iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 01:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟修補可回復圖片剪除部分的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周傳出Windows存在可令剪裁過的圖片還原的臭蟲，微軟周末釋出解決該問題的軟體版本。</p> <p><a href="https://www.ithome.com.tw/news/156100" target="_blank">上周Windows 11傳出名為Acropalypse的臭蟲</a>。這臭蟲原是研究人員David Buchanan和Simon Aarons在Pixel手機的標記工具（Markup Tool）發現，但後來被研究人員Chris Blume發現，也能影響Windows 10的「剪取與繪圖」及Windows 11的「剪取工具」，可將剪裁或塗改過的PNG圖檔還原。</p> <p>利用這項漏洞，駭客若知道原圖檔名，即能以這些工具開啟剪裁、塗黑的圖片再以同檔名另存新檔，覆蓋原圖檔。最後，他就能用研究人員David Buchanan和Simon Aarons發展的工具將圖片還原。這臭蟲最大問題在於將使用者欲隱藏的資訊，可能是身分資訊或特定人物曝光。<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28303" target="_blank">該漏洞編號被列為CVE-2023-28303 </a>。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28303" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-CVE-2023-28303-Windows%20Snipping%20Tool(1).png" style="width: 450px;" /></a></p> <p>微軟上周得知問題後，於周末釋出新版Windows工具。使用者可以在Windows Store下載，包括Windows 10的「剪取與繪圖」10.2008.3001.0及Window 11的「剪取工具」11.2302.20.0。</p> </div></div></div>
2023/3/27 09:05作者林妍溱https://www.ithome.com.tw/news/156124
不惜汰換ERP支援集團艦隊化，佳世達要擁抱微服務翻新架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「不要害怕改變，否則，未來得面臨更大改變，因為你不改變，別人就會來改變你。」佳世達科技資訊技術服務中心資訊長黃莉雯明白表示。這句話正是佳世達IT發展近十年的寫照，甚至得毫不猶豫地調整原有IT策略，就是要做出不一樣的轉變。</p> <p>從2014年起，佳世達開始善用併購來快速擴展和布局新事業，近10年來收購的海內外公司，超過了70家，大小規模都有，甚至還跨足不同產業，從資通訊、醫療、網通公司都有。這個快速且跨產業的併購策略，卻有一個隱憂，沿用多年的自製ERP系統，越來越跟不上擴展的需求。</p> <p>直到3年前，為了進一步加速併購的腳步，佳世達下定決心全面汰換ERP，甚至未來還要採用微服務，大舉擁抱雲端原生架構，來協助集團各子公司加速轉型與發展創新。</p> <p><span style="font-size:28px;"><strong>為跟上集團擴展腳步，決定大舉汰換近20年自製的ERP系統</strong></span></p> <p>以電腦周邊產品代工起家的佳世達集團，在2007年將公司切分成負責品牌業務的明基與代工的佳世達，同時也將關鍵核心的ERP分割成兩套，一套自製ERP系統是由佳世達打造，來負責所有代工製造的營運，而明基則使用了商用的Oracle套裝ERP，以便能快速因應多變品牌策略。品牌和代工分家之後，IT部門也一分為二，分別負責代工與品牌業務系統的開發與建置，直到7年後，兩邊IT才再次整併。</p> <p>過去佳世達堅持IT部門要自行打造關鍵的核心系統，甚至在整併新廠時也導入自製ERP，來取代高科技製造業常用的SAP ERP。這個自主開發的IT策略，固然讓佳世達IT團隊擁有高度客製化彈性，但也因專注於滿足內部使用者的需求，減少了外部刺激所帶來的突破和創新發展機會。這個IT策略成功運作了很多年，直到佳世達朝向集團化發展後，開始遇到了考驗。</p> <p>2014年時，佳世達啟動聯合大艦隊計畫，作為公司轉型新戰略目標，展開了跨產業的投資併購，從起初一年一家，到後來併購腳步更加快，一年就要處理多家公司收購，來自不同產業、不同規模大小都有，在推動轉型過程中，佳世達既有的ERP系統，逐漸跟不上公司發展的腳步，成了佳世達IT部門所要面對的課題。</p> <p>黃莉雯解釋，佳世達的ERP系統，是一個用了將近20年的專屬客製化的ERP，從一開始使用套裝軟體，到後來重新改寫了這套ERP系統的核心功能和底層架構，發展出一套自製ERP系統。</p> <p>這套自製ERP專門為了滿足代工製造業務所需而客製，長年深度客製之下，導致這套系統的功能越來越聚焦代工，延伸彈性越來越低，使得它難以套用到其他行業。例如對於醫療業來說，批號管理是很重要功能，但這套代工導向的ERP就沒有提供，得大幅更改系統底層架構，原本用於電子料件品號的品名跟規格敘述長度，也不敷醫療業種使用，都得經過大幅客製。長期下來，雖然練就出越來越強的IT開發能力，但這些後來追加的客製，讓ERP系統越來越複雜且龐大，沒辦法快速支援集團擴張新業種的IT需求，過去的優勢，反⽽而逐漸變成了包袱。</p> <p>因此，佳世達決定改變IT策略，甚至不再堅持自行發展，而是要引進業界主流ERP方案，配合集團朝向艦隊化來發展。不過，這次ERP大翻新，主要是汰換代工業務用的ERP，品牌業務所用的EPR仍然繼續服役，不需更換。</p> <p><span style="font-size:28px;"><strong>從沿用多年自製ERP，轉而採用業界主流ERP套裝方案</strong></span></p> <p>佳世達資訊部門早在好幾年前，就有考慮更換成業界主流ERP，來取代自製版本，經過多次評估也與各部門討論，更考慮採用套裝軟體後的客製化時間和人力成本，最後決定採用SAP ERP，而不是他們在品牌業務所用的ERP廠牌。</p> <p>一般企業向來會避免同時導入兩套不同廠牌的ERP系統，不過，黃莉雯表示，他們評估過採用相同品牌ERP，光是財務成本模組要符合佳世達未來各種異業併購後的需求，不僅需要兩千日的開發時間，顧問客製費用至少要六千萬元以上，考慮到日後升級或維運成本，加乘起來的成本非常可觀。</p> <p>儘管，佳世達對於該廠牌ERP相當熟悉，多年深耕下，內部許多IT維運人員，甚至具備了專業諮詢顧問的能力，但她認為，不能為了固守IT熟知的領域，而阻礙了公司的發展，「比起使用一套IT熟悉好維運的ERP，能夠符合公司營運或業務發展、快速利用且更有彈性，才是最重要。」</p> <p>佳世達集團在2019年下半年選定ERP廠牌後，花了3年於全球推出上線。這是佳世達近年來最重要一次大型系統專案導入，由黃莉雯一手主導。</p> <p>佳世達分階段導入新版的套裝ERP，2021年7月先完成第一階段上線，包括集團總部、越南廠、日本與美國分公司先推出，隔年1月大陸廠也跟進，進而完成所有系統汰換。</p> <p>導入新系統的同時，資訊部門也一併對各廠、海外銷售據點展開IT架構的轉換，捨棄過去在不同據點各自部署一套ERP的做法，改由集中式的架構，在總部提供一套ERP來支援全球使用再提供各工廠、海外銷售據點使用，來達到統一管理。在系統轉換過程中，除了將原本ERP獨有的功能保留到新版ERP中，如保稅系統，其他像是使用者人數多但不複雜的功能，也會保留下來。</p> <p>新系統剛上線時，也讓IT團隊吃足不少苦頭，像是因為新舊系統資料結構差異很大，導致資料轉換過程中，IT人員得花更多時間，才能把舊系統的Ｍaster資料全部轉到新系統，其他還有遇到設定遺漏等問題，後來都陸續加以解決。</p> <p><span style="font-size:28px;"><strong>靠累積不同廠牌ERP維運經驗，替集團子公司加速系統轉換</strong></span></p> <p>2022年使用至今，負責這套新ERP系統的維運團隊，正是當初負責打造和維運自製ERP的同一群人，就算使用套裝ERP產品，黃莉雯要求IT部門必須具備這套ERP維運能力。她表示，經過一段時間學習後，目前維運團隊對新系統掌握度已經很高，等到熟練以後，這批人也能像以前維運自製ERP那樣的熟練，來維運這套新系統。</p> <p>尤其，掌握這項能力，對於佳世達IT部門格外重要。她表示，未來不只能協助集團子公司或其他新加入成員快速導入ERP，還能知道如何避免痛點，甚至這些年靠著不同廠牌ERP維運經驗，讓他們短短幾年內就協助不同業別子公司完成不同套ERP系統置換，接下來還有另一家透析公司準備要用，「正因為這些IT經驗累積，讓我們幫一家新公司建系統或做調整，變得超有效率。」</p> <p>除了協助更換ERP系統，這些年，由佳世達資訊團隊幫助集團子公司所規畫導入應用也不少，以醫院為例，從醫院子公司導入電子病歷系統、HRP系統，到發展智慧服務、智慧醫療、智慧管理等應用，幾乎都是由佳世達IT部門一手規畫推動，來幫助這些醫院加速朝向智慧醫院來轉型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1122-CIO-500.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span><br /> <span style="color:#3399ff;"><span style="font-size:20px;"><strong>佳世達集團資訊長黃莉雯表示，比起使用一套IT熟悉好維運的ERP，能夠符合公司營運或業務發展、快速利用且更有彈性，才是最重要。</strong></span></span></p> <p><span style="font-size:28px;"><strong>未來還要導入微服務，擁抱現代化IT架構</strong></span></p> <p>但只有翻新全球ERP還不夠，佳世達現有內部IT架構也得調整，變得更敏捷，甚至擁抱現代化IT架構，來支援往後來自跨產業、不同規模的上百家子公司IT發展所需，才能幫助集團加速朝向大艦隊平臺發展。</p> <p>「我們往後IT發展就是走向微服務，」黃莉雯直言，希望透過微服務架構，將既有大型系統拆成更小型的功能模組，讓子公司可以根據需求選擇導入單一或多個功能，而不用每次都要導入全套系統，從而改善過去因為系統龐大而難以使用的問題，尤其在佳世達大艦隊裡的公司，產業很多、規模也不同，「當系統越來越走向模組化，將功能拆得更細，以後要建置或移轉，就會輕很多」她表示。</p> <p>其實在應用開發上，佳世達IT已經早一步擁抱現代化程式語言，改用Java來取代.NET，甚至為了加速應用程式語言轉換腳步，黃莉雯不只要求資訊團隊以後開發新應用一律採用Java語言來開發，也要在不影響公司營運前提下，逐步展開傳統.NET應用程式的轉換作業，先從1～2套小系統語言轉換開始，到如今多使用者的系統轉換。</p> <p>但要轉換新舊語言不是件容易的事，但她仍堅持要做的原因，不僅僅是為了讓它能夠支援現代化應用，更希望透過Java擁有眾多活躍的使用者和社群支援，獲取更多資源，加快應用開發與創新，甚至以後也更好找到這方面優秀人才加入。</p> <p>人才培育，向來是黃莉雯很重視一環，她坦言，過去IT部門大多專注在幫助公司創造更好營運或業務發展，卻容易忽略了IT人才對於公司營運也很重要，因此，她接下來一大任務，就是要架構出一個環境，幫助新進者能更快適應，融入現有IT組織文化中，來幫助公司持續發展。</p> <p><span style="font-size:28px;"><strong>重整IT部門，建立明確職務分工</strong></span></p> <p>2019年成為集團資訊長後，黃莉雯重新調整IT組織，來建立更明確職務分工，對應到各自工作領域，還增設了兩個新部門，也就是Data和MarTech部門，前者負責資料治理、AI應用、Mobility相關，至於原來的CRM管理及應用也歸在該部門來管；後者則以行銷科技應用為主，負責結合敏捷彈性的前端，和使用者UI設計來優化行銷工作，包括官網和EC Store平臺等。</p> <p>建立明確職務分工和成立新部門後，也讓佳世達IT更加速擁抱新技術，例如開始結合RPA流程自動化，改用RPA機器人對帳，幫助財務人員提升工作效率，後來擴大運用到服務、供應鏈、HR等不同部門。更透過教育訓練、成立專屬社群，藉由交流增進彼此學習的機會，讓各單位可以各自維護更新自己的RPA應用，不用所有事都倚賴IT。</p> <p>下一步還要發展低程式碼平臺，希望提供簡單流程和操作，就能讓使用者自行架設系統，完成一些簡易系統功能開發，例如行銷人員免懂複雜程式撰寫，就能透過這個自助式平臺，設計出想要的行銷企畫服務或功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>黃莉雯　佳世達集團資訊長</strong></p> <p>學歷：中興大學資訊科學所碩士</p> <p>經歷：曾任職過宏碁科技、慶豐人壽，1999年進入明基電通資訊部門任職，2007年品牌和代工業務分家後進到品牌公司，負責全球銷售據點系統建置和維運，後來代工和品牌IT合併後也擔任ERP主管，並於2019年接任集團資訊長，要善用IT協助集團加速併購發展創新</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1122-CIO-200.jpg" style="width: 200px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><strong>佳世達科技</strong></p> <p>地址：桃園市龜山區山鶯路157號</p> <p>網址：<a href="http://www.qisda.com">www.qisda.com</a></p> <p>成立時間：1984年</p> <p>主要業務：橫跨資訊產業、醫療事業、智慧解決方案及網路通訊事業</p> <p>員工數：約30,000人（2022年）</p> <p>董事長：陳其宏</p> <p>總經理：黃漢州</p> <p>資本額：197億元</p> <p>年營收：2,398億元（2022年合併營收）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊長</p> <p>資訊部門主管姓名：黃莉雯</p> <p>資訊部門名稱：資訊技術服務中心</p> <p>資訊部門分工：Infra & Operation、Application、Data、MarTech、Development、Information Security</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2015年：完成Smart Factory規畫建置</p> <p>2016年：導入CRM系統</p> <p>2017年：完成集團旗下子公司時運ERP置換</p> <p>2019年：協助南京、蘇州明基醫院導入電子病歷系統、越南廠建置與系統導入</p> <p>2020年：導入RPA機器人流程自動化，提高人員作業效率</p> <p>2021年：完成旗下醫療子公司凱圖雲端版ERP導入、南京、蘇州明基醫院HRP系統上線</p> <p>2022年：完成集團全球SAP ERP導入、重整IT組織建立明確職務分工</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1122-cio-960.jpg" width="960" height="420" alt="" title="佳世達集團資訊長黃莉雯　（攝影／洪政偉）" /></div></div></div>
2023/3/27 00:00作者余至浩https://www.ithome.com.tw/people/156073
物件偵測模型大變革YOLO v7
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1122-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=Rnl12jC7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中研院發布全球第一物件偵測模型YOLOv4，將臺灣推向世界級電腦視覺技術研發重鎮行列，更接連打造出突破傳統思維的網路架構ELAN和多任務模型YOLOR，整合而成新一代的YOLOv7，能一心多用同時執行3種偵測任務，一問世就完勝主流模型。中研院YOLO研發團隊的下一步要鎖定多任務和圖類神經網路</p> <p> </p> </div></div></div>
2023/3/27 00:00作者王若樸https://www.ithome.com.tw/article/156079
【YOLOv7成功關鍵：技術篇】關鍵人物親自揭露三大突破，下一步攻多任務與解釋性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月7日，YOLOv7問世，一舉打敗各大SOTA物件偵測模型。問起YOLOv7為何能做到這一點，核心開發者中研院資訊所所長廖弘源與中研院資訊所助研究員王建堯親自揭露，關鍵在於更好的類神經網路架構、具備多任務的能力，以及更有效率的訓練策略。</p> <p>這些突破，始於世界第一物件偵測模型YOLOv4。2020年，他們與YOLO Darknet框架維護者Alexey Bochkovskiy共同打造這個模型，拿下MSCOCO資料集物件偵測大賽第一，無論速度、準確度，都完勝Google、微軟等科技巨頭開發的模型。</p> <p>但廖弘源與王建堯並未停下腳步，而是繼續朝2方向精進，一是開發更有效率的網路架構，也就是ELAN，二是打造能執行多任務的模型，也就是YOLOR（You Only Learn One Representation）。這兩項突破，構成了YOLOv7的主體，由輕巧高效的ELAN執行影像辨識分析工作，YOLOR則統一整合特徵，兩相加成之下，賦予YOLOv7執行多任務的能力。</p> <p><span style="font-size:28px;"><strong>關鍵1：輕巧有效率的網路架構ELAN</strong></span></p> <p>ELAN是一款特別優化的類神經網路架構，最大特色是省時省力，能更有效率執行物件偵測任務，還能讓模型在硬體資源受限的低階設備或是邊緣裝置上執行。</p> <p>一般來說，模型要準確辨識出物件，通常得使用複雜的網路架構，比如非常多層的卷積（Convolution），來處理影像特徵，但這就得消耗更多運算資源，因此要在資源有限的低階設備，執行這種高準確度的模型，也就更加困難。</p> <p>但是，中研院所設計的ELAN架構，只用了1Ｘ1卷積和3Ｘ3卷積，以及連結（Concatenate）來整合卷積層特徵。這個架構不僅精簡，也只使用最簡單通用的運算單元，能更進一步好好分配運算資源，善用硬體既有資源。這是因為，許多頂尖電腦視覺模型，經常使用數種到數十種不同的運算單元，增加專屬硬體的設計難度和成本，甚至，這些運算單元所需的硬體資源，也不盡相同，反而導致硬體使用率低下。而ELAN架構精簡，解決了這個問題。</p> <p>不只如此，ELAN架構還改善了前一代模型中耗費記憶體頻寬的設計，比如殘差（Residual）。王建堯指出，電腦視覺模型中的殘差，所需的運算量低、只有卷積的數十萬分之一，但它在邊緣運算設備所需的運算時間，卻是卷積的幾十分之一，浪費了有限的硬體資源。於是，團隊設計ELAN時，就排除殘差，讓類神經網路架構更精簡、更有效率。</p> <p>不僅去蕪存菁，ELAN還展現王建堯的設計巧思，也就是梯度路徑分析（Gradient path analysis）方法，來提高類神經網路效能。傳統常見的模型優化方法，不外乎是從運算單元設計下手，或是設計一套方法，來讓模型提取符合任務需求的特徵，再整合這些特徵來取得最終結果，但這就偏向傳統機器學習特徵工程思維。梯度路徑分析方法跳脫這個思維，從特徵學習下手，直接「告訴」模型如何學習特徵，並從層（Layer）、階段（Stage）和網路（Network）三層面，來優化模型學習方法。而ELAN，正是網路層級的梯度路徑分析實作。</p> <p>這些特點，使ELAN成為高效率網路架構，一如其名：高效率層聚合網路（Efficient Layer Aggregation Networks）。團隊也在2020年11月完成開發。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E6%94%BE%E7%AC%AC1%E9%A0%81%E4%B8%8B%E9%9D%A2%EF%BC%89%E8%A3%9C%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%8B%E5%BB%BA%E5%A0%AF.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>中研院團隊在YOLOv7論文中，解釋他們如何設計擴展版架構E-ELAN的梯度路徑分析方法。這個方法是提高模型學習效率的訓練策略，圖中，E-ELAN並未改變原有架構的梯度傳遞路徑，而是利用分組卷積，來增加特徵基數，並用隨機洗牌與合併等方式來整合特徵組，強化模型學習表徵的能力。</strong><span style="font-size: 14px;">圖片來源／王建堯</span></span></p> <p><span style="font-size:28px;"><strong>關鍵2：執行多任務的外掛YOLOR</strong></span></p> <p>與前幾代YOLO模型不同，YOLOv7最大特色是一心多用，看一眼就能執行3種任務，包括物件偵測任務、實例分割（Instance segmentation）以及關節點偵測（Keypoint estimation）。</p> <p>也就是說，YOLOv7可在畫面中用框框框出特定物件，像是行人、建築、交通號誌，也能更細緻地用顏色表示特定物件，就像是替這些物件著色般（這個上色動作也稱為遮罩），此外還能定位畫面中人體的關節點，如頭部、手肘、膝蓋，並將這些關節點連線，就像火柴人一樣，可用來辨識動作和姿態。</p> <p>YOLOv7為何如此強大？原來它加入了YOLOR。YOLOR是王建堯在2021年5月發表的模型，可以保存所有輸入資料的特徵；它就像一個外掛，能用來提取模型中的隱性知識（Implicit knowledge），讓原本專精單一任務的模型，透過保存起來的特徵，來學習其他任務，而不必針對其他新任務，一一重新訓練。</p> <p>廖弘源比喻，就像是受過專業訓練的諜報員，被賦予一個任務，要找出照片中的車輛，他會專心記住照片中每輛車，這就是顯性知識（Explicit knowledge），但若突然換個題目，改問照片中有幾位行人，他也能憑記憶正確回答，即便一開始並未被賦予這個任務；這就是隱性知識。對電腦來說，「它就像經專業訓練的諜報員，看一眼就記住所有資訊，就能用這些資訊來執行各種任務，」他說。只不過，目前大多數物件偵測模型，仍仰賴給定的顯性知識來學習任務，很少善用隱性知識執行多任務。</p> <p>了解YOLOR概念，再從模型架構角度來談，如何實現一心多用的能力。物件偵測模型通常由骨幹（Backbone）、頸（Neck）和頭（Head）三部分組成，其中，骨幹是將任務所需特徵，從不同隱藏層（Hidden layers）抽取出來，編碼至骨幹裡，再由頸部進行特徵組織（Feature organization），最後交給頭部下決策。</p> <p>假設模型要偵測物件，骨幹得從第1、3、5層提取特徵，再由頸部整合處理；若模型要執行影像分割任務，骨幹可能得提取第2、4、5層特徵。但是，藉由YOLOR這個統一的網路（Unified network），就能在骨幹一次處理不同任務所需的特徵，賦予模型執行多任務的能力。YOLOv7成功問世，也反過來證實了YOLOR外掛模式的可行性。</p> <p>甚至，YOLOR這種善用模型隱性知識的技術，還能用於近期爆紅的生成式AI。王建堯指出，一些文字轉圖像的生成式AI，會產出6隻手指頭的人像，但若加上類似YOLOR的技術，將已存在於模型的隱性知識提取出來，就能避免產出不合邏輯的圖像。他甚至點出，這類技術研究，也許是臺灣最適合投入發展的領域。</p> <p><span style="font-size:28px;"><strong>關鍵3：自動學習和具備泛化能力的訓練策略</strong></span></p> <p>YOLOv7打敗其他SOTA模型的第3個關鍵，是更好的訓練策略，也就是YOLOv7論文標題強調的Trainable bag-of-freebies。</p> <p>這個名詞看似複雜，但拆分來看，Bag-of-freebies泛指用來提高模型準確度的訓練方法，亦即模型訓練時常用的技術或策略，這些技術或策略雖會增加訓練成本，但不會增加模型推論時的運算成本，還能提高模型表現，因此稱為免費禮品或贈品（Freebies）。常見的BoF有幾種，如資料增強、正規化（Regularization）、權重初始化等，開發者可用來訓練模型，讓模型更容易調整和優化，達到更好的表現。</p> <p>但，一般的BoF仍有其局限。舉例來說，資料增強是用來增加訓練資料的多樣性，比如用於物件偵測時，可針對一些小物件來設計資料增強，讓特定物件的訓練資料更多，進而提高模型辨識力。「但這就有所局限，」王建堯解釋，若模型任務與小物件偵測無關，這樣的BoF就無法發揮作用，還可能引起反效果。</p> <p>於是，團隊設計YOLOv7的BoF時，決定讓它更靈活，讓訓練策略也可以「受訓練」，能根據任務需求自動學習、自動調試，而非生硬地只適用於特定目的。</p> <p>進一步來說，YOLOv7的BoF包含模型重參數（Model re-parameterization）和動態標籤分配（Dynamic label assignment）兩種，其中，動態標籤分配是近期物件偵測模型的主流優化趨勢，能提高模型對圖像特徵的學習能力，讓模型更準確分辨物件偵測框（Bounding box）中的像素，是否屬於該物件。</p> <p>有了這個能力，模型就能進一步泛化（Generalize），運用已知知識來解決新任務。也就是說，一個已經由Trainable BoF訓練過的物件偵測模型，不必再透過新資料重新訓練，也可用來執行其他新任務，比如影像分割。</p> <p>這種泛化能力，也在YOLOR中展現過。王建堯解釋，其實，Trainable BoF最初就用於YOLOR，而YOLOR的成功，證實了這個優化策略可行，能用來改善物件偵測任務表現。這次的YOLOv7，則更進一步證明，Trainable BoF不只能優化模型在物件偵測任務的表現，還能優化實例分割、關節點偵測等不同任務的表現，是發展多任務AI的基石。</p> <p>兼具這些技術突破的YOLOv7，不論是速度還是準確度，一問世就勝過所有主流物件偵測模型，在每秒5幀到每秒160幀範圍內，表現優於YOLO系列模型和Transformer系列模型。而且，在使用GPU V100、每秒30幀或更多的條件下，YOLOv7平均精度（AP）達到56.8%，是當時所有物件偵測器中，準確度最高的模型。</p> <p><span style="font-size:28px;"><strong>下一步瞄準多模態多任務，也要用GNN提高解釋性</strong></span></p> <p>儘管YOLOv7已經拿下亮眼成績、突破許多瓶頸，中研院團隊的目光，並不止於此。因為，YOLOv7的成功，證實YOLOR單一模型執行多任務的可行性，王建堯甚至直言，YOLOv7和YOLOR就是為多模態、多任務的統一模型鋪路。這句話揭示團隊接下來的研究方向，他們將以YOLOR為基礎，發展更通用的電腦視覺模型，物件追蹤就是其一。</p> <p>與此同時，廖弘源透露，團隊也瞄準知識圖譜和圖神經網路（GNN）兩種技術，一方面要用擅長處理關聯性的圖學，來提高模型處理多任務的能力，一方面也要透過知識圖譜，來強化模型的可解釋性。</p> <p>他解釋，一般類神經網路就像黑盒子，當網路出現問題時，開發者通常難以找出原因，但透過知識圖譜或GNN，可將原本的大黑盒子拆解為好幾個小黑盒子，更容易推導出問題所在。</p> <p>從YOLOR統一網路和GNN雙管齊下發展多任務AI，就是廖弘源與王建堯眼中的下一個目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>YOLOv7單一模型可執行3大任務</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%89%A9%E4%BB%B6%E5%81%B5%E6%B8%AC-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-viso-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><strong>任務1：物件偵測　</strong></span><span style="color:#696969;"><strong>YOLOv7可執行3種任務，一種是物件偵測（Object detection），能將畫面中辨識到的物件，以邊界框（Bounding box）框出，並在框上顯示預測的物件名稱與機率。</strong><span style="font-size:14px;">圖片來源／viso.ai</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%AF%A6%E4%BE%8B%E5%88%86%E5%89%B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Rizwan%20Munawar-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><strong>任務2：實例分割　</strong></span><span style="color:#696969;"><strong>YOLOv7可執行的任務還有實例分割（Instance segmentation），也就是將辨識到的物件著色，這個動作也稱為遮罩（Mask），比物件偵測只以邊界框框出物件還要細緻。</strong><span style="font-size:14px;">圖片來源／Rizwan Munawar</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E9%97%9C%E7%AF%80%E9%BB%9E-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Aleskandr%20Snorkin-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><strong>任務3：關節點偵測　</strong></span><span style="color:#696969;"><strong>YOLOv7可執行的另一種任務是關節點偵測（Keypoint estimation）。以人來說，模型可將畫面中辨識到的關節點標示並連線，就像個火柴人，可用來預測動作和姿態，如跌倒偵測。</strong><span style="font-size:14px;">圖片來源／Aleskandr Snorkin</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>精簡的模型設計大力推進AIoT應用</strong></span></span></p> <p><strong>物件偵測模型YOLOv7的成功，不只證實新技術可行，更能推動AIoT發展。YOLOv7共同開發者中研院資訊所所長廖弘源指出，YOLOv7模型速度快又準，架構還很精簡，只採用3x3卷積、1x1卷積和連結（Concatenation），因此耗電量低，只有約30瓦，非常適合部署在運算資源有限的邊緣裝置上，來發展AIoT應用。他認為，從AI模型下手改良，使用者不必受限於晶片設計，等於企業不必客製化或採用小奈米晶片來執行特定AI模型，用低成本的硬體設備也能享有高準確度的模型效果。</strong></p> <p><strong>YOLOv7核心開發者中研院助研究員王建堯進一步解釋，YOLOv7因為架構精簡，採用非常少的運算單元，因此可直接在硬體上取樣，不需額外的運算單元。而越少運算單元，就能使用更簡單的架構來設計晶片；因為，晶片8、9成的電路面積，都屬於控制單元，這些控制單元專門連接所有運算單元，讓這些運算單元能互相溝通，所以，只要運算單元越簡單，控制電路也就越簡單，晶片設計也就越單純。再加上，模型使用運算密度高的3x3卷積，能進一步減少硬體運算資源。</strong></p> <p><strong>這說明，低階設備採用高準確度模型的門檻降低了，一般邊緣裝置更容易部署物件偵測模型，也更容易推廣到各種應用場景，比如疫情時的社交距離偵測、零售商場人流偵測、路況偵測、基礎設施損壞偵測等。這也意味著，設計精簡的AI模型，能更容易將AIoT更普及到生活中。</strong></p> <p><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1122-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=Rnl12jC7" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/3/27 00:00作者王若樸https://www.ithome.com.tw/news/156081
【臺灣AI研發力再次奪冠關鍵】世界第一物件偵測模型如何超越自己
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在2020年，臺灣催生出世界第一物件偵測模型YOLOv4，完勝當時各大科技巨頭打造的物件偵測AI，也將臺灣推向世界級電腦視覺技術研發重鎮行列。2年後，YOLOv4原班團隊中研院資訊所所長廖弘源與中研院資訊所助研究員王建堯推出另一物件偵測新作YOLOv7，去年7月正式登場，再次擊敗當時各大SOTA模型。</p> <p>這一次，團隊同樣研發新技術和新策略，來設計這套模型。這包括更輕巧更有效率的網路架構ELAN、多任務模型YOLOR，以及特殊優化的訓練策略Trainable bag-of-freebies。</p> <p>這些新技術跳脫傳統機器學習思維，各有突破，互相加成之下，使YOLOv7更輕、更快，也更準確，還能執行多種任務，如物件偵測、實例分割和關節點偵測，是少數兼具輕巧與多任務特色的電腦視覺模型，更與近來崛起的多模態多任務AI趨勢不謀而合。</p> <p><span style="font-size:28px;"><strong>開發經驗連點成線，從物件偵測到多任務</strong></span></p> <p>中研院團隊過去的開發經驗，催生出這些技術創新，而這些技術創新，也揭示下一步走向。</p> <p>2017年，臺灣開始推動AI產業化、產業AI化，當時的科技部（現國科會）提出「業界出題、學界解題」AI計畫，來媒合產學雙方，用AI解決產業問題。當時，中研院團隊與義隆電子媒合，制定出2018年至2021年解題目標，要在4年計畫中打造又輕又快又準確的物件偵測模型，好部署在道路監視器上，發展智慧交通應用。</p> <p>身為解題核心成員的廖弘源與王建堯，先是在2018年以ResNet為基礎，改良學習策略，發展出局部殘差網路（PRN），來進行影像辨識。PRN雖比YOLOv3快兩倍，但準確度略遜YOLOv3，為此，團隊隔年打造出跨階段局部網路（CSPNet），改善卷積網路梯度消失問題、解決學習效率不佳原因，並增加梯度組合、最大化梯度多元性，提高網路學習能力。</p> <p>也因為CSPNet，YOLO Darknet框架維護者Alexey Bochkovskiy與中研院團隊牽上線，共同改良CSPNet，於2020年發表YOLOv4，在同年MSCOCO物件偵測競賽中，拿下全球第一。</p> <p>那時起，中研院團隊將目光從物件偵測轉向另一領域，挑戰難度更高的單一模型多任務方法，要通吃各大電腦視覺任務。於是，中研院團隊往2方向同時前進，一是設計輕量網路架構，他們同樣從梯度來改良，以梯度路徑分析方法讓模型更好地學習特徵，跳脫傳統機器學習特徵工程思維，並在2020年11月開發出ELAN。另一方向則是多任務表徵學習方法，透過設計一個能保存所有輸入資料特徵的統一網路，來實現一心多用，並在隔年5月發表成果模型YOLOR，一登場就在國際競賽奪下實戰成果。</p> <p>這2大技術，再加上改良的模型訓練策略，團隊整合發展出YOLOv7，不論速度、準確度，都超越當時的主流網路架構，包括卷積網路（CNN）和Transformer類模型，以及熱門物件偵測模型如YOLOR、YOLOX、Scaled-YOLOv4、YOLOv5，和Transformer類的DETR、Deformable DETR、DINO-5scale-R50、ViT-Adapter-B等。</p> <p>可以說，第七代模型集結了中研院YOLO團隊數年來的開發結晶，不僅有過往訓練策略優化的影子，也有新穎的單一模型多任務方法。</p> <p>這個多任務元素，更與時下AI圈發展趨勢吻合，同時點出團隊接下來的發展焦點。他們下一步將繼續朝單一模型多任務領域前進，但也瞄準知識圖譜和圖神經網路，要來輔助模型執行多任務，並以此打造更安全的模型。因為，擅長處理關係網路的圖神經網路和知識圖譜，能幫助拆分AI黑盒子，將問題拆解為更細的子問題，協助開發者推導出問題所在，解釋決策原因。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%AF%94%E8%BC%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%8B%E5%BB%BA%E5%A0%AF.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">開發物件偵測模型YOLOv7的中研院團隊以MSCOCO資料集測試YOLOv7與其他SOTA模型效能，發現不論是推論速度還是準確度，YOLOv7都比其他模型好，甚至比YOLOv5快上1.2倍。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／王建堯</span></span></p> <p> </p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E6%AF%94%E8%BC%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%8B%E5%BB%BA%E5%A0%AF.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">不只與YOLO系列模型比較，中研院團隊也將YOLOv7與另一主流電腦視覺架構Transformer評比。結果顯示，不論速度還是準確度，YOLOv7一樣優於Transformer系列模型。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／王建堯</span></p> <p><span style="font-size:28px;"><strong>兼顧研發和部署生態圈，推動AIoT發展</strong></span></p> <p>中研院團隊開發的YOLOv7，不只有新技術的突破，發展策略也有很大的變革，更聚焦生態圈的布局，改用主流開發框架PyTorch開發，並自建轉換器，同時支援Darknet框架版本，滿足開發與部署需求。</p> <p>以前，團隊開發第四版時，仍舊沿用YOLO系列模型慣用的Darknet框架來開發。因為許多邊緣裝置的主要語言為C，所以，Darknet開發者也慣用C++和CUDA語言，方便將物件偵測模型部署到邊緣裝置上。但是以Python語言為主的PyTorch框架，使用者族群龐大，更是先進技術開發者優先使用的框架之一。</p> <p>因此，中研院團隊這次決定同時支援2種框架，不只因應不同生態，也因應未來的技術發展相容性。</p> <p>甚至，第七代模型的精簡架構改變，還能降低AIoT應用門檻，讓物件偵測AIoT更普及，一如產學AI計畫的初衷。這是因為，AI模型設計越精簡、使用的運算單元越簡單，對晶片設計的要求也就越簡單。這意味著，運算資源有限的低階設備或邊緣裝置，也可以部署輕巧精準的AI模型，企業不必砸重本客製化晶片，也能擴大AIoT的使用。這個架構簡單的模型，不但不需大量硬體運算資源，還能成為節能的新選擇，呼應淨零排碳趨勢。</p> <p>在這次專題中，進一步分別從<a href="https://www.ithome.com.tw/news/156081" target="_blank">技術面</a>和<a href="https://www.ithome.com.tw/news/156088" target="_blank">生態圈</a>兩大面向，來介紹臺灣團隊再一次打造出世界冠軍物件偵測模型背後的成功關鍵。</p> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 冠軍模型研發里程碑 </span></strong></span></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2018年 </span></span> 中研院團隊以ResNet為基礎，改良學習策略，打造局部殘差網路PRN</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2019年 </span></span> 修正梯度消失問題，發表跨階段局部網路CSPNet</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年 </span></span> 以CSPNet為基礎，發表物件偵測模型YOLOv4，拿下世界第一；同年打造高效率網路ELAN</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2021年 </span></span> 發表多任務模型YOLOR</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2022年 </span></span> 整合ELAN、YOLOR與新訓練策略，發表YOLOv7</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2023年 </span></span> 持續研究單一模型多任務方法，包括藉助知識圖譜與圖神經網路</strong></span></p> <p><span style="color:#696969;">資料來源：中研院，iThome整理，2023年3月</span></p> <p><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1122-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=Rnl12jC7" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/3/27 00:00作者王若樸https://www.ithome.com.tw/news/156087
