iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 5篇
近 24 小時: 25篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 08:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】5月16日，財政部電子發票平臺驚傳資安漏洞，恐曝露上市櫃公司營業資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公部門提供給企業使用的系統當中，不僅使用共通的預設密碼，而且這還是組弱密碼！財政部傳出在電子發票平臺上提供給企業的帳號裡，帳號名稱是該公司的統一編號，預設密碼是極為容易猜中的弱密碼，一旦任何人嘗試以此密碼搭配公司的統編，就有可能檢視該公司的發票資料，由於公司統編相當容易找到，這樣的帳密形同公開資料。經本週2家媒體報導後，財政部於今日表示，他們已緩解上述情況。</p> <p>繼國光客運傳出資料外洩事故後，又有客運業者遭到攻擊。根據三立新聞臺、自由時報、中央社等國內媒體報導，統聯客運上週疑似個資外洩，導致乘客接到詐騙電話，該公司暫停線上訂票系統、手機App訂票的服務。主管機關交通部公路總局也證實此事。</p> <p>針對個資法修法的部分，最近也有了新的進展。今天立法院三讀通過部分的新條文，其中主要是針對專責機關、裁罰金額與方式有了明確的新規範。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://www.peoplenews.tw/articles/27c82e35c1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">財政部電子發票平臺企業帳號竟採用共通的預設密碼，恐曝露上市櫃公司營業資料</span></strong></a></p> <p>根據民報的報導，有人在財政部的電子發票平臺（E-Invoice）上，發現提供給公司行號的初始帳密資料中，竟採用了相同的弱密碼，而有很多企業與組織的帳號能透過這組密碼存取，其中一個受到影響的是國家中山科學研究院（中科院）。</p> <p>而對於此事的影響範圍，<a href="https://www.readr.tw/post/2943">另一家網路媒體READr指出</a>，約有7%上市櫃公司的營業資料可能曝險。對此，<a href="https://www.mof.gov.tw/singlehtml/384fb3077bb349ea973e7fc6f13b6974?cntId=1cd17c988238495eb769f9034518b5c5">財政部約於16日上午11時發出公告</a>，表示此電子發票平臺的密碼弱點已改善完成，並強調中科院的電子發票主要是行政支出及紀念品，無涉及國防採購。</p> <p><a href="https://www.setn.com/News.aspx?NewsID=1295437"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">統聯客運傳出資料外洩，關閉網站及App訂票功能</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bulletin_20230515.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bulletin_20230515.jpg" style="width: 300px; float: right;" /></a><a href="https://www.facebook.com/ubus.tw/posts/pfbid02VDZ8d5itqWDAozSFcyC6PiEu6qi2UhxkPESeTNDBepYpuhzMUjGNFtm66A6DVKqxl">統聯客運於5月12日下午5時23分於臉書發出公告</a>，要乘客提防詐騙電話。隨後有不少旅客留言表示接到這類電話，對方對於他們訂票的時間、張數皆瞭若指掌，且有民眾已受騙上當，揚言要向統聯求償。<a href="https://www.facebook.com/ubus.tw/posts/pfbid0dGyZNCAfNF1yQgryQu7oHhRApsSEfT4Qhcv6TmpuYawj6FsecwvpRksq8SMAnWoil">後來該公司約於半小時後再度表示</a>，他們的網站與購票App進行系統維護，要求乘客依照指示臨櫃取票，或是於4大超商付款因應。</p> <p>對此，統聯客運於15日表示，他們已協請資安人員進行初步鑑識，預計2天後會有初步結果；主管機關交通部公路總局也證實此事，並透露統聯客運接獲乘客通報自己收到詐騙訊息後，暫時關閉網站購票及App訂取票的功能，來防止災害擴大。</p> <p>不過，究竟有多少乘客個資遭到外洩？統聯客運、公路總局皆未做出說明。</p> <p><a href="https://www.ithome.com.tw/news/156849"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">主要目標鎖定臺灣的駭客組織Taidoor，具備經營12個惡意程式家族的開發量能</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/838088.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/838088.jpg" style="width: 300px; float: right;" /></a>趨勢科技資深威脅研究人員CH Lei於臺灣資安大會解析駭客組織Taidoor（亦稱Earth Aughisky、臺門）的背景及常見攻擊手法。此組織成立時間早於2007年，高達9成攻擊活動針對臺灣，當中約有6成是攻打政府單位，其餘涵蓋通訊、製造、重工業、科技業、交通、醫療等產業，自2017年駭客將攻擊範圍擴及日本。</p> <p>值得留意的是，該組織自行開發且未與其他駭客組織分享的惡意軟體，就有12個家族之多，可見其實力極為強大。這些駭客一旦攻擊成功，都會造成大範圍的汙染，植入的後門難以完全根除。</p> <p>研究人員指出，這些駭客在各個攻擊階段會利用不同的後門程式，一旦入侵受害組織，駭客就會更換名為Taleret的工具進行長期控制。此後門程式的特色在於，駭客將C2中繼站的配置加密並埋藏於部落格文章，待需要連線才去解析，資安人員若只針對受害裝置進行調查，就有可能找不到中繼站的設定。</p> <p><a href="https://www.ithome.com.tw/news/156879"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺科大資工系教授呼籲使用開源5G新風險，得小心駭客打造惡意基地臺發送偽造簡訊</span></strong></a></p> <p>資安署副署長兼臺科大資工系教授鄭欣明指出，開源軟體降低實作5G網路的門檻，讓任何人都可以建置此種網路環境，因此，駭客也能藉由開源軟體打造惡意基地臺，假冒合法基地臺發動攻擊。</p> <p>他帶領的研究團隊利用開源軟體打造5G NSA網路及專網，驗證其中存在幾項資安隱憂，例如，在5G NSA網路下，駭客能運用開源軟體打造惡意基地臺，追蹤特定對象，發送偽造的簡訊或國家級警報，或是在O-RAN環境，上傳惡意xApp至靠近前端的元件，耗用網路資源達到癱瘓網路目的。</p> <p>由於採用免費的開源軟體、搭配數萬元臺幣的硬體，就能建立惡意5G基地臺，和數百萬元售價的電信等級基地臺相比成本降低許多，雖然以軟體定義無線電技術（SDR）打造的基地臺，穩定度無法與一般基地臺相比，但鄭欣明認為，SDR技術使得偽基地臺攻擊手法的實現成為可能，只要通過軟體定義便能控制偽造基地臺的功能。</p> <p><a href="https://www.mirrormedia.mg/story/20230509inv003/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台達電、飛宏爆內鬼，高階主管竊取特斯拉充電樁機密投靠中國科技公司</span></strong></a></p> <p>臺灣科技大廠台達電與電力設備業者飛宏科技布局電動車充電樁市場多年，但傳出曾於2家公司任職的高階主管竊取其充電系統關鍵機密文件，帶槍投靠中國公司。</p> <p>根據鏡週刊的報導，飛宏察覺自行研發的充電系統關鍵機密文件遭竊並向臺北市調處報案，調查官根據IP位址找到該公司一位員工的住家，然後發現飛宏外流的機密資料，並發現此人曾以即時通訊軟體微信，將飛宏安規部門最新的充電樁法規資料傳給前上司，而揪出主謀，2021年11月桃園地檢署帶回這位主管偵辦。</p> <p>經過他們的追查，不只飛宏的營業秘密外洩，這位主管先前任職於台達電時，亦將該公司「特斯拉壁掛式交流充電樁」專案線路設計資料機密檔案上傳至Google雲端硬碟。檢方清查發現，這些外流檔案中包含特斯拉充電樁的設計數據，恐流入中國TCL通力電子公司，大幅縮短中國與我國研發技術的差距，影響臺灣相關產業發展。</p> <p>針對此事，<a href="https://www.chinatimes.com/newspapers/20230511000149-260202">台達電、飛宏也做出回應</a>。台達電表示外流資料為舊世代產品機密，對營運尚無重大影響；飛宏則表示他們是在資料外流前就主動報案，對於財務、業務沒有影響。</p> <p><a href="https://www.justice.gov/usao-sdny/pr/former-employee-technology-company-sentenced-six-years-prison-stealing-confidential"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">監守自盜並向老闆勒索，Ubiquiti開發人員被判刑6年</span></strong></a></p> <p>美國網路設備製造商Ubiquiti開發人員Nickolas Sharp，自2020年底竊取大量公司機密資料，並於2021年初假冒駭客的身分宣稱找到系統漏洞，向老闆勒索50個比特幣，被警方盯上後還匿名向媒體謊稱Ubiquiti遭到駭客入侵，導致該公司股價在2天大跌20%，市值蒸發了40億美元。</p> <p>在Nickolas Sharp坦承犯案之後，美國法院於今年5月10日做出判決，這名Ubiquiti前員工因傳輸程式至受保護的電腦上，並故意造成損害、電信詐欺，且對美國聯邦調查局（FBI）說謊，將被處以6年徒刑，並必須賠償159萬美元。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/aipl/202305160037.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">立法院三讀通過個資法修正條文，明訂主管機關、非公務機關個資外洩最高可罰1,500萬元</span></strong></a></p> <p>5月16日立法院三讀通過個人資料保護法的部分條文，當中明確指定「個人資料保護委員會」為個資法主管機關，且為獨立機關，籌備處預計於今年8月成立，在正式掛牌前，個人資料保護委員會須送交組織法草案交由立法院審查。</p> <p>本次修法的另一個重點，在於針對非公務機關的罰則調整，若保有個人資料檔案且未採行適當之安全措施，導致個人資料被竊取、竄改、毀損、滅失或洩漏，將處理新臺幣2萬元以上、200萬元以下罰鍰，並限期改正；若限期未改善或情節重大，將處以15萬元以上、1500萬元以下罰鍰；屆期未改正者，採按次處罰。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://openssf.org/press-release/2023/05/10/openssf-welcomes-new-members-veteran-cybersecurity-expert-as-general-manager-and-new-funding/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">OpenSSF獲微軟、Google挹注500萬美元強化開源軟體安全</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/virustotal-ai-code-analysis-expands-windows-linux-script-support/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體分析平臺VirusTotal為AI分析機制提供更多指令碼的支援</span></span></strong></a></p> <p><a href="https://blog.google/technology/safety-security/online-safety-features-updates-google-io-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google宣布旗下服務的新安全及隱私保護功能</span></span></strong></a></p> <p><a href="https://www.inquirer.com/news/philadelphia/philadelphia-inquirer-hack-cyber-disruption-20230514.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">費城詢問報遭到網路攻擊，報紙暫停出刊</span></span></strong></a></p> <p><a href="https://www.securonix.com/blog/securonix-threat-labs-security-meme4chan-advisory/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Follina漏洞攻擊行動再度出現，這次被用於散布木馬程式Xworm</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156897"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">打造臺灣金融專屬資安人才職能地圖，聚焦課程設計以促進培訓</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156877">【5月15日】誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a></strong></p> </div></div></div>
2023/5/16 17:18作者周峻佑https://www.ithome.com.tw/news/156905
立院三讀通過個資法修法，企業外洩個資可直接開罰要求改善，最重可罰1,500萬元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>立法院今天（5/16）三讀通過個資法修正案，國發會指出，修正案加強對非公務機關違反安全維護義務，例如企業外洩個資事件，可直接開罰並限期改正，違反嚴重者最高可罰1,500萬元。另外，呼應各界要求設置獨立個資保護機關，行政院將儘速成立個資保護委員會籌備處。</p> <p>此次個資法修法有2項重點，主要為第1條之1、第48條及第56條。首先是，針對外界認為個資法對企業違反安全維護義務罰則過低，主管機關往往先命改正後處罰，批評無法有效責成業者強化個資安全作為，因此在修正案中修改第48條規定，企業若違反安全義務將直接開罰，同時命其改正，並提高罰鍰上限，從2萬元以上20萬元以下，提高為2萬元以上200萬元以下。</p> <p>如違反情節重大者，處15萬元以上1,500萬元以下罰鍰，屆期未改善者，得按次開罰15萬元以上1,500萬元以下罰鍰。</p> <p>另一個修法重點是增加個資法第1條之1規定，由個人資料保護委員會擔任個資法主管機關，行政院將會積極推動設置個資保護獨立監督機關，以達成去年8月憲法法庭判決，要求3年內完成個資保護獨立監督機制，並解決目前個資主管機關分散，缺少個資保護的獨立專責機關問題，同時也能接軌國際趨勢。</p> <p>國發會表示，此次修法將賦予行政機關更有效的執法權限，行政院也將儘速設立個資保護委員會籌備處，並推動組織草案、第二階段個資法修法工作。至於強化公務機關個資保護，將落實資通安全管理法對公務機關的規範，未來也會由獨立的個資保護委員會，就整體規畫公務及非公務機關個資保護監督機制。</p> <p>此次個資法修法主要呼應外界限期改正再處罰、罰責過輕的批評，以及要求設立獨立個資保護主管機關。先前iRent發生40萬筆客戶資料外洩，雖然交通部公路總局成立專門的小組進行調查，限期要求改善，最後因業者限期未改善開罰最高20萬元，未來企業如再發生類似事件，將受到更高的罰鍰。另，根據媒體報導，政府計畫在8月成立個資保護委員會籌備處。</p> </div></div></div>
2023/5/16 17:36作者蘇文彬https://www.ithome.com.tw/news/156904
Google App更新讓Pixel手機發燙、耗電加速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周釋出的Google App及Android智慧工具更新，引發Pixel手機耗電量爆增及<a data-ved="2ahUKEwjl2fSQsfn-AhUUmlYBHVFNBOUQkeECKAB6BAgREAE" href="https://www.google.com/search?sxsrf=APwXEdeeJML1ICFgH3JQrZHsC-64HAoB1g:1684224484394&q=%E6%80%A5%E9%81%BD&spell=1&sa=X&ved=2ahUKEwjl2fSQsfn-AhUUmlYBHVFNBOUQkeECKAB6BAgREAE" id="fprsl">急遽</a>發燙等情形，Google隨後釋出更另一次修補程式解決。</p> <p>多名Pixel手機用戶本周一分別透過<a href="https://www.reddit.com/r/GooglePixel/comments/13gkrtd/overheating_phone_and_high_power_use/" target="_blank">Reddit</a>和<a href="https://support.google.com/pixelphone/thread/214392878/battery-is-draining-very-fast-after-the-may-2023-security-update?hl=en&sjid=13669988790291989139-NA" target="_top">Pixel手機討論區</a>反映，在安裝了Google上周釋出的安全更新後，本周起他們的Pixel手機耗電量忽然大增，不但使手機續航力大幅縮短，而且變得奇燙無比。多數用戶指向Google App，但也有部分用戶將之歸咎到Android System Intelligence，後者為Private Compute Core的系統元件，可為Android手機提供智慧功能，包括即時字幕、螢幕自動旋轉等等。</p> <p>用戶相信問題出在5月12日釋出的更新。直到移除更新或是關閉Google App，問題才得以緩和或解決。出現狀況的都是Pixel手機，版本分別是Pixel 6或7等。</p> <p><a href="https://support.google.com/pixelphone/thread/215863498?sjid=7653741535566306888-AP" target="_blank">Google終於在今日在Pixel手機支援頁做出說明</a>。Google研究後判斷是Google App後臺近日一次變更不慎肇禍。該公司已經釋出一版修補程式，預計可以立即解決問題，用戶端無需做任何動作。</p> <p>如果Pixel手機用戶上周末更新後出現手機過燙或耗電奇快情形，可以再稍等一下，以安裝昨日版本Android更新。</p> </div></div></div>
2023/5/16 16:06作者林妍溱https://www.ithome.com.tw/news/156902
歐盟同意微軟買下動視暴雪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_2705" target="_blank">歐盟執委會（European Commission，EC）周一（5/15）宣布</a>，已同意微軟買下動視暴雪（Activision Blizzard）的收購案。而<a href="https://www.ithome.com.tw/news/156592" target="_blank">上個月表態</a>將阻止此一收購案的<a href="https://twitter.com/CMAgovUK/status/1658131203000614916" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）則在同一天發表聲明</a>，指出將堅守反對立場。</p> <p>其實EC的初步調查認為此一交易有可能危害遊戲的分布，並強化微軟在PC作業系統上的優勢，但在深入調查之後，認為微軟沒必要限制遊戲的分布，因為此舉將危及微軟的遊戲營收，此外，EC也認為若未與微軟合併，動視暴雪應該不會提供可能擠壓其遊戲銷售的遊戲訂閱服務。</p> <p>而為了解決EC所在意的競爭問題，微軟同意在未來10年讓歐洲經濟區的遊戲玩家，皆可透過任何的雲端遊戲串流服務來存取動視暴雪的PC及遊戲機遊戲；同時也將允許雲端遊戲串流服務供應商供應所有的動視暴雪的PC及遊戲機遊戲予歐洲經濟區的遊戲玩家。</p> <p>EC認為上述將會造福當地的玩家，因為迄今動視暴雪並未提供遊戲串流服務，亦未將遊戲授權給任何的遊戲串流平臺。但未來玩家只要購買或訂閱動視暴雪的遊戲，就能利用任何的作業系統及裝置，透過任何的遊戲串流平臺來進行遊戲。</p> <p>有別於EC的樂觀，CMA認為不管是英國、美國或歐盟都一致認為該併購案會危害雲端遊戲的競爭，因為此一新興的市場必須維持開放與競爭，才能推動創新及消費者選擇，但EC所接受的微軟提議，卻是以自由、開放及競爭的市場為代價，CMA尊重EC的觀點，但自己將堅守反對的立場。</p> <p><a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟是在2022年1月宣布</a>將以687億美元買下動視暴雪，這是微軟史上最大的併購案，也將讓微軟成為全球第三大遊戲業者，僅次於騰訊及Sony。這起併購案因為明顯牽涉到市場壟斷議題而受到全球矚目，即便已經過一年的調查仍未能定案，<a href="https://www.theverge.com/2023/5/15/23723703/microsoft-activision-blizzard-acquisition-approved-eu-european-commission" target="_blank">根據《The Verge》的統計</a>，迄今除了<a href="https://www.ithome.com.tw/news/154634" target="_blank">美國</a>與英國欲出手阻止該交易之外，中國、南韓、紐西蘭與澳洲都還在審核中，而歐洲、日本、南非及巴西等國則已核准。</p> </div></div></div>
2023/5/16 15:16作者陳曉莉https://www.ithome.com.tw/news/156900
Alphabet機器人公司Intrinsic推出機器人應用開發軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下機器人公司Intrinsic成立2年後本周公開機器人應用開發平臺軟體，作為公司第一項產品。</p> <p>Intrinsic為Alphabet出售Boston Dynamics及Shaft機器人部門後，2021年初成立發展產業用機器人業務的公司。<a href="https://www.youtube.com/watch?v=QtSShST58io&t=896s" target="_blank">Intrinsic本周在虛擬產品發表會上公布第一項產品</a>。</p> <p>該公司指出，產業用機器人都需要相當深層領域知識及專門技能，從作業或經濟角度都無法輕易重新改寫。為了簡化機器人程式的開發門檻，Intrinsic最新公布的Flowstate是一個直覺化的Web開發環境，橫跨從概念到部署整個機器人應用所有流程。它具備圖形化流程開發工具，使用行為樹（behavioral tree）更易於協調複雜流程、支援更快開發。其流程編輯器以類似flowchart的圖形化介面可設定行為樹。此外，它同時執行在雲端或本地部署環境，方便程式在兩種環境搬移，並且提供模擬及驗證程式的環境。</p> <p>Flowstate還能將特定領域知識以特定技能輸出，以便未來重覆使用，像是姿態評估、操控、力覺感知插入（force-based insertion）、路徑規畫等。不久Flowstate也將內建一些以Intrinsic平臺開發的技能，該公司承諾會開放給社群。</p> <p>Flowstate目前為beta版，一開始將提供給小部分解決方案供應商。Intrinsic也公布義大利機器人生產商暨系統整合商柯馬工業（Comau）作為其第一個合作夥伴，後者近日發展了一款機器人用於組合插電式混合動力車的超級模組。</p> <p>同時這家廠商也公布Flowstate的開發底層Intrinsic平臺。Intrinsic表示其目標是讓進階機器人和AI更容易為非專業人士所用，現在正將現代化軟體開發作法，像是物件導向及視覺化程式撰寫工具加入機器人及自動化技術的開發中。</p> <p>Intrinsic Flowstate現在起為期8個星期，<a href="https://www.intrinsic.ai/beta/" target="_blank">開放開發人員申請試用</a>、開發機器人應用程式。</p> </div></div></div>
2023/5/16 15:52作者林妍溱https://www.ithome.com.tw/news/156901
Amazon也要以AI聊天機器人來改善產品搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《彭博社》（Bloomberg）透過Amazon的求才廣告，<a href="https://www.bloomberg.com/news/articles/2023-05-15/amazon-plans-to-add-chatgpt-style-search-to-its-online-store?leadSource=uverify%20wall" target="_blank">發現Amazon正準備打造具備聊天能力的產品搜尋功能</a>，然而，Amazon不僅不置可否，亦更改了求才廣告的說明內容。</p> <p>該求才廣告是由Amazon Search團隊所刊登，徵求的是機器學習的資深軟體開發工程師，另一媒體<a href="https://venturebeat.com/ai/amazon-job-listings-hint-at-chatgpt-like-conversational-ai-for-online-store/" target="_blank">《Venture Beat》公布了該求職廣告的原始內容</a>，顯示Amazon打算要讓Amazon Search具備互動式對話能力，以協助解答使用者對產品的疑問，比較產品，或是提供個人化的產品建議等。</p> <p>在被媒體公開之後，<a href="https://www.amazon.jobs/en/jobs/2358111/sr-sde-machine-learning-ml-amazon-search" target="_blank">Amazon很快就修改了該求職廣告的內容</a>，僅簡單地說想利用大型語言模型的對話功能，來改善Amazon上的購物經驗。</p> <p>《彭博社》還在另一則求才廣告上看到，Amazon宣稱將採用全新的「AI優先」計畫，透過超大規模的新一代深度學習技術來重新建構該平臺的搜尋方式。</p> <p>然而，當媒體向Amazon求證時，該公司並未直接回應有關AI聊天機器人的問題，僅說旗下所有業務都在大力投資生成式AI。</p> <p><a href="https://www.ithome.com.tw/news/156730" target="_blank">微軟已於今年5月釋出</a>基於GPT-4的Bing搜尋/Chat公開預覽版，<a href="https://www.ithome.com.tw/news/156829" target="_blank">一周後Google便跟著正式發表</a>基於LaMDA的AI聊天機器人Google Bard，雖然這兩家業者都企圖整合聊天機器人與搜尋引擎，但整合方式似乎有些不同。</p> <p>例如在Bing Chat中與AI對話之後，使用者可自AI的回應中點選所建議的結果並進行搜尋，而在Google搜尋中，倘若Google察覺AI可提供更好的解答，就會讓Google Bard的建議出現在第一筆。</p> <p>Amazon並未於全球的AI競賽中缺席，<a href="https://www.ithome.com.tw/news/156411" target="_blank">該公司在今年4月發表了</a>首個大型語言模型Titan，以及可用來存取各種基礎模型的Amazon Bedrock服務。</p> <p> </p> </div></div></div>
2023/5/16 12:21作者陳曉莉https://www.ithome.com.tw/news/156898
人才是確保國家網路安全關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安的重要性已是不言而喻的狀態，而關於資安人才不足的議題也存在許多年，而遲遲缺乏有效解方——儘管有企業透過內部培訓，也有機構與廠商推動資安證照，提供標準化的知識體系與認證機制，以及吸引資安社群參與的CTF網路攻防搶旗賽，或是各種研討會、小型聚會等形式的交流、學習與分享，然而，由於資安領域實在非常廣大，我們雖然知道有不同類型的資安工作內容，但過往從未有人細數到底有多少資安職務，因此，對於整體的職能體系總是缺乏了解。</p> <p>對於iThome而言，從2018年的CIO大調查開始，資安人力的現況就已是我們關注的焦點之一，試圖藉此掌握臺灣企業資安人力的需求變化，當時我們也更進一步接觸資安人才議題，而與一些政府專家學者接觸之後，得知美國已有網路安全人才框架NICE可供大家借鑑。</p> <p>不過，無論是資安威脅現況或資安產業的發展，雖然向來是民眾關心的，但隱藏在背後的資安人力供需問題，目前仍未得到足夠重視。</p> <p>事實上，在兩年前，就有更多企業亟欲招募資安人才，到了現在，需求越來越大，但也面臨更多實務上的問題，例如，企業是否找到建立資安團隊的方法？如何招聘或培訓擁有合適資安技能的人才？學界或培訓機構能否對應企業與產業的需求開課？</p> <p>因此，我們認為，資安人才這樣重要的議題，需要更多的關注與討論。而在2021年的臺灣資安大會上，首度增設CyberTalent資安人才專區，已成每年大會重點活動之一，2022年我們更製作了《臺灣資安職務地圖-2022新興資安產業版》手冊，盼大家更了解資安職能類型。</p> <p>到了2022年底，我們發現目前除了NICE框架，國際間還有另一個ECSF框架也至關重要。因為我們發現IT社群科技寫作競賽：iT邦幫忙鐵人賽當中，居然有人介紹歐盟甫發布的ECSF資安技能框架。這讓我們意識到越來越多國家重視資安人才技能的培育與發展。</p> <p>而在這本首度發行的2023資安人才專刊當中，我們不僅介紹臺灣與全球的資安人才需求現況，更是將兩大國際資安人才框架進行最通盤的解析，並且介紹臺灣資安人才框架的最新發展，希望各界對於建構資安人才知識體系，縮短資安技能差距，有更多關注與探討，而非停留在高喊缺人、卻不知到底需要與培育多少種資安人才的淺層討論。</p> <p>而在籌備這次資安人才專刊的過程中，我們有兩個發現：一是在ECSF框架12大資安工作角色中，資安教師也成一種人才類型；另一是得知國家資通安全研究院將在2023年第二季，推動全民資安意識。</p> <p>整體而言，無論育才、識才、用才，「人」都是關鍵，事在人為，不只是管理、攻防、技術，教育宣導的工作也要有人去推展。而且，不只是有人能具備各方面的資安專業，全民也都該提升資安意識。</p> <p> </p> <p><strong>羅正漢／ iThome 電腦報周刊資安主編<br /> <a href="mailto:[email protected]">[email protected]</a></strong></p> <p> </p> </div></div></div>
2023/5/16 10:00作者羅正漢https://www.ithome.com.tw/news/156619
打造臺灣金融專屬資安人才職能地圖，聚焦課程設計以促進培訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升臺灣金融業對資安的重視，金融監督管理委員會（金管會）逐步建議與提出要求，特別是在2018年3月，修訂了「金融控股公司及銀行業內部控制及稽核制度實施辦法」，新增第三十八條之一，開始明訂銀行業應設置資訊安全專責單位及主管，以展現機構對資訊安全的重視。</p> <p>上述這樣的要求，在2021年擴及到更多金融機構，也就是說，不只銀行業，保險業與證券業也應設置資訊安全專責單位及主管。</p> <p>而且，相關要求是逐年提升，像是需指派協理以上擔任資安專責單位主管，到需指派副總級以上兼任資安長。透過上述循序漸進的方式，不僅讓國內金融機構知道政策推動方向，及早做好資安人力強化的布局，甚至，後續還將這樣的要求擴及國內1700多家上市櫃公司，同時，也為國內市場創造更大的資安人才需求。</p> <p>不過，對於普遍金融業而言，在網路威脅日益嚴峻之下，原本就有資安人力規畫的需求，而金管會之所以要求公司副總擔任資安長，其意義更是在於期望公司提升其對資安議題的決策能量，增進董事會成員將資安風險納入經營考量，然而，不論資安長或主管、資安人員等職位，企業或組織要如何找到合適的人才，成為一大挑戰，是臺灣，也是全球都熱烈關注的重要課題。</p> <p>為了因應這樣的需求，金管會在2021年6月，發布了《金融資安人才職能地圖》，其設計就是參考行政院國家資通安全會報技術服務中心，所規畫的公務人員資安職能訓練，以及美國NIST發布的NICE網路安全人才框架，擬訂金融產業資安人才培訓所需架構，同時也參考了國內外資安訓練資源設計課程，希望為金融產業從事資安實務工作的在職人士，以及有志從事金融資安的產業人士，促進彼此之間對於職能的認知，以及產業資安人才培訓。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></p> <p><strong>我國金融監督管理委員會針對資安人才培育的強化，在 2020 年 8 月發布的「金融資安行動方案1.0」提出三項措施，第一項就是訂定金融資安人才能地圖，這項計畫目前已經完成；在後續的2.0版方案中，開設人才專班與鼓勵取得證照將持續進行，並新增配置多元專長資安人力的目標。</strong></p> <h2><strong>協助克服資安徵才不易的挑戰，金管會發展人才職能地圖</strong></h2> <p>關於金管會發布的<a href="https://www.fsc.gov.tw/websitedowndoc?file=chfsc/202107081856200.pdf&filedisplay=%E6%AA%94%E6%A1%887_%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96(110%E5%B9%B47%E6%9C%88%E7%89%88).pdf">金融資安人才職能地圖</a>，簡單來說，其目的就是幫助國內的金融產業，可以更好招募資安人才投入金融領域，並促使金融機構培訓資安人才時能更有計畫性。</p> <p>對於這項職能地圖的發展，金管會資訊服務處長林裕泰表示，這是2020年就有的構想，時任處長蔡福隆期間，正擬定金融資安行動方案1.0，因此詢問了金融機構對於資安加強方面的期望，在許多答覆之中，都談到金融機構內部相當需要資安人才，但面臨找不到適合人力的現況。</p> <p>因此，金管會開始思索對策，如何從培訓層面提供幫助，像是如何從金融機構內部，將資訊業務的人，或是對資安有興趣但不是資訊業務的人，可以轉向資安職涯發展，或是連帶影響外部訓練機構或學校，讓有興趣的人士或學生也可找到相關課程，吸引加入金融領域。</p> <p>於是，有了發展金融業資安人才職務地圖的構想，而金管會在2020年發布的金融資安行動方案1.0，此時除了強化金管會內部的資安監理職能，提升資安檢查人員專業技能，為了幫助國內金融機構，針對整體金融業的第7項資安人才培育的部分，提到三項重點措施，其中，關於金融資安人才職能地圖的制定，就是第一目標，而在有此基礎之後，也將協調周邊單位開設金融資安人才養成專班，並鼓勵金融資安人員取得國際資安證照。</p> <p>基本上，金管會推行這個計畫，就是吸引更多人參與金融機構資安，也方便金融機構在招聘、求才與培育時，可了解從事資安工作所需的經驗或知識。</p> <p>接下來，負責這項計畫執行的F-ISAC，開始試著將金融領域資安，以及外部很多教育訓練機構開設的資安課程，做進一步的整理與分析，並建構適用於國內金融機構的內容。最終，2021年7月，《金融資安人才職能地圖》正式對外發布。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.png" style="width: 600px;" /></p> <p><strong>金管會資訊服務處處長林裕泰表示，關於「金融資安人才職能地圖」的規畫，是在2020年時就已有的構想，期望從培訓層面來提供幫助，幫助國內金融產業可以更好招募資安人才，並促使金融機構培訓資安人才時能更有計畫性。攝影／羅正漢</strong></p> <h2><strong>人才培育架構畫分3大類，涵蓋資安認知與10大專業領域</strong></h2> <p>在架構上，金融資安人才職能地圖主要畫分三大類別，分別是監督治理、安全開發及資安維運，在各類別之下，涵蓋10個專業領域，或者我們也可將其視為10種工作職務。</p> <p>以監督治理而言，涵蓋專業領域包括：策略規畫、法令遵循、風險管理、資安管理、資安稽核。</p> <p>以安全開發而言，涵蓋系統規畫、軟體開發、品管測試。</p> <p>以資安維運而言，涵蓋系統網路管理、弱點管理、資安防護、事件應變。</p> <p>另有一項「資安認知」，則被視為三大類別都要具備的基礎領域。</p> <p>同時，框架中也針對上述這10加1種領域，一一對應至單位（規畫或執行），以及所需的工作核心職能。</p> <h2><span style="color: rgb(0, 153, 255);"><strong>金融資安人才培育架構涵蓋3大類別，並且以10大專業領域與資安認知領域組成</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）金融資安人才職能地圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 605px; height: 576px;" /></a></p> <h2><strong>幫助人才培訓更有方向，課程設計是職能地圖一大重點</strong></h2> <p>除了對於能力的要求，金融資安人才職能地圖有何特點？簡單來說，這份職能地圖特別強調課程設計的搭配。</p> <p>基本上，金管會在此將課程內容區分為通識、基礎、進階，共三個等級，使得培育人員檢視具備各領域所需職能時，可以有循序漸進的方式，同時，對於上述各項基礎資安認知及專業領域，也都列出所需具備的核心職能與課程。</p> <p>為此，這份職能地圖有三個重要的附錄，包含「課程設計」、「領域核心職能與課程對照表」，以及「學習地圖」，不論是金融業者、周邊單位、培訓機構、資安人員，以及有意投入金融資安領域的民眾來使用，都可以直接對照著檢視或參照，就能使用。</p> <p>基本上，從附錄一的課程總表，以及附錄三的學習地圖來看，在通識課程方面有3門，基礎課程有19門，至於進階課程有13門。</p> <p>簡單來說，通識課程等於是必修，主要為資訊安全概論、ISMS資訊安全管理系統，以及資安法規介紹，也就是10個領域的資安人才，都要接受這方面的培訓。</p> <p>在基礎課程方面，屬基本資安能力養成，聚焦人員日常資安維運作業能力，資安防護技術導入及建置，開發安全應用程式、網路攻擊及防禦技術應用等；在進階課程方面，則是針對各類資安主題深入探究，較為特別，同時也包含了專業分析與規畫、理論，以及實務整合應用的能力。</p> <p>而透過學習地圖的呈現，我們可以一目了然瞭解到10個專業領域（職務）在培訓上，所需的基礎與進階課程，等於讓培訓計畫能有系統性的參照。</p> <p>例如，以程式設計的領域而言，除了必修的通識項目，這裡制訂的基礎課程有6門，包括資安防護基準、辦公室作業安全、程式開發安全、網頁／行動應用程式安全、金融行動支付安全，以及軟體測試除錯；而進階課程將聚焦在特定資安主題，例如，包含金融業密碼學應用實務、區塊鏈安全、進階程式及網站安全、晶片卡及ATM安全，SWIFT Security bootcamp，以及信用卡PCI DSS資安合規政策。</p> <h2><strong>金融資安專業更重視符合規範，法規遵循知識技能成為必備</strong></h2> <p>從上述內容來看，我們可以發現金融資安人才職能地圖的不同之處。</p> <p>比起普遍企業能通用的職能地圖，這份框架不僅是強調培訓課程的展現，並擴及金融領域專屬的知識技能，其他還囊括FinTech 應用與科技風險、人工智慧於金融資安應用等。</p> <p>令人好奇的是，上述這些特性就是金融領域人才專業需求的最大不同嗎？