iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 21:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

傳馬斯克已成立開發ChatGPT競爭服務的AI公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，馬斯克已成立了一間專門開發AI技術的公司名為X.AI。</p> <p><a href="https://www.wsj.com/articles/elon-musks-new-artificial-intelligence-business-x-ai-incorporates-in-nevada-962c7c2f" target="_blank">《華爾街日報》</a>首先報導，X.AI是3月於美國內華達州成立，馬斯克為這間公司的總監，祕書則由馬斯克家族辦公室主任Jared Birchal擔任。<a href="https://www.ft.com/content/2a96995b-c799-4281-8b60-b235e84aefe4" target="_blank">《金融時報》</a>也報導這位科技富豪成立了AI新創公司。根據<a href="https://www.documentcloud.org/documents/23778277-nevada-incorporation-of-xai" target="_blank">《The Verge》</a>取得的官方文件，X.AI Corp成立時間是在3月9日。</p> <p>這是繼3月<a href="https://www.ithome.com.tw/news/155715" target="_blank">《The Information》</a>報導後，關於馬斯克AI大夢的報導。當時媒體披露，馬斯克找來前DeepMind科學家Igor Babuschkin籌建AI研究實驗室，以開發和ChatGPT競爭的AI技術。至於Bubuschkin是否加入馬斯克團隊不得而知。<a href="https://www.linkedin.com/in/igor-babuschkin-9bb5bab6/" target="_blank">根據其LinkedIn資料</a>Bubuschkin去年4月由OpenAI重回DeepMind，但已在今年2月離職，不過未顯示現職所在。</p> <p>此外<a href="https://www.businessinsider.com/elon-musk-twitter-investment-generative-ai-project-2023-4" target="_blank">《Business Insiders》</a>2周前報導，馬斯克買進了數千顆GPU，目的在執行生成性AI產品。馬斯克並未說明買這些GPU的目的，只說這年頭大家都買GPU。</p> <p>這個X.AI的公司名稱也符合馬斯克傳聞中的計畫。馬斯克希望開發提供包括購物、通訊、社群等功能於一的X應用程式，且成立X公司收購推特（Twitter）。媒體上周引述一份文件報導，馬斯克旗下的推特作為法人組織已經不存在，因為已併入一家名為X的公司（X Corp）。</p> <p>有趣的是，馬斯克2周前才簽署了一份<a href="https://www.ithome.com.tw/news/156198" target="_blank">呼籲AI實驗室暫停開發比OpenAI ChatGPT 4.0更先進AI模型的公開信</a>，以避免AI危害人類為由，要求AI實驗室AI模型暫停發展6個月，以規畫管理機制及法令。</p> </div></div></div>
2023/4/17 11:04作者林妍溱https://www.ithome.com.tw/news/156432
【資安週報】2023年4月6日到4月14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在清明連假後的一周半中，共有10個已知漏洞遭利用的情形，包含蘋果緊急修補的CVE-2023-28205、CVE-2023-28206漏洞，以及微軟4月安全性更新所修補的CVE-2023-28252漏洞，發現遭攻擊者利用部署Nokoyawa勒索軟體，以及Veritas備份軟體2021年的3個已知漏洞去年底BlackCat勒索軟體利用，近期被資安業者揭露。</p> <p>另有4個漏洞本期尚未報導，但亦確認遭攻擊者成功利用情形，值得注意，包含兩個今年的已知漏洞：Novi Survey的漏洞（CVE-2023-29492 ）、Android的漏洞（CVE-2023-20963），以及兩個早年的已知漏洞：微軟的漏洞（CVE-2019-1388）、Arm的漏洞（CVE-2019-1388）。在其他漏洞修補消息方面，包括威聯通、HP、SAP、西門子、施耐德、Adobe也發布安全更新，還有JavaScript沙箱程式庫VM2的漏洞值得留意</p> <p>關於威脅態勢的揭露方面，最受關注的是，勒索軟體Rorschach濫用Palo Alto Networks的XDR系統元件載入與執行的情形，以及駭客濫用Telegram的情況是越來越嚴重，其他可留意的是後門程式Balada Injector、竊資軟體Creal、Mirai變種RapperBot的動向，以及竊資軟體Typhon加入大量混淆反分析的揭露。</p> <p>另外要特別一提的是，假ChatGPT、Google Bard名義的威脅也增加，同時，如同與員工擅自將公司資料上傳到個人雲端儲存空間存放情形類似，近期不少企業正關注員工是否可能將公司機密資訊，擅自輸入ChatGPT的問題。</p> <p>至於國內焦點方面，包括假冒財經名人、主播名義的詐騙呈現持續橫行情形，甚至台積電創辦人的夫人張淑芬也遭冒名使這類問題更受關注，因此，Meta與Google等平臺業者的自動審核廣告機制，顯然已被網路犯罪者找到容易突破的方式，業者再不設法解決，等於讓廣告成網路攻擊與詐騙發動溫床；Google Cloud近期揭露去年第四季報告中，提及中國駭客組織APT41當時鎖定目標是臺灣媒體。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156264"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</span></strong></a></h3> <p>本日的資安新聞有不少與已知漏洞的攻擊行動有關，例如，之前出現的網路電話系統開發商3CX供應鏈攻擊事故，駭客於Windows版用戶端軟體利用了10年前的軟體簽章漏洞CVE-2013-3900，原因是微軟將相關更新程式列為選用，而有可能因為使用者的電腦沒有修補這項漏洞，讓駭客能夠得逞。</p> <p>這種已知漏洞尚未修補，而能讓駭客隨意利用的情況究竟有多嚴重？有資安業者根據美國網路安全暨基礎設施安全局（CISA）列管的896個已被利用漏洞名單（KEV）著手調查，結果發現有1,500萬個應用系統曝露KEV列管的部分漏洞，值得留意的是，研究人員列出的10大漏洞裡，有一半以上存在5年以上。</p> <p>上述的KEV名冊裡有不少是高風險漏洞，使得研究人員不斷呼籲要儘速修補，但低風險的漏洞也同樣值得留意。有資安業者針對威聯通NAS設備的零時差漏洞提出警告，並指出這些漏洞的CVSS風險評分雖然僅有2.7分，但在駭客時常針對該廠牌NAS下手的情況下仍應儘速修補。</p> <h3><a href="https://www.ithome.com.tw/news/156300"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月7日】英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者</span></strong></a></h3> <p>又是將開發環境組態公開於網站上引發的資料外洩事故！而且，這樣的情況還是發生在專門提供數位ID驗證服務的資安業者。研究人員指出，這起事故不只洩露該公司內部的資料，還牽連英國、澳洲多家大型金融機構。</p> <p>使用者想要尋找VPN服務要留意！最近有人假借提供這類服務的名義散布竊資軟體OpcJacker，然後進一步於受害電腦部署木馬程式、遠端桌面連線程式，以便進行第2階段攻擊。</p> <p>除了我們必須對駭客散布惡意程式的手法提高警覺，駭客企圖引誘新血投入的情況也值得留意。有資安業者發現駭客利用加密通訊軟體Telegram散布網釣工具包的情況越來越常見，但這麼做的目的，主要是吸引缺乏相關技能的新手投入網路犯罪。</p> <h3><a href="https://www.ithome.com.tw/news/156319"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月10日】特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限</span></strong></a></h3> <p>近期特斯拉傳出幾起資安事故，格外引人注目。首先是該公司的客戶關係管理系統Tesla Retail Tool漏洞，引起研究人員關注，因為受到影響的不只是該公司本身，還包含合作的供應商、客戶。</p> <p>另一則與這家汽車製造商有關的新聞，則是前員工指控公司產品存在隱私保護爭議。據傳該廠牌汽車攝影機錄下的影片，員工竟拿來分享、取笑，內容包含交通事故與車主居家環境，極度無視車主的隱私，而老闆均為Elon Musk的特斯拉與網路社交媒體推特，均不願對此回應。</p> <p>除了與電動車大廠特斯拉有關的事故，蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補的零時差漏洞也值得留意，這些漏洞已出現攻擊行動，使用者應儘速安裝更新程式。</p> <h3><a href="https://www.ithome.com.tw/news/156354"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月11日】惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作</span></strong></a></h3> <p>惡意NPM套件的攻擊行動不時傳出，但之前大部分的目的是向開發人員散布惡意程式，如今駭客採用新的手法，他們透過自動化的方式，上傳內含惡意連結的大量套件，將開發人員導向惡意網站，再進行第二階段攻擊。研究人員指出，駭客大量上傳套件的情況，使得短短一個月NPM代管的套件就爆增近8成，進而影響此套件庫的運作。</p> <p>在NPM套件的攻擊行動之外，企業對於現行使用者的身分管理，也值得留意，很多企業對於離職員工的帳號清除並未落實。最近有調查發現，竟有接近半數的離職員工能夠存取公司內部環境，或是所訂閱的服務，甚至能猜到老闆所使用帳密資料。這樣的情況也突顯出，公司對於離職員工的帳號註銷、管理，亟需加強。</p> <p>繼上週末蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補兩個零時差漏洞，10日蘋果公司對於執行舊版作業系統的行動裝置與電腦，也發布相關更新，用戶應儘速套用修補軟體。</p> <h3><a href="https://www.ithome.com.tw/news/156382"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</span></strong></a></h3> <p>11日多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者，其中最值得留意是微軟發出的公告，因為當中修補的零時差漏洞CVE-2023-28252，已有資安業者發現在2月被用於勒索軟體攻擊。</p> <p>除了IT與OT大廠此刻齊發每個月例行修補，前一段時間經歷曝露用戶對話標題及帳號被盜等資安事故的ChatGPT，主導其發展的人工智慧實驗室OpenAI本週宣布推出漏洞懸賞專案，鼓勵研究人員對該實驗室的API及ChatGPT幫其抓漏。</p> <p><a href="https://www.ithome.com.tw/news/156291">三星半導體部門傳出因開放使用ChatGPT造成資料外洩</a>的情況並非個案！有資料安全新創公司發現，平均每100位員工就有超過3位將企業機敏資料上傳ChatGPT，且這種資料外洩的情況有越來越嚴重的趨勢。</p> <h3><a href="https://www.ithome.com.tw/news/156406"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</span></strong></a></h3> <p>攻擊者利用合法網站做為攻擊媒介，並針對使用者散布惡意程式的情況，不時有事故傳出，但近期出現了新的攻擊手法。日本資安業者NTT Security Holdings揭露自去年底出現的攻擊行動，駭客製造了假的Chrome錯誤訊息，讓使用者不知不覺依照指示而中招。</p> <p>除了針對電腦上網使用者而來的攻擊行動，鎖定安卓行動裝置的惡意軟體氾濫的情況也值得留意。最近資安業者卡巴斯基揭露了地下供應鏈，指出駭客可直接從暗網購得所需的各式服務來犯案──包括讓惡意程式上架Google Play市集。</p> <p>在惡意軟體攻擊之餘，網路詐騙的事故也引起政府重視。美國聯邦調查局（FBI）針對當地華人提出警告，近日駭客聲稱是中國公安或是領事館人員行騙，呼籲他們遇到來路不明的電話要提高警覺，切勿透露自己的個資。</p> <h3><a href="https://www.ithome.com.tw/news/156417"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月14日】駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，散布竊資軟體</span></strong></a></h3> <p>採用大型語言模型（LLM）的人工智慧機器人是當今大熱門，駭客假借這類程式的名義也不時傳出，其中最常被利用的就是ChatGPT。但在最近一起散布竊資軟體RedLine的資安事故裡，駭客不只冒用ChatGPT，還有Google Bard的名義來發動攻擊。</p> <p>雲端組態不設防的現象頻傳，其中又以採用弱密碼、甚至是沒有密碼保護的情況相當常見，而這樣的態勢也成為駭客發動攻擊的重要管道──雲端服務業者Google Cloud指出，他們分析用戶遭遇的攻擊行動裡，有近半數是鎖定弱密碼的環節而來。</p> <p>視訊監控系統的儲存系統一旦曝露漏洞，很有可能導致錄下的影像外流。例如，海康威視（Hikvision）修補了SAN混合儲存設備與叢集儲存產品漏洞CVE-2023-28808，並表示若不修補駭客能用來取得管理員權限，對該系統為所欲為。</p> </div></div></div>
2023/4/14 18:23作者羅正漢https://www.ithome.com.tw/news/156420
Google Play上逾60款合法程式遭Android惡意程式Goldoson滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/goldoson-privacy-invasive-and-clicker-android-adware-found-in-popular-apps-in-south-korea/" target="_blank">資安業者McAfee近日發現</a>一鎖定南韓市場的Android惡意程式Goldoson，它滲透到Google Play、ONE Store與其它Android市集上的逾60款合法程式，竊取使用者的裝置資訊，且具備廣告詐騙的能力，受到波及的程式光是在這兩個市集的安裝數量便分別達到1億與800萬次。</p> <p>分析顯示，Goldoson函式庫會在程式執行時註冊裝置並取得遠端配置，可定期檢查及取得裝置資訊，再將它們傳送至遠端伺服器，此外，它還能在用戶不知情的狀況下載入網頁。</p> <p>Goldoson所能取得的資訊包括裝置上所安裝的所有程式、裝置的位置歷史紀錄，以及附近Wi-Fi與藍牙的MAC位址等。McAfee認為，結合所有的資料或許可以辨識出使用者的身分。</p> <p>McAfee提醒，或許有些開發者並不了解Goldoson的詳細行為，在採用第三方函式庫時，應更加謹慎以保護使用者的資訊。Google則已通知這些違反平臺政策的程式開發者，有的程式已更新，有的則直接被移除。</p> </div></div></div>
2023/4/17 09:21作者陳曉莉https://www.ithome.com.tw/news/156427
Google修補今年第一個Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_14.html" target="_blank">Google上周五（4/14）釋出Chrome 112.0.5615.121</a>，以修補一個已遭駭客利用的安全漏洞CVE-2023-2033，此一更新支援Windows、macOS與Linux平臺，可望於未來幾天或幾周自動部署，而這也是Google在2023年所修補的第一個Chrome零時差漏洞。</p> <p>Google僅簡單描述CVE-2023-2033是個出現在V8 JavaScript引擎的類型混淆（Type Confusion）漏洞，並說已有針對該漏洞的攻擊程式問世，而未公布更詳細的漏洞或攻擊細節。</p> <p>不在修補的第一時間公布漏洞細節是為了讓使用者有更多的時間部署更新，Google表示，倘若漏洞出現在其它專案也仰賴的第三方函式庫中，而且尚未修補，同樣也會限制披露範圍。</p> </div></div></div>
2023/4/17 09:14作者陳曉莉https://www.ithome.com.tw/news/156426
Visual Studio 17.6將加入建置加速平臺Incredibuild 10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布將在<a href="https://devblogs.microsoft.com/cppblog/incredibuild-10-visual-studio-17-6/">Visual Studio 17.6整合建置加速平臺Incredibuild 10</a>，以加速大型專案建置速度。由於Incredibuild具有建置快取技術，可以供開發人員快取建置輸出，方便所有團隊成員重複使用，藉由擴大增量建置帶來的優勢，使大型專案建置更有效率。</p> <p>Incredibuild是一款軟體建置加速工具，可以讓開發者更快地編譯、測試和執行應用程式，藉由運用分散式運算技術，Incredibuild可以利用網路中其他電腦的資源，加速開發過程中包括編譯、測試和執行時等各項任務。Incredibuild對於遊戲與嵌入式應用開發特別有用，因為這些應用通常具有龐大的軟體專案，編譯和測試時間都較長。</p> <p>Incredibuild作為第三方工具，支援多種編譯器和開發環境，包括Visual Studio、GCC和CMake等，而微軟現在要讓開發者在Visual Studio 17.6的安裝程式，將可以直接選擇安裝Incredibuild。微軟提到，Incredibuild系統會將開發流程分解為可獨立執行的小任務，而透過Incredibuild 10新加入的建置快取（Build Cache）技術，可以重用整個開發團隊先前執行的任務輸出，以節省建置時間和資源。</p> <p>也就是說，建置快取得以擴大增量建置的範疇，Incredibuild系統僅會就開發者的變更進行建置，而將開發團隊其他不相關的部分合併到更改時，便可以僅使用快取，且當開發者切換回原始分支時，僅暫時於其他不同分支上工作，也不會發生大型建置。</p> <p>針對輸出不在快取的任務，Incredibuild Grid便會將這些任務分配到運算核心池中，分配給任務需要的運算容量。網格中的機器不需要安裝編譯器或是事先複製程式碼，Incredibuild Grid能夠處理所有的工作，而且當這些工作完成並被快取後，相同的工作之後就不必再次執行，因此能夠大幅減少整個團隊的建置時間。</p> <p>建置快取除了可以減少團隊建置的時間外，對於在家工作的開發者也有優點，因為家庭網路通常上傳頻寬有限，因此在家工作通常會影響建置速度，而建置快取可讓建置工作轉為仰賴下載頻寬，因此在建置工作將可獲得更好的速度和效能，重複使用儲存在本地電腦的建置資料，能夠在不影響頻寬的情況下，明顯縮減建置時間。</p> </div></div></div>
2023/4/14 23:25作者李建興https://www.ithome.com.tw/news/156418
Google更新Chrome底層HTML解析與指標壓縮機制，改善網頁執行效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2023/04/more-ways-were-making-chrome-faster.html" target="_blank">Google對Chrome瀏覽器底層進行一系列更新</a>，透過最佳化頻繁使用的功能，提升網頁執行的速度，近期的重要效能更新包含改善HTML解析，並且使Chrome的V8引擎和DOM物件垃圾回收工具Oilpan的指標壓縮和分配更有效率。另外，Google也針對高階Android裝置，推出效能最佳化Chrome版本。</p> <p>Chrome開發團隊針對頻繁使用的JavaScript函式，Object.prototype.toString與Array.prototype.join進行最佳化，並且對CSS的InterpolableColor進行針對性改進，以提升網頁應用程式執行速度。同時開發團隊還對JavaScript中，更新DOM的方法innerHTML進行調整，添加了專用的快速解析路徑，官方提到，他們的這項改進也被WebKit採用，添加到新版本中。</p> <p>V8和Oilpan現在則採用更高效率的指標壓縮技術，可進一步節省記憶體使用，在Apple的Speedometer 2.1瀏覽器基準測試中，該方法帶來了10％的效能提升。簡單來說，開發人員對壓縮和解壓縮的方法進行最佳化，同時避免壓縮高流量欄位，由於這些操作的執行頻率很高，因此即便單次操作僅有小幅度的效能提升，也能對整體效能產生廣泛的影響。</p> <p>開發團隊同時還將經常存取的物件，諸如JavaScript的undefined等，移動到記憶體起始位置的開頭，方便機器碼能更快地取用。</p> <p>Google也針對高階裝置釋出專屬的Chrome版本，以提升執行效能，開發團隊解釋，因為Android裝置的等級差異很大，過去他們會對Android裝置最佳化Chrome的占用空間，但是這卻限制了Chrome在高階裝置上的效能，而現在釋出的新版本，主要針對執行速度，而非對二進位檔案大小的最佳化。</p> <p>在效能更強大的裝置，Chrome高效能版本在Speedometer 2.1基準測試速度，可提升達30％。</p> </div></div></div>
2023/4/14 23:28作者李建興https://www.ithome.com.tw/news/156421
Google訓練機器人在自家辦公室分類垃圾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>增強學習技術的發展，使得機器人的能力隨之提升，除了抓取等基本操作，Google還要讓機器人具備能夠實際處理日常任務的能力，而<a href="https://ai.googleblog.com/2023/04/robotic-deep-rl-at-scale-sorting-waste.html">Google在這2年於自家辦公大樓部署23臺機器人</a>，專門在垃圾站巡邏，並執行垃圾分類和回收的工作，經統計一年約可減少一半的垃圾重量。</p> <p>Google發展能夠在自家辦公大樓中巡邏，並且尋找垃圾站的機器人，機器人的任務是能夠重新整理垃圾站的垃圾，將可回收物品從其他桶中移動到可回收桶，並將所有可分解的物品，像是紙容器和紙杯丟入可分解桶，至於其他的東西則放到垃圾桶。</p> <p>研究人員提到，分類垃圾對機器人來說並不容易，光是要撿起垃圾桶中的物品，就是一個很大的深度學習挑戰，而且機器人還要能夠辨識物體，將物體放進合適的桶中更是不容易。研究人員使用真實世界資料，進行深度增強學習，並且透過將模擬訓練和實際操作相結合，以加速學習過程，另外，機器人也使用額外的感測資訊，掌握物體的形狀和大小，提高在不同場景下的泛化能力。</p> <p>訓練垃圾分類機器人有多個分類垃圾經驗獲取管道，一開始由研究人員制定一組簡單的策略，雖然機器人以此策略分類垃圾的成功率很低，但是可以提供一些初始經驗，第二個經驗學習管道則是sim-to-real模擬訓練框架，透過模擬提供機器人更多初始垃圾分類策略，再來研究人員則要機器人站在教室中，透過設定具代表性的垃圾站環境，要機器人不斷地進行垃圾分類練習，最後研究人員才將這些機器人，部署到辦公大樓中，在真實的環境中執行垃圾分類，學習最實際的分類經驗。</p> <p>雖然在實際辦公大樓垃圾桶的訓練，可以擁有最真實的體驗，但是辦公室中有些時候會有很多垃圾，有些時候卻又很少，因此機器人多數的分類經驗，還是在垃圾分類教室中獲得。機器人在分類教室總共收集54萬次的分類試驗，在實際部署中則收集到3.25萬次。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201747%20-%20Robotic%20deep%20RL%20at%20scale_%20Sorting%20waste%20and%20recyclables%20with%20a%20fleet_%20-%20ai_googleblog_com.png" style="width: 580px;" /></p> <p>透過在教室中進行受控的比較實驗，最終機器人能以84％的準確度分類垃圾，而且透過分析2021年到2022年的統計資料，Google表示他們的機器人分類系統，能夠有效減少垃圾重量40％到50％。</p> </div></div></div>
2023/4/14 23:31作者李建興https://www.ithome.com.tw/news/156422
Pulumi整合大型語言模型，自動化雲端基礎設施即程式碼操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門基礎設施即程式碼工具新創Pulumi，運用生成式人工智慧和大型語言模型，推出新工具<a href="https://www.pulumi.com/blog/pulumi-insights/">Pulumi Insights</a>，使得用戶在基礎設施即程式碼的處理上，獲得人工智慧的協助，更容易地執行進階搜尋、分析等工作。所有Pulumi雲端用戶都可以使用Pulumi Insights。</p> <p>Pulumi Insights中的Pulumi AI，是一個以大型語言模型為基礎，針對雲端基礎設施創建的人工智慧助理，官方提到，Pulumi AI可減少探索、學習和使用新雲端基礎設施API的時間。用戶可以直接使用自然語言，要求Pulumi AI以指定的程式語言達成特定雲端基礎設施操作，包括在雲端基礎設施添加新功能、提高安全性和效能，甚至是修復錯誤等任務。</p> <p>藉由使用Pulumi AI，用戶不需要了解特定API，就可以利用CLI工具創建複雜的雲端基礎設施，並且在雲端控制臺查看已部署的內容。</p> <p>Pulumi Insights能夠智慧地在用戶所使用的雲端平臺搜尋資源，官方提到，企業通常不會僅使用單一雲端平臺或是雲端帳戶，部分團隊甚至擁有數十個雲和數百個帳戶。要搜尋這些雲端資源和帳戶下的基礎設施非常困難，而Pulumi Insights的資源搜尋功能，可以探索用戶的所有資源，並且按堆疊、專案和各種維度過濾資源。</p> <p>用戶可以查詢像是所有AWS VPC，或是所有AWS和Azure VPC中，具有生產標籤的資源，同時也能夠存取雲端資源統計資料，像是按雲端供應商、資源類型或是部門分類的資料。</p> <p>Pulumi Insights的資料匯出工具，則能夠將Pulumi Supergraph中的資料，匯出供Excel、Tableau、Looker、PowerBI等商業智慧工具使用，以進行更深入的分析，或是以Snowflake、Redshift與Databricks等資料倉儲視覺化資源資料，創建有關成本、法遵和其他操作的報告。</p> </div></div></div>
2023/4/14 23:40作者李建興https://www.ithome.com.tw/news/156423
【資安日報】4月14日，駭客透過臉書廣告贊助貼文，假借提供ChatGPT、Google Bard聊天機器人程式的名義，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>採用大型語言模型（LLM）的人工智慧機器人是當今大熱門，駭客假借這類程式的名義也不時傳出，其中最常被利用的就是ChatGPT。但在最近一起散布竊資軟體RedLine的資安事故裡，駭客不只冒用ChatGPT，還有Google Bard的名義來發動攻擊。</p> <p>雲端組態不設防的現象頻傳，其中又以採用弱密碼、甚至是沒有密碼保護的情況相當常見，而這樣的態勢也成為駭客發動攻擊的重要管道──雲端服務業者Google Cloud指出，他們分析用戶遭遇的攻擊行動裡，有近半數是鎖定弱密碼的環節而來。</p> <p>視訊監控系統的儲存系統一旦曝露漏洞，很有可能導致錄下的影像外流。例如，海康威視（Hikvision）修補了SAN混合儲存設備與叢集儲存產品漏洞CVE-2023-28808，並表示若不修補駭客能用來取得管理員權限，對該系統為所欲為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://veriti.ai/blog/research/from-chatgpt-to-redline-stealer-the-dark-side-of-openai-and-google-bard/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體RedLine假冒ChatGPT、Google Bard聊天機器人軟體散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/redline4-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/redline4-1.png" style="width: 300px; float: right;" /></a>最近AI聊天機器人當紅，也成為駭客散布惡意程式的幌子。資安業者Veriti發現駭客以ChatGPT和Google Bard為誘餌，在用戶電腦散布竊資軟體RedLine。駭客疑似先是挾持擁有數千名粉絲的企業臉書帳號，藉由廣告贊助貼文的名義，聲稱提供免費的ChatGPT或Google Bard程式檔案。</p> <p>一旦使用者依照指示下載壓縮檔案並開啟，竊資軟體RedLine就有可能啟動在受害電腦盜取帳密資料，或是下載其他惡意程式。研究人員指出，他們已經看到有數十個企業臉書帳號被用於相關攻擊行動。</p> <p><a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_apr2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">企業上雲真的重視安全嗎？根據雲端服務業者的調查，運用弱密碼的用戶比例竟接近一半</span></strong></a></p> <p>雲端服務業者Google Cloud揭露2022年第4季鎖定他們用戶的資安威脅態勢，研究人員在47.8％的事故當中發現，攻擊者針對使用弱密碼的環境下手，</p> <p>其次，則是入侵API，相關攻擊占19.6%。相較之下，軟體弱點和零時差漏洞雖然也有駭客使用（13.4%），但研究人員指出，比例將會越來越低。而這樣的現象，代表了使用弱密碼與不安全的API成為攻擊者偏好的目標，而為了降低被察覺的機會，國家級駭客也模仿一般網路罪犯的策略，跟進採用上述的手段。</p> <p><a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_apr2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT41去年下旬針對臺灣媒體發動釣魚攻擊，濫用同一家雲端服務業者的不同協作服務及開源工具，考驗雲端服務業的檢測能力</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gcat_threathorizons_full_apr2023-GC2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gcat_threathorizons_full_apr2023-GC2.png" style="width: 300px; float: right;" /></a>雲端服務業者Google Cloud於揭露2022年第4季的調查報告裡提及，去年10月發現中國駭客組織APT41的攻擊行動，目標是臺灣的媒體。</p> <p>攻擊者利用釣魚郵件，引誘收信人從Google Drive下載受到密碼保護的文件檔案。其惡意酬載是開源紅隊工具Google Command and Control（GC2），一旦植入受害電腦，GC2就會試圖從Google Sheets取得攻擊者的命令，下載額外的檔案竊取資料，並透過Google Drive洩露。研究人員表示，這些駭客在2022年7月，就利用GC2對義大利求職網站下手。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/13/threat-actors-strive-to-cause-tax-day-headaches/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國報稅季接近尾聲，會計師成網釣攻擊的目標</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Remcos-malware-phishing-lure-n.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Remcos-malware-phishing-lure-n.png" style="width: 300px; float: right;" /></a>美國報稅季即將於4月18日結束，但在許多人趕在截止日期申報的時候，駭客趁亂發動攻擊。</p> <p>微軟揭露針對專門處理稅務的會計人士的網路釣魚攻擊，駭客聲稱收信人必須完成相關的文件才能退稅，並提供近年的文件表單檔案，如W-2、1099、HSA等，一旦收信人依照指示點選信中的連結，就會下載存放於合法網域的捷徑檔案（LNK），此檔案會執行PowerShell，連結到攻擊者控制的網域下載惡意檔案GuLoader，進而於受害電腦部署木馬程式Remcos。</p> <p>由於駭客將使用的LNK檔案偽裝成PDF文件，使得研究人員呼籲使用者應該調整Windows檔案總管當中，檔案與資料夾的顯示設定，顯示所有檔案的副檔名來避免上當。</p> <p><a href="https://www.cadosecurity.com/legion-an-aws-credential-harvester-and-smtp-hijacker/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">別讓不當設定網站成為駭客任意進出竊取帳密資料的寶庫！有人正在網路販售這類工具</span></strong></a></p> <p>資安業者Cado Security揭露名為Legion的駭客工具，他們看到駭客透過加密通訊軟體Telegram兜售，並標榜具備多項功能，包含枚舉易受攻擊的SMTP郵件伺服器、利用遠端程式碼執行漏洞、攻擊含有弱點的Apache伺服器、暴力破解cPanel和WebHost Manager帳號，以及能濫用AWS服務的其他攻擊模組，主要的攻擊目標是內容管理系統（CMS）、以PHP架設的網頁伺服器。</p> <p>此外，該工具還能從線上服務挖掘電話號碼名單，並藉由竊得的SMTP帳號資料發送垃圾簡訊。