iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

5G趨勢月報第41期：新竹市政府與和碩、微軟合作，測試5G專網與衛星通訊的緊急通訊系統；三總以5G專網直播達文西手術畫…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>3/01~3/27精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>新竹市與和碩、微軟等業者聯手，以5G專網結合衛星通訊打造緊急救災通訊系統</strong></span></p> <p>新竹市消防局、和碩聯合、微軟、伸波通訊近期共同合作，研發5G專網結合可移動衛星的韌性通訊系統，以應用於緊急救災通訊使用。</p> <p>考量到境內有斷層通過，具地震災害風險，加上颱風或洪水發生，可能因設備毀損或停電，導致地面通訊系統無法使用，除了民眾生活之外，對救災指揮、聯繫帶來影響，因此新竹市政府在國發會補助下，與和碩聯合、微軟、伸波通訊合作，研發以5G專網結合衛星通訊打造具有數位韌性的通訊系統。</p> <p>新竹市消防局表示，5G專網結合可移動通訊衛星建立數位韌性的通訊系統，可應用在大規模災害發生或海纜中斷，往往造成電力或通訊中斷的救災現場，透過這套通訊系統，可為救災現場快速建立通訊網路，並結合衛星網路至微軟資料中心，支援戶外約30人以上包括通訊、視訊、監控等救災通訊需求。</p> <p>和碩也展示5G專網的一體式機箱，可由人力手提或背負方式，攜帶到偏遠地區或災區建立簡易的5G專網，該機箱包括一臺伺服器、5G核心網路系統，以及O-CU、O-DU，可搭配O-RU發射器及一臺筆電，建立臨時的簡易5G系統。</p> <p>現場展示的5G專網一體式機箱，方便移動攜帶至災區，建立小型的5G專網：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/04-1500.jpg" style="width: 600px; height: 400px;" /></p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>三總展示5G專網即時直播達文西手術，學生可透過3D AR觀摩學習</strong></span></p> <p>三軍總醫院去年建置5G專網，並與中華電信、佐臻合作，展示5G專網的AR教學應用，將達文西手術的第一視角手術畫面，透過5G傳送至5G手機，讓學生戴上AR眼鏡觀看3D手術畫面，觀摩學習手術過程。</p> <p>這項5G專網應用，是在手術室建置5G天線，將達文西手術的第一視角手術畫面，傳送至AR協作平臺，為降低手術直播畫面的延遲，利用MEC邊緣運算，送至教室或演講廳的5G天線，讓學生或醫師透過5G手機上的AR協作App，戴上AR眼鏡，就能看到3D手術畫面。</p> <p>學生只要透過5G手機，戴上AR眼鏡，就能以3D AR觀看到手術的第一視角畫面：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AR(1).jpg" style="width: 600px; height: 450px;" /></p> <p>三總表示，這項醫療教學應用，解說教授或醫師可以凍結手術的直播畫面，標示病徵及處置建議，讓學生學習到手術的關鍵。未來隨著無線通訊技術發展，取代達文西手術檯與控制機臺間的有線網路，可望實現位於臺北的醫師為澎湖病患進行達文西手術的遠端手術願景</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>HAPS</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>空巴</b></span></font></p> <p><span style="font-size:22px;"><strong>空中巴士要以太陽能無人機協助沙烏地阿拉伯普及通訊服務</strong></span></p> <p>空中巴士（Airbus）旗下的高空飛行載具HAPS方案部門Aalto近期在MWC上展示太陽能無人機Zephyr，Aalto並與沙烏地阿拉伯電信商STC宣布合作，將利用HAPS方案改善偏遠地區、農村地區連網服務、地球觀測及政府應用。</p> <p>Zephyr的翼展有25公尺、重量為75公斤，依靠太陽能作為動力，可飛行於7萬英尺高度，目的在長時間飛行，以提供連網服務，該公司宣稱Zephyr可覆蓋7,500平方公里範圍，近期已完成64天飛行測試，飛行約7,500公里，下次測試將挑戰連續飛行120天。預計2024年商用化使用。</p> <p>HAPS（High Altitude Platform Station）方案係利用空中飛行載具，在高空中飛行提供通訊覆蓋，以擴大電信服務商的網路服務範圍，和高成本的衛星通訊相比，HAPS作為空中網路訊號中繼站的角色近來頗受到外界的關注。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>網路切片</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>運動</b></span></font></p> <p><span style="font-size:22px;"><strong>遠傳與愛立信合作，以5G網路切片支援馬拉松賽事轉播</strong></span></p> <p>遠傳電信近期和愛立信聯手，在新北市萬金石馬拉松，宣布以5G網路切片技術，協助國內媒體，以高畫質全程轉播這項國內大型馬拉松賽事。</p> <p>萬金石馬拉松賽事全長42公里，跨越新北市萬里、石門、金山地區，賽事長距離移動，以及支援團隊、民眾上網需要，對沿途行動網路服務帶來挑戰，遠傳以電信行動車加強沿途頻寬外，還調整優化沿途5G基地臺，以網路切片技術確保網路資源用於高畫質的賽事轉播，並不影響行動用戶體驗。</p> <p>這是繼遠傳電信與高雄市警局合作，以5G網路切片技術支援5G巡邏車之後，另一項5G網路切片技術的應用。遠傳電信目前推動的5G網路切片應用，包括智慧警政、智慧醫療、媒體影音服務，透過網路切片技術，確保第一優先的網路資源應用服務，例如消防救災、警政、賽事轉播等。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Nokia</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>anyRAN</b></span></font></p> <p><span style="font-size:22px;"><strong>Nokia發表anyRAN擴大電信營運商、企業建置網路彈性，電信級x86伺服器Airframe亮相</strong></span></p> <p>Nokia在MWC大會期間對外發表anyRAN，以促成Cloud RAN合作夥伴為電信營運商、企業建構行動網路提供更大的靈活與彈性，此外，Nokia也推出電信級x86伺服器Airframe，可作為anyRAN的基礎設施，或是作為邊緣伺服器使用。</p> <p>該公司發表的anyRAN為一種概念，以協助行動電信營運商或企業，不論其商業模式，選擇專用、混合或是Cloud RAN方案。Nokia還展示進階提升的電信級開放邊緣伺服器Airframe，採用x86方案，為針對電信商需求所設計，相較於一年前MWC所展示的系統，效能提升50%。</p> <p>相較於一般伺服器業者，Nokia過去幾年長期和電信營運商合作，對電信商的規格需求有更深的了解，Nokia自行開發開放架構伺服器，跟進電信市場走向開放架構的潮流，隨著其未來發展，工研院產業科技國際策略發展所產業分析師楊玉奇認為，將成為標準商用伺服器（COTS）的競爭對手，進而可能打壓COTS在電信市場的空間。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>高通與小米、Motorola等業者聯手開發具衛星通訊功能智慧型手機</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/qss-1.jpg" style="width: 600px; height: 297px;" /></p> <p>高通在MWC行動通訊大會期間，宣布正與小米、Motorola、OPPO、vivo、榮耀、Nothing等手機業者，採用Snapdragon Satellite開發具有衛星通訊功能的智慧型手機。</p> <p>高通是在今年初發表Snapdragon Satellite，可讓Android手機支援衛星雙向通訊功能，利用衛星通訊大面積覆蓋，克服手機行動通訊網路不足之處，例如偏遠、鄉村或離岸地區，在緊急危難發生時，可通過衛星進行雙向傳訊、SMS簡訊、訊息傳送程式，高通並與Iridium合作，利用低軌道的銥衛星提供衛星連網服務。</p> <p>高通更預告未來Snapdragon Satellite將在未來所有的5G數據機射頻系統、8到4系列的Snapdragon行動平臺中提供。不只是智慧型手機，高通準備將其擴大至運算、汽車、物聯網等其他類裝置。此外，Snapdragon Satellite也將支援5G NTN。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>軟銀</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AI</b></span></font></p> <p><span style="font-size:22px;"><strong>軟銀與Nvidia合作，以GPU加速vRAN的AI應用</strong></span></p> <p>日本電信商軟銀（Softbank）近期和Nvidia合作，測試以GPU加速vRAN的AI應用，就近完成圖像處理工作。</p> <p>軟銀是在AI-on-5G實驗室進行測試，以可支援5G的攝影機，將影像畫面送到邊緣端的應用程式，該應用利用AI即時辨識人群。Softbank與Nvidia共同展示，影像處理應用在MEC邊緣運算環境之下，利用GPU加強vRAN的AI應用。</p> <p>軟銀表示，這項測試證明GPU可被應用在RAN及AI應用上，軟銀準備應用在vRAN的MEC位置裡使用GPU。</p> <p> </p> <p>圖片來源／空中巴士、新竹市政府、高通</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.臺中榮總以5G專網展示遠距專家協作完成心律不整電灼燒手術</strong></p> <p><strong>2.NTT DOCOMO在MWC展示6G接近零時差傳輸概念</strong></p> <p>資料來源：iThome整理，2023年3月</p> </div></div></div>
2023/3/30 18:46作者蘇文彬https://www.ithome.com.tw/news/156219
【資安日報】3月30日，駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天的資安新聞，我們看到針對網路電話（VoIP）、MFT檔案共享系統、行動裝置作業系統而來的攻擊行動相當引人關注，其中，又以網路電話系統3CX遭到鎖定的供應鍵攻擊事故，因為有3家資安業者不約而同提出警告，並揭露不同層面的發現。</p> <p>在針對應用系統的攻擊行動之餘，惡意軟體IcedID的發展趨勢也引起研究人員注意，原因是攻擊者為了迴避資安系統偵測，大幅精簡該惡意程式原本的金融木馬模組，而且在遭滲透或感染的電腦部署更多惡意軟體。</p> <p>上週OpenAI修補ChatGPT多項漏洞，如今有研究人員發現部分漏洞修補不全，而能繞過修補程式利用漏洞的現象。對此，該名研究人員協助OpenAI製作更新軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-compromise-3cx-desktop-app-in-a-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VoIP網路電話系統3CX的用戶端程式遭到滲透，原因是受到駭客的軟體供應鏈攻擊</span></strong></a></p> <p>資安業者<a href="https://www.crowdstrike.com/blog/crowdstrike-detects-and-prevents-active-intrusion-campaign-targeting-3cxdesktopapp-customers/">CrowdStrike</a>、<a href="https://www.sentinelone.com/blog/smoothoperator-ongoing-campaign-trojanizes-3cx-software-in-software-supply-chain-attack/">SentinelOne</a>、<a href="https://news.sophos.com/en-us/2023/03/29/3cx-dll-sideloading-attack/">Sophos</a>揭露針對3CX網路電話（VoIP）用戶而來的供應鏈攻擊SmoothOperator，目標主要是Windows與macOS用戶端應用程式。</p> <p>CrowdStrike認為，此攻擊行動的目標是接收駭客基礎設施指令，部署第2階段酬載，其中部分行動駭客會手動控制受害電腦鍵盤。而對於攻擊者的身分，該公司認為應該是北韓駭客組織Labyrinth Collima。</p> <p>SentinelOne和Sophos表示，在攻擊的過程中，內含惡意元件的3CX電腦版應用程式被下載到受害電腦，一旦執行安裝，電腦就有可能被植入竊資軟體。根據Sophos的觀察，此次攻擊具有「後漏洞利用行動（Post-Exploitation Activity）」，因為駭客植入了互動式的命令Shell。</p> <p><a href="https://www.rapid7.com/blog/post/2023/03/28/etr-active-exploitation-of-ibm-aspera-faspex-cve-2022-47986/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM檔案共用系統Aspera Faspex漏洞出現攻擊行動</span></strong></a></p> <p>針對IBM今年1月下旬修補的重大漏洞CVE-2022-47986（CVSS風險評分為9.8），上個月已有資安業者發現駭客用於散布勒索軟體，如今傳出有實際攻擊行動。資安業者Rapid7於3月28日提出警告，根據他們的觀察，已有組織遭到相關漏洞攻擊。</p> <p>研究人員指出，由於存在上述漏洞的MFT檔案共享系統Aspera Faspex通常會被部署於網路邊界，而成為駭客鎖定的目標，他們呼籲用戶應儘速安裝更新程式，而不要等到例行修補才處理。</p> <p><a href="https://blog.google/threat-analysis-group/spyware-vendors-use-0-days-and-n-days-against-popular-platforms/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓、iOS手機出現零時差漏洞，被駭客用於部署惡意程式</span></strong></a></p> <p>Google的威脅情報分析小組（TAG）揭露2022年底2波零時差漏洞攻擊行動。</p> <p>他們先是在11月，看到攻擊者針對iOS與安卓的用戶而來，其中，針對iOS裝置的部分，駭客引導受害者到惡意網站，觸發WebKit零時差漏洞CVE-2022-42856、沙箱逃逸漏洞CVE-2021-30900，再將他們重新導向合法的物流業者網站；而針對安卓使用者的零時差漏洞攻擊，駭客則是鎖定了Arm的GPU晶片而來，利用Chrome GPU沙箱繞過漏洞CVE-2022-4135、Arm權限提升漏洞CVE-2022-38181、Chrome類型混淆漏洞CVE-2022-3723。</p> <p>之後，研究人員又在12月發現針對三星手機而來的第2波漏洞攻擊──阿拉伯聯合大公國用戶遭到網路攻擊公司Variston鎖定，對方利用CVE-2022-4262、CVE-2022-3038、CVE-2022-22706、CVE-2023-0266等多項漏洞，於受害手機植入間諜程式。</p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/fork-ice-new-era-icedid"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體IcedID出現精簡版變種，被用於散布第二階段作案工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-20230329165543-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-20230329165543-1.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露惡意程式IcedID近期的動態，研究人員先後於2022年11月及2023年2月，發現Lite版及Forked版變種IcedID。</p> <p>他們先是看到駭客TA542使用Lite版變種程式，散布殭屍網路病毒Emotet，後來沉寂一段時間；接著，該惡意程式的Forked版本遭到利用，駭客組織TA581透過發票做為誘餌的釣魚郵件來散布，研究人員目前發現7起攻擊行動。</p> <p>分析上述兩款IcedID變種之後，研究人員發現攻擊者大幅移除此惡意程式的金融木馬功能模組，原因很可能是轉換用途，將其用於在受害電腦上部署勒索軟體等惡意程式，而且，這些變種還能減少被資安系統察覺的機會。不過，研究人員也指出，原本的「標準版」木馬程式IcedID應該不會因為新變種而就此消聲匿跡。</p> <p><a href="https://www.mandiant.com/resources/blog/apt43-north-korea-cybercrime-espionage"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客APT43埋藏攻擊行蹤長達5年</span></strong></a></p> <p>資安業者Mandiant揭露北韓駭客組織APT43的網路間諜攻擊行動，自2018年開始，該組織鎖定南韓、日本、歐洲、美國的政府機關、商業服務、製造業、教育機構、研究單位下手，目標是國際政治與核武的政策。</p> <p>而這樣的行動到了2021年出現變化，因為該組織更換目標、對醫療保健的垂直產業下手。研究人員認為，這樣的轉變應與COVID-19疫情有關。</p> <p>此外，這些駭客也從事竊取加密貨幣及洗錢的工作，並將偷到的加密貨幣投資挖礦事業。</p> <p><a href="https://securelist.com/copy-paste-heist-clipboard-injector-targeting-cryptowallets/109186/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯及東歐遭到惡意Tor瀏覽器鎖定，散布剪貼簿挾持程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Copy-Paste_Heist_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copy-Paste_Heist_02.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露針對俄羅斯與東歐國家而來的剪貼簿挾持攻擊行動，駭客自2022年8月，藉由提供洋蔥網路瀏覽器Tor Browser的「加強版」安裝程式，內有受密碼保護的RAR壓縮檔案，一旦使用者執行安裝，電腦就會被植入能挾持剪貼簿的惡意軟體，從而在使用者複製加密貨幣網址時，將其置換為駭客持有的加密貨幣錢包。</p> <p>雖然此惡意軟體主要針對俄羅斯等東歐國家，但研究人員也看到美、德、中、法等國家的受害者，以及1.6萬個遭竄改的Tor Browser安裝程式，而他們根據駭客的加密貨幣錢包位址進行追蹤，估算不法獲利至少超過40萬美元（不含無法追蹤的門羅幣）。</p> <p><a href="https://www.zscaler.com/blogs/security-research/dbatloader-actively-distributing-malwares-targeting-european-businesses"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器DBatLoader在歐洲散布木馬程式與竊資軟體</span></strong></a></p> <p>資安業者Zscaler揭露名為DBatLoader的惡意程式載入器，攻擊者鎖定歐洲組織而來，目的是散布RAT木馬程式Remcos、竊資軟體Formbook。</p> <p>駭客為了規避網路流量的偵測，他們透過具備SSL憑證的WordPress網站來散布DBatLoader；此外，在入侵受害電腦後，該惡意程式載入器為能持續運作，會自我複製，並將複本檔案加上URL的副檔名，然後透過登錄檔加入OS開機啟動項目清單，一旦電腦重新開機，此惡意程式就會自動執行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/openai-patches-account-takeover-vulnerabilities-in-chatgpt/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">OpenAI再度修補ChatGPT帳號挾持漏洞</span></strong></a></p> <p>人工智慧研究實驗室OpenAI於3月24日針對ChatGPT修補數項漏洞，但其中一項與網路暫存欺騙（Web Cache Deception）有關的漏洞，傳出修補不全而可能被利用。</p> <p><a href="https://twitter.com/_ayoubfathi_/status/1639637351042359296">此弱點是由研究人員Ayoub Fathi發現</a>，當他針對OpenAI的更新程式進行研究時，發現另一種繞過ChatGPT的API手法。</p> <p>問題出在該系統的API會對偽造的/backend-api/conversations路徑進行暫存，導致受害者的HTTP回應曝光，攻擊者可藉此繞過修補程式，接管使用者的帳號，而且，這樣的情況存在於該系統所有的API。</p> <p>對此，該名研究人員已通報OpenAI並與其合作，修補上述的弱點。</p> <p> </p> <p><a href="https://www.qnap.com/en/security-advisory/qsa-23-11"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通針對旗下NAS修補Linux元件權限提升漏洞</span></strong></a></p> <p>臺灣NAS廠商威聯通（QNAP）於3月30日發布資安通告，他們表示，NAS作業系統QTS、QuTS hero具有Sudo元件高風險漏洞CVE-2023-22809，影響範圍也涵蓋QuTScloud、QVR Pro appliances（QVP），目前該公司已釋出QTS、QuTS hero新版韌體，用戶可執行更新以修補此漏洞。</p> <p>CVE-2023-22809為權限提升漏洞，攻擊者在執行編輯檔案的命令（sudoedit 或sudo -e）的時候，可利用該漏洞來提升權限，進而編輯任意檔案，CVSS風險評分7.8，Sudo維護團隊於今年1月修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202303290069.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客聲稱掌握證交所資料，金管會表示無外洩情事</span></span></strong></a></p> <p><a href="https://papers.mathyvanhoef.com/usenix2023-wifi.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露新型態Wi-Fi攻擊手法，可攔截流量、繞過安全機制</span></span></strong></a></p> <p><a href="https://www.cisco.com/c/dam/m/en_us/products/security/cybersecurity-reports/cybersecurity-readiness-index/2023/cybersecurity-readiness-market-snapshot-taiwan.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">僅有約六分之一臺灣企業為資安威脅做好準備</span></span></strong></a></p> <p><a href="https://www.fortinet.com/content/dam/fortinet/assets/reports/2023-cybersecurity-skills-gap-report.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安人才缺口導致企業更難因應威脅態勢，逾半數企業遭入侵5次以上</span></span></strong></a></p> <p><a href="https://www.rapid7.com/blog/post/2023/03/21/cve-2023-0391-mgt-commerce-cloudpanel-shared-certificate-vulnerability-and-weak-installation-procedures/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網站管理系統CloudPanel曝露共用證書漏洞</span></span></strong></a></p> <p><a href="https://www.rapid7.com/about/press-releases/rapid7-acquires-minerva-labs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Rapid7買下Minerva，強化勒索軟體防護與回應</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156193">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156172">【3月28日】推特傳出原始碼被公布在GitHub儲存庫，疑為離職員工挾怨報復</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156142">【3月27日】 SharePoint遭到濫用，駭客藉此引誘使用者下載惡意程式</a></strong></p> </div></div></div>
2023/3/30 15:25作者周峻佑https://www.ithome.com.tw/news/156202
OpenAI修補可盜帳號、洩露個資的ChatGPT漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI近日修補了可讓攻擊者竊取ChatGPT用戶帳號，並且洩露用戶通訊內容的漏洞。</p> <p><a href="https://twitter.com/naglinagli/status/1639343866313601024" target="_blank">這個漏洞是由Shockwave創辦人暨安全研究人員Gal Nagli發現並通報</a>。這個漏洞可讓攻擊者接管ChatGPT用戶帳號、看到對話標題及銀行帳戶資訊。OpenAI經過一次失敗後，才於本周修補完成。</p> <p>這是一個網頁快取欺騙（Web Cache Deception）漏洞，<a href="https://omergil.blogspot.com/2017/02/web-cache-deception-attack.html" target="_blank">它是由研究人員Omer Gil於2017年發現</a>。一般網站會利用CDN、負載平衡器或反向代理伺服器提供網頁快取。這種手法下，攻擊者誘騙快取伺服器不當儲存來自某個網頁的用戶隱私資訊，如支付帳號、用戶個資等，攻擊者再繞登入授權驗證，直接存取已經快取的用戶隱私或敏感資料。此類攻擊利用網站的快取未正確配置，導致CDN等快取伺服器發生存取資源路徑混淆，而造成越權存取。</p> <p>在OpenAI的Auth API快取設定錯誤下，攻擊者只要設立帶有.css附檔名的路徑連結，將此連結廣發或傳送給某個用戶，用戶點選連結後，就能讓其快取伺服器快取用戶電子郵件、姓名及JWT網頁登入憑證，藉此登入或接管用戶帳號。</p> <p>雖然OpenAI在研究人員通知後不到2小時就修補，但另一名研究人員Ayoub Fathi發現修補並不完全。雖然前述手法無法在Auth API作用，卻可在另一個後端API發生效果。研究人員發現傳送/backend-api/conversations連結給受害者，可再利用網頁快取欺騙手法，讀取受害者的對話標題、完整對話內容以及帳號狀態。</p> <p>在研究人員合作下，OpenAI已在本周修補本漏洞。</p> <p><a href="https://www.ithome.com.tw/news/156068" target="_blank">OpenAI上周才修補</a>一個<a href="https://www.ithome.com.tw/news/156137" target="_blank">出於redis終端函式庫</a>的漏洞，該漏洞允許用戶看到他人對話標題。</p> </div></div></div>
2023/3/30 16:13作者林妍溱https://www.ithome.com.tw/news/156205
推特公開最新API方案，每月100美元可讀1萬則、發5萬則推文
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特公開最新3個API層級，分別是免費（Free）v2、基本（Basic）v2和企業級（Enterprise）方案，免費方案每月應用程式層級推文上限僅有1,500則，100美元的基本方案應用程式層級推文則開放至5萬則。官方也預告，目前的API存取方案包括Standard v1.1、Essential v2、Elevated v2以及Premium API都將在30天後棄用，因此開發者需要盡快更新API。</p> <p><a href="https://www.ithome.com.tw/news/155362">推特在2月宣布限制免費API存取</a>的消息一出，開發者社群一片哀嚎。推特執行長Elon Musk解釋，因為目前使用推特API並不需要經過身分驗證，在沒有使用成本的情況下，導致大量垃圾訊息機器人出現。因此，推特將採取API收費和身分驗證門檻來解決機器人氾濫的問題，同時也承諾會提供免費層級，以支援優質機器人繼續運作。</p> <p>現在推特終於公開最新的推特API方案和使用辦法。針對唯寫使用案例以及測試用途，推特API提供免費方案，應用程式層級推文上限為1,500則，只能有1個APP ID。開發者每月支付100美元，就可使用推特API基本方案，該方案使用者層級發文上限調高為3,000則，應用程式層級發推上限則為每月5萬則，此外，允許讀取推文，但每月限制1萬則，並可以使用2個APP ID。</p> <p>基本方案雖然在應用程式層級推文上限為每月5萬則，也就是整個應用程式允許發送的推文數量是5萬則，但每個使用者每月最多只能發送3,000則推文。推特透過兩個層面的發推限制，來避免推特API被濫用。</p> <p>免費與標準方案皆可上傳媒體並且更新，但皆無法使用串流過濾API，也沒辦法搜尋完全封存的資料。另外，針對企業與大規模商業專案，推特則提供特別的企業級API存取，由專門的帳戶團隊管理，並且提供重播、參與指標和回填等功能，讓企業可以更靈活地存取推文資料，並且整合過往的推文資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201720%20-%20Twitter%20API%20-%20Products%20-%20Twitter%20Developer%20Platform%20-%20developer_twitter_com.png" style="width: 580px;" /></p> <p>這是推特為限制機器人在平臺上的活動所制定的API方案，機器人將無法像過去一樣，無限制地從推特抓取資料，並且任意推送推文，此外，推特正在尋求新方法服務學術社群，目前可以先使用已公開的3個API方案。</p> </div></div></div>
2023/3/30 16:34作者李建興https://www.ithome.com.tw/news/156200
【盤點電腦視覺發展，從物件偵測到個人化機器人】李飛飛揭露電腦視覺3大進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦視覺發展超過50年，不只能辨識各種物件，也可以分辨物件之間的關係，還能看到人所看不到的細節，美國史丹佛大學AI研究中心更要用來打造幫忙做家事的機器人。</p> <p>該中心主任也是ImageNet發起人李飛飛日前來臺，揭露了國際電腦視覺前瞻研究的新進展。她從電腦視覺的過去、現在和未來，點出三大技術議題，以及各階段後續衍生的最新研究進展。</p> <p>例如在物件偵測領域，物件偵測AI解讀物件關係的能力，已從靜態圖像擴展到動態影片，能辨識影片中各種活動外，還能分辨參與人物與物件之間的關係。而且，物件偵測也發展出更進階、辨識顆粒度更細緻的應用以及隱私保護技術，比如人體動作偵測模型PriHAR，不只能準確辨識人類行為，還直接在鏡頭端模糊化人體影像，在源頭就保護個人隱私。</p> <p>甚至，電腦視覺也開始融合至多種偵測、感知和互動能力的個人化機器人技術，來增強人類能力。這正是李飛飛團隊最新的研究課題，他們不僅建置機器人模擬環境平臺OmniGibson和基準測試BEHAVIOR，還成立一個包含實體機器人的實驗室，來讓實體機器人實際運用模擬環境中所學的知識，同時將現實中學習到的知識回饋至模擬環境，強化機器人學習能力。從這3大技術進展，可以清楚看到電腦視覺未來發展的重要方向。</p> <p><span style="font-size:28px;"><strong>電腦視覺進展1：物件偵測</strong></span></p> <p>李飛飛指出，電腦視覺研究的開端，是從打造能看人類所見的AI（Building AI to see what humans see）開始。為實現這個目標，專家先是研究人類視覺機制，比如大腦辨識物件的反應時間，他們還發現，大腦不同區域還負責不同物件的辨識。於是，專家仿造人類視覺的工作模式，從物件偵測（Object detection）著手，開啟電腦視覺領域的初始研究。</p> <p>1970年代至1990年代的電腦視覺專家，以人工撰寫規則的方式，比如用幾何圖形切割，來教電腦辨識不同物件。這就是所謂的專家系統，但辨識效果並不好，準確率低。到了2000年左右，機器學習（Machine learning）概念出現，這是一種結合電腦程式的統計學方法，能透過機器自動產生模型，有別於專家系統靠人工撰寫一條條規則來辨識物件。此外，機器學習的辨識能力，比專家系統還要好。</p> <p>在機器學習興起的時代，也催生出許多經典演算法，比如隨機森林、向量機、基礎網路，甚至是類神經網路。但真正改變遊戲規則的，是網際網路的出現。因為，網際網路讓資料取得更容易，而增加資料量，也成為提高模型表現的一大關鍵。</p> <p>在那樣的時空背景下，李飛飛改變研究策略，從聚焦演算法來提高辨識準確率，回歸到「學習」本身。她想透過大量資料，來讓模型從中學習、找出規律，並要讓模型具備通才般的泛化能力。有鑑於同時期的資料集規模都不大，頂多3萬多張圖像而已，李飛飛乾脆與學生建立一個超大規模的電腦視覺影像資料集。</p> <p>也因為網際網路興起，他們得以透過線上群眾外包，打造出ImageNet資料集，內含1,500萬張影像、超過2萬2千個分類，就像是電腦視覺界最大、最齊全的字典。ImageNet資料集也於2009年釋出。</p> <p>這就是從資料面，來提高演算法表現的做法。李飛飛也自2010年開始，每年舉辦ImageNet影像辨識挑戰賽，來觀察用ImageNet資料集訓練出的模型，表現會如何。結果在2012年，深度學習模型AlexNet橫空出世，不論是辨識準確率還是錯誤率，都大幅優於傳統演算法，拿下該年冠軍。自此開啟深度學習元年，後來幾屆比賽的冠軍，都採用和AlexNet一樣的卷積網路（CNN），準確率越來越高，甚至超越人類表現。最終，比賽在2017年畫下句點，卷積網路也成為物件偵測的代表性架構。</p> <p><span style="font-size:28px;"><strong>不只要會辨識物件，還要懂彼此的關係</strong></span></p> <p>自此，基於深度學習的物件偵測在各領域大放異彩，同時，物件偵測的研究也往前了一步。</p> <p>因為，李飛飛意識到，光會辨識物件還不夠，還得要懂物件之間的關係才行。於是，李飛飛實驗室展開一項專案，利用場景圖表徵（Scene graph representation），來對人類視覺中的物件關係編碼。意思是，給定一張圖，團隊要對圖中的物件特徵編碼（如大小），也要對物件的屬性編碼（如顏色、材質），還要對圖中人物的動作編碼，比如手持物品、某人站在某物後方等。這個做法，擴大了圖像標註的內容，要讓模型具備更廣泛的知識。</p> <p>後來，李飛飛團隊將這些數據連同另一個大型資料集，整合為一個視覺基因資料集（Visual Genome Dataset），裡面包含10萬多張圖片、380萬個物件、230萬個關係和280萬個屬性，甚至還有540萬個描述和170萬組QA。</p> <p>特別的是，這個具備豐富知識的資料集，還能用於零樣本學習（Zero-shot learning）。也就是說，用這個資料集訓練的模型，能具備舉一反三的能力（也就是泛化），就算是訓練資料集中從未見過的影像，也能根據學習道德知識來處理。</p> <p>舉例來說，人騎馬與人戴帽子這兩個場景很常見，但馬戴帽子卻很少見，要讓模型學會辨識馬戴帽子，按傳統方法，就得收集大量這類照片來訓練模型。但這就是個挑戰，因為現實世界中，並未有足夠的照片來訓練模型。「但透過場景圖編碼來訓練模型，模型就能更好地辨識從未見過的場景或關係，」李飛飛說，因為模型能從學習到的物件關係，來推導新任務的解答。這也是零樣本學習的特色。</p> <p>甚至，經視覺基因組資料集訓練的模型，還能執行多種任務，像是圖說（Image captioning），以及看圖說故事的圖片轉文字任務。這是李飛飛團隊在2015、2016年的物件偵測研究進展。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E8%A6%96%E8%A6%BA%E5%9F%BA%E5%9B%A0-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">李飛飛團隊打造視覺基因組資料集，不僅有物件屬性，還包含物件關係說明，使物件偵測模型具備解讀物件關聯的能力，提高模型泛化能力。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／郭又華</span></span></p> <p><span style="font-size:28px;"><strong>從靜態物件關係偵測，擴展至動態世界</strong></span></p> <p>在視覺基因組資料集的基礎上，李飛飛與其團隊更進一步，把理解物件關係的概念，從靜態的圖像擴展應用到動態的影片上。