iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【iThome CIO大調查：新興技術篇】2023年一般製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-yi_ban_zhi_zao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>今年一般製造業CIO主要挑戰是企業ESG目標，優先程度甚至比數位轉型還要更高。這個戰略方向的聚焦，也反映到一般製造業的新興科技採用意願，除了爆紅的ChatGPT浪潮同樣吹進了製造業之外，碳足跡儀表板是另一個和ChatGPT並列的熱門新興技術，超過2成2的一般製造業者今年要導入，幾乎是每四到五家就有一家要建置</strong></span><strong style="font-size: 22px;">。</strong></p> <p><strong style="font-size: 22px;">值得注意的是小資料（Samll Data）快速崛起，甚至在今年開始進入爆紅新興科技，和上述兩項並列為，一般製造業2023年三大爆紅技術。另外，IT預算和人力有限的一般製造業，在數位轉型需求下，多雲混合雲架構、敏捷開發、RPA流程自動化、LoCode/NoCode開發都是為了兼顧成本和開發需求而進入了今年的主流領域。</strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-%E5%8E%9F%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:45作者王宏仁https://www.ithome.com.tw/article/157980
【iThome CIO大調查：新興技術篇】2023年高科技製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-gao_ke_ji_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>高科技製造業今年格外加碼數位轉型的力道，也帶動了多項雲原生技術的採用力道，但是，從新興科技雷達圖來看，高科技製造業者更看到ChatGPT浪潮帶來的可能性，成了今年是唯一進入爆紅項目的新興技術。</strong></span></p> <p><span style="font-size:22px;"><strong>不過，這一波追趕加碼意味濃厚的數位轉型需求，仍然帶動了高科技業者，在今年加速擁抱各項雲原生技術、IT現代化技術的採用需求，這也反映到這個產業對IT基礎架構和AP開發類別上相關技術的採用率上。不只是多雲混合雲架構、K8s和容器技術成為這個產業的IT基礎架構，在開發領域上，中臺架構設計、微服務架構、DevOps和LowCode/NoCode開發，都成了今年的主流。值得注意的是安全新興技術如SBOM和DevSecOps也開始崛起。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E9%AB%98%E7%A7%91%E6%8A%80-600-PNG(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E9%AB%98%E7%A7%91%E6%8A%80-600-%E5%B0%8F-PNG(2).png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/157995
【iThome CIO大調查：新興技術篇】2023年服務業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-fu_wu_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;">新常態帶來的線上線下OMO整合浪潮，大大影響了服務業今年的新興技術採用布局。除了ChatGPT也是服務業的爆紅新興科技，CDP顧客數據平臺成了與ChatGPT技術並列的兩大服務業2023超夯技術。這兩項超夯技術，也帶動了相關新興科技的崛起，甚至像可以用來整合各類型資料的資料湖，也在今年成了服務業的主流新興科技之一。</span></strong></p> <p><strong><span style="font-size:22px;">而隨著ChatGPT受到重視，負責任AI技術的採用，也開始受到高度關注，成了快速崛起的新興科技之一。在疫情期間大力發展線上平臺的服務業，K8s容器技術和DevOps逐漸成為基本能力或技術，但是，服務業對這兩項技術的採用率在今年反而些微下滑，反映出並非所有開發需求，都適合這兩項技術，值得關注。</span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%B0%8F%E5%9C%96-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/157997
【iThome CIO大調查：新興技術篇】2023年金融業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-jin_rong_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>對金融業而言，今年開始進入數位轉型的中後期，許多大型轉型工程進入後半段的深化應用階段，雖然IT預算依舊成長，但開始趨緩，也直接反映到數位轉型投資呈現大幅下滑的現象。金融業對於新興科技採用也出現了很大的變化。ChatGPT雖然是唯一一個今年火爆的新興技術，但金融產業仍舊高度謹慎，嘗試尋找出更適合的應用場景進行驗證。</strong></span></p> <p><span style="font-size:22px;"><strong>另外，多項原本積極採用的新興技術的採用率開始下滑，例如像是RPA流程自動化、微服務架構等，這兩項仍有很高的採用率，但金融業開始更慎選適合的應用方式或系統。另外，值得關注的是有多項進入主流的新興科技，像是DevSecOps和國外新興的平臺工程，都是金融CIO今年更看重的新興技術。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E9%87%91%E8%9E%8D%E6%A5%AD-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E9%87%91%E8%9E%8D%E6%A5%AD-600-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/158000
【iThome CIO大調查：新興技術篇】2023年醫療業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-yi_liao_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>醫療產業在2023年面臨了許多技術抉擇的大挑戰，尤其在電子病歷上雲的法規鬆綁之後，醫院開始積極評估原有HIS系統上雲的可能性。尤其許多醫院的HIS系統使用久了，也到了需要升版改版的時機，趁著改版之際，同時採用新一代的IT現代化技術，擁抱雲原生架構，是許多醫院CIO正在思考的重大決策。</strong></span></p> <p><span style="font-size:22px;"><strong>但是，這也讓醫院面臨許多新興技術的採用決策，可以看到今年醫院對於新興技術的採用有很大的變動。雲原生相關技術的採用率快速提高，而架構選擇上，微服務架構、中臺架構設計、Open AI架構都成了醫療業的主流新興技術，值得關注的是，以病人為中心的思維盛行，帶動了醫院更重視病患的個人數據管理，可以看到CDP平臺在醫療業爆紅。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E9%86%AB%E7%99%82%E6%A5%AD-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E9%86%AB%E7%99%82%E6%A5%AD-600-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/158001
【iThome CIO大調查：新興技術篇】2023年政府學校新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-zheng_fu_xue_xiao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;">各產業中，政府機關與學校是最積極採用ChatGPT與相關GPT類LLM技術的產業。甚至，可以說每4個政府機關或學校，就有一家機構想要採用。不過，值得思考的是，從調查結果可以看到，負責任AI的採用率是0%，可能有少數有意採用的政府機關，不在調查樣本範圍內而導致，但是這個結果反映出，政府學校對於負責任AI的採用意願更低。</span></strong></p> <p><strong><span style="font-size:22px;">另外，從我們今年CIO大調查可以看到，值得關注的是政府機關擁抱零信任的政策方向，不只反映到資安，也開始影響到政府部門的開發發展，政府部門不只這幾年開始大力投資DevOps，也可以看到，對於DevSecOps的需求大增，也帶動了這項新興科技快速崛起，成了政府機關與學校今年的主流技術之一。</span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-PNG.png" style="width: 599px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/158002
【iThome 2023 CIO大調查系列5】搜索IT新戰力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年iThome發表臺灣第一份企業新興技術雷達圖，披露大型企業對四大類31項新興技術的採用熱度，今年不只增加到34項，更進一步發布6大產業的新興科技雷達圖，哪項爆紅？哪些主流？又有哪些技術正在退燒？一張圖清楚掌握！</p> </div></div></div>
2023/7/31 09:12作者王宏仁https://www.ithome.com.tw/article/158009
【資安日報】7月28日，惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前有<a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html">資安業者趨勢科技揭露勒索軟體BlackCat（Alphv）的攻擊行動</a>，駭客假借提供WinSCP等知名應用程式的名義，透過惡意廣告引誘受害者上當。現在資安業者Sophos有新的發現，攻擊者用來入侵受害電腦的惡意軟體，是另一家<a href="https://www.esentire.com/blog/persistent-connection-established-nitrogen-campaign-leverages-dll-side-loading-technique-for-c2-communication">資安業者eSentire於1個月前發現的惡意程式Nitrogen</a>，並指出駭客的目標是北美的科技產業及非營利組織。</p> <p>網頁伺服器Tomcat遭到駭客鎖定的現象，也值得IT人員留意。資安業者Aqua Security揭露長達2年的攻擊行動，並指出駭客運用多達12種Web Shell來作案，但大部分的攻擊行動都是在網頁伺服器植入殭屍網路Mirai。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://news.sophos.com/en-us/2023/07/26/into-the-tank-with-nitrogen/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用惡意軟體Nitrogen發動勒索軟體攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nitrogen-05.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nitrogen-05.png" style="width: 300px; float: right;" /></a>資安業者Sophos揭露名為Nitrogen的惡意軟體攻擊行動，駭客在Google、Bing搜尋引擎上架惡意廣告，假借提供遠端桌面軟體AnyDesk、FTP用戶端軟體WinSCP、VPN軟體Cisco AnyConnect、磁碟管理軟體TreeSize Free的名義，散布Nitrogen，目的是竊取受害電腦資料及從事網路間諜行動，然後部署勒索軟體BlackCat（Alphv），目標是北美的科技產業及非營利組織。</p> <p>一旦使用者依照指示點選搜尋引擎上的廣告，就會被帶往冒牌的應用程式下載網站，或是指示下載惡意軟體的YouTube影片，進而取得駭客提供的ISO檔案，其內容為遭到竄改的應用程式安裝程式install.exe，以及惡意的DLL程式庫msi.dll。</p> <p>若是使用者執行安裝程式，此DLL檔案就會透過側載的方式執行，建立C2通訊並於受害電腦植入名為Meterpreter的Shell程式，以及Cobalt Strike Beacon，而在Meterpreter啟動後，攻擊者會改以手動操作執行後續流程。</p> <p><a href="https://blog.aquasec.com/tomcat-under-attack-investigating-the-mirai-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Tomcat網頁伺服器遭到鎖定，被植入Mirai病毒並用於挖礦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tomcat-ddos.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tomcat-ddos.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露鎖定Tomcat網頁伺服器的攻擊行動，他們在近2年內於自己建置的密罐陷阱（Honey pot）裡，偵測逾800次的攻擊行動，當中駭客運用了12個不同的Web Shell，根據攻擊者的目的，大致上能區分成3種類型，這些包含了植入殭屍網路病毒Mirai並用於DDoS攻擊、部署挖礦軟體來挖掘比特幣，以及混沌型（Chaos）惡意軟體──此為新型態的勒索軟體變種，現在也被用於DDoS攻擊行動。</p> <p>研究人員指出，在這些攻擊行動裡，96%與Mirai有關；有20%的攻擊當中，駭客運用名為neww的Web Shell，透過暴力破解來取得Tomcat伺服器的存取權限，然後部署WAR檔案，該檔案內含檔案名稱為cmd.jsp的Web Shell，監聽來自遠端的請求，並於伺服器上執行任意命令，最終部署殭屍網路病毒Mirai。</p> <p><a href="https://www.ithome.com.tw/news/157978"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電玩決勝時刻玩家遭到惡意軟體攻擊</span></strong></a></p> <p>微軟併購動視暴雪（Activision Blizzard）已進入最後階段，傳出近日動視暴雪修復老舊伺服器，讓多款舊版決勝時刻（Call of Duty）的玩家可以重溫舊夢。但有玩家發現，駭客也藉此散布惡意軟體。</p> <p><a href="https://techcrunch.com/2023/07/27/hackers-are-infecting-call-of-duty-players-with-a-self-spreading-malware/">根據科技新聞網站TechCrunch的報導</a>，駭客疑似入侵決勝時刻：現代戰爭2（Call of Duty: Modern Warfare 2）的遊戲大廳，隨機挑選玩家並將目標電腦的DirectX部分DLL元件，置換成惡意檔，發動遠端執行任意程式碼（RCE）攻擊。有人將惡意程式上傳VirusTotal，部分防毒軟體將其識別為Generic或BehavestLike，其中一名使用者分析此惡意軟體，發現其具備蠕蟲的特性，一旦玩家遭到感染，也會在遊戲大廳散布此惡意程式。但究竟攻擊者是誰？有待進一步調查。對此，動視暴雪已暫時下架該款遊戲。</p> <p><a href="https://www.bleepingcomputer.com/news/security/8-million-people-hit-by-data-breach-at-us-govt-contractor-maximus/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國政府服務承包商Maximus證實遭遇MOVEit Transfer攻擊，至少800萬人個資受到波及</span></strong></a></p> <p>7月26日美國政府業務承包商Maximus向當地證券交易所（SEC）提出8-K表單，表示該公司遭遇了資料外洩事故，起因是遭到了MOVEit Transfer零時差漏洞攻擊，該公司估計有800萬至1,100萬人的個資受到影響，包含了他們的社會安全碼、受保護的健康資訊，以及其他個人資料等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/wordpress-ninja-forms-plugin-flaw-lets-hackers-steal-submitted-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Ninja Forms出現漏洞，恐讓駭客竊取送出的表單資料</span></strong></a></p> <p>資安業者Patchstack揭露WordPress外掛程式Ninja Forms的漏洞，這些漏洞有可能讓攻擊者提升權限，或是竊取用戶資料。</p> <p>其中的CVE-2023-37979是基於POST的反射式跨網站指令碼（Reflected XSS）漏洞，未經授權的攻擊者可用於提升權限，然後利用特製網頁愚弄具備特殊權限的使用者，進而竊取資訊。</p> <p>另外兩個漏洞是CVE-2023-38393、CVE-2023-38386，漏洞來自該外掛程式的提交表單匯出功能，攻擊者可用來破壞存取控制，只要透過訂閱者或是分享者的身分，就能藉此漏洞匯出所有使用者提交的資料。開發商獲報上述漏洞後，於7月4日發布3.6.26版予以修補。</p> <p><a href="https://www.bleepingcomputer.com/news/security/zimbra-patches-zero-day-vulnerability-exploited-in-xss-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zimbra修補已出現攻擊行動的XSS零時差漏洞</span></strong></a></p> <p>Google威脅情報小組研究人員7月中旬針對電子郵件系統Zimbra提出警告，他們發現已被用於攻擊行動的零時差漏洞，該漏洞與跨網站指令碼（XSS）有關，當時Zimbra提出了緩解措施，並呼籲IT人員儘速手動套用。到了26日，Zimbra發布了8.8.15 Patch 41、9.0.0 Patch 34、10.0.2版修補上述漏洞，並指出該漏洞已列管被登記為CVE-2023-38750列管。</p> <p>而對於該漏洞的影響，Zimbra指出，若不處理可導致內部JSP與XML檔案曝露。美國網路安全暨基礎設施安全局（CISA）於27日發布資安通告，要求聯邦機構於8月17日完成修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://maia.crimew.gay/posts/fuckstalkerware-2/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗跟蹤軟體Spyhide從6萬臺安卓手機竊取通話記錄、簡訊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/lazarus-hackers-linked-to-60-million-alphapo-cryptocurrency-heist/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣支付業者Alphapo遭北韓駭客Lazarus攻擊，損失6千萬美元加密貨幣</span></span></strong></a></p> <p><a href="https://coinspaid.com/tpost/0zx28tmj51-coinspaid-is-back-to-processing-after-be"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣支付業者CoinsPaid證實遭遇網路攻擊，北韓駭客Lazarus盜走逾3,700萬美元加密貨幣</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157983"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Ubuntu檔案系統元件OverlayFS存在漏洞，4成用戶曝險</span></span></strong></a></p> <p><a href="https://www.hackread.com/check-point-report-microsoft-phished-brand/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Check Point指出，微軟是今年第2季網釣攻擊駭客最愛冒用的品牌</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a></strong></p> </div></div></div>
2023/7/28 15:43作者周峻佑https://www.ithome.com.tw/news/157996
WhatsApp發表影片訊息功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.whatsapp.com/introducing-instant-video-messages?lang=en" target="_blank">Meta旗下的傳訊程式WhatsApp本周宣布</a>，繼文字與語音之後，已開始於全球部署影片訊息功能，讓使用者可錄製與傳送60秒內的影片，預計未來幾周即會部署完畢。</p> <p>Meta最後一次公布WhatsApp的全球用戶數應是在2020年，當時的WhatsApp擁有超過20億用戶，雖然臺灣使用者對它並不熟悉，但它在巴西、印度、義大利、阿根廷、瑞士、芬蘭、德國、奧地利、荷蘭與西班牙的滲透率都超過9成，如同臺灣的Line。</p> <p>根據WhatsApp的說明，該平臺認為以影片來分享某個時刻將是個有趣的方式，不管是要祝對方生日快樂，因笑話而開懷大笑，或是發布好消息。</p> <p>在WhatsApp傳送影片訊息的方式與傳送語音訊息類似，只要切換至影片模式，就能長按以錄製影片，或是向上滑動來鎖定錄影功能，以鬆手來錄製影片。而在聊天室中開啟影片時它會自動以靜音播放，使用者再點選影片即可開啟聲音。此外，它亦採用端對端加密以確保訊息安全。</p> <p>其實先前WhatsApp即具備傳送影片的功能，只是新功能省略了許多步驟，此外，上個月已有許多Android及iOS用戶率先收到了相關的更新。</p> </div></div></div>
2023/7/28 16:15作者陳曉莉https://www.ithome.com.tw/news/157998
Amazon Bedrock可讓企業開發AI助理，新增模型、供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/2023/7/aws-expands-amazon-bedrock-with-additional-foundation-models-new-model-provider-and-advanced-capability-to-help-customers-build-generative-ai-applications" target="_blank">AWS本周在AWS Summit大會上宣布</a>Amazon Bedrock增加新的底層模型、模型供應商，以及供企業開發AI助理的功能。</p> <p><a href="https://www.ithome.com.tw/news/156411" target="_blank">Amazon Bedrock是AWS今年4月宣布的AI模型雲平臺</a>，可供企業選擇市面上知名的AI底層語言模型，包括AI21Labs、ChatGPT、Anthropic、Stability AI及AWS自家模型Titan。在最新升級後，Bedrock新增模型供應商Cohere，其底層模型Command是文字生成模型，可被訓練來遵照用戶指令，執行企業應用任務，像摘錄重點、編寫文字、回答問題、汲取資訊與產生對話。而Cohere的文字理解模型Embed則可用於搜尋、聚集和分類任務，支援100多種語言，讓組織能以意義搜尋或分類文字。</p> <p>Bedrock原有供應商也提供新一代底層模型，包括Anthropic Claude 2及Stability AI的Stable Diffusion XL 1.0。Claude 2現在每次對話能接收最多100,000 token，等同數百頁或甚至一本書，也能撰寫比前一代更長的文件，像是數千token的備忘錄或故事。Stability AI則提供Stable Diffusion XL（SDXL）1.0。SDXL 1.0是文字轉圖片模型，比前一代的0.9版能生成色彩更精準、解析度更高、光影表現更佳的圖片。SDXL 1.0也會整合到機器學習中心Amazon SageMaker Jumpstart，後者提供用戶演算法、模型和解決方案。</p> <p>此外，AWS也新介紹Agents for Amazon Bedrock，這項雲端代理程式功能可讓開發人員（或使用者）更容易開發生成式AI聊天機器人或助理，處理多種企業應用作業、或根據企業自有資料庫回答問題。AWS宣稱，只要滑鼠點幾下，這個代理程式就能拆解任務，擬定協助計畫，完全不需人撰寫程式。它會透過簡單API連結企業資料系統，自動將資料轉換成機器讀取的格式，再補足相關資訊產生更精準的回應。它還能自動呼叫API完成用戶需求，像是保險公司可開發生成式AI應用程式，協助保險業務員自動化理賠申請、管理紙本作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-Agents%20for%20Amazon%20Bedrock.png" style="width: 600px;" /></p> <p>AWS表示，由於是全代管程式，這代理程式可大幅減少不必要的整合及基礎架構作業，使開發人員只需單純處理生成AI應用開發的工作。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> </div></div></div>
2023/7/28 14:23作者林妍溱https://www.ithome.com.tw/news/157985
Stability AI公布最新文字轉圖片模型Stable Diffusion XL 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://stability.ai/press-articles/stable-diffusion-xl-1-featured-amazon-aws-bedrock" target="_blank">AI新創公司Stability AI本周公布</a>最新版文字轉圖片模型Stable Diffusion XL（SDXL）1.0，強化圖片生成的品質與功能，新版模型產生的圖片色彩更鮮明、準確，對比、光影表現更佳，也強化圖片生成速度，最少只要5張圖片就能客製化。</p> <p>Stable Diffusion XL（SDXL）1.0是參數最多的開放存取圖片生成模型之一，基礎模型擁有35億個參數，模型組合管線則高達66億個參數，其優化器（refiner）能為基礎模型產出圖片加入更準確的色彩、更高對比及更多細節。也加快了生成速度，幾秒鐘就能生成多種長寬比的1024x1024高解析度圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-Stable%20Diffusion%20XL-2.jpg" style="width: 600px;" /></p> <p>Stability API也強化微調、客製化功能，讓用戶可用最少只需5張圖片就能針對特定人士、產品或物件客製圖片。新功能目前正在和幾家合作夥伴測試，未來幾周內會正式釋出。</p> <p>SDXL 1.0是繼4月的Beta版、6月僅供研究用的SDXL 0.9版後的商用版本。Stability AI指出，4月以來，用戶從其Clipdrop App已生成3,500萬張圖片，而Stability AI的Discord社群也生成了2萬張圖片。</p> <p>SDXL 1.0目前已可透過Stability AI API、Stability AI的<a href="https://github.com/Stability-AI/generative-models" target="_blank">GitHub頁</a>，以及Clipdrop和DreamStudio App存取。</p> <p>此外，Stability AI也宣布SDXL 1.0將登上AWS AI模型服務Amazon Bedrock。4 月推出的Amazon Bedrock提供多家AI底層模型，包括Stable AI，提供用戶生成圖片、logo或其他視覺設計。SDXL 1.0則是本周Amazon Bedrock最新更新的底層模型之一。此外，AWS機器學習演算法中心Amazon SageMaker JumpStart也將加入SDXL 1.0。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_Stability AI</span></span></p> </div></div></div>
2023/7/28 14:58作者林妍溱https://www.ithome.com.tw/news/157990
AI趨勢周報第223期：創作影片更簡單了，ShortGPT用AI自動化編輯和配音合成工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0721～0727)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">影片創作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ShorGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 配音合成 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>創作影片更簡單了，ShortGPT用AI自動化影片編輯工作</strong></span></p> <p>最近，GitHub上出現一款強大的AI框架ShortGPT，能用來簡化影片創作工作，包括配音合成、影片編輯、撰寫腳本等，來提高自動化程度。進一步來說，ShortGPT有一套以LLM為導向的影片編輯語言，來驅動整個自動化編輯框架。而且，這個語言將編輯流程拆解為可管理和可自定義的區塊，讓大型語言模型更容易理解流程意義，也因此讓ShortGPT能為各種編輯流程，生成提示和腳本，來加速自動化編輯，並提供立即可用的資源給創作者。</p> <p>不只如此，ShortGPT還提供多種語言的合成配音，目前支援英語、西班牙語、阿拉伯語、法語、德語、義大利語、葡萄牙語和波蘭語，尚未有中文。此外，ShortGPT還能生成影片字幕，並具備影片資源管理功能，能透過Pexels API來從網路尋找圖像和影片畫面。最後，ShortGPT還應用輕量級資料庫TinyDB來確保自動編輯變數的一致性，能記住使用者偏好和設定。現在，使用者可在Google寫作開發平臺Colab上執行ShortGPT。ShortGPT頗受歡迎，目前開源2周，已累積了2,700多顆星星。<a href="https://github.com/RayVentura/ShortGPT">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/hpoSHq-ER8U" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yahoo日本 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line與Yahoo日本也擁抱OpenAI API服務了</strong></span></p> <p>近日，由韓國Naver集團和日本軟銀集團合資成立的子公司Z控股，與OpenAI簽訂企業協定，來讓Z控股旗下員工能使用OpenAI所有API服務，包括大型語言模型GPT-4、GPT-3.5、GPT-3，文生圖模型DALLE·E，語音轉文字模型Whisper，用來判斷文字敏感度的Moderation，以及衡量字符串相關性的Embeddings等。也就是說，包含Line集團、Yahoo日本在內的2萬多名員工都能使用這些API，用來優化內部作業流程。比如，這些API可用來快速建立文檔和電子郵件模板、能修改草稿、研究、文字內容分類、翻譯和新點子建議等。Line集團和Yahoo日本也會在各部門推廣生成式AI應用，來提高生產力和服務品質，並發想新服務。</p> <p>為因應AI技術進展，Z控股也做了不少相應措施。比如今年6月，Z控股成立生成式AI應用促進辦公室，由63位來自Z控股、Line和Yahoo日本等成員組成，來討論相關應用。今年3月，Z控股還制定了生成式AI使用指南，來規範和促進生成式AI的使用，而且自2021年6月起，他們也與外部專家進行一系列AI倫理專家討論，來制定服務安全政策和使用者自願使用AI的規則，更在去年7月制定了《Z控股集團AI倫理基本方針》，作為安全使用AI並保障用戶隱私的策略。</p> <p>不只是制定規則，Z控股內部也開始應用生成式AI，比如Yahoo日本營運的餐廳訂位服務PayPay Gourmet，<a href="https://about.yahoo.co.jp/pr/release/2023/07/19b/">在今年7月就使用OpenAI的ChatGPT外掛</a>，來讓使用者用說的，就能找到想要的餐廳並定位。<a href="https://linecorp.com/en/pr/news/en/2023/4636">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Chatbot Arena </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span></p> <p><span style="font-size:22px;"><strong>哪個LLM表現最好？ Chatbot Arena線上工具讓你測試還排名</strong></span></p> <p>由加州大學伯克萊分校和CMU學生成立的大模型系統組織（LMSYS Org）開發一款線上工具<a href="https://chat.lmsys.org/?arena">Chatbot Arena</a>，能讓使用者同時測試2款大型語言模型，只要輸入問題，2款模型就會同步即時回答，再由使用者評估2者表現，如誰表現好、平手或都不好，再進行下一輪測試。</p> <p>Chatbot Arena收錄了16款開源和閉源模型，採隨機方式讓使用者測試，評分後才揭露模型名稱。該工具用Elo指標來對模型排名，特別的是，Elo沒有最高或最低分數，而是比對手多得100分的模型，預計會贏得64%的比賽，比對手多得200分的模型預計會贏得76%的比賽。目前，Chatbot Arena排行榜第一名是GPT-4，其次是Claude-v1、GPT-3.5-turbo，以及用ChatGPT對話資料微調LLaMA而成的Vicuna-33B與13B版本。<a href="https://lmsys.org/blog/2023-05-03-arena/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-07-28%20131740.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LogAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日誌分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Salesforce打造日誌分析函式庫LogAI並開源</strong></span></p> <p>CRM龍頭廠商Salesforce最近打造一款<a href="https://github.com/salesforce/logai?ref=blog.salesforceairesearch.com">日誌（Log）分析函式庫LogAI</a>，可用來處理電腦系統產生的原始日誌，還支援日誌分群、摘要等分析任務，以及日誌異常偵測與根因分析（Root-cause）等智慧任務。而且，LogAI採用OpenTelemetry日誌資料模型，能兼容不同日誌管理平臺的格式，並提供視覺化的GUI介面。此外，LogAI還為熱門的統計、時間序列和深度學習模型提供統一的模型介面，可輕鬆對日誌異常偵測的深度學習算法進行基準測試。</p> <p>一般來說，電腦系統產生的日誌，可幫助開發者了解系統行為、找出問題，但傳統的日誌分析通常仰賴人工手動進行，借助AI則能加速這個過程。於是，團隊打造LogAI，由LogAI核心函式庫和LogAI GUI組成，LogAI GUI可讓使用者連接到核心函式庫中的日誌分析應用程式，並透過GUI互動介面來可視化分析結果。<a href="https://blog.salesforceairesearch.com/logai/">（詳全文）</a></p> <p><img alt="" src="https://lh6.googleusercontent.com/HMJLv5H27nEcLaPlW2dJ64L-hVbFYQlaJ4np1dVGu4LnEMFaLLQ7wajVV6e0rd0uIbnEBOPFyjNfrIYeRY8-UwK888J4CUsh5duupvWfuNsi_DBrWpA2XRtDCYeAt61gr_yR1FXWQxLyRASkPAG5MmY" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 安全 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI、微軟和Google等7大AI巨頭向白宮承諾將維護AI安全</strong></span></p> <p>日前，美國7大AI龍頭承諾白宮，將對AI風險做出安全控管。這些業者包括OpenAI、微軟、Amazon、Google、Meta、Anthropic和Inflection，他們將推動安全、可靠和透明的AI技術發展，比如在AI系統釋出前，進行內外部安全測試，以及願意與該產業、政府、社會和學術界分享AI管理資訊。此外，他們也將投資網路安全和內部威脅防護機制，以保護私有及未發表的模型權重，另外也將與第三方合作，來找出AI系統漏洞。</p> <p>另一方面，為提高民眾信任，這些企業也將打造可標記AI生成內容的技術，像是浮水印系統，也會公開對外說明其AI系統的能力、限制，以及適用和不適用的領域。他們也會針對AI系統可能帶來的社會風險展開研究，諸如避免有害的偏見與歧視，同時保護隱私，並將發展、部署可協助解決社會關鍵挑戰的先進AI系統，如預防癌症、減緩氣候變遷。同時，美國也與國際合作，要建立一個國際框架，來管理AI的開發與使用，目前已與澳洲、加拿大、巴西、德國、印度、新加坡、韓國等逾20國就自願承諾進行協商。<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/21/fact-sheet-biden-harris-administration-secures-voluntary-commitments-from-leading-artificial-intelligence-companies-to-manage-the-risks-posed-by-ai/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 艾倫研究所 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大腦地圖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></p> <p><span style="font-size:22px;"><strong>艾倫研究所要打造人類大腦地圖，還要用生成式AI找洞察</strong></span></p> <p>艾倫研究所（Allen Institute）在美國國立衛生研究院（NIH）的資助下，用AWS平臺技術打造一套腦知識平臺，來繪製人類大腦地圖，要找出阿茲海默症和帕金森氏症等神經疾病的成因，並進一步找出最佳療法。</p> <p>艾倫研究所啟動為期5年的人腦地圖繪製專案，聯手全球17家研究機構的神經科學研究員，在腦知識平臺上繪製一張全新、完整且精確到單個細胞的腦部地圖。團隊計畫用Amazon SageMaker機器學習平臺來管理資料，未來也會部署生成式AI，來將龐大、複雜、多模態的資料轉化為洞察。同時，艾倫研究所資料暨技術主管Shoaib Mufti還會帶領團隊，與AWS一起用腦部地圖建立全球最大的腦細胞開源資料庫，將成為人類首次針對哺乳動物大腦結構和功能進行彙編、標準化的大規模資料集。<a href="https://aws.amazon.com/blogs/industries/executive-conversations-building-the-brain-knowledge-platform-with-shoaib-mufti-data-and-technology-lead-at-the-allen-institute-for-brain-science/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中國附醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 病歷紀錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>口述10秒就完成病歷記錄，中國附醫推醫療生成式AI系統</strong></span></p> <p>中國附醫採用微軟生成式AI服務，開發出智海系統（gHi system），是首套以華文建立的生成式語音智慧醫療系統，能根據醫護口述，快速轉換為文字，來完成病歷的撰寫，減少醫護人員輸入病歷75％的時間，讓醫護人員更專注於患者照護。</p> <p>進一步來說，傳統手寫或鍵盤輸入病歷資訊，不只耗時，還容易出錯。為克服語音轉文字的準確度，中國附醫AI中心找來微軟，利用微軟Azure平臺上語音轉文字服務，辨識口述內容，再用同平臺提供的GPT-4模型，來摘要、分析，提取關鍵資訊，10秒就能自動生成專業醫療術語和建議。中國附醫指出，該應用可用於新病人面談問診、護理語音記錄、住院病歷撰寫、專業檢查報告輸出，甚至還能客製化生成等，大幅縮短撰寫醫療報告的時間。<a href="https://news.microsoft.com/zh-tw/generativeai-medical/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2023/07/MicrosoftTeams-image-6-1536x1153.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BI </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS一口氣推出7大生成式AI新功能</strong></span></p> <p>AWS最近在宣布推出7項生成式AI新功能，像是程式撰寫助手Amazon CodeWhisperer與Amazon Glue整合、Amazon QuickSight新增生成式BI功能，以及智慧醫療新服務AWS HealthScribe等，要來降低使用門檻，讓開發者和業務都能使用。比如，新功能之一的全託管基礎模型服務Amazon Bedrock全面擴展，新添許多基礎模型、模型供應商和代理功能，知名AI新創Stability AI、Cohere和Anthropic都加入，他們的熱門語言模型Claude 2和最新版文生圖模型包Stable Diffusion XL 1.0也都納入Bedrock，來給使用者採用。</p> <p>此外，Amazon EC2 P5執行個體正式可用了，來加速生成式AI和高效能運算應用，訓練時間最多可從幾天縮短到幾小時，降低40%訓練成本。其他新功能還有可用於Amazon OpenSearch Serverless的向量引擎，方便使用者整合資料；而寫程式AI助理Amazon CodeWhisperer整合Amazon Glue，開發者可用英語編寫特定任務。再來，Amazon QuickSight還新增生成式BI功能，幫助企業輕鬆找資料、發現並分享洞察。</p> <p>同時，AWS推出的Amazon HealthScribe，醫療軟體供應商可用來打造臨床應用程式，像是用生成式AI來產出臨床文件，節省醫生時間。而且，醫療軟體供應商還能利用單一個API，自動建立可靠的記錄、提取關鍵訊息（如醫學術語和藥物），並根據醫病對話建立摘要，然後將這些資料輸入到電子病歷系統。<a href="https://aws.amazon.com/blogs/aws/top-announcements-of-the-aws-summit-in-new-york-2023/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2023/07/25/agents-for-amazon-bedrock-intro.png" /></p> <p>圖片來源／RayVentura、Chatbot Arena、Salesforce、AWS、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟Teams企業版加入美妝用AI，讓用戶亮麗上鏡頭視訊</strong></p> <p><strong>2. 微軟正在測試Bing Chat執行於Chrome、Safari等瀏覽器</strong></p> <p><strong>3. ChatGPT Android App即將開放下載</strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/7/28 11:46作者王若樸https://www.ithome.com.tw/news/157979
