iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【CDP業界觀察】如何克服CDP常見兩大挑戰，從商業模式先訂定數據行銷戰略才能治本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業若考慮要導入CDP，作為數據驅動跨通路行銷工具，應避免踩到哪些地雷？觀察過眾多企業CDP導入失敗案例的MarTech業者愛卡拉資深產品經理賴鑫治發現常見2大類挑戰：一類是籌備導入時，行銷與IT部門溝通不順利，因此曠日廢時，另一類則是成功導入了CDP，但行銷人員不知道從何用起，因此形同虛設。</p> <p>他進一步解釋這兩類挑戰，並分別提出了治標與治本的建議做法。</p> <p><span style="font-size:28px;"><strong>挑戰1：行銷部門難與IT部門協作困難，最好由高階主管統籌跨部門</strong></span></p> <p>籌備導入CDP最常見的挑戰是行銷部門與IT部門間溝通不易。導入CDP，需要由IT部門來協助串接不同系統的數據到平臺上。不過串接哪些數據，需要由行銷部門來說明。「但這兩個部門語言不同，因此常形成溝通障礙。」賴鑫治直言。</p> <p>他觀察，行銷部門即使知道自己需要做哪些行銷決策，也不一定有能力具體說明，這些決策要用哪些數據強化、內部是否有這些數據、如何形容這些數據、要從哪些資料庫中撈取、或是否有數據是他們不知道存在，但有助行銷決策。因此，企業必須有心理準備，這項溝通作業需要投入大量時間和人力資源才能完成。例如曾有串流平臺為了導入CDP，就算找來顧問和數據團隊訪談非IT部門的需求，來釐清需要匯入CDP的數據種類，就花了好幾個月的時間。</p> <p>不過，並非所有企業的IT部門都有意願或能力投入這麼多資源來協助導入CDP。賴鑫治表示，IT部門的時間是珍貴資源，打造數據管理平臺、串接內部系統數據到現成平臺、或花費數個月訪談非IT部門的數據應用需求，成本確實不低。要讓IT部門撥出資源協助導入CDP，他建議，更有效的方法是，由高階主管來負責主導跨部門合作。</p> <p><span style="font-size:28px;"><strong>挑戰2：員工難適應平臺式數據管理模式，最好從痛點需求先導入</strong></span></p> <p>另一類挑戰則是企業導入CDP初期，內部決策流程沒有隨著新顧客數據管理模式改變，因此CDP無用武之地，而後被棄用。賴鑫治強調，「行銷是為了帶來更多收入，而企業收入基礎是商業模式。數據管理工具的角色是提供更準確的決策依據，來強化既有商業模式。」若引進了數據管理平臺，卻不知道如何有效利用，CDP自然無法帶來任何效益。</p> <p>賴鑫治觀察，有不少企業導入CDP後，行銷人員因自身工作繁忙而不願花費更多時間來學習操作新系統。面對此問題，他建議不要對行銷人員溝通CDP能為企業帶來多少收益，而是從行銷人員切身痛點出發，強調平臺式數據管理方法，對他們日常工作流程能帶來哪些立即性改善。一個簡單的例子是，引進數據平臺後，行銷人員不再需要花費數日等待IT人員處理數據撈取需求，而是隨時能夠從平臺上取用。當行銷人員願意接觸新系統後，再慢慢教育他們如何使用其他功能。「導入初期，企業短期目標可以先放在培養內部員工積極利用數據平臺的工作習慣，養成後再考慮如何發展更多進階應用，帶動營收成長。」</p> <p><span style="font-size:26px;"><strong>治本：從商業模式釐清數據驅動行銷需求，設立明確CDP目標和策略</strong></span></p> <p>上述兩類挑戰，賴鑫治雖然都提出應對方法，不過預防勝於治療，企業更根本的課題是，決定導入CDP前，先設想好具體使用情境，或希望達成的行銷目標。否則，若企業營運模式不適合使用此產品，勉強導入後也容易棄置不用。</p> <p>企業如何評估自己營運模式需要導入CDP？賴鑫治建議，CDP功能是整合多通路顧客數據、視覺化分析這些數據、圈選出行銷分眾，再自動化行銷，「CDP強項是留客，而非獲客。」他提醒，要判斷是否適合用CDP進行留客，可參考3個指標：顧客接觸點多寡及複雜度、市場競爭強度及回購周期長短。顧客接觸點越多、越複雜，代表企業資料整合需求越大；市場競爭強度越高，代表企業越需要利用行銷來鞏固熟客客群；回購周期越短，代表再行銷機會越多。因此普遍來說，B2C、D2C商業模式的企業都有機會用CDP發揮價值，少數例外是大型家具、房地產等顧客回購周期過長的企業。</p> <p>確定自己適合導入CDP後，企業便能開始研究自己有哪些行銷決策，可以用數據來強化。賴鑫治建議，可以先釐清顧客在自家接觸點的足跡，再結合企業商業模式，判斷出可以於哪些接觸點進行行銷。聚焦了行銷目的和行銷接觸點，便更容易思考，如何用數據來強化。釐清如何使用CDP來強化行銷後，導入時部門間便更容易溝通數據應用需求，導入後也更清楚如何使用。</p> <p>賴鑫治指出，CDP導入涉及了IT部門與行銷部門密切協作、改變數據管理方法，以及強化數據驅動決策文化。這顯示出，CDP雖然是一種MarTech，企業導入時卻不只是導入一個產品，更是導入一種數據管理和應用模式。「將導入CDP視為企業整體數位轉型一環的企業，通常比較容易導入成功。」文⊙郭又華</p> </div></div></div>
2023/6/16 00:00作者郭又華https://www.ithome.com.tw/news/157366
【CDP業界觀察】5年內AI有機會實現AI行銷一條龍，橫跨數據蒐集、素材生成到自動化行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在，許多MarTech廠商已經應用AI於CDP中，用來快速處理巨量數據，並從中提出初步洞察。AI驅動行銷的下一步是什麼？未來AI不只能蒐集、整合和分析數據，連行銷策略擬定、素材生成、到自動化行銷的過程，都會由AI一條龍完成。</p> <p><span style="font-size:28px;"><strong>AI行銷現在式：AI整合和分析數據，輔助行銷人員決策</strong></span></p> <p>目前，利用AI整合和分析數據，已經是相當成熟的一種應用方法。愛卡拉資深產品經理賴鑫治舉例，訪談、客服內容等質化資料，可以用AI解析語意和情緒，自動貼上語意標籤；顧客造訪不同通路的行為和消費內容等數據，可以用AI歸納出顧客旅途；社群媒體互動、外部消費行為、廣告互動等外部數據，則能用AI梳理脈絡，來與內部數據對比。</p> <p>整合並梳理完數據後，AI便能從中分析出指標或規律來輔助行銷決策，也能在出現異常現象時發出警報。透過分析每一個顧客身上的大量標籤，AI常用於預測消費金額、消費頻率、熱門關鍵字、建議合作行銷對象等指標，或從這些顧客中標記出人類難以觀察到的共通點，來圈選行銷分眾。</p> <p>發展至今，AI數據處理能力已經相當細緻。Appier CDP產品負責人Elie Khoury表示，現在AI不只能從顧客消費或發言來自動貼標，還能依照網站頁面停留時間，或游標停留情況等細微的行為指標來判斷消費意圖，並為該顧客生成新標籤。</p> <p>另一塊AI應用是自動化行銷時的素材生成。同一個產品或活動，不同分眾可能會喜歡不同呈現方法。此時，便能利用AI來生成多種影音、圖文素材，以利分眾投放或A／B測試。不過，這類技術仍在起步階段，只有Adobe、Google等少數大廠的AI素材生成能力較強大，既能涵蓋多種媒體形式，品質也能達到一定水準。</p> <p><span style="font-size:28px;"><strong>AI行銷未來式：AI完成主要工作，行銷人員從執行者變成品質把關者</strong></span></p> <p>「數據的價值取決於你對它問什麼問題。」Elie Khoury說，「未來，AI能幫行銷人員問這些問題，來有效發揮出這些數據的價值。」</p> <p>現行技術水準，AI已經能整合和分析數據到一定程度，CDP介面設計上也盡可能將數據呈現得易懂、易用，不過最終行銷決策，仍相當仰賴行銷人員解讀和判斷能力。例如，當AI預測出行銷分眾的集體預期消費金額，企業應對這個分眾投入多少行銷預算？可能是預期消費金額一半、75%、甚至超過預期消費金額，端看本次行銷目的。</p> <p>直到半年前，AI還難以理解企業目的，只能提供冰冷的數字，讓決策時有一個初步錨點。不過自然語言模型的進步和生成式AI崛起，催生了一些AI行銷助理功能，可以和行銷人員互動，提供行銷素材設計或簡單的行銷手法建議。不過，越來越多MarTech業者，紛紛計畫推出更進階的AI建議功能，讓行銷人員就算不具備IT知識或豐富行銷經驗，仍能有效運用顧客數據平臺上的巨量顧客數據。</p> <p>賴鑫治預言，未來AI將會整合企業行銷素材和顧客數據，根據指令為企業擬訂專屬於自家顧客的行銷計畫並生成適當素材。「只要對AI說，『我要做一個母親節活動，請幫我想適合分眾和行銷自動話旅程』，這件事就會完成。」除了用AI支援行銷，AI還能擔任技術顧問，從簡單協助操作CDP，到協助數據開採、進階行銷策略制定、雲端CDP環境設定和維運，都能支援。</p> <p>Elie Khoury則表示，他看到未來AI驅動行銷的一個方向是，「行銷人員和CDP零互動。」行銷人員只要初期完成簡單的設定後，AI將能自動蒐集、豐富、整合、分析數據，並寄送結論給行銷人員。除非有特殊情況，否則行銷人員不需要親自到CDP進行更多操作。</p> <p>未來，行銷人員角色會越來越轉向品質把關者，負責監控人工智慧生成的素材和行銷策略。只要人工審查過關，人工智慧便能從一開始數據蒐集到最終自動化行銷，一手包辦。Elie Khoury更預言：「AI驅動行銷的時代，5年內就會實現。」</p> </div></div></div>
2023/6/16 00:00作者郭又華https://www.ithome.com.tw/news/157367
【數據行銷痛點1：跨通路數據整合】線上線下通路顧客數據整合不易，營業數據和金物流整合也是難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開店平臺Shopline臺灣總經理葉力維指出，超過30%的電商和實體商正往全通路（OMO）擴展，且這個比例還會越來越高，全通路經營成必然趨勢。</p> <p>但，葉力維表示，不論是電商往線下通路擴展，還是實體門市拓展線上通路，「整合」都會成為一大挑戰，包括商品與庫存的整合、購物紀錄的整合、跨通路的營業系統整合，還有Facebook、Instagram和Line等社群平臺的行銷和電商整合等。</p> <p>葉力維建議，企業用消費者面對整個品牌時的體驗來思考整合，用顧客旅程的概念來串起不同通路，才能提高黏著度與銷售成績。</p> <p><span style="font-size:28px;"><strong>如何做到最佳峰值體驗？靠數據分群</strong></span></p> <p>峰值體驗是近來電商圈熱門的關鍵字，它是指「在對的時間做對的事，觸發消費者做消費決策。」葉力維解釋，峰值體驗是非常個人化的體驗，因為，每位消費者的需求都不同，而這些不同，就反映在數據上。此時，店家得靠數據分析來掌握消費者的消費旅程，以便在對的時間點執行行銷計畫。</p> <p>然而隨著經營時間增長，店家消費群體越來越多，消費者所產生的數據也如串流般不斷更新，在這個情況下，店家不可能一對一服務。因此，「分群」成了消費群體和數據不斷成長的解法，來協助店家從眾多數據維度中，進行降維決策。舉例來說，傳統的RFM模型就是一種典型分群方法，也就是根據最近一次消費（Recently）、消費頻率（Frequency）和消費金額（Monetary）來定位不同消費群體，制定專屬行銷計畫。</p> <p>依據RFM和網站瀏覽行為、消費傾向、跨通路足跡等維度，企業便能決定行銷優先順序，再結合顧客消費周期，來進行更精準的自動化行銷。</p> <p><span style="font-size:28px;"><strong>直播電商新型態，帶來更大數據及營業形式整合挑戰</strong></span></p> <p>除了實體店面和電商平臺，另一種正在崛起的熱門通路是社群媒體平臺。尤其是直播電商，不僅可以帶來大量業績，企業也能同步蒐集許多顧客互動數據。</p> <p>不過，直播電商特殊的營業型態，使數據及營業形式整合成為巨大挑戰。首先是，直播時的互動型態與一般客服或通訊軟體型態不同，因此數據格式也不同，需要設計擷取和格式統一化的機制處理。分析階段，也需要針對直播電商的消費型態來特別設計解讀方法。例如，直播時下了15次訂單，必須與到店購買15次，雖然都是複購，但意義上相當不同。</p> <p>不只如此，直播電商的訂單格式與其他通路不同，因此在訂單、金物流處理上，也需要下額外功夫。葉力維解釋，直播電商的訂單是非常破碎化的，有可能同一個顧客在一次直播中下了10次、20次微型訂單。若將這些微型訂單通通視為獨立訂單處理，揀貨成本、包裝材料、金物流成本都會重複支出非常多次。加上直播電商的瞬間流量大，這些成本必然會高到難以吸收。因此，企業或開店平臺需要設計一個訂單整合機制，將同一個人的大量微型訂單整理成同一個訂單。</p> <p>不過，這種整合後的訂單，也不能視為一般訂單。葉力維舉例，一個訂單中可能同時包含預購產品和生鮮產品，前者需要等待一段時間才能出貨，但後者揀貨後需要快速出貨。企業和開店平臺必須先設計機制，讓訂單管理系統中能拆單，並在訂單履行階段有條不紊的落實。文⊙王若樸、郭又華</p> </div></div></div>
2023/6/16 00:00未署名https://www.ithome.com.tw/news/157368
【數據行銷痛點2：多通訊軟體整合】跨通訊軟體顧客數據整合不易，一站式自動化行銷更困難
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>精準行銷不只仰賴消費數據，還有藏在社群通訊平臺的大量顧客互動數據。通訊軟體行銷起家的Omnichat，最初針對不同通訊軟體，開發了一個個CRM系統，來專門處理店家在社群平臺的顧客資料。不過，隨著企業拓展行銷管道，或是發展出跨境商務，要使用當地熱門的通訊軟體來行銷時，跨通訊軟體整合便成為重要課題。</p> <p>不過，各大通訊軟體所保有的顧客資料性質多元，不是簡單可量化的消費數據，因此要歸戶出跨平臺單一消費者身分，再整合這些資料為易分析的格式，技術上就是一大挑戰。再來，各大通訊平臺有其格式，若要將相同的行銷內容，在不同通訊平臺上一次發送，也是另一大難關。</p> <p><span style="font-size:28px;"><strong>語言資料和互動資料處理難度較高</strong></span></p> <p>Omnichat執行長陳正達進一步解釋，不同於可以量化的消費數據、頻率、周期等數據，通訊軟體上的資料多為質化對話資料、各式選單和行銷訊息互動資料等，因此光是在擷取並結構化這些資料，就需要更高的技術門檻。</p> <p>舉例來說，企業與顧客的對話資料，要利用自然語言處理AI來解讀、貼標，顧客操作互動式元素的行為資料，也需要設計有效的定義和擷取方法。捕捉完這些資料後，還要考慮跨通訊軟體資料整合的問題。</p> <p>不同社群平臺間很少互相支援數據串接或整合，特別是熱門的通訊軟體，通常有自己的行銷科技生態圈，例如Meta就有旗下各通訊平臺的官方行銷訊息管理工具，Line也有許多技術合作廠商，專攻以Line為基礎的行銷科技。</p> <p>因此，企業或廠商常常得手動抓取各個通訊軟體的資料，再自行開發整合機制來處理這些資料。如此，企業才能才能開始從整個品牌的高度，來綜觀這些跨通路的通訊軟體資料。</p> <p><span style="font-size:28px;"><strong>支援的多媒體互動元素不盡相同，一站式管理跨平臺自動化行銷困難</strong></span></p> <p>不過，數據收集、分析是精準行銷的前置工作，要進行統一的自動化、個人化行銷又是另一個挑戰。</p> <p>「並不是指文字、圖片這種基礎元素，而是格式和系統複雜性更高的行銷素材。」陳正達說明，每家通訊平臺支援的多媒體互動元素，如優惠券、問卷、選單、遊戲等，格式都不同。再加上，這些互動元素，還可能跟企業其他後臺系統串接，例如優惠券需要串接到POS或電商系統，也需要連結到票券核銷系統，若發送優惠券的平臺一多，技術上和管理上都會相當複雜。</p> <p>目前業界常見做法是，在統一管理平臺上彙整各個通訊軟體的行銷功能，讓行銷人員可以一一發送，但無法一次發送到多個管道。或者，有些互動式行銷內容可以由外部系統來統一執行，而不用符合各通訊軟體格式，例如可以在聊天機器人後臺設定腳本，投放到不同通路上。文⊙王若樸、郭又華</p> </div></div></div>
2023/6/16 00:00未署名https://www.ithome.com.tw/news/157369
【資安日報】6月15日，駭客設置假冒流行服飾品牌的大量網站，並鑽搜尋引擎的網域信任漏洞，發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊相當常見，其中假冒物流業者與知名IT業者的情況最多，但最近有研究人員發現，有駭客一口氣假冒上百個知名的流行服飾、運動服裝品牌，從1年前開始架設釣魚網站來發動攻擊，但值得留意的是，攻擊者透過使用期間長達兩年以上的網域名稱而被Google搜尋引擎視為合法，並將其列於搜尋結果最前面的位置。</p> <p>近期散布剪貼簿挾持軟體Clipper的攻擊行動也值得留意，研究人員揭露一起感染此種惡意軟體的事故，經過調查發現，受害電腦使用被竄改的Windows 10盜版安裝光碟來部署，而在作業系統設置完成後就被植入Clipper。</p> <p>在6月13日，SAP、西門子、施耐德電機也都發布本月份例行更新，值得留意的是西門子，其資安通告提及自家產品存在不少第三方軟體的漏洞，但他們未提到是否提供更新軟體，這麼做雖是告知用戶注意，但廠商不幫用戶解決這些問題，意思是要用戶自求多福嗎？</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://bolster.ai/blog/brand-impersonation-scam"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">上百個流行服飾品牌網站遭到仿冒！駭客架設6千個網站進行網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2023-06-12-at-11_24_49-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2023-06-12-at-11_24_49-AM.png" style="width: 300px; float: right;" /></a>資安業者Bolster自2022年6月以來的大規模釣魚網站攻擊行動，駭客針對上百個流行服飾、運動服裝、穿戴裝置品牌用戶下手，打造冒牌網站，引誘民眾輸入帳密資料、信用卡資料，研究人員迄今總共發現約6千個網站，這些網站使用了逾3千個網域，此攻擊行動在今年1月至2月達到高峰。</p> <p>研究人員指出，駭客普遍運用註冊超過2年以上的網域名稱，而使得Google搜尋將其視為無害，並將這些釣魚網站列於前幾名的搜尋結果。</p> <p><a href="https://news.drweb.com/show/?i=14712"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客透過盜版Windows 10光碟映像檔散布剪貼簿挾持軟體</span></strong></a></p> <p>防毒業者Dr. Web揭露散布剪貼簿挾持軟體Clipper的攻擊行動，他們在5月底發現有客戶的Windows 10電腦出現Clipper及其他惡意程式，駭客藉著剪貼簿挾持軟體竄改電腦上的加密貨幣錢包網址，置換成攻擊者控制的伺服器網址，進行竊取受害者的加密貨幣資產，駭客竊得約1.9萬美元的以太幣及比特幣。</p> <p>但這起攻擊事件相當特別的是，受害電腦是因為安裝了盜版的Windows 10 22H2專業版作業系統，而在安裝完成後就感染了上述的Clipper。此惡意程式的執行方式也很罕見，先建立EFI硬碟分割區並複製惡意元件，然後利用處理程序挖空（Process Hollowing）手法啟動，最後移除上述的分割區。</p> <p><a href="https://vulncheck.com/blog/fake-repos-deliver-malicious-implant"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客佯稱是資安業者的研究人員，宣稱提供零時差漏洞的PoC程式，透過推特、GitHub散布惡意軟體</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kuzman.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/kuzman.png" style="width: 300px; float: right;" /></a>資安業者VulCheck揭露假借提供零時差漏洞的概念性驗證（PoC）程式碼的惡意軟體攻擊行動，駭客自2023年5月，冒用Rapid7等資安業者的研究人員姓名與照片，聲稱是來自資安業者High Sierra Cyber Security的員工，在GitHub儲存庫上傳「零時差漏洞的概念性驗證程式碼」，並於推特進行宣傳。</p> <p>但實際上，駭客在GitHub提供的檔案，其共通點是包含名為poc.py的Python指令碼，一旦受害者執行，Windows、Linux電腦就有可能被植入惡意軟體。</p> <p><a href="https://www.cisa.gov/news-events/news/us-and-international-partners-release-comprehensive-cyber-advisory-lockbit-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit不法所得逾9千萬美元</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI），以及來自澳洲、加拿大、英國、法國、德國及紐西蘭的網路安全機構聯手，針對勒索軟體LockBit的威脅態勢進行調查，結果發現，自2020年至今年第1季，受害組織達到1,653個，來自美國的不法所得已超過9,100萬美元，因此，這些機關均認為LockBit是這兩年帶來最大威脅的勒索軟體。</p> <p>上述單位也公布LockBit的攻擊流程，並指出攻擊過程中，可能利用數十種開源軟體及商用軟體，以及已知漏洞，因此提出相關預防措施及建議。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/sap-patches-high-severity-vulnerabilities-with-june-2023-security-updates/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP發布6月例行更新，修補高風險漏洞</span></strong></a></p> <p>6月13日SAP發布本月份的例行更新，當中風險等級最高的是CVE-2023-33991，該漏洞存在於UI5 Varian Management應用系統，攻擊者可藉此取得使用者層級的存取權限，進而影響該系統的可用性、完整性，以及機密性，CVSS風險評分為8.2。</p> <p>另一個也相當嚴重的高風險漏洞是CVE-2023-2827，存在於該廠牌的數位製造管理系統Plant Connectivity的元件，起因是缺乏身分驗證，而使得攻擊者在不需有效的JSON Web Token（JWT）的情況下，能夠連結含有漏洞的應用程式，CVSS風險評分為7.9。</p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-addresses-over-180-third-party-component-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布6月例行更新</span></strong></a></p> <p>西門子與施耐德電機於6月13日發布本月份例行更新。西門子總共發布14則新公告，涵蓋約200個漏洞，其中有約108個是影響Simatic S7-1500的Linux核心漏洞；另有54個漏洞與該設備的BIOS有關，並波及第三方元件與Intel處理器，而這些影響此設備的漏洞，該公司提出了緩解措施，但相關修補程式仍在製作當中。</p> <p>施耐德電機本次發布4則新公告，涵蓋5個漏洞的說明。其中一則公告提及2個Foxboro分散式控制系統（DCS）的高風險漏洞，攻擊者可用於阻斷服務（DoS）攻擊、提升權限、以核心層級執行任意程式碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cy.gov.tw/News_Content.aspx?n=125&sms=8912&s=26604"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對去年裴洛西訪臺資安事件頻傳，監察院要求數位部強化資安管理</span></strong></a></p> <p>美國眾議院裴洛西議長於2022年8月2日訪臺，隨後部分機關傳出網站癱瘓，公共場域電子看板內容亦遭竄改，引起社會大眾矚目，監察委員賴鼎銘、葉宜津、林郁容經過立案調查，監察院交通及採購委員會並於13日通過調查報告，指出在公私協力、橫向協調、改善公私部門資安從業人員困境及軟體供應鏈安全等面向確有不足。</p> <p>他們歸納近期發生的指標性案件指出，發現無論是公部門或私部門，經常欠缺主動發現風險、適當控管及即時通報之誘因，而且面對資安事件多採迴避態度，相關單位宜從鼓勵通報及實質改善從業人員困境著手，但自2019年迄今未獲重大進展。對此，監察院要求數位部亦應積極辦理。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://stairwell.com/news/chamelgang-and-chameldoh-a-dns-over-https-implant/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客利用惡意軟體ChamelDoH攻擊Linux主機</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/06/14/cadet-blizzard-emerges-as-a-novel-and-distinct-russian-threat-actor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Cadet Blizzard鎖定烏克蘭組織發動資料破壞攻擊</span></span></strong></a></p> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/skuld-the-infostealer-that-speaks-golang.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Go語言惡意軟體Skuld鎖定Windows電腦，意圖竊取Discord和瀏覽器資料</span></span></strong></a></p> <p><a href="https://threatresearch.ext.hp.com/wp-content/uploads/2023/06/HP_Wolf_Security_Threat_Insights_Report_Q1_2023.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體ChromeLoader假借提供盜版影音、遊戲散布</span></span></strong></a></p> <p><a href="https://orca.security/resources/blog/examining-two-xss-vulnerabilities-in-azure-services"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Azure Bastion、Container Registry出現XSS漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157332">【6月14日】微軟發布6月份例行更新，修補近80個漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157321">【6月13日】俄羅斯駭客NoName鎖定瑞士政府，發動DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157304">【6月12日】大型金融業者須提高警覺！駭客發動新型AiTM攻擊與BEC詐騙</a></strong></p> </div></div></div>
2023/6/15 18:04作者周峻佑https://www.ithome.com.tw/news/157372
歐洲議會通過《AI Act》草案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20230609IPR96212/meps-ready-to-negotiate-first-ever-rules-for-safe-and-transparent-ai" target="_blank">歐洲議會（European Parliament）在本周三（6/14）通過了人工智慧法案（Artificial Intelligence Act，AI Act）的草案</a>，以確保在歐洲開發及使用的AI可完全符合歐盟的權利與價值觀，包括人類監督、安全、隱私、透明化、非歧視，以及社會與環境福址，成為西方世界第一個全面性的AI法規。</p> <p>AI Act是根據AI的風險等級替AI系統的供應商與部署者規定了各種義務，同時禁止某些可能對人類安全造成莫大風險的AI系統。</p> <p>包括不得於公共空間設立即時的遠端生物辨識系統；不得以敏感特徵來建立生物分類系統，如性別、種族、民族、公民身分、宗教或政治取向等；不得根據側寫、位置或過去的犯罪紀錄來打造預測性的警務系統；不得於執法、邊境管理、工作場所或教育機構中部署情緒辨識系統；以及不得無針對性地利用網路及監視影像中的臉部，來建立人臉辨識資料庫。</p> <p>除了上述的絕對禁止事項之外，AI Act也建立了高風險AI應用列表，只要是被應用在重要架構的AI系統都被視為高風險，從重大的基礎設施、教育/職業訓練、產品的安全元件、招募/員工管理系統、必要的私人與公共服務、執法、移民/庇護/邊境管制管理，以及司法與民主程序等，都必須遵守嚴格的義務。</p> <p>至於像是ChatGPT這類的基礎模型的供應商，也必須評估與緩解各種可能對健康、安全、人權、環境、民主或法令所造成的風險，且必須在於歐盟市場發表前向歐盟資料庫註冊。此外，相關模型也必須符合透明度的要求，揭露其內容是來自AI，也必須避免產生違法內容。</p> <p>為了推動AI領域的創新，《AI Act》草案針對開源授權的研究活動與AI元件新增了豁免權，可由官方建立可用來測試AI的監管或現實環境。</p> </div></div></div>
2023/6/15 15:49作者陳曉莉https://www.ithome.com.tw/news/157370
AWS推出可簡單管理應用程式授權的Verified Permissions身分驗證服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS整合開源專案Cedar，正式推出用於身分驗證與管理的<a href="https://aws.amazon.com/tw/blogs/aws/simplify-how-you-manage-authorization-in-your-applications-with-amazon-verified-permissions-now-generally-available/">Verified Permissions服務</a>，開發者可以將其用於管理應用程式的權限，並且對應用程式用戶操作進行授權。在Amazon Verified Permissions中，用戶可以使用Cedar政策語言配置精細權限，大幅簡化應用程式的身分管理程式碼，並且集中管理和維護權限。</p> <p>過去開發者需要自己建構身分驗證系統，對應用程式的用戶進行驗證和授權，或是使用外部身分供應商的解決方案，但AWS提到，這類身分供應商的系統，其身分驗證邏輯通常實作在程式碼中。也就是說當使用者的角色需求越來越複雜，權限需要更細分的時候，在程式碼中管理便容易出錯。</p> <p>而AWS新發布的AWS Verified Permissions，是一種可用於管理應用程式精細權限和授權的服務。該服務建立在開源專案Cedar之上，Cedar是一個可以定義權限政策的語言，能夠方便地描述角色的權限，並且同時可作為評估這些權限政策的規範，透過使用Cedar政策，開發者可控制應用程式的每一個用戶操作，以及用戶可以存取的資源。</p> <p>依主體類型、資源類型以及有效操作，對授權模型定義架構，當使用者在創建政策的時候，便能根據授權模型進行驗證。Cedar的優點之一便是執行快速且可擴展，開發團隊在設計Cedar的時候，將能夠快速走訪建立索引，作為設計政策結構的中心思想，因此可在有限的延遲之下，進行快速且可擴展的即時評估。</p> <p>AWS用戶可以使用AWS SDK，將應用程式連接至Verified Permissions，對存取請求進行身分驗證，每一個授權請求，皆會經過檢索和評估相關政策，以確定該操作的合法性。使用者可以透過重現這些授權請求，來確認權限是否按預期運作。除了中國，Amazon Verified Permissions目前已在所有AWS商業區域上線。</p> </div></div></div>
2023/6/15 15:52作者李建興https://www.ithome.com.tw/news/157361
開發人員對Reddit的抗議行動計畫無限期延長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>展開抗議Reddit收費政策行動的開發人員認為，Reddit迄今未能解決雙方歧見，部分開發人員表示計畫無限期關閉外部存取。</p> <p>本周一眾多開發人員投入抗議行動，藉由「地下化」（Go Dark），即關閉社群網頁外部存取，以反對Reddit過高的收費政策。在8,299個版（subreddit）中，有超過7,742個關閉，涉及2.8萬名版主及28億訂閱人次，<a href="https://www.ithome.com.tw/news/157316" target="_blank">導致當天Reddit網站及App停擺3個多小時</a>。截至本周三，仍然有5,000多個版顯示關閉。</p> <p><a href="https://www.reddit.com/r/ModCoord/comments/148ks6u/indefinite_blackout_next_steps_polling_your/" target="_blank">r/Modcoord版主SpicyThunder指出</a>，這個行動已經充分展現他們的憤怒，他們也很早就清楚表達訴求，包括API費用合理化、允許第三方App自營廣告，允許他們的App能顯示某些必要的圖片，以及官方App強化視障者的輔助功能。Reddit方面已逐漸有所讓步，例如在地下化行動前宣布回復歸檔資料的存取工具。但是核心問題卻仍然沒有解決，且此後Reddit就保持沈默。</p> <p>因此有300多個版主已宣布將無限期地下化，直到Reddit提供令人滿意的解決方案。這些版包括訂閱人數超過3,000萬的r/aww、r/music、人數超過2,600萬的r/videos及近1,900萬的r/futurology。此外<a href="https://www.reddit.com/r/nba" target="_blank">/nba版也承諾要無限期關閉</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0615-reddit-600.png" style="width: 600px;" /></p> <p>r/ModCoord呼籲其他版主也加入表達不滿，直到Reddit合理解決。因為目前為止，Reddit並未感到有退讓的必要。<a href="https://www.theverge.com/2023/6/13/23759559/reddit-internal-memo-api-pricing-changes-steve-huffman" target="_blank">Reddit執行長Steve Huffman周一對內公開信指出</a>，這場抗議行動對其營收沒有顯著影響，他們相信周三許多版都恢復上線。他也鼓勵員工撐下去，說這次風波和過往所有碰到的挑戰一樣，最後都會過去。</p> <p>至於有些對成員很重要的版，像是對防止酒駕的/StopDrining或烏克蘭（/ukraine）版，他們建議一周關閉一天以象徵性支持。</p> <p>這個行動認為Reddit過於嚴苛的收費以及不合理的功能限制，最終目的是消滅第三方App。一些知名App包括Apollo、Reddit is Fun、Narwhal、BaconReader等則已宣布將在6月30日永久關閉，獨留Reddit這個「難用、對身障者不友善、品質低落」的官方App。</p> </div></div></div>
2023/6/15 16:02作者林妍溱https://www.ithome.com.tw/news/157371
盜版Windows ISO檔內含木馬程式竊取用戶加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.drweb.com/show/?i=14712&lng=en" target="_blank">安全廠商發現</a>一款惡意clipper木馬程式利用多個盜版Windows ISO檔在網路散布，意在竊取受害者的加密貨幣。</p> <p>安全廠商Doctor Web今年5月底在一家客戶Windows 10電腦中，發現名為Clipper的木馬程式及其他惡意程式。Clipper這隻木馬會將用戶裝置上的加密貨幣電子錢包網址置換成攻擊者控制的伺服器網址，藉此竊取用戶財產。</p> <p>值得注意的是，受感染的Windows是非官方Windows 10 Pro 22H2的系統ISO映像檔，從一開始就被感染了Clipper。這些ISO映像檔是透過用於檔案P2P傳輸的Torrent Tracker伺服器流傳，但研究人員相信也可能透過其他網站。</p> <p>Clipper感染過程包含數個階段。一開始有個dropper先在Windows建立EFI磁碟分區（EFI partition）。之後載入名為Inject的程式，並以行程清空（process hollowing）手法將Clipper注入到合法系統行程Lsaiso.exe中，這類手法有助於避免安全偵測。一旦控制了這個合法行程，Clipper會檢查是否有安全程式，如果有就按兵不動。若沒有，它會將Windows剪貼簿中的加密貨幣錢包網址置換成攻擊者控制的伺服器。</p> <p>研究人員指出，滲透到EFI磁碟分析的攻擊手法十分罕見。根據計算，目前駭客已經竊取了1.9萬美元等值的以太幣及比特幣。雖然數字看起來不多，但這次攻擊突顯駭客在Windows系統滲透技術又再演進。</p> <p>安全廠商呼籲用戶應從合法的網站下載Windows ISO映像檔，包括像是電腦製造商網站。</p> </div></div></div>
2023/6/15 12:30作者林妍溱https://www.ithome.com.tw/news/157358
全支付跨足金融市場推出「電支雞」，讓用戶用電子支付帳戶就能買賣基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全聯旗下的電子支付品牌「全支付」近日正式跨足金融市場，聯合網路證券公司推出名為「電支雞」的金融理財服務，讓全支付用戶以後也能透過零錢或定期定額的方式買賣基金。</p> <p>自去年9月上線之後，全支付不斷深耕基礎設施的建設，積極擴大電支會員數，突破300萬名用戶，還從線下展開到逐步建立完整的線上服務體系，更擴展到了生活繳費服務，迄今涵蓋了70種以上的繳費場景。</p> <p>但僅僅是擴大會員、提升用戶消費體驗還不夠，全支付更大產品策略，是以電子支付為核心，實現消費到金融理財的整合服務，進而擴大電子支付的應用範圍，延伸至金融領域。全支付總經理游金榮表示，與網路券商好好證券合作所推出的「電支雞」，就是全支付跨足金融服務市場的第一步。</p> <p>透過雙方合作，全支付用戶以後可以實名制的電子支付帳戶，作為身分認證、驗證及授權，買賣交易基金。不過要使用這項服務之前，用戶仍然需要在好好證券完成數位帳戶開戶，才能使用電子支付帳戶進行基金的交易操作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230613_055355801.jpg" /></p> <p>在電支雞服務中，主要提供兩種儲蓄投資模式，除了常見的定期定額投資以外，還有一個零錢存功能，只要開啟這項功能，每次只要購買消費滿百元以上的商品，系統會自動記錄每筆交易中十位數零頭，並將該零頭記錄在虛擬記帳本中，當累積記錄達到300元，系統會按照用戶的指示，從他們全支付帳戶中扣款，然後將相同金額自動存入基金。但這個累計計算，只適用在全支付合作的通路消費付款的交易。</p> <p>然而，這並非電支業者與證券商的首次合作，早幾個月前，另一家主推icash Pay的愛金卡也與元大投信攜手合作，讓icash Pay用戶能夠透過電子支付帳戶進行基金交易，但使用前必須先前往元大投信的網頁，完成線上開戶的手續。</p> <p>為了縮短證券數位帳戶開戶流程，全支付在App中採用一站式整合設計，讓所有基金投資的步驟，都可以在同一個電子支付平臺上完成，從帳戶開通、綁定、授權扣款、挑選投資標的到買賣基金等操作，不需要另外開啟或跳轉到其他開戶頁面。</p> <p>不過，基於金融機構之間的資料共享，全支付在用戶同意的前提下，現階段的資料共享以提供用戶註冊的相關資訊為主，用來簡化其證券開戶流程，並不包含投資用戶開戶後在電支App上進行基金交易的相關數據的共享。</p> <p>另外，為了吸引年輕的客群，在電支雞服務中還搭配有趣的互動設計，來增加使用趣味性，藉由仿效復古的電子雞養成遊戲，來提高這些用戶黏著度。電支雞服務上線後，初期將提供4檔交易基金可供用戶選擇。</p> </div></div></div>
2023/6/15 12:35作者余至浩https://www.ithome.com.tw/news/157352
新版Google Lens可檢測皮膚症狀、將整合Bard
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-lens/google-lens-features/" target="_blank">Google宣布釋出智慧鏡頭（Google Lens）更新</a>，加入檢測皮膚症狀的功能，也預告將整合Bard AI助理。</p> <p>Google智慧鏡頭可讓用戶以手機相機藉由拍攝相片完成搜尋、線上購物、翻譯外國菜單、尋找附近的商店，現在每個月透過這項功能的視覺搜尋超過120億次。但除了一些休閒應用外，Google智慧鏡頭也有關鍵的健康功能。2021年Google推出名為<a href="https://health.google/consumers/dermassist/" target="_blank">DermAssist</a>的功能，讓用戶上傳3張皮膚照片及回覆一些問題，它就會提供可能的皮膚問題資訊。在最新版更新下，智慧鏡頭只需用戶透過Lens拍攝或上傳皮膚相片，就能以視覺搜尋提供可能的病症資訊。這項功能也能用於其他身體異狀，如嘴唇上的突起，指甲表面紋路，或是掉髮問題。Google宣稱，使用機器學習及皮膚科醫生審查過的內容訓練而成的DermAssist，可辨識288種皮膚、指甲和頭髮症狀。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0615-Google%20Lens-Search%20for%20skin%20conditions-960.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>今年5月在I/O大會上，Google宣布智慧鏡頭將整合Bard。再幾個星期後，用戶可以在Bard輸入圖片，Bard會啟動底層的Google Lens功能辨識圖片內容。例如上傳一張涼鞋新品相片問Google Bard產品名為何、提供穿搭建議，或是按下Google it的按鍵，直接在購物網站下單。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Bard_Prompt_with_images_v07_.gif" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>智慧鏡頭其他功能包括支援上百種語言的文字翻譯，以及「作業小幫手（homework help）」，後者讓用戶拍攝數學題目的相片，它會協助用戶一步步完成解題。<a href="https://www.ithome.com.tw/news/154802" target="_blank">Google去年12月宣布</a>正在開發能看懂醫師手寫處方箋的AI模型，以及辨識醫師手寫醫囑並加強顯示藥物資訊，以加速醫護作業數位化，新功能未來也將整合到Google智慧鏡頭中。</p> </div></div></div>
