iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

荷蘭政府將全面導入RPKI標準以防範BGP挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.forumstandaardisatie.nl/nieuws/secured-internet-routing-dutch-government-end-2024" target="_blank">荷蘭政府於今年4月宣布</a>，在2024年年底前，荷蘭政府旗下的所有IT系統都必須導入資源公鑰基礎設施（Resource Public Key Infrastructure，RPKI）標準，以避免邊界閘道協定（Border Gateway Protocol，BGP）遭到挾持。</p> <p>RPKI為一用來保護網路流量路由的開放標準，透過數位憑證來確認流量的路由是否來自原始網路供應商，集中存放的憑證可讓全球網路業者存取與驗證，避免路由外洩或是網路流量遭到挾持。導入RPKI有兩個步驟，一是由自治系統（AS）簽署路由來源授權（Route Origin Authorization，ROA）紀錄來證明其IP空間的合法來源，二是各AS可藉由ROA來避免選擇無效路由。</p> <p>不管是荷蘭外交部的IP位址在2014年遭到保加利亞電信營運商暫時挾持，或者是<a href="https://www.ithome.com.tw/news/131157" target="_blank">歐洲的行動流量在2019年不慎被導至中國電信的網路架構</a>等意外事件，都可受到RPKI的保護。</p> <p>其實荷蘭政府早在2019年便規定新採購案必須以RPKI為準，最新的政策則是要求所有既有的IT系統與服務都必須在明年底前升級至RPKI。目前荷蘭政府旗下所有網站已有77.9%採用RPKI，電子郵件伺服器亦有75.1%採用RPKI。</p> <p>過去幾年，資安業者不斷呼籲各界應利用RPKI來強化全球路由的安全性，<a href="https://blog.cloudflare.com/rpki-updates-data/" target="_blank">根據Cloudflare去年底的估計</a>，全球RPKI系統上已存放了近40萬個IPv4 ROA與逾8.6萬個IPv6 ROA，採用率約為40%。</p> </div></div></div>
2023/4/10 13:56作者陳曉莉https://www.ithome.com.tw/news/156316
推特開源的推薦演算法被發現有惡意屏蔽漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特開源推薦演算法才公布一個星期，<a href="https://github.com/twitter/the-algorithm/issues/1386" target="_blank">就被研究人員發現有漏洞</a>，可導致用戶帳號遭到惡意屏蔽（shadow banning）攻擊。</p> <p>所謂惡意屏蔽是指在社交媒體或部落格上，對用戶推文或文章施行封鎖、消音、負面評論等方法，使其帳號在社交平臺評等降低，導致其他用戶無法讀取其推文，但用戶本身並不知道自己遭到懲罰。</p> <p>推特在上周為實現馬斯克（Elon Musk）平臺運作透明化的承諾，而開源其「為你推薦」區呈現推文的演算法。研究人員Federico Andres Lois在檢視演算法程式碼時發現，當中存在漏洞，使攻擊者透過控制大量用戶帳號形成殭屍網路（botnet），對特定帳號聯合發送負面訊號，像是取消追蹤、消音、封鎖、檢舉等行為，形成類似阻斷服務（denial of service）的攻擊，造成其名譽評分降低。<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-29218" target="_blank">該漏洞已被列為CVE-2023-23218</a>，從3月起已發生多起攻擊。但技術細節並未公布。</p> <p>欲複製這種攻擊，攻擊者也可以號召一群觀點相同的使用者，以任何理由封鎖特定帳號，就可以產生DoS攻擊。此類手法可以被政黨或組織用來攻擊不同觀點的其他使用者。</p> <p>Lois指出，這種攻擊中，使用者不知道自己推文被屏蔽，就算知道也無法改變行為來回復，而且這類攻擊效果會累積，無論作者本身怎麼推文，都抵不過眾多負面訊號造成的減分效果。</p> <p><a href="https://twitter.com/elonmusk/status/1642324821324230657" target="_blank">推特執行長馬斯克回應</a>，若有人能糾出殭屍網路攻擊的元兇並使其定罪，將犒賞百萬美元。</p> <p>事實上，若撇開漏洞不談，惡意屏蔽或許並不是真的惡意，而是真的被取消關注了。例如馬斯克今年2月發現其推文觸及率降低，他相信有引發惡意屏蔽的臭蟲，但旗下工程師拒絕幫他解決「臭蟲」，認為只是粉絲對他不再感興趣。但這位工程師遭到馬斯克開除，<a href="https://www.ithome.com.tw/news/155501" target="_blank">這位CEO很快就叫其他人解決掉該問題</a>。</p> </div></div></div>
2023/4/10 10:40作者林妍溱https://www.ithome.com.tw/news/156311
蘋果緊急修補iOS、iPadOS及macOS Ventura 2零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周五緊急釋出<a href="https://support.apple.com/zh-tw/HT213720" target="_blank">iOS及iPadOS 16.4.1</a>，以及<a href="https://support.apple.com/en-us/HT213721" target="_blank">macOS Ventura 13.3.1</a>更新，以修補兩個已經遭濫用的零時差漏洞。</p> <p>根據蘋果的安全公告，這次修補的漏洞分別為CVE-2023-28205及CVE-2023-28206。CVE-2023-28206位於iOSurfaceAccelerator的越界寫入（out-of-bounds write）漏洞，可能讓惡意應用程式以核心權限執行任意程式碼。</p> <p>CVE-2023-28205則位於WebKit，為一使用已釋放記憶體（use after free）漏洞。攻擊者可設立惡意網頁，引導iOS裝置用戶存取，致使惡意程式碼在裝置上執行。</p> <p>兩個漏洞都是由Google威脅分析小組及Amnesty International安全實驗室研究人員Donncha Ó Cearbhaill發現及通報。更重要的是，蘋果警告，兩個漏洞都已遭人濫用。</p> <p>蘋果並未公布漏洞風險，<a href="https://www.tenable.com/plugins/pipeline/issues/136561" target="_blank">但安全廠商Tenable判定兩者皆屬於重大風險漏洞</a>。</p> <p>受到2漏洞影響的產品包括iPhone 8以上、iPad Pro（所有機種）、iPad Air 3以上、iPad 5以上、iPad mini 5以上產品，以及macOS 13 Ventura。舊版iOS、iPad及macOS產品則尚沒有更新版軟體可用。</p> </div></div></div>
2023/4/10 11:11作者林妍溱https://www.ithome.com.tw/news/156312
AI趨勢周報第212期：只用300美元，美頂尖大學聯手訓練出類GPT-4模型Vicuna
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0331～0406)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">GPT-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vicuna </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美頂尖大學聯手用300美元訓練出類GPT-4的大型模型Vicuna</strong></span></p> <p>在史丹佛大學用600美元打造ChatGPT複製版的模型Alpaca後，包含CMU、加州大學柏克萊分校、史丹佛大學和加州大學聖地牙哥分校在內的幾間美國頂尖大學，共同打造並開源一款類GPT-4的大型語言模型Vicuna，具130億參數，產出的回答可達等同ChatGPT九成的品質，且比Meta的LLaMA和史丹佛大學的Alpaca還要好，但訓練成本才300美元左右。</p> <p>Vicuna的訓練資料來自微調後的LLaMA，以及從ShareGPT收集的對話。ShareGPT是一個讓使用者分享自己與ChatGPT對話的網站，團隊在該網站收集了7萬多個對話，並強化了Alpaca產出的訓練腳本，來加強模型對多輪對話和長序列文字的能力。他們在1天內，以8個A100 GPU和PyTorch FSDP完成Vicuna的訓練，後來，團隊也設置80個多元的問題，讓不同模型來回答問題，並以GPT-4來評估這些模型的回答，包括Vicuna、Alpaca、ChatGPT和LLaMA。其中，Vicuna的總分是ChatGPT的92%，且生成的答案比Alpaca還要詳細、更有結構。但團隊指出，Vicuna在程式碼生成和基本數學問題的表現仍有待加強，且安全性也需進一步強化。<a href="https://vicuna.lmsys.org/">（詳全文）</a></p> <p><img alt="" src="https://vicuna.lmsys.org/assets/vicuna/overview.png" /></p> <p><img alt="" src="https://vicuna.lmsys.org/assets/vicuna/chart.svg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> UC Berkeley </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Koala </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>UC Berkeley打造研究查詢專用對話模型，打下LLM私有化基礎</strong></span></p> <p>加州大學柏克萊分校（UC Berkeley）最近發表一款對話式大型語言模型Koala，可回答研究相關的查詢問題，甚至模型產出的多數答案，比史丹佛大學的Alpaca模型要好，且至少一半的答案品質與ChatGPT相當。</p> <p>進一步來說，團隊先是收集網路上的對話資料，包括來自公開資料集和高品質的生成式AI對話，如ChatGPT/ShareGPT、Alpaca等，來微調Meta的LLaMA模型，並以此來訓練Koala模型。他們從ShareGPT收集的對話有6萬個示例，後來精簡為可用的3萬個，並採用HC3英語語料庫中人類與ChatGPT的問答共8萬7千多例，來訓練Koala。不只如此，他們也從Alpaca、開放式資料集OIG、OpenAI WebGPT等處收集高品質的訓練資料，並打造70億參數和130億參數版本的Koala。</p> <p>後來，團隊透過Amazon Mechanical Turk群眾外包平臺來評估Koala和Alpaca的效能，也就是讓100位使用者評比哪種回答較好，發現近一半的回答評為比Alpaca好，近70%則與Alpaca相當或比它好。團隊指出，雖然Koala的安全性和一致性仍有很大的進步空間，但與其他LLM相比，這種採用少量高品質資料訓練而成的模型，效能與千億參數的LLM相當，等於提供一種LLM私有化的發展基礎，也就是能自行訓練出等同於科技巨頭的大型語言模型。<a href="https://bair.berkeley.edu/blog/2023/04/03/koala/">（詳全文）</a></p> <p><img alt="" src="https://bair.berkeley.edu/static/blog/koala/model.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ViT-22B </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google將ViT擴大到220億參數，還結合LLM來執行機器人任務 </strong></span></p> <p>Google在3月底發表一篇部落格文章，說明團隊如何將Transformer電腦視覺模型ViT擴展至220億個參數，也就是ViT-22B，比之前同類型最大模型ViT-e大了5.5倍（原40億參數）。早在2月，團隊就已發表ViT-22B論文，這次則說明模型擴展方法，也就是結合了如PaLM模型採用的擴展方法，同時運用QK正規化來改善訓練穩定度，以及非同步平行線性操作來改善訓練效率。</p> <p>也由於ViT-22B有新架構和更有效率的分片配方，所以能在硬體利用率高的Cloud TPU訓練。此外，ViT-22B也因為使用凍結表示（Frozen representation）或全微調，因而在許多電腦視覺任務上都達到SOTA等級。特別的是，ViT-22B還能整合到擴展版的大型語言模型PaLM-e中，成功執行電腦視覺和自然語言任務，大幅提高機器人任務能力。<a href="https://ai.googleblog.com/2023/03/scaling-vision-transformers-to-22.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh4CdGZ16pDbbg-JG7xLv9tEIOWgGMU76nZhj8-7wShzNmxdYbZYnm8w8sbYxE0f7Re3m2ifTuhla_JjZNuuVWpYacvAPc_OAEPMZ4JAOfyXnL6IXunXeRwZrElZ80lBytEmCVTPig9aHRvxMActq46P2UXwzineeLm5EotSuKsdhpVMa3GKiPN3g8cKw/s16000/image3.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全性 </span></strong></span></p> <p><span style="font-size:22px;"><strong>等了6個月才發表GPT-4，OpenAI揭露AI安全性作法</strong></span></p> <p>儘管生成式AI帶來各種可能，也隱含不少安全風險。OpenAI近日公開AI安全性做法，他們指出，在發表任何新系統前，團隊都會進行一系列嚴謹的測試，並請外部專家提供回饋，藉由這種人工回饋強化學習技術來優化模型表現，同時打造監控系統，來觀測模型使用狀況。</p> <p>OpenAI透露，正因此，他們訓練完GPT-4後，額外花了6個多月來評估模型，確保模型的安全性和一致性，並有強大的監控系統，來防範濫用情況，比如使用者試圖上傳兒童性虐相關素材時，該系統會阻止該行為並通報美國受虐兒童中心。此外，OpenAI也與非營利組織Khan Academy合作，共同開發符合安全規範的AI助手，來作為學生的虛擬老師，也是老師的課堂助手。OpenAI同時也正開發輸出設定功能，要讓開發者用來調整模型輸出，能更嚴格控管輸出內容。</p> <p>同時，OpenAI也主張從實際應用來改善AI安全性。因為，僅在實驗室中評估，無法預測人們所有的運用方式。於是，OpenAI透過API提供模型技術，讓開發者將模型嵌入自己的應用程式，這種方法，讓OpenAI可掌握濫用行為並有所作為，也能從現實經驗中來制定更細緻的政策，來預防濫用風險。雖然現在只有ChatGPT Plus的訂閱用戶可使用GPT-4，OpenAI表示，他們希望以後能讓更多民眾使用。<a href="https://openai.com/blog/our-approach-to-ai-safety">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 圖像分割 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 訓練資料集 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開源圖像分割AI模型和訓練資料集</strong></span></p> <p>Meta最近開源圖像分割AI模型和訓練資料集，也就是Segment Anything Model（SAM）和Segment Anything 1-Billion（SA-1B）。圖像分割（Image segmentation）是電腦視覺的重要技術之一，它能辨識特定物件的像素，並將這些像素遮罩起來，就像是替特定物件著色一樣。圖像分割可用於多種領域，如相片編輯，但要建立準確的圖像分割模型，得要有大量標註的資料，以及模型基礎架構。</p> <p>於是，Meta發起Segment Anything專案，要打造圖像分割底層模型，來降低建模、打造基礎架構和資料標註的門檻。他們訓練的SAM模型經多元資料和不同任務訓練，可像NLP模型一樣按照提示執行，而且SAM可為圖像和影片中任何物件產生遮罩，包含訓練時未遇過的物件和圖像類型，涵蓋多種應用情境，甚至是水底相片或細胞顯微影像等新型應用領域。Meta指出，SAM還能作為大型AI系統的一部分，或整合提示工程來發展多模態應用，如理解網頁影像和文字內容，或用於AR/VR系統中，來根據使用者視線選擇物件，再將這個物件升級為3D物件。<a href="https://ai.facebook.com/blog/segment-anything-foundation-model-image-segmentation/">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.2365-6/338558258_1349701259095991_4358060436604292355_n.png?_nc_cat=104&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=GkL6VpgbExgAX9b2Vw8&_nc_ht=scontent-tpe1-1.xx&oh=00_AfBMBMyFkSzKwZR_SZJqDZEwO6Bc2Fxh8ike_Nc106f1AQ&oe=64382C09" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VS Code </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式碼 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot Chat </span></strong></span></p> <p><span style="font-size:22px;"><strong>VS Code 1.77新預覽功能，開發者在程式碼行內就能與AI對話</strong></span></p> <p>微軟最近推出新版開發環境VS Code 1.77，新版本加強了GitHub連結，還提供TypeScript/JavaScript的switch陳述式自動完成功能，開發者也能使用最新的Copilot Chat整合功能，在編輯器內直接向AI提問、得到程式碼建議。</p> <p>進一步來說，VS Code 1.77與Copilot Chat更深度整合，Copilot會在開發者處理程式碼時，直接在程式碼行內顯示建議，開發者也可隨時在程式碼編輯器中向Copilot提問，並要求Copilot尋找程式碼內的臭蟲或解釋程式碼的意義，甚至是建立測試。Copilot的對話框現在會出現程式碼的下方，供用戶輸入指令。開發者要使用這項深度整合功能，除了需要獲得Copilot Chat存取權限外，還要安裝GitHub Copilot Nightly版本擴充套件，以及Insiders版本VS Code。<a href="https://code.visualstudio.com/updates/v1_77#_github-copilot">（詳全文）</a></p> <p><img alt="" src="https://code.visualstudio.com/assets/updates/1_77/slash-commands-example.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Databricks </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 製造業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖倉 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks推出製造業資料湖倉，加速資料分析和AI開發</strong></span></p> <p>Databricks近日推出製造業資料湖倉平臺（Lakehouse for Manufacturing），在自家原有的核心資料湖倉平臺上，開發出適合製造業的資料分析解決方案和預建加速器，來支援數位雙生、物料預測、設備效率分析等應用。</p> <p>Databricks資料湖倉是一種新型資料架構，整合了資料湖和資料倉儲，可同時處理結構化和非結構化資料，且支援即時的資料處理與分析。此前，Databricks就已針對醫療業和金融業等產業推出專用資料湖倉解決方案，現在進一步發展出製造業專用平臺，單一平臺就能處理製造業因龐大資料量而產生的儲存和倉儲連結問題，並統合結構化與非結構化資料分析作業，改善過去分析碎片化問題。此外，使用者還還能採用，支援各種工業資料應用的內建解決方案加速器，來加速數位雙生、物料預測、設備效率分析、電腦視覺和預測性維護等應用的開發。<a href="https://www.databricks.com/blog/2023/04/04/the-lakehouse-for-manufacturing">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta預計下半年用AI生成廣告</strong></span></p> <p>Meta技術長安德魯．博斯沃思（Andrew Bosworth）日前透露，Meta要在廣告業務中，大量使用AI來替企業客戶生成廣告，預計今年下半年開始。博斯沃思接受日經亞洲採訪時，說明Meta將以AI來改善核心業務，旗下產品Facebook、WhatsApp和Instagram會先開發由AI生成的廣告給受眾。</p> <p>他指出，Meta幾個月前剛成立生成式AI團隊，是他與執行長祖克柏和產品長Chris Cox投資最多時間和精力的專案。而該團隊的目標，就是要用AI來優化文字訊息（應用於WhatsApp和Messenger）與圖像生成（如Instagram濾鏡和廣告），透過AI生成廣告也是目標之一，甚至未來，Meta希望透過大型語言模型來建立3D模型，進而推動虛擬世界和元宇宙業務發展。<a href="https://asia.nikkei.com/Business/Technology/Meta-to-debut-ad-creating-generative-AI-this-year-CTO-says">（詳全文）</a></p> <p>圖片來源／CMU、UC Berkeley、Google、Meta、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 華為打造參數破兆的大型語言模型盤古-Σ</strong></p> <p>資料來源：iThome整理，2023年4月</p> </div></div></div>
2023/4/9 00:04作者王若樸https://www.ithome.com.tw/news/156310
Nvidia雲端新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1124-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=knFNeRMM" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GTP-4發表不到一周，當全世界再次感受到生成式AI的新威力時，Nvidia趁勢發表了全新的商業模式，這一次不只賣斷AI軟硬體，更要打造雲端AI工廠，讓企業按月租用AI超級電腦</p> </div></div></div>
2023/4/10 00:00作者王宏仁https://www.ithome.com.tw/article/156287
小電商迎戰巨頭規模戰如何突圍，全面靠數據驅動營運是關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電商競爭越來越激烈，沒有個幾十億資本，連在市場上存活都很辛苦。」電商集團創業家兄弟技術長暨資安長林尚蔚直言。他說，擁有雄厚資本的大型電商，不僅商品成本和售價可以更有競爭力，還有各式非金錢資源可以支援。相較之下，中小型電商投資技術、人力及行銷活動很難一擲千金，需優化內部效率，來提升競爭力。</p> <p>旗下有快消品選務電商生活市集及家居電商松果購物的創業家兄弟，就是這類中小電商。資本拚不贏電商巨頭，創業家兄弟除了鞏固市場定位，還要盡可能優化溝通、決策及營運效率，更善用新興科技優化甚至推出創新服務。</p> <p>全面推動數據驅動文化是其中最重要的一項做法。現在，創業家兄弟大部分部門都配有專責資料商業分析師，不用請IT進系統撈取數據，便能快速從BI工具中整理出第一線營運報表。他們把數據用於精準行銷、個人化購物體驗、消費者終身價值分析，未來還要用數據開發更多應用，例如個人化室內設計模擬、和更精準的商品及內容推薦。「數據已經內化到我們日常工作流程中，成為共同語言。」林尚蔚說。</p> <p>要做到這件事，對創業家兄弟來說，尤其不容易，因為集團是由松果購物與生活市集兩家截然不同的電商組成。林尚蔚說，兩家電商在商業模式、行事邏輯、工作流程都不盡相同，要做到集團上下都能用數據溝通，不僅需要底層數據技術相容，內部更需要做到對數據解讀認知相同。</p> <p>推動數據驅動文化的一大功臣，就是林尚蔚。2013年，他作為二號工程師加入創業家兄弟，後來調職到當時仍獨立營運的松果購物擔任技術長。由於求學期間研究資料探勘、機器學習等數據相關領域，他被指派到資料科學部門負責相關數據基礎設施的建立，調任到松果購物後，更成立了松果的資料科學部門，用相同方法建設數據蒐集數據。</p> <p>松果營運團隊整併到集團後，林尚蔚與創業家兄弟時任技術長李彥寬成為共同技術長，一同弭平集團內部對數據應用的認知差異，同時對齊了兩家電商的溝通模式和商業邏輯，進一步提升營運效率。</p> <p><span style="font-size:28px;"><strong>打造兩電商數據蒐集機制，意外奠定未來集團數據應用基礎</strong></span></p> <p>論及加入創業家兄弟以來推動最重要的事，林尚蔚說，是在生活市集建立數據蒐集機制，並於調任松果購物時使用同一套邏輯建設數據蒐集機制。創業家兄弟早期對數據科技的投資，使他們後續決定發展個人化推薦機制、精準行銷，乃至於AI應用時，都有充足數據來支援。</p> <p>雖然創業家兄弟很早就建立了資料蒐集機制，但林尚蔚坦承，起初只是無心插柳，「剛開始沒有想到未來數據可以怎麼用，只覺得電商必須要蒐集數據。」直到2016、2017年，創業家兄弟首次進行AI應用的PoC，才真正開始重視資料分析能力。因此2018年，他們正式成立了資料科學部門，發展各式數據應用。這之後，他們開發出不同的個人化推薦功能，例如客製化商品排序和個性化搜尋推薦等。去年開始，更集合行銷人員、數據工程師和資料科學家等跨領域人才，組成成長團隊，探索更多數據應用。</p> <p>要能做到這些事，不是數據結構相同就能做到。集團要推動數據驅動決策跟應用，還有關鍵的一步：統一內部人員解讀數據的方法。</p> <p><span style="font-size:28px;"><strong>設計統一格式營運數據報表，增進內部決策溝通效率</strong></span></p> <p>2020年，松果購物營運團隊正式合併到創業家集團中。時任兩名技術長，一方面為了使工作流程更協調、另一方面為了避免開發和維運的重工，開始整併IT部門。第一步是，統一集團內部使用數據驅動決策的模式。林尚蔚說，他們選擇優先推動數據工作流程統一，而非系統架構整併，是因為前者可以直接提升內部工作效率及消費者服務體驗，且對IT團隊開發效率影響甚小。</p> <p>統一數據工作流程首要之務，是對齊兩電商團隊對數據的定義。林尚蔚回憶，統一數據定義前，集團內有些看似數據驅動的討論，往往會淪於空談。他舉例，當時，松果購物和生活市集時常會請雙方工程師從各自資料庫中撈取資料來交叉比對，試圖比較雙方表現，來促進彼此經驗交流，「但這些數據真能比較嗎？」</p> <p>他舉例，若兩家電商想要從數據觀察如何提升廣告轉換率，會面臨多個數據定義分歧。首先是轉換率，要追蹤的行為是點擊還是購買？從曝光到行為的間隔是以時間計算、以Session（瀏覽器連線期）計算，還是其他指標？進站次數如何計算？流量來源的優先度排名是否統一？Organic Search（有機搜尋）流量的歸因和定義方法是否相同？他指出，這些數據名詞雖然概念相同，但背後細節定義不同，雙方數據就無從比較，「但當時很多人不太清楚，哪些數據真的能拿來比對。」</p> <p>為了讓兩家電商數據更容易比較，創業家兄弟數據工作流程統一的第一階段目標，是做出跨電商營運數據報表。為此，他們設立一個專案小組，囊括雙方人員，共同決定這個報表的呈現格式、數據指標及數據定義。林尚蔚說，企業如何用數據驅動決策，及背後的商業模式，應該要能在企業營運報表呈現出來。因此要設計這份新的營運報表，不只需對齊兩家電商對數據的定義，更要求雙方人員融會貫通彼此的商業模式，才能做到。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E6%8A%BD)%E6%9E%97%E5%B0%9A%E8%94%9A_%E5%89%B5%E6%A5%AD%E5%AE%B6%E5%85%84%E5%BC%9F.png" style="width: 600px;" /></p> <div><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></div> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>企業如何用數據驅動決策，及背後的商業模式，應該要能在企業營運報表呈現出來。── 創業家兄弟技術長暨資安長林尚蔚</strong></span></span></p> <p><span style="font-size:28px;"><strong>整合會員數據定義，同時對齊數據驅動行銷的操作邏輯</strong></span></p> <p>統一了營運數據的內部認知，下一步，創業家兄弟IT團隊著手統一會員數據定義，以利推動精準行銷。</p> <p>為了保護會員個資，生活市集和松果購物的會員資料儲存在各自資料庫中，兩家電商不能存取到彼此會員的個人資料。因此創業家兄弟採取的方法是，定義共同行銷邏輯和方法，再依此來統一會員數據定義跟指標。此階段，他們統一了商品回購周期、活躍客與流失客等行銷指標的定義，並對齊了會員興趣和行為的貼標邏輯。</p> <p>林尚蔚補充，統一行銷邏輯及數據定義，對創業家兄弟意義尤其重大。第一個原因是，他們沒有使用第三方行銷科技廠商的解決方案，行銷系統都是自力開發及維護，因此統一後，兩家各自行銷系統運作邏輯更接近，更易於管理。不只如此，創業家兄弟過去主要的行銷過去多為Line及App推播，以及Google關鍵字廣告，不過近年數位廣告價格大漲，且第三方Cookie即將退場，林尚蔚希望趁早完善前兩項利用自家數據來行銷的機制，不僅可以省下行銷費用，也能降低第三方Cookie退場對行銷成效的衝擊。</p> <p>林尚蔚形容，創業家兄弟的數據蒐集機制是「層層疊加」，依據業務開發需求，逐步加入蒐集的數據種類。例如，一開始他們想了解銷售狀況，因此從蒐集營業數據做起。當數位會員經營和精準行銷成為顯學，他們便開始蒐集消費資料及購物行為資料。未來若有更多進階應用，也會持續增加數據種類。「CDP開始在業界熱門之前，我們就已經在蒐集多通路的數據，用來綜合分析、應用了。」他說。</p> <p><span style="font-size:28px;"><strong>資訊架構合併也考驗團隊溝通效率，IT改擁抱敏捷開發框架</strong></span></p> <p>除了統一數據工作流程，IT部門整併還有另一關鍵任務是系統架構合併。只不過，生活市集是B2C電商，松果購物則是B2B2C電商，兩者商業模式不同，IT架構設計自然不同。林尚蔚舉例說明，前者的商品上架系統會比後者簡易，但客服系統會更複雜。</p> <p>林尚蔚回憶，創業家兄弟花了約一年時間，將兩家電商系統「重寫」──而非只是重新架構──打通兩邊資料流，再從購物、結帳流程開始，把兩家電商前後端可共用IT資源的系統，寫成一套新架構。為了確保系統升級順暢，他們有意識的降低新舊系統耦合性，並在上線初期分配流量，慢慢測試新系統實際運作情況。至今，兩家電商的系統有7成在新架構上，其餘客戶資料庫等不能共用的系統，則留於舊有架構中各自運作。透過改寫系統、導入新架構，現在只需1名專職基礎架構工程師，即能負責兩個網站超過50臺容器加機器的部署與維護工作。</p> <p>雖然系統重寫在技術上是大工程，但林尚蔚說，當時面臨最大的挑戰其實是雙方IT團隊溝通困難。尤其當時松果IT團隊規模較小，內部溝通流程較為簡易，甚至能只靠默契。加入人數2倍於他們的創業家兄弟團隊後，這些溝通方法便不再有效。</p> <p>雙方工程師尚未建立默契與信任關係，且溝通模式、開發方法都不同，卻要於合併初期就協作如此大規模的專案，使系統合併進度相當緩慢。好在，林尚蔚過去是生活市集技術長的部屬，已有多年合作默契，因此他們不僅充當雙方工程師的潤滑劑，更導入了新開發模式，來加速兩方團隊融合。</p> <p>創業家兄弟決定從看板（Kanban）式開發，改成Scrum敏捷開發框架。林尚蔚表示，剛開始不熟悉敏捷團隊組成和分工方式，往往一個團隊集結了雙方的設計、PM，以及網頁、App、後端工程師等，高達15人以上。但，Scrum開發模式已經明顯提高了開發效率，隨著彼此溝通默契及工作效率提升，團隊規模跟分工就變得越來越精簡，這也成了現在，創業家兄弟IT開發任何新專案的預設模式。</p> <p><span style="font-size:28px;"><strong>成立成長團隊，研究數據如何進一步應用於電商</strong></span></p> <p>企業內部數據認知及IT團隊溝通流程都統一後，創業家兄弟也開始研究如何利用數據開發更多進階應用。去年，他們成立了一個成長團隊（Growth team），集合商業分析師、雙方PM及前後端工程師，來一同研究如何利用CRM和CDP數據，開發更深度的會員分析方法及更多元的購物體驗。</p> <p>一個已經完成初步PoC的專案是，結合會員購買意圖數據、商品數據及圖像生成AI，來做室內裝潢情境圖生成。林尚蔚說明，這個功能利用現在常見的AI圖像生成技術，以消費者喜好標籤作為生成指令，再用創業家兄弟的商品作為圖像生成素材，為消費者提供室內設計參考。生成情境圖後，消費者便能在情境圖中瀏覽、購買商品。</p> <p>另一個進行中的研究，是以大型語言模型計算出商品、搜尋內容跟文案的Embedding vector，來強化網站內容的關聯性判斷，進而優化SEO行銷。林尚蔚坦言，去年他們曾因消費者從Google搜尋到站內搜尋結果的頁面，意外將消費者導至與搜尋內容不符的商品而造成爭議。他說，每天會有成千上萬自動產生的站內搜尋結果，以當時技術，實在難以完全杜絕關鍵字與實際商品關聯性過低的問題，但用Embedding vector來判斷搜尋內容和商品的關聯性，就有望減少類似情況再次發生的風險。他也表示，經過該次事件，新成立的成長團隊嘗試新技術時，會抱持樂觀但謹慎的態度，唯恐對科技不夠熟悉，釀成意料之外的後果。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>創業家兄弟技術長暨資安長　林尚蔚</strong></p> <p>學歷：高雄應用科技大學資訊工程系研究所碩士</p> <p>經歷：2013年加入創業家兄弟成為第2位工程師，負責全端網頁開發，任內推動電商數據蒐集機制的建設，後調任為同集團的松果購物技術長，以相同方法建設數據蒐集機制，奠定未來集團數據應用的技術基礎。集團整併後，回到創業家兄弟擔任技術長暨資安長</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%89%B5%E6%A5%AD%E5%AE%B6%E5%85%84%E5%BC%9F-v2.jpg" style="width: 250px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>創業家兄弟</strong></p> <p>成立時間：2012年</p> <p>業務介紹：電子商務、網路零售</p> <p>董事長：郭書齊</p> <p>營收：年營收約23.5億元（2022年）</p> <p>地址：臺北市南港區三重路19-3號D棟5樓</p> <p>員工人數：130人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>2012年：創業家兄弟股份有限公司創立</p> <p>2016年：正式掛牌上櫃。同年跨入B2B2C電商領域，成立創宇行動公司，推出松果購物平臺。同年開始自建數據平臺，開發首頁個人化推薦系統，導入機器學習持續改進推薦與搜尋排序</p> <p>2018年：資料科學部門正式成立</p> <p>2020年：創業家兄弟與松果購物整併</p> <p>2022年：成立成長團隊，探索CRM跟CDP上的數據如何更進一步用於開發新購物體驗</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-lin_shang_wei_chuang_ye_jia_xiong_di_-v2.jpg" width="960" height="420" alt="" title="創業家兄弟技術長暨資安長林尚蔚　（攝影／洪政偉）" /></div></div></div>
2023/4/10 00:00作者郭又華https://www.ithome.com.tw/people/156288
Chrome率先預設支援網頁繪圖API WebGPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.chrome.com/blog/webgpu-release/">Google宣布</a>Chrome 113將開始預設支援網頁繪圖與計算API WebGPU，使得Chrome能夠高效能地處理3D圖形，並且執行資料平行運算任務。目前主要瀏覽器Firefox和Safari對WebGPU的支援都還在開發階段，Chrome則是率先提供初始實作。</p> <p>過去要在不使用外掛程式的情況下，於瀏覽器中呈現互動式2D和3D圖形，便需要用到網頁繪圖 API WebGL，這是一個以OpenGL ES標準為基礎的JavaScript API。不過，WebGL存在許多缺點，因為WebGL受限於較舊的OpenGL ES設計，因此無法良好地發揮當前GPU的能力，而且也與部分硬體和驅動程式有相容性問題，令人詬病的還有API設計過於複雜，使得開發和維護工作難度增加，同時，WebGL還有一些安全性問題，其允許網站存取敏感GPU資源。</p> <p>而WebGPU的出現便是要取代不敷使用的WebGL，WebGPU由Apple、Google、Mozilla和微軟等W3C成員所共同組成的GPU for the Web工作組開發，其目的是要建構一個可跨不同作業系統、硬體平臺的統一標準，讓開發者能夠更輕鬆地編寫網頁高效能圖形和運算程式。</p> <p>WebGPU的角色與Direct3D 12、Metal和Vulkan等繪圖API相同，透過公開硬體功能供開發者在GPU上執行渲染和運算操作。WebGPU相較於WebGL有許多優點，除了效能大幅提升，對現代硬體支援更好之外，WebGPU API簡潔易用，之前在WebGL渲染物件，開發者需要替每一個物件配置一系列的狀態變更呼叫，光是渲染一個物件可能要呼叫超過10個函式，而在WebGPU卻只要兩行程式碼。</p> <p>另外，WebGPU也能夠更好地支援一般運算，並且從設計根本考量網頁平臺的特性，除了提供慣用的JavaScript API之外，也支援匯入影片，並且提供大量有用的除錯訊息。目前這個WebGPU版本是一個基礎，工作組還將在API提供更進階的繪圖功能。</p> <p>WebGPU從2017年開始發展，歷經6年集結90位貢獻者、2,000次提交和3,000個問題，現在第一個實作在Chrome上提供。開發者可以使用Chromium的Dawn函式庫，以及Firefox的wgpu函式庫來開發WebGPU程式，兩者都抽象作業系統GPU API，並提供良好的可移植性。</p> <p>已經有一些函式庫開始支援WebGPU，過去支援WebGL的函式庫，要增加WebGPU的支援只需要稍經修改即可，目前Babylon.js、PlayCanvas和TensorFlow.js等函式庫都已經支援WebGPU。使用者已經可在支援Vulkan的ChromeOS裝置、支援Direct3D 12的Windows裝置，以及macOS裝置上的Chrome 113上用到WebGPU，Google提到，他們之後還會推出對Linux和Android平臺的支援。</p> </div></div></div>
2023/4/8 14:46作者李建興https://www.ithome.com.tw/news/156299
Meta開源內部使用的高效能大規模建置系統Buck2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta開源內部使用的大型建置系統<a href="https://engineering.fb.com/2023/04/06/open-source/buck2-open-source-large-scale-build-system/">Buck2</a>，該系統以Rust編寫，其建置速度是第一代Buck1的2倍，可供開發者更快速地進行程式迭代。Buck2的特色在於完全分離核心與語言規則，具有更高的平行性，整合遠端執行和虛擬檔案系統，並且重新設計了控制臺輸出。</p> <p>Meta之所以如此重視建置系統，甚至將Buck1徹底重構的原因，官方提到，更快速且高效的建置系統將直接提高開發人員的效率。因此Meta重新設計出大規模建置系統Buck2，目的是要進一步提升開發人員的生產力。</p> <p>Meta在設計Buck2時，僅保留了Buck1的核心概念以及工作流程，其餘完全重寫，而Buck2的一大特色便是完全分離核心與語言規則，這與Buck1和類似的系統Bazel有很大的不同，Buck1是把所有語言規則都寫在核心中，而Bazel也是將C++、Java語言規則寫在核心中。</p> <p>Buck2的核心是以Rust開發，而像是建置C++等語言規則是以Starlark編寫，Buck2將核心與語言規則分開，使得規則更容易改變和理解，當需要支援新語言或是更改既有語言規則時，維護人員僅需要專注於特定語言模組，不需要徹底重構整個系統。</p> <p>分離核心和語言規則能夠更有效地降低系統複雜性，維護人員可以更好地理解、修改和維護各部分，在不影響整體運作的情況下，獨立更新特定語言規則，不只降低錯誤風險，也提高了整體開發速度。</p> <p>除此之外，與Buck1和Bazel相比，Buck2建置系統使用單一增量相依圖（Dependency Graph）驅動建置過程，因而改善了多階段性建置帶來的問題。Buck2在整個建置過程，只會有一個相依圖，隨著開發過程進展增量更新，不只能夠有效追蹤程式碼更改和相依項目變更，也能確保只對有變化的部分重新編譯和連接。</p> <p>由於在傳統建置系統的建置過程，經常存在包括編譯、連結等多個階段，這些階段有先後順序，期間還會產生中間產物，因此Buck2沒有階段建置的特性，代表著建置過程更簡單且高效率。Buck2的執行速度非常快速，明顯快過Buck1，在沒有程式碼變更的情況下，Buck2幾乎能夠即時處理後續建置工作，即便有許多工作需要執行，Buck2的平行性運算優勢也能大幅加速建置。</p> <p>Buck2良好支援遠端執行，使用與Bazel相同的API，可在遠端機器上運作，且Buck2和虛擬檔案系統整合，不會簽出（Checked out）整個儲存庫，而是僅按需存取檔案。目前Meta所開源的這個Buck2版本，幾乎和內部使用的版本相同，僅有換掉編譯器工具鏈和遠端執行伺服器，並且換上開源替代專案。</p> </div></div></div>
2023/4/8 14:50作者李建興https://www.ithome.com.tw/news/156306
