iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟AI視覺設計工具Designer開放公測、整合到Edge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/04/27/microsoft-designer-expands-preview-with-new-ai-design-features/" target="_blank">微軟上周宣布</a>整合AI的視覺設計工具Designer加入新功能，並全面免費開放測試，此外也整合進Edge側邊欄工具中。</p> <p><a href="https://www.ithome.com.tw/news/153625" target="_blank">微軟去年10月宣布整</a>合OpenAI的AI模型DALL-E的視覺設計工具Designer，以協助不具專業能力的用戶也能設計社群平臺貼文、邀請函、電子賀卡、圖像等。一開始Designer包含在Microsoft 365中，但微軟承諾未來也會有獨立的Designer App。去年10月公布時，用戶必須先加入等候清單以獲准加入試用。最新宣布下，微軟移除了等候清單，有興趣的人都可以<a href="https://designer.microsoft.com/" target="_blank">在登入微軟帳號後試用</a>，也增加一批新功能。</p> <p>新增功能之一是為社群媒體加入小標或hashtag，用戶只需輸入一個詞語，Designer的DALL-E AI能力就能生成數個配合貼文的圖片、小標或hashtag建議，供用戶選擇。其次，根據幾個月來測試用戶的建議，Designer也加入了自訂及調整原有設計畫布（canvas）大小的功能，現在提供IG、Facebook、LinkedIn等平臺20種版型大小可以選擇。Designer並新增動態視覺元素，包括動態背景、表情符號及具轉場效果的文字。</p> <p>此外，微軟宣布將Designer整合進Edge瀏覽器，用戶可以透過Edge側邊欄中的Designer圖示開啟。這方便用戶在Edge草擬Facebook、Twitter、Pinterest貼文時，提供AI輔助的設計建議。目前用戶可以點下Edge側邊欄中的「＋」號使用Design測試版。</p> <p>微軟也預告，未來Designer將加入其他AI新功能，包括以物件填滿某個圈起的部位、擴大背景填滿圖片、從圖片中塗抹掉某個物件，並生成其他圖片取代、以及變更背景等。</p> </div></div></div>
2023/5/1 15:19作者林妍溱https://www.ithome.com.tw/news/156638
OpenAI完成新一輪融資，市值突破270億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據《<a href="https://techcrunch.com/2023/04/28/openai-funding-valuation-chatgpt/" target="_blank">TechCrunch</a>》的報導，OpenAI已於近日完成新一輪約3億美元的融資，而此時OpenAI的市值介於270億~290億美元之間，與<a href="https://www.wsj.com/articles/chatgpt-creator-openai-is-in-talks-for-tender-offer-that-would-value-it-at-29-billion-11672949279" target="_blank">《華爾街日報》（The Wall Street Journal）</a>今年1月所報導的OpenAI估值相符。</p> <p>迄今OpenAI最大的投資者應是微軟，<a href="https://blogs.microsoft.com/blog/2023/01/23/microsoftandopenaiextendpartnership/" target="_blank">微軟在今年1月針對OpenAI展開第三輪的投資行動</a>，儘管微軟僅說將分成數年投入數十億美元至OpenAI，但根據多家媒體的報導，微軟打算投入的金額高達100億美元。</p> <p>此外，<a href="https://www.semafor.com/article/01/09/2023/microsoft-eyes-10-billion-bet-on-chatgpt" target="_blank">《Semafor》</a>引用消息來源指出，未來OpenAI每年都必須提撥75%的獲利予微軟，直至抵銷微軟所投入的資金，之後微軟將持有49%的OpenAI股權。</p> <p>OpenAI最近一輪增資的投資人包括 Tiger Global、Sequoia Capital、Andreessen Horowitz、Thrive與K2 Global，它們總計投入了逾3億美元，所計算的OpenAI市值介於270億~290億美元之間；《華爾街日報》今年1月即披露，OpenAI打算以290億美元的市值進行募資，令OpenAI成為美國最有價值的新創公司之一。</p> <p>生成式對話引擎無疑是現階段市場上最炙手可熱的投資標的，根據<a href="https://www.nytimes.com/2023/03/23/technology/chatbot-characterai-chatgpt-valuation.html" target="_blank">《紐約時報》</a>（New York Times）今年3月的報導，OpenAI的競爭對手Character AI募資了1.5億美元，而這個2022年9月才發表的服務，估值已達10億美元，上線半年即躋身新創獨角獸之林。</p> <p>Character AI為一神經語言模型聯天機器人，它是個網頁應用程式，可產生類似人類的文字回應，同時它允許使用者建立角色，設定角色的性格及各種參數，然後出版這個角色以讓它與其他人對話，<a href="https://beta.character.ai/" target="_blank">目前仍處於測試階段</a>。</p> </div></div></div>
2023/5/1 13:57作者陳曉莉https://www.ithome.com.tw/news/156634
研究人員設計出全球第一顆木造電晶體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://liu.se/en/news-item/varldens-forsta-tratransistor" target="_blank">瑞典研究人員近日發表</a>全世界第一顆木造的電晶體。</p> <p>瑞典林雪坪大學（Linköping University）及皇家理工學院（KTH Royal Institute of Technology）近日<a href="https://www.pnas.org/doi/10.1073/pnas.2218380120" target="_blank">在美國國家科學院院刊（Proceedings of the National Academy of Sciences of the United States of America，PNAS）發表其研究</a>。他們研發出一顆木質電化學電晶體（WECT），三顆電極都是以導電木材製成。他們將一種輕木（或稱巴沙木）透過化學處理，使具備導電性。以此材料製成的電極具備電流調變能力，在特定輸出狀態下能持續作用，而且能在不大幅延遲下切換電源開關。</p> <p class="rtecenter"><a href="https://www.pnas.org/doi/10.1073/pnas.2218380120" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0501-wood%20electrochemical%20transistor%20image%20by%20%E7%BE%8E%E5%9C%8B%E5%9C%8B%E5%AE%B6%E7%A7%91%E5%AD%B8%E9%99%A2%E9%99%A2%E5%88%8A%EF%BC%88PNAS%EF%BC%89-2.png" style="width: 600px;" /></a></p> <p><a href="https://www.pnas.org/doi/10.1073/pnas.2218380120" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_美國國家科學院院刊（PNAS）</span></span></a></p> <p>和現有電晶體的效能當然不能相比，關閉需1秒，開啟需5秒，此外電晶體大小約3公分，因此不適合用於傳統電子迴路。</p> <p>但研究人員表示，這項研究提出了另一種綠色電子裝置材料的來源。本研究電晶體對閘極電壓調變性的反應能力，以及動態開關電源的特性和有機電化學電晶體（organic electrochemical transistor，OECT）很近似，而且它更大的電晶體通道，使其比OECT能容忍更大的電流，或可用於木製電致變色顯示器（electrochromic display）或簡單的感測輸入邏輯電路。此外研究團隊希望，這項原型設計也可成為未來其他團隊的研發基礎。</p> </div></div></div>
2023/5/1 14:16作者林妍溱https://www.ithome.com.tw/news/156635
更有效的敏捷領導力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_min_jie_sheng_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在許多敏捷愛好者的眼中，他們經常認為敏捷實作依賴於僕人式領導的精神（servant leadership）。我相信這是真的，但我也認為它太模糊了，對於敏捷導入沒有特別助益。我們需要更直接的指引。無論你是決定全面採用敏捷，還是小規模地採用敏捷，領導力（leadership，領導階層）都是敏捷實作的成敗關鍵。</p> <p><span style="font-size:28px;"><strong>關鍵原則：管理結果，而不是管理細節</strong></span></p> <p>組織的生死取決於他們做出的承諾和他們遵守的承諾。有效的敏捷實作包括了團隊與領導階層之間的互相承諾。</p> <p>敏捷團隊（特別是Scrum團隊）向領導階層承諾，在每個Sprint結束時，他們會交付他們的Sprint目標。在循規蹈矩的（high-fidelity）Scrum實作中，承諾被視為絕對的─團隊將竭盡所能地工作來實現他們的Sprint目標。</p> <p>相對的，領導階層也要向Scrum團隊承諾，Sprint是神聖不可侵犯的。領導階層不會在Sprint期間改變需求或擾亂團隊。在傳統的循序式專案中，這不是一個合理的期望，因為專案週期很長，而且情況必然會發生變化。然而在Scrum專案中，這種期望是完全合理的，因為Sprint通常只有1到3週的時間。如果組織在這段時間內都不能保持專注而不改變想法，那麼組織所面臨的問題可能比「Scrum實作是否成功」這件事還要更嚴重。</p> <p>「將團隊和Sprint視為黑盒子」以及「僅管理Sprint的輸入和輸出」，這樣的想法和做法帶來了理想的副作用，有助於業務主管避免「微觀管理」（micromanagement），並且鼓勵更多的領導姿態。業務主管需要為團隊指引方向、解釋工作目的、詳細說明不同目標之間的優先順序，然後讓團隊自由發揮，獲得讓他們感到驚豔的結果。</p> <p><span style="font-size:28px;"><strong>關鍵原則：用指揮官意圖表達明確目的</strong></span></p> <p>「自主」（Autonomy）和「目的」（Purpose）是相互關聯的，因為除非團隊了解他們工作的「目的」，否則他們無法擁有「有意義、健康的自主權」。一個自我管理的團隊需要在內部做出絕大多數的決策。他們具有跨職能的技能和這樣做的權力。但是，如果團隊沒有清楚地了解他們工作的「目的」，團隊的決策就會被誤導（字面意義上的「被帶入歧途」）。根據「團隊的自主權」（自主）和「目標的明確性」（目的），團隊可能會獲得不同的結果。</p> <p>「指揮官意圖」（Commander's Intent）是美國軍方使用的一個概念，指的是對「期望的最終狀態」的公開聲明、軍事行動的目的，以及必須完成的關鍵任務。「指揮官意圖」在這些情況下特別有用：當事件沒有按照原計畫展開時、當溝通中斷時，以及當團隊需要在無法與「更高層級的指揮官」商量的情況下做出決策時。</p> <p>在軟體情境中，你的目標是相似的。與公司領導階層的溝通可能不會被強行打斷，但一般來說，我們會有很長的一段時間，不容易接觸到公司的領導階層。此時，事件並沒有按照原計畫展開，而團隊仍然需要做出決策。在這種情況下，團隊將因擁有「指路明燈」或「北極星」或「指揮官意圖」而受益，他們可以從中得到方向。</p> <p>一個良好的「指揮官意圖」將包括以下內容：</p> <p>●描述這份專案或計畫的「原因」與「動機」；即「目的」。</p> <p>●生動地視覺化「期望的最終狀態」。應該要讓團隊成員了解成功的樣貌，以及他們在實現成功過程中所扮演的角色。</p> <p>想要成為「敏捷」的組織需要培養「清楚描述目的」的能力。其管理者應該要更重視透過目標（objective）進行領導，而不是透過關注細節進行管理。正如George S. Patton所言：『絕對不要告訴人們該如何做事。只需要告訴他們該做哪些事，他們的巧思和創意會讓你大吃一驚。』</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>設定與溝通優先順序</strong></span></span></p> <p>有成效的敏捷主管會透過傳達「明確的優先順序」來支持他們的團隊。我們看過許多組織，他們把所有事情都列為最高優先事項，並把難題留給團隊去解決。有些公司甚至會過度頻繁地重新確定優先順序，或是優先考慮過於精細的細節，或是完全拒絕進行優先順序的排序。這些錯誤非常普遍，導致成效低落。</p> <p>拒絕進行優先順序的排序是領導階層軟弱的表現。這相當於放棄了制定決策的責任。如果你關心「會完成什麼工作」，就必須針對優先事項做出決定，並將這些決定明確地傳達給你的團隊。</p> <p>頻繁地重新設定優先順序可能同樣地具有破壞性。優先順序的頻繁變化會破壞團隊的自主權和使命感。主管應該問自己：『從現在起的6個月後，這次重新設定的優先順序是否同樣重要？』如果答案是否定的，那麼它就沒有重要到必須隨機調整團隊的程度。</p> <p>「指揮官意圖」是一個很好的視角，透過它可以查看適當的優先順序。主管應該要定義成功的樣貌─目標、結果、影響和收益─但不要定義細節。</p> <p>在設定優先順序這個領域，有效的敏捷實作有機會突顯出組織的弱點，進而威脅到主管。我們偶爾會看到主管終止了敏捷實作，因為頻繁的交付（或缺乏頻繁的交付）突顯了主管無法為他們的團隊提供明確的優先順序。</p> <p>這一點的重要性再怎麼強調都不為過。如果你無法有效地設定團隊工作的優先順序，那麼你就不是在領導。你的專案所取得的成果將遠遠不及它能夠取得的成果，也遠遠達不到你的團隊應得的成果。設定優先順序方面的弱點或缺失會帶來不適，但任何想要提升效率的組織都不會迴避這一點，反之，他們會利用這種不適作為改進的動力。</p> <p><span style="font-size:28px;"><strong>關鍵原則：關注產出量，而不是活動</strong></span></p> <p>不稱職的主管往往更關注「趕進度」的「感覺」，而不是專案進度的「真實情況」。但並非所有的活動都是進度（progress，進步），而「忙碌」經常是糟糕結果的代表。</p> <p>一個富有成效的組織，它的目標應該是最大化「產出量」（throughput），即工作完成的速度，而不是工作開始的速度或活動的多寡。主管必須接受，一定程度的鬆綁對於最大化「產出量」來說是必要的（DeMarco, 2002）。</p> <p>Scrum在團隊層面而不是在個人層面保持「當責（accountability）意識」的一個原因是它允許團隊「自行決定」如何才能達到最高效能。如果其中一位團隊成員休息（暫停）一天就能提升工作效率，那麼團隊可以自由地做出這項決定，讓他休息一天。</p> <p>「允許個人擁有空閒時間」是一種違反直覺的「最大化」產出量的方法，但追根究底來說，對組織而言，重要的是每個團隊的總產出，而不是每個人的產出。如果團隊正在有效地優化團隊生產力，那麼組織就不應該關心個人層面所發生的事情。</p> <p><span style="font-size:28px;"><strong>關鍵原則：關鍵敏捷行為的表率</strong></span></p> <p>稱職的主管會以身作則，表現出他們希望在員工身上看到的那些行為。這些行為應該包括：</p> <p>●「培養成長心態」：致力於在個人層面和組織層面持續精進。</p> <p>●「檢查和調整」：不斷反思、從經驗中學習，並應用所學。</p> <p>●「寬容對待錯誤」：接受每個錯誤並將其視為學習機會，使用這種做法以身作則。</p> <p>●「修復系統，而不是個人」：當問題發生時，將其視為尋找系統缺陷的機會，而不是責怪個人。</p> <p>●「承諾高品質」：用你的行動來傳達對高品質的明確承諾。</p> <p>●「發展業務重點」：展示你的決策如何包含業務方面及技術方面的考量。</p> <p>●「強化回饋迴圈」：積極回應你的團隊（即使他們不需要，因為你已經清楚地表達了你的指揮官意圖）。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>建議的領導行動</strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 檢查 </span></strong></span></p> <p>回顧自己作為主管的表現：</p> <p>●你是否將你的敏捷團隊視為黑盒子，管理他們在履行承諾方面的表現，而不是管理細節？</p> <p>●你的「指揮官意圖」表達清楚了嗎？你的團隊能否為他們的工作表達一個生動的、最符合現狀的成功定義？如有必要，他們是否可以在沒有你參與的情況下工作幾週？</p> <p>●你是否為你的團隊設定了明確和現實的優先事項，並為此進行溝通？</p> <p>●你是否關注團隊的產出量，而不是他們表面上的活動多寡（而不是他們看起來有多忙碌）？</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 調整 </span></strong></span></p> <p>●要求你的團隊根據上述「檢查」標準對你的領導績效做一個360度的審查。以身作則從錯誤中學習，歡迎你的團隊給予回饋。</p> <p>●根據你的自我評估結果和團隊的意見，制定一份「個人領導力自我提升行動」的優先清單。<span style="color:#808080;"><strong>（本文摘錄整理自《敏捷升級》第16章，博碩文化提供）</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>敏捷升級：28個提升敏捷成效的關鍵原則</strong></p> <p>Steve McConnell／著；江玠峰／譯；盧國鳳／審校</p> <p>博碩文化出版</p> <p>定價：650元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%95%8F%E6%8D%B7%E5%8D%87%E7%B4%9A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Steve%20McConnell.png" style="width: 150px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Steve McConnell</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span> </strong></span><strong>Steve McConnell</strong></p> <p>國際公認的軟體開發實踐思想領袖。他是《Code Complete》的作者，這本暢銷書經常被認為是有史以來最受好評的軟體開發書籍。McConnell的其他著作還包括《Software Estimation》和《Professional Software Development》。他以Construx Software執行長的身分主持Construx的年度軟體領導力高峰會（Software Leadership Summit）。他喜歡與世界各地的軟體主管交流互動。</p> </div></div></div>
2023/5/1 09:04未署名https://www.ithome.com.tw/article/156633
三個月全面換新核心系統，臺北醫院要建智醫十大建設
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「只用3個月就完成核心系統大換裝！大概破了全國紀錄。」談起3年前醫院核心系統轉換大工程，衛福部臺北醫院資訊室主任王立峯繼續說：「要在這麼短時間內汰換，當然吃足苦頭，沒辦法！因為舊系統已經到極限了。」</p> <p>這位在醫療IT界活躍數十年的老將，侃侃而談他與團隊如何在3個月內一口氣上線了新版醫療資訊系統（HIS）。</p> <p><span style="font-size:28px;"><strong>舊系統不堪負荷，成立院級小組定調一夜換新</strong></span></p> <p>2019年，臺北醫院使用25年的核心系統已經慢如牛步，不只處理原有醫療業務很吃力，更難以應付不斷擴增的新業務。系統資料傳輸速度緩慢，連帶導致醫院門診、急診和住院系統的運作效率不佳，原本一上午能處理完的門診量，醫師得花上一整天才解決，就是為了等待系統而拖累。</p> <p>臺北醫院不是不想大幅翻新，可是，委外廠商握有舊系統的核心資料庫資源，醫院IT每次都得透過廠商，才能修改程式、與第三方系統介接，等於核心開發權掌握在廠商手上，導致醫院IT應變速度不夠快。再加上，舊系統採用老舊的程式語言COBOL，而不是時下熱門的程式語言，也嚴重影響了醫院IT人才的經驗傳承。</p> <p>於是，該年9月，臺北醫院成立一個院內資訊小組，由院長、副院長、醫療科、醫事科和IT團隊組成，來統籌新系統走向。他們找來新廠商，要將核心系統轉換為兼容性高的開放式架構，以便介接不同廠商的資料庫和工具，還要能支援不同程式語言，甚至能處理的資料形式不再限於文字，還要包括圖像和影像。這一步，奠定了臺北醫院後續發展智慧醫療應用的基礎。</p> <p>身為資訊小組的核心成員，王立峯更提出，3個月汰換核心系統，並且要一次全數上線所有新系統，不留後路。他分析，一般系統轉換採漸進模式，部分新系統先上線，同時與舊系統介接，雙軌並行來逐步汰換。但這麼做得付出不少代價，比如，新系統仍需與舊系統介接，醫院得與原系統廠商討論，耗時、耗力也耗經費。另一個考量是，新舊系統並行，會延長使用者適應新系統的過渡期，延緩轉型腳步。</p> <p>因此，王立峯衡量，既然新系統廠商已有不少醫院系統上線和維運經驗，臺北醫院確認過公版可支援病人服務流程、醫事流程和病歷系統的前提下，理應能導入公版HIS來加速上線，於是選定在2020年1月1日全面上線新系統。</p> <p><span style="font-size:28px;"><strong>10年磨一劍，克服挑戰完成換裝</strong></span></p> <p>這並非王立峯第一次汰換核心系統。早在10多年前，他進入臺北醫院發展IT時，就一直有個換系統的念頭，甚至幾年前嘗試過一次，但無疾而終。這次，鑑於舊系統實在難以負荷醫療作業，他一鼓作氣，建議高層在短時間內全面換新，「當時長官急問，這樣不會太冒險嗎？」他深知這是非做不可的工程，在獲得院長全力支持下，IT團隊展開上線前準備工作。</p> <p>這次的汰換範圍，包括了醫院5大核心系統，也就是HIS、醫學影像儲傳系統（PACS）、護理資訊系統（NIS）、實驗室資訊系統（LIS）和行政管理系統（MIS）。不過，這些系統並非由同一家廠商負責，HIS以外的其餘四套核心系統各有不同廠商負責，因此，換新時，得靠這一群廠商協助轉換。</p> <p>就在預訂上線日的前一個月，王立峯收到通知，HIS以外系統的廠商陸續退出，不願協助轉換。</p> <p>「那是我們遇到的最大挑戰！」他坦言，眼看上線時間越來越近，團隊既焦慮又緊繃，擔心無法如期轉換、影響醫療業務。所幸，在新廠商協助下，團隊找齊各系統的第二配合廠商，才化險為夷，順利在預訂日正式上線新系統。這一次的驚險經驗，也讓臺北醫院IT團隊養成了多想幾步的習慣，隨時準備好多個解決方案，以備不時之需。</p> <p>至此，10年磨一劍的系統汰換工程告一段落。「我們發現，這個做法效果非常好，超出預期。」王立峯指出，一次全面換新，不只免除醫院處理舊系統的衍生問題，使用者也因為不得不使用新系統，也大幅縮短適應期。他觀察，系統上線2周後，資訊室接到的操作問題電話明顯減少，「這代表，使用者適應得差不多了。」</p> <p>臺北醫院核心系統轉換的成功經驗，還成為另外2家衛福部醫院的借鏡對象，分別是去年以同方法成功轉換系統的豐原醫院，以及今年7月即將上線新系統的臺南醫院。</p> <p><span style="font-size:28px;"><strong>先穩定再求好，奠下智慧醫療基礎</strong></span></p> <p>接著，臺北醫院以新HIS為起點，來規畫智慧醫療發展藍圖，分為「必要」、「需要」和「想要」 3大階段。必要階段是指，新系統上線後一年內，先確保醫院核心業務能正確執行，如病人掛號、看診、取藥和檢驗檢查，以及醫院每日帳務管理和健保申報作業等要能正常運作。</p> <p>同時，臺北醫院也要求，在新系統上線3個月內，使用者先暫緩提新需求，除非是嚴重影響醫療業務的需求。待系統穩定後，2021年，臺北醫院進入「需要」階段，IT開始開發使用者新需求，逐步優化系統。</p> <p>王立峯回顧，正因為臺北醫院在2020年初完成系統轉換，才能更快因應突如其來的COVID-19疫情。比如，團隊重掌核心開發權，可快速配合衛福部政策來調整程式，如開設視訊門診系統，甚至，當各家醫院都急著消化大量PCR檢驗時，臺北醫院1天就能完成3,500份PCR檢驗，報告隔天就送出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127-CIO-%E7%8E%8B%E7%AB%8B%E5%B3%AF-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>衛福部臺北醫院資訊室主任王立峯指出，AI在醫療場景中，應用來解決人力短缺和醫療錯誤問題，比如以人機協作模式，來輔助護理師照顧病人，提高服務品質。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>打造智慧醫療10大建設</strong></span></p> <p>後來，臺北醫院邁入「想要」階段，在新HIS基礎上，全力發展智慧醫療應用。當時，臺北醫院院長鄭舜平提出智慧醫療十大建設，要以醫學中心水準，來打造10套智慧醫療系統，優化臨床流程和體驗。</p> <p>一大經典案例是去年6月上線的行動醫療助理機器人，來讓民眾視訊約／看診更順暢。民眾只要加入部立臺北醫院Line官方帳號，輸入身份證字號、建立初診資料，就能在官方帳號內預約視訊問診，並按預約時間進入Line診間、進行問診。</p> <p>這款機器人的特別之處，在於後臺能串接醫院HIS，透過API將民眾掛號資訊送至HIS，還能根據民眾的問題，來撈取HIS資訊，將回答彙整成一份資料表，來回答民眾。</p> <p>不只如此，該機器人還能推播通知給民眾，如慢箋領藥、看診預約，甚至，團隊還能透過資料分析，來發送個人化衛教資訊。王立峯形容，這款機器人就像是連結醫院與民眾的溝通橋樑，以民眾熟悉的通訊軟體，來雙向傳遞重要資訊，大幅減少原本視訊問診的溝通成本。臺北醫院也成為，當時少數能做到視訊問診串聯HIS的醫院。</p> <p>這只是臺北醫院練兵的第一步。為盡快推出Chatbot，臺北醫院沒有採用委外專案開發的方式，而是導入商用的Chatbot低程式碼開發平臺來開發。透過平臺提供的拖拉式設計介面，快速設計出想要的對話應用，也直接在平臺上進行模擬測試和發布管理，只用了短短一個月時間，就可以上線行動醫療助理機器人。</p> <p>有了行動醫療助理機器人的成功經驗，臺北醫院進一步將Chatbot串接HIS，今年要在內部專用的通訊App上推出3大新功能，包括給醫師使用的藥品查詢功能、危險通報和醫師會診通知。醫師不必再透過網頁查詢藥品資訊，可直接在通訊App上查詢藥品。而會診通知方式，也一改過去的簡訊通知，改讓醫師直接在這款App上查看會診資訊和歷史記錄，不受其他資訊干擾。</p> <p>臺北醫院的智慧醫療建設不只聚焦在Chatbot，也同時發展數位同意書簽署應用，並引進電子紙床頭卡，換新病床床頭卡介面、整合呼叫等更多功能和資訊，來改善病患服務。</p> <p>此外，臺北醫院也鎖定醫院藥局，開始布局智慧藥櫃和庫存應用，還要導入智慧櫃檯，來翻新診間櫃檯和調劑檯。今年，團隊還有一項創新的智慧醫療應用，要在醫院App中新添院內導航功能，利用箭頭指示，來帶領民眾至所需樓層和診間，就像是Google地圖一樣。</p> <p>甚至，王立峯透露，團隊正在評估一套DRG自動編審軟體，來減輕人力編審負擔。DRG是一種分組式住院支付制度，也就是將醫師診斷為同一類疾病、採類似治療方式的疾病，分為同一組，再根據病人年齡、性別、有無合併症或併發症、出院狀況等類別，再進一步分組。最終得出的組別，就會搭配其他相關記錄，來計算患者應付給醫院的住院費用。</p> <p>因為這套制度的費用計算過程相當複雜，醫院往往得撥出專門人力來處理。臺北醫院同樣也面臨這個問題，想要藉助AI，來分析醫師撰寫的病患病程記錄（Patient note），如手術碼、ICD疾病分類碼，由AI建議最佳DRG代碼，再交給人工核對，來縮短時間、降低專門人力的負擔。</p> <p><span style="font-size:28px;"><strong>下一步：人機協作、次世代HIS</strong></span></p> <p>如同許多醫院，AI也是臺北醫院智慧醫療藍圖的重點之一。王立峯點出，AI適合用於人力短缺和減少醫療錯誤的場景，比如藉AI加速醫師判斷患者狀況，或透過智慧藥櫃，來提供正確的藥物給病人，甚至借助人機協作，來輔助護理師照顧病人。如何善用AI改善人力不足、確保醫療正確性，是臺北醫院接下來的努力方向。</p> <p>對臺灣醫院產業來說，臺北醫院還肩負一個重要任務：擔任衛福部次世代HIS的首家示範醫院。衛福部自去年底開始規畫次世代數位醫療平臺，這個平臺有2種意思，一是採FHIR標準的資料交換平臺，各家醫院可將自家HIS資料傳送至該平臺，來與政府單位交換資料。另一是衛福部主導開發的公版HIS，供26家衛福部醫院使用。臺北醫院正是衛福部率先展開次世代HIS需求訪談的醫院，將配合導入新一代HIS，為其他衛福部醫院開先河。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>衛福部臺北醫院資訊室主任王立峯</strong></p> <p>學歷：美國德州休士頓大學電腦科學系畢業</p> <p>經歷：1988年於臺北長庚醫院任職程式設計師，而後進入衛福部桃園醫院擔任資訊室主任。1996年至2001年間，陸續於馬偕醫院、西螺慈愛醫院擔任資訊課課長，後來於臺中林新醫院和臺中長興醫院擔任資訊室主任。2006年起，於衛福部臺北醫院擔任資訊室主任至今</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>衛生福利部臺北醫院</strong></p> <p>地址：新北巿新莊區思源路127號</p> <p>網址：<a href="http://www.tph.mohw.gov.tw">www.tph.mohw.gov.tw</a></p> <p>成立時間：1941年成立、1999年7月改制</p> <p>主要業務：提供門診、急重症醫療與社區照護</p> <p>院長：鄭舜平</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管姓名：王立峯</p> <p>資訊部門人數：10人</p> <p>資訊部門分工：分系統一組、系統二組、系統三組、網路組，負責全院資訊軟硬體建設</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1993年：第一期整體HIS系統上線、隔年第二期整體HIS系統上線</p> <p>1999年：整體HIS系統改為主從式架構</p> <p>2004年：PACS全面無片化</p> <p>2016年：建置行動護理站照護系統、醫療品質指標系統、採血系統，行動護理站照護系統之護理紀錄宣告電子病歷並斷紙</p> <p>2017年：新版病人安全通報系統、門診儀器連線、檢查報告平臺上線，愛腎圈安卓系統App開發完成</p> <p>2018年：完成交換器換新</p> <p>2020年：上線新版HIS、NIS、MIS</p> <p>2021年：新版洗腎系統上線、導入醫指付</p> <p>2022年：上線零接觸生理量測系統、視訊系統、Line行動醫療助理機器人，床頭卡換新、儀器定位系統上線</p> <p>2023年：建置院內App藥品查詢、危險通知和會診通知新功能</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1127-cio-wang_li_feng_-960.jpg" width="960" height="420" alt="" title="衛福部臺北醫院資訊室主任王立峯　　(攝影／洪政偉)" /></div></div></div>
2023/5/1 00:00作者王若樸https://www.ithome.com.tw/people/156624
英特爾揭2023至2025伺服器平臺藍圖，將推出144顆核心處理器，力抗其他超多核心CPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/xeon_roadmap_2023-2025-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過3年來的技術發展與持續宣傳，採用Intel 7製程、代號為Sapphire Rapids的第四代Xeon Scalable處理器，英特爾終於在今年1月10日正式發表，而後續接棒的伺服器運算平臺，早在兩年前他們已向市場陸續揭露。</p> <p>例如，英特爾2021年上半召開的<a href="https://www.ithome.com.tw/tech/146497">IDM 2.0策略發表會、Accelerated 2021發表會</a>，均預告下一代的伺服器處理器代號，會是「Granite Rapids」，採用<span style="color:#FF0000;"><strong>Intel 4</strong></span>製程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-03-Granite Rapids Intel web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-03-Granite%20Rapids%20Intel%20web.jpg" style="width: 300px;" /></a></p> <p>到了2022年2月的<a href="https://www.ithome.com.tw/news/149504">投資者大會，英特爾正式公開Xeon處理器最新發展藍圖</a>，提出更具體、更大規模的產品規畫布局。在Sapphire Rapids與Granite Rapids之間，他們增設代號為「Emerald Rapids」的下一代伺服器處理器，與Sapphire Rapids同樣採用Intel 7製程、處理器插槽也與Sapphire Rapids相容，預計2023年推出；至於再下一代的伺服器處理器，除了原本預告的Granite Rapids，還增加代號為「Sierra Forest」的產品，分別標榜高效能核心（P-Core）、高效率核心（E-Core）的搭配。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel 2024 Roadmap 1-Xeon 圖片來源／英特爾.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%202024%20Roadmap%201-Xeon%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></a></p> <p>基本上，Granite Rapids著重每顆核心的運算效能，鎖定主流與高階的雲端與資料中心應用需求，而身為第一款基於E-Core而成Xeon處理器Sierra Forest，強調高能源效益，是專為支援雲端原生應用而設計，可因應低延遲或高吞吐量的應用，而且是他們與超大規模的資料中心業者共同設計，其效能與耗電量配置適用於需建置高密度與超高能源效率運算環境的雲端業者。而且，這兩款處理器產品的製程均為技術更新進的<span style="color:#FF0000;"><strong>Intel 3</strong></span>，預計在2024年登場。</p> <p>由於P-Core系列產品是繼承、延續現行Xeon Scalable處理器的高效能路線，因此，大家都很熟悉其產品定位，關於特別增設E-Core系列的具體效益，看起來很抽象。</p> <p>根據英特爾企業副總裁暨Xeon與記憶體事業群總經理Lisa Spelman當時所發表文章指出，原本由單一P-Core所占用的實體空間，可改用多個E-Core，如此能在單顆處理器與單座機櫃的部署層級，提供更高的運算密度。此種說法一出，似乎暗示英特爾將基於這樣的設計架構，而能發展出內建更多顆運算核心的Xeon處理器，但真是如此嗎？</p> <p>這個謎底在今年3月底揭曉，因為英特爾在線上召開資料中心與人工智慧投資者研討會，公布第四代Xeon Scalable的客戶採用狀況之餘，更明確介紹後續產品的發展現況、供應市場的時程，以及主要特色，當中特別提到Sierra Forest將內建144顆運算核心，正式投入超多核心的伺服器運算平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-29-Xeon Roadmap 2025 圖片來源／英特爾-Web.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-29-Xeon%20Roadmap%202025%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE-Web.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>Emerald Rapids定名為第五代Xeon Scalable</strong></span></h3> <p>根據英特爾去年2月公布的Xeon處理器產品發展藍圖，在第一款採用P-Core設計的Sapphire Rapids問世之後，下一款同樣搭配P-Core的伺服器處理器，會是Emerald Rapids，具有效能改善，以及基於既有平臺而延伸的記憶體、安全性效益，主打易於採用與升級物超所值的特色。</p> <p>而在今年3月英特爾揭露的伺服器產品線最新發展進度中，他們正式將Emerald Rapids稱為第五代Xeon Scalable處理器，並表示從工廠端生產出來的矽晶片品質相當高，目前正在進行產品的大量驗證，而從3月29日起，他們對客戶供應樣品，預計今年第四季開始供貨。</p> <p><a href="https://s4.itho.me/sites/default/files/images/第五代Xeon Scalable.