞有哪些？資安業者Mandiant針對2022年的零時差漏洞攻擊進行調查，發現總共有55個零時差漏洞是駭客偏好利用的對象，這些漏洞幾乎都能被用於提升權限，或是遠端執行任意程式碼（RCE）。</p> <p>研究人員指出，當中有13個是網路間諜利用的對象，且有逾半數是中國駭客組織所用。在全部55個漏洞裡，微軟、Google、蘋果的零時差漏洞就包辦了三分之二，當中最多是Windows（15個）、Chrome（9個）、iOS（5個）、macOS（4個）。</p> <p>雖然駭客使用的零時差漏洞與Windows有關的最多，但研究人員認為，「邊界基礎設施（Edge Infrastructure）」類型產品的漏洞更受到網路間諜歡迎，原因是這類系統往往暴露在網際網路的連線，並且無法在此架設EDR或XDR類型的資安偵測解決方案，而使得組織不易察覺異狀。</p> <p><a href="https://unit42.paloaltonetworks.com/trigona-ransomware-update/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Trigona鎖定美國、歐洲、澳洲而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-127253-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-127253-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露自2022年10月出現的勒索軟體Trigona，鎖定澳洲、義大利、法國、德國、紐西蘭、美國的農業設施、金融產業、高科技產業，以及市場行銷業者，研究人員從2022年12月發現有超過15個組織遭到相關攻擊。</p> <p>一旦駭客成功入侵受害組織，就會執行偵察、利用遠端監控管理軟體（RMM）下載作案工具，然後建立新的使用者帳號來執行勒索軟體。研究人員分析此勒索軟體的戰略、戰術，以及步驟（TTP），認為背後的駭客組織曾使用另一款勒索軟體CryLock犯案。</p> <p><a href="https://www.sentinelone.com/labs/winter-vivern-uncovering-a-wave-of-global-espionage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲政府機關遭到駭客組織Winter Vivern鎖定，利用冒牌防毒植入惡意程式</span></strong></a></p> <p>資安業者SentinelOne揭露俄羅斯駭客組織Winter Vivern的攻擊行動，駭客針對波蘭、義大利、烏克蘭政府，以及聲援烏克蘭的電信公司員工而來，架設假冒特定機構的網站，如波蘭打擊網路犯罪局、烏克蘭外交部、烏克蘭國家安全局（SSU），藉此散布惡意軟體。攻擊者很可能是利用釣魚郵件夾帶含有巨集的Excel檔案，引導目標存取上述網站。</p> <p>研究人員指出，其中一種攻擊手法，就是透過批次檔來模擬防毒軟體的掃描程序，顯示執行的進度與所需時間，但實際上，該批次檔在背景利用PowerShell，從遭駭的WordPress網站下載惡意酬載Aperetif。此惡意程式具備自動挖掘並竊取受害電腦的資料、截取螢幕截圖，並將檔案透過Base64編碼處理再傳送到C2伺服器。</p> <p><a href="https://blog.cyble.com/2023/03/14/goatrat-android-banking-trojan-variant-targeting-brazilian-banks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">拉丁美洲行動支付平臺遭到安卓木馬GoatRAT濫用，攻擊巴西銀行用戶</span></strong></a></p> <p>資安業者Cyble揭露針對巴西行動支付平臺的安卓木馬程式GoatRAT，此木馬程式的攻擊目標是3家當地銀行的用戶，並濫用巴西中央銀行營運的行動支付服務Pix進行自動收款，其主要的功能是執行自動傳輸系統（ATS）攻擊，一旦GoatRAT感染目標裝置，會先利用Android系統的輔助功能來確認受害者使用的銀行名稱，然後建立假的銀行App操作畫面覆蓋整個螢幕，進而讓攻擊者將銀行帳戶的存款透過Pix轉走。特別的是，許多金融木馬程式內建的竊取驗證碼及簡訊內容機制，GoatRAT並未納入。</p> <p><a href="https://www.ferrari.com/en-EN/corporate/articles/cyber-incident-in-ferrari"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超級跑車製造商法拉利證實發生資料外洩事故，並強調不願妥協付錢</span></strong></a></p> <p>3月21日超級跑車製造商法拉利發布資安通告，表示公司網路遭到攻擊，駭客向其索討贖金，對方表示，若支付這筆費用，就不會外流他們竊得的客戶資料。對此，法拉利強調不會支付贖金，以免助長網路犯罪，並表明他們已通知客戶此事。</p> <p>根據研究人員Troy Hunt取得的通知信，客戶姓名、住家地址、電話號碼、電子郵件信箱遭竊，但不包含銀行帳戶資料、與支付相關的敏感資訊，以及客戶下單記錄、持有的車輛資料。法拉利亦表示，本次事故並未影響營運。</p> <p><a href="https://www.ithome.com.tw/news/156029"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓版中國購物App拼多多遭下架，Google表示原因是網路上出現惡意版程式</span></strong></a></p> <p>根據<a href="https://www.scmp.com/tech/big-tech/article/3214328/google-play-suspends-chinese-shopping-app-pinduoduo-over-suspected-malware">南華早報</a>、<a href="https://www.reuters.com/business/retail-consumer/pinduoduo-owners-revenue-falls-short-weak-consumer-spending-2023-03-20/">路透社</a>、<a href="https://edition.cnn.com/2023/03/21/tech/china-google-pinduoduo-malware-app-intl-hk/index.html">CNN</a>等新聞媒體的報導，中國購物App「拼多多（Pinduoduo）」遭到Google下架，但特別的是，這次與過往下架惡意App的原因有所不同，並非上架於Google Play市集的App被發現惡意程式，而是Google在該市集以外的地方看到有問題的拼多多App。</p> <p>針對上述的媒體採訪，Google表示，Android裝置上的Google Play Protect防護機制，將會檢查已經安裝的拼多多App是否存在惡意行為，一旦發現異狀就會要求用戶移除，再者，該防護機制也會封鎖惡意版本拼多多App的安裝。</p> <p>對此，拼多多表示確實收到下架相關通知，但Google沒有進一步說明是否含有惡意程式。不過，拼多多美國子公司的線上購物平臺Temu的App並未受到影響，iOS版拼多多App也沒有遭到蘋果App Store下架。由於Google沒有透露細節，後續有待進一步觀察。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cloud.google.com/blog/products/identity-security/google-cloud-fs-isac-advance-security-in-financial-services"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google Cloud參與FS-ISAC重大供應商計畫，成為第一個投入的主要雲端服務業者</span></strong></a></p> <p>雲端服務業者Google Cloud於3月17日宣布，他們參與金融服務資訊共享暨分析中心（FS-ISAC）重要供應商計畫，而成為第一家投入該計畫的主要雲端服務供應商。該業者將提供他們的專家與相關資源。這項決定與Google在2021年8月，承諾要在5年內投入至少100億美元促進網路安全有關。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-saks-fifth-avenue-retailer-says-mock-data-stolen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國奢侈品百貨薩克斯第五大道傳出遭勒索軟體Clop攻擊</span></span></strong></a></p> <p><a href="https://zengo.com/zengo-uncovers-security-vulnerabilities-in-popular-web3-transaction-simulation-solutions-the-red-pill-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Coinbase加密貨幣錢包存在漏洞Red Pill，恐被用於迴避偵測</span></span></strong></a></p> <p><a href="https://www.securityweek.com/organizations-notified-of-remotely-exploitable-vulnerabilities-in-aveva-hmi-scada-products/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Aveva旗下的HMI、SCADA工控系統解決方案存在漏洞</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/03/21/notorious-sidecopy-apt-group-sets-sights-on-indias-drdo/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度國防研發機構DRDO遭駭客組織SideCopy攻擊</span></span></strong></a></p> <p><a href="https://www.elastic.co/security-labs/naplistener-more-bad-dreams-from-the-developers-of-siestagraph"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">南亞、東南亞遭到竊資軟體Naplistener攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155993">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</a></strong></p> </div></div></div>
2023/3/22 15:49作者周峻佑https://www.ithome.com.tw/news/156035
Adobe發布圖像生成AI模型Firefly，強調完全使用符合授權規範的訓練資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟應用DALL-E模型，推出圖像生成服務Bing Image Creator的同一天，多媒體製作軟體龍頭Adobe也發布一系列稱作<a href="https://www.adobe.com/sensei/generative-ai.html">Firefly</a>的生成式人工智慧模型，能夠根據描述生成內容，Adobe表示，他們正把這些模型整合到應用程式中，加速創作者工作流程。</p> <p>Firefly第一個模型著重於創建圖像和文字效果，而且適用於商業用途，官方解釋，Firefly使用Adobe Stock中大量的專業授權圖像、版權已過期的公開授權內容，以及公領域的內容訓練而成。同時Adobe也以樣式引擎強化模型，協助創作者生成獨具風格的藝術、圖形和文字效果。</p> <p>Firefly被嵌入到Adobe Creative Cloud、Document Cloud、Experience Cloud和Adobe Express中，在創作者現有的工作流程，提供編輯輔助以及創作建議，像是在修圖方面，創作者能夠以文字提示，指定Firefly在畫布特定區域生成物件，Firefly會根據上下文生成合理的內容，在日常繪圖創作中，創作者還可以輕易地利用指令，要求Firefly向量化手繪圖，並且使用編輯工具進一步調整。</p> <p>在影片編輯上，創作者只要提供文字描述，Firefly就能改變影片中的天氣。Firefly也能被用於協助編輯3D模型，人工智慧將會根據創作者提供的材質和條件，提供更多渲染建議。Firefly也有針對一般使用者的應用，只要提供一些素材，Firefly就能自動生成廣告橫幅或是社交平臺用圖。</p> <p>同時Adobe還計畫以API的形式提供Firefly服務，使用戶能夠將圖像生成人工智慧，整合到自定義的工作流程和自動化工具中。</p> <p>Adobe之後還會開發針對不同技能程度和使用案例的模型，也計畫讓創作者可以根據個人和品牌風格訓練專屬模型，以擴展創作者的生產力，官方也提到，他們盡可能使用更多的內容來源訓練模型，並尋求進一步降低生成內容所存在的偏見和內容的方法。</p> <p>Adobe將讓創作者有辦法從Firefly中獲利，官方針對Stock貢獻者發展補償模型，使貢獻者可以因為自己的圖像被用於訓練Firefly，而Firefly被更多使用者使用而產生利潤，Adobe提到，在Firefly測試結束之後，會公開補償模型的詳細資訊。</p> <p>Adobe也期望可以透過Adobe CAI（Content Authenticity Initiative），來推動產業開放標準，並倡議生成式人工智慧模型必須遵守請勿訓練（Do Not Train）標籤，不使用附加該標籤的資產訓練人工智慧，而所有人工智慧生成內容，也都需要在CAI內容憑證標記。</p> </div></div></div>
2023/3/22 16:12作者李建興https://www.ithome.com.tw/news/156032
電商龍頭Momo 2023年要挾帶1,380萬不重複月流量優勢發展廣告事業，還要拓展Mo幣生態圈，並進軍400億企業福…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電商龍頭Momo富邦媒2022年營收創下1,034億元新高。成為千億等級電商後，Momo揭露2023年發展方向，要憑著每月千萬次不重複流量及供應商數據來發展廣告事業，還要擴大Mo幣生態圈到更多品牌、並進軍400億元的企業福利市場。</p> <p><strong>挾帶巨量消費者及供應商數據優勢，開始發展廣告業務</strong></p> <p>Momo今年要開始利用CDP及SCM數據，發展RMN（零售媒體聯播網，Retail Media Network）基礎建設，讓供應商未來可以在電商平臺上購買關鍵字廣告。作為臺灣電商龍頭，Momo每月有1,380萬不重複訪客數，若成功發展RMN，規模相當可觀。作為對比，不排除重複訪客數，臺鐵1月總客運量為1,667萬人。</p> <p>Momo總經理谷元宏表示，他們一直以來都會用數據來驅動會員經營和供應商管理，用CDP來管理會員數據、優化商品行銷及推薦，並利用SCM管理供應商在自家平臺上的商品，甚至與供應商討論如何優化商品推出時機、促銷活動時機等行銷決策。他說，Momo其實本來就會將這些數據用於行銷，觀望數年後，今年終於決定用這些數據和行銷洞察，來發展廣告業務商機。</p> <p>谷元宏揭露，Momo計畫打造自己的廣告平臺，包括廣告競標、行銷追蹤、成效分析等功能。此平臺目前仍在建設中，服務上線時間未定。他補充，目前不清楚廣告業務能帶來多少營收，不過他抱持樂觀態度，因為RMN營收也是Amazon等大型電商的重要收入來源，且電商訪客消費意願較強，廣告轉換率通常比一般網路流量高。</p> <p><strong>將供應商納入Mo幣生態圈，還要用Mo幣做B2B電商</strong></p> <p>以往Momo的會員點數Mo幣，只能用於折抵自家電商平臺及富邦集團其他企業的消費，偶爾與集團外商家合作，也多為一次性活動。今年，他們要擴大Mo幣生態圈到更多集團外品牌的線上線下消費場景，還要用這個點數來進軍企業福利市場。</p> <p>谷元宏表示，今年開始積極擴大Mo幣生態圈，一大原因是發行量已經達到一定規模。2019年發行至今，有超過千萬名消費者使用過，且Momo預計2023年總發行量會突破100億。目前Mo幣發行主力為短期行銷活動，以及長期Momo聯名卡消費回饋。谷元宏揭露，聯名卡目前已經發行85萬張，目標今年達100萬張。</p> <p>Momo電商事業處副總經理洪偉釗說明，Mo幣生態圈的第1圈是富邦集團企業，第2圈則要瞄準自家供應商。過往，供應商只有在Momo販售商品時，會透過促銷活動發送Mo幣。未來，他們希望供應商能將其應用於能於更多場景，例如在其他通路作為贈品，送給自家會員。這意味著，Mo幣未來不只能觸及Momo會員，還有機會觸及到供應商的會員。</p> <p>另一種應用場景是用於供應商的福委採購及企業禮贈平臺。企業福利市場規模約為400億元，不過競爭者多為中小型電商。例如最大企業福利網PayEasy 2022年營收為2億元，品項數約36萬件。因此，電商龍頭加入戰局，規模優勢相當龐大。洪偉釗指出，與企業洽談這類業務時相當順利，因為他們供應商中不乏員工人數多的大型企業，所以Momo上百萬品項數，比起其他通路更有機會滿足這些員工多元的購物需求。</p> <p><strong>強化智慧倉儲，提升到貨效率並發展短鏈綠色物流</strong></p> <p>Momo預計2023年新增物流中心、主倉、衛星倉等大大小小的倉儲至63座。谷元宏表示，今年將繼續導入AI技術來優化物流管理，包括配置不同倉儲的存貨種類、預測銷量、轉運補貨等事項，還要用物流數據強化TMS（運輸管理系統，Transportation Management System），來提升物流路徑規劃、即時路況建議，進而預估訂單到貨時間。</p> <p>谷元宏表示，布局短鏈物流，再以數據科技優化，可以有效減少貨物在不同倉儲間來回調轉的時間，不僅提升運送效率，還能增加更多業務可能性，例如Momo已經有能力於倉儲密度較高的地區販賣雞蛋和牛奶等生鮮商品。</p> <p>Momo今年還要發展另一種綠色物流模式，不以到貨效率為唯一考量，而是把環保也考慮進物流決策。谷元宏說，為了提升到貨效率，有時他們會將同一筆訂單分為數個包裹出貨。然而，他們發現有一些會員不贊同這樣的模式，寧願等待多樣商品撿貨完成再一次出，節省包裝和運輸對環境衝擊。因此，他們會研究，如何在滿足這一群會員環保需求的前提下，盡可能維持到貨效率。</p> </div></div></div>
2023/3/22 10:35作者郭又華https://www.ithome.com.tw/news/156025
法拉利遭勒索軟體攻擊外洩客戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ferrari.com/en-EN/corporate/articles/cyber-incident-in-ferrari" target="_blank">義大利車商法拉利（Ferrari）本周稍早表示</a>公司網路遭到勒索軟體攻擊，導致客戶個資外洩。</p> <p>這家車商近日收到駭客勒索訊息，要求為外洩的客戶聯絡資訊付贖金才得知此事，並偕同外部廠商立即展開調查。</p> <p>法拉利表示，根據公司政策，他們不會屈服歹徒要求支付贖金，資助犯罪活動並讓攻擊者持續逞兇。他們認為最好的做法是通知客戶，並提醒可能的風險。這家車商並表示，這次事件未對公司營運功能造成影響。</p> <p><a href="https://twitter.com/troyhunt/status/1637949894282588160" target="_blank">根據資安研究人員Troy Hunt取得的信件</a>，根據法拉利的調查，客戶的姓名、住家地址、電話號碼、電子郵件信箱等已曝光，但銀行帳戶或其他敏感支付資訊，以及車主持有或下單過何種法拉利車款的資訊則未被竊取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Ferrari%20%E9%80%9A%E7%9F%A5%E4%BF%A1%20image%20by%20Troy%20Hunt.png" style="width: 600px;" /></p> <p><a href="http://twitter.com/troyhunt/status/1637949894282588160" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Troy Hunt</span></span></a></p> <p>本事件和去年法拉利的資安事件是否有關不得而知。<a href="https://www.redhotcyber.com/post/la-ferrari-e-stata-colpita-dal-ransomware-ransomexx-7gb-di/" target="_blank">去年10月勒索軟體RansomEXX駭客組織宣稱駭入法拉利公司網路</a>，取得超過7GB資料，包括公司內部文件、資料表以及維修手冊等，並將這些資料公開提供下載。但是當時法拉利否認遭駭，但說會調查文件流出的原因。</p> <p><a href="https://www.ithome.com.tw/news/148328" target="_blank">2021年瑞典車商Volvo Cars也公告遭駭</a>，該事件導致公司研發資料外洩。媒體報導，可能是勒索軟體Snatch攻擊的結果。</p> </div></div></div>
2023/3/22 12:22作者林妍溱https://www.ithome.com.tw/news/156028
Google以有惡意程式為由禁中國團購App拼多多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周以發現惡意程式為由，暫時將中國團購App拼多多（Pinduoduo）從其Play Store下架。</p> <p><a href="https://www.securityweek.com/google-suspends-chinese-shopping-app-amid-security-concerns/" target="_blank">Google指出該公司的安全軟體Google Play Protect掃瞄發現</a>，Play Store以外平臺下載的特定版本拼多多應用程式包含惡意程式，因此，基於安全考量Google Play Protect已經設定封鎖這款App的安裝。Google也呼籲已安裝惡意程式版本的用戶應儘速移除這款App。</p> <p>目前Google已暫時將Play Store上的拼多多App下架，以預防用戶安裝到不安全的應用程式。</p> <p>拼多多App提供消費者拼團大宗採購以買到更便宜的商品，用戶高達8億，去年營業額達1,306億人民幣（約189億美元），較前一年增長39%。</p> <p><a href="https://www.reuters.com/technology/google-suspends-chinas-pinduoduo-app-due-malware-issues-2023-03-21/" target="_blank">拼多多也對媒體證實此事</a>。拼多多接獲Google Play告知因不符合Google政策被暫時下架，但未提供更多細節。</p> <p>此事是否和歐美國家反中政策有關不得而知。近日在美國主導下，包括<a href="https://www.ithome.com.tw/news/155982" target="_blank">英國</a>、加拿大、歐盟及<a href="https://www.ithome.com.tw/news/156001" target="_blank">紐西蘭</a>宣布公務部門裝置禁用TikTok App。去年5月拼多多和阿里巴巴、JD.com等App<a href="https://www.barrons.com/articles/u-s-auditors-pcaob-delisting-risk-51671114089" target="_blank">一度在美國官方壓力下，面臨從美國股市下市的命運</a>，不過12月又獲美國官方許可持續在美掛牌。</p> <p>截至本文發布前，蘋果App Store仍然可以下載iOS版拼多多App。</p> </div></div></div>
2023/3/22 12:43作者林妍溱https://www.ithome.com.tw/news/156029
美知名醫療體系導入IBM量子電腦，為醫學界首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-03-20-Cleveland-Clinic-and-IBM-Unveil-First-Quantum-Computer-Dedicated-to-Healthcare-Research" target="_blank">美國知名醫學體系Cleveland Clinic本周宣布</a>導入IBM量子電腦服務Quantum System One，成為IBM量子電腦第一宗出貨到非官方機構的案例，也是全球醫療研究界第一座。</p> <p>這是IBM與Cleveland Clinic 2021年11月合作成立量子研發中心Discovery Accelerator十年合作計畫的一項成果。雙方去年10月開始部署這座量子電腦，並在本周宣布完成。</p> <p>Cleveland Clinic是全球知名醫療體系及生物科技研究機構，擁有7.2萬名員工。這座IBM Quantum System將會安裝在Cleveland Clinic約70公頃大的園區中。</p> <p>除了量子運算，兩公司的Discovery Accelerator也會援引IBM其他運算技術，包括混合雲的高效能運算，以及AI。</p> <p>Cleveland Clinic將運用IBM量子電腦、人工智慧（AI）及混合雲技術進行生物醫學研究，包括開發量子運算管線（pipeline）以發展針對特定蛋白質的藥物、改良預測手術後心血管風險發生機會的模型、以及運用AI尋找基因序列，及在現有大型藥物資料庫中尋找可治療阿茲海默症及其他疾病的藥物。這項合作也會用於該院的全球致病原與人類健康研究中心，研究人員將以運算科技加速療法及疫苗的研究，以及AI人才培育。</p> </div></div></div>
2023/3/22 13:10作者林妍溱https://www.ithome.com.tw/news/156030
Google發表Bard以與ChatGPT抗衡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/try-bard/" target="_blank">Google於本周二（3/21）發表了Bard</a>，這是基於大型語言模型（Large Language Model，LLM）的生成式對話AI，功能類似OpenAI於去年11月推出的ChatGPT，惟Bard目前仍處於早期實驗階段，僅支援美國與英國市場，有興趣的使用者可先提出申請（bard.google.com）以加入該實驗。</p> <p>ChatGPT無疑已成為全球最夯的網路服務之一，它問世的第一周就吸引了100萬名使用者，上線第二個月就創造1億名用戶，成為史上最快凝聚使用者的網路服務，也促使Google積極因應。</p> <p>Bard奠基在Google對話AI模型LaMDA（Language Model for Dialogue Applications）的最佳化與輕量版LLM上，Google亦強調將會持續更新Bard所採用的LLM模型，使用者可將LLM視為一個預測引擎，而Bard則是LLM的介面，並能與Google搜尋互補。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Google%20Bard-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>由於ChatGPT幾乎已教育了全球市場，用過ChatGPT的使用者很輕易就能上手Bard，不過，<a href="https://ai.google/static/documents/google-about-bard.pdf" target="_blank">Google仍舊建議了許多Bard的用途</a>，例如可用它來擬定同一個主題的多個不同草稿，像是寫詩或文章；可用來協助使用者列出舉辦聚會的待辦事項與撰寫邀請函；或是解答使用者的各式疑問。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Google%20Bard-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>此外，Bard也整合了Google搜尋，萬一答案不符合使用者需求，可直接按下「Google it」進行搜尋。</p> <p>現階段不管是ChatGPT或Bard都會出現錯誤、不實或偏頗的資訊，原因是它們所使用的AI模型都是採用大量來自網路的資料訓練而成，但也已過濾某些敏感的內容，例如拒絕回答「如何種植大麻」等問題。</p> <p><a href="https://www.theverge.com/2023/3/21/23649794/google-chatgpt-rival-bard-ai-chatbot-access-hands-on" target="_blank">根據《The Verge》的測試</a>，Bard可能因為使用人數較少，目前處理速度快過ChatGPT，不過Bard所提供的答案比ChatGPT更保守。</p> <p>Google表示將會持續改善Bard並新增該服務的功能，包括改善程式碼、新增對更多語言與國家的支持，以及嵌入其它模型等，同時歡迎測試者提供回饋意見，但並未公布廣泛開放的時間點。</p> </div></div></div>
2023/3/22 11:55作者陳曉莉https://www.ithome.com.tw/news/156026
