iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】4月11日，惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意NPM套件的攻擊行動不時傳出，但之前大部分的目的是向開發人員散布惡意程式，如今駭客採用新的手法，他們透過自動化的方式，上傳內含惡意連結的大量套件，將開發人員導向惡意網站，再進行第二階段攻擊。研究人員指出，駭客大量上傳套件的情況，使得短短一個月NPM代管的套件就爆增近8成，進而影響此套件庫的運作。</p> <p>在NPM套件的攻擊行動之外，企業對於現行使用者的身分管理，也值得留意，很多企業對於離職員工的帳號清除並未落實。最近有調查發現，竟有接近半數的離職員工能夠存取公司內部環境，或是所訂閱的服務，甚至能猜到老闆所使用帳密資料。這樣的情況也突顯出，公司對於離職員工的帳號註銷、管理，亟需加強。</p> <p>繼上週末蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補兩個零時差漏洞，10日蘋果公司對於執行舊版作業系統的行動裝置與電腦，也發布相關更新，用戶應儘速套用修補軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://medium.com/checkmarx-security/who-broke-npm-malicious-packages-flood-leading-to-denial-of-service-77ac707ddbf1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客上傳大量含有惡意連結的套件，癱瘓NPM套件庫的運作</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_VvF8pg-iegEkJ5qsvgQHVg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_VvF8pg-iegEkJ5qsvgQHVg.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露濫用NPM套件庫的攻擊行動，駭客上傳了大量的假套件，目的是將開發人員導向惡意網站，研究人員指出，因為這種套件的大量出現，使得原本保管約80萬個套件的NPM套件庫，在3月份超過140萬個，這起攻擊甚至造成阻斷服務（DoS）的現象，導致NPM套件庫不穩定，甚至是無法存取的情況。</p> <p>這些假套件內容多半只有1個說明檔案，其檔案的內容會顯示於套件網頁，含有專屬短網址，其連結導向提及此套件的惡意網站，攻擊者利用這種手法來散布惡意程式，或是進行加密貨幣詐騙、全球速賣通（AliExpress）回饋詐騙等。</p> <p><a href="https://www.passwordmanager.com/47-of-workers-admit-to-hacking-accounts-with-former-employers-passwords/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">許多企業與組織未落實員工離職後的帳號清理作業，近半數民眾反映他們曾使用這些帳號來存取系統</span></strong></a></p> <p>密碼管理器評測網站PasswordManager.com針對1千名美國民眾進行調查，結果發現，有47%離職後曾成功存取前公司的應用系統，但他們的密碼從何而來？有58%人士表示他們的密碼與離職前完全相同，而能繼續使用，有44%人士則是指出，他們用來存取公司系統的密碼，是在職的同事提供。此外，亦有6%的人宣稱，他們能根據對雇主的了解，或是知道IT人員設置密碼方式，而能猜出前雇主的密碼。</p> <p>值得留意的是，在這些能夠存取前公司資源的民眾當中，有三分之一表示他們已存取超過2年，且有超過四分之一存取公司購買的付費工具，但僅有七分之一被公司抓包。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客MuddyWater發動資料破壞攻擊</span></strong></a></p> <p>微軟公布近期伊朗駭客組織MuddyWater的攻擊行動，該組織與名為DEV-1084的駭客集團聯手，先由MuddyWater利用Log4Shell等應用系統漏洞入侵目標網路環境，並於受害電腦部署Web Shell、PowerShell指令碼打造的後門程式、遠端存取工具（如RPort、Ligolo、Ehorus），以及建置本機管理員帳號、竊取帳密資料，再交由DEV-1084進行後續的勒索及資料破壞攻擊。</p> <p>值得留意的是，這些駭客不只針對組織內部網路環境進行破壞，還挾持了Azure AD Connector管理者帳號，並透過Azure Privileged Identity Management特權身分管理服務得到最高管理員權限，對受害組織的Azure雲端環境進行破壞。</p> <p><a href="https://tehtris.com/en/blog/linux-focus-on-a-cryptomining-attack-dubbed-color1337/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挖礦軟體攻擊行動color1337鎖定Linux主機，並根據運算資源多寡，用於挖掘門羅幣，或是被用於散播惡意程式</span></strong></a></p> <p>資安業者Tehtris揭露鎖定Linux主機的挖礦攻擊行動color1337，一旦目標主機符合駭客的要求，駭客就會部署名為diicot的挖礦軟體，透過這些電腦挖取門羅幣。</p> <p>研究人員推測，駭客疑似先透過暴力破解SSH帳密的方式入侵受害電腦，然後部署名為uhQCCSpB的Shell指令碼，剷除目標主機上的其他挖礦軟體，並檢測處理器的核心數量，若超過4個核心，就會植入diicot；而對於不符合系統需求的電腦，駭客則將其用於散布惡意程式，進行橫向感染。研究人員認為，攻擊者很可能是使用羅馬尼亞語的駭客。</p> <p><a href="https://www.bleepingcomputer.com/news/technology/flipper-zero-banned-by-amazon-for-being-a-card-skimming-device-/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Amazon禁售滲透測試設備Flipper Zero，原因是此產品可用於金融卡側錄攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Amazon-Flipper_Zero_ban_notification.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Amazon-Flipper_Zero_ban_notification.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，Amazon近日全面下架滲透測試裝置Flipper Zero，原因是該設備能被用於側錄他人的信用卡資料。Amazon要求賣家檢查自己的商城，於48小時內移除與Flipper Zero有關的商品，否則商城有可能會被停權。</p> <p>對此，製造商Flipper Devices表示，此裝置並未具備側錄金融卡資料的功能，他們已請求Amazon解除封鎖。而這已非首度禁售Flipper Zero的情況──巴西政府為防止該設備被用於犯罪，於3月開始封鎖該產品進口。</p> <p><a href="https://www.ithome.com.tw/news/156344"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">特斯拉車主提出訴訟，指控該公司允許員工濫用車輛鏡頭錄下的影片</span></strong></a></p> <p>我們之前報導，路透社取得特斯拉前員工的說法，指出該公司的員工約從2019年至2022年，私自將該廠牌車輛攝影機擷取的影響拿來取樂，有侵犯客戶隱私疑慮，如今有車主一狀告上法院。</p> <p>根據<a href="https://www.reuters.com/business/autos-transportation/tesla-hit-with-class-action-lawsuit-over-alleged-privacy-intrusion-2023-04-08/">路透社</a>、<a href="https://www.rfi.fr/en/business-and-tech/20230410-tesla-sued-over-workers-alleged-access-to-car-video-imagery">法新社</a>等媒體報導，居住於美國舊金山的車主Henry Yeh在4月7日向加州北部法院提出集體訴訟，他的委任律師發出聲明，特斯拉攝影機可能被用來危害家人隱私已令他不滿，且該公司員工互相分享取自其車上攝影機的影像，用作「低級且殘忍的娛樂趣味」，以及「羞辱被暗中錄影的人們」，讓他覺得遭到侵犯。對此，Henry Yeh要求法院命令特斯拉停止這類不當行為，並進行損害賠償。特斯拉並未針對這起訴訟進行回應。</p> <p><a href="https://www.theregister.com/2023/04/07/msi_cyberattack_bios/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微星證實遭到網路攻擊，呼籲用戶要從該公司網站取得韌體檔案</span></strong></a></p> <p>我們上週報導微星傳出遭到勒索軟體Money Message攻擊，駭客聲稱竊得原始碼、BIOS韌體檔案、金鑰等內部檔案，微星於4月7日證實部分資訊系統遭到網路攻擊，並<a href="https://tw.msi.com/news/detail/MSI-Statement141689">發出公告呼籲用戶要從他們的網站取得電腦韌體</a>，但並未透露此起事故的受害範圍，也沒有說明是否有客戶資料遭竊。對此，新聞網站The Register進一步向微星確認，但該公司的回覆讓大家錯愕，因為他們表示：「we'll let you know if we hear anything back.」。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-recently-disclosed-zero-days-on-older-iphones-and-ipads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果為舊版行動裝置、電腦作業系統修補零時差漏洞CVE-2023-28206、CVE-2023-28205</span></strong></a></p> <p>繼4月7日蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1，修補零時差漏洞CVE-2023-28205及CVE-2023-28206，該公司也於10日擴大修補範圍，推出iOS 15.7.5、iPadOS 15.7.5、macOS Monterey 12.6.5、macOS Big Sur 11.7.6，提供iPhone 6s、7、第1代iPhone SE、iPad Air 2、iPad mini 4、第7代iPod Touch用戶，以及執行macOS Monterey、Big Sur的電腦更新。</p> <p><a href="https://wsa.sophos.com/docs/ws1000/ws1000/concepts/ReleaseNotes_4.3.10.4.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sophos修補網頁安全閘道的任意程式碼執行漏洞</span></strong></a></p> <p>資安業者Sophos針對旗下的上網安全閘道系統 Web Appliance，發布4.3.10.4版更新，總共修補3個漏洞，其中的CVE-2023-1671為重大等級，此為預先驗證命令注入漏洞，攻擊者在無須通過身分驗證的情況下就能發動攻擊，CVSS風險評分為9.8。</p> <p>除了發布修補程式，該公司也指出此網頁安全閘道系統將於7月20日終止支援，呼籲用戶應改用防火牆產品的相關功能因應。</p> <p><a href="https://blog.talosintelligence.com/vuln-spotlight-justsystems-ichitaro/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本文書處理軟體Ichitaro出現重大漏洞，可被用於執行任意程式碼</span></strong></a></p> <p>思科威脅情報團隊Talos揭露日本文書處理軟體一太郎（Ichitaro）有4個漏洞，分別是：CVE-2022-43664、CVE-2023-22660、CVE-2023-22291、CVE-2022-45115，這些漏洞都可能造成記憶體錯誤，進而讓攻擊者執行任意程式碼，CVSS風險評分為7.0至7.8分，這些漏洞影響的產品版本是一太郎2022版，開發商JustSystems獲報後，於4月5日發布修補程式。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156316"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防範BGP挾持，荷蘭政府計畫全面導入RPKI標準，目前公部門的網站與郵件伺服器已有7成導入</span></strong></a></p> <p>4月4日荷蘭政府發布新的資安強化措施公告，計畫在2024年底之前，針對他們的IT系統全面導入資源公鑰基礎設施（Resource Public Key Infrastructure，RPKI），其目的是為了防範邊界閘道協定（Border Gateway Protocol，BGP）遭到挾持。</p> <p>在此之前，荷蘭政府在2019年已規定新採購案必須包含RPKI，2023年的最新政策則是涵蓋既有的IT系統與服務。目前荷蘭政府所有的網站中，採用RPKI的比例為77.9%，電子郵件伺服器採用RPKI的比例也達到75.1%。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/kfc-pizza-hut-owner-discloses-data-breach-after-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國肯德基、必勝客1月遭勒索軟體攻擊，約300家門市停業1天</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/sd-worx-shuts-down-uk-payroll-hr-services-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">比利時人資系統業者SD Worx遭遇網路攻擊，英國及愛爾蘭服務的IT系統被迫關閉</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cisco-patches-code-and-command-execution-vulnerabilities-in-several-products/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科針對旗下網路安全、身分驗證安全產品修補漏洞</span></span></strong></a></p> <p><a href="https://www.businesswire.com/news/home/20230406005089/en/Groundbreaking-Research-from-Marsh-McLennan-Reveals-Direct-Link-between-Key-Cybersecurity-Controls-and-Reduced-Cyber-Risk"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全面採用雙因素驗證、快速套用修補程式是防範網路攻擊的有效手段</span></span></strong></a></p> <p><a href="https://securityintelligence.com/articles/new-phishing-hides-behind-trusted-services/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客濫用合法服務進行網路釣魚攻擊的情況日益頻繁</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/03/27/ghostsec-targeting-satellite-receivers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">衛星接收器遭到駭客組織GhostSec下手</span></span></strong></a></p> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230407"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告鎖定企業的色情勒索攻擊行動</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月10日】特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156300">【4月7日】英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156264">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</a></strong></p> </div></div></div>
2023/4/11 17:48作者周峻佑https://www.ithome.com.tw/news/156354
資安公司監測160萬人，竟有3.1%員工上傳機敏資料到ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT爆紅，雖然吸引了許多企業開始嘗試導入工作職場，但也開始傳出企業機密資料外洩災情，一家資料安全服務商Cyberhaven<a href="https://www.cyberhaven.com/blog/4-2-of-workers-have-pasted-company-data-into-chatgpt/">日前統計</a><a href="https://www.cyberhaven.com/blog/4-2-of-workers-have-pasted-company-data-into-chatgpt/">旗下企業用戶共160萬名員工</a>的使用行為，已有8.2%員工在職場使用ChatGPT，更有3.1%將不能外流的企業機敏資料，上傳到ChatGPT服務上，外洩的資料類型以企業機密文件最多，其次是顧客資料。</p> <p>Cyberhaven是一家提供企業級資料偵測與應變（DDR，Data Detection and Response ）的新創，產品可用來偵測企業內部各種資料流進流出的情況，能對企業禁止外流的資料類型發布警告，因此可以追蹤員工使用ChatGPT的資料上傳行為。</p> <p>這家公司統計了旗下不同產業的企業用戶，合計超過160萬名員工在2月26日到3月4日的資料上網情形，高達8.2%的員工從ChatGPT發布之後，在辦公室最少用過一次，其中更有3.1％的員工，曾經將企業機敏資料輸入到ChatGPT上。</p> <p>雖然，越來越多企業開始禁止或限制員工使用ChatGPT，例如Amazon就發信要求員工不能上傳機敏資料，或像<a href="https://www.ithome.com.tw/news/156291">三星在開放ChatGPT後發生半導體機密外流事件</a>，也緊急限制使用。</p> <p>Cyberhaven也觀察越來越多企業直接在公司網路禁止ChatGPT服務，但是，機敏資料外洩災情仍持續上升，根據Cyberhaven平臺後續追蹤，在3月14日這一天，就偵測到每10萬名員工，發生了5,267起員工企圖將企業資料貼上ChatGPT的資料外流事件（包括遭攔截而沒有成功送出的次數），換句話說，每20名員工就會發生一次企業資料外流事件，其中有些是不可外流的機密資料。</p> <p>若以外洩的資料類型來看，在Cyberhaven進行統計的那一周內，平均每10萬名員工，會出現199次機密文件外流警告通報（約500人一次），名列通報類型的第一名，排名次高的通報事件是顧客資料外流（173起）通報，第三則是程式原始碼（159起）、法規定義的個資外流通報（102起）以及專案資料外流（57起）。這6種等於是員工最常外流到ChatGPT的企業機敏資料類型。</p> <p> </p> </div></div></div>
2023/4/11 18:24作者王宏仁https://www.ithome.com.tw/news/156293
自然輸入法將來也要結合ChatGPT技術，優先推出多國即時翻譯和中文語句結構優化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「自然輸入法也要結合ChatGPT技術。」網際智慧總經理晁旭光近日在一場產品發布會上這麼表示。這也是這家本土老字號中文輸入法廠商未來產品策略重要新布局，除了自行發展中文輸入法的AI語意核心引擎，更要加入當紅ChatGPT的生成式AI技術，來提高文字輸入便利性和改善使用體驗。</p> <p>早在今年3月ChatGPT API推出前，晁旭光就看好ChatGPT未來在輸入法的應用潛力，開始評估在自家產品中整合ChatGPT技術的可行性，他表示，AI生成始於文字輸出，文字輸出來自輸入法，「所以對於網際智慧而言，我們未來會先從主力客群使用需求切入，從便利性、使用體驗角度，來適當加入ChatGPT的應用。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230328_044925403.jpg" style="width: 600px; height: 315px;" /></p> <blockquote><p>自然輸入法未來將優先使用ChatGPT技術，運用在文字即時翻譯和語句結構優化上，來達到輸入即可完成多國語言翻譯，以及自動潤飾語句的效果。初步計畫將透過串接Azure AI方式來使用ChatGPT模型（如GPT-3.5版），而不是直接使用OpenAI官方的服務。</p> </blockquote> <p>網際智慧根據使用者對於輸入法功能的「願望清單」來決定優先將開發哪類ChatGPT應用，他們目前規畫將使用ChatGPT的AI內容生成技術，運用在文字輸出後的即時翻譯和語句結構優化上，來達到輸入即可完成多國語言翻譯，以及自動潤飾語句的效果。初步計畫將透過串接Azure AI方式來使用ChatGPT模型（如GPT-3.5版），而不是直接使用OpenAI官方的服務。</p> <p>不過晁旭光強調，在輸入法中提供ChatGPT的使用方式，目前內部還在討論，他解釋，雖然是由輸入文字的使用者直接向ChatGPT發送翻譯或潤飾語句的指令，但命令產生必須考慮使用體驗與模式，不只對使用者要是最方便，也要能和Office等其他類似結合ChatGPT的產品能夠互補。比如輸出一段文字後，只需加入斜線，並在斜線後加上一個代號，就能很容易進入ChatGPT的命令模式，而且在這個命令模式下，使用者也不一定要自己下達所有指令，而是可以調用之前用過的命令。傳達指令後，再由生成式AI模型將處理結果透過網路回傳到原有文字段落上來呈現。</p> <h3><strong>輸入法結合ChatGPT技術，除了要考慮商業可行性更得面對隱私和資料外洩風險的考驗</strong></h3> <p>儘管使用ChatGPT能帶來更深化的應用，但決定要不要在輸入法產品中加入這個功能，晁旭光坦言，必須考慮到整合付費第三方ChatGPT後，能否帶來持續獲利的商業模式。不僅如此，還有更大考驗是，使用ChatGPT可能帶來隱私風險的問題，甚至有企業最近就因為內部員工疑似使用ChatGPT而導致內部機密資料外洩，例如三星等，也成為外界關注的重要議題。</p> <p>尤其，自然輸入法在臺灣是許多企業或政府部門常用的中文注音輸入法，約有50萬個用戶，因此，對於未來操作上將如何運作，例如拆成不同版本等，再提供不同輸入法使用者來運用，他表示，還要審慎評估。</p> <p>除了將結合ChatGPT技術之外，最快在下一版自然輸入法中將開始提供使用者更多AI語意分析和預測功能，包括將加入長句聯想、英文聯想和智慧中英切換功能，甚至不只文字，未來也能支援語音輸入，還能在轉為文字同時自動標示標點符號，幫助使用者省下重標符號的時間。</p> <p>不光是主力核心產品，隨著生成式AI趨勢發展，網際智慧今年產品策略也開始轉變，除了持續深化自己的語意分析核心技術之外，將轉而發展結合LLM大型語言模型與本地端AI模型，推出能符合企業所需的更多文字、語音應用產品及服務，。</p> <p>像是新發表名為「快文寶」知識管理工具，除了具備剪貼簿功能，提供更方便知識內容儲存、發送和管理，也引進了OpenAI官方ChatGPT功能，使用者可以針對不同分類主題知識，建立不同主題提示，並將文案交給ChatGPT生成或優化，例如翻譯或改寫，不過還沒推出付費版之前，用戶必須串接自己ChatGPT帳戶的 API，才能使用這項功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230328_033252262.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>除了自然輸入法以外，網際智慧早先一步已經把ChatGPT技術運用到新推出的知識管理工具「快文寶」上，可以根據不同主題透過預先設定好的提示，只要點擊「魔術棒」圖示，就能一鍵生成所需的文案內容。不過還沒推出付費版之前，用戶必須串接自己ChatGPT帳戶的 API，才能使用這項功能。</p> </blockquote> <p>晁旭光表示，目前正在開發合規檢核功能，針對文案內容對應到哪些法令，未來能夠結合知識管理、內容生成與AI分析檢核相關應用，再提供給如化妝品業或健康食品業等不同行業來使用。他表示，不同產業別對於合規需求都不一樣，比較難以單靠一個LLM大型語言模型解決，因此就可以搭配他們的本地AI小模型做運用。</p> <p>在這次產品發布會上，還有推出另一個AI對話配音工具「文字MP3」，同樣整合了微軟OpenAI服務的TTS（語音合成）引擎，透過AI聲音生成技術，讓使用者可以更容易替自己的文字編輯進行配音，最多可以支援美中英日等近100種語音，超過400種高擬真的人聲。</p> <p>對軟體廠商未來要如何運用生成式AI技術來滿足企業所需，他也以大小AI模型說明，未來將會是一個多模態合作服務的生態，在這個生態發展下，除了OpenAI這個大AI模型之外，還會有其他行業別AI，也就是中AI，如生技業就會需要發展自己專屬領域的AI模型，不過，即使是同產業、不同公司之間需要AI模型也不太一樣，需要各自發展出一套較小AI模型提供內部團隊使用，甚至還有滿足個人需求的微AI，例如在輸入法中搭配小AI模型，學習使用者的偏好習慣，就是一種微AI應用。</p> <p>「我們產品策略，就是在大模型之下發展其他服務，來提供多模型及數據整合服務。」晁旭光表示，對網際智慧而言，過去熟悉的AI技術是自然語言處理技術、語音技術，現在發展就是結合過去的努力，再往下一個階段邁進，透過生成式AI幫助使用者或企業能更有效率產生內容，「從智慧寫作到內容合規檢核，再到知識加值，將是我們持續發展的核心」他說。</p> </div></div></div>
2023/4/11 17:49作者余至浩https://www.ithome.com.tw/news/156331
北市酷課雲開始實驗ChatGPT自動出題，最快9月先推出自製AI助教
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-eb2ff2b8-7fff-3d08-b96a-6aa3c652bd87">最近在智慧城市展，臺北市線上教育平臺「酷課雲」首度展示了測試中ChatGPT自動出題系統，以及9月即將上線的AI助教「艾特老師」，可以輔助老師追蹤幫助老師追蹤學生學習成效，提供個人化的補救教學建議。</p> <p dir="ltr">ChatGPT爆紅引起教育界高度關注，不只全球最大教學平臺可汗學院採用GPT-4打造AI老師，臺灣也有教育組織和政府機構開始擁抱ChatGPT，開發AI口說導師、AI教學助理等工具。最近在智慧城市展中，臺北市線上教育平臺「酷課雲」也首度展示正在測試的多項AI新功能，包括了ChatGPT自動出題系統和可以協助診斷學生學習狀況的AI助教。</p> <p dir="ltr">在這套ChatGPT自動出題系統中，教師可依據需求來指定出題範圍和形式，例如年級、科目、單元和題型，設定完成後臺系統會自動生成相關的提示（prompt），輸入到ChatGPT上來生成合適的題目、選項和答案，再顯示到前臺提供給老師參考。</p> <p dir="ltr">臺北市教育局資訊教育科科長陳秉熙也現場展示AI出題過程，選擇六年級數學的速率單元，指定選擇題題型，後臺就會產生相應的prompt文字，例如「請假設你是一位臺灣臺北市六年級數學老師來出一題選擇題」，接著還會指定速率單元，自動要求以50字內字數寫出四個選項的選擇題，提示還要求ChatGPT一併提供題目、選項和答案格式。展示結果，ChatGPT也實際列出了符合原先指定條件的考題和正確答案。</p> <p dir="ltr"> </p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/54284.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p dir="ltr">酷課雲展示的ChatGPT自動出題系統目前仍在內部測試階段，教師可以根據自身需求選擇出題設定，快速生成題目。攝影/余至浩</p> </blockquote> <p dir="ltr">陳秉熙表示，透過ChatGPT打造自動出題系統，希望未來能減輕教師的工作量，增加和學生的互動時間，更關注學生的學習情況。不過，這套系統目前仍在內部測試，短期不會開放。反倒是另一個由他們所開發的AI助教「艾特老師」最快今年九月就會先開放給北市高中職以下學校使用，年底會開放全臺學校使用。</p> <p dir="ltr">無法即時觀察學生學習狀況一直是線上教學的痛點，陳秉熙指出，將AI引入酷課雲，正是為了補足後續輔導和追蹤功能，幫助老師追蹤學生學習成效，還能依據程度提供相對應的課後練習，減少老師額外搜索題庫、整理題目和製成考卷的時間。艾特老師可以記錄學生每次答題紀錄和花費時間，依據答題紀錄檢測學習程度，即時給予所需的自學影片作為課後加強內容。</p> <p dir="ltr">因應ChatGPT對教育帶來的衝擊，陳秉熙表示，未來臺北市教育局會制定校內AI工具的使用指引，參考臺大近期發布的因應措施，提供教師使用Chat GPT輔助教學的建議。文⊙余至浩、李昀璇</p> </div></div></div>
2023/4/11 15:54作者余至浩https://www.ithome.com.tw/news/156348
Android也加入自動封存功能，釋出不常用App的儲存空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在<a href="https://android-developers.googleblog.com/2023/04/reduce-uninstalls-for-your-app-with-auto-archive.html">Android加入自動封存（Auto-Archive）功能</a>，當使用者想安裝新的應用程式，但裝置可用空間不足時，系統將會自動卸除應用程式，以確保有足夠的空間可供使用。自動封存僅會卸除應用程式的一部分，釋出約60％的應用程式儲存空間，官方表示，這將能減少用戶從裝置直接移除整個應用程式和使用者資料的機會。</p> <p>自動封存讓Android用戶，在不需要卸載整個應用程式的情況下，就能夠釋出裝置上的空間。只要用戶選擇啟用自動封存功能，不常用的應用程式的一部分便可從裝置中被移除，進而節省空間，不過，系統會留下應用程式圖標和用戶的應用程式使用資料，當用戶需要再次使用該應用程式時，只要該應用程式仍在Google Play上架，就能夠點擊圖標重新下載應用程式。</p> <p>對開發者來說，要讓應用程式能夠適用自動封存功能，需要將應用程式以App Bundle格式發布，而支援自動封存應用程式的好處，官方提到，系統將不太會在卸載建議中，推薦開發者的應用程式。也就是說，能夠被自動封存的應用程式，也就能減少被直接卸載的可能性。</p> <p>當使用者嘗試安裝新的應用程式，但是裝置已經沒有足夠儲存空間時，系統便會跳出視窗提醒用戶啟用自動封存功能，一旦用戶同意啟用，則使用者裝置便會開始執行自動封存程序，釋放空間直到足以安裝新應用程式。</p> <p>不過類似的功能，在Apple的iOS 11上早已提供，只要用戶在設定的App Store項目中，啟用卸載未使用的App功能，系統便會自動移除未使用的App，同樣的，iOS也會保留必要檔案，當用戶重新安裝App時，系統便能夠快速還原使用者的資料。</p> </div></div></div>
2023/4/11 15:57作者李建興https://www.ithome.com.tw/news/156347
GovTech月報第17期：紐西蘭通過數位身分服務信任框架新法案；法國擬在巴黎奧運用AI監控維護公共安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0309~0407)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">紐西蘭</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> </strong></p> <p><span style="font-size:22px;"><strong>紐西蘭通過數位身分服務信任框架法案，明年上路</strong></span></p> <p>紐西蘭眾議院近期三讀通過數位身分服務信任框架法案（Digital Identity Services Trust Framework Bill）,將在明年1月生效，該法案為數位身分服務商建立自願性的認證，為紐西蘭數位策略的一環。</p> <p>該法案旨在一個國家級的數位身分信任制度，由數位身分服務商自願選擇參加，經由遵守一套信任框架規則來獲得認證，使用其服務的民眾或企業不需要通過認證。該法案賦予成立2個行政機構，信任委員會與信任框架管理局，委員會負責信任框架的指導及監督，管理局則負責評估認證及調查等工作。</p> <p>紐西蘭政府表示，現今的數位身分環境缺乏一套一致性的標準，新法案提供一個管理框架，以建構安全的數位身分服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">法國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>法國準備於巴黎奧運期間採用AI影像監控技術</strong></span></p> <p>法國將在2024年舉辦巴黎奧運，為奧運籌辦作好準備，法國近期通過奧運安全法案的新條文，將在奧運期間，允許街頭攝影機或無人機空中拍攝，蒐集街道或公共區域影像，以AI進行影像分析。</p> <p>法國政府此舉為加強奧運期間的公眾安全，以防範恐怖攻擊或大眾危安事件，當AI分析影像認定不尋常集會活動或是無主的行李，就會通知附近巡邏的警方處理。法國政府認為，這將辨識危險，以確保數百萬民眾安全。</p> <p>這項舉措引發隱私、人權相關團體反彈，多個團體發表聯合聲明，認為以大型活動安全為由，合法化使用AI演算法進行影像監控，違反國際人權對隱私、集會自由、不被歧視等權利的保障，憂心影像監控技術遭濫用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技建警</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>高雄市展示街頭暴力預警及AI情資平臺成果，破獲案件數達7成以上</strong></span></p> <p>高雄市近期在智慧城市展西，展示3D街頭暴力預警及AI情資整合偵蒐平臺的最新成果，高雄市警局利用AIoT技術，偵測八大行業營業處所是否發生街頭暴力事件，當可能發生街頭暴力事件，立即調度警力到場處理。</p> <p>為防範街頭暴力事件，高雄市政府去年即以八大營業場所作為實驗場域，利用物聯網設備及AI影像辨識，偵測現場聚集達3人、持續停留30秒以上、音量達80分貝以上，即透過Line向警方發出告警，由勤務中心人員從遠端監看現場影像，判斷是否為治安事件，如判斷為暴力鬥毆事件，調度附近警力至現場處理。</p> <p>該平臺採用Web Service API介接，方便其他系統介接整合資料，通過大量數據蒐集、運算，包括以主題式地圖呈現犯罪個案分析，對特定嫌犯或犯罪集團犯罪手法的犯罪模式分析、犯罪趨勢分析，以用於犯罪偵防。高雄市警局在展場指出，案件破獲數達70%以上，有效協助外勤偵查工作，運用科技建警，提高警力運用。高雄市計畫強化以資訊科技防範街頭暴力事件，以數據治理決策，未來全面導入轄區內的八大營業場所等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">日本</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><span style="font-size:22px;"><strong>日本郵政完成首次第4級無人機投遞測試</strong></span></p> <p>日本距離無人機投遞服務更進一步!日本郵政近期在東京西部的奧多摩鎮進行無人機飛行包裏投遞測試，為日本首次進行第4級無人機，在有人居住地區完成投遞測試，希望以此加速無人機物流服務。</p> <p>日本將無人機飛行分為4級，第1級是在目視範圍內飛行，用於空拍、橋樑巡檢，第2級為在目視範圍內，無人機自主飛行，用於農業噴灑，第3級為目視範圍外，在無人居住的山區、離島飛行，第4級則是在有人居住地區目視外飛行，可應用在城市或城鎮地區物流。</p> <p>最新的測試屬於第4級無人機飛行，無人機從奧多摩地區的郵局屋頂起飛，飛越住宅及道路，飛行距離約為4.5公里，花費約10分鐘時間，相較於地面運送約要30分鐘，透過無人機空中運送大幅縮短時間。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">日本</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font> </strong></p> <p><span style="font-size:22px;"><strong>日本政府擬將自衛隊資料集中至雲平臺，改善資料共享效率</strong></span></p> <p>日本政府有意利用雲端來整合分散的自衛隊資料，將三個分支單位的資訊集中到單一的雲，以提高不同彼此工作的效率，並開放給日本防衛省、自衛隊官員存取使用。</p> <p>日本自衛隊原本在陸上、海上、空中自衛隊，各自管理自己的資料，導致中央指揮系統取得各單位資料的困難，日本政府這項措施是為了改善國內部隊的聯合行動資料共享。這個集中重要資料的雲平臺，除了提高資料共享效率，也希望能降低系統管理成本。</p> <p>基於安全考量，這個雲端平臺將會採用封閉網路，隔離於外部網路，包括網際網路。而集中到雲平臺也能降低原本分散的資料受到攻擊的風險。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><span style="font-size:22px;"><strong>臺南市擴大無人機搜救應用，涵蓋救災、救火、搜溺、山區尋人工作</strong></span></p> <p>臺南市消防局在2020年成立無人機隊，近期消防局展示多項無人機載具應用成果，將無人機應用在救災、救火、救溺、山區走失尋人等緊急救援工作上。</p> <p>以火警為例，消防局指出，透過無人機從空中拍攝災害現場景像，讓搜尋人員、指揮中心根據現場影像，擬定救援資源及戰術，空拍機結合熱顯像設備，可顯示建築周圍、火勢走向、受困民眾位置。透過影像雲端平臺，將無人機蒐集的即時影像，讓指揮中心、各級指揮官手機、或消防局電腦獲取即時影像。</p> <p>在水上搜溺方面，除了通過無人機從空中勘察搜救水域，還可吊掛投放救生圈或救生衣給溺水者，市府也引進具有動力的遙控救生圈，從遠端遙控救生圈至溺水者，增加救援成功率。市府也和無人機業者合作，開發水下無人機，以蒐集水下影像、水流資訊。</p> <p>遙控動力救生圈：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fa4b813e-3687-45a4-be96-1f25593878af-1.jpg" style="width: 600px; height: 450px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">量子</span></font> </strong></p> <p><span style="font-size:22px;"><strong>英國政府擬投入35億英鎊推動AI、量子運算</strong></span></p> <p>英國政府近期提出新的財政計畫，未來準備投入35億英鎊，推進英國的科技、科學發展，以確保英國在相關領域的超級強權（Superpower）地位。</p> <p>英國財政大臣近期提出預算計畫，英國政府將投入約10億英鎊，用於下一代超級運算及AI人工智慧研究，為英國成為全球科技、科學超級強權國家奠定基礎。此外，英國也將以約25億英鎊，支持未來10年英國量子戰略發展，期望為英國帶動新的投資、快速成長的業務、高品質職務。</p> <p>英國政府表示，過去十多年，英國在量子科技上處於領先地位，政府並準備啟動新戰略，以確保領先地位，英國已有歐洲最多的量子新創業者，並吸引資金投資。為支持新的量子發展戰略，未來十年投入25億英鎊，期待將英國在量子研究的領先地位，轉為未來量子商業化後的領先地位。</p> <p> </p> <p>圖片來源／新竹縣政府、臺南市政府、花蓮縣政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.印度政府推IndiaAI計畫，要扶植本地AI發展</strong></p> <p><strong>2.新竹縣自駕巴士開始日間測試，6月可望開始載客測試</strong></p> <p>資料來源：iThome整理，2023年3月</p> </div></div></div>