Android開始部署不明追蹤警告，可以逮到AirTag了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/unknown-tracker-alert-google-android/" target="_blank">Google周四（7/27）宣布</a>，將開始部署不明追蹤警告（Unknown Tracker Alert）功能至Android 6.0及以上的裝置，以讓使用者得以發現跟著他們的未知藍牙裝置，惟初期僅能逮到蘋果的AirTag。</p> <p>像是AirTag等藍牙追蹤器可以繫在寵物、鑰匙圈或包包上，方便使用者尋找自己的物件，但也有人用以追蹤不屬於自己的物品或是用來追蹤其他人。蘋果的iOS內建了偵測機制，可偵測不屬於自己的AirTag，但Android用戶就必須額外下載蘋果所釋出的Tracker Detect來偵測AirTag。</p> <p>而Google本周的舉動，即是為了協助Android用戶偵測到不屬於他們的藍牙追蹤裝置。根據Google的說明，此一更新將會讓Android裝置自動察覺附近有不屬於同一使用者、且持續跟著它的藍牙追蹤器，同時發出警告。使用者則可藉由該警告要求該陌生的藍牙追蹤器發出聲音，也能查看該藍牙追蹤器的資訊，像是追蹤器的序號，或是控制該追蹤器的手機後4碼，也可提供資訊來教導使用者如何關閉該追蹤器。</p> <p>此外，Android用戶也可透過手機設定，來手動掃描附近的不明藍牙追蹤器。</p> <p>不過，目前此一功能僅支援蘋果的AirTag，Google正與其它藍牙追蹤器的製造商合作，以擴大所支援的追蹤器品牌。</p> <p>另一方面，為了促進藍牙追蹤器的隱私與安全，<a href="https://www.ithome.com.tw/news/156681" target="_blank">Google與蘋果在今年5月攜手宣布</a>將共同制定規範來處理不明追蹤，此一規範的主要目的是打擊濫用藍牙定位追蹤裝置所進行的不明追蹤行為，正式規範預計會在今年底出爐。</p> <p>為此，Google也決定暫緩推出原本要在今年夏天出爐的新版Find My Device網路，此一服務可允許Android用戶尋找屬於自己的藍牙配件，以及其它使用第三方藍牙追蹤器的物品。根據Google的說法，延後推出的原因是要等待蘋果於iOS中導入相對應的保護措施。</p> </div></div></div>
2023/7/28 13:23作者陳曉莉https://www.ithome.com.tw/news/157984
研究人員警告，4成Ubuntu含有漏洞風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability" target="_blank">來自Wiz Research的兩名資安研究人員Sagi Tzadik與Shir Tamari在26日指出</a>，Ubuntu中含有兩個與OverlayFS有關的權限擴張漏洞，影響了40%的Ubuntu用戶，而且以前的攻擊程式就適用。不過，<a href="https://ubuntu.com/security/notices/USN-6250-1" target="_blank">Ubuntu在25日已藉由釋出Ubuntu 23.04</a>，修補了包括這兩個漏洞在內的8個安全漏洞。</p> <p>OverlayFS為一Linux檔案系統，由於它可在預先建構好的映像檔上部署動態檔案系統，因而隨著容器的興起而變得更熱門，然而，由於非常權用戶經常得以利用使用者命名空間（User Namespace）存取OverlayFS，使得它成為吸引駭客的攻擊表面。</p> <p>Tzadik與Tamari說，基於Linux的Ubuntu在2018年針對OverlayFS模組作了許多變更，雖然這些變更並未帶來任何安全風險，但Linux Kernel專案在2019年與2022年執行的OverlayFS變更卻與Ubuntu的作法衝突，而分別產生了<a href="https://ubuntu.com/security/CVE-2023-32629" target="_blank">CVE-2023-32629</a>與<a href="https://ubuntu.com/security/CVE-2023-2640" target="_blank">CVE-2023-2640</a>漏洞。</p> <p>有鑑於它們是基於Ubuntu的變更才衍生的，因此這兩個漏洞並未波及其它Linux作業系統。根據Ubuntu的說明，這兩個漏洞源自於Ubuntu中的OverlayFS在特定情況下無法妥善檢查權限，而允許本地端駭客擴張權限。</p> <p>值得注意的是，那些過去鎖定OverlayFS漏洞所開發的攻擊程式，完全不需要修改就能攻擊<a href="https://ubuntu.com/security/CVE-2023-32629" target="_blank">CVE-2023-32629</a>與<a href="https://ubuntu.com/security/CVE-2023-2640" target="_blank">CVE-2023-2640</a>，Ubuntu用戶最好儘速修補。</p> <p>至於Ubuntu 23.04本周所修補的其它漏洞，則皆直接源自Linux Kernel。</p> </div></div></div>
2023/7/28 12:42作者陳曉莉https://www.ithome.com.tw/news/157983
產業觀察：金融擁抱ChatGPT真正痛點不是成本，找出適用場景更重要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當ChatGPT浪潮吹進臺灣時，企業又愛又擔心，尤其是金融業，從iThome 2023年CIO大調查結果可以看到，高達6成金融業者的第一反應是，強化自家員工的ChatGPT資安意識，甚至有近4成6的金融業者更是直接下令在內部網路中禁用ChatGPT相關網址，深怕不小心就外流了企業的機敏資訊到上面而曝光。</p> <p>不過，也有2成金融業者反過來鼓勵自家員工試試看，更有39%金融業者開始評估，各種生成式AI的可行性，金融業看重生成式AI的企業比重，遠高於整體產業的平均比例，這也反映出ChatGPT浪潮，開始讓金融業認真看待生成式AI的價值和可行性，而且比其他產業更加的積極思考生成式AI在企業應用的可能性。</p> <p>一方面高度警戒，另一方面又高度感興趣，金融業對ChatGPT浪潮的反應相當兩極，這反映出，金融業想要擁抱ChatGPT，但是，擔心背後風險的不可控程度，真正的問題不是要不要用，而是該怎麼用它？</p> <p>ChatGPT去年剛現身時，就以擬人般的對話能力獲得高度關注，不過，有位銀行資訊主管一看到這項新技術，第一時間就要求客服團隊先不要用。「這項技術的不確定性，出現任何一個閃失，都可能造成顧客的災難。」這位IT主管私下這樣對我說。</p> <p>銀行是一個無法容忍誤差的行業，甚至是，所有銀行資訊系統中，與金錢有關的資料欄位，都避免甚至禁止使用浮點數，尤其是交易類的系統，就是為了確保每一筆錢的計算都精準，不能有任何小數點。（真要有小數點下的計算，透過乘以需要的倍數，例如乘以1,000倍來放大原本小數點下的位數，確保小數點下的數值位數可控，一樣可以用整數型別處理法規所允許的小數點下的數值計算）</p> <p><strong>為何摩根大通銀行年初下達ChatGPT暫時限用令？</strong></p> <p>正是擔心ChatGPT相關技術的不可控性和不確定性，所以，就算是目前率先開始評估ChatGPT的金融圈先行者，也不敢輕易就直接運用到交易系統，或是直接面對顧客的場景中，如公開表明正在進行ChatGPT技術評估的摩根大通集團，旗下銀行第一時間也先對員工下達暫時限制使用令，不只國外，臺灣也有銀行發布了ChatGPT內部禁用令。</p> <p>從頭打造一套ChatGPT背後大型語言模型和訓練成本可能上億美元，相當驚人，但對<a href="https://www.ithome.com.tw/news/157061">2023年IT預算高達153億美元（約臺幣4,700億元）的摩根大通集團</a>而言，1億美元只是IT預算的幾個百分比零頭，禁用ChatGPT不是IT預算不足的問題。</p> <p>更不用說，摩根大通這幾年發展的AI應用案例超過300個，涵蓋了風險、潛在顧客挖掘、市場行銷、顧客體驗和詐欺防範等領域的AI應用案例，例如在消費市場領域，已有25個利用AI來提供個人化的產品和顧客體驗應用，創造了2.2億美元的價值。</p> <p>在2023年投資者日活動（5月22日）時，摩根大通全球資訊長Lori Beer更透露，這300個應用已經影響了10億美元的業務價值，這是摩根大通在2021年訂下的3年目標，但提前在去年達成，因此，摩根大通今年甚至將AI對業務影響金額的KPI目標，提高到了15億美元。摩根大通集團，非常清楚，AI對金融業可以帶來的業務實質價值。</p> <p>摩根大通不是因為錢，也不是不清楚AI的價值，會因為AI人力不足而無法用ChatGPT嗎？</p> <p>統計到2023年，摩根大通集團擁有900多位資料科學家，600位機器學習工程師和1千多名資料管理人員，更有一個200人規模的AI專門研究團隊，他們自己揭露，在知名銀行AI成熟度指標Evient AI評比上，摩根大通名列第一。所以，AI研發人力更不是摩根大通集團不敢輕易用ChatGPT技術直接面對顧客的關鍵門檻。</p> <p>更不用說，不只Open AI、微軟，連Google、Nvidia、AWS等科技巨頭，都開始透SaaS服務形式，來提供ChatGPT類技術，或GPT類LLM模型的商用服務，透過公雲服務等級的法遵配套，以及商業契約形式的機敏資料約束擔保（如保證上傳資料不會用於契約外的運用）。</p> <p>以目前實務經驗來看，企業使用SaaS形式的GPT技術服務，每個月所需要投入的費用其實不算高，有位臺灣新創執行長告訴我，只需數百美元就能嘗試不少GPT類應用。</p> <p>SaaS服務的好處是可以用多少付多少。從Open AI在3月初開始提供商用ChatGPT模型客製化服務後，陸續看到不少企業嘗試上傳自己的資料，來微調（Finetune）客製版ChatGPT模型，不過，先前那位對客服下達禁用令的銀行IT主管，也對微調客製化模型，先說「不」。</p> <p><strong>不是不用，場景和時機更關鍵</strong></p> <p>「不是不用，而是時機未到！」他認為：「需要到調校模型的前提是，AI模型產生的結果，雖不完美但可以接受時，才值得做。」所以，他要求下屬直接用現成生成式模型，進行概念驗證，根據他的評估，目前還沒到需要投入資料，進行微調的階段。</p> <p>這位金融主管的想法，與英國頂級休旅車公司捷豹路虎Jaguar擔心的ChatGPT長期成本考量一樣。捷豹路虎的擔心是，日後若想要將SaaS形式ChatGPT類技術服務，客製運用到不同的任務用途，每一次，只要需求、任務有些微不同，就需要一筆少少的微調費用，看似不多，但積數百個「少」會變成真的「多」，這個不可預估總成本的不確定感，讓他們轉而思考，能不能從Prompt提示問題下手。<a href="https://www.ithome.com.tw/news/157976">捷豹路虎經驗也很有意思，請看另文補充</a>。</p> <p>對金融業者而言，<strong>想要擁抱ChatGPT，真正的痛點是如何找出使用場景。</strong>而且不只金融，對同樣高度擔心ChatGPT不確定性和不可控性的任何產業或企業，都是如此。</p> <p>就我觀察，多數開始嘗試ChatGPT的企業，仍把生成式AI視為文章產生器的技術，來提高生產力，不論式產生行銷文章，或是內部研究報告，專案計畫內容等，本質上都同樣是文章生成。</p> <p>目前最可能的ChatGPT或GPT類LLM技術的使用場景，我認為是，<strong>用ChatGPT優化內部作業流程，提高內部的生產力</strong>。舉例來說，在保險場景運用生成式AI的可能性最高。</p> <p><strong>生成式AI應用可能：保險員內訓場景</strong></p> <p>這幾年，保險業早就開始運用Chatbot技術，來訓練新進的保險業務員，傳統做法上，新進保險業務人員，得閱讀大量文件或者觀看大量事先錄製的教育訓練影片，來訓練與顧客的應答。已經有臺灣的金融業者，開始評估如何運用到保險業務的內部訓練上，像是運用AI來整理或摘要，大量（尤其對新人來說）保險產品或相關說明文字的搜尋。</p> <p>這正是為何<a href="https://www.ithome.com.tw/news/155956">摩根士丹利財管使用GPT-4來支援理財顧問</a>的案例，引起各國金融業熱烈討論的緣故，包括臺灣金融圈。這家公司用GPT-4來整理龐大的現成公開知識來支援真人理財顧問，讓這些顧問更有能力面對外面顧客，而不是直接用AI來提供面對外面顧客的客服機器人。</p> <p>不是用來直接面對顧客，而是透過「人機協作」策略，讓人作為把關的窗口，也能善用既有的稽核、審查、控管流程或機制，來發揮目前仍有高度不確定性和不可控性的ChatGPT技術。</p> <p><strong>AI人機協作待解課題：真人變AI圖章</strong></p> <p>不過，長期來說，這種人機協作還是有一個課題待解，會不會讓這些新手保險業務員，喪失了過去那種靠辛苦自學而來的成長能力，反正有AI幫我整理和摘要，我就可以不用那麼辛苦自學，靠「人」作為把關，資深人員是靠過去「非AI輔助」的經驗來建立這樣的判斷人力。</p> <p>可是，10年後，新一代「AI輔助」下的保險業務員，變成老手後，會不會失去了足夠的真假判斷能力，仍舊靠「能力不足」的真人老手來把關，容易淪為「只是蓋章背責」的真人圖章，這是當前教育界，思考ChatGPT技術對學生影響的長期反思，不過，大家都還沒有答案，都在思索中。看重短期效益的業界，更需要好好參考的教育界對生成式AI長期思考的經驗。</p> <p>面對新技術，總是得不斷嘗試，<strong>不是問能不能用，而要思考，怎麼用更適合。</strong>文☉王宏仁</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E7%94%A2%E6%A5%AD%E8%A7%80%E5%AF%9F">金融產業觀察</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/%E6%91%A9%E6%A0%B9%E5%A4%A7%E9%80%9A">摩根大通</a></div><div class="field-item odd"><a href="/tags/%E4%BA%BA%E6%A9%9F%E5%8D%94%E4%BD%9C">人機協作</a></div><div class="field-item even"><a href="/tags/gpt-4">GPT-4</a></div><div class="field-item odd"><a href="/tags/llm">LLM</a></div></div></div>
2023/7/28 11:06作者王宏仁https://www.ithome.com.tw/voice/157977
病毒感染舊版《決勝時刻》電玩用戶Windows PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日大復活的知名多人射擊電玩《決勝時刻：現代戰爭2（Call of Duty: Modern Warfare 2）》疑似出現病毒感染玩家，可能已經散布超過一個月。目前該遊戲已經被暫時下架。</p> <p>由於微軟收購動視暴雪（Activision Blizzard）成功率大增，近日動視修復老舊伺服器，使許多電玩經典《決勝時刻》舊版本得以輕鬆匹配，加上Xbox得以回溯相容前代軟體，吸引大量老玩家使用PC及Xbox回鍋重溫舊時記憶。</p> <p>但<a href="https://steamcommunity.com/app/10190/discussions/0/3810656756190466074/" target="_blank">6月底Steam討論區開始有用戶發出警告</a>，2009年發行的《決勝時刻：現代戰爭2（Call of Duty: Modern Warfare 2）》發生病毒感染玩家電腦。一名用戶分析，攻擊者可能是駭入遊戲大廳，隨機挑選感染目標，並透過遠端程式碼執行（RCE）在受害者電腦執行程式，將DirectX和音效相關的DLL檔置換成惡意檔案。這名用戶呼籲遊戲用戶啟用掃毒軟體。</p> <p class="rtecenter"><a href="http://steamcommunity.com/app/10190/discussions/0/3810656756190466074/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-Call%20of%20Duty-Trojan.png" style="width: 600px;" /></a></p> <p><a href="https://www.virustotal.com/gui/file/cb000abed31b92b4f3f895a633ef0ffaf01a1be0dfc73619acf98c1605a5999d/detection" target="_blank">VirusTotal</a>上部分防毒軟體偵測到這隻程式，分別命名為Generic或BehavestLike。另一名用戶分析樣本，指出這可能是隻蠕蟲程式，用戶遭到感染後，也會在大廳中散布該程式。感染這隻蠕蟲後，該Dll檔會註冊該大廳，使受害者無法加入遊戲或發起遊戲。<a href="https://techcrunch.com/2023/07/27/hackers-are-infecting-call-of-duty-players-with-a-self-spreading-malware/" target="_blank">Techcrunch引用追蹤該遊戲人數網站報導</a>，一個月前迄今有大約600名玩家玩過這遊戲。</p> <p>至於是誰發動這波攻擊，目的為何尚不清楚。<a href="https://www.tomshardware.com/news/call-of-duty-players-are-being-hit-with-self-spreading-malware" target="_blank">《Tom's Hardware》</a>報導，攻擊事件僅發生在以PC連線的用戶，若是以Xbox遊戲機連線的用戶則似乎不受影響。</p> <p><a href="https://twitter.com/CODUpdates/status/1684295189849071618" target="_blank">不過昨日遊戲發行商動視透過X說明</a>，已暫時從Steam將該款電玩拉下，並展開調查。</p> </div></div></div>
2023/7/28 11:23作者林妍溱https://www.ithome.com.tw/news/157978
用專家默會知識強化AI需求預測力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0724-itshu_zhai_-1p-aixu_qiu_yu_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用需求預測AI應該以新產品為目標。</p> <p>根據我的感覺，現有的商品存在著過去的數據，因此應用統計學的時間序列模型就足以預測其需求。這是基於預測精確度的事實依據。</p> <p>當然，前所未有的大型行銷活動、社群媒體的話題傳播、疫情之類的劇烈環境變化無法預測，之後的需求預測很難只靠時間序列模型也是事實。但許多商品的短期需求預測，只要能夠確實管理統計學的需求模型，就有機會達到足夠的精確度。畢竟AI也很難應付這些突如其來且前所未有的環境變化與策略，時間序列模型的精確度極有可能遠勝於AI。</p> <p>至於沒有過去數據的新商品，各個業界都以因果模型處理。他們整理出哪些要素影響需求，並參考擁有類似要素的基準商品的銷售實績，這種方法具有預測精確度較高的傾向。</p> <p>然而整理出需求的因果關係，需要擁有該商業領域的深入知識。至少也必須具備足以理解多元迴歸分析的統計學知識。因此根據我的印象，在很多行業中，建立自己公司因果模型的企業仍然不多。</p> <p>除了時間序列模型與因果模型之外還有判斷性模型。譬如應用德菲法或AHP的模型，以及預測市場等，這些都是嚴謹的方法，在某些商品上的預測精確度甚至有可能超越因果模型，然而就花費與技術需求的觀點來看，能夠運用這種預測模型的企業非常之少。廣泛使用的判斷性模型不是由上而下的數字目標，就是將業務負責人報告的數字往上疊加的思考邏輯，這些方法往往具有主觀性高、精確度低的問題。</p> <p>從這些企業的實際狀況來看，新商品的需求預測，尤其在發售之前仍有很大的改善空間。</p> <p>即使是AI，在學習資料的選擇與創建，也必須參考背後的因果關係。不過，只要能夠準備一定數量的數據，可能並不需要像統計模型那樣，把因果關係整理得那麼完備。</p> <p>不斷地有人指出，AI預測存在有根據不明確的缺點，但隨著新的演算法逐漸開發出來，透明度也愈來愈高。我想，日後AI有可能會發現人類尚未察覺的需求法則。</p> <p>綜合以上所述，我認為如果想要引進需求預測AI，建議優先考慮用在新商品上，尤其是在發售之前。不過，以AI取代現有的預測模型沒有意義，最好兩者併用。</p> <p>關於預測根據的說明力，統計模型較占優勢。此外，如果擁有許多要素類似的基準商品的銷售實績，譬如商品在改版前的銷售狀況，時間序列模型或因果模型就有機會達到極高的精確度。</p> <p>採取先進需求預測的全球性企業，使用的是三角測量式概念（Triangulation），以多種預測模型評估各預測值的合理性，考慮如何透過SCM與庫存計畫進行風險管理。我認為AI在這方面可以得到有效的應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_AI%E9%9C%80%E6%B1%82%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88-600-2.png" style="width: 436px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_商周出版</span></p> <p><span style="font-size:28px;"><strong>成功實現商品訂購自動化的食品超市</strong></span></p> <p>我從二○一七年開始參與需求預測AI的開發，原本以為只要讓AI學習來自公司內外的大量數據，就能提高AI的預測精確度。</p> <p>但這個方法卻行不通。因為一家企業的新商品相關數據頂多只有數百個樣本，不足以作為AI的學習資料。離開實驗室來到現實的商業環境後，經常出現像這樣的數據量限制，這時候「學習資料的管理」就變得相當重要。</p> <p>評估不同商品的AI預測結果，就會發現有的精確度高，有的精確度低。由此推測在需求的因果關係方面缺乏某些資訊。想要有效解決這個問題就不能只是蒐集分散公司內部各處的數據，如果有必要也必須感測或創造新的數據。</p> <p>舉例來說，如果缺乏關於顏色的資訊，就去研究室尋找。為了表現外國旅客的喜好，分析過去受歡迎的商品特徵，並設計指數也能順利發揮作用。公司內部的BI（Business Intelligence）沒有需求預測觀點的數據，因此需要由該領域的商業專家創造數據以表現需求的因果關係，我稱之為「假設驅動的數據管理」。</p> <p>像這樣創造AI的學習資料，在其他行業似乎也變得同樣重要。分店遍及全日本的食品超市集團LIFE Corporation，在全國分店引進需求預測AI的自動化訂購。他們從需求預測的角度，整合以箱為單位訂購和散裝訂購的商品編碼、考量早晨與傍晚等不同時段的需求特性，充分運用只有零售現場的專家才能想到的智慧。</p> <p>這樣的數據建立工作花費了將近一年半的時間，而這種AI的預測精確度，也達到傳統主觀預測的訂購負責人同樣的程度。</p> <p><span style="font-size:28px;"><strong>累積符合商業課題的數據</strong></span></p> <p>人類在數據分析的速度與準確性方面比不上AI。但人類擁有靈活的發想力，唯有人類才能蒐集並創造有效的學習資料，因此AI與商業人士協作時的重點就在這裡。人類的其中一項優勢就在於，即使數據模糊或不完整，依然能夠根據這樣的資訊進行預測。</p> <p>但這樣的預測含有偏誤及雜訊，導致預測精確度降低。需求預測必須考量的要素由人類設定，至於要素的比重或許可交由AI決定。</p> <p>開發AI的商業人士，需要具備思考「利用AI可以解決哪些商業課題，而解決這些課題又需要累積什麼數據」的能力。</p> <p>以需求預測為例，需要思考的就是：</p> <p><span style="color:#B22222;"><strong>● 哪些因素可能影響需求？</strong></span></p> <p><span style="color:#B22222;"><strong>● 這些因素具體來說該衡量哪些數據？</strong></span></p> <p><span style="font-size:28px;"><strong>利用專家的默會知識設計AI學習資料</strong></span></p> <p>常有人戲稱，不使用統計學的需求預測，靠的是直覺、經驗與膽量，但隨著AI開始被應用於需求預測的實務當中，我覺得人們將再次開始重新評估這樣的作法。</p> <p>在目前的階段，先不論只靠基本數據、銷售實績、庫存資訊以及少許外部環境因素（譬如天氣和人口動態等）就能進行預測的商品，許多商品（服務）的需求，大幅受到宣傳、賣場魅力、銷售員的商品說明等難以定量化的市場因素影響，這些商品就很難開發預測精確度高的AI。</p> <p>舉例來說，現在已經知道高價化妝品與服飾的需求，大幅受到店內銷售員對商品的介紹影響，卻很少有企業對此進行定量評估，並累積充分數量的體系化數據。如果是該領域的專家，應該能夠從經驗中得知哪些要素會影響這項商品的介紹。設計一個機制將這些要素化為數據，並在盡量不增加負擔的情況下持續累積，就變得非常重要。</p> <p>這時，找出過去的需求預測專家所使用的、來自經驗的直覺到底是什麼，就變成一件重要的事情。</p> <p>這樣的直覺不應該是胡亂猜測，而是立基於來自經驗的默會知識，所以才能在實務當中擁有一定程度的精確度。</p> <p>問題不在於預測邏輯，而是這樣的思考歷程一直以來都沒有被視覺化。</p> <p>商業中的需求預測，並非培養或聘雇一名頂尖的規劃師即可。擁有一個組織，能夠擴大預測的技術、並磨練維持技術的能力相當重要，這就是組織學習。</p> <p>換句話說，有必要設計出能夠長期持續的流程或機制，並建立起重視需求預測的組織文化。</p> <p>這方面可以參考一橋大學榮譽教授野中郁次郎提出的知識創造理論。默會知識是知識間的碰撞，而我對這句話的解釋是，商業領域的專業人士之間，針對彼此的假說認真議論，並藉由這樣的過程所形成的形式化知識。</p> <p>這可以想像成，精通自家公司商品需求背後的市場、消費者、競爭者等的商業人士，彼此分享與實際銷售數據相關的各種數據，並且討論這些數據的解釋。</p> <p>實際上，我在二○一四年，也就是從事需求預測的第四年，就開始將這樣的過程體系化，現在已經有一套固定的機制。我們以這個過程中累積的知識為基礎，蒐集並創造AI的學習資料。此外也在AI的學習反饋迴圈運作的過程中，持續同樣的碰撞。這就是需求預測的知識管理。<span style="color:#696969;"><strong>（摘錄整理自《驚人的AI需求預測》第二章，商周出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_AI%E9%9C%80%E6%B1%82%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_商周出版</span></span></p> <p><span style="font-size:24px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">驚人的AI需求預測</span></strong></span></p> <p><strong>山口雄大（Yamaguchi Yudai）／著；林詠純／譯</strong></p> <p><strong>商周出版</strong></p> <p><strong>定價：400元</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20AI%E9%9C%80%E6%B1%82%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 120px;" /></p> <p><a href="https://www.amazon.co.jp/%E5%B1%B1%E5%8F%A3-%E9%9B%84%E5%A4%A7/e/B0887X68FD/ref=aufs_dp_fta_dsk" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>山口雄大（Yamaguchi Yudai）</strong></p> <p>NEC AI．分析事業總部需求預測技術傳教士。於青山學院大學擔任兼職講師（Supply Chain Management）。YCP Solidiance需求預測顧問。</p> <p>畢業於東京工業大學社會理工學研究科，早稻田大學經營管理研究科。在資生堂股份有限公司負責各種化妝品品牌的需求預測，曾擔任S&OP團隊經理，現任職於NEC。日本物流系統協會「將SCM與行銷結合！需求預測的基礎」講師。在《Journal of Business Forecasting》（Institute of Business Forecasting & Planning）等刊物發表需求預測的論文。</p> </div></div></div>
2023/7/28 12:00未署名https://www.ithome.com.tw/article/157910
上雲之後，需重新審視架構與成本
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於企業而言，當面臨IT基礎架構轉換平臺的時機，往往也會面臨類似價值觀須跟著改變的衝擊。</p> <p>以伺服器為例，從原本企業在機房自行管理改成放置到其他業者機房代管，甚至改用主機租賃服務，我們很快就會發現成本結構的變化——雖然管理負擔變輕了，能夠省下更多機房空間、設備電力、溫溼度環境維持費用，以及維護這些設備與環境的人力與時間，比起長期聘用專人負責設定管理維護、採購建置合適的機型，以及最終需要處理汰換、轉移等程序，相關支出可能得以精簡、趨於單純。</p> <p>然而，如果企業需要對這些不在直接控管範圍內的伺服器，進行細部處理時，勢必要犧牲一些原本大家不太在意的彈性與便利性，像是：企業或廠商提供的設備規格會受到機房環境的限制，而可能無法完全滿足客戶對於特定組態配置的偏好；系統管理人員無法馬上到設備前操作，而必須跨越實體距離，可能要搭乘交通工具，或經由網路對該設備進行遠端存取，或委託業者的人員就近操作。</p> <p>到了伺服器虛擬化平臺、軟體定義資料中心席捲企業IT基礎架構時，所涉及的IT服務能量調度，已不僅止於實體的伺服器、儲存系統、網路交換器等設備，而是同時夾雜經由虛擬化技術轉換而成的運算、儲存、網路資源，該如何決定各種應用系統該放在伺服器虛擬化平臺，進行系統與資源整併，或是交由獨立實體設備來承載，也成為關鍵考量。以企業自行管理機房的狀況而言，此時權衡整體IT成本的因素，還必須涵蓋到系統軟體使用授權的計價方式，因為不同廠牌、版本的伺服器虛擬化平臺、伺服器作業系統，以及使用的處理器核心數量、記憶體容量，可能影響IT支出，而為了避免過度負擔所謂的虛擬稅（vTax），企業在這些平臺執行的應用系統，勢必要進行某種程度的調整。</p> <p>而隨著雲端服務、容器化的浪潮崛起，企業導入這些技術的風氣越來越盛行，從單體走向分散式、微服務等架構的應用系統越來越多，再加上這幾年經歷COVID-19疫情、烏俄戰爭衝突，企業與組織都面臨數位轉型需加速推動的沈重壓力，使得各界對於「上雲」已不再像過去那麼排斥，然而，對於實際使用雲端服務的單位而言，除了因此更快取得可用的IT環境或應用系統服務，更大的規模擴充彈性，是否會出現預期之外的成本支出，仍是大家所擔心的部分。</p> <p>在7月19日舉行的2023 iThome 臺灣雲端大會，國泰世華銀行資深副總王志峰在主題演講中，提到他們將一套內部系統上雲時，就曾遇到這樣的成本衝擊與調整模式的經驗，<a href="https://www.ithome.com.tw/news/157921" target="_blank"><span style="color:#3399ff;">我們的採訪主任余至浩也在後續發布的報導談及此事經過</span></a>。</p> <p>他們起初是在公有雲服務設置一臺虛擬機器，將執行在虛擬機器的系統搬到這臺雲端虛擬機器執行，所有組態都沿用原本虛擬機器的設定，但他們後來發現這臺虛擬機器／應用系統的使用頻率並不高，每月只有一兩百次，卻要花上5萬元；後來他們決定將此系統搬回企業內部資料中心執行，並將其改寫為支援雲端原生架構的應用程式，之後再放到公有雲執行，若需要使用此系統時，才會啟動承載應用程式的雲端服務，平時沒用到就關閉、不啟動。當他們把這個系統調整成這樣的模式之後，他們觀察到相關雲端服務費用大幅縮減，相較於先前持續以整臺虛擬機器的方式執行，節省了一半以上。</p> <p>上述使用經驗的分享，其實只是該場演講內容的一小段，副總只講了3分鐘，很多人可能不一定注意到，我們卻覺得這十分寶貴，相當具有啟發性。因為過去我們聽過很多公有雲業者與協力廠商積極宣傳上雲好處，也聽過系統廠商提醒大家關注上雲成本，其實並不低，雙方各執一詞。企業與組織夾在中間無所適從，卻很少聽到大家討論如何調整既有系統的使用方式，以獲得最大好處，希望未來能有更多企業與專家現身說法，讓所有人了解興利除弊的關鍵概念與具體作為。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%B8%8A%E9%9B%B2%E6%88%90%E6%9C%AC">上雲成本</a></div></div></div>
2023/7/28 12:00作者李宗翰https://www.ithome.com.tw/voice/157944
不惜重構支付系統掌握技術力，全盈支付靠IT服務過百萬用戶