【資安日報】3月21日，臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因地緣政治，臺灣總是成為中國駭客的主要攻擊目標。近日資安業者TeamT5揭露中國駭客自去年底出現的連續網路攻擊，針對金融機構而來。值得留意的是，駭客所發送的信件，主旨與內容在該行業可說是相當常見，使得研究人員認為，就算是與業務相關的郵件也要提高警覺，小心可能有詐。</p> <p>除了國內的網路釣魚郵件攻擊事故，新的勒索軟體攻擊情勢也值得我們關注。例如，勒索軟體CatB以特殊的啟動方式、埋藏勒索訊息的手法，引起資安業者<a href="https://www.ithome.com.tw/news/155054#catb">Minerva</a>、<a href="https://www.ithome.com.tw/news/155635#catb">Fortinet</a>關注，如今資安業者SentinelOne揭露新的調查結果──該勒索軟體也納入了部分竊密軟體的功能。</p> <p>駭客散布惡意軟體的管道，網路釣魚可說是相當常見，但透過搜尋引擎惡意廣告、YouTube頻道的做法也不時有事故傳出。如今，有人結合了惡意廣告和YouTube頻道兩者，導致使用者看到廣告是來自YouTube，而可能大大降低戒心。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://teamt5.org/tw/posts/press-release-chinese-adversaries-targeting-taiwan-financial-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣金融機構遭到中國駭客鎖定，假借以保單借款為誘餌的釣魚郵件，意圖散布Cobalt Strike</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/picture_press-release-chinese-adversaries-targeting-taiwan-finace-institutions.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/picture_press-release-chinese-adversaries-targeting-taiwan-finace-institutions.png" style="width: 300px; float: right;" /></a>資安業者TeamT5提出警告，他們發現近日中國駭客鎖定臺灣金融機構的攻擊行動，他們在2023年1月看到假借保單借款名義的釣魚郵件攻擊，收信人一旦執行，電腦就可能會被植入滲透測試工具Cobalt Strike。但這起事故並非單一事件，這些駭客自2022年12月，就嘗試以聖誕節祝賀為名義寄送釣魚郵件，挾帶7-Zip壓縮檔格式的附件，內有名為Christmas notice.pdf .exe。</p> <p>研究人員表示，駭客不只將誘餌檔案更換圖示，偽裝成Word文件，也在副檔名前加入多個空格，來蒙騙使用者。再者，而夾帶惡意軟體的執行檔當中，駭客也塞入許多垃圾程式碼，並運用控制流程扁平化（Control Flow Flattening）的混淆技術，而讓防毒軟體難以偵測。</p> <p><a href="https://www.sentinelone.com/blog/decrypting-catb-ransomware-analyzing-their-latest-attack-methods/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">不只加密檔案，勒索軟體CatB也能竊取瀏覽器與收信軟體的機密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CatB_5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CatB_5.jpg" style="width: 300px; float: right;" /></a>勒索軟體CatB攻擊特徵是濫用Windows作業系統的MSDTC服務，並以DLL挾持的手法來執行勒索軟體酬載，且在檔案加密完成後，在檔案開頭留下勒索訊息，而最近研究人員又有新的發現。</p> <p>資安業者SentinelOne揭露該勒索軟體新的分析結果，駭客不只是濫用MSDTC，還透過多種手法來規避偵測。首先，是駭客用UPX對發動第一波攻擊的versions.dll進行加殼（壓縮封裝），該程式碼將會於受害電腦的System32資料夾投放第二階段的酬載oci.dll，來偵測是否在沙箱環境，最終才利用上述服務啟動勒索軟體。</p> <p>值得一提的是，研究人員發現這個勒索軟體攻擊也結合竊取機敏資料的功能，可從Chrome、Edge、Firefox、IE等瀏覽器竊取使用者資料，包含了密碼、瀏覽記錄、書籤等，此外，該勒索軟體也會對收信軟體Windows Mail的組態資料下手。</p> <p><a href="https://www.welivesecurity.com/2023/03/16/not-so-private-messaging-trojanized-whatsapp-telegram-cryptocurrency-wallets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌Telegram與WhatsApp網站散布能挾持剪貼簿的惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TG-WahtsApp-figure01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TG-WahtsApp-figure01.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露假借提供即時通訊軟體Telegram、WhatsApp的名義，透過YouTube頻道及冒牌網站來散布竊資軟體的攻擊行動，主要目標是中國的Windows、安卓使用者，竊取他們的加密貨幣，部分甚至能將加密貨幣錢包洗劫一空。</p> <p>攻擊者先是在Google搜尋引擎服務當中，投放詐欺廣告，引導使用者瀏覽YouTube頻道，接著讓他們存取冒牌網站，並下載駭客提供的Telegram、WhatsApp安裝程式，導致電腦或手機被植入含有惡意模組的即時通訊軟體。</p> <p>這些即時通訊軟體會攔截剪貼簿內容，竄改用戶複製的加密貨幣網址，或是通關密語（Seed Words）。比較特別的是，其中一種安卓惡意程式具備光學文字辨識（OCR）的能力，可從使用者設備留存的圖檔相簿解析通關密語。</p> <p><a href="https://www.bleepingcomputer.com/news/security/general-bytes-bitcoin-atms-hacked-using-zero-day-15m-stolen/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">General Bytes比特幣ATM遭到零時差漏洞攻擊，駭客竊走逾150萬美元</span></strong></a></p> <p>比特幣ATM製造商General Bytes<a href="https://generalbytes.atlassian.net/wiki/spaces/ESD/pages/2885222430/Security+Incident+March+17-18th+2023">於3月19日發布資安通告</a>，表示有人在17日至18日，利用零時差漏洞BATM-4780，透過ATM主要服務介面遠端上傳Java應用程式，並透過batm使用者權限執行。接著，攻擊者掃描雲端服務Digital Ocean代管的IP位址，並從7741埠找出正在執行的加密貨幣應用伺服器（CAS）服務，進而能夠存取資料庫、解密熱錢包的API金鑰、取得使用者名稱及密碼雜湊值等，甚至能關閉雙因素驗證（2FA）。</p> <p>該公司呼籲ATM業者儘速採用他們公布的緩解措施來因應這樣的攻擊態勢，包含：檢查事件記錄檔案master.log、admin.log，以及重設CAS與API的密鑰等。根據資安新聞網站Bleeping Computer的報導，攻擊者在17日竊得價值約159萬美元的比特幣、3.9萬美元的以太坊。</p> <p><a href="https://www.akamai.com/blog/security-research/hinatabot-uncovering-new-golang-ddos-botnet"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Go語言殭屍網路HinataBot鎖定路由器、伺服器漏洞而來</span></strong></a></p> <p>雲端服務業者Akamai揭露專門發動DDoS攻擊的殭屍網路HinataBot，此殭屍網路病毒在2023年前3個月，針對存在漏洞的路由器或是伺服器而來，目前有哪些設備是HinataBot的目標？</p> <p>1.曝露CVE-2014-8361的Realtek SDK網路裝置<br /> 2.未修補CVE-2017-17215的華為HG532路由器<br /> 3.存在特定漏洞（尚未登錄CVE編號）的Hadoop YARN伺服器</p> <p>駭客先是利用上述漏洞入侵目標設備，然後使用wget或是ftp指令碼，下載惡意酬載。研究人員指出，他們比對今年1月、3月看到的殭屍網路病毒，發現新版本程式的檔案更小，但具備更多功能模組，研判駭客積極開發相關作案工具。</p> <p><a href="https://labs.withsecure.com/publications/silkloader"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國、俄羅斯駭客利用惡意軟體Silkloader迴避偵測 </span></strong></a></p> <p>資安業者WithSecure揭露名為Silkloader的惡意軟體，目前有中國與俄羅斯駭客使用，目的是將滲透測試工具Cobalt Strike的Beacon植入受害電腦，並透過DLL側載的方式執行。</p> <p>研究人員發現，在2022年7月以前，中國駭客將其用於攻擊香港與中國等地區的組織，但相關攻擊行動後來再度出現，並針對臺灣、巴西、法國等不同國家，研究人員推測，很可能是中國駭客向俄羅斯網路犯罪圈提供相關工具，而使得此惡意程式在俄羅斯以軟體打包服務（Packer-as-a-Service）提供給勒索軟體駭客，或是其他使用Cobalt Strike發動攻擊的駭客組織。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://cybernews.com/security/lowes-market-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國連鎖超商Lowe's Market配置錯誤，恐曝露客戶個資</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員表示，他們在2月7日發現美國連鎖超商Lowe's Market的線上購物網站出現配置錯誤的狀況，使得駭客有機會控制其電子商務平臺的功能，以及瀏覽客戶的敏感資料，甚至能存取支付服務，該公司獲報後，已修復相關的配置。</p> <p>研究人員指出，起因是該公司曝露了開發環境配置檔案（.ENV），其內容包含了AWS S3伺服器的帳密資料及儲存桶名稱，以及API密鑰、臉書OAuth帳密、GitHub的OAuth帳密資料。研究人員認為，上述資料有可能讓API遭到濫用，讓攻擊者以該公司名義發出新訂單、退款、投放廣告、得知門市擁有的現金數量等。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.scmagazine.com/analysis/breach/sec-proposes-slew-of-new-cyber-rules-for-secure-financial-entities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證交所研擬擴大客戶隱私保護法規的適用範圍</span></strong></a></p> <p>美國證交所（SEC）本週公布數項新的法規草案，當中要求券商與投顧公司必須在資料外洩事故發生後，必須立即向政府通報，且在30天內通知客戶。此外，他們也延伸資料隱私法規的適用範圍，將涵蓋更多種類的客戶資料。此外，新法規也要求金融機構必須在資安事故發生就立即向SEC發出書面通知，並在48個小時內出具詳細報告。</p> <p><a href="https://www.csoonline.com/article/3691229/cisa-kicks-off-ransomware-vulnerability-pilot-to-help-spot-ransomware-exploitable-flaws.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA啟動勒索軟體漏洞預警計畫</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）宣布啟動<a href="https://www.cisa.gov/news-events/news/cisa-establishes-ransomware-vulnerability-warning-pilot-program">勒索軟體漏洞警示計畫（Ransomware Vulnerability Warning Pilot，RVWP）</a>，他們將運用現有的服務、資料、技術，以及該單位的網路衛生弱點掃描系統（Cyber Hygiene Vulnerability Scanning），來尋找因存在漏洞而可能成為駭客攻擊目標的資訊系統。</p> <p>RVWP首次警示的對象共有93個組織，這些組織的Exchange伺服器存在ProxyNotShell漏洞──此漏洞正是勒索軟體駭客近日廣泛利用的對象之一。</p> <p>對此，資安業界也提出RVWP的執行建議。資安廠商Qualys指出，勒索軟體駭客往往使用超過一年以上的舊漏洞，RVWP接下來的目標是追蹤這種類型的已知漏洞；資安業者Tenable則表示，RVWP應專注與網際網路連接的應用系統，因為往往攻擊者會從這些系統找尋漏洞下手。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ferrari.com/en-EN/corporate/articles/cyber-incident-in-ferrari"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">超級跑車製造商法拉利證實發生資料外洩事故</span></span></strong></a></p> <p><a href="https://therecord.media/royal-dirkzwager-ransomware-attack-dutch-shipping"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">荷蘭海運業者Royal Dirkzwager傳出遭勒索軟體Play攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/google-pixel-flaw-allowed-recovery-of-redacted-cropped-images/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Pixel手機存在漏洞Acropalypse，可復原編輯過的圖片</span></span></strong></a></p> <p><a href="https://jfrog.com/blog/attackers-are-starting-to-target-net-developers-with-malicious-code-nuget-packages/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件鎖定.NET開發人員而來</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/03/emotet-onenote"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Emotet透過OneNote筆記檔案散布</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155993">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155969">【3月16日】 AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</a></strong></p> </div></div></div>
2023/3/21 18:02作者周峻佑https://www.ithome.com.tw/news/156024
微軟子公司Nuance要以GPT-4來產生病患臨床筆記草稿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/03/20/breaking-new-ground-in-healthcare-with-the-next-evolution-of-ai/" target="_blank">微軟旗下的語音技術子公司Nuance周一（3/20）發表了</a>基於GPT-4的Dragon Ambient eXperience（DAX）Express解決方案，可在幾秒內生成臨床筆記，也是目前極少數整合GPT-4的產品之一。</p> <p>GPT-4為OpenAI在3月中旬所釋出的最新AI模型，它同時支援文字與圖片輸入，並產生人類等級的文字，與上一代只能輸入文字的GPT-3.5相較，GPT-4不管是在解答能力或正確率上都有大幅提升，例如它在美國律師資格考上可拿到前10%的分數，GPT-3.5則排名倒數10%，且不管是在SAT數學測驗或GRE測驗等逾30項主流檢定測驗中，GPT-4皆大勝3.5版。</p> <p>目前包括Bing、摩根史坦利、冰島政府、Stripe支付平臺、可汗學院、Duolingo語言學習平臺與Be My Eyes視障者輔助App都已開始試用GPT-4。</p> <p>至於同樣基於GPT-4的DAX Express則號稱可在病患造訪檢查室或是進行遠程醫療之後，在幾秒內自動建立醫療臨床紀錄的草稿，以立即進行醫療回顧。</p> <p>DAX Express結合了Nuance既有的Dragon Medical One與DAX等醫療聽寫功能，它們也都被緊密地整合到電子病歷中，從就診前到就診後，Nuance認為這不僅可減少認知上的負擔，還能增加行醫的樂趣。</p> <p>其實Nuance早在2020年就推出DAX解決方案，能夠自動紀錄醫生與病患之間的對話，並製作成文件，而DAX Express則奠基於DAX上，可利用GPT-4於短時間內建立臨床筆記的草稿。</p> <p>DAX解決方案當初就是Nuance與微軟的合作成果，也促使微軟於2021年4月以197億美元收購Nuance，是迄今微軟史上的第三大收購案，次於Activision Blizzard的687億美元與LinkedIn的262億美元。</p> <p>至於積極利用GPT的微軟亦與開發GPT的OpenAI有著密不可分的關係。<a href="https://www.semafor.com/article/01/09/2023/microsoft-eyes-10-billion-bet-on-chatgpt" target="_blank">根據《Semafor》在今年1月上旬的報導</a>，微軟總計打算投入100億美元至ChatGPT，微軟雖未證實此一金額，但承認在2019年與2021年都曾投資OpenAI，<a href="https://blogs.microsoft.com/blog/2023/01/23/microsoftandopenaiextendpartnership/" target="_blank">今年1月下旬第三次注資數十億美元</a>，相關的投資還包括允許OpenAI使用Azure服務。</p> <p>報導亦引用消息來源指出，未來OpenAI都必須提撥75%的獲利予微軟，直至抵銷微軟所投入的資金，之後微軟將持有49%的OpenAI股權。另外《華爾街日報》（The Wall Street Journal）則說，今年1月OpenAI允許員工及早期投資人出脫手上持股的公司估值為290億美元。</p> </div></div></div>
2023/3/21 13:27作者陳曉莉https://www.ithome.com.tw/news/156015
Google支持的Anthropic公布Claude AI模型開放申請試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓OpenAI的ChatGPT專美於前，Google支持的AI新創公司<a href="https://www.anthropic.com/index/introducing-claude" target="_blank">Anthropic上周宣布AI模型Claude</a>，並開放註冊申請試用。</p> <p>Anthropic是OpenAI研發主管Dario Amodei於2021年創立。媒體報導，Amodei和OpenAI當初因理念不合而離開，他認為OpenAI愈來愈商業化，2019年首次接受微軟10億美元投資。<a href="https://www.ft.com/content/583ead66-467c-4bd5-84d0-ed5df7b5bf9c" target="_blank">《金融時報》報導</a>，Anthropic 在2022年獲得Google 3億美元投資，並獲得10%持股。</p> <p>Claude是Anthropic在和Notion、Quora、DuckDuckGo合作開發數個月的成果。Anthropic指出，和OpenAI的ChatGPT一樣，Claude也可以經由聊天介面或開發人員控制臺的API存取。Claude可以用於多種情境，包括為文章摘重點、搜尋、協助撰寫創意性和協同文件如電子郵件、回答問題、撰寫程式碼等等。</p> <p>Anthropic的合作夥伴已經用Claude開發出新服務，如<a href="https://www.ithome.com.tw/news/155855" target="_blank">DuckDuckGo用它開發DuckAssist擴充功能</a>，它能從維基百科搜尋答案並整理摘要。<a href="https://www.ithome.com.tw/news/155420" target="_blank">問答平臺Quora則開發出聊天機器人Poe</a>。此外，AI語音轉錄與理解平臺AssemblyAI也透過API使用Claude。</p> <p>Anthropic強調，<a href="https://www.anthropic.com/index/core-views-on-ai-safety" target="_blank">Claude是根據該公司打造誠實、無害的助益型AI系統的安全研究而發展出的次世代AI助理</a>。除了可以執行各種對話和文字處理作業外，也具有高度穩定性及可預測性。</p> <p>也許是為了突顯Claude和上線之初發言令人傻眼的ChatGPT之間的差別，Anthropic指出，目前早期用戶回報Claude較不產出有害內容、更容易對話，也更好控制。而且Claude也能發展出不同個性、語氣和行為。</p> <p><a href="https://cdn2.assets-servd.host/anthropic-website/production/images/FINAL-PRICING.pdf" target="_blank">Claude提供2種版本</a>。Claude-v1是經典高效能模型，Claude Instant較輕巧、速度較快，收費也較便宜。Claude收費依輸入提示及產出字元計價。Claude-v1輸入提示每百萬字元2.90美元，產出為每百萬字元8.60美元。Claude Instant則為輸入提示每百萬字元0.43美元，產出為每百萬字元1.45美元。（ChatGPT 3.5-turbo為每1,000 token 0.002美元。）</p> <p>Anthropic計畫未來幾周內再為Claude更新數次，並表示會持續透過研發和部署學習到的經驗來提升這個AI模型的助益、誠實和無害特性。</p> </div></div></div>
2023/3/21 11:22作者林妍溱https://www.ithome.com.tw/news/156012
日立能源因GoAnywhere軟體漏洞被Clop駭客竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hitachienergy.com/news/features/2023/03/third-party-cybersecurity-incident" target="_blank">日立能源（Hitachi Energy）部門上周指出</a>，該公司使用的檔案傳輸服務GoAnywhere存在漏洞，使其2月間遭到駭客竊取資料。</p> <p>日立能源說明，該公司是近日得知相關消息，攻擊已經導致該公司部分國家的企業員工資料被駭客存取。</p> <p>GoAnywhere官網宣稱其企業客戶高達3,000家，包括一些年營收10億美元、員工上萬的大型企業。2月發布安全公告同時，GoAnywhere也同時針對軟體漏洞發布了緊急修補。</p> <p>日立能源表示，在外部安全廠商協助下，初步調查顯示公司網路運作及客戶資料並未被存取，但說會持續調查並更新資訊。日立能源已經通知受到影響的員工、執法部門及主管機關。</p> <p>這使得這家日廠成為GoAnywhere今年初的漏洞攻擊的最新受害者。<a href="https://www.ithome.com.tw/news/155462" target="_blank">Fortra今年2月通報</a>其軟體檔案傳輸服務GoAnywhere MFT（Managed File Transfer）的管理控制臺存在零時差遠端程式碼執行（RCE）漏洞CVE-2023-0669，即已遭到濫用。</p> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-it-breached-130-orgs-using-goanywhere-zero-day/" target="_blank">資安媒體《Bleeping Computer》報導</a>，Clop勒索軟體的駭客組織宣稱已利用這漏洞，竊取130多家企業及組織的資料。但駭客對媒體聲稱，他們在這波行動中，並未以勒索軟體入侵受害組織的網路及加密檔案，只從GoAnywhere MFT的伺服器竊取文件。</p> <p>不過日立能源是否並未被加密系統或檔案則不得而知。</p> <p><a href="https://www.vicarius.io/vsociety/blog/unauthenticated-rce-in-goanywhere" target="_blank">2月底安全廠商Vsociety估計</a>，根據掃瞄結果，顯示約有1000個GoAnywhere管理控制臺曝險在網路上。<a href="https://www.rubrik.com/blog/company/23/3/fortra-goanywhere" target="_blank">上周安全廠商Rubrik也坦承</a>因使用這個產品使IT測試環境遭駭。</p> <p>媒體推測，基於產品相似功能，GoAnywhere MFT漏洞遭到濫用可能引發類似<a href="https://www.ithome.com.tw/news/142848" target="_blank">2021年Accellion FTA大規模且延續許久的全球災難</a>。</p> </div></div></div>
2023/3/21 11:44作者林妍溱https://www.ithome.com.tw/news/156013
微軟可能正在測試Edge內建加密貨幣電子錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/thebookisclosed/status/1636759487829917698" target="_blank">近日有使用者在Edge測試版發現加密貨幣電子錢包功能</a>，顯示微軟可能正在醞釀加入Web 3.0的浪潮。</p> <p>微軟是在Edge Insiders測試人員方案加入加密貨幣電子錢包，要求用戶測試後提供意見。根據用戶貼出的擷圖，微軟說明，該電子錢包是嵌入在Edge中，讓用戶不需安裝擴充程式即可使用電子錢包。這錢包能支援多種加密貨幣，也能儲存交易以及價格波動紀錄，此外也提供NFT目錄頁及加密貨幣相關新聞。</p> <p>微軟並強調，這是非託管（non-custodial）型的錢包，用戶具有完整控制權，微軟無法存取用戶密碼及復原金鑰。測試中的電子錢包還包含密碼頁、助記詞（recovery phrase）及防護助記詞等功能。</p> <p>這加密貨幣電子錢包或許可配合<a href="https://www.ithome.com.tw/news/148064" target="_blank">Edge 2021年起測試的先買後付（buy now, pay later）功能</a>，後者允許使用者購物分期支付，但不需申請信用卡。不過這功能公布時就引來批評鼓勵過度消費，且讓Edge變得臃腫，等於開倒車回IE時代。</p> <p>一如許多其他功能，微軟最後不見得一定會將加密電子錢包加入到正式版中，可能在用戶測試或內部評估後就在測試版階段移除。</p> </div></div></div>
2023/3/21 11:58作者林妍溱https://www.ithome.com.tw/news/156014
Amazon要再裁9,000名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年1月裁撤1.8萬名員工之後，<a href="https://www.aboutamazon.com/news/company-news/update-from-ceo-andy-jassy-on-amazons-operating-plan-and-additional-role-eliminations" target="_blank">Amazon執行長Andy Jassy周一（3/20）宣布</a>，將於未來幾周展開第二階段的營運計畫，再裁撤9,000個職位。</p> <p>Amazon是<a href="https://www.ithome.com.tw/news/154294" target="_blank">在去年11月宣布</a>裁員計畫，當時即預計相關的裁員行動會延續至今年，不過，今年初的首波裁員規模超越外界所估計的1萬人，<a href="https://www.aboutamazon.com/news/company-news/update-from-ceo-andy-jassy-on-role-eliminations" target="_blank">達到1.8萬人</a>，成為Amazon創立以來最大的裁員行動，受到影響的主要是Amazon Stores及People, Experience, and Technology（PXT）等零售與人力資源部門。</p> <p>此次所裁撤的9,000個職位則多半位於PXT、Twitch、廣告與AWS部門。</p> <p>近來的裁員潮其實是可理解的，因為在COVID-19期間，科技產業多半新聘了大量員工來因應市場需求，而當經濟面臨不確定性時，便必須精簡員工人數與成本。</p> <p>由於並非所有的團隊都在去年秋末完成人事精簡的分析，使得Amazon必須分階段宣布裁員規模，預計會在今年4月中下旬之前完成所有的裁員計畫，意味著可能還會有下一波的裁員行動。</p> <p>截至去年12月31日為止，Amazon的全球員工數為154.1萬人。今年以來裁撤的規模約占總員工數的1.75%。</p> </div></div></div>
