iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

採用232層NAND技術，美光推出30.72 TB超大容量TLC SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_6500_ion_ssd_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著需要處理的資料量暴增，以及所有使用者對於資料存取速度的要求，搭配固態儲存裝置使用的各式IT系統大行其道，以資料中心環境而言，對於這類儲存裝置的使用區分為多種類型，像是高效能等級的產品，可針對雲端服務效能密集型應用，以及人工智慧／機器學習領域的處理需求；主流等級的產品，可針對雲端服務與可針對雲端服務運算密集型應用，以及熱資料（經常存取的資料）的需求；主打大容量與高耐用度特色的產品，則涵蓋雲端儲存服務與暖資料（存取頻率一般的資料）、資料湖，以及企業級的伺服器、一般儲存系統、軟體定義儲存系統、入門級全快閃儲存陣列。</p> <p>而美光今年5月發表的6500 ION系列，正是屬於最後一種類型的固態硬碟產品，具備超大儲存容量是主要賣點，而且，它不僅能提供TLC NAND快閃記憶體等級的存取速度，也因為導入232層堆疊的技術，所以，在單位儲存成本上，能與基於QLC NAND快閃記憶體、採用低於200層堆疊技術而成的產品競爭；就耗電量而言，比起市面上的QLC固態硬碟，美光表示，這款新推出的TLC固態硬碟可節省2成電力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron Data Center NVMe SSD Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20Data%20Center%20NVMe%20SSD%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，6500 ION系列僅提供一種儲存容量配置：30.72 TB，外形有2.5吋U.3與E1.L厚度9.5公釐等兩種選擇，目前市面上有哪些產品能供應如此大空間的固態硬碟？有三星PM1643系列（12Gb SAS介面、64層TLC NAND）、鎧俠CM7系列（NVMe/PCIe 5.0介面、112層TLC NAND），美光9400 Pro系列（NVMe/PCIe 4.0介面、176層TLC NAND），以及英特爾/Solidigm D5-P5316（NVMe/PCIe 4.0介面、144層QLC NAND），而與美光6500 ION系列定位相似的產品是D5-P5316，也成為這款固態硬碟發表時的主要比較對象。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Web-Micron-6500-U3_15mm_Labeled-Iso-Left_v1_UHD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Micron-6500-U3_15mm_Labeled-Iso-Left_v1_UHD.jpg" style="width: 300px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Web-Micron-6500-E1L-9_5mm_Labeled-Iso-Left_v1_UHD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Micron-6500-E1L-9_5mm_Labeled-Iso-Left_v1_UHD.jpg" style="width: 300px;" /></a></p> <p>以效能層面的差異而言，根據美光的內部測試顯示，6500 ION系列的4KB隨機讀取延遲平均時間減少34%（70微秒對上106微秒），128KB循序寫入速度快了58％（5,757 MB/s對上3,643 MB/s），4KB隨機讀取IOPS領先62％（440,901 IOPS對上272,826 IOPS），4KB隨機寫入IOPS可達到30倍或10倍（254,244 IOPS對上7,777 IOPS），4KB隨機寫入耐用度（RDWPD）亦為10倍（0.3對上0.026，每日9 TB對上每日不到1 TB）。</p> <p>而在耗電量的部分，6500 ION系列可節省20％（20瓦對上25瓦），每瓦效能改善56％（100萬IOPS/20W對上80萬IOPS/25W）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 6500 ION features.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%206500%20ION%20features.png" style="width: 600px;" /></a></p> <p>關於QLC與TLC的優缺點比較，美光也在趁著6500 ION系列的發表，發出一篇部落格文章討論這項議題。</p> <p>他們表示，在2018年發表第一款QLC企業級固態硬碟產品5210 ION，以及2022年推出第一款QLC個人端固態硬碟產品2400之後，除了驚艷於QLC帶來的創新、更高的儲存容量，以及更低的成本，但也從用戶方面得知大家對於隱藏成本的顧慮，例如，雖然能節省採購硬碟的費用，卻要支付更高的營運成本——矽晶片可程式化設計的複雜導致耗用更多電力。</p> <p>美光刻意用競爭廠商QLC產品當例子，對比自家TLC同等級產品，說明這類型解決方案面臨諸多挑戰，像是耐用度低了5到10倍，隨機寫入效能低了10到20倍，而在循序讀取以外的各項規格，也都低了至少20％。目前多數資料中心的設計並無法解決採用QLC之後而面臨的這些狀況，他們認為，可能要等到QLC發展成熟，未來固態硬碟與儲存系統的設計，都能妥善運用QLC帶來的更大儲存容量，當種種效益變多了，就會促使目前在資料中心環境運用QLC的缺點顯得微不足道。</p> <p>經過4年的發展，美光後來發現有更多用戶願意接受這樣的條件交換，而將QLC固態硬碟用於替代1萬轉硬碟，因此，他們在2020年4月宣布5210 ION這款QLC產品進入大量生產階段，以供應主要的伺服器OEM廠商與全球的代理商、經銷商、系統建置業者，但他們也在思考是否能兼顧兩者——具有比照QLC的成本節約、容量可大幅擴充的特性，又能設法獲得較高的固態儲存耐用度，讓資料中心享有較低的耗電與冷卻成本，於是促成6500 ION的開發。</p> <p>而在這款大容量TLC固態硬碟產品於今年5月推出之際，為了突顯其用於實際IT環境的效能表現，美光也選定物件儲存系統Ceph、NoSQL資料庫系統Cassandra、軟體定義儲存系統WEKA等三種工作負載來進行測試，比較的產品仍是D5-P5316的30.72 TB機型。</p> <p>以Ceph而言，6500 ION循序讀取與循序寫入效能，可分別達到1.47倍與3.5倍，隨機讀取效能為1.49倍，</p> <p><a href="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph Seq R_W.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph%20Seq%20R_W.png" style="width: 300px;" /></a><a href="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph Random Read.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph%20Random%20Read.jpg" style="width: 300px;" /></a></p> <p>混合循序讀取與寫入的效能為1.62倍，混合隨機讀取與循序寫入的效能為1.27倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph Seq RW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph%20Seq%20RW.jpg" style="width: 300px;" /></a><a href="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph Random Read_Seq Write.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph%20Random%20Read_Seq%20Write.jpg" style="width: 300px;" /></a></p> <p>在Cassandra資料庫系統當中，美光使用Yahoo! Cloud Serving Benchmark測試，6500 ION的效能最高可達到2.6倍（每秒可執行168,655個資料庫處理作業，對上每秒可執行64,307個資料庫處理作業），而就讀取延遲來比較，最高可達到9.2倍（19.2毫秒對上177.2毫秒）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Cassandra%20maximum%20performance.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/6500 ION-Cassandra maximum performance2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Cassandra%20maximum%20performance2.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/6500 ION-Cassandra maximum performance3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Cassandra%20maximum%20performance3.png" style="width: 298px;" /></a></p> <p>而在WEKA系統裡面，美光規畫一座由6臺節點組成的儲存叢集，若是針對大容量應用需求，每節點可配置8臺6500 ION，而能提供245.76 TB儲存空間、112 GB/s的儲存吞吐量（1MB大區塊循序讀取工作負載），這個叢集的儲存效能可達到520萬IOPS（4KB小區塊隨機讀取工作負載），提供近1.5 PB儲存空間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Weka2.png" style="width: 375px;" /></p> <p>相較之下，若是採用主流NVMe固態硬碟的儲存叢集——可搭配10臺7.68 TB容量的Micron 7450，總共提供460.8 TB儲存空間，效能達到510萬IOPS，儲存吞吐量為104 GB/s；若是採用高效能NVMe固態硬碟的儲存叢集——可搭配10臺7.68 TB容量的Micron 9400，總共提供460.8 TB儲存空間，效能達到660萬IOPS，儲存吞吐量為227 GB/s。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Weka1.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Micron 6500 ION SSD<br /> ●儲存容量：30.72 TB<br /> ●外形：U.3、E1.L厚9.5公釐<br /> ●儲存媒體：3D NAND，TLC，232層<br /> ●最高讀寫速度：循序6,800 MB/s與5,000 MB/s，隨機100萬IOPS與20萬IOPS<br /> ●使用介面：PCIe 4.0 x4/NVMe 2.0<br /> ●耐用度：128 KB循序寫入、每日寫入量為1，4 KB隨機寫入、每日寫入量為0.3<br /> ●可靠度：250萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/6/13 19:40作者李宗翰https://www.ithome.com.tw/review/157282
大規模開發人員聯合抗議行動導致Reddit網站掛點數小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周一（6/12）反對API收費政策的抗議行動在數千開發人員響應下，影響Reddit運作，網站掛點長達3小時。</p> <p>5月底Reddit宣布推行一系列政策，包括針對資料API呼叫收費、禁止第三方App顯示廣告及工作場所不宜（Not Suitable for Work，NSFW）的內容與連結等，引發開發人員不滿，認為新政策將使第三方App無法經營下去。在和Reddit溝通未果後，上周Reddit表達會如期於7月1日實施政策，8,300個Subreddit宣布於6月12日「地下化Go Dark」表達抗議，它們將轉為私有版面不開放外界存取。這項抗議行動涉及2.8萬名Subreddit仲裁者，合計訂閱人次達28億。</p> <p>周一晚間7,742個subreddit加入「地下化」的抗議行動，占參加行動的93%，造成Reddit網站及App當日晚間無法運作。參與地下化行動的社群頁包括訂閱人數超過3,000萬的r/funny、r/aww、r/gaming、r/music及r/science、r/ilearning等。當時以App或瀏覽器載入Reddit.com網頁會顯示錯誤訊息，以及「無法載入本網頁貼文」的跳出視窗。Reddit官方也證實是「為數眾多的subreddit」轉為不開放，引發之前預期的穩定性問題。</p> <p><a href="https://techcrunch.com/2023/06/12/reddit-goes-down-just-as-a-site-wide-protest-against-its-unpopular-new-api-policy-kicks-off/" target="_blank">Techcrunch報導</a>，Reddit用戶回報，癱瘓時間從臺北時間昨晚10:25開始。<a href="https://www.redditstatus.com/" target="_blank">Reddit官方狀態頁</a>於昨晚10:58顯示載入網頁內容出現問題，而在今（6/13）日凌晨1:26宣告問題解決，目前顯示完全正常。</p> <p>Reddit新政策中又以資料API收費政策引發最多開發商不滿。新政策下，資料API呼叫費用是1,000次呼叫0.24美元，5,000萬次呼叫1.2萬美元。上周Apollo開發商Christian Selig宣布，他的App將在6月30日關閉。隔天rif is fun for Reddit、ReddPlanet、Sync也宣布將關閉。Apollo是存取Reddit最受歡迎的Reddit第三方iOS App。Selig說，Reddit新App政策將使其每個月多出近200萬美元成本，一年超過2,000萬美元。</p> <p>抗議行動包含API費用太高、API技術問題、以及限制廣告與「工作不宜」內容的不滿。和不需努力賺取營收的Reddit App不同，第三方App需要獲利，<a href="https://old.reddit.com/r/Save3rdPartyApps/comments/1476ioa/reddit_blackout_2023_save_3rd_party_apps/" target="_blank">因此他們要求</a>API費用合理化、允許第三方App自營廣告，以及允許他們的App能顯示某些必要的圖片。他們也抗議，限制API存取也嚴重影響提供視障者輔助功能的第三方App。</p> <p>Reddit執行長Steve Huffman上周六捍衛該公司的政策，他表示Reddit需要能自給自足，因此不再補貼需要使用大量資料的商業實體。根據推估，Reddit 2021年營收達3.5億美元，大部分來自廣告。抗議的開發人員相信，Reddit早就已經賺很多了，他們的目的是想藉高價收費消滅第三方App。相較Reddit，Imgur API呼叫每月每750萬次收費500美元，或1.5億呼叫1萬美元，大約是Reddit的1/3。</p> </div></div></div>
2023/6/13 14:14作者林妍溱https://www.ithome.com.tw/news/157316
VS Code 1.79加入唯讀模式並強化檔案貼上功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了最新的<a href="https://code.visualstudio.com/updates/v1_79#_github-copilot">VS Code 1.79</a>版本，這個版本增添了一些可以讓開發工作更方便的功能，像是唯讀模式，強化貼上功能，同時也會幫開發者自動複製外部檔案。雖然不是重大功能更新，卻能讓開發者日常更加順利。</p> <p>VS Code 1.79加入了唯讀模式，顧名思義，就是限制特定的資料夾和檔案只能讀取而不可寫入，這項功能對於部分資料夾或是檔案內容，由像是Node.js套件管理器等其他程式管理時，透過標記這些資源為唯讀，可以避免內容被意外的修改。</p> <p>VS Code資源管理器提供了新配置，供用戶將特定檔案路徑標記成唯讀，而一旦路徑被設為唯讀，便無法在資源管理器中刪除，文字或是筆記本編輯器也只能用開啟讀取，不能進行修改。</p> <p>另一項方便的新功能，便是當用戶現在拖放外部媒體檔案到Markdown檔案中時，VS Code會自動將其複製到工作區中。過去開發者需要手動將檔案複製到工作區，並且自己在檔案中添加指向該檔案的連結，而現在使用者只需要將檔案拖放或是貼上到Markdown檔案，當該檔案沒有在工作區中，則VS Code會自動將檔案複製到工作區中，並在檔案插入連結。</p> <p>這項功能還可用在剪貼簿中的圖像資料，像是以Windows的截圖工具擷取螢幕截圖，開發者便可以直接在Markdown檔案中貼上，VS Code會利用剪貼簿中的資料，在工作區創建一個圖像檔案，並且將圖像插入到檔案之中。</p> <p>微軟也強化了VS Code的貼上功能，開發者可以直接將檔案貼上到文字編輯器中，並且選擇要貼上該檔案的絕對路徑、相對路徑，或是檔案內容。在用戶貼上檔案時，當有其他的插入貼上方式可供選擇，VS Code便會顯示一個Paste as的控制元件，開發者可以使用該元件選擇要貼上的內容形式。</p> </div></div></div>
2023/6/13 14:24作者李建興https://www.ithome.com.tw/news/157314
《自然》期刊拒絕刊登以AI產生的圖片、影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nature.com/articles/d41586-023-01546-4" target="_blank">權威科學期刊《自然》（Nature）本周公布關於AI的編輯政策</a>，未來大部分情況下，不會刊登由ChatGPT、Midjourney等生成性AI工具產生的圖片及影片。</p> <p>《自然》期刊指出，近幾個月ChatGPT及Midjourney的能力快速進展，愈來愈多人利用生成性AI生成內容，該期刊內部就在討論、爭辯及對外諮詢，是否該允許這類工具產生的圖片及影片用於期刊及網站上。他們結論，至少在可預見的未來，除了專門討論AI的論文外，該期刊不會刊登任何全部或部分使用生成性AI產生的相片、影片或插圖。</p> <p>該期刊未來合作或委任的創作者、攝影師及插畫家都會被要求確認，他們提交的作品沒有任何利用生成性AI產生或強化的內容。</p> <p>《自然》編輯部說明，拒絕此類內容的第一個理由是完整性（integrity），包括透明度。根據研究、編輯及出版界的倫理，為了確保研究的精準和真實性，他們需要知道資料和圖片的出處。但是現行生成性AI並不能提供來源證明。其次的核心原則是，當現有論文或作品被人引用或使用時，該論文或作品必需要能被標示，但AI工具無法滿足要求。</p> <p>另外，是同意或許可的問題。當論文涉及某些當事人、或圖片涉及藝術作品的智慧財產時，必需取得同意，但AI生成圖片或影片的過程未取得當事人或作者的同意。事實上，生成式AI模型是引用著作權保護的作品訓練而成，尤其是生成的人像。有時還有隱私問題。最後，AI生成的deepfake影片也會助長假資訊散布。</p> <p>但是《自然》期刊目前允許論文文字中包含以生成性AI輔助產生的文字，但是作者若使用了LLM，必須在論文研究方法或前言部分說明，他們要求說明所有資料來源，包括以生成性AI生成的文字。不過，一如<a href="https://www.ithome.com.tw/news/149473" target="_blank">著作權法不承認生成性AI工具是創作人</a>，任何LLM工具也都不能被視為論文作者。</p> <p>因應生成性AI逐漸成為現代生活的一環，目前包括歐盟等國家正在制訂《AI法案》，《自然》表示，在有新的管制原則出現之前，他們對包含生成性AI產生的圖片及影像，只有說「不」的唯一作法。</p> </div></div></div>
2023/6/13 14:29作者林妍溱https://www.ithome.com.tw/news/157317
Salesforce推出自有CRM AI雲服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.salesforce.com/news/press-releases/2023/06/12/ai-cloud-news/" target="_blank">雲端CRM業者Salesforce昨（12）日宣布AI雲（AI Cloud）服務</a>，為其企業客戶提供企業行銷與業務用的生成性AI模型及資料管理、分析工具。</p> <p>Salesforce AI雲是以其CRM專用的AI大型語言模型（LLM）Einstein為核心，整合其資料雲（Data Cloud）、資料視覺化分析平臺Tableau、API平臺MuleSoft及工作流程平臺Flow，提供生成性AI服務，行銷、業務、電商部門或開發人員可以AI助理輸入指令，由其協助完成任務，像是為業務人員撰寫客戶專屬電子郵件、產生個人化行銷電子郵件、直銷訊息或廣告，在電商網站上產生個人化推薦及協助顧客完成購物流程、或產生專屬的客服回答內容或撰寫客服紀錄摘要，以及為開發人員寫程式、抓bug等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-Salesforce-AI%20Cloud-Sales%20GPT-generated%20sales%20email-600(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-Salesforce-AI%20Cloud-Marketing%20GPT-600(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Salesforce</span></span></p> <p>Salesforce強調，其AI雲的特色之一是新增的Einstein GPT信任層（Trusted Layer）。它可以將資料及模型切開，防止語言模型保留敏感的企業資料。</p> <p>此外，除了Einstein，AI雲也支援第三方LLM，包括AWS、Anthropic、Cohere及OpenAI的ChatGPT，可在Salesforce基礎架構上使用第三方LLM。Salesforce也和OpenAI合作聯合內容仲裁，結合使用Salesforce Einstein GPT信任層、OpenAI的企業API和其他安全工具，確保企業資料不會被儲存在Salesforce中。</p> <p>AI雲的設計有助於吸引企業客戶使用Salesforce的雲平臺，即使他們偏好其他大型語言模型工具，也能免於企業資料外洩隱憂。資訊外洩是許多企業禁止員工將公司資料用於ChatGPT的原因之一。<a href="https://www.ithome.com.tw/news/156291" target="_blank">南韓電子業巨人三星4月間發生</a>員工將開發專案的程式碼上傳ChatGPT檢查bug所在，引發資料外洩風險，三星也警告若再有類似濫用事件可能將完全禁止使用ChatGPT。</p> <p>目前這項服務已有會員制金融暨旅遊服務AAA–The Auto Club集團（AAA The Auto Club Group）、Gucci、RBC美國財富管理及頂級旅遊業者Inspirato等。</p> <p>Salesforce是最新提供企業AI服務的大型科技業者。除了微軟Azure、Google Cloud外，<a href="https://www.ithome.com.tw/news/156411" target="_blank">4月間Amazon Web Services（AWS）也推出其首個大型語言模型Titan及AI模型平臺Bedrock</a>。</p> </div></div></div>
2023/6/13 13:43作者林妍溱https://www.ithome.com.tw/news/157315
美國FTC申請禁令以阻止微軟買下動視暴雪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易管理委員會<a href="https://www.ithome.com.tw/news/154634" target="_blank">（FTC）繼於去年12月向法院提出挑戰</a>，要求法院命令微軟停止收購動視暴雪（Activision Blizzard）之後，<a href="https://www.documentcloud.org/documents/23843966-ftc-vs-microsoft-activision?responsive=1&title=1" target="_blank">再於本周一（6/12）希望法院祭出臨時禁止令與初步禁制令</a>，在FTC完成調查前，讓微軟與動視暴雪不得持續進行併購業務。</p> <p>這主要是因為微軟買下動視暴雪的最後期限將屆，截止日為今年的7月16日。FTC希望雙方得以維持現狀，直至該機構確定此一收購案是否會損及市場競爭。</p> <p>美國FTC的擔憂與<a href="https://www.ithome.com.tw/news/156592" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）</a>類似，認為雙方一旦完成合併，微軟將握有動視暴雪產品的生殺大權，特別是在競爭對手的平臺上。不管是透過價格、遊戲品質或是遊戲體驗的差異，來維持或提高微軟於遊戲產業的優勢。</p> <p>FTC還在訴狀中指出，初步禁制令是必要的，因為微軟與動視暴雪已宣稱它們隨時可能完成交易。</p> <p>對於FTC的最新行動，<a href="https://twitter.com/BradSmi/status/1668377876679516160" target="_blank">微軟總裁Brad Smith</a>與<a href="https://newsroom.activisionblizzard.com/p/microsoft-activision-case-ftc-federal-court?utm_source=direct&utm_campaign=post&utm_medium=web" target="_blank">動視暴雪執行長Bobby Kotick</a>卻異口同聲地表示樂觀其成，因為此舉將會加速該案的法律程序，還能讓它們有機會於法院上呈現各種合併的好處，且雙方的律師團隊已有萬全準備。</p> <p><a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟是在2022年1月宣布</a>將以687億美元買下動視暴雪，迄今除了英國與美國之外，全球已有38個國家已同意此一遊戲史上最大的併購案，包括中國、南韓、歐盟與日本等。</p> </div></div></div>
2023/6/13 11:29作者陳曉莉https://www.ithome.com.tw/news/157309
那斯達克將以105億美元買下金融科技軟體業者Adenza
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於美國的跨國金融服務業者<a href="https://www.nasdaq.com/press-release/nasdaq-accelerates-its-transformation-as-a-leading-technology-provider-to-the-global" target="_blank">那斯達克（Nasdaq, Inc.）周一（6/12）宣布</a>，將以總價105億美元的現金及股票買下金融科技軟體業者Adenza，包括57.5億美元的現金及8,560萬股的Nasdaq股票，交易完成後，Adenza的控股公司Thoma Bravo將取得14.9%的Nasdaq股票。倘若雙方順利完成併購，那麼這將是那斯達克史上最大的一次併購案。</p> <p>那斯達克總計於全球經營10家證券交易所，包括美國的那斯達克證券交易所、費城證券交易所、波士頓證券交易所，以及在歐洲的7家證券交易所，也提供各種資料、分析及軟體服務。</p> <p>至於Adenza則是成立於1997年的金融科技業者，主要提供資本市場、投資管理、央行、風險管理、清算、抵押，以及資金與流動性的軟體應用，主要客戶為金融機構及銀行，估計今年可創下5.9億美元的營收，成長15%。</p> <p>那斯達克相中的是Adenza的風險管理與監管軟體，相信其解決方案將能與那斯達克的市集技術及反金融犯罪解決方案互補，讓那斯達克可提供更全面的解決方案予金融機構，以強大的監管解決方案來建立一個多資產並具備完整交易生命周期的平臺。</p> </div></div></div>
2023/6/13 11:47作者陳曉莉https://www.ithome.com.tw/news/157313
【資安日報】6月12日，大型金融業者須提高警覺！駭客發動新型AiTM攻擊與BEC詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對日益普及的雙因素驗證機制，駭客先前的因應之道是運用對手中間人攻擊手法（AiTM）突破，以此挾持受害者帳號的情況不時發生，但這種手法最近出現變化。微軟最近揭露一起針對金融業的AiTM攻擊，裡面有2種過往未出現的手法，其一是駭客結合商業郵件詐騙（BEC），發展成多階段攻擊；另一則是AiTM手法施行變得更為隱密。</p> <p>MFT檔案共享系統MOVEit Transfer又被找出新漏洞，也須多加留意。這是IT業者Progress在5月底察覺CVE-2023-34362零時差漏洞攻擊之後，委由資安業者協助檢視程式碼找出的新漏洞。對此，該公司也呼籲用戶要儘速套用更新程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/06/08/detecting-and-mitigating-a-multi-stage-aitm-phishing-and-bec-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客發動新型態的AiTM攻擊、BEC詐騙，鎖定銀行與金融服務業者而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1n_-AiTM-and-BEC-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1n_-AiTM-and-BEC-attacks.png" style="width: 300px; float: right;" /></a>微軟於本月8日揭露駭客組織Storm-1167的多階段對手中間人（AiTM）釣魚攻擊，以及商業郵件詐騙（BEC）攻擊，鎖定銀行與金融服務組織而來。駭客先是發送釣魚郵件，一旦收信人點選信中的連結，就會被重新導向到冒牌的微軟登入網頁，駭客便會竊取其輸入的帳密資料及動態密碼（TOTP），得手後駭客再盜用收信人的微軟帳號發動重放攻擊（Replay Attack），進行未經授權存取，從而掌握能用於商業郵件詐騙的敏感信件。</p> <p>這些郵件內含的URL，指向駭客濫用的Canva網域，其內容聲稱是剛收到的傳真文件，一旦受害者依照指示點選，就會再導引至另一個冒牌的微軟登入網頁（該網頁由騰訊雲託管）。為了避免被發現，駭客會在受害的帳號，加入以簡訊進行雙因素驗證的方式，而能持續存取。接著，研究人員後來看到駭客發起大規模垃圾郵件攻擊，向目標組織的相關人士發送逾1.6萬封郵件，進行BEC攻擊。</p> <p>研究人員指出，這次駭客所使用的AiTM攻擊手法，並非像過往使用反向代理伺服器（Reverse Proxy），而是利用間接代理（Indirect Proxy）的手法，透過合法應用程式向微軟的伺服器發出身分驗證請求，由於受害者與實際微軟登入網站之間沒有HTTP封包傳輸，且駭客掌握了釣魚網站的基礎設施，而能夠透過多個伺服器來迴避偵測。</p> <p><a href="https://www.elastic.co/security-labs/elastic-charms-spectralviper"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">越南企業遭後門程式Spectralviper鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ref2754-image16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ref2754-image16.png" style="width: 300px; float: right;" /></a>Elastic旗下的安全實驗室揭露惡意軟體Spectralviper的攻擊行動，駭客組織REF2754將其用於攻擊越南上市公司，最初是濫用SysInternals工具包裡的ProcDump應用程式來側載DLL程式庫Dountloader，而這個惡意程式下載器的DLL檔案又被用於載入後門程式Spectralviper，以及P8loader、Powerseal等惡意軟體。</p> <p>其中，Spectralviper的主要功能，是接收攻擊者的伺服器下達的命令，而為了避免被察覺攻擊特徵，駭客對其使用程式碼混淆、字串混淆等手法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MFT檔案共享系統MOVEit Transfer再度發現新漏洞</span></strong></a></p> <p>IT系統業者Progress於6月9日發布新的資安通告，主要內容是公布修補的SQL注入漏洞（尚未取得CVE編號），並提及這會影響所有版本的MOVEit Transfer、MOVEit Cloud，呼籲用戶要儘速套用同日推出的新版軟體，該公司亦對MOVEit Cloud叢集進行修補。</p> <p>一旦攻擊者利用這項漏洞，就有可能在未經身分驗證的情況下，得到此MFT系統資料庫的存取權限，攻擊者可發送特製的酬載到用戶端應用程式，進而竄改、洩露資料庫內容。</p> <p>該公司指出，這項漏洞之所以能夠發現，源於5月底，他們得知勒索軟體駭客Clop的零時差漏洞攻擊，尋求資安業者Huntress協助檢視該MFT系統程式碼，後續發現問題所在，所幸該漏洞目前尚未發現遭到利用的跡象。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fortinet-fixes-critical-rce-flaw-in-fortigate-ssl-vpn-devices-patch-now/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet發布防火牆作業系統更新，傳出修補了SSL VPN重大漏洞</span></strong></a></p> <p>資安業者Fortinet於6月8日針對防火牆作業系統FortiOS發布6.0.17、6.2.15、6.4.13、7.0.12、7.2.5版更新，但有研究人員提出警告，這次更新涵蓋尚未公開揭露的重大漏洞修補，用戶應儘速安裝。</p> <p>資安業者Olympe Cyberdefense透露，FortiGate存在一項未公開的嚴重漏洞，該漏洞與SSL VPN功能有關，攻擊者可透過惡意代理伺服器存取SSL VPN，進而觸發漏洞，即使組織啟用雙因素驗證（MFA）也無法防堵相關攻擊。Olympe Cyberdefense指出，此漏洞的CVE編號將於13日公開。</p> <p>後來，研究人員Charles Fol於11日表示，此為RCE漏洞CVE-2023-27997，存在於所有Fortinet SSL VPN設備，而能被攻擊者用於執行預先身分驗證，呼籲用戶儘速修補。對於研究人員的說法，Fortinet並未正面說明是否修補了上述漏洞。</p> <p>資料來源</p> <p>1. <a href="http://olympecyberdefense.fr/1193-2/">http://olympecyberdefense.fr/1193-2/</a><br /> 2. <a href="https://twitter.com/cfreal_/status/1667852157536616451">https://twitter.com/cfreal_/status/1667852157536616451</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://blog.google/technology/safety-security/introducing-googles-secure-ai-framework/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發表AI系統安全框架SAIF</span></strong></a></p> <p>6月8日Google發表安全AI框架（Secure AI Framework，SAIF），希望能讓AI產業設立資安規範時，能夠依循。此框架的發想，來自軟體開發流程的安全最佳實務，再結合該公司對AI系統特有的安全趨勢及風險的理解，以6個核心元素組成。</p> <p>這些元素包括將安全基礎延伸到AI生態體系，將資安事件的偵測及回應能力延伸至AI，打造自動化防禦能力，協同平臺等級的管控機制，在部署AI的過程導入適應性控制（Adapt controls）機制，以及評估業務流程裡的AI系統風險等。</p> <p>此外，Google也與其他組織合作，共同開發美國國家標準暨技術研究院（NIST）的AI風險管理框架，以及業界首個AI認證標準ISO/IEC 42001 AI Management System Standard。</p> <p><a href="https://www.gov.uk/government/news/uk-to-host-first-global-summit-on-artificial-intelligence"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國計畫於秋季舉辦全球AI安全高峰會</span></strong></a></p> <p>在人工智慧應用熱潮興起的同時，相關安全議題備受關注，有多名學者、非營利組織呼籲應暫緩這類系統的發展。對此，6月7日英國首相Rishi Sunak宣布，將於今年秋季主辦第一屆全球人工智慧安全高峰會，希望透過匯集主要國家、科技公司和研究人員，共同商定安全措施，以評估和監測人工智慧可能帶來的重大風險。</p> <p>在上述會議召開之前，Rishi Sunak曾與所有G7會員國、各界重要人士探討此事，並取得初步共識；他也舉行圓桌會議，與OpenAI、DeepMind與Anthropic等重要人工智慧研究機構執行長，就相關議題交換意見。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsofts-azure-portal-down-following-new-claims-of-ddos-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Azure入口網站暫停運作，疑為駭客組織Anonymous Sudan發動DDoS攻擊所致</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-fails-to-extort-australian-commercial-law-giant/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲大型律師事務所HWL Ebsworth遭到勒索軟體BlackCat攻擊，駭客洩露1.4 TB資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ukrainian-hackers-take-down-service-provider-for-russian-banks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯網路服務供應商Infotel JSC遭到烏克蘭駭客癱瘓，當地銀行連線中斷</span></span></strong></a></p> <p><a href="https://drops.scamsniffer.io/post/pink-drainer-steals-3m-from-multiple-hack-events-including-openai-cto-orbiter-finance/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假冒新聞記者竊取300萬美元加密貨幣</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157280"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SharePoint Online遭勒索軟體攻擊，不經電腦也可以感染</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157264">【6月9日】逾20款Minecraft改裝套件遭到竄改，被用於散布惡意軟體Fractureiser</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157244">【6月8日】企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157227">【6月7日】 Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</a></strong></p> </div></div></div>
2023/6/12 17:57作者周峻佑https://www.ithome.com.tw/news/157304