對此，林裕泰表示，與八大關鍵基礎設施相比，金融領域資安防護範圍，基本上都還是以IT基礎架構的環境為主，也就是說，與普遍企業的資安或資訊經驗，其實不會差別太大，不像許多關鍵基礎設施產業會涵蓋OT環境領域。</p> <p>但要論起特別之處，林裕泰特別點出一件事：金融業屬於受到高度監管的產業，並且是非常講究合規的產業，因此，不管是上述提到的ATM、信用卡等，不論是在國際標準、產業標準或政府法令規範中，都會面對許多的法規遵循要求。也就是說，在金融領域中，對於規範訂定的對象，底層要用那些資安或資訊技術來符合規範，可能是金融產業更重要的特性。所以說，在看待人才時，懂資安合規的層面也會相當側重。</p> <p>因此，從上述這些金融領域專業的課程來看，不一定都是技術面的內容，會更強調如何促使相關技術組合應用並符合規範。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2A）金融資安人才職能地圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962A%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2B）金融資安人才職能地圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962B%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></a><br /> 註：<span class="markedContent" id="page57R_mcid6"><span dir="ltr" role="presentation" style="left: calc(var(--scale-factor)*103.94px); top: calc(var(--scale-factor)*84.52px); font-size: calc(var(--scale-factor)*12.00px); font-family: sans-serif; transform: scaleX(1.00043);">培訓順序，由基礎至進階，課程層級由上至下</span></span><br /> </p> <h2><strong>金管會現正擴大培訓計畫，促進產業資安人才技能提升</strong></h2> <p>為了提升人員能力，可透過課程來引導學習與驗證，然而，這些課程開設是否存在挑戰？林裕泰表示，金管會有三個主要的訓練機構，包括金融研訓院、證期會、保發中心，這些單位本來就會規畫年度訓練課程，現在他們也都參照現有的職能地圖內容去微調課程，或是做為新課程規畫的參考，因此，這將帶動正向的發展。</p> <p>不過，林裕泰也強調，這樣的職能地圖框架屬於軟性的內容，並非硬性規定，主要也是順應資安與資訊都是屬於快速變動的產業環境，而且，人才來源有很多種管道，大公司與小公司對職能的要求也不一樣——大公司可能人多，需要的分工就會很細，專精就能做好工作，而小公司也許只有一個人或是兩三個人，就要負責全部的東西，因此知識技能需求要更廣。</p> <p>所以，林裕泰認為，有了這樣的職能地圖作為參考指標，是有助於教育訓練跟內部人才配置的參考應用。</p> <p>但在考量使用的設計上，從金管會的角度來看，還是要回歸初衷，讓各方在不論是討論與人才教育訓練時，都能有較為共通可以對焦的內容。</p> <p>整體而言，金管會已陸續開設了一些資安訓練課程，以增加資安人力的培訓。然而，有些課程很快就額滿，無法滿足需求，還有一些實作和技術性較強的課程開設較為困難。因此，在金融行動方案2.0的框架下，金管會希望增加開課能量，並逐漸將一些進階技術性深入的課程形成常態。</p> <p>例如，以F-ISAC本身的任務而言，雖然不是屬於訓練機構，但在政策的配合下，現在也開設一些技術性更深入的課程，具有先導意義。未來，F-ISAC希望能夠將這些課程轉變成常態性的學習課程，引進一些企業目前可能尚未重視的內容。</p> <p>事實上，這幾年F-ISAC也會舉辦紅藍軍對抗等演練的訓練計劃，並與專業訓練機構合辦資安技術認證的課程，例如，前幾年曾開設EC Council認證的SOC分析師（CSA）課程。</p> <p>而2023年的目標，除了希望繼續加強實戰攻防的課程，也預計開設ECIH資安危機處理員的認證課程，請學員上課並考照，增加各個領域的認知。</p> <h2><strong>鼓勵多元資安職能人才配置及專業資安證照取得 </strong></h2> <p>關於金融資安人才職能地圖的最後一個重點在於，先前金融行動方案的人才培育中已經提到，鼓勵金融資安人員取得國際資安證照，而在金融資安人才職能地圖中，附錄四也提供了「課程與資通安全專業證照對照表」。</p> <p>對此，林裕泰表示，其實，一開始職能地圖的設計上，只是單純依照不同職務列出所需要的知識技能，後來才將證照納入。</p> <p>但回過頭來看，現在有了資安證照的綜整對應，也能夠提供職能地圖的使用者額外的幫助。例如，一些人可能沒有接受正統的資訊安全訓練，但他們對資訊安全非常有熱情，並希望自學相關知識。在這種情況下，透過取得相關的資訊安全證照，可以提供一條取得入門及進階技能的管道。</p> <p>另一方面，有的人本身就已考取多種類型證照，不可能再去遷就職能地圖所列課程重新學習，因此，在附錄四提供的對照表，就是將每個證照與可免除的課程層級做出對應。</p> <p>對於金管會鼓勵金融資安人員取得證照，林裕泰表示，從公司治理的角度來看，金融機構內部仍然保有用人用才的彈性，不會強制要求員工取得證照。</p> <p>但金管會也是會有調查統計，主要是了解整個人力的應用趨勢。包括培訓機構培訓了多少人，金融機構內有考取資安證照的有多少人，但這不會公布，畢竟取得國際資安證照屬於鼓勵性質，因此沒有對外揭露變成數量比拚的結果。</p> <p>以金管會的設想來看，證照可視為人員技能提升的誘因與激勵，像是金融機構可以透過課程補助、薪資提高和福利措施等方式，促進員工的主動學習，鼓勵員工取得證照以提升技能水準，並且也促進了金融機構的正向發展。</p> <p>至於金融機構人員在職需要那些證照，還是回到公司本身的角度，去進行審核與鼓勵取得，而金管會也同樣站在支持的立場，協助業者降低培訓成本，鼓勵資安人員考取相關證照。</p> <p>特別的是，在金融行動方案2.0中，金管會針對原先鼓勵取得證照的措施上，有了更進一步的目標，就是推動多元證照取得。</p> <p>在過往調查中，以國內金融業者人員而言，取得類似ISO 27001 LA的證照，已經算是普遍，未來他們也希望進一步促進證照取得多元化。</p> <p>也就是說，金融機構應評估自身IT與資安的運作架構，以及是自行開發或委外為主等，思考人力配置是否足夠，思考內部運作型態需要什麼樣的多元人才，因為金融業資安範疇並非只有ISO 27001 LA，也應該要根據系統開發、網路管理、資安設備管理，以及駭客攻防等不同面向，擬定相應的證照取得策略。由此角度來看，證照不僅是幫助學習的手段，也可成為金融業可以盤點自身的一種方式。</p> <p>另外，關於職能地圖是否持續改版，以及我們知道金融開放上雲，國內外資安專家強調重視雲端安全方面人才，對此，林裕泰表示，其內容本來就需要不斷修正，2023年行動資安方案2.0推出時，就有執行方向的不同，所以也會進行微調，但變動不至於太大。</p> <h2><span style="color: rgb(0, 153, 255);"><strong>「資安管理」專業領域職能一覽</strong></span></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></p> <p><strong>在「金融資安人才職能地圖」提供的領域核心職能與課程對照表中，針對10大專業領域與資安認知，一一列出該領域職能與課程需求。以「資安管理」專業領域為例，就列出四大核心職能，以及該領域所對應的通識、基礎與進階課程，讓培育人員時有循序漸進的依據。圖片來源／金管會</strong></p> <h2><span style="color: rgb(0, 153, 255);"><strong>臺灣金融職能地圖不只規畫課程，也考量資安專業證照而特別列出免修對照表</strong></span></h2> <p><span style="color: rgb(0, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96.jpg" style="width: 600px;" /></strong></span></p> <p><strong>金管會在鼓勵金融資安人員取得國際資安證照上，不僅協助業者降低培訓成本，在對應課程設計上，還會定期依據行政院公布的資通安全專業證照，衡量該證照評鑑項目，提供已有證照且有效者可免除相關培訓課程清單，無須再耗費心力於不需要的課程。</strong><br /> </p> <p><strong style="font-size: small; vertical-align: top; background-color: rgb(247, 247, 247); color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="vertical-align: top; color: rgb(51, 153, 255);"><span style="vertical-align: top; font-size: 20px;">本文出自《CYBER TALENT 臺灣資安人才專刊》</span><img alt="" src="https://s4.itho.me/sites/default/files/images/CYBER%20TALENT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E5%B0%88%E5%88%8A_%E7%B7%A8%E8%BC%AF%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 150px;" /></span></strong></p> </div></div></div>
2023/5/16 10:25作者羅正漢https://www.ithome.com.tw/news/156897
臺科大資工系教授揭露開源5G新風險，得小心駭客打造惡意基地臺發送偽造簡訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當5G愈來愈普及，5G網路的資安風險愈不容忽視，臺科大資工系教授，同時也是數位發展部資通安全署副署長的鄭欣明帶領5G研究團隊，利用開源軟體在實驗室建立5G網路環境，他指出，開源軟體讓任何人可以實作5G網路，但是駭客同樣可透過開源軟體建立惡意基地臺，假冒合法基地臺取得用戶手機的裝置資訊，定位追蹤使用者或是發送惡意簡訊，或是上傳惡意程式至O-RAN近前端元件，佔用網路資源達到癱瘓網路的目的。</p> <p>鄭欣明指出，過去電信網路設備是在專門的硬體或晶片上運作，以提高網路的速度、服務品質，但在進入5G之後，有志之士根據5G規格，開發軟體將5G的協定實作出來，並且開源出來，任何人可以下載這些開源軟體，只要搭配適合的無線電硬體，就能實作出5G基地臺。</p> <p>開源軟體加上硬體，實作出5G網路環境，包括基地臺、核網，不只5G NSA網路，還有5G Non-Public Network，也就是專網。鄭欣明帶領的研究團隊，他們利用開源軟體搭配合適硬體，在實驗室內實作搭配MEC邊緣運算的小型5G智慧專網，因為經費不足以購買真正的機械手臂，實驗團隊以樂高組合機器手臂，利用這個小型的實驗專網控制手臂。</p> <p>「5G基地臺搭配MEC，就能實作出智慧專網，這些都能透過開源軟體實現」，鄭欣明說。研究團隊以軟體定義無線電SDR技術實作O-RAN，建立5G O-RAN專網環境。有心人士也能以開源軟體實作5G基地臺，再根據電信業者的網路環境作調校，偽裝成合法的基地臺，對用戶發動攻擊，稱為偽基地臺（Rogue BS）的攻擊。</p> <p>由於採用免費的開源軟體、搭配數萬元臺幣的硬體，就能建立惡意5G基地臺，和數百萬元售價的電信等級基地臺相比成本降低許多，雖然以SDR打造的基地臺穩定度無法相比，但鄭欣明認為，SDR技術讓偽基地臺攻擊手法實現成為可能，只要通過軟體定義便能控制偽造基地臺的功能。</p> <p><span style="color:#B22222;"><strong>惡意基地臺可偽造簡訊，甚至發送假的國家級警報</strong></span></p> <p>目前國內5G服務為5G NSA非獨立組網架構，也就是5G服務和現有的4G網路依存，當用戶使用5G時，手機與行動網路的信令溝通（Control Plane），仍是依照4G eNB基地臺，傳送到4G核網，只有數據傳輸（Data Plane）時才使用5G gNB基地臺。換言之，既有4G在信令層安全問題仍存在5G NSA網路。</p> <p>舉例來說，一般手機內的SIM卡，每張SIM卡都有獨特的IMSI（International Mobile Subscriber Identity）及金鑰，當4G手機連接電信商的基地臺，再連到後方的核心網路，SIM卡和電信商網路之間就會確認IMSI及金鑰，通過多向的交握過程，相互驗證彼此身分，SIM卡需驗證所連接的電信商網路是合法的，電信商網路也要驗證SIM卡的合法性，這個過程稱為Authentication and Key Agreement（AKA）驗證。</p> <p>但是當惡意的基地臺偽裝為合法的基地臺，相比電信商的合法基地臺，攻擊者讓偽基地臺更接近用戶，當用戶的手機偵測到新的基地臺，會誤認為使用者移動到新的基地臺，因偽基地臺更接近用戶，在取得較佳行動網路訊號下，用戶的手機會自動和偽基地臺連接。然而，偽基地臺無法連接電信商網路進行AKA驗證，因此惡意基地臺和用戶的手機連接，會利用進入AKA驗證之前的程序進行攻擊，而在AKA驗證之前，訊息傳送為明文進行。</p> <p>如此一來，惡意基地雖無法連接電信商網路，但仍可傳送訊息「欺騙」用戶手機，鄭欣明指出，例如偽造的惡意基地臺回報該手機未通過暫時性的IMSI驗證，取得手機裝置真正的原始IMSI，再透過種種方式追蹤該支手機的位置，或是發動Dos阻斷服務攻擊，讓這支手機誤以為沒有通過驗證，無法連接特定區域的電信商網路，暫時無法通話。</p> <p>鄭欣明指出，這是協定設計上的錯誤，在手機與基地臺進入AKA驗證程序之前，手機預設相信基地臺回傳的訊息，不論是合法或惡意的基地臺。</p> <p>甚至，可以傳送偽造的訊息至該手機，側如假冒電信商的名義發送簡訊給手機，告訴該名用戶為每月發送的測試訊息，或是發送假的國家級警報，以假亂真，警報內容可以隨意偽造，並附上偽造的連結。</p> <p>鄭欣明表示，惡意基地臺偵測並不容易，使用低成本發射裝置改造的惡意基地臺，和電信商採用的電信等級基地臺，可以偵測訊號的穩定度，作為辨別惡意基地臺、電信基地臺的依據，但因為用戶手機已收到惡意基站的訊息，多屬於事後的偵測，如何在事前偵測惡意基站是一項挑戰。</p> <p><span style="color:#B22222;"><strong>O-RAN存在安全風險</strong></span></p> <p>至於O-RAN也存在安全風險。鄭欣明指出，為了能在靠近資料的前端快速作AI運算處理，O-RAN在O-CU的Near RT-RIC上，可部署第三方開發的xApp或rApp應用，加速地端資料的分析應用，O-RAN在較靠近基地臺的前端部署聰明的元件，蒐集當下的資料進行運作，以提升資源的管理、服務效能，但是此一設計產生新的連接介面、元件，連帶衍生出連接介面是否安全，以及這些元件間彼此是否經過驗證授權等問題</p> <p>例如開放第三方上傳xApp到RIC，雖然能改善資源使用、服務效能，但如果有心人士上傳惡意的xApp或rApp應用，利用Fork bomb耗用網路的資源，進而降低效能。鄭欣明表示，目前上傳xApp並沒有檢測機制，為了防範惡意的xApp或rApp攻擊，建議可以檢測其程式碼，或是對其行為偵測機制，或是其他人建議建立安全、可被信賴的xApp市集。</p> <p>鄭欣明表示，5G確實因開源軟體能夠實作很多實驗環境，實現Open-RAN，但也存在一些安全風險，例如惡意基地臺攻擊，利用規格設計的失誤，對公眾產生影響，這些是5G NSA的風險，直到5G SA架構，在規格的選項之一是加強信令簽章，才比較改善這個風險。另外，在O-RAN的環境下，雖可透過第三方應用優化網路效能，但也不能相信所有的xApp是善意的，必需建立檢測機制，預防惡意xApp。</p> </div></div></div>
2023/5/16 10:44作者蘇文彬https://www.ithome.com.tw/news/156879
OpenAI向ChatGPT Plus用戶開放擴充套件功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在<a href="https://twitter.com/OpenAI/status/1657128759659745280">推特</a>上宣布將對ChatGPT Plus使用者，<a href="https://openai.com/blog/chatgpt-plugins">開放擴充套件Beta測試功能</a>，這將使用戶能夠用到，各種結合語言模型的擴充功能。用戶可以從設定中的Beta功能頁籤中開啟新功能，除了第三方的擴充套件，OpenAI也有兩個自家的擴充套件，分別為網頁瀏覽以及程式碼直譯器。</p> <p>雖然ChatGPT功能強大，可用於解決多種任務中，不過語言模型仍有許多先天限制，像是太新、私密或是過於針對性的資料，都會難以被納入語言模型的訓練資料中，而擴充套件則能夠突破這項限制，以更安全且受限的方式提供額外功能。</p> <p>ChatGPT Plus用戶可以用到的第一批擴充套件，包括Expedia、FiscalNote、Instacart、KAYAK、Klarna、Milo、OpenTable、Shopify、Slack、Speak、Wolfram和Zapier，而OpenAI自家也推出兩個擴充套件，為網頁瀏覽以及程式碼直譯器。</p> <p>網頁瀏覽讓語言模型可讀取網頁資訊，運用更即時的語料，擴展ChatGPT所能夠討論的話題。過去當用戶向ChatGPT提出訓練資料不足以回答的問題，ChatGPT會禮貌性拒絕回答，而現在只要用戶開啟ChatGPT Beta測試功能，並且選用具網頁瀏覽功能的GPT-4模型，ChatGPT將會使用Bing API搜尋內容，回答最新時事相關問題。</p> <p>另外，OpenAI的另外一個程式碼直譯器擴充套件，則是在沙盒中提供整合Python直譯器的模型，能夠生成開發者要求的程式碼，並且在擴充套件中執行Python程式碼。程式碼直譯器擴充套件允許開發者使用臨時磁碟空間，上傳檔案到對話工作區，或是下載模型輸出結果。</p> <p>官方提到，這個擴充套件提供更自然的程式開發形式，降低開發障礙將吸引更多使用者族群編寫程式。在初步的OpenAI用戶研究中，這個擴充套件的特殊用例包括解決數學問題，執行資料分析和視覺化，也能夠轉換檔案格式。</p> </div></div></div>
2023/5/16 08:58作者李建興https://www.ithome.com.tw/news/156880
Flutter 3.10預設iOS使用高效Impeller渲染引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新開源跨平臺UI框架釋出最新的<a href="https://medium.com/flutter/whats-new-in-flutter-3-10-b21db2c38c73">3.10版本</a>，Flutter 3.10更新元件主題和視覺效果，使Material函式庫規範符合Material 3。除了介面之外，Flutter 3.10的引擎也有不少更新，在iOS裝置程式效能將有感提升。</p> <p>早在Flutter 3.7版本的時候，開發團隊在iOS添加了預覽版的Impeller渲染引擎，解決Flutter程式剛啟動時，因為著色器導致效能不穩（Jank）的狀況。Impeller在建置階段，就會預先編譯一組輕量著色器，因此由於Impeller不在執行時編譯著色器，也就能減少效能波動。</p> <p>現在從Flutter 3.10開始，所有iOS應用程式都使用Impeller，Impeller從預覽版以來，已經有許多改進，包括透過精簡渲染程序，Impeller能夠使用更少的記憶體，而且在較新的iPhone、iPad上，還能夠啟用有損貼圖壓縮技術，在不影響傳真度（Fidelity）的前提下減少記憶體使用。</p> <p>這些改進在複雜的應用上，會有明顯的效能提升，像是在Wonderous應用程式中，渲染畫面所使用的記憶體可能減少接近一半，而這也連帶降低GPU和CPU的負擔。Impeller滿足大多數的Flutter應用程式渲染需求，但是開發者也可以根據需求選擇不使用Impeller。目前Android版本的Impeller引擎還在開發階段，尚未進入預覽階段。</p> <p>在Flutter 3.7開發團隊將載入本地端圖像的平臺執行緒，轉移到底層Dart執行緒，避免對平臺執行緒中的垂直同步事件造成延遲，但是這個改動卻對Dart執行緒造成額外的工作，導致畫面出現卡頓，在Flutter 3.10中，開發團隊把本地圖像的開啟和解碼工作，從Dart執行緒移到後臺執行緒，如此不只解決畫面卡頓問題，也避免造成垂直同步事件延遲，在基準測試中，多個圖像同時載入的時間縮短一半。</p> <p>開發團隊原本在Flutter 3.0版本的渲染流程，對Android應用啟用一項先進的渲染功能，使應用程式能夠只重新繪製有變化的畫面區域，而非總是更新整個畫面，藉此提高渲染效率，但是開發團隊提到，他們發現這個功能在實際運作時，效果不如當初的期望，而且並非所有裝置和Android版本都支援。</p> <p>因此開發團隊最後決定在Android上停用這個功能，但是會持續在iOS中的Skia引擎啟用，並且也計畫添加到Impeller渲染引擎。</p> </div></div></div>
2023/5/16 09:08作者李建興https://www.ithome.com.tw/news/156891
全校導入雙因數認證，北醫大揭不雅合成照勒索後因應之道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，臺灣幾所大學的教授紛紛收到不雅合成照的勒索信件，要求教授支付款項，否則就散布這些照片。臺北醫學大學就是受害學校之一，臺北醫學大學副資訊長許權廣日前在臺灣資安大會中揭露後續因應措施，如在照片人臉處添加浮水印、啟動全校雙因數認證，來保障校園資訊安全。</p> <p>許權廣指出，這項勒索行為，是勒索歹徒擷取學校教授照片，將教授臉部換置到不雅床照中，再亂槍打鳥式的發電子郵件給多位教授，威脅付款。他回憶，3月多的一晚，他接到多位教授來電，說收到不雅合成照郵件，要求支付款項。他仔細看了教授轉寄的信件，發現照片是低解析度的黑白照，乍看之下容易以為真有那麼一回事。</p> <p>為避免臉部照片遭濫用，他首先想到的應對措施是，將教職員的臉部照片加上浮水印，並在隔天發出通告，告知教職員和學生這種換臉新型詐騙手法。他們不只說明詐騙手段，也說明處理方式，如學校資安組已通報警政署反詐騙專線165、請檢察官介入處理，同時列出可疑的帳號，如以jackfa、asdfd、bencs為首的Email帳號，以及zt056的Line ID。</p> <p>不只如此，為加強校園資安防護，北醫大也在3月21日全面啟動雙因數認證，當使用者從陌生裝置登入Email時，得透過手機驗證才行（如下圖）。這麼做雖然多一步操作，但能確保校園資訊安全，是打好使用者資安基礎的不二法門。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1790.jpeg" /></p> </div></div></div>
2023/5/15 17:49作者王若樸https://www.ithome.com.tw/news/156887
【資安日報】5月15日，誠品書店外洩個資傳出遭支持中國武統人士利用，對臺灣民眾發動心理戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣網路商城個資外洩事件頻傳，伴隨而來的是各式各樣的詐騙事故，但如今這些流出的購物記錄不只被駭客用於騙錢，還出現了認知作戰攻擊。有名社會運動人士曾在誠品網站購書，結果上週末接到冒充該公司進行市調的電話。但罕見的是，對方並非宣稱扣款錯誤等理由進行金融詐騙，而是不斷宣傳與表達「中國會武力統一臺灣」的主張。</p> <p>豐田汽車再傳資安事故！這次是雲端服務配置不當的情況，而且，這些資料竟曝露7至10年之久。而這並非該公司因組態配置不當惹禍──2022年10月，<a href="https://www.ithome.com.tw/news/153565">他們表示因GitHub的帳密資料曝光</a>，導致近30萬名行動應用程式T-Connect用戶被公開。</p> <p>與列印管理系統PaperCut有關的漏洞攻擊行動也相當值得留意，繼勒索軟體駭客Clop、LockBit陸續濫用這個弱點，現在也傳出伊朗駭客APT35、Muddywater，以及勒索軟體駭客Bl00dy也都著手發起相關的攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://news.ltn.com.tw/news/politics/paper/1582972"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人在誠品網路書店買書後，接到宣傳統戰資訊的市調電話，疑中國將其用於對臺民眾進行心理戰</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/346851015_766470245064522_3673515591524448783_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/346851015_766470245064522_3673515591524448783_n.jpg" style="width: 300px; float: right;" /></a>誠品個資外洩事故不時傳出，該公司亦被內政部警政署刑事警察局長期被列為高風險賣場，但如今相關個資疑似被用於中國統戰宣傳。</p> <p><a href="https://www.facebook.com/Statebuilding.tw/posts/pfbid02JY7bvKE7HRWJmnnppewPqgDoFvy3DcHuhfnQ1a1BKy6vx5Kr8YAUSA1RaAU8aoLsl">台灣基進黨於5月14日召開記者會</a>，原因是台灣佇遮計畫副執行秘書楊欣慈於今年2月購入「阿共打來怎麼辦」一書，結果於5月13日接到自稱是誠品書店人員的回訪市調電話，但對方不斷逼問讀書心得，強調此書內容極為敏感、不恰當，並恫嚇「中國必然武統」、「中國軍事實力很強，臺灣絕對不可能戰勝」、「美國不會幫忙」等。雖然對方強調自己是臺灣人，但口音、用語明顯來自中國，楊欣慈認為，這類電話很可能是相當有組織性的行動，企圖左右臺灣人的想法，<a href="https://www.facebook.com/iunn.him.tsu/posts/pfbid0gnDQTeowYUZTnbJu2pwckYCVy8B4SmFTou5s1n5TjHDTeReSDfPYeV6Drfq8b8c6l">她也公布了電話內容</a>，提醒民眾提高警覺。</p> <p>對此，誠品承諾持續強化資訊安全防護，並定期提醒顧客。數位發展部要求誠品於15日提出相關說明，釐清相關個資保護措施是否符合法規。</p> <p><a href="https://company.toyotaconnected.co.jp/news/press/2023/0512/　"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本215萬臺豐田汽車的位置資料曝光長達10年，起因是雲端服務的配置不當釀禍</span></strong></a></p> <p>5月12日豐田汽車表示，該公司的雲端服務配置錯誤，導致215萬輛車輛的位置資訊公開在網路上，車上的攝影機拍攝的影片也曝露近7年。</p> <p>使用T-Connect、G-Link、G-Link Lite、G-Book服務的用戶受到影響，自2012年1月2日至2023年4月17日的車輛定位資訊，包含車載設備ID、車身號碼（VIN）、車輛位置等，自2013年11月6日開始可被外部存取。再者，該公司企業服務所收集的行車記錄器影像，也出現曝露在網際網路上的情況，自2016年11月14日到2023年4月4日可被任意人士存取。</p> <p>對此，該公司認為起因是對於員工資料處理政策的說明不夠徹底，並強調這些資料沒有遭到濫用的跡象。</p> <p><a href="https://www.bleepingcomputer.com/news/security/discord-discloses-data-breach-after-support-agent-got-hacked/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">即時通訊軟體Discord證實資料外洩，使用第三方應用程式的用戶恐曝險</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，即時通訊軟體Discord察覺透過特定第三方客戶服務代理程式進行的未經授權存取，此事故曝露了客戶支援的工單內容，包含使用者的電子郵件信箱、使用者與Discord客服通訊的內容及附件檔案。</p> <p>Disocord註銷遭到入侵的帳號，並針對受到影響的電腦完成惡意程式檢查。該公司亦與客戶服務的合作夥伴改善相關流程，來避免這類事故再度發生。他們初步評估，此起事故帶來的風險有限，但呼籲用戶仍要留意可疑訊息或是活動。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-131a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">教育機構的列印管理系統PaperCut遭到勒索軟體駭客Bl00dy盯上</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bl00dy_gang_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bl00dy_gang_ransomware_note.png" style="width: 300px; float: right;" /></a>美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）聯手發出警告，勒索軟體駭客Bl00dy自2023年5月上旬，積極利用列印管理系統PaperCut的重大漏洞CVE-2023-27350，攻擊教育機構曝露在網際網路上的伺服器。</p> <p>駭客不只利用上述漏洞繞過身分驗證機制，並利用管理員身分存取伺服器，然後啟動具備相同權限的命令提示字元與PowerShell處理程序，進行橫向感染，最終竊取內部資料並加密檔案，且留下勒索訊息。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1654610012457648129"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客也針對列印管理系統PaperCut漏洞發動攻擊</span></strong></a></p> <p>微軟威脅情資團隊發現，在研究人員公布列印管理系統PaperCut的重大漏洞CVE-2023-27350的概念性驗證程式碼（POC）後，伊朗駭客組織APT35（亦稱Mint Sandstorm）、Muddywater（亦稱Mango Sandstorm）開始發起相關的漏洞攻擊行動。</p> <p>研究人員指出，APT35的攻擊影響了全球各地的不同產業，而對於Muddywater的部分，他們則是看到駭客利用先前入侵的工具連接C2中繼站，但相關漏洞利用的頻率較低。而這是研究人員發現勒索軟體駭客組織Clop與LockBit的攻擊行動後，另一波利用相同漏洞的攻擊行動。</p> <p><a href="https://abnormalsecurity.com/resources/exploring-rise-of-israel-based-bec-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列駭客假借公司併購名義，針對跨國企業發動商業郵件詐騙攻擊</span></strong></a></p> <p>資安業者Abnormal Security揭露以色列駭客組織發起的商業郵件詐騙（BEC）攻擊行動，這些駭客針對至少100個營收超過100億美元的大型跨國企業而來，在2年內發起350次以上的攻擊，這些企業橫跨全球各行各業，又以製造業、金融業、科技產業的比例最高。</p> <p>駭客先是佯稱目標企業的執行長，並在信件裡透露併購新公司的事宜，且強調在正式公告之前必須保密，否則有可能因為風聲走漏而失敗，此外，基於稅務考量，此併購計畫不會由總公司出面，必須由收到信件的高階主管經手，分期付款買下待併購的公司。待冒牌執行長與目標人士信件往來一段時日，駭客再偽裝成知名會計師事務所KPMG的律師，提供銀行帳號等匯款資訊，值得留意的是，這個階段駭客也可能透過WhatsApp與收信人交談。由於駭客假借公司併購的名義行騙，他們平均索討的金額為71.2萬美元，相較於一般BEC平均6.5萬美元高出10倍。</p> <p>而在電子郵件層面所採用的攻擊手法，駭客也試圖騙過郵件安全系統──他們會確認目標企業是否採用DMARC政策，來決定如何騙過相關資安系統，並透過合法網域來寄送郵件，比較特別的是，為了取信收信者，駭客還會在寄件人的名稱部分加上電子郵件信箱，讓收信人降低警覺。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.char49.com/articles/we-dont-have-a-ferrari-but-we-had-their-database-credentials"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超級跑車製造商法拉利WordPress網站出現漏洞，起因是使用舊版外掛程式</span></strong></a></p> <p>資安業者Char49於今年3月發現義大利超級跑車製造商法拉利的網站media.ferrari.com出現漏洞，起因是該網站所使用的WordPress外掛程式W3 Total Cache沒有更新，存在漏洞CVE-2019-6715，攻擊者可在沒有通過身分驗證的情況下，讀取任意檔案。</p> <p>研究人員以此漏洞存取wp-config.php檔案，存取當中明文儲存的WordPress資料庫帳密來進行驗證，但研究人員認為，此漏洞有可能帶來更嚴重的危害。法拉利獲報後，升級此外掛程式來緩解漏洞。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-linux-kernel-netfilter-flaw-gives-attackers-root-privileges/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux核心漏洞NetFilter恐被用於取得root權限</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，研究人員Patryk Sondej與Piotr Krysiuk發現了Linux核心的漏洞CVE-2023-32233（尚無CVSS風險評分），該漏洞出現於其內建的網路位址轉譯（NAT）框架Netfilter，起因是當中的nf_tables子系統能接收無效的組態更新，而使得本地使用者可提升至root權限，從而控制整個系統，影響包含6.3.1版在內的所有Linux核心。</p> <p>對此，開發人員Pablo Neira Ayuso提交了修補程式碼，透過2項函式功能來管理nf_tables子系統，進而達到緩解漏洞的目的。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156849"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">主要目標鎖定臺灣的駭客組織Taidoor，具備經營12個惡意程式家族的開發量能</span></span></strong></a></p> <p><a href="https://ec.ltn.com.tw/article/breakingnews/4297181"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">台達電、飛宏爆內鬼，高階主管竊取特斯拉充電樁機密投靠中國科技公司</span></span></strong></a></p> <p><a href="https://claroty.com/team82/research/chaining-five-vulnerabilities-to-exploit-netgear-nighthawk-rax30-routers-at-pwn2own-toronto-2022"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Netgear路由器漏洞細節</span></span></strong></a></p> <p><a href="https://www.bitdefender.com/blog/businessinsights/deep-dive-into-downex-espionage-operation-in-central-asia/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中亞政府遭到惡意軟體DownEx攻擊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/rapperbot-ddos-botnet-expands-into-cryptojacking"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路RapperBot不只利用受害裝置發動DDoS攻擊，也將其用於挖礦</span></span></strong></a></p> <p><a href="https://brave.com/privacy-updates/25-forgetful-browsing/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化使用者隱私保護，瀏覽器業者Brave推出Forgetful Browsing，目的是清除第一方的Cookie資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156850">【5月12日】 2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156810">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</a></strong></p> </div></div></div>
2023/5/15 16:29作者周峻佑https://www.ithome.com.tw/news/156877
PTC即將揭露3年SaaS戰略轉型成果，旗下兩大核心產品CAD和PLM將有重要變革，生成式AI與綠色設計成為關注焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾個月，ChatGPT的風潮席捲全球，不只展現了生成式AI技術在對話應用的突破性發展，甚至更擴展到了設計領域，全球兩大3D CAD設計軟體廠之一的SolidWorks最先擁抱生成式AI技術，並且幾個月前，該公司執行長就<a href="https://www.ithome.com.tw/news/155532">透露</a>正在開發設計界的ChatGPT，讓設計師用自然語言提出需求就能產生設計。</p> <p>另一家工業設計軟體和PLM軟體商PTC最近將舉行年度大會，外界對於這種新型態AI生成設計方式，它將如何應對充滿了好奇？</p> <h3><strong>生成式AI有機會翻新CAD設計，成為生成式設計新一代AI技術</strong></h3> <p>PTC目前雖然並沒透露自家的AI策略，在ChatGPT推出後也不像競爭對手SolidWorks大動作表明將在CAD產品中整合生成式AI技術，相比之下，PTC顯得相當低調，僅由CAD團隊發表<a href="https://www.ptc.com/en/blogs/cad/will-chatgpt-ai-revolutionize-engineering-and-product-development">一篇文章</a>來比較採用生成式AI的3D設計和現有生成式設計的差異，似乎沒有太多討論，不過，外界對於它在今年用戶大會上端出什麼樣的AI牛肉，仍相當期待。</p> <p>畢竟，PTC投入AI發展得很早，甚至比Solidworks都早，並將其應用在CAD產品的生成式設計（Generative Design）中，讓工程師或設計師可以用更有效率方式找出最優零件設計，實現產品差異性和提高效率。從產品更新來看，PTC早在Creo 7版本就開始支援生成式設計，並提供拓樸優化生成功能，到後來更加入AI演算法進一步提升生成的優化能力，並能與雲端運算結合，提供更快速和更複雜的生成式設計處理。</p> <p>2018年還收購了生成式設計軟體公司Frustum，進一步加強其CAD產品對生成式設計功能的支援。在今年即將推出的第10版本，對於各種3D模型零件設計生成優化更加全面。</p> <p>生成式AI技術今年在Chatgpt出現而爆紅後，也使得過往的生成式設計有機會借助這項技術(如GPT-4)，通過學習大量的數據和設計模式，以此生成新的設計，得到進一步突破發展。</p> <p>尤其，PTC主要客戶群，以高科技製造、航汰、工業、汽車等行業居多，若是能夠在CAD產品中導入生成式AI，以後這些行業在產品設計上，就有了一套更快速的AI生成工具可以運用，加快其產品開發週期、提高設計效率。</p> <p>甚至早在生成式設計應用前，一些AI新創、內容創作平臺商、圖片資料庫業者就已經採用了這項技術，來推出或發展自己的3D模型生成工具。</p> <p>例如OpenAI前幾天剛釋出能自動生成3D模型的Shap-E，可以將文字或圖片轉成3D模型。比起去年推出的Point E，Shap-E使用了GPT4模型，不只具備更準確的3D模型輪廓生成能力，還能提供更精細的紋理和複雜的形狀。這意謂著，使用生成式AI技術生成的3D模型，不僅一般人能用，而且也能提供給專業設計者在其設計工作中使用。</p> <p>另外Adobe正在發展自己的生成式AI模型Firefly，使用者只要輸入指令即可生成影像，也能轉成3D模型。此外，商業圖庫業者Shutterstock使用生成式AI技術，來生成式3D素材，可供工業、娛樂和遊戲領域使用。</p> <p>PTC過去擅於透過併購策略來快速提高競爭力，例如，2014開始進軍物聯網市場後，短短2年就買下了6家公司，甚至在早之前的PLM產品Windchill到後來純雲PLM產品Arena都是透過併購取得，在AI技術發展上也是如此，將有可能透過併購方式來補強這方面的能力，為自家CAD產品的生成式設計帶來新的競爭力。</p> <h3><strong>SaaS新戰略</strong></h3> <p>今年，PTC的SaaS戰略則成為另一個關注的重點。大約3年前PTC開始全面將其產品銷售走向SaaS的訂閱模式。一些核心產品，如CAD產品Creo、或PLM產品Windchill，相繼推出訂閱方案，不再僅限於傳統購買模式，甚至還有推出純雲產品，如Windchill＋。近期一些收購新公司，如ServiceMax等，都以雲端SaaS產品為重點。</p> <p>今年大會上，PTC將揭露關於SaaS策略最新成果。不過，對於講求高度客製化的製造業而言，PTC挑戰SaaS模式走向標準化產品功能，對於現有製造用戶帶來的影響，值得觀察。</p> <p><strong>全面支援綠色工程設計的PLM產品</strong></p> <p>而與CAD關係密切的PLM產品，也是PTC另一個主力產品。PTC今年預告將有重大革新推出新一代PLM產品，僅管沒有透漏更多具體細節，但從這家公司近來多次強調綠色設計、永續議題的重要性，也表明這次產品更新中，綠色設計和永續設計，將會是一大重點。</p> <p>原本PTC在PLM產品中，就已經能夠支援碳足跡記錄，未來可能更一步擴大到產品生命週期各階段碳足跡資訊管理，讓企業可以從產品設計階段就考慮綠色設計的要求，並將永續納入產品設計的發展過程中。甚至可能有相對應ESG產品解決方案推出。此外，將強化品質和透明度處理，應對越來越複雜的生命周期產品設計及製造需求。</p> </div></div></div>