2023/3/21 10:41作者陳曉莉https://www.ithome.com.tw/news/156011
Google發表可解讀影片事件，並生成文字說明的新型視覺語言模型Vid2Seq
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無論是娛樂、教育還是商業等領域，影片都是內容傳遞的一個重要媒介，以人工智慧理解影片內容，則能進一步擴大內容的傳遞，而Google新發表的預訓練視覺模型<a href="https://ai.googleblog.com/2023/03/vid2seq-pretrained-visual-language.html">Vid2Seq</a>，則是一個新型的視覺語言模型，能夠生成密集影片說明（Dense Video Captioning），標記影片中的多個事件邊界，並生成相對應的文字內容說明。</p> <p>研究人員解釋，要人工智慧理解影片，生成密集影片說明並非一件簡單的工作，因為影片通常包含不同時間尺度發生的多個事件。研究人員以雪橇犬拉雪橇的影片為例，影片中便會包含狗拉雪橇這個長事件，還有狗被拴在雪橇上這個短事件。</p> <p>所謂的密集影片說明，與單一圖片說明或是標準影片說明不同，密集影片說明是針對影片中的事件所產生的說明，因此事件與事件的時間軸可能會交疊，而傳統標準影片說明則是以單一語句描述一段影片的內容。密集影片說明能夠支援多種應用，包括可協助視障與聽障人士了解影片內容，也能夠自動產生影片章節，或是改進大型資料庫中的影片時間軸搜尋功能。</p> <p>目前密集影片說明都還停留在，用於處理高度專業化任務的階段，因此要整合到基礎模型存在一些障礙，而且過去這些模型使用手動註釋的資料集訓練，因此也難以擴展。Google新發表的預訓練視覺模型Vid2Seq，則能生成事件說明和時間的單一密集影片說明序列。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjVVcI55hsEvo07M0sxzfbelN6zuwytp2d0EhfPQ3Ukq_VhZ3b-Teq7gkkAC-niiqs4LkCicFAHzbk5omE-MDHiudUKp-qUnFaoGjYa52A9EC4w8g6c7H5SUjQPmXgZn5QCucoeiGWmUeojqfbdL5EKpYUvQQ8S9PmZT5AeBP4McNPEcFRlsviVP_4I_w/s16000/image1.gif" style="width: 580px;" /></p> <p>Vid2Seq的架構組成為一個視覺編碼器和一個文字編碼器，以分別執行編碼影片影格，以及轉錄語音輸入兩項工作，這些編碼會被輸入到文字解碼器中，自動回歸預測密集事件說明序列在影片中的時間。</p> <p>手動收集密集影片說明的註釋成本高昂，因此研究人員選擇使用未標記的口說影片預訓練Vid2Seq模型，像是YT-Temporal-1B這類資料集，便比手動註釋的資料集相對容易取得。研究人員使用口說影片資料集的方式，是將轉錄語音的句子邊界當作虛擬事件（Pseudo-event）的邊界，並且以轉錄的語音句子作為虛擬事件的說明。Vid2Seq使用數百萬個口說影片訓練，在YouCook2、ViTT和ActivityNet Captions等密集影片說明基準測試，達到目前模型的最佳表現（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(19).png" style="width: 580px;" /></p> <p>研究人員提到，Vid2Seq也能夠很好的泛化，應用到僅有少數鏡頭的密集影片說明任務，或是影片段落說明任務，甚至也能用於標準影片說明任務中。</p> </div></div></div>
2023/3/21 09:02作者李建興https://www.ithome.com.tw/news/156010
【資安日報】3月20日，政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣政府2022年稅收超徵4,500億元，行政院宣布2023年將提撥1,400億元，當中將對全國民眾普發6千元現金。消息一出，駭客也開始架設假網站來行騙。3月中財政部宣布將在22日開放登記，但也出現新的假網站，民眾要提高警覺。</p> <p>使用者透過推特的文章，向企業客服反映問題的做法也相當常見，但有駭客也趁機亂入，假借客服名義要使用者撥打詐騙電話。資安新聞網站Bleeping Computer揭露這種類型的攻擊手法，這些駭客專門鎖定那些標記為印度大型銀行的推文下手。</p> <p>除了上述針對國內外民眾的詐騙攻擊行動，鎖定企業與商業領域的事故氾濫也值得我們留意──有資安業者揭露商業郵件詐騙（BEC）大幅增加的現象，並指出相關攻擊的事件數量，2022年首度超越了勒索軟體攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://facebook.com/story.php?story_fbid=pfbid0339qMsRXbGLzffdUw3B5vDGWQWgL3HacQjQHtcb8hgVKmChCWWL8AxxhYtFEaqL1rl&id=100069163841054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">政府普發現金尚未開放，已傳出詐騙集團註冊網域行騙</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/07-cheat-big-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/07-cheat-big-3.png" style="width: 300px; float: right;" /></a>財政部於3月16日宣布全民普發每人新臺幣6千元現金的領取管道，總共區分成5種方式，並將在22日開放登記。但在此之前，傳出有人註冊名稱相似的網域，來架設冒牌登記網站的詐騙情況。財政部於3月18日發布臉書貼文，表示他們發現了將6000與gov、tw連在一起的冒牌網站網址，呼籲民眾要提高警覺。財政部也通報警調單位，該網站已被封鎖。</p> <p>財政部表示，網址應為<a href="https://6000.gov.tw">https://6000.gov.tw</a>，民眾應透過3種方法辨別，首先是6000是數字，而不應有英文字母o，再者，則是我國政府機關的網域是.gov.tw，且gov的前面一定會有「.」；最後，網址結尾不應是com。</p> <p>但這已並非政府首度針對相關詐騙提出警告──<a href="https://moda.gov.tw/press/press-releases/3519">數位發展部在1月6日獲報</a>，有民眾收到相關詐騙簡訊，強調政府不會用簡訊通知有關事宜。值得留意的是，雖然我國政府不斷提出警告，但目前尚未有資安業者透露相關攻擊規模。</p> <p><a href="https://www.bleepingcomputer.com/news/security/convincing-twitter-quote-tweet-phone-scam-targets-bank-customers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人假冒銀行的名義，在推特回覆使用者標註的貼文</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake-axis-support.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-axis-support.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有人針對使用者在推特向銀行反映問題的推文裡，假冒銀行的客戶支援團隊，要求使用者撥打指定的專線進行後續的處理事宜。</p> <p>研究人員Ax Sharma在一則有關資安事故的推文裡，標記印度大型銀行Axis Bank，結果ID為@AXIS_BANK_00的用戶假借該銀行名義，要求研究人員撥打24小時服務熱線，並留下電話號碼。然而，正牌的銀行客服很快就出面，表示留意到有人假冒他們名義的情況，呼籲該名研究人員切勿與此用戶互動，也不要透露個人資料。研究人員根據上述用戶留下的客服電話號碼進行調查，發現駭客也有假冒其他印度主要銀行HDFC、ICICI的情況。</p> <p><a href="https://www.secureworks.com/resources/rp-irs-learning-from-incident-response-team-2022-year-in-review"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年BEC詐騙事故翻倍，威脅首度超越勒索軟體</span></strong></a></p> <p>資安業者Secureworks針對2022年的整體資安事故進行回顧，當中提及商業郵件詐騙（BEC）的事故數量較前年多出一倍，而且，首度直接超越往年的頭號威脅：勒索軟體。</p> <p>研究人員指出，這樣的攻擊態勢轉變，很有可能是因為發動BEC攻擊的技術門檻略低，然而一旦成功的報酬往往相當可觀。此外，透過網路釣魚攻擊入侵目標設備的情況也大幅增加，占所有攻擊事故的初期入侵管道（Initial Access Vector，IAV）33%，較前年的13%高出許多，研究人員推測，這個現象與前述的BEC攻擊數量爆增有關。</p> <p>值得留意的是，雖然勒索軟體不再是頭號威脅，相關事故較前年少了57%，但研究人員認為，事件數量下降的原因很可能是駭客偏好對小型的組織下手，而這些組織往往不會公開或進行通報。</p> <p><a href="https://www.cadosecurity.com/previously-undiscovered-teamtnt-payload-recently-surfaced/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挖礦攻擊只是幌子！駭客組織TeamTNT發動攻擊疑為竊取機密資料</span></strong></a></p> <p>駭客組織TeamTNT濫用雲端的容器環境挖礦的情況，自2019年已有許多資安人員發現相關的攻擊行動，但如今發現新的證據，這些駭客很有可能有新的意圖。資安業者Cado Security在研究另一起<a href="https://www.ithome.com.tw/news/155716#scarleteel">針對AWS環境竊密的資安事故Scarleteel</a>之後，發現駭客使用的惡意軟體與TeamTNT用的程式之間，有共通的特徵，且加密貨幣錢包為TeamTNT所有。</p> <p>研究人員推測，這起資安事故的攻擊者很有可能就是TeamTNT，並認為該組織發動相關的挖礦攻擊，實際上是為了竊取機密，但他們也不排除這是其他駭客組織模仿TeamTNT的攻擊手法。</p> <p><a href="https://www.cybersecuritydive.com/news/mks-instruments-class-action-litigation-ransomware/645061/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">半導體設備商MKS Instruments遭遇勒索軟體攻擊，面臨集體訴訟</span></strong></a></p> <p>根據新聞網站Cybersecurity Dive的報導，半導體設備商MKS Instruments於3月14日，向美國證交所（SEC）提出10-K財報，當中透露因為2月的勒索軟體攻擊事故導致產能不足，該公司在3月3日於加州法院遭到集體訴訟，但提告人尚未提出具體的求償內容。</p> <p>MKS Instruments在2月底的電話會議裡，曾透露此資安事故造成的影響──因為光子與真空解決方案部門的營運受阻，導致他們估計今年第一季營收將減少2億美元。</p> <p><a href="http://www.hitachienergy.com/news/features/2023/03/third-party-cybersecurity-incident"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Hitachi Energy也傳出成為GoAnywhere零時差漏洞的受害組織</span></strong></a></p> <p>勒索軟體駭客Clop聲稱利用零時差漏洞CVE-2023-0669，對一百多個組織的MFT檔案共用系統GoAnywhere出手，如今有越來越多組織證實遇害。Hitachi Energy於3月17日發布公告，表示他們遭到Clop的攻擊，部分國家或地區的員工資料可能遭到未經授權的存取，該公司隨即斷開受影響的GoAnywhere系統的對外連線，並啟動相關調查。</p> <p>該公司表示，目前尚未出現相關證據證明網路營運受到波及，客戶資料的安全性、可靠性也沒有受到影響。</p> <p><a href="https://blog.avast.com/adobe-acrobat-sign-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe線上文件簽署服務遭濫用，拿來散布竊資軟體RedLine</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/adobe-acrobat-sign-phishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/adobe-acrobat-sign-phishing.png" style="width: 300px; float: right;" /></a>資安業者Avast揭露濫用電子文件簽名服務Adobe Acrobat Sign的攻擊行動，攻擊者針對擁有許多訂閱者的YouTube頻道管理者而來，利用上述服務發送電子郵件，宣稱YouTube頻道的部分影片侵犯他人的音樂版權，要求管理者點選URL簽署線上文件處理。</p> <p>一旦頻道管理者照做，就會下載存放於Adobe伺服器的DOC檔案、PDF檔案，或是HTML檔案，若是開啟並點選文件裡的URL，就會下載竊資軟體RedLine。研究人員指出，為了魚目混珠，駭客會將RedLine的惡意酬載檔案大小增加至400 MB，並摻雜數個來自電玩遊戲俠盜獵車手5的檔案，企圖影響防毒軟體的判斷。</p> <p><a href="https://research.checkpoint.com/2023/south-korean-android-banking-menace-fakecalls/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬FakeCalls對南韓銀行用戶發動攻擊，影響的金融機構超過20家</span></strong></a></p> <p>資安業者Check Point揭露名為FakeCalls近期的安卓惡意軟體攻擊行動，駭客模仿超過20家南韓大型金融機構，在當地散布該惡意軟體。</p> <p>研究人員指出，駭客先是透過網路釣魚、搜尋引擎最佳化（SEO）汙染、惡意廣告等手法，在目標手機植入FakeCalls，並向使用者宣稱能提供低利率貸款，一旦使用者想要借款，此惡意軟體就會撥打「電話」，撥放銀行客戶服務電話的語音內容，過程中會向使用者要求信用卡資料，進而讓攻擊者達到竊取相關資料來盜刷、轉賣的目的。</p> <p>研究人員指出，此安卓惡意軟體在2022年就被發現，但現在駭客加入了更多反偵測的技術，而使得攻擊行動更難察覺。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://support.microsoft.com/en-us/topic/kb5025175-updating-the-winre-partition-on-deployed-devices-to-address-security-vulnerabilities-in-cve-2022-41099-ba6621fa-5a9f-48f1-9ca3-e13eb56fb589"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對可繞過BitLocker的WinRE元件漏洞，微軟發布新的緩解工具</span></strong></a></p> <p>微軟發布PowerShell指令碼KB5025175，目的是要針對去年11月公布的漏洞CVE-2022-41099提供較為簡化的緩解措施。此漏洞存在於Windows修復環境（WinRE），一旦攻擊者加以利用，就有機會在能夠實際接觸目標裝置的情況下，繞過BitLocker磁碟加密的安全機制，存取受到保護的檔案，而且，該漏洞的嚴重性為中等，CVSS風險評分為4.6分，可能會被大家忽視而未積極修補，導致面臨被攻擊的風險。</p> <p>該公司表示，他們提供的2個指令碼分別支援不同版本的Windows作業系統，PatchWinREScript_2004plus.ps1支援Windows 11，以及Windows 10 2004以上版本，另一個名為PatchWinREScript_General.ps1的檔案，則適用於Windows 10 1909及之前版本。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156003"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國NBA資料外洩，粉絲個資流出</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/wp-content/uploads/2023/03/A-year-of-Russian-hybrid-warfare-in-Ukraine_MS-Threat-Intelligence-1.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2023年已有17個歐洲國家遭俄羅斯駭客鎖定，從事網路間諜攻擊</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/news/cisa-establishes-ransomware-vulnerability-warning-pilot-program"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA啟動勒索軟體弱點預警計畫</span></span></strong></a></p> <p><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3328152/nsa-releases-recommendations-for-maturing-identity-credential-and-access-manage/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國安局發布零信任身分管理ICAM指南</span></span></strong></a></p> <p><a href="https://www.isc2.org//-/media/ISC2/Research/2022-WorkForce-Study/ISC2-Cybersecurity-Workforce-Study.ashx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">亞太地區2022年面臨210萬資安人才短缺</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155993">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155969">【3月16日】 AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</a></strong></p> </div></div></div>
2023/3/20 16:45作者周峻佑https://www.ithome.com.tw/news/156006
三總結合5G專網與AR，讓學生可透過3D AR眼鏡觀摩學習達文西手術過程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內G實現智慧醫療再添新應用。國防醫學院三軍總醫院（簡稱三總）與中華電信、佐臻聯手，今天（3/20）對外展示一項達文西手術3D AR遠距教學觀摩應用，讓學生或醫生透過AR眼鏡，以第一視角觀摩學習手術過程，提高對手術細節、關鍵的理解。</p> <p>位於臺北市內湖地區的三總去年在中華電信協助之下完成5G專網，為發展5G應用，該院與中華電信、佐臻合作開發達文西手術3D AR遠距教學觀摩應用，結合5G專網、AR視訊協作平臺，以及AR眼鏡，試圖為醫學教育帶動沈浸式學習的新應用。</p> <p>達文西手術是一種微創、高精密度手術，被視為腹腔鏡手術的進階版，手術檯由機器手臂執行，手術醫師位於手術機臺前進行操控，透過光纖網路連接手臂與機臺，醫師在機臺前，透過機器手臂的高解析度3D立體手術影像，根據判斷進行手術。傳統上，手術畫面以2D直播，供學生及醫師觀摩學習。</p> <p>三總今天展示的達文西手術3D AR遠距教學觀摩應用，是將達文西手臂的左、右訊源，經過2D轉3D影像處理後，由電腦送至5G路由器、5G天線，經過5G專網設備，包括MEC邊緣運算上的AR視訊協作平臺，將3D影像送至演講廳或教室的5G天線、路由器，送至電腦由指導醫師解說，另方面也能送到5G手機，通過AR協作App，讓學生戴上AR眼鏡觀看第一視角的3D成像手術畫面。</p> <p>透過5G手機接收AR協作平臺的畫面，醫學院學生從AR眼鏡中觀看到手術的第一視角3D畫面，相較一般手術2D直播畫面，學生表示，可感受到手術過程中人體內的深度感：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230320_103024%20(1).jpg" style="width: 600px; height: 450px;" /></p> <p>三總實際展示以達文西手術進行子宮肌瘤切除手術，將手術畫面透過5G專網、AR視訊協作平臺，讓學生戴上AR眼鏡，看到第一視角的3D立體手術畫面，相較於手機直播2D畫面，學生從3D AR的沈浸畫面裡，可感受到人體內器官的深度感，在過程中，指導醫師或教授也能在畫面上標示出病徵及建議處理方式，提高學習效率。</p> <p>三總人工智慧物聯網中心執行長暨國防醫學院部定副教授方文輝表示，不只透過達文西手術輸出手術畫面影像，指導醫師的從旁解說，讓學生能獲得更好的知識傳遞。除了手術畫面結合5G、AR提供新的學習體驗，目前達文西手術的手臂及操作機臺之間是以光纖連接，未來隨著無線通訊發展，希望能以無線取代光纖，例如手術操作機臺設在臺北，達文西手術檯設在臺東或偏鄉離島，以實現遠端手術治療的目標。</p> </div></div></div>
2023/3/20 17:24作者蘇文彬https://www.ithome.com.tw/news/156007
【GPT-4實例】可汗學院打造全新AI導師，更像真人老師引導而非直接給答案，還要成為老師課堂助教分擔行政瑣事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT爆紅後，教育是第一波受到衝擊的產業，不只衝擊學生學習方式，更大大挑戰傳統教學模式，許多老師陷入嚴重焦慮，苦惱該如何因應。「人工智慧應該成為真正的學習工具，而非用來作弊。」全球最大開放線上教育平臺可汗學院創辦人Sal Khan強調。他們是第一波擁抱GPT 4的組織，嘗試在善用AI和緩解教育衝擊之間找出平衡點，打造出一款新的學習與教學的AI助手。</p> <p>OpenAI在3月中發表了新一代超大語言模型GPT-4，不只文字，更能支援圖片輸入，也公布了多家已經開始試用GPT-4模型的企業與組織，可汗學院也是其中之一。可汗學院採用GPT-4模型打造了一款AI助手Khanmigo（這個名稱由Khan和西班牙文「朋友」(amigo)的結合），目前是測試版，整合到可汗學院的各種內容中，以獨立ChatBot或站內對話形式，可以對學生、老師，甚至是家長提供協助。</p> <p>Khanmigo可以扮演學生的一對一教學導師，在線上教學平台中引導學生，提供個人化的教學指引，另外，也可以成為真人教師的課堂助理，幫老師制定課程大綱。可汗學院從2022年開始測試這款AI助手，找來約1000名試驗者，包括學生、教職人員和學校行政人員參與測試。</p> <p>目前Khanmigo可以提供十多項學生端的AI輔助活動，包括了學習數學、共同腦力激盪完成作文（但AI不會自動生成文章）、準備申請學校的考試、練習新的字彙、學習電腦程式、採訪歷史或小說人物（例如讓學生採訪珍·奧斯丁或羅密歐)，也能用來進行辯論活動（例如學校是否要禁用AI）。</p> <p><strong>目前可提供十多項AI輔助學習的活動（可參考左側清單），例如下圖列出多位歷史人物，可供學生採訪。（圖片來源：可汗學院）</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A1%E8%A8%AA%E6%AD%B7%E5%8F%B2%E6%88%96%E5%B0%8F%E8%AA%AA%E4%BA%BA%E7%89%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%AF%E6%B1%97%E5%AD%B8%E9%99%A2.png" /></p> <p>根據可汗學院先期測試結果，GPT-4有可能快速引導學生，以脈絡化的方式來思考問題，也能指導學生程式開發。此外，GPT-4可以提供人性化的杜談，給予個人化的回應，來引導學生不只是知道問題的答案，也真正了解問題背後的概念。</p> <p>可汗學院在影片中展示了AI導師與學生實際對談的情況，不管學生如何要求Khanmigo提供數學練習題的答案，AI導師都不會直接解答，而是引導學生如何思考題目，透過一步步的問答，剖析學生哪一個解題環節發生問題，再引導學生使用正確的解方找出答案。而在共同寫作的輔助上，AI導師不會代替學生寫出文章，而是鼓勵學生想出更多點子，來完成文章。</p> <p>雖然可汗學院沒有揭露背後技術關鍵，但OpenAI共同創辦人Greg Brockman在GPT-4發表展示中透露了如何AI不會直接告訴學生答案的關鍵技術。這是GPT-4新的操控性（Steerability）功能，可以透過人設指定，例如回答的用語、風格、語調等條件，來限制GPT-4的回覆行為。</p> <p>Greg Brockman舉例，只要在API參數中，透過system角色，要求GPT-4扮演不能直接回答答案的的數學課輔老師，不管，學生怎麼問，或者試圖透過特殊指令試圖越獄，也都無法得到直接的答案。這個新功能可以用來限制和控制GPT-4所能回答的限制，可供企業用來設定想要GPT-4回答的內容範圍，或者禁止回答的內容。</p> <p>也就是說，可汗學院正是利用了這個GPT-4特性，來限制AI直接說出答案。這正是教育圈擔心學生對ChatGPT的濫用，要AI產生答案來交作業或回答線上考試，而缺乏自己的思考。</p> <p>可汗學院也在Khanmigo上設計了AI電池機制，來限制學生每天使用AI助手的次數和用量。另外，學生與Khanmigo的對話過程，例如所有辯論紀錄，都會留下紀錄，提供給家長或老師檢視，這是與AI導師搭配的安全機制。</p> <p><strong>所有學生與AI的對話會留下紀錄，可供家長與老師檢視，也有警告系統，通知家長哪些對話可能要特別留意（</strong><strong>圖片來源：可汗學院）</strong></p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%89%E5%85%A8%E9%85%8D%E5%A5%97-%E5%B0%8D%E8%A9%B1%E5%85%A7%E5%AE%B9%E8%AD%A6%E5%91%8A-small-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%AF%E6%B1%97%E5%AD%B8%E9%99%A2png.png" /></p> <p>除了協助學生學習，可汗學院也正在測試Khanmigo協助教師編寫教學材料，尤其能夠針對不同學生制定客製化的課程計畫。當教師要求Khanmigo制定教學計畫時，Khanmigo會先詢問學生程度，再瞭解教師偏好的教學習慣，以制定更符合教師和學生雙方的課程內容。此外，可汗學院甚至希望，當學生對某項領域感到興趣，Khanmigo可以在教學上，協助提高學生的學習動機。可汗學院在發表這項新AI導師時也強調，希望AI扮演真人老師的助手，分擔行政瑣事，讓真人老師有更多時間來關心學生。</p> <p><strong>AI助手Khanmigo可以成為老師的課堂助手，撰寫課程大綱，編寫有趣教案、試寫考卷等。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%BC%94%E5%8A%A9%E8%80%81%E5%B8%AB%E8%A3%BD%E4%BD%9C%E8%AA%B2%E7%A8%8B%E5%A4%A7%E7%B6%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%AF%E6%B1%97%E5%AD%B8%E9%99%A2.png" /></p> <p>不過，Sal Khan坦言，Khanmigo目前仍無法正確無誤的教授數學，但每一週都在快速進步。目前先期試用者也回提供回饋來改善AI導師，將聚焦數學問題的錯誤，進行標注及改正。</p> <p>「不只我們，所有的教育科技公司都面臨如何引導學生深入思考學習內容的問題。」可汗學院首席學習長Kristen DiCerbo說道。超過2,700萬名註冊用戶，包括9萬5千名美國老師每個月都會用這個平台教學。可汗學院不只是看到AI帶來機會，也意識到AI帶來的風險。</p> <p>可汗學在發表AI導師同時，也發表了一系列AI在教育應用的課程，來介紹AI在教育的優缺點，衝擊和風險等。另外，可汗學院也參考了美國國家標準與技術局NIST的學校AI教育倫理框架，來評估自己對AI的各項計畫和運用。</p> <p>目前，Khanmigo開放限額試用登記，美國18歲以上使用者，每月捐款20美元以上能優先候補試用。文⊙王宏仁、李昀璇</p> <p> </p> </div></div></div>
2023/3/20 17:44作者王宏仁https://www.ithome.com.tw/news/156009
NBA第三方服務商資料被竊，殃及粉絲個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/nba-alerts-fans-of-a-data-breach-exposing-personal-information/" target="_blank">資安媒體《Bleeping Computer》報導</a>，美國國家籃球協會（NBA）使用的第三方電子報服務商資料被竊，導致為數不詳的粉絲個資外洩。</p> <p>NBA作為男子職業籃球聯盟，由北美30支球隊組成。NBA日前以網路安全事件郵件通知粉絲，一名人士未經授權存取了NBA第三方電子報服務供應商的資料，進而取得廠商持有的粉絲資料，包括姓名和電子郵件。目前NBA已經和這家廠商合作啟動調查，並已聘請外部安全廠商調查分析事故範圍。</p> <p>NBA告知粉絲，目前沒有證據顯示NBA系統遭駭，且粉絲的帳號使用者名稱、密碼及其他資訊不受影響。但是NBA提醒，外洩的資料可能被用作釣魚信件及其他詐騙攻擊，呼籲用戶要留意近日收到的信件，並強調說NBA不會透過電子郵件詢問使用者名稱及密碼等帳號資訊。</p> <p>NBA並未說明該事件是合作廠商系統漏洞被駭、遭到勒索軟體、或是釣魚信件攻擊的結果。</p> <p>NBA並未透過官網發布公告，官方發言人也未對此回應。</p> </div></div></div>