</p> <p>於是，團隊建立一套名為MOMA（Multi-Object Multi-Actor）的多物件多參與者資料集和基準測試（Benchmark），將活動分析拆分為子活動和動作，並附上參與者角色、物件以及彼此之間的關係說明。這個資料集能用來訓練模型，讓模型分析各種活動、理解人類參與者與物件的關係。</p> <p>同時，他們也用MOMA資料集訓練出一套類神經網路HyperGraph Activity Parsing（HGAP），不只能辨識影片中的物件和人物，還能分辨物件與人物的關係，表現比其他基準模型要好。團隊的研究成果論文，也在去年獲AI頂級學術盛會NeurIPS接受。</p> <p>不過，電腦視覺領域不只有物件偵測，還有許多領域是李飛飛認為重要的里程碑，如語義分割、圖像生成等。</p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-MOMA-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">李飛飛團隊進一步將物件關係解讀能力，從靜態的圖像擴大至動態的影片，並建置多物件多參與者MOMA資料集。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／郭又華</span></p> <p><span style="font-size:28px;"><strong>電腦視覺進展2：顆粒度更細緻的物件偵測</strong></span></p> <p>隨著技術發展，電腦視覺從物件偵測邁入另一個階段，也就是用顆粒度更細緻的物件偵測模型，能找出人眼難以辨識的事物。這也是李飛飛所描述的，打造AI來看人類看不見的事物（Building AI to see what humans don't see）階段。</p> <p>比如，人類擅長辨識不同物件，但將上千種型號的汽車擺在一起，人類就不擅長分辨了。李飛飛團隊曾做過一項有趣的研究，利用車輛型號辨識技術，將辨識到的家戶車輛型號，與投票模式、教育程度和收入等類別做關聯（Correlate）研究。</p> <p>顆粒度更細緻的物件偵測，能改善人類先天視覺上的不足，比如變化盲視（Change blindness）或視覺偏見。這些缺陷，讓人有時候看不見很多東西，進而引發嚴重問題，像是將手術器材遺留在病人體內，造成病人生命危險。</p> <p>李飛飛團隊就與史丹佛醫學院合作，利用物件偵測模型，來辨識手術室中，顆粒度更細緻的小物件，比如醫用海綿，用這個方式來追蹤手術器材去向。另一個例子是，借助電腦視覺揪出人類沒注意到的偏見，比如Google研究院多年前就利用臉部辨識和語音辨識演算法，來計算好萊塢電影中，男女演員的演出時間差異。他們發現，男演員得到的演出時間，遠多於女性演員，這是一種產業偏見。</p> <p><span style="font-size:28px;"><strong>保護隱私的物件偵測技術也很重要</strong></span></p> <p>不光是發展顆粒度更細緻的物件偵測技術，李飛飛點出，能保護隱私的物件偵測技術也很重要，這是電腦視覺研究的另一進展。</p> <p>傳統保護隱私的電腦視覺做法很多，有臉部模糊、降維、人體遮罩、同態加密等。但李飛飛認為，最有代表性的做法，是一項由她實驗室底下一位年輕學者Juan Carlos Niebles所發起的研究：PriHAR。</p> <p>PrivHAR的全名是PrivHAR: Recognizing Human Actions From Privacy-preserving Lens，直譯是從保護隱私的鏡頭來辨識人類動作。一如其名，研究團隊不只設計出保護隱私的人體動作辨識演算法，還開發一款特殊鏡頭，能將捕捉到的影像，在鏡頭端就先模糊化人體特徵，讓人認不出來，達到保護效果。</p> <p>這就有別於傳統動作保護方法。因為，傳統隱私保護做法，是將正常鏡頭拍攝的清晰畫面，透過演算法模糊化，來遮蔽人體特徵，進而達到去識別化目的。但在過程中，就容易遭受有心人士的對抗攻擊。而PrivHAR的做法，直接在源頭解決這個疑慮。</p> <p><span style="font-size:28px;"><strong>電腦視覺進展3：增強人類能力</strong></span></p> <p>李飛飛眼中的電腦視覺下一步是什麼？</p> <p>答案是增強（Augument）人類能力。這是她點出的電腦視覺發展第3階段，打造AI來看人類想看見的事物（Building AI to see what humans want to see）。</p> <p>比如透過人機協作，可減少醫療錯誤造成的傷害。在COVID-19疫情爆發前，李飛飛團隊就展開一項手部衛生偵測專案，在院內消毒站的高處，放置深度感測器，搭配動作偵測演算法，來辨識醫護人員是否消毒雙手。經過人工監督與電腦視覺偵測對比，團隊發現，AI不僅省時省力，還不會因疲勞而錯抓或漏抓沒做好的醫護人員，這項應用在疫情爆發時，正好發揮強大作用。其他增強例子，還有用電腦視覺來監測ICU患者活動，或是長者起居，來分別協助醫護掌握患者康復狀況以及長者生活安全。</p> <p>但對李飛飛來說，以AI增強人類能力最有影響的應用是個人化機器人，這也是她近年投入的研究課題。在高齡化、勞力越趨稀少的情況下，融合電腦視覺、感知和互動能力的個人化機器人，就能緩解問題，協助人類生活。</p> <p>於是，她與團隊先調查民眾對機器人的需求。「這很重要，」李飛飛解釋，因為知道目標，才能以人為中心，從需求出發，來打造個人化機器人。團隊根據美國政府和歐洲政府數據，建立了2,000多個家務活動，並在Amazon平臺上，詢問了1,400多人的意見。</p> <p>他們得到的答案，多半是家務活動。有了這些資訊，李飛飛團隊選定1,000多個家務活動，並開始建置大型集料集和機器人學習基準，來讓機器人學習做家事、與人互動。為此，團隊先是掃描了15個真實世界環境，並建立1,200多類、共5,000多個3D物件模型，如開著的門或抽屜。這些物件涵蓋不同的物理、感知與互動特性，要讓機器人學習的模擬環境，盡可能貼近真實世界。</p> <p>史丹佛大學團隊以Nvidia的3D設計模擬協作平臺Omniverse為基礎，打造出OmniGibson平臺，來加速機器人學習。這個平臺內含真實世界的物理特性，如熱效應、光照、反射、透明度感知、流體質量和變形等，也包含物體與環境的互動關係，還有各類複雜的活動。</p> <p>一如既往，李飛飛團隊也設置一套大型的機器人模擬基準測試BEHAVIOR，以多元的環境來評估機器人能力。</p> <p>儘管李飛飛團隊花了3年多執行這個大型專案，但現今的演算法，仍無法讓機器人通過測試。這表示，機器人研究還有很大的進步空間。於是，史丹佛大學團隊繼續建立一個專門實驗室，擺放一個實體機器人，來將在模擬環境中學習的機器人，也進入現實世界中活動；同時，他們也要將現實世界活動的機器人數據，回饋至模擬環境中，來強化機器人的學習能力。</p> <p>盤點電腦視覺發展3大階段，李飛飛看好增強式AI發展，因為，AI不是取代人類，而是能在以人為本的原則下，融合多領域知識與技能，來增強人類生活和福祉。</p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-behavior-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">李飛飛團隊正研究個人化機器人，建置了機器人學習環境平臺OmniGibson之外，也打造機器人模擬基準測試BEHAVIOR。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／郭又華</span></p> <p><span style="font-size:36px;"><span style="color:#3399ff;"><strong>電腦視覺為何成為AI顯學</strong></span></span></p> <p><strong>美國史丹佛大學AI研究中心主任李飛飛以演化角度，點出電腦視覺成為AI發展顯學的原因。她指出，在地球歷史上，5.4億年至5.3億年間，其中短短1千萬年發生寒武紀大爆發，出現各種構造複雜的生命體。澳洲動物學家Andrew Parker甚至認為，這是由視覺進化驅動的物種大爆發，動物能感知到光和外在世界，因此展開激烈的演化競賽。</strong></p> <p><strong>此後動物繼續演化，發展出重要的神經系統以及最終的智能（Intelligence）。5.4億年後，人類出現，智能已達非常高的水準，是人類從事各種活動的基石。比如，「我們用視覺智能在世界中移動，我們用它來改變事物，我們用它來交流、娛樂，」李飛飛指出，正因為視覺對感知世界如此重要，「身為一個電腦科學家，當我們觀察人類智能，再想想自己能賦予機器什麼能力，就備受啟發。於是，電腦視覺就有了有趣的開始，」她說。</strong></p> <p><strong>也就是，在圖靈提出著名的圖靈測試後10多年，1966年，麻省理工學院一位教授展開一場夏日計畫，要用一個暑假來實現電腦視覺任務。現在看來雖然天真，但數十年來，AI已有不少重大突破，視覺更是不可或缺，在許多前沿技術處處可見，比如自駕車辨識道路狀況，以及近來爆紅的生成式AI，如文字轉圖像模型DALL-E 2和Stable Diffusion。</strong></p> <p><strong>「物種發展視覺花了5.4億年，電腦視覺領域則發展70年，」李飛飛點出，現在的電腦視覺技術正在發展旅途中，還可分為3大階段：打造AI來看人類看見的事物、打造AI來看人類看不見的事物，以及打造AI來看人類想看見的事物。</strong></p> </div></div></div>
2023/3/30 15:32作者王若樸https://www.ithome.com.tw/news/156201
高盛說生成式AI將取代3億個工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.key4biz.it/wp-content/uploads/2023/03/Global-Economics-Analyst_-The-Potentially-Large-Effects-of-Artificial-Intelligence-on-Economic-Growth-Briggs_Kodnani.pdf" target="_blank">高盛證券（Goldman Sachs）近日出版一研究報告</a>，探討人工智慧（AI）對經濟成長可能造成的影響，指出就算有2/3的工作將受到程度不等的AI自動化影響，甚或取代3億個可自動化的全職工作，但AI最後將帶來7%的全球GDP成長。</p> <p>生成式AI可產生類似人類的輸出內容，打破人機之間的溝通障礙，報告認為，倘若生成式AI兌現所承諾的能力，勞動力市場可能面臨重大破壞，以美國與歐洲的工作內容來看，約有2/3的工作會受到程度不等的AI自動化影響，或是有1/4的任務會被AI取代，有3億個全職工作會走向自動化。</p> <p>不過，研究亦顯示，這些被自動化所取代的勞動力，通常會因新工作的出現而抵銷，同時這些隨著技術創新而出現的職缺，也占了長期就業成長的絕大部份。</p> <p>因自動化所節省的人力成本、新工作的出現，再加上那些有了AI助益而增加的生產力，都提高了經濟繁榮的可能性，只是時間點很難預測，但高盛估計AI最終將讓全球年度GDP成長7%。</p> <p>至於大家非常好奇究竟有哪些任務會首當其衝，顯示美國有46%的辦公室暨行政支援任務會因AI而自動化，法律為44%，建築工程為37%，生命、物理及社會科學為36%，企業與金融操作為35%。至於最難自動化的前三名任務則有建築物及場地的清潔與維護（1%），安裝、維護與維修（4%），施工及開採（6%）。</p> <p>該研究認為，大多數的工作都會有部分受到AI影響，但AI的採用也會讓他們騰出能力以提高生產力，就算是有些工作會直接被AI取代，但當中的許多人也會重新就業。</p> <p>根據一項經濟研究，現在的工作有60%在1940年是不存在的，意謂著在這80年來，有超過85%的就業成長是由技術驅動所創造的新職缺而來。</p> </div></div></div>
2023/3/30 15:50作者陳曉莉https://www.ithome.com.tw/news/156203
Google設立廣告透明度中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ads/announcing-the-launch-of-the-new-ads-transparency-center/" target="_blank">Google周三（3/29）發表了廣告透明度中心（Ads Transparency Center）</a>，讓使用者得以掌握來自Google搜尋、YouTube與Google Display的廣告資訊，預計會在未來幾周推廣至全球市場。</p> <p>過去幾年Google已陸續釋出多種有關廣告的資訊服務，例如在2018年要求政治廣告要揭露贊助者，2020年要求廣告主驗明正身，去年推出允許使用者客製化廣告的My Ad Center服務，而最新的廣告透明度中心則蒐集了通過身分認證的廣告主所供應的所有廣告，並且具備搜尋功能。</p> <p>使用者透過此一中心可查詢特定廣告主所執行的所有廣告，也能知道在特定地區執行的各種廣告，或是特定廣告的格式與執行期限。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/ad-transparency-3ads_final.gif" style="width: 209px;" /></p> <p>Google廣告安全總監Alejandro Borgia舉例，當使用者看到一個護膚產品的廣告，但不確定品牌時，或是想知道該品牌的其它廣告時，就能透過該中心來搜尋廣告主，以判斷是否要購買或造訪其官方網站。</p> <p>不僅如此，商家或企業也可利用該中心，來調查及分析競爭對手的行銷策略。</p> <p>Meta也有類似的廣告資訊中心，<a href="https://www.facebook.com/ads/library" target="_blank">名為Ad Library</a>，可根據地點、類別及關鍵字搜尋所有於Meta上刊登的廣告。</p> </div></div></div>
2023/3/30 15:57作者陳曉莉https://www.ithome.com.tw/news/156204
傳微軟又將打造對抗ChromeOS的下一代Windows，且支援AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.windowscentral.com/software-apps/windows-11/microsoft-windows-corepc-modern-platform-hudson-valley-2024" target="_blank">《Windows Central》報導</a>，在10X結束之後，微軟並未放棄打造支援Web應用的Windows的夢想，正在開發更精簡、而輕巧的下一代Windows。</p> <p>報導引述消息人士指出，微軟內部正在開發一個模組化、可根據搭載的硬體Form Factor設定大小及相容性的Windows，專案代號CorePC。這Windows可讓微軟推出豐富度或應用程式相容性有多個不同等級的Windows版本。最精簡的版本可和Google ChromeOS一樣輕巧、容易升級，專門執行Web應用。</p> <p>微軟過去曾經試圖打造精簡、輕巧的OS，不包含Windows種種Win32舊式應用程式，以便快速安裝更新、更安全，稱為Windows Core OS。但微軟並未成功推出Windows Core OS。最接近的是<a href="https://www.ithome.com.tw/news/142250" target="_blank">Windows 10X</a>，微軟預計支援二合一筆電或單螢幕裝置，<a href="https://www.ithome.com.tw/news/144486" target="_blank">但是微軟同年5月就證實</a>不會有這個OS，原因是10X適用對象超出原先計畫，其底層技術也整合到Windows中。</p> <p>新的CorePC專案則是更為彈性，可根據搭載的硬體效能或使用者市場，設定出不同功能及應用程式相容性，保留對Win32 App的支援。例如目前微軟已經在測試一個只能執行Edge、Web App、Android App（Project Latte）及Office App，鎖定低階教育用PC，軟體是Windows 11 SE的60%-75%。</p> <p>另一方面，CorePC也可以設定出安裝在PC的強大版本。但是和現有Windows不同，CorePC具備狀態隔離（state separated）功能。狀態隔離可產生使用者和第三方App無法存取的唯讀分區，使平臺更新更快、更安全，一如Android或iPadOS，這也是當年Windows CoreOS的創新點。這個OS並有相容層Neon，以執行需要共享狀態（shared state）OS的舊式App。</p> <p>最後，消息人士透露CorePC還會有「為晶片最佳化」的版本，著重軟、硬體整合，類似蘋果macOS和Apple Silicon的最佳化。它也會有AI功能，例如以AI功能以分析顯示的內容，提供情境化提示，幫助使用者加速啟動專案，或是能辨識圖片中的物件和文字，允許使用者剪下某部分貼到其他地方。</p> <p>不過微軟何時推出CorePC，以及搭載CorePC的裝置，可能都還會變動，甚至取消。Windows確定的計畫是2024年推出代號<a href="https://winaero.com/hudson-valley-appears-to-be-the-windows-12-codename/" target="_blank">Hudson Valley</a>的下一代Windows用戶端作業系統，可能最後會成為Windows 12。</p> </div></div></div>
2023/3/30 13:16作者林妍溱https://www.ithome.com.tw/news/156199
馬斯克、蘋果創辦人等人加入呼籲暫停開發高階AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉執行長馬斯克（Elon Musk）、蘋果共同創辦人Steve Wozniak等科技大老昨（29）日指出AI可能對社會和人類帶來重大風險，公開呼籲暫停開發比OpenAI的GPT-4高階的AI系統至少6個月。</p> <p><a href="https://futureoflife.org/open-letter/pause-giant-ai-experiments/" target="_blank">這份公開信是由非營利組織未來生活研究院（Future of Life Institute）發表</a>，獲得1,300多人聯署，包括馬斯克、Wozniak、Stability AI公司執行長Emad Mostaque、Google AI部門DeepMind研究人員等人簽署聲援。</p> <p>這份公開信指出，近幾個月各AI實驗室已陷入失控的競賽，發展與部署更強大，但甚至連發明者都無法理解、預測和控制的AI。人類必須思考AI可預見的風險，包括散布假訊息、自動化所有工作、超越或取代人類，甚至控制人類社會。為了防範這些情形發生，<a href="https://openai.com/blog/planning-for-agi-and-beyond" target="_blank">公開信贊同OpenAI的觀點</a>，認為在訓練未來AI系統前應獲得獨立審查，並且限制投入開發新模型的運算資源。</p> <p>這份公開信呼籲立即暫停訓練比GPT-4更強大的AI系統至少6個月，必須包含所有關鍵人士，且需公開且可驗證。若無法立即暫停，各國政府應介入強制中止。</p> <p>而在暫停期間，AI實驗室和獨立專家共同開發安全規範，以開發精確、安全、可解釋、一致化及可信任的AI系統，並由外部獨立人士嚴格稽核有確實遵守。他們強調，暫停措施並不是要求全面性停止AI開發，只是希望能阻止危險的發展競賽，使其開發出不可預測及不透明的AI模型。</p> <p>同時公開信要求，AI開發人員應與立法機關合作，加速AI治理系統的建立。這個系統包括成立專門主管機關、AI監管及追蹤工具、強大運算能力、稽核與認證系統、辨別AI合成內容及追蹤模型外洩的浮水印技術，以及以公共基金支持AI安全研究，並建立AI傷害究責、因應AI政經破壞的系統。</p> <p>因應AI技術的快速演進，各國政府已有管制AI的倡議。<a href="https://www.weforum.org/agenda/2023/03/the-european-union-s-ai-act-explained/" target="_blank">歐盟計畫正在規畫第一部《人工智慧法案》（AI Act）</a>，旨在強化AI模型的資料品質、透明度、人為監控及責任。<a href="https://www.ithome.com.tw/news/154680" target="_blank">中國則在今年初發布人工智慧合成影片服務的管理法規</a>，要求Deepfake影片應加上顯著標識以避免公眾混淆。</p> <p><a href="https://openai.com/blog/planning-for-agi-and-beyond" target="_blank">OpenAI執行長Sam Altman近日也指出</a>，魯莽發展超智能的通用式AI（Artificial General Intelligence，AGI）對世界造成的傷害和獨裁體制相同，共同規範AGI在關鍵時刻放慢腳步有其必要性。但OpenAI並未對此公開信發表評論。</p> </div></div></div>
2023/3/30 11:27作者林妍溱https://www.ithome.com.tw/news/156198
北韓駭客團體APT43透過加密貨幣洗錢自給自足維持間諜行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下資安廠商Mandiant，<a href="https://mandiant.widen.net/s/zvmfw5fnjs/apt43-report">針對由北韓政府資助的駭客團體AP43發布深度報告</a>，研究人員深入分析APT43的目標、活動、操作，以及所使用的惡意軟體，並揭露該團體的攻擊目標、扮演的角色，以及獲利方法等資訊。</p> <p>Mandiant自2018年以來，便一直在追蹤各種駭客團體，隨著收集到的資料越來越多，才得以鎖定AP43這個駭客團體，並且發現該團體與北韓政府的關係。APT43是一個維護北韓政權的駭客攻擊組織，具有中等技術程度，其間諜行動的主要重點，基本上與北韓外國情報單位朝鮮人民軍總參謀部偵察總局（RGB）的任務相同。</p> <p>APT43主要的目標鎖定外交政策和核武，以支援北韓當前國家政策。然而，研究人員發現，APT43在2021年將攻擊目標轉移到健康衛生領域，他們推測目標的轉移是為了支援北韓國內的防疫工作，而這也顯示APT43會支援北韓政府的優先事項，並能夠對事件變化快速反應。</p> <p>報告指出，APT43最常使用的攻擊手法，是偽造網域名稱和電子郵件地址，以進行魚叉式網路攻擊，透過偽裝成合法的網站收集憑證進行間諜行動，向北韓領導人提供更多地緣政治情報。</p> <p>APT43有其獨特的行事模式和風格，目前研究人員尚未觀察到APT43使用零時差漏洞，主要活動目標是韓國、美國、日本和歐洲的政府、地緣政治和核政策相關的研究機構，以及商業服務與製造業。研究人員認為，雖然APT43感興趣的範圍很廣，但是最終目標可能圍繞在北韓的軍事計畫上。</p> <p>APT43利用加密貨幣服務來洗錢，透過以竊取來的加密貨幣購買運算資源，或是租賃雲端挖礦服務，並將挖礦獲得的加密貨幣放到乾淨不相關的錢包中，藉以將竊取來的加密貨幣，清洗成乾淨的加密貨幣。</p> <p>APT43不光竊取情報還竊取加密貨幣，研究人員指出，這和其他北韓駭客組織如APT38的目的不同，APT38的目的是替政權籌措資金，但APT43的加密貨幣活動更有可能是為了賺錢維持組織運作，減輕北韓政府的財務壓力。</p> </div></div></div>
2023/3/30 08:19作者李建興https://www.ithome.com.tw/news/156194
Amazon供開發人員測試頻寬共享網路Sidewalk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon現在讓開發者以<a href="https://press.aboutamazon.com/2023/3/amazon-invites-developers-to-test-sidewalk-and-build-the-next-billion-connected-devices">Sidewalk測試套件</a>，開發能夠連接Sidewalk頻寬共享網路的裝置和應用程式。Sidewalk是Amazon在2019年所推出的網路概念，目的是讓經過認證的裝置能夠以藍牙相互通訊，分享彼此的網路頻寬，而現在這項計畫往前推進一步，實際開放給開發者測試。</p> <p>Amazon Sidewalk的實際運作方式，是利用網狀網路向支援Sidewalk技術的裝置提供網路連接，具有Sidewalk橋接裝置的用戶，可以向其他用戶貢獻少量Wi-Fi頻寬，以共享的方式創建一個大型網狀網路。可成為Sidewalk橋接器的裝置，除了專門的橋接器Sidewalk Bridge Pro之外，還有既有的Echo裝置、Ring Floodlight與Ring Spotlight戶外監視器等，這些裝置以900 MHz的藍牙頻段相互溝通。</p> <p>開發人員只要使用Sidewalk測試套件，不需要部署自己的網路基礎設施，就能夠開發連接到雲端的應用程式。Sidewalk測試套件由包括由挪迪克半導體、Silicon Labs、德州儀器等半導體公司，以及模組供應商Quectel所發布，這些廠商所發布的SDK直接支援Sidewalk技術，供開發者使用這些SDK，就能簡單地在現有應用程式整合Sidewalk。</p> <p>除了軟體開發套件，這些廠商也提供硬體開發套件，供開發人員以參照硬體為基礎，進行原型設計並開發應用程式，而Quectel還提供Sidewalk連接模組，讓開發人員可以更快地開發支援Sidewalk的裝置，縮短產品上市時間。</p> <p>在行動應用程式開發上，Amazon在GitHub上釋出適用於iOS和Android裝置的SDK，供開發人員快速在行動應用程式中整合Sidewalk技術，此外，Amazon還提供工具應用程式，以方便開發人員進行除錯和故障排除。</p> <p>Amazon Sidewalk原生整合AWS物聯網服務IoT Core，透過該服務開發人員可以利用網頁介面，存取和配置支援Sidewalk的裝置。目前Amazon已經將Sidewalk開發所需要的軟體、程式碼、腳本和文件放到GitHub儲存庫中，並且提供AWS參照程式碼，供開發人員快速進行原型設計。</p> </div></div></div>
2023/3/30 08:22作者李建興https://www.ithome.com.tw/news/156195
思科Webex加入多項人工智慧功能，改善線上會議協作體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）在其線上會議解決方案<a href="https://blog.webex.com/innovation/webex-ai-for-hybrid-work/">Webex添加多項人工智慧功能</a>，以最佳化線上會議協作工作流程，同時以RoomOS技術強化視訊會議裝置功能，使辦公室視訊會議更加流暢。此外，思科也推出由大型語言模型加持的客服中心解決方案，提供客訴主題分析和對話摘要等功能。</p> <p>以人工智慧強化的Webex，擁有更好的臉部和手勢偵測能力，Webex現在提供一個稱為Be Right Back的功能，Webex會在用戶離開攝影鏡頭前時，自動感應並且將用戶的視訊畫面，替換成為馬上回來的標誌。而Webex還加入了智慧照明功能，官方提到，系統會根據時間和天氣自動調整影像照明，確保用戶在任何環境下，都能看起來氣色良好。</p> <p>思科還在Webex加入超級解析度功能，無論硬體規格，即便是筆記型電腦或是低解析度的攝影鏡頭拍攝的影像，都能夠經過超級解析度功能轉換變得清晰，官方表示，不只是低解析度攝影鏡頭所造成的影像品質低落，甚至也能改善因為低頻寬網路造成影像不連續的情況。Webex會先縮小要傳輸的影像資料節省網路頻寬，並在抵達另一用戶端時轉換成1080p的影像，提供比原本更高解析度的影像。</p> <p>思科也擴展Webex原本就有的音訊降噪功能，使Webex Calling提供的PSTN通話服務，也能擁有降噪功能，使通話雙方都能聽到清晰的聲音。</p> <p>另外，思科也釋出Cisco裝置更新的消息，採用RoomOS的裝置將提供電影會議功能，多臺攝影機將會自動切換鏡頭，確保會議參與人員都能夠被注意到，用戶也可以預先繪製會議空間，使人工智慧攝影鏡頭能夠將焦點，放在正確的會議人員上，避免受玻璃牆外人事物影響。</p> <p>思科新推出結合大型語言模型的人工智慧客服中心，向客服人員提供多項方便的功能，包括主題分析，能夠分析客戶聯絡客服的目的並提供操作建議，大型語言模型還可向客服人員即時提供知識庫查詢結果，而智慧聊天摘要功能，則會自動匯總客戶與機器人的對話，方便交由客服人員進行後續處理。</p> </div></div></div>
2023/3/30 08:24作者李建興https://www.ithome.com.tw/news/156196
【資安日報】3月29日，歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動與ChatGPT相關的攻擊行動日益頻繁，包含利用該機器學習語言模型來製作釣魚信件，或是假借提供相關應用程式來散布惡意軟體等。這樣的情況也引起歐洲警方的關注，並指出他們看到駭客運用此種機器學習模型的數種型態攻擊手法。</p> <p>除了ChatGPT相關攻擊橫行，商業郵件詐騙（BEC）也相當值得留意。近日美國聯邦警查局（FBI）提出警告，駭客假冒合作廠商的名義發動相關攻擊，但與過往不同的是，這些駭客現在會使用延遲付款方式，使得受害廠商不易及早察覺詐騙而難以追回貨款。</p> <p>而在面臨BEC攻擊行動之外，執法人員也透過反向操作、設下誘餌來找出網路罪犯。例如，英國國家刑事局（NCA）就假借提供DDoS租賃服務（DDoS-for-Hire）的名義，讓想要租用此種服務發動攻擊的駭客上當。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.europol.europa.eu/media-press/newsroom/news/criminal-use-of-chatgpt-cautionary-tale-about-large-language-models"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲刑警組織警告網路罪犯濫用ChatGPT</span></strong></a></p> <p>機器學習模型ChatGPT被用於攻擊行動的現象日益頻繁，這樣的情況也引起警方的高度重視。歐洲刑警組織（Europol）於3月27日提出警告，他們呼籲大家注意，網路罪犯正在濫用ChatGPT與其他的大型語言模型（LLM），例如，他們很可能在詐欺與社交工程領域，利用這種語言模型來模仿特定人士的書寫、說話方式，來產生網路釣魚誘餌，而且，攻擊者也可能將其拿來產生假訊息。</p> <p>再者，也有人將其用於製作惡意程式，在這樣的狀況下，攻擊者即便自身無開發能力，也有機會製作相關工具。</p> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230324"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告駭客假借採購名義進行商業郵件詐騙</span></strong></a></p> <p>美國聯邦調查局（FBI）針對近期的商業郵件詐騙（BEC）態勢提出警告，指出駭客假借當地商家的名義，向目標公司「批發」各式商品，包含了建材、農業器具、電腦硬體、太陽能產品等。</p> <p>為了取信攻擊目標，駭客會冒用真實員工或前員工的姓名犯案，而且，這些駭客也採用了延遲付款的方式，如Net-30或Net-60短期融資的方式，指定在交貨後的30天或60天才付款，並付上偽造的推薦函與W-9貸款表單，從而讓受害公司收不到貨款、察覺上當為時已晚。</p> <p><a href="https://www.enisa.europa.eu/publications/enisa-transport-threat-landscape"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體為近2年歐洲交通運輸業者的重大威脅</span></strong></a></p> <p>歐盟網路安全局針對2021年至2022年10月交通領域的組織遭遇的資安事故進行分析，結果發現，勒索軟體攻擊是頭號威脅，占38%；其次是資料外洩有關威脅（30%）、惡意軟體（17%）。此外，該單位認為，針對交通運輸單位的DDoS攻擊有可能會持續，且機場、火車站、交通主管機關會是駭客的主要目標。</p> <p><a href="https://cybernews.com/security/toyota-customer-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">豐田汽車義大利分公司資安出包！市場行銷系統帳密竟在公開網路曝露逾一年半</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員於2月14日發現，豐田汽車（Toyota）義大利分公司的網站有資料外洩疑慮，因為該網站的開發環境組態檔案（ENV）暴露在公開網路，時間長達1年半以上，導致該公司的行銷雲Salesforce Marketing Cloud的帳密資料、客製化地圖服務Mapbox的API公開。</p> <p>攻擊者一旦取得這些資料，就有可能拿到該公司客戶的電話、電子郵件信箱等資料，進而以豐田的名義發送惡意簡訊或是釣魚郵件，甚至是推送通知，進行網釣攻擊。而前述的地圖服務API外曝，影響雖然不若行銷雲帳密嚴重，但攻擊者可以對其發送大量查詢請求，導致豐田本身所需支付的費用爆增。</p> <p><a href="https://blog.avast.com/shein-instagram-scam"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Instagram詐騙傳出以提供時裝購物商城Shein禮物卡為誘餌的事故</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Shein-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Shein-1.png" style="width: 300px; float: right;" /></a>防毒業者Avast揭露近期的Instagram詐騙攻擊行動，駭客針對英國、澳洲、法國、西班牙、波蘭用戶下手，對方發文聲稱是2023年時裝購物商城Shein禮物卡的幸運兒，並標記一長串的Instragram使用者。</p> <p>若用戶依照指示存取駭客提供的URL，就會被帶往釣魚網站，而該網站會對用戶發出通知訊息，表示時限內完成問卷，就有機會贏得禮物卡，且無論使用者輸入有效答案與否，都會通過審核並要求填寫個人資料，支付些許費用取得禮物卡，然而，受害者最終非但不會拿到禮物卡，還會「被訂閱」來路不明的服務。</p> <p><a href="https://usa.visa.com/content/dam/VCOM/regional/na/us/run-your-business/documents/visa-fraudulese-report.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣民眾網路詐騙抵抗力有待加強，透過錯誤資訊來確認資訊真偽的比例高達8成</span></strong></a></p> <p>金融服務業者Visa針對全球18個市場、6千個成年人進行詐騙話術（Fraudulese）有關的調查，結果發現，一般人大多會擔心親友受騙，但忽略自己也是歹徒行騙的目標，再者，有81%受訪者透過錯誤資訊來確認資訊真偽──有46%主要依據公司名稱與標誌來判斷。此外，對於釣魚郵件橫行的現象，他們發現僅有6成受訪者會檢查是否來自寄件者的電子郵件信箱，且只有47%會確認郵件是否有錯字。</p> <p>而針對臺灣的部分，該公司表示，我國消費者最容易受到「限定期間回應」、「免費贈禮」等關鍵字的引誘。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://openai.com/blog/march-20-chatgpt-outage"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ChatGPT資料外洩，起因是近期新加入使用的元件出現弱點</span></strong></a></p> <p>人工智慧研究實驗室OpenAI於3月24日表示，他們暫時將語音機器學習模型ChatGPT下線，起因是3月20日開始使用的Redis資料庫Python用戶端程式庫redis-py出現臭蟲，導致部分用戶能看到他人的對話。該公司也通報Redis維護團隊，並提供修補程式。</p> <p>此外，該公司進一步調查發現，上述臭蟲疑似還造成部分ChatGPT Plus用戶的支付資訊曝光，約有1.2%的付費用戶受到影響。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.nationalcrimeagency.gov.uk/news/nca-infiltrates-cyber-crime-market-with-disguised-ddos-sites"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以邪治邪！英國設置冒牌DDoS攻擊租賃服務的網站來識別網路罪犯</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/outage_splash_page.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/outage_splash_page.png" style="width: 300px; float: right;" /></a>英國國家刑事局（NCA）近日透露，他們設置了多個佯稱提供DDoS租賃服務（DDoS-for-Hire）的網站，目的是識別從事相關攻擊的網路罪犯，這些網站幾可亂真，已有數千人存取，一旦這些人依照網站指示購買相關服務，他們就會被導向另一個網站，告知過程當中已收集相關證據，執法單位將會找上門。NCA表示，他們不會透露經營的網站數量，或是運作的時間有多久。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.dekra.com.tw/tc/dekra-de-kai-ji-tuan-bing-gou-an-hua-lian-wang-gong-gu-ya-tai-shi-chang-qiang-hua-quan-fang-wei-zi-an-ye-wu/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德凱集團買下臺灣資安新創安華聯網</span></strong></a></p> <p>檢測認證機構德凱集團（Dekra）於3月28日宣布，他們買下臺灣資安新創安華聯網科技（Onward Security），德凱將整合認證與研發的能量，共同為汽車、醫療、工業、物聯網產業，提供完整的資安合規解決方案。不過，兩家公司的新聞稿並未提及併購金額。在此之前，去年被併購的臺灣新創公司是Cybavo，買下該公司的是穩定幣USD Coin（USDC）發行商Circle。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/crown-resorts-confirms-ransom-demand-after-goanywhere-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">博奕業者Crown Resorts證實因GoAnywhere遭駭而被勒索</span></span></strong></a></p> <p><a href="https://www.latitudefinancial.com.au/about-us/media-releases/cybercrime-update-27-03-2023.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲金融機構Latitude Financial資料外洩，影響1,400萬客戶</span></span></strong></a></p> <p><a href="https://techcrunch.com/2023/03/23/id-tech-kids-tech-camp-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">兒童程式開發課程系統iD Tech傳出個資遭外洩</span></span></strong></a></p> <p><a href="https://www.securityweek.com/microsoft-puts-chatgpt-to-work-on-automating-cybersecurity/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟將ChatGPT用於網路安全自動化系統Security Copilot</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156186"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果修補舊版iPhone、iPad的WebKit零時差漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156172">【3月28日】推特傳出原始碼被公布在GitHub儲存庫，疑為離職員工挾怨報復</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156142">【3月27日】 SharePoint遭到濫用，駭客藉此引誘使用者下載惡意程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156119">【3月25日】 GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰</a></strong></p> </div></div></div>