</p> <p><a href="https://www.sentinelone.com/labs/transparent-tribe-apt36-pakistan-aligned-threat-actor-expands-interest-in-indian-education-sector/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度教育機構遭巴基斯坦駭客Transparent Tribe盯上</span></strong></a></p> <p>資安業者SentinelOne揭露伊朗駭客Transparent Tribe的攻擊行動，印度的教育機構是被鎖定的目標，對方藉由釣魚郵件，挾帶含有惡意巨集及OLE物件的Office檔案，散布木馬程式Crimson。值得留意的是，駭客為了掩人耳目，他們會在檔案內容加上「檢視文件」的圖案，引誘使用者點選，一旦收信人照做，就會觸發OLE物件，並假借Windows更新的名義執行木馬程式。</p> <p><a href="https://securelist.com/crimeware-report-uncommon-infection-methods-2/109522/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mirai變種RapperBot採用新型態暴力破解手法入侵連網設備</span></strong></a></p> <p>資安業者卡巴斯基揭露基於Mirai開發的殭屍網路病毒RapperBot，他們最初於2022年6月發現相關攻擊行動，當時該殭屍網路病毒透過SSH連線入侵受害設備，目標是對非HTTP連線的系統發動DDoS攻擊。但駭客後來轉換攻擊手法，改以Telent連線發動攻擊，研究人員於2022年第4季，看到11.2萬次攻擊行動，這些攻擊從逾2千個IP位址發出。</p> <p>值得留意的是，RapperBot入侵受害設備所使用的暴力破解手法與過往不同，會依據目標設備提供的提示（prompt），挑選特定的帳密資料來嘗試，加快暴力破解過程，而不需要嘗試一整份清單的身分資訊。</p> <p><a href="https://techcrunch.com/2023/04/13/hackers-claim-vast-access-to-western-digital-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客聲稱從Western Digital竊走10 TB資料</span></strong></a></p> <p>硬碟製造商Western Digital於4月3日證實遭到網路攻擊，導致部分服務中斷，該公司亦表示可能有資料外洩的情況，如今有駭客向媒體聲稱是他們所為。根據科技新聞網站TechCrunch報導，有人宣稱發動攻擊，竊得10 TB資料，當中包含大量的客戶資訊，表明他們有辦法利用Western Digital的憑證來替檔案進行數位簽署，並透露他們向這家公司勒索的金額達到8位數（即數千萬美元）。</p> <p>此外，駭客也展示螢幕截圖，表明掌控了該公司的Box帳號、內部電子郵件、儲存在資安系統PrivateArk的檔案等。駭客聲稱入侵Western Digital的目的是為了賺錢，並未加密檔案，而且只要拿到贖金就會離開該公司的網路環境，他們揚言該公司若不付錢，他們將會在勒索軟體BlackCat（Alphv）的網站公開竊得資料（但強調與該組織無直接關係）。</p> <p>至於駭客如何入侵該公司？他們表示是透過基礎設施的漏洞，且已掌握該公司Azure環境的全域系統管理員。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerability-in-hikvision-storage-solutions-exposes-video-security-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">海康威視儲存解決方案出現重大漏洞，恐曝露監視器錄下的影片</span></strong></a></p> <p>4月10日海康威視（Hikvision）發布資安通告，指出該公司旗下的SAN混合儲存設備與叢集儲存產品含有CVE-2023-28808，一旦遭到利用，攻擊者有可能藉由發送偽造訊息觸發漏洞，進而取得管理者權限，CVSS風險評分為9.1，影響DS-A71024、DS-A80624S、DS-A80316S等11款設備。該公司表示，目前尚未出現漏洞利用攻擊的跡象。</p> <p>對此，通報該漏洞的資安業者Redinent認為，此漏洞可遠端利用，再加上海康威視的這些儲存設備有不少曝露在網際網路上，攻擊者可以刪除監視器鏡頭錄下的影片，以及相關記錄資料，影響範圍將會非常廣泛。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/2d6bb590-fa47-435f-818e-c196c25733e0"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">行政院通過個人資料保護法修正草案，提高刑責並將設置個人資料保護委員會</span></strong></a></p> <p>行政院於4月13日通過國家發展委員會擬具的「個人資料保護法」第1條之1、第48條、第56條修正草案，將函請立法院審議。當中增訂了個資法的主管機關「個資保護委員會」，並提高罰款的金額，若是情節重大，最高可處1千萬元罰鍰，並令其改正，若未改正可按次處罰。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.jpost.com/israel-news/article-738790"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列自動灌溉系統遭到網路攻擊，被迫中斷運作</span></span></strong></a></p> <p><a href="https://www.darkreading.com/attacks-breaches/super-yacht-specialist-dry-dock-ransomware-attack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國遊艇造船廠Lürssen傳出遭勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://securelist.com/the-lazarus-group-deathnote-campaign/109490/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Lazarus發動DeathNote攻擊行動，鎖定國防工業而來</span></span></strong></a></p> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230407"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告鎖定企業的色情勒索攻擊行動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-delays-exchange-online-cars-deprecation-until-2024/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟宣布Exchange Online用戶端存取規則功能延後一年停用</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/11/guidance-for-investigating-attacks-using-cve-2022-21894-the-blacklotus-campaign/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟公布檢測UEFI惡意程式BlackLotus的指引</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156406">【4月13日】駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156382">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月11日】惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作</a></strong></p> </div></div></div>
2023/4/14 16:49作者周峻佑https://www.ithome.com.tw/news/156417
Meta開源可以把素描變成動畫的AI專案Animated Drawings
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.facebook.com/blog/post/2023/04/13/meta-os-animated-drawings/" target="_blank">Meta的基礎AI研究（Fundamental AI Research，FAIR）團隊本周發表了新的AI開源專案Animated Drawings</a>，能夠將兒童所創作的人物素描變成動畫，該專案包含了演算法及近18萬張具備註解的素描，可望協助創作者與開發者打造相關經驗與產品。</p> <p>為了蒐集大量的素描來訓練AI模型，FAIR團隊在2021年時便建立了Animated Drawings Demo，這是個可透過網頁存取的示範服務，讓創作者可上傳他們的素描，檢視與校正模型預測，繼之收到基於該素描角色而衍生的動畫。</p> <p>有趣的是，原本該團隊的目標只想蒐集1萬張素描圖片，不料該示範服務引起熱烈的迴響，在短短的幾個月內就收到了超過160萬張素描，最終全球總計有320萬人造訪過該站，上傳到該服務的素描數量多達670萬張。</p> <p>原因之一可能是<a href="https://sketch.metademolab.com/" target="_blank">Animated Drawings Demo的介面</a>很簡單，使用者上傳素描作品後，可選擇要執行動畫的角色，確認角色的關節位置，就能建立動畫了，不到一分鐘就能將原本處於畫紙上的靜態角色變成活蹦亂跳的動畫人物。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-1.fna.fbcdn.net/v/t39.2365-6/341323103_225625476815213_1529623186623902116_n.png?_nc_cat=109&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=sPVn4GAKT-MAX8bXrRR&_nc_ht=scontent.ftpe8-1.fna&oh=00_AfCzc1f_EnKIyML0dUgilVUKd93GY0NsbOt55UPwpR89ww&oe=643DBA59" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>此外，Meta也發現使用者對Animated Drawings的興趣超乎想像，他們其實只想蒐集來自兒童的素描，卻發現使用者上傳了五花八門的圖案，從企業商標、填充玩具、寵物、人偶，到各種想要它們變成動態的內容，且就算該示範服務指定只要人物的素描，但使用者上傳了鳥、魚與各種動物，也熱情地提供了各式各樣的意見，例如想要透明的背景，希望可支援不同的骨架，要有表情，可以多個角色一起互動，以及音效、情境與文字功能等。</p> <p>面對襲來的大量建議，FAIR決定直接將Animated Drawings開源。Meta表示，未來除了內部專案會導入Animated Drawings之外，也期望透過開源以讓全球創作者與開發人員共同建立將素描變成動畫的更多樣化的體驗。</p> <p>雖然全球使用者上傳的素描數量多達670萬張，但Meta進行了多次的過濾行動，包括僅選擇那些同意與研究團隊分享的素描，再加上隱私與安全考量，以及剔除不符合該專案要求的圖片等等，最後收錄在資料集中的素描則接近18萬張。</p> </div></div></div>
2023/4/14 14:50作者陳曉莉https://www.ithome.com.tw/news/156416
駭客宣稱入侵WD系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2023/04/13/hackers-claim-vast-access-to-western-digital-systems/" target="_blank">本周一個駭客組織公開宣稱</a>，4月初硬碟廠商Western Digital（WD）的網路攻擊事件是其所為。</p> <p><a href="https://www.ithome.com.tw/news/156245" target="_blank">本月初WD證實系統遭駭</a>，相信攻擊者從特定系統取得資料，且影響包括MyCloud NAS系統、裝置、及照片備份服務等。而為遏止事件擴大，WD也主動切斷多項系統，包括入口網站、網頁及代理伺服器、電子郵件、驗證及推播通知等服務。</p> <p>當時WD對攻擊事件透露甚少。不過本周一個駭客組織對Techcrunch宣稱自己是犯案者，且提供了佐證資訊。攻擊者提供了一個宣稱是以WD程式碼簽章憑證簽發的檔案，以及數名據稱是WD高層主管的非公開電話號碼。雖然電話無人回應，但檔案則經專家確認是WD憑證簽發。</p> <p>攻擊者也顯示一個隷屬WD帳號的Box資料匣及其公司群組通話軟體的螢幕擷圖、一封WD內部郵件、及線上檔案服務PrivateArk儲存的數個檔案。攻擊者還宣稱手上擁有竊取自WD 用以管理電子商務資料的SAP Backoffice的檔案。</p> <p>這群駭客宣稱，是隨機挑選攻擊目標，單純意在取得贖金。雖然安全專家猜測WD網路安全事件來自勒索軟體攻擊，但這群駭客說他們決定不使用勒索軟體加密WD檔案，而是要求「一次性的支付金額」，說對方只要付了錢就會撤出其網路環境，揚言若未收到贖金就會將WD資料公布在勒索軟體Alphv的公開網站。但駭客說和Alphv組織並無關聯。</p> <p>不過WD顯然不願合作，也不回應駭客的所有聯繫。自4月初關閉系統，<a href="https://status.mycloud.com/os4" target="_blank">WD的服務狀態頁顯示</a>所有Cloud Home 及My Cloud OS 5服務已在4月12日恢復上線。</p> </div></div></div>
2023/4/14 14:38作者林妍溱https://www.ithome.com.tw/news/156415
AV1躋身網路視訊編碼主流標準
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank">iThome周刊1125期的封面故事主角是線上影音服務串流業者Netflix</a>，1997年成立的他們，從DVD網路租借業務起家，2013年因播映自製影集《紙牌屋》而揚名全球，其運用的觀眾大數據分析，決定他們製播出這齣戲劇的主題，更成為當時IT應用創新的最佳典範，而我們現在要談談他們行銷全球熱門影集的AI技術。</p> <p>多媒體線上視訊應用這塊市場到底有多熱呢？除了業務模式與軟體發展，在硬體方面，這半年多來，我們陸續見證三大運算平臺廠商，都想分食這塊大餅，因此陸續推出新一代資料中心GPU、多媒體工作負載加速卡，而它們配備的各種規格與支援的最新標準，也指向整個網路多媒體應用的最新趨勢，其中，是否支援AV1這套多媒體編碼的標準，是許多人都很關注的議題。</p> <p>事實上，線上視訊、多媒體的應用，早已與現代人的工作與生活密不可分，在2003年爆發SARS疫情時，臺灣就已感受到網路視訊會議的必要性，而在20年後的此刻，歷經三年的COVID-19疫情，全世界人類幾乎都體驗到遠距的辦公、學習、娛樂等多種應用。</p> <p>以視訊會議與多媒體串流服務而言，過去陸續出現多種標準來支援當時的應用需求，像是H.263、H.323、MPEG-4、H.264（MPEG-4 AVC）、H.265（HVC）、VP8、VP9，而最近這幾年我們注意到AV1這項編碼標準，越來越多業者開始採納與主推。</p> <p>AV1全名是AOMedia Video 1，是由開放媒體聯盟（AOMedia）發展的視訊編碼格式，於2019年1月正式公布1.0版規格，陸續有多家業者支援這項規格。</p> <p>以線上串流服務、社交網站來看，YouTube在2018年設立專用的播放清單AV1 Beta Launch Playlist，供大家測試與評估AV1解碼的效能，3月底傳言YouTube終於即將要推出AV1直播串流支援。Vimeo則是在2019年6月宣布支援AV1，當時先在站方精選頻道Vimeo Staff Picks，提供採用AV1編碼的影片。Netflix是在2020年2月，在他們的Android行動App開放支援AV1，到了2021年11月，針對特定智慧電視設備進行的網路串流播放服務，開始使用AV1編碼格式。</p> <p>2021年改名為Meta的Facebook於2018年4月表示，他們的影片播放支援AV1編碼，到了今年2月，該公司宣布，連續短片Facebook Reels和Instagram Reels也都開始支援AV1。</p> <p>近年來走紅的社交多媒體網路視訊平臺Discord，也在今年2月底宣布支援AV1編碼，若使用者是他們的Nitro服務訂戶，可上傳與播放採用AV1編碼的影片。</p> <p>而在雲端視訊會議服務方面，思科在2020年底宣布，2021年初期Webex會將AV1視訊編碼用於正式場合，他們表示將一步步進行，採用系統化的方式擴展AV1的部署，例如，先在其他桌面分享模式支援AV1的使用，可針對文字與圖片進行最佳化，或自動執行最佳化調校，若參與視訊會議的使用者設備無法支援AV1編碼處理，會自動退回到H.264編碼；經過一段時間的適應之後，思科會移除限制，開放與會者能指定隨選AV1或H.264編碼的轉換，也允許系統直接錄製使用AV1編碼的會議內容，而無須回到H.264編碼才能錄製。</p> <p>目前作業系統支援AV1的狀況如何？微軟在2018年11月推出AV1 Video Extension的App，Windows 10用戶可到Microsoft Store的應用程式市集自行下載；而在Linux環境當中，在VA-API、VDPAU、NVDEC、NVENC等驅動程式中，若是所用的個人電腦，搭配近期推出的部分CPU（Intel Tiger Lake）、GPU（AMD Radeon RX 6000、Nvidia GeForce RTX 30），均能得到一些支援。</p> <p>而在應用軟體的AV1支援，以瀏覽器而言，Firefox在2022年3月增設AV1硬體解碼器支援，Chrome在2018年8月支援AV1解碼，2021年支援AV1編碼，Edge因2018年下半微軟提供AV1 Video Extension而跟著支援AV1。</p> <p>影音播放、編輯、轉碼軟體的部分，受到廣泛使用的開放原始碼VLC media player，從2018年2月釋出的3.0.0版，開始實驗性支援AV1解碼器；K-Lite Codec Pack在2018年9月發布的14.4.5版，支援AV1解碼；FFmpeg在2018年4月推出的4.0版，開始支援AV1；OBS Studio在2022年11月發布的28.1版，支援NVENC AV1硬體編碼器。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%A6%96%E8%A8%8A%E6%9C%83%E8%AD%B0">視訊會議</a></div><div class="field-item odd"><a href="/tags/%E5%A4%9A%E5%AA%92%E9%AB%94%E4%B8%B2%E6%B5%81">多媒體串流</a></div><div class="field-item even"><a href="/tags/av1">AV1</a></div><div class="field-item odd"><a href="/tags/%E8%A6%96%E8%A8%8A%E7%B7%A8%E7%A2%BC%E6%A8%99%E6%BA%96">視訊編碼標準</a></div><div class="field-item even"><a href="/tags/netflix">Netflix</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%99%A8%E5%AD%B8%E7%BF%92">機器學習</a></div><div class="field-item odd"><a href="/tags/%E5%85%A7%E5%AE%B9%E6%8E%A8%E8%96%A6">內容推薦</a></div></div></div>
2023/4/14 12:00作者李宗翰https://www.ithome.com.tw/voice/156396
Netflix超強影音行銷的8個ML應用實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> ML實例1 </span></span> 自動生成客製化封面</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E7%AF%84%E4%BE%8B1-%E8%87%AA%E5%8B%95%E7%94%9F%E6%88%90%E5%B0%81%E9%9D%A2.png" style="width: 569px;" /></strong></span></p> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>Netflix每一部影集的封面圖片，都是高度個人化的客製設計，甚至每一個人看到的封面可能不一樣，正是靠ML來產生吸引不同類型觀眾喜好的封面設計。</strong></span><span style="font-size:14px;">圖片來源／Netflix</span></span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例2 </span></span></strong><span style="font-size:28px;"><strong> 自動辨識畫面語意標籤</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%AF%84%E4%BE%8B2-%E8%B6%85%E5%BC%B7%E7%95%AB%E9%9D%A2%E7%90%86%E8%A7%A3%E6%A8%99%E8%A8%98.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>借助物件偵測ML技術，不只可以辨識出畫面中不同的物件，Netflix還能辨識物件名稱或行為，作為語意搜尋之用，例如可以快速找出艾蜜莉嘟嘴畫面。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例3 </span></span></strong><span style="font-size:28px;"><strong> 快速搜尋關鍵對白影片</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AF%84%E4%BE%8B3-%E6%90%9C%E5%B0%8B%E7%89%B9%E5%AE%9A%E5%8F%B0%E8%A9%9E%E7%9A%84%E5%BD%B1%E7%89%87%E6%AE%B5%E8%90%BD.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>透過ML技術可以辨識出一部影片中，不同對白的影片段落以及不同場景的段落，例如圖中影片有17個說出「Thank you」的影片段落，可供剪輯師搭配來設計創意預告片。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例4 </span></span></strong><span style="font-size:28px;"><strong> 快速搜尋同類畫面構成</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%AF%84%E4%BE%8B4-%E6%90%9C%E5%B0%8B%E9%A1%9E%E4%BC%BC%E7%95%AB%E9%9D%A2%E6%A7%8B%E6%88%90.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>Netflix常用的預告片手法是用ML搜尋不同影片段落中的同一類畫面，組合成一連串快速切換的短片，例如都是主角中距離鏡頭開口說話的場景，來凸顯戲劇張力。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例5 </span></span></strong><span style="font-size:28px;"><strong> 直接用影片來找相似影片</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E7%AF%84%E4%BE%8B5-%E9%8F%A1%E9%A0%AD%E6%89%BE%E9%8F%A1%E9%A0%AD.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>預告片剪接師除了輸入文字來尋找想要的素材，還可以透過ML來進行影片內容比對，直接輸入一段影片，來找出同類型的影片。圖中例子為在廚師競賽劇集中，輸入一道菜的影片，可以找出其他道菜的登場影片。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例6 </span></span></strong><span style="font-size:28px;"><strong> 自動產生精華短片</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966-%E7%AF%84%E4%BE%8B6-%E8%87%AA%E5%8B%95%E7%94%A2%E7%94%9F%E7%B2%BE%E8%8F%AF%E7%9F%AD%E7%89%87.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#696969;">透過ML建立影片內容的大量語意標籤，不只可用於搜尋，還能用來自動產生精華短片，可以呼叫「重要對白」演算法，指定影片時間後，ML就能自動挑出匹配主題的段落來產生精華短片。</span></strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例7 </span></span></strong><span style="font-size:28px;"><strong> 分析光流自動生成動作短片</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%967-%E7%AF%84%E4%BE%8B7-%E5%BD%B1%E7%89%87%E5%85%89%E6%B5%81%E5%8C%B9%E9%85%8D%E5%89%AA%E6%8E%A5.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>Netflix預告片中有一種手法，可以將同一種畫面移動形式，例如都是由左到右的不同鏡頭，組合成一段同樣鏡頭移動方向，但是畫面不段切換的動作短片，就是靠光流ML分析來自動產生。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> ML實例8 </span></span></strong><span style="font-size:28px;"><strong> 自動計算影片內容的屬性矩陣</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%968-%20%E7%AF%84%E4%BE%8B8-%E5%BD%B1%E7%89%87%E5%B1%AC%E6%80%A7%E5%88%86%E5%B8%83%E7%9F%A9%E9%99%A3.png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:18px;"><strong><span style="color:#696969;">Netflix可以用ML來計算一支影片在不同類型（動作片、戲劇片、紀錄片等）和不同場景屬性（煽情鏡頭、音樂性、搞笑情節、視覺衝擊鏡頭、人物登場鏡頭）的強度分數，作為後續推薦、搜尋、自動匹配之用。</span></strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王宏仁https://www.ithome.com.tw/news/156399
挑戰1億種產品吸睛手法，Netflix超強影音行銷術的關鍵技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺劇《模仿犯》爆紅，短短7天就搶進20國影劇熱榜，不只日本、越南，連烏拉圭人、希臘人、阿拉伯人都愛看。如何吸引連臺灣都沒聽過的異國觀眾，也想打開陌生的劇集，Netflix正是靠ML技術打造出超強的影音行銷力。</p> <p>Netflix擅長將一個本土影集推向全球性市場，甚至可以成為不同國家的熱門劇集。成功爆紅的關鍵，除了這些本土影集自身的戲劇性和內容富有高度吸引力之外，還有一個少為人談到的科技關鍵，就是Netflix善用ML技術來強化的超強影音行銷能力。</p> <p>以《模仿犯》來說，上線一周就登上三大洲20多國的Top10排行榜，不只日本、越南，連烏拉圭人、希臘人、阿拉伯人都愛看。</p> <p>但是，對阿拉伯人來說，臺灣的語言、文化、社會場景、過去歷史，都可能是非常陌生，甚至是過去從沒接觸過的國家的故事，卻仍然可以成功搶下這群異國觀眾的眼球，甚至成為鐵粉。</p> <p>短短一周內，就吸引到數十國觀眾的目光，甚至是語言、文化截然不同的國家，《模仿犯》不是第一例，Netflix先前推出的西班牙劇《紙房子》、韓劇《魷魚遊戲》都是快速在全球竄紅的該國本土劇集。為什麼Netflix有能力讓同國家的觀眾，願意打開觀看一個來自陌生國度的陌生影集呢？</p> <p>早在2014年，Netflix自家研究就發現，觀眾停留在每一個影集封面的時間只有1.8秒，如果90秒沒有看到想看的影片，就會離開網站。觀眾看到影集封面的第一眼，更是吸引觀眾打開影片的第一步，不只標題文字，圖片搭配得當，更是能大大提高觀眾打開陌生影集的意願，從此Netflix就致力於找出每一個人各自想看的影集封面，而不是一張可以吸引所有人的最佳封面設計。</p> <p><span style="font-size:28px;"><strong>機器學習團隊的目標是1億種個人化的產品</strong></span></p> <p>「不是1種，而是1億種不同個人化推薦和個人化視覺設計的產品。」這就是Netflix機器學習產品團隊想要達到的目標，這背後結合了許多不同類型的個人化推薦演算法。</p> <p>當你打開Netflix首頁，不只能看到了依據過去習慣量身推薦的影片，每一部影片的封面更是高度個人化客製的設計。每一個國家、不同類型觀眾，甚至是每一個人看到的封面，都可能不一樣。Netflix的目標是可以據觀眾喜好、吸睛關鍵，量身打造每一隻影片的登場方式。這正是Netflix用來吸引全球觀眾，願意打開陌生影集的密技。</p> <p><span style="font-size:28px;"><strong>每年上千支新影片，靠ML快速打造出每一隻的專屬行銷素材</strong></span></p> <p>Netflix一年會推出上千部新的劇集和影片，每一隻影片都會設計一套客製化的封面設計和宣傳短片，在全球尋找對這支影片有興趣的鐵粉。</p> <p>行銷團隊的第一個挑戰就是，就算對方完全沒聽過臺灣，也要靠這套客製化宣傳素材，來吸引他們打開影片觀看，接著就是靠影片的內容魅力，讓這群對影片陌生的觀眾，變成鐵粉。</p> <p>Netflix行銷團隊中有一群經驗老道的創作團隊，負責準備這些宣傳素材，Netflix的AI團隊的任務，就是要用機器學習技術打造工具，來強化這個創作團隊的創造力。</p> <p>舉例來說，前面提到高度客製化的封面只是機器學習技術的牛刀小試，更重要的是，如何判斷哪些封面元素、設計風格才是吸引觀眾目光的原因。</p> <p>Netflxi利用機器學習技術，發展出了一套因果分析框架，可以結合用戶的瀏覽和收看大數據，結合個人化推薦系統中產生分析洞察，讓創作團隊可以更掌握每一類觀眾的特性，也能知道不同吸睛元素對不同觀眾的影響程度，來設計更有效果的宣傳封面素材，提供給個人化自動推薦系統使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%96-%E3%80%8A%E8%89%BE%E8%9C%9C%E8%8E%89%E5%9C%A8%E5%B7%B4%E9%BB%8E%E3%80%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%EF%BC%AEetflix.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">Netflix大量運用各種ML技術，尤其是電腦視覺AI，例如可以用ML辨識出《艾蜜莉在巴黎》其中一個鏡頭中，女主角站在麵包店門口，嘟著嘴和友人正在自拍，等這類場景豐富語意的資訊，而且還能將這些資訊數值化，歸納出不同場景屬性上的強度分數，例如愉快程度60分，眼睛張開指數40分，嘴角微翹指數30分等。</span></strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Netflix</span></span></p> <p><span style="font-size:28px;"><strong>用ML打造影音理解模型，深度剖析出影片各種語意特徵</strong></span></p> <p>不只如此，Netflix還持續開發一系列的影音理解模型，可以用來深度剖析出影片的內容特色，例如進行特徵分類、找出故事線、辨識情感、辨識影片拍攝手法等，再結合到時間編碼，就能讓創作團隊更有效率設計出吸引人的預告片或精華短片，再進一步結合個人化推薦系統累積的用戶大數據，來向不同顧客行銷。</p> <p>以《艾蜜莉在巴黎》這部熱門影集為例，可以在一個女主角和朋友自拍鏡頭的畫面截圖中，辨識出女主角的心情很愉快，正在嘟嘴，嘴巴略開，眼睛微張，而自拍的拍攝地點則位於麵包店門口等等，ML可以自動辨識出這類場景豐富語意的資訊，而且還能將這些資訊數值化，歸納出不同場景屬性上的強度分數，例如愉快程度60分，眼睛張開指數40分，嘴角微翹指數30分等。</p> <p>這些透過電腦視覺模型得到的影片深度理解分析，可以成為進一步應用的關鍵基礎。例如可以用來搜尋同樣場景、同樣語意、同樣對白的段落，甚至快指定鏡頭效果，或畫面構成方式，例如都是主角正面中距離鏡頭，來快速搜尋出符合的影片段落，作為剪接之用。</p> <p>甚至，Netflix機器學習團隊還打造出了自動匹配剪接工具，透過不同匹配演算法，可以自動找到在不同影集中的同類鏡頭或同樣場景的段落，自動剪接這些鏡頭，生成一隻預告短片。甚至可以進行光流分析（Optical Flow），分析畫面中每一個像素的移動形式，來找組同類畫面移動方式的段落，例如都是由左到右的移動鏡頭，組合成一段同樣鏡頭移動方向，但是可以切換不同段落的動作短片。</p> <p><span style="font-size:28px;"><strong>不只是資料科學挑戰，更是資料工程的難題</strong></span></p> <p>不過，要運用ML實現這樣高度自動化的匹配剪接，不是一件容易的事，因爲這不只是一個資料科學的挑戰，也是一個資料工程的難題。</p> <p>因為一支影片平均有2,000個鏡頭。光是要從中比對出兩個同樣場景（例如都是主角轉頭）的鏡頭，就需要2百萬次比對，若是要跨多部影片，例如Netflix曾要從上百部影片的12萬個鏡頭來剪接精華介紹短片，就得面對82億次的龐大比對任務。</p> <p>透過不同的重複鏡頭與重複畫面刪除演算法，結合標註機制，大幅減少到1萬多個高度相關鏡頭，最後只需要進行約2萬次比對就能找到合適的組合。</p> <p>Netflix會將這些各式各樣的ML應用或相關技術工具，盡可能運用到不同場景或應用情境，甚至能跨越截然不同的應用領域，也可能使用到同樣的技術，例如Netflix的維運團隊管理大量微服務的標註工具，後來竟然變成了可以標記大量影片後設標籤的通用標註平臺，IT工具變成了創意輔助工具。</p> <p>甚至，Netflix現在也正在運用VFX特效工具和特效演算法，要打造一套更好用的電影虛擬製作工具，可以提供一個虛擬片場環境，將各種數位化的3D角色，數位場景物件，擺放到這個虛擬片場模擬的環境中，進行模擬拍攝，目前還是雛形版本階段。</p> <p>借助這些幕後的關鍵機器學習技術和AI工具，行銷團隊都能輕易將任何一部本土劇集，打包成通吃全球各國觀眾的行銷形式。只要劇集夠精彩，Netflix就能找到打動各國觀眾的吸睛方式。這正是Netflxi超強影音行銷背後的技術秘訣。</p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王宏仁https://www.ithome.com.tw/news/156402