2023/3/20 13:36作者林妍溱https://www.ithome.com.tw/news/156003
NordVPN釋出免費Meshnet功能，一舉開源Linux版程式、Libtelio與Libdrop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名VPN業者NordVPN上周一舉宣布釋出<a href="https://nordvpn.com/zh-tw/blog/why-is-meshnet-free/" target="_blank">免費加密通道功能Meshnet</a>，同時<a href="https://nordvpn.com/zh-tw/blog/nordvpn-linux-open-source/" target="_blank">開源Linux版程式</a>，以及Libtelio與Libdrop函式庫，藉以展現該公司對產品的信心，同時鼓勵開源社群協助改善相關產品。</p> <p>Meshnet過去是付費版NordVPN的一項功能，可於不同裝置之間建立加密通道，例如使用者於他國旅行時，可連至家中電腦再進行瀏覽；或是把自己的電腦當作VPN伺服器，允許海外的親友連線使用；也能在兩臺裝置間建立加密通道來傳送檔案；還是與友人一起玩遊戲時利用Meshnet來連結裝置。</p> <p>NordVPN表示，他們相信所有人都應該利用VPN的安全與便利性，但並非所有人都已準備好要使用有價的NordVPN服務，Meshnet可用來滿足簡單的需求，作為使用者進入付費服務的試金石，有別於NordVPN服務仰賴全球的伺服器網路，Meshnet功能所需的架構與維護成本都低得多。</p> <p>Meshnet最多可連結60臺裝置，可支援Windows、macOS、Linux、Android與iOS等不同的作業系統。</p> <p>同一天NordVPN還開源了完整的<a href="https://github.com/NordSecurity/nordvpn-linux" target="_blank">Linux版NordVPN程式</a>，NordVPN所有平臺所使用的<a href="https://github.com/NordSecurity/libtelio" target="_blank">網路函式庫Libtelio</a>，以及Meshnet用來分享檔案的<a href="https://github.com/NordSecurity/libdrop" target="_blank">Libdrop函式庫</a>。其中，Libtelio是NordVPN所有版本的程式碼骨幹，不僅限於Linux版。</p> <p>NordVPN表示，這3個元素的開源將允許任何人檢查、變更或重新遞送這些元素，倘若有人認為Linux版的NordVPN需要改善，或新增功能，那麼便能更改它，進而建立自己的版本。此外，他們想要來自程式碼社群的審查與意見，同時對外展現NordVPN對自家軟體的信心，也能透過社群的貢獻來改善產品。</p> </div></div></div>
2023/3/20 14:00作者陳曉莉https://www.ithome.com.tw/news/156004
研究人員釋出工具以避免藝術作品遭到AI模仿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一邊有科學家極力蒐集廣大的資訊以供AI模型學習並仿效，另一邊則有研究人員打造機制來防堵AI模型的模仿，芝加哥大學的隨機分析和非線性動力學實驗室（SAND Lab）與專業藝術社群合作，<a href="https://glaze.cs.uchicago.edu/" target="_blank">於上周六（3/18）釋出了Glaze Beta2</a>，藝術家只要在上傳作品至網路之前，利用Glaze將作品稍加變更，就能避免AI模型剽竊其作品概念與風格，進而生成類似的作品。</p> <p>在與SAND Lab合作的逾1,100名藝術家中，<a href="https://conceptartworld.com/artists/karla-ortiz/" target="_blank">最有名的莫過於概念性藝術家/插畫家Karla Ortiz</a>，她經常替作者設計封面、插畫，或協助玩具製造商打造新圖騰。</p> <p>若Ortiz在上傳作品至網路之前使用了Glaze，它就能變更原始作品元素，肉眼很難辨識這些變更，因此在網路上看起來與原作幾乎一模一樣，不過，SAND Lab將這些變更稱為「風格偽裝」（Style Cloak），可把於網路上流傳的Ortiz作品變成「偽裝藝術品」（Cloaked Artwork），以免遭到AI模型的剽竊，而且藝術家還可以指定所要偽裝的風格。</p> <p>例如Ortiz可指定將自己作品的風格偽裝成梵谷（Vincent van Gogh），即便作品在網路上看起來與Ortiz的原作一樣，卻會使AI模型將其風格誤認為梵谷，蒐集與學習該作品的AI模型所生成的就是梵谷風格的作品，而非Ortiz。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-Glaze%20protection-2.png" style="width: 600px;" /></p> <p><a href="http://glaze.cs.uchicago.edu/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SAND Lab</span></span></a></p> <p>Glaze Beta2目前最大的限制在於它並非可永遠對抗AI的模仿，進展快速的AI技術很可能於未來繞過Glaze，但SAND Lab團隊認為Glaze是必要的第一步，而且可在必要的技術及法令出爐前先行保護藝術家。</p> <p>SAND Lab團隊表示，Glaze僅用於研究目的，並不打算商業化，發布的當下就能供外界免費下載及使用。Glaze Beta2支援Windows 10/11 ，以及基於英特爾或M1/M2處理器的macOS。</p> </div></div></div>
2023/3/20 12:35作者陳曉莉https://www.ithome.com.tw/news/156000
紐西蘭國會加入禁用TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.parliament.nz/en/footer/about-us/parliamentary-service/parliamentary-service-media-releases/media-statement-tiktok-on-parliamentary-service-devices/" target="_blank">紐西蘭國會上周宣布</a>，國會公務裝置將不得安裝TikTok，成為最新一個對這個短影片社交應用實施禁令的政府單位。</p> <p>紐國國會主席Rafael Gonzalez-Montero表示，基於網路安全專家建議，國會已要求國會議員及員工移除所有具國會網路存取權的裝置上的TikTok應用程式。他說，根據專家分析以及紐國國內、外政府的討論，國會判斷相關風險已是現有紐國國會無法接受的程度。</p> <p>紐西蘭是五眼聯盟中，最新一個在公用手機上禁用TikTok的成員國家。美國參議院已在去年底通過政府機構裝置不得安裝使用該App的法案，只剩總統簽字即會成為法令。CNN上周引述短影片社交平臺TikTok母公司字節跳動（ByteDance）證實，美國拜登政府要求出售TikTok手中持股，否則將正式禁用。</p> <p>加拿大及英國分別在<a href="https://www.bbc.com/news/world-us-canada-64792894" target="_blank">2月底</a>及<a href="https://www.ithome.com.tw/news/155982" target="_blank">上周</a>宣布政府部門員工裝置不得安裝這款中國App。而根據澳洲媒體<a href="https://www.smh.com.au/technology/federal-government-expected-to-ban-TikTok-on-its-devices-20230317-p5cszo.html" target="_blank">《Sydney Morning Herald》</a>報導，澳洲政府還在評估，但可能也會在近期頒布禁令。此外，<a href="https://www.ithome.com.tw/news/155700" target="_blank">不是五眼聯盟的歐盟已在2月底宣布類似禁令</a>。</p> </div></div></div>
2023/3/20 12:42作者林妍溱https://www.ithome.com.tw/news/156001
微軟預覽低程式碼開發平臺Power Platform用的Copilot AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155983" target="_blank">繼上周的Office之後</a>，微軟上周四（3/16）再宣布<a href="https://powerapps.microsoft.com/en-us/blog/announcing-a-next-generation-ai-copilot-in-microsoft-power-apps-that-will-transform-low-code-development/" target="_blank">整合低程式碼開發平臺Power Platform的Copilot預覽版</a>，讓Power Platform的開發人員和使用者用自然語言就能完成工作。</p> <p>最新Copilot是以<a href="https://www.ithome.com.tw/news/155884" target="_blank">Azure OpenAI服務</a>的GPT模型為底層，將AI助理加入Power Platform底下三項產品，包括Power Apps、Power Virtual Agents和Power Automate。使用者可以自然語言描述自己的目的，以開發應用程式、聊天機器人（bot）或工作流程。</p> <p>Power Apps本來就是低程式碼工具，旨在讓不具程式開發背景的使用者，也能撰寫出應用程式。用戶描述應用程式用途，Power Apps就會自動產生App的資料表格，而有了Copilot，使用者可以用自然語言依據自己的需求調整App。一旦用戶可以解決簡單的應用開發需求，開發人員就能把時間專注在更複雜的程式碼、元件和整合工作上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-Copilot%20in%20Microsoft%20Power%20Apps-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Power Automate用於建立重覆性事務的自動化流程。微軟宣稱，Power Automate 2022年10月上線的預覽版中的「Describe it to design it」功能，已可減少50%的流程開發時間，Copilot則可把建立作業縮短為幾秒鐘內完成。</p> <p>Power Virtual Agents這項產品本身用於開發處理多種主題、回應和情境知識的聊天機器人。但微軟表示，即便是低程式碼，也需要花一段時間。現在有了Copilot，作業可將在幾分鐘內開發完成。用戶可以使用自然語言，援引Copilot生成性AI模型GPT建立及微調主題內容，它的對話介面又讓這個過程更簡單而快速。</p> <p>目前這個版本是預覽版，微軟警告，這個版本功能有限，部署也有限制，不應用於生產環境。</p> <p>這是微軟自Bing、Edge、<a href="https://www.ithome.com.tw/news/155884" target="_blank">Azure OpenAI服務</a>、上周的Microsoft 365/Office之後，最新整合ChatGPT能力的微軟產品。而一如之前所有產品，微軟也不忘強調，AI會犯錯，因此Copilot提供的建議，最終還是需要用戶許可、接受，他們也可以針對Copilot的建議加以編輯。</p> </div></div></div>
2023/3/20 13:08作者林妍溱https://www.ithome.com.tw/news/156002
【資安週報】2023年3月13日到3月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周包括微軟、SAP、思科、Adobe、西門子、施耐德電機等多家科技大廠，相繼發布產品安全性更新公告，紛紛呼籲用戶盡速修補，值得關注的是，有4個漏洞已出現利用情形要特別留意，包括：微軟本周安全性更新釋出，當中有兩個零時差漏洞已遭鎖定利用，一是涉及Outlook（CVE-2023-23397）另一是涉及SmartScreen（CVE-2023-24880），Fortinet針對一周前修補的防火牆產品漏洞（CVE-2022-41328）示警，已發現針對該漏洞的攻擊行動，最後是Adobe ColdFusion的漏洞（CVE-2023-26360）。</p> <p>關於威脅態勢與攻擊活動揭露方面，有三類議題值得關注，包括在近期熱門的ChatGPT與矽谷銀行（SVB）新聞事件下，有更多駭客組織假借名義的攻擊活動出現；在網釣攻擊上，微軟揭露新一波大規模攔截使用者Cookie的AiTM網釣攻擊，駭客組織已發展出網釣工具包並出售套件；去年底已有攻擊者利用的Progress Telerik漏洞，本周有更多技術細節公開，揭露攻擊者是如何利用美國政府IIS服務器中的這項漏洞。</p> <p>在資安事件方面，國際間有兩起與供應鏈安全有關事件，包括傳出SpaceX的零件製造商遭LockBit入侵，駭客聲稱取得SpaceX設計藍圖，以及AT&T用戶發生資料外洩，已調查出事件起因為合作廠商遭駭；在國內，不只是故宮博物院館藏的數位圖檔證實外洩的事件受注目，也傳出國光客運遭網路攻擊使訂票服務停擺狀況。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155893"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月13日】資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</span></strong></a></h3> <p>又是資安業者傳出資料外洩事故！這次Acronis事故與過往有所不同的是，疑似客戶的帳密遭竊，而導致回傳給技術支援團隊的組態資料外洩。但為何客戶的帳密遭竊？該公司沒有說明。</p> <p>Go語言殭屍網路病毒GoBruteforcer針對多種應用系統而來的攻擊行動也值得留意，這些駭客專門針對特定的資料庫、網頁管理系統、檔案共用伺服器而來，而且，其惡意軟體同時針對x86及Arm的類Unix主機下手。</p> <p>想要透過LinkedIn求職的資安人員要提高警覺！北韓駭客組織假借這類名義找尋攻擊目標，並透過測試研究人員能力為由來散布惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/155926"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</span></strong></a></h3> <p>人工智慧語言模型ChatGPT當紅，駭客假借提供相關工具來發動攻擊的情況不斷出現，而最近一起資安事故裡，攻擊者將竊密軟體包裝在Chrome延伸套件，並成功通過審核機制上架到Chrome Web Store市集，突顯這類攻擊的手法變得越來越隱蔽。</p> <p>除了時下熱門的ChatGPT，勒索軟體攻擊的態勢也同樣值得我們關注。例如，衛星網路業者SpaceX零件供應商傳出遭勒索軟體LockBit攻擊的情況，駭客揚言若不付錢，就將竊得的專利資料賣給相關競爭對手。</p> <p>回到國內，去年因摔壞國寶引起各界撻伐的故宮博物院，傳出館藏文物的數位圖檔外流事故。該單位也證實確有此事，並指出外洩的原因是承辦人員將資料搬移到連結到網際網路的應用系統上。</p> <h3><a href="https://www.ithome.com.tw/news/155947"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</span></strong></a></h3> <p>大型銀行倒閉影響範圍甚廣，許多用戶擔心自己的存款會拿不出來，也會影響往來企業的資金周轉，因此受到各界高度關注。最近，美國矽谷銀行（Silicon Valley Bank，SVB）宣布倒閉，駭客隨即註冊大量網域，並隨著事態的變化發動多起網路釣魚攻擊。</p> <p>除了SVB相關的攻擊行動，多家IT與OT業者近期發布了每月的軟體例行更新公告，也相當值得我們留意。微軟、Adobe、SAP、西門子、施耐德電機等廠商都在這幾天發布本月份的例行修補，值得留意的是，已有部分是出現攻擊行動的零時差漏洞，用戶應儘速安裝相關更新軟體。</p> <p>論及零時差漏洞的利用攻擊，MFT檔案共享系統GoAnywhere的資安弱點再傳有組織受害！這次公告受害的組織身分，是資料安全保護業者，所幸他們沒有用戶資料外流的情況。</p> <h3><a href="https://www.ithome.com.tw/news/155969"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月16日】AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</span></strong></a></h3> <p>駭客假借提供破解軟體，並透過YouTube影片告訴觀眾如何下載相關檔案的名義，藉此散布惡意軟體的情況時有所聞，但最近這種類型的攻擊行動出現新的變化──駭客利用AI產生有人現身說法、透露如何操作的影片，一改過往錄下電腦桌面環境的操作影片的做法。這麼做的目的，就是透過「有人」現身說法，來拉近與觀眾之間的距離，進而讓他們卸下心防。</p> <p>除了上述的散布手法，惡意軟體的威脅態勢也值得我們留意──有雲端服務業者根據DNS流量分析，發現殭屍網路病毒Emotet東山再起，還有NAS惡意軟體QSnatch也藉此大肆發動攻擊，流量竟在2022年超越其他的惡意程式。</p> <p>不只是惡意軟體攻擊的態勢出現變化，挖礦攻擊也有新的招式，駭客疑似嘗試挖掘另一種名為Dero的數位貨幣，使得資金流量有可能變得更難追蹤。</p> <h3><a href="https://www.ithome.com.tw/news/155993"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</span></strong></a></h3> <p>Fortinet近日透露旗下防火牆作業系統FortiOS的路徑穿越漏洞CVE-2022-41328已出現攻擊行動，呼籲用戶儘速修補，但並未說明更多資訊。直到這幾天，協助調查的資安業者Mandiant表示，該漏洞在2022年的攻擊行動就被利用，並指出駭客也對受害組織部署的Fortinet其他類型的產品出手。</p> <p>今天我們也注意到另一起利用漏洞進行攻擊的重大攻擊，那就是發生在美國行政機關（FCEB）的資安事故，有多個駭客組織攻入該機構，而他們利用的是3年前被揭露的應用程式框架Progress Telerik漏洞CVE-2019-18935，而這些攻擊者當中，有1個是國家資助的駭客組織。</p> <p>但不只是漏洞攻擊，與烏克蘭戰爭有關的網路攻擊也相當值得留意。俄羅斯駭客組織APT29看上波蘭想要尋求美國的軍事援助，藉此發動網釣攻擊。特別的是，過程中駭客濫用了歐盟的文件交換系統。</p> </div></div></div>
2023/3/20 10:57作者羅正漢https://www.ithome.com.tw/news/155999
Docker為政策說明不清道歉，承諾不會刪除Free Teams組織的公開映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker官方在部落格為最近含糊不清的信件內容<a href="https://www.docker.com/blog/we-apologize-we-did-a-terrible-job-announcing-the-end-of-docker-free-teams/">道歉</a>。前幾天Docker透過電子郵件通知Free Team組織成員，該免費訂閱層級已終止，要求他們轉向付費方案，或是重新申請DSOS（Docker-Sponsored Open Source）計畫，否則帳戶將被凍結，私有儲存庫中的資料也會被刪除。</p> <p>由於之前使用Free Team訂閱有不少開源專案，Docker這封內容不清的信件使維護者人心惶惶，擔心映像檔工作管線被破壞。現在Docker官方發文道歉並解釋，Free Teams訂閱早已經被棄用，部分原因是其針對性很差，也不如他們新提供的DSOS計畫，官方指出該計畫所提供的好處超過Free Team訂閱，歡迎開源專案轉向使用DSOS計畫。</p> <p>另外，Docker特別回應在信中未說明，且眾多開源專案維護者困惑的問題，官方承諾只有維護者主動刪除公開映像檔時，他們才會從Docker Hub中刪除該映像檔。因此當維護者不採取任何行動，Docker便會繼續發布這些公開映像檔。</p> <p>只有在訂閱欄位被標記為Docker Free Team的用戶，才會受到該政策影響，官方提到這些用戶數不到總用戶的2％，而且即便用戶的組織受到影響，用戶個人Docker也不受該政策影響。官方鼓勵所有開源專案都可申請DSOS計畫，Docker在2022年9月更新計畫並且放寬資格，因此之前已經申請過被拒絕的開源專案，也可以再嘗試一次。</p> <p>申請DSOS計畫的組織不受Free Team訂閱終止的影響，這些組織帳戶將暫時不會被暫停或是刪除，即便申請被拒絕，這些組織也會有30天的時間行動，之後才會被暫停帳戶。至於Free Teams訂閱用戶的私人儲存庫，則確定會在2023年4月13日被停用，Docker官方解釋，因為私人儲存庫是一項付費功能，因此只有用戶付費訂閱才能繼續使用。</p> <p>Free Teams用戶也可以選擇在4月13日之前，將原本Docker註冊表上私有儲存庫的映像檔，轉移到Docker之外的儲存庫，或是當用戶選擇付費訂閱方案，帳戶和所有關聯的配置、映像檔和儲存庫則完全不會改變。</p> <p>當Free Teams組織最終沒有付費，也沒有通過DSOS計畫申請，組織被暫停、刪除，組織的命名空間也不會被釋出，因此其他用戶沒有辦法搶占組織的映像檔。</p> </div></div></div>
2023/3/19 15:50作者李建興https://www.ithome.com.tw/news/155991
微軟在VS Code Insiders釋出資料準備工具Data Wrangler，可簡單生成資料操作Python程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對資料科學家，推出可用Python處理表格資料的工具<a href="https://devblogs.microsoft.com/python/data-wrangler-release/">Data Wrangler</a>，Data Wrangler是VS Code Insiders版本的擴充套件，能夠執行資料準備、清理和視覺化工作，協助用戶辨識和修復資料錯誤，也能分析資料的品質，並將資料轉換成為需要的格式。</p> <p>Data Wrangler內建的轉換和視覺化函式庫，在用戶執行資料更改時，擴充套件會自動使用開源Python函式庫，替用戶的資料操作產生程式碼，也就是說用戶可以更迅速且正確地編寫資料準備程式。</p> <p>由於資料的品質會直接影響模型預測的品質，因此資料科學家通常需要花費大量的時間準備資料，在探索資料的過程，資料科學家需要編寫許多小程式碼片段，來刪除資料行或是移除缺失的數值，微軟提到，目前缺乏簡化資料準備工作的工具，資料科學家常需要到Stack Overflow搜尋程式碼片段，並且複製貼上到程式中。</p> <p>Data Wrangler的互動式使用者介面，能夠替用戶快速產生程式碼，在用戶查看和視覺化Python資料分析模組Pandas資料框（Dataframes）時，Data Wrangler能夠產生目標操作的程式碼，像是用戶只要右鍵點擊資料行標題並將其刪除，Data Wrangler便可以自動產生Python程式碼來執行此操作。</p> <p>另外，當資料科學家想要從Pandas資料框的資料行，創建一個新的衍生資料行，編寫自定義程式碼的過程容易出現錯誤，而Data Wrangler讓用戶只要提供輸出範例，告訴Data Wrangle希望衍生資料列的資料形式，該擴充套件便會透過人工智慧合成技術PROSE編寫Python程式碼。</p> <p>現在資料科學家想要在VS Code Insiders使用Data Wrangler，可以直接從應用程式市集中下載，並且從Jupyter Notebook的Pandas資料框中啟動Data Wrangler，或是在VS Code Insiders中，選擇以Data Wrangler開啟CSV或Parquet檔案。</p> </div></div></div>
2023/3/19 15:57作者李建興https://www.ithome.com.tw/news/155994
Teams現可整合AWS Chatbot方便用戶操作雲端資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/aws-chatbot-now-integrates-with-microsoft-teams/">AWS宣布</a>讓用戶可以在微軟的通訊協作平臺Teams中整合AWS Chatbot，在聊天頻道就能夠以指令操作AWS資源，還有進行故障排除。用戶早在2020年，就能夠於Chime和Slack聊天頻道使用AWS Chatbot，而現在也能在Teams集中管理基礎設施，以聊天機器人自動化工作流程。</p> <p>在Teams或其他通訊協作平臺，用戶會收到來自AWS Chatbot的通知，使用戶可以直接在聊天頻道中輸入指令操作AWS服務，而不需要切換到其他工具。用戶收到的通知包括系統運作狀況、預算、安全事件或是CI/CD工作管線狀態的警示。</p> <p>AWS Chatbot也不只有問題通知這項功能，聊天機器人也讓用戶能夠以互動的方式，接收預定義的CloudWatch控制面板，以及檢索Logs Insights日誌，使用戶可以直接在聊天串中解決問題。同時用戶也可以直接在聊天頻道中輸入大多數的AWS CLI指令，檢索其他遙測資料和資源，甚至能夠依據操作手冊修復問題。</p> <p>AWS Chatbot讓用戶能夠以自然語言提問，AWS Chatbot會以AWS文件，或是支援文章回覆用戶的提問，用戶可以使用的問句像是顯示我在eu-west-3中的EC2執行個體。AWS Chatbot也提供指令別名功能，來解決長指令難以記憶的問題，用戶可以定義別名來引用常用的指令和參數，減少完成任務的步驟。</p> </div></div></div>
2023/3/19 16:02作者李建興https://www.ithome.com.tw/news/155995