【資安日報】4月7日，英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是將開發環境組態公開於網站上引發的資料外洩事故！而且，這樣的情況還是發生在專門提供數位ID驗證服務的資安業者。研究人員指出，這起事故不只洩露該公司內部的資料，還牽連英國、澳洲多家大型金融機構。</p> <p>使用者想要尋找VPN服務要留意！最近有人假借提供這類服務的名義散布竊資軟體OpcJacker，然後進一步於受害電腦部署木馬程式、遠端桌面連線程式，以便進行第2階段攻擊。</p> <p>除了我們必須駭客散布惡意程式的手法提高警覺，駭客企圖引誘新血投入的情況也值得留意。有資安業者發現駭客利用加密通訊軟體Telegram散布網釣工具包的情況越來越常見，但這麼做的目的，主要是吸引缺乏相關技能的新手投入網路犯罪。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cybernews.com/security/ocr-labs-exposes-its-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位ID驗證解決方案業者OCR Labs曝露開發環境配置檔案，客戶資料面臨洩露風險</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OCR.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OCR.png" style="width: 300px; float: right;" /></a>資安新聞網站Cybernews的研究人員於3月8日，在數位ID驗證解決方案業者OCR Labs的網站idkit.com上，發現可公開存取的開發環境配置檔案（ENV），其內容包含了資料庫帳密、AWS簡單佇列服務（SQS）帳密，以及Google與Liveness的API金鑰等。</p> <p>研究人員指出，這起資料外洩事件波及該公司客戶，包含多家澳洲、英國的金融業者：QBank、Defense Bank、Bloom Money、Admiral Money、MA Money、Reed。OCR Labs獲報後，已對該ENV檔案採取保護措施。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/c/new-opcjacker-malware-distributed-via-fake-vpn-malvertising.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Opcjacker假借提供VPN服務散布</span></strong></a></p> <p>資安業者趨勢科技揭露竊資軟體OpcJacker的攻擊行動，駭客約自2022年下半，假借提供合法VPN服務的名義（但研究人員並未提及被冒用的VPN服務名稱），對伊朗使用者散布此竊資軟體。駭客先是透過惡意廣告，傳送竄改過的VPN用戶端安裝程式，一旦使用者執行，此安裝程式就會執行名為Babadeda的加密軟體，進而於受害電腦載入Shell Code並執行OpcJacker。</p> <p>研究人員指出，駭客散布此竊資軟體的目的，不光是側錄鍵盤輸入的內容、截取螢幕畫面、竊取瀏覽器儲存的敏感資料，還會進一步投放第2階段的惡意程式，如木馬程式NetSupport RAT、遠端連線工具hVNC的變種等。使用者若需要使用VPN服務，應親自連至合法業者的網站下載，</p> <p><a href="https://securelist.com/telegram-phishing-services/109383/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密通訊軟體Telegram藏汙納垢的情況越來越嚴重，卡巴斯基指出已淪為許多網釣駭客的軍火庫</span></strong></a></p> <p>資安業者卡巴斯基提出警告，駭客近日濫用加密通訊軟體Telegram散布網釣工具包的情況越來越常見，他們藉由Telegram機器人來自動提供、建置釣魚網站，進而收集受害者的資料。也有駭客提供免費的網釣工具包，內含事先打包的套件，能模仿知名廠商來建置釣魚網站。</p> <p>研究人員指出，雖然有些網釣工具以免費的型式提供，但駭客藉由加值服務牟利，例如：反機器人機制、地理位置鎖定、URL加密、詐騙網頁等套件收取相關費用。此外，駭客也會協助用戶驗證竊得資料的真偽。</p> <p>但為何這些駭客要和他人分享作案工具與竊得的資料？研究人員認為，很有可能想要吸引新手培養客群，或是假借傳授相關手法的名義，取得免費的人力資源。</p> <p><a href="https://www.crowdstrike.com/blog/self-extracting-archives-decoy-files-and-their-hidden-payloads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體透過加上密碼的WinRAR自解壓縮檔迴避資安系統的偵測</span></strong></a></p> <p>資安業者CrowdStrike揭露濫用WinRAR自解壓縮檔（SFX）的攻擊行動，駭客藉由偷到的帳密資料，並濫用公用程式utilman.exe，而能夠在使用者尚未登入Windows的情況下，執行受到密碼保護的自解壓縮檔，進而利用WinRAR提供的參數執行PowerShell、命令提示字元，並以NT AUTHORITY\SYSTEM權限執行工作管理員，最終於受害電腦部署後門。</p> <p>對此，研究人員提出警告，由於防毒軟體通常會檢查壓縮檔內含檔案是否含有惡意程式，而非壓縮檔的命令，相關攻擊行動很可能難以察覺。</p> <p><a href="https://sysdig.com/blog/proxyjacking-attackers-log4j-exploited"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端基礎設施的Log4Shell漏洞遭到利用，駭客進行頻寬挾持攻擊</span></strong></a></p> <p>資安業者Sysdig揭露濫用網路頻寬共享軟體（Proxyware）的攻擊行動，但與過往攻擊行動不同之處，在於駭客並非以提供軟體或利誘的方式，讓使用者部署這類軟體來「分享」頻寬牟利，而是利用了Log4Shell漏洞來入侵目標主機，進而暗中部署網路頻寬共享軟體，進行網路頻寬挾持（Proxyjacking）攻擊。</p> <p>研究人員在其中一起事故當中，看到攻擊者針對Kubernetes環境下手，盯上尚未修補的Apache Solr，然後從C2伺服器下載惡意指令碼，最終執行ELF可執行檔，進而登入Pawns.app帳號，並使用命令列網路頻寬共享軟體IPRoyal Pawns竊取頻寬。攻擊者一旦成功啟動可執行檔，他們就會執行新的命令來規避偵測，並試圖持續於受害主機上運作。</p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rilide-a-new-malicious-browser-extension-for-stealing-cryptocurrencies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以Chromium為基礎的瀏覽器遭到鎖定，惡意軟體Rilide竊取加密貨幣</span></strong></a></p> <p>資安業者Trustwave揭露針對Chrome、Edge、Opera、Brave等以Chromium為基礎的瀏覽器而來的惡意軟體攻擊行動，此惡意軟體Rilide偽裝成Google Drive延伸套件，一旦使用者安裝，該惡意軟體就會於背景執行惡意活動，目的是騙取使用者的雙因素驗證（2FA）碼，進而盜取加密貨幣。</p> <p>而對於駭客散布Rilide的管道，研究人員指出主要有2種，一種是濫用微軟排版軟體Publisher的檔案來散布，另一種則是藉由Google廣告，假借提供TeamViewer、Nivida驅動程式的安裝檔案來進行。研究人員指出，此惡意程式近期變得極為氾濫，原因是駭客之間出現付款糾紛，有買家散布原始碼所致。</p> <p><a href="https://www.bleepingcomputer.com/news/security/irs-authorized-efilecom-tax-return-software-caught-serving-js-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國報稅網站eFile.com遭到JavaScript惡意軟體入侵</span></strong></a></p> <p>駭客針對美國報稅季而來的攻擊行動，每年都有，主要是透過釣魚郵件來散布惡意軟體，但現在也有鎖定第三方網站下手的情況。根據資安新聞網站Bleeping Computer的報導，自3月17日開始，多名使用者與研究人員發現，不少美國民眾會用來報稅的網站eFile.com，被植入了惡意JavaScript檔案popper.js，經該新聞網站確認，在4月1日之前，幾乎每個eFile.com的網頁都會載入此惡意JavaScript檔案。</p> <p>一旦使用者存取該網站，該網站就會根據瀏覽器（Chrome或Firefox）要求下載第2階段的惡意酬載，最終於受害電腦部署PHP指令碼打造的後門程式，使得攻擊者能夠取得完整的存取權限。至於這起事故的影響範圍，仍有待進一步釐清。</p> <p><a href="https://www.theregister.com/2023/04/03/uber_drivers_info_stolen/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Uber再傳司機資料外洩，起因是法律事務所遭駭</span></strong></a></p> <p>根據新聞網站The Register的報導，車輛共乘媒合平臺Uber針對部分司機發出通知信，表示法律事務所Genova Burns於1月23日至31日遭到入侵，未經授權的第三方存取部分內部文件，導致將旅客送達美國紐澤西州的Uber司機，他們的社會安全碼（SSN）及稅務識別碼（TIN）有可能會外流。</p> <p>對此，Genova Burn表示尚未發現上述個資遭到濫用的跡象，但Uber並未透露有多少司機受到影響。</p> <p><a href="https://economist.co.kr/article/view/ecn202303300057"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星傳出資料外洩，起因疑為將公司機密提供給ChatGPT</span></strong></a></p> <p>根據韓國經濟學人（economist.co.kr）報導，三星電子自3月11日，開放其半導體部門使用ChatGPT聊天機器人，但傳出在不到20天的時間發生3起資料外洩事故，其中有2起與設備資料有關，另1起則涉及會議內容。</p> <p>其中1名員工因執行半導體設備測量資料庫下載軟體出現錯誤，便把有問題的原始碼貼到ChatGPT；第2名員工為分析設備良率資料，將相關程式碼輸入ChatGPT；第3名員工則是要求ChatGPT製作會議記錄。而上述的情況，皆讓三星內部資料成為ChatGPT機器學習的內容，而有可能讓其他使用者詢問ChatGPT取得。</p> <p>對此，三星限縮員工詢問ChatGPT的資料量，並打算著手部署該公司內部專用的AI服務。</p> <p><a href="https://edition.cnn.com/2023/04/02/tech/china-pinduoduo-malware-cybersecurity-analysis-intl-hnk/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">3月底遭Google下架的購物App拼多多，傳出具有擅自提升執行權限的功能，關閉後仍會在後臺運作</span></strong></a></p> <p>近期Google因網路上出現含有惡意程式的拼多多（Pinduoduo）App，將該款App從Play市集下架，引起各界關注，如今傳出有研究人員發現，此購物App部署於手機後，竟出現企圖提升權限等異常行為。根據新聞網站CNN的報導，他們尋求資安業者WithSecure、Oversecured、Check Point協助，針對2月下旬發布的拼多多6.49.0版應用程式進行逆向工程分析，結果發現，此App試圖於使用者的手機上提升權限，進而執行一般應用程式無法執行的工作；再者，即使用者手動關閉該App，仍會在後臺持續運作，此App亦會防止遭到移除；此外，拼多多還能跟蹤其他購物App的活動，監控競爭對手。</p> <p>WithSecure首席研究員Mikko Hyppönen表示，他們從未看過主流應用程式如此提升權限，企圖取得一般App不應得到的存取權；Oversecured創辦人Sergey Toshin指出，拼多多利用的安卓漏洞約有50個，但大部分都與手機製造商製作的元件有關。</p> <p>而這並非首度有研究人員對於拼多多App提出質疑──今年2月，<a href="https://mp.weixin.qq.com/s/P_EYQxOEupqdU0BJMRqWsw">中國資安業者深藍（Dark Navy）發布了有關調查報告</a>，但沒有點名這款含有惡意程式碼的購物App就是拼多多。</p> <p><a href="https://www.bleepingcomputer.com/news/security/money-message-ransomware-gang-claims-msi-breach-demands-4-million/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微星傳出遭到勒索軟體Money Message攻擊，索討4百萬美元</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/msi_DGP0W9j1co.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/msi_DGP0W9j1co.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Money Message近日聲稱攻擊了臺灣電腦製造商微星，並竊得1.5 TB資料，內容包含了ERP資料庫、軟體原始碼、金鑰、BIOS韌體等檔案，他們向微星勒索400萬美元。</p> <p>為了進一步確認微星是否遭遇網路攻擊，我們連至股市公開觀測站，發現微星於4月7日中午12時在股市公開觀測站發布公告，他們表示，部分資訊系統遭到網路攻擊，初步評估對財務及業務無重大影響。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/unpatched-security-flaws-expose-water-pump-controllers-to-remote-hacker-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ProPump and Controls水泵控制系統曝露多個漏洞</span></strong></a></p> <p>資安業者Zero Science Lab揭露ProPump and Controls旗下的Osprey水泵控制器9個漏洞，這些漏洞有4個是CVSS風險評分達到9.8分，為重大層級。這些漏洞分別CVE-2023-28654、CVE-2023-27886、CVE-2023-27394、CVE-2023-28398，這些漏洞涉及寫死的帳密、命令注入、身分驗證流程繞過等。</p> <p>值得留意的是，研究人員直接向開發商通知並未得到回應，他們也尋求美國網路安全暨基礎設施安全局（CISA）、卡內基美隆大學漏洞資訊暨協調中心（VINCE）協助，但ProPump and Controls依舊沒有回覆，亦未發布相關公告，上述漏洞很有可能尚未修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/asoc/202304060246.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">刑事局破獲以假基地臺發送釣魚簡訊的網路攻擊與詐騙事件</span></span></strong></a></p> <p><a href="https://www.city.toyota.aichi.jp/pressrelease/1053884/1053944.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本豐田市公告電子郵件洩漏事件，起因為供應商疏於軟體授權更新，導致強制郵件BCC失效</span></span></strong></a></p> <p><a href="https://www.ouc.ac.cy/index.php/en/news-events/news/2847-cyberattack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">塞浦路斯開放大學傳出遭到勒索軟體Medusa攻擊</span></span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/verblecon-sophisticated-malware-cryptocurrency-mining-discord"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中東組織遭到駭客組織Arid Viper鎖定，針對Windows電腦與行動裝置下手</span></span></strong></a></p> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/04/06/stopping-cybercriminals-from-abusing-security-tools/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟與Forta聯手，企圖封殺用於攻擊行動的Cobalt Strike伺服器</span></span></strong></a></p> <p><a href="https://medium.com/@samsabetan/the-uninvited-guest-idors-garage-doors-and-stolen-secrets-e4b49e02dadc"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Nexx智慧車庫控制系統存在漏洞，攻擊者可用於破解門鎖、操控警報器</span></span></strong></a></p> <p><a href="https://www.legitsecurity.com/blog/remote-code-execution-vulnerability-in-azure-pipelines-can-lead-to-software-supply-chain-attack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Azure Pipelines出現RCE漏洞，有可能導致供應鏈攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156233">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156233">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156202">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</a></strong></p> </div></div></div>
2023/4/7 16:57作者周峻佑https://www.ithome.com.tw/news/156300
Google公布Cloud TPU v4 AI晶片技術，號稱效能更快、更節能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/systems/tpu-v4-enables-performance-energy-and-co2e-efficiency-gains" target="_blank">Google昨（6）日公布</a>用於雲端的Cloud TPU v4技術細節，號稱效能更快，且更節能。</p> <p>TPU v4是Google於2021年宣布，專門用於執行機器學習的AI晶片，是Google第5代Google特殊領域架構（domain specific architecture，DSA）及第3代用於ML模型的超級電腦平臺。Google TPU架構長Norm Jouppi及Google傑出工程師David Patterson本周<a href="https://arxiv.org/ftp/arxiv/papers/2304/2304.01433.pdf" target="_blank">在一篇論文中說明TPUv4技術細節</a>。Google工程師指出，拜互連技術及特殊領域加速器（domain specific accelerator，DSA）技術之賜，TPUv4的機器學習系統（ML）效能擴充速度較前一代TPUv3提升近10倍，能源效率則為現代ML DSA的2、3倍，而二氧化碳排放則比一般本地部署的資料中心減少20倍，是執行大型語言模型的最理想平臺。</p> <p>它每晶片效能是TPU v3 2.1倍，每瓦效能提高2.7倍。意謂著TPU v4晶片用電率僅200瓦。每顆TPU v4包含SparseCores，SparseCores為一種資料流處理器，可使深度學習模型嵌入（embeddings）執行速度提升5到7倍，但TPU v4裸晶（die）面積僅5%。藉由Sparsecores，搭載TPUv4的系統可用於執行搜尋、廣告、YouTube和Google Play的AI內容推薦。</p> <p>TPU v4也是第一個部署可配置OCS的超級電腦平臺。OCS可動態配置互連拓墣，以提升擴充性、可用性、利用率、模組化、安全、效能及用電效率。和Infiniband相比，OCS及其底層光纖元件，系統成本不到5%，用電小於3%。</p> <p>TPU v4從2020年用於Google Cloud，搭載TPUv4的超級電腦提供Exascale等級的ML效能，4096個晶片以Google自有光纖迴路交換（optical circuit switch，OCS）互聯。</p> <p>此外，<a href="https://arxiv.org/ftp/arxiv/papers/2304/2304.01433.pdf" target="_blank">Google宣稱</a>，以類似大小的系統來看，使用TPU v4的系統比Graphcore IPU Bow的系統快4.3到4.5倍，也比搭載Nvidia A100的系統快1.2到1.7倍，用電卻少1.3到1.9倍。而Google Cloud使用TPU v4，和本地部署資料中心的當代DSA相較，耗能量少5倍，排碳量更是僅1/20。</p> <p><a href="https://cloud.google.com/blog/products/compute/google-unveils-worlds-largest-publicly-available-ml-cluster" target="_blank">Google Cloud去年宣布</a>其位於奧克拉荷馬州機器學習叢集使用TPU v4，總和運算效能峰值達9 exaflops，Google聲稱是已知最大的，且使用90%非碳能源的ML運算中樞。Google並宣布，提供AI文字生成圖片服務的AI新創Midjourney已經利用Cloud TPUv4來訓練其第4版模型。</p> </div></div></div>
2023/4/7 15:33作者林妍溱https://www.ithome.com.tw/news/156295
惡意擴充程式Rilide鎖定Chromium瀏覽器以竊取加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rilide-a-new-malicious-browser-extension-for-stealing-cryptocurrencies/" target="_blank">資安業者Trustwave SpiderLabs本周揭露了</a>一個相準Chromium瀏覽器的惡意擴充程式Rilide，它偽裝成合法的Google Drive擴充功能，在進駐瀏覽器之後於背景執行各種惡意活動，目的是騙取使用者的雙因素認證碼，以盜走加密貨幣。</p> <p class="rtecenter"><img alt="" src="https://www.trustwave.com/media/19814/image012.png?v=0.0.1" style="width: 500px;" /></p> <p><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源／</span><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rilide-a-new-malicious-browser-extension-for-stealing-cryptocurrencies/" style="font-size: 14px;" target="_blank"><span style="color: rgb(105, 105, 105);">Trustwave</span></a></p> <p>迄今Trustwave SpiderLabs發現Rilide有兩種感染管道，一是藉由微軟的桌面出版程式Microsoft Publisher來散布惡意檔案，包括Ekipa遠端存取木馬，當使用者開啟Ekipa，它即會連結到駭客所控制的C&C伺服器，進而下載、執行與安裝Rilide。</p> <p>二是藉由Google廣告來誘導使用者下載Aurora資料竊取工具，Aurora可能假冒為Team Viewer或Nvidia驅動程式的安裝程式，最終則被用來安裝Rilide。</p> <p class="rtecenter"><img alt="" src="https://www.trustwave.com/media/19809/image002.jpg?v=0.0.1" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rilide-a-new-malicious-browser-extension-for-stealing-cryptocurrencies/" target="_blank"><span style="color:#696969;">Trustwave</span></a></span></p> <p>Rilide會偵測受害者所使用的瀏覽器，並只影響Google Chrome、Microsoft Edge、Brave及Opera等基於Chromium專案的瀏覽器，它會監控使用者的瀏覽歷史紀錄、擅自進行螢幕截圖，也會注射惡意腳本程式來盜走不同加密貨幣平臺上的使用者資產。</p> <p>Rilide可於背景偷偷盜領受害者的加密貨幣，在送出提款請求之後，把使用者所收到的電子郵件確認信件換成裝置認證請求，以誘導使用者輸入雙因素認證碼。</p> <p>雪上加霜的是，Rilide原本只在地下論壇兜售，但由於一起付款糾紛，疑似有買家公開了Rilide的原始碼連結，而使得黑市中出現了愈來愈多類似的惡意擴充程式，使用者的自保之道無非是儘量避免下載及安裝來路不明的各種檔案。</p> </div></div></div>
2023/4/7 13:38作者陳曉莉https://www.ithome.com.tw/news/156292
【ChatGPT浪潮來襲，帶動平價客製化AI模型新需求】Nvidia大進擊，從AI軟硬體商變成雲端AI供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「生成式AI不只展現強大能力，更讓企業產生重新思考產品和商業模式的急迫感，」Nvidia執行長黃仁勳在今年GTC大會開場演講時這樣強調，不分產業，企業都紛紛加快數位轉型，要變成軟體驅動的科技公司，「企業想要成為推動變革的一方，而不是被變革淘汰的另一方。」</p> <p>黃仁勳講這一席話的時候，新一代GPT-4正式發表剛滿一周，全世界再一次感受到生成式AI的新威力，Nvidia趁勢發表了全新的雲端營運模式。</p> <p>ChatGPT從去年底爆紅後，迅速累積破億人註冊使用。今年3月1日，OpenAI正式推出ChatGPT付費API後，這股浪潮更從個人使用，迅速蔓延到企業應用場域，各種ChatGPT相關應用紛紛出爐，兩大科技巨頭也大秀AI軍火。微軟展示了用GPT-4打造的下一代Office，從文書處理、試算表到簡報都能輔助，全新AI助手Microsoft 365 Copilot讓人驚艷。追趕的Google則祭出5,400億參數訓練的PaLM模型迎戰，同樣展示了下一代WorkSpace將如何結合生成式AI，以及可以自動生成App程式的Generative AI App Builder工具。微軟不甘示弱，祭出全新GitHub Copilot X反擊，將GPT-4更深度整合到IDE開發工具中，成為開發人員的萬能AI助手，從自動寫程式、除錯到優化配置樣樣都行。</p> <p>光是在3月，科技巨頭的AI競爭，就像拳擊場上你來我往的肉搏對打，讓企業主感受到一股非了解不可的焦慮感。尤其更強大、正確性更高、還能支援圖文輸入的GPT-4正式登場，讓企業主這股焦慮感更是火上添油。</p> <p><span style="font-size:28px;"><strong>調查160萬人，竟有3.1%員工上傳機敏資料到ChatGPT</strong></span></p> <p>但是，企業要使用ChatGPT或是GPT-4，並非是件馬上就能決定的事，需要考量的細節，遠遠和個人使用截然不同，尤其企業格外會擔心內部機敏資料的外洩風險。</p> <p>根據國外一家提供企業級資料偵測與應變（DDR，Data Detection and Response ）的新創Cyberhaven，在2月底到3月初時調查旗下企業用戶，統計超過了160萬名員工的資料上網情形，高達8.2%的員工會用ChatGPT，其中竟有3.1％的員工將企業機敏資料輸入到ChatGPT上。在調查那一周內，平均每10萬名員工，就出現199次機密文件上傳警告通報，以及173起顧客資料上傳警告通報。</p> <p>最近一起引起眾人關注的則是韓國經濟學人媒體披露的三星半導體ChatGPT資料外洩事件，在開放半導體廠使用ChatGPT不到20天，就發生了3起機敏資料外洩事件，兩起是開發人員將設備量測與良率檢測特定用途的完整程式碼，輸入到ChatGPT上來尋求除錯，另一起則是助理將重要會議內容輸入ChatGPT來產生摘要。三星半導體緊急限縮ChatGPT的使用，並打算發展自製的GPT模型來替代。不過，早在三星發生資料外洩事件之前，就有很多企業都意識到自行訓練生成式AI模型的重要性，三星機敏資料外洩事件只是再次證實了這個考量的必要性。</p> <p><span style="font-size:28px;"><strong>看準模型客製化需求，將AI超級電腦產品線變成雲端服務</strong></span></p> <p>Nvidia正是看準了這一波ChatGPT爆紅背後的客製化AI模型訓練需求，宣布了全新的商業模式，不只是以硬體晶片生產和軟體技術提供為主的科技產品製造商，更進一步自己跳下來變成雲端服務供應商，要把自家AI超級電腦產品線，變成了雲端的AI超級電腦雲服務。</p> <p>黃仁勳以「人工智慧的iPhone時刻」來形容這股ChatGPT帶動的生成式AI浪潮，以及可能帶來的重大變革，而新推出的雲端AI超級電腦服務，就是Nvidia因應這股變革的關鍵戰略。「要透過瀏覽器將Nvidia AI帶給每一家企業。」他強調。</p> <p>DGX是Nvidia的AI超級電腦產品線，黃仁勳透露，他親手將第一臺DGX超級電腦提供給OpenAI，變成了大型語言模型技術突破背後的引擎。DGX最初的用途是為了AI研究，但現在已經進入了企業營運領域，需要支援全天候的運作，甚至，得有能力擴充到數十萬節點的龐大規模。至今，超過半數財富100大企業導入了這套要價不菲的設備。</p> <p>早在去年GTC大會上，Nvidia就先發表了第四代DGX H100超級電腦，採用了以COBAL發明人Grace Hopper 命名的Hopper架構，以及用這個架構打造的H100 GPU。這款AI超級電腦也在2023年初正式出貨。</p> <p>在第四代DGX超級電腦，搭載了8個H100模組，而H100 GPU還搭載了一個前一代A100 GPU所沒有的新加速引擎Transformer Engine，這是一個專門為NPL知名Transformer模型所打造的加速引擎，可以用來加速BERT、GPT-3模型的訓練。</p> <p>Nvidia透露，和前一代A100相比，H100在神經網路運算上，可以達到6倍的速度，也能兼顧精準度。甚至可以利用16位元精度與H100新增的8位元浮點資料格式（FP8），結合進階軟體演算法，還能進一步提高AI訓練速度，在同一款大型語言模型上，H100速度提升可以達到A100的9倍之多，推論速度甚至是前一代GPU的30倍。</p> <p>另外，H100也採用了第二代MIG技術，更容易支援雲端多租戶服務的組態方式，可以同時承載7個更小且隔離的實例，而A100只能承載1個。換句話說，H100是更適合發展成雲端服務型態的GPU。另外，Hopper新架構也開始能支援GPU機密運算，可以用來保護用戶AI模型、演算法機密性和完整性，因此，採用此架構的H100，可以讓企業在第三方業者提供的雲端基礎架構環境中，更安心散布和部署自家的AI模型。</p> <p>過去，多家公雲巨頭原本就推出採用A100的雲端VM服務，也紛紛宣布將跟進推出搭載新款H100 GPU的VM服務。例如甲骨文OCI率先推出搭載8顆H100 GPU的VM，甚至最大可以擴充到16,384個H100 GPU的超大規模叢集。AWS則宣布推出可以擴充到2萬個互連的H100 GPU的P5執行個體，Azure則是先推出H100 v5預覽版，Google Cloud後續也會推出。各大伺服器製造商也開始提供搭載H100 GPU的伺服器和系統。</p> <p><span style="font-size:28px;"><strong>不只是出租AI超級電腦硬體，更有整套基礎架構軟體</strong></span></p> <p>不過，今年Nvidia更進一步，不只是賣超級電腦硬體給公雲業者，還自己下海，變成了雲端服務供應商，黃仁勳宣布要推出AI超級電腦雲服務DGX Cloud，可以提供按月租用的超級電腦叢集，而且可以提供到H100等級的GPU。</p> <p>目前Nvidia將與三家公雲業者合作，在微軟Azure、Google Cloud和甲骨文OCI上提供DGX Cloud託管服務。將先在OCI上推出，最大可以提供到超過32,000個GPU的超級電腦叢集服務，Azure預計今年第二季推出，Google Cloud則在今年更晚時上線。</p> <p>DGX Cloud不只是提供超級電腦硬體出租，而是包含了一整套的超級電腦基礎架構，從最底層提供了高效能的儲存空間（單實例有10TB容量，每月輸出流量10TB），再上一層則是可以提供單一執行個體內建8個H100或A100 80GB Tensor核心GPU，每個節點共有640GB的GPU記憶體。</p> <p>這兩層是硬體體層基礎架構，再往上是超級電腦的基礎架構軟體層，包括了用於調度基礎架構軟體的Nvidia Base Command管理軟體，以及開發人員管理AI應用開發流程的Base Command Platform雲端SaaS服務，再加上最上一層的AI Enterprise軟體套件（包括了AI和資料科學工具和常用AI框架等）。</p> <p>從技術架構圖來看，雲端業者負責雲端服務的支援，而Nvidia則提供了AI技術客服窗口和AI專家的技術支援服務。</p> <p>這座超級電腦雲採取按月訂閱制，月租費是每個執行個體最低36,999美元起跳（約臺幣113萬元），遠低於一臺DGX A100在2020年中剛推出時的買斷報價19.9萬美元（約臺幣600萬元）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-DGC%E9%9B%B2%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">DGX Cloud包含了整套超級電腦基礎架構，最底層是高效能儲存，再上一層是H100或A100硬體VM，再往上是超級電腦的基礎架構軟體層，包括了運算資源調度的Nvidia Base Command管理軟體、管理AI應用和開發流程的Base Command Platform雲端SaaS服務，以及AI Enterprise軟體套件。雲端業者負責雲端服務支援，而Nvidia則提供了AI技術客服窗口和AI專家支援。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Nvidia</span></span></p> <p><span style="font-size:28px;"><strong>重頭訓練1,750億參數的GPT-3模型要多少億？</strong></span></p> <p>根據Nvidia測試，過去要用一個3,000億個Token的公開網路資料集，來訓練出1,750參數的GPT-3模型，若採用1,024張A100 GPU，還是要花上24天。換句話說，企業若要想在一個月內訓練出參數量和ChatGPT相當的自有GPT-3模型，得採購128臺DGX A100超級電腦（單臺8個GPU），光硬體費用就超過7.68億元，就算願意等上一年訓練一次，也至少要投資5千多萬元採購9套。若換成按月租用的超級電腦服務，以月租費113萬元Ｘ128個超級電腦VM，則約臺幣1.4億元。雖然遠比7.6億元低得多，但仍是一筆巨額投資，甚至遠遠超過許多臺灣2千大規模企業一整年度的IT投資規模。只有少數大型高科技製造業或金控，才負擔得起自己從頭訓練出一套GPT-3模型的硬體費用，這還不包括人事費、軟體和資料集蒐集費用。生成式AI帶來的創新競爭，無疑是一項龐大財力的競賽。</p> <p><span style="font-size:28px;"><strong>提供更低成本的預訓練模型服務，不用重頭訓練超大模型</strong></span></p> <p>所以，為了搶攻全球企業瘋ChatGPT的浪潮，Nvidia還鎖定了那一群沒有足夠資源從頭訓練，但又想要打造專屬客製化模型的企業，推出了一套AI超級電腦軟體服務AI Foundations，提供預訓練的GPT-3模型，讓租用企業不用重新訓練，而是進行微調優化就可以打造出使用，可以讓企業用自己的資料，快速訓練出專屬的生成式模型，如此一來，不只可以大幅降低所需的運算量，訓練用資料集也不用準備到3,000億個Token之多，更能大幅縮短訓練時間。這正是Nvidia用來瞄準企業自建專屬生成式AI模型的殺手級服務，也能發揮按月租用模式的特性，用更低成本來打造出企業專屬的GPT-3模型。</p> <p><span style="font-size:28px;"><strong>3種生成式模型服務，瞄準文字、影音和藥物開發3大類需求</strong></span></p> <p>在這套AI Foundations服務中，提供了三種生成式模型，包括了文字NLP生成模型服務NeＭo，圖像生成模型服務Picasso，以及可以生成藥物分子結構的藥物生成模型BioNeMo服務。</p> <p>NeMo就是可以用來訓練出專屬GPT-3的模型服務，類似微軟Auzre的OpenAI API服務，可以讓企業訓練自己專屬的GPT-3模型。</p> <p>目前NeMo可以提供80億參數、430億參數和5,300億參數三種GPT-3預訓練模型，企業不用從頭開始訓練，而是可以直接使用這些預訓練模型來進行微（finetune）就可以客製化。NeMo還提供了一個Inform模型服務，內建向量資料庫，可供企業上傳自家企業資料轉換成嵌入向量儲存到Inform模型服務上，來限制客製化GPT-3模型推論的輸出，盡量侷限在企業提供的資料範圍內。</p> <p>不只是預訓練模型，NeMo還提供了兩種微調功能，一種是P-Tuning提示微調功能，透過模型訓練來優化提示問題，改用一個提示工程的嵌入向量（Prompt Vector）來取代提示問題，來提高提示工程的效果，提高GPT-3的準確度，另外，NeMo也支援真人回饋的強化學習優化提示工程做法，透過真人標記來設計獎勵模型，讓模型回答出更接近企業想要的答案。這個強化學習做法，也是借鏡了OpenAI用真人強化學習來打造出ChatGPT效果的做法。</p> <p>如同Azure OpenAI的GPT模型服務的推論內容過濾機制，Nvidia也在Nemo服務設計了內容護欄服務(Guardrail Service），企業可以監控每一次模型推論的輸出內容，檢查不適當的內容，也能設定偏差閥值或是指定領域來控管內容，避免模型意外輸出了不適合提供的內容。Picasso則是視覺的大型語言模型服務，可以透過簡單的文字或影像提示，來產生自訂的影像內容，還能生成影片，甚至是用於生成3D素材。而BioNeMo服務則可設計用來探索疾病成因的生物學小分子、蛋白質或抗體新分子結構，也能用來作為分子相互作用的最後篩選參考之用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-NeMo%E6%9C%8D%E5%8B%99%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">Nvidia在AI Foundations服務中，提供了文字NLP生成模型服務NeMo，可以提供80億參數、430億參數和5,300億參數三種GPT-3預訓練模型，企業不用從頭開始訓練，而是可以直接使用這些預訓練模型來進行微調。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Nvidia</span></span></p> <p><span style="font-size:28px;"><strong>DGX Cloud就是雲端AI工廠</strong></span></p> <p>Nvidia不單是出租超級電腦硬體，還將原本搭配DGX超級電腦的軟體產品，不論是Base Command管理軟體，或是可用於開發和部署AI應用的Ai Enterprise軟體，轉為變成在雲端提供的託管服務，而且可以支援混合雲架構，企業也可以和本地端DGX超級電腦混用。</p> <p>黃仁勳如此形容這個超級電腦雲服務的特性，DGX Cloud就像是一間在雲端的AI工廠一樣。而AI Foundations服務就像是工廠中的鑄造廠，可以快速鑄造出一個又一個客製化的專屬生成式模型，這正是Nvidia搶攻龐大ChatGPT浪潮下的AI新戰略。</p> </div></div></div>
2023/4/7 11:31作者王宏仁https://www.ithome.com.tw/news/156286
勢不可擋的影子IT