【YOLOv7成功關鍵：生態圈】通吃兩大AI生態圈，公開設計思維和程式碼為研發點燈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣誕生的世界級物件偵測模型YOLOv4，去年下半年更推出第七代的YOLOv7，不只速度和準確度再次超越同期所有SOTA等級物件偵測模型，證明第七代模型3大新技術的領先之外，還有一個深層影響，也就是串起PyTorch和Darknet兩大框架的生態圈，來兼顧模型研發人員和業界部署兩大族群的需求。</p> <p>甚至，打造出這款模型的中研院資訊所所長廖弘源與中研院資訊所助研究員王建堯，不只發表模型論文（CVPR 2023）、公開YOLOv7程式碼，還特別發表YOLOv7使用的高效率網路架構ELAN理論，闡述模型背後的設計思維和新策略。這些公開論文和程式碼，就像是個指南，提供AI研發者設計電腦視覺模型的新視角。中研院團隊希望成為點燈的人，將證實可行的新理論和程式碼公開出來，盼承先啟後擦出新火花。</p> <p><span style="font-size:28px;"><strong>兼顧研發與部署需求，串起2大生態圈</strong></span></p> <p>在深度學習圈，TensorFlow和PyTorch是目前使用率最高的兩大主流開發框架，許多先進技術和套件都用這兩種框架開發，像是Transformer模型和近期爆紅的生成式AI模型。也因為這兩種框架擁有大量使用者，不少開發工具和程式語言套件也都支援TensorFlow和PyTorch，因此形成龐大的研發生態圈。</p> <p>在YOLO物件偵測模型歷代模型中，多數版本採用Darknet框架開發。有別於以Python為主要語言開發的TensorFlow和PyTorch，Darknet的主要開發語言是C++和CUDA。這是因為許多裝置的慣用語言是C，物件偵測模型同樣採用C語言開發，就更容易部署到這些裝置上，來執行偵測任務。也因如此，Darknet的使用者多為業界人士。</p> <p>儘管中研院團隊最初以Darknet開發第4代YOLO模型，這次，他們一改作風，採用PyTorch框架來開發YOLOv7，同時也提供一套轉換器，能將PyTorch的YOLOv7模型版本，轉換為與Darknet相容的版本，兼顧研發和部署兩大需求。</p> <p>廖弘源指出，物件偵測技術發展快速，大多數先進技術開發者，都使用主流深度學習框架。因此，要做出影響世界的模型，除了要具備關鍵的科學技術外，「還得讓這些好用的東西能互補，加入到這個系統，」他說。這是這次團隊轉換策略的原因。</p> <p><span style="font-size:28px;"><strong>公開設計新思維，盼見更多新火花</strong></span></p> <p>不只通吃技術研發和技術部署生態圈，團隊還進一步公開模型設計新思維，來激發更多電腦視覺技術研發方法。</p> <p>「YOLOv7是整個大架構的調整，不是小小的twist。」廖弘源一句話點出第七代模型的特別之處，因為，YOLOv7一口氣採用包含新訓練策略在內的3大新技術，這些新技術，都是團隊突破傳統思維的設計，包括更輕巧更有效率的網路架構ELAN、可用來執行多任務的模型YOLOR，以及打破模型優化窠臼的Trainable bag-of-freebies訓練方法。「當時我就告訴建堯，我們不只要發表新模型，還要將設計概念說明清楚，讓大家知道模型設計的新策略和思維，」廖弘源說。</p> <p>也因此，團隊不只發表YOLOv7模型論文，還針對ELAN的設計方法，另外寫了篇設計理論（Designing Network Design Strategies Through Gradient Path Analysis）並公開。這篇論文聚焦ELAN的梯度路徑分析（Gradient path analysis）方法，這個方法是ELAN高效率的一大關鍵，也是突破傳統設計思維的一例。</p> <p>因為，許多改良模型的方法會從特徵萃取和特徵整合下手，設計一套方法，來讓模型提取任務所需的特徵，再整合這些特徵來得到預測結果。但王建堯認為，這是傳統機器學習特徵工程的思維，因為就深度學習和類神經網路來說，特徵是由整個網路學習出來的，因此難以用取特定特徵再整合的方式來優化。於是，王建堯思考，既然特徵是靠學習而來的，不如直接從驅使網路學習的動力：梯度來下手，直接分析梯度路徑，來告訴類神經網路需要學習哪些資訊。而YOLOv7的成功，證實梯度路徑分析的可行性，也意味著新設計思維的可行。</p> <p>中研院團隊發表模型同時，也公開了設計理論和程式碼，不只影響技術使用者群，讓人更清楚如何善用模型之外，還能啟發技術研發者群，參考經驗證的新思維，來激發更多新想法。這是從根本來壯大AI生態圈的做法，也是繼續讓世界看見臺灣的另一種實踐。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>版本小插曲更證明YOLOv7實力</strong></span></span></p> <p><strong>主流物件偵測模型YOLO第七代在去年7月7日問世，「我們特別選在這個時間點發布，」YOLOv7共同開發者中研院資訊所所長廖弘源說。這個日期不只呼應第七代的七，還因應一件插曲。</strong></p> <p><strong>因為，就在去年6月底，中研院團隊準備發表模型的最後階段，一封Email寄給了廖弘源和主要開發者中研院資訊所助研究員王建堯，以及YOLO系列維護者Alexey Bochkovskiy，影響了團隊原定的模型發布計畫。</strong></p> <p><strong>這封Email來自中國電商集團美團，他們也打造一款物件偵測模型，宣稱比YOLO第五代和幾個主流物件偵測模型還要快且準，並以YOLOv6之名發表，因此來信告知中研院團隊與Alexey Bochkovskiy。</strong></p> <p><strong>但當時，中研院團隊也以YOLOv6命名自己研發的模型，且已完成大部分開發工作，論文撰寫也進入尾聲。面對這封Email，團隊與Alexey Bochkovskiy商討，決定改名，以YOLOv7為名延後發表，避免大眾混淆。Alexey Bochkovskiy同時告知美團，雖然他們可以YOLOv6之名發布模型，但不會列入官方維護版本。</strong></p> <p><strong>因為，他們認為，一個官方正式版本的發布，必須具備嚴謹的理論和實驗結果，也就是得在公認環境下，將自己的模型與SOTA模型比較，來驗證模型效能、說服大眾。Alexey Bochkovskiy在回覆美團的信件中表示，要納入官方版本模型，就得要有「Fair comparison」才行。</strong></p> <p><strong>與此同時，出於好奇，王建堯也做了一次實驗，來比對YOLOv6與YOLOv7的效能。當時，他向國網中心申請，設置一個等同於美團宣稱的測試環境，來比較YOLOv6和YOLOv7不同版本的表現。</strong></p> <p><strong>這個實驗為期數天，王建堯發現，在美團宣稱的環境下，也就是使用MSCOCO資料集、V100 GPU和batch=32的條件下，YOLOv6-n模型的推論時間為0.5毫秒，也就是每秒能處理2,000幀影像，平均精度（AP）為35.0%，而YOLOv7-tiny的推論時間是0.4毫秒，等於每秒能辨識2,500幀影像，平均精度為35.2%。</strong></p> <p><strong>也因此，就模型推論速度來說，YOLOv7比YOLOv6快了25%，而就平均精度來說，YOLOv7則比YOLOv6高出0.2%。後來，王建堯也將實驗結果寫進YOLOv7論文中，並附上不同模型版本的實測圖表，來說明評比結果。</strong></p> <p><strong>美團YOLOv6的出現，雖然影響中研院團隊的原定計畫，但也證明了YOLOv7的實力和模型設計方向。也因為YOLOv6突然出現，中研院團隊有機會進行比對實驗，並將最新數據納入論文中，讓人一目瞭然。中研院團隊最後也擇期在7月7日正式發表YOLO第七代模型。</strong></p> <p><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1122-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=Rnl12jC7" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/3/27 00:00作者王若樸https://www.ithome.com.tw/news/156088
玉山銀行也開始運用ChatGPT協助KYC開戶調查，未來Chatbot客服也要用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣金融業也開始有ChatGPT應用案例出現，不是測試，而是已經開始實際採用了。玉山金控科技長張智星近日在一場活動中透露，目前玉山內部已經開始採用ChatGPT幫助他們處理客戶開戶的KYC（Know your customer）的調查，包括負面新聞整理和摘要等，幫助他們從新聞內容找出開戶顧客有無負面行為或記錄，經過一段時間測試，發現效果不錯，甚至未來，玉山Chatbot聊天機器人也將接上ChatGPT，不再自行發展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230324_080245583.jpg" style="width: 600px; height: 338px;" /></p> <p>最近一周，AI圈發生很多大事，從OpenAI推出比ChatGPT的更強的GPT-4語言模型、到更進化的<span>圖像生成</span>工具Midjourney v5釋出，更有百度展示中國版ChatGPT文新一言，用來對抗ChatGPT。「這些大事不只讓許多新創團隊睡不著，也讓我都很難入睡」張智星有感而發的說。</p> <p>身為玉山AI發展和領軍關鍵人物，張智星看到這些日子以來AI進展飛快自己都感到驚訝，他表示， ChainGPT問世，等於說是AI界的奇點（Singularity ），帶動AI飛躍式成長，甚至在微軟和Google先後把生成式AI帶進Office365和Workspace後，他認為，現在AI已經全面進入到企業辦公室軟體裡面。</p> <p>當然，張智星也看好生成式AI在金融產業應用的潛力，所以3月初ChatGPT API一公布後，張智星和團隊也立刻展開評估，來決定哪些場景可以用，最後決定將ChatGPT先運用於內外部的KYC應用調查上，幫忙負面新聞查詢的重點整理和提供摘要。</p> <p>過去顧客來銀行開戶時，銀行會先進行負面新聞查詢，了解客戶的背景，查看有無涉及洗錢、貪汙、監管違規等負面資訊，但調查過程很花時間，得先將客戶姓名輸入到內部搜尋引擎，再由人員根據蒐尋引擎找到的新聞連結，來逐一查看有沒有任何負面新聞，光是把全部內容看過並整理完就需要一段時間，常常讓開戶顧客得等上好一陣子，因此，他們試著把這項工作交給ChatGPT來處理，來解決這個問題。</p> <p>張智星表示，現在只要把這些負面新聞內容輸入到ChatGPT中，再對ChatGPT給出合適提詞（例如找出這個人有沒有負面新聞等），ChatGPT看過一遍後，就會把這個人過去有沒有任何負面行為及負面新聞列出來，還可以幫你做重點整理和摘要，作業速度快上不少，從原本30分鐘，現在只要數分鐘就能完成，開戶顧客等待時間就會少佷多，也能服務更多新客戶。</p> <p>經過一段時間測試，發現使用ChatGPT的效果不錯，替他們省下不少查找時間，也能幫客戶可以更快完成開戶，目前已經在玉山內部開始運用，不過，張智星也表示，就算交給ChatGPT幫忙整理重點和列摘要，還會由人工做最後確認，不會完全靠ChatGPT，避免可能的出錯，比如因同名同姓而認錯人。</p> <p>不過，考慮到金融業對於資安有嚴格要求，玉山最後是透過微軟訂閱方案來使用ChatGPT，而不是直接採用Open AI官方ChatGPT。目前玉山是微軟ChatGPT方案採用的前幾家臺灣企業之一，也是臺灣金融業第一家。</p> <p>其實使用ChatGPT前，玉山AI團隊自己也想過是不是能夠建立出自己的ChatGPT，但訓練ChatGPT需要龐大的算力，很燒錢，不是一般企業可以自己來，單是GPT-3訓練一次的成本就要140萬美元，對於一些更大的LLM模型，訓練成本更是介於200萬美元到1200萬美元之間。</p> <p>他們自行比較了玉山銀行現有的AI訓練算力池，但發現如果想要練出和ChatGPT一樣的對話式AI水準，就算是把所有的訓練運算資源全部投入，也要1.2年才能訓練得出來，「可以想像這是多大的成本。」張智星也坦承，玉山短時間沒辦法立刻打造出像ChatGPT的AI對話系統。</p> <p>正是因為短時間很難超越ChatGPT，所以張智星的策略是，直接善用ChatGPT在對話式AI的卓越能力，讓他們可以把這類AI應用發揮得更好。</p> <p>例如玉山原本就有開發自己的Chatbot聊天機器人，也是實現玉山AI願景的重要關鍵，但現在有了ChatGPT以後，張智星明白表示，以後玉山Chatbot將接上ChatGPT，不再自行發展，但他也強調，這並不會讓他們過去投入事情因此白白浪費像做白工，「正是因為我們先把基礎設施都建好了，就可以在ChatGPT推出後很順利銜接上。」他表示。</p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/3/25 16:44作者余至浩https://www.ithome.com.tw/news/156118
【資安日報】3月25日，GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上個月<a href="https://www.ithome.com.tw/news/155321">程式碼儲存庫GitHub察覺應用程式的簽章遭竊</a>，最近再傳資安事故──GitHub網站的部分私鑰不慎公開，該公司已採取緊急應變措施因應。不過，對於金鑰曝光的確切時間，他們沒有進一步說明。</p> <p>社群網站的資料庫沒有採取妥善的防護措施，而造成個資外洩，有可能讓使用者相關個資曝光，甚至影響人身安全。近日資安新聞網站發現韓國美容社交平臺PowderRoom資料外洩事故，並指出至少曝露超過一年。</p> <p>在一起針對電商網站的側錄攻擊行動裡，研究人員發現受害情況可能更加複雜，而使得遭到攻擊的網站更難清除相關的攻擊程式碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://github.blog/2023-03-23-we-updated-our-rsa-ssh-host-key/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub私鑰遭到公開，該公司進行緊急撤換</span></strong></a></p> <p>3月23日GitHub發布公告，表示近日他們網站的RSA SSH私鑰，短暫曝露於公開的儲存庫。對此，該公司進行部分的金鑰替換因應。而對於本次事故發生的原因，他們初步認為是無意間造成的錯誤，並非GitHub系統遭到攻擊，也沒有客戶個資被竊取。再者，目前尚未有證據顯示該公司曝露的金鑰遭利用。</p> <p><a href="https://cybernews.com/security/powder-room-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國美容社交平臺PowderRoom曝露百萬用戶個資</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PowderRoom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowderRoom.png" style="width: 200px; float: right;" /></a>資安新聞網站Cybernews揭露韓國美容社交平臺PowderRoom資料外洩事故，此平臺採用的資料庫內含近140 GB資料，包含使用者姓名、電話號碼、Instagram用戶名稱、居住地址，公開超過一年，一旦遭到濫用，攻擊者有可能挾持這些使用者帳號及支付資料購物，或是在PowderRoom平臺發表評論，甚至透過地址與電話號碼騷擾使用者。根據該資料庫存放的帳密資料，約有100萬個使用者受到影響。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/03/new-kritec-skimmer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電子商務平臺Magento遭到惡意程式碼Kritec側錄交易資料</span></strong></a></p> <p>資安業者Malwarebytes發現，在<a href="https://www.akamai.com/blog/security/magecart-attack-disguised-as-google-tag-manager">上個月雲端服務業者Akamai揭露的Magecart網站側錄攻擊</a>當中，發現出手的駭客組織可能有第二組人馬。</p> <p>當時Akamai指出，駭客為了隱匿行蹤，他們不只使用Base64演算法來處理惡意程式碼，並冒充Google Tab Manager等第三方網站服務。Malwarebytes的研究人員指出，在Akamai發現駭客所使用的側錄工具「WebSocket」之外，他們在受害的電商網站，還找到另一款名為Kritec的側錄工具，它會濫用Cloudflare的網域來隱匿基礎設施，且含有中介載入器等特徵。</p> <p><a href="https://blog.cyble.com/2023/03/21/notorious-sidecopy-apt-group-sets-sights-on-indias-drdo/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度國防研發機構DRDO遭駭客組織SideCopy攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Infection-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Infection-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露鎖定印度國防研究與發展機構（DRDO）的攻擊行動，巴基斯坦駭客組織SideCopy透過垃圾郵件挾帶ZIP附件檔案，其內容是偽裝成PPTX簡報的捷徑檔案（LNK），一旦收信人開啟，就會執行Windows元件mshta.exe存取指定的URL，下載HTA檔案，此檔案會在受害電腦投放PPTX的誘餌檔案、DLL程式庫載入工具。</p> <p>接著，該載入工具執行第二階段的HTA檔案、DLL程式庫載入工具，最終執行惡意程式cridviz.exe、RAT木馬程式Duser.dll，收集系統資訊，以及電腦所用防毒軟體的名稱，並回傳C2中繼站。</p> <p><a href="https://www.elastic.co/security-labs/naplistener-more-bad-dreams-from-the-developers-of-siestagraph"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南亞、東南亞遭到流量監聽軟體Naplistener攻擊</span></strong></a></p> <p>Elasticsearch旗下的資安實驗室揭露駭客組織Ref2924的攻擊行動，利用C#編譯的HTTP流量監聽工具Naplistener，針對南亞、東南亞的組織而來。研究人員看到攻擊者使用可執行檔型式的Naplistener，並以Windows服務植入受害電腦。</p> <p>值得留意的是，駭客為了迴避資安系統偵測，此監聽工具還會模仿網頁伺服器的行為，產生看似正常的流量，來隱匿其監聽行動。再者，此監聽工具的行動也不會在IIS伺服器留下事件記錄，導致無論是透過網路偵測或是事件記錄偵測都難以察覺。</p> <p><a href="https://www.fda.gov.tw/TC/newsContent.aspx?cid=4&id=t601584"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">食品藥物管理署網站遭到DDoS攻擊</span></strong></a></p> <p>3月24日，食品藥物管理署網站傳出遭到駭客攻擊，而無法存取，對此，食藥署發出公告，證實他們遭到分散式阻斷服務攻擊（DDoS），察覺異常流量後隨即啟動緊急因應措施，並與電信業者合作，現已恢復正常。食藥署指出，這次遭到攻擊的對象是DNS，導致使用者無法經由網址解析服務存取該網站的IP位址。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cisa.gov/news-events/alerts/2023/03/23/untitled-goose-tool-aids-hunt-and-incident-response-azure-azure-active-directory-and-microsoft-365"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA發布可在微軟雲端服務偵測惡意行動的工具</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月23日，發布名為Untitled Goose Tool的資安事件回應工具，目的是協助組織偵測微軟雲端環境的威脅，適用範圍涵蓋Azure、Azure Active Directory、Microsoft 365等。此外，該工具亦能從Microsoft Defender for Endpoint、Defender for Internet of Things收集額外的遙測資料。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.mitiga.io/blog/how-okta-passwords-can-be-compromised-uncovering-a-risk-to-user-data"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">身分驗證及管理系統Okta出現漏洞，恐曝露用戶明文帳號資料而被濫用</span></span></strong></a></p> <p><a href="https://blog.blacklanternsecurity.com/p/introducing-badsecrets"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Black Lantern提供開源工具Badsecrets，可偵測網頁應用程式框架曝露的帳密資料</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/operation-tainted-love-chinese-apts-target-telcos-in-new-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中東電信業者遭到中國駭客長達十年的攻擊行動</span></span></strong></a></p> <p><a href="https://www.cleafy.com/cleafy-labs/nexus-a-new-android-botnet"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">450款金融App遭到安卓木馬Nexus鎖定</span></span></strong></a></p> <p><a href="https://blog.phylum.io/malicious-actors-use-unicode-support-in-python-to-evade-detection"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件濫用萬國碼規避偵測</span></span></strong></a></p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/blackguard-stealer-extends-its-capabilities-in-new-variant"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">57種加密貨幣錢包遭竊資軟體BlackGuard鎖定</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156109">【3月24日】逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156071">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a></strong></p> </div></div></div>
2023/3/25 14:55作者周峻佑https://www.ithome.com.tw/news/156119
Google推出Jetpack Compose 1.4，還釋出全新多媒體函式庫Media3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出Android應用程式UI工具包<a href="https://android-developers.googleblog.com/2023/03/whats-new-in-jetpack-compose-march-23-release.html">Jetpack Compose的最新版本1.4</a>，該版本的新增包括分頁工具Pager和Flow布局功能，同時也提供開發者配置文字樣式的新方法，加入連字號（Hyphenation）和換行（Line-Break）行為等。</p> <p>Jetpack Compose現在能夠讓開發者簡單地創建垂直分頁和水平分頁，讓行動裝置應用程式使用者在螢幕上左右滑動，就能夠快速切換不同內容分頁（下圖）。而Flow布局則提供了一個新的內容折疊方法，當空間不足時，Flow布局允許項目折疊至下一列或下一行。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiELvzQcreOWwd1wEHdHUaxRC-MJ5chGqr_vueQQjRrY6jadlpDNJ2fQb1zkFrgaJ_qdq9nq6pt6PQ-A3Gw7QRO-C0JDdjOOImH1pygKk7zcKNX8PPoGb6dDE5y8xJvEdDKHCB2wWYlrRKXtfEW6sA6t22FPeSSgE8G1MCrDYmE6UyA7LIUJWOi1euy/s1600/image2.gif" style="width: 538px;" /></p> <p>Jetpack Compose 1.4也改進了Text和TextField的靈活性，除了修復錯誤、支援新的表情符號外，Google也解決TextField長期存在的問題，之前在特定情況，可滾動Column或LazyColumn中的文字欄位，在獲得焦點後會被螢幕鍵盤遮擋。Google透過重新設計滾動和焦點邏輯，並添加PinnableContainer等API，修正了這個問題。</p> <p>Text和TextStyle皆新加入更多自定義選項，像是能夠繪製描邊字體的TextStyle.drawStyle，可以配置換行行為TextStyle.lineBreak，以及使用TextStyle.hyphens加入連字符號。</p> <p>除了Jetpack Compose之外，Google還釋出全新多媒體函式庫<a href="https://android-developers.googleblog.com/2023/03/media3-is-ready-to-play.html">Jetpack Media3</a>，供開發者可以在應用程式中建置各種音訊和影像功能，官方表示，Media3與ExoPlayer、MediaCompat或Media2函式庫相似，但是Media3功能更加強大，除了播放功能之外，Media3更提供影片編輯和轉碼等新功能。</p> <p>隨著Media3的發布，ExoPlayer專案被棄用並轉入Media3中，成為Player介面的預設實作，名為com.google.android.exoplayer2，而獨立的ExoPlayer專案將停止開發，未來的更新都會在Media3中發布。</p> </div></div></div>
2023/3/25 11:41作者李建興https://www.ithome.com.tw/news/156111
Nvidia開源可用來建立數位雙生的物理機器學習平臺Modulus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia現在開源物理機器學習平臺<a href="https://developer.nvidia.com/blog/physics-ml-platform-modulus-is-now-open-source/">Modulus</a>，目的是要促進機器學習的協作、透明度和問責性發展。Modulus使用Apache 2.0授權成為開源軟體，研究人員現在已經可以在<a href="https://github.com/NVIDIA/modulus">GitHub儲存庫</a>，取用完整的Modulus原始碼。</p> <p>Modulus是一個先進的人工智慧物理模擬框架，透過結合物理和深度學習技術，可建構出高傳真參數化代理模型，能夠用於高效解決各種的問題。基於物理的機器學習可用於多種模擬運算，諸如流體力學、結構力學和計算化學等，Nvidia提到，以物理為基礎的機器學習，非常適合用來對物理系統建模，因此無論是氣候科學研究還是製造等產業，皆能夠用來部署數位雙生模型。</p> <p class="rtecenter"><img alt="" src="https://developer-blogs.nvidia.com/wp-content/uploads/2023/03/Climate-Scientists-Open-Source-Workflows-1.gif" style="width: 580px;" /></p> <p>Nvidia提到，開源Modulus帶來的好處讓使用者更容易協作，並與廣泛的社群共享工作成果，藉由公開程式碼和資料，也能夠提高物理機器學習的透明度和可重複性，使更多科學家便能夠驗證和重現結果。開源工作流程可以促進創新，使更多人可以建立在前人的工作基礎上，另外，開源也使得研究更容易被相關利益者接觸，擴大以物理為基礎的建模研究，擴展研究的影響力。</p> <p>不同領域的使用者，皆可以自由使用、開發和貢獻Modulus專案，Nvidia表示，過去幾年Modulus團隊和企業、人工智慧研究人員合作，擴充了平臺功能，因此Modulus現在涵蓋了更多領域，加入資料和物理驅動方法，用於解決工業規模的問題。所以Modulus包含了由資料驅動的神經運算子架構系列，包括圖形神經網路和物理資訊神經網路。氣象研究人員可以在Modulus上使用FourCastNet，動態模擬全球氣候的物理機器學習模型。</p> </div></div></div>
2023/3/25 11:50作者李建興https://www.ithome.com.tw/news/156112
Google雲端推出互動式數位主權探索工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google新推出的數位主權工具<a href="https://cloud.google.com/blog/products/identity-security/announcing-google-clouds-new-digital-sovereignty-explorer">Digital Sovereignty Explorer</a>，能夠以線上互動的形式，提供使用者一份個人化報告。透過回答一系列涵蓋數位主權、營運主權和軟體主權等問題，使用戶能夠更了解適用的解決方案和可採取的行動。</p> <p>隨著數位主權在企業推動數位化的重要性日益增加，特別是在歐洲市場，Google推出一系列針對歐洲法規的主權解決方案，但是因為數位主權的概念並不容易理解，企業在選擇適合的技術和解決方案上常面臨困難，因此Google現在進一步推出數位主權工具Digital Sovereignty Explorer，希望透過互動的方式引導企業用戶了解數位主權的重點和權衡，並針對各類的雲端工作負載，提供可用的解決方案。</p> <p>Google指出，目前數位主權的討論，通常僅關注資料落地（Data Residency）方面，但是Digital Sovereignty Explorer則涵蓋數位主權、營運主權和軟體主權等三大支柱。Digital Sovereignty Explorer透過一系列問題協助企業釐清需求，像是數位主權探討資料落地、管理存取控制和加密金鑰管理策略等主題，營運主權則深入探討當地合作夥伴的營運偏好，包括技術支援人員的配置，以及合作夥伴監督範圍等，而軟體主權則討論本地儲存、基礎設施等相關的潛在權衡。</p> <p>藉由使用Digital Sovereignty Explorer，企業能夠了解諸如限制內部人員存取智慧財產權的措施，政府機構也可以掌握安全處理敏感資料的選擇。Digital Sovereignty Explorer的互動性可讓企業針對其資料、營運、政策和監管義務，替雲端工作負載制定正確的控制政策。</p> <p>在用戶完成Digital Sovereignty Explorer中一系列問題後，便會收到總結報告，Google會根據企業的回答，提供參考資料，以及Google在歐洲的合作夥伴解決方案建議。</p> </div></div></div>
2023/3/25 11:57作者李建興https://www.ithome.com.tw/news/156113
