iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 3篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 17:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】8月2日，美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客滲透美國政府的情況，在先前有美國政府向微軟通報逾20個組織電子郵件遭竊的情況，最近傳出當局對軍事設施進行調查的消息，原因是他們發現中國駭客2022年部署的惡意軟體，可能會在臺海未來發生戰爭時，防礙美國出兵援助臺灣。美國政府官員認為，這樣的惡意軟體不只影響軍事行動，還有可能波及民間企業及民眾，造成社會恐慌。</p> <p>專門竊取臉書企業帳號的竊資軟體NodeStealer，其動態也相當值得留意。研究人員發現，有人以Python語言重新改寫，使得這個惡意軟體不僅功能變得更加強大，也更難進行反組譯。</p> <p>連網設備恢復原廠初始設定，竟然會遺留部分機敏資料而曝險！Canon上週發布資安通告，指出旗下逾200款噴墨印表機在恢復原廠設定之後，Wi-Fi無線網路組態仍留存，而這些資訊有可能被用來入侵家庭或企業的內部網路環境。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.nytimes.com/2023/07/29/us/politics/china-malware-us-military-bases-taiwan.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國傳出找尋埋藏於軍事系統中國惡意軟體</span></strong></a></p> <p>根據紐約時報的報導，美國正在針對各種軍事防禦系統進行清查，認為當中可能存在來自中國的惡意軟體，而有可能導致軍事通訊與補給行動遭到干擾。有官員向泰晤士報透露，政府認為惡意程式碼埋藏於軍事基地使用的電網、通訊系統、供水系統。也有國會官員認為，此惡意軟體有如定時炸彈，讓中國有能力切斷美國軍事基地的電力、水利、通訊，延緩軍事部署與補給行動，甚至造成中斷的情況，可能在中國未來對臺灣採取軍事行動的時候，干預美國軍方的運作。</p> <p>該國政府官員認為其影響極為廣泛，因為軍事基地通常與民間共用相同的基礎設施，企業與民眾也可能受到該惡意程式衝擊，而導致社會動盪。</p> <p>這項惡意軟體攻擊行動最初被揭露的時間，是在今年5月，當時微軟在關島及其他地區的電信系統偵測出神秘的程式碼，並指出攻擊者的身分是中國資助的駭客組織Volt Typhoon，但現在有十多名美國官員與業界專家認為，中國駭客的攻擊範圍超出電信系統，且至少在2022年5月就開始從事相關攻擊，美國政府追查此惡意程式已進行一段時間，由於這些程式碼埋藏得極為隱密，目前仍無法得知完整的攻擊範圍。近幾個月以來，美國白宮也針對此惡意程式召開一系列會議，討論因應方式，並向各州州長及公營事業公司透露調查結果，有官員透露，上述惡意程式碼的調查，最初集中於該國的軍事基地。</p> <p><a href="https://www.ithome.com.tw/news/158068"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">主機代管業者Cloudzy被資安廠商指控包庇駭客組織，為其提供C2代管服務</span></strong></a></p> <p>資安業者Halcyon揭露被用於代管C2的虛擬專用伺服器（VPS）供應商Cloudzy，此業者於美國、歐洲、亞洲建立15個資料中心（其中10個在美國），其VPS支援Windows及Linux作業系統，也提供遠端桌面連線（RDP）功能，但有別於一般的VPS業者，任何人只要提供企業的電子郵件信箱就能租用，而且該公司接受以加密貨幣支付相關費用，攻擊者因此偏好使用該公司的服務。</p> <p>研究人員指出，他們起初是在調查勒索軟體附屬機構Ghost Clown與Space Kook的攻擊行動中，察覺兩組駭客都透過Cloudzy架設C2，進一步追查有不少駭客組織也使用Cloudzy，如勒索軟體駭客UNC2352與FIN12、犯罪集團TA505、以色列間諜軟體公司Candiru，以及來自中國、印度、伊朗、北韓、巴基斯坦、俄羅斯、越南的17個國家級APT駭客組織，進而確認Cloudzy是C2供應商（C2P）。</p> <p>根據Halcyon的調查，由Cloudzy代管的伺服器當中，保守估計約有4成至6成被用於網路攻擊，而且，雖然該公司在美國登記，但實際上主要業務都是在伊朗首都德黑蘭進行。針對上述指控，Cloudzy執行長Hannan Nozari向路透社聲稱，他們公司不應對客戶的行為負責，並認為其中僅有2%客戶從事惡意活動。</p> <p>資料來源</p> <p>1. <a href="https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers">https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers</a><br /> 2. <a href="https://www.reuters.com/technology/cloud-company-assisted-17-different-government-hacking-groups-us-researchers-2023-08-01/">https://www.reuters.com/technology/cloud-company-assisted-17-different-government-hacking-groups-us-researchers-2023-08-01/</a></p> <p><a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT31鎖定東歐工控環境與關鍵基礎設施，企圖從被隔離的網路環境竊取機密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/230731-ttps-p2-picd2-en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/230731-ttps-p2-picd2-en.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露中國駭客組織APT31（亦稱Zircium）的攻擊行動，駭客從去年4月，鎖定東歐的工業控制系統（ICS）及關鍵基礎設施（CI）的受隔離網路環境而來，於其過程中總共至少使用了15種攻擊工具，最終在目標電腦部署惡意軟體FourteenHi。研究人員指出，駭客的攻擊行動可分3個階段，初期，先對目標系統植入惡意軟體，以便讓攻擊者能遠端存取，並進行偵察工作。到了第2階段，駭客散布能透過USB裝置入侵隔離網路的工具；在第3階段，則是將收集到的資料回傳至C2伺服器。</p> <p>駭客使用的惡意軟體，包含四種工具：（一）偵測連接到電腦的外接式儲存裝置，並用來收集檔案、截取螢幕截圖、投放額外的惡意酬載；（二）使用含有弱點的McAfee可執行檔，藉由DLL挾持的手法來感染外接式儲存裝置；（三）執行批次檔收集裝置上的資料，並輸出到名為$RECYCLE.BIN的資料夾；（四）類似第一種工具，也具備偵測連接到電腦的外接式儲存裝置，並能用來收集檔案、截取螢幕截圖，但沒有感染外接式裝置的能力。</p> <p>不過，事情後來有了變化。去年5月，研究人員發現駭客在攻擊行動使用額外的工具，目的是從遭到感染的電腦收集本機檔案，並使用WinRAR打包，然後傳送至Dropbox。</p> <p><a href="https://unit42.paloaltonetworks.com/nodestealer-2-targets-facebook-business/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人以Python重新改寫竊資軟體NodeStealer，並假借提供Excel及Google Sheets範本的名義散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-129362-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-129362-10.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露新一波的竊資軟體NodeStealer 2.0攻擊行動，駭客先是透過臉書發送廣告訊息，表示免費提供可追蹤預算的Excel及Google Sheets的專業範本，引誘使用者從Google Drive下載特定的ZIP壓縮檔，一旦依照指示開啟裡面的可執行檔案，電腦就有可能被植入NodeStealer 2.0。此竊資軟體主要的功能為接管臉書的企業帳號，並能盜取加密貨幣、搜括瀏覽器的帳密資料，甚至能讓攻擊者下載BitRAT、XWorm等惡意程式到受害電腦上。與今年5月Meta揭露的NodeStealer相比，這個竊資軟體的2.0版改以程式語言Python重新打造，目標也不再只是針對臉書的企業帳號，而駭客這麼做，也使得新版竊資軟體難以反組講，威脅也更加嚴重。</p> <p>研究人員指出，上述NodeStealer 2.0的惡意程式下載功能裡，攻擊者利用名為fodhelper.exe的處理程序執行PowerShell指令碼，從遠端伺服器接收ZIP壓縮檔，目的是繞過Windows作業系統的使用者帳號控制（UAC）功能。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158066"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Canon呼籲用戶送修、汰換印表機前，應手動移除Wi-Fi組態</span></strong></a></p> <p><a href="https://psirt.canon/advisory-information/cp2023-003/">7月31日Canon發布資安通告</a>，指出該公司旗下的噴墨印表機存在漏洞，第三方人士有可能藉此得知Wi-Fi無線網路的組態，進而發動攻擊，約有200款機型會受到影響，這些印表機涵蓋家用、企業級噴墨印表機，以及大圖輸出機。呼籲使用者如果要將印表機送修，或是要進行淘汰，必須清空印表機的Wi-Fi設定。</p> <p>該公司並未透露漏洞的名稱或CVE編號，但指出上述存在弱點的印表機裡，儲存的Wi-Fi設定不會在回復初始組態的過程刪除，而使得他人有機會存取敏感資料，例如：SSID、密碼、Wi-Fi網路通訊協定（如WPA3、WEP）、IP位址、MAC位址等，進而入侵家用網路或是企業網路的環境。對此，他們呼籲用戶應在重設所有組態後，接著開啟WLAN，然後再次進行所有組態重設的命令，來避免Wi-Fi組態外洩的情況。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=1&menu_id=40&news_id=110737"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化零售業對於個人資料的保護，經濟部發布綜合商品零售業個人資料檔案安全維護管理辦法</span></strong></a></p> <p>經濟部根據個人資料保護法第27條第3項規定，制定的綜合商品零售業個人資料檔案安全維護管理辦法，於8月1日正式發布、施行，對於資本額達新臺幣1千萬元以上、且有招募會員，或是能取得交易對象個資的零售業者，必須在6個內訂定安全維護計畫。此計畫內容需包含個人資料蒐集、處理及利用之內部管理程序、界定個人資料之範圍及項目、資訊安全管理及人員管理、實施教育訓練，及事故之預防、通報及應變機制等，並應配置相當資源，落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩露。經濟部也預告將舉辦有關的宣導說明會，輔導業者訂立上述的維護管理計畫。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://money.udn.com/money/story/5612/7340009"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣資安新創池安量子資安成立亞洲首座量子安全遷移中心</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/out-sandbox-wikiloader-digs-sophisticated-evasion"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">義大利組織遭惡意軟體WikiLoader鎖定，於受害電腦部署金融木馬及竊資軟體</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/retail-chain-hot-topic-discloses-wave-of-credential-stuffing-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國服飾零售業者Hot Topic遭遇網路攻擊，用戶資料可能外洩</span></span></strong></a></p> <p><a href="https://blog.checkpoint.com/security/is-your-peloton-attracting-security-threats/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Peloton智慧健身器材存在漏洞，攻擊者有可能存取系統資訊、部署惡意軟體</span></span></strong></a></p> <p><a href="https://www.securityweek.com/nearly-all-modern-cpus-leak-data-to-new-collidepower-side-channel-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露名為Collide+Power的處理器漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> </div></div></div>
2023/8/2 17:55作者周峻佑https://www.ithome.com.tw/news/158077
企業強化供應鏈安全怎麼做？專家剖析NIST 800-161r1 C-SCRM管理框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安在供應鏈上可視性相當低，大家可能還沒意識到，或是不知道如何評斷」，資誠智能風險管理諮詢風險與控制服務執行董事張晉瑞在今年臺灣資安大會活動上說。</p> <p>在企業營運管理上，供應鏈管理相當重要，相關的風險管理也受到重視，但是除了營運、商譽等供應鏈的風險之外，對供應鏈衍生的安全風險管理也開始受到重視，但仍有不少企業不知道如何系統化、邏輯化的加強供應鏈安全風險管理，甚至不知道如何採取行動。</p> <p>根據PwC全球調查結果，只有約4成的企業掌握第三方或供應鏈帶來的風險，換言之，過半數的企業無法掌握供應商、雲端等第三方業者的相關風險，受訪者無法回答公司針對第三方或是供應鏈的風險採取何種行動。甚至有的企業僅僅因為和第三方業者合作，信任第三方業者，沒有採取行動，「這樣是對的嗎？」，張晉瑞反問。</p> <p>因此為了降低第三方或供應鏈的資安風險，他歸納出現今的趨勢是，儘量降低供應商數量，同時強化監控能力，「因為風險如同水庫理論，水會從最弱的那一點流進來，不應該讓供應商成為最弱的那一點」。因此和供應商建立安全生態系相當重要，面對資安威脅下，合作是安全生態系的關鍵，例如分享情資、提升員工教育訓練、訂定共同責任條款等等。</p> <p><span style="color:#B22222;"><strong>企業應該如何去管理供應鏈的資安風險？</strong></span></p> <p>張晉瑞以去年美國發布的NIST 800-161r1 C-SCRM（Cybersecurity Supply Chain Risk Management）網路安全供應鏈風險管理指南為例，企業對於供應鏈的風險透視度及掌握是低的，SP800-161r1是從企業自身擁有供應鏈的甲方思維來看，而SP800-171/172則是從第三方業者，想要打進供應鏈的乙方角度，例如要打進美國軍工產業供應鏈的CMMC Model 2.0，分為Level 1、2、3三級，Level 1屬於自評，Level 2需符合NIST SP800-171，Level 3則需達到NIST SP800-172。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SP800-161.jpg" style="width: 600px; height: 443px;" /></p> <p>張晉瑞表示，當企業開始要求供應商達到其要求，想要成為別人的供應商，也要重視達到別人的安全水準，因此如果企業是乙方，提供產品及服務，就要符合SP800-171、172。總而言之，不論是甲方或乙方，對供應鏈安全的要求愈來愈重要。</p> <p>進一步檢視NIST 800-161r1提出的供應鏈風險管理，以邏輯的方式提出各層級的風險管理面向，張晉瑞指出，對於各個角色、面向提出定義，包括網路安全專家、風險管理者、系統工程師、採購人員、使用單位，各個不同角色應該重視的重點是什麼。此外，還分為3個層級，例如全公司對於供應鏈管理層級應注意的事項，個別流程或專案應注意的事項，以及營運作業上應做到的事項，分門別類定出20個風險控管的大項目、共293個子項目，企業可以據此檢視哪裡已做的很好，繼續保持，哪裡則需要加強改進。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/matrix-600.jpg" style="width: 600px; height: 437px;" /></p> <p>這20個風險控管的大項目，例如存取控制、認知及訓練、稽核與問責、安全評估授權與監控、識別與認證、維護、事件回應等等，每個大項目底下包含數個子項目。</p> <p>至於一般的風險評估和供應鏈風險評估有何不同？張晉瑞認為，兩者方法、邏輯相似，但最大的不同在於供應鏈的風險評估需要專家、工具，例如紅軍、藍軍、紫軍、Code Review等工具，將看不到的資安具象化表現出來，讓企業進一步評估風險。</p> <p><strong><span style="color:#B22222;">使用開源軟體常見的挑戰</span></strong></p> <p>以供應鏈中可能使用到的開源軟體為例，企業對開源軟體的掌握度有多少？他分享曾經在一項委託對OSS進行C-SCRM的專案中，經過盤點後，企業內使用10種以上的框架，近百種元件。「企業如果不了解供應鏈使用什麼套件，很難掌握它帶來的漏洞風險」。</p> <p>開源軟體在供應鏈安全風險常見的挑戰，如果以20個供應鏈風險控管的大項目來看，例如在存取控制項目上，由於每個套件存取控管方式不同，有的套件只有簡易的存取控管，有的套件則有相當細緻的存取控管，難以建立一體適用存取控管機制，套用在所有的套件上。在稽核與問責的大項目中，日誌紀錄的格式、細緻度不一樣，也不容易符合企業的商業需求。在安全評估授權與監控大項目中，需要考慮到軟體檢測工具能不能支援開源軟體等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OSS-600.jpg" style="width: 600px; height: 437px;" /></p> <p>另外，在計畫管理的大項目中，企業使用開源軟體大多非用於核心的資訊系統，因此較少針對開源軟體擬定資訊系統安全計畫，以及落實檢查。至於維護方面，由於專門提供開源軟體維護的廠商較少，仰賴企業內部人才或是論壇資源，都需要考量相關的風險。</p> <p>張晉瑞指出，企業如果為乙方角色，必需對使用開源軟體的挑戰或潛在風險有更深的瞭解及應對，才能符合甲方大客戶的要求，否則可能危及企業的經營根本。</p> <p><span style="color:#B22222;"><strong>臺灣也有供應鏈風險管理規範</strong></span></p> <p>供應鏈安全風險管理已受到重視，加拿大、美國、英國、瑞士、歐盟、澳洲、新加坡都提出相關規範，對風險評估、責任歸屬釐清相當重視，如果企業的產品或服務提供給國外市場，就會面臨當地法規的要求。</p> <p>臺灣也有相似的供應鏈風險管理規範，金管會在2023年3月底公告「金融機構資通系統與服務供應鏈風險管理規範」，該規範即是參考NIST 800-161r1 C-SCRM訂定，規範內容共有9條，涵蓋委外前、選商前、委託契約中應約定事項、契約存續期間應注意事項，還有服務變更或契約終止應符合事項。</p> <p>張晉瑞指出，雖然金融機構風險管理規範的條文僅僅9條，但因為參考NIST 800-161r1，企業委外如果需要更完整的風險管理細節也可以參考NIST 800-161r1。不只是金融機構，半導體產業也有SEMI E187/188規範，對供應鏈安全也有相關的規範。未來，愈是強勢、愈大規模的企業或客戶，愈有他們對應的要求，供應商難以針對不同客戶訂定個別的風險管理，因此要有一套根本的風險管理框架，足以管理所有供應鏈的元件及安全，並應付絕大部分客戶的要求，例如 SP800-161r1或SP800-171/172的CMMC管理框架，「這樣才能穿一套衣服，足以應付各種派對，而不需要經常換裝」。</p> <p>他也分享PwC對於第三方及供應鏈的風險管理框架，其中對供應商就區分8類角色（如下圖所示），包括產品廠商、服務供應商、合資企業、商業通路、經紀人或經銷商等等，對不同類型的企業而言，每種供應商的角色重要性不同，企業可自己評估風險管理的優先性。對於衍生的風險則分為12類，包括信譽、營運、財務、業務連續性、國家、網路安全、隱私、技術、過度集中、分包等等，資安為其中的風險之一。此外，框架也將簽約前到簽約之後分為5個階段循環，包含風險規畫、評估、議約、持續監督、終止。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230511_095123-1.jpg" style="width: 600px; height: 407px;" /></p> <p>張晉瑞指出，不論使用哪種管理框架、方法，重點是對第三方或供應鏈安全風險有沒有一套方式管理。你（企業）不能保護你（企業）看不到的，因此對企業及供應商來說，建議應辨識企業、第三方或供應商之間的系統資料流向，利用資訊科技找出供應鏈的弱資安鏈結。企業也可嘗試要求供應商夥伴提高防護機制強度，以和企業自身的管理要求切齊，雖然這和企業的規模大小、在供應鏈關係的強勢與否有關，但為了加強管理供應鏈安全，仍可以嘗試要求供應商和企業的標準切齊。</p> <p>另外，如同剛開始所說的供應鏈管理趨勢，企業可以從風險評估，嘗試合併或簡化，降低供應鏈的複雜度，因為供應鏈愈多愈複雜，會增加管理上的難度。</p> <p>從資安長角度來看，是否有即時監控應用系統、弱點的能力；可以建立第三方或供應鏈的管理部門，為第三方或供應鏈管理當責。檢視資料流過程，確保每個過程有相對應的保護。最後，將風險管理的結果，依規定每年彙報給董事會。</p> </div></div></div>
2023/8/2 18:44作者蘇文彬https://www.ithome.com.tw/news/158076
資策會揭軟體委外開發管理關鍵，幫助委外承辦人即時掌控開發進度與資安問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去對於軟體開發與程式設計的資訊委外管理，普遍的作法，多是從清楚定義委外範圍、合約詳實記錄的角度出發，以履約管理約束委外供應商的品質，然而，大家時常還是會擔心外包商的技術與人力狀況。例如，廠商了解需求嗎？能否如期交付？是否已通過功能與安全測試？因為可能曾經遭遇無法如期驗收，品質低落不符需求的問題。</p> <p>在7月舉行的臺灣雲端大會上，我們看到資策會發展出用一站式DevSecOps整合平臺，實踐委外管理的應用模式。為何開發這樣的系統可用於委外？他們表示，因為委外軟體開發期間往往缺乏透明度，需建立開放與透明的溝通管道，要求定期進度報告，以及定期稽查與回饋，而他們基於這些需求所開發的這套系統，不只內部開發團隊適用，也能解決委外開發透明度不足的問題，讓專案執行進度、各項資安檢測，都能在驗收前做到更好的即時掌控。</p> <h2><strong>企業軟體開發委外，需面對驗收時出現不合預期的焦慮</strong></h2> <p>基本上，資訊委外分為5大類型，包括：軟體開發與程式設計、資訊系統營運與維護、技術支援與客戶服務、數據管理與資料中心營運，以及雲端服務。</p> <p>以軟體開發與程式設計的委外而言，資策會專案經理組長林君容表示，委外的確帶來許多好處，例如，現在企業可能為了增加競爭力，將非核心技術委外，讓自家人力可專注於核心業務，就是好處之一，但也有諸多管理議題與風險要注意，尤其是溝通與協調。</p> <p>例如，從委外管理作業程序來看，首先是委外項目選擇與可行性分析，像是哪些專案適合委外？可不可以委外？以及供應商能力評估與選擇。接下來，除了簽約要確保契約細節清晰明確，並考量各種風險，在簽約流程之後的履約執行控制，又是另一重點。</p> <p>畢竟，不論案子大小，在委外簽約之後，對於承辦人與經手人而言，還是會擔心各種層面的問題，包括：廠商進度及能否準時交付，以及交付成果可能存在落差，像是不確定外包商對需求的理解程度，甚至於系統臭蟲的妥善處理，資安檢測報告的真實度。</p> <p>而在資策會與一些機關單位洽談的實際經驗中，他們也收集到很多抱怨。例如：「廠商說好的功能卻沒作到，他們會推託表示先前我們沒講，不然就是說好的交期一拖再拖，甚至做出跟當初要求的明顯不同。」林君容表示，這些情況的發生，對身兼數職的委外承辦人來說，實在苦不堪言。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%B3%87%E7%AD%96%E6%9C%83%E8%BB%9F%E9%AB%94%E9%96%8B%E7%99%BC%E5%A7%94%E5%A4%96%E7%AE%A1%E7%90%86%E9%80%8F%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>對於軟體開發委外簽約後的履約執行控制，資策會專案經理組長林君容表示，過往存在最後交付才見真章的風險，如何讓委外專案進度檢查透明化？借助DevSecOps一站式整合工具來管控是一種方式。</strong></p> <h2><strong>透過一站式整合平臺，即時掌握委外開發進度與細節</strong></h2> <p>關於如何因應上述委外痛點，以及履約執行控制難題，林君容也趁機介紹自家打造的DevSecOps一站式整合工具，並說明此平臺的特殊應用，可讓委外開發過程「看」得到、「管」得到、「摸」得到。</p> <p>該平臺是資策會兩年前打造，以開源解決方案為基礎並整合既有工具，而成為資安檢測掃描的敏捷開發平臺，當中整合了Redmine、GitLab、Harbor等CI/CD工具軟體，程式碼品質與風險檢測工具SonarQube，網站安全弱點掃描工具OWASPZAP，API整合測試工具Postman，網頁行為錄製與自動化測試工具SideeX，以及測試實證環境。</p> <p>由於市面上的DevSecOps相關工具，幾乎都是外商產品的天下，因此這次資策會說明他們開發的平臺框架內容之餘，對於想自行開發DevSecOps平臺的國內企業開發團隊而言，也帶來可從中借鏡的機會。</p> <p>這樣的平臺對委外開發管理的具體幫助是？林君容表示，過去委外承辦人員要等到最後一刻，交期來臨才會收到外包商提供的光碟，此舉可能造成準備上線的成品，缺乏足夠時間修改。因此承辦人員更希望委外開發的程式碼，能做到自行管理，看得到專案進度，確認程式開發或檢測報告真假。</p> <p>實務上，資策會如何運用這套平臺來管理委外程式開發？他們設法促使委外開發的整個環境與流程，都集中到企業能夠檢視的這個整合性平臺上。林君容表示，對於組織的委外承辦人而言，可透過此平臺提供的儀表板，看到專案執行進度、專案規畫、議題走向與溯源，以及需求開發歷程等。同時，在這平臺上，也能管到各項資安檢測。</p> <p>基本上，專案程式碼一上傳，就會自動資安掃描測試，快速知道提交的程式是否存在問題，讓軟體開發專案從過程的一開始，就能依據檢測報告，進行資安強化。</p> <p>至於備受各界關注的軟體物料清單（SBOM）平臺，資策會的這套DevSecOps系統也具備。林君容指出，去年底平臺新增這方面功能，讓第三方套件安全問題也能受管理。</p> <p>因此，即便負責承辦人員沒有資訊背景，同樣能在此看到外包廠商開發成果——可在此執行驗測，並檢視資安報告的真實產出，也就是能掌握開發環境與開發交付成果，而非所有開發成果都隱藏在委外廠商端，難以確認狀態。相反地，承辦人本身如果有資訊背景，可從中檢視外包工程師處理每個議題，新增或更動的程式碼，另一方面，這也如同專家在側，可以學習廠商程式撰寫技巧。</p> <p>林君容強調，在委外開發時，由於兩間公司具有不同文化背景，可能常因基於禮貌，詢問一次進度之後，之後就不好意思問第二次，或是問到第三次、覺得打擾對方而作罷，但委外業務的執行，可能會遇到對方缺乏當責觀念與行動，且未落實監督機制，因此如能建立開放、透明的溝通管道，將可以帶來相當大幫助。</p> <p>綜觀上述應用方式，等於替企業進行委外開發管理作業，提供了新的思路，讓有能力的企業也能參考，進而自行設計打造自家的DevSecOps平臺，而資源不足的企業，也能採用這類型的應用服務，促使委外開發管理變得更容易與透明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89%E8%B3%87%E7%AD%96%E6%9C%83%E8%BB%9F%E9%AB%94%E9%96%8B%E7%99%BC%E5%A7%94%E5%A4%96%E7%AE%A1%E7%90%86%E9%80%8F%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>資策會展示自家DevSecOps整合工具，當中整合了Redmine、GitLab、Harbor等CI/CD工具軟體，程式碼品質與風險檢測工具SonarQube，網站安全弱點掃描工具OWASPZAP，API整合測試工具Postman，網頁行為錄製與自動化測試工具SideeX，以及測試實證環境。</strong></p> <h2><strong>打破傳統委外開發管理的透明度不足的枷鎖</strong></h2> <p>關於委外管理，過去大家都談到要透明，但如果能即時監看進度、內容、歷程，顯然又提升到更易了解的程度，讓透明化做到更即時、深入，以及全面的狀態。</p> <p>對此，林君容表示，過往的資訊委外管理透明，通常是指程序透明，例如，在執行選案選商應秉持公開、公正、透明等原則，對於資策會而言，他們開發的DevSecOps整合工具的委外管理應用，讓交付成品生動，所有交付可分散在不同迭代產生，讓承辦人及業務單位人員即時掌握進度與內容，不再是等到交期到了，才會看到的死板板光碟，或是已經沒有足夠時間可修改準備上線的成品。</p> <p>另一個我們好奇的問題是，乍看這套工具，初期應該不是針對委外應用而來。林君容表示，資策會DevSecOps整合工具原是因應內部需求而打造。由於坊間工具相當多，加上資策會內部的團隊有上百個，而每個團隊都想自建CI/CD，但每個人的方法不同，且每次開設新專案就要重新做，這不僅是重工（重複工作）且將衍生難維護的問題，因此，他們決定建構出這樣的平臺，幫助同仁提升工作效率與程式品質。</p> <p>後續資策會在內部推動此平臺的應用時，他們的委外廠商也一同加入，過程中他們發現，原來資訊委外管理的需求，並不亞於內部開發管理的需求，此時外包管理的應用才在內部發酵。而且，後續與其他機關單位互動時，也遇到對方指出外包管理是其痛點的情形。</p> <p>綜合來說，這個平臺起初並非針對委外應用，但資策會從實務經驗中，注意到可為委外開發管理帶來助益的情形。同時，他們也將這樣的成果，以服務形式提供外界使用，林均容表示，資策會目前提供地端與雲端的解決方案，並有開源免費Lite版與付費企業版之分，如果你是小型團隊，或初次導入DevOps的企業開發團隊，可下載開源的Lite版本使用。</p> <p>至於平臺是否為了委外應用，而增添更多相應管理功能？她表示，目前主要以查核點進度作為監控依據，未來將全面資訊管理儀表化，讓平臺可以更符合資訊委外承辦人員的需求。</p> </div></div></div>
2023/8/2 15:15作者羅正漢https://www.ithome.com.tw/news/158069
Amazon Clinic遠距醫療服務推向全美