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>員工私用公司未許可的IT解決方案，這類行為過往被稱為影子IT（Shadow IT），在歷經為期長達3年的COVID-19疫情之後，似乎處於更難以控制的地步。</p> <p>根據一家商用軟體公司Capterra對300位IT人員的調查指出，有57％的中小型企業，在正式IT部門所能掌握的範圍之外，面臨這類衝擊，而在這類規模的企業中，有高達85％的比例，目前正在業務領域裡面運用影子IT團隊來營運。</p> <p>相較於過往著重在影子IT的負面影響，這份調查裡面同時呈現了正面影響，突顯大部分公司制定此決策面臨的兩難之餘，也列出影子IT為何越來越常存在企業內部的狀況。</p> <p>以正面效益而言，包含：增加員工滿意度（54％）、節省員工時間（51％）、對財務帶來正面影響（80％）、減輕IT部門工作負擔（42％）；而在負面衝擊方面，則有：面臨財務層面的負面後果，像是支付罰金、需耗費心力去替換已建置與使用的軟體（89％），面臨中度至嚴重的網路安全威脅（76％），以及此類型工作不易整合至公司既有的環境，可能需耗費大量時間與金錢（91％）。</p> <p>而所謂的影子IT，實際呈現會是何種面貌？硬體設備（69％）、雲端服務（69％）、內部開發軟體（52％）、現貨軟體（39％）。以硬體設備而言，有個人電腦、伺服器、智慧型手機；而雲端服務的部分，則有軟體即服務（SaaS）、雲端資料庫、雲端試算表等應用。從上面列舉的項目來看，有些早已是企業常態，例如人人皆有的智慧型手機，個人電腦隨著筆電、平板的盛行，許多公司可能並不會主動提供，而是由員工自己準備與保管，而百花齊放的雲端服務應用，更是多到不勝枚舉，小至即時通訊軟體、雲端視訊會議軟體、檔案共同編輯與同步軟體，大至應用程式與資料庫系統的開發與部署工具，甚至是當前熱門的各式大數據分析與AI應用。</p> <p>企業該如何因應這樣的局面？此份調查顯示，IT專案管理將扮演重要角色，公司本身也必須加強員工教育、更新公司政策，以及促成協作文化。</p> <p>至於企業該如何察覺這類活動？員工使用已知會IT部門的科技占49％，透過稽核而發現的比例是46％，聯繫IT求助時發現的比例是41％，在一段期間赦免使用者使用影子IT的比例是39％，員工向IT部門回報的比例是38％。</p> <p>關於成本的部分，市場研究機構Gartner幾年前曾發布相關研究，顯示在大型企業環境當中，影子IT占IT支出的比例已達到30％到40％，這個數據受到許多媒體與廠商的引用。市場研究機構Everest Group創辦人Peter Bendor-Samuel在CIO雜誌2017年的文章提到，他們預估會達到一半，甚至更高的比例，他還提到一段頗值得省思的話：「如果CIO想要應付這樣的問題，並且與業務之間的關係變得更為密切，那麼，CIO必須要確認：自己所帶領的IT團隊必須表現得比影子IT還要好。」</p> <p>2022年5月，SaaS廠商BetterCloud的產品長Jim Brennan也在Forbes雜誌發表文章，表達軟體與SaaS廠商支持影子IT的立場，標題是「別怕影子IT，擁抱IT」，強調影子IT並非只有資安、預算、資料孤島等負面、有害的影響，他認為CIO與IT人員應該認知到一件事，那就是：對於那些想要完成工作的同事而言，影子IT提供了洞察力，至於該如何駕馭影子IT，重點在於使其浮上檯面，提升能見度與控制能力，最後他更強調影子IT是一種由員工驅動的資產，若能運作在正確的框架，以及獲得公司IT的支持，這些隱形應用系統也能提供策略創新，使員工毋須面臨安全性與靈活度的二選一抉擇。</p> <p>的確，安全性固然是企業確保自身穩定運作與內外信譽的必要因素，然而，業務創新、數位轉型也是無可迴避的議題，如果企業這幾年來已不得不開放自帶行動裝置（BYOD）、在家工作（WFH），面對快速蔓延的影子IT議題，強加遏止的代價恐怕會越來越大，現在需要思考的是如何使其納入公司能夠管理的框架當中，同時，加速推動企業與組織本身IT服務的現代化，提升回應使用者需求的能力。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BD%B1%E5%AD%90it">影子IT</a></div></div></div>
2023/4/7 12:09作者李宗翰https://www.ithome.com.tw/voice/156289
特斯拉車上攝影機影片傳曾在員工之間流傳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/tesla-workers-shared-sensitive-images-recorded-by-customer-cars-2023-04-06/" target="_blank">《路透社》報導</a>，至少有長達三年期間，特斯拉員工可看到特斯拉車上攝影機的拍攝影像，有的還在公司社群平臺分享。</p> <p>為提供自駕及行車安全，特斯拉車內、車身前後與兩側多處安裝攝影機。該公司也宣稱保護用戶隱私。但路透社引述9名前特斯拉員工報導，至少從2019年到2022年之間，員工可以看到攝影機拍攝的影像，甚至在內部通訊平臺上互相分享。</p> <p>路透社是針對300名前特斯拉員工發出訪問邀請，有12名員工同意匿名接受訪談，並透露這家電動車大廠之前不為人知的客戶影片處理作法。</p> <p>這些員工回憶，他們在職期間，可以看到車上攝影機拍攝的影像。被流傳的影片內容各式各樣，其中自然有不少車主不想曝光的私密影像。還有員工曾經看過特斯拉將一名騎單車孩童撞飛的驚悚畫面。特斯拉聲稱拍攝的影片為匿名傳送，不會與車主或車子建立連結。但該公司使用的軟體仍然可以辨識出拍攝地點。</p> <p>此外，就算車子熄火，攝影機也能持續拍攝。特斯拉數年前已關閉這功能，但是一名受訪者說，車子停妥後，被攝影機拍攝得一清二楚的車主家中環境。</p> <p>特斯拉攝影機拍攝到的影像，另一項用途是用於其自駕軟體Autopilot的AI電腦視覺技術。特斯拉先是將影像標註的工作包給舊金山一家名為Samasource的外包商，之後成立專門標註的部門。特斯拉曾公開說明，這個部門人數超過1,000人。</p> <p>前員工指出，這個部門的員工有時會在標註時，將影像擷圖加上特效，或上傳群組軟體互相分享取樂。</p> <p>前員工說，雖然這些影像並非從資料庫非法存取，而是在合法情境下，例如員工協同過程中看到，而且也是車主同意下獲得的資訊，但是他們表示，看到用戶隱私遭到公開且不尊重對待，連他們自己也不會買特斯拉。</p> <p>至於特斯拉今年是否還有這種可能觸法的行為，或是馬斯克是否知情則不得而知。</p> <p>特斯拉公司、執行長馬斯克（Elon Musk）和合作業者Samasource皆未對此回應。</p> </div></div></div>
2023/4/7 12:43作者林妍溱https://www.ithome.com.tw/news/156290
三星公司機密傳遭ChatGPT洩露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://economist.co.kr/article/view/ecn202303300057?s=31" target="_blank">南韓媒體《Economist》報導</a>，南韓科技巨擘三星員工疑似因使用AI聊天機器人ChatGPT，而分別在不同事件中洩露公司機密。</p> <p>報導指出，三星裝置解決方案及半導體業務部門發生三起事件，出自員工將公司機密資訊輸入ChatGPT而外流。外洩的資訊包括半導體設備量測資料庫、生產／瑕疵設備相關軟體，以及一份公司會議語音轉錄的文字紀錄摘要。報導指出，一名軟體開發工程師在資料庫程式開發期間發現程式碼錯誤，於是將整份程式碼複製貼到ChatGPT對話中，以尋找臭蟲及解決方案。</p> <p>三星電子原本因資訊安全禁止員工使用ChatGPT，該公司考慮開發可被公司監管的自有AI聊天機器人服務，3月11日才在員工要求下解除禁令，但三星仍呼籲員工不得分享機密資訊。</p> <p>這起事件可能讓外部用戶透過詢問ChatGPT而得知三星機密。報導指出，三星電子緊急啟動資訊保護指施，將輸入ChatGPT的資訊量限制在每個問題1024 byte以下，並展開內部調查。三星並警告員工，未來若再有類似事件將不再允許公司內部網路使用ChatGPT。</p> <p>OpenAI也曾在公司FAQ網頁告誡用戶，不應在ChatGPT對話中分享敏感資訊。這些被上傳至ChatGPT的資訊，會被當成聊天機器人AI模型的訓練資料。</p> <p>簡單易用又強大的特性讓ChatGPT在全球爆紅，但其大量蒐集用戶資訊令主管機關憂心。上周義大利資料主管機關以ChatGPT蒐集用戶個資，又未能辨識未成年用戶為由，<a href="https://www.ithome.com.tw/news/156239" target="_blank">要求</a>停用ChatGPT，直到OpenAI說明修改蒐集個資的作法。德國當局也說考慮跟進。</p> </div></div></div>
2023/4/7 13:10作者林妍溱https://www.ithome.com.tw/news/156291
蘋果macOS暗藏比特幣白皮書
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://waxy.org/2023/04/the-bitcoin-whitepaper-is-hidden-in-every-modern-copy-of-macos/" target="_blank">一名蘋果開發人員Andy Baio最近發現</a>，蘋果自2018年發表的macOS Mojave（10.14.0）到最新的macOS Ventura（13.3）都暗藏了由中本聰（Satoshi Nakamoto）撰寫的《比特幣：一種對等式的電子現金系統》（Bitcoin: A Peer-to-Peer Electronic Cash System）PDF檔，此一僅有9頁的比特幣白皮書被用來當作Virtual Scanner程式的示範檔案，但沒有人知道為什麼蘋果會選擇《比特幣白皮書》作為例子。</p> <p class="rtecenter"><img alt="" src="https://waxy.org/wp-content/uploads/2023/04/image-2-1024x729.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://waxy.org/2023/04/the-bitcoin-whitepaper-is-hidden-in-every-modern-copy-of-macos/" target="_blank"><span style="color:#696969;">Andy Baio</span></a></span></p> <p>中本聰被視為是比特幣（Bitcoin）的發明人，而《比特幣：一種對等式的電子現金系統》則是中本聰在2008年發表的首個有關比特幣的論文，闡述如何建立一個去中心化的電子交易體系，隔年中本聰即開發了首個相關的演算法，開挖了第一批的50個比特幣。</p> <p>然而，相較於微軟、Amazon或特斯拉（Tesla）都曾開放使用者以比特幣進行交易，蘋果對比特幣或加密貨幣的態度相對保守，例如早期曾全面封殺App Store中的比特幣錢包，2019年時蘋果執行長<a href="https://www.ithome.com.tw/news/133454" target="_blank">Tim Cook還曾暗批</a>Meta發行加密貨幣的計畫是為了追求權力，並闡明蘋果無意發行加密貨幣。</p> <p>macOS用戶有兩種方式可以找出藏在作業系統中的比特幣白皮書，一是透過終端機（Terminal）程式輸入指令：</p> <pre> open /System/Library/Image\ Capture/Devices/VirtualScanner.app/Contents/Resources/simpledoc.pdf</pre><p>二是透過Macintosh HD尋找一個名為VirtualScanner的程式，其示範檔案（simpledoc.pdf）就是《比特幣：一種對等式的電子現金系統》。</p> <p>至於VirtualScanner程式並沒有安裝在所有的macOS作業系統上，就算有也是隱藏的，有人推測它是用來讓iPhone匯入檔案。</p> <p>此一文章出刊後，Baio收到蘋果員工的通風報信，指出一年前蘋果內部就有人發現此事，還提交了議題，但始作俑者卻始終毫無回應，亦無採取任何行動。不過，在受到外界的關注之後，該檔案未來可能會被刪除或替換。</p> </div></div></div>
2023/4/7 10:31作者陳曉莉https://www.ithome.com.tw/news/156278
微軟將改進.NET身分驗證系統，消除對商用專案IdentityServer的依賴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/improvements-auth-identity-aspnetcore-8/">微軟在即將推出的.NET 8中，改進ASP.NET Core在身分驗證、授權和身分管理函式庫</a>，使得商用專案IdentityServer不再是預設，同時也針對單頁應用程式，提供權杖身分驗證功能，官方承諾，新的API將會讓使用者登入和身分管理的開發體驗變得更簡單。</p> <p>現在要於ASP.NET Core應用程式中啟用身分驗證，開發者有3種選擇，分別是使用內建的ASP.NET Core Identity解決方案、Azure AD和第三方以套件、容器和雲端服務形式提供的解決方案。</p> <p>內建的ASP.NET Core Identity中的Identity Manager，可以提供處理使用者、角色的API，而Identity Store則可用於儲存持久身分資訊，ASP.NET Core Identity還與ASP.NET Core身分驗證系統SignInManager整合，且提供可管理用戶的UI。</p> <p>但是當前單頁應用程式在ASP.NET Core Identity使用上存在一些限制，自定義身分驗證相關的頁面，會強迫應用程式恢復成伺服器端渲染頁面，微軟提到，他們正在研究新的解決方案，以支援沒有外部相依性的應用場景，供開發者能夠選擇開箱即用的解決方案，但同時又保有其他選項的自由。</p> <p>微軟將從.NET 8中的單頁應用程式模板，移除對Duende IdentityServer的依賴。過去微軟在.NET Core 3.1的Angular、React和Blazor WebAssembly模板，整合IdentityServer4以支援單頁應用程式中的JSON Web Token（JWT）安全性，但在2020年的時候，<a href="https://blog.duendesoftware.com/posts/20201001_helloduende/">IdentityServer開源專案維護者認為光靠贊助的收入，不足以支撐專案運作</a>，因此宣布IdentityServer4 v4.x將是最後一個開源版本。</p> <p>此後，IdentityServer維護者便成立公司Duende，並且將IdentityServer改為商業授權，不過微軟在2021年發布的.NET 6仍繼續內建IdentityServer，因為微軟認為IdentityServer仍是當時ASP.NET Core創建自部署、本地端託管權杖（Token）服務最成熟的選項。Duende IdentityServer模板具有雙重授權，可免費用於開發、測試和學習，當組織年收入低於100萬美元，也可以免費使用，但高於100萬美元就需要支付使用費用。</p> <p>不過，仍有許多用戶不希望支付額外的費用，因此微軟將在.NET 8中進行調整，讓新端點無需仰賴外部相依項目，就可在單頁應用程式使用基於權杖的身分驗證。雖然微軟會從單頁應用程式模板中，移除對Duende IdentityServer的相依性，但是開發人員仍可以繼續選擇使用Duende的解決方案，只是微軟將不預設提供。</p> <p>具體來說，ASP.NET Core 8在身分驗證有兩個改進方向，第一是擴展Cookie身分驗證，進一步支援單頁應用程式，改善從單頁網頁應用程式過渡到伺服器渲染，所導致的不一致體驗，過去用戶要自定義體驗，需要覆蓋預設的伺服器端渲染頁面，而在.NET 8中官方將會添加API端點，使開發人員能夠在自定義UI採用單頁應用程式。</p> <p>而順應React、Angular和Blazor WebAssembly等單頁應用程式框架的發展，以及開發者的要求，微軟也計畫擴展現有身分驗證平臺，改進.NET 8對權杖身分驗證系統的支援，官方表示，雖然現有以Cookie為基礎的解決方法和功能依然可行，但是使用權杖身分驗證將更靈活，更適合單頁應用程式的身分驗證需求。</p> <p>微軟計畫增加一個不需要第三方相依項目，或是授權的解決方案，與現有Cookie方法提供相同的功能，但將身分驗證資料是封裝在權杖中而非Cookie，可在無法良好使用Cookie時，有額外的選擇。</p> </div></div></div>
2023/4/7 08:24作者李建興https://www.ithome.com.tw/news/156271
當戰線從網路延伸到太空
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_ying_zi_zhan_zheng_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">黑體文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>太空是影子戰爭的危險新戰線，俄國、中國和美國的其他敵人都加快腳步發展與部署太空攻擊能力，目的就是要削減美國在太空領域的巨大優勢，同時善用美國的一大缺點：美國不管是軍方或民間，都極度依賴太空資產和技術。太空這條戰線和影子戰爭的許多戰線一樣，儘管威脅日增，美國卻仍舊在爭論最佳的因應之道。</p> <p>今日至少有四顆衛星，兩顆俄國發射的，兩顆中國發射的，在做其他人造太空物體以前沒做過的事。分析繪圖公司的商業太空行動中心（Commercial Space Operations Center）就像是太空空中交通管制中心，協助今日數百個操控衛星的政府和私人公司監控。在商業太空行動中心追蹤的物體中，有約莫一千五百個是可以操控的衛星，其餘是殘骸，有退役的衛星，有廢棄火箭節體，有小型衛星零部件，宛如散布在高速公路路肩的輪胎皮和碎玻璃。</p> <p>二○一九年，美國軍方計畫讓史上性能最優越的太空監視系統運轉，這套採用尖端科技的地面雷達叫做「太空圍籬」。一名指揮官告訴我，「太空圍籬」就像巨大的探照燈，幾乎能掃描到繞著地球運行的每個物體。而今日，那道探照燈發現愈來愈多的潛在威脅。</p> <p>「美國多年來採取的立場都是，太空中不應該有戰鬥系統。」分析繪圖公司執行長保羅．桂齊亞尼告訴我，「我認識的每個美國政府官員都不想要在太空打仗。不幸的是，敵人卻把我們逼向了另一個方向。雖然這些武器還沒被用過，雖然第三次世界大戰還沒爆發，但是很快就要爆發了。」</p> <p>為什麼說第三次世界大戰呢？美軍指揮官們相信，敵人打算用太空武器痛擊美國本土和美軍。他們認為，太空武器是要用於全面開戰的武器。</p> <p>在商業太空行動中心，衛星技術人員即時觀看著名為「盧奇」（Luch）的俄國衛星把攻擊威脅拉到新高點。盧奇是在二○一四年發射的，它可以在軌道內自由移動，鎖定一顆又一顆外國衛星，靠近到危險的距離，進行觀察、干擾或破壞。</p> <p>在軌道上移動不是什麼新的功能，大部分的衛星都有一些推進力，可以微幅調整飛行路線。不過，若要從一個軌道移動到另一個完全不同的軌道，需要移動數百、乃至於數千英里；如果要貼近到另一個衛星周圍繞行，則需要以極高的軌道速度進行多次調整，這兩者都需要強大的動能、大量的燃料和高超的遠端飛行操控技術。移動靈活的衛星，像是盧奇，都有那些優點。要靈活移動，就得仰賴舊世代的氣體推進器和新世代的電磁推進，藉由發射電流束在太空中靈活移動。盧奇結合這兩種技術，彷彿太空戰鬥噴射機，速度快且靈敏。</p> <p>同時，盧奇也可作為繞著軌道運行的間諜平台，攔截太空中極度機密的衛星通訊，以活像巨大圓形硬漁網的太空天線捕獲每一段訊息。盧奇可以神不知、鬼不覺地溜到極度機密的美國監視和通訊衛星旁邊，進行竊聽。</p> <p>在一年內，盧奇竊聽了三顆美國衛星，竊取極度機密的軍事與政府通訊。我們在商業太空行動中心裡觀看時，盧奇正在尾隨一顆商業通訊衛星。</p> <p>「派間諜衛星緊與著其他衛星，確實能讓俄國取得在別處無法取得的機會。」桂齊亞尼說，「緊與著那些衛星，盧奇就可攔截本來要傳給特定目標商業通訊太空飛行器的訊號。」</p> <p>這種功能的基礎是簡單的物理學。地面通訊站傳向目標衛星的電波相當狹窄，間諜衛星若要攔截那些訊號，就必須離接收電波的目標相當近。有些上傳的電波有的加密，有的沒有，不過即使加了密，要解密也不是不可能。</p> <p><span style="font-size:28px;"><strong>在這種戰略之中，中國就是大衛，美國則是歌利亞</strong></span></p> <p>二○一三年，中國也引進了一種新的太空武器，觀察家起初以為這顆試驗七號是傳統的衛星。後來，在軌道上經過一連串複雜的移動之後，試驗七號跑到同時發射的伴星衛星「創新三號」附近，似乎在測試該怎麼靠近、繞行並跟隨創新三號。</p> <p>後來，在二○一四年，分析繪圖公司的技術人員注意到第二顆衛星從螢幕上消失了。是被摧毀了嗎？但是沒有殘骸的蹤跡。還是與大衛星對接在一起了？這我們就不清楚了。地球上的感應系統可以準確判斷太空物體的位置與大小，但是不一定能判別外形。</p> <p>在整個二○一四年，根據商業太空行動中心的觀察，比較小的那顆衛星反覆出現又消失，分析繪圖公司認為只有一種解釋：試驗七號反覆抓住又釋放那顆小伴星衛星，「練習」一種全新的技能。保羅．桂齊亞尼及其團隊稱試驗七號是世界上第一顆「綁匪衛星」。</p> <p>「試驗七號移動極度靈活，執行過一些任務。」我們在商業太空行動中心看著大螢幕演示試驗七號如何綁架衛星，他告訴我，「它會欺近它發射的小衛星，抓住之後釋放，抓住之後又釋放，不斷重複，反覆抓放。」</p> <p>根據中國國營媒體的報導，試驗七號的機器手臂是用來撿拾太空殘骸以及執行衛星維修保養工作。然而，美國太空司令部的指揮官們發現還有其他更具威脅性的功用。中國對於太空軍事計畫毫不掩飾，在太空部署武器，配合中國的軍事戰略主軸，也就是「在資訊化的條件下打區域戰爭，並且取得勝利」。用外行人聽得懂的說法就是，把資訊科技應用到軍事行動的所有層面，從地面網路戰，到干擾與破壞敵人在太空中的資訊科技，包括攻擊衛星。在這種戰略之中，中國就是大衛，美國則是歌利亞：美國的太空與資訊科技最先進，也最容易遭受攻擊，因為美國是最仰賴那些技術的國家。</p> <p>現在，美國的指揮官們日益重視來自各個國家與非國家組織的非對稱威脅，太空給了大小敵人新的機會，可以削弱乃至於徹底消除美國的科技優勢。</p> <p>中國和俄國帶頭在太空部署武器，他們還有夥伴，伊朗和北韓也在試驗用於攻擊太空的雷射武器。而且，理論上，只要有太空計畫的國家都可能會製造太空武器，而且速度非常快。分析繪圖公司估計，太空中有約莫一千個物體至少有一定的操控能力。在太空中當物體以時速一萬七千五百英里移動時，每個可操控的物體都可能變成太空武器。</p> <p>蘇聯解體之後，美國在太空失去了唯一一個值得認真看待的競爭對手。然而，在最後十年，中國崛起，俄國復興成為志在全球的強權，太空再度成為危險的競賽場地。</p> <p>美軍針對太空戰爭進行了多次模擬，每次結果都令人提心吊膽。</p> <p>美國人認為，第一次太空戰爭會無聲無息展開。敵人以光速在美國各地發動一連串精心策劃的網路攻擊，電視螢幕變成黑幕，網路連線變得異常，極度緩慢，慢如龜速，提款機故障。起初，可能會看起來像是倒霉，網路發生連環故障。鮮少人立刻感到驚慌。</p> <p>接著戰線從網路領域延伸到遙遠的太空，地面雷射攻擊美國在近地軌道的通訊衛星，敵軍艦與軍機發射飛彈，摧毀在地球上方超過一萬兩千英里運行的全球定位系統衛星。接著，再往上數千英里，在同步軌道上，有些美國太空司令部的指揮官稱之為「最神聖的」軌道，新部署的神風衛星（能追蹤其他衛星，進行干擾、破壞與摧毀。）會癱瘓美國最重要的核子預警和監視衛星。</p> <p>衛星被摧毀會對民生造成更加全面的影響。金融市場會癱瘓關閉，因為貿易仰賴軍方的全球定位系統衛星網路確保時間一致。網路全面中斷，商業驟然停止，因為信用卡和銀行機器無法使用，手機服務也徹底失靈，就像九月十一日第二架飛機撞上雙子星大樓的那一刻，大家才恍然大悟，美國遭到攻擊了。<span style="color:#696969;"><strong>（本文摘錄整理自《影子戰爭》第六章，黑體文化提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-%E5%BD%B1%E5%AD%90%E6%88%B0%E7%88%AD-500.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_黑體文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 影子戰爭：從資訊戰到尖端衛星武器競賽，二十一世紀戰爭的隱形戰線</strong></p> <p>吉姆．修托（Jim Sciutto）／著；高紫文／譯</p> <p>黑體文化出版</p> <p>定價：450元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%BD%B1%E5%AD%90%E6%88%B0%E7%88%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%80%B6%E9%AD%AF%E5%A4%A7%E5%AD%B8.png" style="width: 120px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_耶魯大學</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>吉姆．修托（Jim Sciutto）</strong></p> <p>畢業於耶魯大學，曾經在亞洲、歐洲和中東擔任外國特派記者逾二十年。目前在美國有線電視新聞網（CNN）擔任首席國家安全特派記者及華盛頓特區新聞編輯室主播，對美國國家安全進行全方位的分析，報導與國防部、國務院和情報機關相關的新聞。他是傅爾布萊特獎學金學人，也曾獲得艾美獎、喬治波克新聞獎（George Polk Award）和愛德華莫洛獎（R. Murrow Award），其優異的總統報導也獲梅里曼史密斯獎（Merriman Smith Award）。</p> </div></div></div>
2023/4/7 00:00未署名https://www.ithome.com.tw/article/156130
Databricks針對製造業推出湖邊小屋，加速資料分析和AI用例開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks持續擴展其資料湖解決方案，推出<a href="https://www.databricks.com/blog/2023/04/04/the-lakehouse-for-manufacturing">製造業專用湖邊小屋</a>平臺，在其原有的核心湖邊小屋平臺上，開發出適用於製造業的資料分析解決方案，並且提供預建置加速器，支援數位雙生、物料預測和設備效率分析等用例。</p> <p>Databricks的湖邊小屋是一種新型態的資料架構，透過整合資料湖和資料倉儲的優勢，提供更靈活的資料分析解決方案。湖邊小屋可同時處理結構化和非結構化資料，且支援即時資料的處理與分析，藉由整合資料生態系中多種資料來源和工具，像是Delta Lake、Apache Spark、Pandas等，提供企業高效且可擴展的資料處理平臺。</p> <p>因應不同產業獨有特性，Databricks針對像是<a href="https://www.databricks.com/blog/2022/03/09/introducing-lakehouse-for-healthcare-and-life-sciences.html">醫療保健</a>或是<a href="https://www.databricks.com/blog/2022/02/15/lakehouse-for-financial-services-paving-the-way-for-data-driven-innovation-in-fsis.html">金融服務</a>等不同產業，皆推出專用的湖邊小屋解決方案，而Databricks現在進一步發布製造業使用的湖邊小屋平臺，解決製造產業的資料應用痛點。</p> <p>官方指出，製造業所產生的龐大資料量，較零售、媒體和金融服務高出2到4倍。製造業龐大的資料，在發展資料應用上會遭遇各種障礙，包括傳統本地儲存和雲端資料倉儲連接的複雜性，而且不斷成長的龐大資料量，也使得處理成本過於高昂，另外，生產過程所產生的結構化和非結構化資料，使資料分析工具碎片化，使用成本更高也更花費時間，還有過去批次資料處理節奏，也難以運用資料即時做出營運決策。</p> <p>製造業專用湖邊小屋平臺建立在Databricks核心湖邊小屋平臺之上，能夠克服這些資料應用障礙，在單一平臺提供資料分析、資料工程和機器學習功能，並且統一資料治理，使得製造業更容易發展資料應用。而且用戶還可方便地採用，支援各種工業資料用例的預建置解決方案加速器，現在該平臺可以使用的加速器包括數位雙生、物料預測、設備效率分析、電腦視覺和預測性維護等。</p> </div></div></div>
2023/4/6 22:14作者李建興https://www.ithome.com.tw/news/156266
Meta計畫今年下半年將開始利用AI生成廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta的技術長（CTO）安德魯．博斯沃思（Andrew Bosworth）表示，Meta正在計畫於今年下半年的廣告業務中使用大量的AI為不同公司生成廣告。</p> <p>Meta在接受日經亞洲（Nikkei Asia）的<a href="https://asia.nikkei.com/Business/Technology/Meta-to-debut-ad-creating-generative-AI-this-year-CTO-says">採訪</a>時，博斯沃思說明AI將改善Meta核心業務，而旗下產品Facebook、WhatsApp和Instagram會優先開發由AI生成的廣告提供給受眾，並計劃在今年下半年投入使用。</p> <p>博斯沃思指出Meta幾個月前剛剛成立了一個新團隊，名為「生成式人工智慧（Generative AI）」，這也是他和執行長（CEO）馬克．祖克柏（Mark Zuckerberg）以及產品長（CPO）Chris Cox投資最多時間和精力的項目。</p> <p>其實，祖克柏於今年二月宣布成立了這個新團隊時，在臉書的貼文中就曾解釋這個「高層產品組（top-level product group）」正在研究如何利用AI幫助人們的文字訊息（如WhatsApp 以及Messenger）、圖像生成（像是Instagram的濾鏡和廣告）或是錄製影片等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(53).png" style="width: 600px; height: 219px;" /></p> <p>雖然Meta的元宇宙並未如預期般順利，但它仍然藉由推動生成式 AI持續了創建虛擬世界的想法。博斯沃思告訴日經亞洲，像OpenAI 的GPT-4和Google的PaLM這樣的大型語言模型（large language model，LLMs）將有助於3D模型的創建，因為這類大型語言模型能根據使用者描述執行任務。</p> <p>他還說「在過去，如果想創建一個3D世界，我需要學習很多計算機圖形學和程式語言的知識。在未來，可能只需透過描述，大型語言模型就能生成你想要打造的3D世界。因此，這使得更多人可以輕易地從事類似的創作內容。」</p> <p>雖然元宇宙藍圖是Meta的長期計劃，但廣告是Meta的主要收入來源，也是當務之急，博斯沃思認為，AI可以為不同公司製作廣告給受眾，這將能夠節省大量時間和金錢。</p> <p>儘管許多大公司認為快速生成的AI技術缺乏明確規範，<a href="https://www.ithome.com.tw/news/156198">引發反彈</a>，進而簽署了Future of Life Institute所發表的公開信，此公開信呼籲要求科技公司暫停訓練比GPT-4更強大的AI系統至少6個月，必須包含所有關鍵人士，且需公開可驗證。若無法應立即暫停，各國政府也應該要介入強制中止。此舉獲得特斯拉執行長伊隆．馬斯克（Elon Musk）、蘋果共同創辦人Steve Wozniak、Stability AI執行長 Emad Mostaque等科技大老聲援。</p> <p>生成式人工智慧是 AI 的一個子集，它能夠透過機器學習模型生成新的數據或內容，包括文字、圖像、音樂、影片、程式碼、各種設計、3D模型等。</p> </div></div></div>
2023/4/6 21:50作者洪予揚https://www.ithome.com.tw/news/156257
【資安日報】4月6日，網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日的資安新聞有不少與已知漏洞的攻擊行動有關，例如，之前出現的網路電話系統開發商3CX供應鏈攻擊事故，駭客於Windows版用戶端軟體利用了10年前的軟體簽章漏洞CVE-2013-3900，原因是微軟將相關更新程式列為選用，而有可能因為使用者的電腦沒有修補這項漏洞，讓駭客能夠得逞。</p> <p>這種已知漏洞尚未修補，而能讓駭客隨意利用的情況究竟有多嚴重？有資安業者根據美國網路安全暨基礎設施安全局（CISA）列管的896個已被利用漏洞名單（KEV）著手調查，結果發現有1,500萬個應用系統曝露KEV列管的部分漏洞，值得留意的是，研究人員列出的10大漏洞裡，有一半以上存在5年以上。</p> <p>上述的KEV名冊裡有不少是高風險漏洞，使得研究人員不斷呼籲要儘速修補，但低風險的漏洞也同樣值得留意。有資安業者針對威聯通NAS設備的零時差漏洞提出警告，並指出這些漏洞的CVSS風險評分雖然僅有2.7分，但在駭客時常針對該廠牌NAS下手的情況下仍應儘速修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/10-year-old-windows-bug-with-opt-in-fix-exploited-in-3cx-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路電話系統開發商3CX遭到供應鏈攻擊，傳出駭客運用10年前的Windows漏洞</span></strong></a></p> <p>網路電話系統開發商3CX傳出遭到供應鏈攻擊，導致用戶端軟體被植入惡意程式，如今這起事故有了新的發現。根據資安新聞網站Bleeping Computer的報導，駭客這次疑似利用了Windows在10年前被發現的漏洞CVE-2013-3900，駭客在用戶端軟體竄改了2個DLL程式庫檔案，其中1個是d3dcompiler_47.dll，他們更動了檔案結尾的部分，進而納入了加密的惡意酬載，但因利用了上述漏洞，此DLL檔案更動後仍保有微軟的簽章。</p> <p>為何駭客會鎖定這項漏洞？原因是微軟將其修補程式列為選用更新，而使得很多電腦可能沒有安裝此修補軟體。此外，若是用戶升級作業系統至Windows 11，也有可能導致CVE-2013-3900再度出現。</p> <p><a href="https://securelist.com/gopuram-backdoor-deployed-through-3cx-supply-chain-attack/109344/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣業者遭到網路電話系統3CX供應鏈攻擊波及，被植入後門程式Gopuram</span></strong></a></p> <p>網路電話系統開發商3CX傳出遭到供應鏈攻擊的事故，傳出背後發動攻擊的駭客是來自北韓的Lazarus，但其鎖定的目標究竟是誰？根據資安業者卡巴斯基的調查，駭客針對加密貨幣業者而來，並於受害電腦部署後門程式Gopuram，研究人員指出，這些遭到感染的電腦遍布全球，但數量不到10臺，駭客的目的很有可能是為了經濟利益。該資安業者提出警告，他們在今年3月發現Gopuram的攻擊行動升溫，駭客不只會於受害電腦植入惡意程式庫wlbsctrl.dll，還會部署加密的Shell Code酬載來發動攻擊。</p> <p><a href="https://research.checkpoint.com/2023/rorschach-a-new-sophisticated-and-fast-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rorschach濫用Palo Alto Networks的XDR系統元件載入、執行</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Rorschach-Picture3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rorschach-Picture3.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露名為Rorschach勒索軟體，此勒索軟體具備自動建立群組原則物件（GPO）的能力，進而直接透過網域散布到區域網路的所有電腦，並使用系統呼叫（Syscall）來躲避安全防護機制，駭客亦採用特殊的封裝手法來防堵研究人員分析。</p> <p>而對於攻擊者執行該勒索軟體的方法，研究人員指出是透過資安業者Palo Alto Networks旗下的Cortex XDR元件，並以DLL側載（DLL Side-loading）的方式載入。</p> <p>值得一提的是，此勒索軟體採用了效率極高的混合加密法，針對檔案的部分內容進行加密，並實作執行緒工作排程（Thread Scheduling），而使得檔案完成加密的速度非常快──LockBit 3.0需要耗時7分鐘加密的檔案，Rorschach僅需4分半就能完成。</p> <p><a href="https://www.mandiant.com/resources/blog/alphv-ransomware-backup"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">備份系統Veritas的弱點遭勒索軟體BlackCat利用，入侵受害組織</span></strong></a></p> <p>資安業者Mandiant揭露勒索軟體BlackCat（亦稱Alphv）旗下組織UNC4466新型態的攻擊行動，駭客約在去年10月，開始針對曝露於網際網路的資料備份系統Veritas Backup Exec下手，鎖定尚未修補CVE-2021-27876、CVE-2021-27877、CVE-2021-27878（CVSS風險評分為8.1、8.2、8.8）的Windows主機，利用特定的滲透測試工具Metasploit模組發動攻擊。</p> <p>駭客一旦成功入侵，就會透過Advanced IP Scanner、ADRecon進行偵察，然後下載其他作案工具，最終濫用背景智慧型傳輸服務（BITS）於受害電腦部署勒索軟體。由於駭客在這起攻擊行動當中採用的工具，就是針對上述漏洞而來的Metasploit模組，使得研究人員呼籲企業要儘速修補。</p> <p><a href="http://www.businesswire.com/news/home/20230402005076/en/Western-Digital-Provides-Information-on-Network-Security-Incident"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">磁碟製造商Western Digital資料外洩，多項雲端備份服務停擺</span></strong></a></p> <p>硬碟製造商Western Digital（WD）於4月3日證實，他們在3月26日察覺遭到網路攻擊，未經授權的第三方取得權限，入侵數個系統，該公司旗下的NAS系統備份服務My Cloud、My Cloud Home、My Cloud Home Duo，以及裝置備份服務My Cloud OS5 照片管理服務SanDisk ibi、無線充電服務SanDisk Ixpand Wireless Charger中斷，該公司認為駭客已從內部系統取得部分資料，他們正著手調查受到影響的範圍。</p> <p><a href="https://twitter.com/BrettCallow/status/1642904101783756805">資安業者Emsisoft的研究人員推測</a>，本次事故很可能是勒索軟體攻擊。</p> <p><a href="https://patchstack.com/articles/critical-elementor-pro-vulnerability-exploited/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Elementor Pro漏洞出現攻擊行動，1,100萬網站恐曝險</span></strong></a></p> <p>資安業者Ninja Technologies Network（NinTechNet）於3月28日，<a href="https://blog.nintechnet.com/high-severity-vulnerability-fixed-in-wordpress-elementor-pro-plugin/">揭露WordPress外掛程式Elementor Pro的高風險漏洞（未分配CVE編號）</a>，此漏洞涉及串接電子商城WooCommerce的模組，而使得任何人在未經充分身分驗證的情況下，就能修改WordPress網站的配置，影響3.11.6版之前的版本，CVSS風險評分為8.8分，估計1,100萬個網站可能會受到影響，開發商於3月22日發布新版外掛程式修補。</p> <p>到了3月30日，資安業者Patchstack呼籲網站管理者要儘速修補Elementor Pro，原因是他們看到來自多個IP位址的攻擊行動，其中大部分來自193.169.194.63、193.169.195.64、194.135.30.6。</p> <p><a href="https://www.rezilion.com/blog/get-to-know-kev-in-our-new-research-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾1,500萬個連接網際網路的應用系統受到CISA列管的已知漏洞影響</span></strong></a></p> <p>資安業者Rezilion針對美國網路安全暨基礎設施安全局（CISA）列管的896個已被利用漏洞名單（KEV）進行調查，結果發現，至少1,500萬個能透過網際網路存取的應用系統，具有KEV列出的漏洞，這些應用系統主要會受到其中的200個漏洞波及，以KEV所突顯的137個Windows漏洞為例，影響的系統數量為700萬個。</p> <p>研究人員透過物聯網搜尋引擎Shodan，找出10大曝險漏洞，值得留意的是，有半數漏洞超過5年，包含加密程式庫OpenSSL漏洞Heartbleed（CVE-2014-0160）、Windows終端機服務漏洞BlueKeep（CVE-2019-0708）等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sternumiot.com/iot-blog/qnap-ts-230-nas-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通修補NAS零時差漏洞，8萬臺設備曝險</span></strong></a></p> <p>資安業者Sternum揭露威聯通（QNAP）NAS作業系統的零時差漏洞CVE-2022-27597、CVE-2022-27598（CVSS風險評分2.7），這些漏洞一旦遭到利用，攻擊者就有可能在通過身分驗證的情況下，遠端取得秘密參數，執行QTS、QuTS hero、QuTScloud、QVR Pro appliances（QVP）作業系統的設備都可能受到影響，估計約有8萬臺設備具有上述漏洞。</p> <p>目前<a href="https://www.qnap.com/en/security-advisory/qsa-23-06">威聯通已釋出QTS、QuTS hero新版韌體</a>，用戶可執行更新修補漏洞。研究人員認為，雖然上述漏洞的CVSS風險評分並不高，但有鑑於駭客針對頻頻該廠牌NAS發動攻擊，使用者不應輕忽這些平臺的漏洞修補。</p> <p><a href="https://support.hp.com/us-en/document/ish_7905330-7905358-16/hpsbpi03838"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">HP揭露LaserJet印表機重大漏洞，呼籲用戶暫時改用舊版韌體因應</span></strong></a></p> <p>4月3日HP發布資安公告，指出旗下約有50款LaserJet印表機存在重大漏洞CVE-2023-1707，此為資訊洩露漏洞，存在於執行韌體FutureSmart 5.6版、啟用IPsec通訊協定的印表機，CVSS風險評分為9.1。</p> <p>該公司承諾將於90天內提供新版韌體，但在此之前，他們呼籲用戶應將印表機韌體改回5.5.0.3版，來防堵上述漏洞帶來的風險。</p> <p><a href="https://www.wiz.io/blog/bingbang"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">搜尋引擎Bing的結果有可能遭到錯誤配置的微軟應用程式挾持</span></strong></a></p> <p>資安業者Wiz揭露名為BingBang的弱點，此漏洞存在於Azure AD的不當組態，一旦IT人員在Azure App Services、Azure Functions建立網站應用程式，就有可能因錯誤的組態配置，而允許其他微軟租戶存取。研究人員於1月底通報，微軟已完成修補，並於3月28日頒發4萬美元獎金給Wiz研究人員。</p> <p>而對於這項漏洞的名稱由來，是研究人員發現攻擊者可利用微軟旗下的Bing Trivia內容管理系統（CMS）來觸發上述漏洞，不只可竄改搜尋引擎Bing的搜尋結果，還能對Bing用戶發動跨網站指令碼（XSS）攻擊，甚至是竊取電子郵件、SharePoint共用檔案。</p> <p><a href="https://orca.security/resources/blog/super-fabrixss-azure-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補Azure Service Fabric高風險漏洞Super FabriXSS</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Super-FabriXSS.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Super-FabriXSS.png" style="width: 300px; float: right;" /></a>資安業者Orca揭露名為Super FabriXSS的跨網站指令碼（XSS）漏洞CVE-2023-23383，此漏洞存在於微軟Azure Service Fabric Explorer（SFX），未經身分驗證的攻擊者可遠端在Service Fabric節點代管的容器中，執行任意程式碼，CVSS風險評分為8.2。微軟獲報後於3月例行修補（Patch Tuesday）提供更新程式。</p> <p>研究人員指出，攻擊者可藉由發送精心設計的URL來發動攻擊，進而在使用者連線的上下文嵌入iframe，接收來自攻擊者伺服器的檔案，最終於受害環境執行PowerShell打造的惡意反向Shell，這樣的做法很有可能繞過防火牆或相關的安全措施。</p> <p><a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電腦版Chrome 112發布，修補16個漏洞</span></strong></a></p> <p>Google於4月4日發布Chrome 112版（112.0.5615.49、112.0.5615.50），總共修補了16個漏洞，其中有2個為高風險等級。</p> <p>根據該公司頒發的獎金多寡，最嚴重的高風險漏洞是CVE-2023-1810，此為Visuals元件的記憶體堆疊緩衝區溢位漏洞，Google為此發出5千美元獎金；另一個高風險漏洞是CVE-2023-1811，該漏洞出現於Frames元件，為記憶體釋放後濫用（UAF）弱點，Google頒給研究人員3千美元獎勵。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://edition.cnn.com/2023/04/02/tech/china-pinduoduo-malware-cybersecurity-analysis-intl-hnk/index.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">購物App拼多多傳出具備監控功能，關閉後仍會在後臺運作</span></span></strong></a></p> <p><a href="https://www.theregister.com/2023/04/03/uber_drivers_info_stolen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Uber再傳司機資料外洩，起因是法律事務所遭駭</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/capita-cyberattack-disrupted-access-to-its-microsoft-office-365-apps/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國IT服務業者Capita遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/consumer-lender-tmx-discloses-data-breach-impacting-48-million-people/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">金融集團TMX資料外洩，480萬人受到影響</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/with-keyplug-chinas-redgolf-spies-on-steals-from-wide-field-targets"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客組織RedGolf利用後門程式Keyplug發動攻擊</span></span></strong></a></p> <p><a href="https://source.android.com/docs/security/bulletin/2023-04-01"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓4月例行更新發布，修補2個重大RCE漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156233">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156202">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156193">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</a></strong></p> </div></div></div>