2023/4/11 16:04作者蘇文彬https://www.ithome.com.tw/news/156301
疫情驅動不再！第一季全球PC出貨量下滑3成，蘋果電腦下滑逾4成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.idc.com/getdoc.jsp?containerId=prUS50565723" target="_blank">IDC</a>與<a href="https://www.canalys.com/newsroom/global-pc-market-q1-2023?ctid=3280-b64f730a17f5e1eab8b564578ae222c3" target="_blank">Canalys</a>都在本周公布了今年第一季的全球PC市場出貨量，指出由於市場需求疲軟、過多的庫存，再加上總體經濟持續惡化，讓首季的全球PC出貨量下滑了3成，在五大PC業者中，猶以蘋果最為慘烈，出貨量下滑超過40%。</p> <p>根據IDC的資料，該季全球PC出貨量約為5,700萬臺，比去年同期減少了29%，前五大業者依序是聯想（22.4%）、HP（21.1%）、Dell（16.7%）、蘋果（7.2%）與華碩（6.8%），每家業者的出貨量都有2成以上的縮減，但蘋果電腦的出貨量大幅減少了40.5%。而Canalys的資料亦顯示蘋果是五大業者中下滑幅度最大的。</p> <p>而Canalys的資料則顯示，今年首季的PC出貨量為5,400萬臺，下滑了33%，當中筆電出貨量為4,180萬臺，下滑34%，桌上型電腦為1,210萬臺，下滑28%。</p> <p>IDC認為，該季的結果意謂著由COVID-19疫情所驅動的市場需求已到了尾聲，至少是暫時回到了疫情前的狀態，而且就算是以折扣來吸引消費者，業者的庫存壓力可能持續到年中，甚至延續至第三季。Canalys對PC市場的看法也差不多，認為下半年就會復甦，明年將蓄勢待發。</p> </div></div></div>
2023/4/11 13:37作者陳曉莉https://www.ithome.com.tw/news/156345
特斯拉因員工分享客戶車上影像挨告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉一名車主因該公司員工分享車上攝影機拍攝到的客戶私密影像取樂，將這家車廠告上法院。</p> <p><a href="https://www.ithome.com.tw/news/156290" target="_blank">上周《路透社》報導</a>，至少從2019年到2022年之間，特斯拉員工能存取客戶車上攝影機拍攝的車主私密影像，有的還透過內部社交平臺分享、加上評論、表情符號作為娛樂。<a href="https://www.reuters.com/technology/tesla-workers-shared-sensitive-images-recorded-by-customer-cars-2023-04-06/" target="_blank">《路透社》本周報導</a>，一名舊金山居民Henry Yeh於上周向加州法院控告特斯拉允許員工未經許可流傳車主私密及難堪的影像，侵害客戶隱私。</p> <p>Yeh的委任律師發出聲明指出，特斯拉攝影機可能被用來危害家人隱私已令他不滿，且該公司員工互相分享取自其車上攝影機的影像，用作「低級且殘忍的娛樂趣味」，以及「羞辱被暗中錄影的人們」，讓他覺得遭到侵犯。</p> <p>根據上周報導，特斯拉員工分享的影片雖然是合法存取，但卻被傳給了不同員工。當中包含車主衣不蔽體、開車抓狂，以及騎單車的學童被特斯拉撞飛的影像。此外，雖然特斯拉告訴車主，其影像不會被連結特定地點或車籍，但特斯拉內部軟體可以顯示車主所在地點。</p> <p><a href="https://www.rfi.fr/en/business-and-tech/20230410-tesla-sued-over-workers-alleged-access-to-car-video-imagery" target="_blank">法新社引述訴狀</a>，原告控告特斯拉疏於管理、詐欺及侵害隱私，要求法院命令遏止其離譜行為，並支付金額不詳的賠償金。</p> <p>Yeh是代表自己，以及其他相同情形及公眾控告特斯拉，因此本告訴可能加入其他車主成為集體控訴。</p> <p>特斯拉並未對此回應媒體。</p> </div></div></div>
2023/4/11 12:27作者林妍溱https://www.ithome.com.tw/news/156344
樹莓派發表專為兒童設計的文字版程式碼編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造熱門單板電腦的英國樹莓派基金會（Raspberry Pi Foundation）上周<a href="https://www.raspberrypi.org/blog/code-editor-beta-testing/" target="_blank">發表了針對7歲以上兒童的文字版程式碼編輯器Code Editor</a>，這是個基於瀏覽器的編輯器，完全不需設定就能使用，期望能協助兒童從積木塊遷移到文字程式設計，目前仍為測試版的Code Editor支援Python，但之後將陸續支援HTML、CSS與JavaScript等其它適用於網頁開發的程式語言。</p> <p>Code Editor是個免費服務，不管是參與Code Clubs及CoderDojos等程式社團、學生或是在家自學的兒童，都可直接透過瀏覽器存取，初期它允許使用者於瀏覽器中撰寫與執行Python，採用直覺與簡單的介面，還能直接將程式碼存放在樹莓派基金會的帳號中，讓兒童更容易進入文字版程式設計的世界。</p> <p class="rtecenter"><img alt="" src="https://www.raspberrypi.org/app/uploads/2023/04/Screenshot-2023-04-04-at-14.58.04-800x434.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／樹莓派基金會</span></span></p> <p>該基金會說明，選擇Python作為首個支援的程式語言是因它不論是在學校、Code Clubs或CoderDojos都很流行，且該程式語言受到歡迎的最大原因則是因為它跟英文很類似，使得它經常成為兒童從積木塊程式設計進入文字程式設計的首選。此外，Python還是最受專業開發人員青睞的程式語言，<a href="https://www.tiobe.com/tiobe-index/" target="_blank">在TIOBE排行榜上久居第一</a>，勝過C、Java、C++與C#。</p> <p>除了撰寫與執行程式之外，Code Editor未來也將提供專案分享與協作等功能，支援翻譯與在地化，也會確保它可在行動裝置、平板電腦或包括Raspberry Pi 4 2GB等低成本電腦上執行，並準備在適當的時候開源。</p> <p>目前仍為測試版的Code Editor歡迎<a href="https://editor.raspberrypi.org/" target="_blank">全球使用者參與測試並提供意見</a>。</p> </div></div></div>
2023/4/11 11:22作者陳曉莉https://www.ithome.com.tw/news/156337
OpenAI承諾為日本市場開發AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/japan-eyes-government-ai-adoption-openai-ceo-mulls-opening-office-2023-04-10/" target="_blank">《路透社》</a>、<a href="https://asia.nikkei.com/Business/Technology/OpenAI-CEO-vows-to-work-with-Japan-on-user-protections" target="_blank">《日經新聞》</a>等媒體報導，OpenAI執行長Sam Altman周一在與日本官員見面時表示，計畫在日本設立辦公室，開發更適合當地市場的服務。</p> <p>Altman周一與日本首相岸田文雄及國會議員會面。Altman與岸田針對AI運用的優點及風險等議題交換意見。會後這家AI新創公司執行長承諾，計畫擴增在日本的AI服務，像是更能幫助日本民眾、更適合日語及日本文化的AI模型。</p> <p>他說，兩人討論了AI應用的好處，以及該如何減緩AI的負面影響，而OpenAI也願意和日本政府合作保護日本用戶。</p> <p>媒體報導，在會前，日本官房長官松野博一表示，一旦AI的隱私與網路安全疑慮獲得解決後，日本政府考慮導入AI科技。他並說，日本政府會持續評估如何回應資料外洩等問題，再決定是否引入AI科技減輕日本公務員的作業負擔。</p> <p>Altman會如此承諾，因為相較於Altman在日本獲得的正面回應，歐美國家對OpenAI並不那麼友善。義大利政府上周以ChatGPT未具備辨識使用者年齡，且未清楚說明下蒐集用戶個資，已違反了歐盟個資法（GDPR），下令禁止ChatGPT在該國使用，直到OpenAI改進蒐集作法。歐洲議會則正在規畫第一部AI規範法案。</p> <p>其他國家包括美國、英國、加拿大也都考慮制訂AI管制法規。</p> </div></div></div>
2023/4/11 11:30作者林妍溱https://www.ithome.com.tw/news/156338
微軟M365 Copilot AI助理已開始現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟三月間宣布Microsoft 365/Office整合GPT-4 AI模型的Copilot，本月初在Office上還無法全面使用Copilot，<a href="https://www.windowslatest.com/2023/04/07/microsoft-365-copilot-ai-starts-showing-up-in-windows-11-ahead-of-imminent-rollout/" target="_blank">但媒體發現已經陸續出現蹤跡</a>。</p> <p>微軟3月中公布整合Office的Copilot AI助理，<a href="https://www.windowslatest.com/2023/03/31/first-look-at-microsoft-365-ai-copilot-in-word-for-windows-10-windows-11/" target="_blank">3月底已在一個Windows Beta版本將Copilot功能整合到Word中</a>，而《Windows Latest》近日又在新的Windows Beta版本中，發現Excel及OneNote也整合了Copilot。</p> <p>但是所謂的「整合」目前僅是介面上可看到Copilot，實際功能還未能運作。根據媒體測試，由於功能尚未上線，如果使用OneNote的Copilot，會顯示用戶欲搜尋的資料可能已被移除、改名，或暫時無法使用的訊息。但是根據參照資訊，OneNote 的Copilot功能包括新增、摘取或整理資訊，用戶也可以叫AI助理草擬計畫、列清單、寫紀錄。此外，AI助理也可變更格式、移除重覆資訊或加入視覺資料。</p> <p>Excel也有Copilot的蹤影。在Beta版M365/ Office中的Excel的功能表出現Copilot的圖示，且有微軟團隊透過名為Op Experiment的內部測試執行Excel新功能測試。根據微軟上個月的宣布，Excel的Copilot可代用戶製作樞紐表、加圖表，或執行計算、分析。</p> <p>不過從現有資料無法判斷Copilot AI助理何時會正式部署到Microsoft 365/Office中。微軟僅說會在「未來幾個月內」大量部署到Office生產力應用。除了Word、Excel以及已上線的Copilot of Edge以外，PowerPoint、Outlook等也都會加入AI為基礎的更新功能。</p> </div></div></div>
2023/4/11 11:53作者林妍溱https://www.ithome.com.tw/news/156342
V8引擎支援WebAssembly尾呼叫，提高遞迴函式執行效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google開發的開源JavaScript引擎V8，將會在<a href="https://v8.dev/blog/wasm-tail-call">V8 11.2版本加入WebAssembly尾呼叫（Tail Calls）支援</a>，避免遞迴呼叫消耗大量記憶體導致堆疊溢出，進一步提高遞迴函式執行效率。</p> <p>尾呼叫是一種程式開發技巧，主要在函式程式語言中使用，藉此提高遞迴函式的效率，尾呼叫是指在函式最後一個操作呼叫另一個函式，但在呼叫完成之後不做任何額外的操作。而尾呼叫最佳化則是一種程式編譯器或是直譯器中的功能，可以避免尾呼叫導致額外的堆疊框。</p> <p>由於每次函式呼叫時，編譯器便會創建一個稱為堆疊框（Stack Frame）的資料結構，來儲存區域變數和回傳位址，在遞迴中，這可能會累積大量堆疊框累積，因此消耗大量記憶體導致堆疊溢出，而編譯器可以透過丟棄堆疊框，以跳轉替換呼叫來最佳化呼叫。</p> <p>一般遞迴函式呼叫會消耗O(n)的堆疊空間，而採用尾呼叫最佳化後，可以將遞迴函式簡化僅使用O(1)堆疊空間。也就是說，原本在計算過程，堆疊空間的需求會與問題規模成正比，當鏈結串列（Linked list）中的每個元素都要在呼叫堆疊上增加一個新的資料框，因此在列表太長時便會溢出堆疊，透過跳轉代替呼叫，便能夠使消耗的堆疊空間與問題規模無關。Google解釋，這種最佳化對函式程式語言很重要，因為函式語言嚴重仰賴遞迴函式。</p> <p>但因爲偵測尾部位置的呼叫並非引擎的責任，而是由上游的工具鏈完成，因此V8的最佳化編譯器TurboFan的工作，便是根據呼叫類型和目標函式宣告，發出適當的指令序列。同時，V8中的WebAssembly基準編譯器（Baseline Compiler）Liftoff也支援尾呼叫，以避免基準程式碼耗盡堆疊空間，但是在這一層並沒有尾呼叫最佳化，會以一般呼叫運作方式處理。</p> </div></div></div>
2023/4/10 21:23作者李建興https://www.ithome.com.tw/news/156326
AWS Service Catalog讓用戶也能使用Terraform管控雲端資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS用戶不只可以使用AWS CloudFormation，定義Service Catalog中的雲端資源，現在也可以<a href="https://aws.amazon.com/tw/blogs/aws/new-self-service-provisioning-of-terraform-open-source-configurations-with-aws-service-catalog/">使用開源基礎設施即程式碼（IaC）軟體工具Hashicorp Terraform</a>，在Service Catalog配置雲端基礎設施，並且統一管理布建的資源。</p> <p>在Service Catalog上，企業可以創建和管理基礎設施即程式碼模板目錄，並控制可供使用的基礎設施即程式碼模板和版本，以及管理像是模板存取權限等各版本的配置，供工程師或是資料科學家以自助的方式，配置用於日常工作的雲端資源。Service Catalog模板包含了虛擬機器映像檔、伺服器、軟體和資料庫，甚至是完整的多層應用程式基礎架構所需的全部內容。</p> <p>Service Catalog終端用戶只能從有權存取的模板挑選需要的內容，方便企業集中管理以基礎設施即程式碼部署的資源。之前用戶可以使用AWS基礎設施即程式碼服務CloudFormation，布建和管理AWS與第三方的資源，而現在用戶還可以將現有Terraform配置，整合到Service Catalog中，讓Terraform中的內容也成為核准資源組合的一部分。</p> <p>官方提到，AWS Service Catalog同時支援CloudFormation和Terraform，可讓用戶選擇符合自家流程和專業知識的工具，也同時防止管理不一致，並且降低不合法遵要求的風險。</p> <p>目前在所有AWS地區的Service Catalog服務都已經支援Terraform配置，官方提到，使用Terraform與CloudFormation支付的價格相同，一樣是支付服務API呼叫的費用，另外，用戶還需要對Terraform參照引擎使用和創建的資源付費。</p> </div></div></div>
2023/4/10 21:26作者李建興https://www.ithome.com.tw/news/156329
衛福部揭國內健康大數據推動現況，肺癌主題式資料庫今年2月上架，正規畫乳癌主題資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會、衛福部、經濟部合力推動的健康大數據永續平臺計畫，今年已進入第3年，衛福部今天在國科會報告成果，對外揭露計畫推動現況。主題式資料庫方面，已在今年2月上架肺癌主題式資料庫，下一步為規畫乳癌資料庫。</p> <p>鑑於國內健康數據散落不同單位、資料庫，該計畫推動健康大數據平臺，採用HL7 FHIR國際資料交換格式為統一標準，癌症主題資料欄位則參考mCODE，推動健康大數據的主題式資料庫及分析。衛福部科技發展組技監劉明勳指出，目前已建立肺癌主題式資料庫，整合健保、癌症登記、死因、肺癌研究主檔，合計約31萬8千多筆資料，肺癌主題式資料庫已在今年2月於衛福部資科中心上架，受理申請，目前也在建置乳癌主題式資料庫中。(下圖，資料來源：國科會)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-04-10%20%E4%B8%8B%E5%8D%888_13_16.jpg" style="width: 600px; height: 333px;" /></p> <p>衛福部也規畫「台灣健康大數據單一窗口服務網站」，整合衛福部、國科會、中研院等33個單位資料，目的是讓資料供給及需求端，以更有效率的方式提供及找到資料。</p> <p>在癌症醫療基因定序臨床資料方面，已由國家衛生研究院癌症研究所與多家國內醫學中心合作，以國際標準次世代Cancer Panel作實體腫瘤基因圖譜檢測，建立標準化檢體處理及品管流程，蒐集病人基因檢測、臨床治療、效果等，建立癌症精準醫療資料庫。</p> <p>另外，生醫資料庫方面，國科會也補助8家醫學中心，針對國內癌症、中風、失智等重大疾病，整合基因資料、醫療影像、數位病理、電子病歷等資料，至今年底預計將整理約3千多個案資料。目前已根據這些資料開發新的生物標記及疾病風險評估模式，包括身智衰退症潛在的大腦生物標記、AI心電判讀平臺。</p> <p>劉明勳表示，這些生醫資料庫也用於藥物開發，包括利用生醫大數據找出病患分群、具有療效指標潛力的大腸直腸癌生物標記，有助於藥物開發。111年成果包括找出病患分群效果的候選特徵基因組，以及完成先導抗體的體外體內藥效評估等。同時也運用華人的生醫大數據，和醫界的產學合作，開發精準醫療技術及服務，例如乳癌病患的變異點圖譜，開發整合式技術服務、標靶藥物等。</p> <p>劉明勳認為，透過資料的一致性、資料的整理，以需求為導向，整合健康大數據，公私協力合作、衛福部食藥署對真實世界數據建立法規、指引，以及對使用者友善的單一窗口等策略，讓醫材開發、醫療輔助服務、藥物開發、健康資訊服務者，通過加值應用資料提升競爭力。</p> <p>補助的國科會主委吳政忠表示，健康大數據平臺，除了生物資料庫的蒐集，轉化為數據，更重要的是如何接軌到產業的應用，委員在會議中強調，數據不只給國外藥廠使用，也要讓國內新創應用，推動產業應用數據更重要的是，政府也規畫建置相關法規，例如國發會正在修正的個資保護法、並推動獨立資料監理機關，他透露行政院政委包括他在內，目前也正在研議人工智慧相關法規制定，希望在下個會期，9月能提出初步的草案。</p> </div></div></div>
2023/4/10 20:21作者蘇文彬https://www.ithome.com.tw/news/156330
【資安日報】4月10日，特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期特斯拉傳出幾起資安事故，格外引人注目。首先是該公司的客戶關係管理系統Tesla Retail Tool漏洞，引起研究人員關注，因為受到影響的不只是該公司本身，還包含合作的供應商、客戶。</p> <p>另一則與這家汽車製造商有關的新聞，則是前員工指控公司產品存在隱私保護爭議。據傳該廠牌汽車攝影機錄下的影片，員工竟拿來分享、取笑，內容包含交通事故與車主居家環境，極度無視車主的隱私，而老闆均為Elon Musk的特斯拉與網路社交媒體推特，均不願對此回應。</p> <p>除了與電動車大廠特斯拉有關的事故，蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補的零時差漏洞也值得留意，這些漏洞已出現攻擊行動，使用者應儘速安裝更新程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.sucuri.net/2023/04/balada-injector-synopsis-of-a-massive-ongoing-wordpress-malware-campaign.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式Balada Injector發動注入攻擊，肆虐5年以來，受害的WordPress網站高達1百萬個</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/balada_injector_charcode.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/balada_injector_charcode.png" style="width: 300px; float: right;" /></a>資安業者Sucuri揭露名為Balada Injector的後門程式攻擊行動，駭客約自2017年開始，每個月針對WordPress網站進行相關攻擊，估計迄今有100萬個網站受害，被植入將使用者重新導向惡意網站的程式碼。該惡意程式利用當時揭露的新漏洞對於特定外掛程式出手，進而在受害網站執行HTML注入、資料庫注入，或是任意檔案注入等攻擊行動。</p> <p>Balada Injector的指令碼主要目標是wp-config.php，企圖從中竊取資料庫的帳密等敏感資料，攻擊者亦會尋找受害網站的備份資料、資料庫、事件記錄，此外，該惡意程式也從網站上的phpMyAdmin、Adminer等資料庫管理工具尋找組態設定不當的情況，企圖設置新的管理員帳號。</p> <p><a href="https://www.hackread.com/adobe-resets-user-passwords-data-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe傳出用戶帳密外洩，要求重設密碼</span></strong></a></p> <p>根據資安新聞網站HackRead的報導，Adobe近日對用戶發出通知信，要求使用者更改密碼，原因是用戶的Adobe ID疑似在其他網路服務遭到攻擊後資料外洩，該公司已重置了密碼。不過，究竟有多少人可能會受到影響？Adobe並未進一步說明。</p> <p><a href="https://www.reuters.com/technology/tesla-workers-shared-sensitive-images-recorded-by-customer-cars-2023-04-06/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">特斯拉汽車的攝影機擷取影像傳出遭原廠不當取得與使用狀況，該公司員工竟私自拿來取樂，有侵犯客戶隱私疑慮</span></strong></a></p> <p>為提升行車安全、改進自動駕駛技術，特斯拉於車身多處安裝攝影機，但傳出該公司員工竟然可以觀看這些鏡頭錄製的影像。根據路透社的報導，他們取得約12名前員工的說法，該公司員工從2019年至2022年，能看到該廠牌汽車的攝影機，甚至會在內部網路環境互相分享。</p> <p>其中有人看過特斯拉將騎單車的孩童撞飛的的驚悚畫面，也有受訪者因此看過車主家中的環境，亦有部分前員工表達因為用戶隱私不受到尊重，他們不會購買特斯拉。再者，有受訪者指控，最初協助特斯拉自動駕駛系統標註影像內容承包商Samasource，相關員工會將攝影機影片擷圖並加工，並分享取樂。</p> <p>對此，特斯拉、合作業者Samasource並未做出回應。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-ransomware-gang-targets-us-orgs-with-empty-data-leak-threats/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國企業遭到駭客組織Midnight鎖定，聲稱加密檔案進行勒索</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，駭客組織Midnight自3月16日，開始針對美國企業寄送勒索信件，假借勒索軟體駭客Silent Ransom Group（Conti旗下組織）、資料掮客Luna Moth等名義，聲稱加密了受害組織的系統，並竊得大量的機密資料。</p> <p>駭客揚言，若是收信人不從，將會面臨法律訴訟，或恐嚇其所屬企業將遭到DDoS攻擊，網站運作停擺。而根據資安業者Kroll的調查報告指出，從3月23日起，越來越多組織收到Silent Ransom Group的勒索信。</p> <p><a href="https://www.avanan.com/blog/phishing-from-quickbooks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用Quickbooks服務發動商業詐騙郵件攻擊</span></strong></a></p> <p>過往駭客發動商業郵件詐騙（BEC）攻擊，往往是註冊與受害組織相似的網域名稱來犯案，但現在出現改用合法雲端服務的新手法。資安業者Avanan揭露濫用雲端會計系統QuickBooks的攻擊行動，他們看到駭客假借寄送防毒軟體NortonLifeLock續訂通知信的名義，通知收信人若是不想訂閱，需撥打客服電話取消自動扣款。</p> <p>研究人員指出，這封信內容完全沒有錯字，而且從QuickBooks寄出，一般郵件安全系統都會放行，唯一能發現破綻的地方就是電話號碼──他們透過Google搜尋，得知此號碼已被用於醫療保險詐騙。對此，研究人員呼籲使用者若是想要使用信上的電話號碼來聯繫對方，應該先透過網路搜尋進行確認，而不是傻傻地照著信件內容的電話號碼去確認是否真有此事。</p> <p><a href="https://blog.talosintelligence.com/typhon-reborn-v2-features-enhanced-anti-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路攻擊者將零信任概念發揮到極致！竊資軟體Typhon Reborn一口氣納入近20種反分析機制</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RebornV2-image8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RebornV2-image8.png" style="width: 200px; float: right;" /></a>思科威脅情報團隊Talos揭露竊資軟體Typhon的近期動態，駭客自今年1月在暗網宣傳Reborn V2的新版本，研究人員取得該惡意程式進行分析，結果發現駭客大幅修改其程式碼，並採用Base64演算法混淆程式碼，且藉由19道程序偵測受害電腦的環境，來防堵研究人員進行逆向分析。</p> <p>此竊資軟體先是確認GPU晶片資訊，檢查系統資訊，接著搜尋是否存在資安軟體的DLL元件，以及查詢電腦的廠牌、型號、處理器ID（CPUID）等，過程中甚至會檢測電腦裡是否有Wine元件、特定分析工具的處理程序與登錄檔等。此外，駭客也在該惡意程式裡加入抓取特定類型檔案的新功能。</p> <p><a href="https://blog.cyble.com/2023/03/29/creal-new-stealer-targeting-cryptocurrency-users-via-phishing-sites/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Creal將加密貨幣用戶帶往釣魚網站，進而挾持YouTube頻道管理員帳號</span></strong></a></p> <p>資安業者Cyble針對<a href="https://www.theverge.com/2023/3/24/23654996/linus-tech-tips-channel-hack-session-token-elon-musk-crypto-scam">3月24日超過千萬用戶訂閱的YouTube頻道Linus Tech Tips遭駭的事故</a>進行調查，當時駭客先是入侵該頻道，清空裡面的影片並上傳2個加密貨幣詐騙的影片，有人認為這事故的起因是竊資軟體攻擊，導致管理者連線階段的Cookie遭竊，而讓駭客能存取YouTube帳號。</p> <p>研究人員進一步調查發現，發動攻擊的很可能是名為Creal的竊資軟體。因為，他們先是發現偽冒挖礦平臺Kryptex的釣魚網站，然後尋線找到此款竊資軟體50款檔案，以及公開於GitHub的原始碼。</p> <p>他們研判駭客這麼做的最終目的，是經由以Chromium打造的瀏覽器、即時通訊軟體、遊戲平臺、加密貨幣錢包來盜取資料，並傳送到攻擊者的Discord頻道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://medium.com/@evan.connelly/post-account-takeover-account-takeover-of-internal-tesla-accounts-bc720603e67d"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">特斯拉客戶關係管理系統TRT出現漏洞，恐導致員工帳號遭到接管</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_EDFEKJ4qR0RbEDK3rMS4-Q.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_EDFEKJ4qR0RbEDK3rMS4-Q.png" style="width: 300px; float: right;" /></a></p> <p>研究人員Evan Connelly揭露特斯拉客戶關係管理系統Tesla Retail Tool（TRT）的漏洞，此應用系統平時由該公司的員工及供應商使用，可提供財務、電力網路、特斯拉據點等公司內部的詳細資料。</p> <p>研究人員發現，該公司的離職員工帳戶仍然可存取此系統，攻擊者一旦利用這項漏洞，就有可能用前員工的電子郵件信箱，在此系統當中註冊外部人士帳號，之後再透過該員工原有的權限來存取TRT系統。</p> <p>研究人員指出，該系統根據使用者的電子郵件帳號判斷存取權限，但並未檢查使用者是來自公司內部還是供應商所致。Evan Connelly在2022年11月19日透過特斯拉的漏洞懸賞計畫進行通報，該公司於2天內完成修補。</p> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-two-zero-days-exploited-to-hack-iphones-and-macs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補2個零時差漏洞，影響範圍涵蓋行動裝置與電腦</span></strong></a></p> <p>4月7日蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1，當中修補了2個已被利用的零時差漏洞CVE-2023-28205及CVE-2023-28206。</p> <p>前者為iOSurfaceAccelerator元件的記憶體越界寫入（Out-of-Bounds Write）漏洞，惡意程式可藉此取得核心權限，進而執行任意程式碼。CVE-2023-28206則與瀏覽器排版引擎WebKit有關，為記憶體釋放後濫用（UAF），攻擊者可引誘使用者存取惡意網頁，進而於裝置上執行惡意程式碼。</p> <p>蘋果並未透露上述漏洞的風險層級，但資安業者Tenable指出兩者皆為重大漏洞。</p> <p><a href="https://www.theregister.com/2023/04/07/twitter_code_cve_substack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">推特公開的演算法被找出漏洞，恐被用於惡搞特定人士的帳號</span></strong></a></p> <p>3月底推特一如預告公布部分的原始碼供外界檢視，研究人員Federico Andres Lois發現其推薦演算法存在漏洞CVE-2023-23218，攻擊者可控制大量帳號形成殭屍網路，對特定帳號取消追蹤、消音、封鎖、檢舉等多種負面行為，進行影子封鎖（Shadow Banning）攻擊，導致目標帳號的名譽評價降低，其他用戶無法讀取他的推文，但受害用戶完全不知道自己被「懲罰」。</p> <p>研究人員指出，上述漏洞很可能會被政黨或是組織操弄，用於攻擊不同觀點的推特用戶，且自3月已出現多起攻擊行動。至於該漏洞是否得到修補？推特並未進一步說明。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/04/06/cisa-releases-seven-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對Hitachi Energy、mySCADA工控系統的重大漏洞提出警告</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於4月6日，針對mySCADA、Hitachi Energy等廠牌的SCADA控制器重大漏洞提出警告。其中最嚴重的漏洞，出現在mySCADA myPRO，以及Hitachi Energy旗下的MicroSCADA系統資料管理員SDM600。</p> <p>其中，出現於myPRO系統的是CVE-2023-28400、CVE-2023-28716、CVE-2023-28384、CVE-2023-29169、CVE-2023-29150，皆為作業系統的命令注入漏洞，CVSS風險評分為9.9；出現於SDM600的漏洞為CVE-2022-3682，此漏洞出現於檔案權限驗證流程，CVSS風險評分亦為9.9。</p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-available-for-critical-bug-in-vm2-javascript-sandbox-library/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對VM2沙箱程式庫重大漏洞發布概念性驗證程式碼</span></strong></a></p> <p>韓國科學技術院（KAIST）揭露JavaScript沙箱程式庫VM2的漏洞CVE-2023-29017（CVSS風險評分為10分），此程式庫在NPM套件庫每月被下載超過1,600萬次，廣泛應用於整合式開發環境（IDE）、程式碼編輯器、滲透測試框架，影響範圍相當廣。最近KAIST的研究人員於GitHub公布兩種概念性驗證（PoC）程式碼，並指出他們能藉由該漏洞逃逸VM2沙箱，覆寫名為flag的檔案，起因是VM2並未妥善處理在async功能裡發生的錯誤。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.mnews.tw/story/20230409sot18011"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣大學網站再傳遭駭，影響學生線上學習與申辦業務</span></span></strong></a></p> <p><a href="https://www.securityweek.com/secret-us-documents-on-ukraine-war-plan-spill-onto-internet-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國與北約組織的烏克蘭戰爭的軍事機密資料傳出在網際網路上公開</span></span></strong></a></p> <p><a href="https://blog.google/threat-analysis-group/how-were-protecting-users-from-government-backed-attacks-from-north-korea/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織APT43鎖定政府機關而來，發動Archipelago攻擊</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客MuddyWater發動資料破壞攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/uk-criminal-records-office-confirms-cyber-incident-behind-portal-issues/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對線上服務停擺，英國警政機關ACRO證實遭到網路攻擊所致</span></span></strong></a></p> <p><a href="https://cofense.com/blog/phishing-emails-increased-in-2022-according-to-annual-report-from-cofense/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2022年釣魚郵件較前年增加569％</span></span></strong></a></p> <p><a href="https://www.infosecurity-magazine.com/news/uk-offensive-cyber-capabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國揭露進攻性網路防禦原則</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156300">【4月7日】英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156264">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156233">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</a></strong></p> </div></div></div>