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/retail/amazon-clinic-available-nationwide" target="_blank">Amazon昨（1）日宣布</a>其遠距醫療平臺服務Amazon Clinic將擴大於全美各州推出。</p> <p><a href="https://www.ithome.com.tw/news/154211" target="_blank">Amazon Clinic於2022年11月公布的虛擬健康市集</a>，提供多項健康問題的專業諮詢，讓消費者無需預約或保險，能迅速找到合法醫師經由文字訊息、相片提供診斷，並可由醫師開立處方箋。</p> <p>去年這項服務在32州推出，本周起擴及全美50州及華盛頓特區，而且也終於提供文字訊息或視訊看診。這項服務在34州提供文字訊息諮詢外，現在也支援全美50州視訊看診。用戶可透過Amazon.com或Amazon App提供24x7的專業醫師諮詢服務。Amazon Clinic能提供的健康問題項目，也由原本的20多項增加為30多項，包括泌尿道感染、結膜炎及男性勃起障礙等。</p> <p>Amazon是和線上醫療業者包括Wheel、Curai Health、Hello Alpha及SteadyMD合作提供Amazon Clinic服務，目前不接受保險，但保險可涵蓋這裏的處方藥費用。Amazon Clinic強調符合HIPAA隱私保護規定，不會使用消費者的健康訊息。</p> <p>Amazon Clinic上的文字訊息服務起價約為30到40元，視訊看診服務則為70到100美元，消費者可自行到藥局購買或在Amazon線上藥局填寫表格，由Amazon遞送藥物到家。</p> <p>這項服務使Amazon Clinic得以擴大遠距健康照護的市場實力，挑戰主要專業線上醫療業者如MDLive、Teladoc Health、GoodRx、SoYoung等。</p> <p>為了推出健康照護服務，Amazon分別於2018年買下<a href="https://www.ithome.com.tw/news/124224" target="_blank">線上藥局PillPack</a>、2022年買下診所及線上醫療服務商<a href="https://www.ithome.com.tw/news/152071" target="_blank">OneMedical</a>。此前Amazon也曾和巴菲特及摩根大通合組健康照護公司Haven，不過由於想法不同，<a href="https://www.ithome.com.tw/news/142039" target="_blank">三者於2021年初拆夥</a>，並關閉Haven。</p> </div></div></div>
2023/8/2 13:11作者林妍溱https://www.ithome.com.tw/news/158067
Halcyon指控Cloudzy替逾20個駭客組織提供命令暨控制服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers" target="_blank">資安業者Halcyon本周揭露</a>，駭客生態體系中出現了一個新產業，有眾多的駭客組織利用同一家虛擬私有伺服器（Virtual Private Server，VPS）供應商的服務來充當命令暨控制伺服器，其中，成立於美國，卻在伊朗經營的Cloudzy便至少服務來自全球的逾20個駭客組織。</p> <p>Cloudzy在美國、歐洲及亞洲建立了15個資料中心以提供VPS服務，光是美國就占了10個，它支援Windows與Linux平臺，也支援遠端桌面協定（RDP），還支援外匯交易，官網首頁就直接列出了VPS價目表，而且得以加密貨幣支付。</p> <p>Halcyon說，傳統的勒索軟體即服務（Ransomware as a Service，RaaS）領域由不同的產業組成，從負責滲透被駭網路的Initial Access Broker（IAB）、專門建置勒索軟體服務的RaaS供應商，以及真正執行攻擊的RaaS聯盟夥伴，而現在則新增了諸如Cloudzy的控制暨命令供應商（Command-and-Control Provider，C2P），這些供應商可能是無心，也可能是有意提供相關服務予全球的駭客組織。</p> <p>Halcyon是在調查Ghost Clown與Space Kook兩個新興RaaS攻擊事件時，察覺它們都使用了Cloudzy服務來充當命令暨控制伺服器，進一步分析後發現，Cloudzy先前即是眾多駭客組織的C2P，包括勒索軟體集團UNC2352與FIN12，組織型犯罪集團TA505，以色列間諜軟體公司Candiru，以及來自中國、印度、伊朗、北韓、巴基斯坦、俄羅斯及越南的17個國家級APT駭客組織。</p> <p>此外，根據Halcyon的估計，由Cloudzy代管的伺服器中，大約有4成到6成直接支援潛在的惡意行動，而Cloudzy的費用不僅便宜，容易使用，而且只需要一個電子郵件信箱，不需認證用戶身分，完全符合駭客的需求。</p> <p>於是Halcyon公布了與Cloudzy有關的網路入侵指標（IOC），以便在環境中出現相關的RDP主機名稱時，察覺各種惡意行為。</p> </div></div></div>
2023/8/2 13:48作者陳曉莉https://www.ithome.com.tw/news/158068
Meta傳最快下月推出具備人格的AI助理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/fa76c8ce-cdfd-458c-baec-73dceb2d2ad5" target="_blank">英國《金融時報》報導</a>，Meta正在積極開發其AI聊天機器人技術，將整合在旗下服務成為AI助理，最快在下個月問世。</p> <p>報導引述消息人士指出，這聊天機器人將整合在Instagram（IG）、Facebook Messenger及WhatsApp中，可提供搜尋、建議、整理資訊等服務，以及和用戶對話互動。而和其他聊天機器人最大的不同在於，Meta的AI助理具備不同人格，例如一個AI助理以衝浪高手角色幫用戶規畫旅行，另一個則能模仿美國總統林肯聲音說話。</p> <p>報導指出，為了提供個人化服務，這聊天機器人也會蒐集用戶資料，以便提供個人化內容，還會顯示廣告。</p> <p><a href="https://twitter.com/alex193a/status/1665825192398995469" target="_blank">一名App研究人員Alessandro Paluzzi上個月發現</a>，IG正在測試中的AI助理，可回答用戶問題、提供建議、激發靈感，而且還提供30種人格角色選擇。</p> <p class="rtecenter"><a href="http://twitter.com/alex193a/status/1665825192398995469" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-IG-AI-image%20by%20Alessandro%20Paluzzi%20on%20X-600.jpg" style="width: 399px;" /></a></p> <p>對於最新的AI聊天機器人服務報導，Meta並未評論。</p> <p>不過Meta在其服務中整合AI能力絕不令人意外，因為Meta是AI技術開發的先行者之一，像是機器學習框架PyTorch、自我監督學習電腦視覺模型DINO到大型語言模型Llama。<a href="https://www.ithome.com.tw/news/157854" target="_blank">Meta上個月還和微軟共同宣布新一代Llama-2的開源計畫</a>，並協助企業在Azure和Windows上部署。</p> <p><a href="https://seekingalpha.com/article/4620268-meta-platforms-inc-meta-q2-2023-earnings-call-transcript" target="_blank">Meta執行長祖克柏在上個月的財報會議中也說明</a>，正利用Llama開發多項可用在其所有服務的新產品。他當時僅說今年下半會再披露細節，但預告在其App中AI可以有很多種應用，協助用戶彼此連繫、分享內容或自我表達，像是助理、教練，或是以代理人角色和店家、企業與創作者互動。他說，這些新產品可改善App或元宇宙的使用者體驗，幫助他們打造虛擬世界、Avatar或物件。</p> <p>上一季，Meta終於重返獲利，營收較去年同期成長11%。在線上App方面，Meta 7月宣布的Twitter殺手服務Threads雖然1億註冊用戶數流失一半，但<a href="https://www.ithome.com.tw/news/158053" target="_blank">Meta相信</a>增加新功能有助於提高用戶黏著度。</p> </div></div></div>
2023/8/2 12:00作者林妍溱https://www.ithome.com.tw/news/158065
Canon噴墨印表機Wi-Fi設定漏洞可能洩露用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://psirt.canon/advisory-information/cp2023-003/" target="_blank">Canon本周發出安全公告</a>，警告噴墨印表機漏洞可能被第三方人士獲取消費者及企業用戶的Wi-Fi設定資訊進而發動攻擊，影響約200款產品，呼籲用戶應在不再使用或送修前，清空印表機Wi-Fi設定。</p> <p>Canon並未提供漏洞名稱，但說明，儲存在印表機記憶體中Wi-Fi連線設定，在一般初始化過程中不會刪除，而使他人得以存取用戶的敏感資訊。這些資訊可能包括網路SSID、密碼、網路型態（如WPA3、WEP）、指派的IP位址、MAC位址等，可使他人藉此存取這些印表機用戶的家用或企業網路。</p> <p><a href="https://canon.a.bigcontent.io/v1/static/affected-models_20230731_d04c0d9895124b65acd21ca68357dcdc" target="_blank">受到影響的產品包括</a>200款家用、企業用噴墨印表機及大圖輸出機。</p> <p>Canon提醒當用戶送修、出租他人或汰換印表機之前，應重設所有設定，再開啟WLAN功能，再次重設所有設定。如果不想重設所有設定者，可以只重設LAN設定、啟用WLAN後，再次重設LAN設定。</p> <p>這是Canon兩周內再一次發出漏洞公告。<a href="https://tinyurl.com/28nyjlyy" target="_blank">該公司7月底才公告</a>多項緩衝溢位及驗證不當漏洞，可造成攻擊者對印表機發動阻斷服務（DoS）攻擊或執行惡意程式。這批漏洞影響大批噴墨、雷射印表機及多功能事務機。</p> </div></div></div>
2023/8/2 12:27作者林妍溱https://www.ithome.com.tw/news/158066
採用Nvidia頂級資料中心GPU，AWS新執行個體上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_amazon_ec2_p5-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當前最受全球矚目的資料中心GPU產品，莫過於Nvidia在2022年3月GTC春季大會發表的H100，當時除了眾多伺服器廠商表示將搭配這款GPU，也預告各大公有雲業者提供搭配H100的執行個體服務，打算這麼做的廠商有阿里雲、AWS、百度智能雲、Google Cloud、微軟Azure、Oracle Cloud Infrastructure（OCI）、騰訊雲。</p> <p>同年9月GTC秋季大會期間，<a href="http://nvidianews.nvidia.com/news/nvidia-hopper-in-full-production">Nvidia宣布H100進入完全生產狀態</a>，他們表示，雲端業者2023年會開始部署搭配H100的執行個體服務，此時列出的廠商有4家，分別是：AWS、Google Cloud、微軟Azure、OCI。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Nvidia%20Platform%20and%20Partners.jpg" style="width: 600px;" /></p> <p>到了2023年3月GTC春季大會，Nvidia揭露雲端業者相關服務的提供狀態與進度，例如，Cirrascale、CoreWeave這兩家的H100執行個體服務已經正式上線，<a href="https://azure.microsoft.com/en-us/blog/azure-previews-powerful-and-scalable-virtual-machine-series-to-accelerate-generative-ai/">微軟Azure已開放ND H100 v5系列服務的私密預覽</a>，<a href="https://blogs.oracle.com/cloud-infrastructure/post/limited-availability-oci-compute-nvidia-h100">OCI限量提供搭配H100的運算裸機GPU執行個體服務</a>，</p> <p>AWS表示接下來幾週將開放特定用戶預覽，主角是Amazon EC2執行個體服務當中P5將會使用H100，最大可提供20 Exaflops的運算效能，可用來組建與訓練最大的深度學習模型，此款雲端服務也將導入AWS第二代EFA（Elastic Fabric Adapter）網路卡，可能提供3,200 Gbps的網路頻寬與吞吐能力，若需要更大運算規模，可在EC2 UltraClusters這套雲端運算叢集服務當中，擴展使用2萬臺H100 GPU彼此連接，以因應超級電腦等級效能的AI隨需存取應用。此外，Google Cloud、Lambda、Paperspace、Vult這幾家雲端廠商，也計畫推出搭載H100的雲端服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Nvidia%20H100%20System%20partners.jpg" style="width: 600px;" /></p> <p>在這段期間，ChatGPT引領全球人工智慧熱潮，推動相關技術發展的OpenAI與微軟成為舉世矚目的焦點，微軟也趁機在Nvidia GTC春季大會與自家Build開發者大會，宣傳他們發展的Azure AI基礎架構，ND H100 v5系列當然也被提到，外界預期這個執行個體服務就快要正式推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Nvidia%20GTC-Azure%20H100%20instances%20preview.jpg" style="width: 600px;" /></p> <p>然而，到了6月底，AWS突然宣布推出Amazon EC2 P5，搶先微軟Azure推出搭配Nvidia H100的執行個體服務，全名為p5.48xlarge，單個執行個體服務，最多可搭配8張內建HBM3記憶體80 GB的Nvidia H100，此服務目前僅在兩座資料中心區域供應，分別是：美國西部（奧勒岡），以及美國東部（維吉尼亞北部）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-27-AWS%20P5%20GA1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-27-AWS%20P5%20GA2.jpg" style="width: 600px;" /></p> <p>關於使用效益的差異，AWS表示，相較於採用Nvidia上一代資料中心GPU（A100）的執行個體服務P4，若改用P5執行深度學習模型的訓練處理，時間縮減幅度可達到6倍之多，原本要好幾天才能完成，現在只需幾個小時，而這樣的效能突飛猛進，也帶來降低AI訓練成本的效益，可節省40％的費用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-infographic2.jpg" style="width: 600px;" /></p> <p> </p> <p>除了GPU帶來顯著的運算效能提升，P5在伺服器運算效能與資源的配置上，也優於P4。舉例來說，處理器效能增加1倍（AMD第三代EPYC、192顆虛擬處理器，對上英特爾第二代Xeon Scalable、96顆虛擬處理器），系統記憶體容量提升7成（2,048 GiB對上1,152 GiB），本機硬碟存容量增加至4倍（30 TB對上8 TB）。</p> <p>而在網路頻寬的部分，P5因為導入AWS本身發展的第二代EFA網路加速技術，傳輸效能可達3,200 Gbps（P4為400 Gbps），可提供強大的橫向擴展規模能力，有利於承擔分散式AI訓練，以及處於緊耦合狀態的高效能運算工作負載。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-AWS%20P4%20P5%20Comparison.png" style="width: 500px;" /></p> <p>若要支援更大規模的人工智慧與高效能運算處理，用戶可建置Amazon EC2 UltraCluster，並在這個叢集環境部署P5執行個體服務，提供 Pbps等級的網路互連能力，最多可連接2萬張Nvidia H100，匯集運算容量可達到20 Exaflops的規模。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster2.jpg" style="width: 600px;" /></a></p> <p> <strong><span style="color:#008080;">產品資訊</span></strong></p> <p>AWS Amazon EC2 P5<br /> ●原廠：AWS<br /> ●建議售價：On-Demand Linux方案每小時98.32美元<br /> ●基礎運算規格：AMD第三代EPYC處理器、2 TB記憶體、30 TB NVMe儲存空間<br /> ●提供服務規模選擇與最大組態：p5.48xlarge，192顆虛擬處理器、2048 GiB記憶體、8臺3.84 TB本機儲存、8張Nvidia H100 GPU、網路頻寬為3,200 Gbps，網路儲存：使用AWS區塊儲存服務EBS，存取頻寬為80 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/2 01:56作者李宗翰https://www.ithome.com.tw/review/158051
【資安日報】8月1日，Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。</p> <p>針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。</p> <p>專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年零時差漏洞超過4成來自已知漏洞修補不全，安卓生態圈長期面臨較高的攻擊風險情況加劇</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）針對去年出現的零時差漏洞攻擊進行分析，他們總共發現41個被駭客利用的漏洞，較2021年的69個顯著下降。但研究人員提出警告，去年有逾4成（17個）的零時差漏洞，與過往曾揭露的漏洞修補不全有關，對照2021年有2成漏洞存在這類情況來看，2022年增加至4成，嚴重程度顯然有增無減。</p> <p>另外一個值得留意的是，TAG這次特別點名安卓系統上的N-day漏洞現象，由於Google對於安卓作業系統進行修補後，還要經過裝置製造商打造更新程式，相關的修補軟體才會套用到使用者的裝置上，而這樣的時程過於漫長，導致駭客無須挖掘零時差漏洞，而是利用Google或晶片製造商已經公布、修補，但裝置製造商尚未派送更新軟體的N-day漏洞，就能達到相同的目的。</p> <p>研究人員舉出去年7月發現的Mali GPU顯示晶片漏洞CVE-2022-38181為例，Arm在同年10月予以修補，但直到今年4月的安卓安全更新公告，相關的修補程式才納入該作業系統，換言之，即使是Google自家的Pixel手機，竟然也曝險長達半年，更遑論其他廠牌的安卓裝置。而且，針對該漏洞的攻擊程式，去年11月就已經出現，可見這個風險缺口有多大。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體CherryBlos藉由OCR盜取圖片裡的加密貨幣錢包帳密資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技在今年4月，發現鎖定安卓裝置的惡意軟體CherryBlos、FakeTrade，前者是透過釣魚網站散布的竊密程式，後者則是上架Google Play市集的詐騙軟體。研究人員指出，駭客散布CherryBlos的途徑，主要是透過社群網站推特、抖音、即時通訊軟體Telegram，假借提供挖礦軟體、即時通訊軟體、AI機器人App的名義，透過廣告連結將使用者導向釣魚網站，進而於目標裝置部署此竊密軟體，而能夠以此竊取加密貨幣帳密，並在使用者提款、轉帳時，趁機置換錢包的網址，再順勢掏空受害者的加密貨幣錢包。</p> <p>特別的是，此竊密軟體盜取帳密資料的手段，除了模仿加密貨幣錢包的使用者介面，引誘使用者輸入相關資料並進行竊取，還能透過光學字元辨識（OCR）的方式，從存放在裝置上的圖片挖掘帳密資料，並定時回傳至C2。</p> <p>另一方面，研究人員也在Google Play市集裡，看到31款詐騙應用程式FakeTrade，引誘使用者觀看廣告、訂閱付費服務、儲值應用程式的錢包，但直到使用者想要兌現這些有價物資時，才驚覺上當。FakeTrade與CherryBlos使用相同的C2基礎設施、金鑰，研究人員認為這些惡意軟體背後的攻擊者可能是相同駭客組織。</p> <p><a href="https://www.cyfirma.com/outofband/apt-bahamut-targets-individuals-with-android-malware-using-spear-messaging/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌即時通訊軟體SafeChat鎖定安卓用戶而來，竊取Telegram、WhatsApp、Facebook Messenger資料</span></strong></a></p> <p>資安業者Cyfirma揭露印度駭客組織Bahamut的攻擊行動，他們先是使用WhatsApp尋找攻擊目標，然後以更加安全、隱密為由，提供名為SafeChat的即時通訊軟體為幌子，目的是進行間諜軟體攻擊，進而竊取手機通話記錄、簡訊、GPS位置資訊，以及即時通訊軟體Telegram、WhatsApp、Facebook Messenger的用戶資料，主要目標是南亞使用者。</p> <p>研究人員指出，此惡意程式前身是Coverlm，且具備類似即時通訊軟體的介面，用戶操作時會要求各式權限，以便能夠截取螢幕截圖和鍵盤輸入的內容，或是讓該惡意程式能在後臺持續運作，而在使用者將App關閉後，C2仍繼續與此惡意軟體保持通訊。</p> <p><a href="https://www.cadosecurity.com/redis-p2pinfect/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體P2Pinfect濫用Redis複寫功能進行橫向感染</span></strong></a></p> <p>上個月資安業者Palo Alto Networks發現鎖定Redis伺服器的蠕蟲程式P2PInfect，駭客針對存在Lua沙箱逃逸漏洞CVE-2022-0543的伺服器下手，現在也有其他研究人員公布進一步的調查結果。</p> <p>資安業者Cado Security也在他們部署的蜜罐陷阱（Honeypot）看到P2PInfect，並指出駭客製作了Windows版、Linux版本的攻擊工具，在攻擊行動中，駭客透過以C及Rust組合語言編寫的ELF檔案，竄改伺服器的OpenSSH設定，調整成近乎預設的組態，隨後攻擊者就會重新啟動SSH服務，並部署新的金鑰，然後將wget及curl改名並用來進行後續的攻擊行動，並新增iptables規則來避免其他攻擊者對Redis伺服器下手。最終駭客透過P2PInfect將已感染的伺服器視為節點，形成點對點（P2P）的殭屍網路。</p> <p>值得留意的是，駭客透過Redis的複寫（replication）功能，來達到蠕蟲程式自我散布的目的。此外，駭客也運用多個Redis已知漏洞，來做為初步入侵此種伺服器的管道。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-new-submarine-malware-found-on-hacked-barracuda-esg-appliances/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Submarine針對Barracuda郵件安全閘道而來</span></strong></a></p> <p>7月28日美國網路安全暨基礎設施安全局（CISA）提出警告，聯邦機構的Barracuda郵件安全閘道（ESG）遭到攻擊，駭客利用漏洞CVE-2023-2868，於這些閘道設備部署名為Submarine的後門程式（亦稱為DepthCharge），用來迴避偵測、收集資料，並以便於持續在受害組織活動。CISA指出，駭客將此後門程式植入ESG設備的SQL資料庫，該惡意程式具備數個模組，並能使用root權限執行、與C2進行通訊、清理作案留下的痕跡。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nics.nat.gov.tw/NewInfoDetail.htm?seq=1706"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安院與工研院簽訂MOU，預計年底成立AI產品與系統的評測機構</span></strong></a></p> <p>7月31日國家資通安全研究院（資安院）與工業技術研究院簽署合作備忘錄（MOU），他們將結合資安院的資安防護技術研發，以及工研院AI創新應用的專業能力，合作建立可信任的AI評測機制，並預定於今年底正式成立「AI產品與系統評測中心」，共同打造臺灣的資安韌性環境。</p> <p>為確保評測機制的公正、客觀、獨立性，並且符合國際規範，資安院與工研院將優先研析國際AI安全框架與標準，在國家科學及技術委員會與數位發展部、數位產業署等機關指導下，執行「推動可信任生成式AI發展先期計畫」，進而提出符合臺灣AI政策推動、產業發展、應用方向的評測項目與執行方法。</p> <p><a href="https://blog.google/products/android/unknown-tracker-alert-google-android/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對安卓裝置部署不明追蹤警告功能，防範用戶遭到未知藍牙裝置跟蹤</span></strong></a></p> <p>7月27日Google宣布，將針對執行Android 6.0以上版本作業系統的裝置，部署不明追蹤警告（Unknown Tracker Alert）的功能，目的是讓使用者能察覺可能被用來跟蹤他們、來路不明的未知藍牙追蹤器，進而採取行動，例如要求追蹤器發出聲音、檢視追蹤器的部分資訊，或是嘗試關閉該追蹤裝置。此功能初期支援蘋果的AirTag，但Google將與其他追蹤器製造商合作，擴大該功能可支援的裝置品牌。</p> <p><a href="https://www.ithome.com.tw/news/158017"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為保護使用者隱私，蘋果採取新的App Store管理政策，要求App開發商說明使用API追蹤用戶的理由</span></strong></a></p> <p>蘋果在2021年祭出應用程式追蹤透明度（App Tracking Transparency，ATT）的要求，規範應用程式開發商必須在使用者安裝App的過程中，以明顯方式告知用戶會蒐集用戶資訊，並賦予用戶同意或拒絕的權力。然而，部分開發商為繞過上述的管理政策，改以API讀取裝置資訊來追蹤使用者的行動。</p> <p>對此，近期蘋果祭出新的App Store管理政策，表示他們將限制應用程式利用API來追蹤用戶裝置的資訊，未來開發商想要使用能讀取檔案時戳、系統開機時間、磁碟空間、使用者預設組態等可能侵犯用戶隱私的API，必須填寫App隱私表單，若未說明將從2024年春季無法上架應用程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體鎖定東歐工控環境與關鍵基礎設施，企圖從隔離網路竊取機密</span></span></strong></a></p> <p><a href="https://medium.com/@knownsec404team/patchworks-new-assault-weapons-report-eyeshell-weapons-disclosure-181833f434be"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國學術機構遭駭客組織Patchwork鎖定，植入後門程式EyeShell</span></span></strong></a></p> <p><a href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路AVRecon入侵路由器進行控制，將其用來提供非法的代理伺服器服務</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/israels-largest-oil-refinery-website-offline-after-ddos-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列大型煉油廠Bazan網站遭到DDoS攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-bleedingpipe-rce-to-target-minecraft-servers-players/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電玩遊戲Minecraft伺服器遭到鎖定，駭客利用漏洞BleedingPipe來掌控系統</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> </div></div></div>
2023/8/1 17:57作者周峻佑https://www.ithome.com.tw/news/158058
蘋果的家長控制功能Screen Time有臭蟲，設定會突然消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/apples-parental-controls-are-broken-55a2aa52?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（Wall Street Journal，WSJ）本周踢爆，蘋果裝置的家長控制功能自去年9月釋出iOS 16之後就出現了臭蟲，家長替小孩裝置所設定的螢幕或程式使用時間經常會消失，且就算蘋果已透過iOS 16.5修補了該臭蟲，同樣的問題依然出現在最新的iOS 17測試版上。而蘋果也已承認此一問題的存在。</p> <p>為了不讓小孩過度沈迷遊戲、程式或手機上，或是為了避免小孩觸及不當內容，蘋果開發了家長控制功能，可透過螢幕使用時間（Screen Time）來管理孩子的蘋果裝置，包括設定可使用的程式與使用時間，或是限制可通訊的對象，封鎖特定內容，以及設定裝置的停用時間（Downtime）等。</p> <p>不過，<a href="https://discussions.apple.com/thread/254480754" target="_blank">最近幾個月以來持續有家長抱怨</a>，他們對螢幕使用時間的設定偶爾會忽然消失，這是過去多年來不曾出現過的問題。</p> <p>《華爾街日報》指出，該問題似乎源自於蘋果所釋出的iOS 16，但<a href="https://support.apple.com/en-us/HT213407#165" target="_blank">蘋果在iOS 16.5中曾經修補螢幕使用時間</a>，指出該功能的設定可能會跑掉或是無法於所有裝置上同步，只是該問題一直存在，包括最新的iOS 17測試版。</p> <p>蘋果也向該報證實，有些使用者可能會遭遇螢幕使用時間重設的問題，將繼續藉由更新來改善此一情況。</p> </div></div></div>
2023/8/1 16:47作者陳曉莉https://www.ithome.com.tw/news/158057