【資安日報】3月17日，本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Fortinet近日透露旗下防火牆作業系統FortiOS的路徑穿越漏洞CVE-2022-41328已出現攻擊行動，呼籲用戶儘速修補，但並未說明更多資訊。直到這幾天，協助調查的資安業者Mandiant表示，該漏洞在2022年的攻擊行動就被利用，並指出駭客也對受害組織部署的Fortinet其他類型的產品出手。</p> <p>今天我們也注意到另一起利用漏洞進行攻擊的重大攻擊，那就是發生在美國行政機關（FCEB）的資安事故，有多個駭客組織攻入該機構，而他們利用的是3年前被揭露的應用程式框架Progress Telerik漏洞CVE-2019-18935，而這些攻擊者當中，有1個是國家資助的駭客組織。</p> <p>但不只是漏洞攻擊，與烏克蘭戰爭有關的網路攻擊也相當值得留意。俄羅斯駭客組織APT29看上波蘭想要尋求美國的軍事援助，藉此發動網釣攻擊。特別的是，過程中駭客濫用了歐盟的文件交換系統。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/fortinet-malware-ecosystem"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet零時差漏洞傳出遭到中國駭客利用</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-attack-lifecycle-fortimanager.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-attack-lifecycle-fortimanager.png" style="width: 300px; float: right;" /></a>資安業者Fortinet於3月7日修補防火牆路徑穿越漏洞CVE-2022-41328（CVSS風險評分為6.5分），並於13日表示該漏洞已出現攻擊行動，最近有資安業者公布更多細節。</p> <p>資安業者Mandiant發現，中國駭客組織UNC3886於2022年中旬，就利用上述的漏洞攻擊政府組織，在Fortinet防火牆設備執行未經授權的程式碼或命令，進而部署惡意程式，於受害組織從事網路間諜行動、洩露資料，或是下載及寫入檔案，研究人員也看到目標裝置收到惡意ICMP封包後，出現開啟遠端Shell的情況。</p> <p>攻擊者在成功入侵Fortinet防火牆之後，就設置後門Thincrust與Castletap並進行橫向感染，接著，他們存取已遭植入後門程式的VMware虛擬化平臺ESXi、vCenter，目的是避免攻擊行動被發現。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-074a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構遭到駭客利用跨平臺應用程式框架Progress Telerik漏洞入侵</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、跨州資訊共享及分析中心（Multi-State Information Sharing and Analysis Center，MS-ISAC）聯手發布資安通告，指出多個駭客組織利用跨平臺應用程式框架Progress Telerik漏洞CVE-2019-18935（CVSS風險評分為9.8分），於2022年11月至2023年1月攻擊聯邦政府的行政機關（FCEB），進而在微軟IIS網頁伺服器上執行程式碼。</p> <p>但這並非駭客首度利用此漏洞對FCEB下手──2022年8月，有人利用該漏洞上傳惡意的DLL程式庫，並將程式庫檔案偽裝成PNG圖檔，然後透過w3wp.exe處理程序執行。</p> <p><a href="https://blogs.blackberry.com/en/2023/03/nobelium-targets-eu-governments-assisting-ukraine"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟遭到俄羅斯駭客攻擊，利用波蘭外交使者行程做為幌子，並藉由歐盟檔案交換系統散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nobelium-fig01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/nobelium-fig01.png" style="width: 300px; float: right;" /></a>波蘭外交大使傳出要訪問美國，尋求美軍駐守等相關支援，而這樣的情勢也成為駭客用來發動攻擊的幌子。BlackBerry旗下的研究及情資團隊於3月初發現，俄羅斯駭客組織APT29（亦稱Nobelium）鎖定歐洲國家發動網路釣魚攻擊，駭客對波蘭外交部，以及與美國互動感興趣的人士製造誘餌，濫用歐盟的文件檔案交換系統LegisWrite、資料安全傳輸系統eTrustEx，並在薩爾瓦多的圖書館網站上，植入波蘭大使的「公開行程表」。</p> <p>一旦使用者依照指示存取駭客製作的惡意網頁（此攻擊HTML網頁亦稱為EnvyScout），該網頁就會透過HTML挾持（HTML Smuggling）手法，將帶有惡意軟體IMG或ISO映像檔傳送到受害者的電腦。值得留意的是，駭客透過線上筆記系統Notion架設C2中繼站，而使得相關流量可能會被部分資安系統視為合法。</p> <p><a href="https://blog.talosintelligence.com/yorotrooper-espionage-campaign-cis-turkey-europe/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">獨立國家國協、大使館、歐盟醫療機構遭到YoroTrooper攻擊行動鎖定</span></strong></a></p> <p>思科旗下的威脅情報團隊Talos揭露自2022年6月出現的攻擊行動，駭客組織YoroTrooper鎖定獨立國家國協（CIS）的政府機關及能源組織而來，且已有從事醫療保健的歐盟機構、世界智慧財產權組織（WIPO）、多個歐洲大使館受害，研究人員發現駭客竊得大量帳密資料、Cookie、瀏覽器的存取記錄。</p> <p>這些駭客先是冒充白俄羅斯和俄羅斯的組織，使用名稱相似的網域發送釣魚郵件，挾帶惡意PDF檔案攻擊白俄羅斯組織，接著這些駭客將注意力轉移至白俄羅斯和亞塞拜然，部署Python打造的竊資軟體Stink Stealer。到了2023年，該駭客組織更換目標為塔吉克和烏茲別克，並改用HTA檔案來散布上述竊資軟體。</p> <p><a href="https://www.welivesecurity.com/2023/03/14/slow-ticking-time-bomb-tick-apt-group-dlp-software-developer-east-asia/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">東亞資料外洩防護業者遭到駭客組織Tick鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Timeline-of-the-attack-and-related-incidents.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Timeline-of-the-attack-and-related-incidents.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織Tick發起的攻擊行動，該組織自2021年2月，攻擊東亞的資料外洩防護（DLP）開發商，先是散布已竄改的檔案管理軟體Q-Dir安裝程式，一旦使用者執行，電腦就會被植入VBScript後門程式ReVBShell，以及名為ShadowPy的惡意程式下載器，然後植入後門程式Netboy（亦稱Invader）、Ghostdown下載器。</p> <p>過程中駭客先是破壞此開發商的內部更新伺服器，從而在該公司內部網路散布惡意軟體，並對他們的安裝程式植入木馬相關的程式碼，最終目的是在此DLP廠商的客戶電腦執行惡意軟體。研究人員指出，2022年2月及6月，有2家該公司的客戶受到波及，其中1個是東亞工程及製造公司。</p> <p><a href="https://www.fortinet.com/blog/industry-trends/work-from-anywhere-global-study-2023-highlights"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">居家辦公演變為隨處辦公，三分之二企業因遠距工作員工面臨資料外洩風險</span></strong></a></p> <p>因疫情而興起的居家辦公（WFH），現在雖然疫情已漸趨緩，仍有部分員工繼續採用這種上班型式，而使得企業面臨網路安全管理上的挑戰。資安業者Fortinet於2023年1月，針對全球百人以上員工規模的570家組織進行調查，結果發現仍有6成企業實施部分居家辦公，僅有4成要求員工必須回到辦公室。</p> <p>企業認為這種遠距辦公最大的威脅，主要是家用網路不夠安全（41%），其次則是員工將公司筆電用於私人用途帶來的隱憂（38%）。而且，這些企業有三分之二曾因居家辦公的員工曝險，引發資料外洩事件。</p> <p>研究人員認為，居家辦公現在已經逐漸演變成隨處辦公（Work-From Anywhere），這使得IT部門、資訊長、資安長制訂相關資安政策時，面臨更大的挑戰。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國光客運傳出遭到網路攻擊，波及旅客訂票，迄今網站仍停擺</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/xAYYeqVFcB_20230317-1622-17369.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xAYYeqVFcB_20230317-1622-17369.png" style="width: 300px; float: right;" /></a>根據<a href="https://news.cts.com.tw/cts/life/202303/202303152154052.html">華視</a>、<a href="https://news.ltn.com.tw/news/life/breakingnews/4240505">自由時報</a>、<a href="https://udn.com/news/story/7266/7033506">聯合報</a>等媒體導，國光客運傳出電腦系統於3月12日遭到駭客攻擊而無法運作，到了15日，相關系統仍未恢復運作，導致民眾無法訂票、退票，只能到車站購買當日車票。</p> <p>對此，<a href="https://www.facebook.com/kingbustaiwan/posts/pfbid02YJdGV7bRsqDfH9i57NK24RviG757sD8mW3LeMxwgVzx9XvgRAiA3FtyVW77nxgbul">國光客運先是在12日於臉書發出公告</a>，表示機房系統臨時維護、更新，當日售票改以人工售票處理，後來向媒體透露預計於17日前完成修復。但截至3月17日下午6時30分為止，該公司網站仍未恢復運作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://googleprojectzero.blogspot.com/2023/03/multiple-internet-to-baseband-remote-rce.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星Exynos晶片出現重大RCE漏洞，波及三星、Google、Vivo手機</span></strong></a></p> <p>Google旗下的Project Zero團隊揭露三星獵戶座（Exynos）處理器18個零時差漏洞，這些漏洞是在2022年底至2023年初被發現，其中有4個是最為嚴重的漏洞，攻擊者只要得知目標手機的電話號碼，就可透過基頻（Baseband）訊號遠端執行任意程式碼（RCE），過程完全不需使用者互動。</p> <p>這些漏洞存在於三星Galaxy S22、M33、A71、A53、A33等多款型號的手機，還有Google Pixel 6、Pixel 7，以及Vivo X70、X60等手機，此外，採用Exynos W920晶片的穿戴式裝備、搭載Exynos Auto T5123晶片的車載系統都會曝險。</p> <p>研究人員指出，已有5個漏洞超過90天期限仍未修補，他們公布了相關資料，並呼籲在廠商提供相關更新程式之前，使用者應該考慮停用Wi-Fi通話和VoLTE來避免遭到攻擊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155985"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客LockBit宣稱竊得SpaceX產品設計藍圖，威脅馬斯克贖回</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155986"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">卡巴斯基提供勒索軟體Conti變種「MeowCorp」解密工具</span></span></strong></a></p> <p><a href="https://redacted.com/blog/bianlian-ransomware-gang-continues-to-evolve/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">沒有加密檔案的勒索！勒索軟體「變臉」改變索討贖金的策略</span></span></strong></a></p> <p><a href="https://latitudefs.zendesk.com/hc/en-au/articles/13777669694225-Latitude-Cyber-Incident-Update"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲金融業者Latitude遭到網路攻擊，用戶個資外洩</span></span></strong></a></p> <p><a href="https://therecord.media/wymondham-college-cyberattack-uk-boarding-school"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國大型寄宿學校Wymondham證實遭遇網路攻擊</span></span></strong></a></p> <p><a href="https://www.securityweek.com/mozilla-patches-high-severity-vulnerabilities-with-release-of-firefox-111/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 111，修補7個高風險漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155969">【3月16日】 AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</a></strong></p> </div></div></div>
2023/3/17 17:12作者周峻佑https://www.ithome.com.tw/news/155993
React新互動式學習文件網站上線，以Hooks為主軸、添加600沙盒範例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前端開發框架React開發團隊經過長時間的準備，終於<a href="https://react.dev/blog/2023/03/16/introducing-react-dev">釋出全新的文件網站react.dev</a>，新網站提供互動式教學，能夠透過函式元件和Hooks，向開發者介紹React概念與開發方法，新文件網站有豐富的圖表、插圖和挑戰，並提供600多個互動式範例。舊React文件網址則移往legacy.reactjs.org。</p> <p>React從第一版釋出以來已經接近十年，在開發技術推陳出新的現在，官方開玩笑表示，React相當於存在了一整個世紀。因此希望透過更新入門指南和文件網站，更好地凸顯React仍是當前創建使用者介面的好工具。</p> <p>官方製作全新的文件網站，是因為舊版本已經無法勝任教育新開發者的工作。React在2018年的時候加入了一個稱為Hooks的概念，這與之前React中的類別元件（Class Components）是兩種不同建構和管理元件的方法，Hooks以函式元件為基礎，而類別元件則是以類別為基礎，使用物件導向開發的方式建構元件。</p> <p>Hooks讓開發者使用更函數式的方式編寫元件，藉以提高可讀性和可維護性，程式碼更簡潔而且具有更好的重用邏輯，官方團隊推薦剛開始學習React或是建置新專案的開發者，可以直接使用Hooks。由於React Hooks在2018年才發布，因此官方在當時舊版文件中，以假設讀者已經熟悉類別元件的角度編寫內容，希望加速社群採用Hooks。</p> <p>但是經過一段時間的發展，顯然舊文件已經不適合現在的React新開發者閱讀，畢竟舊文件要開發者必須要學習React兩次，第一次先使用類別元件，之後才能學會Hooks，而新教學文件則是一開始就介紹React Hooks寫法。</p> <p>新教學文件更強調互動性，還更新許多經典的教程，以函式元件和Hooks概念重新編寫，開發者也可以在新文件網站中看到許多沙盒（下圖），沙盒包含了程式碼與程式碼執行結果，開發者可以任意更改程式碼驗證想法，並即時查看結果，改壞了也可以直接點選Reset重新來過。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201700%20-%20Introducing%20react_dev%20%E2%80%93%20React%20-%20react_dev.png" style="width: 580px; height: 592px;" /></p> <p>官方提到，新文件改進舊文件中內容錯誤，同時也發現了一些React中的錯誤，甚至是開發團隊正在解決的設計漏洞。整體來說，新文件的內容更正確，也更符合React發展現況，官方也收集了社群對文件的要求，並會在之後繼續更新。</p> </div></div></div>
2023/3/17 16:06作者李建興https://www.ithome.com.tw/news/155988
零售IT雙周報第14期：日本7-Eleven將線上便利商店服務擴大到12,000家門市，並試營運外送機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0305~0318)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線上便利商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店鋪衛星倉</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#庫存管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AMR</span></span></strong></p> <p><strong>日本7-Eleven自有外送服務7Now擴大營運到12,000家便利商店，近3,000 SKU與店內庫存數據即時同步，並試營運AMR送貨</strong></p> <p>日本7-Eleven開始試營運外送機器人。他們使用的AMR是由軟銀集團旗下機器人公司Asratec研發的機器人Rice，目前投入兩臺在7-Eleven日本本部大樓實驗，希望未來能投入商辦大樓及醫院。</p> <p>這個外送機器人背後的服務是<a href="https://www.ryutsuu.biz/ec/p030340.html">日本7-Eleven線上便利商店7Now</a>。7Now是延伸實體店面到線上的服務，因此沒有外送專門店，都是由員工揀貨，再交由外送員送貨。目前7Now與日本東京、札幌及廣島5,000家實體店鋪近3,000個品項的庫存即時同步。日本7-Eleven表示，預計2023年將擴大此服務營運範圍到12,000家店，2024則要擴及全日本所有店面。</p> <p>3季試營運中，日本7-Eleven會員於實體門市的平均購買商品數為3.4件、客單價為693日圓，在7Now購買商品數為9.9件，客單價為 2,366 日元。日本7-Eleven表示，到實體門市消費的顧客數並沒有減少，因此線上便利商店並不會分食實體門市業績，而是作為另一個通路，服務不同消費者需求。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AMR</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#外送機器人</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動路徑規畫</span></strong></span></p> <p><strong>7-Eleven與工研院聯手試營運外送機器人Cubot One，能自動調整路徑，還能自主搭電梯</strong></p> <p>臺灣7-Eleven無獨有偶的<a href="https://www.ithome.com.tw/news/155634">也在實驗外送機器人</a>。3月起，高雄軟體園區國城辦公大樓內，能看到工研院的自主移動機器人（AMR）提供7-Eleven外送服務。這臺名為Cubot One的AMR，不僅能於園區內三棟大樓內自主移動、閃避行人或障礙物、跨越地形障礙，還能自主呼叫及搭乘電梯，完成跨樓層配送。</p> <p>為使AMR機器人能夠自主導航，研發團隊先為A、B、C三棟大樓建立3D地圖，當收到訂單商品，即會自動規畫導航路徑。移動時，則會利用頂部和底部搭載的3D光達，及前方配備的景深攝影機來避開障礙物。機器人要搭乘電梯時，會先由後臺觀察電梯當下是否有人使用，待無人搭乘時，後臺就會接管電梯控制，並將電梯控制至Cubot One所在樓層，來垂直移動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cubone.jpg" style="width: 600px;" /></p> <p>消費者透過7-Eleven旗下外送平臺Foodomo訂餐，外送平臺會先向門市人員確認商品存庫情形來決定接單與否，再安排Cubot One前往門市取餐。AMR抵達指定地點後，再由外送平臺後臺撥打電話通知消費者，消費者可以手機末4碼開啟機器人倉門領取商品。</p> <p>目前工研院共打造3輛Cubot One，1輛於高雄軟體園區服務，另1輛在新竹進行測試，還有1輛先前在國外CES展示。統一超商表示，目前先觀察視營運情況，希望明年有機會擴大規模，正式營運。（<a href="http://www.ithome.com.tw/news/155634">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#瀏覽器環境</span></span></strong></p> <p><strong>日本護膚品牌Tatcha推出虛擬體驗商店，用瀏覽器環境呈現出流暢高品質體驗</strong></p> <p>日本護膚品牌Tatcha推出<a href="https://emperia.digital/Tatcha/ForestAwakening/1/index.htm">網頁版虛擬體驗商店</a>，與一般虛擬商店常見的小空間、簡易設計不同，這個虛擬商店以檜木森林的溫泉秘地為主題，搭配互動探索元素、音聲體驗，及森林、溫泉、涼亭、和式房屋等場景，且這些場景都有豐富的光影細節、素材解析度也相當高。Tatcha將商品陳列於這些場景中可能出現的地方，而不是單純擺設在虛擬貨架上，並加入了產品原料介紹，以及音樂介紹、養生建議等非商品相關資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tacha.jpg" style="width: 600px;" /></p> <p>除了元素豐富度，這個虛擬商店另一項值得注意之處是，儘管此商店在瀏覽器環境運行，但體驗接近Google Maps街景服務，較許多瀏覽器版虛擬商店順暢。此商店背後的技術來自英國3D設計技術商Emperia，過去也曾替服飾品牌Lacoste、奢侈品牌Dior等品牌打造虛擬商店。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方第三方兼營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多平臺商務</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SKU管理</span></span></strong></p> <p><strong>北美最大手工藝品零售商Michaels開放第三方商家在自家電商上架商品，SKU數翻3倍還能即時同步各商家庫存</strong></p> <p>北美最大手工藝品及家居零售商Michaels<a href="https://www.globenewswire.com/news-release/2023/02/27/2616056/0/en/Michaels-Expands-Online-Assortment-with-New-Third-Party-Marketplace.html">開放自家電商網站為第三方、第一方商家兼容的市集</a>，讓其他商家能上架商品。Michaels表示，網站上的商品品項已經從250,000翻了3倍，來到高達1,000,000 SKU數。這不僅說明Michaels作為上架平臺的熱門程度，也顯示出Michaels整合大量商家及商品的資訊能力。</p> <p>Michaels提供網路賣家透過Michaels官方網路入口、API串接及第三方整合商等3種上架管道。小型商家可以透過網路入口簡單上架商品、較大規模的商家則能直接將自家電商或ERP、WMS系統直接串接到Michaels市集上，或者是串接Michaels到ChannelAdvisor等其它第三方商務整合平臺，把Michaels市集視為管理平臺上其中一個通路來管理。Michaels還提到，會提供商家多種工具來管理商家在市集上的業務，不過並未提供進一步說明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/micas.jpg" style="width: 600px;" /></p> <blockquote><p>從介面中可以看到，Michaels市集上顯示了第三方商家的即時庫存及物流方案等資訊。</p> </blockquote> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#貨架管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#倉儲管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong></p> <p><strong>美國大型零售商BJ;s批發俱樂部將在全美200多家店使用貨架管理機器人</strong></p> <p>美國大型零售商BJ's批發俱樂部在全美200家以上的分店中，<a href="https://www.businesswire.com/news/home/20230314005481/en/BJ%E2%80%99s-Wholesale-Club-Partners-with-Simbe-to-Transform-Club-Operations-through-Cutting-Edge-Technology">全面投入貨架管理機器人</a>。BJ's店面平均面積有3,000坪以上，因此將省去許多貨架追蹤的人力。有了一天多次的電子化紀錄，也讓BJ’s更容易管理及後續利用貨架狀態紀錄。</p> <p>這個名為Tally的機器人會在店面中巡邏，利用電腦視覺技術來記錄貨架上的商品位置、數量及標價情形，並即時回傳到後臺，來通知工作人員補貨或調整貨架商品安排。這些紀錄檔還能用於分析，來優化商品補貨、陳列方式等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#倉儲管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#庫存盤點</span></span></strong></p> <p><strong>Ikea在7國商店中投入100架倉處管理無人機，來盤點棧板上貨物的庫存</strong></p> <p><a href="https://www.ingka.com/news/one-hundred-drones-now-used-across-ikea-retail-for-stock-inventory/">大型家居零售商Ikea在歐洲7國商店中投入100臺盤點用無人機</a>，於非營業時間盤點飛越店面及倉儲空間，盤點每個棧板上的存貨。Ikea表示，此無人機結合其他自動化倉儲管理工具，像是揀貨機器人，有利於他們發展店面為線上線下零售訂單履行中心。</p> <p>除了無人機，近日也有海洋生物在Ikea店面中飛行。Ikea採用Meta Spark AR技術，於全瑞典店面中推出了AR體驗。此AR體驗是一個Instagram濾鏡，讓顧客看到各式海洋生物在店面中游泳，並介紹海洋生物及海洋汙染等知識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ikeawp.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. 7-Eleven的會員App能直接使用Google Pay，成為亞洲第一家會員App串聯國際支付工具的大型零售業者。</p> <p>2. Amazon在暫停無人生鮮超市Amazon Fresh擴店計畫後，又要收掉8家無人便利商店Amazon Go。</p> <p>3. <a href="https://www.austinfc.com/news/austin-fc-adds-just-walk-out-technology-to-q2-stadium">奧斯汀足球俱樂部球場採用Amazon Just Walk Out無人收銀系統，是全世界第一個採用此技術的足球球場。</a></p> <p>4. Meta在下架Facebook直播購物功能後，也<a href="https://www.facebook.com/help/instagram/1189600611393606?helpref=faq_content">下架了Instagram直播購物功能</a>。</p> <p>資料來源：iThome整理，2022年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Warping Reality、統一超商、Astratec、Michaels</p> </div></div></div>
2023/3/17 16:59作者郭又華https://www.ithome.com.tw/news/155992
Google Project Zero在三星Exynos晶片上發現18個零時差漏洞，波及三星、Vivo與Google手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Project Zero團隊本周指出，他們去年底與今年初在三星所生產的多款Exynos數據機上發現了18個零時差漏洞，當中4個最嚴重的漏洞將允許網路至基頻的遠端程式攻擊，且這18個漏洞影響了三星、Vivo及Google的眾多手機，亦波及採用Exynos W920晶片組的穿戴裝置及使用Exynos Auto T5123的汽車。</p> <p>根據Project Zero團隊的測試，這4個嚴重漏洞允許駭客自遠端危害使用者手機，駭客只需得知手機號碼就能展開攻擊，而且完全不需使用者互動，即使只進行有限的研發，該團隊亦相信老練的駭客將可輕易打造攻擊程式，自遠端悄悄危害手機，而不被使用者察覺。</p> <p>在4個嚴重漏洞中，目前僅有<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-24033" target="_blank">CVE-2023-24033</a>被賦予編號，含有該漏洞的多款晶片無法妥善檢查對話描述協定（Session Description Protocol，SDP）模組的格式類型，而可能導致服務阻斷。</p> <p>在其它較不嚴重的14個安全漏洞中，則有5個已被賦予漏洞編號，它們分別是CVE-2023-26072、CVE-2023-26073、CVE-2023-26074、CVE-2023-26075與CVE-2023-26076，這14個漏洞必須具備額外的條件才能被利用，例如要有惡意的行動營運商，或者是駭客必須實際存取裝置。</p> <p>上述18個安全漏洞波及數十款Exynos晶片，進行影響使用它們的裝置，涵蓋三星的Galaxy S22、M33、M13、M12、A71、A53、A33、A21、A13、A12與A04等手機，Vivo的S16、S15、S6、X70、X60與X30手機，Google的Pixel 6與Pixel 7，以及使用Exynos W920穿戴裝置，或是採用Exynos Auto T5123 的任何汽車等。</p> <p><a href="https://source.android.com/docs/security/bulletin/pixel/2023-03-01?hl=zh-tw" target="_blank">Google已在本周展開的3月安全更新中修補了Pixel手機的CVE-2023-24033漏洞</a>，由於各家業者修補漏洞的時間點不同，使得Project Zero資深安全工程經理Tim Willis建議，擁有相關裝置的使用者可於設定中暫時關閉Wi-Fi通話（Wi-Fi calling）及Voice-over-LTE（VoLTE）功能，以避免遭到攻擊。</p> <p>依照Google的漏洞揭露政策，這4個嚴重漏洞皆已超過90天的揭露期限，只是有鑑於揭露它們帶給駭客的好處可能多過於防禦方，使得Project Zero團隊決定延後揭露相關漏洞。</p> <p>而另外的14個漏洞中，上述5個具備編號的漏洞則已超過揭露期限，並已被Google及<a href="https://semiconductor.samsung.com/support/quality-support/product-security-updates/" target="_blank">三星</a>公開，其它的漏洞則會在到達揭露期限之際公諸於眾。</p> </div></div></div>