2023/4/10 16:59作者周峻佑https://www.ithome.com.tw/news/156319
國科會提前膽布局，明年將擴大布局6G
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會今天（4/10）召開第4次委員會議，因應下一代行動通訊網路國際趨勢發展，提報6G前瞻布局，規畫我國6G發展願景、策略，在國科會協助之下，衛福部也規畫台灣健康大數據單一窗口服務網站。</p> <p>國科會指出，4G到5G，從改變用戶體驗，到5G帶動物聯網，為產業賦能創造更大價值，未來到了2030年，全球將進入6G，除了超高速、高同步外，還帶來全域覆蓋、AI/感知能力，其影響更為全面。目國際標準組織ITU-R已規畫6G的11項應用情境，涵蓋AI、永續、製造、安全、健康等方面，與政府未來發展方向相符合。</p> <p>未來我國推動6G的發展願景是，成為社會與經濟可持續發展的強韌國家，透過6G技術實現創新應用（賦能）、擴大網路覆蓋（平權）、可信賴網路環境（可信任）、高效低耗能網路（永續）4項主軸。為及早布局6G，國科會將和國發會、經濟部、數位部跨部會合作，發展次世代行動通訊技術，具體的策略方向，包括投入6G關鍵技術研發、6G AI原生技術、學術研發及國際合作、6G應用驗證、6G永續節能技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-04-10%20%E4%B8%8B%E5%8D%887_56_35.jpg" style="width: 600px; height: 344px;" /></p> <p>國科會主委吳政忠表示，國科會將在2024年擴大投入6G布局。由於6G採用更高的無線頻率，並結合低軌衛星，未來人與萬物聯網將更為綿密，影響層面和4G、5G有相當大的差異，聯網所帶來的大數據蒐集、人工智慧應用，將對民眾的生活帶來很大的影響。6G不只是技術發展，未來也會對人文社會帶來巨大影響。雖然5G在2020年開始，目前距離6G真正進入使用仍有一段時間，但現在提早布局6G會是很好的時間點。政府布局6G也包括IC晶片設計。</p> <p>吳政忠指出，6G不只是人與物的聯結，通過低軌通訊衛星，從上而下觸及到每個地方，不論陸地或海上，例如海上遊輪、漁船過去依靠中軌、高軌衛星通訊，通訊受到限制，低軌衛星能提供幾乎即時的連接，價格也能降低，未來全部的人與物聯結在一起，帶來更大的影響。未來6G、大數據、人工智慧結合後，進一步滲透人們的生活，可能產生好的或壞的影響，這些都需要及早因應。</p> <p> </p> </div></div></div>
2023/4/10 20:05作者蘇文彬https://www.ithome.com.tw/news/156328
Amazon全面禁售駭客工具Flipper Zero
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/technology/flipper-zero-banned-by-amazon-for-being-a-card-skimming-device-/" target="_blank">根據《Bleeping Computer》的報導</a>，Amazon已於近日全面撤下平臺上的滲透測試工具Flipper Zero，理由是它可用來側錄使用者的信用卡。</p> <p>Flipper Zero是一個專門設計用來與存取控制系統互動的裝置，<a href="https://www.kickstarter.com/projects/flipper-devices/flipper-zero-tamagochi-for-hackers" target="_blank">最初是透過Kickstarter集資</a>，號稱整合了所有研究及滲透所需的硬體工具，它的外型就像個可攜式遊戲機，且可單獨使用，不必藉由手機或電腦來控制。</p> <p><a href="https://flipperzero.one/" target="_blank">根據Flipper Zero官網上的說明</a>，它可與生活上的各種數位系統互動，涵蓋存取控制系統、RFID、各種無線電協定，還能利用GPIO來替硬體除錯。</p> <p>許多Flipper Zero用戶也經常於網路上分享該裝置的能力，包括用它來開啟車庫門、解鎖汽車、攔截藍牙訊號，或是存取他人的電腦等。</p> <p>Flipper Zero的售價為169美元，2022年才開始出貨，它同時透過官網與經銷網路銷售。然而，根據報導，Amazon上周發函給在該平臺出售Flipper Zero的各個賣家，指出該裝置已被禁售，還要求這些賣家檢視自己的其它商品是否違反了Amazon的產品銷售政策，最嚴重可能面臨帳號被撤銷的懲罰。</p> <p>Amazon向賣家表示，Flipper Zero已被斷定為側錄裝置，而這原本就是違反Amazon政策的產品。不過，Flipper Devices執行長Pavel Zhovner向《Bleeping Computer》澄清，該裝置並未具備側錄金融卡的功能，已請求Amazon重新考慮。</p> <p>不只是Amazon，巴西政府不僅拒絕Flipper Zero的所有設備認證請求，也扣押了企圖進口至該國的Flipper Zero，理由是擔心它會成為犯罪工具。</p> </div></div></div>
2023/4/10 16:02作者陳曉莉https://www.ithome.com.tw/news/156318
Google的Nest Secure、Dropcam產品2024年4月終止支援引發用戶不滿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有一群被Google收購的產品要成為孤兒。<a href="https://www.googlenestcommunity.com/t5/Blog/An-update-for-our-Nest-Secure-Dropcam-and-Works-with-Nest-Users-and/ba-p/391449" target="_blank">Google上周宣布</a>將在2024年4月8日終止支援其Nest Secure中央溫控及Dropcam攝影機兩系列硬體裝置，此外，Google也將終止Works with Nest整合計畫，影響第三方裝置。不少用戶對此表達不滿。</p> <p><a href="https://www.ithome.com.tw/news/121235" target="_blank">Google在2014年收購</a>以開發溫控裝置、煙霧警報器的Nest以及連網攝影機業者<a href="https://www.ithome.com.tw/news/88838" target="_blank">Dropcam</a>，並將兩者合併為Nest Secure產品線。2020年該公司和美國最大保全及家用自動化業者ADT合作，後者將Nest Secure產品整合在其服務中。</p> <p>Google表示，和ADT合作後，這家業者已能提供裝置及服務，為此Google將在明年4月終止支援Nest Secure。這天之後，用戶將無法再透過Nest App操作Nest Secure裝置，這些裝置也無法連網。至於Dropcam（包括Dropcam Pro），也將在同一天起終止運作，Google的理由是，它太老舊，持續提供產品更新「變得愈來愈困難」。</p> <p>為安撫Nest Secure中央溫控或煙霧警報器的用戶，Google將提供ADT的產品取代，或是Google Store價值200美元的抵用金。針對Dropcam產品，用戶若現在為Nest Aware服務訂閱戶，將獲得室內用攝影機Nest Cam產品替代，若非訂閱戶，則只能獲得半價優惠。</p> <p>此外，Google 2014年透過Works with Nest合作方案，讓Nest的Weave通訊協定開放第三方裝置支援，讓使用者也可以透過Nest App關閉智慧電燈或其他支援產品。2019年Google宣布將關閉Works with Nest，以便推廣新的Works with Google Assistant方案。</p> <p>Google表示，Works with Nest將在今年9月29日終止運作。接下來幾個月Google會提供腳本編輯器程式，讓用戶自行和其他裝置整合，同時也會和其他經銷商合作產品汰換服務。</p> <p><a href="https://www.theverge.com/2023/4/7/23673165/google-nest-dropcam-nest-secure-eol" target="_blank">Google對《The Verge》表示</a>，這項決定將影響WWN（World Wide Node Name）連線，包括舊的Alexa技能、和Google Assistant早前的整合，和Nest早前整合的軟體如IFTTT、Lutron等，以及使用WWN平臺自行開發的個別開發商等。</p> <p>Nest Cam連網攝影機產品不受這波宣布影響。</p> <p>Dropcam用戶認為剛好可以換成新Google新產品。但有更多用戶對此不滿。用戶表示他們在舊的Nest產品，或是整合Google Nest上花了數百甚至數千美元卻用不到10年，Google買下Nest毁了這家公司，之後棄用戶於不顧，還強推新商品。並有人呼籲Google應該將Nest開源，方便第三方廠商或個別開發商自行維護。</p> </div></div></div>
2023/4/10 13:40作者林妍溱https://www.ithome.com.tw/news/156315
荷蘭政府將全面導入RPKI標準以防範BGP挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.forumstandaardisatie.nl/nieuws/secured-internet-routing-dutch-government-end-2024" target="_blank">荷蘭政府於今年4月宣布</a>，在2024年年底前，荷蘭政府旗下的所有IT系統都必須導入資源公鑰基礎設施（Resource Public Key Infrastructure，RPKI）標準，以避免邊界閘道協定（Border Gateway Protocol，BGP）遭到挾持。</p> <p>RPKI為一用來保護網路流量路由的開放標準，透過數位憑證來確認流量的路由是否來自原始網路供應商，集中存放的憑證可讓全球網路業者存取與驗證，避免路由外洩或是網路流量遭到挾持。導入RPKI有兩個步驟，一是由自治系統（AS）簽署路由來源授權（Route Origin Authorization，ROA）紀錄來證明其IP空間的合法來源，二是各AS可藉由ROA來避免選擇無效路由。</p> <p>不管是荷蘭外交部的IP位址在2014年遭到保加利亞電信營運商暫時挾持，或者是<a href="https://www.ithome.com.tw/news/131157" target="_blank">歐洲的行動流量在2019年不慎被導至中國電信的網路架構</a>等意外事件，都可受到RPKI的保護。</p> <p>其實荷蘭政府早在2019年便規定新採購案必須以RPKI為準，最新的政策則是要求所有既有的IT系統與服務都必須在明年底前升級至RPKI。目前荷蘭政府旗下所有網站已有77.9%採用RPKI，電子郵件伺服器亦有75.1%採用RPKI。</p> <p>過去幾年，資安業者不斷呼籲各界應利用RPKI來強化全球路由的安全性，<a href="https://blog.cloudflare.com/rpki-updates-data/" target="_blank">根據Cloudflare去年底的估計</a>，全球RPKI系統上已存放了近40萬個IPv4 ROA與逾8.6萬個IPv6 ROA，採用率約為40%。</p> </div></div></div>
2023/4/10 13:56作者陳曉莉https://www.ithome.com.tw/news/156316
推特開源的推薦演算法被發現有惡意屏蔽漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特開源推薦演算法才公布一個星期，<a href="https://github.com/twitter/the-algorithm/issues/1386" target="_blank">就被研究人員發現有漏洞</a>，可導致用戶帳號遭到惡意屏蔽（shadow banning）攻擊。</p> <p>所謂惡意屏蔽是指在社交媒體或部落格上，對用戶推文或文章施行封鎖、消音、負面評論等方法，使其帳號在社交平臺評等降低，導致其他用戶無法讀取其推文，但用戶本身並不知道自己遭到懲罰。</p> <p>推特在上周為實現馬斯克（Elon Musk）平臺運作透明化的承諾，而開源其「為你推薦」區呈現推文的演算法。研究人員Federico Andres Lois在檢視演算法程式碼時發現，當中存在漏洞，使攻擊者透過控制大量用戶帳號形成殭屍網路（botnet），對特定帳號聯合發送負面訊號，像是取消追蹤、消音、封鎖、檢舉等行為，形成類似阻斷服務（denial of service）的攻擊，造成其名譽評分降低。<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-29218" target="_blank">該漏洞已被列為CVE-2023-23218</a>，從3月起已發生多起攻擊。但技術細節並未公布。</p> <p>欲複製這種攻擊，攻擊者也可以號召一群觀點相同的使用者，以任何理由封鎖特定帳號，就可以產生DoS攻擊。此類手法可以被政黨或組織用來攻擊不同觀點的其他使用者。</p> <p>Lois指出，這種攻擊中，使用者不知道自己推文被屏蔽，就算知道也無法改變行為來回復，而且這類攻擊效果會累積，無論作者本身怎麼推文，都抵不過眾多負面訊號造成的減分效果。</p> <p><a href="https://twitter.com/elonmusk/status/1642324821324230657" target="_blank">推特執行長馬斯克回應</a>，若有人能糾出殭屍網路攻擊的元兇並使其定罪，將犒賞百萬美元。</p> <p>事實上，若撇開漏洞不談，惡意屏蔽或許並不是真的惡意，而是真的被取消關注了。例如馬斯克今年2月發現其推文觸及率降低，他相信有引發惡意屏蔽的臭蟲，但旗下工程師拒絕幫他解決「臭蟲」，認為只是粉絲對他不再感興趣。但這位工程師遭到馬斯克開除，<a href="https://www.ithome.com.tw/news/155501" target="_blank">這位CEO很快就叫其他人解決掉該問題</a>。</p> </div></div></div>
2023/4/10 10:40作者林妍溱https://www.ithome.com.tw/news/156311
蘋果緊急修補iOS、iPadOS及macOS Ventura 2零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周五緊急釋出<a href="https://support.apple.com/zh-tw/HT213720" target="_blank">iOS及iPadOS 16.4.1</a>，以及<a href="https://support.apple.com/en-us/HT213721" target="_blank">macOS Ventura 13.3.1</a>更新，以修補兩個已經遭濫用的零時差漏洞。</p> <p>根據蘋果的安全公告，這次修補的漏洞分別為CVE-2023-28205及CVE-2023-28206。CVE-2023-28206位於iOSurfaceAccelerator的越界寫入（out-of-bounds write）漏洞，可能讓惡意應用程式以核心權限執行任意程式碼。</p> <p>CVE-2023-28205則位於WebKit，為一使用已釋放記憶體（use after free）漏洞。攻擊者可設立惡意網頁，引導iOS裝置用戶存取，致使惡意程式碼在裝置上執行。</p> <p>兩個漏洞都是由Google威脅分析小組及Amnesty International安全實驗室研究人員Donncha Ó Cearbhaill發現及通報。更重要的是，蘋果警告，兩個漏洞都已遭人濫用。</p> <p>蘋果並未公布漏洞風險，<a href="https://www.tenable.com/plugins/pipeline/issues/136561" target="_blank">但安全廠商Tenable判定兩者皆屬於重大風險漏洞</a>。</p> <p>受到2漏洞影響的產品包括iPhone 8以上、iPad Pro（所有機種）、iPad Air 3以上、iPad 5以上、iPad mini 5以上產品，以及macOS 13 Ventura。舊版iOS、iPad及macOS產品則尚沒有更新版軟體可用。</p> </div></div></div>
2023/4/10 11:11作者林妍溱https://www.ithome.com.tw/news/156312
AI趨勢周報第212期：只用300美元，美頂尖大學聯手訓練出類GPT-4模型Vicuna
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0331～0406)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">GPT-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vicuna </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美頂尖大學聯手用300美元訓練出類GPT-4的大型模型Vicuna</strong></span></p> <p>在史丹佛大學用600美元打造ChatGPT複製版的模型Alpaca後，包含CMU、加州大學柏克萊分校、史丹佛大學和加州大學聖地牙哥分校在內的幾間美國頂尖大學，共同打造並開源一款類GPT-4的大型語言模型Vicuna，具130億參數，產出的回答可達等同ChatGPT九成的品質，且比Meta的LLaMA和史丹佛大學的Alpaca還要好，但訓練成本才300美元左右。</p> <p>Vicuna的訓練資料來自微調後的LLaMA，以及從ShareGPT收集的對話。ShareGPT是一個讓使用者分享自己與ChatGPT對話的網站，團隊在該網站收集了7萬多個對話，並強化了Alpaca產出的訓練腳本，來加強模型對多輪對話和長序列文字的能力。他們在1天內，以8個A100 GPU和PyTorch FSDP完成Vicuna的訓練，後來，團隊也設置80個多元的問題，讓不同模型來回答問題，並以GPT-4來評估這些模型的回答，包括Vicuna、Alpaca、ChatGPT和LLaMA。其中，Vicuna的總分是ChatGPT的92%，且生成的答案比Alpaca還要詳細、更有結構。但團隊指出，Vicuna在程式碼生成和基本數學問題的表現仍有待加強，且安全性也需進一步強化。<a href="https://vicuna.lmsys.org/">（詳全文）</a></p> <p><img alt="" src="https://vicuna.lmsys.org/assets/vicuna/overview.png" /></p> <p><img alt="" src="https://vicuna.lmsys.org/assets/vicuna/chart.svg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> UC Berkeley </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Koala </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>UC Berkeley打造研究查詢專用對話模型，打下LLM私有化基礎</strong></span></p> <p>加州大學柏克萊分校（UC Berkeley）最近發表一款對話式大型語言模型Koala，可回答研究相關的查詢問題，甚至模型產出的多數答案，比史丹佛大學的Alpaca模型要好，且至少一半的答案品質與ChatGPT相當。</p> <p>進一步來說，團隊先是收集網路上的對話資料，包括來自公開資料集和高品質的生成式AI對話，如ChatGPT/ShareGPT、Alpaca等，來微調Meta的LLaMA模型，並以此來訓練Koala模型。他們從ShareGPT收集的對話有6萬個示例，後來精簡為可用的3萬個，並採用HC3英語語料庫中人類與ChatGPT的問答共8萬7千多例，來訓練Koala。不只如此，他們也從Alpaca、開放式資料集OIG、OpenAI WebGPT等處收集高品質的訓練資料，並打造70億參數和130億參數版本的Koala。</p> <p>後來，團隊透過Amazon Mechanical Turk群眾外包平臺來評估Koala和Alpaca的效能，也就是讓100位使用者評比哪種回答較好，發現近一半的回答評為比Alpaca好，近70%則與Alpaca相當或比它好。團隊指出，雖然Koala的安全性和一致性仍有很大的進步空間，但與其他LLM相比，這種採用少量高品質資料訓練而成的模型，效能與千億參數的LLM相當，等於提供一種LLM私有化的發展基礎，也就是能自行訓練出等同於科技巨頭的大型語言模型。<a href="https://bair.berkeley.edu/blog/2023/04/03/koala/">（詳全文）</a></p> <p><img alt="" src="https://bair.berkeley.edu/static/blog/koala/model.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ViT-22B </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google將ViT擴大到220億參數，還結合LLM來執行機器人任務 </strong></span></p> <p>Google在3月底發表一篇部落格文章，說明團隊如何將Transformer電腦視覺模型ViT擴展至220億個參數，也就是ViT-22B，比之前同類型最大模型ViT-e大了5.5倍（原40億參數）。早在2月，團隊就已發表ViT-22B論文，這次則說明模型擴展方法，也就是結合了如PaLM模型採用的擴展方法，同時運用QK正規化來改善訓練穩定度，以及非同步平行線性操作來改善訓練效率。</p> <p>也由於ViT-22B有新架構和更有效率的分片配方，所以能在硬體利用率高的Cloud TPU訓練。此外，ViT-22B也因為使用凍結表示（Frozen representation）或全微調，因而在許多電腦視覺任務上都達到SOTA等級。特別的是，ViT-22B還能整合到擴展版的大型語言模型PaLM-e中，成功執行電腦視覺和自然語言任務，大幅提高機器人任務能力。<a href="https://ai.googleblog.com/2023/03/scaling-vision-transformers-to-22.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh4CdGZ16pDbbg-JG7xLv9tEIOWgGMU76nZhj8-7wShzNmxdYbZYnm8w8sbYxE0f7Re3m2ifTuhla_JjZNuuVWpYacvAPc_OAEPMZ4JAOfyXnL6IXunXeRwZrElZ80lBytEmCVTPig9aHRvxMActq46P2UXwzineeLm5EotSuKsdhpVMa3GKiPN3g8cKw/s16000/image3.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全性 </span></strong></span></p> <p><span style="font-size:22px;"><strong>等了6個月才發表GPT-4，OpenAI揭露AI安全性作法</strong></span></p> <p>儘管生成式AI帶來各種可能，也隱含不少安全風險。OpenAI近日公開AI安全性做法，他們指出，在發表任何新系統前，團隊都會進行一系列嚴謹的測試，並請外部專家提供回饋，藉由這種人工回饋強化學習技術來優化模型表現，同時打造監控系統，來觀測模型使用狀況。</p> <p>OpenAI透露，正因此，他們訓練完GPT-4後，額外花了6個多月來評估模型，確保模型的安全性和一致性，並有強大的監控系統，來防範濫用情況，比如使用者試圖上傳兒童性虐相關素材時，該系統會阻止該行為並通報美國受虐兒童中心。此外，OpenAI也與非營利組織Khan Academy合作，共同開發符合安全規範的AI助手，來作為學生的虛擬老師，也是老師的課堂助手。OpenAI同時也正開發輸出設定功能，要讓開發者用來調整模型輸出，能更嚴格控管輸出內容。</p> <p>同時，OpenAI也主張從實際應用來改善AI安全性。因為，僅在實驗室中評估，無法預測人們所有的運用方式。於是，OpenAI透過API提供模型技術，讓開發者將模型嵌入自己的應用程式，這種方法，讓OpenAI可掌握濫用行為並有所作為，也能從現實經驗中來制定更細緻的政策，來預防濫用風險。雖然現在只有ChatGPT Plus的訂閱用戶可使用GPT-4，OpenAI表示，他們希望以後能讓更多民眾使用。<a href="https://openai.com/blog/our-approach-to-ai-safety">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 圖像分割 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 訓練資料集 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開源圖像分割AI模型和訓練資料集</strong></span></p> <p>Meta最近開源圖像分割AI模型和訓練資料集，也就是Segment Anything Model（SAM）和Segment Anything 1-Billion（SA-1B）。圖像分割（Image segmentation）是電腦視覺的重要技術之一，它能辨識特定物件的像素，並將這些像素遮罩起來，就像是替特定物件著色一樣。圖像分割可用於多種領域，如相片編輯，但要建立準確的圖像分割模型，得要有大量標註的資料，以及模型基礎架構。</p> <p>於是，Meta發起Segment Anything專案，要打造圖像分割底層模型，來降低建模、打造基礎架構和資料標註的門檻。他們訓練的SAM模型經多元資料和不同任務訓練，可像NLP模型一樣按照提示執行，而且SAM可為圖像和影片中任何物件產生遮罩，包含訓練時未遇過的物件和圖像類型，涵蓋多種應用情境，甚至是水底相片或細胞顯微影像等新型應用領域。Meta指出，SAM還能作為大型AI系統的一部分，或整合提示工程來發展多模態應用，如理解網頁影像和文字內容，或用於AR/VR系統中，來根據使用者視線選擇物件，再將這個物件升級為3D物件。<a href="https://ai.facebook.com/blog/segment-anything-foundation-model-image-segmentation/">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.2365-6/338558258_1349701259095991_4358060436604292355_n.png?_nc_cat=104&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=GkL6VpgbExgAX9b2Vw8&_nc_ht=scontent-tpe1-1.xx&oh=00_AfBMBMyFkSzKwZR_SZJqDZEwO6Bc2Fxh8ike_Nc106f1AQ&oe=64382C09" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VS Code </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式碼 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot Chat </span></strong></span></p> <p><span style="font-size:22px;"><strong>VS Code 1.77新預覽功能，開發者在程式碼行內就能與AI對話</strong></span></p> <p>微軟最近推出新版開發環境VS Code 1.77，新版本加強了GitHub連結，還提供TypeScript/JavaScript的switch陳述式自動完成功能，開發者也能使用最新的Copilot Chat整合功能，在編輯器內直接向AI提問、得到程式碼建議。</p> <p>進一步來說，VS Code 1.77與Copilot Chat更深度整合，Copilot會在開發者處理程式碼時，直接在程式碼行內顯示建議，開發者也可隨時在程式碼編輯器中向Copilot提問，並要求Copilot尋找程式碼內的臭蟲或解釋程式碼的意義，甚至是建立測試。Copilot的對話框現在會出現程式碼的下方，供用戶輸入指令。開發者要使用這項深度整合功能，除了需要獲得Copilot Chat存取權限外，還要安裝GitHub Copilot Nightly版本擴充套件，以及Insiders版本VS Code。<a href="https://code.visualstudio.com/updates/v1_77#_github-copilot">（詳全文）</a></p> <p><img alt="" src="https://code.visualstudio.com/assets/updates/1_77/slash-commands-example.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Databricks </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 製造業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖倉 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks推出製造業資料湖倉，加速資料分析和AI開發</strong></span></p> <p>Databricks近日推出製造業資料湖倉平臺（Lakehouse for Manufacturing），在自家原有的核心資料湖倉平臺上，開發出適合製造業的資料分析解決方案和預建加速器，來支援數位雙生、物料預測、設備效率分析等應用。</p> <p>Databricks資料湖倉是一種新型資料架構，整合了資料湖和資料倉儲，可同時處理結構化和非結構化資料，且支援即時的資料處理與分析。此前，Databricks就已針對醫療業和金融業等產業推出專用資料湖倉解決方案，現在進一步發展出製造業專用平臺，單一平臺就能處理製造業因龐大資料量而產生的儲存和倉儲連結問題，並統合結構化與非結構化資料分析作業，改善過去分析碎片化問題。此外，使用者還還能採用，支援各種工業資料應用的內建解決方案加速器，來加速數位雙生、物料預測、設備效率分析、電腦視覺和預測性維護等應用的開發。<a href="https://www.databricks.com/blog/2023/04/04/the-lakehouse-for-manufacturing">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta預計下半年用AI生成廣告</strong></span></p> <p>Meta技術長安德魯．博斯沃思（Andrew Bosworth）日前透露，Meta要在廣告業務中，大量使用AI來替企業客戶生成廣告，預計今年下半年開始。博斯沃思接受日經亞洲採訪時，說明Meta將以AI來改善核心業務，旗下產品Facebook、WhatsApp和Instagram會先開發由AI生成的廣告給受眾。</p> <p>他指出，Meta幾個月前剛成立生成式AI團隊，是他與執行長祖克柏和產品長Chris Cox投資最多時間和精力的專案。而該團隊的目標，就是要用AI來優化文字訊息（應用於WhatsApp和Messenger）與圖像生成（如Instagram濾鏡和廣告），透過AI生成廣告也是目標之一，甚至未來，Meta希望透過大型語言模型來建立3D模型，進而推動虛擬世界和元宇宙業務發展。<a href="https://asia.nikkei.com/Business/Technology/Meta-to-debut-ad-creating-generative-AI-this-year-CTO-says">（詳全文）</a></p> <p>圖片來源／CMU、UC Berkeley、Google、Meta、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 華為打造參數破兆的大型語言模型盤古-Σ</strong></p> <p>資料來源：iThome整理，2023年4月</p> </div></div></div>
2023/4/9 00:04作者王若樸https://www.ithome.com.tw/news/156310
Nvidia雲端新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1124-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=knFNeRMM" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GTP-4發表不到一周，當全世界再次感受到生成式AI的新威力時，Nvidia趁勢發表了全新的商業模式，這一次不只賣斷AI軟硬體，更要打造雲端AI工廠，讓企業按月租用AI超級電腦</p> </div></div></div>
2023/4/10 00:00作者王宏仁https://www.ithome.com.tw/article/156287
小電商迎戰巨頭規模戰如何突圍，全面靠數據驅動營運是關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電商競爭越來越激烈，沒有個幾十億資本，連在市場上存活都很辛苦。」電商集團創業家兄弟技術長暨資安長林尚蔚直言。他說，擁有雄厚資本的大型電商，不僅商品成本和售價可以更有競爭力，還有各式非金錢資源可以支援。相較之下，中小型電商投資技術、人力及行銷活動很難一擲千金，需優化內部效率，來提升競爭力。</p> <p>旗下有快消品選務電商生活市集及家居電商松果購物的創業家兄弟，就是這類中小電商。資本拚不贏電商巨頭，創業家兄弟除了鞏固市場定位，還要盡可能優化溝通、決策及營運效率，更善用新興科技優化甚至推出創新服務。</p> <p>全面推動數據驅動文化是其中最重要的一項做法。現在，創業家兄弟大部分部門都配有專責資料商業分析師，不用請IT進系統撈取數據，便能快速從BI工具中整理出第一線營運報表。他們把數據用於精準行銷、個人化購物體驗、消費者終身價值分析，未來還要用數據開發更多應用，例如個人化室內設計模擬、和更精準的商品及內容推薦。「數據已經內化到我們日常工作流程中，成為共同語言。」林尚蔚說。</p> <p>要做到這件事，對創業家兄弟來說，尤其不容易，因為集團是由松果購物與生活市集兩家截然不同的電商組成。林尚蔚說，兩家電商在商業模式、行事邏輯、工作流程都不盡相同，要做到集團上下都能用數據溝通，不僅需要底層數據技術相容，內部更需要做到對數據解讀認知相同。</p> <p>推動數據驅動文化的一大功臣，就是林尚蔚。2013年，他作為二號工程師加入創業家兄弟，後來調職到當時仍獨立營運的松果購物擔任技術長。由於求學期間研究資料探勘、機器學習等數據相關領域，他被指派到資料科學部門負責相關數據基礎設施的建立，調任到松果購物後，更成立了松果的資料科學部門，用相同方法建設數據蒐集數據。</p> <p>松果營運團隊整併到集團後，林尚蔚與創業家兄弟時任技術長李彥寬成為共同技術長，一同弭平集團內部對數據應用的認知差異，同時對齊了兩家電商的溝通模式和商業邏輯，進一步提升營運效率。</p> <p><span style="font-size:28px;"><strong>打造兩電商數據蒐集機制，意外奠定未來集團數據應用基礎</strong></span></p> <p>論及加入創業家兄弟以來推動最重要的事，林尚蔚說，是在生活市集建立數據蒐集機制，並於調任松果購物時使用同一套邏輯建設數據蒐集機制。創業家兄弟早期對數據科技的投資，使他們後續決定發展個人化推薦機制、精準行銷，乃至於AI應用時，都有充足數據來支援。</p> <p>雖然創業家兄弟很早就建立了資料蒐集機制，但林尚蔚坦承，起初只是無心插柳，「剛開始沒有想到未來數據可以怎麼用，只覺得電商必須要蒐集數據。」直到2016、2017年，創業家兄弟首次進行AI應用的PoC，才真正開始重視資料分析能力。因此2018年，他們正式成立了資料科學部門，發展各式數據應用。這之後，他們開發出不同的個人化推薦功能，例如客製化商品排序和個性化搜尋推薦等。去年開始，更集合行銷人員、數據工程師和資料科學家等跨領域人才，組成成長團隊，探索更多數據應用。</p> <p>要能做到這些事，不是數據結構相同就能做到。集團要推動數據驅動決策跟應用，還有關鍵的一步：統一內部人員解讀數據的方法。</p> <p><span style="font-size:28px;"><strong>設計統一格式營運數據報表，增進內部決策溝通效率</strong></span></p> <p>2020年，松果購物營運團隊正式合併到創業家集團中。時任兩名技術長，一方面為了使工作流程更協調、另一方面為了避免開發和維運的重工，開始整併IT部門。第一步是，統一集團內部使用數據驅動決策的模式。林尚蔚說，他們選擇優先推動數據工作流程統一，而非系統架構整併，是因為前者可以直接提升內部工作效率及消費者服務體驗，且對IT團隊開發效率影響甚小。</p> <p>統一數據工作流程首要之務，是對齊兩電商團隊對數據的定義。林尚蔚回憶，統一數據定義前，集團內有些看似數據驅動的討論，往往會淪於空談。他舉例，當時，松果購物和生活市集時常會請雙方工程師從各自資料庫中撈取資料來交叉比對，試圖比較雙方表現，來促進彼此經驗交流，「但這些數據真能比較嗎？」</p> <p>他舉例，若兩家電商想要從數據觀察如何提升廣告轉換率，會面臨多個數據定義分歧。首先是轉換率，要追蹤的行為是點擊還是購買？從曝光到行為的間隔是以時間計算、以Session（瀏覽器連線期）計算，還是其他指標？進站次數如何計算？流量來源的優先度排名是否統一？Organic Search（有機搜尋）流量的歸因和定義方法是否相同？他指出，這些數據名詞雖然概念相同，但背後細節定義不同，雙方數據就無從比較，「但當時很多人不太清楚，哪些數據真的能拿來比對。」</p> <p>為了讓兩家電商數據更容易比較，創業家兄弟數據工作流程統一的第一階段目標，是做出跨電商營運數據報表。為此，他們設立一個專案小組，囊括雙方人員，共同決定這個報表的呈現格式、數據指標及數據定義。林尚蔚說，企業如何用數據驅動決策，及背後的商業模式，應該要能在企業營運報表呈現出來。因此要設計這份新的營運報表，不只需對齊兩家電商對數據的定義，更要求雙方人員融會貫通彼此的商業模式，才能做到。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E6%8A%BD)%E6%9E%97%E5%B0%9A%E8%94%9A_%E5%89%B5%E6%A5%AD%E5%AE%B6%E5%85%84%E5%BC%9F.png" style="width: 600px;" /></p> <div><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></div> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>企業如何用數據驅動決策，及背後的商業模式，應該要能在企業營運報表呈現出來。── 創業家兄弟技術長暨資安長林尚蔚</strong></span></span></p> <p><span style="font-size:28px;"><strong>整合會員數據定義，同時對齊數據驅動行銷的操作邏輯</strong></span></p> <p>統一了營運數據的內部認知，下一步，創業家兄弟IT團隊著手統一會員數據定義，以利推動精準行銷。</p> <p>為了保護會員個資，生活市集和松果購物的會員資料儲存在各自資料庫中，兩家電商不能存取到彼此會員的個人資料。因此創業家兄弟採取的方法是，定義共同行銷邏輯和方法，再依此來統一會員數據定義跟指標。此階段，他們統一了商品回購周期、活躍客與流失客等行銷指標的定義，並對齊了會員興趣和行為的貼標邏輯。</p> <p>林尚蔚補充，統一行銷邏輯及數據定義，對創業家兄弟意義尤其重大。第一個原因是，他們沒有使用第三方行銷科技廠商的解決方案，行銷系統都是自力開發及維護，因此統一後，兩家各自行銷系統運作邏輯更接近，更易於管理。不只如此，創業家兄弟過去主要的行銷過去多為Line及App推播，以及Google關鍵字廣告，不過近年數位廣告價格大漲，且第三方Cookie即將退場，林尚蔚希望趁早完善前兩項利用自家數據來行銷的機制，不僅可以省下行銷費用，也能降低第三方Cookie退場對行銷成效的衝擊。