盧森堡NC3揭露歐洲資安經驗，打造資安觀測平臺助中小企業提升網路威脅能見度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年，臺灣與歐洲的資安交流比過往更為熱烈，在今年的臺灣資安大會，亦有來自盧森堡網路安全能力中心（National Cybersecurity Competence Center，NC3）的專家親自到場演講，闡述他們最新發展的資安計畫如何幫助該國的中小企業，特別的是，我們也趁此機會了解NC3在盧森堡與歐盟的定位，並認識到歐盟的網路安全政策，了解這些規範如何進一步落實到各成員國。</p> <h2><strong>打造情蒐平臺並建構風險模型，聚焦讓威脅資訊可容易理解</strong></h2> <p>NC3本身是隸屬於盧森堡經濟部，任職於這個機構、負責資安威脅觀測平臺的計畫主持人Carmelo Dimauro表示，他們的使命，主要是針對資源有限的中小型企業，協助其增強預防風險的能力，幫助這些組織在網路安全領域，變得更有韌性。</p> <p>這個資安觀測平臺如何運作？Carmelo Dimauro表示，該平臺全名為Threat Observatory Platform，主要目的是蒐集資訊，並試圖將這些技術資訊，轉化為每個人都容易理解並使用的形式，提供給當地中小企業使用，因為這類型公司普遍沒有足夠的能力制定積極的戰略，而不易實現網路安全，所以，他們從這些組織的角度出發，設法提供網路安全威脅資訊。</p> <p>為了實現此一目標，Carmelo Dimauro提到要有兩個關鍵，首先是平臺背後所使用的2大工具，另一重點則是他們開發非常簡化的風險模型，使不熟悉這些資訊的人都可以理解。</p> <p>具體而言，NC3這個平臺使用的兩大工具，分別是：開源威脅情資平臺MISP Threat Sharing，可蒐集並分享有關網路威脅和風險的指標；以及處理可疑郵件的SPAMBEE，專門用於蒐集有關垃圾郵件與釣魚郵件的數據，之後再將這些蒐集到的資訊加以分析。</p> <p>以分析層面來看，這涉及上述所指的風險模型，主要涵蓋4大部分：威脅、漏洞、受害，以及結果。</p> <p>具體來說，他們開發的風險模型首先有兩個構面：一是危害與威脅的面向，描述構成攻擊過程的要素，包含威脅者、攻擊手段、管道等；另一是受害者的面向，描述可能導致影響過程的特徵要素，包含內部管道、目標、衝擊。</p> <p>而兩個構面之間的連接點，稱之為存取點（Point of access），而這個存取點所指的就是漏洞，包含弱點、後門等，使攻擊者能夠滲透到受害者的環境當中。</p> <p>最後還有一個結果的構面，更是重要。Carmelo Dimauro強調，因為我們常常要跟所有人解釋發生的事故狀況，而由於這部分涵蓋網路攻擊對攻擊者的收益，包括獲取金錢，竊取重要資料，以及受害者損失金錢與聲譽，若能盡可能掌握這些資訊，將有助於受害者理解並提高意識。</p> <p>畢竟，在每次網路攻擊背後，總是存在策略、目標、目的。如果一般人能明白這些，將可更容易理解為何自己受攻擊、為何自己「易」受攻擊，以及為何對攻擊者而言、自己是有價值的。</p> <p>整體而言，這個平臺就像個功能更強大的威脅情資工具，因為他們會利用威脅情報的結果，並透過這樣的模型與框架做到關聯對應，並根據其他已知的資訊來交叉比對。另外，由於這些資訊的內容組成是非結構化的，因此他們也運用自然語言處理技術來檢測資訊的價值，並根據模型對資訊進行分類，並標示重要的部分。基本上，他們就是透過這樣的方式，將資訊解構為可理解的內容，並公開發布。</p> <p>當然，盧森堡網路安全能力中心不僅僅給予觀測平臺所提供的資訊，也提供教育計畫與培訓項目，教導企業人員認識其重要性，以及如何理解與使用。</p> <p>關於此計畫的發展經過，Carmelo Dimauro提到他們兩年前開始思考這項計畫，成員共有4個人，一開始花了許多時間思考他們想要做什麼，同時也針對中小企業需求的調查，以及供應商能力的調查，進一步完成系統建設、平臺營運，以及定期分析。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）盧森堡資安觀測平臺.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%9B%A7%E6%A3%AE%E5%A0%A1%E8%B3%87%E5%AE%89%E8%A7%80%E6%B8%AC%E5%B9%B3%E8%87%BA.jpg" style="width: 600px;" /></a></p> <p><strong>在盧森堡NC3資安威脅觀測平臺計畫之下，之所以能分析蒐集到的資訊，關鍵是他們設計的風險模型，當中涵蓋威脅與受害者的構面，而介於這兩者之間的存取點（Point of Access）能幫助理解為何受攻擊，最後的結果（Consequence）也能突顯攻擊者收益與受害者損失。特別的是，Carmelo Dimauro</strong><strong>也說明了該風險模型與開源威脅情資平臺MISP，以及MITRE ATT＆CK框架的對應項目。</strong></p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖4）盧森堡資安觀測平臺.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%9B%A7%E6%A3%AE%E5%A0%A1%E8%B3%87%E5%AE%89%E8%A7%80%E6%B8%AC%E5%B9%B3%E8%87%BA.jpg" style="width: 600px;" /></a></strong></p> <p><strong>Carmelo Dimaur展示了觀測平臺的整體架構，說明他們是如何蒐集資訊與分析資訊，最後將簡化易理解的資訊提供給外界。</strong></p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖2）盧森堡資安觀測平臺.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%9B%A7%E6%A3%AE%E5%A0%A1%E8%B3%87%E5%AE%89%E8%A7%80%E6%B8%AC%E5%B9%B3%E8%87%BA.jpg" style="width: 600px;" /></a></strong></p> <p><strong>在盧森堡網路安全能力中心（National Cybersecurity Competence Center，NC3）所建構的Threat Observatory Platform平臺中，也會發布季度報告呈現趨勢變化。</strong></p> <h2><strong>支援歐洲網路安全創新與產業政策，ECCC是重要關鍵</strong></h2> <p>向參加臺灣資安大會的人們介紹NC3的觀測平臺計畫之餘，我們也趁Carmelo Dimauro這次來臺，詢問盧森堡NC3與歐盟之間的關聯。因為，大家過去可能從資安新聞了解歐盟頒布許多網路安全政策，以及歐盟本身設有網路安全機構（ENISA）這類機構，但大家還是很好奇歐盟有哪些資安推動方式？</p> <p>對此，Carmelo表示，歐盟是一個共同體，在歐盟執委會的帶領下，制定歐盟的法規，提供一些政策與標準，每個成員國都必須實施這些政策。</p> <p>以網路安全層面而言，為了確保歐盟成員國都實施相同的戰略，因此需要有跨境合作，或是至少需要協調。從國家層面來看，歐盟建立歐洲網路安全能力中心（European Cybersecurity Competence Centre，ECCC），此一執行機構位於羅馬尼亞的首都布加勒斯特，目標是提高歐洲的網路安全能力與競爭力，並在27個成員國設置國家協調中心（National Coordination Centre，NCC）。特別的是，去年2022年，盧森堡接任ECCC主席國，並由Pascal Steichen擔任主席。</p> <p>在這樣的運作架構之下，主要透過ECCC與國家協調中心（NCC）的密切合作，形成支持網路安全創新和產業政策的新框架，以確保整體策略的發展，同時也監控歐盟成員每個國家的實施情況。</p> <p>Carmelo表示，以盧森堡NC3而言，除了本身推動的多項計畫與任務，也被指定扮演國家協調中心的角色，因此也負責相關工作。例如，對於來自執行歐盟執委會的法規，NC3將確保該法規在盧森堡的有效實施，也會從ECCC獲得預算，以支援當地生態系統發展。</p> <p>當然，所有歐盟成員國在此方面都擁有相同的結構、政策與活動，不論是比例時網路安全中心（CCB）、義大利國家網路安全局（ACN）、荷蘭企業署（NEA）、法國國家資訊系統安全署（ANSSI）、西班牙國家網路安全研究所（INCIBE）等，也都是被指定為ECCC體系之下的國家協調中心。</p> <p>Carmelo強調，這麼做的目標是為了增加資安韌性，不僅是單一國家的韌性，而是歐洲共同體的韌性。當然，每個國家在資安政策上，還可以自行決定是否要做更多。</p> <p>至於ENISA這樣歐盟的機構，Carmelo Dimauro表示，這是一個技術導向程度更高的機構。例如，研究更安全的系統，監測網路威脅與技術的發展，幫助偵測與回應資安問題等。</p> <p>回到盧森堡本身來看，以國家級CERT組織而言，Carmelo Dimauro指出，可分成兩個面向來看，一是針對公部門方面有GOVCERT.lu，另一是針對私部門，目前有兩個機構——除了上述的NC3，還有盧森堡電腦緊急應變中心（CIRCL）。</p> </div></div></div>
2023/6/12 14:55作者羅正漢https://www.ithome.com.tw/news/157285
【資安週報】2023年6月5日到6月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，有3個重點，首先是Google釋出新版Chrome修補零時差漏洞CVE-2023-3079，這是一個Chromium的V8類型混淆漏洞，該公司指出已出現攻擊行動，另一是上週（６月１日）有資安業者警告，攻擊者可能利用Zyxel新修補的漏洞CVE-2023-33009、CVE-2023-33010，如今也被美國CISA列入已知漏洞利用清單。另外值得注意的是，有研究人員示警，微軟4月修補的一項Visual Studio漏洞，是容易被利用的漏洞，恐被用於滲透開發環境。</p> <p>在攻擊活動與威脅態勢方面，最大焦點，是5月下半針對MOVEit Transfer零時差漏洞的攻擊事件，受到多家資安業者關注，並揭露後續消息，包括其攻擊背後是勒索軟體駭客組織Clop所發動，以及受害企業可能達百家之多，還有攻擊者可能在2年前就發現了漏洞，經長期測試後才根據排程發動攻擊。另外，我們在整理事件後續進展時，新發現已有資安調查業者整理與公告事件<a href="https://github.com/curated-intel/MOVEit-Transfer">相關脈絡</a>。</p> <p>關於勒索軟體持續與中國駭客組織的消息不少。在勒索軟體方面，包含0mega鎖定企業用SharePoint Online，以及Cyclops結合竊資軟體功能的揭露：在中國駭客攻擊方面，有多家資安業者揭露不同組織的新動向，分別是Camaro Dragon利用後門程式TinyNote鎖定東南亞外交單位，PostalFurious鎖定星、馬，甚至阿拉伯國家發動網釣簡訊攻擊，以及SharpPanda透過Office方程式編輯工具老舊漏洞的攻擊行動，已從東南亞擴散至G20國家。</p> <p>另外還有3個威脅活動也值得關注，包括資料流自動化處理系統Apache NiFi遭駭客鎖定，殭屍網路TrueBot鎖定稽核軟體Netwrix重大漏洞，以及PowerDrop的PowerShell惡意程式鎖定美國太空產業部署RAT的揭露。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157192"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</span></strong></a></h3> <p>資安業者Check Point揭露中國駭客Camaro Dragon的攻擊行動，駭客利用以Go語言打造的後門程式TinyNote，鎖定東南亞、東亞的外交大使館而來，此後門程式主要被用於第一階段攻擊，讓駭客能在受害電腦上持續從事相關行動，並可使用PowerShell或Goroutines，列出目標組織的電腦。攻擊者假借提供外交事務相關的文件，散布該後門程式。</p> <p>比較特別的是，TinyNote能繞過名為Smadav的防毒軟體偵測，此產品的主要用戶位於印尼，亦有東南亞與非洲的使用者，突顯此後門程式的攻擊相當有針對性。</p> <p>研究人員也發現，為了降低目標對象的戒心，駭客冒用緬甸軍事設施的網域名稱，進一步追查其使用的基礎設施之後，他們表示，駭客可能對臺灣政府機關也相當感興趣。</p> <h3><a href="https://www.ithome.com.tw/news/157208"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月6日】MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</span></strong></a></h3> <p>針對Accellion FTA、GoAnywhere等MFT檔案共享系統的零時差漏洞攻擊，勒索軟體駭客組織Clop皆有參與，最近另一套MFT系統MOVEit Transfer也傳出面臨網路攻擊，有不少人懷疑也是Clop所為。如今有研究人員印證這樣的推測，並指出漏洞攻擊、竊取資料、勒索手法相當雷同。</p> <p>殭屍網路病毒的攻擊也相當值得留意。最近研究人員揭露殭屍網路Horabot的行動，目標鎖定電子郵件信箱帳號，不僅竊取信件內容，還會利用這些帳號發送釣魚郵件。</p> <p>人力資源管理平臺Prosperix因雲端儲存桶配置不當，導致求職者的資料曝光，內容不只包含了駕照、履歷表、工作申請表、畢業證書、成績單等相關資料，甚至還有疫苗接種記錄。</p> <h3><a href="https://www.ithome.com.tw/news/157227"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月7日】Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</span></strong></a></h3> <p>微軟的雲端郵件服務Outlook.com傳出從週一（6月5日）發生服務中斷的現象，導致用戶無法收發信而怨聲載道，但為何會出現這樣的情況？微軟並未對服務中斷的原因提出說明，但有駭客組織聲稱，這起事故是他們發起的DDoS攻擊所致。</p> <p>MFT檔案共享系統MOVEit Transfer零時差漏洞攻擊出現了新的進展，關於攻擊的駭客組織身分，微軟於6月5日曾指出是勒索軟體駭客Clop，隔日資安新聞網站Bleeping Computer收到Clop的說法，該組織表示就是他們所為，並透露這起攻擊的部分細節。</p> <p>Google針對上週才推出的Chrome 114發布新版程式，當中修補了零時差漏洞CVE-2023-3079，由於以Chromium為基礎打造的瀏覽器都可能受到影響，Edge、Brave、Vivaldi也都提供了修補。</p> <h3><a href="https://www.ithome.com.tw/news/157244"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月8日】企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊</span></strong></a></h3> <p>入侵企業的檔案共享系統並進行檔案加密的攻擊行動，最近出現新的手法！有資安業者揭露一波針對SharePoint Online而來的勒索軟體0mega攻擊，駭客先是挾持Microsoft 365的全域管理員帳號（Global Admin Account），然後建立高權限帳號來下載、刪除檔案，再留下勒索訊息。</p> <p>MFT檔案共享系統MOVEit Transfer零時差漏洞攻擊傳出駭客開始向受害組織進行勒索，並要求依照指示限期聯繫、談妥價碼及付款，否則就要公開竊得的資料。但受害規模仍不得而知。</p> <p>開放重新導向漏洞（Open Redirect Vulnerability）的情況也值得我們留意。有研究人員發現美國太空總署（NASA）的網站出現此類漏洞，但在今年1月就有人通報，截至5月仍未修補。</p> <h3><a href="https://www.ithome.com.tw/news/157264"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月9日】逾20款Minecraft改裝套件遭到竄改，被用於散布惡意軟體Fractureiser</span></strong></a></h3> <p>透過套件工具發布平臺來發動攻擊的情況，近期專門針對軟體開發人員而來，上架NPM、PyPI惡意套件的事件不時傳出，但現在也有鎖定遊戲玩家的攻擊行動。最近發生的竊資軟體Fractureiser攻擊行動，就是藉由電玩遊戲Miniecraft改裝套件平臺Bukkit、CurseForge的套件來散布，而引起相關社群的關注。</p> <p>製造業遭遇勒索軟體攻擊的事故也相當值得關注。在今天的資安新聞裡，日本拉鍊大廠YKK、製藥廠Eisai皆傳出遭遇此種攻擊。以YKK而言，駭客組織LockBit宣稱是他們所為，揚言若該公司不付錢，將公開所竊得的資料，後續影響有待觀察。</p> <p>MOVEit Transfer零時差漏洞攻擊的調查又出現了新的進展。有資安業者發現，駭客可能在2年前就找出漏洞，並經過多次測試、驗證，到了近期才發動正式攻擊。</p> </div></div></div>
2023/6/12 09:39作者羅正漢https://www.ithome.com.tw/news/157277
SharePoint Online遭勒索軟體攻擊，不經電腦也可以感染
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.obsidiansecurity.com/blog/saas-ransomware-observed-sharepoint-microsoft-365/" target="_blank">安全廠商發現駭客以新手法攻擊SharePoint Online</a>，不必感染用戶電腦也能植入勒索軟體。</p> <p>Obsidian研究人員近日觀測到一樁針對一家企業SharePoint Online（Microsoft 365）的勒索軟體攻擊。不同於一般SharePont Online感染案例，攻擊者加密用戶機器或對映磁碟，再同步到SharePoint Online 執行個體上的手法不同的是，攻擊者不需從用戶電腦終端下手。</p> <p>研究人員也說明這次攻擊事件的手法。首先，駭客成功取得微軟全域管理員（global admin）服務的登入憑證。被害帳號主要是未啟用雙因素或多因素驗證（2FA/MFA）而讓駭客可由公開網際網路存取。經追查，研究人員推斷是操作勒索軟體0mega的駭客組織。他們從VDSinra.ru提供的虛擬專用伺服器（Virtual Private Server）以異常的IP連線存取受害帳號，並建立名為0mega的新AD用戶帳號，並給予它相當高的存取權限，包括全域管理員、SharePoint管理員、Exchange及Teams管理員，這些權限使其得以從多個SharePoint網站或資料夾蒐集檔案，也可以刪除現有管理員帳號。</p> <p>0mega駭客在2個小時內刪除了200多個管理員帳號。駭客由SharePoint下載數百個檔案到VPS上的用戶端點sppull。由於駭客運用開源Node.js的函式庫got以HTTP連線上傳數千個PREVENT-LEAKAGE.txt檔案到Sharepoint，導致形跡敗露。研究人員還發現，駭客設立了2個祕密網站，讓受害企業與其聯繫贖金事宜並避免曝光。</p> <p class="rtecenter"><a href="https://www.obsidiansecurity.com/wp-content/uploads/2023/06/Untitled-1024x756.png" target="_blank"><img alt="" src="https://www.obsidiansecurity.com/wp-content/uploads/2023/06/Untitled-1024x756.png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="https://www.obsidiansecurity.com/wp-content/uploads/2023/06/Untitled-1-1024x701.png" target="_blank"><img alt="" src="https://www.obsidiansecurity.com/wp-content/uploads/2023/06/Untitled-1-1024x701.png" style="width: 600px;" /></a></p> <p><a href="http://www.obsidiansecurity.com/blog/saas-ransomware-observed-sharepoint-microsoft-365/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Obsidian</span></span></a></p> <p>研究人員建議AD管理員要留心異常地點的IP連線及登入行為，像是固定由一個陌生或奇怪國家連進的存取行為，也應檢查新增AD用戶的使用者名稱、聯絡地址或任何資料有0mega或Zero Mega，或是被給予太多管理員權限的新AD用戶帳號。此外，有大量不明.txt檔案上傳及來自sppull或got用戶代理程式的活動，也是遭感染的指標。</p> </div></div></div>
2023/6/12 11:39作者林妍溱https://www.ithome.com.tw/news/157280
Meta發表音樂生成模型MusicGen
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/pdf/2306.05284.pdf?" target="_blank">Meta AI於上周發表了音樂生成模型MusicGen</a>，並透過<a href="https://github.com/facebookresearch/audiocraft" target="_blank">GitHub開源了Audiocraft</a>，Audiocraft為一針對聲音生成而打造的PyTorch深度學習函式庫，提供程式碼及模型予MusicGen，允許使用者透過文字或輔以既有的音樂片段來創造自己的音樂。</p> <p>MusicGen是個一次到位（One Stage）的自我迴歸（Autoregression）Transformer模型，它在一個32kHz的EnCodec分詞器上進行訓練，使用了4個以50 Hz採樣的碼書（Codebook）。</p> <p>Meta AI團隊說明，與<a href="https://www.ithome.com.tw/news/156832" target="_blank">Google音樂AI工具MusicLM</a>不同，MusicGen不需要自我監督的語義表示，代表它在生成音樂時不必預先訓練一個模型來理解音樂的語義，同時它一次就可生成4個碼書，藉由在碼書之間導入小延遲，以並行預測這些碼書，使其每秒音頻僅需進行50步的自我迴歸預測。</p> <p>另一個不同則是Meta開源了Audiocraft/MusicGen，但Google尚未打算開放一般用戶使用MusicLM。</p> <p>Meta AI團隊使用了2萬小時的授權音樂來訓練MusicGen，包括1萬小時的內部音樂資料集，以及來自ShutterStock與Pond5的音樂資料。</p> <p>使用者可藉由API存取Meta AI團隊預先訓練的4個模型，這些模型的規模不同，包括具備3億參數的小模型、擁有15億參數的中等模型，擁有15億參數且可同時輸入文字與音樂的旋律模型，以及具備33億參數的大模型。其中，除了旋律模型之外，其它模型都只能輸入文字來產生音樂。此外，該團隊發現，中型與旋律模型在運算及品質上可取得最佳平衡。</p> <p><a href="https://ai.honu.io/papers/musicgen/" target="_blank">Meta AI的研究科學家Alexandre Défossez比較了4個音樂生成模型的不同</a>，涵蓋MusicGen、MusicLM、Riffusion與Musai等，賦予它們同樣的描述，並觀察它們的生成結果。</p> <p><a href="https://twitter.com/DrJimFan/status/1667197945899544576" target="_blank">Nvidia的AI科學家Jim Fan表示</a>，Meta在開源上取得了連勝，MusicGen替音樂AI創造了另一個<a href="https://www.ithome.com.tw/news/155692" target="_blank">LLaMA</a>時刻。</p> <p>要在自己的系統上試用Audiocraft/MusicGen必須安裝Python 3.9與PyTorch 2.0.0，以及至少具備16GB記憶體的GPU。</p> </div></div></div>
2023/6/12 12:06作者陳曉莉https://www.ithome.com.tw/news/157281
每日寫入量高達35次，美光推出新款強調高耐寫型SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_xtr_ssd_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年上半，記憶體大廠美光（Micron）陸續發表多款資料中心NVMe硬碟，1月宣布新一代頂級產品9400系列進入大量生產階段，5月推出主打高容量特色的產品6500 ION系列，以及超大耐用度、支援寫入密集型工作負載的產品XTR系列。</p> <p>就近期發表的資料中心固態硬碟產品而言，大多是針對讀取密集型工作負載的應用需求，而在耐用度方面，每日寫入量（DWPD）的規格常見為1或低於1；若是主打混合型工作負載的產品，每日寫入量介於1與10之間，常見為3；而歸類為寫入密集型工作負載的產品，每日寫入量為10以上。</p> <p>或許是因為受制於目前普遍採用的NAND快閃記憶體為TLC，市面上的資料中心固態硬碟產品，每日寫入量規格很少超過兩位數，然而，美光最新推出的MTR系列竟打破這個慣例，本身的耐用程度（endurance）大大超越一般固態硬碟——基於同樣採用TLC快閃記憶體的架構，這款產品每日因應循序寫入工作負載的能力為60次，每日因應隨機寫入負載可達35次。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron XTR-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20XTR-2.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，根據美光對IT媒體發表的簡報內容指出，XTR採用176層的SLC快閃記憶體技術，然而，在該公司網站公布的產品簡介文件，在NAND的規格當中，卻寫為「Micron 176-layer 3D TLC NAND」，經過我們向美光詢問，他們表示，XTR採用以SLC模式運行的TLC NAND，以提供強化的耐用性，並加速資料中心工作負載。<br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20XTR-1.jpg" style="width: 600px;" /></p> <p>在產品針對的工作情境上，美光也明確列出XTR適用的寫入密集型工作負載細部應用類型，像是快取層設置、寫入緩衝處理、事件日誌記錄，以及資料庫線上交易處理（OLTP）。</p> <p>對比於可用作儲存級記憶體（SCM）的固態硬碟，具有超高資料耐寫度的特性，XTR也具有多個相對成本優勢。</p> <p>美光表示，若以英特爾Optane SSD P5800X來比較，每日寫入量高達100次，他們的XTR每日隨機寫入量雖然僅有35％，成本卻只需要20％；而以耗電量的規格而言，英特爾Optane SSD P5800X系列的1.6 TB機型為21瓦，美光XTR系列的960 GB與1.92 TB機型只需12瓦，節省幅度為43％。</p> <p>在實際應用上，XTR系列展現了哪些特性？根據美光進行的微軟SQL Server資料分析測試，若以Micron 6500 ION搭配英特爾Optane SSD P5800X對上Micron 6500 ION搭配Micron XTR，若在256 GB、384 GB、 512 GB等記憶體組態之下，SQL Server的tempdb每日寫入資料量最高為42 TB，美光XTR系列每日寫入量為35次，若以1.92 TB容量機型為準，每日寫入量為67.2 TB，其耐寫度可高於上述tempdb每日寫入量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20XTR-SQL1.png" style="width: 400px;" /></p> <p>而就存取效能來比較，在3種記憶體組態當中，Micron 6500 ION搭配Micron XTR資料庫查詢執行時間，略低於Micron 6500 ION搭配英特爾Optane SSD P5800X。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20XTR-SQL2.png" style="width: 400px;" /></p> <p>除了提供高耐寫能力，擁有更豐富的安全性特色，也是XTR傲視美光現行固態硬碟產品的部分，不僅支援自我加密（SED）、運用密碼學的資料抹除、NAND區塊抹除，以及使用數位簽章保護的韌體，它與一起發表的6500 ION、去年3月發表的7450，都已遵循TCG Opal、美國貿易協定法（TAA）等標準，以及美光本身制定的安全執行環境（Micron SEE）要求，而且能在ASIC晶片層級符合FIPS 140-3 L2認證的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron SSD Portfolio Security Features.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20SSD%20Portfolio%20Security%20Features.png" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p>Micron XTR NVMe SSD<br /> ●原廠：Micron<br /> ●建議售價：廠商未提供<br /> ●儲存容量：960 GB、1.92 TB<br /> ●外形：U.3<br /> ●儲存媒體：3D NAND，TLC，176層<br /> ●最高讀寫速度：循序6,800 MB/s與5,600 MB/s，隨機90萬IOPS與35萬IOPS<br /> ●使用介面：PCIe 4.0 x4/NVMe 2.0<br /> ●耐用度：128 KB循序寫入、每日寫入量為60，4 KB隨機寫入、每日寫入量為35<br /> ●可靠度：250萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/6/12 12:44作者李宗翰https://www.ithome.com.tw/review/157275
Reddit執意推行API收費政策，多個知名App宣布關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源軟體開發者社群平臺Reddit在開發用戶抗議聲中，執意在7月1日推行API收費政策，為此，一群知名開發人員表示他們的App將在6月30日終止運作。</p> <p><a href="https://www.ithome.com.tw/news/156469" target="_blank">4月間Reddit宣布</a>，為求平臺營運健康、維護平臺的安全、隱私，將變更服務條款，對使用其資料API且獲利的開發商收費，同時強化廣告、性與血腥等露骨內容管理規定，但他們還是針對研究及個人用途、少量存取API的開發人員提供免費API。</p> <p>新政策下，資料API呼叫費用是1000次呼叫0.24美元。免費API的使用條件是每OAuth每分鐘查詢次小於100次，若App不使用OAuth者，則為每分鐘查詢10次。Reddit說，90%的App都落在免費API使用族群。</p> <p>收費制將在7月1日正式上路。雖然這變更主要是瞄準OpenAI這類使用大量資料訓練AI模型的業者，不過也有其他知名App開發商受到影響，時程太趕令其措手不及。Reddit在溝通後仍然堅持如期推動收費，許多App開發商揚言在6月12日暫停運作一天表達抗議。根據追蹤該活動的<a href="https://reddark.untone.uk/" target="_blank">Reddark網站</a>，周一（6/12）已有超過600個Subreddit暫時關閉。</p> <p>部分開發人員採取更激烈的行動。上周<a href="https://twitter.com/ChristianSelig/status/1666857672489189376" target="_blank">Apollo開發商Christian Selig宣布</a>，他的App將在6月30日關閉。Apollo是存取Reddit最受歡迎的Reddit第三方iOS App。<a href="https://www.reddit.com/r/apolloapp/comments/144f6xm/apollo_will_close_down_on_june_30th_reddits/" target="_blank">Selig說</a>，Reddit新App政策將讓它每個月多出近200萬美元成本，一年超過2,000萬美元，因為Apollo上個月呼叫就超過700億次。</p> <p>接著，隔天rif is fun for Reddit、ReddPlanet、Sync也宣布將在同一天熄燈。<a href="https://www.reddit.com/r/redditisfun/comments/144gmfq/rif_will_shut_down_on_june_30_2023_in_response_to/" target="_blank">RIF指出</a>，在收費費率、廣告及內容控制上，「Reddit一直不情願妥協」，但RIF App營收遠遠無法承擔Reddit API所要的費用。RIF也指控，Reddit官方App阻擋第三方App的廣告，進一步封殺RIF大部分營收來源，迫使他們必須改採付費訂閱型。同時間Reddit官方App卻持續採用廣告為主的營收模式。而且，Reddit推行NSFW（Not Suitable for Work，上班場所不宜）政策，要求第三方App移除露骨內容（explicit content），但官方App卻可以顯示，明顯「只許州官放火，不准百姓點燈」。</p> <p>Reddit似乎不為所動。Reddit執行長Steve Huffman周六表示，Reddit需要能自給自足，為此，他們將不再補貼需要使用大量資料的商業實體。<a href="https://www.reddit.com/r/reddit/comments/145bram/addressing_the_community_about_changes_to_our_api/" target="_blank">Huffman直接宣布</a>上述App將關閉，但他們會和其他App持續溝通。</p> <p>Reddit指出，在資料API新政策上路後，一些工具包括RES、ContextMod、Toolbox仍可免費使用。免費聊天機器人如haikubot、setlistbot的API使用也不受限。同樣地，非商用、身障用戶輔助功能為主的App和工具（如RedReader和Dystopia）也能持續免費存取Reddit上的資源。</p> <p>至於露骨內容規定，政策將在7月5日上路。Reddit表示會提供顯示此類內容的指引，但本政策不會影響內容仲裁者（moderator）的機器人或外掛程式。</p> </div></div></div>
2023/6/12 10:50作者林妍溱https://www.ithome.com.tw/news/157278
Bing Chat桌機版可以說話了，還支援圖片生成、一次回答最多30次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.bing.com/search/june-2023/Bing-Preview-Release-Notes-Voice-Chat-on-Desktop" target="_blank">微軟上周宣布桌機版測試版</a>，為Bing Chat加入語音對話功能，並完整支援圖片生成，增加視覺搜尋結果，現在一次最多可回應你30次。</p> <p>Bing Chat行動版之前已有語音輸入Voice，現在才正式加入微軟最新Bing桌機預覽版Voice Chat on Desktop，並在上周五釋出給所有用戶。用戶可以點入Bing Chat工具列的麥克風來叫喚出這功能，讓用戶以口說取代文字輸入，和這個AI助理對話或下指令。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0612-microsoft%20Bing-Voice%20Chat%20on%20Desktop.gif" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></p> <p>目前語音輸入支援英、中、日、法及德語，之後還會加入其他語言。此外Bing Chat也支援文字轉語音答案；即以它自己的聲音來回覆用戶詢問。因此用戶可以讓Bing回答他知道最難的繞口令。</p> <p>除此之外，繼Bing繪圖產生器Image Creator自今年3月整合進AI助理以生成圖片，不過一開始只有創新（Creative）模式可以用。<a href="https://blogs.bing.com/search/june-2023/Bing-Preview-Release-Notes-Increasing-Chat-Turns-to-30-300" target="_blank">本周微軟再宣布Bing Chat各種聊天模式</a>，包括精準、平衡及創意模式都會支援。Bing Chat每次問答次數上限，也由20次提高為30次，每天問答總次數則提高到300次，而這也可適用於對話紀錄，意謂用戶可點選之前對話再接續查詢。此外，在旅遊查詢的回覆中，Bing Chat將增加提供更多視覺資訊，包含來自Bing Travel擷取的連結。</p> <p class="rtecenter"><img alt="" src="https://blogs.bing.com/BingBlogs/files/9b/9b60d4a5-dc42-4a3c-8e6a-895f7b0129d8.gif" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://blogs.bing.com/BingBlogs/files/be/be117aa2-c11a-45b3-b2a3-ccfbbdce8ebc.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> </div></div></div>
2023/6/12 11:18作者林妍溱https://www.ithome.com.tw/news/157279
AI趨勢周報第218期：微軟發表130億參數模型Orca，表現比ChatGPT好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0602～0606)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Orca </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟發表130億參數模型Orca，表現比ChatGPT還要好</strong></span></p> <p>微軟日前發表一款130億參數的語言模型Orca（虎鯨），還在一系列基準測試中贏過主流大型基礎模型，像是ChatGPT、Bard，以及其他同參數量的Vicuna-13B、Alpaca-13B和LLaMA-13B等模型。進一步來說，微軟想透過學習、模仿大型語言模型的推理過程，來提高小模型表現，於是，他們以GPT-4為標竿，讓Orca學習GPT-4的推理過程，包括解釋步驟、逐步（Step by step）思考模式和其他複雜指令，並由ChatGPT的老師模型來引導。</p> <p>測試時，團隊以GPT-4作為評分工具，來衡量Orca在嚴格的基準測試Big Bench Hard（BBH）中與其他SOTA模型的表現，發現比ChatGPT、Bard等要好，也在包含SAT、LSAT、GRE和GMAT等學術考試的AGIEval基準測試中，拿下不錯成績。<a href="https://arxiv.org/pdf/2306.02707.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-06-11%20at%2011_54_40%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 函式庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Teams </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟推出AI函式庫，開發者可用來打造Teams AI應用程式</strong></span></p> <p>微軟不只在M 365生產力工具中加入Copilot擴充套件、用大型語言模型協助用戶處理語言任務，現在還進一步擴展大型語言模型的支援，推出Teams AI函式庫。Teams AI函式庫是一個開發工具，以GPT-4為基礎，能讓開發者在Teams平臺上打造具AI功能的Teams應用程式，也支援多種語言。Teams AI函式庫包括進階AI元件，如對話式AI、提示語管理和安全審查等功能，開發者可開發高度互動的應用程式。微軟指出，該函式庫的設計考慮了開發的簡單性和靈活性，所以開發者不需花大量時間，理解複雜的協定或是編寫自定義對話邏輯。<a href="https://devblogs.microsoft.com/microsoft365dev/build-your-own-apps-copilot-on-microsoft-teams-with-the-new-teams-ai-library/">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/HWTTm58jg9A?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 擴散模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>一句話</strong></span><strong style="font-size: 22px;">一張圖</strong><span style="font-size:22px;"><strong>就能準確生成新圖片，Google發表新文字生成圖片模型StyleDrop</strong></span></p> <p>Google最近發表一款圖片生成圖片的AI系統StyleDrop，以Google先前發表的同類模型Muse為基礎，可根據使用者給定的一張圖和文字提示，來生成同樣風格和紋理的圖片，表現比擴散模型（如Stable Diffusion、Imagen）還要好。</p> <p>進一步來說，有別於擴散模型，StyleDrop是一款基於離散Token的視覺Transformer模型。團隊在訓練模型時，採用了人工回饋和自動回饋方法，來提高產出品質，也就是說，團隊對StyleDrop輸入一張圖片後，模型會產出一組同樣風格的圖片，團隊手動挑選或用CLIP模型自動分類出品質最好的圖片，再用這些圖片來訓練模型。與此同時，團隊也利用Dreambooth模型來強化StyleDrop對物件圖片的生成表現，由前者學習物件、後者學習風格，再整合為生成結果。Google表示，StyleDrop的強項在於能捕捉圖片風格中的細微差異，像是色彩、陰影、圖案設計等，並能按照該風格生成圖片。他們評比發現，StyleDrop的風格轉換表現比Textual Inversion、Dreambooth、LoRAs和Imagen等主流模型還要好。<a href="https://styledrop.github.io/">（詳全文）</a></p> <p><img alt="" src="https://styledrop.github.io/images/styledrop_merge/05_0102.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Falcon </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SageMaker </span></strong></span></p> <p><span style="font-size:22px;"><strong>阿拉伯聯合大公國打造400億參數LLM，霸榜OpenLLM排行榜</strong></span></p> <p>近日，阿拉伯聯合大公國科技創新研究所（TII）用AWS機器學習服務SageMaker打造出400億參數的語言模型Falcon-40B，在Hugging Face的OpenLLM排行榜上位居第一，贏過LLaMA、StableLM和RedPajama等模型，最近也開源了。</p> <p>Falcon-40B是因果解碼器，用將近5億個Token訓練而成。這些訓練資料來自網路公開文件，為提高訓練資料品質，團隊還自建資料處理工作流程，透過過濾和去重複化來挑出高品質資料。此外，團隊還採用了多重查詢注意力（Multiqery attention）機制和FlashAttention注意力機制，來提高模型效率。簡單來說，多重查詢注意力機制可讓模型對每個Token產生多個查詢，來更好表示同一序列中，不同token之間的關係；FlashAttention則能加速自我注意力的運算、降低複雜性，進而提高模型整體的運算效率。</p> <p>接著，團隊使用SageMaker服務和384顆GPU來進行2個月的訓練。經多個基準測試，表現比LLaMA、Vicuna和Alpaca好，目前開源的版本有Falcon-7B-Instruct和Falcon-40B-Instruct等。<a href="https://www.tii.ae/news/abu-dhabi-based-technology-innovation-institute-introduces-falcon-llm-foundational-large">（詳全文）</a></p> <p><img alt="" src="https://files-prod.tii.ae/inline-images/Graph-2%20Falcon%20LLM%20banner.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google Cloud </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Chatbot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料搜尋 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google雲推生成式AI新服務，企業可自建Chatbot搜尋內部資料</strong></span></p> <p>Google Cloud推出一項AI服務Enterprise Search on Gen App Builder，使用者可用來開發聊天機器人，來搜尋企業內部資料。進一步來說，這款服務特別之處，在與用生成式AI聊天機器人模式來搜尋資料，可克服傳統查詢方法的痛點，如出現大量模式匹配連結、相關答案需要人力檢查等。Enterprise Search on Gen App Builder可讓開發者打造特定資料源的搜尋引擎，提高搜尋準確性和相關性，且可處理多模態資料，像是圖片、影像，還能讓用戶控制答案輸出。</p> <p>Google也透露，美國醫療龍頭梅約醫學中心將採用Enterprise Search on Gen App Builder，來在幾分鐘內自建搜尋用的聊天機器人和語義搜尋應用程式，且幾乎不需要寫什麼程式，加速醫師及研究人員搜尋醫院內各種格式的文件，如病歷、研究論文、臨床指引和資料庫作為研究、診斷及治療之用。Google Cloud稱，這項服務已符合HIPAA標準。<a href="https://cloud.google.com/blog/products/ai-machine-learning/enterprise-search-on-gen-app-builder">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VS Code </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> C# </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出全新C#開發工具包，新添AI開發功能</strong></span></p> <p>微軟推出VS Code新C#開發工具包，可在Linux、macOS和Windows等作業系統上，提供更高效可靠的工具環境。C#開發工具包由一組VS Code擴充套件組成，這組擴充套件提供完整的C#編輯、AI開發、解決方案管理和整合測試功能。</p> <p>在安裝C#開發工具包時，系統會自動安裝IntelliCode for C# Dev Kit，這個新IntelliCode比原本C#擴充套件中的IntelliCode還要好，而且，新添的AI功能還能依據開發者個人程式碼庫，提供整行程式碼完成以及星形標籤的建議，也會將最可能使用的內容，在C#專案的IntelliSense完成列表置頂。<a href="https://devblogs.microsoft.com/visualstudio/announcing-csharp-dev-kit-for-visual-studio-code/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Neuralangelo </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia公布能將2D影片轉成3D的AI模型Neuralangelo</strong></span></p> <p>Nvidia最近發表可將2D影片片段轉為3D的AI模型Neuralangelo，而且細節豐富、紋理清楚，如建築、雕刻和其他真實物體，創作者可用來產生3D物件、匯入到設計應用，或是進一步編輯，應用於藝術、電玩開發、機器人或數位分身中。</p> <p>Neuralangelo使用即時神經繪圖原語來捕捉物體微妙的細節，能以不同角度拍攝的2D影片為素材，從中選擇多個不同角度的影格，一旦決定每個影格的相機位置後，就會產出初步的3D再現影像，並加入細節、使其成型，產出的3D物件可用於VR應用、機器人等領域。Nvidia研究院預定在6月18到22日舉行的電腦視覺盛會CVPR上發表這款模型，並在預定發布的影片中，展示模型如何重建米開朗基羅的著名雕刻《大衛》、平板拖車和建築物室內裝潢與室外設計。<a href="https://blogs.nvidia.com/blog/2023/06/01/neuralangelo-ai-research-3d-reconstruction/">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/PQMNCXR-WF8?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI幻覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 過程監督 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI新訓練方法可避免AI出現幻覺</strong></span></p> <p>OpenAI採用了一種稱為過程監督（Process Supervision）的訓練方法，來獎勵每個正確步驟的推理，讓模型能遵循人類認可的關聯思考（Chain-of-Thought），產生更可靠的結果。</p> <p>雖然近期大型語言模型的推理能力大幅度提高，但OpenAI指出，即便是最先進的模型，仍會產生邏輯錯誤，也就是幻覺（Hallucination），而解決幻覺是建置通用AI的關鍵。OpenAI先是評估2種監督方法，利用MATH測試集來衡量過程監督和結果監督，發現過程監督的效能比結果監督佳，而且當問題變得複雜，效能差距也會增加，整體來說，過程監督獎勵模型更加可靠。<a href="https://openai.com/research/improving-mathematical-reasoning-with-process-supervision">（詳全文）</a></p> <p>圖片來源／微軟、Google、TII、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google發表AI系統的安全性概念框架</strong></p> <p><strong>2. DeepMind AI模型不下圍棋了，新AlphaDev模型可加速資料中心運算效率</strong></p> <p><strong>3. Wordpress Jetpack AI助理可幫忙寫部落格</strong></p> <p>資料來源：iThome整理，2023年6月</p> </div></div></div>