2023/5/15 17:05作者余至浩https://www.ithome.com.tw/news/156865
監守自盜還向老板勒索，Ubiquiti開發人員Nickolas Sharp被判刑6年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路設備製造商Ubiquiti的前開發人員Nickolas Sharp，因為竊取大量的公司機密資料，向老板勒索不成，還匿名向媒體謊稱Ubiquiti遭到駭客入侵，在坦承犯案之後，<a href="https://www.justice.gov/usao-sdny/pr/former-employee-technology-company-sentenced-six-years-prison-stealing-confidential" target="_blank">上周被美國法院判處6年徒刑</a>，並必須支付近160萬美元的賠償金額。</p> <p>Sharp在2018年8月至2021年4月間任職於Ubiquiti，擔任Ubiquiti的資深開發人員，因此擁有Ubiquiti在AWS與GitHub伺服器上的存取憑證，不過，他在2020年12月時便打算離職，開始去其它公司面試，當時Sharp即濫用其管理權限，開始自上述伺服器下載數GB的機密資料，同時竄改日誌保留政策與其它檔案來掩飾自己的足跡，包括修改Session檔案名稱，企圖嫁禍給同事。</p> <p>接著Sharp在2021年1月便向Ubiquiti勒索，宣稱自己是駭客，是透過Ubiquiti系統上的漏洞取得這些機密資料，要求老板支付50個比特幣（當時約價值190萬美元），以取得漏洞細節與被盜資料，在遭到拒絕之後，Sharp即對外公布了部分機密資訊。</p> <p>然而，Ubiquiti非但沒有支付贖金，還向執法機構報案，FBI探員在2021年3月找上了Sharp，扣押了Sharp所使用的許多電子裝置，包括他用來竊取資料的筆電，但Sharp企圖不斷地欺騙FBI探員，更在被懷疑之後匿名向媒體舉報Ubiquiti遭到駭客入侵，使得Ubiquiti的股價在短短的兩天內大跌20%，市值蒸發了40億美元。</p> <p class="rtecenter"><a href="https://krebsonsecurity.com/2022/08/final-thoughts-on-ubiquiti/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-Ubiquiti-krebs%20on%20security.png" style="width: 500px; height: 405px;" /></a></p> <p>調查顯示，Sharp是以自己的PayPal帳號購買了Surfshark VPN服務，以讓它看起來像是有人於公共IP上利用他的權限來存取檔案，但Sharp有一次不小心直接從家中IP連上了伺服器而露了餡。為了掩飾自己的罪行，Sharp亦多次向FBI探員說謊。</p> <p>37歲的Sharp被控傳輸程式至受保護的電腦上並故意造成損害、電信詐欺，及向FBI說謊，因而被處以6年的有期徒刑，並必須賠償159萬美元。</p> </div></div></div>
2023/5/15 16:13作者陳曉莉https://www.ithome.com.tw/news/156876
雲端配置錯誤10年，逾2百萬豐田汽車位置資料、影像曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本汽車龍頭豐田汽車（Toyota）再傳資安事件。<a href="https://company.toyotaconnected.co.jp/news/press/2023/0512/" target="_blank">豐田上周坦承</a>雲端服務配置錯誤將近10年期間，超過200萬輛車子位置資訊公開在網路上，車上攝影機拍攝的影像也曝險了將近7年。</p> <p>根據豐田汽車公開資訊，這起事件出於其雲端環境錯誤設定，造成豐田儲存的客戶車輛資訊可由外部存取一段時間。豐田汽車已經採取措施阻斷存取管道。</p> <p>受到影響的車主包括T-Connect、G-Link、G-Link Lite及G-Book，總數約215萬人。他們的車載設備ID、車身號碼（Vehicle Identification Number，VIN）及車輛位置從2013年11月6日到2023年4月17日期間可由外部網路存取。此外，豐田企業服務收集行車記錄器拍攝的車外影像也可能被外人讀取，時間橫跨2016年11月14日到2023年4月4日。至於受害車主分布哪些國家則不得而知。</p> <p class="rtecenter"><a href="http://company.toyotaconnected.co.jp/news/press/2023/0512/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-toyota%20data%20leak%202013~2023-2.png" style="width: 600px;" /></a></p> <p>豐田表示，這起事件主要原因在於對員工的資料處理政策說明不夠徹底。該公司承諾將再強化員工教育，同時引入雲端配置審核系統，並建立持續監控雲環境配置的機制。</p> <p>但豐田表示，該公司對客戶識別，並非僅依賴這些已公開的資訊。他們也尚未發現有人在網路上二次使用客戶資訊、在別處留下這些資訊或是任何資料濫用情形。</p> <p>這是兩年來這家日本汽車大廠第三次資料外洩。<a href="https://www.ithome.com.tw/news/153565" target="_blank">去年10月豐田汽車不慎把T-Connect服務金鑰公開在GitHub上</a>，導致3萬名車主郵件帳號外洩。<a href="https://www.ithome.com.tw/news/155432" target="_blank">今年2月一名研究人員發現豐田汽車的全球供應商管理平臺漏洞</a>，只要輸入可預測規則的員工郵件帳號，即能登入取得資訊。</p> </div></div></div>
2023/5/15 14:17作者林妍溱https://www.ithome.com.tw/news/156874
推特找到新CEO，馬斯克將轉任CTO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在接手推特（Twitter）近10個月後，馬斯克（Elon Musk）終於找到繼任其執行長位置的人選，未來他將轉任技術長，專注產品開發及管理系統維運部門。</p> <p><a href="https://twitter.com/elonmusk/status/1657050349608501249" target="_blank">馬斯克上周五宣布</a>找到新任X公司（即推特）的CEO，Linda Yaccarino，她將在6周後上任，此後馬斯克的角色將轉為執行董事暨技術長（CTO），監管產品、軟體和系統維運。</p> <p>馬斯克去年10月買下推特後，在一個月期間大舉裁員並祭出新式付費身分驗證服務引發混亂。馬斯克12月針對其粉絲進行的投票顯示過半的人希望他下臺，<a href="https://www.ithome.com.tw/news/154831" target="_blank">馬斯克也承諾</a>一旦找到繼任人選他就會下臺。但這個時間比馬斯克原本預期的2023年底提早許多。</p> <p>Yaccarino之前是NBCUniversal廣告業務及客戶合作主管，也曾執掌過有線電視娛樂與數位廣告業務。<a href="https://www.cbc.ca/news/business/twitter-new-ceo-1.6841431" target="_blank">根據加拿大媒體CBC報導</a>，她在NBC任職12年的生涯中，其團隊創造超過千億美元廣告營收。Yaccarino已在周五向媒體證實從NBCUniversal離職。</p> <p>加入推特後，Yaccarino的主要工作是主持業務營運，馬斯克表示，期待她將推特轉變成X公司。馬斯克也持續推動將推特私有化的目標；<a href="https://www.ithome.com.tw/news/156393" target="_blank">4月間一份文件顯示</a>，推特已經合併到馬斯克的未上市公司X Corp公司中，名義上已不存在。</p> <p>馬斯克終於實踐其承諾，但推特能否重新抓住用戶的心則有待時間觀察。有人擔心，以Yaccarino廣告人身分帶領推特來判斷，推特恐怕將喪失眾聲喧嘩、言論百花齊放的獨特性，但<a href="https://twitter.com/elonmusk/status/1657106200075599874" target="_blank">馬斯克保證</a>他將不惜虧錢，致力確保言論自由。</p> <p>另一方面，欲取代推特的另類服務已經出現。除了由德國人Egen Rochko開發的使用ActivityPub協定的去中心化微型部落格Mastodon外，推特創辦人Jack Dorsey也開發了去中化社群平臺App BlueSky。這款App已在2月及4月分別推出iOS及Android版本。<a href="https://edition.cnn.com/2023/04/28/tech/bluesky-social/index.html" target="_blank">根據分析機構data.ai估計</a>，截至4月底Bluesky的iOS及Android App下載量，已分別達到37.5萬及10萬次。</p> </div></div></div>
2023/5/15 14:07作者林妍溱https://www.ithome.com.tw/news/156873
從推薦處理切入AI運算市場，國產廠商推出ASIC架構加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/chuang_xin_zhi_hui_recaccel_n3000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於大型語言模型ChatGPT今年走紅，再度掀起一波人工智慧應用風潮，除了促成許多軟體與服務層面的創新，各種可加速人工智慧處理的硬體運算技術，也受到各界熱烈關注。而身為全球半導體設計與製造重鎮的臺灣，不僅協助大型國際級廠商發展相關解決方案，也孕育出多家本土廠商加入這場世紀競局。</p> <p>而在今年4月初，開放式工程聯盟（MLCommons）公布的MLPerf Inference效能測試提報結果中，就有一家臺灣AI加速晶片廠商名列其中，那就是2019年成立的創鑫智慧（Neuchips）。</p> <p>事實上，在2020年10月MLCommons發表的Inference Datacenter v0.7效能測試結果，創鑫智慧就已提報，當時的系統組態採用FPGA晶片型態的RecAccel原形產品，鎖定開放原始碼的深度學習推薦模型（Deep Learning Recommendation Model，DLRM）AI應用情境，而在後續的Inference Datacenter v1.0、1.1、2.0，該公司提出的產品受測組態，改為FPGA加速板卡Terasic DE-10 Pro。</p> <p>到了今年4月的公布Inference Datacenter v3.0，創鑫智慧提交兩份產品效能測試結果，均搭配他們去年5月發表的ASIC晶片加速卡RecAccel N3000，其中一項測試是採用單張加速卡的配置，每秒可進行107,001次查詢，另一項測試則是擴充至8張加速卡，每秒可進行856,398次查詢，兩相對照之下，突顯這款產品可隨使用數量的增加，提供近100％幅度的運算效能線性擴展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Neuchips%20N3000-scalability.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/MLCOMMONS_Inference Datacenter 3_0-Neuchips 1 vs 8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLCOMMONS_Inference%20Datacenter%203_0-Neuchips%201%20vs%208.png" style="width: 400px;" /></a></p> <p>若基於上述這份效能測試結果，並以其中所列頂級資料中心GPU產品Nvidia H100的數據來比較，就DLRM推薦運算效能而言，搭配8張創鑫智慧RecAccel N3000的AMD二路（64核心CPU）伺服器，平均每1瓦電力每秒可查詢1060.05次（856,398次除以807.88瓦），搭配8張PCIe介面卡形式Nvidia H100的AMD二路（32核心CPU）伺服器，則是633.41次（1,501,100次除以2,369.85瓦），因此，N3000的每瓦推薦運算效能可達到H100的1.7倍。創鑫智慧表示，若改用另一款內建4顆RecAccel N3000晶片的加速卡來比較，可望將每瓦推薦運算效能領先幅度拉大，預估能達到H100的2.2倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Neuchips%20N3000-MLPerf%203_0.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MLCOMMONS_Inference%20Datacenter%203_0-Neuchips%20vs%20H100.png" style="width: 419px;" /></p> <p>RecAccel N3000為何會有亮眼的能源使用效率？創鑫智慧僅簡單表示，因為這當中使用了INT8整數運算校準器，但僅僅只是這個原因嗎？</p> <p>回顧去年該公司發表這款加速晶片的相關消息當中，我們可以看到還有其他技術優勢。例如，5月宣布推出RecAccel N3000時，他們提到這是一款首款專為深度學習推薦模型處理加速所設計的ASIC晶片，導入台積電7奈米製程，並將基於搭配這款晶片的雙M.2模組產品，針對遵循開放運算平臺（OCP）規格的伺服器，提供RecAccel N3000 Inference平臺，以及推出採用PCIe 5.0介面的加速卡，以安裝在資料中心的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RecAccel N3000 forms.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20N3000%20forms.jpg" style="width: 600px;" /></a></p> <p>而在發展AI硬體架構與持續改良DLRM運算效能的同時，他們也在軟體層面進行共同設計，提供可廣泛應用的最佳化軟體堆疊架構，實現高精準的運算、硬體資源與能源利用率的目標。</p> <p>在AI推薦模型的部分，RecAccel N3000不僅支援DLRM，也支援WND（Wide & Deep）、DCN（Deep and Cross Network）、NCF（Neural Collaborative Filtering），而在安全性的部分，它也內建硬體信任根（RoT），可強化本身的保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Neuchips N3000-System.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Neuchips%20N3000-System.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Neuchips N3000-Deploy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Neuchips%20N3000-Deploy.jpg" style="width: 600px;" /></a></p> <p>以精準度而言，他們發展出獨特的8位元協同運算技術，可結合量化處理、校準、硬體支援，將FP32運算的精度提升至99.95%；晶片內建專屬的多層感知器（Multilayer Perceptron，MLP）運算引擎，能在引擎層級提供立即可達到的能源使用效率，並且能在系統單晶片層級，實現每個推論處理只需1毫焦耳能量的理想。</p> <p>在記憶體的存取方式上，創鑫智慧也開發出專屬的嵌入式引擎，具有新型快取設計與DRAM流量最佳化功能，能針對LPDDR5記憶體，減少50％存取需求，將記憶體頻寬利用率提升30％。</p> <p>到了6月，創鑫智慧宣布RecAccel N3000進入投片生產階段，進一步揭露這款晶片組成與軟體堆疊架構。</p> <p>以運算引擎而言，當中分成嵌入型引擎、特徵互動（Feature-cross，FX）引擎，以及矩陣乘法引擎。其中的嵌入型引擎，針對目標是上述的記憶體存取效率，能大幅減少晶片以外的記憶體存取需求；特徵互動引擎則是指支援多種AI推薦模型的處理，可涵蓋DLRM、WND、DCN、NCF；至於矩陣乘法引擎，RecAccel N3000內建10個動態多層感知器運算引擎（Dynamic MLP Engine），而相關配置也是節省耗電量，以及有效率處理寬鬆矩陣運算的關鍵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RecAccel Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20Arch.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RecAccel Arch2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20Arch2.jpg" style="width: 600px;" /></a></p> <p>關於軟體堆疊方面，創鑫智慧揭露軟體開發套件將包含編譯器、執行時期元件，以及工具鏈，他們表示，當中將支援大模型分割、橫跨多顆晶片或加速運算卡的運算方式，能在每一顆晶片執行多個更小型的推論處理工作。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/RecAccel sdk.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20sdk.jpg" style="width: 600px;" /></a></p> <p>而在資料型別的使用上，創鑫智慧發展出新的8位元計數格式，稱為彈性浮點（Flexible Floating Point，FFP8），能促使晶片電路隨著AI模型的差異而調適，以此實現高精度的運算。除此之外，由於AI訓練皆採用32位元，所以大家能使用32位元來執行推論處理，若改用8位元來計算，耗電量可縮減至16分之1，但過往業界總是必須在精準度與運算效率之間做出抉擇，他們認為可透過FFP8，實踐更多的運算精準度，也能兼顧節約能源的需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20ffp8.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20ffp8-2.jpg" style="width: 600px;" /></p> <p>到了9月初，在電子設計自動化（EDA）公司Synopsys舉行的ARC Processor Summit 2022大會期間，創鑫智慧公開更多RecAccel N3000的規格與技術架構細節，例如，晶粒內建160 MB的SRAM記憶體，搭配的LPDDR5記憶體可配置為4個64 GB、內建線上錯誤修正處理（ECC），PCIe介面可支援3.0、4.0、5.0，最大可提供16個通道。</p> <p>而且，他們也表明當中採用Synopsys旗下的多組矽晶片智慧財產，像是RecAccel N3000內建的處理器當中，結合了Synopsys的ARC EV72處理器，作為數位訊號處理器（DSP）與支援浮點運算處理；而在介面方面，這裡搭配Synopsys的進階高效能匯流排與周邊匯流排（AMBA）、LPDDR5、PCIe等智慧財產；在記憶體方面，搭配Synopsys Memory Compilers，可獲得進階電源管理功能；硬體安全方面，搭配Synopsys Hardware Secure Modules，而能具備硬體信任根，確保系統開機程式碼受到保護，也能執行裝置驗證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RecAccel%20Processor.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>創鑫智慧RecAccel N3000<br /> ●原廠：創鑫智慧<br /> ●建議售價：廠商未提供<br /> ●I/O介面：PCIe 5.0 x8<br /> ●外形：搭配單顆N3000的全高全長PCIe介面卡、搭配雙M.2款式、搭配4顆RecAccel N3000的PCIe介面卡<br /> ●運算晶片：台積電7奈米製程ASIC，內建10個DME運算引擎、2個FX引擎、1個嵌入式引擎<br /> ●運算引擎之間頻寬：1.6 Tb/s<br /> ●搭配記憶體：單顆N3000搭配32 GB LPDDR5-6400（每顆ASIC內建160 MB SRAM）<br /> ●運算效能：INT8為256 TOPS，FP16為64 FLOPS<br /> ●耗電量：PCIe 4.0介面卡最大為300瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/5/15 12:56作者李宗翰https://www.ithome.com.tw/review/156848
【資安週報】2023年5月8日到5月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周漏洞利用消息中，共有8漏洞需特別關注，其中2個要優先注意的是，微軟本月例行性安全性更新所修補的Win32k權限提升漏洞CVE-2023-29336，以及Ruckus Wireless修補旗下多款路由器產品的CSRF與RCE漏洞CVE-2023-25717，還有6個本周尚未提及，屬於早年修補的已知漏洞，分別是Red Hat Polkit<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-3560">（CVE-2021-3560）</a>、Linux kernel（<a href="https://nvd.nist.gov/vuln/detail/CVE-2014-0196">CVE-2014-0196</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2010-3904">CVE-2010-3904</a>）、Jenkins UI（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2015-5317</a>）、Oracle Java SE與JRockit（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2016-3427</a>）、Apache Tomcat（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-8735">CVE-2016-8735</a>）。</p> <p>在威脅焦點新聞事件與趨勢方面，以微星3月遭駭事件波及Intel開機安全機制BootGuard最受矚目，以及工控資安業者Dragos揭露自身遭勒索軟體意圖攻擊但未被得逞的狀況，還有自從勒索軟體Babuk原始碼遭公布後，有研究人員發現，近期不少針對勒索組織因為自身不擅長在Linux平臺開發惡意程式，而選擇使用現有的原始碼加以修改。</p> <p>在國內方面，iThome主辦的2023 CYBERSEC臺灣資安大會於本周舉行，今年持續有多位世界知名資安領袖與專家在臺發表主題演說，提供國內產業更多最新資安動態，包括美國前國土安全部長Janet Napolitano、Google威脅分析小組（TAG）負責人Shane Huntley、Cyber Defense Matrix發明人Sounil Yu，以及趨勢科技首席技術策略長David Chow、Fortinet資安策略長Derek Manky等，以及現場共有二百多場演講的專業資安會議，加上大會活動現場的資安展覽與Cyber Talent資安人才展區，整場共吸引超過1萬8千人參與，再創歷年之最。同時，iThome 2023資安大調查也在本周出爐，揭露來自國內兩千大企業最新調查的資安災情、資安投資動向。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156782"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月8日】付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請</span></strong></a></h3> <p>大型語言模型ChatGPT吸引了網路罪犯的目光，駭客爭相取得付費帳號，試圖將其用於攻擊行動，但最近有資安業者揭露「無限試用」的手法，起因是OpenAI在提供試用服務的過程中，雖然要求使用者必須登記沒有註冊該服務的電話號碼與電子郵件信箱，但因為驗證電話號碼的流程瑕疵，而能讓攻擊者只需透過一組電話號碼，就能不斷申請試用ChatGPT付費服務。</p> <p>Fortinet近期發布了5月份的例行更新，當中針對FortiADC、FortiOS、FortiProxy修補了高風險漏洞而相當值得留意，IT人員應儘速套用相關修補程式。</p> <p>在今天的資安新聞裡，有2則遠端終端裝置（RTU）的漏洞修補資訊，這些RTU設備往往會用於關鍵基礎設施（CI），相關漏洞帶來的影響可能會相當廣泛。</p> <h3><a href="https://www.ithome.com.tw/news/156783"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月9日】安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因素驗證碼</span></strong></a></h3> <p>安卓惡意程式的攻擊行動變得相當頻繁，不時有時故傳出，但大部分都是以提供各式實用工具（如修圖、手電筒App），或是假冒多個銀行的App來發動攻擊。而最近名為FluHoruse的惡意軟體相當特別，目前研究人員發現駭客只針對了3款App的使用者下手（其中一款尚未找到被假冒的應用程式），值得留意的是，其中一個目標，就是與我國高速公路用路人有關的遠通電收App。</p> <p>針對臺灣高科技廠商的攻擊行動後續發展也值得留意。勒索軟體Money Message聲稱從臺灣電腦大廠微星竊得1.5 TB資料，索討贖金不成後將資料公開，結果有研究人員發現，這些外流的資料很可能波及各家採用Intel處理器的電腦。</p> <p>在攻擊行動之外，詐騙在臺灣極為猖獗的現象，也引起政府重視。近日臺灣高等檢察署查緝詐欺及資通犯罪督導中心正式揭牌，行政院長陳建仁致詞時提出政府將從4大面向來打擊詐騙。</p> <h3><a href="https://www.ithome.com.tw/news/156810"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</span></strong></a></h3> <p>9日多家廠商發布5月份例行修補，包含微軟、Adobe等軟體業者，以及西門子、施耐德電機等OT設備業者，其中最值得留意是微軟發出的公告，因為當中修補的零時差漏洞CVE-2023-29336、CVE-2023-24932已出現攻擊行動，不過，微軟並未透露更多細節，但<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2023-patch-tuesday-fixes-3-zero-days-38-flaws/">資安新聞網站Bleeping Computer指出</a>，駭客可能利用CVE-2023-24932部署名為BlackLotus的UEFI bootkit。</p> <p>本周推特傳出先前可能發生資安事故，因為有用戶於4月發生私密圈訊息服務Twitter Circle功能失效的情況，直到最近推特終於證實確有此事，並指出是該服務發生資安事故導致。但該公司並未透露有多少用戶受到影響。</p> <p>殭屍網路針對無線網路系統而來的攻擊行動，也值得留意。有研究人員揭露殭屍網路AndoryuBot的攻擊行動，駭客利用了2月修補的重大漏洞CVE-2023-25717，來攻擊無線網路管理系統Ruckus Wireless Admin，一旦得逞，很有可能整個無線網路環境都會遭到駭客擺布。</p> <h3><a href="https://www.ithome.com.tw/news/156830"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</span></strong></a></h3> <p>員工就職的流程竟成為駭客意圖入侵資安業者的管道！資安業者Dragos證實近日遭到使用勒索軟體的駭客組織攻擊，駭客假冒尚未就職的員工，通過相關流程並取得部分存取權限，所幸該公司察覺異狀採取行動而沒有成功。但離譜的是，駭客事後竟向其高階主管開口索討贖金，揚言不付錢就會對其家人不利。</p> <p>WordPress網站的外掛程式漏洞也相當值得留意，有資安業者揭露外掛程式Advanced Custom Fields的漏洞CVE-2023-30777，並指出至少7成網站曝險，呼籲網站管理者要儘速處理。</p> <h3><a href="https://www.ithome.com.tw/news/156850"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月12日】2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一</span></strong></a></h3> <p>臺灣常年處於周邊國家威嚇的情況，還有經濟導向駭客的威脅，企業遭遇資安事故不時傳出，但究竟有多嚴重？iThome於5月11日公布2023年資安大調查結果，有23.4%企業2022年遭遇超過50次資安事件，換言之，這些企業平均每週就要遇到一次。如此險峻的情勢，也使得各個產業都在今年增加相關預算，其中又以醫療業的成長幅度最大。</p> <p>由於臺海情勢日益緊張，為期已超過1年以上的烏克蘭戰爭引發網路攻擊加劇，也非常值得我國借鏡。Google威脅分析小組（TAG）於臺灣資安大會上，公布俄羅斯對於烏克蘭、北約國家這1年來網路攻擊態勢，指出開始進行軍事行動之後，俄羅斯駭客的網路攻擊行動翻倍成長。</p> <p>竊資軟體的攻擊行動最近也出現新手法，大家需提高警覺。有資安業者揭露竊資軟體Aurora的攻擊行動，但特別的是，駭客偽造了人們熟悉的Windows Update更新畫面，引誘使用者依照指示下載惡意程式。</p> <p> </p> </div></div></div>
2023/5/15 11:40作者羅正漢https://www.ithome.com.tw/news/156852
Brave推出Forgetful Browsing功能以清除第一方資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brave.com/privacy-updates/25-forgetful-browsing/" target="_blank">隱私瀏覽器Brave上周發表</a>了全新的健忘瀏覽（Forgetful Browsing）功能，這是針對第一方（使用者所造訪的網站）的隱私保護設計，使用者可以將它設為預設值，或是針對特定網站進行設定，只要一關閉所造訪的網站，Brave便會清除該站所存放的Cookie或其它資料。</p> <p>全球網站自1994年便開始利用Cookie來記錄使用者，可在使用者以瀏覽器造訪網站時，於使用者端建立Cookie，以儲存使用者所輸入的資料或是使用者的瀏覽紀錄，並在使用者下次造訪時，直接帶入歷史資料，此一模式稱為第一方Cookie；而使用者所造訪網站上出現的廣告，亦能建立Cookie，可存放使用者於該站的停留時間、所點選的連結、所瀏覽的頁面或路徑，同樣可用來識別使用者並遞送目標式廣告，由於這些廣告並非使用者造訪網站的目的，而被稱為第三方Cookie。</p> <p>Brave隱私工程副總裁Peter Snyder表示，大多數的網頁瀏覽器已開始認真對待第三方Cookie追蹤，使得這些第三方或廣告業者轉而透過第一方儲存來追蹤使用者。</p> <p>這些第三方也許是透過網站追蹤工具、行動程式、社交媒體，或者是建立一個網站來吸引使用者註冊及參加比賽，以讓自己成為第一方，順理成章地記錄使用者。甚至有行銷專家大力推廣此一方法，推崇它不僅比購買第三方資料的成本還要低，而且更為精確。</p> <p>於是乎，Brave也把保護使用者的任務從阻止第三方Cookie，延伸到避免受到第一方Cookie的追蹤。</p> <p>Snyder指出，現階段許多瀏覽器的預設值，都是允許網站可無限期地重新辨識使用者身分，而Forgetful Browsing即可解決此事，啟用該功能之後，Brave即可在使用者關閉所造訪的網站之後的幾秒內自動登出，並清除所有的第一方Cookie與資料，使用者可直接把Forgetful Browsing設為Brave瀏覽器的預設值，或是僅針對特定網站啟用它。由於該功能可以清除第一方網站所存放的Cookie，因此它可阻止網站重新辨識使用者的身分，也能繞過某些網站的閱讀數量限制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-brave%20browser-Forgetful%20Browsing.png" style="width: 586px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Brave</span></span></p> <p>Forgetful Browsing的功能聽起來很像其它瀏覽器所提供的「無痕模式」（Incognito Mode），但Snyder舉例，若Sam在example.com郵件服務上同時註冊了兩個帳號，卻不想讓供應商知道這兩個帳號屬於同一人，或許可以在造訪其中一個時啟用無痕模式，缺點是Sam只要有一次忘了以無痕模式登入，供應商就會永遠知道它們之間所有連結。</p> <p>總之，Brave標榜Forgetful Browsing功能優於無痕模式、擴充套件，或是清除所有紀錄等方法，即將現身於桌面版Brave 1.53及Android版Brave 1.54。</p> </div></div></div>
2023/5/15 11:49作者陳曉莉https://www.ithome.com.tw/news/156869