2023/6/15 12:51作者林妍溱https://www.ithome.com.tw/news/157359
歐盟建議Google拆分廣告業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3207" target="_blank">歐盟執委會（European Commission，EC）周三（6/14）指出</a>，初步認為Google扭曲了廣告科技產業的競爭，違反歐盟的反托拉斯規定，建議Google拆分廣告業務，而且已知會Google。</p> <p>歐盟的調查奠基在法國、丹麥、義大利與葡萄牙針對Google廣告業務的相關調查，指出廣告科技可分為三大版圖，分別是讓出版商能夠管理其廣告空間的出版商廣告伺服器，可讓廣告主管理其自動化廣告活動的購買工具，以及一個可即時媒合出版商及廣告主的廣告交易平臺。</p> <p>而Google即提供了兩項廣告購買工具Google Ads與DV 360，一個出版商廣告伺服器DoubleClick For Publishers（DFP），以及一個廣告交易平臺AdX。</p> <p>調查顯示，Google的兩項廣告購買工具及出版商廣告伺服器在歐洲經濟區都占有主導地位，且Google利用對這些服務的掌控來推動AdX。例如藉由DFP所掌握的資訊，提前讓AdX得知競爭對手的最佳出價，或者是讓Google Ads及DV 360以AdX為主要交易平臺。</p> <p>EC認為，Google的作法涉嫌故意替AdX帶來競爭優勢，進而排擠其它的廣告交易平臺。</p> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/speech_23_3288" target="_blank">EC副主席Hans Vestager指出</a>，占據主導地位並沒有錯，然而，調查卻發現Google似乎濫用其主導地位，藉由其在買方及賣方市場的主導優勢來支持AdX，最終目的是讓AdX取得廣告科技供應鏈中的核心地位，促使Google得以於AdX上收取高額費用，此外，對於廣告競標而言，所有的競標者都應該取得同樣的資訊，然而自2014年起，Google便透過DFP讓AdX更具優勢。</p> <p>Vestager說，倘若最終EC認定Google的行為違反規定，那麼便可能要求Google拆分其廣告服務，例如隔離廣告購買工具、DFP 與AdX，以解決Google廣告服務的利益衝突。</p> </div></div></div>
2023/6/15 12:58作者陳曉莉https://www.ithome.com.tw/news/157360
LockBit現為全球最猖獗的勒索軟體，3年來受害組織超過1,600個
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI），以及來自澳洲、加拿大、英國、法國、德國及紐西蘭的網路安全機構，<a href="https://www.cisa.gov/sites/default/files/2023-06/aa23-165a_understanding_TA_LockBit.pdf" target="_blank">在本周針對勒索軟體LockBit發布了一份共同報告</a>，指出LockBit是去年與今年最活躍的勒索軟體即服務（RaaS），從2000年至今年第一季的受害組織達1,653個，光是計算其在美國市場的相關攻擊，不法所得便超過9,100萬美元。</p> <p class="rtecenter"><a href="https://www.cisa.gov/sites/default/files/2023-06/aa23-165a_understanding_TA_LockBit.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0615-lockbit-by%20CISA.png" style="width: 307px;" /></a></p> <p>LockBit的前身名為ABCD，一直到2020年1月才正名為LockBit。其攻擊對象涵蓋全球各種規模的組織，以受害者數量來看，它是去年全球最活躍的勒索軟體組織及RaaS供應商。它的熱門其來有自，包括它會在論壇上貶低其它的RaaS服務，銷售LockBit紋身貼紙，<a href="https://www.ithome.com.tw/news/151655" target="_blank">推出抓漏獎勵專案</a>，持續發布與更新服務，還有直覺的RaaS介面，最重要的一點是，它願意讓客戶先收到贖金之後再與該服務分潤，而其它RaaS服務都會要求客戶預先支付。</p> <p>LockBit的受害者遍及全球各地，在2022年時，美國有16%的勒索軟體攻擊與LockBit有關，澳洲則是18%，加拿大為22%，紐西蘭則是23%。從2020年至今年第一季，LockBit的官網總計公布了1,653個受害組織，在此一期間，光是美國受害組織所支付的贖金便超過9,100萬美元。</p> <p>此外，LockBit使用了數十種自由與開源軟體來協助攻擊，涵蓋7-zip、AdFind、Advanced IP Scanner、Advanced Port Scanner、AdvancedRun、AnyDesk、Defender Control及TeamViewer等。也利用了許多已知漏洞，多半是各種遠端程式攻擊漏洞，像是F5 iControl REST的CVE-2021-22986、Fortra GoAnyhwere Managed File Transfer的CVE-2023-0669、Apache Log4j2的CVE-2021-44228，或是微軟遠端桌面服務的CVE-2019-0708等。</p> <p>值得注意的是，倘若駭客成功地攻陷了一個負責管理其它客戶網路的組織，所勒索的對象則不限於目標組織，也會以透過目標組織取得的機密資訊向其客戶勒索。</p> <p>此一共同報告列出了LockBit的每一個攻擊步驟，從如何滲透受害組織的網路，到最後成功加密受害組織的系統並使其停止運作。</p> <p>另也提出各種預防相關攻擊的緩解措施，包括部署沙箱式瀏覽器，要求所有必須以密碼登入的帳號都必須符合NIST標準，在電子郵件閘道中啟用過濾機制，安裝網路應用防火牆，區隔不同的網路，遵循最少權限的作法，強制管理與稽核那些具備管理權限的帳號，在管理權限上設定時限，限制服務帳號自遠端存取其它系統，禁止直接自網路存取管理介面，針對網釣攻擊進行教育訓練，以及定期更新系統與應用等。</p> </div></div></div>
2023/6/15 11:57作者陳曉莉https://www.ithome.com.tw/news/157357
Meta揭露效能超越生成式方法的電腦視覺模型I-JEPA，學習方式更接近人類
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta首席人工智慧科學家Yann LeCun提出了一種新的人工智慧模型架構，能夠克服當今人工智慧系統的限制，獲得更好的效能。而現在Meta揭露了使用這個新架構所開發的電腦視覺模型<a href="https://ai.facebook.com/blog/yann-lecun-ai-model-i-jepa/">I-JEPA（Image Joint Embedding Predictive Architecture）</a>，其特色在於能夠關注真正的圖像重點，並以更少的GPU訓練時間獲得更好的模型效能。</p> <p>I-JEPA在多項電腦視覺任務表現，較當前廣泛使用的電腦模型高上不少，而且計算效率也更好，I-JEPA模型所學習的資料表示（Representation），也可以在不需要大量微調的情況下，用在許多不同的應用程式。在機器學習中，表示指得是輸入資料被轉化成機器可以理解和處理的形式，也就是所捕捉到原始資料的特徵和模式。</p> <p>基於I-JEPA架構，研究人員使用16個A100 GPU，以72小時訓練了一個6.32億參數的視覺Transformer模型，在ImageNet資料集中的少樣本分類任務效能表現，超越當前所有模型。研究人員提到，其他方法通常需要2到10倍的GPU訓練時間，而且在使用相同資料訓練時，錯誤率通常會高得多。</p> <p>而I-JEPA高效能的秘密，就在其能夠以更像人類理解抽象表示的方式，來預測缺失的資訊。一般生成式模型的預測發生在像素空間，而I-JEPA則是使用抽象的預測目標，而這也潛在地消除了像素空間中不必要的細節，進而使模型學習更多語義特徵。</p> <p>另一個I-JEPA重要設計，是使用一種稱為多區塊遮蔽策略（Multi-Block Masking Strategy）。I-JEPA在處理圖像複雜輸入時，不只是關注一小部分，而是放眼更大的範圍，以便理解和學習更多的語義資訊，也就是說，多區塊遮蔽策略的重要性，在於預測包含語義資訊的大塊區域，而且這些區域的範圍要足夠大，才能有足夠豐富的上下文來進行預測。</p> <p>I-JEPA以高層次預測表示而非直接預測像素值，能夠學習有用的表示，避開生成式方法的侷限。研究人員指出，生成式方法透過刪除和扭曲模型輸入的部分內容來進行學習，像是抹除照片的一部分，或是隱藏文字段落中的某些單字，接著要求模型嘗試預測丟失的像素和單字，來達成訓練目的。</p> <p>但這也造成生成式方法一個明顯的缺點，生成式模型會嘗試填補每一個缺失的資訊，即便是現實世界的本質並不可預測。由於生成式方法過於關注不重要的細節，導致容易出現人類永遠不可能犯的錯誤，例如在生成人手的時候，可能出現不同數量的手指，或是其他明顯的錯誤。</p> <p>I-JEPA預訓練非常高效，而且不需要使用複雜的資料增強方法，經過實驗證實，I-JEPA能夠學習出強大的語義表示，在ImageNet-1K的線性探索和半監督評估上，超越了像素和權杖重建（Token-Reconstruction）方法，且與仰賴人工資料增強的方法相比，I-JEPA在低階的視覺任務，像是物體計數和深度預測上表現得更好。I-JEPA架構的模型更簡單，也更能夠適應廣泛的任務。</p> </div></div></div>
2023/6/15 08:19作者李建興https://www.ithome.com.tw/news/157335
國科會揭國產70億參數AI對話引擎成果，下一步要打造商用版小型LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會今日（6/14）揭露臺版可信任AI對話引擎（TAIDE）計畫第一階段成果，TAIDE模型以LLaMA為基礎、以中文資料微調而成，目前版本為70億參數，可執行自動摘要、翻譯、寫信、寫文章等4大任務。接下來，TAIDE計畫還將經過3階段發展，包括130億參數大模型階段、具備阻絕不適當回答能力的可信任階段，以及多輪問答階段。今年，國科會還將以商用授權的LLM為基礎，來打造國產小型企業版模型，來供商業使用。</p> <p><strong><span style="font-size:24px;">用繁中資料打造臺版生成式AI，同時建立可信任AI驗證機制</span></strong></p> <p>今年2月13日，國科會主委吳政忠就指出，臺灣要有自己的大型語言模型（LLM）。於是，TAIDE計畫隨之展開，集結國內學術團隊和國科會轄下機構，由陽明交大應數系教授李育杰擔任計畫負責人，來統籌TAIDE開發工作。李育杰表示，國科會觀察，近年各種大型語言模型推陳出新，從2018年的BERT一直到最近的BLOOM、ChatGPT、LLaMA、GPT-4等，各國也積極發展LLM，「臺灣也不能缺席，」要從生成式AI人才培育、高速運算環境、高品質語料收集和標註等面向打好基礎。</p> <p>而TAIDE計畫的宗旨是要以臺灣文化為基礎，加入臺灣特有用語、價值觀和風俗習慣等元素，來讓生成式AI理解、回應在地使用者需求，打造可信任的生成式AI引擎基礎模型。簡單來說，TAIDE模型是為臺灣量身打造，讓政府和企業可根據需求，來選擇合適的模型大小、算力，來自行訓練模型，打造內部應用。這麼做，也能解決高機敏性企業用AI的顧慮。</p> <p>李育杰說明，團隊一開始嘗試開源的大型語言模型BLOOM，以它為基礎來打造TAIDE，但發現效果不如理想，因此改以Meta的LLaMA為基礎，透過網路爬蟲方式收集大量繁中資料，如新聞資料，來優化模型。他也點出，這些訓練資料大約有1,440億個Token。</p> <p>但為確保資料品質和合規性，團隊也花了不少時間清洗資料、取得資料授權並標註資料，同時根據不同主題和領域分類整理，設置特定領域的應用案例，來補足企業需求。微調模型時，他們也透過臺大教授李弘毅團隊來以強化學習優化模型表現，另一方面，國科會也建置運算環境和應用服務平臺，來為後續的推廣應用打下基礎。李育杰補充，國科會除了將升級臺灣杉超級電腦，今年10月還將購入一批新一代H100 GPU，加強算力。</p> <p>不只如此，這個TAIDE計畫除了發展可信任AI對話引擎，還有另一個重要任務，也就是建置可信任AI的驗證機制。進一步來說，團隊將聚焦法規和驗證標準化，先研究AI法規，要協助國內AI法制化，還要針對技術和產業面，規畫驗證機制和相關工具，來完善AI發展環境。此外，他們還要納入資安檢測機制，來確保資料安全。這些驗證工作和資安檢測工作，將由數位部負責。</p> <p><span style="font-size:24px;"><strong>預計秋季開始打造商用版、年底完成13B版本模型</strong></span></p> <p>今日，TAIDE 7B版本模型亮相，屬於TAIDE計畫的第一階段成果。這個7B模型可執行自動摘要、翻譯文本、寫信、寫文章等4大任務（如下圖），生成內容比其他主流模型要好，包括LLaMA-7B、以簡中資料訓練而成的Chinese Alpaca-7B、BLOOM-zh-3B。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BE%8B%E5%AD%90.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BE%8B%E5%AD%902.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BE%8B%E5%AD%903.JPG" /></p> <p>接下來，TAIDE計畫將進入第二階段，也就是打造130億參數的版本，要具備更多臺灣知識、能作答臺灣考試，且還要有事實查核的能力。而第三階段目標，則是要讓TAIDE具備可信任能力，包括要能阻絕產生不恰當回答的能力，以及有能力考慮倫理相關問題。</p> <p>計畫最後一階段，則是要TAIDE模型具備更完善的多輪對話能力，以及能成熟執行前述所有任務。國科會預計今年底展示130億參數的大模型，以及它阻絕產生不適當回應的能力。</p> <p>李育杰也透露，團隊預計下半年打造商用版TAIDE模型。但由於LLaMA只開放學術授權，團隊將改用開放商用授權的LLM為基礎，來微調出可供企業使用的小型模型；團隊將在今年10月啟用新一代H100 GPU來訓練大型模型的同時，利用替換下來的GPU訓練這款可商用的小型LLM。至於計價模式，李育杰表示目前尚無任何規畫。</p> <p><span style="font-size:24px;"><strong>第一時間與企業對話，公私協力貼近產業需求</strong></span></p> <p>吳政忠表示，TAIDE計畫之初，國科會就與企業溝通、了解生成式AI需求，如華碩、聯發科、鴻海等。華碩子公司台智雲上個月推出1,760億參數的國產LLM福爾摩沙大模型，並提供離線部署服務供企業選擇，華碩雲端總經理暨台智雲總經理吳漢章今日表示，TAIDE建立之初，團隊就參與討論，他認為公私協力非常重要，才能打造出符合企業需求的工具。</p> <p>與此同時，華碩一方面摸索LLM服務商業模式，一方面也與聯發科、鴻海等對LLM底層防護機制感興趣的10幾家企業，準備組成聯盟（預計本周六宣布），來配合TAIDE主責單位研擬AI驗證機制。</p> <p>另一方面，吳政忠也透露，TAIDE計畫目前投入2、3億元臺幣，雖然TAIDE模型效能無法與ChatGPT並駕齊驅，但重要的是，對嚴格限制境外LLM（如ChatGPT）使用的臺灣企業來說，本地開發的TAIDE就是一種解法。</p> <p>玉山金控科技長張智星也在現場表示，金控就是受嚴格監管的產業，他們曾評估，若要自行開發ChatGPT，得花上1.2年，這還不包括重新訓練、所需電力等成本，金控也無法負荷訓練經費。但他認為，現在最重要的是「基礎模型的出現，」未來企業可用自己的資料微調。他也不擔心模型會給出錯誤答案，因為，金融業對資訊正確性非常講究，他們自己就有套機制，能阻擋生成式AI給的錯誤和不實資訊，不論是商用生成式AI服務還是開源AI，玉山金控都這麼做。</p> <p>他也點出，雖然金管會將在9月開放金融上雲，但用來微調生成式AI的資料，仍有些機敏性，因此國產基礎模型的出現，可解決金融業的生成式AI使用痛點。</p> </div></div></div>
2023/6/14 19:39作者王若樸https://www.ithome.com.tw/news/157337
【資安日報】6月14日，微軟發布6月份例行更新，修補近80個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在昨天（13日）發布了6月份的例行更新（Patch Tuesday），稍微值得慶幸的是，這次沒有零時差漏洞，但有研究人員提出警告，部分風險評分較高的漏洞仍要留心，並儘速安裝修補程式。</p> <p>駭客通常會利用嚴重程度較高的漏洞來發動攻擊，但近期也有利用低風險漏洞出手的情況。例如，VMware近期修補虛擬化系統的零時差漏洞CVE-2023-20867，此為CVSS風險評分僅有3.9的低風險漏洞，有駭客將其拿來控制ESXi列管的虛擬機器（VM）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/swiss-government-warns-of-ongoing-ddos-attacks-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借歐洲大型媒體會議Anga Com的名義，鎖定廣電媒體、網路服務業者發動網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/undefined-Jun-07-2023-03-40-58-3085-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/undefined-Jun-07-2023-03-40-58-3085-PM.png" style="width: 300px; float: right;" /></a>資安業者Avanan揭露針對歐洲廣播電臺、電視媒體、網路服務業者而來釣魚郵件攻擊行動，駭客假借於德國舉辦的Anga Com大型媒體會議，表示在展會期間，有人對收信人所屬組織感到有興趣，想要進一步詢問能否合作的細節，並於附件PDF檔案提供詳細資料。</p> <p>一旦收信人依照指示開啟附件檔案，並點選內文裡的連結，就會被導向冒牌的Anga Com公司網站，而這個網站駭客是利用Surge.sh網頁開發服務打造而成，若是收信人在該網站輸入帳密資料，就有可能被駭客側錄。</p> <p><a href="https://blog.sygnia.co/cracking-global-phishing-campaign-using-threat-intelligence-toolkit"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數十個組織遭到BEC商業郵件詐騙駭客鎖定，濫用Cloudflare圖靈驗證來迴避偵測</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cheat Sheet Diagram_v1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cheat%20Sheet%20Diagram_v1.png" style="width: 300px; float: right;" /></a>資安業者Sygnia揭露可能影響數十家組織的商業郵件詐騙（BEC）攻擊行動，他們看到攻擊者先透過已經遭竊的電子郵件信箱，寄送釣魚郵件給目標組織的員工，其內容含有檔案共享的URL，網址所指向的網頁可能是遭駭客侵占的網域代管，且網址組成名稱與目標組織有關。</p> <p>一旦收信人點選連接，必須通過Cloudflare提供的圖靈驗證，勾選「我不是機器人」，才會導引至釣魚網站，要求進行Office 365帳號的身分驗證，但實際上駭客在此過程進行對手中間人攻擊（AiTM），竊取其連線階段的Token，挾持收信人的微軟帳號。為了能持續存取該帳號，駭客會新增另一個可執行雙因素驗證（MFA）的設備。</p> <p>攻擊者洩露受害帳號的敏感資料，並將其用於發動BEC攻擊，此外，攻擊者還會藉此微軟帳號設置新的共享檔案網頁，來對另一個目標發動釣魚郵件攻擊。研究人員指出，駭客濫用Cloudflare提供的圖靈驗證機制，目的就是要迴避資安系統對URL的偵測。</p> <p><a href="https://therecord.media/ofcom-cyberattack-uk-regulator-moveit-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國電信主管機關遭MOVEit Transfer零時差漏洞攻擊</span></strong></a></p> <p>英國電信主管機關Ofcom於6月12日發布公告，表示他們遭遇MOVEit Transfer零時差攻擊而受害，該組織的伺服器存放了412名員工個資，以及他們監管部分公司的資訊。值得留意的是，Ofcom表示，這些可能外洩的內容部分是機密資料，影響程度有待後續觀察。</p> <p>而這是繼英國薪資軟體供應商Zellis、加拿大新斯科舍省、美國羅徹斯特大學傳出遭到攻擊後，另一個證實受害的組織。</p> <p><a href="https://vulcan.io/blog/ai-hallucinations-package-risk"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ChatGPT的「捏造」有可能被用於惡意套件散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AI-PoC-diagram_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI-PoC-diagram_1.png" style="width: 300px; float: right;" /></a>大型語言模型（LLM）近期被發現有AI捏造（Hallucination）問題，導致這些模型生成不存在的URL、參考資料，甚至程式碼庫及功能函式，如今有研究人員指出，這樣的「捏造」可被用於攻擊。</p> <p>資安業者Vulcan Cyber針對AI幻覺進行實驗，從程式問答網站Stack Overflow當中，挑選最多開發人員詢問的100個問題，再以Node.js、Python、Go語言進行篩選，彙整成「如何做（How-to）」類型的問題，透過API輸入ChatGPT，建議可用的套件，完成後再次要求更多意見。結果ChatGPT提供了逾50個不存在的NPM套件、逾100個PyPI套件，研究人員再挑選其中1個套件名稱，發布用於概念性驗證的NPM套件。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2023-patch-tuesday-fixes-78-flaws-38-rce-bugs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布6月例行更新，修補78個漏洞</span></strong></a></p> <p>6月13日微軟發布本月份的例行更新（Patch Tuesday），總共修補了78個漏洞，當中有17個為權限提升漏洞、3個安全功能繞過漏洞、32個RCE漏洞、5個資訊洩露漏洞、10個阻斷服務（DoS）漏洞、10個可被用於欺騙的漏洞，以及1項Edge漏洞。</p> <p>雖然這次沒有零時差漏洞，但有些漏洞仍然相當值得留意，例如，SharePoint的權限提升漏洞CVE-2023-29357（CVSS風險評分9.8）、Exchange的RCE漏洞CVE-2023-32031（CVSS風險評分8.8）。</p> <p><a href="https://www.mandiant.com/resources/blog/vmware-esxi-zero-day-bypass"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用VMware ESXi零時差漏洞，部署後門程式並操控VM</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vmware-zero-day-fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vmware-zero-day-fig4.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露中國駭客組織UNC3886的攻擊行動，這些駭客先是取得vCenter伺服器的存取權限，蒐刮所有列管的ESXi明文vpxuser帳密，然後在目標ESXi伺服器上取得root權限，透過惡意的vSphere安裝元件（VIB），部署後門程式VirtualPita、VirtualPie，最終利用零時差漏洞CVE-2023-20867（CVSS風險評分3.9），於虛擬機器（VM）執行未經授權的命令，以及檔案傳輸。</p> <p>CVE-2023-20867是身分驗證繞過漏洞，攻擊者一旦利用，就會導致VMware Tools無法驗證主機對VM的作業，使得VM的機密性與完整性受到影響，對此，<a href="https://www.vmware.com/security/advisories/VMSA-2023-0013.html">VMware也推出新版VMware Tools予以修補</a>。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/patch-tuesday-critical-flaws-in-adobe-commerce-software/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Adobe修補電子商務平臺的重大漏洞</span></span></strong></a></p> <p><a href="https://patchstack.com/articles/unauthenticated-idor-to-pii-disclosure-vulnerability-in-woocommerce-stripe-gateway-plugin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress線上付款外掛程式漏洞恐曝露客戶訂單資料</span></span></strong></a></p> <p><a href="https://labs.ioactive.com/2023/06/applying-fault-injection-to-firmware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員藉由電磁故障注入手法，竄改無人機韌體</span></span></strong></a></p> <p><a href="https://www.securityweek.com/ransomware-attack-played-major-role-in-shutdown-of-illinois-hospital/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國伊利諾州醫院St. Margaret's Health關閉部分院區，勒索軟體攻擊是其中原因之一</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157321">【6月13日】俄羅斯駭客NoName鎖定瑞士政府，發動DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157304">【6月12日】大型金融業者須提高警覺！駭客發動新型AiTM攻擊與BEC詐騙</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157264">【6月9日】逾20款Minecraft改裝套件遭到竄改，被用於散布惡意軟體Fractureiser</a></strong></p> </div></div></div>
2023/6/14 16:19作者周峻佑https://www.ithome.com.tw/news/157332
OpenAI更新GPT-3.5-Turbo與GPT-4，調降價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/function-calling-and-other-api-updates" target="_blank">OpenAI本周二（6/13）發布</a>了新版的GPT-4-0613與GPT-3.5-Turbo-0613，於Chat Completions API添增了新的函式呼叫能力，釋出更多標記（Token）的版本，調降75%的text-embedding-ada-002模型費用，以及25%的GPT-3.5-Turbo模型費用，同時宣布舊模型的退役時間。</p> <p>新的函式呼叫能力允許開發者向GPT-4-0613與GPT-3.5-Turbo-0613描述函式，得以更可靠地從模型中獲得結構化資料，例如從文字中取得結構化資料，建立一個可呼叫外部工具來回答問題的聊天機器人，或是將自然語言轉換成API呼叫或資料庫查詢。</p> <p>除了函式呼叫能力之外，OpenAI也提供了具備更多標記的GPT-4-32K-0613與GPT-3.5-Turbo-16K版本，讓它們都能處理規模更大的文字，其中，GPT-3.5-Turbo-16K的脈絡長度是GPT-3.5-Turbo的4倍，意味著該模型現在可於單一請求中支援20頁的文字，但價格則僅為標準版的兩倍。</p> <p>至於舊版的GPT-3.5-Turbo、GPT-4與GPT-4-32K將會在6月27日自動升級至新模型，需要更多遷移時間的開發者可藉由指定GPT-3.5-Turbo-0301、GPT-4-0314或GPT-4-32K-0314以持續使用至今年的9月13日。</p> <p>此次OpenAI也調降了部分模型的費用，其中，最熱門的嵌入模型Text-Embedding-ada-002新價格為每1,000個標記為0.0001美元，降幅達75%。最熱門的聊天模型GPT-3.5-Turbo也調降了25%，每1,000個輸入標記為0.0015美元，每1,000個輸出標記為0.002美元，1美元大約等同於700頁。</p> </div></div></div>
2023/6/14 15:33作者陳曉莉https://www.ithome.com.tw/news/157331
6月的微軟Patch Tuesday修補6個重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二（6/13）的Patch Tuesday總計列出了94個安全漏洞，其中有69個位於微軟產品中，另有25個源自於第三方產品，在屬於微軟的69個安全漏洞中，有6個被列為重大（Critical）等級，此次並未發現或修補零時差漏洞。</p> <p>本月修補的重大漏洞涵蓋位於.NET、.NET框架及Visual Studio的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24897" target="_blank">CVE-2023-24897</a>、SharePoint Server的權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29357" target="_blank">CVE-2023-29357</a>，Windows Hyper-V的服務阻斷漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32013" target="_blank">CVE-2023-32013</a>、以及3個位於Windows Pragmatic General Multicast（PGM）的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29363" target="_blank">CVE-2023-29363</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32014" target="_blank">CVE-2023-32014</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32015" target="_blank">CVE-2023-32015</a>。</p> <p>PGM為一可靠群播電腦網路的傳輸協定，可同時向多個接收者提供可靠的封包序列，上述3個與該傳輸協定有關之漏洞的CVSS風險評分皆高達9.8。根據微軟的說明，當Windows訊息佇列服務在PGM伺服器環境中運作時，駭客即可自遠端藉由傳送特製的檔案以執行程式。不過，PGM的預設值是關閉的，必須由管理人員主動啟用。</p> <p>值得注意的是，這已是微軟連續第三個月修補位於PGM的重大安全漏洞（<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28250" target="_blank">CVE-2023-28250</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24943" target="_blank">CVE-2023-24943</a>）。</p> <p>另一個CVSS風險評分亦達9.8的是SharePoint Server的權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29357" target="_blank">CVE-2023-29357</a>，駭客只要利用偽造的JWT驗證令牌，就能繞過身分驗證並取得管理員權限。</p> </div></div></div>
2023/6/14 16:33作者陳曉莉https://www.ithome.com.tw/news/157333
【舊金山AMD發表會直擊】AMD發表AI加速器Instinct MI300X，挾更大記憶體、更高記憶體頻寬瞄準生成式A…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AMD在舊金山全球發表會，除了發表雲端原生及科學運算的<span style="color: rgb(0, 0, 0); font-family: Helvetica; font-size: 11px; -webkit-text-stroke-color: rgb(0, 0, 0);">第四代EPYC</span><span class="s1" style="font-kerning: none;">處理器，也對外正式發表Instinct MI300系列AI加速器，準備結合硬體與開源軟體，建立AI生態系，搶攻全球超過1500億美元資料中心AI加速運算商機。</span></p> <p>AMD執行長蘇姿丰直指AMD在AI的3大策略，第一是旗下的高效能CPU、GPU產品，從資料中心、邊緣運算到智慧終端裝置具備AI訓練或推論的能力，第二是結合開源、經驗證的軟體平臺，讓硬體更容易被部署及使用，第三是和AI產業的夥伴的合作及共同創新，來深化生態系。</p> <p>蘇姿丰表示，過去幾個月，生成式AI將資料中心的AI運算帶到新的層次，許多人經常問她商機在哪，她認為全球資料中心AI加速運算規模還只是開始，市場商機仍在成長之中，她相信資料中心的AI加速運算總規模，將從現在300億美元，成長到2027年超過1500億美元。</p> <p>AMD也在現場正式發表Instinct MI300系列AI加速器，分為MI300A與MI300X，其中MI300A為資料中心首款APU，內含1400億個電晶體，專為AI及HPC加速運算所設計，採用5或6奈米製程及CDNA 3架構，採用支援第4代Infinity架構的3D封裝技術，內建24個Zen 4 CPU核心，混合GPU核心，支援128GB HBM3記憶體。相較於先前的Instinct 250有8倍的效能提升，5倍的能源效率提升。MI300A已開始送樣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-06-13%20%E4%B8%8B%E5%8D%8811_48_02.jpg" style="width: 600px; height: 396px;" /></p> <p>另一款MI300X主要鎖定生成式AI應用，擁有1530億電晶體，採用CDNA3架構，不同於MI300A混合CPU及GPU，MI300X為純GPU，可支援最高192GB HBM3記憶體，每秒達到5.2TB的記憶體頻寬，搭配AMD Infinity fabric，每秒頻寬可達到896GB的記憶體頻寬，更大的記憶體容量、更高的記憶體頻寬，使得MI300X得以支援大型語言模型，蘇姿丰在現場展示以400億參數的Falcon-40B安裝在MI300X，要求生成式AI作一首關於舊金山這座城市的詩。「這是第一次LLM可以在單一GPU的記憶體執行」，蘇姿丰表示，MI300X最多可支援800億個參數的LLM。</p> <p>蘇姿丰強調，AMD MI300X在HBM密度上，為Nvidia H100的1.4倍，HBM記憶體頻寬則為H100的1.6倍，更大容量的記憶體、更高的記憶體頻寬，意謂執行LLM推論需要更少的GPU，降低生成式AI加速的TCO成本。透過AMD Infinity連接8個MI300X組成Instinct平臺，支援1.5TB的HBM 3記憶體，打造更大的生成式AI訓練及推論環境。<span style="color: rgb(0, 0, 0); font-family: Helvetica; font-size: 11px; -webkit-text-stroke-color: rgb(0, 0, 0);">AMD MI300X預計在第3季送樣。</span></p> <p><strong>以各種AI軟體平臺建立合作生態</strong></p> <p>如同前面所說，AMD的AI大戰略是在各種硬體上提供AI運算功能，橫跨資料中心CPU到GPU，到邊緣運算、智慧終端裝置的CPU與GPU，但是要發揮這些硬體的功能，還需要提供各種軟體堆疊平臺，目前已針對不同運算硬體提供AI軟體平臺，針對EPYC處理器的ZenDNN，Instinct GPU的ROCm，對邊緣及終端運算裝置則有Vitis AI。</p> <p>以搭配Instinct的ROCm為例，為通過驗證的軟體堆疊，包括函式庫、編譯器、Runtime，目前ROCm已推出第5代，支援AI模型、框架，例如Pytorch、TensorFlow、ONNX等，其中PytorchAMD和Meta底下Pytorch團隊合作，Pytorch 2.0從Day 0就支援ROCm 5，針對AMD資料中心GPU的AI平臺優化，積極拉攏Pytorch開發社群。</p> <p>AMD也和AI模型開發商合作，例如專門開發各種AI模型的Hugging Face合作，優化AI模型的執行。</p> </div></div></div>
2023/6/14 14:55作者蘇文彬https://www.ithome.com.tw/news/157330
主管機關阻撓，Google被迫延後在歐盟推出AI助理Bard
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>報導指出，Google原本預定本周在歐盟推出AI助理Google Bard，但歐盟主管機關以Google未充份說明隱私保護措施為由，要求暫緩上線計畫。</p> <p><a href="https://www.politico.eu/article/google-postpone-bard-chatbot-eu-launch-privacy-concern/" target="_blank">《Politico》</a>引述愛爾蘭資料保護委員會（Data Protection Commission，DPC）副主席Graham Doyle表示，Google最近才通知該委員會，計畫本周在歐盟推出Bard。然而截至目前Google未詳細說明，委員會也沒看到資料防護影響評估，或是任何支援文件，因此主管機關已要求Google延後，直到他們提供詳細評估，並且回答關於Bard「緊急時」要怎麼遵循歐盟資料保護規定的其他問題。他說，Bard本周將不會在歐盟推出Bard。</p> <p>歐盟主管機關表示，針對Bard的審查正在進行中，他們也會儘快將資訊分享給其他歐盟會員國主管機關。</p> <p><a href="https://www.ithome.com.tw/news/156026" target="_blank">Google於3月底發表Bard</a>，以便追趕ChatGPT及微軟Bing Chat的部署進度。<a href="https://www.ithome.com.tw/news/156847" target="_blank">不過媒體發現</a>，到5月中Google完全移除等候清單，意欲部署到全球時，Bard的可用區域依舊沒有歐盟27個會員國及加拿大。</p> <p>一般相信，問題癥結在歐盟的GDPR及加拿大個資保護法。此外，歐盟也正在制訂AI法案（AI Act），也可能影響Bard的服務設計及實施計畫。</p> <p>Google也證實產品推出延後。Google 5月已說明會致力於擴大部署Bard，包括在歐盟，該公司說會和專家及主管機關、立法委員合作並以負責任的態度執行，期間Google一直與隱私主管機關洽談以解決其疑慮，並且聽取意見。</p> <p>歐盟會員國中，義大利曾在4月間因ChatGPT蒐集未成年人個資，而短暫禁用ChatGPT，不過在OpenAI調整做法後已經解禁。不過德國、西班牙已開始調查，另外，愛爾蘭及一些歐洲國家主管機關也已成立工作小組準備啟動調查。</p> </div></div></div>
2023/6/14 12:21作者林妍溱https://www.ithome.com.tw/news/157327