2023/6/11 12:19作者王若樸https://www.ithome.com.tw/news/157274
想設立漏洞懸賞專案，應界定有機可循的方法，並留意相關的法律要求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在過往的資安新聞報導裡，一談到漏洞懸賞（Bug Bounty），往往集中在研究人員得到多少獎金，或是企業願意為了漏洞提供的獎勵多寡，甚至是研究人員通報漏洞卻得不到應有的報酬等議題，但較少提及一般企業該如何設置相關的獎勵制度與賞金獵人溝通的管道。一般而言，大家通常只看到企業開放的懸賞項目及金額。</p> <p>在2023臺灣資安大會上，資安社群UCCU成員Vic Huang特別公開企業設置與運作漏洞懸賞專案的經驗，以及他本身曾從事賞金獵人的過程，彙整雙方面臨的問題與作法，從而提供設立漏洞懸賞計畫的建議。</p> <p>為何企業需要經營漏洞懸賞專案？從最基本的層面而言，自然是找出系統的漏洞或程式設計上的邏輯弱點，並予以修補，尤其是企業的開發人力、資源、時間往往相當有限，難以通盤檢驗整個系統的安全。有了這樣的專案，企業不只有了徵求研究人員發現漏洞的管道，甚至能進一步控管這些瑕疵的後續處理事宜，例如：登記CVE編號進行管理，或是向賞金獵人買下零時差漏洞，進而在修補之前防堵漏洞遭到利用。</p> <p>此外，企業一旦成立了漏洞懸賞專案，也代表他們相當重視資安，對於企業的名聲也有所助益。</p> <h3><span style="color:#800080;"><strong>接獲漏洞需要與通報者、內部開發人員進行溝通</strong></span></h3> <p>然而，持續運作這類專案並不容易。Vic Huang指出，在接獲漏洞通報後，專案小組必須先確認，通報者是否為第一手消息來源？這項漏洞是否已被利用？以及漏洞對於企業或是服務的損害情況為何？</p> <p>若是漏洞需要進行修補，漏洞懸賞專案小組也必須與內部溝通，向RD或是研發部門表明必須修補漏洞的原因，以及帶來的風險等。若是收到較為緊急的漏洞通報，需要3天至7天內完成處理，該如何說服相關部門的專案負責人（PM），也是處理漏洞通報時所需要面對的工作。</p> <p>由於現在許多企業導入DevOps，開發時程大幅縮短，每2週就會推出新版本的專案，很有可能前天才釋出，今天就收到漏洞通報的資料，因此，漏洞懸賞專案的負責人員也要幫忙協調，促使研發團隊能夠在繁忙的開發流程當中，執行漏洞修補的工作。</p> <p>還有，專案小組接獲的漏洞，也有可能出現在不同的系統或是服務，若要進行徹底的清查，往往要花費很多時間。</p> <h3><span style="color:#800080;"><strong>建立良好制度將有助於抓漏工作的進行</strong></span></h3> <p>既然企業在執行這種漏洞懸賞的工作會面臨許多挑戰，有那些是需要特別注意的部分？Vic Huang認為，在設定此類專案的過程中，若能夠進行充分的內部溝通，建立明確的通報規則，日後實際執行相關工作會較為順利。</p> <p>首先，這類專案須徵求老闆或上司的認同。由於漏洞懸賞涉及獎金的預算，也會需要相關資源因應，但上司很有可能不清楚其中的內容，如處理獲報的漏洞的過程，可能面臨一些狀況而導致需要額外的處理成本，此時往往需要透過上司向公司高層爭取額外預算。若是上司對專案內容有一定程度的了解，將有助於獲得所需的資源。</p> <p>再者，是必須明確規範執行的範圍，以及獎勵的內容。企業很可能會在懸賞的資訊當中，表明特定網域上的應用系統、服務，其漏洞是在專案的懸賞範圍當中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cybersec23-BugBounty-CIMG4410.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cybersec23-BugBounty-CIMG4410.jpg" style="width: 580px;" /></a></p> <blockquote><p>在成立漏洞懸賞專案的過程裡，推動者尋求公司高層支持之餘，也要規畫相關的規則，並兼顧法律與會計層面，然後在正式上線前，指派相關負責人進行演練，檢驗是否其中是否有需要調整之處。</p> </blockquote> <p>但Vic Huang也提到最好明確指定範圍，舉例來說，有些人可能會用*.google.com，表示其抓漏範圍涵蓋所有google.com的服務，這麼做看似一勞永逸，但問題是，若有個公司10年前曾經提供的服務，現在專案負責人有可能根本不知道其用途，而這個已經淘汰的系統變成賞金獵人刷漏洞的標的時，公司因此必須支付大量獎金，卻無法改進重要系統的安全。</p> <p>而對於漏洞的類型，Vic Huang認為企業可指定受理的漏洞類型，以及定義獎勵的多寡，例如，在Tier-1服務上面的漏洞，給予較高的獎金；在Tier-2或較為不重要的服務，獎金會略低。</p> <p>其次，則是專案可設定為公開徵求漏洞，或是尋求少數人士來抓漏。什麼樣的情況會需要邀請特定對象參與？像是應用系統可能無法承受大量賞金獵人執行指令碼癱瘓，企業就有機會選擇這種模式，看看會不會因此導致服務出現問題，概念有點類似「試營運」。</p> <p>最後，漏洞的揭露規範也很重要。這類懸賞專案必須明確告知賞金獵人，在何種情況之下，才能公開他所找到的漏洞。例如，漏洞修補完成，且由通報者進行確認，之後等到企業同意，才能公布漏洞的相關資訊。</p> <p>附帶一提，企業也可以表明非懸賞的項目將視情況提供獎勵，但這可能給專案小組增加很多工作。</p> <h3><span style="color:#800080;"><strong>合作夥伴契約、法律文件、賞金支付流程要特別留意</strong></span></h3> <p>除了對於抓漏的範圍、漏洞類型、如何揭露，企業都要有明確的定義，Vic Huang認為，很多人可能會忽略法規遵循的層面。首先，很多公司可能會使用外部的漏洞懸賞平臺（如HackerOne），那麼，與這類平臺簽定的契約內容就要特別留意。</p> <p>再者，有些企業要求賞金獵人簽署的保密協議（NDA）文件、支付獎金的流程，也需要準備。針對文件的部分，Vic Huang認為需有相關的範本，並且要讓公司的法律團隊協助檢視。</p> <p>而對於付款的流程，也要有規畫，因為，企業很有可能會面臨相關稅務的問題，導致通報者的觀感不佳。Vic Huang以他曾找出某個國內公營事業的漏洞為例，負責人不僅晚了2個月發獎金，並表示該公司忘記計算稅金，因此，要求Vic Huang把這筆錢轉到這位負責人的郵局戶頭，此種增加大家麻煩的做法讓人不禁搖頭。</p> <p>值得留意的是，如果漏洞懸賞的標的存放了客戶（或員工）資料，我們也要意識到存在個資外洩的風險，而這取決於公司位於的國家或地區，若必須遵循GDPR，標準又會變高。這些部分都需要事先與公司法務團隊確認，而非等到可能因漏洞導致資料外洩，才不得不處理個資相關法規衍生的問題，這都為時已晚。</p> <h3><span style="color:#800080;"><strong>在正式上線之前，指派相關人員進行模擬、測試</strong></span></h3> <p>有了上述的規範並兼顧法律層面的需求，接著企業要進行實際測試，指派相關的工程師來操作，記錄執行的結果，檢視初步規畫的內容，是否存在需要調整的地方。例如，實際執行之後，很有可能發現懸賞的規畫有疏漏，此時就要根據遇到的情況進行修改，也可以考慮參考其他專案的作法。</p> <p>雖然要做好相關規畫讓通報者能遵循，但Vic Huang指出，實務上，他們還是會遇到各式各樣的通報者和狀況，因為有些人並非單純想要獎金或尋求名聲、證明自己是很強的駭客，而想要「自我實現」──這種人很可能認為企業收到他們通報的漏洞後，就要對他的百般要求照單全收，而衍生許多糾紛。</p> <p>他提及有個通報者偏好在臉書公開找到的漏洞，而且有時對於相關資訊的遮蓋並不嚴謹，導致漏洞部分細節曝光，但這些狀況都發生在尚未向企業通報或在企業受理的過程中，就在這位通報者的臉書發文。對此，Vic Huang表示，他們可能會尋求該通報者所屬的公司，透過主管來進行溝通。</p> <p>但例外情況也不全是壞事。Vic Huang舉出有人發現公司使用者資料流入暗網的情況為例，他最初和通報者表明，這種情況不在漏洞懸賞的範圍，事隔2天，這名通報者表明打下駭客的C2，並找到更多公司內部員工的資訊，提供很多C2伺服器流量資訊，讓Vic Huang能進一步調查，最終甚至找到根本原因──原來有員工不慎安裝惡意瀏覽器外掛程式，導致部分資訊被側錄，並傳送至C2。</p> <p>即使這項發現完全與漏洞懸賞的內容無關，但因為該名通報者相當誠實，Vic Huang仍決定給予對方獎金鼓勵。</p> <p>目前在企業與通報者之間，存在著不少漏洞通報流程的衝突，不是企業無法給予適當報酬、不願承認通報者找到的漏洞，讓通報者感到失望；或者，通報者不願遵循相關流程，提供充分的資訊，甚至是在通報前公開細節，而造成企業因應漏洞上的困擾。對此，未來很有可能需要第三方介入，企業與通報者能有更為良好的互動，讓這樣的漏洞懸賞機制帶來正向循環。</p> </div></div></div>
2023/6/9 18:23作者周峻佑https://www.ithome.com.tw/news/157266
【資安日報】6月9日，逾20款Minecraft改裝套件遭到竄改，被用於散布惡意軟體Fractureiser
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過套件工具發布平臺來發動攻擊的情況，近期專門針對軟體開發人員而來，上架NPM、PyPI惡意套件的事件不時傳出，但現在也有鎖定遊戲玩家的攻擊行動。最近發生的竊資軟體Fractureiser攻擊行動，就是藉由電玩遊戲Miniecraft改裝套件平臺Bukkit、CurseForge的套件來散布，而引起相關社群的關注。</p> <p>製造業遭遇勒索軟體攻擊的事故也相當值得關注。在今天的資安新聞裡，日本拉鍊大廠YKK、製藥廠Eisai皆傳出遭遇此種攻擊。以YKK而言，駭客組織LockBit宣稱是他們所為，揚言若該公司不付錢，將公開所竊得的資料，後續影響有待觀察。</p> <p>MOVEit Transfer零時差漏洞攻擊的調查又出現了新的進展。有資安業者發現，駭客可能在2年前就找出漏洞，並經過多次測試、驗證，到了近期才發動正式攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://prismlauncher.org/news/cf-compromised-alert/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Fractureiser透過Minecraft改裝套件散布，攻擊Windows、Linux電腦</span></strong></a></p> <p>開源電玩Minecraft啟動工具Prism Launcher於6月7日提出警告，竊資軟體Fractureiser透過Minecraft改裝套件平臺Bukkit、CurseForge散布，鎖定使用Windows及Linux電腦的玩家而來。</p> <p>駭客起初入侵幾個Minecraft套件開發者的帳號，將惡意程式碼注入這些套件，後續該惡意軟體得以自我複製、大量散布，他們呼籲用戶暫時不要從Bukkit及CurseForge下載改裝套件，Minecraft遊戲改裝工作室Luna Pixel Studios確認逾20款套件受到影響，過去3週下載相關改裝套件的用戶都可能曝險。</p> <p>此資安通告亦提供自行手動檢查是否遭到竊資軟體感染的方法，以及自動檢查的指令碼，並列出清除竊資軟體的步驟。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">YKK公司傳出遭到勒索軟體LockBit攻擊</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/ykk-group-lockbit9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ykk-group-lockbit9.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站The Record、Cybernews、Cyber Express報導，日本拉鍊大廠YKK證實美國分公司的網路遭到鎖定，但聲稱在駭客造成一定程度的損害、敏感資訊外洩之前，該公司的資安團隊已經控制相關威脅。</p> <p>YKK北美副總裁Jessica Kennett Cork表示，此次資安事故不影響營運，也並未影響該公司服務客戶的能力，目前也未出現個人、金融資訊、智慧財產資料遭駭的跡象。</p> <p>而對於攻擊者的身分，6月2日勒索軟體駭客LockBit聲稱是他們所為，並要脅若不付錢，將在16日洩露竊得的資料。</p> <p>資料來源</p> <p>1. <a href="https://therecord.media/ykk-zipper-manufacturer-cyberattack-us-operations">https://therecord.media/ykk-zipper-manufacturer-cyberattack-us-operations</a><br /> 2. <a href="https://cybernews.com/news/ykk-group-data-breach/">https://cybernews.com/news/ykk-group-data-breach/</a><br /> 3. <a href="https://thecyberexpress.com/lockbit-claims-ykk-ransomware-attack-deadline/">https://thecyberexpress.com/lockbit-claims-ykk-ransomware-attack-deadline/</a></p> <p><a href="https://www.eisai.com/news/2023/news202341.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本製藥廠Eisai證實遭到勒索軟體攻擊</span></strong></a></p> <p>6月6日這一天，日本製藥廠Eisai證實遭駭，3日深夜，他們察覺部分伺服器檔案遭到勒索軟體加密綁架，事發後即著手進行事件回應流程，包含物流系統在內的部分系統進入離線狀態，但公司網站、電子郵件系統仍正常運作。這起事故是否導致資料外洩，以及影響收益的情形，待進一步釐清。</p> <p><a href="https://www.kroll.com/en/insights/publications/cyber/clop-ransomware-moveit-transfer-vulnerability-cve-2023-34362"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop濫用MOVEit Transfer零時差漏洞，可追溯至2021年，疑似當時就開始測試</span></strong></a></p> <p>今年5月底，勒索軟體駭客Clop發動MOVEit Transfer零時差漏洞攻擊，但有研究人員發現，駭客很有可能在2年前就找到漏洞，並進行長期測試後才根據排定的時程發動攻擊。</p> <p>資安業者Kroll對蒙受此次攻擊的用戶進行調查，看到在部分受害伺服器所留存的IIS事件記錄檔案裡，2021年7月、2022年4月就出現了類似的漏洞利用攻擊跡象，且可能都是透過自動化工具執行。</p> <p>研究人員推測，駭客先在上述時間點進行測試（2021年至2022年），並在發動另一起MFT系統GoAnywhere的攻擊時（2023年2月）已能成功利用漏洞，但當時駭客選擇依循時程辦事，他們先後針對GoAnywhere、MOVEit Transfer伺服器下手，而非同時對於兩種MFT伺服器發動攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-onedrive-down-worldwide-following-claims-of-ddos-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端檔案共享服務OneDrive網站發生營運中斷，疑遭到DDoS攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OneDrive-outage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OneDrive-outage.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，微軟雲端檔案共享服務OneDrive的網站於6月8日早上，出現服務中斷的情況，使用者無法透過瀏覽器存取onedrive.live.com，但執行OneDrive用戶端同步程式、Office辦公室軟體的使用者不受影響。</p> <p>而這起網站服務中斷的事故，很有可能與駭客組織Anonymous Sudan發起的DDoS攻擊行動有關，對此，微軟表示正著手調查。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.varonis.com/blog/visual-studio-bug"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補的Visual Studio漏洞極為容易利用，恐被用於滲透開發環境</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Jun-02-2023-12-33-14-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Jun-02-2023-12-33-14-1.png" style="width: 300px; float: right;" /></a>微軟4月份例行更新修補漏洞CVE-2023-28299，它存在於Visual Studio的擴充套件安裝程式（VSIX），攻擊者一旦利用，有可能藉此對應用程式開發人員散布惡意套件。微軟當時評估此漏洞嚴重程度是中度，但現在研究人員警告，這項漏洞帶來的威脅不應輕忽。</p> <p>向微軟通報上述漏洞的資安業者Varonis指出，攻擊者運用漏洞的複雜性極低，只要將VSIX檔案當作ZIP壓縮檔案開啟，手動修改extension.vsixmanifest內容，就能突破擴充套件元件名稱只有一行的限制，進而埋藏元件沒有簽章的警語，再將這種惡意套件向組織的開發人員散布，就有機會藉此掌控開發人員的電腦，而成為入侵整個組織的管道。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-priv-esc-Ls2B9t7b"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補企業協作系統的重大漏洞</span></strong></a></p> <p>6月7日思科針對旗下的企業協作Expressway ，以及視訊通訊解決方案TelePresence Video Communication Server發布更新程式，目的是修補CVE-2023-20105、CVE-2023-20192。</p> <p>當中最嚴重的是CVE-2023-20105，屬於權限提升漏洞，僅具備讀取權限的管理者也能因為這個漏洞而擁有寫入的權限，起因是密碼變更請求沒有得到正確處理，導致攻擊者能透過擁有讀取權限的管理者來進行身分驗證，並發送特製請求來竄改其他帳號的密碼，其中包含了能夠讀取或寫入的密碼管理員，CVSS風險評分為9.6。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.recordedfuture.com/north-korea-aligned-tag-71-spoofs-financial-institutions"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織APT38針對日本、越南、美國金融機構而來</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/kimsuky-new-social-engineering-campaign-aims-to-steal-credentials-and-gather-strategic-intelligence/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky鎖定新聞媒體發動攻擊</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/2023/06/08/asylum-ambuscade-crimeware-or-cyberespionage/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Asylum Ambuscade鎖定金融機構、政府機關發動攻擊</span></span></strong></a></p> <p><a href="http://www.numencyber.com/cve-2023-29336-win32k-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對已被用於攻擊行動的Win32k.sys漏洞，研究人員公布概念性驗證程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/royal-ransomware-gang-adds-blacksuit-encryptor-to-their-arsenal/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Royal測試新的惡意程式BlackSuit</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157244">【6月8日】企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157227">【6月7日】 Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157208">【6月6日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</a></strong></p> </div></div></div>
2023/6/9 16:53作者周峻佑https://www.ithome.com.tw/news/157264
Google發表AI系統的安全性概念框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/introducing-googles-secure-ai-framework/" target="_blank">Google在周四（6/8）發表了安全AI框架（Secure AI Framework，SAIF）</a>，其6個核心元素包括擴大AI生態體系的安全基礎，將資安事件的偵測及回應能力延伸至AI，打造AI的自動化防禦能力，協調平臺等級的控制能力以確保整個組織的安全性，以控制器來調整緩解並形成更快的AI回應，以及建立AI系統周遭商業環境的風險脈絡等。Google期許SAIF得以協助AI產業設立各種安全標準。</p> <p>Google表示，SAIF發想自軟體開發流程的安全最佳作法，像是供應鏈的審核、測試與控制，再結合對AI系統特有的安全趨勢及風險的理解，一個橫跨公、私領域的安全框架可確保負責任的業者捍衛支援AI進步的技術，以便於導入預設即是安全的AI模型。</p> <p>在Google所提出的6個元素中，有些很好理解，像是把現有的安全基礎設施、專業安全知識、偵測與回應等技術，延伸至AI生態體系；而在不管是攻擊方或防禦方都開始利用AI之際，更應利用自動化防禦來抵禦既有與新威脅。</p> <p>此外，確保各個控制框架的一致性將可緩解AI風險，並將保護能力擴大到不同的平臺與工具，對Google而言，此舉包括將安全預設的保護延伸到諸如Vertex AI及Security AI Workbench等AI平臺，並於軟體開發周期中嵌入應有的控制及保護。</p> <p>亦應藉由持續學習與測試來因應不斷變動的威脅環境，例如基於事件及使用者意見的強化學習，更新訓練資料，調整模型對攻擊的回應策略，或是允許那些用來建構模型的軟體嵌入更多安全機制，也能定期展開紅隊演練來提高AI產品的安全性。</p> <p>最後，Google認為組織也因針對AI的部署展開端至端的風險評估，包含端至端商業風險的評估，例如針對特定類型應用程式的資料沿襲、驗證及操作行為的監控，以及建構可驗證AI效能的自動化檢查能力。</p> <p>除了SAIF之外，Google也將與其它組織合作，以共同開發美國國家標準暨技術研究院（NIST）的AI風險管理框架，以及業界首個AI認證標準 ISO/IEC 42001 AI Management System Standard ，並協助客戶及政府機關評估與緩解AI的安全風險，也會持續對外分享各種有關AI安全性的研究與心得。</p> </div></div></div>
2023/6/9 16:19作者陳曉莉https://www.ithome.com.tw/news/157263
英國將在秋季舉辦全球AI安全高峰會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在人工智慧應用熱潮興起的同時，安全議題更是被關注的焦點之一，英國首相Rishi Sunak<a href="https://www.gov.uk/government/news/uk-to-host-first-global-summit-on-artificial-intelligence">宣布</a>將主辦第一屆全球人工智慧安全高峰會，希望透過匯集主要國家、科技公司和研究人員，共同商定安全措施，以評估和監測人工智慧可能帶來的重大風險。</p> <p>專門研究人工智慧安全的非營利組織Center for AI Safety，日前發表了一份<a href="https://www.ithome.com.tw/news/157134">聲明</a>，並獲得包括人工智慧研究機構OpenAI、DeepMind等高層的簽署。Center for AI Safety認為，人工智慧可能會帶來人類滅絕的危機，其風險規模相當於流行病與核武戰爭等事件。另外一個非營利組織未來生活研究院（Future of Life Institute），也發表<a href="https://www.ithome.com.tw/news/156198">聲明</a>希望全球組織能暫緩高階人工智慧系統的研發，至少6個月。</p> <p>無論是商界、學術界與各國政府，皆對人工智慧的安全存在疑慮，英國計畫在秋季時，舉辦全球性高峰會，探討人工智慧的風險，並且討論如何透過國際協調的方式降低這些風險，這個全球峰會同時也是對各國提供一個統一平臺，能夠共同制定降低人工智慧風險的方法。</p> <p>在高峰會之前，Rishi Sunak已經開始動作，與各方重要相關人士會面，包括G7所有成員，並且在該議題上已經取得共識，Rishi Sunak還舉行圓桌會議，與OpenAI、DeepMind與Anthropic等重要人工智慧研究機構執行長，就相關議題交換意見。</p> <p>Rishi Sunak也與美國總統Joe Biden會面，討論兩國科技與經濟的夥伴關係，計畫包括對英國和美國大學理工科研究生提供獎學金，以強化英美在全球的科技領導地位。</p> </div></div></div>
2023/6/9 16:22作者李建興https://www.ithome.com.tw/news/157262
DeepMind AI模型不下圍棋了，新AlphaDev模型可加速資料中心運算效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google AI部門DeepMind曾經以AlphaGo擊敗棋王一時聲名大噪，<a href="https://www.deepmind.com/blog/alphadev-discovers-faster-sorting-algorithms" target="_blank">本周DeepMind宣布</a>最新AI模型研發成果AlphaDev，可加速資料中心運行速度並具節能之效。</p> <p>AlphaDev是以精通下棋及電玩遊戲的<a href="https://www.ithome.com.tw/news/127574" target="_blank">AlphaZero</a>（曾經擊敗過AlphaGo）和<a href="https://www.ithome.com.tw/news/141845" target="_blank">MuZero</a>模型改良而成。兩者後來改以優化資料中心和影像壓縮為主軸。而AlphaDev則是AlphaZero的特化版，它發現新的資料排序（sorting）及雜湊（hashing）演算法，可加速軟體程式碼的執行。</p> <p>AlphaDev找尋新演算法是從讓電腦讀取的低階程式指令，而非人類撰寫如C++之類的高階語言著手。他們相信，低階的組合指令比高階程式語言更容易找到改善空間，電腦儲存和運算在這個層次更為彈性，意謂更容易有突破性的技術，以提升速度或降低耗能。他們希望能由AlphaDev找到新的資料排序及雜湊演算法，因為這是今天人們資料排序、儲存及檢索的二個最基本流程。排序演算法能影響數位裝置處理和顯示資訊，從搜尋或社群網站貼文排序、或使用者推薦等。</p> <p>作為AlphaZero的變種，AlphaDev也是增強學習（reinforcement learning）模型。為了訓練AlphaDev尋找新演算法，研究人員將排序變成一人玩家的「組合遊戲」。每回合AlphaDev都觀察它產生的演算法及由CPU取得的資訊，然後再選取一個指令加入演算法再展開下回合。AlphaDev必須要從非常多的指令組合中找出排序演算法，每回合再找出更快、更好的演算法。而指令組合數量，大概等同於宇宙的分子數量，或是西洋棋（10的120次方）與圍棋（10的700次方）棋步。而走錯任何一步，整個演算法可能就沒用了。研究人員會從兩方面來獎賞AlphaDev的排序，一是正確性，二是效率、速度。</p> <p>最後AlphaDev發現到新的演算法，可改善低階虛擬機器（LLVM）libc++排序函式庫的速度，在較短（3到5 element）序列可提升70%，而在超過25萬個element的長序列則提升1.7%。短序列的演算法是DeepMind研究重點，因為更為常用。DeepMind指出，在簡單的使用者搜尋任務上，AlphaDev演算法可提升排序速度，但一旦應用到更大規模環境，例如資料中心，將能大量節能及省下成本。</p> <p>尋找雜湊演算法也是AlphaDev的任務之一。雜湊常用於資料儲存和檢索，如資料庫中。AlphaDev找到的演算法應用在資料中心內9到16 byte的雜湊函式時，可提升30%的效率。</p> <p>自從發表用於LLVM標準C++函式庫的排序演算法來取代用了十多年的副程式（sub-routines），及發表用於abseil函式庫的雜湊演算法，已有數百萬次下載，這些演算法已用於各種產業，包括雲端、線上購物和供應鏈管理。</p> <p>DeepMind預期，一如其演算法從下棋開始跨到資料中心運算，未來有更多通用型AI模型會進一步用於現代生活。</p> </div></div></div>
2023/6/9 15:48作者林妍溱https://www.ithome.com.tw/news/157261
Apple Vision Pro體驗超出眾多測試者期望，被譽為運算的未來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在本周一（6/5）舉行的WWDC全球大會上，<a href="https://www.ithome.com.tw/news/157200" target="_blank">發表了該公司的首款MR產品Apple Vision Pro</a>，並在同一天邀請眾多媒體體驗該產品，結果測試者幾乎一面倒地表達自己被震憾了，認同它將成為運算的未來，不過，Meta執行長祖克柏（Mark Zuckerberg）在本周舉行的員工大會上指出，Vision Pro可能是未來運算的願景，但並不是他想要的產品。</p> <p>當天蘋果提供每個人30分鐘的體驗時間，還有專人協助體驗，但不得拍照或攝影，僅允許他們敘述自己的體驗心得。</p> <p>其中，<a href="https://daringfireball.net/2023/06/first_impressions_of_vision_pro_and_visionos" target="_blank">科技部落客John Gruber稱讚</a>Vision Pro的整體技術非凡，遠遠超過他的預期，相信它所採用的visionOS將成為下一個蘋果及開發者的主要平臺，與iOS及macOS並駕其驅。</p> <p><a href="https://www.macworld.com/article/1944516/apple-vision-pro-hands-on-feaures-design-fit.html" target="_blank">《MacWorld》編輯Roman Loyola則說</a>，Vision Pro的體驗真的太令人震憾了，是蘋果史上最令人印象深刻的產品，甚至凌駕蘋果在1998年發表的iMac與2007年發表的iPhone，他完全不想離開該次的體驗。</p> <p><a href="https://www.mirror.co.uk/tech/apple-vision-pro-first-look-30171343" target="_blank">英國《每日鏡報》（Daily Mirror）記者Dave Snelling表示</a>，他測試過眾多的VR裝置，一向不是虛擬實境（VR）的粉絲，然而，Vision Pro是他從未體驗過的，不僅非常獨特，更可能成為虛擬實境革命的開端。</p> <p>蘋果將Vision Pro定位為空間運算裝置，而未使用VR、AR或MR等字眼，它所採用的M2及R1雙晶片、全新設計的visionOS，以及超高解析度的顯示器，讓使用者融入在真實與虛擬的環境中，並以視線、手勢及聲音來操作。其強大的運算能力與超高解析度讓體驗者完全感受不到延遲，影像亦無任何顆粒感，於是乎，體驗者可以在雨林環境中操作各種應用，把任何空間變成螢幕，Gruber說，他在Vision Pro上體驗到這輩子第一次在一個高5呎（1.5米）的視窗上，閱讀文章與電子郵件的經驗。</p> <p>不僅如此，Vision Pro的設計也注意到了許多細節，例如蘋果請近視的Gruber將眼鏡拿下，直接於Vision Pro上嵌入了處方鏡片，方便Gruber以裸眼配戴Vision Pro。</p> <p>由於蘋果現階段僅開放Vision Pro特定功能的體驗，意味著它的程式或作業系統可能未臻完善，<a href="https://developer.apple.com/videos/play/wwdc2023/101/" target="_blank">但相關的體驗看起來與蘋果在WWDC大會上的展示並無出入</a>。</p> <p>這些體驗者也都提到了高達3,499美元的Vision Pro定價，這個價格是Meta Quest 3（500美元）與Sony PlayStation VR 2（550美元）的6倍，<a href="https://www.cnet.com/tech/computing/apples-vision-pro-is-a-dystopian-device-for-a-dystopian-world/" target="_blank">《CNET》認為</a>，以它的規格及表現而言，這個價格並沒有太牽強，但對於大多數人來說還是太貴了，並預測此一新產品可能會隨著時間與技術的推移而變得更便宜。</p> <p>除了價格可能令人卻步之外，不少體驗者也提到重約1磅（454公克）的Vision Pro戴在頭上還是不舒服，儘管蘋果的設計已基於人體工學，但體驗者依然期望更輕薄的Vision Pro。</p> <p>就在蘋果發表Vision Pro之後，Meta召開了員工大會，身為AR/VR頭戴式裝置市占率達8成的全球龍頭，蘋果無疑是最具威脅的競爭對手。</p> <p><a href="https://www.theverge.com/2023/6/8/23754239/mark-zuckerberg-meta-apple-vision-pro-headset" target="_blank">根據《The Verge》的報導</a>，祖克柏在員工大會上表示，當他看到Vision Pro的發表之後，發現對於那些Meta團隊還沒探索或還沒想到如何突破的物理限制，蘋果也沒有任何神奇的解決方案，Vision Pro只是配備了更高解析度的顯示器，同時利用所有的技術來推動它，它不僅售價高昂，同時也需要更多的電力，以致於使用者需要電池及纜線才能使用。</p> <p>祖克柏強調，Meta將會確保自家的產品儘可能讓每個人都負擔得起，這是該公司的核心之一，也已於全球售出數千萬臺設備，Vision Pro也許是未來運算的願景，但並不是他想要的產品，與Meta的作法存在著理念上的差異。</p> </div></div></div>
2023/6/9 13:08作者陳曉莉https://www.ithome.com.tw/news/157260
GitHub Copilot與VS IntelliSense緊密整合，提供更一致的程式碼完成建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新版本的Copilot 1.84版本，將與Visual Studio內建的人工智慧輔助功能IntelliSense更好的<a href="https://devblogs.microsoft.com/visualstudio/github-copilot-visual-studio-intellisense/">整合</a>，用戶在IntelliSense列表的選擇，將會影響Copilot預測程式碼的上下文資訊，提供開發者更精確的單行與多行程式碼建議。</p> <p>在Copilot 1.84版本之前，Visual Studio的Copilot用戶需要在接受Copilot建議，或是開啟IntelliSense列表間選擇，用戶如果選擇開啟IntelliSense列表，則Copilot便不會提供建議。微軟提到，現在IntelliSense列表開啟時，使用者不僅能看到Copilot的預測，而且IntelliSense列表的選擇也會影響Copilot提供的預測。</p> <p>兩項人工智慧開發助理深度的整合，便能夠提供開發者更符合需求的程式碼完成建議，尤其是與Visual Studio內建的IntelliCode人工智慧所提供的星號完成結合使用時，Copilot的程式碼建議將更精確。當Visual Studio環境安裝的是Copilot 1.77或是更早前的版本，用戶需要手動更新Copilot到1.84版本，才能使用這項功能更新，而Visual Studio 2022則需要使用17.4.4或更高版本。</p> </div></div></div>
2023/6/9 13:15作者李建興https://www.ithome.com.tw/news/157259
傳Google將進公司與否列入考績標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/google-gets-stricter-about-employees-time-in-office-9a20f2e" target="_blank">《華爾街日報》報導</a>，Google近日宣布將進公司列為績效考核標準，進一步要求員工回公司上班，未來僅例外情況才准許完全遠端作業。</p> <p>報導引述Google人資長透過員工公開信宣布這項政策，理由是回公司上班可改善同事之間關係，進而提升生產力及工作效率。</p> <p>這是Google自去年4月起，要求員工回公司上班一周至少3天後，更進一步提升政策強度，因為仍然有許多員工並未達到這個標準。Google並未證實回公司上班和考核的關聯性，但Google代表對<a href="https://fortune.com/2023/06/08/google-remote-work-office-attendance-performance-review/" target="_blank">《財星》雜誌</a>指出，一周進公司3天的混合作業政策實施成效良好，公司希望員工面對面溝通及合作，因此，未來只有例外情況下才會准許全然的遠端作業。</p> <p>不過同時間，由於景氣不佳，Google也正在縮減辦公室空間。<a href="https://www.cnbc.com/2023/04/21/googles-80-acre-san-jose-mega-campus-on-hold-amid-economic-slowdown-.html" target="_blank">媒體報導</a>，Google原本計畫在加州聖荷西拆除舊辦公室大樓以打造巨型廠區（Mega Campus），但這項計畫今年4月已停工。此外，一些部門還要求員工分享座位，以容納回公司上班的同事。</p> <p>Google也是最新一家更嚴格執行回公司上班政策的科技龍頭。據媒體報導，蘋果開始檢查員工出入證，以確認他們是否遵守一周進公司最少3天政策，不願回公司上班的員工可能會被要求離職。</p> <p><a href="https://www.ithome.com.tw/news/157184" target="_blank">Meta也在本周宣布</a>命令，要求員工從9月起一周最少進公司3天。<a href="https://fortune.com/2023/06/06/salesforce-return-to-office-charity-incentive/" target="_blank">Salesforce則以溫和手法鼓勵員工回公司</a>。自6月12日到23日該公司每天將為每一名回公司上班的員工，捐款10美元給當地慈善機構。</p> <p>目前微軟還是允許員工50%的時間在家上班。</p> </div></div></div>
2023/6/9 11:21作者林妍溱https://www.ithome.com.tw/news/157257
本田集團電商網站重大漏洞可能洩露客戶及經銷商資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eaton-works.com/2023/06/06/honda-ecommerce-hack/" target="_blank">研究人員發現</a>本田汽車母公司本田集團電商網站的一項API重設功能漏洞，可能讓駭客得以存取客戶訂單、經銷商及客戶電子郵件、以及財務資料等。</p> <p>研究人員Eaton Zveare今年3月在本田集團銷售三個銷售海事及事機具（動力機具、海事及園藝設備）的經銷商電商網站（hondadealersites.com）發現此一漏洞。漏洞位於這些網站的密碼重設API，讓研究人員進而獲取本田網站管理員帳號，並一覽網站上的客戶及經銷商資料。</p> <p>Zveare先是利用電商網站的密碼重設功能，重設本田公開的測試帳號，使其得以登入這些電商網站。接著，網站上的直接物件參照（direct object reference）漏洞，使其只要變更URL的序列數字，即可存取所有經銷商的資料，包括讀取客戶郵件資訊，或變更或編輯網站及產品資料，連駭入帳號都不必。最後，他在Angular-based經銷商網站的管理員儀表板頁，還找到偽造身份漏洞，使其得以冒充本田管理員存取所有經銷商網站資料，包括3層式架構、訂閱網站服務的經銷商數量及總收入金額等。</p> <p class="rtecenter"><a href="https://eaton-works.com/cdn-cgi/imagedelivery/VwwCqBIYNXeyNQwEQ8uyVQ/0ef5252f-34fc-46db-0cf4-9297df9e2000/full" target="_blank"><img alt="" src="https://eaton-works.com/cdn-cgi/imagedelivery/VwwCqBIYNXeyNQwEQ8uyVQ/0ef5252f-34fc-46db-0cf4-9297df9e2000/full" style="width: 600px;" /></a></p> <p><a href="https://eaton-works.com/2023/06/06/honda-ecommerce-hack/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Eaton Zveare</span></span></a></p> <p>利用種種漏洞，研究人員一共找到從2016年8月到今年3月的2.1萬筆客戶訂單資訊，包括客戶姓名、住址、電話及訂購商品、1萬多筆客戶電郵信箱、近1,600個經銷商網站、近3,600筆經銷商帳號、1,000多筆經銷商電郵、可能的電子支付服務（如Stripe、Paypal或Authorize.net）以及內部財務報表等。</p> <p>在經過通報後，本田集團已解決這些漏洞。這些漏洞不影響本田汽車。</p> <p>研究人員建議網站管理員，應小心實作密碼重設，避免曝露不安全的管理員API。此外也應實作適當的存取控管，留心每個驗證服務發出去的令牌都可能被用來存取API端點，並避免序列式的URL邏輯。最後，他提醒以React或Angular撰寫的單頁式Web App要留心，用戶瀏覽器可以看到所有程式碼，因此必須小心程式碼包含的資訊。</p> <p><a href="https://www.ithome.com.tw/news/157163" target="_blank">上周豐田汽車才坦承</a>雲端系統配置不當長達10年，導致26萬日本車主及車輛資料，以及海外經銷商維修資訊曝露於公開網路上，後者影響為數不詳的亞洲車主。</p> </div></div></div>