2023/4/6 15:37作者周峻佑https://www.ithome.com.tw/news/156264
HP揭露涉及數十款雷射印表機的資訊外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.hp.com/us-en/document/ish_7905330-7905358-16/hpsbpi03838" target="_blank">HP本周揭露了一個涉及數十款雷射印表機的重大漏洞CVE-2023-1707</a>，成功的攻擊將允許駭客存取同一網路上裝置與印表機之間的傳輸資訊，HP建議使用者暫時降級至無漏洞的舊版韌體，而真正的修補程式則預計會在90天內出爐。</p> <p>根據HP的說明，受到波及的是採用FutureSmart 5.6版的特定HP Enterprise LaserJet與HP LaserJet Managed Printers，而且這些雷射印表機必須啟用IPsec安全協定。</p> <p>儘管HP並未公布漏洞細節，僅說這是個資訊揭露漏洞，但由於IPsec是個應用於企業網路的安全協定，負責捍衛內部通訊的安全，並防止未經授權的資產存取，而FutureSmart則允許使用者自遠端配置印表機，意謂該漏洞將讓駭客得以存取印表機與網路裝置之間的通訊，其CVSS風險等級高達9.1。</p> <p>舉凡是安裝FutureSmart 5.6並啟用IPsec的HP印表機都可能受到波及，估計約影響50款印表機，目前HP尚未釋出修補程式，建議使用者降級到更早之前的FutureSmart版本以暫時因應。</p> </div></div></div>
2023/4/6 15:22作者陳曉莉https://www.ithome.com.tw/news/156263
GKE現預設啟用Autopilot叢集運作模式，可自動管理基礎設施並提升安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端在其Kubernetes服務<a href="https://cloud.google.com/blog/products/containers-kubernetes/gke-autopilot-is-now-default-mode-of-cluster-operation">預設啟用Autopilot叢集模式</a>。Autopilot是GKE在2021年所推出的服務，能夠自動管理基礎設施並且應用最佳實踐，使得用戶可以花更少的時間在基礎設施管理工作，更專注於軟體開發上。</p> <p>官方提到，Autopilot是一種叢集操作模式，使得無專業知識的用戶，也能夠簡單使用GKE，Google於叢集創建頁面預設啟用並且推薦Autopilot模式。Autopilot的優點包括加速軟體上市、維持可靠性、改善安全態勢等。</p> <p>由於GKE Autopilot可大幅簡化Kubernetes操作，使得企業更快地建構和部署應用程式，開發人員可以在工作負載定義podSpec中，配置廣泛的資源和目標CPU平臺，Autopilot功能會自動根據定義啟動需要的基礎設施，並且配置需要的污點（Taint）和容忍度（Tolerations）屬性。</p> <p>Autopilot大幅降低Kubernetes的學習曲線，能夠管理節點池和節點，讓剛接觸Kubernetes的用戶，也能夠妥善管理Kubernetes。Autopilot適合用於各種用例的預設配置，針對工作負載進行最佳化，用戶不需要計算節點大小和機器規格。Autopilot模式還提供由Google SRE所支援的Pod層級SLA，由Google監控整個Autopilot叢集控制平面、工作節點和核心Kubernetes系統元件，使Pod能夠維持正常調度。</p> <p>另外，Autopilot的一大賣點便是改善安全態勢，Google提到，要安全使用Kubernetes並不容易，而Autopilot提供安全的Kubernetes版本，並且預設啟用合理的安全配置，能夠最大程度減少攻擊面，進而減少CVE和錯誤配置帶來的影響。Autopilot採用安全最佳實踐，像是不允許工作負載和用戶進行特權存取，以及限縮Kubernetes上的節點和特權容器對Root存取的合法用例，並且以白名單來管理例外情況。</p> <p>Autopilot相容於Kubernetes，能夠支援大多數Kubernetes工作負載，像是區塊存儲裝置StatefulSets、DaemonSets以及用於機器學習的GPU任務，同時也支援營運工作負載所需，包括OPA/Gatekeeper、Webhooks和IP偽裝等技術。</p> </div></div></div>
2023/4/6 15:59作者李建興https://www.ithome.com.tw/news/156265
Meta公布圖像分割AI模型、訓練資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/segment-anything-foundation-model-image-segmentation/" target="_blank">Meta昨（5）日宣布開源可分割圖像</a>，或將某部分圖像獨立出來並遮罩的圖像分割（image segmentation）AI模型及訓練資料集。</p> <p>Meta公布Segment Anything專案，將其開發的圖像分割（image segmentation）模型Segment Anything Model（SAM）及Segment Anything 1-Billion（SA-1B）遮罩資料集以Apache 2.0授權開源，以提供開發及研究之用。</p> <p class="rtecenter"><a href="https://github.com/facebookresearch/segment-anything" target="_blank"><img alt="" src="https://opengraph.githubassets.com/7e9f05101bce2725f359334a98e9c3bd792445dec16275e1be6d3ede9935c96a/facebookresearch/segment-anything" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／GitHub</span></p> <p>圖像分割是指辨識屬於特定物件的圖像像素，它是電腦視覺的核心任務，也用於多種領域，包括分析科學影像或編輯相片。但建立特定應用的準確圖像分割模型，需要具備AI模型訓練的基礎架構，以及經仔細標註的大量資料。</p> <p class="rtecenter"><img alt="" src="https://github.com/facebookresearch/segment-anything/raw/main/assets/model_diagram.png?raw=true" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>Meta指出，Segment Anything專案的核心目的是透過提供圖像分割的底層模型，降低訓練特定任務用的模型建立、基礎架構、資料標註的門檻。其SAM模型已經過多元資料訓練，再依不同任務加以訓練，也可像自然語言處理模型一樣透過提示執行。</p> <p>同時，此類模型訓練資料不像一般影片、圖像和文字可在網際網路上隨處取得，這也是Meta提供SA-1B價值所在。Meta說，它也是歷來最大的圖像分割訓練資料集。</p> <p>Meta指出，SAM作為底層模型，已能理解模型的一般概念，可為圖像和影像中任何物件產生遮罩，包含訓練時未遇過的物件和圖像類型，足以涵蓋多種應用情境，包括較新的影像領域，如水底相片或細胞顯微影像等。</p> <p>Meta說，Segment Anything專案可促進新圖像分割模型的發展，對AI研究界而言，SAM也能作為更大型AI系統的一部分，期望結合提示工程等，發展出可拆解的系統設計，以用於多模AI應用。像是理解網頁的影像和文字內容。或是用於AR/VR系統中，根據使用者視線選擇物件，再將之提升為3維物件。對內容創作者，SAM可協助擷取一部分影像製作拼貼，或進行影片編輯。SAM也可用於自然現象的科學研究，例如定位動物或物件，並在影片中追蹤等等。</p> <p><a href="https://github.com/facebookresearch/segment-anything" target="_blank">SAM及SA-1B相關資訊已公開在GitHub上</a>。<a href="https://github.com/facebookresearch/segment-anything" target="_blank">SA-1B是由一家大型相片業者授權</a>，包括地點、地點、風景等主題圖片，而為隱私考量，本資料集已經對人的臉孔及車牌做過匿名化處理。</p> <p>Meta 2月間開源的大型語言模型<a href="https://www.ithome.com.tw/news/155692" target="_blank">LLaMA</a>，其他研究單位在其基礎上已接連開發新模型，例如史丹佛大學的<a href="https://www.ithome.com.tw/news/155922" target="_blank">Alpaca 7B</a>及Databricks的<a href="https://www.ithome.com.tw/news/156128" target="_blank">Dolly</a>。</p> </div></div></div>
2023/4/6 12:34作者林妍溱https://www.ithome.com.tw/news/156259
Google要求Android程式開發者允許使用者刪除帳號與資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2023/04/giving-people-more-control-over-their-data.html" target="_blank">Google本周發布了一項新的資料刪除政策</a>，要求Android開發者必須提供選項，以讓使用者得以在程式中與網頁上刪除帳號及資料，這是Google強化Google Play用戶對Android程式信任度的新措施。</p> <p>此一新功能將出現在<a href="https://www.ithome.com.tw/news/147360" target="_blank">Google Play的資料安全項目（Data safety section）</a>中，新政策要求開發者必須允許使用者刪除帳號，在刪除帳號的同時也必須刪除與該帳號有關的資料，不過，此一功能也讓開發者得以提供更多的選項，例如有時使用者並非想要完全刪除帳號，只想刪除如活動歷史紀錄、圖片或影片等資料。</p> <p>此外，有些與法令相關的使用者資料依然會被保留，包括那些涉及安全、防範詐欺或法規遵循的資料，但開發者必須清楚地揭露保留相關資料的作法。</p> <p>為了留給開發者更多的準備時間，Google的第一步是要求開發者於12月7日之前，於程式的Data Safety表格中提供資料刪除問題的解答，Google Play用戶則可在明年初在程式Data Safety項目中看到新的資料刪除功能。至於需要更多時間的開發者則可申請延後履行，期限為明年的5月31日。</p> <p>值得注意的是，Google要求開發者必須同時於程式及網頁上提供帳號與資料的刪除功能，以便讓那些已經移除程式的使用者不必重新安裝程式也能刪除帳號。</p> <p>Google持續改善Google Play的隱私與安全，宣稱此一新政策所帶來的直覺經驗將讓使用者更能理解控制自己資料的各種管道，進而更信賴Google Play及該平臺所出版的程式。</p> </div></div></div>
2023/4/6 11:59作者陳曉莉https://www.ithome.com.tw/news/156258
傳蘋果也啟動裁員，影響零售部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2023-04-03/apple-to-make-small-number-of-job-cuts-in-some-corporate-retail-teams" target="_blank">《彭博》（Bloomberg）報導</a>本周蘋果也加入Google、Amazon、微軟等科技公司的行列，對零售部門下達裁員令。</p> <p>報導指出，蘋果上周通知零售店建造和維運部門員工，他們可在本周末之間在公司其他部門尋找職缺，找不到者就必須走人。蘋果對被裁撤的員工發給4個月資遣金。</p> <p>這波裁員影響人數不明，但報導指出，人數比起Google、Amazon、Meta及微軟上萬規模來比要小得多。蘋果告訴員工，這次人事異動不是裁員，而是為了改善全球零售店維運效率的精簡行動。</p> <p>不過這也是蘋果已知首次裁減正職員工。因應景氣寒冬，去年11月蘋果開始凍結人員聘僱。今年2月，<a href="https://www.wsj.com/livecoverage/stock-market-news-today-02-02-2023/card/apple-ceo-tim-cook-says-economic-challenges-a-headwind-Lwsz2GdQzExYtPHkiLPH" target="_blank">蘋果執行長庫克（Tim Cook）曾告訴《華爾街日報》</a>因應裁員是最後手段。去年6月蘋果已中止大約100名約聘人員合約，也曾中止約聘工程師及保全等職位。</p> <p>相較之下，其他大廠裁員更早、規模也更大。以公開宣布的規模而言，Amazon繼去年11月後，<a href="https://www.ithome.com.tw/news/156011" target="_blank">上個月再裁</a>9,000人，共裁了2.7萬；Meta去年11月及<a href="https://www.ithome.com.tw/news/155932" target="_blank">今年3月</a>兩次裁員共2.1萬、Google和微軟則各在今年1月裁減<a href="https://www.ithome.com.tw/news/155250" target="_blank">1.2萬</a>及<a href="https://www.ithome.com.tw/news/155219" target="_blank">1萬</a>名員工。</p> </div></div></div>
2023/4/6 10:07作者林妍溱https://www.ithome.com.tw/news/156253
研究人員發現加密速度迄今最快的勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.checkpoint.com/2023/rorschach-a-new-sophisticated-and-fast-ransomware/" target="_blank">Checkpoint安全研究人員發現</a>一隻新勒索軟體Rorschach，在平均不到5分鐘內即可完成系統檔案加密，是加密速度最快的勒索軟體之一。</p> <p>Checkpoint安全回應中心研究人員是在一家美國企業客戶系統發現這隻嶄新勒索軟體，它利用一款經簽章的商用安全軟體元件部署到受害者電腦中，研究人員將之命名為Rorschach。</p> <p>這隻勒索軟體在許多方面都很特別。它和其他勒索軟體組織似乎沒有聯盟關係，也不像已知勒索軟體具有品牌名。它的勒索軟體訊息格式類似Yanluowang，但其他變種則很像Darkside，以致曾被誤認。</p> <p>深層分析顯示，Rorschach一些特徵能和其他勒索軟體很像，但更為進階。首先，不同於許多勒索軟體感染企業系統時需要手動執行某些作業，像是建立網域群組政策（GPO），Rorschach則可將這些工作自動化，因而可透過網域控制器（domain controller）自動散布，還能清除受害機器的事件紀錄檔。過去只有LockBit 2.0有這等能力。</p> <p>此外，Rorschach使用直接的系統呼叫（syscall）躲避防護機制，這就是首次在勒索軟體見到的能力。它還使用特殊封裝方法以防止安全人員分析。此外，它相當有彈性，除了原有配置，也提供客製化設定，可依據營運者需求改變其行為。</p> <p>另一項特殊之處在於，Rorschach勒索軟體使用極高效率的混合加密法，加密檔案的部分內容，而非整個檔案。分析其混合加密手法，研究人員判斷可能來自Babuk勒索軟體。此外，它也有效實作執行緒排程（thread scheduling），而且其組譯器也經過速度最佳化。研究人員指出，這些因素使這隻勒索軟體成為他們遇過加密最快的勒索軟體之一。</p> <p>研究人員比較Rorschach及去年最兇狠的勒索軟體之一的LockBit v3，顯示Lockbit v3平均加密時間為7分鐘，而新勒索軟體僅需4分鐘30秒。而透過調整加密串數量，速度還可以再提高。</p> <p>研究人員指出，Rorschach似乎集結了已知現有首要勒索軟體的最佳功能於一，並以自動化方法自我繁殖，已提高了勒索軟體攻擊能力的水準。</p> </div></div></div>
2023/4/6 10:52作者林妍溱https://www.ithome.com.tw/news/156256
Cloud周報第171期：百年消費品大廠聯合利華全面上雲，2年內完成旗下4百個品牌系統遷雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（03/30～04/05）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GCP推出能支援本地與邊緣安裝的雲端資料庫AlloyDB Omni</span></strong></p> <p>去年Google Cloud推出可相容於PostgreSQL的雲端資料庫AlloyDB後，最近再發表AlloyDB Omni新服務。這是一個可安裝於本地或邊緣環境的AlloyDB版本，兼具有高性能且與相容PostgreSQL的特性。</p> <p>這套本地端資料庫服務使用和雲端版AlloyDB相同的引擎，根據GCP內部的測試，AlloyDB Omni處理交易負載的速度，比標準PostgreSQL快2倍以上，在處理資料分析查詢的速度也快了100 倍，可以協助企業加速將舊有資料庫進行現代化改造。</p> <p>除了能安裝在本地端，AlloyDB Omni本身也能支援跨雲部署，甚至開發人員只要一臺筆電就可以下載並加以執行。</p> <p>此外，企業也能在Google Distributed Cloud服務中執行AlloyDB Omni，也就是可以跑在混合雲平臺Anthos上，除了滿足隔離環境要求所需，也能支援有嚴格延遲和頻寬要求的邊緣應用。不過目前只提供技術預覽版，正式版還要再等等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">聯合利華 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遷雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">百年消費品大廠聯合利華全面擁抱雲端，2年內完成旗下4百個品牌系統全上雲</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1%20billion%20euro%20brands.jpg" style="width: 600px; height: 390px;" /></p> <p>以銷售消費日用品為主的聯合利華，最近宣布花了近2年終於全面完成遷雲，將全球超過400個品牌所使用的營運系統全部搬上雲端，來打造更靈活彈性的IT基礎架構，更要讓自己成為一家純雲企業，來加速推動營運增長與創新，。</p> <p>這家百年老字號英國消費品製造大廠，每天有34億人口使用其產品，4百個品牌更遍布190多國，在臺灣知名的多芬、麗仕、凡士林、白蘭、熊寶貝等都是旗下品牌。但是隨著公司發展規模越大，品牌越增越多，聯合利華舊有IT系統已經跟不上公司營運成長，甚至無法滿足追求創新業務的IT發展所需。為此，聯合利華2年前決定轉型，甚至開始擁抱雲端，並花了1年半完成系統全面上雲。</p> <p>去年底先完成95%的業務系統上雲後，聯合利華緊接著在今年4月將所有營運系統自資料中心搬上Azure公雲，完成所有遷雲工作。</p> <p>聯合利華首席企業與技術長Steve McCrystal表示，透過上雲，可以讓這家公司能更快因應不斷變化的消費者需求，來更有效地分配資源，更快地將服務和產品推向市場。</p> <p>在上雲過程中，這家公司也導入諸多新技術來加速轉型，不只透過蒐集工廠數據建立產線數位分身，與結合雲端數據平臺來發展智慧工廠，在研發方面也導入AI技術，加快創新產品開發與推出，更開始應用當前火紅Azure OpenAI 服務，透過生成式AI來提高外部顧客和內部使用者體驗。此外還引進Green Cloud Advisor計畫來幫助其減少碳足跡，加速實現淨零排放的永續承諾。</p> <p class="p2" style="margin: 0px 0px 18px 24px; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 13.5px; line-height: normal; font-family: BiauKai; color: rgb(0, 0, 0); min-height: 14px;"> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">英國雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Ofcom </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS、微軟Azure遭英國監管機構Ofcom點名，恐有違反公平競爭的疑慮</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloud-Market-NR_Cloud-market-share-ENG.png" style="width: 600px; height: 220px;" /></p> <p>英國電信監管機構Ofcom最近發布聲明指出，根據其市場研究表明，有合理理由懷疑英國公有雲市場中可能存有影響或限制市場競爭的情況，其中又以亞馬遜AWS、微軟Azure兩家公有雲大廠遭到點名，對於其市場競爭影響感到擔憂。</p> <p>目前在英國公有雲市場中，光是三大公雲巨頭市占就占了8成，尤其AWS和Azue兩家合計就達到60%至70%的市占，等於每3家就有2家不是採用AWS就是用Azure雲端服務，至於排三的GCP市占則介於 5%到10%之間。</p> <p>根據其調查，大型雲端廠商用來妨礙競爭常見手段，有像是向用戶收取數據轉移他廠的高額費用，還有加諸在跨不同雲端平臺相互使用限制，以及提供優惠折扣利誘等可能阻礙競爭的手段。Ofcom表示，這些種種跡象都表明，已對於市場公平競爭造成危害，甚至有證據顯示，已有用戶續約時面臨價格大幅調漲的狀況。</p> <p>為了防止壟斷競爭，Ofcom要求雲端大廠必須在5月17日前就其報告提出回應與說明，否則後續就會提交給英國競爭暨市場管理局（CMA）做出最終決定，來對於損害市場競爭者加強管制。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端儲存 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HPE </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">瞄準企業資料儲存需求，HPE混合雲服務方案GreenLake新增檔案和區塊儲存服務</span></strong></p> <p>近日，HPE混合雲雲端服務方案GreenLake發表新的儲存和資料保護服務，其中，在SaaS儲存服務上，推出採用Alletra Storage MP模組架構的新儲存服務，可以支援檔案和區塊儲存格式，讓企業可以在單一雲平臺中來部署、管理和調度檔案和區塊兩種儲存類型的數據，而不用管工作負載和儲存協定。</p> <p>新發表檔案儲存服務也提供橫向擴展能力，能用來加速資料密集型應用的工作負載處理，可提供每秒數百GB的資料吞吐量，而透過VAST Data軟體與結合HPE GreenLake服務模式，也能讓該服務具有高度彈性，可以儲存EB級資料規模。另外在區塊儲存服務的可用性、性能和可擴展性也獲得加強，來確保執行任務關鍵型應用和混合工作負載可達到SLA標準。</p> <p>此外，透過GreenLake服務方案，HPE還推出新的備份和災難復原服務，提供整合的混合雲數據保護。並也將SQL備份添加到同個環境來擴展其VMware備份功能。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">供應鏈 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS正式推出Supply Chain雲端服務，協助企業改善供應鏈庫存管理風險</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/supply-chain-ga-insight-recommendation.png" style="width: 600px; height: 313px;" /></p> <p>去年底AWS在年度大會上發表Supply Chain供應鏈管理新服務，強調不需要翻新ERP系統，就能讓企業以自動組合和分析跨多個供應鏈系統的數據，進行供應鏈庫存管理。不過初期僅提供預覽版，經過幾個月測試，近日終於推出上線。</p> <p>AWS Supply Chain是一個雲端庫存監測與預測應用，可以連接企業內部ERP或供應鏈管理系統來取得所需數據，並透過已經訓練過的ML模型，以建立統一供應鏈資料湖，並自動產生出包含零售商商店、配送中心和其他物流設施在內的互動地圖。使用這個視覺化地圖，除了方便管理者隨時查看不同地區供應鏈庫存變化，也能以此建立風險預警機制，一旦有商品短缺或庫存過多的風險時，就會發出告警，讓負責管理人員早及時因應。</p> <p>不過初期支援ERP系統，以SAP ERP產品為主，若是使用其他供應鏈系統或資料源，也能透過電子資料交換EDI、Amazon S3等服務來取得所需資料。目前該服務已在美國東西部和歐洲部分地區推出。</p> <p> </p> <p>圖片來源／Ofcom、AWS、聯合利華</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Google設定Drive雲端硬碟上傳數量最高上限為500萬個檔案，但一天即撤回決定</strong></p> <p><strong>2.微軟Azure正式推出中小企業DDoS攻擊防護服務</strong></p> <p><strong>3.Google揭圖像生成業者Midjourney使用TPU v4訓練其生成式AI模型</strong></p> <p><strong>4.Google將GKE叢集管理的Autopilot模式變成預設功能</strong></p> <p><strong>資料來源：iThome整理，2023年4月</strong></p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/4/6 07:54作者余至浩https://www.ithome.com.tw/news/156250
Google Drive設定檔案上傳數量，一天即撤回決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，Google似乎對儲存服務個人版及企業版Google Drive實施500萬個檔案上傳限制，超過上限者會被要求刪除。不過僅僅一天Google又決定撤消這項措施。</p> <p><a href="https://arstechnica.com/gadgets/2023/03/google-drive-does-a-surprise-rollout-of-file-limits-locking-out-some-users/" target="_blank">上周Ars Technica報導指出</a>，<a href="https://www.reddit.com/r/google/comments/123fjx8/google_has_applied_a_5_million_items_limit_for/" target="_blank">一名用戶接到Google Drive通知</a>，他的上傳檔案超過500萬個的數量上限，要求他如果要繼續使用帳號，必須刪除200萬個檔案。未刪除檔案者將會看到上傳失敗的訊息。</p> <p>事實上，報導指出，2月起就有用戶看到警告通知，3月份通知訊息則說明上限為500萬個檔案。有的用戶自Google技術支援中心得知，有的則是從Drive UI的跳出視窗得到警告。從用戶在Reddit及Google問題通報來看，不論是Google One個人用戶或企業版Workspace用戶都接到通知。</p> <p>這500萬檔案的數量上限並不包含共享檔案。<a href="https://support.google.com/a/users/answer/7338880?hl=en" target="_blank">Google Drive對共享檔案數量有明文規定400萬個檔案的上限</a>。這規定很容易繞過，Google想防止濫用無可厚非，但是這新規定令人爭議的是，Google從沒有正式宣布上傳檔案數量的政策，且不論在Google服務或產品頁，也都沒有網頁說明。用戶不明所以，還以為是臭蟲。</p> <p>新規定也存在設計問題，例如可能造成用戶Google Drive容量即使還有空間，但上傳檔案數已超過限制。Google One付費服務的雲端硬碟容量為30TB，Google Workspace也有5TB。對一個2TB的Google Drive用戶而言，若他平均檔案小於400KB，新規定在他空間未滿之前就會無法再上傳檔案。再者，Google也未提供計算工具供用戶計算他們必須刪除多少檔案，令用戶無法提早準備，被迫接到通知時急忙刪除檔案或另尋其他服務。</p> <p>在媒體報導後，Google本周稍早才終於對媒體說明，新檔案上限規定旨在防止有人濫用Google Drive，傷害其服務的穩定和安全。且Google說受影響的用戶「相當少數」。</p> <p>不過周二（4/4）Google又出現政策急轉彎。<a href="https://twitter.com/googledrive/status/1643049029251776515" target="_blank">Google坦承稍早推行Google Drive物件上傳限制</a>，雖然這只影響少數用戶，但該公司決定撤回變更，將再探索其他方法確保對所有人良好的使用體驗。Google並說，如果他們必須做出變更，一定會事先和用戶溝通。</p> </div></div></div>
2023/4/5 18:41作者林妍溱https://www.ithome.com.tw/news/156249
Veritas備份軟體遭ALPHV勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mandiant.com/resources/blog/alphv-ransomware-backup" target="_blank">安全廠商發現</a>，知名備份軟體Veritas產品曾在去年遭到ALPHV（或BlackCat）勒索軟體利用漏洞感染，提醒曝險的企業用戶儘速修補漏洞。</p> <p>Google旗下安全子公司Mandiant去年10月，發現一起針對執行Veritas Backup Exec軟體的攻擊行動。代號UNC4466 的駭客組織是在9月利用Metasploit攻擊框架濫用Veritas備份軟體三項漏洞CVE-2021-27876、 CVE-2021-27877及 CVE-2021-27878，以駭入一臺Windows伺服器，最後部署勒索軟體ALPHV勒索軟體。</p> <p>ALPHV為Rust語言開發的勒索軟體即服務（ransomware-as-a-service），又名BlackCat。它首先是在2021年11月為人發現，研究人員相信它是Blackmatter及Darkside勒索軟體的後繼者，<a href="https://www.ithome.com.tw/news/151943" target="_blank">曾攻擊包括電玩遊戲開發商萬代南夢宮（Bandai Namco）</a>。</p> <p>在進入受害者系統中，UNC4466利用Windows的IE瀏覽器下載掃瞄軟體，以及其他資料蒐集工具蒐集其他伺服器的IP、主機名及OS、硬體設備資訊、Active Directory環境資訊包括子網域、密碼政策、電腦與用戶帳號清單等到外部伺服器，以便掌握受害者系統環境。最後，駭客們分別下載遠端控制工具及密碼蒐集工具、並且關閉安全軟體，最後下載ALPHV加密工具攫取受害者檔案。</p> <p>這三項漏洞影響Veritas Backup Exec 16.x、20.x及21.x版本。三漏洞CVSS 3.1風險值從8.2到8.8，屬於高風險漏洞。<a href="https://www.veritas.com/support/en_US/security/VTS21-001" target="_blank">Veritas已在2021年3月釋出安全公告及21.2版本軟體加以修補</a>。</p> <p>不過截至目前，Mandiant利用市面網路掃瞄服務，仍發現有超過8,500多臺IP位址的伺服器曝露出Veritas Backup Exec ndmp服務。安全廠商指出，雖然曝露的服務因應用程式版本不明，這掃瞄結果未直接發現有漏洞的系統，但也顯示仍有為數眾多的執行個體可能曝險。</p> <p>安全廠商建議用戶應使用Windows版Veritas Backup Exec的log檔，透過分析可以了解是否曾被用於連上遠端系統。</p> </div></div></div>
2023/4/5 16:27作者林妍溱https://www.ithome.com.tw/news/156247
TikTok未保護兒童個資，被英政府罰款1,300萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國政府周二（4/4）以未確保兒童用戶個資為由，<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2023/04/ico-fines-tiktok-127-million-for-misusing-children-s-data/" target="_blank">對TikTok做出罰款1,270萬英鎊的處分</a>。</p> <p>英國資料主管機關資訊委員會辦公室（Information Commission's Officer，ICO）指出，TikTok多項行為違反英國資料保護法，包括非法使用兒童個資，促使它對TikTok總公司及TikTok資訊科技（TikTok Information Technologies）英國分公司祭出處分。</p> <p>英國法律要求對13歲以下兒童提供資訊服務的組織，必須先取得其父母或監護人的同意，但TikTok並未這麼做。雖然TikTok的政策並不允許兒童建立帳號，但是該公司並沒有足夠檢查，辨識出有13歲以下的兒童使用其服務，或將這些用戶帳號移除。</p> <p>ICO調查發現，TikTok內部有資深員工曾對未成年兒童使用、且未移除提出問題，但公司並未有效處理。英國政府估計2020年TikTok英國用戶中有140萬名為兒童。</p> <p>此外，ICO認為TikTok未能以明確易懂的適當資訊告知用戶，TikTok蒐集、使用及和第三方組織分享其資料，令用戶無法在充份告知下做出是否使用TikTok的決定，這點違反了英國的GDPR法的透明、公平要求。</p> <p>這張罰單已是英國政府大幅下修處分的結果。<a href="https://techcrunch.com/2022/09/26/tiktok-faces-29m-fine-in-uk-for-failing-to-protect-childrens-privacy/" target="_blank">2022年9月ICO開罰金額為2,700萬英鎊</a>。</p> <p>TikTok對ICO判決並不完全滿意。<a href="https://techcrunch.com/2023/04/04/tiktok-uk-gdpr-kids-data-fine/" target="_blank">TikTok稱該公司已投資不讓13歲以下兒童使用其平臺</a>，並有超過4萬人的安全團隊確保用戶安全。不過TikTok仍然很滿意當局將罰金降到去年判決的一半。TikTok表示會思考是否再上訴。</p> <p>這是英國政府對TikTok施加的最新一波制裁。<a href="https://www.ithome.com.tw/news/155982" target="_blank">上個月英國政府宣布</a>，基於安全專家的意見，為防止TikTok存取通訊錄、使用者內容到地理資料等裝置資訊，政府公用裝置禁止安裝TikTok。</p> </div></div></div>
2023/4/5 16:39作者林妍溱https://www.ithome.com.tw/news/156248
Spotify關閉自家語音聊天室產品Spotify Live
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Spotify即將關閉自家獨立產品Spotify Live，其功能以及設計與Clubhouse雷同，主要為提供用戶與其他聽眾進行語音互動和直播活動的平臺。Spotify Live獨立App於2022年7月推出，它與Spotify音樂目錄整合，讓用戶可以直接在聊天室直播音樂。原本被認為是Clubhouse和Twitter Spaces的強大競爭對手，讓粉絲更能即時參與活動。然而，現在Spotify宣布停用Spotify Live，並表示他們將專注於現有的產品和服務，進一步改進和擴展其他產品。</p> <p>在聲明中，Spotify也提到他們將持續提供一些限制性的Live播放功能，像是聆聽派對（listening parties）功能，也就是一個團體如家人或朋友們，即使他們所在位置不同，仍可以5個人同時收聽host播放的音樂、podcast或是有聲書。</p> <p>其實，早在2021年6月，Spotify推出的Greenroom即為Spotify Live的前身，當時Spotify斥資6,200萬美金收購Betty Labs，並將原有的Locker Room整合更名為Greenroom，同時也增加了許多主題，例如運動，以應對當下火紅的Clubhouse，一年後，他們將Greenroom與音樂播放功能結合，進化為現在的Spotify Live。</p> <p>值得一提的是，Spotify在今年3月宣布一項重大的改版計畫。他們聲稱這是迄今為止最大的改變，主要著重在主頁「Home feed」，用戶可以滑動短影片、即時聽音樂，同時也會自動推薦有聲書和podcast。這樣的介面風格改變和增加的功能被許多用戶認為與抖音（TikTok）非常相似。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="480" scrolling="no" src="https://www.youtube.com/embed/ssVKZ31Cv6U" title="Stream On 2023: New Experiences" width="600"></iframe></p> </div></div></div>