2023/3/17 15:45作者陳曉莉https://www.ithome.com.tw/news/155989
Google停售Google Glass智慧眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/glass-enterprise/customer/answer/13417888" target="_blank">Google本周宣布</a>，停售Google Glass企業版，而且也只會支援現有產品到今年9月中。</p> <p>Google從本周三（3/15）起終止銷售Glass企業版，並只會支援到今年9月15日。在此之後，Google不會再更新軟體，預建在眼鏡中的Meet on Glass也不會再獲得支援，可能隨時就停止運作。一旦產品硬體損壞，9月中之後Google不會再提供更換，用戶只得自行聯絡代理或經銷商，請求代為申請。</p> <p>此外，Google表示，眼鏡上的App大多是第三方廠商提供及維護的，Google只提供系統映像檔，這些系統映像檔9月15日之後也不會再更新。不過用戶還是可從<a href="https://developers.google.com/glass-enterprise/downloads/system-images" target="_blank">系統映像檔網頁</a>及經由無線（OTA）更新下載這些檔案一段時日，Google說，最少到維持到2024年4月1日。</p> <p>這也意謂Google智慧眼鏡將暫時步下舞臺。Google是在2013年針對開發人員及少數消費者銷售售價1,500美元的第一代Google Glass。不過由於造型怪異，訂價過高，加上支援的應用程式不多，這個智慧眼鏡無法吸引到具經濟規模的用戶，連帶影響開發商的意願。</p> <p>Google還是做了些努力，包括2014年和全球最大眼鏡集團Luxottica打造具時尚感的Google Glass，<a href="https://www.ithome.com.tw/news/130771" target="_blank">第二代Google智慧眼鏡</a>調整定位為企業用途，鎖定運輸、製造、維修現場等專業人士，價格也調降為1,000美元。但是智慧眼鏡高單價、應用效果有限，始終無法吸引夠多企業採用。</p> <p>不過Google Glass面臨的問題也同樣考驗其他智慧眼鏡業者，包括微軟。微軟的HoloLens具備擴增實境（Augmented Reality）功能，價格更高達3,000美元。HoloLens已推出第二代。不過去年傳出美國陸軍測試HoloLens出現效果不佳並引發身體不適，還遭到國會砍預算。業界謠傳微軟可能不會推出第三代，但微軟否認這個說法。</p> </div></div></div>
2023/3/17 15:57作者林妍溱https://www.ithome.com.tw/news/155990
卡巴斯基提供勒索軟體Conti解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商卡巴斯基（Kaspersky）近日<a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-releases-tool-for-decrypting-conti-based-ransomware" target="_blank">針對近年大為流行的勒索軟體Conti提供解密工具</a>。</p> <p>這家防毒軟體業者最近把Conti加入其<a href="https://noransom.kaspersky.com/en/?tool=conti" target="_blank">免費勒索軟體解密工具Rakhni Decryptor</a>防護的名單中。</p> <p>卡巴斯基研究人員表示，他們取得一個俄羅斯犯罪組織流出的資料，這批外流的資料包含258個私有金鑰、原始碼及一些解密工具，使其團隊得以製作完整解密工具。所有私有金鑰及程式碼都已加入最新版的Rakhni Decryptor中。</p> <p>這項工具除了Conti外，還可以解密包括Rakhni、TeslaCrypt（version 3及4）、Dharma、Cryakl、Egregor等20餘個勒索軟體。</p> <p>Conti是前幾年十分猖狂的勒索軟體，其組織成員主要來自俄羅斯、烏克蘭及其他東歐國家。去年俄烏戰事爆發，Conti表明會支持俄羅斯政府，之後遭一名安全研究人員公布其程式碼及內部基礎架構，以及駭客通訊紀錄，隨後美國政府也懸賞通緝。Conti去年5月<a href="https://www.ithome.com.tw/news/151058" target="_blank">被發現已關閉</a>，不過其成員仍然持續活躍，去年5月<a href="https://www.ithome.com.tw/news/151268" target="_blank">感染中美洲的哥斯大黎加多個政府系統及網站</a>，12月安全廠商還發現Conti變種。</p> </div></div></div>
2023/3/17 14:26作者林妍溱https://www.ithome.com.tw/news/155986
繼美國、歐盟與加拿大之後，英國政府也禁用TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/tiktok-banned-on-uk-government-devices-as-part-of-wider-app-review" target="_blank">英國內閣辦公室（Cabinet Office）周四（3/16）宣布</a>，將禁止境內政府機構所使用的公務裝置安裝TikTok，跟上<a href="https://www.ithome.com.tw/news/154929" target="_blank">美國</a>、<a href="https://www.ithome.com.tw/news/155700" target="_blank">歐盟</a>與<a href="https://www.canada.ca/en/treasury-board-secretariat/news/2023/02/statement-by-minister-fortier-announcing-a-ban-on-the-use-of-tiktok-on-government-mobile-devices.html" target="_blank">加拿大</a>的腳步。</p> <p>該辦公室指出，TikTok要求使用者賦予權限，以讓該程式得以存取儲存於裝置上的資料，使該公司能夠蒐集與儲存資料，相關的權限將讓TikTok存取裝置上的各式資料，從通訊錄、使用者內容到地理資料等。</p> <p>英國國務大臣Lancaster Oliver Dowden表示，政府機密資訊的安全必須置放於首位，於是決定於政府裝置上封鎖TikTok，且限制TikTok的使用是來自英國資安專家的建議。</p> <p>目前英國政府內部的TikTok使用有限，且政府員工於工作裝置上對TikTok的需求亦有限，意味著相關禁令將不會對當地公務員帶來太多衝擊。</p> <p>此外，該禁令並未擴及政府員工的私人裝置，也未影響英國的一般民眾。</p> <p>美國國會在去年的12月中旬通過了《No TikTok on Government Devices Act》，將禁止美國的任何公務裝置下載或使用TikTok，美國總統拜登（Joe Biden）則在12月29日簽署了該法令。</p> <p>目前TikTok執行長周受資仍積極與美國進行協商，根據《華爾街日報》（The Wall Street Journal）的報導，拜登要求TikTok母公司字節跳動出售TikTok的股權，否則就要在美國封殺TikTok。</p> <p>然而，周受資向<a href="https://www.wsj.com/articles/tiktok-ceos-message-to-washington-a-sale-wont-solve-security-concerns-94a8606?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>表示，讓字節跳動出脫TikTok的持股，並不會比TikTok先前的提議更有保障。當初TikTok已承諾要聘請甲骨文來存放TikTok美國用戶的所有資料，同時確保美國用戶所觀看的影片不會受到來自中國的任何影響。</p> </div></div></div>
2023/3/17 11:12作者陳曉莉https://www.ithome.com.tw/news/155982
微軟公布加入ChatGPT的Office工具Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在媒體及業界猜測許久之後，<a href="https://blogs.microsoft.com/blog/2023/03/16/introducing-microsoft-365-copilot-your-copilot-for-work/" target="_blank">微軟昨（16）日公布整合在Office應用的ChatGPT AI工具Copilot</a>，幫助使用者更快製作出文件、簡報、分析或電子郵件。</p> <p>Copilot是以最新的GPT-4為基礎，它和其他眾多工具出現在Microsoft 365應用如Word、PowerPoint及Outlook等的側邊欄供使用者啟用。如同ChatGPT一樣，使用者可以以文字或口頭在聊天介面輸入想要做的事，指示Copilot完成基本作業，再由其修正、編輯或強化。</p> <p>微軟執行長Satya Nadella指出，Copilot可提供使用者更多助力，並透過統一的自然語言介面讓科技變得更平易近人。</p> <p>微軟強調，Copilot不只是將OpenAI的聊天機器人ChatGPT整合到Office或Microsoft 365工具中，它背後有一個繁複的處理和協同過程，是將大型語言模型（large language model，LLM）如GPT-4整合到Microsoft 365及跨服務存取資料網路Microsoft Graph中的企業資料，將用戶的文字變成生產力工具。</p> <p>微軟表示，Copilot可為使用者產生Word文件草稿、在PowerPoint中可製作圖文並茂的簡報，並從使用者近期或更早以前撰寫的文件擷取資料。在Excel中用戶可叫Copilot製作樞紐表。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-Microsoft%20365%20Copilot%20with%20Outlook-960.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-Microsoft%20365%20Copilot%20with%20Powerpoint(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-Microsoft%20365%20Copilot%20with%20Excel%20(3).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>而在Outlook，Copilot不但能從一長串信件中做出摘要幫用戶起草信件，還能清理收件匣。在Teams視訊會議時，它可以將會議內容總結摘要，還能產生字幕，並在會議中提供行動事項建議。在流程平臺Power Platform中，用戶可以叫這AI工具完成重覆性業務、開發聊天機器人，或輸入描述文字，由其開發出簡單的App。透過結合Microsoft Graph微軟宣稱，Copilot可搜尋企業內所有業務資料和支援多種App以便幫助使用者更快搜尋到想要的答案。</p> <p>微軟表示，Copilot之所以能自動化完成Word、Excel、PowerPoint等應用任務，原因在於它支援Microsoft 365數千種指令，包括「為簡報製作動畫」、「插入表格」等，而未來還會持續增加。</p> <p>除了整合Office/Microsoft 365，<a href="https://news.microsoft.com/zh-tw/dynamics-365-copilot/" target="_blank">微軟上周也宣布整合微軟ERP、CRM商務應用的Dynamics 365 Copilot</a>，以AI支援用戶使用多項功能，包括業務模組Dynamics 365 Sales/ Viva Sales、客服模組Dynamics 365 Customer Service、行銷模組Customer Insights、Dynamics 365 Marketing，以及業務分析模組Customer Insights、供應鏈管理模組Supply Chain Management、Supply Chain Center以及電商管理模組Business Central。</p> <p>此外微軟上周也正式將ChatGPT整合到雲端服務Azure OpenAI服務項目中。</p> <p>微軟最新宣布也宣告Google和微軟在生成性AI的競爭進入白熱化。<a href="https://www.ithome.com.tw/news/155933" target="_blank">Google 2天前正式公布整合生成性AI的雲端生產力應用Workspace</a>。兩家軟體巨人也分別將ChatGPT和Google Bard整合到搜尋引擎。目前微軟的進度更快一些；媒體發現，本周起Edge用戶已經可以直接使用Bing Chat，不再需加入等候清單。</p> </div></div></div>
2023/3/17 11:36作者林妍溱https://www.ithome.com.tw/news/155983
生成式AI應用加速大廠競爭
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1月初刊出的<a href="https://www.ithome.com.tw/article/155042" target="_blank">《展望2023》</a>封面故事中，我們的醫療IT主編王若樸即以「<a href="https://www.ithome.com.tw/news/155031" target="_blank">生成式AI應用大爆發，從企業商用走入更多個人端工具</a>」為題，點出這股新浪潮，沒想到2月OpenAI實驗室推出的ChatGPT風靡全球，所有人都在討論、測試、體驗生成式AI帶來的各種應用，也因為其影響力越來越大，為了幫助大家了解這項議題，我們這兩期陸續製作《<a href="https://www.ithome.com.tw/article/155858" target="_blank">ChatGPT能與不能</a>》，以及《<a href="https://www.ithome.com.tw/article/155981" target="_blank">企業如何上手ChatGPT</a>》。</p> <p>以投資OpenAI、被視為這一波AI最大受益者的微軟，2月初推出以ChatGPT強化的新版Bing搜尋引擎、Edge瀏覽器，開放大眾試用。而身為在雲端服務、AI、軟體領域技術創新能力的Google，也在這段期間展示他們發展的實驗型對話AI服務Bard，背後採用的大型語言模型是基於他們開發的LaMDA模型。以短短一個月後的現在來看，這一輪兩家大廠的發表，微軟可說是大獲全勝，佔盡全球所有媒體的版面，而且，不論是各領域專家或一般個人，都在社群媒體發表他們與ChatGPT互動的心得，各種廠商也爭相沾光，希望能夠分食這塊市場大餅。</p> <p>而在3月中，Google宣布他們針對辦公室文書處理應用、軟體開發領域下手，釋出他們的生成式AI功能。就辦公室應用而言，Google Workspace系列服務裡面目前已導入部分AI功能，像是Gmail的智慧撰寫、Google Docs的自動產生摘要，而他們在3月中這次的發布中，提到將提供全新的生成式AI功能。</p> <p>舉例來說，在上述兩種服務中，使用者可輸入想撰寫的主題，系統就能馬上產生AI擬定的草稿。根據Google公布的操作過程動畫圖片，我們在本文編輯區會看到標示為「Help Me Write」的小功能區塊，只需在裡面輸入需要AI建立的內容主題，例如「寫一份招募區域銷售員的公告」（英文），按下建立（Create）按鈕後，AI會產生徵才公告範本，按下置入（Insert）按鈕後，會將這些內容貼入本文，我們再進行修改，例如，填入公司名稱。</p> <p>而在Google Workspace的YouTube頻道中，他們也公布一支特色簡介影片，呈現更多生成式AI輔助製作文件。以Gmail而言，這裡展示在多封電子郵件來回溝通之後的最底部，AI會產生一份對話摘要，若要簡單回覆自己正在進行的意見，並以更禮貌、親切的方式表達時，這裡也提供類似上述「Help Me Write」的AI命令列，我們可以輸入「I’m on it」，AI會產生兩段內容表達目前狀態，讓你能夠輕鬆、快速完成回信，而不會被對方認為自己很粗魯、懶於回信。</p> <p>若想要將這些透過電子郵件互動的過程寫成一份簡介報告，Google Workspace也可以透過AI產生文件，如果想要讓特定段落的內容變得靈活、多一些趣味變化，可自行輸入口語詞彙來要求AI調整敘事風格、加入彩色圖像化符號。</p> <p>在製作活動簡報時，使用者可在Google Slides網頁介面右側要求AI產生多種圖片，方便搭配；透過Google Meet進行線上視訊會議時，可協助所有與會者產生一份速記，當中可顯示會中大家談論到的工作事項與下一步目標；製作與顧客連絡接觸的表格資料時，使用者可在Google Sheets的儲存格中，輸入活動訊息，之後，只需要以滑鼠對這一欄的儲存格按住、拖曳、下拉，即可針對表格中列出的所有顧客，快速而簡易地產生不同的招呼與促銷訊息。</p> <p>若要在智慧型手機上，對整個團隊寫一封感謝信，Gmail的行動App的信件編寫介面，也提供「Help Me Write」的AI命令列，我們可在此輸入要AI產生感謝整個團隊的信件草稿，之後可選擇不同風格以調整行文語氣。</p> <p>以軟體開發而言，Google這次也特別針對需要試驗AI技術的開發人員需求，推出PaLM API，希望提供簡易、安全的方式，使開發者在Google發展的語言模型上，進行應用程式的組建，同時，Google也將提供一套名為MakerSuite的工具，可透過直覺方式協助開發者快速建構原形概念，未來將會增設提示工程（prompt engineering）、合成資料產生（synthetic data generation），以及自定模型調校（custom-model tuning）等功能特色。</p> <p>在如此大動作回應之後，相信微軟與其他雲端、軟體大廠勢必要跟進，廣泛在各種領域結合、搭配、運用生成式AI，今年將有更多種應用進入我們的工作與生活。</p> <p class="rtecenter"><span style="font-size:18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);">相關報導 </span></span></strong></span><span style="color: rgb(255, 255, 255);"><strong> </strong></span><span style="font-size: 20px; color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/155981" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1121-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=Gb2Zc5-F" style="width: 550px;" /></a></p> <p class="rteright"><span style="color: rgb(255, 255, 255);"><strong><a href="https://www.ithome.com.tw/article/155858" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1120-feng_mian_gu_shi_-p1_open-960x420_gong_zuo_qu_yu_1-v2.jpg?itok=icMzhzQI" style="width: 550px;" /></a></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2023/3/17 11:48作者李宗翰https://www.ithome.com.tw/voice/155984
LockBit駭客宣稱駭得SpaceX產品設計藍圖，威脅馬斯克贖回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體LockBit背後的駭客組織宣稱，經由駭入航太業者SpaceX的供應商，取得SpaceX產品設計藍圖，並威脅馬斯克贖回，否則將出售他人。</p> <p><a href="https://mobile.twitter.com/AlvieriD/status/1635376556003713026" target="_blank">安全研究人員Dominic Alvieri發現</a>，LockBit駭客在地下網路論壇張貼訊息，表示他們從SpaceX的供應商Maximum Industries竊得3,000份SpaceX的產品設計圖，要求SpaceX要在3月20日前出手贖回，否則將賣給其他人。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-LockBit-ransomware-SpaceX-image%20by%20Dominic%20Alvieri.png" style="width: 249px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://mobile.twitter.com/AlvieriD/status/1635376556003713026" target="_blank"><span style="color:#696969;">Dominic Alvieri</span></a></span></p> <p>Maximum Industries是位於德州的金屬銑削、CNC加工的外包商。LockBit駭客顯然是向Maximum Industries勒索得不到回應，轉而公開兜售，並藉此羞辱這家外包商。</p> <p>駭客表示，相信這批資料很快就會找到買家，他們同時張貼了一段給SpaceX執行長馬斯克（Elon Musk）訊息，說可以幫忙他把設計圖出售給其他製造商，以更快打造出太空船。</p> <p><a href="https://www.theregister.com/2023/03/13/lockbit_spacex_ransomware/" target="_blank">駭客聲稱</a>手上有3,000份SpaceX的設計圖，不過尚無法證實其說法。目前馬斯克及Maximum Industries皆未回應此事。</p> <p>LockBit近年相當活躍，LockBit 2.0版是去年上半年為害最多的勒索軟體之一。去年下半還陸續感染國防安全技術供應商<a href="https://www.ithome.com.tw/news/154000" target="_blank">Thales</a>、日本科技業者<a href="https://www.ithome.com.tw/news/153685" target="_blank">大宮化成</a>、銷售馬牌輪胎知名的汽車零件大廠<a href="https://www.ithome.com.tw/news/154053" target="_blank">大陸集團</a>。臺灣的鴻海及<a href="https://www.ithome.com.tw/news/155693" target="_blank">飛宏科技</a>也都曾身受其害。</p> </div></div></div>
2023/3/17 12:03作者林妍溱https://www.ithome.com.tw/news/155985
【不只解圖還能看手繪草圖生成對應網頁程式碼】多模態的新版GPT-4來了，同時輸入圖文是新特色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在付費API服務釋出剛滿2周，OpenAI就大動作發表了多模態的GPT-4模型，最大變革是可以同時輸入文字和圖片。OpenAI共同創辦人Greg Brockman在直播中展示，拍攝他在筆記本上手繪的設計草圖輸入GPT-4後，GPT-4能自動生成對應網頁的程式碼，不只畫面幾乎和手繪草圖一樣，還能產生按鈕和對應的事件觸發JavaScript程式，他強調，這會大大改變網站設計模式。</p> <p>GPT-4目前先開放ChatGPT付費用戶試用，也在OpenAI API支援模型中，開放限定對象選用。已經有少數企業或組織開始試用，例如全球最大財富管理公司摩根士丹利財管，冰島政府，Stripe支付平臺、可汗學院、Duolingo語言學習平臺、Be My Eyes視障者輔助App等，而2月發表的微軟新版Bing用的模型也是GPT-4新版。</p> <p><span style="font-size:28px;"><strong>可輸入圖文，回答正確率超過3.5</strong></span></p> <p>GPT-4最大特色是不只文字對話還能輸入圖片，讓AI來解讀，而且解答能力和正確率大幅超越了GPT-3.5，也更能控制GPT輸出人設來符合企業想要的的形象，輸入Token數量也將大幅增加到32,768個，相當於50頁文字。目前先開放了文字輸入API功能，ChatGPT Plus付費用戶可優先排入試用新版。圖片輸入功能目前則只開放給特定合作夥伴。</p> <p>GPT-4是一個多模態AI超大模型，可接受圖片和文字輸入，來生成文字的回覆，可以提供人類等級的回答內容。根據OpenAI實測，在全美統一律師資格考檢定上，3.5只能拿到倒數10%的名次，但GPT-4卻能拿到前10%的高分。或像是在SAT數學測驗或GRE測驗等三十多項不同學科的主流檢定測驗上，GPT-4都大勝3.5版。</p> <p>Open AI花了6個月時間，利用ChatGPT和其他多項對抗式測試計畫來調整，終於打造出答案更真實、更可操控和更能防範濫用的新一代GPT-4。</p> <p>雖然GPT-4和3.5版的訓練資料同樣都只使用到2021年9月為止的開放網路資料，但是4.0版模型在多項傳統機器學習能力評比上，都超越了3.5版，在多項模型評比上都達到SOTA等級。尤其在14,000題的多選題測試MMLU（理解力）評比上，OpenAI宣稱，GPT-4英文答題的正確率達到80.5%，高於3.5版的70.1%，甚至也高於Google日前的PaLM模型英文答題的69.3%正確率，不過，PaLM答題正確率是OpenAI自行實測的結果，而非Google官方數據。值得注意的是，GPT-4對翻譯成中文版的MMLU答題正確率也達到了80.1%，日語和韓語版也都有70～80％的正確率。</p> <p>除了答題能力更正確之外，第4版最大特色是能看圖，而且可以同時輸入指定圖片和圖片，GPT-4會以文字來解釋圖片內容，並且符合文字任務的要求。輸入的圖片可以是照片、圖表或螢幕解圖。未來，GPT-4還將持續強化解圖能力，例如可以輸入多組圖片範例，或是提供分解動作解釋的解圖（chain-of-thought）能力。</p> <p>不過目前圖片輸入功能還處於研究者預覽版本，沒有對外開放，OpenAI也沒有透露開放時程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961%E5%B1%95%E7%A4%BA1%E8%A7%A3%E9%87%8B%E5%9C%96%E7%89%87.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> GPT-4展示1：摘要圖片重點 </span></span><span style="color:#3399ff;"> </span><span style="color:#696969;">可以從多張圖組合的畫面中，一一介紹每一張圖各自的重點和特色，如上面3張不同角度的VGA連接線圖片中提供產品說明。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／OpenAI</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%B1%95%E7%A4%BA2%E5%88%86%E6%9E%90%E5%9C%96%E8%A1%A8.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> GPT-4展示2：</span></span></strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">解讀圖表趨勢 </span></strong></span><span style="color:#3399ff;"><strong> </strong></span><strong style="color: rgb(105, 105, 105);">可以輸入圖表讓GPT-4解讀每張圖表中呈現的數據趨勢變化，甚至可以進一步比較不同項目之間的數據差異。</strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%B1%95%E7%A4%BA3%E7%9C%8B%E5%9C%96%E7%AD%94%E9%A1%8C.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> GPT-4展示3：</span></span></strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">看圖分解動作答題 </span></strong></span><span style="color:#3399ff;"><strong> </strong></span><strong style="color: rgb(105, 105, 105);">可以看圖來回答試卷紙上的考題，不只給出正確答案，而且可以分解動作，說明如何一步步從圖中資訊來解答問題。</strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p><span style="font-size:28px;"><strong>可操控性強，能指定GPT-4扮演的角色來限定人設</strong></span></p> <p>另一個值得注意的新版特色是GPT-4的可操控性（Steerability），可以透過輸入的提示或微調模型，來指定GPT-4的角色人設，例如回答的用語、風格、語調等條件，以便限制GPT-4的回覆行為。例如在OpenAI API中使用System角色參數，來要求GPT-4扮演不能直接回答答案的數學課輔老師，在OpenAI釋出的展示範例中可以看到，不管學生怎麼問，甚至輸入特殊提示指令試圖越獄，也都無法得到直接的答案。這個新功能可用來限制和控制GPT-4所能回答的限制，可供企業用來設定想要GPT-4回答的內容範圍，或者禁止回答的內容。</p> <p>為了防範AI模型遭到濫用，OpenAI在GPT-4模型中也特別針對AI濫用或不當使用進行強化，根據OpenAI公布的實測數據，gpt-3.5-turbo對敏感指令（例如違反倫理的指令）的攔截失誤率超過40%，但GPT-4降到20％出頭，等於5次會誤判一次，或不良行為指令的阻擋失誤率更不到5%（如犯罪行為教學等）。</p> <p>還有一個企業用戶最在乎的新功能是，GPT-4大幅放寬了輸入Token的上限，最大放寬到32K，比GPT-3.5的4k上限，多了8倍，達到32,768個Token之多。以每千次中文約700個Token來估算，32k的Token等於可以輸入超過2萬字中文的內容。</p> <p>不過，目前開放的GPT-4版本只提供8K版本，也就是比原本3.5多了一倍，達到8,192個Token，32K版引擎目前先開放特定對象試用。不過，目前GPT-4效能只達到每分鐘處理40K個Token或每分鐘200次呼叫的能力，OpenAI正在持續優化中，改善後才會擴大開放API試用的用戶規模。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155981" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/155981" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1121-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=Gb2Zc5-F" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/3/17 10:46作者王宏仁https://www.ithome.com.tw/news/155980