惡意程式CherryBlos利用OCR技術竊取帳號密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trendmicro.com/en_be/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html" target="_blank">安全廠商趨勢科技近日發現</a>一隻Android竊密程式，能利用光學辨識（OCR）技術萃取出手機螢幕的文字，以竊取帳號密碼。</p> <p>趨勢科技今年4月發現二波有關的惡意程式攻擊。其中一波是透過釣魚網站散布名為CherryBlos的竊密程式，另一波則是存在Google Play Store上的詐騙App。</p> <p>其中CherryBlos具備使用OCR圖像辨識工具的進階能力。今年4月CherryBlos嵌入於挖礦軟體的App中，透過推特、TikTok、Telegram等傳播，廣告連結將用戶導向釣魚網站下載到其Android手機上。CherryBlos目的在竊取加密貨幣帳號的憑證，並在用戶提款時置換錢包網址為攻擊者所控制的網址，以掏空用戶錢包。</p> <p>研究人員發現，CherryBlos具有多種高明技倆以避免偵測。為躲避靜態偵測，惡意程式作者以強大的市售封裝工具Jiagubao（360加固保）內建加密技術封裝，以加密CherryBlos大部分字串，減少被偵測的機率，也會以WebView顯示官網以免受害者起疑心。</p> <p>CherryBlos和金融木馬程式很像，會要求輔助功能的存取許可。它在用戶開啟電子錢包App後顯示對話提示窗，要求使用者同意給予許可。CherryBlos還會假造電子錢包App啟用活動，以誘使用戶輸入密碼片語（passphrase）。很特別的是，取得輔助功能存取許可後，當用戶在螢幕上輸入密碼時，CherryBlos會先拍下螢幕擷圖，以OCR翻譯成文字格式後，將密碼片語、連同植入的電子錢包App套件名稱等資訊，傳送給駭客控制的C&C伺服器。此外，當用戶從交易平臺提款存到自己的線上電子錢包時，CherryBlos會將錢包網址置換成攻擊者所控制的網域，以便竊取加密貨幣。</p> <p>研究人員還在Google Play Store上發現不含CherryBlos的同樣的App。他們相信是由同一個團隊開發。</p> <p>此外，除了CherryBlos外，研究人員也在Google Play上發現疑似和CherryBlos有關的惡意App，因其使用相同的網路基礎架構及App憑證。這些App 謊稱用戶可經由導流量賺取獲利，但受害者最後是提不出錢的，故其中的惡意程式被研究人員稱為FakeTrade。倒楣的用戶下載安裝這些App後大量給予負評。</p> <p>這類詐騙App共有31款上傳Google Play Store，現已全數為Google移除。</p> <p>安全廠商提醒，用戶應避免從第三方網站下載不熟悉的App。且安裝前應仔細審閱其他用戶的評論，看看是否有提及可能是惡意程式。此外也應留心App要求的許可，特別是要求輔助功能存取權限。</p> </div></div></div>
2023/8/1 15:46作者林妍溱https://www.ithome.com.tw/news/158056
美頂尖醫學中心如何推動數位轉型？麻省總醫院內科主任揭第一手經驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國頂尖醫學體系麻省總醫院暨布萊根婦女醫院（Mass General Brigham）內科主任David W. Bates日前來臺分享數位轉型經驗和進展，為推動轉型，他們先是盤點院內系統、發現系統老舊互通性不足，於是展開評估，決定在2016年導入現成商用系統至旗下所有醫院和診所。這麼做雖解決互通性問題，卻也有些問題要克服，比如系統難以精煉、需採購額外系統來補強臨床決策輔助功能等。</p> <p>不過，商用系統也為醫院日後AI發展打下基礎，能收集大量、標準化的臨床資料，供醫護和研究人員即時存取。David W. Bates總結，醫院推動數位轉型時，必須投資基礎建設、確保資料互通性，並持續嘗試新技術和創新應用。他也建議，醫院若要找出高成本患者族群、降低醫院成本，可從心理健康狀態、社經地位、婚姻狀態和生活狀態等因子下手。</p> <p><span style="font-size:24px;"><strong>數位轉型2階段：盤點既有系統、針對弱點導入合適HIS系統</strong></span></p> <p>麻省總醫院暨布萊根婦女醫院（Mass General Brigham，簡稱MGB）是美國頂尖的體系醫院，旗下不只有著名的麻省總醫院（Mass General Hospital）和布萊根婦女醫院（Brigham and Women’s Hospital）等醫學中心，還有10多家社區醫院與診所。其中，David W. Bates不只在MGB擔任內科主任，也是MGB的病安研究中心主任，同時還是哈佛醫學院的醫學教授。</p> <p>David W. Bates點出，MGB體系推動醫療照護數位轉型，共有2大階段，一是盤點院內既有系統，另一是導入合適的HIS系統。就第1點來說，MGB體系醫院長年來採用自行開發的系統，醫護第一線使用者也對自家系統很是滿意。但隨著數位醫療發展，他們發現，這些系統沒法滿足所有需求，特別是「許多老舊系統無法互通（Interoperate），」比如在院外累積的臨床資料，無法整合至院內系統。</p> <p>當時，美國政府正好鼓吹醫院採用資料可互通的系統，並設置大筆補助，來鼓勵醫院汰換HIS系統。於是MGB評估，若要自行開發新一代系統來滿足互通需求，太費工耗時，因此決定採購現成系統，在2016年導入美國市占率最高的Epic系統至MGB旗下每間醫院和診所。</p> <p>這是他們數位轉型的第2階段。這麼做「對醫療資料交換非常有幫助，」解決了資料互通性問題。但David W. Bates坦言，這種通用型系統雖有立竿見影的成效，但醫院沒有足夠資源，來讓系統更精煉。</p> <p><span style="font-size:24px;"><strong>導入後也不要輕忽小問題，因為那是使用者的大困擾</strong></span></p> <p>比如，在系統導入的第一年，David W. Bates為病人看診時，系統往往將他定位錯誤，顯示錯的分院地點，他得手動修改才行。雖然是個不足為奇的小錯誤，但對他這樣的執業醫師來說，卻很惱人。</p> <p>另一方面，導入新系統後也得有相容性問題。舉例來說，實驗室系統（LIS）是醫院的核心系統之一，但MGB體系並未採用Epic系統，而是另一家廠商的LIS。因此，在不同系統的使用介面上，難免出現操作問題。</p> <p>此外，導入新系統還有另一個問題，也就是臨床輔助決策功能，需要時間來增強。David W. Bates指出，採用新系統雖讓MGB體系的所有文件記錄（不論院內院外）數位化，但臨床決策輔助功能仍不如舊系統好，還在逐步到位中。他舉例，當醫師每開2次藥，系統就會跳出警示，「這很煩人，」但他也指出，新系統還在穩定進步中，MGB也正採購其他系統來補強。David W. Bates強調，好的決策輔助功能，是保障病人安全的重要一步。</p> <p>他也建議，任何醫院在轉換系統時，得考慮新系統是否能發展創新應用，來讓醫護工作更簡單順暢。</p> <p>話鋒一轉，David W. Bates認為，在這場數位轉型中，進展最多的領域莫屬遠距醫療。「在COVID-19疫情爆發前，我們遠距醫療做得不多，但疫情爆發後，我們幾乎一夜間就切換為遠距醫療模式。」他回憶，起初醫護和病人雖然都不太知道怎麼使用系統，但後來熟能生巧，現在，精神科和睡眠醫學部門幾乎都用遠距醫療來與病人互動。</p> <p>不過，即便疫情間累積不少遠距醫療經驗，他還是點出，現在他在診間看診時，還是會不清楚下一位病人是實體看診，還是線上看診。因此，「我們還需要良好的工具，來幫助醫護釐清病人看診方式，」這也是MGB目前正在改善的地方。David W. Bates也不諱言，MGB也仍在學習，使用遠距醫療的最佳時機以及何時不該使用。</p> <p><span style="font-size:24px;"><strong>影像數位化還能用來打造自動通知與後續追蹤系統</strong></span></p> <p>談起醫院數位轉型，一大領域是醫學影像數位化。他指出，MGB所有的醫學影像目前都已數位化，還因此建立許多大型資料庫，來推進醫學研究。比如，早在2014年，MGB就發展出一套<a href="https://pubmed.ncbi.nlm.nih.gov/25341163/">重症檢驗警示通知系統（Alert Notification of Critical Results，ANCR）</a>，能自動通知醫護，病人的重症醫學影像報告結果，來加速醫護溝通與患者治療。David W. Bates說明，當放射線醫師在病人醫學影像中標示出問題，系統會自動通知主治醫師，並連動安排後續的檢驗檢查，大大提高病人後續追蹤與照護品質，「這是過去我們做不到的，」他強調。</p> <p>他也指出，MGB並非早早就將所有類型的醫學影像數位化，而是到了2010年，才將CT、MRI、超音波、X光片、骨密度、乳房攝影等多種類型的醫學影像數位化。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-01%20123229.png" /></p> <p>AI也是MGB數位轉型的重點之一。要發展AI，得要有龐大且可存取的資料才行，David W. Bates點出，Epic系統在累積資料、存取資料這方面表現出色，每天都會自動收集資料一次，但對於收集頻率較高的情境（如每分鐘收集一次資料），表現就不理想，這是MGB正在解決的問題。</p> <p>另一個要解決的挑戰是運用工具，來確保AI產出的洞察，是給正確的醫護人員審閱。</p> <p>目前，MGB發展最成熟的AI領域是放射線影像，如乳房攝影、X光片判讀等。在這個領域，AI加速醫師的判讀時間，也降低反覆檢查的工作。David W. Bates指出，接下來，MGB要將這些成功經驗擴展到更多臨床領域，也要用來改善行政工作。</p> <p>但他坦言，機器人技術是MGB數位轉型中，發展速度和力道最弱的一環。他指出，雖然機器人技術在特定領域有所發揮，比如手術（特別是義肢、婦科）、藥品管理等，但「證據顯示，運用機器人技術產生的價值是醫療系統、遠距醫療、數位影像、AI和機器人等5大領域中最弱的，」David W. Bates舉例，一支達文西手臂要價200百萬美元，但能否帶來更好的成效，仍有待觀察。</p> <p><span style="font-size:24px;"><strong>從MGB數位轉型學到的一課：必須投資基礎設施</strong></span></p> <p>回顧MGB將近10年的數位轉型歷程，David W. Bates點出，這場轉型仍在進行中，成效也越來越好。他總結這些經驗，建議要推動數位轉型的醫院，一定要「投資基礎建設，」比如要發展即時性的醫療AI，就得確保資料資源足夠且可用。再來是，院內系統要能分析、處理外部系統資料，畢竟，「病人不會只在一家醫院看診，」因此系統要具備資料互通性，這也是MGB持續面臨的挑戰。</p> <p>最後，他點出，創新也是轉型的關鍵，因為，大家尚不確定哪些技術對醫療最有幫助，因此得不斷嘗試、創新，才能找出答案。這也是MGB轉型的原則之一。</p> <p><span style="color:#0000FF;"><strong>如何找出高成本病患：從心理健康、社經地位和生活狀態來觀察</strong></span></p> <p><span style="color:#808080;"><strong>不只是技術發展，和大多數醫院一樣，降低成本也是MGB的重要目標。他們發展一套方法，鎖定出高成本患者，「我們有5%的患者，耗費了醫院50%的成本。」David W. Bates表示，找出這群人是管控成本的第一步。</strong></span></p> <p><span style="color:#808080;"><strong>MGB的方法是，從病患的心理健康狀態（Mental health status）、社經狀態（Socioeconomic status）、婚姻狀態（Marital status）和生活狀態（Living status）等因素來找出這群人。David W. Bates強調，這些因素很重要，因為對醫院成本有著「極大影響。」他也指出，找出可行的需求和差距也很重要，如此才能提高這些患者的成本效益。MGB也透過這些調查，來找出這群病患，還成功降低這群患者的住院人次。（如下圖）</strong></span></p> <p><span style="color:#808080;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-01%20123149.png" /></strong></span></p> </div></div></div>
2023/8/1 13:47作者王若樸https://www.ithome.com.tw/news/158054
挪用投資人的錢買555克拉的鑽石，加密貨幣負責人Richard Heart遭SEC控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-143" target="_blank">美國證券交易委員會（SEC）周一（7/31）控告了Richard Heart，</a>以及他所控制的3家加密貨幣公司Hex、PulseChain與PulseX。SEC除了指控這3家公司未經註冊即發行加密貨幣證券，向投資人募集了超過10億美元的加密貨幣資產之外，還指控Heart將投資人的資金用來購買昂貴的跑車、手錶，以及據傳是世界上最大的黑鑽Enigma，重達555克拉，花費超過1,200萬美元。</p> <p>調查顯示，Heart是在2018年開始對外行銷Hex，宣稱它是全球第一個高收益的區塊鏈定存，並發行聲稱可讓人們致富的Hex代幣，質押收益可高達38%。自2019年12月到2020年11月，Heart藉由出售Hex代幣，換得了逾230萬個以太幣（ETH）。</p> <p>接著Heart還在2021年7月到2022年3月間，以開發加密貨幣網路PulseChain及加密貨幣交易平臺PulseX的名義，分別發行PLS與PLSX代幣，各自對外募集了數億美元的資金。</p> <p>SEC沃思堡地區辦事處主任Eric Werner指出，Heart鼓勵投資人購買未經註冊的加密貨幣證券，並以這些哄騙而來的加密貨幣資產購買昂貴商品，SEC想要保護投資人並將Heart繩之以法。</p> <p>SEC認為Heart與相關業者違反了美國證券法規中的註冊及反詐欺規定，因而提出訴訟，要求被告歸還非法所得且不得再從事非法行為。</p> <p>其實SEC的新聞稿並沒有揭露太多的細節，<a href="https://www.sec.gov/files/litigation/complaints/2023/comp-pr2023-143.pdf" target="_blank">但在訴狀中詳述了Heart的行為</a>，包括對外宣傳發展PulseChain區塊鏈是為了保護言論自由，並要求投資人若相信此事便應該作出犧牲；還經常以誇大且不實的言論來誤導投資人，例如於Hex官網上宣稱Hex在兩年內成長了1萬倍，其目標是超越比特幣及以太幣，成為全球最強大的加密貨幣等。</p> <p>此外，SEC認為Heart挪用了PulseChain的投資人資產，直接把其中超過2億美元的資產轉移到某個私人錢包，再藉由Mixer工具執行混淆來源的交易。</p> <p>而Heart挪用PulseChain投資人資產所購買的奢侈品除了價值428萬美元的Enigma黑鑽之外，還有價值近54萬美元的麥拉倫跑車，超過31萬美元的白色法拉利，以及多款勞力士手錶等。</p> </div></div></div>
2023/8/1 14:36作者陳曉莉https://www.ithome.com.tw/news/158055
Google Assistant部門裁員，將以生成性AI改造
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axios.com/2023/07/31/google-assistant-artificial-intelligence-news" target="_blank">媒體報導</a>，Google近日內將再改組Google Assistant，包括裁減職位，並將使用新的生成性AI模型來改造這個AI助理。</p> <p>《Axios》上周取得Google Assistant副總裁Peeyush Ranjan和產品部門主任Duke Dukellis的對內公開信報導此事。這也是3月間<a href="https://www.ithome.com.tw/news/156221" target="_blank">《CNBC》報導Google Assistant部門人事異動</a>後再一次調整。配合新策略，原Assistant開發工程主管去職，而由原先負責Google商務部門業務主管Ranjan接任。</p> <p>Ranjan上周信中內容則說明在此策略方向下的後續改組。他說明生成性AI有極大潛力改變人類生活，而以最新大型語言模型（LLM）加持的Assistant有很大機會，在此方向下，Google Assistant新的組織調整包括合併服務和介面開發團隊，獨立出行動（Mobile）部門，其他團隊還包括自然語言處理（NLP）、基礎架構及語音開發部門。他指出，行動部門已經首先啟動以LLM改造Google Assistant的計畫。</p> <p>Ranjan強調公司會持續投入Assistant的開發，但伴隨這次改組，他說也將裁減「少部份」職位。Google對<a href="https://www.theverge.com/2023/7/31/23814702/google-assistant-ai-features-layoffs-bard" target="_blank">《The Verge》</a>證實Assistant部門將裁減10多名員工。</p> <p>在信中Google並未說明LLM會如何協助Assistant的改造，不過今年3月的改組中，Google對Assistant的定位由整合在Google Maps等Android手機應用或是Google硬體的語音介面，轉為和Google Bard整合。Google部門預計本周於美、歐等分公司內部會議中說明公司計畫。</p> <p>至於Google Bard和Assistant整合會發生在哪目前還不得而知，不過很少談論AI的蘋果，<a href="https://www.ithome.com.tw/news/156997" target="_blank">據報也在找生成性AI人才</a>，希望強化Siri以及iOS上捷徑、Pencil& Paper、軟體鍵盤等「系統體驗」。</p> </div></div></div>
2023/8/1 12:30作者林妍溱https://www.ithome.com.tw/news/158052
Threads App用戶大跌6成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特改名為X令人爭議，但Meta的Threads是否能取而代之還很難說，因為根據市調公司數據，推出將近1個月以來，Threads App用戶數已跌掉60%。Meta執行長祖克柏（Mark Zuckerberg）則承認，已有一半用戶流失。</p> <p>Threads於7月6日正式上線後引起大眾強烈好奇心，且Threads帳號基於IG資料，很容易註冊。這個類似推特的文字社交平臺App在上線5天內用戶數飆至1.05億，速度超過ChatGPT及IG。</p> <p>不過好景不常，早在上線第二周用戶就興趣缺缺，Threads使用量表現出現疲態。<a href="https://www.similarweb.com/blog/insights/social-media-news/twitter-threads/" target="_blank">根據市調機構SimilarWeb上周公布的最新數據</a>，Threads Android App使用量最尖峰落在7月7日，當時每日經常用戶數（Daily active user，DAU）超過4,900萬。但到了7月23日，其DAU只剩1,260萬，僅Twitter的12%。此外，用戶在Threads App上的平均使用時間也縮短了。剛上線時，美國用戶一天使用將近21分鐘，但到7月23日當周已縮短為不到5分鐘。相較之下，Twitter用戶使用時間還有25分鐘。</p> <p>這份數據不包含Threads iOS App的數據，不過市調公司相信應該也呈現暴起暴落的情形。</p> <p>同時期，Twitter雖然改名X飽受批評，但流量表現相對穩定。這家市調公司估計6月份Twitter.com，以及Twitter廣告入口網站的流量，只比去年同期各跌了10%及10.4%。而Twitter iOS及Android版App每月經常用戶數比去年僅下跌8.4%，還優於競爭者IG、Snapchat、及TitTok。</p> <p>Threads上線時，遭批評只是複製Twitter的作品。分析師指出，如果Threads希望用戶每天來此報到，Meta必須補上還缺失的功能，並且加入新開發、有特色的功能。</p> <p>對此Meta執行長祖克柏認為這很正常。<a href="https://www.reuters.com/business/media-telecom/meta-plans-retention-hooks-threads-more-than-half-users-leave-app-2023-07-28/" target="_blank">根據《路透社》報導</a>，祖克柏在內部會議中表示，對一個註冊用戶數超過1億的服務來說，不要說全部，就算只有一半人留下來都算是很厲害的，Threads「也沒到那程度」。但他指出Threads用戶留存情況優於公司預期，而且他相信，隨著App功能愈來愈完整，包括桌機版及搜尋功能的加入，用戶留存情況會再改善。</p> <p>上周Threads加入時序性顯示貼文的功能，讓用戶不必非依演算法來讀取貼文，也加入翻譯功能。Threads還預告正在開發Web版、私訊、搜尋及方便視覺或說話不便用戶的輔助功能等。</p> <p>Twitter已在上周全面改成X，拿掉小鳥logo，<a href="https://www.theverge.com/2023/7/29/23812780/tweet-change-name-post-x" target="_blank">本周也將App中用以表達貼文動作的「tweet」改成了「post」</a>，進一步消除小鳥的意象。</p> </div></div></div>
2023/8/1 12:53作者林妍溱https://www.ithome.com.tw/news/158053
Stack Overflow推出OverflowAI專案，試圖以生成式AI挽回流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上程式開發問答平臺Stack Overflow發布了人工智慧專案<a href="https://stackoverflow.blog/2023/07/27/announcing-overflowai/">OverflowAI</a>，試圖藉助生成式人工智慧的力量，重新找回逐漸流失的流量。OverflowAI是一個將生成式人工智慧整合到Stack Overflow平臺的專案，其釋出的一系列整合人工智慧的新功能，包括強化搜尋、增強Stack Overflow for Teams和全新IDE擴充套件等。</p> <p>Stack Overflow網站上的搜尋功能將獲得重大更新，過去Stack Overflow都是仰賴關鍵字搜尋，找出符合用戶問題和解答，而官方現在建置了一個向量資料庫添加語義搜尋，使得搜尋功能可以更智慧地回應用戶的提問。Stack Overflow上目前有5,800萬個問題和答案，官方也正在研究如何運用這些問答生成回覆，產生個人化結果。</p> <p>OverflowAI專案範疇也涵蓋了各式第三方應用程式整合，像是Stack Overflow for Teams擴充套件，在原本的基礎上加入人工智慧搜尋功能，讓企業用戶方便地從可信的來源Stack Overflow for Teams、Stack Overflow公開平臺、Confluence和GitHub上找到相關的知識。官方還開發了一個名為StackPlusOne的聊天機器人，供用戶可以直接在Slack中提問並且獲得解答。</p> <p>不只在協作軟體，Stack Overflow官方也開發具有人工智慧能力的VS Code IDE擴充套件，讓用戶不需要中斷開發流程，可以從IDE操作直接獲得公開平臺與私有的Stack Overflow for Teams實例中的知識，解決程式開發相關的問題。<br /> <br /> 由於ChatGPT、Bard等各種語言模型聊天機器人興起，直接詢問機器人就可獲得程式開發相關問題解答，這使得開發人員不再需要像過去一樣搜尋並瀏覽網站尋找答案。Stack Overflow也從ChatGPT上線以來，流量逐月衰退股價暴跌，而現在他們試圖在平臺整合生成式人工智慧重振頹勢。</p> </div></div></div>
2023/8/1 08:29作者李建興https://www.ithome.com.tw/news/158048
以DPI跨入OT網路安全防護市場，鴻璟推出超小型工業防火牆
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hong_jing_tera-utm_12_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以網路防火牆起家、至今仍在資安市場活躍的臺灣本土廠商，屈指可數，鴻璟科技（Lionic）正是其中之一，2021年我們曾報導他們發展的Pico-UTM 100，一般家用或小型環境用戶可到網路購物平臺直接下單，或是到電信服務廠商，以及與其合作的資安服務廠商訂購相關的服務，而在2023臺灣資安大會期間，他們也在臺灣資安館的半導體資安特展，發表適用於工業環境的網路防火牆設備Tera-UTM 12，並與竣盟科技（Billows）的資通安全威脅偵測管理平臺（Unified Compliance Management，UCM），合作展示提升機臺防護的作法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cybersec-Tera-UTM%2012_%E5%B1%95%E5%A0%B4%E7%85%A702.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012%20comparison.png" style="width: 600px;" /></p> <p>單就產品特色而言，鴻璟新推出的Tera-UTM 12有許多部分與Pico-UTM 100是共通的，像是基於該公司長期發展的深度封包檢測（DPI）技術而成，具備防火牆、網頁過濾等上網安全防護、惡意程式掃描、網路入侵偵測、針對背後連接的端點設備提供漏洞虛擬修補機制，以及SSL/TLS加密流量，並且提供簡易操作的網頁操作介面，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-001 Dashboard 1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-001%20Dashboard%201.jpg" style="width: 600px;" /></a></p> <p>同時，可搭配中央管理系統（CMS）支援多臺集中控管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lionic%20CMS-1.jpg" style="width: 600px;" /></p> <p>兩者主要差異在於，Pico-UTM 100負責辦公室IT網路，可適用於攝氏0度到40度的環境，最多能保護50臺裝置上網，Tera-UTM 12專攻產線、廠務監控等連網應用，可適用於攝氏0度到60度的環境，橫跨維運科技（OT），以及物聯網（IoT）等場域，額外提供特定地理區域的網路連線來源偵測與封鎖，以及工業控制系統（ICS）常用通訊協定的威脅偵測、異常偵測，用戶也能自定這類通訊協定的存取控制清單，關於虛擬修補；而在確保內外連線的可用性方面，這款網路安全設備的網路埠也支援硬體旁路（Hardware Bypass），若設備本身突然發生當機、斷電，或是因系統更新／維護等狀況而停擺，已架設這款防火牆的產線網路環境仍然可以繼續維持連線，不會因此導致堵塞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-AV.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-AV.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-IPS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-IPS.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-SSL inspection.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-SSL%20inspection.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-018 Anti-WebThreat Log.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-018%20Anti-WebThreat%20Log.jpg" style="width: 298px;" /></a></p> <p>而在網路介面與處理效能的規格方面，Tera-UTM 12若啟用防病毒、防駭客、防惡意網站等安全過濾功能，吞吐量為890 Mbps，若再啟用SSL/TLS加密流量掃描功能，吞吐量為355 Mbps，而在硬體運算資源配備上，它也採用更高的規格，例如，處理器為恩智浦（NXP）的i.MX 8M Plus（內建4顆64位元Arm架構Cortex-A53核心、1顆Cortex-M7核心、1顆GPU核心GC7000UL）、系統記憶體為4 GB的DDR4-4000、儲存為8GB的eMMC快閃記憶體。</p> <p>相較之下，Pico-UTM 100的防火牆吞吐量為813 Mbps，防毒為738 Mbps，入侵偵測為685 Mbps，啟用各項防護功能之後，效能為616 Mbps（此處應該不包含SSL或TLS加密流量掃描）。而在硬體運算資源方面，它的處理器為高通（Qualcomm）的IPQ4018（內建4顆32位元Arm7架構核心、256 MB的DDR3L記憶體），儲存為512 MB的快閃記憶體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012%20HW.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p>鴻璟Tera-UTM 12<br /> ●原廠：鴻璟科技<br /> ●建議售價：主機加上硬體7萬元（未稅）<br /> ●網路埠：2個GbE埠（RJ-45埠），支援硬體旁路<br /> ●防火牆吞吐量：安全功能全部啟用（防病毒、防駭客、防惡意網站）為890 Mbps，安全功能全部啟用、搭配SSL或TLS加密連線掃描為355 Mbps<br /> ●支援工業通訊協定：Modbus、DNP/3等<br /> ●硬體運算規格：NXP i.MX 8M Plus處理器、4GB LPDDR4記憶體、8GB eMMC快閃記憶體（儲存作業系統）<br /> ●運作環境溫度：攝氏-40度到60度<br /> ●外觀：10.8 x 7.2 x 3.8公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/31 22:07作者李宗翰https://www.ithome.com.tw/review/157584