【資安日報】3月24日，逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用惡意程式碼攻擊網站使用者的現象，我們前幾天介紹了從1.7萬個網站竊取帳密資料的金融木馬程式Mispadu，現在出現了規模更大的網站攻擊行動──這次駭客針對5.1萬個網站下手，透過多階段的惡意JavaScript注入與惡意程式碼參入正常程式碼等手法，使得瀏覽受害網站的使用者會被重新導向至惡意網站。</p> <p>除了網站資安事故相當值得留意，假冒廠商貸款名義的商業郵件詐騙（BEC）攻擊行動也同樣要小心，駭客看準了房地產業者會常常經手高額貸款的情況，發送有關的發票、電匯文件資料。研究人員指出，雖然他們成功發現駭客的意圖，但目標組織是否上當仍不得而知。</p> <p>手機、電腦內建的螢幕畫面截取工具竟存在漏洞，讓編輯過後的圖片留下有關資料，而有可能復原！研究人員認為，這樣的漏洞很可能也存在於其他廠牌的手機、電腦作業系統上。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://unit42.paloaltonetworks.com/malicious-javascript-injection/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-127351-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-127351-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露大規模的JavaScript程式碼攻擊行動，駭客約自2022年1月23日開始，不斷入侵網站並植入惡意JavaScript程式碼，使得瀏覽這些網站的使用者被重新導向至惡意網站，迄今有超過5.1個網站、17萬個URL遇害，這起攻擊行動在2022年5月至8月達到高峰，這段期間每天平均有4千個URL遭到相關攻擊。</p> <p>研究人員指出，駭客運用了多種混淆手法來迴避偵測，例如：利用String.fromCharCode函數埋藏惡意JavaScript的URL，或是使用十六進位表示法編碼，他們也看到將惡意指令碼注入到大型檔案，或是多階段注入指令碼的情況。</p> <p><a href="https://abnormalsecurity.com/blog/36-million-vendor-fraud"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借貸款名義發動BEC攻擊，企圖詐騙3,600萬美元</span></strong></a></p> <p>資安業者Abnormal Security揭露駭客假借廠商名義發動的商業郵件詐騙（BEC）攻擊行動，駭客聲稱自己是目標公司長期合作夥伴的高階副總裁暨法律顧問，發送帶有詐欺付款資訊的發票與電匯資料，申請3,600萬美元貸款。</p> <p>駭客為了取信目標公司，不只使用極為相似的網域名稱，甚至寄送副本給另一家知名的房地產投資公司（不過，上述的兩個網域，駭客都將.com的部分換成.cam）。再加上遭到鎖定的公司從事房地產業務，常常會經手處理高額貸款的審核與收發，而有可能不會留意到異狀，該資安業者呼籲相關業者要提高警覺。</p> <p><a href="https://www.group-ib.com/blog/venomous-vacancies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中東、非洲求職者遭到2,400個詐騙網頁盯上</span></strong></a></p> <p>資安業者Group-IB揭露為期一年、使用超過2,400個詐騙網站的求職詐騙攻擊，駭客自2022年1月至2023年1月，針對13個中東與非洲地區的國家、使用阿拉伯語的求職者下手，並偽裝成超過40個知名廠商，目的是騙取受害者的網路服務帳密資料。</p> <p>研究人員指出，從駭客假冒的公司所在地區來看，有近半數位於埃及（48%），其次是沙烏地阿拉伯和阿爾及利亞（23%、17%）；而根據產業類型而言，近三分之二是物流業（64%），其次則是食品與飲料業者（20%），以及石油工業（12%）。</p> <p><a href="https://jfrog.com/blog/attackers-are-starting-to-target-net-developers-with-malicious-code-nuget-packages/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件鎖定.NET開發人員而來</span></strong></a></p> <p>資安業者JFrog揭露惡意NuGet套件的攻擊行動，駭客在今年1月至2月，上傳13個套件，其中有3個在一個月裡總共被下載超過15萬次。</p> <p>研究人員針對這些NuGet套件進行分析，結果發現其主要功能都是於目標電腦執行PowerShell指令碼init.ps1，將PowerShell執行組態調整為不受任何限制，使得攻擊者能任意執行PowerShell指令碼，進而部署惡意酬載，最終竊取開發者的加密貨幣錢包。其中，有部分惡意套件並未包含惡意酬載，而是透過相依套件的方式進入目標電腦。</p> <p>此外，對於大部分防毒軟體而言，這些惡意酬載並不會被判定為有害，再加上開發者在Visual Studio安裝含有init.ps1的NuGet套件時，居然沒有任何警示視窗出現，導致開發人員很有可能難以察覺異狀。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/03/emotet-onenote"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet透過OneNote筆記檔案散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file72517_262451_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file72517_262451_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes針對殭屍網路Emotet的動態提出警告，指出相關攻擊在趨緩3個月後又再度捲土重來，這次駭客借助名為Epoch 4的殭屍網路基礎設施展開攻擊，並改用OneNote筆記檔案做為釣魚郵件的附件。</p> <p>一旦收信人開啟上述的附件檔案，就會出現「文件受到保護」的警示視窗，要求收信人點選檢視按鈕來瀏覽完整的內容，然而一旦照做，此OneNote檔案就會觸發指令碼，然後下載Emotet酬載，並透過regsvr32.exe載入、執行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-74842"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科網路設備作業系統IOS出現高風險漏洞</span></strong></a></p> <p>3月22日思科針對旗下網路設備作業系統IOS、IOS XE，發布半年度的例行更新，總共修補了10個漏洞，CVSS風險評分為4.4至8.6分，其中有6個是高風險等級。</p> <p>這些漏洞最嚴重的是CVE-2023-20080、CVE-2023-20072、CVE-2023-20027，都可能在攻擊者尚未通過身分驗證的情況下，用於阻斷服務（DoS）攻擊，CVSS風險評分皆為8.6分。這些漏洞分別與IPv6 DHCP（DHCPv6）Relay and Server、分段隧道協定（Fragmented Tunnel Protocol）的封包處理，以及IPv4的虛擬分段與重組（Virtual Fragmentation Reassembly，VFR）等功能有關。</p> <p><a href="https://www.da.vidbuchanan.co.uk/blog/exploiting-acropalypse.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">手機編輯過的照片有可能被復原！研究人員揭露Google手機圖片編輯工具漏洞Acropalypse</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FrdHHYdakAADqzZ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FrdHHYdakAADqzZ.png" style="width: 300px; float: right;" /></a>研究人員Simon Aarons和David Buchanan揭露名為Acropalypse的漏洞（CVE-2023-21036），這項漏洞存在於近5年的Google Pixel手機，對於透過手機的標記工具（MarkUp Tool）裁剪、編輯的部分內容，有可能因此而得以恢復，例如，使用者可能拍下信用卡外觀上的卡號與CVV驗證碼，再用上述工具進行處理以免卡號公開，而透過這個漏洞的濫用，攻擊者就有機會藉由上述漏洞還原成原始照片。</p> <p>研究人員表示，約有8成圖片修改內容可藉此回復原狀。Google獲報後，已於3月13日發布更新程式予以修補。但值得留意的是，這樣問題會影響最近5年內由前述工具編輯的照片，甚至也有可能出現在其他安卓手機。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-snipping-tool-privacy-bug-exposes-cropped-image-content/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows 11剪取工具也存在Acropalypse漏洞</span></strong></a></p> <p>研究人員Chris Blume指出，Windows 11的剪取工具（Snipping Tool）存在Acropalypse漏洞，而導致編輯過的PNG、JPG圖片檔案保有原本的IEND資料，而有可能被復原。這項漏洞也得到研究人員Will Dormann、資安新聞網站Bleeping Computer的確認。在此之前，智慧型手機Google Pixel的標記工具（MarkUp Tool）也曾出現Acropalypse漏洞。</p> <p><a href="https://blog.talosintelligence.com/vulnerability-spotlight-wellintech-ics-platform-vulnerable-to-information-disclosure-buffer-overflow-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國工業自動化軟體WellinTech KingHistorian存在高風險漏洞</span></strong></a></p> <p>思科威脅情報團隊Talos於3月21日，揭露2個OT資安漏洞，問題出在中國工業控制自動化業者亞控科技（WellinTech）旗下的時間序列資料庫平臺KingHistorian，其中較為嚴重的是整數轉換漏洞CVE-2022-43663，存在於SORBAx64.dll程式庫，CVSS風險評分為8.1；另一個漏洞是CVE-2022-45124，攻擊者可截取身分驗證的封包而造成資訊洩露，CVSS風險評分為7.5。WellinTech於3月17日，發布上述漏洞的修補程式。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156040"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣面臨網攻次數是全球平均的兩倍！2022年臺灣每週每個組織面臨3千次攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156101"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GoAnywhwere漏洞受害組織持續增加，多倫多市、維珍集團、P&G入列</span></span></strong></a></p> <p><a href="https://www.horizon3.ai/veeam-backup-and-replication-cve-2023-27532-deep-dive/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發布Veeam備份系統重大漏洞的概念性驗證程式碼</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156068"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">ChatGPT修補曝露用戶對話紀錄標題的漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156072"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS推出資料無塵室服務Clean Rooms，供企業與外部進行安全資料協作</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/03/23/cinoshi-project-and-the-dark-side-of-free-maas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客以服務型式提供惡意程式Cinoshi多種攻擊模組</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156071">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a></strong></p> </div></div></div>
2023/3/24 15:12作者周峻佑https://www.ithome.com.tw/news/156109
甲骨文MySQL HeatWave強化AutoML功能，增加自動化機器學習用例支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.oracle.com/mysql/post/mysql-heatwave-new-machine-learning-multicloud-capabilities">甲骨文（Oracle）資料倉儲分析工具MySQL HeatWave更新</a>，除了強化自動機器學習（AutoML）功能，增加支援的機器學習用例，同時也擴展MySQL HeatWave的多雲支援。</p> <p>HeatWave是甲骨文的高效能MySQL查詢工具，使用戶能夠快速地查詢儲存在MySQL資料庫的資料，而HeatWave原本就有提供內建在資料庫中的原生機器學習服務，能夠直接執行機器學習訓練、推理和解釋資料，提供自動訓練回歸、分類和單變數時間序列預測模型。</p> <p>而本次MySQL HeatWave的新功能，甲骨文擴展HeatWave AutoML生命周期自動化，新支援多變數時間序列預測、非監督異常偵測和推薦系統，資料分析師可以不需要專業人員協助，就能以互動式控制臺，建置、訓練、執行和解釋這些機器學習模型。</p> <p>多變數時間序列預測是以過去多變數時間序列，預測未來資料變化的一種方法，像是可用於建立模型，預測冬季用電需求等，多變數時間序列有多種可用的預測演算法，而挑選適合的演算法並非一件簡單的工作，現在MySQL HeatWave所提供的AutoML，能夠預處理資料，並且自動選擇最適合的機器學習模型演算法，還能自動調校模型。</p> <p>官方提到，他們在自動化預測工作管線中，使用由進階時間序列預處理、演算法選擇和超參數調校等多階段組成的專利技術，使得用戶可以不需要專業統計人員，就可以完成多變數時間序列預測。</p> <p>MySQL HeatWave新支援的無監督異常偵測，則可讓用戶能夠簡單地從未標記的資料集中，偵測不同類型的異常，官方解釋，有多種演算法都能夠用於偵測資料異常，但是通常只能偵測特定類型的資料，因此當用戶不知道資料集中存在哪些異常資料，演算法可能無法正確運作。</p> <p>而MySQL HeatWave所生成的模型，能夠針對各類型的資料異常，執行高精確度預測，而且該過程完全自動化，分析師不需要選擇演算法、特徵，也不用擔心超參數的數值。另外，MySQL HeatWave中的推薦系統現在也完全自動化，演算法、特徵和超參數最佳化都不需要用戶決定。</p> <p>甲骨文改進了在MySQL HeatWave與AWS服務的整合，MySQL HeatWave可在AWS上原生運作，並且提供S3最佳化儲存層，當MySQL資料要載入至HeatWave時，系統會將資料複製到S3擴展資料管理層，好處是當需要資料恢復，重新載入資料到HeatWave時，多個HeatWave節點可以平行存取資料，這大幅加速資料恢復速度和服務可用性，使得原本4 TB的HeatWave叢集從S3恢復只要3.5分鐘，比從MySQL重新載入資料需時140分鐘要快上許多。</p> <p>MySQL HeatWave控制臺開始支援MySQL自動形狀預測（Autopilot Auto-shape Prediction），該機器學習功能將會即時監控OLTP工作負載，預測應用程式的執行狀況和效能需求，根據歷史效能分析趨勢，像是吞吐量、緩衝區命中率，自動推薦適合的資料庫形狀。資料庫的形狀指得是資料庫執行個體的配置，包括CPU、記憶體和儲存空間等。</p> </div></div></div>
2023/3/24 16:30作者李建興https://www.ithome.com.tw/news/156110
CISA釋出Untitled Goose Tool，可偵測微軟雲端服務的惡意活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.com/cisagov/untitledgoosetool#about" target="_blank">美國網路安全暨基礎設施安全局（CISA）周三（3/23）透過GitHub釋出了Untitled Goose Tool</a>，此一工具專門用來偵測微軟Microsoft Azure、Azure Active Directory（AAD）與Microsoft 365（M365）環境中的潛在惡意活動。</p> <p>Untitled Goose Tool為一資安事件追捕與回應工具，它能匯出及檢查AAD登入與稽核紀錄、M365統一稽核紀錄、Azure活動紀錄、Microsoft Defender for IoT警報，以及Microsoft Defender for Endpoint的資料，分析這些紀錄與資料是否涉及可疑行為。</p> <p>亦可查詢、匯出及調查AAD、M365與Azure配置，或是無需額外分析就能自這些環境汲取雲端構件，設定統一稽核紀錄的時間與汲取特定期間的資料等。</p> <p>Untitled Goose Tool支援Python 3.7、3.8及3.9，CISA建議使用者於虛擬環境中使用該工具。</p> </div></div></div>
2023/3/24 14:46作者陳曉莉https://www.ithome.com.tw/news/156106
GoAnywhwere漏洞勒索軟體受害者持續增加，多倫多、維珍集團、P&G疑入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月間爆出已經遭濫用的GoAnywhere漏洞受害者持續增加。勒索軟體Clop背後的駭客公布最新感染企業或組織，包括加拿大多倫多市、英國維珍（Virgin）集團及民生化學用品巨擘P&G。</p> <p><a href="https://twitter.com/AlvieriD/status/1638894969653018624" target="_blank">安全研究人員Dominic Alvieri 發現</a>Clop駭客組織周三公布最新一波受害企業組織，包括加拿大多倫多市政府、維珍（Virgin）集團、P&G、荷美爾（Hormel）食品、慕尼黑再保險公司（Munich Re）、美國國際噴氣機貨運（AmeriJet Airlines）、礦業公司力拓（Rio Tinto）、教育集團Pluralsight、Investissement Québec、艾克塞斯銀行（Axis Bank）等。</p> <p>Clop駭客是濫用了GoAnywhere代管檔案傳輸（MFT）服務的遠端程式碼執行（RCE）漏洞CVE-2023-0669取得受害企業或組織資訊。Clop 2月表示共駭入了約130家企業組織。<a href="https://www.ithome.com.tw/news/156013" target="_blank">日立能源</a>、Rubrik、Investissement Québec已在本周稍早公布此事。</p> <p><a href="https://www.bleepingcomputer.com/news/security/city-of-toronto-confirms-data-theft-clop-claims-responsibility/" target="_blank">加拿大多倫多市政府周二證實</a>遭到資訊外洩攻擊。<a href="https://therecord.media/toronto-virgin-clop-hack-goanywhere" target="_blank">多倫多市政府</a>表示駭客經由第三方廠商存取市府資訊，但受影響範圍僅及該廠商處理的資料。但市府否認是遭到Clop攻擊，第三方服務也不是GoAnywhere。</p> <p>維珍集團旗下點數兌換業務Virgin Red、<a href="https://thecyberexpress.com/pg-cyber-attack-cl0p-ransomware-victim-list/" target="_blank">P&G</a>及Pluralsight也都坦承是GoAnywhere用戶且遭遇資訊外洩。Virgin Red和P&G都說只有員工資訊外洩，不影響客戶個資。Pluralsight則坦承企業客戶資訊被竊。</p> <p>Clop駭客昨日公布39家新增受害者，本周一共有72家企業或政府單位已經為人所知。2021年Clop已利用Accellion FTA漏洞感染數千家企業，基於GoAnywhere MFT和Accellion FTA的產品相似功能，媒體推測GoAnywhere MFT漏洞濫用可能還會持續及蔓延。</p> </div></div></div>
2023/3/24 13:54作者林妍溱https://www.ithome.com.tw/news/156101
Windows 11剪取工具臭蟲能讓所有編輯的圖片失效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現Windows 11的剪取工具存在一項臭蟲，能讓用戶剪裁過的圖片回復，不但會造成作業混亂，也有隱私問題。</p> <p>Windows和Android、iOS都提供讓用戶剪取、編輯或塗黑相片或圖片某個部分的工具，以便符合簡報需求，或隱藏隱私或機密資訊。不過上周有研究人員<a href="http://twitter.com/ItsSimonTime/status/1636857478263750656" target="_blank">David Buchanan及</a><a href="https://twitter.com/ItsSimonTime/status/1636857478263750656" target="_blank">Simon Aarons發現</a>Google Pixel手機中的標記工具（Markup Tool）有項臭蟲，能部分回復經用戶剪取或塗黑的圖片，而且久至5年前的相片都能作用。利用這項漏洞，使用者想隱藏的信用卡號或其他隱私資訊都可能曝光。</p> <p>研究人員稱此臭蟲為Acropalypse，<a href="https://acropalypse.app/" target="_blank">他甚至推出一個線上擷圖回復工具</a>，復原Pixel手機上經剪取編輯的圖片，並示範將測試用、以Pixel手機塗黑過再上傳到Discord網站的相片回復原圖。</p> <p><a href="https://twitter.com/ProgramMax/status/1638217206180741121" target="_blank">另一名研究人員Chris Blume則在Windows 11發現類似的問題</a>。假設有一幀PNG圖檔及以Windows 11剪取工具剪取的小圖，研究人員以Windows 11剪取工具開啟該剪裁過的圖片，再以原圖的檔名儲存，以覆蓋掉原圖。這個漏洞在於以Windows 11剪取工具新產生的PNG圖檔，並未移除掉原圖檔的IEND資料串，這使得新PNG圖檔看似是小圖，其實包含原圖資訊。</p> <p>研究人員Buchanan的工具是為Pixel手機相片設計的，但仍在測試中，部份回復了舊PNG圖檔（不過並非所有PNG格式）。</p> <p>此外，<a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-snipping-tool-privacy-bug-exposes-cropped-image-content/" target="_blank">《Bleeping Computer》測試發現</a>，Windows 11的剪取工具在編輯.JPG圖檔也有同樣問題。只是研究人員說，目前他的工具還不支援JPG檔。</p> <p>微軟對媒體表示已展開調查，必要時將採取行動確保用戶資訊。</p> </div></div></div>
2023/3/24 12:03作者林妍溱https://www.ithome.com.tw/news/156100
ChatGPT支援外掛，可使用外部服務搜尋即時資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/chatgpt-plugins" target="_blank">OpenAI昨（23）日宣布</a>ChatGPT可支援外掛，讓這個AI聊天機器人可以連上網際網路以搜尋即時資訊，或使用第三方服務。這也讓ChatGPT將變成開發平臺。</p> <p>OpenAI今天起開始釋出外掛，供用戶安裝，以便執行多項任務。這些外掛是以安全為核心理念，專為語言模型設計的工具，旨在讓ChatGPT存取最新資訊、執行計算或使用第三方服務。</p> <p>從ChatGPT上線以來，許多人要求外掛程式，也有開發人員展開實驗。透過使用外掛，未來ChatGPT可以幫用戶查閱新聞、訂機票，或從專屬資料庫搜尋資訊，而外掛開發人員則可以用它來實現更多使用情境。</p> <p>為進行測試，從今天起，OpenAI將從少部分使用者開始部署ChatGPT外掛，再逐步推向更多人，包括外掛開發人員及ChatGPT Plus使用者。而在Alpha版測試期過後，也會開放API使用者，使其將外掛整合到其產品中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0324-ChatGPT%20plugins-Browsing%20up-to-date%20information-600-2.png" style="width: 600px;" /></p> <p><a href="https://help.openai.com/en/articles/7183286-chatgpt-plugins" target="_blank">OpenAI QA網頁指出</a>，ChatGPT可以判別何時呼叫外掛，何時使用內建知識回答用戶問題。例如它若判別用戶問的是現在的事件，就會呼叫瀏覽器外掛，若是詢問簡單的數學或科學問題，就會以內建知識提供答案。使用者也可以要求ChatGPT使用外掛，例如「使用Expedia規畫我的紐約旅遊。」</p> <p>OpenAI希望藉此建立以ChatGPT為中心的社群，以型塑AI和人互動的新典範。<a href="https://twitter.com/sama/status/1638951865319821312" target="_blank">OpenAI執行長Sam Altman表示</a>很期待看到開發人員會用它來開發出什麼。</p> <p>今天上線的第一批外掛來自Expedia、FiscalNote、Instacart、KAYAK、Klarna、 Milo、OpenTable、 Shopify、Slack、Speak、Wolfram和Zapier等11款，將先部署給ChatGPT Plus訂閱用戶。此外OpenAI自己也提供2個外掛，包括用於解析程式碼及搜尋網際網路，以便ChatGPT可從外部網路搜尋到最新資訊，而非從原有訓練的資料庫取得較舊的答案。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0324-ChatGPT%20plugins-Browsing%20up-to-date%20information-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0324-ChatGPT%20plugins-Browsing%20up-to-date%20information-600.png" style="width: 400px;" /></a></p> <p>此外，OpenAI也開源知識庫Retrieval Plug-in的程式碼，讓開發人員可將特定資訊加入使ChatGPT更豐富。</p> <p>希望能開發ChatGPT外掛的開發人員需先在<a href="https://openai.com/waitlist/plugins" target="_blank">等候清單</a>註冊等待OpenAI開放。</p> </div></div></div>
2023/3/24 11:02作者林妍溱https://www.ithome.com.tw/news/156095
FTC將制止那些很難取消訂閱的行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2023/03/federal-trade-commission-proposes-rule-provision-making-it-easier-consumers-click-cancel-recurring" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周四（3/23）提出了一項新規定</a>，要求業者必須讓消費者取消訂閱與訂閱服務一樣容易，不再讓消費者落入無止境的訂閱循環中。</p> <p>FTC表示，訂閱服務是個很普遍的計畫，從化妝品、報紙到健身房都藉由訂閱服務來培養長期客戶，可同時造福企業與消費者，然而，當行銷人員未能充分披露資訊，未經消費者同意便展開收費，或者是讓取消訂閱變得很困難，例如要求客戶親自取消，或是要求消費者等待以與客服人員討論時，就會成為問題。每年FTC都收到數千筆有關上述作法的消費者投訴。</p> <p>此一提案為FTC審核《1973否定選項規定》（1973 Negative Option Rule）的一環，此一規定是用來打擊與訂閱、會員資格及其它經常性付款計畫相關的不公平或欺騙行為。</p> <p>其具體內容包括將要求業者提供簡單的取消訂閱機制，因為倘若消費者無法輕易離開任何訂閱計畫，該規定便無存在價值，因而要求業者至少要讓取消訂閱與訂閱服務一樣簡單，例如如果可以透過網路訂閱，那麼就必須可透過網路取消，而且步驟數量必須一致。</p> <p>其次是在消費者打算取消訂閱時，業者可提供額外的優惠及選項，但必須允許消費者拒絕任何其它選項而直接取消。此外，新規定也會要求業者必須在每年要自動續約之際提醒消費者。</p> <p>FTC主席Lina Khan表示，此一提案將替消費者節省時間與金錢，同時讓那些利用陷阱來哄騙消費者繼續訂閱的業者受到處罰。</p> <p>該提議很快就會出現在《聯邦公報》（Federal Register）上，並接受大眾的評論與意見。</p> </div></div></div>
2023/3/24 11:24作者陳曉莉https://www.ithome.com.tw/news/156099
Ubisoft腳本編寫新工具Ghostwriter，以AI加速遊戲NPC對話編寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著現在遊戲的世界場景越來越大，需要的NPC（Non-Player Character）數量也更多，導致編劇需要編寫大量的NPC對話腳本，而Ubisoft現在應用人工智慧技術開發<a href="https://news.ubisoft.com/en-us/article/7Cm07zbBGy4Xml6WgYi25d/the-convergence-of-ai-and-creativity-introducing-ghostwriter">Ghostwriter</a>，遵循編劇的指令以及腳本編寫風格提供建議，加速NPC腳本編寫的速度。</p> <p>在遊戲中，NPC在觸發事件中所發出的短語、聲音，以及人群之間的聊天，能夠讓玩家感覺他們僅是這個世界的一份子，整個遊戲世界的運作並非完全由他們驅動，而這正是營造遊戲沈浸體驗的重要元素。不過無論是路邊NPC的交談，抑或是在進入特定區域觸發NPC間的交流，都必須由編劇花費時間和精力編寫對話腳本。</p> <p>而Ubisoft在今年的遊戲開發者大會，就介紹他們所開發的人工智慧工具Ghostwriter，該工具的目的是要提供NPC對話腳本建議，使得編劇可以將生產力用在更重要的核心劇情中，但同時又讓編劇能一定程度地控制NPC的對話腳本。Ghostwriter並非編寫初稿，而是生成讓編劇選擇和潤飾的樣本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be-8OeSOXHBvCI%20(1).jpg" style="width: 580px;" /></p> <p>最初編劇需要先創造一個角色，以及想要產生的互動或是對話，Ghostwriter會提供對話變體，供編劇根據劇情需要自由選擇和編輯，Ghostwriter每一句話會提供兩個選項，由編劇從中比較和選擇，Ghostwriter會逐漸從編劇的選擇中學習，使得之後所產生的對話建議越來越準確。</p> <p>官方表示，要在遊戲中實際應用人工智慧技術，不只是需要工具，同時還需要結合人類的回饋。因此Ubisoft還針對編劇開發了後端工具網站Ernestine，使得編劇能夠訓練自己的機器學習模型，並將這個模型用在Ghostwriter中，生成符合自己風格的腳本。</p> </div></div></div>
2023/3/24 08:29作者李建興https://www.ithome.com.tw/news/156080
Mozilla投入3,000萬美元成立新創Mozilla.ai，以發展可信任生成式AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/introducing-mozilla-ai-investing-in-trustworthy-ai/" target="_blank">Mozilla宣布成立人工智慧新創公司Mozilla.ai以及相關社群</a>，建立可信任且獨立的開源人工智慧生態系，投入3,000萬美元資金，首要目標是開發安全且透明的生成式人工智慧工具。</p> <p>近期人工智慧技術蓬勃發展，許多應用和服務都整合機器學習模型，提供創新服務，這波熱潮由Stable Diffusion等文生圖模型，以及類似<a href="https://www.ithome.com.tw/news/155929">GPT-4</a>等大型語言模型所驅動，Mozilla認為，生成式人工智慧（Generative AI）工具足以對人類溝通、創造力，甚至是整個社會，產生深遠的影響。</p> <p>生成式人工智慧是指特定一類的人工智慧技術，能夠自動生成具有特定特徵，或是符合特定規則的資料，目前生成式人工智慧被應用在多種領域上，諸如圖像生成、語音合成、自然語言處理以及圖形合成等，由於該技術能夠一定程度模仿人類的創造力，因此生成式人工智慧能夠創作圖像、音樂和文本。</p> <p>Mozilla提到，儘管新一波人工智慧浪潮讓人興奮，但同時也帶來了憂慮。在越來越多應用整合生成式人工智慧，也讓人發現了更多該技術許多缺陷，像是<a href="https://www.ithome.com.tw/news/155675">模型生成結果的不可控制性</a>，人工智慧可能會產生不符道德或是不真實的內容，或是<a href="https://www.ithome.com.tw/news/152773">如Deepfake技術被濫用在不道德和惡意的目的上</a>，且由於模型訓練需要有大量的資料，因此人工智慧生成的產物，也<a href="https://www.ithome.com.tw/news/155229">存在著作權和智慧財產權等問題</a>。</p> <p>Mozilla在過去與社群反覆探討相關問題下，勾勒出他們認為可信任人工智慧應該有的樣子，並且決定投入資源創立可以實現該願景的新創公司。雖然社群正在建構開源人工智慧技術，並且發展稽核方法，試圖建立可信任的人工智慧技術，但Mozilla認為，目前對人工智慧最具影響力的大型科技公司，他們並沒有看到足夠的努力，甚至這些公司更重視鞏固市場的控制。</p> <p>Mozilla.ai將從非營利組織Mozilla拿到3,000萬美元資金，建立開源社群以及建構可信任人工智慧。Mozilla.ai目標是開發同時具有代理性、責任性和透明性的人工智慧系統。</p> <p>也就是說，Mozilla.ai將發展具有一定程度的自主性和能力人工智慧系統，該系統將使相關利益方對人工智慧系統的行為負起責任，他們所開發的人工智慧系統，運作原理和決策過程也會清晰易懂，讓人們因為其透明機制而能夠信任人工智慧，Mozilla也特別強調了開放性，認為人工智慧應該開放利益相關者參與、評估和改進，以促進技術創新，保持公平、公正和無歧視性。</p> <p>Mozilla.ai最初的重點在於開發安全且透明的生成式人工智慧工具，發展以人為本的推薦系統，避免散布錯誤訊息，Mozilla.ai還會在接下來數個月發布更多相關資訊和成果。</p> </div></div></div>
2023/3/24 08:34作者李建興https://www.ithome.com.tw/news/156084
深入淺出AI演算法
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-bai_hua_aiyan_suan_fa_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>所謂的智慧是一個謎，這個概念至今仍然沒有一個統一的定義。一般來說，具備自主性與適應性的事物可視為具有智慧。自主性表示不需要持續的指令，而適應性則代表該事物會隨著環境或問題空間而改變行為。當我們在觀察生物或機器時，會發現運作的核心要素是資料。所見所聞皆為資料，對於周圍一切事物之測量也全都是資料。我們使用、處理並根據這些資料做出決定，因此，對周邊資料的概念有基本的了解，在理解人工智慧（AI）演算法上至關重要。</p> <p><span style="font-size:28px;"><strong>定義AI</strong></span></p> <p>在此粗略把AI定義為能夠表現出「智能」行為的綜合系統。與其試圖定義某種事物是否為AI，不如來談談它與AI的相似性。某些事物可能會表現出部分智能，因為它可以幫助我們解決難題並提供價值與效益。通常，模擬視覺、聽覺等自然感官的AI實作會被視為類AI。能夠在適應新資料與環境的同時自主學習的解也是類AI。</p> <p>以下為具備AI性質的一些例子：</p> <p>●可以玩多種複雜遊戲的系統。</p> <p>●癌症腫瘤檢測系統。</p> <p>●基於少量輸入資訊便可生成藝術作品的系統。</p> <p>●自動駕駛汽車。</p> <p>侯世達（Douglas Hofstadter）曾說：「所有未竟之事都是AI。」在上述舉例中，自動駕駛汽車因為還沒有被完善，所以看起來非常先進聰明。這和不久前能夠計算加法的電腦被認為非常聰明，現在卻被視為稀鬆平常是一樣的概念。</p> <p>追根究柢，AI是一個模稜兩可的詞彙，對不同人、行業或學科來說都有著不同的意義。本書中的演算法從以前到現在都被歸類為AI演算法，是否能夠賦予AI一個明確的定義其實並不重要，重點是它們能夠用於解決難題。</p> <p><span style="font-size:28px;"><strong>認知到資料是AI演算法的核心</strong></span></p> <p>資料為執行近乎神蹟的美妙演算法提供了輸入資訊。如果資料選擇不當、代表性不足或缺失，演算法便無法正確運算，因此輸入資料的品質關乎到結果的好壞。這個世界充滿了各種資料，有些甚至以我們無法感知的形式存在。資料能夠以數值的方式呈現，像是北極當前的溫度、池塘中有幾條魚、或是以天數為單位的目前年齡。上述舉例皆涉及根據事實而獲取的準確數值，因此很難誤判。特定時間地點的溫度是絕對真實的，不會受到任何偏差的影響。這類資料被稱為定量資料。</p> <p>資料也可以代表觀察值，例如花香或是某人對特定政治家政策的認同程度。這類資料被稱為定性資料，有時候不好解讀因為它不是絕對真實，而是某個人對真相的感知。</p> <p>資料為事物的原始事實，因此記錄通常不存在偏見。然而事實上，資料是在特定脈絡與使用方式等前提下被人們蒐集、記錄與連結。基於資料而建立有意義的觀點以回答問題的行為稱為建立資訊。基於過往經驗來活用資訊，並且有意識地應用資訊則產生了知識。這便是我們嘗試要以AI演算法模擬出來的部分。</p> <p>不同的人會根據各自對該領域的理解和對世界的看法對資料、訊息和知識做出不同的解釋，這無庸置疑地會影響到解的品質──因此使得科學觀點在創造各種科技時變得額外重要。藉由遵循可重複的科學過程來獲取資料、實驗並精準報告，我們便可以確保在使用演算法處理資料時，能得到更準確的結果與更優秀的解。</p> <p><span style="font-size:28px;"><strong>問題類型與解決問題範式</strong></span></p> <p>AI 演算法很強大，但也不是可以解決所有問題的靈丹妙藥。但話說回來，什麼是問題？本章將著眼於在電腦科學中常見的各種類型問題，帶領讀者如何對這些問題產生基本概念。這種基本概念可以幫助我們在現實世界中辨別出問題，並引導我們選擇正確的演算法。</p> <p>您會看到幾個在電腦科學和人工智慧中用於描述問題的術語，再根據其脈絡與目標來分類問題。</p> <p><span style="color:#B22222;"><strong>搜尋問題：找到通往解的路</strong></span></p> <p>搜尋問題用於可能出現多個解之情況，每個可能性都代表一條通往目的地的步驟（路徑）。有些可能包含了路徑中重疊的子資料集，有些路徑比其他選擇更好，而有些是比其他方案便宜。「比較好」的解取決於手上有哪些具體的問題，而「便宜」的方案表示執行計算上的花費較小。以從地圖上找到城市與城市之間的最短路徑為例，路徑可以有很多條，每一條的距離跟路況都不一樣，但其中有些路徑確實比其他選擇好。許多AI演算法都是以找到解空間的概念為基礎。</p> <p><span style="color:#B22222;"><strong>最佳化問題：找到一個良好解</strong></span></p> <p>最佳化問題通常存在著大量的有效解，但卻很難找到最好的。最佳化問題經常有著多到數不清的可能性，而每一種可能性在解決問題的能力上都有所不同。一個很好的例子是，想辦法將後車箱的空間利用最大化，好塞進所有行李。當然，這樣的排列組合多不勝數，但如果堆疊的方式越得當，可以放進去的行李就越多。</p> <p><span style="color:#B22222;"><strong>區域最佳解vs全域最佳解</strong></span></p> <p>由於最佳化問題存在著許多解，又因為這些解存在於搜尋空間的不同點上，因此區域最佳解和全域最佳解的概念便登場。區域最佳解是搜尋空間中特定區域內的最佳解，而全域最佳解則是在整個搜尋空間中最好的解。通常會有很多個區域最佳解，但只會有一個全域最佳解。這個概念可以理解為找出最適合的餐廳。您在住家附近找到的最好餐廳，不見得會是全國或全世界最好的。</p> <p><span style="color:#B22222;"><strong>預測與分類問題：從資料模式中學習</strong></span></p> <p>預測問題代表我們有關於某件事情的資料並試圖找出模式。例如，我們可能有關於不同車輛的資料、引擎大小和油耗數據。我們可以單就引擎的大小來預測出新車款的油耗嗎？如果引擎大小與油耗資料之間存在著某種關聯，那麼就有可能。</p> <p>分類問題跟預測問題很像，但並非試圖找出像是油耗這種準確的預測，而是根據某事物的特徵試圖找出它的分類。如果單就車輛尺寸、引擎大小和座位數量，我們是否能夠判斷該車輛是摩托車、轎車還是跑車呢？分類問題需要在資料中找出分類案例的模式。在尋找資料模式時，插補法是一個很重要的概念，因為我們是根據已知資料來估算新的資料點。</p> <p><span style="color:#B22222;"><strong>叢集問題：辨別資料中的模式</strong></span></p> <p>叢集問題需要從資料中發現趨勢和關係。可運用不同的方式搭配資料的各面向來將案例分組。例如，基於餐廳的成本與位置等資料，我們可能會發現年輕人傾向於光顧餐點較為便宜的地方。</p> <p>叢集的目的是從資料中找出關聯性，即使尚未提出明確的問題。這個方法也能夠幫助我們理解資料的用途。</p> <p><span style="color:#B22222;"><strong>確定性模型：每次計算的結果皆相同</strong></span></p> <p>確定性模型是在提供特定輸入之下必定會得到相同結果的模型。例如，特定城市的中午時段一定會是白天；而如果是午夜時段，則必然會是黑夜。當然了，這個簡單的例子沒有考慮到地球兩極附近較為奇特的日照時間。</p> <p><span style="color:#B22222;"><strong>隨機／概率模型：每次計算的結果都可能不同</strong></span></p> <p>概率模型是在提供特定的輸入之下，從一組可能的結果中得到輸出的模型。概率模型通常具有可控的隨機性元素，有助於得到可能的結果。例如，假設時間為中午，天氣可能會是晴天、陰天或雨天，沒有固定的天氣。</p> <p><span style="font-size:28px;"><strong>新舊 Al</strong></span></p> <p>有時候我們會使用新舊AI這個概念。舊AI常見的定義是經由人類寫了程式而讓演算法表現出智慧行為的系統──通常透過對問題的深入理解或反覆試驗。舊AI的一個例子便是手動建立決策樹，以及整棵樹中的規則和選項。新AI旨在建立可以從資料中學習的演算法和模型，並建立出自己的規則，其效能可能跟人類建立的一樣準確，甚至更好。不同之處在於後者可能會在資料中找到人類可能永遠都無法察覺，或者需要更多的時間才能找到的重要模式。</p> <p>搜尋演算法通常被視為舊AI，但對此演算法的深入了解，有助於學習更複雜的方法。<strong><span style="color:#696969;">（摘錄整理自《凡人也能懂的白話人工智慧演算法》第一章，碁峰資訊提供）</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-IT%E6%9B%B8%E6%91%98-%E7%99%BD%E8%A9%B1AI%E6%BC%94%E7%AE%97%E6%B3%95.png" style="width: 500px;" /></span></strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>凡人也能懂的白話人工智慧演算法（Grokking Artificial Intelligence Algorithms）</strong></span></p> <p>Rishal Hurbans／著；CAVEDU教育團隊曾吉弘／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%99%BD%E8%A9%B1AI%E6%BC%94%E7%AE%97%E6%B3%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Rishal%20Hurbans.png" style="width: 150px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Rishal Hurbans</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Rishal Hurbans</strong></p> <p>自孩提時期，Rishal便已醉心於電腦、科技與各種瘋狂的點子。在他的職業生涯中，他帶領了許多專案團隊、軟體工程、策略規劃以及針對許多國際企業來設計端對端的解決方案。他也曾經在其公司、社群與產業中積極推動關於實用主義、學習與技術發展的風氣。</p> <p>Rishal對於商業技巧與策略、帶領個人與團隊成長、設計思考、人工智慧與哲學有極大的熱情。Rishal推出了多款數位產品來提高個人與企業的生產力，同時專注於最重要的事情。他也曾頻繁於全球各大研討會分享，致力讓複雜的觀念變得更好理解，以及幫助人們提升自我。</p> </div></div></div>