【Netflix關鍵ML心法：客製化推薦2大方法論】你看到的封面和簡介都是客製的！Netflix揭2大方法論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>登入Netflix會員，映入眼簾的影片封面、簡介甚至是預告，都是為每位使用者客製的。這些客製化封面和內容，不只助使用者找到喜歡的影集，還能發掘意料外但有趣的新片。這就是Netflix提高黏著度的關鍵手法。</p> <p>早在2017年，Netflix就設計出內容客製化的機器學習（ML）演算法，來為每位會員呈現不同的劇照封面。但，系統是如何選出一組組最佳劇照，來供推薦選用？Netflix最近終於揭露上億用戶客製化推薦的2大方法論。</p> <p><span style="font-size:28px;"><strong>由上而下：專家知識主導</strong></span></p> <p>第一種方法是由上而下，由Netflix團隊主動出擊、聯手內部專家，藉專家過往經驗，來找出推薦效果良好的圖片特徵，再以電腦視覺和ML技術來對這些特徵建模。這些特徵有2種，一是涵蓋顏色、紋理等的低階特徵，二是包含臉孔數量、表情和構圖等元素的高階特徵。</p> <p>比如，在一張《紫色愛戀》（Purple Hearts）男女主角對視的封面中，團隊可能截取以下特徵：人數–2人、人物位置–相互面對、情緒–中性至正向、飽和度–低、物件–軍裝等。</p> <p>不只靠專家經驗，Netflix也用預訓練模型或API來找出圖片特徵，像是人臉偵測、物件標記。但，模型雖能辨識一張圖片有哪些元素，卻難以判斷彼此間的關係，比如朋友還是戀人。於是，Netflix建立內部資料集和模型，打造幾款輔助型ML工具，來幫專家更快、更有效率地訓練模型，用這些專屬模型來搜尋各種圖片屬性。</p> <p>有了圖片特徵，Netflix還會用各種預測和因果方法來找出洞察，也就是口碑好的影片，背後有哪些重要屬性。這些洞察，就能用來定位即將推出的新片。舉個有趣的例子，Netflix從自家目錄發現，單人肖像封面往往比多人肖像封面更吸引觀眾。</p> <p><span style="font-size:28px;"><strong>由下而上：讓數據說話</strong></span></p> <p>由上而下方法雖能找出清楚、可執行的洞察，但非常受限於專家的已知知識，難以找出其他有影響力的特徵。</p> <p>於是，Netflix提出另一種由下而上的方法，也就是團隊不作任何先入為主的猜測，改為觀察數據所呈現的模式和特徵，再以這些特徵找出最佳劇照。具體做法是，團隊先撈出一組組相似的圖片，再讓自家創意專家從各組圖片中，找出洞察、模式和靈感。</p> <p>為找出這一組組圖片，技術團隊先採用大型預訓練卷積類神經網路，來對圖像相似度建模。網路的前幾層，通常會對低階相似度的特徵建模，比如顏色、邊、紋理和形狀，後面幾層捕捉的特徵，則會按任務需求來分類圖片，例如找出相似的物件。接著，團隊會使用k-means這類非監督式分群演算法，來在圖片中分群。</p> <p>以《紫色愛戀》為例，專家可參考模型分群的圖片，從中尋找設計靈感。由於該片主角是海軍軍人，創意專家透過模型找出類似封面，並搭配這些影片的過往觀看記錄，來選擇最佳元素。比如在過往觀看數據中，軍事戰爭相關、角色持槍、表情嚴肅、沒有正視鏡頭的劇照都有好成績，專家就能運用這些元素，來設計新片封面。</p> <p>同時，《紫色愛戀》還有浪漫愛情故事線，團隊也能用模型分類出愛情相關劇照，並從中得知，親密接觸等肢體語言代表愛情關係，因此可用這個原則，來為其他觀眾設計另一種封面。</p> <p>不只如此，專家也能從這些分類中，得知哪些事不該做。假設，同樣是軍事戰爭相關劇照，有幾組輪廓飽和度高的影集劇照，在過去宣傳成效都不佳，專家就會進行測試來確認因果關係，最終就不會用這種組合來行銷新片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E6%96%B9%E6%B3%95%E8%AB%96%EF%BC%89%E8%8B%A5%E6%A8%B8-purple%20hearts-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">Netflix創意團隊用模型找出宣傳成效不錯的劇照封面（圖左），再根據這些特徵，來設計新片封面，如圖右的《紫色愛戀》。</span></strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源/Netflix</span></span></p> <p><span style="font-size:28px;"><strong>輔助方法：會員分群</strong></span></p> <p>除了2大方法論，Netflix也採用一種常見的會員分群手法，來輔助找出推薦宣傳用的最佳封面。簡單來說，技術團隊會根據幾個基本特性，如觀看習慣，來分群會員，或是根據封面個人化演算法對每位會員的推薦成效，來歸類愛好類似的會員。如此，團隊就可預測，不同群組會對哪些影片感興趣，甚至能推測出，哪些影片可能與這些會員產生共鳴，擊中觀眾好奇心。</p> <p>舉例來說，假設Netflix將會員分為喜歡浪漫和偏好動作2大類，來評估2組會員對同一影片的反應。團隊可能發現，8成《紫色愛戀》的觀眾屬於浪漫派，2成屬於動作派，而且，浪漫派的代表性粉絲，對明星情侶相擁的劇照反應最強烈，動作派觀眾則對士兵在戰場上的劇照反應最強。得到這些洞察後，Netflix就能推測，特定使用者群可能對即將推出的同性質新片感興趣，甚至反過來，一些即將推出的新片可能會引起某群會員的共鳴。這些洞察，就能幫助Netflix建立新片宣傳的策略。</p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王若樸https://www.ithome.com.tw/news/156403
【Netflix關鍵ML應用：因果分析ML框架】Netflix靠因果框架分析創意洞察，打造客製化吸睛封面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推薦是Netflix經營上億會員生態圈的重要手段，大至首頁選單的行數、排序，小至每支影片的封面、精選片段和簡介都是客製化打造。Netflix最近透露，如此細緻推薦影片的一大核心技術，就是因果機器學習方法。</p> <p><span style="font-size:28px;"><strong>從圖片特徵和用戶參與度，找出成功關鍵</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E9%A0%90%E5%91%8A%EF%BC%89%E8%8B%A5%E6%A8%B8-%E6%9E%B6%E6%A7%8B-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Netflix的因果框架仰賴影片封面（Artwork）使用者參與度數據和封面特徵數據，因果ML還能用來驗證假設，產出的創意洞察則供創意團隊設計新片封面參考。</strong><span style="font-size: 14px;">（圖片來源／Netflix）</span></span></p> <p>對Netflix來說，按觀眾喜好來呈現影音內容非常重要，比如同一支影片，不同偏好的會員會看到不同封面、簡介和預告，這不只讓使用者快速找到喜歡的影片，還能發掘有趣的新片，大大提高黏著度。也因此，Netflix自建一套個人化推薦系統，長年下來累積出龐大豐富的資料集，有影片封面的各種特徵、組成元素，還有使用者參與度數據，是用來設計新片宣傳策略的寶貴資產。</p> <p>在這個基礎上，如何才能知道，哪些影片封面元素，會造就吸引眼球的影片？為找出答案，Netflix用各種方法找出洞察，也就是受歡迎的影片及其封面劇照等藝術品背後，最重要的屬性。</p> <p>這時，因果ML方法就登場了。Netflix稱它為因果框架，可用來測試、驗證人類專家或電腦觀察到的現象（也就是一個假設，比如封面中出現人臉會提高觀看意願），並找出成功的創意洞察、摘要出來。</p> <p>這個因果框架，使用了Netflix既有的個人化推薦系統數據，以及電腦視覺演算法產生的數據。進一步來說，藝術品個人化系統（Artwork Personalization System）是Netflix每天用來服務上億會員的個人化影片推薦系統，而驅動這個系統的，是歷年累積的使用者參與度數據，這些推薦數據和使用者參與度數據，是因果框架所需的數據來源之一。</p> <p>至於電腦視覺演算法，則用於已標註的影片劇照，從中找出圖片詮釋資料（Metadata）、潛在表徵等。如此一來，因果框架使用的資料集，就包含圖片特徵和使用者參與度數據，更能用來理解哪些圖片組成，會成功吸引觀眾。</p> <p>不單如此，因果框架還用來驗證假設。Netflix會先使用ML演算法、使用者行為洞察和相關性分析，來發掘圖片特徵和劇照封面美術行銷成功的高階關聯，而這些關聯，也就形成「假設」。</p> <p>為了驗證，團隊會先部署因果ML演算法，來測試這個假設。若假設符合因果條件，就能經過一系列計算和評估，進而得出創意洞察，來供Netflix創意團隊參考、設計新片的個人化推薦封面等美術品。</p> <p><span style="font-size:28px;"><strong>封面出現人臉必會吸引觀眾？</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E9%A0%90%E5%91%8A%EF%BC%89%E8%8B%A5%E6%A8%B8-%E6%AF%94%E5%B0%8D-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpg" style="width: 504px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>透過因果ML推論，團隊得知影片封面包含一張人臉，且與片名色調一致，就能更吸引觀眾。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／Netflix）</span></p> <p>在過去，Netflix嘗試用A/B測試來驗證影片封面成功的因素。但這個做法有許多侷限，比如只能針對特定類型的封面，且只能手動標註特徵，難以擴展成跨類型的通用測試。這是因果框架要解決的另一大痛點。</p> <p>要用因果框架驗證一個假設前，團隊得先確認，這個假設是不是一個因果推理問題。</p> <p>比如，他們認為封面出現人臉，更能吸引觀眾，於是，團隊得先確認一致性，也就是電腦視覺方法能否準確偵測出大量封面中的人臉，以及這個假設是否符合其他因果條件，如假設獨立性SUTVA、無不可量測的混雜變數條件（Unconfoundedness）以及機率分配等前提。</p> <p>確認符合後，團隊就能用因果ML模型來驗證這個假設。有別於一般預測性ML演算法、擅長找出數據模式以及模式與預測結果的關聯，因果ML能很好地解釋因果關係，還能縮小誤差，來評估採用假設後的結果。</p> <p>目前幾種常見因果ML演算法，有Double ML、因果森林（Causal Forest）和因果類神經網路，Netflix採用Double ML和其他演算法來進行因果推論。</p> <p>他們將「封面是否出現人臉」、「影片和封面特徵」等參數帶入公式，來計算最終觀眾點擊影片的機率，以及這個假設是否能套用到所有類型影片。</p> <p>他們也採用調節（Mediation）和調整（Moderation）2種方法，來排除其他因素、找出封面圖片屬性之間的深度關係。比如他們發現，影片封面出現單一人臉、與片名色調一致，就能吸引觀眾，而且封面出現超過3張臉，會影響觀眾觀看意願；而在自然紀錄片中，出現人臉的效果不如其他類型的影片好。甚至，他們還根據因果推論，得知封面中人臉大小和人臉數量的最佳比例。</p> <p>經因果工具驗證的結論，不僅是個人化封面設計的創意洞察，更是Netflix創意團隊用來制定新片宣傳策略的重要資產。而這些資產，最終轉化為Netflix會員的更好體驗。</p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王若樸https://www.ithome.com.tw/news/156404
【Netflix關鍵ML應用：通用標註平臺】標註平臺化身通用搜尋器，Netflix用它從萬筆影片即時撈出1幀畫面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何在上萬部影片中，快速撈出想要的畫面？對影音龍頭Netflix來說，這個工作並不難。因為，他們自建一套通用的標註平臺Marken，不只用來標註素材，還能當作搜尋工具，讓內部團隊即時找到特定片段和畫面。這麼做，更加速Netflix精準推薦作業，為不同文化、不同喜好的使用者，設計出不同風格的影片封面和簡介。</p> <p><span style="font-size:28px;"><strong>初衷：解決各微服務的標註需求</strong></span></p> <p>然而，搜尋並非Marken的初衷。</p> <p>它的原始目標，是要解決各個微服務的標註需求。多年來，Netflix打造了上百支微服務，每支微服務都有各自的資料模型和實體（Entity）。比如，他們有支微服務，專門儲存電影實體詮釋資料（Metadata）的服務。這裡的實體，是指影片中的物件或區域，比如人、街道等。</p> <p>而這些微服務，最終都會產生為影片或圖片標註的需求。於是，Netflix資產管理平臺部門決定打造一款通用的標註平臺Marken，讓各微服用來標註影片和圖片。</p> <p>說到標註（Annotation），有些人會聯想到標籤（Label），但在Marken中，標註是指一段詮釋資料，可附加到任意領域中的單一物件。比如，團隊可用「ID為1234的電影實體含有暴力元素」這段文字，來對影片中的物件標註。</p> <p>不只詮釋資料，團隊還會想儲存不同類型的資料，如時間資料和空間資料。舉例來說，Netflix編輯團隊審核《魷魚遊戲》時，就希望將影片中某幀含有工作人員的畫面，將其手套顏色改為深黑色，因此，他們採用常見的標註方式，用籃圈圈出手套區域，寫下評論並儲存。這就是典型的創意審核應用案例。</p> <p>還有一種是，能同時儲存時間、空間資料和詮釋資料的ML演算法。它能辨識影片每幀畫面中的角色，並替整個影片儲存特定的幀（即時間資料）、畫面中的某個區域（即空間資料），以及角色名稱（即詮釋資料）。</p> <p><span style="font-size:28px;"><strong>制定目標，用2大開源工具驅動</strong></span></p> <p>了解需求後，資產管理平臺團隊開始制定Marken的目標。首先，Marken要能讓Netflix內部任何人使用，且要讓他們能標註任何實體、定義自己的資料模型；第二，這些標註要能版本化；第三，這個平臺要能即時服務，也就是作為UI應用程式，要確保增刪查改和搜尋等作業在低延遲狀況下執行。最後，所有資料要能在大數據分析平臺Hive/Iceberg中離線分析。</p> <p>這些目標，還衍生出不少需求。比如，平臺勢必會儲存ML演算法數據，一些數據會以幀為單位來儲存，因此占據大量容量，團隊就得選擇能橫向擴展的資料庫。不只如此，平臺也得具備詞幹搜尋、時間和空間資料搜尋等能力，好讓使用者查找所需的標註資料。</p> <p>於是在架構上，團隊採用開源資料庫Cassandra來儲存標註資料，並以開源搜尋引擎ElasticSearch來驅動搜尋功能。標註服務本身，則會透過數據Pipline來接收內部客戶端自動傳送的資料，而終端應用程式，則以API來呼叫標註服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88600-%E6%A8%99%E8%A8%BB%EF%BC%89%E8%8B%A5%E6%A8%B8-Marken-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>通用標註平臺Marken由ElasticSearch負責搜尋工作，標註資料的儲存則由Cassandra負責。</strong><span style="font-size:14px;">（圖片來源／Netflix）</span></span></p> <p><span style="font-size:28px;"><strong>成為關鍵搜尋工具，有7大功能</strong></span></p> <p>Marken的架構設計，讓其他服務能輕鬆存取數據、供各種團隊使用，像是負責預告片和Banner設計的宣傳團隊，可用來改善設計工作。也因此，Marken進一步化身為Netflix最重要的媒體搜尋平臺核心，來執行7種搜尋功能。</p> <p>比如全文搜尋，使用者可輸入標籤關鍵字，來尋找所需的標註資料。但他們可能不知道ML演算法建立的確切標籤，假設正確的標籤是浴簾（Shower curtain），使用者可用Curtain這個標籤，來搜尋所需的標註資料。同時，Marken還支援模糊搜尋，使用者若打錯字，如Curtian，Marken還是會跳出含有Curtain標籤的標註資料。</p> <p>再來是詞幹搜尋，比如，Clothing和Clothes這兩個字可歸納出相同的詞根字Cloth，平臺就能以Cloth搜尋標註資料。也因為Netflix全球版支援不同語言，Marken也透過ElasticSearch來支援34種語言的詞幹搜尋。</p> <p>還有一種是時間標註資料搜尋，也就是包含影片起始範圍或幀數資訊的標註資料搜尋。類似的還有空間標註資料搜尋，比如用來定義物件地點的邊界框。要是標註資料同時包含時間和空間資料，Marken也支援這類搜尋，能查找包含時間範圍和空間座標的影片標註。</p> <p>另一種搜尋功能是語意搜尋。有別於傳統標籤式的搜尋方法、只找出關鍵字相匹配的結果，語意搜尋採ML演算法，將使用者輸入的關鍵字轉為向量，再從其他轉換為向量的標註資料中，找出距離最近的結果。如此一來，就不局限於關鍵字搜尋，還能找到更相關的結果。</p> <p>最後一種搜尋功能，是Netflix最近才支援的區域交集（Range intersection）搜尋，使用者能用多個ML演算法產生的標籤，來對一部影片搜尋，並得到帶有時間範圍或幀數資訊的標註。</p> <p>這7大搜尋功能不只讓團隊從海量影片中，即時撈出想要的畫面，更是Netflix精準推薦的重要利器。</p> <p><a href="https://www.ithome.com.tw/article/156412" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" style="width: 550px;" /></a></p> </div></div></div>
2023/4/14 12:00作者王若樸https://www.ithome.com.tw/news/156405
Netflix超強影音行銷關鍵AI大解密
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1125-feng_mian_gu_shi_-1_open-960x420_kao_bei_.jpg?itok=Kr8bXw1N" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺劇模仿犯爆紅，7天搶進20國影劇熱榜，不只日本、越南，連烏拉圭人、希臘人、阿拉伯人都愛看。如何吸引連臺灣都沒聽過的異國觀眾，也想打開陌生劇集，Netflix正是靠ML打造出超強影音行銷力</p> </div></div></div>
2023/4/14 12:00未署名https://www.ithome.com.tw/article/156412
駭客以ChatGPT、Google Bard安裝程式為誘餌，散布木馬程式RedLine Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近AI聊天機器人正夯，也成為惡意程式藉機散布的幌子。<a href="https://veriti.ai/blog/research/from-chatgpt-to-redline-stealer-the-dark-side-of-openai-and-google-bard/" target="_blank">安全廠商Veriti發現駭客以ChatGPT和Google Bard為誘餌，在用戶電腦散布木馬程式RedLine Stealer</a>。</p> <p>安全廠商發現的是駭客利用臉書散布惡意軟體即服務（malware-as-a-service）RedLine Stealer的攻擊行動。作為一種惡意程式即服務，攻擊者只需付費100到150美元或訂閱月費，就可以取得受害者電腦上的帳號密碼、登入憑證等資訊，而完全不需自行撰寫惡意程式或尋找軟體漏洞。</p> <p>RedLine Stealer多半是經營者透過地下線上論壇打廣告，「用戶」可經由Telegram購買。Red Line也是近年常見的竊密工具，曾被許多駭客冒充<a href="https://www.ithome.com.tw/news/149295" target="_blank">遊戲測試版</a>、<a href="https://www.ithome.com.tw/news/152781" target="_blank">Windows 11升級程式</a>或<a href="https://www.ithome.com.tw/news/148220" target="_blank">Excel報表</a>散布。</p> <p>在最近這波攻擊中，研究人員推斷，駭客作案手法是透過無辜第三方企業或組織的臉書帳號發送贊助貼文，再誘使用戶下載RedLine Stealer。他們先是竊取擁有大量粉絲的臉書企業粉絲專頁或社群帳號，在這些平臺上散布贊助看似高可信度的貼文，號稱提供可免費下載ChatGPT或Google Bard的安裝檔案。一旦粉絲看到貼文不疑有他真的下載這些檔案，就能讓RedLine Stealer在其裝置上啟動，竊取用戶密碼或機密訊息，或是下載其他惡意程式。</p> <p>安全廠商呼籲企業IT管理員要提供員工資安教育、安裝惡意軟體防護方案，並採取安全控制。其中之一是限制在公司裝置上下載執行檔，要求所有執行檔需在沙箱環境中啟動，以減少惡意檔案感染風險。</p> </div></div></div>
2023/4/14 12:39作者林妍溱https://www.ithome.com.tw/news/156414
駭客正鎖定美國會計與報稅公司展開網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/13/threat-actors-strive-to-cause-tax-day-headaches/" target="_blank">微軟本周警告</a>，從今年2月開始，駭客便鎖定會計及報稅公司展開網釣攻擊，以植入Remcos遠端存取木馬程式（RAT）。美國今年的報稅時間為1月24日至4月18日，有鑑於人們在報稅季節都特別忙碌且壓力很大，已成為駭客每年的例行性攻擊活動。</p> <p>Remcos是由歐洲業者BreakingSecurity在2016年發表的私有程式，可自遠端取得Windows系統的管理權限，雖然BreakingSecurity宣稱Remcos是個合法工具，但2021年的報稅季與COVID-19疫情時，就有駭客利用Remcos展開攻擊，<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-216a" target="_blank">使得網路安全暨基礎設施安全局（CISA）當年即將Remcos列為重大惡意程式</a>。</p> <p>今年Remcos持續受到駭客的青睞，但鎖定專門處理稅務的會計師、會計師事務所及金融服務機構，駭客偽裝成會計師或這些機構的客戶，以電子郵件寄送稅務文件，郵件中用來下載PDF文件的連結還以密碼保護，但實際上卻導至由駭客控制的伺服器並下載惡意程式，以於目標對象的裝置上植入Remcos。</p> <p>微軟提醒，縱使這些網釣郵件宣稱採用Amazon Web Services的點擊追蹤服務，而且是將使用者導至合法的檔案分享服務以下載ZIP檔案，但該ZIP檔案卻含有可連至駭客伺服器的惡意檔案，種種看似安全的措施都只是為了遮掩駭客真正的企圖。</p> <p>當駭客成功於受害裝置上植入Remcos之後，即有機會進一步竊取裝置上的資訊或是滲透到受害裝置的網路上。</p> <p>許多防毒軟體都可偵測及封鎖Remcos，包括微軟的Microsoft 365 Defender與Microsoft Defender Antivirus在內，不過，使用者最佳的防範之道還是識清電子郵件真偽以避免落入陷阱。</p> </div></div></div>
2023/4/14 11:19作者陳曉莉https://www.ithome.com.tw/news/156410
Amazon推出雲端AI模型平臺Bedrock、大型語言模型Titan
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon也加入AI LLM模型競賽。<a href="https://aws.amazon.com/tw/blogs/machine-learning/announcing-new-tools-for-building-with-generative-ai-on-aws/" target="_blank">Amazon Web Services（AWS）昨（13）日宣布</a>可供用戶選用不同AI基礎模型的雲端服務Amazon Bedrock，和該公司第一個大型語言模型（Large Language Model，LLM）Titan。</p> <p>Bedrock讓客戶可透過API使用AI21 Labs、Anthropic、Stability AI及Amazon自有基礎模型（foundation model，FM），以便開發及部署生成式AI應用。Bedrock服務讓用戶在AWS代管雲端平臺上，使用可生成文字或圖形的基礎模型。AWS指出，客戶可視其應用選擇適合的基礎模型，以其自有資料訓練出獨有的模型，並可用AWS工具整合到他們的應用程式中。AWS說，這項服務也可整合其他AWS工具和功能，像是Amazon SageMaker的Experiments功能追蹤、分析、測試模型參數、程式碼版本及訓練資料集，或是以Pipelines功能來管理大規模基礎模型。</p> <p>Bedrock目前提供的模型中，AI21 Labs的多語言LLM Jurassic-2可生成西語、法語、德語、葡語、義語、荷語文字。Anthropic的Claude LLM可執行多種對話及文字處理作業，號稱是誠實及負責任的AI系統。Stability AI則提供從文字生成圖片的基礎模型套件，包括Stable Diffusion，可生成逼真、高品質的圖片、藝術、Logo和設計。</p> <p>AWS今天也公布了第一個自有基礎LLM名為Titan FM。Titan FM包含兩個新LLM，一是生成式LLM，適用於摘要總結、生成文字（如部落格貼文）、分類和開放式QA、搜尋資訊等任務。二是嵌入LLM，可將文字（如字、詞或文字單位）輸入轉成數值形式（稱為嵌入embedding）來表徵文字語意，適合個人化服務、推薦及搜尋等。AWS表示，Amazon.com平臺上的產品搜尋功能也用了類似的嵌入模型，幫使用者尋找相關商品。Titan FM還支援負責任的AI原則，能偵測及移除資料中心有害內容、拒絕用戶輸入的低俗或不當內容，並且過濾掉模型產出的不良內容（如仇恨言論、色情和暴力內容）。</p> <p>AWS強調Bedrock最重要的特色是允許客製化模型。用戶只要將Bedrock指向Amazon S3幾個標註過的範例，它就能微調出特定任務適用的模型，而無需再標註大量資料（大約20個範例就足夠）。AWS舉例，零售服飾業者的內容行銷業者要為新的手提包設計行銷活動，只要給Bedrock該公司做過的行銷活動中效果最好的標題，以及相關新品描述，它就能自動生成社群平臺行銷內容、展示廣告，以及新手提包的網頁行銷資料。訓練模型過程中不需使用客戶個資，所有資料都經過加密，也不會離開客戶的虛擬私有雲（Virtual Private Cloud，VPC），確保所有用戶資料的隱私和安全。</p> <p>目前Bedrock以限定預覽版形式上線，早期試用客戶包括線上檔案編輯器軟體商Coda在其環境訓練AI模型，ISV如C3 AI及Pega也以Bedrock使用基礎模型。Amazon Titan FM也有一些客戶試用過，AWS表示接下來幾個月內將推廣給更多企業測試。AWS尚未公布Bedrock的價格。</p> <p>Bedrock是AWS生成式AI方案三項元素之一。AWS今天同時宣布另二項元素的消息，<a href="https://aws.amazon.com/tw/codewhisperer/" target="_blank">包括程式撰寫輔助工具CodeWhisper正式上線</a>，個人版免費提供，專業版則為每人每月19美元。</p> <p>此外，AWS也正式推出2個生成式AI適用的執行個體，包括AWS Inferentia2晶片的Amazon EC2 Inf2 instances，以及使用更高階Trainium機器學習加速晶片的Amazon EC2 Trn1n執行個體，分別提供800 Gbps及1600 Gbps網路頻寬。</p> </div></div></div>
2023/4/14 11:33作者林妍溱https://www.ithome.com.tw/news/156411
Databricks開源可商用的指令遵循大型語言模型Dolly 2.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks在釋出大型語言模型Dolly的兩週後，又釋出了<a href="https://www.databricks.com/blog/2023/04/12/dolly-first-open-commercially-viable-instruction-tuned-llm">Dolly 2.0</a>，而第二個版本的重點在於開源且商業可用。Databricks集結5,000名員工，共同編寫databricks-dolly-15k指令遵循資料集來訓練Dolly 2.0，現在Databricks對外開源整個Dolly 2.0，包括訓練程式碼、資料集和模型權重，供商業和學術使用。</p> <p>Databricks以30美元超低成本，訓練出<a href="https://www.ithome.com.tw/news/156128">Dolly 1.0</a>模型，Dolly 1.0使用史丹佛大學的Alpaca模型開發團隊，以OpenAI API所產生的指令遵循資料集訓練而成。Databricks在發布Dolly 1.0之後，收到許多人詢問Dolly 1.0是否可以用於商業用途，官方答案是，可能不行。</p> <p>因為<a href="https://www.ithome.com.tw/news/155922">Alpaca模型</a>開發團隊所生成的指令遵循資料集，內容包含使用OpenAI的text-davinci-003模型生成的資料，而該OpenAI的使用條款，明確禁止用戶將其用於開發和OpenAI競爭的模型。目前所有知名的指令遵循模型，幾乎都受到相同限制而無法用於商業目的，因此Databricks要產生一個允許商業用途的指令遵循模型，勢必需要創建一個全新的資料集。</p> <p>要取得人工智慧的豐碩成果，背後需要許多工人智慧的累積，OpenAI的論文說明InstructGPT模型，是使用一個包含13,000個指令遵循資料集訓練而成，Databricks表示，創建13,000條問題和答案比想像的還困難，因為每個答案都必須是原創，不能來自ChatGPT或是從網路上其他來源複製，否則會污染資料集。</p> <p>Databricks招來自家5,000名員工，共同編寫指令遵循資料集，目標是創建比OpenAI品質更高的資料集，畢竟OpenAI的資料集僅由40個人產生。Databricks舉辦了一場比賽，前20名將可獲得公司提供的大獎，資料集具體的內容包括開放問答、封閉式問答、可由維基百科段落回答的問答、維基百科總結資訊、腦力激盪、分類和創意寫作。</p> <p>最後Databricks編寫出一個具有15,000條問答的資料集databricks-dolly-15k，官方提到，雖然這個資料集比Dolly 1.0所使用的Alpaca資料集小得多，但是EleutherAI的pythia-12b經過databricks-dolly-15k資料集訓練之後，卻能表現出高品質指令遵循行為，官方提到，由模型生成的資料集反而存在幻覺和錯誤事實，而databricks-dolly-15k由專業人士生成，包含高品質和更長答案，產生的結果也會更好。</p> <p>Dolly 2.0專案完全開源，無論是商業還是學術用途，皆可用來創建高品質模型，且不需要冒著向第三方洩漏機密的風險，官方也認為，人工智慧的安全、偏見和問責議題，需要由不同利益相關者共同解決，而開源資料集和模型，將可促進這類的研究和創新。</p> <p>使用者要下載Dolly 2.0模型的訓練權重，可以從Hugging Face頁面，並且存取databricks-labs中的Dolly儲存庫，下載databricks-dolly-15k資料集即可取得。</p> <p>使用第三方的人工智慧服務就有洩漏敏感資料的可能，<a href="https://www.ithome.com.tw/news/156291">三星因為開放員工使用ChatGPT</a>，而洩露包括半導體設備量測資料庫、生產／瑕疵設備相關軟體，以及公司會議語音轉錄文字紀錄等機密資料，這樣的情形也不只發生在三星，<a href="https://www.ithome.com.tw/news/156293">資安公司Cyberhaven監控160萬名員工</a>，發現有3.1%員工上傳敏感資料到ChatGPT上，因此對企業來說，自建指令遵循人工智慧模型，可能是一個更安全也更有吸引力的選擇。</p> </div></div></div>
2023/4/14 08:27作者李建興https://www.ithome.com.tw/news/156407