AI趨勢周報第215期：Google新模型PaLM 2驅動了哪些新服務？盤點I/O大會LLM新進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0505～0511)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PaLM 2 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google新模型PaLM 2驅動了哪些新服務？盤點I/O大會LLM新進展</strong></span></p> <p>Google在今年度I/O技術大會上揭露新版大型語言模型<a href="https://blog.google/technology/ai/google-palm-2-ai-large-language-model/">PaLM 2</a>，並用這個模型來驅動近25款新功能和服務。PaLM 2用大量的網路文件、書籍、程式碼、數學問題和對話訓練而成，所學習的語言超過100種，功能比第一代更強大，比如它能看懂Fortran這類老舊的程式碼，不僅能改程式，還能用任何語言附上程式的技術文件。</p> <p>Google也用PaLM 2來驅動許多新功能和服務，比如Google搜尋的生成式體驗功能，可快速根據使用者輸入的搜尋關鍵字，來摘要相關資訊，給使用者參考。此外，PaLM 2也用來驅動Duet AI功能，也就是Google辦公工具中的AI功能，如Gmail的輔助撰寫功能，使用者下提示就能讓AI給出建議內容。另，PaLM 2也用於聊天機器人Bard，來優化其程式碼處理、翻譯和推理的能力。同時，Bard也新添日語和韓文，Bard目前也正式對大眾開放。</p> <p>不只如此，Google也打造一款PaLM 2的衍生模型Codey，並用於最新的<a href="https://android-developers.googleblog.com/2023/05/android-studio-io-23-announcing-studio-bot.html">Android Studio Hedgehog程式碼開發助理Studio Bot</a>，來提供程式碼編寫協助、查詢相關資源。PaLM 2有多種版本，其輕量版在手機上就能執行，還有一種是針對醫學用途的版本<a href="https://youtu.be/k_-Z_TkHMqA">Med-PaLM 2</a>，可回答、整理醫學相關問題。另一方面，Google也正訓練新一代LLM，這款模型名為Gemini（雙子座），可執行多模態任務。<a href="https://blog.google/technology/ai/google-responsible-ai-io-2023/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/dVsiusLQy5Q?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D物件 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>文字生成圖像還不夠，OpenAI開源3D物件生成模型</strong></span></p> <p>這兩年生成式AI風生水起，大多仍鎖定文字生成文字或圖像，但OpenAI最近嘗試新領域，打造並開源一款3D物件生成模型Shap-E，可根據文字輸入，來產出3D物件。雖然Shap-E產出的3D物件較粗糙，但它與其他只產出單一表徵的3D物件生成模型不同，可直接生成隱式函數的參數，這些參數可用單一文字提示，來渲染出紋理網格和神經輻射場（NeRF）。</p> <p>OpenAI用2階段來訓練Shap-E，首先，他們先訓練一個編碼器，來將3D資產映射到隱性函數的參數。接著，團隊用編碼器的輸出值，來訓練一個條件式擴散模型。團隊表示，用大型的3D物件-文字資料集來訓練模型，就可在短短幾秒內生成外型複雜的3D物件。</p> <p>OpenAI表示，與自家先前打造的3D物件生成模型相比Point-E，Shap-E還有個特點，就是即便用更高維度、多表徵空間來對Shap-E建模，它卻能更快生成品質更好的3D物件。不過，除了生成的3D物件偏像素化、看起來粗糙，Shap-E還有個限制，就是只能根據單一物件提示和簡單的屬性產出3D物件，這是團隊有待進步的空間。<a href="https://github.com/openai/shap-e">（詳全文）</a></p> <p><img alt="" src="https://github.com/openai/shap-e/raw/main/samples/a_penguin/1.gif" /><img alt="" src="https://github.com/openai/shap-e/raw/main/samples/a_chair_that_looks_like_an_avocado/2.gif" /><img alt="" src="https://github.com/openai/shap-e/raw/main/samples/a_birthday_cupcake/3.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mojo </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Python </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI開發新語言Mojo速度可比Python快35,000倍</strong></span></p> <p>新創公司Modular AI發表新程式語言Mojo，號稱具備Python的可用性和C語言的高效能。而且，Mojo可直接存取AI運算硬體，運算效能大幅超越Python，甚至在執行特定演算法時，Mojo比Python快上35,000倍。</p> <p>Modular AI指出，Python雖是一個強大的語言，也支援各種AI研究，但可擴展性是最大缺點。Python難以用於大型工作負載，也無法在邊緣裝置中順暢執行，還是得靠C++和CUDA等其他語言。而Mojo建立在現代編譯技術上，具備類型設計，大幅增加程式執行速度，也能讓開發者定義零成本抽象，並擁有類似Rust語言的記憶體安全性。</p> <p>特別的是，Mojo還擁有自動調校和編譯時後設程式開發功能，可分別在程式編譯過程中自動最佳化程式效能，以及在程式編譯階段時，對自身結構和行爲進行調整，生成更高效的程式碼。此外，Mojo還能直接與AI硬體溝通，如存取執行緒、TensorCores和AMX擴充等低階硬體功能，速度比Python要快上許多。<a href="https://www.modular.com/mojo">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 司法院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 裁判書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>司法院用生成式AI打造裁判書自動生成工具</strong></span></p> <p>為減輕法官工作負擔，司法院開始用生成式AI來打造裁判書自動生成工具，來讓各法官使用。這是因為，司法院統計，刑事法官每月平均處理數十件案件，不只要開庭，還要花許多時間來寫裁判書。為此，司法院試用生成式AI打造裁判書生成工具，可針對酒駕、幫助詐欺、毒品案件等3種犯罪類型來產生，其中，前2種使用類似Google的T5模型，來訓練出一個通用的預訓練模型，再以此通用模型為基礎，在裁判書生成任務上進行模型微調；後者則參考GPT-2版本、運用多項自然語言處理（NLP）、演算法與知識圖譜等技術而開發。</p> <p>為訓練這些生成式模型，司法院用大量裁判書和檢察官起訴書作為訓練資料，讓這些模型來學習不同法官的寫作風格，同時理解法官判決書中各段落對應的關係。因此，以生成式AI模型產生的裁判書的草稿包含更多細節，例如起訴書的犯罪事實、判決理由等，這有助法官更快速地完成裁判書的撰寫。該工具預計年底前上線。<a href="https://www.ithome.com.tw/news/156693">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/9602zhi_hao_-cai_pan_-tu_1-tu_pian_lai_yuan_-si_fa_yuan_.jpg?itok=bm-22Gg5" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI可解釋性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI可解釋性新成果，OpenAI用GPT-4解釋語言模型行為</strong></span></p> <p>OpenAI用GPT-4大型語言模型來解釋大型語言模型神經元的行為，並對這些解釋進行評分，來評估解釋的品質。有別於仰賴研究者手動檢查模型神經元的傳統方法，OpenAI採用GPT-4來自動生成語言模型神經元的行為解釋，簡單來說可分為3步驟，首先是產生結石，也就是給定一個GPT-2神經元，來向GPT-4展示相關的文字序列和活躍情況，讓GPT-4生成解釋神經元行為的文字。</p> <p>第二步則是用GPT-4模擬神經元行為，來了解解釋中的神經元活躍原因。最後一步是比對、模擬和真實情況的差異，來對解釋評分，衡量解釋的可靠性和準確性。這項可解釋性研究，不只要讓用戶和開發者更了解AI運作的原理，也要讓研究者更理解模型的偏差與錯誤。不過OpenAI坦言，透過GPT-4自動生成並評分神經元行為的方法，對大模型的效果並不好；雖然目前許多解釋獲得分數都很低，但是OpenAI認為，未來模型解釋能力可再提高。<a href="https://openai.com/research/language-models-can-explain-neurons-in-language-models">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigCode </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼 </span></strong></span></p> <p><span style="font-size:22px;"><strong>BigCode發表效能超越初代Copilot的程式碼生成模型</strong></span></p> <p>開放科學協作組織BigCode最近釋出150億參數的大型語言模型StarCoderBase以及為Python調校的StarCoder模型，可自動寫完程式碼、根據指令修改程式碼，也能用自然語言解釋程式碼片段。這兩個模型都使用大量GitHub上授權的程式碼來訓練，是目前所有開放程式碼生成模型中效能最佳的模型，甚至超越GitHub Copilot初期版本所使用的OpenAI code-cushman-001模型。其中，StarCoderBase的訓練資料非常多樣，涵蓋80多種程式語言、Git提交、GitHub問題和Jupyter筆記本，共有1兆文字單位（Token）來讓模型學習。</p> <p>同時，BigCode也用350億個Python Token微調，產出StarCoder模型。StarCoder可處理的輸入量比其他大型語言模型要多，可接受高達8,000個Token，還支援更多樣的應用，如經過一系列對話指示，來讓StarCoder成為技術助理。經Python基準測試HumanEval評估，團隊發現，無論是StarCoderBase還是StarCoder，模型規模都較PaLM、LaMDA和LLaMA小得多，但是表現卻更好。<a href="https://drive.google.com/file/d/1cN-b9GnWtHzQRoE7M7gAEyivY0kl4BYs/view">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 廣告製作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta推出廣告製作測試中心AI Sandbox</strong></span></p> <p>Meta最近推出廣告製作測試中心AI Sandbox，可用來實驗各種廣告內容製作的功能與工具，包括運用生成式AI的廣告工具，像是文字變體、背景生成和圖像剪裁。其中，文字變體可用來產生不同版本的文字，來凸顯廣告文案的重點，廣告主可針對不同受眾提供不同訊息。背景生成則可用文字輸入來產生背景圖像，廣告主可快速嘗試不同背景。</p> <p>圖像剪裁功能可調整各種創意資產，來適應不同的廣告露出，如Stories或Reels。目前Meta只與少數廣告主共同測試AI Sandbox、蒐集意見，他們預計在7月開放更多的廣告主加入，也會增加AI Sandbox測試的功能。<a href="https://www.facebook.com/business/news/introducing-ai-sandbox-and-expanding-meta-advantage-suite">（詳全文）</a></p> <p><img alt="" src="https://lookaside.fbsbx.com/elementpath/media/?media_id=1201823420526781&version=1683905244" /></p> <p>圖片來源／Google、OpenAI、司法院、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google文字轉音樂AI工具MusicLM開放公測</strong></p> <p><strong>2. Google更新TensorFlow機器學習工具，簡化模型部署與訓練</strong></p> <p>資料來源：iThome整理，2023年5月</p> </div></div></div>
2023/5/14 08:57作者王若樸https://www.ithome.com.tw/news/156859
公私協力防堵，建立更全面的資安防護網
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對近乎無邊際的全球網路威脅，iThome持續報導資安領域的重要消息，在連續9年來舉辦的臺灣資安大會當中，也見證臺灣重視資訊安全的過程。總統蔡英文2016年就任後不久，推動「資安即國安」的國家資通安全策略，並於2018年下半公布內容，針對組織、法制、人才、產業等四大層面建立基礎，過程中，行政院資通安全辦公室升格為行政院資通安全處，國防部正式成立資通電軍指揮部，並推動國內自主資安產業的強化，以法源而言，政府訂定與實施資通安全管理法，也修正國家情報工作法、將資通電軍納入準情報體系。</p> <p>蔡總統第二任就職隔年上半，提出進階的「資安即國安2.0」，訂出三大目標：充實資安卓越人才、強化人民家園安全防護與鞏固資安外交網路防禦、促進產業繁榮發展，對應人才培育（People）、內外資安防護（Protection），以及促成臺灣資安產業昌盛（Prosperity），策略有5項，簡稱為TRUST，頭尾兩個T是Talent與Technology，對應人才與產業，前者著重培育資安卓越人才，建構聯合作戰機制，後者推動「產業落實資安、驅動資安產業」交互作用，至於TRUST中間的R、U、S，具體勾勒資安防禦作為，對應Resilience、Unity、Security等三大關鍵，具體而言，臺灣資安需做到下列幾件事：（1）提升防護韌性；（2）促進資安國際合作，建構國內外聯防體系；（3）發展精實防禦機制，打擊網路犯罪。</p> <p>然而，積極推行國家級的資安防護發展的同時，世界各國這幾年都面臨不法份子利用資通訊管道詐騙的活動日益猖獗，臺灣政府雖然持續因應，希望能遏止這類事件發生，然而，隨著受害狀況層出不窮，不僅止於網路電子商務平臺詐騙、假投資、解除分期付款詐欺，去年更有多位民眾被海外求職誘至外國（柬埔寨）從事非法詐騙，涉及擄人、限制自由、虐待等狀況，5月初臺灣政府也率先宣布祭出更強力手段，確保社會的信任。</p> <p>5月3日，臺灣高等檢察署「查緝詐欺及資通犯罪督導中心」正式揭牌，成立打擊電信網路詐欺犯罪的專責機關；5月4日，行政院頒布「新世代打擊詐欺策略行動綱領1.5版」，透過國家通訊傳播委員會、金融監督管理委員會、法務部、內政部等相關部會的執法與宣導，警政署及調查局也將成立北中南打詐工作站或防制中心，結合地方政府通力合作，運用公私協力推動各項防詐作為。</p> <p>而在細部分工上，行政院提出「識詐」、「堵詐」、「阻詐」、「懲詐」等4個面向。在識詐的作為上，內政部將帶領16個協辦機關，負責結合中央各部會與地方政府、各行業，進行全民識別詐騙的宣導；堵詐方面，通傳會將帶領5個協辦機關，與電信業進行合作，攔阻境外竄改來電詐騙及境外來電警示，數位發展部也將與電商平臺及物流業者推動電話隱碼服務，並建立政府公益簡訊專用代表門號，供相關機構發送宣導簡訊。</p> <p>關於阻詐，金管會將帶領8個協辦機關，為了提升金流安全與保障合法經歷，將持續推動申請約定轉帳加強防詐措施（臨櫃關懷提問、防詐警語提醒），數位部也將建立遊戲點數防詐鎖卡，以及防詐驗證等內控機制，並鼓勵民間投入研發數位防詐工具；在懲詐方式上，法務部將帶領6個協辦機關，推動詐欺犯罪行為的嚴懲、被害人的保護，並與其他主管部會機關合作，規畫查緝的策略與防制作為，強化行政監管作為。</p> <p>相關法令也將調整，例如，行政院提出的修正草案5月4日前通過立法院初審，涵蓋刑法、人口販運防制法、個人資料保護法、洗錢防制法、證券投資信託及顧問法，稱為「打詐五法」，針對深偽詐騙、私行拘禁、人口販運等詐欺，將加重罰則。不過，在公部門防堵資安威脅或預防詐騙之餘，民眾也必須強化識別惡意行為與自我防衛能力，兩相配合之下，才能更有效抵禦非法活動。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2023/5/14 23:28作者李宗翰https://www.ithome.com.tw/voice/156857
AI新典範的資安挑戰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1129-feng_mian_-open-dou_zi_-zi_an_da_diao_cha_-960x420_kao_bei_.jpg?itok=tCmrqsp6" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情雖然降級，數位轉型的馬拉松仍然繼續加速，烏克蘭戰爭掀起的新全球化局勢，也持續發威，企業資安的挑戰依舊嚴峻，但是，ChatGPT浪潮帶來的新AI典範，開始衝擊企業，也帶來新的資安課題，如何兼顧創新與安全，成了今年最大挑戰</p> </div></div></div>
2023/5/14 23:32作者王宏仁https://www.ithome.com.tw/article/156858
資深威脅研究人員解析專攻臺灣的Taidoor駭客組織，開發量能足以維持12個獨立惡意程式家族
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個活躍至少15年的大型對臺駭客組織，到底是什麼來頭，量能有多強？發表過BlackTech 、Taidoor和APT10等攻擊團體研究的趨勢科技資深威脅研究人員CH Lei，於資安大會中解析駭客組織Taidoor的背景及常見攻擊手法。</p> <p><strong>低調、長壽且資源雄厚的駭客組織，手握12支獨有後門程式</strong></p> <p>Taidoor又稱Earth Aughisky或直譯為臺門，是相當神秘的駭客組織，只會低調蒐集情報，不公開攻擊對象。目前對Taidoor的認識，都來自於各方資安機構對他們活動紀錄的分析。CH表示，目前Taidoor活動紀錄可追溯到2007年，不過當時攻擊活動就已經非常成熟，因此推測成立時間遠遠早於2007年。即使從2007年開始算，此組織也活躍了超過15年，是少數相當長壽的駭客組織。</p> <p>根據美國網路安全暨基礎設施安全局（CISA）報告，Taidoor是一個受到中國政府支持的駭客團體，後續各方機構研究下，進一步推測基地設於福建省福州市。Taidoor高達9成攻擊活動針對臺灣，這之中約6成攻打政府單位，其餘4成則涵蓋通訊、製造、重工業、科技業、交通運輸業、醫療業等產業。2017年起，該組織對開始將攻擊範圍擴及日本，對臺攻勢雖未完全消退，但稍微趨緩。</p> <p>Taidoor的資源跟開發量能還相當雄厚，光是已知獨有後門程式──自行開發且未與其他駭客組織分享的程式──便多達12個家族。「想像一個軟體公司，可以維持12條以上軟體產線，他們資源就是這麼多。」CH說，Taidoor一旦攻擊成功，都會造成大範圍汙染，難以根除所有後門，因此如果懷疑自己遭到該組織攻擊，應盡快蒐集入侵管道跟時間、盤點攻擊者可存取資源及權限，並視情況尋找專業的Incident Response團隊協助。</p> <p><strong>入侵手段層次豐富且多變，難以用自動化分析工具排除</strong></p> <p>CH表示，Taidoor在不同攻擊階段會利用不同後門程式家族，逐步滲透並控制受害者環境。初始入侵階段，他們會將肉蛋（業界常稱為Taidoor）跟Taikite兩種後門，夾入Exploit document大量傳送給受害者。由於大量發送，資安廠商對這兩個家族的後門程式也取得了不少樣本來分析。不過，CH說，這對Taidoor來說不痛不癢，「因為這兩種後門本就被當作棄子來使用。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83_230512.jpg" style="width: 600px;" /></p> <blockquote><p>Taidoor已知獨有後門至少有12種，依照攻擊階段使用不同後門程式家族。圖─郭又華攝</p> </blockquote> <p>進入受害者環境後，Taidoor會切換到其他後門程式，用於長期控制。Taleret家族後門的特色是，有時會把中繼站設定加密後，藏於公開部落格文章，需要時聯繫中繼站時再去解析。這與編寫在後門程式本身或系統文件裡面的常見做法不同，資安人員若只偵查受害裝置，就會找不到中繼站設定。</p> <p>Kuangdao（狂刀）後門家族則是支援HTTP跟TCP層的協定，因此只看HTTP層通訊的偵測工具，有可能抓不到狂刀活動。另一個特別之處是，狂刀每次回連到中繼站時，會等到中繼站發出安全訊號，才會繼續回傳受害者資訊等動作。「這代表自動化分析工具很難抓到狂刀網路活動。」CH說。</p> <p>長期控制階段，有一類後門程式家族，Taidoor只會安裝於少量重要的單位環境中，以降低資安廠商取得樣本的機會。其中一款是Buxzop，會用Dropbox API來進行C&C通訊，因此監控網路流量時，受害者只會看到一直有人呼叫Dropbox API，不會看到其他可疑的IP或網域活動。</p> <p>另一款GrubbyRAT後門，特別之處在於安裝方法。攻擊者仔細調查完受害者環境後，才會手動置入此後門，因此通常混於特定電腦的既有程式中，而非常見的Temp或User Profile等資料夾。這樣一來，便會非常難查找後門所在</p> </div></div></div>
2023/5/14 17:25作者郭又華https://www.ithome.com.tw/news/156849
導入RDNA 3、支援DP 2.1，AMD推出首款小晶片設計工作站級GPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_radeon_pro_w7900_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在專業繪圖加速卡的市場，AMD長期面臨陣容龐大、產品世代更新頻率相對較高的Nvidia與其競爭，去年8月之後，又出現新的追兵——英特爾發表Arc Pro A系列，正式跨入筆電與桌機工作站專業繪圖GPU領域，到了今年，AMD終於推出新一代專業繪圖加速卡Radeon PRO W7000系列，初期將提供W7900與W7800等兩種款式，預計第二季開始在電商或實體零售廠商販賣，下半年透過OEM與系統整合商的系統來供應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20Pro%20W7000%20overview.jpg" style="width: 600px;" /></p> <p>相較於2021年發表的Radeon PRO W6000系列，採用AMD RDNA 2架構與台積電7奈米FinFET製程，W7000系列採用新一代架構：AMD RDNA 3架構，以及進階的小晶片（Chiplet）設計，當中包含1顆導入台積電5奈米製程的圖形運算晶粒（Graphics Compute Die，GCD），提供核心的GPU功能，以及6顆導入台積電6奈米製程的記憶體快取晶粒（Memory Cache Die，MCD），每顆MCD均配備第二代AMD Infinity Cache技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon Pro W7000 Chiplet.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20Pro%20W7000%20Chiplet.jpg" style="width: 600px;" /></a></p> <p>在RDNA 3架構當中，AMD提供新的運算單元，能在執行著色、人工智慧、光線追蹤等處理時，共享運算資源，可將每顆電晶體的使用效益發揮到最大程度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA1-2-3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD RDNA3-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA3-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD RDNA3-SP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA3-SP.jpg" style="width: 298px;" /></a></p> <p>同時，這一代的RDNA架構也配置專屬AI加速器，以及第二代光線追蹤加速器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD RDNA3-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA3-4.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD RDNA3-RT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA3-RT.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD RDNA3-Display Engine2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA3-Display%20Engine2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD RDNA3-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RDNA3-6.jpg" style="width: 298px;" /></a></p> <p>以前者而言，在執行Bfloat16計算時，若以採用RDNA 2架構的前代產品W6800為基準，最新發表的W7900受益於新增AI指令與AI吞吐量提升等特色，可提供2.7倍的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Pro%20Chiplet%20GPU.jpg" style="width: 600px;" /></p> <p>至於後者，根據該公司效能實驗室的內部測試，在間接調用光線的視覺畫面追蹤運算應用上，以採用RDNA 2架構的W6800為基準，採用RDNA 3架構的W7900，在每個運算單元的效能領先幅度超過50％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20Pro%20W7000%20improvement.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20W7900%20Perform%20Improvement.jpg" style="width: 600px;" /></p> <p>而在創新設計的部分，AMD強調，Radeon PRO W7000系列是第一批使用小晶片設計的工作站級GPU，比起前代產品，可提供更高效能與能源效率。</p> <p>AMD也公布兩款GPU的運算效能規格。以W7900而言，FP32單精度浮點運算尖峰效能為61 TFLOPS，W7800則為45 TFLOPS，若以SPECviewperf 2020來測試，W7900可達到前代產品的1.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon Pro W7900 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20Pro%20W7900%20overview.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon Pro W7800 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20Pro%20W7800%20overview.jpg" style="width: 600px;" /></a></p> <p>除此之外，這系列產品率先支援新一代視訊連接埠規格DisplayPort 2.1，是市面上目前唯一提供此種介面的工作站級GPU產品。之所以能具備這樣的特色，得力於AMD在此內建了新顯示引擎，名為AMD Radiance Display Engine，可透過DisplayPort 2.1埠，支援UHBR20（20 Gbps）的影音傳輸速度，而在4條通道的配置之下，能達到77.4 Gbps的有效頻寬，以此提供更高的畫面更新率（8K120）、更精準的色彩呈現（8K60不壓縮，12位元HDR高動態範圍成像／687億種色彩輸出），以及更大的解析度（12K60）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20Pro%20W7000%20Display.jpg" style="width: 600px;" /></p> <p>相較之下，在現行GPU普遍採用的DisplayPort 1.4埠當中，支援HBR3（8.1 Gbps）的影音傳輸速度，而在4條通道的配置之下，能達到25.9 Gbps的有效頻寬，在畫面更新率、色彩呈現、解析度等規格當中，均可支援8K60的顯示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20Pro%20W7000%20Dispayport.jpg" style="width: 600px;" /></p> <p>而在多媒體視訊處理標準的部分，Radeon PRO W7000系列內建兩個編解碼引擎，可完整支援與加速AV1規格的視訊處理，也呼應近期上市GPU產品均主打這項特色的風潮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20RADIANCE%20DISPLAY%20ENGINE.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>AMD Radeon PRO W7900<br /> ●原廠：AMD<br /> ●建議售價：3,999美元<br /> ●連接介面：PCIe 4.0 x16<br /> ●外觀尺寸：三槽全高<br /> ●GPU架構：AMD RDNA 3<br /> ●串流處理器數量：6144個（96個運算單元）<br /> ●內建記憶體容量：48 GB GDDR6、96 MB快取（AMD Infinity Cache）<br /> ●記憶體頻寬：864 GB/s<br /> ●視訊連接埠：3個DisplayPort 2.1埠、1個Enhanced Mini-DisplayPort 2.1埠<br /> ●耗電量：295瓦<br /> ●支援繪圖處理API：DirectX 12 Ultimate、OpenGL 4.6、Vulkan 1.2<br /> ●支援運算處理API：OpenCL 2.2</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/5/14 11:56作者李宗翰https://www.ithome.com.tw/review/156523
MDN、web.dev推基線標籤，標記廣受瀏覽器支援的穩定網頁功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於網頁平臺功能繁雜，各家瀏覽器的支援程度不一，現在<a href="https://developer.mozilla.org/en-US/blog/baseline-unified-view-stable-web-features/#the_web_platform_baseline">MDN</a>、<a href="https://web.dev/baseline/">web.dev</a>網站提供基線（Baseline）標籤，標示出已經受主要瀏覽器普遍支援的功能，使開發者能夠有信心地開發，可在各瀏覽器良好運作的應用程式。</p> <p>而基線標籤的資訊，來自於W3C WebDX社群工作組所發展的<a href="https://github.com/web-platform-dx/feature-set">feature-set</a>，這是一組網頁通用功能列表與定義，提供對網頁平臺功能的統一描述，使網頁開發人員擁有共同的語言，能夠更清楚地討論網頁功能的可用性。</p> <p>Mozilla、Google、Apple等各WebDX社群工作組成員合作，創建網頁平臺功能列表和定義feature-set，該專案具體目標有三項，首先是創建用以描述網頁功能的功能定義，第二是生成基線支援資料，總結主要瀏覽器版本對網頁功能的可用性。</p> <p>最後則是發布web-features npm套件，將網頁平臺功能和基線狀態打包在一起，使得開發者可以了解和使用網頁平臺的功能，並且清楚這些功能在瀏覽器和各版本中的支援狀態，以更好地開發和最佳化網頁應用程式。</p> <p>目前網頁開發兩大重要網站MDN與web.dev，都開始著手支援基線標籤。Mozilla在MDN上使用該資料集，提供透明一致的資訊，呈現網頁平臺的基線（Baseline）支援，並計畫在接下來幾個月中，涵蓋所有相關功能。Google也將在web.dev的文章和函式庫描述加上基線標籤。</p> <p>可以被稱為網頁平臺基線的功能，至少要在兩個主要版本的核心瀏覽器集中受到原生支援，而核心瀏覽器集則是指Chrome、Edge、Firefox、Safari等常見的瀏覽器群組。因此被標記為基線的功能，代表該功能在大部分的瀏覽器環境都被支援，因此開發者可以安全地在網頁應用程式中使用，不用擔心相容性問題。</p> </div></div></div>
2023/5/12 23:44作者李建興https://www.ithome.com.tw/news/156854
Google更新TensorFlow機器學習工具，簡化模型部署與訓練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年的I/O大會，<a href="https://blog.tensorflow.org/2023/05/google-io-2023-whats-new-in-tensorflow-and-keras.html">發布數項TensorFlow與Keras深度學習工具更新</a>，重點包括可讓開發者能夠簡單存取預訓練模型的模組化函式庫，還推出可用於同步分散式模型運算的擴充套件DTensor，而藉由新的JAX2TF API，開發者便能夠在TensorFlow生態系中，使用JAX數值函式庫編寫的模型。</p> <p>模組化函式庫KerasCV與KerasNLP，可簡化電腦視覺和自然語言處理預訓練模型存取。這兩個新的模組化函式庫，讓開發者只要編寫幾行程式碼，就可在應用程式中整合圖像分類或是文字生成等機器學習功能。由於這兩個函式庫皆是Keras的一部分，而Keras在TensorFlow 2.0成為內建進階API，因此開發者能夠直接在TensorFlow中使用Keras，這也就代表KerasCV、KerasNLP與TensorFlow生態系可完全整合。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image5(10).png" style="width: 580px;" /></p> <p>TensorFlow擴充套件DTensor透過組合並微調多種平行技術，以支援更大且高效能的模型訓練。以往機器學習開發人員可以透過資料平行技術擴展模型，將資料拆分之後，供水平擴展的模型實例訓練使用，不過這種擴展訓練方法有一個嚴重的限制，即是要求模型在單個硬體裝置執行。</p> <p>但隨著模型越來越大，單一裝置的運算能力可能不足以處理龐大的模型，因此開發者開始需要將模型擴展到更多硬體裝置上執行。也就是說訓練龐大模型不僅需要資料平行性，還需要模型平行性，將模型分割成可以平行訓練的分片。</p> <p>而DTensor不只支援資料平行性，也提供模型平行性，透過結合這兩種技術，更有效地擴展模型，同時DTensor也不受加速器類型的限制，支援TPU、GPU等各種運算裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(27).png" style="width: 580px;" /></p> <p>Google也釋出輕量級API JAX2TF，來加速機器學習研究生產化的速度。Google開發的Python函式庫JAX被大量用於高效數值運算上，同時JAX也支援硬體加速，能夠在GPU或TPU上高速處理大型資料集和複雜運算，但要把JAX用於生產中仍不是一件直覺簡單的事。</p> <p>而JAX2TF API的出現，是要讓JAX能夠更簡單地進入TensorFlow生態系，使開發者可以將JAX模型部署到TensorFlow Serving伺服器或是TFLite裝置上，並在TensorFlow中繼續訓練JAX模型，甚至是將JAX模型和TensorFlow模型融合，以獲得更大的靈活性。</p> <p>除了以上更新，開發團隊也預告，他們即將推出TensorFlow量化API，該API將會是TensorFlow 2的原生量化工具，能夠在不影響模型品質的前提下，進一步縮小模型，並且提升模型執行速度。</p> </div></div></div>
2023/5/12 23:46作者李建興https://www.ithome.com.tw/news/156856
【資安日報】5月12日，2022年發生50起以上資安事故的臺灣企業比例上揚，接近四分之一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣常年處於周邊國家威嚇的情況，企業遭遇資安事故不時傳出，但究竟有多嚴重？iThome於5月11日公布2023年資安大調查結果，有23.4%企業2022年遭遇超過50次資安事件，換言之，這些企業平均每週就要遇到一次。如此險峻的情勢，也使得各個產業都在今年增加相關預算，其中又以醫療業的成長幅度最大。</p> <p>由於臺海情勢日益緊張，為期已超過1年以上的烏克蘭戰爭引發網路攻擊加劇，也非常值得我國借鏡。Google威脅分析小組（TAG）於臺灣資安大會上，公布俄羅斯對於烏克蘭、北約國家這1年來網路攻擊態勢，指出開始進行軍事行動之後，俄羅斯駭客的網路攻擊行動翻倍成長。</p> <p>竊資軟體的攻擊行動最近也出現新手法，大家需提高警覺。有資安業者揭露竊資軟體Aurora的攻擊行動，但特別的是，駭客偽造了人們熟悉的Windows Update更新畫面，引誘使用者依照指示下載惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/article/156844"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣近四分之一企業2022年遭遇50次重大資安事故</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1129-p3-over50.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-p3-over50.png" style="width: 300px; float: right;" /></a>去年資安事故頻傳，令人感到臺灣資安態勢變得更險峻，但實際情況又是如何？根據iThome於5月11日公布的資安大調查結果，平均有23.4%企業於2022年遭遇超過50次資安事件，相較於2021年的20.4%增加了3個百分點。其中，又以醫療業、服務業的比例最高，分別為26.7%及26.2%。</p> <p>而從各產業的資安事故數量來看，一年內平均發生17次重大資安事件，最嚴重的是服務業者，平均為18.8次，其次則是高科技製造業的17.3次。</p> <p><a href="https://www.ithome.com.tw/news/156827"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google在臺揭露烏克蘭戰爭背後的網路威脅態勢，有更多國家與個人也成目標，遠超傳統戰爭邊界</span></strong></a></p> <p>資安威脅加劇已成全球重大風險，而在2022年2月俄羅斯軍隊入侵烏克蘭後，衝突下所引發的網路威脅局勢變化，更是引發全球關注，對於多年飽受中國威嚇的臺灣而言，也希望從中學習到應對的訣竅。</p> <p>在2023臺灣資安大會上，追蹤全球200多個駭客組織的Google威脅分析小組（TAG）在臺分享1年來的發現。其中針對烏克蘭的網路攻擊行動裡，俄羅斯駭客早在軍事行動前夕加強網路攻擊，對於烏克蘭的攻擊數量較2020年增加2.5倍，而在軍事衝突發生後，研究人員更是觀察到過往未曾出現的破壞性惡意軟體攻擊。</p> <p>此外，這場網路攻擊行動範圍遠超出戰爭的邊界，對於北約國家的針對性攻擊較戰爭爆發前增加3倍，這類攻擊由白俄羅斯政府支持的駭客組織Pushcha主導。</p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/05/fake-system-update-drops-new-highly-evasive-loader"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過瀏覽器畫面捏造Windows更新視窗，意圖散布竊資軟體Aurora</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file94573_265978_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file94573_265978_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露散布竊資軟體Aurora的攻擊行動，駭客藉由色情網站的彈出式視窗，引導使用者存取惡意網站，但這些網站特別的地方，在於駭客模仿了Windows安裝更新程式的畫面，並聲稱若要完成更新，使用者必須安裝重要的安全更新，一旦依照指示按下畫面上的OK按鈕，電腦就會下載名為「ChromeUpdate.exe」的檔案，若使用者執行，電腦有可能感染竊資軟體Aurora。</p> <p>研究人員指出，上述看似瀏覽器更新程式的檔案，命名所用的語文是西里爾文字（Cyrillic alphabet，也稱為斯拉夫字母、東斯拉夫字母、歐亞字母），而且，他們透過沙箱執行的時候無法察覺其惡意行為。</p> <p>而對於背後的駭客身分，研究人員指出他們擅長製作完全無法偵測（FUD）的惡意程式，並會刻意透過VirusTotal進行檢查，這些駭客之前曾製作了資安業者Morphisec發現的惡意程式載入器in2al5d p3in4er（亦稱invalid printer）。</p> <p><a href="https://www.sentinelone.com/labs/hypervisor-ransomware-multiple-threat-actor-groups-hop-on-leaked-babuk-code-to-build-esxi-lockers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">10個勒索軟體家族鎖定VMware虛擬化平臺而來，利用Babuk原始碼打造相關作案工具</span></strong></a></p> <p>自勒索軟體Babuk的原始碼遭到公布後，有不少的駭客組織以此為基礎進行改寫，可加快開發勒索軟體的速度，而這樣的情況似乎越來越頻繁。資安業者SentinelOne發現，從2022年下半至今，已有10款勒索軟體家族採用Babuk的原始碼，打造專門攻擊VMware ESXi虛擬化平臺的Linux版勒索軟體。</p> <p>研究人員認為，網路犯罪圈能針對Linux開發惡意程式的人力較為缺乏，而使得有越來越多駭客想對這類作業系統發動攻擊時，會選擇透過現有的原始碼加以修改，而非從頭打造新的惡意程式，導致採用Babuk原始碼開發的勒索軟體會越來越多。</p> <p>此外，根據研究人員的推測，駭客對於同個開發團隊打造的另一支勒索軟體NAS Locker，也很有興趣，原因是該勒索軟體以Go語言開發而成，有機會快速移植，針對其他作業推出對應的勒索軟體。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cyberark.com/resources/threat-research-blog/white-phoenix-beating-intermittent-encryption"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者CyberArk提供勒索軟體解密工具White Phoenix，針對部分加密手法進行破解</span></strong></a></p> <p>為了增加加密檔案的速度，勒索軟體駭客透過部分加密（Intermittent Encryption）的手法越來越常見，但這樣加密方式也變得更難破解，直到最近有了突破。