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年在疫情影響下，為避免接觸傳染，國內非現金支付快速成長，根據金管會今年5月統計，國內電子支付帳戶總數破2,440萬個，比臺灣總人口數還多。去年電支市場迎來新變化，2家具有零售背景的新進業者跨足電子支付，挾龐大雲售通路會員基礎切入市場，吸引更多人使用電子支付。</p> <p>其中一家新進業者是全盈支付金融科技（簡稱全盈），由超商、銀行和電商等三方投資成立，去年4月正式推出全盈+Pay，靠著大股東超商打下的零售通路基礎，在其龐大會員數及點數助攻下，全盈現已有超過10萬個消費合作支付點，開業1年達到150萬用戶，截至今年5月為止成長至超過160萬用戶，為市場後起之秀。</p> <p>全盈支付從公司成立，到正式推出電支服務，不到2年時間迅速累積100多萬用戶，背後打造IT系統支援業務發展的是全盈支付金融科技資訊科技處資訊長鍾明峰，他曾在遠傳電信加值服務部門任職，負責加值服務開發、系統維運。</p> <p>回憶過去在電信產業的工作經驗，電信產業相當注重服務高度穩定，核心業務以通話為主，以秒收費，如果服務系統出現異常，就會立刻造成營收的損失，手機無法通話、收發簡訊、無法上網，都可能產生客訴，並受到主管機關關切。讓他印象深刻的是，當時如果服務系統一出現異常，維護團隊就要立刻用跑的到現場維修，設法排除問題恢復正常服務，因為只要晚一秒恢復服務，都會造成營收的損失。</p> <p>然而，電信產業強調服務的穩定，到跨入金融科技領域，面對瞬息萬變的消費市場，需要快速反應消費需求、上線新功能，鍾明峰如何去適應IT工作角色及心態的劇變？</p> <p>在加入全盈之前，他進入國內老牌會員點數行銷公司任職，首次從電信產業進入消費零售產業，讓他體會到行銷零售需要和消費者站在一起，清楚掌握消費需求及體驗，才能提高銷售增加營收，會員點數行銷公司需要善用消費數據、會員點數，讓消費者使用點數折抵來刺激消費。</p> <p>過去他在電信業講求穩健、完美，新服務或功能的開發要考慮相當多因素，一個簡單功能，開發到100分後才會上線，往往要3到6個月後才會上線，開發出來的新服務或功能不一定受到用戶的青睞。但是，在零售行銷產業為了在短時間內趕上稍縱即逝的市場需求，必需加快開發的步調才能適應變化，「必需因應消費市場競爭，先做到70或80分，當新的服務成功後，再將它提升至100分」，鍾明峰說。</p> <p>從電信業要求的服務穩定、緊急應變，到零售行銷產業，站在消費第一線，隨時因應市場需求加速開發，讓鍾明峰深深感受到過去10年IT工作的明顯變化，以更豐富的IT經驗挑戰金融科技領域。</p> <p><span style="font-size:28px;"><strong>將支付工具化嵌入其他業者的服務</strong></span></p> <p>相較於其他電支業者，以電子支付為中心，推出獨立支付App，串接各種消費通路，全盈在經營策略上，不以支付為中心，因此沒有推出獨立App，而是將電子支付工具化，嵌入到其他業者服務裡，例如成為超商會員App的支付選項之一，也進入社區生活管理、職場等其他場域。</p> <p>此外，過去電支業者投入大量的行銷補貼，祭出各種消費優惠、折扣來吸引消費者，快速衝高用戶數，全盈雖然也提供補貼，但相比於競爭對手，到去年12月為止，全盈投入的行銷金額僅有將近5千萬元。儘管不以大筆金額補貼消費，其用戶數仍穩定成長突破百萬，合作支付點總數超過10萬，這項成績的背後少不了IT團隊的付出。</p> <p><span style="font-size:28px;"><strong>自己重構核心支付系統掌握技術力</strong></span></p> <p>身為電支生力軍，全盈必需從無到有建立系統，剛開始在籌備時期，他們選擇由金流資服業者為其客製化的電子支付系統，這套系統原先是為第三方支付所設計，經過效能測試發現無法滿足短時間內大量交易的需求，在後續調校過程裡，發現要改動調整之處愈來愈多，加上全盈的策略需要嵌入第三方服務，還有代發、代扣、Account Link尚待開發，最後決定以這套系統為基礎，改由自家技術團隊來重構系統，針對其中的部分模組進行優化。</p> <p>「我們希望IT核心競爭力掌握在自家公司技術部門，自己掌握整個交易支付的核心，也能將Know How留下來」，鍾明峰表示，這樣也能讓工程師學習整個系統，知道每個系統的內涵，如何針對每個模組改寫，對IT團隊是一項考驗，自己重構系統，也能增加對系統管理的信心。</p> <p>全盈重構系統時，首重改善效能，在資料庫方面，原本所有運算邏輯集中於一個SQL DB處理，一項功能的處理可能要花費較多的時間，資料運算都仰賴一個資料庫處理，資料庫只要效能降低，就可能造成全國的交易都因此變慢，服務風險相當高。因此團隊重構時，逐步把集中式的資料庫，改為由不同的功能性資料庫來處理，例如負責交易處理的DB、Log管理的DB、管理帳戶會員的DB等等，將各個功能分工到不同的DB處理。</p> <p>「這麼一來，即使出現狀況就能降低風險，也能讓系統輕量化，進一步提升韌性」，鍾明峰表示，全盈重構優化的工作直到今年1月告一段落，將各個運算功能分散到不同功能性的資料庫處理，現在單位時間內可承受流量是原本的5倍以上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CIO-2P-%E6%96%87%E5%BD%AC-%E5%85%A8%E7%9B%88-600.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 24px;"><strong>全盈支付資訊科技處資訊長鍾明峰表示，透過基礎服務的平臺化，讓IT來服務IT，才能同時兼顧底層系統的穩定性，以及上層應用所需的擴充性。</strong></span></span></p> <p><span style="font-size:28px;"><strong>支付場域從線下到線上</strong></span></p> <p>電子支付為了增加支付點，業務端與零售商家談好合作後，由IT團隊負責將支付系統和商家POS系統串接，不只是線下的支付場域，目前電子支付也逐漸往線上交易發展。</p> <p>以全盈為例，除了擴大零售支付點，也透過SDK將自家的電子支付嵌入到第三方服務App，成為其他業者的金流服務工具，擴大線上支付應用。</p> <p>鍾明峰表示，透過SDK嵌入第三方業者的App中，「等於將SDK當成數位POS機」，提供App所需的交易服務，換言之，全盈的策略是，當SDK有愈來愈多樣的功能，就能賦能第三方業者，達到與合作業者雙贏的局面。不只是提供支付，因全盈是金融科技業者，甚至可進一步提供第三方業者無法做到，但金融業者能夠提供的應用，例如代發或金融串接服務。</p> <p><span style="font-size:28px;"><strong>改善電支使用體驗</strong></span></p> <p>全盈掌握技術力的結果，特別會反應到一個有意思的指標上。由於金融業受到高度監管，民眾會寫陳情信給主管機關，金融業者就會收到主管機關轉發的陳情信，全盈對陳情信的重視，鍾明峰笑稱，公司內部甚至將收到陳情信的多寡視為KPI，也就是「績效」，去年約每個月會收到一封陳情信，但今年到6月為止，僅收到2封，相當於IT的「績效」成長3倍。</p> <p>這個IT「績效」顯著提升的背後，是IT團隊努力的結果。鍾明峰舉例說明陳情案例，民眾在店家使用電子支付結帳時，可能因交易過程逾時，店員告知民眾交易失敗，但過了不久，民眾卻從手機收到銀行通知交易成功，店家因交易失敗無法順利結帳，銀行通知交易成功，民眾可能重新再操作一次交易，甚至質疑該電子支付服務出現問題或是懷疑遭駭，向主管機關陳情。</p> <p>他解釋，由於電子支付交易過程涉及店家、電子支付業者及綁定的銀行，從店家掃碼，經過電子支付到後端銀行扣款，有時可能會因為銀行內部處理交易，需經過多個系統，每個系統處理花費時間雖然不多，但最後完成處理需要花費比較多的時間，前端的店家交易系統因為逾時顯示交易失敗，但銀行最終仍會完成扣款，發送交易成功通知消費者。</p> <p>對IT來說，容易理解交易過程為何產生這樣的結果，但對消費者而言，並不是很好的使用體驗，甚至可能改用手機內的其他行動支付服務，因此，全盈IT重視負面使用體驗，他們花費相當多時間優化用戶體驗，當一方顯示交易失敗，另一方交易成功時，如何調整整個交易體驗，讓消費者感到安心。</p> <p>如果短時間內湧入大筆交易，對整個交易體驗更是一項考驗，例如全盈支付和超商合作，針對超商會員日祭出咖啡優惠價格，會員日開始的第1分鐘就吸引上千筆訂單，由於民眾的搶購心理，會員日活動剛一開始，不少訂單甚至在前10秒湧入，為內部系統複雜的銀行帶來不小的壓力，需要較長的時間處理大量交易。為避免再出現塞車的情形，全盈對整個交易過程建立監控機制，透過觀測或是從指標監控端到端的交易流量，對卡住的交易額外進行處理。</p> <p>除了優化使用體驗之外，支付產業必需和多樣化的零售通路業者合作，才能建立龐大的支付生態系，讓更多商家、場所支援電子支付，同時也吸引更多消費者願意使用，全盈發展嵌入式金融，IT同樣需要配合第三方業者的需求進行客製化，例如會員身分、串接金融服務等等。</p> <p>為了應付和多元消費通路、支付場域合作，目前全盈共有70多位員工，其中將近一半為IT技術人員，並有15個開發專案，鍾明峰坦言，扣除基礎、QA、PM等員工後，相當於1個人就負責1個專案，開發人力相當吃緊，雖然委託外部開發公司派遣人員協助開發，但未來仍希望逐步縮減專案數量，收斂在需求度更高的工作上。</p> <p>另外，目前全盈在程式設計的邏輯上，並沒有將電支的交易、帳務、行銷3個系統作好邏輯區隔，在同一個環境內，同一個程式裡系統彼此串接錯綜複雜，當配合行銷業務需要改動行銷系統，IT就需要擔心牽動其他系統，或是當新的功能上線，需要驗證帳務系統產生的會計科目正確與否。這對IT團隊造成龐大的工作負擔，因此他們接下來的目標，準備在明年下半年作好3個系統的區隔，並準備以微服務建立新的系統。</p> <p>另外，為了改善IT部門的工作效率、提升系統穩定性，他們也準備導入IT基礎服務的平臺化工程。鍾明峰表示，未來會在IT部門建立平臺工程，由一支負責平臺化團隊來服務其他開發人員，這群人維護底層的基礎平臺，例如共同的帳務、交易系統平臺化，其他開發人員可根據商業邏輯開發上面的應用。</p> <p>「透過基礎服務的平臺化，讓IT來服務IT，才能同時兼顧底層系統的穩定性，以及上層應用所需的擴充性」，鍾明峰說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>全盈支付資訊科技處資訊長鍾明峰</strong></span></p> <p>學歷：中山大學電機研究所</p> <p>經歷：2004年進入遠傳電信，任職於加值服務部門，具有加值服務技術開發、維運緊急應變經驗，2011年進入Happy Go點數行銷的鼎鼎聯合行銷資訊部，從經理、協理到資訊部長，並兼任資安官。2022年1月加入全盈支付擔任資訊長，帶領開發、維運、數據及系統等工作。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E5%85%A8%E7%9B%88-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%85%A8%E7%9B%88%E6%94%AF%E4%BB%98-300.jpg" style="width: 350px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／全盈支付</span></span></p> <p><span style="color:#3399ff;"><strong>全盈支付金融科技</strong></span></p> <p>地址：臺北市中山區中山北路二段96號5樓503室</p> <p>成立時間：2021年</p> <p>主要業務：電子支付</p> <p>員工數：72人</p> <p>年營收：1,700萬元（2022年）</p> <p>董事長：薛東都</p> <p>總經理：劉美玲</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊科技處資訊長</p> <p>資訊部門主管姓名：鍾明峰</p> <p>資訊部門人數：31人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2022年4月：全盈+PAY正式上線，支付SDK嵌入零售場景「全家便利商店」與社區場景「智生活」App</p> <p>2022年12月：支付SDK正式嵌入職場場景員工福利整合平台「STAYFUN」App</p> <p>2023年1月：智生活App內全盈+PAY「跨機構轉帳」服務正式上線</p> <p>2023年4月至7月：完成15家主要銀行帳戶串接；完成超過10萬個支付點的關鍵通路場景串接上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cio-2p-wen_bin_-quan_ying_-960.jpg" width="960" height="420" alt="" title="全盈支付資訊科技處資訊長鍾明峰。　（攝影／洪政偉）" /></div></div></div>
2023/7/28 12:00作者蘇文彬https://www.ithome.com.tw/people/157946
【iThome CIO大調查：新興技術篇】2023年整體產業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-zheng_ti_chan_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是iThome CIO大調查連續第二年，發表「企業新興技術雷達圖」。去年我們首度發表了整體產業的採用熱度雷達圖，今年更進一步，發表了6大產業各自的新興技術採用熱度雷達圖。這是第一份用來揭露臺灣大型企業對於新興科技採用熱度的技術決策參考，希望逐漸成為企業CIO們，評估新興技術時的參考，可以用來了解同一產業或整體臺灣企業對不同新興科技的採用決定。</p> <p>在今年大調查中的新興科技項目，和去年略有不同，調查總數從去年的31項，移除了2項，但增加了5項熱門和值得關注的新興技術，總數達到34項之多，並和去年一樣最後分為四大類來分析，包括「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」等四類。IT基礎架構有8項，包括了多雲混合雲架構、K8s與容器技術、AIOps（用AI優化IT維運）、5G專網、邊緣運算架構、無伺服器技術、SDDC（軟體定義資料中心）、並將新興維運浪潮SRE（網站可靠性工程）也納入IT基礎架構的項目中。AP架構與開發包括了中臺架構設計、微服務架構、Open API架構、DevOps、敏捷開發、DevSecOps、LowCode/NoCode開發、GitOps，並且納入了以改善開發者體驗（DX）和發展內部開發者平臺的平臺工程（Platform Engineering ），並將去年的CI/CD項目併入了DevOps，不再單獨列出。這一類共有9項。</p> <p>Data與AI類和去年的項目相比，今年有比較大的變化，除了延續去年的AI/ML應用、RPA流程自動化、行動AI應用、MLOps（ML流程自動化）、資料湖、AIoT、數據網格（Data Mesh），特別新增加了爆紅的ChatGPT/GPT類LLM、負責任AI、小資料（Small Data）和臺灣電商、零售開始重視的顧客數據平臺（CDP），不過，也將BigData大數據移除，不在列入新興科技的追蹤項目。Data與AI類今年有11項。</p> <p>無法歸類到上述三類的都是納入最後一類新興科技類別，包括了持續火熱的碳足跡儀表板、SBOM（軟體物料清單）、FIDO（網路身分識別）、混沌工程、今年回溫的區塊鏈和熱度下滑的AR/VR（元宇宙）共有6項。</p> <p>今年的新興技術雷達圖，延續了去年的作法，同樣參考了業界知名企業IT顧問公司Thoughtworks的技術雷達圖設計形式來設計。不過，Thoughtworks的做法是，找來一群技術專家評審多項技術，來決定這項技術的推薦推薦等級，而我們的作法則是，改讓數據說話，同樣在今年CIO大調查中，由IT主管自填，2022年已經採用和2023年想要採用的技術，再依據每一項新興技術的企業採用率高低和技術採用率排名變化，來設計這份雷達圖，並每一項技術歸類到四個等級，爆紅、退燒、主流和崛起，來供企業參考。</p> <p>如何將34項新興技術分類到這四類？今年同樣延續了去年的作法，最核心的「爆紅技術層」是指，連續2年，該年的新興技術排名暴增超過5名（以今年為例，就是2022年的排名超越5項技術，2023年的排名也超越了5項技術，如果去年超越5項，而今年只超越了4項，那就不會列入爆紅層）的新興技術，位於雷達圖中的最內層。反之，連續2年，每年都是排名掉了5名的技術，就會列入「退燒技術層」的技術。今年有許多新興技術，出現了反轉現象，例如去年落入退燒技術的區塊鏈，今年反而又開始熱了起來，但是採用率還不夠多，因此，改分類到「崛起技術圈」。</p> <p>除了最內圈的「爆紅技術層」和最外圈的「退燒技術層」，中間的「主流技術層」和「崛起技術層」如何區分？會以新興科技整體採用率平均值約24%，因此，今年的「主流技術層」和「崛起技術層」的分界線標準是12%，今年預估採用率超過了12%的新興技術就會列入主流技術層，而低於12%則列為崛起技術層。在新興科技雷達圖中，每項技術只會出現一次，除了已經列入爆紅和退燒之外，其餘則按照主流分界線標準12％，來區分。不過，去年的分界線標準是15%，今年整體平均採用率略低於去年，降低的原因，來自今年新增了多項更多項臺灣企業還在發展中的新興科技，例如平臺工程、負責任AI、小資料等。</p> <p>未來我們還會針對熱門技術趨勢，另外以調查專題形式，揭露ChatGTP、雲原生、DevOps等熱門技術浪潮的臺灣企業趨勢。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E6%95%B4%E9%AB%94%E7%94%A2%E6%A5%AD-600-%E5%8E%9F%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E6%95%B4%E9%AB%94%E7%94%A2%E6%A5%AD-600-%E5%B0%8F%E5%9C%96-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#FFA07A;"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> </div></div></div>
2023/7/28 12:12作者王宏仁https://www.ithome.com.tw/article/157975
LLM模型調校積百少成多的成本課題？捷豹路虎怎解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>捷豹路虎在今年初一場活動中，公開了擁抱生成式AI的經驗，展示如何只訓練一套內部用的客製化LLM模型，來通吃不同任務的做法，以節省日後大量微調小任務專屬模型訓練的後續費用。</p> <p>他們有一個服務車主的車用系統Pivi Pro，可提供對談式的互動介面，來查詢車主休旅車的各項操作設定，例如車主會問：「假日要到阿爾貝斯山健行，想到達山上小木屋，但路面都是很深的軟雪，要怎麼設定休旅車的駕駛模式。」不過，真正的挑戰是，就這樣一句話，車主會有百百種講法。</p> <p>捷豹路虎提供的車主手冊，內有非常詳細的操控文件，也都可以透過這個車上App來查詢，但是，車主得問對問題，用對關鍵字，才能搜尋得到。捷豹路虎不希望提供查詢的對話服務亂講與開車無關的空話，只能提供車主參考文件範圍的內容。</p> <p>所以，捷豹路虎將大量文件變成嵌入向量，連車主查詢文字也轉換成嵌入向量，來進行相似度比對，再提估最接近的內容給車主。他們先用BERT模型來做，效果還不錯，蒐集一些技術文件，車主資料，顧客意見調查的資料等，訓練出一款自己的模型稱為CarBERT。但還不夠好，因為當時他們所用的BERT參數量只有3.4億個參數，他們想要用1,750億參數的GPT 3來試看看。</p> <p>但是，這兩者的參數量差了500倍，他們評估，自己不可能重頭訓練出一套自己的NLP模型。而且這個作法還有一個課題，今天是車主文件的微調，如果是另一個主題的內容，或是另一種任務就得再微調一份新的模型。因為微調後的LLM模型，是客製化的專屬模型，無法用於其他用途，換句話說，微調後的客製化LLM模型，沒有通用性。</p> <p>捷豹路虎的擔心是，日後若想要將SaaS形式ChatGPT類技術服務，客製運用到不同的任務用途，每一次，只要需求、任務有些微不同，就需要一筆少少的微調費用，看似不多，但積數百個「少」會變成真的「多」，這個不可預估總成本的不確定感，讓他們轉而思考，能不能從Prompt提示問題下手。後來，他們嘗試了另一種提示工程的優化做法，不是微調語言模型，而是靠「微調提示文字（Prompts）」，來提高準確度和限定回答領域</p> <p>例如，車況設定有4種，a,b,c,d，a用於沙地，b用於雨天，c用於軟雪，d用於結冰，現在車主想問深軟雪的設定，若可以將整套車主文件都輸入，作為提示文字，再來比對車主的問題就可以比較準確的比對出更合適的車主文件內容。<br /> 可是，當時捷豹路虎遇到的技術困難是，提示文字的上限是4千個Token，大概3千多個中文字，放不下那麼多字的車主文件內容，怎麼解？</p> <p>捷豹路虎用了Nvidia的大型語言模型框架Nemo，提供的13億參數GPT3預訓練模型，但是這次他們用了P-Tuning作法，輸入的是一個「提示向量」，而不只是提示文字。<br /> 因為提示文字實際放到模型中來進行推論時，還是得先轉換成一個嵌入向量矩陣來進行推論計算。</p> <p>捷豹路虎所用的P-TUNING作法就是，直接將想要輸入的提示文字，先來訓練出一個輸入用的提示向量矩陣，這個方法也是業界會用的作法，稱為Ｐ-Tuning調校。換句話說，不是微調模型，而是透過優化提示向量的做法，來提高準確度。模型微調和Ｐ-Tuning調校，兩者也可以搭配使用。</p> <p>使用Ｐ-Tuning調校最大的好處是，捷豹路虎認為，可以先用大量企業內部資料，微調出一個內部客製化的GPT，然後再針對不同的小任務，改用提示向量優化作法P-tuning，微調輸入的提示向量來達到一套小任務的客製化模型，來實現，一套內部模型，通吃不同任務的做法，來省下日後大量微調小任務專屬模型訓練的費用。</p> <p> </p> </div></div></div>
2023/7/28 11:00作者王宏仁https://www.ithome.com.tw/news/157976
【廠商永續支援度盤點：IBM】最新一代z16大型主機產開始揭露生產的碳足跡資訊，還能透過碳排放資料平臺進行碳核算並自動…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，不少伺服器廠商都開始強化自身IT產品碳足跡透明度，甚至將其生產過程的產品碳足跡資訊列為必備的項目，IBM也是其中一家，早在2年前就開始揭露產品碳足跡資訊，一方面，要讓企業用戶可以更容易評估該產品生命周期的碳排放量對於企業的影響，來擬定減碳策略；另一方面，也因應歐盟CBAM碳關稅政策，未來對於企業出口到歐盟的高碳排商品可能實施碳稅要求。</p> <p>不只針對旗下新一代LinuxONE 4單機櫃伺服器、或FlashSystem儲存陣列等產品提供了碳足跡資訊，IBM在2022年推出的新一代大型主機z16也開始揭露其產品的碳足跡資訊，涵蓋了該產品生產製造、用戶使用、回收廢棄等過程中所預估的碳排放當量。</p> <p>臺灣目前不少金融業者採用其大型主機作為其核心系統，未來更加需要掌握這些大型主機產品碳足跡資訊。尤其，對金融業而言，比起較難以掌握範疇<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">3</span>碳排放資訊（以投融資組合為主），不少金融業者選擇先從範疇<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">2</span>間接能源的碳盤查和減量著手，其中IT機房也是高碳排來源之一，特別是大型主機每天需要應付頻繁且大量的金融交易處理，因此具有較高的能耗與更高的利用率，也帶來相對高的碳排放量，成為了主要減碳的重點。</p> <p>除了提供生產過程的產品碳足跡資訊，IBM去年推出了一個碳排放資料平臺Envizi，能用來蒐集和監控用戶使用大型主機產生的碳排放量。Envizi是IBM於2022年所收購的一家ESG數據和分析公司，並在併購後推出了同名產品。除了應用IBM大型主機外，Envizi也能用於計算和<wbr></wbr>管理自家伺服器、儲存等產品使用的碳排放數據，且不僅限於<wbr></wbr>IBM產品，其他第三方的IT或OT設備也可以使用。</p> <p> </p> <p><strong><span style="font-size: 28px;">內建碳排放計算引擎，能根據碳排係數進行碳核算，並能自動產出相關報表</span></strong></p> <p>為了準確計算其碳排放量，達到金融業的合規核算需求，Envizi平臺內建了一個碳排放計算引擎，可以根據使用者所在的電力公司或電力市場基準的碳排係數進行計算，將這些大型主機的電力消耗轉為二氧化碳當量，統一計算出其碳排放量。</p> <p>使用者匯入相關排放源數據到平臺中計算時，不僅可以使用電子表格、看板、網頁等形式手動匯入數據，還支援了電子郵件或FTP等自動化數據匯入方式，或是直接透過介接電錶API方式取得用電數據。</p> <p>在這套碳排放資料平臺中，不只提供碳核算功能，還內建有排放儀表板功能，IT維運人員或管理者可以透過儀表板察看使用大型主機在內的IBM產品的碳排放情況，同時也能根據不同年、月的排放量趨勢變化或分布情況進行比較和分析，還可以按照地理位置畫分，或依據不同核心業務功能來呈現這些資訊，來協助管理者擬定減碳方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(52).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">在這套碳排放資料平臺中，不只提供碳核算功能，還內建有排放儀表板功能，讓企業可以察看其使用大型主機在內的IBM產品的整體碳排放情況，還能根據不同年、月的排放量的變化進行比較和分析。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_IBM</span></p> <p><strong><span style="font-size:28px;">可即時察看單臺大型主機每日的碳排變化情形，但需要搭配另一套應用資源管理平臺</span></strong></p> <p>Envizi平臺進一步能與IBM的機房應用資源管理平臺Turbonomic結合，來取得每臺大型主機更詳細的電力使用數據，並在Turbonomic平臺上呈現計算後的碳排放結果。</p> <p>台灣IBM科技事業部永續軟體資深技術顧問林裕隆指出，Envizi平臺雖然可蒐集和監控整體IB<wbr></wbr>M IT設備的碳排數據，不過，若用戶想要即時察看每臺大型主機在不同時段的碳排變化情形，則需要搭配Turbonomic監控平臺，才能夠取得個別IT設備更即時且詳細的碳排資訊，例如能呈現每日離峰或尖峰時段的碳排分布趨勢等。</p> <p>此外，Envizi結合Turbonomic後，使用者還能進一步考慮到每個實體（如 VM 或容器）對於設備本身碳排的影響，進而優化能源使用，降低其碳排。</p> <p>這套碳排放數據平臺還支援多種報告工具。舉例來說，企業可以透過其內建的PowerReport功能，自動產生圖形報表，並能將這些數據匯出，結合其他相關的碳盤資訊做分析和運用，另外也支援了視覺化儀表板和自訂Excel報告製作方式。</p> <p>Envizi還提供了更自動化匯出方式，推出網頁API，讓企業可以將這些碳排資料數據彙整到自己的碳資訊整合平臺中，建立相關碳盤查報告，且支援第三方的平臺，如Power BI、Tableau數據分析平臺等。</p> <p>除了提供範疇2的碳數據核算和報告，Envizi同樣能應用於範疇1和範疇3。林裕隆表示，該平臺目前可管理500多種數據類型和40,000個排放係數，來確保計算出碳排放結果的合規性和正確性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(64).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">從Envizi平臺架構來看，分為三大類9大模組，整合了排放管理、ESG報告和脫碳分析的功能，其中在排放管理方面，提供包含範疇1 、2 、3的溫室氣體核算與報告，並支援目標設定和追蹤功能。在ESG報告方面，Envizi則提供多個主要的ESG報告框架，並支援建築評級基準及價值鏈調查和評估。在脫碳分析方面，則提供水電費等公用事業帳單分析、區間儀表分析及永續發展計畫的追蹤功能。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_IBM</span></p> <p>在這套碳數據平臺中，還提供多個不同功能儀表板，其中包含了費率分析儀表板和性能分析儀表板。費率分析儀表板可以用來追蹤消耗的碳排放情況，並評估脫碳目標達成進度，而性能分析儀表板則可以將碳排放數據和營業績效、目標及預算進行比較，讓管理者可以更清楚地了解碳排放對營業績效的影響。</p> <p>Envizi除了提供碳排管理之外，還有ESG報告和脫碳分析兩大功能，其中在ESG報告方面，可以支援如GRI、SASB、CDP等常見的ESG報告框架，方便企業根據所需框架來進行ESG報告製作，還推出永續發展報告管理器工具，可進一步協助使用者管理ESG資訊揭露的相關問題、工作流程等。另外，在脫碳分析上，則能透過分析間隔儀表、水電費等公用事業帳單，來優化或提升用電效率，進而降低碳排。</p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/7/28 11:12作者余至浩https://www.ithome.com.tw/news/157851
【資安日報】7月27日，有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前駭客嘗試將當紅的大型語言機器學習模型（LLM）ChatGPT用於網路犯罪，但後來開始有人製作專門用於攻擊的LLM，例如<a href="https://www.ithome.com.tw/news/157828#wormgpt">研究人員於7月中旬揭露的WormGPT</a>，而最近又有新的AI工具FraudGPT出現，值得留意的是，駭客標榜此工具不光能產生釣魚郵件的內容，還能製作多種類型作案工具，運用在不同型態的網路攻擊。</p> <p>隨著企業對於資安防護意識與認知的提升，越來越多受害組織不願付錢了事，對此，駭客也祭出過往未曾出現的施壓手法。例如，勒索軟體BlackCat（Alphv）就打算提供網站的API、爬蟲工具，促使有意購買資料的買家更輕鬆找到所需的檔案，並以此對受害組織施加更大壓力，迫使他們支付贖金。</p> <p>勒索軟體的威脅「不講武德」，再度出現同時針對相同目標下手的狀況！山葉音樂（Yamaha Music）加拿大分公司遭到網路攻擊，研究人員發現有兩組駭客Black Byte、Akira聲稱對其發動攻擊，先前也有類似的案例──<a href="https://www.ithome.com.tw/news/157880#esteelauder">勒索軟體駭客BlackCat、Clop皆表明對化妝品業者雅詩蘭黛下手</a>。</p> <p>, </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://netenrich.com/blog/fraudgpt-the-villain-avatar-of-chatgpt"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客製作AI網路犯罪工具FraudGPT，號稱不只能製作釣魚郵件，還能用於打造破解工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fraud-bot-dark-web.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fraud-bot-dark-web.png" style="width: 300px; float: right;" /></a>資安業者Netenrich揭露名為FraudGPT生成式AI網路犯罪工具，賣家CanadianKingpin在暗網論壇上以每個月200美元的價碼兜售，並標榜能夠用來產生惡意程式碼、打造無法被防毒軟體偵測的惡意程式、創造釣魚網頁、製作駭客工具、製作詐騙信件（或網頁）、找尋漏洞、可用於盜刷的網站（Cardable site）等，號稱已有超過3千個買家採用或是留下評價。</p> <p>比較特別的是，駭客不只設置Telegram頻道來經營FraudGPT的銷售業務，並表示已通過Empire、WHM、Torrez、Wolrd、Alphabay、Verssu等地下市集的驗證。研究人員指出，雖然賣家甫於22日開始兜售這個AI機器人工具，但其後續可能帶來的資安威脅值得觀察。</p> <p><a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-adds-data-leak-api-in-new-extortion-strategy/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為了向受害組織施加更多壓力，勒索軟體BlackCat為資料外洩網站加入API、Python爬蟲</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F1zrqXSXgAE8y9o.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F1zrqXSXgAE8y9o.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有數名研究人員在勒索軟體駭客組織BlackCat（Alphv）公布受害者的網站上，發現新增了說明網頁，內容是關於如何透過API即時接收受害者資料的最新動態。</p> <p>資安研究團隊VX-Underground認為，此API似乎在數個月前就已上架，但並未對外開放。，研究人員還發現駭客提供以Python打造的爬蟲，可供他人找出該組織網站特定的外洩資料。</p> <p>而對於駭客提供上述工具的原因，該新聞網站認為，很有可能是願意支付贖金的受害組織越來越少，導致這些駭客決定提供更多資料洩露工具，進而對受害組織增加更大的壓力，以脅迫他們付錢。</p> <p><a href="https://therecord.media/yamaha-confirms-cyberattack-after-multiple-ransomware-gangs-claim"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大山葉傳出遭勒索軟體Black Byte、Akira攻擊</span></strong></a></p> <p>7月20日山葉音樂（Yamaha Music）加拿大分公司證實遭到網路攻擊，導致內部環境遭到未經授權存取，面臨資料外洩的情況，該公司也正在通知受影響的人士。</p> <p>而對於攻擊者的身分，研究人員Dominic Alvieri指出，勒索軟體Black Byte、Akira先後在6月14日、7月21日，都將山葉列入受害組織名單。但這並非不同的勒索駭客組織表明攻擊相同企業的首例，知名化妝品業者雅詩蘭黛就是上週發生這類「群毆」事故，他們遭到Clop及BlackCat兩個勒索軟體駭客攻擊，Dominic Alvieri表示，他曾看到有3組駭客聲稱對同樣的組織發動攻擊。</p> <p><a href="https://www.hackread.com/siegedsec-hacktivist-hack-nato-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織SiegedSec鎖定北約組織而來，外洩入口網站數百份文件</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/siegedsec-hack-nato-data-leak.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/siegedsec-hack-nato-data-leak.jpg" style="width: 300px; float: right;" /></a>資安業者Cyberint指出，駭客組織SiegedSec於Telegram頻道聲稱，他們針對北約組織（NATO）的入口網站COI發動網路攻擊，隨後洩露數百份與北約國家和合作夥伴有關的敏感文件，這些資料包含完整姓名、電子郵件信箱、電話號碼、辦公室地址，以及逾70個北約組織官員的職級。</p> <p>而對於犯案的動機，駭客聲稱是因為北約組織做了侵害人權的行為，而決定報復北約國家。</p> <p><a href="https://www.mandiant.com/resources/blog/north-korea-supply-chain"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現JumpCloud資安事故新證據，指出駭客與北韓軍情單位有關</span></strong></a></p> <p>IT服務業者JumpCloud於7月證實遭到網路攻擊，現在研究人員找到新的證據。資安業者Mandiant指出，這起事故幕後指使者是名為UNC4899的北韓駭客組織，原因是這些駭客一度在利用VPN服務隱匿攻擊行動的過程裡，不慎出現了違反操作安全（OpSec）的錯誤，而曝露了攻擊來源——出現來自平壤的IP位址。</p> <p>研究人員最早在6月27日，看到JumpCloud用戶的代理程式執行惡意Ruby指令碼，此指令碼主要功能是下載並執行第二階段攻擊的惡意酬載，攻擊者取得初始存取權限的24小時之內，便部署後門程式，然後利用macOS內建的應用程式plist，維持在受害電腦運作。駭客運用名為Fullhouse.doored、Stratofear、Tiedye後門程式來進行後續的攻擊行動。</p> <p>而對於這些駭客的來歷，研究人員指出，UNC4899隸屬於北韓人民軍總參謀偵察總部（RGB），專門攻擊加密貨幣相關產業，很可能與另一個北韓駭客組織TraderTraitor有所關連。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ubuntu存在權限提升漏洞，約4成用戶受到波及</span></strong></a></p> <p>資安業者Wiz針對Ubuntu用戶提出警告，他們發現該作業系統的OverlayFS檔案系統模組出現權限提升漏洞CVE-2023-2640，以及可被用於執行任意程式碼的漏洞CVE-2023-32629，CVSS風險評分介於5.4至7.8。</p> <p>研究人員指出，這些漏洞發生的原因，在於Canonical曾在2018年修改該作業系統搭配的OverlayFS元件，到了2019年、2022年，Linux基金會對於OverlayFS官方版本做出更動，而Canonical後續在導入新程式碼的過程，發生與2018年對OverlayFS更動的程式碼造成衝突的狀況。因此，上述OverlayFS漏洞皆為Ubuntu獨有，估計4成使用者可能受影響。</p> <p>由於目前已經出現利用這些漏洞的攻擊手法，用戶若不盡快完成修補，將淪為駭客下手目標。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.sec.gov/news/press-release/2023-139"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證交所要求上市公司4天內揭露重大網路攻擊事件</span></strong></a></p> <p>7月26日美國證券交易委員會（SEC）通過新的規定，要求上市公司若是遭遇重大資安事件，必須在4個工作天之內透過8-K文件揭露，當中應詳細說明事件發生的時間、性質、規模，以及對公司的影響。不過，若是揭露資安事故可能對美國國家安全或公共安全帶來重大風險，企業可申請延後揭露。這項規定將在聯邦公報發布後的30天正式生效。</p> <p>目前該規定尚有爭議，例如：如何認定重大資安事件？而過早揭露資安事故，也有可能對公司或外界帶來更嚴重的危害。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.metabaseq.com/fenix-botnet/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路Fenix鎖定拉丁美洲使用者而來</span></span></strong></a></p> <p><a href="http://news.sophos.com/en-us/2023/07/26/into-the-tank-with-nitrogen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用惡意軟體Nitrogen發動勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://blog.sygnia.co/breaking-down-casbaneiro-infection-chain-part2"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">金融木馬Casbaneiro繞過使用者帳號控制機制發動攻擊</span></span></strong></a></p> <p><a href="https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源軟體供應鏈攻擊針對銀行產業而來</span></span></strong></a></p> <p><a href="https://flare.io/learn/resources/stealer-logs-and-corporate-access/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體盜走逾40萬家公司的雲端服務帳密</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a></strong></p> </div></div></div>
2023/7/27 17:16作者周峻佑https://www.ithome.com.tw/news/157972