</p> <p>林尚蔚形容，創業家兄弟的數據蒐集機制是「層層疊加」，依據業務開發需求，逐步加入蒐集的數據種類。例如，一開始他們想了解銷售狀況，因此從蒐集營業數據做起。當數位會員經營和精準行銷成為顯學，他們便開始蒐集消費資料及購物行為資料。未來若有更多進階應用，也會持續增加數據種類。「CDP開始在業界熱門之前，我們就已經在蒐集多通路的數據，用來綜合分析、應用了。」他說。</p> <p><span style="font-size:28px;"><strong>資訊架構合併也考驗團隊溝通效率，IT改擁抱敏捷開發框架</strong></span></p> <p>除了統一數據工作流程，IT部門整併還有另一關鍵任務是系統架構合併。只不過，生活市集是B2C電商，松果購物則是B2B2C電商，兩者商業模式不同，IT架構設計自然不同。林尚蔚舉例說明，前者的商品上架系統會比後者簡易，但客服系統會更複雜。</p> <p>林尚蔚回憶，創業家兄弟花了約一年時間，將兩家電商系統「重寫」──而非只是重新架構──打通兩邊資料流，再從購物、結帳流程開始，把兩家電商前後端可共用IT資源的系統，寫成一套新架構。為了確保系統升級順暢，他們有意識的降低新舊系統耦合性，並在上線初期分配流量，慢慢測試新系統實際運作情況。至今，兩家電商的系統有7成在新架構上，其餘客戶資料庫等不能共用的系統，則留於舊有架構中各自運作。透過改寫系統、導入新架構，現在只需1名專職基礎架構工程師，即能負責兩個網站超過50臺容器加機器的部署與維護工作。</p> <p>雖然系統重寫在技術上是大工程，但林尚蔚說，當時面臨最大的挑戰其實是雙方IT團隊溝通困難。尤其當時松果IT團隊規模較小，內部溝通流程較為簡易，甚至能只靠默契。加入人數2倍於他們的創業家兄弟團隊後，這些溝通方法便不再有效。</p> <p>雙方工程師尚未建立默契與信任關係，且溝通模式、開發方法都不同，卻要於合併初期就協作如此大規模的專案，使系統合併進度相當緩慢。好在，林尚蔚過去是生活市集技術長的部屬，已有多年合作默契，因此他們不僅充當雙方工程師的潤滑劑，更導入了新開發模式，來加速兩方團隊融合。</p> <p>創業家兄弟決定從看板（Kanban）式開發，改成Scrum敏捷開發框架。林尚蔚表示，剛開始不熟悉敏捷團隊組成和分工方式，往往一個團隊集結了雙方的設計、PM，以及網頁、App、後端工程師等，高達15人以上。但，Scrum開發模式已經明顯提高了開發效率，隨著彼此溝通默契及工作效率提升，團隊規模跟分工就變得越來越精簡，這也成了現在，創業家兄弟IT開發任何新專案的預設模式。</p> <p><span style="font-size:28px;"><strong>成立成長團隊，研究數據如何進一步應用於電商</strong></span></p> <p>企業內部數據認知及IT團隊溝通流程都統一後，創業家兄弟也開始研究如何利用數據開發更多進階應用。去年，他們成立了一個成長團隊（Growth team），集合商業分析師、雙方PM及前後端工程師，來一同研究如何利用CRM和CDP數據，開發更深度的會員分析方法及更多元的購物體驗。</p> <p>一個已經完成初步PoC的專案是，結合會員購買意圖數據、商品數據及圖像生成AI，來做室內裝潢情境圖生成。林尚蔚說明，這個功能利用現在常見的AI圖像生成技術，以消費者喜好標籤作為生成指令，再用創業家兄弟的商品作為圖像生成素材，為消費者提供室內設計參考。生成情境圖後，消費者便能在情境圖中瀏覽、購買商品。</p> <p>另一個進行中的研究，是以大型語言模型計算出商品、搜尋內容跟文案的Embedding vector，來強化網站內容的關聯性判斷，進而優化SEO行銷。林尚蔚坦言，去年他們曾因消費者從Google搜尋到站內搜尋結果的頁面，意外將消費者導至與搜尋內容不符的商品而造成爭議。他說，每天會有成千上萬自動產生的站內搜尋結果，以當時技術，實在難以完全杜絕關鍵字與實際商品關聯性過低的問題，但用Embedding vector來判斷搜尋內容和商品的關聯性，就有望減少類似情況再次發生的風險。他也表示，經過該次事件，新成立的成長團隊嘗試新技術時，會抱持樂觀但謹慎的態度，唯恐對科技不夠熟悉，釀成意料之外的後果。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>創業家兄弟技術長暨資安長　林尚蔚</strong></p> <p>學歷：高雄應用科技大學資訊工程系研究所碩士</p> <p>經歷：2013年加入創業家兄弟成為第2位工程師，負責全端網頁開發，任內推動電商數據蒐集機制的建設，後調任為同集團的松果購物技術長，以相同方法建設數據蒐集機制，奠定未來集團數據應用的技術基礎。集團整併後，回到創業家兄弟擔任技術長暨資安長</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%89%B5%E6%A5%AD%E5%AE%B6%E5%85%84%E5%BC%9F-v2.jpg" style="width: 250px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>創業家兄弟</strong></p> <p>成立時間：2012年</p> <p>業務介紹：電子商務、網路零售</p> <p>董事長：郭書齊</p> <p>營收：年營收約23.5億元（2022年）</p> <p>地址：臺北市南港區三重路19-3號D棟5樓</p> <p>員工人數：130人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>2012年：創業家兄弟股份有限公司創立</p> <p>2016年：正式掛牌上櫃。同年跨入B2B2C電商領域，成立創宇行動公司，推出松果購物平臺。同年開始自建數據平臺，開發首頁個人化推薦系統，導入機器學習持續改進推薦與搜尋排序</p> <p>2018年：資料科學部門正式成立</p> <p>2020年：創業家兄弟與松果購物整併</p> <p>2022年：成立成長團隊，探索CRM跟CDP上的數據如何更進一步用於開發新購物體驗</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-lin_shang_wei_chuang_ye_jia_xiong_di_-v2.jpg" width="960" height="420" alt="" title="創業家兄弟技術長暨資安長林尚蔚　（攝影／洪政偉）" /></div></div></div>
2023/4/10 00:00作者郭又華https://www.ithome.com.tw/people/156288
Chrome率先預設支援網頁繪圖API WebGPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.chrome.com/blog/webgpu-release/">Google宣布</a>Chrome 113將開始預設支援網頁繪圖與計算API WebGPU，使得Chrome能夠高效能地處理3D圖形，並且執行資料平行運算任務。目前主要瀏覽器Firefox和Safari對WebGPU的支援都還在開發階段，Chrome則是率先提供初始實作。</p> <p>過去要在不使用外掛程式的情況下，於瀏覽器中呈現互動式2D和3D圖形，便需要用到網頁繪圖 API WebGL，這是一個以OpenGL ES標準為基礎的JavaScript API。不過，WebGL存在許多缺點，因為WebGL受限於較舊的OpenGL ES設計，因此無法良好地發揮當前GPU的能力，而且也與部分硬體和驅動程式有相容性問題，令人詬病的還有API設計過於複雜，使得開發和維護工作難度增加，同時，WebGL還有一些安全性問題，其允許網站存取敏感GPU資源。</p> <p>而WebGPU的出現便是要取代不敷使用的WebGL，WebGPU由Apple、Google、Mozilla和微軟等W3C成員所共同組成的GPU for the Web工作組開發，其目的是要建構一個可跨不同作業系統、硬體平臺的統一標準，讓開發者能夠更輕鬆地編寫網頁高效能圖形和運算程式。</p> <p>WebGPU的角色與Direct3D 12、Metal和Vulkan等繪圖API相同，透過公開硬體功能供開發者在GPU上執行渲染和運算操作。WebGPU相較於WebGL有許多優點，除了效能大幅提升，對現代硬體支援更好之外，WebGPU API簡潔易用，之前在WebGL渲染物件，開發者需要替每一個物件配置一系列的狀態變更呼叫，光是渲染一個物件可能要呼叫超過10個函式，而在WebGPU卻只要兩行程式碼。</p> <p>另外，WebGPU也能夠更好地支援一般運算，並且從設計根本考量網頁平臺的特性，除了提供慣用的JavaScript API之外，也支援匯入影片，並且提供大量有用的除錯訊息。目前這個WebGPU版本是一個基礎，工作組還將在API提供更進階的繪圖功能。</p> <p>WebGPU從2017年開始發展，歷經6年集結90位貢獻者、2,000次提交和3,000個問題，現在第一個實作在Chrome上提供。開發者可以使用Chromium的Dawn函式庫，以及Firefox的wgpu函式庫來開發WebGPU程式，兩者都抽象作業系統GPU API，並提供良好的可移植性。</p> <p>已經有一些函式庫開始支援WebGPU，過去支援WebGL的函式庫，要增加WebGPU的支援只需要稍經修改即可，目前Babylon.js、PlayCanvas和TensorFlow.js等函式庫都已經支援WebGPU。使用者已經可在支援Vulkan的ChromeOS裝置、支援Direct3D 12的Windows裝置，以及macOS裝置上的Chrome 113上用到WebGPU，Google提到，他們之後還會推出對Linux和Android平臺的支援。</p> </div></div></div>
2023/4/8 14:46作者李建興https://www.ithome.com.tw/news/156299
Meta開源內部使用的高效能大規模建置系統Buck2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta開源內部使用的大型建置系統<a href="https://engineering.fb.com/2023/04/06/open-source/buck2-open-source-large-scale-build-system/">Buck2</a>，該系統以Rust編寫，其建置速度是第一代Buck1的2倍，可供開發者更快速地進行程式迭代。Buck2的特色在於完全分離核心與語言規則，具有更高的平行性，整合遠端執行和虛擬檔案系統，並且重新設計了控制臺輸出。</p> <p>Meta之所以如此重視建置系統，甚至將Buck1徹底重構的原因，官方提到，更快速且高效的建置系統將直接提高開發人員的效率。因此Meta重新設計出大規模建置系統Buck2，目的是要進一步提升開發人員的生產力。</p> <p>Meta在設計Buck2時，僅保留了Buck1的核心概念以及工作流程，其餘完全重寫，而Buck2的一大特色便是完全分離核心與語言規則，這與Buck1和類似的系統Bazel有很大的不同，Buck1是把所有語言規則都寫在核心中，而Bazel也是將C++、Java語言規則寫在核心中。</p> <p>Buck2的核心是以Rust開發，而像是建置C++等語言規則是以Starlark編寫，Buck2將核心與語言規則分開，使得規則更容易改變和理解，當需要支援新語言或是更改既有語言規則時，維護人員僅需要專注於特定語言模組，不需要徹底重構整個系統。</p> <p>分離核心和語言規則能夠更有效地降低系統複雜性，維護人員可以更好地理解、修改和維護各部分，在不影響整體運作的情況下，獨立更新特定語言規則，不只降低錯誤風險，也提高了整體開發速度。</p> <p>除此之外，與Buck1和Bazel相比，Buck2建置系統使用單一增量相依圖（Dependency Graph）驅動建置過程，因而改善了多階段性建置帶來的問題。Buck2在整個建置過程，只會有一個相依圖，隨著開發過程進展增量更新，不只能夠有效追蹤程式碼更改和相依項目變更，也能確保只對有變化的部分重新編譯和連接。</p> <p>由於在傳統建置系統的建置過程，經常存在包括編譯、連結等多個階段，這些階段有先後順序，期間還會產生中間產物，因此Buck2沒有階段建置的特性，代表著建置過程更簡單且高效率。Buck2的執行速度非常快速，明顯快過Buck1，在沒有程式碼變更的情況下，Buck2幾乎能夠即時處理後續建置工作，即便有許多工作需要執行，Buck2的平行性運算優勢也能大幅加速建置。</p> <p>Buck2良好支援遠端執行，使用與Bazel相同的API，可在遠端機器上運作，且Buck2和虛擬檔案系統整合，不會簽出（Checked out）整個儲存庫，而是僅按需存取檔案。目前Meta所開源的這個Buck2版本，幾乎和內部使用的版本相同，僅有換掉編譯器工具鏈和遠端執行伺服器，並且換上開源替代專案。</p> </div></div></div>
2023/4/8 14:50作者李建興https://www.ithome.com.tw/news/156306
【資安日報】4月7日，英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是將開發環境組態公開於網站上引發的資料外洩事故！而且，這樣的情況還是發生在專門提供數位ID驗證服務的資安業者。研究人員指出，這起事故不只洩露該公司內部的資料，還牽連英國、澳洲多家大型金融機構。</p> <p>使用者想要尋找VPN服務要留意！最近有人假借提供這類服務的名義散布竊資軟體OpcJacker，然後進一步於受害電腦部署木馬程式、遠端桌面連線程式，以便進行第2階段攻擊。</p> <p>除了我們必須駭客散布惡意程式的手法提高警覺，駭客企圖引誘新血投入的情況也值得留意。有資安業者發現駭客利用加密通訊軟體Telegram散布網釣工具包的情況越來越常見，但這麼做的目的，主要是吸引缺乏相關技能的新手投入網路犯罪。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cybernews.com/security/ocr-labs-exposes-its-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位ID驗證解決方案業者OCR Labs曝露開發環境配置檔案，客戶資料面臨洩露風險</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OCR.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OCR.png" style="width: 300px; float: right;" /></a>資安新聞網站Cybernews的研究人員於3月8日，在數位ID驗證解決方案業者OCR Labs的網站idkit.com上，發現可公開存取的開發環境配置檔案（ENV），其內容包含了資料庫帳密、AWS簡單佇列服務（SQS）帳密，以及Google與Liveness的API金鑰等。</p> <p>研究人員指出，這起資料外洩事件波及該公司客戶，包含多家澳洲、英國的金融業者：QBank、Defense Bank、Bloom Money、Admiral Money、MA Money、Reed。OCR Labs獲報後，已對該ENV檔案採取保護措施。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/c/new-opcjacker-malware-distributed-via-fake-vpn-malvertising.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Opcjacker假借提供VPN服務散布</span></strong></a></p> <p>資安業者趨勢科技揭露竊資軟體OpcJacker的攻擊行動，駭客約自2022年下半，假借提供合法VPN服務的名義（但研究人員並未提及被冒用的VPN服務名稱），對伊朗使用者散布此竊資軟體。駭客先是透過惡意廣告，傳送竄改過的VPN用戶端安裝程式，一旦使用者執行，此安裝程式就會執行名為Babadeda的加密軟體，進而於受害電腦載入Shell Code並執行OpcJacker。</p> <p>研究人員指出，駭客散布此竊資軟體的目的，不光是側錄鍵盤輸入的內容、截取螢幕畫面、竊取瀏覽器儲存的敏感資料，還會進一步投放第2階段的惡意程式，如木馬程式NetSupport RAT、遠端連線工具hVNC的變種等。使用者若需要使用VPN服務，應親自連至合法業者的網站下載，</p> <p><a href="https://securelist.com/telegram-phishing-services/109383/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密通訊軟體Telegram藏汙納垢的情況越來越嚴重，卡巴斯基指出已淪為許多網釣駭客的軍火庫</span></strong></a></p> <p>資安業者卡巴斯基提出警告，駭客近日濫用加密通訊軟體Telegram散布網釣工具包的情況越來越常見，他們藉由Telegram機器人來自動提供、建置釣魚網站，進而收集受害者的資料。也有駭客提供免費的網釣工具包，內含事先打包的套件，能模仿知名廠商來建置釣魚網站。</p> <p>研究人員指出，雖然有些網釣工具以免費的型式提供，但駭客藉由加值服務牟利，例如：反機器人機制、地理位置鎖定、URL加密、詐騙網頁等套件收取相關費用。此外，駭客也會協助用戶驗證竊得資料的真偽。</p> <p>但為何這些駭客要和他人分享作案工具與竊得的資料？研究人員認為，很有可能想要吸引新手培養客群，或是假借傳授相關手法的名義，取得免費的人力資源。</p> <p><a href="https://www.crowdstrike.com/blog/self-extracting-archives-decoy-files-and-their-hidden-payloads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體透過加上密碼的WinRAR自解壓縮檔迴避資安系統的偵測</span></strong></a></p> <p>資安業者CrowdStrike揭露濫用WinRAR自解壓縮檔（SFX）的攻擊行動，駭客藉由偷到的帳密資料，並濫用公用程式utilman.exe，而能夠在使用者尚未登入Windows的情況下，執行受到密碼保護的自解壓縮檔，進而利用WinRAR提供的參數執行PowerShell、命令提示字元，並以NT AUTHORITY\SYSTEM權限執行工作管理員，最終於受害電腦部署後門。</p> <p>對此，研究人員提出警告，由於防毒軟體通常會檢查壓縮檔內含檔案是否含有惡意程式，而非壓縮檔的命令，相關攻擊行動很可能難以察覺。</p> <p><a href="https://sysdig.com/blog/proxyjacking-attackers-log4j-exploited"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端基礎設施的Log4Shell漏洞遭到利用，駭客進行頻寬挾持攻擊</span></strong></a></p> <p>資安業者Sysdig揭露濫用網路頻寬共享軟體（Proxyware）的攻擊行動，但與過往攻擊行動不同之處，在於駭客並非以提供軟體或利誘的方式，讓使用者部署這類軟體來「分享」頻寬牟利，而是利用了Log4Shell漏洞來入侵目標主機，進而暗中部署網路頻寬共享軟體，進行網路頻寬挾持（Proxyjacking）攻擊。</p> <p>研究人員在其中一起事故當中，看到攻擊者針對Kubernetes環境下手，盯上尚未修補的Apache Solr，然後從C2伺服器下載惡意指令碼，最終執行ELF可執行檔，進而登入Pawns.app帳號，並使用命令列網路頻寬共享軟體IPRoyal Pawns竊取頻寬。攻擊者一旦成功啟動可執行檔，他們就會執行新的命令來規避偵測，並試圖持續於受害主機上運作。</p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rilide-a-new-malicious-browser-extension-for-stealing-cryptocurrencies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以Chromium為基礎的瀏覽器遭到鎖定，惡意軟體Rilide竊取加密貨幣</span></strong></a></p> <p>資安業者Trustwave揭露針對Chrome、Edge、Opera、Brave等以Chromium為基礎的瀏覽器而來的惡意軟體攻擊行動，此惡意軟體Rilide偽裝成Google Drive延伸套件，一旦使用者安裝，該惡意軟體就會於背景執行惡意活動，目的是騙取使用者的雙因素驗證（2FA）碼，進而盜取加密貨幣。</p> <p>而對於駭客散布Rilide的管道，研究人員指出主要有2種，一種是濫用微軟排版軟體Publisher的檔案來散布，另一種則是藉由Google廣告，假借提供TeamViewer、Nivida驅動程式的安裝檔案來進行。研究人員指出，此惡意程式近期變得極為氾濫，原因是駭客之間出現付款糾紛，有買家散布原始碼所致。</p> <p><a href="https://www.bleepingcomputer.com/news/security/irs-authorized-efilecom-tax-return-software-caught-serving-js-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國報稅網站eFile.com遭到JavaScript惡意軟體入侵</span></strong></a></p> <p>駭客針對美國報稅季而來的攻擊行動，每年都有，主要是透過釣魚郵件來散布惡意軟體，但現在也有鎖定第三方網站下手的情況。根據資安新聞網站Bleeping Computer的報導，自3月17日開始，多名使用者與研究人員發現，不少美國民眾會用來報稅的網站eFile.com，被植入了惡意JavaScript檔案popper.js，經該新聞網站確認，在4月1日之前，幾乎每個eFile.com的網頁都會載入此惡意JavaScript檔案。</p> <p>一旦使用者存取該網站，該網站就會根據瀏覽器（Chrome或Firefox）要求下載第2階段的惡意酬載，最終於受害電腦部署PHP指令碼打造的後門程式，使得攻擊者能夠取得完整的存取權限。至於這起事故的影響範圍，仍有待進一步釐清。</p> <p><a href="https://www.theregister.com/2023/04/03/uber_drivers_info_stolen/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Uber再傳司機資料外洩，起因是法律事務所遭駭</span></strong></a></p> <p>根據新聞網站The Register的報導，車輛共乘媒合平臺Uber針對部分司機發出通知信，表示法律事務所Genova Burns於1月23日至31日遭到入侵，未經授權的第三方存取部分內部文件，導致將旅客送達美國紐澤西州的Uber司機，他們的社會安全碼（SSN）及稅務識別碼（TIN）有可能會外流。</p> <p>對此，Genova Burn表示尚未發現上述個資遭到濫用的跡象，但Uber並未透露有多少司機受到影響。</p> <p><a href="https://economist.co.kr/article/view/ecn202303300057"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星傳出資料外洩，起因疑為將公司機密提供給ChatGPT</span></strong></a></p> <p>根據韓國經濟學人（economist.co.kr）報導，三星電子自3月11日，開放其半導體部門使用ChatGPT聊天機器人，但傳出在不到20天的時間發生3起資料外洩事故，其中有2起與設備資料有關，另1起則涉及會議內容。</p> <p>其中1名員工因執行半導體設備測量資料庫下載軟體出現錯誤，便把有問題的原始碼貼到ChatGPT；第2名員工為分析設備良率資料，將相關程式碼輸入ChatGPT；第3名員工則是要求ChatGPT製作會議記錄。而上述的情況，皆讓三星內部資料成為ChatGPT機器學習的內容，而有可能讓其他使用者詢問ChatGPT取得。</p> <p>對此，三星限縮員工詢問ChatGPT的資料量，並打算著手部署該公司內部專用的AI服務。</p> <p><a href="https://edition.cnn.com/2023/04/02/tech/china-pinduoduo-malware-cybersecurity-analysis-intl-hnk/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">3月底遭Google下架的購物App拼多多，傳出具有擅自提升執行權限的功能，關閉後仍會在後臺運作</span></strong></a></p> <p>近期Google因網路上出現含有惡意程式的拼多多（Pinduoduo）App，將該款App從Play市集下架，引起各界關注，如今傳出有研究人員發現，此購物App部署於手機後，竟出現企圖提升權限等異常行為。根據新聞網站CNN的報導，他們尋求資安業者WithSecure、Oversecured、Check Point協助，針對2月下旬發布的拼多多6.49.0版應用程式進行逆向工程分析，結果發現，此App試圖於使用者的手機上提升權限，進而執行一般應用程式無法執行的工作；再者，即使用者手動關閉該App，仍會在後臺持續運作，此App亦會防止遭到移除；此外，拼多多還能跟蹤其他購物App的活動，監控競爭對手。</p> <p>WithSecure首席研究員Mikko Hyppönen表示，他們從未看過主流應用程式如此提升權限，企圖取得一般App不應得到的存取權；Oversecured創辦人Sergey Toshin指出，拼多多利用的安卓漏洞約有50個，但大部分都與手機製造商製作的元件有關。</p> <p>而這並非首度有研究人員對於拼多多App提出質疑──今年2月，<a href="https://mp.weixin.qq.com/s/P_EYQxOEupqdU0BJMRqWsw">中國資安業者深藍（Dark Navy）發布了有關調查報告</a>，但沒有點名這款含有惡意程式碼的購物App就是拼多多。</p> <p><a href="https://www.bleepingcomputer.com/news/security/money-message-ransomware-gang-claims-msi-breach-demands-4-million/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微星傳出遭到勒索軟體Money Message攻擊，索討4百萬美元</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/msi_DGP0W9j1co.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/msi_DGP0W9j1co.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Money Message近日聲稱攻擊了臺灣電腦製造商微星，並竊得1.5 TB資料，內容包含了ERP資料庫、軟體原始碼、金鑰、BIOS韌體等檔案，他們向微星勒索400萬美元。</p> <p>為了進一步確認微星是否遭遇網路攻擊，我們連至股市公開觀測站，發現微星於4月7日中午12時在股市公開觀測站發布公告，他們表示，部分資訊系統遭到網路攻擊，初步評估對財務及業務無重大影響。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/unpatched-security-flaws-expose-water-pump-controllers-to-remote-hacker-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ProPump and Controls水泵控制系統曝露多個漏洞</span></strong></a></p> <p>資安業者Zero Science Lab揭露ProPump and Controls旗下的Osprey水泵控制器9個漏洞，這些漏洞有4個是CVSS風險評分達到9.8分，為重大層級。這些漏洞分別CVE-2023-28654、CVE-2023-27886、CVE-2023-27394、CVE-2023-28398，這些漏洞涉及寫死的帳密、命令注入、身分驗證流程繞過等。</p> <p>值得留意的是，研究人員直接向開發商通知並未得到回應，他們也尋求美國網路安全暨基礎設施安全局（CISA）、卡內基美隆大學漏洞資訊暨協調中心（VINCE）協助，但ProPump and Controls依舊沒有回覆，亦未發布相關公告，上述漏洞很有可能尚未修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/asoc/202304060246.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">刑事局破獲以假基地臺發送釣魚簡訊的網路攻擊與詐騙事件</span></span></strong></a></p> <p><a href="https://www.city.toyota.aichi.jp/pressrelease/1053884/1053944.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本豐田市公告電子郵件洩漏事件，起因為供應商疏於軟體授權更新，導致強制郵件BCC失效</span></span></strong></a></p> <p><a href="https://www.ouc.ac.cy/index.php/en/news-events/news/2847-cyberattack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">塞浦路斯開放大學傳出遭到勒索軟體Medusa攻擊</span></span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/verblecon-sophisticated-malware-cryptocurrency-mining-discord"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中東組織遭到駭客組織Arid Viper鎖定，針對Windows電腦與行動裝置下手</span></span></strong></a></p> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/04/06/stopping-cybercriminals-from-abusing-security-tools/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟與Forta聯手，企圖封殺用於攻擊行動的Cobalt Strike伺服器</span></span></strong></a></p> <p><a href="https://medium.com/@samsabetan/the-uninvited-guest-idors-garage-doors-and-stolen-secrets-e4b49e02dadc"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Nexx智慧車庫控制系統存在漏洞，攻擊者可用於破解門鎖、操控警報器</span></span></strong></a></p> <p><a href="https://www.legitsecurity.com/blog/remote-code-execution-vulnerability-in-azure-pipelines-can-lead-to-software-supply-chain-attack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Azure Pipelines出現RCE漏洞，有可能導致供應鏈攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156233">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156233">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156202">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</a></strong></p> </div></div></div>
2023/4/7 16:57作者周峻佑https://www.ithome.com.tw/news/156300
Google公布Cloud TPU v4 AI晶片技術，號稱效能更快、更節能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/systems/tpu-v4-enables-performance-energy-and-co2e-efficiency-gains" target="_blank">Google昨（6）日公布</a>用於雲端的Cloud TPU v4技術細節，號稱效能更快，且更節能。</p> <p>TPU v4是Google於2021年宣布，專門用於執行機器學習的AI晶片，是Google第5代Google特殊領域架構（domain specific architecture，DSA）及第3代用於ML模型的超級電腦平臺。Google TPU架構長Norm Jouppi及Google傑出工程師David Patterson本周<a href="https://arxiv.org/ftp/arxiv/papers/2304/2304.01433.pdf" target="_blank">在一篇論文中說明TPUv4技術細節</a>。Google工程師指出，拜互連技術及特殊領域加速器（domain specific accelerator，DSA）技術之賜，TPUv4的機器學習系統（ML）效能擴充速度較前一代TPUv3提升近10倍，能源效率則為現代ML DSA的2、3倍，而二氧化碳排放則比一般本地部署的資料中心減少20倍，是執行大型語言模型的最理想平臺。</p> <p>它每晶片效能是TPU v3 2.1倍，每瓦效能提高2.7倍。意謂著TPU v4晶片用電率僅200瓦。每顆TPU v4包含SparseCores，SparseCores為一種資料流處理器，可使深度學習模型嵌入（embeddings）執行速度提升5到7倍，但TPU v4裸晶（die）面積僅5%。藉由Sparsecores，搭載TPUv4的系統可用於執行搜尋、廣告、YouTube和Google Play的AI內容推薦。</p> <p>TPU v4也是第一個部署可配置OCS的超級電腦平臺。OCS可動態配置互連拓墣，以提升擴充性、可用性、利用率、模組化、安全、效能及用電效率。和Infiniband相比，OCS及其底層光纖元件，系統成本不到5%，用電小於3%。</p> <p>TPU v4從2020年用於Google Cloud，搭載TPUv4的超級電腦提供Exascale等級的ML效能，4096個晶片以Google自有光纖迴路交換（optical circuit switch，OCS）互聯。</p> <p>此外，<a href="https://arxiv.org/ftp/arxiv/papers/2304/2304.01433.pdf" target="_blank">Google宣稱</a>，以類似大小的系統來看，使用TPU v4的系統比Graphcore IPU Bow的系統快4.3到4.5倍，也比搭載Nvidia A100的系統快1.2到1.7倍，用電卻少1.3到1.9倍。而Google Cloud使用TPU v4，和本地部署資料中心的當代DSA相較，耗能量少5倍，排碳量更是僅1/20。</p> <p><a href="https://cloud.google.com/blog/products/compute/google-unveils-worlds-largest-publicly-available-ml-cluster" target="_blank">Google Cloud去年宣布</a>其位於奧克拉荷馬州機器學習叢集使用TPU v4，總和運算效能峰值達9 exaflops，Google聲稱是已知最大的，且使用90%非碳能源的ML運算中樞。Google並宣布，提供AI文字生成圖片服務的AI新創Midjourney已經利用Cloud TPUv4來訓練其第4版模型。</p> </div></div></div>
2023/4/7 15:33作者林妍溱https://www.ithome.com.tw/news/156295
惡意擴充程式Rilide鎖定Chromium瀏覽器以竊取加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rilide-a-new-malicious-browser-extension-for-stealing-cryptocurrencies/" target="_blank">資安業者Trustwave SpiderLabs本周揭露了</a>一個相準Chromium瀏覽器的惡意擴充程式Rilide，它偽裝成合法的Google Drive擴充功能，在進駐瀏覽器之後於背景執行各種惡意活動，目的是騙取使用者的雙因素認證碼，以盜走加密貨幣。</p> <p class="rtecenter"><img alt="" src="https://www.trustwave.com/media/19814/image012.png?v=0.0.1" style="width: 500px;" /></p> <p><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源／</span><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rilide-a-new-malicious-browser-extension-for-stealing-cryptocurrencies/" style="font-size: 14px;" target="_blank"><span style="color: rgb(105, 105, 105);">Trustwave</span></a></p> <p>迄今Trustwave SpiderLabs發現Rilide有兩種感染管道，一是藉由微軟的桌面出版程式Microsoft Publisher來散布惡意檔案，包括Ekipa遠端存取木馬，當使用者開啟Ekipa，它即會連結到駭客所控制的C&C伺服器，進而下載、執行與安裝Rilide。</p> <p>二是藉由Google廣告來誘導使用者下載Aurora資料竊取工具，Aurora可能假冒為Team Viewer或Nvidia驅動程式的安裝程式，最終則被用來安裝Rilide。</p> <p class="rtecenter"><img alt="" src="https://www.trustwave.com/media/19809/image002.jpg?v=0.0.1" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/rilide-a-new-malicious-browser-extension-for-stealing-cryptocurrencies/" target="_blank"><span style="color:#696969;">Trustwave</span></a></span></p> <p>Rilide會偵測受害者所使用的瀏覽器，並只影響Google Chrome、Microsoft Edge、Brave及Opera等基於Chromium專案的瀏覽器，它會監控使用者的瀏覽歷史紀錄、擅自進行螢幕截圖，也會注射惡意腳本程式來盜走不同加密貨幣平臺上的使用者資產。</p> <p>Rilide可於背景偷偷盜領受害者的加密貨幣，在送出提款請求之後，把使用者所收到的電子郵件確認信件換成裝置認證請求，以誘導使用者輸入雙因素認證碼。</p> <p>雪上加霜的是，Rilide原本只在地下論壇兜售，但由於一起付款糾紛，疑似有買家公開了Rilide的原始碼連結，而使得黑市中出現了愈來愈多類似的惡意擴充程式，使用者的自保之道無非是儘量避免下載及安裝來路不明的各種檔案。</p> </div></div></div>
2023/4/7 13:38作者陳曉莉https://www.ithome.com.tw/news/156292