</p> <p>資安業者CyberArk提供名為White Phoenix的勒索軟體解密工具，標榜他們針對利用部分加密機制的勒索軟體BlackCat進行開發，但也可能適用於還原受到其他同類型勒索軟體所加密的檔案。研究人員表示，他們能夠還原檔案的原因，在於他們發現此種加密機制的缺陷，而有機會復原PDF、Office檔案、ZIP壓縮檔等特定格式的資料。</p> <p>研究人員先是針對遭到加密的PDF進行分析，從而找到可能復原的方法。該公司透過GitHub提供此勒索軟體解密工具，希望有更多資安人員能參與這類勒索軟體的解密研究。</p> <p><a href="https://blog.google/products/google-one/new-security-features-for-all-google-one-plans/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google將提供用戶搜尋可能流入暗網的個人資訊</span></strong></a></p> <p>有鑒於駭客將用戶電子郵件及其他個資在暗網論壇上公開或兜售情形氾濫，Google在Google I/O 2023宣布，即將開放美國地區用戶查詢自身Gmail郵件信箱是否流入暗網。</p> <p>這項服務源自於3月推出的暗網通報（Dark Web Report），當時僅供付費的Google One用戶使用，一旦Google察覺用戶的個資出現於暗網，就會透過Gmail通報用戶並提供建議──例如察覺用戶的社會安全碼疑似流入暗網，Google就會建議用戶報警並掛失相關證件。該公司亦表明，此服務的適用範圍，未來將會擴及「國際上的特定市場」。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/article/156845"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">因政府開放電子病歷上雲，醫療產業連續2年加碼投資資安，2023增加4成</span></strong></a></p> <p>想要了解企業對於資安重視的程度，從企業投入的預算可反映其意願，根據iThome本週公布2023年資安大調查結果，臺灣大型企業今年資安預算為1,408萬元，相較於2022年支出1,193萬元成長18%，然而，資安長則認為預算需要多3成才會夠用。而從各個產業投資的情況來看，去年投資力道最強的依次是高科技製造業（增加59%）、一般製造業（增加33.1%），但今年投資力道增加幅度最多的是醫療產業，成長率達到4成，遠高於2022年的20.6%。</p> <p>該產業連續2年顯著增加資安預算的主要原因，來自政府開放電子病歷上雲，而為了因應將敏感醫療資料上雲，不少醫院也大幅改造HIS系統，並檢視自家的資安作為。</p> <p>從金額的角度而言，金融業預算金額最多，2022年平均為5,429萬元，其次為政府和學校的2.536萬元。從企業投資的項目來看，網路安全、IT基礎架構防護仍是主要項目，但值得留意的是，員工資安意識與教育訓練的部分顯著增加，一舉從2022年的第6名躍升到第3。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/sap-patches-critical-vulnerabilities-with-may-2023-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SAP發布5月例行更新，修補BusinessObjects、3D Visual Enterprise License Manager重大漏洞</span></span></strong></a></p> <p><a href="https://blog.talosintelligence.com/new-phishing-as-a-service-tool-greatness-already-seen-in-the-wild/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新興網釣套件服務Greatness鎖定Microsoft 365用戶而來</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-linux-kernel-netfilter-flaw-gives-attackers-root-privileges/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Linux核心漏洞NetFilter恐被用於取得root權限</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/food-distribution-giant-sysco-warns-of-data-breach-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國食品經銷商Sysco經歷網路攻擊，已造成資料外洩</span></span></strong></a></p> <p><a href="https://www.securityweek.com/capita-says-ransomware-attack-will-cost-it-up-to-25-million/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國業務外包業者Capita遭到勒索軟體攻擊，估計損失2,500萬美元</span></span></strong></a></p> <p><a href="https://www.justice.gov/opa/pr/justice-department-announces-court-authorized-disruption-snake-malware-network-controlled"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國宣布破壞惡意軟體Snake的基礎設施</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156830">【5月11日】資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156810">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156783">【5月9日】安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因素驗證碼</a></strong></p> </div></div></div>
2023/5/12 15:36作者周峻佑https://www.ithome.com.tw/news/156850
Meta發表以AI來協助廣告製作的AI Sandbox
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/business/news/introducing-ai-sandbox-and-expanding-meta-advantage-suite" target="_blank">Meta在本周發表了AI Sandbox</a>，這是一個測試中心，可用來實驗各種協助廣告主製作廣告內容的功能與工具，包括基於生成式AI的廣告工具在內。</p> <p>現階段AI Sandbox正在實驗的功能包括文字變體、背景生成與圖像露出，其中，文字變體功能可用來產生不同版本的文字，以彰顯廣告文案的重點，讓廣告主得以選擇替不同的受眾提供不同的訊息。背景生成則可用文字輸入來產生背景圖像，以讓廣告主可快速嘗試不同的背景，或是盡情發揮創意。</p> <p>圖像露出功能則可調整各種創意資產來適應不同的廣告露出，如Stories或Reels等，藉由重複利用創意資產來節省時間成本。</p> <p>目前Meta僅與少數廣告主共同測試AI Sandbox以蒐集意見，預計會在7月開放更多的廣告主加入，也會日益增加AI Sandbox所測試的功能。</p> </div></div></div>
2023/5/12 17:24作者陳曉莉https://www.ithome.com.tw/news/156855
已有多達10個勒索軟體利用外洩的Babuk程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sentinelone.com/labs/hypervisor-ransomware-multiple-threat-actor-groups-hop-on-leaked-babuk-code-to-build-esxi-lockers/" target="_blank">SentinelLabs本周揭露</a>，至少已有10個勒索軟體家族利用2021年外洩的Babuk勒索軟體程式碼，以打造可用來攻擊VMware ESXi伺服器的Linux加密工具。</p> <p>VMware ESXi為VMware所開發的虛擬機管理程式，它並非是個安裝在作業系統上的應用程式，而是一個整合重要作業系統元件，並直接安裝於硬體上的Linux產品。近來它成為Windows平臺之外，最受勒索軟體駭客青睞的攻擊目標，<a href="https://blog.checkpoint.com/2023/02/06/massive-ransomware-attack-targets-vmware-esxi-servers/" target="_blank">資安業者Check Point指出</a>，這是因為駭客意識到這些奠基於Linux的伺服器對機構與組織的重要性。</p> <p>根據Check Point的調查，過去一年來，全球有1/13的組織都曾遭受勒索軟體攻擊，此一比例在不同的地區有些差異，例如亞太地區為1/11，歐洲、中東與非洲為1/12，美洲則是1/19。</p> <p>此外，現身於2021年初的Babuk則是最早鎖定VMware ESXi的勒索軟體之一，但Babuk團隊的其中一名成員在同年9月便於俄羅斯駭客論壇公布了Babuk的程式碼，也成為VMware ESXi受到大規模攻擊的主因之一。</p> <p>SentinelLabs表示，他們在今年初觀察到針對VMware ESXi且基於Babuk的勒索軟體愈來愈多，除了原先就鎖定Linux平臺的駭客之外，那些原本缺乏Linux相關技術的駭客，也在獲得Babuk程式碼之後，得以鎖定VMware ESXi發動攻擊。</p> <p>迄今所發現的、利用Babuk程式碼打造ESXi加密工具的勒索軟體，至少包括Babuk 2023、Play、Mario、Conti、REvil、Cylance、Dataf Locker、BabLock、Lock4與RTM Locker等，SentinelLabs認為，坊間一定有更多採用Babuk程式碼的勒索軟體尚未被發現。</p> <p>有趣的是，SentinelLabs在分析這些不同的勒索軟體時，找到了Babuk、Conti與REvil程式碼的共通之處，猜測可能這些集團將ESXi加密工具專案外包給同樣的開發者，因為在勒索軟體的開發圈中，可打造Linux惡意程式的人才相對不足。</p> </div></div></div>
2023/5/12 17:14作者陳曉莉https://www.ithome.com.tw/news/156853
GovTech月報第18期：臺灣首個量子加密通訊網路亮相；政府計畫打造本地特色的AI對話引擎，研議AI基本法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0408~0508)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">法規</span></font></strong></p> <p><span style="font-size: 22px;"><strong><span id="docs-internal-guid-f44929d4-7fff-edff-e583-4ff6d7e19739"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">量子國家隊展研究成果，國內首個量子加密通訊網路亮相</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/publicpreview.jpg" style="width: 600px; height: 399px;" /></p> <p>國科會、經濟部、中研院、清大等產官學研在2021年組成量子國家隊，經過1年多的時間，近期在量子通訊方面展現成果，研發出我國第一個量子加密通訊網路，提升我國網路通訊的安全性。</p> <p>負責研發該技術的清大物理系副教授褚志崧表示，量子加密技術是利用量子力學的測不準原理，利用量子兩兩成對特性，若要竊聽A，就會破壞同調性，B跟著改變，達到永久加密的目的。</p> <p>為簡化量子通訊網路的操作及實用性，研究團隊以簡易的衰減雷射脈衝代替量子光源，提升量子金鑰產率，提升傳輸速度，讓量子通訊速度比先前提升100倍。此外，還<span class="s1" style="font-kerning: none;">採用星狀網路連結多個用戶端點，未來可應用在金融、電商、個資及國防通訊。為展現量子加密通訊的優勢，團隊展示有心人士竊聽</span>量子加密通訊網路<span class="s1" style="font-kerning: none;">，只會聽到雜訊，無法收到清晰的訊號。未來研究團隊將和中華電信合作，延長量子加密通訊網路距離，進行跨縣市量子通訊研究。</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">法規</span></font></strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-f44929d4-7fff-edff-e583-4ff6d7e19739"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">臺灣將打造具本地特色的AI對話引擎，行政院正研議AI基本法</span></span></strong></span></p> <p>在AI已成為全球的趨勢浪潮之下，已有國家或經濟體提出AI相關的法規或管理架構，臺灣也不落人後。國科會主委吳政忠近日透露，行政院內部正研議我國的AI基本法，由於涉及大數據、個資保護等相關議題，希望能趕在下個立院會期，9月提出初步草案。</p> <p>ChatGPT在全球爆紅，國科會先前在3月底舉辦臺灣發展生成式AI產學會議，鑑於業界認為生成式AI具有正面助益，但使用公開平臺具有潛在風險，臺灣將會發展本土，具有臺灣特色的可信賴AI對話引擎（Trustworthy AI Dialogue Engine, TAIDE），發展出適合政府及業者需求及領域使用的對話模型。與會者認為，依照需求選擇各領域適用模型大小並衡量算力，以控制成本，由政府提供，民間下載自行運用加值，是適合臺灣發展的模式。</p> <p>國科會已開始盤點資源、各領域專家，準備投入發展本地的對話引擎，未來會在不同階段逐步釋出預訓練（Pre-trained）模型，邀請業界、政府機關以自有資料作微調，發展符合自身需求的系統。國科會主委吳政忠也強調，發展TAIDE並非要跟國際大廠的通用型服務競爭，而是要加速臺灣各領域掌握自主性的能力。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">ChatGPT</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">日本</span></font> </strong></p> <p><strong><span style="font-size: 22px;"><span id="docs-internal-guid-d7911b8a-7fff-cb6c-c937-897d435e57fc"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">ChatGPT生成式AI夯，日本政府召開跨部會戰略會議擁抱AI</span></span></span></strong></p> <p>ChatGPT、Midjourney帶動生成式AI應用，也吸引公部門注意，Open AI執行長近期拜訪日本，日本政府隨後召開跨部會的AI戰略會議，討論政府業務如何應用生成式AI，包括哪些業務禁止使用ChatGPT。</p> <p>戰略會議是由日本內閣府首相輔佐官村井英樹、內閣府官房副長官補藤井健志召集，包括總務省、文部科學省、經濟產業省、數位廳、個資保護委員會等單位，會議目的為共享資訊，隨時掌握及確認AI風險之下，如何使用AI推展行政工作。</p> <p>日本政府顯然對AI採取比較擁抱的態度，已有公部門開始採用ChatGPT，例如農林水產省在考慮到機密資訊外洩風險之下，已利用ChatGPT簡化官方公開文件，讓外界更容易理解；經濟產業省也利用聊天機器人更新補助申請說明，以及其他的公開線上手冊。不只中央，地方政府也開始運用ChatGPT，例如廣島縣廳已使用AI輔助製作行政用的簡報資料。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分證</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font></strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-51174e99-7fff-0d81-45a9-7cd9f1b9238d"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">澳洲新南威爾斯擬推數位身分證</span></span></strong></span></p> <p>澳洲的新南威爾斯州擬推出新的數位身分證，目前已展開先期測試計畫，透過新的數位身分證讓先期試用者，透過控制共享數據的方式及時間，來避免個人數據被過度共享。</p> <p>新南威爾斯州計畫推出的新數位身分證，通過數位身分證、數位錢包，存放個人的身分資訊，使用者可以隨時控管誰能取得這些資訊。用戶第一次申請時需確認使用者身分，之後就能透過數位身分證管理想要與其他政府單位、企業共享哪些訊息。 </p> <p>在通過全面測試驗證，確保個人的身分資訊安全後，數位身分證會成為新南威爾斯州居民的選擇使用的身分服務之一。新南威爾斯州政府表示，當世界愈來愈朝向數位化發展，大家對於在網路上提供身分資訊安全要比過去更為重視，數位身分證能夠協助對身分資訊的控管。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-94d0b4c4-7fff-e075-7ee9-559959c9033c"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">美國白宮研擬政府使用AI指引政策</span></span></strong></span></p> <p>為建立政府部門使用AI的指引，美國白宮正在研擬聯邦政府使用AI指引政策，美國副總統Kamala Harris更與Alphabet、微軟、Anthropic及OpenAI等科技業者高層舉行會議。</p> <p>美國政府宣布將透過國家科學基金，以1.4億美元資助7個新的國家研究機構。此外，部分造訪白宮的公司承諾將會支持公開、獨立評估的商用AI系統。白宮管理及預算辦公室研擬的指引草案將在今年夏天發布，對外開始徵求公眾意見，該指引將包括政府對AI開發、採購、使用的具體政策。</p> <p>該指引會確保美國政府有責任的使用AI，協助機構改善美國民眾的生活，同時也能降低使用AI所帶來的風險、提高利用AI的機會。類似ChatGPT的生成式AI增加政府對使用AI的利益，以及可能帶的風險的重視。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">量子科技</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font> </strong></p> <p><strong><span style="font-size:22px;"><span id="docs-internal-guid-fd0f3a34-7fff-122c-1837-6eb02fbb9426"><span style="font-family: Arial; color: rgb(0, 0, 0); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">澳洲啟動國家量子戰略</span></span></span></strong></p> <p>澳洲政府宣布啟動國家量子戰略，未來將透過投資、連接、加速量子科學研究及相關產業，以提升該國在量子運算時代的國家競爭力。</p> <p>澳洲政府的策略，包括推動新計畫來加速量子科技的商業化發展，增加應用案例，此外通過國家重建基金建立對工業級量子技術的投資，以及投資新的量子基礎建設，確保符合產業發展的需要。其他還包括相關人才培育、加強國際合作。</p> <p>澳洲產業暨科學部長Ed Husic表示，澳洲在量子技術的領先地位來自過去數十年持續投資，過去澳洲學校機構教育相關領域人才，奠定量子技術的發展基礎。未來量子技術的採用，在全球將成長33%，隨著各國加大對量子技術的投資，澳洲也不能失去既有的優勢。未來量子技術商業化，估計將為澳洲帶來22億美元產值，到了2030年僱用8,700人，2045年產值擴大到60億美元，帶來19,400個職位，為相關產業帶來數十億美元機會。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技執法</span></font> </strong></p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><strong><span style="font-size:22px;"><span id="docs-internal-guid-af0422c6-7fff-02fd-89e9-b592e5ff098c"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">路口未禮讓行人罰則新制上路，臺南市靠科技執法2天揪出155件違規</span></span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6c935717-765e-4bef-a44b-73c72535cccc.jpg" style="width: 600px; height: 355px;" /></p> <p>為確保汽機車經過路口時優先禮讓行人，3月底交通新制上路，針對汽車駕駛人未依規定禮讓行人、非號誌化路口未停讓提高罰則，臺南市政府在新制上路，於6處路口透過科技執法，2天內偵測155件違規，臺南市警局提醒開車民眾養成正確用路習慣，並預告今年將評估易肇事路口，擴大科技執法。</p> <p>臺南市警局去年12月即在6個路口，北區公園路與公園南路口、北區和緯路與海安路口、中西區南門路與健康路口、中西區府前路與西門路口等，建置科技執法，利用AI偵測車輛行經路口未禮讓行人通行。</p> <p>新制在3月底上路後，透過路口影像分析，已偵測多起違規車輛未禮讓行人優先穿越，臺南市警局未來將藉由科技執法加強取締交通違規事件，以此促成民眾養成正確的用路習慣。市警局還預告今年底之前，在3處易肇事路口增設科技執法。</p> <div> </div> <div> <p>圖片來源／國科會、臺南市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.英國揭無線基礎建設新戰略，納入衛星通訊</strong></p> <p><strong>2.義大利基於隱私保護禁止使用ChatGPT</strong></p> <p>資料來源：iThome整理，2023年4月</p> </div> </div> </div> </div> </div> </div></div></div>
2023/5/12 12:18作者蘇文彬https://www.ithome.com.tw/news/156804
AWS開源高效快照模糊測試工具Snapchange
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布新的開源專案<a href="https://aws.amazon.com/tw/blogs/opensource/announcing-snapchange-an-open-source-kvm-backed-snapshot-fuzzing-framework/">Snapchange</a>，供開發者可以將快照模糊測試簡單地整合到自己的專案。Snapchange讓開發者只要對目標二進位檔案進行少量的修改，就能夠開始進行模糊測試，找出系統臭蟲。Snapchange仰賴KVM快照，因此需要在有KVM存取權限的機器上執行，並且僅支援x64主機，可用於EC2英特爾處理器的裸機執行個體。</p> <p>Snapchange是一個用來建構模糊測試工具的Rust框架，能夠重播實體記憶體快照，高效地對目標進行模糊測試。模糊測試是一種自動化軟體測試技術，透過對目標程式提供一系列隨機的輸入，試圖引發程式錯誤、漏洞或是故障，藉此發現程式中未知的漏洞。</p> <p>所謂的快照模糊測試，是透過將系統和應用程式的記憶體狀態保存下來，在後續的測試中，重複使用這些裝態，使得開發者可以在相同的條件下多次執行測試，準確地找出程式發生錯誤的原因。Snapchange需要利用Linux核心內建的虛擬機器管理器KVM，因此Snapchange的快照是指正在運作的虛擬機器實體記憶體轉存，以及相對應的暫存器狀態。</p> <p>Snapchange透過在虛擬機器中注入變異資料，對目標進行模糊測試，提供中斷點Hook機制，以及多種格式的即時覆蓋率報告，還有在除錯很實用的單步驟追蹤功能。開發者可以同時在多個CPU核心上進行模糊測試，大幅提高測試的效率和速度，Snapchange還能同時監控測試結果，當程式發生崩潰，出現像是記憶體區段錯誤或是呼叫Address Sanitizer報告時，Snapchange都能立刻偵測並且回報用戶。</p> <p>Snapchange模糊測試的循環，從快照初始化KVM虛擬機器記憶體狀態開始，接著供用戶在載入的訪客記憶體中寫入變異資料，當程式出現崩潰、逾時或是重置事件發生時，虛擬機器將恢復到乾淨狀態，並為下一次輸入做準備。Snapchange僅會重置經過修改的記憶體分頁，如此便能明顯減少需要恢復的記憶體量，加速模糊測試周期。</p> <p>Snapchange最初是由AWS Find and Fix開源安全研究團隊，所開始的一項實驗性專案，目的是探索KVM快照模糊測試的潛力，而現在Snapchange已經成為一個可供研究人員和開發人員，試驗快照模糊測試的專案。</p> </div></div></div>
2023/5/12 11:21作者李建興https://www.ithome.com.tw/news/156842
以HTML5和WebAssembly實作JVM，CheerpJ 3.0讓瀏覽器順暢執行Java程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準在瀏覽器執行Java應用程式的需求，Leaning Technologies新推出<a href="https://leaningtech.com/announcing-cheerpj-3-0-a-jvm-replacement-in-html5-and-webassembly-to-run-java-applications-and-applets-on-modern-browsers/">CheerpJ 3.0</a>，這是一個由HTML5和WebAssembly所開發的JVM替代解決方案，可在瀏覽器中執行Applet與Java應用程式。由CheerpJ 3.0架構升級帶來的多項優勢，不只能讓現有的Java應用程式都搬遷到瀏覽器執行，而且可能影響開發者對網頁應用程式開發語言的選擇。</p> <p>CheerpJ解決方案的目的是要支援在瀏覽器中，執行大型且未經修改的Java應用程式和Applet，除了需要標準HTTP伺服器之外，CheerpJ不需要任何伺服器端元件，就可以讓Java應用程式在瀏覽器執行。</p> <p>CheerpJ的特點包括不需要存取原始碼，僅在.class和.jar檔案層級運作，因此第三方函式庫、相依關係和經過程式碼混淆工程的程式，都不會對CheerpJ執行Java造成問題。而且CheerpJ還支援進階Java功能，完全支援任何Java應用程式和OpenJDK Runtime本身會使用的反射、多執行緒等功能，因此開發者將程式放到CheerpJ上執行，並不需要進行任何修改。</p> <p>因為CheerpJ以未經修改的OpenJDK為基礎，因此即便在瀏覽器上運作，其行為也和原生JVM相同，其模擬層也都確保檔案系統、網路、列印、剪貼簿和其他子系統運作順暢。</p> <p>但是舊版的CheerpJ存在一些問題，由於原先CheerpJ的架構使用Ahead-of-Time（AOT）編譯，這會造成系統部署和整合上的困難，而且AOT編譯模型又與Java靈活性衝突，在處理複雜框架和重複類別的時候存在一些限制。</p> <p>在原架構中，要在Java應用程式添加相依項目，可能需要在執行時下載大量檔案，且還要經過解析和執行階段，如此會大幅影響應用程式的啟動速度。另外，原本架構在支援Java 9及以上版本存在困難，開發團隊需要進行繁瑣的工作，才能提供額外的版本和子版本支援。</p> <p>CheerpJ 3.0的出現便是要解決這些問題，新版本是一個以WebAssembly為基礎的Java虛擬機器架構。在新版本中，CheerpJ不再使用AOT，而是轉向使用JIT編譯，CheerpJ 3.0採用多層執行模型，以快速直譯器處理很少執行的程式碼，並且運用JIT編譯器處理經常執行的程式碼，因此未使用的類別和程式碼可能不會被執行或是生成，如此便能提高應用啟動效能。</p> <p>由於沒有AOT編譯器或是.jar.js檔案，所以將CheerpJ 3.0整合到現有的HTML頁面，只需要幾行程式碼就能完成。新的JIT編譯方法模擬了JVM運作方式，因此消除了重複類別所造成不相容的狀況。開發團隊將100％的OpenJDK原生程式碼，編譯成為WebAssembly以支援最新的Java版本，該方法也可滿足開發者需要支援特定Java版本的需求。</p> <p>基於多項架構更新，CheerpJ 3.0現在可被視為一個完整的JVM替代解決方案。官方預計會在2023年夏季正式釋出CheerpJ 3.0，不過現在開發者已經可以在客戶端環境JavaFiddle先行嚐鮮，編譯、執行和共享Java程式碼。</p> </div></div></div>
2023/5/12 11:27作者李建興https://www.ithome.com.tw/news/156843
Google允許美國用戶搜尋流入暗網中的Gmail信箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於駭客將用戶電子郵件及其他個資在暗網論壇上公開或兜售情形氾濫，<a href="https://blog.google/technology/safety-security/online-safety-features-updates-google-io-2023/" target="_blank">Google本周在Google I/O 2023宣布</a>開放美國地區用戶查詢自身Gmail郵件信箱是否流入暗網。</p> <p>3月間Google宣布暗網通報（dark web report），當時僅提供給付費雲端儲存服務<a href="https://blog.google/products/google-one/new-security-features-for-all-google-one-plans/" target="_blank">Google One</a>用戶。這項服務可讓用戶開啟，它會執行暗網掃瞄看他的一些個資，包括Gmail信箱、姓名、住家地址、電話號碼及社會安全碼等是否出現在暗網上。一旦掃瞄到即會以Gmail通知用戶查看並提供建議。例如如果發現暗網上出現疑似用戶的社會安全碼，Google會通知用戶報警及通報掛失證件。</p> <p>Google表示，再過幾周這項服務將開放給所有具有Gmail帳號的美國用戶。Google說很快會再擴及其他「特定國際市場」。必須注意的是，這項免費服務只掃瞄用戶的Gmail帳號。如果用戶需要掃瞄更多資訊，仍需訂閱Google One服務。</p> </div></div></div>
2023/5/12 11:51作者林妍溱https://www.ithome.com.tw/news/156846
Google Bard罕見尚未提供所有歐盟國家、加拿大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156829" target="_blank">Google AI 聊天機器人Bard於5月10日Google I/O 2023大會向大眾公開</a>，不過<a href="https://9to5google.com/2023/05/11/google-bard-european-union/" target="_blank">媒體發現</a>向來幾乎是所有服務及產品優先發布的歐盟及加拿大，用戶卻到今（12）日仍未獲得使用權。</p> <p>Google已在昨日移除等候清單，開放180餘國用戶上網使用Bard。<a href="https://support.google.com/bard/answer/13575153" target="_blank">根據Google的產品頁</a>，所有27個歐盟會員國及加拿大卻未列於清單上。對於向來是所有科技產品及服務的重點市場來說，這點相當少見。</p> <p>Google官方並未說明原因。不過可能基於歐盟隱私法GDPR以及加拿大的個人資訊保護法及電子文件法（Personal Information Protection and Electronic Act，PIPEA），增加Google蒐集及利用訓練Google Bard必要的資訊。此外，兩個市場的內容管制法規也很嚴格，讓Google難以控制內容，以確保內容的合法性及無害。</p> <p>第三個可能原因是托拉斯疑慮；雖然OpenAI及微軟也都推出大型語言模型，但兩市場的主管機關可能擔心Google在搜尋市場的獨大地位，會擠壓其他競爭模型。</p> <p>不過Google也可能在觀望歐盟AI法案（AI Act）的結果。這項法案規範在歐盟區的AI服務開發及使用，目前還在草案階段，預計到2024年才會底定。加拿大也正在制訂AI及資料法案（Artificial Intelligence and Data Act，AIDA），也是預訂2024年完成。</p> <p>微軟的Bing Chat已在上周全面開放大部分市場用戶使用。最早推出的Open AI ChatGPT雖然已在歐盟地區廣為使用，但義大利主管機關4月初以非法蒐集及儲存、未告知用戶蒐集資料，而且還蒐集了未成年用戶個資等理由<a href="https://www.ithome.com.tw/news/156239" target="_blank">暫時禁用</a>，直到4月底OpenAI強化資料防護、限制用戶個資的資料用途，及縮短個資儲存時間，才<a href="https://www.ithome.com.tw/news/156629" target="_blank">解除禁令</a>。德國政府也一度考慮限用。</p> <p>除了上述地區，被美國政府制裁的國家包括俄羅斯、白俄羅斯、伊朗，以及有嚴格網路審查及管制法規的中國及阿富汗也都無法使用Google Bard。</p> </div></div></div>
2023/5/12 12:08作者林妍溱https://www.ithome.com.tw/news/156847
【iThome大調查系列1：2023資安大調查】2023年企業資安投資多少錢？成長力道多強？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1129-18-feng_mian_-p4zi_an_tou_zi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安仍舊是7成企業資訊長和資安長的年度首要目標，今年各產業的資安投資力道依舊強勁。根據iThome 2023年資安大調查，今年臺灣大型企業的資安預算高達1,408萬元，比去年1,193萬元支出，成長了18%。不過，資安長心中期待的資安預算則需要再多3成才夠用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p4%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87-600-1.png" style="text-align: center; width: 600px;" /></p> <p>各產業今年資安投資力道和去年有很大的不同，去年資安預算投資力道最強的是高科技製造業的59%和一般製造業的33.1%，但是今年這兩個產業的資安投資力道減弱了不少，反而是醫療產業繼續加碼，今年資安預算的力道在各產業中最強，成長率高達4成，遠高於去年的20.6%。醫療產業連續兩年加碼資安預算的主要原因，來自政府開放電子病歷上雲的推力，為了日後將敏感的醫療資料上雲，不少醫院一方面展開了HIS系統大改造，轉換成更適合上雲的架構，另一方面，醫院也開始檢視自家資安作為，投入更多資安資源預作準備。高科技製造業的資安預算成長率排名第二，只有政府機關與學校的資安預算與去年相當，些微追加了1.5.%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p4%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87-600-2.png" style="text-align: center; width: 600px;" /></p> <p>金融業的資安預算金額年年居各產業之冠，今年也不例外，平均高達5,429萬元，成長力道也不弱，今年有17.9%的成長率。今年資安預算金額次高的則是政府學校，平均有2,536萬元。在去年資安大調查中，金融業和服務業是資安預算成長率偏低的兩個產業，但是到了今年，反而加碼了不少，資安投資金額是領先的前兩大產業。除了從資安預算來看企業資安投資重心，還可以從企業資安投資重點排名來看，企業今年要將資安資源投入到哪些重點項目。網路安全和IT基礎架構安全，例如防毒軟體等，都是企業資安的基本款投資，各有5成企業列為今年重點，但是去年名列第六的項目「員工資安意識和教育訓練」，今年躍升到了第三名，高達47.9%企業今年格外重視，排名超過了弱點掃描、異地備援和郵件安全。另外，值得注意的是，隨著軟體供應鏈風險越來越高，弱點掃描成了名列第四的年度重點項目。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p4%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87-600-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p4%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87-600-4.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 59.8%填答者為企業資安最高主管。</strong></span></p> </div></div></div>
2023/5/11 23:58作者王宏仁https://www.ithome.com.tw/article/156845