Android 14改善使用者介面以及個人化功能開始公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現在釋出<a href="https://android-developers.googleblog.com/2023/04/android-14-beta-1.html">Android 14第一個公開測試版本</a>，該版本除了持續改進使用者介面、隱私安全等功能之外，同時也改善平板電腦、可折疊裝置等大螢幕裝置的使用體驗。Android 14的大螢幕使用體驗，奠基在Android 12L和13版本之上，Google也針對大螢幕裝置發布應用程式指南，供開發者遵循，官方最近還發布了低延遲手寫筆和運動預測函式庫，可供應用程式開發使用。</p> <p><a href="https://android-developers.googleblog.com/2023/02/first-developer-preview-android14.html">Google希望</a>改進Android的資源消耗，但同時又想要允許用戶以Wi-Fi，在後臺下載大型檔案，因此將更改Android 14前臺服務和JobScheduler等現有Android API行為，使前臺工作的用例更明確，並要求開發者清楚定義後臺工作的意圖。Google會在之後推出新政策，避免API被濫用。</p> <p>過去Pixel裝置上最大字體比例僅能為130％，而在Android 14中，用戶將可以把字體放大至200％，系統將會自動應用非線性字體縮放曲線，確保原本已經夠大的文字，不會和原本較小的文字，以相同比例放大。</p> <p>系統使用者介面在Android 14測試版中將有所更新，使用者會先注意到的是，在操作應用程式時，螢幕畫面左側將會出現往前回的箭頭，指引用戶能夠以後退手勢跳回上一頁。Android 14的系統分享表單，讓應用程式可自定義操作，開發者可以創建分享表單的動作列表，並且提供應用程式訊號，供Android判斷分享目標的排名。</p> <p>Android 14提供更加強大的Path API，Path API可用於創建和渲染向量圖形，使開發者能夠在應用程式中畫出圓形、橢圓形、矩形、多邊形等，並且使用直線、曲線和弧線連接這些形狀。因此Path API能夠用來繪製按鈕、背景和圖標等物件，增加應用程式的視覺效果。</p> <p>而從Android 14開始，開發者可以查詢路徑，並且獲取內部內容，同時還在結構完全相符的路徑之間，進行內插實作變形特效。由於AndroidX向後相容，因此可支援到Android 5.0。</p> <p>Android 14改進應用程式語言偏好配置，每個應用程式的語言偏好設定都將更靈活，開發者可以動態自定義系統設定中每個應用程式語言列表，而且輸入法也有辦法取得，當前應用程式使用者介面的語言，並且做出相對應的行為。</p> <p>目前Google僅先開發給Pixel裝置更新至Android 14測試版本，沒有Pixel裝置的用者，也可以使用64位元系統映像檔，在Android Studio以模擬器Android Emulator先行體驗。</p> </div></div></div>
2023/4/14 08:29作者李建興https://www.ithome.com.tw/news/156408
【資安日報】4月13日，駭客挾持合法網站，向使用者宣稱需要更新Chrome瀏覽器的名義，散布挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者利用合法網站做為攻擊媒介，並針對使用者散布惡意程式的情況，不時有事故傳出，但近期出現了新的攻擊手法。日本資安業者NTT Security Holdings揭露自去年底出現的攻擊行動，駭客製造了假的Chrome錯誤訊息，讓使用者不知不覺依照指示而中招。</p> <p>除了針對電腦上網使用者而來的攻擊行動，鎖定安卓行動裝置的惡意軟體氾濫的情況也值得留意。最近資安業者卡巴斯基揭露了地下供應鏈，指出駭客可直接從暗網購得所需的各式服務來犯案──包括讓惡意程式上架Google Play市集。</p> <p>在惡意軟體攻擊之餘，網路詐騙的事故也引起政府重視。美國聯邦調查局（FBI）針對當地華人提出警告，近日駭客聲稱是中國公安或是領事館人員行騙，呼籲他們遇到來路不明的電話要提高警覺，切勿透露自己的個資。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://insight-jp.nttsecurity.com/post/102ic6o/webgoogle-chrome"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客入侵網站並注入指令碼，假借Chrome更新散布惡意軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-04-05-05-34-35-538-642d086bf636e913c4fdd181.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-05-05-34-35-538-642d086bf636e913c4fdd181.png" style="width: 300px; float: right;" /></a>電信業者NTT旗下的資安公司NTT Security Holdings揭露於2022年11月出現的攻擊行動，駭客先是入侵合法網站並植入惡意程式碼，一旦使用者存取這些網站，前述的惡意程式碼就會執行指令碼，判斷瀏覽網站的人士是否為攻擊目標，其指令碼支援超過100種語言，並能根據網站採用的語言切換。</p> <p>若是駭客鎖定的對象，該指令碼就會透過名為Pinata的星際檔案系統（IPFS）服務，下載更多的指令碼進行後續攻擊行動，並顯示錯誤訊息網頁，聲稱在執行Chrome瀏覽器更新過程發生錯誤，使用者可以手動安裝升級套件，或是等待下一回的自動更新。接著，駭客的指令碼就會自動下載release.zip壓縮檔案，假如使用者執行裡面的可執行檔案，電腦就會被植入挖礦軟體。</p> <p>該惡意程式會偽裝成Chrome的更新元件（update.exe），此外，該挖礦程式還會將自己加入Microsoft Defender白名單。研究人員指出，他們發現自今年2月駭客擴大了攻擊範圍。<a href="https://www.bleepingcomputer.com/news/security/hacked-sites-caught-spreading-malware-via-fake-chrome-updates/">根據資安新聞網站Bleeping Computer的調查</a>，此惡意程式採用了自帶驅動程式（BYOVD）手法，利用WinRing0x64.sys的漏洞取得SYSTEM權限。</p> <p><a href="https://securelist.com/google-play-threats-on-the-dark-web/109452/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">卡巴斯基揭露安卓惡意軟體的供應鏈，駭客能一口氣取得能上架Google Play市集的工具、投放廣告</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google_Play_threat_in_Darknet_09.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google_Play_threat_in_Darknet_09.jpeg" style="width: 300px; float: right;" /></a>駭客鎖定安卓裝置發動惡意程式攻擊的情況日益頻繁，而且，有不少App居然都能通過Google Play市集的審查上架，或是藉由投放廣告引誘使用者上當，為何情況如此氾濫？其實，目前是有能協助App上架至Play市集的工具，可從地下市集購買、取得。</p> <p>根據資安業者卡巴斯基從2019年至2023年的調查，駭客的確能從暗網買到所需的各式工具及服務，其中，能讓惡意程式載入工具上架至Google Play市集的價位，約為2千至2萬美元不等，買家也可以購買開發者的Google Play帳號來達到類似目的。而販賣這些工具或服務的人為了避免身分曝光，往往透過論壇或即時通訊軟體（如Telegram）與買家來進行交易。</p> <p>此外，買家也可以從暗網購買投放Google廣告的服務，藉此吸引更多使用者下載，而費用高低則與攻擊的目標地區有關──以針對美國用戶的廣告為例，每則約需1美元。</p> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230410"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國華人遭到鎖定，歹徒假冒中國當局進行詐騙</span></strong></a></p> <p>4月10日美國聯邦調查局（FBI）提出警告，有人鎖定當地華人進行金融詐騙，對方聲稱是中國公安、地方公安局，或是中國領事館的人員，佯稱受害者是金融犯罪的嫌疑人，必須支付罰款，否則就有可能遭到施暴，甚至會被逮捕、遭到遣返。</p> <p>這些網路罪犯會撥打電話，或是透過即時通訊軟體聯繫受害者。為取信受害人，他們還會出示幾可亂真的逮捕令，或是指出受害者涉嫌「犯罪」的細節，也有可能提及受害人個資。</p> <p><a href="https://www.cybersecuritydive.com/news/western-digital-restores-my-cloud-home/647330/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">傳出遭到網路軟體攻擊的Western Digital正逐步恢復資料備份服務</span></strong></a></p> <p>硬碟製造商Western Digital於4月3日證實遭到網路攻擊，導致部分服務中斷，現在該公司已逐步恢復。</p> <p>7日他們公告，My Cloud Home、My Cloud Home Duo、SanDisk ibi的本機存取功能開始能夠使用，到了12日，所有該公司提供的雲端服務皆已恢復正常運作。</p> <p><a href="https://www.bleepingcomputer.com/news/security/windows-admins-warned-to-patch-critical-msmq-queuejumper-bug/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者呼籲用戶應儘速修補MSMQ重大漏洞</span></strong></a></p> <p>在微軟4月份發布的例行修補（Patch Tuesday）當中，企業應儘速處理重大漏洞CVE-2023-21554。此弱點是由資安業者Check Point與Fortinet研究人員聯手找到，存在Microsoft Message Queuing（MSMQ）元件當中，CVSS風險評分為9.8。</p> <p>研究人員指出，雖然MSMQ是選用元件，部署Windows時通常不會安裝，但若需要安裝商用軟體，過程中有可能啟用相關功能而曝險。根據研究人員的統計，全球至少有36萬個公開網路IP位址執行MSMQ服務，在企業內部環境運作而具有此漏洞的電腦數量不明。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hyundai-data-breach-exposes-owner-details-in-france-and-italy/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">現代汽車法國、義大利分公司資料外洩，曝露車主個資</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，現代汽車向法國與義大利的車主、試駕客戶寄送通知信，告知資料外洩事故，駭客疑似取得這些客戶的電子郵件信箱、聯絡地址、電話號碼、車輛資料（如底盤編號）。該公司強調財務資料、身分證字號並未外流，目前尚未出現相關個資遭到濫用的跡象。</p> <p><a href="https://info.xmcyber.com/2023-state-of-exposure-management"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">消除2%資安風險有可能讓大部分關鍵資產受到保護</span></strong></a></p> <p>資安業者XM Cyber與Cyentia Institute聯手，針對組織本地端逾1千萬個曝露的弱點、雲端逾6千個弱點進行分析，結果發現，71%組織的內部網路環境存取風險，導致組織雲端的資產也容易成為攻擊目標，駭客一旦成功入侵，組織92%重要資產的安全性會嚴重受到威脅。研究人員指出，平均每個組織1個月會有1.1萬個資安弱點，有82%涉及帳密資料與權限。</p> <p>雖然各企業與組織可被用於進行網路攻擊的弱點相當多，但研究人員發現，僅有2%可讓攻擊者長驅直入，存取重要資產，若是針對這些弱點進行處理，他們認為可阻斷大部分對於重要資產的攻擊路徑。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.fortiguard.com/psirt-monthly-advisory/april-2023-vulnerability-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet修補資料分析系統的重大漏洞</span></strong></a></p> <p>4月11日Fortinet發布本月份例行修補，針對旗下FortiOS、FortiProxy、FortiSandbox、FortiDeceptor、FortiWeb、FortiClient、FortiSOAR、FortiADC、FortiDDoS、FortiAnalyzer等解決方案揭露漏洞，其中風險層級最高的是CVE-2022-41331，此漏洞坐落在Wi-Fi設備位置資訊的分析系統FortiPresence，為身分驗證不足的漏洞，有可能讓攻擊者存取Redis與MongoDB等資料庫，CVSS風險評分為9.3，影響FortiPresence 1.2.1以下的所有版本。</p> <p><a href="https://jvn.jp/en/vu/JVNVU98434809/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kyocera列印的安卓App存在漏洞，恐被用於部署惡意程式</span></strong></a></p> <p>日本電腦網路危機處理暨協調中心（JPCERT/CC）發布資安通告，Kyocera安卓列印App存在漏洞CVE-2023-25954，該弱點能允許來自第三方惡意行動應用程式的資料傳輸，從而導致下載惡意檔案，CVSS風險評分為5.0，影響3.2.0.230119以前版本的Kyocera Mobile Print、TA/UTAX Mobile Print、Olivetti Mobile Print，Kyocera呼籲使用者將這些App版本。升級至3.2.0.230227以上。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/2d6bb590-fa47-435f-818e-c196c25733e0"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">行政院通過個人資料保護法修正草案，提高刑責並將設置個人資料保護委員會</span></span></strong></a></p> <p><a href="https://www.bitdefender.com/blog/businessinsights/bitdefender-2023-cybersecurity-assessment/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾4成IT人員被高層要求不要通報資料外洩事故</span></span></strong></a></p> <p><a href="http://blog.cloudflare.com/ddos-threat-report-2023-q1/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">發動DDoS攻擊的駭客偏好控制VPS來產生流量</span></span></strong></a></p> <p><a href="https://jfrog.com/blog/impala-stealer-malicious-nuget-package-payload/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件被用於會竊取加密貨幣的惡意程式</span></span></strong></a></p> <p><a href="https://security.googleblog.com/2023/04/announcing-depsdev-api-critical.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化軟體開發供應鏈安全，Google推出deps.dev API與Assured OSS</span></span></strong></a></p> <p><a href="https://www.linkedin.com/pulse/linkedins-new-verification-features-include-clear-entra-rodriguez/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">LinkedIn聯手Clear Secure、微軟，推出使用者身分驗證服務</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156382">【4月12日】微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月11日】惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月10日】特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限</a></strong></p> </div></div></div>
2023/4/13 17:25作者周峻佑https://www.ithome.com.tw/news/156406
Google發布deps.dev API與Assured OSS服務，強化開源程式碼使用安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出兩款保護開源軟體供應鏈安全的工具，其一是發布<a href="https://security.googleblog.com/2023/04/announcing-depsdev-api-critical.html">deps.dev API</a>，供開發者免費存取deps.dev資料集，該資料集含有超過5,000萬個開源軟體套件版本的安全後設資料，另外，Google雲端的<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-assured-open-source-software-service-now-ga">Assured OSS服務也正式</a><a href="http://cloud.google.com/blog/products/identity-security/google-cloud-assured-open-source-software-service-now-ga">開放</a>，用戶可以方便取用經Google安全驗證過的開源套件。</p> <p>如今，軟體開發高度仰賴開源專案，因此一旦開源軟體存在漏洞，便可能導致諸如Log4j、Codecov和3CX等攻擊事件，開發者如能取得更多開源專案的資訊，包括相依項目、授權和各種安全訊號資料，有效掌握並修復所使用套件的漏洞，同時使用經過驗證的可信賴套件，將有助大幅減少軟體供應鏈攻擊所帶來的安全風險。</p> <p>Google的deps.dev資料集便是收集，來自Go、Maven、PyPI、npm和Cargo等5大軟體打包生態系的套件後設資料，涵蓋5,000萬個套件版本，並且從套件註冊表、開源漏洞管理資料庫、程式碼託管服務和軟體構件本身等來源更新相關資料集內容。</p> <p>Google收集並且匯總這些資料，產生遞移相依關係圖、安全諮詢報告、OpenSSF安全計分卡等資訊，用戶不僅可以直接從deps.dev網站人工查詢，或是以雲端資料倉儲服務BigQuery進行大規模批次分析，現在還可以使用新推出的API，以程式開發方法即時存取資料集，並在自家工具、工作流程和分析中使用這些安全性資料。</p> <p>透過釋出deps.dev API，可讓企業在更多層面把關軟體安全性，像是開發IDE擴充套件、整合至CI/CD，也能夠在建置工具或是政策引擎整合deps.dev API，確保軟體符合法遵要求，甚至是繪製出相依關係圖，以視覺化的方式呈現系統相依性。Google在2022年所開源的軟體安全性評估工具<a href="https://www.ithome.com.tw/news/153793">GUAC</a>便是使用該API，以deps.dev資料補充SBOM（Software Bill of Materials）。</p> <p>API提供deps.dev網站所沒有的兩個重要功能，首先deps.dev API支援雜湊查詢，透過查詢檔案內容的雜湊，可以找到所有包含該檔案的套件版本，該功能可以協助用戶在即便沒有其他建置後設資料的情況下，找到正在使用的套件版本，這對於軟體供應鏈安全、容器分析、事件回應和數位鑑識上都非常有用。</p> <p>另一個deps.dev API重要功能，便是提供完整的相依圖，Google提到，deps.dev的相依資料不僅是採用套件的宣告資料，也用和套件工具相同的演算法計算相依關係，因此deps.dev API能夠提供一組完整且真實的相依項目圖，相當於開發者實際安裝軟體套件時得到的結果，透過deps.dev API開發者就可以評估、監控和視覺化預期的相依關係。</p> <p>Google另一個提高開源軟體安全性的作為，便是正式推出Assured OSS服務，該服務目前免費，可協助企業獲取通過Google安全檢驗的套件，進而降低軟體供應鏈攻擊的風險。Google會定期掃描和修復Assured OSS軟體庫中存在漏洞的套件，並且以產業標準提供SBOM，使用戶能夠更好地掌握所使用的套件組成。</p> </div></div></div>
2023/4/13 16:05作者李建興https://www.ithome.com.tw/news/156398
Check Point呼籲使用者儘速修補微軟的MSMQ漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.checkpoint.com/2023/queuejumper-critical-unauthorized-rce-vulnerability-in-msmq-service/" target="_blank">資安業者Check Point Research本周呼籲</a>，企業的IT管理人員應儘速修補微軟於4月Patch Tuesday所修補的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21554" target="_blank">Microsoft Message Queuing（MSMQ）漏洞CVE-2023-21554</a>。</p> <p>微軟的訊息佇列（Message Queuing）技術可讓異質網路與系統上，於不同時間執行的應用程式能夠彼此通訊，應用程式可傳送訊息至佇列，或是自佇列讀取訊息。此一元件支援所有的Windows作業系統，包括Windows 11與Windows Server 2022，但它是選擇性安裝的。</p> <p>由Check Point Research與FortiGuard Lab發現的CVE-2023-21554漏洞，允許駭客傳送惡意封包到MSMQ伺服器上，並於伺服器上執行任意程式，包括接管伺服器。它是微軟本月所修補的安全漏洞中，CVSS風險評分最高的其中一個，達9.8。</p> <p>Check Point Research首席漏洞研究人員Haifei Li指出，駭客只要傳送一個封包到1801 TCP埠就有機會觸發該漏洞，此外，即便系統預設並未安裝MSMQ，但MSMQ屬於中介軟體，在使用者安裝許多熱門商用軟體時，這些軟體的安裝程序就會啟用Windows中的MSMQ，或許連使用者自己都沒意識到。</p> <p>例如在安裝微軟的Microsoft Exchange Server時，若是選擇微軟所建議的「自動安裝Exchange所需的Windows Server角色與功能」，那麼它便會於背景啟用MSMQ。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0413-MSMQ-CVE-2023-21554-image%20by%20Checkpoint.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0413-MSMQ-CVE-2023-21554-image%20by%20Checkpoint.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Check Point</span></span></p> <p>根據Check Point Research的統計，全球公開網路上約可找到逾36萬個執行MSMQ服務的IP，同時它們的1801 TCP埠是開啟的，而且此一數字並未納入企業內部網路。</p> <p>Li建議IT管理人員都應檢查伺服器與客戶端是否安裝了MSMQ服務，並儘快部署官方修補程式。倘若不需要該服務，最好將它關閉，若無法立即修補，則可利用防火牆規則，暫時禁止1801 TCP埠接受不明來源的連結。</p> </div></div></div>
2023/4/13 13:49作者陳曉莉https://www.ithome.com.tw/news/156394
文件顯示推特已併入馬斯克的X公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克在收購推特前，就曾經說過要將之下市以維持營運的獨立性。<a href="https://cdn.arstechnica.net/wp-content/uploads/2023/04/Twitter-Inc-Corporate-Disclosure-Statement-4-4-2023-X-Corp.pdf" target="_blank">一項新法院文件顯示</a>，推特公司已經合併到馬斯克的未上市公司X Corp中，名義上已不存在。</p> <p><a href="https://twitter.com/elonmusk/status/1645684041264529408" target="_blank">馬斯克也在昨日透過推特發出僅一個X字的推文</a>，雖然沒有任何說明，但可能意指推特已併入X Corp公司。</p> <p>X Corp為未上市公司，其母公司為X控股公司。它是馬斯克為收購推特而成立的公司。根據法院文件，沒有一家公開上市公司持有X Corp或X控股公司10%以上的股權。</p> <p>至於推特併入X Corp代表未來有什麼變化仍不得而知。但馬斯克已一步步實踐他對推特的計畫。在收購推特前，他就曾經表示，為避免華爾街分析師或股東影響公司決策，計畫將推特下市。之後他曾多次表示，推特擁有很大潛力，因此他入主推特後首要任務是整頓推特岌岌可危的財務，期許它能發展成像騰訊微信一般的全功能平臺，藉由X App提供廣告、通訊、影片、購物等服務。</p> <p>去年11月馬斯克上任後即大幅裁員減資，在經過激烈瘦身後，推特員工數已從7,000人減少到不到2,000人。<a href="https://www.nytimes.com/2023/03/26/technology/elon-musk-twitter-value.html" target="_blank">此外紐約時報上周報導</a>，馬斯克對內宣布，員工可獲得X Corp的股票選擇權，他告訴員工，推特市值已小於200億美元，但很快就能成長到2,500億美元。為了開闢財源，推特也推出了新的收費服務，包括月費8美元的新Twitter Blue，以及<a href="https://www.ithome.com.tw/news/156200" target="_blank">每月100美元的API方案</a>等。</p> <p>推特的未來發展全憑馬斯克意志決定。<a href="https://www.theguardian.com/technology/2023/apr/04/twitter-changes-logo-to-dogecoin-cryptocurrency-image-in-apparent-late-april-fools-day-gag" target="_blank">4月初</a>有許多媒體<a href="https://fortune.com/2023/04/06/elon-musk-dogecoin-twitter-home-button/" target="_blank">發現</a>，推特的logo由小鳥換成了狗狗幣（Dogecoin）的柴犬圖示，不過很快又換回來。年初馬斯克認為推特平臺的貼文推薦功能有bug，使其貼文觸及率降低，於是在開除一名拒絕變更的首席工程師後，解決了問題。</p> <p>其他較具爭議性的事件包括推特逕自封鎖潛在競爭者。上周一家內容創作平臺Substack因公布類似推特的社群平臺功能Substack Notes，<a href="https://www.theverge.com/2023/4/7/23674936/twitter-marking-substack-links-unsafe" target="_blank">推特就將連向這平臺的連結推文標示為不安全</a>，意在封鎖潛在的競爭對手。在此之前，推特也封鎖連到競爭者Mastodon的連結。</p> </div></div></div>
2023/4/13 13:17作者林妍溱https://www.ithome.com.tw/news/156393
LinkedIn發表免費身分驗證服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linkedin.com/pulse/linkedins-new-verification-features-include-clear-entra-rodriguez/" target="_blank">專業人才社交平臺LinkedIn周三（4/12）發表了多項身分驗證服務</a>，包括可藉由電子郵件來驗證會員目前所任職的公司，與CLEAR合作來驗證美國會員的身分，以及利用微軟的Microsoft Entra來發布數位工作場所身分驗證。有別於Twitter、臉書或Instagram的付費身分驗證服務，LinkedIn的驗證服務都是免費的。</p> <p>其中最簡單的驗證服務為工作用的電子郵件驗證，LinkedIn用戶只要提供目前就職公司的電子郵件，輸入傳送該電子郵件帳號的代碼，就能完成驗證。不過，此一驗證方式仍需要公司的參與，目前全球已有超過4,000家公司支援此一驗證模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0413-LinkedIn%20new%20verification%20features-Verify%20company-issued%20email%20address.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://www.linkedin.com/pulse/linkedins-new-verification-features-include-clear-entra-rodriguez/" target="_blank"><span style="color:#696969;">LinkedIn</span></a></span></p> <p>而CLEAR則是一身分驗證平臺，可用來驗證LinkedIn美國用戶的身分，使用者只要輸入美國的電話號碼以及美國政府所頒發的身分證件，諸如駕照、State ID或護照，就能進行驗證。</p> <p>再者則是利用微軟的Microsoft Entra Verified ID平臺來頒發數位工作場所身分驗證，該平臺允許各大組織來建立客製化的員工身分，目前已有數十個組織參與該平臺，約涵蓋逾200萬名LinkedIn用戶，LinkedIn用戶即可藉此取得他們的數位員工身分，此一服務將於今年4月底上線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0413-LinkedIn%20new%20verification%20features-Verify%20where%20you%20work%20with%20Microsoft%20Entra.png" style="width: 400px;" /></p> <p><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源／</span><a href="https://www.linkedin.com/pulse/linkedins-new-verification-features-include-clear-entra-rodriguez/" style="font-size: 14px;" target="_blank"><span style="color: rgb(105, 105, 105);">LinkedIn</span></a></p> <p>上述的驗證成果將會出現在使用者的個人檔案中，使用者亦可隨時移除驗證。</p> </div></div></div>
2023/4/13 11:58作者陳曉莉https://www.ithome.com.tw/news/156390
Google Meet將不再支援第三方Assistant智慧螢幕產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/assistant/answer/9071980" target="_blank">Google本周宣布其視訊通話軟體</a>，將不再支援其他廠商推出的智慧螢幕（Smart Display）產品。媒體認為，這可能預告Google Assistant進一步縮減開發的策略。</p> <p><a href="https://9to5google.com/2023/04/07/google-assistant-smart-displays-updates/" target="_blank">9to5 Google首先發現</a>，Google Assistant支援網頁公告，Google Duo視訊軟體（現在整併於Google Meet中）將不再對第三方智慧螢幕提供軟體更新，包括Lenovo Smart Display、JBL Link View及LG Xboom AI ThinQ WK9 Smart Display等，可能影響視訊通話和會議的品質。未來Duo只會支援Google Next Hub、Nest Hub Max等Google自家產品。有趣的是，Google對被終止支援後的用戶如何提供協助，沒有提供任何說明。</p> <p>Google 2018年宣布和OEM廠商合作推出Assistant-enabled智慧螢幕裝置，能支援用戶聲控啟動和親友視訊。但後來Google接續中止智慧螢幕的軟體計畫，先限縮其底層作業系統Android Things的用戶為單純OEM，之後又以硬體不支援安全搜尋（SafeSearch）為由，關閉第三方產品的網頁瀏覽器。連Google自己的Nest Hub系列也都2年沒有更新。</p> <p><a href="https://www.techradar.com/news/google-kills-third-party-smart-displays-and-its-voice-assistant-could-be-next" target="_blank">TechRadar報導</a>，這可能反映Google Assistant裝置策略的縮減。Google去年底及今年初大規模裁員中，Google Assistant部門受到重創，<a href="https://www.ithome.com.tw/news/156221" target="_blank">上個月CNBC報導</a>，這個部門近日人事異動，開發Assistant的一名主管去職，未來將改以開發生成式AI聊天機器人Bard為重心。這可能使得過去以Google Assistant串聯的智慧物聯網計畫陸續撤除。</p> <p><a href="https://www.ithome.com.tw/news/156315" target="_blank">上周Google才宣布</a>會在2024年4月，終止對連網溫控裝置、煙霧偵測器Nest Secure及攝影機Dropcam的軟體支援，鼓勵用戶轉用僅剩的裝置產品線。</p> </div></div></div>