【資安日報】7月31日，Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週挪威政府的資訊系統遭到攻擊，並點名駭客鎖定第三方軟體Ivanti Endpoint Manager Mobile的零時差漏洞CVE-2023-35078而來，呼籲所有用戶應儘速套用更新程式修補。但事隔數日，Ivanti再度修補另一個高風險漏洞CVE-2023-35081，並強調在前述的漏洞攻擊行動裡，駭客也同時運用了這個漏洞。是否還有其他可被攻擊濫用的漏洞？有待進一步觀察。</p> <p>利用Windows搜尋功能網路釣魚攻擊行動，也相當值得留意，有研究人員發現駭客利用Windows搜尋存取遠端伺服器上的惡意檔案，目的是讓使用者誤以為開啟存放於自己電腦的PDF文件，降低戒心而導致電腦被植入木馬程式。</p> <p>Google威脅情報小組（TAG）針對2022年零時差漏洞公布其觀察的結果，最引人注目的部分，就是點名自家行動裝置作業系統的N-day漏洞現象，因為駭客不需自行尋找零時差漏洞，就能進行這類濫用弱點的攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/beyond-file-search-a-novel-method.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows搜尋功能遭到濫用，駭客用來部署RAT木馬程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/beyond-file-search-a-novel-method-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/beyond-file-search-a-novel-method-2.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix揭露濫用Windows搜尋功能的攻擊行動，駭客先是透過帶有URL或是惡意HTML附件的釣魚郵件，將使用者引導到釣魚網站，觸發該網站的JavaScript指令碼執行，然後利用URI協定，於攻擊者控制的伺服器進行資料或檔案搜尋的工作。</p> <p>使用者若是依照指示開啟Windows檔案總管，很有可能會誤以為在自己電腦找到PDF檔案，若不慎開啟會觸發惡意程式碼，或是執行捷徑檔案執行惡意程式庫，最終導致攻擊者於電腦部署RAT木馬程式，如AsyncRAT、Remcos RAT。</p> <p><a href="https://www.team-cymru.com/post/inside-the-icedid-backconnect-protocol-part-2"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體IcedID翻新BackConnect模組，對受害電腦帶來更嚴重的威脅</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6283c5_78c50f321a7e4292840f72df814497e6~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6283c5_78c50f321a7e4292840f72df814497e6~mv2.png" style="width: 300px; float: right;" /></a>資安業者Cymru指出，自今年初起，駭客針對惡意軟體IcedID的C2通訊模組BackConnect，以及對應的C2基礎設施進行強化，使得此惡意軟體的行蹤更加隱匿，駭客透過C2與其通訊的時間大幅縮短，可能更難察覺。</p> <p>研究人員指出，資安業者Palo Alto Networks看到駭客將BackConnect使用的連接埠，今年4月開始將原本TCP的8080埠，更換成443埠（使用HTTPS加密流量），導致該惡意軟體與C2的通訊難以發現。但Cymru的研究人員發現，駭客早在今年1月就開始準備，首先，他們在1月23日看到對應BackConnect的C2伺服器數量，從原本的11臺增加至34臺，而這些伺服器運作的時間，從原本的28天縮短為8天。</p> <p>此外，研究人員看到駭客透過2個靜態的VPN節點來管理C2。比較特別的是，部分感染IcedID的電腦啟用SOCKS功能，它們也扮演代理伺服器角色，被用於發動垃圾郵件攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-abyss-locker-ransomware-targets-vmware-esxi-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Abyss Locker鎖定VMware ESXi伺服器而來</span></strong></a></p> <p>資安研究團隊MalwareHunterTeam發現，自今年3月出現的勒索軟體Abyss Locker，攻擊目標從Windows電腦延伸到VMware虛擬化平臺ESXi。研究人員看到駭客使用Linux版的勒索軟體，經分析後，確認此惡意軟體專門針對上述虛擬化平臺打造，啟用後，會先列出所有的虛擬機器（VM），並執行3種不同程度的命令，以終止VM的運作，然後將虛擬磁碟、快照、中繼資料，以及其他類型的檔案進行加密。</p> <p>研究人員Michael Gillespie認為，這些駭客是利用另一款叫做HelloKitty的勒索軟體為基礎，打造Linux版Abyss Locker，並改用ChaCha編碼進行加密，但究竟Abyss Locker是有人模仿HelloKitty的手法犯案，還是HelloKitty東山再起？目前仍不得而知。</p> <p><a href="https://www.securityweek.com/exploitation-of-recent-citrix-sharefile-rce-vulnerability-begins/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix檔案協作雲服務ShareFile在6月被揭露RCE漏洞，7月底已出現攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Greynoise-ShareFile-IPs.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Greynoise-ShareFile-IPs.png" style="width: 300px; float: right;" /></a>資安業者Greynoise提出警告，Citrix於6月中旬修補的檔案共享系統ShareFile漏洞CVE-2023-24489（CVSS風險評為9.1至9.8分），近期已出現攻擊行動，研究人員約於7月25日看到有來自3個IP位址的攻擊行動，其中2個IP位址過往未曾出現。由於這項漏洞出現在ShareFile的儲存區域控制器，攻擊者可在未經授權的情況下，遠端入侵組織自行管理的儲存區域控制器，進而上傳任意檔案，從而發動RCE攻擊。</p> <p>根據資安業者Assetnote於7月初的調查，他們找到可能有1千個至6千個ShareFile系統曝露在網際網路，再加上網路上已有該漏洞相關的概念性驗證攻擊（PoC）程式碼，Greynoise認為，相關的攻擊行動很可能還會再出現。</p> <p>資料來源</p> <p>1. <a href="https://www.greynoise.io/blog/introducing-cve-2023-24489-a-critical-citrix-sharefile-rce-vulnerability">https://www.greynoise.io/blog/introducing-cve-2023-24489-a-critical-citrix-sharefile-rce-vulnerability</a><br /> 2. <a href="https://support.citrix.com/article/CTX559517/sharefile-storagezones-controller-security-update-for-cve202324489">https://support.citrix.com/article/CTX559517/sharefile-storagezones-controller-security-update-for-cve202324489</a><br /> 3. <a href="https://blog.assetnote.io/2023/07/04/citrix-sharefile-rce/">https://blog.assetnote.io/2023/07/04/citrix-sharefile-rce/</a></p> <p><a href="https://www.ithome.com.tw/news/158015"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、澳洲警告網頁應用系統的竊密漏洞IDOR恐遭大量利用</span></strong></a></p> <p>7月27日澳洲網路安全中心（ACSC）、美國網路安全暨基礎設施安全局（CISA）聯手提出警告，影響網頁應用程式的不安全直接物件參照（Insecure Direct Object Reference，IDOR）弱點，有可能被攻擊者大肆利用，進而繞過應用程式的存取控制，導致外部用戶可傳送惡意檔案給內部員工。</p> <p>而這項公告當中雖然沒有表明那些應用程式受到IDOR波及，但多家資安新聞網站指出，其中一個存在該漏洞的應用系統就是微軟協作平臺Teams。Teams的IDOR漏洞是在資安業者Jumpsec揭露細節後，引起資安圈的關切，美國海軍的資安人員也藉由該類型漏洞開發滲透測試工具TeamsPhisher。CISA指出，這類弱點難以防範，原因是Teams的使用情境眾多，無法透過單一程式庫或是安全功能緩解，再者，則是駭客可運用自動化工具發動攻擊，而有可能引發大規模資料外洩。值得留意的是，並非只有Teams存在IDOR，伊頓、AT&T、美國第一商業銀行的應用系統都曾出現類似弱點。</p> <p>資料來源</p> <p>1. <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a">https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a</a><br /> 2. <a href="https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities">https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities</a><br /> 3. <a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/">https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti再度修補行動裝置管理平臺的零時差漏洞，該漏洞也曾用於攻擊挪威政府</span></strong></a></p> <p>上週挪威政府的資訊系統遭到攻擊，而駭客入侵的管道，就是針對此平臺採用的第三方軟體Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core），利用零時差漏洞CVE-2023-35078下手，但現在發現駭客利用的漏洞可能不只一個。Ivanti於7月28日發布EPMM更新軟體，當中修補另一項漏洞CVE-2023-35081（CVSS風險評為7.2分），此為路徑穿越漏洞，通過身分驗證的管理員能用來對EPMM伺服器寫入任意檔案。</p> <p>值得留意的是，該公司提及這項漏洞能與CVE-2023-35078搭配使用，進一步繞過管理員的身分驗證程序，以及存取控制列表（ACL）的管制。成功同時利用上述2項漏洞，攻擊者就能對EPMM實體寫入惡意檔案，進而透過名為tomcat的使用者來執行作業系統層級的命令。對此，該公司呼籲用戶應儘速套用更新程式，並透露遭受CVE-2023-35078漏洞攻擊的客戶，攻擊者也同樣利用了CVE-2023-35081對其下手。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體CherryBlos、FakeTrade藉由OCR盜取圖片裡的帳密資料</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/bluebravo-adapts-to-target-diplomatic-entities-with-graphicalproton-malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29鎖定東歐外交單位，散布後門程式GraphicalProton</span></span></strong></a></p> <p><a href="https://www.securonix.com/blog/detecting-ongoing-starkmule-attack-campaign-targeting-victims-using-us-military-document-lures/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">攻擊行動Stark#Mule鎖定韓國而來，假借提供美軍募兵資料散布惡意軟體</span></span></strong></a></p> <p><a href="https://udn.com/news/story/7241/7332429"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">大樹醫藥證實遭到網路攻擊，以簡訊提醒消費者慎防詐騙</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a></strong></p> </div></div></div>
2023/7/31 18:57作者周峻佑https://www.ithome.com.tw/news/158049
去年發現41個遭到攻擊的零時差漏洞，Android上的n-days漏洞跟0-days漏洞一樣危險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）本周公布了2022年的零時差攻擊漏洞報</a>告，指出去年總計發現了41個遭到駭客攻擊的零時差漏洞，其中有超過40%與過去曾公開揭露的漏洞有關，也有愈來愈多的駭客鎖定同樣的零時差漏洞，另外值得注意的是，由於Android平臺上的漏洞修補時程太長，導致該平臺的n-days漏洞跟零時差（0-days）漏洞一樣危險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-0-days%20Exploited%20In-the-Wild%20in%202022-by%20Google-960.jpg" style="width: 600px;" /></p> <p>去年所發現的零時差漏洞有8個出現在Windows平臺上，4個為iOS平臺，3個為Android平臺，2個為macOS平臺，也有2個是在Exchange Server上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-0-days%20Exploited%20In-the-Wild%20in%202022%20by%20platform-by%20Google-2.png" style="width: 500px;" /></p> <p>這41個零時差漏洞是由18個不同的組織所發現，2021年的58個零時差漏洞則是由20個組織所發現，Google認為這是個好現象，代表資安社群共同努力辨識並找出遭到駭客攻擊的零時差漏洞，且歡迎更多的研究人員加入。</p> <p>此外，當中有17個零時差漏洞似曾相識，因為它們是從過去公開揭露的漏洞所衍生的，其比例從2020年的25%，增加到去年的41%。TAG認為此一趨勢的原因有很多，也許是駭客正在利用更多的變種，或者是資安社群偵測或辨識變種的能力變好了，比較令人擔心的是這些漏洞沒有被完整的修補因而出現更多的變種。</p> <p>而縱使駭客並不會分享所發現的零時差漏洞，但這些漏洞並非獨家的，研究顯示不同的駭客也會攻擊同樣的零時差漏洞，如同不同單位的研究人員也會找到同樣的零時差漏洞。</p> <p>此次的報告最引人注目的莫過於TAG對Android平臺上n-days漏洞的警告。TAG指出，由於修補的時程太長，鎖定Android平臺的駭客根本不需利用零時差漏洞，只要鎖定那些早就被揭露的n-days就可以達到同樣的效果了。</p> <p>Android平臺上的安全空窗期源自於它必須經歷元件或韌體供應商的修補、Google的修補到製造商的修補，最後才能到達使用者的Android裝置上，有些例子很令人咋舌，例如在2022年7月由安全研究人員Man Yue Mo於ARM Mali GPU所發現的CVE-2022-38181漏洞。</p> <p>這名研究人員在2022年7月向Android安全團隊通報漏洞，由於該漏洞僅會發生在特定的裝置上，於是Android安全團隊8月向ARM表明不必修補，但ARM還是在10月修補了漏洞，11月就出現了攻擊程式，但一直到今年4月，它才出現在Android的安全公告中，整個歷程長達9個月，從修補到現身於公告也花了6個月。</p> <p>看起來TAG對於同門的Android安全團隊並不留情，另一個例子是三星的Samsung Internet browser在2022年12月遭到零時差攻擊，駭客利用了分別位於Chromium的2022-3038與ARM Mali GPU的CVE-2022-22706兩個零時差漏洞，但其實ARM早就在2022年的1月修補了該漏洞，而且修補當時漏洞就已遭到攻擊，然而它卻一直到2023年的6月才被納入Android安全公告中。</p> </div></div></div>
2023/7/31 16:39作者陳曉莉https://www.ithome.com.tw/news/158044
美自駕AI新創Comma.ai更新開源自駕車軟體，內建自動輔助導航自駕功能，讓即使非高階的市售車也能開始測試地圖導航自駕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓電動車龍頭特斯拉專美於前，以開源自駕車軟體而聞名的美國自駕AI新創Comma.ai近日在<a href="https://youtu.be/ZEMPQjK1ZPw">自家技術年會</a>中，宣布在最新一版的自駕車軟體Openpilot中，開始內建自動輔助導航自駕功能，讓即使非高階車款的市售車款，現在也能通過在車上安裝這套軟體，來實現地圖導航自駕，就像是特斯拉電動車的自動輔助導航自駕一樣，而且改裝費不用2千美元。不過該功能目前還是實驗版本。</p> <p>Comma.ai是由美國知名駭客George Hotz在2016年成立的自駕AI新創，以面向自駕車後裝市場為主，讓非高階的一般市售車，也能夠透過安裝一套開源自駕車軟體Openpilot，搭配客製硬體，就能具備有先進駕駛輔助（ADAS）的功能。</p> <p>Openpilot推出短短幾年，已經支援逾250款市售車，並且用戶更遍布美國、中國、韓國、日本及臺灣等。這些年來，Openpilot軟體歷經多次改版更新，增加不少新功能，讓它的自駕功能的表現越來越好。例如，其中一個重要功能是交通號誌辨識，讓自駕車行駛時遇到前方紅燈時會自動停車等待，直到轉為綠燈後繼續行駛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-07-31%20%E4%B8%8B%E5%8D%882_55_45.png" style="width: 600px; height: 264px;" /></p> <p>在今年技術年會中，Comma.ai宣布在新釋出的0.9.4版Openpilot更新中，推出實驗的自動輔助導航自駕功能，透過這項新功能，將使得以後汽車開啟自駕模式時，不只是在道路上穩定行駛而已，還能進一步決定行駛路線，可以根據原先設定的導航地圖路線來行駛，減少人為的介入。</p> <p>早在去年底一場Taco Bell技術挑戰賽中，Comma.ai工程師就曾展示用一臺裝有Openpilot軟體和Comma 3硬體的市售車，成功將車開到指定的地點，全程沒有人為介入，完全依靠導航自駕的方式來開車。</p> <p>在新推出的自動輔助導航自駕功能中，使用者輸入目的地後，Openpilot會根據Google地圖規畫的行駛路線來控制汽車沿著綠色的導航線行駛。做法上，是透過將Comma 3裝置兩顆鏡頭的前車影像畫面和導航地圖輸入到AI自駕模型中，來預測接下來的行駛路線。為了方便AI自駕模型擷取地圖資訊，地圖輸入模型前，會先經過重新渲染並壓縮成每米256x256像素的圖像，並與GPS的經緯度資訊，一起輸入到推論模型中進行預測。</p> <p>在訓練方面，Comma.ai自駕車團隊以大量60秒的行車影像片段，搭配地圖圖資建立訓練資料庫，提供自駕模型進行訓練學習，讓模型能夠預測在特定地圖路線上的行駛情況，並學習如何像人類一樣開車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230729_082421091.jpg" style="width: 600px;" /></p> <blockquote><p>Comma.ai在新釋出的0.9.4版Openpilot更新中，推出實驗模式的自動輔助導航自駕功能，透過這項新功能，將使得汽車開啟自駕模式同時，也能根據原先設定的導航地圖路線來行駛，減少人為的介入。攝影：余至浩</p> </blockquote> <p>這項導航自駕功能目前已能運用在如高速公路等場景中，可以輔助駕駛完成上下交流道的導航自駕。不過記者實際測試當接近要駛離交流道時，Openpilot會控車自動變換到外車道，但仍需要使用者手動打方向燈並輕碰方向盤，才能進行切換。出交流道遇岔路則會依綠色的導航自駕路線走，不會呈現迷航狀態而開錯路。不過，目前在市區裡導航自駕仍有難度，較需人為介入，這需要靠後續的版本更新，透過持續優化讓它在各種市區場景的表現越來越好。</p> <p>Comma.ai還更新硬體，推出改良的Comma 3X版本，升級了電源架構和加入立體式喇叭，處理器則是與前一代Comma 3使用相同的處理器，並搭配2160x1080解析度的OLED螢幕，但價格更便宜，每款售價1,250美元，約臺幣3.9萬元。</p> </div></div></div>
2023/7/31 15:35作者余至浩https://www.ithome.com.tw/news/158018
NASA整併數位資源，推出免費隨選串流服務NASA+
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nasa.gov/press-release/nasa-launches-beta-site-on-demand-streaming-app-update-coming-soon" target="_blank">美國國家航空及太空總署（NASA）上周五（7/28）宣布</a>，其官方網站將全面改版，也計畫在今年底前更新NASA程式，提供免費的隨選串流服務。</p> <p>NASA原本就建立了NASA TV，於<a href="https://www.nasa.gov/multimedia/nasatv/#public" target="_blank">官網</a>及<a href="https://www.youtube.com/nasa" target="_blank">YouTube</a>上提供許多有關太空的新聞、影片與直播節目，該平臺在2019年的3月2日曾直播與SpaceX合作，藉由可載人的Dragon 2太空船進行無人發射試射，於船艙中置放了一名假人以前往國際太空站，以用來記錄真實太空人所承受的各項數據，它在3月8日回到地球。</p> <p>由於這是美國自2011年以來，第一艘從美國本土升空的太空船，其直播服務吸引了全球的媒體與社群，造成廣泛的討論，獲得了2019年艾美獎的最佳互動節目。</p> <p>現在NASA也迎向了最新的串流趨勢，所打造的NASA+將同時支援桌面、Android與iOS平臺，以及Roku、Apple TV與Fire TV等串流裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-NASA%20App-Screenshot%20of%20iPhone.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-NASA%20App-Screenshot%20of%20the%20NASA%20app%20for%20Amazon%20Fire%20TV-960.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_NASA</span></span></p> <p>另一方面，NASA新的官網將整合不同NASA旗下網站的內容，朝向主題性的規畫，目前<a href="https://beta.nasa.gov/" target="_blank">測試版已上線</a>供用戶試用並提供意見。</p> <p>NASA依據數位時代的需求，重新整併與呈現既有的資源，並指出這樣的轉變將能更好地向外界描繪NASA如何探索太空中的未知事物，如何藉由這些發現產生靈感，以及各種為了替人類謀福利所帶來的創新。</p> </div></div></div>
2023/7/31 14:38作者陳曉莉https://www.ithome.com.tw/news/158020
Google發表首個可同時理解文字與視覺，並完成任務的Robotic Transformer 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.deepmind.com/blog/rt-2-new-model-translates-vision-and-language-into-action" target="_blank">Google在上周五（7/28）發表了新一代的AI機器人模型Robotic Transformer 2（RT-2）</a>，它以來自網路的文字與圖像（visual-language model，VLM）進行訓練，再結合上一代Robotic Transformer 1（RT-1）機器人的訓練資料，成為全球第一個視覺-語言-行動（vision-language-action，VLA）模型，讓機器人更能理解與執行人類所要求的任務。</p> <p>Google在<a href="https://ai.googleblog.com/2022/12/rt-1-robotics-transformer-for-real.html" target="_blank">去年12月發表的RT-1模型</a>主要是仰賴於實體世界操作的機器人資料進行訓練，所蒐集的資料是13個機器人在17個月之間，於13萬個場景中所執行的逾700種任務。</p> <p>而RT-2最大的改變就是引進了VLM，讓機器人模型得以透過大量來自網路的文字與影像來學習真實世界，再輔以上述的機器人訓練資料來執行各種行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1%5B1%5D.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> <p><a href="https://blog.google/technology/ai/google-deepmind-rt2-robotics-vla-model/" target="_blank">Google DeepMind負責機器人的科學家Vincent Vanhoucke表示</a>，過去的機器人都是一個口號一個動作，想像人們想執行一件事時，必須拆解每一個動作並指使身體移動，但RT-2不僅能理解複雜的推理，還能直接輸出動作，只要輸入少量的機器人訓練資料，系統就能把蘊藏於語言與視覺訓練資料中的概念，轉成直接的機器人行動，包括未曾接受過訓練的任務。</p> <p>舉例來說，過去若想要機器人系統丟棄某個垃圾，那麼必須先明確地訓練機器人辨識垃圾，再訓練它們撿起垃圾，以及將垃圾丟棄，但被餵入大量網路資料的RT-2，已經知道什麼是垃圾，而且就算未經特別訓練也知道該如何把垃圾丟掉，例如RT-2可以辨識香蕉皮與吃光的零食袋是垃圾。</p> <p>Google DeepMind比較了RT-2與自家的RT-1、Reusable Representations for Robotic Manipulation（R3M），以及來自Meta的Manipulation of Open-World Objects（MOO）在曾訓練與不曾訓練上的任務表現，顯示RT-2與RT-1於前者的表現相當，成功率都有90%左右，而在那些機器人未曾見過的背景、物件或環境的狀態下，RT-2具備明顯的優勢，效能達62%，遠高於RT-1的32%。至於Meta的MOO在已知場景的效能則有75%，未知則略高於RT-1。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-RT-2-Google%20DeepMind.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/7/31 13:59作者陳曉莉https://www.ithome.com.tw/news/158019
【資安週報】2023年7月24日到7月28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞消息中，有3個漏洞利用消息需要優先關注，包括：（一）行動裝置管理平臺Ivanti Endpoint Manager Mobile（原名MobileIron Core）的CVE-2023-35078零時差漏洞遭利用，已導致挪威12個政府遭入侵；（二）Apple緊急修補一個零時差漏洞CVE-2023-37450，該漏洞存在於作業系統的核心內，該公司指出已得知有攻擊者利用此漏洞；（三）Zimbra前一週被發現有零時差漏洞攻擊，如今公布Zimbra Collaboration（ZCS）的CVE-2023-37580漏洞已遭利用。其他可留意的漏洞消息，包括：首度出現無線通訊標準協定Terrestrial Trunked Radio（TETRA）的研究與漏洞揭露，還有AMD處理器漏洞Zenbleed，OpenSSH的RCE漏洞，以及WordPress外掛程式Ninja Forms漏洞的揭露。</p> <p>在威脅態勢方面，近日勒索軟體的動向引發關注，其中Mallox威脅擴大值得留意，另外我們注意到近日Clop、BlackCat勒索軟體駭客變得更為囂張的情形。</p> <p>　●勒索軟體Mallox的攻擊行動在今年上半出現大幅增加的情況，研究人員並指出其入侵管道是鎖定微軟SQL Server，並以暴力破解來獲取權限<br /> 　●Clop駭客將竊取自受害者的外洩資料，發布到可透過網際網路存取的網站，而非暗網<br /> 　●lackCat駭客為資料外洩網站加入API、Python爬蟲，這些舉動顯然是向受害組織施加更多壓力</p> <p>其他值得關注的消息與事件，以網路犯罪工具FraudGPT的出現最受關注，另一個則是惡意簡訊App攻擊，近期臺灣時常傳出這類惡意活動，日本近來也有這類事件發生：</p> <p>　●有駭客製作出FraudGPT，號稱能用AI製作釣魚郵件及打造破解工具<br /> 　●中華汽車遭遇網路攻擊事件，因產線配合系統檢修而發生局部停止生產情況<br /> 　●日本傳出惡意簡訊App攻擊，攻擊者發布簡訊假冒當地東京電力公司、東京都水道局名義，聲稱支付電費或水費出現異常並留下網址，使用者若誤信點擊，將安裝包含惡意軟體SpyNote的App<br /> 　●本月中有資安業者揭露中國駭客濫用的微軟帳號簽章的事件，後續又有研究人員警告，指出其影響可能更為範圍廣泛</p> <p>關於資安防護焦點方面，國際間對資安事件訊息的公開揭露是更為重視，美國證券交易委員會（SEC）在一年多前提案，規定上市公司要在4天內披露重大資安事件，如今這項新規定已正式通過。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157914"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</span></strong></a></h3> <p>為了方便民眾繳納規費，許多公營事業都在積極提供並推廣行動裝置App，有駭客假借這些資訊來散布手機惡意軟體，例如，<a href="https://www.ithome.com.tw/news/156783#fluhorse">5月資安業者Check Point發現名為FluHorse的安卓惡意軟體</a>，就是假借遠通電收ETC的App對臺灣民眾下手。而類似的攻擊行動，最近也在日本出現。資安業者McAfee揭露針對日本民眾的惡意軟體SpyNote，攻擊者聲稱手機用戶的電費或水費欠繳，要求依照指示下載App進行處理。</p> <p>勒索軟體Mallox的攻擊行動也相當值得留意，因為出現大幅增加的現象，駭客初期入侵受害組織的管道，就是針對微軟SQL Server而來。</p> <p>中國駭客組織Storm-0558濫用微軟帳號（MSA）金鑰挾持25個組織的電子郵件，微軟已做出緊急處置，但有資安業者發現，駭客濫用的金鑰不僅能存取雲端電子郵件服務Outlook.com，還能登入其他微軟的服務。</p> <h3><a href="https://www.ithome.com.tw/news/157937"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</span></strong></a></h3> <p>國內製造業近期陸續傳出遭到攻擊的情況，有些影響到供應商，有些則攻入企業環境，例如，先前有勒索軟體駭客LockBit聲稱竊得台積電內部資料的事故（台積電否認遭到入侵），但今天傳出有其他公司遭遇網路攻擊，甚至影響正常營運。昨日中華汽車在股市公開觀測站發布重大訊息，表示遭遇資安事故，有資安專家認為很可能就是勒索軟體攻擊，且疑似關閉防火牆而讓駭客有可乘之機。</p> <p>蘋果針對行動裝置、電腦、穿戴裝置發布作業系統更新也相當值得留意，因為，其中一項零時差漏洞涉及卡巴斯基6月揭露的零點擊攻擊行動Operation Triangulation。</p> <p>廣泛受到警消單位運用的無線電，有資安業者發現其通訊協定存在一系列漏洞TETRA:Burst，並指出他們已向多個國家的相關單位，以及無線電設備製造商進行通報。</p> <h3><a href="https://www.ithome.com.tw/news/157947"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</span></strong></a></h3> <p>週一挪威政府發布公告，表示他們廣受12個機關採用的ICT平臺遭到攻擊，而駭客利用的漏洞，就是Ivanti於週日針對行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）修補的CVE-2023-35078。Ivanti聲稱沒有發現該漏洞遭到利用的跡象，但已有研究人員發現相關攻擊行動。</p> <p>Atlassian上週修補的漏洞也相當值得留意，該公司針對企業協同開發軟體Confluence、持續整合與持續部署（CI/CD）系統Bamboo，修補了可被用於遠端執行任意程式碼（RCE）的高風險漏洞。</p> <p>VMware針對容器管理平臺Tanzu修補的資訊洩露漏洞，也值得IT人員留意，因為，攻擊者很可能用來推送帶有惡意功能的應用程式。</p> <h3><a href="https://www.ithome.com.tw/news/157972"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</span></strong></a></h3> <p>先前駭客嘗試將當紅的大型語言機器學習模型（LLM）ChatGPT用於網路犯罪，但後來開始有人製作專門用於攻擊的LLM，例如<a href="https://www.ithome.com.tw/news/157828#wormgpt">研究人員於7月中旬揭露的WormGPT</a>，而最近又有新的AI工具FraudGPT出現，值得留意的是，駭客標榜此工具不光能產生釣魚郵件的內容，還能製作多種類型作案工具，運用在不同型態的網路攻擊。</p> <p>隨著企業對於資安防護意識與認知的提升，越來越多受害組織不願付錢了事，對此，駭客也祭出過往未曾出現的施壓手法。例如，勒索軟體BlackCat（Alphv）就打算提供網站的API、爬蟲工具，促使有意購買資料的買家更輕鬆找到所需的檔案，並以此對受害組織施加更大壓力，迫使他們支付贖金。</p> <p>勒索軟體的威脅「不講武德」，再度出現同時針對相同目標下手的狀況！山葉音樂（Yamaha Music）加拿大分公司遭到網路攻擊，研究人員發現有兩組駭客Black Byte、Akira聲稱對其發動攻擊，先前也有類似的案例──<a href="https://www.ithome.com.tw/news/157880#esteelauder">勒索軟體駭客BlackCat、Clop皆表明對化妝品業者雅詩蘭黛下手</a>。</p> <h3><a href="https://www.ithome.com.tw/news/157996"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</span></strong></a></h3> <p>先前有<a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html">資安業者趨勢科技揭露勒索軟體BlackCat（Alphv）的攻擊行動</a>，駭客假借提供WinSCP等知名應用程式的名義，透過惡意廣告引誘受害者上當。現在資安業者Sophos有新的發現，攻擊者用來入侵受害電腦的惡意軟體，是另一家<a href="https://www.esentire.com/blog/persistent-connection-established-nitrogen-campaign-leverages-dll-side-loading-technique-for-c2-communication">資安業者eSentire於1個月前發現的惡意程式Nitrogen</a>，並指出駭客的目標是北美的科技產業及非營利組織。</p> <p>網頁伺服器Tomcat遭到駭客鎖定的現象，也值得IT人員留意。資安業者Aqua Security揭露長達2年的攻擊行動，並指出駭客運用多達12種Web Shell來作案，但大部分的攻擊行動都是在網頁伺服器植入殭屍網路Mirai。</p> </div></div></div>