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%BA%94%E4%BB%A3Xeon%20Scalable.jpg" style="width: 600px;" /></a></p> <p>英特爾執行副總裁暨資料中心與人工智慧事業群總經理Sandra Rivera表示，第五代Xeon Scalable提供更多顆處理器核心，而且相容於第四代Xeon Scalable，未來若要升級硬體，能在最少的相容性驗證負擔之下，將既有系統輕易地遷移至第五代Xeon Scalable，並在相同的耗電量範圍內，提供更高的每瓦效能，以及透過新一代CPU內建的多種硬體加速器、強化的安全性特色，以及增長的運算效能，加快整體系統的部署速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-DCAI-Webinar-Rivera-1-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-Emerald-Rapids-Chip-1-web.jpg" style="width: 298px;" /></p> <h3><span style="color:#0000FF;"><strong>2024年上半將推出144顆核心的伺服器CPU</strong></span></h3> <p>在Emerald Rapids發表之後，英特爾下一個推出的伺服器平臺，是採用E-Core設計的處理器Sierra Forest，目前已有客戶拿到這款晶片，即日起他們開始對外提供樣品，預計在2024年上半出貨；在這不久之後登場的，則是第三款採用P-Core設計的處理器Granite Rapids。</p> <p>Sierra Forest的推出，象徵英特爾Xeon產品線幾個大創舉。首先，它不僅是第一顆導入E-Core設計的處理器，也是第一顆導入Intel 3製程的處理器，而且令外界震驚的是，當中將一口氣提供多達144顆E-Core核心，Sandra Rivera強調，這款處理器相較於超大量核心的資料中心處理器，以及基於Arm架構、企業自行開發的處理器，具有很強的競爭力，他們開發的E-Core核心Xeon處理器，將會提供最佳的每瓦效能，同時能繼續善用x86指令集架構的生態系統優勢。</p> <p>而在產品發展現況上，Sandra Rivera表示，這款處理器已在本季度稍早進入能用於系統開機啟動的階段，能在矽晶片當中啟動、執行多種作業系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Sierra Forest-2023-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Sierra%20Forest-2023-03.jpg" style="width: 600px;" /></a></p> <p>英特爾副總裁暨Xeon產品事業群總經理Lisa Spelman也公開展示相關配置，她透過一臺裝有Sierra Forest處理器的Linux系統，執行一支能將所有處理器核心用量衝到100％工作負載的應用程式，以此呈現144顆核心的能耐。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-144 Cores-20223-03-30.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-144%20Cores-20223-03-30.jpg" style="width: 600px;" /></a></p> <p>她表示，Sierra Forest目前已從晶圓廠進入伺服器開機、完整啟動作業系統的階段，過程所需時間低於18小時，此舉不僅展示了英特爾的高品質執行力，同時，在產品開發的進度上，帶給他們更大的信心，而在用戶方面的反應也很熱烈，因為目前有幾個頂尖的雲端服務業者的客戶都很有興趣，亟於了解這款高密度產品提供的每瓦效能，希望能以此用於步入成熟發展階段的x86生態系。</p> <h3><strong><span style="color:#0000FF;">2024年稍晚推出的Granite Rapids將支援更高頻寬的記憶體</span></strong></h3> <p>接續在Sierra Forest之後登場的Xeon處理器是Granite Rapids，同樣在2024年推出，發表日期目前尚無法透露，目前已開始提供樣品，也得到客戶的正面評價。Sandra Rivera表示，首批從晶圓廠出爐的Granite Rapids晶片相當健全，整體計畫的推動處於極佳狀態，他們在此項產品工程設計與製造的過程當中，已觸及所有主要的里程碑，而在伺服器廠商方面，英特爾也引述Dell、HPE、聯想這三大客戶高層主管的評語，呈現他們對於Granite Rapids晶片健全發展，以及初步測試結果的印象。</p> <p>由於Granite Rapids上市時間稍晚，英特爾表示，此款Xeon處理器所用的平臺與早一步推出的Sierra Forest相同，因此，可共享Sierra Forest帶來的智慧財產與技術創新，縮短開發與設計時間，而在產品特色上，Sandra Rivera預告，相較於前一代產品（英特爾未明確指出是與第四代或第五代Xeon Scalable相比）Granite Rapids將提供更多運算核心、改善每瓦效能、更快的記憶體存取，以及I/O層面的創新。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Granite Rapids-2023-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Granite%20Rapids-2023-03.jpg" style="width: 600px;" /></a></p> <p>在這次線上說明會當中，英特爾也搶先展出Granite Rapids記憶體應用新特色。Lisa Spelman表示，他們特別針對Granite Rapids平臺，設置了全世界速度最快的記憶體存取介面——英特爾帶領相關的生態系統開發出新的DIMM記憶體模組，稱為「結合多工器的排列（Multiplexer Combined Rank，MCR）」，能基於DDR5規格的DRAM記憶體，將存取速度提升至8,800 MT/s。透過一臺已安裝Granite Rapids處理器與MCR DIMM規格DDR5記憶體的Linux系統，她秀出相關硬體資訊，而從畫面呈現來看，此系統搭配的4支DRAM記憶體，其傳輸速度均為8,800 MT/s，之後執行Intel Memory Latency Checker這項軟體工具來測量讀寫速度，呈現純讀取的效能為188949.7 MT/s，讀寫比例為3比1的效能為259492.3 MT/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Granite Rapids-DDR8800.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Granite%20Rapids-DDR8800.jpg" style="width: 600px;" /></a></p> <p>當記憶體存取速度大幅提升到8,800 MT/s，對於整個IT產業而言，其實還有另一層意義。Lisa Spelman解釋，在人工智慧、高效能運算等多種領域的工作負載執行過程當中，記憶體頻寬是排行第一的效能限制因素，所以，當我們面對現行中央處理器核心數量處於快速增長的發展趨勢，此項記憶體規格的突破至關重要，因為這能確保所有的處理器核心都能夠受到有效運用。</p> <p>根據英特爾的測試，相較於目前伺服器平臺採用的記憶體技術，若系統搭配MCR DIMM規格的記憶體，尖峰頻寬提升的幅度為83％，而在2路伺服器系統當中，記憶體尖峰頻寬達到1.5 TB/s（DDR5-4800的記憶體尖峰頻寬為38.4 GB/s，DDR4-3200的記憶體尖峰頻寬為25.6 GB/s）</p> <p>關於支援更快傳輸速度的DDR5記憶體，其實，在2022年11月舉行的Intel Innovation Taipei大會期間，英特爾企業副總裁暨資料中心平臺工程與架構總經理Zane Ball就已揭露這個發展面向，而且，透過該公司位於臺北的工程團隊所設置的環境，首度公開展示Xeon Scalable處理器平臺支援的記憶體組態，並且透過壓力測試工具來突顯採用這樣組態的系統的穩定執行情況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Innovation%20Taiipei-Xeon1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Innovation%20Taiipei-Xeon2.jpg" style="width: 400px;" /></p> <p>英特爾當時先呈現的組態，是以Xeon Scalable處理器搭配以5600 MT/s速度執行的DDR5記憶體（此處所指的Xeon處理器可能是Emerald Rapids，因為去年9月就有市場傳言指出）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-DDR-5600-2022-11-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-DDR-5600-2022-11-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-DDR-5600-2022-11-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-DDR-5600-2022-11-2%20new.jpg" style="width: 298px;" /></a></p> <p>接下來是搭配新一代Granite Rapids處理器平臺的系統，能支援以6400 MT/s速度執行的DDR5記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-DDR-6400-2022-11-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-DDR-6400-2022-11-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Xeon-DDR-6400-2022-11-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Xeon-DDR-6400-2022-11-2.jpg" style="width: 298px;" /></a></p> <h3><span style="color:#0000FF;"><strong>2025將推出第二款E-Core處理器</strong></span></h3> <p>在Granite Rapids問世之後，再下一個登場的英特爾伺服器處理器平臺，是代號為Clearwater Forest的產品，是接續Sierra Forest的第二款E-Core處理器，預計在2025年上市，這款產品將採用Intel 18A製程，而且也是該公司兌現4年內發展5個製程節點的最終目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-Intel%20Financial%20Report.jpg" style="width: 600px;" /></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/intel-xeon-roadmap">Intel Xeon Roadmap</a></div><div class="field-item odd"><a href="/tags/intel-xeon">Intel Xeon</a></div></div></div>
2023/4/29 17:58作者李宗翰https://www.ithome.com.tw/tech/156630
臺灣進入後疫情時代下半場
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從5月1日起，統籌臺灣COVID-19疫情的中央流行疫情指揮中心，正式宣告解編、退場，而COVID-19的法定傳染病等級，也將從第五類（如新型A型流感、伊波拉病毒感染）改為第四類（如李斯特菌症、水痘併發症、恙蟲病），而相關消息宣布之後，也象徵臺灣民眾工作與生活更進一步回歸正常狀態。</p> <p>從2020年1月20日至今年4月30日，在疫情指揮中心為期長達近1,200天的調度之下，臺灣終於度過這場蔓延全球的世紀浩劫，由於因應疫情得宜，經濟不致受重創。經歷過這段辛苦的期間，相信每個人都有許多共通的心得，而且也體認到許多事情已徹底改變。</p> <p>對於臺灣人而言，戴口罩、噴灑酒精消毒、勤洗手、保持社交距離等個人與公共衛生習慣，已融入生活，雖然如今國家政策相關管制近乎完全鬆綁，但面對其他具有高度傳染性的疾病，民眾將更有自覺，而且已在過去幾年以來，一次又一次地印證我們具有積極關注，以及自發性地配合必要管制的能力。事實上，這些我們學到、長期實作的衛生觀念，也有助於防範其他新興的傳染病。</p> <p>而在企業IT領域，數位轉型的腳步也因此加速。在2020年初，很多對此深有同感的人紛紛轉貼社群媒體一則貼文，內容是：「是誰在帶領你公司的數位轉型？A.CEO，B.CTO，C.COVID-19？＃COVID-19」，2021年5月，世界經濟論壇的推特帳號發文提到，COVID-19的確加速了數位轉型，他們想談談公司如何適應這樣的變局——由於民眾依賴數位服務的狀況大增，例如，大家都在使用娛樂網站串流與網路視訊會議應用，導致網際網路總體用量暴增20％，歐洲電信商Vodafone甚至表示網際網路的流量增加幅度，一度達到50％。</p> <p>而對於一般資訊工作者而言，在疫情相當嚴重的時期，為了避免人員群聚而導致感染，絕大多數都長期經歷必須改從家中連網辦公的形態，許多公司無論規模大小、既有的資安與網路整備度是否足夠，都在當時被迫以過往未見的規模，大量開放員工的遠端存取作業，或是必須緊急改用雲端服務來進行各種協同溝通作業，影子IT（Shadow IT）的狀況也變得更為普遍。</p> <p>隨著疫情逐漸趨緩，如今各個企業與組織大多已回復原本的工作型態，也就是以實體上班、集中作業為主的方式，企業可能要決定是否要繼續維持先前的「開放」政策，在收與放之間該如何取捨，考驗主事者對於企業IT管理所抱持的態度。</p> <p>若企業傾向收攏、強制列管，須通過審核之後才允許存取的作法，有可能會抑制大家工作的彈性、靈活度與生產力；若維持現有方式，未重新評估是否繼續開放存取各種IT服務，諸如暴露在外部網路、難以掌控終端裝置是否處於不當操作與設定，種種安全性因素，或許在疫情期間大家都不得不冒險，彼此有共體時艱的認知，例如，員工知道要謹慎行事，IT人員也有善後的心理準備，但現在可能無法繼續放任，而且大家的心態也不一樣了，例如，員工可能鬆懈而出現資安威脅的可乘之機，IT人員需扛起更多管理責任，而不願冒險、繼續為這些問題埋單。</p> <p>另一個最近讓人擔憂的議題是實體安全，例如，社會治安與公共安全。疫情解封之後，地下幫派活動、黑金與選舉掛勾等爭議，頻頻躍上媒體版面。</p> <p>4月下旬，各地火警頻傳。在24日，調查局本部廉政大樓的一間辦公室失火，而此空間為資通安全處電腦偵辦科所有，根據初步認定，因內部有大量電腦設備，負載量過大而釀災；在25日的早上，聯華食品彰化廠因油炸機臺起火，造成7人死亡15人受傷，台積電興建的苗栗縣竹南科學園區先進封測六廠，當天晚間發生火警。</p> <p>當然，還有虎視眈眈的中國，不僅隔海對峙，國防部網站的即時軍事動態，每天都會發布軍機、軍艦擾臺的狀況，更是國人與全世界都持續關注的焦點，這些不只是隱憂，而是真實威脅。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E5%BD%B1%E5%AD%90it">影子IT</a></div></div></div>
2023/4/29 15:12作者李宗翰https://www.ithome.com.tw/voice/156632
Amazon、蘋果計畫開發LLM強化語音助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google、微軟/OpenAI掀起大型語言模型（Large Language Model，LLM）及聊天機器人服務競爭的同時，Amazon、蘋果也計畫急起直追，開發LLM改善各自的語音助理。</p> <p>奠基在LLM上的聊天機器人（Chatbot）提供直覺化的聊天介面及強大的文字生成能力，應用在用戶與企業服務互動效果，已超越Amazon Alexa、Google Assistant、或Nuance等傳統語音助理。這也讓語音助理業者感受到革新的必要性。<a href="https://www.ithome.com.tw/news/143790" target="_blank">微軟首先於2021年以160億美元收購Nuance</a>，並且藉由OpenAI的投資，取得ChatGPT技術使用權，將AI及LLM整合到旗下產品。</p> <p>本周在財報會議上，<a href="https://seekingalpha.com/article/4597544-amazon-com-inc-amzn-q1-2023-earnings-call-transcript" target="_blank">Amazon執行長Andy Jassy透露該公司以LLM改良Alexa的開發計畫</a>。他指出，該公司的Alexa被應用在數千萬終端娛樂、消費、資訊及智慧家庭服務和裝置，Alexa底層即有大型語言模型，但Amazon現在正在開發規模、能力及通用性都大上許多的模型。他相信這模型可協助Alexa成為全世界最好的個人助理，而且會有更好的商業模式。</p> <p><a href="https://www.ithome.com.tw/news/156411" target="_blank">Amazon Web Services（AWS）部門也宣布Amazon Bedrock。</a>Bedrock讓用戶可透過API使用第三方廠商，如AI 21 Labs、Anthropic及Stability AI的LLM，以及Amazon第一個LLM，名為Amazon Titan。Jassy提及的模型是否為Titan則不得而知。</p> <p>另一家大廠蘋果也被傳有以LLM改良Siri的計畫。蘋果的Siri一向被認為效能不若Google、Amazon及微軟AI的語音助理。<a href="https://www.nytimes.com/2023/03/15/technology/siri-alexa-google-assistant-artificial-intelligence.html" target="_blank">《紐約時報》報導</a>，蘋果近日舉行了生成式AI、LLM相關的內部活動，開放給Siri開發部門，蘋果員工也在測試一些「語言生成概念」的技術，但報導未提及明確的後續計畫。<a href="https://9to5mac.com/2023/03/16/apple-testing-siri-natural-language-generating-chatgpt/" target="_blank">《9to5Mac》報導</a>一個可能是蘋果Siri的初期LLM計畫，近日釋出的tvOS 16.4包含了一個新的軟體框架名為Siri Natural Language Generation，顯示蘋果可能計畫利用LLM在Apple TV上顯示對話能力更強的Siri。</p> <p>不過<a href="https://www.theinformation.com/articles/apples-siri-chief-struggles-as-new-ai-era-begins" target="_blank">《The Information》報導</a>Siri的落後原因可能出在內部組織管理問題。報導引述蘋果前員工指出，2018年前Google員工John Giannandrea接掌蘋果AI部門後管理不善，造成人心浮動，AI和機器學習部門至少有30名人員求去，包括開發Siri的主管及員工，以致於連讓Siri由雲端移到裝置上的計畫都被延宕。</p> <p>《The Information》報導蘋果內部現正陷入Siri開發計畫人員異動的混亂處境，可能對蘋果的LLM開發計畫造成延宕。消息指出，原本開發Siri底層AI的三名主管（Srinivasan Venkatachary、Steven Baker和Anand Shukla）先後被挖角到Google開發Bard等LLM，他們目前在Google協助降低模型訓練成本，以及提升LLM及使用LLM的產品、服務的精準度。</p> </div></div></div>
2023/4/29 13:37作者林妍溱https://www.ithome.com.tw/news/156631
OpenAI更新隱私規範及加強資料保護，義大利解除ChatGPT禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前OpenAI的ChatGPT<a href="https://www.ithome.com.tw/news/156068">資料外洩</a>，發現用戶和ChatGPT的對話標題內容以及敏感資料可被他人存取，因此義大利資料保護局（General Data Protection Regulation， GDPR）認為OpenAI未能符合保護資料安全和隱私的需求，決定<a href="https://www.ithome.com.tw/news/156239">禁止於義大利境內</a>使用ChatGPT。</p> <p>義大利資料保護局要求OpenAI改進ChatGPT的資料處理方式以確保用戶的隱私和資料安全，不然除了禁止使用外也將面臨2,000萬歐元罰款處分。在OpenAI進行改進，包含限制資料的存儲時間，確保資料只用於ChatGPT的特定用途，以及加強資料的安全等措施後，4月28日義大利重新開放ChatGPT的服務。</p> <p>目前若以義大利IP位置瀏覽ChatGPT的使用者，不會再顯示義大利用戶禁止使用（disabled for users in Italy）的文字。相反地，他們會看到一條說明「很高興再次在義大利提供ChatGPT（pleased to resume offering ChatGPT in Italy）」。接著進一步有視窗彈出，使用者必須確認自己已經達到18歲或是13歲、並經過父母或監護人同意使用該服務，通過點選「我符合OpenAI的年齡要求（I meet OpenAI's age requirements）」進行確認後，才可以開始使用ChatGPT。另外，也會出現通知顯示OpenAI的隱私政策，並連接到一篇關於OpenAI如何開發和訓練ChatGPT的文章。OpenAI為了在義大利恢復服務，除了改善本身的隱私安全保護，也向使用者公開其改變。</p> <p>而義大利資料保護局的<a href="https://www.gpdp.it/home/docweb/-/docweb-display/docweb/9881490#english">聲明</a>除了宣布ChatGPT於義大利恢復服務外，也表示OpenAI發送了一封信，其信內容詳細說明了OpenAI所採取的措施，例如隱私政策以及更多有關用於訓練ChatGPT的演算法，包括每個人都有權選擇將自己的資料關閉<a href="https://openai.com/blog/new-ways-to-manage-your-data-in-chatgpt">不參與演算法</a>，這表明OpenAI是合法拿到資料做處理以訓練ChatGPT。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-28_221219.png" style="width: 600px;" /></p> <p>不過根據<a href="https://techcrunch.com/2023/04/28/chatgpt-resumes-in-italy/">Techcrunch指出</a>，OpenAI這些調整是否可以完全解決義大利資料保護局擔憂的問題還不清楚。例如，如果現在的用戶要求刪除其資料，那麼之前用於訓練模型的資料是否會被刪除。因此最大的問題在於當OpenAI第一時間處理個人資訊時，是依據什麼樣的法律。</p> <p>ChatGPT的優勢在於能夠進行自然語言處理和對話，這意味著它能夠更好地理解人們的語言和意圖，從而提供更準確的回答和解決方法。然而隨著ChatGPT在各個領域中的應用不斷擴大，也出現了一些隱患和風險。其中最大的問題之一是資料保護和隱私問題。因為ChatGPT需要龐大的資料庫支持其運作，這些資料包含了許多敏感訊息，如個人身分資料、銀行資訊等。如果這些資料被洩露或不當使用，對使用者將造成很大的損失。因此該公司對資料進行加密和安全保護的管理，和國家如何監管、制定法律規範成為一大課題。</p> </div></div></div>
2023/4/29 13:44作者洪予揚https://www.ithome.com.tw/news/156629
Bing API漲價Brave吞不下去，轉而完全使用自家搜尋索引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應微軟Bing API漲價，<a href="https://brave.com/search-independence/">Brave的搜尋引擎將移除對微軟搜尋引擎Bing的依賴</a>，完全使用自家的索引提供搜尋結果，同時還計畫釋出搜尋API，作為主流搜尋引擎服務的替代產品。</p> <p>Brave在2021年推出Brave搜尋功能時，當時約有13％的查詢需要使用第三方API，才能在各種類的查詢提供品質一致的結果，而在今年Brave搜尋的獨立性分數已經從87％上升到93％，7％的查詢結果來自Bing搜尋API。</p> <p>微軟和OpenAI的擴大合作，使得Bing服務發生變化，Brave官方指出，微軟大幅增加API的定價，對部分和完全使用BIng搜尋API的搜尋引擎，帶來額外的成本壓力。Brave索性完全放棄使用Bing的搜尋服務，但因為Brave擁有獨立的索引和瀏覽器內建交付機制，因此仍有能力繼續改進搜尋索引。</p> <p>目前Brave搜尋的預設結果已經完全來自家搜尋索引，而對於有特殊需求的用戶，也可以啟用Brave搜尋引擎功能Google Fallback Mixing改進搜尋結果。由於Brave搜尋可能對不常見的查詢，難以提供良好的回應，而啟用Google Fallback Mixing則允許Brave以匿名的方式，向Google發送查詢，瀏覽器會將Brave和Google搜尋的結果，混合後呈現給用戶，同時也會將查詢結果送回Brave搜尋，以改進下一次類似的查詢。</p> <p>不過官方也坦言，移除所有Bing API的使用，可能會對特定區域或是語言的查詢結果產生影響，官方鼓勵用戶可以積極回報問題，協助他們改進搜尋引擎。Brave也計畫釋出搜尋API，供其他搜尋應用程式介接使用。</p> </div></div></div>
2023/4/29 12:52作者李建興https://www.ithome.com.tw/news/156626
【資安日報】4月28日，越南駭客透過臉書企業帳號，發布廣告散布惡意軟體SYS01 Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挾持企業臉書帳號，以發布廣告的方式來散布惡意軟體的手法，陸續傳出相關事故，本週有研究人員揭露一支名為SYS01 Stealer的竊資軟體，也以這種型式散布，以此發動攻擊的人可能來自越南。</p> <p>針對Mac電腦的惡意軟體今年也有越來越多的現象，例如，研究人員發現駭客兜售竊資軟體Atomic，就是鎖定這個平臺的系統，並主打能透過50種瀏覽器套件來盜取使用者的加密貨幣錢包。</p> <p>導致公司損失慘重，甚至被迫關門的資安事故，並非僅限於勒索軟體，臺灣傳出有高權限的離職員工對於先前任職公司進行網路攻擊事件，受害公司表示，若遭破壞的資料無法復原，可能無法繼續營運。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/malverposting-with-over-500k-estimated-infections-facebook-ads-fuel-this-evolving-stealer-54b03d24b349"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">越南駭客散布竊資軟體SYS01 Stealer，管道是挾持企業臉書帳號來發送廣告</span></strong></a></p> <p>資安業者Guardio揭露濫用臉書貼文散布惡意軟體的攻擊行動，保守估計全球超過50萬人受害。他們發現有越南駭客組織鎖定美國、加拿大、英國、澳洲的使用者，挾持臉書的企業帳號來發布惡意廣告貼文（Malverposting），藉由付費廣告宣稱提供折扣、免費軟體、線上購物的名義，引誘使用者上當，一旦受害者點選連結，就會下載含有惡意軟體的ZIP壓縮檔，但駭客為了騙過受害人，將壓縮檔裡面的惡意軟體偽裝成圖片，一旦執行就會在受害電腦植入惡意酬載SYS01 Stealer。</p> <p>此惡意程式會在電腦系統的背景默默運作，並定期洩露瀏覽器的Cookie、帳號資料等。研究人員指出，駭客濫用Western Digital和Seagate等硬碟製造商提供的系統工具，以DLL側載的方式執行惡意程式，而能逃過防毒軟體的偵測。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-atomic-macos-info-stealing-malware-targets-50-crypto-wallets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對Mac電腦而來的竊資軟體Atomic，目標是洗劫50種加密貨幣錢包</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FumIda7WAAkfZQq.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FumIda7WAAkfZQq.png" style="width: 300px; float: right;" /></a>資安業者Cyble、Trellix發現名為Atomic的竊資軟體（亦稱AMOS），針對Mac電腦而來，駭客在Telegram頻道以1千美元的訂閱費用兜售，引起研究人員的注意。</p> <p>分析他們所販售的惡意程式之後，研究人員發現，在電腦開機啟動時會透過假的權限對話框，要求使用者輸入密碼，藉此取得受害電腦的系統權限，成功後該惡意軟體便會試圖竊取Keychain的密碼、macOS內建密碼管理器的資料，裡面有網站帳密資料、信用卡資料，還有Wi-Fi密碼等其他資訊。</p> <p>值得留意的是，在搜括完上述資料後，此竊資軟體會進一步在受害電腦上找尋其他資料，例如加密貨幣錢包的應用程式、瀏覽器擴充套件、瀏覽器個人設定檔等，其中，Atomic針對的加密貨幣錢包瀏覽器擴充套件就多達50款。</p> <p><a href="https://www.elastic.co/security-labs/elastic-security-labs-discovers-lobshot-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lobshot透過Google廣告散布</span></strong></a></p> <p>Elastic旗下的安全實驗室揭露惡意軟體Lobshot的攻擊行動，駭客假借提供遠端桌面軟體AnyDesk的名義，透過Google廣告來散布此惡意程式，一旦使用者點選廣告，就會被引導到幾可亂真的冒牌AnyDesk網站，下載、執行安裝程式，若是使用者照做，電腦就會被植入Lobshot。</p> <p>研究人員指出，該惡意程式採用Hidden Virtual Network Computing（HVNC）元件，而使得攻擊者能在不被發現的情況下存取受害電腦。此外，該惡意程式在啟動的時候，也會針對Microsoft Defender進行反模擬檢查，像是確認電腦名稱是否含有HAL9TH、使用者名稱是否為JohnDoe，一旦察覺是此防毒軟體的模擬層環境，Lobshot就會停止運作。</p> <p><a href="https://blog.aquasec.com/leveraging-kubernetes-rbac-to-backdoor-clusters"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kubernetes的API存取控制機制RBAC遭到濫用，駭客接管並用於挖礦</span></strong></a></p> <p>資安業者Aqua Security揭露針對Kubernetes而來的攻擊行動，駭客濫用此系統的API存取控制機制Role-Based Access Control（RBAC），進而在Kubernetes環境建立後門，接著，他們還部署名為DaemonSets的工具，進一步接管Kubernetes叢集的資源。研究人員發現，迄今駭客至少針對60個Kubernetes叢集發動攻擊。</p> <p>駭客先是針對API錯誤配置的伺服器下手，以具有權限的匿名使用者身分，發出未經身分驗證的請求而入侵目標伺服器，進而在Kubernetes建立具有管理員層級權限的服務帳號kube-controller，最終建立DaemonSet工作，從Docker Hub拉取容器映像檔，利用受害伺服器挖取門羅幣。目前駭客已挖到至少5個門羅幣。</p> <p><a href="https://www.uptycs.com/blog/rtm-locker-ransomware-as-a-service-raas-linux"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux、NAS與VMware虛擬化平臺遭到勒索軟體RTM Locker鎖定</span></strong></a></p> <p>資安業者Uptycs於暗網發現Linux版的勒索軟體RTM Locker，主要攻擊目標是VMware的ESXi伺服器，但研究人員指出，該勒索軟體也可以在其他Linux主機、NAS設備上執行。</p> <p>根據其程式碼的分析，駭客很可能是利用勒索軟體Babuk外洩的程式碼為基礎打造。一旦執行，RTM Locker會先利用esxcli命令搜尋正在運作的虛擬機器（VM），然後下達強制停止的指令，再加密ESXi的事件記錄檔案（LOG）、虛擬磁碟（VMDK）、虛擬記憶體（VMEM）、快照檔案（VMSN）等。</p> <p><a href="https://www.cna.com.tw/news/asoc/202304270204.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上影視平臺LiTV雲端基礎設施1月遭破壞，初步調查結果出爐，疑為離職工程師報復，已拘提、交保候傳</span></strong></a></p> <p>根據中央社、聯合新聞網、TVBS等媒體的報導，線上影視平臺LiTV於今年1月24日，發現公司網路遭到入侵，刪除資料庫及提供影音服務的雲端虛擬伺服器。該公司農曆春節期間緊急召回員工搶修，數日後恢復正常，初估損失近3千萬元。</p> <p>刑事警察局接獲報案進行調查，分析被害公司防火牆日誌紀錄，發現設籍基隆市的49歲陳姓資訊工程師涉嫌重大，此人於1月24日利用臺北市松山區商家的Wi-Fi無線網路，盜用該公司員工帳號連線防火牆設備，存取內部網路，然後再使用公司管理層的帳號登入AWS及GCP，刪除雲端伺服器及資料庫內容。由於陳姓嫌犯曾任職LiTV，不排除上述行為是挾怨報復。</p> <p>刑事局專案小組2月20日拘提到案，陳嫌辯稱犯案動機與訂閱LiTV影視服務有關，警方訊問後依涉嫌妨害電腦使用罪嫌解送北檢偵辦，檢察官諭令陳嫌以10萬元交保候傳。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cloud.google.com/blog/products/chrome-enterprise/secure-enterprise-browsing-more-data-protections-visibility-and-insights"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">強化企業版本Chrome安全，Google提供擴充套件評估工具</span></strong></a></p> <p>Google宣布強化企業版Chrome瀏覽器的安全性，將針對3種領域進行改進。首先是對於資料外洩防護（DLP）的部分，該公司結合了3項新功能，第1個是能根據裝置的安全狀態派送DLP政策，再者，則是能禁止使用者存取特定網站（或特定類型的網站），其次，新的防護措施也能防範使用者不慎印出含有機敏資料的文件。</p> <p>第2個Google強化的項目則是擴充套件的管理，他們與CRXcavator和Spin.AI合作，提供瀏覽器擴充套件的風險評估工具。第3個部分則是安全事件分析的功能，該機制會在使用者安裝擴充套件，或是瀏覽器當機的時候通知管理者，讓IT人員確認過程是否出現異常。</p> <p> </p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://securityaffairs.com/145307/cyber-warfare-2/canadian-gas-pipeline-disruptive-attack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大天然氣管線遭到俄羅斯駭客Zarya攻擊</span></span></strong></a></p> <p><a href="https://cybernews.com/security/peugeot-user-data-leak-south-america/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">南非Peugeot分公司外流車主資訊</span></span></strong></a></p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/hiddenads-spread-via-android-gaming-apps-on-google-play/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">山寨Minecraft手機App在系統背景載入廣告牟利</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156594">【4月27日】中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156575">【4月26日】法務部調查局資通安全處失火，疑為電腦設備負載過大造成</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156554">【4月25日】 PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成</a></strong></p> </div></div></div>
2023/4/28 16:58作者周峻佑https://www.ithome.com.tw/news/156623