2023/3/24 00:00未署名https://www.ithome.com.tw/article/156069
Foodpanda進軍C2C快物流，物流服務Pandago在六都及新竹上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名美食外送服務業者Foodpanda大舉進攻物流市場，旗下快物流服務Pandago開放C2C物流服務，以Foodpanda龐大的外送司機車隊為基礎，用戶可使用Pandago下單，將忘在家中的鑰匙、文件或隨身碟，送到指定地點。</p> <p>Foodpanda其實在2021年便推出Pandago，在Foodpanda的App主畫面提供快物流服務，僅以B2C市場為主，與商家合作提供快物流服務，例如家樂福的家速配、全聯的小時達，還有麥當勞、肯德基、全家便利商店等等，歷經一年多的時間發展，Pandago訂單成長超過3倍，取得不錯的成績。</p> <p>今天Foodpanda宣布在臺北市、新北市、桃園市、臺中市、臺南市、高雄市及新竹縣市開放C2C的Pandago物流服務，除了商家，一般民眾也可以使用Pandago下單，設定好寄件及取件地點，系統自動依配送距離計算出運費金額，並媒合適合接單的司機，原則上物流配送距離以5到10公里為主，除了雙北市之外，未提供跨縣市物流服務。</p> <p>以臺北市迪化街送到內湖內科園區附近，該筆物流的運送費用約為170元，並不算便宜，但是至4月底，Foodpanda祭出物流運費不限次數5折優惠。</p> <p>Pandago是以Foodpanda既有的外送車隊作為物流服務的基礎，六都加上新竹約有10萬名的外送註冊司機，搭配採用Foodpanda的媒合系統為骨幹，針對物流特別優化，Pandago的物流服務號稱平均媒合時間僅需5分鐘，可24小時提出物流訂單。</p> <p>Foodpanda營運總監秦宇指出，過去幾年受到疫情影響，民眾使用美食外送服務，也養成對快物流服務的需求，Foodpanda思考如何增加營收，結合既有外送車隊、外送媒合系統的Pandago物流服務即具有發展潛力，除了C2C，未來電商的逆物流也可能是Pandago的發展範圍。今天開放六都、新竹市之後，今年第4季服務將擴大至全臺各縣市，並以2024年Pandago突破300萬訂單為目標。除了現有機車為主的車隊，未來在增加物流運送距離下，考慮和其他業者合作，提供4輪物流服務。</p> <p>Foodpanda挾外送車隊切入物流服務，將挑戰現有的物流服務，例如也鎖定快物流、提供機車物流配送的Lalamove。</p> <p>對此，秦宇認為，相較於其他物流業者，使用pandago不需另外再下載物流App，也擁有更多的外送車隊規模，pandago也發揮Foodpanda外送的科技力，當接單的人力不足時，系統會讓外送員夾單等等。</p> </div></div></div>
2023/3/23 19:03作者蘇文彬https://www.ithome.com.tw/news/156086
AI大神訓練所是門好生意
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未來會出現一種超大算力池的服務，不是AI大神未來住的地方，而是大神的訓練所，訓練時不用對外服務，大神閉關2個月後出來，功力快速提升兩甲子。」台灣大哥大副總經理暨資訊長蔡祈岩越講越興奮</p> <p>那是3月第一個周日的上午，OpenAI剛釋出ChatGPT付費API沒幾天，為了製作<a href="https://www.ithome.com.tw/article/155858">「ChatGPT能與不能」封面故事</a>，我向資訊長請教， ChatGPT對企業的未來影響，他足足講了兩個小時還欲罷不能。</p> <p>今年1月，台灣大哥大資訊群開始在內部試用ChatGPT，也嘗試讓開發人員用ChatGPT輔助寫程式，在內部九大工種，包括了iOS、Android、後端（Java、非Java）、前端（JavaScript、.NET)、PL/SQL、雲端工程以及QA等工種團隊中，挑選先期種子人員，包括新手和資深人員，實際在開發場域使用ChatGPT。資訊長自己更是早就付費嘗試各種點子，他告訴我，用越多，越有心得。</p> <p>蔡祈岩歸納，<a href="https://www.ithome.com.tw/news/155856">ChatGPT有5個層次的企業應用</a>，一是提高員工生產力；二是強化企業內外的數位平臺與服務；三是微調出企業需要的客製化ChatGPT ；四是訓練出企業自己擁有的GPT-like模型；最後一項則是打造或投資AI算力池。</p> <p>熱騰騰的封面故事才剛在10號出刊，隔周，Google在3月14日展開大反攻，發表了高達5,400億參數訓練的生成式AI模型PaLM的API，也展示生成式AI嵌入到Gmail等WorkSpace辦公室套件的新功能，十分讓人驚艷。</p> <p>沒想到，幾個小時後，GPT-4橫空問世，圖文通吃的新一代GPT，再次顛覆了眾人的想像，但這一周的AI大事件還沒結束，微軟在周四更揭露了用GPT-4打造的Office全新AI助手M365 Copilot，將這股GPT熱潮帶到更高峰。不只OpenAI開放限量GPT-4的API試用，微軟緊跟在3月21日釋出Azure OpenAI的GPT-4模型試用。</p> <p>趕搭這股生成式AI浪潮，Nvidia創辦人黃仁勳在3月20日的GTC大會開場演講中，發表了AI超級電腦雲服務DGX Cloud，這是一個在雲端提供的AI超級電腦租用服務。Nvidia找來三大公雲聯手，先後將在甲骨文OCI、微軟Azure 、Google Cloud上推出DGX Cloud服務。</p> <p>不只硬體服務，Nvidia還推出了一套生成式AI模型訓練服務AI Foundations，包括了文字生成模型服務NeMO、視覺語言模型服務Picasso以及生化產業專屬的文字生成式模型服務BioNeMo。</p> <p>Nvidia在NeMO服務上，提供了高達5,400億參數預訓練好的GPT-3模型軟體，搭配上AI超級電腦硬體租用服務，企業可以快速打造出自己的GPT-Like模型。</p> <p>Nvidia打造這兩項新服務的技術，都是過去1、2年來陸續發表的硬體與軟體產品，例如NeMO框架早在2020年就發表了，但在今年正式推出時，重新優化、組合成了新商業模式，Nvidia將自家AI軟硬體產品，變成雲端代管的AI服務。</p> <p>不論是使用OpenAI、微軟Azure或是Google Cloud提供的生成式模型API，企業終究得把內部資料，送到這些平臺上才能用。這正是許多企業最在意的機敏資料與隱私疑慮，甚至得考量諸多法遵規範的限制，例如臺灣金融機構若要使用只在美國機房部署的ChatGPT，來處理內部顧客資料，還得獲得金管會點頭才行。</p> <p>而Nvidia這一套AI超級電腦服務，聽起來就像是蔡祈岩提到的「AI大神訓練所」的服務，可以讓企業訓練出自己的GPT-like模型，客製專屬AI大神。甚至，DGX Cloud支援混合雲架構，也可以落地部署，只要企業財力雄厚，完全可以自己打造一套超級電腦運算池，蓋一座自己的大神訓練所。</p> <p>DGX Cloud不會是唯一的一所GPT類大神訓練所，三大公雲巨頭也早就有各種類型AI大神的訓練所，隨著ChatGPT帶來的生成式AI浪潮，人們看到了全新人機互動、人機協作的形式，勢必出現更多「養大神」的客製化生成式AI需求，大神訓練所可以成為一門新的好生意。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gpt">GPT</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/dgx">DGX</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div></div></div>
2023/3/23 18:01作者王宏仁https://www.ithome.com.tw/voice/156082
【資安日報】3月23日，北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南北韓之間的情勢緊張，北韓駭客對南韓使用者發動攻擊時有所聞，最近有一起資安通告與駭客利用惡意瀏覽器擴充套件的攻擊行動有關，但特別的是，這次發出警告的並非僅有南韓主管機關，還有德國憲法保護聯邦辦公室（BfV），原因很可能是相關攻擊會漫延到全球。</p> <p>電商網站的網站交易資料側錄攻擊也出現新的攻擊手法！研究人員看到駭客轉移陣地，將惡意程式碼植入外接的支付系統閘道元件，使得有關攻擊行動將更難察覺。</p> <p>入侵網站的事故，也有可能是散布惡意軟體攻擊行動的一部分。有駭客在拉丁美洲多個國家散布惡意軟體，並攻擊WordPress網站並用於架設C2中繼站、存放惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.verfassungsschutz.de/SharedDocs/publikationen/EN/prevention/2023-03-20-joint-cyber-security-advisory-korean.pdf?__blob=publicationFile"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客利用瀏覽器外掛竊取Gmail的信件</span></strong></a></p> <p><a href="http://www.verfassungsschutz.de/SharedDocs/publikationen/EN/prevention/2023-03-20-joint-cyber-security-advisory-korean.html;jsessionid=5F54A73439C826897C132E375AB684F2.intranet252">德國憲法保護聯邦辦公室（BfV）</a>與<a href="https://www.ncsc.go.kr:4018/main/cop/bbs/selectBoardArticle.do?bbsId=SecurityAdvice_main&nttId=25266&pageIndex=1#LINK">南韓國家情資服務中心（NIS）</a>聯手發布資安通告，指出北韓駭客組織Kimsuky利用惡意的Chrome擴充套件針對南韓發動攻擊，目標是竊取受害者的Gmail郵件資料，而且，BfV與NIS認為，這些駭客很有可能也將這種手法運用於攻擊其他國家。</p> <p>駭客先透過釣魚郵件要求收信人，為Chrome、Edge、Brave等以Chromium為基礎的瀏覽器，安裝名為AF的擴充套件，一旦收信人在瀏覽器存取Gmail，此擴充套件便會自行啟動，竊取受害者的電子郵件內容。此外，這些駭客不光對電腦用戶下手，也試圖藉由惡意App攻擊安卓用戶。</p> <p><a href="https://www.zscaler.com/blogs/security-research/unintentional-leak-glimpse-attack-vectors-apt37"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織APT37透過微軟說明文件檔案散布惡意程式</span></strong></a></p> <p>資安業者Zscaler的研究人員發現北韓駭客組織APT37經營的GitHub儲存庫，進而推測該組織自2020年10月至今所使用攻擊工具與手法。研究人員指出，駭客透過網路釣魚攻擊散布名為Chinotto的PowerShell後門程式，其誘餌文件檔案的類型相當多元，除了最常見的Office檔案、Excel附加元件（XLL），這些駭客也利用Windows說明文件檔案（CHM），以及南韓辦公室軟體Hancom office檔案（HWP）。</p> <p>再者，這些駭客不只散布惡意軟體，也專注於透過網路釣魚竊取使用者的帳密。而在基礎設施的部分，此駭客組織經常入侵南韓的電子佈告欄系統（BBS），並用來架設C2中繼站。</p> <p><a href="http://blog.sucuri.net/2023/03/woocommerce-skimmer-reveals-tampered-gateway-plugin.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WooCommcerce電商網站的付款流程模組遭到攻擊，駭客注入竊資程式碼</span></strong></a></p> <p>資安業者Sucuri揭露鎖定WooCommerce電子商務網站的攻擊手法，駭客竄改了目標網站上的class-wc-authorize-net-cim.php、wc-authorize-net-cim.min.js，植入惡意指令碼，竊取信用卡卡號、有效期限、CVV號碼、住家地址、電話號碼、電子郵件信箱等資料。</p> <p>值得留意的是，有別於過往駭客將惡意指令碼植入電子商城的結帳網頁，這些被竄改的PHP檔案是電商網站整合Authorize.net支付閘道系統的重要檔案，而使得這種竊取電商網站交易資料的MageCart攻擊行動更加難以察覺，若是網站管理者檢查網站的HTML檔案，也不會發現異狀。</p> <p><a href="https://www.metabaseq.com/mispadu-banking-trojan/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">拉丁美洲遭金融木馬Mispadu鎖定，逾9萬個帳號密碼遭濫用</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Mispadu-Banking-Trojan-Fig-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mispadu-Banking-Trojan-Fig-02.png" style="width: 300px; float: right;" /></a>資安業者Metabase Q揭露金融木馬Mispadu的攻擊手法，駭客自2022年8月，針對智利、墨西哥、秘魯、葡萄牙而來，他們先是針對容易入侵的WordPress網站下手，將其變為他們的C2伺服器，並散布惡意軟體。</p> <p>接著，駭客透過垃圾郵件散布HTML檔案，一旦使用者開啟附件檔案，就有可能從遠端伺服器下載第一階段的惡意程式Mispadu，進而在受害電腦部署以PowerShell、.NET打造的RAT木馬程式，並且從Chrome與Outlook竊取資料。值得留意的是，駭客在作案過程裡將惡意埋藏於證書檔案，然後透過Windows內建的certutil來解密，而能躲過近30個廠牌的防毒軟體。</p> <p>究竟這起攻擊行動的規模有多大？研究人員指出，根據惡意程式濫用的遭竊帳號密碼，他們一共發現了90,518個，而這些資料源自超過1.7萬個網站。</p> <p><a href="https://securelist.com/bad-magic-apt/109087/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭地方政府遭到駭客組織Bad Magic攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CommonMagic_backdoor_09.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CommonMagic_backdoor_09.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露駭客組織Bad Magic的攻擊行動，這些駭客約自2021年9月，鎖定頓涅茨克、盧甘斯克、克里米亞半島等烏克蘭地區的政府機關、農業單位、交通運輸組織，透過網路釣魚的手法，引導目標從惡意伺服器下載ZIP壓縮檔。</p> <p>此檔案內含PDF、XLSX，或DOCX文件檔案，以及惡意連結（LNK）檔案，一旦使用者執行LNK檔案，電腦就會被植入後門程式PowerMagic、惡意框架CommonMagic。其中，惡意框架具備解密來自C2中繼站的流量，並能執行外掛程式的功能，像是截取螢幕畫面，或是從USB竊取特定檔案等。</p> <p><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/threat-reports/roundup/rethinking-tactics-annual-cybersecurity-roundup-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022網路威脅攻擊達到1,460億次，較前年多出55%</span></strong></a></p> <p>資安業者趨勢科技針對2022年網路安全態勢公布相關分析結果，發現全年資安威脅整體數量較2021年增加55%，惡意程式數量增加242%，之所以如此嚴重，很可能是因為這段期間駭客廣泛攻擊所有產業與一般的使用者。</p> <p>該公司表示，根據他們的觀察，2022年臺灣有4項資安威脅高居全球前5名，分別是勒索軟體攻擊、惡意網址攻擊、手機的資安事故，以及智慧家庭連網系統的內外部攻擊。對此，研究人員認為，這代表從政府機關、企業，以及社會大眾都需強化有關的資安防護。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.cisa.gov/news-events/alerts/2023/03/21/cisa-releases-eight-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對工控系統重大漏洞提出警告</span></strong></a></p> <p>3月21日美國網路安全暨基礎設施安全局（CISA）針對台達電、Rockwell等廠牌的工業控制系統漏洞提出警告，呼籲企業應儘速修補。這些漏洞最嚴重的CVSS風險評分達到9.8分，分別是存在於台達電資料中心設施監控軟體InfraSuite Device Master系統的CVE-2023-1133，以及出現在Rockwell自動化系統元件Automation ThinManager的CVE-2023-27855。</p> <p>CVE-2023-1133為不受信任資料的反序列化漏洞，起因是此監控軟體的裝置狀態服務會放行未經驗證的UDP封包，以及反序列化的內容，而讓未經身分驗證的攻擊者可遠端執行任意程式碼。</p> <p>CVE-2023-27855則是與路徑名稱不適當的限制有關，而能允許未經授權的攻擊者上傳任意檔案，甚至能夠覆寫可執行檔，有可能被用於RCE攻擊。</p> <p><a href="https://blog.talosintelligence.com/vulnerability-spotlight-netgear-orbi-router-vulnerable-to-arbitrary-command-execution/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布Netgear Orbi家用Wi-Fi路由器重大漏洞的概念性驗證程式</span></strong></a></p> <p>思科旗下的Talos威脅情資團隊揭露向Netgear通報的Orbi RBR750家用Wi-Fi路由器4項漏洞細節。這些漏洞最嚴重的是CVE-2022-37337，該漏洞存在於Orbi的Satellite延伸設備，攻擊者可遠端發送特製的HTTP請求觸發漏洞，在路由器上執行任意命令，CVSS風險評分為9.1分。</p> <p>CVE-2022-38452、CVE-2022-36429也是任意命令執行漏洞，存在於Orbi主路由器設備，CVSS風險評分皆為7.2分。CVE-2022-38458則是可被用於中間人攻擊（MitM），CVSS風險評分為6.5分。</p> <p>研究人員亦針對前3個漏洞，發布了概念性驗證的攻擊程式碼（PoC），他們表示，雖然目前尚未出現相關漏洞攻擊，但使用者仍應儘快安裝更新程式。此外，Netgear尚未提供CVE-2022-38452的修補程式，使用者也要留意相關公告。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.postguam.com/news/local/docomo-restoring-its-services-after-cybersecurity-incident/article_2211d1e6-c497-11ed-b87c-a7ce522f93de.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電信業者Docomo遭到網路攻擊，相關服務正在恢復</span></span></strong></a></p> <p><a href="https://www.sec.gov/Archives/edgar/data/1857475/000185747523000013/dole-20221231.htm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">農產品批發商Dole證實勒索軟體攻擊事故導致員工資料外洩</span></span></strong></a></p> <p><a href="https://www.enisa.europa.eu/publications/enisa-transport-threat-landscape"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體成2022年歐洲交通運輸業者的重大威脅</span></span></strong></a></p> <p><a href="https://www.scmagazine.com/news/ransomware/black-basta-killnet-lockbit-groups-targeting-healthcare"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國醫療機構成駭客組織Killnet、LockBit攻擊目標</span></span></strong></a></p> <p><a href="https://www.crowdstrike.com/blog/global-threat-report-preview-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客將更加專注於攻擊、竊取雲端系統的資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a></strong></p> </div></div></div>
2023/3/23 15:25作者周峻佑https://www.ithome.com.tw/news/156071
GitHub發表AI軟體開發願景Copilot X，嵌入GPT-4能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-03-22-github-copilot-x-the-ai-powered-developer-experience/" target="_blank">GitHub周三（3/22）發表了基於GPT-4的Copilot X</a>，除了可協助開發者完成註解及程式碼之外，它還能處理拉取請求（Pull Request）、命令列，以及對專案文件的提問，同時納入了聊天及語音寫程式功能，GitHub將Copilot X稱為AI軟體開發的願景，期待GitHub Copilot成為整個程式開發周期的AI助理。</p> <p>GitHub自2021年開始預覽，於2022年6月正式上線的GitHub Copilot是首個來自於OpenAI Codex模型的大規模生產式AI開發工具，該Codex模型為GPT-3模型的後裔，不到一年的時間，全球已有超過5,000個企業及100萬名開發人員採用Copilot，它讓開發人員撰寫程式的速度快了55%，且有46%的程式碼是來自Copilot。</p> <p>而今隨著GPT-4的問世，Copilot旋即採用了最新的GPT-4，整合了聊天及語音功能，並賦予Copilot更多的能力。看起來Copilot X並非是Copilot的特定版本，而是GitHub對Copilot的未來想像。</p> <p>在Copilot X中，開發人員的編輯器將具備類似ChatGPT的GitHub Copilot Chat聊天介面，只是它更注重開發者的需求，而且直接整合了VS Code與Visual Studio，讓開發人員可得到深入分析，了解各個程式碼區塊的作用，生成單元測試，甚至取得修補臭蟲的建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-GitHub%20Copilot%20X-Chat.png" style="width: 600px;" /></p> <p>此外，<a href="https://www.ithome.com.tw/news/154153" target="_blank">GitHub也將去年底展開實驗</a>的語音寫程式功能Hey, GitHub！更名為GitHub Copilot Voice，並把它嵌入GitHub Copilot Chat。</p> <p>新的Copilot for Pull Requests功能則奠基於GPT-4模型，可自動產生拉取請求描述，開發者還可藉由另一個GitHub程式，根據所變更的程式碼自動產生標籤。GitHub內部也在測試其它有關拉取請求的功能，像是依照程式碼的變更在開發者建立拉取請求時提供句子與段落的建議，或是在開發者建立拉取請求卻忘了充分測試時提出警告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-GitHub%20Copilot%20X-Copilot%20for%20Pull%20Requests.png" style="width: 600px;" /></p> <p>而即將發表的GitHub Copilot for Docs則是一項實驗性工具，透過一個聊天介面來自動回答使用者對專案文件的各種問題。另一項新工具為Copilot for the command line interface，可用來撰寫命令及迴圈，藉由模糊的查找標誌來滿足開發者的查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-GitHub%20Copilot%20X-Get%20AI-generated%20answers%20about%20documentation.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-GitHub%20Copilot%20X-Get%20AI-Copilot%20for%20the%20command%20line%20interface.png" style="width: 600px;" /></p> <p><a href="https://github.com/features/preview" target="_blank">目前上述功能或工具都處於預覽階段</a>，開發者必須分別申請試用。</p> </div></div></div>
2023/3/23 15:21作者陳曉莉https://www.ithome.com.tw/news/156070
AWS推出資料無塵室服務Clean Rooms，供企業與外部進行安全資料協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在推出資料無塵室服務<a href="https://aws.amazon.com/tw/blogs/aws/aws-clean-rooms-now-generally-available/">Clean Rooms</a>，該服務讓企業及其合作夥伴能夠協作處理資料，資料擁有者不需要共享和複製個別的資料，就能安全地分析整合資料集，使用戶能夠在擁有資料安全地同時，進行行銷活動、投資決策，甚至是臨床研究分析等。</p> <p>資料無塵室（Data Clean Room）的概念是指一個安全的資料分析環境，在這個可以保護用戶隱私和資料安全的環境中，資料科學家和分析師能夠有限制地存取、分析和處理資料，但又不用擔心敏感資料洩漏。資料無塵室中的資料需要經過去識別化，具有合適權限的人員才能存取和處理資料無塵室中的資料，資料的使用經過監控和審核，在輸出資料前，也會需要經過聚合和去識別化，以確保資料主體的隱私。</p> <p>在觸及敏感資料的應用，資料無塵室能夠很好地派上用場，像是廣告和行銷上，由於要分析用戶行為、研究市場和評估投放效益，常需要處理包含個人資訊的資料，資料無塵室便能在保護個資隱私前提下，操作這些資料，因此包括醫療保健、教育和社會研究等，資料無塵室也都能夠發揮作用。</p> <p>而AWS Clean Rooms是一個方便的資料無塵室服務，用戶可以在AWS雲端上創建無塵室，並且應用內建隱私控制功能，限制無塵室參與成員可以執行的查詢資料和日誌記錄，並且限制查詢輸出。</p> <p>Clean Rooms還提供了進階加密工具，使得資料即便在查詢處理時也能保持加密狀態，以符合企業嚴格的資料處理政策。用戶可以使用AWS SDK和CLI存取Clean Rooms，並將Clean Rooms整合到產品或是工作流程中。</p> <p>目前Clean Rooms已經在AWS美東、美西和歐洲地區推出，在亞洲則已經可在首爾、新加坡、雪梨和東京地區使用。</p> </div></div></div>
2023/3/23 16:14作者李建興https://www.ithome.com.tw/news/156072
ChatGPT修補曝露用戶對話紀錄標題的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周因ChatGPT出現一個會曝露用戶對話標題的「重大問題」，OpenAI一度暫時關閉ChatGPT服務，現已緊急修補完成。</p> <p><a href="https://old.reddit.com/r/ChatGPT/comments/11wkw5z/has_chatgpt_or_me_been_hacked_ive_never_had_these/" target="_blank">周一（3/20）有ChatGPT用戶貼出其使用擷圖</a>，顯示出現簡體中文及關於中國社會主義的內容標題，顯然是來自其他人的對話紀錄。<a href="https://twitter.com/JordanLWheeler/status/1637853083865579520" target="_blank">另有使用者也反映看到他人對話標題</a>，不過內容倒是未外洩。此外也發生網路連線錯誤。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-chatgpt%20bug-600(1).png" style="width: 599px;" /></p> <p>OpenAI於當天短暫關閉ChatGPT後已恢復開放使用。</p> <p><a href="https://twitter.com/sama/status/1638635717462200320" target="_blank">OpenAI執行長Sam Altman周一說明</a>，ChatGPT服務的問題出在使用的開源碼函式庫有一臭蟲，導致少數用戶可以看到其他用戶的對話紀錄。維護單位已釋出修補程式，OpenAI也已完成驗證。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0323-chatgpt%20bug-ceo%20reply.png" style="width: 500px;" /></p> <p><a href="https://twitter.com/sama/status/1638635718691135488" target="_blank">Altman稍後指出</a>，為安裝修補程式，ChatGPT使用者會有一段時間無法存取自己的對話紀錄，他也承諾事後會提供技術說明。</p> <p>但Alman並未說是何種開源函式庫引發問題。</p> <p><a href="https://help.openai.com/en/articles/6783457-chatgpt-general-faq" target="_blank">ChatGPT的FAQ網頁說明</a>，用戶對話紀錄中的提示無法被刪除，因此提醒用戶不要提供敏感資訊。</p> <p>ChatGPT自去年11月以預覽版上線以來，用戶快速增加，到今年1月用戶已經超過1億。ChatGPT的成功不僅讓Google發出紅色警戒、加緊開發AI聊天機器人Bard，也讓微軟甘心在OpenAI身上投資數十億美元，並將其底層模型整合到Microsoft 365、Power Platform、Bing、Azure以及生產力協同平臺Loop中。</p> </div></div></div>
2023/3/23 12:43作者林妍溱https://www.ithome.com.tw/news/156068
SEC控告Tron，向Coinbase發出違法通知
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-59" target="_blank">美國證券交易委員會（SEC）本周三（3/22）控告</a>加密貨幣資產企業家孫宇晨（Justin Sun），以及孫宇晨所擁有的Tron Foundation、BitTorrent Foundation及Rainberry等3家公司違反證券法令，同一天<a href="https://www.coinbase.com/blog/we-asked-the-sec-for-reasonable-crypto-rules-for-americans-we-got-legal" target="_blank">美國加密貨幣交易平臺Coinbase亦證實</a>已收到來自SEC認為該公司可能違法的威爾斯通知（Wells notice），顯示SEC正積極整頓加密貨幣產業。</p> <p>孫宇晨是在2014年創立開源的Tron區塊鏈系統，並發行Tronix（TRX）加密貨幣，再於2017年設立Tron Foundation來管理Tron，<a href="https://www.ithome.com.tw/news/124768" target="_blank">2018年時以1.4億美元買下</a>分散式串流服務BitTorrent，之後即成立BitTorrent Foundation，由Tron Foundation與BitTorrent Foundation在2019年共同發行BitTorrent Token（BTT）加密貨幣，而BitTorrent原本的串流業務則交給新成立的Rainberry。不管是Tron或BitTorrent兩個基金會都設立於新加坡，但相關加密貨幣的發行與推廣則擴及全球，包括美國在內。</p> <p>SEC指出，孫宇晨與旗下公司藉由多個未註冊的計畫，以投資為名義來推廣及兜售TRX及BTT，這些行為已違反美國《證券法》（Securities Act）。</p> <p>此外，孫宇晨也涉嫌操縱市場，在2018年4月至2019年2月間，利用所屬的兩個加密貨幣帳號執行60萬次的大量TRX交易，每日交易量超過450萬美元，企圖建立市場需求的假象，此外，孫宇晨也把這些未經註冊的TRX出售到二級市場，獲利超過3,100萬美元。</p> <p>除了上述被告之外，SEC甚至控告了8位替孫宇晨行銷TRX及BTT的名人，原因是他們在替這兩個加密貨幣打廣告的同時，並未向大眾揭露這其實是業配。</p> <p>總之，SEC認為TRX及BTT屬於必須註冊的證券，應受《證券法》規範，孫宇晨操縱市場的行為還涉及了詐欺。</p> <p>SEC不僅對孫宇晨、Tron與BitTorrent提告，還向在美國上市的加密貨幣交易平臺發出威爾斯通知，代表SEC準備向Coinbase採取法律行動。</p> <p>此事是由Coinbase主動揭露，闡明自去年夏天就開始與SEC協商，討論要向SEC註冊Coinbase的部分業務，雙方之間的會議超過30次，然而，9個月之後，SEC卻逕自針對Coinbase旗下的 Coinbase Earn、Coinbase Prime、Coinbase Wallet及未指名的多個數位資產發出威爾斯通知，指出Coinbase暗藏潛在違反《證券法》的行為，而且SEC拒絕透露Coinbase上的哪些數位資產屬於證券。</p> <p>這使得Coinbase抱怨美國加密貨幣的監管混亂，而且SEC並不會讓加密貨幣業者註冊或進入證券領域，因為該公司試過了，呼籲美國的加密貨幣監管環境應該多一些指導，而不是更多的執法。</p> </div></div></div>
2023/3/23 10:57作者陳曉莉https://www.ithome.com.tw/news/156066
微軟預覽Office協同工具Loop，也加入了AI工具Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/03/22/new-microsoft-loop-app-is-built-for-modern-co-creation/" target="_blank">微軟昨（22）日宣布</a>可讓Office靈活分享及更新內容的協同工具Loop上線，<a href="https://loop.microsoft.com/learn" target="_blank">以預覽版讓所有人試用</a>，也釋出Android及iOS版App開放企業帳號登入。</p> <p>微軟首次<a href="https://www.ithome.com.tw/news/147628" target="_blank">於2021年底公布Loop</a>。類似Notion，Loop也是提供任務、內容及文件共享與協同的Hub，它是以Fluid框架為基礎，可將網頁或文件各種內容，如文字、表格、圖片元件化，讓使用者將單獨元件複製、貼上、搬移到另一個畫布（canvas）或工作區的地方，像是Microsoft Teams、Outlook、或是Microsoft 365中的Word及Whiteboard等App上組合，也可幾近即時分享給專案其他成員。</p> <p>Loop包含三個部分，分別是工作區（Workspace）、工作頁（Pages）及元件（Component）。所謂元件指的是可搬動的表格、段落和清單，工作頁則將單一專案的相關資訊與元件組合，而工作區上可一覽所有專案及元件，並和他人共享。微軟最新推出的Loop App則讓使用者存取三個部分。</p> <p>利用Loop，用戶可以拖放方式將文字段落、圖片或表格在單一工作頁上組合、編排及整理。只要輸入工作區標題及其他關鍵字，Loop就能建議相關可以加入其中的元件，另外也內建範本方便使用者新增單一專案。建立好的Pages可以以連結或網頁方式分享給其他人。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/wp-content/uploads/sites/2/2023/03/14-%E2%80%94-Loop-Control-2048x1067.webp" style="width: 600px;" /></p> <p>Loop可和微軟其他協同工具整合使用，例如在Loop App及任務清單上分配的工作，它提供進度追蹤器及客製化標籤，方便用戶追蹤，通知功能協助掌控進度或他人回應。Loop上的任務還能同步到Microsoft Planner及To Do上。用戶也可針對其他成員元件予以回應、評論、或加表情符號。</p> <p>這次Loop宣布最重要的新功能是加入了AI助理Copilot。Copilot可提供草擬、腦力激盪、規畫及描述等提示詞，引導用戶使用，用戶也可以直接輸入想要的協助，例如「幫我寫出公司的任務宣言」。Loop中的Copilot支援多人模式，允許多位成員問問題或編輯建議，以共同編輯Word文件、或透過Outlook、Whiteboard、或Teams協同。此外，未來Copilot也會加入Loop頁內容及關聯文件摘要功能，並以元件同步給所有成員。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/wp-content/uploads/sites/2/2023/03/M365_Loop_Copilot_031523.gif" style="width: 600px;" /></p> <p>目前Loop中的Copilot僅以封閉預覽版提供少數人試用。至於文件摘要功能則會在幾個月後正式推出。</p> <p>目前Web版Loop已經上線，也提供Android及iOS版App，不過今天只有工作帳號能登入，但個人帳號不久後也會開放。IT管理員必須以<a href="http://aka.ms/EnableLoop" target="_blank">Loop App的設定頁</a>開放員工使用Loop。</p> <p>企業用戶若想以Loop協同，目前預覽版支援一個工作頁最多50人同時編修。微軟說已測試過數百人同時使用，但該公司建議一個工作頁最好是2到12人以免降低作業效率。</p> </div></div></div>