2023/3/29 16:39作者周峻佑https://www.ithome.com.tw/news/156193
Cloud周報第170期：Nvidia聯手公雲業者推出DGX Cloud超級電腦運算託管服務，月租費110萬元起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（03/23～03/29）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯合查核 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GCP服務應臺灣金融機構上雲需求，完成獨立第三方單位聯合查核</span></strong></p> <p>近日Google雲端GCP服務在臺完成首次聯合查核，GCP也是第一個公開揭露，自家GCP服務應多家金融機構上雲需求，已接受獨立第三方單位聯合查核的公雲業者。依金管會對於金融業上雲稽核程序明定，除了自行委托第三方查核機構之外，使用同一雲端供應商的金融機構，也可以聯合委託第三方來查核雲端業者。</p> <p>但臺灣金融業開放上雲3年多，金融企業上雲的查核，以往大多是採取個別委託來完成查核，如國泰、富邦等，反觀採用聯合委託模式，只有在如歐洲等國外較常見，不過，就在Google臺灣GCP服務接受獨立第三方單位完成聯合查核後，臺灣終於有第一個公開的金融業上雲聯合查核案例。</p> <p>這次聯合查核共有三家金融機構，主要包含Iaas與PaaS服務的查核。GCP表示，第三方查核單位可以將聯合委託的多家金融業者所提出共同查核要求，整合到統一查核作業中，向雲端業者進行查核，讓這些相同查驗作業可以在同一批查核程序中完成，除了簡化查核程序，也能讓查核作業變得更有效率，進而加速金融業上雲的使用，對於雲端廠商而言，也能減少大量查核次數而增加的資安風險。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DGX Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Nvidia推出DGX Cloud託管服務，讓企業不需購買整套超級電腦系統就能打造專屬生成式AI</span></strong></p> <p>在今年GTC大會上，Nvidia與Oracle OCI、GCP、Azure等公雲業者合作推出DGX Cloud超級電腦運算託管服務，讓企業用戶不需購買整套超級電腦系統，就能在雲端上使用其提供的運算能力，使用雲端DGX運算資源來進行生成式AI模型或應用開發。至於訂閱收費機制，未來將依每執行個體來計算，每月收費36,999美元起，相當於臺幣約110萬元。</p> <p>DGX是Nvidia所推出的AI超級電腦運算系統，新推出訂閱制DGX Cloud服務，可透過雲端提供DGX AI運算資源，方便企業使用進行模型訓練與開發，並以執行個體的形式提供，單一執行個體皆包含8個最新H100或A100 Tensor核心GPU，單一節點可提供最高640GB的GPU記憶體，多執行個體也能透過網路介面卡Nvidia CX-7與Bluefield-3資料處理器，建立互連系統的運算叢集，來滿足生成式AI訓練所需的效能。</p> <p>DGX Cloud本身支援了Nvidia自家AI軟體及開發工具，如Nvidia AI Enterprise函式庫套件等。目前已有50家企業採用，涵蓋網路、軟體、醫療、媒體和金融行業等。DGX Cloud服務將在Oracle OCI推出，Azure則在第二季提供，GCP之後將推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Azure OpenAI以預覽推出GPT-4大型語言模型服務</span></strong></p> <p>最近微軟宣布旗下Azure Open AI雲端服務，將以預覽版推出更強更準確的GPT-4大型語言模型服務，讓開發人員可以使用該模型來開發自己的生成式AI應用，並搶先在4月1日收費前開放用戶試用。</p> <p>在這次更新中，雙方合作首要重點就是強化BigQuery與MongoDB整合功能，新功能將使開發者更容易把串流資料從BigQuery傳送到MongoDB資料庫中做進一步處理，加快應用開發。</p> <p>在計價方面，未來根據處理是8K或32K文本的GPT-4模型，提詞（prompt）收費為每一千個Tokens收費約0.03∼ 0.06美元，若是回應（Completion）價格更高，每千個Tokens收費則介於0.06∼0.12美元</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Nvidia發表AI Foundation雲端服務，推出3種生成式AI模型製作服務</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap31.png" style="width: 600px; height: 316px;" /></p> <p>日前，Nvidia發表稱作AI Foundation的雲端新服務，可提供語言、視覺和生物生成式AI模型製作服務，讓企業可以用他們各自資料做訓練，量身打造出自己的LLM語言模型或生成式AI應用。</p> <p>其中，NeMo是文字轉文字的生成式AI模型製作服務，除了使用自己的語言模型之外，企業也能使用已經訓練好的NeMo語言模型，其中最大GPT-530B模型參數可達5,300億個，以此打造出生成式AI模型，可提供類似ChatGPT的體驗，如幫忙把財務文件做摘要，或建立品牌內容，或用個人風格來改寫Email信件等。</p> <p>用來提供視覺語言模型製作服務的Picasso則是AI Foundation第2項雲端服務，可透過生成式AI將文本生成出高擬真的影像、高解析度影片，以及3D幾何圖形，生成的影像也可以輸入到編輯工具或3D設計和虛擬協作平臺Omniverse中來建構擬真的虛擬世界或數位分身應用。</p> <p>第三個BioNeMo則是用在藥物研發，使研究人員可以快速使用生成式AI模型生成蛋白質和生物分子的結構和功能，加快新藥物開發，或是也能用於建立預測性生物分子AI模型。</p> <p>AI Foundation未來將透過DGX Cloud雲端服務提供。目前已有Adobe、Getty Images、Morningstar、Quantiphi與Shutterstock等業者採用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端資料倉儲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ML推論引擎 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GCP雲端資料倉儲BigQuery發表新的ML推論引擎強化機器學習功能</span></strong></p> <p>近來，GCP在雲端資料倉儲BigQuery中推出新的ML推論引擎，讓企業可以更容易在BigQuery中使用ML模型，而不需要將BigQuery內資料匯出，就能執行預測分析。</p> <p>新推出的BigQuery ML推論引擎，則是強化了BigQuery對於ML的支援功能，除了能使用預訓練Google ML模型，用於自然語言處理、視覺或翻譯推論，使用者也可將外部模型導入BigQuery ML中，除了能使用TensorFlow開發框架，還支援各種主流的模型格式，包括TensorFlow Lite、ONNX交換格式以及XGBoost等。另外也能交由全託管式機器學習平臺Vertex AI來統一管理在BigQuery中模型發布流程。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 執行個體 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS發表搭載Nvidia H100 GPU的P5執行個體，可提升8倍深度學習運算效能</span></strong></p> <p>日前AWS推出擁有8個H100 GPU的P5執行個體，深度學習效能是前一代P4執行個體的8倍，可提供高達20 exaFLOPS運算效能，用來構建和訓練生成式AI模型或大型語言模型。</p> <p>P5執行個體也支援了第二代EFA網路介面，可以將多執行個體GPU節點透過網路相連擴展到20,000個H100 GPU的互連，以此建立EC2超級叢集（UltraClusters），可以用於加速大規模生成式 AI模型訓練和推理。</p> <p>P5執行個體配備了8個Nvidia H100 GPU，具備有16 petaFLOP混合精度效能，以及配置640 GB的高速記憶體頻寬，網路傳輸速度比前一代提升了8倍，每秒可達到3,200 Gb，與前一代相比，不只能將ML模型訓練時間縮短6倍，也能減少40%訓練成本。</p> <p>圖片來源／Nvidia、Google</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.HPE併購IT維運平臺商OpsRamp來強化GreenLake雲端管理功能</strong></p> <p><strong>2.Google雲端GCP服務推出互動式數位主權探索工具</strong></p> <p><strong>3.AWS資料無塵室服務Clean Rooms正式推出上線</strong></p> <p><strong>4.GCP推出搭載低功耗Nvidia L4 GPU的G2 VM服務，可執行大型推理AI工作負載</strong></p> <p><strong>資料來源：iThome整理，2023年3月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/3/29 16:52作者余至浩https://www.ithome.com.tw/news/156192
Google BigQuery新機器學習推理引擎支援外部自定義模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google強化其雲端資料倉儲BigQuery的機器學習功能，推出<a href="https://cloud.google.com/blog/products/data-analytics/introducing-bigquery-ml-inference-engine">新BigQuery機器學習推理引擎</a>，讓用戶可以直接在BigQuery匯入外部訓練的模型，藉由縮短模型與資料之間的距離，加速機器學習運算。此外，用戶也能夠將資料指向遠端託管在Vertex AI的模型，以更靈活地方式執行模型推理任務。</p> <p>Google讓用戶無縫地在將資料預測分析整合至資料倉儲中，消除了資料移動帶來的成本和風險，用戶還能使用熟悉的SQL語法來操作各種機器學習功能。而BigQuery的無伺服器的特性，使得用戶不需要在執行機器學習預測時自己配置基礎設施。</p> <p>過去，用戶在BigQuery中匯入機器學習模型的功能僅限TensorFlow模型。但Google現已擴充支援的模型格式，新增加TensorFlow Lite、XGBoost和ONNX。如此一來，用戶便能夠將PyTorch和scikit-learn等常用框架轉換成ONNX，並將其匯入到BigQuery中。現在用戶可以在BigQuery使用在其他地方訓練的模型，而不需要移動資料，BigQuery的分散式推理引擎能夠批次執行推理工作，以提高推理執行效能。</p> <p>對於一些需要特殊基礎設施，以處理低延遲請求和大量參數的模型，用戶可以選擇將模型託管在機器學習平臺Vertex AI端點，以獲得GPU運算加速，Vertex AI也提供預建置容器、自定義容器等服務。用戶現在可以選擇直接從BigQuery內部，遠端使用這些位於Vertex AI的模型進行推理。BigQuery會將資料送向遠端Vertex AI進行推理，待推理完畢後的結果再送回BigQuery。</p> <p>BigQuery機器學習遠端模型推理，也支援圖像等非結構化資料，用戶可以使用Vertex AI上的圖像、文字理解和翻譯預訓練模型進行推理。在BigQuery機器學習推理引擎中，這些模型可以使用特殊的預測函式，將文字和圖像當作輸入，並結果以JSON資料類型輸出。</p> </div></div></div>
2023/3/29 16:06作者李建興https://www.ithome.com.tw/news/156191
蘋果修補舊版iPhone、iPad的WebKit零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iPhone 6、7或iPhone SE等用戶請注意，<a href="https://support.apple.com/en-us/HT213673" target="_blank">蘋果本周針對舊款iPhone、iPad裝置釋出安全更新</a>，以修補瀏覽器引擎WebKit的一個高風險零時差漏洞。</p> <p>蘋果釋出的iOS 15.7.4和iPadOS 15.7.4是針對iPhone 6s、7、iPhone SE、iPad Air 2、iPad mini 4及iPod touch 7發布。<a href="https://support.apple.com/en-us/HT213676" target="_blank">它和iOS 16.4及iPadOS 16.4同時發布</a>，後者提供給較新的iPhone 8以後、iPad Pro、iPad Air 3以後、iPad 5以後及iPad mini 5版本。</p> <p>兩者多項安全更新相同，但iOS/iPadOS 15.7.4還修補了一個零時差漏洞CVE-2023-23529。它是一個型態混淆（type confusion）漏洞，影響Safari瀏覽器引擎WebKit，攻擊者可設立惡意網頁，再以社交工程或其他方式誘使用戶造訪。一旦用戶裝置處理了該網頁內容，即可能引發任意程式碼攻擊。本項漏洞風險值達8.8。</p> <p>蘋果在上個月得知該漏洞已遭到濫用，<a href="https://www.ithome.com.tw/news/155503" target="_blank">已釋出macOS Ventura 13.2.1、iOS 16.3.1和iPadOS 16.3.1及Safari 16.3</a>，以修補較新的iPhone、iPad及Mac電腦。</p> <p><a href="https://support.apple.com/en-us/HT213676" target="_blank">蘋果本周也釋出macOS Ventura 13.3、iOS/iPadOS/tvOS 16.4及watchOS 9.4</a>。其中iOS/iPadOS 16.4則修補30多項漏洞。較重要的漏洞包括Calendar的CVE-2023-27961，能匯入惡意行事曆邀請訊息，造成不慎點入的用戶資訊外洩。Find My的CVE-2023-23537可讓惡意App讀取用戶所在位置資訊。WebKit漏洞CVE-2023-27954，讓惡意網站得以追蹤敏感的用戶資訊。</p> <p>CVE-2023-23541影響iPhone的輔助功能（Accessibility），可讓惡意App存取用戶聯絡人資訊。</p> <p>CVE-2023-27969及CVE-2023-27933屬於OS核心的使用已釋放記憶體（use after free）漏洞，可讓惡意App以核心權限執行任意程式碼。CVE-2023-23535及CVE-2023-27979則可讓駭客傳送惡意圖片，用戶讀取後觸發行程記憶體洩露。</p> <p>蘋果並修補了AI晶片神經網路引擎（Apple Neural Engine）多項漏洞，包括2個能使惡意App以核心權限執行任意程式碼的漏洞CVE-2023-23540、CVE-2023-27959、惡意程式碼越界寫入（out-of-bounds write）漏洞CVE-2023-27970，以及惡意App突破沙箱執行的漏洞CVE-2023-23532。</p> </div></div></div>
2023/3/29 13:32作者林妍溱https://www.ithome.com.tw/news/156186
Nokia今年內讓4G網路上月球
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>芬蘭電信設備業者Nokia表示，將在2023年內在月球搭建4G/LTE網路以支援美國航太總署（NASA）的月球探勘任務。</p> <p><a href="https://www.ithome.com.tw/news/140588" target="_blank">Nokia於2020年贏得NASA Tipping Point計畫千萬美元合約</a>，將在月球上興建第一座太空4G/LTE通訊網路。Nokia首席工程師Luis Maestro Ruiz De Temino在剛結束的世界通訊大會（Mobile World Congress）上<a href="https://www.cnbc.com/2023/03/28/nokia-set-to-launch-4g-internet-on-the-moon-later-this-year.html" target="_blank">對CNBC表示</a>，預計在今年底前由SpaceX火箭載送4G/LTE網路設備到月球。</p> <p>Nokia的4G/LTE網路是NASA Artemis I登月計畫的一部分，該計畫打算在2024年將2名太空人，包括第一名女性登月太空人送上月球表面。Tipping Point計畫目標則是在2030年以前，在月球上建立長期活動的基礎設施。</p> <p><a href="https://www.nokia.com/about-us/newsroom/articles/nokia-aims-for-the-moon-with-lte4g/" target="_blank">Nokia說明</a>，規畫中的月球網路包含一個具備演進封包核心（Evolved Packet Core，EPC）LTE基地臺、LTE使用者設備、RF天線及營運與維修（O&M）控制軟體。基地臺是一個小型設備，將架在由美國航太公司Intuitive Machines打造的登月小艇Nova-C上，使用者設備則會架在負責月球表面樣本蒐集任務的探勘車上，這臺探勘車將會由登月小艇自動化部署。</p> <p>兩者之間的通訊即由LTE/4G網路傳送。探勘車將先測試和登月小艇數百公尺距離的通訊，接者將距離拉長到2到3公里。全程測試將由客製化的營運和維護軟體監控。</p> <p>Nokia原本計畫2022年底前完成部署，因故延至今年。這次任務預計將持續數個星期，以測試網路及效能。Nokia說4G/LTE網路將是5G網路的先驅。這個網路最終是希望能支援太空人的活動和研究，包括影音通訊、傳送遙測數據、生理資料、執行感測應用和控制機器人。</p> </div></div></div>
2023/3/29 11:49作者林妍溱https://www.ithome.com.tw/news/156184
鎖定中小企業分析跨通路會員數據需求，CRM技術商Ocard今年要將推出輕便版CDP，強調不用數位或數據分析專業也能使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣客戶超過2,000家品牌的CRM技術商Ocard今年Q3要將跨通路顧客數據分析功能從既有產品線獨立出來，作為CDP販售。特別的是，他們不會向商家強調CDP這個產品，而是將常見數據分析和應用功能做成模組，讓商家能更容易使用。</p> <p>Ocard執行長陳逸生表示，採取這項策略，是因為觀察到市場上越來越多商家希望從不同管道蒐集數據，進而了解顧客、建立互動關係，並進一步驅動行銷或生產。然而，許多臺灣商家對CDP或會員數據分析相當陌生，更遑論有專門的CDP操作人員或數據科學家來分析數據。因此，比起市面上許多強調功能強大的CDP，Ocard CDP反而強調輕便、易用，不須具備成熟的數位能力或數據分析能力也能上手。</p> <p>其實，Ocard產品線中本來就有跨通路數據分析功能。不過今年，他們把既有會員經營解決方案細分為OMO零售應用、CRM系統及會員數據分析工具3部分，凸顯自己在顧客接觸、顧客經營、顧客數據分析應用等3階段都有相關產品。CDP及自動化行銷功能，屬於最後一個階段。</p> <p>這個階段的產品除了CDP和BI報表生產工具，還有一個AI行銷助理功能。此功能是利用Ocard 2,000家以上客戶的行銷文案和行銷活動來訓練ChatGPT而成，商家可以選擇不同行銷模組，例如喚醒沉睡客人、舉辦母親節活動等，AI便會生成行銷活動企畫、行銷素材和文案。</p> <p>不只B2B的顧客關係經營產品線調整策略，Ocard在B2C的會員卡管理平臺也有新玩法。今年，Ocard還要在自家會員管理平臺上推出生態圈會員里程碑，增加消費者於圈內不同商家消費的誘因。</p> <p>陳逸生說明，有一些商家規模較小或消費周期較長，對消費者來說，累積這些商家點數的誘因不大。因此Ocard希望透過生態圈經營的模式，賦予小商家點數更多使用場景，進而提升點數價值。其他生態圈經營作法還有開放消費者將小商家點數轉換為超商、連鎖商店等大規模商家的點數，以及與亞洲萬里通、HappyGo等點數生態圈合作，能跨生態圈兌換點數獎勵。</p> </div></div></div>
2023/3/28 18:06作者郭又華https://www.ithome.com.tw/news/156178
微軟推出資安人員用的Security Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/155983" target="_blank">Office</a>、<a href="https://www.ithome.com.tw/news/156070" target="_blank">開發人員</a>、以及<a href="https://www.ithome.com.tw/news/156002" target="_blank">商務工作</a>者的Copilot，<a href="https://news.microsoft.com/2023/03/28/with-security-copilot-microsoft-brings-the-power-of-ai-to-cyberdefense/" target="_blank">微軟本周再公布</a>網路資安人員用的AI輔助工具Security Copilot。</p> <p>Security Copilot整合了OpenAI的GPT-4生成性AI及微軟的安全分析及情報資料庫，以對話式AI助理介面協助安全從業人員。微軟稱，Security Copilot是第一個、也是唯一一個生成性AI安全產品。</p> <p>Security Copilot主要用於協助安全從業人員快速理解數量龐大的網路威脅活動訊號，發現攻擊活動並回應。它可整合多個資料源，為收進的網路訊號做出摘要，以快速發現惡意活動，並且在攻擊發生時進行資料關聯分析，提供回應行動建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-Microsoft%20Security%20Copilot.png" style="width: 600px;" /></p> <p>微軟指出，Security Copilot可補足企業安全人力及分析能力的不足，它使用OpenAI的最新模型，會持續學習及提升分析能力。</p> <p>微軟並強調，Security Copilot分析能力來自微軟發展的安全情報資料庫。微軟情報工具包含收購自RiskIQ及Miburo的情報資料庫，以及8000多名安全分析人員的分析，其安全營運中心每天平均使用100多個資料源進行分析。微軟安全部門定期追蹤50多個勒索軟體組織及250多個國家駭客單位，每天接收到65兆個威脅訊號。微軟宣稱，該公司的技術每秒可防堵250億密碼暴力破解攻擊。</p> <p>此外，Security Copilot也可整合微軟安全產品作為資源，包括其管理控制臺Sentinel或應用與雲端安全產品Defender、裝置管理工具Intune等，也可提供整合的使用經驗。</p> <p>目前Security Copilot已經提供封閉預覽測試。</p> </div></div></div>
2023/3/29 10:43作者林妍溱https://www.ithome.com.tw/news/156183
Amazon Chime SDK通話分析新功能，可即時分析語音情感和搜尋說話者紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-chime-sdk-call-analytics-real-time-voice-tone-analysis-and-speaker-search/">AWS更新其通訊服務Amazon Chime的軟體開發工具包</a>，加入即時語音通話分析功能，可執行包括語音轉錄、情感分析和說話者搜尋任務，而且開發者只要操作管理控制臺，就能夠在音訊應用程式簡單地整合這些機器學習功能。</p> <p>Amazon Chime SDK新提供的語音通話分析功能，分別為情感分析和說話者搜尋。情感分析可以判斷說話者的語氣，像是積極、中立或是消極態度。該情感分析技術應用機器學習，對詞彙、語言資訊，諸如字詞選擇和語法結構，以及聲學和語調上的資訊，像是音高、音量和語速進行綜合分析，以進一步判斷語音中的情感。</p> <p>除了情感分析之外，用戶還可以使用Amazon Chime SDK開發說話者搜尋應用，透過在現有語音資料庫比對說話者語音特徵，找出包含說話者的通話記錄和轉錄文字。說話者搜尋僅需要一個簡短的語音樣本，系統便可以迅速找出相關的音訊紀錄，這項功能的應用除了可以查詢特定說話者的相關資料外，也能夠應用在即時通訊中，替不同的說話者添加標記。</p> <p>用戶在AWS管理控制臺就能簡單整合這些功能，不需要編寫任何整合程式碼，只要選擇轉錄或是語音分析等服務，AWS系統便會自動處理人工智慧服務與應用程式的整合，用戶在控制臺中可以定義分析資料發送的位置，同時語音分析也可以向Lambda函式和SNS等服務發送即時通知。</p> <p>用戶可以使用Amazon QuickSight或Tableau建構儀表板，以獲取即時的語音分析結果，而語音分析也可以透過事件，發布到Amazon EventBridge生成即時警示，將這些事件路由到用戶選擇的目標。音訊分析功能的付費方式，根據用戶使用情況收費，收費基礎為每分鐘所分析的資料，目前用戶已經可以在AWS美東、美西和歐洲地區使用到該新功能。</p> </div></div></div>
2023/3/29 08:27作者李建興https://www.ithome.com.tw/news/156176
First Citizens Bank宣布全面收購矽谷銀行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.firstcitizens.com/2023-03-27-First-Citizens-Bank-Enters-into-Whole-Bank-Purchase-of-Silicon-Valley-Bridge-Bank,-N-A" target="_blank">美國第一公民銀行（First-Citizens Bank & Trust Company，First Citizens Bank）周一（3/27）宣布</a>，在經過競標程序之後，已與美國聯邦存款保險公司（Federal Deposit Insurance Corporation，FDIC）達成協議，全面收購矽谷過渡銀行（Silicon Valley Bridge Bank，N.A.），接收其17家分行。</p> <p>在矽谷銀行（Silicon Valley Bank，SVB）出現擠兌潮並於3月10日被迫關閉之後，接管的FDIC於3月13日建立了矽谷過渡銀行，以穩定該行狀況並行銷其特許經營權。</p> <p>根據美國第一公民銀行的說法，該行將承接矽谷過渡銀行約1,100億美元的資產、560億美元的存款，以及720億美元的貸款。矽谷過渡銀行的17家分行在3月27日已重新以矽谷銀行為名營運，但屬於第一公民銀行的部門。</p> <p><a href="https://www.fdic.gov/news/press-releases/2023/pr23023.html" target="_blank">FDIC特別指出</a>，在第一公民銀行所買下的矽谷銀行資產中，有大約720億美元的資產拿到了165億美元的折扣。這應是指風險較高的貸款，等於是打了77折。</p> <p>此外，有900億美元的證券與其它資產仍被保留在破產管理中，繼續由FDIC負責處置；雙方也就美國第一銀行所買下的商業貸款簽署了虧損分擔協議，將共享貸款的回收與損失。FDIC亦取得了第一公民銀行控股公司First Citizens BancShares普通股的增值權，潛在價值達5億美元。</p> <p>至於FDIC存款保險基金因矽谷銀行破產而招致的成本約為200億美元，實際數字則要等FDIC完全終止接管時才能確定。</p> <p>美國第一公民銀行表示，矽谷銀行客戶現有的帳戶並不會有立即的更動，客戶可如常透過網站、行動程式或分行來使用他們的帳戶，也能繼續使用支票與金融卡，貸款客戶也應如常繳款，若未來有任何的帳戶變更，客戶都會事先收到通知。</p> </div></div></div>
2023/3/29 08:33作者陳曉莉https://www.ithome.com.tw/news/156182
微軟打造全新Teams，2倍效能但資源消耗只有一半
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Teams運作占用大量系統資源的狀況可能將有所改善，微軟公開他們<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/what-s-new-in-microsoft-teams-at-enterprise-connect-2023/ba-p/3774374">全新開發的Teams</a>，現在釋出公開預覽版本供Windows商業用戶試用。</p> <p>這個新版本的Teams採用了一個稱為北極星（North Star）的新架構，其所使用的系統資源不僅只有當前Teams版本的一半，而且執行速度還提高1倍。官方提到，他們過去一直在改進現有版本的Teams，但是要取得重大突破，必須要在新版Teams才能實現。</p> <p>微軟重新改造Teams，對資料、網路、對話和影像架構進行最佳化，以提高速度和架構，微軟和第三方基礎測試公司合作，透過對新舊兩版本進行量化比較，新版本在應用程式啟動和加入會議的速度提高1倍，切換對話和頻道速度提高至之前的1.7倍，而記憶體消耗則減少一半，磁碟空間使用更可減少70％。</p> <p>經過重新設計的新版Teams，在核心功能上的操作將更簡單，無論是獲取通知、搜尋資訊、管理對話或是組織頻道，所需要的點擊數將更少，同時微軟也改進了身份驗證模型、同步和通知系統，讓需要跨組織邊界的使用者，能夠在多租戶和帳號之間無縫操作。</p> <p>微軟也強調，新版的Teams還會進一步強化人工智慧的體驗，除了之前加入的智慧回顧和Copilot功能，Teams也將會加入人工智慧功能，協助會議成員更快地掌握之前會議的內容，並在討論流程中自動回應問題。</p> <p>公開預覽版Teams提供了虛擬人像功能，讓參加會議除了關閉和開啟攝影機，還可以使用虛擬人像進行協作，微軟表示，這將有助舒緩線上會議參與者的視訊疲勞。用戶可以自定義人像，包括設定虛擬人像的衣服，或是配戴特定裝置，而用戶在對話中使用表情符號回應，虛擬人像也會做出相對應的動作，像是使用舉手回應，則頭像也會舉手。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Avatars%20in%20Teams.png" style="width: 580px; height: 369px;" /></p> <p>官方預計會在2023年稍晚時全面推出新版Teams，目前Windows商業用戶已經可以開始試用公開預覽版，並在之後向更廣泛的客戶群開放，微軟也預告將會發布Mac版本。</p> </div></div></div>
2023/3/29 08:41作者李建興https://www.ithome.com.tw/news/156179
2023年企業永續發展行動方案出爐！資本額不到20億元上市櫃公司未來也要編製永續報告書
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會昨日發布了2023年上市櫃公司永續發展行動方案，重點包括要求1,267家實收資本額不到20億元上市櫃公司將自2025年起編製永續報告書，還將打造數位化永續報告書平臺，來建立標準化統一格式揭露企業ESG相關資訊，並將於2024年試行，未來更要展開研議強制揭露範疇三溫室氣體排放數據的可行性。</p> <p>在最新公布上市櫃公司永續發展行動方案中，以治理、透明、數位、創新四大主軸，主要聚焦五大面向，包括企業淨零、永續治理、永續資訊揭露，利害關係人溝通，以及推動ESG評鑑及數位化。</p> <p>新版企業永續行動方案一大重點，就是將建置永續報告書數位平臺，協助上市櫃公司產製永續報告書，不只提升報告書產製效率，也能加快申報作業，該平臺將由證交所負責建置，最快2024年開始試行。</p> <p>金管會推行報告書數位平臺還有個更大目的，是要建立統一格式標準，由於現行永續報告書製作，並沒有統一格式揭露ESG相關資訊，因此每家企業揭露的方式都不太一樣，透過數位平臺，就能讓未來所有上市櫃公司都能套用同一個規範格式，對於揭露ESG相關資訊，以後更容易方便查看和管理。</p> <p>透過數位化平臺，搭配證交所今年即將推出ESG資訊平臺，未來透過該平臺也能查詢產業、個別公司的相關ESG資訊，以及ESG相關法規，不需要到個別公司官網才能查詢。</p> <p>除了永續報告書數位平臺，未來企業盡職治理報告書也要跟著數位化，集保公司及證交所將建置盡職治理報告書數位平臺，並於2024年試行。</p> <p>不光是針對金融業進行永續金融評鑑，金管會未來也將研議推動上市櫃公司ESG評鑑，藉此來促使企業加快ESG轉型的腳步，預計2023年完成指標設計後，最快2024年試行。</p> <p>另一方面，金管會也宣布，將從2025年起推動20億元以下上市櫃公司編製永續報告書，也就是說約1,267家企業未來都將被要求編寫並申報永續報告書，不僅如此，金管會還將推動全體上市櫃公司揭露永續指標，擴大永續資訊揭露範圍。明年先研議永續指標取得確信的可行性，強化永續報告書揭露品質。</p> <p>在溫室氣體資訊揭露上，除了範疇一、範疇二，金管會也鼓勵上市櫃公司主動揭露範疇三資訊，考慮到國際規範及國內產業特性，後續也將研議強制揭露的可行性。</p> <p>在減碳目標上，金管會2026年將推動上市櫃公司設定減碳目標、策略及具體行動計畫，並採分階段來推動。未來也將搭配環保署建置的減量額度交易平臺，來鼓勵企業投入淨零轉型。</p> <p>永續治理方面，更要加強高階薪酬與ESG績效連結，金管會今年將會把它納入公司治理評鑑指標，另外針對女性董事會席次要求維持一定比例，未來2年也將推動興櫃公司全面採候選人提名制。</p> </div></div></div>
2023/3/29 06:41作者余至浩https://www.ithome.com.tw/news/156181
Google雲端GCP服務應臺灣金融機構上雲需求，完成獨立第三方單位聯合查核
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google臺灣今日（3/28）宣布，Google雲端GCP服務已在臺完成首次聯合查核，GCP也是第一個公開揭露，自家GCP服務應多家金融機構上雲需求，已接受獨立第三方單位聯合查核的公雲業者。</p> <p>雖然金管會日前放寬了對於境內外雲端委外作業規定和程序，以後銀行業者使用境內雲端服務（如GCP），處理一般性事務或辦公應用，不需要事先申請核准，但使用雲端服務仍需遵循風險管控的原則，依金管會法規完成虛擬稽核，來確保金融機構、監理機關或委外查核人員，日後可取得雲端委外作業的執行資訊，例如實地查核權。</p> <p>不過依金管會對於金融業上雲的稽核程序明定，除了自行委託第三方查核機構之外，使用同一雲端供應商的金融機構，也可以聯合委託第三方來查核雲端業者。</p> <p>但臺灣金融業開放上雲上路3年多，以往大多是採取個別委託來完成金融企業上雲的查核，如國泰、富邦等，反觀採用聯合委託模式，只有在如歐洲等國外較常見，不過，就在Google臺灣GCP服務接受獨立第三方單位完成聯合查核後，臺灣終於有第一個公開的金融業上雲聯合查核案例。</p> <p>這次聯合查核共有三家金融機構，第三方查核單位針對受查核的金融業者其所使用的GCP服務進行審查與查核，主要包含Iaas與PaaS服務的查核。</p> <p>透過採取聯合查核模式，Google表示，第三方單位可以將聯合委託的多家金融業者提出共同查核要求，整合到統一查核作業中，向雲端業者進行查核，讓這些相同查驗作業可以在同一次查核程序中完成，除了簡化查核程序，也能讓查核作業變得更有效率，進而加速金融業上雲的採用，對於雲端廠商而言，也能減少大量查核次數而增加的資安風險。</p> <p>在聯合查核過程中，獨立第三方除了確認GCP服務基礎架構、<wbr></wbr>作業程序和安全控管等措施，須符合聯合委託的每家金融機構營運需求，更會對是否符合金管會法規查核要求進行查驗。還會對資料隱私、資料中心安全、身分與存取權管理、互通性，<wbr></wbr>以及其他多關鍵領域加以審查，確認有無符合CSA Cloud Controls Matrix、ISO 27001 和 ISO 27017等風險控管規範。</p> </div></div></div>