AWS首季營收成長16%，史上最低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.aboutamazon.com/news-release/news-release-details/2023/amazon.com-announces-first-quarter-results/default.aspx" target="_blank">Amazon本周公布了2023財年的第一季財報</a>，該季Amazon創下1,274億美元的營收，比去年同期成長9%，其中，北美電子商務市場占了768億美元，成長11%，國際電子商務市場占291億美元，成長1%，而旗下雲端運算服務AWS營收則是214億美元，成長16%，而這也是Amazon自2015年開始於財報中公布AWS營收之後，成長幅度最低的一季。但因Amazon第一季的財報表現超越華爾街分析師的期待，當天Amazon股價上漲了4.61%，以109.82美元作收。</p> <p>近一年來AWS每季營收的成長幅度逐漸下滑，從去年第二季到今年第一季依序成長了33%、27%、20%及16%。</p> <p>Amazon執行長Andy Jassy表示，整體環境讓AWS客戶在支出時更為謹慎，但Amazon除了會協助客戶節省成本之外，也會透過更容易利用的大型語言模型（LLM）與生成式人工智慧（Generative AI ）來建立長期的客戶關係，相信未來會有更大的成長。</p> <p>該季Amazon的北美電子商務締造了8.98億美元的營業利潤，該業務去年同期虧損了15.68億美元；國際電子商務則虧損12.47億美元，略低於去年同期所虧損的12.81億美元。至於AWS則替Amazon帶進51.23億美元的營業利潤，但低於去年同期的65.18億美元。</p> <p>整體而言，今年第一季Amazon的淨收入為31.72億美元，<a href="https://www.ithome.com.tw/news/150687" target="_blank">去年同期該公司虧損38.44億美元</a>。</p> <p>另一項值得注意的是Amazon在今年第一季的員工人數為146.5萬人，足足比去年同期少了10%，<a href="https://www.ithome.com.tw/news/156011" target="_blank">且今年第一季的裁員規模似乎超乎外界想像</a>，去年第四季Amazon仍有154.1萬名員工，透露出該公司光是在今年第一季就少了7.6萬人。</p> </div></div></div>
2023/4/28 16:20作者陳曉莉https://www.ithome.com.tw/news/156622
Google承諾在Authenticator添加端到端加密，降低同步新功能的隱私與安全風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://twitter.com/mysk_co/status/1651021165727477763?s=19">Mysk</a><a href="https://twitter.com/mysk_co/status/1651021165727477763?s=19">資安研究人員提醒</a>Google Authenticator使用者，先別急著啟用新加入的<a href="https://www.ithome.com.tw/news/156549">帳號同步功能</a>，因為Google並未在同步中使用端到端加密，用戶的雙因素驗證二維碼可能有洩漏風險，而Google則回應，之後計畫添加端到端加密功能，確保雙因素驗證秘密資訊同步的安全性。</p> <p>Google在身分驗證應用程式Authenticator新添加同步功能，供使用者將該程式用於產生一次性驗證碼的雙因素驗證二維碼備份到Google帳號中，方便用戶在更換裝置時，依然能夠重新安裝Authenticator，並且繼續用於登入受Authenticator雙因素驗證保護的帳號。</p> <p>雖然這項功能很方便，但是也存在安全風險，Mysk公司的資安研究人員提到，他們分析應用程式同步秘密時的流量，發現該流量並沒有經端到端加密。Google沒有提供密碼保護Authenticator秘密資訊只能由用戶存取，也就是說，Google或是第三者能夠看到使用者的秘密資訊。</p> <p>由於雙因素驗證二維碼可用於生成用戶專屬的一次性驗證碼，當有其他人知道這個秘密，就能夠用來生成相同的一次性驗證碼，破壞雙因素驗證的保護，所以只要發生資料洩漏，或是惡意人士非法存取使用者的Google帳戶，雙因素驗證的秘密資訊便會洩漏。</p> <p>不只如此，因為雙因素驗證的二維碼通常包含帳戶名稱和服務名稱，因此Google可以透過分析這些資料，知道使用者所使用的線上服務，並且可能將這些資訊用於個人化廣告。</p> <p><a href="https://twitter.com/christiaanbrand/status/1651279598309744640">Google身分與安全產品經理Christiaan Brand則在推特上回應</a>，雖然端到端加密能夠提供強大的保護，但是缺點是在部分情況下，用戶可能無法恢復遭到鎖定的資料，他表示，對大多數使用者來說，目前Authenticator的功能在安全和方便性取得平衡，但是他們也計畫會在Authenticator提供端到端加密功能，對於更注重安性的人，他建議可以先使用離線模式。</p> </div></div></div>
2023/4/28 16:06作者李建興https://www.ithome.com.tw/news/156617
Clubhouse將裁撤半數以上員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年開始測試，並於2021年初爆紅的<a href="https://blog.clubhouse.com/april-27-2023/" target="_blank">語音社交平臺Clubhouse在本周宣布</a>，將裁撤半數以上的員工，同時重整公司以向Clubhouse 2.0邁進。</p> <p>Clubhouse是由Paul Davison與Rohan Seth在2019年秋天共同創立，於2020年3月進入測試階段，當時剛好是COVID-19疫情爆發初期，益發使得Clubhouse的語音聊天室受到各界矚目，即便第一年僅支援iOS且處於邀請制，仍在2020年底吸引了60萬名註冊用戶，在馬斯克（Elon Musk）及祖克柏（Mark Zuckerberg）於2021年初相繼加入Clubhouse之後，Clubhouse的每周用戶數迅速成長至超過1,000萬人。</p> <p>Clubhouse風潮不僅讓Facebook、Reddit、Telegram及Twitter等眾多知名社交網站爭先恐後地仿效，也讓Clubhouse在2021年4月創下40億美元的身價，員工人數從9名快速增加至超過100名，而最近的員工數量則接近100名。</p> <p>不過，Clubhouse在本周宣布組織重整，將裁撤過半數的員工，強調該公司並無立即的成本壓力，裁員的主要原因是為了能夠更有效率地運作，加速不同團隊之間的協作，以更小型的團隊來加速開發並保持專注，以便發展下一階段的產品。</p> <p>Davison與Seth這兩名創辦人表示，他們對於Clubhouse 2.0已有清楚的願景，相信透過更精簡的團隊將能更快地描繪出細節並打造正確的產品。</p> </div></div></div>
2023/4/28 14:15作者陳曉莉https://www.ithome.com.tw/news/156618
AI趨勢周報第213期：HuggingFace開源聊天機器人，號稱媲美ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0421～0427)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">HuggingFace </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HuggingChat </span></strong></span></p> <p><span style="font-size: 22px;"><strong>HuggingFace開源聊天機器人HuggingChat，號稱媲美ChatGPT</strong></span></p> <p>知名AI新創暨開源社群HuggingFace剛開源一款聊天機器人<a href="https://huggingface.co/chat/">HuggingChat</a>，一般使用者可拿來對話、寫程式、寫電子郵件甚至是饒舌歌詞，開發者則能用開源程式碼來打造更多應用，或用HuggingFace的API來串接第三方App。</p> <p>這款聊天機器人採用Open Assistant開源助理專案的模型，該專案是由德國一間非營利組織LAION發起，該組織因建立文字轉圖像AI模型Stable Diffusion的訓練資料而聞名。Open Assistant的目的要提供可在通用硬體上執行的對話式AI，且要能根據個人需求來個人化回答。目前，Open Assistant模型以Meta的大型語言模型LLaLM為基礎來運行，但長期計畫是要採用各類大型語言模型，來提供更強大的對話功能。<a href="https://huggingface.co/chat/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CancerGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 癌症 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 協同作用 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國大學聯手打造CancerGPT，可良好預測癌症藥物協同作用</strong></span></p> <p>美國德州大學、麻州大學阿默斯特分校以及德州大學健康科學中心聯手打造一款大型語言模型CancerGPT，擁有1.24億參數，可預測一組組藥物在特定人體組織中的協同作用（Synergy），甚至其少樣本預測的能力，可比具1,750億參數的GPT-3。</p> <p>進一步來說，長年的實驗證明，多種藥物組合比單一藥物的治療還有效，特別是對癌症、神經系統失調等疾病。但要找出合適的藥物組合，仍是一大挑戰。鑑於目前的藥物研究側重於預測藥物協同作用，美國幾所大學研究團隊決定採用大型語言模型，利用模型已具備的科學知識，再透過小樣本訓練，來預測藥物協同作用。經測試，團隊發現，CancerGPT即使在零樣本條件下，也能獲得相當高的準確性，替通用生物醫學AI埋下伏筆。<a href="https://arxiv.org/abs/2304.10946">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-04-28%20120600.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Bard </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 除錯 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Bard也能幫寫程式碼和除錯了 </strong></span></p> <p>Google持續強化聊天機器人Bard，最近宣布Bard可協助開發者撰寫程式碼和除錯了。今年3月，Google才以預覽版開放美、英少數用戶申請試用Bard，現在，除了草擬文章、邀請函、整理會議待辦事項、解答使用者提問功能外，還新添開發輔助功能，像是生成程式碼、為程式碼除錯及提供解釋的能力。</p> <p>Google表示，Bard支援C++、Go、Java、Javascript、Python和Typescript等20多種程式語言。開發者可將Python程式碼匯出到線上Python編輯器Google Colab，不需複製貼上。此外，Bard還可協助Google Sheets試算表的函式撰寫，甚至在程式除錯部分，還能更正自己撰寫的程式碼。<a href="https://blog.google/technology/ai/code-with-bard/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/5_Bard_Coding_Product_Generation_GIF_Blog_Social_20001124.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 李長榮 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 化工 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 污水處理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣老字號化工廠靠AI每日多處理3倍污水量</strong></span></p> <p>成立將近60年的李長榮化工，近日揭露如何用AI提高製程中水回收效率，達到年省437萬公噸工廠用水，相當於1,750座奧運池。李長榮化工以生產醫療、工業及家庭用品常用的聚丙烯、甲醇、溶劑和熱可塑性橡膠為主，在製程中，許多環節都需要消耗大量的水資源。為了節水，他們很早就導入MBR廢水處理系統，來在製程中重複使用。</p> <p>不過，工廠製程廢水處理，得靠一群生長在⽣物淨化池裡的活性菌種，來處理污水中的微⽣物。為讓養菌更容易，李長榮化工IT團隊打造一套AI馴養控制系統，可根據菌種曝氣池中的環境數據，如溶氧值，來掌握菌種的活動狀態、決定何時該曝氣，以此提高水中含氧量，讓菌種的活動力維持在最佳狀態，提高汙水處理的品質。他們也發現，導入這套系統後，製程污水處理效率大幅提升，從2021年每天平均處理3,661立方公尺，到2023年的每日11,866立方公尺排放量，迄今更可做到年省437萬公噸的工廠用水。<a href="https://www.ithome.com.tw/news/156497">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/pxl_20230414_034619502.jpg?itok=JukfwD2Y" style="width: 960px; height: 420px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 情資分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google也用生成式AI強化自家資安解決方案了</strong></span></p> <p>Google更新自家安全解決方案，在Security AI Workbench、VirusTotal Code Insight和Mandiant Breach Analytics for Chronicle等三大資安服務中整合大型語言模型Sec-PaLM，來新添情資分析等功能。</p> <p>比如在Security AI Workbench平臺中，Sec-PaLM就用來提供威脅態勢、Mandiant漏洞、惡意軟體、威脅指標和威脅參與者基本資料等訊息。再來，用戶可申請使用安全解決方案VirusTotal Code Insight預覽，來享有Sec-PaLM加持的惡意腳本行為分析和解釋功能。而Mandiant Breach Analytics for Chronicle也整合Sec-PaLM，讓用戶不需要學習新語法，就能用自然語言搜尋安全事件，並進一步分析搜尋結果，或快速建立掃描任務。</p> <p>不只如此，Google安全指揮中心也用Sec-PaLM，來將複雜的攻擊圖轉換為人類可讀的攻擊解釋，說明可能受影響的資產和建議解方，同時還能對安全、法遵和隱私生成風險摘要。<a href="https://cloud.google.com/blog/products/identity-security/rsa-google-cloud-security-ai-workbench-generative-ai">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 莫德納 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 量子電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新藥發現 </span></strong></span></p> <p><span style="font-size:22px;"><strong>莫德納藥廠要用生成式AI和量子運算來探索新藥</strong></span></p> <p>美國莫德納藥廠（Moderna）日前宣布要用IBM的生成式AI和量子運算技術，來加強mRNA研究與藥物開發。進一步來說，莫德納將使用IBM的基礎模型MoLFormer，來預測化學分子屬性，幫助研究團隊了解mRNA藥物的特性。</p> <p>其中，MoLFormer是一個大型化學語言模型，可根據小型分子的活動來訓練。團隊希望透過該模型，來最佳化保護mRNA的脂質奈米粒，並用生成式AI來改良配方，設計出最安全有效的mRNA藥物。同時，莫德納也將加入IBM量子加速器計畫和IBM量子網路，來使用IBM量子運算系統進行生技研究。<a href="https://newsroom.ibm.com/2023-04-20-Moderna-and-IBM-to-Explore-Quantum-Computing-and-Generative-AI-for-mRNA-Science">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 通用AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google整併AI研發部門，專攻通用AI</strong></span></p> <p>Google執行長Sundar Pichai宣布合併Alphabet子公司DeepMind和Google研究院的Google Brain部門，成立新事業群Google DeepMind，全力發展AI技術。這個新事業群，將由DeepMind執行長Demis Hassabis掌舵，將帶頭開發負責任通用型AI系統，而Google Brain領導人Jeff Dean則升為Google研究院及DeepMind首席科學家，負責帶領關鍵AI技術專案，如多模態AI模型開發。</p> <p>此外，Google DeepMind將整合Google Brain和DeepMind的AI研發成果，包括AlphaGo、Transformer、文字表示模型word2vec、音訊波形深度生成模型WaveNet、蛋白質結構預測模型AlphaFold、序列到序列模型、蒸餾技術、深度強化學習、分散式系統及TensorFlow、JAX等用於表徵、訓練及部署大型ML模型的軟體框架。<a href="https://blog.google/technology/ai/april-ai-update/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Stability AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Stability AI開源數十億參數LLM模型，雖小但高效能</strong></span></p> <p>AI新創公司Stability AI最近開源可生成文字和程式碼的大型語言模型（LLM）StableLM，包括30億參數和70億參數版本的模型，之後還會新添150億和650億參數的版本。Stability AI表示，StableLM作為基礎模型，可產生文字和程式碼，衍生多種應用，證實小模型只要經適當訓練，也能高效能產出。</p> <p>StableLM的訓練資料來自The Pile的最新實驗性資料集，內容含1.5兆個token，資料集相當豐富。也因此，即使StableLM模型只有30億到70億個參數，但能在對話和寫程式任務上能提供極高效能。此外，Stability AI也將開源經指令微調的研究模型，這組模型將使用近日開源的5個聊天機器人的綜合資料集來訓練，包括Alpaca、GPT4AII、Dolly、ShareGPT和HH等。<a href="https://stability.ai/blog/stability-ai-launches-the-first-of-its-stablelm-suite-of-language-models">（詳全文）</a></p> <p>圖片來源／德州大學、Google</p> <p>攝影 / 余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Meta開源可以把素描變成動畫的AI專案Animated Drawings</strong></p> <p><strong>2. Amazon推出雲端AI模型平臺Bedrock、大型語言模型Titan</strong></p> <p>資料來源：iThome整理，2023年4月</p> </div></div></div>
2023/4/28 11:52作者王若樸https://www.ithome.com.tw/news/156610
【中鋼5G專網應用1】5G結合AI強化軌道運輸安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><strong><span style="font-size:28px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 場景1 </span></span> <span style="color:#3399ff;">廠區內利用軌道運輸原物料</span></span></strong><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A81-1.png" style="text-align: center; width: 600px;" /></p> <p><strong><span style="font-size:20px;">在中鋼高雄小港廠區內，因占地相當廣，鐵水或廢渣需依靠軌道運輸載運。圖中的動力機關車是廠區內重要的運輸載具之一，這些機關車採用柴油為動力，後面可掛載特製的容器，可擔任鋼渣車或是專門載運高溫鐵水的魚雷車。</span></strong></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 場景2 </span></span> <span style="color:#3399ff;">在鋼渣車軌道線建置基地臺</span></strong></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A81-2.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:20px;"><strong>為強化軌道運輸安全，中鋼在廠區內推動智慧軌道運輸，首先在長達900公尺的鋼渣車軌道線上建置5G NSA專網，以3座大型4G/5G基地臺涵蓋整條渣車軌道線，在3座轉爐下方的室內空間建置3個小型基地臺。</strong></span><span style="color:#696969;">圖片來源／NCC</span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 場景3 </span></span> <span style="color:#3399ff;">以5G傳送行車即時畫面</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A81-3.png" style="text-align: center; width: 591px;" /></p> <p><span style="font-size:20px;"><strong>為確保鋼渣車在軌道上行駛安全，鋼渣車在車頭前方及後方，各設置1支5G攝影機，通過5G專網傳輸即時的行車影像到監控中心，前方的攝影機拍攝鋼渣車前方軌道的即時行車畫面，可觀看前方軌道是否有異物入侵，目前為人工監看畫面，中鋼表示，未來可開發前方鏡頭專用的AI異物偵測模型，自動辨識鋼渣車前方軌道是否有異物，例如人員、作業機具或車輛滯留，一旦發現軌道上的異物，立即向司機員告警，避免發生軌道車碰撞事故。至於後方攝影機則拍攝鋼渣車載運的渣桶即時畫面。</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 場景4 </span></span> <span style="color:#3399ff;">AI偵測滯留人車強化平交道安全</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A81-4.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:20px;"><strong>為強化平交道安全，中鋼在鐵路平交道設置攝影機，透過5G傳送即時影像畫面，由AI偵測來往的車輛、行人，可辨識廠區內的作業車輛，當偵測到平交道滯留人車，平交道柵欄放下後，3秒內立即通知司機員，避免發生交通事故造成人員傷亡。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／中鋼</span></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#FF8C00;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#FF8C00;"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><span style="color:#FFFFFF;"><span style="font-size:20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:44作者蘇文彬https://www.ithome.com.tw/news/156584
【中鋼5G專網應用2】以多視角影像及數位分身提高接渣精準度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 場景1 </span></span> <span style="color:#3399ff;">鋼渣車載運渣桶前往接渣</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A82-1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>轉爐煉製鋼液的過程中產生廢渣，需由鋼渣車協助清運，鋼渣車由動力機關車，中間為隔離車，後方則是渣桶，司機員駕駛鋼渣車抵達轉爐下方，接渣後載運廢渣到渣場傾倒，整條渣車軌道建置5G專網，傳輸行車前後即時影像，以及平交道影像、AI偵測異物，來提升軌道行車安全。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 場景2 </span></span> <span style="color:#3399ff;">司機員透過多視角即時畫面、數位分身完成接渣</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A82-%EF%BC%92.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>鋼渣車載運空渣桶到達轉爐下方後，司機員會下車到旁邊的避渣小間，透過平板電腦連接網頁，從網頁上觀看5G傳送的多個現場影像畫面，包括渣車後方、轉爐倒渣畫面，還可通過網頁下方虛擬渣車與轉爐的數位分身，掌握渣桶和轉爐相對位置，搭配AI判斷爐渣落點（下方圓點），提高接渣精準度。</strong></span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／中鋼</span></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:44作者蘇文彬https://www.ithome.com.tw/news/156587
【中鋼5G專網應用3】以5G大頻寬、低延遲打造AR導覽新體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色1 </span></span> <span style="color:#3399ff;">戴上AR眼鏡導覽虛擬產線</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A83-1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>因熱軋產線工作繁重，傳統的人工導覽進入現場，增加工作負擔，且產線長、環境吵雜，影響參訪品質，中鋼打造虛擬產線，利用5G的高速、低延遲，讓參訪者戴上AR眼鏡，就能看到整條虛擬產線，即時的互動導覽，降低現場人工導覽的工作負擔。</strong></span></p> <p class="rtecenter"><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色2 </span></span> </strong><span style="font-size:28px;"><span style="color:#3399ff;"><strong>虛擬產線的AR導覽畫面</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A83-2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>戴上AR眼鏡後，可以擴增實境的方式瀏覽整條虛擬的熱軋產線，導覽特定設備的生產說明，例如粗軋的製程說明、設備資訊等等，未來AR眼鏡還可作為新進人員訓練之用。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／中鋼</span></p> <p class="rtecenter"><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色3 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>使用平板電腦導覽虛擬產線</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A83-3.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>由於AR眼鏡成本較高，也能透過平板電腦來瀏覽虛擬產線，以觸控方式隨意移動瀏覽虛擬產線，放大瀏覽某個生產設備的細節，觀看導覽影片的說明介紹。</strong></span></p> <p class="rtecenter"><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色4 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>虛擬產線未來可發展數位分身</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A83-4.png" style="width: 600px;" /></p> <p><strong><span style="font-size:20px;">目前虛擬產線的導覽，模擬鋼胚在不同生產過程，中鋼表示加上物理模型，連結實體產線數據，未來可發展為產線數位分身，模擬產線調整對產能帶來影響，向數位工廠更進一步。</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:44作者蘇文彬https://www.ithome.com.tw/news/156611
【中鋼5G專網應用4】以5G AIoT即時監控產線改善生產良率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>熱軋產線上的加熱爐</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A84-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>熱軋產線從保溫坑、加熱爐開始，鋼胚經過粗軋、精軋、盤捲等一連串的過程，為了動態監控鋼胚在生產過程中是否出現異常，導致產線設備停止運作或設備損壞，中鋼與廠商合作，在第二熱軋鋼帶工廠打造5G SA專網，應用在產線上，利用攝影機拍下鋼胚的即時畫面，經5G專網將影像送到靠近產線的機房，由AIoT伺服器的模型辨識，自動判別鋼胚異常與否，再將結果送回平板電腦。此外，中鋼也將這個應用推到鋼帶的監控上，用以監控鋼帶在生產過程中是否出現位置偏移，一旦發現偏移，及早調整改善，避免最終產品成為不良品，透過AI輔助監控，降低現場人員的工作負擔，同時提升產品的良率。</strong></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>利用AI判別鋼胚異常</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A84-2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>在生產過程中，以攝影機拍攝粗軋後鋼胚的即時影像，送到靠近產線的AIoT伺服器，由AI取代老師傅的人工經驗或感測器，自動判別每個鋼胚經過粗軋後，上抬或下沈角度是否超出容許範圍，如發現超出容許值，判定異常等級，自動將鋼胚再送回重新粗軋。圖為這套監控系統畫面，左上為該鋼胚ID，左下為影像分析畫面，右上方為AI判別結果，右下方則是影片串流畫面。即時判斷鋼胚異常等級，立即重新調整，避免鋼胚上捲彎曲，甚至設備損壞。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／中鋼</span></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:45作者蘇文彬https://www.ithome.com.tw/news/156612
【中鋼5G專網應用5】在產線利用5G和遠端專家協作解決維修難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 舊有維修作法 </span></span> <span style="color:#B22222;">帶上厚重手冊、使用對講機和控制室對話</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-%E8%88%8A.png" style="width: 600px;" /></p> <p><strong><span style="font-size:20px;">舊有的中鋼維修作法和傳統製造業相似，當生產線上的設備發生異常時，控制中心收到設備搶修的請求，呼叫值班的維修人員到場搶修，維修人員往往面臨3個困難，第1是需要帶上大量手冊文件資料，加上攜帶的維修工具，現場搶修時需要一邊翻閱文件資料，一邊確認設備狀態，相當不便。第2個困難是，當維修人員在現場維修，往往不知道設備回傳的訊號，因此維修人員需要以無線對講機和控制室對話，詢問回傳數值。第3個困難是，如果遇到不熟悉的設備，現場無法處理時，而有經驗的師傅可能因為已下班或是正在休假中，無法親自到現場協助維修，這時現場維修人員就需要打電話和師傅聯絡，但受限於只能以語音通話進行溝通，遠端的師傅無法看到維修現場畫面，不易了解現場狀況，造成雙方溝通協作上的困難，加上現場作業環境可能較為吵雜，雙方溝通品質不良，出現雞同鴨講的情形，使得搶修效率低落，進而延長產線受影響的時間。</span></strong></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 新維修作法特色1 </span></span> <span style="color:#3399ff;">以平板掃描設備電子標籤</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>中鋼與工研院合作開發的遠端專家協作系統，依不同地點，例如在產線的作業區，運用5G的大頻寬、低延遲，不僅支援產線即時影像傳輸，也能讓現場維修人員透過一臺平板電腦進行維修作業，搭配平板專用App，掃描設備上的電子標籤，即時取得相關的設備資訊。</strong></span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 新維修作法特色2 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>即時取得維修文件資料</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>平板電腦掃描特定設備上的電子標籤，可以線上取得該設備的維護文件資料，不再需要攜帶大量手冊資料，在平板電腦就能直接查詢，甚至瀏覽過去的維護紀錄。</strong></span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 新維修作法特色3 </span></span> </strong><strong><span style="color:#3399ff;"><span style="font-size:28px;">用平板即時取得設備運作相關數據</span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-%EF%BC%93.png" style="width: 600px;" /></p> <p><strong><span style="font-size:20px;">過去維修人員如果要取得設備的運作數據，需透過對講機和控制中心對話，現場作業環境吵雜，影響對話品質，甚至可能因此聽錯。現在，平板電腦掃描電子標籤後，即時以AR秀出該設備運作資料，例如設備的規格、油壓值、溫度等等，不需再透過對講機向控制室取得數據。</span></strong></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 新維修作法特色4 </span></span> </strong><strong><span style="color:#3399ff;"><span style="font-size:28px;">靠視訊和遠端專家協作解決維修難題</span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-%EF%BC%94.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>維修人員到產線進行維修工作，如遇到不熟悉的設備或是難以解決問題，現場又沒有豐富經驗的專家或老師傅可提供協助，現在使用平板電腦，利用產線的5G專網就能和遠端的專家視訊協作，甚至開放共享現場設備畫面，在專家協助下找出原因予以解決。</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:45作者蘇文彬https://www.ithome.com.tw/news/156614