2023/4/13 12:09作者林妍溱https://www.ithome.com.tw/news/156389
Windows 11的「螢幕列印」鍵功能可能改為預設開啟剪貼工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2023/04/07/announcing-windows-11-insider-preview-build-22621-1546-and-22624-1546/" target="_blank">微軟正在測試把存在超過30年的「螢幕列印」（Print Screen）鍵的預設功能</a>，改為開啟剪貼工具。</p> <p>微軟最新釋出給測試人員的Beta版Windows 11 Build 22621.1546及22624.1546 （KB5025310），當中一項變更是按下螢幕列印鍵，會預設開啟剪貼簿。但用戶可以透過「設定」>「輔助工具」、「鍵盤」來關閉。若用戶之前曾經變更過螢幕列印鍵的預設，新功能也會獲得保留。</p> <p>螢幕列印鍵從MS-DoS時代就存在。最早的螢幕列印是將螢幕上的文字，輸送到實體印表機印出。現代的螢幕列印功能則是讓使用者將整個電腦螢幕畫面複製，以便貼到剪貼簿中，最早可追溯回1990年代的Windows 3.0。</p> <p>這功能在不提供「複製」、「貼上」的應用程式中十分好用，另一方面，也有其他程式預設整合螢幕列印的功能，像是微軟的OneDrive，或第三方程式如Dropbox、開源擷圖錄影App ShareX。但是在多螢幕環境下，按下螢幕列印鍵會抓下所有螢幕畫面；用戶必須使用Alt+「Print Screen」來指定擷取使用中的視窗。</p> <p>「剪貼工具」也是一項好用工具。它可讓用戶擷取部分螢幕畫面。這功能還提供長方形、任意形狀或全螢幕剪取等不同模式，允許用戶擷取想要的螢幕畫面。微軟在Windows 10時加入新的「剪貼與繪圖」和「剪貼工具」並列，到Windows 11又改回只有「剪貼工具」。在Windows 11中，以視窗鍵+ Shift熱鍵可以叫出這功能。<a href="https://arstechnica.com/gadgets/2023/04/windows-11-beta-changes-what-the-print-screen-button-does-after-33-years/" target="_blank">Ars Technica報導</a>，這熱鍵功能仍然存在，以提供習慣這方法或是電腦上不具備螢幕列印鍵的使用者。</p> <p>不過新的螢幕列印鍵預設功能不一定最終會推向正式版。微軟在Windows Beta版測試的功能或變更也經常最後取消，不會包含在新的正式更新版中。</p> </div></div></div>
2023/4/13 10:39作者林妍溱https://www.ithome.com.tw/news/156388
【資安日報】4月12日，微軟發布本月份例行修補，緩解已遭勒索軟體利用的CLFS零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11日多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者，其中最值得留意是微軟發出的公告，因為當中修補的零時差漏洞CVE-2023-28252，已有資安業者發現在2月被用於勒索軟體攻擊。</p> <p>除了IT與OT大廠此刻齊發每個月例行修補，前一段時間經歷曝露用戶對話標題及帳號被盜等資安事故的ChatGPT，主導其發展的人工智慧實驗室OpenAI本週宣布推出漏洞懸賞專案，鼓勵研究人員對該實驗室的API及ChatGPT幫其抓漏。</p> <p><a href="https://www.ithome.com.tw/news/156291">三星半導體部門傳出因開放使用ChatGPT造成資料外洩</a>的情況並非個案！有資料安全新創公司發現，平均每100位員工就有超過3位將企業機敏資料上傳ChatGPT，且這種資料外洩的情況有越來越嚴重的趨勢。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://citizenlab.ca/2023/04/spyware-vendor-quadream-exploits-victims-customers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大公民實驗室、微軟聯手揭露網路攻擊公司QuaDream</span></strong></a></p> <p>加拿大公民實驗室（Citizen Lab）、微軟聯手，揭露專門製作間諜軟體的以色列網路攻擊公司QuaDream，該公司沒有設立網站，也並未直接面對客戶，而是委由位於賽普勒斯的業者InReach銷售，向全球政府機關兜售名為Reign的平臺，買家再從此平臺取得各式攻擊工具，其中一款是名為KingsPwn的iOS惡意程式。</p> <p>該惡意程式的攻擊目標是執行iOS 14的裝置，能竊取裝置資訊、Wi-Fi及行動網路資料，並能於背景存取視訊鏡頭、監控手機通話、存取iOS的KeyChain等。</p> <p>研究人員發現，QuaDream宣稱將惡意程式銷售給政府機關用於執法，實際的受害者卻遠遠超出此範圍，涵蓋北美、中亞、東南亞、歐洲、中東記者，以及NGO工作人員，顯然該公司對於違法者的定義，有別於民主自由價值。</p> <p><a href="https://securelist.com/nokoyawa-ransomware-attacks-with-windows-zero-day/109483/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Nokoyama利用Windows的CLFS零時差漏洞發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nokoyawa_ransomware_attacks_with_Windows_zero-day_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nokoyawa_ransomware_attacks_with_Windows_zero-day_01.png" style="width: 300px; float: right;" /></a>在微軟發布的4月份例行更新（Patch Tuesday）當中，有1個零時差漏洞CVE-2023-28252存在於Windows系統的 Common Log File System（CLFS）服務，有研究人員警告已被用於勒索軟體攻擊。</p> <p>資安業者卡巴斯基指出，他們在2月看到駭客在勒索軟體Nokoyawa的攻擊行動中利用這項漏洞，針對中東和北美地區的中小企業而來，在這些組織的Windows伺服器執行提升權限的行為，目的是部署勒索軟體。</p> <p>但CVE-2023-28252並非駭客唯一利用的CLFS漏洞，研究人員指出，駭客自2022年6月開始，一共利用至少5個這類漏洞，攻擊零售及批發、能源、製造、醫療保健、軟體開發等產業。</p> <p><a href="https://www.ithome.com.tw/news/156370"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">肯德基、必勝客1月遭勒索軟體攻擊，英國近300家門市停業1天</span></strong></a></p> <p>肯德基、必勝客、Taco Bell的母公司百勝餐飲集團（Yum Brands）4月7日向美國緬因州政府檢察長辦公室通報，他們在1月13日遭到勒索軟體攻擊，駭客存取該公司多項系統，防止災害擴大，該公司資安人員緊急切斷特定系統連線，導致該集團旗下近300家英國餐廳暫停營業1天。</p> <p>在初步平息事件後，百勝集團偕同外部專家展開詳細調查，發現部分用戶個人識別資訊（PII）可能外洩，包括姓名、駕照號碼及其他身分證件號碼等。該公司以電子郵件通知受影響的用戶，但受影響人數仍要進一步確認。</p> <p><a href="https://www.ithome.com.tw/news/156293"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超過3％員工不慎將企業機敏資料上傳ChatGPT，恐造成資料外洩</span></strong></a></p> <p>資料安全服務業者Cyberhaven近日針對旗下企業用戶共160萬名員工的ChatGPT使用行為進行調查，結果發現，已有8.2%員工開始在職場使用ChatGPT，但有3.1%曾將企業機敏資料輸入。</p> <p>研究人員指出，雖然有越來越多企業直接禁止員工在公司網路使用ChatGPT服務，但相關的機敏資料外洩災情仍持續上升，在3月14日，他們偵測出每10萬名員工就有5,267起這類資料外流事件（包含遭攔截、未成功送出查詢的次數）。根據外洩的資料類型來看，在研究人員進行統計期間，平均而言，每10萬人當中，機密文件外流的通報199次、外流顧客資料的通報173次、程式原始碼外流的通報159次。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-april-2023-patch-tuesday-fixes-1-zero-day-97-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布4月例行修補，揭露97個漏洞的緩解措施</span></strong></a></p> <p>微軟於4月11日發布本月份例行修補（Patch Tuesday），總共修補了97個漏洞，當中有20個涉及權限提升、8個能用於繞過安全功能、45個可讓攻擊者遠端執行任意程式碼（RCE）、10個資訊洩露漏洞、9個可能導致服務阻斷（DoS）、6個欺騙漏洞。</p> <p>值得留意的是CVE-2023-28252為零時差漏洞，此漏洞與通用事件記錄檔案系統（CLFS）元件有關，攻擊者一旦利用，就有可能取得SYSTEM權限，CVSS風險評分為7.8。資安業者卡巴斯基指出，駭客已將其用於勒索軟體Nokoyawa攻擊行動。</p> <p><a href="https://www.bleepingcomputer.com/news/security/sap-releases-security-updates-for-two-critical-severity-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP發布4月例行更新，修補2個重大漏洞</span></strong></a></p> <p>4月11日SAP發布、更新24則資安通告，本次修補了2個重大層級的漏洞CVE-2023-28765、CVE-2023-27267，前者為資訊洩露漏洞，存在於商業智慧軟體BusinessObjects，攻擊者可在擁有基本權限的情況下存取lcmbiar組態檔案並進行解密，然後接管使用者的帳號，CVSS風險評分為9.8。</p> <p>至於CVE-2023-27267則是存在於Diagnostics Agent元件，起因是OSCommand Bridge模組輸入驗證不足，導致攻擊者可在連線的端點電腦執行指令碼，CVSS風險評分為9.0分。</p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-dozens-of-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布4月份例行修補</span></strong></a></p> <p>4月11日西門子、施耐德電機皆發布本月份的資安通告，總共公布了38個漏洞，相較於2月、3月漏洞數量各約有100個，本月份算是下降不少。</p> <p>其中，西門子一共發出14則新的公告，總共提及26個漏洞，最嚴重的是CVE-2023-28489，該漏洞存在於Sicam A8000系列的遠端終端機單元（RTU），攻擊者可在目標設備設置可遠端操作的情況下，執行任意命令且無須通過身分驗證，CVSS風險評分為9.8。</p> <p>施耐德電機本次發布6則新公告，共涵蓋十多個漏洞，其中風險層級最高的是CVE-2023-29411、CVE-2023-29412，出現在APC Easy UPS線上監控軟體，前者與重要功能缺乏驗證有關，後者則與不適當的處理敏感物件有關，CVSS風險評分皆為9.8。</p> <p><a href="https://www.securityweek.com/adobe-plugs-gaping-security-holes-in-reader-acrobat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe修補Acrobat、Reader軟體重大漏洞</span></strong></a></p> <p>4月11日Adobe發布例行更新，修補旗下產品56項漏洞，其中最值得留意的部分，是有關PDF編輯軟體Acrobat及PDF文件檢視程式Reader的公告APSB23-24，當中提及了16項漏洞，大部分都被列為重大層級，能被攻擊者用於執行任意程式碼，或是繞過安全功能，CVSS風險介於5.5至8.6分。該公司表示，這些漏洞目前尚未出現被用於攻擊行動的跡象。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://openai.com/blog/bug-bounty-program"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">OpenAI啟動漏洞懸賞專案</span></strong></a></p> <p>推出熱門大型語言模型ChatGPT的人工智慧實驗室OpenAI於4月11日宣布，他們與漏洞懸賞平臺Bugcrowd合作，正式推出OpenAI的漏洞懸賞計畫，根據漏洞的嚴重程度，獎金從200美元至2萬美元不等，範圍涵蓋OpenAI各種API，部署這些API的公有雲基礎設施，以及ChatGPT的部分，同時也包含訂閱服務ChatGPT Plus、OpenAI提供的外掛程式等。</p> <p>值得注意的是，有關機器學習模型的安全問題不在此專案的懸賞範圍，例如：透過模型為使用者產生惡意程式碼。OpenAI指出，原因是這些臭蟲無法直接修補，往往需要大量研究或採取更周全的方法才能因應。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://kodi.tv/article/important-kodi-forum-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源影音播放程式Kodi網站遭駭，資料流入網路論壇求售</span></span></strong></a></p> <p><a href="https://orca.security/resources/blog/azure-shared-key-authorization-exploitation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Azure儲存的金鑰有可能遭到濫用，被用於提升權限或是執行RCE攻擊</span></span></strong></a></p> <p><a href="https://www.cyfirma.com/outofband/ares-leaks-emerging-cyber-crime-cartel/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Ares兜售企業與政府機關資料庫的情況升溫</span></span></strong></a></p> <p><a href="https://www.esentire.com/blog/esentire-threat-intelligence-malware-analysis-batloader"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器BatLoader攻擊將持續延燒</span></span></strong></a></p> <p><a href="https://www.forcepoint.com/blog/x-labs/zero-day-exfiltration-using-chatgpt-prompts"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員展示如何濫用ChatGPT產生惡意程式，且能迴避防毒軟體偵測</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月11日】惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月10日】特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156300">【4月7日】英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者</a></strong></p> </div></div></div>
2023/4/12 17:42作者周峻佑https://www.ithome.com.tw/news/156382
街口支付新會員制度上路，與台新銀行聯手要引導年輕消費者使用數位金融服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>街口支付會員達到600萬，今天（4/12）啟動全新的會員制度，並與台新銀行聯手推出街利存數位帳戶，街口不同等級會員使用街利存，享有優惠年利率及街口消費回饋。</p> <p>街口支付現為國內最多會員的電子支付業者，去年預告不再像過去大撒幣行銷補貼，今年將推出會員制度，愈高級會員享有更多的消費回饋及補貼，街口的會員制度分為5種，銅牌、銀牌、金牌、白金到最高級的尊爵，依上個月使用街口支付的次數、累積消費金額畫分會員等級，享有不同的消費回饋。</p> <p>街口的會員制度也與街利存整合，不同級別會員使用街利存帳戶，存款餘額在5萬元以內，享有不同的優惠年利率，以街口的尊爵會員為例，街口消費回饋最高3%，還享有最高為3%年利率。</p> <p>街利存是台新銀行Richart數位銀行的子帳戶，為了方便街口會員使用，雙方合作，利用開放API串接資料，讓街口會員可在街口支付App內申請街利存帳戶，審核最短需3分鐘到1、2天的時間，從街口支付登入街利存帳戶，需授權從台新銀行取得資料，基於安全考量，用戶每90天需要重新授權一次，方能在街口支付App上使用街利存帳戶，可從街口支付電支帳戶轉入資金到街利存，或從街利存帳戶內將資金轉到街口支付帳戶。</p> <p>街口支付總經理范庭甄表示，此次雙方合作，為街口支付600萬用戶提供多元的理財方式，同時也是街口支付Fintech Hub與第三方業者合作新服務。至於全新的會員制度，主要基於不同會員的貢獻作分級，未來會持續針對會員推出優惠。</p> <p>她補充說明，通過會員制度，未來街口支付培養初階會員如銅牌、銀牌會員習慣讓他們往高頻交易方向發展，例如超商、電商等，至於更黏著的會員，推薦他們使用金融服務。</p> <p>街口支付董事長梅驊指出，過去街口提供給會員的福利，僅提供消費者回饋，這麼做相當可惜，因為消費者的習慣只會養成支付的單一行為，通過電支業者與金融業者合作，提供更多服務例如存款、貸款等，共同推動普惠金融。希望透過雙方合作鼓勵消費者，除了支付之外，也能投入在理財上。</p> <p>台新銀行則將街口支付旗下600萬會員，視為帶動Richart數位金融服務的機會。台新銀行總經理尚瑞強表示，台新銀行Richart已是國內數位金融服務的領導品牌，目前數位帳戶數量已超過320萬，街口支付已有超過600萬會員，因此雙方合作，思考如何引導街口支付的會員慢慢往金融服務體驗，尤其街口會員有許多年輕用戶，是數位金融服務的潛在客群。我們希望透過街口600萬會員基礎，未來慢慢導引很多年輕族群來接觸數位金融。</p> <p>根據尚瑞強的觀察，年輕族群與較年長的人不太一樣，年輕族群已不太走進銀行，他們習慣使用帳戶連結進行消費行為，對他們而言，消費產生的回饋是重大的，但與金融服務的連結度，因為不走進銀行而減少，因此需要另一個通道，引導年輕族群慢慢接觸金融服務，通過電子支付與數位帳戶連結，培養年輕人從支付習慣，到到存款、定期定額購買理財商品，慢慢養成理財的習慣。</p> <p> </p> </div></div></div>
2023/4/12 19:44作者蘇文彬https://www.ithome.com.tw/news/156387
Rust基金會商標草案遭批評過於嚴格可能限縮社群活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust基金會著手制定商標政策，並在近期於網路上發布了<a href="https://docs.google.com/document/d/1ErZlwz9bbSI43dNo-rgQdkovm2h5ycuW220mWSOAuok/edit">政策草案</a>，同時也發布了一個<a href="https://docs.google.com/forms/d/e/1FAIpQLSdaM4pdWFsLJ8GHIUFIhepuq0lfTg_b0mJ-hvwPdHa4UTRaAg/viewform">Google表單</a>，收集社群對該商標政策的意見。該商標政策草案受到社群成員熱議，普遍認為這項政策太過嚴格，過度限縮社群的使用。</p> <p>Rust基金會之所以需要制定商標政策，是為了要確保當開發者在網路上，看到有關Rust程式語言的產品、專案和資源時，可以透過商標確認內容的真實性，以及與Rust基金會和專案的關係，官方強調，他們希望能夠建立社群對該政策的信心，而沒有受到加強限制的感覺。</p> <p>不過，似乎目前社群對該政策的感覺，與官方的期望相反，由於在Google表單上填寫的意見無法公開，因此許多開發者也在包括<a href="https://www.reddit.com/r/rust/comments/12e7tdb/rust_trademark_policy_feedback_form/">Reddit</a>等平臺發表意見和討論。</p> <p>草案限制了用戶對Rust標誌（Logo）的使用，僅開放社群使用文字商標，草案規定在描述開發者的軟體和官方軟體之間的關係，應該在描述關係的動詞和介系詞之後使用Rust文字商標，官方希望能藉此避免混淆或是誤導。因此社群僅能使用「the Dungeness tool for the Rust compiler」，而不能使用「the Dungeness Rust compiler」，官方認為後者暗示Dungeness是Rust編譯器的源頭。</p> <p>社群成員批評，這樣的限制根本無法有意義地提升清晰度，就像是對PyPy編譯器的描述，無論是用「PyPy compiler for Python」還是「PyPy is a Python compiler」兩者意思都一樣，將Dungeness說成「for the Rust」而非「is a Rust compiler」這樣的規定是多餘的。</p> <p>草案章節4.3.1，還禁止使用諸如<format>-rus、rust-<existing library>和<operation>-rust等函式庫名稱，社群成員指出，目前已經有許多熱門且重要的專案使用這樣的命名，包括intellij-rust、rust-rocksdb、openssl-rust和rust-postgres等數十個被大量使用的專案，較小的也有數百個專案使用這樣的形式的命名，這樣的限制將使這些專案受到衝擊。</p> <p>另外，在Cargo的使用上也有諸多限制，像是Cargo子命令專案不能在文件網站使用cargo-foo.rs，或是cargo-foo.github.io，社群成員開玩笑認為，之後大家會搶用類似crgo、c4rgo甚至是Carrust等錯誤拼字命名法。社群無法使用Rust和Cargo當作域名，被認為是荒謬的限制，社群成員提到，許多專案已經限制過，而且事實也證明這樣的限制很容易被規避，他們不了解為什麼還要添加此存在爭議的規則。</p> <p>雖然商標政策的出發點是為了推動社群利益，但是社群認為，這些規則反而很大程度限制正常的社群活動，像是在這個草案的規範下，許多Mastodon伺服器上的自定義表情符號可能違反規定，有社群成員貼出甲骨文（Oracle）的商標使用規範，並且提到，就連甲骨文的商標政策，都比Rust商標政策草案還要簡單且實際。有社群成員建議Rust基金會可以參考Python軟體基金會的作法，認為Python官方在限制程式語言名稱的使用上更為合理。</p> </div></div></div>
2023/4/12 20:08作者李建興https://www.ithome.com.tw/news/156386
ASP.NET Core鎖定雲端應用程式提供原生AOT支援，程式啟動更快記憶體消耗更少
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於.NET 8第三預覽版中，在<a href="https://devblogs.microsoft.com/dotnet/asp-net-core-updates-in-dotnet-8-preview-3/">ASP.NET Core加入原生AOT（Ahead-Of-Time）的支援</a>，供開發者將程式碼編譯成為原生碼，生成自封式（Self-Contained）ASP.NET Core應用程式。官方提到，這項新功能的發展初期，會先專注於支援雲端原生API應用程式。</p> <p>ASP.NET Core是一個以.NET架構為基礎的網頁應用程式跨平臺開發框架，由於ASP.NET Core相依於.NET，因此原本ASP.NET Core就可以用到AOT編譯，但是支援重點主要還是在提升效能和可擴展性上，整體支援並不完整。</p> <p>而.NET 8第三預覽版在ASP.NET Core加入原生AOT，使得ASP.NET Core能夠獲得更完整的AOT優勢。使用原生AOT編譯的應用程式，可減少磁碟空間使用，原生AOT應用程式會生成一個可執行檔，其中包含應用程式和所需的外部相依項目程式碼子集，而這個優點會讓容器映像檔更小，進而縮短部署的時間。</p> <p>由於AOT程式碼不再需要JIT編譯，也就可以縮短程式啟動時間，應用程式可以更快處理請求，容器調度效能將獲得改善，不同版本的應用程式轉換更順暢。原生AOT程式碼還能夠減少記憶體需求，讓應用程式部署密度提高，並且改善可擴展性。</p> <p>針對需要部署多個執行個體的工作負載，像是雲端基礎設施和超大規模服務，ASP.NET Core原生AOT的支援將帶來更為明顯的好處。經官方測試，將應用程式以原生AOT編譯，啟動時間可減少達80％，應用程式的大小也可減少了87％。</p> <p>不過，並非所有ASP.NET Core的功能都與原生AOT相容，部分開發者常用的函式庫也可能不支援原生AOT。ASP.NET Core的原生AOT限制主要在反射（Reflection）和動態程式碼生成相關部分，雖然原生AOT支援型別資訊的反射，但執行時可能會發生一些問題，因為AOT編譯中的樹型剪裁，無法靜態確定特定型別的成員是否透過反射存取，因此可能使這些成員被移除，在執行時發生問題，開發者需要特別標記動態存取的成員，才能避免成員被移除。</p> <p>微軟提醒，程式碼仰賴反射執行時程式碼生成並非總是很明顯，因此開發者應該要仔細檢查程式碼，避免意外地將原生AOT用於不相容之處。</p> <p>除此之外，這個預覽版還加入了一個值得注意的功能，便是Blazor元件的伺服器端渲染（Server-Side Rendering，SSR），微軟讓開發者可以使用Blazor元件建置伺服器端渲染的使用者介面，以提升客戶端的互動性。ASP.NET Core原本就已經支援MVC和Razor Pages進行伺服器端渲染，但是這些框架，缺乏可重用的網頁使用者介面元件，而Blazor剛好可以彌補這個不足。</p> <p>伺服器端預覽是指讓伺服器在收到請求時生成HTML，優點是載入速度快，因為使用者介面的渲染工作在伺服器上已經完成，客戶端便不需要下載大量的JavaScript套件。而微軟在Blazor元件加入伺服器端渲染，也就進一步使Blazor能夠同時滿足客戶端和伺服器端等，所有網頁使用者介面的需求。這項功能仍在早期預覽階段，在功能上還有許多限制。</p> </div></div></div>
2023/4/12 18:21作者李建興https://www.ithome.com.tw/news/156376
OpenAI啟動抓漏專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經歷了<a href="https://www.ithome.com.tw/news/156068" target="_blank">曝露用戶對話標題</a>及<a href="https://www.ithome.com.tw/news/156205" target="_blank">帳號被盜</a>等風波之後，<a href="https://openai.com/blog/bug-bounty-program" target="_blank">OpenAI本周宣布與Bugcrowd合作</a>，推出了<a href="https://bugcrowd.com/openai" target="_blank">OpenAI與ChatGPT的抓漏專案</a>，主要抓漏範圍為IT架構與應用上的隱私及安全漏洞，並未涵蓋模型上的問題。</p> <p>OpenAI表示，任何複雜的技術都會有漏洞或瑕疵，但透明化與協作將帶來莫大的幫助，因此藉由Bugcrowd來邀請全球的安全研究人員、白帽駭客及技術愛好者來協助辨識與解決其平臺上的漏洞。</p> <p>此一抓漏獎勵專案的範圍涵蓋了OpenAI的各種API，以及提供OpenAI API服務的公有雲資源或基礎設施，也納入了熱門的ChatGPT，包括ChatGPT Plus、登入、訂閱與各種官方的ChatGPT外掛程式，視漏洞的重要程度頒發200美元至6,500美元不等的獎金，若有更特別的發現則最高可獲得2萬美元的獎金。</p> <p>不過，有關模型的安全問題則不被採納。像是讓模型提供越獄或其它違法的指導，或是讓模型替使用者撰寫惡意程式碼，OpenAI指出，就算他們致力於建置安全及有用的AI系統，仍舊無法預測於現實世界中遭到濫用的每一種手法，而且這類的臭蟲並不屬於可以直接修復的個別錯誤，而是通常需要大量的研究與更周全的方法才能解決。</p> <p>OpenAI亦鼓勵使用者若有任何有關模型的行為問題，<a href="https://openai.com/form/model-behavior-feedback" target="_blank">可透過其它途徑來提報</a>。</p> </div></div></div>
2023/4/12 14:35作者陳曉莉https://www.ithome.com.tw/news/156372
微軟修補一個已被勒索軟體駭客濫用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（4/11）釋出的4月Patch Tuesday修補了97個安全漏洞，包含一個已遭勒索軟體駭客濫用的零時差漏洞CVE-2023-28252，<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">網路安全暨基礎設施安全局（CISA）幾乎是同步把該漏洞納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄中</a>，要求政府機關要在5月2日之前修補。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28252" target="_blank">CVE-2023-28252</a>漏洞位於Windows的通用紀錄檔系統（Common Log File System，CLFS）驅動程式中，屬於權限擴張漏洞，只被微軟列為重要（Important）等級的漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-28252.png" style="width: 577px;" /></p> <p>然而，<a href="https://securelist.com/nokoyawa-ransomware-attacks-with-windows-zero-day/109483/" target="_blank">向微軟通報CVE-2023-28252漏洞的資安業者卡巴斯基表示</a>，他們在今年2月就發現駭客企圖於許多中小企業的Windows伺服器上執行權限擴張攻擊程式，它們跟過去的CLFS驅動程式攻擊程式很像，進一步分析後才發現其中之一利用了零時差的CVE-2023-28252。</p> <p>卡巴斯基說，過去利用零時差漏洞的大多屬於進階持續性滲透攻擊（APT），而CVE-2023-28252卻是被駭客用來部署Nokoyawa勒索軟體。</p> <p><a href="https://www.zerodayinitiative.com/blog/2023/4/11/the-april-2023-security-update-review" target="_blank">至於趨勢科技的ZDI（Zero Day Initiative）團隊則說</a>，他們懷疑這是微軟在2月沒能充份<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23376" target="_blank">修補CVE-2023-23376</a>所招致的結果。CVE-2023-23376同樣為CLFS驅動程式的權限擴張漏洞，在微軟修補當時也已遭到濫用，ZDI認為駭客找到了繞過CVE-2023-23376修補程式的方法。</p> <p>總之，駭客通常會找出其它的程式執行漏洞來搭配權限擴張漏洞，以用來散布惡意程式或勒索軟體，被資安業者視為本月應優先修補的漏洞之一。</p> <p>微軟在本月修補的97個漏洞中，只有7個被列為重大（Critical）漏洞，卻有接近一半的漏洞可用來執行遠端程式攻擊。當中有兩個CVSS風險評分高達9.8的安全漏洞，它們分別是<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21554" target="_blank">CVE-2023-21554</a>與<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28250" target="_blank">CVE-2023-28250</a>，皆與Windows Message Queuing服務有關，成功的攻擊將允許駭客執行任意程式。</p> <p>此外，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2013-3900" target="_blank">微軟也在今年4月重新發布了2013年釋出的CVE-2013-3900修補程式</a>，這是Windows的WinVerifyTrust簽章驗證漏洞，<a href="https://www.ithome.com.tw/news/156223" target="_blank">由於它在3CX被駭事件中又遭到駭客濫用</a>，使得微軟更新了該漏洞的建議，也新增所支援的平臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2013-3900.png" style="width: 475px;" /></p> </div></div></div>
2023/4/12 16:28作者陳曉莉https://www.ithome.com.tw/news/156373