2023/3/28 17:30作者余至浩https://www.ithome.com.tw/news/156170
【資安日報】3月28日，推特傳出原始碼被公布在GitHub儲存庫，疑為離職員工挾怨報復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特在馬斯克（Elon Musk）入主之後大幅裁員，使得這些離職員工可能心生不滿而進行報復。根據各大新聞網站的報導，推特尋求法律途徑要求GitHub下架儲存庫，其內容是該公司網站與內部工具的專有原始碼，但究竟這些資料如何流出？傳出是離職員工上傳，但推特並未證實這項說法。</p> <p>殭屍網路病毒Emotet近期的攻擊行動頻頻，之前被發現開始透過挾帶OneNote檔案的釣魚郵件散布，但最近駭客也跟上了美國報稅季，假借當地稅務機關的名義發動攻擊。值得留意的是，駭客不光使用OneNote挾帶惡意程式，也有使用Word檔案的情況。</p> <p>過往的竊資軟體（Infostealer）幾乎都是針對Windows電腦而來，但最近有竊資軟體鎖定的是Mac用戶，值得留意的是，該惡意程式不光會對瀏覽器和加密貨幣錢包下手，還會針對macOS的密碼管理系統解密、回傳相關資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156159"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">推特網站與內部工具的原始碼傳出被公布於GitHub儲存庫</span></strong></a></p> <p>馬斯克（Elon Musk）日前宣布，為了改善演算法及安全性，<a href="https://twitter.com/elonmusk/status/1636835209587949570">他們將於3月31日前開放推特部分的原始碼</a>，但在此之前就傳出外洩的事故。根據<a href="https://www.nytimes.com/2023/03/26/technology/twitter-source-code-leak.html">紐約時報</a>、<a href="https://www.theguardian.com/technology/2023/mar/27/twitter-legal-source-code-leaked-elon-musk-github">衛報</a>、<a href="https://techcrunch.com/2023/03/27/github-takes-down-repository-containing-twitters-source-code/">TechCrunch</a>等新聞網站的報導，推特於3月24日發出侵權通知，要求GitHub撤下使用者FreeSpeechEnthusiast經營的儲存庫，原因是其內容是推特網站與內部工具的專屬原始碼。</p> <p>這起事故很可能與馬斯克大幅裁員有關──紐約時報指出，疑似懷恨在心的離職員工所為。</p> <p><a href="https://www.bleepingcomputer.com/news/security/emotet-malware-distributed-as-fake-w-9-tax-forms-from-the-irs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">適逢美國報稅季，殭屍網路病毒Emotet假借IRS寄出申報單名義進行網路釣魚攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file60400_262506_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file60400_262506_e.png" style="width: 300px; float: right;" /></a>資安業者<a href="https://www.malwarebytes.com/blog/news/2023/03/beware-fake-irs-tax-email-delivers-emotet-malware">Malwarebytes</a>、<a href="https://twitter.com/Unit42_Intel/status/1638940003035398148?cxt=HHwWiIDSkfrP174tAAAA">Palo Alto Networks</a>針對殭屍網路病毒Emotet的攻擊行動提出警告，這次駭客鎖定即將到來的美國報稅季，假冒國稅局（IRS）提供W-9表單的名義寄送釣魚郵件。</p> <p>Malwarebytes看到駭客寄送了含有ZIP檔案、檔案大小為709 KB的附件，但裡面的W-9表單Word文件解壓縮卻高達548 MB，攻擊者這麼做的目的是為了規避防毒軟體偵測。一旦收信人開啟，就會出現文件受到保護，必須啟用巨集的內容才能瀏覽內容，然而一旦照做，電腦就會被植入Emotet。</p> <p>而Palo Alto看到的釣魚郵件則有所不同──駭客挾帶了OneNote檔案進行相關攻擊，但部分郵件利用遭竊的主旨、寄件人，甚至是郵件內容，以回覆郵件的方式寄給目標。</p> <p><a href="https://www.uptycs.com/blog/macstealer-command-and-control-c2-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">出現鎖定Mac用戶的竊資軟體，能從OS內建密碼管理系統盜走各式帳密</span></strong></a></p> <p>資安業者Uptycs揭露名為MacStealer的竊資軟體，顧名思義該惡意程式針對Mac電腦的使用者而來，駭客從3月初開始於暗網論壇兜售此惡意程式，標榜能從瀏覽器Firefox、Chrome、Brave竊取帳密資料、Cookie、信用卡詳細資料，再者，該竊資程式也能挾持Coinomi、Exodus、MetaMask、Binance等加密貨幣錢包。</p> <p>值得留意的是，MacStealer能從Mac電腦的密碼管理系統「鑰匙圈存取（Keychain Access）」解碼資料庫的內容，並收集密碼資訊。採用x86架構Intel處理器與Arm架構M1、M2處理器的Mac電腦，已被確認都是MacStealer的攻擊目標。</p> <p><a href="https://blog.phylum.io/malicious-actors-use-unicode-support-in-python-to-evade-detection"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件濫用Unicode異體字元進行混淆，目的是規避偵測</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Onyxproxy-mix.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Onyxproxy-mix.jpg" style="width: 300px; float: right;" /></a>資安業者Phylum揭露名為Onyxproxy的惡意PyPI套件，駭客在其安裝指令碼setup.py當中，採用了大量肉眼看起來相似的Unicode字元，例如：字母n有5種版本、s有19種版本，這些Unicode字元可用於特定的語言，或是數學算式等，然而，駭客在此運用這類特殊字元的目的，就是讓程式碼看似無害，但實際上會執行惡意行為，進而竊取開發者的敏感資料與Token。</p> <p><a href="https://www.intezer.com/blog/research/phishing-campaign-targets-nuclear-energy-industry/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國核能產業遭駭客組織Bitter鎖定，散布惡意程式</span></strong></a></p> <p>資安業者Intezer揭露駭客組織Bitter的攻擊行動，這些駭客假冒中亞國家吉爾吉斯的大使館，針對與中國核能產業相關的學者、組織寄送釣魚郵件，以邀請他們參與會議為由，引誘收信人開啟附件的RAR壓縮檔，並執行當中的Excel檔案或是Windows幫助檔案（CHM）。</p> <p>值得留意的是，上述Excel檔案沒有惡意酬載，僅有方程式編輯器漏洞的利用程式，一旦執行，會在受害電腦建立2個工作排程，利用cURL指令下載真正的惡意酬載。此外，研究人員指出，攻擊者也相當喜歡利用CHM檔案發動攻擊，原因是不需像Excel檔案可能要觸發特定版本Office軟體的漏洞才能進行。</p> <p><a href="https://therecord.media/fbi-investigating-cyberattack-on-puerto-rico"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國波多黎各水道管理局傳出遭勒索軟體Vice Society攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fr_T_Kd_N_Ww_AI_7_Ou_D_858f883c50.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fr_T_Kd_N_Ww_AI_7_Ou_D_858f883c50.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站The Record的報導，美國聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA）介入調查波多黎各水務局（PRASA）的資安事故，3月19日初步調查結果出爐，用戶與員工的資料遭到外洩，但因為採取了網路分段措拖（Network Segmentation），該單位的關鍵基礎設施並未受到波及。</p> <p>而對於攻擊者的身分，3月17日勒索軟體Vice Society宣稱是他們所為，並公布部分竊得的資料，內容有護照、駕照等。</p> <p><a href="https://www.continuitysoftware.com/resources/the-state-of-storage-backup-security-report-2023/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">企業儲存設備平均存在14個資安弱點，而成為駭客覬覦的目標</span></strong></a></p> <p>儲存安全業者Continuity針對245家金融、醫療、電信、媒體、物流、IT服務業者調查儲存設備與備份的資安情況，從8,589臺儲存或備份設備選出702臺進行分析，結果發現，有9,996個漏洞或是配置錯誤的安全弱點，平均每臺設備存在14個弱點、3個為高風險或是重大風險層級。</p> <p>這些設備面臨的資安風險當中，最普遍的是不安全的網路配置帶來的隱患，其次才是尚未緩解的CVE漏洞，以及存取權限、用戶管理、事件記錄資料等層面。研究人員提出警告，儲存設備尚未修補的弱點往往是勒索軟體主要目標，但漏洞管理工具很可能難以涵蓋這類設備。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.mitiga.io/blog/how-okta-passwords-can-be-compromised-uncovering-a-risk-to-user-data"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">身分驗證及管理系統Okta出現漏洞，恐曝露用戶帳號資料而被濫用</span></strong></a></p> <p>資安業者Mitiga揭露Okta身分驗證及管理系統（IAM）的漏洞，這項漏洞起因是此系統以明文記錄登入的事件內容，例如：使用者名稱、IP位址、登入時間等，再加上該系統用戶很可能不慎會在使用者帳號欄位輸入密碼，而在第二次登入的時候才在對應的欄位填寫正確資料，才成功通過身分驗證，而在上述事件記錄檔案留下帳號及密碼。</p> <p>這樣的情況讓攻擊者有機可趁，藉由設法存取這類明文資料，來嘗試通過上述的單一簽入（SSO）身分驗證流程，進而入侵企業各式的應用系統。對此，Okta證實該系統的確會留存明文的稽核記錄，並認為「使用者不慎在使用者名稱欄位輸入密碼是可預期的行為」，但也強調，這類事件記錄僅有管理者才能存取。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-recently-disclosed-webkit-zero-day-on-older-iphones/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果針對舊版iOS作業系統修補WebKit零時差漏洞</span></span></strong></a></p> <p><a href="https://blog.avast.com/shein-instagram-scam"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Instagram詐騙傳出以提供時裝購物商城Shein禮物卡為誘餌</span></span></strong></a></p> <p><a href="https://www.intezer.com/blog/research/phishing-campaign-targets-nuclear-energy-industry/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國核能產業遭駭客組織Bitter鎖定，散布惡意程式</span></span></strong></a></p> <p><a href="https://www.synopsys.com/software-integrity/resources/analyst-reports/open-source-security-risk-analysis.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">企業採用的開放原始碼軟體，有近9成使用了超過4年沒更新的元件</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/inaudible-ultrasound-attack-can-stealthily-control-your-phone-smart-speaker/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露針對語音助理發動的無聲攻擊手法</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156142">【3月27日】 SharePoint遭到濫用，駭客藉此引誘使用者下載惡意程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156119">【3月25日】 GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156109">【3月24日】逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</a></strong></p> </div></div></div>
2023/3/28 15:36作者周峻佑https://www.ithome.com.tw/news/156172
Safari 16.4新增多個Web API，強化網頁應用程式使用體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple剛發布iOS和iPadOS 16.4，以及新版macOS Ventura 13.3。更新內容不僅包括21個新的表情符號，以及在手機通話提供語音隔離功能，以降低通話噪音之外，更重要的是Safari 16.4的更新，正式版包含之前官方就釋出的<a href="https://www.ithome.com.tw/news/155562">網頁推送（Web Push）功能</a>，讓網頁應用程式也能像原生應用程式推送通知。此外，釘選在裝置桌面的網頁應用程式，也能夠利用Badging API顯示計數。</p> <p><a href="https://webkit.org/blog/13966/webkit-features-in-safari-16-4/">Safari 16.4</a>加入新的CSS屬性、值、語法和虛擬類別（Pseudo-Classes），諸如能夠消除與容器鄰近元素邊距的Margin Trim，還支援新的排版功能，包含行高和根行高屬性，讓開發者可以依據行高，來設置段落上方和下方的邊距。同時，還支援字體大小調整，供開發者在不同字體間，保持文字的外觀大小和可讀性。</p> <p>在顏色方面，Safari 16.4新支援相對顏色語法（Relative Color Syntax），官方提到，相對顏色語法功能強大，供開發者以更動態的方式指定顏色值。利用相對顏色語法，開發者能夠計算顏色，像是在HSL顏色空間計算半透明顏色，或是運用數學公式計算LCH顏色空間中的顏色表現。相對顏色語法還是非常新的語法，CSS工作組剛完成，Apple就在Safari 16.4中加入，因此目前尚未在MDN或是Can I Use about Relative Color Syntax網站有資料。</p> <p>Safari 16.4還支援多個的Web API，重要的API有畫面外畫布（Offscreen Canvas），這個API讓開發者可以使用一個在螢幕之外，尚未被渲染的畫布。透過將DOM和Canvas API分離，<canvas>元素不相依於DOM，渲染的工作也就可以根據需求調度，讓開發者可以在單獨的執行緒上執行任務，避免在主執行緒執行繁重的工作影響用戶體驗。官方表示，結合獨立DOM操作和主要執行緒渲染，能夠使低功耗的裝置提供良好的用戶體驗。</p> <p>現在開發者也能利用Safari 16.4的全螢幕API，使DOM元素內容以全螢幕的方式呈現。用戶可以透過各種方法退出全螢幕模式，包括按下鍵盤Esc鍵，或是在觸控螢幕執行下滑手勢。而網頁應用程式現在可以利用Screen Wake Lock API，防止裝置螢幕變暗或是螢幕鎖定，這樣一來，像是食譜網站就能讓用戶在烹飪時查看食譜，或是持續展示QR Code。</p> <p>使用者活躍API（User Activation API）則可以讓網頁開發者確認，使用者是否正在網頁上執行有意義的互動，官方表示，諸如點按等需要由使用者啟動的API，開發者便可以利用此API先進行檢查使用者的操作狀態。Safari 16.4還加入了壓縮串流API，瀏覽器現在可以直接壓縮和解壓縮資料串流。這樣將減少對第三方JavaScript壓縮函式庫的依賴，讓開發者更方便地將gzip資料串流到伺服器或是儲存在使用者裝置上。</p> </div></div></div>
2023/3/28 16:36作者李建興https://www.ithome.com.tw/news/156174
臺灣AI卓越中心成立，瞄準技術、人才和AI治理3方向要讓臺灣成為國際AI重鎮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在國科會的助力下，臺灣AI卓越中心（AICoE）今日（3/28）正式成立，瞄準科研技術、人才培育、AI治理3大方向，來發展臺灣AI行動計畫第二期之外，也要整合軟硬體研發與產業資源、推動跨國合作、人才培育，以及發展符合國際趨勢的AI治理規範，來提高臺灣AI國力，讓臺灣成為國際AI重鎮。</p> <p><span style="font-size:24px;"><strong>去年下半年開始準備，跟進第2期臺灣AI行動計畫發展</strong></span></p> <p>行政院政委暨國科會主委吳政忠是該中心的一大推手，他表示，2017年是臺灣AI元年，行政院在該年開始規畫為期4年的臺灣AI行動計畫，並在2018年執行，要實現AI產業化、產業AI化。第1期計畫鎖定AI技術研發、法規制定與人才培育，當時不只有國科會的業界出題、學界解題AI計畫，來媒合產學技術應用，也整合了IC技術廠商，成立AI on Chip聯盟。那時，政府也在臺灣4所頂尖大學設置AI中心，來發展技術研究，同時在臺灣人工智慧學校的輔助下，也培育出近1萬名企業AI人才。</p> <p>去年下半年，臺灣AI行動計畫第二期展開，在前期基礎上，進一步納入AI治理。吳政忠強調，AI治理很重要，因為它是AI走進人類生活後，必須面對的課題。特別是，去年底ChatGPT出現，快速將AI帶入大眾生活，「這是眾人始料未及的，」而有明確的AI治理、倫理規範，就能讓社會更容易接納和使用這些AI工具。與此同時，為了讓臺灣具備國際級的AI國力和影響力，他認為，臺灣得有一個平臺來整合各方資源，如上中下游產業資源與產官學研界人力，集中力量才能發揮強項。於是，國科會在2022年下半年，也積極籌備臺灣AI卓越中心，要在第一期計畫基礎上，遵循以人為本、永續發展和多元包容等3大國際趨勢，來進一步發展可信任AI。</p> <p><span style="font-size:24px;"><strong>AICoE鎖定科研、人才、AI治理，要提高國際影響力</strong></span></p> <p>臺灣AI卓越中心總召集人蔡志宏盤點，在過去4年努力下，臺灣在人才、基礎設施、運作環境、研究等領域有具體進展，比如打造出當年算力排名全球第20的臺灣杉2號超級電腦，且政府維運的臺灣AI雲平臺還服務了200多家企業，在人才部分，政府每年培育出2.5萬名AI人才，民間則是5萬多名人才。不僅如此，就AI三元素之一的資料來說，臺灣也產出了高品質資料集，如繁體中文語料庫（由中研院收集1,755萬字、國教院收集4億字左右）、民生公共物聯網開放資料、AI醫療影像標註資料庫、國網中心資料集平臺等。在技術部分，甚至催生出世界第一物件偵測模型YOLOv4，其全球論文引用次數還媲美GPT-3。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AICoE%E7%9B%A4%E9%BB%9E.jpg" /></p> <p>在這些基礎上，臺灣AI卓越中心成立，要聚焦國內優勢產業的AI核心能力，來提高臺灣在全球的AI發展地位。這個中心鎖定科研技術、人才和AI治理領域；在科研部分，中心要透過國際合作，來強化AI軟硬體新興技術發展，在人才部分，則要藉國際交流和培育策略，讓臺灣成為亞太AI人才樞紐。至於AI治理，則要落實以人為本的AI倫理與法制。</p> <p>蔡志宏進一步解釋臺灣AI卓越中心的3大推動方針，包括由上而下引導國際合作、建立跨部會共同平臺，以及多元介接專業社群。具體怎麼做呢？從科研角度來說，中心將建置跨國的科研合作平臺、爭取國際頂尖會議主辦權，在人才部分，則要延攬國際知名大師開課，目前已號召近400位學者、4,300名碩博士生。至於治理，則要與價值觀相近的國家建立可信賴AI夥伴關係，像是GPAI、AI Connect等這類國際可信任AI計畫。</p> <p>臺灣AI卓越中心期望跨部會合作，打通上中游技術研發與下游應用、促進技術落地外，也要成為國際AI對外單一窗口，來推動戰略性國際合作，同時介接新AI趨勢，即時佈局技術應用，發揮臺灣在技術、人才和治理的影響力。</p> <p><span style="font-size:24px;"><strong>業界6大建議：建置AI驗證機制、發展API介面與AI雲端服務</strong></span></p> <p>與此同時，中華民國資訊軟體協會理事長沈柏延也對政府的AI策略提出6大建議，首先是建立以人為本的治理機制，基於完整性、可解釋性、公平性和彈性等4大原則，來發展可信任AI的驗證機制，並推動與國際介接的AI規範與標準，來讓臺灣研發的AI產品，可合規輸出國外。</p> <p>第二是規範API應用的介面發展。他指出，隨著AI應用普及，各種AI工具的開發勢必得朝生態系方向發展，而透過API共創模式，促進開發者彼此合作，就能快速形成AI服務生態系。第三是協助產業推出AI雲端服務，來快速打進國際市場。</p> <p>另一個建議是推動多元領域AI應用，也就是「AI+N」，讓AI成為產業創新的必要工具。而且，沈柏延認為，政府重點發展的領域AI，可借助臺灣眾多的資訊服務業者，推廣到不同企業，提高使用成效。第5個建議是軟硬體整合，將晶片、IoT和AI技術整合，來發展智慧化產品、強化AIoT的發展應用，提高國家競爭力。</p> <p>最後一個建議是培育AI人才，並且要因應AI多元化發展，來培養跨領域人才、促進跨國交流，這才是「保持臺灣國家競爭力的不二法門，」沈柏延說。</p> </div></div></div>
2023/3/28 13:30作者王若樸https://www.ithome.com.tw/news/156163
美國CFTC控告幣安與趙長鵬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cftc.gov/PressRoom/PressReleases/8680-23" target="_blank">美國商品期貨交易委員會（Commodity Futures Trading Commission，CFTC）周一（3/27）向美國法院指控</a>，趙長鵬與其所創辦的幣安（Binance）平臺違反美國《商品交易法》（Commodity Exchange Act，CEA）與CFTC規定。也指控幣安的前法遵長Samuel Lim協助及教唆幣安違法，要求沒收相關非法所得，永久禁止其註冊與交易，且不得再違反CEA及CFTC的規定。</p> <p>CFTC於訴狀中指出，自2019年7月迄今，幣安向美國民眾提供與執行衍生品交易，且幣安的法遵計畫一直是無效的，在趙長鵬的指導下，幣安指示其員工與客戶繞過法規的控制，以實現企業的最大化獲利。</p> <p>CFTC舉例，在這段期間的大多數時候，幣安並未要求客戶於該平臺交易前，提供任何的身分認證資訊，但擔任期貨商角色的幣安，有著蒐集這類資訊的義務，因為這是用來防止與偵測恐怖主義融資及洗錢的基本法遵程序。</p> <p>就算在幣安宣稱限制美國客戶於該平臺進行交易之後，依舊針對具商業價值的美國VIP客戶提供繞過法遵控制的最佳方法，且為了避免留下紀錄，幣安還指示員工藉由可自動刪除通訊內容的程式，來與美國客戶交流。</p> <p><a href="https://www.cnbc.com/2023/03/23/binance-employees-volunteers-tell-users-how-to-evade-china-crypto-ban.html" target="_blank">《CNBC》上周報導</a>，幣安透過Discord與Telegram與全球逾22萬名使用者交流，並在這兩個頻道中分享了如何繞過幣安法遵控制的方法。而這些方法則可用來隱藏使用者的國籍，以讓不應於幣安上交易的國家民眾依然可使用幣安。</p> <p>總之，CFTC指控幣安不僅建置了可規避註冊要求的機制，還指導使用者如何規避幣安的法遵控制，更指示員工利用可自動銷毀通訊證據的程式與使用者交流。</p> <p>CFTC表示，該委員會將動用所有權力，來發現及制止高風險數位資產市場中的不當行為，幣安涉嫌故意逃避美國法令，顯示該平臺的法規遵循努力是虛假的，且一次次地故意將利潤置於法律之上，CFTC及執法部門將持續追查那些蔑視與試圖規避監控要求的數位平臺與個人。</p> <p> </p> </div></div></div>
2023/3/28 14:19作者陳曉莉https://www.ithome.com.tw/news/156167
Meta推出直覺式VR手控功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周公布直覺式VR手部控制技術Direct Touch，可讓Meta Quest VR 2、Pro裝置用戶以手自然動作就能控制滑鼠或「滑」虛擬手機、平板等物件。</p> <p>Direct Touch是Meta Quest v50軟體中的一項新功能。<a href="https://www.meta.com/blog/quest/meta-quest-v50-direct-touch-in-game-multitasking/" target="_blank">v50 2月底起公布</a>並漸次部署給Quest 2/Pro裝置。Meta執行長祖克柏（Mark Zuckerberg）<a href="https://www.instagram.com/zuck/?utm_source=ig_embed&ig_rid=0743c8bd-b472-4f36-8bf6-9a85146c6a8e" target="_blank">透過Instagram公布</a>隨同Quest v50軟體部署的Direct Touch，讓使用者以更自然手勢動作和VR及混合實境（MR）互動。</p> <p><img alt="" src="https://scontent.ftpe8-4.fna.fbcdn.net/v/t39.2365-6/10000000_913641606722452_1620954341757316841_n.gif?_nc_cat=102&ccb=1-7&_nc_sid=a0c836&_nc_ohc=UkEGqDJjLOgAX81DTXD&_nc_ht=scontent.ftpe8-4.fna&oh=00_AfC78_GEgBBwqczZUn0PafDB9lfSjODZX7LeFh4I_RwpTA&oe=64280FA1" style="width: 450px;" /></p> <p><a href="https://twitter.com/Meta/status/1628124813717012482" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-use%20Fingers%20to%20Swipe%20Through%20the%20VR%20Interface%20on%20Meta%20Quest-2.jpg" style="width: 442px;" /></a></p> <p>透過Direct Touch，使用者可以像真實世界一樣，「滑」手機或平板觸控螢幕、操控虛擬滑鼠，或是直接在虛擬鍵盤上打字、打電玩。Direct Touch允許用戶以自然手勢控制虛擬物件，不再需要控制器，也不需記憶各種難記的控制手勢。<a href="https://www.theverge.com/2023/3/24/23653554/meta-quest-direct-touch-hand-tracking-v50-vr-interaction-future" target="_blank">《The Verge》測試</a>的心得是滑動網頁頗靈敏，但仍無法有效辨識按鍵動作而造成打錯字。</p> <p>Quest v50其他主要功能更新包括為Quest 2裝置加入2D App多工作業，以及改善Ques Pro控制器喚醒及配對速度等。</p> </div></div></div>
2023/3/28 10:55作者林妍溱https://www.ithome.com.tw/news/156157
蘋果收購AI壓縮影像技術新創業者WaveOne
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果近日悄悄收購開發AI影像壓縮演算法的新創公司WaveOne。</p> <p><a href="https://www.linkedin.com/posts/bob-stankosh-2736794_after-almost-2-years-at-waveone-last-week-activity-7028343745553014785-hFq_/?originalSubdomain=sk" target="_blank">WaveOne高層2月間證實蘋果確定收購公司</a>。該公司表示，蘋果看到他們機器學習／深度學習影像壓縮技術的潛力，進而將之加入其技術陣容。</p> <p>WaveOne 2016年創立於舊金山，由Lubomir Bourdev及Oren Rippel分別擔任執行長及技術長，公司僅5人。WaveOne技術核心在將AI技術整合進影像壓縮演算法中。現有影像解碼／編碼演算法如H.265在處理影像時，無法分別重要（如人臉）或不重要（背景中的樹）的部分。WaveOne則將電腦視覺的臉部及場景辨識能力加入壓縮／解壓縮演算法，使其將影像壓縮到一半，而在解壓縮時，可針對重要細節做額外處理而提供更高畫質。WaveOne演算法並具備內容感知能力，因而做不同處理，例如處理一般影片時，重點放在人的臉部，但處理遊戲時則更優先處理細節。</p> <p>此外，WaveOne演算法也較傳統影像編碼技術更不受頻寬問題干擾，因其機器學習技術可預測頻寬流量而及早處理，因而在串流時會降低畫質，但不會出現影像卡頓情形。</p> <p>WaveOne的編碼演算法需要在支援機器學習的硬體上執行。拜晶片技術進展之賜，愈來愈多新式電腦及手機的處理器具備AI加速器，因而能在消費者個人裝置上執行機器學習影像壓縮／解壓縮。</p> <p>不過一如過去大部分收購，蘋果並未對此評論。本收購案金額不詳。</p> </div></div></div>
2023/3/28 11:01作者林妍溱https://www.ithome.com.tw/news/156158
推特要求GitHub撤下遭公布的網站原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特（Twitter）近日要求GitHub撤下遭不明人士公布的原始程式碼，並追查洩露者身分。</p> <p>推特上周五向GitHub寄發侵權通知，要求撤下一個包含平臺程式碼的儲存庫。<a href="https://github.com/github/dmca/blob/master/2023/03/2023-03-24-twitter.md" target="_blank">根據GitHub的數位千禧年法案（DCMA）撤文通知</a>，這個儲存庫是一個「推特平臺和內部工具的私有原始碼」。</p> <p>當中列出的儲存庫URL已不開放存取，用戶點入看到GitHub說明啟示，並告知儲存庫持有人若他們相信關閉存取是錯誤或誤會，有權可向法院抗告並申請重新開放。</p> <p>不確定這個儲存庫在被撤下前公布了多久，其中包含的程式碼有多少、關鍵程度也不得而知。正當推特大幅裁減維護人力之際，紐約時報引述，一名推特主管擔憂這次程式碼外洩可能增加未來平臺被駭，或用戶資料被竊的風險。2月初才發生平臺貼文及私訊功能斷線問題的推特，恐怕無力再確保平臺免於更複雜的駭客攻擊。</p> <p>除了要求撤下這個儲存庫，推特也要求GitHub保留任何上傳、下載和存取這個儲存庫的紀錄，以及聯絡資訊、IP位址或其他連線，或是和這個儲存庫相關的log，再全部從GitHub移除侵權內容。</p> <p>推特似乎還不知道洩露者的身分。<a href="https://www.nytimes.com/2023/03/26/technology/twitter-source-code-leak.html" target="_blank">不過紐約時報報導</a>，推特相信可能是懷恨在心的離職員工所為。</p> <p>這類人可能很多。自去年10月馬斯克（Elon Musk）入主推特後，就裁減超過75%的員工。<a href="https://www.cnbc.com/2023/01/20/twitter-is-down-to-fewer-than-550-full-time-engineers.html" target="_blank">CNBC報導</a>，推特原本7,500名員工，到今年1月僅剩1,300人，其中只有550名正職工程師。許多人已在這幾波瘦身中自願被裁。</p> </div></div></div>
2023/3/28 11:18作者林妍溱https://www.ithome.com.tw/news/156159
Arduino將在5月開賣新開發板UNO R4，運算能力、記憶體容量都較前一代數倍提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Arduino發布新的開發板型號<a href="https://blog.arduino.cc/2023/03/25/arduino-uno-r4/">UNO R4</a>，UNO R4與之前的UNO系列，無論是在外型、擴充板相容性和電壓等規格都保持一致，Arduino UNO R3採用8位元的微控制器，而UNO R4則是採用32位元的Arm Cortex-M4，無論是在微控制器運算能力、記憶體和快閃容量，UNO R4都大幅提升數倍。</p> <p>UNO R4採用48MHz的Renesas RA4M1（Arm Cortex-M4），微控制器時脈頻率是UNO R3的3倍，SRAM從2kB增加至32kB，而快閃則從32kB增加到256kB，運算資源的大幅提升，將使開發者能夠開發更複雜的專案。</p> <p>因應社群的要求，UNO R4的USB介面升級成USB-C，最大供電電壓為24V，還改進了散熱，另外，UNO R4增加CAN排線，供開發者可以在連接不同擴充板時，能夠減少接線並且平行執行不同任務。UNO R4還擁有一個12位元類比DAC。</p> <p>UNO R4將會有UNO R4 WiFi和UNO R4 Minima兩個版本，WiFi版本搭配Espressif S3 WiFi模組，因此開發者能夠開發更多元的創意的應用，而UNO R4 Minima則是更為經濟的低價版本。</p> <p>雖然UNO R4基本上相容於UNO R3，熱門的Arduino函式庫也都可以直接用在UNO R4上，但是有一些函式庫和用例，針對UNO R3的AVR架構最佳化，這些程式碼將會需要移植。官方也強調，UNO R3依然繼續販售且受到支援，以供應需要8位元AVR微控制器的應用開發。</p> </div></div></div>
2023/3/28 08:18作者李建興https://www.ithome.com.tw/news/156152
Docker政策大轉彎決定不取消Free Team計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker取消Free Team計畫的政策引起了巨大爭議，雖然經進一步說明，但是仍平息不了社群的怒氣，<a href="https://www.docker.com/blog/no-longer-sunsetting-the-free-team-plan/">官方在聽取社群的意見後，決定不取消Free Team計畫</a>，該計畫用戶將不需要採取任何行動，在3月14日之後從Free Team計畫升級為付費方案的用戶，將會自動獲得全額退款，並且免費使用訂閱。</p> <p>Docker在3月中發信給Free Team層級使用者，要求他們在一個月內付費，否則將會刪掉帳戶裡的資料，在用戶的回應中，官方意識到他們的溝通方法錯誤，因此又更詳細說明該項政策，但是顯然這些說明仍不足說服社群。</p> <p>在官方上一篇道歉文章中，他們表示不會刪除Free Team層級帳戶的公開映像檔，並且請開源專案轉向使用新的DSOS（Docker-Sponsored Open Source）開源贊助計畫。但這篇道歉文章依然<a href="https://github.com/docker/hub-feedback/issues/2314">被強烈批評</a>，不少社群成員認為不刪除公開映像檔，也解決不了問題，反而會造成更多安全問題，因為這些舊的Docker映像檔可能存在安全漏洞，當Docker沒有通知相依這些映像檔的使用者，映像檔不再更新，可能會讓使這些用戶身陷安全威脅。</p> <p>此外，部分開源專案維護者也反應，他們申請DSOS計畫一段時間都沒有下文，但官方的文章卻鼓勵他們申請開源計畫DSOS，因此對官方言行不一致感到困惑。</p> <p>現在Docker發布最新消息，決定不取消Free Team計畫，希望平息這場風波。Docker承認他們在Free Team計畫的決策不僅溝通失敗，連政策本身都是錯誤的，因此改變政策方向，將繼續提供Free Team計畫。</p> <p>Free Team計畫用戶不需要在4月14日之前付費升級計畫，在3月14日後到最新公告這段時間，才付費訂閱的用戶，在30天內會獲得全額退款，並且免費使用該訂閱，之前請求搬遷到Personal或Pro計畫的用戶，將會保留當前Free Team計畫。官方也承諾，他們會盡快處理DSOS的申請，因此也鼓勵開源專案繼續申請DSOS。</p> </div></div></div>