2023/6/9 11:51作者林妍溱https://www.ithome.com.tw/news/157258
資安人員別怕擁抱AI新科技，老師傅導讀AI技術最新進展，擺脫特徵工程的苦與累
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣新創資安公司當中，2017年底成立的奧義智慧以AI資安技術闖出名號， 5年後的現在，身為該公司創辦人之一的邱銘彰（Birdman），趁著2023臺灣資安大會舉行，呼籲大家積極關注AI進展，說明傳統作法日益難行的原因。</p> <p>對於AI目前為何與如何用於資安領域，邱銘彰表示，資安產業長期陷入如同倉鼠不停在滾輪奔跑的困局，為了滿足日益嚴苛的政府法規遵循要求，必須在更短時間完成偵測、調查、處置，若繼續仰賴現行的作法，幾乎是不可能辦到的事情，若想控制在短時間內完成這些工作，恐怕會大幅犧牲精準度與作業品質，並無法有效提升整體防護，因此，他特別以魔法來形容AI資安，因為這能為防守方（藍隊）帶來極佳成效，並呼籲我們必須觸發AI的巨人之力。</p> <h3><span style="color:#0000FF;"><strong>打破資安「慘」業的惡性循環，擁抱自動化科技勢在必行</strong></span></h3> <p>隨著網路攻擊與勒索軟體的猖獗，民眾的資安意識逐漸抬頭，然而，許多資安從業人員經常會以身處資安「慘」業來自嘲，因為面臨人力不足與管理營運不易的種種挑戰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-Wheeles.jpg" style="width: 600px;" /></p> <p>企業與組織能夠因應資安威脅的時間越來越短，則是另一個迫切的挑戰。邱銘彰提到，今年2月金管會召開的金融機構資安長聯繫會議，宣導金融業遇到資安事件須於30分鐘內通報的現行規定，然而，實務上，要達成這樣的要求，難度相當高。</p> <p>因為在如此短暫的時間當中，我們對於有異常狀況電腦的所在位置都未必能完全掌握，例如，設備位於哪一個區域、哪一家分行，都不一定能找到，更何況還要能夠向主管機關通報狀況，邱銘彰認為，如果單靠人力去處理，難以在30分鐘內完成，要透過自動化的流程，才有辦法應對。</p> <p>為了進一步了解掌握與通報資安事件的所需時間，邱銘彰將端點防護系統或網路安全設備發出資安事件警示之後的程序，區分為3個階段：平均偵測時間（MTTD）、平均調查時間（MTTI）、平均處置時間（MTTR），將這些時間全部加總起來、要控制在30分鐘以內，並不容易。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-MTTX-2023-05-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-MTTX-2023-05-11.jpg" style="width: 600px;" /></a></p> <blockquote><p>資安威脅層出不窮且日益複雜、刁鑽，想要在最短時間完成偵測、調查、應變，越來越困難，奧義智慧點出影響資安威脅總體處理時間長短的4大關卡，均相當仰賴資安人員的主觀判斷，若依據這樣人力密集的流程來進行，很難在半小時內完成，如此一來，將無法符合特定產業的主管機關要求，而可能會受到責罰。</p> </blockquote> <p>以初期的MTTD為例，這裡所謂的偵測（Detection）不只是代表資安產品產生事件的時間，而是涵蓋安全維運中心（SOC）偵測到威脅而開設工單（ticket）的時間；中期的MTTI是指開單之後，需予以審查（Review）、分類（Triage），以及調查（Investigation）；至於末期的處置（Response），因為可能會產生不同的業務衝擊影響，通常需要一定程度的人為介入處理，所以很難自動化，例如，若察覺公司的Exchange Server被駭客入侵，我們不能馬上將這臺受害的伺服器強制進行網路隔離，因為一旦這麼做，有可能導致全公司的使用者無法收取或寄送電子郵件，所以，需要透過其他作法來緩解。邱銘彰認為，相較之下，在MTTD、MTTI這兩個階段當中，較有機會去進行自動化處理。</p> <h3><span style="color:#0000FF;"><strong>AI獲重大突破，資安人員需與時俱進，善用特性以提升效率</strong></span></h3> <p>作為防守方，邱銘彰也替藍隊（Blue Team）抱屈。他說，大家都以為藍隊是神奇寶貝，認為這裡面的成員不只是專家，而是世界頂尖的駭客、超人，期盼他們能在1分鐘之內完成所有的事情，但其實沒那麼厲害，因為實際上這是很辛苦的工作：每天的警報成千上萬，根本看不完，只能抽幾個出來進行調查，沒辦法快速處理，再加上還要進行合規、資安事件調查，以及應付長官、廠商等工作，他們要的不多，只希望能夠準時下班、準時休息，維持基本的生活品質。</p> <p>面對這樣的攻守不對稱的困境，我們不能繼續抱持舊方法，邱銘彰認為：「我們的Blue Team需要魔法」，也是他這場演講名稱的由來。因為紅隊駭客這麼多，藍隊人力卻很有限，所以，自動化科技是大家一定要接受的，而且，這幾年的機器學習技術有很大的進展，若能善用這類新興的科技，有機會幫我們做到更自動化、更快速地反應。</p> <p>為了讓所有在場聽眾快速了解這類AI技術的突飛猛進，他直接點出「魔法」的起點，正是2017年發表的重要論文《Attention is all you need》，裡面提出目前在AI領域相當知名的模型架構Transformer，而且，從語言處理的部分開始切入，後續在多個模態的資料，像是在聲音、影像的處理上，都有很大的進展。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-AI Progress-2017-2022.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-AI%20Progress-2017-2022.png" style="width: 500px;" /></a></p> <p>舉例來說，出現自我監督型學習（Self-Supervised Learning）的技術，像是2021年OpenAI推出的AI模型CLIP，能使圖片資料在無需標記處理（Labeling）的情況下，就能進行自主整理跟學習。而在2022年11月OpenAI推出AI模型ChatGPT之後，開始帶動新一波全球AI應用狂潮，到了2023年的2月到3月更是大爆發，因為大型網路公司Meta、百度，雲端服務業者微軟、Google，AI實驗室OpenAI、Anthropic、Midjourney，以及學術機構史丹佛大學，恰巧都在這短短一個月內，發表各種AI模型與服務整合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-AI-2023-big announcement.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-AI-2023-big%20announcement.png" style="width: 500px;" /></a></p> <p>關於近期的AI技術發展，邱銘彰觀察到的第一個變化，就是設計思維的不同，他區分為4大階段：特徵工程（Feature Engineering）、架構工程（Architecture Engineering）、目標工程（Objective Engineering）、提示工程（Prompt Engineering）。</p> <p>對資安人員來說，特徵工程是大家最熟悉的模式，因為是由專家來決定與判斷惡意程式的欄位、檔頭、API等特徵，再以此來進行偵測，換言之，仰賴人類專家決定特徵，主要運用統計的模式來看出特徵，然後依據特徵來設計演算法，而這是一種監督式學習；後來我們有了類神經網路（NN），能用深度學習的模式、更深層的網路來重現問題，此時雖然不需要準備特徵，但還是需要準備訓練資料、提供教材來讓機器學習，而這樣的作法屬於架構工程的範疇。</p> <p>到了目標工程的階段，AI研究人員發現沒有標記的資料（unlabeled data）也能讓機器學習，可代表某些潛在的、抽象的知識，而此階段的處理模式就是預先進行訓練（Pre-train），以及精細調校（Fine Tune），同時，他們也發現類神經網路的最後幾層是能被換掉的，或者加幾層在後面，幫上游跟下游任務切割開來，所以近期才會有這些大型科技公司，做出預先完成訓練的語言模型，之後就能進行改裝，以因應各種領域的任務需求。邱銘彰說，由於上游任務跟下游任務是可以分開，導致機器學習工業化的可能發生了。</p> <p>這樣的差異何在？他具體舉例說明。過去我們如果訓練出一個駕駛車輛的模型，這只能用來開車，若訓練出一個下圍棋的模型，也只能下圍棋，但現在我們可以做出通用刑的機器學習AI大腦，然後再加入上下游任務的指導，讓它精細調整而成為某些特定領域的專家，這也是為何目前大部分的人都是拿模型來改裝，當中可能包含精細調整與提示（Prompting），繼而引出最新的提示工程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-AI Stages.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-AI%20Stages.jpg" style="width: 600px;" /></a></p> <p>在提示工程的階段，我們只需要預先進行訓練即可，不需要再作過多的精細調整、不用去改模型的權重，直接用「咒語」來指導他——透過Prompting In-Context Learning的方式去引導模型，使其進入我們的領域進行問題的解決。邱銘彰說，目前的提示工程已到了匪夷所思的地步，我們不用準備特徵、你只要提示預先訓練模型、問它對的問題，它就能夠解決問題。</p> <p>但要這麼做，需滿足一個前提，那就是這個模型必須大到能夠涵蓋絕大部分的任務空間（Task Space），而目前的方法是可以做到的，因為目前運用的大資料跟大模型而成的自我監督型學習技術，已經能夠涵蓋大部分的問題，所以對於專業的問題，它都能解答。</p> <p>邱銘彰說，我們的模型已經能夠大到能夠涵蓋人類的所有知識了，我們可以想像這個語言模型就像人類文明的結晶體，現在只要解壓縮，將裡面的部分取出來、指個方向，它就可以解決那個領域的問題。所以，在這樣的概念之下，我們有個通用大腦，可裝在車子、機器人等各個領域之中，然後加上精細調整之後，它就有了新的能力，而這是工業化的進展。</p> <p>面對這樣的技術突破，邱銘彰也向大家坦承自己的焦慮，他說：「我覺得Machine Learning的進展，已經快到超過人類能控制的範圍了」。隨著大模型加上大資料的應用，使得未經標記的資料能被AI學習，令人匪夷所思，因為「我們沒指導的事情，AI卻學會了」，例如，沒有人教它如何解開Base64編碼，後來AI竟能產生解開這類編碼的程式碼，然而，不能否認的是，目前的AI技術進展真的很成功，而這是值得的變化。</p> <p>回顧過去AI發展，早期的特徵工程階段，是靠專家決定資料特徵，AI模型只能解決特定、小型的任務，進入架構工程階段、有了類神經網路，只需要決定訓練資料、提供經過標記的資料，讓AI模型來決定參數，從2017年至今，目標工程的作法崛起，AI能學習沒有經過標記的大量資料，我們只要在特定領域做些微調跟訓練，之後給它少量資料、少量標記，就能解答領域的問題，例如，在ChatGPT當中，有時我們只需提供幾個範例，AI就能依此完成指定工作，而到最新的提示工程階段，預先完成訓練的AI模型已經能涵蓋許多任務空間，導致新的能力湧現，因此會出現「我們先前沒有教它的事情，它卻學會了」的狀況，接下來，所有的人都能在AI的幫助之下，降低專業領域的進入門檻，而能變成各種領域的專家，當然資安也不例外，處於受影響的範圍。</p> <p>關於機器學習能力近期大幅提升，邱銘彰也特別提到另一個關鍵，那就是AI研究人員發現「<a href="https://openai.com/research/deep-double-descent">雙下降現象（Double Descent Phenomenon）</a>」。簡而言之，過去大家總認為，AI模型增大，錯誤率應該會隨之逐漸增加，因此必須在偏差（Bias）與變異（Variance）之間進行權衡，而這也是傳統的統計、特徵工程運用的地方，但幾年前，研究人員發現AI模型若大到一定程度時，錯誤率會竟出現下降狀況，目前無法解釋原因，然而，基於這種反轉現象所呈現的效益，也促成現在AI大模型的盛行，我們會發現這些模型使用的參數量甚至比資料量還大。</p> <p>當模型夠大、資料量增加時，AI開始出現一些複雜能力，像是自我監督型學習，能在資料未進行標記的狀況下，學到新的模式，而我們所要給予AI的部分，主要是預先訓練與精細調整。</p> <p>因應這樣的變化，邱銘彰強調，我們要知道要解決的問題，以及所用AI模型的定位，才能確定應該增加資料量或模型的複雜度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-double descent and AI progress-圖片來源／奧義智慧、OpenAI.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-double%20descent%20and%20AI%20progress-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E3%80%81OpenAI.JPG" style="width: 600px;" /></a></p> <blockquote><p>稍早的AI研究指出，模型逐漸變大時，錯誤率會先減少、再提升，此時大家陸續採用與發展的作法是基於統計模型而成的特徵工程（1），以及基於深度學習模型而成的架構工程（2）。之後有人發現如果將類神經網路的參數數量增加到更大程度時，錯誤率會減少，稱為雙下降（Double Descent Phenomenon），也促成機器學習的超大模型，以及超大模型與超大資料的盛行，基於預先訓練模型而成的目標工程開始大行其道（3），也帶動接下來的提示工程（4）。</p> </blockquote> <p>展望AI發展，邱銘彰大膽提出他對下一階段的預言。</p> <p>首先，給予 AI模型記憶與自我訓練的能力。</p> <p>為何AI模型會被允許有記憶能力？因為現在AI模型並沒有這方面的能力，權重是靜態的，當模型完成訓練之後，就只能拿來套用，但如果AI對於外部互動歷程有記憶能力，例如我們與ChatGPT 聊天的過程能夠保留，這些內容就可以拿來改善模型本身的配置。</p> <p>第二是給予AI可獲取外部資料的API介面，能操作其他軟體、體驗網路世界，獲得它自己的體驗。</p> <p>AI開始使用外部API會是什麼樣子？以資安產品的開發為例，有啟動設備、掃描、鑑識調查、產生文件等各種API可用，如果這些介面能被AI學習、使用，它就擁有與外部溝通的能力，邱銘彰比喻：「這就像10萬年前人類開始用火」，而且，「AI開始使用工具」很快就會實現，因為Meta AI今年2月4日發表的Toolformer論文，就是探討予這股趨勢有關的技術發展。</p> <p>第三是允許AI代理程式之間互相合作、分享經驗與資料。</p> <p>未來會有負責開車的AI、做資安的AI、作教育的AI、執行政府相關工作的AI，不同的AI可以彼此合作、分享經驗與資料，如果我們讓AI進到人類世界，使其「經驗」我們的經驗時，它會獲得全新的能力。因為，當我們允許它進行交流之後，會產生新的現象。</p> <p>第四是AI代理程式之間的組織成形，會湧現更高層次的複雜因果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CrCraft%20AI3.jpg" style="width: 600px;" /></p> <p>邱銘彰表示，目前AI代理程式之間面對的複雜系統相當有限，只有模型本身參數之間的複雜現象出現，但當AI模型之間的複雜系統出現時，會形成社群（community）、社會（society），甚至是另一個世界，而我們未來要跟這個世界合作，所以未來會有新的組織呈現，然後故事就會出現了。邱銘彰認為，在日本動漫《攻殼機動隊》裡面的「傀儡師」這個角色，所有未來的AI的模樣，都在這裡面可以看到。</p> <h3><span style="color:#0000FF;"><strong>跳脫特徵工程的局限，善用機器學習技術掏金</strong></span></h3> <p>了解AI模型的演進之後，邱銘彰提醒我們要知道自己現在處於何種位置，他鼓勵我們多看新的方法、新的論文、新的研究，而在資安領域當中，也必須思考目前我們對於AI應用的方式，是否過於保守。</p> <p>事實上，經常自詡為懂得高科技的我們，卻還是使用低科技的方式作資安，需要很多的資安專家進行高度人工作業，被視為人力密集型工作並不為過，而對照上述AI的發展歷程，我們可以清楚地意識到當前的資安，仍停留在特徵工程的階段。</p> <p>舉例來說，關於惡意軟體的偵測，許多鑑識專家在撰寫專門用來定義這些威脅的YARA規則時，往往都是憑自己的直覺和經驗而成，但可能說不出為何要寫出這樣的模式和架構。邱銘彰說，當資安人員被問到這樣的問題，有人會回答：「不知道，我覺得怪怪的，這東西有妖氣，一定要寫成Pattern」，依此說法而言，顯然寫規則是一門「藝術」，藝術卻是很難複製的。</p> <p>而在安全資訊與事件管理系統與安全維運中心的作業上，同樣有不少人是靠自己的感覺去撰寫警報通知的關聯規則——他們覺得某些行為之間應該有關係，所以寫出一個規則、用電腦名稱跟IP位址把它們關聯在一起，但這麼做可能並無任何科學依據。然而，這麼做的門檻很低，「隨便亂寫都可以」，之後究竟是否帶來實質的成效或誤判，也不容易驗證。</p> <p>對於資安部門主管而言，絕大多數都是憑主見來判斷事情的等級，例如，有些人會認為駭客也會跟一般上班族一樣週休二日，因此週五下午之後不會有任何資安事件，因此，要求不要發資安警報通知。</p> <p>縱觀上述三種職務的資安人員，大家都是靠直覺、靠感覺、靠主見在做資安，而原因正是資安界長期以來都仰賴專家來決定特徵。因此，邱銘彰直言：「如果資安產業跟專家Coupling一起，我們永遠不能Scalable」，他並非否定專家的重要性，而是認為術業有專攻，他強調，專家應該做專家的事情，就像醫生應該去做醫生的事情，而非去門口掃地，或是做護士的事情」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20Limitation%20for%20feature%20engineering-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.jpg" style="width: 600px;" /></p> <p>若要擺脫特徵工程的作法，有不少資安人員對於改用機器學習來提升資安效率，仍然抱持遲疑的態度，對此並不熱中，邱銘彰提出三大理由。</p> <p>首先是擔心因此增加額外的負擔。邱銘彰用「心很累」來概括大家對於現行資安產品的使用體驗，因為買一堆產品、每天要面對許多誤判，而機器學習的成效除了存在不確定性，也會產生誤判，而且大家也無法解釋誤判的原因，平時已經「被放羊的孩子嚇死了」需處理多到難以負荷的誤判，若再引進會產生誤判的技術，恐將導致資安人員崩潰。</p> <p>第二是長期秉持「古法釀造」的職人精神，我們普遍認為在這領域當中，大師、專家的經驗知識非常重要，須學習三五年之久，才能寫出好的YARA規則，該運用哪些特徵、規則，則由人來決定，他們認為純手工最重要、對於AI這類高科技不感興趣。情境就如同上述習於特徵工程的大部分人員所言，當被問到特定IP位址被列入黑名單時，他們只能表示：「怪怪的」，然而，究竟有何異狀，卻看不出來、說不出口。</p> <p>第三是知識落差。因為資安人員對於AI的相關發展與知識的了解有限，所以出現「看不懂、跟不上」的困境。舉例來說，包含資安廠商或AI專家在內的很多人，仍認為AI就跟傳統電腦科學帶給大家的觀念一樣，是「Garbage in, garbage out（垃圾進，垃圾出）」，若有這樣的認知，也意味著人們仍停留在特徵工程的階段，因為他們認為資料必須經過標記、機器才能學習，若輸入沒有標記的資料、機器就不能學習。</p> <p>然而，現在已經不同了，因為在大數據分析、機器學習等技術的近期發展突破中，能做到「Garbage in , gold out」，就像我們能從岩石裡面開採、榨取、提煉石油，因此可將這些資料應用視為新的「淘金術」，而非盲目固守傳統觀念。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-SEC%20cant%20accept%20AI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.jpg" style="width: 600px;" /></p> <p>面對AI的不斷進步，它已成為勢不可擋的科技，邱銘彰預言AI會是人類不可或缺的夥伴。他說：「未來你的團隊裡，一定有個不是人類的同事，就跟科幻影集《銀河飛龍（Star Trek: The Next Generation）》的<a href="https://zh.wikipedia.org/zh-tw/Data">百科上校</a>一樣」。他認為未來會有個同事，專門幫你分析資料，我們要擁抱改變、讓流程更快，讓資安的產能更高。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-Data in Human Teams.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-Data%20in%20Human%20Teams.jpg" style="width: 600px;" /></a></p> </div></div></div>
2023/6/9 10:52作者李宗翰https://www.ithome.com.tw/news/157256
抵達通用AI的另一險路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0607-qian_nao_zhi_neng_xin_li_lun_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">星出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧（AI）研究的長遠目標，是創造出可以展現類似人類智能的機器——這種機器可以快速學會新工作，看到不同作業之間的類似之處，並且能夠靈活地解決新問題。這項目標被稱為「通用人工智慧」（artificial general intelligence, AGI），以區別現今的有限AI。今天的AI產業面臨的基本問題是：我們目前是走在創造出真正智慧型AGI機器的道路上，還是將再次陷入困境，進入又一個AI冬天？當前的AI熱潮，已經吸引了數以千計的研究人員和數以十億美元計的投資，幾乎所有這些人才和資金，都正被用在改善深度學習技術上。</p> <p><span style="font-size:28px;"><strong>通往AGI的兩條道路</strong></span></p> <p>AI研究者在製造智慧型機器方面有兩條路可走。其一是我們的現行做法，也就是致力使電腦在特定功能上超越人類，例如比人類更會下圍棋或更會從醫學影像中辨識癌細胞。這種做法所抱持的希望是：如果我們能使電腦在一些困難的事情上勝過人類，我們最終將找到方法，使電腦在所有事情上勝過人類。在這種AI研發方式下，系統如何運作並不重要，電腦是否靈活也不重要。唯一重要的是，AI電腦能比其他AI電腦更好地做某件事，而且最終能比最優秀的人類做得更好。</p> <p>創造智慧型機器的第二條路是著眼於靈活性。在這種AI研發方式下，AI的表現不一定要好過人類。研發的目標是創造出聰明且靈活的機器，不但能夠做很多事，還可以將它們從某件事中學到的東西應用在其他事情上。採納這種方式下的成功，可能是創造出一部能力如同五歲兒童或甚至只是一隻狗的機器。這種做法所抱持的希望是：如果我們能夠先了解如何創造靈活的AI系統，那麼在這個基礎上，我們最終將能創造出智能等同或甚至超越人類的系統。</p> <p>在早期的一些AI熱潮中，第二條路受到青睞，但事實證明這太難了。科學家意識到，機器要具有五歲孩子的能力，必須掌握大量的日常知識。AI研究者無法想出方法把這些日常知識寫進電腦程式裡，或使電腦習得這些東西。</p> <p>知識比較困難的部分不是陳述一個事實，而是以有用的方式表示那個事實。且以「Balls are round」（球是圓的）這句話為例。五歲的孩子知道它是什麼意思，我們雖然可以輕鬆地把這句話輸入到電腦裡，但電腦如何理解？「ball」與「round」這兩個英文單字都有多種意思，「ball」可以是指舞會，而舞會不能說是圓的；披薩是圓的，但披薩不像一顆球。電腦要理解「ball」，就必須將這個英文單字和不同的意思聯繫起來，而每一個意思都與其他英文單字有不同的關係。此外，物體會動，例如有些球會彈跳，但足球的彈跳方式與棒球不同，而棒球的彈跳方式又與網球不同。你和我都是藉由觀察，迅速認識到這些差別。我們不需要任何人告訴我們球如何彈跳；我們只是把球扔到地上，觀察隨後發生的事。我們不知道這些知識如何儲存在我們的大腦裡，但是對我們來說，掌握球如何彈跳之類的日常知識是毫不費力的。</p> <p>然而，AI科學家想不到方法使電腦學會這些東西。他們發明了schema和frame之類的軟體結構來組織知識，但無論他們怎麼做，最後都搞出一堆無用的混亂東西。世界相當複雜；一個孩子知道的事物，以及這些事物之間的聯繫，看來是多到電腦無法處理。我知道這似乎應該是很容易的事，但迄今就是沒有人知道如何使電腦明白「球是什麼」這麼簡單的一件事。</p> <p>這個問題被稱為「知識表示」（knowledge representation）。一些AI科學家認為，知識表示並非只是AI的一個大問題，它其實是AI唯一的問題。他們聲稱，在我們找到方法在電腦中表示日常知識之前，我們不可能製造出真正的智慧型機器。</p> <p>現今的深度學習網路並不掌握知識。下圍棋的電腦並不知道圍棋是一種遊戲，它不知道這種遊戲的歷史，也不知道對手是電腦還是人類，甚至不知道「電腦」和「人類」是什麼意思。</p> <p>AI科學家最近試用了一種不同的知識編碼方法。他們創建了大型人工神經網路，並以大量文本訓練這些網路，例如數萬本書的全部文字，以及幾乎整個網際網路上的文字。經過這種訓練，這些網路掌握了特定字詞組合出現的機率。這些語言網路可以做令人驚訝的事，例如你給這種網路幾個字詞，它可以寫出與這些字詞有關的短文，而我們很難分辨那是人類還是神經網路寫的。</p> <p>這些語言網路是掌握了真實的知識，抑或只是藉由記住無數字詞的統計資料來模仿人類？AI科學家對此意見不一。在我看來，如果深度學習網路不以大腦那種方式建立世界的模型，這種技術就不可能實現AGI這個目標。深度學習網路表現良好，但這不是因為它們解決了知識表示問題，而是因為它們完全避開了這個問題，改為倚賴統計和大量資料。深度學習網路的運作方式十分聰明，它們的表現令人印象深刻，而且在商業上很有價值。我只是想指出，它們並不掌握知識，這種技術並非走在創造出能力等同五歲孩子的AI發展路上。</p> <p><span style="font-size:28px;"><strong>大腦作為AI的模範</strong></span></p> <p>假設我想表示關於一個常見物體如釘書機的知識，面對這個問題，早期的AI研究者會試著列出釘書機不同部分的名稱，然後描述每一個部分的作用。他們可能會寫下這樣一條關於釘書機的規則：「當釘書機的頂部被壓下時，一個釘書針會從一端出來。」但要理解這句話，「頂部」、「端」、「釘書針」等名詞必須加以定義，「壓下」和「出來」之類的不同動作也必須定義。此外，只有這條規則是不夠的，它沒有說明釘書針出來時朝哪個方向，接下來會發生什麼事，又或者當釘書針卡住時應該怎麼做。AI研究者因此必須寫更多規則，而這種知識表示方法會產生無止境的定義和規則。AI研究者不知道如何使這種方法行得通，批評者甚至認為，即使所有規則都可以清楚說明，電腦仍將不會「知道」釘書機是什麼。</p> <p>大腦則以完全不同的方式儲存關於釘書機的知識：它習得一個釘書機的模型；這種模型是知識的化身。想像一下，你的頭腦裡有個微型釘書機，跟真的釘書機幾乎一模一樣，形狀相同、零件相同、運動方式相同，只是小得多。這個微小的模型代表了你所知道的關於釘書機的一切，而且不需要標記釘書機的任何一部分。如果你想記起釘書機的頂部被壓下時會發生什麼事，你可以按下這個小模型，看看會發生什麼事。</p> <p>當然，你的頭腦裡並沒有一個微小的實體釘書機。但新皮質的細胞習得一個虛擬模型，而它可以產生同樣的作用。在你與真實的釘書機互動的過程中，大腦習得它的虛擬模型，而這個模型包含你觀察到的關於真實釘書機的一切，包括它的形狀和你在使用時發生的事。你對釘書機的認識嵌入這個模型中，你的大腦裡並不是儲存著關於釘書機的一系列事實和規則。</p> <p>釘書機的頂部被壓下時，會發生什麼事？你要回答這個問題，並不是找出頭腦裡儲存的釘書機相關規則，然後告訴我答案。實際情況將是你的大腦想像釘書機的頂部被壓下，然後大腦裡的釘書機模型會記起接下來將發生的事。你可以用言語告訴我答案，但這些知識並不是儲存在語言或規則中，相關知識就是那個模型。<strong style="color: rgb(105, 105, 105);">（本文摘錄整理自《千腦智能新理論》第8章，星出版提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%8D%83%E8%85%A6%E6%99%BA%E8%83%BD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%98%9F%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_星出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">千腦智能新理論（A Thousand Brains: A New Theory of Intelligence）</span></strong></p> <p>傑夫・霍金斯（Jeff Hawkins）／著；許瑞宋／譯</p> <p>星出版</p> <p>定價：480元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8D%83%E8%85%A6%E6%99%BA%E8%83%BD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Numenta.jpg" style="width: 180px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>傑夫・霍金斯（Jeff Hawkins）</strong></span></p> <p>神經科學研究公司Numenta共同創辦人，紅杉神經科學研究所（Redwood Neuroscience Institute）創辦人，掌上型運算領域的創始人之一。美國國家工程學院院士，著有《創智慧》（On Intelligence）。<a href="https://tinyurl.com/2f4g78ss" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> </div></div></div>
2023/6/9 00:00未署名https://www.ithome.com.tw/article/157219
【生成式AI應用浪潮下，帶動企業Copilot客製化新需求】微軟揭露AI Copilot技術開發框架，下一步要建構完整…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要讓所有開發者和企業能夠為他們的應用提供Copilot能力。」微軟執行長Satya Nadella在今年Build開發者大會開幕演講時這樣強調，企業自建Copilot所需要的基礎設施，從AI基礎架構、基礎模型、AI調度管理，到他們自己的Copilot應用及其延伸功能，所有這些都能在Azure環境中完成。</p> <p>Copilot是微軟開發的生成式AI對話應用，以OpenAPI的GPT模型為基礎進行開發。最初，Copilot在GitHub中推出，不到一年就獲得上千家企業及破百萬名開發人員採用。當時的Copilot的任務相對簡單，以協助開發者撰寫程式為主。經過兩年多，Copilot逐漸發展成為一個更全面的生成式AI助手，出現在更多的微軟服務中協助使用者處理不同的工作任務，無論是提供個人化搜尋建議、文書工作處理，還是在行銷活動、數據分析及安全方提供即時的協助。</p> <p>尤其，更強大、正確率更高的GPT-4模型推出後，進一步提升了Copilot的能力，例如今年3月推出的GitHub Copilot X，將GPT-4整合到IDE開發工具中，不只能自動寫程式，還能提供優化配置和除錯功能。</p> <p>微軟會中透露，Windows 11作業系統將同樣支援Copilot功能，這意味著，Copilot將變成Windows作業系統中的常駐程式，可以在桌面環境提供使用者更多支援和協助。</p> <p><span style="font-size:28px;"><strong>要讓每家企業都能自建Copilot</strong></span></p> <p>但是，微軟想要做的事不僅僅是如此而已，看準生成式AI應用浪潮，微軟不只要擴大旗下產品對於Copilot的支援能力，更要開始讓Copilot走出自己的服務，進到企業特定應用或服務場景中來提供專屬的Copilot能力。這意謂著，每家企業都能自建Copilot，利用微軟所提供開發工具和龐大資源，協助他們建構符合自身需求的專屬Copilot或下一代AI應用。微軟正是看準了這些不同服務類型Copilot背後的企業客製化應用需求。</p> <p>Satya Nadella以「人工智慧的Mosaic時刻（編按：網路第一個普及的圖形瀏覽器）」來形容因ChatGPT帶動的生成式AI應用浪潮，以及對於開發人員可能帶來的新變革，而新推出Copilot的外掛擴充（Plugin）功能，就是微軟迎戰這股變革的關鍵戰略，「要透過外掛擴充功能，將Copilot延伸到每家企業的應用中，」Satya Nadella如此表示。</p> <p>但是，微軟的外掛發展策略，並非要打造出像蘋果App Store的模式一樣，建立一個統一、集中式的外掛上架平臺來收取分潤，相反地，微軟的目標是要建立一個外掛生態圈，吸引廣大開發者和企業加入並開發各自的外掛功能。這些外掛無法單獨存在，必須與微軟各種商用Copilot搭配使用，出現越多的外掛，就越能進一步壯大Copilot生態圈，也越能帶動微軟商用Copilot的相關業務。</p> <p>生成式AI對話應用開始支援外掛機制，微軟並不是第一家採用這項策略的業者。早在今年3月時，因推出ChatGPT而爆紅的OpenAI就已經支援外掛功能，能夠透過不同外掛API來讓ChatGPT與企業提供的數據或第三方應用進行互動。他們還推出專屬外掛程式的商店，通過審核的用戶可以上架自己的應用外掛程式到這個商店平臺中。儘管目前仍處於測試階段，已有20多支官方和第三方應用外掛推出。</p> <p><span style="font-size:28px;"><strong>開始提供Copilot外掛支援能力</strong></span></p> <p>ChatGPT外掛推出後不久，微軟發表了一個能支援外掛的Bing Chat，這個外掛機制類似於ChatGPT，可以利用安裝外掛的方式，進一步延伸Copilot功能。隨後在5月底的Build年會上，微軟更透露，M365 、Power平臺、Dynamics 365中的Copilot將支援相同的外掛標準，就連新版Windows作業系統開始內建Copilot後，也能支援使用該外掛。</p> <p>微軟採用了和OpenAI的ChatGPT相同的外掛標準，更替微軟和OpenAI外掛平臺提供一個可以彼此互通的方式。透過這樣的方式，微軟表示，目前已有超過50個第三方外掛支援Copilot，預計還有上千個外掛功能將推出。舉例來說，Bing已與ChatGPT共用許多外掛功能，如OpenTable、Wolfram Alpha等，如今，ChatGPT更深度整合了Bing，將其預設為自己的搜尋引擎。</p> <p>「當每個開發人員都能夠撰寫外掛並將其應用於Copilot中所涵蓋的數十億用戶，」Satya Nadella認為，這將賦予這些開發者強大的力量，可將他們所開發的AI服務和應用，進一步延伸到全世界各角落。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">微軟採用了和OpenAI的ChatGPT相同的外掛標準，可以讓微軟和OpenAI兩個平臺上的外掛可以彼此互通，透過這樣的方式，微軟表示，目前已有超過50個第三方外掛程式支援Copilot，預計還有上千個外掛功能將推出。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／微軟）</span></p> <p><span style="font-size:28px;"><strong>微軟開發工具開始整合外掛開發</strong></span></p> <p>另一方面，微軟開始整合了既有的開發工具和資源，提升對於該外掛機制的支援能力。例如，微軟已經將Visual Studio Code、 GitHub Codespaces等工具與新的外掛標準整合，現在開發者可以直接在這些工具中來建立、部署或調度在Copilot介面運作的外掛功能，幫助企業或開發人員能更快採用。</p> <p>微軟表示：「不會向任何第三方收取為Bing建構Plugin的費用。」然而，在開發Copilot應用的過程中，開發者或企業有可能需要使用微軟的付費服務，例如基礎架構和基礎模型服務，來進行Copilot應用的開發。</p> <p><span style="font-size:28px;"><strong>AI Copilot技術開發框架大公開</strong></span></p> <p>從微軟公開的AI Copilot技術開發框架中，可以反映其Copilot開發生態圈的發展戰略。從這個技術框架來看，微軟將Copilot整個軟硬體架構分三層，最底層是AI基礎架構與基礎模型，其中基礎模型包括了Azure OpenAI的GPT模型、合作夥伴及開源社群及企業自己開發的基礎模型；中間層則是AI調度管理層，包含外掛執行、基礎資料（Data grounding）、中繼提示（Metaprompt），以及「提示與回應」過濾機制。Azure在這兩層都中有提供相關服務。最上層是App層，包括Copilot以及外掛擴充功能。企業或開發人員可以透過外掛方式在微軟提供的Copilot平臺中開發自己的延伸功能，或者使用自己客製的Copilot版本進行開發。並可利用微軟IDE開發工具與GitHub完成所有Copilot應用開發。</p> <p>微軟進一步還以這個AI開發框架為基礎打造了一個全流程AI Copilot建置及管理平臺，稱為Azure AI Studio，成為了擴大其開發生態系的另一個重要關鍵。</p> <p>除了提供了模型建立、訓練、測試和部署功能，AI Studio還具備了一般AI開發平臺所沒有的特色，例如提供了模型推論的即時測試功能，開發者可以使用自然語言對話框迅速測試和驗證模型的推論結果，還整合提示工程（Prompt engineering）做法優化流程，讓企業能用系統化方式來調校和管理多種提高模型回答準確率的提示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>從微軟公開的AI Copilot技術開發框架中，分為三層架構，最底層是AI基礎架構與基礎模型，其中基礎模型包括了Azure OpenAI的GPT模型、合作夥伴及開源社群及企業自己開發的基礎模型，中間層則是AI調度管理層，包含外掛執行、基礎資料、中繼提示、與提示與回應過濾機制。最上層是App層，包括Copilot以及外掛擴充功能。</strong><span style="font-size: 14px;">（圖片來源／微軟）</span></span></p> <p><span style="font-size:28px;"><strong>建構完整Copilot開發生態圈</strong></span></p> <p>微軟很早就積極擁抱生成式AI技術，通過與OpenAI合作並以ChatGPT所使用的GPT模型為基礎，推出商用生成式AI基礎模型服務，微軟更利用這項技術開發出生成式AI對話應用Copilot，並將其運用在自己的產品中。</p> <p>微軟AI戰略下一步將以Copilot為核心，不僅要擴大其產品支援，更要利用外掛機制的推出，讓開發人員或企業都能夠在商用Copilot中開發自己的功能，甚至也要讓這些不同外掛功能，可以支援企業用Azure AI自建的Copilot。新的AI Copilot建置及管理平臺也成為企業打造自己的Copilot的一個完整開發工具。</p> <p>建構一個成熟且完整的Copilot開發生態系，這正是微軟迎戰生成式AI應用浪潮下的AI新戰略。而要加速建構這個生態圈的關鍵，正是靠這兩大關鍵新策略。</p> <p><a href="https://www.ithome.com.tw/article/157239" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/157239" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1133-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=ZcsLpIM9" style="width: 550px;" /></a></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/6/9 00:00作者余至浩https://www.ithome.com.tw/news/157233
【微軟AI新戰略1】加速Copilot生態圈發展，支援標準的外掛擴充成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Build大會上，微軟不只宣布將擴大支援生成式AI對話應用Copilot，還揭露了微軟更大的戰略，是要建構出完整的Copilot開發生態系，不只讓自家產品能夠全面支援Copilot，更要讓企業、開發人員都能將他們自己的應用和服務整合到Copilot中，並在各自的行業領域中應用。而微軟Copilot生態圈戰略發展其中一個很重要的關鍵，就是支援標準的外掛程式。</p> <p>微軟迄今推出多種類型的Copilot應用，適用於不同的微軟產品，從最早在GitHub中提供輔助程式開發的Copilot，到後來針對低程式碼工具Power平臺的專用Copilot，再到提高生產力而設計的Copilot，也就是M365 Copilot。此外，還有提升員工參與度的Viva使用的Copilot，以及支援CRM相關應用的Copilot，其他還有搭載在搜尋引擎Bing和瀏覽器Edge上，用於網頁及安全相關Copilot，就連微軟Windows 11作業系統將很快支援Copilot，意味著Copilot將變成Windows桌面環境中的常駐程式，提供使用者更多支援和協助。</p> <p><span style="font-size:28px;"><strong>微軟全力發展Copilot開放生態系</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E7%94%9F%E6%85%8B%E7%B3%BB-600-2.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">微軟要讓Copilot開始能夠支援外掛擴充功能，就是為了替開發者打開一道入口，可以將Copilot連接到企業或開發者自己的軟體或服務中來進行互動。微軟技術長Kevin Scott甚至以數位世界中的驅動器來比喻外掛的關鍵作用。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／微軟）</span></p> <p>微軟雖然推出了許多不同用途Copilot，但是，微軟技術長Kevin Scott顯然認為這些延伸功能還不夠，還有許多有用的Copilot功能有待挖掘，需要更多開發人員和合作夥伴加入Copilot的開發行業，共同推動Copilot的發展，「Copilot必須成為一個開放的生態系統。」他這樣說道。</p> <p>微軟讓Copilot開始能夠支援外掛擴充功能，就是要打開一道入口，將Copilot連接到企業和開發人員擁有的軟體或服務中，來進行互動。</p> <p>Kevin Scott甚至用「數位世界中的驅動器」來比喻外掛的關鍵作用。當外掛使用者以文字輸入提問時，Copilot會根據提問內容調用開發人員所建立的外掛功能，來協助他們完成各種任務和操作，例如存取即時資訊、檢索訊息或執行跨應用操作等。</p> <p>微軟最先在Bing中的Copilot推出了OpenTable和Wolfram Alpha兩個外掛功能，可以協助使用者查找和預定餐廳，或者回答計算和分析問題。隨後，更多第三方外掛加入Bing，包括Expedia、Instacart、Kayak、Klarna、Redfin、TripAdvisor和Zillow等，涵蓋了旅行規畫、購物、金融和房地產等領域。通過整合了這些外掛功能，Copilot在Bing上能夠提供使用者更具體的回應，大大提升了其搜尋引擎的能力，「未來幾年，人們對於所有軟體都會期待用這種模式來運作。」Kevin Scott強調。</p> <p>除了Bing Chat以外，微軟也宣布，將有更多微軟Copilot產品能夠支援這項外掛機制，包括M365 Copilot、 Power Platform Copilot、 Dynamics 365 Copilot，以及Windows Copilot等。</p> <p>舉例來說，在M365的Copilot外掛中，還提供了三種不同外掛形式，一個ChatGPT外掛、Teams對話訊息擴充套件和Power平臺連接器。ChatGPT外掛採用基於ChatGPT形式的外掛API，Teams訊息擴充套件和Power平臺連接器則是具有能夠支援客製化訊息和連接企業內部數據的外掛功能。一開始就有多達50個第三方外掛，可以支援M365的Copilot，包括Atlassian、Adobe、ServiceNow、Thomson Reuters、Moveworks和Mural等。微軟預計在未來幾個月內還會推出上千個外掛，進一步擴大M365的Copilot功能和應用範圍。</p> <p><span style="font-size:28px;"><strong>外掛生態圈也支援企業用Azure AI自建的Copilot</strong></span></p> <p>除了微軟官方和合作夥伴推出的第三方外掛以外，企業還能為不同微軟服務的Copilot建立自己的外掛功能，來滿足特定需求與業務場景。甚至，企業在Azure AI上透過語言模型微調或訓練而建立的Copilot，同樣可以利用這個外掛機制，進一步擴展企業Copilot的能力，以滿足更多的應用需求。隨著越來越多開發者加入並推出支援不同應用或服務的外掛，將形成一個豐富且多樣的外掛的生態系。</p> <p>不僅如此，微軟更借助ChatGPT的影響力來加速其建立Copilot的外掛生態圈，而決定採用與其相同的開放的外掛標準，讓這兩個不同平臺之間的外掛可以彼此互通。對於開發人員而言，這樣做的好處是，只要建立一個外掛程式，就可以掛載到任何支援這個標準的Copilot或ChatGPT平臺中，因為使用相同的外掛標準，在其中一方建立的外掛使用的檔案或文件，也可以應用到另一方的外掛中，不需重新建立。</p> <p>微軟現有開發工具開始整合外掛標準，來簡化外掛功能的開發流程。例如,微軟已經將Visual Studio Code、GitHub Codespaces等工具與新的外掛標準整合，可以直接在這些工具中來建立、部署或調度在Copilot介面運作的外掛功能。對於想要在M365 Copilot中提供外掛的開發者，也能夠利用Visual Studio和命令列介面（CLI）中提供的Teams Toolkit工具，協助其進行外掛的建立、測試和調度。</p> <p> </p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#3399ff;"> 快速了解ChatGPT外掛標準 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E7%94%9F%E6%85%8B%E7%B3%BB-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟Copilot外掛機制採用了與OpenAI ChatGPT相同的開放標準，因此，開發者在其中一方建立外掛使用的檔案或文件，也可以應用到另一方的外掛中，不需重新建立。在外掛API設計上，Copilot採用和ChatGPT一樣的OpenAPI規範作為標準。</strong><span style="font-size:14px;">（圖片來源／微軟）</span></span></p> <p><strong>由於微軟Copilot外掛功能採用了與OpenAI的ChatGPT相同的開放標準，開發者也能藉由ChatGPT公開的外掛規範，快速了解未來建立自己的Copilot應用時，所需遵循相關的標準和規範。</strong></p> <p><strong>根據OpenAI的說明，開發人員可以利用ChatGPT的外掛功能，將其與第三方應用程式進行連接，並使用API與ChatGPT互動。</strong></p> <p><strong>不過，設計ChatGPT的外掛時，開發者需建立至少一個呼叫的API端點，並在該文件中包含標準化的manifest檔案。manifest檔案如同提供一個指南給ChatGPT，讓它知道何時該用這個外掛來回應使用者。所有跟外掛相關的metadata資訊都統一記錄於這個檔案中，例如外掛名稱、logo商標等，其他還有記載身分驗證所需的資訊，如驗證類型、OAuth URL等。</strong></p> <p><strong>在manifest檔案中還定義了外掛各項功能，其中包含了對於API回應內文的字元數上限，以不超過10萬個字元為限，但同時也保留了未來調整的彈性空間。每個manifest檔案建立完成後，需儲存為JSON格式，並託管在外掛API域名下指定”well-known“資料夾路徑中。</strong></p> <p><strong>ChatGPT外掛的API設計採用OpenAPI規範作為標準，並參考了OpenAPI規範3.0.1版，來定義API中的外掛名稱、描述和版本號等相關資訊，提供開發者在設計API時的參照和指引。舉例來說，外掛名稱可設為”TODO plugin”，版本號則可以使用”v1”表示外掛的初始版本。</strong></p> <p><strong>此外，在API規範中，對於每個API端點的摘要和參數描述也設有上限，最多不能超200個字元數，其他則遵照既有OpenAPI格式。公開的API端點中，除了manifest檔案之外，必須包含OpenAPI規範文件。</strong></p> <p><strong>一旦外掛API端點建立完成並公開後，會有兩種外掛的執行環境供開發者使用，本地的開發環境和遠端伺服器環境。考慮到安全性，遠端伺服器環境中要求使用HTTPS伺服器，而在本地開發環境中使用外掛的話，則需要事先建立身分驗證機制，否則外掛將無法執行。</strong></p> <p><a href="https://www.ithome.com.tw/article/157239" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/157239" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1133-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=ZcsLpIM9" style="width: 550px;" /></a></p> </div></div></div>