【ChatGPT浪潮來襲，帶動平價客製化AI模型新需求】Nvidia大進擊，從AI軟硬體商變成雲端AI供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「生成式AI不只展現強大能力，更讓企業產生重新思考產品和商業模式的急迫感，」Nvidia執行長黃仁勳在今年GTC大會開場演講時這樣強調，不分產業，企業都紛紛加快數位轉型，要變成軟體驅動的科技公司，「企業想要成為推動變革的一方，而不是被變革淘汰的另一方。」</p> <p>黃仁勳講這一席話的時候，新一代GPT-4正式發表剛滿一周，全世界再一次感受到生成式AI的新威力，Nvidia趁勢發表了全新的雲端營運模式。</p> <p>ChatGPT從去年底爆紅後，迅速累積破億人註冊使用。今年3月1日，OpenAI正式推出ChatGPT付費API後，這股浪潮更從個人使用，迅速蔓延到企業應用場域，各種ChatGPT相關應用紛紛出爐，兩大科技巨頭也大秀AI軍火。微軟展示了用GPT-4打造的下一代Office，從文書處理、試算表到簡報都能輔助，全新AI助手Microsoft 365 Copilot讓人驚艷。追趕的Google則祭出5,400億參數訓練的PaLM模型迎戰，同樣展示了下一代WorkSpace將如何結合生成式AI，以及可以自動生成App程式的Generative AI App Builder工具。微軟不甘示弱，祭出全新GitHub Copilot X反擊，將GPT-4更深度整合到IDE開發工具中，成為開發人員的萬能AI助手，從自動寫程式、除錯到優化配置樣樣都行。</p> <p>光是在3月，科技巨頭的AI競爭，就像拳擊場上你來我往的肉搏對打，讓企業主感受到一股非了解不可的焦慮感。尤其更強大、正確性更高、還能支援圖文輸入的GPT-4正式登場，讓企業主這股焦慮感更是火上添油。</p> <p><span style="font-size:28px;"><strong>調查160萬人，竟有3.1%員工上傳機敏資料到ChatGPT</strong></span></p> <p>但是，企業要使用ChatGPT或是GPT-4，並非是件馬上就能決定的事，需要考量的細節，遠遠和個人使用截然不同，尤其企業格外會擔心內部機敏資料的外洩風險。</p> <p>根據國外一家提供企業級資料偵測與應變（DDR，Data Detection and Response ）的新創Cyberhaven，在2月底到3月初時調查旗下企業用戶，統計超過了160萬名員工的資料上網情形，高達8.2%的員工會用ChatGPT，其中竟有3.1％的員工將企業機敏資料輸入到ChatGPT上。在調查那一周內，平均每10萬名員工，就出現199次機密文件上傳警告通報，以及173起顧客資料上傳警告通報。</p> <p>最近一起引起眾人關注的則是韓國經濟學人媒體披露的三星半導體ChatGPT資料外洩事件，在開放半導體廠使用ChatGPT不到20天，就發生了3起機敏資料外洩事件，兩起是開發人員將設備量測與良率檢測特定用途的完整程式碼，輸入到ChatGPT上來尋求除錯，另一起則是助理將重要會議內容輸入ChatGPT來產生摘要。三星半導體緊急限縮ChatGPT的使用，並打算發展自製的GPT模型來替代。不過，早在三星發生資料外洩事件之前，就有很多企業都意識到自行訓練生成式AI模型的重要性，三星機敏資料外洩事件只是再次證實了這個考量的必要性。</p> <p><span style="font-size:28px;"><strong>看準模型客製化需求，將AI超級電腦產品線變成雲端服務</strong></span></p> <p>Nvidia正是看準了這一波ChatGPT爆紅背後的客製化AI模型訓練需求，宣布了全新的商業模式，不只是以硬體晶片生產和軟體技術提供為主的科技產品製造商，更進一步自己跳下來變成雲端服務供應商，要把自家AI超級電腦產品線，變成了雲端的AI超級電腦雲服務。</p> <p>黃仁勳以「人工智慧的iPhone時刻」來形容這股ChatGPT帶動的生成式AI浪潮，以及可能帶來的重大變革，而新推出的雲端AI超級電腦服務，就是Nvidia因應這股變革的關鍵戰略。「要透過瀏覽器將Nvidia AI帶給每一家企業。」他強調。</p> <p>DGX是Nvidia的AI超級電腦產品線，黃仁勳透露，他親手將第一臺DGX超級電腦提供給OpenAI，變成了大型語言模型技術突破背後的引擎。DGX最初的用途是為了AI研究，但現在已經進入了企業營運領域，需要支援全天候的運作，甚至，得有能力擴充到數十萬節點的龐大規模。至今，超過半數財富100大企業導入了這套要價不菲的設備。</p> <p>早在去年GTC大會上，Nvidia就先發表了第四代DGX H100超級電腦，採用了以COBAL發明人Grace Hopper 命名的Hopper架構，以及用這個架構打造的H100 GPU。這款AI超級電腦也在2023年初正式出貨。</p> <p>在第四代DGX超級電腦，搭載了8個H100模組，而H100 GPU還搭載了一個前一代A100 GPU所沒有的新加速引擎Transformer Engine，這是一個專門為NPL知名Transformer模型所打造的加速引擎，可以用來加速BERT、GPT-3模型的訓練。</p> <p>Nvidia透露，和前一代A100相比，H100在神經網路運算上，可以達到6倍的速度，也能兼顧精準度。甚至可以利用16位元精度與H100新增的8位元浮點資料格式（FP8），結合進階軟體演算法，還能進一步提高AI訓練速度，在同一款大型語言模型上，H100速度提升可以達到A100的9倍之多，推論速度甚至是前一代GPU的30倍。</p> <p>另外，H100也採用了第二代MIG技術，更容易支援雲端多租戶服務的組態方式，可以同時承載7個更小且隔離的實例，而A100只能承載1個。換句話說，H100是更適合發展成雲端服務型態的GPU。另外，Hopper新架構也開始能支援GPU機密運算，可以用來保護用戶AI模型、演算法機密性和完整性，因此，採用此架構的H100，可以讓企業在第三方業者提供的雲端基礎架構環境中，更安心散布和部署自家的AI模型。</p> <p>過去，多家公雲巨頭原本就推出採用A100的雲端VM服務，也紛紛宣布將跟進推出搭載新款H100 GPU的VM服務。例如甲骨文OCI率先推出搭載8顆H100 GPU的VM，甚至最大可以擴充到16,384個H100 GPU的超大規模叢集。AWS則宣布推出可以擴充到2萬個互連的H100 GPU的P5執行個體，Azure則是先推出H100 v5預覽版，Google Cloud後續也會推出。各大伺服器製造商也開始提供搭載H100 GPU的伺服器和系統。</p> <p><span style="font-size:28px;"><strong>不只是出租AI超級電腦硬體，更有整套基礎架構軟體</strong></span></p> <p>不過，今年Nvidia更進一步，不只是賣超級電腦硬體給公雲業者，還自己下海，變成了雲端服務供應商，黃仁勳宣布要推出AI超級電腦雲服務DGX Cloud，可以提供按月租用的超級電腦叢集，而且可以提供到H100等級的GPU。</p> <p>目前Nvidia將與三家公雲業者合作，在微軟Azure、Google Cloud和甲骨文OCI上提供DGX Cloud託管服務。將先在OCI上推出，最大可以提供到超過32,000個GPU的超級電腦叢集服務，Azure預計今年第二季推出，Google Cloud則在今年更晚時上線。</p> <p>DGX Cloud不只是提供超級電腦硬體出租，而是包含了一整套的超級電腦基礎架構，從最底層提供了高效能的儲存空間（單實例有10TB容量，每月輸出流量10TB），再上一層則是可以提供單一執行個體內建8個H100或A100 80GB Tensor核心GPU，每個節點共有640GB的GPU記憶體。</p> <p>這兩層是硬體體層基礎架構，再往上是超級電腦的基礎架構軟體層，包括了用於調度基礎架構軟體的Nvidia Base Command管理軟體，以及開發人員管理AI應用開發流程的Base Command Platform雲端SaaS服務，再加上最上一層的AI Enterprise軟體套件（包括了AI和資料科學工具和常用AI框架等）。</p> <p>從技術架構圖來看，雲端業者負責雲端服務的支援，而Nvidia則提供了AI技術客服窗口和AI專家的技術支援服務。</p> <p>這座超級電腦雲採取按月訂閱制，月租費是每個執行個體最低36,999美元起跳（約臺幣113萬元），遠低於一臺DGX A100在2020年中剛推出時的買斷報價19.9萬美元（約臺幣600萬元）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-DGC%E9%9B%B2%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">DGX Cloud包含了整套超級電腦基礎架構，最底層是高效能儲存，再上一層是H100或A100硬體VM，再往上是超級電腦的基礎架構軟體層，包括了運算資源調度的Nvidia Base Command管理軟體、管理AI應用和開發流程的Base Command Platform雲端SaaS服務，以及AI Enterprise軟體套件。雲端業者負責雲端服務支援，而Nvidia則提供了AI技術客服窗口和AI專家支援。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Nvidia</span></span></p> <p><span style="font-size:28px;"><strong>重頭訓練1,750億參數的GPT-3模型要多少億？</strong></span></p> <p>根據Nvidia測試，過去要用一個3,000億個Token的公開網路資料集，來訓練出1,750參數的GPT-3模型，若採用1,024張A100 GPU，還是要花上24天。換句話說，企業若要想在一個月內訓練出參數量和ChatGPT相當的自有GPT-3模型，得採購128臺DGX A100超級電腦（單臺8個GPU），光硬體費用就超過7.68億元，就算願意等上一年訓練一次，也至少要投資5千多萬元採購9套。若換成按月租用的超級電腦服務，以月租費113萬元Ｘ128個超級電腦VM，則約臺幣1.4億元。雖然遠比7.6億元低得多，但仍是一筆巨額投資，甚至遠遠超過許多臺灣2千大規模企業一整年度的IT投資規模。只有少數大型高科技製造業或金控，才負擔得起自己從頭訓練出一套GPT-3模型的硬體費用，這還不包括人事費、軟體和資料集蒐集費用。生成式AI帶來的創新競爭，無疑是一項龐大財力的競賽。</p> <p><span style="font-size:28px;"><strong>提供更低成本的預訓練模型服務，不用重頭訓練超大模型</strong></span></p> <p>所以，為了搶攻全球企業瘋ChatGPT的浪潮，Nvidia還鎖定了那一群沒有足夠資源從頭訓練，但又想要打造專屬客製化模型的企業，推出了一套AI超級電腦軟體服務AI Foundations，提供預訓練的GPT-3模型，讓租用企業不用重新訓練，而是進行微調優化就可以打造出使用，可以讓企業用自己的資料，快速訓練出專屬的生成式模型，如此一來，不只可以大幅降低所需的運算量，訓練用資料集也不用準備到3,000億個Token之多，更能大幅縮短訓練時間。這正是Nvidia用來瞄準企業自建專屬生成式AI模型的殺手級服務，也能發揮按月租用模式的特性，用更低成本來打造出企業專屬的GPT-3模型。</p> <p><span style="font-size:28px;"><strong>3種生成式模型服務，瞄準文字、影音和藥物開發3大類需求</strong></span></p> <p>在這套AI Foundations服務中，提供了三種生成式模型，包括了文字NLP生成模型服務NeＭo，圖像生成模型服務Picasso，以及可以生成藥物分子結構的藥物生成模型BioNeMo服務。</p> <p>NeMo就是可以用來訓練出專屬GPT-3的模型服務，類似微軟Auzre的OpenAI API服務，可以讓企業訓練自己專屬的GPT-3模型。</p> <p>目前NeMo可以提供80億參數、430億參數和5,300億參數三種GPT-3預訓練模型，企業不用從頭開始訓練，而是可以直接使用這些預訓練模型來進行微（finetune）就可以客製化。NeMo還提供了一個Inform模型服務，內建向量資料庫，可供企業上傳自家企業資料轉換成嵌入向量儲存到Inform模型服務上，來限制客製化GPT-3模型推論的輸出，盡量侷限在企業提供的資料範圍內。</p> <p>不只是預訓練模型，NeMo還提供了兩種微調功能，一種是P-Tuning提示微調功能，透過模型訓練來優化提示問題，改用一個提示工程的嵌入向量（Prompt Vector）來取代提示問題，來提高提示工程的效果，提高GPT-3的準確度，另外，NeMo也支援真人回饋的強化學習優化提示工程做法，透過真人標記來設計獎勵模型，讓模型回答出更接近企業想要的答案。這個強化學習做法，也是借鏡了OpenAI用真人強化學習來打造出ChatGPT效果的做法。</p> <p>如同Azure OpenAI的GPT模型服務的推論內容過濾機制，Nvidia也在Nemo服務設計了內容護欄服務(Guardrail Service），企業可以監控每一次模型推論的輸出內容，檢查不適當的內容，也能設定偏差閥值或是指定領域來控管內容，避免模型意外輸出了不適合提供的內容。Picasso則是視覺的大型語言模型服務，可以透過簡單的文字或影像提示，來產生自訂的影像內容，還能生成影片，甚至是用於生成3D素材。而BioNeMo服務則可設計用來探索疾病成因的生物學小分子、蛋白質或抗體新分子結構，也能用來作為分子相互作用的最後篩選參考之用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-NeMo%E6%9C%8D%E5%8B%99%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">Nvidia在AI Foundations服務中，提供了文字NLP生成模型服務NeMo，可以提供80億參數、430億參數和5,300億參數三種GPT-3預訓練模型，企業不用從頭開始訓練，而是可以直接使用這些預訓練模型來進行微調。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Nvidia</span></span></p> <p><span style="font-size:28px;"><strong>DGX Cloud就是雲端AI工廠</strong></span></p> <p>Nvidia不單是出租超級電腦硬體，還將原本搭配DGX超級電腦的軟體產品，不論是Base Command管理軟體，或是可用於開發和部署AI應用的Ai Enterprise軟體，轉為變成在雲端提供的託管服務，而且可以支援混合雲架構，企業也可以和本地端DGX超級電腦混用。</p> <p>黃仁勳如此形容這個超級電腦雲服務的特性，DGX Cloud就像是一間在雲端的AI工廠一樣。而AI Foundations服務就像是工廠中的鑄造廠，可以快速鑄造出一個又一個客製化的專屬生成式模型，這正是Nvidia搶攻龐大ChatGPT浪潮下的AI新戰略。</p> </div></div></div>
2023/4/7 11:31作者王宏仁https://www.ithome.com.tw/news/156286
勢不可擋的影子IT
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>員工私用公司未許可的IT解決方案，這類行為過往被稱為影子IT（Shadow IT），在歷經為期長達3年的COVID-19疫情之後，似乎處於更難以控制的地步。</p> <p>根據一家商用軟體公司Capterra對300位IT人員的調查指出，有57％的中小型企業，在正式IT部門所能掌握的範圍之外，面臨這類衝擊，而在這類規模的企業中，有高達85％的比例，目前正在業務領域裡面運用影子IT團隊來營運。</p> <p>相較於過往著重在影子IT的負面影響，這份調查裡面同時呈現了正面影響，突顯大部分公司制定此決策面臨的兩難之餘，也列出影子IT為何越來越常存在企業內部的狀況。</p> <p>以正面效益而言，包含：增加員工滿意度（54％）、節省員工時間（51％）、對財務帶來正面影響（80％）、減輕IT部門工作負擔（42％）；而在負面衝擊方面，則有：面臨財務層面的負面後果，像是支付罰金、需耗費心力去替換已建置與使用的軟體（89％），面臨中度至嚴重的網路安全威脅（76％），以及此類型工作不易整合至公司既有的環境，可能需耗費大量時間與金錢（91％）。</p> <p>而所謂的影子IT，實際呈現會是何種面貌？硬體設備（69％）、雲端服務（69％）、內部開發軟體（52％）、現貨軟體（39％）。以硬體設備而言，有個人電腦、伺服器、智慧型手機；而雲端服務的部分，則有軟體即服務（SaaS）、雲端資料庫、雲端試算表等應用。從上面列舉的項目來看，有些早已是企業常態，例如人人皆有的智慧型手機，個人電腦隨著筆電、平板的盛行，許多公司可能並不會主動提供，而是由員工自己準備與保管，而百花齊放的雲端服務應用，更是多到不勝枚舉，小至即時通訊軟體、雲端視訊會議軟體、檔案共同編輯與同步軟體，大至應用程式與資料庫系統的開發與部署工具，甚至是當前熱門的各式大數據分析與AI應用。</p> <p>企業該如何因應這樣的局面？此份調查顯示，IT專案管理將扮演重要角色，公司本身也必須加強員工教育、更新公司政策，以及促成協作文化。</p> <p>至於企業該如何察覺這類活動？員工使用已知會IT部門的科技占49％，透過稽核而發現的比例是46％，聯繫IT求助時發現的比例是41％，在一段期間赦免使用者使用影子IT的比例是39％，員工向IT部門回報的比例是38％。</p> <p>關於成本的部分，市場研究機構Gartner幾年前曾發布相關研究，顯示在大型企業環境當中，影子IT占IT支出的比例已達到30％到40％，這個數據受到許多媒體與廠商的引用。市場研究機構Everest Group創辦人Peter Bendor-Samuel在CIO雜誌2017年的文章提到，他們預估會達到一半，甚至更高的比例，他還提到一段頗值得省思的話：「如果CIO想要應付這樣的問題，並且與業務之間的關係變得更為密切，那麼，CIO必須要確認：自己所帶領的IT團隊必須表現得比影子IT還要好。」</p> <p>2022年5月，SaaS廠商BetterCloud的產品長Jim Brennan也在Forbes雜誌發表文章，表達軟體與SaaS廠商支持影子IT的立場，標題是「別怕影子IT，擁抱IT」，強調影子IT並非只有資安、預算、資料孤島等負面、有害的影響，他認為CIO與IT人員應該認知到一件事，那就是：對於那些想要完成工作的同事而言，影子IT提供了洞察力，至於該如何駕馭影子IT，重點在於使其浮上檯面，提升能見度與控制能力，最後他更強調影子IT是一種由員工驅動的資產，若能運作在正確的框架，以及獲得公司IT的支持，這些隱形應用系統也能提供策略創新，使員工毋須面臨安全性與靈活度的二選一抉擇。</p> <p>的確，安全性固然是企業確保自身穩定運作與內外信譽的必要因素，然而，業務創新、數位轉型也是無可迴避的議題，如果企業這幾年來已不得不開放自帶行動裝置（BYOD）、在家工作（WFH），面對快速蔓延的影子IT議題，強加遏止的代價恐怕會越來越大，現在需要思考的是如何使其納入公司能夠管理的框架當中，同時，加速推動企業與組織本身IT服務的現代化，提升回應使用者需求的能力。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BD%B1%E5%AD%90it">影子IT</a></div></div></div>
2023/4/7 12:09作者李宗翰https://www.ithome.com.tw/voice/156289
特斯拉車上攝影機影片傳曾在員工之間流傳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/tesla-workers-shared-sensitive-images-recorded-by-customer-cars-2023-04-06/" target="_blank">《路透社》報導</a>，至少有長達三年期間，特斯拉員工可看到特斯拉車上攝影機的拍攝影像，有的還在公司社群平臺分享。</p> <p>為提供自駕及行車安全，特斯拉車內、車身前後與兩側多處安裝攝影機。該公司也宣稱保護用戶隱私。但路透社引述9名前特斯拉員工報導，至少從2019年到2022年之間，員工可以看到攝影機拍攝的影像，甚至在內部通訊平臺上互相分享。</p> <p>路透社是針對300名前特斯拉員工發出訪問邀請，有12名員工同意匿名接受訪談，並透露這家電動車大廠之前不為人知的客戶影片處理作法。</p> <p>這些員工回憶，他們在職期間，可以看到車上攝影機拍攝的影像。被流傳的影片內容各式各樣，其中自然有不少車主不想曝光的私密影像。還有員工曾經看過特斯拉將一名騎單車孩童撞飛的驚悚畫面。特斯拉聲稱拍攝的影片為匿名傳送，不會與車主或車子建立連結。但該公司使用的軟體仍然可以辨識出拍攝地點。</p> <p>此外，就算車子熄火，攝影機也能持續拍攝。特斯拉數年前已關閉這功能，但是一名受訪者說，車子停妥後，被攝影機拍攝得一清二楚的車主家中環境。</p> <p>特斯拉攝影機拍攝到的影像，另一項用途是用於其自駕軟體Autopilot的AI電腦視覺技術。特斯拉先是將影像標註的工作包給舊金山一家名為Samasource的外包商，之後成立專門標註的部門。特斯拉曾公開說明，這個部門人數超過1,000人。</p> <p>前員工指出，這個部門的員工有時會在標註時，將影像擷圖加上特效，或上傳群組軟體互相分享取樂。</p> <p>前員工說，雖然這些影像並非從資料庫非法存取，而是在合法情境下，例如員工協同過程中看到，而且也是車主同意下獲得的資訊，但是他們表示，看到用戶隱私遭到公開且不尊重對待，連他們自己也不會買特斯拉。</p> <p>至於特斯拉今年是否還有這種可能觸法的行為，或是馬斯克是否知情則不得而知。</p> <p>特斯拉公司、執行長馬斯克（Elon Musk）和合作業者Samasource皆未對此回應。</p> </div></div></div>
2023/4/7 12:43作者林妍溱https://www.ithome.com.tw/news/156290
三星公司機密傳遭ChatGPT洩露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://economist.co.kr/article/view/ecn202303300057?s=31" target="_blank">南韓媒體《Economist》報導</a>，南韓科技巨擘三星員工疑似因使用AI聊天機器人ChatGPT，而分別在不同事件中洩露公司機密。</p> <p>報導指出，三星裝置解決方案及半導體業務部門發生三起事件，出自員工將公司機密資訊輸入ChatGPT而外流。外洩的資訊包括半導體設備量測資料庫、生產／瑕疵設備相關軟體，以及一份公司會議語音轉錄的文字紀錄摘要。報導指出，一名軟體開發工程師在資料庫程式開發期間發現程式碼錯誤，於是將整份程式碼複製貼到ChatGPT對話中，以尋找臭蟲及解決方案。</p> <p>三星電子原本因資訊安全禁止員工使用ChatGPT，該公司考慮開發可被公司監管的自有AI聊天機器人服務，3月11日才在員工要求下解除禁令，但三星仍呼籲員工不得分享機密資訊。</p> <p>這起事件可能讓外部用戶透過詢問ChatGPT而得知三星機密。報導指出，三星電子緊急啟動資訊保護指施，將輸入ChatGPT的資訊量限制在每個問題1024 byte以下，並展開內部調查。三星並警告員工，未來若再有類似事件將不再允許公司內部網路使用ChatGPT。</p> <p>OpenAI也曾在公司FAQ網頁告誡用戶，不應在ChatGPT對話中分享敏感資訊。這些被上傳至ChatGPT的資訊，會被當成聊天機器人AI模型的訓練資料。</p> <p>簡單易用又強大的特性讓ChatGPT在全球爆紅，但其大量蒐集用戶資訊令主管機關憂心。上周義大利資料主管機關以ChatGPT蒐集用戶個資，又未能辨識未成年用戶為由，<a href="https://www.ithome.com.tw/news/156239" target="_blank">要求</a>停用ChatGPT，直到OpenAI說明修改蒐集個資的作法。德國當局也說考慮跟進。</p> </div></div></div>
2023/4/7 13:10作者林妍溱https://www.ithome.com.tw/news/156291
蘋果macOS暗藏比特幣白皮書
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://waxy.org/2023/04/the-bitcoin-whitepaper-is-hidden-in-every-modern-copy-of-macos/" target="_blank">一名蘋果開發人員Andy Baio最近發現</a>，蘋果自2018年發表的macOS Mojave（10.14.0）到最新的macOS Ventura（13.3）都暗藏了由中本聰（Satoshi Nakamoto）撰寫的《比特幣：一種對等式的電子現金系統》（Bitcoin: A Peer-to-Peer Electronic Cash System）PDF檔，此一僅有9頁的比特幣白皮書被用來當作Virtual Scanner程式的示範檔案，但沒有人知道為什麼蘋果會選擇《比特幣白皮書》作為例子。</p> <p class="rtecenter"><img alt="" src="https://waxy.org/wp-content/uploads/2023/04/image-2-1024x729.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://waxy.org/2023/04/the-bitcoin-whitepaper-is-hidden-in-every-modern-copy-of-macos/" target="_blank"><span style="color:#696969;">Andy Baio</span></a></span></p> <p>中本聰被視為是比特幣（Bitcoin）的發明人，而《比特幣：一種對等式的電子現金系統》則是中本聰在2008年發表的首個有關比特幣的論文，闡述如何建立一個去中心化的電子交易體系，隔年中本聰即開發了首個相關的演算法，開挖了第一批的50個比特幣。</p> <p>然而，相較於微軟、Amazon或特斯拉（Tesla）都曾開放使用者以比特幣進行交易，蘋果對比特幣或加密貨幣的態度相對保守，例如早期曾全面封殺App Store中的比特幣錢包，2019年時蘋果執行長<a href="https://www.ithome.com.tw/news/133454" target="_blank">Tim Cook還曾暗批</a>Meta發行加密貨幣的計畫是為了追求權力，並闡明蘋果無意發行加密貨幣。</p> <p>macOS用戶有兩種方式可以找出藏在作業系統中的比特幣白皮書，一是透過終端機（Terminal）程式輸入指令：</p> <pre> open /System/Library/Image\ Capture/Devices/VirtualScanner.app/Contents/Resources/simpledoc.pdf</pre><p>二是透過Macintosh HD尋找一個名為VirtualScanner的程式，其示範檔案（simpledoc.pdf）就是《比特幣：一種對等式的電子現金系統》。</p> <p>至於VirtualScanner程式並沒有安裝在所有的macOS作業系統上，就算有也是隱藏的，有人推測它是用來讓iPhone匯入檔案。</p> <p>此一文章出刊後，Baio收到蘋果員工的通風報信，指出一年前蘋果內部就有人發現此事，還提交了議題，但始作俑者卻始終毫無回應，亦無採取任何行動。不過，在受到外界的關注之後，該檔案未來可能會被刪除或替換。</p> </div></div></div>
2023/4/7 10:31作者陳曉莉https://www.ithome.com.tw/news/156278
微軟將改進.NET身分驗證系統，消除對商用專案IdentityServer的依賴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/improvements-auth-identity-aspnetcore-8/">微軟在即將推出的.NET 8中，改進ASP.NET Core在身分驗證、授權和身分管理函式庫</a>，使得商用專案IdentityServer不再是預設，同時也針對單頁應用程式，提供權杖身分驗證功能，官方承諾，新的API將會讓使用者登入和身分管理的開發體驗變得更簡單。</p> <p>現在要於ASP.NET Core應用程式中啟用身分驗證，開發者有3種選擇，分別是使用內建的ASP.NET Core Identity解決方案、Azure AD和第三方以套件、容器和雲端服務形式提供的解決方案。</p> <p>內建的ASP.NET Core Identity中的Identity Manager，可以提供處理使用者、角色的API，而Identity Store則可用於儲存持久身分資訊，ASP.NET Core Identity還與ASP.NET Core身分驗證系統SignInManager整合，且提供可管理用戶的UI。</p> <p>但是當前單頁應用程式在ASP.NET Core Identity使用上存在一些限制，自定義身分驗證相關的頁面，會強迫應用程式恢復成伺服器端渲染頁面，微軟提到，他們正在研究新的解決方案，以支援沒有外部相依性的應用場景，供開發者能夠選擇開箱即用的解決方案，但同時又保有其他選項的自由。</p> <p>微軟將從.NET 8中的單頁應用程式模板，移除對Duende IdentityServer的依賴。過去微軟在.NET Core 3.1的Angular、React和Blazor WebAssembly模板，整合IdentityServer4以支援單頁應用程式中的JSON Web Token（JWT）安全性，但在2020年的時候，<a href="https://blog.duendesoftware.com/posts/20201001_helloduende/">IdentityServer開源專案維護者認為光靠贊助的收入，不足以支撐專案運作</a>，因此宣布IdentityServer4 v4.x將是最後一個開源版本。</p> <p>此後，IdentityServer維護者便成立公司Duende，並且將IdentityServer改為商業授權，不過微軟在2021年發布的.NET 6仍繼續內建IdentityServer，因為微軟認為IdentityServer仍是當時ASP.NET Core創建自部署、本地端託管權杖（Token）服務最成熟的選項。Duende IdentityServer模板具有雙重授權，可免費用於開發、測試和學習，當組織年收入低於100萬美元，也可以免費使用，但高於100萬美元就需要支付使用費用。</p> <p>不過，仍有許多用戶不希望支付額外的費用，因此微軟將在.NET 8中進行調整，讓新端點無需仰賴外部相依項目，就可在單頁應用程式使用基於權杖的身分驗證。雖然微軟會從單頁應用程式模板中，移除對Duende IdentityServer的相依性，但是開發人員仍可以繼續選擇使用Duende的解決方案，只是微軟將不預設提供。</p> <p>具體來說，ASP.NET Core 8在身分驗證有兩個改進方向，第一是擴展Cookie身分驗證，進一步支援單頁應用程式，改善從單頁網頁應用程式過渡到伺服器渲染，所導致的不一致體驗，過去用戶要自定義體驗，需要覆蓋預設的伺服器端渲染頁面，而在.NET 8中官方將會添加API端點，使開發人員能夠在自定義UI採用單頁應用程式。</p> <p>而順應React、Angular和Blazor WebAssembly等單頁應用程式框架的發展，以及開發者的要求，微軟也計畫擴展現有身分驗證平臺，改進.NET 8對權杖身分驗證系統的支援，官方表示，雖然現有以Cookie為基礎的解決方法和功能依然可行，但是使用權杖身分驗證將更靈活，更適合單頁應用程式的身分驗證需求。</p> <p>微軟計畫增加一個不需要第三方相依項目，或是授權的解決方案，與現有Cookie方法提供相同的功能，但將身分驗證資料是封裝在權杖中而非Cookie，可在無法良好使用Cookie時，有額外的選擇。</p> </div></div></div>
2023/4/7 08:24作者李建興https://www.ithome.com.tw/news/156271
當戰線從網路延伸到太空
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_ying_zi_zhan_zheng_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">黑體文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>太空是影子戰爭的危險新戰線，俄國、中國和美國的其他敵人都加快腳步發展與部署太空攻擊能力，目的就是要削減美國在太空領域的巨大優勢，同時善用美國的一大缺點：美國不管是軍方或民間，都極度依賴太空資產和技術。太空這條戰線和影子戰爭的許多戰線一樣，儘管威脅日增，美國卻仍舊在爭論最佳的因應之道。</p> <p>今日至少有四顆衛星，兩顆俄國發射的，兩顆中國發射的，在做其他人造太空物體以前沒做過的事。分析繪圖公司的商業太空行動中心（Commercial Space Operations Center）就像是太空空中交通管制中心，協助今日數百個操控衛星的政府和私人公司監控。在商業太空行動中心追蹤的物體中，有約莫一千五百個是可以操控的衛星，其餘是殘骸，有退役的衛星，有廢棄火箭節體，有小型衛星零部件，宛如散布在高速公路路肩的輪胎皮和碎玻璃。</p> <p>二○一九年，美國軍方計畫讓史上性能最優越的太空監視系統運轉，這套採用尖端科技的地面雷達叫做「太空圍籬」。一名指揮官告訴我，「太空圍籬」就像巨大的探照燈，幾乎能掃描到繞著地球運行的每個物體。而今日，那道探照燈發現愈來愈多的潛在威脅。</p> <p>「美國多年來採取的立場都是，太空中不應該有戰鬥系統。」分析繪圖公司執行長保羅．桂齊亞尼告訴我，「我認識的每個美國政府官員都不想要在太空打仗。不幸的是，敵人卻把我們逼向了另一個方向。雖然這些武器還沒被用過，雖然第三次世界大戰還沒爆發，但是很快就要爆發了。」</p> <p>為什麼說第三次世界大戰呢？美軍指揮官們相信，敵人打算用太空武器痛擊美國本土和美軍。他們認為，太空武器是要用於全面開戰的武器。</p> <p>在商業太空行動中心，衛星技術人員即時觀看著名為「盧奇」（Luch）的俄國衛星把攻擊威脅拉到新高點。盧奇是在二○一四年發射的，它可以在軌道內自由移動，鎖定一顆又一顆外國衛星，靠近到危險的距離，進行觀察、干擾或破壞。</p> <p>在軌道上移動不是什麼新的功能，大部分的衛星都有一些推進力，可以微幅調整飛行路線。不過，若要從一個軌道移動到另一個完全不同的軌道，需要移動數百、乃至於數千英里；如果要貼近到另一個衛星周圍繞行，則需要以極高的軌道速度進行多次調整，這兩者都需要強大的動能、大量的燃料和高超的遠端飛行操控技術。移動靈活的衛星，像是盧奇，都有那些優點。要靈活移動，就得仰賴舊世代的氣體推進器和新世代的電磁推進，藉由發射電流束在太空中靈活移動。盧奇結合這兩種技術，彷彿太空戰鬥噴射機，速度快且靈敏。</p> <p>同時，盧奇也可作為繞著軌道運行的間諜平台，攔截太空中極度機密的衛星通訊，以活像巨大圓形硬漁網的太空天線捕獲每一段訊息。盧奇可以神不知、鬼不覺地溜到極度機密的美國監視和通訊衛星旁邊，進行竊聽。</p> <p>在一年內，盧奇竊聽了三顆美國衛星，竊取極度機密的軍事與政府通訊。我們在商業太空行動中心裡觀看時，盧奇正在尾隨一顆商業通訊衛星。</p> <p>「派間諜衛星緊與著其他衛星，確實能讓俄國取得在別處無法取得的機會。」桂齊亞尼說，「緊與著那些衛星，盧奇就可攔截本來要傳給特定目標商業通訊太空飛行器的訊號。」</p> <p>這種功能的基礎是簡單的物理學。地面通訊站傳向目標衛星的電波相當狹窄，間諜衛星若要攔截那些訊號，就必須離接收電波的目標相當近。有些上傳的電波有的加密，有的沒有，不過即使加了密，要解密也不是不可能。</p> <p><span style="font-size:28px;"><strong>在這種戰略之中，中國就是大衛，美國則是歌利亞</strong></span></p> <p>二○一三年，中國也引進了一種新的太空武器，觀察家起初以為這顆試驗七號是傳統的衛星。後來，在軌道上經過一連串複雜的移動之後，試驗七號跑到同時發射的伴星衛星「創新三號」附近，似乎在測試該怎麼靠近、繞行並跟隨創新三號。</p> <p>後來，在二○一四年，分析繪圖公司的技術人員注意到第二顆衛星從螢幕上消失了。是被摧毀了嗎？但是沒有殘骸的蹤跡。還是與大衛星對接在一起了？這我們就不清楚了。地球上的感應系統可以準確判斷太空物體的位置與大小，但是不一定能判別外形。</p> <p>在整個二○一四年，根據商業太空行動中心的觀察，比較小的那顆衛星反覆出現又消失，分析繪圖公司認為只有一種解釋：試驗七號反覆抓住又釋放那顆小伴星衛星，「練習」一種全新的技能。保羅．桂齊亞尼及其團隊稱試驗七號是世界上第一顆「綁匪衛星」。</p> <p>「試驗七號移動極度靈活，執行過一些任務。」我們在商業太空行動中心看著大螢幕演示試驗七號如何綁架衛星，他告訴我，「它會欺近它發射的小衛星，抓住之後釋放，抓住之後又釋放，不斷重複，反覆抓放。」</p> <p>根據中國國營媒體的報導，試驗七號的機器手臂是用來撿拾太空殘骸以及執行衛星維修保養工作。然而，美國太空司令部的指揮官們發現還有其他更具威脅性的功用。中國對於太空軍事計畫毫不掩飾，在太空部署武器，配合中國的軍事戰略主軸，也就是「在資訊化的條件下打區域戰爭，並且取得勝利」。用外行人聽得懂的說法就是，把資訊科技應用到軍事行動的所有層面，從地面網路戰，到干擾與破壞敵人在太空中的資訊科技，包括攻擊衛星。在這種戰略之中，中國就是大衛，美國則是歌利亞：美國的太空與資訊科技最先進，也最容易遭受攻擊，因為美國是最仰賴那些技術的國家。</p> <p>現在，美國的指揮官們日益重視來自各個國家與非國家組織的非對稱威脅，太空給了大小敵人新的機會，可以削弱乃至於徹底消除美國的科技優勢。</p> <p>中國和俄國帶頭在太空部署武器，他們還有夥伴，伊朗和北韓也在試驗用於攻擊太空的雷射武器。而且，理論上，只要有太空計畫的國家都可能會製造太空武器，而且速度非常快。分析繪圖公司估計，太空中有約莫一千個物體至少有一定的操控能力。在太空中當物體以時速一萬七千五百英里移動時，每個可操控的物體都可能變成太空武器。</p> <p>蘇聯解體之後，美國在太空失去了唯一一個值得認真看待的競爭對手。然而，在最後十年，中國崛起，俄國復興成為志在全球的強權，太空再度成為危險的競賽場地。</p> <p>美軍針對太空戰爭進行了多次模擬，每次結果都令人提心吊膽。</p> <p>美國人認為，第一次太空戰爭會無聲無息展開。敵人以光速在美國各地發動一連串精心策劃的網路攻擊，電視螢幕變成黑幕，網路連線變得異常，極度緩慢，慢如龜速，提款機故障。起初，可能會看起來像是倒霉，網路發生連環故障。鮮少人立刻感到驚慌。</p> <p>接著戰線從網路領域延伸到遙遠的太空，地面雷射攻擊美國在近地軌道的通訊衛星，敵軍艦與軍機發射飛彈，摧毀在地球上方超過一萬兩千英里運行的全球定位系統衛星。接著，再往上數千英里，在同步軌道上，有些美國太空司令部的指揮官稱之為「最神聖的」軌道，新部署的神風衛星（能追蹤其他衛星，進行干擾、破壞與摧毀。）會癱瘓美國最重要的核子預警和監視衛星。</p> <p>衛星被摧毀會對民生造成更加全面的影響。金融市場會癱瘓關閉，因為貿易仰賴軍方的全球定位系統衛星網路確保時間一致。網路全面中斷，商業驟然停止，因為信用卡和銀行機器無法使用，手機服務也徹底失靈，就像九月十一日第二架飛機撞上雙子星大樓的那一刻，大家才恍然大悟，美國遭到攻擊了。<span style="color:#696969;"><strong>（本文摘錄整理自《影子戰爭》第六章，黑體文化提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-%E5%BD%B1%E5%AD%90%E6%88%B0%E7%88%AD-500.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_黑體文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 影子戰爭：從資訊戰到尖端衛星武器競賽，二十一世紀戰爭的隱形戰線</strong></p> <p>吉姆．修托（Jim Sciutto）／著；高紫文／譯</p> <p>黑體文化出版</p> <p>定價：450元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%BD%B1%E5%AD%90%E6%88%B0%E7%88%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%80%B6%E9%AD%AF%E5%A4%A7%E5%AD%B8.png" style="width: 120px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_耶魯大學</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>吉姆．修托（Jim Sciutto）</strong></p> <p>畢業於耶魯大學，曾經在亞洲、歐洲和中東擔任外國特派記者逾二十年。目前在美國有線電視新聞網（CNN）擔任首席國家安全特派記者及華盛頓特區新聞編輯室主播，對美國國家安全進行全方位的分析，報導與國防部、國務院和情報機關相關的新聞。他是傅爾布萊特獎學金學人，也曾獲得艾美獎、喬治波克新聞獎（George Polk Award）和愛德華莫洛獎（R. Murrow Award），其優異的總統報導也獲梅里曼史密斯獎（Merriman Smith Award）。</p> </div></div></div>
2023/4/7 00:00未署名https://www.ithome.com.tw/article/156130