【50年老牌鋼鐵廠如何用5G加快智慧製造腳步】從戶外軌道運輸到製造現場，中鋼用5G加速轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「運用新工具及新的技術，讓整個生產效率提高，良率能夠提高，產能也因此提高、降低成本，同時減少排碳」，中鋼綠能與系統整合研究發展處長陳宗榮說，這幾年中鋼積極擁抱新技術，推動智慧製造，試圖翻轉傳統鋼鐵製造的勞力密集、高溫作業、高工作風險現況。</p> <p>因應國內外鋼鐵市場競爭，走向少量多樣精緻鋼品策略的中鋼，在2018年成立智能產銷委員會（PMIC），由當時由執行副總，現為中鋼總經理的王鍚欽領導，並由綠能與系統整合研究發展處作為召集人，來加速中鋼內部導入AI應用。如今，在這些年發展之下，AI在各方面的應用更深更廣，2021年公司成立50年之際，宣示未來發展精緻鋼廠、發展綠能產業兩大主軸，為中鋼接下來50年的競爭力定下目標，其中精緻鋼廠提出多項策略，人工智慧物聯網AIoT即是一個相當重要的策略。</p> <p>陳宗榮表示，精緻鋼廠的重點在於發展精緻鋼鐵，也就是要做附加價值更高、競爭力更好的產品。因此中鋼擁抱新技術，以AI為例，透過智慧化將人的經驗，轉化為方案或模型，先在一些產線上進行概念驗證測試，驗證成功之後，再將成功的經驗複製到相似的產線作業上，例如在產品生產過程中，傳統依靠人工來檢視產品缺陷，依照經驗將缺陷分等級，而透過AI，利用機器學習辨識影像，找出缺陷並且判斷缺陷的等級。</p> <p><span style="font-size:28px;"><strong>導入5G強化AIoT應用</strong></span></p> <p>至於IoT方面，原本在無線技術上，中鋼已使用Wi-Fi、4G，國內5G在2020年開臺，5G的高傳輸、低延遲、大連結特性，相較於4G更為適合特定場域應用，也吸引中鋼的興趣，該公司在2021年6月規畫導入5G專網，內部成立一個創新前瞻技術研發專案，為中鋼內部最高層級的研發專案之一，須向董事長提報核准，每3個月由總經理管考執行狀況。</p> <p>位於高雄小港的中鋼小港廠區佔地500公頃，相當於20座台北大安森林公園，在這個諾大的小港廠區內包括行政辦公區、生產作業區，因此在5G公用網路之外，為確保頻寬專用，降低產線數據外洩的風險，中鋼規畫導入5G專用網路(專網)。</p> <p>然而，中鋼面臨的首個問題是，該選擇哪些場域作為5G的驗證場域。鋼鐵煉製的過程是，先將鐵礦砂通過高爐化為鐵水，鐵水再送至煉鋼廠吹氧除去雜質，產生鋼液，經過連續鑄造成為鋼胚，鋼胚最初厚度達25公分，經過一連串的軋延過程，使鋼胚延展拉長、變薄，厚度減為2公釐，再經過處理成為熱軋鋼卷，當成產品對外銷售，或是當成中間產品送至冷軋處理。</p> <p>最後選定相當重要的熱軋產線，因先前熱軋產線曾發生設備異常離機，甚至影響到整個產線，因此他們寄望在熱軋產線導入5G，開發輔助現場操作維護，維持產線穩定的技術，由於鋼胚在熱軋製程中，為高溫作業環境，如果5G在熱軋產線上能驗證成功，也可擴展到冷軋或前端的原料廠。</p> <p>最後室內封閉的試驗場域選擇第二熱軋工場，作為5G軋鋼智慧工廠的示範場域；中鋼還選擇一個戶外的開闊場域，負責清運轉爐廢渣的渣車線，來導入5G專網，作為5G智慧軌道運輸各項應用的測試場域。此外，中鋼還以第二行政大樓4樓為測試場域，建立5G應用技術實驗室，專門開發各種5G AIoT技術，應用於上述2個場域。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-1(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">中鋼在軋鋼工廠內5G專網架構示意圖，以攝影機的即時影像為例，資訊流經過5G CPE到n79專頻基地臺，經過UPF送到AIoT伺服器，經過AI辨識分析即時影像後，再依UPF、專頻基地臺送到5G MiFi，傳送至平板電腦。中鋼將5G專網視為獨立網域，以防火牆和OT隔絕，5G專網的核心網路也和IT隔絕。</span></span></strong></p> <p><span style="font-size:28px;"><strong>建置戶外及室內2套5G專網</strong></span></p> <p>然而，專網的建置並不如想像的順利，因為在鋼鐵的生產過程中，鋼和鐵最多，而無線通訊容易受到金屬干擾，因此他們在調整訊號上，光是優化訊號範圍、訊號切換就花費不少時間去研究，還曾發現過天車經過時突然沒訊號，調查原因很久才發現問題在哪。</p> <p>中鋼在戶外及室內分別建置5G NSA及SA專網。在戶外的渣車線部分，中鋼和電信業者合作，導入5G NSA非獨立組網架構專網，與5G公網使用相同的商用頻段3.5GHz，仍採用電信業者公網的4G核網，長達900公尺的渣車線建置3座專用4G/5G基地臺，以涵蓋整條渣車線，也在3座轉爐下方的室內建置3個小型基地臺，用來強化轉爐下方的室內訊號，這個戶外渣車線5G NSA架構專網，還建置MEC邊緣運算系統，由於4G核網費用較高，故向電信業者租賃方式，核網安全由電信業者維運管理。這套專網在2021年12月建置完成，上傳速度為158Mbps，下載可達986Mbps。</p> <p>相較於戶外的渣車線，在熱軋工廠內建置的室內5G專網，採用n79專用頻段來架構5G SA獨立組網專網，n79專用頻段為政府預計開放給企業建置專頻專網的頻段，中鋼建置一套獨立的5G核網，並在400公尺長的熱軋產線建置3座5G O-RAN基地臺，5G專網主要用於產線的數據傳輸、訊號控制，至於熱軋工廠內會議室、電氣室、控制室則以25個Wi-Fi 6。熱軋工廠內的5G SA專網於2022年2月完成，上傳為152Mbps，下載為560Mbps，SA專網可調整上下傳比例，上傳速度最高可達230Mbps。</p> <p>另外，相較於Wi-Fi，5G專網成本較高，但5G有較高的資料傳輸正確性及安全性，不需擔心資料的遺失，適合用於產線，至於建置成本較低、具有便利性的Wi-Fi，適合用於人員連網。經過各項評估後，中鋼的專網使用心得是，設備使用5G，人員則使用Wi-Fi。由於5G的資料正確性較高，內部研發人員將5G譬喻為掛號信，無須擔心訊號遺失，至於Wi-Fi則是平信，成本較低，但是不保證信件一定送達，以突顯兩種無線技術間的差異。</p> <p><span style="font-size:28px;"><strong>確保5G專網的資安架構</strong></span></p> <p>陳宗榮表示，5G NSA架構專網的核網由電信業者掌管，基於資安考量選擇用於戶外渣車線，因為只有鋼渣車行駛、平交道的即時影像畫面，數據敏感性較低。但在熱軋廠內，產線即時影像畫面、設備數據都涉及機密，因此建置有獨立核網的5G SA專網，內部數據不需擔心經過外部公網的核心網路，未來會全部交由中冠維運。</p> <p>中鋼坦言，可支援n79的終端設備並不多，選擇性受限。另外，5G專網雖有較高的上傳速度，但同時間多支攝影機上傳畫面，上傳頻寬仍有不足之處。</p> <p>儘管導入新技術進行測試，中鋼仍然相當重視資安。戶外渣車線使用公網3.5GHz商用頻段建置5G NSA專網，NSA專網與公網共用核網，而為了避免資料可能流經核網，熱軋工場產線採用n79專用頻段建置5G SA專網，以專用頻段及獨立的5G核網，確保專網內的產線資料不會流到外部。</p> <p>熱軋工場5G專網的資安架構，為了滿足產線即時分析的需要，攝影機所拍攝的即時畫面，經由5G路由器、基地臺送到靠近產線的機房數據伺服器，由AIoT伺服器作即時的AI影像辨識分析，再將AI辨識結果送到數據伺服器、經基地臺、5G MIFI送到產線人員的平板電腦。</p> <p>中鋼對專網採前監後控，將專網視為獨立網域，專網內以滿足即時分析需求為主，僅監控異常網路流量，後方則以防火牆將專網和OT隔絕，專網核網也和IT隔絕。專網屬於內網一部分，未和外部網際網路連接。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E4%B8%AD%E9%8B%BC%E4%B8%BB%E6%96%87-%E5%9C%961-600.jpg" style="width: 383px;" /></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>中鋼綠能與系統整合研究發展處長陳宗榮表示，中鋼展開9項應用測試，包括即時影像、虛實整合、行車安全、遠程操控4個面向，也是全世界各國鋼鐵廠5G應用的發展方向。</strong></span></span></p> <p><span style="font-size:28px;"><strong>9項應用驗證5G智慧製造潛力</strong></span></p> <p>「中鋼成立專案的目的是，驗證5G對外宣傳的高傳輸、低延遲、廣連結是否如所宣稱的具有效益」，陳宗榮以產線作業為例，要將擷取到的訊號、影像畫面，即時傳送到另一個地方，做到即時控制，其他的無線傳輸技術則可能有延遲的問題，其他技術或許可以作監測，但在即時控制上會有不足，專案的目的是，對5G專網進行概念驗證。</p> <p>各項5G專網硬體建置之後，「中鋼展開9項應用測試，包括即時影像、虛實整合、行車安全、遠程操控4個面向，也是全世界各國鋼鐵廠5G應用的發展方向」。陳宗榮表示，中鋼寄望新的通訊工具能彌補過去做不到，或是目前不足的地方。</p> <p>9項應用驗證，在渣車線部分，包括危險作業遠程操控、渣桶狀態監測系統、行車安全輔助系統；至於熱軋工場部分，包括智能板胚動態監控、鋼帶偏移監控系統、專家遠端協作系統、數位產線實境導覽，以及在5G應用技術實驗室的XR虛擬實境訓練、自走載具技術。</p> <p>陳宗榮指出，鋼鐵煉製過程有很多高溫作業環境，或是空間比較局限的地方，人員進出有較高的工安風險，希望新的工具能協助擷取即時影像畫面，操作或生產數據，驗證是否能達成目標。</p> <p><span style="font-size:28px;"><strong>以遠端控制降低工安風險</strong></span></p> <p>9項5G專網應用中，其中接渣線推動的智慧軌道運輸相當重要，由於轉爐所產生的爐渣，需交由鋼渣車運輸，鋼渣車上載著渣桶，主要用來承接轉爐傾倒的爐渣，鋼渣車由司機員駕駛，當鋼渣車到達轉爐下方準備接渣，因轉爐高達上千度的高溫，轉爐下方一定範圍內禁止人員接近。</p> <p>傳統上，當鋼渣車抵達轉爐下方，司機員下車進入一旁的小房間，稱為避渣小間，司機員只能透過小間的小方窗，以人工目視判斷渣桶和轉爐的相對位置，再利用無線頻段控制渣車位置，轉爐則由另一人負責控制。如果鋼渣車司機未將渣桶移動到轉爐下方的適當位置，或是轉爐傾倒的角度控制過快，都可能造成高溫爐渣灑出到地面，造成人員或地面設備的傷害，因為無法及時清渣，甚至可能導致轉爐停止運作，對產能帶來更大的影響。</p> <p>導入5G之後，鋼渣車的前後各配置一支5G攝影機，前方攝影機主要拍攝渣車前方的軌道即時影像，後方的攝影機則拍攝渣桶的狀況，當鋼渣車抵達轉爐下方，下方室內接渣場所地面還配置2支攝影機，用以拍攝接渣的情形，司機員同樣下車進入避渣小間，不再只能從小窗看出去，透過平板電腦進入接渣模擬頁面，頁面上同時顯示2個即時影像，1個為鋼渣車後方的渣桶即時影像，另1個畫面則是來自地面攝影機所拍攝，司機員除了可觀看2個即時影像，掌握接渣現場作業情形，頁面下方還有一輛虛擬的鋼渣車、轉爐，通過數位分身模擬渣車位置、轉爐傾倒角度，渣桶緩緩移動到轉爐下方，加上AI通過影像判斷轉爐傾倒角度爐渣可能落點，讓司機員根據數位分身，觀察渣桶位置和爐渣落點是否相合，來提高接渣作業的準確性。</p> <p>陳宗榮指出，接渣作業要做到遠端操控，需要多個現場即時影像畫面，來克服傳統人工目視的視線死角問題，即時影像資料非常大，因此上傳與下載需要足夠頻寬，另一個關鍵是低延遲，司機員控制渣車移動，要讓渣桶到達轉爐下方適當接渣位置，如果看到的即時影像是1分鐘之前，就不能精準接渣。5G的出現，除了希望了解它的功能，可能應用在哪些地方，也希望能提升作業的安全性，提高生產操作的效率。</p> <p>中鋼也將5G應用在產線上，結合5G AIoT來提升產線的良率、穩定。例如智能板胚即時監控、鋼帶偏移監控等，利用產線上的攝影機，經由5G專網即時將鋼胚的製程影像送到產線的AIoT伺服器，就近以AI判別每個鋼胚在半成品階段，是否出現異常。</p> <p>以智能板胚監控為例，由AI根據影像判斷鋼胚的上抬、下沈角度，如在容許值則屬正常，超出容許值則判斷為異常，在產線上立即啟動修正程序，將異常的鋼胚送回重新粗軋。因每個鋼胚在產線上不斷送往不同製程處理，需要第一時間發現異常，立即修正，否則鋼胚進入下一階段，可能導致變形加劇，甚至可能損壞設備，後續影響整個產能。</p> <p><span style="font-size:28px;"><strong>未來要用5G實現遠端控制天車</strong></span></p> <p>中鋼還看上5G的高速傳輸、低延遲，應用在天車遠程控制的潛力。雖然中鋼在倉儲部分，已研發AI無人天車，搭配自動化出貨系統，但是在產線的天車吊載，仍是仰賴天車手進行人工操控，天車手必需進入天車駕駛室，因天車位於高處，天車手要爬到高處的天車並不容易，加上部分天車作業在高溫區域，容易有工安風險，有時駕駛爬上去，一整天都不輕易下來，對工安及工作舒適都是一大考驗。</p> <p>中鋼則希望透過5G遠程集控天車，讓駕駛以後在地面的控制室，能遠程操控天車進行作業，要讓天車手在地面操作天車，如同身在高處的天車上吊運作業，還需要在天車上安裝多支不同視角的攝影機，充當天車手的眼睛，彌補在地面操作天車的不足之處。</p> <p>陳宗榮認為如果5G的低延遲符合需求，讓駕駛能在地面操作天車，如同他在高處的天車操作一樣，不僅人員在更安全的地面遠程操作，甚至可做到一人操控多臺天車，相較之下，目前一人只能操作一臺天車，大幅提升天車作業的效率。5G天車是中鋼下一步致力開發的5G應用之一。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:45作者蘇文彬https://www.ithome.com.tw/news/156615
中鋼如何用5G加速智慧製造
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中鋼加速朝精緻鋼廠發展，2年前展開5G專網評估規畫，少見導入5G NSA及SA專頻兩種專網，並以9項應用測試、16項關鍵技術開發，深化AIoT應用，大幅降低鋼鐵製造高溫、高危險作業風險</p> </div></div></div>
2023/4/28 12:46作者蘇文彬https://www.ithome.com.tw/article/156616
微軟品牌的滑鼠及鍵盤等電腦配件將成絕響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日向《<a href="https://www.theverge.com/2023/4/27/23700998/microsoft-keyboard-mouse-webcam-discontinued-surface-brand" target="_blank">The Verge</a>》及《<a href="https://www.thurrott.com/mobile/microsoft-surface/282412/microsoft-moves-all-hardware-peripherals-under-surface" target="_blank">Thurrott</a>》等媒體證實，未來將不再繼續生產以Microsoft為品牌的個人電腦配件產品，意謂著該品牌的滑鼠或鍵盤等裝置將成絕響，但會持續生產Surface品牌的電腦配件。</p> <p>微軟是在1983年首次推出Microsoft品牌的滑鼠，根據微軟所提供的聲明，未來將專注於供應Surface品牌的Windows PC配件，而不再開發Microsoft品牌的配件裝置，市場上現有基於Microsoft品牌的滑鼠、鍵盤與網路攝影機等裝置，在售罄之後都將不再補貨。</p> <p>未來只會看到Surface品牌的PC配件產品，涵蓋滑鼠、鍵盤、觸控筆、擴充底座與適應性配件（Adaptive Accessory）等。</p> <p>從<a href="https://www.microsoft.com/zh-tw/accessories" target="_blank">微軟的配件網頁</a>可看出，Microsoft品牌的配件種類繁多，除了上述之外，還包括喇叭、耳麥及各種轉接器。</p> </div></div></div>
2023/4/28 11:14作者陳曉莉https://www.ithome.com.tw/news/156607
【Container周報第153期】CNCF公布平臺工程白皮書，K8s程式碼儲存庫搬新家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/4/1～4/28 精選容器新聞：</strong></p> <h3> <strong><span style="color:#FF0000;">#K8s更新、#儲存庫搬家</span><br /> K8s在四月初發布1.27版更新，一口氣推出60項強化功能，更要注意K8s儲存庫搬家了</strong></h3> <p>K8s社群在4月11日發布了1.27版新版，雖然取了一個歡樂的代號(代號Chill Vibes，意思是放鬆氛圍），但其實這次改版的幅度相當大，一次發布高達60項的更新，其中包括了18項Alpha版測試新功能，另外有29項進入穩定堪用的Beta版，以及13項結束測試階段成為正式功能。其中一項重點是，提供K8s程式碼的容器映像檔儲存庫轉移到registry.k8s.io，取代了過去由Google維護的 k8s.gcr.io，來提高可用性。從4月開始，K8s的1.24、1.25和1.26版更新，將不會發布到舊版儲存庫中，企業得留意K8s原始碼來源若沒有更新，可能會出現錯誤訊息。</p> <p>進入正式版的13項功能中，值得留意的是時區功能和CronJob排程管理，還有seccomp在1.27版成為預設功能，也就是說，這個用來限制Linux核心系統呼叫上限的功能，將成為預設，來避免錯誤配置導致容器暴增耗光資源而讓系統當機的情況。</p> <h3><strong>#Platform Engineering、#CNCF<br /> 雲原生浪潮帶動平臺工程崛起，CNCF公布平臺白皮書，整理成功平臺的關鍵做法</strong></h3> <p>隨著雲原生成為主流開發技術，不只發展出SRE方法論，最近也催生出平臺工程（Platform Engineering）新作法，從原本SRE團隊中，更細分出新的專責團隊，來服務內部的開發團隊或工程團隊。國外越來越多企業設立平臺工程團隊，或將現有IT維運團隊，轉型成平臺工程團隊來負責非功能性需求。</p> <p>CNCF日前更公布了一份<a href="https://tag-app-delivery.cncf.io/whitepapers/platforms/">平臺白皮書</a>，歸納了平臺工程的發展趨勢，整理出這份白皮書。內容涵蓋打造一個成功平臺的關鍵做法，包括平臺有哪些重要的關鍵元素、如何組成一個平臺團隊，還有企業或組織擁抱平臺工程時會面臨的挑戰，另外還有一套衡量平臺績效的作法推薦，以及現有平臺工程工具和相關雲端服務清單。</p> <p>例如CNCF在白皮書中就指出，一個成功的平臺有7大元素，包括了平臺產品化(Platform as a product)、重視使用體驗和開發者體驗(User experience)、提供了豐富文件和新手指南(Documentation and onboarding)、採取自助服務設計(Self-service)，還要盡可能降低認知負載(Reduced cognitive load for users)，並且要能提供選擇和組合能力(Optional and composable)，最後一項是得具備Secure by default的思維。</p> <p>不只提供了平臺設計的技術實務，在白皮書中提出一個成功的平臺工程團隊有四大任務，第一項就是必須要設立平臺產品經理，才能以產品思維來管理這個平臺的發展，其次要研究平臺使用者（開發者）的需求，來規畫相關功能的發展藍圖，雖然是內部用的平臺，但是也要定期揭露產品藍圖，第三項則是要負責平臺價值（效益）的行銷、推廣、倡導行為和教育，平臺工程團隊不只是開發團隊，更是推廣團隊。最後一項任務才是技術性任務，平臺團隊要負責管理和開發使用者介面、可觀測性能力和相關服務，包括平臺入口網站、API、文件和範本、CLI工具。</p> <h3><strong><span style="color:#FF0000;">#平臺工程、#IDP</span><br /> Google和麥肯錫帶頭，開源社群發布內部開發平IDP開發指南</strong></h3> <p>隨著平臺工程浪潮崛起，如何打造一套自助式的內部開發者平臺，成了雲原生開源社群的新話題，最近，Google和麥肯錫多位產品經理更帶頭，集結開源社群，整理了一份內部開發者平臺的指南網站，從為何要注重內部開發者平臺的建置開始談起，更整理了內部開發者平臺的核心五大元素，包括了要有應用程式配置管理、基礎架構調度、環境管理、部署管理以及角色權限管理，也提供了一個內部開發者平臺的績效指標參考，10項開發流程作業的參考指標。另外還列出的提供內部開發者平臺服務的工具和雲端供應商，讓企業不用從頭開始自行打造。</p> <h3> <strong><span style="color:#FF0000;">#軟體供應鏈安全、#相依性分析自動化</span><br /> 5000萬個軟體版本後設資料集免費開放，還能自動產生相依性關係圖來判斷軟體供應鏈風險</strong></h3> <p>Google推出兩款保護開源軟體供應鏈安全的工具，其一是發布deps.dev API，供開發者免費存取deps.dev資料集，該資料集含有超過5,000萬個開源軟體套件版本的安全後設資料，另外，Google雲端的Assured OSS服務也正式開放，用戶可以方便取用經Google安全驗證過的開源套件。<br /> deps.dev資料集收集來自Go、Maven、PyPI、npm和Cargo等5大軟體打包生態系的套件後設資料，涵蓋5,000萬個套件版本，Google不只收集還匯總這些資料，產生遞移相依關係圖、安全諮詢報告、OpenSSF安全計分卡等資訊，用戶不僅可以直接從deps.dev網站人工查詢，或是以雲端資料倉儲服務BigQuery進行大規模批次分析，現在還可以使用新推出的API，以程式開發方法即時存取資料集，並在自家工具、工作流程和分析中使用這些安全性資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9B%B8%E4%BE%9D%E6%80%A7%E9%97%9C%E4%BF%82%E5%9C%96-Google.png" /></p> <h3><strong><span style="color:#FF0000;">#平臺工程實例、#ESG新創</span><br /> 用Chatbot降低開發者認知負擔，ESG新創揭露自家平臺工程作法</strong></h3> <p>平臺工程浪潮開始崛起，也開始有率先採用者出面分享自家平臺工程建置經驗，例如永續科技新創Clarity AI。這是一家提供ESG分析服務的新創，每周追蹤200萬個數據點，利用AI模型進行ESG評分，可以評估不同類型活動的碳排數據，作為提供企業ESG分析所需，臺灣也有金融業者使用其ESG分析來提供顧客消費碳排數據。Clarity AI一位平臺工程經理Eduardo Ferro Aldama日前揭露了自家發展平臺工程的經驗。</p> <p>他表示，Clarity AI為了三大目標開始發展平臺工程，甚至設立的專責團隊，第一是希望用來降低開發團隊的認知負載，減少錯誤或是降低新技術或元件的導入阻力，第二是為了改善工程團隊的生產力，例如平臺團隊打造的自助式內部開發者平臺，可以用來減少相互等待、提高部署頻率、縮短上線準備時間（commit to production)，最後一項目的則是可以將發布系統的管理權，和產品擁有權整合，來統一產品專案從開發到上線的管理。</p> <p>例如Clarity AI打造了一個開發團隊的內部Chatbot，開發團隊在聊天室送出執行一項K8s任務的執行命令後，就會啟動相關的部署作業，也會把每一步的執行過程，以檢查清單的方式條列出來，讓開發者更清楚所下的指令的執行進度，而不像過去列出長篇敘述文字或Log紀錄。Eduardo Ferro Aldama表示，這就是一個降低開發者認知負載的好點子。(圖片來源：Eduardo Ferro Aldama)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B3%E5%8F%B0%E5%B7%A5%E7%A8%8BBot(1).png" /></p> <h3> <strong><span style="color:#FF0000;">#容器安全、#EKS</span><br /> AWS威脅偵測服務開始支援容器安全偵測，可以即時監測EKS Runtime的威脅</strong></h3> <p>AWS威脅偵測服務Amazon GuardDuty最近發布三項更新，將防護範圍擴大至容器、資料庫和無伺服器應用，包括了可以偵測容器化工作負載威脅的EKS Runtime Monitoring，以及偵測Aurora資料庫資料的潛在威脅的RDS Protection，還有可分析Lambda應用程式相關惡意行為的Lambda Protection。</p> <p>GuardDuty使用機器學習和異常行為偵測等技術，整合AWS自家與其他安全威脅情報，持續分析AWS帳戶和資源活動，來偵測諸如惡意行為、未經授權的存取，或是不安全來源等潛在威脅。也能即時阻擋連接埠掃描、惡意軟體橫向移動，以及已知惡意IP位置活動等不尋常行為。EKS Runtime Monitoring功能引入了一個全託管的輕量級安全代理，可以分析和監控主機作業系統的行為，諸如檔案存取、程序執行和網路連接等。</p> <h3><strong><span style="color:#FF0000;">#網路效能強化、#AKS</span><br /> 微軟AKS正式提供CNI Overlay，大幅提高網路效能和雙叢集擴展限制</strong></h3> <p>微軟在其Kubernetes服務AKS正式推出Azure CNI Overlay，這是一項能夠突破現有AKS網路工作負載規模和效能的服務，其所提供的網路效能可與主機網路相當，並且使叢集能夠線性擴展。微軟開發了新的Azure CNI Overlay解決方案。微軟在CNI之上創建了一個抽象層，簡化和最佳化網路配置，Azure CNI Overlay會從用戶所定義的抽象層地址空間分配IP地址，而不使用虛擬網路中的IP地址。</p> <h3><strong><span style="color:#FF0000;">#叢集管理、#GKE</span><br /> Autopilot成為GKE預設叢集運作模式，不用再手動開啟自動管理基礎設施並提升安全性</strong></h3> <p>GKE最近宣布預設啟用Autopilot叢集模式。Google希望，透過預設啟用Autopilot大幅降低Kubernetes的學習曲線，能夠管理節點池和節點，讓剛接觸Kubernetes的用戶，也能夠妥善管理Kubernetes。Autopilot適合用於各種用例的預設配置，針對工作負載進行最佳化，用戶不需要計算節點大小和機器規格。Autopilot功能會自動根據定義啟動需要的基礎設施，並且配置需要的污點（Taint）和容忍度（Tolerations）屬性。</p> <p>Autopilot相容於Kubernetes，能夠支援大多數Kubernetes工作負載，像是區塊存儲裝置StatefulSets、DaemonSets以及用於機器學習的GPU任務，同時也支援營運工作負載所需，包括OPA/Gatekeeper、Webhooks和IP偽裝等技術。</p> <h3><strong><span style="color:#FF0000;">#Copilot、#AI輔助開發</span><br /> VS Code揭露Copilot Chat新功能預覽，在程式碼行內就能與AI對話協作</strong></h3> <p>微軟推出VS Code 1.77新版，最大特色是與GitHub深度連結，並且提供TypeScript/JavaScript的switch陳述式自動完成功能，開發者也可以使用到最新的Copilot Chat整合功能，在編輯器向人工智慧提問，並且獲得程式碼建議。</p> <p>Copilot現在會在開發者處理程式碼時，在行內顯示建議，開發者也可以隨時在程式碼編輯器中向Copilot提問，並要求Copilot尋找程式碼內的臭蟲，解釋程式碼的意義，甚至是創建測試。Copilot的對話框現在會出現程式碼的下方，供用戶輸入指令。不過，開發者要使用這項深度整合功能，除了需要獲得Copilot Chat存取權限之外，還要安裝GitHub Copilot Nightly版本擴充套件，以及Insiders版本VS Code。</p> <p> <strong>更多新聞</strong></p> <p>New Relic調查：Amazon超越甲骨文成為最受歡迎的JDK供應商</p> <p> <strong>@資料來源：iThome整理，2023年4月</strong></p> <p>責任編輯：王宏仁</p> </div></div></div>
2023/4/28 11:28作者王宏仁https://www.ithome.com.tw/news/156608
New Relic調查顯示，Amazon超越甲骨文成為最受歡迎的JDK供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路監控管理服務New Relic發布<a href="https://newrelic.com/resources/report/2023-state-of-the-java-ecosystem">2023年Java生態系調查報告</a>，官方指出，在過去幾年由於Java新版本的發布和容器應用的興起，讓Java的使用情況出現變化。New Relic報告顯示Java 17的採用率正飆升，而且由於AWS（Amazon子公司）的OpenJDK版本Amazon Corretto，受到雲端開發者的大量採用，使得Amazon現在成為最受歡迎的JDK供應者。</p> <p>Java是一種高階語言，由昇陽電腦公司開發，其目標是要設計一個可在各種電腦硬體和作業系統上運作的程式語言，由於Java的可移植性和跨平臺等特性，目前是熱門的程式語言之一，各產業和領域都可以看到Java應用，Java擁有豐富的函式庫，並受到良好的維護。</p> <p>從<a href="https://newrelic.com/resources/report/2022-state-of-java-ecosystem#toc-oracle-popularity-is-shrinking-amazon-is-on-the-rise">前一年New Relic的Java生態系大調查</a>中，就可以看出甲骨文（Oracle）Java市占衰退的端倪，過去許多開發人員的JDK來自甲骨文，而由於OpenJDK專案的出現，使得開發者有更豐富的選擇。在2020年，甲骨文位居領先定位，約占Java市場的75％，而到了2022年，市占已經不到之前的一半，反而Amazon已經上升到22.04％。</p> <p>到了2023年，Amazon已經正式超過甲骨文，成為目前最受歡迎的JDK供應商，市占繼續成長達到31.35％，而甲骨文則繼續下滑，目前市占為28.75％。</p> <p>根據New Relic的觀察，容器已經是Java應用的最大宗，報告顯示70％的Java應用程式用於容器。越來越多Java開發者在容器中使用多核心配置，目前僅有36％還在使用單核心配置，大部分皆已移向多核心配置，最高比例是8核心配置占29％，較2022年成長9％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Number-of-cores.png" style="width: 580px;" /></p> <p>不過，New Relic表示，整體而言比起非容器環境，開發者在容器雲端環境中，更傾向使用較小的資源配置，但這種趨勢可能出現意想不到的問題，像是在單核心配置下，即便開發者明確地配置使用垃圾回收器，但是最終可能得不到期望效果。</p> <p>在記憶體的配置上，也可以看出容器實例更小的趨勢，30％的容器化應用程式會以旗標-XX:MaxRAMPercentage明確定義JVM記憶體使用上限，而這個比例在2022年僅為9％，比例的變化顯示該旗標越來越普遍，開發人員透過該旗標來改善應用程式的效能和資源管理。</p> <p>與2022年一樣的是，G1垃圾回收器依然是Java 11和以上版本開發者的愛用選項，有65％的開發者選用G1垃圾回收器，其主要優點是每次在回收記憶體時，傾向清除較小的區域，而不會一次回收一大塊區域，透過最佳化回收過程，不只減少程式產生卡頓的問題，還能同時回收不同世代的物件。</p> <p>在Java長期支援的版本選擇上，有超過56％的生產應用程式使用Java 11，第二多的版本則是Java 8，但其使用比例已經從2022年的46％下降到33％。而最新的長期支援版本Java 17，雖然目前使用率僅有9％，但是New Relic提到，與前一個長期支援版本相較起來，Java 17採用的速度遠遠超過Java 11剛推出時的採用速度。Java非長期支援版本的使用率極低，僅有1.6％的應用程式使用。</p> </div></div></div>
2023/4/28 10:35作者李建興https://www.ithome.com.tw/news/156595
Amazon關閉健康裝置部門Halo，產品全停售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2023/4/26/23699459/amazon-layoffs-halo-fitness-tracking-sleep-tracking" target="_blank">《The Verge》報導</a>，Amazon將關閉開發消費性健康量測裝置的部門Halo，並停售相關產品。Amazon也已證實這項消息。</p> <p>報導指出，Amazon已在本周悄悄將近年推出的數款消費性健康量測產品從Amazon.com下架，包括運動手環Halo View、可量測心率及體溫、分析情緒的<a href="https://www.ithome.com.tw/news/139664" target="_blank">Halo Band</a>，以及睡眠感測床邊裝置<a href="https://www.ithome.com.tw/news/153342" target="_blank">Halo Rise</a>。</p> <p>Amazon智慧家庭和健康部門副總裁Melissa Cha也證實關閉Halo的計畫。她表示，Halo近來遭遇嚴苛挑戰，包括市場激烈競爭、經濟情勢高度不確定性等，為了善用資源及長期業務體質著想，公司必須做出關閉Halo計畫的困難決定，並因此裁減職位。</p> <p>Cha說未來幾個月內，將停售所有Halo產品，並關閉Halo營運。</p> <p>至於已經售出的產品也即將喪失支援。Amazon將在2023年7月31日起終止支援Amazon Halo。</p> <p>這是Amazon近日宣布的裁員行動的一環。Amazon繼今年1月裁減1.8萬人後，3月又宣布會再裁9,000人。去年9月Amazon已經先關閉遠距診療服務部門Amazon Care，裁減159個工作職位。</p> <p>面對前景不明，Amazon已陸續縮編多項業務部門，包括AI助理Alexa、機器人、零售、快遞甚至AWS部門。</p> <p>Amazon也是裁撤健康或硬體業務的最新一家科技業者。Google於2021年就裁撤<a href="https://www.ithome.com.tw/news/146340" target="_blank">Google Health</a>，而根據《<a href="https://www.fastcompany.com/90835846/report-microsoft-to-lay-off-up-to-11000-people" target="_blank">Fast Company</a>》報導，Alphabet旗下生技公司Verily 200多名員工去年底也遭資遣。此外，<a href="https://www.ithome.com.tw/news/149027" target="_blank">IBM 2021年把Watson Health賣給了私募基金公司</a>。</p> </div></div></div>
2023/4/28 10:42作者林妍溱https://www.ithome.com.tw/news/156605
22H2是最後一版Windows 10主要更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Windows 7後，Windows 10也進入生命周期倒數。<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-client-roadmap-update/ba-p/3805227" target="_blank">微軟本周表示</a>，去年下半釋出的22H2將是最後一個Windows 10主要更新。</p> <p>微軟是在2015年7月29日正式釋出Windows 10，並展開1年2次的主要更新提供方式。微軟並在2020年下半年開始，改以H1、H2取代月分作為更新版的識別。</p> <p>根據<a href="https://learn.microsoft.com/en-us/windows/release-health/release-information" target="_blank">Windows 10企業與教育版</a>以及<a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-home-and-pro" target="_blank">Windows 10 Home、Pro版</a>網頁，這個更新將在2025年10月14日結束生命周期，屆時將終止每月安全更新。微軟說，除了長期服務通道（Long-Term Servicing Channel，LTSC）上的某些版本外，所有版本的22H2都會是Windows 10最後一版，呼籲用戶升級到Windows 11，而即使無法升級或必須使用Windows 10的企業組織，這些用戶必須升級到22H2。</p> <p>LTSC是針對無法或不得連網，又必須使用桌機介面的裝置，像是金融業或醫療業終端、製造業產線電腦或PoS、Kiosk等裝置設計，每2、3年才會推出一次更新。<a href="https://learn.microsoft.com/en-us/windows/release-health/release-information" target="_blank">根據微軟網頁</a>，目前最新的Windows 10 Enterprise、IoT Enterprise LTSC版為21H2，兩個版本的技術支援分別會在2027年1月12日及2032年1月13日到期。</p> <p>微軟同時宣布，Windows 11 LTSC，包括Enterprise LTSC及IoT Enterprise LTSC下個更新，會在2024年下半釋出。關於這版更新技術細節，微軟說會於日後陸續公布。如果企業計畫升級Windows 11 LTSC，微軟鼓勵以現有GA（General Availability）通道的Windows 11 22H2測試應用程式和硬體。</p> <p>自從2021年10月5日Windows 11推出後，微軟就提供Windows 10和Windows 11雙軌更新。但是微軟在新功能已逐漸以Windows 11為優先部署對象。<a href="https://www.ithome.com.tw/news/156586" target="_blank">例如本周最新Phone Link對iOS的支援版本</a>，就只提供給Windows 11。</p> <p>Windows 10是目前Windows PC中最主流的版本。<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據市調公司GlobalStats的統計</a>，截至今年3月，Windows 10市占為73.5%，Windows 11為21.0%，而已經終止支援的Windows 7為3.7%。</p> </div></div></div>
2023/4/28 11:04作者林妍溱https://www.ithome.com.tw/news/156606