2023/7/31 10:08作者羅正漢https://www.ithome.com.tw/news/158011
蘋果新API政策要求使用Fingerprint技術的App需說明理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/documentation/bundleresources/privacy_manifest_files/describing_use_of_required_reason_api" target="_blank">蘋果上周頒布App Store新管理政策</a>，將限制App濫用追蹤用戶裝置資訊的API，以確保用戶隱私。</p> <p>這是繼蘋果2021年的App追蹤透明度（App Tracking Transparency，ATT）後，最新增加的管理政策。<a href="https://www.ithome.com.tw/news/144059" target="_blank">ATT要求</a>App必須在用戶安裝時，以明顯方式告知用戶會蒐集用戶資訊，並提供一個按鍵，賦予用戶同意或拒絕的權力。</p> <p>一些App開發商為繞過限制，改利用API來讀取裝置資訊藉此追蹤用戶活動。這也是蘋果最新政策欲防堵的對象。</p> <p>蘋果指出，有部分API可被用於蒐集用戶裝置資訊以跟蹤用戶行蹤，此類行為稱為fingerprinting，為蘋果開發者計畫授權協議所禁止。<a href="https://developer.apple.com/documentation/bundleresources/privacy_manifest_files/describing_use_of_required_reason_api" target="_blank">蘋果列出的API包括可讀取以下4類裝置資訊</a>：檔案時戳、系統開機時間、磁碟空間、活動中的鍵盤、使用者預設設定等。</p> <p>為防止這些API被誤用，蘋果於今年WWDC宣布，開發商如果App想使用這些API，必須在App隱私清單中宣告理由，以確保只在預定用途中使用這些API。在最新政策下，開發商必須在清單中選擇1個或多個使用API的理由，且該App也只能在其提供的理由下使用API。</p> <p>政策實施後，今年秋天起，當開發商準備上傳使用API（包括經由第三方SDK使用）的App、或App更新到App Store Connect時，若開發商隱私宣告（privacy manifest）未說明已經許可的理由，就會接獲需補充理由的通知。從2024年春天起，未提供經許可理由的App，就會被拒絕上傳。</p> <p>而如果開發商的理由未出現在App Store列出的清單中，<a href="https://developer.apple.com/contact/request/privacy-manifest-reason/" target="_blank">蘋果呼籲開發商填寫線上表單</a>，以要求核准新理由。</p> </div></div></div>
2023/7/31 12:31作者林妍溱https://www.ithome.com.tw/news/158017
GCP整合Tecton平臺強化機器學習特徵管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/partners/announcing-tecton-on-google-cloud">Google雲端加入一個稱為Tecton的功能平臺</a>，可自動執行生產環境中，建置和管理機器學習特徵的步驟，Tecton是一個全託管特徵建置和調度服務，可完整管理機器學習特徵生命周期，降低組織建構、管理和共享機器學習特徵的障礙，並提高模型效能和可靠性，控制機器學習應用程式的開發和維護成本。</p> <p>目前不少企業開始將機器學習功能整合進應用程式中，但是機器學習模型需要高品質的資料，經過轉換建立機器學習特徵，才能做出精準預測，而Google提到，建置和管理生產環境機器學習特徵資料工作管線並不容易，這些工作管線的資料來自批次處理或是串流傳輸等不同來源，在將這些資料轉換成為機器學習特徵之後，才能用於訓練和服務上。</p> <p>而Tecton的目標是要能自動處理機器學習特徵的建置、處理、共享和供給工作，資料團隊可以使用Tecton的宣告式框架，將特徵定義為程式碼，在底層會由Tecton調度轉換與實現機器學習特徵所需要的實際工作管線。透過Google Cloud Build這類CI/CD工具，開發者可以將Tecton特徵當作程式碼進行管理，集中管理程式碼方便共享和協作，就像是管理基礎設施即程式碼，或是模型即程式碼一樣。</p> <p>Tecton可自動連接和維護Google雲端批次處理和串流服務的新資料，同時Tecton也支援來自包括Redshift、Snowflake和Apache Kafka等非GCP的資料。Tecton在Google雲端上，會使用Databricks或Dataproc分散式運算平臺聚合和轉換資料，將傳入的資料轉換成為特徵，放到線上與離線特徵商店中。資料特徵存放在Tecton低延遲線上儲存，服務即時供給需求，同時也會存放在離線儲存，以用於產生訓練資料集和離線推理用途。</p> </div></div></div>
2023/7/31 12:39作者李建興https://www.ithome.com.tw/news/158016
美澳政府警告影響微軟Teams的IDOR竊密漏洞可能被大量濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a" target="_blank">美國與澳州資訊安全主管機關上周警告</a>，影響微軟Teams等Web應用的不安全直接物件參照（insecure direct object reference，IDOR）漏洞可能遭大量濫用，繞過用戶端安全控制，使外部租戶可傳送惡意檔案給企業員工。</p> <p>美國網路安全暨基礎架構管理署（CISA）、國安局（CSA）及澳洲國防情報局的澳洲網路安全中心（ACSC）上周四發布聯合網路安全諮詢，對此類漏洞發出警告，呼籲用戶、開發人員及廠商留意。</p> <p>IDOR漏洞是一種存取控制的漏洞，可讓攻擊者對網站或Web應用API發送由其控制的參數（包括ID號碼、名稱或金鑰等）的呼叫，使其可直接存取Web應用某些物件（如檔案或個人資訊），在Web應用未能執行充分驗證及授權檢查時會發生這種存取權漏洞。</p> <p>美、澳政府是在6月底<a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/" target="_blank">英國安全廠商Jumpsec揭露Microsoft Teams發生IDOR漏洞</a>，可能讓惡意程式利用Teams預設配置，被植入企業網路。研究人員指出，每個企業組織在Teams擁有自己的租戶，但一個微軟帳號也能與外部租戶連繫。這使得特定租戶也能傳送檔案或訊息到其他租戶的用戶。研究人員發現，使用傳統的IDOR漏洞濫用方法，在外部租戶傳送的訊息中包含POST呼叫，並將內部與外部租戶的收信人ID互換，即能引導內部用戶連到指定的網域下載惡意檔案。</p> <p>而<a href="https://www.ithome.com.tw/news/157657" target="_blank">在7月初美國海軍研究人員也發布名為TeamsPhisher的工具</a>，利用Teams的IDOR漏洞，從外部傳送附件給一個組織的整個Teams群組。</p> <p>Teams並非存在IDOR漏洞的產品。<a href="https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities" target="_blank">The Records報導</a>，WordPress、AT&T、或是電源管理業者伊頓（Eaton）也出現過這類瑕疵。<a href="https://support.microsoft.com/en-us/topic/update-for-idor-vulnerability-in-system-center-operations-manager-kb5006871-0e3a513a-ad80-4830-8984-2fc5a40ee7f7" target="_blank">微軟也修補過影響System Center Operations Manager的IDOR問題</a>。</p> <p>CISA及ACSC指出，依IDOR種類，外部攻擊者可讀取、修改、存取企業網路的檔案、資訊等物件或是存取某些功能。外部攻擊者可濫用以下技巧，像是修改POST呼叫訊息本體中的HTML表格欄位，修改連向目標紀錄的URL、修改傳給對方的cookie ID、或使用Web代理服器攔截或修改HTTP/JSON物件呼叫。</p> <p>CISA指出，這類漏洞攻擊難以防範，一來是因為Teams的使用情境眾多，無法以單一函式庫或安全功能解決，二來是攻擊者可能大規模使用自動化工具。這些特性可能引發小至個人資料外洩，大到大規模資料被竊。</p> <p>針對企業開發人員，或開發商，CISA及ACSC建議採用安全開發原則，包括檢查和測試程式碼、實施驗證及授權檢查、啟用CAPTCHA等技巧。針對用戶，美澳政府則建議慎用Web應用程式、定期安裝修補程式、啟用log以警示傳送的訊息曾遭到變更。</p> <p>JumpSec則建議企業管理員，如果平常沒用Teams和公司外部成員聯繫，也可以考慮關閉。方法是從「管理員中心」點入「外部存取」將之關閉。</p> </div></div></div>
2023/7/31 12:10作者林妍溱https://www.ithome.com.tw/news/158015
歐盟將調查微軟Office、Teams綑綁行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3991" target="_blank">歐盟上周宣布</a>將調查微軟綑綁Office 365與Teams的行為是否涉及市場壟斷，危害協同軟體產業競爭。</p> <p>歐盟指出，新冠疫情爆發促成遠端作業及企業加速轉向雲端，及擁抱雲端通訊與協同軟體，也造就提供用戶不同廠商的多種軟體的新興商業模式，以及新型雲端業者。這類軟體多半採用訂閱付費制，包括視訊會議及線上協同軟體。</p> <p>但微軟卻將它的Teams整合在其獨大的Office 365及Microsoft 365生產力應用。歐盟執委會擔心微軟可能限制通訊協同產品競爭，以鞏固其生產力軟體的市場地位。</p> <p>執委會懷疑微軟在客戶訂閱Office時，不給他們訂閱其他通訊協同軟體的選擇權利，或是限制這些軟體和Office套件的相容性，藉此獨厚Teams。歐盟認為，這些作法可能涉及限制競爭的綑綁行為，削弱其他通訊與協同工具供應商的競爭力，而損害歐洲經濟區客戶的權益。</p> <p>歐盟是在Salesforce旗下<a href="https://www.ithome.com.tw/news/138979" target="_blank">Slack於2020年7月控告</a>下，著手調查。後者稱微軟將Teams整合到Office中，迫使數百萬Office用戶安裝、阻撓他們移除，微軟還對企業用戶隱藏真正的成本。</p> <p>對此，微軟表示尊重歐盟的作業，也正視自己的責任，該公司將持續與歐盟合作，並將致力於解決歐盟的疑慮。</p> <p>今年3月<a href="https://arstechnica.com/tech-policy/2023/07/microsoft-teams-office-bundle-leads-to-official-eu-antitrust-probe/" target="_blank">《金融時報》</a>引述消息人士報導，為了解決歐盟的產品搭售疑慮，微軟正在改寫產品，使客戶能依其意願買到內建與不含Teams的Office產品，不過詳細運作方式不得而知。</p> <p>不過歐盟發言人周四也說，在通知微軟後還沒接到該公司提出什麼回應，討論解決方案為時過早。</p> </div></div></div>
2023/7/31 09:54作者林妍溱https://www.ithome.com.tw/news/158010
【iThome CIO大調查：新興技術篇】2023年一般製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-yi_ban_zhi_zao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>今年一般製造業CIO主要挑戰是企業ESG目標，優先程度甚至比數位轉型還要更高。這個戰略方向的聚焦，也反映到一般製造業的新興科技採用意願，除了爆紅的ChatGPT浪潮同樣吹進了製造業之外，碳足跡儀表板是另一個和ChatGPT並列的熱門新興技術，超過2成2的一般製造業者今年要導入，幾乎是每四到五家就有一家要建置</strong></span><strong style="font-size: 22px;">。</strong></p> <p><strong style="font-size: 22px;">值得注意的是小資料（Samll Data）快速崛起，甚至在今年開始進入爆紅新興科技，和上述兩項並列為，一般製造業2023年三大爆紅技術。另外，IT預算和人力有限的一般製造業，在數位轉型需求下，多雲混合雲架構、敏捷開發、RPA流程自動化、LoCode/NoCode開發都是為了兼顧成本和開發需求而進入了今年的主流領域。</strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-%E5%8E%9F%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:45作者王宏仁https://www.ithome.com.tw/article/157980
【iThome CIO大調查：新興技術篇】2023年高科技製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-gao_ke_ji_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>高科技製造業今年格外加碼數位轉型的力道，也帶動了多項雲原生技術的採用力道，但是，從新興科技雷達圖來看，高科技製造業者更看到ChatGPT浪潮帶來的可能性，成了今年是唯一進入爆紅項目的新興技術。</strong></span></p> <p><span style="font-size:22px;"><strong>不過，這一波追趕加碼意味濃厚的數位轉型需求，仍然帶動了高科技業者，在今年加速擁抱各項雲原生技術、IT現代化技術的採用需求，這也反映到這個產業對IT基礎架構和AP開發類別上相關技術的採用率上。不只是多雲混合雲架構、K8s和容器技術成為這個產業的IT基礎架構，在開發領域上，中臺架構設計、微服務架構、DevOps和LowCode/NoCode開發，都成了今年的主流。值得注意的是安全新興技術如SBOM和DevSecOps也開始崛起。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E9%AB%98%E7%A7%91%E6%8A%80-600-PNG(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E9%AB%98%E7%A7%91%E6%8A%80-600-%E5%B0%8F-PNG(2).png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/157995
【iThome CIO大調查：新興技術篇】2023年服務業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-fu_wu_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;">新常態帶來的線上線下OMO整合浪潮，大大影響了服務業今年的新興技術採用布局。除了ChatGPT也是服務業的爆紅新興科技，CDP顧客數據平臺成了與ChatGPT技術並列的兩大服務業2023超夯技術。這兩項超夯技術，也帶動了相關新興科技的崛起，甚至像可以用來整合各類型資料的資料湖，也在今年成了服務業的主流新興科技之一。</span></strong></p> <p><strong><span style="font-size:22px;">而隨著ChatGPT受到重視，負責任AI技術的採用，也開始受到高度關注，成了快速崛起的新興科技之一。在疫情期間大力發展線上平臺的服務業，K8s容器技術和DevOps逐漸成為基本能力或技術，但是，服務業對這兩項技術的採用率在今年反而些微下滑，反映出並非所有開發需求，都適合這兩項技術，值得關注。</span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%B0%8F%E5%9C%96-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/157997
【iThome CIO大調查：新興技術篇】2023年金融業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-jin_rong_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>對金融業而言，今年開始進入數位轉型的中後期，許多大型轉型工程進入後半段的深化應用階段，雖然IT預算依舊成長，但開始趨緩，也直接反映到數位轉型投資呈現大幅下滑的現象。金融業對於新興科技採用也出現了很大的變化。ChatGPT雖然是唯一一個今年火爆的新興技術，但金融產業仍舊高度謹慎，嘗試尋找出更適合的應用場景進行驗證。</strong></span></p> <p><span style="font-size:22px;"><strong>另外，多項原本積極採用的新興技術的採用率開始下滑，例如像是RPA流程自動化、微服務架構等，這兩項仍有很高的採用率，但金融業開始更慎選適合的應用方式或系統。另外，值得關注的是有多項進入主流的新興科技，像是DevSecOps和國外新興的平臺工程，都是金融CIO今年更看重的新興技術。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E9%87%91%E8%9E%8D%E6%A5%AD-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E9%87%91%E8%9E%8D%E6%A5%AD-600-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/158000
【iThome CIO大調查：新興技術篇】2023年醫療業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-yi_liao_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>醫療產業在2023年面臨了許多技術抉擇的大挑戰，尤其在電子病歷上雲的法規鬆綁之後，醫院開始積極評估原有HIS系統上雲的可能性。尤其許多醫院的HIS系統使用久了，也到了需要升版改版的時機，趁著改版之際，同時採用新一代的IT現代化技術，擁抱雲原生架構，是許多醫院CIO正在思考的重大決策。</strong></span></p> <p><span style="font-size:22px;"><strong>但是，這也讓醫院面臨許多新興技術的採用決策，可以看到今年醫院對於新興技術的採用有很大的變動。雲原生相關技術的採用率快速提高，而架構選擇上，微服務架構、中臺架構設計、Open AI架構都成了醫療業的主流新興技術，值得關注的是，以病人為中心的思維盛行，帶動了醫院更重視病患的個人數據管理，可以看到CDP平臺在醫療業爆紅。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E9%86%AB%E7%99%82%E6%A5%AD-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E9%86%AB%E7%99%82%E6%A5%AD-600-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/158001
【iThome CIO大調查：新興技術篇】2023年政府學校新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-zheng_fu_xue_xiao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;">各產業中，政府機關與學校是最積極採用ChatGPT與相關GPT類LLM技術的產業。甚至，可以說每4個政府機關或學校，就有一家機構想要採用。不過，值得思考的是，從調查結果可以看到，負責任AI的採用率是0%，可能有少數有意採用的政府機關，不在調查樣本範圍內而導致，但是這個結果反映出，政府學校對於負責任AI的採用意願更低。</span></strong></p> <p><strong><span style="font-size:22px;">另外，從我們今年CIO大調查可以看到，值得關注的是政府機關擁抱零信任的政策方向，不只反映到資安，也開始影響到政府部門的開發發展，政府部門不只這幾年開始大力投資DevOps，也可以看到，對於DevSecOps的需求大增，也帶動了這項新興科技快速崛起，成了政府機關與學校今年的主流技術之一。</span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-PNG.png" style="width: 599px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/158002
【iThome 2023 CIO大調查系列5】搜索IT新戰力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年iThome發表臺灣第一份企業新興技術雷達圖，披露大型企業對四大類31項新興技術的採用熱度，今年不只增加到34項，更進一步發布6大產業的新興科技雷達圖，哪項爆紅？哪些主流？又有哪些技術正在退燒？一張圖清楚掌握！</p> </div></div></div>
2023/7/31 09:12作者王宏仁https://www.ithome.com.tw/article/158009
【資安日報】7月28日，惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前有<a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html">資安業者趨勢科技揭露勒索軟體BlackCat（Alphv）的攻擊行動</a>，駭客假借提供WinSCP等知名應用程式的名義，透過惡意廣告引誘受害者上當。現在資安業者Sophos有新的發現，攻擊者用來入侵受害電腦的惡意軟體，是另一家<a href="https://www.esentire.com/blog/persistent-connection-established-nitrogen-campaign-leverages-dll-side-loading-technique-for-c2-communication">資安業者eSentire於1個月前發現的惡意程式Nitrogen</a>，並指出駭客的目標是北美的科技產業及非營利組織。</p> <p>網頁伺服器Tomcat遭到駭客鎖定的現象，也值得IT人員留意。資安業者Aqua Security揭露長達2年的攻擊行動，並指出駭客運用多達12種Web Shell來作案，但大部分的攻擊行動都是在網頁伺服器植入殭屍網路Mirai。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://news.sophos.com/en-us/2023/07/26/into-the-tank-with-nitrogen/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用惡意軟體Nitrogen發動勒索軟體攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nitrogen-05.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nitrogen-05.png" style="width: 300px; float: right;" /></a>資安業者Sophos揭露名為Nitrogen的惡意軟體攻擊行動，駭客在Google、Bing搜尋引擎上架惡意廣告，假借提供遠端桌面軟體AnyDesk、FTP用戶端軟體WinSCP、VPN軟體Cisco AnyConnect、磁碟管理軟體TreeSize Free的名義，散布Nitrogen，目的是竊取受害電腦資料及從事網路間諜行動，然後部署勒索軟體BlackCat（Alphv），目標是北美的科技產業及非營利組織。</p> <p>一旦使用者依照指示點選搜尋引擎上的廣告，就會被帶往冒牌的應用程式下載網站，或是指示下載惡意軟體的YouTube影片，進而取得駭客提供的ISO檔案，其內容為遭到竄改的應用程式安裝程式install.exe，以及惡意的DLL程式庫msi.dll。</p> <p>若是使用者執行安裝程式，此DLL檔案就會透過側載的方式執行，建立C2通訊並於受害電腦植入名為Meterpreter的Shell程式，以及Cobalt Strike Beacon，而在Meterpreter啟動後，攻擊者會改以手動操作執行後續流程。</p> <p><a href="https://blog.aquasec.com/tomcat-under-attack-investigating-the-mirai-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Tomcat網頁伺服器遭到鎖定，被植入Mirai病毒並用於挖礦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tomcat-ddos.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tomcat-ddos.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露鎖定Tomcat網頁伺服器的攻擊行動，他們在近2年內於自己建置的密罐陷阱（Honey pot）裡，偵測逾800次的攻擊行動，當中駭客運用了12個不同的Web Shell，根據攻擊者的目的，大致上能區分成3種類型，這些包含了植入殭屍網路病毒Mirai並用於DDoS攻擊、部署挖礦軟體來挖掘比特幣，以及混沌型（Chaos）惡意軟體──此為新型態的勒索軟體變種，現在也被用於DDoS攻擊行動。</p> <p>研究人員指出，在這些攻擊行動裡，96%與Mirai有關；有20%的攻擊當中，駭客運用名為neww的Web Shell，透過暴力破解來取得Tomcat伺服器的存取權限，然後部署WAR檔案，該檔案內含檔案名稱為cmd.jsp的Web Shell，監聽來自遠端的請求，並於伺服器上執行任意命令，最終部署殭屍網路病毒Mirai。</p> <p><a href="https://www.ithome.com.tw/news/157978"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電玩決勝時刻玩家遭到惡意軟體攻擊</span></strong></a></p> <p>微軟併購動視暴雪（Activision Blizzard）已進入最後階段，傳出近日動視暴雪修復老舊伺服器，讓多款舊版決勝時刻（Call of Duty）的玩家可以重溫舊夢。但有玩家發現，駭客也藉此散布惡意軟體。</p> <p><a href="https://techcrunch.com/2023/07/27/hackers-are-infecting-call-of-duty-players-with-a-self-spreading-malware/">根據科技新聞網站TechCrunch的報導</a>，駭客疑似入侵決勝時刻：現代戰爭2（Call of Duty: Modern Warfare 2）的遊戲大廳，隨機挑選玩家並將目標電腦的DirectX部分DLL元件，置換成惡意檔，發動遠端執行任意程式碼（RCE）攻擊。有人將惡意程式上傳VirusTotal，部分防毒軟體將其識別為Generic或BehavestLike，其中一名使用者分析此惡意軟體，發現其具備蠕蟲的特性，一旦玩家遭到感染，也會在遊戲大廳散布此惡意程式。但究竟攻擊者是誰？有待進一步調查。對此，動視暴雪已暫時下架該款遊戲。</p> <p><a href="https://www.bleepingcomputer.com/news/security/8-million-people-hit-by-data-breach-at-us-govt-contractor-maximus/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國政府服務承包商Maximus證實遭遇MOVEit Transfer攻擊，至少800萬人個資受到波及</span></strong></a></p> <p>7月26日美國政府業務承包商Maximus向當地證券交易所（SEC）提出8-K表單，表示該公司遭遇了資料外洩事故，起因是遭到了MOVEit Transfer零時差漏洞攻擊，該公司估計有800萬至1,100萬人的個資受到影響，包含了他們的社會安全碼、受保護的健康資訊，以及其他個人資料等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/wordpress-ninja-forms-plugin-flaw-lets-hackers-steal-submitted-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Ninja Forms出現漏洞，恐讓駭客竊取送出的表單資料</span></strong></a></p> <p>資安業者Patchstack揭露WordPress外掛程式Ninja Forms的漏洞，這些漏洞有可能讓攻擊者提升權限，或是竊取用戶資料。</p> <p>其中的CVE-2023-37979是基於POST的反射式跨網站指令碼（Reflected XSS）漏洞，未經授權的攻擊者可用於提升權限，然後利用特製網頁愚弄具備特殊權限的使用者，進而竊取資訊。</p> <p>另外兩個漏洞是CVE-2023-38393、CVE-2023-38386，漏洞來自該外掛程式的提交表單匯出功能，攻擊者可用來破壞存取控制，只要透過訂閱者或是分享者的身分，就能藉此漏洞匯出所有使用者提交的資料。開發商獲報上述漏洞後，於7月4日發布3.6.26版予以修補。</p> <p><a href="https://www.bleepingcomputer.com/news/security/zimbra-patches-zero-day-vulnerability-exploited-in-xss-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zimbra修補已出現攻擊行動的XSS零時差漏洞</span></strong></a></p> <p>Google威脅情報小組研究人員7月中旬針對電子郵件系統Zimbra提出警告，他們發現已被用於攻擊行動的零時差漏洞，該漏洞與跨網站指令碼（XSS）有關，當時Zimbra提出了緩解措施，並呼籲IT人員儘速手動套用。到了26日，Zimbra發布了8.8.15 Patch 41、9.0.0 Patch 34、10.0.2版修補上述漏洞，並指出該漏洞已列管被登記為CVE-2023-38750列管。</p> <p>而對於該漏洞的影響，Zimbra指出，若不處理可導致內部JSP與XML檔案曝露。美國網路安全暨基礎設施安全局（CISA）於27日發布資安通告，要求聯邦機構於8月17日完成修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://maia.crimew.gay/posts/fuckstalkerware-2/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗跟蹤軟體Spyhide從6萬臺安卓手機竊取通話記錄、簡訊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/lazarus-hackers-linked-to-60-million-alphapo-cryptocurrency-heist/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣支付業者Alphapo遭北韓駭客Lazarus攻擊，損失6千萬美元加密貨幣</span></span></strong></a></p> <p><a href="https://coinspaid.com/tpost/0zx28tmj51-coinspaid-is-back-to-processing-after-be"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣支付業者CoinsPaid證實遭遇網路攻擊，北韓駭客Lazarus盜走逾3,700萬美元加密貨幣</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157983"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Ubuntu檔案系統元件OverlayFS存在漏洞，4成用戶曝險</span></span></strong></a></p> <p><a href="https://www.hackread.com/check-point-report-microsoft-phished-brand/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Check Point指出，微軟是今年第2季網釣攻擊駭客最愛冒用的品牌</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a></strong></p> </div></div></div>