企業如何上手ChatGPT
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1121-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=Gb2Zc5-F" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在3月1日正式跨入企業應用市場，釋出ChatGPT背後GPT-3.5版的付費API服務，微軟Azure也跟進，提供更企業需求等級的OpenAI服務，吸引了不少大型企業的青睞。3月中，新一代GPT-4模型問世，不只文字，還能輸入圖片，帶來了生成式AI更多種企業應用的可能</p> </div></div></div>
2023/3/17 10:50未署名https://www.ithome.com.tw/article/155981
企業擁抱ChatGPT技術要知道的10個QA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月1日，OpenAI正式跨入企業應用市場，釋出了ChatGPT背後GPT-3.5版模型的付費API服務，也跨進了更多企業對話式應用情境，從搜尋、問答、客服、導覽到語音操控等。</p> <p>不到2周，新一代GPT-4模型問世，不只文字，還能輸入圖片，帶來了生成式AI更多種應用的可能，不只是回答問題，還可以解釋圖片、看圖答題，或是分析圖表趨勢，甚至，只要輸入一張手繪的網站設計草圖，GPT-4就能自動生成對應網頁的程式碼。不只國外企業，臺灣金融業、製造業、政府和教育機構都躍躍欲試，想要開始採用ChatGPT背後的超大語言模型技術。</p> <p>不過，企業擁抱GPT的考量，和個人使用截然不同，我們整理了10個企業擁抱ChatGPT技術要先知道的10個QA。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-OpenAI%E6%9C%8D%E5%8B%99%E7%8B%80%E6%85%8B.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">OpenAI的付費API沒有提出服務可用性的保證，根據其服務狀態儀表板來看，API可用性約98~99％，每個月會中斷30～40分鐘。這是企業採用前要留意的事。</span></strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：GPT、ChatGPT、OpenAI和Azure OpenAI有何不同？</strong></span></span></p> <p><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> A </span></strong></span></span> <strong>這是上手ChatGPT技術前要先釐清的四個名詞，ChatGPT應用是爆紅的AI對話服務，背後所用的生成式AI模型就是GPT模型的3.5版本，而開發出ChatGPT應用的公司就是OpenAI，他們也在3月1日釋出了OpenAI的API服務，其中就包括了ChatGPT模型的API。而微軟則是將OpenAI的技術部署到Azure上來提供，也就是Azure OpenAI服務。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：OpenAI和Azure提供的ChatGPT技術API有什麼不同？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>在技術上，凡是OpenAI公司提供API功能或模型，微軟承諾會盡快跟進在自家Azure OpenAI服務上提供。兩者主要不同是，OpenAI公司的API傾向於研發、研究使用為主，而微軟則比照原本Azure公雲的服務等級，提供了更多資安強化（例如VLAN傳輸）、服務可用性承諾（例如99.9%的的SLA）、企業合規要求、顧客資料保護承諾、隱私機制、AI倫理機制等。另外，企業則可自助申請快速啟用OpenAI的付費API服務，但Azure OpenAI目前則採審查申請制，需等待一段時間審查才能開通。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：企業可以使用哪些OpenAI生成式模型？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>OpenAI目前可以提供最新多模態的GPT-4（限定測試版）以及ChatGPT所用的GPT-3.5版模型，以及GPT-3模型，另外還提供了圖片生成式模型DALL·E （測試版）、語音轉文字的Whisper模型（測試版）、程式碼生成模型Codex（限定測試版）、過濾敏感資料的微調模型Moderation，還有一個適合用於企業內部運用的Embeddings模型API。不過，這些模型都是公版的基礎模型（base-model），企業若希望模型能更佳客製化，需要進行模型微調（Finetune）或是輸入提示（Prompt）來引導。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：提示和微調有什麼不同？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>ChatGPT可以輸入提示文字（prompt）來引導ChatGPT產生的內容，越來越符合使用者預期的需求，同樣也可以用於OpenAI的API，甚至出現了「AI提示工程師」（Prompt Engineer）或者更詩意的「AI詠唱者」說法，只要提問的問題問得好，就越能得到更貼切的答案。</strong></p> <p><strong>但是，輸入提示給基礎模型，不會改變基礎模型本身的權重。因此，每一次都要重新輸入提示文字才能得到想要的答案。若要建立客製化的模型，企業得改用微調（Finetune）的方式，輸入一批自己的資料，來調教OpenAI提供的基礎模型，產生自己的客製化模型。不過，目前OpenAI還沒有開放GPT-3.5和GPT-4的微調，只能透過提示工程來進行客製化。另外，微調也不是重新訓練整套GPT模型，而是針對使用者提供的少量數據來改變部分參數的權重（或者可以說是加上一個屬性模型），讓模型輸出的結果更符合使用者的期待，因此，微調模型不需要龐大訓練資料，也不需要像重新訓練那樣費時及龐大成本。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：為何要計算Token? 一次最多上傳多少字？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>當輸入一段文字到API後，OpenAI會抽取這段文字中的詞或概念（類似斷詞），將文字轉換成一個個Token。以中文字來說，平均一千個中文字約有600～700個Token不等，但還要看文字內容而定。OpneAI的API上傳限制就是按照Token數量來計算，例如 GPT-3.5模型的上限是4K個Token，而GPT-4則增加了四倍，最大到32K個（不過，目前只開放特定用戶）。Token也是OpenAI API的計價單位，以對話用的gpt-3.5-turbo的API來說，每千個Token要價0.002美元，而最新的GPT-4的32K引擎版本則每千個Token要價0.12美元，後者貴了60倍。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：什麼是Embeddings模型？有什麼用途？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>不同於GPT-4或GPT-3.5是生成媲美人話的文字來回覆使用者，Embeddings模型是將輸入的文字轉換成一個浮點數值的嵌入向量（Embeddings Vector），當兩段文字的向量距離越近（可透過向量計算得到），就代表了這兩段文字的關聯性越高。可以用於搜尋（比對一段話在一篇文章中的位置，或從一批文章找出最相關者）、分類用途（將相關性高的文章分成同一群）、尋找關鍵字（找出中一篇文章最相關的幾個關鍵詞）等。摩根士丹利財管公司就是利用Embeddings功能來搜尋和整理龐大知識資產。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：企業能不能下載模型到本地端部署？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>不能，不論是OpenAI或Azure都沒有提供GPT-3.5或GPT-4的本地端部署，企業只能將資料上傳到雲端API。透過微調產生的客製化模型，也只能儲存在雲端，透過API呼叫來使用，無法下載部署。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：OpenAI將資料儲存在哪？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>目前全都儲存在Azure美國機房，微軟的Azure OpenAI服務也是。所以，對臺灣企業而言，等於是境外服務。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：企業上傳的資料會不會變成訓練資料？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>企業上傳到OpenAI的資料可分為兩類，一類是每次輸入的提示文字或問題，另一類是用來微調模型的數據。OpenAI承諾從3月1日後不會用這些提示文字資料來訓練（代表之前會），不過，企業可選擇願意授權給他們用於訓練。對於第二類，OpenAI保證只會用於顧客自己模型的微調，不做他用。微軟則比照Azure政策，不會私自使用顧客上傳的資料也不會賣給第三方。不過，不論是OpenAI或微軟，對於輸入的第一類提示文字則會保留30天，以供敏感資料的真人審查之用。</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Q：為何需要真人審查？企業能不能拒絕？</strong></span></span></p> <p><span style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A </span></strong></span></span> <strong>GPT-4目前只能過濾8成敏感內容（不當指令攔截可超過95%但並非100%），而gpt-3.5-turbo甚至不到6成，因此，OpenAI在特定情況下會由少數獲得授權的真人來審查有疑慮的內容，微軟Auzre OpenAI服務也是如此，不過，微軟也提供企業可以專案申請免除真人審查。</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%9C%9F%E4%BA%BA%E5%AF%A9%E6%9F%A5%E6%B5%81%E7%A8%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></strong></p> <p><strong><span style="color:#696969;">不論是OpenAI或微軟，對於企業輸入的提示文字會保留30天，以供敏感資料的真人審查之用。不過，微軟開放企業專案申請免除真人審查。</span></strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2023/3/17 09:52作者王宏仁https://www.ithome.com.tw/news/155973
【微軟專家剖析企業採用關鍵考量】Azure OpenAI導入前得先知道這4件事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI推出ChatGPT API的一周後，微軟即在自家Azure OpenAI服務推出企業級ChatGPT 模型的API。Azure OpenAI原本已經有DALL-E、GPT-3、Codex等大型生成式AI模型API的存取選項。微軟大中華區Azure BG資深市場策略經理陳婉瑜表示，自Azure OpenAI開放申請使用的一個多月以來，不僅受到多國企業關注，也有臺灣企業看到生成式應用價值。國外企業申請以遊戲業和零售業最為熱烈，臺灣則是製造、金融、政府、教育等產業的企業或機構較多。</p> <p>陳婉瑜表示：「OpenAI的服務傾向研究和實驗使用，Azure OpenAI則注重商業上的可用性。」企業用戶在應用ChatGPT等生成式AI時，必須比一般使用者謹慎，因此Azure的OpenAI服務，雖然技術與OpenAI服務基本相同，但設計了更多瞄準企業需求的機制。</p> <p><span style="font-size:28px;"><strong>重點1：企業應了解OpenAI的服務可用性及運算資源限制是否符合需求</strong></span></p> <p>根據OpenAI服務狀態網頁，網頁版ChatGPT和ChatGPT API的每個月的服務可用時間都在98%至99%間浮動。雖然對於個人級別的使用場景而言，1個月中有只有14個小時不能使用ChatGPT並不會造成太大困擾，但對企業來說，若服務中斷於流量高峰期等關鍵時刻，就可能帶來巨大損失。</p> <p>OpenAI沒有對ChatGPT的服務可用性作出任何承諾，因此企業難以衡量服務中斷的風險。微軟Azure OpenAI則提供了服務水準協議（Service Level Agreement, SLA），保證提供99.9%服務可用性，這也適用於ChatGPT模型的API。換句話說，平均1個月最多只會有40分鐘的服務中斷時間。有了SLA，企業更容易評估服務中斷的風險，也能根據SLA來設計對應的失效安全措施。不只如此，服務可用時間高達99.9%，代表企業將ChatGPT等AI模型應用到更多系統時，服務中斷的風險相比只有98%到99%可用性的OpenAI服務低上不少。這也有利於企業維運與顧客觀感有關或要求高度可用性的系統。</p> <p>除了可用性外，運算資源也是企業必須考量到的一大重點。根據Azure OpenAI官網，目前微軟版ChatGPT給企業用戶的預設運算上限是每個模型每分鐘接受300份請求、120,000個Token，每個資料中心區域（Region）能動用的基礎架構資源（Resource）上限為2份。也就是說，1個企業用戶每分鐘最多能送出600份請求、240,000個Token。當然，若企業要提升使用量，也能專案申請加價購買。不過這也意味著，企業應用ChatGPT及Azure OpenAI上其他模型時，須考量應用場景和規模，以免造成請求量過載，或成本超出預期。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%88%E8%8F%AF-%E5%BE%AE%E8%BB%9F-%E5%9C%962.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">Azure OpenAI版的ChatGPT介面。與OpenAI推出的ChatGPT API一樣，使用者可以調整Temperature、Top Probabilities、最長Tokens長度等參數，來控制ChatGPT輸出回覆的傾向。</span></strong></p> <p><span style="font-size:28px;"><strong>重點2：企業應了解如何防範不當內容及控管資料存取權限</strong></span></p> <p>在開始應用ChatGPT等生成式AI前，企業必須先客製化AI模型，將企業內部資料或業務邏輯輸入AI模型。企業客製化AI模型時，一種常用方法是微調（Fine tune）。台灣微軟技術架構師黃耀逸解釋，微調的原理是改變回覆字句的權重，讓AI有更高機率回答出貼近企業需求的答案。不過，自ChatGPT問世以來，網路上已經流傳著許多案例，證明讓AI做出不恰當或不雅的回覆，是相當容易的事。</p> <p>因此，黃耀逸建議，在微調模型時，不只要將希望AI回答的字句訓練進去，還要同時規範AI不應回答的內容，也就是將不當字句的回覆權重調低。同時，微軟的Azure OpenAI服務也內建內容過濾器，排除情色、暴力、歧視、仇恨言論等內容。</p> <p>企業另一項常見需求是，為了符合不同角色工作需求或保護企業高敏感度資料，必須依照身分來區分AI對使用者輸出的內容，例如基層員工不能從AI問出企業高層才有權限取得的營業資料。因此，企業不論是將生成式AI整合到對外溝通工具，還是用於營業數據分析、知識管理等內部用途，都有必要控管回覆內容。</p> <p>黃耀逸說，Azure OpenAI可以整合企業既有Azure AD身分管理服務服務，來辨認詢問者身分。企業可以先設定不同內容過濾器，甚至微調出不同版本的模型，例如一個基層員工模型、一個高層主管模型，再要求Azure OpenAI依照詢問者身份，根據權限來過濾特定問答，或切換到對應的模型。</p> <p><span style="font-size:28px;"><strong>重點3：企業應了解OpenAI問答內容有可能經過人工審查</strong></span></p> <p>OpenAI版的ChatGPT會保留問答內容30天，以便在需要時，人工審查不當內容。儘管OpenAI強調，不會將這些資料用來訓練自家模型，但對企業來說，既然資料會在自己無法控管的環境中保留，還有可能遭真人存取，難免會擔心敏感資料外洩。</p> <p>微軟版ChatGPT則多了一些彈性。陳婉瑜表示，原則上微軟也會保留問答資料30天，若自動內容過濾機制難以判斷內容是否合乎規範，就會調出資料來人工審查。不過，考量到有些企業對於資料保護的需求，微軟接受企業申請免除審查，以降低資料外洩風險。目前申請通過的情況依個案情況而定，沒有明文規定豁免審查的細項條件。</p> <p>資料傳輸方法上，Azure OpenAI服務可以透過私有網路VLAN傳輸資料，企業還能以自有私鑰來加密傳輸過程，安全性較高。相較之下，企業使用OpenAI服務時，是透過一般網際網路的加密協定來上傳資料，因此傳輸過程的安全性較低。</p> <p><span style="font-size:28px;"><strong>重點4：Azure策略是快速跟進OpenAI主要模型重大更新</strong></span></p> <p>陳婉瑜表示，未來微軟與OpenAI的模型更新會盡量同步。若OpenAI的主要模型有重大更新，Azure OpenAI也會盡快跟進。舉例來說，OpenAI 3月1日發布了使用GPT-3.5-Turbo模型的ChatGPT API，微軟同月8日就跟上了。她並強調，考量到企業用戶對穩定性的需求更高，微軟只會跟進重大版本更新，重大版本間的小型更新則不一定會跟上。</p> <p>陳婉瑜補充，雖然新模型發布時間較OpenAI晚，但Azure OpenAI服務會和Azure許多服務高度整合，是OpenAI版較難做到的，例如和Azure虛擬網路運行環境VNet中的各式服務整合，或是結合Azure AD，來控管使用者的問答權限。</p> </div></div></div>
2023/3/17 10:06作者郭又華https://www.ithome.com.tw/news/155974
深度學習函式庫PyTorch 2.0正式發布，帶來高效能Transformer API與模型編譯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PyTorch基金會如去年底所公開的資訊，現在<a href="https://pytorch.org/blog/pytorch-2.0-release/">正式發表PyTorch 2.0</a>，增加了一個主要版本號，代表著功能有著巨大變化，這個版本的重要更新包括加入穩定版Accelerated Transformers，以及新的編譯器torch.compile Beta測試版，並且改進PyTorch在GPU和CPU上的推理和訓練效能。</p> <p>開發團隊在PyTorch 2.0增加新的PyTorch Transformer API，這個全新的Accelerated Transformers高效能實作版本，讓開發者能夠以更低的成本訓練和部署先進Transformer模型。Accelerated Transformers的前身稱作Better Transformer，藉由使用自定義的核心架構，在訓練和推理中使用SPDA（Scaled Dot Product Attention）自注意力方法，以獲得更好的效能。</p> <p>過去Better Transformer應用Fastpath方法，Fastpath是深度神經網路的剪裁策略，透過剪去不必要的連接和神經元，減少模型複雜度，以達到壓縮神經網路大小與提高推理速度的目的，而SPDA則是自注意力機制的注意力計算方法，SPDA會計算序列中每個元素和其他元素之間的注意力分配權重，減少權重低的運算來降少整體運算量，而且因為計算方法的優勢，SPDA不只高效計算精度也更高。</p> <p>這項改進讓PyTorch 2.0開發者可以明顯看到運算效能提升，也能夠支援諸如使用Cross-Attention的模型、Transformer Decoders等更多種用例。針對不同的模型和Transformer使用案例，PyTorch 2.0支援不同的SDPA自定義核心，使得不同模型和硬體都能應用高效能核心。</p> <p>PyTorch 2.0的另一個更新重頭戲便是torch.compile，這是PyTorch 2.0的主要API，能夠打包用戶的模型並且回傳經過編譯的模型。torch.compile完全向後相容，底層採用TorchDynamo、AOTAutograd、PrimTorch和TorchInductor四大重要技術，在163個開源模型中，torch.compile能夠成功執行其中93％，在float32資料類型下，torch.compile可使模型執行速度提升20％，而且在自動混合精度技術（AMP），這種組合不同精度的資料類型提高運算效率的方法，torch.compile還可讓模型速度提高36％。</p> <p>整體來說，torch.compile是一種高效能編譯器，不只可正常執行大多數的開源模型，還可以明顯提升模型在不同精度下的執行速度。</p> <p>另外，Apple高效能圖形運算函式庫Metal Performance Shaders（MPS）後端也增加PyTorch在Mac平臺的支援，新加入60個常用操作，總支援操作數增加至300個。AWS搭載自家晶片Graviton3的C7g執行個體，也最佳化了PyTorch的CPU推理，與之前的版本相比，PyTorch 2.0在Graviton的推理效能更好，包括Resnet50和Bert模型都受益。</p> </div></div></div>
2023/3/16 17:00作者李建興https://www.ithome.com.tw/news/155968
AWS更新自家Linux發行版發布Amazon Linux 2023
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在釋出<a href="https://aws.amazon.com/tw/blogs/aws/amazon-linux-2023-a-cloud-optimized-linux-distribution-with-long-term-support/">Amazon Linux 2023</a>，這是第三代Amazon Linux發行版，同時支援x86_64和Arm兩種機器架構，並且各分為標準與小型兩種版本，總共有四個Amazon Linux 2023 AMI。小型AMI僅包含可用於啟動作業系統的基本工具和公用程式，而標準版則包含了常用的應用程式和工具。</p> <p>官方提到，Amazon Linux 2023針對雲端設計且提供長期支援，具有高安全性、生命周期可預測性和體驗一致性三項優點。Amazon Linux 2023包含預配置安全政策，使用戶可以簡單地實施通用產業準則，在啟動和執行時就可簡單配置這些政策。</p> <p>另外，用戶還能夠簡單規畫Amazon Linux 2023作業系統生命周期，AWS每兩年會推出一個新的Amazon Linux主要版本，主要版本擁有新功能，並且改進整個堆疊安全性和效能，改進包含核心、工具鏈、GLib C、OpenSSL與其他函式庫等。</p> <p>每個主要版本都有5年的長期支援，並分為前兩年與後三年兩階段。在前兩年每三個月官方會發布一次更新，包括安全性和錯誤修復，以及新功能和軟體套件，因此也會有最新的語言Runtime，還有Ansible、Docker等其他熱門的軟體套件，除了季度更新之外，安全更新則會在可用時立刻發布。經過前兩年更新後，後三年會進入維護期，AWS提供安全漏洞和錯誤修復。</p> <p>而Amazon Linux的版本化儲存庫，提供了用戶確定性更新，這種更新機制鎖定特定版本的Amazon Linux套件儲存庫，使用戶可以控制更新的方式和時間，與Amazon Linux 2不同的是，Amazon Linux 2023使用套件管理器dnf，其預設行為不會像是Amazon Linux 2中的yum一樣，dnf更新命令並不會更新用戶安裝的套件。</p> <p>官方提到，這種機制能夠確保用戶整個機隊使用相同的軟體套件版本，因此所有使用AMI啟動的EC2執行個體，都會使用相同版本的套件。確定性更新也能夠確保基礎設施不可變，當用戶需要更新時，便能夠更新基礎設施即程式碼腳本，重新部署新的基礎設施，或是將dnf指向新的套件儲存庫，也能夠直接更新Amazon Linux 2023發行版本。</p> <p>AWS在2021年底的時候，發布消息表示Amazon Linux 2022將會使用Fedora作為上游發行版，這次在發布Amazon Linux 2023時，AWS便特別提到Fedora，表示新版本使用包括來自Fedora 34、35和36版本的套件，部分與Fedora中的相同另有部分經過修改，還有一些與CentOS Stream 9的元件類似，並也有獨立開發的套件。Amazon Linux核心則來自於kernel.org，獨立於Fedora的核心。</p> </div></div></div>
2023/3/17 08:11作者李建興https://www.ithome.com.tw/news/155970
Docker要Free Team層級使用者一個月內付費不然凍結帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Docker向之前Free Team組織用戶，透過電子郵件通知舊的免費訂閱層即將終止，信中表示Free Team組織訂閱層級包含許多付費Docker Team訂閱層級的功能，因此要求舊版Free Team組織必須要在4月14日前暫停存取私有儲存庫等付費功能，並且升級到付費訂閱層級。</p> <p>官方在信中還提到，如果用戶不升級訂閱，Docker將會在30天後刪除該帳戶資料。雖然在這段期間用戶仍可以存取公開映像檔，但是卻會受到存取速度限制。</p> <p>有不少開源專案正採用Free Team組織訂閱層級，因此一旦Docker刪除這些專案的帳戶資料，將會破壞開源專案的持續整合工作管線。不只<a href="https://github.com/mamba-org/micromamba-docker/issues/276">Micromamba專案映像檔維護者Will Holtz反應這個問題</a>，<a href="https://github.com/docker/hub-feedback/issues/2314">Dokku專案維護者Jose Diaz-Gonzalez也對該信件內容感到困惑</a>，因為Dokku僅將Docker Hub用於Dokku專案相關的映像檔，Dokku專案專案並未使用私有儲存庫，且信中也未提供轉換至付費帳號的途徑。</p> <p>Docker資訊不明的信件，讓不少開源專案維護者無所適從，<a href="https://github.com/docker/hub-feedback/issues/2314#issuecomment-1468574145">Docker產品團隊的工程師Yavor Georgiev則出來回應</a>，Docker的DSOS（Docker-Sponsored Open Source）計畫服務開源專案，因此開源專案將不受Free Team方案終止的影響，正在申請DSOS計畫的開源專案，帳戶和資料也不會遭到停用或是刪除，至少會給組織30天的轉移時間。另外，Yavor Georgiev也強調，即便組織被停用和刪除，命名空間也不會釋出，因此組織無需搶用之前的命名空間。</p> <p>但顯然Docker也尚未完全確定該項政策的執行方式，因為Yavor Georgiev希望社群可以繼續對該項計畫提供回饋，他們會根據社群的意見調整之後的作法。而且Docker目前也沒有回答，當Free Team層級的專案最後沒有升級為付費專案，也沒有通過DSOS申請，那公開儲存庫中的資料是否將會真的被刪除。</p> </div></div></div>
2023/3/17 08:15作者李建興https://www.ithome.com.tw/news/155971