Databricks針對製造業推出湖邊小屋，加速資料分析和AI用例開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks持續擴展其資料湖解決方案，推出<a href="https://www.databricks.com/blog/2023/04/04/the-lakehouse-for-manufacturing">製造業專用湖邊小屋</a>平臺，在其原有的核心湖邊小屋平臺上，開發出適用於製造業的資料分析解決方案，並且提供預建置加速器，支援數位雙生、物料預測和設備效率分析等用例。</p> <p>Databricks的湖邊小屋是一種新型態的資料架構，透過整合資料湖和資料倉儲的優勢，提供更靈活的資料分析解決方案。湖邊小屋可同時處理結構化和非結構化資料，且支援即時資料的處理與分析，藉由整合資料生態系中多種資料來源和工具，像是Delta Lake、Apache Spark、Pandas等，提供企業高效且可擴展的資料處理平臺。</p> <p>因應不同產業獨有特性，Databricks針對像是<a href="https://www.databricks.com/blog/2022/03/09/introducing-lakehouse-for-healthcare-and-life-sciences.html">醫療保健</a>或是<a href="https://www.databricks.com/blog/2022/02/15/lakehouse-for-financial-services-paving-the-way-for-data-driven-innovation-in-fsis.html">金融服務</a>等不同產業，皆推出專用的湖邊小屋解決方案，而Databricks現在進一步發布製造業使用的湖邊小屋平臺，解決製造產業的資料應用痛點。</p> <p>官方指出，製造業所產生的龐大資料量，較零售、媒體和金融服務高出2到4倍。製造業龐大的資料，在發展資料應用上會遭遇各種障礙，包括傳統本地儲存和雲端資料倉儲連接的複雜性，而且不斷成長的龐大資料量，也使得處理成本過於高昂，另外，生產過程所產生的結構化和非結構化資料，使資料分析工具碎片化，使用成本更高也更花費時間，還有過去批次資料處理節奏，也難以運用資料即時做出營運決策。</p> <p>製造業專用湖邊小屋平臺建立在Databricks核心湖邊小屋平臺之上，能夠克服這些資料應用障礙，在單一平臺提供資料分析、資料工程和機器學習功能，並且統一資料治理，使得製造業更容易發展資料應用。而且用戶還可方便地採用，支援各種工業資料用例的預建置解決方案加速器，現在該平臺可以使用的加速器包括數位雙生、物料預測、設備效率分析、電腦視覺和預測性維護等。</p> </div></div></div>
2023/4/6 22:14作者李建興https://www.ithome.com.tw/news/156266
Meta計畫今年下半年將開始利用AI生成廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta的技術長（CTO）安德魯．博斯沃思（Andrew Bosworth）表示，Meta正在計畫於今年下半年的廣告業務中使用大量的AI為不同公司生成廣告。</p> <p>Meta在接受日經亞洲（Nikkei Asia）的<a href="https://asia.nikkei.com/Business/Technology/Meta-to-debut-ad-creating-generative-AI-this-year-CTO-says">採訪</a>時，博斯沃思說明AI將改善Meta核心業務，而旗下產品Facebook、WhatsApp和Instagram會優先開發由AI生成的廣告提供給受眾，並計劃在今年下半年投入使用。</p> <p>博斯沃思指出Meta幾個月前剛剛成立了一個新團隊，名為「生成式人工智慧（Generative AI）」，這也是他和執行長（CEO）馬克．祖克柏（Mark Zuckerberg）以及產品長（CPO）Chris Cox投資最多時間和精力的項目。</p> <p>其實，祖克柏於今年二月宣布成立了這個新團隊時，在臉書的貼文中就曾解釋這個「高層產品組（top-level product group）」正在研究如何利用AI幫助人們的文字訊息（如WhatsApp 以及Messenger）、圖像生成（像是Instagram的濾鏡和廣告）或是錄製影片等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(53).png" style="width: 600px; height: 219px;" /></p> <p>雖然Meta的元宇宙並未如預期般順利，但它仍然藉由推動生成式 AI持續了創建虛擬世界的想法。博斯沃思告訴日經亞洲，像OpenAI 的GPT-4和Google的PaLM這樣的大型語言模型（large language model，LLMs）將有助於3D模型的創建，因為這類大型語言模型能根據使用者描述執行任務。</p> <p>他還說「在過去，如果想創建一個3D世界，我需要學習很多計算機圖形學和程式語言的知識。在未來，可能只需透過描述，大型語言模型就能生成你想要打造的3D世界。因此，這使得更多人可以輕易地從事類似的創作內容。」</p> <p>雖然元宇宙藍圖是Meta的長期計劃，但廣告是Meta的主要收入來源，也是當務之急，博斯沃思認為，AI可以為不同公司製作廣告給受眾，這將能夠節省大量時間和金錢。</p> <p>儘管許多大公司認為快速生成的AI技術缺乏明確規範，<a href="https://www.ithome.com.tw/news/156198">引發反彈</a>，進而簽署了Future of Life Institute所發表的公開信，此公開信呼籲要求科技公司暫停訓練比GPT-4更強大的AI系統至少6個月，必須包含所有關鍵人士，且需公開可驗證。若無法應立即暫停，各國政府也應該要介入強制中止。此舉獲得特斯拉執行長伊隆．馬斯克（Elon Musk）、蘋果共同創辦人Steve Wozniak、Stability AI執行長 Emad Mostaque等科技大老聲援。</p> <p>生成式人工智慧是 AI 的一個子集，它能夠透過機器學習模型生成新的數據或內容，包括文字、圖像、音樂、影片、程式碼、各種設計、3D模型等。</p> </div></div></div>
2023/4/6 21:50作者洪予揚https://www.ithome.com.tw/news/156257
【資安日報】4月6日，網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日的資安新聞有不少與已知漏洞的攻擊行動有關，例如，之前出現的網路電話系統開發商3CX供應鏈攻擊事故，駭客於Windows版用戶端軟體利用了10年前的軟體簽章漏洞CVE-2013-3900，原因是微軟將相關更新程式列為選用，而有可能因為使用者的電腦沒有修補這項漏洞，讓駭客能夠得逞。</p> <p>這種已知漏洞尚未修補，而能讓駭客隨意利用的情況究竟有多嚴重？有資安業者根據美國網路安全暨基礎設施安全局（CISA）列管的896個已被利用漏洞名單（KEV）著手調查，結果發現有1,500萬個應用系統曝露KEV列管的部分漏洞，值得留意的是，研究人員列出的10大漏洞裡，有一半以上存在5年以上。</p> <p>上述的KEV名冊裡有不少是高風險漏洞，使得研究人員不斷呼籲要儘速修補，但低風險的漏洞也同樣值得留意。有資安業者針對威聯通NAS設備的零時差漏洞提出警告，並指出這些漏洞的CVSS風險評分雖然僅有2.7分，但在駭客時常針對該廠牌NAS下手的情況下仍應儘速修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/10-year-old-windows-bug-with-opt-in-fix-exploited-in-3cx-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路電話系統開發商3CX遭到供應鏈攻擊，傳出駭客運用10年前的Windows漏洞</span></strong></a></p> <p>網路電話系統開發商3CX傳出遭到供應鏈攻擊，導致用戶端軟體被植入惡意程式，如今這起事故有了新的發現。根據資安新聞網站Bleeping Computer的報導，駭客這次疑似利用了Windows在10年前被發現的漏洞CVE-2013-3900，駭客在用戶端軟體竄改了2個DLL程式庫檔案，其中1個是d3dcompiler_47.dll，他們更動了檔案結尾的部分，進而納入了加密的惡意酬載，但因利用了上述漏洞，此DLL檔案更動後仍保有微軟的簽章。</p> <p>為何駭客會鎖定這項漏洞？原因是微軟將其修補程式列為選用更新，而使得很多電腦可能沒有安裝此修補軟體。此外，若是用戶升級作業系統至Windows 11，也有可能導致CVE-2013-3900再度出現。</p> <p><a href="https://securelist.com/gopuram-backdoor-deployed-through-3cx-supply-chain-attack/109344/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣業者遭到網路電話系統3CX供應鏈攻擊波及，被植入後門程式Gopuram</span></strong></a></p> <p>網路電話系統開發商3CX傳出遭到供應鏈攻擊的事故，傳出背後發動攻擊的駭客是來自北韓的Lazarus，但其鎖定的目標究竟是誰？根據資安業者卡巴斯基的調查，駭客針對加密貨幣業者而來，並於受害電腦部署後門程式Gopuram，研究人員指出，這些遭到感染的電腦遍布全球，但數量不到10臺，駭客的目的很有可能是為了經濟利益。該資安業者提出警告，他們在今年3月發現Gopuram的攻擊行動升溫，駭客不只會於受害電腦植入惡意程式庫wlbsctrl.dll，還會部署加密的Shell Code酬載來發動攻擊。</p> <p><a href="https://research.checkpoint.com/2023/rorschach-a-new-sophisticated-and-fast-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rorschach濫用Palo Alto Networks的XDR系統元件載入、執行</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Rorschach-Picture3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rorschach-Picture3.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露名為Rorschach勒索軟體，此勒索軟體具備自動建立群組原則物件（GPO）的能力，進而直接透過網域散布到區域網路的所有電腦，並使用系統呼叫（Syscall）來躲避安全防護機制，駭客亦採用特殊的封裝手法來防堵研究人員分析。</p> <p>而對於攻擊者執行該勒索軟體的方法，研究人員指出是透過資安業者Palo Alto Networks旗下的Cortex XDR元件，並以DLL側載（DLL Side-loading）的方式載入。</p> <p>值得一提的是，此勒索軟體採用了效率極高的混合加密法，針對檔案的部分內容進行加密，並實作執行緒工作排程（Thread Scheduling），而使得檔案完成加密的速度非常快──LockBit 3.0需要耗時7分鐘加密的檔案，Rorschach僅需4分半就能完成。</p> <p><a href="https://www.mandiant.com/resources/blog/alphv-ransomware-backup"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">備份系統Veritas的弱點遭勒索軟體BlackCat利用，入侵受害組織</span></strong></a></p> <p>資安業者Mandiant揭露勒索軟體BlackCat（亦稱Alphv）旗下組織UNC4466新型態的攻擊行動，駭客約在去年10月，開始針對曝露於網際網路的資料備份系統Veritas Backup Exec下手，鎖定尚未修補CVE-2021-27876、CVE-2021-27877、CVE-2021-27878（CVSS風險評分為8.1、8.2、8.8）的Windows主機，利用特定的滲透測試工具Metasploit模組發動攻擊。</p> <p>駭客一旦成功入侵，就會透過Advanced IP Scanner、ADRecon進行偵察，然後下載其他作案工具，最終濫用背景智慧型傳輸服務（BITS）於受害電腦部署勒索軟體。由於駭客在這起攻擊行動當中採用的工具，就是針對上述漏洞而來的Metasploit模組，使得研究人員呼籲企業要儘速修補。</p> <p><a href="http://www.businesswire.com/news/home/20230402005076/en/Western-Digital-Provides-Information-on-Network-Security-Incident"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">磁碟製造商Western Digital資料外洩，多項雲端備份服務停擺</span></strong></a></p> <p>硬碟製造商Western Digital（WD）於4月3日證實，他們在3月26日察覺遭到網路攻擊，未經授權的第三方取得權限，入侵數個系統，該公司旗下的NAS系統備份服務My Cloud、My Cloud Home、My Cloud Home Duo，以及裝置備份服務My Cloud OS5 照片管理服務SanDisk ibi、無線充電服務SanDisk Ixpand Wireless Charger中斷，該公司認為駭客已從內部系統取得部分資料，他們正著手調查受到影響的範圍。</p> <p><a href="https://twitter.com/BrettCallow/status/1642904101783756805">資安業者Emsisoft的研究人員推測</a>，本次事故很可能是勒索軟體攻擊。</p> <p><a href="https://patchstack.com/articles/critical-elementor-pro-vulnerability-exploited/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Elementor Pro漏洞出現攻擊行動，1,100萬網站恐曝險</span></strong></a></p> <p>資安業者Ninja Technologies Network（NinTechNet）於3月28日，<a href="https://blog.nintechnet.com/high-severity-vulnerability-fixed-in-wordpress-elementor-pro-plugin/">揭露WordPress外掛程式Elementor Pro的高風險漏洞（未分配CVE編號）</a>，此漏洞涉及串接電子商城WooCommerce的模組，而使得任何人在未經充分身分驗證的情況下，就能修改WordPress網站的配置，影響3.11.6版之前的版本，CVSS風險評分為8.8分，估計1,100萬個網站可能會受到影響，開發商於3月22日發布新版外掛程式修補。</p> <p>到了3月30日，資安業者Patchstack呼籲網站管理者要儘速修補Elementor Pro，原因是他們看到來自多個IP位址的攻擊行動，其中大部分來自193.169.194.63、193.169.195.64、194.135.30.6。</p> <p><a href="https://www.rezilion.com/blog/get-to-know-kev-in-our-new-research-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾1,500萬個連接網際網路的應用系統受到CISA列管的已知漏洞影響</span></strong></a></p> <p>資安業者Rezilion針對美國網路安全暨基礎設施安全局（CISA）列管的896個已被利用漏洞名單（KEV）進行調查，結果發現，至少1,500萬個能透過網際網路存取的應用系統，具有KEV列出的漏洞，這些應用系統主要會受到其中的200個漏洞波及，以KEV所突顯的137個Windows漏洞為例，影響的系統數量為700萬個。</p> <p>研究人員透過物聯網搜尋引擎Shodan，找出10大曝險漏洞，值得留意的是，有半數漏洞超過5年，包含加密程式庫OpenSSL漏洞Heartbleed（CVE-2014-0160）、Windows終端機服務漏洞BlueKeep（CVE-2019-0708）等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sternumiot.com/iot-blog/qnap-ts-230-nas-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通修補NAS零時差漏洞，8萬臺設備曝險</span></strong></a></p> <p>資安業者Sternum揭露威聯通（QNAP）NAS作業系統的零時差漏洞CVE-2022-27597、CVE-2022-27598（CVSS風險評分2.7），這些漏洞一旦遭到利用，攻擊者就有可能在通過身分驗證的情況下，遠端取得秘密參數，執行QTS、QuTS hero、QuTScloud、QVR Pro appliances（QVP）作業系統的設備都可能受到影響，估計約有8萬臺設備具有上述漏洞。</p> <p>目前<a href="https://www.qnap.com/en/security-advisory/qsa-23-06">威聯通已釋出QTS、QuTS hero新版韌體</a>，用戶可執行更新修補漏洞。研究人員認為，雖然上述漏洞的CVSS風險評分並不高，但有鑑於駭客針對頻頻該廠牌NAS發動攻擊，使用者不應輕忽這些平臺的漏洞修補。</p> <p><a href="https://support.hp.com/us-en/document/ish_7905330-7905358-16/hpsbpi03838"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">HP揭露LaserJet印表機重大漏洞，呼籲用戶暫時改用舊版韌體因應</span></strong></a></p> <p>4月3日HP發布資安公告，指出旗下約有50款LaserJet印表機存在重大漏洞CVE-2023-1707，此為資訊洩露漏洞，存在於執行韌體FutureSmart 5.6版、啟用IPsec通訊協定的印表機，CVSS風險評分為9.1。</p> <p>該公司承諾將於90天內提供新版韌體，但在此之前，他們呼籲用戶應將印表機韌體改回5.5.0.3版，來防堵上述漏洞帶來的風險。</p> <p><a href="https://www.wiz.io/blog/bingbang"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">搜尋引擎Bing的結果有可能遭到錯誤配置的微軟應用程式挾持</span></strong></a></p> <p>資安業者Wiz揭露名為BingBang的弱點，此漏洞存在於Azure AD的不當組態，一旦IT人員在Azure App Services、Azure Functions建立網站應用程式，就有可能因錯誤的組態配置，而允許其他微軟租戶存取。研究人員於1月底通報，微軟已完成修補，並於3月28日頒發4萬美元獎金給Wiz研究人員。</p> <p>而對於這項漏洞的名稱由來，是研究人員發現攻擊者可利用微軟旗下的Bing Trivia內容管理系統（CMS）來觸發上述漏洞，不只可竄改搜尋引擎Bing的搜尋結果，還能對Bing用戶發動跨網站指令碼（XSS）攻擊，甚至是竊取電子郵件、SharePoint共用檔案。</p> <p><a href="https://orca.security/resources/blog/super-fabrixss-azure-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補Azure Service Fabric高風險漏洞Super FabriXSS</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Super-FabriXSS.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Super-FabriXSS.png" style="width: 300px; float: right;" /></a>資安業者Orca揭露名為Super FabriXSS的跨網站指令碼（XSS）漏洞CVE-2023-23383，此漏洞存在於微軟Azure Service Fabric Explorer（SFX），未經身分驗證的攻擊者可遠端在Service Fabric節點代管的容器中，執行任意程式碼，CVSS風險評分為8.2。微軟獲報後於3月例行修補（Patch Tuesday）提供更新程式。</p> <p>研究人員指出，攻擊者可藉由發送精心設計的URL來發動攻擊，進而在使用者連線的上下文嵌入iframe，接收來自攻擊者伺服器的檔案，最終於受害環境執行PowerShell打造的惡意反向Shell，這樣的做法很有可能繞過防火牆或相關的安全措施。</p> <p><a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電腦版Chrome 112發布，修補16個漏洞</span></strong></a></p> <p>Google於4月4日發布Chrome 112版（112.0.5615.49、112.0.5615.50），總共修補了16個漏洞，其中有2個為高風險等級。</p> <p>根據該公司頒發的獎金多寡，最嚴重的高風險漏洞是CVE-2023-1810，此為Visuals元件的記憶體堆疊緩衝區溢位漏洞，Google為此發出5千美元獎金；另一個高風險漏洞是CVE-2023-1811，該漏洞出現於Frames元件，為記憶體釋放後濫用（UAF）弱點，Google頒給研究人員3千美元獎勵。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://edition.cnn.com/2023/04/02/tech/china-pinduoduo-malware-cybersecurity-analysis-intl-hnk/index.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">購物App拼多多傳出具備監控功能，關閉後仍會在後臺運作</span></span></strong></a></p> <p><a href="https://www.theregister.com/2023/04/03/uber_drivers_info_stolen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Uber再傳司機資料外洩，起因是法律事務所遭駭</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/capita-cyberattack-disrupted-access-to-its-microsoft-office-365-apps/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國IT服務業者Capita遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/consumer-lender-tmx-discloses-data-breach-impacting-48-million-people/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">金融集團TMX資料外洩，480萬人受到影響</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/with-keyplug-chinas-redgolf-spies-on-steals-from-wide-field-targets"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客組織RedGolf利用後門程式Keyplug發動攻擊</span></span></strong></a></p> <p><a href="https://source.android.com/docs/security/bulletin/2023-04-01"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓4月例行更新發布，修補2個重大RCE漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156233">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156202">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156193">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</a></strong></p> </div></div></div>
2023/4/6 15:37作者周峻佑https://www.ithome.com.tw/news/156264
HP揭露涉及數十款雷射印表機的資訊外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.hp.com/us-en/document/ish_7905330-7905358-16/hpsbpi03838" target="_blank">HP本周揭露了一個涉及數十款雷射印表機的重大漏洞CVE-2023-1707</a>，成功的攻擊將允許駭客存取同一網路上裝置與印表機之間的傳輸資訊，HP建議使用者暫時降級至無漏洞的舊版韌體，而真正的修補程式則預計會在90天內出爐。</p> <p>根據HP的說明，受到波及的是採用FutureSmart 5.6版的特定HP Enterprise LaserJet與HP LaserJet Managed Printers，而且這些雷射印表機必須啟用IPsec安全協定。</p> <p>儘管HP並未公布漏洞細節，僅說這是個資訊揭露漏洞，但由於IPsec是個應用於企業網路的安全協定，負責捍衛內部通訊的安全，並防止未經授權的資產存取，而FutureSmart則允許使用者自遠端配置印表機，意謂該漏洞將讓駭客得以存取印表機與網路裝置之間的通訊，其CVSS風險等級高達9.1。</p> <p>舉凡是安裝FutureSmart 5.6並啟用IPsec的HP印表機都可能受到波及，估計約影響50款印表機，目前HP尚未釋出修補程式，建議使用者降級到更早之前的FutureSmart版本以暫時因應。</p> </div></div></div>
2023/4/6 15:22作者陳曉莉https://www.ithome.com.tw/news/156263
GKE現預設啟用Autopilot叢集運作模式，可自動管理基礎設施並提升安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端在其Kubernetes服務<a href="https://cloud.google.com/blog/products/containers-kubernetes/gke-autopilot-is-now-default-mode-of-cluster-operation">預設啟用Autopilot叢集模式</a>。Autopilot是GKE在2021年所推出的服務，能夠自動管理基礎設施並且應用最佳實踐，使得用戶可以花更少的時間在基礎設施管理工作，更專注於軟體開發上。</p> <p>官方提到，Autopilot是一種叢集操作模式，使得無專業知識的用戶，也能夠簡單使用GKE，Google於叢集創建頁面預設啟用並且推薦Autopilot模式。Autopilot的優點包括加速軟體上市、維持可靠性、改善安全態勢等。</p> <p>由於GKE Autopilot可大幅簡化Kubernetes操作，使得企業更快地建構和部署應用程式，開發人員可以在工作負載定義podSpec中，配置廣泛的資源和目標CPU平臺，Autopilot功能會自動根據定義啟動需要的基礎設施，並且配置需要的污點（Taint）和容忍度（Tolerations）屬性。</p> <p>Autopilot大幅降低Kubernetes的學習曲線，能夠管理節點池和節點，讓剛接觸Kubernetes的用戶，也能夠妥善管理Kubernetes。Autopilot適合用於各種用例的預設配置，針對工作負載進行最佳化，用戶不需要計算節點大小和機器規格。Autopilot模式還提供由Google SRE所支援的Pod層級SLA，由Google監控整個Autopilot叢集控制平面、工作節點和核心Kubernetes系統元件，使Pod能夠維持正常調度。</p> <p>另外，Autopilot的一大賣點便是改善安全態勢，Google提到，要安全使用Kubernetes並不容易，而Autopilot提供安全的Kubernetes版本，並且預設啟用合理的安全配置，能夠最大程度減少攻擊面，進而減少CVE和錯誤配置帶來的影響。Autopilot採用安全最佳實踐，像是不允許工作負載和用戶進行特權存取，以及限縮Kubernetes上的節點和特權容器對Root存取的合法用例，並且以白名單來管理例外情況。</p> <p>Autopilot相容於Kubernetes，能夠支援大多數Kubernetes工作負載，像是區塊存儲裝置StatefulSets、DaemonSets以及用於機器學習的GPU任務，同時也支援營運工作負載所需，包括OPA/Gatekeeper、Webhooks和IP偽裝等技術。</p> </div></div></div>
2023/4/6 15:59作者李建興https://www.ithome.com.tw/news/156265
Meta公布圖像分割AI模型、訓練資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/segment-anything-foundation-model-image-segmentation/" target="_blank">Meta昨（5）日宣布開源可分割圖像</a>，或將某部分圖像獨立出來並遮罩的圖像分割（image segmentation）AI模型及訓練資料集。</p> <p>Meta公布Segment Anything專案，將其開發的圖像分割（image segmentation）模型Segment Anything Model（SAM）及Segment Anything 1-Billion（SA-1B）遮罩資料集以Apache 2.0授權開源，以提供開發及研究之用。</p> <p class="rtecenter"><a href="https://github.com/facebookresearch/segment-anything" target="_blank"><img alt="" src="https://opengraph.githubassets.com/7e9f05101bce2725f359334a98e9c3bd792445dec16275e1be6d3ede9935c96a/facebookresearch/segment-anything" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／GitHub</span></p> <p>圖像分割是指辨識屬於特定物件的圖像像素，它是電腦視覺的核心任務，也用於多種領域，包括分析科學影像或編輯相片。但建立特定應用的準確圖像分割模型，需要具備AI模型訓練的基礎架構，以及經仔細標註的大量資料。</p> <p class="rtecenter"><img alt="" src="https://github.com/facebookresearch/segment-anything/raw/main/assets/model_diagram.png?raw=true" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>Meta指出，Segment Anything專案的核心目的是透過提供圖像分割的底層模型，降低訓練特定任務用的模型建立、基礎架構、資料標註的門檻。其SAM模型已經過多元資料訓練，再依不同任務加以訓練，也可像自然語言處理模型一樣透過提示執行。</p> <p>同時，此類模型訓練資料不像一般影片、圖像和文字可在網際網路上隨處取得，這也是Meta提供SA-1B價值所在。Meta說，它也是歷來最大的圖像分割訓練資料集。</p> <p>Meta指出，SAM作為底層模型，已能理解模型的一般概念，可為圖像和影像中任何物件產生遮罩，包含訓練時未遇過的物件和圖像類型，足以涵蓋多種應用情境，包括較新的影像領域，如水底相片或細胞顯微影像等。</p> <p>Meta說，Segment Anything專案可促進新圖像分割模型的發展，對AI研究界而言，SAM也能作為更大型AI系統的一部分，期望結合提示工程等，發展出可拆解的系統設計，以用於多模AI應用。像是理解網頁的影像和文字內容。或是用於AR/VR系統中，根據使用者視線選擇物件，再將之提升為3維物件。對內容創作者，SAM可協助擷取一部分影像製作拼貼，或進行影片編輯。SAM也可用於自然現象的科學研究，例如定位動物或物件，並在影片中追蹤等等。</p> <p><a href="https://github.com/facebookresearch/segment-anything" target="_blank">SAM及SA-1B相關資訊已公開在GitHub上</a>。<a href="https://github.com/facebookresearch/segment-anything" target="_blank">SA-1B是由一家大型相片業者授權</a>，包括地點、地點、風景等主題圖片，而為隱私考量，本資料集已經對人的臉孔及車牌做過匿名化處理。</p> <p>Meta 2月間開源的大型語言模型<a href="https://www.ithome.com.tw/news/155692" target="_blank">LLaMA</a>，其他研究單位在其基礎上已接連開發新模型，例如史丹佛大學的<a href="https://www.ithome.com.tw/news/155922" target="_blank">Alpaca 7B</a>及Databricks的<a href="https://www.ithome.com.tw/news/156128" target="_blank">Dolly</a>。</p> </div></div></div>
2023/4/6 12:34作者林妍溱https://www.ithome.com.tw/news/156259
Google要求Android程式開發者允許使用者刪除帳號與資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2023/04/giving-people-more-control-over-their-data.html" target="_blank">Google本周發布了一項新的資料刪除政策</a>，要求Android開發者必須提供選項，以讓使用者得以在程式中與網頁上刪除帳號及資料，這是Google強化Google Play用戶對Android程式信任度的新措施。</p> <p>此一新功能將出現在<a href="https://www.ithome.com.tw/news/147360" target="_blank">Google Play的資料安全項目（Data safety section）</a>中，新政策要求開發者必須允許使用者刪除帳號，在刪除帳號的同時也必須刪除與該帳號有關的資料，不過，此一功能也讓開發者得以提供更多的選項，例如有時使用者並非想要完全刪除帳號，只想刪除如活動歷史紀錄、圖片或影片等資料。</p> <p>此外，有些與法令相關的使用者資料依然會被保留，包括那些涉及安全、防範詐欺或法規遵循的資料，但開發者必須清楚地揭露保留相關資料的作法。</p> <p>為了留給開發者更多的準備時間，Google的第一步是要求開發者於12月7日之前，於程式的Data Safety表格中提供資料刪除問題的解答，Google Play用戶則可在明年初在程式Data Safety項目中看到新的資料刪除功能。至於需要更多時間的開發者則可申請延後履行，期限為明年的5月31日。</p> <p>值得注意的是，Google要求開發者必須同時於程式及網頁上提供帳號與資料的刪除功能，以便讓那些已經移除程式的使用者不必重新安裝程式也能刪除帳號。</p> <p>Google持續改善Google Play的隱私與安全，宣稱此一新政策所帶來的直覺經驗將讓使用者更能理解控制自己資料的各種管道，進而更信賴Google Play及該平臺所出版的程式。</p> </div></div></div>
2023/4/6 11:59作者陳曉莉https://www.ithome.com.tw/news/156258
傳蘋果也啟動裁員，影響零售部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2023-04-03/apple-to-make-small-number-of-job-cuts-in-some-corporate-retail-teams" target="_blank">《彭博》（Bloomberg）報導</a>本周蘋果也加入Google、Amazon、微軟等科技公司的行列，對零售部門下達裁員令。</p> <p>報導指出，蘋果上周通知零售店建造和維運部門員工，他們可在本周末之間在公司其他部門尋找職缺，找不到者就必須走人。蘋果對被裁撤的員工發給4個月資遣金。</p> <p>這波裁員影響人數不明，但報導指出，人數比起Google、Amazon、Meta及微軟上萬規模來比要小得多。蘋果告訴員工，這次人事異動不是裁員，而是為了改善全球零售店維運效率的精簡行動。</p> <p>不過這也是蘋果已知首次裁減正職員工。因應景氣寒冬，去年11月蘋果開始凍結人員聘僱。今年2月，<a href="https://www.wsj.com/livecoverage/stock-market-news-today-02-02-2023/card/apple-ceo-tim-cook-says-economic-challenges-a-headwind-Lwsz2GdQzExYtPHkiLPH" target="_blank">蘋果執行長庫克（Tim Cook）曾告訴《華爾街日報》</a>因應裁員是最後手段。去年6月蘋果已中止大約100名約聘人員合約，也曾中止約聘工程師及保全等職位。</p> <p>相較之下，其他大廠裁員更早、規模也更大。以公開宣布的規模而言，Amazon繼去年11月後，<a href="https://www.ithome.com.tw/news/156011" target="_blank">上個月再裁</a>9,000人，共裁了2.7萬；Meta去年11月及<a href="https://www.ithome.com.tw/news/155932" target="_blank">今年3月</a>兩次裁員共2.1萬、Google和微軟則各在今年1月裁減<a href="https://www.ithome.com.tw/news/155250" target="_blank">1.2萬</a>及<a href="https://www.ithome.com.tw/news/155219" target="_blank">1萬</a>名員工。</p> </div></div></div>
2023/4/6 10:07作者林妍溱https://www.ithome.com.tw/news/156253