【iThome大調查系列1：2023資安大調查】2022年各產業資安事件多頻繁？多快復原？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1129-feng_mian_-p3zi_an_zai_qing_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業出現資安災情，人人都不想張揚，但是這些資安災情數據，是企業用來掌握產業資安態勢的關鍵數據，雖然是前一年的災情數據，卻是用來規畫未來一年資安投資決策最重要的真實數據。這正是我們每一年在iThome資安大調查中，一定必問的一系列問題，從企業資安事件發生頻率？多久才發現自己遭遇到駭客攻擊（也就是駭客攻擊潛伏期）？以及發現遭駭後，企業要花多少時間才能復原到正常運作的狀態。</p> <p>隨著企業設立各種資安偵測機制、Log紀錄搜集機制越多，資安事件數量也會越多，但只有會導致重大影響的資安事件，才需要向上通報到資訊長或資安長層級，從資安長角度來看的資安事件數，正是高度嚴重的重大資安事件。</p> <p>根據2023年iThome資安大調查，去年發生超過50次重大資安事件的企業，超過了2成，其中又以服務業和醫療業的企業較多，各有約2成6的業者，發生超過了50次資安事件。這個災情讓即將大幅跨入上雲行列的臺灣醫療業者憂心忡忡，在今年大幅加碼了資安預算，成長幅度高達4成，居各產業之冠。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p3%E8%B3%87%E5%AE%89%E7%81%BD%E6%83%852-600.png" style="text-align: center; width: 600px;" /></p> <p>進一步來看各產業的資安災情，去年整體產業平均發生了17次重大資安事件，約莫是每個月至少1～2次，災情最重的服務業者，平均有18.8次，而災情較輕的產業則是資安模範產業的金融業，平均只有14.3次。雖然金融業的資安投資相當高，甚至是製造業者的好幾倍，但是仍然得面對不少資安事件的威脅。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p3%E8%B3%87%E5%AE%89%E7%81%BD%E6%83%852-600-1.png" style="text-align: center; width: 600px;" /></p> <p>資安投資高低，雖無法削弱被攻擊的次數，但是最明顯的效益是反映在資安事件的偵測能力上，金融業者平均只要1.6天，就能發現駭客攻擊痕跡，甚至在駭客嘗試、尋找弱點的過程中，就能發現，及時採取行動來阻斷對方的行為。偵測能力最弱的產業則是製造業者，高科技製造業者平均要10.6天，一般製造業者也需要8.8天，才能夠發現駭客攻擊的痕跡。在這段駭客潛伏期中間，駭客可能已經摸熟了內部可能的弱點，暗中植入了高風險的木馬。偵測能力強化，是企業必須年年強化的關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p3%E8%B3%87%E5%AE%89%E7%81%BD%E6%83%852-600-2.png" style="text-align: center; width: 600px;" /></p> <p>發生資安事件之後，多快能復原？這個時間長短，影響了資安事件對企業營運的影響，時間越久，帶來的營運損失就越大。但要能快速復原，除了第一時間的資安應變能力之外，平時做好各種備援也是關鍵，不論是資料備份、系統備援，都得從快速復原角度來思考。根據今年資安大調查，企業平均要花上4.8天才能完全復原，金融業的IT能力向來評價最好，復原能力也最好，只需要1.1天就能復原，高科技製造業者則需要超過1周的時間，平均得8.5天才能復原。高科技業者一年資安事件數平均超過17次，每次若都得花上1周復原，等於一年超過100天，企業營運遭受到資安事件的削弱。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p3%E8%B3%87%E5%AE%89%E7%81%BD%E6%83%852-600-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 59.8%填答者為企業資安最高主管。</strong></span></p> </div></div></div>
2023/5/11 22:54作者王宏仁https://www.ithome.com.tw/article/156844
Google發表499美元的Pixel 7a與Pixel Tablet，以及1,799美元的雙螢幕手機Pixel Fo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在周三（5/10）舉行的Google I/O年度開發者大會上一舉發表了多款裝置，包括6.1吋的入門款手機Pixel 7a，首款11吋平板電腦Pixel Tablet，以及首款雙螢幕摺疊手機Pixel Fold。其中，Pixel 7a即日起上架銷售，售價為499美元（新臺幣14,990元），Pixel Tablet與Pixel Fold的售價分別是499美元與1,799美元，目前正開放預購。</p> <p><span style="font-size:28px;"><strong>Pixel 7a規格與Pixel 7相當，鏡頭像素更勝一籌</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-Pixel%207a.png" style="width: 454px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> <p>Google是在去年10月發表Pixel 7系列手機，當時僅推出中階的Pixel 7（6.3吋）與高階的Pixel 7 Pro（6.7吋），售價分別為599美元（18,990元新臺幣）與899美元（26,990元新臺幣），隔了半年之後再發表的入門款Pixel 7a雖然售價相對便宜，但與上述中高階機種採用同樣的Google Tensor G2處理器及Titan M2安全防護晶片，亦同時具備指紋及人臉解鎖功能。</p> <p><a href="https://store.google.com/magazine/compare_pixel?hl=zh-TW" target="_blank">Pixel 7a</a>不管是在螢幕、記憶體、電池或儲存空間上都與Pixel 7相當，而相對突出的則是Pixel 7a所搭載的鏡頭為6,400萬像素的廣角鏡頭及1,300萬像素的超廣角鏡頭，超越Pixel 7及Pixel 7 Pro所採用的5,300萬畫素廣角鏡頭及1,200萬像素超廣角鏡頭；且Pixel 7a的前置鏡頭為1,300萬像素，亦凌駕Pixel 7與Pixel 7 Pro的1,080萬像素。</p> <p>Pixel 7a內建8GB記憶體及128GB儲存空間，提供木炭灰、雪白、海洋藍與珊瑚橘等4種顏色，已開始銷售。</p> <p><span style="font-size:28px;"><strong>首款Google自有品牌平板電腦Pixel Tablet上陣</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-Pixel%20Tablet.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p><a href="https://store.google.com/us/product/pixel_tablet_specs?hl=en-US" target="_blank">11吋的Pixel Tablet</a>是首款由Google進行工程設計的平板電腦，其螢幕解析度為2560x1600，重493公克，觀看串流影片的電池續航力最久可達12小時，內建8GB記憶體與128或256GB儲存空間，與Pixel 7手機系列一樣搭載Google Tensor G2處理器及Titan M2安全防護晶片，前後鏡頭皆為800萬像素，所附帶的底座同時具備支架、充電及喇叭功能，支援Google Assistant，有瓷白色、灰色及玫塊色等3種顏色可供選擇。</p> <p>此外，Pixel Tablet也是第一款內建Google數位媒體播放功能Chromecast的平板電腦，讓使用者可直接把手機上的影片或音樂串流到Pixel Tablet上。</p> <p>為了配合Pixel Tablet的上市，Google旗下逾50款程式已針對該裝置進行最佳化，涵蓋可用來進行視訊通話的Google Meet，亦與Android團隊合作，讓YouTube、Spotify與Disney+等熱門服務在大螢幕上看起來更美觀。</p> <p>Pixel Tablet售價為499美元，即日起開放線上預購，目前支援美國、加拿大、英國、德國、瑞典、丹麥、挪威、荷蘭、日本及澳洲，預計於6月20日上架。</p> <p><span style="font-size:28px;"><strong>Pixel Fold加入全球雙螢幕摺疊手機戰局</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-Pixel%20Fold.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>今年Google最受矚目的發表之一為該公司的首款雙螢幕摺疊手機Pixel Fold，正式宣告加入全球的雙螢幕摺疊手機戰局。根據<a href="https://www.idc.com/getdoc.jsp?containerId=prUS50531423" target="_blank">市場研究機構IDC</a>的估計，2022年雙螢幕摺疊手機的出貨量為1,420萬支，僅占全球智慧型手機市場的1.2%。而<a href="https://www.counterpointresearch.com/foldable-smartphone-shipments-2022/" target="_blank">Counterpoint Research去年8月所發表的研究報告</a>則顯示，該市場去年上半年市占率最高的是三星的62%，居次的是華為的16%，OPPO也占了3%。</p> <p>此外，上述兩家研究機構皆認為雙螢幕摺疊手機在2023年的出貨量成長幅度，可望超過50%。</p> <p><a href="https://store.google.com/us/product/pixel_fold_specs?hl=en-US" target="_blank">Pixel Fold</a>外部螢幕為5.8吋，展開後的內部螢幕則是7.6吋，閤上與展開的厚度分別是0.5吋及0.2吋，重約283公克，同樣搭載Google Tensor G2處理器及Titan M2安全防護晶片，內建12GB記憶體及256或512GB儲存空間，宣稱電池續航力超過24小時，後置鏡頭有4,800萬像素，還有1,080萬像素的超廣角鏡頭與同樣像素的望遠鏡頭，另有950萬像素的前置鏡頭及800萬像素的內部鏡頭。</p> <p>展開後的Pixel Fold可使用7.6吋的大螢幕，或是在左右兩邊的螢幕上執行不同應用。Pixel Fold提供瓷白色及黑曜石兩色可供選擇，依照儲存空間不同的售價為1,799美元及1,919美元，不過目前僅於美國市場開放預購，預計於下個月出貨。</p> </div></div></div>
2023/5/11 16:23作者陳曉莉https://www.ithome.com.tw/news/156841
Google運用新語言模型PaLM 2，於Android Studio添加AI開發助手Studio Bot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在最新<a href="https://android-developers.googleblog.com/2023/05/android-studio-io-23-announcing-studio-bot.html">Android Studio Hedgehog</a>添加AI程式碼開發助理Studio Bot，這個機器人提供類似GitHub Copilot的功能，作為結對工程師協助開發者編寫程式碼，提升開發效率。Studio Bot使用了一個稱為Codey的模型，而該模型則為語言模型<a href="https://ai.google/discover/palm2">PaLM 2</a>的衍生模型。</p> <p>Studio Bot理解自然語言，開發者能夠以英文對話的形式，向Studio Bot提出開發相關的問題，Studio Bot則能夠協助Android開發者生成程式碼，查詢相關資源，並提供最佳實踐作法，進而提升開發者的生產力節省開發時間。</p> <p>Google強調Studio Bot的獨特之處在於，機器人僅會發送用戶的指令，而不會將程式碼發送到Google的伺服器，因此在設計上能夠保護用戶的隱私安全。不過目前Studio Bot還在早期實驗階段，目前僅開放供美國Android開發者試用，官方表示，Studio Bot目前可能會呈現不準確、誤導且虛假的資訊。因此開發者還是要仔細檢查Studio Bot所產生的結果，測試並且檢查程式碼是否存在錯誤和漏洞。</p> <p>Studio Bot使用的PaLM 2，是Google新發布的基礎模型，Google提到，PaLM 2擅長進階推理任務，擁有處理包括程式碼、數學、分類、問答、翻譯和多語言問題的能力。比起前一代PaLM，在運算規模、資料集和模型架構都有所改進。PaLM 2較PaLM更能理解人類語言的細微差異，像是更能理解謎題和成語，不光只會比較字面意思，而是能夠理解單詞的歧義和比喻意義。</p> <p>PaLM 2使用更多平行多語言文字以及更大的多語言語料庫進行預訓練，而且也在大量網頁、程式碼和各種資料集上進行預訓練，除了擅長Python和JavaScript等主流程式語言，同時也能夠生成Prolog、Fortran和Verilog等程式碼。</p> </div></div></div>
2023/5/11 16:46作者李建興https://www.ithome.com.tw/news/156840
【iThome大調查系列1：2023資安大調查】2022年臺灣企業的資安災情有多嚴重？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1129-16-feng_mian_-p2zi_an_zai_qing_1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>能不能只用一個指標，就可以描述一個產業資安體質的好壞，甚至是反映出臺灣整體產業的資安能力？我們從去年開始，設計了一個全新的指標「遭駭指數」（Under Attack Index），作為衡量一家企業資安體質的整體性指標。</p> <p>iThome從2007年開始進行臺灣企業CIO的大調查，更從2018年開始，在CIO大調查中，同步執行了資安大調查，至今累積了2,391份（2023年參與調查有效問題達到407份），來自臺灣大型企業的第一手資安數據，每年約4百家，涵蓋六大產業，一般製造、高科技製造、服務、金融、醫療、政府機關與學校，其中有超過6成問卷是企業資安最高主管親自作答。</p> <p><span style="font-size:36px;"><span style="color:#3399ff;"><strong>企業遭駭指標整合了防禦力、偵測力和應變力指標</strong></span></span></p> <p>在資安大調查中，有三個與企業資安災情息息相關的關鍵數據，企業每年發生的資安事件數量、企業遭駭平均發現時間（多久才能發現自己遭駭）以及遭駭後平均復原時間，這三個數據分別代表了企業的資安防護能力、資安偵測能力以及資安事故復原能力，代表了企業資安體質的三個面相：防禦力、偵測力和應變力。這正是國際用來衡量一家企業資安實力常見的三個關鍵指標。</p> <p>去年，我們將這三個指標整合成一個新的指標，也就是遭駭指數，作為衡量企業資安體質的整體性指標。</p> <p>我們將「企業遭駭平均發現時間」（事前潛伏期），加上了發現遭駭後的「平均復原時間」（事後恢復期）視為企業一次資安事件的完整周期時間，乘上一家企業一年的「平均資安事件數量」，就可以得到一家企業一年得承受的遭駭天數。這個遭駭天數，不考慮資安事件重疊發生的情況，而是希望加總分別計算每一次事件帶來的影響，來反映企業承受的總壓力。最後進行各產業的平均計算，得出產業平均遭駭天數後，除以一年365天，就可以得到這個產業的「遭駭指數」，也就是這個產業一年有多少比例的時間，處於脆弱的遭駭階段。指數越高，代表企業資安體質越脆弱，處於不健康的生病狀態。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p2%E8%B3%87%E5%AE%89%E7%81%BD%E6%83%851-600-2.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>2022年臺灣整體產業遭駭指數與2020年相當</strong></span></span></p> <p>今年是第二年進行產業遭駭指數的揭露，根據今年資安大調查，2022年的臺灣整體產業的遭駭指數是50%，也就是說，臺灣整體產業在去年，有一半的時間，處於不健康的遭駭脆弱期，不管是處於自己沒有察覺的被駭潛伏期，或是發生事件後還沒有恢復正常運作的復原期。2022年的遭駭指數比2021年來得更高，大約與2020年相當，換句話說，臺灣企業資安災情嚴峻程度再度上升，回到與2020年相當。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p2%E8%B3%87%E5%AE%89%E7%81%BD%E6%83%851-600-3.png" style="text-align: center; width: 600px;" /></p> <p>若從各產業2021與2022年的遭駭指數變化來看，可以進一步看到不同產業遭駭災情的變化。災情變得更慘烈的產業，包括了高科技製造業，從74%提高到了91%，服務業從26%提高到44%，政府機關與學校也從18%提高到了38%，醫療業過去兩年的遭駭指數維持在34～36%之間。金融業和一般製造業是災情減緩的兩個產業，尤其是一般製造業去年的災情，比前年大幅減少了許多，從62%下滑到了54%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p2%E8%B3%87%E5%AE%89%E7%81%BD%E6%83%851-600-1.png" style="text-align: center; width: 600px;" /></p> <p>金管會在2021年底，公告修正「公開發行公司建立內部控制制度處理準則」，要求臺灣近千家上市公司和近八百家上櫃公司，分成三個等級，依據等級不同，分別要求設置資安長、資安專責單位或是資安專責人員。第一級企業已在2022年底前，設立了資安長和至少2名資安專責人員的資安專責單位。其餘1千6百家上市櫃公司，第二級則須在2023年底前設立資安專責主管，第三級則鼓勵至少設置一名資安專責人員。這一波臺灣企業資安治理上的合規要求，要等到今年，才會陸續發酵，反映到企業資安的體質上，這也是為何企業遭駭指數，2022年不降反升的緣故。</p> <p>對企業而言，更直觀的數據是平均遭駭天數，一年有多少天數，處於遭駭的脆弱期。臺灣2022年整體平均遭駭天數高達183.8天，超過半年處於脆弱期，高科技製造業更是慘烈，高達331.7天的遭駭天數，長達10個月脆弱期，成了資安體質最不健康的產業。</p> <p>這個數據也很適合用於跨產業比較，或者企業可以自行計算自己的資安事件數、多少才發現遭駭的時間，以及遭駭後的復原時間，得出自己的遭駭指數，來與各產業平均遭駭指數相比較，就可以得到自家企業與同產業的資安體質落差。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 59.8%填答者為企業資安最高主管。</strong></span></p> </div></div></div>
2023/5/11 15:55作者王宏仁https://www.ithome.com.tw/article/156839
【iThome大調查系列1：2023資安大調查】企業如何因應ChatGPT新典範的風險？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1129-feng_mian_-p5chatgpt-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球ChatGPT浪潮今年同步吹進了臺灣，不只人人大談使用經驗，不少企業更展現高度興趣，但是SaaS服務形式的ChatGPT，也讓企業高度擔心資安風險。創新與風險如何兼顧，成了企業資訊長與資安長最大的課題。</p> <p>臺灣超過2成企業鼓勵員工在職場使用，但是也有12.8%企業在內部網路禁用ChatGPT。我們在iThome 2023年CIO與資安大調查中，增加了企業對ChatGPT浪潮的因應對策調查，這是全球第一份針對企業ChatGPT採用動向的調查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p5ChatGPT-600-1.png" style="text-align: center; width: 600px;" /></p> <p>對企業來說，ChatGPT的確帶來了全新的AI典範，更讓眾人看到生成式AI技術的成熟，以及顛覆創新的可能。根據我們的調查數據，臺灣已經有23.1%的企業開始評估各種生成式AI技術，不只是評估ChatGPT所用的GPT-3、GPT-4大型語言模型，還開始評估其他廠商發表的商用大型語言模型，甚至也開始評估熱門的圖片生成模型的技術或服務。</p> <p>有的企業則是成立種子團隊摸索，而不是全面開放員工使用，等到一段時間累積經驗後，一方面找到適合自家企業的ChatGPT應用方式，另一方面也避免全面開放後，帶來不可預期的風險，尤其是員工誤將不該外流的資料放上了ChatGPT，變成了訓練資料。另外，有少數積極的企業則是開始在內網串接ChatGPT，甚至有12%企業調整現有AI發展策略，7%企業加碼今年度的AI預算。</p> <p>不只是使用現成的公版模型，5.7%創新個性強的企業正在準備訓練資料，計畫要微調出自己產業所屬的客製化ChatGPT。</p> <p>但是，資訊長和資安長沒有輕忽任何新興技術所伴隨的風險，根據我們對臺灣大型企業的調查，企業因應ChatGPT浪潮的首要作法是強化員工ChatGPT資安意識，高達43.5%企業如此，其次有28.5%的企業同步強化自家機敏資料保護機制，這是企業因應ChatGPT浪潮吹進臺灣的兩大對策。例如有多家企業開始在DLP資料外洩機制中，增加對ChatGPT的偵測判斷規則，就算不打算禁止，至少會開始追蹤內部員工上網連線到ChatGPT服務的行為，作為日後追蹤的參考。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p5ChatGPT-600-2.png" style="text-align: center; width: 600px;" /></p> <p>各產業對ChatGPT的態度兩極，或者說，同時並存，積極擁抱與擔心禁用者皆有，金融業率先在內網禁用的企業較多，將近45.8%，等於是兩家金融機構就有一家禁用，其次則是高科技製造業者，日前三星半導體機敏資料外洩事件仍讓部分高科技業者對ChatGPT抱持著觀望的態度，不敢貿然擁抱。</p> <p>企業最擔心ChatGPT帶來什麼樣的資安風險？答案出乎意料，最大宗的風險不是員工上傳企業機密，而是有20.9%企業擔心ChatGPT遭到駭客濫用，成了駭客發動攻擊的輔助工具，擔心企業機密資料因此外流的企業只有7.9%，另一個資安長擔心的隱憂，則是企業高層資安意識的不足，當高層興沖沖想要擁抱AI新典範的同時，容易輕忽了ChatGPT背後的資安風險以及潛在影響，反而成為了企業擋不住駭客攻擊的新弱點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1129-%E5%B0%81%E9%9D%A2-p5ChatGPT-600-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span> </strong></span><span style="color:#696969;"><strong>大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、iThome歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 59.8%填答者為企業資安最高主管。</strong></span></p> <p> </p> </div></div></div>
2023/5/11 14:34作者王宏仁https://www.ithome.com.tw/article/156835
【臺灣資安大會直擊】Google在臺揭露俄烏戰爭背後的網路威脅態勢，有更多國家與個人也成目標，遠超傳統戰爭邊界
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安威脅加劇已成全球重大風險，而在2022年2月俄羅斯軍隊入侵烏克蘭後，衝突下所引發的網路威脅局勢變化，更是引發全球關注，對於多年飽受周邊國家威嚇的臺灣而言，同樣十分關注。</p> <p>這一年來，我們已經看過許多烏克蘭戰爭的分析，顯示網路攻擊在國際武力衝突下持續發揮重要作用。而在2023臺灣資安大會的第一天，追蹤全球200多個駭客組織的Google威脅分析小組（Threat Analysis Group，TAG），在臺分享他們在這一年的關鍵發現，並希望全球對於這場衝突所帶來的網路威脅格局變化，都能有更清楚的認識，才能進一步思考對策。</p> <h2><strong>在衝突前俄網路攻擊力道就已加大，並針對北約國家發動攻擊，還有全球網路輿論影響</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Google%E5%A8%81%E8%84%85%E5%88%86%E6%9E%90%E5%B0%8F%E7%B5%84%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AA%AA.jpg" style="width: 280px; float: right;" /></p> <p>對於一般民眾而言，關於現代戰爭的想像，可能仍停留在陸海空軍力的行動，但去年俄羅斯軍隊入侵烏克蘭的戰事中，其實已經明確的呈現出軍事與網路攻擊混合的現況。</p> <p>只是，這些網路攻擊帶來的危害，並不像現實砲火那樣顯著，但究竟這些網路攻擊有何不同？Google威脅分析小組資深總監Shane Huntley在臺發表主題演說時，指出這場衝突下有三大網路威脅的面向，最值得優先關注，包括：政府支持的網路攻擊者、輿論影響行動（Influence Operations），以及網路犯罪。</p> <p>對於臺灣而言，在我們關注未來網路威脅之際，勢必先要了解這場戰事下所帶來的新改變，才能思考自身如何去應對。</p> <h3><span style="color:#0000FF;"><strong>焦點一：政府支持的網路攻擊者（Government-backed attackers）</strong></span></h3> <p>關於政府支持的網路攻擊者的威脅，Shane Huntley表示，身為Google旗下眾多安全團隊之一的TAG小組，他們保護Google與全球用戶的使命，早在13年前就已經開始。這是因為，Google在2009年遭到政府<br /> 支持的駭客組織攻擊，為了應對這些威脅，當時便成立了TAG小組。因此，TAG小組在這方面相當有經驗。</p> <p>在最近一年，俄羅斯入侵烏克蘭的衝突之下，Google也積極保護著烏克蘭的用戶、協助烏克蘭的政府，持續致力於使世界變得更安全。而在此背後，TAG看到了各種APT攻擊，以及受政府支持的網路攻擊行動與網路間諜活動，經過研究分析，他們有4個主要發現。</p> <p>首先，Shane Huntley指出，早在入侵之前，其實，俄羅斯的網路攻擊準備工作就已經開始。</p> <p>進一步回顧整個政府支持攻擊者的行動，以過去10年Goolge追蹤俄羅斯的網路攻擊行動的經驗來看，烏克蘭一直是俄羅斯的主要目標之一。但在2022年這場戰事爆發前夕，明顯開始加強網路攻擊，針對烏克蘭的攻擊要比2020年增加了2.5倍。這顯現出，俄羅斯投入更多的力量對烏克蘭發動網路攻擊。</p> <p>第二，而在軍事衝突發生之後，他們更是觀察到，有一波波破壞性的惡意軟體襲擊烏克蘭，這是與以往攻擊最大不同之處。</p> <p>值得我們留意的是，這些攻擊者的實際攻擊目標，並不只於首要的重要目標。例如，俄羅斯不只攻擊烏克蘭的國防部與外交部，同時也針對市政府、司法部門、鐵路，以及關鍵基礎設施等進行網路攻擊。其主要目的就是，藉由襲擊民間基礎設施，企圖破壞當地民眾對政府的信任。這也意味著，這些攻擊者的攻擊行為，其實也鎖定了烏克蘭民眾的日常生活。</p> <p>第三，這是一場更廣泛的網路攻擊行動，有更多的國家也成為目標，遠遠超出戰爭的邊界。儘管大家注意到，實際的戰爭可能集中在烏克蘭邊境，但需要知道的是，這場戰事不僅僅是表面看起來的那樣。</p> <p>例如，北約國家用戶面臨更嚴重的針對性攻擊，在Google的觀察中，俄羅斯針對北約國家用戶的攻擊，增加了3倍，而這主要由白俄羅斯政府支持的駭客組織PUSHCHA發動。</p> <p>第四，雖然國際間有很多預測，在俄羅斯持續發動網路攻擊之下，我們將立即看到基礎設施遭破壞性攻擊，但他們的觀察結果是，這些針對CI的攻擊並未取得驚人的成功率。</p> <p>談到這裡，針對破壞性網路攻擊（destructive attacks）的威脅，Shane Huntley認為，許多人可能忽視一件事──若要達到破壞性攻擊，實際上必須先獲得系統的存取權限，才能執行惡意資料刪除軟體，因此，並不是一發動攻擊就結束了，破壞性攻擊只是進階持續性攻擊的最後階段。</p> <p>此外，許多人對於這種破壞性攻擊，會擴散到北約或美國之外，這樣的擔憂是合理的，不過，TAG小組並未看到這種情況明顯發生。</p> <p>整體而言，他們發現相當多由國家支持的網路攻擊活動存在，而且，這些網路攻擊者各自有各自的任務。例如，經過他們的分析，有些組織的行動只針對烏克蘭，有些則擴展到澳洲、南美洲、中東與東南亞。還有一些軍事相關的網路攻擊行動，專門針對重要目標，也有一些組織主要從事間諜活動，有的則同時進行輿論影響行動與實際破壞性攻擊，以及少數組織專門施以破壞性攻擊。</p> <p>而且，這些攻擊活動不只是俄羅斯在幕後發動，白俄羅斯的駭客組織也在這場戰事上發揮了重要作用。</p> <p>而從今年2月TAG發布的研究報告來看，這些威脅攻擊組織主要有6個，其中5個由俄羅斯政府支持，分別是Sandworm、Fancy Bear、Callisto Group、UNC2589，以及Uroburos，另一個是白俄羅斯政府支持的PUSCHA。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Google威脅分析小組主題演說.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%E5%A8%81%E8%84%85%E5%88%86%E6%9E%90%E5%B0%8F%E7%B5%84%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AA%AA.jpg" style="width: 600px;" /></a></p> <p>Google威脅分析小組資深總監Shane Huntley在CYBERSEC臺灣資安大會第一天現場，說明這場衝突下有三大網路威脅面向值得重視。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-08_130835.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-08_130835.jpg" style="width: 600px;" /></a></p> <p>針對俄羅斯入侵烏克蘭事件，Google TAG小組分析了俄羅斯與白俄羅斯政府支持攻擊者的網路威脅行動。</p> <h3><span style="color:#0000FF;"><strong>焦點二：輿論影響行動（information operations，IO）</strong></span></h3> <p>從輿論影響行動的面向來看，俄羅斯之前就積極用此手法影響美國選舉，因此，在入侵烏克蘭的行動之下，再次利用這樣的手法也不讓人感到驚訝。</p> <p>實際上，TAG也確實觀察到俄羅斯大量使用各種形式的網路輿論影響行動，以影響有關這場戰爭的公眾認知與看法。</p> <p>例如，俄羅斯的輿論影響行動，首要影響的是該國民眾，以維持其國內對戰爭的支持，並會以使用公開或隱蔽的機制，以國家媒體或更換名稱的國家媒體的形式出現，並會假裝成真實用戶來影響大眾心理，而這類行動有明顯增加。</p> <p>特別的是，Shane Huntley也透露了實際追蹤的情形。基本上，兩邊的愛國主義者都希望參與並發聲，希望能為自己的國家做些什麼，但在許多情況下，這也使得事件回應的進行，以及對於局勢的理解，變得更加複雜。他舉例，TAG不僅要追蹤標準的國家級駭客行為，也需要追蹤每個愛國青少年可能下載駭客工具或參與其中，並也發現許多指導業務駭客的行為。</p> <p>面對這樣的情形，Google也在設法因應，這一年內已經祭出許多措施，以打擊這些影響行動的發起組織，包括：打擊散布操弄性資訊、以網路研究機構為名的Prigozhin組織，以及一家看似俄羅斯咨詢公司，但實際上代表俄羅斯政府進行公關活動的公司，而在2022年，Google也暫停俄羅斯政府資助的媒體在其平臺上獲利。具體而言，這些行動，實際上大大減少了俄羅斯政府在Google平臺的影響力。</p> <p>Shane Huntley強調，他們持續密切觀察這些輿論影響行動者的活動，並將這些活動進行分析與關聯，目的就是確保平臺上的辯論與討論是合法的，而不是由政府支持的威脅行動者主導，因為我們相信自由表達，但這些問題不應該是偽裝成他人來煽動。</p> <p>至於目前的現況，他們看到這些輿論影響的內容，有超過9成是用俄語撰寫，顯然在戰事持續下，俄羅斯持續聚焦在獲得國內支持，但也要注意的是，全球亦有不少俄語使用者會受其影響。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-08_130957.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-08_130957.jpg" style="width: 600px;" /></a></p> <p>針對俄羅斯入侵烏克蘭事件，Google TAG小組分析了俄羅斯輿論影響行動有多個發動者。</p> <h3><span style="color:#0000FF;"><strong>焦點三：網路犯罪</strong></span></h3> <p>在網路犯罪的面向，Shane Huntley表示，如果你想到勒索軟體，你很可能也會聯想到俄羅斯，不過，實際上還有一定數量的烏克蘭人參與其中。</p> <p>他以惡名昭彰的駭客集團「Conti」為例，之前該集團有這兩國的人共同參與網路犯罪。不過，當一國入侵另一國時，這個組織解散了。儘管對於全球而言，很高興看到如此分崩離析的情況，但也出現一些組織，以更具愛國主義的方式團結在一起。</p> <p>例如，這些前網路犯罪組織成員，積極利用垃圾郵件、假冒更新名義的釣魚郵件，來針對烏克蘭的各種公營與民營組織。因此，烏克蘭仍然是他們的主要攻擊焦點，而且其行動不斷演進，不僅是攻擊目標變得更加複雜，同時也在學習的技能，持續進行嚴重的間諜活動，以支援他們的軍事行動。</p> <p>整體而言，我們必須意識到，網路攻擊將在未來的國際間的武力衝突，繼續發揮重要作用。</p> <h2><strong>中國政府支持攻擊者也攻擊烏克蘭，並迎合俄羅斯內外宣發動輿論影響行動</strong></h2> <p>對於臺灣而言，我們更要知道的是，俄羅斯的攻擊也影響著中國的行動。Shane Huntley表示，在戰爭開始時，Google也實際看到來自中國政府支持的攻擊者，對烏克蘭組織進行攻擊，同時也加入輿論影響行動，散布符合俄羅斯論調的資訊，表達支持俄羅斯、反對烏克蘭，並且散布更多關於批評美國與西方的內容。</p> <p>因此，我們必須意識到，這是一個複雜的環境，面對一場國際衝突，不僅要當心當前的對手，還可能要應對來自世界另一端、完全不同網路攻擊的威脅。</p> <p>整體而言，大家過去可能已經看過一些報告，說明這場戰事對網路威脅的影響，像是Google本身在今年2月也發布了兩份報告，而這次Shane Huntley也透過簡要的說明，讓我們更清楚這場戰事背後的網路世界發生了甚麼事。</p> <p>有了這樣的了解，我們才能夠更好去思考，在衝突時期該如何面對未來的威脅，以及因應未來我們需要做哪些準備。</p> <p>同時，他也強調一件事，在這場持續性戰事中，支援俄羅斯軍事行動的網路攻擊，有很大的部分，實際上也就是我們多年來一直在應對的資安威脅，不論是網路釣魚、惡意軟體與攻擊手法，近年IT安全方面的強化，著重在雙因素身份驗證和零信任原則，這些資安防護的陸續推動下，都應該成為基本原則。</p> <h2><strong>俄政府支持駭客組織的攻擊目標比普遍想像要多且廣，資安防護人人有責</strong></h2> <p>而我們在會後也詢問了Shane Huntley，他再次強調幾個重點，長期以來，這些國家支持的攻擊者持續存在，在戰爭衝突期間也不例外，TAG團隊看到網路威脅不斷升級，甚至在2021年就開始針對組織與個人，發動更多的網路釣魚活動。</p> <p>而在衝突開始後，也看到網路攻擊活動的新變化，包括發動大量的輿論影響行動，以及破壞性的資料刪除攻擊活動，各種攻擊方式都成為俄羅斯的手段，不只是針對烏克蘭，也針對北約陣營。</p> <p>由於Google觀察到俄羅斯在戰事開始前，2021年就有更多網路攻擊行為，因此，我們也進一步詢問TAG小組在這方面的觀察。</p> <p>Shane Huntley指出，這可能就是一種預先布署，試想，如果你想進行破壞性攻擊，你不會在想要達到效果那天才開始研究目標，因此，通常會事先做好啟動準備，因此，意圖對於軍事行動來說非常重要，有軍事背景的人，都知道了解敵人是任何軍事行動的重要關鍵。換言之，相對地，如果對方頃向與自己友好，就不會持續發動網路攻擊並加大攻擊力道。</p> <p>另外，Shane Huntley這次揭露俄羅斯在網路攻擊的所作所為，不只是要讓全球政府注意，需應對其他政府支持的網路攻擊，因為，Google還看到更多民眾與企業組織都成為攻擊目標，包括許多人的Google帳號受到攻擊，以及擁有知識財產權的組織遭攻擊，還有關鍵基礎設施遭到攻擊。</p> <p>因此，受到政府支持攻擊的目標，要比普遍人們所想的要多，而且這是一個日常，並且在衝突時期變得更猛烈，不論是發動網路釣魚攻擊、發送惡意軟體，透過社交工程伎倆欺騙使用者，以及針對未修補的漏洞入侵。</p> <p>換個角度，對於臺灣而言，我們可以如何強化自身的資安防禦？Shane Huntley建議，可以聚焦於零信任、安全設計、多因素身份驗證，減少攻擊面等基礎，並在這個基礎上建立安全的網路與系統，開始考慮使用更進階的防護措施。</p> <p>更重要的是，臺灣要意識到可能成為攻擊目標而有所防禦準備。換言之，這與國家軍隊成立、保家衛國的目標是一樣的。</p> <p>同時，這不僅是政府的責任，也是要讓每個人意識到都有責任。對於Google而言，他們也在持續保障自身用戶安全，現階段，Google需要做的重要任務就是──讓用戶不容易犯錯，像是系統在使用時，預設就是安全。他也以Google要求員工使用實體安全金鑰（Security Key）為例，這不僅僅是讓員工登入不再面對密碼的問題，更重要是讓網路釣魚攻擊變得幾乎不可能；而之前像是Chrome瀏覽器的自動安全更新，也讓用戶處理更新修補可以變得簡單。</p> <p>不僅如此，Google近年也持續致力於開源軟體安全，對於這方面，臺灣也能夠做些什麼？他認為，這就像一場團隊運動，臺灣可以從不同方面提供安全，例如臺灣在科技產品製造有很強的專業知識，可以思考如何讓臺灣生產的產品或軟體，更加注重安全，以及在全球範圍做出各種貢獻，確保安全成為最重要的優先事項，這將會帶來巨大的回報。</p> </div></div></div>
2023/5/10 22:52作者羅正漢https://www.ithome.com.tw/news/156827
Google搜尋加入Perspectives篩選器，提供他人觀點的影片、文字內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google I/O大會上，Google除了Pixel 7手機系列及Bard外，也改良核心服務Google搜尋，<a href="https://blog.google/products/search/google-search-perspectives/" target="_blank">宣布新增Perspectives篩選功能</a>，提供其他人觀點及經驗分享的影片和文字內容，加速搜尋到更有用的資訊。</p> <p>搜尋資訊時，有時最有用的資訊是其他人的心得、經驗或意見。為此Google搜尋將新增名為Perspectives的篩選功能，它位於搜尋結果頁上方。這項功能原本只在美國英文版Google搜尋提供，現在將於未來幾周內全面部署。點進Perspectives會看到來自各種社交平臺、問答網站或論壇、討論區的影片、圖片及文字貼文。Google也會顯示內容作者資訊，像是姓名、頭貼相片或人氣資訊等。</p> <p>例如用戶搜尋「如何在新城市內交到新朋友」，點入Perspectives後，可以看到分享結交朋友的方法、經驗故事的影片或討論區貼文，這些網站包括YouTube、Tiktok或Reddit等等。按下「看更多」還會顯示整區提供使用者生成的內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0511-google%20perspectives%20on%20Search-600.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>而為了搜尋到更多人類生成的內容，Google也正在從技術面改版搜尋服務，未來幾個月內Google Search會更強化，著重搜尋包含人類用戶專業知識和第一手經驗分享的內容，而不是促銷內容，以提供更有用的資訊。</p> <p>這方向將使Google Search更著重搜尋討論串、不那麼知名的部落格，以及特殊主題的專業網頁文章，同時也會反映在搜尋結果頁的排序上。Google也說正在改良搜尋結果頁的評比內容的排序；除了原有的權威性、專業及可信賴性外，Google也更強調「有用內容」的「經驗」屬性。</p> </div></div></div>
2023/5/11 14:01作者林妍溱https://www.ithome.com.tw/news/156833