2023/3/28 08:19作者李建興https://www.ithome.com.tw/news/156153
Flutter持續整合調度應用程式Cocoon達到SLSA Level 3供應鏈安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google已經強化其知名跨平臺UI框架Flutter的軟體供應鏈安全性，進一步使持續整合調度應用程式<a href="https://opensource.googleblog.com/2023/03/flutter-cocoon-achieves-slsa-level-3.html">Cocoon，達到SLSA Level 3供應鏈安全性</a>。<a href="https://www.ithome.com.tw/news/145101">SLSA（Supply chain Levels for Software Artifacts framework）</a>是Google在2021年所推出的軟體供應鏈安全框架，該框架制訂一組安全指引，透過對套件和構件的認證，讓開源軟體使用者有信心所使用的程式未經竄改。</p> <p>Flutter Cocoon應用程式替Flutter基礎設施提供持續整合調度，能夠將多個持續整合服務與GitHub相整合，讓開發者能夠更簡單地使用GitHub開發。Flutter Cocoon在2022年的時候<a href="https://www.ithome.com.tw/news/153478">達到SLSA level 2安全性</a>，意味著Cocoon已經達到SLSA Level 1與SLSA Level 2的安全性。</p> <p><a href="https://slsa.dev/spec/v0.1/levels">SLSA Level 1</a>是最低層級的要求，只包括基本的安全措施，在建構過程必須完全腳本化和自動化，並生成包括建置過程、頂層原始碼和相依項目出處（Provenance）等資訊。SLSA Level 1無法防止篡改，僅有基本的程式碼出處識別，提供有助漏洞管理的機制，而SLSA Level 2則需要使用可生成經身份驗證出處的版本控制和託管建置服務，因此Cocoon在去年就已經擁有防止篡改的能力。</p> <p>現在Cocoon達到SLSA Level 3，則代表出處程式碼和建置平臺都符合標準，可保證出處的可稽核性和出處完整性，稽核人員可以依循SLSA流程，證明平臺符合要求，使專案使用者能夠相信該專案的安全性，而且SLSA Level 3能夠防止包括交叉建置感染等特定類別的威脅，具有比Level 2更高等級的防篡改能力。</p> <p>Google表示，SLSA Level 3的目的是要提高安全性，透過驗證建置出處確保Cocoon原始碼和構件都合格。出處指得是構件建置方法的描述，包括建置所用的機器類型、原始碼位置，以及建置構件所使用的指令等資訊，相比SLSA Level 2僅要求出處，SLSA Level 3更要求出處必須經驗證合格。</p> <p>Cocoon使用了SLSA Verifier工具來驗證出處，所有Cocoon建置只有在具有合格出處的時候才會被接受，而出處必須證明構件是在Cloud Build執行個體上建置，且原始碼來自GitHub上的Cocoon儲存庫，Google提到，這些限制確保Cocoon構件安全且可靠。</p> <p>除了持續提高Cocoon的SLSA Level之外，Google也在努力提高更複雜的專案，諸如Flutter和引擎的SLSA Level，官方提到，由於這些專案要提升SLSA Level，需要徹底改造構件生成過程，並且強化發布工作流程以符合安全規範，因此還有很多挑戰需要克服。</p> </div></div></div>
2023/3/28 08:16作者李建興https://www.ithome.com.tw/news/156151
【資安日報】3月27日，SharePoint遭到濫用，駭客藉此引誘使用者下載惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了規避網路流量的偵測，駭客濫用免費的雲端檔案共用服務OneDrive、Google Drive、Dropbox等，可說是相當常見。但有不少企業在內部網路或Office 365公有雲架設協同作業網站入口SharePoint，方便員工能共用檔案，使得有些駭客也看上這點，透過此種共用系統讓使用者降低戒心，再利用檔案裡的URL，將他們引導至釣魚網站而達成目的。</p> <p>除了上述濫用SharePoint攻擊行動，駭客使用免費雲端檔案共用服務的手法也出現變化。例如，中國駭客組織Mustang Panda特意將上傳至Google Drive的檔案，以使用密碼保護的壓縮檔打包，藉此讓這些惡意軟體逃過Google的檢測機制。</p> <p>但在駭客散布惡意軟體的事故之餘，國內發生了使用Deep Fake照片向多所大學教授進行勒索的情況，雖然駭客使用簡體中文和中國用語，但教授很可能為了息事寧人，選擇付錢了事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.kaspersky.com/blog/sharepoint-notification-scam/47593/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假冒企業SharePoint檔案共用通知郵件，對攻擊目標所屬的員工進行網路釣魚</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/sharepoint-notification-scam-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sharepoint-notification-scam-site.jpg" style="width: 300px; float: right;" /></a>不少企業採用微軟SharePoint讓員工能共用文件檔案，但有駭客看上這點來發動網路釣魚攻擊。資安業者卡巴斯基揭露濫用SharePoint的攻擊行動，駭客寄送SharePoint檔案共用的通知郵件，表示要分享OneNote筆記檔案，一旦收信人依照指示點選，就會存取SharePoint伺服器上的OneNote檔案，但該檔案內容卻是另一個PDF文件的「檔案共用」，若是點選連結就會被帶往偽冒OneDrive的釣魚網站，而有可能導致Yahoo!、AOL、微軟帳號資料被騙走。</p> <p>研究人員指出，攻擊者發動相關攻擊之前的準備工作，就是取得可存取SharePoint伺服器的權限，之後再上傳檔案並開放共用的連結。由於這種檔案共享的通知信來自SharePoint服務，使得大部分的網路安全系統都會放行。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/c/earth-preta-updated-stealthy-strategies.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Mustang Panda利用以密碼保護的文件檔案來規避防毒軟體偵測</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Earth-Preta2-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Earth-Preta2-3.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露中國駭客組織Mustang Panda（亦稱Earth Preta）近期的攻擊行動，自2022年10月、11月，攻擊者調整他們的戰術、技巧，以及流程（TTP），透過釣魚郵件及Google Drive雲端硬碟，散布名為Toneins、Toneshell、Pubload等惡意軟體。</p> <p>值得留意的是，為了迴避資安系統的偵測，駭客不只將含有惡意軟體的壓縮檔存放於Google Drive，還將壓縮檔加上密碼，而能夠逃過郵件安全系統、上網安全閘道等系統的檢查（為了不影響使用者下載這些網路內容的體驗，多數線上過濾機制被設定為遇到有密碼的壓縮檔，就略過不檢查，於是有了可乘之機）。</p> <p><a href="https://www.sentinelone.com/labs/operation-tainted-love-chinese-apts-target-telcos-in-new-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客的攻擊行動Operation Soft Cell鎖定中東電信業者而來</span></strong></a></p> <p>資安業者SentinelOne與QGroup聯手，揭露中國駭客組織的攻擊行動Operation Soft Cell近期發展，主要目標是中東的電信業者。駭客先是針對目標組織可對外連接網際網路的Exchange伺服器下手，部署Web Shell，進而進行偵察、收集帳密資料、橫向移動、竊取機密檔案。</p> <p>駭客以Mimikatz 為基礎、開發出竊取帳密程式名為mim221，藉此在受害組織內部環境橫行，此惡意具備多種反偵測能力，例如：映射惡意映像於記憶體內來迴避EDR的API掛鉤機制，以及以檔案為基礎的偵測系統；停用事件記錄（Event Log）處理程序、利用Windows內建功能從LSASS處理程序竊取帳密資料等。</p> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/shining-light-on-dark-power.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Dark Power一個月內攻陷10個組織</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/shining-light-on-dark-power-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/shining-light-on-dark-power-4.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix揭露以Nim程式語言打造的勒索軟體Dark Power，2月底他們發現此勒索軟體的攻擊行動，過了半個月左右的時間之後，就出現10個受害組織。</p> <p>而對於此勒索軟體的攻擊目標，駭客似乎沒有特定的對象──受害組織遍及阿爾及利亞、捷克、埃及、法國、以色列、秘魯、土耳其、美國，而這些組織也隸屬不同的領域：包含農業、教育、醫療照護、IT、製造業。研究人員認為，駭客採用Nim程式語言開發勒索軟體的原因在於，該程式語言易於使用，且能跨平臺開發。</p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/blackguard-stealer-extends-its-capabilities-in-new-variant"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體BlackGuard針對剪貼簿、瀏覽器擴充套件下手，盜取加密貨幣</span></strong></a></p> <p>電信業者AT&T旗下的資安研究團隊揭露竊資軟體BlackGuard近期的攻擊行動，此惡意程式加入可挾持電腦剪貼簿的功能，進而將使用者複製的加密錢包網址置換，導致數位資產被轉入駭客的錢包；此外，該惡意軟體也針對57種瀏覽器的加密貨幣擴充套件下手。</p> <p>另一方面，該惡意軟體現在也具備擴充能力，能從C2下載額外的惡意程式，並透過處理程序挖空（Process Hollowing）手法於記憶體內執行。同時，它也納入蠕蟲的功能，可透過USB隨身碟等外接式儲存裝置，感染其他電腦。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大學教授遭到變臉不雅照勒索，疑中國駭客所為</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/tmu-111-001-20230320.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tmu-111-001-20230320.jpg" style="width: 300px; float: right;" /></a>根據<a href="https://www.cna.com.tw/news/ahel/202303240332.aspx">中央社</a>、<a href="https://news.ltn.com.tw/news/society/paper/1573945">自由時報</a>、<a href="https://udn.com/news/story/7320/7054755">聯合新聞網</a>等國內媒體的報導，臺北醫學大學、成功大學、清華大學等學校的教授近日收到簡體中文勒索信件，駭客疑似透過Deepfake技術，將一名男子在床上摟著全裸女性的照片，與學校網站的教授照片合成進行「換臉」，然後寄到教授的電子信箱。</p> <p>中央社、聯合新聞網指出，駭客使用相同的照片換上不同教授的臉孔，勒索信應來自中國。自由時報指出，估計受害教授恐超過千人。</p> <p>對此，<a href="https://oit.tmu.edu.tw/front/News/news.php?ID=dG11X29pdCZORVdT&Sn=151">臺北醫學大學</a>、<a href="https://cc.ncku.edu.tw/p/404-1213-251567-1.php?Lang=zh-tw">成功大學</a>、清華大學都證實此事。其中，臺北醫學大學表示，已通報內政部警政署165全民防騙網，並逐步將網站上教授的照片加上浮水印。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.zerodayinitiative.com/blog/2023/3/24/pwn2own-vancouver-2023-day"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">漏洞挖掘競賽Pwn2Own Vancouver 2023落幕，參賽者找出27個零時差漏洞、抱走百萬美元獎金</span></strong></a></p> <p>漏洞挖掘競賽Pwn2Own Vancouver 2023於3月22日至24日舉行，結果參賽者從特斯拉電動汽車<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Model 3</span>、VMware Workstation、VirtualBox、Ubuntu、Windows 11、macOS等系統找出27個零時差漏洞，抱走1,035,000美元與1臺特斯拉。其中奪下世界破解大師（Master of Pwn）桂冠的是資安業者Synacktiv，他們總共獲得53分、得到53萬美元獎金，以及1臺特斯拉。</p> <p><a href="https://www.mitiga.io/blog/how-okta-passwords-can-be-compromised-uncovering-a-risk-to-user-data"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">身分驗證及管理系統Okta出現漏洞，恐曝露用戶帳號資料而被濫用</span></strong></a></p> <p>資安業者Mitiga揭露Okta身分驗證及管理系統（IAM）的漏洞，這項漏洞起因是此系統以明文記錄登入的事件內容，例如：使用者名稱、IP位址、登入時間等，再加上該系統用戶很可能不慎會在使用者帳號欄位輸入密碼，而在第二次登入的時候才在對應的欄位填寫正確資料，才成功通過身分驗證，而在上述事件記錄檔案留下帳號及密碼。</p> <p>這樣的情況讓攻擊者有機可趁，藉由設法存取這類明文資料，來嘗試通過上述的單一簽入（SSO）身分驗證流程，進而入侵企業各式的應用系統。對此，Okta證實該系統的確會留存明文的稽核記錄，並認為「使用者不慎在使用者名稱欄位輸入密碼是可預期的行為」，但也強調，這類事件記錄僅有管理者才能存取。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://blog.blacklanternsecurity.com/p/introducing-badsecrets"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Black Lantern提供開源工具Badsecrets，可偵測網頁應用程式框架曝露的帳密資料</span></strong></a></p> <p>網頁應用程式框架由於本身囊括多種軟體元件，而這些元件都有可能潛藏漏洞與不安全組態，一旦安裝使用，有可能增加被入侵的風險，因應這方面的需求，資安業者Black Lantern發布Python套件Badsecrets，能在網頁應用程式的框架裡，找出已知弱點或是弱密碼。</p> <p>此套件目前支援ASPNET_Viewstate、Telerik_HashKey、Flask_SignedCookies、Rails_SecretKeyBase等10個模組，能掃描ASP.NET機器金鑰、Telerik UI金鑰、Flask的cookie簽章密碼、Ruby on Rails簽章或加密的連線階段cookie等。Black Lantern表示，他們希望藉由Badsecrets，促成社群開發更多模組，而能夠檢查其他網頁應用程式框架是否也存在弱點。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://protectai.com/blog/hacking-ai-system-takeover-exploit-in-mlflow"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AI測試框架MLflow出現漏洞，恐導致資料外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/emotet-malware-distributed-as-fake-w-9-tax-forms-from-the-irs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Emotet針對美國報稅季而來</span></span></strong></a></p> <p><a href="https://www.intezer.com/blog/research/phishing-campaign-targets-nuclear-energy-industry/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國核能產業遭駭客組織Bitter鎖定，散布惡意程式</span></span></strong></a></p> <p><a href="https://www.continuitysoftware.com/pressreleases/state-of-storage-security-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">企業儲存設備平均存在14個漏洞，而成為駭客覬覦的目標</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/03/23/cinoshi-project-and-the-dark-side-of-free-maas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客以服務型式提供惡意程式Cinoshi多種攻擊模組</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156124"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟修補可回復原始圖片的臭蟲Acropalypse</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156119">【3月25日】 GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156109">【3月24日】逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156071">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</a></strong></p> </div></div></div>
2023/3/27 16:38作者周峻佑https://www.ithome.com.tw/news/156142
OpenAI解釋開源函式庫redis-py存在臭蟲，導致ChatGPT服務故障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT在3月20日發生故障，有機會讓用戶看到別人的對話標題，同時OpenAI系統還傳送訂閱確認電子郵件給錯誤的用戶，<a href="https://openai.com/blog/march-20-chatgpt-outage">官方解釋</a>，這些問題來自於Redis用戶端開源函式庫redis-py的臭蟲，目前所有相關錯誤都已修復。</p> <p>在錯誤發生期間，部分用戶會看到另一個活躍用戶的對話紀錄標題，而當兩個用戶皆處在活躍狀態，則新對話的第一條訊息，也可能會出現在另一人的聊天記錄中。ChatGPT的故障不只如此，少數新訂閱者的付款資料和個資，也會意外地透過電子郵件洩漏，用戶可能收到另一個ChatGPT Plus訂戶的訂閱確認信件，內容包含姓名、電子郵件信箱、付款地址、信用卡號碼後4碼還有信用卡到期日期。</p> <p>在OpenAI發現這個錯誤來自於Redis客戶端開源函式庫redis-py，便緊急連絡Redis維護者，還提供了修補程式碼，迅速解決這個問題。</p> <p>ChatGPT使用Redis快取用戶的資訊，讓系統不需要為每一個請求都存取一次資料庫，OpenAI透過Redis Cluster將這項負載分散到Redis執行個體，在OpenAI的Python伺服器中，使用了redis-py函式庫操作Redis，而Python伺服器則是採用Asyncio非同步I/O框架，藉以提高Python伺服器在處理大量請求時的效能。</p> <p>Redis-py函式庫在Python伺服器和Redis叢集間維護了一個共享連接池，會在完成請求之後回收連接，以用於處理下一個請求。而錯誤發生在於Asyncio、redis-py的請求與回應處理時，請求和回應分別存放於兩個佇列，呼叫者會將請求推送到傳入佇列（Incoming Queue）中，請求經過處理之後，輸出至傳出佇列（Outgoing Queue），回應由傳出佇列彈出，而連接被釋出回連接池。</p> <p>不過，當請求被推送到傳入佇列，但是在回應從傳出佇列彈出之前就被取消的話，便會出現錯誤，因為連接被破壞，不相關的回應便接收了遺留在連接中的不相關的請求資料。但之所以之前這個臭蟲沒有被發現，是因為在大多數情況，這可能出現不可恢復的伺服器錯誤，因此用戶只好重新請求，而且在部分時候，壞掉的資料剛好跟使用者請求的資料類型相符，因此從快取回傳的資料也就看起來沒什麼問題，但其實該回應來自於另一個用戶。</p> <p>OpenAI在3月20日的時候因為調整伺服器，意外的使Redis請求取消數暴增，使得每一個連接都有機會發生錯誤，所以也就讓Redis-py函式庫的臭蟲浮上臺面。這個錯誤僅發生在Redis Cluster的Asyncio redis-py客戶端，而目前這個問題已經修復。</p> <p>測試修復程式碼經官方廣泛測試，確保問題不會再發生，OpenAI也添加額外的檢查，確保Redis快取回傳的資料與請求用戶相符，並且透過比對多重資料，找出受影響的用戶，提供必要的協助，OpenAI也擴大了Redis叢集規模以及強健性，減少在極端負載時出現錯誤連接的可能性。</p> </div></div></div>
2023/3/27 16:05作者李建興https://www.ithome.com.tw/news/156137
傳微軟將禁止AI對手使用Bing搜尋資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2023-03-25/microsoft-threatens-to-restrict-bing-data-from-rival-ai-search-tools?sref=ExbtjcSG" target="_blank">媒體報導</a>，微軟近日要求同樣推出AI聊天機器人的業者不得使用Bing搜尋到的資料。</p> <p>《彭博》引述消息人士報導，有二家使用Bing為引擎的搜尋服務業者接到微軟通知，他們的AI聊天機器人使用Bing搜尋索引即時搜尋網際網路資訊。微軟要求他們停止此類行為，否則將停止授權Bing給這些業者。</p> <p>是哪二家業者接到通知不得而知。和微軟有Bing授權的搜尋服務業者包括DuckDuckGo、Yahoo、Neeva和AI搜尋引擎業者You.com。為了節省資源及時間，這些業者是整合Bing和自己的搜尋引擎提供搜尋結果。</p> <p><a href="https://www.ithome.com.tw/news/155855" target="_blank">DuckDuckGo.com</a>及You.com都已推出AI聊天機器人介面的搜尋介面。DuckDuckGo.com的服務是名為DuckAssist的擴充功能，用戶在DuckAssist的搜尋框輸入詢問，若維基百科能夠回答，這項服務便會依據維基百科的內容生成摘要。You.com的AI聊天機器人名為YouChat，會根據網路資訊提供摘要。<a href="https://neeva.com/blog/introducing-neevaai" target="_blank">Neeva也有類似的NeevaAI</a>，目前僅在美國推出，但計畫未來會再推向其他市場。</p> <p>微軟對《彭博》表示，微軟持續和違反其政策的合作夥伴直接溝通，也提供能解決歧見的必要資訊。</p> <p>微軟若真的禁止對手使用Bing的搜尋結果於其AI聊天機器人也不令人意外。援引OpenAI的ChatGPT之模型強化Bing及Edge瀏覽器，希望藉此改變Google獨霸搜尋與瀏覽器市場的局面。<a href="https://gs.statcounter.com/search-engine-market-share" target="_blank">根據市調公司的資料</a>，截至今年2月，Google和Bing市占率各為93.37%及2.81%。</p> </div></div></div>
2023/3/27 10:19作者林妍溱https://www.ithome.com.tw/news/156127
【資安週報】2023年3月20日到3月25日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周的漏洞消息中，主要焦點包括：微軟針對去年11月可繞過BitLocker的WinRE元件漏洞，新提供簡化的緩解措施，以及思科網路設備與Netgear有新的漏洞修補釋出，值得注意的是，近兩年美國CISA每週均發布多個ICS漏洞通告（ICS Advisory），本週有13則，呼籲企業修補包括台達電、西門子、ABB、Rockwell等廠商ICS設備的漏洞。</p> <p>在攻擊活動與威脅方面，國內主要焦點是：有中國駭客針對國內金融機構持續發動釣魚郵件攻擊的揭露，其意圖是散布並濫用Cobalt Strike以入侵，國際間，有北韓駭客利用釣魚郵件散布惡意擴充套件以竊取Gmail信件的事件，受到德國BfV與南韓NIS聯手警告；以及俄羅斯駭客組織攻擊歐洲政府機關的新活動被揭露，其手法是架設假冒波蘭、義大利、烏克蘭政府與電信特定機構並帶有惡意軟體的網站，並以釣魚郵件引誘上當。其他重要威脅消息包括，有駭客正濫用Adobe Acrobat Sign以散布竊資軟體RedLine，以及中國與俄羅斯駭客正使用Silkloader惡意軟體的揭露。</p> <p>而威脅態勢的揭露方面，Android木馬FakeCalls偽冒20多種金融機構名義App並發動語音網釣，目前正針對韓國民眾攻擊，影響層面廣泛，需特別注意。特別的是，在CatB勒索軟體方面，近期發現會針對瀏覽器與郵件軟體去竊取機密，突顯近年惡意軟體朝多功能發展。另外，還有兩個針對伺服器的攻擊活動要留意，包括殭屍網路HinataBot會鎖定未知Hadoop YARN伺服器漏洞，以及出現大規模入侵網站植入惡意JavaScript的情形。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156006"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月20日】政府全民普發6千元在即，傳出有詐騙集團架設冒牌網站行騙</span></strong></a></h3> <p>臺灣政府2022年稅收超徵4,500億元，行政院宣布2023年將提撥1,400億元，當中將對全國民眾普發6千元現金。消息一出，駭客也開始架設假網站來行騙。3月中財政部宣布將在22日開放登記，但也出現新的假網站，民眾要提高警覺。</p> <p>使用者透過推特的文章，向企業客服反映問題的做法也相當常見，但有駭客也趁機亂入，假借客服名義要使用者撥打詐騙電話。資安新聞網站Bleeping Computer揭露這種類型的攻擊手法，這些駭客專門鎖定那些標記為印度大型銀行的推文下手。</p> <p>除了上述針對國內外民眾的詐騙攻擊行動，鎖定企業與商業領域的事故氾濫也值得我們留意──有資安業者揭露商業郵件詐騙（BEC）大幅增加的現象，並指出相關攻擊的事件數量，2022年首度超越了勒索軟體攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/156024"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</span></strong></a></h3> <p>因地緣政治，臺灣總是成為中國駭客的主要攻擊目標。近日資安業者TeamT5揭露中國駭客自去年底出現的連續網路攻擊，針對金融機構而來。值得留意的是，駭客所發送的信件，主旨與內容在該行業可說是相當常見，使得研究人員認為，就算是與業務相關的郵件也要提高警覺，小心可能有詐。</p> <p>除了國內的網路釣魚郵件攻擊事故，新的勒索軟體攻擊情勢也值得我們關注。例如，勒索軟體CatB以特殊的啟動方式、埋藏勒索訊息的手法，引起資安業者<a href="https://www.ithome.com.tw/news/155054#catb">Minerva</a>、<a href="https://www.ithome.com.tw/news/155635#catb">Fortinet</a>關注，如今資安業者SentinelOne揭露新的調查結果──該勒索軟體也納入了部分竊密軟體的功能。</p> <p>駭客散布惡意軟體的管道，網路釣魚可說是相當常見，但透過搜尋引擎惡意廣告、YouTube頻道的做法也不時有事故傳出。如今，有人結合了惡意廣告和YouTube頻道兩者，導致使用者看到廣告是來自YouTube，而可能大大降低戒心。</p> <h3><a href="https://www.ithome.com.tw/news/156035"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</span></strong></a></h3> <p>鎖定Linux伺服器下手的惡意軟體攻擊近期不斷出現，新崛起的ShellBot殭屍網路病毒也是這類威脅之一，但值得留意的是，駭客之所以入侵這些伺服器，是因為它們的高權限系統管理帳號普遍採用弱密碼，而運用字典攻擊可猜到密碼、奪取系統主導權。</p> <p>雖然針對Linux作業系統的惡意軟體攻擊變多，但攻擊Windows電腦的惡意軟體也同樣不能掉以輕心。例如，名為DotRunpeX的惡意軟體不只用了處理程序挖空手法（Process Hollowing），更罕見地採用了虛擬化元件KoiVM來混淆程式碼。在此之前，只有名為MalVirt的惡意程式載入器採用此種混淆手段。</p> <p>攻擊者廣泛利用零時差漏洞的現象，也令人觸目驚心。有資安業者分析相關攻擊行動，結果發現2022年駭客偏好的零時差漏洞超過50個，最多的還是Windows作業系統漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/156071"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</span></strong></a></h3> <p>南北韓之間的情勢緊張，北韓駭客對南韓使用者發動攻擊時有所聞，最近有一起資安通告與駭客利用惡意瀏覽器擴充套件的攻擊行動有關，但特別的是，這次發出警告的並非僅有南韓主管機關，還有德國憲法保護聯邦辦公室（BfV），原因很可能是相關攻擊會漫延到全球。</p> <p>電商網站的網站交易資料側錄攻擊也出現新的攻擊手法！研究人員看到駭客轉移陣地，將惡意程式碼植入外接的支付系統閘道元件，使得有關攻擊行動將更難察覺。</p> <p>入侵網站的事故，也有可能是散布惡意軟體攻擊行動的一部分。有駭客在拉丁美洲多個國家散布惡意軟體，並攻擊WordPress網站並用於架設C2中繼站、存放惡意程式。</p> <h3><a href="https://www.ithome.com.tw/news/156109"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月24日】逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</span></strong></a></h3> <p>利用惡意程式碼攻擊網站使用者的現象，我們前幾天介紹了從1.7萬個網站竊取帳密資料的金融木馬程式Mispadu，現在出現了規模更大的網站攻擊行動──這次駭客針對5.1萬個網站下手，透過多階段的惡意JavaScript注入與惡意程式碼參入正常程式碼等手法，使得瀏覽受害網站的使用者會被重新導向至惡意網站。</p> <p>除了網站資安事故相當值得留意，假冒廠商貸款名義的商業郵件詐騙（BEC）攻擊行動也同樣要小心，駭客看準了房地產業者會常常經手高額貸款的情況，發送有關的發票、電匯文件資料。研究人員指出，雖然他們成功發現駭客的意圖，但目標組織是否上當仍不得而知。</p> <p>手機、電腦內建的螢幕畫面截取工具竟存在漏洞，讓編輯過後的圖片留下有關資料，而有可能復原！研究人員認為，這樣的漏洞很可能也存在於其他廠牌的手機、電腦作業系統上。</p> <h3><a href="https://www.ithome.com.tw/news/156119"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月25日】GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰</span></strong></a></h3> <p>繼上個月<a href="https://www.ithome.com.tw/news/155321">程式碼儲存庫GitHub察覺應用程式的簽章遭竊</a>，最近再傳資安事故──GitHub網站的部分私鑰不慎公開，該公司已採取緊急應變措施因應。不過，對於金鑰曝光的確切時間，他們沒有進一步說明。</p> <p>社群網站的資料庫沒有採取妥善的防護措施，而造成個資外洩，有可能讓使用者相關個資曝光，甚至影響人身安全。近日資安新聞網站發現韓國美容社交平臺PowderRoom資料外洩事故，並指出至少曝露超過一年。</p> <p>在一起針對電商網站的側錄攻擊行動裡，研究人員發現受害情況可能更加複雜，而使得遭到攻擊的網站更難清除相關的攻擊程式碼。</p> </div></div></div>
2023/3/27 10:32作者羅正漢https://www.ithome.com.tw/news/156121
Databricks公布生成性AI模型Dolly，強調比ChatGPT更容易訓練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端AI及資料分析平臺新創業者<a href="https://www.databricks.com/blog/2023/03/24/hello-dolly-democratizing-magic-chatgpt-open-models.html" target="_blank">Databricks上周宣布開源AI模型Dolly</a>，宣稱比當紅的ChatGPT底層模型更容易訓練，成本也更低。</p> <p>Databricks以Apache Spark技術為基礎，提供雲端資料湖邊小屋（data lakehouse）及機器學習分析服務。該公司本周將其生成性AI模型Dolly後開源，提供更多企業、開發商客製化，以改進其產品。</p> <p>Databricks表示，雖然史丹佛大學的Alpaca模型團隊是利用大型模型訓練出指令跟從的行為，但他們發現，使用架構較老、較小的開源模型，若以小批高品質的資料訓練微調也會有同樣效果。Dolly是以Eleuther AI 2年前的模型為基礎，在單一機器上透過類似ChatGPT的指令訓練30分鐘而成，再以Alpaca模型的資料加以訓練微調，即可發揮其指令跟從的能力，像是腦力激盪、文字生成及開放性的問答等。相較之下，ChatGPT GPT-3高達1750億個參數。</p> <p>Databricks表示，這顯示像ChatGPT這類模型的強大能力，關鍵是在指令跟從的訓練資料，而非更大或更好的底層模型。</p> <p>Meta 今年2月釋出8萬 GPU時的LLaMA（音近「駱馬」）模型，3月史丹佛大學則以LLaMA發展Alpaca模型（即羊駝），以5萬道問答訓練出ChatGPT等級的擬人互動性。由於Databricks最新模型以Alpaca為基礎，Databricks團隊因而以第一隻複製羊桃莉（Dolly）為之命名。</p> <p>Databricks表示，Dolly是該公司LLM宣布的第一步，旨在讓更多組織都能用得到過去只有大型企業才負擔得起的AI模型，未來幾周內他們還會有其他宣布。</p> <p>不過Databricks也提醒，和其他生成性AI一樣，Dolly是開發早期的計畫，可能會出現事實錯誤、偏見、冒犯性回應、毒性及AI幻覺問題，使用者需自行判斷。</p> <p>這是ChatGPT最新競爭者。<a href="https://www.ithome.com.tw/news/156012" target="_blank">Google支持的Anthropic開發出Claude</a>、<a href="https://www.ithome.com.tw/news/155922" target="_blank">史丹佛大學上周則將Alpaca開源</a>。</p> </div></div></div>