MOVEit零時差漏洞攻擊竊走英國電信主管機關機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ofcom.org.uk/news-centre/2023/ofcom-statement-on-moveit-cyber-attack" target="_blank">英國電信主管機關Ofcom本周坦承遭到檔案傳輸服務MOVEit零時差漏洞攻擊所累</a>，部分機密資料被駭客下載。</p> <p>Ofcom證實它是本周發生的MOVEit零時差攻擊的受害者之一。該機關說，其MOVEit資料庫中某些它所管理的公司的部分機密資訊，連同Ofcom 412位員工的個資已遭到攻擊者下載。</p> <p>Ofcom表示他們已立即採取行動，不再使用MOVEit服務，也導入安全措施。他們已經火速通知受其影響的所有企業，也會為其員工提供協助。Ofcom也強調其系統皆未被駭。</p> <p>6月初美國軟體業者Progress Software的檔案傳輸服務MOVEit發生零時差漏洞攻擊。<a href="https://www.ithome.com.tw/news/157201" target="_blank">微軟安全研究人員指出</a>，操作勒索軟體Clop的駭客利用<a href="https://tinyurl.com/2yn4g4us" target="_blank">MOVEit的SQL注入漏洞</a>，升高其權限以便存取使用這項服務的企業客戶的MOVEit資料庫，並藉由判斷資料庫結構，透過SQL指令操作資料庫運算及執行。</p> <p>上周Clop駭客宣稱，已利用該漏洞攻擊「數百家」企業及組織，並說未付贖金者將會被公布資料於其暗網網站上。</p> <p>Clop駭客的說法無從確認，<a href="https://therecord.media/moveit-transfer-tool-zero-day-exploited" target="_blank">但安全廠商Rapid 7偵測到</a>，截至5月31日，有2,500多個MOVEit Transfer的執行個體曝露在開放網路上，大部分集中在美國。以產業而言，則涵括醫療、金融、保險、製造及政府部門。</p> <p>目前已有英國薪資軟體供應商Zellis、加拿大新科舍省、及美國羅徹斯特大學（University of Rochester）等證實受到影響。其中Zellis的攻擊行動還波及客戶英國國家廣播公司（BBC）、英國航空、愛爾蘭航空（Aer Lingus）及藥妝連鎖Boots。</p> <p><a href="https://www.progress.com/security/moveit-transfer-and-moveit-cloud-vulnerability" target="_blank">上周五Progress宣布修補好另一項新漏洞（CVE-2023-35036 ）</a>，但目前沒有跡象顯示漏洞已遭利用。</p> </div></div></div>
2023/6/14 12:39作者林妍溱https://www.ithome.com.tw/news/157328
研究證實ChatGPT的幻覺可助長惡意套件散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/156736" target="_blank">之前曾有不少惡意程式是藉由冒充ChatGPT的安裝檔案散布</a>，但ChatGPT本身並不是加害者。不過<a href="https://vulcan.io/blog/ai-hallucinations-package-risk" target="_blank">安全風險管理廠商Vulcan公布一份報告</a>卻顯示ChatGPT的幻覺（hallucination）可被駭客當成幫兇，讓用戶從受信任的套件庫下載惡意程式。</p> <p>近來大家已了解到ChatGPT等大型語言模型（LLM）有AI幻覺問題，並見到它生成不存在的URL、參照甚至程式碼庫及函式。AI幻覺可能正是以舊資料訓練的結果。研究人員因此假設，ChatGPT既能編造出實際上不存在的程式碼庫（套件），也可能讓駭客利用來散布惡意套件，且不需使用常見手法，如誤植套件（typosquatting）或偽裝（masquerading）攻擊。</p> <p>研究人員先是從開發人員最常諮詢的程式QA網站Stack Overflow，蒐集最多人問的程式語言問題。他們從40種主題（如parsing、serializing、scaping及Flask、ArangoDB、Istio等技術）挑選前100道問題，再以程式語言（如node.js、Python、Go）為條件篩選出來，最後再縮小到詢問「How-to」的問題。</p> <p>接著他們將蒐集到的How to問題透過API輸入ChatGPT，請它建議套件，並第2次要求它給予更多建議。這目的是模仿攻擊者儘可能在最短時間內從ChatGPT的回應中得到夠多的套件建議。最後研究人員從蒐集到的建議中，查驗出哪些套件實際不存在。研究人員的計畫是，針對捏造出來的套件，他們製作出測試用的套件。這麼一來，可被操控的套件就誕生了。</p> <p>在Node.js中，ChatGPT產生50個未曾出版過的NPM套件。而在Python中，捏造的pip套件超過100個。</p> <p class="rtecenter"><img alt="" src="https://vulcan.io/wp-content/uploads/2023/06/Asset-5-768x628.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Vulcan</span></span></p> <p>接著，在概念驗證中，研究人員設計一個可被追踨的套件（名為node index.js）並出版到NPM儲存庫中，並設計讓不疑有他的使用者／開發人員下載安裝、執行這個套件。這個PoC套件並非惡意套件，只會回傳用戶主機名稱、安裝目錄的絕對路徑到研究人員主機，用來證實在ChatGPT的幻覺建議下，用戶可能安裝惡意套件。</p> <p>研究人員建議，對於ChatGPT等生成性AI建議的內容，像是函式庫，應小心確認真偽，以免中了駭客的圈套。有多種方法可用以確認，包括檢查函式庫建立日期、下載次數、用戶的評論（或完全沒有評估或星號），以及函式庫是否提供相關註解文件，有任何疑問者都最好不要下載。</p> </div></div></div>
2023/6/14 13:03作者林妍溱https://www.ithome.com.tw/news/157329
【舊金山AMD發表會直擊】高達128核心EPYC處理器現身，瞄準雲端原生應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年推出最高96核心的第4代EPYC處理器之後，AMD擴大旗下第4代EPYC處理器產品線，正式推出代號Bergamo的EPYC處理器，最高有128個核心，鎖定更高密度的雲瑞原生應用需求。</p> <p>目前現有的第4代EPYC處理器為Genoa，採用5奈米製程，支援PCIe 5.0及CXL記憶體擴充技術，可支援12個通道的DDR 5。至於Bergamo處理器，型號為97x4系列，主要針對雲端原生運算的應用需求，如容器、微服務、API，內建820億電晶體，最高擁有128個Zen 4c核心，相容於x86 ISA指令。</p> <p>在全球發表會上，AMD執行長蘇姿丰一登場，首先說明AMD在資料中心的戰略，就是針對現代資料中心的各種工作負載，在4個運運領域提供運算產品，包括在伺服器CPU提供EPYC處理器．在AI加速運算方面提供AMD Instinct及AMD ALVEO，在FPGA及Adaptive SoC提供AMD ALVEO與AMD VERSAL，在SmartNIC及DPU方面，則提供AMD ALVEO及Pensando。</p> <p>其中在伺服器CPU的EPYC處理器，重頭戲是正式推出第4代的EPYC處理器新成員，鎖定雲端原生應用的Bergamo處理器，蘇姿丰表示，該處理器能提供最大的vCPU運算密度，同時有最好的能源效率。相較於AMD現有EPYC處理器，最多提高2.7倍的能源效率，單一伺服器提供最多3倍的容器數量。(下圖來源：AMD)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-06-13%20%E4%B8%8A%E5%8D%888_18_16.jpg" /></p> <p>從規格來看，相較於Genoa為Zen 4架構，是由12個CCD, 每個擁有8核心的CCD(Core Chiplet Die)所組成，共有96個核心，Bergamo同樣採用台積電的5奈米製程，內含820億個電晶體，由8個CCD組成，每個CCD擁有16個核心，共有128個核心。AMD強調Bergamo專為每瓦效能最佳化設計，並提供最多的vCPU密度。</p> <p>Bergamo的產品型號為97x4, 蘇姿丰以第4代Xeon 8490H和AMD第4代EPYC 9754相比，在記憶體資料庫、NoSQL DB，和競爭對手相比，效能為1.6到2.1倍不等。相同平臺比較之下，支援的容器數量為對手的2.1倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-06-13%20%E4%B8%8B%E5%8D%8812_25_49.jpg" style="width: 600px; height: 362px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-06-13%20%E4%B8%8A%E5%8D%888_22_11.jpg" style="width: 600px; height: 302px;" /></p> <p>除了Bergamo，AMD針對資料中心流體力學、產品設計、工程模擬等技術型運算需求，推出Genoa-X，支援第二代的AMD 3D V-Cache技術，支援最多1.1GB的L3快取記憶體，相容於SP5插槽。而在2023年下半計畫再推出鎖定電信及邊緣運算的Siena。</p> <p>另外，AMD也推出P4 DPU，強調可減輕CPU的虛擬化工作過載情形，並推出Pensando SmartNIC，已與HPE Aruba合作推出Smart Switch產品。</p> <p><strong>核心數增加改善微服務穩定度</strong></p> <p>此次AMD推出更高核心數第4代EPYC處理器，對企業而言，帶來什麼好處？</p> <p>傳統上，企業的資料中心空間有限，而為了滿足運算需求增加，過去處理器核心數有限時，企業只能增加伺服器的數量，以多臺伺服器增加運算的核心資源，但使用多臺伺服器的耗電、冷卻等衍生問題待解決。隨著處理器內建更多的核心數，例如一臺採用128核心的伺服器，相當於4臺單路32核心的總核心數，或是8臺單路16核心伺服器的總核心數，節省伺服器數量，有效的利用資料中心的空間，相較於管理多臺伺服器，單一伺服器在管理上相對簡化不少。</p> <p>單一伺服器擁有更多的CPU核心，對企業而言，能夠執行更多的應用，或是在原本的應用數量下，提升應用執行時的穩定度。例如採用微服務架構，可能執行數百、上千個微服務，處理器在核心數不夠多的情形下，每個核心可能以分時來執行好幾個微服務，當一個核心發生問題，就可能影響多個微服務，或是一個微服務當機，就可能影響到共用核心的多個微服務。</p> <p>因此當CPU的核心數增加，微服務有機會被分配單一核心執行，或減少共用的情形，當單一核心發生問題時，不致影響其他微服務，或某個微服務當機，減少影響共用核心的其他微服務。換言之，處理器有更多核心數，在現代化IT，可滿足企業的雲原生運算需求增加，為企業採用新的超多核心處理器帶來更大的誘因。</p> <p>除了破百核心滿足企業的需求，支援記憶體容量也需要大幅提升，例如每個容器分配的記憶體有限，影響每個容器可使用的資料量，當遇到需要大量記憶體才能執行的應用，可能出現分配的記憶體不敷應用使用的問題。</p> <p><strong>競爭對手也不落人後</strong></p> <p>面對AMD在資料中心、高效能運算的超多核心競爭，英特爾也不落人後，預計在2024年上半年也會跟進，將會推出有144個E-Core效率核心的伺服器專用處理器Sierra Forest，由於採用E-Core效率核心，儘管晚於AMD推出破百核心產品，但英特爾預告將有更好的每瓦效能表現。</p> <p>除了居主流的x86架構CPU，在資料中心市場，興起的Arm架構也提供超多運算核心，例如Ampere的Altra Max處理器，內建最多到128個Arm v8.2核心，為採用ArmNeoverse N1平臺。Arm架構在企業資料中心或公有雲業者獲得青睞，目前AWS、Google Cloud已提供Arm架構的雲端運算服務。(下圖來源：AMD)</p> <p> </p> <pamd i=""> <p> </p> </pamd> </div></div></div>
2023/6/14 03:36作者蘇文彬https://www.ithome.com.tw/news/157323
基礎設施即程式碼工具Pulumi新工具供用戶簡單轉換Terraform專案到自家平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基礎設施即程式碼工具Pulumi在CLI中支援新指令，可以將整個<a href="https://www.pulumi.com/blog/converting-full-terraform-programs-to-pulumi/">Terraform專案轉換到Pulumi</a>。新的轉換器支援Terraform模組、Terraform 1.4的核心功能，以及大多數內建函式，可以轉換成Pulumi TypeScript、Python、Go和C#。</p> <p>過去Pulumi官方提供了一個稱為tf2pulumi的獨立工具，供用戶將Terraform的小片段程式碼轉換為Pulumi語法，但是新的轉換器不再是獨立的工具，而是讓使用者可以直接從CLI，使用指令轉換Terraform專案，這將大幅減少從Terraform搬遷到Pulumi的時間，同時轉換的內容也不僅限於小片段程式碼，而是能夠一次轉換整個完整Terraform專案。</p> <p>Terraform轉換器建立在Pulumi的底層技術CrossCode之上，CrossCode是Pulumi基礎設施編碼引擎通用的翻譯層。Pulumi建立這個轉換器的意義，不只是利用CrossCode，將一種基礎設施編碼轉換成另一種格式，同時也是在Pulumi中建立一個新概念，使得Pulumi引擎能夠整合其他基礎設施編碼平臺的轉換套件。</p> <p>這類的轉換套件可以是出自Pulumi，也可以來自社群夥伴或是貢獻者，也就是說，將來Pulumi使用者將可以利用命令列工具，操作使用不同來源的轉換工具。Pulumi CLI的指令現在可支援的主要情境，包括將現有Terraform專案轉換成Pulumi，以及將Terraform模組轉換成為Pulumi，並合併到現有Pulumi專案中。</p> </div></div></div>
2023/6/13 22:46作者李建興https://www.ithome.com.tw/news/157318
【資安日報】6月13日，俄羅斯駭客NoName鎖定瑞士政府，發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為政治事件而引發的網路攻擊，最近有越來越頻繁的現象。而最近瑞士政府遭到俄羅斯駭客發動DDoS攻擊的事故，傳出原因很有可能是烏克蘭總統澤倫斯基即將於6月15日對瑞士議會發表視訊演說，而引發俄羅斯不滿所致。</p> <p>同樣因政治訴求所引發的資安事故，還有近日微軟旗下多項服務傳出遭駭客組織Anonymous Sudan攻擊的情況，而針對最近一起Azure入口網站服務中斷的情況，微軟也提出說明，表明當時受影響的範圍。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/swiss-government-warns-of-ongoing-ddos-attacks-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">瑞士政府遭到俄羅斯駭客NoName發動DDoS攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FyaFelyXsAAPRMS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FyaFelyXsAAPRMS.jpg" style="width: 300px; float: right;" /></a>瑞士國家網路安全中心（NCSC）證實，6月12日因為遭到網路攻擊，導致數個該國聯邦機構與國營企業的網站無法存取，並指出發動攻擊的是俄羅斯駭客組織NoName。瑞士當局表示，遭到攻擊的過程當中，並未發生資料外洩的情況。</p> <p>而這非該國政府近期首度遭到攻擊，6月8日，他們指出勒索軟體Play在5月23日攻擊了IT服務業者Xplain，由於此業者為瑞士政府多個行政機關提供服務，駭客有可能因此竊得該國政府部分資料。</p> <p>參考資料</p> <p>1. <a href="https://www.admin.ch/gov/en/start/documentation/media-releases.msg-id-95605.html">https://www.admin.ch/gov/en/start/documentation/media-releases.msg-id-95605.html</a><br /> 2. <a href="https://www.admin.ch/gov/en/start/documentation/media-releases.msg-id-95641.html">https://www.admin.ch/gov/en/start/documentation/media-releases.msg-id-95641.html</a><br /> 3. <a href="https://twitter.com/FalconFeedsio/status/1668168116394774531">https://twitter.com/FalconFeedsio/status/1668168116394774531</a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/f/analyzing-the-fud-malware-obfuscation-engine-batcloak.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體混淆引擎BatCloak用於攻擊的情況升溫</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-analyzing-the-fud-malware-obfuscation-engine-batcloak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-analyzing-the-fud-malware-obfuscation-engine-batcloak.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露名為BatCloak的惡意軟體混淆引擎，駭客自2022年9月開始用來打造惡意程式，並號稱能達到完全無法被偵測有異（Fully Undetectable，FUD）的狀態。研究人員收集了784個採用BatCloak的惡意程式，但綜合各家防毒引擎的偵測結果來看，居然有高達79.6%比例未將其視為有害。</p> <p>此惡意軟體引擎為FUD惡意軟體產生套件Jlaive的元件，研究人員發現，其他駭客已將其下載運用，並進行改良，甚至有人以其他程式語言（如Rust）改寫的情況。</p> <p><a href="https://www.horizon3.ai/moveit-transfer-cve-2023-34362-deep-dive-and-indicators-of-compromise/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對MOVEit Transfer零時差漏洞發布概念性驗證程式</span></strong></a></p> <p>MFT檔案共享系統MOVEit Transfer出現零時差漏洞CVE-2023-34362（CVSS風險評分為9.8），勒索軟體駭客Clop聲稱將其用於攻擊數百家組織，現在有研究人員揭露此漏洞概念性驗證（PoC）攻擊。</p> <p>資安業者Horizon3比對修補前後的MOVEit Transfer程式碼，於6月9日公布他們的發現，並展示概念性驗證攻擊。研究人員指出，他們利用SQL注入手法取得系統管理者API的Token，並用於執行反序列化呼叫，從而發動遠端程式碼執行（RCE）攻擊。</p> <p><a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-cve-2023-27997-and-clarifications-on-volt-typhoon-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet證實SSL VPN重大漏洞出現攻擊行動</span></strong></a></p> <p>6月8日資安業者Fortinet針對防火牆作業系統FortiOS發布更新，現在證實當中修補了研究人員透露的SSL VPN重大漏洞CVE-2023-27997。該公司於12日公布該漏洞的細節，此為記憶體緩衝區溢位漏洞，CVSS風險評分為9.2，且已出現攻擊行動，針對政府、製造業、關鍵基礎設施而來，他們正與受影響的客戶密切監控是否有相關的活動出現。該公司指出，即使組織不啟用防火牆的SSL VPN功能，他們還是建議組織要將FortiOS升級至最新版本，以降低風險。</p> <p>此外，由於中國駭客組織Volt Typhoon利用另一個FortiOS漏洞CVE-2022-40684來發動寄生攻擊（LoL），該公司認為CVE-2023-27997未來遭到這些駭客利用的可能性相當高，呼籲用戶儘速修補，並指出駭客會在受害設備建立特定的管理者帳號名稱「fortinet-tech-support」和「fortigate-tech-support」，以供IT人員檢查防火牆是否遭到入侵。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-azure-portal-outage-was-caused-by-traffic-spike-/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Azure入口網站服務中斷，起因是流量大幅增加</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/azure-portal.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/azure-portal.jpg" style="width: 300px; float: right;" /></a>上週末Azure入口網站（portal.azure.com）傳出服務中斷的情況，現在微軟公布此起事故的初步調查結果。根據該公司在Azure狀況的歷史記錄指出，Azure入口網站於世界標準時間（UTC）6月9日15時10分至17時10分，出現存取錯誤的現象，使用該入口網站的其他服務，如Entra管理中心（entra.microsoft.com）、Intune（intune.microsoft.com），也同樣無法存取。</p> <p>而這起事故發生的原因，該公司表示是爆量增加的異常HTTP請求所致，工程團隊於事發後的15分鐘之內已介入處理。對此，駭客組織Anonymous Sudan的成員聲稱，是他們發動的DDoS攻擊造成。但微軟並未對該組織的說法進一步說明。</p> <p><a href="https://www.bleepingcomputer.com/news/security/have-i-been-pwned-warns-of-new-zacks-data-breach-impacting-8-million/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼外洩查詢網站Have I Been Pwned透露投資研究機構Zacks資料外洩事件影響範圍</span></strong></a></p> <p>去年投資研究機構Zacks傳出資料外洩狀況，密碼外洩查詢網站Have I Been Pwned本週透露事件影響範圍，該公司於2021年11月至2022年8月，未經授權的人士存取約82萬名客戶的個資，現在傳出受害規模擴大的情形。</p> <p>密碼外洩查詢網站Have I Been Pwned（HIBP）近日將上述事故外洩的內容加入其資料庫，並指出總共有8,929,503筆，包含了Zacks客戶的姓名、使用者名稱、電子郵件信箱、地址、電話號碼，以及未加鹽的SHA256密碼雜湊，但不包括信用卡或是銀行帳號資料。HIBP指出，這些資料可能駭客是在2020年5月竊得。上述逾890萬人的資料，也傳出流入Exposed駭客論壇。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.itxcompanies.com/noticeoffortradatasecurityincident"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療帳務解決方案業者Intellihartx證實遭到GoAnywhere漏洞攻擊，49萬病人個資受到影響</span></span></strong></a></p> <p><a href="https://blogs.blackberry.com/en/2023/06/romcom-resurfaces-targeting-ukraine"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭政治人物、美國醫療保健機構遭惡意軟體RomCom鎖定</span></span></strong></a></p> <p><a href="https://research.checkpoint.com/2023/stealth-soldier-backdoor-used-in-targeted-espionage-attacks-in-north-africa/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">利比亞人士遭到惡意軟體Stealth Soldier鎖定</span></span></strong></a></p> <p><a href="https://securelist.com/doublefinger-loader-delivering-greetingghoul-cryptocurrency-stealer/109982/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織運用惡意程式載入工具DoubleFinger，搭配PNG圖檔散布惡意軟體</span></span></strong></a></p> <p><a href="https://www.nokia.com/networks/security-portfolio/threat-intelligence-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">物聯網殭屍網路針對電信業者而來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157304">【6月12日】大型金融業者須提高警覺！駭客發動新型AiTM攻擊與BEC詐騙</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157264">【6月9日】逾20款Minecraft改裝套件遭到竄改，被用於散布惡意軟體Fractureiser</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157244">【6月8日】企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊</a></strong></p> </div></div></div>
2023/6/13 18:44作者周峻佑https://www.ithome.com.tw/news/157321
採用232層NAND技術，美光推出30.72 TB超大容量TLC SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_6500_ion_ssd_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著需要處理的資料量暴增，以及所有使用者對於資料存取速度的要求，搭配固態儲存裝置使用的各式IT系統大行其道，以資料中心環境而言，對於這類儲存裝置的使用區分為多種類型，像是高效能等級的產品，可針對雲端服務效能密集型應用，以及人工智慧／機器學習領域的處理需求；主流等級的產品，可針對雲端服務與可針對雲端服務運算密集型應用，以及熱資料（經常存取的資料）的需求；主打大容量與高耐用度特色的產品，則涵蓋雲端儲存服務與暖資料（存取頻率一般的資料）、資料湖，以及企業級的伺服器、一般儲存系統、軟體定義儲存系統、入門級全快閃儲存陣列。</p> <p>而美光今年5月發表的6500 ION系列，正是屬於最後一種類型的固態硬碟產品，具備超大儲存容量是主要賣點，而且，它不僅能提供TLC NAND快閃記憶體等級的存取速度，也因為導入232層堆疊的技術，所以，在單位儲存成本上，能與基於QLC NAND快閃記憶體、採用低於200層堆疊技術而成的產品競爭；就耗電量而言，比起市面上的QLC固態硬碟，美光表示，這款新推出的TLC固態硬碟可節省2成電力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron Data Center NVMe SSD Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20Data%20Center%20NVMe%20SSD%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，6500 ION系列僅提供一種儲存容量配置：30.72 TB，外形有2.5吋U.3與E1.L厚度9.5公釐等兩種選擇，目前市面上有哪些產品能供應如此大空間的固態硬碟？有三星PM1643系列（12Gb SAS介面、64層TLC NAND）、鎧俠CM7系列（NVMe/PCIe 5.0介面、112層TLC NAND），美光9400 Pro系列（NVMe/PCIe 4.0介面、176層TLC NAND），以及英特爾/Solidigm D5-P5316（NVMe/PCIe 4.0介面、144層QLC NAND），而與美光6500 ION系列定位相似的產品是D5-P5316，也成為這款固態硬碟發表時的主要比較對象。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Web-Micron-6500-U3_15mm_Labeled-Iso-Left_v1_UHD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Micron-6500-U3_15mm_Labeled-Iso-Left_v1_UHD.jpg" style="width: 300px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Web-Micron-6500-E1L-9_5mm_Labeled-Iso-Left_v1_UHD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Micron-6500-E1L-9_5mm_Labeled-Iso-Left_v1_UHD.jpg" style="width: 300px;" /></a></p> <p>以效能層面的差異而言，根據美光的內部測試顯示，6500 ION系列的4KB隨機讀取延遲平均時間減少34%（70微秒對上106微秒），128KB循序寫入速度快了58％（5,757 MB/s對上3,643 MB/s），4KB隨機讀取IOPS領先62％（440,901 IOPS對上272,826 IOPS），4KB隨機寫入IOPS可達到30倍或10倍（254,244 IOPS對上7,777 IOPS），4KB隨機寫入耐用度（RDWPD）亦為10倍（0.3對上0.026，每日9 TB對上每日不到1 TB）。</p> <p>而在耗電量的部分，6500 ION系列可節省20％（20瓦對上25瓦），每瓦效能改善56％（100萬IOPS/20W對上80萬IOPS/25W）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 6500 ION features.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%206500%20ION%20features.png" style="width: 600px;" /></a></p> <p>關於QLC與TLC的優缺點比較，美光也在趁著6500 ION系列的發表，發出一篇部落格文章討論這項議題。</p> <p>他們表示，在2018年發表第一款QLC企業級固態硬碟產品5210 ION，以及2022年推出第一款QLC個人端固態硬碟產品2400之後，除了驚艷於QLC帶來的創新、更高的儲存容量，以及更低的成本，但也從用戶方面得知大家對於隱藏成本的顧慮，例如，雖然能節省採購硬碟的費用，卻要支付更高的營運成本——矽晶片可程式化設計的複雜導致耗用更多電力。</p> <p>美光刻意用競爭廠商QLC產品當例子，對比自家TLC同等級產品，說明這類型解決方案面臨諸多挑戰，像是耐用度低了5到10倍，隨機寫入效能低了10到20倍，而在循序讀取以外的各項規格，也都低了至少20％。目前多數資料中心的設計並無法解決採用QLC之後而面臨的這些狀況，他們認為，可能要等到QLC發展成熟，未來固態硬碟與儲存系統的設計，都能妥善運用QLC帶來的更大儲存容量，當種種效益變多了，就會促使目前在資料中心環境運用QLC的缺點顯得微不足道。</p> <p>經過4年的發展，美光後來發現有更多用戶願意接受這樣的條件交換，而將QLC固態硬碟用於替代1萬轉硬碟，因此，他們在2020年4月宣布5210 ION這款QLC產品進入大量生產階段，以供應主要的伺服器OEM廠商與全球的代理商、經銷商、系統建置業者，但他們也在思考是否能兼顧兩者——具有比照QLC的成本節約、容量可大幅擴充的特性，又能設法獲得較高的固態儲存耐用度，讓資料中心享有較低的耗電與冷卻成本，於是促成6500 ION的開發。</p> <p>而在這款大容量TLC固態硬碟產品於今年5月推出之際，為了突顯其用於實際IT環境的效能表現，美光也選定物件儲存系統Ceph、NoSQL資料庫系統Cassandra、軟體定義儲存系統WEKA等三種工作負載來進行測試，比較的產品仍是D5-P5316的30.72 TB機型。</p> <p>以Ceph而言，6500 ION循序讀取與循序寫入效能，可分別達到1.47倍與3.5倍，隨機讀取效能為1.49倍，</p> <p><a href="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph Seq R_W.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph%20Seq%20R_W.png" style="width: 300px;" /></a><a href="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph Random Read.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph%20Random%20Read.jpg" style="width: 300px;" /></a></p> <p>混合循序讀取與寫入的效能為1.62倍，混合隨機讀取與循序寫入的效能為1.27倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph Seq RW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph%20Seq%20RW.jpg" style="width: 300px;" /></a><a href="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph Random Read_Seq Write.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500-ION-Ceph%20Random%20Read_Seq%20Write.jpg" style="width: 300px;" /></a></p> <p>在Cassandra資料庫系統當中，美光使用Yahoo! Cloud Serving Benchmark測試，6500 ION的效能最高可達到2.6倍（每秒可執行168,655個資料庫處理作業，對上每秒可執行64,307個資料庫處理作業），而就讀取延遲來比較，最高可達到9.2倍（19.2毫秒對上177.2毫秒）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Cassandra%20maximum%20performance.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/6500 ION-Cassandra maximum performance2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Cassandra%20maximum%20performance2.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/6500 ION-Cassandra maximum performance3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Cassandra%20maximum%20performance3.png" style="width: 298px;" /></a></p> <p>而在WEKA系統裡面，美光規畫一座由6臺節點組成的儲存叢集，若是針對大容量應用需求，每節點可配置8臺6500 ION，而能提供245.76 TB儲存空間、112 GB/s的儲存吞吐量（1MB大區塊循序讀取工作負載），這個叢集的儲存效能可達到520萬IOPS（4KB小區塊隨機讀取工作負載），提供近1.5 PB儲存空間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Weka2.png" style="width: 375px;" /></p> <p>相較之下，若是採用主流NVMe固態硬碟的儲存叢集——可搭配10臺7.68 TB容量的Micron 7450，總共提供460.8 TB儲存空間，效能達到510萬IOPS，儲存吞吐量為104 GB/s；若是採用高效能NVMe固態硬碟的儲存叢集——可搭配10臺7.68 TB容量的Micron 9400，總共提供460.8 TB儲存空間，效能達到660萬IOPS，儲存吞吐量為227 GB/s。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6500%20ION-Weka1.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Micron 6500 ION SSD<br /> ●儲存容量：30.72 TB<br /> ●外形：U.3、E1.L厚9.5公釐<br /> ●儲存媒體：3D NAND，TLC，232層<br /> ●最高讀寫速度：循序6,800 MB/s與5,000 MB/s，隨機100萬IOPS與20萬IOPS<br /> ●使用介面：PCIe 4.0 x4/NVMe 2.0<br /> ●耐用度：128 KB循序寫入、每日寫入量為1，4 KB隨機寫入、每日寫入量為0.3<br /> ●可靠度：250萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/6/13 19:40作者李宗翰https://www.ithome.com.tw/review/157282
大規模開發人員聯合抗議行動導致Reddit網站掛點數小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周一（6/12）反對API收費政策的抗議行動在數千開發人員響應下，影響Reddit運作，網站掛點長達3小時。</p> <p>5月底Reddit宣布推行一系列政策，包括針對資料API呼叫收費、禁止第三方App顯示廣告及工作場所不宜（Not Suitable for Work，NSFW）的內容與連結等，引發開發人員不滿，認為新政策將使第三方App無法經營下去。在和Reddit溝通未果後，上周Reddit表達會如期於7月1日實施政策，8,300個Subreddit宣布於6月12日「地下化Go Dark」表達抗議，它們將轉為私有版面不開放外界存取。這項抗議行動涉及2.8萬名Subreddit仲裁者，合計訂閱人次達28億。</p> <p>周一晚間7,742個subreddit加入「地下化」的抗議行動，占參加行動的93%，造成Reddit網站及App當日晚間無法運作。參與地下化行動的社群頁包括訂閱人數超過3,000萬的r/funny、r/aww、r/gaming、r/music及r/science、r/ilearning等。當時以App或瀏覽器載入Reddit.com網頁會顯示錯誤訊息，以及「無法載入本網頁貼文」的跳出視窗。Reddit官方也證實是「為數眾多的subreddit」轉為不開放，引發之前預期的穩定性問題。</p> <p><a href="https://techcrunch.com/2023/06/12/reddit-goes-down-just-as-a-site-wide-protest-against-its-unpopular-new-api-policy-kicks-off/" target="_blank">Techcrunch報導</a>，Reddit用戶回報，癱瘓時間從臺北時間昨晚10:25開始。<a href="https://www.redditstatus.com/" target="_blank">Reddit官方狀態頁</a>於昨晚10:58顯示載入網頁內容出現問題，而在今（6/13）日凌晨1:26宣告問題解決，目前顯示完全正常。</p> <p>Reddit新政策中又以資料API收費政策引發最多開發商不滿。新政策下，資料API呼叫費用是1,000次呼叫0.24美元，5,000萬次呼叫1.2萬美元。上周Apollo開發商Christian Selig宣布，他的App將在6月30日關閉。隔天rif is fun for Reddit、ReddPlanet、Sync也宣布將關閉。Apollo是存取Reddit最受歡迎的Reddit第三方iOS App。Selig說，Reddit新App政策將使其每個月多出近200萬美元成本，一年超過2,000萬美元。</p> <p>抗議行動包含API費用太高、API技術問題、以及限制廣告與「工作不宜」內容的不滿。和不需努力賺取營收的Reddit App不同，第三方App需要獲利，<a href="https://old.reddit.com/r/Save3rdPartyApps/comments/1476ioa/reddit_blackout_2023_save_3rd_party_apps/" target="_blank">因此他們要求</a>API費用合理化、允許第三方App自營廣告，以及允許他們的App能顯示某些必要的圖片。他們也抗議，限制API存取也嚴重影響提供視障者輔助功能的第三方App。</p> <p>Reddit執行長Steve Huffman上周六捍衛該公司的政策，他表示Reddit需要能自給自足，因此不再補貼需要使用大量資料的商業實體。根據推估，Reddit 2021年營收達3.5億美元，大部分來自廣告。抗議的開發人員相信，Reddit早就已經賺很多了，他們的目的是想藉高價收費消滅第三方App。相較Reddit，Imgur API呼叫每月每750萬次收費500美元，或1.5億呼叫1萬美元，大約是Reddit的1/3。</p> </div></div></div>
2023/6/13 14:14作者林妍溱https://www.ithome.com.tw/news/157316