【資安日報】5月11日，資安業者Dragos遭到網路攻擊，駭客企圖假冒即將就職的員工入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>員工就職的流程竟成為駭客意圖入侵資安業者的管道！資安業者Dragos證實近日遭到使用勒索軟體的駭客組織攻擊，駭客假冒尚未就職的員工，通過相關流程並取得部分存取權限，所幸該公司察覺異狀採取行動而沒有成功。但離譜的是，駭客事後竟向其高階主管開口索討贖金，揚言不付錢就會對其家人不利。</p> <p>WordPress網站的外掛程式漏洞也相當值得留意，有資安業者揭露外掛程式Advanced Custom Fields的漏洞CVE-2023-30777，並指出至少7成網站曝險，呼籲網站管理者要儘速處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.dragos.com/blog/deconstructing-a-cybersecurity-event/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Dragos證實遭遇資安事故，駭客企圖入侵其網路環境並進行勒索</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-09_Event-Timeline-1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-09_Event-Timeline-1-1.png" style="width: 300px; float: right;" /></a>專精工控領域的資安業者Dragos證實，5月8日有已知的網路犯罪組織企圖對他們發動攻擊及勒索，所幸駭客沒有成功，該公司亦表示旗下系統皆未遭到入侵。</p> <p>該公司指出，駭客針對即將任職的業務人員下手，在該名員工尚未到職之前藉由其電子郵件信箱取得存取權限，並完成入職流程，然後存取新進業務人員的SharePoint系統、合約管理系統，駭客讀取其中1份含有客戶IP位址的調查報告，該公司已對此客戶進行通報。</p> <p>而對於攻擊者的身分，Dragos透露該組織會使用勒索軟體加密檔案，但這些駭客在尚未得手的情況下，竟向Dragos高階主管進行勒索，並聲稱要對他們的家人不利。對此，Dragos對於就職員工的流程加入額外的驗證程序，以防類似的攻擊事件再度發生。</p> <p><a href="https://patchstack.com/articles/reflected-xss-in-advanced-custom-fields-plugins-affecting-2-million-sites/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Advanced Custom Fields出現漏洞，百萬網站曝險</span></strong></a></p> <p>資安業者Patchstack揭露WordPress外掛程式Advanced Custom Fields的漏洞CVE-2023-30777（未提供CVSS風險評分），此為跨網站指令碼（XSS）漏洞，影響免費版與付費版用戶，攻擊者若是具備存取此外掛程式的權限，就有可能在採用預設配置部署的網站上觸發漏洞，且無需通過額外的身分驗證，開發者獲報後發布6.1.6版予以修補。</p> <p>由於有超過2百萬個網站安裝了此外掛程式，但截至5月11日仍有逾7成使用6.0以下的版本，使得研究人員呼籲網站管理者應儘速升級。</p> <p><a href="https://www.sentinelone.com/labs/kimsuky-evolves-reconnaissance-capabilities-in-new-global-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky利用惡意軟體ReconShark跟蹤使用者</span></strong></a></p> <p>資安業者SentinelOne揭露北韓駭客組織Kimsuky的攻擊行動，駭客透過特製的網路釣魚郵件，假借政治議題來引誘收信人上當──例如，中國與北韓之間的核武協商，或是俄羅斯與烏克蘭之間仍在進行的戰爭等，意圖散布惡意軟體ReconShark。</p> <p>在其中一起事故裡，駭客針對名為Korea Risk Group組織的員工而來，假冒與信件內容有關的人士（如科學家、政治家）寄送釣魚郵件，然後引誘收件人從雲端檔案共享系統OneDrive下載受到密碼保護的Word檔案，其中含有惡意巨集，一旦收信人啟動巨集，攻擊者就有可能在目標電腦部署ReconShark，進而收集受害電腦的系統資訊，或是下載其他作案工具。</p> <p><a href="https://www.kroll.com/en/insights/publications/cyber/cactus-ransomware-prickly-new-variant-evades-detection"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">規避防毒軟體出現新招式！勒索軟體Cactus將自己也「加密」</span></strong></a></p> <p>資安業者Kroll揭露自今年3月開始頻繁出現活動的勒索軟體Cactus，駭客主要針對大型企業下手，先是利用Fortinet SSL VPN設備的已知漏洞入侵目標組織的網路環境，隨後利用網路掃描工具netscan進行初步偵察，並執行PowerShell命令枚舉端點設備，窺視特定的Windows安全事件記錄來找出使用者帳號。</p> <p>為了能夠順利執行勒索軟體與進行橫向移動，駭客往往會試圖從網頁瀏覽器轉存帳密資料，或是從硬碟找出儲存密碼的檔案。最終駭客透過Rclone洩露竊得的資料，並執行勒索軟體來加密檔案。</p> <p>值得留意的是，駭客為了繞過防毒軟體的偵測，他們透過含有密碼的ZIP檔案打包勒索軟體的可執行檔，然後在執行之前才透過PowerShell指令碼解壓縮，並藉由指定參數啟動勒索軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-use-winrar-to-wipe-ukraine-state-agencys-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm利用WinRAR解壓縮軟體、dd應用程式，對Windows及Linux電腦進行資料破壞攻擊</span></strong></a></p> <p>烏克蘭電腦緊急應變小組（CERT-UA）針對俄羅斯駭客Sandworm的攻擊行動提出警告，這些駭客透過已外洩的VPN帳號，針對沒有採取雙因素驗證措施的烏克蘭國家網路重要系統下手。</p> <p>一旦成功滲透這些重要系統的內部網路環境，駭客就會攻擊網路裡的Windows電腦，濫用WinRAR解壓縮軟體及指令碼來執行資料破壞攻擊。值得留意的是，Linux主機也是駭客的目標，他們透過dd應用程式來覆寫受害電腦的檔案，並Bash指令碼來進行破壞。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/chipmaker-patch-tuesday-intel-amd-address-over-100-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel、AMD發布例行更新，公告超過100個漏洞的緩解措施</span></strong></a></p> <p>處理器製造商Intel、AMD於5月9日，針對旗下產品的漏洞發布資安通告。</p> <p>其中，Intel總共發出了38則資安通告，提及超過80個漏洞，其中有約20個為高風險層級，而有可能被攻擊者用於提升權限，這些漏洞存在於QuickAssist Technology、iOS版Retail Edge應用程式、基版管理控制器（BMC）韌體、WULT軟體、資料中心管理系統（DCM）等。</p> <p>AMD則是針對用戶端電腦19個漏洞、伺服器14個漏洞發出資安公告，但特別的是，這次大部分的漏洞都是已在2021年列管，僅有2個伺服器的漏洞是在2023年發現。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://github.blog/2023-05-09-push-protection-is-generally-available-and-free-for-all-public-repositories/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">防範密碼與API金鑰洩漏，GitHub將推送保護功能免費提供給公開儲存庫</span></strong></a></p> <p>5月9日GitHub宣布，原本提供給Advanced Security用戶的推送保護（Push Protection）功能，他們將對所有公開的儲存庫免費提供。</p> <p>此功能主要是避免開發人員在程式碼中，意外洩漏密碼或是API金鑰等敏感資訊，一旦偵測到程式碼裡出現可被識別的機密資訊，推送保護的機制就會藉由IDE或是命令列工具提醒開發人員，並提供修改建議。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156820"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">副總統蒞臨臺灣資安大會，強調政府將全力支持資安產業發展</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/lockbit-30-leaks-600-gbs-data-stolen-from-indian-lender-a-22010"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度銀行Fullerton India傳出遭勒索軟體LockBit攻擊，外流600 GB內部資料</span></span></strong></a></p> <p><a href="https://www3.nhk.or.jp/news/html/20230509/k10014061071000.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本法務省所屬網站遭到癱瘓，起因是該國政府通過與難民有關法案的修正案惹議</span></span></strong></a></p> <p><a href="https://orqafpv.com/blog-details/bricking-incident-public-announcement"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Orqa無人機護目鏡傳出故障，起因是前合作廠商埋藏的「定時炸彈」</span></span></strong></a></p> <p><a href="https://www.justice.gov/usao-cdca/pr/federal-authorities-seize-13-internet-domains-associated-booter-websites-offered-ddos"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國扣押13個被用於提供DDoS服務的網域</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156810">【5月10日】微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156783">【5月9日】安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因素驗證碼</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156782">【5月8日】付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請</a></strong></p> </div></div></div>
2023/5/11 12:05作者周峻佑https://www.ithome.com.tw/news/156830
Google以About this image來協助使用者辨識圖像真偽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/about-this-image-google-search/" target="_blank">Google於本周舉行的年度I/O開發者大會上宣布</a>，將把培養使用者資訊素養的範疇從文字擴大到圖像，未來旗下服務將在遇見圖像時，提供About this image的功能以讓使用者辨識圖像的脈絡，且只要是由Google AI所生成的圖像，都會具備標記。</p> <p><a href="https://www.poynter.org/fact-checking/media-literacy/2022/survey-says-large-majority-think-they-see-misinformation-online-every-week/" target="_blank">根據Poynter在2022年的調查</a>，有62%的使用者相信他們每周至少都會碰見一次不實資訊，不管是文字或圖像，這使得Google已於搜尋服務中增添工具以供使用者評估內容的真偽，現在則延伸至視覺內容。</p> <p>About this image將提供Google索引該圖像的時間點，該圖像首次出現的時間點，以及該圖像曾經出現在哪些地方，諸如新聞網站或事實查核網站之類的。</p> <p>Google準備先在Google Images、Google Lens及Google App中新增About this image功能，只要使用者遇見可疑的圖像就能點選它以查看圖像的背景資料，亦打算於今年將該功能整合至桌面版及行動版的Chrome瀏覽器上，而且使用更方便，只要點選滑鼠右鍵或長按瀏覽器上出現的圖像就能查看圖像資料。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/ATI_Main_Flow_Gif.gif" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> <p>About this image計畫於幾個月後率先出現於美國市場，初期將僅支援英文。</p> <p>另一方面，有鑑於市場上出現愈來愈多AI圖像生成工具，且Google也於本周宣布文字轉圖像模型Imagen將進駐Google旗下的全代管機器學習平臺Vertex AI，為了讓使用者更容易辨識AI生成圖像，未來所有由各個Google平臺產生的AI圖像都會添上標記，明確說明它來自Google AI，亦允許創作者或出版商客製化類似的標記。</p> </div></div></div>
2023/5/11 12:59作者陳曉莉https://www.ithome.com.tw/news/156831
Google輸入文字轉音樂的AI工具MusicLM開放公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美東時間周三（5/10）的Google I/O上，<a href="https://blog.google/technology/ai/musiclm-google-ai-test-kitchen/" target="_blank">Google宣布</a>可讓用戶輸入文字產出高品質音樂的AI工具MusicLM開放大眾測試。</p> <p><a href="https://google-research.github.io/seanet/musiclm/examples/" target="_blank">Google今年一月公布</a>實驗性的MusicLM工具，允許用戶輸入一段描述文字產生音樂。當時Google表示，基於可能的侵權疑慮，不會開放一般用戶使用。不過<a href="https://aitestkitchen.withgoogle.com/experiments/music-lm" target="_blank">現在用戶可以透過網頁</a>或Android、iOS版AI Test Kitchen App登入試用。用戶可以輸入「晚宴後的深情爵士樂」MusicLM就會產出2個版本供用戶選擇，用戶選擇其中一項後，可以再透過提示對話框來逐步調整成想要的音樂。</p> <p><a href="https://google-research.github.io/seanet/musiclm/examples/" target="_blank">Google說明</a>，MusicLM模型比之前自己的AudioLM更先進。若用戶要的是「令人沈靜的小提琴旋律，以重複破音效果的吉他聲作為背景」，MusicLM會將此任務當成階層式序列到序列（Seq2Seq）的建模流程來完成，產出數分鐘24kHz的音樂。還能根據文字要求，將口哨及人哼出的旋律加以轉化成音樂。Google實驗顯示MusicLM比早先其他系統生成的音樂音質更好，也更能符合描述所需。</p> <p>Google也宣布，和音樂家如Dan Deacon及代管音樂網站合作，由真人音樂家協助Google開發MusicLM模型。</p> <p>Google或許是在OpenAI刺激下開放這項服務。<a href="https://www.ithome.com.tw/news/137371" target="_blank">OpenAI 2020年就推出</a>深度神經網路模型Jukebox，可讓用戶輸入歌詞生成一段樂譜。</p> </div></div></div>
2023/5/11 13:13作者林妍溱https://www.ithome.com.tw/news/156832
Google Bard向180餘市場開放，加入多模支援、可匯出到Gmail、Docs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周才<a href="https://www.ithome.com.tw/news/156730" target="_blank">開放Bing Chat</a>，周三（5/10）<a href="https://blog.google/technology/ai/google-bard-updates-io-2023/" target="_blank">Google在I/O 2023大會上正式宣布AI聊天機器人Bard</a>，可支援圖像及文字輸入、懂得日、韓語、標註程式碼來源、可將草稿直接匯出到Gmail，之後也將整合Adobe Firefly圖片生成工具。</p> <p>3月Google Bard以限定測試版上線時，僅開放美、英地區部分用戶使用，其他人只能加入等候清單等待開放使用。在今天凌晨的宣布下，Google移除了Bard的等候清單，<a href="https://bard.google.com/" target="_blank">向180多個國家地區開放使用</a>，且還會再擴大。而今天起，Bard也能支援日、韓語，還會陸續增加40種語言。</p> <p>上線二個月以來，Google漸次為Bard增加功能，包括4月加入<a href="https://www.ithome.com.tw/news/156533" target="_blank">生成及解釋程式碼功能</a>，上周又<a href="https://blog.google/technology/ai/google-palm-2-ai-large-language-model/" target="_blank">將底層模型升級</a>到更強大的大型語言模型PaLM 2，包含進階數學、推理及編碼能力。</p> <p>一如預期，全面上線的Bard加入了多項新功能，包括支援圖像及文字的多模運作、依據開發人員回饋改進Bard程式撰寫功能，並可將產出內容匯出到Gmail、Google Docs等。</p> <p>Bard的回應及提示功能不久後可具備多模運作，同時支援圖像文字輸入輸出。例如用戶詢問「紐奧良有什麼必看景點？」Bard會提供文字及更多圖片，用戶也可以在提示功能上傳圖片，例如要求Bard根據自家愛犬相片撰寫有趣標題。後者情境整合了Google Lens的圖像辨識功能，協助Bard在幾秒內分析圖片、偵測品種，以撰寫創意性的標題。</p> <p>Bard在最近的更新中，也在一些關鍵程式碼整合了開發人員回饋意見。下周起，Bard會在回應的程式碼中提供引用來源，點入附註（annotation）後Bard會在相關程式畫底線，點入可連到出處。此外，Bard不久也將整合第三方線上整合開發環境Replit，讓開發人員輸出及執行程式碼，新功能將從Python開始。而今天起Bard就可轉換成深色主題，滿足許多人的需求。</p> <p>由於Bard可草擬電子郵件和文件，現在Google新增2項匯出行動（Action），讓用戶將Bard的草稿直接匯到Gamil和Docs，加速作業流程。例如，Bard產出活動邀請函後，按一下「draft in Gmail」按鍵即可轉到Gmail完成編輯再送出給他人。</p> <p>Google預告，未來還會持續整合Bard和其他Google雲端應用如Docs、Gmail、Drive、Maps等等。Google強調用戶可以透過隱私設定，自行決定工具和外掛的使用權限。</p> <p>此外，Bard也會整合第三方服務。除了前述的Replit外，幾個月內Bard將整合Adobe Firefly AI圖片生成工具，讓Bard生成圖案（下圖），用戶可再輸出Adobe Express編輯。目前Google正和旅遊網站Kayak、線上訂餐平臺OpenTable、招聘網站ZipRecruiter、送貨服務Instacart、線上自動問答平臺Wolfram及可汗學院（Khan Academy）合作將其服務整合到Bard中。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Bard_Demo_03_Image_Generation_v10_.gif" style="width: 500px;" /></p> <p>或許因為初期開放地區有限，Google並未公布Bard的使用人數。相較之下，微軟Bing上線三個月以來每日經常性用戶超過1億人，Bing手機版App安裝數量成長4倍。用戶以Bing Image Creator生成了超過2億幀圖片。</p> </div></div></div>
2023/5/11 11:05作者林妍溱https://www.ithome.com.tw/news/156829
OpenAI運用GPT-4解釋語言模型行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/research/language-models-can-explain-neurons-in-language-models">OpenAI最新人工智慧可解釋性研究</a>，運用GPT-4大型語言模型，自動生成大型語言模型神經元的行為解釋，並對這些解釋進行評分，以評估解釋的品質。</p> <p>之所以要對人工智慧進行可解釋性研究，主要原因是要讓用戶和開發者更理解人工智慧的運作原理，並且了解人工智慧做出決策的方法，進而提高對人工智慧系統的信任度。另外，透過研究人工智慧模型的行為，也更能理解模型偏差與錯誤，因而有辦法提升模型效能，甚至進一步改善人類與人工智慧間的協作。</p> <p>可解釋性研究的重點之一，是了解各個元件的功能，在深度學習中，神經元（Neurons）和注意力頭（Attention Heads）是兩個重要元件，分別在神經網路與自注意力機制中發揮作用。在過去，研究人員必須要手動檢查神經元，來確認這些神經元所代表的資料特徵，但是這過程非常複雜繁瑣，很難擴及到擁有數百億參數的神經網路。</p> <p>因此OpenAI現在提出一種自動化方法，使用GPT-4能夠生成並且評分其他語言模型神經元的行為。該研究的價值在於透過自動化方法，才足以跟上人工智慧發展的步伐，而隨著未來模型的發展，所產生的解釋，品質也會更好更能發揮作用。</p> <p>要解釋神經元行為有三個步驟，分別是以GPT-4生成解釋、以GPT-4模擬，最後是比對。第一步驟透過給定一個GPT-2神經元，並向GPT-4展示相關的文字序列和活躍情況，要求GPT-4生成可以解釋神經元行為的自然語言文字。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201770%20-%20Language%20models%20can%20explain%20neurons%20in%20language%20models%20-%20openai_com.png" style="width: 580px; height: 320px;" /></p> <p>第二步驟是使用GPT-4模擬神經元的行為，目的是了解解釋中的神經元活躍的原因，如此便能夠觀察解釋與神經元活躍的表現是否一致。最後則是比對模擬和真實情況的差異，對解釋進行評分，以衡量解釋的可靠性和準確性。</p> <p>這個以GPT-4自動生成並評分神經元行為的方法，目前對於較大的模型效果不佳，研究人員猜測可能是神經網路較後面的網路層更難解釋，雖然目前許多解釋獲得分數都很低，但是OpenAI相信，隨著機器學習技術的提升，解釋能力也能夠再提高，像是利用更大型模型進行解釋，或是更改解釋模型的結構，都有機會進一步提高解釋品質。</p> <p>OpenAI開源GPT-4所編寫的30萬個GPT-2神經元解釋資料集，以及視覺化工具，還有在OpenAI API上使用公開模型進行解釋和評分的程式碼，OpenAI表示，他們希望其他人工智慧社群也能夠加入研究，發展更好的技術產生高分解釋。</p> </div></div></div>
2023/5/10 21:39作者李建興https://www.ithome.com.tw/news/156824
GitHub公開儲存庫可啟用推送保護功能，避免密碼或是API金鑰洩漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布<a href="https://github.blog/2023-05-09-push-protection-is-generally-available-and-free-for-all-public-repositories/">推送保護（Push Protection）功能，現在免費提供所有公開儲存庫啟用</a>。過去GitHub僅對GitHub Advanced Security用戶的私有儲存庫，提供推送保護功能，而現在GitHub進一步對所有公開儲存庫開放。</p> <p>推送保護功能的目的，是要避免開發人員在程式碼中，意外洩漏諸如密碼或是API金鑰等敏感資訊，該功能透過掃描程式碼中可識別的秘密，並在這些機密資訊被提交到程式碼庫之前發出提醒。GitHub與各家服務供應商合作盡量降低誤判，以提高開發人員對警示的信任度。</p> <p>當推送保護功能發現程式碼中含有敏感資訊時，開發人員會從IDE或是命令列工具中收到提示，並且獲得相對應的修改建議，確保這些機密資訊不會洩漏。</p> <p>但在特定情況下，開發者可能會需要推送包含機密資訊的程式碼，像是需要快速修復故障的時候，開發者便可以藉由提供諸如測試、偽陽性，或是可接受風險會在稍後修復等理由，來迴避推送保護功能的掃描。</p> <p>用戶要啟用推送保護，需要到程式碼安全和分析設定中的機密掃描區塊，啟用機密掃描以推送保護子功能，開始獲得機密掃描保護。</p> </div></div></div>
2023/5/10 21:41作者李建興https://www.ithome.com.tw/news/156826
微軟修補3個零時差漏洞，2個已遭攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於5月10日的Patch Tuesday修補了38個安全漏洞，包括3個零時差漏洞，當中涉及Win32k的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29336" target="_blank">CVE-2023-29336</a>，以及與Secure Boot安全功能有關的<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-24932" target="_blank">CVE-2023-24932</a>都已遭到駭客利用，另一個Windows OLE遠端程式攻擊漏洞<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29325" target="_blank">CVE-2023-29325</a>則在先前已被公開，惟尚未察覺攻擊行動。本月微軟修補的漏洞中有7個被列為重大（Critical）漏洞，上述的CVE-2023-29325即為其中之一。</p> <p>與Win32k有關的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29336" target="_blank">CVE-2023-29336</a>屬於權限擴張漏洞，雖然它只被列為重要（Important）等級，CVSS風險評分為7.8，但成功的攻擊允許駭客取得系統權限，<a href="https://www.zerodayinitiative.com/blog/2023/5/8/the-may-2023-security-update-review" target="_blank">趨勢科技Zero Day Initiative（ZDI）團隊則說</a>，這類的漏洞通常會結合遠端程式攻擊漏洞，以用來散布惡意程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29336" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-CVE-2023-29336.png" style="width: 551px;" /></a></p> <p>至於<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-24932" target="_blank">CVE-2023-24932</a>則為安全開機（Secure Boot）的安全功能繞過漏洞，此一漏洞允許駭客在啟用安全開機的情況下，於UEFI等級執行自我簽署的程式碼，駭客通常利用這類的漏洞來躲避偵測或企圖永久進駐系統。不過，攻擊該漏洞的前提是駭客必須實際存取目標裝置，或是取得目標裝置的本地管理權限。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-24932" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-CVE-2023-24932-Secure%20Boot%20Security%20Feature%20Bypass%20Vulnerability.png" style="width: 550px;" /></a></p> <p>目前已知專門用來攻擊UEFI安全開機功能的BlackLotus bootkit惡意程式，已利用<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-24932" target="_blank">CVE-2023-24932</a>漏洞來繞過微軟於去年1月所修補的類似漏洞CVE-2022-21894。</p> <p>值得注意的是，微軟準備分階段修補<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-24932" target="_blank">CVE-2023-24932</a>，本周即使已釋出修補程式，但其部署預設值是關閉的，也無法提供保護，<a href="https://support.microsoft.com/zh-tw/topic/kb5025885-how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d" target="_blank">因為微軟希望使用者謹慎地手動部署此一更新，並提供詳細的部署指南</a>；接著將於7月11日釋出第二個更新版本，以提供額外的更新選擇並簡化保護的部署，明年第一季才會釋出自動化的正式更新。</p> <p class="rtecenter"><a href="http://support.microsoft.com/zh-tw/topic/kb5025885-how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-KB5025885-CVE-2023-24932.png" style="width: 550px;" /></a></p> <p><a href="https://msrc.microsoft.com/blog/2023/05/guidance-related-to-secure-boot-manager-changes-associated-with-cve-2023-24932/" target="_blank">微軟解釋</a>，此一安全開機功能得以精確控制作業系統在啟動時所載入的開機媒體，倘若未能妥善部署更新，可能造成中斷而無法啟動系統。</p> <p><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29325" target="_blank">CVE-2023-29325</a>為微軟本周所修補的零時差漏洞中風險最高的，其CVSS評分為8.1，它為Windows OLE的遠端程式攻擊漏洞，雖然是個已知漏洞，但尚未遭到駭客利用。Windows OLE提供物件連結與嵌入功能，駭客可藉由傳送含有惡意豐富媒體內容的電子郵件展開攻擊，因此微軟建議使用者最好以純文字模式來閱讀電子郵件以免受到危害。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-CVE-2023-29325-Windows%20OLE%20Remote%20Code%20Execution%20Vulnerability.png" style="width: 550px;" /></p> <p>ZDI團隊提醒，該漏洞的攻擊媒介為預覽視窗，就算使用者沒有直接讀取郵件或訊息，而只是預覽，都有可能受害。此外，即使微軟已提供了不修補<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29325" target="_blank">CVE-2023-29325</a>的暫時因應辦法，但該漏洞已於社交媒體上掀起了廣泛的討論，Windows用戶最好還是儘快測試與修補。</p> </div></div></div>
2023/5/10 17:02作者陳曉莉https://www.ithome.com.tw/news/156822
Google支持的Anthropic公布「AI憲法」，並用以訓練其AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI對人類社會可能造成的威脅以及防範方法，近日再度引發關注。Google支援的AI新創公司Anthropic本周公布新的AI訓練方法，以確保訓練出負責任的AI系統，<a href="https://www.anthropic.com/index/claudes-constitution" target="_blank">同時公布了該公司訓練模型的AI憲法。</a></p> <p class="rtecenter"><a href="https://arxiv.org/abs/2212.08073" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-Constitutional%20AI%20by%20Anthropic-600-1-V2.png" style="width: 509px; height: 387px;" /></a></p> <p>曾獲得Google 3億美元挹注的<a href="https://www.ithome.com.tw/news/156012" target="_blank">Anthropic在3月公布Claude AI模型</a>時，特別強調對人類有益、誠實和無害特性。而呼應近日業界對負責任AI的討論，Anthropic揭示以保障人類福祉為最高宗旨的AI憲法，並以此憲法結合新的模型訓練方法（稱為合憲AI（Constitutional AI）來訓練出該公司的AI及Claude AI聊天機器人。</p> <p><a href="https://www.anthropic.com/index/constitutional-ai-harmlessness-from-ai-feedback" target="_blank">該公司說明</a>，合憲AI是在2個階段中，使用監督式學習（supervised learning，SL）及強化學習（reinforcement learning，RL）訓練模型。第一階段（SL）中，他們以原始模型根據AI原則和一些範例，訓練模型自我批判和修改其回應，再以此微調原始模型。第二階段中，研究人員以微調過的模型以RL方法訓練，由AI模型評估2種AI回應的樣本哪種較好。但此AI模型不是使用人類給的回饋意見作為準則，而是用AI根據一組原則產出的回饋為評估標準，選出更為無害的回應結果。Anthropic認為，結合SL及RL的這種訓練方式可改善人為介入的AI決策過程，最終使AI行為更能精準控制，且大幅減少人類偏見影響。</p> <p>該公司指出，以合憲AI方法訓練出的Claude AI聊天機器人更能應付對話人發動的攻擊，並仍以有助益的態度回應，其回應答案中所含的惡意、毒性也大幅減少。另一個好處是更透明，人類可以說明、檢查和了解AI遵循的原則。此外，由於使用AI自我監督訓練，因此模型訓練也能減少有害內容對人類的創傷。</p> <p>而訓練合憲AI模型聊天機器人的原則，正是該公司的AI憲法。Anthropic指出，目前版本的AI憲法以多個經典法則為基礎，包括《聯合國人權宣言》、<a href="https://storage.googleapis.com/deepmind-media/DeepMind.com/Authors-Notes/sparrow/sparrow-final.pdf" target="_blank">DeepMind公司的Sparrow Principles</a>，以及蘋果的服務條款等信任與安全的最佳典範。</p> <p>這部「憲法」用以訓練AI聊天機器人的模型，提供其選擇回應樣本時的價值基準。其中一些原則包括，選擇無害及合乎倫理的回應，不要選擇有毒、種族偏見或性別歧視，以及鼓勵非法、暴力行為的回應。選擇展現具道德倫理的回應，不要表現出過於高傲、鄙視的態度。比較回應，避免選擇說教及過於激烈的回應，儘可能選擇無害、指控語氣、禮貌、體貼及尊重的回應</p> <p>該公司說，這些原則並非最終版，只是集結現有的普世價值及AI業界規範，他們也希望未來有其他人加入這部憲法的編撰。</p> <p>這是科技業界發表如何讓AI為人類所用的最新嘗試。4月一份由科技大亨馬斯克（Elon Musk）及蘋果共同創辦人Steve Wozniak等專家簽署的公開信，呼籲AI實驗室暫緩發展比GPT 4.0更進階的AI模型。<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/05/04/statement-from-vice-president-harris-after-meeting-with-ceos-on-advancing-responsible-artificial-intelligence-innovation/" target="_blank">上周白宮邀集</a>微軟、Google、OpenAI等科技巨擘執行長共商發展負責任AI，而Anthropic也獲得了邀請。</p> </div></div></div>
2023/5/10 15:32作者林妍溱https://www.ithome.com.tw/news/156821
資安大會第2天副總統到場，賴清德：政府全力支持資安產業發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在總統蔡英文昨天(5/9)於資安大會首日親臨現場致詞，強調資安產業發展的重要性，政府推動資安即國安2.0，今天資安大會的第2天上午，副總統賴清德也到現場，強調政府全力支持資安產發展的決心。</p> <p>過去幾年，政府持續強化我國資安相關產業發展，通過資訊安全管理法，推動政府及產業數位發展而成立數位發展部，新設資通安全署，今年2月成立國家資通安全研究院，加速資安人才培育工作。</p> <p>副總統賴清德表示，蔡總統特別強調資安即國安，因為資安對臺灣而言非常重要，臺灣也非常需要發展資安產業。他個人觀察，資安產業在臺灣的發展有3個成功必然條件，首先是政府的支持，從我擔任行政院長時，在總統資安即國安的要求下，推動國家級計畫「資安產業發展行動計畫」，這項計畫有2個目標，其中之一是將臺灣打造為全球資安產業創新基地，第二是打造臺灣資安產業的優質品牌，在此一目標下，先後通過資訊安全管理法、成立數位發展部，設立國家資通安全研究院，這些都是政府的積極作為，政府每年投入相當多經費，相當高興看到臺灣資安大會參加人數逐年成長，9年時間成長22倍。</p> <p>成功的第二個原因則是時勢所趨，他指出，人工智慧的出現，全球已開始進入全面化的智慧化時代，如智慧生活、智慧製造，全面的數位化已成為趨勢，對資安的需求相對大增，在智慧化的新時代推動資安產業發展是必然要做的，臺灣是ICT大國，可利用ICT、晶片半導體製造，成為支援資安發展的力量，資安產業反過來成為臺灣推動ICT產業的後盾，兩者相輔相成，軟硬兼備。</p> <p>賴清德表示，第三個原因是臺灣正面臨極權主義威脅，光是政府單位，2020年每天受到惡意連結的網路攻擊多達272萬次，為全球最高，枘在2021年每天受攻擊次數提高到591萬次，雖然受到如此多網路攻擊帶來不便，但對資安產業而言是很好的練習機會。大會連續兩天，國家正副元首到場支持，政府全力支持資訊安全產業發展，但還要號召大家共同推動，以更大力量幫助臺灣的資安產業有更進一步發展。</p> <p>出身醫界的賴清德也不忘以醫界一直以來的抱負，戰爭發生時守護國家的是軍人，疫情來時守護健康的是醫護人員，以此期許資安人員，臺灣因地緣政治變化，面對假消息、各種網路攻擊的第一線，希望資訊安全產業從業人員也能有守護國家的理念，所有的努力不只為了公司發展，也在保護國家，讓民主得以延續，免於外力所影響，當力量足夠就能不受假消息影響，和平自然而然得以維持。</p> <p>副總統不只親臨致詞，也在數位發展部次長李懷仁、資安大會創辦人暨iThome社長谷祖惠、臺灣資安大會主席暨iThome總編輯吳其勳陪同下，參觀資安大會攤位，瞭解國內產官學研單位最新資安防護技術。</p> </div></div></div>
2023/5/10 14:40作者蘇文彬https://www.ithome.com.tw/news/156820