提供160萬IOPS與30TB，美光推高效能大容量SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_9400_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月起，多款TLC與QLC固態硬碟產品陸續上市，像是美光的<a href="https://www.ithome.com.tw/review/157275">XTR</a>、<a href="https://www.ithome.com.tw/review/157282">6500 ION</a>，以及Solidigm的<a href="https://www.ithome.com.tw/review/157477">D5-P5430</a>、<a href="https://www.ithome.com.tw/review/157892">D5-P5336</a>，然而在1月其實也有一款TLC固態硬碟產品悄悄推出，那就是最高階的Micron 9400。</p> <p>相較於前代產品<a href="https://www.ithome.com.tw/review/134506">Micron 9300</a>，美光這款在今年初推出的新產品，主要的賣點就是最大儲存容量提高1倍，來到30.72 TB，若在1臺2U尺寸、可安裝24臺2.5吋U.2固態硬碟的伺服器，全部使用Micron 9400，總共可提供737 TB的固態儲存空間。當儲存容量加大1倍，也意味著企業建置伺服器時，面對相同的資料儲存空間需求時，只需一半數量的伺服器即可。</p> <p>而在存取效能的規格上，Micron 9400在4K資料隨機讀取作業與能源使用效率方面，領先前代產品的幅度同樣相當顯著。舉例來說，Micron 9300為85萬IOPS，功耗為16瓦，每瓦效能為53,125 IOPS，Micron 9400為160萬IOPS，功耗為17瓦，每瓦效能為94,117 IOPS，因此，循序讀取效能提升88%，每瓦效能進步77％，美光為此特別自詡，強調這款產品替PCIe儲存立下新標竿。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 SSD Key Specifications-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20SSD%20Key%20Specifications-1.jpg" style="width: 600px;" /></a></p> <p>為了突顯這款產品面對混合工作負載時，同樣具有相當優異的表現，美光也在新聞稿提到不同情境下的效能領先差距。舉例來說，若是讀取70％、寫入30％的隨機工作負載，能達到94萬IOPS，超越競爭產品的幅度達69％；若是讀取90％、寫入10％的隨機工作負載，能達到100萬IOPS，超越競爭產品的幅度可達71％。</p> <p>關於存取延遲的規格，Micron 9400也有改善，其讀寫延遲分別為69微秒與10微秒，相較之下，前代產品Micron 9300的讀寫延遲分別為86微秒與11微秒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 security-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20security-2023.jpg" style="width: 600px;" /></a></p> <p>在不同使用情境下，Micron 9400的效能表現如何？美光公布4組測試結果，涵蓋資料庫、AI儲存，以及雲端服務等場景。首先是用於鍵值資料庫RocksDB，此系統通常用於垃圾郵件偵測或儲存觀看記錄等領域，對於延遲與使用者互動相當敏感，結果Micron 9400的效能超越競爭產品的比例是23％，而對於工作負載的反應能力高出34％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20RocksDB-1.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 RocksDB-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20RocksDB-2.png" style="width: 600px;" /></a></p> <p>第二是在已針對快閃儲存最佳化的NoSQL資料庫Aerospike測試，此系統用於詐騙偵測、推薦引擎、即時支付處理、股票交易等網站系統，耗費時間的長短會嚴重影響用戶體驗，結果Micron 9400的尖峰效能達到競爭產品的2.1倍，而且能維持工作負載反應力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 Aerospike.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20Aerospike.png" style="width: 600px;" /></a></p> <p>第三是用於GPU記憶體直通儲存系統的存取，也就是Nvidia發展的Magnum IO GPUDirect Storage（GDS），搭配Micron 9400的系統在面對運算密集型工作時，比起搭配其他競爭固態硬碟產品的系統，可以獲得25％的效能領先幅度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20GDS.png" style="width: 600px;" /></p> <p>第四則是用於同時承載多個租戶的雲端服務架構，且部分租戶需以更大粒度進行傳輸／寫入大量資料（Noisy Neighbors），搭配Micron 9400之後，整體效能（吞吐量）可達到搭配其他固態硬碟產品環境的兩倍，反應時間可縮短62％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 Noisy Neighbors-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20Noisy%20Neighbors-1.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Micron 9400 Noisy Neighbors-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20Noisy%20Neighbors-2.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Micron 9400<br /> ●原廠：Micron<br /> ●建議售價：廠商未提供<br /> ●儲存容量：9400 Pro提供7.68 TB、15.36 TB、30.72 TB，9400 Max提供6.40 TB、12.80 TB、25.60 TB<br /> ●外形：2.5吋U.2 / U.3<br /> ●儲存媒體：3D NAND，TLC，176層<br /> ●最高讀寫速度：循序7,000 MB/s與7,000 MB/s，隨機160萬IOPS與60萬IOPS<br /> ●使用介面：PCIe 4.0 x4<br /> ●耐用度：每日寫入量9400 Pro為1，9400 Max為3<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/27 16:47作者李宗翰https://www.ithome.com.tw/review/157964
電子地圖基金會Overture Maps發表首個開放資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年底<a href="https://www.ithome.com.tw/news/154753" target="_blank">由微軟、AWS、Meta、及荷蘭電子地圖公司Tomtom等4家業者共同創立</a>，以推動電子地圖資料共享的Overture地圖基金會（Overture Maps Foundation，OMF），<a href="https://overturemaps.org/overture-maps-foundation-releases-first-world-wide-open-map-dataset/" target="_blank">在本周三（7/26）發表了首個開放地圖資料集</a>，此一資料集由4個資料層組成，可望成為導航、在地搜尋及許多位置應用程式的基礎，<a href="https://overturemaps.org/download/" target="_blank">並已開放下載</a>。</p> <p>在成立半年多以來，該基金會已吸引了其它業者加入，包括ESRI、Cyient、InfraMappa、Nomoko、Precisely、PTV Group、SafeGraph、Sanborn及Sparkgeo，它們都同意讓地圖資料成為共享資產以支持未來的應用。Overture指出，有鑑於地圖對準確性、最新與歸因性的要求日益提升，收集與維護全球地圖資料的成本已經超越了任何單一組織的能力。</p> <p>本周發布的首個開放地圖資料集版本為Overture 2023-07-26-alpha.0，它的4個資料層分別是興趣點（Places of Interest，POI）、建築物、交通網路與行政邊界，涵蓋了全球逾5,900萬個POI，7.8億個建築物，從OpenStreetMap專案衍生的全球道路網路，以及採用當地名稱並支援逾40種語言的行政邊界。</p> <p>該基金會的執行董事Marc Prioleau指出，這是他們替不斷變化的世界，建立一個全面性市場等級開放地圖資料集的第一步，特別是之前未曾開放的POI資料集，將可用來繪製座落於全球各地，從大型商業到街頭市集的詳細地圖。</p> <p>此外，Prioleau也提醒，任何從事測繪的人都知道，初步的資料集只是個開端，未來的挑戰是在環境不斷的變化下還能維護資料來滿足使用者的期望，OMF的計畫是打造一個廣泛的合作體系，以建立及維護最新也最完整的POI資料。</p> <p><a href="https://docs.overturemaps.org/" target="_blank">所有的資料層皆已依照OMF近日發表的資料綱要格式化</a>，以讓地圖服務的開發者得以透過標準方式來注入或使用地圖資料。</p> </div></div></div>
2023/7/27 15:55作者陳曉莉https://www.ithome.com.tw/news/157970
確保負責任的AI模型開發，OpenAI、微軟及Google等業者成立前沿模型論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI、微軟、Google及Anthropic在周三（7/26）<a href="https://openai.com/blog/frontier-model-forum" target="_blank">共同宣布成立前沿模型論壇（Frontier Model Forum）</a>，這是一個新的產業組織，將聚焦於確保安全及負責任地開發前沿的AI模型。</p> <p>該組織有四大核心目標，分別是促進人工智慧安全研究；負責任地開發及部署前沿模型，以協助大眾理解其性質、能力、限制與影響；與學術界、政策制定者、社會及企業協作，分享有關信任與風險的知識；以及支持可解決社會重大挑戰的應用開發等。</p> <p>未來幾年前沿模型論壇將致力於辨識最佳實作，推動AI的安全研究，並打造一個解決方案的公共資料庫，以提供該產業的最佳實作與標準。</p> <p>由於這是個剛成立的組織，預計幾個月後才會設立顧問委員會，同時歡迎其它正在開發前沿AI模型，並承諾模型安全的組織加入。</p> <p>在上述4個創辦組織中，外界較為陌生的Anthropic是在兩年前由幾名OpenAI成員所成立的，該公司是個營利的公益組織，主要開發通用型AI系統及語言模型。此外，<a href="https://www.ithome.com.tw/news/157911" target="_blank">它們也是日前向白宮承諾要協助AI安全的7大業者中的4家</a>，另外的3家，包括Amazon、Meta與Inflection並未或尚未加入前沿模型論壇。</p> </div></div></div>
2023/7/27 14:46作者陳曉莉https://www.ithome.com.tw/news/157968
美國SEC新規定：上市公司要在4天內披露重大資安事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-139" target="_blank">美國證券交易委員會（Securities and Exchange Commission，SEC）周三（7/26）通過了新規定</a>，要求上市公司要在4個工作天內披露它們所面臨的任何重大資安事件，並將在《聯邦公報》（Federal Register）刊登的30天後生效。</p> <p>SEC主席Gary Gensler表示，不管是因為火災失去工廠，或是因為資安意外失去數百萬個檔案，對投資人來說都是重要的資訊，目前已有許多上市公司向投資人揭露資安意外，但相關的揭露若能更一致，投資人亦將因此而受益。</p> <p>因此，新的規定要求上市公司要在重大資安事件發生的4個工作天之內，透過 8-K 文件揭露，並應詳細說明事件的時間、性質與規模，以及對該公司的影響。8-K為美國上市公司用來提供各種重大事件予投資人的文件，如簽署或撤銷重要合約、更換高階主管、控制權的變更或股東權益的更動等。</p> <p>不過，若披露的時間點可能對美國國家安全或公共安全帶來重大風險，則可申請延後披露。</p> <p>目前該規定仍有部分爭議，包括如何判斷是否為重大資安事件，以及過早披露或許會對公司或外界帶來更嚴重的危害等。</p> </div></div></div>
2023/7/27 13:53作者陳曉莉https://www.ithome.com.tw/news/157967
Meta財報出爐，Reality Labs虧損擴大，員工人數減少14%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2023/Meta-Reports-Second-Quarter-2023-Results/default.aspx" target="_blank">Meta周三（7/26）公布今年第二季財報</a>，該季Meta創下320億美元的營收，比去年同期成長11%，即使該季專門開發混合實境技術與產品的Reality Labs部門持續虧損，且虧損金額從去年同期的28億美元擴大到37億美元，但由於程式家族（Family of Apps）的用戶持續增加，員工人數減少了14%，再加上財報表現優於分析師預期，而使得當天Meta盤後上漲了6.87%，股價達319.15美元。</p> <p>在320億美元的營收中，有317億美元來自Facebook、Instagram、Messenger與WhatsApp等程式家族，成長11.8%，另有2.76億美元來自Reality Labs，下滑了38.9%。程式家族的營業利潤為131億美元，高於去年的112億美元，而Reality Labs則虧損了37億美元，高於去年的28億美元。</p> <p>Meta的程式家族用戶數仍持續成長中，在第二季的每月用戶數為38.8億人，比去年同期增加了6%。若單獨觀察Facebook的每月用戶數，則是30.3億人，亦增加了3%。</p> <p>此外，Meta自2022年便展開了裁員計畫，進行數波的裁員，該計畫到今年第二季已告一段落，目前Meta的全球員工總數為71,469人，比去年同期減少了14%。不過，Meta也預期Reality Labs在今年至明年的虧損將會持續擴大。</p> </div></div></div>
2023/7/27 12:17作者陳曉莉https://www.ithome.com.tw/news/157965
Google Play Store將調降不適用大螢幕App的排序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2023/07/introducing-new-play-store-for-large-screens.html" target="_blank">Google宣布</a>，未來不適合平板等大螢幕裝置顯示，或是執行不順的Android App，將被調降在Play Store的搜尋排序。</p> <p>Google是在最新Play Store變更的宣布中說明此事。Google表示，為了推廣適合大型螢幕的高品質App，新政策下，符合大螢幕應用品質指引的App及遊戲程式，將在這項類別的主頁搜尋中獲得較高的排序。這類應用程式能讓用戶更容易調整大小，不會在播放影片或畫面時上下留一大片黑邊，而且支援直式或橫式播放。新的調整能加速使用者搜尋，而未來編輯精選或重點介紹也會加入本條件，使這類App或遊戲更容易曝光。</p> <p>這是Google對App實施的最新品質要求。<a href="https://android-developers.googleblog.com/2022/10/raising-bar-on-technical-quality-on-google-play.html" target="_blank">去年11月Google宣布</a>針對App開發商必須確保在不同尺寸手機螢幕上執行的品質，一旦用戶報告應用程式執行當掉，以及無回應（App Not Responding，ANR）率超過8%的App，就會被調降在該機種用戶搜尋的排序。Google Play Store也會在該款App說明頁以紅字顯示App可能會在用戶裝置上暫停執行的警告，以「設定用戶使用經驗的期望」。</p> <p>最新宣布則是將原有規定推向大螢幕裝置，包括平板，同樣影響當掉及ANR率超過8%的App及遊戲程式。Google說，新規定將在8月底開始實施，開發商可以利用Play管理介面或API持續監控App的穩定性量測值。</p> <p>最後，為了讓用戶更容易了解App執行的樣態，Google Play Store也會使用新的預覽格式，顯示執行在特定form factor上的擷圖、影片和描述，幫助用戶決定是否安裝。Google說，符合其內容品質指引的大螢幕App更具有優勢，能在Play Store主頁上占用更大空間。</p> <p>此外，為了更方便用戶在大螢幕上使用Play Store，Google也為軟體程式商店小幅改版、增加新功能，像是多欄呈現App介紹的版型、將功能選單移到左手邊、以及分割螢幕搜尋以便能比較2個App，減少來回拉動的麻煩。</p> </div></div></div>
2023/7/27 12:28作者林妍溱https://www.ithome.com.tw/news/157966
山葉音樂加拿大遭勒索軟體攻擊，又有2個組織宣稱犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以生產鋼琴知名的山葉音樂（Yamaha Music）加拿大分公司遭到勒索軟體攻擊，導致特定資料被竊，而且又有2個駭客組織「認領」。</p> <p><a href="https://ca.yamaha.com/en/news_events/2023/0720_cyber_security.html" target="_blank">山葉音樂加拿大本周公告</a>近日遭遇網路攻擊，致使非授權存取系統及資料竊取。他們在發現此事時立即制止了攻擊，並和外部安全廠商合作，防止重大損害及惡意程式滲透，同時強化公司網路的防禦。他們也通知了受影響人士，提供他們信用監控服務。</p> <p>山葉並未說明攻擊者存取了什麼系統或資料型態，也沒說是何種安全事件。不過<a href="https://twitter.com/AlvieriD/status/1682368282693607428" target="_blank">安全研究人員Dominic Alvieri發現</a>，勒索軟體Akira宣稱攻入山葉音樂加拿大分公司（<em>註：研究人員寫成Akita，但疑為Akira的誤植</em>）。<a href="https://twitter.com/AlvieriD/status/1669108784906510336" target="_blank">Alvieri 6月也發現</a>，山葉音樂美國，以及生產機車引擎的山葉出現在另一勒索軟體Black Byte組織的受害者清單上。</p> <p>Black Byte出現時間較早，首見於2021年9月。早期寫得不好，後來出了第2版，並在<a href="https://www.bleepingcomputer.com/news/security/san-francisco-49ers-blackbyte-ransomware-gang-stole-info-of-20k-people/" target="_blank">去年2月美國超級盃期間侵襲舊金山49人隊</a>成名。Akira則首見於今年3月，但因和Conti多所相似處，研究人員相信，其成員可能來自Conti，或至少受其啟發。</p> <p>這是近來最新一家企業同時被不同2家勒索軟體組織列為受害者的事件。上周<a href="https://www.ithome.com.tw/news/157872" target="_blank">美國化妝保養品大廠雅詩蘭黛</a>也分別被Clop及Black Cat歹徒列為受害者。此外，《<a href="https://therecord.media/yamaha-confirms-cyberattack-after-multiple-ransomware-gangs-claim" target="_blank">The Record</a>》報導，年初美國奧克蘭市政府也分別被Play及LockBit列為「成功案例」。</p> <p>一家受害企業出現在多個駭客網站上，近日似乎成為一種新趨勢。安全專家相信，可能是不同勒索軟體使用同一個夥伴（affiliate）來攻擊同一家公司。另一些專家則認為，這純粹是同一個駭客組織輪流使用不同「勒索軟體品牌」的行為。此外，愈多平臺公布資訊，也更有助於擴大宣傳效果，對受害組織施壓支付贖金。</p> </div></div></div>
2023/7/27 11:14作者林妍溱https://www.ithome.com.tw/news/157963
ChatGPT Android版正式發布，4國先上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/157908" target="_blank">在現蹤一個星期後</a>，OpenAI宣布<a href="https://twitter.com/OpenAI/status/1683854695398522881" target="_blank">ChatGPT Android版正式開放下</a>載，本周先在美國、巴西、印度及孟加拉上線，下周會再擴大到更多市場。</p> <p>臺灣版Google Play目前也還未提供下載，但用戶可預先註冊，等ChatGPT上線後會自動安裝。</p> <p>這使得ChatGPT AI聊天機器人從去年11月以Web版上線以來，終於提供幾乎所有平臺的應用程式。ChatGPT發布後，用戶在2個月內衝高到1億，在Threads本月初上線之前，是所有消費性應用程式之冠，當時前一個最快達到這個門檻的是Tiktok，花了9個月。</p> <p>OpenAI希望Android版App的發布可延續消費者對AI聊天機器人的使用熱潮。ChatGPT桌機及iOS版App於5月發布，但分析機構估計，ChatGPT官網流量從6月開始已開始走跌，顯示大眾的興趣消退，分析師認為這也說明，AI聊天機器人需要提供更實質的價值。</p> <p>除了消費性App，OpenAI也廣結合作夥伴，包括以外掛型式整合微軟Bing、提供第三方程式的API存取，以增加ChatGPT的使用方便性及效益。為了強化ChatGPT的個人化效用，<a href="https://www.ithome.com.tw/news/157894" target="_blank">OpenAI上周推出可客製化的指令</a>，使其記住用戶偏好，以便產生更符合用戶需求的建議及資訊。</p> </div></div></div>
2023/7/27 10:02作者林妍溱https://www.ithome.com.tw/news/157961
發揮QLC優勢，Solidigm率先推出61TB超大容量SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/solidigm_d5-p5336_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以資料中心單一儲存裝置的最大容量而言，這兩年來，固態硬碟已超過傳統硬碟，因為市面上出現越來越多可供應30.72 TB容量的企業級與資料中心固態硬碟產品，像是鎧俠（Kioxia）的PM6-R系列、PM7-R系列、<a href="https://www.ithome.com.tw/review/146812">CM6-R系列</a>、CM7-R系列，三星（Samsung）的PM1643系列，美光（Micron）的9400、<a href="https://www.ithome.com.tw/review/157282">6500 ION</a>。</p> <p>上述產品清一色都是以TLC快閃記憶體技術打造而成，而對於Solidigm而言，則是少數運用QLC快閃記憶體技術設計此類超大容量固態硬碟的廠商，他們在2021年上半推出D5-P5316，<a href="https://www.ithome.com.tw/review/157477">今年5月正式發表D5-P5430</a>。時隔兩個月的現在，他們又宣布推出D5-P5336，皆能供應如此巨大的固態儲存容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-4.jpg" style="width: 600px;" /></a></p> <p>在D5-P5336系列的出貨時序安排，Solidigm表示，目前先提供E1.L長尺形的15.36 TB與30.72 TB容量機型，今年稍晚將同時提供更普遍用於伺服器與儲存系統的2.5吋U.2外形，以及比30.72 TB多出一倍的儲存容量61.44 TB，到了2024年上半，他們預計提供E3.S外形的選擇，最大儲存容量為30.72 TB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D5-P5336-Form-Capacity.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336-Form-Capacity.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-2.jpg" style="width: 600px;" /></a></p> <p>基於這些外形與超大容量的提供，每臺伺服器或儲存系統可呈現那些組態？以1U尺寸的伺服器或儲存系統為例，若搭配E1.L外形的D5-P5336，最多可安裝32臺61.44TB容量固態硬碟，提供逼近2 PB的總儲存容量。</p> <p>若是2U尺寸的伺服器或儲存系統，搭配2.5吋U.2外形的D5-P5336，最多可安裝24臺61.44TB容量固態硬碟，提供逼近1.47 PB的總儲存容量；搭配E3.S外形的D5-P5336，最多可安裝36臺30.72 TB容量固態硬碟，提供逼近1.47 PB的總儲存容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023-Density.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-Density.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/D5-P5336 Advantage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336%20Advantage.jpg" style="width: 600px;" /></a></p> <p>在使用成效上，若以相同尺寸的設備、全部安裝傳統硬碟的儲存陣列為基準，搭配大量D5-P5336的全快閃儲存陣列可存放的資料量，能達到6倍以上（12臺3.5吋20 TB硬碟 vs. 24臺2.5吋U.2外形61.44 TB固態硬碟），不僅具有更快的存取速度，也在儲存容量大幅超前。</p> <p>由於D5-P5336是目前唯一能提供61.44 TB容量的固態硬碟，比起現行的純硬碟儲存陣列、混合儲存陣列、搭配TLC固態硬碟的全快閃儲存陣列，用戶能以更少量的儲存裝置，就能透過D5-P5336搭配到需要的固態儲存空間，進而負擔更低的總持有成本，也能藉此設置更支援全球環境永續發展的儲存基礎架構。</p> <p>為了證明D5-P5336能帶來這些成效，Solidigm提出一套可存放100 PB資料的物件儲存解決方案的部署需求，以此突顯儲存陣列全部採用D5-P5336具有更高的經濟效益。</p> <p>根據他們的比較，對比於混合使用TLC固態硬碟與傳統硬碟的儲存陣列，效益差距幅度最大，總持有成本可降低61％，耗電量與散熱成本縮減6倍，機櫃機架空間縮減14倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336%20100%20PB%20Storage%20Comparison.png" style="width: 600px;" /></p> <p>其次是對比全部搭配SAS介面硬碟的儲存陣列，全部採用D5-P5336的儲存陣列的總持有成本相對可降低47％，耗電量與散熱成本縮減4.9倍，機櫃機架空間縮減11.8倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D5-P5336%20vs%20TLC%20SSD.jpg" style="width: 600px;" /></p> <p>對比於全部搭配TLC固態硬碟的儲存陣列，費用節約也是很可觀，全部採用D5-P5336的儲存陣列之後，總持有成本相對可降低17％，耗電量與散熱成本縮減1.25倍，機櫃機架空間縮減1.9倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D5-P5336%20vs%20HDD.jpg" style="width: 600px;" /></p> <p>而從實際效能測試而言，Solidigm表示，D5-P5336的讀取效能可比照、甚至優於TLC固態硬碟。他們針對3款同樣提供15.36 TB容量的固態硬碟機型，將它們用於CDN工作負載來進行觀察，結果發現，代表入門級TLC固態硬碟產品的Kioxia CD8-R，讀取頻寬為5.6 GB/s，另一款代表主流層級TLC固態硬碟產品的Micron 7450，讀取頻寬為6.2 GB/s，至於最新發表的QLC固態硬碟產品Solidigm D5-P5336，讀取頻寬為7.5 GB/s，領先前面兩款產品的幅度分別為34％、21％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-D5336.jpg" style="width: 600px;" /></p> <p>對照Solidigm公布的產品規格比較資訊，也可看出D5-P5336與其他兩款TLC固態硬碟讀取效能相當，但寫入效能一如預期較低，而相較於稍早推出的QLC固態硬碟D5-P5430，循序寫入效能為3,000 MB/s，D5-P5336為3,300 MB/s，略勝一籌，但隨機寫入效能更低，只有3.8萬IOPS（D5-P5430為12萬IOPS）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D5-P5336 delivers TLC-equivalent performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336%20delivers%20TLC-equivalent%20performance.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Solidigm D5-P5336<br /> ●原廠：Solidigm<br /> ●建議售價：廠商未提供<br /> ●儲存容量：目前提供15.36 TB、30.72 TB，7.68TB、61.44 TB預計2023稍後推出<br /> ●外形：目前提供E1.L，U.2、E3.S預計2023稍後推出<br /> ●儲存媒體：3D NAND，QLC，192層<br /> ●最高讀寫速度：循序7,000 MB/s與3,300 MB/s，隨機100.5萬IOPS與3.8萬IOPS<br /> ●使用介面：PCIe 4.0 x4<br /> ●耐用度：每日寫入量最高為0.58，總寫入量為65.2 PBW<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/26 22:49作者李宗翰https://www.ithome.com.tw/review/157892
【資安日報】7月26日，駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>週一挪威政府發布公告，表示他們廣受12個機關採用的ICT平臺遭到攻擊，而駭客利用的漏洞，就是Ivanti於週日針對行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）修補的CVE-2023-35078。Ivanti聲稱沒有發現該漏洞遭到利用的跡象，但已有研究人員發現相關攻擊行動。</p> <p>Atlassian上週修補的漏洞也相當值得留意，該公司針對企業協同開發軟體Confluence、持續整合與持續部署（CI/CD）系統Bamboo，修補了可被用於遠端執行任意程式碼（RCE）的高風險漏洞。</p> <p>VMware針對容器管理平臺Tanzu修補的資訊洩露漏洞，也值得IT人員留意，因為，攻擊者很可能用來推送帶有惡意功能的應用程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/norway-says-ivanti-zero-day-was-used-to-hack-govt-it-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挪威政府傳出遭到零時差漏洞攻擊，被駭客侵入的系統是Ivanti行動裝置管理平臺</span></strong></a></p> <p>7月24日挪威安全與服務組織（DSS）證實，駭客利用第三方軟體的零時差漏洞發動攻擊，導致有12個挪威政府機關採用的ICT平臺遭到入侵，DSS察覺攻擊行動後通報了挪威國家安全局（NSM），該國警方著手調查。</p> <p>挪威資料保護局也收到通報，當中提及駭客可能已從ICT系統竊得敏感資料。DSS強調政府機關的營運不受影響，但沒有提及被利用的零時差漏洞細節，以及攻擊者的身分、受害規模。針對這起攻擊行動，DSS表示他們啟動了多項防護措施，目前有12個部門的員工無法使用DSS的行動應用程式辦公，這些人員若能透過電腦存取相關服務，則不受影響。</p> <p>而對於前述的零時差漏洞，挪威國家安全局透露是CVE-2023-35078，該漏洞存在於行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core），CVSS風險評為10分。</p> <p>資料來源</p> <p>1. <a href="https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/">https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/</a><br /> 2. <a href="https://nsm.no/aktuelt/nulldagssarbarhet-i-ivanti-endpoint-manager-mobileiron-core">https://nsm.no/aktuelt/nulldagssarbarhet-i-ivanti-endpoint-manager-mobileiron-core</a></p> <p><a href="https://blog.checkpoint.com/security/facebook-flooded-with-fake-ads-for-chatgpt-google-bard-and-other-ai-services-tricking-users-into-downloading-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Doenerium假冒ChatGPT或其他AI工具，透過臉書貼文進行散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AI-Picture1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI-Picture1-2.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露竊資軟體Doenerium的攻擊行動，駭客假借提供ChatGPT、Google Bard、Midjourney、Jasper等生成式AI工具，透過臉書貼文吸引使用者上當，一旦使用者依照指示下載檔案，電腦就有可能被植入竊資軟體。</p> <p>此竊資軟體會先收集系統資訊並傳送到Discord，然後從瀏覽器搜括Cookie、書籤、上網記錄、密碼，並且洗劫Zcash、比特幣、以太坊等加密貨幣錢包，此外，駭客也攔截多種社群網站與遊戲平臺的連線階段（Session）資訊，並從Filezilla竊取FTP帳密資料。</p> <p>值得留意的是，駭客不只冒用的生成式AI工具品牌變得更為廣泛，他們的臉書專頁擁有數十萬或上百萬粉絲，且有許多人對貼文按讚、發表評論，使得使用者可能大幅降低戒心而上當。</p> <p><a href="https://asec.ahnlab.com/en/55369/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國IIS網頁伺服器遭到北韓駭客Lazarus鎖定，將其用於散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus-JuicyPotato-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus-JuicyPotato-13.png" style="width: 300px; float: right;" /></a>資安業者AhnLab揭露北韓駭客組織Lazarus近期的攻擊行動，駭客先是入侵韓國網站並竄改內容，然後利用含有弱點的Inisafe CrossWeb EX V6軟體，對目標使用者進行水坑式攻擊。一旦使用者透過上述應用程式搭配瀏覽器存取特定的網站，就會將Lazarus的惡意軟體SCSKAppLink.dll下載到受害電腦，並透過INISAFECrossWebEXSvc.exe的漏洞植入。</p> <p>在上述的惡意軟體攻擊行動裡，研究人員發現，駭客也針對IIS網頁伺服器下手，取得控制後將其用於散布惡意軟體。駭客先是針對目標伺服器存在的漏洞，部署對應的Web Shell或執行命令，其攻擊行動是透過處理程序w3wp.exe進行；接著，駭客透過惡意程式JuicyPotato（也有可能利用RottenPotato、SweetPotato）來提升權限，並執行惡意軟體載入工具usoshared.dat來進行控制。</p> <p>由於許多韓國公私部門都採用Inisafe CrossWeb EX系統來進行電子交易、身分驗證、網路銀行的用途，研究人員指出，針對該軟體已知漏洞而來的攻擊仍持續進行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti修補行動裝置管理平臺的零時差漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Internet-exposed MobileIron user portals.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Internet-exposed%20MobileIron%20user%20portals.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，7月23日，Invanti修補旗下行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）的漏洞CVE-2023-35078，攻擊者可在未通過身分驗證的情況下，遠端利用該漏洞存取API，進而取用受限制的功能或是資源。</p> <p>該漏洞影響所有版本的EPMM，CVSS風險評分為10，該公司已發布更新軟體修補。值得留意的是，雖然Ivanti並未透露該漏洞是否遭到利用，但該資安新聞網站指出，有人聲稱向Ivanti通報已有攻擊行動，駭客針對極為少數的組織發動攻擊。</p> <p><a href="https://confluence.atlassian.com/security/security-bulletin-july-18-2023-1251417643.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Altassian修補旗下Confluence與Bamboo的高風險漏洞</span></strong></a></p> <p>7月18日Atlassian發布資安通告，針對旗下的企業協同開發軟體Confluence，以及持續整合與持續部署系統（CI/CD）Bamboo，修補CVE-2023-22505、CVE-2023-22506、CVE-2023-22508漏洞，CVSS風險評分介於7.5至8.5。