VS Code 1.79加入唯讀模式並強化檔案貼上功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了最新的<a href="https://code.visualstudio.com/updates/v1_79#_github-copilot">VS Code 1.79</a>版本，這個版本增添了一些可以讓開發工作更方便的功能，像是唯讀模式，強化貼上功能，同時也會幫開發者自動複製外部檔案。雖然不是重大功能更新，卻能讓開發者日常更加順利。</p> <p>VS Code 1.79加入了唯讀模式，顧名思義，就是限制特定的資料夾和檔案只能讀取而不可寫入，這項功能對於部分資料夾或是檔案內容，由像是Node.js套件管理器等其他程式管理時，透過標記這些資源為唯讀，可以避免內容被意外的修改。</p> <p>VS Code資源管理器提供了新配置，供用戶將特定檔案路徑標記成唯讀，而一旦路徑被設為唯讀，便無法在資源管理器中刪除，文字或是筆記本編輯器也只能用開啟讀取，不能進行修改。</p> <p>另一項方便的新功能，便是當用戶現在拖放外部媒體檔案到Markdown檔案中時，VS Code會自動將其複製到工作區中。過去開發者需要手動將檔案複製到工作區，並且自己在檔案中添加指向該檔案的連結，而現在使用者只需要將檔案拖放或是貼上到Markdown檔案，當該檔案沒有在工作區中，則VS Code會自動將檔案複製到工作區中，並在檔案插入連結。</p> <p>這項功能還可用在剪貼簿中的圖像資料，像是以Windows的截圖工具擷取螢幕截圖，開發者便可以直接在Markdown檔案中貼上，VS Code會利用剪貼簿中的資料，在工作區創建一個圖像檔案，並且將圖像插入到檔案之中。</p> <p>微軟也強化了VS Code的貼上功能，開發者可以直接將檔案貼上到文字編輯器中，並且選擇要貼上該檔案的絕對路徑、相對路徑，或是檔案內容。在用戶貼上檔案時，當有其他的插入貼上方式可供選擇，VS Code便會顯示一個Paste as的控制元件，開發者可以使用該元件選擇要貼上的內容形式。</p> </div></div></div>
2023/6/13 14:24作者李建興https://www.ithome.com.tw/news/157314
《自然》期刊拒絕刊登以AI產生的圖片、影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nature.com/articles/d41586-023-01546-4" target="_blank">權威科學期刊《自然》（Nature）本周公布關於AI的編輯政策</a>，未來大部分情況下，不會刊登由ChatGPT、Midjourney等生成性AI工具產生的圖片及影片。</p> <p>《自然》期刊指出，近幾個月ChatGPT及Midjourney的能力快速進展，愈來愈多人利用生成性AI生成內容，該期刊內部就在討論、爭辯及對外諮詢，是否該允許這類工具產生的圖片及影片用於期刊及網站上。他們結論，至少在可預見的未來，除了專門討論AI的論文外，該期刊不會刊登任何全部或部分使用生成性AI產生的相片、影片或插圖。</p> <p>該期刊未來合作或委任的創作者、攝影師及插畫家都會被要求確認，他們提交的作品沒有任何利用生成性AI產生或強化的內容。</p> <p>《自然》編輯部說明，拒絕此類內容的第一個理由是完整性（integrity），包括透明度。根據研究、編輯及出版界的倫理，為了確保研究的精準和真實性，他們需要知道資料和圖片的出處。但是現行生成性AI並不能提供來源證明。其次的核心原則是，當現有論文或作品被人引用或使用時，該論文或作品必需要能被標示，但AI工具無法滿足要求。</p> <p>另外，是同意或許可的問題。當論文涉及某些當事人、或圖片涉及藝術作品的智慧財產時，必需取得同意，但AI生成圖片或影片的過程未取得當事人或作者的同意。事實上，生成式AI模型是引用著作權保護的作品訓練而成，尤其是生成的人像。有時還有隱私問題。最後，AI生成的deepfake影片也會助長假資訊散布。</p> <p>但是《自然》期刊目前允許論文文字中包含以生成性AI輔助產生的文字，但是作者若使用了LLM，必須在論文研究方法或前言部分說明，他們要求說明所有資料來源，包括以生成性AI生成的文字。不過，一如<a href="https://www.ithome.com.tw/news/149473" target="_blank">著作權法不承認生成性AI工具是創作人</a>，任何LLM工具也都不能被視為論文作者。</p> <p>因應生成性AI逐漸成為現代生活的一環，目前包括歐盟等國家正在制訂《AI法案》，《自然》表示，在有新的管制原則出現之前，他們對包含生成性AI產生的圖片及影像，只有說「不」的唯一作法。</p> </div></div></div>
2023/6/13 14:29作者林妍溱https://www.ithome.com.tw/news/157317
Salesforce推出自有CRM AI雲服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.salesforce.com/news/press-releases/2023/06/12/ai-cloud-news/" target="_blank">雲端CRM業者Salesforce昨（12）日宣布AI雲（AI Cloud）服務</a>，為其企業客戶提供企業行銷與業務用的生成性AI模型及資料管理、分析工具。</p> <p>Salesforce AI雲是以其CRM專用的AI大型語言模型（LLM）Einstein為核心，整合其資料雲（Data Cloud）、資料視覺化分析平臺Tableau、API平臺MuleSoft及工作流程平臺Flow，提供生成性AI服務，行銷、業務、電商部門或開發人員可以AI助理輸入指令，由其協助完成任務，像是為業務人員撰寫客戶專屬電子郵件、產生個人化行銷電子郵件、直銷訊息或廣告，在電商網站上產生個人化推薦及協助顧客完成購物流程、或產生專屬的客服回答內容或撰寫客服紀錄摘要，以及為開發人員寫程式、抓bug等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-Salesforce-AI%20Cloud-Sales%20GPT-generated%20sales%20email-600(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-Salesforce-AI%20Cloud-Marketing%20GPT-600(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Salesforce</span></span></p> <p>Salesforce強調，其AI雲的特色之一是新增的Einstein GPT信任層（Trusted Layer）。它可以將資料及模型切開，防止語言模型保留敏感的企業資料。</p> <p>此外，除了Einstein，AI雲也支援第三方LLM，包括AWS、Anthropic、Cohere及OpenAI的ChatGPT，可在Salesforce基礎架構上使用第三方LLM。Salesforce也和OpenAI合作聯合內容仲裁，結合使用Salesforce Einstein GPT信任層、OpenAI的企業API和其他安全工具，確保企業資料不會被儲存在Salesforce中。</p> <p>AI雲的設計有助於吸引企業客戶使用Salesforce的雲平臺，即使他們偏好其他大型語言模型工具，也能免於企業資料外洩隱憂。資訊外洩是許多企業禁止員工將公司資料用於ChatGPT的原因之一。<a href="https://www.ithome.com.tw/news/156291" target="_blank">南韓電子業巨人三星4月間發生</a>員工將開發專案的程式碼上傳ChatGPT檢查bug所在，引發資料外洩風險，三星也警告若再有類似濫用事件可能將完全禁止使用ChatGPT。</p> <p>目前這項服務已有會員制金融暨旅遊服務AAA–The Auto Club集團（AAA The Auto Club Group）、Gucci、RBC美國財富管理及頂級旅遊業者Inspirato等。</p> <p>Salesforce是最新提供企業AI服務的大型科技業者。除了微軟Azure、Google Cloud外，<a href="https://www.ithome.com.tw/news/156411" target="_blank">4月間Amazon Web Services（AWS）也推出其首個大型語言模型Titan及AI模型平臺Bedrock</a>。</p> </div></div></div>
2023/6/13 13:43作者林妍溱https://www.ithome.com.tw/news/157315
美國FTC申請禁令以阻止微軟買下動視暴雪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易管理委員會<a href="https://www.ithome.com.tw/news/154634" target="_blank">（FTC）繼於去年12月向法院提出挑戰</a>，要求法院命令微軟停止收購動視暴雪（Activision Blizzard）之後，<a href="https://www.documentcloud.org/documents/23843966-ftc-vs-microsoft-activision?responsive=1&title=1" target="_blank">再於本周一（6/12）希望法院祭出臨時禁止令與初步禁制令</a>，在FTC完成調查前，讓微軟與動視暴雪不得持續進行併購業務。</p> <p>這主要是因為微軟買下動視暴雪的最後期限將屆，截止日為今年的7月16日。FTC希望雙方得以維持現狀，直至該機構確定此一收購案是否會損及市場競爭。</p> <p>美國FTC的擔憂與<a href="https://www.ithome.com.tw/news/156592" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）</a>類似，認為雙方一旦完成合併，微軟將握有動視暴雪產品的生殺大權，特別是在競爭對手的平臺上。不管是透過價格、遊戲品質或是遊戲體驗的差異，來維持或提高微軟於遊戲產業的優勢。</p> <p>FTC還在訴狀中指出，初步禁制令是必要的，因為微軟與動視暴雪已宣稱它們隨時可能完成交易。</p> <p>對於FTC的最新行動，<a href="https://twitter.com/BradSmi/status/1668377876679516160" target="_blank">微軟總裁Brad Smith</a>與<a href="https://newsroom.activisionblizzard.com/p/microsoft-activision-case-ftc-federal-court?utm_source=direct&utm_campaign=post&utm_medium=web" target="_blank">動視暴雪執行長Bobby Kotick</a>卻異口同聲地表示樂觀其成，因為此舉將會加速該案的法律程序，還能讓它們有機會於法院上呈現各種合併的好處，且雙方的律師團隊已有萬全準備。</p> <p><a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟是在2022年1月宣布</a>將以687億美元買下動視暴雪，迄今除了英國與美國之外，全球已有38個國家已同意此一遊戲史上最大的併購案，包括中國、南韓、歐盟與日本等。</p> </div></div></div>
2023/6/13 11:29作者陳曉莉https://www.ithome.com.tw/news/157309
那斯達克將以105億美元買下金融科技軟體業者Adenza
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於美國的跨國金融服務業者<a href="https://www.nasdaq.com/press-release/nasdaq-accelerates-its-transformation-as-a-leading-technology-provider-to-the-global" target="_blank">那斯達克（Nasdaq, Inc.）周一（6/12）宣布</a>，將以總價105億美元的現金及股票買下金融科技軟體業者Adenza，包括57.5億美元的現金及8,560萬股的Nasdaq股票，交易完成後，Adenza的控股公司Thoma Bravo將取得14.9%的Nasdaq股票。倘若雙方順利完成併購，那麼這將是那斯達克史上最大的一次併購案。</p> <p>那斯達克總計於全球經營10家證券交易所，包括美國的那斯達克證券交易所、費城證券交易所、波士頓證券交易所，以及在歐洲的7家證券交易所，也提供各種資料、分析及軟體服務。</p> <p>至於Adenza則是成立於1997年的金融科技業者，主要提供資本市場、投資管理、央行、風險管理、清算、抵押，以及資金與流動性的軟體應用，主要客戶為金融機構及銀行，估計今年可創下5.9億美元的營收，成長15%。</p> <p>那斯達克相中的是Adenza的風險管理與監管軟體，相信其解決方案將能與那斯達克的市集技術及反金融犯罪解決方案互補，讓那斯達克可提供更全面的解決方案予金融機構，以強大的監管解決方案來建立一個多資產並具備完整交易生命周期的平臺。</p> </div></div></div>
2023/6/13 11:47作者陳曉莉https://www.ithome.com.tw/news/157313
【資安日報】6月12日，大型金融業者須提高警覺！駭客發動新型AiTM攻擊與BEC詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對日益普及的雙因素驗證機制，駭客先前的因應之道是運用對手中間人攻擊手法（AiTM）突破，以此挾持受害者帳號的情況不時發生，但這種手法最近出現變化。微軟最近揭露一起針對金融業的AiTM攻擊，裡面有2種過往未出現的手法，其一是駭客結合商業郵件詐騙（BEC），發展成多階段攻擊；另一則是AiTM手法施行變得更為隱密。</p> <p>MFT檔案共享系統MOVEit Transfer又被找出新漏洞，也須多加留意。這是IT業者Progress在5月底察覺CVE-2023-34362零時差漏洞攻擊之後，委由資安業者協助檢視程式碼找出的新漏洞。對此，該公司也呼籲用戶要儘速套用更新程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/06/08/detecting-and-mitigating-a-multi-stage-aitm-phishing-and-bec-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客發動新型態的AiTM攻擊、BEC詐騙，鎖定銀行與金融服務業者而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1n_-AiTM-and-BEC-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1n_-AiTM-and-BEC-attacks.png" style="width: 300px; float: right;" /></a>微軟於本月8日揭露駭客組織Storm-1167的多階段對手中間人（AiTM）釣魚攻擊，以及商業郵件詐騙（BEC）攻擊，鎖定銀行與金融服務組織而來。駭客先是發送釣魚郵件，一旦收信人點選信中的連結，就會被重新導向到冒牌的微軟登入網頁，駭客便會竊取其輸入的帳密資料及動態密碼（TOTP），得手後駭客再盜用收信人的微軟帳號發動重放攻擊（Replay Attack），進行未經授權存取，從而掌握能用於商業郵件詐騙的敏感信件。</p> <p>這些郵件內含的URL，指向駭客濫用的Canva網域，其內容聲稱是剛收到的傳真文件，一旦受害者依照指示點選，就會再導引至另一個冒牌的微軟登入網頁（該網頁由騰訊雲託管）。為了避免被發現，駭客會在受害的帳號，加入以簡訊進行雙因素驗證的方式，而能持續存取。接著，研究人員後來看到駭客發起大規模垃圾郵件攻擊，向目標組織的相關人士發送逾1.6萬封郵件，進行BEC攻擊。</p> <p>研究人員指出，這次駭客所使用的AiTM攻擊手法，並非像過往使用反向代理伺服器（Reverse Proxy），而是利用間接代理（Indirect Proxy）的手法，透過合法應用程式向微軟的伺服器發出身分驗證請求，由於受害者與實際微軟登入網站之間沒有HTTP封包傳輸，且駭客掌握了釣魚網站的基礎設施，而能夠透過多個伺服器來迴避偵測。</p> <p><a href="https://www.elastic.co/security-labs/elastic-charms-spectralviper"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">越南企業遭後門程式Spectralviper鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ref2754-image16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ref2754-image16.png" style="width: 300px; float: right;" /></a>Elastic旗下的安全實驗室揭露惡意軟體Spectralviper的攻擊行動，駭客組織REF2754將其用於攻擊越南上市公司，最初是濫用SysInternals工具包裡的ProcDump應用程式來側載DLL程式庫Dountloader，而這個惡意程式下載器的DLL檔案又被用於載入後門程式Spectralviper，以及P8loader、Powerseal等惡意軟體。</p> <p>其中，Spectralviper的主要功能，是接收攻擊者的伺服器下達的命令，而為了避免被察覺攻擊特徵，駭客對其使用程式碼混淆、字串混淆等手法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MFT檔案共享系統MOVEit Transfer再度發現新漏洞</span></strong></a></p> <p>IT系統業者Progress於6月9日發布新的資安通告，主要內容是公布修補的SQL注入漏洞（尚未取得CVE編號），並提及這會影響所有版本的MOVEit Transfer、MOVEit Cloud，呼籲用戶要儘速套用同日推出的新版軟體，該公司亦對MOVEit Cloud叢集進行修補。</p> <p>一旦攻擊者利用這項漏洞，就有可能在未經身分驗證的情況下，得到此MFT系統資料庫的存取權限，攻擊者可發送特製的酬載到用戶端應用程式，進而竄改、洩露資料庫內容。</p> <p>該公司指出，這項漏洞之所以能夠發現，源於5月底，他們得知勒索軟體駭客Clop的零時差漏洞攻擊，尋求資安業者Huntress協助檢視該MFT系統程式碼，後續發現問題所在，所幸該漏洞目前尚未發現遭到利用的跡象。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fortinet-fixes-critical-rce-flaw-in-fortigate-ssl-vpn-devices-patch-now/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet發布防火牆作業系統更新，傳出修補了SSL VPN重大漏洞</span></strong></a></p> <p>資安業者Fortinet於6月8日針對防火牆作業系統FortiOS發布6.0.17、6.2.15、6.4.13、7.0.12、7.2.5版更新，但有研究人員提出警告，這次更新涵蓋尚未公開揭露的重大漏洞修補，用戶應儘速安裝。</p> <p>資安業者Olympe Cyberdefense透露，FortiGate存在一項未公開的嚴重漏洞，該漏洞與SSL VPN功能有關，攻擊者可透過惡意代理伺服器存取SSL VPN，進而觸發漏洞，即使組織啟用雙因素驗證（MFA）也無法防堵相關攻擊。Olympe Cyberdefense指出，此漏洞的CVE編號將於13日公開。</p> <p>後來，研究人員Charles Fol於11日表示，此為RCE漏洞CVE-2023-27997，存在於所有Fortinet SSL VPN設備，而能被攻擊者用於執行預先身分驗證，呼籲用戶儘速修補。對於研究人員的說法，Fortinet並未正面說明是否修補了上述漏洞。</p> <p>資料來源</p> <p>1. <a href="http://olympecyberdefense.fr/1193-2/">http://olympecyberdefense.fr/1193-2/</a><br /> 2. <a href="https://twitter.com/cfreal_/status/1667852157536616451">https://twitter.com/cfreal_/status/1667852157536616451</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://blog.google/technology/safety-security/introducing-googles-secure-ai-framework/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發表AI系統安全框架SAIF</span></strong></a></p> <p>6月8日Google發表安全AI框架（Secure AI Framework，SAIF），希望能讓AI產業設立資安規範時，能夠依循。此框架的發想，來自軟體開發流程的安全最佳實務，再結合該公司對AI系統特有的安全趨勢及風險的理解，以6個核心元素組成。</p> <p>這些元素包括將安全基礎延伸到AI生態體系，將資安事件的偵測及回應能力延伸至AI，打造自動化防禦能力，協同平臺等級的管控機制，在部署AI的過程導入適應性控制（Adapt controls）機制，以及評估業務流程裡的AI系統風險等。</p> <p>此外，Google也與其他組織合作，共同開發美國國家標準暨技術研究院（NIST）的AI風險管理框架，以及業界首個AI認證標準ISO/IEC 42001 AI Management System Standard。</p> <p><a href="https://www.gov.uk/government/news/uk-to-host-first-global-summit-on-artificial-intelligence"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國計畫於秋季舉辦全球AI安全高峰會</span></strong></a></p> <p>在人工智慧應用熱潮興起的同時，相關安全議題備受關注，有多名學者、非營利組織呼籲應暫緩這類系統的發展。對此，6月7日英國首相Rishi Sunak宣布，將於今年秋季主辦第一屆全球人工智慧安全高峰會，希望透過匯集主要國家、科技公司和研究人員，共同商定安全措施，以評估和監測人工智慧可能帶來的重大風險。</p> <p>在上述會議召開之前，Rishi Sunak曾與所有G7會員國、各界重要人士探討此事，並取得初步共識；他也舉行圓桌會議，與OpenAI、DeepMind與Anthropic等重要人工智慧研究機構執行長，就相關議題交換意見。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsofts-azure-portal-down-following-new-claims-of-ddos-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Azure入口網站暫停運作，疑為駭客組織Anonymous Sudan發動DDoS攻擊所致</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-fails-to-extort-australian-commercial-law-giant/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲大型律師事務所HWL Ebsworth遭到勒索軟體BlackCat攻擊，駭客洩露1.4 TB資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ukrainian-hackers-take-down-service-provider-for-russian-banks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯網路服務供應商Infotel JSC遭到烏克蘭駭客癱瘓，當地銀行連線中斷</span></span></strong></a></p> <p><a href="https://drops.scamsniffer.io/post/pink-drainer-steals-3m-from-multiple-hack-events-including-openai-cto-orbiter-finance/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假冒新聞記者竊取300萬美元加密貨幣</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157280"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SharePoint Online遭勒索軟體攻擊，不經電腦也可以感染</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157264">【6月9日】逾20款Minecraft改裝套件遭到竄改，被用於散布惡意軟體Fractureiser</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157244">【6月8日】企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157227">【6月7日】 Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</a></strong></p> </div></div></div>
2023/6/12 17:57作者周峻佑https://www.ithome.com.tw/news/157304
盧森堡NC3揭露歐洲資安經驗，打造資安觀測平臺助中小企業提升網路威脅能見度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年，臺灣與歐洲的資安交流比過往更為熱烈，在今年的臺灣資安大會，亦有來自盧森堡網路安全能力中心（National Cybersecurity Competence Center，NC3）的專家親自到場演講，闡述他們最新發展的資安計畫如何幫助該國的中小企業，特別的是，我們也趁此機會了解NC3在盧森堡與歐盟的定位，並認識到歐盟的網路安全政策，了解這些規範如何進一步落實到各成員國。</p> <h2><strong>打造情蒐平臺並建構風險模型，聚焦讓威脅資訊可容易理解</strong></h2> <p>NC3本身是隸屬於盧森堡經濟部，任職於這個機構、負責資安威脅觀測平臺的計畫主持人Carmelo Dimauro表示，他們的使命，主要是針對資源有限的中小型企業，協助其增強預防風險的能力，幫助這些組織在網路安全領域，變得更有韌性。</p> <p>這個資安觀測平臺如何運作？Carmelo Dimauro表示，該平臺全名為Threat Observatory Platform，主要目的是蒐集資訊，並試圖將這些技術資訊，轉化為每個人都容易理解並使用的形式，提供給當地中小企業使用，因為這類型公司普遍沒有足夠的能力制定積極的戰略，而不易實現網路安全，所以，他們從這些組織的角度出發，設法提供網路安全威脅資訊。</p> <p>為了實現此一目標，Carmelo Dimauro提到要有兩個關鍵，首先是平臺背後所使用的2大工具，另一重點則是他們開發非常簡化的風險模型，使不熟悉這些資訊的人都可以理解。</p> <p>具體而言，NC3這個平臺使用的兩大工具，分別是：開源威脅情資平臺MISP Threat Sharing，可蒐集並分享有關網路威脅和風險的指標；以及處理可疑郵件的SPAMBEE，專門用於蒐集有關垃圾郵件與釣魚郵件的數據，之後再將這些蒐集到的資訊加以分析。</p> <p>以分析層面來看，這涉及上述所指的風險模型，主要涵蓋4大部分：威脅、漏洞、受害，以及結果。</p> <p>具體來說，他們開發的風險模型首先有兩個構面：一是危害與威脅的面向，描述構成攻擊過程的要素，包含威脅者、攻擊手段、管道等；另一是受害者的面向，描述可能導致影響過程的特徵要素，包含內部管道、目標、衝擊。</p> <p>而兩個構面之間的連接點，稱之為存取點（Point of access），而這個存取點所指的就是漏洞，包含弱點、後門等，使攻擊者能夠滲透到受害者的環境當中。</p> <p>最後還有一個結果的構面，更是重要。Carmelo Dimauro強調，因為我們常常要跟所有人解釋發生的事故狀況，而由於這部分涵蓋網路攻擊對攻擊者的收益，包括獲取金錢，竊取重要資料，以及受害者損失金錢與聲譽，若能盡可能掌握這些資訊，將有助於受害者理解並提高意識。</p> <p>畢竟，在每次網路攻擊背後，總是存在策略、目標、目的。如果一般人能明白這些，將可更容易理解為何自己受攻擊、為何自己「易」受攻擊，以及為何對攻擊者而言、自己是有價值的。</p> <p>整體而言，這個平臺就像個功能更強大的威脅情資工具，因為他們會利用威脅情報的結果，並透過這樣的模型與框架做到關聯對應，並根據其他已知的資訊來交叉比對。另外，由於這些資訊的內容組成是非結構化的，因此他們也運用自然語言處理技術來檢測資訊的價值，並根據模型對資訊進行分類，並標示重要的部分。基本上，他們就是透過這樣的方式，將資訊解構為可理解的內容，並公開發布。</p> <p>當然，盧森堡網路安全能力中心不僅僅給予觀測平臺所提供的資訊，也提供教育計畫與培訓項目，教導企業人員認識其重要性，以及如何理解與使用。</p> <p>關於此計畫的發展經過，Carmelo Dimauro提到他們兩年前開始思考這項計畫，成員共有4個人，一開始花了許多時間思考他們想要做什麼，同時也針對中小企業需求的調查，以及供應商能力的調查，進一步完成系統建設、平臺營運，以及定期分析。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）盧森堡資安觀測平臺.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%9B%A7%E6%A3%AE%E5%A0%A1%E8%B3%87%E5%AE%89%E8%A7%80%E6%B8%AC%E5%B9%B3%E8%87%BA.jpg" style="width: 600px;" /></a></p> <p><strong>在盧森堡NC3資安威脅觀測平臺計畫之下，之所以能分析蒐集到的資訊，關鍵是他們設計的風險模型，當中涵蓋威脅與受害者的構面，而介於這兩者之間的存取點（Point of Access）能幫助理解為何受攻擊，最後的結果（Consequence）也能突顯攻擊者收益與受害者損失。特別的是，Carmelo Dimauro</strong><strong>也說明了該風險模型與開源威脅情資平臺MISP，以及MITRE ATT＆CK框架的對應項目。</strong></p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖4）盧森堡資安觀測平臺.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%9B%A7%E6%A3%AE%E5%A0%A1%E8%B3%87%E5%AE%89%E8%A7%80%E6%B8%AC%E5%B9%B3%E8%87%BA.jpg" style="width: 600px;" /></a></strong></p> <p><strong>Carmelo Dimaur展示了觀測平臺的整體架構，說明他們是如何蒐集資訊與分析資訊，最後將簡化易理解的資訊提供給外界。</strong></p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖2）盧森堡資安觀測平臺.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%9B%A7%E6%A3%AE%E5%A0%A1%E8%B3%87%E5%AE%89%E8%A7%80%E6%B8%AC%E5%B9%B3%E8%87%BA.jpg" style="width: 600px;" /></a></strong></p> <p><strong>在盧森堡網路安全能力中心（National Cybersecurity Competence Center，NC3）所建構的Threat Observatory Platform平臺中，也會發布季度報告呈現趨勢變化。</strong></p> <h2><strong>支援歐洲網路安全創新與產業政策，ECCC是重要關鍵</strong></h2> <p>向參加臺灣資安大會的人們介紹NC3的觀測平臺計畫之餘，我們也趁Carmelo Dimauro這次來臺，詢問盧森堡NC3與歐盟之間的關聯。因為，大家過去可能從資安新聞了解歐盟頒布許多網路安全政策，以及歐盟本身設有網路安全機構（ENISA）這類機構，但大家還是很好奇歐盟有哪些資安推動方式？</p> <p>對此，Carmelo表示，歐盟是一個共同體，在歐盟執委會的帶領下，制定歐盟的法規，提供一些政策與標準，每個成員國都必須實施這些政策。</p> <p>以網路安全層面而言，為了確保歐盟成員國都實施相同的戰略，因此需要有跨境合作，或是至少需要協調。從國家層面來看，歐盟建立歐洲網路安全能力中心（European Cybersecurity Competence Centre，ECCC），此一執行機構位於羅馬尼亞的首都布加勒斯特，目標是提高歐洲的網路安全能力與競爭力，並在27個成員國設置國家協調中心（National Coordination Centre，NCC）。特別的是，去年2022年，盧森堡接任ECCC主席國，並由Pascal Steichen擔任主席。</p> <p>在這樣的運作架構之下，主要透過ECCC與國家協調中心（NCC）的密切合作，形成支持網路安全創新和產業政策的新框架，以確保整體策略的發展，同時也監控歐盟成員每個國家的實施情況。</p> <p>Carmelo表示，以盧森堡NC3而言，除了本身推動的多項計畫與任務，也被指定扮演國家協調中心的角色，因此也負責相關工作。例如，對於來自執行歐盟執委會的法規，NC3將確保該法規在盧森堡的有效實施，也會從ECCC獲得預算，以支援當地生態系統發展。</p> <p>當然，所有歐盟成員國在此方面都擁有相同的結構、政策與活動，不論是比例時網路安全中心（CCB）、義大利國家網路安全局（ACN）、荷蘭企業署（NEA）、法國國家資訊系統安全署（ANSSI）、西班牙國家網路安全研究所（INCIBE）等，也都是被指定為ECCC體系之下的國家協調中心。</p> <p>Carmelo強調，這麼做的目標是為了增加資安韌性，不僅是單一國家的韌性，而是歐洲共同體的韌性。當然，每個國家在資安政策上，還可以自行決定是否要做更多。</p> <p>至於ENISA這樣歐盟的機構，Carmelo Dimauro表示，這是一個技術導向程度更高的機構。例如，研究更安全的系統，監測網路威脅與技術的發展，幫助偵測與回應資安問題等。</p> <p>回到盧森堡本身來看，以國家級CERT組織而言，Carmelo Dimauro指出，可分成兩個面向來看，一是針對公部門方面有GOVCERT.lu，另一是針對私部門，目前有兩個機構——除了上述的NC3，還有盧森堡電腦緊急應變中心（CIRCL）。</p> </div></div></div>
2023/6/12 14:55作者羅正漢https://www.ithome.com.tw/news/157285
【資安週報】2023年6月5日到6月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，有3個重點，首先是Google釋出新版Chrome修補零時差漏洞CVE-2023-3079，這是一個Chromium的V8類型混淆漏洞，該公司指出已出現攻擊行動，另一是上週（６月１日）有資安業者警告，攻擊者可能利用Zyxel新修補的漏洞CVE-2023-33009、CVE-2023-33010，如今也被美國CISA列入已知漏洞利用清單。另外值得注意的是，有研究人員示警，微軟4月修補的一項Visual Studio漏洞，是容易被利用的漏洞，恐被用於滲透開發環境。</p> <p>在攻擊活動與威脅態勢方面，最大焦點，是5月下半針對MOVEit Transfer零時差漏洞的攻擊事件，受到多家資安業者關注，並揭露後續消息，包括其攻擊背後是勒索軟體駭客組織Clop所發動，以及受害企業可能達百家之多，還有攻擊者可能在2年前就發現了漏洞，經長期測試後才根據排程發動攻擊。另外，我們在整理事件後續進展時，新發現已有資安調查業者整理與公告事件<a href="https://github.com/curated-intel/MOVEit-Transfer">相關脈絡</a>。</p> <p>關於勒索軟體持續與中國駭客組織的消息不少。在勒索軟體方面，包含0mega鎖定企業用SharePoint Online，以及Cyclops結合竊資軟體功能的揭露：在中國駭客攻擊方面，有多家資安業者揭露不同組織的新動向，分別是Camaro Dragon利用後門程式TinyNote鎖定東南亞外交單位，PostalFurious鎖定星、馬，甚至阿拉伯國家發動網釣簡訊攻擊，以及SharpPanda透過Office方程式編輯工具老舊漏洞的攻擊行動，已從東南亞擴散至G20國家。</p> <p>另外還有3個威脅活動也值得關注，包括資料流自動化處理系統Apache NiFi遭駭客鎖定，殭屍網路TrueBot鎖定稽核軟體Netwrix重大漏洞，以及PowerDrop的PowerShell惡意程式鎖定美國太空產業部署RAT的揭露。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157192"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</span></strong></a></h3> <p>資安業者Check Point揭露中國駭客Camaro Dragon的攻擊行動，駭客利用以Go語言打造的後門程式TinyNote，鎖定東南亞、東亞的外交大使館而來，此後門程式主要被用於第一階段攻擊，讓駭客能在受害電腦上持續從事相關行動，並可使用PowerShell或Goroutines，列出目標組織的電腦。攻擊者假借提供外交事務相關的文件，散布該後門程式。</p> <p>比較特別的是，TinyNote能繞過名為Smadav的防毒軟體偵測，此產品的主要用戶位於印尼，亦有東南亞與非洲的使用者，突顯此後門程式的攻擊相當有針對性。</p> <p>研究人員也發現，為了降低目標對象的戒心，駭客冒用緬甸軍事設施的網域名稱，進一步追查其使用的基礎設施之後，他們表示，駭客可能對臺灣政府機關也相當感興趣。</p> <h3><a href="https://www.ithome.com.tw/news/157208"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月6日】MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</span></strong></a></h3> <p>針對Accellion FTA、GoAnywhere等MFT檔案共享系統的零時差漏洞攻擊，勒索軟體駭客組織Clop皆有參與，最近另一套MFT系統MOVEit Transfer也傳出面臨網路攻擊，有不少人懷疑也是Clop所為。如今有研究人員印證這樣的推測，並指出漏洞攻擊、竊取資料、勒索手法相當雷同。</p> <p>殭屍網路病毒的攻擊也相當值得留意。最近研究人員揭露殭屍網路Horabot的行動，目標鎖定電子郵件信箱帳號，不僅竊取信件內容，還會利用這些帳號發送釣魚郵件。</p> <p>人力資源管理平臺Prosperix因雲端儲存桶配置不當，導致求職者的資料曝光，內容不只包含了駕照、履歷表、工作申請表、畢業證書、成績單等相關資料，甚至還有疫苗接種記錄。</p> <h3><a href="https://www.ithome.com.tw/news/157227"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月7日】Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</span></strong></a></h3> <p>微軟的雲端郵件服務Outlook.com傳出從週一（6月5日）發生服務中斷的現象，導致用戶無法收發信而怨聲載道，但為何會出現這樣的情況？微軟並未對服務中斷的原因提出說明，但有駭客組織聲稱，這起事故是他們發起的DDoS攻擊所致。</p> <p>MFT檔案共享系統MOVEit Transfer零時差漏洞攻擊出現了新的進展，關於攻擊的駭客組織身分，微軟於6月5日曾指出是勒索軟體駭客Clop，隔日資安新聞網站Bleeping Computer收到Clop的說法，該組織表示就是他們所為，並透露這起攻擊的部分細節。</p> <p>Google針對上週才推出的Chrome 114發布新版程式，當中修補了零時差漏洞CVE-2023-3079，由於以Chromium為基礎打造的瀏覽器都可能受到影響，Edge、Brave、Vivaldi也都提供了修補。</p> <h3><a href="https://www.ithome.com.tw/news/157244"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月8日】企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊</span></strong></a></h3> <p>入侵企業的檔案共享系統並進行檔案加密的攻擊行動，最近出現新的手法！有資安業者揭露一波針對SharePoint Online而來的勒索軟體0mega攻擊，駭客先是挾持Microsoft 365的全域管理員帳號（Global Admin Account），然後建立高權限帳號來下載、刪除檔案，再留下勒索訊息。</p> <p>MFT檔案共享系統MOVEit Transfer零時差漏洞攻擊傳出駭客開始向受害組織進行勒索，並要求依照指示限期聯繫、談妥價碼及付款，否則就要公開竊得的資料。但受害規模仍不得而知。</p> <p>開放重新導向漏洞（Open Redirect Vulnerability）的情況也值得我們留意。有研究人員發現美國太空總署（NASA）的網站出現此類漏洞，但在今年1月就有人通報，截至5月仍未修補。</p> <h3><a href="https://www.ithome.com.tw/news/157264"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月9日】逾20款Minecraft改裝套件遭到竄改，被用於散布惡意軟體Fractureiser</span></strong></a></h3> <p>透過套件工具發布平臺來發動攻擊的情況，近期專門針對軟體開發人員而來，上架NPM、PyPI惡意套件的事件不時傳出，但現在也有鎖定遊戲玩家的攻擊行動。最近發生的竊資軟體Fractureiser攻擊行動，就是藉由電玩遊戲Miniecraft改裝套件平臺Bukkit、CurseForge的套件來散布，而引起相關社群的關注。</p> <p>製造業遭遇勒索軟體攻擊的事故也相當值得關注。在今天的資安新聞裡，日本拉鍊大廠YKK、製藥廠Eisai皆傳出遭遇此種攻擊。以YKK而言，駭客組織LockBit宣稱是他們所為，揚言若該公司不付錢，將公開所竊得的資料，後續影響有待觀察。</p> <p>MOVEit Transfer零時差漏洞攻擊的調查又出現了新的進展。有資安業者發現，駭客可能在2年前就找出漏洞，並經過多次測試、驗證，到了近期才發動正式攻擊。</p> </div></div></div>
2023/6/12 09:39作者羅正漢https://www.ithome.com.tw/news/157277
SharePoint Online遭勒索軟體攻擊，不經電腦也可以感染