研究人員發現加密速度迄今最快的勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.checkpoint.com/2023/rorschach-a-new-sophisticated-and-fast-ransomware/" target="_blank">Checkpoint安全研究人員發現</a>一隻新勒索軟體Rorschach，在平均不到5分鐘內即可完成系統檔案加密，是加密速度最快的勒索軟體之一。</p> <p>Checkpoint安全回應中心研究人員是在一家美國企業客戶系統發現這隻嶄新勒索軟體，它利用一款經簽章的商用安全軟體元件部署到受害者電腦中，研究人員將之命名為Rorschach。</p> <p>這隻勒索軟體在許多方面都很特別。它和其他勒索軟體組織似乎沒有聯盟關係，也不像已知勒索軟體具有品牌名。它的勒索軟體訊息格式類似Yanluowang，但其他變種則很像Darkside，以致曾被誤認。</p> <p>深層分析顯示，Rorschach一些特徵能和其他勒索軟體很像，但更為進階。首先，不同於許多勒索軟體感染企業系統時需要手動執行某些作業，像是建立網域群組政策（GPO），Rorschach則可將這些工作自動化，因而可透過網域控制器（domain controller）自動散布，還能清除受害機器的事件紀錄檔。過去只有LockBit 2.0有這等能力。</p> <p>此外，Rorschach使用直接的系統呼叫（syscall）躲避防護機制，這就是首次在勒索軟體見到的能力。它還使用特殊封裝方法以防止安全人員分析。此外，它相當有彈性，除了原有配置，也提供客製化設定，可依據營運者需求改變其行為。</p> <p>另一項特殊之處在於，Rorschach勒索軟體使用極高效率的混合加密法，加密檔案的部分內容，而非整個檔案。分析其混合加密手法，研究人員判斷可能來自Babuk勒索軟體。此外，它也有效實作執行緒排程（thread scheduling），而且其組譯器也經過速度最佳化。研究人員指出，這些因素使這隻勒索軟體成為他們遇過加密最快的勒索軟體之一。</p> <p>研究人員比較Rorschach及去年最兇狠的勒索軟體之一的LockBit v3，顯示Lockbit v3平均加密時間為7分鐘，而新勒索軟體僅需4分鐘30秒。而透過調整加密串數量，速度還可以再提高。</p> <p>研究人員指出，Rorschach似乎集結了已知現有首要勒索軟體的最佳功能於一，並以自動化方法自我繁殖，已提高了勒索軟體攻擊能力的水準。</p> </div></div></div>
2023/4/6 10:52作者林妍溱https://www.ithome.com.tw/news/156256
Cloud周報第171期：百年消費品大廠聯合利華全面上雲，2年內完成旗下4百個品牌系統遷雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（03/30～04/05）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GCP推出能支援本地與邊緣安裝的雲端資料庫AlloyDB Omni</span></strong></p> <p>去年Google Cloud推出可相容於PostgreSQL的雲端資料庫AlloyDB後，最近再發表AlloyDB Omni新服務。這是一個可安裝於本地或邊緣環境的AlloyDB版本，兼具有高性能且與相容PostgreSQL的特性。</p> <p>這套本地端資料庫服務使用和雲端版AlloyDB相同的引擎，根據GCP內部的測試，AlloyDB Omni處理交易負載的速度，比標準PostgreSQL快2倍以上，在處理資料分析查詢的速度也快了100 倍，可以協助企業加速將舊有資料庫進行現代化改造。</p> <p>除了能安裝在本地端，AlloyDB Omni本身也能支援跨雲部署，甚至開發人員只要一臺筆電就可以下載並加以執行。</p> <p>此外，企業也能在Google Distributed Cloud服務中執行AlloyDB Omni，也就是可以跑在混合雲平臺Anthos上，除了滿足隔離環境要求所需，也能支援有嚴格延遲和頻寬要求的邊緣應用。不過目前只提供技術預覽版，正式版還要再等等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">聯合利華 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遷雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">百年消費品大廠聯合利華全面擁抱雲端，2年內完成旗下4百個品牌系統全上雲</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1%20billion%20euro%20brands.jpg" style="width: 600px; height: 390px;" /></p> <p>以銷售消費日用品為主的聯合利華，最近宣布花了近2年終於全面完成遷雲，將全球超過400個品牌所使用的營運系統全部搬上雲端，來打造更靈活彈性的IT基礎架構，更要讓自己成為一家純雲企業，來加速推動營運增長與創新，。</p> <p>這家百年老字號英國消費品製造大廠，每天有34億人口使用其產品，4百個品牌更遍布190多國，在臺灣知名的多芬、麗仕、凡士林、白蘭、熊寶貝等都是旗下品牌。但是隨著公司發展規模越大，品牌越增越多，聯合利華舊有IT系統已經跟不上公司營運成長，甚至無法滿足追求創新業務的IT發展所需。為此，聯合利華2年前決定轉型，甚至開始擁抱雲端，並花了1年半完成系統全面上雲。</p> <p>去年底先完成95%的業務系統上雲後，聯合利華緊接著在今年4月將所有營運系統自資料中心搬上Azure公雲，完成所有遷雲工作。</p> <p>聯合利華首席企業與技術長Steve McCrystal表示，透過上雲，可以讓這家公司能更快因應不斷變化的消費者需求，來更有效地分配資源，更快地將服務和產品推向市場。</p> <p>在上雲過程中，這家公司也導入諸多新技術來加速轉型，不只透過蒐集工廠數據建立產線數位分身，與結合雲端數據平臺來發展智慧工廠，在研發方面也導入AI技術，加快創新產品開發與推出，更開始應用當前火紅Azure OpenAI 服務，透過生成式AI來提高外部顧客和內部使用者體驗。此外還引進Green Cloud Advisor計畫來幫助其減少碳足跡，加速實現淨零排放的永續承諾。</p> <p class="p2" style="margin: 0px 0px 18px 24px; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 13.5px; line-height: normal; font-family: BiauKai; color: rgb(0, 0, 0); min-height: 14px;"> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">英國雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Ofcom </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS、微軟Azure遭英國監管機構Ofcom點名，恐有違反公平競爭的疑慮</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloud-Market-NR_Cloud-market-share-ENG.png" style="width: 600px; height: 220px;" /></p> <p>英國電信監管機構Ofcom最近發布聲明指出，根據其市場研究表明，有合理理由懷疑英國公有雲市場中可能存有影響或限制市場競爭的情況，其中又以亞馬遜AWS、微軟Azure兩家公有雲大廠遭到點名，對於其市場競爭影響感到擔憂。</p> <p>目前在英國公有雲市場中，光是三大公雲巨頭市占就占了8成，尤其AWS和Azue兩家合計就達到60%至70%的市占，等於每3家就有2家不是採用AWS就是用Azure雲端服務，至於排三的GCP市占則介於 5%到10%之間。</p> <p>根據其調查，大型雲端廠商用來妨礙競爭常見手段，有像是向用戶收取數據轉移他廠的高額費用，還有加諸在跨不同雲端平臺相互使用限制，以及提供優惠折扣利誘等可能阻礙競爭的手段。Ofcom表示，這些種種跡象都表明，已對於市場公平競爭造成危害，甚至有證據顯示，已有用戶續約時面臨價格大幅調漲的狀況。</p> <p>為了防止壟斷競爭，Ofcom要求雲端大廠必須在5月17日前就其報告提出回應與說明，否則後續就會提交給英國競爭暨市場管理局（CMA）做出最終決定，來對於損害市場競爭者加強管制。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端儲存 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HPE </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">瞄準企業資料儲存需求，HPE混合雲服務方案GreenLake新增檔案和區塊儲存服務</span></strong></p> <p>近日，HPE混合雲雲端服務方案GreenLake發表新的儲存和資料保護服務，其中，在SaaS儲存服務上，推出採用Alletra Storage MP模組架構的新儲存服務，可以支援檔案和區塊儲存格式，讓企業可以在單一雲平臺中來部署、管理和調度檔案和區塊兩種儲存類型的數據，而不用管工作負載和儲存協定。</p> <p>新發表檔案儲存服務也提供橫向擴展能力，能用來加速資料密集型應用的工作負載處理，可提供每秒數百GB的資料吞吐量，而透過VAST Data軟體與結合HPE GreenLake服務模式，也能讓該服務具有高度彈性，可以儲存EB級資料規模。另外在區塊儲存服務的可用性、性能和可擴展性也獲得加強，來確保執行任務關鍵型應用和混合工作負載可達到SLA標準。</p> <p>此外，透過GreenLake服務方案，HPE還推出新的備份和災難復原服務，提供整合的混合雲數據保護。並也將SQL備份添加到同個環境來擴展其VMware備份功能。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">供應鏈 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS正式推出Supply Chain雲端服務，協助企業改善供應鏈庫存管理風險</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/supply-chain-ga-insight-recommendation.png" style="width: 600px; height: 313px;" /></p> <p>去年底AWS在年度大會上發表Supply Chain供應鏈管理新服務，強調不需要翻新ERP系統，就能讓企業以自動組合和分析跨多個供應鏈系統的數據，進行供應鏈庫存管理。不過初期僅提供預覽版，經過幾個月測試，近日終於推出上線。</p> <p>AWS Supply Chain是一個雲端庫存監測與預測應用，可以連接企業內部ERP或供應鏈管理系統來取得所需數據，並透過已經訓練過的ML模型，以建立統一供應鏈資料湖，並自動產生出包含零售商商店、配送中心和其他物流設施在內的互動地圖。使用這個視覺化地圖，除了方便管理者隨時查看不同地區供應鏈庫存變化，也能以此建立風險預警機制，一旦有商品短缺或庫存過多的風險時，就會發出告警，讓負責管理人員早及時因應。</p> <p>不過初期支援ERP系統，以SAP ERP產品為主，若是使用其他供應鏈系統或資料源，也能透過電子資料交換EDI、Amazon S3等服務來取得所需資料。目前該服務已在美國東西部和歐洲部分地區推出。</p> <p> </p> <p>圖片來源／Ofcom、AWS、聯合利華</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Google設定Drive雲端硬碟上傳數量最高上限為500萬個檔案，但一天即撤回決定</strong></p> <p><strong>2.微軟Azure正式推出中小企業DDoS攻擊防護服務</strong></p> <p><strong>3.Google揭圖像生成業者Midjourney使用TPU v4訓練其生成式AI模型</strong></p> <p><strong>4.Google將GKE叢集管理的Autopilot模式變成預設功能</strong></p> <p><strong>資料來源：iThome整理，2023年4月</strong></p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/4/6 07:54作者余至浩https://www.ithome.com.tw/news/156250
Google Drive設定檔案上傳數量，一天即撤回決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，Google似乎對儲存服務個人版及企業版Google Drive實施500萬個檔案上傳限制，超過上限者會被要求刪除。不過僅僅一天Google又決定撤消這項措施。</p> <p><a href="https://arstechnica.com/gadgets/2023/03/google-drive-does-a-surprise-rollout-of-file-limits-locking-out-some-users/" target="_blank">上周Ars Technica報導指出</a>，<a href="https://www.reddit.com/r/google/comments/123fjx8/google_has_applied_a_5_million_items_limit_for/" target="_blank">一名用戶接到Google Drive通知</a>，他的上傳檔案超過500萬個的數量上限，要求他如果要繼續使用帳號，必須刪除200萬個檔案。未刪除檔案者將會看到上傳失敗的訊息。</p> <p>事實上，報導指出，2月起就有用戶看到警告通知，3月份通知訊息則說明上限為500萬個檔案。有的用戶自Google技術支援中心得知，有的則是從Drive UI的跳出視窗得到警告。從用戶在Reddit及Google問題通報來看，不論是Google One個人用戶或企業版Workspace用戶都接到通知。</p> <p>這500萬檔案的數量上限並不包含共享檔案。<a href="https://support.google.com/a/users/answer/7338880?hl=en" target="_blank">Google Drive對共享檔案數量有明文規定400萬個檔案的上限</a>。這規定很容易繞過，Google想防止濫用無可厚非，但是這新規定令人爭議的是，Google從沒有正式宣布上傳檔案數量的政策，且不論在Google服務或產品頁，也都沒有網頁說明。用戶不明所以，還以為是臭蟲。</p> <p>新規定也存在設計問題，例如可能造成用戶Google Drive容量即使還有空間，但上傳檔案數已超過限制。Google One付費服務的雲端硬碟容量為30TB，Google Workspace也有5TB。對一個2TB的Google Drive用戶而言，若他平均檔案小於400KB，新規定在他空間未滿之前就會無法再上傳檔案。再者，Google也未提供計算工具供用戶計算他們必須刪除多少檔案，令用戶無法提早準備，被迫接到通知時急忙刪除檔案或另尋其他服務。</p> <p>在媒體報導後，Google本周稍早才終於對媒體說明，新檔案上限規定旨在防止有人濫用Google Drive，傷害其服務的穩定和安全。且Google說受影響的用戶「相當少數」。</p> <p>不過周二（4/4）Google又出現政策急轉彎。<a href="https://twitter.com/googledrive/status/1643049029251776515" target="_blank">Google坦承稍早推行Google Drive物件上傳限制</a>，雖然這只影響少數用戶，但該公司決定撤回變更，將再探索其他方法確保對所有人良好的使用體驗。Google並說，如果他們必須做出變更，一定會事先和用戶溝通。</p> </div></div></div>
2023/4/5 18:41作者林妍溱https://www.ithome.com.tw/news/156249
Veritas備份軟體遭ALPHV勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mandiant.com/resources/blog/alphv-ransomware-backup" target="_blank">安全廠商發現</a>，知名備份軟體Veritas產品曾在去年遭到ALPHV（或BlackCat）勒索軟體利用漏洞感染，提醒曝險的企業用戶儘速修補漏洞。</p> <p>Google旗下安全子公司Mandiant去年10月，發現一起針對執行Veritas Backup Exec軟體的攻擊行動。代號UNC4466 的駭客組織是在9月利用Metasploit攻擊框架濫用Veritas備份軟體三項漏洞CVE-2021-27876、 CVE-2021-27877及 CVE-2021-27878，以駭入一臺Windows伺服器，最後部署勒索軟體ALPHV勒索軟體。</p> <p>ALPHV為Rust語言開發的勒索軟體即服務（ransomware-as-a-service），又名BlackCat。它首先是在2021年11月為人發現，研究人員相信它是Blackmatter及Darkside勒索軟體的後繼者，<a href="https://www.ithome.com.tw/news/151943" target="_blank">曾攻擊包括電玩遊戲開發商萬代南夢宮（Bandai Namco）</a>。</p> <p>在進入受害者系統中，UNC4466利用Windows的IE瀏覽器下載掃瞄軟體，以及其他資料蒐集工具蒐集其他伺服器的IP、主機名及OS、硬體設備資訊、Active Directory環境資訊包括子網域、密碼政策、電腦與用戶帳號清單等到外部伺服器，以便掌握受害者系統環境。最後，駭客們分別下載遠端控制工具及密碼蒐集工具、並且關閉安全軟體，最後下載ALPHV加密工具攫取受害者檔案。</p> <p>這三項漏洞影響Veritas Backup Exec 16.x、20.x及21.x版本。三漏洞CVSS 3.1風險值從8.2到8.8，屬於高風險漏洞。<a href="https://www.veritas.com/support/en_US/security/VTS21-001" target="_blank">Veritas已在2021年3月釋出安全公告及21.2版本軟體加以修補</a>。</p> <p>不過截至目前，Mandiant利用市面網路掃瞄服務，仍發現有超過8,500多臺IP位址的伺服器曝露出Veritas Backup Exec ndmp服務。安全廠商指出，雖然曝露的服務因應用程式版本不明，這掃瞄結果未直接發現有漏洞的系統，但也顯示仍有為數眾多的執行個體可能曝險。</p> <p>安全廠商建議用戶應使用Windows版Veritas Backup Exec的log檔，透過分析可以了解是否曾被用於連上遠端系統。</p> </div></div></div>
2023/4/5 16:27作者林妍溱https://www.ithome.com.tw/news/156247
TikTok未保護兒童個資，被英政府罰款1,300萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國政府周二（4/4）以未確保兒童用戶個資為由，<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2023/04/ico-fines-tiktok-127-million-for-misusing-children-s-data/" target="_blank">對TikTok做出罰款1,270萬英鎊的處分</a>。</p> <p>英國資料主管機關資訊委員會辦公室（Information Commission's Officer，ICO）指出，TikTok多項行為違反英國資料保護法，包括非法使用兒童個資，促使它對TikTok總公司及TikTok資訊科技（TikTok Information Technologies）英國分公司祭出處分。</p> <p>英國法律要求對13歲以下兒童提供資訊服務的組織，必須先取得其父母或監護人的同意，但TikTok並未這麼做。雖然TikTok的政策並不允許兒童建立帳號，但是該公司並沒有足夠檢查，辨識出有13歲以下的兒童使用其服務，或將這些用戶帳號移除。</p> <p>ICO調查發現，TikTok內部有資深員工曾對未成年兒童使用、且未移除提出問題，但公司並未有效處理。英國政府估計2020年TikTok英國用戶中有140萬名為兒童。</p> <p>此外，ICO認為TikTok未能以明確易懂的適當資訊告知用戶，TikTok蒐集、使用及和第三方組織分享其資料，令用戶無法在充份告知下做出是否使用TikTok的決定，這點違反了英國的GDPR法的透明、公平要求。</p> <p>這張罰單已是英國政府大幅下修處分的結果。<a href="https://techcrunch.com/2022/09/26/tiktok-faces-29m-fine-in-uk-for-failing-to-protect-childrens-privacy/" target="_blank">2022年9月ICO開罰金額為2,700萬英鎊</a>。</p> <p>TikTok對ICO判決並不完全滿意。<a href="https://techcrunch.com/2023/04/04/tiktok-uk-gdpr-kids-data-fine/" target="_blank">TikTok稱該公司已投資不讓13歲以下兒童使用其平臺</a>，並有超過4萬人的安全團隊確保用戶安全。不過TikTok仍然很滿意當局將罰金降到去年判決的一半。TikTok表示會思考是否再上訴。</p> <p>這是英國政府對TikTok施加的最新一波制裁。<a href="https://www.ithome.com.tw/news/155982" target="_blank">上個月英國政府宣布</a>，基於安全專家的意見，為防止TikTok存取通訊錄、使用者內容到地理資料等裝置資訊，政府公用裝置禁止安裝TikTok。</p> </div></div></div>
2023/4/5 16:39作者林妍溱https://www.ithome.com.tw/news/156248
Spotify關閉自家語音聊天室產品Spotify Live
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Spotify即將關閉自家獨立產品Spotify Live，其功能以及設計與Clubhouse雷同，主要為提供用戶與其他聽眾進行語音互動和直播活動的平臺。Spotify Live獨立App於2022年7月推出，它與Spotify音樂目錄整合，讓用戶可以直接在聊天室直播音樂。原本被認為是Clubhouse和Twitter Spaces的強大競爭對手，讓粉絲更能即時參與活動。然而，現在Spotify宣布停用Spotify Live，並表示他們將專注於現有的產品和服務，進一步改進和擴展其他產品。</p> <p>在聲明中，Spotify也提到他們將持續提供一些限制性的Live播放功能，像是聆聽派對（listening parties）功能，也就是一個團體如家人或朋友們，即使他們所在位置不同，仍可以5個人同時收聽host播放的音樂、podcast或是有聲書。</p> <p>其實，早在2021年6月，Spotify推出的Greenroom即為Spotify Live的前身，當時Spotify斥資6,200萬美金收購Betty Labs，並將原有的Locker Room整合更名為Greenroom，同時也增加了許多主題，例如運動，以應對當下火紅的Clubhouse，一年後，他們將Greenroom與音樂播放功能結合，進化為現在的Spotify Live。</p> <p>值得一提的是，Spotify在今年3月宣布一項重大的改版計畫。他們聲稱這是迄今為止最大的改變，主要著重在主頁「Home feed」，用戶可以滑動短影片、即時聽音樂，同時也會自動推薦有聲書和podcast。這樣的介面風格改變和增加的功能被許多用戶認為與抖音（TikTok）非常相似。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="480" scrolling="no" src="https://www.youtube.com/embed/ssVKZ31Cv6U" title="Stream On 2023: New Experiences" width="600"></iframe></p> </div></div></div>
2023/4/4 17:20作者洪予揚https://www.ithome.com.tw/news/156242
Western Digital被駭資料外洩，多項網路服務中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20230402005076/en/Western-Digital-Provides-Information-on-Network-Security-Incident" target="_blank">硬碟廠商Western Digital（WD）本周坦承被駭</a>，不但造成該公司資料外洩，也導致多項網路服務中斷。</p> <p>WD是在3月26日發現多項系統遭一個未授權組織非法存取。WD已通報主管機關，並與外部安全專家及執法機關展開調查。</p> <p>這次入侵造成該公司多項服務中斷及資料外洩。WD表示，受到影響的服務包括NAS系統備份My Cloud Home、My Cloud Home Duo、裝置備份服務My Cloud OS5、照片管理服務SanDisk ibi、無線充電服務SanDisk Ixpand Wireless Charger。WD相信攻擊者已從公司系統取得某些資料，目前WD正設法回復服務，也在調查資料內容和範疇。</p> <p>此外，為因應這次事件，<a href="https://status.mycloud.com/os4" target="_blank">WD暫時關閉</a>該公司多個系統，包括雲端、代理伺服器、網頁伺服器、驗證、電子郵件及推播通知等。</p> <p><a href="https://twitter.com/BrettCallow/status/1642904101783756805" target="_blank">安全廠商Emsisoft</a>研究員Brett Calllow推測，從系統廣泛性且長久中斷來看，這次事件可能是勒索軟體造成。</p> <p>WD預定當地時間的4月3日提供狀態最新說明。</p> <p>這是最近一次WD公開網路攻擊事件。2021年NAS系統雲端存取介面的一個遠端程式碼執行（RCE）遭駭客濫用，<a href="https://www.ithome.com.tw/news/145285" target="_blank">致使WD My Book Live裝置用戶的資料被駭客遠端刪除</a>。</p> </div></div></div>
2023/4/4 17:41作者林妍溱https://www.ithome.com.tw/news/156245
Google的Nearby Share可在Android手機、PC間傳送檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼2020年推出允許在Android裝置互傳檔案的Nearby Share後，上周再公布可支援Android裝置及Windows PC間傳送檔案。</p> <p><a href="https://www.ithome.com.tw/news/139210" target="_blank">Google 3年前公布</a>Nearby Share作為效法蘋果AirDrop的技術，可讓Android裝置之間無需連網及雲端硬碟，即可傳送影像、相片，連結或文件檔案。Google表示迄今已經有將近30億臺Android臺裝置使用過Nearby Share技術。</p> <p>在最新更新中Google將<a href="https://www.android.com/better-together/nearby-share-app/" target="_blank">Nearby Share以beta版支援</a>，拓展到全球眾多市場的Windows裝置。只要在PC下載並安裝Nearby Share Beta版App，就可以在傳送到鄰近Android裝置，或是根據Android裝置可視性設定（device visibility）偏好傳送檔案到PC。</p> <p><a href="https://support.google.com/product-documentation/answer/13470053" target="_blank">根據Google說明</a>，欲在PC和Android裝置間傳送檔案，除了PC需安裝Nearby Share App，兩臺裝置也必須都登入Google帳號，以及開啟藍牙連線及Wi-Fi網路，確保兩臺裝置位於同一網路內，相隔不超過5公尺。</p> <p>之後只要在檔案按右鍵出現的選單中的「內容」，在出現的選單中選擇PC即可傳送內容。Google表示，新版本Nearby Share傳送速度更快，且即使接收裝置的螢幕關閉也能自動接收檔案、相片或連結。</p> <p>目前Nearby Share Beta for Windows已提供給美國和全球多個市場，包括臺灣，但不包含歐盟地區。此外，這款App需要64-bit Windows 10以上，以及Android 6.0以上版本，但不支援ARM裝置。</p> </div></div></div>
2023/4/4 17:55作者林妍溱https://www.ithome.com.tw/news/156246
Google持續推延擴充套件標準規範Manifest V2退場時程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推廣瀏覽器擴充套件標準規範Manifest V3遭遇瓶頸，不停地延後Manifest V2退場時間，現在Chrome擴充套件團隊<a href="https://groups.google.com/a/chromium.org/g/chromium-extensions/c/zQ77HkGmK9E/m/HjaaCIG-BQAJ">再次宣布</a>，繼續暫停Manifest V2淘汰程序。</p> <p>近期Chrome開發團隊根據擴充套件開發者的需求，在瀏覽器端進行數項變更，包括<a href="https://developer.chrome.com/blog/longer-esw-lifetimes/">延長擴充套件服務工作程序（Extension Service Worker）生命周期</a>，以更好地支援特定擴充套件情境。擴充套件服務工作程序是一種特殊的網頁工作程序，大部分行為都跟網頁工作程序一樣，但是擴充套件服務工作程序可以監聽擴充套件事件。</p> <p>一般的服務工作程序事件能夠延長服務工作程序的生命周期，但是在之前只有少數擴充套件平臺事件，能夠延長擴充套件服務工作程序。而從Chrome 110開始，所有事件都會重置閒置計時器，因此當有持續進行的事件，便不會發生逾時的情況。</p> <p>但官方提到，當開發者的程式設計不佳，可能使擴充套件無限期處於活躍狀態，因此他們之後還會更改特定事件的處理方式，在不影響需長時間運作的工作下，避免擴充套件服務工作程序無限期活躍。</p> <p>另外，Chrome開發團隊在與其他瀏覽器供應商討論之後，決定<a href="https://github.com/w3c/webextensions/issues/350">放寬記憶體對話儲存限制，從1 MB擴增到10 MB</a>。storage.session API讓擴充套件可以在記憶體中儲存少量資料，這些資料會在後臺生命周期中持續存在，可以用於需要儲存解鎖秘密的密碼管理器，或是其他具有對話資料的擴充套件。</p> <p>這個API只能儲存非常少量的資料，而且通常是使用有限記憶體，所以當初Chrome限制該API只能儲存1 MB的資料，但是在收到擴充套件開發者的回饋，以及與其他瀏覽器供應商討論後，認為增加容量有助於擴充套件的運作，因此決定把限制提高到10 MB。但這個討論尚未定案，Chrome開發團隊仍繼續收集意見，在達到共識後才會定案。</p> <p>而Chrome也對<a href="https://developer.chrome.com/docs/extensions/reference/offscreen/#type-Reason">後臺運作的文件（Offscreen Document）增加更多影響生命周期的因素</a>。後臺文件指的是一種特殊類型的擴充套件頁面，這些頁面會在後臺載入並處理，主要用於需要在後臺執行，且不需要用戶參與的擴充套件功能，在不影響用戶操作的情況下進行資料處理、訊息傳遞等工作。官方透過添加更多影響後臺文件生命周期的因素，使其能夠更靈活地支援不同類型後臺文件的應用場景。</p> <p>開發團隊仍在解決擴充套件Manifest V2搬遷到Manifest V3，可能遭遇到的各種問題，並根據開發者社群的回饋，調整相對應瀏覽器功能，官方表示，他們仍在制定Manifest V2退場的時間表，不過在正式公開時程後，最少會給開發者6個月的時間搬遷。</p> </div></div></div>
2023/4/4 18:03作者李建興https://www.ithome.com.tw/news/156243
VS Code 1.77預覽Copilot Chat新功能，程式碼行內就能與AI對話協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出最新<a href="https://code.visualstudio.com/updates/v1_77#_github-copilot">VS Code 1.77</a>，這個版本更新包括增加GitHub深度連結，並且提供TypeScript/JavaScript的switch陳述式自動完成功能，開發者也可以使用到最新的Copilot Chat整合功能，在編輯器向人工智慧提問，並且獲得程式碼建議。</p> <p>VS Code桌面版本1.77讓開發者在操作GitHub儲存庫時，可以更容易地分享程式碼，VS Code現在可以對選取的程式碼生成永久連結，使得其他人在瀏覽器網址列輸入並存取該連結後，就可以簡單地跳轉到分享的程式碼位置。</p> <p>使用者需要先安裝GitHub Pull Requests and Issues擴充套件，在選取程式碼後於程式碼行號側欄，使用右鍵選單創建連結，而開發者在vscode.dev中，則可以直接使用GitHub儲存庫深度連結功能。</p> <p>在程式語言的更新上，VS Code 1.77更新使用TypeScript 5.0.2，開發者可以開始使用TypeScript 5.0的新語言功能，並且獲得效能改進以及重要改進。而在TypeScript/JavaScript的switch陳述式，VS Code提供自動完成功能。當開發者在switch陳述式輸入case，程式便會自動提供case建議，列出該類型所有可能的值。</p> <p>VS Code開發團隊舉辦內部黑客松，思考將人工智慧整合至VS Code的好方法，而成果被添加到VS Code 1.77中。</p> <p>VS Code 1.77能夠與Copilot Chat更深度的整合，Copilot現在會在開發者處理程式碼時，在行內顯示建議，開發者也可以隨時在程式碼編輯器中向Copilot提問，並要求Copilot尋找程式碼內的臭蟲，解釋程式碼的意義，甚至是創建測試。Copilot的對話框現在會出現程式碼的下方，供用戶輸入指令。</p> <p>開發者要使用這項深度整合功能，除了需要獲得Copilot Chat存取權限之外，還要安裝GitHub Copilot Nightly版本擴充套件，以及Insiders版本VS Code。</p> <p><a href="https://code.visualstudio.com/blogs/2023/03/30/vscode-copilot">官方提醒Copilot Chat使用者</a>，要讓人工智慧能夠提供更好的建議，就不能以在搜尋引擎下關鍵字的方式給指令，像是跟Copilot說「使用TypeScript和Express.js框架，搭建一個Node.js網站」，而非只是「Node Express TypeScript」</p> </div></div></div>
2023/4/4 18:10作者李建興https://www.ithome.com.tw/news/156244
【資安週報】2023年3月27日到3月31日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周的漏洞消息中，最主要的焦點，就是2022年底兩起商業間諜公司攻擊活動的揭露，Google TAG公布了當時被使用的零時差漏洞與串連多個漏洞，這意味著當時這些修補的漏洞，都已出現鎖定利用情形，包括：iOS（CVE-2021-30900）、Arm Gpu（CVE-2022-38181、CVE-2022-22706）、Google<span style="white-space: pre;"> </span>Chrome（CVE-2022-3038）與Linux<span style="white-space: pre;"> </span>Kernel（CVE-2023-0266）的5個漏洞。同時，還有一些老舊漏洞如今也被列入已知漏洞成功利用清單，包括Cobalt Strike去年<span style="white-space: pre;">的</span>漏洞（CVE-2022-39197、CVE-2022-42948），以及Samba<span style="white-space: pre;">的漏洞（</span>CVE-2017-7494），還有微軟IE相關的漏洞（CVE-2014-1776、CVE-2013-3163漏洞）。另外，本周Pwn2Own Vancouver 2023新找出的27個零時差漏洞，後續業者將有修補釋出。</p> <p>在威脅態勢方面，殭屍網路與DDoS的威脅態勢受關注，包括ShellBot與MooBot發現證利用監控系統Cacti或瑞昱Realtek近兩年的漏洞，以及MacStealer竊資軟體借助殭屍網路散布的情形，值得一提的是，有英國國家刑事局為抓捕網路罪犯，設置多個DDoS租賃服務誘餌並發現有數千人存取。此外，還有勒索軟體Dark Power新動向，以及又有供應鏈攻擊出現，這次鎖定的是VoIP IPBX業者，同樣值得留意。</p> <p>在其他攻擊活動與威脅揭露方面，ChatGPT的濫用隱憂持續受重視，歐洲刑警組織警告，注意網路罪犯正濫用ChatGPT與其他的大型語言模型（LLM）的威脅，需注意模仿特定人士的書寫與說話，以及產生網路釣魚的社交工程與假訊息散布；在國際間有多個攻擊活動被資安業者揭露，包括中國駭客組織Mustang Panda近期攻擊行動，以及中國駭客鎖定中東電信業者攻擊行動Operation Soft Cell。</p> <p>至於國內資安事件方面有兩起事件受關注，包括：威秀影城公告系統升級與鄭重提醒反詐騙數日後傳出50萬客戶資料外洩消息，以及國內大學教授紛紛遭到變臉不雅照勒索的情況。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156142"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月27日】SharePoint遭到濫用，駭客藉此引誘使用者下載惡意程式</span></strong></a></h3> <p>為了規避網路流量的偵測，駭客濫用免費的雲端檔案共用服務OneDrive、Google Drive、Dropbox等，可說是相當常見。但有不少企業在內部網路或Office 365公有雲架設協同作業網站入口SharePoint，方便員工能共用檔案，使得有些駭客也看上這點，透過此種共用系統讓使用者降低戒心，再利用檔案裡的URL，將他們引導至釣魚網站而達成目的。</p> <p>除了上述濫用SharePoint攻擊行動，駭客使用免費雲端檔案共用服務的手法也出現變化。例如，中國駭客組織Mustang Panda特意將上傳至Google Drive的檔案，以使用密碼保護的壓縮檔打包，藉此讓這些惡意軟體逃過Google的檢測機制。</p> <p>但在駭客散布惡意軟體的事故之餘，國內發生了使用Deep Fake照片向多所大學教授進行勒索的情況，雖然駭客使用簡體中文和中國用語，但教授很可能為了息事寧人，選擇付錢了事。</p> <h3><a href="https://www.ithome.com.tw/news/156172"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月28日】推特傳出原始碼被公布在GitHub儲存庫，疑為離職員工挾怨報復</span></strong></a></h3> <p>推特在馬斯克（Elon Musk）入主之後大幅裁員，使得這些離職員工可能心生不滿而進行報復。根據各大新聞網站的報導，推特尋求法律途徑要求GitHub下架儲存庫，其內容是該公司網站與內部工具的專有原始碼，但究竟這些資料如何流出？傳出是離職員工上傳，但推特並未證實這項說法。</p> <p>殭屍網路病毒Emotet近期的攻擊行動頻頻，之前被發現開始透過挾帶OneNote檔案的釣魚郵件散布，但最近駭客也跟上了美國報稅季，假借當地稅務機關的名義發動攻擊。值得留意的是，駭客不光使用OneNote挾帶惡意程式，也有使用Word檔案的情況。</p> <p>過往的竊資軟體（Infostealer）幾乎都是針對Windows電腦而來，但最近有竊資軟體鎖定的是Mac用戶，值得留意的是，該惡意程式不光會對瀏覽器和加密貨幣錢包下手，還會針對macOS的密碼管理系統解密、回傳相關資料。</p> <h3><a href="https://www.ithome.com.tw/news/156193"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月29日】歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式</span></strong></a></h3> <p>駭客發動與ChatGPT相關的攻擊行動日益頻繁，包含利用該機器學習語言模型來製作釣魚信件，或是假借提供相關應用程式來散布惡意軟體等。這樣的情況也引起歐洲警方的關注，並指出他們看到駭客運用此種機器學習模型的數種型態攻擊手法。</p> <p>除了ChatGPT相關攻擊橫行，商業郵件詐騙（BEC）也相當值得留意。近日美國聯邦警查局（FBI）提出警告，駭客假冒合作廠商的名義發動相關攻擊，但與過往不同的是，這些駭客現在會使用延遲付款方式，使得受害廠商不易及早察覺詐騙而難以追回貨款。</p> <p>而在面臨BEC攻擊行動之外，執法人員也透過反向操作、設下誘餌來找出網路罪犯。例如，英國國家刑事局（NCA）就假借提供DDoS租賃服務（DDoS-for-Hire）的名義，讓想要租用此種服務發動攻擊的駭客上當。</p> <h3><a href="https://www.ithome.com.tw/news/156202"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月30日】駭客鎖定網路電話系統3CX下手，針對電腦版用戶端程式進行供應鏈攻擊</span></strong></a></h3> <p>今天的資安新聞，我們看到針對網路電話（VoIP）、MFT檔案共享系統、行動裝置作業系統而來的攻擊行動相當引人關注，其中，又以網路電話系統3CX遭到鎖定的供應鍵攻擊事故，因為有3家資安業者不約而同提出警告，並揭露不同層面的發現。</p> <p>在針對應用系統的攻擊行動之餘，惡意軟體IcedID的發展趨勢也引起研究人員注意，原因是攻擊者為了迴避資安系統偵測，大幅精簡該惡意程式原本的金融木馬模組，而且在遭滲透或感染的電腦部署更多惡意軟體。</p> <p>上週OpenAI修補ChatGPT多項漏洞，如今有研究人員發現部分漏洞修補不全，而能繞過修補程式利用漏洞的現象。對此，該名研究人員協助OpenAI製作更新軟體。</p> <h3><a href="https://www.ithome.com.tw/news/156233"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</span></strong></a></h3> <p>駭客掃描存在特定弱點的雲端設施，進而發動攻擊的情況算是相當常見，但現在竟然出現了能大量掃描的模組化工具AlienFox，攻擊者從找尋目標到發現特定的系統弱點，都能利用同一組工具完成。基於這樣的攻擊便利性，上雲的企業與組織在暴露於公開網路的網站與應用系統，勢必要加快修補漏洞與修正不當設定的腳步，否則將會在更短時間之內被攻陷。</p> <p>關切雲端資安風險態勢變化之餘，殭屍網路的攻擊行動也相當值得留意。有資安業者對殭屍網路ShellBot、MooBot的態勢提出警告，並指出駭客所使用的兩個重大漏洞，也有其他殭屍網路病毒加以運用。</p> <p>因結合ChatGPT與AI對話機器人而吸引大量使用者的Bing搜尋引擎，最近被研究人員找到漏洞，能用來竄改搜尋結果，但起因與Azure AD有關。</p> </div></div></div>