微軟正式發布VS Code多語言筆記本擴充套件Polyglot Notebooks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式推出可用於VS Code的多語言筆記本擴充套件<a href="https://devblogs.microsoft.com/dotnet/announcing-polyglot-notebooks-harness-the-power-of-multilanguage-notebooks-in-visual-studio-code/">Polyglot Notebooks</a>，所使用的引擎為.NET Interactive，目前支援包括C#、F#、PowerShell、JavaScript和SQL等多種程式語言，讓資料科學家能夠簡單執行跨語言任務，像是使用SQL查詢SQL Server資料庫，並將表格結果共享至JavaScript和HTML，創建互動視覺化。</p> <p>Notebooks是一種方便使用的互動式程式開發工具，可用於執行程式碼、視覺化資料、執行方程式，或是編寫純文字，Notebooks的特性是讓使用者能以增量的和分段的方式，執行單元格內的程式。</p> <p>最有名的Notebooks來自Jupyter專案，多數人會結合Python和Jupyter Notebooks一起使用，快速迭代程式碼，以創建具有文字和資料視覺化的內容，也可成為學習程式語言，或快速製作概念原型的工具。而微軟所開發的Polyglot Notebooks，則進一步擴展Notebooks的優點，過去開發者要在Notebooks上使用多種語言非常麻煩，難以使用一般IDE語法突出顯示和自動完成等功能。</p> <p>Polyglot Notebooks擴充套件使用由.NET技術，所開發的.NET Interactive引擎，由於該引擎可充當筆記本中不同程式語言的核心，因此使Polyglot Notebooks能夠順暢以多種語言進行開發，像是連接SQL Server資料庫和Kusto叢集，並使用SQL或是KQL編寫和執行查詢。</p> <p>開發者可在同一個筆記本中使用多種語言，並獲得良好的開發體驗，也不需要在使用多種語言時，於不同的工具間切換，當以一種語言完成工作時，開發者便可以將需要的變數共享給另一種語言，繼續在同一個檔案中進行開發。</p> </div></div></div>
2023/3/17 08:21作者李建興https://www.ithome.com.tw/news/155972
【資安日報】3月16日，AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假借提供破解軟體，並透過YouTube影片告訴觀眾如何下載相關檔案的名義，藉此散布惡意軟體的情況時有所聞，但最近這種類型的攻擊行動出現新的變化──駭客利用AI產生有人現身說法、透露如何操作的影片，一改過往錄下電腦桌面環境的操作影片的做法。這麼做的目的，就是透過「有人」現身說法，來拉近與觀眾之間的距離，進而讓他們卸下心防。</p> <p>除了上述的散布手法，惡意軟體的威脅態勢也值得我們留意──有雲端服務業者根據DNS流量分析，發現殭屍網路病毒Emotet東山再起，還有NAS惡意軟體QSnatch也藉此大肆發動攻擊，流量竟在2022年超越其他的惡意程式。</p> <p>不只是惡意軟體攻擊的態勢出現變化，挖礦攻擊也有新的招式，駭客疑似嘗試挖掘另一種名為Dero的數位貨幣，使得資金流量有可能變得更難追蹤。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cloudsek.com/blog/threat-actors-abuse-ai-generated-youtube-videos-to-spread-stealer-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AI產生的YouTube影片被用於散布竊密軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/640ea5cc12bf3283d48c4a39_jXh9O9oSD-JUG02Hi0UZo08vtrs_UbCodxkgoKc2S1iiQp8qo9knEdRiCQi5cXj9lXpH9jWbTheFTVg9bJiAnivPtyaY62Jb4OYmAH6oGk2-zDER2digXn7oNZ-gPnEEDCORIarKOiVsbwA79x1Kl1A.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/640ea5cc12bf3283d48c4a39_jXh9O9oSD-JUG02Hi0UZo08vtrs_UbCodxkgoKc2S1iiQp8qo9knEdRiCQi5cXj9lXpH9jWbTheFTVg9bJiAnivPtyaY62Jb4OYmAH6oGk2-zDER2digXn7oNZ-gPnEEDCORIarKOiVsbwA79x1Kl1A.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK揭露自2022年11月升溫的惡意軟體攻擊行動，駭客在YouTube上傳AI產生的影片，聲稱提供破解版Photoshop、Premiere Pro、Autodesk 3ds Max、AutoCAD等商業軟體，目的是要散布Raccoon、RedLine、Vidar等竊資軟體（Info Stealer），一旦使用者依照指示下載破解版應用程式，就有可能受害。</p> <p>研究人員指出，這類影片的數量，以每個月200%至300%的幅度成長，其中有部分是挾持熱門YouTube帳號來進行，目的是要在短時間觸及大量觀眾。特別的是，為了取信觀眾，駭客利用Synthesia、D-ID等AI影片產生平臺製作的情況有所增加。</p> <p><a href="https://www.akamai.com/blog/security/a-deep-dive-on-malicious-dns-traffic"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet再度死灰復燃、QSnatch攻擊在2022躍居首位</span></strong></a></p> <p>雲端服務業者Akamai針對每天7兆次DNS請求進行分析，對於殭屍網路病毒Emotet、NAS惡意程式QSnatch的攻擊態勢提出警告。他們指出在2022年7月至12月消聲匿跡的Emotet，近期有捲土重來的跡象──去年底出現大規模的攻擊行動。</p> <p>另一個值得留意的部分，在於QSnatch橫行的現象──研究人員在企業網路與C2網域連線的受害裝置裡，發現有36%與此惡意程式有關，其次則是Emotet（22%）。</p> <p><a href="https://www.crowdstrike.com/blog/crowdstrike-discovers-first-ever-dero-cryptojacking-campaign-targeting-kubernetes/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kubernetes叢集被用於挖礦，但駭客更換挖掘的數位貨幣為Dero</span></strong></a></p> <p>資安業者CrowdStrike揭露鎖定Kubernetes的挖礦攻擊行動，研究人員從今年2月，發現有3臺位於美國的伺服器遭到攻擊，但與大部分挖礦攻擊最為不同之處，在於駭客將這些伺服器用來挖取名為Dero的加密貨幣。</p> <p>研究人員指出，相較於相關攻擊常見的門羅幣（Monero），Dero的交易更為隱蔽，而且挖取此種加密貨幣的利潤較高，攻擊者將原本挖取門羅幣的工具加以改造，控制Kubernetes叢集的API，挖取這類數位貨幣。</p> <p><a href="https://www.mdsec.co.uk/2023/03/exploiting-cve-2023-23397-microsoft-outlook-elevation-of-privilege-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Outlook零時差漏洞的概念性驗證手法，說明極為容易用於攻擊</span></strong></a></p> <p>針對微軟在3月份例行更新（Patch Tuesday）修補的零時差漏洞CVE-2023-23397，資安業者MDSec公布概念性驗證（PoC）攻擊手法，研究人員根據微軟提供的指令碼進行解析，結果發現一旦攻擊者濫用PidLidReminderFileParameter、PidLidReminderOverride等參數，就有可能藉由帶有行事曆資訊（.MSG）的特製電子郵件，觸發漏洞並將收信人的NTLM雜湊資料轉送到特定伺服器，攻擊者再將相關資料用於NTLM中繼攻擊。</p> <p>研究人員指出，不只是行事曆，工作排程、便箋等功能都有可能被用於觸發上述漏洞。他們也透過影片，展示概念性驗證攻擊。</p> <p><a href="https://blog.eclecticiq.com/dark-pink-apt-group-strikes-government-entities-in-south-asian-countries"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南亞政府機關遭到駭客組織Dark Pink鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/KamiKakaBot-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/KamiKakaBot-1.png" style="width: 300px; float: right;" /></a>資安業者EclecticIQ揭露駭客組織Dark Pink的攻擊行動，駭客自2023年2月，利用名為KamiKakaBot的惡意軟體，鎖定東南亞國協（ASEAN）的成員國政府機關。</p> <p>駭客先是透過電子郵件夾帶ISO映像檔，此檔內含可執行檔Winword.exe、DLL程式庫MSVCR100.dll，以及嵌入KamiKakaBot的Word文件檔案。一旦收信人依照指示開啟Word檔案，攻擊者就會透過前述的DLL程式庫檔案側載KamiKakaBot，然後將其載入Winword.exe的處理程序，並在記憶體內執行。</p> <p>此惡意程式的功能在於，從瀏覽器竊取相關資料，然後使用命令提示字元遠端執行程式碼。最終，此惡意程式將竊得的資料打包成ZIP檔案，傳送給Telegram即時通訊機器人程式。研究人員指出，相較於1月發現的攻擊行動，KamiKakaBot的混淆手法較為複雜，更能迴避防毒軟體的偵測。</p> <p><a href="http://www.ic3.gov/Media/PDF/AnnualReport/2022_IC3Report.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">860個關鍵基礎設施在2022年遭到勒索軟體攻擊</span></strong></a></p> <p>美國聯邦調查局（FBI）在2022年，總共獲報2,385起勒索軟體攻擊事件，累計損失至少3,430萬美元。其中，有870件是針對關鍵基礎設施（CI）而來，數量最多的是醫療照護產業，有210起，其次是製造業的157起、政府機關的115起。</p> <p>而發動攻擊的勒索軟體家族，令人不意外最多的是LockBit，有149起，其次是BlackCat（Alphv）的114起、Hive也有87起。FBI指出，駭客入侵的手段包含了發動釣魚郵件攻擊、利用遠端桌面連線（RDP）相關工具，但利用軟體漏洞是駭客最常使用的方法。</p> <p><a href="https://www.checkpoint.com/press-releases/check-point-software-releases-its-2023-security-report-highlighting-rise-in-cyberattacks-and-disruptive-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年網路攻擊增加近4成，教育、研究單位是首要目標</span></strong></a></p> <p>資安業者Check Point針對2022年的資安態勢提出看法，他們發現網路攻擊的數量較前一年增加38%，每個組織平均一週遭遇1,168次攻擊，當中受害最為嚴重的是教育與研究機構，但值得留意的是，鎖定醫療機構而來的攻擊行動成長了74%。</p> <p>研究人員認為，2023年的資安威脅發展，有3個面向相當值得關注，分別是國家級駭客與一般駭客的界線更加模糊、勒索軟體攻擊更加著重於資料破壞或是外洩，以及鎖定雲端服務業者的供應鏈攻擊大幅成長。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.kali.org/blog/kali-linux-2023-1-release/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kali Linux發布10週年版本，著眼防禦安全領域</span></strong></a></p> <p>滲透測試工具Kali Linux於3月15日發布2023.1版，首度提供了名為Kali Purple的版本，強調針對藍隊或紫隊提供相關工具，可供相關人員學習、進行SOC分析、尋找威脅、從設計及測試實行安全控制、紅藍紫隊演練等。此版本具備開箱即用的SOC工具、超過100種的防禦工具、自動化攻擊指令碼產生器Kali Autopilot等。其中，防禦工具包含了全封包截取及分析軟體Arkime、網路加解密瑞士刀CyberChef、SIEM系統Elastic Security、弱點掃描工具GVM等。</p> <p>此外，開發團隊也針對行動裝置版Kali NetHunter，對於執行3種較新版作業系統的手機提供支援，包含了執行OneUI 5.0桌面環境的三星Galaxy S20 FE、搭載LineageOS 20作業系統的Motorola X4，以及執行LineageOS 18.1的LG V20。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-adobe-coldfusion-bug-exploited-as-a-zero-day/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA警告Adobe ColdFusion零時差漏洞已出現攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-selling-data-allegedly-stolen-in-us-marshals-service-hack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國法警局資料流入駭客論壇</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/healthcare-provider-ils-warns-42-million-people-of-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療照護業者ILS疑420萬人資料外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-claims-essendant-attack-company-says-network-outage-/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">文具用品批發商Essendant營運中斷傳出是遭到勒索軟體攻擊，但遭到否認</span></span></strong></a></p> <p><a href="https://gizmodo.com/amazon-ring-ransomware-gang-claims-hack-1850223835"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Amazon旗下的居家安全業者Ring傳出遭勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155951"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣個資外洩頻傳，消基會提個資修法三大建議</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月13日】資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</a></strong></p> </div></div></div>
2023/3/16 16:46作者周峻佑https://www.ithome.com.tw/news/155969
利用矽谷銀行事件的網釣與詐騙如雨後春筍般地湧現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>任何重大新聞事件都會惹來駭客的覬覦，不管是<a href="https://www.ithome.com.tw/news/155930" target="_blank">ChatGPT</a>或者是<a href="https://www.ithome.com.tw/news/155909" target="_blank">上周發生擠兌的矽谷銀行</a>（Silicon Valley Bank，SVB），<a href="https://isc.sans.edu/diary/Incoming+Silicon+Valley+Bank+Related+Scams/29630/" target="_blank">SANS網路風暴中心</a>（SANS Internet Storm Center）與<a href="https://blog.cyble.com/2023/03/14/svb-collapse-triggers-heightened-cybersecurity-concerns/" target="_blank">資安業者Cyble</a>明顯看到以SVB相關字眼註冊的網域名稱數量大增，另有駭客假冒為穩定幣USDC發行商Circle，企圖危害使用者的加密貨幣錢包。</p> <p>駭客大量註冊SVB相關網站是為了利用它們來展開網釣攻擊。根據SANS網路風暴中心的統計，原本平日僅有不到10筆使用SVB文字的相關註冊，但在SVB關閉（3/10）的隔天，單日註冊量即超過20筆，3月12日更達到50筆。</p> <p>這些新的網域名稱都是用來誘騙SVB關係人，或許是合作夥伴、投資人或存款人，SVB的官網網址為svb.com，各方駭客則註冊了login-svb、svbclaim、svbdebt、svb-usdc或svbank。駭客利用這些以假亂真的網址來進行商業電子郵件詐騙，寄送郵件要求SVB存款人變更帳戶資訊。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2023/03/Figure-5-%E2%80%93-Suspicious-site-claiming-to-pay-cash-on-claim-verification.png?resize=1024%2C563&ssl=1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Cyble</span></span></p> <p>因應SVB事件出現的網釣網站不僅假冒為SVB，也偽裝成USDC發行商Circle。</p> <p>USDC用戶遭到駭客鎖定的主要原因，為其發行商Circle存放了33億美元的USDC現金儲備於SVB，使得SVB的擠兌事件一度造成USDC與美元脫鉤，也讓USDC用戶急著贖回，<a href="https://www.circle.com/blog/an-update-on-usdc-and-silicon-valley-bank" target="_blank">一直到Circle宣布</a>，將在SVB於3月13日重新開張時，開放用戶以1:1贖回美元。隨後Circle也已安全地將所有現金儲備移轉至其它銀行。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2023/03/Figure-3-%E2%80%93-Crypto-Phishing-scam-impersonating-Circle.png?resize=1024%2C529&ssl=1" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Cyble</span></p> <p>近來加密貨幣市場的動盪再加上SVB的危機更讓駭客趨之若鶩，於是有<a href="https://twitter.com/threatinsight/status/1635448977209585666/photo/1" target="_blank">使用者開始收到謊稱來自Circle的電子郵件</a>，使用偽裝的Circle網域名稱，例如circle-reserves、redeemed-circle或svb-circle等，宣稱符合資格的用戶只要以加密貨幣錢包掃描QR Code就能免費獲得空投的USDC，然而，結果很可能是個資或加密貨幣遭竊。</p> <p>使用者除了應對可疑郵件具備高度警覺之外，要執行重大資訊變更或展開重要行動之前，最好可以藉由諸如電話等曾經建立的通訊管道與對方聯繫，而非僅透過電子郵件完成。</p> </div></div></div>
2023/3/16 16:23作者陳曉莉https://www.ithome.com.tw/news/155967
Cloud周報第169期：Google把生成式AI帶進Workspace，不只能整理Gmail郵件做摘要，還能自動潤稿…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（03/09～03/16）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Workspace </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Workspace將內建生成式AI，從Gmail和Google文件先推提供寫作輔助</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(8).png" style="width: 600px; height: 372px;" /></p> <p>日前，Google大動作推出5,400億參數PaLM模型打造的生成式AI開發工具，更宣布旗下雲端生產力應用Workspace將開始內建生成式AI功能，先從Gmail和Google開始提供寫作輔助，例如初稿撰寫或自動潤稿等。</p> <p>透過這個生成式AI功能，Workspace用戶只要在Gmail和Google文件中，輸入想要撰寫的主題，就能透過生成式AI自動生成對應該主題的內容，還可以使用它來幫忙把Gmail中與同事或其他客戶往返郵件做重點整理和摘要，再以此基礎來改寫信件或是請生成式AI依據提示來修改信件，再回信給所有人。</p> <p>使用Google文件寫作時，除了提供協作、校對、撰寫和重新編輯等，使用者也能提出想要的文體風格和調性，讓它重新編寫內容，生成出符合該風格的文章。甚至不只Gmail和Google文件，未來也能在Google簡報中利用生成式AI自動生成圖像、音訊和影片，或是在Google 試算表中自動分類或計算公式等。不過目前這項功能先開放給特定測試者試用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端CRM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce雲端CRM服務將開始內建整合OpenAI的生成式AI功能</span></strong></p> <p>雲端CRM巨頭Salesforce推出可用於雲端CRM的生成式AI功能Einstein GPT，可以根據企業CRM數據自動生成行銷內容、或安排會議與客戶互動，以及回覆顧客的提問等。因為整合了OpenAI，Einstein GPT也具有和ChatGPT相同的生成式對答能力，但是專用於CRM。</p> <p>Einstein GPT被Salesforce視為是Einstein AI下一代技術，目前在CRM平臺Customer 360中使用Einstein執行AI預測每天超過2千億次，但Salesforce認為Einstein GPT未來運用層面更廣也更多，像是在銷售上，就能透過Einstein GPT自動產出銷售任務，幫助銷售人員撰寫郵件發送給客戶，還能安排會議或準備下一次與客戶互動。由於整合了ChatGPT，也能把銷售人員與客戶在Slack 中的對話內容做成摘要並提供分析洞察，增加更多銷售機會。</p> <p>除了銷售能用，Einstein GPT還能根據雲端CRM系統中的數據，產生出能適合不同客群的行銷或廣告文案，方便行銷人員用於行銷活動吸引更多顧客，或是作為智慧客服回覆各種疑難提問，提高客戶滿意度。</p> <p>Einstein GPT結合企業版ChatGPT技術與Salesforce自己的AI模型，來提供相關且可信的AI生成內容。借助Einstein GPT，CRM用戶可以將該數據連接到OpenAI的生成式AI模型，或使用自己模型並直接在Salesforce CRM中以自然語言提示來生成所需內容。不過Einstein GPT目前先提供特定使用者進行封閉測試。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">MongoDB資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud與MongoDB擴大聯手，要讓BigQuery與開源資料庫數據互通更容易</span></strong></p> <p>最近，Google Cloud與開源NoSQL資料庫MongoDB共同宣布將擴大結盟，讓GCP雲端服務與MongoDB產品更緊密整合，不只在銷售團隊和產品發布上將有多合作，還預告將有10多個相關更新即將推出。</p> <p>在這次更新中，雙方合作首要重點就是強化BigQuery與MongoDB整合功能，新功能將使開發者更容易把串流資料從BigQuery傳送到MongoDB資料庫中做進一步處理，加快應用開發。</p> <p>在AI/ML方面，雙方也有進一步合作，未來MongoDB用戶可以更容易使用GCP的AI/ML功能來處理資料庫中的數據，進行模型開發，還將整合Google全託管機器學習平臺Vertex AI。同時也加強MongoDB在數據主權支援能力，讓企業能夠更好地管理資料庫中的數據，來因應內部資料治理或配合法遵、安全和政策要求。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">航空業上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT現代化 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">美西南航空全面擁抱公雲展開IT現代化改造，不只強化系統韌性，還要優化航班營運提升乘客體驗</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(4).jpg" style="width: 600px; height: 401px;" /></p> <p>美國廉價航空西南航空（Southwest Airlines）近日揭露他們將擁抱公雲進行大規模IT現代化改造，來改善乘客旅程、優化營運和建立擴充彈性的IT基礎設施。</p> <p>西南航空是全美最大廉價航空，不只旅客數眾多，甚至旺季一天就要處理4,000航班。事實上，西南航空很早就開始上雲，來因應營運成長，但過去只是將局部系統上到AWS公雲，像是官網和行動app的訂票和搜尋服務等，許多老舊系統仍放在地端，如排班系統，也因此遇到去年底超大風暴在美國境內擾亂，導致排班系統出狀況，影響上萬航班。</p> <p>經過這起事故，西南航空決定全面上雲，除了要透過雲端儲存、容器和無伺服器，提高系統內在韌性，來降低因風暴等天然災害對於航班影響，還要從航班數據分析來優化航班登機口配置、機場和航班營運，以及飛機維運，更要引進AI、ML技術，提升乘客搭機體驗。目前他們已利用SageMaker建立一個自助式ML平臺，讓資料科學團隊可以更容易構建、訓練和部署ML模型。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">零售商 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電商雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">百年奢華精品零售商也要轉型上雲，施華洛世奇優先把電商平臺搬上公雲增加效率與降低成本</span></strong></p> <p>除了大型電商，傳統奢華精品零售商也開始轉型上雲。例如老牌水晶工藝品製造商施華洛世奇（Swarovski）為因應LUXignite新戰略開始上雲，還擬定雲端策略。其實近幾年，施華洛世奇積極轉型創新零售服務，不只推出行動app，更打造自己的電商平臺，讓顧客可以線上瀏覽、購物。擁抱雲端第一步，施華洛世奇優先將原本在地端部署的電商平臺直接搬上SAP電商雲，還在雲端中打造數位平臺架構，希望借助雲服務的靈活彈性和安全性，能幫助公司加快服務創新和顧客體驗。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超融合服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Nutanix混合雲超融合服務終於登上Azure</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(7).png" style="width: 600px; height: 283px;" /></p> <p>去年底超融合基礎架構業者Nutanix宣布將在Azure上提供NC2（Nutanix Cloud Clusters）服務，直到最近，這項服務終於推出上市，這也是繼3年前AWS推出以後終於有第二家大型公雲支援，推出Nutanix Cloud Clusters on Azure服務。</p> <p>NC2 on Azure是Nutanix所推出超融合混合雲方案，可以讓企業更容易將本地HCI架構的工作負載搬上Azure公雲，透過Azure裸機執行個體，在Azure環境建構出Nutanix超融合叢集環境，並能結合本地端超融合環境，實現混合雲應用架構。還能使用與本地端一樣的Nutanix管理介面來管Azure公雲中實例，以此來達到混合雲部署和維運。該服務已在北美地區推出。</p> <p>圖片來源／Nutanix、Google、西南航空</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.微軟在Azure OpenAI服務中推出預覽版ChatGPT </strong></p> <p><strong>2.SAP推出新一代的雲端資料倉儲Datasphere，強化資料探索與建模功能</strong></p> <p><strong>3.Azure公開預覽使用Nvidia H100 Tensor核心GPU的新一代虛擬機器ND H100 v5</strong></p> <p><strong>4.IBM將雲端CI/CD服務使用的License Scanner工具貢獻給OWASP安全組織，加速推動SBOM發展</strong></p> <p><strong>資料來源：iThome整理，2023年3月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/3/16 16:30作者余至浩https://www.ithome.com.tw/news/155955