2023/6/9 00:00作者余至浩https://www.ithome.com.tw/news/157234
【微軟AI新戰略2】打造全流程Copilot建置及管理平臺，更整合提示工程優化生成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟要擴大企業對生成式AI對話應用Copilot的採用並建立完開發生態系，除了推出外掛擴充功能，另一個關鍵是提供了一個全套式AI Copilot建置及管理工具平臺，稱作Azure AI Studio，涵蓋了Copilot應用生命周期的各階段，從AI基礎模型的建立、訓練、評估到部署過程，更整合提示工程（Prompt engineering）優化流程，讓企業用系統化方式來調校和管理多種提高模型回答準確率的提示。</p> <p>在Azure AI Studio中，提供了多種企業Copilot應用開發所需的工具或功能，支援模型建立、訓練、評估和部署。舉例來說，在建立模型時，可以透過數據連接與匯入功能，迅速取得本地檔案、公開網頁及資料集的資料。在訓練模型階段，還可以搭配不同運算實例進行訓練，並能利用內建評估機制比較多個訓練完的模型，以選擇最佳模型。最後將訓練完的模型部署到正式環境，實現快速的應用部署。</p> <p>去年，微軟也有展示過類似的平臺，取名為OpenAI Studio，但它的功能不如AI Studio完整，雖然可以用來管理所有的Azure OpenAI模型和部署相關AI服務，但不能訓練，僅能微調模型，而且無法使用企業自己的LLM模型。直到AI Studio推出後，現在終於有了一個完整的開發工具。</p> <p><span style="font-size:28px;"><strong>特色1：Chat playground不只能建模型，還具有即時測試能力</strong></span></p> <p>從Azure AI Studio工具平臺中，還可以整理出和一般AI開發工具不同的特色，是針對生成式AI需求的設計。其中一個重要的特色，就是提供名為Chat playground的開發建置工具，這個工具讓開發人員能夠在Chat playground中直接選擇所需的GPT或其他語言模型，並配置相關參數，就能進行模型的開發和測試。</p> <p>Chat playground本身支援了多種來源的數據匯入功能，包括Azure Blob Storage、 Cosmos DB與Azure Cognitive Search，其中，Azure Cognitive Search還具有更進階的向量索引功能，可以將存放在資料庫中的文件編製成向量索引，用於建構和測試embedding模型。此外，企業還可以上傳自己的檔案或資料庫中非結構和結構化資料。</p> <p>Chat playground不只是模型建立用的工具，還提供了即時測試的功能。開發者可以在它提供的一個自然語言互動的介面中輸入提問並與模型進行互動，即時看到模型生成的回答，幫助他們測試和驗證模型的效果。</p> <p>「透過這套工具，企業更容易將自身資料應用於LLM模型並結合主流開發工具，使其生成內容更貼近企業特定需求和內部應用場景，帶來更好的Copilot體驗。」微軟雲端及AI事業群副總裁Scott Guthrie強調。</p> <p>在AI基礎模型選用方面，微軟整合了三種不同來源的基礎模型於該模型目錄中，有來自Azure OpenAI服務的GPT模型（如GPT 3/4、ChatGPT 35 Turbo等），還有Hugging Face社群和合作夥伴提供的模型，以及上千個開源AI模型（如GPT-2、Whisper、BERT ）。開發人員可以依據不同的場景和需求，選擇適合的模型進行開發。不過該目錄功能目前還是預覽版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E5%BE%8C%E8%87%BA-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>在這個Azure AI Studio工具平臺中，提供名為Chat playground的開發建置工具，除了可以建立模型，還具有即時測試的能力，讓開發者可以輸入提問並與模型進行互動，並即時看到模型生成的回答，用於測試和驗證模型的效果。</strong><span style="font-size: 14px;">（圖片來源／微軟）</span></span></p> <p><span style="font-size:28px;"><strong>特色2：首次整合提示工程流程，優化生成提示提高回答精準度</strong></span></p> <p>針對生成式AI應用，透過提示工程來優化Copilot生成的結果，更符合企業的需求，是一大關鍵。尤其，無論是Copilot使用的GPT模型還是企業自己的LLM模型，生成相應結果時都需要適當的提示，來引導語言模型生成符合預期的回應，這些提示包括了關鍵詞、問題描述、上下文訊息等，這也使得提示工程作為生成式AI的新興領域近來越來越受到關注。</p> <p>為了滿足這個需求，微軟在AI Studio中推出了Prompt flow生成提示工程工具。這是一個用於模型訓練完成後的優化工具，可以提高模型回答的精準度。在Prompt flow工具中整合了提示工程流程和方法，涵蓋了與提示相關的所有作業流程，包括構建、調度、評估、測試、部署和監控等。「使用Prompt flow，開發者可以方便設計、優化和管理生成提示，引導AI模型生成更強大且更具體的回應給使用者。」Sco Guthrie表示。</p> <p>值得一提的是，Azure AI Studio還有一個提示流程圖（Prompt Flow Graph），提供了包含輸入問題、提示建立、提示整合，到LLM模型回應及輸出過程。從這個流程圖中，開發者不僅能夠掌握每個提示的建立過程，還能查看流程中每個步驟的輸入和輸出，了解各流程環節對模型回應的影響，並通過不斷微調和實驗進一步優化和改進模型的輸出品質。</p> <p>在這個提示工程工具中，還提供多種提示相關設計的模板和範例供開發人員參考，還可以結合內部數據來獲得更詳細的提示設計。開發團隊也能整合GPT模型或他們自己的LLM模型到這個流程中來運用，並支援了主流LLM開源工具和框架，包括Semantic Kernel、LangChai等。</p> <p>倘若遇到需處理搜尋或推薦相關的內容生成時，Azure AI Studio也能支援增強式檢索生成（retrieval-augmented generation，RAG）做法，作為調用LLM模型的預處理機制。例如在模型推論以前可以利用這個做法，針對向量資料庫進行檢索，找到與提示相關的上下文資料，然後將這些上下文資料和原始提示一起輸入到模型中，藉由提高提示內容的相關性，使模型更好地理解問題並生成回答，改善其回答品質和準確度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E6%8F%90%E7%A4%BA-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Prompt flow是一個用於模型訓練完成後的優化工具，可以提高模型回答的精準度。該工具整合了提示工程流程和方法，涵蓋了與提示相關的所有作業流程，包括構建、調度、評估、測試、部署和監控等。</strong><span style="font-size: 14px;">（圖片來源／微軟）</span></span></p> <p><span style="font-size:28px;"><strong>特色3：加入生成提示的過濾機制，加強把關不當內容</strong></span></p> <p>除了透過提示工程提高模型回答的準確度之外，微軟還在AI Studio中設計了AI security內容安全服務，進一步管制模型推論結果。該服務結合了兩道防護機制，其中一個是AI提示內容的過濾機制，可以用於測試和評估每次提示的內容，檢查是否有包含暴力、仇恨、性等不當提示內容，也可以設定偏差閾值或使用黑名單來管控這些內容，避免模型做出意外的回答。</p> <p>還有一個是Metaprompt的微調功能，作為第二道內容過濾防護機制，開發者能用自然語言的方式事先說明模型需遵循的安全規範，並在每次提示輸入時，將這些安全要求與原始提示輸入到模型，讓生成的內容能夠符合其指定的安全標準或指導方針，提供更可靠和符合預期的回應。例如，可以指定模型不回答特定的敏感主題或不提供具有危害的建議。</p> <p><span style="font-size:28px;"><strong>特色4：建立模型推論評估機制，還兼具維運監測功能</strong></span></p> <p>Azure AI Studio不只提供開發及測試，還具有完整的部署平臺，除了提供藍綠部署和測試，也提供維運監測功能，確保部署的模型在生產環境中穩定運作，並符合其提示設計的要求，生成預期的回答。還提供版本管理功能，方便開發及維運人員管理不同或新舊提示版本。</p> <p>部署前，還可透過其內建的評估機制比較不同提示版本之間的差異對於最後模型推論的影響，並從中選擇最佳的提示版本用於生產環境。另外，還能查看每個執行步驟花費的時間長短，優化整個提示流程，來提升模型回應的速度。</p> <p><a href="https://www.ithome.com.tw/article/157239" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/157239" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1133-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=ZcsLpIM9" style="width: 550px;" /></a></p> </div></div></div>
2023/6/9 00:00作者余至浩https://www.ithome.com.tw/news/157238
微軟AI新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1133-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=ZcsLpIM9" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟生成式AI應用Copilot推出2年多，從最初用於協助程式撰寫，到後來能夠處理更多樣且多元化的任務。微軟下一步則是要建構完整Copilot開發生態系，不只公開其核心技術開發框架，更結合兩大關鍵策略，來支援企業自建專屬生成式AI的能力</p> </div></div></div>
2023/6/9 00:00作者余至浩https://www.ithome.com.tw/article/157239
重返以運算為中心的架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年台北國際電腦展終於恢復實體舉行，Nvidia共同創辦人暨執行長黃仁勳在活動期間的一舉一動，成為當週臺灣與全球焦點，從召開自家主題演講、舉行全球新聞媒體問答，到多家合作廠商的發表會、主題演講，以及展區亮相，只要他在南港展覽館一現身，馬上吸引許多記者、參觀者圍觀或跟隨，不論是詢問晶片供應與AI應用相關問題，或是要求合照，他都大方回應與配合，令全臺民眾留下深刻印象。</p> <p>除此之外，不論是否理解AI技術的發展歷程與市場價值，在新聞與財經媒體的熱烈報導之下，更多人聽到他長年推廣資料中心GPU、AI整合應用設備的經典台詞：「買越多、省越多（The more you buy, the more you save.）」就連一般大眾與新聞媒體都津津樂道，堪稱當代加速運算技術應用的最佳推銷員，而這股風潮在今年初掀起的新一波AI應用突破的消息之後，顯然後續還會在你我的工作和生活場景當中，創造更多話題。</p> <p>事實上，從去年底到今年上半，Arm、AMD、Intel、Nvidia這四大運算平臺廠商都陸續釋出新一代產品的消息，雖然其中有些是去年中就應該進入量產，因故延遲至近期才出現明朗的態勢，不過，因為全球經濟這段時間面臨嚴峻考驗，伴隨著物價飆漲、生產製造成本大增的壓力日趨提高，這些強調具有高性能、高能源效益的運算平臺，是否能如廠商所願，受到大量採用、快速普及所有的環境，仍有許多變數。</p> <p>在AI、運算受關注的此刻，部分廠商對未來IT提出新看法，他們認為將走向「以運算為中心（Compute-centric）」，而非常見的「以資料為中心（Data-centric）」。</p> <p>這說法之所以成立，當然與這一波由大型語言模型（LLM）掀起的AI超級浪潮，有密切的關係。舉凡大型雲服務業者、企業與組織，以及一般使用者，我們對於高效能運算的需求有增無減，不僅希望能借助雲端服務來簡化各式AI服務的提供，在單位內部、個人端，以及不同領域的邊緣運算等多種環境當中，都會有就近應用AI處理的需求，而這些不僅能促成更多樣貌的加速運算應用，也將帶動記憶體、快取、I/O、網路連線等周邊規格的大幅進化，以避免拖垮整體效能。</p> <p>回顧我們察覺IT架構重心的變化，是因為2015年IBM推廣認知運算（Cognitive Computing），而在《Smart Machines: IBM's Watson and the Era of Cognitive Computing（智慧科技：推動大智移雲的利器）》書中，闡述「以資料為中心的電腦」，我們了解到過往IT架構的發展重點，屬於「以運算為中心／以處理器為中心」。</p> <p>然而，在2020年代的此刻，「以資料為中心」早已是常態，在分散式企業與分散式服務的概念大行其道之際，為何現在又將轉變至「以運算為中心」？</p> <p>除了AI運算成為所有創新應用發展的焦點，越來越多廠商爭相推出AI模型、提供生成式AI內容相關應用功能的消息，另一個關鍵則是資料的產生與處理，同樣仰賴健全的運算晶片生產與供應體系，而這方面的發展目前面臨很大的挑戰。</p> <p>最近新聞媒體德國之聲有一支探討臺海戰爭影響的影片，恰巧引述這當中的關係，反映「以運算為中心」成為世界發展的關鍵。供應鏈顧問公司Seraph Consulting創辦人兼執行長Ambrose Conroy是這麼說的：「很多人說資料是新石油，資料是新經濟，然而，有了半導體，才能有數據，因此，我認為半導體是驅動當前所有事物的力量。」</p> <p>如果我們同意大資料、AI是整個世界發展的重要憑藉，能否產生與承擔更大規模的資料，的確是關鍵，因此，運算能力勢必要不斷發展、壯大、普及，臺灣目前能取得領導市場的地位並非偶然，我們當然希望可以繼續保持競爭優勢，期盼全世界都強烈依賴臺灣，然而，將這些能力與全世界分享，也很重要，人類社會若要繼續繁榮，不能只靠臺灣、只靠半導體，大家都必須要提升能力、齊心承擔，因為臺灣的生存也同樣仰賴與其他國家的共同合作，彼此都需要互惠互助。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%BB%A5%E9%81%8B%E7%AE%97%E7%82%BA%E4%B8%AD%E5%BF%83">以運算為中心</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E5%9E%8B%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B">大型語言模型</a></div><div class="field-item even"><a href="/tags/llm">LLM</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E8%B6%A8%E5%8B%A2">趨勢</a></div></div></div>
2023/6/9 00:00作者李宗翰https://www.ithome.com.tw/voice/157240
全臺最大醫療IT革新來臨，衛福部揭次世代HIS平臺大架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們不只要做公版HIS，還要建整個醫療資料大平臺！」衛福部資訊處處長龐一鳴強調。自去年秋季以來，各界不斷呼籲改革臺灣醫療IT，行政院生技產業策略諮議委員會（BTC）、生策會等重量級組織接連表態革新迫在眉睫，衛福部也挑起大樑，著手規畫次世代數位醫療平臺（亦稱次世代HIS平臺）架構，龐一鳴就是該平臺的核心推手。</p> <p>他將次世代數位醫療平臺定位為醫療資料大平臺，因為，這個平臺不只有App應用層和數位中臺，還向下延伸，將底層基礎架構也納入建置重點。也就是說，次世代數位醫療平臺包含了容器化底層、數位中臺和App應用層等3大層架構，龐一鳴如此設計的靈感，還來自一張國際調研機構Gartner的數位醫療平臺（DHP）架構圖。</p> <p>這個DHP架構採取混合雲設計，由雲上的整合數據架構層、套裝業務能力層和元件工具層組成，DHP完全位於雲上，再串連到地端的醫院系統與儀器資料，來對外提供不同的數位醫療體驗服務，如醫療照護協作、醫療數位入口、民眾健康管理等。但龐一鳴點出，純數位中臺形式的DHP架構，不適用臺灣現況，因為「成本太高了，再加上大多數醫院底層架構老舊，所以，我乾脆往下一層，連底層一起翻新！」他說。</p> <p>這句話，點出了臺灣醫療IT長久難治的痛點。臺灣的醫療IT發展，最初是為健保申報而興起，導致在不需健保申報的領域，資訊化相對落後。而且，臺灣醫院IT大多停留在20多年前為健保而建置的架構，比如仍使用大型主機和老舊程式語言COBOL，這種封閉式的架構難以實現IT現代化，要擁抱主流的雲端運算、虛擬化等技術或熱門程式語言，也就更難，人才經驗也不易傳承。</p> <p>此外，醫院系統高度客製化、醫療資料交換標準不一，致使醫療數據難以整合，要採用新型智慧系統也更吃力。這些都是臺灣醫療IT創新時面臨的難題，若不解決，很難擁抱精準醫療和個人化醫療這類結合大數據決策的新應用。</p> <p><span style="font-size:28px;"><strong>架構解密：3層架構建立資料標準和開放應用環境</strong></span></p> <p>衛福部提出的次世代數位醫療平臺，就是要解決這些挑戰。龐一鳴說明，次世代HIS平臺的容器化底層，不只利用容器技術來打包執行環境、資料庫等基礎架構軟體，來具備現代化IT的擴充性，還要建立一個標準化的共通資料層，來統一數位醫療的資料規格和資料結構基礎，包含國際醫療資料交換標準FHIR和相關文件，以及醫療術語標準。另外，衛福部還計畫提供一個串接醫療設備用的OT閘道器（OT Getway）軟體，可部署到各醫院內來串接各家醫院不同OT系統資料，統一匯整到次世代HIS平臺上的共通資料層。</p> <p>在這個基礎上，就能發展出數位中臺。衛福部要將醫療流程中的共同機制取出，打造為一個個模組，以便後續各種應用。舉例來說，看診的身分驗證機制就會是一種模組，護理資訊系統、影像儲傳系統（PACS）等大系統各自的共通機制，也會是數位中臺的通用模組。</p> <p>在數位中臺之上，衛福部還要建置一個App上架環境，也就是App應用層，來發展各種系統和智慧醫療應用。龐一鳴比喻，這個App應用層就像是App商店，醫院和醫資廠商可上架自己的系統，來讓其他醫院下載使用。這些系統可以高度客製化，比如文字描述需求高的內科，打造一套內科看診系統，對圖像資料較多的外科，則發展另一套以圖像為主的外科看診系統。不只臨床所需系統，醫療AI、病人管理系統也可在此上架。</p> <p>眾所熱議的衛福部公版HIS，未來也會上架到這個App應用層，供全臺26家衛福部醫院使用。他們要打造的第一號公版HIS系統是護理資訊系統，因為，護理作業是醫界公認最想改善的流程，衛福部打算用數位工具來優化傳統做法，讓護理師在床邊照護病人時，就能直接口述，透過系統同步轉錄為文字、即時記錄患者處置狀況，不必再回到護理站才能輸入資訊、建置護理工作記錄。這麼做，不只能簡化護理師工作負荷，還能讓護理師有更多時間來照顧患者。這也是龐一鳴對醫療IT改革的期許，要一併用數位工具來優化臨床工作流程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%9B%E7%A6%8F%E9%83%A8CIO-2P-%E8%8B%A5%E6%A8%B8-600.png" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 22px;"><strong>衛福部資訊處處長龐一鳴指出，次世代HIS平臺不只要改善全臺醫院IT，還要擁抱國際主流標準，助臺灣醫資業者出海、站上國際化舞臺。</strong></span>　<span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>借鏡國際作法，助臺灣軟體出海</strong></span></p> <p>這個次世代數位醫療平臺，不只是衛福部對全臺醫院IT的革新，還有一個更大的願景：將臺灣醫資廠商帶出海。</p> <p>因為，這個平臺將醫療流程的通用機制，以函式庫或規則引擎形式，打包在容器化底層或數位中臺裡，來讓應用層系統呼叫、執行對應工作。舉例來說，臺灣醫療院所得靠健保卡來辨識患者身分，許多系統也直接內建健保卡讀取機制。但次世代數位醫療平臺不這麼做，而是將身分驗證機制發展成一個共通元件，當上層系統需要辨識患者身分時，就呼叫該元件、觸發驗證工作，選擇合適的身分辨識工具來驗證患者身分。</p> <p>如此，就不會受到「健保卡讀取」限制，讓醫院或醫資廠商開發的系統保有更大使用彈性，有能力適應不同地區的醫療習慣和規範，更能出海到其他國家競爭。「我希望，我們把臺灣醫院IT做好，也要讓相關SI業者走出去，讓大家站到國際化的舞臺上！」龐一鳴說。</p> <p><span style="font-size:28px;"><strong>要4年完成醫療IT變革，未來將法人化經營</strong></span></p> <p>這場醫療IT變革，衛福部預計用4年完成。今年是次世代HIS計畫的第零年，衛福部設置了專案辦公室，委託工研院來執行平臺建置工作，包括兩大類任務，研究和實作。</p> <p>就研究來說，首要任務是「學習國外系統，」龐一鳴解釋，改革的目的，不只要解決臺灣醫院IT問題，也要把本土SI廠商推向海外，因此，次世代數位醫療平臺架構得符合國外主流做法，才能讓臺灣醫院和醫資業者，在相同標準下練兵、累積開發經驗。</p> <p>同時，專案辦公室也得研究國際標準，包括主流的HL7 FHIR架構及其元件，並逐步完善臺灣核心實作指引（TW Core IG），將現行CDA標準的醫療表單，轉換為FHIR標準表單，為後續資料交換奠定統一標準。</p> <p>不只如此，專案辦公室還得找尋合作夥伴。因為，要實踐如此龐大的次世代HIS平臺，不能只靠單槍匹馬，還要集眾人之力，透過徵詢國內廠商和醫院合作意願，找出能在不同領域出力的合作夥伴，如資安、OT、容器化應用等領域，來完善次世代數位醫療平臺。</p> <p>完成這些研究工作後，接下來就是實作階段，得開始引進國際標準工具、中文化特定工具、建置容器化底層和App上架環境，實作出醫療資料大平臺。</p> <p>另一方面，為發展公版HIS，專案辦公室今年開始也走訪衛福部旗下醫院，來進行需求訪談、蒐集實務狀況和建議。</p> <p>至於這個平臺將如何維運和收費，龐一鳴指出，就App應用層而言，商業模式將參考App商店收費制度，當醫院、廠商上架系統後，平臺會收取上架費，至於使用者付費下載，平臺是否要抽成、收取費用，衛福部則會計算損益後再決定。</p> <p>龐一鳴表示，衛福部的目的不在盈利，而是將平臺定位為公益性平臺，只收取必要費用。該平臺將先由政府維運，未來會發展為公私合營的公益平臺，由另成立的公益組織獨立營運，來維護資料標準、國際資料庫和工具，以及醫院和業者的日常使用。</p> <p>打造次世代HIS平臺很重要，但龐一鳴還給自己另一個同等任務：把醫院推上雲端。為讓醫院無後顧之憂用雲，他先是推動修法，開放電子病歷上雲，今年更找來3大國際公雲業者與國內主要業者，要舉辦一場醫療上雲研討會，讓醫院開始尋找最適合自己、收費合理的混合雲架構，同時了解雲端資安機制和各種雲端認證課程，衡量人才技能配置。這是個起點，龐一鳴希望培養醫院用雲知識，也盼臺灣雲端供應商能向國際級的服務能力看齊。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#3399ff;"> 做中學：GDPR帶來的新契機 </span></strong></span></span></p> <p><strong>「我也不懂，我也要學。」作為臺灣醫療IT大變革的關鍵人物，衛福部資訊處處長龐一鳴坦言，他對如何用雲、如何運用容器等現代化技術，也還不如專家清楚。</strong></p> <p><strong>但「要有Awareness，要誠實面對問題、去學習。」他點出，推行醫療IT新政策時，一定會遭遇各種困難，作為政策推動者，他從中學習，摸索出合適的解法，再擴散出去。比如疫情爆發時，各大國際組織紛紛推行疫苗護照，他親自跳下來，研究當時主流的幾種疫苗護照製作規範，如WHO、歐盟和民間飛航組織，從中找出最適合臺灣的版本。</strong></p> <p><strong>他後來選定歐盟版本，但問題是，歐盟版雖能在多國間通用、符合國際標準FHIR和最嚴個資法GDPR，卻也因此技術門檻高，需能離線使用（符合GDPR資料可攜原則），這意味著，開發者得將通行證憑證置於查驗程式。這是龐一鳴第一次實作嚴守GDPR的大型IT專案，幾經分析，他選用網頁模式來開發查驗程式，不只比App更好開發和維運、民眾使用方便，還符合GDPR規範。開發完成、通過歐盟驗證後，臺灣版疫苗護照順利上線，除了供民眾作為接種證明，還成為請假、大規模理賠申請的證明文件，背後的數位證明系統更成為各項防疫證明的申領平臺。</strong></p> <p><strong>從那次開發經驗中，龐一鳴不只學到公雲和GDPR實踐方式，也意識到，數位身分認證還有這種方法可行。這個將主管機關認定的公憑證放入數位證明文件的作法，也從衛福部發散，龐一鳴舉例，考試院發送的國考電子證書，就是以這個概念實作。甚至他認為，這個經大規模驗證的數位證明方法，未來還能用於公家機關、保險理賠的證明文件製作。</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></strong></p> <p><span style="color: rgb(51, 153, 255);"><strong>衛福部資訊處處長龐一鳴</strong></span></p> <p>學歷：臺灣大學公共衛生研究所畢業</p> <p>經歷：1996年進入中央健保局醫管處，擔任支付標準科科長，3年後轉至健保局醫審小組，執行審查計畫工作，之後陸續於健保局擔任醫管處秘書、醫審暨藥材小組副主任，也分別於中央健保署南區業務組和醫務管理組擔任組長。2017年進入衛生福利部，擔任資訊處處長至今</p> <p><span style="color:#ffffff;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>衛生福利部</strong></span></p> <p>地址：臺北市南港區忠孝東路6段488號</p> <p>成立時間：1928年成立內政部衛生司，經十次改組於2013年升格為衛生福利部</p> <p>主要業務：整合社會福利及衛生醫療資源，針對福利服務輸送、關懷弱勢、醫療照護、全民健保、健康促進、疫病防治、食品藥物管理等議題，來擬定整合連續性之公共政策</p> <p>員工數：約1萬2千人</p> <p>部長：薛瑞元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管姓名：龐一鳴</p> <p>直屬主管：薛瑞元</p> <p>資訊部門人數：24人</p> <p>資訊部門分工：共4科，包括基礎設施及資訊安全、共用性資訊系統及服務、公衛醫療資訊系統、社會行政資訊系統</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2008年：推動電子病歷計畫</p> <p>2012年：辦理健康雲計畫</p> <p>2013年：持續辦理醫院電子病歷和互通補助計畫；建置健保雲端藥歷系統</p> <p>2015年：建置健保醫療資訊雲端查詢系統</p> <p>2017年：推動醫療雲2.0計畫</p> <p>2018年：建置醫療資安資訊分享暨分析中心H-ISAC；建長照資訊系統</p> <p>2019年：強化醫療資安聯防機制</p> <p>2020年：擴大遠距醫療適用範圍；推動醫事人員行動憑證</p> <p>2021年：規畫將電子病歷交換中心改為FHIR架構；臺灣數位健康證明正式加入歐盟</p> <p>2022年：數位健康證明擴充FHIR格式；開放電子病歷上雲；成立智慧健康雲專案辦公室，推動FHIR應用</p> <p>2023年：成立次世代HIS平臺專案辦公室；建置數位同意書平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wei_fu_bu_cio-2p-ruo_pu_-960.jpg" width="960" height="420" alt="" title="衛福部資訊處處長龐一鳴　（攝影／洪政偉）" /></div></div></div>
2023/6/9 00:00作者王若樸https://www.ithome.com.tw/people/157241
受《快思慢想》啟發，Google新技術使Bard數學能力上升30％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言模型擁有強大的語言處理能力，但是在數學與推理能力仍有很大的進步空間，因此大型語言模型開發商現在的研究目標之一，便是提升模型的邏輯和推理能力。Google的新研究便是使用一種稱為<a href="https://blog.google/technology/ai/bard-improved-reasoning-google-sheets-export/" target="_blank">隱式程式碼執行（Implicit Code Execution）</a>的技術，來強化語言模型的數學運算能力。</p> <p>大型語言模型在收到提示詞後，便會預測接下來可能出現的單詞生成回應，語言模型在語言和創造性任務能力很好，但是在推理和數學領域能力卻很弱，研究人員提到，要讓大型語言模型能夠處理進階推理和邏輯問題，不能只仰賴原本大型語言模型的輸出。</p> <p>Google新方法的靈感，來自諾貝爾經濟學獎得主丹尼爾康納曼的知名著作《快思慢想》，書中將人類思維分成系統一與系統二兩個模式，系統一處理直覺且情緒化的思考，系統二則是具邏輯的理性思考。</p> <p>研究人員表示，原本大型語言模型的輸出，接近人類系統一的思考，可以快速生成文字，但沒有經過深入思考，因此常會生成一些意料之外的輸出。系統一的思考沒有辦法解決數學問題，數學問題更需要公式化，遵循正確步驟推理和計算，所以需要仰賴系統二的思考。</p> <p>而新添加的隱式程式碼執行則是扮演系統二思考的角色，讓Bard能夠同時擁有系統一和系統二的思考能力。Bard現在會辨識可能需要邏輯思考的指令詞，並在後臺執行計算程式碼，以產生更精確的輸出。根據Google內部的測試，在加入隱式程式碼執行技術後，Bard在計算和數學的回答準確性提高30％。</p> <p>因此Bard現在可以計算出像是15683615的質因數、儲蓄成長率或是反轉英文單字字母排序等問題，但研究人員提到，Bard還有很多改進的空間，像是Bard現在可能不會產生程式碼解決問題，也可能產生錯誤的程式碼，或是不會在回應中包含已執行的程式碼。</p> <p>OpenAI最近也發表了一篇新的研究論文，目的是要提升大型語言模型的推理能力，使其能夠更好地解決數學領域的問題。OpenAI使用一種稱為<a href="https://www.ithome.com.tw/news/157161">過程監督</a>的訓練方法，透過獎勵過程中每個正確步驟的推理，驅使模型人工遵循人類的思考模式，產生更可靠的結果。OpenAI的新方法在MATH測試集中試驗，顯示過程監督能使模型解決接近80％的測試集問題。</p> </div></div></div>
2023/6/8 22:29作者李建興https://www.ithome.com.tw/news/157242
【資安日報】6月8日，企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>入侵企業的檔案共享系統並進行檔案加密的攻擊行動，最近出現新的手法！有資安業者揭露一波針對SharePoint Online而來的勒索軟體0mega攻擊，駭客先是挾持Microsoft 365的全域管理員帳號（Global Admin Account），然後建立高權限帳號來下載、刪除檔案，再留下勒索訊息。</p> <p>MFT檔案共享系統MOVEit Transfer零時差漏洞攻擊傳出駭客開始向受害組織進行勒索，並要求依照指示限期聯繫、談妥價碼及付款，否則就要公開竊得的資料。但受害規模仍不得而知。</p> <p>開放重新導向漏洞（Open Redirect Vulnerability）的情況也值得我們留意。有研究人員發現美國太空總署（NASA）的網站出現此類漏洞，但在今年1月就有人通報，截至5月仍未修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.obsidiansecurity.com/blog/saas-ransomware-observed-sharepoint-microsoft-365/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體0mega鎖定企業的SharePoint Online發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0mega-Untitled.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0mega-Untitled.png" style="width: 300px; float: right;" /></a>資安業者Obsidian揭露鎖定微軟SharePoint Online的勒索軟體攻擊，相較於過往的攻擊，最新的這波0mega行動相當不同，因為對方並非先入侵目標組織的使用者電腦，或是侵入被映射的磁碟、再加密要同步到SharePoint Online的檔案，而是鎖定未啟用雙因素驗證（2FA）、公開的微軟全域系統管理員服務帳號（Global Admin Account）進行挾持。</p> <p>攻擊者會在受害組織的AD加入名為0mega的使用者帳號，此帳號被上述遭到入侵的管理員帳號授予多項Microsoft 365特殊權限，包含全域管理員、SharePoint管理員、Exchange管理員、Teams管理員。</p> <p>在其中一起攻擊行動裡，駭客利用這個名稱的帳號，刪除原本的管理員帳號，並且在2個小時之內，在SharePoint Online執行逾200次的檔案刪除作業，而刪除這些資料之前，駭客也藉由NPM套件SPPull下載到租用的VPS主機，然後上傳PREVENT-LEAKAGE.txt勒索訊息。</p> <p><a href="https://therecord.media/clop-extortion-hundreds-organizations-moveit-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">因MOVEit Transfer漏洞而遭勒索軟體Clop攻擊的組織，可能有數百家之多</span></strong></a></p> <p>微軟於6月5日指出勒索軟體駭客Clop是MOVEit Transfer零時差漏洞攻擊的主謀，該組織也於隔日向資安新聞網站Bleeping Computer表明是他們所為，現在傳出駭客開始向受害組織進行勒索。</p> <p>根據資安新聞網站The Record的報導，Clop於6月7日早上發出勒索信，要求受害組織依照指示，在6月12日（後來改成14日）前聯繫他們，該組織將會提供部分資料進行驗證，且要在3天講定價碼，否則資料將在7天後公開。值得留意的是，這些駭客聲稱有數百家企業受害，但究竟實際規模為何？仍不得而知。</p> <p><a href="https://cybernews.com/security/nasa-astrobiology-website-flaw/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國太空總署網站出現開放重新導向漏洞，可被用於將用戶導引至惡意網站</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員發現，美國太空總署（NASA）的網站出現開放重新導向漏洞（Open Redirect Vulnerability），而有可能被駭客用於假借該機構的名義，將使用者重新導引至惡意網站。</p> <p>研究人員指出，他們並非首度發現相關漏洞的人──在1月14日已有漏洞獎金獵人通報此事，但到了5月這項漏洞仍舊存在。不過，目前無法確認上述漏洞是否遭到利用。</p> <p><a href="https://adlumin.com/post/powerdrop-a-new-insidious-powershell-script-for-command-and-control-attacks-targets-u-s-aerospace-defense-industry/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PowerShell惡意軟體PowerDrop鎖定美國航空產業而來</span></strong></a></p> <p>資安業者Adlumin揭露名為PowerDrop的PowerShell惡意程式，駭客鎖定美國的太空產業而來，透過PowerShell和WMI，在受害組織的網路裡部署RAT木馬程式。</p> <p>研究人員指出，雖然他們懷疑發動攻擊的是國家級駭客，但根據駭客所使用的程式碼，他們不只使用APT駭客的手法，也有部分運用現成惡意軟體的情況。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://kb.vmware.com/s/article/92684"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware網路分析工具出現重大漏洞</span></strong></a></p> <p>VMware於6月7日針對旗下網路分析系統Aria Operations for Networks（原名vRealize Network Insight）發布資安公告，總共修補3個漏洞，分別為命令注入漏洞CVE-2023-20887、RCE漏洞CVE-2023-20888、資訊洩露漏洞CVE-2023-20889，CVSS風險評分依序為9.8、9.1、8.8。</p> <p>值得留意的是，這些漏洞沒有其他的緩解措施，該公司呼籲用戶要儘速套用修補程式。</p> <p><a href="https://eaton-works.com/2023/06/06/honda-ecommerce-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">本田汽車集團API弱點曝露經銷商資料及內部文件</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/honda-full.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/honda-full.png" style="width: 300px; float: right;" /></a>研究人員Eaton Zveare在本田汽車集團的電子商務網站裡，發現重設密碼的API存在漏洞，而能藉由該漏洞重設任意帳號的密碼，存取該集團旗下的動力設備、船隻、花園事業部門的經銷商資料。</p> <p>研究人員依循上述的弱點，能夠隨意修改該公司旗下1,570個經銷商網站內容，變更3,588個經銷商帳號的密碼，並存取經銷商電子郵件1,090封，以及顧客電子郵件（內含完整姓名）11,034封，此外，研究人員還能存取該集團的財務報告，以及部分經銷商的Stripe、PayPal、Authorize.net的金鑰。</p> <p>研究人員於3月16日進行通報，本田於4月3日修復完成，不過，由於該公司沒有經營漏洞懸賞專案，這名研究人員並未得到獎勵。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/157209"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google Cloud、Workspace開始支援Passkey無密碼登入</span></strong></a></p> <p>6月6日Google宣布擴大Passkey支援範圍，用戶可以此種無密碼的方式登入Google Workspace和Google Cloud帳戶。該公司提到，他們是第一個支援通行密鑰登入的公有雲服務供應商。根據Google早期採用的資料顯示，使用Passkey的登入速度是密碼的兩倍，錯誤率更是降低4倍。</p> <p><a href="https://www.ithome.com.tw/news/157236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理解決方案業者1Password推出瀏覽器Passkey擴充套件公開測試版</span></strong></a></p> <p>密碼管理解決方案業者1Password推出瀏覽器的Passkey支援套件測試版本，讓使用者上網的過程可透過這類身分驗證機制來存取各式網路服務。此擴充套件可支援Chrome、Firefox、Edge、Brave、Safari瀏覽器，並能在執行Windows、macOS、Linux作業系統的電腦上運作。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://start.paloaltonetworks.com/unit-42-network-threat-trends-report-malware-2023.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">ChatGPT爆紅引發相關資安疑慮！資安業者Palo Alto Networks半年內看到相關域名註冊增178%、每天有118個惡意URL</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/barracuda-says-hacked-esg-appliances-must-be-replaced-immediately/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Barracuda表示遭到零時差漏洞攻擊的郵件安全閘道設備應立即更換</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ac-csc-privesc-wx4U4Kw"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科VPN用戶端程式出現漏洞，若不修補恐被用於取得SYSTEM權限</span></span></strong></a></p> <p><a href="https://cert.gov.ua/article/4818341"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體LonePage鎖定烏克蘭政府機關及媒體而來</span></span></strong></a></p> <p><a href="https://www.justice.gov/opa/pr/ceo-dozens-companies-pleads-guilty-massive-scheme-traffic-fraudulent-and-counterfeit-cisco"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">涉嫌販賣冒牌思科網路設備的人士遭起訴，不法所得逾1億美元</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157227">【6月7日】 Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157208">【6月6日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157192">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</a></strong></p> </div></div></div>