2023/3/27 10:32作者林妍溱https://www.ithome.com.tw/news/156128
Levi's與AI公司合作打造數位模特兒展示服裝，聲稱提供更多元的消費體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國牛仔褲品牌Levi Strauss & Co（以下簡稱Levi's）宣布與荷蘭人工智慧公司Lalaland.ai合作，未來計畫透過人工智慧生成不同體型、膚色和年齡的數位模特兒展示其商品，預計今年後半年開始測試。此舉也被視為未來將裁員節省成本。</p> <p>Levi's全球數位兼整合科技策略總監（Global Head of Digital & Emerging Technology Strategy）<a href="https://www.levistrauss.com/2023/03/22/lsco-partners-with-lalaland-ai/">Amy Gershkoff Bolles表示</a>，AI可能永遠不會完全取代人類模特兒，這一系列的合作渴望創造出更個性化和包容性的購物體驗。</p> <p>然而，前兩年Levi's在遭受COVID-19疫情的影響後銷量銳減，裁撤15%的全球人力，共裁減700名辦公室員工。當時Levi's說明，裁撤700名員工可以為公司每年省下大約1億美元，而電商部門彌補了部分損失。儘管Levi's這次和Lalaland.ai合作聲稱其為數位化轉型的一部分，但不少人認為實際是為了之後再次裁員，降低支付專業模特兒費用開銷的前奏。</p> <p>至於Levi's和Lalaland.ai的合作具體內容尚未公布，但Lalaland.ai網站顯示它們收費制度採取月訂閱制，從免費模式到每月776美元不等。</p> <p><a href="https://lalaland.ai/">Lalaland.ai</a>成立於2019年，總部位於荷蘭阿姆斯特丹，主要業務為運用人工智慧技術協助時尚服飾品牌，生成各類體型、年齡、身高與膚色的數位模特兒展示產品，讓消費者更容易透過與自己相近的模特兒感受實際穿著效果。Lalaland.ai的網站顯示，它與Calvin Klein、Tommy Hilfiger和Otto Group已有合作關係。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(59).png" style="width: 639px; height: 400px;" /></p> </div></div></div>
2023/3/27 10:49作者洪予揚https://www.ithome.com.tw/news/156123
英特爾共同創辦人、摩爾定律發明者Gordon Moore去世，終年94歲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/newsroom/news/gordon-moore-obituary.html" target="_blank">英特爾（Intel）與 Gordon and Betty Moore Foundation在3月24日表示</a>，英特爾共同創辦人暨摩爾定律（Moore’s Law）發明者Gordon Moore，已於當天在夏威夷的家中安詳辭世，享耆壽94歲。</p> <p>誕生於1929年1月3日的Moore為加州理工學院的化學博士，輔修物理，之後即在約翰霍普金斯大學的應用物理實驗室進行博士後研究，繼之加入蕭克利半導體實驗室（Shockley Semiconductor Laboratory），蕭克利雖被譽為電晶體之父，但其專制的管理方式卻使得Moore與其他同事在1957年出走，共同創立了快捷半導體（Fairchild Semiconductor）。</p> <p>1965年，Moore即提出了引領全球科技發展的摩爾定律，當時他預測積體電路（IC）中的電晶體數量每年都會成長一倍，到了1975年，Moore修正了此一預測，指出在未來的10年間，IC上的電晶體數量要每兩年才會增加一倍。</p> <p>Moore與另一位來自快捷半導體的同事Robert Noyce在1968年7月共同創辦了英特爾，職位從執行副總裁、總裁、董事長到執行長，一直到1987年卸任執行長，1997年成為榮譽主席，並於2006年自英特爾退休。</p> <p><a href="https://hasler.ece.gatech.edu/Published_papers/Technology_overview/gordon_moore_1965_article.pdf" target="_blank">Moore曾在一次的受訪中坦承</a>，第一次的預測發生於IC的早期階段，那時他們才企圖要將某些元件放在晶片上，當時最複雜的晶片上面最多只有30個電路，並正在研發搭載60個電路的IC，於是在接受雜誌採訪時以此提出了每年一倍的預測，為幾近盲目的預測，主要是為了傳達未來的電子產品將會愈來愈便宜，沒想到此一預測竟然成真。</p> <p>由於IC的複雜度同樣也呈倍數成長，讓Moore在1975年修正了原先的預測，將電晶體數量改為兩年增加一倍。</p> <p>至於現在最常被引用的「電晶體數量每18個月成長一倍」的說法，則是來自於曾擔任英特爾微電腦元件事業部總經理的Dave House。</p> <p>事業上的成功讓Gordon Moore與妻子Betty Moore在2000年成立了Gordon and Betty Moore Foundation，以用來支持科學發現、環境保護、改善醫療照護及保護灣區特色，退休後的Moore即投入基金會，擔任該基金會董事長。</p> <p>Moore在1990年獲頒美國國家技術勳章，在2002年獲得美國平民最高榮譽的總統自由勳章，他也是美國國家工程院院士、英國皇家工程師學會院士與電氣暨電子工程師學會院士。</p> </div></div></div>
2023/3/27 09:56作者陳曉莉https://www.ithome.com.tw/news/156125
法國通過巴黎奧運期間AI監控，引發批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國國會上周在外界爭議聲中，通過一項允許2024年巴黎奧運及帕運期間以AI執行影像監控的法案，引發批評。</p> <p>法國國會上周四通過奧運安全法案的《第七條》（Article 7），新條文允許在2024年巴黎奧運及帕運期間，政府得以對現有攝影機（如街頭閉路電視）或新攝影機（如無人機）蒐集街頭或公共區域影像，並進行人工智慧（artificial intelligence，AI）演算法分析，旨在防範恐怖攻擊或其他危及大眾安全的事件。一旦影像分析判定是不尋常的集會活動或無人看管的行李，即通知當地警方應變。</p> <p>法國政府計畫表示這是確保數百萬民眾安全、辨識危險之必需，也有助於振興當地產業。依據本法條，法國政府將以測試方式在明年奧運及帕奧期間，啟動使用AI影像分析。</p> <p>在法案審查之前，多個歐洲隱私倡議團體包括國際特赦組織、歐洲非營利法中心（European Center for Not-for-Profit Law）、歐洲數位權利（European Digital Rights, EDRi）<a href="https://ecnl.org/sites/default/files/2023-03/Civil%20society%20public%20letter%20on%20Art.%207%20of%20the%20French%20Olympics%20law%20-%20Final_EN_0.pdf" target="_blank">等38個組織聯合發表陳情書</a>，呼籲法國國會不要通過此法，聲稱此法將為以確保大型活動安全之名，行演算法影像監控之侵害行為舖路，也使法國成為合法化此類行為的歐盟會員國。他們相信本法違反國際人權法，對隱私、集會自由權及不被歧視權等基本權利造成不可接受的風險。</p> <p>《第七條》宣稱使用AI演算法不會處理人的生物辨識資訊，但<a href="https://www.statewatch.org/news/2023/march/france-proposed-olympic-surveillance-measures-violate-international-human-rights-law/" target="_blank">批評者相信</a>，若是為了在公共場合辨識可疑行為，不可避免一定會拍攝到人的姿勢、步態、動作或外形。批評者相信，若如法案宣稱會將受拍攝者背景去除加以辨識，就無法達到系統的目的。</p> <p><a href="https://www.amnesty.org/en/latest/news/2023/03/france-allowing-mass-surveillance-at-olympics-undermines-eu-efforts-to-regulate-ai/" target="_blank">國際特赦組織上周批評</a>，法國作為具影響力的歐盟會員國通過本法案，在歐盟應保障人權之際反而立下令人不安的前例。過往例子證明，惡意的監控技術將會不成比例地用在邊緣化族群，包括移民和有色人種身上。</p> </div></div></div>
2023/3/27 10:10作者林妍溱https://www.ithome.com.tw/news/156126
微軟修補可回復圖片剪除部分的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周傳出Windows存在可令剪裁過的圖片還原的臭蟲，微軟周末釋出解決該問題的軟體版本。</p> <p><a href="https://www.ithome.com.tw/news/156100" target="_blank">上周Windows 11傳出名為Acropalypse的臭蟲</a>。這臭蟲原是研究人員David Buchanan和Simon Aarons在Pixel手機的標記工具（Markup Tool）發現，但後來被研究人員Chris Blume發現，也能影響Windows 10的「剪取與繪圖」及Windows 11的「剪取工具」，可將剪裁或塗改過的PNG圖檔還原。</p> <p>利用這項漏洞，駭客若知道原圖檔名，即能以這些工具開啟剪裁、塗黑的圖片再以同檔名另存新檔，覆蓋原圖檔。最後，他就能用研究人員David Buchanan和Simon Aarons發展的工具將圖片還原。這臭蟲最大問題在於將使用者欲隱藏的資訊，可能是身分資訊或特定人物曝光。<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28303" target="_blank">該漏洞編號被列為CVE-2023-28303 </a>。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28303" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-CVE-2023-28303-Windows%20Snipping%20Tool(1).png" style="width: 450px;" /></a></p> <p>微軟上周得知問題後，於周末釋出新版Windows工具。使用者可以在Windows Store下載，包括Windows 10的「剪取與繪圖」10.2008.3001.0及Window 11的「剪取工具」11.2302.20.0。</p> </div></div></div>
2023/3/27 09:05作者林妍溱https://www.ithome.com.tw/news/156124
不惜汰換ERP支援集團艦隊化，佳世達要擁抱微服務翻新架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「不要害怕改變，否則，未來得面臨更大改變，因為你不改變，別人就會來改變你。」佳世達科技資訊技術服務中心資訊長黃莉雯明白表示。這句話正是佳世達IT發展近十年的寫照，甚至得毫不猶豫地調整原有IT策略，就是要做出不一樣的轉變。</p> <p>從2014年起，佳世達開始善用併購來快速擴展和布局新事業，近10年來收購的海內外公司，超過了70家，大小規模都有，甚至還跨足不同產業，從資通訊、醫療、網通公司都有。這個快速且跨產業的併購策略，卻有一個隱憂，沿用多年的自製ERP系統，越來越跟不上擴展的需求。</p> <p>直到3年前，為了進一步加速併購的腳步，佳世達下定決心全面汰換ERP，甚至未來還要採用微服務，大舉擁抱雲端原生架構，來協助集團各子公司加速轉型與發展創新。</p> <p><span style="font-size:28px;"><strong>為跟上集團擴展腳步，決定大舉汰換近20年自製的ERP系統</strong></span></p> <p>以電腦周邊產品代工起家的佳世達集團，在2007年將公司切分成負責品牌業務的明基與代工的佳世達，同時也將關鍵核心的ERP分割成兩套，一套自製ERP系統是由佳世達打造，來負責所有代工製造的營運，而明基則使用了商用的Oracle套裝ERP，以便能快速因應多變品牌策略。品牌和代工分家之後，IT部門也一分為二，分別負責代工與品牌業務系統的開發與建置，直到7年後，兩邊IT才再次整併。</p> <p>過去佳世達堅持IT部門要自行打造關鍵的核心系統，甚至在整併新廠時也導入自製ERP，來取代高科技製造業常用的SAP ERP。這個自主開發的IT策略，固然讓佳世達IT團隊擁有高度客製化彈性，但也因專注於滿足內部使用者的需求，減少了外部刺激所帶來的突破和創新發展機會。這個IT策略成功運作了很多年，直到佳世達朝向集團化發展後，開始遇到了考驗。</p> <p>2014年時，佳世達啟動聯合大艦隊計畫，作為公司轉型新戰略目標，展開了跨產業的投資併購，從起初一年一家，到後來併購腳步更加快，一年就要處理多家公司收購，來自不同產業、不同規模大小都有，在推動轉型過程中，佳世達既有的ERP系統，逐漸跟不上公司發展的腳步，成了佳世達IT部門所要面對的課題。</p> <p>黃莉雯解釋，佳世達的ERP系統，是一個用了將近20年的專屬客製化的ERP，從一開始使用套裝軟體，到後來重新改寫了這套ERP系統的核心功能和底層架構，發展出一套自製ERP系統。</p> <p>這套自製ERP專門為了滿足代工製造業務所需而客製，長年深度客製之下，導致這套系統的功能越來越聚焦代工，延伸彈性越來越低，使得它難以套用到其他行業。例如對於醫療業來說，批號管理是很重要功能，但這套代工導向的ERP就沒有提供，得大幅更改系統底層架構，原本用於電子料件品號的品名跟規格敘述長度，也不敷醫療業種使用，都得經過大幅客製。長期下來，雖然練就出越來越強的IT開發能力，但這些後來追加的客製，讓ERP系統越來越複雜且龐大，沒辦法快速支援集團擴張新業種的IT需求，過去的優勢，反⽽而逐漸變成了包袱。</p> <p>因此，佳世達決定改變IT策略，甚至不再堅持自行發展，而是要引進業界主流ERP方案，配合集團朝向艦隊化來發展。不過，這次ERP大翻新，主要是汰換代工業務用的ERP，品牌業務所用的EPR仍然繼續服役，不需更換。</p> <p><span style="font-size:28px;"><strong>從沿用多年自製ERP，轉而採用業界主流ERP套裝方案</strong></span></p> <p>佳世達資訊部門早在好幾年前，就有考慮更換成業界主流ERP，來取代自製版本，經過多次評估也與各部門討論，更考慮採用套裝軟體後的客製化時間和人力成本，最後決定採用SAP ERP，而不是他們在品牌業務所用的ERP廠牌。</p> <p>一般企業向來會避免同時導入兩套不同廠牌的ERP系統，不過，黃莉雯表示，他們評估過採用相同品牌ERP，光是財務成本模組要符合佳世達未來各種異業併購後的需求，不僅需要兩千日的開發時間，顧問客製費用至少要六千萬元以上，考慮到日後升級或維運成本，加乘起來的成本非常可觀。</p> <p>儘管，佳世達對於該廠牌ERP相當熟悉，多年深耕下，內部許多IT維運人員，甚至具備了專業諮詢顧問的能力，但她認為，不能為了固守IT熟知的領域，而阻礙了公司的發展，「比起使用一套IT熟悉好維運的ERP，能夠符合公司營運或業務發展、快速利用且更有彈性，才是最重要。」</p> <p>佳世達集團在2019年下半年選定ERP廠牌後，花了3年於全球推出上線。這是佳世達近年來最重要一次大型系統專案導入，由黃莉雯一手主導。</p> <p>佳世達分階段導入新版的套裝ERP，2021年7月先完成第一階段上線，包括集團總部、越南廠、日本與美國分公司先推出，隔年1月大陸廠也跟進，進而完成所有系統汰換。</p> <p>導入新系統的同時，資訊部門也一併對各廠、海外銷售據點展開IT架構的轉換，捨棄過去在不同據點各自部署一套ERP的做法，改由集中式的架構，在總部提供一套ERP來支援全球使用再提供各工廠、海外銷售據點使用，來達到統一管理。在系統轉換過程中，除了將原本ERP獨有的功能保留到新版ERP中，如保稅系統，其他像是使用者人數多但不複雜的功能，也會保留下來。</p> <p>新系統剛上線時，也讓IT團隊吃足不少苦頭，像是因為新舊系統資料結構差異很大，導致資料轉換過程中，IT人員得花更多時間，才能把舊系統的Ｍaster資料全部轉到新系統，其他還有遇到設定遺漏等問題，後來都陸續加以解決。</p> <p><span style="font-size:28px;"><strong>靠累積不同廠牌ERP維運經驗，替集團子公司加速系統轉換</strong></span></p> <p>2022年使用至今，負責這套新ERP系統的維運團隊，正是當初負責打造和維運自製ERP的同一群人，就算使用套裝ERP產品，黃莉雯要求IT部門必須具備這套ERP維運能力。她表示，經過一段時間學習後，目前維運團隊對新系統掌握度已經很高，等到熟練以後，這批人也能像以前維運自製ERP那樣的熟練，來維運這套新系統。</p> <p>尤其，掌握這項能力，對於佳世達IT部門格外重要。她表示，未來不只能協助集團子公司或其他新加入成員快速導入ERP，還能知道如何避免痛點，甚至這些年靠著不同廠牌ERP維運經驗，讓他們短短幾年內就協助不同業別子公司完成不同套ERP系統置換，接下來還有另一家透析公司準備要用，「正因為這些IT經驗累積，讓我們幫一家新公司建系統或做調整，變得超有效率。」</p> <p>除了協助更換ERP系統，這些年，由佳世達資訊團隊幫助集團子公司所規畫導入應用也不少，以醫院為例，從醫院子公司導入電子病歷系統、HRP系統，到發展智慧服務、智慧醫療、智慧管理等應用，幾乎都是由佳世達IT部門一手規畫推動，來幫助這些醫院加速朝向智慧醫院來轉型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1122-CIO-500.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span><br /> <span style="color:#3399ff;"><span style="font-size:20px;"><strong>佳世達集團資訊長黃莉雯表示，比起使用一套IT熟悉好維運的ERP，能夠符合公司營運或業務發展、快速利用且更有彈性，才是最重要。</strong></span></span></p> <p><span style="font-size:28px;"><strong>未來還要導入微服務，擁抱現代化IT架構</strong></span></p> <p>但只有翻新全球ERP還不夠，佳世達現有內部IT架構也得調整，變得更敏捷，甚至擁抱現代化IT架構，來支援往後來自跨產業、不同規模的上百家子公司IT發展所需，才能幫助集團加速朝向大艦隊平臺發展。</p> <p>「我們往後IT發展就是走向微服務，」黃莉雯直言，希望透過微服務架構，將既有大型系統拆成更小型的功能模組，讓子公司可以根據需求選擇導入單一或多個功能，而不用每次都要導入全套系統，從而改善過去因為系統龐大而難以使用的問題，尤其在佳世達大艦隊裡的公司，產業很多、規模也不同，「當系統越來越走向模組化，將功能拆得更細，以後要建置或移轉，就會輕很多」她表示。</p> <p>其實在應用開發上，佳世達IT已經早一步擁抱現代化程式語言，改用Java來取代.NET，甚至為了加速應用程式語言轉換腳步，黃莉雯不只要求資訊團隊以後開發新應用一律採用Java語言來開發，也要在不影響公司營運前提下，逐步展開傳統.NET應用程式的轉換作業，先從1～2套小系統語言轉換開始，到如今多使用者的系統轉換。</p> <p>但要轉換新舊語言不是件容易的事，但她仍堅持要做的原因，不僅僅是為了讓它能夠支援現代化應用，更希望透過Java擁有眾多活躍的使用者和社群支援，獲取更多資源，加快應用開發與創新，甚至以後也更好找到這方面優秀人才加入。</p> <p>人才培育，向來是黃莉雯很重視一環，她坦言，過去IT部門大多專注在幫助公司創造更好營運或業務發展，卻容易忽略了IT人才對於公司營運也很重要，因此，她接下來一大任務，就是要架構出一個環境，幫助新進者能更快適應，融入現有IT組織文化中，來幫助公司持續發展。</p> <p><span style="font-size:28px;"><strong>重整IT部門，建立明確職務分工</strong></span></p> <p>2019年成為集團資訊長後，黃莉雯重新調整IT組織，來建立更明確職務分工，對應到各自工作領域，還增設了兩個新部門，也就是Data和MarTech部門，前者負責資料治理、AI應用、Mobility相關，至於原來的CRM管理及應用也歸在該部門來管；後者則以行銷科技應用為主，負責結合敏捷彈性的前端，和使用者UI設計來優化行銷工作，包括官網和EC Store平臺等。</p> <p>建立明確職務分工和成立新部門後，也讓佳世達IT更加速擁抱新技術，例如開始結合RPA流程自動化，改用RPA機器人對帳，幫助財務人員提升工作效率，後來擴大運用到服務、供應鏈、HR等不同部門。更透過教育訓練、成立專屬社群，藉由交流增進彼此學習的機會，讓各單位可以各自維護更新自己的RPA應用，不用所有事都倚賴IT。</p> <p>下一步還要發展低程式碼平臺，希望提供簡單流程和操作，就能讓使用者自行架設系統，完成一些簡易系統功能開發，例如行銷人員免懂複雜程式撰寫，就能透過這個自助式平臺，設計出想要的行銷企畫服務或功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>黃莉雯　佳世達集團資訊長</strong></p> <p>學歷：中興大學資訊科學所碩士</p> <p>經歷：曾任職過宏碁科技、慶豐人壽，1999年進入明基電通資訊部門任職，2007年品牌和代工業務分家後進到品牌公司，負責全球銷售據點系統建置和維運，後來代工和品牌IT合併後也擔任ERP主管，並於2019年接任集團資訊長，要善用IT協助集團加速併購發展創新</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1122-CIO-200.jpg" style="width: 200px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><strong>佳世達科技</strong></p> <p>地址：桃園市龜山區山鶯路157號</p> <p>網址：<a href="http://www.qisda.com">www.qisda.com</a></p> <p>成立時間：1984年</p> <p>主要業務：橫跨資訊產業、醫療事業、智慧解決方案及網路通訊事業</p> <p>員工數：約30,000人（2022年）</p> <p>董事長：陳其宏</p> <p>總經理：黃漢州</p> <p>資本額：197億元</p> <p>年營收：2,398億元（2022年合併營收）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊長</p> <p>資訊部門主管姓名：黃莉雯</p> <p>資訊部門名稱：資訊技術服務中心</p> <p>資訊部門分工：Infra & Operation、Application、Data、MarTech、Development、Information Security</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2015年：完成Smart Factory規畫建置</p> <p>2016年：導入CRM系統</p> <p>2017年：完成集團旗下子公司時運ERP置換</p> <p>2019年：協助南京、蘇州明基醫院導入電子病歷系統、越南廠建置與系統導入</p> <p>2020年：導入RPA機器人流程自動化，提高人員作業效率</p> <p>2021年：完成旗下醫療子公司凱圖雲端版ERP導入、南京、蘇州明基醫院HRP系統上線</p> <p>2022年：完成集團全球SAP ERP導入、重整IT組織建立明確職務分工</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1122-cio-960.jpg" width="960" height="420" alt="" title="佳世達集團資訊長黃莉雯　（攝影／洪政偉）" /></div></div></div>
2023/3/27 00:00作者余至浩https://www.ithome.com.tw/people/156073
物件偵測模型大變革YOLO v7
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1122-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=Rnl12jC7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中研院發布全球第一物件偵測模型YOLOv4，將臺灣推向世界級電腦視覺技術研發重鎮行列，更接連打造出突破傳統思維的網路架構ELAN和多任務模型YOLOR，整合而成新一代的YOLOv7，能一心多用同時執行3種偵測任務，一問世就完勝主流模型。中研院YOLO研發團隊的下一步要鎖定多任務和圖類神經網路</p> <p> </p> </div></div></div>
2023/3/27 00:00作者王若樸https://www.ithome.com.tw/article/156079
【YOLOv7成功關鍵：技術篇】關鍵人物親自揭露三大突破，下一步攻多任務與解釋性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月7日，YOLOv7問世，一舉打敗各大SOTA物件偵測模型。問起YOLOv7為何能做到這一點，核心開發者中研院資訊所所長廖弘源與中研院資訊所助研究員王建堯親自揭露，關鍵在於更好的類神經網路架構、具備多任務的能力，以及更有效率的訓練策略。</p> <p>這些突破，始於世界第一物件偵測模型YOLOv4。2020年，他們與YOLO Darknet框架維護者Alexey Bochkovskiy共同打造這個模型，拿下MSCOCO資料集物件偵測大賽第一，無論速度、準確度，都完勝Google、微軟等科技巨頭開發的模型。</p> <p>但廖弘源與王建堯並未停下腳步，而是繼續朝2方向精進，一是開發更有效率的網路架構，也就是ELAN，二是打造能執行多任務的模型，也就是YOLOR（You Only Learn One Representation）。這兩項突破，構成了YOLOv7的主體，由輕巧高效的ELAN執行影像辨識分析工作，YOLOR則統一整合特徵，兩相加成之下，賦予YOLOv7執行多任務的能力。</p> <p><span style="font-size:28px;"><strong>關鍵1：輕巧有效率的網路架構ELAN</strong></span></p> <p>ELAN是一款特別優化的類神經網路架構，最大特色是省時省力，能更有效率執行物件偵測任務，還能讓模型在硬體資源受限的低階設備或是邊緣裝置上執行。</p> <p>一般來說，模型要準確辨識出物件，通常得使用複雜的網路架構，比如非常多層的卷積（Convolution），來處理影像特徵，但這就得消耗更多運算資源，因此要在資源有限的低階設備，執行這種高準確度的模型，也就更加困難。</p> <p>但是，中研院所設計的ELAN架構，只用了1Ｘ1卷積和3Ｘ3卷積，以及連結（Concatenate）來整合卷積層特徵。這個架構不僅精簡，也只使用最簡單通用的運算單元，能更進一步好好分配運算資源，善用硬體既有資源。這是因為，許多頂尖電腦視覺模型，經常使用數種到數十種不同的運算單元，增加專屬硬體的設計難度和成本，甚至，這些運算單元所需的硬體資源，也不盡相同，反而導致硬體使用率低下。而ELAN架構精簡，解決了這個問題。</p> <p>不只如此，ELAN架構還改善了前一代模型中耗費記憶體頻寬的設計，比如殘差（Residual）。王建堯指出，電腦視覺模型中的殘差，所需的運算量低、只有卷積的數十萬分之一，但它在邊緣運算設備所需的運算時間，卻是卷積的幾十分之一，浪費了有限的硬體資源。於是，團隊設計ELAN時，就排除殘差，讓類神經網路架構更精簡、更有效率。</p> <p>不僅去蕪存菁，ELAN還展現王建堯的設計巧思，也就是梯度路徑分析（Gradient path analysis）方法，來提高類神經網路效能。傳統常見的模型優化方法，不外乎是從運算單元設計下手，或是設計一套方法，來讓模型提取符合任務需求的特徵，再整合這些特徵來取得最終結果，但這就偏向傳統機器學習特徵工程思維。梯度路徑分析方法跳脫這個思維，從特徵學習下手，直接「告訴」模型如何學習特徵，並從層（Layer）、階段（Stage）和網路（Network）三層面，來優化模型學習方法。而ELAN，正是網路層級的梯度路徑分析實作。</p> <p>這些特點，使ELAN成為高效率網路架構，一如其名：高效率層聚合網路（Efficient Layer Aggregation Networks）。團隊也在2020年11月完成開發。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E6%94%BE%E7%AC%AC1%E9%A0%81%E4%B8%8B%E9%9D%A2%EF%BC%89%E8%A3%9C%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%8B%E5%BB%BA%E5%A0%AF.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>中研院團隊在YOLOv7論文中，解釋他們如何設計擴展版架構E-ELAN的梯度路徑分析方法。這個方法是提高模型學習效率的訓練策略，圖中，E-ELAN並未改變原有架構的梯度傳遞路徑，而是利用分組卷積，來增加特徵基數，並用隨機洗牌與合併等方式來整合特徵組，強化模型學習表徵的能力。</strong><span style="font-size: 14px;">圖片來源／王建堯</span></span></p> <p><span style="font-size:28px;"><strong>關鍵2：執行多任務的外掛YOLOR</strong></span></p> <p>與前幾代YOLO模型不同，YOLOv7最大特色是一心多用，看一眼就能執行3種任務，包括物件偵測任務、實例分割（Instance segmentation）以及關節點偵測（Keypoint estimation）。</p> <p>也就是說，YOLOv7可在畫面中用框框框出特定物件，像是行人、建築、交通號誌，也能更細緻地用顏色表示特定物件，就像是替這些物件著色般（這個上色動作也稱為遮罩），此外還能定位畫面中人體的關節點，如頭部、手肘、膝蓋，並將這些關節點連線，就像火柴人一樣，可用來辨識動作和姿態。</p> <p>YOLOv7為何如此強大？原來它加入了YOLOR。YOLOR是王建堯在2021年5月發表的模型，可以保存所有輸入資料的特徵；它就像一個外掛，能用來提取模型中的隱性知識（Implicit knowledge），讓原本專精單一任務的模型，透過保存起來的特徵，來學習其他任務，而不必針對其他新任務，一一重新訓練。</p> <p>廖弘源比喻，就像是受過專業訓練的諜報員，被賦予一個任務，要找出照片中的車輛，他會專心記住照片中每輛車，這就是顯性知識（Explicit knowledge），但若突然換個題目，改問照片中有幾位行人，他也能憑記憶正確回答，即便一開始並未被賦予這個任務；這就是隱性知識。對電腦來說，「它就像經專業訓練的諜報員，看一眼就記住所有資訊，就能用這些資訊來執行各種任務，」他說。只不過，目前大多數物件偵測模型，仍仰賴給定的顯性知識來學習任務，很少善用隱性知識執行多任務。</p> <p>了解YOLOR概念，再從模型架構角度來談，如何實現一心多用的能力。物件偵測模型通常由骨幹（Backbone）、頸（Neck）和頭（Head）三部分組成，其中，骨幹是將任務所需特徵，從不同隱藏層（Hidden layers）抽取出來，編碼至骨幹裡，再由頸部進行特徵組織（Feature organization），最後交給頭部下決策。</p> <p>假設模型要偵測物件，骨幹得從第1、3、5層提取特徵，再由頸部整合處理；若模型要執行影像分割任務，骨幹可能得提取第2、4、5層特徵。但是，藉由YOLOR這個統一的網路（Unified network），就能在骨幹一次處理不同任務所需的特徵，賦予模型執行多任務的能力。YOLOv7成功問世，也反過來證實了YOLOR外掛模式的可行性。</p> <p>甚至，YOLOR這種善用模型隱性知識的技術，還能用於近期爆紅的生成式AI。王建堯指出，一些文字轉圖像的生成式AI，會產出6隻手指頭的人像，但若加上類似YOLOR的技術，將已存在於模型的隱性知識提取出來，就能避免產出不合邏輯的圖像。他甚至點出，這類技術研究，也許是臺灣最適合投入發展的領域。</p> <p><span style="font-size:28px;"><strong>關鍵3：自動學習和具備泛化能力的訓練策略</strong></span></p> <p>YOLOv7打敗其他SOTA模型的第3個關鍵，是更好的訓練策略，也就是YOLOv7論文標題強調的Trainable bag-of-freebies。</p> <p>這個名詞看似複雜，但拆分來看，Bag-of-freebies泛指用來提高模型準確度的訓練方法，亦即模型訓練時常用的技術或策略，這些技術或策略雖會增加訓練成本，但不會增加模型推論時的運算成本，還能提高模型表現，因此稱為免費禮品或贈品（Freebies）。常見的BoF有幾種，如資料增強、正規化（Regularization）、權重初始化等，開發者可用來訓練模型，讓模型更容易調整和優化，達到更好的表現。</p> <p>但，一般的BoF仍有其局限。舉例來說，資料增強是用來增加訓練資料的多樣性，比如用於物件偵測時，可針對一些小物件來設計資料增強，讓特定物件的訓練資料更多，進而提高模型辨識力。「但這就有所局限，」王建堯解釋，若模型任務與小物件偵測無關，這樣的BoF就無法發揮作用，還可能引起反效果。</p> <p>於是，團隊設計YOLOv7的BoF時，決定讓它更靈活，讓訓練策略也可以「受訓練」，能根據任務需求自動學習、自動調試，而非生硬地只適用於特定目的。</p> <p>進一步來說，YOLOv7的BoF包含模型重參數（Model re-parameterization）和動態標籤分配（Dynamic label assignment）兩種，其中，動態標籤分配是近期物件偵測模型的主流優化趨勢，能提高模型對圖像特徵的學習能力，讓模型更準確分辨物件偵測框（Bounding box）中的像素，是否屬於該物件。</p> <p>有了這個能力，模型就能進一步泛化（Generalize），運用已知知識來解決新任務。也就是說，一個已經由Trainable BoF訓練過的物件偵測模型，不必再透過新資料重新訓練，也可用來執行其他新任務，比如影像分割。</p> <p>這種泛化能力，也在YOLOR中展現過。王建堯解釋，其實，Trainable BoF最初就用於YOLOR，而YOLOR的成功，證實了這個優化策略可行，能用來改善物件偵測任務表現。這次的YOLOv7，則更進一步證明，Trainable BoF不只能優化模型在物件偵測任務的表現，還能優化實例分割、關節點偵測等不同任務的表現，是發展多任務AI的基石。</p> <p>兼具這些技術突破的YOLOv7，不論是速度還是準確度，一問世就勝過所有主流物件偵測模型，在每秒5幀到每秒160幀範圍內，表現優於YOLO系列模型和Transformer系列模型。而且，在使用GPU V100、每秒30幀或更多的條件下，YOLOv7平均精度（AP）達到56.8%，是當時所有物件偵測器中，準確度最高的模型。</p> <p><span style="font-size:28px;"><strong>下一步瞄準多模態多任務，也要用GNN提高解釋性</strong></span></p> <p>儘管YOLOv7已經拿下亮眼成績、突破許多瓶頸，中研院團隊的目光，並不止於此。因為，YOLOv7的成功，證實YOLOR單一模型執行多任務的可行性，王建堯甚至直言，YOLOv7和YOLOR就是為多模態、多任務的統一模型鋪路。這句話揭示團隊接下來的研究方向，他們將以YOLOR為基礎，發展更通用的電腦視覺模型，物件追蹤就是其一。</p> <p>與此同時，廖弘源透露，團隊也瞄準知識圖譜和圖神經網路（GNN）兩種技術，一方面要用擅長處理關聯性的圖學，來提高模型處理多任務的能力，一方面也要透過知識圖譜，來強化模型的可解釋性。</p> <p>他解釋，一般類神經網路就像黑盒子，當網路出現問題時，開發者通常難以找出原因，但透過知識圖譜或GNN，可將原本的大黑盒子拆解為好幾個小黑盒子，更容易推導出問題所在。</p> <p>從YOLOR統一網路和GNN雙管齊下發展多任務AI，就是廖弘源與王建堯眼中的下一個目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>YOLOv7單一模型可執行3大任務</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%89%A9%E4%BB%B6%E5%81%B5%E6%B8%AC-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-viso-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><strong>任務1：物件偵測　</strong></span><span style="color:#696969;"><strong>YOLOv7可執行3種任務，一種是物件偵測（Object detection），能將畫面中辨識到的物件，以邊界框（Bounding box）框出，並在框上顯示預測的物件名稱與機率。</strong><span style="font-size:14px;">圖片來源／viso.ai</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%AF%A6%E4%BE%8B%E5%88%86%E5%89%B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Rizwan%20Munawar-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><strong>任務2：實例分割　</strong></span><span style="color:#696969;"><strong>YOLOv7可執行的任務還有實例分割（Instance segmentation），也就是將辨識到的物件著色，這個動作也稱為遮罩（Mask），比物件偵測只以邊界框框出物件還要細緻。</strong><span style="font-size:14px;">圖片來源／Rizwan Munawar</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E9%97%9C%E7%AF%80%E9%BB%9E-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Aleskandr%20Snorkin-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><strong>任務3：關節點偵測　</strong></span><span style="color:#696969;"><strong>YOLOv7可執行的另一種任務是關節點偵測（Keypoint estimation）。以人來說，模型可將畫面中辨識到的關節點標示並連線，就像個火柴人，可用來預測動作和姿態，如跌倒偵測。</strong><span style="font-size:14px;">圖片來源／Aleskandr Snorkin</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>精簡的模型設計大力推進AIoT應用</strong></span></span></p> <p><strong>物件偵測模型YOLOv7的成功，不只證實新技術可行，更能推動AIoT發展。YOLOv7共同開發者中研院資訊所所長廖弘源指出，YOLOv7模型速度快又準，架構還很精簡，只採用3x3卷積、1x1卷積和連結（Concatenation），因此耗電量低，只有約30瓦，非常適合部署在運算資源有限的邊緣裝置上，來發展AIoT應用。他認為，從AI模型下手改良，使用者不必受限於晶片設計，等於企業不必客製化或採用小奈米晶片來執行特定AI模型，用低成本的硬體設備也能享有高準確度的模型效果。</strong></p> <p><strong>YOLOv7核心開發者中研院助研究員王建堯進一步解釋，YOLOv7因為架構精簡，採用非常少的運算單元，因此可直接在硬體上取樣，不需額外的運算單元。而越少運算單元，就能使用更簡單的架構來設計晶片；因為，晶片8、9成的電路面積，都屬於控制單元，這些控制單元專門連接所有運算單元，讓這些運算單元能互相溝通，所以，只要運算單元越簡單，控制電路也就越簡單，晶片設計也就越單純。再加上，模型使用運算密度高的3x3卷積，能進一步減少硬體運算資源。</strong></p> <p><strong>這說明，低階設備採用高準確度模型的門檻降低了，一般邊緣裝置更容易部署物件偵測模型，也更容易推廣到各種應用場景，比如疫情時的社交距離偵測、零售商場人流偵測、路況偵測、基礎設施損壞偵測等。這也意味著，設計精簡的AI模型，能更容易將AIoT更普及到生活中。</strong></p> <p><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1122-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=Rnl12jC7" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/3/27 00:00作者王若樸https://www.ithome.com.tw/news/156081