2023/3/23 11:19作者林妍溱https://www.ithome.com.tw/news/156067
微軟在Bing及Edge中嵌入基於最新DALL-E模型的Bing Image Creator
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/03/21/create-images-with-your-words-bing-image-creator-comes-to-the-new-bing/" target="_blank">微軟周二（3/21）宣布</a>，已於新版Bing及Edge上提供基於最新DALL-E模型的Bing Image Creator，讓使用者只要輸入文字敘述就能自動產生圖像。DALL-E為OpenAI所開發的文字轉圖像AI模型，<a href="https://www.ithome.com.tw/news/153341" target="_blank">去年9月即開放外界試用</a>。</p> <p>微軟表示，研究顯示人腦處理視覺資訊的速度是處理文字的6萬倍，代表視覺工具為人們搜尋、建立及取得理解的重要工具，此外，影像也是人們最常搜尋的類別，僅次於網頁搜尋，過去的搜尋侷限在網路上的既有影像，而現在則幾無限制。</p> <p>微軟已將Bing Image Creator整合在基於ChatGPT的Bing聊天功能上，初期僅出現於創意（Creative）模式，只要輸入「create an image」等文字提示，就能呼叫圖像生成功能；也將它整合在Microsoft Edge上，可透過側邊欄的Bing Image Creator圖示進入；或是可直接造訪bing.com/create來試用Bing Image Creator。</p> <p>在Bing Image Creator中，使用者可輸入影像的文字描述，甫以諸如地點或活動的其它脈絡，再選擇藝術風格，系統就會自動產生使用者想像中的圖像。</p> <p>為了避免遭到濫用，微軟亦與OpenAI合作以共同捍衛Bing Image Creator的安全性，例如在偵測到有害的影像描述時，即會封鎖並跳出警告，也會在由Bing Image Creator產生的圖像上註明出處。</p> <p>目前Bing Image Creator僅支援英文，微軟已計畫讓它支援更多的語言。</p> </div></div></div>
2023/3/23 09:25作者陳曉莉https://www.ithome.com.tw/news/156055
Nvidia推出最新通用GPU L4，Google雲端率先推出搭載L4的G2 VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia新一代通用<a href="https://developer.nvidia.com/blog/supercharging-ai-video-and-ai-inference-performance-with-nvidia-l4-gpus/">L4 Tensor Core GPU</a>是T4 GPU的後繼者，適用於影片、視覺計算、圖形、虛擬化、生成人工智慧等廣泛應用，L4可達T4 GPU 2.7倍的生成式人工智慧效能，圖形效能上升達4倍，人工智慧影片工作管線更可支援即時運算，特別的是，由於L4新增FP8支援，因此能夠更好地執行機器學習推理運算。</p> <p>L4 GPU採用第4代張量核心的Ada Lovelace架構，以及第3代RT核心，擁有高達24 GB GDDR6的顯示卡記憶體，支援Shader execution reordering技術，能夠改善著色效能，同時也支援包括AV1解編碼等圖像和影片硬體加速處理引擎。</p> <p>在FP32精度效能可達30 TFLOPS，在FP16精度下，更能擁有高達運算能力242 TFLOPs，而且L4 GPU除了INT8、BFLOAT16和TF32精度之外，還新增支援FP8，使得L4 GPU更適合執行機器學習推理工作負載。</p> <p>L4 GPU的各項效能都高於T4 GPU數倍，除了生成式人工智慧效能的執行效能提升至2.7倍之外，由於第3代RT核心以及人工智慧加持的DLSS 3，L4能夠勝任圖形密集運算工作，在Omniverse、雲端遊戲和虛擬工作站上，可以提供4倍於T4的圖形效能，甚至可以用於即時計算電影品質的場景。</p> <p>新GPU在影音處理上也馬力十足，搭載L4 GPU的伺服器能夠以720p30的解析度，同時支撐超過1,000個AV1影片串流，此外，L4 GPU還可以將多種解析度和格式串流傳輸至多個平臺，進而支援在社交媒體平臺等更多頻道上的影片播放。</p> <p>而在Nvidia推出L4 GPU的同時，Google也發布首款採用L4 GPU的<a href="http://cloud.google.com/blog/products/compute/introducing-g2-vms-with-nvidia-l4-gpus">虛擬機器</a><a href="https://cloud.google.com/blog/products/compute/introducing-g2-vms-with-nvidia-l4-gpus">G2</a>，Google提到，從A10G GPU切換使用L4 GPU，基礎設施的成本可下降達40％，而從L4 GPU切換至T4 GPU，則可獲得2到4倍的效能提升。Google最佳化Vertex AI對G2虛擬機器的支援，供用戶使用最新的生成式人工智慧模型和技術，而無序額外調校。</p> </div></div></div>
2023/3/23 09:27作者李建興https://www.ithome.com.tw/news/156054
【資安日報】3月22日，缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Linux伺服器下手的惡意軟體攻擊近期不斷出現，新崛起的ShellBot殭屍網路病毒也是這類威脅之一，但值得留意的是，駭客之所以入侵這些伺服器，是因為它們的高權限系統管理帳號普遍採用弱密碼，而運用字典攻擊可猜到密碼、奪取系統主導權。</p> <p>雖然針對Linux作業系統的惡意軟體攻擊變多，但攻擊Windows電腦的惡意軟體也同樣不能掉以輕心。例如，名為DotRunpeX的惡意軟體不只用了處理程序挖空手法（Process Hollowing），更罕見地採用了虛擬化元件KoiVM來混淆程式碼。在此之前，只有名為MalVirt的惡意程式載入器採用此種混淆手段。</p> <p>攻擊者廣泛利用零時差漏洞的現象，也令人觸目驚心。有資安業者分析相關攻擊行動，結果發現2022年駭客偏好的零時差漏洞超過50個，最多的還是Windows作業系統漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://asec.ahnlab.com/en/49769/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">缺乏管理的Linux伺服器遭到DDoS惡意軟體ShellBot攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dotrunpex-image-60.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dotrunpex-image-60.png" style="width: 300px; float: right;" /></a>資安業者AhnLab揭露DDoS殭屍網路病毒ShellBot（亦稱PerlBot）的攻擊行動，此病毒程式以Perl開發而成，並透過IRC的通訊協定與C2伺服器連線。駭客專門鎖定缺乏管理的Linux伺服器下手，掃描目標是否開放SSH連接埠（22埠），然後透過常見的SSH帳密來進行字典攻擊，進而入侵並部署殭屍網路病毒。</p> <p>研究人員總共發現3種版本的ShellBot，分別是LiGhT's Modded perlbot v2、DDoS PBot v2.0、PowerBots (C) GohacK。前兩種的主要用途是DDoS攻擊，最後一種則擁有較多後門的功能，像是提供反向Shell連線，或是能對受害主機上傳任意檔案。</p> <p>但除了將受害伺服器用於DDoS攻擊，研究人員發現，攻擊者透過Shell指令碼編譯器植入了挖礦軟體。</p> <p><a href="https://research.checkpoint.com/2023/dotrunpex-demystifying-new-virtualized-net-injector-used-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DotRunpeX透過搜尋引擎廣告散布</span></strong></a></p> <p>資安業者Check Point揭露名為DotRunpeX惡意軟體，使用俄文的駭客將其用於散布多種竊資軟體（Infostealer），例如：Agent Tesla、FormBook、LokiBot、Raccoon Stealer, RedLine Stealer、Vidar等。</p> <p>此惡意程式採用.NET編譯而成的新型注入工具，並透過處理程序挖空（Process Hollowing）手法執行，通常在攻擊行動中將其用於第二階段行動。駭客通常透過釣魚郵件的附件，或是假借提供AnyDesk、LastPass應用程式的名義，投放惡意廣告引誘使用者上鉤。</p> <p>特別的是，此惡意軟體新的變種於2022年10月出現，首度採用了虛擬化工具KoiVM進行混淆，並透過存在漏洞的Sysinternals工具包驅動程式元件procexp.sys，進行自帶驅動程式攻擊（BYOVD），停用Windows作業系統的防惡意軟體服務。</p> <p><a href="https://www.mandiant.com/resources/blog/zero-days-exploited-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年有55個零時差漏洞遭到廣泛利用</span></strong></a></p> <p>駭客利用零時差漏洞發動攻擊的事件不時傳出，但他們最常用到的漏洞有哪些？資安業者Mandiant針對2022年的零時差漏洞攻擊進行調查，發現總共有55個零時差漏洞是駭客偏好利用的對象，這些漏洞幾乎都能被用於提升權限，或是遠端執行任意程式碼（RCE）。</p> <p>研究人員指出，當中有13個是網路間諜利用的對象，且有逾半數是中國駭客組織所用。在全部55個漏洞裡，微軟、Google、蘋果的零時差漏洞就包辦了三分之二，當中最多是Windows（15個）、Chrome（9個）、iOS（5個）、macOS（4個）。</p> <p>雖然駭客使用的零時差漏洞與Windows有關的最多，但研究人員認為，「邊界基礎設施（Edge Infrastructure）」類型產品的漏洞更受到網路間諜歡迎，原因是這類系統往往暴露在網際網路的連線，並且無法在此架設EDR或XDR類型的資安偵測解決方案，而使得組織不易察覺異狀。</p> <p><a href="https://unit42.paloaltonetworks.com/trigona-ransomware-update/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Trigona鎖定美國、歐洲、澳洲而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-127253-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-127253-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露自2022年10月出現的勒索軟體Trigona，鎖定澳洲、義大利、法國、德國、紐西蘭、美國的農業設施、金融產業、高科技產業，以及市場行銷業者，研究人員從2022年12月發現有超過15個組織遭到相關攻擊。</p> <p>一旦駭客成功入侵受害組織，就會執行偵察、利用遠端監控管理軟體（RMM）下載作案工具，然後建立新的使用者帳號來執行勒索軟體。研究人員分析此勒索軟體的戰略、戰術，以及步驟（TTP），認為背後的駭客組織曾使用另一款勒索軟體CryLock犯案。</p> <p><a href="https://www.sentinelone.com/labs/winter-vivern-uncovering-a-wave-of-global-espionage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲政府機關遭到駭客組織Winter Vivern鎖定，利用冒牌防毒植入惡意程式</span></strong></a></p> <p>資安業者SentinelOne揭露俄羅斯駭客組織Winter Vivern的攻擊行動，駭客針對波蘭、義大利、烏克蘭政府，以及聲援烏克蘭的電信公司員工而來，架設假冒特定機構的網站，如波蘭打擊網路犯罪局、烏克蘭外交部、烏克蘭國家安全局（SSU），藉此散布惡意軟體。攻擊者很可能是利用釣魚郵件夾帶含有巨集的Excel檔案，引導目標存取上述網站。</p> <p>研究人員指出，其中一種攻擊手法，就是透過批次檔來模擬防毒軟體的掃描程序，顯示執行的進度與所需時間，但實際上，該批次檔在背景利用PowerShell，從遭駭的WordPress網站下載惡意酬載Aperetif。此惡意程式具備自動挖掘並竊取受害電腦的資料、截取螢幕截圖，並將檔案透過Base64編碼處理再傳送到C2伺服器。</p> <p><a href="https://blog.cyble.com/2023/03/14/goatrat-android-banking-trojan-variant-targeting-brazilian-banks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">拉丁美洲行動支付平臺遭到安卓木馬GoatRAT濫用，攻擊巴西銀行用戶</span></strong></a></p> <p>資安業者Cyble揭露針對巴西行動支付平臺的安卓木馬程式GoatRAT，此木馬程式的攻擊目標是3家當地銀行的用戶，並濫用巴西中央銀行營運的行動支付服務Pix進行自動收款，其主要的功能是執行自動傳輸系統（ATS）攻擊，一旦GoatRAT感染目標裝置，會先利用Android系統的輔助功能來確認受害者使用的銀行名稱，然後建立假的銀行App操作畫面覆蓋整個螢幕，進而讓攻擊者將銀行帳戶的存款透過Pix轉走。特別的是，許多金融木馬程式內建的竊取驗證碼及簡訊內容機制，GoatRAT並未納入。</p> <p><a href="https://www.ferrari.com/en-EN/corporate/articles/cyber-incident-in-ferrari"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超級跑車製造商法拉利證實發生資料外洩事故，並強調不願妥協付錢</span></strong></a></p> <p>3月21日超級跑車製造商法拉利發布資安通告，表示公司網路遭到攻擊，駭客向其索討贖金，對方表示，若支付這筆費用，就不會外流他們竊得的客戶資料。對此，法拉利強調不會支付贖金，以免助長網路犯罪，並表明他們已通知客戶此事。</p> <p>根據研究人員Troy Hunt取得的通知信，客戶姓名、住家地址、電話號碼、電子郵件信箱遭竊，但不包含銀行帳戶資料、與支付相關的敏感資訊，以及客戶下單記錄、持有的車輛資料。法拉利亦表示，本次事故並未影響營運。</p> <p><a href="https://www.ithome.com.tw/news/156029"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓版中國購物App拼多多遭下架，Google表示原因是網路上出現惡意版程式</span></strong></a></p> <p>根據<a href="https://www.scmp.com/tech/big-tech/article/3214328/google-play-suspends-chinese-shopping-app-pinduoduo-over-suspected-malware">南華早報</a>、<a href="https://www.reuters.com/business/retail-consumer/pinduoduo-owners-revenue-falls-short-weak-consumer-spending-2023-03-20/">路透社</a>、<a href="https://edition.cnn.com/2023/03/21/tech/china-google-pinduoduo-malware-app-intl-hk/index.html">CNN</a>等新聞媒體的報導，中國購物App「拼多多（Pinduoduo）」遭到Google下架，但特別的是，這次與過往下架惡意App的原因有所不同，並非上架於Google Play市集的App被發現惡意程式，而是Google在該市集以外的地方看到有問題的拼多多App。</p> <p>針對上述的媒體採訪，Google表示，Android裝置上的Google Play Protect防護機制，將會檢查已經安裝的拼多多App是否存在惡意行為，一旦發現異狀就會要求用戶移除，再者，該防護機制也會封鎖惡意版本拼多多App的安裝。</p> <p>對此，拼多多表示確實收到下架相關通知，但Google沒有進一步說明是否含有惡意程式。不過，拼多多美國子公司的線上購物平臺Temu的App並未受到影響，iOS版拼多多App也沒有遭到蘋果App Store下架。由於Google沒有透露細節，後續有待進一步觀察。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cloud.google.com/blog/products/identity-security/google-cloud-fs-isac-advance-security-in-financial-services"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google Cloud參與FS-ISAC重大供應商計畫，成為第一個投入的主要雲端服務業者</span></strong></a></p> <p>雲端服務業者Google Cloud於3月17日宣布，他們參與金融服務資訊共享暨分析中心（FS-ISAC）重要供應商計畫，而成為第一家投入該計畫的主要雲端服務供應商。該業者將提供他們的專家與相關資源。這項決定與Google在2021年8月，承諾要在5年內投入至少100億美元促進網路安全有關。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-saks-fifth-avenue-retailer-says-mock-data-stolen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國奢侈品百貨薩克斯第五大道傳出遭勒索軟體Clop攻擊</span></span></strong></a></p> <p><a href="https://zengo.com/zengo-uncovers-security-vulnerabilities-in-popular-web3-transaction-simulation-solutions-the-red-pill-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Coinbase加密貨幣錢包存在漏洞Red Pill，恐被用於迴避偵測</span></span></strong></a></p> <p><a href="https://www.securityweek.com/organizations-notified-of-remotely-exploitable-vulnerabilities-in-aveva-hmi-scada-products/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Aveva旗下的HMI、SCADA工控系統解決方案存在漏洞</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/03/21/notorious-sidecopy-apt-group-sets-sights-on-indias-drdo/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度國防研發機構DRDO遭駭客組織SideCopy攻擊</span></span></strong></a></p> <p><a href="https://www.elastic.co/security-labs/naplistener-more-bad-dreams-from-the-developers-of-siestagraph"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">南亞、東南亞遭到竊資軟體Naplistener攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155993">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</a></strong></p> </div></div></div>
2023/3/22 15:49作者周峻佑https://www.ithome.com.tw/news/156035
Adobe發布圖像生成AI模型Firefly，強調完全使用符合授權規範的訓練資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟應用DALL-E模型，推出圖像生成服務Bing Image Creator的同一天，多媒體製作軟體龍頭Adobe也發布一系列稱作<a href="https://www.adobe.com/sensei/generative-ai.html">Firefly</a>的生成式人工智慧模型，能夠根據描述生成內容，Adobe表示，他們正把這些模型整合到應用程式中，加速創作者工作流程。</p> <p>Firefly第一個模型著重於創建圖像和文字效果，而且適用於商業用途，官方解釋，Firefly使用Adobe Stock中大量的專業授權圖像、版權已過期的公開授權內容，以及公領域的內容訓練而成。同時Adobe也以樣式引擎強化模型，協助創作者生成獨具風格的藝術、圖形和文字效果。</p> <p>Firefly被嵌入到Adobe Creative Cloud、Document Cloud、Experience Cloud和Adobe Express中，在創作者現有的工作流程，提供編輯輔助以及創作建議，像是在修圖方面，創作者能夠以文字提示，指定Firefly在畫布特定區域生成物件，Firefly會根據上下文生成合理的內容，在日常繪圖創作中，創作者還可以輕易地利用指令，要求Firefly向量化手繪圖，並且使用編輯工具進一步調整。</p> <p>在影片編輯上，創作者只要提供文字描述，Firefly就能改變影片中的天氣。Firefly也能被用於協助編輯3D模型，人工智慧將會根據創作者提供的材質和條件，提供更多渲染建議。Firefly也有針對一般使用者的應用，只要提供一些素材，Firefly就能自動生成廣告橫幅或是社交平臺用圖。</p> <p>同時Adobe還計畫以API的形式提供Firefly服務，使用戶能夠將圖像生成人工智慧，整合到自定義的工作流程和自動化工具中。</p> <p>Adobe之後還會開發針對不同技能程度和使用案例的模型，也計畫讓創作者可以根據個人和品牌風格訓練專屬模型，以擴展創作者的生產力，官方也提到，他們盡可能使用更多的內容來源訓練模型，並尋求進一步降低生成內容所存在的偏見和內容的方法。</p> <p>Adobe將讓創作者有辦法從Firefly中獲利，官方針對Stock貢獻者發展補償模型，使貢獻者可以因為自己的圖像被用於訓練Firefly，而Firefly被更多使用者使用而產生利潤，Adobe提到，在Firefly測試結束之後，會公開補償模型的詳細資訊。</p> <p>Adobe也期望可以透過Adobe CAI（Content Authenticity Initiative），來推動產業開放標準，並倡議生成式人工智慧模型必須遵守請勿訓練（Do Not Train）標籤，不使用附加該標籤的資產訓練人工智慧，而所有人工智慧生成內容，也都需要在CAI內容憑證標記。</p> </div></div></div>
2023/3/22 16:12作者李建興https://www.ithome.com.tw/news/156032
電商龍頭Momo 2023年要挾帶1,380萬不重複月流量優勢發展廣告事業，還要拓展Mo幣生態圈，並進軍400億企業福…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電商龍頭Momo富邦媒2022年營收創下1,034億元新高。成為千億等級電商後，Momo揭露2023年發展方向，要憑著每月千萬次不重複流量及供應商數據來發展廣告事業，還要擴大Mo幣生態圈到更多品牌、並進軍400億元的企業福利市場。</p> <p><strong>挾帶巨量消費者及供應商數據優勢，開始發展廣告業務</strong></p> <p>Momo今年要開始利用CDP及SCM數據，發展RMN（零售媒體聯播網，Retail Media Network）基礎建設，讓供應商未來可以在電商平臺上購買關鍵字廣告。作為臺灣電商龍頭，Momo每月有1,380萬不重複訪客數，若成功發展RMN，規模相當可觀。作為對比，不排除重複訪客數，臺鐵1月總客運量為1,667萬人。</p> <p>Momo總經理谷元宏表示，他們一直以來都會用數據來驅動會員經營和供應商管理，用CDP來管理會員數據、優化商品行銷及推薦，並利用SCM管理供應商在自家平臺上的商品，甚至與供應商討論如何優化商品推出時機、促銷活動時機等行銷決策。他說，Momo其實本來就會將這些數據用於行銷，觀望數年後，今年終於決定用這些數據和行銷洞察，來發展廣告業務商機。</p> <p>谷元宏揭露，Momo計畫打造自己的廣告平臺，包括廣告競標、行銷追蹤、成效分析等功能。此平臺目前仍在建設中，服務上線時間未定。他補充，目前不清楚廣告業務能帶來多少營收，不過他抱持樂觀態度，因為RMN營收也是Amazon等大型電商的重要收入來源，且電商訪客消費意願較強，廣告轉換率通常比一般網路流量高。</p> <p><strong>將供應商納入Mo幣生態圈，還要用Mo幣做B2B電商</strong></p> <p>以往Momo的會員點數Mo幣，只能用於折抵自家電商平臺及富邦集團其他企業的消費，偶爾與集團外商家合作，也多為一次性活動。今年，他們要擴大Mo幣生態圈到更多集團外品牌的線上線下消費場景，還要用這個點數來進軍企業福利市場。</p> <p>谷元宏表示，今年開始積極擴大Mo幣生態圈，一大原因是發行量已經達到一定規模。2019年發行至今，有超過千萬名消費者使用過，且Momo預計2023年總發行量會突破100億。目前Mo幣發行主力為短期行銷活動，以及長期Momo聯名卡消費回饋。谷元宏揭露，聯名卡目前已經發行85萬張，目標今年達100萬張。</p> <p>Momo電商事業處副總經理洪偉釗說明，Mo幣生態圈的第1圈是富邦集團企業，第2圈則要瞄準自家供應商。過往，供應商只有在Momo販售商品時，會透過促銷活動發送Mo幣。未來，他們希望供應商能將其應用於能於更多場景，例如在其他通路作為贈品，送給自家會員。這意味著，Mo幣未來不只能觸及Momo會員，還有機會觸及到供應商的會員。</p> <p>另一種應用場景是用於供應商的福委採購及企業禮贈平臺。企業福利市場規模約為400億元，不過競爭者多為中小型電商。例如最大企業福利網PayEasy 2022年營收為2億元，品項數約36萬件。因此，電商龍頭加入戰局，規模優勢相當龐大。洪偉釗指出，與企業洽談這類業務時相當順利，因為他們供應商中不乏員工人數多的大型企業，所以Momo上百萬品項數，比起其他通路更有機會滿足這些員工多元的購物需求。</p> <p><strong>強化智慧倉儲，提升到貨效率並發展短鏈綠色物流</strong></p> <p>Momo預計2023年新增物流中心、主倉、衛星倉等大大小小的倉儲至63座。谷元宏表示，今年將繼續導入AI技術來優化物流管理，包括配置不同倉儲的存貨種類、預測銷量、轉運補貨等事項，還要用物流數據強化TMS（運輸管理系統，Transportation Management System），來提升物流路徑規劃、即時路況建議，進而預估訂單到貨時間。</p> <p>谷元宏表示，布局短鏈物流，再以數據科技優化，可以有效減少貨物在不同倉儲間來回調轉的時間，不僅提升運送效率，還能增加更多業務可能性，例如Momo已經有能力於倉儲密度較高的地區販賣雞蛋和牛奶等生鮮商品。</p> <p>Momo今年還要發展另一種綠色物流模式，不以到貨效率為唯一考量，而是把環保也考慮進物流決策。谷元宏說，為了提升到貨效率，有時他們會將同一筆訂單分為數個包裹出貨。然而，他們發現有一些會員不贊同這樣的模式，寧願等待多樣商品撿貨完成再一次出，節省包裝和運輸對環境衝擊。因此，他們會研究，如何在滿足這一群會員環保需求的前提下，盡可能維持到貨效率。</p> </div></div></div>
2023/3/22 10:35作者郭又華https://www.ithome.com.tw/news/156025
法拉利遭勒索軟體攻擊外洩客戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ferrari.com/en-EN/corporate/articles/cyber-incident-in-ferrari" target="_blank">義大利車商法拉利（Ferrari）本周稍早表示</a>公司網路遭到勒索軟體攻擊，導致客戶個資外洩。</p> <p>這家車商近日收到駭客勒索訊息，要求為外洩的客戶聯絡資訊付贖金才得知此事，並偕同外部廠商立即展開調查。</p> <p>法拉利表示，根據公司政策，他們不會屈服歹徒要求支付贖金，資助犯罪活動並讓攻擊者持續逞兇。他們認為最好的做法是通知客戶，並提醒可能的風險。這家車商並表示，這次事件未對公司營運功能造成影響。</p> <p><a href="https://twitter.com/troyhunt/status/1637949894282588160" target="_blank">根據資安研究人員Troy Hunt取得的信件</a>，根據法拉利的調查，客戶的姓名、住家地址、電話號碼、電子郵件信箱等已曝光，但銀行帳戶或其他敏感支付資訊，以及車主持有或下單過何種法拉利車款的資訊則未被竊取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Ferrari%20%E9%80%9A%E7%9F%A5%E4%BF%A1%20image%20by%20Troy%20Hunt.png" style="width: 600px;" /></p> <p><a href="http://twitter.com/troyhunt/status/1637949894282588160" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Troy Hunt</span></span></a></p> <p>本事件和去年法拉利的資安事件是否有關不得而知。<a href="https://www.redhotcyber.com/post/la-ferrari-e-stata-colpita-dal-ransomware-ransomexx-7gb-di/" target="_blank">去年10月勒索軟體RansomEXX駭客組織宣稱駭入法拉利公司網路</a>，取得超過7GB資料，包括公司內部文件、資料表以及維修手冊等，並將這些資料公開提供下載。但是當時法拉利否認遭駭，但說會調查文件流出的原因。</p> <p><a href="https://www.ithome.com.tw/news/148328" target="_blank">2021年瑞典車商Volvo Cars也公告遭駭</a>，該事件導致公司研發資料外洩。媒體報導，可能是勒索軟體Snatch攻擊的結果。</p> </div></div></div>
2023/3/22 12:22作者林妍溱https://www.ithome.com.tw/news/156028
Google以有惡意程式為由禁中國團購App拼多多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周以發現惡意程式為由，暫時將中國團購App拼多多（Pinduoduo）從其Play Store下架。</p> <p><a href="https://www.securityweek.com/google-suspends-chinese-shopping-app-amid-security-concerns/" target="_blank">Google指出該公司的安全軟體Google Play Protect掃瞄發現</a>，Play Store以外平臺下載的特定版本拼多多應用程式包含惡意程式，因此，基於安全考量Google Play Protect已經設定封鎖這款App的安裝。Google也呼籲已安裝惡意程式版本的用戶應儘速移除這款App。</p> <p>目前Google已暫時將Play Store上的拼多多App下架，以預防用戶安裝到不安全的應用程式。</p> <p>拼多多App提供消費者拼團大宗採購以買到更便宜的商品，用戶高達8億，去年營業額達1,306億人民幣（約189億美元），較前一年增長39%。</p> <p><a href="https://www.reuters.com/technology/google-suspends-chinas-pinduoduo-app-due-malware-issues-2023-03-21/" target="_blank">拼多多也對媒體證實此事</a>。拼多多接獲Google Play告知因不符合Google政策被暫時下架，但未提供更多細節。</p> <p>此事是否和歐美國家反中政策有關不得而知。近日在美國主導下，包括<a href="https://www.ithome.com.tw/news/155982" target="_blank">英國</a>、加拿大、歐盟及<a href="https://www.ithome.com.tw/news/156001" target="_blank">紐西蘭</a>宣布公務部門裝置禁用TikTok App。去年5月拼多多和阿里巴巴、JD.com等App<a href="https://www.barrons.com/articles/u-s-auditors-pcaob-delisting-risk-51671114089" target="_blank">一度在美國官方壓力下，面臨從美國股市下市的命運</a>，不過12月又獲美國官方許可持續在美掛牌。</p> <p>截至本文發布前，蘋果App Store仍然可以下載iOS版拼多多App。</p> </div></div></div>
2023/3/22 12:43作者林妍溱https://www.ithome.com.tw/news/156029
美知名醫療體系導入IBM量子電腦，為醫學界首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-03-20-Cleveland-Clinic-and-IBM-Unveil-First-Quantum-Computer-Dedicated-to-Healthcare-Research" target="_blank">美國知名醫學體系Cleveland Clinic本周宣布</a>導入IBM量子電腦服務Quantum System One，成為IBM量子電腦第一宗出貨到非官方機構的案例，也是全球醫療研究界第一座。</p> <p>這是IBM與Cleveland Clinic 2021年11月合作成立量子研發中心Discovery Accelerator十年合作計畫的一項成果。雙方去年10月開始部署這座量子電腦，並在本周宣布完成。</p> <p>Cleveland Clinic是全球知名醫療體系及生物科技研究機構，擁有7.2萬名員工。這座IBM Quantum System將會安裝在Cleveland Clinic約70公頃大的園區中。</p> <p>除了量子運算，兩公司的Discovery Accelerator也會援引IBM其他運算技術，包括混合雲的高效能運算，以及AI。</p> <p>Cleveland Clinic將運用IBM量子電腦、人工智慧（AI）及混合雲技術進行生物醫學研究，包括開發量子運算管線（pipeline）以發展針對特定蛋白質的藥物、改良預測手術後心血管風險發生機會的模型、以及運用AI尋找基因序列，及在現有大型藥物資料庫中尋找可治療阿茲海默症及其他疾病的藥物。這項合作也會用於該院的全球致病原與人類健康研究中心，研究人員將以運算科技加速療法及疫苗的研究，以及AI人才培育。</p> </div></div></div>
2023/3/22 13:10作者林妍溱https://www.ithome.com.tw/news/156030
Google發表Bard以與ChatGPT抗衡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/try-bard/" target="_blank">Google於本周二（3/21）發表了Bard</a>，這是基於大型語言模型（Large Language Model，LLM）的生成式對話AI，功能類似OpenAI於去年11月推出的ChatGPT，惟Bard目前仍處於早期實驗階段，僅支援美國與英國市場，有興趣的使用者可先提出申請（bard.google.com）以加入該實驗。</p> <p>ChatGPT無疑已成為全球最夯的網路服務之一，它問世的第一周就吸引了100萬名使用者，上線第二個月就創造1億名用戶，成為史上最快凝聚使用者的網路服務，也促使Google積極因應。</p> <p>Bard奠基在Google對話AI模型LaMDA（Language Model for Dialogue Applications）的最佳化與輕量版LLM上，Google亦強調將會持續更新Bard所採用的LLM模型，使用者可將LLM視為一個預測引擎，而Bard則是LLM的介面，並能與Google搜尋互補。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Google%20Bard-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>由於ChatGPT幾乎已教育了全球市場，用過ChatGPT的使用者很輕易就能上手Bard，不過，<a href="https://ai.google/static/documents/google-about-bard.pdf" target="_blank">Google仍舊建議了許多Bard的用途</a>，例如可用它來擬定同一個主題的多個不同草稿，像是寫詩或文章；可用來協助使用者列出舉辦聚會的待辦事項與撰寫邀請函；或是解答使用者的各式疑問。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Google%20Bard-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>此外，Bard也整合了Google搜尋，萬一答案不符合使用者需求，可直接按下「Google it」進行搜尋。</p> <p>現階段不管是ChatGPT或Bard都會出現錯誤、不實或偏頗的資訊，原因是它們所使用的AI模型都是採用大量來自網路的資料訓練而成，但也已過濾某些敏感的內容，例如拒絕回答「如何種植大麻」等問題。</p> <p><a href="https://www.theverge.com/2023/3/21/23649794/google-chatgpt-rival-bard-ai-chatbot-access-hands-on" target="_blank">根據《The Verge》的測試</a>，Bard可能因為使用人數較少，目前處理速度快過ChatGPT，不過Bard所提供的答案比ChatGPT更保守。</p> <p>Google表示將會持續改善Bard並新增該服務的功能，包括改善程式碼、新增對更多語言與國家的支持，以及嵌入其它模型等，同時歡迎測試者提供回饋意見，但並未公布廣泛開放的時間點。</p> </div></div></div>