2023/6/8 17:18作者周峻佑https://www.ithome.com.tw/news/157244
Google Cloud生成性AI服務讓企業自建搜尋資料的聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/enterprise-search-on-gen-app-builder/" target="_blank">Google Cloud宣布</a>一項用以開發搜尋資料機器人的服務，名為Enterprise Search on Gen App Builder，可讓企業搜尋內部資料。Google Cloud並宣布，美國知名醫療院所Mayo Clinic將採用這項服務，以支援研究及診療用途。</p> <p>名為生成性AI App Builder上的企業搜尋（Enterprise Search on Gen App Builder）服務是融合搜尋及生成性AI的企業雲端方案。以生成性AI 技術，像是聊天機器人應用於搜尋，可克服傳統企業搜尋下查詢會出現大量因模式匹配（pattern matching）而生的連結，以及相關答案需要人力檢查的缺點。</p> <p>但是對企業而言，整合性AI和搜尋結合仍然有擴充性及穩定性不足的問題。例如將長篇文件切成區塊（chunk）餵進AI助理的搜尋系統，往往無法擴充及支援不同資料源，還會面臨資料格式不對、資料錯誤、資料外洩的挑戰。此外，企業還需要有整合基礎模型及嵌入資料（embeddings data）及測試的能力。之後還需考慮，開發出來的功能完整性及穩定性，以及模型輸出答案的品質問題。Google說，若企業未能將模型輸出在真實世界「落地」（ground），即與特定環境產生連結，則輸出的結果可能會不相關甚至出現錯誤、幻覺。</p> <p>Enterprise Search on Gen App Builder讓開發人員可以開發能落實於特定資料源的搜尋引擎，提高搜尋準確性及相關性，且可處理多模資料如圖片、影像，還能讓用戶控制答案輸出。它允許多回合對話，讓使用者能連續詢問、進一步追查。利用Google Cloud的雲端基礎架構，則可解決效能、擴充性、安全性等需求。透過簡化企業搜尋的開發，Google Cloud 宣稱能協助用戶提升效率，讓用戶專注於核心作業。</p> <p><a href="https://www.prnewswire.com/news-releases/google-cloud-collaborates-with-mayo-clinic-to-transform-healthcare-with-generative-ai-301844437.html" target="_blank">Google本周也宣布</a>，美國知名醫療體系Mayo Clinic 將採用Enterprise Search on Gen App Builder。這是Google Cloud和Mayo Clinic以生成性AI促進醫療轉型合作的第一階段，利用這服務，用戶可以在幾分鐘內自建搜尋資訊用的聊天機器人和語義搜尋應用程式，且幾乎不需要寫什麼程式，加速醫師及研究人員搜尋醫院內各種格式的文件，如病歷、研究論文、臨床指引和資料庫作為研究、診斷及治療之用，以促進病患健康。Google Cloud同時也宣布這項服務已符合HIPAA標準。</p> <p>Google Cloud並說會和Mayo Clinic及其他醫療機構合作，深化Enterprise Search on Gen App Builder在醫療環境的應用場景。</p> </div></div></div>
2023/6/8 15:07作者林妍溱https://www.ithome.com.tw/news/157243
1Password公測Web版通行密鑰方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼年初的預告後，<a href="https://blog.1password.com/save-sign-in-passkeys-1password/" target="_blank">密碼管理服務業者1Password本周宣布</a>可適用於各大瀏覽器的通行密鑰（passkey）方案以公開測試版上線。</p> <p>通行密鑰（passkey）是一組儲存在裝置中的獨特數位身分，在登入支援的網站或App時，通行密鑰結合裝置上的生物辨識特徵產生的安全程式碼，和網站、App交換進行驗證即可完成，用戶不必記憶密碼，不但使用容易、難以竊取或破解，使用起來也更快速。1Password去年加入FIDO聯盟，<a href="https://www.ithome.com.tw/news/155482" target="_blank">今年初宣布將轉型</a>，讓用戶以通行密鑰登入網站或應用服務。<a href="https://www.ithome.com.tw/news/156957" target="_blank">上個月1Password推出</a>可整合企業自有應用程式或網站的Passage方案，本周再推出Web版通行密鑰方案，這是該公司的瀏覽器外掛程式，讓用戶可儲存與分享通行密鑰，並用以登入線上服務。1Password說明，使用通行密鑰可加速登入，它引用Google研究說明，通行密鑰登入可比密碼登入少一半時間。</p> <p>但該公司也強調其方案的特色，包括當用戶同時儲存多個密鑰及通行密鑰時，它可以正確以對的認證資訊將用戶登入。針對共用帳號服務1Password外掛服務提供的共享儲存庫，方便用戶和家人朋友共同使用一組通行密鑰。此外，相較於Google Password Manager或蘋果iCloud Keychain只支援Android或iOS平臺的登入，1Password則允許用戶跨平臺及跨瀏覽器同步通行密鑰。</p> <p>1Password外掛包含一組目錄，列出支援通行密鑰的網站及服務。點入想去的網站及服務後，循說明指示建立帳號，並把新增的通行密鑰儲存在1Password（或其他）外掛中。在已有帳號的網站中，則應找到建立通行密鑰登入的入口重覆前一動作。1Password外掛包含名為Watchtower的功能，可在用戶想要的網站及服務開始支援通行密鑰時通知用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0608-Save%20and%20sign%20in%20with%20passkeys%20using%201Password%20in%20the%20browser-600-V2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_1Password</span></span></p> <p><a href="https://support.1password.com/betas/" target="_blank">1Password Web版</a>支援主流桌機版瀏覽器，包括Chrome、Firefox、Edge、Brave及Safari，現在用戶就可以下載安裝。業者也更新了Mac、Windows、Linux及Android、iOS版App以支援通行密鑰，同時預告，7月起讓用戶以通行密鑰取代主密碼（master password）。</p> <p>建好後，下次再造訪該網站時這外掛就會以通行密鑰將用戶登入。萬一用戶之後不想用了，需先從瀏覽器移除1Password外掛，再從瀏覽器安裝最新正式版1Password。</p> <p>1Password競爭者Dashlane在3月及上周，也分別在<a href="https://www.dashlane.com/blog/dashlane-passkey-support-android" target="_blank">Android</a>及<a href="https://www.dashlane.com/blog/dashlane-passkey-support-ios" target="_blank">iOS版</a>App支援通行密鑰。</p> </div></div></div>
2023/6/8 11:22作者林妍溱https://www.ithome.com.tw/news/157236
Wordpress Jetpack AI助理可幫忙寫部落格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wordpress.com/blog/2023/06/06/introducing-jetpack-ai-assistant/" target="_blank">內容管理平臺Wordpress宣布</a>提供AI助理Jetpack，可協助企業或組織用戶撰寫網站文章。</p> <p>Jetpack AI助理為類似ChatGPT的聊天機器人，出現在Wordpress的功能表單，用戶叫出後在提示中輸入自然語言即可產出內容。例如用戶在提示列輸入「撰寫關於日本文化和飲食的部落格」、「撰寫東京必去目的地清單」或是列出「製作5大貨幣兌日圓匯率表單」，Jetpack AI助理即可產出詳細部落格文章、條列要點或表格。它還能依要求建議標題，即時訂正拼字及文法、或根據目標讀者調整語氣。此外，它還支援12種語言翻譯，包括英文、中文、法、德、西、葡、日、韓、阿拉拍、印度及俄語都在支援之列。</p> <p>Jetpack AI助理將提供所有Wordpress.com客戶免費使用「一段時間」。<a href="https://techcrunch.com/2023/06/07/automattic-launches-an-ai-writing-assistant-for-wordpress/" target="_blank">《Techcrunch》</a>報導，企業或組織用戶可免費發送20次要求，之後就必須支付每月10美元。</p> <p>Wordpress這項服務目前市場上也已有類似的AI服務。如Notion、<a href="https://www.ithome.com.tw/news/155876" target="_blank">Grammarly</a>都提供筆記或文法/拼字檢查的AI工具，<a href="https://www.ithome.com.tw/news/157080" target="_blank">Google則提供</a>智慧筆記AI助理Tailwind。</p> </div></div></div>
2023/6/8 11:56作者林妍溱https://www.ithome.com.tw/news/157237
【資安月報】2023年5月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年5月的資安新聞中，有兩大議題成為焦點，一是國內資安威脅現況的揭露，另一是資料外洩與電信詐騙。</p> <p>在近年國內資安威脅現況的揭露方面，以iThome電腦報週刊第1129期公布的資安大調查結果而言，顯示了2022臺灣企業資安災情，當中有幾項數據值得關注，包括：去年資安事件超過50次以上的企業比例為23.4%，其中以醫療業、服務業的比例最高，分別為26.7%及26.2%，再從各產業平均遭遇的資安事故數量來看，則以服務業者的18.8次最高，高科技製造業的17.3次之。此外，整體企業平均要6天才能發先自己遭駭，更得花上近5天才能復原。</p> <p>本月有三起有關臺灣的攻擊事件揭露，同樣受注目。包括：Check Point在5月4日揭露駭客打造冒牌國內的遠通電收ETC、越南大型銀行VPBank NEO的App，並帶有FluHorse安卓木馬程式的威脅；5月10日臺灣媒體揭露法務部調查局正在偵辦企業營業秘密事件，有一位曾任職台達電與飛宏科技的高階主管竊取公司充電系統關鍵機密文件，並帶槍投靠中國公司；資安業者Trellix在5月19日揭露近幾個月中國對於臺灣的網路攻擊明顯增加，並且是廣泛針對各種產業攻擊，不同於平時攻擊偏重IT、製造業與物流業，同時指出這些惡意軟體攻擊包括PlugX、Kryptik、Zmutzy，以及Formbook等。</p> <p>此外，在我們重新盤點這一個月的臺灣重大資安事件時，新發現國內輪胎大廠<a href="https://s4.itho.me/sites/default/files/images/2023-06-04_135828.jpg">「正新輪胎」在5月30日發布資安事件重大訊息</a>，說明旗下子公司Cheng Shin Rubber USA部份資訊系統遭受駭客網路攻擊。</p> <p>在資料外洩與電信詐騙方面，事實上，這類事件存在多年，近兩三個月更是頻繁爆發，到了5月又有統聯客運發生這類事故。如今政府再次祭出新的行動，包括：行政院陸續通過「打詐5法」（中華民國刑法、人口販運防制法、個人資料保護法、洗錢防制法、證券投資信託及顧問法）修正草案，並頒布打擊詐欺策略行動綱領1.5版，而在個資法最新修正中，重大或屆期未改善者，得按次開罰15萬至最高1,500萬元的罰鍰，而在5月30日，數位發展部數位發展署也公告，針對限期未改正的蝦皮與誠品開罰，而旋轉拍賣因已配合改正未開罰。</p> <p>談完上述威脅態勢，本月還有一場重要資安活動－－那就是iThome舉辦的CYBERSEC 2023臺灣資安大會，期間亦有國內外專家在臺分享了網路威脅現況。例如，Google TAG小組揭露烏克蘭戰爭背後的網路威脅態勢，俄羅斯廣泛的網路攻擊行動使更多國家也成目標；趨勢科技資安研究員揭露專攻臺灣的Taidoor駭客組織擁有12種以上獨有後門，入侵手段層次多變難用自動化分析工具排除；以及警政署揭中國網軍攻臺演進轉變等。</p> <p>另一方面，以資安防護而言，在諸多最新資安議程之外，現場資安展覽不僅提供了個視資安解決方案，同時也呈現出重要的資安趨勢，包括生成式AI的進展、零信任的實施、XDR的運用，都是今年重要亮點，而CMMC、雲端安全、安全意識培訓、資安治理、供應鏈安全、AI安全等也都是關注重點。</p> <p>特別的是，隨著今年底前還有1,100家企業得依法設立資安主管，因此iThome針對臺灣資安大會製作特別報導，彙集多位專家們給未來這些資安長的上手指引，助其掌握企業資安防護和治理的關鍵。同時，近年國際間探討資安能力短缺可能為企業組織帶來額外風險，iThome在臺灣資安大會活動上亦發布了臺灣資安人才專刊，介紹臺灣與全球的資安人才需求現況，以及國內外資安人才框架的最新發展。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/156758"><span style="color: rgb(178, 34, 34);">【資安週報】2023年5月2日到5月5日</span></a></strong></h2> <p>在這一周的漏洞消息中，有4個主要焦點，首先是飯店、酒店、度假村等普遍使用的Oracle物業管理系統，有研究人員指出今年4月修補的一項漏洞嚴重性被低估，以及SLP協定漏洞恐被用於DDoS流量放大攻擊，影響平臺廣泛受注目，還有TBK Vision視訊監控畫面側錄設備傳出5年前的漏洞遭駭客鎖定攻擊的情況，並有思科針對伺服器管理系統Prime Collaboration Deployment的漏洞示警，預計5月釋出更新修補。</p> <p>在網路攻擊重要事件方面，有中國駭客組織Earth Longzhi利用新手法停用資安防護系統的揭露，由於臺灣、泰國、菲律賓是鎖定對象，因此備受關注；國際間還有塔吉克政府、電信、公共服務基礎設施遭網路攻擊的揭露，當地有499個系統遭設置後門，而其背後是俄羅斯駭客發動Paperbug網路間諜攻擊。</p> <p>在最新威脅焦點方面，假冒ChatGPT等AI工具散布惡意的情況有新的消息，光是今年3月就發現至少10個惡意軟體家族用此手法；AI技術複製聲音的威脅有竄升的跡象，如今正影響社會大眾，企業也須防範與BEC攻擊手法的混合。其他值得注意的消息，包括竊資軟體NodeStealer動向，惡意程式載入器AresLoader鎖定Citrix用戶情況，以及駭客使用雙重DLL測載手法試圖逃避資安檢測的揭露。</p> <p>另外值得警惕的資安消息是，本周傳出美國許多銀行、政府組織、醫療服務供應商使用Salesforce卻有錯誤配置情形，導致未經身分驗證的使用者也能存取資源。</p> <h2><strong><a href="https://www.ithome.com.tw/news/156852"><span style="color: rgb(178, 34, 34);">【資安週報】2023年5月8日到5月12日</span></a></strong></h2> <p>在這一周漏洞利用消息中，共有8漏洞需特別關注，其中2個要優先注意的是，微軟本月例行性安全性更新所修補的Win32k權限提升漏洞CVE-2023-29336，以及Ruckus Wireless修補旗下多款路由器產品的CSRF與RCE漏洞CVE-2023-25717，還有6個本周尚未提及，屬於早年已知漏洞，分別是Red Hat Polkit<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-3560">（CVE-2021-3560）</a>、Linux kernel（<a href="https://nvd.nist.gov/vuln/detail/CVE-2014-0196">CVE-2014-0196</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2010-3904">CVE-2010-3904</a>）、Jenkins UI（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2015-5317</a>）、Oracle Java SE與JRockit（<a href="https://nvd.nist.gov/vuln/detail/CVE-2015-5317">CVE-2016-3427</a>）、Apache Tomcat（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-8735">CVE-2016-8735</a>）。</p> <p>在威脅焦點新聞事件與趨勢方面，以微星3月遭駭事件波及Intel開機安全機制BootGuard最受矚目，以及工控資安業者Dragos揭露自身遭勒索軟體意圖攻擊但未被得逞的狀況，還有自從勒索軟體Babuk原始碼遭公布後，有研究人員發現，近期不少勒索組織因為自身不擅長在Linux平臺開發惡意程式，而選擇使用現有的原始碼加以修改。</p> <p>在國內方面，iThome主辦的2023 CYBERSEC臺灣資安大會於本周舉行，今年持續有多位世界知名資安領袖與專家在臺發表主題演說，提供國內產業更多最新資安動態，包括美國前國土安全部長Janet Napolitano、Google威脅分析小組（TAG）負責人Shane Huntley、Cyber Defense Matrix發明人Sounil Yu，以及趨勢科技首席技術策略長David Chow、Fortinet資安策略長Derek Manky等，以及現場共有二百多場演講的專業資安會議，加上大會活動現場的資安展覽與Cyber Talent資安人才展區，整場共吸引超過1萬8千人參與，再創歷年之最。同時，iThome 2023資安大調查也在本周出爐，揭露來自國內兩千大企業最新調查的資安災情、資安投資動向。</p> <h2><strong><a href="https://www.ithome.com.tw/news/156977"><span style="color: rgb(178, 34, 34);">【資安週報】2023年5月15日到5月19日</span></a></strong></h2> <p>在這一週的漏洞消息中，以蘋果揭露修補3個WebKit零時差漏洞成為最大焦點，除了影響廣泛，並且都已有遭鎖定利用情況。此外，我們在盤點漏洞消息時，新注意到Samsung裝置的漏洞（CVE-2023-21492），並且還有兩個Cisco早年的已知漏洞(CVE-2016-6415、CVE-2004-1464），也都確認遭成功利用情形需優先關注。</p> <p>其他值得關注的新漏洞修補動向，包括：Cisco、KeePass，以及物聯網與工控相關有Teltonika Networks、Wemo Mini、研華、Rockwell Automation的更新修補釋出。</p> <p>在威脅態勢與攻擊焦點方面，以勒索軟體新動向受矚目，包括BianLian近期攻擊態勢的揭露，以及MalasLocker鎖定郵件伺服器Zimbra，CheckMate鎖定SMB檔案共用協定的情形，而利用Babuk原始碼打造勒索軟體的狀況，也持續有資安業者揭露相關事件。其他可留意的威脅活動與事件，包括：駭客利用Go語言開發的Cobalt Strike，以及MerDoor的後門程式的揭露，以及中國駭客在TP-Link路由器植入惡意程式並鎖定歐盟外交機關攻擊的情形。</p> <p>至於國內方面，本週有多起資安事件引發關注，包括計程車派遣服務Yoxi公告遭帳號填充攻擊，誠品外洩個資問題又成焦點，統聯客運客戶接到詐騙電話疑資料外洩而緊急關閉線上訂票，以及財政部電子發票平臺企業帳號竟採共通預設密碼的情形被揭露，另外，還有最新一起事件是微笑單車，他們<a href="https://www.youbike.com.tw/region/main/news/service/6466fa1bc14d3a099e376943/">在19日(週五)公告</a>其官網遭駭客網路攻擊，<a href="https://www.dot.gov.taipei/News_Content.aspx?n=D739A9F6B5C0AB95&sms=72544237BBE4C5F6&s=2CA9B84D5AEDB95F">臺北市政府交通局也在同日傍晚七點公告</a>YouBike系統遭攻擊，並指出預估全國約有2.1萬會員交易資料被取得。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157074"><span style="color: rgb(178, 34, 34);">【資安週報】2023年5月22日到5月26日</span></a></strong></h2> <p>在這一週的漏洞消息中，以Barracuda揭露修補郵件安全閘道CVE-2023-2868漏洞最受關注，已遭零時差漏洞攻擊，上周提及蘋果修補已遭攻擊的三個零時差漏洞，本週CISA也將之列入已知漏洞利用清單。其他值得關注的漏洞修補消息，包括GitLab重大漏洞修補、應用程式框架Expo的OAuth漏洞修補、D-Link網路管理系統漏洞修補，以及Zyxel防火牆設備在23日遭遇大規模的記憶體緩衝區溢位攻擊，因而呼籲儘速升級韌體的消息。</p> <p>在全球威脅活動方面，有三起資安業者揭露的攻擊活動受矚目，首要焦點是，中國駭客組織Volt Typhoon鎖定美國關島（Guam）重大基礎設施攻擊的揭露最受關注，微軟並提供防護建議，後續中國外交部則否認，以及伊朗駭客組織TA456針對以色列航運、物流、金融服務領域網站植入惡意JavaScript指令碼的揭露，還有惡意驅動程式Wintapix近兩年鎖定中東多國攻擊的揭露。</p> <p>在威脅態勢方面，以PyPI暫停接受新用戶與專案最受關注，原因是近期發現大量惡意使用者與惡意專案，已超出管理者處理能量。還有一些威脅狀況可留意，包括：殭屍網路Mirai變種鎖定事件記錄分析系統漏洞、惡意軟體CosmicEnergy鎖定電力供應商工控系統，以及惡意軟體Legion鎖定SSH伺服器與AWS帳密的揭露。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157179"><span style="color: rgb(178, 34, 34);">【資安週報】2023年5月29日到6月2日</span></a></strong></h2> <p>在這一周的漏洞消息中，有兩個漏洞利用情形需優先關注，包括Progress旗下MFT檔案共享系統MOVEit Transfer產品的SQL Injection漏洞CVE-2023-34362，已遭零時差漏洞攻擊，以及Zyxel在4月底修補旗下多款防火牆產品的OS Command Injection漏洞CVE-2023-28771，確認已有攻擊者針對此已知漏洞發動攻擊。另一漏洞關注焦點在於，有韌體安全業者警告技嘉主機板軟體更新機制不安全、存有供應鏈攻擊風險，後續我們整理這項消息時，<a href="https://www.gigabyte.com/Press/News/2091">技嘉在6月1日已宣布釋出新版BIOS</a>，增加簽名驗證與權限存取限制的增強保護，並呼籲用戶盡速更新。</p> <p>在攻擊活動與威脅態勢方面，首要關注兩大焦點，包括商業間諜軟體Predator的攻擊行動，當中串連了Google於2022年5月公開的5個安卓零時差漏洞及利用Alien惡意程式，以及新型間諜軟體鎖定iOS濫用iMessage發動攻擊。其他受關注的攻擊活動，包括：微軟加密附件RPMSG遭濫用於釣魚郵件攻擊，Google開放頂級網域名稱ZIP後有攻擊者將惡意網頁偽冒為WinRAR畫面，以及加殼程式AceCryptor打包惡意軟體威脅態勢的揭露。</p> <p>其他重要資安消息，包括工控大廠ABB傳出5月上旬即遭勒索軟體Black Basta攻擊並導致營運中斷的事故，以及我國數位部首度針對民間個資保護不力業者做出裁罰，主要是多次限期要求改善個資保護措施卻均未改善的蝦皮與誠品。</p> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3> </h3> <h3> </h3> <h3> </h3> </div></div></div>
2023/6/8 10:20作者羅正漢https://www.ithome.com.tw/news/157226
男子靠賣盜版思科設備進帳逾1億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/ceo-dozens-companies-pleads-guilty-massive-scheme-traffic-fraudulent-and-counterfeit-cisco" target="_blank">專門銷售山寨版思科設備的38歲美國男子Onur Aksoy在本周認罪了</a>，他坦承自中國與香港進口舊版或低階的思科設備，並將它們改造成看起來像全新的高階設備，透過各種通路出售給不知情的受害者，在2014年至2022年間進帳超過1億美元。</p> <p>根據法院文件，Aksoy經營了19家公司、15家Amazon商店及10家eBay商店（統稱為Pro Network Entities），以進口及銷售山寨版思科設備，其實這些設備並不完全是假冒的，它們通常是被出售或丟棄的低階思科設備，並由中國業者將它們改造成像是新的高階設備，包括安裝盜版的思科軟體及添加未經授權且不可靠的元件，還有一些元件是專門用來繞過思科的軟體授權及硬體驗證機制。</p> <p>此外，與Aksoy合作的中國業者還會仿冒思科的商標、貼紙、包裝及文件，讓這些山寨產品看起來就像真的一樣。</p> <p>可想而知，不知情的受害者在安裝這些山寨版思科設備之後，會經常出現效能、功能及安全上的問題，而Aksoy的客戶涵蓋了醫院、學校、政府機關及軍方。</p> <p>事實上，在2014年至2022年間，美國海關暨邊境保衛局（Customs and Borders Protection，CBP）便曾查獲180批從中國與香港運至Pro Network Entities的山寨思科產品，在這期間，Aksoy也曾收到來自思科的7封信件，要求他停止銷售仿冒品，一直到2021年7月，警方才搜查Aksoy的倉庫，扣押了1,156臺零售價格超過700萬美元的山寨版思科設備。</p> <p>Aksoy已經坦承與他人合謀銷售仿冒品，也認了郵件詐欺及電匯詐欺等罪名，並同意歸還1,500萬美元的非法收益，以及全額賠償受害者，Aksoy將面臨4~6.5年的牢獄之災，預計於今年11月宣判。</p> </div></div></div>
2023/6/8 10:34作者陳曉莉https://www.ithome.com.tw/news/157235
Apple推出Xcode 15 Beta，Swift增加巨集與SwiftData新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在WWDC發表了一系列開發者相關的新功能，除了最新的<a href="https://developer.apple.com/xcode/">Xcode 15 Beta</a>之外，Apple也發布了程式語言Swift新功能<a href="https://docs.swift.org/swift-book/documentation/the-swift-programming-language/macros/">巨集</a>（Macros），以及可以用於開發持久應用程式的<a href="https://developer.apple.com/documentation/SwiftData#Overview">SwiftData</a>。</p> <p>最新版本的Xcode應用程式更加小巧精美，在Mac App Store上容量縮小了50％，並且提供所有平臺模擬器Runtime。Xcode 15也強化了程式碼自動完成功能，協助開發者更快地編寫程式碼，Apple提到，Xcode 15因為使用經改良的編譯器，以及全新設計的連結器，針對Apple晶片的多核心架構最佳化，因此專案建置速度加快不少。</p> <p>開發語言Swift也有更新，加入了巨集（Macros）功能，可讓UI預覽功能Xcode Previews運作更順暢良好。Swift巨集減少了開發者手動編寫重複程式碼的麻煩，在編譯過程，Swift會先展開程式碼中的巨集，並且依一般程序建置程式碼。</p> <p>Xcode Previews是一個由Apple提供的工具，可在不執行整個應用程式的情況下，供開發者即時預覽和互動調整SwiftUI、UIKit與AppKit介面，從預覽視窗直接查看UI的改動。在Xcode 15中，開發者可以更容易地開發不同平臺和裝置的應用程式，Xcode 15提供預覽畫布，讓開發者能夠隨時確認UI的樣子。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0608-Swift%20macros-Xcode%2015%20Previews.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_蘋果</span></span></p> <p>Swift還添加了SwiftData功能，開發者可以透過宣告式程式碼簡單地持久性留存資料，透過一般的Swift程式碼，就可以查詢和過濾資料。只要簡單使用巨集語法，開發者可以快速編寫高效能且安全的程式碼，描述應用程式的模型層或是物件圖，對應用程式加入持久性（Persistence），官方提到，SwiftData不只可以持久化本地創建的內容，也能夠用來快取來自遠端網頁服務的資料，在應用程式提供有限的離線功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-SwiftData.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>由於SwiftData使用Core Data儲存架構，可說是Swift版的Apple Core Data，因此開發者可以在相同底層儲存的應用程式，選擇使用SwiftData和Core Data，Xcode則會自動將Core Data模型轉換為SwiftData。</p> </div></div></div>
2023/6/8 08:53作者李建興https://www.ithome.com.tw/news/157232
【資安日報】6月7日，Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟的雲端郵件服務Outlook.com傳出從週一（6月5日）發生服務中斷的現象，導致用戶無法收發信而怨聲載道，但為何會出現這樣的情況？微軟並未對服務中斷的原因提出說明，但有駭客組織聲稱，這起事故是他們發起的DDoS攻擊所致。</p> <p>MFT檔案共享系統MOVEit Transfer零時差漏洞攻擊出現了新的進展，關於攻擊的駭客組織身分，微軟於6月5日曾指出是勒索軟體駭客Clop，隔日資安新聞網站Bleeping Computer收到Clop的說法，該組織表示就是他們所為，並透露這起攻擊的部分細節。</p> <p>Google針對上週才推出的Chrome 114發布新版程式，當中修補了零時差漏洞CVE-2023-3079，由於以Chromium為基礎打造的瀏覽器都可能受到影響，Edge、Brave、Vivaldi也都提供了修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/157216"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟雲端郵件服務Outlook.com傳出遭DDoS攻擊，導致服務中斷</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/outlook-web-down.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/outlook-web-down.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Cybernews、Bleeping Computer的報導，美東時間6月5日上午10時，微軟Outlook.com網站出現服務中斷的現象，估計有1.5萬名用戶受到影響。這樣的情況維持了半個小時後停止，但間隔1個小時後又再度發生，也同樣約莫停擺半個小時。這些服務中斷的情況也得到微軟證實，但該公司並未對發生的原因進行說明。</p> <p>對於攻擊者的身分，駭客組織Anonymous Sudan聲稱是他們發動的DDoS攻擊所致，原因是為了抗議美國政府干涉蘇丹的內政，決定針對大型的美國企業、政府與基礎設施展開攻擊。</p> <p>資料來源</p> <p>1. <a href="https://cybernews.com/security/microsoft-outlook-outage-anonymous-sudan/">https://cybernews.com/security/microsoft-outlook-outage-anonymous-sudan/</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/microsoft/outlookcom-hit-by-outages-as-hacktivists-claim-ddos-attacks/">https://www.bleepingcomputer.com/news/microsoft/outlookcom-hit-by-outages-as-hacktivists-claim-ddos-attacks/</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-responsibility-for-moveit-extortion-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop宣稱利用MOVEit Transfer零時差漏洞，且有組織表明受害</span></strong></a></p> <p>MFT檔案共享系統MOVEit Transfer出現零時差漏洞CVE-2023-34362的攻擊行動，對於攻擊者的身分，微軟點名是曾針對其他MFT系統發動大規模攻擊的勒索軟體駭客組織Clop，該組織本週承認是他們所為。</p> <p>Clop向資安新聞網站Bleeping Computer透露，他們從5月27日開始，也就是美國陣亡將士紀念日長假的期間，開始發動攻擊（與資安業者Mandiant公開的時間相同），但不願透露入侵此種檔案共享系統伺服器的數量，僅表示他們即將向受害組織進行勒索。比較特別的是，這次駭客強調不向政府機關、軍事單位、兒童醫院索討贖金，他們已將從這些組織竊得的資料刪除。然而，這項說法是否正確，該新聞網站表示無從判斷。</p> <p>針對這起零時差漏洞攻擊，有組織出面證實受害。英國薪資暨人力資源系統供應商Zellis向新聞網站透露他們的MOVEit Transfer伺服器遭駭，導致出現資料外洩的情況，少部分客戶受到波及，但該公司自行研發的軟體不受影響，其他的IT資產並未遭到入侵。</p> <p><a href="https://blogs.vmware.com/security/2023/06/carbon-blacks-truebot-detection.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體TureBot透過稽核軟體Netwrix重大漏洞感染受害電腦</span></strong></a></p> <p>資安業者VMware Carbon Black針對殭屍網路TrueBot的攻擊態勢提出警告，他們在5月看到相關攻擊行動大幅增加的現象，但在這一波攻擊當中，駭客並非如過往透過電子郵件來散布惡意軟體，而是利用稽核軟體Netwrix的漏洞（資安新聞網站指出可能是CVE-2022-31199）來入侵受害電腦，並以提供Chrome瀏覽器更新程式散布惡意軟體。</p> <p>此惡意軟體執行後會檢查電腦裡的防毒軟體及EDR系統，然後從特定的俄羅斯IP位址下載TrueBot，轉存LSASS資料、外洩資料，以及收集系統資訊與處理程序的清單。</p> <p><a href="https://blogs.blackberry.com/en/2023/05/cmdstealer-targets-portugal-peru-and-mexico"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴西駭客發動寄生攻擊，並搭配命令列指令碼竊取銀行帳戶</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cmdstealer-fig-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cmdstealer-fig-2.png" style="width: 300px; float: right;" /></a>資安業者BlackBerry揭露巴西駭客發起的攻擊行動Operation CMDStealer，駭客鎖定使用西班牙語與葡萄牙語的使用者下手，目標是攻擊墨西哥、秘魯、葡萄牙的網路銀行帳戶。</p> <p>而對於入侵受害的過程，駭客先是假借稅務或交通罰單的名義寄送釣魚郵件，其信件帶有HTML附件，一旦收信人開啟，就會根據收信人所在的國家或地區，自攻擊者的伺服器下載RAR檔案，此壓縮檔內含的CMD批次檔很大，容量介於1.34至1.37 MB，其內容包含了AutoIt指令碼及轉譯器，主要用途就是下載VBScript Encoded（VBE）指令碼，以竊取收信軟體Outlook及瀏覽器的帳密。</p> <p>在攻擊的過程中，駭客使用寄生攻擊（LOLBaS），並利用多種Windows內建的工具，而能繞過防毒軟體與EDR系統。</p> <p><a href="https://securelist.com/satacom-delivers-cryptocurrency-stealing-browser-extension/109807/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體下載器Satacom被用於散布竊取加密貨幣的瀏覽器擴充套件</span></strong></a></p> <p>資安業者卡巴斯基揭露惡意軟體下載器Satacom（亦稱Legion Loader）的攻擊行動，駭客鎖定巴西、阿爾及利亞、土耳其、越南、印尼、印度、埃及、墨西哥的加密貨幣投資人，攻擊Coinbase、Bybit、KuCoin、Huobi，以及幣安（Binance）用戶，目標是在受害者電腦的瀏覽器上部署惡意擴充套件，進而盜取比特幣。</p> <p>而對於駭客散布Satacom的途徑，研究人員指出是假借提供破解軟體為由。但駭客提供破解軟體的「安裝程式」解壓縮後高達450 MB，目的是迴避防毒軟體偵測。</p> <p>一旦使用者執行上述的可執行檔，電腦就會下載Satacom，而該下載器則會發出DNS請求，從C2下載能在Chromium瀏覽器運作的惡意擴充套件。此外，駭客也會竄改瀏覽器捷徑的命令參數，以便在受害者啟動瀏覽器時就執行惡意擴充套件。</p> <p><a href="https://www.uptycs.com/blog/cyclops-ransomware-stealer-combo"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Cyclops結合以Go語言打造的竊資軟體功能</span></strong></a></p> <p>資安業者Uptycs揭露名為Cyclops的勒索軟體，提供相關攻擊工具的賣家以服務型式銷售，並從買家發動攻擊得到的贖金抽成獲利。賣家聲稱，此勒索軟體能針對執行Windows、Linux、macOS作業系統的電腦發動攻擊，並提供竊資軟體，讓攻擊者能在加密檔案之前收集特定類型的資料，並回傳到駭客的伺服器，以便進行雙重勒索。研究人員指出，Cyclops的macOS版、Linux版勒索軟體元件，以及能在Windows、Linux電腦運作的竊資軟體，都是使用Go語言開發而成。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對Chrome 114修補零時差漏洞</span></strong></a></p> <p>Google於6月5日發布Chrome 114更新114.0.5735.106（macOS、Linux）、114.0.5735.110（Windows），修補2個漏洞CVE-2023-3079、CVE-2023-2136，其中最值得留意的是V8類型混淆漏洞CVE-2023-3079，原因是此高風險層級漏洞已出現攻擊行動，此為Google今年修補的第3個零時差漏洞。值得留意的是，該漏洞也影響其他以Chromium為基礎開發的瀏覽器，目前Edge、Brave、Vivaldi都提供了修補版本。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bitdefender.com/blog/labs/tens-of-thousands-of-compromised-android-apps-found-by-bitdefender-anomaly-detection-technology/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾6萬個廣告軟體假冒熱門應用程App破解版，鎖定安卓用戶而來</span></span></strong></a></p> <p><a href="https://adlumin.com/post/powerdrop-a-new-insidious-powershell-script-for-command-and-control-attacks-targets-u-s-aerospace-defense-industry/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">PowerShell惡意軟體PowerDrop鎖定美國航空產業而來</span></span></strong></a></p> <p><a href="https://keepass.info/news/n230603_2.54.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國人力資源系統業者Zellis因MOVEit Transfer遭到攻擊，波及BBC、英國航空</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/android-security-update-fixes-mali-gpu-flaw-exploited-by-spyware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布6月份Android例行更新，修補遭間諜軟體利用的Mali GPU漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/atomic-wallet-hacks-lead-to-over-35-million-in-crypto-stolen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣錢包Atomic Wallet遭駭，駭客轉走3,500萬美元加密貨幣</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157208">【6月6日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157192">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157174">【6月2日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞，傳出駭客藉此竊取組織機密資料</a></strong></p> </div></div></div>
2023/6/7 16:38作者周峻佑https://www.ithome.com.tw/news/157227