2023/4/4 17:20作者洪予揚https://www.ithome.com.tw/news/156242
Western Digital被駭資料外洩，多項網路服務中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20230402005076/en/Western-Digital-Provides-Information-on-Network-Security-Incident" target="_blank">硬碟廠商Western Digital（WD）本周坦承被駭</a>，不但造成該公司資料外洩，也導致多項網路服務中斷。</p> <p>WD是在3月26日發現多項系統遭一個未授權組織非法存取。WD已通報主管機關，並與外部安全專家及執法機關展開調查。</p> <p>這次入侵造成該公司多項服務中斷及資料外洩。WD表示，受到影響的服務包括NAS系統備份My Cloud Home、My Cloud Home Duo、裝置備份服務My Cloud OS5、照片管理服務SanDisk ibi、無線充電服務SanDisk Ixpand Wireless Charger。WD相信攻擊者已從公司系統取得某些資料，目前WD正設法回復服務，也在調查資料內容和範疇。</p> <p>此外，為因應這次事件，<a href="https://status.mycloud.com/os4" target="_blank">WD暫時關閉</a>該公司多個系統，包括雲端、代理伺服器、網頁伺服器、驗證、電子郵件及推播通知等。</p> <p><a href="https://twitter.com/BrettCallow/status/1642904101783756805" target="_blank">安全廠商Emsisoft</a>研究員Brett Calllow推測，從系統廣泛性且長久中斷來看，這次事件可能是勒索軟體造成。</p> <p>WD預定當地時間的4月3日提供狀態最新說明。</p> <p>這是最近一次WD公開網路攻擊事件。2021年NAS系統雲端存取介面的一個遠端程式碼執行（RCE）遭駭客濫用，<a href="https://www.ithome.com.tw/news/145285" target="_blank">致使WD My Book Live裝置用戶的資料被駭客遠端刪除</a>。</p> </div></div></div>
2023/4/4 17:41作者林妍溱https://www.ithome.com.tw/news/156245
Google的Nearby Share可在Android手機、PC間傳送檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼2020年推出允許在Android裝置互傳檔案的Nearby Share後，上周再公布可支援Android裝置及Windows PC間傳送檔案。</p> <p><a href="https://www.ithome.com.tw/news/139210" target="_blank">Google 3年前公布</a>Nearby Share作為效法蘋果AirDrop的技術，可讓Android裝置之間無需連網及雲端硬碟，即可傳送影像、相片，連結或文件檔案。Google表示迄今已經有將近30億臺Android臺裝置使用過Nearby Share技術。</p> <p>在最新更新中Google將<a href="https://www.android.com/better-together/nearby-share-app/" target="_blank">Nearby Share以beta版支援</a>，拓展到全球眾多市場的Windows裝置。只要在PC下載並安裝Nearby Share Beta版App，就可以在傳送到鄰近Android裝置，或是根據Android裝置可視性設定（device visibility）偏好傳送檔案到PC。</p> <p><a href="https://support.google.com/product-documentation/answer/13470053" target="_blank">根據Google說明</a>，欲在PC和Android裝置間傳送檔案，除了PC需安裝Nearby Share App，兩臺裝置也必須都登入Google帳號，以及開啟藍牙連線及Wi-Fi網路，確保兩臺裝置位於同一網路內，相隔不超過5公尺。</p> <p>之後只要在檔案按右鍵出現的選單中的「內容」，在出現的選單中選擇PC即可傳送內容。Google表示，新版本Nearby Share傳送速度更快，且即使接收裝置的螢幕關閉也能自動接收檔案、相片或連結。</p> <p>目前Nearby Share Beta for Windows已提供給美國和全球多個市場，包括臺灣，但不包含歐盟地區。此外，這款App需要64-bit Windows 10以上，以及Android 6.0以上版本，但不支援ARM裝置。</p> </div></div></div>
2023/4/4 17:55作者林妍溱https://www.ithome.com.tw/news/156246
Google持續推延擴充套件標準規範Manifest V2退場時程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推廣瀏覽器擴充套件標準規範Manifest V3遭遇瓶頸，不停地延後Manifest V2退場時間，現在Chrome擴充套件團隊<a href="https://groups.google.com/a/chromium.org/g/chromium-extensions/c/zQ77HkGmK9E/m/HjaaCIG-BQAJ">再次宣布</a>，繼續暫停Manifest V2淘汰程序。</p> <p>近期Chrome開發團隊根據擴充套件開發者的需求，在瀏覽器端進行數項變更，包括<a href="https://developer.chrome.com/blog/longer-esw-lifetimes/">延長擴充套件服務工作程序（Extension Service Worker）生命周期</a>，以更好地支援特定擴充套件情境。擴充套件服務工作程序是一種特殊的網頁工作程序，大部分行為都跟網頁工作程序一樣，但是擴充套件服務工作程序可以監聽擴充套件事件。</p> <p>一般的服務工作程序事件能夠延長服務工作程序的生命周期，但是在之前只有少數擴充套件平臺事件，能夠延長擴充套件服務工作程序。而從Chrome 110開始，所有事件都會重置閒置計時器，因此當有持續進行的事件，便不會發生逾時的情況。</p> <p>但官方提到，當開發者的程式設計不佳，可能使擴充套件無限期處於活躍狀態，因此他們之後還會更改特定事件的處理方式，在不影響需長時間運作的工作下，避免擴充套件服務工作程序無限期活躍。</p> <p>另外，Chrome開發團隊在與其他瀏覽器供應商討論之後，決定<a href="https://github.com/w3c/webextensions/issues/350">放寬記憶體對話儲存限制，從1 MB擴增到10 MB</a>。storage.session API讓擴充套件可以在記憶體中儲存少量資料，這些資料會在後臺生命周期中持續存在，可以用於需要儲存解鎖秘密的密碼管理器，或是其他具有對話資料的擴充套件。</p> <p>這個API只能儲存非常少量的資料，而且通常是使用有限記憶體，所以當初Chrome限制該API只能儲存1 MB的資料，但是在收到擴充套件開發者的回饋，以及與其他瀏覽器供應商討論後，認為增加容量有助於擴充套件的運作，因此決定把限制提高到10 MB。但這個討論尚未定案，Chrome開發團隊仍繼續收集意見，在達到共識後才會定案。</p> <p>而Chrome也對<a href="https://developer.chrome.com/docs/extensions/reference/offscreen/#type-Reason">後臺運作的文件（Offscreen Document）增加更多影響生命周期的因素</a>。後臺文件指的是一種特殊類型的擴充套件頁面，這些頁面會在後臺載入並處理，主要用於需要在後臺執行，且不需要用戶參與的擴充套件功能，在不影響用戶操作的情況下進行資料處理、訊息傳遞等工作。官方透過添加更多影響後臺文件生命周期的因素，使其能夠更靈活地支援不同類型後臺文件的應用場景。</p> <p>開發團隊仍在解決擴充套件Manifest V2搬遷到Manifest V3，可能遭遇到的各種問題，並根據開發者社群的回饋，調整相對應瀏覽器功能，官方表示，他們仍在制定Manifest V2退場的時間表，不過在正式公開時程後，最少會給開發者6個月的時間搬遷。</p> </div></div></div>
2023/4/4 18:03作者李建興https://www.ithome.com.tw/news/156243
VS Code 1.77預覽Copilot Chat新功能，程式碼行內就能與AI對話協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出最新<a href="https://code.visualstudio.com/updates/v1_77#_github-copilot">VS Code 1.77</a>，這個版本更新包括增加GitHub深度連結，並且提供TypeScript/JavaScript的switch陳述式自動完成功能，開發者也可以使用到最新的Copilot Chat整合功能，在編輯器向人工智慧提問，並且獲得程式碼建議。</p> <p>VS Code桌面版本1.77讓開發者在操作GitHub儲存庫時，可以更容易地分享程式碼，VS Code現在可以對選取的程式碼生成永久連結，使得其他人在瀏覽器網址列輸入並存取該連結後，就可以簡單地跳轉到分享的程式碼位置。</p> <p>使用者需要先安裝GitHub Pull Requests and Issues擴充套件，在選取程式碼後於程式碼行號側欄，使用右鍵選單創建連結，而開發者在vscode.dev中，則可以直接使用GitHub儲存庫深度連結功能。</p> <p>在程式語言的更新上，VS Code 1.77更新使用TypeScript 5.0.2，開發者可以開始使用TypeScript 5.0的新語言功能，並且獲得效能改進以及重要改進。而在TypeScript/JavaScript的switch陳述式，VS Code提供自動完成功能。當開發者在switch陳述式輸入case，程式便會自動提供case建議，列出該類型所有可能的值。</p> <p>VS Code開發團隊舉辦內部黑客松，思考將人工智慧整合至VS Code的好方法，而成果被添加到VS Code 1.77中。</p> <p>VS Code 1.77能夠與Copilot Chat更深度的整合，Copilot現在會在開發者處理程式碼時，在行內顯示建議，開發者也可以隨時在程式碼編輯器中向Copilot提問，並要求Copilot尋找程式碼內的臭蟲，解釋程式碼的意義，甚至是創建測試。Copilot的對話框現在會出現程式碼的下方，供用戶輸入指令。</p> <p>開發者要使用這項深度整合功能，除了需要獲得Copilot Chat存取權限之外，還要安裝GitHub Copilot Nightly版本擴充套件，以及Insiders版本VS Code。</p> <p><a href="https://code.visualstudio.com/blogs/2023/03/30/vscode-copilot">官方提醒Copilot Chat使用者</a>，要讓人工智慧能夠提供更好的建議，就不能以在搜尋引擎下關鍵字的方式給指令，像是跟Copilot說「使用TypeScript和Express.js框架，搭建一個Node.js網站」，而非只是「Node Express TypeScript」</p> </div></div></div>
2023/4/4 18:10作者李建興https://www.ithome.com.tw/news/156244
【資安週報】2023年3月27日到3月31日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周的漏洞消息中，最主要的焦點，就是2022年底兩起商業間諜公司攻擊活動的揭露，Google TAG公布了當時被使用的零時差漏洞與串連多個漏洞，這意味著當時這些修補的漏洞，都已出現鎖定利用情形，包括：iOS（CVE-2021-30900）、Arm Gpu（CVE-2022-38181、CVE-2022-22706）、Google<span style="white-space: pre;"> </span>Chrome（CVE-2022-3038）與Linux<span style="white-space: pre;"> </span>Kernel（CVE-2023-0266）的5個漏洞。同時，還有一些老舊漏洞如今也被列入已知漏洞成功利用清單，包括Cobalt Strike去年<span style="white-space: pre;">的</span>漏洞（CVE-2022-39197、CVE-2022-42948），以及Samba<span style="white-space: pre;">的漏洞（</span>CVE-2017-7494），還有微軟IE相關的漏洞（CVE-2014-1776、CVE-2013-3163漏洞）。另外，本周Pwn2Own Vancouver 2023新找出的27個零時差漏洞，後續業者將有修補釋出。</p> <p>在威脅態勢方面，殭屍網路與DDoS的威脅態勢受關注，包括ShellBot與MooBot發現證利用監控系統Cacti或瑞昱Realtek近兩年的漏洞，以及MacStealer竊資軟體借助殭屍網路散布的情形，值得一提的是，有英國國家刑事局為抓捕網路罪犯，設置多個DDoS租賃服務誘餌並發現有數千人存取。此外，還有勒索軟體Dark Power新動向，以及又有供應鏈攻擊出現，這次鎖定的是VoIP IPBX業者，同樣值得留意。</p> <p>在其他攻擊活動與威脅揭露方面，ChatGPT的濫用隱憂持續受重視，歐洲刑警組織警告，注意網路罪犯正濫用ChatGPT與其他的大型語言模型（LLM）的威脅，需注意模仿特定人士的書寫與說話，以及產生網路釣魚的社交工程與假訊息散布；在國際間有多個攻擊活動被資安業者揭露，包括中國駭客組織Mustang Panda近期攻擊行動，以及中國駭客鎖定中東電信業者攻擊行動Operation Soft Cell。</p> <p>至於國內資安事件方面有兩起事件受關注，包括：威秀影城公告系統升級與鄭重提醒反詐騙數日後傳出50萬客戶資料外洩消息，以及國內大學教授紛紛遭到變臉不雅照勒索的情況。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156142"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月27日】SharePoint遭到濫用，駭客藉此引誘使用者下載惡意程式</span></strong></a></h3> <p>為了規避網路流量的偵測，駭客濫用免費的雲端檔案共用服務OneDrive、Google Drive、Dropbox等，可說是相當常見。但有不少企業在內部網路或Office 365公有雲架設協同作業網站入口SharePoint，方便員工能共用檔案，使得有些駭客也看上這點，透過此種共用系統讓使用者降低戒心，再利用檔案裡的URL，將他們引導至釣魚網站而達成目的。</p> <p>除了上述濫用SharePoint攻擊行動，駭客使用免費雲端檔案共用服務的手法也出現變化。例如，中國駭客組織Mustang Panda特意將上傳至Google Drive的檔案，以使用密碼保護的壓縮檔打包，藉此讓這些惡意軟體逃過Google的檢測機制。</p> <p>但在駭客散布惡意軟體的事故之餘，國內發生了使用Deep Fake照片向多所大學教授進行勒索的情況，雖然駭客使用簡體中文和中國用語，但教授很可能為了息事寧人，選擇付錢了事。</p> <h3><a href="https://www.ithome.com.tw/news/156172"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月28日】推特傳出原始碼被公布在GitHub儲存庫，疑為離職員工挾怨報復</span></strong></a></h3> <p>推特在馬斯克（Elon Musk）入主之後大幅裁員，使得這些離職員工可能心生不滿而進行報復。根據各大新聞網站的報導，推特尋求法律途徑要求GitHub下架儲存庫，其內容是該公司網站與內部工具的專有原始碼，但究竟這些資料如何流出？傳出是離職員工上傳，但推特並未證實這項說法。</p> <p>殭屍網路病毒Emotet近期的攻擊行動頻頻，之前被發現開始透過挾帶OneNote檔案的釣魚郵件散布，但最近駭客也跟上了美國報稅季，假借當地稅務機關的名義發動攻擊。值得留意的是，駭客不光使用OneNote挾帶惡意程式，也有使用Word檔案的情況。</p> <p>過往的竊資軟體（Infostealer）幾乎都是針對Windows電腦而來，但最近有竊資軟體鎖定的是Mac用戶，值得留意的是，該惡意程式不光會對瀏覽器和加密貨幣錢包下手，還會針對macOS的密碼管理系統解密、回傳相關資料。</p> <h3><a href="https://www.ithome.com.tw/news/156193"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</span></strong></a></h3> <p>駭客發動與ChatGPT相關的攻擊行動日益頻繁，包含利用該機器學習語言模型來製作釣魚信件，或是假借提供相關應用程式來散布惡意軟體等。這樣的情況也引起歐洲警方的關注，並指出他們看到駭客運用此種機器學習模型的數種型態攻擊手法。</p> <p>除了ChatGPT相關攻擊橫行，商業郵件詐騙（BEC）也相當值得留意。近日美國聯邦警查局（FBI）提出警告，駭客假冒合作廠商的名義發動相關攻擊，但與過往不同的是，這些駭客現在會使用延遲付款方式，使得受害廠商不易及早察覺詐騙而難以追回貨款。</p> <p>而在面臨BEC攻擊行動之外，執法人員也透過反向操作、設下誘餌來找出網路罪犯。例如，英國國家刑事局（NCA）就假借提供DDoS租賃服務（DDoS-for-Hire）的名義，讓想要租用此種服務發動攻擊的駭客上當。</p> <h3><a href="https://www.ithome.com.tw/news/156202"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</span></strong></a></h3> <p>今天的資安新聞，我們看到針對網路電話（VoIP）、MFT檔案共享系統、行動裝置作業系統而來的攻擊行動相當引人關注，其中，又以網路電話系統3CX遭到鎖定的供應鍵攻擊事故，因為有3家資安業者不約而同提出警告，並揭露不同層面的發現。</p> <p>在針對應用系統的攻擊行動之餘，惡意軟體IcedID的發展趨勢也引起研究人員注意，原因是攻擊者為了迴避資安系統偵測，大幅精簡該惡意程式原本的金融木馬模組，而且在遭滲透或感染的電腦部署更多惡意軟體。</p> <p>上週OpenAI修補ChatGPT多項漏洞，如今有研究人員發現部分漏洞修補不全，而能繞過修補程式利用漏洞的現象。對此，該名研究人員協助OpenAI製作更新軟體。</p> <h3><a href="https://www.ithome.com.tw/news/156233"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</span></strong></a></h3> <p>駭客掃描存在特定弱點的雲端設施，進而發動攻擊的情況算是相當常見，但現在竟然出現了能大量掃描的模組化工具AlienFox，攻擊者從找尋目標到發現特定的系統弱點，都能利用同一組工具完成。基於這樣的攻擊便利性，上雲的企業與組織在暴露於公開網路的網站與應用系統，勢必要加快修補漏洞與修正不當設定的腳步，否則將會在更短時間之內被攻陷。</p> <p>關切雲端資安風險態勢變化之餘，殭屍網路的攻擊行動也相當值得留意。有資安業者對殭屍網路ShellBot、MooBot的態勢提出警告，並指出駭客所使用的兩個重大漏洞，也有其他殭屍網路病毒加以運用。</p> <p>因結合ChatGPT與AI對話機器人而吸引大量使用者的Bing搜尋引擎，最近被研究人員找到漏洞，能用來竄改搜尋結果，但起因與Azure AD有關。</p> </div></div></div>
2023/4/4 09:07作者羅正漢https://www.ithome.com.tw/news/156241
ChatGPT因隱私疑慮在義大利被禁，恐被罰2000萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>義大利政府上周以非法蒐集用戶個資、侵害用戶隱私為由，對ChatGPT發出禁令。若ChatGPT未能提出有效解決方案，可能面臨2000萬歐元罰款處分。</p> <p><a href="https://www.ithome.com.tw/news/156068" target="_blank">3月20日OpenAI的ChatGPT傳出存在漏洞</a>，導致用戶和這個AI系統的對話內容標題以及支付資訊可被他人存取，促使義大利隱私主管機關要求OpenAI立即停止蒐集用戶資料，直到它修改蒐集手法。禁令立即生效，當局同時對ChatGPT展開調查。</p> <p>根據義大利政府初步調查，ChatGPT並未告知使用者及相關單位OpenAI蒐集其資料的事實，更重要的是，它欠缺大量蒐集和儲存個資，以訓練其底層演算法的法律基礎。</p> <p>當局指出，證據顯示，ChatGPT提供的資訊並非總是反映真實資料，可能造成它無法準確處理用戶個資。此外，OpenAI雖然意在提供13歲以上人士，但卻沒有任何機制能驗證用戶年齡，而避免提供超出其判斷能力的答案。</p> <p>義大利當局要求OpenAI在20天內說明將如何解決其疑慮，否則將面臨2000萬歐元，或高達年營收4%的罰款。</p> <p><a href="https://www.bbc.com/news/technology-65139406" target="_blank">BBC報導</a>，歐盟負責個資安全執法的愛爾蘭資料保護委員會將跟進了解，並與所有會員國主管機關合作聯擊禁令事宜。</p> <p>美國隱私倡議團體Center for AI and Digital Policy（CAIDP）上周向美國交易委員會（FTC）對OpenAI提告，指其GPT-4提供具偏見、欺騙性內容，及危害大眾隱私，<a href="https://www.beuc.eu/press-releases/investigation-eu-authorities-needed-chatgpt-technology" target="_blank">歐洲隱私倡議組織BEUC也呼籲</a>歐盟主管機關調查ChatGPT和其他AI聊天機器人。</p> <p>OpenAI的ChatGPT在去年底上線後掀起熱潮，但其技術問題包括AI幻覺，以及為訓練模型而未經同意蒐集網際網路的資料等引發批評。另一方面，AI模型技術快速進展，已展現出幾乎不下於人類的文字及圖案創作能力。<a href="https://www.ithome.com.tw/news/156198" target="_blank">上周科技界大佬包括馬斯克、Steve Wozniak等人呼籲</a>各AI實驗室應暫緩開發比OpenAI GPT-4更進階的AI模型6個月，並應發展AI的治理系統確保AI能受人類控制，為人類福祉服務。</p> </div></div></div>
2023/4/3 16:26作者林妍溱https://www.ithome.com.tw/news/156239
推特公布貼文推薦演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在馬斯克接掌推特5個月後，這家社群平臺終於如承諾的，於上周開源其推文推薦演算法。</p> <p>推特平臺上眾多顯示內容都有演算法在底層運作，包括搜尋、探索及廣告。<a href="https://blog.twitter.com/engineering/en_us/topics/open-source/2023/twitter-recommendation-algorithm" target="_blank">昨日推特只針對「為你推薦」時間軸的推薦演算法運作方式做出說明</a>。</p> <p>每天推特從平臺5億則推文篩選出特定推文，顯示在用戶「為你推薦」時間軸中。這個推薦流程（pipeline）包含三個步驟：首先從名為「候選來源」（candidate sources）的貼文來源抓取內容，再以機器學習模型將抓到的推文排序。第三步是運用啟發式（heuristics）演算法和篩選條件，將用戶封鎖、防火牆規則不允許，以及已經讀過的貼文過濾掉。</p> <p>負責組成並將推文提供給用戶的服務稱為Home Mixer，它是以推特自製Scala框架Product Mixer為基礎開發，Hom Mixer是推送貼文的骨幹，串連不同推文來源、評分、演算法及篩選器。</p> <p>推文的候選來源包括來自用戶追蹤的用戶（In-Network）及未追蹤的用戶（Out-of-Network），在「為你推薦」中平均各占50%的內容。在In-Network中，推文根據名為Real Graph的邏輯回歸模型做出相關性排序。這個模型能預測用戶和他追蹤的人的互動並給予評分，分數愈高者愈容易被加入推薦。<a href="https://www.ithome.com.tw/news/155501" target="_blank">推特2月停用</a>散發（Fanout）服務，原因在它的故障導致馬斯克推文觸及率下降，該公司也正在改寫上一次改版是好幾年前的邏輯回歸排序模型。</p> <p>至於在Out-of-Network，則是從用戶未追蹤的人的貼文中選擇用戶可能感興趣的，送入「為你推薦中」。這包含2種方法。第一是社交圖譜（Social Graph），它分析用戶追蹤的人或有相同興趣的人讀取的貼文。為此他們開發了GraphJet圖表處理引擎，可建立用戶和推文的即時互動圖表，執行這類遍歷（traversal）行為，導入推文。不過這部份只占了用戶首頁時間軸15%的推文，更大部分是來自嵌入空間（embedding space）方法所引進。</p> <p>嵌入（embeddings）是一種機器學習模型訓練方法，它將使用者的興趣和推文內容以向量長度表示，一方面降低維度，同時捕獲關鍵特性，藉此推特可以計算二位用戶、二則推文或用戶與推文的相似度，判定相關性。推特最有用的表徵學習模型是SimClusters，它利用矩陣分解（matrix factorization）演算法出分解出以人或組織為中心的社群。推特上有1.45億個社群，這些社群小至數千人，大則數億人（例如知名運動員、明星或媒體），每個用戶都屬於1個以上的社群。推特將推文嵌入這些社群，一個社群中愈多人按讚的推文，表示愈相關，也能根據用戶所屬社群推向用戶。</p> <p>一旦推特完成從In-Network和Out-of-Network選取推文後，就進入排序階段。這個過程是由一個已訓練過、參數多達4,800萬的神經網路，根據數千個特徵輸出10個標籤，並給予每則推文評分，加以排序。</p> <p>最後，推特利用啟發式演算法及篩選器實作多個產品功能，這些功能最後產出了給用戶的推薦貼文。推特會過濾掉用戶封鎖或消音的帳號貼文、避免單一用戶連續多則貼文。若用戶曾給某則推文負面評價，評分會降低。Out-of-Network的推文若不包含第2級關聯人士者也會被剔除。推特也會提供原推文及回覆串、以及經過編輯的新版推文。</p> <p>至此，推文推薦已經完成，推特再加入其他內容，包括廣告、推薦追蹤的帳號，以及教學提示等一同送給用戶。推特指出，這個流程每天執行將近50億次，平均不到1.5秒就完成。單一次執行需要220秒CPU時間，是推特App延遲性的將近150倍。</p> <p>推特為求公開透明，將推薦演算法程式碼公開於<a href="https://github.com/twitter/the-algorithm" target="_blank">GitHub</a>供<a href="https://github.com/twitter/the-algorithm-ml" target="_blank">用戶存取</a>。推特還會開發其他透明化新功能，包括供創作者了解觸及率和互動的推特分析平臺、公開運用於推文及帳號的安全標籤、以及說明推文何以出現在用戶時間軸。</p> <p><a href="https://www.ithome.com.tw/news/150636" target="_blank">開源演算法是馬斯克去年4月首度提議</a>以440億美元收購推特時的承諾。他主張為維續推特作為公開數位論壇角色，避免政治及公關勢力介入影響推文排序，計畫開源推特演算法以促進信任、打擊垃圾內容機器人（spambot）、假帳號，並且驗證所有用戶。<a href="https://www.ithome.com.tw/news/153964" target="_blank">推特已在去年改版</a>Twitter Blue作為用戶驗證及開闢營收來源。</p> <p>最後，推特公告正在擴展推薦系統功能，包括新的即時功能、嵌入、及用戶表徵（user representation）方法，為此公開徵才（<a href="mailto:[email protected]">[email protected]</a>）。</p> </div></div></div>
2023/4/3 16:42作者林妍溱https://www.ithome.com.tw/news/156240
AI與人類社會的理想關係
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-ji_qi_ren_xin_lu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">左岸文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以撒．艾西莫夫在一九四二年所發表的作品《轉圈圈》（Runaround）中，提出著名的機器人三定律：1.機器人不得傷害人類，或坐視人類受到傷害。2.在不違反第一定律的前提下，機器人必須服從人類的命令。3.在不違反第一與第二定律的前提下，機器人必須保護自己。</p> <p>艾西莫夫的機器人三定律對後世影響甚大，這些定律看似清晰，但卻不容易應用；例如，一部自主運行的無人機可不可以炸掉一個恐怖份子組織陣營？機器人第一定律的前半段（「機器人不得傷害人類」）似乎是禁止這樣的行為，然而，一個機器人士兵可能很快就陷入第一定律後半段的兩難（「禁止「坐視人類受到傷害」的行為），到底要遵守第一定律的前段還是後段？因此，我們必須再檢視其他的價值標準。</p> <p>這類曖昧模糊的情形，不會僅僅出現在戰場上。舉例來說，試想，艾西莫夫的機器人定律能不能允許機器智慧車？人類發展自動駕駛汽車（簡稱自駕車）的目的之一，在於降低每年數千件交通事故與傷亡人數。這個問題第一眼看似簡單又直接，但是，換個角度想，自駕車也可能造成數以萬計的職業駕駛失業；政府能不能基於造成失業的疑慮，就禁止或限制自駕車的發展？艾西莫夫的三大定律其實沒那麼清楚明暸。三大定律中沒有一條能適用於近年熱門的自駕車發展熱潮：近年來的實際情況是，為了讓自駕車能夠更容易運作，行人還必須經過訓練並調整其用路方式，否則可能會遭到處罰。</p> <p>像這類或其他許多的模糊空間，就是與機器人和人工智慧相關的法律規範和判決比艾希莫夫三定律更細緻的原因，因此，本書將深入探索這片法律境域。在此之前，我要先用機器人四大新律來介紹本書接下來的思路。四大新律是用來指引人類如何建構機器人，而非應用在機器人本身。雖然比起艾西莫夫三大定律，四大新律可能創造更大的模糊空間，但卻也更適切地反映出真實世界的法制是如何被（曖昧地）建構起來。立法者不可能精準預測所有主管機關需要進行規範管理的實際情況，因此通常會以概括原則性的法規文字，授權給行政機關執行。因此，當我們將特定權力委任給有科技經驗的專業立法者時，機器人律法勢必也會是概括式的原則。</p> <p><span style="font-size:28px;"><strong>機器人四大新律</strong></span></p> <p><span style="color:#B22222;"><strong>機器人系統與人工智慧應為補充與輔助專業人士的角色，而非取代專業人士的工作。</strong></span>因為科技會造成失業的說法，促使社會大眾開始討論未來的工作。有些專家預測，所有的工作都將因科技的進展而消失；有些專家則指出自動化發展路上的障礙與限制。政策制定者所關心的問題是，對於機器人技術的發展，什麼樣的限制是合理的？而哪些障礙應該再仔細評估和予以移除？例如，切肉機器人的發明，好像頗為合理，但是，托嬰機器人（roboticday care）就讓有些人質疑。對托嬰機器人的擔憂，是一種單純盧德主義式的反應？還是含著對於人類孩童成長的本質，有其他更深層的反省與思考？再舉個例子，與執照相關的現行法規，規定分析疾病病理症狀的應用軟體，不得以醫生診斷之名行銷。究竟，這些限制作法究竟是不是好的政策？</p> <p>這裡涉及很多重要因素的考量，尤其會因工作與管轄權面向而異，但是若能發展出一個統一、有組織性的原則，就等於是對人的自我價值，以及對社群治理做出有意義的工作。自動化議題中的人性思維，本書會優先著重在協助勞工職場與勞動專業的創新；這些人性思維會讓機器做危險或細瑣的工作，同時也確保目前做這些工作且未來可能由機器替代的勞工能夠獲得公平的補償，並且有機會轉換到其他社會角色。</p> <p>但是，這種持平觀點，卻會同時讓科技愛好者與科技恐懼者不滿。同樣地，強調治理的立場，也會同時得罪反對「干預」勞動市場的一方，以及厭惡有個「專業管理階級」的另一方。各種職業儼然形成經濟種姓制度，讓某些工作者相對於其他工作者享有不公的特權，這樣說來厭惡專業管理階級者所抱持的懷疑，的確有其道理。然而，想要一方面促成各種職業追求更崇高的目標，同時鬆動職業的階層化，還是有可能的。</p> <p>職業專業化的核心價值，在於賦予工作者在生產組織中能保有一些話語權，以此來交換組織加諸在他們身上的專業倫理義務，以促進公共善。由於高等教育與研究的推進，無論在大學的學門分科或在實務場域的辦公室現場，各種職業已經培養出「分散式專業知能」（distributed expertise），不同的專業知識分散在不同的多數人身上，使組織內各階層均有相關專業人員，藉此也減緩了專業技術官僚與一般文官階級之間的緊張關係。我們不應該贊同破壞式創新者的主張─也就是廢除或禁止職業分類；相反地，想要發展人性的機器自動化，必須強化既有的專業社群，也要同時創造新的專業能力。</p> <p>什麼是「專業」？妥適的定義應該是寬泛的，而且應包含許多加入工會的勞工，特別是那些保護涉及危險技術的工會組織。例如，教師透過工會組織提出專業意見，反對透過自動化系統過度「訓練與測驗」（drilling and testing）的政策，除了保護教師工作權益之外，在很多情況下也都是同時提升學生利益。當前各種工會已逐漸專業化，讓工會會員更有能力與權力保護他們所服務的對象（例如老師與其服務的學生），因此工會也應該在AI革命中扮演重要角色。</p> <p>有時候很難證明「以人為本的處理程序」會比「自動化程序」更好；粗糙的金錢衡量指標（crude monetary metrics）也能產出複雜的關鍵標準。例如，在「暴力自然語言處理」（brute-forcenatural language processing）的基礎上，機器學習的程式可能很快就能預測某一本書是否會比另一本書熱銷；從純粹經濟觀點來看，這種程式可能比真人編輯或者老闆挑選文稿或劇本來得更有效率，然而，創意產業工作者可能會站出來捍衛自己的鑑賞能力。市場上有些作品可能不是普羅大眾喜歡但卻有存在必要性的作品，此時，真人編輯在出版、判斷、挑選與行銷方面，就扮演著極為重要的角色。因此，大學中的專業學院，其重要任務之一，即是應該闡明並重新檢視媒體、法律、醫學與許多其他領域的專業標準，避免採用那些為了自動化而過度簡化的專業標準。</p> <p>即使是在物流、清潔、農業和礦業等等那些看起來最有自動化需求的領域，勞工也將在AI與機器人技術的長期過渡過程當中，扮演關鍵角色。蒐集或創建AI所需的資料，對很多人或領域來說，都是艱鉅的任務，而法規可以使這個工作任務產生更多意義與自主性。例如，相較美國對卡車司機三六○度的監控和控制，歐洲的司機可依據歐盟隱私相關法規抵抗這種美國卡車司機所受到的壓榨。但要說明的是，提出歐洲的作法，並不表示主張危險的職業不須受到監督。安裝監測感應器可能可以發現駕駛的反射本能所導致的問題，然而，以安全漏洞爲目標的感應器偵測行為，和使用影音持續記錄駕駛所有活動、進行長時間的監控，前者是偵測，後者則是監控，這兩者之間仍有很大的差異。在缺乏人性尊嚴的監控（surveillance），以及合理且有限的監測（monitoring）兩者之間取得恰當的平衡，對絕大多數領域來說，都是至關重要。<strong><span style="color:#696969;">（本文摘錄整理自《二十一世紀機器人新律》第一章，左岸文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E6%A9%9F%E5%99%A8%E4%BA%BA%E6%96%B0%E5%BE%8B-500.png" style="width: 330px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_左岸文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 二十一世紀機器人新律：如何打造有AI參與的理想社會？</strong></p> <p>法蘭克．巴斯夸利（Frank Pasquale）／著；李姿儀／譯</p> <p>左岸文化出版</p> <p>定價：550元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%A9%9F%E5%99%A8%E4%BA%BA%E6%96%B0%E5%BE%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%BE%8E%E5%9C%8B%E5%B8%83%E9%AD%AF%E5%85%8B%E6%9E%97%E6%B3%95%E5%AD%B8%E9%99%A2.jpg" style="width: 200px;" /></p> <p><a href="https://www.brooklaw.edu/Contact-Us/Pasquale-Frank" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_美國布魯克林法學院</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>法蘭克．巴斯夸利（Frank Pasquale）</strong></p> <p>現為美國布魯克林法學院教授，專長領域為人工智慧法律、資訊法等。</p> <p>畢業於美國耶魯大學、英國牛津大學。其研究領域著重於健康照護、隱私、資訊、網路、演算法之法律與政策、數位科技法制以及智慧財產權法等，學術成果斐然。二○一五年出版《黑箱社會》（The Black Box Society）一書，針對當代演算法應用所形成的黑箱社會及其運作、影響進行深入討論，並試圖提出解決方法。該書不但獲選為當年度最受矚目書籍、最佳學術論著外，現已翻譯為中、韓、法等超過七種不同語言。</p> </div></div></div>
2023/4/3 00:00未署名https://www.ithome.com.tw/article/156154
技術自主提高身分識別研發力，臺網下一步要靠微服務重構IT