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.obsidiansecurity.com/blog/saas-ransomware-observed-sharepoint-microsoft-365/" target="_blank">安全廠商發現駭客以新手法攻擊SharePoint Online</a>，不必感染用戶電腦也能植入勒索軟體。</p> <p>Obsidian研究人員近日觀測到一樁針對一家企業SharePoint Online（Microsoft 365）的勒索軟體攻擊。不同於一般SharePont Online感染案例，攻擊者加密用戶機器或對映磁碟，再同步到SharePoint Online 執行個體上的手法不同的是，攻擊者不需從用戶電腦終端下手。</p> <p>研究人員也說明這次攻擊事件的手法。首先，駭客成功取得微軟全域管理員（global admin）服務的登入憑證。被害帳號主要是未啟用雙因素或多因素驗證（2FA/MFA）而讓駭客可由公開網際網路存取。經追查，研究人員推斷是操作勒索軟體0mega的駭客組織。他們從VDSinra.ru提供的虛擬專用伺服器（Virtual Private Server）以異常的IP連線存取受害帳號，並建立名為0mega的新AD用戶帳號，並給予它相當高的存取權限，包括全域管理員、SharePoint管理員、Exchange及Teams管理員，這些權限使其得以從多個SharePoint網站或資料夾蒐集檔案，也可以刪除現有管理員帳號。</p> <p>0mega駭客在2個小時內刪除了200多個管理員帳號。駭客由SharePoint下載數百個檔案到VPS上的用戶端點sppull。由於駭客運用開源Node.js的函式庫got以HTTP連線上傳數千個PREVENT-LEAKAGE.txt檔案到Sharepoint，導致形跡敗露。研究人員還發現，駭客設立了2個祕密網站，讓受害企業與其聯繫贖金事宜並避免曝光。</p> <p class="rtecenter"><a href="https://www.obsidiansecurity.com/wp-content/uploads/2023/06/Untitled-1024x756.png" target="_blank"><img alt="" src="https://www.obsidiansecurity.com/wp-content/uploads/2023/06/Untitled-1024x756.png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="https://www.obsidiansecurity.com/wp-content/uploads/2023/06/Untitled-1-1024x701.png" target="_blank"><img alt="" src="https://www.obsidiansecurity.com/wp-content/uploads/2023/06/Untitled-1-1024x701.png" style="width: 600px;" /></a></p> <p><a href="http://www.obsidiansecurity.com/blog/saas-ransomware-observed-sharepoint-microsoft-365/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Obsidian</span></span></a></p> <p>研究人員建議AD管理員要留心異常地點的IP連線及登入行為，像是固定由一個陌生或奇怪國家連進的存取行為，也應檢查新增AD用戶的使用者名稱、聯絡地址或任何資料有0mega或Zero Mega，或是被給予太多管理員權限的新AD用戶帳號。此外，有大量不明.txt檔案上傳及來自sppull或got用戶代理程式的活動，也是遭感染的指標。</p> </div></div></div>
2023/6/12 11:39作者林妍溱https://www.ithome.com.tw/news/157280
Meta發表音樂生成模型MusicGen
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/pdf/2306.05284.pdf?" target="_blank">Meta AI於上周發表了音樂生成模型MusicGen</a>，並透過<a href="https://github.com/facebookresearch/audiocraft" target="_blank">GitHub開源了Audiocraft</a>，Audiocraft為一針對聲音生成而打造的PyTorch深度學習函式庫，提供程式碼及模型予MusicGen，允許使用者透過文字或輔以既有的音樂片段來創造自己的音樂。</p> <p>MusicGen是個一次到位（One Stage）的自我迴歸（Autoregression）Transformer模型，它在一個32kHz的EnCodec分詞器上進行訓練，使用了4個以50 Hz採樣的碼書（Codebook）。</p> <p>Meta AI團隊說明，與<a href="https://www.ithome.com.tw/news/156832" target="_blank">Google音樂AI工具MusicLM</a>不同，MusicGen不需要自我監督的語義表示，代表它在生成音樂時不必預先訓練一個模型來理解音樂的語義，同時它一次就可生成4個碼書，藉由在碼書之間導入小延遲，以並行預測這些碼書，使其每秒音頻僅需進行50步的自我迴歸預測。</p> <p>另一個不同則是Meta開源了Audiocraft/MusicGen，但Google尚未打算開放一般用戶使用MusicLM。</p> <p>Meta AI團隊使用了2萬小時的授權音樂來訓練MusicGen，包括1萬小時的內部音樂資料集，以及來自ShutterStock與Pond5的音樂資料。</p> <p>使用者可藉由API存取Meta AI團隊預先訓練的4個模型，這些模型的規模不同，包括具備3億參數的小模型、擁有15億參數的中等模型，擁有15億參數且可同時輸入文字與音樂的旋律模型，以及具備33億參數的大模型。其中，除了旋律模型之外，其它模型都只能輸入文字來產生音樂。此外，該團隊發現，中型與旋律模型在運算及品質上可取得最佳平衡。</p> <p><a href="https://ai.honu.io/papers/musicgen/" target="_blank">Meta AI的研究科學家Alexandre Défossez比較了4個音樂生成模型的不同</a>，涵蓋MusicGen、MusicLM、Riffusion與Musai等，賦予它們同樣的描述，並觀察它們的生成結果。</p> <p><a href="https://twitter.com/DrJimFan/status/1667197945899544576" target="_blank">Nvidia的AI科學家Jim Fan表示</a>，Meta在開源上取得了連勝，MusicGen替音樂AI創造了另一個<a href="https://www.ithome.com.tw/news/155692" target="_blank">LLaMA</a>時刻。</p> <p>要在自己的系統上試用Audiocraft/MusicGen必須安裝Python 3.9與PyTorch 2.0.0，以及至少具備16GB記憶體的GPU。</p> </div></div></div>
2023/6/12 12:06作者陳曉莉https://www.ithome.com.tw/news/157281
每日寫入量高達35次，美光推出新款強調高耐寫型SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_xtr_ssd_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年上半，記憶體大廠美光（Micron）陸續發表多款資料中心NVMe硬碟，1月宣布新一代頂級產品9400系列進入大量生產階段，5月推出主打高容量特色的產品6500 ION系列，以及超大耐用度、支援寫入密集型工作負載的產品XTR系列。</p> <p>就近期發表的資料中心固態硬碟產品而言，大多是針對讀取密集型工作負載的應用需求，而在耐用度方面，每日寫入量（DWPD）的規格常見為1或低於1；若是主打混合型工作負載的產品，每日寫入量介於1與10之間，常見為3；而歸類為寫入密集型工作負載的產品，每日寫入量為10以上。</p> <p>或許是因為受制於目前普遍採用的NAND快閃記憶體為TLC，市面上的資料中心固態硬碟產品，每日寫入量規格很少超過兩位數，然而，美光最新推出的MTR系列竟打破這個慣例，本身的耐用程度（endurance）大大超越一般固態硬碟——基於同樣採用TLC快閃記憶體的架構，這款產品每日因應循序寫入工作負載的能力為60次，每日因應隨機寫入負載可達35次。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron XTR-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20XTR-2.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，根據美光對IT媒體發表的簡報內容指出，XTR採用176層的SLC快閃記憶體技術，然而，在該公司網站公布的產品簡介文件，在NAND的規格當中，卻寫為「Micron 176-layer 3D TLC NAND」，經過我們向美光詢問，他們表示，XTR採用以SLC模式運行的TLC NAND，以提供強化的耐用性，並加速資料中心工作負載。<br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20XTR-1.jpg" style="width: 600px;" /></p> <p>在產品針對的工作情境上，美光也明確列出XTR適用的寫入密集型工作負載細部應用類型，像是快取層設置、寫入緩衝處理、事件日誌記錄，以及資料庫線上交易處理（OLTP）。</p> <p>對比於可用作儲存級記憶體（SCM）的固態硬碟，具有超高資料耐寫度的特性，XTR也具有多個相對成本優勢。</p> <p>美光表示，若以英特爾Optane SSD P5800X來比較，每日寫入量高達100次，他們的XTR每日隨機寫入量雖然僅有35％，成本卻只需要20％；而以耗電量的規格而言，英特爾Optane SSD P5800X系列的1.6 TB機型為21瓦，美光XTR系列的960 GB與1.92 TB機型只需12瓦，節省幅度為43％。</p> <p>在實際應用上，XTR系列展現了哪些特性？根據美光進行的微軟SQL Server資料分析測試，若以Micron 6500 ION搭配英特爾Optane SSD P5800X對上Micron 6500 ION搭配Micron XTR，若在256 GB、384 GB、 512 GB等記憶體組態之下，SQL Server的tempdb每日寫入資料量最高為42 TB，美光XTR系列每日寫入量為35次，若以1.92 TB容量機型為準，每日寫入量為67.2 TB，其耐寫度可高於上述tempdb每日寫入量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20XTR-SQL1.png" style="width: 400px;" /></p> <p>而就存取效能來比較，在3種記憶體組態當中，Micron 6500 ION搭配Micron XTR資料庫查詢執行時間，略低於Micron 6500 ION搭配英特爾Optane SSD P5800X。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20XTR-SQL2.png" style="width: 400px;" /></p> <p>除了提供高耐寫能力，擁有更豐富的安全性特色，也是XTR傲視美光現行固態硬碟產品的部分，不僅支援自我加密（SED）、運用密碼學的資料抹除、NAND區塊抹除，以及使用數位簽章保護的韌體，它與一起發表的6500 ION、去年3月發表的7450，都已遵循TCG Opal、美國貿易協定法（TAA）等標準，以及美光本身制定的安全執行環境（Micron SEE）要求，而且能在ASIC晶片層級符合FIPS 140-3 L2認證的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron SSD Portfolio Security Features.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20SSD%20Portfolio%20Security%20Features.png" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p>Micron XTR NVMe SSD<br /> ●原廠：Micron<br /> ●建議售價：廠商未提供<br /> ●儲存容量：960 GB、1.92 TB<br /> ●外形：U.3<br /> ●儲存媒體：3D NAND，TLC，176層<br /> ●最高讀寫速度：循序6,800 MB/s與5,600 MB/s，隨機90萬IOPS與35萬IOPS<br /> ●使用介面：PCIe 4.0 x4/NVMe 2.0<br /> ●耐用度：128 KB循序寫入、每日寫入量為60，4 KB隨機寫入、每日寫入量為35<br /> ●可靠度：250萬小時MTTF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/6/12 12:44作者李宗翰https://www.ithome.com.tw/review/157275
Reddit執意推行API收費政策，多個知名App宣布關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源軟體開發者社群平臺Reddit在開發用戶抗議聲中，執意在7月1日推行API收費政策，為此，一群知名開發人員表示他們的App將在6月30日終止運作。</p> <p><a href="https://www.ithome.com.tw/news/156469" target="_blank">4月間Reddit宣布</a>，為求平臺營運健康、維護平臺的安全、隱私，將變更服務條款，對使用其資料API且獲利的開發商收費，同時強化廣告、性與血腥等露骨內容管理規定，但他們還是針對研究及個人用途、少量存取API的開發人員提供免費API。</p> <p>新政策下，資料API呼叫費用是1000次呼叫0.24美元。免費API的使用條件是每OAuth每分鐘查詢次小於100次，若App不使用OAuth者，則為每分鐘查詢10次。Reddit說，90%的App都落在免費API使用族群。</p> <p>收費制將在7月1日正式上路。雖然這變更主要是瞄準OpenAI這類使用大量資料訓練AI模型的業者，不過也有其他知名App開發商受到影響，時程太趕令其措手不及。Reddit在溝通後仍然堅持如期推動收費，許多App開發商揚言在6月12日暫停運作一天表達抗議。根據追蹤該活動的<a href="https://reddark.untone.uk/" target="_blank">Reddark網站</a>，周一（6/12）已有超過600個Subreddit暫時關閉。</p> <p>部分開發人員採取更激烈的行動。上周<a href="https://twitter.com/ChristianSelig/status/1666857672489189376" target="_blank">Apollo開發商Christian Selig宣布</a>，他的App將在6月30日關閉。Apollo是存取Reddit最受歡迎的Reddit第三方iOS App。<a href="https://www.reddit.com/r/apolloapp/comments/144f6xm/apollo_will_close_down_on_june_30th_reddits/" target="_blank">Selig說</a>，Reddit新App政策將讓它每個月多出近200萬美元成本，一年超過2,000萬美元，因為Apollo上個月呼叫就超過700億次。</p> <p>接著，隔天rif is fun for Reddit、ReddPlanet、Sync也宣布將在同一天熄燈。<a href="https://www.reddit.com/r/redditisfun/comments/144gmfq/rif_will_shut_down_on_june_30_2023_in_response_to/" target="_blank">RIF指出</a>，在收費費率、廣告及內容控制上，「Reddit一直不情願妥協」，但RIF App營收遠遠無法承擔Reddit API所要的費用。RIF也指控，Reddit官方App阻擋第三方App的廣告，進一步封殺RIF大部分營收來源，迫使他們必須改採付費訂閱型。同時間Reddit官方App卻持續採用廣告為主的營收模式。而且，Reddit推行NSFW（Not Suitable for Work，上班場所不宜）政策，要求第三方App移除露骨內容（explicit content），但官方App卻可以顯示，明顯「只許州官放火，不准百姓點燈」。</p> <p>Reddit似乎不為所動。Reddit執行長Steve Huffman周六表示，Reddit需要能自給自足，為此，他們將不再補貼需要使用大量資料的商業實體。<a href="https://www.reddit.com/r/reddit/comments/145bram/addressing_the_community_about_changes_to_our_api/" target="_blank">Huffman直接宣布</a>上述App將關閉，但他們會和其他App持續溝通。</p> <p>Reddit指出，在資料API新政策上路後，一些工具包括RES、ContextMod、Toolbox仍可免費使用。免費聊天機器人如haikubot、setlistbot的API使用也不受限。同樣地，非商用、身障用戶輔助功能為主的App和工具（如RedReader和Dystopia）也能持續免費存取Reddit上的資源。</p> <p>至於露骨內容規定，政策將在7月5日上路。Reddit表示會提供顯示此類內容的指引，但本政策不會影響內容仲裁者（moderator）的機器人或外掛程式。</p> </div></div></div>
2023/6/12 10:50作者林妍溱https://www.ithome.com.tw/news/157278
Bing Chat桌機版可以說話了，還支援圖片生成、一次回答最多30次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.bing.com/search/june-2023/Bing-Preview-Release-Notes-Voice-Chat-on-Desktop" target="_blank">微軟上周宣布桌機版測試版</a>，為Bing Chat加入語音對話功能，並完整支援圖片生成，增加視覺搜尋結果，現在一次最多可回應你30次。</p> <p>Bing Chat行動版之前已有語音輸入Voice，現在才正式加入微軟最新Bing桌機預覽版Voice Chat on Desktop，並在上周五釋出給所有用戶。用戶可以點入Bing Chat工具列的麥克風來叫喚出這功能，讓用戶以口說取代文字輸入，和這個AI助理對話或下指令。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0612-microsoft%20Bing-Voice%20Chat%20on%20Desktop.gif" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></p> <p>目前語音輸入支援英、中、日、法及德語，之後還會加入其他語言。此外Bing Chat也支援文字轉語音答案；即以它自己的聲音來回覆用戶詢問。因此用戶可以讓Bing回答他知道最難的繞口令。</p> <p>除此之外，繼Bing繪圖產生器Image Creator自今年3月整合進AI助理以生成圖片，不過一開始只有創新（Creative）模式可以用。<a href="https://blogs.bing.com/search/june-2023/Bing-Preview-Release-Notes-Increasing-Chat-Turns-to-30-300" target="_blank">本周微軟再宣布Bing Chat各種聊天模式</a>，包括精準、平衡及創意模式都會支援。Bing Chat每次問答次數上限，也由20次提高為30次，每天問答總次數則提高到300次，而這也可適用於對話紀錄，意謂用戶可點選之前對話再接續查詢。此外，在旅遊查詢的回覆中，Bing Chat將增加提供更多視覺資訊，包含來自Bing Travel擷取的連結。</p> <p class="rtecenter"><img alt="" src="https://blogs.bing.com/BingBlogs/files/9b/9b60d4a5-dc42-4a3c-8e6a-895f7b0129d8.gif" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://blogs.bing.com/BingBlogs/files/be/be117aa2-c11a-45b3-b2a3-ccfbbdce8ebc.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> </div></div></div>
2023/6/12 11:18作者林妍溱https://www.ithome.com.tw/news/157279
AI趨勢周報第218期：微軟發表130億參數模型Orca，表現比ChatGPT好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0602～0606)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Orca </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟發表130億參數模型Orca，表現比ChatGPT還要好</strong></span></p> <p>微軟日前發表一款130億參數的語言模型Orca（虎鯨），還在一系列基準測試中贏過主流大型基礎模型，像是ChatGPT、Bard，以及其他同參數量的Vicuna-13B、Alpaca-13B和LLaMA-13B等模型。進一步來說，微軟想透過學習、模仿大型語言模型的推理過程，來提高小模型表現，於是，他們以GPT-4為標竿，讓Orca學習GPT-4的推理過程，包括解釋步驟、逐步（Step by step）思考模式和其他複雜指令，並由ChatGPT的老師模型來引導。</p> <p>測試時，團隊以GPT-4作為評分工具，來衡量Orca在嚴格的基準測試Big Bench Hard（BBH）中與其他SOTA模型的表現，發現比ChatGPT、Bard等要好，也在包含SAT、LSAT、GRE和GMAT等學術考試的AGIEval基準測試中，拿下不錯成績。<a href="https://arxiv.org/pdf/2306.02707.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-06-11%20at%2011_54_40%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 函式庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Teams </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟推出AI函式庫，開發者可用來打造Teams AI應用程式</strong></span></p> <p>微軟不只在M 365生產力工具中加入Copilot擴充套件、用大型語言模型協助用戶處理語言任務，現在還進一步擴展大型語言模型的支援，推出Teams AI函式庫。Teams AI函式庫是一個開發工具，以GPT-4為基礎，能讓開發者在Teams平臺上打造具AI功能的Teams應用程式，也支援多種語言。Teams AI函式庫包括進階AI元件，如對話式AI、提示語管理和安全審查等功能，開發者可開發高度互動的應用程式。微軟指出，該函式庫的設計考慮了開發的簡單性和靈活性，所以開發者不需花大量時間，理解複雜的協定或是編寫自定義對話邏輯。<a href="https://devblogs.microsoft.com/microsoft365dev/build-your-own-apps-copilot-on-microsoft-teams-with-the-new-teams-ai-library/">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/HWTTm58jg9A?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 擴散模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>一句話</strong></span><strong style="font-size: 22px;">一張圖</strong><span style="font-size:22px;"><strong>就能準確生成新圖片，Google發表新文字生成圖片模型StyleDrop</strong></span></p> <p>Google最近發表一款圖片生成圖片的AI系統StyleDrop，以Google先前發表的同類模型Muse為基礎，可根據使用者給定的一張圖和文字提示，來生成同樣風格和紋理的圖片，表現比擴散模型（如Stable Diffusion、Imagen）還要好。</p> <p>進一步來說，有別於擴散模型，StyleDrop是一款基於離散Token的視覺Transformer模型。團隊在訓練模型時，採用了人工回饋和自動回饋方法，來提高產出品質，也就是說，團隊對StyleDrop輸入一張圖片後，模型會產出一組同樣風格的圖片，團隊手動挑選或用CLIP模型自動分類出品質最好的圖片，再用這些圖片來訓練模型。與此同時，團隊也利用Dreambooth模型來強化StyleDrop對物件圖片的生成表現，由前者學習物件、後者學習風格，再整合為生成結果。Google表示，StyleDrop的強項在於能捕捉圖片風格中的細微差異，像是色彩、陰影、圖案設計等，並能按照該風格生成圖片。他們評比發現，StyleDrop的風格轉換表現比Textual Inversion、Dreambooth、LoRAs和Imagen等主流模型還要好。<a href="https://styledrop.github.io/">（詳全文）</a></p> <p><img alt="" src="https://styledrop.github.io/images/styledrop_merge/05_0102.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Falcon </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SageMaker </span></strong></span></p> <p><span style="font-size:22px;"><strong>阿拉伯聯合大公國打造400億參數LLM，霸榜OpenLLM排行榜</strong></span></p> <p>近日，阿拉伯聯合大公國科技創新研究所（TII）用AWS機器學習服務SageMaker打造出400億參數的語言模型Falcon-40B，在Hugging Face的OpenLLM排行榜上位居第一，贏過LLaMA、StableLM和RedPajama等模型，最近也開源了。</p> <p>Falcon-40B是因果解碼器，用將近5億個Token訓練而成。這些訓練資料來自網路公開文件，為提高訓練資料品質，團隊還自建資料處理工作流程，透過過濾和去重複化來挑出高品質資料。此外，團隊還採用了多重查詢注意力（Multiqery attention）機制和FlashAttention注意力機制，來提高模型效率。簡單來說，多重查詢注意力機制可讓模型對每個Token產生多個查詢，來更好表示同一序列中，不同token之間的關係；FlashAttention則能加速自我注意力的運算、降低複雜性，進而提高模型整體的運算效率。</p> <p>接著，團隊使用SageMaker服務和384顆GPU來進行2個月的訓練。經多個基準測試，表現比LLaMA、Vicuna和Alpaca好，目前開源的版本有Falcon-7B-Instruct和Falcon-40B-Instruct等。<a href="https://www.tii.ae/news/abu-dhabi-based-technology-innovation-institute-introduces-falcon-llm-foundational-large">（詳全文）</a></p> <p><img alt="" src="https://files-prod.tii.ae/inline-images/Graph-2%20Falcon%20LLM%20banner.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google Cloud </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Chatbot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料搜尋 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google雲推生成式AI新服務，企業可自建Chatbot搜尋內部資料</strong></span></p> <p>Google Cloud推出一項AI服務Enterprise Search on Gen App Builder，使用者可用來開發聊天機器人，來搜尋企業內部資料。進一步來說，這款服務特別之處，在與用生成式AI聊天機器人模式來搜尋資料，可克服傳統查詢方法的痛點，如出現大量模式匹配連結、相關答案需要人力檢查等。Enterprise Search on Gen App Builder可讓開發者打造特定資料源的搜尋引擎，提高搜尋準確性和相關性，且可處理多模態資料，像是圖片、影像，還能讓用戶控制答案輸出。</p> <p>Google也透露，美國醫療龍頭梅約醫學中心將採用Enterprise Search on Gen App Builder，來在幾分鐘內自建搜尋用的聊天機器人和語義搜尋應用程式，且幾乎不需要寫什麼程式，加速醫師及研究人員搜尋醫院內各種格式的文件，如病歷、研究論文、臨床指引和資料庫作為研究、診斷及治療之用。Google Cloud稱，這項服務已符合HIPAA標準。<a href="https://cloud.google.com/blog/products/ai-machine-learning/enterprise-search-on-gen-app-builder">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VS Code </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> C# </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出全新C#開發工具包，新添AI開發功能</strong></span></p> <p>微軟推出VS Code新C#開發工具包，可在Linux、macOS和Windows等作業系統上，提供更高效可靠的工具環境。C#開發工具包由一組VS Code擴充套件組成，這組擴充套件提供完整的C#編輯、AI開發、解決方案管理和整合測試功能。</p> <p>在安裝C#開發工具包時，系統會自動安裝IntelliCode for C# Dev Kit，這個新IntelliCode比原本C#擴充套件中的IntelliCode還要好，而且，新添的AI功能還能依據開發者個人程式碼庫，提供整行程式碼完成以及星形標籤的建議，也會將最可能使用的內容，在C#專案的IntelliSense完成列表置頂。<a href="https://devblogs.microsoft.com/visualstudio/announcing-csharp-dev-kit-for-visual-studio-code/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Neuralangelo </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia公布能將2D影片轉成3D的AI模型Neuralangelo</strong></span></p> <p>Nvidia最近發表可將2D影片片段轉為3D的AI模型Neuralangelo，而且細節豐富、紋理清楚，如建築、雕刻和其他真實物體，創作者可用來產生3D物件、匯入到設計應用，或是進一步編輯，應用於藝術、電玩開發、機器人或數位分身中。</p> <p>Neuralangelo使用即時神經繪圖原語來捕捉物體微妙的細節，能以不同角度拍攝的2D影片為素材，從中選擇多個不同角度的影格，一旦決定每個影格的相機位置後，就會產出初步的3D再現影像，並加入細節、使其成型，產出的3D物件可用於VR應用、機器人等領域。Nvidia研究院預定在6月18到22日舉行的電腦視覺盛會CVPR上發表這款模型，並在預定發布的影片中，展示模型如何重建米開朗基羅的著名雕刻《大衛》、平板拖車和建築物室內裝潢與室外設計。<a href="https://blogs.nvidia.com/blog/2023/06/01/neuralangelo-ai-research-3d-reconstruction/">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/PQMNCXR-WF8?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI幻覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 過程監督 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI新訓練方法可避免AI出現幻覺</strong></span></p> <p>OpenAI採用了一種稱為過程監督（Process Supervision）的訓練方法，來獎勵每個正確步驟的推理，讓模型能遵循人類認可的關聯思考（Chain-of-Thought），產生更可靠的結果。</p> <p>雖然近期大型語言模型的推理能力大幅度提高，但OpenAI指出，即便是最先進的模型，仍會產生邏輯錯誤，也就是幻覺（Hallucination），而解決幻覺是建置通用AI的關鍵。OpenAI先是評估2種監督方法，利用MATH測試集來衡量過程監督和結果監督，發現過程監督的效能比結果監督佳，而且當問題變得複雜，效能差距也會增加，整體來說，過程監督獎勵模型更加可靠。<a href="https://openai.com/research/improving-mathematical-reasoning-with-process-supervision">（詳全文）</a></p> <p>圖片來源／微軟、Google、TII、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google發表AI系統的安全性概念框架</strong></p> <p><strong>2. DeepMind AI模型不下圍棋了，新AlphaDev模型可加速資料中心運算效率</strong></p> <p><strong>3. Wordpress Jetpack AI助理可幫忙寫部落格</strong></p> <p>資料來源：iThome整理，2023年6月</p> </div></div></div>
2023/6/11 12:19作者王若樸https://www.ithome.com.tw/news/157274
想設立漏洞懸賞專案，應界定有機可循的方法，並留意相關的法律要求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在過往的資安新聞報導裡，一談到漏洞懸賞（Bug Bounty），往往集中在研究人員得到多少獎金，或是企業願意為了漏洞提供的獎勵多寡，甚至是研究人員通報漏洞卻得不到應有的報酬等議題，但較少提及一般企業該如何設置相關的獎勵制度與賞金獵人溝通的管道。一般而言，大家通常只看到企業開放的懸賞項目及金額。</p> <p>在2023臺灣資安大會上，資安社群UCCU成員Vic Huang特別公開企業設置與運作漏洞懸賞專案的經驗，以及他本身曾從事賞金獵人的過程，彙整雙方面臨的問題與作法，從而提供設立漏洞懸賞計畫的建議。</p> <p>為何企業需要經營漏洞懸賞專案？從最基本的層面而言，自然是找出系統的漏洞或程式設計上的邏輯弱點，並予以修補，尤其是企業的開發人力、資源、時間往往相當有限，難以通盤檢驗整個系統的安全。有了這樣的專案，企業不只有了徵求研究人員發現漏洞的管道，甚至能進一步控管這些瑕疵的後續處理事宜，例如：登記CVE編號進行管理，或是向賞金獵人買下零時差漏洞，進而在修補之前防堵漏洞遭到利用。</p> <p>此外，企業一旦成立了漏洞懸賞專案，也代表他們相當重視資安，對於企業的名聲也有所助益。</p> <h3><span style="color:#800080;"><strong>接獲漏洞需要與通報者、內部開發人員進行溝通</strong></span></h3> <p>然而，持續運作這類專案並不容易。Vic Huang指出，在接獲漏洞通報後，專案小組必須先確認，通報者是否為第一手消息來源？這項漏洞是否已被利用？以及漏洞對於企業或是服務的損害情況為何？</p> <p>若是漏洞需要進行修補，漏洞懸賞專案小組也必須與內部溝通，向RD或是研發部門表明必須修補漏洞的原因，以及帶來的風險等。若是收到較為緊急的漏洞通報，需要3天至7天內完成處理，該如何說服相關部門的專案負責人（PM），也是處理漏洞通報時所需要面對的工作。</p> <p>由於現在許多企業導入DevOps，開發時程大幅縮短，每2週就會推出新版本的專案，很有可能前天才釋出，今天就收到漏洞通報的資料，因此，漏洞懸賞專案的負責人員也要幫忙協調，促使研發團隊能夠在繁忙的開發流程當中，執行漏洞修補的工作。</p> <p>還有，專案小組接獲的漏洞，也有可能出現在不同的系統或是服務，若要進行徹底的清查，往往要花費很多時間。</p> <h3><span style="color:#800080;"><strong>建立良好制度將有助於抓漏工作的進行</strong></span></h3> <p>既然企業在執行這種漏洞懸賞的工作會面臨許多挑戰，有那些是需要特別注意的部分？Vic Huang認為，在設定此類專案的過程中，若能夠進行充分的內部溝通，建立明確的通報規則，日後實際執行相關工作會較為順利。</p> <p>首先，這類專案須徵求老闆或上司的認同。由於漏洞懸賞涉及獎金的預算，也會需要相關資源因應，但上司很有可能不清楚其中的內容，如處理獲報的漏洞的過程，可能面臨一些狀況而導致需要額外的處理成本，此時往往需要透過上司向公司高層爭取額外預算。若是上司對專案內容有一定程度的了解，將有助於獲得所需的資源。</p> <p>再者，是必須明確規範執行的範圍，以及獎勵的內容。企業很可能會在懸賞的資訊當中，表明特定網域上的應用系統、服務，其漏洞是在專案的懸賞範圍當中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cybersec23-BugBounty-CIMG4410.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cybersec23-BugBounty-CIMG4410.jpg" style="width: 580px;" /></a></p> <blockquote><p>在成立漏洞懸賞專案的過程裡，推動者尋求公司高層支持之餘，也要規畫相關的規則，並兼顧法律與會計層面，然後在正式上線前，指派相關負責人進行演練，檢驗是否其中是否有需要調整之處。</p> </blockquote> <p>但Vic Huang也提到最好明確指定範圍，舉例來說，有些人可能會用*.google.com，表示其抓漏範圍涵蓋所有google.com的服務，這麼做看似一勞永逸，但問題是，若有個公司10年前曾經提供的服務，現在專案負責人有可能根本不知道其用途，而這個已經淘汰的系統變成賞金獵人刷漏洞的標的時，公司因此必須支付大量獎金，卻無法改進重要系統的安全。</p> <p>而對於漏洞的類型，Vic Huang認為企業可指定受理的漏洞類型，以及定義獎勵的多寡，例如，在Tier-1服務上面的漏洞，給予較高的獎金；在Tier-2或較為不重要的服務，獎金會略低。</p> <p>其次，則是專案可設定為公開徵求漏洞，或是尋求少數人士來抓漏。什麼樣的情況會需要邀請特定對象參與？像是應用系統可能無法承受大量賞金獵人執行指令碼癱瘓，企業就有機會選擇這種模式，看看會不會因此導致服務出現問題，概念有點類似「試營運」。</p> <p>最後，漏洞的揭露規範也很重要。這類懸賞專案必須明確告知賞金獵人，在何種情況之下，才能公開他所找到的漏洞。例如，漏洞修補完成，且由通報者進行確認，之後等到企業同意，才能公布漏洞的相關資訊。</p> <p>附帶一提，企業也可以表明非懸賞的項目將視情況提供獎勵，但這可能給專案小組增加很多工作。</p> <h3><span style="color:#800080;"><strong>合作夥伴契約、法律文件、賞金支付流程要特別留意</strong></span></h3> <p>除了對於抓漏的範圍、漏洞類型、如何揭露，企業都要有明確的定義，Vic Huang認為，很多人可能會忽略法規遵循的層面。首先，很多公司可能會使用外部的漏洞懸賞平臺（如HackerOne），那麼，與這類平臺簽定的契約內容就要特別留意。</p> <p>再者，有些企業要求賞金獵人簽署的保密協議（NDA）文件、支付獎金的流程，也需要準備。針對文件的部分，Vic Huang認為需有相關的範本，並且要讓公司的法律團隊協助檢視。</p> <p>而對於付款的流程，也要有規畫，因為，企業很有可能會面臨相關稅務的問題，導致通報者的觀感不佳。Vic Huang以他曾找出某個國內公營事業的漏洞為例，負責人不僅晚了2個月發獎金，並表示該公司忘記計算稅金，因此，要求Vic Huang把這筆錢轉到這位負責人的郵局戶頭，此種增加大家麻煩的做法讓人不禁搖頭。</p> <p>值得留意的是，如果漏洞懸賞的標的存放了客戶（或員工）資料，我們也要意識到存在個資外洩的風險，而這取決於公司位於的國家或地區，若必須遵循GDPR，標準又會變高。這些部分都需要事先與公司法務團隊確認，而非等到可能因漏洞導致資料外洩，才不得不處理個資相關法規衍生的問題，這都為時已晚。</p> <h3><span style="color:#800080;"><strong>在正式上線之前，指派相關人員進行模擬、測試</strong></span></h3> <p>有了上述的規範並兼顧法律層面的需求，接著企業要進行實際測試，指派相關的工程師來操作，記錄執行的結果，檢視初步規畫的內容，是否存在需要調整的地方。例如，實際執行之後，很有可能發現懸賞的規畫有疏漏，此時就要根據遇到的情況進行修改，也可以考慮參考其他專案的作法。</p> <p>雖然要做好相關規畫讓通報者能遵循，但Vic Huang指出，實務上，他們還是會遇到各式各樣的通報者和狀況，因為有些人並非單純想要獎金或尋求名聲、證明自己是很強的駭客，而想要「自我實現」──這種人很可能認為企業收到他們通報的漏洞後，就要對他的百般要求照單全收，而衍生許多糾紛。</p> <p>他提及有個通報者偏好在臉書公開找到的漏洞，而且有時對於相關資訊的遮蓋並不嚴謹，導致漏洞部分細節曝光，但這些狀況都發生在尚未向企業通報或在企業受理的過程中，就在這位通報者的臉書發文。對此，Vic Huang表示，他們可能會尋求該通報者所屬的公司，透過主管來進行溝通。</p> <p>但例外情況也不全是壞事。Vic Huang舉出有人發現公司使用者資料流入暗網的情況為例，他最初和通報者表明，這種情況不在漏洞懸賞的範圍，事隔2天，這名通報者表明打下駭客的C2，並找到更多公司內部員工的資訊，提供很多C2伺服器流量資訊，讓Vic Huang能進一步調查，最終甚至找到根本原因──原來有員工不慎安裝惡意瀏覽器外掛程式，導致部分資訊被側錄，並傳送至C2。</p> <p>即使這項發現完全與漏洞懸賞的內容無關，但因為該名通報者相當誠實，Vic Huang仍決定給予對方獎金鼓勵。</p> <p>目前在企業與通報者之間，存在著不少漏洞通報流程的衝突，不是企業無法給予適當報酬、不願承認通報者找到的漏洞，讓通報者感到失望；或者，通報者不願遵循相關流程，提供充分的資訊，甚至是在通報前公開細節，而造成企業因應漏洞上的困擾。對此，未來很有可能需要第三方介入，企業與通報者能有更為良好的互動，讓這樣的漏洞懸賞機制帶來正向循環。</p> </div></div></div>
2023/6/9 18:23作者周峻佑https://www.ithome.com.tw/news/157266