銀行資訊委外作業新規範！金融機構供應鏈風險自律規範4月上路，銀行局剖析5大規範重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>銀行公會日前發布了<a href="https://www.ba.org.tw/FileDownload/Download?FileId=94cf6a9d-695f-4a9a-8194-c7234769dfb6&FileName=%E9%99%84%E4%BB%B61_%E9%87%91%E8%9E%8D%E6%A9%9F%E6%A7%8B%E8%B3%87%E9%80%9A%E7%B3%BB%E7%B5%B1%E8%88%87%E6%9C%8D%E5%8B%99%E4%BE%9B%E6%87%89%E9%8F%88%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86%E8%A6%8F%E7%AF%84.pdf">銀行資訊系統委外作業的新自律規範</a>，明定五大類銀行IT委外時的作業要求和規範，ATM等顧客自動化服務或營運重大影響的第一類系統，從4月10日開始適用，其於第二、三類系統則有一年緩衝期，明年4月開始適用。</p> <p>銀行公會在4月10日正式開始實施新的《金融機構資通系統與服務供應鏈風險管理規範》，針對銀行資訊系統的開發、建置或維運委外作業的規範，也包括了銀行雲端委外服務的新規範。</p> <p>銀行公會在110年訂定金融機構資通安全防護基準時，就已經針對銀行的供應商有相關的管理要求，但是金管會認為，這套基準的要求不夠完整，因此才要求銀行公會訂定新的自律規範。</p> <p>銀行局副局長童政彰指出，為了因應金融服務業委外跟跨業經營型態的新發展，才決定增修現有的管理規範，新版自律規範增加了核心資通系統的軟硬體供應商和維運商，以及跨機構合作夥伴的風險評估，有必要訂定委外規範中的邊際防護要求。</p> <p>童政彰指出，新上路的供應鏈風險管理規範自律規範有5大重點，第一是要求金融機構在辦理委外前，應該分析跟規畫IT供應鏈的相關資訊安全事項，例如，評選供應商時要考慮服務過度集中到單一廠商的風險，其次也明定了銀行評選供應商要執行的工作，再來，自律規範中更明定了11款銀行與供應商的委外契約中明確約定的事項，例如與供應商要訂出服務品質、水準、效能、資安事件應變與通報程序、資安事件損害賠償責任、定期檢測與修復、保固服務、異常管理等。</p> <p>除此之外，新版自律規範第四項重點則還規範了銀行與供應商契約存續期間要注意的原則，例如銀行要定期對有權存取資訊系統的供應商，定期進行供應鏈風險評估。最後一項重點是，當供應商服務變更或契約終止時要遵守的事項，同樣要特別要求，契約終止或服務變更前，銀行也必須進行供應鏈資安風險評估。</p> <p>雖然，新版自律規範在4月10日開始上路，但是考量實際執行的負擔，金管會同意不用全面實施，部分類型的銀行資訊系統可以有一年緩衝期，可以延後到明年4月開始適用。</p> <p>在自律規範中，公會將銀行系統分為三類，第一類是直接提供客戶自動化服務或者是營運有重大影響的系統，例如分行櫃檯系統，ATM自動化服務，SWIFT系統等等。第二類則是提供間接服務客戶的系統，如說銀行的作業中心或者是客服系統，還有第三類系統是不會接觸到客戶的資訊系統，例如銀行內部的人資、財會」總務系統等，這一類系統率先適用，而第二、三類則暫緩到明年適用。</p> <h3><span style="color:#FF0000;"><strong>銀行自律規範沒有明定SBOM要求，改由供應商得擔保元件安全</strong></span></h3> <p>這幾年因為軟體供應鍊資安事件頻傳，尤其像2021年底的Log4j重大漏洞，影響了非常多的資訊系統，因此，美國白宮也在2021年發布行政命令中，開始強調軟體透明度，更要求任何美國聯邦政府採購的軟體，都需提供SBOM清單。</p> <p>證券公會在去年12月就率先開始實施供應鏈風險管理自律規範，其中就明定證券資訊服務供應商揭露第三方程式元件之來源與授權證明，等於要求類似SBOM的元件清單。但是在銀行供應鏈風險自律規範中，卻沒有如此的明文規定。</p> <p>童政彰解釋，在銀行自律規範中，雖然第六條第9款只要求供應商交付的產品跟服務組件，必須合法取得或獲得合法授權，但在同一條第10款中也要求，供應商得確保所交付的資通系統的服務組件，沒有惡意程式跟後門程式，還要取得相關安全性測試的結果，以及供應商的安全性承諾。「從整體安全管理規範來說，銀行與券商的自律規範是一致的。」</p> <p>換句話說，雖然沒有如美國要求揭露SBOM的作法，但是銀行公會這項新的自律規範，也規範了銀行必須對委外廠商要求，提供第三方元件的安全保證以及提供安全檢測結果。</p> <p>在證券業與銀行業的供應鏈風險管理自律規範相繼上路之後，金管會表示，保險業現有相關安全規範已經足夠，沒有訂定保險業供應鏈風險管理自律規範的計畫。</p> <p> </p> </div></div></div>
2023/4/28 09:26作者王宏仁https://www.ithome.com.tw/news/156604
【資安日報】4月27日，中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織的攻擊行動不時傳出，最近有研究人員揭露駭客組織Evasive Panda針對非政府組織（NGO）人士而來的惡意程式攻擊行動，駭客藉由當地常見的即時通訊軟體QQ更新的名義來進行，但由於研究人員取得的證據不足，他們初步認為是供應鏈攻擊，但也不排除了對手中間人攻擊（AiTM）的可能。</p> <p>駭客利用軟體廠商已推出更新程式的漏洞發動攻擊的事故，也相當值得留意，其中又以針對列印管理伺服器PaperCut而來的攻擊行動特別引起研究人員關注，自PaperCut提出警告後，現在有研究人員指出，相關漏洞已被用於勒索軟體攻擊。</p> <p>因IT業者遭駭而波及其代管服務的用戶，這樣的情況很可能引起用戶恐慌。美國電信業者AT&T證實內部網路遭到入侵，導致駭客能冒用使用者的權限存取電子郵件信箱，不過，AT&T目前尚未公開說明受害範圍。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/2023/04/26/evasive-panda-apt-group-malware-updates-popular-chinese-software/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Evasive Panda疑似透過騰訊即時通訊軟體更新的管道，鎖定國際NGO組織人員散布後門程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Sequence-diagram-of-the-hypothesized-supply-chain-compromise.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Sequence-diagram-of-the-hypothesized-supply-chain-compromise.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織Evasive Panda散布後門程式MsgBot的攻擊行動，研究人員自2022年1月發現，這些駭客針對國際非政府組織（NGO）人士下手，於中國甘肅、廣東、江蘇等省份發動攻擊，透過騰訊即時通訊軟體QQ的更新機制，藉由該軟體開發商的URL與IP位址，將後門程式MsgBot傳送至受害電腦。</p> <p>研究人員認為，駭客攻擊手法有2種可能。其中一種是駭客發動供應鏈攻擊，入侵了QQ的更新伺服器，以軟體更新的名義來散布MsgBot；另一種則是藉由對手中間人攻擊（AiTM）手法來進行。</p> <p>但由於研究人員尚未取得更新伺服器的XML檔案，也無法向騰訊進行確認，難以判斷駭客採用的手法。</p> <p><a href="https://unit42.paloaltonetworks.com/alloy-taurus/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux系統成為中國駭客組織Alloy Taurus目標之一，他們開發出專用的後門程式PingPull</span></strong></a></p> <p>資安業者Palo Alto Networks揭露中國駭客組織Alloy Taurus近期的攻擊行動，駭客在Windows電腦之餘，也開始對Linux開發後門程式PingPull，以及另一個名為Sword2033的惡意程式（ELF執行檔）。</p> <p>前者透過Base64編碼的資料與C2連線，並採用AES演算法加密傳輸的資料；後者可針對受害電腦執行命令，或是外洩資料。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1651346653901725696"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">出現更多駭客濫用PaperCut漏洞，勒索軟體駭客Clop、LockBit以此進行竊密</span></strong></a></p> <p>列印管理系統供應商PaperCut於4月19日提出警告，他們在3月修補的漏洞CVE-2023–27350、CVE-2023–27351已出現攻擊行動，如今有資安業者揭露更多細節。</p> <p>微軟的威脅情報團隊指出，他們看到勒索軟體Clop旗下的Lace Tempest駭客組織，自4月13日將漏洞用於散布勒索軟體Clop，一旦得到列印管理伺服器的存取權限，駭客就會部署惡意程式TrueBot，並透過Cobalt Strike進行橫向感染，然後運用檔案共用服務MegaSync洩露竊得的資料。此外，研究人員也看到利用前述漏洞散布勒索軟體LockBit的攻擊行動。</p> <p><a href="https://labs.withsecure.com/publications/fin7-target-veeam-servers"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Veeam備份伺服器漏洞被駭客組織FIN7用於攻擊行動</span></strong></a></p> <p>資安業者WithSecure於今年3月，發現駭客組織FIN7的攻擊行動，攻擊者透過Veeam備份系統的處理程序執行Shell命令，下載、執行PowerShell指令碼，該指令碼便是FIN7慣用的記憶體內（In-memory）惡意程式載入程式，駭客用來執行名為Diceloader的後門程式，以便進行後續的攻擊。</p> <p>究竟駭客如何執行Shell命令？研究人員認為很可能是利用Veeam於3月修補的漏洞CVE-2023-27532（CVSS風險評分為7.5）。</p> <p><a href="https://techcrunch.com/2023/04/26/hackers-are-breaking-into-att-email-accounts-to-steal-cryptocurrency/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信業者AT&T傳出遭駭，他們代管的多個電子郵件服務受到挾持</span></strong></a></p> <p>根據科技新聞網站TechCrunch的報導，美國電信業者AT&T傳出遭駭，導致代管的電子郵件服務曝險，駭客入侵甚至接管，範圍包括att.net、sbcglobal.net、bellsouth.net等。</p> <p>知情人士透露，駭客先存取電信業者內部網路部分系統，之後能以任意使用者身分來建立郵件金鑰，因此可在不需知道用戶密碼的情況下，透過Outlook、Thunderbird等收信軟體存取郵件帳號。</p> <p>根據聲稱已掌握受害者名單的知情人士表示，有2名用戶證實遇害，其中1名受害者向TechCrunch透露，駭客已從他的Coinbase帳戶竊得13.4萬美元加密貨幣。</p> <p>對此，AT&T表示他們發現了未經授權建立的安全郵件金鑰，並要求部分用戶重設密碼，但並未透露受害人數。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/d/attackers-use-containers-for-profit-via-trafficstealer.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客於Docker環境部署TrafficStealer，將流量導向特定網站進行牟利</span></strong></a></p> <p>資安業者趨勢科技設下的誘捕系統，最近發現有人利用雲端Docker環境來牟利的攻擊行動。他們發現駭客先入侵位於雲端服務的Docker環境，再從Docker Hub拉取特定的容器映像檔，而這個映像檔含有名為TrafficStealer的可疑軟體，其目的是將網路流量導向特定網站供他人運用，進而產生收入。</p> <p>研究人員指出，駭客透過YAML配置文件，大量、自動化部署上述惡意程式。而這個攻擊誘捕系統的映像檔，已從Docker Hub被拉取了50萬次，每秒下載15 MB的資料。雖然這次駭客的目標是Docker，但研究人員認為，Kubernetes與Amazon Elastic Container Server（ECS）日後也有可能遭遇相關攻擊。</p> <p><a href="https://blog.checkpoint.com/security/retail-giant-walmart-ranks-first-in-list-of-brands-most-likely-to-be-imitated-in-phishing-attempts-in-q1-2023/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">科技業者仍是駭客網路釣魚攻擊冒用品牌的首選</span></strong></a></p> <p>資安業者Check Point針對今年第1季的網路釣魚攻擊態勢公布調查結果，他們表示，駭客偏好冒用的品牌出現了洗牌的現象。</p> <p>大型零售業者Walmart從去年底的13名，本季一舉躍居榜首，冒用該品牌行騙的釣魚信占總數的16%，其次是DHL、微軟，分別有13%、12%。不過，整體而言，駭客最常冒用的還是科技業的品牌，其次是運輸及零售業。</p> <p>但研究人員特別提及，名列前10大的瑞福森銀行（Raiffeisen Bank）是第一次上榜，相當值得留意，因為這代表駭客可能透過金融組織竊取使用者的帳號資料。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156566"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Gogolook推出Roo AI，以生成式AI技術打造AI智能問答服務，能根據提問提醒用戶小心詐騙</span></strong></a></p> <p>3年前，Gogolook推出了名為貸鼠先生的金融諮詢服務，可協助消費者辨識網路上各種真假難辨的金融商品資訊，減少詐貸等問題。為了提供更多元金融商品諮詢服務，該公司於4月25日宣布推出全新AI智慧問答服務Roo AI，該系統以ChatGPT的生成式AI技術為基礎打造，目的是提供貼近臺灣消費者的金融知識與正確資訊，值得一提的是，該系統能從用戶提出的問題中，找出可能導致受騙的資訊，並提醒用戶提高警覺，減少上當受騙的情況。</p> <p><a href="https://cloud.google.com/blog/products/identity-security/rsa-google-cloud-security-ai-workbench-generative-ai"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google在多項安全解決方案整合AI大型語言模型Sec-PaLM</span></strong></a></p> <p>由於技術的進展，大型語言模型（LLM）的應用範圍如今變得更加廣泛，資安業者也著手將其用於相關防護。例如，Google開發名為Sec-PaLM的大型語言模型，並將其應用於Security AI Workbench威脅情報平臺、惡意軟體程式碼分析系統VirusTotal Code Insight、漏洞檢測系統Mandiant Breach Analytics for Chronicle等。</p> <p>此外，Google安全指揮中心（Security Command Center）亦運用此大型語言模型，將複雜的攻擊關聯圖，轉換成人類容易解譯的資訊。除上述應用，該公司亦於Assured OSS服務使用Sec-PaLM，協助驗證開源軟體套件的工作。</p> <p><a href="https://www.businesswire.com/news/home/20230424005364/en/AWS-Announces-Three-New-Amazon-GuardDuty-Capabilities-to-Help-Customers-Protect-Container-Database-and-Serverless-Workloads"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS擴大GuardDuty安全防守範圍，可偵測容器、資料庫與無伺服器應用安全威脅</span></strong></a></p> <p>4月24日AWS宣布，旗下的威脅偵測服務Amazon GuardDuty將提供3項新功能，將防護範圍延伸至容器、資料庫、無伺服器應用。本次的新功能包括容器化工作負載威脅偵測功能EKS Runtime Monitoring、Aurora資料庫資料潛在威脅偵測功能RDS Protection、Lambda應用程式相關惡意行為分析功能Lambda Protection。</p> <p>上述能力是以Amazon GuardDuty現有的數百種偵測功能為基礎進行強化，而能夠將應用範圍擴及多種類型的雲端核心環境，使用者無須執行額外的部署、維護，或是更新作業，就能啟用前述新功能。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bitdefender.com/blog/businessinsights/unpacking-bellaciao-a-closer-look-at-irans-latest-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織Charming Kitten散布惡意軟體BellaCiao</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-discloses-xss-zero-day-flaw-in-server-management-tool/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科伺服器管理工具存在零時差漏洞，恐被用於跨網站指令碼攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/prestashop-fixes-bug-that-lets-any-backend-user-delete-databases/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子商務平臺PrestaShop出現能讓後臺使用者刪除資料庫的漏洞</span></span></strong></a></p> <p><a href="https://www.horizon3.ai/cve-2023-27524-insecure-default-configuration-in-apache-superset-leads-to-remote-code-execution/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源資料視覺化工具Apache Superset存在RCE漏洞</span></span></strong></a></p> <p><a href="https://securelist.com/tomiris-called-they-want-their-turla-malware-back/109552/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄國駭客組織Tomiris利用惡意軟體Turla混淆視聽</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156575">【4月26日】法務部調查局資通安全處失火，疑為電腦設備負載過大造成</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156554">【4月25日】 PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156542">【4月24日】美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還會加密檔案</a></strong></p> </div></div></div>
2023/4/27 17:30作者周峻佑https://www.ithome.com.tw/news/156594
臺灣人工智慧實驗室聯手臺灣微軟，將醫療AI導入Azure還結合ChatGPT快速產出報告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日（4/26），臺灣人工智慧實驗室（Taiwan AI Labs）與臺灣微軟簽署合作備忘錄，要將多項可信任的醫療AI產品，在未來一年內陸續導入微軟Azure混合雲，供臺灣醫療院所和國際機構採用，盼藉此推進次世代醫療平臺發展。</p> <p><span style="font-size:24px;"><strong>首先導入腦轉移瘤偵測AI，還整合生成式AI快速產出報告</strong></span></p> <p>臺灣人工智慧實驗室首先導入微軟Azure的AI產品是腦轉移瘤輔助偵測系統DeepMets。DeepMets可分析腦部磁振造影檢查影像（MRI），在短短30秒內揪出所有腦部腫瘤和病灶，並提供數量、直徑、體積等資訊。臨床醫師可根據這些資訊，來制定後續用藥和治療等決策。</p> <p>該系統導入微軟Azure混合雲後，還進一步整合生成式AI技術，利用ChatGPT大型語言模型優化，來快速產出符合健保署規範做法、觀察和結論的三段式報告，提高分析效率。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-04-27%20150904.png" /></p> <p>DeepMets導入Azure後，不只臺灣醫療院所可用，還打通國際市場大門，快速部署到美國西岸，受當地學研機構、醫療院所和藥廠的青睞與使用。臺灣微軟總經理卞志祥指出，這次聯手臺灣人工智慧實驗室，也是響應衛福部的次世代醫療平臺政策，要加速產業轉型。</p> <p><span style="font-size:24px;"><strong>要以人為中心，打造兼顧安全和創新的智慧醫療生態圈</strong></span></p> <p>臺灣人工智慧實驗室與臺灣微軟這次聯手有3大目標，也就是打造安全、可靠的次世代醫療服務，同時採用生成式AI來提高醫療效率，另也要讓臺灣醫療聯盟與Azure成為全球夥伴。</p> <p>臺灣微軟在2021年底，就曾宣布引進FHIR醫療產業雲，其中包含Azure、Microsoft 365、Dynamics 365和Power Platform四朵雲，來讓醫療業者開發所需的應用程式。當時，臺灣微軟也宣布要聯手臺灣15家產業夥伴、在2年內打造100個產業應用。</p> <p>現在，臺灣人工智慧實驗室加入臺灣微軟，將自家產品串接微軟平臺，像是Microsoft 365 Teams醫護協同合作平臺，以及Power Platform的行動化大數據分析工具，如Power Automate、Power Apps、Power BI和Power Virtual Agents等，來供醫療院所使用，優化醫護橫向溝通、醫療服務品質和病人安全控管。</p> <p>為確保智慧醫療創新應用都在安全、合規的前提下進行，臺灣微軟混合雲的各項工具和服務，如Azure、Microsoft 365、Dynamics 365和Power Platform等平臺，都通過ISO全系列安全認證（包含ISO 27001、ISO27017、ISO 27018），同時也符合國際醫療資料交換標準HL7 FHIR、美國醫療安全規範HIPPA和健康資訊信任聯盟安全架構HITRUST。</p> <p>不只微軟，臺灣人工智慧實驗室也提倡安全、可信任的AI。他們在數年前建置一套聯合學習平臺Harmonia，可實現只交換模型、不交換資料，來讓醫院發起專案、打造各類疾病AI模型。訓練模型後，臺灣人工智慧實驗室也會協助模型在多中心驗證和落地，該聯合學習機制，更防止資料被單一機構把持、或未經醫院授權下遭二次濫用。</p> </div></div></div>
2023/4/27 15:19作者王若樸https://www.ithome.com.tw/news/156590
Meta營收重返成長，盤後股價大漲11%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經歷連續三季的營收下滑之後，<a href="https://investor.fb.com/investor-news/press-release-details/2023/Meta-Reports-First-Quarter-2023-Results/default.aspx" target="_blank">Meta本周三（4/26）公布的2023財年第一季財報</a>終於重返成長態勢，該季Meta創下了286.5億美元的營收，比去年同期成長3%，因表現高於分析師預期，再加上樂觀的前景，令Meta當天的盤後股價大幅上揚11.65%，達233.79美元。</p> <p>該季Meta家族程式（Facebook、Instagram、Messenger與WhatsApp）的每日及每月用戶數分別達到30億與38億人，皆成長5%，其中，臉書的每日與每月用戶數為20億，成長4%，每月用戶數則有30億，增加2%。</p> <p>Meta於去年11月展開裁員行動，<a href="https://www.ithome.com.tw/news/154112" target="_blank">首波裁撤1.1萬人</a>，<a href="https://www.ithome.com.tw/news/155932" target="_blank">今年3月再裁1萬人</a>，裁員與重組的成本讓Meta首季淨收入減少了24%，為57億美元，每股盈餘則是2.2美元，亦低於去年同期的2.72美元。</p> <p>在286.5億美元的營收中，有超過283億美元來自於家族程式，元宇宙部門Reality Labs僅占了3.4億美元，家族程式的營業利潤為112億美元，Reality Labs則虧損了40億美元，高於去年同期所虧損的30億美元。</p> <p>在大裁逾兩萬名員工之後，Meta今年3月底的員工人數只剩 77,114人，已比去年同期少了1%。Meta執行長祖克柏（Mark Zuckerberg）表示，現在的Meta變得更有效率，將能更快地打造更好的產品，處於更有利的位置以實現長期願景。</p> </div></div></div>
2023/4/27 15:59作者陳曉莉https://www.ithome.com.tw/news/156591
英國決定阻止微軟與動視暴雪併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）在經過數月的調查之後，<a href="https://www.gov.uk/government/news/microsoft-activision-deal-prevented-to-protect-innovation-and-choice-in-cloud-gaming" target="_blank">周三（4/26）正式宣布</a>將阻止微軟與動視暴雪（Activision Blizzard）併購案。<a href="https://activisionblizzard.substack.com/p/microsoft-deal-cma-decision" target="_blank">動視暴雪在同一天發表了聲明</a>，這並非該交易的最終定論，準備向英國的競爭上訴法院提出上訴。</p> <p><a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟是在去年1月宣布</a>，將以每股95美元、總價687億美元買下動視暴雪，且這將是微軟史上最大的併購案。在CMA發表決定的當天，動視暴雪的股價下滑了11.45%，以76.81美元作收。</p> <p>CMA認為，微軟在全球雲端遊戲市場上已擁有6成以上的市占率，還具備Xbox、Windows作業系統，以及雲端運算架構等其它與雲端遊戲有關的重要優勢，此一交易將允許微軟藉由控制重要的遊戲內容持續強化微軟優勢，然而，倘若雙方未能合併，那麼動視暴雪將在可預見的未來開始透過雲端平臺供應遊戲。</p> <p>讓動視暴雪維持獨立可避免英國的遊戲玩家購買昂貴的遊戲主機與PC，還能替他們帶來更多的遊戲選項，若讓微軟於雲端遊戲市場初生之際即占據如此強大的位置，可能會破壞對相關機會的發展而言極其重要的創新。</p> <p>其實CMA在作出決定之前也收到了微軟提出的補救措施，然而，CMA認為這些措施不夠充分，也許會讓CMA在未來10年都要進行一定程度的監督，與其如此，不如阻止該合併案以讓雲端遊戲市場可繼續發展與形塑。</p> <p>動視暴雪則已宣布要對該決定提出異議與上訴，批評CMA的決定將會影響英國遊戲產業的投資、競爭及就業機會。</p> <p>微軟若成功買下動視暴雪，將讓微軟成為僅次於騰訊與Sony的全球第三大遊戲公司，而若此一交易告吹，那麼微軟便必須支付高達30億美元的合併終止費用。</p> </div></div></div>
2023/4/27 16:09作者陳曉莉https://www.ithome.com.tw/news/156592
Windows 11版Phone Link終於支援iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155713" target="_blank">經2月底微軟釋出</a>首次加入iOS版Phone Link的Windows 11更新預覽版後，<a href="https://blogs.windows.com/windowsexperience/2023/04/26/phone-link-for-ios-is-now-rolling-out-to-all-windows-11-customers/" target="_blank">微軟昨（26）日宣布</a>，正式將Windows 11的Phone Link for iOS推向全球85個市場、39種語言的用戶。</p> <p>Phone Link讓Windows PC用戶可以將手機應用程式、檔案或任何內容映射到Windows PC上，方便用戶從PC上操作，包括接聽來電或訊息、或是操作手機App。這項功能概念承襲2015年的Phone Companion，2018年底微軟在Windows 10更新中以Your Phone取而代之，而在2022年3月微軟將之改名為Phone Link。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/2/2023/04/Phone-Link-Start-Up-V2-1.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>到今年初為止，Phone Link只支援Android和Windows PC的同步。上個月微軟才釋出包括Phone Link for iOS的Windows 11更新預覽版。透過正式版的部署，啟用Phone Link for iOS的Windows 11 PC將可操作iPhone。但微軟指出，受到iOS方面的技術限制，目前這項功能僅提供基本的iOS支援，包括接、發電話與訊息，存取聯絡人等。這項功能不支援相片或影片分享、群組訊息，且訊息以會話（session）為基礎，只有在iPhone和PC啟動藍牙連線時才能傳送。</p> <p><a href="https://www.ithome.com.tw/news/153600" target="_blank">由於去年微軟也宣布</a>Windows 11整合iCloud相簿儲存（iCloud Photo Library），因此iPhone用戶可以從Windows 11的Photos App來存取iCloud。</p> <p>要使用Phone Link for iOS，iPhone必須安裝iOS 14以上版本，PC方面則尚不支援Windows 10。目前這項功能也還不支援iPad及Mac電腦。</p> <p>未來幾周內這項功能可部署到所有Windows 11 PC。Windows 11可以利用Windows工作列的搜尋功能搜尋Phone Link，再按照指示安裝設定。</p> </div></div></div>
2023/4/27 11:49作者林妍溱https://www.ithome.com.tw/news/156586
傳AT&T遭駭，致代管的用戶電子郵件信箱被駭客存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2023/04/26/hackers-are-breaking-into-att-email-accounts-to-steal-cryptocurrency/" target="_blank">《Techcrunch》報導</a>，美國電信龍頭AT&T遭駭，導致其代管的電子郵件服務曝險，已被駭客存取甚至接管。但AT&T否認系統遭駭。</p> <p>媒體引述消息人士報導，至少從本月初，一群駭客駭入AT&T的內部網路，得以存取AT&T代管的客戶電子郵件信箱，包括att.net、sbcglobal.net、bellsouth等。</p> <p>消息人士說駭客首先取得這家電信業者的內部網路的某部分系統，使其得以為任何電子郵件信箱用戶建立安全郵件密鑰（mail key）。根據AT&T的說明，用戶必須使用具備OAuth的郵件App，如Outlook Mobile、Apple Mail、Gmail等存取其信箱。不支援OAuth的App，如舊版Outlook、Mozilla Thunderbird、舊版Apple Mail/Mac Mail等，則必須建立一組特殊密碼，稱為「安全郵件密鑰」來存取郵件信箱。而在後者情況下，就必須使用郵件密鑰而非AT&T密碼存取其信箱。</p> <p>因此在本事件中，當攻擊者得以建立AT&T的安全郵件密鑰後，就能使用郵件App登入目標用戶的郵件帳號，然後藉此重設其他服務，例如加密貨幣交易平臺Coinbase的密碼。</p> <p>消息人士指出已有AT&T用戶受害，並且媒體也獲得2名用戶的確認。一名用戶表示其Coinbase帳戶被竊走13.4萬美元，另一名用戶則表示，他的Outlook被接管的情形從2022年11月至少發生10次，他相信駭客已經可直接讀取AT&T某個儲存Outlook存取憑證的資料庫。此外，<a href="https://old.reddit.com//r/ATT/comments/z6o1b7/someone_keeps_creating_secure_mail_keys_on_my_att/" target="_blank">Reddit上也有多名其他用戶反映</a>郵件信箱被駭。</p> <p>報導並指出，一則螢幕擷圖顯示一群駭客在Telegram群組宣稱，已取得整個AT&T員工資料庫，使其得以登入名為OPUS的AT&T內部入口網站。消息人士透露，這群駭客現在也駭入了AT&T內部VPN。</p> <p>AT&T向媒體證實，公司已發現有非授權建立安全郵件密鑰的行為，且「部份情況下」不需密碼即可登入郵件帳號。AT&T表示已更新安全控制且強制要求某些郵件帳號用戶重設密碼。</p> <p>不過這家電信業者不願說明有多少用戶受到影響，也否認公司有任何系統遭駭。AT&T表示駭客是經由API存取公司系統。</p> </div></div></div>
2023/4/27 12:11作者林妍溱https://www.ithome.com.tw/news/156588