</p> <p>這些漏洞有可能讓攻擊者在通過身分驗證的情況下，遠端執行任意程式碼（RCE）來影響系統的機密性、完整性、可用性，且無須使用者互動就能進行。</p> <p>其中，CVE-2023-22505、CVE-2023-22508存在於特定版本的Confluence Server與Data Center；另一個漏洞CVE-2023-22506，則是影響Bamboo Data Center。</p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0016.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補容器管理平臺Tanzu的資訊洩露漏洞</span></strong></a></p> <p>7月25日VMware針對容器管理平臺Tanzu修補CVE-2023-20891，此為資訊洩露漏洞，影響Tanzu Application Service for VMs（TAS）、Isolation Segment等產品線，CVSS風險評分為6.5。</p> <p>漏洞發生的原因，在於此系統的稽核事件記錄裡，使用16位元的編碼（Hex）記錄管理員的帳密資料，使得未具備管理員權限的使用者能存取該平臺稽核事件記錄，拆解當中的CF API管理員帳密，從而推送惡意版本的應用程式。</p> <p><a href="https://vulncheck.com/blog/mikrotik-foisted-revisited"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MikroTik路由器存在漏洞，恐讓攻擊者取得超級管理員權限</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mt-web-shodan.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mt-web-shodan.png" style="width: 300px; float: right;" /></a>資安業者VulnCheck針對MikroTik路由器用戶提出警告，他們發現該廠牌路由器作業系統RouterOS存在CVE-2023-30799（CVSS風險評分為9.1），此漏洞一旦遭到利用，攻擊者可在取得管理員帳號的情況下，遠端存取路由器的Winbox或網頁HTTP介面，將自己的權限提升為超級管理員，進而取得該作業系統完整的存取權限。</p> <p>研究人員指出，雖然攻擊者需要取得管理員的帳號才能利用這項漏洞，但是執行RouterOS作業系統的路由器都具備預設的admin帳號，且缺乏防範暴力破解的機制，而有機會讓攻擊者用來發動攻擊。</p> <p>對此，MikroTik於去年10月對穩定版本RouterOS發布6.49.7版修補，但對於長期支援版本的部分，則是在VulnCheck近期通報路由器硬體的新漏洞後，該公司才發布6.49.8版緩解該漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.thalesgroup.com/en/worldwide/security/press_release/thales-create-world-class-global-cybersecurity-leader-acquiring-us"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Thales以36億美元買下Imperva</span></strong></a></p> <p>7月25日資安業者Thales宣布，他們取得軟體投資公司Thoma Bravo的同意，以36億美元的價格，買下網路應用系統安全解決方案業者Imperva全部的股權。</p> <p>透過本次的併購，Thales將其網路安全業務提升到新的層次，併入後Imperva將進行資料安全領域的發展，並能讓Thales投入網路應用系統安全領域的市場，該公司預計其網路安全業務的整體營收將超過24億歐元。這項併購案將在通過主管機關的審核後，預計於2024年初完成。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/moveit-hack-could-earn-cybercriminals-100m-as-number-of-confirmed-victims-grows/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop傳出從MOVEit零時差漏洞攻擊的受害組織得到1億美元</span></span></strong></a></p> <p><a href="https://cyberint.com/blog/research/siegedsec-compromise-nato/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織SiegedSec鎖定北約組織而來，外洩入口網站數百份文件</span></span></strong></a></p> <p><a href="https://iamdeadlyz.gitbook.io/malware-research/july-2023/fake-blockchain-games-deliver-redline-stealer-and-realst-stealer-a-new-macos-infostealer-malware#realst-stealer-macos"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體Realst鎖定macOS用戶，目標是加密貨幣錢包</span></span></strong></a></p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/decoy-dog-is-no-ordinary-pupy-distinguishing-malware-via-dns/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體DecoyDog濫用DNS與C2進行通訊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/microsoft-message-queuing-service-vulnerabilities"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員針對微軟MSMQ訊息佇列漏洞公布細節</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157901">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a></strong></p> </div></div></div>
2023/7/26 17:53作者周峻佑https://www.ithome.com.tw/news/157947
The Browser Company釋出Arc 1.0瀏覽器，率先支援macOS與iOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創瀏覽器公司<a href="https://twitter.com/browsercompany/status/1516432026668257294" target="_blank">The Browser Company在2022年4月發表</a>的全新瀏覽器Arc，終於<a href="https://arc.net/" target="_blank">在本周二（7/25）釋出Arc 1.0</a>，並開放macOS與iOS用戶下載，至於Windows版也預計會在今年出爐。</p> <p>其實Arc瀏覽器自2021年便展開封閉測試，隔年才進入邀請測試，但一直到本周，使用者都必須等待邀請才能下載Arc，Arc 1.0是首個開放大眾下載的版本。</p> <p>Arc瀏覽器奠基在Chromium專案上，預設搜尋引擎為Google，但它的介面迥異於其它瀏覽器，其上方沒有網址列，卻有一個側邊欄，整合了網址列、分頁、書籤與其它功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-The%20Browser%20Company-Arc-3-600.png" style="width: 600px;" /></p> <p>更特別的是它有各種實用的內建功能，包括筆記功能Notes，或是可塗鴨與貼上網頁截圖的畫架功能Easels，不管是筆記或畫架都會有自己的網址以利分享與協作；還有一個可依據使用者需求或主題，組織各種內容的Spaces功能；以及允許使用者變更網頁樣貌的<a href="https://arc.net/boosts" target="_blank">Boosts功能</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/The%20Browser%20Company-Arc-Boosts-600.jpg" style="width: 500px;" /></p> <p><a href="https://thebrowser.company/privacy/" target="_blank">Arc亦已建立隱私政策</a>，強調未存放使用者所造訪的網站或所輸入的內容，也不會將用戶資料出售給第三方，並說明所蒐集資料的方式與用途。</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_The Browser Company</span></p> </div></div></div>
2023/7/26 16:40作者陳曉莉https://www.ithome.com.tw/news/157945
微軟營收成長8%，AI快速成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2023-Q4/press-release-webcast" target="_blank">微軟周二（7/25）公布</a>了該公司截至6月30日的2023財年第四季財報，顯示微軟締造了652億美元的營收，成長8%，淨收入達到201億美元，成長20%。該季微軟的每股盈餘為2.69美元，亦成長21%。此外，整合OpenAI服務的Azure OpenAI、GitHub Copilot及Bing在該季都有出色的用戶成長。</p> <p>在652億美元的營收中，智慧雲端（Intelligent Cloud）占了240億美元，成長15%，生產力與業務流程（Productivity and Business Processes）為183億美元，成長10%，而更多個人運算（More Personal Computing）營收則下滑了4%，為139億美元。</p> <p>觀察個別的微軟產品，營收成長最多的是Dynamics 365的26%，Azure與其它雲端服務亦成長26%，Microsoft Cloud 成長21%，Dynamics產品與雲端服務成長19%，Office 365 Commercial亦成長15%。</p> <p>反之，營收下滑的則有Windows OEM，下滑了12%，裝置營收更下滑了20%，主要原因來自於PC市場的疲軟。</p> <p>另一方面，微軟執行長Satya Nadella於財報會議中表示，微軟將繼續專注於主導新的AI平臺的遷移，協助客戶利用Microsoft Cloud來發揮其數位支出的最大價值。</p> <p>事實上，身為OpenAI大股東的微軟，企圖將OpenAI的相關技術應用在所有微軟服務中，目前已有超過1.1萬個組織使用Azure OpenAI服務，涵蓋Ikea、Volvo、與蘇黎士保險等，而且Mercedes-Benz正透過Azure OpenAI將ChatGPT服務傳送到美國90萬輛的汽車上，而Azure OpenAI上一季每天平均新增100名客戶。</p> <p>此外，迄今已有超過2.7萬個組織利用GitHub Copilot for Business來提高開發人員的生產力，包括Airbnb與Dell等，此一數字是上一季的2倍。</p> <p>整合了ChatGPT並成為OpenAI ChatGPT預設搜尋引擎的Bing，迄今已進行逾10億次的聊天，使用者利用Bing Image Creator所建立的圖片超過7.5億張，而Microsoft Edge的市占率亦因此連續成長9季。</p> <p>另一方面，全面擁抱AI的微軟亦宣布將加快對雲端基礎設施的投資，以滿足市場對AI與雲端的需求，預期未來每一季的資本支出都將持續增加。</p> <p>雖然微軟表現不錯，但因華爾街分析師原本對微軟的期待更高，使得財報當天的微軟盤後股價下挫了3.7%，跌至338美元。</p> </div></div></div>
2023/7/26 13:37作者陳曉莉https://www.ithome.com.tw/news/157943
說來容易做來難，OpenAI悄悄關閉辨識AI或人類創作的服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI功能日愈強大，產出的文字或圖像幾可亂真，連AI工具自己都無法判斷。OpenAI上周悄悄關閉了用以分辨AI或人類生成內容的工具，因為它做不到自己宣稱的事。</p> <p>今年2月初，<a href="https://www.ithome.com.tw/news/155328" target="_blank">OpenAI公布</a>名為AI分類器（AI Classifier）的服務，用以辨別由人類編寫或是AI生成的文字，以協助解決學生使用AI寫論文或報告的欺騙行為。該公司宣稱只要輸入最少1,000個字元，約為150到250英文單字，這工具就能判斷該文本是由人類編寫還是AI產生。當時該公司說其模型判斷AI生成英文文字的正確判讀率為26%，錯誤判讀率（將AI生成文字判讀為人類所寫）為9%。</p> <p>不過上周OpenAI在當初宣布這工具的官方部落格上，<a href="https://openai.com/blog/new-ai-classifier-for-indicating-ai-written-text" target="_blank">以一小行聲明公告</a>，AI分類器已不再提升，原因是準確性太低。</p> <p>但OpenAI並未放棄，開發小組已蒐集這工具使用半年來得到的反饋，目前正在研究更有效的文字判讀技術，並將投入開發與部署協助使用者判斷是否為AI生成的聲音和視覺內容。</p> <p>這也顯示AI功能愈來愈強大，足以產生難以區分真假的AI內容。這也呼應了一份由<a href="https://www.ithome.com.tw/news/157743" target="_blank">史丹佛大學教授的研究</a>結論。該研究發現，母語非英語的使用者撰寫的英文文章，超過一半會被AI偵測工具誤判為AI撰寫的產物。</p> </div></div></div>
2023/7/26 12:34作者林妍溱https://www.ithome.com.tw/news/157942
加入Twitter用戶爭奪，TikTok支援純文字貼文，Meta Threads加入時序性顯示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在推特（Twitter）改名X，全面移除小鳥logo的同一天，以短影片風靡年輕用戶的<a href="https://newsroom.tiktok.com/en-us/text-posts" target="_blank">TikTok宣布</a>，支援純文字形式的貼文（test post）。同時間Threads則加入時序顯示功能，也預告多項功能即將推出，爭取推特用戶的意圖明顯。</p> <p>在此之前，TikTok支援即時串流影片、相片、不同2個創作者影片並陳（Duets）及將他人影片編織入自己影片（Stitch）等工具。新增的文字格式讓創作者可以分享故事、詩、食譜和其他書寫內容。TikTok表示，新增的內容格式拓展創作者意見分享及創意表達的選擇，讓所有人都能在TikTok分享內容。</p> <p>TikTok上張貼文字內容的流程如下：用戶存取「相機」頁，會看見3種選項，包括相片、影片和文字。選擇文字後，他會被導向文字創作頁撰寫文字。在完成文字後的「貼文」頁則提供增加音效、標註地點、評論、加貼圖、hashtag、背景色彩或允許Duet等格式內容，增加文字貼文的豐富度。此外，和影片及照片內容一樣，文字貼文也能先打草稿、儲存日後再編輯，或整個放棄。</p> <p>此外，Meta執行長祖克柏（Mark Zuckerberg）周二在其IG廣播頻道宣布，Threads加入追蹤中（Following）的貼文顯示功能。這是呼聲最高的功能需求之一，可依時間順序顯示追蹤帳號的新訊息。不過這功能並非預設，Threads預設還是以演算法排序的「為你推薦」（For You）顯示這些內容。用戶必須點到Threads主頁找到切換鍵，以切換到「追蹤中」顯示模式。<a href="https://www.theverge.com/2023/7/25/23807340/threads-following-feed-for-you-default-instagram-meta" target="_blank">而且媒體發現</a>，關閉App下次再開，偶爾還是會再跳回舊有的「為你推薦」模式。</p> <p>此外Threads也加入翻譯功能，用戶可按下貼文右下角的翻譯鍵可立即看到譯文。<a href="https://www.engadget.com/threads-adds-a-chronological-feed-as-twitter-burns-to-the-ground-152817251.html" target="_blank">祖克柏還預告</a>Threads正在開發其他新功能，包括Web版、私訊、輔助功能、搜尋及類似TweetDeck的客製化儀表板等。</p> <p>藉由增加過去不支援的文字貼文或複製推特新功能，可望有助TikTok及Threads吸引想從推特跳槽的用戶。<a href="https://www.ithome.com.tw/news/157922" target="_blank">推特在馬斯克治理下於本周一（7/24）走入歷史</a>，服務品牌改名為X，全面換掉小鳥logo。</p> </div></div></div>
2023/7/26 11:38作者林妍溱https://www.ithome.com.tw/news/157940
Alphabet第二季成長7%，新設投資長來管理新創事業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/assets/20/ef/844a05b84b6f9dbf2c3592e7d9c7/2023q2-alphabet-earnings-release.pdf" target="_blank">Alphabet周二（7/25）公布</a>截至今年6月底的第二季財報，該季創下746億美元的營收，比去年同期成長7%，其中，Google服務占了663億美元，成長5.5%，Google Cloud占了80.3億美元，成長28%，新創事業（Other Bets）營收為2.85億美元，成長48%。</p> <p>Alphabet暨Google執行長Sundar Pichai表示，該公司將持續利用人工智慧（AI）來改善搜尋及所有的服務，目前該公司旗下有15種產品的用戶數超過5億，有6種產品的用戶數超過20億，有很多機會來履行此一任務。</p> <p><a href="https://www.ithome.com.tw/news/156498" target="_blank">該公司在今年4月整併</a>了Alphabet旗下的DeepMind，以及Google研究院的Google Brain部門，成立了新的AI事業群Google DeepMind，因此，自今年第二季起，Google DeepMind的財務已被計入Alphabet的未分配企業成本中。</p> <p>此外，Alphabet宣布新設投資長一職，並由擔任Alphabet/Google財務長的Ruth Porat兼任，於今年9月1日生效。</p> <p>Porat擔任投資長的主要任務為管理Other Bets的投資，再加上於全球市場及社群的新投資，亦將負責與各國政策制定者及監管機構的合作。</p> <p>Alphabet今年第二季的每股盈餘為1.44美元，超越華爾街分析師所預期的1.34美元，財報發表當天，Alphabet在盤後上漲了5.76%，股價為129.86美元。</p> </div></div></div>
2023/7/26 12:08作者陳曉莉https://www.ithome.com.tw/news/157941
微軟正在測試Bing Chat執行於Chrome、Safari等瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟證實，正在小範圍測試可在Google Chrome、蘋果Safari上執行的Bing Chat服務。</p> <p>本周稍早網路媒體《<a href="https://www.windowslatest.com/2023/07/24/windows-11s-bing-ai-rolls-out-for-chrome-with-native-dark-mode-safari-support-next/" target="_blank">Windows Latest</a>》發現，Windows 10及11上顯示跳出視窗，邀請用戶在Google Chrome試用Bing.com AI聊天機器人。<a href="https://www.windowslatest.com/2023/06/04/microsoft-tests-bing-ai-on-safari-and-chrome-teases-new-features/" target="_blank">上個月甚至有人發現</a>可在Safari使用Bing Chat服務的通知。</p> <p>微軟官方也證實，已經將由Safari及Chrome存取Bing Chat的功能部署給特定用戶，作為該公司測試第三方瀏覽器的一環。</p> <p>根據媒體測試，Chrome版執行的Bing Chat支援深色背景模式，可透過Bing的三橫線漢堡選單選取白色模式、深色模式及系統預設（即自動偵測作業系統背景）。但是功能上，Chrome版Bing Chat一次對話只支援5個問題，一個問題的輸入字元上限是2000，較Edge版支援20個問題及4000字元來得受限。Safari版本的問答功能和Chrome版相同。兩種瀏覽器的用戶都必須登入微軟帳號才能使用Bing Chat。</p> <p>有趣的是，當Chrome用戶真的使用Bing Chat，又會不斷看到以Edge使用Bing Chat的提示視窗。一旦按下「Chat now」即會啟動Edge瀏覽器。</p> <p>Bing Chat對兩種或其他種瀏覽器的支援，何時會全面部署，微軟並未說明。</p> <p>微軟為拉抬自家產品，自然從功能上差別待遇。微軟出資支持的OpenAI的<a href="https://www.ithome.com.tw/news/157524" target="_blank">ChatGPT 6月開始支援搜尋網際網路</a>，也是只能使用Bing搜尋。</p> </div></div></div>
2023/7/26 10:03作者林妍溱https://www.ithome.com.tw/news/157938
Nvidia新款融合加速卡搭配BF3，拓展5G Open RAN應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_ax800_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月底Nvidia共同創辦人暨執行長黃仁勳來臺演講，在台北國際電腦展颳起一陣AI旋風，該公司這段期間最受矚目的產品之一，正是結合CPU與GPU的Grace Hopper，首度在臺公開亮相，事實上，Nvidia先前就有類似這樣融合兩種運算平臺的產品，他們稱之為融合式加速器（Converged Accelerators），是結合GPU與DPU的產品，在2021年11月GTC秋季大會期間推出A100X和A30X，到了今年，或許是因為他們最新款 DPU產品BlueField-3（BF3）進入大量生產階段，於是，Nvidia也悄悄宣布推出新款融合式加速器AX800，當中結合代號為GA100的GPU（A100），以及BlueField-3 DPU，希望能藉此提供能在任何雲端服務環境部署使用的市售硬體設備，成為真正支援雲端原生與高效能應用的5G加速解決方案，方便企業在各種雲端業者或電信邊緣設備環境，進行5G Open RAN環境的部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia CNA overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20CNA%20overview.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20CA_Aerial-5-case.jpg" style="width: 600px;" /></p> <p>對於雲端與電信服務業者而言，Nvidia認為AX800可支援多種應用方式，以及多租戶架構，透過相同的IT基礎架構，以及通用而非專屬設計的設備，就能同時支援5G 與AI工作負載，並且兼具資源使用率高，以及能動態擴展這些加速處理的執行規模等特色。</p> <p>基本上，憑藉著這系列產品整合的Ampere架構資料中心GPU，由於內建GPU多執行個體分割（MIG）的技術，因此，能透過共用的GPU硬體資源池，同時處理多個虛擬化5G基站與邊緣AI應用程式，並確保每項功能得以一致、善用能源的方式，執行在同一臺伺服器與加速卡；若需要擴充使用規模，除了透過上述方式在加速卡當中進行動態擴充，也能在伺服器搭配多張融合加速卡，採購多臺搭配融合加速卡的伺服器，以及建置採用上述配置伺服器的資料中心，從不同層級來進行擴充。</p> <p>而在使用成效上，Nvidia表示，若是在1臺2U尺寸伺服器搭配AX800，並且執行基於該公司5G vRAN軟體開發框架與套件Aerial而成的系統，吞吐量可達36 Gbps，能大幅改善軟體定義型態5G Open RAN解決方案的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/5G vRAN Topology.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5G%20vRAN%20Topology.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NVIDIA CloudRAN Topology.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20CloudRAN%20Topology.jpg" style="width: 298px;" /></a></p> <p>相較於現行Open RAN解決方案典型的尖峰吞吐量表現，上述的搭配可提升10 Gbps，對比以傳統方式建置的5G網路服務，可藉此提供超過30 Gbps的尖峰吞吐量。</p> <p>之所以能達成如此顯著的效能提升，源於Aerial 5G vRAN技術堆疊架構中的實體層（L1）能獲得加速，不久之後，AX800加速的範圍將涵蓋整個技術堆疊，能針對更多處理流程的環節進行最佳化，屆時可望帶來更大的效能突破。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia CA_Aerial-2-Offload.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20CA_Aerial-2-Offload.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-nvidia-ax800-L1-nvidia-aeria-5g-vran-stack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-nvidia-ax800-L1-nvidia-aeria-5g-vran-stack.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-full-stack-acceleration-nvidia-aerial-5g-ran.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-full-stack-acceleration-nvidia-aerial-5g-ran.png" style="width: 298px;" /></a></p> <p>值得注意的是，除了GPU與DPU本身具有強大的運算能力，AX800也受益於這兩種加速器的細部規格，例如，此處搭配的Ampere架構GPU記憶體頻寬逼近2 TB/s，以及BlueField-3支援256個執行緒——內建可程式化資料路徑加速器（Programmable Datapath Accelerator），足以應付I/O密集型工作負載，像是5G vRAN在L1層的處理作業。</p> <p>而在AX800與Aerial的搭配效能表現上，Nvidia也揭露一些數據。例如，在分時雙工（TDD）傳輸模式下，若使用100 MHz頻率、4個下載與2個上傳，而且是100％實體資源區塊（PRB）的狀態下，最多可支援10個4T4R的基地臺，而基於這樣的配置，能讓系統各自達到下載36.56 Gbps，以及上傳4.794 Gbps的網路吞吐效能。</p> <p>對於無線網路的通訊應用上，這樣的解決方案可廣泛支援多種規模，小至2T2R——頻率低於1GHz的微型部署，大至64T64R——巨型的多進多出（MIMO）部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Aerial cuPHY Cell Capacity Over Time.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Aerial%20cuPHY%20Cell%20Capacity%20Over%20Time.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Nvidia AX800<br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●外型：雙寬全高全長介面卡（PCIe 5.0 x16）<br /> ●運算架構：Ampere架構GPU搭配BlueField-3資料處理器<br /> ●GPU架構：Ampere<br /> ●GPU記憶體：80 GB HBM2e<br /> ●GPU記憶體頻寬：2,039 GB/s<br /> ●GPU互連介面：3個NVLink橋接器<br /> ●多執行個體GPU切割數量：7個<br /> ●網路介面：2個200 Gb/s乙太網路埠或InfiniBand埠<br /> ●熱設計功耗：350瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/26 10:28作者李宗翰https://www.ithome.com.tw/review/157909
防護四大公有雲使用，思科推出主打單一控制特色的資安服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_md-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月思科舉行全球年度用戶大會Cisco Live!，活動期間發表多款資安產品，像是安全服務邊緣（SSE）解決方案Cisco Secure Access、次世代網路防火牆Cisco Secure Firewall 4200系列、雲端原生安全系統Panoptica，以及接下來我們介紹的Cisco Multicloud Defense。</p> <p>此項產品源於他們3月底完成併購的雲端安全新創廠商Valtix，思科看重他們能以簡易方式提供橫跨多雲環境的資安防護，因此決定買下這家公司，而且在短短3個月後登場的Cisco Live!大會，正式向大家介紹相關技術整併之後的新面貌。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-2023-06-Keynote-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-2023-06-Keynote-2.jpg" style="width: 600px;" /></p> <p>有了Multicloud Defense，能將傳統網路防火牆的防護概念延伸至服務導向、多雲的環境，資安維運團隊可透過單一的軟體即服務（SaaS）平臺，而能橫跨AWS、Azure、GCP、OCI這四大公有雲服務，進行統一政策的即時控管，同時，也能快速提高雲端環境的安全性，增強防護力與效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CiscoMCD Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CiscoMCD%20Arch.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Dashboard3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Dashboard3.jpg" style="width: 600px;" /></a></p> <p>Multicloud Defense目前可提供相當多種功能，像是分散式網路應用層（L7）防護、網站應用程式防火牆（WAF）、資料外洩預防（DLP），資安團隊均可運用統一、動態執行的政策進行管理，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MD-Sec Profile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MD-Sec%20Profile.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MD-Sec View.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MD-Sec%20View.jpg" style="width: 600px;" /></a></p> <p>而在實際運作的方式上，它能橫跨多種雲端服務來進行查核，並透過分散在用戶掌管的各個虛擬私有雲（VPC）環境運作的閘道，強制執行資安政策，以此阻擋針對特定應用系統而來的威脅、攔下攻擊者與殭屍網路對遭駭電腦的命令與控制（command & control）通訊、預防敏感與機密資料發生滲漏外洩，以及緩解駭客與惡意軟體的橫向移動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Centralized%20Protection%20Model.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20Use.jpg" style="width: 600px;" /></p> <p>在此同時，Multicloud Defense也具備雲端服務的特性，具有靈活度、彈性，以及可擴充性，能幫助用戶防護雲端環境，並且提供單一控制層（single control plane），便於企業資安團隊進行自動化處理與調度指揮工作，從而減少人員訓練成本、專屬資源的耗用，更快實現資安解決方案的價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Scalable.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Scalable.jpg" style="width: 600px;" /></a></p> <p>細部而言，Multicloud Defense的架構，採用一套能在公有雲與軟體定義網路環境的共通原則來進行設計，當中將控制層與資料層予以解耦，轉換為下列兩個主要元件：</p> <p>一個是以平臺即服務（PaaS）型態提供的閘道Multicloud Defense Gateways，運作在四大公有雲環境當中，本身是由一群具有自動擴展規模能力的資安軟體所組成，搭配彈性、單一回合的管線處理流架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Distributed%20Protection%20Model.jpg" style="width: 600px;" /></p> <p>另一個則是以軟體即服務（PaaS）型態提供的控制器Multicloud Defense Controller，由思科代管，本身是具有高可靠性與擴充性的集中控制器（控制層），能夠針對多雲基礎架構進行自動處理、調度指揮、防護等工作，用戶可透過網站入口介面操作這套控制器，或是透過Terraform將資安防護整合到DevOps或DevSecOps的流程當中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud Terraform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20Terraform.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud API.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20API.jpg" style="width: 400px;" /></a></p> <p>Multicloud Defense Controller也會負責Multicloud Defense Gateway的交付、管理、調度。從實際的防護架構而言，企業與組織可運用控制器，將進入閘道（Ingress Gateways）與外出閘道（Egress Gateways），部署到自家公有雲服務帳號管轄的環境，藉此提供更全面、進階的線上安全防護，能夠對抗來自外部的攻擊，阻擋對外的資料洩漏活動，以及預防攻擊的橫向移動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-GW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-GW.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud GW2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20GW2.jpg" style="width: 198px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud GW1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20GW1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco MCD-Multicloud GW3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20MCD-Multicloud%20GW3.jpg" style="width: 198px;" /></a></p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p>Cisco Multicloud Defense<br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●解決方案型態：SaaS雲端服務<br /> ●支援公有雲環境：AWS、微軟Azure、GCP、OCI<br /> ●組成元件：Multicloud Defense Controller（從Cisco Defense Orchestrator啟動）、Multicloud Defense Gateway、Multicloud Defense Terraform Provider<br /> ●防護功能：Egress Gateway提供外對內與橫向流量保護，功能包括：FQDN過濾、URL網址過濾、DLP、IPS/IDS、防毒、正向代理、TLS解密；Ingress Gateway提供外對內流量保護，功能包括：WAF、IDS/IPS、Layer-7防護、DoS防護、防毒、反向代理、TLS解密</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/26 01:25作者李宗翰https://www.ithome.com.tw/review/157920