【資安日報】6月9日，逾20款Minecraft改裝套件遭到竄改，被用於散布惡意軟體Fractureiser
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過套件工具發布平臺來發動攻擊的情況，近期專門針對軟體開發人員而來，上架NPM、PyPI惡意套件的事件不時傳出，但現在也有鎖定遊戲玩家的攻擊行動。最近發生的竊資軟體Fractureiser攻擊行動，就是藉由電玩遊戲Miniecraft改裝套件平臺Bukkit、CurseForge的套件來散布，而引起相關社群的關注。</p> <p>製造業遭遇勒索軟體攻擊的事故也相當值得關注。在今天的資安新聞裡，日本拉鍊大廠YKK、製藥廠Eisai皆傳出遭遇此種攻擊。以YKK而言，駭客組織LockBit宣稱是他們所為，揚言若該公司不付錢，將公開所竊得的資料，後續影響有待觀察。</p> <p>MOVEit Transfer零時差漏洞攻擊的調查又出現了新的進展。有資安業者發現，駭客可能在2年前就找出漏洞，並經過多次測試、驗證，到了近期才發動正式攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://prismlauncher.org/news/cf-compromised-alert/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Fractureiser透過Minecraft改裝套件散布，攻擊Windows、Linux電腦</span></strong></a></p> <p>開源電玩Minecraft啟動工具Prism Launcher於6月7日提出警告，竊資軟體Fractureiser透過Minecraft改裝套件平臺Bukkit、CurseForge散布，鎖定使用Windows及Linux電腦的玩家而來。</p> <p>駭客起初入侵幾個Minecraft套件開發者的帳號，將惡意程式碼注入這些套件，後續該惡意軟體得以自我複製、大量散布，他們呼籲用戶暫時不要從Bukkit及CurseForge下載改裝套件，Minecraft遊戲改裝工作室Luna Pixel Studios確認逾20款套件受到影響，過去3週下載相關改裝套件的用戶都可能曝險。</p> <p>此資安通告亦提供自行手動檢查是否遭到竊資軟體感染的方法，以及自動檢查的指令碼，並列出清除竊資軟體的步驟。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">YKK公司傳出遭到勒索軟體LockBit攻擊</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/ykk-group-lockbit9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ykk-group-lockbit9.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站The Record、Cybernews、Cyber Express報導，日本拉鍊大廠YKK證實美國分公司的網路遭到鎖定，但聲稱在駭客造成一定程度的損害、敏感資訊外洩之前，該公司的資安團隊已經控制相關威脅。</p> <p>YKK北美副總裁Jessica Kennett Cork表示，此次資安事故不影響營運，也並未影響該公司服務客戶的能力，目前也未出現個人、金融資訊、智慧財產資料遭駭的跡象。</p> <p>而對於攻擊者的身分，6月2日勒索軟體駭客LockBit聲稱是他們所為，並要脅若不付錢，將在16日洩露竊得的資料。</p> <p>資料來源</p> <p>1. <a href="https://therecord.media/ykk-zipper-manufacturer-cyberattack-us-operations">https://therecord.media/ykk-zipper-manufacturer-cyberattack-us-operations</a><br /> 2. <a href="https://cybernews.com/news/ykk-group-data-breach/">https://cybernews.com/news/ykk-group-data-breach/</a><br /> 3. <a href="https://thecyberexpress.com/lockbit-claims-ykk-ransomware-attack-deadline/">https://thecyberexpress.com/lockbit-claims-ykk-ransomware-attack-deadline/</a></p> <p><a href="https://www.eisai.com/news/2023/news202341.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本製藥廠Eisai證實遭到勒索軟體攻擊</span></strong></a></p> <p>6月6日這一天，日本製藥廠Eisai證實遭駭，3日深夜，他們察覺部分伺服器檔案遭到勒索軟體加密綁架，事發後即著手進行事件回應流程，包含物流系統在內的部分系統進入離線狀態，但公司網站、電子郵件系統仍正常運作。這起事故是否導致資料外洩，以及影響收益的情形，待進一步釐清。</p> <p><a href="https://www.kroll.com/en/insights/publications/cyber/clop-ransomware-moveit-transfer-vulnerability-cve-2023-34362"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop濫用MOVEit Transfer零時差漏洞，可追溯至2021年，疑似當時就開始測試</span></strong></a></p> <p>今年5月底，勒索軟體駭客Clop發動MOVEit Transfer零時差漏洞攻擊，但有研究人員發現，駭客很有可能在2年前就找到漏洞，並進行長期測試後才根據排定的時程發動攻擊。</p> <p>資安業者Kroll對蒙受此次攻擊的用戶進行調查，看到在部分受害伺服器所留存的IIS事件記錄檔案裡，2021年7月、2022年4月就出現了類似的漏洞利用攻擊跡象，且可能都是透過自動化工具執行。</p> <p>研究人員推測，駭客先在上述時間點進行測試（2021年至2022年），並在發動另一起MFT系統GoAnywhere的攻擊時（2023年2月）已能成功利用漏洞，但當時駭客選擇依循時程辦事，他們先後針對GoAnywhere、MOVEit Transfer伺服器下手，而非同時對於兩種MFT伺服器發動攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-onedrive-down-worldwide-following-claims-of-ddos-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端檔案共享服務OneDrive網站發生營運中斷，疑遭到DDoS攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OneDrive-outage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OneDrive-outage.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，微軟雲端檔案共享服務OneDrive的網站於6月8日早上，出現服務中斷的情況，使用者無法透過瀏覽器存取onedrive.live.com，但執行OneDrive用戶端同步程式、Office辦公室軟體的使用者不受影響。</p> <p>而這起網站服務中斷的事故，很有可能與駭客組織Anonymous Sudan發起的DDoS攻擊行動有關，對此，微軟表示正著手調查。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.varonis.com/blog/visual-studio-bug"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補的Visual Studio漏洞極為容易利用，恐被用於滲透開發環境</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Jun-02-2023-12-33-14-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Jun-02-2023-12-33-14-1.png" style="width: 300px; float: right;" /></a>微軟4月份例行更新修補漏洞CVE-2023-28299，它存在於Visual Studio的擴充套件安裝程式（VSIX），攻擊者一旦利用，有可能藉此對應用程式開發人員散布惡意套件。微軟當時評估此漏洞嚴重程度是中度，但現在研究人員警告，這項漏洞帶來的威脅不應輕忽。</p> <p>向微軟通報上述漏洞的資安業者Varonis指出，攻擊者運用漏洞的複雜性極低，只要將VSIX檔案當作ZIP壓縮檔案開啟，手動修改extension.vsixmanifest內容，就能突破擴充套件元件名稱只有一行的限制，進而埋藏元件沒有簽章的警語，再將這種惡意套件向組織的開發人員散布，就有機會藉此掌控開發人員的電腦，而成為入侵整個組織的管道。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-priv-esc-Ls2B9t7b"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補企業協作系統的重大漏洞</span></strong></a></p> <p>6月7日思科針對旗下的企業協作Expressway ，以及視訊通訊解決方案TelePresence Video Communication Server發布更新程式，目的是修補CVE-2023-20105、CVE-2023-20192。</p> <p>當中最嚴重的是CVE-2023-20105，屬於權限提升漏洞，僅具備讀取權限的管理者也能因為這個漏洞而擁有寫入的權限，起因是密碼變更請求沒有得到正確處理，導致攻擊者能透過擁有讀取權限的管理者來進行身分驗證，並發送特製請求來竄改其他帳號的密碼，其中包含了能夠讀取或寫入的密碼管理員，CVSS風險評分為9.6。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.recordedfuture.com/north-korea-aligned-tag-71-spoofs-financial-institutions"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織APT38針對日本、越南、美國金融機構而來</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/kimsuky-new-social-engineering-campaign-aims-to-steal-credentials-and-gather-strategic-intelligence/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky鎖定新聞媒體發動攻擊</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/2023/06/08/asylum-ambuscade-crimeware-or-cyberespionage/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Asylum Ambuscade鎖定金融機構、政府機關發動攻擊</span></span></strong></a></p> <p><a href="http://www.numencyber.com/cve-2023-29336-win32k-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對已被用於攻擊行動的Win32k.sys漏洞，研究人員公布概念性驗證程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/royal-ransomware-gang-adds-blacksuit-encryptor-to-their-arsenal/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Royal測試新的惡意程式BlackSuit</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157244">【6月8日】企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157227">【6月7日】 Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157208">【6月6日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</a></strong></p> </div></div></div>
2023/6/9 16:53作者周峻佑https://www.ithome.com.tw/news/157264
Google發表AI系統的安全性概念框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/introducing-googles-secure-ai-framework/" target="_blank">Google在周四（6/8）發表了安全AI框架（Secure AI Framework，SAIF）</a>，其6個核心元素包括擴大AI生態體系的安全基礎，將資安事件的偵測及回應能力延伸至AI，打造AI的自動化防禦能力，協調平臺等級的控制能力以確保整個組織的安全性，以控制器來調整緩解並形成更快的AI回應，以及建立AI系統周遭商業環境的風險脈絡等。Google期許SAIF得以協助AI產業設立各種安全標準。</p> <p>Google表示，SAIF發想自軟體開發流程的安全最佳作法，像是供應鏈的審核、測試與控制，再結合對AI系統特有的安全趨勢及風險的理解，一個橫跨公、私領域的安全框架可確保負責任的業者捍衛支援AI進步的技術，以便於導入預設即是安全的AI模型。</p> <p>在Google所提出的6個元素中，有些很好理解，像是把現有的安全基礎設施、專業安全知識、偵測與回應等技術，延伸至AI生態體系；而在不管是攻擊方或防禦方都開始利用AI之際，更應利用自動化防禦來抵禦既有與新威脅。</p> <p>此外，確保各個控制框架的一致性將可緩解AI風險，並將保護能力擴大到不同的平臺與工具，對Google而言，此舉包括將安全預設的保護延伸到諸如Vertex AI及Security AI Workbench等AI平臺，並於軟體開發周期中嵌入應有的控制及保護。</p> <p>亦應藉由持續學習與測試來因應不斷變動的威脅環境，例如基於事件及使用者意見的強化學習，更新訓練資料，調整模型對攻擊的回應策略，或是允許那些用來建構模型的軟體嵌入更多安全機制，也能定期展開紅隊演練來提高AI產品的安全性。</p> <p>最後，Google認為組織也因針對AI的部署展開端至端的風險評估，包含端至端商業風險的評估，例如針對特定類型應用程式的資料沿襲、驗證及操作行為的監控，以及建構可驗證AI效能的自動化檢查能力。</p> <p>除了SAIF之外，Google也將與其它組織合作，以共同開發美國國家標準暨技術研究院（NIST）的AI風險管理框架，以及業界首個AI認證標準 ISO/IEC 42001 AI Management System Standard ，並協助客戶及政府機關評估與緩解AI的安全風險，也會持續對外分享各種有關AI安全性的研究與心得。</p> </div></div></div>
2023/6/9 16:19作者陳曉莉https://www.ithome.com.tw/news/157263
英國將在秋季舉辦全球AI安全高峰會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在人工智慧應用熱潮興起的同時，安全議題更是被關注的焦點之一，英國首相Rishi Sunak<a href="https://www.gov.uk/government/news/uk-to-host-first-global-summit-on-artificial-intelligence">宣布</a>將主辦第一屆全球人工智慧安全高峰會，希望透過匯集主要國家、科技公司和研究人員，共同商定安全措施，以評估和監測人工智慧可能帶來的重大風險。</p> <p>專門研究人工智慧安全的非營利組織Center for AI Safety，日前發表了一份<a href="https://www.ithome.com.tw/news/157134">聲明</a>，並獲得包括人工智慧研究機構OpenAI、DeepMind等高層的簽署。Center for AI Safety認為，人工智慧可能會帶來人類滅絕的危機，其風險規模相當於流行病與核武戰爭等事件。另外一個非營利組織未來生活研究院（Future of Life Institute），也發表<a href="https://www.ithome.com.tw/news/156198">聲明</a>希望全球組織能暫緩高階人工智慧系統的研發，至少6個月。</p> <p>無論是商界、學術界與各國政府，皆對人工智慧的安全存在疑慮，英國計畫在秋季時，舉辦全球性高峰會，探討人工智慧的風險，並且討論如何透過國際協調的方式降低這些風險，這個全球峰會同時也是對各國提供一個統一平臺，能夠共同制定降低人工智慧風險的方法。</p> <p>在高峰會之前，Rishi Sunak已經開始動作，與各方重要相關人士會面，包括G7所有成員，並且在該議題上已經取得共識，Rishi Sunak還舉行圓桌會議，與OpenAI、DeepMind與Anthropic等重要人工智慧研究機構執行長，就相關議題交換意見。</p> <p>Rishi Sunak也與美國總統Joe Biden會面，討論兩國科技與經濟的夥伴關係，計畫包括對英國和美國大學理工科研究生提供獎學金，以強化英美在全球的科技領導地位。</p> </div></div></div>
2023/6/9 16:22作者李建興https://www.ithome.com.tw/news/157262
DeepMind AI模型不下圍棋了，新AlphaDev模型可加速資料中心運算效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google AI部門DeepMind曾經以AlphaGo擊敗棋王一時聲名大噪，<a href="https://www.deepmind.com/blog/alphadev-discovers-faster-sorting-algorithms" target="_blank">本周DeepMind宣布</a>最新AI模型研發成果AlphaDev，可加速資料中心運行速度並具節能之效。</p> <p>AlphaDev是以精通下棋及電玩遊戲的<a href="https://www.ithome.com.tw/news/127574" target="_blank">AlphaZero</a>（曾經擊敗過AlphaGo）和<a href="https://www.ithome.com.tw/news/141845" target="_blank">MuZero</a>模型改良而成。兩者後來改以優化資料中心和影像壓縮為主軸。而AlphaDev則是AlphaZero的特化版，它發現新的資料排序（sorting）及雜湊（hashing）演算法，可加速軟體程式碼的執行。</p> <p>AlphaDev找尋新演算法是從讓電腦讀取的低階程式指令，而非人類撰寫如C++之類的高階語言著手。他們相信，低階的組合指令比高階程式語言更容易找到改善空間，電腦儲存和運算在這個層次更為彈性，意謂更容易有突破性的技術，以提升速度或降低耗能。他們希望能由AlphaDev找到新的資料排序及雜湊演算法，因為這是今天人們資料排序、儲存及檢索的二個最基本流程。排序演算法能影響數位裝置處理和顯示資訊，從搜尋或社群網站貼文排序、或使用者推薦等。</p> <p>作為AlphaZero的變種，AlphaDev也是增強學習（reinforcement learning）模型。為了訓練AlphaDev尋找新演算法，研究人員將排序變成一人玩家的「組合遊戲」。每回合AlphaDev都觀察它產生的演算法及由CPU取得的資訊，然後再選取一個指令加入演算法再展開下回合。AlphaDev必須要從非常多的指令組合中找出排序演算法，每回合再找出更快、更好的演算法。而指令組合數量，大概等同於宇宙的分子數量，或是西洋棋（10的120次方）與圍棋（10的700次方）棋步。而走錯任何一步，整個演算法可能就沒用了。研究人員會從兩方面來獎賞AlphaDev的排序，一是正確性，二是效率、速度。</p> <p>最後AlphaDev發現到新的演算法，可改善低階虛擬機器（LLVM）libc++排序函式庫的速度，在較短（3到5 element）序列可提升70%，而在超過25萬個element的長序列則提升1.7%。短序列的演算法是DeepMind研究重點，因為更為常用。DeepMind指出，在簡單的使用者搜尋任務上，AlphaDev演算法可提升排序速度，但一旦應用到更大規模環境，例如資料中心，將能大量節能及省下成本。</p> <p>尋找雜湊演算法也是AlphaDev的任務之一。雜湊常用於資料儲存和檢索，如資料庫中。AlphaDev找到的演算法應用在資料中心內9到16 byte的雜湊函式時，可提升30%的效率。</p> <p>自從發表用於LLVM標準C++函式庫的排序演算法來取代用了十多年的副程式（sub-routines），及發表用於abseil函式庫的雜湊演算法，已有數百萬次下載，這些演算法已用於各種產業，包括雲端、線上購物和供應鏈管理。</p> <p>DeepMind預期，一如其演算法從下棋開始跨到資料中心運算，未來有更多通用型AI模型會進一步用於現代生活。</p> </div></div></div>
2023/6/9 15:48作者林妍溱https://www.ithome.com.tw/news/157261
Apple Vision Pro體驗超出眾多測試者期望，被譽為運算的未來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在本周一（6/5）舉行的WWDC全球大會上，<a href="https://www.ithome.com.tw/news/157200" target="_blank">發表了該公司的首款MR產品Apple Vision Pro</a>，並在同一天邀請眾多媒體體驗該產品，結果測試者幾乎一面倒地表達自己被震憾了，認同它將成為運算的未來，不過，Meta執行長祖克柏（Mark Zuckerberg）在本周舉行的員工大會上指出，Vision Pro可能是未來運算的願景，但並不是他想要的產品。</p> <p>當天蘋果提供每個人30分鐘的體驗時間，還有專人協助體驗，但不得拍照或攝影，僅允許他們敘述自己的體驗心得。</p> <p>其中，<a href="https://daringfireball.net/2023/06/first_impressions_of_vision_pro_and_visionos" target="_blank">科技部落客John Gruber稱讚</a>Vision Pro的整體技術非凡，遠遠超過他的預期，相信它所採用的visionOS將成為下一個蘋果及開發者的主要平臺，與iOS及macOS並駕其驅。</p> <p><a href="https://www.macworld.com/article/1944516/apple-vision-pro-hands-on-feaures-design-fit.html" target="_blank">《MacWorld》編輯Roman Loyola則說</a>，Vision Pro的體驗真的太令人震憾了，是蘋果史上最令人印象深刻的產品，甚至凌駕蘋果在1998年發表的iMac與2007年發表的iPhone，他完全不想離開該次的體驗。</p> <p><a href="https://www.mirror.co.uk/tech/apple-vision-pro-first-look-30171343" target="_blank">英國《每日鏡報》（Daily Mirror）記者Dave Snelling表示</a>，他測試過眾多的VR裝置，一向不是虛擬實境（VR）的粉絲，然而，Vision Pro是他從未體驗過的，不僅非常獨特，更可能成為虛擬實境革命的開端。</p> <p>蘋果將Vision Pro定位為空間運算裝置，而未使用VR、AR或MR等字眼，它所採用的M2及R1雙晶片、全新設計的visionOS，以及超高解析度的顯示器，讓使用者融入在真實與虛擬的環境中，並以視線、手勢及聲音來操作。其強大的運算能力與超高解析度讓體驗者完全感受不到延遲，影像亦無任何顆粒感，於是乎，體驗者可以在雨林環境中操作各種應用，把任何空間變成螢幕，Gruber說，他在Vision Pro上體驗到這輩子第一次在一個高5呎（1.5米）的視窗上，閱讀文章與電子郵件的經驗。</p> <p>不僅如此，Vision Pro的設計也注意到了許多細節，例如蘋果請近視的Gruber將眼鏡拿下，直接於Vision Pro上嵌入了處方鏡片，方便Gruber以裸眼配戴Vision Pro。</p> <p>由於蘋果現階段僅開放Vision Pro特定功能的體驗，意味著它的程式或作業系統可能未臻完善，<a href="https://developer.apple.com/videos/play/wwdc2023/101/" target="_blank">但相關的體驗看起來與蘋果在WWDC大會上的展示並無出入</a>。</p> <p>這些體驗者也都提到了高達3,499美元的Vision Pro定價，這個價格是Meta Quest 3（500美元）與Sony PlayStation VR 2（550美元）的6倍，<a href="https://www.cnet.com/tech/computing/apples-vision-pro-is-a-dystopian-device-for-a-dystopian-world/" target="_blank">《CNET》認為</a>，以它的規格及表現而言，這個價格並沒有太牽強，但對於大多數人來說還是太貴了，並預測此一新產品可能會隨著時間與技術的推移而變得更便宜。</p> <p>除了價格可能令人卻步之外，不少體驗者也提到重約1磅（454公克）的Vision Pro戴在頭上還是不舒服，儘管蘋果的設計已基於人體工學，但體驗者依然期望更輕薄的Vision Pro。</p> <p>就在蘋果發表Vision Pro之後，Meta召開了員工大會，身為AR/VR頭戴式裝置市占率達8成的全球龍頭，蘋果無疑是最具威脅的競爭對手。</p> <p><a href="https://www.theverge.com/2023/6/8/23754239/mark-zuckerberg-meta-apple-vision-pro-headset" target="_blank">根據《The Verge》的報導</a>，祖克柏在員工大會上表示，當他看到Vision Pro的發表之後，發現對於那些Meta團隊還沒探索或還沒想到如何突破的物理限制，蘋果也沒有任何神奇的解決方案，Vision Pro只是配備了更高解析度的顯示器，同時利用所有的技術來推動它，它不僅售價高昂，同時也需要更多的電力，以致於使用者需要電池及纜線才能使用。</p> <p>祖克柏強調，Meta將會確保自家的產品儘可能讓每個人都負擔得起，這是該公司的核心之一，也已於全球售出數千萬臺設備，Vision Pro也許是未來運算的願景，但並不是他想要的產品，與Meta的作法存在著理念上的差異。</p> </div></div></div>
2023/6/9 13:08作者陳曉莉https://www.ithome.com.tw/news/157260
GitHub Copilot與VS IntelliSense緊密整合，提供更一致的程式碼完成建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新版本的Copilot 1.84版本，將與Visual Studio內建的人工智慧輔助功能IntelliSense更好的<a href="https://devblogs.microsoft.com/visualstudio/github-copilot-visual-studio-intellisense/">整合</a>，用戶在IntelliSense列表的選擇，將會影響Copilot預測程式碼的上下文資訊，提供開發者更精確的單行與多行程式碼建議。</p> <p>在Copilot 1.84版本之前，Visual Studio的Copilot用戶需要在接受Copilot建議，或是開啟IntelliSense列表間選擇，用戶如果選擇開啟IntelliSense列表，則Copilot便不會提供建議。微軟提到，現在IntelliSense列表開啟時，使用者不僅能看到Copilot的預測，而且IntelliSense列表的選擇也會影響Copilot提供的預測。</p> <p>兩項人工智慧開發助理深度的整合，便能夠提供開發者更符合需求的程式碼完成建議，尤其是與Visual Studio內建的IntelliCode人工智慧所提供的星號完成結合使用時，Copilot的程式碼建議將更精確。當Visual Studio環境安裝的是Copilot 1.77或是更早前的版本，用戶需要手動更新Copilot到1.84版本，才能使用這項功能更新，而Visual Studio 2022則需要使用17.4.4或更高版本。</p> </div></div></div>
2023/6/9 13:15作者李建興https://www.ithome.com.tw/news/157259
傳Google將進公司與否列入考績標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/google-gets-stricter-about-employees-time-in-office-9a20f2e" target="_blank">《華爾街日報》報導</a>，Google近日宣布將進公司列為績效考核標準，進一步要求員工回公司上班，未來僅例外情況才准許完全遠端作業。</p> <p>報導引述Google人資長透過員工公開信宣布這項政策，理由是回公司上班可改善同事之間關係，進而提升生產力及工作效率。</p> <p>這是Google自去年4月起，要求員工回公司上班一周至少3天後，更進一步提升政策強度，因為仍然有許多員工並未達到這個標準。Google並未證實回公司上班和考核的關聯性，但Google代表對<a href="https://fortune.com/2023/06/08/google-remote-work-office-attendance-performance-review/" target="_blank">《財星》雜誌</a>指出，一周進公司3天的混合作業政策實施成效良好，公司希望員工面對面溝通及合作，因此，未來只有例外情況下才會准許全然的遠端作業。</p> <p>不過同時間，由於景氣不佳，Google也正在縮減辦公室空間。<a href="https://www.cnbc.com/2023/04/21/googles-80-acre-san-jose-mega-campus-on-hold-amid-economic-slowdown-.html" target="_blank">媒體報導</a>，Google原本計畫在加州聖荷西拆除舊辦公室大樓以打造巨型廠區（Mega Campus），但這項計畫今年4月已停工。此外，一些部門還要求員工分享座位，以容納回公司上班的同事。</p> <p>Google也是最新一家更嚴格執行回公司上班政策的科技龍頭。據媒體報導，蘋果開始檢查員工出入證，以確認他們是否遵守一周進公司最少3天政策，不願回公司上班的員工可能會被要求離職。</p> <p><a href="https://www.ithome.com.tw/news/157184" target="_blank">Meta也在本周宣布</a>命令，要求員工從9月起一周最少進公司3天。<a href="https://fortune.com/2023/06/06/salesforce-return-to-office-charity-incentive/" target="_blank">Salesforce則以溫和手法鼓勵員工回公司</a>。自6月12日到23日該公司每天將為每一名回公司上班的員工，捐款10美元給當地慈善機構。</p> <p>目前微軟還是允許員工50%的時間在家上班。</p> </div></div></div>
2023/6/9 11:21作者林妍溱https://www.ithome.com.tw/news/157257
本田集團電商網站重大漏洞可能洩露客戶及經銷商資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eaton-works.com/2023/06/06/honda-ecommerce-hack/" target="_blank">研究人員發現</a>本田汽車母公司本田集團電商網站的一項API重設功能漏洞，可能讓駭客得以存取客戶訂單、經銷商及客戶電子郵件、以及財務資料等。</p> <p>研究人員Eaton Zveare今年3月在本田集團銷售三個銷售海事及事機具（動力機具、海事及園藝設備）的經銷商電商網站（hondadealersites.com）發現此一漏洞。漏洞位於這些網站的密碼重設API，讓研究人員進而獲取本田網站管理員帳號，並一覽網站上的客戶及經銷商資料。</p> <p>Zveare先是利用電商網站的密碼重設功能，重設本田公開的測試帳號，使其得以登入這些電商網站。接著，網站上的直接物件參照（direct object reference）漏洞，使其只要變更URL的序列數字，即可存取所有經銷商的資料，包括讀取客戶郵件資訊，或變更或編輯網站及產品資料，連駭入帳號都不必。最後，他在Angular-based經銷商網站的管理員儀表板頁，還找到偽造身份漏洞，使其得以冒充本田管理員存取所有經銷商網站資料，包括3層式架構、訂閱網站服務的經銷商數量及總收入金額等。</p> <p class="rtecenter"><a href="https://eaton-works.com/cdn-cgi/imagedelivery/VwwCqBIYNXeyNQwEQ8uyVQ/0ef5252f-34fc-46db-0cf4-9297df9e2000/full" target="_blank"><img alt="" src="https://eaton-works.com/cdn-cgi/imagedelivery/VwwCqBIYNXeyNQwEQ8uyVQ/0ef5252f-34fc-46db-0cf4-9297df9e2000/full" style="width: 600px;" /></a></p> <p><a href="https://eaton-works.com/2023/06/06/honda-ecommerce-hack/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Eaton Zveare</span></span></a></p> <p>利用種種漏洞，研究人員一共找到從2016年8月到今年3月的2.1萬筆客戶訂單資訊，包括客戶姓名、住址、電話及訂購商品、1萬多筆客戶電郵信箱、近1,600個經銷商網站、近3,600筆經銷商帳號、1,000多筆經銷商電郵、可能的電子支付服務（如Stripe、Paypal或Authorize.net）以及內部財務報表等。</p> <p>在經過通報後，本田集團已解決這些漏洞。這些漏洞不影響本田汽車。</p> <p>研究人員建議網站管理員，應小心實作密碼重設，避免曝露不安全的管理員API。此外也應實作適當的存取控管，留心每個驗證服務發出去的令牌都可能被用來存取API端點，並避免序列式的URL邏輯。最後，他提醒以React或Angular撰寫的單頁式Web App要留心，用戶瀏覽器可以看到所有程式碼，因此必須小心程式碼包含的資訊。</p> <p><a href="https://www.ithome.com.tw/news/157163" target="_blank">上周豐田汽車才坦承</a>雲端系統配置不當長達10年，導致26萬日本車主及車輛資料，以及海外經銷商維修資訊曝露於公開網路上，後者影響為數不詳的亞洲車主。</p> </div></div></div>
2023/6/9 11:51作者林妍溱https://www.ithome.com.tw/news/157258
資安人員別怕擁抱AI新科技，老師傅導讀AI技術最新進展，擺脫特徵工程的苦與累
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣新創資安公司當中，2017年底成立的奧義智慧以AI資安技術闖出名號， 5年後的現在，身為該公司創辦人之一的邱銘彰（Birdman），趁著2023臺灣資安大會舉行，呼籲大家積極關注AI進展，說明傳統作法日益難行的原因。</p> <p>對於AI目前為何與如何用於資安領域，邱銘彰表示，資安產業長期陷入如同倉鼠不停在滾輪奔跑的困局，為了滿足日益嚴苛的政府法規遵循要求，必須在更短時間完成偵測、調查、處置，若繼續仰賴現行的作法，幾乎是不可能辦到的事情，若想控制在短時間內完成這些工作，恐怕會大幅犧牲精準度與作業品質，並無法有效提升整體防護，因此，他特別以魔法來形容AI資安，因為這能為防守方（藍隊）帶來極佳成效，並呼籲我們必須觸發AI的巨人之力。</p> <h3><span style="color:#0000FF;"><strong>打破資安「慘」業的惡性循環，擁抱自動化科技勢在必行</strong></span></h3> <p>隨著網路攻擊與勒索軟體的猖獗，民眾的資安意識逐漸抬頭，然而，許多資安從業人員經常會以身處資安「慘」業來自嘲，因為面臨人力不足與管理營運不易的種種挑戰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-Wheeles.jpg" style="width: 600px;" /></p> <p>企業與組織能夠因應資安威脅的時間越來越短，則是另一個迫切的挑戰。邱銘彰提到，今年2月金管會召開的金融機構資安長聯繫會議，宣導金融業遇到資安事件須於30分鐘內通報的現行規定，然而，實務上，要達成這樣的要求，難度相當高。</p> <p>因為在如此短暫的時間當中，我們對於有異常狀況電腦的所在位置都未必能完全掌握，例如，設備位於哪一個區域、哪一家分行，都不一定能找到，更何況還要能夠向主管機關通報狀況，邱銘彰認為，如果單靠人力去處理，難以在30分鐘內完成，要透過自動化的流程，才有辦法應對。</p> <p>為了進一步了解掌握與通報資安事件的所需時間，邱銘彰將端點防護系統或網路安全設備發出資安事件警示之後的程序，區分為3個階段：平均偵測時間（MTTD）、平均調查時間（MTTI）、平均處置時間（MTTR），將這些時間全部加總起來、要控制在30分鐘以內，並不容易。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-MTTX-2023-05-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-MTTX-2023-05-11.jpg" style="width: 600px;" /></a></p> <blockquote><p>資安威脅層出不窮且日益複雜、刁鑽，想要在最短時間完成偵測、調查、應變，越來越困難，奧義智慧點出影響資安威脅總體處理時間長短的4大關卡，均相當仰賴資安人員的主觀判斷，若依據這樣人力密集的流程來進行，很難在半小時內完成，如此一來，將無法符合特定產業的主管機關要求，而可能會受到責罰。</p> </blockquote> <p>以初期的MTTD為例，這裡所謂的偵測（Detection）不只是代表資安產品產生事件的時間，而是涵蓋安全維運中心（SOC）偵測到威脅而開設工單（ticket）的時間；中期的MTTI是指開單之後，需予以審查（Review）、分類（Triage），以及調查（Investigation）；至於末期的處置（Response），因為可能會產生不同的業務衝擊影響，通常需要一定程度的人為介入處理，所以很難自動化，例如，若察覺公司的Exchange Server被駭客入侵，我們不能馬上將這臺受害的伺服器強制進行網路隔離，因為一旦這麼做，有可能導致全公司的使用者無法收取或寄送電子郵件，所以，需要透過其他作法來緩解。邱銘彰認為，相較之下，在MTTD、MTTI這兩個階段當中，較有機會去進行自動化處理。</p> <h3><span style="color:#0000FF;"><strong>AI獲重大突破，資安人員需與時俱進，善用特性以提升效率</strong></span></h3> <p>作為防守方，邱銘彰也替藍隊（Blue Team）抱屈。他說，大家都以為藍隊是神奇寶貝，認為這裡面的成員不只是專家，而是世界頂尖的駭客、超人，期盼他們能在1分鐘之內完成所有的事情，但其實沒那麼厲害，因為實際上這是很辛苦的工作：每天的警報成千上萬，根本看不完，只能抽幾個出來進行調查，沒辦法快速處理，再加上還要進行合規、資安事件調查，以及應付長官、廠商等工作，他們要的不多，只希望能夠準時下班、準時休息，維持基本的生活品質。</p> <p>面對這樣的攻守不對稱的困境，我們不能繼續抱持舊方法，邱銘彰認為：「我們的Blue Team需要魔法」，也是他這場演講名稱的由來。因為紅隊駭客這麼多，藍隊人力卻很有限，所以，自動化科技是大家一定要接受的，而且，這幾年的機器學習技術有很大的進展，若能善用這類新興的科技，有機會幫我們做到更自動化、更快速地反應。</p> <p>為了讓所有在場聽眾快速了解這類AI技術的突飛猛進，他直接點出「魔法」的起點，正是2017年發表的重要論文《Attention is all you need》，裡面提出目前在AI領域相當知名的模型架構Transformer，而且，從語言處理的部分開始切入，後續在多個模態的資料，像是在聲音、影像的處理上，都有很大的進展。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-AI Progress-2017-2022.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-AI%20Progress-2017-2022.png" style="width: 500px;" /></a></p> <p>舉例來說，出現自我監督型學習（Self-Supervised Learning）的技術，像是2021年OpenAI推出的AI模型CLIP，能使圖片資料在無需標記處理（Labeling）的情況下，就能進行自主整理跟學習。而在2022年11月OpenAI推出AI模型ChatGPT之後，開始帶動新一波全球AI應用狂潮，到了2023年的2月到3月更是大爆發，因為大型網路公司Meta、百度，雲端服務業者微軟、Google，AI實驗室OpenAI、Anthropic、Midjourney，以及學術機構史丹佛大學，恰巧都在這短短一個月內，發表各種AI模型與服務整合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-AI-2023-big announcement.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-AI-2023-big%20announcement.png" style="width: 500px;" /></a></p> <p>關於近期的AI技術發展，邱銘彰觀察到的第一個變化，就是設計思維的不同，他區分為4大階段：特徵工程（Feature Engineering）、架構工程（Architecture Engineering）、目標工程（Objective Engineering）、提示工程（Prompt Engineering）。</p> <p>對資安人員來說，特徵工程是大家最熟悉的模式，因為是由專家來決定與判斷惡意程式的欄位、檔頭、API等特徵，再以此來進行偵測，換言之，仰賴人類專家決定特徵，主要運用統計的模式來看出特徵，然後依據特徵來設計演算法，而這是一種監督式學習；後來我們有了類神經網路（NN），能用深度學習的模式、更深層的網路來重現問題，此時雖然不需要準備特徵，但還是需要準備訓練資料、提供教材來讓機器學習，而這樣的作法屬於架構工程的範疇。