GovTech月報第19期：消防署防救災應變系統開始支援Line通報災情；澳門測試出入境以掃描QR Code驗證身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0509~0607)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">EMIC</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">Line</span></font></strong></p> <p><strong><span style="font-size:22px;">消防署更新防救災應變系統，現在可透過Line即時通報災情</span></strong></p> <p>進入颱風季，內政部消防署為加強防救災，近期更新防救災應變資訊系統(EMIC)，新增支援Line災情通報功能，當颱風、淹水、地震等災害發生時，各縣市防災應變人員可透過Line官方帳號第一時間通報災情。</p> <p>消防署在2015年首次打造EMIC防救災應變資訊系統，作為中央和地方政府災情通報、應變的共通平臺，當災害發生時，各縣市防救災人員到現場，將現場災情以電話或Line群組等方式回報到各縣市政府，再由專人處理上傳到EMIC系統，作為中央、地方政府防救災應變的依據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230526_112202-600.jpg" style="width: 600px; height: 450px;" /></p> <p>過去的災情通報，不少是利用Line群組，由現場人員回傳現場災情資訊、照片，再由各縣市政府專人處理，上傳至EMIC，近期內政部更新的EMIC，支援Line官方帳號通報災情，讓各地防災人員而現場，直接就能輸入資訊、上傳照片，完成向EMIC即時通報災情，提高災情通報的效率。</p> <p>除了EMIC支援Line官方帳號通報，消防署近期也推出防災e點通App，讓民眾可透過App，查詢附近地區災害告警，並支援英、日、韓、越等11國語言。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳門</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">身分驗證</span></font></strong></p> <p><span style="font-size:22px;"><strong>澳門政府正測試以QR Code作為民眾出入境的身分驗證方式</strong></span></p> <p>澳門政府傳出正在測試一個系統，可讓澳門地區民眾透過手機上的QR Code，通過掃描完成身分驗證，在出入境時代替實體身分證件。</p> <p>該系統允許澳門民眾利用Macau One Account App，產生一組QR Code，作為其個人的身分識別，驗證使用者的姓名、身分證號碼、姓名、出生日期、身分證件有效日期等等。媒體報導，澳門政府的計畫是，未來這個以QR Code建立的身分識別應用，將能夠在過境時，適用於自動及手動通道。</p> <p>儘管澳門政府仍在測試中，但推動該計畫的委員會表示，該身分應用已完成設計，測試結果顯示，利用掃描QR Code在邊境通關，速度要比傳統的通關方式快。在今年4月，澳門政府已通過一項法案，準備推動數位身分證。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部</span></font></strong></p> <p><span style="font-size:22px;"><strong>美國在夏威夷等機場測試新的身分驗證技術，可自動比對旅客身分證件及臉部特徵</strong></span></p> <p>美國運輸安全管理局TSA已在夏威夷檀香山等機場，部署新一代的憑證驗證技術（Credential Authentication Technology），稱為CAT-2，該技術可自動比對旅客的臉部特徵和他們所提出的身分證件，提高機場安全檢查效率。</p> <p>該技術已被部署於美國的25個機場，檀香山機場部署4個CAT-2，用以比對旅客提出的身分證件及本人的臉部特徵，並支援已在美國5個州發行的Mobile ID，透過新的驗證方式，旅客在某些情境下不再需要出示登機牌。</p> <p>由於可能涉及隱私，可能引發部分旅客的反彈，TSA表示，目前正在測試評估這項身分驗證技術，並強調比對旅客的臉部特徵資料不會被儲存下來。旅客可以自由選擇是否採用新的驗證技術。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font></strong></p> <p><strong><span style="font-size:22px;">臺南推廣農業使用無人機去除蟲害、施肥</span></strong></p> <p>繼安防、交通等領域使用無人機之後，臺南市政府再擴大無人機應用，近期在農業、環保已有成果，導入無人機在防治蟲害、施肥、流浪犬管制等等。</p> <p>臺南市農業局已利用無人機施放平腹小蜂卵片來防治荔枝椿象，從空中進入山區、廢耕果園等不易抵達的場所，或是嘗試以無人機施放稻草分解劑，協助去除已收割的大量稻草。臺南市府也利用無人機，結合空拍影像及AI辨識流浪犬數量，協助有關單位抓捕游盪的流浪犬控制數量。</p> <p>在其他領域方面，臺南市政府也在環境保護工作，利用無人機來分析露天燃燒潛勢熱區，或是在消防救災方面，也應用無人機勘災、火災救援、搜救等等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新加坡</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>新加坡和公有雲業者合作，加速公部門運用AI</strong></span></p> <p>新加坡政府為加速公部門導入AI，近期和國際公有雲業者合作，在其AI雲平臺協助之下，提公部門AI功能。</p> <p>該AI雲平臺包含GPU、AI開發工具、數據分析工具、AI模型訓練等等。此外，新加坡政府也將透過雲平臺取得第一方或第三方開發的AI模型，或是開源的AI模型。目前已有幾個新加坡政府機關開始採用，例如新加坡的政府科技局已利用AI雲平臺提供輔助性的聊天機器人，金融管理局則計畫利用AI雲平臺，用於防洗錢、監管。</p> <p>這個雲平臺預計於今年6月上線，並將託管於新加坡政府專用的本地雲端運算環境，除了提供工具，有鑑於AI人才缺乏，新加坡也和該公有雲業者合作，培養公務機關建立內部資料科學、AI專業，預計將向15萬名的公務人員進行培訓。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">橫須賀</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong><span style="font-family: 新細明體, "serif"; color: black; background-image: initial; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial;">日本橫須賀市用</span><span lang="EN-US" style="font-family: Arial, "sans-serif"; color: black; background-image: initial; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial;" xml:lang="EN-US">ChatGPT</span><span style="font-family: 新細明體, "serif"; color: black; background-image: initial; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial;">提高工作效率</span></strong></span></p> <p>日本政府及地方政府積極擁抱AI，除了日本政府召開AI戰略會議外，位於日本神奈川縣的橫須賀市試用ChatGPT一個月後，認為有助於提高行政作業系率，縮短工作時間。</p> <p>橫須賀市政府公務人員利用ChatGPT製作公告，製作會議紀錄摘要，編輯文件以避免印刷錯誤等等。橫須賀市政府估計，使用ChatGPT，每日工作時間約可減少10分鐘，該市希望使用ChatGPT可協助降低勞力成本，特別是在文書工作中。</p> <p>在人口縮減下，該市希望借助AI降低勞動力，但在導入ChatGPT的同時，市府為避免使用ChatGPT產生的機密資料外洩風險，禁止員工將涉及個資的資料輸入到ChatGPT使用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">冰島</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font></strong></p> <p><span style="font-size:22px;"><strong><span style="font-family: 新細明體, "serif"; color: black; background-image: initial; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial;">冰島開始評估利用低軌衛星為北極地區提供連網服務的可能性</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Satellite%20in%20Space-600.jpg" style="width: 600px; height: 338px;" /></p> <p>在今年初冰島政府與低軌衛星業者合作，在一棟政府大樓安裝衛星接收終端進行測試之後，冰島政府開始評估運用全球低軌道衛星通訊服務，來改善北極圈地區的連網服務。</p> <p>冰島計畫在3個月的試用期，測試評估全球低軌衛星通訊服務的連接性及應用潛力，再選擇無限期的擴展服務，包括地面、海上、空中的接收終端。冰島希望透過新的電信網路技術或全球衛星通訊技術改善當地居民的生活。此外，將低軌衛星通訊視為確保國家安全、連接彈性的手段之一。</p> <p>由於當地的地形氣候相當嚴苛，低溫加上火山地形，測試包括在用戶終端在-45到55度C的環境下運作情形，未來應用在邊境安全、救災、國土防禦、海上活動等等。</p> <p> </p> <p>圖片來源／OneWeb</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.日本政府發布生成式AI著作權規範</strong></p> <p><strong>2.阿拉伯聯合大公國與OpenAI執行長會面，討論如何以AI加速政府轉型</strong></p> <p>資料來源：iThome整理，2023年5月</p> </div></div></div>
2023/6/7 16:28作者蘇文彬https://www.ithome.com.tw/news/157221
蘋果開放所有人以Apple ID下載作業系統的開發者測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門觀察蘋果OTA（Over The Air）軟體更新進度的<a href="https://twitter.com/iswupdates/status/1666172861759860740?s=46&t=_KQgDSsEJFwLnfK4MB3igQ" target="_blank">iSoftware Updates本周發現</a>，蘋果已開放所有具備Apple ID的使用者下載各式作業系統的開發者測試版，這些版本過去只有付費參與蘋果開發者專案（Apple Developer Program）的開發人員才能存取。</p> <p>蘋果的開發者專案是該公司專為有興趣開發相容於蘋果裝置的程式或服務的開發者所打造的，每年只要繳交99美元就能存取各種作業系統的早期測試版、開發工具或Safari擴充程式等。</p> <p>其實先前蘋果即免費提供許多開發者服務，只要登入自己的Apple ID就可存取Xcode測試版、Xcode開發者工具、蘋果開發者論壇、回報臭蟲，以及在裝置上進行測試等，但並未涵蓋作業系統測試版，未參與蘋果開發者專案的開發人員，通常必須等到蘋果釋出公開測試版才能測試作業系統。</p> <p>不過，iSoftware Updates發現，<a href="https://developer.apple.com/support/compare-memberships/" target="_blank">蘋果近日更新了其開發者支援頁面</a>，將存取作業系統測試版的權限納入了免費服務中，而且應該是這幾天才變更的，因為根據<a href="https://web.archive.org/web/20230603104552/https://developer.apple.com/support/compare-memberships/" target="_blank">網際網路檔案館（Internet Archive）所儲存的網頁紀錄</a>，一直到今年的6月3日，蘋果都未免費提供作業系統測試版予開發者。</p> <p>事實上，不管是不是蘋果開發人員，就算只是一般的蘋果使用者，只要在<a href="https://developer.apple.com/" target="_blank">蘋果的開發者網頁</a>上以自己的Apple ID登入，就能下載蘋果甫於本周釋出的iOS 17 beta、iPadOS 17 beta、macOS 14 beta、watchOS 10 beta與tvOS 17 beta等原本僅限付費開發者使用的版本，而這些作業系統的公開測試版則預計於下個月出爐。</p> </div></div></div>
2023/6/7 14:31作者陳曉莉https://www.ithome.com.tw/news/157222
微軟推出全新C#開發工具包，強化VS Code解決方案管理與AI開發功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對VS Code的開發者推出新的<a href="https://devblogs.microsoft.com/visualstudio/announcing-csharp-dev-kit-for-visual-studio-code/">C#開發工具包</a>，其更新使用開源語言伺服器協定（LSP），在Linux、macOS和Windows等作業系統上，提供更高效能且可靠的工具環境。C#開發工具包由一組VS Code擴充套件組成，這組擴充套件協同運作，提供完整的C#編輯、人工智慧開發、解決方案管理和整合測試功能。</p> <p>C#開發工具包有三個主要元件組成，包含提供語言服務支援的C#擴充套件，而C# Dev Kit擴充套件則是以Visual Studio為基礎建置，提供解決方案管理、模板和測試探索與除錯功能，此外，該工具包還含有IntelliCode for C# Dev Kit擴充套件，在編輯器加入經強化的人工智慧開發功能。</p> <p>微軟提到，C# Dev Kit擴充套件新加入的解決方案資源管理器，基於Visual Studio設計，能夠和VS Code現有工作區搭配使用，可結構化呈現應用程式組成，讓開發者更簡單地集中管理專案，透過模板就能夠快速將新專案或是檔案添加到解決方案中，建置全部或是部分解決方案。</p> <p>在安裝C#開發工具包時，系統也會自動安裝IntelliCode for C# Dev Kit，微軟表示，新的IntelliCode超越原本C#擴充套件中的IntelliCode，現在人工智慧將依據開發者個人程式碼庫，提供整行程式碼完成以及星形標籤的建議，也會將最可能使用的內容，在C#專案的IntelliSense完成列表置頂。</p> <p>C#開發工具包支援開發者在各平臺編寫C#程式碼，由於C#開發工具包為VS Code擴充套件，因此可以在Linux、macOS、Windows，或是開發容器中處理C#專案，開發者甚至還能夠在GitHub Codespaces等雲端開發工具用到相同的功能。</p> <p>原本正在使用VS Code C#擴充套件的開發者，在安裝C#開發工具包後，C#擴充套件會被升級到與工具包相容的最新預發布版本。官方也提醒，因為C# Dev Kit部分功能建立在與Visual Studio的基礎之上，因此使用和Visual Studio相同的授權模型，個人、學術和開源開發用途免費，至於組織則需擁有Visual Studio Professional和Enterprise訂閱，或是在GitHub Codespaces中使用。</p> </div></div></div>
2023/6/7 13:43作者李建興https://www.ithome.com.tw/news/157220
蘋果買下輕量AR裝置供應商Mira
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.theverge.com/2023/6/6/23751350/apple-mira-ar-headset-startup" target="_blank">The Verge</a>》報導，蘋果已於近日悄悄買下專門生產輕量AR頭戴裝置的新創公司Mira。</p> <p>《The Verge》是引述Mira 執行長在Instagram（IG）的宣布及知情人士消息報導。本樁收購也獲得蘋果官方證實。這也是昨日WWDC 2023上，<a href="https://www.ithome.com.tw/news/157200" target="_blank">蘋果宣布</a>傳言已久的混合實境頭戴裝置Vision Pro後的最新AR/VR相關消息。</p> <p>創立於2016年的Mira總部位於洛杉磯，專門生產輕量AR頭戴裝置及軟體解決方案。一如許多VR/AR業者，該公司一開始也定位消費娛樂應用，但後來轉向需求更穩定的企業市場。Mira知名客戶包括美國軍方，如空軍一號、海軍，但更重要的合約來自任天堂。後者將Mira裝置用於日本主題樂園及洛杉磯的「瑪利歐賽車」遊戲區。</p> <p>報導引述Mira執行長暨創辦人Ben Taft在IG透露自己在蘋果的「下一篇章」。Mira公司連同Taft至少11名員工將加入蘋果。</p> <p>蘋果官方只以慣用說詞證實此事，表示該公司有時會收購一些小型公司，但並不會說明其意圖或計畫。</p> <p>蘋果Vision Pro公布後提供許多媒體測試，一般認為超越現有產品如Meta Quest。就VR/AR效果而言，Vision Pro展現高品質影像及真實、虛擬影像的完美混合。Vision Pro也強調輕量及穿戴舒適感。蘋果官方並未公布Vision Pro重量，但<a href="https://www.theverge.com/2023/6/5/23750003/apple-vision-pro-hands-on-the-best-headset-demo-ever" target="_blank">試用的記者表示</a>不到一磅（不到500公克），約等同頂級耳罩式耳機的重量。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-%20Apple%20Vision%20Pro-600(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> </div></div></div>
2023/6/7 10:54作者林妍溱https://www.ithome.com.tw/news/157217
前美政府官員在臺揭資安實務經驗，以成熟度框架與零信任架構出發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年各界關注零信任網路安全，不只科技大廠重視，多個國家與企業都在提倡與導入這項戰略，但很多人不知道該如何著手。而在5月2023年臺灣資安大會上，趨勢科技技術策略長David Chow特地以此為題發表演講，他公開2018年在美國聯邦政府單位擔任資訊長的相關經驗，以及借助零信任架構概念來推動資安的實務作為，讓臺灣企業與政府組織可以借鑑。</p> <p>11歲從臺灣移民到美國的David Chow，他累積了二十多年的美國聯邦政府工作資歷，從白宮基層實習生做起，後續曾到多個單位工作，像是能源部、交通部，之後到國家信用合作管理局（NCUA）擔任副資訊長與首席資安長長達七年，同時也在聯邦存款保險公司（FDIC）擔任顧問，並從2018年開始，擔任住宅及城市發展部（Housing and Urban Development，HUD）資訊長一職，同時，也肩負起網路安全工作的推動。David Chow表示，在美國政府要求實施零信任之前，他就已經借助零信任的概念來推動資安。</p> <h2><strong>過去未重視網路安全防護，找出三大問題進行改善</strong></h2> <p>David Chow公開了他在HUD推動資安的過程與經驗，其實相當艱辛，他遭遇了哪些重大挑戰？</p> <p>簡單來說，HUD的職責是監管住宅，並為低收入家庭提供抵押貸款等任務，資訊長要負責IT技術方面的規畫與執行，一旦遭遇網路安全事件，也會被國會要求前去報告。</p> <p>在2018年他上任之際，David Chow很快就發現許多問題：該單位並未重視網路安全防護。</p> <p>例如，他問其團隊的第一個問題：是否導入網路全面可視性（Full Visibility）的解決方案，結果只得到「不確定」的答案，對於稽核或是因應網路安全能力的問題也回答含糊，不能馬上給予答覆。他表示，這在某種程度上來說，已顯現該單位對於網路安全並沒有真正的關注。此外，組織內僅有基本的身分與存取管理機制，且系統架構的管理非常分散，處於一個充滿技術債的環境。</p> <p>甚至，其實這個資訊長一職在前任主管退休後，已空缺5年之久，不僅在執行網路安全方面缺乏連續性，而且，部門成員也都來自其他單位，其中一些人甚至沒有IT經驗。</p> <p>上述這些狀況，都是他在2018年面臨到的問題。</p> <h2><strong>活用零信任架構，視為資安成熟度框架與網路安全基礎</strong></h2> <p>為因應政府要求，臺灣上市櫃公司有很多資安長上任，他們眼前的挑戰，與David Chow當時的狀況是類似的。</p> <p>他如何應對？首先，他從稽核報告瞭解，單位在網路安全的資金投入是敬陪末座。每年4億美元IT預算中，僅約5%用於網路安全，其他單位投入的比例則是10%。</p> <p>整體而言，他意識到3個重要問題，首先是，機構內本身缺乏專業能力、可視性，資安重要性長期被忽視，也缺乏必要的資金的計畫。因此，他先將整體網路安全預算提高20%，以便開始建立能力並推動。</p> <p>在後續資安強化的作為，他指出可從人、流程與技術為出發，這是普遍資安專家會強調的重點，David Chow也不例外。</p> <p>他認為，先要確保自身環境有可視性，隨時了解風險暴露情形，就像基於安全維運中心（SOC）的概念一般，而且，這些作為也需獲得團隊成員支持，因此，在招募正確能力的人員之前，他需要改變團隊中的個人思維，確保遵守網路安全政策，確保能夠解決持續存在的網路安全稽核問題，以及確保人們承擔責任，並透過相關培訓以改變整個環境的流程。雖然改變人的作為很難，但還是要推動。</p> <p>技術同樣是關鍵，不僅內部IT環境的可視性需仰賴技術，有許多環節也仰賴各式技術。例如，他們為了發送驗證抵押貸款電子郵件的安全，導入了資料外洩防護（DLP）與加密相關的解決方案。</p> <p>值得關注的是，David Chow當時就用零信任來推動資安，早於美國政府2022年正式宣布施行。由於過去零信任架構的概念仍不普遍，那時候他如何推動相關的業務？</p> <p>David Chow表示，在一開始，他純粹只是將零信任架構作為一種溝通方式，以獲得必要的資源與預算，主要是利用這樣的概念，不只與利益相關者溝通，也要讓非資訊人員了解零信任的概念。</p> <p>除了將零信任用於溝通，他還將零信任作為發展自身成熟度框架的一部分。例如，他用零信任架構來審視內部網路安全，以確定需要改進的領域，將其視為組織建構資安的基礎，因此當時他主要是將零信任視為一個框架來應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖C）_趨勢科技美政府零信任實務經驗.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96C%EF%BC%89_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80%E7%BE%8E%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%AF%A6%E5%8B%99%E7%B6%93%E9%A9%97.jpg" style="width: 600px;" /></a></p> <p><strong>現於趨勢科技擔任技術策略長的David Chow表示，他過去擔任美國住宅及城市發展部（HUD）資訊長推動數位轉型與資安時，面臨著諸多挑戰，因此他以「人、流程、技術」的角度出發，以改進整體資安防護態勢。（圖片來源／趨勢科技）</strong></p> <h2><strong>提出組織網路安全路線圖，從八大面向採取行動</strong></h2> <p>關於改善HUD網路安全態勢的具體目標與行動，David Chow首先說明了他在上任兩年時的戰略目標，包括：1.完善網路安全風險管理，2.開發與完善組織SOC，3.根據資料所有者的要求保護資料，4.建立網路安全文化。</p> <p>而在這些目標之下，其實也就與「人、流程、技術」有重要的關聯，例如，與人有關的目標是第2、4點，與流程有關的是第1、2點，至於與技術有關的是第2、3點。</p> <p>至於採取了那些具體行動？更是大家關注的焦點，David Chow展示了他在HUD推動網路安全現代化策略的路線圖，從中我們可以看到他是如何從無到有，一步步推動HUD的資安強化。</p> <p>初期，他聚焦4個重點行動面向，分別是：一、在治理與風險管理面，建立基礎與風險管理計畫；二、在稽核補救措施面，制定行動計畫與識別弱點；三、在SOC面，透過代管服務啟動24/7的機制；四、在培訓與意識面，培養風險識別與警覺性。</p> <p>到了第二階段，在上述4個面向繼續強化，包括建立風險管理策略，聚焦60項稽核改進以改善安全態勢，建立SOC運作概念、提升報告、資料分析能力，同時，也開發出五種專業網路安全與隱私培訓課程、四種警覺性演練、17項備忘錄，以及全組織的網路釣魚演練。</p> <p>在這個階段中，HUD額外新增四個資料保護重點行動面向，包括：身分與憑證存取管理（ICAM）、資安持續監控（ISCM）、隱私，以及資料外洩防護（DLP）。</p> <p>他也擬定下一階段重點，立足於上述八個面向，讓防護水準朝向更成熟的程度邁進。</p> <p>特別的是，在這張網路安全路線圖設計背後，David Chow也透露計畫成功推動的訣竅。</p> <p>他表示，有了這樣的路線圖的好處在於，不只是內部人員可以清楚看到願景與進展，更重要的是，網路安全路線圖也將提交美國國會，而國會是提供單位運作資金的關鍵，因此，必須讓他們明白單位存在資安防護不足的狀況，以及說明他們將如何解決這些問題，這點相當重要；關於此一路線圖的制定，他也特別聘請律師事務所的資安顧問提供協助，因為面對國會隨時可能的諮詢，有了專家的建議與驗證，更能增加計畫實施的可信度。</p> <p>他強調，上述種種作為，有很多事項都呼應零信任概念，或是零信任架構，這也如同他先前所提，零信任架構是他使用的框架，而不是單一解決方案或特定行動的目標。</p> <h2><strong>應以風險而非合規驅動為出發，並要重視掌握風險可視性</strong></h2> <p>最後，對於今日的網路安全發展，他也給出更多建議。例如，在可善用的工具方面，有兩個最重要的資源，就是NIST CSF網路安全框架（5大要素：識別、防護、偵測、回應、復原），以及零信任架構，都是現今建構網路安全的重要基礎。</p> <p>可視性亦是他多次強調的重點，才能根據風險來管理整體資安態勢，以便在有限的資源下去分配資源，並解決這些風險。</p> <p>對於零信任架構的實施，他指出需從識別、裝置、網路、應用程式／工作流、資料這五大面向著手，並建議從XDR整合、雲端安全、DevSecOps，以及加密等解決方案來協助。同時，還需建立更集中的網路安全風險管理能力，除了上述XDR與雲端安全，也將涵蓋身分存取管控、多因素驗證（MFA）、資料分級與加密、端點安全等。</p> <p>另外，他希望大家意識到，零信任是昂貴的，需要投入一定程度的資源，並且無法在短時間內就能做到，像是關鍵技術的導入，以他過去在美政府任職的經驗，光是採購過程就要18個月之久。但長遠來看，網路安全不只是成為提報董事會的一部份，企業在推動資安時，應以風險為驅動的角度出發，而非僅以合規性為驅動，如此一來才能打造出完整的網路風險管理能力，並且持續進化。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）趨勢科技美政府零信任實務經驗04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80%E7%BE%8E%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%AF%A6%E5%8B%99%E7%B6%93%E9%A9%9704.jpg" style="width: 600px;" /></a></p> <p><strong>David Chow展示了他在美國住宅及城市發展部（HUD）時提出的網路安全路線圖，相當難得，而我們從這張路線圖可以看出幾個重點。</strong></p> <p><strong>（一）首先要瞭解的是，他在制訂這樣的網路安全路線圖之前，他先藉助零信任架構來幫助自己打造組織的成熟度框架，以零信任架構來審視內部網路安全，以確定需要改進的領域。</strong></p> <p><strong>（二）他以「人、流程、技術」的角度出發，設定4大目標：完善網路安全風險管理（流程）、開發與完善組織SOC（人、流程、技術）、根據資料所有者的要求保護資料（技術），以及建立網路安全文化（人）。</strong></p> <p><strong>（三）從不同階段來看，在第一階段，他主要聚焦4個重點行動面向，包括在治理與風險管理、稽核補救、SOC，以及培訓與意識。到了第二階段才擴張為8個重點行動面向，包括前述4個，還加入身分與憑證存取管理（ICAM）、資安持續監控（ISCM）、隱私，以及資料外洩防護（DLP）。而且，這8個重點行動面向其實也對應著4大目標。</strong></p> <p><strong>（四）若從單一重點行動面向來看，也突顯出循序往更高成熟度邁進的方式。例如，以SOC面向而言，之前第一階段是藉由代管服務達到24/7的SOC，第二階段是建立了SOC的營運概念，明確角色與責任，並強化報告內容與資料分析能力。到了下一邁進目標的第三階段，則聚焦於擴展網路威脅情資、威脅獵捕與攻擊面減少（ASR）方面的能力。（圖片來源／趨勢科技）</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96D%EF%BC%89_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80%E7%BE%8E%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%AF%A6%E5%8B%99%E7%B6%93%E9%A9%97.jpg" style="width: 600px;" /></p> <p><strong>David Chow強調以零信任模型是組織建構資安基礎，同時說明零信任為基礎的網路架構，需從身分驗證、裝置、網路、應用程式與工作負載，以及資料等五大面向做起，當中也強調XDR的重要性是相當顯著。（圖片來源／趨勢科技）</strong></p> <p> </p> </div></div></div>
2023/6/7 11:30作者羅正漢https://www.ithome.com.tw/news/157207
SEC控告美國最大加密貨幣交易平臺Coinbase
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）正在大刀闊斧地整頓境內涉及證券的加密貨幣活動，先是在5日<a href="https://www.ithome.com.tw/news/157203" target="_blank">控告全球最大加密貨幣交易平臺幣安（Binance）與其創辦人趙長鵬</a>，繼之於6日<a href="https://www.sec.gov/news/press-release/2023-102" target="_blank">控告美國最大加密貨幣交易平臺Coinbase</a>，指控Coinbase並未註冊所從事的證券交易、證券經紀與清算服務，使得當天Coinbase股價大跌12.09%，以51.61美元作收。</p> <p>SEC指出，自2019年以來，Coinbase便藉由非法交易加密貨幣證券賺進了數十億美元，Coinbase提供了傳統的證券交易、經紀及清算服務，但並未依法向SEC註冊。沒有註冊便提供服務等於是剝奪了SEC對投資人的保護。</p> <p>今年3月SEC即曾<a href="https://www.ithome.com.tw/news/156066" target="_blank">發出可能違法的威爾斯通知（Wells notice）予Coinbase</a>，但當時Coinbase強調該公司不斷企圖向SEC註冊部分服務，但SEC卻拒絕透露Coinbase上的哪些數位資產屬於證券，使得Coinbase抱怨美國加密貨幣的監管混亂，更說SEC並不會讓加密貨幣業者註冊或進入證券領域。</p> <p>而根據SEC的說法，Coinbase的質押即服務（staking-as-a-service）專案允許客戶透過權益證明獲利，該服務匯集了各種類型客戶的可質押加密貨幣資產，認為受到證券法約束的Coinbase，混合了合法與非法服務，當中的許多功能在證券領域上是分開的，而Coinbase卻將它們合而為一，而且並未註冊。</p> <p>SEC主席Gary Gensler更說，Coinbase其實充分意識到聯邦證券法對其業務活動的適用性，卻故意拒絕遵守。</p> <p><a href="https://www.coinbase.com/blog/we-need-clear-rules-for-crypto-to-protect-american-leadership-and-consumers" target="_blank">至於Coinbase則重申</a>，加密貨幣正在解決現實世界的問題，美國需要更明確的加密貨幣規則，否則便會落後於世界的創新。</p> </div></div></div>
2023/6/7 11:45作者陳曉莉https://www.ithome.com.tw/news/157218
Outlook.com疑似因駭客攻擊而在周一故障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多微軟用戶在周一（6/5）抱怨Outlook.com當掉了，而在<a href="https://twitter.com/MSFT365Status/status/1665734492122742790" target="_blank">微軟展開調查</a>的當下，卻傳出這是駭客組織Anonymous Sudan的傑作。</p> <p>微軟證實當掉的不僅是Outlook.com，還包括Microsoft Teams、SharePoint Online與OneDrive for Business等Microsoft 365服務，同時說明正在檢查網路系統與近日的更新活動，以確認造成服務中斷的原因。</p> <p>不過，根據《<a href="https://cybernews.com/security/microsoft-outlook-outage-anonymous-sudan/" target="_blank">CyberNews</a>》與《<a href="https://www.bleepingcomputer.com/news/microsoft/outlookcom-hit-by-outages-as-hacktivists-claim-ddos-attacks/" target="_blank">BleepingComputer</a>》的報導，一個親俄的駭客組織Anonymous Sudan在其Telegram頻道上宣稱這是它們的傑作。</p> <p>Anonymous Sudan坦承該組織針對微軟的Outlook.com執行了分散式服務阻斷（DDoS）攻擊，以抗議美國政府干涉蘇丹的內政，這使得它們決定針對大型的美國企業、政府與基礎設施展開攻擊。</p> <p>除了周一之外，Outlook.com這兩天的表現也不穩定，微軟除了持續改善使用者經驗之外，尚未公布服務中斷的根本原因，也未對外證實是否遭到攻擊。</p> </div></div></div>
2023/6/7 10:30作者陳曉莉https://www.ithome.com.tw/news/157216
Google Chrome修補今年第3個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop.html" target="_blank">Google本周稍早釋出Chrome桌機版更新</a>以修補一個，也是今年第3個已遭濫用的重大漏洞。</p> <p>最新釋出的更新是Linux、Mac版Chrome 114.0.5735.106以及Windows版114.0.5735.110，會在幾天到幾周內部署到用戶端。</p> <p>這次更新包含2個安全漏洞，包括一個重大風險漏洞CVE-2023-3079的修補程式。Google說已有針對本漏洞的攻擊程式在網上流傳。</p> <p>CVE-2023-3079是由Google威脅分析小組研究人員Clément Lecigne通報，它是存在V8 JavaScript引擎的型態混淆漏洞。根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-3079" target="_blank">美國國家標準暨技術研究院（NIST）漏洞資料庫</a>，本漏洞可能讓遠端攻擊者藉由引導用戶連向惡意HTML網頁引發記憶體堆積毁損。漏洞風險值不詳，Google僅說明為高風險漏洞。</p> <p>記憶體堆積毁損小則造成應用程式無法執行，大則造成資訊外洩、阻斷服務（DoS）攻擊，或是執行任意程式碼。</p> <p>CVE-2023-3079也是Google Chrome今年修補的第3個零時差漏洞。<a href="https://www.ithome.com.tw/news/156426" target="_blank">前二個</a>皆出現於<a href="https://www.ithome.com.tw/news/156486" target="_blank">今年四月</a>，其中的<a href="https://www.ithome.com.tw/news/156486" target="_blank">CVE-2023-2136</a>同為Clément Lecigne通報。</p> <p>最新漏洞影響所有Chromium-based瀏覽器，包括Chrome、Edge、Brave、Opera和Vivaldi等，用戶應及早更新到最新瀏覽器。微軟也在昨日釋出<a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security" target="_blank">Edge更新114.0.1823.37</a>。</p> </div></div></div>
2023/6/7 09:58作者林妍溱https://www.ithome.com.tw/news/157215
Google雲端與Workspace開始支援通行密鑰無密碼登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspace.google.com/blog/product-announcements/major-security-innovation-passkeys">Google宣布擴大通行密鑰（Passkey）支援</a>，現在用戶可以使用通行密鑰，以無密碼的方式登入Google Workspace和Google雲端帳戶。Google提到，他們是第一個支援通行密鑰登入的公有雲供應商。根據Google早期採用的資料顯示，通行密鑰的登入速度是密碼的兩倍快，錯誤率更是降低達4倍。</p> <p>除了Apple和微軟，Google也是推動通行密鑰的先鋒，在去年就承諾會擴大無密碼FIDO（Fast IDentity Online）的支援，加速無密碼時代的來臨。在今年5月的時候，Google先開放通行密鑰作為Google帳戶登入的附加選項，現在則進一步對企業開放，用戶不再需要使用密碼，可使用通行密鑰更安全地登入Workspace和雲端。</p> <p>通行密鑰是一種新的無密碼登入方法，讓用戶在手機、筆電和桌電上，使用指紋、臉部辨識和螢幕解鎖，方便地登入網站和應用程式。通行密鑰為一個產業標準，大多數常用的作業系統和瀏覽器皆已支援。</p> <p>接下來數周，Workspace管理員便會開始收到可啟用通行密鑰的通知，由管理員啟用，其組織成員便可在登入時預設跳過密碼登入的步驟，直接使用通行密鑰無密碼登入，未啟用的組織，使用者則依然可以創建通行密鑰作為雙因素驗證使用。</p> </div></div></div>
2023/6/7 08:21作者李建興https://www.ithome.com.tw/news/157209
【資安日報】6月6日，MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Accellion FTA、GoAnywhere等MFT檔案共享系統的零時差漏洞攻擊，勒索軟體駭客組織Clop皆有參與，最近另一套MFT系統MOVEit Transfer也傳出面臨網路攻擊，有不少人懷疑也是Clop所為。如今有研究人員印證這樣的推測，並指出漏洞攻擊、竊取資料、勒索手法相當雷同。</p> <p>殭屍網路病毒的攻擊也相當值得留意。最近研究人員揭露殭屍網路Horabot的行動，目標鎖定電子郵件信箱帳號，不僅竊取信件內容，還會利用這些帳號發送釣魚郵件。</p> <p>人力資源管理平臺Prosperix因雲端儲存桶配置不當，導致求職者的資料曝光，內容不只包含了駕照、履歷表、工作申請表、畢業證書、成績單等相關資料，甚至還有疫苗接種記錄。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-links-clop-ransomware-gang-to-moveit-data-theft-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">發動MOVEit零時差漏洞攻擊的幕後黑手疑為駭客組織Clop</span></strong></a></p> <p>IT系統業者Progress於5月底發布資安通告，MFT檔案共享系統MOVEit Transfer存在零時差漏洞CVE-2023-34362，<a href="https://www.ithome.com.tw/news/157174#moveit">隨後有多家資安業者發現攻擊行動</a>，但攻擊者是誰？</p> <p><a href="https://twitter.com/MsftSecIntel/status/1665537730946670595">微軟威脅情報團隊表示</a>，根據他們的調查，很有可能就是勒索軟體駭客組織Clop（亦稱Lace Tempest）所為，理由是該組織也曾利用類似的漏洞來竊取資料，並向受害組織勒索。</p> <p>而這並非Clop第一次鎖定MFT系統的零時差漏洞發動攻擊，事實上，該組織分別於2020年、今年1月，利用Accellion FTA、GoAnywhere兩套MFT系統的零時差漏洞發動攻擊。</p> <p><a href="https://blog.talosintelligence.com/new-horabot-targets-americas/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Horabot挾持Gmail、Outlook電子郵件信箱</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-44dcc511-34b5-46ba-96b2-586723fbcdfc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-44dcc511-34b5-46ba-96b2-586723fbcdfc.png" style="width: 300px; float: right;" /></a>思科旗下的Talos威脅情報團隊揭露殭屍網路病毒Horabot的攻擊行動，駭客至少從2020年11月開始，鎖定拉丁美洲使用西班牙語的用戶下手，散布銀行木馬，並以垃圾郵件進行感染。研究人員指出，大部分的受害者位於墨西哥，但烏拉圭、巴西、委內瑞拉、阿根廷、瓜地馬拉、巴拿馬也有人受害。</p> <p>此殭屍網路病毒的主要功能，就是讓駭客能控制受害電腦的Gmail、Outlook、Hotmail、Yahoo!電子郵件信箱帳號，並竊取信箱裡的資料，並濫用這些帳號發送釣魚郵件。</p> <p>而對於散布此殭屍網路的途徑，駭客假借發送付款收據的名義寄送釣魚郵件，一旦收信依照指示，就會下載RAR壓縮檔，內含CMD批次檔，若是執行就會下載PowerShell指令碼，進而從C2伺服器取得Horabot。</p> <p><a href="https://www.group-ib.com/blog/dark-pink-episode-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Dark Pink鎖定亞太與歐洲的組織發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/modified-killchain-dark-pink-min.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/modified-killchain-dark-pink-min.png" style="width: 300px; float: right;" /></a>資安業者Group-IB於今年1月揭露駭客組織Dark Pink的攻擊行動，當時發現該組織自2021年開始，針對8個亞太地區組織、1個歐洲組織下手（其中一起未得逞）。</p> <p>但最近研究人員指出，受害範圍可能還會更大，因為，他們後來又確認5起該組織的攻擊行動，其中，有2起是2023年的攻擊行動，最近一次發生在4月，若以檔案蹤跡來看，他們5月曾出沒，這代表駭客的攻擊行動仍然持續進行。其中，這些攻擊大部分針對政府機關、軍事單位而來，但也有教育機構、非營利組織、宗教機構受害；而從發生國家來看，越南組織最多，目前發現4起。</p> <p>針對其攻擊的手法，駭客先是藉由網路釣魚攻擊散布ISO映像檔，進而在受害組織散布後門程式TelePowerBot、KamiKakaBot，並以DLL側載的方式啟動，於記憶體內執行，而不會在磁碟上留下蹤跡。</p> <p><a href="https://cybernews.com/security/prosperix-leaks-drivers-licenses-medical-records/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">人力資源管理平臺Prosperix的AWS S3儲存桶配置錯誤，曝露4.2萬個求職者檔案</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員發現，美國人力資源管理系統Prosperix的AWS S3儲存桶配置錯誤，導致約有25萬個檔案曝露，任何人可透過網際網路存取。</p> <p>上述檔案當中，有4.2萬個檔案含有求職者的個資，包含他們的姓名、生日、資歷、居住地址、電話號碼、電子郵件信箱等，研究人員進一步指出，這些資料大部分是就職所用，文件類型包含了駕照、履歷表、工作申請表、畢業證書、成績單，值得留意的是部分含有疫苗接種、尿液檢測等醫療記錄資料。</p> <p>Prosperix接獲通報後，很快就修復其儲存桶的配置，但該公司不願進一步提出說明。</p> <p><a href="https://www.akamai.com/blog/security-research/new-magecart-hides-behind-legit-domains"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Magecart側錄攻擊出現新手法！駭客利用合法網站攻擊目標</span></strong></a></p> <p>CDN網路服務與資安業者Akamai揭露一起Magecart信用卡側錄攻擊行動，駭客針對美國、英國、巴西、西班牙、澳大利亞、愛沙尼亞、秘魯等國家的電商網站發動攻擊。</p> <p>但與過往的Magecart攻擊有所不同的是，駭客並非自行架設C2中繼站，而是將部分電商網站當作C2，用來代管惡意程式碼，並拿來對目標電商網站發動Magecart攻擊。其中亦有部分網站是不只被駭客當作C2，也受到Magecart攻擊。</p> <p>而對於這些網站被入侵的管道，研究人員表示仍不清楚，但很有可能是利用Magento、WooCommerce、WordPress、Shopify電子商務平臺的漏洞，或是網站上的第三方服務弱點來下手。</p> <p><a href="https://www.bleepingcomputer.com/news/security/online-sellers-targeted-by-new-information-stealing-malware-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客針對電商網站賣家下手，散布竊資軟體Vidar</span></strong></a></p> <p>資安新聞網站Bleeping Computer揭露鎖定網路賣家的惡意軟體攻擊，該新聞網站近期收到駭客的釣魚郵件，對方聲稱從收信人經營的購物網站購買價值逾550美元的商品，付款過程中出現錯誤，但他的銀行帳戶已經扣款，要求賣家儘速處理，並提供銀行對帳單的資料「佐證」確有其事。</p> <p>一旦收信人依照指示點選信裡的URL，就會從冒牌的Google雲端硬碟下載「對帳單」檔案，若是執行，電腦就有可能被植入竊資軟體Vidar。</p> <p><a href="https://isc.sans.edu/diary/Your%20Business%20Data%20and%20Machine%20Learning%20at%20Risk%3A%20Attacks%20Against%20Apache%20NiFi/29900"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料流自動化處理系統Apache NiFi遭駭客鎖定，若被滲透恐被用於挖礦</span></strong></a></p> <p>美國系統網路安全研究院SANS Institute旗下的Internet Storm Center（ISC）提出警告，他們在5月19日發現，有人在網際網路大量掃描特定類型的主機，目的是尋找未妥善保護的資料流自動化處理系統Apache NiFi。企圖暗中部署挖礦程式Kinsing。</p> <p>研究人員發現駭客先是執行Shell指令碼，刪除系統事件記錄的檔案，並停用目標系統的防火牆、終止其他挖礦軟體，最終從遠端伺服器下載Kinsing並執行，並在伺服器上尋找SSH帳密進行橫向移動。值得留意的是，前述的指令碼只會出現在記憶體內，而不會在NiFi系統上留下蹤跡。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://securelist.com/find-the-triangulation-utility/109867/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對iOS裝置的間諜軟體攻擊Operation Triangulation，卡巴斯基提供檢測工具</span></strong></a></p> <p>資安業者卡巴斯基近期發現，該公司員工的iPhone手機遭到間諜軟體攻擊行動Operation Triangulation波及，並強調他們並非駭客的主要目標，且攻擊行動仍在持續。對此，該公司現在進一步提供檢測工具triangle_check，使用者可搭配執行Windows、macOS、Linux作業系統的電腦，藉由掃描備份檔案的方式，來確認iOS裝置是否遭到間諜軟體入侵。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blogs.blackberry.com/en/2023/05/cmdstealer-targets-portugal-peru-and-mexico"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴西駭客發動寄生攻擊，並搭配命令列指令碼竊取銀行帳戶</span></span></strong></a></p> <p><a href="https://blogs.vmware.com/security/2023/06/carbon-blacks-truebot-detection.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體TureBot透過稽核軟體Netwrix重大漏洞感染受害電腦</span></span></strong></a></p> <p><a href="https://keepass.info/news/n230603_2.54.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">密碼管理器KeePass能從記憶體內竊取主控密碼的漏洞得到修補</span></span></strong></a></p> <p><a href="https://securityaffairs.com/147073/cyber-crime/globalcaja-confirms-play-ransomware-attack.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西班牙銀行Globalcaja證實遭到勒索軟體Play攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157183"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範NTLM Relay攻擊，微軟首度在開發版本Windows要求使用SMB簽章</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157192">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157174">【6月2日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞，傳出駭客藉此竊取組織機密資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157153">【6月1日】技嘉主機板更新機制存在弱點，恐被用於供應鏈攻擊，研究人員呼籲IT人員封鎖相關更新功能</a></strong></p> </div></div></div>