【資安日報】7月25日，中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內製造業近期陸續傳出遭到攻擊的情況，有些影響到供應商，有些則攻入企業環境，例如，先前有勒索軟體駭客LockBit聲稱竊得台積電內部資料的事故（台積電否認遭到入侵），但今天傳出有其他公司遭遇網路攻擊，甚至影響正常營運。昨日中華汽車在股市公開觀測站發布重大訊息，表示遭遇資安事故，有資安專家認為很可能就是勒索軟體攻擊，且疑似關閉防火牆而讓駭客有可乘之機。</p> <p>蘋果針對行動裝置、電腦、穿戴裝置發布作業系統更新也相當值得留意，因為，其中一項零時差漏洞涉及卡巴斯基6月揭露的零點擊攻擊行動Operation Triangulation。</p> <p>廣泛受到警消單位運用的無線電，有資安業者發現其通訊協定存在一系列漏洞TETRA:Burst，並指出他們已向多個國家的相關單位，以及無線電設備製造商進行通報。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ftvnews.com.tw/news/detail/2023724F06M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中華汽車遭遇網路攻擊，傳出部分產線停工</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CMC_J9RJnj5wx6-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CMC_J9RJnj5wx6-.png" style="width: 300px; float: right;" /></a>7月24日中華汽車於股市公開觀測站發布重大訊息，表示部分資訊系統遭到惡意攻擊，該公司資訊部門啟動防禦機制，並進行復原作業，協同外部資安專家後續處理，而對於營運帶來的影響，該公司表示尚在釐清。根據民視新聞的報導，有資安專家認為，此起事故很有可能是駭客勒索事件，並指出中華汽車已出現部分產線停工的情況，現正全面針對相關系統及設備進行檢修。</p> <p>而對於本次事故發生的原因，有資安專家推測，可能是因為資訊部門在系統整修或更新期間，為便於遠端連線操作，短暫關閉防火牆而釀禍，駭客趁機入侵並取得控制權，並索討高額解鎖費用。截至目前為止，該公司尚未出現個資外洩的跡象。</p> <p><a href="https://www.securityweek.com/two-jira-plugin-vulnerabilities-in-attacker-crosshairs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">軟體開發問題追蹤系統Jira的外掛程式路徑穿越漏洞被用於攻擊行動</span></strong></a></p> <p>美國系統網路安全協會（SANS Institute）旗下的Internet Storm Center（ISC）提出警告，他們看到來自中國的IP位址，針對軟體開發問題追蹤系統Jira的外掛程式Stagil navigation for Jira發動攻擊，駭客鎖定今年2月底被揭露的高風險漏洞CVE-2023-26255、CVE-2023-26256（CVSS風險評分皆為7.5）而來，這些漏洞為路徑穿越漏洞，攻擊者可藉此竄改snjCustomDesignConfig及snjFooterNavigationConfig的fileName參數，而能在檔案系統進行讀取或是穿越，外掛程式開發商於同月發布2.0.52版予以修補。</p> <p>研究人員指出，針對上述漏洞的攻擊行動並非首度出現，今年3月底已有相關攻擊，且疑為相同的駭客所為。</p> <p><a href="https://therecord.media/dhl-moveit-breach-investigation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">物流業者DHL證實遭到MOVEit Transfer零時差漏洞攻擊波及</span></strong></a></p> <p>根據資安新聞網站The Record的報導，物流業者DHL的英國分公司正在調查資料外洩事件，原因是MOVEit Transfer系統遭遇零時差漏洞攻擊，而遭到波及。該公司確認他們的其中一家軟體供應商，受到MOVEit Transfer的漏洞影響，但並未透露受害規模及範圍。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補瀏覽器排版引擎WebKit、系統核心的零時差漏洞</span></strong></p> <p>7月24日蘋果針對旗下的電腦、行動裝置、穿戴裝置，推出iOS 16.6與15.7.8、iPadOS 16.6與15.7.8、macOS Ventura 13.5、macOS Monterey 12.6.8、macOS Big Sur 11.7.9、tvOS 16.6、watchOS 9.6，以及電腦版Safari 16.6，當中修補了兩個已被用於攻擊行動的零時差漏洞CVE-2023-37450、CVE-2023-38606。</p> <p>CVE-2023-37450為10日該公司在快速安全回應（RSR）公告的WebKit排版引擎漏洞，該漏洞起因是在處理網頁內容的過程出現異常，而有可能被用於執行任意程式碼。</p> <p>另一個漏洞CVE-2023-38606則是存在於作業系統核心，已有攻擊者針對執行iOS 15.7.1以下版本的行動裝置利用該漏洞。卡巴斯基研究人員指出，CVE-2023-38606是Operation Triangulation間諜軟體的零點擊攻擊鏈的其中一部分，呼籲使用者應儘速更新所有的蘋果裝置。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/">https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-macs/</a><br /> 2. <a href="https://twitter.com/oct0xor/status/1683563098571931648">https://twitter.com/oct0xor/status/1683563098571931648</a></p> <p><a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露AMD處理器漏洞Zenbleed，攻擊者可攔截處理器的敏感資訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/zb-vpmovmskb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zb-vpmovmskb.png" style="width: 300px; float: right;" /></a>7月24日AMD發布資安通告，修補名為Zenbleed的記憶體釋放後濫用（UAF）漏洞CVE-2023-20593，一旦攻擊者利用這項漏洞，就有機會從部分搭載Ryzen及EPYC處理器的電腦取得密碼、金鑰等機密資訊。</p> <p>該漏洞出現於處理器執行推測執行（speculative execution）的過程中，處理vzeroupper指令不當所致，而有可能導致資料被儲存在YMM暫存器，未依照程序刪除，使得攻擊者有機會存取相關內容，影響Ryzen 3000、Threadripper 3000、4000、PRO 4000 、5000、7020、EPYC Rome等型號的Zen 2系列處理器，對此，該公司發布新版韌體予以修補。</p> <p><a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/07/19/cve-2023-38408-remote-code-execution-in-opensshs-forwarded-ssh-agent"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠端登入工具OpenSSH存在漏洞，可能讓攻擊者對於Linux作業系統發動命令注入攻擊</span></strong></a></p> <p>資安業者Qualys揭露OpenSSH的RCE漏洞CVE-2023-38408，此漏洞存在於金鑰暫存元件ssh-agent，影響9.3p1及之前版本的OpenSSH。攻擊者一旦利用該漏洞，就有可能藉由轉發SSH金鑰（SSH agent forwarding）的機制，遠端下達任意命令。</p> <p>研究人員在執行Ubuntu Desktop 22.04、21.10的電腦上成功進行概念性驗證攻擊（PoC），研判其他Linux作業系統也可能會存在相關風險。對此，OpenSSH開發團隊獲報後，發布了9.3p2修補這項漏洞。</p> <p><a href="https://tetraburst.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">廣受軍警單位採用的無線電通訊協定TETRA加密機制存在漏洞，恐被攻擊者用於干擾通訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tetra-burst_44GFydknSL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tetra-burst_44GFydknSL.png" style="width: 300px; float: right;" /></a>資安業者Midnight Blue揭露無線通訊標準協定Terrestrial Trunked Radio（TETRA）的安全漏洞，這些漏洞分別是CVE-2022-24401、CVE-2022-24402、CVE-2022-24404、CVE-2022-24403、CVE-2022-24400，統稱TETRA:Burst。</p> <p>其中，CVE-2022-24401與CVE-2022-24402為重大等級，CVE-2022-24401發生的原因與產生無線通訊的加密金鑰Air Interface Encryption（AIE）有關，而有可能遭到解密並引發Decryption Oracle攻擊；CVE-2022-24402則存在於TETRA的其中一種加密演算法TEA1，可在數分鐘內暴力破解當中使用的80位元金鑰。</p> <p>研究人員指出，CVE-2022-24401或CVE-2022-24404都能被用來攔截全程加密（E2EE）保護的流量，或是注入惡意內容，而有可能讓駭客干擾警察或是軍方的無線通訊。這些漏洞的發現源自於該資安業者在2021年啟動的研究，過程中，他們也通報各國執法機關、資安機構、設備製造商，但尚不清楚這些漏洞是否遭到利用。</p> <p>資料來源</p> <p>1. <a href="https://www.vice.com/en/article/4a3n3j/backdoor-in-police-radios-tetra-burst">https://www.vice.com/en/article/4a3n3j/backdoor-in-police-radios-tetra-burst</a><br /> 2. <a href="https://www.theregister.com/2023/07/24/tetra_hardware_backdoor_opened_by/">https://www.theregister.com/2023/07/24/tetra_hardware_backdoor_opened_by/</a></p> <p><a href="https://eclypsium.com/research/bmcc-lights-out-forever/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AMI基板管理控制器MegaRAC出現重大漏洞，恐導致伺服器服務中斷</span></strong></a></p> <p>資安業者Eclypsium揭露American Megatrends International（AMI）的MegaRAC基版管理控制器（BMC）漏洞CVE-2023-34329、CVE-2023-34330（CVSS風險評分9.9、8.2），並指出攻擊者若是串連這些漏洞，其危險程度即達到CVSS風險評分10分。</p> <p>CVE-2023-34329為透過HTTP標頭欺騙的身分驗證繞過漏洞，CVE-2023-34330則是能藉由Dynamic Redfish Extension介面進行程式碼注入的漏洞，一旦攻擊者將兩者搭配運用，就能在取得BMC管理介面存取權限、但不知道帳密的情況下，在伺服器上執行任意程式碼、阻斷伺服器運作。由於上述的漏洞利用，是欺騙BMC將HTTP請求視為來自內部的網路連接埠而達成，若是相關的連接埠曝露於網際網路，攻擊者可直接從遠端上傳或執行任意程式碼。</p> <p>而對於上述漏洞的發現，研究人員表示，技嘉2021年遭勒索軟體RansomEXX攻擊時，駭客外流了一批機密資料，他們最近取得這些資訊之後，進行調查，因此才發現這些漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">挪威政府傳出遭到零時差漏洞攻擊</span></span></strong></a></p> <p><a href="https://www.mandiant.com/resources/blog/north-korea-supply-chain"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發現JumpCloud資安事故新證據，指出駭客與北韓軍情單位有關</span></span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/55369/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">韓國IIS網頁伺服器遭到北韓駭客Lazarus鎖定，對其散布惡意程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Ivanti修補行動裝置管理平臺的零時差漏洞</span></span></strong></a></p> <p><a href="https://www.mandiant.com/resources/blog/privileges-third-party-windows-installers"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">遠端管理工具Atera的安裝程式出現漏洞，恐被攻擊者用於提升權限</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157901">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157880">【7月20日】 Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a></strong></p> </div></div></div>
2023/7/25 17:48作者周峻佑https://www.ithome.com.tw/news/157937
Spotify調漲美國等數十個國家的訂閱費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2023-07-24/adjusting-our-spotify-premium-prices/" target="_blank">全球音樂串流龍頭Spotify周一（7/24）宣布</a>，即日起調漲包括美國在內的數十個市場的訂閱費率，這是Spotify自2011年發表以來，首次調漲美國市場的費率，把個人月租費從9.99美元調漲至10.99美元，雙人月租費從12.99美元調漲至14.99美元，適用於6人的家庭方案從15.99美元漲至16.99美元。在Spotify列出的漲價市場中，並未包含臺灣。</p> <p>Spotify提供基於廣告的免費方案，以及不同組成的付費訂閱方案，付費用戶得以享受無廣告的音樂播放，也能離線下載音樂，並支援更高品質的音樂串流服務，目前在全球擁有超過2億的付費訂閱用戶。</p> <p>2020年Spotify即曾變更費率，<a href="https://www.ithome.com.tw/news/140850" target="_blank">但當時僅調高7個市場的家庭方案費率</a>，這次則擴大漲價範圍，除了美國之外，還包括澳洲、英國、丹麥、西班牙、法國、香港、義大利、荷蘭、新加坡與泰國等數十個市場。</p> <p>而臺灣的Spotify訂閱價格則未見更動，個人每月為149元新臺幣，兩人為198元新臺幣，家庭方案則是268元新臺幣。</p> </div></div></div>
2023/7/25 16:26作者陳曉莉https://www.ithome.com.tw/news/157928
Google資安維運經驗大公開，克服5大常見挑戰，從人、流程、技術等層面思考
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了確保資安，熟練且專業的人力不足，已成為企業營運的重大議題，然而，隨著資安威脅日趨複雜，企業也必須化被動而主動，才能提升防禦與應變能力，因此該如何做到更理想的自動化與整合，是當務之急。</p> <p>在7月中舉行的2023臺灣雲端大會，恰巧探討現代資安維運挑戰，這也是SecOps領域的重點。活動中，Google Cloud客戶解決方案架構師鄭家明提出自動化資安維運實踐與建議，並揭露他們的應對方式。亦即所謂的SecOps</p> <h2><strong>威脅加劇，安全維運模式需有現代化思維</strong></h2> <p>對於資安維運的發展，鄭家明提及2個值得關注的威脅現況。根據Google旗下資安業者Mandiant最新報告數據指出，駭客從入侵開始到發動攻擊，時間是越來越短，在2011年，平均是416天，而到了2021年、2022年，已縮短至21天、16天。</p> <p>為何他們現在能在這麼短的時間發動攻擊？可能是近期攻擊者越來越懂得利用自動化程式幫助他們從事犯罪活動，使得攻擊速度變快，因此，對於資安監控人員及團隊而言，這是相當大的挑戰。</p> <p>而從監控端的狀況來看，又面臨另一個層面的挑戰，那就是自我察覺威脅的能力普遍不足。從Mandiant另一項調查數據顯示，在2022年有63%資安事件，是由外部人員通報，像是經由道德駭客或是用戶通報，也就是說，只有不到4成是內部資安人員發現。</p> <p>面對資安事件的偵測與調查，鄭家明指出，現在不論ISO 27001、PCI DSS等標準與規範，都已經將活動監控納入控制項目要求，這意味著，組織內部必須要有SOC機制運作；而威脅情資也被納入控制要求，因為這樣才能更準確了解威脅，並採取有效行動。</p> <p>對於現代化安全維運應該要有的模式，鄭家明具體描繪了樣貌。</p> <p>基本上，如同很多企業導入SIEM，需要有基本的日誌／事件統一收容能力，並要促使分散各地的稽核日誌、網路、端點、資安設備的警示，能夠做到集中管理。</p> <p>接著，在持續監控的狀態下，會面臨接收與處理大量警告的情形，因此，企業與組織的資安人員與團隊對於流程與事件的管理，不僅要制定監控規則，同時，也需要結合機器學習，建立自動化回應的機制，像是導入SOAR解決方案。</p> <p>同時，這樣的自動管理過程容易有誤判情形發生，所以需透過威脅情資的結合，監控異常存取行為或網路連線，讓監控規則可以達到更有效的管理。</p> <p>後續，在事件調查及回應與復原上，也要能夠快速反應，減少影響範圍及時間。</p> <p>更重要的是，整個維運模式也要跟著資通訊環境的狀態而演進。這是因為，對於資安團隊而言，企業與組織的環境一直都在變化，像是新的應用程式部署作法，新技術與新框架的採用，以及新漏洞、新攻擊手法的出現，因此，整個維運的循環需持續迭代演進。</p> <p>整體來看，SIEM、SOAR、威脅情資是三大關鍵，自動化科技的採用，也是隱含的一大要素。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>Google Cloud客戶解決方案架構師鄭家明指出，Google監控的資料7年內已成長30倍，所需人力僅只需擴充3倍，背後的關鍵在於，高效率的自動化科技，以及持續的流程優化。這樣的統計數據與成效揭露相當難得，讓外界更了解到</strong><strong>Google在資安監控進程上，自動化科技的助益。<span style="color:#696969;">（攝影／羅正漢）</span></strong></p> <h2><strong>想克服當前資安維運挑戰，可從3大面向、11項重點出發</strong></h2> <p>儘管上述資安維運概念勢在必行，但實際推動上，仍面臨諸多挑戰，Google Cloud認為關鍵的問題，包含下列這些：警報疲勞與誤報、多種工具整合、可視性，以及人工處理流程、人才短缺。</p> <p>鄭家明表示，前三大都可藉由技術去解決，但其餘兩個問題則與人力有關，不易克服。雖然大家看重AI的發展，但現在AI仍扮演輔助角色居多，無法完整取代人力。</p> <p>不只是一般企業與組織會遭遇到上述挑戰，Google其實也面臨這些問題，甚至需要防護的對象與範圍更廣泛。例如，他們擁有眾多雲端服務，每天收集與分析的資安日誌超過300億筆，以Gmail為例，每天阻擋超過1億次釣魚郵件攻擊，而在Google帳號的防護上，他們每天也會對10億個儲存的密碼進行密碼外洩安全檢查。</p> <p>但這些都是長期發展與改良的結果，難得的是，鄭家明也帶著大家回顧Google資安監控的發展進程。在2015年到2017年，Google的資安監控大多透過人力方式分析，找出攻擊事件的關聯，不過，在這之後，自動化逐漸開始扮演重要角色。</p> <p>例如，2022年已有超過8成比例是透過自動化方式分析，不到2成是用人力分析。而在此同時，Google監控資料卻已經成長達30倍的規模，投入這些工作的人力卻僅成長3倍。</p> <p>鄭家明指出，透過自動化的方式，將有限的人力投入需要專注的重要事情，是相當必要的。</p> <p>該如何克服現代化安全維運的挑戰？鄭家明建議，可從人、流程、技術這三大面向來思考。</p> <h3><span style="color:#B22222;"><strong>人力面</strong></span></h3> <p>這部分有兩大重點，首先是人才培育不可或缺，同時，也要聚焦，將有限人力用於關鍵活動。</p> <p>他提到，目標式的訓練很重要，有些公司每年可能都有教育訓練，但若訓練結果未反映在工作當中，會是不足之處。</p> <p>以Google為例，內部的教育訓練區分為4個等級，培訓內容會以人員的任務為目標，像是在初階課程，他們會針對Log、網路安全、應用程式方面的能力，進行培養與訓練。</p> <p>公司方面，也要給予人員的輪調與訓練計畫。他並認為，對Google資安維運人員而言，本身必須要有工程師的思維，需有足夠能力去建構監控規則，否則，只是每天處理Alert、分析Log，工作會變得乏味，也無益於整個資安監控的提升。</p> <h3><span style="color:#B22222;"><strong>流程面</strong></span></h3> <p>在流程方面，重點可以放在工作流程的改善，包括：情資、獵捕、自動化、腳本（Playbook）、驗證有效性。</p> <p>簡單來說，自動化無疑是最大關鍵，鄭家明特別強調腳本的重要性，一旦遇到資安事件，需妥善訂定各個角色該做的事情，定期進行演練也是不可或缺的流程管理，當然，有效性的驗證是相當必要的工作。</p> <p>以Google而言，為了促進採用自動化資安維運（ASO），他們在這個層面最重視的，是導入「持續偵測」與「持續回應」的工作流程，並將焦點放在4項工作，包括：增加資料可視性，資安分析結合威脅情資、自動化回應即事件管理，以及做到持續優化。</p> <h3><span style="color:#B22222;"><strong>技術面</strong></span></h3> <p>關鍵是監控工具的強化，有4個重點，包括：考量整合多重環境、雲原生SaaS、資料可視性，以及AI。</p> <p>鄭家明強調，在人力有限的情形下，組織需將資源放在監控，而不是基礎設施的維運。這項考量不僅突顯監控工具往雲端發展的態勢，環境整合亦是大勢所趨，不論是雲端、地端與終端，以及不同廠商產品等，都必須進行彙整。</p> <p>同時，他建議，短期策略可聚焦於SIEM、EDR、NDR，並測試與實驗使用SOAR，長期則是採用SaaS雲端工具，部署SOAR腳本，以及實施UEBA。</p> <p>對於Google而言，在技術層面，他們已建立Google Cloud安全維運的SecOps整合架構，並將這些工具打造成產品，讓客戶使用。</p> <p>例如，在日誌管理與監控上，他們提供Chronicle SIEM，可以統一收容各方資訊，不論是Google Cloud雲端資安防護服務，或是透過Security Command Center（SCC）偵測到的威脅，以及地端、其他公有雲，以及不同廠商EDR的日誌、警告與變動；在自動化回應與整合上，他們提供Chronicle SOAR；而在威脅情資的整合，除了基於GCP本身的威脅情資，也能涵蓋Google旗下Virustotal與Mandiant的情資。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /> </p> <p><strong>要克服現代化安全維運的挑戰，鄭家明建議可從人、流程、技術這三大面向來著手，而Google本身也是這麼做，在這三大面向均有施力。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>為了達到自動化資安維運（Autonomic Security Operations，ASO），這將要求在持續檢測與回應 (CD/CR) 的整個工作流程中，做出基於威脅情報的決策。因此，Google在流程面的對策，就是聚焦於持續偵測與持續回應，當中並有4大重點，包括：增加資料可視性，資安分析結合威脅情資、自動化回應即事件管理，以及做到持續優化。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>要解決可視性、多種工具整合、大量事件警告的挑戰，需讓日誌統一收容，讓雲端、地端、終端及不同廠商產品可以整合，用威脅情資幫助決策</strong>，<strong>在技術面，Google也建立起Google Cloud安全維運的SecOps整合架構，在這樣的雲端SOC之下，當中涵蓋可統一收容日誌的Chronicle SIEM，可自動化回應與整合的Chronicle SOAR，以及威脅情資面有來自GCP本身及自家旗下Virustotal與Mandiant的情資。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>資安維運進入AI協力新世代</strong></span></h2> <p>整合生成式AI是當前資安維運作法的重大突破，兩大雲端服務業者紛紛發表解決方案，例如，微軟3月發布Security Copilot，相隔一個月後，Google也提出Sec-PaLM。</p> <p>這類應用可為企業與組織資安維運帶來何種效益？鄭家明指鄭家明指出，目前Sec-PaLM可用於總結、分類、產出等三個層面。</p> <p>在總結能力上，其訓練是以事件敘述加上專業術語，因此AI可清楚說明惡意腳本的行為，並且總結威脅情資的資訊，以及可實施的控制流程；在分類能力上，其訓練內容是惡意軟體及漏動程式碼，可辨識惡意軟體、識別程式碼的漏洞等；在產出能力上，其訓練將根據監控規則的特殊語法，以及事件日誌的資料結構，藉此產生YARA-L監控規則，以及產生SOAR腳本等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）Google SecOps_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>對於資安監控維運中心（SOC）的強化，Google Cloud客戶解決方案架構師鄭家明從人、流程與技術的角度，分享如何在短、中、長期強化企業安全運維及管理。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Google%20SecOps_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>對於SOC監控能力成熟度的展現，Google定義了4階段來說明，從最早的各自為政，進入到整合階段、自動化階段，最終朝向主動監控。<span style="color: rgb(105, 105, 105);">（攝影／羅正漢）</span></strong></p> </div></div></div>
2023/7/25 16:40作者羅正漢https://www.ithome.com.tw/news/157923
AMD修補可造成Zen 2 CPU資料外洩的Zenbleed漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html" target="_blank">AMD昨日發出安全公告</a>，以修補可讓攻擊者從數款Ryzon及EPYC處理器取得密碼、金鑰等機密資訊的Zenbleed漏洞。</p> <p>這項漏洞正式編號為CVE-2023-20593，是影響AMD Zen 2 CPU的使用已釋放記憶體（use-after-free）類型瑕疵。它是知名Google安全研究人員<a href="https://twitter.com/taviso/status/1683484820817444866" target="_blank">Tavis Ormandy發現與通報</a>。</p> <p>這項漏洞出在AMD CPU在現代處理器進行推測執行（speculative execution）過程中，處理vzeroupper指令不當，而給攻擊者引發資訊洩露的機會。正常的處理器執行vzeroupper時，若發現其推測錯誤，會將YMM暫存器置零，以便把暫存器用作其他運算之用。<a href="https://lock.cmpxchg8b.com/zenbleed.html" target="_blank">Ormandy解釋</a>，因為AMD的這個臭蟲，攻擊者在精準排程下，使用某些程式引發可造成指令無法正確將暫存器置零，也就是當中還留有資料，以致於被後來其他使用YMM暫存器的應用程式存取，可能造成敏感資訊外洩。Ormandy將之稱為Zenbleed。</p> <p>Google研究人員發現，受到這漏洞影響的AMD產品包括Ryzen 3000、Threadripper 3000、4000、PRO 4000、5000、7020處理器及EPYC Rome處理器等8項產品。AMD將這項漏洞風險值列為中度，並已釋出更新版微碼加以解決。</p> <p>研究人員在其概念驗證攻擊中，觸發XMM暫存器合併優化（XMM Register Merge Optimization）暫存器重新命名及vzeroupper錯誤推測等情境，造成AMD處理器以每秒每核心30kb的速度外洩資料。他說，這速度就足以在用戶登入時竊取加密金鑰和密碼。</p> <p>研究人員也將完整安全公告及相關程式碼全數在<a href="https://github.com/google/security-research/tree/master/pocs/cpus" target="_blank">GitHub上的Google安全儲存庫上公開</a>，包括<a href="https://lock.cmpxchg8b.com/files/zenbleed-v5.tar.gz" target="_blank">攻擊程式</a>。雖然這程式碼是執行於Linux平臺，但研究人員警告漏洞影響所有作業系統。</p> </div></div></div>
2023/7/25 15:19作者林妍溱https://www.ithome.com.tw/news/157925
Google Play Services將終止支援Android KitKat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2023/07/google-play-services-discontinuing-updates-for-kitkat.html" target="_blank">Google本周宣布</a>，Play Services將從8月起終止支援10年前推出的Android 4.4 KitKat。</p> <p>KitKat是在2013年秋天釋出。Google表示，從那之後Android已經增加許多新功能，這些KitKat上都沒有。而且，隨著新款智慧型手機不斷推出，用戶裝置已漸漸採用更新版本的Android，截自今年7月，KitKat市占率已低於1%，因此未來Google Play Service的應用及功能將不支援KitKat。執行這個版本的裝置從Play Service APK 23.30.99版本之後，下個月開始不會再接到更新的版本。</p> <p><a href="https://www.appbrain.com/stats/top-android-sdk-versions" target="_blank">根據市調機構App Brain的估計</a>，目前在所有Android版本中，KitKat占比為0.5%。占比最大版本為Android 11（24.5%），其次為Android 12（18.3%），以及Android 13（16.8%）和Android 10（16.5%）。</p> </div></div></div>
2023/7/25 15:34作者林妍溱https://www.ithome.com.tw/news/157926
Worldcoin釋出World加密貨幣錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由OpenAI執行長Sam Altman共同創辦的<a href="https://twitter.com/worldcoin/status/1683372181428793344/photo/1" target="_blank">Worldcoin在本周一（7/24）正式發表了World加密貨幣錢包</a>，而包括幣安（Binance）與OKX等加密貨幣交易平臺，也<a href="https://www.binance.com/en/support/announcement/binance-will-list-worldcoin-wld-9bc08522433c44b1b0b9978d65c4f5e5" target="_blank">宣布開放Worldcoin代幣（WLD）的交易</a>。</p> <p><a href="https://www.ithome.com.tw/news/147437" target="_blank">Altman早在2021年就發表了Worldcoin</a>，企圖建立普及的加密貨幣生態體系，宣稱為了區隔AI與人類的差別，以虹膜辨識來確認地球上每一個人的獨特身分，使用者只要掃描自己的虹膜，便能換取25個WLD，同時獲得World ID。</p> <p>Worldcoin在全球招攬虹膜掃描機器Orb的營運商，以協助該專案擴大用戶，迄今已於全球逾30個國家部署了大量的Orb營運商，並有超過200萬名使用者取得World ID，當中有32.1%位於亞洲，31.6%位於非洲，18.8%位於拉丁美洲，歐洲也占了17.1%。</p> <p>目前幣安平臺上列出的每枚WLD價格為2個USDT，約等於2美元。</p> <p>儘管Worldcoin強調使用者的隱私受到保障，且確認身分且擁有World ID將可推動全球性的應用，然而，外界對於貢獻自己的虹膜資料仍有不少疑慮，亦傳出Worldcoin鎖定開發中國家進行推廣，或是有使用者向開發中國家的民眾購買虹膜資料以建立World ID的爭議。</p> </div></div></div>
2023/7/25 16:02作者陳曉莉https://www.ithome.com.tw/news/157927
研究人員發現軍警專用的TETRA無線通訊標準含有多個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tetraburst.com/" target="_blank">荷蘭資安業者Midnight Blue本周指出</a>，他們在專為軍警、政府機構、緊急服務及鐵路運輸等服務設計的無線通訊標準Terrestrial Trunked Radio（TETRA）發現了5個安全漏洞，它們將允許駭客干預軍警或關鍵基礎設施的無線通訊，而這也是20年來首個針對TETRA標準的安全研究。</p> <p>TETRA是在1995年由歐洲電信標準協會（European Telecommunications Standards Institute，ETSI）所訂定的無線通訊標準，被應用在全球逾100個國家，也是美國地區之外最普及的警用無線電通訊系統。TETRA奠基在許多密碼學演算法之上，涵蓋TETRA身分認證演算法TAA1，以及從TEA1到TEA4的TETRA加密演算法套件，其中的TEA1與TEA4可供商業使用，TEA2與TEA3則是專供緊急服務使用。</p> <p>Midnight Blue總計在TETRA中發現5個安全漏洞，分別是CVE-2022-24401、CVE-2022-24402、CVE-2022-24404、CVE-2022-24403與CVE-2022-24400。前兩個屬於重大（Critical）漏洞，CVE-2022-24401漏洞肇因於用來生成無線通訊空中介面加密金鑰的Air Interface Encryption（AIE）系統，所依賴的網路時間是公開廣播的，可能引發解密預言攻擊；涉及TEA1演算法的CVE-2022-24402漏洞則可將原本80位元的金鑰，縮短成可於幾分鐘之內成功暴力破解的長度。</p> <p>至於CVE-2022-24404漏洞則源自AIE缺乏密碼身分認證，可導致延展性攻擊；CVE-2022-24403是因用來混淆無線電身分的加密設計太薄弱，而讓駭客可得知使用者身分並進行追蹤；CVE-2022-24400屬於身分認證演算法的缺陷，讓駭客得以擺布Derived Cypher Key，讓系統的安全機制失效。</p> <p>研究人員指出，不管是CVE-2022-24401或CVE-2022-24404漏洞，都可用來攔截缺乏端對端加密（E2EE）保護的通訊流量，或是於相關流量中注入惡意訊息，意謂著它們將讓駭客干預警方或軍方的無線通訊。</p> <p>而若CVE-2022-24402被攻陷了，駭客將可攔截許多私人安全服務的無線通訊，包括港口、機場或鐵路等，還能注入資料流量以干預設備的運作。</p> <p>Midnight Blue針對上述漏洞提出了許多緩解建議，包括部署韌體更新，採用端對端加密，以及切換至TAA2等。</p> <p>其實Midnight Blue自2021年1月便啟動了TETRA專案，期間陸續通知各國的資安機構、執法機關與製造商，一直到本周才公開漏洞細節，目前並不確定相關漏洞是否曾遭到利用。</p> </div></div></div>
2023/7/25 15:00作者陳曉莉https://www.ithome.com.tw/news/157924
國泰世華銀行揭露3年上雲經驗，分階段已完成10多套系統遷雲，更要朝向多公雲策略發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以往企業上雲方式，許多都只是把地端VM搬上公雲，其他幾乎沒有改動，這樣的上雲模式，雖然系統開發成本最低、上雲相較容易，但日後雲端維運需要付出額外的成本開銷可能比你我想像中更多。國泰世華銀行副總王志峰近日在一場活動中分享了3年來國泰世華銀行上雲經驗時這樣點出。</p> <p>國泰世華銀行很早就展開雲端轉型旅程，更是國泰金控集團中第一家開始上雲的金融機構。上雲也是國泰世華銀行的資訊轉型重要策略之一，通過瘦核心、強中台，達到上雲的目標。「現在不上雲，以後可能來不及」王志峰這樣表示。</p> <p>決定要上雲後，第一步是要定義出雲端發展框架，並決定哪些系統該上雲，或哪些系統維持在地端不上雲，王志峰表示，國泰世華銀行單是內部資訊系統，就有300多套，因此不是所有系統都會上雲。</p> <p>但金融業上雲，如何確保資安是一大考量，尤其雲端資安和地端的資安，需要考慮不同環節，因此，他們花了2年，建立相關的雲端安全控管制度、治理規範，及資安措施，接著才逐步展開系統上雲搬遷作業。</p> <p>由於金融業是高度監管的行業，上雲需要遵守相關委外規範，因此，國泰世華銀行一開始展開系統測試搬移作業前，不只要董事會通過，還需要經過主管機關同意，才能放行，因此作業上耗費不少時間。</p> <p>不過，王志峰表示，近年來金融業上雲法規逐漸鬆綁，甚至今年8～9月還有另一場法規鬆綁說明會即將召開，將使得金融業者以後很多上雲採用更容易，但相對地，需要承擔更大責任，來強化雲端維運、資安防護等，確保提供安全便利不中斷的金融服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009627.jpg" style="width: 600px;" /></p> <p>國泰世華銀行從3年前上雲，迄今完成了約10多個系統上雲，包含關鍵或非關鍵系統。這3年上雲經驗，讓王志峰體會到，雲端雖然有其效益，但這並不意味著，上雲一定會比用企業自己的機房省錢，關鍵在於企業採用何種上雲模式，這將可能影響到日後上雲的維運成本，是否造成不必要的成本浪費。</p> <p>王志峰舉例，剛上雲時，其中有個類似總務相關登記系統上雲，它是一個很簡單的程式，所以上雲方式也很單純，就是直接在雲端開了一個VM，然後將本地VM搬上雲，因為這是國泰世華銀行第一次上雲，所以雲端VM設定的參數照著地端的實體機設定，結果發現，一個月下來，系統每月的使用次數只有100～200次，可是，一個月的雲端費用就要燒掉5萬元。</p> <p>後來他們發現這樣下去不行，而決定把這套系統從雲端又搬回地端，並重新改寫，變成是雲原生架構的容器應用程式，再將它搬上雲。這次上雲模式，就不是整個VM搬上雲，而是以Cloud Native方式在公雲環境中運作，因此只有需要使用服務時才會開啟，不需要時則會關閉。他表示，透過上雲模式的轉變，讓該服務的使用費用因此大幅下降了幾乎一半以上。</p> <p>國泰世華銀行將這段上雲旅程分4階段，第一階段是在2020年啟動公有雲旅程，開始規畫和評估，到2022年則進到公雲採用階段，開始將資訊系統搬上公雲，這是第2階段，第三階段則是從2023年起持續優化並確保雲端服務安全及提升效率與效力，最後階段更要朝向多公雲策略發展，打造現代化雲原生應用，達到金融業的轉型。</p> <p>王志峰表示，國泰世華銀行的雲端策略的願景，是透過建立穩固的雲端基礎，包含資安基礎、架構基礎，來推動金融業轉型，以此打造成為一家高效的雲端數位企業，讓這家公司不論是金融創新或數位創新領域都能夠有不一樣的應用，「這是我們的核心精神」他說。</p> </div></div></div>