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著網際網路發展，民眾已習慣在網路上使用各種服務，甚至在智慧型手機人手一機、行動上網的普及之下，手機已取代電腦的角色，成為很多人生活的重心，使用手機線上購物、社群網站關心友人動態，或是購買股票、轉帳、追劇等等，為了避免使用者的身分遭到冒用，線上進行身分認證，確保身分使用安全無虞相當重要。</p> <p>但是，傳統身分認證時，可用實體卡片如身分證、自然人憑證、健保卡等，可是，實體卡得搭配讀卡機等設備，對手機族群來說相當不方便。</p> <p>這樣的情形在COVID-19疫情期間出現新的身分認證方式，民眾只要憑手機，就能透過健保快易通App登記購買口罩、預約疫苗注射，為方便民眾依需要，服務支援多種身分認證方式，其中一項是用行動電話門號來驗證使用者的身分，民眾不需使用讀卡機與實體卡片，以本人申請的手機門號就能快速完成實名認證。這項認證機制，正是臺灣網路認證公司（簡稱臺網）旗下TWID身分識別中心和5家電信商在2018年合作的成果。</p> <p>因為民眾申辦行動門號時需使用雙證件驗證，當民眾選擇以行動電話完成身分認證時，服務後檯向電信商確認該門號的用戶身分，如此一來，民眾使用手機預約口罩、疫苗，不需要身分證件或卡片，可以快速通過身分認證。</p> <p>由於這項認證方式簡單方便，很快擴大應用到3倍券及5倍券，連財政部財資中心網路報稅、手機報稅也在2021年開始支援，根據統計，第一年就有約3成網路報稅是透過行動門號認證登入報稅，去年更成長到近4成，今年報稅季可望進一步挑戰5成。</p> <p><span style="font-size:28px;"><strong>確保行動身分識別服務可用性</strong></span></p> <p>不論是線上預約口罩、預約疫苗，或是3倍券、5倍券，網路報稅或是手機報稅，都是政府對民眾的重要服務，這個行動身分識別的課題是服務可用性，要確保民眾24小時都能使用。</p> <p>為了確保服務穩定，臺網與5家電信商合作，隨時監測尖峰流量，達到一定程度，臺網、電信業者兩端即啟動擴容的因應措施。由於口罩、疫苗預約，在疫情期間是相當重要的國家政策，當時臺網也透過電信產業發展協會，和5家電信業者每月開會，來因應突發問題。</p> <p><span style="font-size:28px;"><strong>從採用套裝軟體，走向技術自主</strong></span></p> <p>成立已有23年以上的臺網，背後股東包括了證交所、集保中心、財金公司，在金融及證券憑證應用上，有8成以上的市占率，可說是國內最大的民間憑證發行機構。儘管臺網至今已在市場有一席之地，但公司營運一路走來，歷經幾個重大里程轉折。</p> <p>1999年臺灣網路認證公司成立時就加入，現在負責帶領IT及研發團隊的副總經理陳俊秀表示，公司初成立時，希望以更好的營運設施提供服務，加上相信國外軟體更為進步，也更有保障，因此直接採購套裝軟體來打造自家的產品服務。但幾年下來，他指出採購套裝軟體的代價是，「好像沒有根一樣」，除了需花費可觀的授權費用，因應市場需求快速調整產品的能力也不夠好。</p> <p>過度依賴國外軟體，臺網徒有維運經驗，卻缺少了研發的基礎，因此，他們在股東支持下，2005年決定走向技術自主，開始建立自己的研發團隊，經過3年，在2008年中終於上線了自行技術研發的CA憑證管理系統，結合原本的維運技術，可以更快因應市場進行調整，提供更豐富的功能。</p> <p>陳俊秀回憶這段時間，投入資金成立研發團隊，連續好幾年，這一群人都沒有產出。等到成功研發出自家軟體後，才有了研發底氣作為營運的後盾，現在才能夠更快調整，以回應顧客的需求。</p> <p><span style="font-size:28px;"><strong>汰換舊機房，進駐國家級資料中心</strong></span></p> <p>為了將憑證服務推廣出去，臺網必須加入主流瀏覽器的信賴清單，因此需要通過服務維運的相關稽核。在這個過程中，他們深深感受到基礎設施要符合稽核是一道難題。</p> <p>原本臺網機房設置在自家辦公室所在大樓的10樓頂樓，但是，辦公大樓的頂樓多為公共空間，除了機房的空間有限，也難以確保機房安全，加上使用了數十年的辦公大樓，頂樓冷氣水塔滋生雜草，可能有漏水風險，大樓耐震設計也不符合資料中心等級需求，這個使用10多年的老舊機房漸漸成了臺網在基礎設施維運的隱憂，因此，他們希望尋找外面適合地點建立新機房。這個難題直到2014年才見到解法。</p> <p>當時證券交易所在板橋啟用一座TIA942 Tier 4等級的國家級資料中心，在供電、空調、防震上都針對資料中心的需求特別設計，例如採用隔震墊、阻尼器，使耐震程度可達到7級，證交所不只是自用，也開放有需求的相關金融單位租用，臺網正好趕上這個機會，並於2016年進駐，才大大改善IT基礎設施維運及穩定。</p> <p>臺網在證交所資料中心2014年完工後開始規畫，花了2年時間，才開始從老舊機房搬遷到新的機房，為了在機房搬遷過程也能做到服務不停機，採取分階段搬遷的做法，分階段搬移前、後臺的系統，先購買一半的新設備設置在新機房，他們先將一半的負載轉移到新機房，等待一段時間來測試新、舊機房同時運作的雙A運作模式，確認這個營運方式穩定後，再擴大新機房的設備，以此逐漸汰換舊機房，將所有負載移到新機房。</p> <p>從數十年辦公大樓內的老舊機房，搬遷到國家級資料中心，對臺網而言，IT基礎設施維運的穩定度大幅提升，為走向自主研發之後，該公司在營運發展上另一個重要里程碑。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E8%87%BA%E7%B6%B2-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /> <span style="font-size:20px;"><strong>臺灣網路認證副總經理陳俊秀表示，透過人才培育、技術培養引導步入正軌，以及團結利他的公司文化產生，才能提升員工的工作士氣及生產力。</strong></span></span></p> <p><span style="font-size:28px;"><strong>推動利他共好的工作氛圍</strong></span></p> <p>至今，臺網已有約120名員工，其中超過6成的員工為IT及研發人員，身為公司創始元老，陳俊秀直言在其過去的經歷裡，遭遇最大的挑戰不是技術問題，反而是人。</p> <p>傳統組織分工，每個人都負責自己分內的工作，當遇到需要解決的難題時，往往會基於本位主義開始防禦，將問題的原因指向他人，並指出他人應該要如何做。陳俊秀希望扭轉為利他共好的文化，當發生問題時，大家一起解決，這件事雖然是他人的工作，但員工願意協助解決他人工作上的問題，他認為這種成功不必在我的精神就是利他共好，幫助他人解決問題，大家共享成果。</p> <p>為了培養員工建立「利他共好」的思維，陳俊秀從幾方面著手，首先是工作意願，徵才時尋找對這項工作有興趣，有意願投入的人才；其次是建立一套大家能接受、具公平性的獎賞制度；第三是養成員工將事情做好的負責任態度，鼓勵員工為了做好工作，透過和其他人討論，學習如何做好工作。當新的員工加入時，如果工作上遇到問題，其他員工願意協助他解決問題，自然而然也會養成新員工樂於幫助其他人。</p> <p>然而，要使員工在個人的績效之外，願意花費自己的時間協助其他人解決問題並非容易的事。除了每半年檢視一次的KPI個人績效表現之外，臺網還設計一個即時獎勵制度，當員工願意協助其他人解決問題，主管可以即時獎勵該名員工，或是在每一季度結束的全公司大型聚會派對裡，由主管對表現優秀的員工給予獎勵，包含實質獎勵或是褒揚。</p> <p>陳俊秀表示，透過即時獎勵制度，做得好的員工可以受到大家的重視，可以漸漸建立員工的榮譽感，慢慢引導他們願意設法協助表現落隊的員工，也激發落隊的員工自己要努力。</p> <p>為了培育人才，臺網也有一套做法，他們以各部門為單位，由各部門員工自己列出工作上需要哪些技術，員工自評對每項技術的熟悉程度，例如精熟、一般、需要加強、完全不知道等5個層級，部門主管根據每位員工的技術熟悉程度，提出需要達到熟悉標準。這麼一來，部門主管能夠掌握每個員工對不同技術的熟悉度，了解部門現在的技術準備狀態，哪些技術是需要優先培養，並訂定員工的學習計畫，對員工來說，也能知道自己需要加強哪些技術。</p> <p>陳俊秀表示，只要做好公司技術發展的基礎設施，一旦建立起這個基礎設施，員工能夠清楚知道需要學習哪些技術，他們學習的資料或心得，也能成為其他員工往後學習所需的教材，漸漸引導良性循環發展。</p> <p>「透過人才培育、技術培養引導步入正軌，以及團結利他的公司文化產生，才能提升員工的工作士氣及生產力」，陳俊秀坦言，這需要長時間推動發展。</p> <p><span style="font-size:28px;"><strong>以微服務提升系統架構彈性</strong></span></p> <p>隨著研發團隊擴大，為了加快產品開發和交付速度，臺網正規畫要導入DevOps，陳俊秀指出，DevOps不只可以提高正確性及效率，也能加快擴充速度，但是臺網要導入DevOps最大的挑戰是落地，如何真正將DevOps融入到實際的作業，尚需要時間一一導入到不同的服務。</p> <p>他解釋，臺網目前導入DevOps所面臨的問題是，開發與維運的整合問題，尤其是平臺作業的問題需要解決，目前的系統使用不同的平臺，例如Linux與Windows，需要相同一套機制跨平臺部署，去年先在單一作業平臺之下測試進行，希望在今年找出解決方案，克服跨不同作業平臺部署的問題。</p> <p>雖然現在仍能繼續以人工一臺臺部署方式，但陳俊秀認為，人工作業的方式難以避免作業上的疏忽，考慮到提升服務品質及可用性，既然已採用Docker、容器化，從長遠角度來看，應該導入DevOps。目前人工作業方式，可能和DevOps新的作業方式相比，現在成本上的差異可能不明顯，但未來隨著系統一直發展，他相信成本、作業品質差異會愈來愈明顯。依過去工作經驗來看，對於未來可能碰到的問題，應該預先規畫，否則未來一旦問題發生，可能根本來不及應對。</p> <p>下一步臺網準備擁抱微服務架構，目前已完成POC概念驗證，進入導入規畫階段。但陳俊秀坦言，微服務的模組化切割對臺網而言是一項大工程，許多系統需要一邊維持運作，一邊進行重構，未來將會先挑選一套系統，來實測如何轉換到微服務架構。</p> <p>儘管挑戰近在眼前，但他認為，導入微服務是必需要做的，隨著身分識別的服務規模愈來愈大，合作夥伴愈多，系統的彈性、組合配置能力，將會是重點，這正是微服務架構能夠帶來的最大優勢。</p> <p>在技術研發作為基礎，過去臺網的身分識別以「人」為主，接下來準備從識人進一步擴大到識事、識物，更多類型的識別服務領域。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>臺灣網路認證副總經理陳俊秀</strong></p> <p>學歷：臺大資訊工程研究所碩士</p> <p>經歷：1990年進入臺灣證券交易所，在證交所電腦作業部擔任專員，隨後在1999年加入甫成立的臺灣網路認證公司，剛開始在業務部門擔任專案經理，後續升任、經理等職務，後來歷任技術部經理、研發部協理，2010年升任副總經理至今，帶領研發及IT、資安等團隊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E8%87%BA%E7%B6%B2-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>臺灣網路認證公司</strong></p> <p>地址：臺北市延平南路85號10F</p> <p>成立時間：1999年</p> <p>主要業務：憑證、身分識別、信物管理、電子簽署、資料共享等服務</p> <p>員工數：120人</p> <p>董事長：李榮琳</p> <p>總經理：郭昭宏</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：副總經理</p> <p>資訊部門主管姓名：陳俊秀</p> <p>直屬主管：郭昭宏</p> <p>資訊部門人數：23人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2008年：自主技術CA系統上線。</p> <p>2016年：機房進駐TIA942 Tier4臺灣證券交易所資訊中心。成立TWID身分識別中心。</p> <p>2018年：與5家電信業者合作推出Mobile ID行動身分識別服務。</p> <p>2022年：建立資安管理框架。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1123-cio-960.jpg" width="960" height="420" alt="" title="臺灣網路認證副總經理陳俊秀　（攝影／洪政偉）" /></div></div></div>
2023/4/3 00:00作者蘇文彬https://www.ithome.com.tw/people/156220
資料介於增減之間的第三態
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身處恆常變化的世間，西方希臘哲學家Heraclitus感嘆：「世上唯一不變的事，就是改變。」，而在東方，佛教四聖諦的「苦諦」闡釋眾生有三大痛苦，變苦正是其中之一，隨著各式技術應用持續演進，IT長年以來少有能夠穩定不變的事物，比起其他領域而言，積極擁抱改變，在快速更迭、推陳出新的環境生存，早已是常態。</p> <p>以資料儲存而言，目前四五十歲這一代年紀的人們，應該都經歷過一張磁碟片只有1.2 MB或1.44 MB的時期，個人電腦若要執行一款遊戲，需要安裝一到兩張磁碟片；之後硬碟機、光碟機與光碟片普及，個人電腦與伺服器的資料儲存容量持續增長；此時所需要克服的挑戰不單是資料儲存空間夠不夠「大」、單位儲存成本是否低到能被市場接受，大家開始希望能夠提升資料存取速度，於是，促成固態硬碟、記憶卡這類快閃記憶體儲存媒體的興起。</p> <p>到了近期，大型雲端服務業者進入市場，以隨需即用方式提供雲端儲存空間，如今的企業也積極推動上雲，許多資料已存放在雲端服務環境，以上種種均是資料的「增」。</p> <p>至於資料的「減」，則是整個產業面對儲存容量有限、單位儲存成本高昂，所持續提出的因應之道，像是：壓縮、重複資料刪除、Thin Provisioning，都是屬於較知名的作法。</p> <p>以壓縮而言，早在Unix主機、個人電腦80386/80486處理器與DOS作業系統盛行的年代，檔案壓縮已大行其道，目前仍經常在各種場合使用，Windows、Linux等作業系統也直接內建這類壓縮資料的功能。</p> <p>至於硬碟即時壓縮，在90年代曾出現一些廠商推出這類型產品，DOS作業系統後期版本也內建硬碟即時壓縮功能，不過，在市售硬碟容量不斷擴展之下，此類型技術應用很快就已消失在歷史舞臺。目前已知的即時壓縮技術，還有應用程式內建此類功能（例如，Oracle Database、微軟SQL Server等資料庫系統均提供），以及資料備份（備份伺服器、磁帶機、虛擬磁帶櫃）。</p> <p>為了抑制資料量不斷攀升對企業與組織帶來沈重的儲存成本負擔，在儲存應用技術的發展過程當中，我們從2006年開始報導重複資料刪除（De-Dupe），到了2009年，透過採購特輯形式介紹市面上的這類解決方案，經過多年的觀察與經驗累積，我們對這類資料縮減技術已做出細部類型區分，像是：檔案型或區塊型、線上處理或後處理、在來源端或目標端來處理。以近期而言，2022年7月的封面故事《<a href="https://www.ithome.com.tw/article/152189" target="_blank">備份應用的資料減量革命</a>》，就是呈現此議題的最新產品應用現況。</p> <p>關於資料的「不變」，早期我們主要在磁帶、虛擬磁帶櫃、光碟櫃等歸檔儲存產品，提及它們具有一寫多讀（Write Once Read Many，WORM）的特色，但僅描述其技術性質，未感受到這類應用需求的迫切性。</p> <p>後續隨著雲端儲存服務的普遍提供與企業運用，2017年我們開始介紹公有雲的長期歸檔儲存服務，2021年發表以此類服務為主的封面故事專題；而為了因應層出不窮的勒索軟體對企業檔案進行加密綁架、甚至摧毀檔案的攻擊，有些儲存設備廠商開始提供並主推WORM特色的相關產品，因此，我們從2019年開始報導這方面的技術應用，並於2022年3月，發表封面故事《<a href="https://www.ithome.com.tw/article/150129" target="_blank">儲存防寫應用重新崛起</a>》。</p> <p>而在持續追蹤相關產品的過程中，我們同時發現到市面上出現越來越多儲存產品，主打不可變快照（Immutable Snapshot）技術，而它們同樣是基於將資料鎖定在唯讀的儲存方式，而在2023年的此刻，恰巧是《<a href="https://www.ithome.com.tw/article/150129" target="_blank">儲存防寫應用重新崛起</a>》刊出1年之後，我們正式向大家介紹這類型解決方案，探討它與一寫多讀技術之間的差異，以及彼此可相互補足的關係，並且勾勒出當代企業級資料防寫技術的最新發展。</p> <p>回顧過去資料儲存應用的發展歷程，不論是熱儲存、暖儲存、冷儲存，如今都找到了用武之地，而過去一度被束之高閣、被認為未來可能沒有發展前景的技術，居然也能以嶄新面貌重回市場，這應該出乎我們與許多專家的意料，或許只能說危機不僅替新進者創造了商機，對於苦熬多年、久坐冷板凳的技術而言，仍然有可能因為時勢變化而再次出頭。不僅AI如此，歸檔、WORM這類防寫儲存的重新受重視，也是典型的例子。</p> <p><a href="https://www.ithome.com.tw/article/156230" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156230" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1123-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=HJoJqUpJ" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">資料儲存應用</a></div><div class="field-item odd"><a href="/tags/%E4%B8%8D%E5%8F%AF%E8%AE%8A%E5%BF%AB%E7%85%A7">不可變快照</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80">一寫多讀</a></div><div class="field-item odd"><a href="/tags/immutable-snapshot">Immutable snapshot</a></div><div class="field-item even"><a href="/tags/worm">WORM</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E9%98%B2%E5%AF%AB%E6%8A%80%E8%A1%93">資料防寫技術</a></div></div></div>
2023/4/3 00:00作者李宗翰https://www.ithome.com.tw/voice/156222
【WORM一寫多讀結合不可變快照技術】打造完整資料防寫保護鏈
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1123-feng_mian_p2p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去幾年，在勒索軟體越演越烈的嚴重威脅之下，除了端點、網路資安產品進化，資料的備份與還原不僅是企業與組織必備的防護技術，也帶動不可變儲存（Immutable storage）技術走出原本法規遵循應用領域，成為資料儲存系統抵禦勒索病毒重要手段。</p> <p>勒索軟體是透過加密或刪除用戶資料作為勒贖手段，而不可變儲存技術則能確保資料維持在唯讀狀態，不允許覆寫、修改或刪除，藉此也能從根本上防止勒索軟體發作——由於資料被鎖定在唯讀狀態，勒索軟體自然也無法變更資料狀態，予以加密或刪除。</p> <p>因而面對勒索軟體威脅時，不可變儲存技術也就成為有效的被動防護手段，可利用不可變儲存技術鎖定資料唯讀的特性，為用戶保存免疫於勒索軟體的安全複本，當原始資料遭受勒索軟體侵害時，用於還原資料。</p> <p><span style="font-size:28px;"><strong>兩種不可變儲存技術的興起</strong></span></p> <p>過去最具代表性的不可變儲存技術應用，便是歷史悠久、型態多元的一寫多讀（Write Once Read Many，WORM）產品，透過軟體、韌體或硬體手段，鎖定寫入儲存媒體或指定儲存區的資料狀態，用戶端仍能讀取WORM保存的資料，但不能覆寫、修改或刪除，藉此滿足資料保存與完整性的要求。</p> <p>而近2、3年以來，市面上又誕生另一種不可變儲存技術應用，名為不可變快照（Immutable Snapshot），能針對來源端磁碟區建立不可刪除的唯讀快照複本，作為災難備援的還原用複本。</p> <p>相較於已有三、四十年歷史的WORM技術，不可變快照技術的歷史相對短了許多，但擴散速度非常快，短短2年不到，目前幾乎所有一線大廠與重要新興儲存廠商，都已陸續為旗下產品引進了不可變快照功能。</p> <p>雖然WORM與不可變快照這兩項技術的原始目的，分別用於法規遵循與災難備援，然而，憑藉著能提供防寫，或者說「資料不變性」的能力，被視為對抗勒索軟體的有效手段，不僅讓這兩項技術跨出原有的應用領域，更加速相關技術與應用的擴展，到了今日，這兩項技術在勒索病毒防護所扮演的角色，甚至已經大大超越原始用途。</p> <p>這股資料保護領域新崛起的技術應用趨勢，如今已日益明顯。回顧1年前<a href="https://www.ithome.com.tw/article/150129" target="_blank">第1070期封面故事「打造抵禦勒索軟體威脅的堡壘：儲存防寫應用重新崛起」</a>，總覽WORM技術原理與應用產品現況，踏出第一步，而這次我們將不可變快照也納入視野，檢視結合這項新的資料防寫技術後，對於企業抵禦勒索軟體帶來的效益，以及與WORM技術間的異同。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1123-%E5%B0%81%E9%9D%A2P2%2BP3-600-big.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-%E5%B0%81%E9%9D%A2P2%2BP3-600-small.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> WORM與不可變快照的防寫機制區別 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>「一寫多讀（WORM）」與「不可變快照（Immutable Snapshot）」同樣屬於不可變儲存技術，其存在目的也都是防止資料遭到非授權的刪除或更動，但兩者作用的對象有別，從而也帶來不同的應用特性。</strong></span></p> <p><span style="color:#3399ff;"><strong>WORM是直接作用在儲存媒體、儲存區、資料夾或檔案物件上，能防止用戶端刪除或覆蓋其中的資料，一旦啟用，整個儲存媒體、儲存區、資料夾或指定的檔案物件，都無法刪除或覆寫資料。</strong></span></p> <p><span style="color:#3399ff;"><strong>不可變快照則是作用在快照複本上，將指定的快照複本設定強固的唯讀屬性，設定後，該快照複本便無法刪除，但來源端儲存區仍能正常存取。</strong></span></p> <p><span style="font-size:28px;"><strong>不可變快照 vs. WORM</strong></span></p> <p>不可變快照與WORM的目的，同樣都是將資料鎖定在唯讀狀態，藉此避免資料遭到刪除或更動。但是，兩者運作、實施的方式，作用的資料對象，以及適用情境，都有著很大的差別。</p> <p>因此，為了要更深入地認識不可變快照這項新技術，第一步便是釐清這項技術與WORM之間的異同。</p> <p><span style="color:#B22222;"><strong>運作實施方式</strong></span></p> <p>WORM的實現方式較為多元，有物理型、韌體型與軟體型等多種方式，分別透過儲存媒體的物理化學性質特性，或是儲存系統的韌體或軟體功能來實施，因而型態也相當多樣化，以產品型態來區分的話，可以分為兩大基本類型：</p> <p>一為基於儲存媒體材質而成的WORM儲存媒體，例如WORM光碟、WORM磁帶、WORM SD卡或WORM SSD等。用戶透過使用這些WORM儲存媒體，來取得WORM功能。</p> <p>二為基於軟體功能運作的軟體WORM功能，也就是內含於本地端與雲端儲存服務、儲存設備平臺內的WORM功能選項，最具代表性的WORM軟體功能，有AWS S3儲存服務的Object Lock功能，以及NetApp ONTAP平臺的SnapLock等。用戶透過對儲存設備儲存區啟用WORM功能，來獲得WORM防寫能力。</p> <p>相較之下，不可變快照則是由快照所衍生出來的資料保護技術，與快照同樣是儲存平臺內含的軟體功能。在市面上一些SAN、NAS儲存設備產品當中，已經提供這類軟體功能。例如，IBM在DS8000儲存陣列的Safeguarded Copy，Pure Storage在FlashArray全快閃儲存陣列的 SafeMode快照功能等。用戶透過設定快照複本的不可變或鎖定屬性，來建立不可變的快照複本。</p> <p><span style="color:#B22222;"><strong>作用對象</strong></span></p> <p>WORM技術是作用在指定的儲存媒體、儲存區或個別物件與檔案上，可以鎖定整個儲存媒體、儲存區，或是個別物件，在指定儲存媒體、儲存區或物件上的資料，都會被WORM給鎖定，無法再被刪除與覆寫。</p> <p>而不可變快照是從快照的資料保護所延伸發展出來的，基本上，快照是儲存區或資料夾在指定時間點的邏輯複本，因而不可變快照鎖定的對象，也就是儲存區或資料夾的「複本」，而不是鎖定儲存區或資料夾「本體」，用戶端無法刪除被指定為不可變的快照，但仍能正常存取來源端原始儲存區或資料夾。</p> <p><span style="color:#B22222;"><strong>強固性</strong></span></p> <p>WORM技術最初是為了法規遵循應用而生，為具備法律與訴訟上的有效性，必須依循相關的官方資料保存與資料完整性監控規範來設計與實施，例如：美國證券交易委員會（SEC）針對證券交易業者的電子資料保存規範17a-4(f)，美國政府金融監管局（FINRA）規則4511，以及美國政府期貨交易委員會（CFTC）針對記錄保存的1.31規則等。</p> <p>更進一步，許多WORM產品供應商為了確保自身產品功能的法規遵循能力，還會特別商請獨立評估公司，驗證WORM功能是否符合特定監管法規的資料保存要求，其強固性與可信度都有一定程度的保證。</p> <p>相較下，不可變快照的應用目前尚無這類認證，強固性與可信度只是個別廠商自身說法，缺乏足夠的規範與驗證。</p> <p><span style="color:#B22222;"><strong>作業模式選項</strong></span></p> <p>儲存媒體型的WORM只有啟用與否，而沒有設定鎖定期限或解除鎖定的選項，一旦使用，便無法解除WORM儲存媒體對資料的防寫鎖定。</p> <p>相較之下，軟體型的WORM，不僅提供了設定鎖定資料期限的選項，並可視運作模式，提供不同條件的解除鎖定選項。一般而言，多數軟體WORM都會提供下列這兩種作業模式：</p> <p>● 標準模式：一般用戶無法刪除資料，只有系統管理員能刪除資料。</p> <p>● 法規遵循模式：包括系統管理者在內的任何用戶，都無法在保護期限內刪除資料，只有在特定條件下（如系統管理者加上資安長的雙重授權），才能調整資料保存設定。</p> <p>至於不可變快照，大多也提供鎖定期限選項，但通常沒有解除鎖定的選項，必須等到時間超過鎖定期限之後，才能刪除不可變快照（也有例外，有些廠商的不可變快照功能，可允許在用戶授權的情況下，由原廠來提前解除鎖定）。</p> <p><span style="color:#B22222;"><strong>適用情境</strong></span></p> <p>WORM作用的對象，是儲存媒體、儲存區／資料夾或個別物件，啟用WORM功能之後，便會禁止對這些儲存媒體、儲存區／資料夾或物件的寫入與刪除動作，但如此一來，用戶端也無法再更動資料內容，以致會妨礙正常的應用程式運行，所以並不適合應用在資料內容更動頻繁的線上生產情境。</p> <p>最適合使用WORM技術的場合，其實，是備份與歸檔（Archive）這些靜態的資料保存應用，而在這類應用情境中，資料只需靜態保存，而沒有頻繁存取或更動內容的需求，所以WORM對資料的防寫鎖定，不會影響到系統運作。</p> <p>如同前面提到的，不可變快照作用的對象是快照，快照是來源端儲存區或資料夾在特定時間點的「複本」，所以，不可變快照並不會影響到應用程式對於來源端儲存區或資料夾的存取，可適用於動態、更動頻繁的資料存取環境。</p> <p>但另一方面，快照由於會占用寶貴的線上主儲存系統資源，一般只被用作短期保留的暫時性複本，且與來源端的資料之間具有相依性，而非完全獨立的複本（必須搭配遠端複製功能，才能與來源端系統隔離），所以，快照並不適合需要長期保存的用途上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-%E5%B0%81%E9%9D%A2P2%2BP3-600-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>相輔相成的兩種不可變儲存技術</strong></span></p> <p>雖然同屬能夠對抗勒索軟體威脅的不可變儲存應用，但WORM與不可變快照的運作對象與適用情境大不相同，因而兩者之間並沒有取代關係，還可相輔相成，相互配合。</p> <p>WORM適合為長期靜態保存的資料提供防刪除保護，但不適合頻繁存取環境，相反地，不可變快照能夠為頻繁存取環境提供防刪除保護，但不適合長期保存。</p> <p>所以最理想的應用方式，便是同時組合使用這2種技術，面對存取更動頻繁的線上儲存環境，使用不可變快照來保護；對於靜態保存的備份與歸檔資料，則改用WORM來保護。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1123-%E5%B0%81%E9%9D%A2P2%2BP3-600-3-big.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-%E5%B0%81%E9%9D%A2P2%2BP3-600-3-small.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 彼此可攜手合作，涵蓋完整資料生命週期的防寫保護 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>簡而言之，不可變快照技術與WORM技術，彼此並非相互取代的關係，相反地，兩者結合，能更全面涵蓋整個資料生命週期的防寫保護需求。</strong></span></p> <p><span style="color:#3399ff;"><strong>在資料創建初期，資料仍於線上儲存設備上頻繁存取時，適合使用不可變快照技術來提供防寫保護。隨著時間推移，當資料存取頻率降低，進而被轉存到離線儲存設備上以後，便可改用WORM技術來提供防寫保護。</strong></span></p> <p><span style="font-size:28px;"><strong>涵蓋完整資料生命週期的防寫保護</strong></span></p> <p>同時組合使用WORM與不可變快照的應用架構，也正好對應了資料生命週期不同階段的存取特性：</p> <p>在資料生命週期的初期，由於資料位於線上的主儲存裝置，在經常存取與更動時，可透過不可變快照來提供防寫保護；而到了生命週期的末段，資料已轉存到離線的備份或歸檔儲存裝置上，便可使用WORM來提供防寫保護。</p> <p>過去，在不可變快照技術尚未問世之前，我們只有WORM這一種防寫技術可用，因而也只能涵蓋資料生命週期末端的防寫保護需求。基本上，只有備份、歸檔等靜態保存資料能獲得防寫保護。</p> <p>而在面對勒索軟體造成的檔案被綁架或破壞的威脅時，藉由WORM保護的備份複本，儘管能為用戶提供完好的還原用複本，但RTO（還原時間目標）與RPO（還原時間目標）都相對較長——備份的還原作業時間，通常以小時為單位來計算，耗時較長，還原點間隔則通常以天為單位來計算，因而用戶還原時所損失的資料量也較大。</p> <p>現在有了不可變快照技術之後，不僅能藉此涵蓋資料生命週期前端的防寫保護需求。而且，快照的RTO與RPO都比一般的備份迅速許多，可縮短到數分鐘到10多分鐘的等級——透過快照，只須數十秒到數分鐘時間，就能將來源端儲存區「回滾」（roll-back）還原到指定時間點的狀態；而且快照複本間的時間間隔，最短可到10多分鐘或更短，用戶還原時只會損失10多分鐘的資料量。</p> <p>但另一方面，如同前面提到的，不可變快照與一般的快照一樣，都會占用寶貴的線上主儲存系統資源，所以不適合保存長時間或大量的複本，而只適合保存近期的複本，至於長時間與累積的大量複本，則可改用成本低的備份型式來保存，並搭配WORM來保護。</p> <p>所以，若企業與組織能更妥善地結合這兩種技術，不僅能涵蓋整個資料生命週期的防寫保護，也能在面對勒索軟體時，兼顧近期與長期的資料還原需求。</p> <p>在勒索軟體威脅日甚一日的現在，我們可以預期，WORM與不可變快照的組合，很快就會成為企業抵禦勒索軟體的標準解決方案之一。</p> <p><span style="font-size:28px;"><strong>邁向全面普及的資料防寫應用</strong></span></p> <p>事實上，由不可變快照結合WORM構成的完整資料防寫架構，不僅止於紙上談兵的概念層次，而是已有產品能供應市場所需，是現成、可行的應用架構。</p> <p>WORM是擁有30、40年歷史的成熟技術，企業可選擇的產品類型與供應商選擇眾多，除了搭配磁帶設備的WORM磁帶外，當前主要的企業級檔案與物件儲存產品，以至公有雲業者的物件儲存服務，大多都提供WORM功能的選項。</p> <p>至於不可變快照雖然問世的時間晚近了許多，但正以驚人的速度普及到儲存設備上，目前幾乎所有一線儲存大廠，包括Dell、Hitachi Vantara、HPE、IBM、Pure Storage、Infinidat等，都能提供不可變快照功能。</p> <p>而許多新興的分散式檔案或物件儲存系統供應商，也都已在產品搭配的核心作業系統裡面提供了不可變快照功能，例如：Cohesity的Span FS檔案系統，CTERA 的GFS檔案系統（Global File System），Hammerspace的GDE檔案系統（Global Data Environment），VAST Data的VASTOS儲存作業系統，以及StorONE的StorONE S1儲存平臺等。</p> <p>另一些廠商，如NetApp、Panzura與Weka，目前雖然還未提供完整的不可變快照功能，但他們提出以唯讀快照為基礎、搭配遠端複製到WORM儲存區的解決方案，藉此讓唯讀快照具備更強固的不可變性，從而提供類似不可變快照的效果。</p> <p>藉由前述提供WORM與不可變快照功能產品搭配，用戶可以很容易地建構結合WORM與不可變快照的應用環境。</p> <p>更進一步而言，有些廠商可用單一平臺同時提供WORM與不可變快照功能，換言之，他們只需憑藉單一平臺，就能建構完整的資料防寫保護鍊。</p> <p>例如，HPE在Primera、Alletra 9000系列儲存陣列提供的Virtual Lock，便是兼具WORM與不可變快照的功能。Hitachi Vantara的VSP平臺也具備類似能力，可同時提供WORM與不可變快照。</p> <p>除了HPE、Hitachi Vantara等老牌大廠的產品，近年來頗受市場矚目的一些新創儲存平臺，例如Cohesity的Span FS，VAST Data的VASTOS，也都能同時提供WORM與不可變快照。</p> <p><span style="font-size:28px;"><strong>資料防寫功能的限制</strong></span></p> <p>要注意的是，WORM與不可變快照技術結合後，固然能提升防寫的完善度，但仍需搭配其他的儲存系統保護，才能讓防寫機制徹底發揮保護資料的作用。</p> <p>首先，必須確實設定WORM儲存區與不可變快照的最小保留期限，確保WORM保不可變快照複本，在期限內不被系統清除，以防攻擊者刻意填滿儲存區，導致時間較舊的備份或快照複本遭到系統自動刪除。</p> <p>其次，儲存系統必須擁有保護系統時鐘的機制，以防攻擊者透過竄改系統時間，使WORM與不可變快照的鎖定期限提早過期，從而暴露在攻擊範圍之內。</p> <p><a href="https://www.ithome.com.tw/article/156230" target="_blank"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156230" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1123-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=HJoJqUpJ" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">資料儲存應用</a></div><div class="field-item even"><a href="/tags/worm">WORM</a></div><div class="field-item odd"><a href="/tags/%E4%B8%8D%E5%8F%AF%E8%AE%8A%E5%BF%AB%E7%85%A7">不可變快照</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E9%98%B2%E5%AF%AB">資料防寫</a></div></div></div>
2023/4/3 00:00作者張明德https://www.ithome.com.tw/tech/156227
【資料防寫保護應用的擴張】迅速普及中的不可變快照技術
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ibm_safeguard_web.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>據我們所知，最早出現在企業IT產品的不可變快照功能，何時出現？由哪些廠商、哪款產品提供？2017年，Dell在PowerMax高階儲存陣列提供的Secure Snaps，以及2019年，IBM為DS8000高階儲存陣列引進的Safeguarded Copy，一開始是用於輔助災難備援應用，提供可靠的唯讀複本。</p> <p>如果再往前追溯、以更寬廣定義看待不可變快照功能，其實3PAR在2010年為3PAR InServ引進的Virtual Lock，就已經提供，但Virtual Lock主要是鎖住整個Volume儲存區，以WORM形式用於法規遵循，鎖住快照只是附帶功能。</p> <p>到了這2年，不可變快照的防止刪改特性，展露出對抗勒索軟體的潛力，可用於提供免疫於勒索軟體的安全複本，於是，2021年以後至今，短短2年內，有眾多廠商跟進提供同類的功能。</p> <p>目前包括Dell、Hitachi Vantara、HPE、IBM、Pure Storage、Infinidat等中、高階儲存陣列廠商，到Cohesity、DDN、Nutanix、StorOne、VSAT Data等分散式儲存系統廠商，都已在他們發展的儲存平臺提供不可變快照功能。</p> <p><span style="font-size:28px;"><strong>唯讀快照的延伸發展</strong></span></p> <p>不可變快照是由唯讀快照演變而來。儲存設備的快照，原本就有「可讀寫」與「唯讀」等2類，其中唯讀快照可作為避免遭到意外刪改的複本。但就資安應用來說，一般唯讀快照的強固性並不足夠，因為任何有儲存系統管理權限的用戶，都能取消唯讀屬性，從而刪除快照，而且，唯讀屬性也沒有期限的設定，只有啟用與否的選項。</p> <p>不可變快照則是在唯讀快照的基礎上，補強了強固性，一旦啟用，除非時間超過政策期限，或是尋求原廠服務，才能夠予以解除，否則，包括管理者在內，任何人都無法刪除快照資料。</p> <p><span style="font-size:28px;"><strong>保護的層次</strong></span></p> <p>不可變快照雖然能透過防止刪除的特性，達到免疫於勒索軟體的效果，但是，實際應用上，也存在下列3大限制：</p> <p>首先，不可變快照屬於「被動」型式的防護手段，所謂的被動，指的是不可變快照是用於事後補救，非事前預防，不具備偵測、識別與阻止勒索軟體威脅的能力，而是在用戶環境受到攻擊後，再透過不可變快照的複本來還原資料。</p> <p>其次，不可變快照同於一般快照，是依附於來源端儲存區，因此會隨著來源端儲存設備的損毀而失效，所以，若要得到更完整的保護，必須結合遠端複製，將不可變快照複本複製到遠端，藉此與來源端儲存設備隔離。</p> <p>第3，不可變快照是基於時間來設定與判別鎖定資料的期限，若攻擊者能修改儲存系統的時間，便有可能藉由竄改系統時間，導致不可變快照提前解除鎖定，從而使這些資料暴露在攻擊中。因此提供不可變快照功能的儲存設備，必須擁有時間伺服器保護功能（time-server tampering protection），或是防竄改時鐘（Tamper-proof clock），才能確保不可變快照的鎖定期限功能有效。</p> <p><span style="font-size:28px;"><strong>市場上的不可變快照功能</strong></span></p> <p>接下來，我們概要檢視當前主要企業級儲存產品供應商，對於不可變快照的應用情況。</p> <p>● Dell：旗艦級儲存產品PowerMax提供的不可變快照功能Secure Snap，由PowerMax原本的SnapVX快照延伸發展而來，可提供最短達到10分鐘快照執行間隔，將RPO降到10分鐘等級，並能結合複製到S3雲端物件儲存功能，搭配S3的WORM功能，從而提供與本地端隔離的額外一層資料不變性選擇。PowerMax也擁有防止系統時鐘時間飄移的措施，預防Secure Snap的鎖定期限失效。</p> <p>● Hitachi Vantara：VSP儲存平臺目前有兩種層次的資料不可變功能，一是用Hitachi Data Retention Utility工具，鎖住整個邏輯儲存裝置或Volume，禁止對這些儲存裝置與Volume的任何修改，屬於WORM類型的功能；另一種是透過OpsCenter Protector平臺，設定不可變快照。</p> <p>● HPE：擁有源自3PAR的Virtual Lock功能，這是一種兼具WORM與不可變快照雙重用途的功能，既可鎖住整個儲存區，同時，也能鎖住快照複本。以目前HPE的儲存解決方案而言，繼承3PAR平臺核心的Primera與Alletar 9000等2個產品線，都繼承了Virtual Lock功能，另外也提供可與之搭配的遠端複製功能，以及時間伺服器的保護功能。</p> <p>● IBM：一開始他們是在DS8000高階儲存陣列，提供Safeguarded Copy不可變快照功能，在2021年移植到SVC（現已改稱Storage Virtualize），以及FlashSystem儲存平臺，並可搭配IBM Copy Services Manager複製管理平臺共同運作。</p> <p>● Infinidat：最初是在2021年初之際，在InfiniBox儲存陣列所衍生的InfiniGuard資料保護專用陣列上，由內含的InfiniSafe安全性架構提供不可變快照功能，稍後InfiniBox儲存陣列也在2022年跟進，引入了名為InfiniSafe的不可變快照功能。</p> <p>● Pure Storage：旗下專攻區塊儲存應用的FlashArray，以及鎖定物件與檔案應用的FlashBlade等兩大產品，都提供稱作SafeMode的不可變快照功能，並且是系統預設啟用。</p> <p>除了典型的企業級儲存系統廠商，由超融合基礎架構（HCI）系統平臺起家的Nutanix，他們的Nutanix Unified Storage儲存平臺，已發展成兼具區塊、檔案與物件儲存服務能力的綜合平臺，其中的Nutanix Volumes區塊儲存區，以及Nutanix File檔案儲存，都提供不可變快照功能，還能搭配Nutanix Object物件儲存區的WORM功能一同運用。</p> <p>幾家新興的分散式檔案或物件儲存系統供應商，也在核心作業系統提供不可變快照功能，例如Cohesity、CTERA 、Hammerspace與VAST Data等。</p> <p>有些新興SAN/NAS通用儲存平臺同樣有不可變快照，例如原屬WD、現為DDN旗下產品的IntelliFlash，StorONE的StorONE S1軟體定義儲存平臺，以及國產廠商QSAN的Unified Storage等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1123-%E5%B0%81%E9%9D%A2P4-600.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>變通的不可變快照解決方案</strong></span></p> <p>另一些廠商雖然沒有不可變快照，但以唯讀快照搭配WORM儲存的方式，將唯讀快照複製到WORM儲存區，仍可賦予這些快照具有更完整的不可變能力，從而提供類似不可變快照的效果。</p> <p>例如NetApp ONTAP平臺透過唯讀快照，結合將快照複製到SnapLock儲存區，即可利用SnapLock的WORM功能來確保快照不被刪除。</p> <p>Dell PowerScale系列也採取類似解決辦法，當中的快照雖是唯讀，因root管理者仍有刪除快照能力，不算是完整的不可變快照，但能搭配遠端複製到啟用WORM的S3儲存區，取得類似能力。</p> <p>Panzura與Weka兩家新創廠商，也採用類似的變通架構。如Panzura的CloudFS由60秒一次的唯讀快照，搭配定期將資料轉存到WORM物件儲存區；Weka的WekaFS則是由唯讀快照搭配Snap-to-Object遠端複製功能，將快照複製到啟用WORM功能的物件儲存區。</p> <p><span style="font-size:28px;"><strong>逐漸成為企業級儲存的必備功能</strong></span></p> <p>相較於4、5年前，當時僅有少數廠商提供不可變快照，但只被當作一種進階的快照，不被視為重要的關鍵功能。</p> <p>但到了今日，整體情況已經完全不同，因為全球各界面對勒索軟體的肆虐，不可變快照已一躍成為確保資料安全的必要功能，不久後的未來，任何無法提供不可變快照的儲存產品，恐怕都不會被視為合格的企業級儲存設備。</p> <p><a href="https://www.ithome.com.tw/article/156230" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156230" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1123-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=HJoJqUpJ" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">資料儲存應用</a></div><div class="field-item even"><a href="/tags/worm">WORM</a></div><div class="field-item odd"><a href="/tags/%E4%B8%8D%E5%8F%AF%E8%AE%8A%E5%BF%AB%E7%85%A7">不可變快照</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E9%98%B2%E5%AF%AB">資料防寫</a></div></div></div>
2023/4/3 00:00作者張明德https://www.ithome.com.tw/tech/156228
企業保護資料必看新技術！不可變快照
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1123-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=HJoJqUpJ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料防寫技術已成為資料儲存對抗勒索軟體威脅的最後防線，近來興起的不可變快照技術，能為動態使用中的線上資料提供防寫保護，並與用於靜態資料防寫保護的一寫多讀技術相互補充，涵蓋整個資料生命週期的防護</p> </div></div></div>
2023/4/3 00:00作者張明德https://www.ithome.com.tw/article/156230