勒索軟體攻擊導致肯德基、必勝客母公司用戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>肯德基、必勝客（Pizza Hut）及Taco Bell母公司百勝餐飲集團（Yum Brands）本周指出，今年初的勒索軟體攻擊中，駭客不但存取了公司資料，也竊走使用者個資。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/b85bfcfb-4ff7-419e-8dd2-95e8f41a5ad1.shtml" target="_blank">百勝上周對公司所在的緬因州政府檢察長辦公室通報中說明此事</a>。</p> <p>事情起於1月13日的勒索軟體攻擊。<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001041061/d9c666b5-7be0-40a5-8322-52644767bd76.pdf" target="_blank">根據當時該公司向美國證管會的通報</a>，勒索軟體存取了數個公司系統。為防災害擴大，安全人員緊急切斷特定系統連線。這起事件也導致百勝旗下近300家位於英國的餐廳暫停營業一天。當時業者表示，沒有跡象顯示客戶資料遭到竊取。</p> <p>不過在初步平息事件後，百勝集團偕同外部專家展開詳細調查，發現有為數不詳的用戶個人識別資訊（personally identifiable information，PII），包括姓名、駕照號碼及其他身分證件號碼等可能外洩。業者並在上周以電子郵件通知受影響的用戶。</p> <p>至於受影響用戶人數，百勝集團表示還在確認中。該公司報告並沒有客戶個資受影響，暗示可能是員工個資被竊走。</p> <p>百勝聲稱尚未發現和這起事件相關的身分冒用或詐欺事件，但提供受害用戶2年的身分盜竊事件監控服務，以及受害賠償。</p> <p><a href="https://www.yum.com/wps/portal/yumbrands/Yumbrands/company" target="_blank">百勝集團下有肯德基、必勝客、Taco Bell及Habit Burger Grill四個品牌</a>，全球在155國有5.5萬家分店，員工約有3.6萬人。</p> </div></div></div>
2023/4/12 12:19作者林妍溱https://www.ithome.com.tw/news/156370
公民實驗室與微軟揭露另一以色列駭客公司QuaDream
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://citizenlab.ca/2023/04/spyware-vendor-quadream-exploits-victims-customers/" target="_blank">加拿大公民實驗室（Citizen Lab）</a>及<a href="https://www.microsoft.com/en-us/security/blog/2023/04/11/dev-0196-quadreams-kingspawn-malware-used-to-target-civil-society-in-europe-north-america-the-middle-east-and-southeast-asia/" target="_blank">微軟</a>周二（4/11）揭露了低調的QuaDream，該公司既無官網，也不直接面對客戶，而是由位於賽普勒斯的InReach負責銷售，且是除了NSO Group之外，另一家浮上檯面的以色列駭客公司。</p> <p>根據微軟的調查，QuaDream銷售名為Reign的平臺予全球政府組織，該平臺供應了各種攻擊程式、惡意程式，以及用來向各種行動裝置汲取資料的基礎設施，其中之一即為iOS惡意程式KingsPawn。</p> <p>KingsPawn鎖定 iOS 14，可用來竊取裝置資訊、Wi-Fi資訊、行動網路資訊、搜尋及取得裝置檔案、於背景中使用裝置攝影機、取得裝置位置、監控手機通話、存取iOS鑰匙圈，甚至是產生iCloud的一次性密碼。</p> <p>此外，QuaDream非常擅於利用網域註冊服務及便宜的網路代管服務，並有不少網域部署了免費的Let’s Encrypt SSL憑證。公民實驗室的調查則顯示，QuaDream至少註冊了200個網域名稱，使用超過600個伺服器。</p> <p>而公民實驗室則發現，相較於NSO Group所開發的Forcedentry零點擊攻擊程式，QuaDream則打造了非常類似的Endofdays，且這兩個攻擊程式皆是鎖定iOS 14。</p> <p>儘管QuaDream極力保持低調，沒有官網、不在媒體上現身，也要求員工避免於社交網站上揭露雇主，不過，媒體依然發現QuaDream的客戶包括新加坡、沙烏地阿拉伯、匈牙利與墨西哥等，且<a href="https://about.fb.com/wp-content/uploads/2022/12/Threat-Report-on-the-Surveillance-for-Hire-Industry.pdf" target="_blank">Meta也在去年12月宣布已移除250個與QuaDream有關的帳號</a>。</p> <p>公民實驗室指出，QuaDream系統運作的區域涵蓋保加利亞、捷克、匈牙利、加納、以色列、墨西哥、羅馬尼亞、新加坡、阿拉伯聯合大公國及烏茲別克等，且QuaDream雖然宣稱只將惡意程式銷售給各國政府所為執法之用，但受害者卻涵蓋了北美、中亞、東南亞、歐洲與中東的記者、反對黨與NGO工作人員。</p> </div></div></div>
2023/4/12 12:24作者陳曉莉https://www.ithome.com.tw/news/156371
Google TV擴展版圖搶攻市場，推出800多個免費頻道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日<a href="https://blog.google/products/google-tv/google-tv-free-channels/">宣布</a>將在其Google TV平臺上推出超過800個免費直播頻道，包括熱門影視平臺<a href="https://tubitv.com/home">Tubi</a>、多媒體播放器<a href="https://www.plex.tv/">Plex</a>、匯集新聞平臺<a href="https://www.haystack.tv/">Haystack News</a>等，也包含美國知名新聞臺NBC、ABC、CBS和FOX，同時也提供超過10種不同語言的節目，如西班牙文、印度文、日文等。這一舉動使Google TV在免費直播市場的競爭力大幅增強，有望與Roku、Apple、Amazon等平臺分庭抗禮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(61).png" style="width: 600px;" /></p> <p>Google TV這次的更新能提供用戶更多元化的直播頻道選擇，如電影、電視劇、新聞直播、體育賽事，甚至是兒童節目，除了這些頻道外，用戶還可以直接在Google TV的應用商店內下載更多免費串流媒體應用。同時，Google TV也將持續尋求與更多類別的廠商合作，期待在平臺上提供更多的免費節目；Google TV的策略其實與近年來Roku發展雷同，Roku近年來在其免費Roku Channel上推出了大量免費節目以此吸引用戶。如今，Google TV也將以相似的方式，搶占免費直播電視市場的份額。</p> <p>值得一提的是，Google TV在介面上進行優化，用戶可以透過畫面的指示尋找感興趣的節目，並按照喜好自訂頻道列表。此外，Google TV支援智慧遙控器，讓用戶能夠在不同節目間快速切換。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(54).png" style="width: 600px;" /></p> <p>Google宣稱自2020年推出以來，Google TV已經有了顯著的成果，未來將在美國所有Google TV設備上提供這些直播，包括帶有Google TV的Chromecast和來自Sony、TCL、Hisense和Philips的內置Google TV的電視。同時，進軍Android TV的設備也指日可待。</p> <p>Tubi為免費的串流影視平臺，提供各種電影和電視節目供觀眾觀看，包括經典電影、獨立電影、國際電影、電視劇等；Plex是一個多功能的媒體平臺，能夠讓用戶在各種設備上儲存、管理自己的音樂、電影、電視節目和照片。同時，也能建立個人媒體庫，整合到一個介面方便用戶直接點選。Haystack News為匯集新聞的平臺，為用戶提供來自全球各地的最新新聞報導和資訊，同時根據個人的興趣和歷史紀錄利用演算法挑選出相應的新聞內容。以上三個平臺均以廣告模式作為主收入來源，雖能讓用戶免費使用，但是皆需要在節目中觀看廣告。</p> </div></div></div>
2023/4/12 12:45作者洪予揚https://www.ithome.com.tw/news/156367
挑戰ChatGPT，阿里巴巴推出自有AI聊天機器人通義千問
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在百度推出文心一言後，中國網路巨擘阿里巴巴旗下的阿里雲，也在近日公開其AI聊天機器人服務通義千問。</p> <p><a href="https://tongyi.aliyun.com/" target="_blank">阿里雲是在上周以邀請制開放使用者測試通義千問</a>，並在4月11日在開發商大會正式公開。</p> <p>這是繼百度、商湯科技等中國網路公司後，最新一家宣布AI助理服務的中國雲端業者，藉此與美國的OpenAI、微軟、Google AI聊天機器人比美。通義千問自稱是「專門響應人類指令的大模型，是效率助理，也是點子生成機」，它宣稱能為會議或文件做摘要、或是草擬文案、生成圖片、規畫行程、提供購物建議，甚至以用戶上傳的功能草圖生成應用程式。</p> <p>阿里雲智能集團執行長張勇在大會上指出，未來阿里巴巴所有產品都會導入通義千問的模型進行改造。目前阿里巴巴的企業即時通訊軟體釘釘（DingTalk）及智慧喇叭天貓精靈正在測試整合其模型的服務，例如可為線上會議或聊天訊息做重點摘要並生成待辨事項，再發到群組中。</p> <p><a href="http://www.dostor.com/p/83267.html" target="_blank">阿里雲智能也宣布</a>未來將開放通義千問基礎模型，讓企業打造自有大型語言模型及服務。其商業模式是，開發商或企業可購買阿里雲的運算及軟體平臺服務，以開發、訓練或部署其AI應用。</p> <p>中國當地競爭者方面，除了百度的文心一言外，<a href="https://www.sensetime.com/cn/news-detail/51166399?categoryId=72" target="_blank">商湯科技本周也宣布</a>了類似ChatGPT的大型語言模型「日日新」（SenseNova）及機器人服務「商量」（SenseChat）。<a href="https://www.ithome.com/0/685/326.htm" target="_blank">360公司則在近日公布</a>以其模型360GPT為基礎開發的AI助理服務「360智腦」。</p> </div></div></div>
2023/4/12 11:21作者林妍溱https://www.ithome.com.tw/news/156368
蘋果修補舊版iPhone、Mac電腦2個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周強化較新的產品軟體安全性後，本周蘋果再釋出作業系統更新，以修補舊款iPhone、iPad及Mac電腦上的2個零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/156312" target="_blank">上周五蘋果釋出</a>iOS及iPadOS 16.4.1，以及macOS Ventura 13.3.1更新，解決2個已經遭到濫用的重大漏洞。其中CVE-2023-28205位於WebKit，為一使用已釋放記憶體（use after free）漏洞。攻擊者可設立惡意網頁引誘用戶存取，使惡意程式碼在受用戶裝置上執行。CVE-2023-28206則是影響iOSurfaceAccelerator的越界寫入漏洞，可導致惡意應用程式以核心權限，在受害者裝置上執行任意程式碼。</p> <p>上周蘋果只修補較新裝置，包括iPhone 8以上、iPad Pro（所有機種）、iPad Air 3以上、iPad 5以上、iPad mini 5以上產品，以及執行macOS 13 Ventura的電腦。周一蘋果再釋出作業系統更新，修補較舊產品。其中<a href="https://support.apple.com/en-us/HT213723" target="_blank">iOS / iPadOS 15.7.5</a>可解決舊版裝置的問題，包括iPhone 6S、7、SE及iPad Air 2、iPad mini 4與iPod touch 7。</p> <p>MacOS更新則包<a href="https://support.apple.com/en-us/HT213725" target="_blank">含macOS Big Sur 11.7.6</a>與<a href="https://support.apple.com/en-us/HT213724" target="_blank">Monterey 12.6.5</a>。</p> <p>這次蘋果只隔了一個周末就釋出兩批軟體更新，比上一個零時差漏洞修補快了很多。蘋果2月間也修補WebKit的任意程式碼執行漏洞CVE-2023-23529，當時蘋果只修補iPhone 8、iPad 5及macOS Ventura系統。直到一個月後，即3月底蘋果才解決<a href="https://www.ithome.com.tw/news/156186" target="_blank">舊版iPhone/iPad及Mac電腦的同一款漏洞</a>。</p> </div></div></div>
2023/4/12 11:36作者林妍溱https://www.ithome.com.tw/news/156369
Wasmer發表WCGI讓開發者將CGI程式編譯成WebAssembly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源WebAssembly Runtime同名開發商Wasmer，發表了可以結合WebAssembly以及CGI（Common Gateway Interface）程式的技術<a href="https://wasmer.io/posts/announcing-wcgi">WCGI</a>。藉由使用WCGI，開發者可以將CGI程式編譯成WebAssembly，使CGI程式更適合在無伺服器環境運作，並且獲得WebAssembly帶來的各種好處。</p> <p>CGI是一種網頁伺服器上用於執行應用程式的技術，當用戶透過網頁瀏覽器存取網站，並進行互動時，CGI程式可以將用戶的請求傳送給後端應用程式，並且將結果回傳給用戶瀏覽器。CGI程式可以用多種語言編寫，諸如PHP、Perl、Python和Ruby，這些程式通常用於處理表單提交、生成動態網頁內容等。</p> <p>在Wasmer嘗試發展無伺服器解決方案的過程，遭遇到要重新創造輪子，抑或是以現有技術為基礎開發的抉擇，經過評估後，他們認為，CGI設計理念是對每個HTTP請求執行一個獨立的程序，而這種機制剛好和無伺服器架構的目標相吻合，在無伺服器架構中，將更容易自動擴展或是調度資源。</p> <p>因此Wasmer開發了WCGI，使開發者可以將原有的CGI程式編譯成WebAssembly，而這樣的方式有許多的優點，首先開發者可以重用現有的CGI程式，將既有AssemblyScript、C、C++、Go、PHP、Python等程式，編譯為極具可移植性的WASI（WebAssembly System Interface）程式，在各種環境中運作。而且相較起HTTP堆疊和Docker容器，利用WCGI編譯成僅包含業務邏輯或是靜態資產的超小型套件，更為輕便。</p> <p>由於WebAssembly程式碼僅在沙盒中運作，因此WebAssembly程式執行上便具有高度安全性，而且WebAssembly是一種低階語言，因此也能夠大幅提高CGI程式的執行效能。透過將CGI應用程式編譯成WebAssembly，使其更能結合現代網頁技術，諸如WebWorkers、Service Workers，供開發者靈活地進行應用程式開發。</p> </div></div></div>
2023/4/12 09:27作者李建興https://www.ithome.com.tw/news/156366
【資安日報】4月11日，惡意NPM套件被用於網釣攻擊，並癱瘓套件庫系統的運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意NPM套件的攻擊行動不時傳出，但之前大部分的目的是向開發人員散布惡意程式，如今駭客採用新的手法，他們透過自動化的方式，上傳內含惡意連結的大量套件，將開發人員導向惡意網站，再進行第二階段攻擊。研究人員指出，駭客大量上傳套件的情況，使得短短一個月NPM代管的套件就爆增近8成，進而影響此套件庫的運作。</p> <p>在NPM套件的攻擊行動之外，企業對於現行使用者的身分管理，也值得留意，很多企業對於離職員工的帳號清除並未落實。最近有調查發現，竟有接近半數的離職員工能夠存取公司內部環境，或是所訂閱的服務，甚至能猜到老闆所使用帳密資料。這樣的情況也突顯出，公司對於離職員工的帳號註銷、管理，亟需加強。</p> <p>繼上週末蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補兩個零時差漏洞，10日蘋果公司對於執行舊版作業系統的行動裝置與電腦，也發布相關更新，用戶應儘速套用修補軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://medium.com/checkmarx-security/who-broke-npm-malicious-packages-flood-leading-to-denial-of-service-77ac707ddbf1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客上傳大量含有惡意連結的套件，癱瘓NPM套件庫的運作</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_VvF8pg-iegEkJ5qsvgQHVg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_VvF8pg-iegEkJ5qsvgQHVg.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露濫用NPM套件庫的攻擊行動，駭客上傳了大量的假套件，目的是將開發人員導向惡意網站，研究人員指出，因為這種套件的大量出現，使得原本保管約80萬個套件的NPM套件庫，在3月份超過140萬個，這起攻擊甚至造成阻斷服務（DoS）的現象，導致NPM套件庫不穩定，甚至是無法存取的情況。</p> <p>這些假套件內容多半只有1個說明檔案，其檔案的內容會顯示於套件網頁，含有專屬短網址，其連結導向提及此套件的惡意網站，攻擊者利用這種手法來散布惡意程式，或是進行加密貨幣詐騙、全球速賣通（AliExpress）回饋詐騙等。</p> <p><a href="https://www.passwordmanager.com/47-of-workers-admit-to-hacking-accounts-with-former-employers-passwords/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">許多企業與組織未落實員工離職後的帳號清理作業，近半數民眾反映他們曾使用這些帳號來存取系統</span></strong></a></p> <p>密碼管理器評測網站PasswordManager.com針對1千名美國民眾進行調查，結果發現，有47%離職後曾成功存取前公司的應用系統，但他們的密碼從何而來？有58%人士表示他們的密碼與離職前完全相同，而能繼續使用，有44%人士則是指出，他們用來存取公司系統的密碼，是在職的同事提供。此外，亦有6%的人宣稱，他們能根據對雇主的了解，或是知道IT人員設置密碼方式，而能猜出前雇主的密碼。</p> <p>值得留意的是，在這些能夠存取前公司資源的民眾當中，有三分之一表示他們已存取超過2年，且有超過四分之一存取公司購買的付費工具，但僅有七分之一被公司抓包。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客MuddyWater發動資料破壞攻擊</span></strong></a></p> <p>微軟公布近期伊朗駭客組織MuddyWater的攻擊行動，該組織與名為DEV-1084的駭客集團聯手，先由MuddyWater利用Log4Shell等應用系統漏洞入侵目標網路環境，並於受害電腦部署Web Shell、PowerShell指令碼打造的後門程式、遠端存取工具（如RPort、Ligolo、Ehorus），以及建置本機管理員帳號、竊取帳密資料，再交由DEV-1084進行後續的勒索及資料破壞攻擊。</p> <p>值得留意的是，這些駭客不只針對組織內部網路環境進行破壞，還挾持了Azure AD Connector管理者帳號，並透過Azure Privileged Identity Management特權身分管理服務得到最高管理員權限，對受害組織的Azure雲端環境進行破壞。</p> <p><a href="https://tehtris.com/en/blog/linux-focus-on-a-cryptomining-attack-dubbed-color1337/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挖礦軟體攻擊行動color1337鎖定Linux主機，並根據運算資源多寡，用於挖掘門羅幣，或是被用於散播惡意程式</span></strong></a></p> <p>資安業者Tehtris揭露鎖定Linux主機的挖礦攻擊行動color1337，一旦目標主機符合駭客的要求，駭客就會部署名為diicot的挖礦軟體，透過這些電腦挖取門羅幣。</p> <p>研究人員推測，駭客疑似先透過暴力破解SSH帳密的方式入侵受害電腦，然後部署名為uhQCCSpB的Shell指令碼，剷除目標主機上的其他挖礦軟體，並檢測處理器的核心數量，若超過4個核心，就會植入diicot；而對於不符合系統需求的電腦，駭客則將其用於散布惡意程式，進行橫向感染。研究人員認為，攻擊者很可能是使用羅馬尼亞語的駭客。</p> <p><a href="https://www.bleepingcomputer.com/news/technology/flipper-zero-banned-by-amazon-for-being-a-card-skimming-device-/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Amazon禁售滲透測試設備Flipper Zero，原因是此產品可用於金融卡側錄攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Amazon-Flipper_Zero_ban_notification.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Amazon-Flipper_Zero_ban_notification.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，Amazon近日全面下架滲透測試裝置Flipper Zero，原因是該設備能被用於側錄他人的信用卡資料。Amazon要求賣家檢查自己的商城，於48小時內移除與Flipper Zero有關的商品，否則商城有可能會被停權。</p> <p>對此，製造商Flipper Devices表示，此裝置並未具備側錄金融卡資料的功能，他們已請求Amazon解除封鎖。而這已非首度禁售Flipper Zero的情況──巴西政府為防止該設備被用於犯罪，於3月開始封鎖該產品進口。</p> <p><a href="https://www.ithome.com.tw/news/156344"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">特斯拉車主提出訴訟，指控該公司允許員工濫用車輛鏡頭錄下的影片</span></strong></a></p> <p>我們之前報導，路透社取得特斯拉前員工的說法，指出該公司的員工約從2019年至2022年，私自將該廠牌車輛攝影機擷取的影響拿來取樂，有侵犯客戶隱私疑慮，如今有車主一狀告上法院。</p> <p>根據<a href="https://www.reuters.com/business/autos-transportation/tesla-hit-with-class-action-lawsuit-over-alleged-privacy-intrusion-2023-04-08/">路透社</a>、<a href="https://www.rfi.fr/en/business-and-tech/20230410-tesla-sued-over-workers-alleged-access-to-car-video-imagery">法新社</a>等媒體報導，居住於美國舊金山的車主Henry Yeh在4月7日向加州北部法院提出集體訴訟，他的委任律師發出聲明，特斯拉攝影機可能被用來危害家人隱私已令他不滿，且該公司員工互相分享取自其車上攝影機的影像，用作「低級且殘忍的娛樂趣味」，以及「羞辱被暗中錄影的人們」，讓他覺得遭到侵犯。對此，Henry Yeh要求法院命令特斯拉停止這類不當行為，並進行損害賠償。特斯拉並未針對這起訴訟進行回應。</p> <p><a href="https://www.theregister.com/2023/04/07/msi_cyberattack_bios/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微星證實遭到網路攻擊，呼籲用戶要從該公司網站取得韌體檔案</span></strong></a></p> <p>我們上週報導微星傳出遭到勒索軟體Money Message攻擊，駭客聲稱竊得原始碼、BIOS韌體檔案、金鑰等內部檔案，微星於4月7日證實部分資訊系統遭到網路攻擊，並<a href="https://tw.msi.com/news/detail/MSI-Statement141689">發出公告呼籲用戶要從他們的網站取得電腦韌體</a>，但並未透露此起事故的受害範圍，也沒有說明是否有客戶資料遭竊。對此，新聞網站The Register進一步向微星確認，但該公司的回覆讓大家錯愕，因為他們表示：「we'll let you know if we hear anything back.」。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-recently-disclosed-zero-days-on-older-iphones-and-ipads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果為舊版行動裝置、電腦作業系統修補零時差漏洞CVE-2023-28206、CVE-2023-28205</span></strong></a></p> <p>繼4月7日蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1，修補零時差漏洞CVE-2023-28205及CVE-2023-28206，該公司也於10日擴大修補範圍，推出iOS 15.7.5、iPadOS 15.7.5、macOS Monterey 12.6.5、macOS Big Sur 11.7.6，提供iPhone 6s、7、第1代iPhone SE、iPad Air 2、iPad mini 4、第7代iPod Touch用戶，以及執行macOS Monterey、Big Sur的電腦更新。</p> <p><a href="https://wsa.sophos.com/docs/ws1000/ws1000/concepts/ReleaseNotes_4.3.10.4.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sophos修補網頁安全閘道的任意程式碼執行漏洞</span></strong></a></p> <p>資安業者Sophos針對旗下的上網安全閘道系統 Web Appliance，發布4.3.10.4版更新，總共修補3個漏洞，其中的CVE-2023-1671為重大等級，此為預先驗證命令注入漏洞，攻擊者在無須通過身分驗證的情況下就能發動攻擊，CVSS風險評分為9.8。</p> <p>除了發布修補程式，該公司也指出此網頁安全閘道系統將於7月20日終止支援，呼籲用戶應改用防火牆產品的相關功能因應。</p> <p><a href="https://blog.talosintelligence.com/vuln-spotlight-justsystems-ichitaro/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本文書處理軟體Ichitaro出現重大漏洞，可被用於執行任意程式碼</span></strong></a></p> <p>思科威脅情報團隊Talos揭露日本文書處理軟體一太郎（Ichitaro）有4個漏洞，分別是：CVE-2022-43664、CVE-2023-22660、CVE-2023-22291、CVE-2022-45115，這些漏洞都可能造成記憶體錯誤，進而讓攻擊者執行任意程式碼，CVSS風險評分為7.0至7.8分，這些漏洞影響的產品版本是一太郎2022版，開發商JustSystems獲報後，於4月5日發布修補程式。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156316"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防範BGP挾持，荷蘭政府計畫全面導入RPKI標準，目前公部門的網站與郵件伺服器已有7成導入</span></strong></a></p> <p>4月4日荷蘭政府發布新的資安強化措施公告，計畫在2024年底之前，針對他們的IT系統全面導入資源公鑰基礎設施（Resource Public Key Infrastructure，RPKI），其目的是為了防範邊界閘道協定（Border Gateway Protocol，BGP）遭到挾持。</p> <p>在此之前，荷蘭政府在2019年已規定新採購案必須包含RPKI，2023年的最新政策則是涵蓋既有的IT系統與服務。目前荷蘭政府所有的網站中，採用RPKI的比例為77.9%，電子郵件伺服器採用RPKI的比例也達到75.1%。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/kfc-pizza-hut-owner-discloses-data-breach-after-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國肯德基、必勝客1月遭勒索軟體攻擊，約300家門市停業1天</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/sd-worx-shuts-down-uk-payroll-hr-services-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">比利時人資系統業者SD Worx遭遇網路攻擊，英國及愛爾蘭服務的IT系統被迫關閉</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cisco-patches-code-and-command-execution-vulnerabilities-in-several-products/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科針對旗下網路安全、身分驗證安全產品修補漏洞</span></span></strong></a></p> <p><a href="https://www.businesswire.com/news/home/20230406005089/en/Groundbreaking-Research-from-Marsh-McLennan-Reveals-Direct-Link-between-Key-Cybersecurity-Controls-and-Reduced-Cyber-Risk"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全面採用雙因素驗證、快速套用修補程式是防範網路攻擊的有效手段</span></span></strong></a></p> <p><a href="https://securityintelligence.com/articles/new-phishing-hides-behind-trusted-services/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客濫用合法服務進行網路釣魚攻擊的情況日益頻繁</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/03/27/ghostsec-targeting-satellite-receivers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">衛星接收器遭到駭客組織GhostSec下手</span></span></strong></a></p> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230407"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告鎖定企業的色情勒索攻擊行動</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156319">【4月10日】特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156300">【4月7日】英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156264">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</a></strong></p> </div></div></div>
2023/4/11 17:48作者周峻佑https://www.ithome.com.tw/news/156354
資安公司監測160萬人，竟有3.1%員工上傳機敏資料到ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT爆紅，雖然吸引了許多企業開始嘗試導入工作職場，但也開始傳出企業機密資料外洩災情，一家資料安全服務商Cyberhaven<a href="https://www.cyberhaven.com/blog/4-2-of-workers-have-pasted-company-data-into-chatgpt/">日前統計</a><a href="https://www.cyberhaven.com/blog/4-2-of-workers-have-pasted-company-data-into-chatgpt/">旗下企業用戶共160萬名員工</a>的使用行為，已有8.2%員工在職場使用ChatGPT，更有3.1%將不能外流的企業機敏資料，上傳到ChatGPT服務上，外洩的資料類型以企業機密文件最多，其次是顧客資料。</p> <p>Cyberhaven是一家提供企業級資料偵測與應變（DDR，Data Detection and Response ）的新創，產品可用來偵測企業內部各種資料流進流出的情況，能對企業禁止外流的資料類型發布警告，因此可以追蹤員工使用ChatGPT的資料上傳行為。</p> <p>這家公司統計了旗下不同產業的企業用戶，合計超過160萬名員工在2月26日到3月4日的資料上網情形，高達8.2%的員工從ChatGPT發布之後，在辦公室最少用過一次，其中更有3.1％的員工，曾經將企業機敏資料輸入到ChatGPT上。</p> <p>雖然，越來越多企業開始禁止或限制員工使用ChatGPT，例如Amazon就發信要求員工不能上傳機敏資料，或像<a href="https://www.ithome.com.tw/news/156291">三星在開放ChatGPT後發生半導體機密外流事件</a>，也緊急限制使用。</p> <p>Cyberhaven也觀察越來越多企業直接在公司網路禁止ChatGPT服務，但是，機敏資料外洩災情仍持續上升，根據Cyberhaven平臺後續追蹤，在3月14日這一天，就偵測到每10萬名員工，發生了5,267起員工企圖將企業資料貼上ChatGPT的資料外流事件（包括遭攔截而沒有成功送出的次數），換句話說，每20名員工就會發生一次企業資料外流事件，其中有些是不可外流的機密資料。</p> <p>若以外洩的資料類型來看，在Cyberhaven進行統計的那一周內，平均每10萬名員工，會出現199次機密文件外流警告通報（約500人一次），名列通報類型的第一名，排名次高的通報事件是顧客資料外流（173起）通報，第三則是程式原始碼（159起）、法規定義的個資外流通報（102起）以及專案資料外流（57起）。這6種等於是員工最常外流到ChatGPT的企業機敏資料類型。</p> <p> </p> </div></div></div>