【資安日報】4月26日，法務部調查局資通安全處失火，疑為電腦設備負載過大造成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門負責資安的資通安全處竟發生火災，而引起外界關注。這起事故引發外界許多聯想，調查局均否認，原因仍有待他們公布。</p> <p>大型軍火製造商遭到網路攻擊的情形也相當值得留意，例如，美國軍艦製造商Fincantieri Marinette Marine傳出遭到勒索軟體攻擊，而導致其資訊系統的運作受到衝擊。</p> <p>駭客在攻擊行動濫用ChatGPT及其他人工智慧系統的情況，今年初陸續有資安業者提出警告，但現在有資安業者指出，2022年濫用相關系統進行網路釣魚的情況，就已經出現。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://news.pts.org.tw/article/633794"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">調查局廉政大樓失火，起火點為資通安全處</span></strong></a></p> <p>法務部調查局於4月24日晚間發生大火，起火點位於廉政大樓1樓資通安全處辦公室，燃燒面積約有50坪，消防隊出動超過20輛消防車進行滅火，約在10多分鐘控制火勢，所幸無人傷亡。火災過後，亦出現調查局網站無法連線的情況。</p> <p>針對此事，調查局初步認定，很有可能是電腦設備負載過大釀禍，但相關資料皆有備份，這起事故不影響相關工作進行。由於本次起火的資通安全處，主要業務是負責收集網路安全情報，防駭範客入侵，在失火之後，是否影響該單位對相關案件的偵辦，仍有待觀察。</p> <p><a href="https://news.usni.org/2023/04/20/ransomware-attack-hits-marinette-marine-shipyard-results-in-short-term-delay-of-frigate-freedom-lcs-construction"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國軍艦製造商Fincantieri Marinette Marine傳出遭勒索軟體攻擊</span></strong></a></p> <p>根據新聞網站USNI報導，美國海軍建造軍艦的廠商Fincantieri Marinette Marine於4月12日可能遭到勒索軟體攻擊，傳言指出該公司的網路伺服器大量資料被破壞。</p> <p>對此，Fincantieri Marinette Marine證實造船廠遭到網路攻擊，電子郵件與網路業務處於離線狀態，但表示他們旗下3個造船廠的維修、建造業務仍持續進行。該新聞網站指出，遭到攻擊的伺服器，存放的資料與控制生產的機器有關，很有可能導致相關設備離線時間長達數日之久。至於駭客是否竊取機密資料？目前仍不得而知。</p> <p><a href="https://www.zerodayinitiative.com/blog/2023/4/21/tp-link-wan-side-vulnerability-cve-2023-1389-added-to-the-mirai-botnet-arsenal"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TP-Link無線路由器漏洞遭到利用，植入殭屍網路病毒Mirai</span></strong></a></p> <p>趨勢科技旗下的Zero Day Initiative（ZDI）提出警告，TP-Link無線路由器Archer AX21的漏洞CVE-2023-1389（CVSS風險評分為8.8），於上週出現攻擊行動，駭客針對設置於東歐地區的這款路由器機型下手，部署殭屍網路病毒Mirai，下載更多作案工具，並透過暴力破解的方式進行橫向感染。</p> <p>針對此漏洞，TP-Link於3月17日提供新版韌體予以修補，漏洞之所以發現，源於去年舉行的漏洞挖掘競賽Pwn2Own，ZDI於1月通報TP-Link。</p> <p><a href="https://info.zscaler.com/resources-industry-reports-threatlabz-phishing-report"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">濫用ChatGPT的網路釣魚攻擊活動，在2022年就已現蹤</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OOhkDgBuKl_20230426-1640-03607.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OOhkDgBuKl_20230426-1640-03607.png" style="width: 300px; float: right;" /></a>資安業者Zscaler針對2022年的網路釣魚態勢提出看法，他們發現時下的攻擊行動裡，普遍仰賴遭竊的帳密資料，以及採用對手中間人攻擊（AiTM）、濫用星際檔案系統（IPFS）、偏好利用網釣工具包的情況顯著增加，但與過往不同的是，駭客開始使用ChatGPT等人工智慧相關工具，使得攻擊事件的數量增加，同時手法也變得更加複雜。</p> <p>而對於駭客用來引誘受害者上當的品牌名稱，研究人員表示第1名是微軟，其次是該公司旗下的雲端檔案共享服務OneDrive，但值得留意的是，第3名是加密貨幣交易所幣安（Binance）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-zero-day-exploit-chain-used-at-pwn2own/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware兩套PC虛擬化軟體被挖出漏洞，本周公布修補方式</span></strong></a></p> <p>4月25日VMware發布虛擬化軟體VMware Workstation 17.0.2、Fusion 13.0.2，總共修補4個漏洞，其中有2個CVE-2023-20869、CVE-2023-20870是零時差漏洞，值得一提的是，這些漏洞是資安業者STAR Labs參與漏洞挖掘競賽Pwn2Own Vancouver 2023的過程中揭露，CVSS風險評分為9.3、7.1。這2個漏洞都與主機和虛擬機器（VM）共用藍牙設備有關，而有可能讓攻擊者用來執行任意程式碼，或是竊取特定資訊。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.securityweek.com/solarwinds-platform-update-patches-high-severity-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">強化PyPI套件發布者的身分安全性，可運用無密碼方式自動發布套件</span></strong></a></p> <p>4月20日PyPI經營團隊宣布，他們將提供「受信任的發布（Trusted Publishing）」機制，讓套件維護者能藉由OpenID Connect（OIDC）標準協定來存取PyPI，這項機制將會在受到信任的第三方機構與PyPI之間，交換Token，使得套件維護者不需使用帳密資料，或是手動產生API的Token，就能通過身分驗證，且能將流程自動化。</p> <p>目前此套件發布機制支援透過GitHub Actions進行，PyPI經營團隊亦打算支援更多OIDC身分驗證服務。</p> <p><a href="https://www.ithome.com.tw/news/156549"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">動態密碼產生器Google Authenticator開始支援與Google帳號同步</span></strong></a></p> <p>4月24日Google更新旗下的動態密碼產生器Google Authenticator，最大變動是支援將此App產生的動態密碼備份至Google帳號，有了這個備援機制，一旦行動裝置遺失時，使用者仍能以此進行雙因素驗證流程。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://ccdcoe.org/news/2023/worlds-largest-cyber-defense-exercise-locked-shields-kicks-off-in-tallinn/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">38國參與北約組織2023年網路攻防演習</span></strong></a></p> <p>4月19日，北約組織合作網路防禦卓越中心（CCDCOE）於愛沙尼亞首都塔林舉辦Locked Shields網路攻防演練，本次演習為期4天，總共有38國、3千名人士參與，相較於2022年有32國、2千人與會的情況，今年參與的國家與人數顯著增加，很有可能和仍在進行的烏克蘭戰爭有關。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://research.checkpoint.com/2023/educated-manticore-iran-aligned-threat-actor-targeting-israel-via-improved-arsenal-of-tools/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列組織遭到伊朗駭客Educated Manticore鎖定</span></span></strong></a></p> <p><a href="https://arxiv.org/pdf/2304.10877.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Intel處理器存在瞬間執行漏洞，恐被用於旁路攻擊</span></span></strong></a></p> <p><a href="https://www.bitsight.com/blog/new-high-severity-vulnerability-cve-2023-29552-discovered-service-location-protocol-slp"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">服務定位協定SLP漏洞恐被用於DDoS流量放大攻擊</span></span></strong></a></p> <p><a href="https://cybelangel.com/2023-state-of-easm-report-cybelangel-analysis-of-half-billion-internet-facing-apps-devices-reveals-top-trends-in-critical-exposures-to-cyberattacks-across-industries/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">未受保護的網頁伺服器曝露逾700億個檔案</span></span></strong></a></p> <p><a href="https://www.aquasec.com/cloud-native-academy/docker-container/registry-scanning/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">錯誤配置的雲端軟體登錄檔曝露逾2.5億個物件</span></span></strong></a></p> <p><a href="https://www.akamai.com/lp/soti/slipping-through-the-security-gaps-the-rise-of-application-and-api-attacks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">鎖定科技與零售業的API與應用程式攻擊翻倍成長</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156554">【4月25日】 PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156542">【4月24日】美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還會加密檔案</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156513">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</a></strong></p> </div></div></div>
2023/4/26 16:49作者周峻佑https://www.ithome.com.tw/news/156575
AWS擴大GuardDuty安全防守範圍，可偵測容器、資料庫與無伺服器應用安全威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS威脅偵測服務<a href="https://www.businesswire.com/news/home/20230424005364/en/AWS-Announces-Three-New-Amazon-GuardDuty-Capabilities-to-Help-Customers-Protect-Container-Database-and-Serverless-Workloads">Amazon GuardDuty</a>獲得三項功能更新，防護範圍擴大至容器、資料庫和無伺服器應用。新加入的功能包括可偵測容器化工作負載威脅的EKS Runtime Monitoring，以及偵測Aurora資料庫資料的潛在威脅的RDS Protection，還有可分析Lambda應用程式相關惡意行為的Lambda Protection。</p> <p>GuardDuty能夠持續分析AWS帳戶和資源活動，並且偵測諸如惡意行為、未經授權的存取，或是不安全來源等潛在威脅。該服務使用機器學習和異常行為偵測等技術，整合AWS自家與其他安全威脅情報，對雲端活動進行分析，即時阻擋連接埠掃描、惡意軟體橫向移動，以及已知惡意IP位置活動等不尋常行為。</p> <p>GuardDuty的威脅偵測功能以及覆蓋範圍廣泛，新增的3項功能，強化原有100多種威脅偵測功能基礎，並將安全範圍進一步擴大至更多類型的雲端核心部署用例。GuardDuty現在可提升Amazon EKS的安全性，EKS Runtime Monitoring功能引入了一個全託管的輕量級安全代理，可以分析和監控主機作業系統的行為，諸如檔案存取、程序執行和網路連接等。</p> <p>用戶不需要執行任何部署、維護和更新動作，就能夠簡單地啟用GuardDuty保護EKS工作負載，在高度動態的容器化運算環境，更能體現GuardDuty的易用性，官方提到，GuardDuty可以簡單地保護跨帳號或是組織的所有EKS工作負載。由於GuardDuty同時監控了執行時事件、Kubernetes稽核日誌，以及來自AWS控制平面和網路日誌的資料，因此能夠及早察覺潛在威脅。</p> <p>現在Aurora資料庫也納入GuardDuty的防守範圍中，GuardDuty能夠在不影響資料庫效能和可用性的前提下，辨識存放在Aurora資料庫中的潛在威脅資料。GuardDuty可分析和監控既有和新的資料庫存取活動，透過整合威脅情報和機器學習模型，偵測資料庫可疑的登入活動。</p> <p>連傳統威脅偵測方法，難以偵測的無伺服器應用程式安全風險，GuardDuty也能夠提供有效保護。AWS指出，因為無伺服器工作負載添加了抽象層，使得傳統威脅偵測方法通常難以介入。而GuardDuty能持續監控無伺服器工作負載，分析與Lambda函式相關的網路通訊，以便偵測惡意通訊和諸如加密貨幣挖掘等有害活動。</p> </div></div></div>
2023/4/26 16:42作者李建興https://www.ithome.com.tw/news/156574
Google Cloud首度轉虧為盈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/investor/static/pdf/2023Q1_alphabet_earnings_release.pdf" target="_blank">Alphabet周二（4/25）公布該公司今年第一季財報</a>，該季Alphabet創下698億美元的營收，比去年同期增加3%，當中最受矚目的是Google Cloud締造了74.5億美元的營收，成長28%，而且出現了1.9億美元的盈餘，這是Alphabet自3年前開始揭露Google Cloud營收以來首度獲利，去年同期Google Cloud虧損了7.1億美元。</p> <p>在698億美元的營收中，Google搜尋占了403億美元，Google網路占了75億美元，YouTube廣告占了67億美元，上述廣告營收的總和為545億美元，占Google總營收的78%，至於Google Cloud雖僅占Google總營收的10.7%，卻是目前成長最快的服務。</p> <p>至於新創事業（Other Bets）在該季的營收只有2.9億美元，比去年同期下滑了34.5%，虧損亦從8.4億美元擴大至12.3億美元。</p> <p>此外，有鑑於DeepMind與Google Services、Google Cloud及新創事業之間的合作愈來愈密切，再加上<a href="https://www.ithome.com.tw/news/156498" target="_blank">DeepMind已在日前與Google Brain合併成Google DeepMind</a>，自今年第一季起，DeepMind或Google DeepMind的財務狀況將不再被納入新創事業，而會被視為Alphabet的企業成本。</p> <p>Alphabet今年第一季的企業成本為32.9億美元，遠高於去年同期的3.4億美元，但此一增幅主要來自於該季裁員與縮減辦公室空間、而衍生的25億美元支出。</p> <p>儘管<a href="https://www.ithome.com.tw/news/155250" target="_blank">Alphabet在今年第一季大裁1.2萬人</a>，但截至3月底，Alphabet的員工人數仍超過19萬名，去年同期僅有16.4萬名。</p> <p>Alphabet在該季的每股盈餘為1.17美元，低於去年同期的1.23美元，財報公布當天的盤後股價上漲了1.48%，為106.15美元。</p> </div></div></div>
2023/4/26 13:15作者陳曉莉https://www.ithome.com.tw/news/156571
歐盟公布必須遵循《數位服務法》的19項大型服務，Google Play、臉書、蘋果App Store與維基百科皆入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_2413" target="_blank">歐盟執委會（European Commission，EC）在周二（4/25）公布了必須遵循《數位服務法》（Digital Services Act，DSA）的19項大型網路服務</a>，涵蓋Amazon Store、蘋果App Store、Google Play、Google Maps、Facebook、維基百科、Bing及Google Search等，而EC內部市場專員Thierry Breton則在記者會上表示，這些服務必須在8月25日以前遵循該法令，否則便可能面臨龐大罰款。</p> <p>《數位服務法》主要的目的為建立一個更安全的數位空間，以保護所有數位用戶的基本權利，要求各大服務賦予使用者更多的權力，對未成年用戶有更強大的保護，必須審核內容以減少不實資訊，也得更透明及更負責任。</p> <p>從細項來看，該法令希望使用者能夠清楚了解被推薦內容的原因，也能選擇退出；讓使用者更容易檢舉違法內容；平臺不得利用使用者的敏感資訊來遞送廣告；平臺必須具備更簡明扼要的服務條款；必須確保未成年用戶的隱私；不得針對兒童遞送目標式廣告；以及必須採取措施來解決非法內容、或對資訊/言論自由帶來負面影響的風險。</p> <p>EC所指定的19項服務的每月用戶數都超過4,500萬名，它們分別是Google的Google Play、Google Maps、Google Shopping、YouTube與Google Search，Meta的Facebook與Instagram，微軟的Bing與LinkedIn，還有蘋果的App Store，Amazon Store，Alibaba AliExpress，Booking.com，Pinterest，Snapchat，TikTok，Twitter，Zalando及維基百科（Wikipedia）。</p> <p>適用於《數位服務法》的4類業者涵蓋ISP及網域名稱註冊商，代管服務業者，諸如線上市集、行動程式市集與社交媒體等平臺業者，以及在歐盟觸及率超過10%的超大型網路平臺，EC本周所指定的19項服務即符合最後一項，未來將由EC負責監督。</p> <p>至於歐盟的基它國家也被要求，要在明年2月17日以前建立與實施《數位服務法》，並負責監督其它較小的平臺與搜尋引擎。</p> </div></div></div>
2023/4/26 13:31作者陳曉莉https://www.ithome.com.tw/news/156572
TP-Link Archer一款無線路由器遭新Mirai病毒鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zerodayinitiative.com/blog/2023/4/21/tp-link-wan-side-vulnerability-cve-2023-1389-added-to-the-mirai-botnet-arsenal" target="_blank">安全廠商發現</a>網路近日出現Mirai殭屍網路（botnet）病毒，正在鎖定TP-Link一款無線路由器發動攻擊。</p> <p>趨勢科技旗下的Zero Day Initiative安全研究室的遙感系統，4月中偵測到一個不知名的攻擊者利用TP-Link Archer AX21無線路由器的漏洞部署Mirai殭屍網路病毒。主要受害者位於東歐。在成功植入Mirai後，就從Mirai的C&C伺服器發出呼叫以下載更多二進位程式，然後透過暴力破解方式，尋找適合目標系統加入其殭屍網路。</p> <p>這群駭客利用的是TP-Link Archer AX21上編號CVE-2023-1389的漏洞。這項漏洞為存在Locale API上merge_country_config功能的指令注入漏洞，源自該功能對用戶輸入字串驗證不足，而執行攻擊者發送帶有寫入指令的系統呼叫，造成在Root目錄下的任意程式碼執行。攻擊者不需經過驗證也能濫用這項漏洞。</p> <p>本漏洞風險值為CVSS 3.1版的8.8，屬重大漏洞。</p> <p>CVE-2023-1389是去年12月於多倫多舉行的Pwn2Own上首先展示，兩間安全研究室包括Team Viettel及Tenable分別發現漏洞位於路由器的區域網路（LAN）介面，但另一家安全廠商Qrious Security則證實也可以由路由器的WAN介面濫用。後者發現，可以local API指令注入手法，串聯CVE-2023-1389和競爭條件（race condition）漏洞達成程式碼執行的目的。</p> <p>ZDI於今年1月通報TP-Link，<a href="https://www.tp-link.com/us/support/download/archer-ax21/v3/#Firmware" target="_blank">這家廠商已經在3月17日釋出新版韌體解決漏洞</a>。<a href="https://www.bleepingcomputer.com/news/security/tp-link-archer-wifi-router-flaw-exploited-by-mirai-malware/" target="_blank">Bleeping Computer報導</a>，遭感染的裝置會出現網路過熱、斷線、網路設定莫名其妙改變，或是管理員密碼重設等癥狀。</p> </div></div></div>
2023/4/26 13:48作者林妍溱https://www.ithome.com.tw/news/156573
ChatGPT允許用戶關閉、匯出對話紀錄、正在開發企業版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應外界的隱私疑慮，<a href="https://openai.com/blog/new-ways-to-manage-your-data-in-chatgpt" target="_blank">OpenAI昨（25）日宣布</a>將增加隱私選項，允許用戶關閉ChatGPT的對話紀錄，也可以匯出舊有對話紀錄。此外OpenAI也宣布正在開發企業版 ChatGPT訂閱方案。</p> <p>OpenAI之前一項為人詬病之處是會紀錄用戶和ChatGPT的對話，將之用於訓練、微調底層AI模型。即使用戶可以定期主動清除對話紀錄，但期間這些對話還是會成為訓練資料。此外，<a href="https://www.ithome.com.tw/news/156068" target="_blank">上個月ChatGP也緊急修補</a>一個可能導致用戶對話紀錄標題外洩的漏洞。</p> <p>利用這項新功能，一旦用戶關閉對話紀錄，任何之後對話就不會再被用於ChatGPT模型訓練，也不會出現在歷史紀錄側邊欄中。不過OpenAI 說，在用戶設定關閉紀錄後，新的對話內容還是會保留30天以便監控是否有濫用情形，之後才會永久刪除。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0426-how%20to%20disable%20history%20in%20ChatGPT.png" style="width: 600px;" /></p> <p>新的控制功能將從今天部署到所有用戶，可以在ChatGPT設定中找到，用戶可以隨時選擇退出（opt-on）或變更。</p> <p>OpenAI還加入另一項新功能，方便用戶更容易將ChatGPT的對話或其他資料以檔案形態匯出，以便儲存在PC上，也可用於檢視ChatGPT儲存了什麼資訊。匯出功能位於ChatGPT的設定功能中的「Show」選項中。</p> <p>最後，繼ChatGPT Plus付費方案後，<a href="https://help.openai.com/en/articles/7730893-data-controls-faq" target="_blank">OpenAI昨日也宣布</a>正在開發ChatGPT Business訂閱方案，提供給希望有更大資料控管權的用戶，以及想管理終端用戶的企業。這項方案會遵循OpenAI的API資料使用政策，意謂預設不會使用終端用戶的資料於ChatGPT及DALL-E等模型的訓練。OpenAI說ChatGPT Business預計在未來幾個月中問世。</p> <p>在此之前，<a href="https://docs.google.com/forms/d/e/1FAIpQLScrnC-_A7JFs4LbIuzevQ_78hVERlNqqCPCt3d8XqnKOfdRdQ/viewform" target="_blank">OpenAI也允許用戶填寫</a>線上申請單，以要求退出該公司的模型訓練。</p> </div></div></div>
2023/4/26 11:08作者林妍溱https://www.ithome.com.tw/news/156570
Google在多項安全解決方案整合資安用生成式AI模型Sec-PaLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於技術的進展，大型語言模型的應用範圍不再只是單純處理語言，現在資訊安全領域也是大型語言模型熱門的應用領域，Google開發了一個名為<a href="https://cloud.google.com/blog/products/identity-security/rsa-google-cloud-security-ai-workbench-generative-ai">Sec-PaLM的大型語言模型</a>，該模型針對安全用例進行微調，用於諸如Security AI Workbench、VirusTotal Code Insight和Mandiant Breach Analytics for Chronicle等安全解決方案。</p> <p>Google推出整合Sec-PaLM的Security AI Workbench平臺，該平臺運用安全語言模型，更整合豐富的安全情報，包括Google威脅態勢，以及Mandiant漏洞、惡意軟體、威脅指標和威脅參與者基本資料等訊息。Google的合作夥伴和用戶可以透過API存取Security AI Workbench，獲得重要威脅情報和各種安全功能。</p> <p>用戶現在可申請使用VirusTotal Code Insight預覽，這是Google運用Security AI Workbench，所建構的示範安全解決方案，其使用Sec-PaLM分析和解釋惡意腳本行為，協助用戶發現存在威脅的腳本。</p> <p>而Mandiant Breach Analytics for Chronicle也整合Sec-PaLM，協助用戶探索環境中的漏洞，並且即時作出回應。Chronicle的用戶不需要學習新語法，便可利用大型語言模型，以自然語言要求系統搜尋安全事件，並且進一步分析搜尋結果，或是快速創建掃描任務。</p> <p>Google的安全指揮中心（Security Command Center）現在也會運用Sec-PaLM，將複雜的攻擊圖，轉換成為人類可讀的攻擊解釋，說明可能影響的資產以及推薦解決辦法，同時還能對安全、法遵和隱私生成風險摘要。</p> <p>生成式人工智慧的安全應用層面廣泛，像是Google最近開放的Assured OSS服務，便是使用Sec-PaLM，協助驗證開源軟體套件，使得Google能夠在Assured OSS服務提供安全，經過漏洞測試的套件。而建立在Mandiant威脅圖之上的Mandiant威脅情報人工智慧，也利用Sec-PaLM快速查詢、總結和回應安全威脅。</p> <p>Google並非唯一將大型語言模型用於資安領域的廠商，像是在3月底時，微軟就已發布整合OpenAI GPT-4模型的<a href="https://www.ithome.com.tw/news/156183">Security Copilot</a>，透過整合微軟的安全情報資料庫，可供資安人員以自然語言的方式，查詢並且分析威脅資料，並且進一步探索攻擊活動。</p> </div></div></div>
2023/4/26 08:48作者李建興https://www.ithome.com.tw/news/156568
Gogolook推出Roo AI，以生成式AI技術打造AI智能問答服務，不只回答在地化金融商品資訊，還能根據提問提醒用…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3年前Gogolook推出了名為貸鼠先生的金融諮詢服務，可協助消費者辨識網路上各種真假難辨的金融商品資訊，減少詐貸等問題，3年後，該平臺每月活躍用戶數成長達2百萬人，還完成了逾1萬人次的一對一真人線上諮詢及5萬件貸款媒合。</p> <p>為了提供更多元金融商品諮詢服務，該公司今天（4/25）不只宣布以「袋鼠金融」作為新品牌名稱，更推出以ChatGPT的生成式AI技術為基礎打造的全新AI智能問答服務「Roo AI」，不只能讓生成內容貼近臺灣消費者金融知識與提供更正確資訊，甚至是可以從用戶提問內容中找出可能導致用戶受騙的資訊加以提醒，小心不要被騙！雖然目前還是Beta版本，使用者已能使用該問答服務。</p> <p>Gogolook共同創辦人暨執行長郭建甫表示，平臺正式更名為袋鼠金融後，除了擴大服務範圍，可提供從信貸、信用卡、數位帳戶、到證券、理財相關一站式多元的金融知識服務，也將透過結合不斷進步的AI相關知識，希望建構一個更開放創新的平臺，讓用戶可以在這裡互動、持續學習，為各個不同階段的用戶，找到最適合其個人的金融知識與商品，朝普惠金融之路邁進。</p> <p>Gogolook在袋鼠金融平臺所打造第一個生成式AI應用，就是在真人線上客服之外，開始透過生成式AI提供金融問答服務，「運用生成式AI技術，讓我們可以站在巨人的肩膀上，打造臺灣本土首款的金融商品問答服務。」郭建甫這樣說。</p> <p>去年11月底ChatGPT發表後，Gogolook團隊12月就展開評估，然後決定投入研發，並花了3個多月完成開發。一開始Gogolook測試過了許多LLM模型，包括GPT-2、GPT-3.5、GPT4和中研院國產版本等，最後決定使用3.5版GPT模型來打造自己的金融版ChatGPT。</p> <p>但是，ChatGPT過去經常被人發現給出錯誤或不正確的答案，而且使用資料庫數據也不是最新數據，為了避免這種情況出現在Roo AI身上，因此，研發團隊使用了自己建立的資料庫作模型訓練，搭配GPT語意模型，來訓練自己的LLM模型，一共使用了超過1千篇、累積400萬字的金融文章和200多項金融商品資訊訓練模型，以便讓生成內容能夠貼近臺灣消費者金融需求的回答。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230425_033511745.jpg" style="width: 600px; height: 338px;" /></p> <p>目前企業使用ChatGPT技術時，主要有fine-tuning 和Embedding兩種做法來訓練自己的LLM模型，Gogolook同時結合兩種方式打造Roo AI問答模型。</p> <p>流程上，使用者輸入問題後，會先從金融資料庫中來比對搜尋，找出能夠匹配這個問題的相關文本內容，接著會連同提問文字以向量形式進行處理<span>，</span>再輸入到GPT模型上進行內容生成，再將生成結果搭配參考資訊回傳給使用者。研發團隊使用嵌入式文字匹配技術，建構出一個Roo上下文分析器，可以根據輸入問題找出匹配文本內容，再一起放進GPT模型生成內容，以此來提升生成內容的正確性，因為使用本地金融資料庫，也喪生成結果更貼近臺灣用戶金融需求。</p> <p>除了使用GPT 3.5模型，來生成回覆內容之外，在前期提問文字處理上，他們也使用BERT的NLU語言模型，用於處理斷詞、關鍵字進行語意<span>分類和描述</span>，甚至還用它來預先過濾提問中可能包含的一些非法詞彙，例如說「我要買炸彈要用一些信用卡」，即使是通過第一層NLU模型的過濾，之後進到ChatGPT後，還有另一道過濾機制，是透過事前Prompt的設定，來限制ChatGPT回答，避免給出有問題或危害的答案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230425_033802521.jpg" style="width: 600px; height: 338px;" /></p> <p>袋鼠金融Roo.Cash產品負責人劉睿哲表示，他們還打造一套內容回覆品質分數系統，這套系統會根據每次用戶問題的回答，给予不同高低分數的評價，除了會用來作為後續模型調校，針對評價為高分的回答，下一次遇到相同或類似提問時，就能直接套用先前獲得高分的內容回覆。他表示，目前每月有超過一千次以上模型微調，讓它在金融商品問答表現更好。</p> <p>他們內部比較了在同一個問題下，使用Roo AI和GPT-4模型作答的表現，結果Roo AI不只能提供更即時且正確的金融商品資訊，甚至也可以從用戶提問的內容中，找出可能是詐騙或不實的可疑資訊，再回覆問題時加註提醒用戶，小心不要被騙。例如當使用者提問：「某家業者的青年創業貸款代辦服務是否為詐騙？」Roo AI除了提醒代辦業者提出高額代辦費用可能是詐騙外，也建議提問者找正規金融業者申辦，避免受騙。相較之下，GPT-4模型並無法給出具體建議和指引。</p> <p>不過使用者向Roo AI提問時，平均需等待30秒到1分鐘左右才能收到回覆。不過目前這項服務還只是beta版，有使用次數限制，每位用戶一天提問最多不能超過10次。Gogolook表示，未來將透過用戶回饋持續調校優化LLM模型。</p> <p>除了金融問答服務，Gogolook未來也將透過Roo AI推出無障礙金融服務，提供視障者的語音轉文字和文字轉語音的功能。</p> </div></div></div>
2023/4/25 16:35作者余至浩https://www.ithome.com.tw/news/156566
【資安日報】4月25日，PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週列印管理系統供應商PaperCut提出警告，該公司於1個月前修補的高風險漏洞出現攻擊行動，資安業者Huntress提出警告，根據他們的調查，大部分的PaperCut用戶仍在使用存在漏洞的軟體版本，呼籲IT人員儘速安裝更新程式。</p> <p>針對Mac電腦而來的惡意程式攻擊也相當值得留意。近期名為RustBucket惡意程式攻擊行動就是其中1例，在此之前，<a href="https://www.ithome.com.tw/news/156430">勒索軟體駭客LockBit也開始針對這種電腦製作惡意軟體</a>。</p> <p>在前述的資安威脅之餘，時下熱門的大型語言模型（LLM），現在被用於強化惡意程式的檢測上，將可能減少誤判的現象。例如，惡意軟體分析平臺VirusTotal就宣布導入名為Code Insight的機制，希望能改善檢測的能力。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.huntress.com/blog/critical-vulnerabilities-in-papercut-print-management-software"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">列印管理軟體PaperCut漏洞已出現攻擊行動，但仍有9成伺服器尚未修補</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/papercut (8)-png.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/papercut%20(8)-png.png" style="width: 300px; float: right;" /></a>4月19日列印管理軟體業者PaperCut提出警告，表示3月修補的漏洞CVE-2023-27350、CVE-2023-27351，傳出已被用於攻擊行動的狀況，現在有研究人員透露更多細節。</p> <p>資安業者Huntress於4月21日指出，他們約在16日開始看到相關的漏洞利用攻擊行動，並向PaperCut通報，當時駭客先是透過PowerShell於受害主機部署遠端管理軟體Atera、Syncro，企圖植入名為Truebot的惡意程式。</p> <p>根據該資安業者的掃描，他們有710個客戶建置了執行Windows作業系統的PaperCut主機，總數為1,014臺，但其中有908臺存在上述的漏洞。而對於攻擊者的身分，研究人員指出，很有可能是與勒索軟體駭客Clop有關的另一個組織Silence所為。</p> <p><a href="https://www.jamf.com/blog/bluenoroff-apt-targets-macos-rustbucket-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mac用戶遭到北韓駭客鎖定，發動惡意軟體RustBucket攻擊</span></strong></a></p> <p>蘋果裝置管理平臺供應商Jamf揭露惡意軟體攻擊行動RustBucket，發起者是北韓駭客組織BlueNoroff，他們透過尚未完成數位簽署的應用程式Internal PDF Viewer，傳送第一階段的惡意程式，後續再到受害電腦載入第二階段的惡意酬載。</p> <p>而到了第二階段，駭客透過帶有簽章的應用程式（名稱亦為Internal PDF Viewer）發動攻擊，並向受害者顯示含有投資訊息的特定PDF檔案，目的是讓受害電腦向攻擊者進行通訊，從駭客的C2伺服器下載以Rust語言寫成的惡意程式RustBucket，能於Arm與x86架構的Mac電腦執行。</p> <p><a href="https://www.reversinglabs.com/blog/package-names-repurposed-to-push-malware-on-pypi"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過重新上架PyPI同名套件來散布惡意程式</span></strong></a></p> <p>資安業者ReversingLabs揭露名為termcolour的惡意PyPI套件，研究人員在3月初發現此套件，但引起他們注意的地方在於，同名套件曾於2年前上架，直到今年駭客才再發布同名的惡意套件。</p> <p>研究人員認為，駭客利用這種曾發布的套件名稱，而將刻意使用相同命名的惡意套件上架到PyPI套件儲存庫，有可能因此導致那些使用已下架套件卻不知其被「掉包」的用戶，成為駭客的攻擊目標。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/cisco-patches-critical-vulnerabilities-in-industrial-network-director-modeling-labs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補工控系統的重大漏洞</span></strong></a></p> <p>4月19日思科發布資安通告，坦承他們的工業網路管理系統Industrial Network Director（IND）、網路模擬工具Modeling Labs存在重大漏洞。</p> <p>IND有一個CVE-2023-20036漏洞，起因是IND對於上傳的裝置套件未進行足夠的驗證，攻擊者可在無需通過身分驗證的情況下，用管理者權限執行任意命令，CVSS風險評分為9.9。</p> <p>Modeling Labs的漏洞是CVE-2023-20154，原因是在處理外部身分驗證伺服器回傳訊息不當，CVSS風險評分為9.1。</p> <p><a href="https://www.securityweek.com/solarwinds-platform-update-patches-high-severity-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SolarWinds修補高風險漏洞</span></strong></a></p> <p>IT基礎架構管理軟體業者SolarWinds針對旗下的管理平臺SolarWinds Platform發布修補程式，修補2個高風險漏洞CVE-2022-36963、CVE-2022-47505。</p> <p>前者為命令注入漏洞，攻擊者若是能取得管理者帳號的權限，就可能利用這項漏洞，CVSS風險評分為8.8。</p> <p>另一個漏洞則是與提升權限有關，攻擊者可在取得電腦使用者帳戶的情況下，藉此提升本機權限，CVSS風險評分為7.8。</p> <p><a href="https://www.greynoise.io/blog/openai-minio-and-why-you-should-always-use-docker-cli-scan-to-keep-your-supply-chain-clean"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源物件儲存系統MinIO存在漏洞，起因是ChatGPT採用了含有漏洞的版本</span></strong></a></p> <p>資安業者GrayNoise研究人員發現，OpenAI在大型語言模型ChatGPT的範例程式當中，使用的開源物件儲存系統MinIO存在漏洞CVE-2023-28432，有可能導致環境變數外流，例如：MINIO_SECRET_KEY、MINIO_ROOT_PASSWORD。一旦攻擊者利用上述漏洞，MinIO叢集就有可能將所有環境變數傳送給攻擊者，CVSS風險評分為7.5。</p> <p>研究人員表示，目前尚未有ChatGPT系統遭到攻擊的跡象，但他們已經看到網路上有積極嘗試利用漏洞的行動，呼籲用戶應儘速更新此框架元件。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://blog.virustotal.com/2023/04/introducing-virustotal-code-insight.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體分析網站VirusTotal導入大型語言模型</span></strong></a></p> <p>4月24日惡意軟體分析網站VirusTotal於本週巨型的RSA全球資安大會上宣布，他們將提供程式碼分析服務名為Code Insight。</p> <p>此服務以Google Cloud發布的Security AI Workbench為基礎，並採用專門針對資安領域調整的大型語言模型Sec-PaLM來進行解讀，找出可能有害的檔案並進行調查，以便有效提升用於分析的資源。</p> <p>該網站表示，Code Insight將會獨立進行分析，不會參考防毒引擎的分析結果或是其他資料，而有機會找出原本被誤報的情況。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/cyber-threat-advisory/dog-hunt-finding-decoy-dog-toolkit-via-anomalous-dns-traffic/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">DNS惡意軟體工具包Decoy Dog鎖定組織的網路設備而來</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/04/18/crosslock-ransomware-emerges-new-golang-based-malware-on-the-horizon/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體CrossLock繞過作業系統的事件追蹤機制</span></span></strong></a></p> <p><a href="https://research.checkpoint.com/2023/raspberry-robin-anti-evasion-how-to-exploit-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Raspberry Robin採用新的迴避偵測手法</span></span></strong></a></p> <p><a href="https://securelist.com/tomiris-called-they-want-their-turla-malware-back/109552/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄國駭客組織Tomiris利用惡意軟體Turla混淆視聽</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/yellow-pages-canada-confirms-cyber-attack-as-black-basta-leaks-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大黃頁搜尋網站Yellow Pages傳出遭到勒索軟體Black Basta攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156547"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">ESET分析二手企業路由器，56%含有前用戶的配置資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156542">【4月24日】美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還會加密檔案</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156513">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156490">【4月20日】 Oracle發布2023年第2季例行更新，修補433個漏洞</a></strong></p> </div></div></div>