2023/7/25 10:41作者余至浩https://www.ithome.com.tw/news/157921
推特退位，X正式問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在馬斯克（Elon Musk）<a href="https://www.ithome.com.tw/news/157907" target="_blank">預告變更品牌和logo</a>不到一天，社交平臺推持在周一（7/24）全面改頭換面，撤除了青鳥logo，改名為X。</p> <p><a href="https://twitter.com/elonmusk/status/1683171310388535296" target="_blank">馬斯克宣布</a>，X.com將指向twitter.com，而過渡性的X logo於今天上線。馬斯克的簡介欄也寫上X.com。之後他正式<a href="https://twitter.com/elonmusk/status/1682978324375543808" target="_blank">張貼出新的「X」logo</a>及以燈光打上新logo的<a href="https://twitter.com/elonmusk/status/1683378289031761920" target="_blank">舊金山辦公室大樓外觀</a>。</p> <p>X.com是Paypal的舊名X.com，馬斯克在2002年將Paypal賣給了eBay，他後來於2017年向Paypal買回這個網域名，用於新問世的社交平臺。雖然X.com還保有顯示帳號認證過的藍底白勾勾，但經典的小鳥logo已不復見，網頁上的藍色調也大幅讓位給了X的黑色調。<a href="https://twitter.com/elonmusk/status/1645266104351178752" target="_blank">周一一名用戶也貼出</a>工程人員正在拆除@twitter和青鳥的公司招牌的景像。</p> <p><a href="https://twitter.com/lindayacc/status/1683213895463215104" target="_blank">X公司執行長Linda Yaccrino指出</a>，X是無限互動性的未來狀態，以影片、音訊、訊息、支付為中心創造出創新點子、商品、服務和商機的全球交易市場。X以AI驅動，將以各種嶄新方式將人們串連在一起。她並說，推特曾經掀起風潮和改變人們溝通的方式，現在X將更進一步改造全球論壇的面貌。</p> <p>截至本文發布前，<a href="https://apps.apple.com/tw/app/twitter/id333903271" target="_blank">Twitter iOS</a>及<a href="https://play.google.com/store/apps/details?id=com.twitter.android&hl=zh_TW&gl=US" target="_blank">Android App</a>都還掛在蘋果App Store及Google Play Store上，顯示X.com的App尚未準備就緒，但依據馬斯克的高效率作風，應該不久後就能下載新App了。</p> <p>變身效果如何有待時間證明，不過至少有部份媒體似乎不看好，<a href="https://techcrunch.com/2023/07/24/as-twitter-destroys-its-brand-by-renaming-itself-x-mastodon-usage-numbers-are-again-soaring/" target="_blank">《Techcrunch》</a>稱此舉為「摧毁自己的品牌」，<a href="https://twitter.com/cb_doge/status/1683002922999877632" target="_blank">也有用戶不喜歡新logo</a>，批評X.com logo來自1999年（Paypal在1998年成立），意指來自舊時代。</p> <p>推特變更品牌及logo是否會再激發一波用戶出走潮值得觀察，不過競爭App都小有斬獲。<a href="https://www.ithome.com.tw/news/157728" target="_blank">市調公司估計</a>Bluesky累計了110萬App下載次數。<a href="https://mastodon.social/@Gargron/110758117937490286" target="_blank">Mastodon主持人Eugen Rochko上周宣布</a>過去幾周每月平均用戶數來到210萬，距離最高峰不遠。</p> <p>Meta的Threads是最有潛力挑戰X的另類服務，該App 7月6日上線後5天用戶數衝到1.05億，儘管已從高峰下滑。</p> </div></div></div>
2023/7/25 09:39作者林妍溱https://www.ithome.com.tw/news/157922
【資安日報】7月24日，駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了方便民眾繳納規費，許多公營事業都在積極提供並推廣行動裝置App，有駭客假借這些資訊來散布手機惡意軟體，例如，<a href="https://www.ithome.com.tw/news/156783#fluhorse">5月資安業者Check Point發現名為FluHorse的安卓惡意軟體</a>，就是假借遠通電收ETC的App對臺灣民眾下手。而類似的攻擊行動，最近也在日本出現。資安業者McAfee揭露針對日本民眾的惡意軟體SpyNote，攻擊者聲稱手機用戶的電費或水費欠繳，要求依照指示下載App進行處理。</p> <p>勒索軟體Mallox的攻擊行動也相當值得留意，因為出現大幅增加的現象，駭客初期入侵受害組織的管道，就是針對微軟SQL Server而來。</p> <p>中國駭客組織Storm-0558濫用微軟帳號（MSA）金鑰挾持25個組織的電子郵件，微軟已做出緊急處置，但有資安業者發現，駭客濫用的金鑰不僅能存取雲端電子郵件服務Outlook.com，還能登入其他微軟的服務。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/android-spynote-attacks-electric-and-water-public-utility-users-in-japan/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本安卓用戶遭遇惡意軟體SpyNote攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SpyNote-2023-07-21.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SpyNote-2023-07-21.jpg" style="width: 300px; float: right;" /></a>資安業者McAfee揭露針對日本安卓用戶而來的惡意軟體SpyNote攻擊行動，駭客自6月7日開始，假冒東京電力公司、東京都水道局（東京都自來水公司）的名義寄送簡訊，聲稱使用者因支付電費或水費出現異常，即將面臨斷電、斷水的情況，並附上網址要求用戶確認。一旦使用者點選連結，手機就會透過網頁瀏覽器下載冒牌的東京電力公司、東京都水道局App，若是安裝這些應用程式，手機就有可能感染惡意軟體SpyNote。</p> <p>此惡意軟體濫用安卓作業系統的輔助功能及裝置管理員權限，竊取手機裡的使用者敏感個資，例如裝置資訊、聯絡人名單、寄送及收到的簡訊，以及通話記錄等，此外，還能竊取Google Authenticator的動態密碼，以及Gmail與臉書資料。</p> <p>透過使用者授權啟用輔助功能的權限，此惡意程式能夠在背景運作，並開啟能從Google Play市集以外的來源安裝應用程式的權限，以便進一步部署其他惡意軟體。</p> <p><a href="https://unit42.paloaltonetworks.com/mallox-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Mallox鎖定微軟SQL Server而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-129264-8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-129264-8.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks提出警告，他們今年上半看到勒索軟體Mallox的攻擊行動大幅增加，較2022年下半增加了174%。</p> <p>研究人員指出，這些駭客自2021年出沒，主要的入侵的管道都是透過微軟SQL Server，駭客藉由暴力破解來取得權限，成功後便使用命令列工具與PowerShell，從遠端伺服器下載勒索軟體檔案，然後利用WMI來執行Mallox，來進行檔案加密的工作。</p> <p>為了讓檔案加密的流程順利，駭客會先利用一系列Windows內建程式，來阻斷處理程序，或是刪除備份資料，例如：透過sc.exe和net.exe，來終止並刪除SQL有關的服務；然後清除磁碟區陰影複製（Volume Shadow Copy）的備份資料、以wevtutil命令列工具清除系統的事件記錄、以takeown.exe竄改重要處理程序（如cmd.exe）的存取權限、以taskkill.exe終止防毒軟體有關的處理程序與服務等。比較特別的是，攻擊者也特別對於名為Raccine的勒索軟體反制工具，竄改電腦的機碼讓其功能失效。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-15k-citrix-servers-vulnerable-to-cve-2023-3519-rce-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾1.5萬臺Citrix Netscaler伺服器曝露於CVE-2023-3519的風險當中</span></strong></a></p> <p>7月18日Citrix針對旗下的應用程式交付控制器NetScaler ADC（原名Citrix ADC）、SSL VPN系統NetScaler Gateway（原名Citrix Gateway）修補重大漏洞CVE-2023-3519（CVSS風險評分9.8），該公司表示已有人用於攻擊。但仍有不少IT人員尚未部署更新程式，而導致這些NetsScaler設備仍然曝露於上述漏洞的風險。</p> <p>Shadowserver基金會的研究人員著手進行調查，發現至少有1.5萬臺伺服器存在上述漏洞，其中約有三分之一（5,700臺）在美國，德國、英國各有約1,500臺、1,000臺曝險。研究人員指出，部分存在漏洞的版本並未提供版本資訊，他們統計的數字可能遠低於實際曝險數量。</p> <p><a href="https://blog.virustotal.com/2023/07/apology-and-update-on-recent-accidental.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體分析平臺VirusTotal對於資料外洩事件進行公開說明</span></strong></a></p> <p>上週惡意軟體分析平臺VirusTotal傳出資料外洩的事故，導致約有5,600筆用戶姓名的名單在網際網路上公開，包含了美國國家安全局（NSA）、德國情報單位的成員，以及臺灣、荷蘭、英國的政府機構。Google Cloud坦承確有此事，是VirusTotal員工作業過程不慎所致，現在他們對此提出進一步說明。</p> <p>VirusTotal於7月21日發布公告，指出6月29日有員工不小心將CSV檔案上傳至VirusTotal網站，此CSV檔案的內容包含了進階用戶的部分資料，像是所屬公司、與VirusTotal有關的群組名稱、組織管理員的電子郵件信箱等。VirusTotal強調這起事故是人為疏失，他們沒有遭到網路攻擊。</p> <p><a href="https://www.wiz.io/blog/storm-0558-compromised-microsoft-key-enables-authentication-of-countless-micr"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對中國駭客濫用的微軟帳號簽章，有研究人員警告影響範圍廣泛，攻擊者能用來存取其他微軟服務</span></strong></a></p> <p>7月中傳出中國駭客組織Storm-0558濫用微軟帳號（MSA）的簽章金鑰，偽造用於身分驗證的Token，進而取得約25個組織的電子郵件帳號，其中受害者不乏美國聯邦機構與政府官員，而引起當地媒體高度關注。對此，微軟已撤銷外洩的金鑰因應，並表示只會影響雲端電子郵件服務Outlook.com、Outlook Web Access in Exchange Online（OWA），但有研究人員認為影響範圍不只於此。</p> <p>資安業者Wiz提出警告，駭客只要藉此MSA金鑰就能偽造Azure AD應用程式的Token，還能存取其他以微軟帳號登入的服務，例如：SharePoint、Teams、OneDrive等。研究人員認為，即使微軟已經撤銷此金鑰，組織的IT人員還是難以確認相關應用程式是否出現偽造Token的情況。</p> <p><a href="https://www.bleepingcomputer.com/news/security/clop-now-leaks-data-stolen-in-moveit-attacks-on-clearweb-sites/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop建置可透過網際網路存取的網站，公布受害組織的內部資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/clop-clearweb.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/clop-clearweb.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客Clop疑似索討贖金不成，傳出竟在網際網路上公布部分受害組織遭竊資料。根據資安新聞網站Bleeping Computer的報導，研究人員Dominic Alvieri看到駭客開始模仿勒索軟體駭客BlackCat的手法，在網際網路架設數個公開網站，洩露普華永道（PwC）會計師事務所、怡安（Aon）、安永會計師事務所（Ernst & Young）、好市多旗下品牌科克蘭（Kirkland）、線上股市交易平臺TD Ameritrade的資料。但有別於BlackCat建置了受害組織的查詢資料庫，Clop的網站僅提供外洩資料下載。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/21/fact-sheet-biden-harris-administration-secures-voluntary-commitments-from-leading-artificial-intelligence-companies-to-manage-the-risks-posed-by-ai/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">7大業者承諾促進AI安全</span></strong></a></p> <p>包含OpenAI在內，微軟、Amazon、Google、Meta、Anthropic、Inflection等7家大型人工智慧業者，在7月21日一起向美國白宮提出安全承諾，將協助AI技術朝向安全、可靠、更為透明的方向進行發展。這些業者將在推出相關產品之前確保其安全，亦會以安全為優先來建置系統。</p> <p>公開向政府承諾之餘，上述業者也表示，會與業界、政府、社會、學術界分享AI管理的資訊，也將投注網路安全及內部威脅管理，保護私有及尚未公布的機器學習語言模型；在此同時，他們也會尋求與第三方單位合作，以找出AI系統的漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://ais3.org/Home/Course"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2023年AIS3新型態資安實務暑期課程將於7月24日開跑</span></span></strong></a></p> <p><a href="https://decoded.avast.io/martinchlumecky/hotrat-the-risks-of-illegal-software-downloads-and-hidden-autohotkey-script-within/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體HotRat透過盜版軟體散布</span></span></strong></a></p> <p><a href="https://blog.checkpoint.com/security/facebook-flooded-with-fake-ads-for-chatgpt-google-bard-and-other-ai-services-tricking-users-into-downloading-malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體假冒ChatGPT或其他AI工具，透過臉書貼文散播</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157901">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157880">【7月20日】 Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157865">【7月19日】惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分</a></strong></p> </div></div></div>
2023/7/24 16:31作者周峻佑https://www.ithome.com.tw/news/157914
8月起微軟將自動把Windows Mail與Windows Calendar切換成Outlook for Windows
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日透過Microsoft 365 MC650424公告向用戶宣布，自今年8月起，將自動把Windows用戶系統上的Windows Mail與Windows Calendar置換成新的Outlook for Windows，但之後使用者仍可自行切換回原來的版本。</p> <p><a href="https://insider.microsoft365.com/en-us/blog/new-outlook-for-windows-available-to-all-office-insiders" target="_blank">微軟是自去年9月開始測試Outlook for Windows</a>，打算以它來取代Windows中的電子郵件（Mail）、行事曆（Calendar）及通訊錄（People）程式，<a href="https://support.microsoft.com/en-us/office/outlook-for-windows-the-future-of-mail-calendar-and-people-on-windows-11-715fc27c-e0f4-4652-9174-47faa751b199" target="_blank">且根據微軟的規畫</a>，從2024年起，所有新的Windows 11裝置都會內建Outlook for Windows作為該平臺的預設郵件程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Outlook%20for%20Windows-by%20Microsoft%20Design-600-3%2B4.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></p> <p>此外，微軟於Microsoft Store中供應Mail與Calendar程式的最後期限，為2024年年底。</p> <p>即將成為Windows 11的預設程式的Outlook for Windows支援第三方郵件信箱，包括熱門的Yahoo!Mail與Gmail，同時也整合了行事曆與通訊錄功能，內建了微軟的網釣與詐騙預防機制，只要一鍵就能連至各種Microsoft 365服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Outlook%20for%20Windows-by%20Microsoft%20Design-600-2-V2(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>專門訓練微軟產品人才的<a href="https://techcommunity.microsoft.com/t5/outlook/new-outlook-for-windows-is-coming-september-2024/m-p/3850309" target="_blank">Teresa B. Cyrus則在微軟的科技社群中引用微軟的公告</a>，指出Outlook for Windows正式取代Mail/Calendar程式的時間點為2024年的9月。</p> </div></div></div>
2023/7/24 15:29作者陳曉莉https://www.ithome.com.tw/news/157913
OpenAI、微軟與Google等7大AI業者向白宮承諾將維護AI安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如同眾多業者在2021年<a href="https://www.ithome.com.tw/news/146396" target="_blank">對美國網路安全所作出的承諾</a>，上周五（7/21）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/21/fact-sheet-biden-harris-administration-secures-voluntary-commitments-from-leading-artificial-intelligence-companies-to-manage-the-risks-posed-by-ai/" target="_blank">7大人工智慧（AI）業者也對如何控管AI所帶來的風險作出了安全承諾</a>，涵蓋OpenAI、微軟、Amazon、Google、Meta、Anthropic與Inflection，它們向美國白宮承諾，將自願協助AI技術走向安全、可靠與透明的發展。</p> <p>白宮指出，開發這些新興技術的企業有責任確保它們的產品是安全的，為了發揮AI的絕大部分潛力，拜登政府鼓勵該產業堅持最高標準，不讓美國人的權利與安全成為創新的代價。</p> <p>這7家業者同意在推出產品前確保其安全，也會在建置系統前以安全為優先考量，包括會在AI系統釋出前進行內部與外部的安全測試；願意與該產業、政府、社會及學術界分享AI管理的資訊；將投資網路安全與內部威脅防護機制，以保護私有及未發表的模型權重；將與第三方合作以找出AI系統的漏洞。</p> <p>此外，為了贏得大眾對AI系統的信任，上述企業亦將打造可標記AI生成內容的技術，像是浮水印系統；也會公開對外說明其AI系統的能力、限制，以及適用或不適用的領域；將針對AI系統可能帶來的社會風險展開研究，諸如避免有害的偏見與歧視，同時保護隱私；將發展與部署可協助解決社會關鍵挑戰的先進AI系統，如預防癌症或減緩氣候變遷。</p> <p>拜登政府一方面凝聚美國AI企業，亦正於美國制定一項行政命令，以尋求立法，另一方面則與國際合作，企圖建立一個國際框架，來管理AI的開發與使用，目前已與澳洲、加拿大、巴西、德國、印度、新加坡、韓國等逾20個國家就自願承諾進行了協商，同時將藉由在各國舉行的重要AI會議上推動全球共識。</p> </div></div></div>
2023/7/24 13:33作者陳曉莉https://www.ithome.com.tw/news/157911
【資安週報】2023年7月17日到7月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞消息中，有3個漏洞利用情形最受關注，主要是Citrix在18日修補影響NetScaler ADC、NetScaler Gateway的CVE-2023-3519漏洞，當時已獲報遭鎖定利用，而Adobe在11日修補ColdFusion產品CVE-2023-29298後，資安業者發現開始出現駭客針對該漏洞與另一零時差漏洞的攻擊情形，後續Adobe又在17日修補CVE-2023-38205漏洞。此外，郵件伺服器系統Zimbra被發現遭用於攻擊的零時差漏洞，要注意後續更新修補釋出，還有物聯網裝置的即時通訊服務框架QuickBlox存在漏洞，AMI的基板管理控制器MegaRAC的重大漏洞揭露，以及CI/CD代管服務Google Cloud Build的設計缺陷揭露，需要留意。</p> <p>在最新威脅與攻擊活動上，有三大焦點受關注，首先是駭客組織TeamTNT發起殭屍網路Silentbob攻擊行動，受到多家資安業者揭露，其目標是眾多類型伺服器，甚至Azure與GCP也再其攻擊範圍；其次是惡意軟體AVrecon針對SOHO族路由器設備的揭露，研究人員指出其規模更甚於Qakbot，並在近年兩年多時間內一直未被發現；第三是中國駭客組織Mustang Panda透過USB裝置散布惡意軟體Sogu，以及UNC4698針對亞洲石油與天然氣業者散布惡意軟體Snowydrive的揭露。</p> <p>而在資安事件方面，以IT管理服務業者JumpCloud遭國家級駭客網路攻擊，雅詩蘭黛同時被BlackCat、Clop勒索軟體宣稱為其受害者，最受關注。此外，還有惡意程式分析平臺VirusTotal驚傳資料外洩的消息。</p> <p>這段期間，有多個新興威脅活動也引發資安界的注目，例如，有網路犯罪論壇兜售專為惡意活動設計的WormGPT工具；勒索軟體故意用資安業者名義、取名SophosEncrypt，不知是為了挑釁或是混淆資安人員辨識；UEFI惡意程式BlackLotus傳出原始碼外洩；尚未登陸歐洲的Meta社交平臺Threads，其冒牌App竟登上蘋果App Store該地區第一名。另有一項資安研究也值得我們警惕，德國亞琛工業大學研究人員指出有2萬8千多個（佔整體調查8.5%）的Docker映像檔，包含不該洩露外界的私鑰、API密鑰與其他敏感資訊。</p> <p>在防護焦點方面，近日FIRST公布CVSS風險評分4.0預覽版本，目前徵集意見中，新變化在於改進精細程度，並是首度針對OT、ICS、IoT提供額外評估指標。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157828"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月17日】駭客打造專門用於網路犯罪的AI語言模型WormGPT，可製作更具說服力的惡意郵件</span></strong></a></h3> <p>駭客利用生成式語言模型產生用於網路釣魚、商業郵件詐騙（BEC）攻擊的情況，不少是利用紅極一時的ChatGPT，產生相關信件的內容。但最近有人在網路犯罪論壇推出專為駭客量身打造的AI工具WormGPT，研究人員進行驗證後發現其威力極為強大，不僅產生出來的信件內容幾乎沒有什麼瑕疵，就連郵件安全系統也難以偵測出攻擊特徵。</p> <p>Meta甫推出的社交平臺Threads並未在歐洲地區提供服務，也成為駭客用來發動攻擊的目標。有開發人員發現，駭客假借提供此社交網站App的名義，在歐洲數個國家的蘋果App Store市集上架，且離譜的是，這冒牌App竟登上社交網站類型的第一名，顯然有不少使用者上當。</p> <p>有許多發動殭屍網路攻擊的駭客，會無所不用其極地壓榨受害電腦的各式資源，但也有人選擇低調行事，等到數年後被發現時，已形成大型殭屍網路，例如，有資安業者最近揭露的惡意軟體AVrecon攻擊行動就是如此，駭客感染逾7萬臺路由器，其規模迄今已超越惡名昭彰的QBot。</p> <h3><a href="https://www.ithome.com.tw/news/157850"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月18日】駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲</span></strong></a></h3> <p>駭客組織TeamTNT的攻擊行動Silentbob引起研究人員高度關注，先是有資安業者Aqua Security揭露攻擊行動的部分樣貌，駭客的殭屍網路攻擊範圍不只包含了Docker、Kubernetes環境，還有多種資料庫及網頁伺服器的伺服器，現在有另外2家資安業者也公布他們的調查結果，指出這些駭客原本的攻擊範圍是AWS，但現在也打算擴及Azure與Google Cloud Platform（GCP）。</p> <p>針對應用程式開發系統而來的攻擊行動，也相當值得留意。資安業者Rapid7指出，他們發現有人針對Adobe ColdFusion伺服器發動攻擊，利用的就是上週才修補的漏洞CVE-2023-29298。</p> <h3><a href="https://www.ithome.com.tw/news/157865"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月19日】惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分</span></strong></a></h3> <p>專門提供分析惡意軟體的知名網站VirusTotal竟出現了資安事故，而引發全球關注。而這份外洩的資料是逾5千筆使用者的姓名與電子郵件帳號，值得留意的是，此處列出的資安人員，來自歐美多個公私部門，亦有臺灣政府機構。後續效應需觀察。</p> <p>攻擊者針對安卓手機發動惡意軟體攻擊的管道，多半是在Google Play市集上架App的方式進行，但最近又有新的手法能夠繞過該市集的審核機制。資安業者RIFFsec、電腦資安事件應變小組CSIRT KNF揭露利用WebAPK技術的攻擊行動，而能突破上述市集與作業系統的防護機制，於使用者手機部署惡意軟體。</p> <p>有勒索軟體駭客將腦筋動到了資安業者身上，想要嫁禍給這類公司。研究人員發現了名為SophosEncrypt的勒索軟體，一度以為是資安業者Sophos用於紅隊演線的工具，但該公司對此表示否認。</p> <h3><a href="https://www.ithome.com.tw/news/157880"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月20日】Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</span></strong></a></h3> <p>開發環境的相關應用系統出現漏洞，所帶來的威脅很有可能連帶波及用戶。例如，資安業者Orca、Rhino Security Labs對於Google旗下的CI/CD代管服務Cloud Build提出警告，當中存在權限提升漏洞Bad.Build，駭客可趁機在該服務代管的映像檔植入惡意程式碼，危害取用這些映像檔進行組建程序的應用系統。</p> <p>這幾天，知名的化妝保養品業者雅詩蘭黛證實遭到網路攻擊，但目前遇害情況仍相當混亂，因為該公司可能同時受到兩個勒索軟體團體的攻擊。因為，同時有2個勒索軟體駭客組織Clop、BlackCat（Alphv）聲稱對其下手，且突破該公司採用的微軟及Mandiant資安防護服務。後續情況有待進一步追蹤。</p> <p>中國駭客APT41的攻擊行動相當值得留意，資安業者Lookout針對間諜軟體WyrmSpy及DragonEgg進行調查，找出攻擊者的身分就是APT41，並指出該組織的攻擊標的已從電腦逐漸轉向行動裝置。</p> <h3><a href="https://www.ithome.com.tw/news/157901"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</span></strong></a></h3> <p>兆勤科技（Zyxel）於4月下旬，針對旗下多款防火牆及VPN設備產品線，修補重大漏洞CVE-2023-28771，<a href="https://www.ithome.com.tw/news/157192#zyxel">並於6月初證實已出現攻擊行動</a>，而且駭客還有可能利用另外2個5月底修補的漏洞。但相關漏洞的攻擊行動，似乎沒有減緩的跡象。資安業者Fortinet揭露從6月出現的殭屍網路Dark.IoT攻擊行動，並表示他們已經看到多個殭屍網路也透過CVE-2023-28771發動攻擊。</p> <p>鎖定加密貨幣廠商開發人員的攻擊行動DangerousPassword，也同樣相當值得留意，因為，這些開發者無論使用Windows、macOS、Linux作業系統，都可能成為駭客下手的目標。</p> <p>元老級駭客Kevin Mitnick過世的消息相當令人震驚，此人曾是美國聯邦調查局（FBI）首位通緝的駭客，後來成為白帽駭客為資安界做出貢獻。</p> </div></div></div>
2023/7/24 09:34作者羅正漢https://www.ithome.com.tw/news/157905
馬斯克說推特即將改品牌、Logo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特技術長及真正的老闆<a href="https://twitter.com/elonmusk/status/1682965462886535168" target="_blank">馬斯克（Elon Musk）昨（23）日透過推特預告</a>，將把推特的品牌名及青鳥圖示，換成X，最快在當地時間的7月24日全球實施。</p> <p></p><div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="zxx" xml:lang="zxx"><a href="https://t.co/IwcbqMnQtA">pic.twitter.com/IwcbqMnQtA</a></p> <p>— Elon Musk (@elonmusk) <a href="https://twitter.com/elonmusk/status/1682978324375543808?ref_src=twsrc%5Etfw">July 23, 2023</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p><a href="https://twitter.com/elonmusk/status/1682964919325724673" target="_blank">他說</a>此後很快就會和推特（twitter）品牌名稱說再見，漸次也會換掉小鳥logo。</p> <p>《The Verge》報導，馬斯克其實周日都透過推特不斷預告此事。最後在語音聊天室Twitter Spaces宣布會在今（24）日更換推特logo，且正在拆除辦公室大樓外牆上的舊Twitter logo。此外<a href="https://www.threads.net/t/CvCuOMwrNco/?igshid=NTc4MTIwNjQ2YQ==" target="_blank">《Platformer》報導</a>馬斯克周六發信給推特員工宣布公司將更名為X，這是他最後一次從Twitter.com的電子郵件發信。</p> <p>其實馬斯克想把推特公司改名為X由來已久。早在<a href="https://www.ithome.com.tw/news/156393" target="_blank">今年初一份法院文件就顯示</a>推特已經併入到名為X的公司中，作為一家公司，推特早就不在了。</p> <p>至於新Logo長怎樣馬斯克並未公布，但<a href="https://twitter.com/SawyerMerritt/status/1682971056397512705?s=1" target="_blank">一名用戶</a>貼出一個X圖示，暗示可能是推特新logo。</p> <p>事實上，馬斯克對X這個字母情有獨衷。他早期創立的Paypal原名X.com，他後來在公司出售後，再向Paypal買回這個網域名。X也是特斯拉電動車最主要的車種。此外，馬斯克的火箭及衛星通訊公司則叫SpaceX。</p> <p>對成為X公司的推特，馬斯克希望它像騰訊一樣，以X App成為集結影音、社交、購物、支付等所有線上活動的平台。為此新的推特開始收取驗證帳號月費、API存取方案、以及可張貼長文章的Articles服務，<a href="https://www.ithome.com.tw/news/156873" target="_blank">並找來具豐富銷售廣告經驗的執行長</a>。</p> <p>然而激烈改革及縮減人事的結果是用戶出走。市調公司估計推特今年用戶數將從去年底的3.5億下滑到3.35億。</p> <p>另一方面，競爭者也希望趁推特動盪之際，推出新服務取而代之，包括Meta Threads、Bluesky、Mastodon及Substack Notes等。其中<a href="https://www.ithome.com.tw/news/157728" target="_blank">Threads用戶數已經破億</a>，Meta執行長祖克柏也說會持續增加Threads的新功能。不過新服務是否能在熱潮後挑戰推特/X霸主地位，仍待時間證明。</p> </div></div></div>
2023/7/24 10:45作者林妍溱https://www.ithome.com.tw/news/157907
ChatGPT Android App即將開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT iOS App<a href="https://www.ithome.com.tw/news/157079" target="_blank">上線2個月後</a>，Android手機用戶也即將可從Google Play Store下載AI聊天機器人App。</p> <p><a href="https://play.google.com/store/apps/details?id=com.openai.chatgpt" target="_blank">ChatGPT Android App</a>已在上周四出現在Google Play Store，但還未開放下載，不過用戶已可以預先註冊。<a href="https://techcrunch.com/2023/07/21/chatgpt-comes-to-android-next-week-but-you-can-sign-up-today/" target="_blank">媒體推測</a>應該本周就能正式開放下載。</p> <p>iOS版是先開放美國市場，再開放其他國家下載，Android版不確定是否也會分階段實施開放。</p> <p>根據網頁的螢幕擷圖，Android App版ChatGPT功能與iOS版相同，回答各種查詢、草擬信件或訊息、修飾文句、或幫忙重點摘要等等。</p> <p>自5月底開放iOS App以來，OpenAI陸續加強其他功能，包括<a href="https://www.ithome.com.tw/news/157524" target="_blank">用Bing瀏覽器搜尋網際網路</a>。上周OpenAI則再提供<a href="https://www.ithome.com.tw/news/157894" target="_blank">ChatGPT客製化指令</a>，允許用戶輸入個人偏好或要求，讓ChatGPT客製出更符合需求的輸出結果，減少用戶要求AI修正的次數。本功能目前僅提供付費的Plus用戶，但最後會推向所有用戶。Android App版本的推出將有助於維持這個聊天機器人的成長態勢。</p> <p><a href="https://explodingtopics.com/blog/chatgpt-users" target="_blank">根據報導</a>，在今年1、2月ChatGPT桌機版App推出3個月後突破1億用戶。<a href="https://www.mlyearning.org/chatgpt-statistics/" target="_blank">Openai.com</a>流量截至6月，單月約有16到18億人次造訪。</p> <p>而後<a href="https://www.similarweb.com/blog/insights/ai-news/chatgpt-traffic-drops/" target="_blank">SimilarWeb</a>的數據顯示，ChatGPT iOS版App在5月19日上線曾引發下載熱潮，不過6月已顯現疲態。包括桌機及iOS版，6月chat.openai.com全球流量跌了9.7%，不重覆用戶數則縮水5.7%。雖然6月間ChatGPT推出API使連到platform.openai.com的流量，仍較5月微幅上升，但分析師認為，這突顯大眾對AI聊天的熱度已經消褪，AI聊天機器人還需要證明其價值。</p> </div></div></div>