2023/3/22 11:55作者陳曉莉https://www.ithome.com.tw/news/156026
【資安日報】3月21日，臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因地緣政治，臺灣總是成為中國駭客的主要攻擊目標。近日資安業者TeamT5揭露中國駭客自去年底出現的連續網路攻擊，針對金融機構而來。值得留意的是，駭客所發送的信件，主旨與內容在該行業可說是相當常見，使得研究人員認為，就算是與業務相關的郵件也要提高警覺，小心可能有詐。</p> <p>除了國內的網路釣魚郵件攻擊事故，新的勒索軟體攻擊情勢也值得我們關注。例如，勒索軟體CatB以特殊的啟動方式、埋藏勒索訊息的手法，引起資安業者<a href="https://www.ithome.com.tw/news/155054#catb">Minerva</a>、<a href="https://www.ithome.com.tw/news/155635#catb">Fortinet</a>關注，如今資安業者SentinelOne揭露新的調查結果──該勒索軟體也納入了部分竊密軟體的功能。</p> <p>駭客散布惡意軟體的管道，網路釣魚可說是相當常見，但透過搜尋引擎惡意廣告、YouTube頻道的做法也不時有事故傳出。如今，有人結合了惡意廣告和YouTube頻道兩者，導致使用者看到廣告是來自YouTube，而可能大大降低戒心。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://teamt5.org/tw/posts/press-release-chinese-adversaries-targeting-taiwan-financial-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣金融機構遭到中國駭客鎖定，假借以保單借款為誘餌的釣魚郵件，意圖散布Cobalt Strike</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/picture_press-release-chinese-adversaries-targeting-taiwan-finace-institutions.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/picture_press-release-chinese-adversaries-targeting-taiwan-finace-institutions.png" style="width: 300px; float: right;" /></a>資安業者TeamT5提出警告，他們發現近日中國駭客鎖定臺灣金融機構的攻擊行動，他們在2023年1月看到假借保單借款名義的釣魚郵件攻擊，收信人一旦執行，電腦就可能會被植入滲透測試工具Cobalt Strike。但這起事故並非單一事件，這些駭客自2022年12月，就嘗試以聖誕節祝賀為名義寄送釣魚郵件，挾帶7-Zip壓縮檔格式的附件，內有名為Christmas notice.pdf .exe。</p> <p>研究人員表示，駭客不只將誘餌檔案更換圖示，偽裝成Word文件，也在副檔名前加入多個空格，來蒙騙使用者。再者，而夾帶惡意軟體的執行檔當中，駭客也塞入許多垃圾程式碼，並運用控制流程扁平化（Control Flow Flattening）的混淆技術，而讓防毒軟體難以偵測。</p> <p><a href="https://www.sentinelone.com/blog/decrypting-catb-ransomware-analyzing-their-latest-attack-methods/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">不只加密檔案，勒索軟體CatB也能竊取瀏覽器與收信軟體的機密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CatB_5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CatB_5.jpg" style="width: 300px; float: right;" /></a>勒索軟體CatB攻擊特徵是濫用Windows作業系統的MSDTC服務，並以DLL挾持的手法來執行勒索軟體酬載，且在檔案加密完成後，在檔案開頭留下勒索訊息，而最近研究人員又有新的發現。</p> <p>資安業者SentinelOne揭露該勒索軟體新的分析結果，駭客不只是濫用MSDTC，還透過多種手法來規避偵測。首先，是駭客用UPX對發動第一波攻擊的versions.dll進行加殼（壓縮封裝），該程式碼將會於受害電腦的System32資料夾投放第二階段的酬載oci.dll，來偵測是否在沙箱環境，最終才利用上述服務啟動勒索軟體。</p> <p>值得一提的是，研究人員發現這個勒索軟體攻擊也結合竊取機敏資料的功能，可從Chrome、Edge、Firefox、IE等瀏覽器竊取使用者資料，包含了密碼、瀏覽記錄、書籤等，此外，該勒索軟體也會對收信軟體Windows Mail的組態資料下手。</p> <p><a href="https://www.welivesecurity.com/2023/03/16/not-so-private-messaging-trojanized-whatsapp-telegram-cryptocurrency-wallets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌Telegram與WhatsApp網站散布能挾持剪貼簿的惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TG-WahtsApp-figure01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TG-WahtsApp-figure01.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露假借提供即時通訊軟體Telegram、WhatsApp的名義，透過YouTube頻道及冒牌網站來散布竊資軟體的攻擊行動，主要目標是中國的Windows、安卓使用者，竊取他們的加密貨幣，部分甚至能將加密貨幣錢包洗劫一空。</p> <p>攻擊者先是在Google搜尋引擎服務當中，投放詐欺廣告，引導使用者瀏覽YouTube頻道，接著讓他們存取冒牌網站，並下載駭客提供的Telegram、WhatsApp安裝程式，導致電腦或手機被植入含有惡意模組的即時通訊軟體。</p> <p>這些即時通訊軟體會攔截剪貼簿內容，竄改用戶複製的加密貨幣網址，或是通關密語（Seed Words）。比較特別的是，其中一種安卓惡意程式具備光學文字辨識（OCR）的能力，可從使用者設備留存的圖檔相簿解析通關密語。</p> <p><a href="https://www.bleepingcomputer.com/news/security/general-bytes-bitcoin-atms-hacked-using-zero-day-15m-stolen/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">General Bytes比特幣ATM遭到零時差漏洞攻擊，駭客竊走逾150萬美元</span></strong></a></p> <p>比特幣ATM製造商General Bytes<a href="https://generalbytes.atlassian.net/wiki/spaces/ESD/pages/2885222430/Security+Incident+March+17-18th+2023">於3月19日發布資安通告</a>，表示有人在17日至18日，利用零時差漏洞BATM-4780，透過ATM主要服務介面遠端上傳Java應用程式，並透過batm使用者權限執行。接著，攻擊者掃描雲端服務Digital Ocean代管的IP位址，並從7741埠找出正在執行的加密貨幣應用伺服器（CAS）服務，進而能夠存取資料庫、解密熱錢包的API金鑰、取得使用者名稱及密碼雜湊值等，甚至能關閉雙因素驗證（2FA）。</p> <p>該公司呼籲ATM業者儘速採用他們公布的緩解措施來因應這樣的攻擊態勢，包含：檢查事件記錄檔案master.log、admin.log，以及重設CAS與API的密鑰等。根據資安新聞網站Bleeping Computer的報導，攻擊者在17日竊得價值約159萬美元的比特幣、3.9萬美元的以太坊。</p> <p><a href="https://www.akamai.com/blog/security-research/hinatabot-uncovering-new-golang-ddos-botnet"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Go語言殭屍網路HinataBot鎖定路由器、伺服器漏洞而來</span></strong></a></p> <p>雲端服務業者Akamai揭露專門發動DDoS攻擊的殭屍網路HinataBot，此殭屍網路病毒在2023年前3個月，針對存在漏洞的路由器或是伺服器而來，目前有哪些設備是HinataBot的目標？</p> <p>1.曝露CVE-2014-8361的Realtek SDK網路裝置<br /> 2.未修補CVE-2017-17215的華為HG532路由器<br /> 3.存在特定漏洞（尚未登錄CVE編號）的Hadoop YARN伺服器</p> <p>駭客先是利用上述漏洞入侵目標設備，然後使用wget或是ftp指令碼，下載惡意酬載。研究人員指出，他們比對今年1月、3月看到的殭屍網路病毒，發現新版本程式的檔案更小，但具備更多功能模組，研判駭客積極開發相關作案工具。</p> <p><a href="https://labs.withsecure.com/publications/silkloader"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國、俄羅斯駭客利用惡意軟體Silkloader迴避偵測 </span></strong></a></p> <p>資安業者WithSecure揭露名為Silkloader的惡意軟體，目前有中國與俄羅斯駭客使用，目的是將滲透測試工具Cobalt Strike的Beacon植入受害電腦，並透過DLL側載的方式執行。</p> <p>研究人員發現，在2022年7月以前，中國駭客將其用於攻擊香港與中國等地區的組織，但相關攻擊行動後來再度出現，並針對臺灣、巴西、法國等不同國家，研究人員推測，很可能是中國駭客向俄羅斯網路犯罪圈提供相關工具，而使得此惡意程式在俄羅斯以軟體打包服務（Packer-as-a-Service）提供給勒索軟體駭客，或是其他使用Cobalt Strike發動攻擊的駭客組織。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://cybernews.com/security/lowes-market-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國連鎖超商Lowe's Market配置錯誤，恐曝露客戶個資</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員表示，他們在2月7日發現美國連鎖超商Lowe's Market的線上購物網站出現配置錯誤的狀況，使得駭客有機會控制其電子商務平臺的功能，以及瀏覽客戶的敏感資料，甚至能存取支付服務，該公司獲報後，已修復相關的配置。</p> <p>研究人員指出，起因是該公司曝露了開發環境配置檔案（.ENV），其內容包含了AWS S3伺服器的帳密資料及儲存桶名稱，以及API密鑰、臉書OAuth帳密、GitHub的OAuth帳密資料。研究人員認為，上述資料有可能讓API遭到濫用，讓攻擊者以該公司名義發出新訂單、退款、投放廣告、得知門市擁有的現金數量等。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.scmagazine.com/analysis/breach/sec-proposes-slew-of-new-cyber-rules-for-secure-financial-entities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證交所研擬擴大客戶隱私保護法規的適用範圍</span></strong></a></p> <p>美國證交所（SEC）本週公布數項新的法規草案，當中要求券商與投顧公司必須在資料外洩事故發生後，必須立即向政府通報，且在30天內通知客戶。此外，他們也延伸資料隱私法規的適用範圍，將涵蓋更多種類的客戶資料。此外，新法規也要求金融機構必須在資安事故發生就立即向SEC發出書面通知，並在48個小時內出具詳細報告。</p> <p><a href="https://www.csoonline.com/article/3691229/cisa-kicks-off-ransomware-vulnerability-pilot-to-help-spot-ransomware-exploitable-flaws.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA啟動勒索軟體漏洞預警計畫</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）宣布啟動<a href="https://www.cisa.gov/news-events/news/cisa-establishes-ransomware-vulnerability-warning-pilot-program">勒索軟體漏洞警示計畫（Ransomware Vulnerability Warning Pilot，RVWP）</a>，他們將運用現有的服務、資料、技術，以及該單位的網路衛生弱點掃描系統（Cyber Hygiene Vulnerability Scanning），來尋找因存在漏洞而可能成為駭客攻擊目標的資訊系統。</p> <p>RVWP首次警示的對象共有93個組織，這些組織的Exchange伺服器存在ProxyNotShell漏洞──此漏洞正是勒索軟體駭客近日廣泛利用的對象之一。</p> <p>對此，資安業界也提出RVWP的執行建議。資安廠商Qualys指出，勒索軟體駭客往往使用超過一年以上的舊漏洞，RVWP接下來的目標是追蹤這種類型的已知漏洞；資安業者Tenable則表示，RVWP應專注與網際網路連接的應用系統，因為往往攻擊者會從這些系統找尋漏洞下手。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ferrari.com/en-EN/corporate/articles/cyber-incident-in-ferrari"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">超級跑車製造商法拉利證實發生資料外洩事故</span></span></strong></a></p> <p><a href="https://therecord.media/royal-dirkzwager-ransomware-attack-dutch-shipping"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">荷蘭海運業者Royal Dirkzwager傳出遭勒索軟體Play攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/google-pixel-flaw-allowed-recovery-of-redacted-cropped-images/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Pixel手機存在漏洞Acropalypse，可復原編輯過的圖片</span></span></strong></a></p> <p><a href="https://jfrog.com/blog/attackers-are-starting-to-target-net-developers-with-malicious-code-nuget-packages/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件鎖定.NET開發人員而來</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/03/emotet-onenote"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Emotet透過OneNote筆記檔案散布</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156006">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155993">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155969">【3月16日】 AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</a></strong></p> </div></div></div>
2023/3/21 18:02作者周峻佑https://www.ithome.com.tw/news/156024
微軟子公司Nuance要以GPT-4來產生病患臨床筆記草稿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/03/20/breaking-new-ground-in-healthcare-with-the-next-evolution-of-ai/" target="_blank">微軟旗下的語音技術子公司Nuance周一（3/20）發表了</a>基於GPT-4的Dragon Ambient eXperience（DAX）Express解決方案，可在幾秒內生成臨床筆記，也是目前極少數整合GPT-4的產品之一。</p> <p>GPT-4為OpenAI在3月中旬所釋出的最新AI模型，它同時支援文字與圖片輸入，並產生人類等級的文字，與上一代只能輸入文字的GPT-3.5相較，GPT-4不管是在解答能力或正確率上都有大幅提升，例如它在美國律師資格考上可拿到前10%的分數，GPT-3.5則排名倒數10%，且不管是在SAT數學測驗或GRE測驗等逾30項主流檢定測驗中，GPT-4皆大勝3.5版。</p> <p>目前包括Bing、摩根史坦利、冰島政府、Stripe支付平臺、可汗學院、Duolingo語言學習平臺與Be My Eyes視障者輔助App都已開始試用GPT-4。</p> <p>至於同樣基於GPT-4的DAX Express則號稱可在病患造訪檢查室或是進行遠程醫療之後，在幾秒內自動建立醫療臨床紀錄的草稿，以立即進行醫療回顧。</p> <p>DAX Express結合了Nuance既有的Dragon Medical One與DAX等醫療聽寫功能，它們也都被緊密地整合到電子病歷中，從就診前到就診後，Nuance認為這不僅可減少認知上的負擔，還能增加行醫的樂趣。</p> <p>其實Nuance早在2020年就推出DAX解決方案，能夠自動紀錄醫生與病患之間的對話，並製作成文件，而DAX Express則奠基於DAX上，可利用GPT-4於短時間內建立臨床筆記的草稿。</p> <p>DAX解決方案當初就是Nuance與微軟的合作成果，也促使微軟於2021年4月以197億美元收購Nuance，是迄今微軟史上的第三大收購案，次於Activision Blizzard的687億美元與LinkedIn的262億美元。</p> <p>至於積極利用GPT的微軟亦與開發GPT的OpenAI有著密不可分的關係。<a href="https://www.semafor.com/article/01/09/2023/microsoft-eyes-10-billion-bet-on-chatgpt" target="_blank">根據《Semafor》在今年1月上旬的報導</a>，微軟總計打算投入100億美元至ChatGPT，微軟雖未證實此一金額，但承認在2019年與2021年都曾投資OpenAI，<a href="https://blogs.microsoft.com/blog/2023/01/23/microsoftandopenaiextendpartnership/" target="_blank">今年1月下旬第三次注資數十億美元</a>，相關的投資還包括允許OpenAI使用Azure服務。</p> <p>報導亦引用消息來源指出，未來OpenAI都必須提撥75%的獲利予微軟，直至抵銷微軟所投入的資金，之後微軟將持有49%的OpenAI股權。另外《華爾街日報》（The Wall Street Journal）則說，今年1月OpenAI允許員工及早期投資人出脫手上持股的公司估值為290億美元。</p> </div></div></div>
2023/3/21 13:27作者陳曉莉https://www.ithome.com.tw/news/156015
Google支持的Anthropic公布Claude AI模型開放申請試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓OpenAI的ChatGPT專美於前，Google支持的AI新創公司<a href="https://www.anthropic.com/index/introducing-claude" target="_blank">Anthropic上周宣布AI模型Claude</a>，並開放註冊申請試用。</p> <p>Anthropic是OpenAI研發主管Dario Amodei於2021年創立。媒體報導，Amodei和OpenAI當初因理念不合而離開，他認為OpenAI愈來愈商業化，2019年首次接受微軟10億美元投資。<a href="https://www.ft.com/content/583ead66-467c-4bd5-84d0-ed5df7b5bf9c" target="_blank">《金融時報》報導</a>，Anthropic 在2022年獲得Google 3億美元投資，並獲得10%持股。</p> <p>Claude是Anthropic在和Notion、Quora、DuckDuckGo合作開發數個月的成果。Anthropic指出，和OpenAI的ChatGPT一樣，Claude也可以經由聊天介面或開發人員控制臺的API存取。Claude可以用於多種情境，包括為文章摘重點、搜尋、協助撰寫創意性和協同文件如電子郵件、回答問題、撰寫程式碼等等。</p> <p>Anthropic的合作夥伴已經用Claude開發出新服務，如<a href="https://www.ithome.com.tw/news/155855" target="_blank">DuckDuckGo用它開發DuckAssist擴充功能</a>，它能從維基百科搜尋答案並整理摘要。<a href="https://www.ithome.com.tw/news/155420" target="_blank">問答平臺Quora則開發出聊天機器人Poe</a>。此外，AI語音轉錄與理解平臺AssemblyAI也透過API使用Claude。</p> <p>Anthropic強調，<a href="https://www.anthropic.com/index/core-views-on-ai-safety" target="_blank">Claude是根據該公司打造誠實、無害的助益型AI系統的安全研究而發展出的次世代AI助理</a>。除了可以執行各種對話和文字處理作業外，也具有高度穩定性及可預測性。</p> <p>也許是為了突顯Claude和上線之初發言令人傻眼的ChatGPT之間的差別，Anthropic指出，目前早期用戶回報Claude較不產出有害內容、更容易對話，也更好控制。而且Claude也能發展出不同個性、語氣和行為。</p> <p><a href="https://cdn2.assets-servd.host/anthropic-website/production/images/FINAL-PRICING.pdf" target="_blank">Claude提供2種版本</a>。Claude-v1是經典高效能模型，Claude Instant較輕巧、速度較快，收費也較便宜。Claude收費依輸入提示及產出字元計價。Claude-v1輸入提示每百萬字元2.90美元，產出為每百萬字元8.60美元。Claude Instant則為輸入提示每百萬字元0.43美元，產出為每百萬字元1.45美元。（ChatGPT 3.5-turbo為每1,000 token 0.002美元。）</p> <p>Anthropic計畫未來幾周內再為Claude更新數次，並表示會持續透過研發和部署學習到的經驗來提升這個AI模型的助益、誠實和無害特性。</p> </div></div></div>
2023/3/21 11:22作者林妍溱https://www.ithome.com.tw/news/156012
日立能源因GoAnywhere軟體漏洞被Clop駭客竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hitachienergy.com/news/features/2023/03/third-party-cybersecurity-incident" target="_blank">日立能源（Hitachi Energy）部門上周指出</a>，該公司使用的檔案傳輸服務GoAnywhere存在漏洞，使其2月間遭到駭客竊取資料。</p> <p>日立能源說明，該公司是近日得知相關消息，攻擊已經導致該公司部分國家的企業員工資料被駭客存取。</p> <p>GoAnywhere官網宣稱其企業客戶高達3,000家，包括一些年營收10億美元、員工上萬的大型企業。2月發布安全公告同時，GoAnywhere也同時針對軟體漏洞發布了緊急修補。</p> <p>日立能源表示，在外部安全廠商協助下，初步調查顯示公司網路運作及客戶資料並未被存取，但說會持續調查並更新資訊。日立能源已經通知受到影響的員工、執法部門及主管機關。</p> <p>這使得這家日廠成為GoAnywhere今年初的漏洞攻擊的最新受害者。<a href="https://www.ithome.com.tw/news/155462" target="_blank">Fortra今年2月通報</a>其軟體檔案傳輸服務GoAnywhere MFT（Managed File Transfer）的管理控制臺存在零時差遠端程式碼執行（RCE）漏洞CVE-2023-0669，即已遭到濫用。</p> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-it-breached-130-orgs-using-goanywhere-zero-day/" target="_blank">資安媒體《Bleeping Computer》報導</a>，Clop勒索軟體的駭客組織宣稱已利用這漏洞，竊取130多家企業及組織的資料。但駭客對媒體聲稱，他們在這波行動中，並未以勒索軟體入侵受害組織的網路及加密檔案，只從GoAnywhere MFT的伺服器竊取文件。</p> <p>不過日立能源是否並未被加密系統或檔案則不得而知。</p> <p><a href="https://www.vicarius.io/vsociety/blog/unauthenticated-rce-in-goanywhere" target="_blank">2月底安全廠商Vsociety估計</a>，根據掃瞄結果，顯示約有1000個GoAnywhere管理控制臺曝險在網路上。<a href="https://www.rubrik.com/blog/company/23/3/fortra-goanywhere" target="_blank">上周安全廠商Rubrik也坦承</a>因使用這個產品使IT測試環境遭駭。</p> <p>媒體推測，基於產品相似功能，GoAnywhere MFT漏洞遭到濫用可能引發類似<a href="https://www.ithome.com.tw/news/142848" target="_blank">2021年Accellion FTA大規模且延續許久的全球災難</a>。</p> </div></div></div>
2023/3/21 11:44作者林妍溱https://www.ithome.com.tw/news/156013
微軟可能正在測試Edge內建加密貨幣電子錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/thebookisclosed/status/1636759487829917698" target="_blank">近日有使用者在Edge測試版發現加密貨幣電子錢包功能</a>，顯示微軟可能正在醞釀加入Web 3.0的浪潮。</p> <p>微軟是在Edge Insiders測試人員方案加入加密貨幣電子錢包，要求用戶測試後提供意見。根據用戶貼出的擷圖，微軟說明，該電子錢包是嵌入在Edge中，讓用戶不需安裝擴充程式即可使用電子錢包。這錢包能支援多種加密貨幣，也能儲存交易以及價格波動紀錄，此外也提供NFT目錄頁及加密貨幣相關新聞。</p> <p>微軟並強調，這是非託管（non-custodial）型的錢包，用戶具有完整控制權，微軟無法存取用戶密碼及復原金鑰。測試中的電子錢包還包含密碼頁、助記詞（recovery phrase）及防護助記詞等功能。</p> <p>這加密貨幣電子錢包或許可配合<a href="https://www.ithome.com.tw/news/148064" target="_blank">Edge 2021年起測試的先買後付（buy now, pay later）功能</a>，後者允許使用者購物分期支付，但不需申請信用卡。不過這功能公布時就引來批評鼓勵過度消費，且讓Edge變得臃腫，等於開倒車回IE時代。</p> <p>一如許多其他功能，微軟最後不見得一定會將加密電子錢包加入到正式版中，可能在用戶測試或內部評估後就在測試版階段移除。</p> </div></div></div>
2023/3/21 11:58作者林妍溱https://www.ithome.com.tw/news/156014
Amazon要再裁9,000名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年1月裁撤1.8萬名員工之後，<a href="https://www.aboutamazon.com/news/company-news/update-from-ceo-andy-jassy-on-amazons-operating-plan-and-additional-role-eliminations" target="_blank">Amazon執行長Andy Jassy周一（3/20）宣布</a>，將於未來幾周展開第二階段的營運計畫，再裁撤9,000個職位。</p> <p>Amazon是<a href="https://www.ithome.com.tw/news/154294" target="_blank">在去年11月宣布</a>裁員計畫，當時即預計相關的裁員行動會延續至今年，不過，今年初的首波裁員規模超越外界所估計的1萬人，<a href="https://www.aboutamazon.com/news/company-news/update-from-ceo-andy-jassy-on-role-eliminations" target="_blank">達到1.8萬人</a>，成為Amazon創立以來最大的裁員行動，受到影響的主要是Amazon Stores及People, Experience, and Technology（PXT）等零售與人力資源部門。</p> <p>此次所裁撤的9,000個職位則多半位於PXT、Twitch、廣告與AWS部門。</p> <p>近來的裁員潮其實是可理解的，因為在COVID-19期間，科技產業多半新聘了大量員工來因應市場需求，而當經濟面臨不確定性時，便必須精簡員工人數與成本。</p> <p>由於並非所有的團隊都在去年秋末完成人事精簡的分析，使得Amazon必須分階段宣布裁員規模，預計會在今年4月中下旬之前完成所有的裁員計畫，意味著可能還會有下一波的裁員行動。</p> <p>截至去年12月31日為止，Amazon的全球員工數為154.1萬人。今年以來裁撤的規模約占總員工數的1.75%。</p> </div></div></div>
2023/3/21 10:41作者陳曉莉https://www.ithome.com.tw/news/156011
Google發表可解讀影片事件，並生成文字說明的新型視覺語言模型Vid2Seq
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無論是娛樂、教育還是商業等領域，影片都是內容傳遞的一個重要媒介，以人工智慧理解影片內容，則能進一步擴大內容的傳遞，而Google新發表的預訓練視覺模型<a href="https://ai.googleblog.com/2023/03/vid2seq-pretrained-visual-language.html">Vid2Seq</a>，則是一個新型的視覺語言模型，能夠生成密集影片說明（Dense Video Captioning），標記影片中的多個事件邊界，並生成相對應的文字內容說明。</p> <p>研究人員解釋，要人工智慧理解影片，生成密集影片說明並非一件簡單的工作，因為影片通常包含不同時間尺度發生的多個事件。研究人員以雪橇犬拉雪橇的影片為例，影片中便會包含狗拉雪橇這個長事件，還有狗被拴在雪橇上這個短事件。</p> <p>所謂的密集影片說明，與單一圖片說明或是標準影片說明不同，密集影片說明是針對影片中的事件所產生的說明，因此事件與事件的時間軸可能會交疊，而傳統標準影片說明則是以單一語句描述一段影片的內容。密集影片說明能夠支援多種應用，包括可協助視障與聽障人士了解影片內容，也能夠自動產生影片章節，或是改進大型資料庫中的影片時間軸搜尋功能。</p> <p>目前密集影片說明都還停留在，用於處理高度專業化任務的階段，因此要整合到基礎模型存在一些障礙，而且過去這些模型使用手動註釋的資料集訓練，因此也難以擴展。Google新發表的預訓練視覺模型Vid2Seq，則能生成事件說明和時間的單一密集影片說明序列。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjVVcI55hsEvo07M0sxzfbelN6zuwytp2d0EhfPQ3Ukq_VhZ3b-Teq7gkkAC-niiqs4LkCicFAHzbk5omE-MDHiudUKp-qUnFaoGjYa52A9EC4w8g6c7H5SUjQPmXgZn5QCucoeiGWmUeojqfbdL5EKpYUvQQ8S9PmZT5AeBP4McNPEcFRlsviVP_4I_w/s16000/image1.gif" style="width: 580px;" /></p> <p>Vid2Seq的架構組成為一個視覺編碼器和一個文字編碼器，以分別執行編碼影片影格，以及轉錄語音輸入兩項工作，這些編碼會被輸入到文字解碼器中，自動回歸預測密集事件說明序列在影片中的時間。</p> <p>手動收集密集影片說明的註釋成本高昂，因此研究人員選擇使用未標記的口說影片預訓練Vid2Seq模型，像是YT-Temporal-1B這類資料集，便比手動註釋的資料集相對容易取得。研究人員使用口說影片資料集的方式，是將轉錄語音的句子邊界當作虛擬事件（Pseudo-event）的邊界，並且以轉錄的語音句子作為虛擬事件的說明。Vid2Seq使用數百萬個口說影片訓練，在YouCook2、ViTT和ActivityNet Captions等密集影片說明基準測試，達到目前模型的最佳表現（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(19).png" style="width: 580px;" /></p> <p>研究人員提到，Vid2Seq也能夠很好的泛化，應用到僅有少數鏡頭的密集影片說明任務，或是影片段落說明任務，甚至也能用於標準影片說明任務中。</p> </div></div></div>
2023/3/21 09:02作者李建興https://www.ithome.com.tw/news/156010