2023/7/28 15:43作者周峻佑https://www.ithome.com.tw/news/157996
WhatsApp發表影片訊息功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.whatsapp.com/introducing-instant-video-messages?lang=en" target="_blank">Meta旗下的傳訊程式WhatsApp本周宣布</a>，繼文字與語音之後，已開始於全球部署影片訊息功能，讓使用者可錄製與傳送60秒內的影片，預計未來幾周即會部署完畢。</p> <p>Meta最後一次公布WhatsApp的全球用戶數應是在2020年，當時的WhatsApp擁有超過20億用戶，雖然臺灣使用者對它並不熟悉，但它在巴西、印度、義大利、阿根廷、瑞士、芬蘭、德國、奧地利、荷蘭與西班牙的滲透率都超過9成，如同臺灣的Line。</p> <p>根據WhatsApp的說明，該平臺認為以影片來分享某個時刻將是個有趣的方式，不管是要祝對方生日快樂，因笑話而開懷大笑，或是發布好消息。</p> <p>在WhatsApp傳送影片訊息的方式與傳送語音訊息類似，只要切換至影片模式，就能長按以錄製影片，或是向上滑動來鎖定錄影功能，以鬆手來錄製影片。而在聊天室中開啟影片時它會自動以靜音播放，使用者再點選影片即可開啟聲音。此外，它亦採用端對端加密以確保訊息安全。</p> <p>其實先前WhatsApp即具備傳送影片的功能，只是新功能省略了許多步驟，此外，上個月已有許多Android及iOS用戶率先收到了相關的更新。</p> </div></div></div>
2023/7/28 16:15作者陳曉莉https://www.ithome.com.tw/news/157998
Amazon Bedrock可讓企業開發AI助理，新增模型、供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/2023/7/aws-expands-amazon-bedrock-with-additional-foundation-models-new-model-provider-and-advanced-capability-to-help-customers-build-generative-ai-applications" target="_blank">AWS本周在AWS Summit大會上宣布</a>Amazon Bedrock增加新的底層模型、模型供應商，以及供企業開發AI助理的功能。</p> <p><a href="https://www.ithome.com.tw/news/156411" target="_blank">Amazon Bedrock是AWS今年4月宣布的AI模型雲平臺</a>，可供企業選擇市面上知名的AI底層語言模型，包括AI21Labs、ChatGPT、Anthropic、Stability AI及AWS自家模型Titan。在最新升級後，Bedrock新增模型供應商Cohere，其底層模型Command是文字生成模型，可被訓練來遵照用戶指令，執行企業應用任務，像摘錄重點、編寫文字、回答問題、汲取資訊與產生對話。而Cohere的文字理解模型Embed則可用於搜尋、聚集和分類任務，支援100多種語言，讓組織能以意義搜尋或分類文字。</p> <p>Bedrock原有供應商也提供新一代底層模型，包括Anthropic Claude 2及Stability AI的Stable Diffusion XL 1.0。Claude 2現在每次對話能接收最多100,000 token，等同數百頁或甚至一本書，也能撰寫比前一代更長的文件，像是數千token的備忘錄或故事。Stability AI則提供Stable Diffusion XL（SDXL）1.0。SDXL 1.0是文字轉圖片模型，比前一代的0.9版能生成色彩更精準、解析度更高、光影表現更佳的圖片。SDXL 1.0也會整合到機器學習中心Amazon SageMaker Jumpstart，後者提供用戶演算法、模型和解決方案。</p> <p>此外，AWS也新介紹Agents for Amazon Bedrock，這項雲端代理程式功能可讓開發人員（或使用者）更容易開發生成式AI聊天機器人或助理，處理多種企業應用作業、或根據企業自有資料庫回答問題。AWS宣稱，只要滑鼠點幾下，這個代理程式就能拆解任務，擬定協助計畫，完全不需人撰寫程式。它會透過簡單API連結企業資料系統，自動將資料轉換成機器讀取的格式，再補足相關資訊產生更精準的回應。它還能自動呼叫API完成用戶需求，像是保險公司可開發生成式AI應用程式，協助保險業務員自動化理賠申請、管理紙本作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-Agents%20for%20Amazon%20Bedrock.png" style="width: 600px;" /></p> <p>AWS表示，由於是全代管程式，這代理程式可大幅減少不必要的整合及基礎架構作業，使開發人員只需單純處理生成AI應用開發的工作。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> </div></div></div>
2023/7/28 14:23作者林妍溱https://www.ithome.com.tw/news/157985
Stability AI公布最新文字轉圖片模型Stable Diffusion XL 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://stability.ai/press-articles/stable-diffusion-xl-1-featured-amazon-aws-bedrock" target="_blank">AI新創公司Stability AI本周公布</a>最新版文字轉圖片模型Stable Diffusion XL（SDXL）1.0，強化圖片生成的品質與功能，新版模型產生的圖片色彩更鮮明、準確，對比、光影表現更佳，也強化圖片生成速度，最少只要5張圖片就能客製化。</p> <p>Stable Diffusion XL（SDXL）1.0是參數最多的開放存取圖片生成模型之一，基礎模型擁有35億個參數，模型組合管線則高達66億個參數，其優化器（refiner）能為基礎模型產出圖片加入更準確的色彩、更高對比及更多細節。也加快了生成速度，幾秒鐘就能生成多種長寬比的1024x1024高解析度圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-Stable%20Diffusion%20XL-2.jpg" style="width: 600px;" /></p> <p>Stability API也強化微調、客製化功能，讓用戶可用最少只需5張圖片就能針對特定人士、產品或物件客製圖片。新功能目前正在和幾家合作夥伴測試，未來幾周內會正式釋出。</p> <p>SDXL 1.0是繼4月的Beta版、6月僅供研究用的SDXL 0.9版後的商用版本。Stability AI指出，4月以來，用戶從其Clipdrop App已生成3,500萬張圖片，而Stability AI的Discord社群也生成了2萬張圖片。</p> <p>SDXL 1.0目前已可透過Stability AI API、Stability AI的<a href="https://github.com/Stability-AI/generative-models" target="_blank">GitHub頁</a>，以及Clipdrop和DreamStudio App存取。</p> <p>此外，Stability AI也宣布SDXL 1.0將登上AWS AI模型服務Amazon Bedrock。4 月推出的Amazon Bedrock提供多家AI底層模型，包括Stable AI，提供用戶生成圖片、logo或其他視覺設計。SDXL 1.0則是本周Amazon Bedrock最新更新的底層模型之一。此外，AWS機器學習演算法中心Amazon SageMaker JumpStart也將加入SDXL 1.0。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_Stability AI</span></span></p> </div></div></div>
2023/7/28 14:58作者林妍溱https://www.ithome.com.tw/news/157990
AI趨勢周報第223期：創作影片更簡單了，ShortGPT用AI自動化編輯和配音合成工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0721～0727)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">影片創作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ShorGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 配音合成 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>創作影片更簡單了，ShortGPT用AI自動化影片編輯工作</strong></span></p> <p>最近，GitHub上出現一款強大的AI框架ShortGPT，能用來簡化影片創作工作，包括配音合成、影片編輯、撰寫腳本等，來提高自動化程度。進一步來說，ShortGPT有一套以LLM為導向的影片編輯語言，來驅動整個自動化編輯框架。而且，這個語言將編輯流程拆解為可管理和可自定義的區塊，讓大型語言模型更容易理解流程意義，也因此讓ShortGPT能為各種編輯流程，生成提示和腳本，來加速自動化編輯，並提供立即可用的資源給創作者。</p> <p>不只如此，ShortGPT還提供多種語言的合成配音，目前支援英語、西班牙語、阿拉伯語、法語、德語、義大利語、葡萄牙語和波蘭語，尚未有中文。此外，ShortGPT還能生成影片字幕，並具備影片資源管理功能，能透過Pexels API來從網路尋找圖像和影片畫面。最後，ShortGPT還應用輕量級資料庫TinyDB來確保自動編輯變數的一致性，能記住使用者偏好和設定。現在，使用者可在Google寫作開發平臺Colab上執行ShortGPT。ShortGPT頗受歡迎，目前開源2周，已累積了2,700多顆星星。<a href="https://github.com/RayVentura/ShortGPT">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/hpoSHq-ER8U" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yahoo日本 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line與Yahoo日本也擁抱OpenAI API服務了</strong></span></p> <p>近日，由韓國Naver集團和日本軟銀集團合資成立的子公司Z控股，與OpenAI簽訂企業協定，來讓Z控股旗下員工能使用OpenAI所有API服務，包括大型語言模型GPT-4、GPT-3.5、GPT-3，文生圖模型DALLE·E，語音轉文字模型Whisper，用來判斷文字敏感度的Moderation，以及衡量字符串相關性的Embeddings等。也就是說，包含Line集團、Yahoo日本在內的2萬多名員工都能使用這些API，用來優化內部作業流程。比如，這些API可用來快速建立文檔和電子郵件模板、能修改草稿、研究、文字內容分類、翻譯和新點子建議等。Line集團和Yahoo日本也會在各部門推廣生成式AI應用，來提高生產力和服務品質，並發想新服務。</p> <p>為因應AI技術進展，Z控股也做了不少相應措施。比如今年6月，Z控股成立生成式AI應用促進辦公室，由63位來自Z控股、Line和Yahoo日本等成員組成，來討論相關應用。今年3月，Z控股還制定了生成式AI使用指南，來規範和促進生成式AI的使用，而且自2021年6月起，他們也與外部專家進行一系列AI倫理專家討論，來制定服務安全政策和使用者自願使用AI的規則，更在去年7月制定了《Z控股集團AI倫理基本方針》，作為安全使用AI並保障用戶隱私的策略。</p> <p>不只是制定規則，Z控股內部也開始應用生成式AI，比如Yahoo日本營運的餐廳訂位服務PayPay Gourmet，<a href="https://about.yahoo.co.jp/pr/release/2023/07/19b/">在今年7月就使用OpenAI的ChatGPT外掛</a>，來讓使用者用說的，就能找到想要的餐廳並定位。<a href="https://linecorp.com/en/pr/news/en/2023/4636">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Chatbot Arena </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span></p> <p><span style="font-size:22px;"><strong>哪個LLM表現最好？ Chatbot Arena線上工具讓你測試還排名</strong></span></p> <p>由加州大學伯克萊分校和CMU學生成立的大模型系統組織（LMSYS Org）開發一款線上工具<a href="https://chat.lmsys.org/?arena">Chatbot Arena</a>，能讓使用者同時測試2款大型語言模型，只要輸入問題，2款模型就會同步即時回答，再由使用者評估2者表現，如誰表現好、平手或都不好，再進行下一輪測試。</p> <p>Chatbot Arena收錄了16款開源和閉源模型，採隨機方式讓使用者測試，評分後才揭露模型名稱。該工具用Elo指標來對模型排名，特別的是，Elo沒有最高或最低分數，而是比對手多得100分的模型，預計會贏得64%的比賽，比對手多得200分的模型預計會贏得76%的比賽。目前，Chatbot Arena排行榜第一名是GPT-4，其次是Claude-v1、GPT-3.5-turbo，以及用ChatGPT對話資料微調LLaMA而成的Vicuna-33B與13B版本。<a href="https://lmsys.org/blog/2023-05-03-arena/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-07-28%20131740.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LogAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日誌分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Salesforce打造日誌分析函式庫LogAI並開源</strong></span></p> <p>CRM龍頭廠商Salesforce最近打造一款<a href="https://github.com/salesforce/logai?ref=blog.salesforceairesearch.com">日誌（Log）分析函式庫LogAI</a>，可用來處理電腦系統產生的原始日誌，還支援日誌分群、摘要等分析任務，以及日誌異常偵測與根因分析（Root-cause）等智慧任務。而且，LogAI採用OpenTelemetry日誌資料模型，能兼容不同日誌管理平臺的格式，並提供視覺化的GUI介面。此外，LogAI還為熱門的統計、時間序列和深度學習模型提供統一的模型介面，可輕鬆對日誌異常偵測的深度學習算法進行基準測試。</p> <p>一般來說，電腦系統產生的日誌，可幫助開發者了解系統行為、找出問題，但傳統的日誌分析通常仰賴人工手動進行，借助AI則能加速這個過程。於是，團隊打造LogAI，由LogAI核心函式庫和LogAI GUI組成，LogAI GUI可讓使用者連接到核心函式庫中的日誌分析應用程式，並透過GUI互動介面來可視化分析結果。<a href="https://blog.salesforceairesearch.com/logai/">（詳全文）</a></p> <p><img alt="" src="https://lh6.googleusercontent.com/HMJLv5H27nEcLaPlW2dJ64L-hVbFYQlaJ4np1dVGu4LnEMFaLLQ7wajVV6e0rd0uIbnEBOPFyjNfrIYeRY8-UwK888J4CUsh5duupvWfuNsi_DBrWpA2XRtDCYeAt61gr_yR1FXWQxLyRASkPAG5MmY" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 安全 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI、微軟和Google等7大AI巨頭向白宮承諾將維護AI安全</strong></span></p> <p>日前，美國7大AI龍頭承諾白宮，將對AI風險做出安全控管。這些業者包括OpenAI、微軟、Amazon、Google、Meta、Anthropic和Inflection，他們將推動安全、可靠和透明的AI技術發展，比如在AI系統釋出前，進行內外部安全測試，以及願意與該產業、政府、社會和學術界分享AI管理資訊。此外，他們也將投資網路安全和內部威脅防護機制，以保護私有及未發表的模型權重，另外也將與第三方合作，來找出AI系統漏洞。</p> <p>另一方面，為提高民眾信任，這些企業也將打造可標記AI生成內容的技術，像是浮水印系統，也會公開對外說明其AI系統的能力、限制，以及適用和不適用的領域。他們也會針對AI系統可能帶來的社會風險展開研究，諸如避免有害的偏見與歧視，同時保護隱私，並將發展、部署可協助解決社會關鍵挑戰的先進AI系統，如預防癌症、減緩氣候變遷。同時，美國也與國際合作，要建立一個國際框架，來管理AI的開發與使用，目前已與澳洲、加拿大、巴西、德國、印度、新加坡、韓國等逾20國就自願承諾進行協商。<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/21/fact-sheet-biden-harris-administration-secures-voluntary-commitments-from-leading-artificial-intelligence-companies-to-manage-the-risks-posed-by-ai/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 艾倫研究所 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大腦地圖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></p> <p><span style="font-size:22px;"><strong>艾倫研究所要打造人類大腦地圖，還要用生成式AI找洞察</strong></span></p> <p>艾倫研究所（Allen Institute）在美國國立衛生研究院（NIH）的資助下，用AWS平臺技術打造一套腦知識平臺，來繪製人類大腦地圖，要找出阿茲海默症和帕金森氏症等神經疾病的成因，並進一步找出最佳療法。</p> <p>艾倫研究所啟動為期5年的人腦地圖繪製專案，聯手全球17家研究機構的神經科學研究員，在腦知識平臺上繪製一張全新、完整且精確到單個細胞的腦部地圖。團隊計畫用Amazon SageMaker機器學習平臺來管理資料，未來也會部署生成式AI，來將龐大、複雜、多模態的資料轉化為洞察。同時，艾倫研究所資料暨技術主管Shoaib Mufti還會帶領團隊，與AWS一起用腦部地圖建立全球最大的腦細胞開源資料庫，將成為人類首次針對哺乳動物大腦結構和功能進行彙編、標準化的大規模資料集。<a href="https://aws.amazon.com/blogs/industries/executive-conversations-building-the-brain-knowledge-platform-with-shoaib-mufti-data-and-technology-lead-at-the-allen-institute-for-brain-science/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中國附醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 病歷紀錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>口述10秒就完成病歷記錄，中國附醫推醫療生成式AI系統</strong></span></p> <p>中國附醫採用微軟生成式AI服務，開發出智海系統（gHi system），是首套以華文建立的生成式語音智慧醫療系統，能根據醫護口述，快速轉換為文字，來完成病歷的撰寫，減少醫護人員輸入病歷75％的時間，讓醫護人員更專注於患者照護。</p> <p>進一步來說，傳統手寫或鍵盤輸入病歷資訊，不只耗時，還容易出錯。為克服語音轉文字的準確度，中國附醫AI中心找來微軟，利用微軟Azure平臺上語音轉文字服務，辨識口述內容，再用同平臺提供的GPT-4模型，來摘要、分析，提取關鍵資訊，10秒就能自動生成專業醫療術語和建議。中國附醫指出，該應用可用於新病人面談問診、護理語音記錄、住院病歷撰寫、專業檢查報告輸出，甚至還能客製化生成等，大幅縮短撰寫醫療報告的時間。<a href="https://news.microsoft.com/zh-tw/generativeai-medical/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2023/07/MicrosoftTeams-image-6-1536x1153.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BI </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS一口氣推出7大生成式AI新功能</strong></span></p> <p>AWS最近在宣布推出7項生成式AI新功能，像是程式撰寫助手Amazon CodeWhisperer與Amazon Glue整合、Amazon QuickSight新增生成式BI功能，以及智慧醫療新服務AWS HealthScribe等，要來降低使用門檻，讓開發者和業務都能使用。比如，新功能之一的全託管基礎模型服務Amazon Bedrock全面擴展，新添許多基礎模型、模型供應商和代理功能，知名AI新創Stability AI、Cohere和Anthropic都加入，他們的熱門語言模型Claude 2和最新版文生圖模型包Stable Diffusion XL 1.0也都納入Bedrock，來給使用者採用。</p> <p>此外，Amazon EC2 P5執行個體正式可用了，來加速生成式AI和高效能運算應用，訓練時間最多可從幾天縮短到幾小時，降低40%訓練成本。其他新功能還有可用於Amazon OpenSearch Serverless的向量引擎，方便使用者整合資料；而寫程式AI助理Amazon CodeWhisperer整合Amazon Glue，開發者可用英語編寫特定任務。再來，Amazon QuickSight還新增生成式BI功能，幫助企業輕鬆找資料、發現並分享洞察。</p> <p>同時，AWS推出的Amazon HealthScribe，醫療軟體供應商可用來打造臨床應用程式，像是用生成式AI來產出臨床文件，節省醫生時間。而且，醫療軟體供應商還能利用單一個API，自動建立可靠的記錄、提取關鍵訊息（如醫學術語和藥物），並根據醫病對話建立摘要，然後將這些資料輸入到電子病歷系統。<a href="https://aws.amazon.com/blogs/aws/top-announcements-of-the-aws-summit-in-new-york-2023/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2023/07/25/agents-for-amazon-bedrock-intro.png" /></p> <p>圖片來源／RayVentura、Chatbot Arena、Salesforce、AWS、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟Teams企業版加入美妝用AI，讓用戶亮麗上鏡頭視訊</strong></p> <p><strong>2. 微軟正在測試Bing Chat執行於Chrome、Safari等瀏覽器</strong></p> <p><strong>3. ChatGPT Android App即將開放下載</strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/7/28 11:46作者王若樸https://www.ithome.com.tw/news/157979
Android開始部署不明追蹤警告，可以逮到AirTag了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/unknown-tracker-alert-google-android/" target="_blank">Google周四（7/27）宣布</a>，將開始部署不明追蹤警告（Unknown Tracker Alert）功能至Android 6.0及以上的裝置，以讓使用者得以發現跟著他們的未知藍牙裝置，惟初期僅能逮到蘋果的AirTag。</p> <p>像是AirTag等藍牙追蹤器可以繫在寵物、鑰匙圈或包包上，方便使用者尋找自己的物件，但也有人用以追蹤不屬於自己的物品或是用來追蹤其他人。蘋果的iOS內建了偵測機制，可偵測不屬於自己的AirTag，但Android用戶就必須額外下載蘋果所釋出的Tracker Detect來偵測AirTag。</p> <p>而Google本周的舉動，即是為了協助Android用戶偵測到不屬於他們的藍牙追蹤裝置。根據Google的說明，此一更新將會讓Android裝置自動察覺附近有不屬於同一使用者、且持續跟著它的藍牙追蹤器，同時發出警告。使用者則可藉由該警告要求該陌生的藍牙追蹤器發出聲音，也能查看該藍牙追蹤器的資訊，像是追蹤器的序號，或是控制該追蹤器的手機後4碼，也可提供資訊來教導使用者如何關閉該追蹤器。</p> <p>此外，Android用戶也可透過手機設定，來手動掃描附近的不明藍牙追蹤器。</p> <p>不過，目前此一功能僅支援蘋果的AirTag，Google正與其它藍牙追蹤器的製造商合作，以擴大所支援的追蹤器品牌。</p> <p>另一方面，為了促進藍牙追蹤器的隱私與安全，<a href="https://www.ithome.com.tw/news/156681" target="_blank">Google與蘋果在今年5月攜手宣布</a>將共同制定規範來處理不明追蹤，此一規範的主要目的是打擊濫用藍牙定位追蹤裝置所進行的不明追蹤行為，正式規範預計會在今年底出爐。</p> <p>為此，Google也決定暫緩推出原本要在今年夏天出爐的新版Find My Device網路，此一服務可允許Android用戶尋找屬於自己的藍牙配件，以及其它使用第三方藍牙追蹤器的物品。根據Google的說法，延後推出的原因是要等待蘋果於iOS中導入相對應的保護措施。</p> </div></div></div>
2023/7/28 13:23作者陳曉莉https://www.ithome.com.tw/news/157984
研究人員警告，4成Ubuntu含有漏洞風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability" target="_blank">來自Wiz Research的兩名資安研究人員Sagi Tzadik與Shir Tamari在26日指出</a>，Ubuntu中含有兩個與OverlayFS有關的權限擴張漏洞，影響了40%的Ubuntu用戶，而且以前的攻擊程式就適用。不過，<a href="https://ubuntu.com/security/notices/USN-6250-1" target="_blank">Ubuntu在25日已藉由釋出Ubuntu 23.04</a>，修補了包括這兩個漏洞在內的8個安全漏洞。</p> <p>OverlayFS為一Linux檔案系統，由於它可在預先建構好的映像檔上部署動態檔案系統，因而隨著容器的興起而變得更熱門，然而，由於非常權用戶經常得以利用使用者命名空間（User Namespace）存取OverlayFS，使得它成為吸引駭客的攻擊表面。</p> <p>Tzadik與Tamari說，基於Linux的Ubuntu在2018年針對OverlayFS模組作了許多變更，雖然這些變更並未帶來任何安全風險，但Linux Kernel專案在2019年與2022年執行的OverlayFS變更卻與Ubuntu的作法衝突，而分別產生了<a href="https://ubuntu.com/security/CVE-2023-32629" target="_blank">CVE-2023-32629</a>與<a href="https://ubuntu.com/security/CVE-2023-2640" target="_blank">CVE-2023-2640</a>漏洞。</p> <p>有鑑於它們是基於Ubuntu的變更才衍生的，因此這兩個漏洞並未波及其它Linux作業系統。根據Ubuntu的說明，這兩個漏洞源自於Ubuntu中的OverlayFS在特定情況下無法妥善檢查權限，而允許本地端駭客擴張權限。</p> <p>值得注意的是，那些過去鎖定OverlayFS漏洞所開發的攻擊程式，完全不需要修改就能攻擊<a href="https://ubuntu.com/security/CVE-2023-32629" target="_blank">CVE-2023-32629</a>與<a href="https://ubuntu.com/security/CVE-2023-2640" target="_blank">CVE-2023-2640</a>，Ubuntu用戶最好儘速修補。</p> <p>至於Ubuntu 23.04本周所修補的其它漏洞，則皆直接源自Linux Kernel。</p> </div></div></div>
2023/7/28 12:42作者陳曉莉https://www.ithome.com.tw/news/157983