2023/4/4 09:07作者羅正漢https://www.ithome.com.tw/news/156241
ChatGPT因隱私疑慮在義大利被禁，恐被罰2000萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>義大利政府上周以非法蒐集用戶個資、侵害用戶隱私為由，對ChatGPT發出禁令。若ChatGPT未能提出有效解決方案，可能面臨2000萬歐元罰款處分。</p> <p><a href="https://www.ithome.com.tw/news/156068" target="_blank">3月20日OpenAI的ChatGPT傳出存在漏洞</a>，導致用戶和這個AI系統的對話內容標題以及支付資訊可被他人存取，促使義大利隱私主管機關要求OpenAI立即停止蒐集用戶資料，直到它修改蒐集手法。禁令立即生效，當局同時對ChatGPT展開調查。</p> <p>根據義大利政府初步調查，ChatGPT並未告知使用者及相關單位OpenAI蒐集其資料的事實，更重要的是，它欠缺大量蒐集和儲存個資，以訓練其底層演算法的法律基礎。</p> <p>當局指出，證據顯示，ChatGPT提供的資訊並非總是反映真實資料，可能造成它無法準確處理用戶個資。此外，OpenAI雖然意在提供13歲以上人士，但卻沒有任何機制能驗證用戶年齡，而避免提供超出其判斷能力的答案。</p> <p>義大利當局要求OpenAI在20天內說明將如何解決其疑慮，否則將面臨2000萬歐元，或高達年營收4%的罰款。</p> <p><a href="https://www.bbc.com/news/technology-65139406" target="_blank">BBC報導</a>，歐盟負責個資安全執法的愛爾蘭資料保護委員會將跟進了解，並與所有會員國主管機關合作聯擊禁令事宜。</p> <p>美國隱私倡議團體Center for AI and Digital Policy（CAIDP）上周向美國交易委員會（FTC）對OpenAI提告，指其GPT-4提供具偏見、欺騙性內容，及危害大眾隱私，<a href="https://www.beuc.eu/press-releases/investigation-eu-authorities-needed-chatgpt-technology" target="_blank">歐洲隱私倡議組織BEUC也呼籲</a>歐盟主管機關調查ChatGPT和其他AI聊天機器人。</p> <p>OpenAI的ChatGPT在去年底上線後掀起熱潮，但其技術問題包括AI幻覺，以及為訓練模型而未經同意蒐集網際網路的資料等引發批評。另一方面，AI模型技術快速進展，已展現出幾乎不下於人類的文字及圖案創作能力。<a href="https://www.ithome.com.tw/news/156198" target="_blank">上周科技界大佬包括馬斯克、Steve Wozniak等人呼籲</a>各AI實驗室應暫緩開發比OpenAI GPT-4更進階的AI模型6個月，並應發展AI的治理系統確保AI能受人類控制，為人類福祉服務。</p> </div></div></div>
2023/4/3 16:26作者林妍溱https://www.ithome.com.tw/news/156239
推特公布貼文推薦演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在馬斯克接掌推特5個月後，這家社群平臺終於如承諾的，於上周開源其推文推薦演算法。</p> <p>推特平臺上眾多顯示內容都有演算法在底層運作，包括搜尋、探索及廣告。<a href="https://blog.twitter.com/engineering/en_us/topics/open-source/2023/twitter-recommendation-algorithm" target="_blank">昨日推特只針對「為你推薦」時間軸的推薦演算法運作方式做出說明</a>。</p> <p>每天推特從平臺5億則推文篩選出特定推文，顯示在用戶「為你推薦」時間軸中。這個推薦流程（pipeline）包含三個步驟：首先從名為「候選來源」（candidate sources）的貼文來源抓取內容，再以機器學習模型將抓到的推文排序。第三步是運用啟發式（heuristics）演算法和篩選條件，將用戶封鎖、防火牆規則不允許，以及已經讀過的貼文過濾掉。</p> <p>負責組成並將推文提供給用戶的服務稱為Home Mixer，它是以推特自製Scala框架Product Mixer為基礎開發，Hom Mixer是推送貼文的骨幹，串連不同推文來源、評分、演算法及篩選器。</p> <p>推文的候選來源包括來自用戶追蹤的用戶（In-Network）及未追蹤的用戶（Out-of-Network），在「為你推薦」中平均各占50%的內容。在In-Network中，推文根據名為Real Graph的邏輯回歸模型做出相關性排序。這個模型能預測用戶和他追蹤的人的互動並給予評分，分數愈高者愈容易被加入推薦。<a href="https://www.ithome.com.tw/news/155501" target="_blank">推特2月停用</a>散發（Fanout）服務，原因在它的故障導致馬斯克推文觸及率下降，該公司也正在改寫上一次改版是好幾年前的邏輯回歸排序模型。</p> <p>至於在Out-of-Network，則是從用戶未追蹤的人的貼文中選擇用戶可能感興趣的，送入「為你推薦中」。這包含2種方法。第一是社交圖譜（Social Graph），它分析用戶追蹤的人或有相同興趣的人讀取的貼文。為此他們開發了GraphJet圖表處理引擎，可建立用戶和推文的即時互動圖表，執行這類遍歷（traversal）行為，導入推文。不過這部份只占了用戶首頁時間軸15%的推文，更大部分是來自嵌入空間（embedding space）方法所引進。</p> <p>嵌入（embeddings）是一種機器學習模型訓練方法，它將使用者的興趣和推文內容以向量長度表示，一方面降低維度，同時捕獲關鍵特性，藉此推特可以計算二位用戶、二則推文或用戶與推文的相似度，判定相關性。推特最有用的表徵學習模型是SimClusters，它利用矩陣分解（matrix factorization）演算法出分解出以人或組織為中心的社群。推特上有1.45億個社群，這些社群小至數千人，大則數億人（例如知名運動員、明星或媒體），每個用戶都屬於1個以上的社群。推特將推文嵌入這些社群，一個社群中愈多人按讚的推文，表示愈相關，也能根據用戶所屬社群推向用戶。</p> <p>一旦推特完成從In-Network和Out-of-Network選取推文後，就進入排序階段。這個過程是由一個已訓練過、參數多達4,800萬的神經網路，根據數千個特徵輸出10個標籤，並給予每則推文評分，加以排序。</p> <p>最後，推特利用啟發式演算法及篩選器實作多個產品功能，這些功能最後產出了給用戶的推薦貼文。推特會過濾掉用戶封鎖或消音的帳號貼文、避免單一用戶連續多則貼文。若用戶曾給某則推文負面評價，評分會降低。Out-of-Network的推文若不包含第2級關聯人士者也會被剔除。推特也會提供原推文及回覆串、以及經過編輯的新版推文。</p> <p>至此，推文推薦已經完成，推特再加入其他內容，包括廣告、推薦追蹤的帳號，以及教學提示等一同送給用戶。推特指出，這個流程每天執行將近50億次，平均不到1.5秒就完成。單一次執行需要220秒CPU時間，是推特App延遲性的將近150倍。</p> <p>推特為求公開透明，將推薦演算法程式碼公開於<a href="https://github.com/twitter/the-algorithm" target="_blank">GitHub</a>供<a href="https://github.com/twitter/the-algorithm-ml" target="_blank">用戶存取</a>。推特還會開發其他透明化新功能，包括供創作者了解觸及率和互動的推特分析平臺、公開運用於推文及帳號的安全標籤、以及說明推文何以出現在用戶時間軸。</p> <p><a href="https://www.ithome.com.tw/news/150636" target="_blank">開源演算法是馬斯克去年4月首度提議</a>以440億美元收購推特時的承諾。他主張為維續推特作為公開數位論壇角色，避免政治及公關勢力介入影響推文排序，計畫開源推特演算法以促進信任、打擊垃圾內容機器人（spambot）、假帳號，並且驗證所有用戶。<a href="https://www.ithome.com.tw/news/153964" target="_blank">推特已在去年改版</a>Twitter Blue作為用戶驗證及開闢營收來源。</p> <p>最後，推特公告正在擴展推薦系統功能，包括新的即時功能、嵌入、及用戶表徵（user representation）方法，為此公開徵才（<a href="mailto:[email protected]">[email protected]</a>）。</p> </div></div></div>
2023/4/3 16:42作者林妍溱https://www.ithome.com.tw/news/156240
AI與人類社會的理想關係
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-ji_qi_ren_xin_lu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">左岸文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以撒．艾西莫夫在一九四二年所發表的作品《轉圈圈》（Runaround）中，提出著名的機器人三定律：1.機器人不得傷害人類，或坐視人類受到傷害。2.在不違反第一定律的前提下，機器人必須服從人類的命令。3.在不違反第一與第二定律的前提下，機器人必須保護自己。</p> <p>艾西莫夫的機器人三定律對後世影響甚大，這些定律看似清晰，但卻不容易應用；例如，一部自主運行的無人機可不可以炸掉一個恐怖份子組織陣營？機器人第一定律的前半段（「機器人不得傷害人類」）似乎是禁止這樣的行為，然而，一個機器人士兵可能很快就陷入第一定律後半段的兩難（「禁止「坐視人類受到傷害」的行為），到底要遵守第一定律的前段還是後段？因此，我們必須再檢視其他的價值標準。</p> <p>這類曖昧模糊的情形，不會僅僅出現在戰場上。舉例來說，試想，艾西莫夫的機器人定律能不能允許機器智慧車？人類發展自動駕駛汽車（簡稱自駕車）的目的之一，在於降低每年數千件交通事故與傷亡人數。這個問題第一眼看似簡單又直接，但是，換個角度想，自駕車也可能造成數以萬計的職業駕駛失業；政府能不能基於造成失業的疑慮，就禁止或限制自駕車的發展？艾西莫夫的三大定律其實沒那麼清楚明暸。三大定律中沒有一條能適用於近年熱門的自駕車發展熱潮：近年來的實際情況是，為了讓自駕車能夠更容易運作，行人還必須經過訓練並調整其用路方式，否則可能會遭到處罰。</p> <p>像這類或其他許多的模糊空間，就是與機器人和人工智慧相關的法律規範和判決比艾希莫夫三定律更細緻的原因，因此，本書將深入探索這片法律境域。在此之前，我要先用機器人四大新律來介紹本書接下來的思路。四大新律是用來指引人類如何建構機器人，而非應用在機器人本身。雖然比起艾西莫夫三大定律，四大新律可能創造更大的模糊空間，但卻也更適切地反映出真實世界的法制是如何被（曖昧地）建構起來。立法者不可能精準預測所有主管機關需要進行規範管理的實際情況，因此通常會以概括原則性的法規文字，授權給行政機關執行。因此，當我們將特定權力委任給有科技經驗的專業立法者時，機器人律法勢必也會是概括式的原則。</p> <p><span style="font-size:28px;"><strong>機器人四大新律</strong></span></p> <p><span style="color:#B22222;"><strong>機器人系統與人工智慧應為補充與輔助專業人士的角色，而非取代專業人士的工作。</strong></span>因為科技會造成失業的說法，促使社會大眾開始討論未來的工作。有些專家預測，所有的工作都將因科技的進展而消失；有些專家則指出自動化發展路上的障礙與限制。政策制定者所關心的問題是，對於機器人技術的發展，什麼樣的限制是合理的？而哪些障礙應該再仔細評估和予以移除？例如，切肉機器人的發明，好像頗為合理，但是，托嬰機器人（roboticday care）就讓有些人質疑。對托嬰機器人的擔憂，是一種單純盧德主義式的反應？還是含著對於人類孩童成長的本質，有其他更深層的反省與思考？再舉個例子，與執照相關的現行法規，規定分析疾病病理症狀的應用軟體，不得以醫生診斷之名行銷。究竟，這些限制作法究竟是不是好的政策？</p> <p>這裡涉及很多重要因素的考量，尤其會因工作與管轄權面向而異，但是若能發展出一個統一、有組織性的原則，就等於是對人的自我價值，以及對社群治理做出有意義的工作。自動化議題中的人性思維，本書會優先著重在協助勞工職場與勞動專業的創新；這些人性思維會讓機器做危險或細瑣的工作，同時也確保目前做這些工作且未來可能由機器替代的勞工能夠獲得公平的補償，並且有機會轉換到其他社會角色。</p> <p>但是，這種持平觀點，卻會同時讓科技愛好者與科技恐懼者不滿。同樣地，強調治理的立場，也會同時得罪反對「干預」勞動市場的一方，以及厭惡有個「專業管理階級」的另一方。各種職業儼然形成經濟種姓制度，讓某些工作者相對於其他工作者享有不公的特權，這樣說來厭惡專業管理階級者所抱持的懷疑，的確有其道理。然而，想要一方面促成各種職業追求更崇高的目標，同時鬆動職業的階層化，還是有可能的。</p> <p>職業專業化的核心價值，在於賦予工作者在生產組織中能保有一些話語權，以此來交換組織加諸在他們身上的專業倫理義務，以促進公共善。由於高等教育與研究的推進，無論在大學的學門分科或在實務場域的辦公室現場，各種職業已經培養出「分散式專業知能」（distributed expertise），不同的專業知識分散在不同的多數人身上，使組織內各階層均有相關專業人員，藉此也減緩了專業技術官僚與一般文官階級之間的緊張關係。我們不應該贊同破壞式創新者的主張─也就是廢除或禁止職業分類；相反地，想要發展人性的機器自動化，必須強化既有的專業社群，也要同時創造新的專業能力。</p> <p>什麼是「專業」？妥適的定義應該是寬泛的，而且應包含許多加入工會的勞工，特別是那些保護涉及危險技術的工會組織。例如，教師透過工會組織提出專業意見，反對透過自動化系統過度「訓練與測驗」（drilling and testing）的政策，除了保護教師工作權益之外，在很多情況下也都是同時提升學生利益。當前各種工會已逐漸專業化，讓工會會員更有能力與權力保護他們所服務的對象（例如老師與其服務的學生），因此工會也應該在AI革命中扮演重要角色。</p> <p>有時候很難證明「以人為本的處理程序」會比「自動化程序」更好；粗糙的金錢衡量指標（crude monetary metrics）也能產出複雜的關鍵標準。例如，在「暴力自然語言處理」（brute-forcenatural language processing）的基礎上，機器學習的程式可能很快就能預測某一本書是否會比另一本書熱銷；從純粹經濟觀點來看，這種程式可能比真人編輯或者老闆挑選文稿或劇本來得更有效率，然而，創意產業工作者可能會站出來捍衛自己的鑑賞能力。市場上有些作品可能不是普羅大眾喜歡但卻有存在必要性的作品，此時，真人編輯在出版、判斷、挑選與行銷方面，就扮演著極為重要的角色。因此，大學中的專業學院，其重要任務之一，即是應該闡明並重新檢視媒體、法律、醫學與許多其他領域的專業標準，避免採用那些為了自動化而過度簡化的專業標準。</p> <p>即使是在物流、清潔、農業和礦業等等那些看起來最有自動化需求的領域，勞工也將在AI與機器人技術的長期過渡過程當中，扮演關鍵角色。蒐集或創建AI所需的資料，對很多人或領域來說，都是艱鉅的任務，而法規可以使這個工作任務產生更多意義與自主性。例如，相較美國對卡車司機三六○度的監控和控制，歐洲的司機可依據歐盟隱私相關法規抵抗這種美國卡車司機所受到的壓榨。但要說明的是，提出歐洲的作法，並不表示主張危險的職業不須受到監督。安裝監測感應器可能可以發現駕駛的反射本能所導致的問題，然而，以安全漏洞爲目標的感應器偵測行為，和使用影音持續記錄駕駛所有活動、進行長時間的監控，前者是偵測，後者則是監控，這兩者之間仍有很大的差異。在缺乏人性尊嚴的監控（surveillance），以及合理且有限的監測（monitoring）兩者之間取得恰當的平衡，對絕大多數領域來說，都是至關重要。<strong><span style="color:#696969;">（本文摘錄整理自《二十一世紀機器人新律》第一章，左岸文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E6%A9%9F%E5%99%A8%E4%BA%BA%E6%96%B0%E5%BE%8B-500.png" style="width: 330px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_左岸文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 二十一世紀機器人新律：如何打造有AI參與的理想社會？</strong></p> <p>法蘭克．巴斯夸利（Frank Pasquale）／著；李姿儀／譯</p> <p>左岸文化出版</p> <p>定價：550元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%A9%9F%E5%99%A8%E4%BA%BA%E6%96%B0%E5%BE%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%BE%8E%E5%9C%8B%E5%B8%83%E9%AD%AF%E5%85%8B%E6%9E%97%E6%B3%95%E5%AD%B8%E9%99%A2.jpg" style="width: 200px;" /></p> <p><a href="https://www.brooklaw.edu/Contact-Us/Pasquale-Frank" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_美國布魯克林法學院</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>法蘭克．巴斯夸利（Frank Pasquale）</strong></p> <p>現為美國布魯克林法學院教授，專長領域為人工智慧法律、資訊法等。</p> <p>畢業於美國耶魯大學、英國牛津大學。其研究領域著重於健康照護、隱私、資訊、網路、演算法之法律與政策、數位科技法制以及智慧財產權法等，學術成果斐然。二○一五年出版《黑箱社會》（The Black Box Society）一書，針對當代演算法應用所形成的黑箱社會及其運作、影響進行深入討論，並試圖提出解決方法。該書不但獲選為當年度最受矚目書籍、最佳學術論著外，現已翻譯為中、韓、法等超過七種不同語言。</p> </div></div></div>
2023/4/3 00:00未署名https://www.ithome.com.tw/article/156154
技術自主提高身分識別研發力，臺網下一步要靠微服務重構IT
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著網際網路發展，民眾已習慣在網路上使用各種服務，甚至在智慧型手機人手一機、行動上網的普及之下，手機已取代電腦的角色，成為很多人生活的重心，使用手機線上購物、社群網站關心友人動態，或是購買股票、轉帳、追劇等等，為了避免使用者的身分遭到冒用，線上進行身分認證，確保身分使用安全無虞相當重要。</p> <p>但是，傳統身分認證時，可用實體卡片如身分證、自然人憑證、健保卡等，可是，實體卡得搭配讀卡機等設備，對手機族群來說相當不方便。</p> <p>這樣的情形在COVID-19疫情期間出現新的身分認證方式，民眾只要憑手機，就能透過健保快易通App登記購買口罩、預約疫苗注射，為方便民眾依需要，服務支援多種身分認證方式，其中一項是用行動電話門號來驗證使用者的身分，民眾不需使用讀卡機與實體卡片，以本人申請的手機門號就能快速完成實名認證。這項認證機制，正是臺灣網路認證公司（簡稱臺網）旗下TWID身分識別中心和5家電信商在2018年合作的成果。</p> <p>因為民眾申辦行動門號時需使用雙證件驗證，當民眾選擇以行動電話完成身分認證時，服務後檯向電信商確認該門號的用戶身分，如此一來，民眾使用手機預約口罩、疫苗，不需要身分證件或卡片，可以快速通過身分認證。</p> <p>由於這項認證方式簡單方便，很快擴大應用到3倍券及5倍券，連財政部財資中心網路報稅、手機報稅也在2021年開始支援，根據統計，第一年就有約3成網路報稅是透過行動門號認證登入報稅，去年更成長到近4成，今年報稅季可望進一步挑戰5成。</p> <p><span style="font-size:28px;"><strong>確保行動身分識別服務可用性</strong></span></p> <p>不論是線上預約口罩、預約疫苗，或是3倍券、5倍券，網路報稅或是手機報稅，都是政府對民眾的重要服務，這個行動身分識別的課題是服務可用性，要確保民眾24小時都能使用。</p> <p>為了確保服務穩定，臺網與5家電信商合作，隨時監測尖峰流量，達到一定程度，臺網、電信業者兩端即啟動擴容的因應措施。由於口罩、疫苗預約，在疫情期間是相當重要的國家政策，當時臺網也透過電信產業發展協會，和5家電信業者每月開會，來因應突發問題。</p> <p><span style="font-size:28px;"><strong>從採用套裝軟體，走向技術自主</strong></span></p> <p>成立已有23年以上的臺網，背後股東包括了證交所、集保中心、財金公司，在金融及證券憑證應用上，有8成以上的市占率，可說是國內最大的民間憑證發行機構。儘管臺網至今已在市場有一席之地，但公司營運一路走來，歷經幾個重大里程轉折。</p> <p>1999年臺灣網路認證公司成立時就加入，現在負責帶領IT及研發團隊的副總經理陳俊秀表示，公司初成立時，希望以更好的營運設施提供服務，加上相信國外軟體更為進步，也更有保障，因此直接採購套裝軟體來打造自家的產品服務。但幾年下來，他指出採購套裝軟體的代價是，「好像沒有根一樣」，除了需花費可觀的授權費用，因應市場需求快速調整產品的能力也不夠好。</p> <p>過度依賴國外軟體，臺網徒有維運經驗，卻缺少了研發的基礎，因此，他們在股東支持下，2005年決定走向技術自主，開始建立自己的研發團隊，經過3年，在2008年中終於上線了自行技術研發的CA憑證管理系統，結合原本的維運技術，可以更快因應市場進行調整，提供更豐富的功能。</p> <p>陳俊秀回憶這段時間，投入資金成立研發團隊，連續好幾年，這一群人都沒有產出。等到成功研發出自家軟體後，才有了研發底氣作為營運的後盾，現在才能夠更快調整，以回應顧客的需求。</p> <p><span style="font-size:28px;"><strong>汰換舊機房，進駐國家級資料中心</strong></span></p> <p>為了將憑證服務推廣出去，臺網必須加入主流瀏覽器的信賴清單，因此需要通過服務維運的相關稽核。在這個過程中，他們深深感受到基礎設施要符合稽核是一道難題。</p> <p>原本臺網機房設置在自家辦公室所在大樓的10樓頂樓，但是，辦公大樓的頂樓多為公共空間，除了機房的空間有限，也難以確保機房安全，加上使用了數十年的辦公大樓，頂樓冷氣水塔滋生雜草，可能有漏水風險，大樓耐震設計也不符合資料中心等級需求，這個使用10多年的老舊機房漸漸成了臺網在基礎設施維運的隱憂，因此，他們希望尋找外面適合地點建立新機房。這個難題直到2014年才見到解法。</p> <p>當時證券交易所在板橋啟用一座TIA942 Tier 4等級的國家級資料中心，在供電、空調、防震上都針對資料中心的需求特別設計，例如採用隔震墊、阻尼器，使耐震程度可達到7級，證交所不只是自用，也開放有需求的相關金融單位租用，臺網正好趕上這個機會，並於2016年進駐，才大大改善IT基礎設施維運及穩定。</p> <p>臺網在證交所資料中心2014年完工後開始規畫，花了2年時間，才開始從老舊機房搬遷到新的機房，為了在機房搬遷過程也能做到服務不停機，採取分階段搬遷的做法，分階段搬移前、後臺的系統，先購買一半的新設備設置在新機房，他們先將一半的負載轉移到新機房，等待一段時間來測試新、舊機房同時運作的雙A運作模式，確認這個營運方式穩定後，再擴大新機房的設備，以此逐漸汰換舊機房，將所有負載移到新機房。</p> <p>從數十年辦公大樓內的老舊機房，搬遷到國家級資料中心，對臺網而言，IT基礎設施維運的穩定度大幅提升，為走向自主研發之後，該公司在營運發展上另一個重要里程碑。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E8%87%BA%E7%B6%B2-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /> <span style="font-size:20px;"><strong>臺灣網路認證副總經理陳俊秀表示，透過人才培育、技術培養引導步入正軌，以及團結利他的公司文化產生，才能提升員工的工作士氣及生產力。</strong></span></span></p> <p><span style="font-size:28px;"><strong>推動利他共好的工作氛圍</strong></span></p> <p>至今，臺網已有約120名員工，其中超過6成的員工為IT及研發人員，身為公司創始元老，陳俊秀直言在其過去的經歷裡，遭遇最大的挑戰不是技術問題，反而是人。</p> <p>傳統組織分工，每個人都負責自己分內的工作，當遇到需要解決的難題時，往往會基於本位主義開始防禦，將問題的原因指向他人，並指出他人應該要如何做。陳俊秀希望扭轉為利他共好的文化，當發生問題時，大家一起解決，這件事雖然是他人的工作，但員工願意協助解決他人工作上的問題，他認為這種成功不必在我的精神就是利他共好，幫助他人解決問題，大家共享成果。</p> <p>為了培養員工建立「利他共好」的思維，陳俊秀從幾方面著手，首先是工作意願，徵才時尋找對這項工作有興趣，有意願投入的人才；其次是建立一套大家能接受、具公平性的獎賞制度；第三是養成員工將事情做好的負責任態度，鼓勵員工為了做好工作，透過和其他人討論，學習如何做好工作。當新的員工加入時，如果工作上遇到問題，其他員工願意協助他解決問題，自然而然也會養成新員工樂於幫助其他人。</p> <p>然而，要使員工在個人的績效之外，願意花費自己的時間協助其他人解決問題並非容易的事。除了每半年檢視一次的KPI個人績效表現之外，臺網還設計一個即時獎勵制度，當員工願意協助其他人解決問題，主管可以即時獎勵該名員工，或是在每一季度結束的全公司大型聚會派對裡，由主管對表現優秀的員工給予獎勵，包含實質獎勵或是褒揚。</p> <p>陳俊秀表示，透過即時獎勵制度，做得好的員工可以受到大家的重視，可以漸漸建立員工的榮譽感，慢慢引導他們願意設法協助表現落隊的員工，也激發落隊的員工自己要努力。</p> <p>為了培育人才，臺網也有一套做法，他們以各部門為單位，由各部門員工自己列出工作上需要哪些技術，員工自評對每項技術的熟悉程度，例如精熟、一般、需要加強、完全不知道等5個層級，部門主管根據每位員工的技術熟悉程度，提出需要達到熟悉標準。這麼一來，部門主管能夠掌握每個員工對不同技術的熟悉度，了解部門現在的技術準備狀態，哪些技術是需要優先培養，並訂定員工的學習計畫，對員工來說，也能知道自己需要加強哪些技術。</p> <p>陳俊秀表示，只要做好公司技術發展的基礎設施，一旦建立起這個基礎設施，員工能夠清楚知道需要學習哪些技術，他們學習的資料或心得，也能成為其他員工往後學習所需的教材，漸漸引導良性循環發展。</p> <p>「透過人才培育、技術培養引導步入正軌，以及團結利他的公司文化產生，才能提升員工的工作士氣及生產力」，陳俊秀坦言，這需要長時間推動發展。</p> <p><span style="font-size:28px;"><strong>以微服務提升系統架構彈性</strong></span></p> <p>隨著研發團隊擴大，為了加快產品開發和交付速度，臺網正規畫要導入DevOps，陳俊秀指出，DevOps不只可以提高正確性及效率，也能加快擴充速度，但是臺網要導入DevOps最大的挑戰是落地，如何真正將DevOps融入到實際的作業，尚需要時間一一導入到不同的服務。</p> <p>他解釋，臺網目前導入DevOps所面臨的問題是，開發與維運的整合問題，尤其是平臺作業的問題需要解決，目前的系統使用不同的平臺，例如Linux與Windows，需要相同一套機制跨平臺部署，去年先在單一作業平臺之下測試進行，希望在今年找出解決方案，克服跨不同作業平臺部署的問題。</p> <p>雖然現在仍能繼續以人工一臺臺部署方式，但陳俊秀認為，人工作業的方式難以避免作業上的疏忽，考慮到提升服務品質及可用性，既然已採用Docker、容器化，從長遠角度來看，應該導入DevOps。目前人工作業方式，可能和DevOps新的作業方式相比，現在成本上的差異可能不明顯，但未來隨著系統一直發展，他相信成本、作業品質差異會愈來愈明顯。依過去工作經驗來看，對於未來可能碰到的問題，應該預先規畫，否則未來一旦問題發生，可能根本來不及應對。</p> <p>下一步臺網準備擁抱微服務架構，目前已完成POC概念驗證，進入導入規畫階段。但陳俊秀坦言，微服務的模組化切割對臺網而言是一項大工程，許多系統需要一邊維持運作，一邊進行重構，未來將會先挑選一套系統，來實測如何轉換到微服務架構。</p> <p>儘管挑戰近在眼前，但他認為，導入微服務是必需要做的，隨著身分識別的服務規模愈來愈大，合作夥伴愈多，系統的彈性、組合配置能力，將會是重點，這正是微服務架構能夠帶來的最大優勢。</p> <p>在技術研發作為基礎，過去臺網的身分識別以「人」為主，接下來準備從識人進一步擴大到識事、識物，更多類型的識別服務領域。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>臺灣網路認證副總經理陳俊秀</strong></p> <p>學歷：臺大資訊工程研究所碩士</p> <p>經歷：1990年進入臺灣證券交易所，在證交所電腦作業部擔任專員，隨後在1999年加入甫成立的臺灣網路認證公司，剛開始在業務部門擔任專案經理，後續升任、經理等職務，後來歷任技術部經理、研發部協理，2010年升任副總經理至今，帶領研發及IT、資安等團隊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E8%87%BA%E7%B6%B2-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>臺灣網路認證公司</strong></p> <p>地址：臺北市延平南路85號10F</p> <p>成立時間：1999年</p> <p>主要業務：憑證、身分識別、信物管理、電子簽署、資料共享等服務</p> <p>員工數：120人</p> <p>董事長：李榮琳</p> <p>總經理：郭昭宏</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：副總經理</p> <p>資訊部門主管姓名：陳俊秀</p> <p>直屬主管：郭昭宏</p> <p>資訊部門人數：23人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2008年：自主技術CA系統上線。</p> <p>2016年：機房進駐TIA942 Tier4臺灣證券交易所資訊中心。成立TWID身分識別中心。</p> <p>2018年：與5家電信業者合作推出Mobile ID行動身分識別服務。</p> <p>2022年：建立資安管理框架。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1123-cio-960.jpg" width="960" height="420" alt="" title="臺灣網路認證副總經理陳俊秀　（攝影／洪政偉）" /></div></div></div>
2023/4/3 00:00作者蘇文彬https://www.ithome.com.tw/people/156220
資料介於增減之間的第三態
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身處恆常變化的世間，西方希臘哲學家Heraclitus感嘆：「世上唯一不變的事，就是改變。」，而在東方，佛教四聖諦的「苦諦」闡釋眾生有三大痛苦，變苦正是其中之一，隨著各式技術應用持續演進，IT長年以來少有能夠穩定不變的事物，比起其他領域而言，積極擁抱改變，在快速更迭、推陳出新的環境生存，早已是常態。</p> <p>以資料儲存而言，目前四五十歲這一代年紀的人們，應該都經歷過一張磁碟片只有1.2 MB或1.44 MB的時期，個人電腦若要執行一款遊戲，需要安裝一到兩張磁碟片；之後硬碟機、光碟機與光碟片普及，個人電腦與伺服器的資料儲存容量持續增長；此時所需要克服的挑戰不單是資料儲存空間夠不夠「大」、單位儲存成本是否低到能被市場接受，大家開始希望能夠提升資料存取速度，於是，促成固態硬碟、記憶卡這類快閃記憶體儲存媒體的興起。</p> <p>到了近期，大型雲端服務業者進入市場，以隨需即用方式提供雲端儲存空間，如今的企業也積極推動上雲，許多資料已存放在雲端服務環境，以上種種均是資料的「增」。</p> <p>至於資料的「減」，則是整個產業面對儲存容量有限、單位儲存成本高昂，所持續提出的因應之道，像是：壓縮、重複資料刪除、Thin Provisioning，都是屬於較知名的作法。</p> <p>以壓縮而言，早在Unix主機、個人電腦80386/80486處理器與DOS作業系統盛行的年代，檔案壓縮已大行其道，目前仍經常在各種場合使用，Windows、Linux等作業系統也直接內建這類壓縮資料的功能。</p> <p>至於硬碟即時壓縮，在90年代曾出現一些廠商推出這類型產品，DOS作業系統後期版本也內建硬碟即時壓縮功能，不過，在市售硬碟容量不斷擴展之下，此類型技術應用很快就已消失在歷史舞臺。目前已知的即時壓縮技術，還有應用程式內建此類功能（例如，Oracle Database、微軟SQL Server等資料庫系統均提供），以及資料備份（備份伺服器、磁帶機、虛擬磁帶櫃）。</p> <p>為了抑制資料量不斷攀升對企業與組織帶來沈重的儲存成本負擔，在儲存應用技術的發展過程當中，我們從2006年開始報導重複資料刪除（De-Dupe），到了2009年，透過採購特輯形式介紹市面上的這類解決方案，經過多年的觀察與經驗累積，我們對這類資料縮減技術已做出細部類型區分，像是：檔案型或區塊型、線上處理或後處理、在來源端或目標端來處理。以近期而言，2022年7月的封面故事《<a href="https://www.ithome.com.tw/article/152189" target="_blank">備份應用的資料減量革命</a>》，就是呈現此議題的最新產品應用現況。</p> <p>關於資料的「不變」，早期我們主要在磁帶、虛擬磁帶櫃、光碟櫃等歸檔儲存產品，提及它們具有一寫多讀（Write Once Read Many，WORM）的特色，但僅描述其技術性質，未感受到這類應用需求的迫切性。</p> <p>後續隨著雲端儲存服務的普遍提供與企業運用，2017年我們開始介紹公有雲的長期歸檔儲存服務，2021年發表以此類服務為主的封面故事專題；而為了因應層出不窮的勒索軟體對企業檔案進行加密綁架、甚至摧毀檔案的攻擊，有些儲存設備廠商開始提供並主推WORM特色的相關產品，因此，我們從2019年開始報導這方面的技術應用，並於2022年3月，發表封面故事《<a href="https://www.ithome.com.tw/article/150129" target="_blank">儲存防寫應用重新崛起</a>》。</p> <p>而在持續追蹤相關產品的過程中，我們同時發現到市面上出現越來越多儲存產品，主打不可變快照（Immutable Snapshot）技術，而它們同樣是基於將資料鎖定在唯讀的儲存方式，而在2023年的此刻，恰巧是《<a href="https://www.ithome.com.tw/article/150129" target="_blank">儲存防寫應用重新崛起</a>》刊出1年之後，我們正式向大家介紹這類型解決方案，探討它與一寫多讀技術之間的差異，以及彼此可相互補足的關係，並且勾勒出當代企業級資料防寫技術的最新發展。</p> <p>回顧過去資料儲存應用的發展歷程，不論是熱儲存、暖儲存、冷儲存，如今都找到了用武之地，而過去一度被束之高閣、被認為未來可能沒有發展前景的技術，居然也能以嶄新面貌重回市場，這應該出乎我們與許多專家的意料，或許只能說危機不僅替新進者創造了商機，對於苦熬多年、久坐冷板凳的技術而言，仍然有可能因為時勢變化而再次出頭。不僅AI如此，歸檔、WORM這類防寫儲存的重新受重視，也是典型的例子。</p> <p><a href="https://www.ithome.com.tw/article/156230" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/156230" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1123-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=HJoJqUpJ" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">資料儲存應用</a></div><div class="field-item odd"><a href="/tags/%E4%B8%8D%E5%8F%AF%E8%AE%8A%E5%BF%AB%E7%85%A7">不可變快照</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80">一寫多讀</a></div><div class="field-item odd"><a href="/tags/immutable-snapshot">Immutable snapshot</a></div><div class="field-item even"><a href="/tags/worm">WORM</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E9%98%B2%E5%AF%AB%E6%8A%80%E8%A1%93">資料防寫技術</a></div></div></div>
2023/4/3 00:00作者李宗翰https://www.ithome.com.tw/voice/156222