2023/6/6 18:15作者周峻佑https://www.ithome.com.tw/news/157208
美國證券交易委員會控告幣安與趙長鵬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-101" target="_blank">美國證券交易委員會（SEC）周一（6/5）正式針對幣安與其創辦人趙長鵬提出13項指控</a>，包括經營未經註冊的證券交易所、券商與清算機構，誤導有關Binance.US上的交易控制與監督，以及提供未註冊的證券發行與銷售。</p> <p>幣安為全球最大的加密貨幣交易平臺，其全球主要交易網站為Binance.com，為了符合美國的法令規範，幣安在2019年宣布與BAM Trading Services合作，推出專供美國投資人使用的Binance.US網站。</p> <p>其實<a href="https://www.ithome.com.tw/news/151319" target="_blank">SEC去年便開始調查幣安</a>在2017年透過首次代幣發行（ICO）發行幣安幣（BNB）是否涉及違法，而美國商品期貨交易委員會（Commodity Futures Trading Commission，CFTC）<a href="https://www.ithome.com.tw/news/156167" target="_blank">今年3月已指控幣安及趙長鵬違反美國《商品交易法》（Commodity Exchange Act，CEA）與CFTC規定</a>。此次SEC提出的控告則涉及幣安、BAM Trading Services與趙長鵬。</p> <p>SEC指出，儘管趙長鵬與幣安曾公開表示Binance.US是專為美國投資人所創建的獨立交易平臺，但趙長鵬與幣安卻是Binance.US背後的主要操作者。此外，即使幣安及趙長鵬公開限制美國投資人於Binance.com上進行交易，但其實依舊允許美國投資人於該平臺上交易。</p> <p>另一方面，SEC還指控趙長鵬及幣安控制了這些平臺上的客戶資產，可隨意混合或轉移客戶資產，還人為操作Binance.US上的交易以製造大規模交易的假象。</p> <p>其它的指控還包括幣安與BAM Trading Services經營未註冊的證券交易所、券商與清算機構；提供未註冊的BNB、Binance USD與加密貨幣借貸產品，以及趙長鵬為這些未註冊服務或產品的主導者。</p> <p>SEC認為趙長鵬及幣安不僅知道這些規則，還故意規避這些規則，將投資人置於風險中以最大化自己的利潤，因而向法院提出了告訴。</p> </div></div></div>
2023/6/6 13:24作者陳曉莉https://www.ithome.com.tw/news/157203
微軟指出MOVEit Transfer零時差攻擊由Clop勒索集團駭客主使
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MFT檔案共享系統MOVEit Transfer存在<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023">零時差漏洞CVE-2023-34362</a>，而多家資安公司皆已發出警告，提醒用戶已經有駭客利用MOVEit Transfer漏洞展開攻擊，而<a href="https://twitter.com/MsftSecIntel/status/1665537730946670595/photo/1">微軟經過調查</a>，認為MOVEit Transfer漏洞攻擊，與之前操作勒索軟體和運作Clop勒索網站的駭客Lace Tempest有關。</p> <p>MOVEit Transfer是美國軟體公司Progress子公司Ipswitch，所開發的MFT檔案共享系統，供企業安全地傳輸檔案。Progress在6月2日的時候發出資訊安全通知，警告用戶他們在MOVEit Transfer發現編號為CVE-2023-34362的SQL注入漏洞，可讓駭客執行特權提升，在未經授權的情況下存取環境。</p> <p>CVE-2023-34362漏洞允許未經身分驗證的攻擊者，存取MOVEit Transfer資料庫，而依據用戶所使用的MySQL、Microsoft SQL Server或Azure SQL資料庫引擎，攻擊者或能推斷出資料結構和內容等資訊，並執行更改或是刪除資料庫運算的SQL語句。</p> <p>目前駭客已經開始利用CVE-2023-34362漏洞發動攻擊，而微軟在推特發文表示，他們認為CVE-2023-34362的攻擊，與知名駭客Lace Tempest有關，因為過去Lace Tempest也曾使用類似的漏洞，竊取資料並且勒索受害者。</p> <p>所有MOVEit Transfer版本均受此漏洞影響，Progress給出了一些緩解建議，包括用戶可以停用MOVEit Transfer環境中的所有HTTP和HTTPs流量，藉由修改防火牆規則，拒絕連接埠80和443上MOVEit Transfer的HTTP和HTTPs流量，直到安裝完修補程式。Progress官方也提醒用戶應該要檢查並且刪除未經授權的檔案和使用者帳戶，同時檢視日誌記錄，尋找是否存在未經授權的存取。</p> </div></div></div>
2023/6/6 13:28作者李建興https://www.ithome.com.tw/news/157201
蘋果發表售價3,499美元的MR產品Apple Vision Pro，預計明年上半年上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/06/introducing-apple-vision-pro/" target="_blank">蘋果周一（6/5）發表了</a>該公司首款混合實境（MR）頭戴式裝置Apple Vision Pro，它搭載了蘋果既有的M2晶片與全新開發的R1晶片，採用蘋果專為該裝置設計的visionOS作業系統，蘋果並不以VR、AR或MR裝置稱呼它，而將它定位為空間運算設備（Spatial Computer）。Apple Vision Pro的定價為3,499美元，預計於明年上半年率先於美國市場開賣，繼之再拓展至更多市場。</p> <p><a href="https://www.apple.com/apple-events/" target="_blank">根據蘋果的介紹</a>，Vision Pro可將數位內容無縫地融入實體世界，使用者身處的空間就是無邊的顯示器，得以在空間中呈現各種應用程式與數位內容，且透過眼睛、雙手與聲音就可控制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple%20Vision%20Pro-introduction-600.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple%20Vision%20Pro-work-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>蘋果執行長Tim Cook表示，如同Mac將大家帶進個人運算時代，iPhone將人們帶進行動運算時代，Vision Pro將把大家帶進空間運算時代，它奠基於蘋果數十年的創新基礎，帶來革命性的新輸入系統與數以千計的創新。</p> <p>負責人機介面的蘋果副總裁Alan Dye解釋，這是蘋果首次設計全3D的互動介面，當使用者戴上Vision Pro時，可看到所處的空間及空間中的一切，同時裝置首頁與各種程式會出現在使用者的正前方，彷彿它們原本就存在於空間中，它們具備立體感，也有陰影，可自由地填滿使用者周圍的環境，不再有傳統螢幕的限制。</p> <p>此外，使用者可隨意地移動程式位置，任意縮放內容，甚至可讓內容超越真實的空間大小，利用美麗的風景填滿原本的空間，打開任何新的程式總能出現在以使用者為中心的位置。</p> <p>Dye說，蘋果會替各種裝置設計不同的輸入方式，Mac有滑鼠，iPod有Click Wheel，iPhone有多點觸控，而Vision Pro則只要利用眼睛、雙手及聲音就能控制，非常地直覺，呈現在空間中的程式會回應使用者眼睛的注視，捏合手指就能選擇，輕拂就能滾動，並以語音打字，利用Siri來打開/關閉程式，或是播放媒體內容。</p> <p>為了避免與人隔絕，Vision Pro有個稱為EyeSight的特殊設計，它的鏡片原本是全黑的，但有人靠近時便會逐漸透明，以與他人建立視線連結，此外，人也會在進入Vision Pro的虛擬空間時，出現於使用者的眼前。</p> <p>Vision Pro配備M2及R1雙晶片，新的R1負責處理12個相機、5個感應器與6個麥克風的資料，可在12毫秒內將新影像串流至顯示器，是眨眼的8倍快，可確保使用者眼前的即時內容沒有延遲。此外，Vision Pro以基於虹膜的Optic ID來辨識使用者身分並解鎖裝置，其Optic ID資訊僅存放於裝置上，並未存放於蘋果伺服器上，也無法被其它程式存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple%20Vision%20Pro-M2%20R1%20chip-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>除了<a href="https://www.ithome.com.tw/news/157162" target="_blank">價格遠高於市售的其它VR/MR產品</a>之外，蘋果所描述的Vision Pro非常美好，不過，它有一個特點與其它產品相當，就是電池續航力只有兩小時，大多數時間可能都要插電使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-%20Apple%20Vision%20Pro-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> </div></div></div>
2023/6/6 12:39作者陳曉莉https://www.ithome.com.tw/news/157200
卡巴斯基釋出Triangulation間諜軟體偵測工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kaspersky.com/about/press-releases/2023_operation-triangulation-kaspersky-releases-utility-for-malware-detection" target="_blank">安全廠商卡巴斯基公布一項偵測工具</a>，協助企業或個人用戶偵測本月稍早揭露的iPhone新間諜軟體。</p> <p><a href="https://www.ithome.com.tw/news/157164" target="_blank">本月初卡巴斯基揭露</a>公司員工遭到不知名組織透過iMessage傳送惡意檔案，旨在於手機植入之前未知的間諜軟體。卡巴斯基將這樁攻擊命名為Operation Triangulation。一旦間諜軟體被植入用戶iPhone，即會開始蒐集手機麥克風錄音、iMessage的相片、定位資訊及其他資料送到外部伺服器。</p> <p>基於蘋果的安全設計，iOS只能以備份型式加以分析。卡巴斯基一開始是以國際特赦組織開發的Mobile Verification Toolkit（MVT）偵測到該間諜軟體，但以MVT檢查iOS備份的過程相當耗時，且需要大量人工搜尋多種入侵指標。為了將這個過程自動化，卡巴斯基進一步釋出工具，名為triangle_check，讓用戶可在電腦如macOS、Windows與Linux下掃瞄iOS備份。它可自動搜尋惡意程式蹤跡，檢查iOS裝置是否遭到感染。</p> <p>在Windows和Linux上，<a href="https://securelist.com/find-the-triangulation-utility/109867/" target="_blank">triangle_check工具需要二進位程式下載</a>，而在macOS上則可以Python套件安裝。在安裝這些工具前，用戶必須先製作iOS裝置備份。<a href="https://securelist.com/find-the-triangulation-utility/109867/" target="_blank">卡巴斯基並提供了安裝使用指引</a>。</p> <p>等安裝好開始執行，一旦工具偵測到間諜軟體，會顯示DETECTED訊息，無法判定是否為間諜軟體則顯示SUSPICION。完全沒有偵測到入侵指標時則會顯示「No traces of compromise were identified」。</p> <p>這隻惡意程式相當狡猾，iPhone被感染時用戶也很難察覺，僅有幾個不太顯著的入侵指標，且還有諸多疑點未明。卡巴斯基鼓勵安全研究人員一起來研究這隻新的間諜軟體。該公司追查到最早感染時間為2019年，但到目前攻擊仍然在進行中，最新感染的iOS版本為15.7版。</p> </div></div></div>
2023/6/6 13:08作者林妍溱https://www.ithome.com.tw/news/157202
蘋果發表採用M2晶片的15吋MacBook Air，13吋版本降價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/06/apple-introduces-the-15-inch-macbook-air/" target="_blank">蘋果在周一（6/5）舉行的WWDC全球開發者大會上發表了</a>首款15吋、採用M2晶片的MacBook Air，售價為1,299美元（42,900元新臺幣），同時間也調降M2版的13吋MacBook Air售價，從1,199美元降至1,099美元（35,900元新臺幣），基於M1晶片的13吋MacBook Air則維持999美元（30,900元新臺幣）。而上述產品皆有再折扣100美元的教育版價格。</p> <p>全新的15吋MacBook Air擁有15.3吋的Liquid Retina顯示器，搭載蘋果自行設計的M2處理器，採無風扇靜音設計，具備18小時的電池續航力，重約3.3磅（近1.5公斤），內建MagSafe充電埠、2個Thunderbolt連接埠，以及一個3.5mm的耳機插孔。</p> <p>根據蘋果的說法，M2版15吋MacBook Air的速度是Intel Core i7處理器PC筆電的2倍，電池續航力比PC筆電多了50%，亦比同級PC筆電輕薄，螢幕解析度是同級產品的2倍，亮度比同級產品高出25%。</p> <p>此外，M2版15吋MacBook Air盡其可能地環保，有多個印刷電路板使用百分之百的再生鍍金和錫焊料，所有磁鐵皆使用100%的再生稀土元素，MagSafe連接器採用100%的再生鈷，電池底座有90%的再生銅，超過99%的包裝材料是基於纖維。</p> <p>15吋MacBook Air有午夜色、星光色、太空灰及銀色可供選擇，其基本配備為8核心CPU、10核心GPU及8GB記憶體，內建256GB儲存裝置的版本售價為1,299美元（42,900元新臺幣），若為512GB儲存裝置則是1,499美元（48,900元新臺幣），亦可依需求選擇其它規格，預計於6月13日上架。臺灣蘋果官網目前已公開15吋MacBook Air的資訊，但尚未開放消費者購買。</p> </div></div></div>
2023/6/6 11:18作者陳曉莉https://www.ithome.com.tw/news/157197
iOS 17讓FaceTime支援Apple TV，為語音郵件加入即時字幕，iPhone充電待機畫面提供個人化設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於臺北時間周二（6/6）凌晨舉行WWDC 2023，除了宣布混合實境頭戴裝置Vision Pro之外，<a href="https://www.apple.com/newsroom/2023/06/ios-17-makes-iphone-more-personal-and-intuitive/" target="_blank">也公布最新版iOS 17新功能</a>，包含FaceTime支援Apple TV、Live Voicemail為語音產生字幕、新的待機（Standby）顯示、Message Check In安全功能等多項功能，也更強化隱私保護。</p> <p><a href="https://beta.apple.com/sp/betaprogram" target="_blank">iOS 17現在已經有開發人員測試版</a>，預計下個月會釋出公開測試版本，並於秋天推出正式版。</p> <p>作為下一個重大更新版iPhone作業系統，iOS包含多項以AI支援的新功能。蘋果軟體工程資深副總裁Craig Federighi表示，iOS 17加入每日所需的功能，讓iPhone更為個人化及直覺。主要功能更新包括Live Voicemail、待機顯示、FaceTime支援語音和影像留言、Message安全Check In功能、NameDrop交換通訊人資訊、自動校正與新的日誌功能等。</p> <p>Live Voicemail利用AI引擎Neural Engine為語音郵件加入即時字幕，並以大字體顯示於iPhone螢幕，所有語音轉錄過程都是在手機上執行，不會有隱私外洩問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC23-iOS%2017-Live-Voicemail-600.png" style="width: 312px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>新版iOS上FaceTime支援語言和影像留言，即使對方無法接聽電話，也能稍後觀看友人的FaceTime留言（下圖以iPadOS 17作為相同功能示意），此外還支援Apple TV 4K播放，若配合Continuity Camera功能，用戶還可先以iPhone撥打視訊，再轉到Apple TV繼續通話。Center Stage功能則幫助用戶影像置中在螢幕正中央。另外，以手勢啟動即可在訊息中加入回應符號，如愛心、汽球或煙火等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/iOS%2017-iPad%20OS%2017-FaceTime%20Adds%20Audio%20and%20Video%20Messages-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>iOS 17新增待機顯示（Standby Display）功能，能在iPhone充電遠離用戶時以全螢幕顯示資訊，並可個人化設定顯示時間、相片或widget，或是顯示Live Activities、Siri、來電或通知訊息。待機功能可輕觸螢幕叫出，在iPhone 14 Pro上可以Always-on功能長時間顯示，以MagSafe充電時，這項功能也會記住用戶偏好的讀取模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC23-iOS%2017-StandBy-when%20iPhone%20Charging-%E7%B5%84%E5%9C%96-600.png" style="width: 341px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>iOS 17大幅改版Message功能，可讓用戶以通訊人或寵物相片建立即時大頭貼（Live Sticker），並可儲存在鍵盤上的小抽屜功能用於其他App。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple-WWDC23-iOS%2017-Messages-Stickers-600.png" style="width: 535px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>另一新功能是Check In，讓功能啟動後，當用戶抵達飯店，親友會接獲自動通知，若未抵達則設定的親友會透過全程加密訊息接獲用戶手機位置、電池電量及電信服務狀態等資訊。Message功能也強化了訊息搜尋、還可為語音郵件留下轉錄文字。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC23-iOS%2017-Messages-Check-In-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>新版iOS也讓iOS裝置用戶之間更容易交換相片。AirDrop新增名為NameDrop的功能，讓iPhone和iPhone或是iPhone與Apple Watch之間，能近距離將選定的信箱和電話號碼傳給對方。SharePlay則讓iPhone用戶之間共享音樂、影片或一起打手機遊戲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple-WWDC23-iOS%2017-NameDrop-3-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>自動校正（Autocorrect）以新的transformer語言模型強化功能，可以更精準預測文字自動校正輸入，它還提供整句校正可修正文法上的錯誤。聽寫功能也因新的語音辨識模型而更為精準。</p> <p>iOS 17並新增具AI支援的日誌（Journal）應用程式。利用裝置端機器學習，它可根據用戶最新活動，如相片、聯絡人、運動、到過的地方等提供個人化建議撰寫內容，或是排程通知。日誌功能完全在手機上處理且支援全程加密。應用程式開發人員並可利用日誌建議API，將這款程式加入到其開發的App。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-WWDC23-iOS-17-Journal%20App-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>在隱私保護方面，iOS 17多所強化。Safari隱私上網（Private Browsing）增加裝置指紋追蹤，並在裝置閒置時上鎖以確保不被人偷看。密碼及通行密鑰（Passkey）可透過iCloud Keychain分享給一組受信任聯絡人。為確保隱私，Message通訊安全（Communication Safety）現在擴及以AirDrop、FaceTime訊息及Photos傳輸的影像內容，防止兒童接觸到不健康的內容。此外，新的敏感內容警告（Sensitive Content Warning）功能，則可確保成人不會看到令人不快的裸露圖片及影片。</p> <p>iOS 17其他功能包括Siri喚醒功能，現在只要簡單一個字Siri，不再需要說「Hey」。視覺查詢（Visual Look Up）支援靜止的影格或相片，能用來辨識食物、商家、招牌或任何圖像；<a href="https://www.apple.com/ios/ios-17-preview/" target="_blank">根據蘋果預覽網頁說明</a>，這功能的功用之一是拍攝食物相片後搜尋相關食譜。AirTag最多可分享給另外5個人，讓一群友人共同關注及定位同一件物品的位置，本功能也能用於其他Find My網路的物件。AirPlay現在支援飯店電視，讓用戶將手機音樂傳到下榻飯店的電視上。Health App的螢幕時間加入螢幕距離功能，以TrueDepth相機偵測，要用戶和手機保持12吋（30公分）距離。HomeKit的點選開啟及PIN code功能現在支援Matter規格的智慧鎖等。</p> </div></div></div>
2023/6/6 11:51作者林妍溱https://www.ithome.com.tw/news/157198
AWS推出可自動配置搬遷資源的DMS無伺服器服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-aws-dms-serverless-automatically-provisions-and-scales-capacity-for-migration-and-data-replication/">AWS資料庫搬遷服務DMS（Database Migration Service）現在推出無伺服器版本</a>，用戶不需要手動配置複製執行個體或是監控容量，DMS Serverless會自動配置、監控搬遷資源，擴展所需要的最佳容量，不只簡化搬遷過程，也消除過去為應付高峰流量，必須過度配置資源的成本。</p> <p>AWS DMS雲端搬遷服務可以自動執行資料庫搬遷專案，用戶只要在控制臺以滑鼠點擊，就能簡單啟動搬遷工作負載。不過，即便搬遷過程有自動化協助，但是仍有部分環節有其困難度，像是在搬遷之前，用戶需要先規畫需要的容量，當有許多工作負載需要搬遷，或是持續複製資料時，要估算正確的容量並不容易，而且用戶也需要持續監控使用狀況，並手動擴展容量以維持系統效能。</p> <p>AWS新推出的DMS Serverless能夠簡化這些繁瑣的工作，自動配置、擴展和管理搬遷資源，讓資料庫搬遷更容易，最大程度降低用戶的監督工作量。過去在DMS可以執行的工作，包括連續資料複製、資料庫整合與搬遷，即便是來源和目標的資料庫引擎不同，都能夠由DMS Serverless完成。</p> <p>DMS Serverless能夠協助用戶完成複雜的工作負載搬遷任務，官方提到，該無伺服器服務可以同時搬遷數十個，甚至是數百個工作負載。DMS Serverless目前支援SQL Server、PostgreSQL、MySQL和Oracle資料來源，而搬遷目標則支援Amazon Aurora、RDS、S3、Redshift和DynamoDB等資料庫服務。</p> </div></div></div>
2023/6/6 09:57作者李建興https://www.ithome.com.tw/news/157191
【資安日報】6月5日，中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客在攻擊行動裡繞過防毒軟體（或EDR系統）偵測的情況，可說是相當常見，但大多針對Windows內建的Microsoft Defender，或是趨勢科技、Sophos、卡巴斯基等全球知名廠牌的產品。近期駭客組織Camaro Dragon的攻擊裡，他們鎖定印尼防毒軟體Smadav而來，突顯其攻擊行動相當具有針對性。</p> <p>另一起由中國駭客PostalFurious發起的網釣簡訊攻擊行動也值得留意，攻擊者原本鎖定的目標是新加坡、馬來西亞、澳洲，但自4月中旬開始也針對阿拉伯聯合大公國而來，將攻擊範圍擴及中東地區。</p> <p>兆勤（Zyxel）防火牆遭到攻擊的態勢很可能有擴大的跡象，該公司最近發出資安通告，駭客不只利用CVE-2023-28771，也利用他們在5月底修補的另外2個漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://research.checkpoint.com/2023/malware-spotlight-camaro-dragons-tinynote-backdoor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客Camaro Dragon利用後門程式TinyNote，鎖定東南亞外交單位收集情報</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/IQUL58EINF-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IQUL58EINF-image3.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露中國駭客Camaro Dragon的攻擊行動，駭客利用以Go語言打造的後門程式TinyNote，鎖定東南亞、東亞的外交大使館而來，此後門程式主要被用於第一階段攻擊，讓駭客能在受害電腦上持續從事相關行動，並可使用PowerShell或Goroutines，列出目標組織的電腦。攻擊者假借提供外交事務相關的文件，散布該後門程式。</p> <p>比較特別的是，TinyNote能繞過名為Smadav的防毒軟體偵測，此產品的主要用戶位於印尼，亦有東南亞與非洲的使用者，突顯此後門程式的攻擊相當有針對性。</p> <p>研究人員也發現，為了降低目標對象的戒心，駭客冒用緬甸軍事設施的網域名稱，進一步追查其使用的基礎設施之後，他們表示，駭客可能對臺灣政府機關也相當感興趣。</p> <p><a href="https://www.group-ib.com/media-center/press-releases/postalfurious/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">阿拉伯聯合大公國、星、馬等國遭到中國駭客組織PostalFurious網釣簡訊攻擊，目標可能是竊取個資或支付資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-Spam-email-containing-malicious-doc-attachment.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Spam-email-containing-malicious-doc-attachment.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB指出，主要針對亞太地區、擅長使用中文的中國駭客組織PostalFurious，在攻擊新加坡、馬來西亞、澳洲之後，今年5月將目標擴及中東地區，攻擊阿拉伯聯合大公國民眾。</p> <p>研究人員先是看到駭客假借收取道路通行費的名義，發送釣魚簡訊，要求手機用戶趕緊透過線上支付去付清積欠的費用，若照對方指示去做，就可能上當，被騙走信用卡相關資料。在另一起攻擊行動裡，駭客則是冒充中東的郵政機構，但其他攻擊手法則與上述網路釣魚行為雷同。</p> <p>研究人員指出，駭客透過馬來西亞及泰國的電話號碼，對阿拉伯聯合大公國電信業者的用戶寄送簡訊，或是發出iMessage訊息。</p> <p><a href="https://blog.cyble.com/2023/06/01/sharppanda-apt-campaign-expands-its-arsenal-targeting-g20-nations/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">G20國家遭到中國駭客SharpPanda鎖定，透過Office方程式編輯工具漏洞發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Infection-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Infection-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露中國駭客組織SharpPanda近期的攻擊行動，這些駭客鎖定二十大工業國（G20）的政府機關下手，假借提供本次會議相關資料的名義，實際卻是釣魚郵件攻擊。在電子郵件附加的Word檔案裡，研究員發現駭客運用了遠端注入手法，從C2伺服器接收、下載RTF檔案，於受害電腦部署第2階段的惡意軟體。</p> <p>這個RTF檔案是透過名為RoyalRoad的工具打造而成，該工具利用Office方程式編輯器漏洞CVE-2018-0802、CVE-2018-0798、CVE-2017-11882來進行滲透。除此之外，RTF檔也嵌入經過加密的惡意酬載及Shell Code，能以此下載後門程式。</p> <p>研究人員指出，這起攻擊行動代表駭客將攻擊的範圍，從原本的東南亞移轉到歐洲、北美、南亞國家。</p> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxels-guidance-for-the-recent-attacks-on-the-zywall-devices"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兆勤針對近期修補的防火牆重大漏洞提出警告，並指出有更多漏洞被用於攻擊行動</span></strong></a></p> <p>5月底多家資安業者、非營利組織Shadowserver基金會提出警告，駭客針對兆勤（Zyxel）於4月底修補的防火牆重大漏洞CVE-2023-28771，發動大規模攻擊，如今態勢變得更加嚴重。</p> <p>兆勤於6月2日發布資安通告指出，駭客不只利用CVE-2023-28771，5月底修補的兩個重大漏洞CVE-2023-33009、CVE-2023-33010，也出現遭到利用的現象，該公司呼籲用戶應儘速套用最新版本韌體，或是暫時停用WAN連接埠的HTTP及HTTPS服務來因應。</p> <p><a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1887&serno=bed71cfe-be00-424d-9e1d-fa4ce127a191"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">刑事局針對釣魚簡訊提出警告，駭客以包裹寄送地址有誤為由騙取信用卡資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-your-code-852537.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-your-code-852537.jpg" style="width: 300px; float: right;" /></a>內政部警政署刑事警察局提出警告，他們發現大量釣魚簡訊，偽冒物流業者順豐速運的名義，聲稱包裹因故暫停運送，並提供追蹤碼、查詢網站的連結，讓收信人得知送貨的進度而信以為真。然而若是照做，使用者就會看到配送地址錯誤的訊息，要求透過信用卡付款恢復運送，但實際上，駭客會收集相關資訊以便用於犯罪，甚至會盜刷信用卡。</p> <p>刑事警察局呼籲民眾要檢查網站的網域名稱進行確認，若是不慎上當導致信用卡被盜刷，應撥打信用卡客服申請止付，並向警方報案。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/high-severity-vulnerabilities-patched-in-splunk-enterprise/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Splunk公告修補高風險漏洞</span></strong></a></p> <p>6月1日大數據分析系統Splunk發布Splunk Enterprise 9.0.5、8.2.11、8.1.14，當中修補了高風險漏洞CVE-2023-32706、CVE-2023-32707、CVE-2023-32708，其中最嚴重的是權限提升漏洞CVE-2023-32707，允許能夠存取edit_user的低權限使用者，藉由偽造的網頁請求，取得管理員權限，CVSS風險評分為8.8。</p> <p>CVE-2023-32706屬於阻斷服務（DoS）類型的漏洞，攻擊者可發送偽造的SAML身分驗證訊息，以觸發XML解析器，CVSS風險評分7.7；CVE-2023-32708則與HTTP回應分裂有關，攻擊者在具備低權限的情況下，可藉此存取其他的REST端點，並檢視受管制的內容，CVSS風險評分為7.2。</p> <p><a href="https://www.gigabyte.com/tw/Press/News/2091"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">技嘉公告主機版韌體更新相關事宜</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157153#gigabyte">資安業者Eclypsium在5月底發布一份報告</a>，指出他們自今年4月，發現搭載技嘉主機板的電腦出現「類似後門的行為」，相關弱點可被用於攻擊。對此，技嘉於6月1日提出說明，並未直接回應相關質疑，僅表明他們已針對新版BIOS進行全面測試並進行驗證，降低潛在風險，將提供Intel 700、600系列，以及AMD 500、400系列的測試版BIOS。至於這些韌體的推出，是否與該份報告有關，從這份公告的內容也無法判斷。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/157186"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">衛星網路沙箱Moonlighter即將升空，成為第一個太空網路安全的測試環境</span></strong></a></p> <p>美國太空業者SpaceX預計於美國東部夏令時間（EDT）6月5日的晚上11點47分（臺灣時間6月6日上午11點47分）發射Falcon 9火箭，執行美國太空總署（NASA）的SpaceX CRS-28補給任務，其中最受到矚目的部分，包含了由非營利組織Aerospace所設計的太空沙箱設備Moonlighter。Moonlighter的功能，主要是讓研究人員能實際在太空軌道上進行衛星的網路安全測試，並能用於制訂戰術、技巧、程序（TTP）。</p> <p>美國空軍研究實驗室已於今年4月舉行第4屆Hack-A-Sat衛星駭客競賽活動，最終打算選出5組人馬，參與今年8月11日至13日舉行的DEF CON 31，決賽的內容就是針對Moonlighter進行攻擊。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.akamai.com/blog/security-research/new-magecart-hides-behind-legit-domains"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Magecart側錄攻擊出現新手法！駭客利用合法網站攻擊目標</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/online-sellers-targeted-by-new-information-stealing-malware-campaign/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客入侵電商網站，向使用者散布竊資軟體Vidar</span></span></strong></a></p> <p><a href="https://blog.avast.com/malicious-extensions-chrome-web-store"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意Chrome延伸套件現身市集，已被下載7,500萬次</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/06/01/noescape-ransomware-as-a-service-raas/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體NoEscape透過Windows安全模式植入受害電腦</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/e/investigating-blacksuit-ransomwares-similarities-to-royal.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體BlackSuit疑從Royal發展而來</span></span></strong></a></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157174">【6月2日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞，傳出駭客藉此竊取組織機密資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157153">【6月1日】技嘉主機板更新機制存在弱點，恐被用於供應鏈攻擊，研究人員呼籲IT人員封鎖相關更新功能</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157143">【5月31日】圖靈驗證CAPTCHA出現人工破解服務</a></strong></p> </div></div></div>
2023/6/5 18:14作者周峻佑https://www.ithome.com.tw/news/157192