產業觀察：金融擁抱ChatGPT真正痛點不是成本，找出適用場景更重要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當ChatGPT浪潮吹進臺灣時，企業又愛又擔心，尤其是金融業，從iThome 2023年CIO大調查結果可以看到，高達6成金融業者的第一反應是，強化自家員工的ChatGPT資安意識，甚至有近4成6的金融業者更是直接下令在內部網路中禁用ChatGPT相關網址，深怕不小心就外流了企業的機敏資訊到上面而曝光。</p> <p>不過，也有2成金融業者反過來鼓勵自家員工試試看，更有39%金融業者開始評估，各種生成式AI的可行性，金融業看重生成式AI的企業比重，遠高於整體產業的平均比例，這也反映出ChatGPT浪潮，開始讓金融業認真看待生成式AI的價值和可行性，而且比其他產業更加的積極思考生成式AI在企業應用的可能性。</p> <p>一方面高度警戒，另一方面又高度感興趣，金融業對ChatGPT浪潮的反應相當兩極，這反映出，金融業想要擁抱ChatGPT，但是，擔心背後風險的不可控程度，真正的問題不是要不要用，而是該怎麼用它？</p> <p>ChatGPT去年剛現身時，就以擬人般的對話能力獲得高度關注，不過，有位銀行資訊主管一看到這項新技術，第一時間就要求客服團隊先不要用。「這項技術的不確定性，出現任何一個閃失，都可能造成顧客的災難。」這位IT主管私下這樣對我說。</p> <p>銀行是一個無法容忍誤差的行業，甚至是，所有銀行資訊系統中，與金錢有關的資料欄位，都避免甚至禁止使用浮點數，尤其是交易類的系統，就是為了確保每一筆錢的計算都精準，不能有任何小數點。（真要有小數點下的計算，透過乘以需要的倍數，例如乘以1,000倍來放大原本小數點下的位數，確保小數點下的數值位數可控，一樣可以用整數型別處理法規所允許的小數點下的數值計算）</p> <p><strong>為何摩根大通銀行年初下達ChatGPT暫時限用令？</strong></p> <p>正是擔心ChatGPT相關技術的不可控性和不確定性，所以，就算是目前率先開始評估ChatGPT的金融圈先行者，也不敢輕易就直接運用到交易系統，或是直接面對顧客的場景中，如公開表明正在進行ChatGPT技術評估的摩根大通集團，旗下銀行第一時間也先對員工下達暫時限制使用令，不只國外，臺灣也有銀行發布了ChatGPT內部禁用令。</p> <p>從頭打造一套ChatGPT背後大型語言模型和訓練成本可能上億美元，相當驚人，但對<a href="https://www.ithome.com.tw/news/157061">2023年IT預算高達153億美元（約臺幣4,700億元）的摩根大通集團</a>而言，1億美元只是IT預算的幾個百分比零頭，禁用ChatGPT不是IT預算不足的問題。</p> <p>更不用說，摩根大通這幾年發展的AI應用案例超過300個，涵蓋了風險、潛在顧客挖掘、市場行銷、顧客體驗和詐欺防範等領域的AI應用案例，例如在消費市場領域，已有25個利用AI來提供個人化的產品和顧客體驗應用，創造了2.2億美元的價值。</p> <p>在2023年投資者日活動（5月22日）時，摩根大通全球資訊長Lori Beer更透露，這300個應用已經影響了10億美元的業務價值，這是摩根大通在2021年訂下的3年目標，但提前在去年達成，因此，摩根大通今年甚至將AI對業務影響金額的KPI目標，提高到了15億美元。摩根大通集團，非常清楚，AI對金融業可以帶來的業務實質價值。</p> <p>摩根大通不是因為錢，也不是不清楚AI的價值，會因為AI人力不足而無法用ChatGPT嗎？</p> <p>統計到2023年，摩根大通集團擁有900多位資料科學家，600位機器學習工程師和1千多名資料管理人員，更有一個200人規模的AI專門研究團隊，他們自己揭露，在知名銀行AI成熟度指標Evient AI評比上，摩根大通名列第一。所以，AI研發人力更不是摩根大通集團不敢輕易用ChatGPT技術直接面對顧客的關鍵門檻。</p> <p>更不用說，不只Open AI、微軟，連Google、Nvidia、AWS等科技巨頭，都開始透SaaS服務形式，來提供ChatGPT類技術，或GPT類LLM模型的商用服務，透過公雲服務等級的法遵配套，以及商業契約形式的機敏資料約束擔保（如保證上傳資料不會用於契約外的運用）。</p> <p>以目前實務經驗來看，企業使用SaaS形式的GPT技術服務，每個月所需要投入的費用其實不算高，有位臺灣新創執行長告訴我，只需數百美元就能嘗試不少GPT類應用。</p> <p>SaaS服務的好處是可以用多少付多少。從Open AI在3月初開始提供商用ChatGPT模型客製化服務後，陸續看到不少企業嘗試上傳自己的資料，來微調（Finetune）客製版ChatGPT模型，不過，先前那位對客服下達禁用令的銀行IT主管，也對微調客製化模型，先說「不」。</p> <p><strong>不是不用，場景和時機更關鍵</strong></p> <p>「不是不用，而是時機未到！」他認為：「需要到調校模型的前提是，AI模型產生的結果，雖不完美但可以接受時，才值得做。」所以，他要求下屬直接用現成生成式模型，進行概念驗證，根據他的評估，目前還沒到需要投入資料，進行微調的階段。</p> <p>這位金融主管的想法，與英國頂級休旅車公司捷豹路虎Jaguar擔心的ChatGPT長期成本考量一樣。捷豹路虎的擔心是，日後若想要將SaaS形式ChatGPT類技術服務，客製運用到不同的任務用途，每一次，只要需求、任務有些微不同，就需要一筆少少的微調費用，看似不多，但積數百個「少」會變成真的「多」，這個不可預估總成本的不確定感，讓他們轉而思考，能不能從Prompt提示問題下手。<a href="https://www.ithome.com.tw/news/157976">捷豹路虎經驗也很有意思，請看另文補充</a>。</p> <p>對金融業者而言，<strong>想要擁抱ChatGPT，真正的痛點是如何找出使用場景。</strong>而且不只金融，對同樣高度擔心ChatGPT不確定性和不可控性的任何產業或企業，都是如此。</p> <p>就我觀察，多數開始嘗試ChatGPT的企業，仍把生成式AI視為文章產生器的技術，來提高生產力，不論式產生行銷文章，或是內部研究報告，專案計畫內容等，本質上都同樣是文章生成。</p> <p>目前最可能的ChatGPT或GPT類LLM技術的使用場景，我認為是，<strong>用ChatGPT優化內部作業流程，提高內部的生產力</strong>。舉例來說，在保險場景運用生成式AI的可能性最高。</p> <p><strong>生成式AI應用可能：保險員內訓場景</strong></p> <p>這幾年，保險業早就開始運用Chatbot技術，來訓練新進的保險業務員，傳統做法上，新進保險業務人員，得閱讀大量文件或者觀看大量事先錄製的教育訓練影片，來訓練與顧客的應答。已經有臺灣的金融業者，開始評估如何運用到保險業務的內部訓練上，像是運用AI來整理或摘要，大量（尤其對新人來說）保險產品或相關說明文字的搜尋。</p> <p>這正是為何<a href="https://www.ithome.com.tw/news/155956">摩根士丹利財管使用GPT-4來支援理財顧問</a>的案例，引起各國金融業熱烈討論的緣故，包括臺灣金融圈。這家公司用GPT-4來整理龐大的現成公開知識來支援真人理財顧問，讓這些顧問更有能力面對外面顧客，而不是直接用AI來提供面對外面顧客的客服機器人。</p> <p>不是用來直接面對顧客，而是透過「人機協作」策略，讓人作為把關的窗口，也能善用既有的稽核、審查、控管流程或機制，來發揮目前仍有高度不確定性和不可控性的ChatGPT技術。</p> <p><strong>AI人機協作待解課題：真人變AI圖章</strong></p> <p>不過，長期來說，這種人機協作還是有一個課題待解，會不會讓這些新手保險業務員，喪失了過去那種靠辛苦自學而來的成長能力，反正有AI幫我整理和摘要，我就可以不用那麼辛苦自學，靠「人」作為把關，資深人員是靠過去「非AI輔助」的經驗來建立這樣的判斷人力。</p> <p>可是，10年後，新一代「AI輔助」下的保險業務員，變成老手後，會不會失去了足夠的真假判斷能力，仍舊靠「能力不足」的真人老手來把關，容易淪為「只是蓋章背責」的真人圖章，這是當前教育界，思考ChatGPT技術對學生影響的長期反思，不過，大家都還沒有答案，都在思索中。看重短期效益的業界，更需要好好參考的教育界對生成式AI長期思考的經驗。</p> <p>面對新技術，總是得不斷嘗試，<strong>不是問能不能用，而要思考，怎麼用更適合。</strong>文☉王宏仁</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E7%94%A2%E6%A5%AD%E8%A7%80%E5%AF%9F">金融產業觀察</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/%E6%91%A9%E6%A0%B9%E5%A4%A7%E9%80%9A">摩根大通</a></div><div class="field-item odd"><a href="/tags/%E4%BA%BA%E6%A9%9F%E5%8D%94%E4%BD%9C">人機協作</a></div><div class="field-item even"><a href="/tags/gpt-4">GPT-4</a></div><div class="field-item odd"><a href="/tags/llm">LLM</a></div></div></div>
2023/7/28 11:06作者王宏仁https://www.ithome.com.tw/voice/157977
病毒感染舊版《決勝時刻》電玩用戶Windows PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日大復活的知名多人射擊電玩《決勝時刻：現代戰爭2（Call of Duty: Modern Warfare 2）》疑似出現病毒感染玩家，可能已經散布超過一個月。目前該遊戲已經被暫時下架。</p> <p>由於微軟收購動視暴雪（Activision Blizzard）成功率大增，近日動視修復老舊伺服器，使許多電玩經典《決勝時刻》舊版本得以輕鬆匹配，加上Xbox得以回溯相容前代軟體，吸引大量老玩家使用PC及Xbox回鍋重溫舊時記憶。</p> <p>但<a href="https://steamcommunity.com/app/10190/discussions/0/3810656756190466074/" target="_blank">6月底Steam討論區開始有用戶發出警告</a>，2009年發行的《決勝時刻：現代戰爭2（Call of Duty: Modern Warfare 2）》發生病毒感染玩家電腦。一名用戶分析，攻擊者可能是駭入遊戲大廳，隨機挑選感染目標，並透過遠端程式碼執行（RCE）在受害者電腦執行程式，將DirectX和音效相關的DLL檔置換成惡意檔案。這名用戶呼籲遊戲用戶啟用掃毒軟體。</p> <p class="rtecenter"><a href="http://steamcommunity.com/app/10190/discussions/0/3810656756190466074/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-Call%20of%20Duty-Trojan.png" style="width: 600px;" /></a></p> <p><a href="https://www.virustotal.com/gui/file/cb000abed31b92b4f3f895a633ef0ffaf01a1be0dfc73619acf98c1605a5999d/detection" target="_blank">VirusTotal</a>上部分防毒軟體偵測到這隻程式，分別命名為Generic或BehavestLike。另一名用戶分析樣本，指出這可能是隻蠕蟲程式，用戶遭到感染後，也會在大廳中散布該程式。感染這隻蠕蟲後，該Dll檔會註冊該大廳，使受害者無法加入遊戲或發起遊戲。<a href="https://techcrunch.com/2023/07/27/hackers-are-infecting-call-of-duty-players-with-a-self-spreading-malware/" target="_blank">Techcrunch引用追蹤該遊戲人數網站報導</a>，一個月前迄今有大約600名玩家玩過這遊戲。</p> <p>至於是誰發動這波攻擊，目的為何尚不清楚。<a href="https://www.tomshardware.com/news/call-of-duty-players-are-being-hit-with-self-spreading-malware" target="_blank">《Tom's Hardware》</a>報導，攻擊事件僅發生在以PC連線的用戶，若是以Xbox遊戲機連線的用戶則似乎不受影響。</p> <p><a href="https://twitter.com/CODUpdates/status/1684295189849071618" target="_blank">不過昨日遊戲發行商動視透過X說明</a>，已暫時從Steam將該款電玩拉下，並展開調查。</p> </div></div></div>
2023/7/28 11:23作者林妍溱https://www.ithome.com.tw/news/157978
用專家默會知識強化AI需求預測力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0724-itshu_zhai_-1p-aixu_qiu_yu_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用需求預測AI應該以新產品為目標。</p> <p>根據我的感覺，現有的商品存在著過去的數據，因此應用統計學的時間序列模型就足以預測其需求。這是基於預測精確度的事實依據。</p> <p>當然，前所未有的大型行銷活動、社群媒體的話題傳播、疫情之類的劇烈環境變化無法預測，之後的需求預測很難只靠時間序列模型也是事實。但許多商品的短期需求預測，只要能夠確實管理統計學的需求模型，就有機會達到足夠的精確度。畢竟AI也很難應付這些突如其來且前所未有的環境變化與策略，時間序列模型的精確度極有可能遠勝於AI。</p> <p>至於沒有過去數據的新商品，各個業界都以因果模型處理。他們整理出哪些要素影響需求，並參考擁有類似要素的基準商品的銷售實績，這種方法具有預測精確度較高的傾向。</p> <p>然而整理出需求的因果關係，需要擁有該商業領域的深入知識。至少也必須具備足以理解多元迴歸分析的統計學知識。因此根據我的印象，在很多行業中，建立自己公司因果模型的企業仍然不多。</p> <p>除了時間序列模型與因果模型之外還有判斷性模型。譬如應用德菲法或AHP的模型，以及預測市場等，這些都是嚴謹的方法，在某些商品上的預測精確度甚至有可能超越因果模型，然而就花費與技術需求的觀點來看，能夠運用這種預測模型的企業非常之少。廣泛使用的判斷性模型不是由上而下的數字目標，就是將業務負責人報告的數字往上疊加的思考邏輯，這些方法往往具有主觀性高、精確度低的問題。</p> <p>從這些企業的實際狀況來看，新商品的需求預測，尤其在發售之前仍有很大的改善空間。</p> <p>即使是AI，在學習資料的選擇與創建，也必須參考背後的因果關係。不過，只要能夠準備一定數量的數據，可能並不需要像統計模型那樣，把因果關係整理得那麼完備。</p> <p>不斷地有人指出，AI預測存在有根據不明確的缺點，但隨著新的演算法逐漸開發出來，透明度也愈來愈高。我想，日後AI有可能會發現人類尚未察覺的需求法則。</p> <p>綜合以上所述，我認為如果想要引進需求預測AI，建議優先考慮用在新商品上，尤其是在發售之前。不過，以AI取代現有的預測模型沒有意義，最好兩者併用。</p> <p>關於預測根據的說明力，統計模型較占優勢。此外，如果擁有許多要素類似的基準商品的銷售實績，譬如商品在改版前的銷售狀況，時間序列模型或因果模型就有機會達到極高的精確度。</p> <p>採取先進需求預測的全球性企業，使用的是三角測量式概念（Triangulation），以多種預測模型評估各預測值的合理性，考慮如何透過SCM與庫存計畫進行風險管理。我認為AI在這方面可以得到有效的應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_AI%E9%9C%80%E6%B1%82%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88-600-2.png" style="width: 436px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_商周出版</span></p> <p><span style="font-size:28px;"><strong>成功實現商品訂購自動化的食品超市</strong></span></p> <p>我從二○一七年開始參與需求預測AI的開發，原本以為只要讓AI學習來自公司內外的大量數據，就能提高AI的預測精確度。</p> <p>但這個方法卻行不通。因為一家企業的新商品相關數據頂多只有數百個樣本，不足以作為AI的學習資料。離開實驗室來到現實的商業環境後，經常出現像這樣的數據量限制，這時候「學習資料的管理」就變得相當重要。</p> <p>評估不同商品的AI預測結果，就會發現有的精確度高，有的精確度低。由此推測在需求的因果關係方面缺乏某些資訊。想要有效解決這個問題就不能只是蒐集分散公司內部各處的數據，如果有必要也必須感測或創造新的數據。</p> <p>舉例來說，如果缺乏關於顏色的資訊，就去研究室尋找。為了表現外國旅客的喜好，分析過去受歡迎的商品特徵，並設計指數也能順利發揮作用。公司內部的BI（Business Intelligence）沒有需求預測觀點的數據，因此需要由該領域的商業專家創造數據以表現需求的因果關係，我稱之為「假設驅動的數據管理」。</p> <p>像這樣創造AI的學習資料，在其他行業似乎也變得同樣重要。分店遍及全日本的食品超市集團LIFE Corporation，在全國分店引進需求預測AI的自動化訂購。他們從需求預測的角度，整合以箱為單位訂購和散裝訂購的商品編碼、考量早晨與傍晚等不同時段的需求特性，充分運用只有零售現場的專家才能想到的智慧。</p> <p>這樣的數據建立工作花費了將近一年半的時間，而這種AI的預測精確度，也達到傳統主觀預測的訂購負責人同樣的程度。</p> <p><span style="font-size:28px;"><strong>累積符合商業課題的數據</strong></span></p> <p>人類在數據分析的速度與準確性方面比不上AI。但人類擁有靈活的發想力，唯有人類才能蒐集並創造有效的學習資料，因此AI與商業人士協作時的重點就在這裡。人類的其中一項優勢就在於，即使數據模糊或不完整，依然能夠根據這樣的資訊進行預測。</p> <p>但這樣的預測含有偏誤及雜訊，導致預測精確度降低。需求預測必須考量的要素由人類設定，至於要素的比重或許可交由AI決定。</p> <p>開發AI的商業人士，需要具備思考「利用AI可以解決哪些商業課題，而解決這些課題又需要累積什麼數據」的能力。</p> <p>以需求預測為例，需要思考的就是：</p> <p><span style="color:#B22222;"><strong>● 哪些因素可能影響需求？</strong></span></p> <p><span style="color:#B22222;"><strong>● 這些因素具體來說該衡量哪些數據？</strong></span></p> <p><span style="font-size:28px;"><strong>利用專家的默會知識設計AI學習資料</strong></span></p> <p>常有人戲稱，不使用統計學的需求預測，靠的是直覺、經驗與膽量，但隨著AI開始被應用於需求預測的實務當中，我覺得人們將再次開始重新評估這樣的作法。</p> <p>在目前的階段，先不論只靠基本數據、銷售實績、庫存資訊以及少許外部環境因素（譬如天氣和人口動態等）就能進行預測的商品，許多商品（服務）的需求，大幅受到宣傳、賣場魅力、銷售員的商品說明等難以定量化的市場因素影響，這些商品就很難開發預測精確度高的AI。</p> <p>舉例來說，現在已經知道高價化妝品與服飾的需求，大幅受到店內銷售員對商品的介紹影響，卻很少有企業對此進行定量評估，並累積充分數量的體系化數據。如果是該領域的專家，應該能夠從經驗中得知哪些要素會影響這項商品的介紹。設計一個機制將這些要素化為數據，並在盡量不增加負擔的情況下持續累積，就變得非常重要。</p> <p>這時，找出過去的需求預測專家所使用的、來自經驗的直覺到底是什麼，就變成一件重要的事情。</p> <p>這樣的直覺不應該是胡亂猜測，而是立基於來自經驗的默會知識，所以才能在實務當中擁有一定程度的精確度。</p> <p>問題不在於預測邏輯，而是這樣的思考歷程一直以來都沒有被視覺化。</p> <p>商業中的需求預測，並非培養或聘雇一名頂尖的規劃師即可。擁有一個組織，能夠擴大預測的技術、並磨練維持技術的能力相當重要，這就是組織學習。</p> <p>換句話說，有必要設計出能夠長期持續的流程或機制，並建立起重視需求預測的組織文化。</p> <p>這方面可以參考一橋大學榮譽教授野中郁次郎提出的知識創造理論。默會知識是知識間的碰撞，而我對這句話的解釋是，商業領域的專業人士之間，針對彼此的假說認真議論，並藉由這樣的過程所形成的形式化知識。</p> <p>這可以想像成，精通自家公司商品需求背後的市場、消費者、競爭者等的商業人士，彼此分享與實際銷售數據相關的各種數據，並且討論這些數據的解釋。</p> <p>實際上，我在二○一四年，也就是從事需求預測的第四年，就開始將這樣的過程體系化，現在已經有一套固定的機制。我們以這個過程中累積的知識為基礎，蒐集並創造AI的學習資料。此外也在AI的學習反饋迴圈運作的過程中，持續同樣的碰撞。這就是需求預測的知識管理。<span style="color:#696969;"><strong>（摘錄整理自《驚人的AI需求預測》第二章，商周出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_AI%E9%9C%80%E6%B1%82%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_商周出版</span></span></p> <p><span style="font-size:24px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">驚人的AI需求預測</span></strong></span></p> <p><strong>山口雄大（Yamaguchi Yudai）／著；林詠純／譯</strong></p> <p><strong>商周出版</strong></p> <p><strong>定價：400元</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20AI%E9%9C%80%E6%B1%82%E9%A0%90%E6%B8%AC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 120px;" /></p> <p><a href="https://www.amazon.co.jp/%E5%B1%B1%E5%8F%A3-%E9%9B%84%E5%A4%A7/e/B0887X68FD/ref=aufs_dp_fta_dsk" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>山口雄大（Yamaguchi Yudai）</strong></p> <p>NEC AI．分析事業總部需求預測技術傳教士。於青山學院大學擔任兼職講師（Supply Chain Management）。YCP Solidiance需求預測顧問。</p> <p>畢業於東京工業大學社會理工學研究科，早稻田大學經營管理研究科。在資生堂股份有限公司負責各種化妝品品牌的需求預測，曾擔任S&OP團隊經理，現任職於NEC。日本物流系統協會「將SCM與行銷結合！需求預測的基礎」講師。在《Journal of Business Forecasting》（Institute of Business Forecasting & Planning）等刊物發表需求預測的論文。</p> </div></div></div>
2023/7/28 12:00未署名https://www.ithome.com.tw/article/157910
上雲之後，需重新審視架構與成本
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於企業而言，當面臨IT基礎架構轉換平臺的時機，往往也會面臨類似價值觀須跟著改變的衝擊。</p> <p>以伺服器為例，從原本企業在機房自行管理改成放置到其他業者機房代管，甚至改用主機租賃服務，我們很快就會發現成本結構的變化——雖然管理負擔變輕了，能夠省下更多機房空間、設備電力、溫溼度環境維持費用，以及維護這些設備與環境的人力與時間，比起長期聘用專人負責設定管理維護、採購建置合適的機型，以及最終需要處理汰換、轉移等程序，相關支出可能得以精簡、趨於單純。</p> <p>然而，如果企業需要對這些不在直接控管範圍內的伺服器，進行細部處理時，勢必要犧牲一些原本大家不太在意的彈性與便利性，像是：企業或廠商提供的設備規格會受到機房環境的限制，而可能無法完全滿足客戶對於特定組態配置的偏好；系統管理人員無法馬上到設備前操作，而必須跨越實體距離，可能要搭乘交通工具，或經由網路對該設備進行遠端存取，或委託業者的人員就近操作。</p> <p>到了伺服器虛擬化平臺、軟體定義資料中心席捲企業IT基礎架構時，所涉及的IT服務能量調度，已不僅止於實體的伺服器、儲存系統、網路交換器等設備，而是同時夾雜經由虛擬化技術轉換而成的運算、儲存、網路資源，該如何決定各種應用系統該放在伺服器虛擬化平臺，進行系統與資源整併，或是交由獨立實體設備來承載，也成為關鍵考量。以企業自行管理機房的狀況而言，此時權衡整體IT成本的因素，還必須涵蓋到系統軟體使用授權的計價方式，因為不同廠牌、版本的伺服器虛擬化平臺、伺服器作業系統，以及使用的處理器核心數量、記憶體容量，可能影響IT支出，而為了避免過度負擔所謂的虛擬稅（vTax），企業在這些平臺執行的應用系統，勢必要進行某種程度的調整。</p> <p>而隨著雲端服務、容器化的浪潮崛起，企業導入這些技術的風氣越來越盛行，從單體走向分散式、微服務等架構的應用系統越來越多，再加上這幾年經歷COVID-19疫情、烏俄戰爭衝突，企業與組織都面臨數位轉型需加速推動的沈重壓力，使得各界對於「上雲」已不再像過去那麼排斥，然而，對於實際使用雲端服務的單位而言，除了因此更快取得可用的IT環境或應用系統服務，更大的規模擴充彈性，是否會出現預期之外的成本支出，仍是大家所擔心的部分。</p> <p>在7月19日舉行的2023 iThome 臺灣雲端大會，國泰世華銀行資深副總王志峰在主題演講中，提到他們將一套內部系統上雲時，就曾遇到這樣的成本衝擊與調整模式的經驗，<a href="https://www.ithome.com.tw/news/157921" target="_blank"><span style="color:#3399ff;">我們的採訪主任余至浩也在後續發布的報導談及此事經過</span></a>。</p> <p>他們起初是在公有雲服務設置一臺虛擬機器，將執行在虛擬機器的系統搬到這臺雲端虛擬機器執行，所有組態都沿用原本虛擬機器的設定，但他們後來發現這臺虛擬機器／應用系統的使用頻率並不高，每月只有一兩百次，卻要花上5萬元；後來他們決定將此系統搬回企業內部資料中心執行，並將其改寫為支援雲端原生架構的應用程式，之後再放到公有雲執行，若需要使用此系統時，才會啟動承載應用程式的雲端服務，平時沒用到就關閉、不啟動。當他們把這個系統調整成這樣的模式之後，他們觀察到相關雲端服務費用大幅縮減，相較於先前持續以整臺虛擬機器的方式執行，節省了一半以上。</p> <p>上述使用經驗的分享，其實只是該場演講內容的一小段，副總只講了3分鐘，很多人可能不一定注意到，我們卻覺得這十分寶貴，相當具有啟發性。因為過去我們聽過很多公有雲業者與協力廠商積極宣傳上雲好處，也聽過系統廠商提醒大家關注上雲成本，其實並不低，雙方各執一詞。企業與組織夾在中間無所適從，卻很少聽到大家討論如何調整既有系統的使用方式，以獲得最大好處，希望未來能有更多企業與專家現身說法，讓所有人了解興利除弊的關鍵概念與具體作為。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%B8%8A%E9%9B%B2%E6%88%90%E6%9C%AC">上雲成本</a></div></div></div>
2023/7/28 12:00作者李宗翰https://www.ithome.com.tw/voice/157944
不惜重構支付系統掌握技術力，全盈支付靠IT服務過百萬用戶
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年在疫情影響下，為避免接觸傳染，國內非現金支付快速成長，根據金管會今年5月統計，國內電子支付帳戶總數破2,440萬個，比臺灣總人口數還多。去年電支市場迎來新變化，2家具有零售背景的新進業者跨足電子支付，挾龐大雲售通路會員基礎切入市場，吸引更多人使用電子支付。</p> <p>其中一家新進業者是全盈支付金融科技（簡稱全盈），由超商、銀行和電商等三方投資成立，去年4月正式推出全盈+Pay，靠著大股東超商打下的零售通路基礎，在其龐大會員數及點數助攻下，全盈現已有超過10萬個消費合作支付點，開業1年達到150萬用戶，截至今年5月為止成長至超過160萬用戶，為市場後起之秀。</p> <p>全盈支付從公司成立，到正式推出電支服務，不到2年時間迅速累積100多萬用戶，背後打造IT系統支援業務發展的是全盈支付金融科技資訊科技處資訊長鍾明峰，他曾在遠傳電信加值服務部門任職，負責加值服務開發、系統維運。</p> <p>回憶過去在電信產業的工作經驗，電信產業相當注重服務高度穩定，核心業務以通話為主，以秒收費，如果服務系統出現異常，就會立刻造成營收的損失，手機無法通話、收發簡訊、無法上網，都可能產生客訴，並受到主管機關關切。讓他印象深刻的是，當時如果服務系統一出現異常，維護團隊就要立刻用跑的到現場維修，設法排除問題恢復正常服務，因為只要晚一秒恢復服務，都會造成營收的損失。</p> <p>然而，電信產業強調服務的穩定，到跨入金融科技領域，面對瞬息萬變的消費市場，需要快速反應消費需求、上線新功能，鍾明峰如何去適應IT工作角色及心態的劇變？</p> <p>在加入全盈之前，他進入國內老牌會員點數行銷公司任職，首次從電信產業進入消費零售產業，讓他體會到行銷零售需要和消費者站在一起，清楚掌握消費需求及體驗，才能提高銷售增加營收，會員點數行銷公司需要善用消費數據、會員點數，讓消費者使用點數折抵來刺激消費。</p> <p>過去他在電信業講求穩健、完美，新服務或功能的開發要考慮相當多因素，一個簡單功能，開發到100分後才會上線，往往要3到6個月後才會上線，開發出來的新服務或功能不一定受到用戶的青睞。但是，在零售行銷產業為了在短時間內趕上稍縱即逝的市場需求，必需加快開發的步調才能適應變化，「必需因應消費市場競爭，先做到70或80分，當新的服務成功後，再將它提升至100分」，鍾明峰說。</p> <p>從電信業要求的服務穩定、緊急應變，到零售行銷產業，站在消費第一線，隨時因應市場需求加速開發，讓鍾明峰深深感受到過去10年IT工作的明顯變化，以更豐富的IT經驗挑戰金融科技領域。</p> <p><span style="font-size:28px;"><strong>將支付工具化嵌入其他業者的服務</strong></span></p> <p>相較於其他電支業者，以電子支付為中心，推出獨立支付App，串接各種消費通路，全盈在經營策略上，不以支付為中心，因此沒有推出獨立App，而是將電子支付工具化，嵌入到其他業者服務裡，例如成為超商會員App的支付選項之一，也進入社區生活管理、職場等其他場域。</p> <p>此外，過去電支業者投入大量的行銷補貼，祭出各種消費優惠、折扣來吸引消費者，快速衝高用戶數，全盈雖然也提供補貼，但相比於競爭對手，到去年12月為止，全盈投入的行銷金額僅有將近5千萬元。儘管不以大筆金額補貼消費，其用戶數仍穩定成長突破百萬，合作支付點總數超過10萬，這項成績的背後少不了IT團隊的付出。</p> <p><span style="font-size:28px;"><strong>自己重構核心支付系統掌握技術力</strong></span></p> <p>身為電支生力軍，全盈必需從無到有建立系統，剛開始在籌備時期，他們選擇由金流資服業者為其客製化的電子支付系統，這套系統原先是為第三方支付所設計，經過效能測試發現無法滿足短時間內大量交易的需求，在後續調校過程裡，發現要改動調整之處愈來愈多，加上全盈的策略需要嵌入第三方服務，還有代發、代扣、Account Link尚待開發，最後決定以這套系統為基礎，改由自家技術團隊來重構系統，針對其中的部分模組進行優化。</p> <p>「我們希望IT核心競爭力掌握在自家公司技術部門，自己掌握整個交易支付的核心，也能將Know How留下來」，鍾明峰表示，這樣也能讓工程師學習整個系統，知道每個系統的內涵，如何針對每個模組改寫，對IT團隊是一項考驗，自己重構系統，也能增加對系統管理的信心。</p> <p>全盈重構系統時，首重改善效能，在資料庫方面，原本所有運算邏輯集中於一個SQL DB處理，一項功能的處理可能要花費較多的時間，資料運算都仰賴一個資料庫處理，資料庫只要效能降低，就可能造成全國的交易都因此變慢，服務風險相當高。因此團隊重構時，逐步把集中式的資料庫，改為由不同的功能性資料庫來處理，例如負責交易處理的DB、Log管理的DB、管理帳戶會員的DB等等，將各個功能分工到不同的DB處理。</p> <p>「這麼一來，即使出現狀況就能降低風險，也能讓系統輕量化，進一步提升韌性」，鍾明峰表示，全盈重構優化的工作直到今年1月告一段落，將各個運算功能分散到不同功能性的資料庫處理，現在單位時間內可承受流量是原本的5倍以上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CIO-2P-%E6%96%87%E5%BD%AC-%E5%85%A8%E7%9B%88-600.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 24px;"><strong>全盈支付資訊科技處資訊長鍾明峰表示，透過基礎服務的平臺化，讓IT來服務IT，才能同時兼顧底層系統的穩定性，以及上層應用所需的擴充性。