MedTech醫療科技雙周報第19期：富士通推FHIR醫療雲平臺，日本先上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0316～0331)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 富士通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子病歷 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">富士通推FHIR醫療雲平臺，日本先上路</span></strong></p> <p>富士通日前推出一款醫療雲平臺，可讓使用者安全合規地收集、使用健康數據，並能將醫療機構的電子病歷相關資料，自動轉換為符合日本JP Core規範的HL7 FHIR格式，以跟上國際醫療資料交換標準趨勢，來加速醫院數位轉型。</p> <p>富士通指出，該平臺是以微軟Azure醫療雲為基礎，可彙整電子病歷和其他相關健康數據，比如在患者同意下，讓患者上傳生理量測值、步數、卡路里消耗量等數據，甚至是健檢資料，平臺會自動將這些資料去識別化，來讓醫療機構和製藥廠進行數據分析，加速發展個人化治療方法或新藥探索。這款平臺服務已於3月28日向日本醫療機構和製藥公司開放，接下來，富士通將以該平臺為基礎，打造病人端的應用程式，讓病人掌握健康資料，而長期目標是要讓平臺成為預防保健的專屬工具。<a href="https://www.fujitsu.com/global/about/resources/news/press-releases/2023/0328-01.html">（詳全文）</a></p> <p><img alt="" src="https://www.fujitsu.com/global/imagesgig5/20230328-01a_tcm100-7194070_tcm100-2750236-32.png" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 合庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多元支付</span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">北榮聯手合庫組醫療健康生態圈，首波推多元支付</span></strong></p> <p>臺北榮總聯手合作金庫，要整合醫療和金融，來發展醫療健康生態圈。雙方首波聚焦開放金融服務場景，要推線上醫療繳費回饋方案，鼓勵民眾多使用電子支付，達到淨零醫療目標。</p> <p>淨零碳排和永續發展是北榮的重要目標，他們不只成立跨科部永續推動小組、獲2022年行政院國家永續發展獎，還在自行研發的臺北榮總行動就醫服務App中提供多項便民服務，減少不必要的移動和等候。App中的行動繳費功能，就是北榮與合庫共同打造，使用人次逐年遞增，光是去年，就有8成民眾使用各種電子支付方式繳費，北榮更朝無紙化邁進。接下來，北榮與合庫將繼續發展多元便利的數位支付管道，推動醫療整合金融的永續應用。<a href="https://www.vghtpe.gov.tw/News!one.action?nid=11586">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">量子電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 克利夫蘭醫學中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新藥發現 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全球首座醫療專用量子電腦現蹤克利夫蘭醫學中心</strong></span></p> <p>就在3月下旬，IBM聯手美國克利夫蘭醫學中心（Cleverland Clinics），在該中心部署IBM量子系統一號（IBM Quantum System One），要用這個量子電腦來進行醫療研究，來加速生醫探索。這也是IBM量子電腦首次運用於民營組織。</p> <p>克利夫蘭醫學中心CEO Tom Mihaljevic指出，量子電腦可加速醫院提供新照護和治療方法，甚至，量子運算和其他先進技術，還可能幫助醫院找到癌症、阿茲海默症、糖尿病等疾病的新療法。不只量子電腦，克利夫蘭醫學中心也與IBM推動加速器計畫，利用混合雲和AI進行高效能運算，目前已有不少專案展開，包括開發量子運算工作流程，來篩選、優化針對特定蛋白質的藥物，其他專案還有用量子電腦來強化非心臟手術後的心血管疾病風險預測模型，以及用AI搜尋基因組定序結果和大型標靶藥物資料庫，找出可對付阿茲海默症和其他疾病的有效藥物。<a href="https://newsroom.ibm.com/2023-03-20-Cleveland-Clinic-and-IBM-Unveil-First-Quantum-Computer-Dedicated-to-Healthcare-Research">（詳全文）</a></p> <p><img alt="" src="https://newsroom.ibm.com/image/CC%2BIBM_social.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫材 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全性 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>FDA公布指南草案，放寬軟體更新規範要強化AI醫材安全性</strong></span></p> <p>美國食藥局（FDA）在3月30日發布一項指南草案，提出一種科學方法，來確保AI/ML醫材可以更安全、更有效，並且能根據新數據來快速修正、更新和改善軟體。簡單來說，FDA這次是要放寬對AI/ML醫材的舊有規範，讓開發者可以根據新數據來調整模型、提高模型表現，而且允許更動的範圍更廣了。FDA指出，這麼做，不只讓醫療機構和民眾可以更安全使用，還能發展出個人化治療。</p> <p>FDA指出，這份指南草案是以前期發展文件為基礎，包括2019年的醫材討論文件，以及2021年發布的AI/ML智慧醫材行動方案。特別的是，這次的指南草案，不知針對基於AI/ML的智慧醫材，還包括所有支援AI/ML的設備軟體功能，如控制硬體醫療設備的功能。<a href="https://www.fda.gov/medical-devices/medical-devices-news-and-events/cdrh-issues-draft-guidance-predetermined-change-control-plans-artificial-intelligencemachine">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-04-02%20113534.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">臺灣人工智慧實驗室 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 腦轉移瘤 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 奇異醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI整合硬體，腦轉移瘤偵測AI DeepMets整合GE磁振造影設備</strong></span></p> <p>臺灣人工智慧實驗室日前與臺灣奇異醫療（GE Healthcare）結盟，將腦轉移瘤輔助偵測AI系統DeepMets與奇異醫療的磁振造影（MRI）掃描儀整合，透過結合軟硬體的方式，來加速臨床診斷流程。</p> <p>腦轉移瘤是腦癌中發生率最高的，但腫瘤病灶位置和大小非常多樣，使得臨床診斷有許多挑戰。但由北榮和臺灣人工智慧實驗室共同開發的DeepMets可準確揪出病灶，1分鐘就能完成29顆病灶圈註，靈敏度在4mm腫瘤的偵測可達85%，在10mm腫瘤偵測可達97%，是其他腦轉移瘤圈註AI模型效能的4倍，有效加速診斷過程。在臺灣，奇異醫療的MRI設備是市占龍頭，雙方希望透過這次聯盟，將DeepMets推廣到更多醫院，長期目標則是將臺灣研發的醫療AI，帶到其他國家，將成果推向國際。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Deepmets%E7%94%A2%E5%93%81%E7%A4%BA%E6%84%8F%E5%9C%962.png" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療人力 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新創 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>AWS醫療加速器計畫鎖定醫療人力，選定23家新創來解題</strong></span></strong></p> <p>AWS日前表示，今年醫療加速器計畫瞄準醫療人力，要與入選的23家新創來解決醫療人力不足的挑戰。AWS在去年11月就宣布啟動新加速器計畫，要來與新創一起解決醫療業在人力訓練、配置和留才的問題。最近，AWS在ViVE創新醫療會議上公布了入選該加速器的23家新創名單，比如來自英國的Compassly，專門提供醫療機構一款App，用來評估臨床團隊是否合格，又或是來自美國的Dropstat，利用AI來預測人力配置需求和值班空班管理，還有一個是來自美國的Kare Mobile，透過自建的牙醫師和牙科照護者網絡，來提供偏遠地區的牙科照護。<a href="https://www.aboutamazon.com/news/aws/aws-healthcare-workforce-accelerator">（詳全文）</a></p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/7aacb2c/2147483647/strip/true/crop/1920x1082+0+8/resize/660x372!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F87%2Fd7%2F8e7d34d3431597c2fdc6656aa3f1%2F1598370-startupcards-1920x1098-13-032223.jpg" /></p> <p>圖片來源／富士通、IBM、臺灣人工智慧實驗室、AWS</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 新加坡要用AI加速社區眼科檢查，包括視力、白內障和心血管疾病風險</strong></strong></p> <p>資料來源：iThome整理，2023年3月</p> </div></div></div>
2023/4/2 12:01作者王若樸https://www.ithome.com.tw/news/156237
MariaDB雲端資料庫服務SkySQL，新增自動縮放和無伺服器分析功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MariaDB公司推出基於MariaDB的<a href="https://mariadb.com/newsroom/press-releases/mariadbs-new-skysql-release/">新版SkySQL雲端資料庫服務</a>，現在支援自動縮放功能，可根據工作負載需求增加或是減少運算資源，同時，SkySQL也加入了無伺服器分析，用戶不需要對其資料進行ETL，就能獲得資料的分析結果。</p> <p><a href="https://www.ithome.com.tw/news/136706">SkySQL是MariaDB公司在2020年推出的企業級資料庫即服務</a>，該資料庫服務建立在Kubernetes技術之上，因此SkySQL可供用戶運用Kubernetes平臺，建構跨雲資料庫部署。</p> <p>新版SkySQL的自動縮放功能，可以同時控制SkySQL的計算和儲存資源，用戶可以配置規則，像是所有副本的CPU使用率皆超過75％，並已經持續30分鐘便自動添加新副本或是節點，來舒緩存取需求。同樣地，用戶也可以設置在CPU使用率低於特定比例時，刪除節點或是副本。</p> <p>除了自動縮放，SkySQL還運用Apache Spark SQL提供無伺服器分析服務，支援交易資料和外部資料的分析，資料科學家可以利用開源筆記本Apache Zeppelin操作分析，該筆記本預裝分析範例，可展示分析SkySQL資料的方式。Zeppelin筆記本也可以用來探索資料庫架構，查詢Amazon S3中的資料，或是對SkySQL資料庫和S3物件儲存進行聯合查詢。</p> <p>MariaDB於2009年首次釋出，為關聯式資料庫MySQL的分支，一直維持與MySQL高度相容，可作為MySQL的替代資料庫。MariaDB目前由MariaDB基金會維護，而SkySQL則是MariaDB公司所提供的商業雲端資料庫服務。</p> </div></div></div>
2023/4/1 21:01作者李建興https://www.ithome.com.tw/news/156234
微軟證實Bing Chat將加入廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.bing.com/search/march_2023/Driving-more-traffic-and-value-to-publishers-from-the-new-Bing">微軟在部落格文章證實Bing Chat將會加入廣告的消息</a>。採用多模態大型語言模型GPT-4的Bing Chat，在收到用戶的提問時，Bing Chat能夠搜尋網頁並且生成綜合性答案，答案中所參照的來源網址，也會條列出來供用戶進一步查看。</p> <p><a href="https://www.reuters.com/technology/microsofts-bing-plans-ai-ads-early-pitch-advertisers-2023-02-17/">路透社在2月的時候就曾報導</a>，微軟和一家大型廣告公司討論在Bing Chat加入廣告的形式，該報導指出微軟將會在Bing Chat的回答中提供付費連結，並且會在用戶搜尋產品或是服務時提供廣告。而也有部分<a href="https://twitter.com/debarghya_das/status/1640892791923572737?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1640892791923572737%7Ctwgr%5E732bf0a41b55e0dbdb551bb03748bfc04cd31c37%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.theverge.com%2F2023%2F3%2F29%2F23662476%2Fmicrosoft-bing-chatbot-ads-revenue-sharing">Bing Chat使用者已經收到廣告</a>。</p> <p>微軟現在證實了Bing Chat加入廣告的消息，該公司提到，他們探索各種在Bing Chat推廣出版商的方式。現在微軟與出版商最新的合作方式，是要擴展滑鼠懸停在查詢結果所出現的連結列表，微軟正在嘗試讓該連結呈現更豐富，當用戶將滑鼠懸停在出版商連結時，Bing Chat將會自動顯示更多來自該網站的連結，藉此帶來更多流量。</p> <p>微軟也提到與個人化新聞服務Microsoft Start合作夥伴的合作方式，當其合作夥伴的內容被用於生成對話答案時，Bing Chat會在答案旁邊提供說明，以吸引用戶存取其他Microsoft Start上的內容，微軟會與其合作夥伴共享收入。同時，微軟也試著在聊天中，擺放對聊天內容有貢獻的合作夥伴廣告，同樣會與其共享廣告收入。</p> <p>微軟在Bing中整合大型語言模型，大幅提升了搜尋體驗，而這也吸引來許多用戶，微軟提到，目前Bing每日活躍用戶超過1億，而且在參與Bing Chat預覽的數百萬用戶中，其中有三分之一是新用戶。在Bing Chat與Edge使用量增加的同時，微軟嘗試新方法增加出版商的流量，並且與出版商共享利潤。不過微軟提到，目前這些廣告規畫都還在早期階段，他們仍在探索各種與出版商合作的方式。</p> </div></div></div>
2023/4/1 21:03作者李建興https://www.ithome.com.tw/news/156235
金管會揭我國金融科技發展路徑圖推動現況，今年將發表路徑圖2.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為加速我國金融科技產業發展，金管會在2020年根據產業意見及需求，首次提出我國的金融科技發展路徑圖，將以3年分3個層面、8大面向，加速我國金融科技發展，今年即將3年期滿，金管會近期分享推動成果，並準備在8月底提出金融科技發展路徑圖2.0。</p> <p>金管會綜合規畫處長胡則華在一場金融科技座談會中表示，金管會早在2015年便開始推動金融科技相關政策，但後續發現我國在金融科技產業發展上，面臨不少問題待解決，例如資料不能共享、新創需要養分、法規限制應用、科技人才缺乏、監理需科技化、跨部門溝通成本高等問題，因此金管會針對產業共同問題，藉由政策引導金融業者、科技業者，建立對金融科技創新友善的生態圈，並非從主管機關角度，而是基於業界發展需求。</p> <p>因此2020年提出金融科技發展路徑圖，分為基礎工程、擴展應用、協調協力3個層面，並涵蓋8大面向，其中基礎工程層面，包括資料共享、法規調適、能力建構、數位基礎建設，而擴展應用層面，包括園區生態系、監理科技、國際鏈結，在協調協力層面，為單一窗口溝通平臺。(以下簡報來源：金管會)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-03-31%20%E4%B8%8B%E5%8D%889_09_18.jpg" style="width: 600px; height: 360px;" /></p> <p><span style="color:#A52A2A;"><strong>資料共享</strong></span></p> <p>胡則華說明目前金融科技發展路徑圖推動現況，首先在外界相當關心的資料共享部分，分為開放銀行及開放證券、資料共享、資料治理及規範。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-04-01%20%E4%B8%8A%E5%8D%885_27_44.jpg" style="width: 600px; height: 322px;" /></p> <p>開放銀行分為3個階段，第1個階段是將銀行的公開資訊，如信用卡、利率等，由TSP業者串接匯整，民眾只要使用TSP的App，就能查詢各家銀行公開資料，而開放銀行第2階段讓民眾通過一個App，就能看到在所有銀行的存款、貸款、信用卡資料，第3階段可在App上從A銀行轉帳到B銀行。</p> <p>胡則華指出，目前國內開放銀行已進入第2階段，集保公司目前已推出e存摺App，讓民眾能看到在所有證券開戶的相關資料、股票庫存等，集保擔任銀行的TSP業者後，將銀行相關資料匯整，因此可在App看到個人的證券、銀行存款資料，第2階段已跨出銀行的領域，做到證券與銀行對接。至於第3階段，因為涉及資金移轉，需要更高規格的資安，現在還在努力中。</p> <p>至於開放證券部分，金管會預計在今年底之前，先針對開放證券的第一階段，即證券商的公開資料作串接，之後循開放銀行的階段慢慢擴展。</p> <p>資料共享方面，分層逐步資料共享。先從金控及其底下的子公司、子公司之間，對客戶的資料彼此共享，更進一步是跨其他金控或非金控與子公司之間，資料可以相互轉移，再進一階則是跨市場資料共享，例如讓保險業者的客戶資料可和車商串接共享。</p> <p>胡則華表示，當資料共享從跨金控、跨機構到跨市場，資料跨幅愈大即愈複雜，因此資料共享現在先從金控及跨機構，從金融機構間的資料共享開始，讓大家確認這種資料共享運作方式沒問題之後，再擴大到非金融機構，甚至是跨市場。目前跨市場方面，已先請金融機構提供300多項需求，經過梳理後，有些跨市場資料可透過數位部的MyData平臺取得，其他公部門資料則和其他的部會討論如何介接，非公部門的資料則要等到下一階段再決定如何串接。</p> <p>另外，由於不同風險程度的資料，應有不同管理方式，例如針對風險較低的資料，開放較大程度的應用，需要定出資料治理的機制與規範，目前資料治理架構委外中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-04-01%20%E4%B8%8A%E5%8D%885_33_44.jpg" style="width: 600px; height: 315px;" /></p> <p>金管會在2021年發表金融機構間資料共享指引，這個共享指引分為3部分，一個是金融機構間的風險控管事項，第二是金融機構之間合作，共享客戶資料，或是客戶基於方便，將原本已在A銀行的資料帶入B證券商。到去年11月調查結果，超過99%的金融機構已完成資料共享的內控，超過100家機構已辦理或準備辦理新增資料共享。目前已有8家金融機構申請試辦資料共享。</p> <p><span style="color:#A52A2A;"><strong>法規調適</strong></span></p> <p>金管會目前已將數位金融法令匯整在官網。至於跨業整合性的數位金融服務管理規範，已委託政大進行研究，需通盤考量修改實驗條例，定出數位金融服務管理規範。胡則華表示，在實驗條例修正之前，既然要定管理規則，可能沒有法源依據，因此先以指引方式，規範數位身分應該如何按照風險等級進行管理。</p> <p>此外，金管會也準備精進創新實驗機制，胡則華表示，未來希望簡化實驗機制的申報書件、流程，還有落地機制，這些都是業者申請實驗機制的考量之一，她坦言目前的落地機制仍有改善空間，未來希望儘量讓相關局處提前知道實驗案落地的可能性，及早啟動法規調適。</p> <p>對於數位身分識別管理規範或指引，胡則華指出，規範將按照金融機構的業務風險等級，例如資訊分享、客戶資料、資金移轉，依照不同的業務風險等級，要求不同的身分驗證等級，這個規範也將要求不同角色，例如身分驗證服務提供者、信物服務提供者、信賴驗證者，不同角色的責任義務、資安及個資保護也不一樣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-04-01%20%E4%B8%8A%E5%8D%885_26_22.jpg" style="width: 600px; height: 295px;" /></p> <p><span style="color:#A52A2A;"><strong>能力建構</strong></span></p> <p>胡則華表示，目前金融科技人才的培育，一方面讓金融機構自己培養科技人才，或是讓科技人才跨入金融領域，因此已推出金融科技證照制度，研訓院、保發中心等已在2020。年6月已建立，提供證照相關的課程、發照。</p> <p>目前的金融科技證照制度分為基礎能力、專業能力/職系，其中在基礎能力，包括金融科技概論、金融概論、程式設計概論等，程式設計概論以Python等為主，胡則華指出，專業能力/職系方面，以銀行、保險、證券三個領域，7個和金融科技相關的能力，包括商業分析、資料分析、數位行銷、保險科技行銷等能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-04-01%20%E4%B8%8A%E5%8D%885_24_51.jpg" style="width: 600px; height: 296px;" /></p> <p>胡則華表示，接受實作的課程，並且拿到證照者，代表有即戰力，立刻可以投入職場，到今年2月底，已開設8堂課程，共有132人取得證照。</p> <p>過去金融業負責人資格有較嚴格的要求，過去要求具有金融專業領域，現在已放寬資格要求，納入電子商務、資訊服務，較能接受金融科技的創新發展。其他還有產學合作課程，以及讓監理人員熟悉科技發展的相關課程。</p> <p><strong><span style="color:#A52A2A;">數位基礎建設</span></strong></p> <p>金管會推動數位基礎建設有2項措施，金融行動身分識別、企業線上開戶。金融行動身分識別方面已有金融FIDO，以銀行臨櫃開戶已驗證過身分取得的晶片金融卡，利用金融業者的App，將民眾的金融卡和生物特徵註冊綁定，以後開啟金融業者的App，不需使用密碼或金融卡，通過手機上的生物特徵就能完成身分識別，目前已有8家金融業者申請試辦金融FIDO。</p> <p>至於企業線上開戶，目前僅開放3人以下股東的法人線上開戶。</p> <p><strong><span style="color:#A52A2A;">園區生態系</span></strong></p> <p>主要目的為扶植新創業者發展，胡則華表示，新創具有創新想法、較好的技術，因此扶植新創為金融市場帶活力，政策包括擴大園區及強化功能、建立新創業者名錄、為新創業者募資及產學合作媒合，並舉辦Demo Day，頒發金融科技相關獎項，鼓勵與金融科技相關的所有厲害關係人，包括投資者。</p> <p><span style="color:#A52A2A;"><strong>監理科技</strong></span></p> <p>金融業者向主管機關申報資料，數位監理申報方面，由於純網銀許多行為都在網路進行，資訊及金流流動都比較快速，因此數位申報先由純網銀開始，擴大到票券業，未來將推到銀行業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-04-01%20%E4%B8%8A%E5%8D%885_22_31.jpg" style="width: 600px; height: 318px;" /></p> <p>目前純網銀的數位申報機制，已由中央存保公司在2020年12月建置純網銀的監理系統，採用API申報，資料以比較細緻、顆粒化方式上傳，透過這個方式，能夠即時監控營運情況及流動性風險。票券業的數位監理平臺由集保結算所建置，2021年6月已上線，同樣採API申報，並介接聯徵中心、櫃買中心等外部單位的資料。</p> <p>為了提升監理的效率，金管會內部也開發監理科技，利用大數據、AI，用在人民陳情的概念驗證，以及董事會議事錄等。金管會也舉辦監理科技黑客松，針對監理機構或主管機關的問題，對外徵件尋求解方。</p> <p><span style="color:#A52A2A;"><strong>國際鏈結</strong></span></p> <p>主要甄選培養國際隊，提供資源例如舞臺，讓國際隊有彰顯表現自己的機會；此外，還加強金融科技的國際合作，除了增加國內金融科技業者與國際業者合作的機會，也吸引國外業者進駐金融科技創新園區、舉辦研討會、台北金融科技展等等。</p> <p><span style="color:#A52A2A;"><strong>單一窗口</strong></span></p> <p>金管會創新中心設立單一窗口申報平臺，同時金管會也與數位部、國發會、經濟部等其他部會，建立跨部會的交流管道；在金融總會的共創平臺方面，建立能力建構組、數據治理組、監理科技組、廣宣交流組，以推動金融科技能力認證、金融FIDO、MyData介接、資料治理研究、身分認證機制等工作。</p> <p>最後，胡則華表示，金融科技發展路徑圖期程為3年，即將滿3年，今年8月準備提出2.0，目前已委託政大，蒐集業界、金融機構、金融科技業者、投資人的想法，並非解決單一問題，而是更上一層找出一個方式能解決多個問題。</p> <p>外界認為國內金融科技發展緩慢，她坦言，金融科技發展確實慢一點點，除了科技業者受到景氣影響裁員，也和我國文化有關，因為只要是金融部分，因涉及資金會較為謹慎，臺灣也因地緣政治影響需要更謹慎，例如電子支付的跨境匯款、國外電子支付機構進入我國等，金管會會持比較保留的態度，因為希望國內業者有發展空間。不論監理機關或金融機構，在文化上都比較保守，因為對容錯比較低，當發生錯誤時，外界質疑為什麼會發生，因此在政策、監理上會有較多的考量。</p> <p>既然文化較為保守，她認為也許不需要有太多破壞式創新或對市場有巨大影響的想法，可以適應我國文化，也許往資安、監理科技方面多做努力，路徑圖2.0將思考和其他國家相比，有什麼是臺灣有發展利基的部分。另外，對新創活動也會提供更多支持，包括資金、能力建構，考量到新創獲得資金不易，會由政府點火，至於未來如何點火，路徑圖2.0將會揭露更多細節，同時也串聯民間的資源，例如天使投資，以及提升新創業者提案、會計、資安等方面的能力，設法提升外界對新創業者的信任感。</p> </div></div></div>
2023/4/1 05:37作者蘇文彬https://www.ithome.com.tw/news/156236
【資安日報】3月31日，攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客掃描存在特定弱點的雲端設施，進而發動攻擊的情況算是相當常見，但現在竟然出現了能大量掃描的模組化工具AlienFox，攻擊者從找尋目標到發現特定的系統弱點，都能利用同一組工具完成。基於這樣的攻擊便利性，上雲的企業與組織在暴露於公開網路的網站與應用系統，勢必要加快修補漏洞與修正不當設定的腳步，否則將會在更短時間之內被攻陷。</p> <p>關切雲端資安風險態勢變化之餘，殭屍網路的攻擊行動也相當值得留意。有資安業者對殭屍網路ShellBot、MooBot的態勢提出警告，並指出駭客所使用的兩個重大漏洞，也有其他殭屍網路病毒加以運用。</p> <p>因結合ChatGPT與AI對話機器人而吸引大量使用者的Bing搜尋引擎，最近被研究人員找到漏洞，能用來竄改搜尋結果，但起因與Azure AD有關。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sentinelone.com/labs/dissecting-alienfox-the-cloud-spammers-swiss-army-knife/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">一網打盡18種雲端服務的不當設定或漏洞風險，攻擊工具AlienFox可大量搜刮這些系統當中的帳密資料</span></strong></a></p> <p>資安業者SentinelOne揭露名為AlienFox的模組化工具，駭客先從LeakIX和SecurityTrails物聯網搜尋引擎找尋攻擊目標，鎖定Laravel、Drupal、Joomla、Magento、Opencart、Prestashop、WordPress網頁應用程式框架配置不當或漏洞，竊取AWS、Google Workspace、Office 365、Twilio、Zimbra、Zoho等近20種雲端服務的帳密資料、API金鑰。</p> <p>研究人員指出，駭客透過開源的方式，讓其他網路罪犯也能加入各式攻擊模組，而使得此工具能鎖定的目標也會日益廣泛。</p> <p><a href="https://www.fortinet.com/blog/threat-research/moobot-strikes-again-targeting-cacti-and-realtek-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒ShellBot、MooBot大量散播有新管道，它們鎖定Realtek物聯網平臺與網管系統Cacti重大漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-28-at-12_57_47-pm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-28-at-12_57_47-pm.png" style="width: 300px; float: right;" /></a>資安業者Fortinet針對近期的殭屍網路病毒ShellBot與MooBot攻擊行動提出警告，指出駭客自今年1月至3月，利用網路監控系統Cacti的命令注入漏洞CVE-2022-46169，或是瑞昱Realtek Jungle SDK的RCE漏洞CVE-2021-35394（CVSS風險評分皆為9.8），來散布上述的殭屍網路病毒。</p> <p>研究人員指出，他們看到最新的MooBot會清除受害設備上其他機器人（Bot）的處理程序，以便占用較多的硬體資源；而ShellBot則是在3月出現新的變種，駭客納入了更多功能，且已有數百個組織受害。</p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/exploitation-dish-best-served-cold-winter-vivern-uses-known-zimbra-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Winter Vivern利用Zimbra漏洞竊取北約組織電子郵件</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Winter Vivern-fig 2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Winter%20Vivern-fig%202.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露駭客組織Winter Vivern（亦稱TA473）鎖定北約組織（NATO）的攻擊行動，該組織於今年2月，利用名為Acunetix的工具，掃描尚未修補CVE-2022-27926的Zimbra郵件伺服器系統，接著向目標組織的使用者寄送釣魚郵件。</p> <p>一旦收信人點選郵件裡的連結，就會觸發Zimbra伺服器的漏洞，將JavaScript惡意酬載注入網頁，進而讓攻擊者從Cookie竊取使用者的帳號名稱、密碼、Token，甚至可存取收信人的電子郵件信箱。</p> <p><a href="https://www.fortinet.com/content/dam/fortinet/assets/reports/2023-cybersecurity-skills-gap-report.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">全球資安人才缺口達340萬，2022年遭入侵5次以上的企業增加53％</span></strong></a></p> <p>資安業者Fortinet近日針對全球1,800名IT或資安決策者進行調查，結果發現，全球資安人才缺口高達340萬人，亞太地區尤其嚴峻，占216萬人。</p> <p>有68%受訪者表示，因企業缺乏足夠資安技能或資安意識，導致IT部門關鍵職位出現空缺，並衍生更多資安威脅；84%組織過去1年曾遭駭客入侵，近半數（48%）因資安漏洞蒙受超過100萬美元損失。研究人員指出，2022年遭入侵5次以上的企業數量，較2021年多出53％。</p> <p><a href="https://www.cisco.com/c/dam/m/en_us/products/security/cybersecurity-reports/cybersecurity-readiness-index/2023/cybersecurity-readiness-market-snapshot-taiwan.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣企業重視資安？廠商調查指出，僅16%為資安威脅做好準備</span></strong></a></p> <p>思科針對全球組織的資安成熟度進行調查，結果發現臺灣約有六分之一（16%）組織進入成熟階段，略優於全球（15%），但值得留意的是，我國仍有近半數（47%）仍在初始發展階段，在現今資安威脅態勢下有待加強。</p> <p>而研究人員根據身分辨識、裝置安全、網路安全、應用程式負載、資料安全等領域進行分析，結果發現臺灣企業於裝置安全領域表示最佳，有31%達到成熟階段，但網路安全與應用程式負載領域有待加強，皆有超過半數企業的資安準備工作表現較為不足。</p> <p><a href="https://tw.nextapple.com/local/20230330/797513A5ED5E2F1F401C209A13DCC250"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威秀影城傳出50萬筆客戶資料外洩</span></strong></a></p> <p>根據壹蘋新聞網的報導，有人向他們反映，在2月底到臺中的威秀影城看電影，但近日接到自稱是該公司會計的女子來電，表示出現重覆扣款的情況，要求留下銀行帳號，且握有他詳細的個資及信用卡資料。這名民眾向銀行、威秀影城查證，大魯閣新時代威秀影城主管表示，公司訂票系統遭到入侵，導致50萬名會員個資外洩，公司已在網站公告。</p> <p>然而，民眾指控，該公司僅在公告表示遭到冒名，而未提及個資外洩。對此，威秀影城坦承有個資外洩事故，但強調筆數並非「50萬筆」。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156183"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟推出資安AI輔助工具Security Copilot</span></strong></a></p> <p>繼Office、開發人員，以及商務工作者的Copilot，微軟再推出網路資安人員使用的AI輔助工具Security Copilot，此為整合OpenAI的GPT-4生成性AI、微軟的安全分析及情報資料庫，以對話式AI助理介面協助安全從業人員，快速理解數量龐大的網路威脅活動訊號，發現攻擊活動並回應。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">奧義智慧推出XCockpit自動化資安威脅管理平臺</span></strong></p> <p>臺灣資安業者奧義智慧於3月31日，發表AI資安威脅管理平臺XCockpit，此系統整合分析EDR端點安全、AD帳號安全，以及組織曝露在外的風險──攻擊面管理（ASM）等3大面向，藉由AI技術將調查程序自動化，協助第一線SOC人員快速掌握資安事故，大幅提升資安團隊事件處理的精準性與速度。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-orders-agencies-to-patch-bugs-exploited-to-drop-spyware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國證實5個iOS與安卓漏洞被用於攻擊行動，要求聯邦機構限期修補</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-onenote-will-block-120-dangerous-file-extensions/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟在OneNote封鎖120種可能被用於散布惡意程式的檔案格式</span></span></strong></a></p> <p><a href="https://www.cybersecuritydive.com/news/lumen-ransomware-attack/646135/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國電信網路服務業者Lumen證實遭到2次網路攻擊</span></span></strong></a></p> <p><a href="https://blog.cloudflare.com/ddos-attacks-on-australian-universities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲大學網站接連遭到兩個駭客組織DDoS攻擊</span></span></strong></a></p> <p><a href="https://blog.exatrack.com/melofee/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客散布Linux惡意軟體Mélofée</span></span></strong></a></p> <p><a href="https://www.itsecurityguru.org/2023/03/29/new-api-report-shows-400-increase-in-attackers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">鎖定API的攻擊行動於2023年第一季爆增400%</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156202">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156193">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156172">【3月28日】推特傳出原始碼被公布在GitHub儲存庫，疑為離職員工挾怨報復</a></strong></p> </div></div></div>
2023/3/31 18:05作者周峻佑https://www.ithome.com.tw/news/156233
微軟Azure Service Fabric Explorer存在XSS漏洞，允許攻擊者遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商Orca在微軟雲端服務Azure Service Fabric Explorer，發現一個名為<a href="https://orca.security/resources/blog/super-fabrixss-azure-vulnerability/">Super FabriXss</a>的跨站腳本漏洞CVE-2023-23383。該漏洞允許未經身分驗證的惡意攻擊者，在Service Fabric節點託管的容器執行任意程式碼。目前微軟已經修復該漏洞。</p> <p>Azure Service Fabric Explorer可供其雲端用戶，大規模打包、部署和管理，無狀態與有狀態的微服務和容器，該服務支援Windows和Linux作業系統，可以跨地區在雲端、資料中心甚至是個人筆記型電腦上部署容器。</p> <p>攻擊者可以透過向任何Azure Service Fabric用戶，發送精心設計的URL以發起Super FabriXss漏洞攻擊。該漏洞運用了服務中易受攻擊的節點名稱參數，使惡意攻擊者可以在用戶上下文中嵌入iframe。透過該iframe攻擊者能夠從其伺服器檢索遠端檔案，並在iframe上執行惡意腳本，並且建立反向Shell連接。</p> <p>與正常的Shell連接不同，反向Shell由受害者的Service Fabric節點發起，並且連接到攻擊者的伺服器，因此能夠繞過防火牆與安全措施。</p> <p>Super FabriXss漏洞存在於Azure Service Fabric Explorer的9.1.1436.9590與更早的版本。在之前，Orca也曾在Azure Service Fabric Explorer發現另一個跨站腳本攻擊漏洞FabriXss，但研究人員提到，Super FabriXss比FabriXss更危險，因為Super FabriXss允許未經身分驗證的遠端攻擊者，在託管Service Fabric節點上的容器執行程式碼，這意味攻擊者可能取得重要系統的控制權，並對其造成嚴重損害。</p> </div></div></div>
2023/3/31 17:10作者李建興https://www.ithome.com.tw/news/156231
Google正式推出機密協同運算服務Confidential Space
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布正式推出<a href="https://cloud.google.com/blog/products/identity-security/confidential-space-is-ga">Confidential Space</a>，其提供一個可信任執行環境（TEE），供用戶進行聯合資料分析和機器學習模型訓練。Confidential Space的目標是要保護所有協作方的資料，同時也強化了對雲端服務供應商存取保護。</p> <p>Confidential Space允許用戶在資料協作的同時維護資料隱私，有助於解決資料共享和監管要求的需求衝突。Confidential Space以機密運算技術為基礎，並利用遠端見證（Remote Attestation），在可信任執行環境執行工作負載，用戶可以控制資料的使用方式以及授權操作資料的工作負載，而且操作者將無法以各種形式影響工作負載的運作。</p> <p>在預設情況下，Google雲端會在傳輸與儲存時對資料進行加密，機密運算進一步擴展資料隱私性，透過在處理資料時也進行加密，藉以提升資料的機密性。Confidential Space則是在機密運算基礎上支援多方協作，實現安全資料共享，並且對分析和聯合機器學習訓練提供隱私保護。</p> <p>透過使用Confidential Space，企業可以匯總和分析包括個人資料、健康資訊、智慧財產權和加密機密等敏感資料，在操作這些資料獲得更多價值的同時，也能保有對資料完整的控制權。官方提到，Confidential Space可支援許多隱私用例，包括數位廣告、醫療保健和Web3等。</p> </div></div></div>