2023/4/25 16:21作者周峻佑https://www.ithome.com.tw/news/156554
Google Authenticator開始與Google帳號同步，不必再擔心裝置遺失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/04/google-authenticator-now-supports.html" target="_blank">Google本周更新了支援Android與iOS的雙步驟身分驗證程式Google Authenticator</a>，允許使用者將該程式所產生的一次性密碼備份到Google帳號中，以免在手機遭竊或遺失之際，無法再登入基於Google Authenticator的網站或服務。</p> <p>Google是在2010年推出Google Authenticator，可安裝於Android或iOS手機上，當使用者造訪支援Google Authenticator的服務或網站時，這些程式/網站可運算並要求使用者輸入一個6~8位數的一次性密碼，作為尋常密碼之外的第二階段驗證因素，裝置上的Google Authenticator便會運算並顯示該密碼，供使用者輸入以驗證身分。</p> <p>過去這些一次性密碼僅存放於使用者裝置上的Google Authenticator中，因此，一旦裝置遺失或遭竊，使用者便難以再登入相關服務。</p> <p>本周的更新即是讓使用者可將這些一次性密碼存放於Google帳號中，以於所有登入Google帳號的裝置上使用，舉凡是支援Android的Google Authenticator 6.0或是支援iOS的Google Authenticator 4.0都具備此一新功能。使用者只需於Google Authenticator中登入Google帳號，即可自動於Google帳號中備份一次性密碼。</p> </div></div></div>
2023/4/25 15:33作者陳曉莉https://www.ithome.com.tw/news/156549
Red Hat裁員4%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google、微軟、Amazon等大廠相繼裁員之後，IBM旗下Linux與混合雲管理基礎架構部門<a href="https://www.redhat.com/en/blog/message-red-hat-associates-today" target="_blank">Red Hat昨（24）日宣布未來幾個月內將裁減4%</a>。</p> <p>以Red Hat公布的1.9萬人計算，裁員人數可能在750人左右。Red Hat CEO Matt Hicks指出，這批裁減的職位主要是一般行政及類似角色，但分布所有部門。裁員將從本周從某些國家展開，一直持續到第二季末。</p> <p>Hicks也說，裁員才能確保Red Hat在新的艱困環境中保持競爭力。但他表示Red Hat不會裁撤直銷及產品開發相關的人力。</p> <p><a href="https://www.ibm.com/investor/att/pdf/IBM-1Q23-Earnings-Press-Release.pdf" target="_blank">Red Hat是在上周IBM公布第</a>一季財報後宣布這番行動。根據藍色巨人上周公布的數字，上季營收143億美元，和去年同期相較勉強成長0.4%，獲利75億，淨收入9億美元，分別成長2%及41%。</p> <p>軟體部門而言，上季營收59億美元，成長2.6%。其中Red Hat成長8%，還是所有軟體業務中最好的，也帶動IBM混合平臺與解決方案成長2%。IBM顧問服務事業群成長2.8%來到50億元，但包含伺服器及儲存的基礎架構硬體業務則下滑3.7%來到31億美元。</p> <p><a href="https://www.nytimes.com/2023/01/25/business/ibm-layoffs.html" target="_blank">IBM今年1月才宣布</a>員額減少3,900名。但該公司表示，人員減少是因為賣掉舊業務，包括<a href="https://www.ithome.com.tw/news/147680" target="_blank">2021年賣掉</a>基礎架構維護部門（後改名Kyndryl），以及<a href="https://www.ithome.com.tw/news/149027" target="_blank">2022年出售</a>健康資料分析業務Watson Health。</p> <p> </p> </div></div></div>
2023/4/25 15:47作者林妍溱https://www.ithome.com.tw/news/156550
傳微軟可能鬆綁Office、Teams以避免反托拉斯官司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，微軟可能讓Office和Teams切分，以免於歐盟反托拉斯法的官司壓力。</p> <p><a href="https://www.ft.com/content/be838956-7038-4179-8a1c-851b83048d5d" target="_blank">《金融時報》</a>引述消息人士報導，為了解決歐盟的產品搭售疑慮，微軟正在改寫產品，使客戶能依其意願買到內建與不含Teams的Office產品，不過詳細運作方式不得而知。</p> <p><a href="https://www.ithome.com.tw/news/138979" target="_blank">2020年協同軟體平臺業者Slack向歐盟提出</a>對微軟的壟斷訴訟。競爭者指控微軟濫用Office的市占優勢搭售Teams服務，迫使用戶安裝，且阻撓移除，藉此排擠競爭者。現為CRM大廠Salesforce所有的Slack指出，微軟以Office搭售Teams的技倆一如當年以Windows搭售IE瀏覽器，要求歐盟採取行動，阻止微軟在新的產品市場推行搭售或綁定的策略。</p> <p>微軟對媒體指出，該公司努力在歐盟市場上善盡科技公司的職責，和歐盟執委會配合，並開放能解決當局疑慮及服務客戶的實用方案。</p> <p>如果歐盟真的啟動調查，將是微軟多年後再次成為反托拉斯官司中的被告。微軟因Windows搭售IE一案，2009年與歐盟達成和解，同意允許歐盟用戶選擇想要的瀏覽器。不過微軟後來被控未能遵守承諾，未能在Window 7 SP1中加入選擇瀏覽器的介面，<a href="https://www.ithome.com.tw/news/79123" target="_blank">而於2013年遭歐盟罰款5.61億歐元</a>。</p> <p>微軟在2022年也曾差點因Azure被歐盟調查。微軟被小型雲端業者控告，部署在Azure上的Windows和Office價格較其他雲平臺便宜，功能也更好。為了平息歐盟的托拉斯疑慮，<a href="https://www.ithome.com.tw/news/150992" target="_blank">微軟宣布改善</a>，讓小型雲端業者的客戶也能安裝使用Windows和Office。</p> </div></div></div>
2023/4/25 16:11作者林妍溱https://www.ithome.com.tw/news/156551
ChatGPT 1項範例程式使用的物件儲存服務MinIO有資訊外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Andrew___Morris/status/1639325397241278464" target="_blank">安全研究人員發現</a>，OpenAI ChatGPT範例程式使用的物件儲存服務MinIO存在資訊洩露漏洞，可能導致企業環境參數資訊外洩。更糟的是，這漏洞已出現被濫用的情形。</p> <p><a href="https://www.ithome.com.tw/news/156095" target="_blank">上個月OpenAI宣布</a>讓ChatGPT支援外掛，可讓開發人員為這個AI模型加入網際網路的即時資料。OpenAI表示這項功能秉持核心設計原則相同的安全等級開發，確保存取資訊的安全與隱私。</p> <p>不過<a href="https://www.greynoise.io/blog/openai-minio-and-why-you-should-always-use-docker-cli-scan-to-keep-your-supply-chain-clean" target="_blank">安全廠商GrayNoise研究人員發現</a>，<a href="https://github.com/openai/chatgpt-retrieval-plugin/blob/32bf09d16c4341571b530dd319d6678cb00f2d44/examples/docker/milvus/self-hosted/docker-compose.yml#L18" target="_blank">OpenAI提供的其中一項範例程式</a>所使用的物件儲存MinIO 2022年3月17日版本的Docker映像檔有漏洞。該漏洞為CVE-2023-28432，可能導致所有環境參數，包括MINIO_SECRET_KEY及MINIO_ROOT_PASSWORD外流。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0104-OpenAI-cyber-vulner-600-2.png" style="width: 600px;" /></p> <p>MinIO是許多企業及開發人員愛用的多雲物件儲存框架，它相容於AWS S3的API，使用AWS S3物件儲存服務的用戶在本地端也可以用MinIO開發測試。</p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2023-28432" target="_blank">根據美國國家漏洞資料庫</a>，CVE-2023-28432這項資訊洩露漏洞影響MinIO 2019-12-17T23-16-33Z以後版本，直到今年3月20日MinIO釋出最新補好漏洞的版本（2023-03-20T20-16-18Z）。使用有漏洞MinIO的叢集中，MinIO會回傳給攻擊者所有環境參數，包括登入憑證有關的參數MINIO_SECRET_KEY及MINIO_ROOT_PASSWORD外洩，導致資訊洩露，所有分散式環境的用戶都會受影響。本漏洞CVSS 3.1風險值為7.5，屬高風險漏洞。</p> <p>研究人員說，目前沒有跡象顯示有任何特定攻擊者已鎖定ChatGPT使用的範例執行個體，但是的確觀察到網路上已經有積極濫用活動。研究人員警告，若攻擊者大規模尋找及濫用有漏洞的MinIO服務，許多服務都將曝險，包括任何已部署、使用舊版MinIO的ChatGPT外掛。</p> <p>這漏洞沒有緩解方式，因此研究人員呼籲用戶應升級到安全的版本，並整合像是<a href="https://github.com/docker/scan-cli-plugin" target="_blank">dock-cli-scan</a>，或使用<a href="https://github.com/features/security" target="_blank">GitHub內建</a>的監控等安全工具來防範供應鏈漏洞。</p> </div></div></div>
2023/4/25 14:38作者林妍溱https://www.ithome.com.tw/news/156548
ESET分析二手企業路由器，有56%仍含有前任用戶的配置與資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.welivesecurity.com/wp-content/uploads/2023/04/used_routers_corporate_secrets.pdf" target="_blank">斯洛伐克資安業者ESET近日發表一研究報告</a>，彰顯了企業所淘汰的舊有設備在進了二手市場之後，可能成為駭客入侵的跳板，在ESET所購買的18臺二手路由器中，扣除一臺買來就壞掉的，以及將兩臺彼此鏡像的路由器視為一臺之後，有56%的設備依然可取得出前任用戶的配置與資料，包含路由器之間的認證金鑰。</p> <p><a href="https://www.welivesecurity.com/2023/04/18/discarded-not-destroyed-old-routers-reveal-corporate-secrets/" target="_blank">ESET表示</a>，該研究團隊一開始只在市場上買了幾臺二手的路由器來建置測試環境，卻發現有些路由器上的資料並未被移除，促使他們決定對此展開進一步的調查，再購買了18臺二手路由器。</p> <p>在真正執行分析的16臺二手路由器中，有9臺（56.25%）揭露了完整的配置資料，可用來取得先前用戶的機密資訊，例如它們全都含有一個或多個機密資訊，包括IPsec/VPN憑證，或是雜湊密碼，且它們所內含的資料皆足以辨識出原先的用戶。</p> <p>此外，在這些曝露機密資訊的路由器上，有89%含有路由器之間的認證金鑰，有89%具備特定應用的詳細連結資訊，有44%含有連至其它網路的憑證，有33%曝露了允許第三方連結至該網路的資料，還有22%含有客戶資料。</p> <p>值得注意的是，這些曝露機密資訊的路由器並非只來自缺乏IT管理資源的中小企業，有兩臺分別來自員工人數超過1萬名的全球資料公司及電信公司，還有一臺來自專門提供托管服務的資料中心業者。</p> <p>ESET所購買的路由器型號包括思科的ASA 5500系列，Fortinet的FortiGate系列，以及Juniper Networks的SRX Series Services Gateway，它們的二手市場價格自50美元到150美元不等。</p> <p>研究人員指出，可用來入侵企業網路的工具是非常有價值的，光是進入企業網路的憑證在黑市中的價格就高達2,800美元，然而，這些未受到妥善保護的二手路由器，卻只要1、200美元就能取得，對駭客而言有更好的投資報酬率。</p> <p>有趣的是，當ESET接洽受害企業時，有的說是交由第三方業者安全地移除資料，有的說已經付錢將設備銷毀（怎麼還在！），也有企業直接忽略研究人員的提醒。</p> <p>ESET建議企業應該要重視此事，在淘汰任何企業設備或裝置時都應完整地清除資料，並應定期審核清除程序，以免設備流入二手市場而遭到駭客利用。</p> </div></div></div>
2023/4/25 12:25作者陳曉莉https://www.ithome.com.tw/news/156547
即時3D繪圖函式庫Babylon.js 6.0添加3A遊戲等級的物理運算特效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://babylonjs.medium.com/announcing-babylon-js-6-0-dcb5f1662e3a">微軟主導開發的開源3D繪圖框架Babylon.js推出6.0版本</a>，新版本加入了許多新功能，包括強大的Havok物理運算，並且讓開發者選擇效能優先模式，開發出更加順暢的網頁3D應用，另外，在特效表現上，也提供更真實的光影特效以及流體渲染。</p> <p>Babylon.js是一個功能強大的JavaScript函式庫，可供開發者在網頁平臺創建和渲染3D圖形，由於Babylon.js應用了WebGL技術，開發人員不需要額外安裝套件，就能夠高效能地創建3D遊戲和應用程式。Babylon.js提供許多內建功能，包括材質、貼圖、光照和相機等。另外，Babylon.js還支援虛擬實境和擴增實境，提供另一種沈浸式體驗的開發選擇。</p> <p>在Babylon.js 6.0中，官方與Havok團隊合作，於函式庫中添加新的物理實作，使得Babylon.js擁有許多先進的物理運算功能。Havok在1998年成立，其所開發的物理引擎已經用在許多大型遊戲中，也是目前3A遊戲中最被廣泛使用的物理引擎。</p> <p>Havok免費在Babylon.js 6.0提供許多先進的物理運算功能，這些功能透過特殊的WebAssembly擴充套件，和Babylon.js物理API整合。這項合作不只使開發者可以用到更多新物理功能，也讓物理運算的速度提升高達20倍。微軟也趁機翻新了物理API，不只讓API更容易使用，賦予開發者更強的功能和更多的控制功能，降低在網頁應用程式加入物理模擬運算的障礙。</p> <p>除了強化Babylon.js的功能之外，開發團隊也在效能上下功夫，在6.0版本中，加入了效能優先模式，在渲染速度和運算效能上，速度提升達50倍。效能優先模式可選擇不同程度的效能強化，分別有向後相容模式、中間模式和激進模式，開發者可依需求選擇適合的效能加速等級。</p> <p>Babylon.js所使用的繪圖API為WebGL，但隨著更先進的WebGPU逐漸成熟，包括<a href="https://www.ithome.com.tw/news/156299">Chrome也開始提供完整支援</a>，Babylon.js開發團隊透過參與WebGPU工作組，從<a href="https://blogs.windows.com/windowsdeveloper/2022/05/05/babylon-js-5-0-beyond-the-stars-part-1/">Babylon.js 5.0</a>就全面支援WebGPU，這代表Babylon.js將提供一個抽象層處理WebGL和WebGPU，開發者因而不需要額外學習新的圖形API，就可以獲得更快速的圖形處理效能。目前開發者已經可以試用WebGPU，<a href="https://doc.babylonjs.com/setup/support/webGPU">官方也提到</a>，他們在可預見的未來，仍會同時支援WebGL和WebGPU。</p> </div></div></div>
2023/4/25 08:29作者李建興https://www.ithome.com.tw/news/156543
Linux基金會成立系統建模語言TLA+基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會宣布成立專門支援和發展<a href="https://www.linuxfoundation.org/press/linux-foundation-launches-tlafoundation">TLA+（Temporal Logic of Actions）語言的基金會</a>，主要創始會員為微軟、甲骨文和AWS。TLA+是一種形式化的規範語言，可用於描述和檢驗分散式系統的行為、演算法和協定。</p> <p>TLA+語言最初是由Leslie Lamport在1990年代發明，其目的是要發展一個工具，協助工程師設計、理解和驗證大型軟體系統，特別是對那些具有高可性要求的系統。該語言的核心概念，是形式化數學公理，透過使用數學表示法描述系統的狀態行為，讓開發人員能夠捕捉系統的重要屬性，並且檢驗其是否滿足特定需求，簡單來說，TLA+語言讓開發人員用簡單的數學來描述系統。</p> <p>支援時間邏輯（Temporal Logic）是TLA+的重要特性，允許開發人員能夠表示和分析，系統在一段時間內變化的邏輯，利用這項特性，開發人員便能夠更簡單地發現，分散式系統中的競爭條件和死鎖等常見問題。由於部分系統中的基本錯誤，很難從程式碼中發現，而且修正起來成本高昂，因此TLA+語言的價值，便是讓開發者更簡單地消除這些基本但是關鍵的錯誤。</p> <p>TLA+語言發命者Leslie Lamport，目前是微軟研究院的傑出科學家，在Leslie Lamport發明TLA+語言之後，受微軟的支援和管理，現在微軟決定將該專案貢獻出來，在Linux基金會旗下成立TLA+語言基金會，以促進該語言推廣、研究資助和工具開發等工作。</p> </div></div></div>
2023/4/25 08:34作者李建興https://www.ithome.com.tw/news/156545
【資安日報】4月24日，美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客在惡意軟體整合不同領域的功能可說是越來越常見，例如，最近研究人員揭露惡意軟體EvilExtractor，攻擊者不只將它用於竊取受害電腦的資料，也將其用於加密檔案，並向受害者勒索。</p> <p>網路電話系統製造商3CX傳出供應鏈攻擊的情況，日前傳出該公司遭駭的原因，是還有另一個軟體供應鏈攻擊引起，而且，研究人員表示還有其他組織受害。現在有另一家資安業者證實這樣的說法，並指出至少有4個關鍵基礎設施（CI）遭受相關攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/evil-extractor-all-in-one-stealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國與歐洲組織遭到惡意軟體EvilExtractor攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig16-evilextractor-ransomware-note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig16-evilextractor-ransomware-note.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露惡意軟體EvilExtractor的攻擊行動，駭客先是假借帳號確認請求為由寄送釣魚郵件，附件為gzip壓縮檔案，壓縮檔內容含有看起來像PDF文件的檔案，但實際為Python可執行檔案。</p> <p>一旦受害者執行此可執行檔，將會啟動PyInstaller程式並執行惡意程式載入工具，透過Base64編碼的PowerShell指令碼啟動EvilExtractor。此惡意程式首度執行的時候，會先檢查系統的時間與主機名稱，來確認是否在虛擬電腦環境，若為真實電腦系統，該惡意程式才會繼續執行，下載3個額外的模組，用途是從瀏覽器的Cookie收集上網記錄及帳密資料，以及側錄鍵盤輸入的資料、控制視訊鏡頭及截取影像的能力。</p> <p>此外，該惡意程式也具備加密檔案的勒索軟體功能Kodex Ransomware，此功能利用7-Zip將電腦的檔案轉換為受到密碼保護的壓縮檔，並索討價值1千美元的比特幣。</p> <p><a href="https://www.secureworks.com/blog/bumblebee-malware-distributed-via-trojanized-installer-downloads"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織利用Google廣告散布BumbleBee</span></strong></a></p> <p>資安業者Secureworks揭露近期惡意軟體載入器Bumblebee的攻擊行動，駭客透過Google廣告，引誘使用者從釣魚網站下載思科AnyConnect Secure Mobility用戶端軟體，一旦使用者依照指示下載並執行此安裝程式，電腦就會被植入Bumblebee，為了避免讓使用者察覺異狀，該安裝程式亦會部署真正的AnyConnect Secure Mobility軟體。</p> <p>研究人員在其中一起攻擊行動裡，看到攻擊者在成功入侵後的3個小時，開始在受害組織內部網路進行橫向移動，進而部署滲透測試工具Cobalt Strike、遠端桌面連線工具AnyDesk及DameWare、網路掃描工具、AD資料庫轉存工具、Kerberos帳密資料挖掘程式等。</p> <p><a href="https://heimdalsecurity.com/blog/mitid-smishing-nordea-bank/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北歐銀行用戶遭到網釣簡訊鎖定</span></strong></a></p> <p>資安業者Heimdal揭露針對北歐銀行用戶而來的釣魚簡訊（Smishing）攻擊行動，他們在4月20日，看到尚未確定身分的APT駭客組織發動攻擊，駭客發送簡訊，宣稱使用者必須更新手機上的數位身分驗證服務MitID的應用程式，否則有可能影響北歐銀行的App運作。一旦使用者點選簡訊裡的URL進行更新，就有可能上當。</p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fakecalls-android-malware-abusing-legitimate-signing-key/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬Fakecalls濫用合法簽章迴避檢測</span></strong></a></p> <p>資安業者McAfee從去年8月，追蹤名為Fakecalls的安卓惡意程式，其中1個版本濫用了韓國應用程式開發商的簽章，發出此簽章的公司業務遍及IT、電玩、行動支付、廣告等領域。不過，大部分的Fakecalls都是偽裝成銀行應用程式，目的很有可能是要騙走用戶的存款。</p> <p>研究人員分析此惡意程式，發現駭客不只透過加殼來迴避分析，當他們解密後，看到攻擊者又從HTML檔案取得安卓套件（APK檔案）的資訊，讓研究人員難以調查。</p> <p>一旦使用者執行上述惡意程式，此軟體就會要求安裝另一個App的訊息，若依照當中的指示進行之後，能讓惡意程式存取存放於特定資料夾的APK檔案introduction.html，並要求使用者開放9項存取權限，像是麥克風、電話記錄、地理位置、簡訊等。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/xtrader-3cx-supply-chain"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、歐洲關鍵基礎設施也傳出受到網路電話系統供應商3CX供應連攻擊波及</span></strong></a></p> <p>3月底網路電話系統製造商3CX傳出供應鏈攻擊，日前有資安業者發現源頭還有另一個X_Trader軟體供應鏈的事故，並指出在3CX之外還有其他組織也可能受到影響，但究竟有那些受害組織？</p> <p>資安業者賽門鐵克指出，他們至少發現有4個關鍵基礎設施（CI）遭到攻擊，其中有2個是能源領域（美國、歐洲各有1個），另外2個是金融產業的組織。研究人員透露駭客入侵受害組織的手法，先是利用帶有數位簽章的安裝程式散布，然後於受害電腦部署後門程式。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://github.blog/2023-04-19-private-vulnerability-reporting-now-generally-available/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">供資安人員通報GitHub儲存庫漏洞的功能正式上線</span></strong></a></p> <p>去年11月GitHub測試名為Private Vulnerability Reporting的漏洞通報功能，目的是讓資安研究員更容易向維護團隊通報儲存庫的弱點，該公司於4月19日正式開放上述功能，專案管理者可在儲存庫設定的程式碼安全與分析（Code Security and Analysis）項目啟用。</p> <p>此外，GitHub也一併提供了儲存庫資安通告的API，以便資安研究員能將相同的漏洞資訊通報多個儲存庫。自上述功能開放測試，已有逾3千個組織、18萬個儲存庫試用上述功能。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://astrix.security/ghosttoken-exploiting-gcp-application-infrastructure-to-create-invisible-unremovable-trojan-app-on-google-accounts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Cloud平臺存在漏洞GhostToken，恐導致用戶帳號遭到挾持</span></span></strong></a></p> <p><a href="https://www.wiz.io/blog/brokensesame-accidental-write-permissions-to-private-registry-allowed-potential-r"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">阿里雲PostgreSQL資料庫出現2個重大漏洞</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/leveraging-kubernetes-rbac-to-backdoor-clusters"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Kubernetes的API被用於植入後門程式</span></span></strong></a></p> <p><a href="https://krebsonsecurity.com/2023/04/giving-a-face-to-the-malware-proxy-service-faceless/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體代打服務Faceless向網路罪犯出售匿名身分</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cisco-patches-critical-vulnerabilities-in-industrial-network-director-modeling-labs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科修補工控系統的重大漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156513">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156490">【4月20日】 Oracle發布2023年第2季例行更新，修補433個漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a></strong></p> </div></div></div>
2023/4/24 17:19作者周峻佑https://www.ithome.com.tw/news/156542
開源社群發公開信警告，網路韌性法案將對開源軟體開發造成寒蟬效應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括Eclipse基金會與歐洲Linux基金會等組織，針對<a href="https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act">網路韌性法案（Cyber Resilience Act）</a>向歐盟提交<a href="https://newsroom.eclipse.org/news/announcements/open-letter-european-commission-cyber-resilience-act">公開信</a>，指出目前歐盟所制定的網路韌性法案，並沒有開源社群參與，導致目前的法案提案內容對開源軟體專案不夠友善，可能使開源貢獻者出現寒蟬效應，限制開源專案的應用創新。</p> <p>歐盟在2022年9月15日發布了網路韌性法案提案，目的是要規範數位產品的網路安全，希望製造商能夠強化網路安全規則，以確保硬體和軟體產品的安全性，最終希望減少不良網路安全產品所帶來的用戶和社會成本。</p> <p>網路韌性法案規範帶有數位元素的產品，確保硬體和軟體產品上市時，能有更少的漏洞，使製造商能在產品生命周期確保網路安全，同時該法案也創造了條件，讓用戶在選擇帶有數位元素的產品時，將網路安全列入選擇條件。</p> <p>該法案有四大具體目標，首先，法案要求製造商在設計和開發階段，將網路安全列入考量，並且在產品生命周期間確保其安全性，網路韌性法案第二個目標是提供一個網路安全框架，供硬體和軟體製造商遵循，第三則是提高數位元素產品的安全性透明度，最後一個目標是讓企業和消費者都能夠安全地使用數位元素產品。</p> <p>雖然網路韌性法案的立意良好，但是其規範可能扼殺開源生態系，降低開源貢獻者參與開發意願。<a href="https://blog.opensource.org/what-is-the-cyber-resilience-act-and-why-its-important-for-open-source/">開放原始碼促進會（Open Source Initiative，OSI）提到</a>，這項法案試圖將CE（Conformité Européenne）歐洲法規符合性標誌擴展到軟體上，以提高軟體的安全性和完整性，但是這卻可能對開源軟體造成傷害。</p> <p>網路韌性法案的提案要求軟體供應商自我認證，包括安全性、隱私性和無CVE等方面都須符合法案規範，不過這對開源團隊的運作可能窒礙難行，或是造成一定程度的負擔。而且當開源軟體存在安全問題，網路韌性法案若要求貢獻者負擔相對應的法律責任，則將會降低貢獻者的開發意願，導致專案發展受限。</p> <p>雖然網路韌性法案的本意並非要打壓開源專案，但是法案中「商業」與「非商業」的措辭可能產生法律不確定性，OSI指出，「商業」這個詞不應該用在開源情境中，因為開源專案也需要商業行為，來支持維護者社群。因此商業行為存在與否，並無法作為區分開源專案與企業應用的方法。</p> <p>Eclipse基金會等開源社群，向歐盟發出的公開信指出，開源社群的聲音並未在法案制訂過程獲得充分表達，即便開源軟體在歐洲數位產品軟體占70％以上，但是開源社群與立法者間並未有完善的溝通管道。</p> <p>信中提到，任何影響軟體產業的立法，都要考慮開源軟體的獨特需求和觀點，他們希望立法者可以聽取開源社群的意見，並且有機會影響決策，否則依據現行提案條文實施，將衝擊全球開源軟體開發，並出現寒蟬效應，最終也會破壞歐盟本身的創新和數位主權等目標。</p> </div></div></div>
2023/4/24 15:51作者李建興https://www.ithome.com.tw/news/156535