2023/4/11 18:24作者王宏仁https://www.ithome.com.tw/news/156293
自然輸入法將來也要結合ChatGPT技術，優先推出多國即時翻譯和中文語句結構優化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「自然輸入法也要結合ChatGPT技術。」網際智慧總經理晁旭光近日在一場產品發布會上這麼表示。這也是這家本土老字號中文輸入法廠商未來產品策略重要新布局，除了自行發展中文輸入法的AI語意核心引擎，更要加入當紅ChatGPT的生成式AI技術，來提高文字輸入便利性和改善使用體驗。</p> <p>早在今年3月ChatGPT API推出前，晁旭光就看好ChatGPT未來在輸入法的應用潛力，開始評估在自家產品中整合ChatGPT技術的可行性，他表示，AI生成始於文字輸出，文字輸出來自輸入法，「所以對於網際智慧而言，我們未來會先從主力客群使用需求切入，從便利性、使用體驗角度，來適當加入ChatGPT的應用。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230328_044925403.jpg" style="width: 600px; height: 315px;" /></p> <blockquote><p>自然輸入法未來將優先使用ChatGPT技術，運用在文字即時翻譯和語句結構優化上，來達到輸入即可完成多國語言翻譯，以及自動潤飾語句的效果。初步計畫將透過串接Azure AI方式來使用ChatGPT模型（如GPT-3.5版），而不是直接使用OpenAI官方的服務。</p> </blockquote> <p>網際智慧根據使用者對於輸入法功能的「願望清單」來決定優先將開發哪類ChatGPT應用，他們目前規畫將使用ChatGPT的AI內容生成技術，運用在文字輸出後的即時翻譯和語句結構優化上，來達到輸入即可完成多國語言翻譯，以及自動潤飾語句的效果。初步計畫將透過串接Azure AI方式來使用ChatGPT模型（如GPT-3.5版），而不是直接使用OpenAI官方的服務。</p> <p>不過晁旭光強調，在輸入法中提供ChatGPT的使用方式，目前內部還在討論，他解釋，雖然是由輸入文字的使用者直接向ChatGPT發送翻譯或潤飾語句的指令，但命令產生必須考慮使用體驗與模式，不只對使用者要是最方便，也要能和Office等其他類似結合ChatGPT的產品能夠互補。比如輸出一段文字後，只需加入斜線，並在斜線後加上一個代號，就能很容易進入ChatGPT的命令模式，而且在這個命令模式下，使用者也不一定要自己下達所有指令，而是可以調用之前用過的命令。傳達指令後，再由生成式AI模型將處理結果透過網路回傳到原有文字段落上來呈現。</p> <h3><strong>輸入法結合ChatGPT技術，除了要考慮商業可行性更得面對隱私和資料外洩風險的考驗</strong></h3> <p>儘管使用ChatGPT能帶來更深化的應用，但決定要不要在輸入法產品中加入這個功能，晁旭光坦言，必須考慮到整合付費第三方ChatGPT後，能否帶來持續獲利的商業模式。不僅如此，還有更大考驗是，使用ChatGPT可能帶來隱私風險的問題，甚至有企業最近就因為內部員工疑似使用ChatGPT而導致內部機密資料外洩，例如三星等，也成為外界關注的重要議題。</p> <p>尤其，自然輸入法在臺灣是許多企業或政府部門常用的中文注音輸入法，約有50萬個用戶，因此，對於未來操作上將如何運作，例如拆成不同版本等，再提供不同輸入法使用者來運用，他表示，還要審慎評估。</p> <p>除了將結合ChatGPT技術之外，最快在下一版自然輸入法中將開始提供使用者更多AI語意分析和預測功能，包括將加入長句聯想、英文聯想和智慧中英切換功能，甚至不只文字，未來也能支援語音輸入，還能在轉為文字同時自動標示標點符號，幫助使用者省下重標符號的時間。</p> <p>不光是主力核心產品，隨著生成式AI趨勢發展，網際智慧今年產品策略也開始轉變，除了持續深化自己的語意分析核心技術之外，將轉而發展結合LLM大型語言模型與本地端AI模型，推出能符合企業所需的更多文字、語音應用產品及服務，。</p> <p>像是新發表名為「快文寶」知識管理工具，除了具備剪貼簿功能，提供更方便知識內容儲存、發送和管理，也引進了OpenAI官方ChatGPT功能，使用者可以針對不同分類主題知識，建立不同主題提示，並將文案交給ChatGPT生成或優化，例如翻譯或改寫，不過還沒推出付費版之前，用戶必須串接自己ChatGPT帳戶的 API，才能使用這項功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230328_033252262.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>除了自然輸入法以外，網際智慧早先一步已經把ChatGPT技術運用到新推出的知識管理工具「快文寶」上，可以根據不同主題透過預先設定好的提示，只要點擊「魔術棒」圖示，就能一鍵生成所需的文案內容。不過還沒推出付費版之前，用戶必須串接自己ChatGPT帳戶的 API，才能使用這項功能。</p> </blockquote> <p>晁旭光表示，目前正在開發合規檢核功能，針對文案內容對應到哪些法令，未來能夠結合知識管理、內容生成與AI分析檢核相關應用，再提供給如化妝品業或健康食品業等不同行業來使用。他表示，不同產業別對於合規需求都不一樣，比較難以單靠一個LLM大型語言模型解決，因此就可以搭配他們的本地AI小模型做運用。</p> <p>在這次產品發布會上，還有推出另一個AI對話配音工具「文字MP3」，同樣整合了微軟OpenAI服務的TTS（語音合成）引擎，透過AI聲音生成技術，讓使用者可以更容易替自己的文字編輯進行配音，最多可以支援美中英日等近100種語音，超過400種高擬真的人聲。</p> <p>對軟體廠商未來要如何運用生成式AI技術來滿足企業所需，他也以大小AI模型說明，未來將會是一個多模態合作服務的生態，在這個生態發展下，除了OpenAI這個大AI模型之外，還會有其他行業別AI，也就是中AI，如生技業就會需要發展自己專屬領域的AI模型，不過，即使是同產業、不同公司之間需要AI模型也不太一樣，需要各自發展出一套較小AI模型提供內部團隊使用，甚至還有滿足個人需求的微AI，例如在輸入法中搭配小AI模型，學習使用者的偏好習慣，就是一種微AI應用。</p> <p>「我們產品策略，就是在大模型之下發展其他服務，來提供多模型及數據整合服務。」晁旭光表示，對網際智慧而言，過去熟悉的AI技術是自然語言處理技術、語音技術，現在發展就是結合過去的努力，再往下一個階段邁進，透過生成式AI幫助使用者或企業能更有效率產生內容，「從智慧寫作到內容合規檢核，再到知識加值，將是我們持續發展的核心」他說。</p> </div></div></div>
2023/4/11 17:49作者余至浩https://www.ithome.com.tw/news/156331
北市酷課雲開始實驗ChatGPT自動出題，最快9月先推出自製AI助教
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-eb2ff2b8-7fff-3d08-b96a-6aa3c652bd87">最近在智慧城市展，臺北市線上教育平臺「酷課雲」首度展示了測試中ChatGPT自動出題系統，以及9月即將上線的AI助教「艾特老師」，可以輔助老師追蹤幫助老師追蹤學生學習成效，提供個人化的補救教學建議。</p> <p dir="ltr">ChatGPT爆紅引起教育界高度關注，不只全球最大教學平臺可汗學院採用GPT-4打造AI老師，臺灣也有教育組織和政府機構開始擁抱ChatGPT，開發AI口說導師、AI教學助理等工具。最近在智慧城市展中，臺北市線上教育平臺「酷課雲」也首度展示正在測試的多項AI新功能，包括了ChatGPT自動出題系統和可以協助診斷學生學習狀況的AI助教。</p> <p dir="ltr">在這套ChatGPT自動出題系統中，教師可依據需求來指定出題範圍和形式，例如年級、科目、單元和題型，設定完成後臺系統會自動生成相關的提示（prompt），輸入到ChatGPT上來生成合適的題目、選項和答案，再顯示到前臺提供給老師參考。</p> <p dir="ltr">臺北市教育局資訊教育科科長陳秉熙也現場展示AI出題過程，選擇六年級數學的速率單元，指定選擇題題型，後臺就會產生相應的prompt文字，例如「請假設你是一位臺灣臺北市六年級數學老師來出一題選擇題」，接著還會指定速率單元，自動要求以50字內字數寫出四個選項的選擇題，提示還要求ChatGPT一併提供題目、選項和答案格式。展示結果，ChatGPT也實際列出了符合原先指定條件的考題和正確答案。</p> <p dir="ltr"> </p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/54284.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p dir="ltr">酷課雲展示的ChatGPT自動出題系統目前仍在內部測試階段，教師可以根據自身需求選擇出題設定，快速生成題目。攝影/余至浩</p> </blockquote> <p dir="ltr">陳秉熙表示，透過ChatGPT打造自動出題系統，希望未來能減輕教師的工作量，增加和學生的互動時間，更關注學生的學習情況。不過，這套系統目前仍在內部測試，短期不會開放。反倒是另一個由他們所開發的AI助教「艾特老師」最快今年九月就會先開放給北市高中職以下學校使用，年底會開放全臺學校使用。</p> <p dir="ltr">無法即時觀察學生學習狀況一直是線上教學的痛點，陳秉熙指出，將AI引入酷課雲，正是為了補足後續輔導和追蹤功能，幫助老師追蹤學生學習成效，還能依據程度提供相對應的課後練習，減少老師額外搜索題庫、整理題目和製成考卷的時間。艾特老師可以記錄學生每次答題紀錄和花費時間，依據答題紀錄檢測學習程度，即時給予所需的自學影片作為課後加強內容。</p> <p dir="ltr">因應ChatGPT對教育帶來的衝擊，陳秉熙表示，未來臺北市教育局會制定校內AI工具的使用指引，參考臺大近期發布的因應措施，提供教師使用Chat GPT輔助教學的建議。文⊙余至浩、李昀璇</p> </div></div></div>
2023/4/11 15:54作者余至浩https://www.ithome.com.tw/news/156348
Android也加入自動封存功能，釋出不常用App的儲存空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在<a href="https://android-developers.googleblog.com/2023/04/reduce-uninstalls-for-your-app-with-auto-archive.html">Android加入自動封存（Auto-Archive）功能</a>，當使用者想安裝新的應用程式，但裝置可用空間不足時，系統將會自動卸除應用程式，以確保有足夠的空間可供使用。自動封存僅會卸除應用程式的一部分，釋出約60％的應用程式儲存空間，官方表示，這將能減少用戶從裝置直接移除整個應用程式和使用者資料的機會。</p> <p>自動封存讓Android用戶，在不需要卸載整個應用程式的情況下，就能夠釋出裝置上的空間。只要用戶選擇啟用自動封存功能，不常用的應用程式的一部分便可從裝置中被移除，進而節省空間，不過，系統會留下應用程式圖標和用戶的應用程式使用資料，當用戶需要再次使用該應用程式時，只要該應用程式仍在Google Play上架，就能夠點擊圖標重新下載應用程式。</p> <p>對開發者來說，要讓應用程式能夠適用自動封存功能，需要將應用程式以App Bundle格式發布，而支援自動封存應用程式的好處，官方提到，系統將不太會在卸載建議中，推薦開發者的應用程式。也就是說，能夠被自動封存的應用程式，也就能減少被直接卸載的可能性。</p> <p>當使用者嘗試安裝新的應用程式，但是裝置已經沒有足夠儲存空間時，系統便會跳出視窗提醒用戶啟用自動封存功能，一旦用戶同意啟用，則使用者裝置便會開始執行自動封存程序，釋放空間直到足以安裝新應用程式。</p> <p>不過類似的功能，在Apple的iOS 11上早已提供，只要用戶在設定的App Store項目中，啟用卸載未使用的App功能，系統便會自動移除未使用的App，同樣的，iOS也會保留必要檔案，當用戶重新安裝App時，系統便能夠快速還原使用者的資料。</p> </div></div></div>
2023/4/11 15:57作者李建興https://www.ithome.com.tw/news/156347
GovTech月報第17期：紐西蘭通過數位身分服務信任框架新法案；法國擬在巴黎奧運用AI監控維護公共安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0309~0407)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">紐西蘭</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> </strong></p> <p><span style="font-size:22px;"><strong>紐西蘭通過數位身分服務信任框架法案，明年上路</strong></span></p> <p>紐西蘭眾議院近期三讀通過數位身分服務信任框架法案（Digital Identity Services Trust Framework Bill）,將在明年1月生效，該法案為數位身分服務商建立自願性的認證，為紐西蘭數位策略的一環。</p> <p>該法案旨在一個國家級的數位身分信任制度，由數位身分服務商自願選擇參加，經由遵守一套信任框架規則來獲得認證，使用其服務的民眾或企業不需要通過認證。該法案賦予成立2個行政機構，信任委員會與信任框架管理局，委員會負責信任框架的指導及監督，管理局則負責評估認證及調查等工作。</p> <p>紐西蘭政府表示，現今的數位身分環境缺乏一套一致性的標準，新法案提供一個管理框架，以建構安全的數位身分服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">法國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>法國準備於巴黎奧運期間採用AI影像監控技術</strong></span></p> <p>法國將在2024年舉辦巴黎奧運，為奧運籌辦作好準備，法國近期通過奧運安全法案的新條文，將在奧運期間，允許街頭攝影機或無人機空中拍攝，蒐集街道或公共區域影像，以AI進行影像分析。</p> <p>法國政府此舉為加強奧運期間的公眾安全，以防範恐怖攻擊或大眾危安事件，當AI分析影像認定不尋常集會活動或是無主的行李，就會通知附近巡邏的警方處理。法國政府認為，這將辨識危險，以確保數百萬民眾安全。</p> <p>這項舉措引發隱私、人權相關團體反彈，多個團體發表聯合聲明，認為以大型活動安全為由，合法化使用AI演算法進行影像監控，違反國際人權對隱私、集會自由、不被歧視等權利的保障，憂心影像監控技術遭濫用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技建警</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>高雄市展示街頭暴力預警及AI情資平臺成果，破獲案件數達7成以上</strong></span></p> <p>高雄市近期在智慧城市展西，展示3D街頭暴力預警及AI情資整合偵蒐平臺的最新成果，高雄市警局利用AIoT技術，偵測八大行業營業處所是否發生街頭暴力事件，當可能發生街頭暴力事件，立即調度警力到場處理。</p> <p>為防範街頭暴力事件，高雄市政府去年即以八大營業場所作為實驗場域，利用物聯網設備及AI影像辨識，偵測現場聚集達3人、持續停留30秒以上、音量達80分貝以上，即透過Line向警方發出告警，由勤務中心人員從遠端監看現場影像，判斷是否為治安事件，如判斷為暴力鬥毆事件，調度附近警力至現場處理。</p> <p>該平臺採用Web Service API介接，方便其他系統介接整合資料，通過大量數據蒐集、運算，包括以主題式地圖呈現犯罪個案分析，對特定嫌犯或犯罪集團犯罪手法的犯罪模式分析、犯罪趨勢分析，以用於犯罪偵防。高雄市警局在展場指出，案件破獲數達70%以上，有效協助外勤偵查工作，運用科技建警，提高警力運用。高雄市計畫強化以資訊科技防範街頭暴力事件，以數據治理決策，未來全面導入轄區內的八大營業場所等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">日本</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><span style="font-size:22px;"><strong>日本郵政完成首次第4級無人機投遞測試</strong></span></p> <p>日本距離無人機投遞服務更進一步!日本郵政近期在東京西部的奧多摩鎮進行無人機飛行包裏投遞測試，為日本首次進行第4級無人機，在有人居住地區完成投遞測試，希望以此加速無人機物流服務。</p> <p>日本將無人機飛行分為4級，第1級是在目視範圍內飛行，用於空拍、橋樑巡檢，第2級為在目視範圍內，無人機自主飛行，用於農業噴灑，第3級為目視範圍外，在無人居住的山區、離島飛行，第4級則是在有人居住地區目視外飛行，可應用在城市或城鎮地區物流。</p> <p>最新的測試屬於第4級無人機飛行，無人機從奧多摩地區的郵局屋頂起飛，飛越住宅及道路，飛行距離約為4.5公里，花費約10分鐘時間，相較於地面運送約要30分鐘，透過無人機空中運送大幅縮短時間。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">日本</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font> </strong></p> <p><span style="font-size:22px;"><strong>日本政府擬將自衛隊資料集中至雲平臺，改善資料共享效率</strong></span></p> <p>日本政府有意利用雲端來整合分散的自衛隊資料，將三個分支單位的資訊集中到單一的雲，以提高不同彼此工作的效率，並開放給日本防衛省、自衛隊官員存取使用。</p> <p>日本自衛隊原本在陸上、海上、空中自衛隊，各自管理自己的資料，導致中央指揮系統取得各單位資料的困難，日本政府這項措施是為了改善國內部隊的聯合行動資料共享。這個集中重要資料的雲平臺，除了提高資料共享效率，也希望能降低系統管理成本。</p> <p>基於安全考量，這個雲端平臺將會採用封閉網路，隔離於外部網路，包括網際網路。而集中到雲平臺也能降低原本分散的資料受到攻擊的風險。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><span style="font-size:22px;"><strong>臺南市擴大無人機搜救應用，涵蓋救災、救火、搜溺、山區尋人工作</strong></span></p> <p>臺南市消防局在2020年成立無人機隊，近期消防局展示多項無人機載具應用成果，將無人機應用在救災、救火、救溺、山區走失尋人等緊急救援工作上。</p> <p>以火警為例，消防局指出，透過無人機從空中拍攝災害現場景像，讓搜尋人員、指揮中心根據現場影像，擬定救援資源及戰術，空拍機結合熱顯像設備，可顯示建築周圍、火勢走向、受困民眾位置。透過影像雲端平臺，將無人機蒐集的即時影像，讓指揮中心、各級指揮官手機、或消防局電腦獲取即時影像。</p> <p>在水上搜溺方面，除了通過無人機從空中勘察搜救水域，還可吊掛投放救生圈或救生衣給溺水者，市府也引進具有動力的遙控救生圈，從遠端遙控救生圈至溺水者，增加救援成功率。市府也和無人機業者合作，開發水下無人機，以蒐集水下影像、水流資訊。</p> <p>遙控動力救生圈：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fa4b813e-3687-45a4-be96-1f25593878af-1.jpg" style="width: 600px; height: 450px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">量子</span></font> </strong></p> <p><span style="font-size:22px;"><strong>英國政府擬投入35億英鎊推動AI、量子運算</strong></span></p> <p>英國政府近期提出新的財政計畫，未來準備投入35億英鎊，推進英國的科技、科學發展，以確保英國在相關領域的超級強權（Superpower）地位。</p> <p>英國財政大臣近期提出預算計畫，英國政府將投入約10億英鎊，用於下一代超級運算及AI人工智慧研究，為英國成為全球科技、科學超級強權國家奠定基礎。此外，英國也將以約25億英鎊，支持未來10年英國量子戰略發展，期望為英國帶動新的投資、快速成長的業務、高品質職務。</p> <p>英國政府表示，過去十多年，英國在量子科技上處於領先地位，政府並準備啟動新戰略，以確保領先地位，英國已有歐洲最多的量子新創業者，並吸引資金投資。為支持新的量子發展戰略，未來十年投入25億英鎊，期待將英國在量子研究的領先地位，轉為未來量子商業化後的領先地位。</p> <p> </p> <p>圖片來源／新竹縣政府、臺南市政府、花蓮縣政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.印度政府推IndiaAI計畫，要扶植本地AI發展</strong></p> <p><strong>2.新竹縣自駕巴士開始日間測試，6月可望開始載客測試</strong></p> <p>資料來源：iThome整理，2023年3月</p> </div></div></div>
2023/4/11 16:04作者蘇文彬https://www.ithome.com.tw/news/156301
疫情驅動不再！第一季全球PC出貨量下滑3成，蘋果電腦下滑逾4成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.idc.com/getdoc.jsp?containerId=prUS50565723" target="_blank">IDC</a>與<a href="https://www.canalys.com/newsroom/global-pc-market-q1-2023?ctid=3280-b64f730a17f5e1eab8b564578ae222c3" target="_blank">Canalys</a>都在本周公布了今年第一季的全球PC市場出貨量，指出由於市場需求疲軟、過多的庫存，再加上總體經濟持續惡化，讓首季的全球PC出貨量下滑了3成，在五大PC業者中，猶以蘋果最為慘烈，出貨量下滑超過40%。</p> <p>根據IDC的資料，該季全球PC出貨量約為5,700萬臺，比去年同期減少了29%，前五大業者依序是聯想（22.4%）、HP（21.1%）、Dell（16.7%）、蘋果（7.2%）與華碩（6.8%），每家業者的出貨量都有2成以上的縮減，但蘋果電腦的出貨量大幅減少了40.5%。而Canalys的資料亦顯示蘋果是五大業者中下滑幅度最大的。</p> <p>而Canalys的資料則顯示，今年首季的PC出貨量為5,400萬臺，下滑了33%，當中筆電出貨量為4,180萬臺，下滑34%，桌上型電腦為1,210萬臺，下滑28%。</p> <p>IDC認為，該季的結果意謂著由COVID-19疫情所驅動的市場需求已到了尾聲，至少是暫時回到了疫情前的狀態，而且就算是以折扣來吸引消費者，業者的庫存壓力可能持續到年中，甚至延續至第三季。Canalys對PC市場的看法也差不多，認為下半年就會復甦，明年將蓄勢待發。</p> </div></div></div>
2023/4/11 13:37作者陳曉莉https://www.ithome.com.tw/news/156345
特斯拉因員工分享客戶車上影像挨告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉一名車主因該公司員工分享車上攝影機拍攝到的客戶私密影像取樂，將這家車廠告上法院。</p> <p><a href="https://www.ithome.com.tw/news/156290" target="_blank">上周《路透社》報導</a>，至少從2019年到2022年之間，特斯拉員工能存取客戶車上攝影機拍攝的車主私密影像，有的還透過內部社交平臺分享、加上評論、表情符號作為娛樂。<a href="https://www.reuters.com/technology/tesla-workers-shared-sensitive-images-recorded-by-customer-cars-2023-04-06/" target="_blank">《路透社》本周報導</a>，一名舊金山居民Henry Yeh於上周向加州法院控告特斯拉允許員工未經許可流傳車主私密及難堪的影像，侵害客戶隱私。</p> <p>Yeh的委任律師發出聲明指出，特斯拉攝影機可能被用來危害家人隱私已令他不滿，且該公司員工互相分享取自其車上攝影機的影像，用作「低級且殘忍的娛樂趣味」，以及「羞辱被暗中錄影的人們」，讓他覺得遭到侵犯。</p> <p>根據上周報導，特斯拉員工分享的影片雖然是合法存取，但卻被傳給了不同員工。當中包含車主衣不蔽體、開車抓狂，以及騎單車的學童被特斯拉撞飛的影像。此外，雖然特斯拉告訴車主，其影像不會被連結特定地點或車籍，但特斯拉內部軟體可以顯示車主所在地點。</p> <p><a href="https://www.rfi.fr/en/business-and-tech/20230410-tesla-sued-over-workers-alleged-access-to-car-video-imagery" target="_blank">法新社引述訴狀</a>，原告控告特斯拉疏於管理、詐欺及侵害隱私，要求法院命令遏止其離譜行為，並支付金額不詳的賠償金。</p> <p>Yeh是代表自己，以及其他相同情形及公眾控告特斯拉，因此本告訴可能加入其他車主成為集體控訴。</p> <p>特斯拉並未對此回應媒體。</p> </div></div></div>
2023/4/11 12:27作者林妍溱https://www.ithome.com.tw/news/156344
樹莓派發表專為兒童設計的文字版程式碼編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造熱門單板電腦的英國樹莓派基金會（Raspberry Pi Foundation）上周<a href="https://www.raspberrypi.org/blog/code-editor-beta-testing/" target="_blank">發表了針對7歲以上兒童的文字版程式碼編輯器Code Editor</a>，這是個基於瀏覽器的編輯器，完全不需設定就能使用，期望能協助兒童從積木塊遷移到文字程式設計，目前仍為測試版的Code Editor支援Python，但之後將陸續支援HTML、CSS與JavaScript等其它適用於網頁開發的程式語言。</p> <p>Code Editor是個免費服務，不管是參與Code Clubs及CoderDojos等程式社團、學生或是在家自學的兒童，都可直接透過瀏覽器存取，初期它允許使用者於瀏覽器中撰寫與執行Python，採用直覺與簡單的介面，還能直接將程式碼存放在樹莓派基金會的帳號中，讓兒童更容易進入文字版程式設計的世界。</p> <p class="rtecenter"><img alt="" src="https://www.raspberrypi.org/app/uploads/2023/04/Screenshot-2023-04-04-at-14.58.04-800x434.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／樹莓派基金會</span></span></p> <p>該基金會說明，選擇Python作為首個支援的程式語言是因它不論是在學校、Code Clubs或CoderDojos都很流行，且該程式語言受到歡迎的最大原因則是因為它跟英文很類似，使得它經常成為兒童從積木塊程式設計進入文字程式設計的首選。此外，Python還是最受專業開發人員青睞的程式語言，<a href="https://www.tiobe.com/tiobe-index/" target="_blank">在TIOBE排行榜上久居第一</a>，勝過C、Java、C++與C#。</p> <p>除了撰寫與執行程式之外，Code Editor未來也將提供專案分享與協作等功能，支援翻譯與在地化，也會確保它可在行動裝置、平板電腦或包括Raspberry Pi 4 2GB等低成本電腦上執行，並準備在適當的時候開源。</p> <p>目前仍為測試版的Code Editor歡迎<a href="https://editor.raspberrypi.org/" target="_blank">全球使用者參與測試並提供意見</a>。</p> </div></div></div>
2023/4/11 11:22作者陳曉莉https://www.ithome.com.tw/news/156337
OpenAI承諾為日本市場開發AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/japan-eyes-government-ai-adoption-openai-ceo-mulls-opening-office-2023-04-10/" target="_blank">《路透社》</a>、<a href="https://asia.nikkei.com/Business/Technology/OpenAI-CEO-vows-to-work-with-Japan-on-user-protections" target="_blank">《日經新聞》</a>等媒體報導，OpenAI執行長Sam Altman周一在與日本官員見面時表示，計畫在日本設立辦公室，開發更適合當地市場的服務。</p> <p>Altman周一與日本首相岸田文雄及國會議員會面。Altman與岸田針對AI運用的優點及風險等議題交換意見。會後這家AI新創公司執行長承諾，計畫擴增在日本的AI服務，像是更能幫助日本民眾、更適合日語及日本文化的AI模型。</p> <p>他說，兩人討論了AI應用的好處，以及該如何減緩AI的負面影響，而OpenAI也願意和日本政府合作保護日本用戶。</p> <p>媒體報導，在會前，日本官房長官松野博一表示，一旦AI的隱私與網路安全疑慮獲得解決後，日本政府考慮導入AI科技。他並說，日本政府會持續評估如何回應資料外洩等問題，再決定是否引入AI科技減輕日本公務員的作業負擔。</p> <p>Altman會如此承諾，因為相較於Altman在日本獲得的正面回應，歐美國家對OpenAI並不那麼友善。義大利政府上周以ChatGPT未具備辨識使用者年齡，且未清楚說明下蒐集用戶個資，已違反了歐盟個資法（GDPR），下令禁止ChatGPT在該國使用，直到OpenAI改進蒐集作法。歐洲議會則正在規畫第一部AI規範法案。</p> <p>其他國家包括美國、英國、加拿大也都考慮制訂AI管制法規。</p> </div></div></div>
2023/4/11 11:30作者林妍溱https://www.ithome.com.tw/news/156338
微軟M365 Copilot AI助理已開始現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟三月間宣布Microsoft 365/Office整合GPT-4 AI模型的Copilot，本月初在Office上還無法全面使用Copilot，<a href="https://www.windowslatest.com/2023/04/07/microsoft-365-copilot-ai-starts-showing-up-in-windows-11-ahead-of-imminent-rollout/" target="_blank">但媒體發現已經陸續出現蹤跡</a>。</p> <p>微軟3月中公布整合Office的Copilot AI助理，<a href="https://www.windowslatest.com/2023/03/31/first-look-at-microsoft-365-ai-copilot-in-word-for-windows-10-windows-11/" target="_blank">3月底已在一個Windows Beta版本將Copilot功能整合到Word中</a>，而《Windows Latest》近日又在新的Windows Beta版本中，發現Excel及OneNote也整合了Copilot。</p> <p>但是所謂的「整合」目前僅是介面上可看到Copilot，實際功能還未能運作。根據媒體測試，由於功能尚未上線，如果使用OneNote的Copilot，會顯示用戶欲搜尋的資料可能已被移除、改名，或暫時無法使用的訊息。但是根據參照資訊，OneNote 的Copilot功能包括新增、摘取或整理資訊，用戶也可以叫AI助理草擬計畫、列清單、寫紀錄。此外，AI助理也可變更格式、移除重覆資訊或加入視覺資料。</p> <p>Excel也有Copilot的蹤影。在Beta版M365/ Office中的Excel的功能表出現Copilot的圖示，且有微軟團隊透過名為Op Experiment的內部測試執行Excel新功能測試。根據微軟上個月的宣布，Excel的Copilot可代用戶製作樞紐表、加圖表，或執行計算、分析。</p> <p>不過從現有資料無法判斷Copilot AI助理何時會正式部署到Microsoft 365/Office中。微軟僅說會在「未來幾個月內」大量部署到Office生產力應用。除了Word、Excel以及已上線的Copilot of Edge以外，PowerPoint、Outlook等也都會加入AI為基礎的更新功能。</p> </div></div></div>
2023/4/11 11:53作者林妍溱https://www.ithome.com.tw/news/156342
V8引擎支援WebAssembly尾呼叫，提高遞迴函式執行效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google開發的開源JavaScript引擎V8，將會在<a href="https://v8.dev/blog/wasm-tail-call">V8 11.2版本加入WebAssembly尾呼叫（Tail Calls）支援</a>，避免遞迴呼叫消耗大量記憶體導致堆疊溢出，進一步提高遞迴函式執行效率。</p> <p>尾呼叫是一種程式開發技巧，主要在函式程式語言中使用，藉此提高遞迴函式的效率，尾呼叫是指在函式最後一個操作呼叫另一個函式，但在呼叫完成之後不做任何額外的操作。而尾呼叫最佳化則是一種程式編譯器或是直譯器中的功能，可以避免尾呼叫導致額外的堆疊框。</p> <p>由於每次函式呼叫時，編譯器便會創建一個稱為堆疊框（Stack Frame）的資料結構，來儲存區域變數和回傳位址，在遞迴中，這可能會累積大量堆疊框累積，因此消耗大量記憶體導致堆疊溢出，而編譯器可以透過丟棄堆疊框，以跳轉替換呼叫來最佳化呼叫。</p> <p>一般遞迴函式呼叫會消耗O(n)的堆疊空間，而採用尾呼叫最佳化後，可以將遞迴函式簡化僅使用O(1)堆疊空間。也就是說，原本在計算過程，堆疊空間的需求會與問題規模成正比，當鏈結串列（Linked list）中的每個元素都要在呼叫堆疊上增加一個新的資料框，因此在列表太長時便會溢出堆疊，透過跳轉代替呼叫，便能夠使消耗的堆疊空間與問題規模無關。Google解釋，這種最佳化對函式程式語言很重要，因為函式語言嚴重仰賴遞迴函式。</p> <p>但因爲偵測尾部位置的呼叫並非引擎的責任，而是由上游的工具鏈完成，因此V8的最佳化編譯器TurboFan的工作，便是根據呼叫類型和目標函式宣告，發出適當的指令序列。同時，V8中的WebAssembly基準編譯器（Baseline Compiler）Liftoff也支援尾呼叫，以避免基準程式碼耗盡堆疊空間，但是在這一層並沒有尾呼叫最佳化，會以一般呼叫運作方式處理。</p> </div></div></div>