2023/3/31 15:50作者李建興https://www.ithome.com.tw/news/156229
AI趨勢周報第211期：Google打造視覺語言地圖，機器人用自然語言就能導航
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0324～0330)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺語言 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人導航 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google打造視覺語言地圖，機器人用自然語言就能導航</strong></span></p> <p>Google聯手兩家德國大學，共同開發視覺語言地圖VLMaps，這是一款融合預訓練視覺-語言模型嵌入和3D環境重建的地圖表徵，它的特色是讓機器人能以自然語言指令，在真實世界中導航。因為，輸入的自然語言會自動轉換為Python程式碼，讓機器人在地圖中檢索視覺地標，並透過程式碼策略（Code as Policy），導航到空間目標，比如「往椅子右邊移動3公尺」、「走到沙發和電視之間」。</p> <p>此外，VLMaps還有個特點，它可生成開放式詞彙障礙地圖，也就是能讓不同型態的多個機器人（如機械手臂和無人機）都使用同樣的VLMaps來規畫路徑。Google指出，VLMaps開箱即用，使用者不需另外標註資料或微調模型就能使用。經Habitat和Matterport3D測試，Google發現，VLMaps在物件-目標和空間-目標的導航任務的表現上，比其他零樣本方法高出17%。Google也公開了VLMaps的實驗程式碼和<a href="https://vlmaps.github.io/">互動式機器人示範影片</a>。<a href="https://ai.googleblog.com/2023/03/visual-language-maps-for-robot.html">（詳全文）</a></p> <p><img alt="" src="https://vlmaps.github.io/static/images/vlmaps_blog_post.mp4" /><img alt="" src="https://vlmaps.github.io/static/images/vlmaps_blog_post.mp4" /><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-03-31%20at%2012_01_21%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AICoE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI治理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺灣AI卓越中心成立，瞄準技術、人才和AI治理3方向</strong></span></p> <p>臺灣AI卓越中心（AICoE）於3月28日正式成立，總召集人蔡志宏指出，在過去臺灣AI行動計畫第1期的基礎上，臺灣AI卓越中心要聚焦國內優勢產業的AI核心能力，來提高臺灣在全球的AI發展地位。這個中心鎖定科研技術、人才和AI治理三大領域；在科研部分，中心要透過國際合作，來強化AI軟硬體新興技術發展，在人才部分，則要藉國際交流和培育策略，讓臺灣成為亞太AI人才樞紐。至於AI治理，則要落實以人為本的AI倫理與法制。</p> <p>蔡志宏進一步解釋臺灣AI卓越中心的3大推動方針，包括由上而下引導國際合作、建立跨部會共同平臺，以及多元介接專業社群。從科研角度來說，中心將建置跨國的科研合作平臺、爭取國際頂尖會議主辦權，在人才部分，則要延攬國際知名大師開課，目前已號召近400位學者、4,300名碩博士生。至於治理，則要與價值觀相近的國家建立可信賴AI夥伴關係，像是GPAI、AI Connect等這類國際可信任AI計畫。<a href="https://www.nstc.gov.tw/folksonomy/detail/877e5acb-6c75-49d1-9a15-e1d834b733c9?l=ch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/aicoechong_dian_.jpg?itok=t98rg0Wc" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI on Chip </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 加速晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 半導體 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣AI晶片聯盟3年催生6大亮點技術 </strong></span></p> <p>臺灣AI晶片聯盟（AITA）自2019年經濟部跨部會推動成立以來，串聯完整的上中下游產業鏈，目前已有151家會員，範圍涵蓋IC設計、製造、封測、系統應用和學研，同時也促進AI晶片研發投資近200億元，要將臺灣AI晶片技術能量推向國際。經濟部次長林全能指出，近來ChatGPT風潮讓大型AI模型的複雜運算和晶片傳輸介面速度技術研發備受重視，是AITA未來要的重要方向。</p> <p>聯盟成立3年多來也有不少亮眼成果，像是工研院開發超高速記憶體關鍵IP技術，可直接在記憶體內進行AI運算，運算效能提高10倍、功耗僅1/10。此外還有神盾開發的指紋辨識類比AI晶片，以AI大幅提升指紋辨識精準度，是全球首款光學指紋辨識類比晶片，他們也與力旺共同開發屏下大面積光學指紋辨識晶片新應用。還有一個是新思科技與工研院成立AI晶片設計實驗室（AI Chip Design Lab），引進先進EDA工具，與AITA聯盟成員聯手開發3奈米先進製程的設計和驗證技術。</p> <p>其他亮點還有科技部與經濟部扶持的創鑫智慧，是臺灣首家切入7奈米製程IC設計的廠商，打造雲端和資料中心專用的HPC-AI加速晶片和模組，另也有力積電開發的邏輯晶片與記憶體晶片垂直異質疊合（Hybrid Bonding）製程，使資料傳輸頻寬超過5倍，非常利於AI演算法的資料存取。最後是凌陽科技開發C+P共享算力平臺，以12奈米的AI核心晶片提供通用算力，串連其他業者不同製程的周邊P晶片，資料傳輸效能比其他方法高10倍，可解決AI系統晶片複雜開發整合問題、降低成本，加速其他中小型IC設計廠商的產品升級。<a href="https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=1&menu_id=40&news_id=108148">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 玉山銀行 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> KYC </span></strong></span></p> <p><span style="font-size:22px;"><strong>ChatGPT也有金融應用場景！玉山銀用來協助KYC開戶調查</strong></span></p> <p>臺灣金融業也開始有ChatGPT正式應用案例出現，玉山金控科技長張智星近日在一場活動中透露，玉山已用ChatGPT來協助處理客戶開戶的KYC（Know Your Customer）調查，且經一段時間測試，效果不錯，玉山還打算將自家聊天機器人也接上ChatGPT，不再自行研發。</p> <p>早在3月初ChatGPT API一公布，張智星就和團隊立刻評估應用場景，決定先將ChatGPT用於內外部的KYC調查。過去，銀行處理KYC調查，得先用內部搜尋引擎查詢客戶姓名，再由負責人根據新聞連結，逐一排查有無負面新聞，光看完全部內容並整理就需要大量時間。玉山採用ChatGPT後，只要將搜尋到的新聞內容輸入ChatGPT，再對ChatGPT下合適的指令，ChatGPT就會將所有負面行為及負面新聞列出來，還可整理重點和摘要，最後再由人工確認。這將原本半小時的作業縮短為數分鐘，大幅降低客戶開戶的等待時間。</p> <p>不過，為顧及金融業資安的嚴格要求，玉山最後採用微軟訂閱方案，來使用ChatGPT，而不是直接採用OpenAI官方ChatGPT。目前玉山是微軟ChatGPT方案採用的前幾家臺灣企業之一，也是臺灣金融業第一家。<a href="https://www.ithome.com.tw/news/156118">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/pxl_20230324_081510236.jpg?itok=FtaufIu7" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigQury </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ML推理引擎 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 外部模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google BigQuery新ML推理引擎支援外部模型</strong></span></p> <p>Google強化自家雲端資料倉儲BigQuery，推出新BigQuery機器學習推理引擎，讓使用者可直接在BigQuery匯入外部訓練的模型，縮短模型與資料之間的距離，來加速機器學習運算。這次更新，還讓用戶無縫將資料預測分析整合至資料倉儲中，消除資料移動帶來的成本和風險，用戶還能使用熟悉的SQL語法來操作各種機器學習功能。而BigQuery無伺服器的特性，也不需用戶在執行機器學習預測時，手動配置基礎設施。</p> <p>不只如此，用戶還可選擇將模型託管在機器學習平臺Vertex AI端點，來獲得GPU加速，Vertex AI也提供預建置容器、自定義容器等服務。同時，用戶也可直接從BigQuery內部，遠端使用位於Vertex AI的模型來推理。BigQuery會將資料送向遠端Vertex AI進行推理，待推理完畢後的結果再送回BigQuery。<a href="https://cloud.google.com/blog/products/data-analytics/introducing-bigquery-ml-inference-engine">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Databricks </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dolly </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks開源生成式AI模型Dolly</strong></span></p> <p>專攻雲端AI及資料分析的新創Databricks最近開源AI模型Dolly，宣稱比ChatGPT底層模型更容易訓練，成本也更低。Databricks以Apache Spark技術為基礎，提供雲端資料湖邊小屋（data lakehouse）及機器學習分析服務，這次開源Dolly，是要提供給企業和開發商客製化使用。</p> <p>Databricks表示，Dolly以Eleuther AI 2年前的模型為基礎，在單一機器上透過類似ChatGPT的指令訓練30分鐘而成，再以史丹佛大學近日開源的Alpaca模型資料微調，即可發揮指令跟從的能力，如腦力激盪、文字生成和開放性問答等任務。在這場生成式AI競賽上，Meta今年2月釋出8萬GPU時數訓練而成的LLaMA模型，史丹佛大學則在3月以LLaMA發展出Alpaca模型，以5萬道問答訓練出ChatGPT等級的擬人互動模型。Databricks表示，Dolly是旗下LLM佈局的第一步，目的是要讓更多組織用得到過去只有大型企業才負擔得起的AI模型，未來幾周還會有其他宣布。<a href="https://www.databricks.com/blog/2023/03/24/hello-dolly-democratizing-magic-chatgpt-open-models.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 外掛 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 即時網路搜尋 </span></strong></span></p> <p><span style="font-size:22px;"><strong>ChatGPT支援外掛，可即時搜尋資訊了！</strong></span></p> <p>OpenAI最近宣布ChatGPT支援外掛，讓這個AI聊天機器人可以連上網，來搜尋即時資訊或使用第三方服務，使ChatGPT成為開發平臺。為進行測試，OpenAI已從少部分使用者部署ChatGPT外掛，並逐步推向更多使用對象，包括外掛開發者與ChatGPT Plus使用者。</p> <p>OpenAI QA網頁指出，ChatGPT可判別何時呼叫外掛，何時使用內建知識回答用戶問題。例如它判別用戶問的是現在的事件，就會呼叫瀏覽器外掛，若是詢問簡單的數學或科學問題，就會以內建知識提供答案。使用者也可要求ChatGPT使用外掛，例如「使用Expedia規畫我的紐約旅遊。」第一批上線外掛的應用程式有11款，如Expedia、Shopify、Slack等，此外，OpenAI也提供2個外掛，來提供用於分析程式碼和搜尋網際網路。OpenAI也開源知識庫Retrieval Plug-in程式碼，允許開發者將特定資訊加入，使ChatGPT更豐富。<a href="https://openai.com/blog/chatgpt-plugins">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位雙生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia開源數位雙生機器學習平臺Modulus</strong></span></p> <p>Nvidia開源物理機器學習平臺Modulus，要來推動協作、透明度和問責性發展。Modulus是一個物理模擬框架，結合物理和深度學習技術，使用者可用來打造高傳真參數化的代理模型，來解決各種問題。基於物理的機器學習，還能用於多種模擬運算，像是流體力學、結構力學和計算化學等，甚至，以物理為基礎的機器學習，還能用於物理系統建模，不論是氣候科學研究還是製造產業，都能用來部署數位雙生模型。</p> <p>經過幾年發展，Modulus涵蓋業界常用的神經運算子架構系列，包括圖形神經網路和物理資訊神經網路。氣象研究者可在Modulus上使用FourCastNet，動態模擬全球氣候的物理機器學習模型。<a href="https://developer.nvidia.com/blog/physics-ml-platform-modulus-is-now-open-source/">（詳全文）</a></p> <p><img alt="" src="https://developer-blogs.nvidia.com/wp-content/uploads/2023/03/Climate-Scientists-Open-Source-Workflows-1.gif" /></p> <p>圖片來源／Google、Nvidia</p> <p>攝影 / 王若樸、余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google Assistant整合生成式AI Bard了</strong></p> <p><strong>2. 微軟推出資安人專用的Security Copilot</strong></p> <p>資料來源：iThome整理，2023年3月</p> </div></div></div>
2023/3/30 20:00作者王若樸https://www.ithome.com.tw/news/156225
公測版遭濫用Midjourney終止免費試用版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日AI圖像生成服務Midjourney被遭到濫用，<a href="https://discord.com/channels/662267976984297473/942231458918064148/1090529417043918959" target="_blank">昨（30）日Midjourney宣布不再提供免費試用版</a>。</p> <p>AI圖像生成服務經常被人濫用改造名人相片。<a href="https://twitter.com/broderick/status/1640039713649094656" target="_blank">近日推特上流傳</a>一幀天主教教宗方濟各（Pope Francis）被改造的相片引發譁然。照片中的教宗穿著貌似知名品牌巴黎世家（Balenciaga）價格超過3,500美元的白色蓬鬆繫腰外套，脖子上還掛著十字架項鍊。<a href="https://www.snopes.com/fact-check/not-real-photo-pope-in-puffy-coat/" target="_blank">媒體查證</a>，這是某人利用Midjourney生成的相片，且之後也被上傳到該公司的Reddit子頻道上。</p> <p><a href="https://www.washingtonpost.com/lifestyle/2023/03/27/pope-francis-coat-puffy-white-ai-fake/" target="_blank">《華盛頓郵報》首先報導</a>，Midjourney因服務「極大需求及測試濫用」，決定中止開放免費使用。</p> <p>生成Deepfake相片行為引人爭議，不過該公司執行長David Holz對<a href="https://www.theverge.com/2023/3/30/23662940/deepfake-viral-ai-misinformation-midjourney-stops-free-trials" target="_blank">《The Verge》</a>說明，終止免費版並不是出於假相片的關係，而是因為近日湧入大量用戶使用免費服務影響付費用戶權益。他們懷疑是大量中國用戶以抛棄式帳號使用其免費服務取得AI生成相片，流量過大造成付費版用戶的服務斷線，促使團隊下此決定。</p> <p>該公司並澄清，其免費版用戶無法使用最新Midjourney 5的進階生成服務。這個版本無論在畫質、光線及相片紋理上都更為逼真，被用來生成大量Deepfake相片。此前也有人利用Midjourney生成前美國總統<a href="https://twitter.com/EliotHiggins/status/1637927681734987777" target="_blank">川普被警方逮捕</a>、以及法國總統<a href="https://www.euronews.com/culture/2023/03/23/how-ai-is-putting-president-macron-at-the-heart-of-the-french-pension-protests" target="_blank">馬克宏（Emmanuel Macron）</a>在巴黎罷工中遭群眾追打的逼真相片。</p> </div></div></div>
2023/3/31 11:40作者林妍溱https://www.ithome.com.tw/news/156224
AutoCAD、Maya終於支援Apple Silicon晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在蘋果Apple Silicon晶片問世2年多後，Autodesk的繪圖設計軟體AutoCAD及Maya終於可在搭載M1及M2晶片上的電腦執行。</p> <p>Autodesk本周宣布<a href="https://blogs.autodesk.com/autocad/autocad-2024-mac/" target="_blank">AutoCAD for Mac 2024及AutoCAD LT for Mac 2024</a>首次可原生執行在Intel及Apple Silicon架構，包括M1與M2晶片。而支援Apple Silicon可較2023版本執行效能提升最高2倍。</p> <p>其他新增繪圖功能包括，標記匯入與輔助、支援3Dconnexion滑鼠、智慧圖塊（Smart Blocks）、Track工作區新繪圖功能、3D彩色背景繪製、義語及西語支援等。</p> <p>另外，<a href="https://makeanything.autodesk.com/maya/2024-384LG-698256.html#link8" target="_blank">Autodesk的3D建模軟體Maya 2024</a>版本則支援M1晶片架構。其他新功能包括強化建模工具、支援素材編輯器LookDevX、並加入多種材質渲染引擎如USD、MaterialX及Arnold，並有皮克斯渲染框架Hydra外掛程式，以及其他動畫、光線處理與骨骼繪製的新工具等。</p> <p>其他繪圖工具業者如Adobe的Photoshop，則早於去年就已支援M1或M2晶片。</p> </div></div></div>
2023/3/31 12:18作者林妍溱https://www.ithome.com.tw/news/156226
3CX的客戶端VoIP程式遭駭客滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VoIP IPBX軟體開發商3CX所打造的桌面程式Electron傳出遭到駭客滲透，被駭客植入藏有木馬的ffmpeg.dll，並藉由官網上的更新感染了Windows及macOS用戶，<a href="https://www.3cx.com/blog/news/desktopapp-security-alert-updates/" target="_blank">3CX已證實此事</a>，建議使用者移除含有木馬的版本，並暫時使用漸進式網路應用程式（Progressive Web Apps，PWA）。</p> <p>3CX的主要產品為3CX Phone System，這是一個基於開放標準的軟體交換機，並開發VoIP IPBX軟體，以讓用戶透過網路進行各種通訊，全球有超過60萬家企業客戶，包括可口可樂、麥當勞、BMW、IKEA及英國保健署（National Health Service）等，每日使用者數量超過1,200萬名。</p> <p><a href="https://news.sophos.com/en-us/2023/03/29/3cx-dll-sideloading-attack/" target="_blank">資安業者Sophos指出</a>，3CX用戶自3月22日陸續發現他們的防毒軟體將3CX的桌面程式標註為惡意程式，結果是3CX官網上支援Windows與macOS的桌面程式Electron被植入了含有木馬的ffmpeg.dll，可用來連結GitHub並下載惡意酬載。</p> <p>Sophos所觀察到的惡意酬載主要為資訊竊取工具，以竊取受害系統上的瀏覽器資訊。受到影響的版本分別是Electron Windows App 18.12.407與18.12.416，以及Electron Mac App 18.11.1213、18.12.402、18.12.407與18.12.416。並未波及Linux、Android與iOS版本。</p> <p>FFmpeg是個開源的軟體專案，可用來處理聲音及影像等多媒體檔案及串流，在事故傳出後，<a href="https://twitter.com/FFmpeg/status/1641481591254921216" target="_blank">FFmpeg團隊透過Twitter澄清</a>，該專案的原始碼並未被危害，任何ffmpeg.dll遭到危害的事件都應該由軟體供應商負責。</p> <p>事實上，Sophos在所偵測到的惡意ffmpeg.dll檔案上，發現的也是3CX的數位憑證。</p> <p>3CX本周四（3/30）證實了官方桌面程式遭到滲透，並已聘請資安業者Mandiant展開鑑識，由3CX代管及StartUP用戶的伺服器已連夜更新，至於一般使用者則應先移除桌面上的Electron程式，並暫時透過網頁版的PWA程式來使用服務。</p> <p>此外，雖然3CX已經更新了Electron程式，但仍舊強烈建議用戶暫時不要使用該程式，因為這是一個在24小時內緊急修補的版本，同時3CX也在重新打造一個採用新憑證的版本，而這才會是完全安全的版本，預計一、兩天後就會出爐。</p> </div></div></div>
2023/3/31 10:50作者陳曉莉https://www.ithome.com.tw/news/156223
Google Assistant部門傳改組，將以Bard為重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2023/03/29/google-reorganization-in-assistant-follows-bard-launch-memo-says.html" target="_blank">《CNBC》報導</a>，Google Assistant部門近日進行改組，未來將以生成式AI聊天機器人Google Bard作為發展重點。</p> <p>媒體取得Google Assistant業務部門副總裁Sissie Hsiao的內部公開信報導，原本向Hsiao報告的Assistant部門工程副總裁Jianchang Mao將離職，而由Google商務部門負責支付業務的16年老將Peeyush Ranjan接任。另一方面，原Assistant工程另一研發主管Amar Subramanya將出任Bard，原負責Bard的主管則轉任「領域技術主管」。</p> <p>這次改組顯示Google Assistant將與Bard進一步整合。Hsiao說，在Bard團隊接續Assistant工作時，公司要「確保能把握眼前的機會」。她並指出，今年「要著重在對用戶有更大影響力的服務上」。</p> <p>Google Assistant向來是整合在Android應用如Google Maps、Google搜尋，以及整合在Google自家裝置如Pixel智慧型手機、Nest智慧喇叭，或第三方廠商的Android裝置如智慧顯示器、電視、智慧手錶、Android Auto車載系統上，作為語音助理或聲控介面。</p> <p>但是此類AI功能卻無法為Amazon、Google等大廠帶進足夠獲利。<a href="https://www.ithome.com.tw/news/154335" target="_blank">媒體報導</a>，去年底Amazon裁員1萬人，其中許多落在Amazon Alexa部門，原因是這個部門種種獲利策略失效，拖累所屬的全球數位部門一季虧損30億元。Google Assistant也在該公司上一波裁員中受到影響。</p> <p>Google去年起大幅加重對生成式AI的投資力道。去年Google在OpenAI的ChatGPT刺激下，在內部發出「紅色警戒」行動，從多個部門召集人力投入Bard開發團隊。<a href="https://www.ithome.com.tw/news/156026" target="_blank">3月底Google正式開放</a>AI聊天機器人Bard給美國、英國地區用戶申請試用。在此之前，<a href="https://www.ithome.com.tw/news/155928" target="_blank">Google宣布</a>生成式AI技術整合到Gmail、Workspace的Google Docs中。<a href="https://9to5google.com/2023/03/30/gmail-docs-ai-testing/" target="_blank">本周Google已開始邀請</a>美國少部分用戶使用這項AI功能。</p> <p>微軟已經把ChatGPT技術全面整合進其服務，包括Office、Power System、GitHub Copilot及<a href="https://www.ithome.com.tw/news/156183" target="_blank">安全工具</a>。</p> <p>Google並未對此消息回應。</p> </div></div></div>
2023/3/31 10:10未署名https://www.ithome.com.tw/news/156221
Google揭露間諜軟體供應商濫用熱門平臺零時差和既有漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google追蹤商業間諜軟體供應商，揭露兩大結合運用多個零時差漏洞與既有漏洞（N-day）的間諜活動，這些極具針對性的活動鎖定Android、iOS和Chrome熱門平臺，<a href="https://blog.google/threat-analysis-group/spyware-vendors-use-0-days-and-n-days-against-popular-platforms/">Google提到</a>，根據他們的調查，商業監控供應商現在技術力提升，也擁有過去只有政府層級才能開發和操作漏洞的能力。</p> <p>第一個間諜活動被稱為「Your missed parcel」，Google發現透過使用Android和iOS的零時差漏洞利用鏈，惡意攻擊者可以發送短訊息給位於義大利、馬來西亞和哈薩克的用戶，訊息內的連結會將用戶導向惡意頁面，之後再重新導向到諸如貨運或是物流公司的合法頁面。</p> <p>在iOS上，惡意頁面使用WebKit遠端程式碼執行漏洞CVE-2022-42856，以及CVE-2021-30900沙盒逃逸和特權提升漏洞CVE-2021-30900，在iOS上安裝惡意Stager打開後門，回傳裝置的GPS位置，並且讓攻擊者可以於裝置安裝惡意程式。</p> <p>而Android則需要用到Arm GPU手機上Chrome 106之前版本的漏洞，用到的漏洞包括類型混淆漏洞CVE-2022-3723、Chrome GPU旁路漏洞CVE-2022-4135、Arm特權提升漏洞CVE-2022-38181，而對三星用戶，網站還會透過意圖重新導向功能（Intent Redirection）從三星網際網路瀏覽器打開Chrome。用戶更新到Chrome 108便能免於受到攻擊。</p> <p>第二個間諜活動，則是針對三星網際網路瀏覽器的漏洞入侵鏈，惡意攻擊者同樣是透過短訊發送一次性連結，到位於阿聯酋的裝置，將用戶導向到一個頁面，該頁面使用商業間諜軟體供應商Variston所開發的Heliconia框架，而漏洞利用鏈使用了一個以C++開發，且功能齊全的Android間諜軟體套件，包括可以解密和擷取各種聊天和瀏覽器應用程式資料的函式庫，進而追蹤受害者的社交和網頁瀏覽行為。</p> <p>這個活動主要影響使用Chromium 102版本的三星瀏覽器，惡意攻擊者總共使用了6個漏洞，包括Chrome的類型混淆漏洞CVE-2022-4262、沙盒逃逸漏洞CVE-2022-3038，以及Mali GPU核心驅動程式授予攻擊者存取系統權限的CVE-2022-22706漏洞，還有提供攻擊者核心讀寫存取權限的Linux核心聲音子系統漏洞CVE-2023-0266，惡意攻擊者也利用了多個核心資訊洩漏漏洞，包括CVE-2022-22706和CVE-2023-0266。</p> <p>每一個漏洞軟體原廠皆已修復，但可能因為修復時間差，或是因為版本更新節奏的關係，供應商並沒有及時修補程式，使得攻擊者有機可乘。透過結合零時差漏洞和既有漏洞，商業間諜軟體供應商能夠開發追蹤用戶的工具，Google提到，這些供應商向政府出售漏洞技術和監控功能，使政府能夠追蹤異議份子、記者、人權工作者和反對黨政客。</p> </div></div></div>
2023/3/31 09:10作者李建興https://www.ithome.com.tw/news/156207
Google相容於PostgreSQL的雲端資料庫AlloyDB，提供下載版本支援本地用例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在去年的時候發布全託管，且與PostgreSQL完全相容的資料庫服務AlloyDB，而現在Google宣布針對本地端需求推出<a href="https://cloud.google.com/blog/products/databases/run-alloydb-anywhere">AlloyDB Omni技術預覽版</a>，提供用戶一個可下載的AlloyDB版本，以支援本地、邊緣和跨雲用例。</p> <p>AlloyDB Omni與Google雲端上的AlloyDB使用相同引擎，官方指出，AlloyDB Omni在交易型工作負載比標準PostgreSQL快2倍以上，在分析查詢方面，更是比標準PostgreSQL快達100倍。AlloyDB Omni是Google向其用戶提供的傳統資料庫現代化途徑，供用戶使用相容於PostgreSQL，但是效能更佳的資料庫，同時獲得Google雲端支援。</p> <p>AlloyDB具備許多先進的資料庫引擎功能，包括更好的交易型工作效能與記憶體管理，以及能夠針對頻繁查詢進行最佳化的索引建議功能等。索引建議可以深入分析查詢，包括子查詢、聯合和過濾器語法，透過分析資料庫工作負載，推薦用戶有助於提高查詢效能的索引。</p> <p>AlloyDB Omni也包含行式引擎，將頻繁查詢的資料以行式格式儲存在記憶體中，以便更快地進行掃描、聯合和聚合等資料操作。Google提到，AlloyDB Omni運用機器學習技術，在行和列式資料格式間自動組織資料，在需要的時候進行轉換，因此AlloyDB Omni能夠提供良好的查詢效能，並且最佳化管理成本。</p> <p>在這次的發布中，Google也釋出AlloyDB Omni開發人員版本，這個版本非供生產環境使用，但可以被安裝在筆電上，方便用戶進行測試和開發，在應用程式需要轉移到生產環境時，就可以無縫地移往AlloyDB Omni或是Google雲端上的AlloyDB。</p> <p>由於AlloyDB Omni使用標準PostgreSQL驅動程式，因此能夠和現有的PostgreSQL應用程式相容，同時AlloyDB Omni也完全相容於PostgreSQL擴充套件和配置旗標，因此可供PostgreSQL用戶簡單轉換。</p> </div></div></div>
2023/3/31 09:13作者李建興https://www.ithome.com.tw/news/156218
從分析業務領域開始DDD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_dddxue_xi_shou_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了達成公司業務領域的目的和目標，它必須在多個子領域（subdomains）中運營。子領域是業務活動的細粒度（fine-grained）區域，公司的所有子領域構成了它的業務領域：它為客戶提供的服務。實行單一的子領域不足以讓公司取得成功；它只是整體系統中的一個建構區塊，子領域必須彼此互動以達成公司在其業務領域中的目的。例如，星巴克最聞名的也許是它的咖啡，但建立一個成功的咖啡連鎖店需要的不僅僅是懂得如何製作出好咖啡，還必須在有效的地點購買或租用房地產、雇用人員，以及管理財務等活動，這些子領域都不會單獨成為一家盈利的公司，所有這些都是公司能夠在其業務領域競爭所必需的。</p> <p><span style="font-size:28px;"><strong>DDD子領域的類型</strong></span></p> <p>正如軟體系統包含各種架構元件──資料庫、前端應用程式、後端服務等──子領域具有不同的戰略/業務價值。領域驅動設計（DDD）區分為三種類型的子領域：核心（core）、通用（generic）、支持（supporting），讓我們從公司戰略的觀點來看看它們有何不同。</p> <p><span style="color:#B22222;"><strong>核心子領域</strong></span></p> <p>核心子領域是公司與競爭對手的不同之處，這可能涉及發明新產品或服務，或透過最佳化現有流程來降低成本。</p> <p>讓我們以Uber為例，最初，該公司提供了一種新穎的交通方式：共乘。隨著競爭對手的追趕，Uber找到了最佳化和發展其核心業務的方法：例如透過配對朝同方向前進的乘客來降低成本。</p> <p>Uber的核心子領域影響它的盈虧，核心子領域是公司如何和它的競爭對手區別開來的方式，這是公司為客戶提供更好服務和/或最大化其盈利能力的戰略。為了維持競爭優勢，核心子領域涉及發明、智慧最佳化、商業技能知識（know-how），或是其他智慧財產。</p> <p>複雜度。易於實行的核心子領域只能提供短暫的競爭優勢。因此，核心子領域自然是複雜的。繼續Uber的例子，該公司不僅透過共乘創造了一個新的市場空間，而且透過針對性地利用科技，顛覆了已有數十年之久的龐大計程車行業架構。透過了解其業務領域，Uber能夠設計出更可靠、更透明的交通方式。公司的核心業務應該要有很高的進入門檻（entry barriers）；這應該讓競爭對手很難複製或模仿公司的解決方案。</p> <p>競爭優勢的來源。核心子領域不一定是技術性的，並非所有業務問題都透過演算法或其他技術方案解決，一家公司的競爭優勢可以來自各種來源。</p> <p>例如，想想看一家在線上銷售其產品的珠寶製造商，網路商店很重要，但它不是核心子領域，珠寶設計才是。該公司可以使用既有、現成的線上商店搜尋引擎，但不能外包其珠寶設計，設計才是客戶購買珠寶製造商的產品並記得其品牌的原因。</p> <p>另一個較複雜的例子，想像一家專門從事手動詐欺偵測（fraud detection）的公司，該公司培訓其分析師檢查有問題的文件並標記可能的詐欺案件，您正在建立分析師使用的軟體系統，它是核心子領域嗎？不是，核心子領域是分析師正在做的工作。您正在建立的系統與詐欺分析無關，它只是顯示文件並追蹤分析師的評論。</p> <p><span style="color:#B22222;"><strong>通用子領域</strong></span></p> <p>通用子領域（Generic subdomains）是所有公司都以相同方式執行的業務活動。就像核心子領域一樣，通用子領域通常很複雜而且難以實行，但通用子領域卻不會為公司提供任何競爭優勢。這裡不需要創新或最佳化：經過實戰考驗的實踐已經廣為可用，所有公司都在使用它們。</p> <p>例如，大多數系統需要對其用戶進行身份驗證和授權，與其發明專有的身份驗證機制，不如使用現有的解決方案更為合理。這種解決方案可能更加可靠和安全，因為它已經被許多其他具有相同需求的公司測試過了。</p> <p>回到珠寶製造商在線上銷售產品的例子，珠寶設計是一個核心子領域，但線上商店是一個通用子領域，使用與其競爭對手相同的線上零售平台──相同的通用解決方案—不會影響珠寶製造商的競爭優勢。</p> <p><span style="color:#B22222;"><strong>支持子領域</strong></span></p> <p>顧名思義，支持子領域（supporting subdomains）支持公司的業務。然而，與核心子領域相反，支持子領域並沒有提供任何的競爭優勢。</p> <p>例如，想想看一家線上廣告公司，其核心子領域包括配對廣告和訪客、最佳化廣告效果，以及最大限度地降低廣告空間的成本。然而，為了在這些領域取得成功，公司需要分類它的創意素材。公司把它的實際創意素材像是橫幅（banners）和登陸頁面（landing pages）儲存並編入索引的方式不會影響利潤，在這個領域沒有什麼可以發明或最佳化的。</p> <p>從另一個角度來看，創意目錄對於實行公司的廣告管理和服務系統而言是不可或缺的。使得素材編目的解決方案成為公司的支持子領域之一。</p> <p>支持子領域的顯著特徵是解決方案的業務邏輯複雜度。支持子領域很簡單，它們的業務邏輯主要類似於資料輸入螢幕和ETL（提取（extract）、轉換（transform）、載入（load））的操作；也就是所謂的CRUD（新增（create）、讀取（read）、更新（update）、刪除（delete））介面，這些活動區域不會為公司提供任何的競爭優勢，因此不需要很高的進入門檻。</p> <p><span style="color:#B22222;"><strong>比較子領域</strong></span></p> <p>只有核心子領域才能為公司提供競爭優勢，核心子領域是公司將自己與競爭對手區別開來的戰略。</p> <p>根據定義，通用子領域不能成為任何競爭優勢的來源。這些是通用解決方案──公司與其競爭對手使用的相同解決方案。</p> <p>支持子領域的進入門檻低，也不能提供競爭優勢。通常，公司不會介意競爭對手複製其支持子領域—這不會影響它在行業中的競爭力。相反的，從戰略上說，公司希望其支持子領域是通用的、現成的解決方案，從而消除了設計和建立實踐的需要。</p> <p>公司能夠解決的問題越複雜，它可以提供的商業價值也就越大。複雜的問題不僅限於向消費者提供服務，一個複雜的問題可以像是使業務更有效率和最佳化，例如提供和競爭對手相同水平的服務，但是營運成本較低，這也是一種競爭優勢。</p> <p>從更為技術的角度來看，辨別組織的子領域很重要，因為不同類型的子領域具有不同等級的複雜度，在設計軟體時，我們必須選擇適合業務需求複雜度的工具和技術。因此，辨別子領域對於設計完善的軟體解決方案而言至關重要。</p> <p>支持子領域的業務邏輯很簡單，這些是基本的ETL操作和CRUD介面，業務邏輯顯而易見。它通常不會超出驗證輸入，或把資料從一種結構轉換為另一種結構的範圍之外。</p> <p>通用子領域要更複雜得多，對於其他人為何投入時間和精力來解決這些問題，應該有其充分的理由。這些解決方案既不簡單也不普通，想想看例如加密演算法或身份驗證機制。</p> <p>從知識可用性的角度來看，通用子領域是「已知的未知（known unknowns）」，這些是您知道自己不知道的事情。除此之外，這些知識很容易獲得，您可以使用業界認可的最佳實踐（industry-accepted best practices），或是如果有需要，聘請專門從事該領域的顧問來幫忙設計客製化的解決方案。</p> <p>核心子領域很複雜，它們應該讓競爭對手盡可能地難以複製──公司盈利的能力取決於它。這就是為什麼在戰略上，公司指望將複雜的問題作為其核心子領域來解決。<span style="color:#696969;"><strong>（本文摘錄整理自《領域驅動設計學習手冊》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_DDD%E5%AD%B8%E7%BF%92%E6%89%8B%E5%86%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A-500.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">領域驅動設計學習手冊（Learning Domain-Driven Design）</span></strong></p> <p>Vlad Khononov／著；徐浩軒／譯</p> <p>歐萊禮出版</p> <p>定價：580元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20DDD%E5%AD%B8%E7%BF%92%E6%89%8B%E5%86%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Vlad%20Khononov.png" style="width: 100px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Vlad Khononov</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Vlad(Vladik) Khononov</strong>是一位擁有超過20年產業經驗的軟體工程師，他曾在大大小小的企業中擔任過各種職務，範圍從網路專業人員到首席架構師都有。作為一位領域驅動設計的長期倡導者，Vlad幫助企業理解他們的業務領域、排解舊有系統(legacy system)，並解決複雜的架構挑戰。</p> </div></div></div>
2023/3/31 00:00未署名https://www.ithome.com.tw/article/156129