【臺灣AI研發力再次奪冠關鍵】世界第一物件偵測模型如何超越自己
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在2020年，臺灣催生出世界第一物件偵測模型YOLOv4，完勝當時各大科技巨頭打造的物件偵測AI，也將臺灣推向世界級電腦視覺技術研發重鎮行列。2年後，YOLOv4原班團隊中研院資訊所所長廖弘源與中研院資訊所助研究員王建堯推出另一物件偵測新作YOLOv7，去年7月正式登場，再次擊敗當時各大SOTA模型。</p> <p>這一次，團隊同樣研發新技術和新策略，來設計這套模型。這包括更輕巧更有效率的網路架構ELAN、多任務模型YOLOR，以及特殊優化的訓練策略Trainable bag-of-freebies。</p> <p>這些新技術跳脫傳統機器學習思維，各有突破，互相加成之下，使YOLOv7更輕、更快，也更準確，還能執行多種任務，如物件偵測、實例分割和關節點偵測，是少數兼具輕巧與多任務特色的電腦視覺模型，更與近來崛起的多模態多任務AI趨勢不謀而合。</p> <p><span style="font-size:28px;"><strong>開發經驗連點成線，從物件偵測到多任務</strong></span></p> <p>中研院團隊過去的開發經驗，催生出這些技術創新，而這些技術創新，也揭示下一步走向。</p> <p>2017年，臺灣開始推動AI產業化、產業AI化，當時的科技部（現國科會）提出「業界出題、學界解題」AI計畫，來媒合產學雙方，用AI解決產業問題。當時，中研院團隊與義隆電子媒合，制定出2018年至2021年解題目標，要在4年計畫中打造又輕又快又準確的物件偵測模型，好部署在道路監視器上，發展智慧交通應用。</p> <p>身為解題核心成員的廖弘源與王建堯，先是在2018年以ResNet為基礎，改良學習策略，發展出局部殘差網路（PRN），來進行影像辨識。PRN雖比YOLOv3快兩倍，但準確度略遜YOLOv3，為此，團隊隔年打造出跨階段局部網路（CSPNet），改善卷積網路梯度消失問題、解決學習效率不佳原因，並增加梯度組合、最大化梯度多元性，提高網路學習能力。</p> <p>也因為CSPNet，YOLO Darknet框架維護者Alexey Bochkovskiy與中研院團隊牽上線，共同改良CSPNet，於2020年發表YOLOv4，在同年MSCOCO物件偵測競賽中，拿下全球第一。</p> <p>那時起，中研院團隊將目光從物件偵測轉向另一領域，挑戰難度更高的單一模型多任務方法，要通吃各大電腦視覺任務。於是，中研院團隊往2方向同時前進，一是設計輕量網路架構，他們同樣從梯度來改良，以梯度路徑分析方法讓模型更好地學習特徵，跳脫傳統機器學習特徵工程思維，並在2020年11月開發出ELAN。另一方向則是多任務表徵學習方法，透過設計一個能保存所有輸入資料特徵的統一網路，來實現一心多用，並在隔年5月發表成果模型YOLOR，一登場就在國際競賽奪下實戰成果。</p> <p>這2大技術，再加上改良的模型訓練策略，團隊整合發展出YOLOv7，不論速度、準確度，都超越當時的主流網路架構，包括卷積網路（CNN）和Transformer類模型，以及熱門物件偵測模型如YOLOR、YOLOX、Scaled-YOLOv4、YOLOv5，和Transformer類的DETR、Deformable DETR、DINO-5scale-R50、ViT-Adapter-B等。</p> <p>可以說，第七代模型集結了中研院YOLO團隊數年來的開發結晶，不僅有過往訓練策略優化的影子，也有新穎的單一模型多任務方法。</p> <p>這個多任務元素，更與時下AI圈發展趨勢吻合，同時點出團隊接下來的發展焦點。他們下一步將繼續朝單一模型多任務領域前進，但也瞄準知識圖譜和圖神經網路，要來輔助模型執行多任務，並以此打造更安全的模型。因為，擅長處理關係網路的圖神經網路和知識圖譜，能幫助拆分AI黑盒子，將問題拆解為更細的子問題，協助開發者推導出問題所在，解釋決策原因。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%AF%94%E8%BC%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%8B%E5%BB%BA%E5%A0%AF.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">開發物件偵測模型YOLOv7的中研院團隊以MSCOCO資料集測試YOLOv7與其他SOTA模型效能，發現不論是推論速度還是準確度，YOLOv7都比其他模型好，甚至比YOLOv5快上1.2倍。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／王建堯</span></span></p> <p> </p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E6%AF%94%E8%BC%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%8B%E5%BB%BA%E5%A0%AF.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">不只與YOLO系列模型比較，中研院團隊也將YOLOv7與另一主流電腦視覺架構Transformer評比。結果顯示，不論速度還是準確度，YOLOv7一樣優於Transformer系列模型。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／王建堯</span></p> <p><span style="font-size:28px;"><strong>兼顧研發和部署生態圈，推動AIoT發展</strong></span></p> <p>中研院團隊開發的YOLOv7，不只有新技術的突破，發展策略也有很大的變革，更聚焦生態圈的布局，改用主流開發框架PyTorch開發，並自建轉換器，同時支援Darknet框架版本，滿足開發與部署需求。</p> <p>以前，團隊開發第四版時，仍舊沿用YOLO系列模型慣用的Darknet框架來開發。因為許多邊緣裝置的主要語言為C，所以，Darknet開發者也慣用C++和CUDA語言，方便將物件偵測模型部署到邊緣裝置上。但是以Python語言為主的PyTorch框架，使用者族群龐大，更是先進技術開發者優先使用的框架之一。</p> <p>因此，中研院團隊這次決定同時支援2種框架，不只因應不同生態，也因應未來的技術發展相容性。</p> <p>甚至，第七代模型的精簡架構改變，還能降低AIoT應用門檻，讓物件偵測AIoT更普及，一如產學AI計畫的初衷。這是因為，AI模型設計越精簡、使用的運算單元越簡單，對晶片設計的要求也就越簡單。這意味著，運算資源有限的低階設備或邊緣裝置，也可以部署輕巧精準的AI模型，企業不必砸重本客製化晶片，也能擴大AIoT的使用。這個架構簡單的模型，不但不需大量硬體運算資源，還能成為節能的新選擇，呼應淨零排碳趨勢。</p> <p>在這次專題中，進一步分別從<a href="https://www.ithome.com.tw/news/156081" target="_blank">技術面</a>和<a href="https://www.ithome.com.tw/news/156088" target="_blank">生態圈</a>兩大面向，來介紹臺灣團隊再一次打造出世界冠軍物件偵測模型背後的成功關鍵。</p> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 冠軍模型研發里程碑 </span></strong></span></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2018年 </span></span> 中研院團隊以ResNet為基礎，改良學習策略，打造局部殘差網路PRN</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2019年 </span></span> 修正梯度消失問題，發表跨階段局部網路CSPNet</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年 </span></span> 以CSPNet為基礎，發表物件偵測模型YOLOv4，拿下世界第一；同年打造高效率網路ELAN</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2021年 </span></span> 發表多任務模型YOLOR</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2022年 </span></span> 整合ELAN、YOLOR與新訓練策略，發表YOLOv7</strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2023年 </span></span> 持續研究單一模型多任務方法，包括藉助知識圖譜與圖神經網路</strong></span></p> <p><span style="color:#696969;">資料來源：中研院，iThome整理，2023年3月</span></p> <p><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1122-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=Rnl12jC7" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/3/27 00:00作者王若樸https://www.ithome.com.tw/news/156087
【YOLOv7成功關鍵：生態圈】通吃兩大AI生態圈，公開設計思維和程式碼為研發點燈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣誕生的世界級物件偵測模型YOLOv4，去年下半年更推出第七代的YOLOv7，不只速度和準確度再次超越同期所有SOTA等級物件偵測模型，證明第七代模型3大新技術的領先之外，還有一個深層影響，也就是串起PyTorch和Darknet兩大框架的生態圈，來兼顧模型研發人員和業界部署兩大族群的需求。</p> <p>甚至，打造出這款模型的中研院資訊所所長廖弘源與中研院資訊所助研究員王建堯，不只發表模型論文（CVPR 2023）、公開YOLOv7程式碼，還特別發表YOLOv7使用的高效率網路架構ELAN理論，闡述模型背後的設計思維和新策略。這些公開論文和程式碼，就像是個指南，提供AI研發者設計電腦視覺模型的新視角。中研院團隊希望成為點燈的人，將證實可行的新理論和程式碼公開出來，盼承先啟後擦出新火花。</p> <p><span style="font-size:28px;"><strong>兼顧研發與部署需求，串起2大生態圈</strong></span></p> <p>在深度學習圈，TensorFlow和PyTorch是目前使用率最高的兩大主流開發框架，許多先進技術和套件都用這兩種框架開發，像是Transformer模型和近期爆紅的生成式AI模型。也因為這兩種框架擁有大量使用者，不少開發工具和程式語言套件也都支援TensorFlow和PyTorch，因此形成龐大的研發生態圈。</p> <p>在YOLO物件偵測模型歷代模型中，多數版本採用Darknet框架開發。有別於以Python為主要語言開發的TensorFlow和PyTorch，Darknet的主要開發語言是C++和CUDA。這是因為許多裝置的慣用語言是C，物件偵測模型同樣採用C語言開發，就更容易部署到這些裝置上，來執行偵測任務。也因如此，Darknet的使用者多為業界人士。</p> <p>儘管中研院團隊最初以Darknet開發第4代YOLO模型，這次，他們一改作風，採用PyTorch框架來開發YOLOv7，同時也提供一套轉換器，能將PyTorch的YOLOv7模型版本，轉換為與Darknet相容的版本，兼顧研發和部署兩大需求。</p> <p>廖弘源指出，物件偵測技術發展快速，大多數先進技術開發者，都使用主流深度學習框架。因此，要做出影響世界的模型，除了要具備關鍵的科學技術外，「還得讓這些好用的東西能互補，加入到這個系統，」他說。這是這次團隊轉換策略的原因。</p> <p><span style="font-size:28px;"><strong>公開設計新思維，盼見更多新火花</strong></span></p> <p>不只通吃技術研發和技術部署生態圈，團隊還進一步公開模型設計新思維，來激發更多電腦視覺技術研發方法。</p> <p>「YOLOv7是整個大架構的調整，不是小小的twist。」廖弘源一句話點出第七代模型的特別之處，因為，YOLOv7一口氣採用包含新訓練策略在內的3大新技術，這些新技術，都是團隊突破傳統思維的設計，包括更輕巧更有效率的網路架構ELAN、可用來執行多任務的模型YOLOR，以及打破模型優化窠臼的Trainable bag-of-freebies訓練方法。「當時我就告訴建堯，我們不只要發表新模型，還要將設計概念說明清楚，讓大家知道模型設計的新策略和思維，」廖弘源說。</p> <p>也因此，團隊不只發表YOLOv7模型論文，還針對ELAN的設計方法，另外寫了篇設計理論（Designing Network Design Strategies Through Gradient Path Analysis）並公開。這篇論文聚焦ELAN的梯度路徑分析（Gradient path analysis）方法，這個方法是ELAN高效率的一大關鍵，也是突破傳統設計思維的一例。</p> <p>因為，許多改良模型的方法會從特徵萃取和特徵整合下手，設計一套方法，來讓模型提取任務所需的特徵，再整合這些特徵來得到預測結果。但王建堯認為，這是傳統機器學習特徵工程的思維，因為就深度學習和類神經網路來說，特徵是由整個網路學習出來的，因此難以用取特定特徵再整合的方式來優化。於是，王建堯思考，既然特徵是靠學習而來的，不如直接從驅使網路學習的動力：梯度來下手，直接分析梯度路徑，來告訴類神經網路需要學習哪些資訊。而YOLOv7的成功，證實梯度路徑分析的可行性，也意味著新設計思維的可行。</p> <p>中研院團隊發表模型同時，也公開了設計理論和程式碼，不只影響技術使用者群，讓人更清楚如何善用模型之外，還能啟發技術研發者群，參考經驗證的新思維，來激發更多新想法。這是從根本來壯大AI生態圈的做法，也是繼續讓世界看見臺灣的另一種實踐。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>版本小插曲更證明YOLOv7實力</strong></span></span></p> <p><strong>主流物件偵測模型YOLO第七代在去年7月7日問世，「我們特別選在這個時間點發布，」YOLOv7共同開發者中研院資訊所所長廖弘源說。這個日期不只呼應第七代的七，還因應一件插曲。</strong></p> <p><strong>因為，就在去年6月底，中研院團隊準備發表模型的最後階段，一封Email寄給了廖弘源和主要開發者中研院資訊所助研究員王建堯，以及YOLO系列維護者Alexey Bochkovskiy，影響了團隊原定的模型發布計畫。</strong></p> <p><strong>這封Email來自中國電商集團美團，他們也打造一款物件偵測模型，宣稱比YOLO第五代和幾個主流物件偵測模型還要快且準，並以YOLOv6之名發表，因此來信告知中研院團隊與Alexey Bochkovskiy。</strong></p> <p><strong>但當時，中研院團隊也以YOLOv6命名自己研發的模型，且已完成大部分開發工作，論文撰寫也進入尾聲。面對這封Email，團隊與Alexey Bochkovskiy商討，決定改名，以YOLOv7為名延後發表，避免大眾混淆。Alexey Bochkovskiy同時告知美團，雖然他們可以YOLOv6之名發布模型，但不會列入官方維護版本。</strong></p> <p><strong>因為，他們認為，一個官方正式版本的發布，必須具備嚴謹的理論和實驗結果，也就是得在公認環境下，將自己的模型與SOTA模型比較，來驗證模型效能、說服大眾。Alexey Bochkovskiy在回覆美團的信件中表示，要納入官方版本模型，就得要有「Fair comparison」才行。</strong></p> <p><strong>與此同時，出於好奇，王建堯也做了一次實驗，來比對YOLOv6與YOLOv7的效能。當時，他向國網中心申請，設置一個等同於美團宣稱的測試環境，來比較YOLOv6和YOLOv7不同版本的表現。</strong></p> <p><strong>這個實驗為期數天，王建堯發現，在美團宣稱的環境下，也就是使用MSCOCO資料集、V100 GPU和batch=32的條件下，YOLOv6-n模型的推論時間為0.5毫秒，也就是每秒能處理2,000幀影像，平均精度（AP）為35.0%，而YOLOv7-tiny的推論時間是0.4毫秒，等於每秒能辨識2,500幀影像，平均精度為35.2%。</strong></p> <p><strong>也因此，就模型推論速度來說，YOLOv7比YOLOv6快了25%，而就平均精度來說，YOLOv7則比YOLOv6高出0.2%。後來，王建堯也將實驗結果寫進YOLOv7論文中，並附上不同模型版本的實測圖表，來說明評比結果。</strong></p> <p><strong>美團YOLOv6的出現，雖然影響中研院團隊的原定計畫，但也證明了YOLOv7的實力和模型設計方向。也因為YOLOv6突然出現，中研院團隊有機會進行比對實驗，並將最新數據納入論文中，讓人一目瞭然。中研院團隊最後也擇期在7月7日正式發表YOLO第七代模型。</strong></p> <p><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156079" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1122-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=Rnl12jC7" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/3/27 00:00作者王若樸https://www.ithome.com.tw/news/156088
玉山銀行也開始運用ChatGPT協助KYC開戶調查，未來Chatbot客服也要用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣金融業也開始有ChatGPT應用案例出現，不是測試，而是已經開始實際採用了。玉山金控科技長張智星近日在一場活動中透露，目前玉山內部已經開始採用ChatGPT幫助他們處理客戶開戶的KYC（Know your customer）的調查，包括負面新聞整理和摘要等，幫助他們從新聞內容找出開戶顧客有無負面行為或記錄，經過一段時間測試，發現效果不錯，甚至未來，玉山Chatbot聊天機器人也將接上ChatGPT，不再自行發展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230324_080245583.jpg" style="width: 600px; height: 338px;" /></p> <p>最近一周，AI圈發生很多大事，從OpenAI推出比ChatGPT的更強的GPT-4語言模型、到更進化的<span>圖像生成</span>工具Midjourney v5釋出，更有百度展示中國版ChatGPT文新一言，用來對抗ChatGPT。「這些大事不只讓許多新創團隊睡不著，也讓我都很難入睡」張智星有感而發的說。</p> <p>身為玉山AI發展和領軍關鍵人物，張智星看到這些日子以來AI進展飛快自己都感到驚訝，他表示， ChainGPT問世，等於說是AI界的奇點（Singularity ），帶動AI飛躍式成長，甚至在微軟和Google先後把生成式AI帶進Office365和Workspace後，他認為，現在AI已經全面進入到企業辦公室軟體裡面。</p> <p>當然，張智星也看好生成式AI在金融產業應用的潛力，所以3月初ChatGPT API一公布後，張智星和團隊也立刻展開評估，來決定哪些場景可以用，最後決定將ChatGPT先運用於內外部的KYC應用調查上，幫忙負面新聞查詢的重點整理和提供摘要。</p> <p>過去顧客來銀行開戶時，銀行會先進行負面新聞查詢，了解客戶的背景，查看有無涉及洗錢、貪汙、監管違規等負面資訊，但調查過程很花時間，得先將客戶姓名輸入到內部搜尋引擎，再由人員根據蒐尋引擎找到的新聞連結，來逐一查看有沒有任何負面新聞，光是把全部內容看過並整理完就需要一段時間，常常讓開戶顧客得等上好一陣子，因此，他們試著把這項工作交給ChatGPT來處理，來解決這個問題。</p> <p>張智星表示，現在只要把這些負面新聞內容輸入到ChatGPT中，再對ChatGPT給出合適提詞（例如找出這個人有沒有負面新聞等），ChatGPT看過一遍後，就會把這個人過去有沒有任何負面行為及負面新聞列出來，還可以幫你做重點整理和摘要，作業速度快上不少，從原本30分鐘，現在只要數分鐘就能完成，開戶顧客等待時間就會少佷多，也能服務更多新客戶。</p> <p>經過一段時間測試，發現使用ChatGPT的效果不錯，替他們省下不少查找時間，也能幫客戶可以更快完成開戶，目前已經在玉山內部開始運用，不過，張智星也表示，就算交給ChatGPT幫忙整理重點和列摘要，還會由人工做最後確認，不會完全靠ChatGPT，避免可能的出錯，比如因同名同姓而認錯人。</p> <p>不過，考慮到金融業對於資安有嚴格要求，玉山最後是透過微軟訂閱方案來使用ChatGPT，而不是直接採用Open AI官方ChatGPT。目前玉山是微軟ChatGPT方案採用的前幾家臺灣企業之一，也是臺灣金融業第一家。</p> <p>其實使用ChatGPT前，玉山AI團隊自己也想過是不是能夠建立出自己的ChatGPT，但訓練ChatGPT需要龐大的算力，很燒錢，不是一般企業可以自己來，單是GPT-3訓練一次的成本就要140萬美元，對於一些更大的LLM模型，訓練成本更是介於200萬美元到1200萬美元之間。</p> <p>他們自行比較了玉山銀行現有的AI訓練算力池，但發現如果想要練出和ChatGPT一樣的對話式AI水準，就算是把所有的訓練運算資源全部投入，也要1.2年才能訓練得出來，「可以想像這是多大的成本。」張智星也坦承，玉山短時間沒辦法立刻打造出像ChatGPT的AI對話系統。</p> <p>正是因為短時間很難超越ChatGPT，所以張智星的策略是，直接善用ChatGPT在對話式AI的卓越能力，讓他們可以把這類AI應用發揮得更好。</p> <p>例如玉山原本就有開發自己的Chatbot聊天機器人，也是實現玉山AI願景的重要關鍵，但現在有了ChatGPT以後，張智星明白表示，以後玉山Chatbot將接上ChatGPT，不再自行發展，但他也強調，這並不會讓他們過去投入事情因此白白浪費像做白工，「正是因為我們先把基礎設施都建好了，就可以在ChatGPT推出後很順利銜接上。」他表示。</p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/3/25 16:44作者余至浩https://www.ithome.com.tw/news/156118
【資安日報】3月25日，GitHub私鑰遭到「短暫」公開，該公司撤換部分金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上個月<a href="https://www.ithome.com.tw/news/155321">程式碼儲存庫GitHub察覺應用程式的簽章遭竊</a>，最近再傳資安事故──GitHub網站的部分私鑰不慎公開，該公司已採取緊急應變措施因應。不過，對於金鑰曝光的確切時間，他們沒有進一步說明。</p> <p>社群網站的資料庫沒有採取妥善的防護措施，而造成個資外洩，有可能讓使用者相關個資曝光，甚至影響人身安全。近日資安新聞網站發現韓國美容社交平臺PowderRoom資料外洩事故，並指出至少曝露超過一年。</p> <p>在一起針對電商網站的側錄攻擊行動裡，研究人員發現受害情況可能更加複雜，而使得遭到攻擊的網站更難清除相關的攻擊程式碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://github.blog/2023-03-23-we-updated-our-rsa-ssh-host-key/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub私鑰遭到公開，該公司進行緊急撤換</span></strong></a></p> <p>3月23日GitHub發布公告，表示近日他們網站的RSA SSH私鑰，短暫曝露於公開的儲存庫。對此，該公司進行部分的金鑰替換因應。而對於本次事故發生的原因，他們初步認為是無意間造成的錯誤，並非GitHub系統遭到攻擊，也沒有客戶個資被竊取。再者，目前尚未有證據顯示該公司曝露的金鑰遭利用。</p> <p><a href="https://cybernews.com/security/powder-room-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國美容社交平臺PowderRoom曝露百萬用戶個資</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PowderRoom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowderRoom.png" style="width: 200px; float: right;" /></a>資安新聞網站Cybernews揭露韓國美容社交平臺PowderRoom資料外洩事故，此平臺採用的資料庫內含近140 GB資料，包含使用者姓名、電話號碼、Instagram用戶名稱、居住地址，公開超過一年，一旦遭到濫用，攻擊者有可能挾持這些使用者帳號及支付資料購物，或是在PowderRoom平臺發表評論，甚至透過地址與電話號碼騷擾使用者。根據該資料庫存放的帳密資料，約有100萬個使用者受到影響。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/03/new-kritec-skimmer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電子商務平臺Magento遭到惡意程式碼Kritec側錄交易資料</span></strong></a></p> <p>資安業者Malwarebytes發現，在<a href="https://www.akamai.com/blog/security/magecart-attack-disguised-as-google-tag-manager">上個月雲端服務業者Akamai揭露的Magecart網站側錄攻擊</a>當中，發現出手的駭客組織可能有第二組人馬。</p> <p>當時Akamai指出，駭客為了隱匿行蹤，他們不只使用Base64演算法來處理惡意程式碼，並冒充Google Tab Manager等第三方網站服務。Malwarebytes的研究人員指出，在Akamai發現駭客所使用的側錄工具「WebSocket」之外，他們在受害的電商網站，還找到另一款名為Kritec的側錄工具，它會濫用Cloudflare的網域來隱匿基礎設施，且含有中介載入器等特徵。</p> <p><a href="https://blog.cyble.com/2023/03/21/notorious-sidecopy-apt-group-sets-sights-on-indias-drdo/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度國防研發機構DRDO遭駭客組織SideCopy攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Infection-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Infection-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露鎖定印度國防研究與發展機構（DRDO）的攻擊行動，巴基斯坦駭客組織SideCopy透過垃圾郵件挾帶ZIP附件檔案，其內容是偽裝成PPTX簡報的捷徑檔案（LNK），一旦收信人開啟，就會執行Windows元件mshta.exe存取指定的URL，下載HTA檔案，此檔案會在受害電腦投放PPTX的誘餌檔案、DLL程式庫載入工具。</p> <p>接著，該載入工具執行第二階段的HTA檔案、DLL程式庫載入工具，最終執行惡意程式cridviz.exe、RAT木馬程式Duser.dll，收集系統資訊，以及電腦所用防毒軟體的名稱，並回傳C2中繼站。</p> <p><a href="https://www.elastic.co/security-labs/naplistener-more-bad-dreams-from-the-developers-of-siestagraph"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南亞、東南亞遭到流量監聽軟體Naplistener攻擊</span></strong></a></p> <p>Elasticsearch旗下的資安實驗室揭露駭客組織Ref2924的攻擊行動，利用C#編譯的HTTP流量監聽工具Naplistener，針對南亞、東南亞的組織而來。研究人員看到攻擊者使用可執行檔型式的Naplistener，並以Windows服務植入受害電腦。</p> <p>值得留意的是，駭客為了迴避資安系統偵測，此監聽工具還會模仿網頁伺服器的行為，產生看似正常的流量，來隱匿其監聽行動。再者，此監聽工具的行動也不會在IIS伺服器留下事件記錄，導致無論是透過網路偵測或是事件記錄偵測都難以察覺。</p> <p><a href="https://www.fda.gov.tw/TC/newsContent.aspx?cid=4&id=t601584"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">食品藥物管理署網站遭到DDoS攻擊</span></strong></a></p> <p>3月24日，食品藥物管理署網站傳出遭到駭客攻擊，而無法存取，對此，食藥署發出公告，證實他們遭到分散式阻斷服務攻擊（DDoS），察覺異常流量後隨即啟動緊急因應措施，並與電信業者合作，現已恢復正常。食藥署指出，這次遭到攻擊的對象是DNS，導致使用者無法經由網址解析服務存取該網站的IP位址。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cisa.gov/news-events/alerts/2023/03/23/untitled-goose-tool-aids-hunt-and-incident-response-azure-azure-active-directory-and-microsoft-365"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA發布可在微軟雲端服務偵測惡意行動的工具</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於3月23日，發布名為Untitled Goose Tool的資安事件回應工具，目的是協助組織偵測微軟雲端環境的威脅，適用範圍涵蓋Azure、Azure Active Directory、Microsoft 365等。此外，該工具亦能從Microsoft Defender for Endpoint、Defender for Internet of Things收集額外的遙測資料。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.mitiga.io/blog/how-okta-passwords-can-be-compromised-uncovering-a-risk-to-user-data"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">身分驗證及管理系統Okta出現漏洞，恐曝露用戶明文帳號資料而被濫用</span></span></strong></a></p> <p><a href="https://blog.blacklanternsecurity.com/p/introducing-badsecrets"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Black Lantern提供開源工具Badsecrets，可偵測網頁應用程式框架曝露的帳密資料</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/operation-tainted-love-chinese-apts-target-telcos-in-new-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中東電信業者遭到中國駭客長達十年的攻擊行動</span></span></strong></a></p> <p><a href="https://www.cleafy.com/cleafy-labs/nexus-a-new-android-botnet"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">450款金融App遭到安卓木馬Nexus鎖定</span></span></strong></a></p> <p><a href="https://blog.phylum.io/malicious-actors-use-unicode-support-in-python-to-evade-detection"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件濫用萬國碼規避偵測</span></span></strong></a></p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/blackguard-stealer-extends-its-capabilities-in-new-variant"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">57種加密貨幣錢包遭竊資軟體BlackGuard鎖定</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156109">【3月24日】逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156071">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a></strong></p> </div></div></div>
2023/3/25 14:55作者周峻佑https://www.ithome.com.tw/news/156119
Google推出Jetpack Compose 1.4，還釋出全新多媒體函式庫Media3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出Android應用程式UI工具包<a href="https://android-developers.googleblog.com/2023/03/whats-new-in-jetpack-compose-march-23-release.html">Jetpack Compose的最新版本1.4</a>，該版本的新增包括分頁工具Pager和Flow布局功能，同時也提供開發者配置文字樣式的新方法，加入連字號（Hyphenation）和換行（Line-Break）行為等。</p> <p>Jetpack Compose現在能夠讓開發者簡單地創建垂直分頁和水平分頁，讓行動裝置應用程式使用者在螢幕上左右滑動，就能夠快速切換不同內容分頁（下圖）。而Flow布局則提供了一個新的內容折疊方法，當空間不足時，Flow布局允許項目折疊至下一列或下一行。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiELvzQcreOWwd1wEHdHUaxRC-MJ5chGqr_vueQQjRrY6jadlpDNJ2fQb1zkFrgaJ_qdq9nq6pt6PQ-A3Gw7QRO-C0JDdjOOImH1pygKk7zcKNX8PPoGb6dDE5y8xJvEdDKHCB2wWYlrRKXtfEW6sA6t22FPeSSgE8G1MCrDYmE6UyA7LIUJWOi1euy/s1600/image2.gif" style="width: 538px;" /></p> <p>Jetpack Compose 1.4也改進了Text和TextField的靈活性，除了修復錯誤、支援新的表情符號外，Google也解決TextField長期存在的問題，之前在特定情況，可滾動Column或LazyColumn中的文字欄位，在獲得焦點後會被螢幕鍵盤遮擋。Google透過重新設計滾動和焦點邏輯，並添加PinnableContainer等API，修正了這個問題。</p> <p>Text和TextStyle皆新加入更多自定義選項，像是能夠繪製描邊字體的TextStyle.drawStyle，可以配置換行行為TextStyle.lineBreak，以及使用TextStyle.hyphens加入連字符號。</p> <p>除了Jetpack Compose之外，Google還釋出全新多媒體函式庫<a href="https://android-developers.googleblog.com/2023/03/media3-is-ready-to-play.html">Jetpack Media3</a>，供開發者可以在應用程式中建置各種音訊和影像功能，官方表示，Media3與ExoPlayer、MediaCompat或Media2函式庫相似，但是Media3功能更加強大，除了播放功能之外，Media3更提供影片編輯和轉碼等新功能。</p> <p>隨著Media3的發布，ExoPlayer專案被棄用並轉入Media3中，成為Player介面的預設實作，名為com.google.android.exoplayer2，而獨立的ExoPlayer專案將停止開發，未來的更新都會在Media3中發布。</p> </div></div></div>