【資安日報】3月20日，政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣政府2022年稅收超徵4,500億元，行政院宣布2023年將提撥1,400億元，當中將對全國民眾普發6千元現金。消息一出，駭客也開始架設假網站來行騙。3月中財政部宣布將在22日開放登記，但也出現新的假網站，民眾要提高警覺。</p> <p>使用者透過推特的文章，向企業客服反映問題的做法也相當常見，但有駭客也趁機亂入，假借客服名義要使用者撥打詐騙電話。資安新聞網站Bleeping Computer揭露這種類型的攻擊手法，這些駭客專門鎖定那些標記為印度大型銀行的推文下手。</p> <p>除了上述針對國內外民眾的詐騙攻擊行動，鎖定企業與商業領域的事故氾濫也值得我們留意──有資安業者揭露商業郵件詐騙（BEC）大幅增加的現象，並指出相關攻擊的事件數量，2022年首度超越了勒索軟體攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://facebook.com/story.php?story_fbid=pfbid0339qMsRXbGLzffdUw3B5vDGWQWgL3HacQjQHtcb8hgVKmChCWWL8AxxhYtFEaqL1rl&id=100069163841054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">政府普發現金尚未開放，已傳出詐騙集團註冊網域行騙</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/07-cheat-big-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/07-cheat-big-3.png" style="width: 300px; float: right;" /></a>財政部於3月16日宣布全民普發每人新臺幣6千元現金的領取管道，總共區分成5種方式，並將在22日開放登記。但在此之前，傳出有人註冊名稱相似的網域，來架設冒牌登記網站的詐騙情況。財政部於3月18日發布臉書貼文，表示他們發現了將6000與gov、tw連在一起的冒牌網站網址，呼籲民眾要提高警覺。財政部也通報警調單位，該網站已被封鎖。</p> <p>財政部表示，網址應為<a href="https://6000.gov.tw">https://6000.gov.tw</a>，民眾應透過3種方法辨別，首先是6000是數字，而不應有英文字母o，再者，則是我國政府機關的網域是.gov.tw，且gov的前面一定會有「.」；最後，網址結尾不應是com。</p> <p>但這已並非政府首度針對相關詐騙提出警告──<a href="https://moda.gov.tw/press/press-releases/3519">數位發展部在1月6日獲報</a>，有民眾收到相關詐騙簡訊，強調政府不會用簡訊通知有關事宜。值得留意的是，雖然我國政府不斷提出警告，但目前尚未有資安業者透露相關攻擊規模。</p> <p><a href="https://www.bleepingcomputer.com/news/security/convincing-twitter-quote-tweet-phone-scam-targets-bank-customers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人假冒銀行的名義，在推特回覆使用者標註的貼文</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake-axis-support.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-axis-support.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有人針對使用者在推特向銀行反映問題的推文裡，假冒銀行的客戶支援團隊，要求使用者撥打指定的專線進行後續的處理事宜。</p> <p>研究人員Ax Sharma在一則有關資安事故的推文裡，標記印度大型銀行Axis Bank，結果ID為@AXIS_BANK_00的用戶假借該銀行名義，要求研究人員撥打24小時服務熱線，並留下電話號碼。然而，正牌的銀行客服很快就出面，表示留意到有人假冒他們名義的情況，呼籲該名研究人員切勿與此用戶互動，也不要透露個人資料。研究人員根據上述用戶留下的客服電話號碼進行調查，發現駭客也有假冒其他印度主要銀行HDFC、ICICI的情況。</p> <p><a href="https://www.secureworks.com/resources/rp-irs-learning-from-incident-response-team-2022-year-in-review"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年BEC詐騙事故翻倍，威脅首度超越勒索軟體</span></strong></a></p> <p>資安業者Secureworks針對2022年的整體資安事故進行回顧，當中提及商業郵件詐騙（BEC）的事故數量較前年多出一倍，而且，首度直接超越往年的頭號威脅：勒索軟體。</p> <p>研究人員指出，這樣的攻擊態勢轉變，很有可能是因為發動BEC攻擊的技術門檻略低，然而一旦成功的報酬往往相當可觀。此外，透過網路釣魚攻擊入侵目標設備的情況也大幅增加，占所有攻擊事故的初期入侵管道（Initial Access Vector，IAV）33%，較前年的13%高出許多，研究人員推測，這個現象與前述的BEC攻擊數量爆增有關。</p> <p>值得留意的是，雖然勒索軟體不再是頭號威脅，相關事故較前年少了57%，但研究人員認為，事件數量下降的原因很可能是駭客偏好對小型的組織下手，而這些組織往往不會公開或進行通報。</p> <p><a href="https://www.cadosecurity.com/previously-undiscovered-teamtnt-payload-recently-surfaced/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挖礦攻擊只是幌子！駭客組織TeamTNT發動攻擊疑為竊取機密資料</span></strong></a></p> <p>駭客組織TeamTNT濫用雲端的容器環境挖礦的情況，自2019年已有許多資安人員發現相關的攻擊行動，但如今發現新的證據，這些駭客很有可能有新的意圖。資安業者Cado Security在研究另一起<a href="https://www.ithome.com.tw/news/155716#scarleteel">針對AWS環境竊密的資安事故Scarleteel</a>之後，發現駭客使用的惡意軟體與TeamTNT用的程式之間，有共通的特徵，且加密貨幣錢包為TeamTNT所有。</p> <p>研究人員推測，這起資安事故的攻擊者很有可能就是TeamTNT，並認為該組織發動相關的挖礦攻擊，實際上是為了竊取機密，但他們也不排除這是其他駭客組織模仿TeamTNT的攻擊手法。</p> <p><a href="https://www.cybersecuritydive.com/news/mks-instruments-class-action-litigation-ransomware/645061/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">半導體設備商MKS Instruments遭遇勒索軟體攻擊，面臨集體訴訟</span></strong></a></p> <p>根據新聞網站Cybersecurity Dive的報導，半導體設備商MKS Instruments於3月14日，向美國證交所（SEC）提出10-K財報，當中透露因為2月的勒索軟體攻擊事故導致產能不足，該公司在3月3日於加州法院遭到集體訴訟，但提告人尚未提出具體的求償內容。</p> <p>MKS Instruments在2月底的電話會議裡，曾透露此資安事故造成的影響──因為光子與真空解決方案部門的營運受阻，導致他們估計今年第一季營收將減少2億美元。</p> <p><a href="http://www.hitachienergy.com/news/features/2023/03/third-party-cybersecurity-incident"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Hitachi Energy也傳出成為GoAnywhere零時差漏洞的受害組織</span></strong></a></p> <p>勒索軟體駭客Clop聲稱利用零時差漏洞CVE-2023-0669，對一百多個組織的MFT檔案共用系統GoAnywhere出手，如今有越來越多組織證實遇害。Hitachi Energy於3月17日發布公告，表示他們遭到Clop的攻擊，部分國家或地區的員工資料可能遭到未經授權的存取，該公司隨即斷開受影響的GoAnywhere系統的對外連線，並啟動相關調查。</p> <p>該公司表示，目前尚未出現相關證據證明網路營運受到波及，客戶資料的安全性、可靠性也沒有受到影響。</p> <p><a href="https://blog.avast.com/adobe-acrobat-sign-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe線上文件簽署服務遭濫用，拿來散布竊資軟體RedLine</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/adobe-acrobat-sign-phishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/adobe-acrobat-sign-phishing.png" style="width: 300px; float: right;" /></a>資安業者Avast揭露濫用電子文件簽名服務Adobe Acrobat Sign的攻擊行動，攻擊者針對擁有許多訂閱者的YouTube頻道管理者而來，利用上述服務發送電子郵件，宣稱YouTube頻道的部分影片侵犯他人的音樂版權，要求管理者點選URL簽署線上文件處理。</p> <p>一旦頻道管理者照做，就會下載存放於Adobe伺服器的DOC檔案、PDF檔案，或是HTML檔案，若是開啟並點選文件裡的URL，就會下載竊資軟體RedLine。研究人員指出，為了魚目混珠，駭客會將RedLine的惡意酬載檔案大小增加至400 MB，並摻雜數個來自電玩遊戲俠盜獵車手5的檔案，企圖影響防毒軟體的判斷。</p> <p><a href="https://research.checkpoint.com/2023/south-korean-android-banking-menace-fakecalls/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬FakeCalls對南韓銀行用戶發動攻擊，影響的金融機構超過20家</span></strong></a></p> <p>資安業者Check Point揭露名為FakeCalls近期的安卓惡意軟體攻擊行動，駭客模仿超過20家南韓大型金融機構，在當地散布該惡意軟體。</p> <p>研究人員指出，駭客先是透過網路釣魚、搜尋引擎最佳化（SEO）汙染、惡意廣告等手法，在目標手機植入FakeCalls，並向使用者宣稱能提供低利率貸款，一旦使用者想要借款，此惡意軟體就會撥打「電話」，撥放銀行客戶服務電話的語音內容，過程中會向使用者要求信用卡資料，進而讓攻擊者達到竊取相關資料來盜刷、轉賣的目的。</p> <p>研究人員指出，此安卓惡意軟體在2022年就被發現，但現在駭客加入了更多反偵測的技術，而使得攻擊行動更難察覺。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://support.microsoft.com/en-us/topic/kb5025175-updating-the-winre-partition-on-deployed-devices-to-address-security-vulnerabilities-in-cve-2022-41099-ba6621fa-5a9f-48f1-9ca3-e13eb56fb589"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對可繞過BitLocker的WinRE元件漏洞，微軟發布新的緩解工具</span></strong></a></p> <p>微軟發布PowerShell指令碼KB5025175，目的是要針對去年11月公布的漏洞CVE-2022-41099提供較為簡化的緩解措施。此漏洞存在於Windows修復環境（WinRE），一旦攻擊者加以利用，就有機會在能夠實際接觸目標裝置的情況下，繞過BitLocker磁碟加密的安全機制，存取受到保護的檔案，而且，該漏洞的嚴重性為中等，CVSS風險評分為4.6分，可能會被大家忽視而未積極修補，導致面臨被攻擊的風險。</p> <p>該公司表示，他們提供的2個指令碼分別支援不同版本的Windows作業系統，PatchWinREScript_2004plus.ps1支援Windows 11，以及Windows 10 2004以上版本，另一個名為PatchWinREScript_General.ps1的檔案，則適用於Windows 10 1909及之前版本。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156003"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國NBA資料外洩，粉絲個資流出</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/wp-content/uploads/2023/03/A-year-of-Russian-hybrid-warfare-in-Ukraine_MS-Threat-Intelligence-1.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2023年已有17個歐洲國家遭俄羅斯駭客鎖定，從事網路間諜攻擊</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/news/cisa-establishes-ransomware-vulnerability-warning-pilot-program"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA啟動勒索軟體弱點預警計畫</span></span></strong></a></p> <p><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3328152/nsa-releases-recommendations-for-maturing-identity-credential-and-access-manage/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國安局發布零信任身分管理ICAM指南</span></span></strong></a></p> <p><a href="https://www.isc2.org//-/media/ISC2/Research/2022-WorkForce-Study/ISC2-Cybersecurity-Workforce-Study.ashx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">亞太地區2022年面臨210萬資安人才短缺</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155993">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155969">【3月16日】 AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</a></strong></p> </div></div></div>
2023/3/20 16:45作者周峻佑https://www.ithome.com.tw/news/156006
三總結合5G專網與AR，讓學生可透過3D AR眼鏡觀摩學習達文西手術過程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內G實現智慧醫療再添新應用。國防醫學院三軍總醫院（簡稱三總）與中華電信、佐臻聯手，今天（3/20）對外展示一項達文西手術3D AR遠距教學觀摩應用，讓學生或醫生透過AR眼鏡，以第一視角觀摩學習手術過程，提高對手術細節、關鍵的理解。</p> <p>位於臺北市內湖地區的三總去年在中華電信協助之下完成5G專網，為發展5G應用，該院與中華電信、佐臻合作開發達文西手術3D AR遠距教學觀摩應用，結合5G專網、AR視訊協作平臺，以及AR眼鏡，試圖為醫學教育帶動沈浸式學習的新應用。</p> <p>達文西手術是一種微創、高精密度手術，被視為腹腔鏡手術的進階版，手術檯由機器手臂執行，手術醫師位於手術機臺前進行操控，透過光纖網路連接手臂與機臺，醫師在機臺前，透過機器手臂的高解析度3D立體手術影像，根據判斷進行手術。傳統上，手術畫面以2D直播，供學生及醫師觀摩學習。</p> <p>三總今天展示的達文西手術3D AR遠距教學觀摩應用，是將達文西手臂的左、右訊源，經過2D轉3D影像處理後，由電腦送至5G路由器、5G天線，經過5G專網設備，包括MEC邊緣運算上的AR視訊協作平臺，將3D影像送至演講廳或教室的5G天線、路由器，送至電腦由指導醫師解說，另方面也能送到5G手機，通過AR協作App，讓學生戴上AR眼鏡觀看第一視角的3D成像手術畫面。</p> <p>透過5G手機接收AR協作平臺的畫面，醫學院學生從AR眼鏡中觀看到手術的第一視角3D畫面，相較一般手術2D直播畫面，學生表示，可感受到手術過程中人體內的深度感：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230320_103024%20(1).jpg" style="width: 600px; height: 450px;" /></p> <p>三總實際展示以達文西手術進行子宮肌瘤切除手術，將手術畫面透過5G專網、AR視訊協作平臺，讓學生戴上AR眼鏡，看到第一視角的3D立體手術畫面，相較於手機直播2D畫面，學生從3D AR的沈浸畫面裡，可感受到人體內器官的深度感，在過程中，指導醫師或教授也能在畫面上標示出病徵及建議處理方式，提高學習效率。</p> <p>三總人工智慧物聯網中心執行長暨國防醫學院部定副教授方文輝表示，不只透過達文西手術輸出手術畫面影像，指導醫師的從旁解說，讓學生能獲得更好的知識傳遞。除了手術畫面結合5G、AR提供新的學習體驗，目前達文西手術的手臂及操作機臺之間是以光纖連接，未來隨著無線通訊發展，希望能以無線取代光纖，例如手術操作機臺設在臺北，達文西手術檯設在臺東或偏鄉離島，以實現遠端手術治療的目標。</p> </div></div></div>
2023/3/20 17:24作者蘇文彬https://www.ithome.com.tw/news/156007
【GPT-4實例】可汗學院打造全新AI導師，更像真人老師引導而非直接給答案，還要成為老師課堂助教分擔行政瑣事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT爆紅後，教育是第一波受到衝擊的產業，不只衝擊學生學習方式，更大大挑戰傳統教學模式，許多老師陷入嚴重焦慮，苦惱該如何因應。「人工智慧應該成為真正的學習工具，而非用來作弊。」全球最大開放線上教育平臺可汗學院創辦人Sal Khan強調。他們是第一波擁抱GPT 4的組織，嘗試在善用AI和緩解教育衝擊之間找出平衡點，打造出一款新的學習與教學的AI助手。</p> <p>OpenAI在3月中發表了新一代超大語言模型GPT-4，不只文字，更能支援圖片輸入，也公布了多家已經開始試用GPT-4模型的企業與組織，可汗學院也是其中之一。可汗學院採用GPT-4模型打造了一款AI助手Khanmigo（這個名稱由Khan和西班牙文「朋友」(amigo)的結合），目前是測試版，整合到可汗學院的各種內容中，以獨立ChatBot或站內對話形式，可以對學生、老師，甚至是家長提供協助。</p> <p>Khanmigo可以扮演學生的一對一教學導師，在線上教學平台中引導學生，提供個人化的教學指引，另外，也可以成為真人教師的課堂助理，幫老師制定課程大綱。可汗學院從2022年開始測試這款AI助手，找來約1000名試驗者，包括學生、教職人員和學校行政人員參與測試。</p> <p>目前Khanmigo可以提供十多項學生端的AI輔助活動，包括了學習數學、共同腦力激盪完成作文（但AI不會自動生成文章）、準備申請學校的考試、練習新的字彙、學習電腦程式、採訪歷史或小說人物（例如讓學生採訪珍·奧斯丁或羅密歐)，也能用來進行辯論活動（例如學校是否要禁用AI）。</p> <p><strong>目前可提供十多項AI輔助學習的活動（可參考左側清單），例如下圖列出多位歷史人物，可供學生採訪。（圖片來源：可汗學院）</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A1%E8%A8%AA%E6%AD%B7%E5%8F%B2%E6%88%96%E5%B0%8F%E8%AA%AA%E4%BA%BA%E7%89%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%AF%E6%B1%97%E5%AD%B8%E9%99%A2.png" /></p> <p>根據可汗學院先期測試結果，GPT-4有可能快速引導學生，以脈絡化的方式來思考問題，也能指導學生程式開發。此外，GPT-4可以提供人性化的杜談，給予個人化的回應，來引導學生不只是知道問題的答案，也真正了解問題背後的概念。</p> <p>可汗學院在影片中展示了AI導師與學生實際對談的情況，不管學生如何要求Khanmigo提供數學練習題的答案，AI導師都不會直接解答，而是引導學生如何思考題目，透過一步步的問答，剖析學生哪一個解題環節發生問題，再引導學生使用正確的解方找出答案。而在共同寫作的輔助上，AI導師不會代替學生寫出文章，而是鼓勵學生想出更多點子，來完成文章。</p> <p>雖然可汗學院沒有揭露背後技術關鍵，但OpenAI共同創辦人Greg Brockman在GPT-4發表展示中透露了如何AI不會直接告訴學生答案的關鍵技術。這是GPT-4新的操控性（Steerability）功能，可以透過人設指定，例如回答的用語、風格、語調等條件，來限制GPT-4的回覆行為。</p> <p>Greg Brockman舉例，只要在API參數中，透過system角色，要求GPT-4扮演不能直接回答答案的的數學課輔老師，不管，學生怎麼問，或者試圖透過特殊指令試圖越獄，也都無法得到直接的答案。這個新功能可以用來限制和控制GPT-4所能回答的限制，可供企業用來設定想要GPT-4回答的內容範圍，或者禁止回答的內容。</p> <p>也就是說，可汗學院正是利用了這個GPT-4特性，來限制AI直接說出答案。這正是教育圈擔心學生對ChatGPT的濫用，要AI產生答案來交作業或回答線上考試，而缺乏自己的思考。</p> <p>可汗學院也在Khanmigo上設計了AI電池機制，來限制學生每天使用AI助手的次數和用量。另外，學生與Khanmigo的對話過程，例如所有辯論紀錄，都會留下紀錄，提供給家長或老師檢視，這是與AI導師搭配的安全機制。</p> <p><strong>所有學生與AI的對話會留下紀錄，可供家長與老師檢視，也有警告系統，通知家長哪些對話可能要特別留意（</strong><strong>圖片來源：可汗學院）</strong></p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%89%E5%85%A8%E9%85%8D%E5%A5%97-%E5%B0%8D%E8%A9%B1%E5%85%A7%E5%AE%B9%E8%AD%A6%E5%91%8A-small-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%AF%E6%B1%97%E5%AD%B8%E9%99%A2png.png" /></p> <p>除了協助學生學習，可汗學院也正在測試Khanmigo協助教師編寫教學材料，尤其能夠針對不同學生制定客製化的課程計畫。當教師要求Khanmigo制定教學計畫時，Khanmigo會先詢問學生程度，再瞭解教師偏好的教學習慣，以制定更符合教師和學生雙方的課程內容。此外，可汗學院甚至希望，當學生對某項領域感到興趣，Khanmigo可以在教學上，協助提高學生的學習動機。可汗學院在發表這項新AI導師時也強調，希望AI扮演真人老師的助手，分擔行政瑣事，讓真人老師有更多時間來關心學生。</p> <p><strong>AI助手Khanmigo可以成為老師的課堂助手，撰寫課程大綱，編寫有趣教案、試寫考卷等。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%BC%94%E5%8A%A9%E8%80%81%E5%B8%AB%E8%A3%BD%E4%BD%9C%E8%AA%B2%E7%A8%8B%E5%A4%A7%E7%B6%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%AF%E6%B1%97%E5%AD%B8%E9%99%A2.png" /></p> <p>不過，Sal Khan坦言，Khanmigo目前仍無法正確無誤的教授數學，但每一週都在快速進步。目前先期試用者也回提供回饋來改善AI導師，將聚焦數學問題的錯誤，進行標注及改正。</p> <p>「不只我們，所有的教育科技公司都面臨如何引導學生深入思考學習內容的問題。」可汗學院首席學習長Kristen DiCerbo說道。超過2,700萬名註冊用戶，包括9萬5千名美國老師每個月都會用這個平台教學。可汗學院不只是看到AI帶來機會，也意識到AI帶來的風險。</p> <p>可汗學在發表AI導師同時，也發表了一系列AI在教育應用的課程，來介紹AI在教育的優缺點，衝擊和風險等。另外，可汗學院也參考了美國國家標準與技術局NIST的學校AI教育倫理框架，來評估自己對AI的各項計畫和運用。</p> <p>目前，Khanmigo開放限額試用登記，美國18歲以上使用者，每月捐款20美元以上能優先候補試用。文⊙王宏仁、李昀璇</p> <p> </p> </div></div></div>
2023/3/20 17:44作者王宏仁https://www.ithome.com.tw/news/156009
NBA第三方服務商資料被竊，殃及粉絲個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/nba-alerts-fans-of-a-data-breach-exposing-personal-information/" target="_blank">資安媒體《Bleeping Computer》報導</a>，美國國家籃球協會（NBA）使用的第三方電子報服務商資料被竊，導致為數不詳的粉絲個資外洩。</p> <p>NBA作為男子職業籃球聯盟，由北美30支球隊組成。NBA日前以網路安全事件郵件通知粉絲，一名人士未經授權存取了NBA第三方電子報服務供應商的資料，進而取得廠商持有的粉絲資料，包括姓名和電子郵件。目前NBA已經和這家廠商合作啟動調查，並已聘請外部安全廠商調查分析事故範圍。</p> <p>NBA告知粉絲，目前沒有證據顯示NBA系統遭駭，且粉絲的帳號使用者名稱、密碼及其他資訊不受影響。但是NBA提醒，外洩的資料可能被用作釣魚信件及其他詐騙攻擊，呼籲用戶要留意近日收到的信件，並強調說NBA不會透過電子郵件詢問使用者名稱及密碼等帳號資訊。</p> <p>NBA並未說明該事件是合作廠商系統漏洞被駭、遭到勒索軟體、或是釣魚信件攻擊的結果。</p> <p>NBA並未透過官網發布公告，官方發言人也未對此回應。</p> </div></div></div>
2023/3/20 13:36作者林妍溱https://www.ithome.com.tw/news/156003
NordVPN釋出免費Meshnet功能，一舉開源Linux版程式、Libtelio與Libdrop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名VPN業者NordVPN上周一舉宣布釋出<a href="https://nordvpn.com/zh-tw/blog/why-is-meshnet-free/" target="_blank">免費加密通道功能Meshnet</a>，同時<a href="https://nordvpn.com/zh-tw/blog/nordvpn-linux-open-source/" target="_blank">開源Linux版程式</a>，以及Libtelio與Libdrop函式庫，藉以展現該公司對產品的信心，同時鼓勵開源社群協助改善相關產品。</p> <p>Meshnet過去是付費版NordVPN的一項功能，可於不同裝置之間建立加密通道，例如使用者於他國旅行時，可連至家中電腦再進行瀏覽；或是把自己的電腦當作VPN伺服器，允許海外的親友連線使用；也能在兩臺裝置間建立加密通道來傳送檔案；還是與友人一起玩遊戲時利用Meshnet來連結裝置。</p> <p>NordVPN表示，他們相信所有人都應該利用VPN的安全與便利性，但並非所有人都已準備好要使用有價的NordVPN服務，Meshnet可用來滿足簡單的需求，作為使用者進入付費服務的試金石，有別於NordVPN服務仰賴全球的伺服器網路，Meshnet功能所需的架構與維護成本都低得多。</p> <p>Meshnet最多可連結60臺裝置，可支援Windows、macOS、Linux、Android與iOS等不同的作業系統。</p> <p>同一天NordVPN還開源了完整的<a href="https://github.com/NordSecurity/nordvpn-linux" target="_blank">Linux版NordVPN程式</a>，NordVPN所有平臺所使用的<a href="https://github.com/NordSecurity/libtelio" target="_blank">網路函式庫Libtelio</a>，以及Meshnet用來分享檔案的<a href="https://github.com/NordSecurity/libdrop" target="_blank">Libdrop函式庫</a>。其中，Libtelio是NordVPN所有版本的程式碼骨幹，不僅限於Linux版。</p> <p>NordVPN表示，這3個元素的開源將允許任何人檢查、變更或重新遞送這些元素，倘若有人認為Linux版的NordVPN需要改善，或新增功能，那麼便能更改它，進而建立自己的版本。此外，他們想要來自程式碼社群的審查與意見，同時對外展現NordVPN對自家軟體的信心，也能透過社群的貢獻來改善產品。</p> </div></div></div>
2023/3/20 14:00作者陳曉莉https://www.ithome.com.tw/news/156004
研究人員釋出工具以避免藝術作品遭到AI模仿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一邊有科學家極力蒐集廣大的資訊以供AI模型學習並仿效，另一邊則有研究人員打造機制來防堵AI模型的模仿，芝加哥大學的隨機分析和非線性動力學實驗室（SAND Lab）與專業藝術社群合作，<a href="https://glaze.cs.uchicago.edu/" target="_blank">於上周六（3/18）釋出了Glaze Beta2</a>，藝術家只要在上傳作品至網路之前，利用Glaze將作品稍加變更，就能避免AI模型剽竊其作品概念與風格，進而生成類似的作品。</p> <p>在與SAND Lab合作的逾1,100名藝術家中，<a href="https://conceptartworld.com/artists/karla-ortiz/" target="_blank">最有名的莫過於概念性藝術家/插畫家Karla Ortiz</a>，她經常替作者設計封面、插畫，或協助玩具製造商打造新圖騰。</p> <p>若Ortiz在上傳作品至網路之前使用了Glaze，它就能變更原始作品元素，肉眼很難辨識這些變更，因此在網路上看起來與原作幾乎一模一樣，不過，SAND Lab將這些變更稱為「風格偽裝」（Style Cloak），可把於網路上流傳的Ortiz作品變成「偽裝藝術品」（Cloaked Artwork），以免遭到AI模型的剽竊，而且藝術家還可以指定所要偽裝的風格。</p> <p>例如Ortiz可指定將自己作品的風格偽裝成梵谷（Vincent van Gogh），即便作品在網路上看起來與Ortiz的原作一樣，卻會使AI模型將其風格誤認為梵谷，蒐集與學習該作品的AI模型所生成的就是梵谷風格的作品，而非Ortiz。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-Glaze%20protection-2.png" style="width: 600px;" /></p> <p><a href="http://glaze.cs.uchicago.edu/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SAND Lab</span></span></a></p> <p>Glaze Beta2目前最大的限制在於它並非可永遠對抗AI的模仿，進展快速的AI技術很可能於未來繞過Glaze，但SAND Lab團隊認為Glaze是必要的第一步，而且可在必要的技術及法令出爐前先行保護藝術家。</p> <p>SAND Lab團隊表示，Glaze僅用於研究目的，並不打算商業化，發布的當下就能供外界免費下載及使用。Glaze Beta2支援Windows 10/11 ，以及基於英特爾或M1/M2處理器的macOS。</p> </div></div></div>
2023/3/20 12:35作者陳曉莉https://www.ithome.com.tw/news/156000
紐西蘭國會加入禁用TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.parliament.nz/en/footer/about-us/parliamentary-service/parliamentary-service-media-releases/media-statement-tiktok-on-parliamentary-service-devices/" target="_blank">紐西蘭國會上周宣布</a>，國會公務裝置將不得安裝TikTok，成為最新一個對這個短影片社交應用實施禁令的政府單位。</p> <p>紐國國會主席Rafael Gonzalez-Montero表示，基於網路安全專家建議，國會已要求國會議員及員工移除所有具國會網路存取權的裝置上的TikTok應用程式。他說，根據專家分析以及紐國國內、外政府的討論，國會判斷相關風險已是現有紐國國會無法接受的程度。</p> <p>紐西蘭是五眼聯盟中，最新一個在公用手機上禁用TikTok的成員國家。美國參議院已在去年底通過政府機構裝置不得安裝使用該App的法案，只剩總統簽字即會成為法令。CNN上周引述短影片社交平臺TikTok母公司字節跳動（ByteDance）證實，美國拜登政府要求出售TikTok手中持股，否則將正式禁用。</p> <p>加拿大及英國分別在<a href="https://www.bbc.com/news/world-us-canada-64792894" target="_blank">2月底</a>及<a href="https://www.ithome.com.tw/news/155982" target="_blank">上周</a>宣布政府部門員工裝置不得安裝這款中國App。而根據澳洲媒體<a href="https://www.smh.com.au/technology/federal-government-expected-to-ban-TikTok-on-its-devices-20230317-p5cszo.html" target="_blank">《Sydney Morning Herald》</a>報導，澳洲政府還在評估，但可能也會在近期頒布禁令。此外，<a href="https://www.ithome.com.tw/news/155700" target="_blank">不是五眼聯盟的歐盟已在2月底宣布類似禁令</a>。</p> </div></div></div>
2023/3/20 12:42作者林妍溱https://www.ithome.com.tw/news/156001
微軟預覽低程式碼開發平臺Power Platform用的Copilot AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155983" target="_blank">繼上周的Office之後</a>，微軟上周四（3/16）再宣布<a href="https://powerapps.microsoft.com/en-us/blog/announcing-a-next-generation-ai-copilot-in-microsoft-power-apps-that-will-transform-low-code-development/" target="_blank">整合低程式碼開發平臺Power Platform的Copilot預覽版</a>，讓Power Platform的開發人員和使用者用自然語言就能完成工作。</p> <p>最新Copilot是以<a href="https://www.ithome.com.tw/news/155884" target="_blank">Azure OpenAI服務</a>的GPT模型為底層，將AI助理加入Power Platform底下三項產品，包括Power Apps、Power Virtual Agents和Power Automate。使用者可以自然語言描述自己的目的，以開發應用程式、聊天機器人（bot）或工作流程。</p> <p>Power Apps本來就是低程式碼工具，旨在讓不具程式開發背景的使用者，也能撰寫出應用程式。用戶描述應用程式用途，Power Apps就會自動產生App的資料表格，而有了Copilot，使用者可以用自然語言依據自己的需求調整App。一旦用戶可以解決簡單的應用開發需求，開發人員就能把時間專注在更複雜的程式碼、元件和整合工作上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-Copilot%20in%20Microsoft%20Power%20Apps-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Power Automate用於建立重覆性事務的自動化流程。微軟宣稱，Power Automate 2022年10月上線的預覽版中的「Describe it to design it」功能，已可減少50%的流程開發時間，Copilot則可把建立作業縮短為幾秒鐘內完成。</p> <p>Power Virtual Agents這項產品本身用於開發處理多種主題、回應和情境知識的聊天機器人。但微軟表示，即便是低程式碼，也需要花一段時間。現在有了Copilot，作業可將在幾分鐘內開發完成。用戶可以使用自然語言，援引Copilot生成性AI模型GPT建立及微調主題內容，它的對話介面又讓這個過程更簡單而快速。</p> <p>目前這個版本是預覽版，微軟警告，這個版本功能有限，部署也有限制，不應用於生產環境。</p> <p>這是微軟自Bing、Edge、<a href="https://www.ithome.com.tw/news/155884" target="_blank">Azure OpenAI服務</a>、上周的Microsoft 365/Office之後，最新整合ChatGPT能力的微軟產品。而一如之前所有產品，微軟也不忘強調，AI會犯錯，因此Copilot提供的建議，最終還是需要用戶許可、接受，他們也可以針對Copilot的建議加以編輯。</p> </div></div></div>
2023/3/20 13:08作者林妍溱https://www.ithome.com.tw/news/156002
【資安週報】2023年3月13日到3月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周包括微軟、SAP、思科、Adobe、西門子、施耐德電機等多家科技大廠，相繼發布產品安全性更新公告，紛紛呼籲用戶盡速修補，值得關注的是，有4個漏洞已出現利用情形要特別留意，包括：微軟本周安全性更新釋出，當中有兩個零時差漏洞已遭鎖定利用，一是涉及Outlook（CVE-2023-23397）另一是涉及SmartScreen（CVE-2023-24880），Fortinet針對一周前修補的防火牆產品漏洞（CVE-2022-41328）示警，已發現針對該漏洞的攻擊行動，最後是Adobe ColdFusion的漏洞（CVE-2023-26360）。</p> <p>關於威脅態勢與攻擊活動揭露方面，有三類議題值得關注，包括在近期熱門的ChatGPT與矽谷銀行（SVB）新聞事件下，有更多駭客組織假借名義的攻擊活動出現；在網釣攻擊上，微軟揭露新一波大規模攔截使用者Cookie的AiTM網釣攻擊，駭客組織已發展出網釣工具包並出售套件；去年底已有攻擊者利用的Progress Telerik漏洞，本周有更多技術細節公開，揭露攻擊者是如何利用美國政府IIS服務器中的這項漏洞。</p> <p>在資安事件方面，國際間有兩起與供應鏈安全有關事件，包括傳出SpaceX的零件製造商遭LockBit入侵，駭客聲稱取得SpaceX設計藍圖，以及AT&T用戶發生資料外洩，已調查出事件起因為合作廠商遭駭；在國內，不只是故宮博物院館藏的數位圖檔證實外洩的事件受注目，也傳出國光客運遭網路攻擊使訂票服務停擺狀況。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155893"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月13日】資安業者Acronis傳出資料外洩、歐美媒體與科技業者的資安人員遭到北韓駭客UNC2970鎖定</span></strong></a></h3> <p>又是資安業者傳出資料外洩事故！這次Acronis事故與過往有所不同的是，疑似客戶的帳密遭竊，而導致回傳給技術支援團隊的組態資料外洩。但為何客戶的帳密遭竊？該公司沒有說明。</p> <p>Go語言殭屍網路病毒GoBruteforcer針對多種應用系統而來的攻擊行動也值得留意，這些駭客專門針對特定的資料庫、網頁管理系統、檔案共用伺服器而來，而且，其惡意軟體同時針對x86及Arm的類Unix主機下手。</p> <p>想要透過LinkedIn求職的資安人員要提高警覺！北韓駭客組織假借這類名義找尋攻擊目標，並透過測試研究人員能力為由來散布惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/155926"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</span></strong></a></h3> <p>人工智慧語言模型ChatGPT當紅，駭客假借提供相關工具來發動攻擊的情況不斷出現，而最近一起資安事故裡，攻擊者將竊密軟體包裝在Chrome延伸套件，並成功通過審核機制上架到Chrome Web Store市集，突顯這類攻擊的手法變得越來越隱蔽。</p> <p>除了時下熱門的ChatGPT，勒索軟體攻擊的態勢也同樣值得我們關注。例如，衛星網路業者SpaceX零件供應商傳出遭勒索軟體LockBit攻擊的情況，駭客揚言若不付錢，就將竊得的專利資料賣給相關競爭對手。</p> <p>回到國內，去年因摔壞國寶引起各界撻伐的故宮博物院，傳出館藏文物的數位圖檔外流事故。該單位也證實確有此事，並指出外洩的原因是承辦人員將資料搬移到連結到網際網路的應用系統上。</p> <h3><a href="https://www.ithome.com.tw/news/155947"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</span></strong></a></h3> <p>大型銀行倒閉影響範圍甚廣，許多用戶擔心自己的存款會拿不出來，也會影響往來企業的資金周轉，因此受到各界高度關注。最近，美國矽谷銀行（Silicon Valley Bank，SVB）宣布倒閉，駭客隨即註冊大量網域，並隨著事態的變化發動多起網路釣魚攻擊。</p> <p>除了SVB相關的攻擊行動，多家IT與OT業者近期發布了每月的軟體例行更新公告，也相當值得我們留意。微軟、Adobe、SAP、西門子、施耐德電機等廠商都在這幾天發布本月份的例行修補，值得留意的是，已有部分是出現攻擊行動的零時差漏洞，用戶應儘速安裝相關更新軟體。</p> <p>論及零時差漏洞的利用攻擊，MFT檔案共享系統GoAnywhere的資安弱點再傳有組織受害！這次公告受害的組織身分，是資料安全保護業者，所幸他們沒有用戶資料外流的情況。</p> <h3><a href="https://www.ithome.com.tw/news/155969"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月16日】AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</span></strong></a></h3> <p>駭客假借提供破解軟體，並透過YouTube影片告訴觀眾如何下載相關檔案的名義，藉此散布惡意軟體的情況時有所聞，但最近這種類型的攻擊行動出現新的變化──駭客利用AI產生有人現身說法、透露如何操作的影片，一改過往錄下電腦桌面環境的操作影片的做法。這麼做的目的，就是透過「有人」現身說法，來拉近與觀眾之間的距離，進而讓他們卸下心防。</p> <p>除了上述的散布手法，惡意軟體的威脅態勢也值得我們留意──有雲端服務業者根據DNS流量分析，發現殭屍網路病毒Emotet東山再起，還有NAS惡意軟體QSnatch也藉此大肆發動攻擊，流量竟在2022年超越其他的惡意程式。</p> <p>不只是惡意軟體攻擊的態勢出現變化，挖礦攻擊也有新的招式，駭客疑似嘗試挖掘另一種名為Dero的數位貨幣，使得資金流量有可能變得更難追蹤。</p> <h3><a href="https://www.ithome.com.tw/news/155993"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月17日】本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用</span></strong></a></h3> <p>Fortinet近日透露旗下防火牆作業系統FortiOS的路徑穿越漏洞CVE-2022-41328已出現攻擊行動，呼籲用戶儘速修補，但並未說明更多資訊。直到這幾天，協助調查的資安業者Mandiant表示，該漏洞在2022年的攻擊行動就被利用，並指出駭客也對受害組織部署的Fortinet其他類型的產品出手。</p> <p>今天我們也注意到另一起利用漏洞進行攻擊的重大攻擊，那就是發生在美國行政機關（FCEB）的資安事故，有多個駭客組織攻入該機構，而他們利用的是3年前被揭露的應用程式框架Progress Telerik漏洞CVE-2019-18935，而這些攻擊者當中，有1個是國家資助的駭客組織。</p> <p>但不只是漏洞攻擊，與烏克蘭戰爭有關的網路攻擊也相當值得留意。俄羅斯駭客組織APT29看上波蘭想要尋求美國的軍事援助，藉此發動網釣攻擊。特別的是，過程中駭客濫用了歐盟的文件交換系統。</p> </div></div></div>