2023/4/10 21:23作者李建興https://www.ithome.com.tw/news/156326
AWS Service Catalog讓用戶也能使用Terraform管控雲端資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS用戶不只可以使用AWS CloudFormation，定義Service Catalog中的雲端資源，現在也可以<a href="https://aws.amazon.com/tw/blogs/aws/new-self-service-provisioning-of-terraform-open-source-configurations-with-aws-service-catalog/">使用開源基礎設施即程式碼（IaC）軟體工具Hashicorp Terraform</a>，在Service Catalog配置雲端基礎設施，並且統一管理布建的資源。</p> <p>在Service Catalog上，企業可以創建和管理基礎設施即程式碼模板目錄，並控制可供使用的基礎設施即程式碼模板和版本，以及管理像是模板存取權限等各版本的配置，供工程師或是資料科學家以自助的方式，配置用於日常工作的雲端資源。Service Catalog模板包含了虛擬機器映像檔、伺服器、軟體和資料庫，甚至是完整的多層應用程式基礎架構所需的全部內容。</p> <p>Service Catalog終端用戶只能從有權存取的模板挑選需要的內容，方便企業集中管理以基礎設施即程式碼部署的資源。之前用戶可以使用AWS基礎設施即程式碼服務CloudFormation，布建和管理AWS與第三方的資源，而現在用戶還可以將現有Terraform配置，整合到Service Catalog中，讓Terraform中的內容也成為核准資源組合的一部分。</p> <p>官方提到，AWS Service Catalog同時支援CloudFormation和Terraform，可讓用戶選擇符合自家流程和專業知識的工具，也同時防止管理不一致，並且降低不合法遵要求的風險。</p> <p>目前在所有AWS地區的Service Catalog服務都已經支援Terraform配置，官方提到，使用Terraform與CloudFormation支付的價格相同，一樣是支付服務API呼叫的費用，另外，用戶還需要對Terraform參照引擎使用和創建的資源付費。</p> </div></div></div>
2023/4/10 21:26作者李建興https://www.ithome.com.tw/news/156329
衛福部揭國內健康大數據推動現況，肺癌主題式資料庫今年2月上架，正規畫乳癌主題資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會、衛福部、經濟部合力推動的健康大數據永續平臺計畫，今年已進入第3年，衛福部今天在國科會報告成果，對外揭露計畫推動現況。主題式資料庫方面，已在今年2月上架肺癌主題式資料庫，下一步為規畫乳癌資料庫。</p> <p>鑑於國內健康數據散落不同單位、資料庫，該計畫推動健康大數據平臺，採用HL7 FHIR國際資料交換格式為統一標準，癌症主題資料欄位則參考mCODE，推動健康大數據的主題式資料庫及分析。衛福部科技發展組技監劉明勳指出，目前已建立肺癌主題式資料庫，整合健保、癌症登記、死因、肺癌研究主檔，合計約31萬8千多筆資料，肺癌主題式資料庫已在今年2月於衛福部資科中心上架，受理申請，目前也在建置乳癌主題式資料庫中。(下圖，資料來源：國科會)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-04-10%20%E4%B8%8B%E5%8D%888_13_16.jpg" style="width: 600px; height: 333px;" /></p> <p>衛福部也規畫「台灣健康大數據單一窗口服務網站」，整合衛福部、國科會、中研院等33個單位資料，目的是讓資料供給及需求端，以更有效率的方式提供及找到資料。</p> <p>在癌症醫療基因定序臨床資料方面，已由國家衛生研究院癌症研究所與多家國內醫學中心合作，以國際標準次世代Cancer Panel作實體腫瘤基因圖譜檢測，建立標準化檢體處理及品管流程，蒐集病人基因檢測、臨床治療、效果等，建立癌症精準醫療資料庫。</p> <p>另外，生醫資料庫方面，國科會也補助8家醫學中心，針對國內癌症、中風、失智等重大疾病，整合基因資料、醫療影像、數位病理、電子病歷等資料，至今年底預計將整理約3千多個案資料。目前已根據這些資料開發新的生物標記及疾病風險評估模式，包括身智衰退症潛在的大腦生物標記、AI心電判讀平臺。</p> <p>劉明勳表示，這些生醫資料庫也用於藥物開發，包括利用生醫大數據找出病患分群、具有療效指標潛力的大腸直腸癌生物標記，有助於藥物開發。111年成果包括找出病患分群效果的候選特徵基因組，以及完成先導抗體的體外體內藥效評估等。同時也運用華人的生醫大數據，和醫界的產學合作，開發精準醫療技術及服務，例如乳癌病患的變異點圖譜，開發整合式技術服務、標靶藥物等。</p> <p>劉明勳認為，透過資料的一致性、資料的整理，以需求為導向，整合健康大數據，公私協力合作、衛福部食藥署對真實世界數據建立法規、指引，以及對使用者友善的單一窗口等策略，讓醫材開發、醫療輔助服務、藥物開發、健康資訊服務者，通過加值應用資料提升競爭力。</p> <p>補助的國科會主委吳政忠表示，健康大數據平臺，除了生物資料庫的蒐集，轉化為數據，更重要的是如何接軌到產業的應用，委員在會議中強調，數據不只給國外藥廠使用，也要讓國內新創應用，推動產業應用數據更重要的是，政府也規畫建置相關法規，例如國發會正在修正的個資保護法、並推動獨立資料監理機關，他透露行政院政委包括他在內，目前也正在研議人工智慧相關法規制定，希望在下個會期，9月能提出初步的草案。</p> </div></div></div>
2023/4/10 20:21作者蘇文彬https://www.ithome.com.tw/news/156330
【資安日報】4月10日，特斯拉客戶關係管理系統TRT出現漏洞，前員工電子郵件信箱可註冊外部人員帳號，重新取得相關權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期特斯拉傳出幾起資安事故，格外引人注目。首先是該公司的客戶關係管理系統Tesla Retail Tool漏洞，引起研究人員關注，因為受到影響的不只是該公司本身，還包含合作的供應商、客戶。</p> <p>另一則與這家汽車製造商有關的新聞，則是前員工指控公司產品存在隱私保護爭議。據傳該廠牌汽車攝影機錄下的影片，員工竟拿來分享、取笑，內容包含交通事故與車主居家環境，極度無視車主的隱私，而老闆均為Elon Musk的特斯拉與網路社交媒體推特，均不願對此回應。</p> <p>除了與電動車大廠特斯拉有關的事故，蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1修補的零時差漏洞也值得留意，這些漏洞已出現攻擊行動，使用者應儘速安裝更新程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.sucuri.net/2023/04/balada-injector-synopsis-of-a-massive-ongoing-wordpress-malware-campaign.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">後門程式Balada Injector發動注入攻擊，肆虐5年以來，受害的WordPress網站高達1百萬個</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/balada_injector_charcode.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/balada_injector_charcode.png" style="width: 300px; float: right;" /></a>資安業者Sucuri揭露名為Balada Injector的後門程式攻擊行動，駭客約自2017年開始，每個月針對WordPress網站進行相關攻擊，估計迄今有100萬個網站受害，被植入將使用者重新導向惡意網站的程式碼。該惡意程式利用當時揭露的新漏洞對於特定外掛程式出手，進而在受害網站執行HTML注入、資料庫注入，或是任意檔案注入等攻擊行動。</p> <p>Balada Injector的指令碼主要目標是wp-config.php，企圖從中竊取資料庫的帳密等敏感資料，攻擊者亦會尋找受害網站的備份資料、資料庫、事件記錄，此外，該惡意程式也從網站上的phpMyAdmin、Adminer等資料庫管理工具尋找組態設定不當的情況，企圖設置新的管理員帳號。</p> <p><a href="https://www.hackread.com/adobe-resets-user-passwords-data-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe傳出用戶帳密外洩，要求重設密碼</span></strong></a></p> <p>根據資安新聞網站HackRead的報導，Adobe近日對用戶發出通知信，要求使用者更改密碼，原因是用戶的Adobe ID疑似在其他網路服務遭到攻擊後資料外洩，該公司已重置了密碼。不過，究竟有多少人可能會受到影響？Adobe並未進一步說明。</p> <p><a href="https://www.reuters.com/technology/tesla-workers-shared-sensitive-images-recorded-by-customer-cars-2023-04-06/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">特斯拉汽車的攝影機擷取影像傳出遭原廠不當取得與使用狀況，該公司員工竟私自拿來取樂，有侵犯客戶隱私疑慮</span></strong></a></p> <p>為提升行車安全、改進自動駕駛技術，特斯拉於車身多處安裝攝影機，但傳出該公司員工竟然可以觀看這些鏡頭錄製的影像。根據路透社的報導，他們取得約12名前員工的說法，該公司員工從2019年至2022年，能看到該廠牌汽車的攝影機，甚至會在內部網路環境互相分享。</p> <p>其中有人看過特斯拉將騎單車的孩童撞飛的的驚悚畫面，也有受訪者因此看過車主家中的環境，亦有部分前員工表達因為用戶隱私不受到尊重，他們不會購買特斯拉。再者，有受訪者指控，最初協助特斯拉自動駕駛系統標註影像內容承包商Samasource，相關員工會將攝影機影片擷圖並加工，並分享取樂。</p> <p>對此，特斯拉、合作業者Samasource並未做出回應。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-ransomware-gang-targets-us-orgs-with-empty-data-leak-threats/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國企業遭到駭客組織Midnight鎖定，聲稱加密檔案進行勒索</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，駭客組織Midnight自3月16日，開始針對美國企業寄送勒索信件，假借勒索軟體駭客Silent Ransom Group（Conti旗下組織）、資料掮客Luna Moth等名義，聲稱加密了受害組織的系統，並竊得大量的機密資料。</p> <p>駭客揚言，若是收信人不從，將會面臨法律訴訟，或恐嚇其所屬企業將遭到DDoS攻擊，網站運作停擺。而根據資安業者Kroll的調查報告指出，從3月23日起，越來越多組織收到Silent Ransom Group的勒索信。</p> <p><a href="https://www.avanan.com/blog/phishing-from-quickbooks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用Quickbooks服務發動商業詐騙郵件攻擊</span></strong></a></p> <p>過往駭客發動商業郵件詐騙（BEC）攻擊，往往是註冊與受害組織相似的網域名稱來犯案，但現在出現改用合法雲端服務的新手法。資安業者Avanan揭露濫用雲端會計系統QuickBooks的攻擊行動，他們看到駭客假借寄送防毒軟體NortonLifeLock續訂通知信的名義，通知收信人若是不想訂閱，需撥打客服電話取消自動扣款。</p> <p>研究人員指出，這封信內容完全沒有錯字，而且從QuickBooks寄出，一般郵件安全系統都會放行，唯一能發現破綻的地方就是電話號碼──他們透過Google搜尋，得知此號碼已被用於醫療保險詐騙。對此，研究人員呼籲使用者若是想要使用信上的電話號碼來聯繫對方，應該先透過網路搜尋進行確認，而不是傻傻地照著信件內容的電話號碼去確認是否真有此事。</p> <p><a href="https://blog.talosintelligence.com/typhon-reborn-v2-features-enhanced-anti-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路攻擊者將零信任概念發揮到極致！竊資軟體Typhon Reborn一口氣納入近20種反分析機制</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RebornV2-image8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RebornV2-image8.png" style="width: 200px; float: right;" /></a>思科威脅情報團隊Talos揭露竊資軟體Typhon的近期動態，駭客自今年1月在暗網宣傳Reborn V2的新版本，研究人員取得該惡意程式進行分析，結果發現駭客大幅修改其程式碼，並採用Base64演算法混淆程式碼，且藉由19道程序偵測受害電腦的環境，來防堵研究人員進行逆向分析。</p> <p>此竊資軟體先是確認GPU晶片資訊，檢查系統資訊，接著搜尋是否存在資安軟體的DLL元件，以及查詢電腦的廠牌、型號、處理器ID（CPUID）等，過程中甚至會檢測電腦裡是否有Wine元件、特定分析工具的處理程序與登錄檔等。此外，駭客也在該惡意程式裡加入抓取特定類型檔案的新功能。</p> <p><a href="https://blog.cyble.com/2023/03/29/creal-new-stealer-targeting-cryptocurrency-users-via-phishing-sites/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Creal將加密貨幣用戶帶往釣魚網站，進而挾持YouTube頻道管理員帳號</span></strong></a></p> <p>資安業者Cyble針對<a href="https://www.theverge.com/2023/3/24/23654996/linus-tech-tips-channel-hack-session-token-elon-musk-crypto-scam">3月24日超過千萬用戶訂閱的YouTube頻道Linus Tech Tips遭駭的事故</a>進行調查，當時駭客先是入侵該頻道，清空裡面的影片並上傳2個加密貨幣詐騙的影片，有人認為這事故的起因是竊資軟體攻擊，導致管理者連線階段的Cookie遭竊，而讓駭客能存取YouTube帳號。</p> <p>研究人員進一步調查發現，發動攻擊的很可能是名為Creal的竊資軟體。因為，他們先是發現偽冒挖礦平臺Kryptex的釣魚網站，然後尋線找到此款竊資軟體50款檔案，以及公開於GitHub的原始碼。</p> <p>他們研判駭客這麼做的最終目的，是經由以Chromium打造的瀏覽器、即時通訊軟體、遊戲平臺、加密貨幣錢包來盜取資料，並傳送到攻擊者的Discord頻道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://medium.com/@evan.connelly/post-account-takeover-account-takeover-of-internal-tesla-accounts-bc720603e67d"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">特斯拉客戶關係管理系統TRT出現漏洞，恐導致員工帳號遭到接管</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_EDFEKJ4qR0RbEDK3rMS4-Q.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_EDFEKJ4qR0RbEDK3rMS4-Q.png" style="width: 300px; float: right;" /></a></p> <p>研究人員Evan Connelly揭露特斯拉客戶關係管理系統Tesla Retail Tool（TRT）的漏洞，此應用系統平時由該公司的員工及供應商使用，可提供財務、電力網路、特斯拉據點等公司內部的詳細資料。</p> <p>研究人員發現，該公司的離職員工帳戶仍然可存取此系統，攻擊者一旦利用這項漏洞，就有可能用前員工的電子郵件信箱，在此系統當中註冊外部人士帳號，之後再透過該員工原有的權限來存取TRT系統。</p> <p>研究人員指出，該系統根據使用者的電子郵件帳號判斷存取權限，但並未檢查使用者是來自公司內部還是供應商所致。Evan Connelly在2022年11月19日透過特斯拉的漏洞懸賞計畫進行通報，該公司於2天內完成修補。</p> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-two-zero-days-exploited-to-hack-iphones-and-macs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補2個零時差漏洞，影響範圍涵蓋行動裝置與電腦</span></strong></a></p> <p>4月7日蘋果發布iOS 16.4.1、iPadOS 16.4.1、macOS Ventura 13.3.1，當中修補了2個已被利用的零時差漏洞CVE-2023-28205及CVE-2023-28206。</p> <p>前者為iOSurfaceAccelerator元件的記憶體越界寫入（Out-of-Bounds Write）漏洞，惡意程式可藉此取得核心權限，進而執行任意程式碼。CVE-2023-28206則與瀏覽器排版引擎WebKit有關，為記憶體釋放後濫用（UAF），攻擊者可引誘使用者存取惡意網頁，進而於裝置上執行惡意程式碼。</p> <p>蘋果並未透露上述漏洞的風險層級，但資安業者Tenable指出兩者皆為重大漏洞。</p> <p><a href="https://www.theregister.com/2023/04/07/twitter_code_cve_substack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">推特公開的演算法被找出漏洞，恐被用於惡搞特定人士的帳號</span></strong></a></p> <p>3月底推特一如預告公布部分的原始碼供外界檢視，研究人員Federico Andres Lois發現其推薦演算法存在漏洞CVE-2023-23218，攻擊者可控制大量帳號形成殭屍網路，對特定帳號取消追蹤、消音、封鎖、檢舉等多種負面行為，進行影子封鎖（Shadow Banning）攻擊，導致目標帳號的名譽評價降低，其他用戶無法讀取他的推文，但受害用戶完全不知道自己被「懲罰」。</p> <p>研究人員指出，上述漏洞很可能會被政黨或是組織操弄，用於攻擊不同觀點的推特用戶，且自3月已出現多起攻擊行動。至於該漏洞是否得到修補？推特並未進一步說明。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/04/06/cisa-releases-seven-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對Hitachi Energy、mySCADA工控系統的重大漏洞提出警告</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於4月6日，針對mySCADA、Hitachi Energy等廠牌的SCADA控制器重大漏洞提出警告。其中最嚴重的漏洞，出現在mySCADA myPRO，以及Hitachi Energy旗下的MicroSCADA系統資料管理員SDM600。</p> <p>其中，出現於myPRO系統的是CVE-2023-28400、CVE-2023-28716、CVE-2023-28384、CVE-2023-29169、CVE-2023-29150，皆為作業系統的命令注入漏洞，CVSS風險評分為9.9；出現於SDM600的漏洞為CVE-2022-3682，此漏洞出現於檔案權限驗證流程，CVSS風險評分亦為9.9。</p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-available-for-critical-bug-in-vm2-javascript-sandbox-library/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對VM2沙箱程式庫重大漏洞發布概念性驗證程式碼</span></strong></a></p> <p>韓國科學技術院（KAIST）揭露JavaScript沙箱程式庫VM2的漏洞CVE-2023-29017（CVSS風險評分為10分），此程式庫在NPM套件庫每月被下載超過1,600萬次，廣泛應用於整合式開發環境（IDE）、程式碼編輯器、滲透測試框架，影響範圍相當廣。最近KAIST的研究人員於GitHub公布兩種概念性驗證（PoC）程式碼，並指出他們能藉由該漏洞逃逸VM2沙箱，覆寫名為flag的檔案，起因是VM2並未妥善處理在async功能裡發生的錯誤。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.mnews.tw/story/20230409sot18011"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣大學網站再傳遭駭，影響學生線上學習與申辦業務</span></span></strong></a></p> <p><a href="https://www.securityweek.com/secret-us-documents-on-ukraine-war-plan-spill-onto-internet-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國與北約組織的烏克蘭戰爭的軍事機密資料傳出在網際網路上公開</span></span></strong></a></p> <p><a href="https://blog.google/threat-analysis-group/how-were-protecting-users-from-government-backed-attacks-from-north-korea/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織APT43鎖定政府機關而來，發動Archipelago攻擊</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客MuddyWater發動資料破壞攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/uk-criminal-records-office-confirms-cyber-incident-behind-portal-issues/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對線上服務停擺，英國警政機關ACRO證實遭到網路攻擊所致</span></span></strong></a></p> <p><a href="https://cofense.com/blog/phishing-emails-increased-in-2022-according-to-annual-report-from-cofense/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2022年釣魚郵件較前年增加569％</span></span></strong></a></p> <p><a href="https://www.infosecurity-magazine.com/news/uk-offensive-cyber-capabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國揭露進攻性網路防禦原則</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156300">【4月7日】英國數位ID驗證解決方案業者OCR Labs曝露開發環境組態，恐波及英國、澳洲金融業者</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156264">【4月6日】網際網路上尚未修補已知漏洞的應用系統，超過1,500萬個</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156233">【3月31日】攻擊工具也跟上「多雲」風潮，一口氣搜括18種雲端服務平臺的組態不當設定資料</a></strong></p> </div></div></div>
2023/4/10 16:59作者周峻佑https://www.ithome.com.tw/news/156319
國科會提前膽布局，明年將擴大布局6G
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會今天（4/10）召開第4次委員會議，因應下一代行動通訊網路國際趨勢發展，提報6G前瞻布局，規畫我國6G發展願景、策略，在國科會協助之下，衛福部也規畫台灣健康大數據單一窗口服務網站。</p> <p>國科會指出，4G到5G，從改變用戶體驗，到5G帶動物聯網，為產業賦能創造更大價值，未來到了2030年，全球將進入6G，除了超高速、高同步外，還帶來全域覆蓋、AI/感知能力，其影響更為全面。目國際標準組織ITU-R已規畫6G的11項應用情境，涵蓋AI、永續、製造、安全、健康等方面，與政府未來發展方向相符合。</p> <p>未來我國推動6G的發展願景是，成為社會與經濟可持續發展的強韌國家，透過6G技術實現創新應用（賦能）、擴大網路覆蓋（平權）、可信賴網路環境（可信任）、高效低耗能網路（永續）4項主軸。為及早布局6G，國科會將和國發會、經濟部、數位部跨部會合作，發展次世代行動通訊技術，具體的策略方向，包括投入6G關鍵技術研發、6G AI原生技術、學術研發及國際合作、6G應用驗證、6G永續節能技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-04-10%20%E4%B8%8B%E5%8D%887_56_35.jpg" style="width: 600px; height: 344px;" /></p> <p>國科會主委吳政忠表示，國科會將在2024年擴大投入6G布局。由於6G採用更高的無線頻率，並結合低軌衛星，未來人與萬物聯網將更為綿密，影響層面和4G、5G有相當大的差異，聯網所帶來的大數據蒐集、人工智慧應用，將對民眾的生活帶來很大的影響。6G不只是技術發展，未來也會對人文社會帶來巨大影響。雖然5G在2020年開始，目前距離6G真正進入使用仍有一段時間，但現在提早布局6G會是很好的時間點。政府布局6G也包括IC晶片設計。</p> <p>吳政忠指出，6G不只是人與物的聯結，通過低軌通訊衛星，從上而下觸及到每個地方，不論陸地或海上，例如海上遊輪、漁船過去依靠中軌、高軌衛星通訊，通訊受到限制，低軌衛星能提供幾乎即時的連接，價格也能降低，未來全部的人與物聯結在一起，帶來更大的影響。未來6G、大數據、人工智慧結合後，進一步滲透人們的生活，可能產生好的或壞的影響，這些都需要及早因應。</p> <p> </p> </div></div></div>
2023/4/10 20:05作者蘇文彬https://www.ithome.com.tw/news/156328
Amazon全面禁售駭客工具Flipper Zero
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/technology/flipper-zero-banned-by-amazon-for-being-a-card-skimming-device-/" target="_blank">根據《Bleeping Computer》的報導</a>，Amazon已於近日全面撤下平臺上的滲透測試工具Flipper Zero，理由是它可用來側錄使用者的信用卡。</p> <p>Flipper Zero是一個專門設計用來與存取控制系統互動的裝置，<a href="https://www.kickstarter.com/projects/flipper-devices/flipper-zero-tamagochi-for-hackers" target="_blank">最初是透過Kickstarter集資</a>，號稱整合了所有研究及滲透所需的硬體工具，它的外型就像個可攜式遊戲機，且可單獨使用，不必藉由手機或電腦來控制。</p> <p><a href="https://flipperzero.one/" target="_blank">根據Flipper Zero官網上的說明</a>，它可與生活上的各種數位系統互動，涵蓋存取控制系統、RFID、各種無線電協定，還能利用GPIO來替硬體除錯。</p> <p>許多Flipper Zero用戶也經常於網路上分享該裝置的能力，包括用它來開啟車庫門、解鎖汽車、攔截藍牙訊號，或是存取他人的電腦等。</p> <p>Flipper Zero的售價為169美元，2022年才開始出貨，它同時透過官網與經銷網路銷售。然而，根據報導，Amazon上周發函給在該平臺出售Flipper Zero的各個賣家，指出該裝置已被禁售，還要求這些賣家檢視自己的其它商品是否違反了Amazon的產品銷售政策，最嚴重可能面臨帳號被撤銷的懲罰。</p> <p>Amazon向賣家表示，Flipper Zero已被斷定為側錄裝置，而這原本就是違反Amazon政策的產品。不過，Flipper Devices執行長Pavel Zhovner向《Bleeping Computer》澄清，該裝置並未具備側錄金融卡的功能，已請求Amazon重新考慮。</p> <p>不只是Amazon，巴西政府不僅拒絕Flipper Zero的所有設備認證請求，也扣押了企圖進口至該國的Flipper Zero，理由是擔心它會成為犯罪工具。</p> </div></div></div>
2023/4/10 16:02作者陳曉莉https://www.ithome.com.tw/news/156318
Google的Nest Secure、Dropcam產品2024年4月終止支援引發用戶不滿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有一群被Google收購的產品要成為孤兒。<a href="https://www.googlenestcommunity.com/t5/Blog/An-update-for-our-Nest-Secure-Dropcam-and-Works-with-Nest-Users-and/ba-p/391449" target="_blank">Google上周宣布</a>將在2024年4月8日終止支援其Nest Secure中央溫控及Dropcam攝影機兩系列硬體裝置，此外，Google也將終止Works with Nest整合計畫，影響第三方裝置。不少用戶對此表達不滿。</p> <p><a href="https://www.ithome.com.tw/news/121235" target="_blank">Google在2014年收購</a>以開發溫控裝置、煙霧警報器的Nest以及連網攝影機業者<a href="https://www.ithome.com.tw/news/88838" target="_blank">Dropcam</a>，並將兩者合併為Nest Secure產品線。2020年該公司和美國最大保全及家用自動化業者ADT合作，後者將Nest Secure產品整合在其服務中。</p> <p>Google表示，和ADT合作後，這家業者已能提供裝置及服務，為此Google將在明年4月終止支援Nest Secure。這天之後，用戶將無法再透過Nest App操作Nest Secure裝置，這些裝置也無法連網。至於Dropcam（包括Dropcam Pro），也將在同一天起終止運作，Google的理由是，它太老舊，持續提供產品更新「變得愈來愈困難」。</p> <p>為安撫Nest Secure中央溫控或煙霧警報器的用戶，Google將提供ADT的產品取代，或是Google Store價值200美元的抵用金。針對Dropcam產品，用戶若現在為Nest Aware服務訂閱戶，將獲得室內用攝影機Nest Cam產品替代，若非訂閱戶，則只能獲得半價優惠。</p> <p>此外，Google 2014年透過Works with Nest合作方案，讓Nest的Weave通訊協定開放第三方裝置支援，讓使用者也可以透過Nest App關閉智慧電燈或其他支援產品。2019年Google宣布將關閉Works with Nest，以便推廣新的Works with Google Assistant方案。</p> <p>Google表示，Works with Nest將在今年9月29日終止運作。接下來幾個月Google會提供腳本編輯器程式，讓用戶自行和其他裝置整合，同時也會和其他經銷商合作產品汰換服務。</p> <p><a href="https://www.theverge.com/2023/4/7/23673165/google-nest-dropcam-nest-secure-eol" target="_blank">Google對《The Verge》表示</a>，這項決定將影響WWN（World Wide Node Name）連線，包括舊的Alexa技能、和Google Assistant早前的整合，和Nest早前整合的軟體如IFTTT、Lutron等，以及使用WWN平臺自行開發的個別開發商等。</p> <p>Nest Cam連網攝影機產品不受這波宣布影響。</p> <p>Dropcam用戶認為剛好可以換成新Google新產品。但有更多用戶對此不滿。用戶表示他們在舊的Nest產品，或是整合Google Nest上花了數百甚至數千美元卻用不到10年，Google買下Nest毁了這家公司，之後棄用戶於不顧，還強推新商品。並有人呼籲Google應該將Nest開源，方便第三方廠商或個別開發商自行維護。</p> </div></div></div>
2023/4/10 13:40作者林妍溱https://www.ithome.com.tw/news/156315