2023/3/25 11:41作者李建興https://www.ithome.com.tw/news/156111
Nvidia開源可用來建立數位雙生的物理機器學習平臺Modulus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia現在開源物理機器學習平臺<a href="https://developer.nvidia.com/blog/physics-ml-platform-modulus-is-now-open-source/">Modulus</a>，目的是要促進機器學習的協作、透明度和問責性發展。Modulus使用Apache 2.0授權成為開源軟體，研究人員現在已經可以在<a href="https://github.com/NVIDIA/modulus">GitHub儲存庫</a>，取用完整的Modulus原始碼。</p> <p>Modulus是一個先進的人工智慧物理模擬框架，透過結合物理和深度學習技術，可建構出高傳真參數化代理模型，能夠用於高效解決各種的問題。基於物理的機器學習可用於多種模擬運算，諸如流體力學、結構力學和計算化學等，Nvidia提到，以物理為基礎的機器學習，非常適合用來對物理系統建模，因此無論是氣候科學研究還是製造等產業，皆能夠用來部署數位雙生模型。</p> <p class="rtecenter"><img alt="" src="https://developer-blogs.nvidia.com/wp-content/uploads/2023/03/Climate-Scientists-Open-Source-Workflows-1.gif" style="width: 580px;" /></p> <p>Nvidia提到，開源Modulus帶來的好處讓使用者更容易協作，並與廣泛的社群共享工作成果，藉由公開程式碼和資料，也能夠提高物理機器學習的透明度和可重複性，使更多科學家便能夠驗證和重現結果。開源工作流程可以促進創新，使更多人可以建立在前人的工作基礎上，另外，開源也使得研究更容易被相關利益者接觸，擴大以物理為基礎的建模研究，擴展研究的影響力。</p> <p>不同領域的使用者，皆可以自由使用、開發和貢獻Modulus專案，Nvidia表示，過去幾年Modulus團隊和企業、人工智慧研究人員合作，擴充了平臺功能，因此Modulus現在涵蓋了更多領域，加入資料和物理驅動方法，用於解決工業規模的問題。所以Modulus包含了由資料驅動的神經運算子架構系列，包括圖形神經網路和物理資訊神經網路。氣象研究人員可以在Modulus上使用FourCastNet，動態模擬全球氣候的物理機器學習模型。</p> </div></div></div>
2023/3/25 11:50作者李建興https://www.ithome.com.tw/news/156112
Google雲端推出互動式數位主權探索工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google新推出的數位主權工具<a href="https://cloud.google.com/blog/products/identity-security/announcing-google-clouds-new-digital-sovereignty-explorer">Digital Sovereignty Explorer</a>，能夠以線上互動的形式，提供使用者一份個人化報告。透過回答一系列涵蓋數位主權、營運主權和軟體主權等問題，使用戶能夠更了解適用的解決方案和可採取的行動。</p> <p>隨著數位主權在企業推動數位化的重要性日益增加，特別是在歐洲市場，Google推出一系列針對歐洲法規的主權解決方案，但是因為數位主權的概念並不容易理解，企業在選擇適合的技術和解決方案上常面臨困難，因此Google現在進一步推出數位主權工具Digital Sovereignty Explorer，希望透過互動的方式引導企業用戶了解數位主權的重點和權衡，並針對各類的雲端工作負載，提供可用的解決方案。</p> <p>Google指出，目前數位主權的討論，通常僅關注資料落地（Data Residency）方面，但是Digital Sovereignty Explorer則涵蓋數位主權、營運主權和軟體主權等三大支柱。Digital Sovereignty Explorer透過一系列問題協助企業釐清需求，像是數位主權探討資料落地、管理存取控制和加密金鑰管理策略等主題，營運主權則深入探討當地合作夥伴的營運偏好，包括技術支援人員的配置，以及合作夥伴監督範圍等，而軟體主權則討論本地儲存、基礎設施等相關的潛在權衡。</p> <p>藉由使用Digital Sovereignty Explorer，企業能夠了解諸如限制內部人員存取智慧財產權的措施，政府機構也可以掌握安全處理敏感資料的選擇。Digital Sovereignty Explorer的互動性可讓企業針對其資料、營運、政策和監管義務，替雲端工作負載制定正確的控制政策。</p> <p>在用戶完成Digital Sovereignty Explorer中一系列問題後，便會收到總結報告，Google會根據企業的回答，提供參考資料，以及Google在歐洲的合作夥伴解決方案建議。</p> </div></div></div>
2023/3/25 11:57作者李建興https://www.ithome.com.tw/news/156113
【資安日報】3月24日，逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用惡意程式碼攻擊網站使用者的現象，我們前幾天介紹了從1.7萬個網站竊取帳密資料的金融木馬程式Mispadu，現在出現了規模更大的網站攻擊行動──這次駭客針對5.1萬個網站下手，透過多階段的惡意JavaScript注入與惡意程式碼參入正常程式碼等手法，使得瀏覽受害網站的使用者會被重新導向至惡意網站。</p> <p>除了網站資安事故相當值得留意，假冒廠商貸款名義的商業郵件詐騙（BEC）攻擊行動也同樣要小心，駭客看準了房地產業者會常常經手高額貸款的情況，發送有關的發票、電匯文件資料。研究人員指出，雖然他們成功發現駭客的意圖，但目標組織是否上當仍不得而知。</p> <p>手機、電腦內建的螢幕畫面截取工具竟存在漏洞，讓編輯過後的圖片留下有關資料，而有可能復原！研究人員認為，這樣的漏洞很可能也存在於其他廠牌的手機、電腦作業系統上。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://unit42.paloaltonetworks.com/malicious-javascript-injection/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾5萬個網站被植入惡意JavaScript程式碼，將使用者重新導向惡意網站</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-127351-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-127351-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露大規模的JavaScript程式碼攻擊行動，駭客約自2022年1月23日開始，不斷入侵網站並植入惡意JavaScript程式碼，使得瀏覽這些網站的使用者被重新導向至惡意網站，迄今有超過5.1個網站、17萬個URL遇害，這起攻擊行動在2022年5月至8月達到高峰，這段期間每天平均有4千個URL遭到相關攻擊。</p> <p>研究人員指出，駭客運用了多種混淆手法來迴避偵測，例如：利用String.fromCharCode函數埋藏惡意JavaScript的URL，或是使用十六進位表示法編碼，他們也看到將惡意指令碼注入到大型檔案，或是多階段注入指令碼的情況。</p> <p><a href="https://abnormalsecurity.com/blog/36-million-vendor-fraud"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借貸款名義發動BEC攻擊，企圖詐騙3,600萬美元</span></strong></a></p> <p>資安業者Abnormal Security揭露駭客假借廠商名義發動的商業郵件詐騙（BEC）攻擊行動，駭客聲稱自己是目標公司長期合作夥伴的高階副總裁暨法律顧問，發送帶有詐欺付款資訊的發票與電匯資料，申請3,600萬美元貸款。</p> <p>駭客為了取信目標公司，不只使用極為相似的網域名稱，甚至寄送副本給另一家知名的房地產投資公司（不過，上述的兩個網域，駭客都將.com的部分換成.cam）。再加上遭到鎖定的公司從事房地產業務，常常會經手處理高額貸款的審核與收發，而有可能不會留意到異狀，該資安業者呼籲相關業者要提高警覺。</p> <p><a href="https://www.group-ib.com/blog/venomous-vacancies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中東、非洲求職者遭到2,400個詐騙網頁盯上</span></strong></a></p> <p>資安業者Group-IB揭露為期一年、使用超過2,400個詐騙網站的求職詐騙攻擊，駭客自2022年1月至2023年1月，針對13個中東與非洲地區的國家、使用阿拉伯語的求職者下手，並偽裝成超過40個知名廠商，目的是騙取受害者的網路服務帳密資料。</p> <p>研究人員指出，從駭客假冒的公司所在地區來看，有近半數位於埃及（48%），其次是沙烏地阿拉伯和阿爾及利亞（23%、17%）；而根據產業類型而言，近三分之二是物流業（64%），其次則是食品與飲料業者（20%），以及石油工業（12%）。</p> <p><a href="https://jfrog.com/blog/attackers-are-starting-to-target-net-developers-with-malicious-code-nuget-packages/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件鎖定.NET開發人員而來</span></strong></a></p> <p>資安業者JFrog揭露惡意NuGet套件的攻擊行動，駭客在今年1月至2月，上傳13個套件，其中有3個在一個月裡總共被下載超過15萬次。</p> <p>研究人員針對這些NuGet套件進行分析，結果發現其主要功能都是於目標電腦執行PowerShell指令碼init.ps1，將PowerShell執行組態調整為不受任何限制，使得攻擊者能任意執行PowerShell指令碼，進而部署惡意酬載，最終竊取開發者的加密貨幣錢包。其中，有部分惡意套件並未包含惡意酬載，而是透過相依套件的方式進入目標電腦。</p> <p>此外，對於大部分防毒軟體而言，這些惡意酬載並不會被判定為有害，再加上開發者在Visual Studio安裝含有init.ps1的NuGet套件時，居然沒有任何警示視窗出現，導致開發人員很有可能難以察覺異狀。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/03/emotet-onenote"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet透過OneNote筆記檔案散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file72517_262451_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file72517_262451_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes針對殭屍網路Emotet的動態提出警告，指出相關攻擊在趨緩3個月後又再度捲土重來，這次駭客借助名為Epoch 4的殭屍網路基礎設施展開攻擊，並改用OneNote筆記檔案做為釣魚郵件的附件。</p> <p>一旦收信人開啟上述的附件檔案，就會出現「文件受到保護」的警示視窗，要求收信人點選檢視按鈕來瀏覽完整的內容，然而一旦照做，此OneNote檔案就會觸發指令碼，然後下載Emotet酬載，並透過regsvr32.exe載入、執行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-74842"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科網路設備作業系統IOS出現高風險漏洞</span></strong></a></p> <p>3月22日思科針對旗下網路設備作業系統IOS、IOS XE，發布半年度的例行更新，總共修補了10個漏洞，CVSS風險評分為4.4至8.6分，其中有6個是高風險等級。</p> <p>這些漏洞最嚴重的是CVE-2023-20080、CVE-2023-20072、CVE-2023-20027，都可能在攻擊者尚未通過身分驗證的情況下，用於阻斷服務（DoS）攻擊，CVSS風險評分皆為8.6分。這些漏洞分別與IPv6 DHCP（DHCPv6）Relay and Server、分段隧道協定（Fragmented Tunnel Protocol）的封包處理，以及IPv4的虛擬分段與重組（Virtual Fragmentation Reassembly，VFR）等功能有關。</p> <p><a href="https://www.da.vidbuchanan.co.uk/blog/exploiting-acropalypse.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">手機編輯過的照片有可能被復原！研究人員揭露Google手機圖片編輯工具漏洞Acropalypse</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FrdHHYdakAADqzZ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FrdHHYdakAADqzZ.png" style="width: 300px; float: right;" /></a>研究人員Simon Aarons和David Buchanan揭露名為Acropalypse的漏洞（CVE-2023-21036），這項漏洞存在於近5年的Google Pixel手機，對於透過手機的標記工具（MarkUp Tool）裁剪、編輯的部分內容，有可能因此而得以恢復，例如，使用者可能拍下信用卡外觀上的卡號與CVV驗證碼，再用上述工具進行處理以免卡號公開，而透過這個漏洞的濫用，攻擊者就有機會藉由上述漏洞還原成原始照片。</p> <p>研究人員表示，約有8成圖片修改內容可藉此回復原狀。Google獲報後，已於3月13日發布更新程式予以修補。但值得留意的是，這樣問題會影響最近5年內由前述工具編輯的照片，甚至也有可能出現在其他安卓手機。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-snipping-tool-privacy-bug-exposes-cropped-image-content/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows 11剪取工具也存在Acropalypse漏洞</span></strong></a></p> <p>研究人員Chris Blume指出，Windows 11的剪取工具（Snipping Tool）存在Acropalypse漏洞，而導致編輯過的PNG、JPG圖片檔案保有原本的IEND資料，而有可能被復原。這項漏洞也得到研究人員Will Dormann、資安新聞網站Bleeping Computer的確認。在此之前，智慧型手機Google Pixel的標記工具（MarkUp Tool）也曾出現Acropalypse漏洞。</p> <p><a href="https://blog.talosintelligence.com/vulnerability-spotlight-wellintech-ics-platform-vulnerable-to-information-disclosure-buffer-overflow-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國工業自動化軟體WellinTech KingHistorian存在高風險漏洞</span></strong></a></p> <p>思科威脅情報團隊Talos於3月21日，揭露2個OT資安漏洞，問題出在中國工業控制自動化業者亞控科技（WellinTech）旗下的時間序列資料庫平臺KingHistorian，其中較為嚴重的是整數轉換漏洞CVE-2022-43663，存在於SORBAx64.dll程式庫，CVSS風險評分為8.1；另一個漏洞是CVE-2022-45124，攻擊者可截取身分驗證的封包而造成資訊洩露，CVSS風險評分為7.5。WellinTech於3月17日，發布上述漏洞的修補程式。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156040"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣面臨網攻次數是全球平均的兩倍！2022年臺灣每週每個組織面臨3千次攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156101"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GoAnywhwere漏洞受害組織持續增加，多倫多市、維珍集團、P&G入列</span></span></strong></a></p> <p><a href="https://www.horizon3.ai/veeam-backup-and-replication-cve-2023-27532-deep-dive/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發布Veeam備份系統重大漏洞的概念性驗證程式碼</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156068"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">ChatGPT修補曝露用戶對話紀錄標題的漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156072"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS推出資料無塵室服務Clean Rooms，供企業與外部進行安全資料協作</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/03/23/cinoshi-project-and-the-dark-side-of-free-maas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客以服務型式提供惡意程式Cinoshi多種攻擊模組</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156071">【3月23日】北韓駭客鎖定南韓使用者的Gmail信箱，透過惡意擴充套件來竊取郵件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156035">【3月22日】缺乏管理的Linux伺服器遭到惡意軟體ShellBot入侵，被用於DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156024">【3月21日】臺灣金融機構面臨中國駭客的網釣攻擊，散布滲透測試工具Cobalt Strike</a></strong></p> </div></div></div>
2023/3/24 15:12作者周峻佑https://www.ithome.com.tw/news/156109
甲骨文MySQL HeatWave強化AutoML功能，增加自動化機器學習用例支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.oracle.com/mysql/post/mysql-heatwave-new-machine-learning-multicloud-capabilities">甲骨文（Oracle）資料倉儲分析工具MySQL HeatWave更新</a>，除了強化自動機器學習（AutoML）功能，增加支援的機器學習用例，同時也擴展MySQL HeatWave的多雲支援。</p> <p>HeatWave是甲骨文的高效能MySQL查詢工具，使用戶能夠快速地查詢儲存在MySQL資料庫的資料，而HeatWave原本就有提供內建在資料庫中的原生機器學習服務，能夠直接執行機器學習訓練、推理和解釋資料，提供自動訓練回歸、分類和單變數時間序列預測模型。</p> <p>而本次MySQL HeatWave的新功能，甲骨文擴展HeatWave AutoML生命周期自動化，新支援多變數時間序列預測、非監督異常偵測和推薦系統，資料分析師可以不需要專業人員協助，就能以互動式控制臺，建置、訓練、執行和解釋這些機器學習模型。</p> <p>多變數時間序列預測是以過去多變數時間序列，預測未來資料變化的一種方法，像是可用於建立模型，預測冬季用電需求等，多變數時間序列有多種可用的預測演算法，而挑選適合的演算法並非一件簡單的工作，現在MySQL HeatWave所提供的AutoML，能夠預處理資料，並且自動選擇最適合的機器學習模型演算法，還能自動調校模型。</p> <p>官方提到，他們在自動化預測工作管線中，使用由進階時間序列預處理、演算法選擇和超參數調校等多階段組成的專利技術，使得用戶可以不需要專業統計人員，就可以完成多變數時間序列預測。</p> <p>MySQL HeatWave新支援的無監督異常偵測，則可讓用戶能夠簡單地從未標記的資料集中，偵測不同類型的異常，官方解釋，有多種演算法都能夠用於偵測資料異常，但是通常只能偵測特定類型的資料，因此當用戶不知道資料集中存在哪些異常資料，演算法可能無法正確運作。</p> <p>而MySQL HeatWave所生成的模型，能夠針對各類型的資料異常，執行高精確度預測，而且該過程完全自動化，分析師不需要選擇演算法、特徵，也不用擔心超參數的數值。另外，MySQL HeatWave中的推薦系統現在也完全自動化，演算法、特徵和超參數最佳化都不需要用戶決定。</p> <p>甲骨文改進了在MySQL HeatWave與AWS服務的整合，MySQL HeatWave可在AWS上原生運作，並且提供S3最佳化儲存層，當MySQL資料要載入至HeatWave時，系統會將資料複製到S3擴展資料管理層，好處是當需要資料恢復，重新載入資料到HeatWave時，多個HeatWave節點可以平行存取資料，這大幅加速資料恢復速度和服務可用性，使得原本4 TB的HeatWave叢集從S3恢復只要3.5分鐘，比從MySQL重新載入資料需時140分鐘要快上許多。</p> <p>MySQL HeatWave控制臺開始支援MySQL自動形狀預測（Autopilot Auto-shape Prediction），該機器學習功能將會即時監控OLTP工作負載，預測應用程式的執行狀況和效能需求，根據歷史效能分析趨勢，像是吞吐量、緩衝區命中率，自動推薦適合的資料庫形狀。資料庫的形狀指得是資料庫執行個體的配置，包括CPU、記憶體和儲存空間等。</p> </div></div></div>
2023/3/24 16:30作者李建興https://www.ithome.com.tw/news/156110
CISA釋出Untitled Goose Tool，可偵測微軟雲端服務的惡意活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.com/cisagov/untitledgoosetool#about" target="_blank">美國網路安全暨基礎設施安全局（CISA）周三（3/23）透過GitHub釋出了Untitled Goose Tool</a>，此一工具專門用來偵測微軟Microsoft Azure、Azure Active Directory（AAD）與Microsoft 365（M365）環境中的潛在惡意活動。</p> <p>Untitled Goose Tool為一資安事件追捕與回應工具，它能匯出及檢查AAD登入與稽核紀錄、M365統一稽核紀錄、Azure活動紀錄、Microsoft Defender for IoT警報，以及Microsoft Defender for Endpoint的資料，分析這些紀錄與資料是否涉及可疑行為。</p> <p>亦可查詢、匯出及調查AAD、M365與Azure配置，或是無需額外分析就能自這些環境汲取雲端構件，設定統一稽核紀錄的時間與汲取特定期間的資料等。</p> <p>Untitled Goose Tool支援Python 3.7、3.8及3.9，CISA建議使用者於虛擬環境中使用該工具。</p> </div></div></div>
2023/3/24 14:46作者陳曉莉https://www.ithome.com.tw/news/156106
GoAnywhwere漏洞勒索軟體受害者持續增加，多倫多、維珍集團、P&G疑入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月間爆出已經遭濫用的GoAnywhere漏洞受害者持續增加。勒索軟體Clop背後的駭客公布最新感染企業或組織，包括加拿大多倫多市、英國維珍（Virgin）集團及民生化學用品巨擘P&G。</p> <p><a href="https://twitter.com/AlvieriD/status/1638894969653018624" target="_blank">安全研究人員Dominic Alvieri 發現</a>Clop駭客組織周三公布最新一波受害企業組織，包括加拿大多倫多市政府、維珍（Virgin）集團、P&G、荷美爾（Hormel）食品、慕尼黑再保險公司（Munich Re）、美國國際噴氣機貨運（AmeriJet Airlines）、礦業公司力拓（Rio Tinto）、教育集團Pluralsight、Investissement Québec、艾克塞斯銀行（Axis Bank）等。</p> <p>Clop駭客是濫用了GoAnywhere代管檔案傳輸（MFT）服務的遠端程式碼執行（RCE）漏洞CVE-2023-0669取得受害企業或組織資訊。Clop 2月表示共駭入了約130家企業組織。<a href="https://www.ithome.com.tw/news/156013" target="_blank">日立能源</a>、Rubrik、Investissement Québec已在本周稍早公布此事。</p> <p><a href="https://www.bleepingcomputer.com/news/security/city-of-toronto-confirms-data-theft-clop-claims-responsibility/" target="_blank">加拿大多倫多市政府周二證實</a>遭到資訊外洩攻擊。<a href="https://therecord.media/toronto-virgin-clop-hack-goanywhere" target="_blank">多倫多市政府</a>表示駭客經由第三方廠商存取市府資訊，但受影響範圍僅及該廠商處理的資料。但市府否認是遭到Clop攻擊，第三方服務也不是GoAnywhere。</p> <p>維珍集團旗下點數兌換業務Virgin Red、<a href="https://thecyberexpress.com/pg-cyber-attack-cl0p-ransomware-victim-list/" target="_blank">P&G</a>及Pluralsight也都坦承是GoAnywhere用戶且遭遇資訊外洩。Virgin Red和P&G都說只有員工資訊外洩，不影響客戶個資。Pluralsight則坦承企業客戶資訊被竊。</p> <p>Clop駭客昨日公布39家新增受害者，本周一共有72家企業或政府單位已經為人所知。2021年Clop已利用Accellion FTA漏洞感染數千家企業，基於GoAnywhere MFT和Accellion FTA的產品相似功能，媒體推測GoAnywhere MFT漏洞濫用可能還會持續及蔓延。</p> </div></div></div>
2023/3/24 13:54作者林妍溱https://www.ithome.com.tw/news/156101
Windows 11剪取工具臭蟲能讓所有編輯的圖片失效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現Windows 11的剪取工具存在一項臭蟲，能讓用戶剪裁過的圖片回復，不但會造成作業混亂，也有隱私問題。</p> <p>Windows和Android、iOS都提供讓用戶剪取、編輯或塗黑相片或圖片某個部分的工具，以便符合簡報需求，或隱藏隱私或機密資訊。不過上周有研究人員<a href="http://twitter.com/ItsSimonTime/status/1636857478263750656" target="_blank">David Buchanan及</a><a href="https://twitter.com/ItsSimonTime/status/1636857478263750656" target="_blank">Simon Aarons發現</a>Google Pixel手機中的標記工具（Markup Tool）有項臭蟲，能部分回復經用戶剪取或塗黑的圖片，而且久至5年前的相片都能作用。利用這項漏洞，使用者想隱藏的信用卡號或其他隱私資訊都可能曝光。</p> <p>研究人員稱此臭蟲為Acropalypse，<a href="https://acropalypse.app/" target="_blank">他甚至推出一個線上擷圖回復工具</a>，復原Pixel手機上經剪取編輯的圖片，並示範將測試用、以Pixel手機塗黑過再上傳到Discord網站的相片回復原圖。</p> <p><a href="https://twitter.com/ProgramMax/status/1638217206180741121" target="_blank">另一名研究人員Chris Blume則在Windows 11發現類似的問題</a>。假設有一幀PNG圖檔及以Windows 11剪取工具剪取的小圖，研究人員以Windows 11剪取工具開啟該剪裁過的圖片，再以原圖的檔名儲存，以覆蓋掉原圖。這個漏洞在於以Windows 11剪取工具新產生的PNG圖檔，並未移除掉原圖檔的IEND資料串，這使得新PNG圖檔看似是小圖，其實包含原圖資訊。</p> <p>研究人員Buchanan的工具是為Pixel手機相片設計的，但仍在測試中，部份回復了舊PNG圖檔（不過並非所有PNG格式）。</p> <p>此外，<a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-snipping-tool-privacy-bug-exposes-cropped-image-content/" target="_blank">《Bleeping Computer》測試發現</a>，Windows 11的剪取工具在編輯.JPG圖檔也有同樣問題。只是研究人員說，目前他的工具還不支援JPG檔。</p> <p>微軟對媒體表示已展開調查，必要時將採取行動確保用戶資訊。</p> </div></div></div>
2023/3/24 12:03作者林妍溱https://www.ithome.com.tw/news/156100
ChatGPT支援外掛，可使用外部服務搜尋即時資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/chatgpt-plugins" target="_blank">OpenAI昨（23）日宣布</a>ChatGPT可支援外掛，讓這個AI聊天機器人可以連上網際網路以搜尋即時資訊，或使用第三方服務。這也讓ChatGPT將變成開發平臺。</p> <p>OpenAI今天起開始釋出外掛，供用戶安裝，以便執行多項任務。這些外掛是以安全為核心理念，專為語言模型設計的工具，旨在讓ChatGPT存取最新資訊、執行計算或使用第三方服務。</p> <p>從ChatGPT上線以來，許多人要求外掛程式，也有開發人員展開實驗。透過使用外掛，未來ChatGPT可以幫用戶查閱新聞、訂機票，或從專屬資料庫搜尋資訊，而外掛開發人員則可以用它來實現更多使用情境。</p> <p>為進行測試，從今天起，OpenAI將從少部分使用者開始部署ChatGPT外掛，再逐步推向更多人，包括外掛開發人員及ChatGPT Plus使用者。而在Alpha版測試期過後，也會開放API使用者，使其將外掛整合到其產品中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0324-ChatGPT%20plugins-Browsing%20up-to-date%20information-600-2.png" style="width: 600px;" /></p> <p><a href="https://help.openai.com/en/articles/7183286-chatgpt-plugins" target="_blank">OpenAI QA網頁指出</a>，ChatGPT可以判別何時呼叫外掛，何時使用內建知識回答用戶問題。例如它若判別用戶問的是現在的事件，就會呼叫瀏覽器外掛，若是詢問簡單的數學或科學問題，就會以內建知識提供答案。使用者也可以要求ChatGPT使用外掛，例如「使用Expedia規畫我的紐約旅遊。」</p> <p>OpenAI希望藉此建立以ChatGPT為中心的社群，以型塑AI和人互動的新典範。<a href="https://twitter.com/sama/status/1638951865319821312" target="_blank">OpenAI執行長Sam Altman表示</a>很期待看到開發人員會用它來開發出什麼。</p> <p>今天上線的第一批外掛來自Expedia、FiscalNote、Instacart、KAYAK、Klarna、 Milo、OpenTable、 Shopify、Slack、Speak、Wolfram和Zapier等11款，將先部署給ChatGPT Plus訂閱用戶。此外OpenAI自己也提供2個外掛，包括用於解析程式碼及搜尋網際網路，以便ChatGPT可從外部網路搜尋到最新資訊，而非從原有訓練的資料庫取得較舊的答案。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0324-ChatGPT%20plugins-Browsing%20up-to-date%20information-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0324-ChatGPT%20plugins-Browsing%20up-to-date%20information-600.png" style="width: 400px;" /></a></p> <p>此外，OpenAI也開源知識庫Retrieval Plug-in的程式碼，讓開發人員可將特定資訊加入使ChatGPT更豐富。</p> <p>希望能開發ChatGPT外掛的開發人員需先在<a href="https://openai.com/waitlist/plugins" target="_blank">等候清單</a>註冊等待OpenAI開放。</p> </div></div></div>
2023/3/24 11:02作者林妍溱https://www.ithome.com.tw/news/156095
FTC將制止那些很難取消訂閱的行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2023/03/federal-trade-commission-proposes-rule-provision-making-it-easier-consumers-click-cancel-recurring" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周四（3/23）提出了一項新規定</a>，要求業者必須讓消費者取消訂閱與訂閱服務一樣容易，不再讓消費者落入無止境的訂閱循環中。</p> <p>FTC表示，訂閱服務是個很普遍的計畫，從化妝品、報紙到健身房都藉由訂閱服務來培養長期客戶，可同時造福企業與消費者，然而，當行銷人員未能充分披露資訊，未經消費者同意便展開收費，或者是讓取消訂閱變得很困難，例如要求客戶親自取消，或是要求消費者等待以與客服人員討論時，就會成為問題。每年FTC都收到數千筆有關上述作法的消費者投訴。</p> <p>此一提案為FTC審核《1973否定選項規定》（1973 Negative Option Rule）的一環，此一規定是用來打擊與訂閱、會員資格及其它經常性付款計畫相關的不公平或欺騙行為。</p> <p>其具體內容包括將要求業者提供簡單的取消訂閱機制，因為倘若消費者無法輕易離開任何訂閱計畫，該規定便無存在價值，因而要求業者至少要讓取消訂閱與訂閱服務一樣簡單，例如如果可以透過網路訂閱，那麼就必須可透過網路取消，而且步驟數量必須一致。</p> <p>其次是在消費者打算取消訂閱時，業者可提供額外的優惠及選項，但必須允許消費者拒絕任何其它選項而直接取消。此外，新規定也會要求業者必須在每年要自動續約之際提醒消費者。</p> <p>FTC主席Lina Khan表示，此一提案將替消費者節省時間與金錢，同時讓那些利用陷阱來哄騙消費者繼續訂閱的業者受到處罰。</p> <p>該提議很快就會出現在《聯邦公報》（Federal Register）上，並接受大眾的評論與意見。</p> </div></div></div>
2023/3/24 11:24作者陳曉莉https://www.ithome.com.tw/news/156099