【資安週報】2023年4月17日到4月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周的漏洞消息中，有6個漏洞遭利用的情形最受關注，首要焦點就是Chrome的兩個零時差漏洞CVE-2023-2033、CVE-2023-2136，後者更是影響所有基於Chromium瀏覽器，而列印管理軟體系統PaperCut在3月修補的CVE-2023–27350的RCE漏洞，近日發現出現攻擊活動，還有俄羅斯駭客組織APT28利用存在於Cisco IOS與Cisco XE軟體的SNMP子系統漏洞CVE-2017-6742漏洞的揭露。另有兩個漏洞本期周報尚未提及，以物件儲存服務MinIO公告的CVE-2023-28432漏洞須特別留意，另一是Apple macOS的漏洞CVE-2019-8526。在漏洞修補方面，焦點包括Oracle季度更新修補433個漏洞，以及VMware、ChatGPT、Juniper的漏洞修補。</p> <p>在重要資安事件方面，3CX VoIP系統軟體供應鏈的攻擊事故有後續消息，格外引發關注，因為3CX之所以被入侵，是因為攻擊者先入侵股票交易自動化業者Trading Technologies的網站散布被駭客竄改的X_Trader應用程式，等於是藉由供應鏈攻擊入侵，再發動影響更廣泛的供應鏈攻擊。</p> <p>其他值得警惕的資安事件，除了Volvo的巴西經銷商Dimas Volvo在網站上曝露敏感資料甚至包含Laravel的金鑰，企業淘汰的網路設備在二手市場上被發現有洩露企業內部網路環境敏感資訊的狀況，同樣必須留意，這如同企業淘汰的列印設備其硬碟資料未妥善清除狀況相同，重點是，可別以為這些汰換的網路設備沒有機敏資訊要清除，就能直接汰換，應該也要針對組態設定重置並確定無疑慮再丟棄。</p> <p>在威脅態勢方面，以勒索軟體新動向受矚目，包括勒索軟體LockBit攻擊的平臺已從Windows、Linux及VMware ESXi環境擴及macOS，以及勒索軟體Vice Society近期威脅增加，並有資安業者揭露該攻擊者利用新的PowerShell指令碼w1.ps1來規避資安系統，還有勒索軟體駭客濫用名為Action1的遠端管理平臺（RMM）的揭露；竊資軟體消息也不少，包括竊資軟體Aurora利用Youtube影片宣傳假破解軟體來散布，以及Zaraza Bot竊資軟體、Chameleon的安卓惡意軟體的揭露。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156443"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月17日】ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現</span></strong></a></h3> <p>時下熱門的大型語言機器學習模型ChatGPT，很多駭客正在研究如何用來發動攻擊，因此對於如何取得使用的管道也變得相當熱衷，甚至衍生出在網路犯罪圈的相關買賣。資安業者Check Point發現，從上個月開始駭客在地下論壇頻繁買賣ChatGPT的付費帳號，或是提供暴力破解帳號的工具，但駭客偏好取得付費帳號的主要原因，就是想要迴避免費帳號的諸多限制。</p> <p>應用系統曝露開發環境組態（ENV）檔案的情況，有可能導致組織內部環境的狀態遭到掌控！例如，資安新聞網站Cybernews發現，西門子元宇宙系統Siemens Metaverse的ENV檔案可讓攻擊者存取辦公室管理系統，進而得知辦公室配置、員工行程的資料。</p> <p>Google對4月上旬發布的Chrome 112發布更新版本的情況也值得留意，因為，這次新版本涉及的零時差漏洞，已被用於攻擊行動，甚至有研究人員呼籲用戶不要等待自動派送更新，應手動執行升級。</p> <h3><a href="https://www.ithome.com.tw/news/156455"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</span></strong></a></h3> <p>曾遭到圍剿而銷聲匿跡的駭客組織，待風頭一過東山再起的情況再度傳出，而且還是不同組織之間的合作。例如，最近IBM的研究人員發現，前駭客組織Conti及FIN7的成員聯手開發了惡意程式Domino，並用於收集受害電腦的系統資訊，以便進行後續的攻擊行動。</p> <p>針對網頁瀏覽器而來的竊資軟體攻擊，也同樣值得我們留意──資安業者Uptycs揭露俄羅斯駭客流傳的竊資軟體Zaraza Bot，並指出該惡意程式能針對38款瀏覽器的使用者組態檔案進行解密，進而竊取存放的各式帳密資料。</p> <p>除了竊資軟體的攻擊行動，駭客散布惡意程式的手法也變得更加複雜，例如，研究人員發現，有人同時運用惡意PDF檔案及Windows指令碼來散布惡意軟體QBot，若收件者為了要檢視PDF文件內容而未及早察覺有異，即有可能依照指示執行指令碼而中標。</p> <h3><a href="https://www.ithome.com.tw/news/156478"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</span></strong></a></h3> <p>駭客發布號稱可提供破解軟體下載的影片，藉機散播惡意網址，但為了要迴避偵測，他們在YouTube頻道列出的網址，可下載的是惡意程式載入工具，待受害者安裝之後，才開始進行後續的植入。</p> <p>企業在淘汰網路設備的時候也要謹慎，務必清除設備存放的網路配置！有研究人員發現，他們從網路上購得、企業淘汰的二手設備竟儲存不少內部網路組態資料，而有可能成為駭客用於入侵組織的管道。</p> <h3><a href="https://www.ithome.com.tw/news/156490"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月20日】Oracle發布2023年第2季例行更新，修補433個漏洞</span></strong></a></h3> <p>上週二（11日）多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者。本週Oracle也發布了2023年4月的例行修補，當中總共修補超過400個漏洞，有相當大的比例是在Oracle Communications系列產品線，每6個漏洞就有1個與此有關。</p> <p>公部門不慎將資料庫公開的情況也相當值得留意，例如，有研究人員發現菲律賓執法單位曝露的資料庫，不僅含有個資，甚至還有組織之間的行政命令。但該資料庫是否真為菲國政府機關所擁有？目前尚無法完全確定，因為研究人員通報了當地十餘個機關後，僅有收到菲律賓國家電腦緊急應變小組（NCERT）回復，表示他們將確認需要負責的單位。</p> <p>勒索軟體駭客的攻擊也出現了新的手法，像是Trigona發動的攻擊裡，運用一種稱之為CLR Shell的惡意程式先進行探勘、提升權限，使得後續行動更加順利。</p> <h3><a href="https://www.ithome.com.tw/news/156513"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</span></strong></a></h3> <p>駭客攻擊WordPress網站的情況不時傳出，但近期出現了新型態的手法，而可能讓攻擊行動更難察覺──他們利用了長期沒有更新，而可能存在可利用漏洞的外掛程式，而使得攻擊行動有這種合法的外掛程式掩人耳目。</p> <p>VMware針對Aria Operations for Logs修補的漏洞也相當值得留意，因為，這次他們特別呼籲用戶要儘速修補CVE-2023-20864，怪異的是卻沒有公布其CVSS風險評分。</p> <p>近日微軟公布新的駭客組織命名規則，與過往不同的是，該公司以特定類型的氣候來命名駭客組織，並標榜這麼做使用者可更容易識別駭客的性質。</p> <h3> </h3> </div></div></div>
2023/4/23 17:07作者羅正漢https://www.ithome.com.tw/news/156522
Google Bard現在也能協助撰寫程式碼、除錯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續強化聊天機器人Bard的能力，<a href="https://blog.google/technology/ai/code-with-bard/" target="_blank">上周宣布Bard現在可協助開發人員撰寫程式碼與軟體開發</a>。</p> <p><a href="https://www.ithome.com.tw/news/156026" target="_blank">Google Bard 3月才以技術預覽版</a>開放美、英少數用戶申請試用。除了一開始的草擬文章、邀請函、整理會議待辦事項與撰寫，或是解答使用者提問功能外，現在Bard再加入開發輔助功能，像是生成程式碼、為程式碼除錯及提供解釋的能力。</p> <p>Google表示，Bard現在支援C++、Go、Java、Javascript、Python和Typescript等20多種程式語言。開發人員可以將Python程式碼匯出到<a href="https://colab.research.google.com/" target="_blank">線上Python編輯器Google Colab</a>，不需複製、貼上的過程。Bard還可協助Google Sheets試算表的函式撰寫。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/5_Bard_Coding_Product_Generation_GIF_Blog_Social_20001124.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>此外，這個聊天機器人還能為程式除錯，即使是Bard自己撰寫的程式碼。如果用戶看到它顯示的錯誤訊息，或認為某段程式碼不是他要的，可以告知Bard「這段程式有問題，請修復」，Bard就會幫用戶除錯。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/3_Bard_Coding_Product_Debug_GIF_Blog_Social_20001124.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>除了生成程式碼，Google Bard還可提供程式碼片段的解釋，這對學習以新語言開發，或想知道一段程式碼會有什麼結果的用戶來說十分好用。</p> <p>Google宣稱Bard可幫忙開發人員撰寫程式碼、建立測試案例（test case）或更新API，但同時間，一如Google不斷提醒Bard可能提供不精確、誤導的或假的資訊，針對程式碼生成的功能，Google也提醒Bard還在早期實驗階段，它給的程式碼可能無法達到用戶預期、不是最佳或最完整的程式碼。Google提醒用戶，若要使用程式碼之前，必須再三檢查、小心測試它給的程式碼是否有錯、臭蟲或漏洞。如果Bard從現有開源專案引用程式碼，<a href="https://bard.google.com/faq#citation" target="_blank">會註明來源供用戶查核</a>。</p> <p>Google希望在聊天機器人的服務領域能追趕先行者。在此之前，開發人員已經有OpenAI的ChatGPT、<a href="https://www.ithome.com.tw/news/151548" target="_blank">GitHub的Copilot</a>等選擇。除了Bard之外，<a href="https://www.ithome.com.tw/news/156439" target="_blank">《紐約時報》報導</a>，Google還另外推動代號Magi的專案，已投入大約160名人力，開發具備AI能力的搜尋引擎。不過Google並未公布Bard正式版上線時程。</p> </div></div></div>
2023/4/24 09:22作者林妍溱https://www.ithome.com.tw/news/156533
微軟AKS服務正式提供CNI Overlay，消除叢集擴展限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其Kubernetes服務AKS正式推出<a href="https://azure.microsoft.com/zh-tw/blog/announcing-the-general-availability-of-azure-cni-overlay-in-azure-kubernetes-service/">Azure CNI Overlay</a>，這是一項能夠突破現有AKS網路工作負載規模和效能的服務，其所提供的網路效能可與主機網路相當，並且使叢集能夠線性擴展。</p> <p>AKS用戶在創建叢集時，可以選用各種網路套件，諸如kubenet、Azure CNI VNET與BYOCNI等。kubenet網路套件以Azure路由表和橋接套件為基礎，進行跨節點通訊，因此在雙堆疊叢集最多不能超過400個節點。</p> <p>而Azure CNI VNET與BYOCNI等這些以CNI（Container Networking Interface）為基礎的網路套件，雖然能夠創建原生虛擬網路連接，使容器與虛擬網路中的其他資源相連接，但是CNI存在一些限制，由於每個節點的容器都需要唯一的虛擬網路IP地址，因此大型叢集可能會迅速消耗IP地址，而這限制了叢集的規模和擴展能力，甚至可能發生延遲和不穩定等問題</p> <p>因此要解決這些，並且支援多節點和Pod，且不受效能、規模和IP耗盡限制的AKS使用案例，微軟開發了新的Azure CNI Overlay解決方案。微軟在CNI之上創建了一個抽象層，簡化和最佳化網路配置，Azure CNI Overlay會從用戶所定義的抽象層地址空間分配IP地址，而不使用虛擬網路中的IP地址。</p> <p>如此，Azure CNI Overlay帶來了許多優勢，由於其以私有地址空間的路由，作為原生虛擬網路的功能，因此雖然在使用Overlay網路時，容器之間的通訊發生在虛擬的Overlay網路中，但是實際上仍仰賴底層虛擬網路VNET的路由功能來傳輸資料封包，因此叢集節點也就不需要執行額外操作，因而降低網路管理的複雜性，容器間的通訊可以獲得原生虛擬網路的安全性和穩定性，以高效能的網路進行通訊。</p> <p>由於Azure CNI Overlay的底層，仍由VNET維護Pod CIDR區塊到節點的映射，因此當Pod流量離開節點時，VNET平臺還是能夠掌握流量去向，使得Pod Overlay網路能夠實現和原生VNET流量相同的效能，並且支援高達數百萬個Pod和數千個節點。</p> <p>微軟將Azure CNI Overlay和VXLAN Overlay相比，Azure CNI Overlay明顯擁有更好的效能，官方提到，因為封裝CNI所產生的成本，是叢集效能下降的重要原因，特別是隨著叢集規模成長，這樣的情況會更加明顯，而Azure CNI Overlay可消除封裝資源消耗，在各種規模的叢集提供一致的效能表現。</p> </div></div></div>
2023/4/24 09:40作者李建興https://www.ithome.com.tw/news/156515
IBM、莫德納藥廠合作以生成性AI、量子運算研究藥物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-04-20-Moderna-and-IBM-to-Explore-Quantum-Computing-and-Generative-AI-for-mRNA-Science" target="_blank">IBM與美國莫德納藥廠（Moderna）周末宣布合作</a>，將使用IBM的生成性AI及量子運算技術推進mRNA研究及藥物開發。</p> <p>在這項合作中，莫德納和IBM科學家將運<a href="https://github.com/IBM/molformer" target="_blank">用IBM的底層模型MoLFormer</a>來協助預測化學分子屬性，幫助研究團隊了解信使核糖核酸（mRNA）藥物的特性。MoLFormer是一個大型化學語言模型，其目的在使用小型分子的活動進行訓練。莫德納公司的目的在於使用MoLFormer最佳化負責在mRNA於人體移動時提供包覆保護的脂質奈米粒（lipid nanoparticle），mRNA可對細胞下達抗病指令。在這項計畫下，莫德納和IBM將以生成性AI模型改良配方，以設計出最安全而有效的mRNA藥物。</p> <p>另一方面，莫德納公司團隊也將使用IBM量子技術。莫德納將加入IBM量子加速器（Quantum Accelerator）方案及IBM量子網路（Quantum Network）。在本協議下，莫德納將可使用IBM量子運算系統並在IBM協助下，運用量子技術於生技研究。</p> <p>這是IBM運算及AI部門的最新業務合作進展。今年2月，<a href="https://www.ithome.com.tw/news/155350" target="_blank">IBM和NASA合作</a>，以使用大量文本和遙測資料訓練AI基礎模型，並將基礎模型用於各種地球科學包括氣候變遷的議題研究。此外，<a href="https://www.ithome.com.tw/news/156030" target="_blank">3月美國知名醫學體系Cleveland Clinic宣布導入IBM量子電腦服務Quantum System One</a>，成為IBM量子電腦第一宗出貨到非官方機構的案例，也是全球醫療研究界第一座，也會使用IBM AI及混合雲技術進行特定蛋白質藥物、術後性血管疾病發生風險及開發阿茲海默症等藥物的研究。</p> </div></div></div>
2023/4/24 10:17作者林妍溱https://www.ithome.com.tw/news/156532
GitHub正式啟用私下漏洞通報管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-04-19-private-vulnerability-reporting-now-generally-available/" target="_blank">GitHub上周正式啟用</a>了自去年11月便展開測試的私下漏洞通報（Private Vulnerability Reporting）管道，可讓安全研究人員更方便通報公共儲存庫的漏洞予專案維護人員。</p> <p>過去安全研究人員在發現專案漏洞之後，有時會直接張貼在社交媒體，建立一個公開issue，或是傳訊給維護者，而私下漏洞通報則允許研究人員利用一個簡單的格式直接向維護人員揭露漏洞，並讓雙方得以合作進行修復。</p> <p>專案維護人員可於儲存庫設定中的程式碼安全與分析（Code Security and Analysis）啟用此一新功能，有別於測試版必須在每個個別的儲存庫中設定，正式版新增了一個選項，可讓維護人員一次啟用組織內的所有儲存庫；亦可選擇如何歸功漏洞的發現，例如來自分析師、工具或簡單的發現者。</p> <p>正式版還有全新的儲存庫安全公告API（Repository Security Advisories API ），可用來與第三方系統整合，包括將GitHub上的漏洞報告傳送至第三方的漏洞管理平臺，讓安全研究人員可將同一個漏洞報告提交至不同的儲存庫，或是作為漏洞警報之用。</p> <p>GitHub表示，此一漏洞通報管道自去年11月進行公開測試之後，就有超過3,000家組織的維護人員於18萬個儲存庫中啟用了該功能，所收到的漏洞通報超過1,000筆。JSON5專案利用該管道與安全研究人員取得了聯繫，其修補程式觸發了逾1,100萬個警報，除了彰顯JSON5的熱門程度之外，也展現了此一功能的價值。</p> <p>私下漏洞通報主要供公共儲存庫使用，且為一免費服務。</p> </div></div></div>
2023/4/24 08:49作者陳曉莉https://www.ithome.com.tw/news/156531
【行動憑證創新先行者：光田醫院】突破傳統看診流程，醫生用手機驗證實現看診無卡化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月底，全臺近20家醫院收到衛福部的公文來函，鼓勵這些醫院嘗試用醫事人員行動憑證替代實體卡，讓醫師不必插卡、透過手機認證就能看診和調閱健保雲端藥歷資料，擁抱看診無卡化。衛福部更在信中強調，有家醫院率先打造出全新的無卡看診流程，推薦各醫院試做。</p> <p>這位先行者，就是位於臺中海線的光田綜合醫院。規模比不上醫學中心、資源也不如私人醫療集團豐沛，卻有能力展開創新應用，甚至成為衛福部推薦的榜樣。光田醫院如何做到？</p> <p><span style="font-size:28px;"><strong>從行動病歷簽核發想看診無卡化</strong></span></p> <p>其實，光田醫院在去年4月，才通過衛福部的醫事人員行動憑證申請審核，成為18家成功申請的醫院之一，也才開始打造行動病歷簽核應用。這是行動憑證的第一波應用模式，讓醫師、護理師等人，用手機就能簽署醫療單張，不必使用桌機和讀卡機。光田醫院也在當年9月全面上線，供醫師、護理師、藥師、醫技等醫事人員用手機來簽章。就在這段期間，他們開始思考行動憑證的新可能，並先鎖定看診流程。</p> <p>一般來說，醫師在門診看診前，得先將醫事人員卡插入讀卡機，輸入卡片密碼（或稱PIN碼），才能登入門診系統，來查看待看病人資訊、進行看診。</p> <p>但，「每位醫師在從業過程中，多少都會發生醫事人員卡遺失、卡片損壞，或是診間電腦未接讀卡機的狀況。」從醫數十年的光田綜合醫院副院長張家築點出，這些意外會干擾了醫師的看診流程，若要領取補發卡片，還得等上數天才能拿到。就算有了新卡，醫師也有可能因習慣輸入舊密碼，來來回回嘗試錯誤，造成不便。</p> <p>看似一個小問題，卻是醫事人員大多遇過的麻煩事，甚至會延誤原本的看診或醫事作業。為解決這個痛點，張家築與光田醫院IT一起展開醫事人員行動憑證看診應用專案，成為專案關鍵推手。</p> <p>光田醫院找來合作廠商討論，思考如何將行動憑證用於看診，讓醫師用手機就能驗證身份、登入門診看診系統。這家合作廠商，正巧也是衛福部醫事人員行動憑證的委外廠商，負責開發健保署讀卡機控制軟體（即主控臺，俗稱雲端安全模組）。他們也有相同想法，雙方一拍即合，很快就展開行動。</p> <p><span style="font-size:28px;"><strong>前2階段打造看診無卡化</strong></span></p> <p>這個專案可分為3大階段，首先是實驗室測試階段。林政杰指出，此時IT團隊得先修改自家醫療資訊系統（HIS），來設計行動憑證的相關操作流程。</p> <p>於是，他們在醫師看診前得先打開的班表確認程式中，新添了「使用行動憑證」登入的選項。當醫師選擇行動憑證登入後，桌機系統會發送請求到擁有行動憑證的手機。這時，醫師在手機輸入正確的員工帳號和密碼，就能在桌機登入候診系統，開始看診。這個過程不必插入醫事人員卡，單靠手機就能完成身份驗證。</p> <p>不只HIS系統要修改，健保署讀卡機控制軟體也得跟著調整，這就得透過來回溝通，讓合作廠商協助修改軟體，支援手機驗證和登入。至此，雙方完成了新作業流程所需的雛形開發。</p> <p>接著，光田醫院在去年11月，進入第二階段的實測階段。光田綜合醫院副院長張家築是這項應用的第一號使用者，他實測後發現，行動憑證雖然不用插卡，卻還是需要醫師手動輸入帳號和密碼，相較於原本插卡後只需輸入密碼的傳統流程，新的流程多了一道輸入帳號密碼的程序，反而有點不便。</p> <p>光田醫院IT團隊沒有停下改善腳步，他們想出另一種方法，當桌機發送請求到手機後，需輸入帳號密碼的步驟，改用員工識別卡置於手機後方，以NFC靠卡感應，來自動登入。這完全不需輸入任何帳號密碼，操作更方便了。</p> <p>在第二階段實測中，這個操作上的流程小調整，大大優化了整體使用體驗。至此，醫事人員行動憑證應用於看診的程式調整已大致完備。</p> <p>張家築回顧，在兼顧安全性的前提下，將行動憑證用於看診登入，再加上行動病歷簽核，不只讓醫師工作流程更流暢，整體看診環境也更加友善。以他副院長的高度親自驗證，未來也更容易在院內推廣這項應用，鼓勵醫師擁抱看診無卡化。</p> <p>光田醫院順利完成了新流程和配套機制，但這項看診無卡化應用，仍屬測試性質。因為，要全面推廣，不只是醫院自行修改系統就夠，還得由衛福部釋出正式版的醫事人員行動憑證相關軟體。</p> <p>於是，衛福部日前也派人到光田醫院實地查看測試成果，決定支援這個新作法。後來，他們釋出醫事人員行動憑證的新版測試模組，甚至，衛福部還發信給已申請行動憑證的18家醫院，鼓勵大家將行動憑證用於看診，一同測試、精進，希望更完善這項新應用後，再釋出正式版配套軟體。</p> <p><span style="font-size:28px;"><strong>下一階段：擴大應用</strong></span></p> <p>醫事人員行動憑證的用途，不外乎是身分辨識和簽核，在林政杰看來，行動憑證帶來的看診無卡化應用，可以進一步擴大應用，可以分為「使用對象的擴大，以及功能的擴大。」這也是下一階段擴大應用可以思考的方向。</p> <p>他舉例，在使用對象部分，藥師也有查閱健保雲端藥歷的需求，來了解病人過去用藥等歷史。「未來可考慮透過行動憑證，辨識、確認藥師身份，並搭配患者健保卡授權，來讓藥師查看所需資料，」林政杰建議。</p> <p>就功能層面的擴大來說，他認為，衛福部可開放更多API或模組，讓醫院交換更多資料，並透過醫事人員行動憑證，來提供更多無卡化資料查閱和簽署應用。比如，在現有實體卡的機制下，醫師查房時，無法即時查閱健保雲端藥歷，若透過衛福部開放特定API、搭配病人端授權，醫師就能在行動裝置上，即時調閱雲端藥歷資料，查看病人在其他醫院的診療記錄和檢驗檢查等資訊，提供更好的照護服務。</p> <p>甚至，衛福部若釋出修正版健保署讀卡機控制軟體，醫事人員行動憑證就能搭配病人端虛擬健保卡來使用。如此，醫師不僅看診無卡更方便，還加速整體看診流程。因為，「虛擬健保卡讀寫速度非常快，」林政杰指出，與傳統實體健保卡相比，虛擬健保卡讀卡速度至少快上25秒，若一位醫師需看診50位病人，「至少能省下20分鐘！」</p> <p>不只如此，林政杰還看到另一個潛在效益，也就是院內醫師可透過行動憑證，來進行同意書簽署，同時，病人端也能透過數位方式簽署同意書，不僅優化作業流程，也落實無紙化。</p> <p><span style="font-size:28px;"><strong>從虛擬化可能性重新思考創新應用</strong></span></p> <p>話鋒一轉，張家築和林政杰都指出，在發想新行動應用時，其實容易陷入「如何用手機取代實體卡」的思考框架。這種取代角度的思考，雖也能發展出新應用，但「要創新，就得從『虛擬化能做什麼』的開放角度來思考。」</p> <p>比如，前述的醫師查房、透過行動憑證來即時調閱雲端藥歷資料，就是創新想法的一例，林政杰還舉了另一種可能的新應用：虛擬健保卡補卡退費。目前，病人就醫沒帶健保卡，得先自費看診，之後再帶健保卡至原診所或醫院辦理補卡退費，但若讓病患申辦虛擬健保卡、搭配授權流程，來完成補卡退費，就不必再多跑一趟醫院辦理業務了。改變思考的角度，更容易找到更多創新應用的可能。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/156521" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1126-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=VBowYd57" style="width: 550px;" /></a></p> </div></div></div>
2023/4/24 00:40作者王若樸https://www.ithome.com.tw/news/156511
行動憑證如何改善醫師看診流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>光田綜合醫院用醫事人員行動憑證，來打造看診無卡化應用。醫師透過手機驗證，就能登入看診系統，不必再透過實體卡插卡，也不需擔心卡片遺失、損壞或診間沒讀卡機的突發狀況了。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 傳統實體卡看診流程 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟1：插卡 </span> </span><span style="color:#696969;">醫師看診前，得先將醫事人員卡插入讀卡機、輸入密碼，才能準備登入看診系統</span></strong>。</span><span style="font-size:14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-A1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟2：實體卡登入 </span></strong></span> <span style="color:#696969;"><strong>插卡後，醫師在系統登入選擇使用醫師卡，來登入看診系統。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-A2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟3</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">：開始看診</span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color:#696969;"><strong>登入後，醫師就能在看診系統中查看當日診間病人資訊，開始替病人看病。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-A3.png" style="width: 600px;" /></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color:#FF8C00;"> 新式行動憑證看診流程 </span></strong></p> <p><span style="font-size:20px;"><strong style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#FF8C00;"> 步驟1：點選行動憑證 </span> </span></strong><span style="color:#696969;"><strong>醫師在看診前，不用準備實體卡，直接在看診系統中選擇「使用行動憑證」登入。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-B1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#FF8C00;"> 步驟2：手機感應 </span> </span></strong><span style="color:#696969;"><strong>使用行動憑證後，系統會發送驗證請求到醫師手機，醫師再以員工識別證（RFID）透過NFC靠卡感應來驗證，也可用帳號密碼驗證。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-B2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#FF8C00;"> 步驟3：完成登入 </span> </span></strong><span style="color:#696969;"><strong>靠卡感應成功後，醫師就能登入桌機系統，開始看診了。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><span style="font-size:18px;"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-B3.png" style="width: 600px;" /></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/156521" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1126-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=VBowYd57" style="width: 550px;" /></a></p> </div></div></div>
2023/4/24 00:40作者王若樸https://www.ithome.com.tw/news/156512
【光田醫院智能化方向】從看診無卡化續推就醫環境智能化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>光田綜合醫院用醫事人員行動憑證發展出看診無卡化應用，不只是全臺創舉，更是實現自家4大智能化目標之一的努力。</p> <p>這個智能化目標是作業流程智能化。在流程精進上，光田醫院已全面推行行動憑證病歷簽核，不論醫師、護理師、藥師、醫技等醫事人員，都能在手機上簽署當日的病人病歷、護理工作記錄等醫療單張，節省等待桌機的時間。</p> <p>而光田醫院測試成功的看診無卡化，改用行動憑證，醫師看診不必仰賴實體醫事人員卡和讀卡機，透過桌機看診系統發送請求、手機認證身份，就能登入系統替病人看診，解決醫師可能遭遇的卡片遺失、卡片毀損、診間電腦未接讀卡機等突發狀況。</p> <p>未來更能搭配虛擬健保卡，每次讀寫時間至少比實體卡快25秒，醫師一次門診看50位病人，至少可省下20分鐘的等待時間。這些優化，都能讓光田醫院的作業流程智能化更進一步。</p> <p><span style="font-size:28px;"><strong>集中火力優化就醫環境</strong></span></p> <p>這個院內作業流程智能化，也與光田醫院另一個就醫環境智能化目標環環相扣。因為，醫療作業流程的改善，能回饋到民眾的就醫環境，形成更好的就醫體驗。</p> <p>光田醫院發展就醫環境智能化，可說是火力全開，已經打造一整套虛擬化醫院架構，更自行開發出病人專用Patient Portal App（即Dr. 光田），來銜接病人在家至就醫，以及就醫後在家照護的全流程服務。</p> <p>光田綜合醫院資訊部部長林政杰說明，這個全流程服務的設計，是要涵蓋「從病人在家、到院看診、回家後健康照護，再到下次看診的整段流程。」他進一步解釋，這段流程包括病人在家掛號、到院報到、候診、看診，以及後續領藥、繳費、回家後照護，再到下次掛號等環節。</p> <p>光田綜合醫院就用Dr.光田App，來支援每一個環節作業，實作出虛擬化醫院架構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8B%A5%E6%A8%B8-app-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%85%89%E7%94%B0%E7%B6%9C%E5%90%88%E9%86%AB%E9%99%A2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>光田綜合醫院4大智能化目標之一是就醫環境智能化，為此，他們設計一款民眾端App，串起民眾在家、掛號預約、到院、候診看診，以及繳費領藥和在家照護等流程，更融入不少個人化元素。</strong><span style="font-size: 14px;">（圖片來源／光田綜合醫院）</span></span></p> <p><span style="font-size:28px;"><strong>自行開發個人化App串起就醫最後一哩路</strong></span></p> <p>這款光田醫院自行開發的病人端App，是一支超級App，不只一站式提供了就醫和照護的相關服務，還具備了高度個人化的體驗設計。在App首頁，直接列出3大項紅色數字，分別是病人自己的掛號筆數、慢箋筆數和各項排程筆數，讓病患第一眼就看到最想知道的重要數據。</p> <p>在這些關鍵數字下方，還提供了常用功能區塊，使用者可依自己的習慣，將所需的功能拖拉進這個區塊，就像是建立常用捷徑。比如，使用者可拉入檢驗報告、我的排程、我的藥物或繳費記錄，甚至能將「我的家人」也加入，「來形成照護生態圈，」林政杰說。</p> <p>光田醫院的個人化巧思，還體現在其他區塊中。比如，病人點擊門診服務區塊中的門診掛號，會顯示自己常看診的幾位醫師，直接點選就能快速掛號。又或是在進度查詢區塊中，一次就能掌握自己的各種醫療動態，如看診進度、領藥進度、檢驗與手術進度等，不必個別搜尋。</p> <p>該App還有另一個疾病風險評估區塊，整合了國健署疾病風險資訊，民眾可按疾病類別輸入自身數值，來評估風險高低。光田醫院IT還多想一步，在風險評估結果後附上健康指引，甚至提供建議看診科別和掛號功能，方便憂心的民眾快速預約。</p> <p>與此同時，民眾也能利用App的健康紀錄功能，來輸入身高體重、心跳、血壓、血糖等生理量測數值，並透過內建的視覺化圖表來掌握健康狀態。</p> <p>這種貼心設計，在「繳費記錄」中也能清楚看見。使用者可在該頁面，一覽自己在光田醫院就醫的所有繳費記錄，還能在同個頁面勾選特定記錄，來申請收據。</p> <p>其他文件如病歷副本、診斷書的申請，也可先在App申請，再至臨櫃領取，省下以往民眾到醫院臨櫃申請的等候時間。光田醫院IT還將申請進度的頁面，設計得像電商物流配送畫面般，讓民眾一眼就能掌握進度狀況及注意事項。</p> <p>不只如此，這支Dr. 光田App還整合了藥物查詢、慢箋領藥預約、交通查詢等功能，等於將病人在家、到院報到、候診看診、繳費領藥與回家照護的單點服務，完全串連起來。</p> <p>這不僅是光田醫院IT站在病人角度思考而打造出的成果，還是4大智能化目標的重要核心。接下來，他們要善用這些經驗，來營運明年將落成的新院區，進一步推動智慧醫院發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>光田醫院如何思考虛擬健保卡應用</strong></span></span></p> <p><span style="color:#696969;"><strong>與許多醫院一樣，光田綜合醫院響應健保署策略，在2020年開始示範、推廣虛擬健保卡應用，教導民眾申辦和使用健保快易通App中的虛擬健保卡，來在實體門診和視訊門診使用。</strong></span></p> <p><span style="color:#696969;"><strong>同時，光田醫院發展出虛實整合的視訊門診服務，即在實體門診診間，也配置一臺視訊專用的螢幕與鏡頭，讓門診醫師可在同一診間、不必移動位置，就能叫號進行實體看診與視訊看診。光田醫院也從當時的經驗中，發展出不少數位化應用，比如掃描看板QR Code的隔空報到功能，讓持虛擬健保卡的民眾，也能在實體診間完成報到。</strong></span></p> <p><span style="color:#696969;"><strong>這2年來，光田醫院不斷思考虛擬健保卡更多應用情境。從醫院第一線角度來看，他們觀察到，虛擬健保卡的操作還可以更簡單，比如衛福部可「設計出一個捷徑，就像行動支付一樣，點開就是QR Code，讓民眾直接秀出，不必經過多個頁面點選，」光田綜合醫院資訊部部長林政杰說。這麼做，不只能降低使用門檻，也節省醫護與病人溝通的成本。</strong></span></p> <p><span style="color:#696969;"><strong>另一個可優化之處是虛擬健保卡的授權機制。許多醫院的診間和檢驗室都設置在地下室，然而，有些醫院的院內Wi-Fi或電信商的網路支援不足，在地下室往往收訊不佳，這就導致，病人使用虛擬健保卡要線上即時授權醫師讀取資料時，難以連線到系統而失敗。若虛擬健保卡有另一種提前授權機制，也許可解決這個問題。</strong></span></p> <p><span style="color:#696969;"><strong>不只如此，光田醫院還進一步思考，虛擬健保卡還有哪些可行性。比如結合虛擬健保卡授權和醫事人員行動憑證，可讓醫師查房時，即時查詢雲端藥歷，得知病人在其他醫院的診療史和檢驗檢查紀錄。或是，虛擬健保卡可結合醫院App慢箋領藥通知，民眾在家就能先用虛擬健保卡授權，到院直接領藥，不必再過實體卡。</strong></span></p> <p><span style="color:#696969;"><strong>甚至光田醫院建議，健保署可考慮設置獎勵機制，來鼓勵民眾使用，就像是雲端發票有額外配置中獎號碼一樣，來提高嘗試意願。這些都是光田醫院跳脫「用虛擬卡取代實體卡」的框架，直接從「虛擬卡能做什麼」角度，所看到的應用場景，如此能提高便利性，讓虛擬健保卡更普及。</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/156521" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1126-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=VBowYd57" style="width: 550px;" /></a></p> </div></div></div>
2023/4/24 00:40作者王若樸https://www.ithome.com.tw/news/156514