</p> <p>到了目標工程的階段，AI研究人員發現沒有標記的資料（unlabeled data）也能讓機器學習，可代表某些潛在的、抽象的知識，而此階段的處理模式就是預先進行訓練（Pre-train），以及精細調校（Fine Tune），同時，他們也發現類神經網路的最後幾層是能被換掉的，或者加幾層在後面，幫上游跟下游任務切割開來，所以近期才會有這些大型科技公司，做出預先完成訓練的語言模型，之後就能進行改裝，以因應各種領域的任務需求。邱銘彰說，由於上游任務跟下游任務是可以分開，導致機器學習工業化的可能發生了。</p> <p>這樣的差異何在？他具體舉例說明。過去我們如果訓練出一個駕駛車輛的模型，這只能用來開車，若訓練出一個下圍棋的模型，也只能下圍棋，但現在我們可以做出通用刑的機器學習AI大腦，然後再加入上下游任務的指導，讓它精細調整而成為某些特定領域的專家，這也是為何目前大部分的人都是拿模型來改裝，當中可能包含精細調整與提示（Prompting），繼而引出最新的提示工程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-AI Stages.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-AI%20Stages.jpg" style="width: 600px;" /></a></p> <p>在提示工程的階段，我們只需要預先進行訓練即可，不需要再作過多的精細調整、不用去改模型的權重，直接用「咒語」來指導他——透過Prompting In-Context Learning的方式去引導模型，使其進入我們的領域進行問題的解決。邱銘彰說，目前的提示工程已到了匪夷所思的地步，我們不用準備特徵、你只要提示預先訓練模型、問它對的問題，它就能夠解決問題。</p> <p>但要這麼做，需滿足一個前提，那就是這個模型必須大到能夠涵蓋絕大部分的任務空間（Task Space），而目前的方法是可以做到的，因為目前運用的大資料跟大模型而成的自我監督型學習技術，已經能夠涵蓋大部分的問題，所以對於專業的問題，它都能解答。</p> <p>邱銘彰說，我們的模型已經能夠大到能夠涵蓋人類的所有知識了，我們可以想像這個語言模型就像人類文明的結晶體，現在只要解壓縮，將裡面的部分取出來、指個方向，它就可以解決那個領域的問題。所以，在這樣的概念之下，我們有個通用大腦，可裝在車子、機器人等各個領域之中，然後加上精細調整之後，它就有了新的能力，而這是工業化的進展。</p> <p>面對這樣的技術突破，邱銘彰也向大家坦承自己的焦慮，他說：「我覺得Machine Learning的進展，已經快到超過人類能控制的範圍了」。隨著大模型加上大資料的應用，使得未經標記的資料能被AI學習，令人匪夷所思，因為「我們沒指導的事情，AI卻學會了」，例如，沒有人教它如何解開Base64編碼，後來AI竟能產生解開這類編碼的程式碼，然而，不能否認的是，目前的AI技術進展真的很成功，而這是值得的變化。</p> <p>回顧過去AI發展，早期的特徵工程階段，是靠專家決定資料特徵，AI模型只能解決特定、小型的任務，進入架構工程階段、有了類神經網路，只需要決定訓練資料、提供經過標記的資料，讓AI模型來決定參數，從2017年至今，目標工程的作法崛起，AI能學習沒有經過標記的大量資料，我們只要在特定領域做些微調跟訓練，之後給它少量資料、少量標記，就能解答領域的問題，例如，在ChatGPT當中，有時我們只需提供幾個範例，AI就能依此完成指定工作，而到最新的提示工程階段，預先完成訓練的AI模型已經能涵蓋許多任務空間，導致新的能力湧現，因此會出現「我們先前沒有教它的事情，它卻學會了」的狀況，接下來，所有的人都能在AI的幫助之下，降低專業領域的進入門檻，而能變成各種領域的專家，當然資安也不例外，處於受影響的範圍。</p> <p>關於機器學習能力近期大幅提升，邱銘彰也特別提到另一個關鍵，那就是AI研究人員發現「<a href="https://openai.com/research/deep-double-descent">雙下降現象（Double Descent Phenomenon）</a>」。簡而言之，過去大家總認為，AI模型增大，錯誤率應該會隨之逐漸增加，因此必須在偏差（Bias）與變異（Variance）之間進行權衡，而這也是傳統的統計、特徵工程運用的地方，但幾年前，研究人員發現AI模型若大到一定程度時，錯誤率會竟出現下降狀況，目前無法解釋原因，然而，基於這種反轉現象所呈現的效益，也促成現在AI大模型的盛行，我們會發現這些模型使用的參數量甚至比資料量還大。</p> <p>當模型夠大、資料量增加時，AI開始出現一些複雜能力，像是自我監督型學習，能在資料未進行標記的狀況下，學到新的模式，而我們所要給予AI的部分，主要是預先訓練與精細調整。</p> <p>因應這樣的變化，邱銘彰強調，我們要知道要解決的問題，以及所用AI模型的定位，才能確定應該增加資料量或模型的複雜度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-double descent and AI progress-圖片來源／奧義智慧、OpenAI.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-double%20descent%20and%20AI%20progress-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E3%80%81OpenAI.JPG" style="width: 600px;" /></a></p> <blockquote><p>稍早的AI研究指出，模型逐漸變大時，錯誤率會先減少、再提升，此時大家陸續採用與發展的作法是基於統計模型而成的特徵工程（1），以及基於深度學習模型而成的架構工程（2）。之後有人發現如果將類神經網路的參數數量增加到更大程度時，錯誤率會減少，稱為雙下降（Double Descent Phenomenon），也促成機器學習的超大模型，以及超大模型與超大資料的盛行，基於預先訓練模型而成的目標工程開始大行其道（3），也帶動接下來的提示工程（4）。</p> </blockquote> <p>展望AI發展，邱銘彰大膽提出他對下一階段的預言。</p> <p>首先，給予 AI模型記憶與自我訓練的能力。</p> <p>為何AI模型會被允許有記憶能力？因為現在AI模型並沒有這方面的能力，權重是靜態的，當模型完成訓練之後，就只能拿來套用，但如果AI對於外部互動歷程有記憶能力，例如我們與ChatGPT 聊天的過程能夠保留，這些內容就可以拿來改善模型本身的配置。</p> <p>第二是給予AI可獲取外部資料的API介面，能操作其他軟體、體驗網路世界，獲得它自己的體驗。</p> <p>AI開始使用外部API會是什麼樣子？以資安產品的開發為例，有啟動設備、掃描、鑑識調查、產生文件等各種API可用，如果這些介面能被AI學習、使用，它就擁有與外部溝通的能力，邱銘彰比喻：「這就像10萬年前人類開始用火」，而且，「AI開始使用工具」很快就會實現，因為Meta AI今年2月4日發表的Toolformer論文，就是探討予這股趨勢有關的技術發展。</p> <p>第三是允許AI代理程式之間互相合作、分享經驗與資料。</p> <p>未來會有負責開車的AI、做資安的AI、作教育的AI、執行政府相關工作的AI，不同的AI可以彼此合作、分享經驗與資料，如果我們讓AI進到人類世界，使其「經驗」我們的經驗時，它會獲得全新的能力。因為，當我們允許它進行交流之後，會產生新的現象。</p> <p>第四是AI代理程式之間的組織成形，會湧現更高層次的複雜因果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CrCraft%20AI3.jpg" style="width: 600px;" /></p> <p>邱銘彰表示，目前AI代理程式之間面對的複雜系統相當有限，只有模型本身參數之間的複雜現象出現，但當AI模型之間的複雜系統出現時，會形成社群（community）、社會（society），甚至是另一個世界，而我們未來要跟這個世界合作，所以未來會有新的組織呈現，然後故事就會出現了。邱銘彰認為，在日本動漫《攻殼機動隊》裡面的「傀儡師」這個角色，所有未來的AI的模樣，都在這裡面可以看到。</p> <h3><span style="color:#0000FF;"><strong>跳脫特徵工程的局限，善用機器學習技術掏金</strong></span></h3> <p>了解AI模型的演進之後，邱銘彰提醒我們要知道自己現在處於何種位置，他鼓勵我們多看新的方法、新的論文、新的研究，而在資安領域當中，也必須思考目前我們對於AI應用的方式，是否過於保守。</p> <p>事實上，經常自詡為懂得高科技的我們，卻還是使用低科技的方式作資安，需要很多的資安專家進行高度人工作業，被視為人力密集型工作並不為過，而對照上述AI的發展歷程，我們可以清楚地意識到當前的資安，仍停留在特徵工程的階段。</p> <p>舉例來說，關於惡意軟體的偵測，許多鑑識專家在撰寫專門用來定義這些威脅的YARA規則時，往往都是憑自己的直覺和經驗而成，但可能說不出為何要寫出這樣的模式和架構。邱銘彰說，當資安人員被問到這樣的問題，有人會回答：「不知道，我覺得怪怪的，這東西有妖氣，一定要寫成Pattern」，依此說法而言，顯然寫規則是一門「藝術」，藝術卻是很難複製的。</p> <p>而在安全資訊與事件管理系統與安全維運中心的作業上，同樣有不少人是靠自己的感覺去撰寫警報通知的關聯規則——他們覺得某些行為之間應該有關係，所以寫出一個規則、用電腦名稱跟IP位址把它們關聯在一起，但這麼做可能並無任何科學依據。然而，這麼做的門檻很低，「隨便亂寫都可以」，之後究竟是否帶來實質的成效或誤判，也不容易驗證。</p> <p>對於資安部門主管而言，絕大多數都是憑主見來判斷事情的等級，例如，有些人會認為駭客也會跟一般上班族一樣週休二日，因此週五下午之後不會有任何資安事件，因此，要求不要發資安警報通知。</p> <p>縱觀上述三種職務的資安人員，大家都是靠直覺、靠感覺、靠主見在做資安，而原因正是資安界長期以來都仰賴專家來決定特徵。因此，邱銘彰直言：「如果資安產業跟專家Coupling一起，我們永遠不能Scalable」，他並非否定專家的重要性，而是認為術業有專攻，他強調，專家應該做專家的事情，就像醫生應該去做醫生的事情，而非去門口掃地，或是做護士的事情」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20Limitation%20for%20feature%20engineering-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.jpg" style="width: 600px;" /></p> <p>若要擺脫特徵工程的作法，有不少資安人員對於改用機器學習來提升資安效率，仍然抱持遲疑的態度，對此並不熱中，邱銘彰提出三大理由。</p> <p>首先是擔心因此增加額外的負擔。邱銘彰用「心很累」來概括大家對於現行資安產品的使用體驗，因為買一堆產品、每天要面對許多誤判，而機器學習的成效除了存在不確定性，也會產生誤判，而且大家也無法解釋誤判的原因，平時已經「被放羊的孩子嚇死了」需處理多到難以負荷的誤判，若再引進會產生誤判的技術，恐將導致資安人員崩潰。</p> <p>第二是長期秉持「古法釀造」的職人精神，我們普遍認為在這領域當中，大師、專家的經驗知識非常重要，須學習三五年之久，才能寫出好的YARA規則，該運用哪些特徵、規則，則由人來決定，他們認為純手工最重要、對於AI這類高科技不感興趣。情境就如同上述習於特徵工程的大部分人員所言，當被問到特定IP位址被列入黑名單時，他們只能表示：「怪怪的」，然而，究竟有何異狀，卻看不出來、說不出口。</p> <p>第三是知識落差。因為資安人員對於AI的相關發展與知識的了解有限，所以出現「看不懂、跟不上」的困境。舉例來說，包含資安廠商或AI專家在內的很多人，仍認為AI就跟傳統電腦科學帶給大家的觀念一樣，是「Garbage in, garbage out（垃圾進，垃圾出）」，若有這樣的認知，也意味著人們仍停留在特徵工程的階段，因為他們認為資料必須經過標記、機器才能學習，若輸入沒有標記的資料、機器就不能學習。</p> <p>然而，現在已經不同了，因為在大數據分析、機器學習等技術的近期發展突破中，能做到「Garbage in , gold out」，就像我們能從岩石裡面開採、榨取、提煉石油，因此可將這些資料應用視為新的「淘金術」，而非盲目固守傳統觀念。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-SEC%20cant%20accept%20AI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.jpg" style="width: 600px;" /></p> <p>面對AI的不斷進步，它已成為勢不可擋的科技，邱銘彰預言AI會是人類不可或缺的夥伴。他說：「未來你的團隊裡，一定有個不是人類的同事，就跟科幻影集《銀河飛龍（Star Trek: The Next Generation）》的<a href="https://zh.wikipedia.org/zh-tw/Data">百科上校</a>一樣」。他認為未來會有個同事，專門幫你分析資料，我們要擁抱改變、讓流程更快，讓資安的產能更高。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft-Data in Human Teams.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft-Data%20in%20Human%20Teams.jpg" style="width: 600px;" /></a></p> </div></div></div>
2023/6/9 10:52作者李宗翰https://www.ithome.com.tw/news/157256
抵達通用AI的另一險路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0607-qian_nao_zhi_neng_xin_li_lun_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">星出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧（AI）研究的長遠目標，是創造出可以展現類似人類智能的機器——這種機器可以快速學會新工作，看到不同作業之間的類似之處，並且能夠靈活地解決新問題。這項目標被稱為「通用人工智慧」（artificial general intelligence, AGI），以區別現今的有限AI。今天的AI產業面臨的基本問題是：我們目前是走在創造出真正智慧型AGI機器的道路上，還是將再次陷入困境，進入又一個AI冬天？當前的AI熱潮，已經吸引了數以千計的研究人員和數以十億美元計的投資，幾乎所有這些人才和資金，都正被用在改善深度學習技術上。</p> <p><span style="font-size:28px;"><strong>通往AGI的兩條道路</strong></span></p> <p>AI研究者在製造智慧型機器方面有兩條路可走。其一是我們的現行做法，也就是致力使電腦在特定功能上超越人類，例如比人類更會下圍棋或更會從醫學影像中辨識癌細胞。這種做法所抱持的希望是：如果我們能使電腦在一些困難的事情上勝過人類，我們最終將找到方法，使電腦在所有事情上勝過人類。在這種AI研發方式下，系統如何運作並不重要，電腦是否靈活也不重要。唯一重要的是，AI電腦能比其他AI電腦更好地做某件事，而且最終能比最優秀的人類做得更好。</p> <p>創造智慧型機器的第二條路是著眼於靈活性。在這種AI研發方式下，AI的表現不一定要好過人類。研發的目標是創造出聰明且靈活的機器，不但能夠做很多事，還可以將它們從某件事中學到的東西應用在其他事情上。採納這種方式下的成功，可能是創造出一部能力如同五歲兒童或甚至只是一隻狗的機器。這種做法所抱持的希望是：如果我們能夠先了解如何創造靈活的AI系統，那麼在這個基礎上，我們最終將能創造出智能等同或甚至超越人類的系統。</p> <p>在早期的一些AI熱潮中，第二條路受到青睞，但事實證明這太難了。科學家意識到，機器要具有五歲孩子的能力，必須掌握大量的日常知識。AI研究者無法想出方法把這些日常知識寫進電腦程式裡，或使電腦習得這些東西。</p> <p>知識比較困難的部分不是陳述一個事實，而是以有用的方式表示那個事實。且以「Balls are round」（球是圓的）這句話為例。五歲的孩子知道它是什麼意思，我們雖然可以輕鬆地把這句話輸入到電腦裡，但電腦如何理解？「ball」與「round」這兩個英文單字都有多種意思，「ball」可以是指舞會，而舞會不能說是圓的；披薩是圓的，但披薩不像一顆球。電腦要理解「ball」，就必須將這個英文單字和不同的意思聯繫起來，而每一個意思都與其他英文單字有不同的關係。此外，物體會動，例如有些球會彈跳，但足球的彈跳方式與棒球不同，而棒球的彈跳方式又與網球不同。你和我都是藉由觀察，迅速認識到這些差別。我們不需要任何人告訴我們球如何彈跳；我們只是把球扔到地上，觀察隨後發生的事。我們不知道這些知識如何儲存在我們的大腦裡，但是對我們來說，掌握球如何彈跳之類的日常知識是毫不費力的。</p> <p>然而，AI科學家想不到方法使電腦學會這些東西。他們發明了schema和frame之類的軟體結構來組織知識，但無論他們怎麼做，最後都搞出一堆無用的混亂東西。世界相當複雜；一個孩子知道的事物，以及這些事物之間的聯繫，看來是多到電腦無法處理。我知道這似乎應該是很容易的事，但迄今就是沒有人知道如何使電腦明白「球是什麼」這麼簡單的一件事。</p> <p>這個問題被稱為「知識表示」（knowledge representation）。一些AI科學家認為，知識表示並非只是AI的一個大問題，它其實是AI唯一的問題。他們聲稱，在我們找到方法在電腦中表示日常知識之前，我們不可能製造出真正的智慧型機器。</p> <p>現今的深度學習網路並不掌握知識。下圍棋的電腦並不知道圍棋是一種遊戲，它不知道這種遊戲的歷史，也不知道對手是電腦還是人類，甚至不知道「電腦」和「人類」是什麼意思。</p> <p>AI科學家最近試用了一種不同的知識編碼方法。他們創建了大型人工神經網路，並以大量文本訓練這些網路，例如數萬本書的全部文字，以及幾乎整個網際網路上的文字。經過這種訓練，這些網路掌握了特定字詞組合出現的機率。這些語言網路可以做令人驚訝的事，例如你給這種網路幾個字詞，它可以寫出與這些字詞有關的短文，而我們很難分辨那是人類還是神經網路寫的。</p> <p>這些語言網路是掌握了真實的知識，抑或只是藉由記住無數字詞的統計資料來模仿人類？AI科學家對此意見不一。在我看來，如果深度學習網路不以大腦那種方式建立世界的模型，這種技術就不可能實現AGI這個目標。深度學習網路表現良好，但這不是因為它們解決了知識表示問題，而是因為它們完全避開了這個問題，改為倚賴統計和大量資料。深度學習網路的運作方式十分聰明，它們的表現令人印象深刻，而且在商業上很有價值。我只是想指出，它們並不掌握知識，這種技術並非走在創造出能力等同五歲孩子的AI發展路上。</p> <p><span style="font-size:28px;"><strong>大腦作為AI的模範</strong></span></p> <p>假設我想表示關於一個常見物體如釘書機的知識，面對這個問題，早期的AI研究者會試著列出釘書機不同部分的名稱，然後描述每一個部分的作用。他們可能會寫下這樣一條關於釘書機的規則：「當釘書機的頂部被壓下時，一個釘書針會從一端出來。」但要理解這句話，「頂部」、「端」、「釘書針」等名詞必須加以定義，「壓下」和「出來」之類的不同動作也必須定義。此外，只有這條規則是不夠的，它沒有說明釘書針出來時朝哪個方向，接下來會發生什麼事，又或者當釘書針卡住時應該怎麼做。AI研究者因此必須寫更多規則，而這種知識表示方法會產生無止境的定義和規則。AI研究者不知道如何使這種方法行得通，批評者甚至認為，即使所有規則都可以清楚說明，電腦仍將不會「知道」釘書機是什麼。</p> <p>大腦則以完全不同的方式儲存關於釘書機的知識：它習得一個釘書機的模型；這種模型是知識的化身。想像一下，你的頭腦裡有個微型釘書機，跟真的釘書機幾乎一模一樣，形狀相同、零件相同、運動方式相同，只是小得多。這個微小的模型代表了你所知道的關於釘書機的一切，而且不需要標記釘書機的任何一部分。如果你想記起釘書機的頂部被壓下時會發生什麼事，你可以按下這個小模型，看看會發生什麼事。</p> <p>當然，你的頭腦裡並沒有一個微小的實體釘書機。但新皮質的細胞習得一個虛擬模型，而它可以產生同樣的作用。在你與真實的釘書機互動的過程中，大腦習得它的虛擬模型，而這個模型包含你觀察到的關於真實釘書機的一切，包括它的形狀和你在使用時發生的事。你對釘書機的認識嵌入這個模型中，你的大腦裡並不是儲存著關於釘書機的一系列事實和規則。</p> <p>釘書機的頂部被壓下時，會發生什麼事？你要回答這個問題，並不是找出頭腦裡儲存的釘書機相關規則，然後告訴我答案。實際情況將是你的大腦想像釘書機的頂部被壓下，然後大腦裡的釘書機模型會記起接下來將發生的事。你可以用言語告訴我答案，但這些知識並不是儲存在語言或規則中，相關知識就是那個模型。<strong style="color: rgb(105, 105, 105);">（本文摘錄整理自《千腦智能新理論》第8章，星出版提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%8D%83%E8%85%A6%E6%99%BA%E8%83%BD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%98%9F%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_星出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">千腦智能新理論（A Thousand Brains: A New Theory of Intelligence）</span></strong></p> <p>傑夫・霍金斯（Jeff Hawkins）／著；許瑞宋／譯</p> <p>星出版</p> <p>定價：480元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8D%83%E8%85%A6%E6%99%BA%E8%83%BD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Numenta.jpg" style="width: 180px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>傑夫・霍金斯（Jeff Hawkins）</strong></span></p> <p>神經科學研究公司Numenta共同創辦人，紅杉神經科學研究所（Redwood Neuroscience Institute）創辦人，掌上型運算領域的創始人之一。美國國家工程學院院士，著有《創智慧》（On Intelligence）。<a href="https://tinyurl.com/2f4g78ss" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> </div></div></div>
2023/6/9 00:00未署名https://www.ithome.com.tw/article/157219
【生成式AI應用浪潮下，帶動企業Copilot客製化新需求】微軟揭露AI Copilot技術開發框架，下一步要建構完整…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要讓所有開發者和企業能夠為他們的應用提供Copilot能力。」微軟執行長Satya Nadella在今年Build開發者大會開幕演講時這樣強調，企業自建Copilot所需要的基礎設施，從AI基礎架構、基礎模型、AI調度管理，到他們自己的Copilot應用及其延伸功能，所有這些都能在Azure環境中完成。</p> <p>Copilot是微軟開發的生成式AI對話應用，以OpenAPI的GPT模型為基礎進行開發。最初，Copilot在GitHub中推出，不到一年就獲得上千家企業及破百萬名開發人員採用。當時的Copilot的任務相對簡單，以協助開發者撰寫程式為主。經過兩年多，Copilot逐漸發展成為一個更全面的生成式AI助手，出現在更多的微軟服務中協助使用者處理不同的工作任務，無論是提供個人化搜尋建議、文書工作處理，還是在行銷活動、數據分析及安全方提供即時的協助。</p> <p>尤其，更強大、正確率更高的GPT-4模型推出後，進一步提升了Copilot的能力，例如今年3月推出的GitHub Copilot X，將GPT-4整合到IDE開發工具中，不只能自動寫程式，還能提供優化配置和除錯功能。</p> <p>微軟會中透露，Windows 11作業系統將同樣支援Copilot功能，這意味著，Copilot將變成Windows作業系統中的常駐程式，可以在桌面環境提供使用者更多支援和協助。</p> <p><span style="font-size:28px;"><strong>要讓每家企業都能自建Copilot</strong></span></p> <p>但是，微軟想要做的事不僅僅是如此而已，看準生成式AI應用浪潮，微軟不只要擴大旗下產品對於Copilot的支援能力，更要開始讓Copilot走出自己的服務，進到企業特定應用或服務場景中來提供專屬的Copilot能力。這意謂著，每家企業都能自建Copilot，利用微軟所提供開發工具和龐大資源，協助他們建構符合自身需求的專屬Copilot或下一代AI應用。微軟正是看準了這些不同服務類型Copilot背後的企業客製化應用需求。</p> <p>Satya Nadella以「人工智慧的Mosaic時刻（編按：網路第一個普及的圖形瀏覽器）」來形容因ChatGPT帶動的生成式AI應用浪潮，以及對於開發人員可能帶來的新變革，而新推出Copilot的外掛擴充（Plugin）功能，就是微軟迎戰這股變革的關鍵戰略，「要透過外掛擴充功能，將Copilot延伸到每家企業的應用中，」Satya Nadella如此表示。</p> <p>但是，微軟的外掛發展策略，並非要打造出像蘋果App Store的模式一樣，建立一個統一、集中式的外掛上架平臺來收取分潤，相反地，微軟的目標是要建立一個外掛生態圈，吸引廣大開發者和企業加入並開發各自的外掛功能。這些外掛無法單獨存在，必須與微軟各種商用Copilot搭配使用，出現越多的外掛，就越能進一步壯大Copilot生態圈，也越能帶動微軟商用Copilot的相關業務。</p> <p>生成式AI對話應用開始支援外掛機制，微軟並不是第一家採用這項策略的業者。早在今年3月時，因推出ChatGPT而爆紅的OpenAI就已經支援外掛功能，能夠透過不同外掛API來讓ChatGPT與企業提供的數據或第三方應用進行互動。他們還推出專屬外掛程式的商店，通過審核的用戶可以上架自己的應用外掛程式到這個商店平臺中。儘管目前仍處於測試階段，已有20多支官方和第三方應用外掛推出。</p> <p><span style="font-size:28px;"><strong>開始提供Copilot外掛支援能力</strong></span></p> <p>ChatGPT外掛推出後不久，微軟發表了一個能支援外掛的Bing Chat，這個外掛機制類似於ChatGPT，可以利用安裝外掛的方式，進一步延伸Copilot功能。隨後在5月底的Build年會上，微軟更透露，M365 、Power平臺、Dynamics 365中的Copilot將支援相同的外掛標準，就連新版Windows作業系統開始內建Copilot後，也能支援使用該外掛。</p> <p>微軟採用了和OpenAI的ChatGPT相同的外掛標準，更替微軟和OpenAI外掛平臺提供一個可以彼此互通的方式。透過這樣的方式，微軟表示，目前已有超過50個第三方外掛支援Copilot，預計還有上千個外掛功能將推出。舉例來說，Bing已與ChatGPT共用許多外掛功能，如OpenTable、Wolfram Alpha等，如今，ChatGPT更深度整合了Bing，將其預設為自己的搜尋引擎。</p> <p>「當每個開發人員都能夠撰寫外掛並將其應用於Copilot中所涵蓋的數十億用戶，」Satya Nadella認為，這將賦予這些開發者強大的力量，可將他們所開發的AI服務和應用，進一步延伸到全世界各角落。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">微軟採用了和OpenAI的ChatGPT相同的外掛標準，可以讓微軟和OpenAI兩個平臺上的外掛可以彼此互通，透過這樣的方式，微軟表示，目前已有超過50個第三方外掛程式支援Copilot，預計還有上千個外掛功能將推出。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／微軟）</span></p> <p><span style="font-size:28px;"><strong>微軟開發工具開始整合外掛開發</strong></span></p> <p>另一方面，微軟開始整合了既有的開發工具和資源，提升對於該外掛機制的支援能力。例如，微軟已經將Visual Studio Code、 GitHub Codespaces等工具與新的外掛標準整合，現在開發者可以直接在這些工具中來建立、部署或調度在Copilot介面運作的外掛功能，幫助企業或開發人員能更快採用。</p> <p>微軟表示：「不會向任何第三方收取為Bing建構Plugin的費用。」然而，在開發Copilot應用的過程中，開發者或企業有可能需要使用微軟的付費服務，例如基礎架構和基礎模型服務，來進行Copilot應用的開發。</p> <p><span style="font-size:28px;"><strong>AI Copilot技術開發框架大公開</strong></span></p> <p>從微軟公開的AI Copilot技術開發框架中，可以反映其Copilot開發生態圈的發展戰略。從這個技術框架來看，微軟將Copilot整個軟硬體架構分三層，最底層是AI基礎架構與基礎模型，其中基礎模型包括了Azure OpenAI的GPT模型、合作夥伴及開源社群及企業自己開發的基礎模型；中間層則是AI調度管理層，包含外掛執行、基礎資料（Data grounding）、中繼提示（Metaprompt），以及「提示與回應」過濾機制。Azure在這兩層都中有提供相關服務。最上層是App層，包括Copilot以及外掛擴充功能。企業或開發人員可以透過外掛方式在微軟提供的Copilot平臺中開發自己的延伸功能，或者使用自己客製的Copilot版本進行開發。並可利用微軟IDE開發工具與GitHub完成所有Copilot應用開發。</p> <p>微軟進一步還以這個AI開發框架為基礎打造了一個全流程AI Copilot建置及管理平臺，稱為Azure AI Studio，成為了擴大其開發生態系的另一個重要關鍵。</p> <p>除了提供了模型建立、訓練、測試和部署功能，AI Studio還具備了一般AI開發平臺所沒有的特色，例如提供了模型推論的即時測試功能，開發者可以使用自然語言對話框迅速測試和驗證模型的推論結果，還整合提示工程（Prompt engineering）做法優化流程，讓企業能用系統化方式來調校和管理多種提高模型回答準確率的提示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E4%B8%BB%E6%96%87-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>從微軟公開的AI Copilot技術開發框架中，分為三層架構，最底層是AI基礎架構與基礎模型，其中基礎模型包括了Azure OpenAI的GPT模型、合作夥伴及開源社群及企業自己開發的基礎模型，中間層則是AI調度管理層，包含外掛執行、基礎資料、中繼提示、與提示與回應過濾機制。最上層是App層，包括Copilot以及外掛擴充功能。</strong><span style="font-size: 14px;">（圖片來源／微軟）</span></span></p> <p><span style="font-size:28px;"><strong>建構完整Copilot開發生態圈</strong></span></p> <p>微軟很早就積極擁抱生成式AI技術，通過與OpenAI合作並以ChatGPT所使用的GPT模型為基礎，推出商用生成式AI基礎模型服務，微軟更利用這項技術開發出生成式AI對話應用Copilot，並將其運用在自己的產品中。</p> <p>微軟AI戰略下一步將以Copilot為核心，不僅要擴大其產品支援，更要利用外掛機制的推出，讓開發人員或企業都能夠在商用Copilot中開發自己的功能，甚至也要讓這些不同外掛功能，可以支援企業用Azure AI自建的Copilot。新的AI Copilot建置及管理平臺也成為企業打造自己的Copilot的一個完整開發工具。</p> <p>建構一個成熟且完整的Copilot開發生態系，這正是微軟迎戰生成式AI應用浪潮下的AI新戰略。而要加速建構這個生態圈的關鍵，正是靠這兩大關鍵新策略。</p> <p><a href="https://www.ithome.com.tw/article/157239" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/157239" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1133-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=ZcsLpIM9" style="width: 550px;" /></a></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/6/9 00:00作者余至浩https://www.ithome.com.tw/news/157233
【微軟AI新戰略1】加速Copilot生態圈發展，支援標準的外掛擴充成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Build大會上，微軟不只宣布將擴大支援生成式AI對話應用Copilot，還揭露了微軟更大的戰略，是要建構出完整的Copilot開發生態系，不只讓自家產品能夠全面支援Copilot，更要讓企業、開發人員都能將他們自己的應用和服務整合到Copilot中，並在各自的行業領域中應用。而微軟Copilot生態圈戰略發展其中一個很重要的關鍵，就是支援標準的外掛程式。</p> <p>微軟迄今推出多種類型的Copilot應用，適用於不同的微軟產品，從最早在GitHub中提供輔助程式開發的Copilot，到後來針對低程式碼工具Power平臺的專用Copilot，再到提高生產力而設計的Copilot，也就是M365 Copilot。此外，還有提升員工參與度的Viva使用的Copilot，以及支援CRM相關應用的Copilot，其他還有搭載在搜尋引擎Bing和瀏覽器Edge上，用於網頁及安全相關Copilot，就連微軟Windows 11作業系統將很快支援Copilot，意味著Copilot將變成Windows桌面環境中的常駐程式，提供使用者更多支援和協助。</p> <p><span style="font-size:28px;"><strong>微軟全力發展Copilot開放生態系</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E7%94%9F%E6%85%8B%E7%B3%BB-600-2.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">微軟要讓Copilot開始能夠支援外掛擴充功能，就是為了替開發者打開一道入口，可以將Copilot連接到企業或開發者自己的軟體或服務中來進行互動。微軟技術長Kevin Scott甚至以數位世界中的驅動器來比喻外掛的關鍵作用。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／微軟）</span></p> <p>微軟雖然推出了許多不同用途Copilot，但是，微軟技術長Kevin Scott顯然認為這些延伸功能還不夠，還有許多有用的Copilot功能有待挖掘，需要更多開發人員和合作夥伴加入Copilot的開發行業，共同推動Copilot的發展，「Copilot必須成為一個開放的生態系統。」他這樣說道。</p> <p>微軟讓Copilot開始能夠支援外掛擴充功能，就是要打開一道入口，將Copilot連接到企業和開發人員擁有的軟體或服務中，來進行互動。</p> <p>Kevin Scott甚至用「數位世界中的驅動器」來比喻外掛的關鍵作用。當外掛使用者以文字輸入提問時，Copilot會根據提問內容調用開發人員所建立的外掛功能，來協助他們完成各種任務和操作，例如存取即時資訊、檢索訊息或執行跨應用操作等。</p> <p>微軟最先在Bing中的Copilot推出了OpenTable和Wolfram Alpha兩個外掛功能，可以協助使用者查找和預定餐廳，或者回答計算和分析問題。隨後，更多第三方外掛加入Bing，包括Expedia、Instacart、Kayak、Klarna、Redfin、TripAdvisor和Zillow等，涵蓋了旅行規畫、購物、金融和房地產等領域。通過整合了這些外掛功能，Copilot在Bing上能夠提供使用者更具體的回應，大大提升了其搜尋引擎的能力，「未來幾年，人們對於所有軟體都會期待用這種模式來運作。」Kevin Scott強調。</p> <p>除了Bing Chat以外，微軟也宣布，將有更多微軟Copilot產品能夠支援這項外掛機制，包括M365 Copilot、 Power Platform Copilot、 Dynamics 365 Copilot，以及Windows Copilot等。</p> <p>舉例來說，在M365的Copilot外掛中，還提供了三種不同外掛形式，一個ChatGPT外掛、Teams對話訊息擴充套件和Power平臺連接器。ChatGPT外掛採用基於ChatGPT形式的外掛API，Teams訊息擴充套件和Power平臺連接器則是具有能夠支援客製化訊息和連接企業內部數據的外掛功能。一開始就有多達50個第三方外掛，可以支援M365的Copilot，包括Atlassian、Adobe、ServiceNow、Thomson Reuters、Moveworks和Mural等。微軟預計在未來幾個月內還會推出上千個外掛，進一步擴大M365的Copilot功能和應用範圍。</p> <p><span style="font-size:28px;"><strong>外掛生態圈也支援企業用Azure AI自建的Copilot</strong></span></p> <p>除了微軟官方和合作夥伴推出的第三方外掛以外，企業還能為不同微軟服務的Copilot建立自己的外掛功能，來滿足特定需求與業務場景。甚至，企業在Azure AI上透過語言模型微調或訓練而建立的Copilot，同樣可以利用這個外掛機制，進一步擴展企業Copilot的能力，以滿足更多的應用需求。隨著越來越多開發者加入並推出支援不同應用或服務的外掛，將形成一個豐富且多樣的外掛的生態系。</p> <p>不僅如此，微軟更借助ChatGPT的影響力來加速其建立Copilot的外掛生態圈，而決定採用與其相同的開放的外掛標準，讓這兩個不同平臺之間的外掛可以彼此互通。對於開發人員而言，這樣做的好處是，只要建立一個外掛程式，就可以掛載到任何支援這個標準的Copilot或ChatGPT平臺中，因為使用相同的外掛標準，在其中一方建立的外掛使用的檔案或文件，也可以應用到另一方的外掛中，不需重新建立。</p> <p>微軟現有開發工具開始整合外掛標準，來簡化外掛功能的開發流程。例如,微軟已經將Visual Studio Code、GitHub Codespaces等工具與新的外掛標準整合，可以直接在這些工具中來建立、部署或調度在Copilot介面運作的外掛功能。對於想要在M365 Copilot中提供外掛的開發者，也能夠利用Visual Studio和命令列介面（CLI）中提供的Teams Toolkit工具，協助其進行外掛的建立、測試和調度。</p> <p> </p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#3399ff;"> 快速了解ChatGPT外掛標準 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E7%94%9F%E6%85%8B%E7%B3%BB-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟Copilot外掛機制採用了與OpenAI ChatGPT相同的開放標準，因此，開發者在其中一方建立外掛使用的檔案或文件，也可以應用到另一方的外掛中，不需重新建立。在外掛API設計上，Copilot採用和ChatGPT一樣的OpenAPI規範作為標準。</strong><span style="font-size:14px;">（圖片來源／微軟）</span></span></p> <p><strong>由於微軟Copilot外掛功能採用了與OpenAI的ChatGPT相同的開放標準，開發者也能藉由ChatGPT公開的外掛規範，快速了解未來建立自己的Copilot應用時，所需遵循相關的標準和規範。</strong></p> <p><strong>根據OpenAI的說明，開發人員可以利用ChatGPT的外掛功能，將其與第三方應用程式進行連接，並使用API與ChatGPT互動。</strong></p> <p><strong>不過，設計ChatGPT的外掛時，開發者需建立至少一個呼叫的API端點，並在該文件中包含標準化的manifest檔案。manifest檔案如同提供一個指南給ChatGPT，讓它知道何時該用這個外掛來回應使用者。所有跟外掛相關的metadata資訊都統一記錄於這個檔案中，例如外掛名稱、logo商標等，其他還有記載身分驗證所需的資訊，如驗證類型、OAuth URL等。</strong></p> <p><strong>在manifest檔案中還定義了外掛各項功能，其中包含了對於API回應內文的字元數上限，以不超過10萬個字元為限，但同時也保留了未來調整的彈性空間。每個manifest檔案建立完成後，需儲存為JSON格式，並託管在外掛API域名下指定”well-known“資料夾路徑中。</strong></p> <p><strong>ChatGPT外掛的API設計採用OpenAPI規範作為標準，並參考了OpenAPI規範3.0.1版，來定義API中的外掛名稱、描述和版本號等相關資訊，提供開發者在設計API時的參照和指引。舉例來說，外掛名稱可設為”TODO plugin”，版本號則可以使用”v1”表示外掛的初始版本。</strong></p> <p><strong>此外，在API規範中，對於每個API端點的摘要和參數描述也設有上限，最多不能超200個字元數，其他則遵照既有OpenAPI格式。公開的API端點中，除了manifest檔案之外，必須包含OpenAPI規範文件。</strong></p> <p><strong>一旦外掛API端點建立完成並公開後，會有兩種外掛的執行環境供開發者使用，本地的開發環境和遠端伺服器環境。考慮到安全性，遠端伺服器環境中要求使用HTTPS伺服器，而在本地開發環境中使用外掛的話，則需要事先建立身分驗證機制，否則外掛將無法執行。</strong></p> <p><a href="https://www.ithome.com.tw/article/157239" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/157239" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1133-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=ZcsLpIM9" style="width: 550px;" /></a></p> </div></div></div>
2023/6/9 00:00作者余至浩https://www.ithome.com.tw/news/157234