英特爾Boot Guard金鑰因微星資料外洩事件外流，影響上百種產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月微星（MSI）遭到勒索軟體組織Money Message入侵、並公開竊取的公司資料。研究人員發現，在此事件中英特爾開機防護技術Boot Guard金鑰也被公開，可能影響上百種微星及其他業者產品。</p> <p>上個月名為Money Message的勒索軟體駭客組織宣稱駭入微星，竊得原始碼、BIOS韌體檔案、金鑰等內部檔案，<a href="https://www.ithome.com.tw/news/156354" target="_blank">微星於4月7日證實</a>部分資訊系統遭到網路攻擊。而約一周後，<a href="https://cybernews.com/news/msi-data-leak-ransomware/" target="_blank">疑似未收到贖金的駭客公布了</a>微星美國分公司3個資料庫，共528 GB資料，當中包含該公司主機板使用韌體的原始程式碼。</p> <p>韌體供應鏈安全廠商<a href="https://twitter.com/binarly_io/status/1654287041339998208" target="_blank">Binarly執行長暨研究員Alex Matrosov分析外洩的資料時發現</a>，當中包含英特爾開機程序防護技術Boot Guard的簽章金鑰。Boot Guard是英特爾提供保護UEFI BIOS遭非法竄改，透過載入經修改的韌體以繞過Secure Boot防護的技術。在執行時，電腦每次啟動時，Intel晶片中的Boot Guard會檢查載入的韌體模組是否為經過英特爾或PC製造商簽章的合法韌體。</p> <p class="rtecenter"><a href="https://twitter.com/matrosov/status/1653923749723512832" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-Leaked%20Intel%20OEM%20Key%20from%20MSI%20Leak%20by%20Alex%20Matrosov%2C%20Binarly.png" style="width: 450px;" /></a></p> <p><a href="https://github.com/binarly-io/SupplyChainAttacks/tree/main/MSI" target="_blank">Matrosov發現外洩的資料包含57項微星產品的簽章私鑰</a>，以及影響116項MSI產品的Intel Boot Guard BPM/KM金鑰。他表示，此次影響十分重大，因影響的業者還包括聯想、Supermicro等業者。此外，<a href="https://github.com/binarly-io/SupplyChainAttacks/blob/main/MSI/IntelOemKeyImpactedDevices.md" target="_blank">根據他列出受Intel私鑰外洩影響OEM名單</a>，包括HP、聯想、Star Labs、CompuLabs以及建碁（Aopen）的產品。</p> <p><a href="https://www.bleepingcomputer.com/news/security/intel-investigating-leak-of-intel-boot-guard-private-keys-after-msi-breach/" target="_blank">研究人員對《Bleeping Computer》表示</a>，外洩的金鑰將使部分MSI產品的Boot Guard保護失效，這些產品包含使用11代Tiger Lake、12代Adler Lake及13th Raptor Lake的Intel CPU的產品。</p> <p>但他指出，不只是微星，英特爾整個生態圈都受這次事件影響，因為其韌體映像檔簽章金鑰若外洩能讓攻擊者製作惡意韌體更新，透過微星更新工具遞送給用戶。</p> <p>英特爾對媒體說正在調查此事。但該公司表示，這些Boot Guard OEM金鑰是由系統製造商產生，並非英特爾的簽章金鑰。</p> <p>微星尚未對此做出評論。</p> </div></div></div>
2023/5/10 13:40作者林妍溱https://www.ithome.com.tw/news/156818
Meta開源結合文字、聲音與視覺資料的多模態AI模型ImageBind
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有別於OpenAI與Google的AI研究日益走向封閉，Meta AI依然秉持著開放的態度，<a href="https://github.com/facebookresearch/ImageBind" target="_blank">於周二（5/9）開源了多模態AI模型ImageBind</a>，而且ImageBind是個整合了6大感知形式的AI系統，囊括了照片/影片、文字、聲音、深度、熱量與慣性測量單元（IMU）。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0510-Meta AI-IMAGEBIND-600-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-Meta%20AI-IMAGEBIND-600-1.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta AI</span></span></p> <p>在傳統的AI系統中，每個模態都會有一個特定的嵌入，ImageBind則建立了不同模態的共同嵌入空間，而且無需針對各模態之間的不同結合進行訓練。Meta表示，此一進展非常重要，因為要蒐集不同模態之間所有可能的配對資料幾乎是不可行的，此外，它也讓機器能夠像人類一樣，全面分析不同類型的資料。</p> <p>人類多半能夠從少數的例子中學到新的概念，例如就算只是閱讀對動物的文字描述，就得以在現實生活中辨認他們，或是看到一輛陌生車種的照片，即可猜測它的引擎聲，這有部分來自於就算只是看著一張照片，它通常結合了人們所有的感官經驗。在AI領域中，隨著模態數量的增加，缺乏不同的感官資料會限制標準的模態學習，但一個分布不同資料的單一共同嵌入空間，則可讓模型學習不同的模態。</p> <p>於是，<a href="https://imagebind.metademolab.com/demo?modality=I2A" target="_blank">基於共同嵌入空間的ImageBind</a>不僅能夠利用影像來汲取聲音，用聲音來汲取影像，以文字來造就影像與聲音，用聲音及影像來形成影像，也能以聲音來產生影像。例如把海浪的聲音加入海灘的照片中，輸入火車的聲音可以得到相關的影像，輸入狗吠聲再加上海灘照片則可以得到狗望向大海的照片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-Meta%20AI-IMAGEBIND-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Meta AI</span></p> <p><a href="https://ai.facebook.com/blog/imagebind-six-modalities-binding-ai/" target="_blank">Meta AI說明</a>，ImageBind展示的是藉由配對的圖像資料，便足以結合這6種不同的模態，讓模型得以更全面地解讀內容，使不同的模態能夠在沒有觀察到它們同時存在的情況下彼此交流並找到連結。</p> <p>儘管Meta AI於現階段的研究中僅使用了6種模態，但該團隊相信若導入更多的模型，將會帶來更豐富、更像人類的AI模型，例如觸覺、說話、嗅覺，或是大腦的功能性磁振造影（fMRI）訊號等。</p> </div></div></div>
2023/5/10 13:55作者陳曉莉https://www.ithome.com.tw/news/156819
溫蒂漢堡得來速將採用Google AI聊天機器人替顧客點餐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.googlecloudpresscorner.com/2023-05-09-Wendys-Taps-Google-Cloud-to-Revolutionize-the-Drive-Thru-Experience-with-Artificial-Intelligence" target="_blank">Google周二（5/9）宣布</a>，美國連鎖速食店Wendy's（溫蒂漢堡）將採用Google Cloud的生成式AI與大型語言模型（LLMs）技術所打造的聊天機器人，來替得來速（Drive Through）的顧客點餐，今年6月上線的首個示範據點將是位於俄亥俄州哥倫布的溫蒂漢堡直營店。</p> <p>此一聊天機器人除了使用Google多個大型語言模型之外，也匯入了溫蒂漢堡的菜單，並建立與顧客交談的邏輯與商業規則，再將該系統整合至餐廳的硬體與端點銷售（POS）系統上。</p> <p>溫蒂漢堡的顧客中有超過75%都透過得來速點餐，因此若能自動化並改善點餐的速度，便可讓員工專注於準備食物，進而提高銷售額。然而，該餐廳的銷售品項多元，有數十億種點餐組合，很容易在溝通或點餐時出錯，再加上車內的吵雜，增加了建置的難度。</p> <p>Google Cloud執行長Thomas Kurian即向<a href="https://www.wsj.com/articles/wendys-google-train-next-generation-order-taker-an-ai-chatbot-968ff865?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（Wall Street Journal，WSJ）表示，人們可能以為與得來速的顧客聊天對AI來說是個很輕鬆的任務，但剛好相反，它是最難的任務之一，例如AI必須辨識車內的聲音是來自音樂、小孩或者是真正要點餐，也必須準確應對顧客變更點餐內容，這是非常複雜的技術問題。</p> <p>此外，應用在溫蒂漢堡的AI系統還能進行推銷，例如詢問是否要點大份餐點或加購當日特價商品。</p> <p>類似ChatGPT的對話工具只是生成式AI語言模型的基本應用，預期未來將可見到愈來愈多加入商業應用的生成式AI案例。</p> </div></div></div>
2023/5/10 12:34作者陳曉莉https://www.ithome.com.tw/news/156816
英特爾傳伺服器、終端部門大幅裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PC產業不景氣下，英特爾本月傳針對資料中心及終端部門裁員，幅度最高可達20%。英特爾並未證實裁員規模。</p> <p><a href="https://twitter.com/dylan522p/status/1655048861084450816" target="_blank">半導體顧問業者SemiAnalysis本周指出</a>，英特爾資料中心（DCG）和終端運算事業群（CCG）為削減預算10%將大幅裁員，各部門可自行決定如何縮減成本。基於固定成本，這意謂著最嚴重可能裁減20%的人力。</p> <p>英特爾對<a href="https://www.tomshardware.com/news/intel-comments-on-reports-of-new-layoffs-budget-cuts-in-client-cpu-and-data-center-groups" target="_blank">《Tom's Hardware》</a>僅證實有裁減員額一事。該公司表示為因應大環境挑戰已加速策略執行，目標是如何透過多項行動削減成本及提升效率，包括減少公司內各單位的某些業務與功能性的人力。</p> <p>不過英特爾並未說明裁減人數，或是預計削減的預算幅度。</p> <p><a href="https://www.intc.com/news-events/press-releases/detail/1615/intel-reports-first-quarter-2023-financial-results" target="_blank">根據英特爾最近公布的財報</a>，第一季該公司營收117億美元，較去年同期大跌36%，每股盈餘（EPS）出現0.04美元虧損。該公司也預期本季營收在115到120億美元之間，較去年同期仍然每股虧損0.04美元。</p> <p>英特爾總部所在地加州法令規定大規模裁員需通報。<a href="https://www.dir.ca.gov/dlse/cal-warnact.html" target="_blank">根據本月3日的通報</a>，這家晶片大廠預計到本月底將裁減加州佛森廠區60人，使該廠區總裁員人數達516人。</p> <p>這是英特爾去年以來第二次見報的人事精簡行動。<a href="https://www.ithome.com.tw/news/153576" target="_blank">去年10月《彭博》報導</a>英特爾砍了數千職位，其中行銷部門也傳裁員20%。</p> <p><a href="https://www.macrotrends.net/stocks/charts/INTC/intel/number-of-employees" target="_blank">市場分析機構Macrotrends估計</a>，截至2022年，英特爾員工人數為13.2萬。</p> </div></div></div>
2023/5/10 12:51作者林妍溱https://www.ithome.com.tw/news/156817
【資安日報】5月10日，微軟發布5月例行更新，緩解3個零時差漏洞，已有部分被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9日多家廠商發布5月份例行修補，包含微軟、Adobe等軟體業者，以及西門子、施耐德電機等OT設備業者，其中最值得留意是微軟發出的公告，因為當中修補的零時差漏洞CVE-2023-29336、CVE-2023-24932已出現攻擊行動，不過，微軟並未透露更多細節，但<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2023-patch-tuesday-fixes-3-zero-days-38-flaws/">資安新聞網站Bleeping Computer指出</a>，駭客很可能利用CVE-2023-24932部署名為BlackLotus的UEFI bootkit。</p> <p>有推特用戶於4月發生私密圈訊息服務Twitter Circle功能失效的情況，直到最近推特終於證實確有此事，並指出是該服務發生資安事故導致。但該公司並未透露有多少用戶受到影響。</p> <p>殭屍網路針對無線網路系統而來的攻擊行動，也值得留意。有研究人員揭露殭屍網路AndoryuBot的攻擊行動，駭客利用了2月修補的重大漏洞CVE-2023-25717，來攻擊無線網路管理系統Ruckus Wireless Admin，一旦得逞，很有可能整個無線網路環境都會遭到駭客擺布。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/twitter-says-security-incident-exposed-private-circle-tweets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">推特再傳資安事故，用戶私密推文曝光</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2enbZ9mvGr_20230510-1103-42810.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2enbZ9mvGr_20230510-1103-42810.png" style="width: 300px; float: right;" /></a>該公司於2月推出的私密圈訊息服務Twitter Circle，4月陸續傳出有使用者發現自己的Twitter Circle推文被公開，且被非私密圈的朋友按讚。</p> <p>直到最近，推特向用戶發出通知證實確有此事，表示起因是此服務上個月發生資安事故，導致該類訊息遭到公開，能被外部使用者存取。該公司聲稱事件很快就察覺，並隨即修復。</p> <p>推特陸續傳出資安事故的情況，外界推測很可能與該公司大幅精簡人力有關──自去年10月馬斯克接手後，推特員工已7千多人減至1千人，但推特並未對此做出說明。</p> <p><a href="https://www.fortinet.com/blog/threat-research/andoryubot-new-botnet-campaign-targets-ruckus-wireless-admin-remote-code-execution-vulnerability-cve-2023-25717"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路AndoryuBot鎖定Ruckus無線網路管理系統而來</span></strong></a></p> <p>資安業者Fortinet提出警告，殭屍網路AndoryuBot於4月下旬出現新的變種，專門針對尚未修補CVE-2023-25717（CVSS風險評分為9.8）的無線網路管理系統Ruckus Wireless Admin而來。</p> <p>研究人員指出，一旦目標系統遭到入侵，此殭屍網路病毒就會迅速傳播，並透過SOCKS通訊協定與C2中繼站通訊，接收駭客下達的DDoS攻擊命令，而能夠繞過防火牆的流量偵測。</p> <p>雖然Ruckus已於今年2月修補上述漏洞，但研究人員指出，仍有不少系統尚未修補而成為駭客的攻擊目標。</p> <p><a href="https://www.straitstimes.com/singapore/woman-who-scanned-qr-code-with-malware-lost-20k-to-bubble-tea-survey-scam-while-she-was-sleeping"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">QR Code詐騙再現，新加坡民眾被騙走2萬美元</span></strong></a></p> <p>根據新加坡《海峽時報（Straits Times）》報導，有位60歲女性於當地泡沫紅茶店門口看到問卷調查的QR Code，駭客聲稱民眾完成問卷即可得到免費奶茶，結果這名女性照做後手機被植入惡意程式，最終銀行帳戶被對手盜走新加坡幣2萬元。</p> <p>該報導指出，這名女士掃描QR Code後，就被要求下載安卓應用程式來完成問卷調查，然後此App趁用戶睡著的時候，逕自從她的銀行帳戶將錢轉走。類似的QR Code詐騙也出現在美國、英國，駭客透過這類手法，假借停車費罰單的名義散布惡意程式，或是將使用者導向釣魚網站，甚至是讓使用者匯錢給駭客。</p> <p><a href="https://www.bleepingcomputer.com/news/security/western-digital-says-hackers-stole-customer-data-in-march-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">硬碟製造商Western Digital證實駭客竊得用戶資料</span></strong></a></p> <p>4月間硬碟大廠Western Digital（WD）被駭，造成多項服務斷線引起外界關注。5月5日該公司公布調查結果，證實此次事件造成客戶資料外洩，包括姓名、帳單地址、電子郵件信箱、加鹽密碼、信用卡號資料。WD並未說說明受影響用戶的數量。</p> <p>此外，針對外傳有駭客組織公布竊得的資料，WD也做出回應。該公司表示正在調查資料的真實性，並否認用於簽署應用程式的簽章遭到外流，若是基於防範的考量，該公司不排除隨時撤銷相關簽章。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2023-patch-tuesday-fixes-3-zero-days-38-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布5月份例行更新，修補3個零時差漏洞</span></strong></a></p> <p>5月9日微軟發布本月份例行更新（Patch Tuesday），總共修補了38個漏洞，當中包含8個可被用於提升權限的漏洞、4個能繞過安全防護機制、12個可被用於遠端執行任意程式碼（RCE）、8個會導致資訊洩露、5個能引起阻斷服務（DoS），以及1個可被用於詐欺的漏洞。</p> <p>其中，有3個零時差漏洞CVE-2023-29336、CVE-2023-24932、CVE-2023-29325。CVE-2023-29336為權限提升漏洞，攻擊者一旦成功利用，就有可能得到SYSTEM權限，CVSS風險評分為7.8；CVE-2023-24932為安全開機（Secure Boot）繞過漏洞，攻擊者有可能用來在目標電腦上植入UEFI bootkit（如BlackLotus），CVSS風險評分為6.7分。至於CVE-2023-29325則是RCE漏洞，與物件連結與嵌入元件（OLE）有關，CVSS風險評分為8.1。</p> <p>值得留意的是，CVE-2023-29336與CVE-2023-24932已被用於攻擊行動。</p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-few-dozen-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布5月例行更新</span></strong></a></p> <p>5月9日西門子、施耐德電機發布資安通告，修補旗下產品漏洞。</p> <p>西門子總共發布6則新公告，涵蓋26個漏洞。其中，針對視訊監控系統Siveillance Video的部分，存在重大漏洞CVE-2023-30898、CVE-2023-30899，這些漏洞與未受信任的資料反序列化有關，CVSS風險評分皆達到了9.9，分別存在於事件記錄伺服器、管理伺服器元件；Scalance本機處理引擎（LPE）出現重大漏洞CVE-2023-27407，通過身分驗證的攻擊者可藉此以root權限存取作業系統底階，CVSS風險評分為9.9；此外，Sinec網路管理系統（NMS）採用的外部元件libexpat、curl也存在重大漏洞CVE-2022-40674、CVE-2022-42916，CVSS風險評分為9.8、9.1。</p> <p>施耐德電機本次發布4則資安通告，一共涵蓋6項漏洞，其中最值得留意的是電力監控系統PowerLogic漏洞CVE-2022-46680，起因為該系統透過明文傳輸敏感資訊，CVSS風險評分為8.8。</p> <p><a href="https://www.securityweek.com/adobe-patches-14-vulnerabilities-in-substance-3d-painter/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe修補3D繪圖軟體漏洞</span></strong></a></p> <p>Adobe於5月9日發布每月例行更新，這次主要是針對旗下3D繪圖軟體Substance 3D Painter進行修補，該公司總共修補14個漏洞，大部分與記憶體的越界讀取（Out-of-bounds Read）有關，而能被攻擊者用於執行任意程式碼，或是造成記憶體洩露，CVSS風險評分為5.5至7.8。稍微值得慶幸的是，目前尚未發現這些漏洞遭到利用的跡象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156792"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">總統親臨臺灣資安大會致詞，強調資安好，臺灣產業才會更好</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0509總統致詞_230510.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509%E7%B8%BD%E7%B5%B1%E8%87%B4%E8%A9%9E_230510.jpg" style="width: 300px; float: right;" /></a>由iThome主辦的第九屆「臺灣資安大會2023」，於5月9日至11日假南港展覽館二館舉辦，今年報名人數超過1萬8千人，超過300個資安品牌參展，連續3天、15軌同步議程，超過200位國內外資安專家到場分享。</p> <p>總統蔡英文連續第五年到場致詞，展現對於資安即國安政策的重視，以及對資安產業、產業資安的關心。蔡英文指出，資安好，臺灣的產業才會更好，資訊安全需要結合所有人的力量，政府也會和產業以及民間專家攜手合作，打造國際信賴的資安系統以及資安產業鏈，現在已經進階到「資安即國安2.0版」，完成資通安全管理法的立法工作、成立資通安全署、國家資通安全研究院等。</p> <p><a href="https://security.googleblog.com/2023/05/introducing-rulesoci.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化容器安全，Google開源Bazel外掛程式</span></strong></a></p> <p>5月5日Google宣布rules_oci正式上線，此為多程式語言的跨平臺建置系統Bazel當中，名為ruleset的外掛程式開源版本，該公司這麼做的目的，就是希望讓開發人員透過Bazel建置容器映像檔的過程更加安全。</p> <p>該公司表示，相較於許多開發者採用的映像檔建置工具rules_docker，rules_oci適用於Distroless與大部分Bazel容器環境，並能藉由Bazel下載工具從遠端registry拉取所需的映像檔，並讓使用registry的過程更為透明。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156803"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">前美國國土安全部長首度訪臺，分享從國土安全部學到如何降低風險的經驗</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/05/researchers-uncover-new-bgp-flaws-in.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">邊界閘道協定軟體FRRouting出現漏洞，恐被用於發動阻斷服務攻擊</span></span></strong></a></p> <p><a href="https://www.lookout.com/blog/iranian-spyware-bouldspy"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗政府利用安卓惡意軟體BouldSpy監控少數民族</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/meet-akira-a-new-ransomware-operation-targeting-the-enterprise/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為了讓加密檔案順利，勒索軟體Akira濫用Windows Restart Manager的API</span></span></strong></a></p> <p><a href="https://www.cleafy.com/cleafy-labs/uncovering-driban-fraud-operations-chapter1"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新的網頁注入工具包DrIBAN鎖定義大利銀行用戶而來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156783">【5月9日】安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因素驗證碼</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156782">【5月8日】付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156736">【5月5日】有越來越多資安威脅透過ChatGPT的名義散布，1個月內就有10個惡意軟體家族藉此引誘使用者上當</a></strong></p> </div></div></div>
2023/5/10 11:05作者周峻佑https://www.ithome.com.tw/news/156810
前美國國土安全部長首度訪臺，分享如何降低風險的經驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國總統歐巴馬時代，曾擔任5年國土安全部（DHS）部長暨美國加州大學柏克萊分校政治安全中心創辦人Janet Napolitano首度訪臺，她之前也曾經在加州大學擔任校長7年，擁有十個研究機構，研究重點專注於美國安全和政治之間的聯繫，也會和領先的業者與一流的研究人員共同解決當今需迫切解決的挑戰，並鞏固臺灣和加州大學柏克萊分校彼此的合作關係。</p> <p>Janet Napolitano在5月9日舉辦的臺灣資安大會2023中致詞表示，隨著各種搜尋引擎和社交媒體的發展，不僅讓東西方社會交流越來越密切，也同時出現許多有害的資安漏洞和威脅，因此，她認為，應該關注的不是網路攻擊的威脅本身，而是如何減輕網路風險的脆弱性。</p> <p>她也以當年國土安全部（DHS）在全美推廣的“See Something Say Something”（一看到、就通報）活動為例，通報可疑的人事物可以降低實體社會面臨的風險，也同樣適用於網路環境，Janet Napolitano認為，即便無法降低網路威脅，也可以減輕這些威脅帶來的風險。</p> <h2><strong>打造關注網路與關鍵基礎設施安全的CISA</strong></h2> <p>國土安全部（DHS）擁有超過25萬名員工和大約15萬名承包商，當時的預算為 600億美元，並在全球120多個國家設有辦事處和業務單位。她表示，國土安全部是美國政府中最年輕的部門，也是第三大部門，因為它是在911恐怖襲擊之後才成立的新單位。</p> <p>Janet Napolitano表示，毫無疑問，世界正在普遍轉向亞洲，從網絡安全的角度來看也是如此。她說，隨著區域大國成長為全球大國，隨著各種新技術、新創新和新發現在亞洲市場的出現，加上各種搜尋引擎和社交媒體蓬勃發展，讓東西方社會交流越來越緊密，在此同時，也出現更多有害的資安漏洞和威脅，例如在烏俄戰爭就可以觀察到，網路攻擊行為早於實體戰爭，由此可見，網路上面臨的各種風險更國際化也更普遍。</p> <p>Janet Napolitano認為，我們應該關注的不應該是網路攻擊的威脅本身，而是如何做到減輕網路風險的脆弱性。她說，在美國，國土安全部的基本職能之一就是：如何做到從各種危害中復原，而在網路安全領域中更是如此。</p> <p>所以，她在任職國土安全部部長時，更打造一個全新的機構：CISA（美國網路安全部門），主要專注在網路安全以及關鍵基礎設施安全，希望可以透過不斷的測試（Testing）、探測（Probing）和演練（Exercising），減少各種已知和未知的漏洞。</p> <h2><strong>管理可以控制的東西，做到提前部署和因應</strong></h2> <p>網路威脅無所不在，但應該要有適當的國際法或國內法規範相關的威脅行為，她說：「我們無法控制對手、罪犯、國家或三者之間任何的合作的行為，也沒有切實可行的方式，對某一個國家、社區、城市或實體單位放置一個防護罩免於網路威脅。」</p> <p>不過，她從過往的經驗發現，不管組織防護多麼強大，都會有一個可以突破、入侵的對手；而無論怎麼做，對手也都有辦法突破安全邊界。那我們又該怎麼做呢？「重點是：管理我們可以控制的東西。」她說。</p> <p>我們無法管理各種天災，面對極端氣候變遷時，卻可以事先做好準備、提前部署緊急應變能力，並對大眾通報風險以及快速做好應變以度過難關。「這同樣適用於網路威脅的應變方式。」Janet Napolitano指出，因為我們無法抑制所有的威脅，所以我們需要部署適當的緩解工具以減少攻擊向量，並需要對公、私部門以及任何脆弱的實體單位進行事前準備和復原的教育訓練，才能夠從攻擊中做到有效率的復原。</p> <p>她指出，這樣的作法聽起來像是將複雜問題過度簡單化，認為穩健的緩解措施和增加韌性，就可以有效解決網路安全威脅。但事實上，這樣的作法是有先例發生的。</p> <h2><strong>全美發起「一看到、就通報」活動，同樣適用網路環境</strong></h2> <p>當Janet Napolitano在擔任國土安全部部長時，同時面對美國本土威脅日益擴散，也要應對恐怖主義和國際犯罪的相關風險，她坦言：「我們永遠沒有辦法擁有足夠的資源，也沒有辦法讓任何一個單一政府組織免於所有的威脅，」所以，我們更應該思考如何更努力去保護國土安全。</p> <p>Janet Napolitano指出，美國國土安全部後來便透過群眾外包（crowdsource）的方式，在全美各地招募美國民眾進行降低風險威脅的準備工作，發起一項現在很普及（ubiquitous）的活動，並命名為“See Something Say Something”（一看到、就通報）。</p> <p>也就是說，一旦發現周遭有任何的可疑人事物，就應該立即通報有關當局，最早十多年前紐約市大眾交通系統曾出現類似活動，後來則推廣到全美各地，而國土安全部每年也都會收到大量可疑人事物的通報，重點是，多數時候，這些通報都是可行的。</p> <p>她目前無法了解後來「一看到、就通報」的活動，究竟降低多少風險，但在擔任國土安全部部長時，這些可疑通報的數量非常龐大。這也讓她回到網路和基本前提就是：雖然無法降低網路威脅，卻可以減輕這些威脅帶來的風險。意即，我們可以做表面上看起來很簡單，但卻可能會產生巨大後果的事情，「制定攻擊計畫，就是一件類似的事情。」她說。</p> <p>例如，可以使用系統進行適當的網路衛生（cyber hygiene）；動員公私部門和民間社會，做好一般的準備工作；並向相同的受眾傳遞做好網路安全最佳實務的注意事項；並擁有適當的防禦工具以擊退某種網路攻擊等。她表示，上述所有這些事情看起來都很簡單，幾乎都是基本的，但作為處理網路安全風險的標準而言，它們卻經常被忽視。</p> <p>如先前所言，Janet Napolitano認為，我們應該努力控制可以控制的事情，同時關注不能控制的事情，像是「一看到、就通報」在活動之初並不直觀，但就算到現在，這個活動也一直致力於讓美國更安全。</p> <p>她也相信，應該要努力讓可以控制的事情，儘可能成為最佳狀態，而這在緩解網路風險的世界裡，是可能發生的。「畢竟，我們每個人都有責任要確保社區和網路的安全。」她說。</p> </div></div></div>
2023/5/10 01:14作者黃彥棻https://www.ithome.com.tw/news/156803
Google資料倉儲BigQuery更新支援差分隱私技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/introducing-bigquery-differential-privacy-with-tumult-labs/">Google宣布在雲端資料倉儲BigQuery添加差分隱私（Differential Privacy）技術</a>，使得用戶可以在各種應用中提升敏感資料的隱私安全性。目前所有BigQuery版本都已經支援差分隱私，用戶能夠使用的聚合函式包括SUM、COUNT、AVG和PERCENTILE_CONT。</p> <p>差分隱私是一個隱私安全的特徵共享方法，透過僅分享資料庫中的一些統計特徵，而不公開特定實體資訊，來達到保護隱私安全的目的。差分隱私這項匿名化技術，能夠應用在機器學習推理和共享資料用例上，包括廣告、金融、醫療保健和教育產業應用，皆會使用差分隱私進行資料分析，並免暴露個人紀錄。</p> <p><a href="https://arxiv.org/abs/1909.01917">Google在2019年發表將差分隱私技術應用在資料庫的重要研究</a>，其目標是希望差分隱私能夠確保資料庫查詢的結果，不會洩漏資料庫中任何個體的過多資訊。這項研究的重要性在於，過去差分隱私都僅停留在科學研究階段，真正完整的差分隱私查詢引擎很少，而Google的這項研究則將差分隱私帶進實際應用中。</p> <p>差分隱私用於實際系統之所以存在挑戰，在於差分隱私系統常假設每個個體最多只與一條資料庫記錄相關聯，但在資料庫實際應用上並非如此，Google提出在資料庫中進行差分隱私聚合的方法，這是一個通用且可擴展的方法，每個個體可以和任意行數的資料相關聯。</p> <p>Google在發表差分隱私論文的同時，也<a href="https://www.ithome.com.tw/news/132903">開源了自家核心產品中所使用的</a><a href="https://arxiv.org/abs/1909.01917">差分隱私函式庫</a>，包括Google的廣告資料中心，以及COVID-19社區人流趨勢報告，都使用了這個函式庫。</p> <p>現在Google進一步擴展自家產品對差分隱私的支援，利用差分隱私函式庫，在BigQuery加入這項隱私保護功能，優點除了提升資料應用隱私保護之外，也能協助企業符合法遵要求，而且因為差分隱私與其他隱私保護技術相比，更能保留資料的統計特性和可用性，因此企業在保護用戶隱私的同時，仍可以對資料進行分析，挖掘有價值的資訊。</p> <p>Google提到，之後他們還會在BigQuery資料無塵室（Clean Room）中整合差分隱私，使企業能夠以更具隱私安全的方式共享敏感資料。</p> </div></div></div>
2023/5/9 21:25作者李建興https://www.ithome.com.tw/news/156802
三星智慧手錶將新增異常心律偵測功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/us/fda-cleared-irregular-heart-rhythm-notification-for-galaxy-watch/" target="_blank">南韓電子大廠三星昨（8）日宣布</a>，其健康監控App的異常心律（irregular heart rhythm）通知功能已經獲得美國聯邦疾病藥物管理署（FDA）的許可。</p> <p>這項功能將可配合三星現有的心電圖（ECG）功能，透過三星智慧手錶提供用戶心房顫動（AFib）的監控。</p> <p>最新功能將整合在新介面One UI 5 Watch推出，首先支援的產品為Galaxy Watch 6，之後推向前代產品，包括Galaxy Watch 4及5。不過三星提醒，新功能僅會在特定已取得當局許可的市場才能使用。三星智慧手錶的ECG功能則已在美國、南韓、臺灣及全球多國可用。</p> <p>Health Monitor App啟動後，這項功能會透過Galaxy Watch的BioActive Sensor背景偵測，一旦連續偵測到異常，手錶會發出提示，要求用戶以手錶量測ECG進一步偵測。</p> <p><a href="https://www.ithome.com.tw/news/141877" target="_blank">蘋果Apple Watch在2020年首先為其ECG App 2.0版加入心律不整AFiB量測功能</a>震撼業界，引起穿戴裝置加入醫療級功能的風潮。三星2020年稍晚推出的<a href="https://news.samsung.com/global/fda-cleared-electrocardiogram-monitor-app-is-available-in-the-us-starting-today-on-galaxy-watch3-and-galaxy-watch-active2" target="_blank">Galaxy Watch 3也加入了FDA許可的ECG量測功能</a>。</p> <p>近年三星已經為其智慧手錶加入了多項醫療級健康量測功能。這家南韓電子巨擘分別在2021年及2022年的Galaxy Watch及Health App中，加入獲得美國當局核准的<a href="https://pubmed.ncbi.nlm.nih.gov/33619504/" target="_blank">血氧飽和度（SpO2）</a>及<a href="https://r1.community.samsung.com/t5/wearables/fda-approval-of-blood-pressure-app-on-galaxy-watch-5-pro/td-p/18253622" target="_blank">血壓量測</a>功能。</p> <p>法商Withings的手錶<a href="https://www.withings.com/eu/zh/health-insights/about-afib" target="_blank">Scanwatch</a>也在2021年<a href="https://www.medtechdive.com/news/withings-fda-nod-afib-detecting-wearable-apple-smartwatch/608119/" target="_blank">加入可量測心律不整／心房顫動的醫療級功能</a>。</p> </div></div></div>
2023/5/9 15:10作者林妍溱https://www.ithome.com.tw/news/156793