2023/7/24 10:58作者林妍溱https://www.ithome.com.tw/news/157908
馬斯克說推特即將改品牌、Logo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特技術長及真正的老闆<a href="https://twitter.com/elonmusk/status/1682965462886535168" target="_blank">馬斯克（Elon Musk）昨（23）日透過推特預告</a>，將把推特的品牌名及青鳥圖示，換成X，最快在當地時間的7月24日全球實施。</p> <p><a href="https://twitter.com/elonmusk/status/1682964919325724673" target="_blank">他說</a>此後很快就會和推特（twitter）品牌名稱說再見，漸次也會換掉小鳥logo。</p> <p>《The Verge》報導，馬斯克其實周日都透過推特不斷預告此事。最後在語音聊天室Twitter Spaces宣布會在今（24）日更換推特logo，且正在拆除辦公室大樓外牆上的舊Twitter logo。此外<a href="https://www.threads.net/t/CvCuOMwrNco/?igshid=NTc4MTIwNjQ2YQ==" target="_blank">《Platformer》報導</a>馬斯克周六發信給推特員工宣布公司將更名為X，這是他最後一次從Twitter.com的電子郵件發信。</p> <p>其實馬斯克想把推特公司改名為X由來已久。早在<a href="https://www.ithome.com.tw/news/156393" target="_blank">今年初一份法院文件就顯示</a>推特已經併入到名為X的公司中，作為一家公司，推特早就不在了。</p> <p>至於新Logo長怎樣馬斯克並未公布，但<a href="https://twitter.com/SawyerMerritt/status/1682971056397512705?s=1" target="_blank">一名用戶</a>貼出一個X圖示，暗示可能是推特新logo。</p> <p>事實上，馬斯克對X這個字母情有獨衷。他早期創立的Paypal原名X.com，他後來在公司出售後，再向Paypal買回這個網域名。X也是特斯拉電動車最主要的車種。此外，馬斯克的火箭及衛星通訊公司則叫SpaceX。</p> <p>對成為X公司的推特，馬斯克希望它像騰訊一樣，以X App成為集結影音、社交、購物、支付等所有線上活動的平台。為此新的推特開始收取驗證帳號月費、API存取方案、以及可張貼長文章的Articles服務，<a href="https://www.ithome.com.tw/news/156873" target="_blank">並找來具豐富銷售廣告經驗的執行長</a>。</p> <p>然而激烈改革及縮減人事的結果是用戶出走。市調公司估計推特今年用戶數將從去年底的3.5億下滑到3.35億。</p> <p>另一方面，競爭者也希望趁推特動盪之際，推出新服務取而代之，包括Meta Threads、Bluesky、Mastodon及Substack Notes等。其中<a href="https://www.ithome.com.tw/news/157728" target="_blank">Threads用戶數已經破億</a>，Meta執行長祖克柏也說會持續增加Threads的新功能。不過新服務是否能在熱潮後挑戰推特/X霸主地位，仍待時間證明。</p> </div></div></div>
2023/7/24 09:57作者林妍溱https://www.ithome.com.tw/news/157906
研究人員宣稱外洩的MSA金鑰可用來存取其它微軟服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/157763" target="_blank">微軟日前發現</a>中國駭客組織Storm-0558利用一個微軟帳戶（MSA）消費者簽章金鑰來偽造身分認證權杖，以存取Outlook Web Access in Exchange Online（OWA）及Outlook.com用戶的電子郵件帳戶，波及25個組織及與這些組織有關的個人，<a href="https://www.wiz.io/blog/storm-0558-compromised-microsoft-key-enables-authentication-of-countless-micr" target="_blank">雲端資安業者Wiz則在21日指出</a>，此一金鑰外洩事件的影響超乎原先想像，不僅是Outlook，駭客亦可利用所偽造的權杖來存取SharePoint、Teams、OneDrive或任何支援以微軟帳戶登入的服務。</p> <p>MSA是由使用者在微軟消費者身分認證帳戶系統上所建立與存放的微軟帳戶，至於MSA消費者簽章金鑰則是個私鑰，可用來產生不同使用者登入各種服務的身分認證權杖，亦由微軟保管。迄今微軟僅說駭客取得了一個MSA消費者簽章金鑰，並未解釋該金鑰如何外洩。</p> <p>此外，根據微軟的說法，此一MSA金鑰及偽造的權杖，只被用來攻擊OWA與Outlook.com，並未有其它服務受駭，之後也已置換該金鑰，同時封鎖了所有以該金鑰簽署的權杖。</p> <p>不過，Wiz指出，該團隊的研究顯示，遭竊的MSA允許駭客偽造許多Azure Active Directory應用的存取權杖，包括支援個人帳戶身分認證的所有應用，如SharePoint、Teams與OneDrive，以及支援以微軟帳戶登入的各種應用，再加上特定情況下的多租戶應用。</p> <p class="rtecenter"><a href="http://www.wiz.io/blog/storm-0558-compromised-microsoft-key-enables-authentication-of-countless-micr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-Compromised%20Microsoft%20Key-by%20Wiz-600.jpg" style="width: 600px;" /></a></p> <p>此外，即便微軟已經撤銷了該金鑰與相關的權杖，但Wiz認為客戶很難偵測是否有人在它們的各種應用中使用偽造的權杖，駭客亦可能藉由先前的入侵機會植入了惡意程式或是發布了專用的應用程式存取金鑰，而建立永久進駐能力。另一個風險是仰賴本地憑證商店或快取金鑰的應用，可能還信任那些已被撤銷的權杖。</p> <p>Wiz建議Azure用戶應該搜尋環境中的偽造金鑰，利用<a href="https://tinyurl.com/28rz5km6" target="_blank">微軟所提供的入侵指標（Indicators of Compromise，IOC）</a>來查找任何可疑活動，並更新各種應用的憑證快取版本。</p> <p class="rtecenter"><a href="https://tinyurl.com/2qm8kxeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0724-IOC-Analysis%20of%20Storm-0558%20techniques%20for%20unauthorized%20email%20access-by%20%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></a></p> </div></div></div>
2023/7/24 08:51作者陳曉莉https://www.ithome.com.tw/news/157904
AI趨勢周報第222期：一次可處理8千個Token，MosaicML開源新語言模型還可商用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0714～0720)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">MosaicLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文長 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MPT-7B-8k </span></strong></span></p> <p><span style="font-size: 22px;"><strong>一次可處理8千個Token，MosaicML開源新語言模型還可商用</strong></span></p> <p>生成式AI新創公司MosaicML最近開源一款70億參數的語言模型MPT-7B-8K，且一次可消化的文長達到8千個Token，擅長處理長文重點摘要和問答，還能在MosaicML平臺上根據特定任務，進一步微調。</p> <p>進一步來說，該模型用1.5兆個Token（通常指單字或單位更小的詞根、詞綴）訓練而成，並以256個H100 GPU花3天完成模型訓練。這次釋出的模型有3個版本，包括MPT-7B-8k、MPT-7B-8k-Instruct和MPT-7B-8k-Chat，其中，第一個版本是以Transformer解碼器為基礎，並以FlashAttention和FasterTransformer機制來加速訓練與推論，能處理上下文長8千個Token的輸入，目前開源、允許商用。第2個版本是以第1個微調而成，可處理長篇指令，特別是摘要和問答，一樣開源且可商用。第3個版本則是Chatbot類的生成式模型，是額外用15億個聊天數據Token微調第1版模型而成，開源但不允許商用。<a href="https://www.mosaicml.com/blog/long-context-mpt-7b-8k">（詳全文）</a></p> <p><img alt="" src="https://assets-global.website-files.com/61fd4eb76a8d78bc0676b47d/64b676d9e0d6a949481e54b8_Frame%201%20(1).png" /></p> <p><img alt="" src="https://assets-global.website-files.com/61fd4eb76a8d78bc0676b47d/64b674a67445c8249cd6d14a_Screenshot%202023-07-18%20at%207.09.57%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta和微軟聯手發表可免費商用的大型語言模型Llama 2</strong></span></p> <p>最近，Meta開源可免費商用大型語言模型Llama 2，並找來微軟當作首批發表合作夥伴。用戶現能在Azure和Windows上部署Llama 2模型，可降低企業開發AI應用的成本和障礙。</p> <p>今年2月，Meta發表第一代LLaMA，僅開放AI研究社群申請使用。LLaMA以大量未標註的資料訓練而成，有70億、130億、330億及650億個參數等版本，用戶可針對各種任務進行微調。現在，Meta開源Llama 2不限研究用途，免費提供商用，但若用戶開發的應用程式月活躍使用者超過7億人，就得另外取得Meta的模型使用同意授權。Llama 2的訓練資料量比第一代多出40%，共使用2兆Token，且其文章上下文長度（即模型生成文本時參考的文章長度）是第一代的2倍，可生成更長的回覆。此外，Llama 2經調校的版本，使用了超過100萬個人類標註的資料訓練。Llama 2開源內容包括預訓練模型、經調校模型的權重和起始訓練程式碼，並有70億、130億和700億參數等版本。<a href="https://about.fb.com/news/2023/07/llama-2/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CM3Leon </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta發表通用生成模型，文生圖、圖生文都可以</strong></span></p> <p>Meta日前發表可同時支援文字和圖像生成的通用模型CM3Leon，是一款由純文字語言模型配方所訓練的多模態模型，號稱圖像生成所使用的訓練運算資源是其它方法的1/5，就能達到進階表現，但Meta並未開源該模型。</p> <p>CM3Leon是個基於Token、檢索增強和解碼器的模型，它採用因果隱蔽混合模態（CM3）架構，也就是模型可以只關注之前的元素，來生成輸出序列，確保生成內容的連貫性，還能在訓練過程中忽視或隱蔽某些元件，來產出更好的結果，還能同時處理文字和圖像的輸入。該模型只用了30億個Token文字資料訓練而成，比現有同類模型OpenFlamingo的400億個Token與Flamingo的1,000億個Token要少，還能執行更多任務。</p> <p>Meta強調CM3Leon是個通用模型，單一模型就能處理多種任務，如以文字描述來生成圖像、以文字描述來編輯圖像，或是要求該模型替圖像生成圖說等，比如替《戴珍珠耳環的少女》戴上墨鏡，或輸入文字調整圖片天空的顏色。<a href="https://ai.meta.com/blog/generative-ai-text-images-cm3leon/">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.2365-6/355350269_735396441693973_7081320402844920765_n.png?_nc_cat=111&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=_8l1OuHZO0wAX8erLkO&_nc_ht=scontent-tpe1-1.xx&oh=00_AfDQvPW6Q886dPqTU2mp4DZ1FAgnw2z3dEIfusx0FUJciQ&oe=64D70B2F" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SIGIR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊檢索 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI頂級會議SIGIR在臺舉辦，Google、微軟兩大巨頭分享生成式IR新進展</strong></span></p> <p>國際頂級AI學術會議又來臺舉辦，資訊檢索領域（IR）的AI頂級會議<a href="https://sigir.org/sigir2023/">ACM SIGIR</a>自7月23日起在臺北展開，由Google DeepMind 、微軟研究院的重量級科學家開場，分享生成式檢索、Copilot搜尋等AI新典範浪潮下的研究進展，多家跨國企業像摩根大通集團都派出研發副總來臺分享業界第一手研究。</p> <p>ACM SIGIR是全球13個頂級AI會議之一，是資訊檢索領域公認最重要的學術會議，今年有將近500篇論文，論文接受率平均只有20％，議題涵蓋各種資訊檢索技術和議題，例如搜尋、排序、評估、NLP、推薦系統、內容分析、FATE（公平透明倫理、可解釋性）等。而傳統的IR技術，正是電商、企業常用推薦技術背後的基礎，此外也有業界研發成果專場，不只學術界重視，連科技巨頭、跨國企業，如摩根大通集團都有數篇論文發表，派出研發副總親自登臺。2019年7月臺大人工智慧研究中心陳信希主任在向SIGIR組織提出申請，與三國競爭後勝出。這是46年來首次來臺舉辦，也是2019年電腦視覺頂級會議ICIP登臺，帶來卷積神經網路之父Yann LeCun訪臺後的另一場AI頂級會議。<a href="https://www.ithome.com.tw/news/157888">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot Chat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 寫程式 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub Copilot Chat開放企業測試</strong></span></p> <p>GitHub在20日宣布，以GPT-4為基礎的程式開發助理Copilot Chat，正式開放給GitHub Copilot for Business的企業用戶測試。今年3月，GitHub發表Copilot X開發輔助工具，Copilot Chat就是其中一項。GitHub Copilot X是GitHub Copilot的升級版，整合了最新大型語言模型GPT-4，最大特色是加入Copilot Chat聊天介面和語音寫程式能力，以及更強的程式開發輔助。</p> <p>這次宣布則是將Copilot X推向企業，提供GitHub Copilot for Business用戶測試，可在開發環境Visual Studio和VS Code中，用Copilot Chat輔助撰寫程式。GitHub表示這讓Copilot IDE具備情境感知能力的對話助理，開發人員以自然語言輸入提示，即可執行困難的開發或除錯工作。<a href="https://github.blog/2023-07-20-github-copilot-chat-beta-now-available-for-every-organization/">（詳全文）</a></p> <p><img alt="" src="https://github.blog/wp-content/uploads/2023/07/blog-cover.png?resize=1200%2C630" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Teams </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 摘要 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></p> <p><span style="font-size:22px;"><strong>可自動摘要會議內容！微軟Teams加入Copliot</strong></span></p> <p>微軟在Teams通話和聊天功能整合AI助理Copilot，使用者能從任何裝置上的Teams app撥打和接聽電話，還能以自然語言下指令，讓Copilot即時整理重點，如姓名、日期、電話號碼或工作等。</p> <p>這個功能在客服上十分有用，像是能抓住客戶的產品功能、效能和價格等問題，還能紀錄客戶的回饋，並建議接下來的步驟。而Teams chat加入Copilot後，用戶可指示AI聊天機器人整理出對話串重點，幫助管理不同對話、提高工作效率。Copilot提供過去1天、7天或30天的提示選項，讓用戶不需再拉回前面讀取落落長的對話。<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/the-next-wave-of-copilot-in-microsoft-teams/ba-p/3872842">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/_fn9vmk0tyE?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hugging Face </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI WebTV </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hugging Face推出AI WebTV平臺，幫你測試影片、音樂生成AI的表現</strong></span></p> <p>AI新創Hugging Face最近推出一款平臺AI WebTV，可用來測試開源的生成式AI模型表現，像是文字生成影片模型Zeroscope和音樂合成模型MusicGen，使用者也可在Hugging Face Hub中心找到這些開源模型（即zeroscope_v2_576、Zeroscope_v2_XL和musicgen-melody）。</p> <p>AI WebTV的運作方式是，由人輸入鏡頭提示，比如「生成一個有夕陽和日光的尋寶電影」，接著，該提示會傳送到大型語言模型（目前使用的是ChatGPT），由模型轉化、生成較專業的鏡頭提示，再將這些提示傳送給影片生成模型，來產出一個個鏡頭畫面。影片生成後，系統還會進入post-production階段，來添加音樂或特效。最後，完成品就會呈現給使用者。<a href="https://huggingface.co/blog/ai-webtv">（詳全文）</a></p> <p><img alt="" src="https://huggingface.co/datasets/huggingface/documentation-images/resolve/main/blog/156_ai_webtv/diagram.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 音訊合成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SoundStorm </span></strong></span></p> <p><span style="font-size:22px;"><strong>3秒就能合成完美人聲，Google推高效能音檔生成模型</strong></span></p> <p>Google日前發表一項音檔合成模型SoundStorm，用2種方法來解決生成冗長音訊Token序列的問題，與現有主流的自回歸模型AudioLM相比，生成速度快了100倍，且只需3秒範本音檔，模型就能快速生成栩栩如生的人聲或音樂等音訊。</p> <p>進一步來說，大多數音訊生成方法採用自回歸解碼器，會一一產生Token，雖然能保證音訊品質，但運算速度很慢，尤其是處理長序列。而SoundStorm採用的新方法，包含一個為SoundStream神經編碼器（用來生成音訊Token）量身打造的架構，以及根據自家圖像生成模型MaskGIT而改良的解碼方法，用來更有效率處理音訊Token。因為這些改良方法，SoundStorm可以平行生成音訊Token，也因此，SoundStorm推論長序列的速度比AudioLM快上100倍，還能產出相同品質的音檔，其語音和聲學還有更高的一致性。此外，團隊還將SoundStorm與文字轉語音模型SPEAR-TTS結合，能產出更高品質、更自然的對話。<a href="https://ai.googleblog.com/2023/06/soundstorm-efficient-parallel-audio.html">（詳全文）</a></p> <p>圖片來源／MosaicML、Meta、GitHub、微軟、Hugging Face</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. ChatGPT推出可客製化的指令，先供付費用戶試用</strong></p> <p><strong>2. <a href="https://imagebind.metademolab.com/">Meta AI推出ImageBind專案</a>，可整合圖像、聲音、文字、影片、熱、深度和慣性等6種模態來訓練更智慧的AI模型</strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/7/23 16:35作者王若樸https://www.ithome.com.tw/news/157903
【資安日報】7月21日，兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兆勤科技（Zyxel）於4月下旬，針對旗下多款防火牆及VPN設備產品線，修補重大漏洞CVE-2023-28771，<a href="https://www.ithome.com.tw/news/157192#zyxel">並於6月初證實已出現攻擊行動</a>，而且駭客還有可能利用另外2個5月底修補的漏洞。但相關漏洞的攻擊行動，似乎沒有減緩的跡象。資安業者Fortinet揭露從6月出現的殭屍網路Dark.IoT攻擊行動，並表示他們已經看到多個殭屍網路也透過CVE-2023-28771發動攻擊。</p> <p>鎖定加密貨幣廠商開發人員的攻擊行動DangerousPassword，也同樣相當值得留意，因為，這些開發者無論使用Windows、macOS、Linux作業系統，都可能成為駭客下手的目標。</p> <p>元老級駭客Kevin Mitnick過世的消息相當令人震驚，此人曾是美國聯邦調查局（FBI）首位通緝的駭客，後來成為白帽駭客為資安界做出貢獻。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/ddos-botnets-target-zyxel-vulnerability-cve-2023-28771"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Dark.IoT鎖定兆勤防火牆、VPN設備的重大漏洞而來</span></strong></a></p> <p>資安業者Fortinet揭露Mirai殭屍網路變種Dark.IoT最新一波的攻擊行動，他們在今年6月看到鎖定兆勤科技（Zyxel）的防火牆及VPN設備而來的情況，攻擊者利用CVE-2023-28771（CVSS風險評分為9.8）來入侵目標系統，並使用curl或wget來下載指令碼並執行，以便下載專為MIPS架構打造的攻擊工具，最終目的是散播殭屍網路病毒Dark.IoT、綁架資安設備、將它們用於DDoS攻擊。</p> <p>研究人員指出，在兆勤於4月底修補上述漏洞之後，他們便於5月發現相關的攻擊顯著增加的現象，且有多個殭屍網路在利用這項漏洞。</p> <p><a href="https://blogs.jpcert.or.jp/en/2023/07/dangerouspassword_dev.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動DangerousPassword鎖定開發人員而來，Windows、macOS、Linux用戶都是目標</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dangerouspassword_dev-fig8-800wri.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dangerouspassword_dev-fig8-800wri.png" style="width: 300px; float: right;" /></a>日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露今年5月下旬出現的DangerousPassword（亦稱CryptoMimic、SnatchCrypto）攻擊行動，鎖定加密貨幣交易所的開發人員而來，這些駭客自2019年6月就開始從事相關攻擊，但最近這波行動很特別，因為駭客利用Python、Node.js惡意程式，同時針對Windows、macOS、Linux作業系統的開發環境下手。</p> <p>在使用Python惡意軟體的攻擊行動裡，駭客先是偵測目標電腦執行的作業系統，</p> <p>若這些電腦採用Windows系統，就從外部下載MSI安裝程式檔案並執行，進而投放PowerShell指令碼，以便部署更多MSI檔案，最終透過遠端桌面剪貼簿程式rdpclip.exe側載DLL檔案，來啟動惡意程式。</p> <p>假如目標電腦執行macOS或Linux作業系統，此Python惡意程式便會解析被插入builder.py的BASE64編碼字串，將其內容儲存為log.tmp的檔案並執行。</p> <p>而在Node.js惡意程式的攻擊行動裡，駭客將惡意程式碼插入Express程式庫當中的route.js，然後藉此執行另一個檔案request.js，從C2下載的惡意程式儲存為server.js並執行。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-p2pinfect-worm-malware-targets-linux-and-windows-redis-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蠕蟲程式P2PInfect鎖定Redis伺服器而來</span></strong></a></p> <p>資安業者Palo Alto Networks於本月11日發現名為P2PInfect的蠕蟲程式，駭客的目標是部署在Windows或Linux主機的Redis記憶體資料庫伺服器，他們從網際網路上尋找存在CVE-2022-0543（CVSS風險評分為10.0）的伺服器，一旦成功入侵，就有可能將其加入駭客的P2P網路，部署更多惡意程式。研究人員指出，他們在網際網路上找到逾30萬臺曝露的Redis伺服器，約有934臺可能會受到相關攻擊。</p> <p>對此，Redis開發團隊表示，CVE-2022-0543並非存在於Redis的全部版本，僅有部分Debian Linux內含的Redis套件存在這項漏洞，Redis企業版本不受影響，他們呼籲使用者採用Redis提供的版本。</p> <p><a href="https://research.checkpoint.com/2023/byos-bundle-your-own-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體BundleBot假借提供Google的AI機器人的名義散布，目的是挾持臉書帳號</span></strong></a></p> <p>資安業者Check Point發現惡意軟體BundleBot的攻擊行動，駭客透過惡意廣告，以及利用遭到入侵臉書的帳號來發布貼文，假借提供應用程式、遊戲、AI相關的工具，如：Google AI、PDF Reader、Canva、Chaturbate、Smart Miner、Super Mario 3D World，來引誘使用者上當。</p> <p>一旦使用者依照指示下載這些軟體的安裝程式，就會從Dropbox、Google Drive等雲端檔共享服務，下載RAR壓縮檔案，其內容是.NET可執行檔，使用者執行後會再從雲端檔共享服務下載另一個ZIP壓縮檔，若是依照指示執行，電腦就有可能感染BundleBot，此惡意軟體的用途是竊取受害者的臉書帳號。</p> <p>研究人員指出，駭客打包BundleBot時，因為同時加入所需的各種.NET相依程式庫，導致該惡意程式的檔案大小達到數十MB，有可能影響防毒軟體的分析。</p> <p><a href="https://thehackernews.com/2023/07/north-korean-state-sponsored-hackers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">JumpCloud供應鏈攻擊疑為北韓駭客所為</span></strong></a></p> <p>7月初IT管理服務業者JumpCloud證實遭到網路攻擊，強制輪換所有用戶的管理API私鑰，後來透露攻擊者的身分是國家級駭客。對此，有研究人員公布新的發現。資安業者SentinelOne根據該公司提供的入侵指標（IoC）循線追查，指出駭客來自北韓，他們採用多種手法滲透開發者環境。</p> <p>根據路透社報導，JumpCloud尋求CrowdStrike協助調查，認為攻擊者是Lazarus旗下的團體Labyrinth Chollima，在攻擊的過程裡，駭客疑似將JumpCloud視為「跳板」，目標是加密貨幣業者。</p> <p>GitHub的資安研究團隊指出，攻擊者是名為Jade Sleet（亦稱TraderTraitor）的北韓駭客組織，過程中駭客在GitHub、LinkedIn、Slack、Telegram利用假帳號或是遭竊的帳號，引誘目標人士拉取特定GitHub儲存庫的內容並進行協作。</p> <p>資料來源</p> <p>1. <a href="https://www.sentinelone.com/labs/jumpcloud-intrusion-attacker-infrastructure-links-compromise-to-north-korean-apt-activity/">https://www.sentinelone.com/labs/jumpcloud-intrusion-attacker-infrastructure-links-compromise-to-north-korean-apt-activity/</a><br /> 2. <a href="https://www.reuters.com/technology/n-korea-hackers-breached-us-it-company-bid-steal-crypto-sources-2023-07-20/">https://www.reuters.com/technology/n-korea-hackers-breached-us-it-company-bid-steal-crypto-sources-2023-07-20/</a><br /> 3. <a href="https://github.blog/2023-07-18-security-alert-social-engineering-campaign-targets-technology-industry-employees/">https://github.blog/2023-07-18-security-alert-social-engineering-campaign-targets-technology-industry-employees/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/adobe-fixes-patch-bypass-for-exploited-coldfusion-cve-2023-29298-flaw/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe針對ColdFusion漏洞CVE-2023-29298再度修補</span></strong></a></p> <p>7月19日Adobe再度對於應用程式開發平臺ColdFusion發布更新，修補CVE-2023-38204、CVE-2023-38205、CVE-2023-38206，CVSS風險評分為5.3至9.8，並指出CVE-2023-38205已在有限的攻擊行動裡遭到利用。資安新聞網站Bleeping Computer指出，CVE-2023-38205就是先前CVE-2023-29298修補不全的漏洞。</p> <p> </p> <h3><strong>【駭客名人堂】</strong></h3> <p><a href="https://www.ithome.com.tw/news/157889"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">元老級駭客Kevin Mitnick過世，享年59歲</span></strong></a></p> <p>被視為網路社交工程始祖之一的Kevin Mitnick，1970年代起以尋求刺激為由，駭入多家知名企業，從Sun Microsystems、Nokia到Motorola，他竊取這些公司的程式碼與密碼、變更其電腦網路、存取電子郵件，而成為美國的頭號通緝犯，1995年被FBI逮捕，入獄服刑5年。</p> <p>出獄後，Kevin Mitnick在2000年改以白帽駭客身分，經營電腦安全顧問公司Mitnick Security Consulting，針對社交工程與滲透測試領域，提供安全顧問服務，他也開始寫作與演講，主題多為社交工程及滲透測試，部分著作曾在臺灣出版。他在7月16日因胰腺癌過世，享年59歲。</p> <p>資料來源</p> <p>1. <a href="https://www.dignitymemorial.com/obituaries/las-vegas-nv/kevin-mitnick-11371668">https://www.dignitymemorial.com/obituaries/las-vegas-nv/kevin-mitnick-11371668</a><br /> 2. <a href="https://twitter.com/kminx/status/1682027234796924928">https://twitter.com/kminx/status/1682027234796924928</a><br /> 3. <a href="https://www.nytimes.com/2023/07/20/technology/kevin-mitnick-dead-hacker.html">https://www.nytimes.com/2023/07/20/technology/kevin-mitnick-dead-hacker.html</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/two-jira-plugin-vulnerabilities-in-attacker-crosshairs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">缺陷追蹤管理系統Jira的外掛程式路徑穿越漏洞被用於攻擊行動</span></span></strong></a></p> <p><a href="https://eclypsium.com/research/bmcc-lights-out-forever/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AMI基板管理控制器MegaRAC出現重大漏洞，恐導致伺服器服務中斷</span></span></strong></a></p> <p><a href="https://www.sonarsource.com/blog/a-twist-in-the-code-openmeetings-vulnerabilities-through-unexpected-application-state/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Apache視訊會議解決方案OpenMeetings存在漏洞，恐被攻擊者執行惡意程式碼</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/mallox-ransomware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Mallox鎖定微軟SQL Server而來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157880">【7月20日】 Google旗下CI/CD代管服務存在提升權限漏洞，恐被用於發動供應鏈攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157865">【7月19日】惡意程式分析平臺VirusTotal驚傳資料外洩，恐曝露歐美多個政府機關的資安人員身分</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157850">【7月18日】駭客組織TeamTNT將鎖定雲端竊取帳號的攻擊行動，企圖從AWS延伸至其他兩大公有雲</a></strong></p> </div></div></div>
2023/7/21 16:53作者周峻佑https://www.ithome.com.tw/news/157901