2023/3/20 10:57作者羅正漢https://www.ithome.com.tw/news/155999
Docker為政策說明不清道歉，承諾不會刪除Free Teams組織的公開映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker官方在部落格為最近含糊不清的信件內容<a href="https://www.docker.com/blog/we-apologize-we-did-a-terrible-job-announcing-the-end-of-docker-free-teams/">道歉</a>。前幾天Docker透過電子郵件通知Free Team組織成員，該免費訂閱層級已終止，要求他們轉向付費方案，或是重新申請DSOS（Docker-Sponsored Open Source）計畫，否則帳戶將被凍結，私有儲存庫中的資料也會被刪除。</p> <p>由於之前使用Free Team訂閱有不少開源專案，Docker這封內容不清的信件使維護者人心惶惶，擔心映像檔工作管線被破壞。現在Docker官方發文道歉並解釋，Free Teams訂閱早已經被棄用，部分原因是其針對性很差，也不如他們新提供的DSOS計畫，官方指出該計畫所提供的好處超過Free Team訂閱，歡迎開源專案轉向使用DSOS計畫。</p> <p>另外，Docker特別回應在信中未說明，且眾多開源專案維護者困惑的問題，官方承諾只有維護者主動刪除公開映像檔時，他們才會從Docker Hub中刪除該映像檔。因此當維護者不採取任何行動，Docker便會繼續發布這些公開映像檔。</p> <p>只有在訂閱欄位被標記為Docker Free Team的用戶，才會受到該政策影響，官方提到這些用戶數不到總用戶的2％，而且即便用戶的組織受到影響，用戶個人Docker也不受該政策影響。官方鼓勵所有開源專案都可申請DSOS計畫，Docker在2022年9月更新計畫並且放寬資格，因此之前已經申請過被拒絕的開源專案，也可以再嘗試一次。</p> <p>申請DSOS計畫的組織不受Free Team訂閱終止的影響，這些組織帳戶將暫時不會被暫停或是刪除，即便申請被拒絕，這些組織也會有30天的時間行動，之後才會被暫停帳戶。至於Free Teams訂閱用戶的私人儲存庫，則確定會在2023年4月13日被停用，Docker官方解釋，因為私人儲存庫是一項付費功能，因此只有用戶付費訂閱才能繼續使用。</p> <p>Free Teams用戶也可以選擇在4月13日之前，將原本Docker註冊表上私有儲存庫的映像檔，轉移到Docker之外的儲存庫，或是當用戶選擇付費訂閱方案，帳戶和所有關聯的配置、映像檔和儲存庫則完全不會改變。</p> <p>當Free Teams組織最終沒有付費，也沒有通過DSOS計畫申請，組織被暫停、刪除，組織的命名空間也不會被釋出，因此其他用戶沒有辦法搶占組織的映像檔。</p> </div></div></div>
2023/3/19 15:50作者李建興https://www.ithome.com.tw/news/155991
微軟在VS Code Insiders釋出資料準備工具Data Wrangler，可簡單生成資料操作Python程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對資料科學家，推出可用Python處理表格資料的工具<a href="https://devblogs.microsoft.com/python/data-wrangler-release/">Data Wrangler</a>，Data Wrangler是VS Code Insiders版本的擴充套件，能夠執行資料準備、清理和視覺化工作，協助用戶辨識和修復資料錯誤，也能分析資料的品質，並將資料轉換成為需要的格式。</p> <p>Data Wrangler內建的轉換和視覺化函式庫，在用戶執行資料更改時，擴充套件會自動使用開源Python函式庫，替用戶的資料操作產生程式碼，也就是說用戶可以更迅速且正確地編寫資料準備程式。</p> <p>由於資料的品質會直接影響模型預測的品質，因此資料科學家通常需要花費大量的時間準備資料，在探索資料的過程，資料科學家需要編寫許多小程式碼片段，來刪除資料行或是移除缺失的數值，微軟提到，目前缺乏簡化資料準備工作的工具，資料科學家常需要到Stack Overflow搜尋程式碼片段，並且複製貼上到程式中。</p> <p>Data Wrangler的互動式使用者介面，能夠替用戶快速產生程式碼，在用戶查看和視覺化Python資料分析模組Pandas資料框（Dataframes）時，Data Wrangler能夠產生目標操作的程式碼，像是用戶只要右鍵點擊資料行標題並將其刪除，Data Wrangler便可以自動產生Python程式碼來執行此操作。</p> <p>另外，當資料科學家想要從Pandas資料框的資料行，創建一個新的衍生資料行，編寫自定義程式碼的過程容易出現錯誤，而Data Wrangler讓用戶只要提供輸出範例，告訴Data Wrangle希望衍生資料列的資料形式，該擴充套件便會透過人工智慧合成技術PROSE編寫Python程式碼。</p> <p>現在資料科學家想要在VS Code Insiders使用Data Wrangler，可以直接從應用程式市集中下載，並且從Jupyter Notebook的Pandas資料框中啟動Data Wrangler，或是在VS Code Insiders中，選擇以Data Wrangler開啟CSV或Parquet檔案。</p> </div></div></div>
2023/3/19 15:57作者李建興https://www.ithome.com.tw/news/155994
Teams現可整合AWS Chatbot方便用戶操作雲端資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/aws-chatbot-now-integrates-with-microsoft-teams/">AWS宣布</a>讓用戶可以在微軟的通訊協作平臺Teams中整合AWS Chatbot，在聊天頻道就能夠以指令操作AWS資源，還有進行故障排除。用戶早在2020年，就能夠於Chime和Slack聊天頻道使用AWS Chatbot，而現在也能在Teams集中管理基礎設施，以聊天機器人自動化工作流程。</p> <p>在Teams或其他通訊協作平臺，用戶會收到來自AWS Chatbot的通知，使用戶可以直接在聊天頻道中輸入指令操作AWS服務，而不需要切換到其他工具。用戶收到的通知包括系統運作狀況、預算、安全事件或是CI/CD工作管線狀態的警示。</p> <p>AWS Chatbot也不只有問題通知這項功能，聊天機器人也讓用戶能夠以互動的方式，接收預定義的CloudWatch控制面板，以及檢索Logs Insights日誌，使用戶可以直接在聊天串中解決問題。同時用戶也可以直接在聊天頻道中輸入大多數的AWS CLI指令，檢索其他遙測資料和資源，甚至能夠依據操作手冊修復問題。</p> <p>AWS Chatbot讓用戶能夠以自然語言提問，AWS Chatbot會以AWS文件，或是支援文章回覆用戶的提問，用戶可以使用的問句像是顯示我在eu-west-3中的EC2執行個體。AWS Chatbot也提供指令別名功能，來解決長指令難以記憶的問題，用戶可以定義別名來引用常用的指令和參數，減少完成任務的步驟。</p> </div></div></div>
2023/3/19 16:02作者李建興https://www.ithome.com.tw/news/155995
【資安日報】3月17日，本月初Fortinet修補的防火牆零時差漏洞，傳出去年就遭到中國駭客利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Fortinet近日透露旗下防火牆作業系統FortiOS的路徑穿越漏洞CVE-2022-41328已出現攻擊行動，呼籲用戶儘速修補，但並未說明更多資訊。直到這幾天，協助調查的資安業者Mandiant表示，該漏洞在2022年的攻擊行動就被利用，並指出駭客也對受害組織部署的Fortinet其他類型的產品出手。</p> <p>今天我們也注意到另一起利用漏洞進行攻擊的重大攻擊，那就是發生在美國行政機關（FCEB）的資安事故，有多個駭客組織攻入該機構，而他們利用的是3年前被揭露的應用程式框架Progress Telerik漏洞CVE-2019-18935，而這些攻擊者當中，有1個是國家資助的駭客組織。</p> <p>但不只是漏洞攻擊，與烏克蘭戰爭有關的網路攻擊也相當值得留意。俄羅斯駭客組織APT29看上波蘭想要尋求美國的軍事援助，藉此發動網釣攻擊。特別的是，過程中駭客濫用了歐盟的文件交換系統。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/fortinet-malware-ecosystem"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet零時差漏洞傳出遭到中國駭客利用</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-attack-lifecycle-fortimanager.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-attack-lifecycle-fortimanager.png" style="width: 300px; float: right;" /></a>資安業者Fortinet於3月7日修補防火牆路徑穿越漏洞CVE-2022-41328（CVSS風險評分為6.5分），並於13日表示該漏洞已出現攻擊行動，最近有資安業者公布更多細節。</p> <p>資安業者Mandiant發現，中國駭客組織UNC3886於2022年中旬，就利用上述的漏洞攻擊政府組織，在Fortinet防火牆設備執行未經授權的程式碼或命令，進而部署惡意程式，於受害組織從事網路間諜行動、洩露資料，或是下載及寫入檔案，研究人員也看到目標裝置收到惡意ICMP封包後，出現開啟遠端Shell的情況。</p> <p>攻擊者在成功入侵Fortinet防火牆之後，就設置後門Thincrust與Castletap並進行橫向感染，接著，他們存取已遭植入後門程式的VMware虛擬化平臺ESXi、vCenter，目的是避免攻擊行動被發現。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-074a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構遭到駭客利用跨平臺應用程式框架Progress Telerik漏洞入侵</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、跨州資訊共享及分析中心（Multi-State Information Sharing and Analysis Center，MS-ISAC）聯手發布資安通告，指出多個駭客組織利用跨平臺應用程式框架Progress Telerik漏洞CVE-2019-18935（CVSS風險評分為9.8分），於2022年11月至2023年1月攻擊聯邦政府的行政機關（FCEB），進而在微軟IIS網頁伺服器上執行程式碼。</p> <p>但這並非駭客首度利用此漏洞對FCEB下手──2022年8月，有人利用該漏洞上傳惡意的DLL程式庫，並將程式庫檔案偽裝成PNG圖檔，然後透過w3wp.exe處理程序執行。</p> <p><a href="https://blogs.blackberry.com/en/2023/03/nobelium-targets-eu-governments-assisting-ukraine"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟遭到俄羅斯駭客攻擊，利用波蘭外交使者行程做為幌子，並藉由歐盟檔案交換系統散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nobelium-fig01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/nobelium-fig01.png" style="width: 300px; float: right;" /></a>波蘭外交大使傳出要訪問美國，尋求美軍駐守等相關支援，而這樣的情勢也成為駭客用來發動攻擊的幌子。BlackBerry旗下的研究及情資團隊於3月初發現，俄羅斯駭客組織APT29（亦稱Nobelium）鎖定歐洲國家發動網路釣魚攻擊，駭客對波蘭外交部，以及與美國互動感興趣的人士製造誘餌，濫用歐盟的文件檔案交換系統LegisWrite、資料安全傳輸系統eTrustEx，並在薩爾瓦多的圖書館網站上，植入波蘭大使的「公開行程表」。</p> <p>一旦使用者依照指示存取駭客製作的惡意網頁（此攻擊HTML網頁亦稱為EnvyScout），該網頁就會透過HTML挾持（HTML Smuggling）手法，將帶有惡意軟體IMG或ISO映像檔傳送到受害者的電腦。值得留意的是，駭客透過線上筆記系統Notion架設C2中繼站，而使得相關流量可能會被部分資安系統視為合法。</p> <p><a href="https://blog.talosintelligence.com/yorotrooper-espionage-campaign-cis-turkey-europe/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">獨立國家國協、大使館、歐盟醫療機構遭到YoroTrooper攻擊行動鎖定</span></strong></a></p> <p>思科旗下的威脅情報團隊Talos揭露自2022年6月出現的攻擊行動，駭客組織YoroTrooper鎖定獨立國家國協（CIS）的政府機關及能源組織而來，且已有從事醫療保健的歐盟機構、世界智慧財產權組織（WIPO）、多個歐洲大使館受害，研究人員發現駭客竊得大量帳密資料、Cookie、瀏覽器的存取記錄。</p> <p>這些駭客先是冒充白俄羅斯和俄羅斯的組織，使用名稱相似的網域發送釣魚郵件，挾帶惡意PDF檔案攻擊白俄羅斯組織，接著這些駭客將注意力轉移至白俄羅斯和亞塞拜然，部署Python打造的竊資軟體Stink Stealer。到了2023年，該駭客組織更換目標為塔吉克和烏茲別克，並改用HTA檔案來散布上述竊資軟體。</p> <p><a href="https://www.welivesecurity.com/2023/03/14/slow-ticking-time-bomb-tick-apt-group-dlp-software-developer-east-asia/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">東亞資料外洩防護業者遭到駭客組織Tick鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Timeline-of-the-attack-and-related-incidents.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Timeline-of-the-attack-and-related-incidents.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織Tick發起的攻擊行動，該組織自2021年2月，攻擊東亞的資料外洩防護（DLP）開發商，先是散布已竄改的檔案管理軟體Q-Dir安裝程式，一旦使用者執行，電腦就會被植入VBScript後門程式ReVBShell，以及名為ShadowPy的惡意程式下載器，然後植入後門程式Netboy（亦稱Invader）、Ghostdown下載器。</p> <p>過程中駭客先是破壞此開發商的內部更新伺服器，從而在該公司內部網路散布惡意軟體，並對他們的安裝程式植入木馬相關的程式碼，最終目的是在此DLP廠商的客戶電腦執行惡意軟體。研究人員指出，2022年2月及6月，有2家該公司的客戶受到波及，其中1個是東亞工程及製造公司。</p> <p><a href="https://www.fortinet.com/blog/industry-trends/work-from-anywhere-global-study-2023-highlights"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">居家辦公演變為隨處辦公，三分之二企業因遠距工作員工面臨資料外洩風險</span></strong></a></p> <p>因疫情而興起的居家辦公（WFH），現在雖然疫情已漸趨緩，仍有部分員工繼續採用這種上班型式，而使得企業面臨網路安全管理上的挑戰。資安業者Fortinet於2023年1月，針對全球百人以上員工規模的570家組織進行調查，結果發現仍有6成企業實施部分居家辦公，僅有4成要求員工必須回到辦公室。</p> <p>企業認為這種遠距辦公最大的威脅，主要是家用網路不夠安全（41%），其次則是員工將公司筆電用於私人用途帶來的隱憂（38%）。而且，這些企業有三分之二曾因居家辦公的員工曝險，引發資料外洩事件。</p> <p>研究人員認為，居家辦公現在已經逐漸演變成隨處辦公（Work-From Anywhere），這使得IT部門、資訊長、資安長制訂相關資安政策時，面臨更大的挑戰。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國光客運傳出遭到網路攻擊，波及旅客訂票，迄今網站仍停擺</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/xAYYeqVFcB_20230317-1622-17369.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xAYYeqVFcB_20230317-1622-17369.png" style="width: 300px; float: right;" /></a>根據<a href="https://news.cts.com.tw/cts/life/202303/202303152154052.html">華視</a>、<a href="https://news.ltn.com.tw/news/life/breakingnews/4240505">自由時報</a>、<a href="https://udn.com/news/story/7266/7033506">聯合報</a>等媒體導，國光客運傳出電腦系統於3月12日遭到駭客攻擊而無法運作，到了15日，相關系統仍未恢復運作，導致民眾無法訂票、退票，只能到車站購買當日車票。</p> <p>對此，<a href="https://www.facebook.com/kingbustaiwan/posts/pfbid02YJdGV7bRsqDfH9i57NK24RviG757sD8mW3LeMxwgVzx9XvgRAiA3FtyVW77nxgbul">國光客運先是在12日於臉書發出公告</a>，表示機房系統臨時維護、更新，當日售票改以人工售票處理，後來向媒體透露預計於17日前完成修復。但截至3月17日下午6時30分為止，該公司網站仍未恢復運作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://googleprojectzero.blogspot.com/2023/03/multiple-internet-to-baseband-remote-rce.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星Exynos晶片出現重大RCE漏洞，波及三星、Google、Vivo手機</span></strong></a></p> <p>Google旗下的Project Zero團隊揭露三星獵戶座（Exynos）處理器18個零時差漏洞，這些漏洞是在2022年底至2023年初被發現，其中有4個是最為嚴重的漏洞，攻擊者只要得知目標手機的電話號碼，就可透過基頻（Baseband）訊號遠端執行任意程式碼（RCE），過程完全不需使用者互動。</p> <p>這些漏洞存在於三星Galaxy S22、M33、A71、A53、A33等多款型號的手機，還有Google Pixel 6、Pixel 7，以及Vivo X70、X60等手機，此外，採用Exynos W920晶片的穿戴式裝備、搭載Exynos Auto T5123晶片的車載系統都會曝險。</p> <p>研究人員指出，已有5個漏洞超過90天期限仍未修補，他們公布了相關資料，並呼籲在廠商提供相關更新程式之前，使用者應該考慮停用Wi-Fi通話和VoLTE來避免遭到攻擊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155985"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客LockBit宣稱竊得SpaceX產品設計藍圖，威脅馬斯克贖回</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155986"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">卡巴斯基提供勒索軟體Conti變種「MeowCorp」解密工具</span></span></strong></a></p> <p><a href="https://redacted.com/blog/bianlian-ransomware-gang-continues-to-evolve/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">沒有加密檔案的勒索！勒索軟體「變臉」改變索討贖金的策略</span></span></strong></a></p> <p><a href="https://latitudefs.zendesk.com/hc/en-au/articles/13777669694225-Latitude-Cyber-Incident-Update"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲金融業者Latitude遭到網路攻擊，用戶個資外洩</span></span></strong></a></p> <p><a href="https://therecord.media/wymondham-college-cyberattack-uk-boarding-school"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國大型寄宿學校Wymondham證實遭遇網路攻擊</span></span></strong></a></p> <p><a href="https://www.securityweek.com/mozilla-patches-high-severity-vulnerabilities-with-release-of-firefox-111/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 111，修補7個高風險漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155969">【3月16日】 AI製作的影片遭到濫用，駭客將其用於取信觀眾，散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月15日】美國矽谷銀行面臨倒閉危機引發全球關注，駭客趁機進行網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155893">【3月14日】惡意Chrome擴充套件假借ChatGPT的名義，竊取臉書廣告帳號</a></strong></p> </div></div></div>
2023/3/17 17:12作者周峻佑https://www.ithome.com.tw/news/155993
React新互動式學習文件網站上線，以Hooks為主軸、添加600沙盒範例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前端開發框架React開發團隊經過長時間的準備，終於<a href="https://react.dev/blog/2023/03/16/introducing-react-dev">釋出全新的文件網站react.dev</a>，新網站提供互動式教學，能夠透過函式元件和Hooks，向開發者介紹React概念與開發方法，新文件網站有豐富的圖表、插圖和挑戰，並提供600多個互動式範例。舊React文件網址則移往legacy.reactjs.org。</p> <p>React從第一版釋出以來已經接近十年，在開發技術推陳出新的現在，官方開玩笑表示，React相當於存在了一整個世紀。因此希望透過更新入門指南和文件網站，更好地凸顯React仍是當前創建使用者介面的好工具。</p> <p>官方製作全新的文件網站，是因為舊版本已經無法勝任教育新開發者的工作。React在2018年的時候加入了一個稱為Hooks的概念，這與之前React中的類別元件（Class Components）是兩種不同建構和管理元件的方法，Hooks以函式元件為基礎，而類別元件則是以類別為基礎，使用物件導向開發的方式建構元件。</p> <p>Hooks讓開發者使用更函數式的方式編寫元件，藉以提高可讀性和可維護性，程式碼更簡潔而且具有更好的重用邏輯，官方團隊推薦剛開始學習React或是建置新專案的開發者，可以直接使用Hooks。由於React Hooks在2018年才發布，因此官方在當時舊版文件中，以假設讀者已經熟悉類別元件的角度編寫內容，希望加速社群採用Hooks。</p> <p>但是經過一段時間的發展，顯然舊文件已經不適合現在的React新開發者閱讀，畢竟舊文件要開發者必須要學習React兩次，第一次先使用類別元件，之後才能學會Hooks，而新教學文件則是一開始就介紹React Hooks寫法。</p> <p>新教學文件更強調互動性，還更新許多經典的教程，以函式元件和Hooks概念重新編寫，開發者也可以在新文件網站中看到許多沙盒（下圖），沙盒包含了程式碼與程式碼執行結果，開發者可以任意更改程式碼驗證想法，並即時查看結果，改壞了也可以直接點選Reset重新來過。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201700%20-%20Introducing%20react_dev%20%E2%80%93%20React%20-%20react_dev.png" style="width: 580px; height: 592px;" /></p> <p>官方提到，新文件改進舊文件中內容錯誤，同時也發現了一些React中的錯誤，甚至是開發團隊正在解決的設計漏洞。整體來說，新文件的內容更正確，也更符合React發展現況，官方也收集了社群對文件的要求，並會在之後繼續更新。</p> </div></div></div>
2023/3/17 16:06作者李建興https://www.ithome.com.tw/news/155988
零售IT雙周報第14期：日本7-Eleven將線上便利商店服務擴大到12,000家門市，並試營運外送機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0305~0318)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線上便利商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店鋪衛星倉</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#庫存管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AMR</span></span></strong></p> <p><strong>日本7-Eleven自有外送服務7Now擴大營運到12,000家便利商店，近3,000 SKU與店內庫存數據即時同步，並試營運AMR送貨</strong></p> <p>日本7-Eleven開始試營運外送機器人。他們使用的AMR是由軟銀集團旗下機器人公司Asratec研發的機器人Rice，目前投入兩臺在7-Eleven日本本部大樓實驗，希望未來能投入商辦大樓及醫院。</p> <p>這個外送機器人背後的服務是<a href="https://www.ryutsuu.biz/ec/p030340.html">日本7-Eleven線上便利商店7Now</a>。7Now是延伸實體店面到線上的服務，因此沒有外送專門店，都是由員工揀貨，再交由外送員送貨。目前7Now與日本東京、札幌及廣島5,000家實體店鋪近3,000個品項的庫存即時同步。日本7-Eleven表示，預計2023年將擴大此服務營運範圍到12,000家店，2024則要擴及全日本所有店面。</p> <p>3季試營運中，日本7-Eleven會員於實體門市的平均購買商品數為3.4件、客單價為693日圓，在7Now購買商品數為9.9件，客單價為 2,366 日元。日本7-Eleven表示，到實體門市消費的顧客數並沒有減少，因此線上便利商店並不會分食實體門市業績，而是作為另一個通路，服務不同消費者需求。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AMR</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#外送機器人</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動路徑規畫</span></strong></span></p> <p><strong>7-Eleven與工研院聯手試營運外送機器人Cubot One，能自動調整路徑，還能自主搭電梯</strong></p> <p>臺灣7-Eleven無獨有偶的<a href="https://www.ithome.com.tw/news/155634">也在實驗外送機器人</a>。3月起，高雄軟體園區國城辦公大樓內，能看到工研院的自主移動機器人（AMR）提供7-Eleven外送服務。這臺名為Cubot One的AMR，不僅能於園區內三棟大樓內自主移動、閃避行人或障礙物、跨越地形障礙，還能自主呼叫及搭乘電梯，完成跨樓層配送。</p> <p>為使AMR機器人能夠自主導航，研發團隊先為A、B、C三棟大樓建立3D地圖，當收到訂單商品，即會自動規畫導航路徑。移動時，則會利用頂部和底部搭載的3D光達，及前方配備的景深攝影機來避開障礙物。機器人要搭乘電梯時，會先由後臺觀察電梯當下是否有人使用，待無人搭乘時，後臺就會接管電梯控制，並將電梯控制至Cubot One所在樓層，來垂直移動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cubone.jpg" style="width: 600px;" /></p> <p>消費者透過7-Eleven旗下外送平臺Foodomo訂餐，外送平臺會先向門市人員確認商品存庫情形來決定接單與否，再安排Cubot One前往門市取餐。AMR抵達指定地點後，再由外送平臺後臺撥打電話通知消費者，消費者可以手機末4碼開啟機器人倉門領取商品。</p> <p>目前工研院共打造3輛Cubot One，1輛於高雄軟體園區服務，另1輛在新竹進行測試，還有1輛先前在國外CES展示。統一超商表示，目前先觀察視營運情況，希望明年有機會擴大規模，正式營運。（<a href="http://www.ithome.com.tw/news/155634">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#瀏覽器環境</span></span></strong></p> <p><strong>日本護膚品牌Tatcha推出虛擬體驗商店，用瀏覽器環境呈現出流暢高品質體驗</strong></p> <p>日本護膚品牌Tatcha推出<a href="https://emperia.digital/Tatcha/ForestAwakening/1/index.htm">網頁版虛擬體驗商店</a>，與一般虛擬商店常見的小空間、簡易設計不同，這個虛擬商店以檜木森林的溫泉秘地為主題，搭配互動探索元素、音聲體驗，及森林、溫泉、涼亭、和式房屋等場景，且這些場景都有豐富的光影細節、素材解析度也相當高。Tatcha將商品陳列於這些場景中可能出現的地方，而不是單純擺設在虛擬貨架上，並加入了產品原料介紹，以及音樂介紹、養生建議等非商品相關資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tacha.jpg" style="width: 600px;" /></p> <p>除了元素豐富度，這個虛擬商店另一項值得注意之處是，儘管此商店在瀏覽器環境運行，但體驗接近Google Maps街景服務，較許多瀏覽器版虛擬商店順暢。此商店背後的技術來自英國3D設計技術商Emperia，過去也曾替服飾品牌Lacoste、奢侈品牌Dior等品牌打造虛擬商店。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方第三方兼營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#多平臺商務</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SKU管理</span></span></strong></p> <p><strong>北美最大手工藝品零售商Michaels開放第三方商家在自家電商上架商品，SKU數翻3倍還能即時同步各商家庫存</strong></p> <p>北美最大手工藝品及家居零售商Michaels<a href="https://www.globenewswire.com/news-release/2023/02/27/2616056/0/en/Michaels-Expands-Online-Assortment-with-New-Third-Party-Marketplace.html">開放自家電商網站為第三方、第一方商家兼容的市集</a>，讓其他商家能上架商品。Michaels表示，網站上的商品品項已經從250,000翻了3倍，來到高達1,000,000 SKU數。這不僅說明Michaels作為上架平臺的熱門程度，也顯示出Michaels整合大量商家及商品的資訊能力。</p> <p>Michaels提供網路賣家透過Michaels官方網路入口、API串接及第三方整合商等3種上架管道。小型商家可以透過網路入口簡單上架商品、較大規模的商家則能直接將自家電商或ERP、WMS系統直接串接到Michaels市集上，或者是串接Michaels到ChannelAdvisor等其它第三方商務整合平臺，把Michaels市集視為管理平臺上其中一個通路來管理。Michaels還提到，會提供商家多種工具來管理商家在市集上的業務，不過並未提供進一步說明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/micas.jpg" style="width: 600px;" /></p> <blockquote><p>從介面中可以看到，Michaels市集上顯示了第三方商家的即時庫存及物流方案等資訊。</p> </blockquote> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#貨架管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#倉儲管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong></p> <p><strong>美國大型零售商BJ;s批發俱樂部將在全美200多家店使用貨架管理機器人</strong></p> <p>美國大型零售商BJ's批發俱樂部在全美200家以上的分店中，<a href="https://www.businesswire.com/news/home/20230314005481/en/BJ%E2%80%99s-Wholesale-Club-Partners-with-Simbe-to-Transform-Club-Operations-through-Cutting-Edge-Technology">全面投入貨架管理機器人</a>。BJ's店面平均面積有3,000坪以上，因此將省去許多貨架追蹤的人力。有了一天多次的電子化紀錄，也讓BJ’s更容易管理及後續利用貨架狀態紀錄。</p> <p>這個名為Tally的機器人會在店面中巡邏，利用電腦視覺技術來記錄貨架上的商品位置、數量及標價情形，並即時回傳到後臺，來通知工作人員補貨或調整貨架商品安排。這些紀錄檔還能用於分析，來優化商品補貨、陳列方式等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#倉儲管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#庫存盤點</span></span></strong></p> <p><strong>Ikea在7國商店中投入100架倉處管理無人機，來盤點棧板上貨物的庫存</strong></p> <p><a href="https://www.ingka.com/news/one-hundred-drones-now-used-across-ikea-retail-for-stock-inventory/">大型家居零售商Ikea在歐洲7國商店中投入100臺盤點用無人機</a>，於非營業時間盤點飛越店面及倉儲空間，盤點每個棧板上的存貨。Ikea表示，此無人機結合其他自動化倉儲管理工具，像是揀貨機器人，有利於他們發展店面為線上線下零售訂單履行中心。</p> <p>除了無人機，近日也有海洋生物在Ikea店面中飛行。Ikea採用Meta Spark AR技術，於全瑞典店面中推出了AR體驗。此AR體驗是一個Instagram濾鏡，讓顧客看到各式海洋生物在店面中游泳，並介紹海洋生物及海洋汙染等知識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ikeawp.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. 7-Eleven的會員App能直接使用Google Pay，成為亞洲第一家會員App串聯國際支付工具的大型零售業者。</p> <p>2. Amazon在暫停無人生鮮超市Amazon Fresh擴店計畫後，又要收掉8家無人便利商店Amazon Go。</p> <p>3. <a href="https://www.austinfc.com/news/austin-fc-adds-just-walk-out-technology-to-q2-stadium">奧斯汀足球俱樂部球場採用Amazon Just Walk Out無人收銀系統，是全世界第一個採用此技術的足球球場。</a></p> <p>4. Meta在下架Facebook直播購物功能後，也<a href="https://www.facebook.com/help/instagram/1189600611393606?helpref=faq_content">下架了Instagram直播購物功能</a>。</p> <p>資料來源：iThome整理，2022年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Warping Reality、統一超商、Astratec、Michaels</p> </div></div></div>
2023/3/17 16:59作者郭又華https://www.ithome.com.tw/news/155992