【微軟AI新戰略2】打造全流程Copilot建置及管理平臺，更整合提示工程優化生成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟要擴大企業對生成式AI對話應用Copilot的採用並建立完開發生態系，除了推出外掛擴充功能，另一個關鍵是提供了一個全套式AI Copilot建置及管理工具平臺，稱作Azure AI Studio，涵蓋了Copilot應用生命周期的各階段，從AI基礎模型的建立、訓練、評估到部署過程，更整合提示工程（Prompt engineering）優化流程，讓企業用系統化方式來調校和管理多種提高模型回答準確率的提示。</p> <p>在Azure AI Studio中，提供了多種企業Copilot應用開發所需的工具或功能，支援模型建立、訓練、評估和部署。舉例來說，在建立模型時，可以透過數據連接與匯入功能，迅速取得本地檔案、公開網頁及資料集的資料。在訓練模型階段，還可以搭配不同運算實例進行訓練，並能利用內建評估機制比較多個訓練完的模型，以選擇最佳模型。最後將訓練完的模型部署到正式環境，實現快速的應用部署。</p> <p>去年，微軟也有展示過類似的平臺，取名為OpenAI Studio，但它的功能不如AI Studio完整，雖然可以用來管理所有的Azure OpenAI模型和部署相關AI服務，但不能訓練，僅能微調模型，而且無法使用企業自己的LLM模型。直到AI Studio推出後，現在終於有了一個完整的開發工具。</p> <p><span style="font-size:28px;"><strong>特色1：Chat playground不只能建模型，還具有即時測試能力</strong></span></p> <p>從Azure AI Studio工具平臺中，還可以整理出和一般AI開發工具不同的特色，是針對生成式AI需求的設計。其中一個重要的特色，就是提供名為Chat playground的開發建置工具，這個工具讓開發人員能夠在Chat playground中直接選擇所需的GPT或其他語言模型，並配置相關參數，就能進行模型的開發和測試。</p> <p>Chat playground本身支援了多種來源的數據匯入功能，包括Azure Blob Storage、 Cosmos DB與Azure Cognitive Search，其中，Azure Cognitive Search還具有更進階的向量索引功能，可以將存放在資料庫中的文件編製成向量索引，用於建構和測試embedding模型。此外，企業還可以上傳自己的檔案或資料庫中非結構和結構化資料。</p> <p>Chat playground不只是模型建立用的工具，還提供了即時測試的功能。開發者可以在它提供的一個自然語言互動的介面中輸入提問並與模型進行互動，即時看到模型生成的回答，幫助他們測試和驗證模型的效果。</p> <p>「透過這套工具，企業更容易將自身資料應用於LLM模型並結合主流開發工具，使其生成內容更貼近企業特定需求和內部應用場景，帶來更好的Copilot體驗。」微軟雲端及AI事業群副總裁Scott Guthrie強調。</p> <p>在AI基礎模型選用方面，微軟整合了三種不同來源的基礎模型於該模型目錄中，有來自Azure OpenAI服務的GPT模型（如GPT 3/4、ChatGPT 35 Turbo等），還有Hugging Face社群和合作夥伴提供的模型，以及上千個開源AI模型（如GPT-2、Whisper、BERT ）。開發人員可以依據不同的場景和需求，選擇適合的模型進行開發。不過該目錄功能目前還是預覽版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E5%BE%8C%E8%87%BA-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>在這個Azure AI Studio工具平臺中，提供名為Chat playground的開發建置工具，除了可以建立模型，還具有即時測試的能力，讓開發者可以輸入提問並與模型進行互動，並即時看到模型生成的回答，用於測試和驗證模型的效果。</strong><span style="font-size: 14px;">（圖片來源／微軟）</span></span></p> <p><span style="font-size:28px;"><strong>特色2：首次整合提示工程流程，優化生成提示提高回答精準度</strong></span></p> <p>針對生成式AI應用，透過提示工程來優化Copilot生成的結果，更符合企業的需求，是一大關鍵。尤其，無論是Copilot使用的GPT模型還是企業自己的LLM模型，生成相應結果時都需要適當的提示，來引導語言模型生成符合預期的回應，這些提示包括了關鍵詞、問題描述、上下文訊息等，這也使得提示工程作為生成式AI的新興領域近來越來越受到關注。</p> <p>為了滿足這個需求，微軟在AI Studio中推出了Prompt flow生成提示工程工具。這是一個用於模型訓練完成後的優化工具，可以提高模型回答的精準度。在Prompt flow工具中整合了提示工程流程和方法，涵蓋了與提示相關的所有作業流程，包括構建、調度、評估、測試、部署和監控等。「使用Prompt flow，開發者可以方便設計、優化和管理生成提示，引導AI模型生成更強大且更具體的回應給使用者。」Sco Guthrie表示。</p> <p>值得一提的是，Azure AI Studio還有一個提示流程圖（Prompt Flow Graph），提供了包含輸入問題、提示建立、提示整合，到LLM模型回應及輸出過程。從這個流程圖中，開發者不僅能夠掌握每個提示的建立過程，還能查看流程中每個步驟的輸入和輸出，了解各流程環節對模型回應的影響，並通過不斷微調和實驗進一步優化和改進模型的輸出品質。</p> <p>在這個提示工程工具中，還提供多種提示相關設計的模板和範例供開發人員參考，還可以結合內部數據來獲得更詳細的提示設計。開發團隊也能整合GPT模型或他們自己的LLM模型到這個流程中來運用，並支援了主流LLM開源工具和框架，包括Semantic Kernel、LangChai等。</p> <p>倘若遇到需處理搜尋或推薦相關的內容生成時，Azure AI Studio也能支援增強式檢索生成（retrieval-augmented generation，RAG）做法，作為調用LLM模型的預處理機制。例如在模型推論以前可以利用這個做法，針對向量資料庫進行檢索，找到與提示相關的上下文資料，然後將這些上下文資料和原始提示一起輸入到模型中，藉由提高提示內容的相關性，使模型更好地理解問題並生成回答，改善其回答品質和準確度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E6%8F%90%E7%A4%BA-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Prompt flow是一個用於模型訓練完成後的優化工具，可以提高模型回答的精準度。該工具整合了提示工程流程和方法，涵蓋了與提示相關的所有作業流程，包括構建、調度、評估、測試、部署和監控等。</strong><span style="font-size: 14px;">（圖片來源／微軟）</span></span></p> <p><span style="font-size:28px;"><strong>特色3：加入生成提示的過濾機制，加強把關不當內容</strong></span></p> <p>除了透過提示工程提高模型回答的準確度之外，微軟還在AI Studio中設計了AI security內容安全服務，進一步管制模型推論結果。該服務結合了兩道防護機制，其中一個是AI提示內容的過濾機制，可以用於測試和評估每次提示的內容，檢查是否有包含暴力、仇恨、性等不當提示內容，也可以設定偏差閾值或使用黑名單來管控這些內容，避免模型做出意外的回答。</p> <p>還有一個是Metaprompt的微調功能，作為第二道內容過濾防護機制，開發者能用自然語言的方式事先說明模型需遵循的安全規範，並在每次提示輸入時，將這些安全要求與原始提示輸入到模型，讓生成的內容能夠符合其指定的安全標準或指導方針，提供更可靠和符合預期的回應。例如，可以指定模型不回答特定的敏感主題或不提供具有危害的建議。</p> <p><span style="font-size:28px;"><strong>特色4：建立模型推論評估機制，還兼具維運監測功能</strong></span></p> <p>Azure AI Studio不只提供開發及測試，還具有完整的部署平臺，除了提供藍綠部署和測試，也提供維運監測功能，確保部署的模型在生產環境中穩定運作，並符合其提示設計的要求，生成預期的回答。還提供版本管理功能，方便開發及維運人員管理不同或新舊提示版本。</p> <p>部署前，還可透過其內建的評估機制比較不同提示版本之間的差異對於最後模型推論的影響，並從中選擇最佳的提示版本用於生產環境。另外，還能查看每個執行步驟花費的時間長短，優化整個提示流程，來提升模型回應的速度。</p> <p><a href="https://www.ithome.com.tw/article/157239" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/157239" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1133-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=ZcsLpIM9" style="width: 550px;" /></a></p> </div></div></div>
2023/6/9 00:00作者余至浩https://www.ithome.com.tw/news/157238
微軟AI新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1133-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=ZcsLpIM9" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟生成式AI應用Copilot推出2年多，從最初用於協助程式撰寫，到後來能夠處理更多樣且多元化的任務。微軟下一步則是要建構完整Copilot開發生態系，不只公開其核心技術開發框架，更結合兩大關鍵策略，來支援企業自建專屬生成式AI的能力</p> </div></div></div>
2023/6/9 00:00作者余至浩https://www.ithome.com.tw/article/157239
重返以運算為中心的架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年台北國際電腦展終於恢復實體舉行，Nvidia共同創辦人暨執行長黃仁勳在活動期間的一舉一動，成為當週臺灣與全球焦點，從召開自家主題演講、舉行全球新聞媒體問答，到多家合作廠商的發表會、主題演講，以及展區亮相，只要他在南港展覽館一現身，馬上吸引許多記者、參觀者圍觀或跟隨，不論是詢問晶片供應與AI應用相關問題，或是要求合照，他都大方回應與配合，令全臺民眾留下深刻印象。</p> <p>除此之外，不論是否理解AI技術的發展歷程與市場價值，在新聞與財經媒體的熱烈報導之下，更多人聽到他長年推廣資料中心GPU、AI整合應用設備的經典台詞：「買越多、省越多（The more you buy, the more you save.）」就連一般大眾與新聞媒體都津津樂道，堪稱當代加速運算技術應用的最佳推銷員，而這股風潮在今年初掀起的新一波AI應用突破的消息之後，顯然後續還會在你我的工作和生活場景當中，創造更多話題。</p> <p>事實上，從去年底到今年上半，Arm、AMD、Intel、Nvidia這四大運算平臺廠商都陸續釋出新一代產品的消息，雖然其中有些是去年中就應該進入量產，因故延遲至近期才出現明朗的態勢，不過，因為全球經濟這段時間面臨嚴峻考驗，伴隨著物價飆漲、生產製造成本大增的壓力日趨提高，這些強調具有高性能、高能源效益的運算平臺，是否能如廠商所願，受到大量採用、快速普及所有的環境，仍有許多變數。</p> <p>在AI、運算受關注的此刻，部分廠商對未來IT提出新看法，他們認為將走向「以運算為中心（Compute-centric）」，而非常見的「以資料為中心（Data-centric）」。</p> <p>這說法之所以成立，當然與這一波由大型語言模型（LLM）掀起的AI超級浪潮，有密切的關係。舉凡大型雲服務業者、企業與組織，以及一般使用者，我們對於高效能運算的需求有增無減，不僅希望能借助雲端服務來簡化各式AI服務的提供，在單位內部、個人端，以及不同領域的邊緣運算等多種環境當中，都會有就近應用AI處理的需求，而這些不僅能促成更多樣貌的加速運算應用，也將帶動記憶體、快取、I/O、網路連線等周邊規格的大幅進化，以避免拖垮整體效能。</p> <p>回顧我們察覺IT架構重心的變化，是因為2015年IBM推廣認知運算（Cognitive Computing），而在《Smart Machines: IBM's Watson and the Era of Cognitive Computing（智慧科技：推動大智移雲的利器）》書中，闡述「以資料為中心的電腦」，我們了解到過往IT架構的發展重點，屬於「以運算為中心／以處理器為中心」。</p> <p>然而，在2020年代的此刻，「以資料為中心」早已是常態，在分散式企業與分散式服務的概念大行其道之際，為何現在又將轉變至「以運算為中心」？</p> <p>除了AI運算成為所有創新應用發展的焦點，越來越多廠商爭相推出AI模型、提供生成式AI內容相關應用功能的消息，另一個關鍵則是資料的產生與處理，同樣仰賴健全的運算晶片生產與供應體系，而這方面的發展目前面臨很大的挑戰。</p> <p>最近新聞媒體德國之聲有一支探討臺海戰爭影響的影片，恰巧引述這當中的關係，反映「以運算為中心」成為世界發展的關鍵。供應鏈顧問公司Seraph Consulting創辦人兼執行長Ambrose Conroy是這麼說的：「很多人說資料是新石油，資料是新經濟，然而，有了半導體，才能有數據，因此，我認為半導體是驅動當前所有事物的力量。」</p> <p>如果我們同意大資料、AI是整個世界發展的重要憑藉，能否產生與承擔更大規模的資料，的確是關鍵，因此，運算能力勢必要不斷發展、壯大、普及，臺灣目前能取得領導市場的地位並非偶然，我們當然希望可以繼續保持競爭優勢，期盼全世界都強烈依賴臺灣，然而，將這些能力與全世界分享，也很重要，人類社會若要繼續繁榮，不能只靠臺灣、只靠半導體，大家都必須要提升能力、齊心承擔，因為臺灣的生存也同樣仰賴與其他國家的共同合作，彼此都需要互惠互助。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%BB%A5%E9%81%8B%E7%AE%97%E7%82%BA%E4%B8%AD%E5%BF%83">以運算為中心</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E5%9E%8B%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B">大型語言模型</a></div><div class="field-item even"><a href="/tags/llm">LLM</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E8%B6%A8%E5%8B%A2">趨勢</a></div></div></div>
2023/6/9 00:00作者李宗翰https://www.ithome.com.tw/voice/157240
全臺最大醫療IT革新來臨，衛福部揭次世代HIS平臺大架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們不只要做公版HIS，還要建整個醫療資料大平臺！」衛福部資訊處處長龐一鳴強調。自去年秋季以來，各界不斷呼籲改革臺灣醫療IT，行政院生技產業策略諮議委員會（BTC）、生策會等重量級組織接連表態革新迫在眉睫，衛福部也挑起大樑，著手規畫次世代數位醫療平臺（亦稱次世代HIS平臺）架構，龐一鳴就是該平臺的核心推手。</p> <p>他將次世代數位醫療平臺定位為醫療資料大平臺，因為，這個平臺不只有App應用層和數位中臺，還向下延伸，將底層基礎架構也納入建置重點。也就是說，次世代數位醫療平臺包含了容器化底層、數位中臺和App應用層等3大層架構，龐一鳴如此設計的靈感，還來自一張國際調研機構Gartner的數位醫療平臺（DHP）架構圖。</p> <p>這個DHP架構採取混合雲設計，由雲上的整合數據架構層、套裝業務能力層和元件工具層組成，DHP完全位於雲上，再串連到地端的醫院系統與儀器資料，來對外提供不同的數位醫療體驗服務，如醫療照護協作、醫療數位入口、民眾健康管理等。但龐一鳴點出，純數位中臺形式的DHP架構，不適用臺灣現況，因為「成本太高了，再加上大多數醫院底層架構老舊，所以，我乾脆往下一層，連底層一起翻新！」他說。</p> <p>這句話，點出了臺灣醫療IT長久難治的痛點。臺灣的醫療IT發展，最初是為健保申報而興起，導致在不需健保申報的領域，資訊化相對落後。而且，臺灣醫院IT大多停留在20多年前為健保而建置的架構，比如仍使用大型主機和老舊程式語言COBOL，這種封閉式的架構難以實現IT現代化，要擁抱主流的雲端運算、虛擬化等技術或熱門程式語言，也就更難，人才經驗也不易傳承。</p> <p>此外，醫院系統高度客製化、醫療資料交換標準不一，致使醫療數據難以整合，要採用新型智慧系統也更吃力。這些都是臺灣醫療IT創新時面臨的難題，若不解決，很難擁抱精準醫療和個人化醫療這類結合大數據決策的新應用。</p> <p><span style="font-size:28px;"><strong>架構解密：3層架構建立資料標準和開放應用環境</strong></span></p> <p>衛福部提出的次世代數位醫療平臺，就是要解決這些挑戰。龐一鳴說明，次世代HIS平臺的容器化底層，不只利用容器技術來打包執行環境、資料庫等基礎架構軟體，來具備現代化IT的擴充性，還要建立一個標準化的共通資料層，來統一數位醫療的資料規格和資料結構基礎，包含國際醫療資料交換標準FHIR和相關文件，以及醫療術語標準。另外，衛福部還計畫提供一個串接醫療設備用的OT閘道器（OT Getway）軟體，可部署到各醫院內來串接各家醫院不同OT系統資料，統一匯整到次世代HIS平臺上的共通資料層。</p> <p>在這個基礎上，就能發展出數位中臺。衛福部要將醫療流程中的共同機制取出，打造為一個個模組，以便後續各種應用。舉例來說，看診的身分驗證機制就會是一種模組，護理資訊系統、影像儲傳系統（PACS）等大系統各自的共通機制，也會是數位中臺的通用模組。</p> <p>在數位中臺之上，衛福部還要建置一個App上架環境，也就是App應用層，來發展各種系統和智慧醫療應用。龐一鳴比喻，這個App應用層就像是App商店，醫院和醫資廠商可上架自己的系統，來讓其他醫院下載使用。這些系統可以高度客製化，比如文字描述需求高的內科，打造一套內科看診系統，對圖像資料較多的外科，則發展另一套以圖像為主的外科看診系統。不只臨床所需系統，醫療AI、病人管理系統也可在此上架。</p> <p>眾所熱議的衛福部公版HIS，未來也會上架到這個App應用層，供全臺26家衛福部醫院使用。他們要打造的第一號公版HIS系統是護理資訊系統，因為，護理作業是醫界公認最想改善的流程，衛福部打算用數位工具來優化傳統做法，讓護理師在床邊照護病人時，就能直接口述，透過系統同步轉錄為文字、即時記錄患者處置狀況，不必再回到護理站才能輸入資訊、建置護理工作記錄。這麼做，不只能簡化護理師工作負荷，還能讓護理師有更多時間來照顧患者。這也是龐一鳴對醫療IT改革的期許，要一併用數位工具來優化臨床工作流程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%9B%E7%A6%8F%E9%83%A8CIO-2P-%E8%8B%A5%E6%A8%B8-600.png" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 22px;"><strong>衛福部資訊處處長龐一鳴指出，次世代HIS平臺不只要改善全臺醫院IT，還要擁抱國際主流標準，助臺灣醫資業者出海、站上國際化舞臺。</strong></span>　<span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>借鏡國際作法，助臺灣軟體出海</strong></span></p> <p>這個次世代數位醫療平臺，不只是衛福部對全臺醫院IT的革新，還有一個更大的願景：將臺灣醫資廠商帶出海。</p> <p>因為，這個平臺將醫療流程的通用機制，以函式庫或規則引擎形式，打包在容器化底層或數位中臺裡，來讓應用層系統呼叫、執行對應工作。舉例來說，臺灣醫療院所得靠健保卡來辨識患者身分，許多系統也直接內建健保卡讀取機制。但次世代數位醫療平臺不這麼做，而是將身分驗證機制發展成一個共通元件，當上層系統需要辨識患者身分時，就呼叫該元件、觸發驗證工作，選擇合適的身分辨識工具來驗證患者身分。</p> <p>如此，就不會受到「健保卡讀取」限制，讓醫院或醫資廠商開發的系統保有更大使用彈性，有能力適應不同地區的醫療習慣和規範，更能出海到其他國家競爭。「我希望，我們把臺灣醫院IT做好，也要讓相關SI業者走出去，讓大家站到國際化的舞臺上！」龐一鳴說。</p> <p><span style="font-size:28px;"><strong>要4年完成醫療IT變革，未來將法人化經營</strong></span></p> <p>這場醫療IT變革，衛福部預計用4年完成。今年是次世代HIS計畫的第零年，衛福部設置了專案辦公室，委託工研院來執行平臺建置工作，包括兩大類任務，研究和實作。</p> <p>就研究來說，首要任務是「學習國外系統，」龐一鳴解釋，改革的目的，不只要解決臺灣醫院IT問題，也要把本土SI廠商推向海外，因此，次世代數位醫療平臺架構得符合國外主流做法，才能讓臺灣醫院和醫資業者，在相同標準下練兵、累積開發經驗。</p> <p>同時，專案辦公室也得研究國際標準，包括主流的HL7 FHIR架構及其元件，並逐步完善臺灣核心實作指引（TW Core IG），將現行CDA標準的醫療表單，轉換為FHIR標準表單，為後續資料交換奠定統一標準。</p> <p>不只如此，專案辦公室還得找尋合作夥伴。因為，要實踐如此龐大的次世代HIS平臺，不能只靠單槍匹馬，還要集眾人之力，透過徵詢國內廠商和醫院合作意願，找出能在不同領域出力的合作夥伴，如資安、OT、容器化應用等領域，來完善次世代數位醫療平臺。</p> <p>完成這些研究工作後，接下來就是實作階段，得開始引進國際標準工具、中文化特定工具、建置容器化底層和App上架環境，實作出醫療資料大平臺。</p> <p>另一方面，為發展公版HIS，專案辦公室今年開始也走訪衛福部旗下醫院，來進行需求訪談、蒐集實務狀況和建議。</p> <p>至於這個平臺將如何維運和收費，龐一鳴指出，就App應用層而言，商業模式將參考App商店收費制度，當醫院、廠商上架系統後，平臺會收取上架費，至於使用者付費下載，平臺是否要抽成、收取費用，衛福部則會計算損益後再決定。</p> <p>龐一鳴表示，衛福部的目的不在盈利，而是將平臺定位為公益性平臺，只收取必要費用。該平臺將先由政府維運，未來會發展為公私合營的公益平臺，由另成立的公益組織獨立營運，來維護資料標準、國際資料庫和工具，以及醫院和業者的日常使用。</p> <p>打造次世代HIS平臺很重要，但龐一鳴還給自己另一個同等任務：把醫院推上雲端。為讓醫院無後顧之憂用雲，他先是推動修法，開放電子病歷上雲，今年更找來3大國際公雲業者與國內主要業者，要舉辦一場醫療上雲研討會，讓醫院開始尋找最適合自己、收費合理的混合雲架構，同時了解雲端資安機制和各種雲端認證課程，衡量人才技能配置。這是個起點，龐一鳴希望培養醫院用雲知識，也盼臺灣雲端供應商能向國際級的服務能力看齊。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#3399ff;"> 做中學：GDPR帶來的新契機 </span></strong></span></span></p> <p><strong>「我也不懂，我也要學。」作為臺灣醫療IT大變革的關鍵人物，衛福部資訊處處長龐一鳴坦言，他對如何用雲、如何運用容器等現代化技術，也還不如專家清楚。</strong></p> <p><strong>但「要有Awareness，要誠實面對問題、去學習。」他點出，推行醫療IT新政策時，一定會遭遇各種困難，作為政策推動者，他從中學習，摸索出合適的解法，再擴散出去。比如疫情爆發時，各大國際組織紛紛推行疫苗護照，他親自跳下來，研究當時主流的幾種疫苗護照製作規範，如WHO、歐盟和民間飛航組織，從中找出最適合臺灣的版本。</strong></p> <p><strong>他後來選定歐盟版本，但問題是，歐盟版雖能在多國間通用、符合國際標準FHIR和最嚴個資法GDPR，卻也因此技術門檻高，需能離線使用（符合GDPR資料可攜原則），這意味著，開發者得將通行證憑證置於查驗程式。這是龐一鳴第一次實作嚴守GDPR的大型IT專案，幾經分析，他選用網頁模式來開發查驗程式，不只比App更好開發和維運、民眾使用方便，還符合GDPR規範。開發完成、通過歐盟驗證後，臺灣版疫苗護照順利上線，除了供民眾作為接種證明，還成為請假、大規模理賠申請的證明文件，背後的數位證明系統更成為各項防疫證明的申領平臺。</strong></p> <p><strong>從那次開發經驗中，龐一鳴不只學到公雲和GDPR實踐方式，也意識到，數位身分認證還有這種方法可行。這個將主管機關認定的公憑證放入數位證明文件的作法，也從衛福部發散，龐一鳴舉例，考試院發送的國考電子證書，就是以這個概念實作。甚至他認為，這個經大規模驗證的數位證明方法，未來還能用於公家機關、保險理賠的證明文件製作。</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></strong></p> <p><span style="color: rgb(51, 153, 255);"><strong>衛福部資訊處處長龐一鳴</strong></span></p> <p>學歷：臺灣大學公共衛生研究所畢業</p> <p>經歷：1996年進入中央健保局醫管處，擔任支付標準科科長，3年後轉至健保局醫審小組，執行審查計畫工作，之後陸續於健保局擔任醫管處秘書、醫審暨藥材小組副主任，也分別於中央健保署南區業務組和醫務管理組擔任組長。2017年進入衛生福利部，擔任資訊處處長至今</p> <p><span style="color:#ffffff;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>衛生福利部</strong></span></p> <p>地址：臺北市南港區忠孝東路6段488號</p> <p>成立時間：1928年成立內政部衛生司，經十次改組於2013年升格為衛生福利部</p> <p>主要業務：整合社會福利及衛生醫療資源，針對福利服務輸送、關懷弱勢、醫療照護、全民健保、健康促進、疫病防治、食品藥物管理等議題，來擬定整合連續性之公共政策</p> <p>員工數：約1萬2千人</p> <p>部長：薛瑞元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管姓名：龐一鳴</p> <p>直屬主管：薛瑞元</p> <p>資訊部門人數：24人</p> <p>資訊部門分工：共4科，包括基礎設施及資訊安全、共用性資訊系統及服務、公衛醫療資訊系統、社會行政資訊系統</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2008年：推動電子病歷計畫</p> <p>2012年：辦理健康雲計畫</p> <p>2013年：持續辦理醫院電子病歷和互通補助計畫；建置健保雲端藥歷系統</p> <p>2015年：建置健保醫療資訊雲端查詢系統</p> <p>2017年：推動醫療雲2.0計畫</p> <p>2018年：建置醫療資安資訊分享暨分析中心H-ISAC；建長照資訊系統</p> <p>2019年：強化醫療資安聯防機制</p> <p>2020年：擴大遠距醫療適用範圍；推動醫事人員行動憑證</p> <p>2021年：規畫將電子病歷交換中心改為FHIR架構；臺灣數位健康證明正式加入歐盟</p> <p>2022年：數位健康證明擴充FHIR格式；開放電子病歷上雲；成立智慧健康雲專案辦公室，推動FHIR應用</p> <p>2023年：成立次世代HIS平臺專案辦公室；建置數位同意書平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wei_fu_bu_cio-2p-ruo_pu_-960.jpg" width="960" height="420" alt="" title="衛福部資訊處處長龐一鳴　（攝影／洪政偉）" /></div></div></div>
2023/6/9 00:00作者王若樸https://www.ithome.com.tw/people/157241
受《快思慢想》啟發，Google新技術使Bard數學能力上升30％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言模型擁有強大的語言處理能力，但是在數學與推理能力仍有很大的進步空間，因此大型語言模型開發商現在的研究目標之一，便是提升模型的邏輯和推理能力。Google的新研究便是使用一種稱為<a href="https://blog.google/technology/ai/bard-improved-reasoning-google-sheets-export/" target="_blank">隱式程式碼執行（Implicit Code Execution）</a>的技術，來強化語言模型的數學運算能力。</p> <p>大型語言模型在收到提示詞後，便會預測接下來可能出現的單詞生成回應，語言模型在語言和創造性任務能力很好，但是在推理和數學領域能力卻很弱，研究人員提到，要讓大型語言模型能夠處理進階推理和邏輯問題，不能只仰賴原本大型語言模型的輸出。</p> <p>Google新方法的靈感，來自諾貝爾經濟學獎得主丹尼爾康納曼的知名著作《快思慢想》，書中將人類思維分成系統一與系統二兩個模式，系統一處理直覺且情緒化的思考，系統二則是具邏輯的理性思考。</p> <p>研究人員表示，原本大型語言模型的輸出，接近人類系統一的思考，可以快速生成文字，但沒有經過深入思考，因此常會生成一些意料之外的輸出。系統一的思考沒有辦法解決數學問題，數學問題更需要公式化，遵循正確步驟推理和計算，所以需要仰賴系統二的思考。</p> <p>而新添加的隱式程式碼執行則是扮演系統二思考的角色，讓Bard能夠同時擁有系統一和系統二的思考能力。Bard現在會辨識可能需要邏輯思考的指令詞，並在後臺執行計算程式碼，以產生更精確的輸出。根據Google內部的測試，在加入隱式程式碼執行技術後，Bard在計算和數學的回答準確性提高30％。</p> <p>因此Bard現在可以計算出像是15683615的質因數、儲蓄成長率或是反轉英文單字字母排序等問題，但研究人員提到，Bard還有很多改進的空間，像是Bard現在可能不會產生程式碼解決問題，也可能產生錯誤的程式碼，或是不會在回應中包含已執行的程式碼。</p> <p>OpenAI最近也發表了一篇新的研究論文，目的是要提升大型語言模型的推理能力，使其能夠更好地解決數學領域的問題。OpenAI使用一種稱為<a href="https://www.ithome.com.tw/news/157161">過程監督</a>的訓練方法，透過獎勵過程中每個正確步驟的推理，驅使模型人工遵循人類的思考模式，產生更可靠的結果。OpenAI的新方法在MATH測試集中試驗，顯示過程監督能使模型解決接近80％的測試集問題。</p> </div></div></div>
2023/6/8 22:29作者李建興https://www.ithome.com.tw/news/157242
【資安日報】6月8日，企業的SharePoint Online遭到勒索軟體0mega鎖定，發動資料破壞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>入侵企業的檔案共享系統並進行檔案加密的攻擊行動，最近出現新的手法！有資安業者揭露一波針對SharePoint Online而來的勒索軟體0mega攻擊，駭客先是挾持Microsoft 365的全域管理員帳號（Global Admin Account），然後建立高權限帳號來下載、刪除檔案，再留下勒索訊息。</p> <p>MFT檔案共享系統MOVEit Transfer零時差漏洞攻擊傳出駭客開始向受害組織進行勒索，並要求依照指示限期聯繫、談妥價碼及付款，否則就要公開竊得的資料。但受害規模仍不得而知。</p> <p>開放重新導向漏洞（Open Redirect Vulnerability）的情況也值得我們留意。有研究人員發現美國太空總署（NASA）的網站出現此類漏洞，但在今年1月就有人通報，截至5月仍未修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.obsidiansecurity.com/blog/saas-ransomware-observed-sharepoint-microsoft-365/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體0mega鎖定企業的SharePoint Online發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0mega-Untitled.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0mega-Untitled.png" style="width: 300px; float: right;" /></a>資安業者Obsidian揭露鎖定微軟SharePoint Online的勒索軟體攻擊，相較於過往的攻擊，最新的這波0mega行動相當不同，因為對方並非先入侵目標組織的使用者電腦，或是侵入被映射的磁碟、再加密要同步到SharePoint Online的檔案，而是鎖定未啟用雙因素驗證（2FA）、公開的微軟全域系統管理員服務帳號（Global Admin Account）進行挾持。</p> <p>攻擊者會在受害組織的AD加入名為0mega的使用者帳號，此帳號被上述遭到入侵的管理員帳號授予多項Microsoft 365特殊權限，包含全域管理員、SharePoint管理員、Exchange管理員、Teams管理員。</p> <p>在其中一起攻擊行動裡，駭客利用這個名稱的帳號，刪除原本的管理員帳號，並且在2個小時之內，在SharePoint Online執行逾200次的檔案刪除作業，而刪除這些資料之前，駭客也藉由NPM套件SPPull下載到租用的VPS主機，然後上傳PREVENT-LEAKAGE.txt勒索訊息。</p> <p><a href="https://therecord.media/clop-extortion-hundreds-organizations-moveit-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">因MOVEit Transfer漏洞而遭勒索軟體Clop攻擊的組織，可能有數百家之多</span></strong></a></p> <p>微軟於6月5日指出勒索軟體駭客Clop是MOVEit Transfer零時差漏洞攻擊的主謀，該組織也於隔日向資安新聞網站Bleeping Computer表明是他們所為，現在傳出駭客開始向受害組織進行勒索。</p> <p>根據資安新聞網站The Record的報導，Clop於6月7日早上發出勒索信，要求受害組織依照指示，在6月12日（後來改成14日）前聯繫他們，該組織將會提供部分資料進行驗證，且要在3天講定價碼，否則資料將在7天後公開。值得留意的是，這些駭客聲稱有數百家企業受害，但究竟實際規模為何？仍不得而知。</p> <p><a href="https://cybernews.com/security/nasa-astrobiology-website-flaw/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國太空總署網站出現開放重新導向漏洞，可被用於將用戶導引至惡意網站</span></strong></a></p> <p>資安新聞網站Cybernews的研究人員發現，美國太空總署（NASA）的網站出現開放重新導向漏洞（Open Redirect Vulnerability），而有可能被駭客用於假借該機構的名義，將使用者重新導引至惡意網站。</p> <p>研究人員指出，他們並非首度發現相關漏洞的人──在1月14日已有漏洞獎金獵人通報此事，但到了5月這項漏洞仍舊存在。不過，目前無法確認上述漏洞是否遭到利用。</p> <p><a href="https://adlumin.com/post/powerdrop-a-new-insidious-powershell-script-for-command-and-control-attacks-targets-u-s-aerospace-defense-industry/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PowerShell惡意軟體PowerDrop鎖定美國航空產業而來</span></strong></a></p> <p>資安業者Adlumin揭露名為PowerDrop的PowerShell惡意程式，駭客鎖定美國的太空產業而來，透過PowerShell和WMI，在受害組織的網路裡部署RAT木馬程式。</p> <p>研究人員指出，雖然他們懷疑發動攻擊的是國家級駭客，但根據駭客所使用的程式碼，他們不只使用APT駭客的手法，也有部分運用現成惡意軟體的情況。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://kb.vmware.com/s/article/92684"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware網路分析工具出現重大漏洞</span></strong></a></p> <p>VMware於6月7日針對旗下網路分析系統Aria Operations for Networks（原名vRealize Network Insight）發布資安公告，總共修補3個漏洞，分別為命令注入漏洞CVE-2023-20887、RCE漏洞CVE-2023-20888、資訊洩露漏洞CVE-2023-20889，CVSS風險評分依序為9.8、9.1、8.8。</p> <p>值得留意的是，這些漏洞沒有其他的緩解措施，該公司呼籲用戶要儘速套用修補程式。</p> <p><a href="https://eaton-works.com/2023/06/06/honda-ecommerce-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">本田汽車集團API弱點曝露經銷商資料及內部文件</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/honda-full.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/honda-full.png" style="width: 300px; float: right;" /></a>研究人員Eaton Zveare在本田汽車集團的電子商務網站裡，發現重設密碼的API存在漏洞，而能藉由該漏洞重設任意帳號的密碼，存取該集團旗下的動力設備、船隻、花園事業部門的經銷商資料。</p> <p>研究人員依循上述的弱點，能夠隨意修改該公司旗下1,570個經銷商網站內容，變更3,588個經銷商帳號的密碼，並存取經銷商電子郵件1,090封，以及顧客電子郵件（內含完整姓名）11,034封，此外，研究人員還能存取該集團的財務報告，以及部分經銷商的Stripe、PayPal、Authorize.net的金鑰。</p> <p>研究人員於3月16日進行通報，本田於4月3日修復完成，不過，由於該公司沒有經營漏洞懸賞專案，這名研究人員並未得到獎勵。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/157209"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google Cloud、Workspace開始支援Passkey無密碼登入</span></strong></a></p> <p>6月6日Google宣布擴大Passkey支援範圍，用戶可以此種無密碼的方式登入Google Workspace和Google Cloud帳戶。該公司提到，他們是第一個支援通行密鑰登入的公有雲服務供應商。根據Google早期採用的資料顯示，使用Passkey的登入速度是密碼的兩倍，錯誤率更是降低4倍。</p> <p><a href="https://www.ithome.com.tw/news/157236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理解決方案業者1Password推出瀏覽器Passkey擴充套件公開測試版</span></strong></a></p> <p>密碼管理解決方案業者1Password推出瀏覽器的Passkey支援套件測試版本，讓使用者上網的過程可透過這類身分驗證機制來存取各式網路服務。此擴充套件可支援Chrome、Firefox、Edge、Brave、Safari瀏覽器，並能在執行Windows、macOS、Linux作業系統的電腦上運作。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://start.paloaltonetworks.com/unit-42-network-threat-trends-report-malware-2023.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">ChatGPT爆紅引發相關資安疑慮！資安業者Palo Alto Networks半年內看到相關域名註冊增178%、每天有118個惡意URL</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/barracuda-says-hacked-esg-appliances-must-be-replaced-immediately/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Barracuda表示遭到零時差漏洞攻擊的郵件安全閘道設備應立即更換</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ac-csc-privesc-wx4U4Kw"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科VPN用戶端程式出現漏洞，若不修補恐被用於取得SYSTEM權限</span></span></strong></a></p> <p><a href="https://cert.gov.ua/article/4818341"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體LonePage鎖定烏克蘭政府機關及媒體而來</span></span></strong></a></p> <p><a href="https://www.justice.gov/opa/pr/ceo-dozens-companies-pleads-guilty-massive-scheme-traffic-fraudulent-and-counterfeit-cisco"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">涉嫌販賣冒牌思科網路設備的人士遭起訴，不法所得逾1億美元</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157227">【6月7日】 Outlook雲端郵件服務中斷，疑遭受駭客組織Anonymous Sudan的DDoS攻擊所致</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157208">【6月6日】 MFT檔案共享系統MOVEit Transfer出現零時差漏洞攻擊，微軟指出是駭客組織Clop所為</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157192">【6月5日】中國駭客Camaro Dragon利用後門程式TinyNote攻擊外交單位</a></strong></p> </div></div></div>
2023/6/8 17:18作者周峻佑https://www.ithome.com.tw/news/157244