</strong></span></span></p> <p><span style="font-size:28px;"><strong>支付場域從線下到線上</strong></span></p> <p>電子支付為了增加支付點，業務端與零售商家談好合作後，由IT團隊負責將支付系統和商家POS系統串接，不只是線下的支付場域，目前電子支付也逐漸往線上交易發展。</p> <p>以全盈為例，除了擴大零售支付點，也透過SDK將自家的電子支付嵌入到第三方服務App，成為其他業者的金流服務工具，擴大線上支付應用。</p> <p>鍾明峰表示，透過SDK嵌入第三方業者的App中，「等於將SDK當成數位POS機」，提供App所需的交易服務，換言之，全盈的策略是，當SDK有愈來愈多樣的功能，就能賦能第三方業者，達到與合作業者雙贏的局面。不只是提供支付，因全盈是金融科技業者，甚至可進一步提供第三方業者無法做到，但金融業者能夠提供的應用，例如代發或金融串接服務。</p> <p><span style="font-size:28px;"><strong>改善電支使用體驗</strong></span></p> <p>全盈掌握技術力的結果，特別會反應到一個有意思的指標上。由於金融業受到高度監管，民眾會寫陳情信給主管機關，金融業者就會收到主管機關轉發的陳情信，全盈對陳情信的重視，鍾明峰笑稱，公司內部甚至將收到陳情信的多寡視為KPI，也就是「績效」，去年約每個月會收到一封陳情信，但今年到6月為止，僅收到2封，相當於IT的「績效」成長3倍。</p> <p>這個IT「績效」顯著提升的背後，是IT團隊努力的結果。鍾明峰舉例說明陳情案例，民眾在店家使用電子支付結帳時，可能因交易過程逾時，店員告知民眾交易失敗，但過了不久，民眾卻從手機收到銀行通知交易成功，店家因交易失敗無法順利結帳，銀行通知交易成功，民眾可能重新再操作一次交易，甚至質疑該電子支付服務出現問題或是懷疑遭駭，向主管機關陳情。</p> <p>他解釋，由於電子支付交易過程涉及店家、電子支付業者及綁定的銀行，從店家掃碼，經過電子支付到後端銀行扣款，有時可能會因為銀行內部處理交易，需經過多個系統，每個系統處理花費時間雖然不多，但最後完成處理需要花費比較多的時間，前端的店家交易系統因為逾時顯示交易失敗，但銀行最終仍會完成扣款，發送交易成功通知消費者。</p> <p>對IT來說，容易理解交易過程為何產生這樣的結果，但對消費者而言，並不是很好的使用體驗，甚至可能改用手機內的其他行動支付服務，因此，全盈IT重視負面使用體驗，他們花費相當多時間優化用戶體驗，當一方顯示交易失敗，另一方交易成功時，如何調整整個交易體驗，讓消費者感到安心。</p> <p>如果短時間內湧入大筆交易，對整個交易體驗更是一項考驗，例如全盈支付和超商合作，針對超商會員日祭出咖啡優惠價格，會員日開始的第1分鐘就吸引上千筆訂單，由於民眾的搶購心理，會員日活動剛一開始，不少訂單甚至在前10秒湧入，為內部系統複雜的銀行帶來不小的壓力，需要較長的時間處理大量交易。為避免再出現塞車的情形，全盈對整個交易過程建立監控機制，透過觀測或是從指標監控端到端的交易流量，對卡住的交易額外進行處理。</p> <p>除了優化使用體驗之外，支付產業必需和多樣化的零售通路業者合作，才能建立龐大的支付生態系，讓更多商家、場所支援電子支付，同時也吸引更多消費者願意使用，全盈發展嵌入式金融，IT同樣需要配合第三方業者的需求進行客製化，例如會員身分、串接金融服務等等。</p> <p>為了應付和多元消費通路、支付場域合作，目前全盈共有70多位員工，其中將近一半為IT技術人員，並有15個開發專案，鍾明峰坦言，扣除基礎、QA、PM等員工後，相當於1個人就負責1個專案，開發人力相當吃緊，雖然委託外部開發公司派遣人員協助開發，但未來仍希望逐步縮減專案數量，收斂在需求度更高的工作上。</p> <p>另外，目前全盈在程式設計的邏輯上，並沒有將電支的交易、帳務、行銷3個系統作好邏輯區隔，在同一個環境內，同一個程式裡系統彼此串接錯綜複雜，當配合行銷業務需要改動行銷系統，IT就需要擔心牽動其他系統，或是當新的功能上線，需要驗證帳務系統產生的會計科目正確與否。這對IT團隊造成龐大的工作負擔，因此他們接下來的目標，準備在明年下半年作好3個系統的區隔，並準備以微服務建立新的系統。</p> <p>另外，為了改善IT部門的工作效率、提升系統穩定性，他們也準備導入IT基礎服務的平臺化工程。鍾明峰表示，未來會在IT部門建立平臺工程，由一支負責平臺化團隊來服務其他開發人員，這群人維護底層的基礎平臺，例如共同的帳務、交易系統平臺化，其他開發人員可根據商業邏輯開發上面的應用。</p> <p>「透過基礎服務的平臺化，讓IT來服務IT，才能同時兼顧底層系統的穩定性，以及上層應用所需的擴充性」，鍾明峰說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>全盈支付資訊科技處資訊長鍾明峰</strong></span></p> <p>學歷：中山大學電機研究所</p> <p>經歷：2004年進入遠傳電信，任職於加值服務部門，具有加值服務技術開發、維運緊急應變經驗，2011年進入Happy Go點數行銷的鼎鼎聯合行銷資訊部，從經理、協理到資訊部長，並兼任資安官。2022年1月加入全盈支付擔任資訊長，帶領開發、維運、數據及系統等工作。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E5%85%A8%E7%9B%88-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%85%A8%E7%9B%88%E6%94%AF%E4%BB%98-300.jpg" style="width: 350px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／全盈支付</span></span></p> <p><span style="color:#3399ff;"><strong>全盈支付金融科技</strong></span></p> <p>地址：臺北市中山區中山北路二段96號5樓503室</p> <p>成立時間：2021年</p> <p>主要業務：電子支付</p> <p>員工數：72人</p> <p>年營收：1,700萬元（2022年）</p> <p>董事長：薛東都</p> <p>總經理：劉美玲</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊科技處資訊長</p> <p>資訊部門主管姓名：鍾明峰</p> <p>資訊部門人數：31人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2022年4月：全盈+PAY正式上線，支付SDK嵌入零售場景「全家便利商店」與社區場景「智生活」App</p> <p>2022年12月：支付SDK正式嵌入職場場景員工福利整合平台「STAYFUN」App</p> <p>2023年1月：智生活App內全盈+PAY「跨機構轉帳」服務正式上線</p> <p>2023年4月至7月：完成15家主要銀行帳戶串接；完成超過10萬個支付點的關鍵通路場景串接上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cio-2p-wen_bin_-quan_ying_-960.jpg" width="960" height="420" alt="" title="全盈支付資訊科技處資訊長鍾明峰。　（攝影／洪政偉）" /></div></div></div>
2023/7/28 12:00作者蘇文彬https://www.ithome.com.tw/people/157946
【iThome CIO大調查：新興技術篇】2023年整體產業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-zheng_ti_chan_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是iThome CIO大調查連續第二年，發表「企業新興技術雷達圖」。去年我們首度發表了整體產業的採用熱度雷達圖，今年更進一步，發表了6大產業各自的新興技術採用熱度雷達圖。這是第一份用來揭露臺灣大型企業對於新興科技採用熱度的技術決策參考，希望逐漸成為企業CIO們，評估新興技術時的參考，可以用來了解同一產業或整體臺灣企業對不同新興科技的採用決定。</p> <p>在今年大調查中的新興科技項目，和去年略有不同，調查總數從去年的31項，移除了2項，但增加了5項熱門和值得關注的新興技術，總數達到34項之多，並和去年一樣最後分為四大類來分析，包括「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」等四類。IT基礎架構有8項，包括了多雲混合雲架構、K8s與容器技術、AIOps（用AI優化IT維運）、5G專網、邊緣運算架構、無伺服器技術、SDDC（軟體定義資料中心）、並將新興維運浪潮SRE（網站可靠性工程）也納入IT基礎架構的項目中。AP架構與開發包括了中臺架構設計、微服務架構、Open API架構、DevOps、敏捷開發、DevSecOps、LowCode/NoCode開發、GitOps，並且納入了以改善開發者體驗（DX）和發展內部開發者平臺的平臺工程（Platform Engineering ），並將去年的CI/CD項目併入了DevOps，不再單獨列出。這一類共有9項。</p> <p>Data與AI類和去年的項目相比，今年有比較大的變化，除了延續去年的AI/ML應用、RPA流程自動化、行動AI應用、MLOps（ML流程自動化）、資料湖、AIoT、數據網格（Data Mesh），特別新增加了爆紅的ChatGPT/GPT類LLM、負責任AI、小資料（Small Data）和臺灣電商、零售開始重視的顧客數據平臺（CDP），不過，也將BigData大數據移除，不在列入新興科技的追蹤項目。Data與AI類今年有11項。</p> <p>無法歸類到上述三類的都是納入最後一類新興科技類別，包括了持續火熱的碳足跡儀表板、SBOM（軟體物料清單）、FIDO（網路身分識別）、混沌工程、今年回溫的區塊鏈和熱度下滑的AR/VR（元宇宙）共有6項。</p> <p>今年的新興技術雷達圖，延續了去年的作法，同樣參考了業界知名企業IT顧問公司Thoughtworks的技術雷達圖設計形式來設計。不過，Thoughtworks的做法是，找來一群技術專家評審多項技術，來決定這項技術的推薦推薦等級，而我們的作法則是，改讓數據說話，同樣在今年CIO大調查中，由IT主管自填，2022年已經採用和2023年想要採用的技術，再依據每一項新興技術的企業採用率高低和技術採用率排名變化，來設計這份雷達圖，並每一項技術歸類到四個等級，爆紅、退燒、主流和崛起，來供企業參考。</p> <p>如何將34項新興技術分類到這四類？今年同樣延續了去年的作法，最核心的「爆紅技術層」是指，連續2年，該年的新興技術排名暴增超過5名（以今年為例，就是2022年的排名超越5項技術，2023年的排名也超越了5項技術，如果去年超越5項，而今年只超越了4項，那就不會列入爆紅層）的新興技術，位於雷達圖中的最內層。反之，連續2年，每年都是排名掉了5名的技術，就會列入「退燒技術層」的技術。今年有許多新興技術，出現了反轉現象，例如去年落入退燒技術的區塊鏈，今年反而又開始熱了起來，但是採用率還不夠多，因此，改分類到「崛起技術圈」。</p> <p>除了最內圈的「爆紅技術層」和最外圈的「退燒技術層」，中間的「主流技術層」和「崛起技術層」如何區分？會以新興科技整體採用率平均值約24%，因此，今年的「主流技術層」和「崛起技術層」的分界線標準是12%，今年預估採用率超過了12%的新興技術就會列入主流技術層，而低於12%則列為崛起技術層。在新興科技雷達圖中，每項技術只會出現一次，除了已經列入爆紅和退燒之外，其餘則按照主流分界線標準12％，來區分。不過，去年的分界線標準是15%，今年整體平均採用率略低於去年，降低的原因，來自今年新增了多項更多項臺灣企業還在發展中的新興科技，例如平臺工程、負責任AI、小資料等。</p> <p>未來我們還會針對熱門技術趨勢，另外以調查專題形式，揭露ChatGTP、雲原生、DevOps等熱門技術浪潮的臺灣企業趨勢。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E6%95%B4%E9%AB%94%E7%94%A2%E6%A5%AD-600-%E5%8E%9F%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E6%95%B4%E9%AB%94%E7%94%A2%E6%A5%AD-600-%E5%B0%8F%E5%9C%96-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color:#696969;">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#FFA07A;"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> </div></div></div>
2023/7/28 12:12作者王宏仁https://www.ithome.com.tw/article/157975
LLM模型調校積百少成多的成本課題？捷豹路虎怎解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>捷豹路虎在今年初一場活動中，公開了擁抱生成式AI的經驗，展示如何只訓練一套內部用的客製化LLM模型，來通吃不同任務的做法，以節省日後大量微調小任務專屬模型訓練的後續費用。</p> <p>他們有一個服務車主的車用系統Pivi Pro，可提供對談式的互動介面，來查詢車主休旅車的各項操作設定，例如車主會問：「假日要到阿爾貝斯山健行，想到達山上小木屋，但路面都是很深的軟雪，要怎麼設定休旅車的駕駛模式。」不過，真正的挑戰是，就這樣一句話，車主會有百百種講法。</p> <p>捷豹路虎提供的車主手冊，內有非常詳細的操控文件，也都可以透過這個車上App來查詢，但是，車主得問對問題，用對關鍵字，才能搜尋得到。捷豹路虎不希望提供查詢的對話服務亂講與開車無關的空話，只能提供車主參考文件範圍的內容。</p> <p>所以，捷豹路虎將大量文件變成嵌入向量，連車主查詢文字也轉換成嵌入向量，來進行相似度比對，再提估最接近的內容給車主。他們先用BERT模型來做，效果還不錯，蒐集一些技術文件，車主資料，顧客意見調查的資料等，訓練出一款自己的模型稱為CarBERT。但還不夠好，因為當時他們所用的BERT參數量只有3.4億個參數，他們想要用1,750億參數的GPT 3來試看看。</p> <p>但是，這兩者的參數量差了500倍，他們評估，自己不可能重頭訓練出一套自己的NLP模型。而且這個作法還有一個課題，今天是車主文件的微調，如果是另一個主題的內容，或是另一種任務就得再微調一份新的模型。因為微調後的LLM模型，是客製化的專屬模型，無法用於其他用途，換句話說，微調後的客製化LLM模型，沒有通用性。</p> <p>捷豹路虎的擔心是，日後若想要將SaaS形式ChatGPT類技術服務，客製運用到不同的任務用途，每一次，只要需求、任務有些微不同，就需要一筆少少的微調費用，看似不多，但積數百個「少」會變成真的「多」，這個不可預估總成本的不確定感，讓他們轉而思考，能不能從Prompt提示問題下手。後來，他們嘗試了另一種提示工程的優化做法，不是微調語言模型，而是靠「微調提示文字（Prompts）」，來提高準確度和限定回答領域</p> <p>例如，車況設定有4種，a,b,c,d，a用於沙地，b用於雨天，c用於軟雪，d用於結冰，現在車主想問深軟雪的設定，若可以將整套車主文件都輸入，作為提示文字，再來比對車主的問題就可以比較準確的比對出更合適的車主文件內容。<br /> 可是，當時捷豹路虎遇到的技術困難是，提示文字的上限是4千個Token，大概3千多個中文字，放不下那麼多字的車主文件內容，怎麼解？</p> <p>捷豹路虎用了Nvidia的大型語言模型框架Nemo，提供的13億參數GPT3預訓練模型，但是這次他們用了P-Tuning作法，輸入的是一個「提示向量」，而不只是提示文字。<br /> 因為提示文字實際放到模型中來進行推論時，還是得先轉換成一個嵌入向量矩陣來進行推論計算。</p> <p>捷豹路虎所用的P-TUNING作法就是，直接將想要輸入的提示文字，先來訓練出一個輸入用的提示向量矩陣，這個方法也是業界會用的作法，稱為Ｐ-Tuning調校。換句話說，不是微調模型，而是透過優化提示向量的做法，來提高準確度。模型微調和Ｐ-Tuning調校，兩者也可以搭配使用。</p> <p>使用Ｐ-Tuning調校最大的好處是，捷豹路虎認為，可以先用大量企業內部資料，微調出一個內部客製化的GPT，然後再針對不同的小任務，改用提示向量優化作法P-tuning，微調輸入的提示向量來達到一套小任務的客製化模型，來實現，一套內部模型，通吃不同任務的做法，來省下日後大量微調小任務專屬模型訓練的費用。</p> <p> </p> </div></div></div>
2023/7/28 11:00作者王宏仁https://www.ithome.com.tw/news/157976
【廠商永續支援度盤點：IBM】最新一代z16大型主機產開始揭露生產的碳足跡資訊，還能透過碳排放資料平臺進行碳核算並自動…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，不少伺服器廠商都開始強化自身IT產品碳足跡透明度，甚至將其生產過程的產品碳足跡資訊列為必備的項目，IBM也是其中一家，早在2年前就開始揭露產品碳足跡資訊，一方面，要讓企業用戶可以更容易評估該產品生命周期的碳排放量對於企業的影響，來擬定減碳策略；另一方面，也因應歐盟CBAM碳關稅政策，未來對於企業出口到歐盟的高碳排商品可能實施碳稅要求。</p> <p>不只針對旗下新一代LinuxONE 4單機櫃伺服器、或FlashSystem儲存陣列等產品提供了碳足跡資訊，IBM在2022年推出的新一代大型主機z16也開始揭露其產品的碳足跡資訊，涵蓋了該產品生產製造、用戶使用、回收廢棄等過程中所預估的碳排放當量。</p> <p>臺灣目前不少金融業者採用其大型主機作為其核心系統，未來更加需要掌握這些大型主機產品碳足跡資訊。尤其，對金融業而言，比起較難以掌握範疇<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">3</span>碳排放資訊（以投融資組合為主），不少金融業者選擇先從範疇<span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">2</span>間接能源的碳盤查和減量著手，其中IT機房也是高碳排來源之一，特別是大型主機每天需要應付頻繁且大量的金融交易處理，因此具有較高的能耗與更高的利用率，也帶來相對高的碳排放量，成為了主要減碳的重點。</p> <p>除了提供生產過程的產品碳足跡資訊，IBM去年推出了一個碳排放資料平臺Envizi，能用來蒐集和監控用戶使用大型主機產生的碳排放量。Envizi是IBM於2022年所收購的一家ESG數據和分析公司，並在併購後推出了同名產品。除了應用IBM大型主機外，Envizi也能用於計算和<wbr></wbr>管理自家伺服器、儲存等產品使用的碳排放數據，且不僅限於<wbr></wbr>IBM產品，其他第三方的IT或OT設備也可以使用。</p> <p> </p> <p><strong><span style="font-size: 28px;">內建碳排放計算引擎，能根據碳排係數進行碳核算，並能自動產出相關報表</span></strong></p> <p>為了準確計算其碳排放量，達到金融業的合規核算需求，Envizi平臺內建了一個碳排放計算引擎，可以根據使用者所在的電力公司或電力市場基準的碳排係數進行計算，將這些大型主機的電力消耗轉為二氧化碳當量，統一計算出其碳排放量。</p> <p>使用者匯入相關排放源數據到平臺中計算時，不僅可以使用電子表格、看板、網頁等形式手動匯入數據，還支援了電子郵件或FTP等自動化數據匯入方式，或是直接透過介接電錶API方式取得用電數據。</p> <p>在這套碳排放資料平臺中，不只提供碳核算功能，還內建有排放儀表板功能，IT維運人員或管理者可以透過儀表板察看使用大型主機在內的IBM產品的碳排放情況，同時也能根據不同年、月的排放量趨勢變化或分布情況進行比較和分析，還可以按照地理位置畫分，或依據不同核心業務功能來呈現這些資訊，來協助管理者擬定減碳方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(52).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">在這套碳排放資料平臺中，不只提供碳核算功能，還內建有排放儀表板功能，讓企業可以察看其使用大型主機在內的IBM產品的整體碳排放情況，還能根據不同年、月的排放量的變化進行比較和分析。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_IBM</span></p> <p><strong><span style="font-size:28px;">可即時察看單臺大型主機每日的碳排變化情形，但需要搭配另一套應用資源管理平臺</span></strong></p> <p>Envizi平臺進一步能與IBM的機房應用資源管理平臺Turbonomic結合，來取得每臺大型主機更詳細的電力使用數據，並在Turbonomic平臺上呈現計算後的碳排放結果。</p> <p>台灣IBM科技事業部永續軟體資深技術顧問林裕隆指出，Envizi平臺雖然可蒐集和監控整體IB<wbr></wbr>M IT設備的碳排數據，不過，若用戶想要即時察看每臺大型主機在不同時段的碳排變化情形，則需要搭配Turbonomic監控平臺，才能夠取得個別IT設備更即時且詳細的碳排資訊，例如能呈現每日離峰或尖峰時段的碳排分布趨勢等。</p> <p>此外，Envizi結合Turbonomic後，使用者還能進一步考慮到每個實體（如 VM 或容器）對於設備本身碳排的影響，進而優化能源使用，降低其碳排。</p> <p>這套碳排放數據平臺還支援多種報告工具。舉例來說，企業可以透過其內建的PowerReport功能，自動產生圖形報表，並能將這些數據匯出，結合其他相關的碳盤資訊做分析和運用，另外也支援了視覺化儀表板和自訂Excel報告製作方式。</p> <p>Envizi還提供了更自動化匯出方式，推出網頁API，讓企業可以將這些碳排資料數據彙整到自己的碳資訊整合平臺中，建立相關碳盤查報告，且支援第三方的平臺，如Power BI、Tableau數據分析平臺等。</p> <p>除了提供範疇2的碳數據核算和報告，Envizi同樣能應用於範疇1和範疇3。林裕隆表示，該平臺目前可管理500多種數據類型和40,000個排放係數，來確保計算出碳排放結果的合規性和正確性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(64).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">從Envizi平臺架構來看，分為三大類9大模組，整合了排放管理、ESG報告和脫碳分析的功能，其中在排放管理方面，提供包含範疇1 、2 、3的溫室氣體核算與報告，並支援目標設定和追蹤功能。在ESG報告方面，Envizi則提供多個主要的ESG報告框架，並支援建築評級基準及價值鏈調查和評估。在脫碳分析方面，則提供水電費等公用事業帳單分析、區間儀表分析及永續發展計畫的追蹤功能。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_IBM</span></p> <p>在這套碳數據平臺中，還提供多個不同功能儀表板，其中包含了費率分析儀表板和性能分析儀表板。費率分析儀表板可以用來追蹤消耗的碳排放情況，並評估脫碳目標達成進度，而性能分析儀表板則可以將碳排放數據和營業績效、目標及預算進行比較，讓管理者可以更清楚地了解碳排放對營業績效的影響。</p> <p>Envizi除了提供碳排管理之外，還有ESG報告和脫碳分析兩大功能，其中在ESG報告方面，可以支援如GRI、SASB、CDP等常見的ESG報告框架，方便企業根據所需框架來進行ESG報告製作，還推出永續發展報告管理器工具，可進一步協助使用者管理ESG資訊揭露的相關問題、工作流程等。另外，在脫碳分析上，則能透過分析間隔儀表、水電費等公用事業帳單，來優化或提升用電效率，進而降低碳排。</p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/7/28 11:12作者余至浩https://www.ithome.com.tw/news/157851
【資安日報】7月27日，有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前駭客嘗試將當紅的大型語言機器學習模型（LLM）ChatGPT用於網路犯罪，但後來開始有人製作專門用於攻擊的LLM，例如<a href="https://www.ithome.com.tw/news/157828#wormgpt">研究人員於7月中旬揭露的WormGPT</a>，而最近又有新的AI工具FraudGPT出現，值得留意的是，駭客標榜此工具不光能產生釣魚郵件的內容，還能製作多種類型作案工具，運用在不同型態的網路攻擊。</p> <p>隨著企業對於資安防護意識與認知的提升，越來越多受害組織不願付錢了事，對此，駭客也祭出過往未曾出現的施壓手法。例如，勒索軟體BlackCat（Alphv）就打算提供網站的API、爬蟲工具，促使有意購買資料的買家更輕鬆找到所需的檔案，並以此對受害組織施加更大壓力，迫使他們支付贖金。</p> <p>勒索軟體的威脅「不講武德」，再度出現同時針對相同目標下手的狀況！山葉音樂（Yamaha Music）加拿大分公司遭到網路攻擊，研究人員發現有兩組駭客Black Byte、Akira聲稱對其發動攻擊，先前也有類似的案例──<a href="https://www.ithome.com.tw/news/157880#esteelauder">勒索軟體駭客BlackCat、Clop皆表明對化妝品業者雅詩蘭黛下手</a>。</p> <p>, </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://netenrich.com/blog/fraudgpt-the-villain-avatar-of-chatgpt"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客製作AI網路犯罪工具FraudGPT，號稱不只能製作釣魚郵件，還能用於打造破解工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fraud-bot-dark-web.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fraud-bot-dark-web.png" style="width: 300px; float: right;" /></a>資安業者Netenrich揭露名為FraudGPT生成式AI網路犯罪工具，賣家CanadianKingpin在暗網論壇上以每個月200美元的價碼兜售，並標榜能夠用來產生惡意程式碼、打造無法被防毒軟體偵測的惡意程式、創造釣魚網頁、製作駭客工具、製作詐騙信件（或網頁）、找尋漏洞、可用於盜刷的網站（Cardable site）等，號稱已有超過3千個買家採用或是留下評價。</p> <p>比較特別的是，駭客不只設置Telegram頻道來經營FraudGPT的銷售業務，並表示已通過Empire、WHM、Torrez、Wolrd、Alphabay、Verssu等地下市集的驗證。研究人員指出，雖然賣家甫於22日開始兜售這個AI機器人工具，但其後續可能帶來的資安威脅值得觀察。</p> <p><a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-adds-data-leak-api-in-new-extortion-strategy/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為了向受害組織施加更多壓力，勒索軟體BlackCat為資料外洩網站加入API、Python爬蟲</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F1zrqXSXgAE8y9o.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F1zrqXSXgAE8y9o.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，有數名研究人員在勒索軟體駭客組織BlackCat（Alphv）公布受害者的網站上，發現新增了說明網頁，內容是關於如何透過API即時接收受害者資料的最新動態。</p> <p>資安研究團隊VX-Underground認為，此API似乎在數個月前就已上架，但並未對外開放。，研究人員還發現駭客提供以Python打造的爬蟲，可供他人找出該組織網站特定的外洩資料。</p> <p>而對於駭客提供上述工具的原因，該新聞網站認為，很有可能是願意支付贖金的受害組織越來越少，導致這些駭客決定提供更多資料洩露工具，進而對受害組織增加更大的壓力，以脅迫他們付錢。</p> <p><a href="https://therecord.media/yamaha-confirms-cyberattack-after-multiple-ransomware-gangs-claim"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大山葉傳出遭勒索軟體Black Byte、Akira攻擊</span></strong></a></p> <p>7月20日山葉音樂（Yamaha Music）加拿大分公司證實遭到網路攻擊，導致內部環境遭到未經授權存取，面臨資料外洩的情況，該公司也正在通知受影響的人士。</p> <p>而對於攻擊者的身分，研究人員Dominic Alvieri指出，勒索軟體Black Byte、Akira先後在6月14日、7月21日，都將山葉列入受害組織名單。但這並非不同的勒索駭客組織表明攻擊相同企業的首例，知名化妝品業者雅詩蘭黛就是上週發生這類「群毆」事故，他們遭到Clop及BlackCat兩個勒索軟體駭客攻擊，Dominic Alvieri表示，他曾看到有3組駭客聲稱對同樣的組織發動攻擊。</p> <p><a href="https://www.hackread.com/siegedsec-hacktivist-hack-nato-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織SiegedSec鎖定北約組織而來，外洩入口網站數百份文件</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/siegedsec-hack-nato-data-leak.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/siegedsec-hack-nato-data-leak.jpg" style="width: 300px; float: right;" /></a>資安業者Cyberint指出，駭客組織SiegedSec於Telegram頻道聲稱，他們針對北約組織（NATO）的入口網站COI發動網路攻擊，隨後洩露數百份與北約國家和合作夥伴有關的敏感文件，這些資料包含完整姓名、電子郵件信箱、電話號碼、辦公室地址，以及逾70個北約組織官員的職級。</p> <p>而對於犯案的動機，駭客聲稱是因為北約組織做了侵害人權的行為，而決定報復北約國家。</p> <p><a href="https://www.mandiant.com/resources/blog/north-korea-supply-chain"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現JumpCloud資安事故新證據，指出駭客與北韓軍情單位有關</span></strong></a></p> <p>IT服務業者JumpCloud於7月證實遭到網路攻擊，現在研究人員找到新的證據。資安業者Mandiant指出，這起事故幕後指使者是名為UNC4899的北韓駭客組織，原因是這些駭客一度在利用VPN服務隱匿攻擊行動的過程裡，不慎出現了違反操作安全（OpSec）的錯誤，而曝露了攻擊來源——出現來自平壤的IP位址。</p> <p>研究人員最早在6月27日，看到JumpCloud用戶的代理程式執行惡意Ruby指令碼，此指令碼主要功能是下載並執行第二階段攻擊的惡意酬載，攻擊者取得初始存取權限的24小時之內，便部署後門程式，然後利用macOS內建的應用程式plist，維持在受害電腦運作。駭客運用名為Fullhouse.doored、Stratofear、Tiedye後門程式來進行後續的攻擊行動。</p> <p>而對於這些駭客的來歷，研究人員指出，UNC4899隸屬於北韓人民軍總參謀偵察總部（RGB），專門攻擊加密貨幣相關產業，很可能與另一個北韓駭客組織TraderTraitor有所關連。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ubuntu存在權限提升漏洞，約4成用戶受到波及</span></strong></a></p> <p>資安業者Wiz針對Ubuntu用戶提出警告，他們發現該作業系統的OverlayFS檔案系統模組出現權限提升漏洞CVE-2023-2640，以及可被用於執行任意程式碼的漏洞CVE-2023-32629，CVSS風險評分介於5.4至7.8。</p> <p>研究人員指出，這些漏洞發生的原因，在於Canonical曾在2018年修改該作業系統搭配的OverlayFS元件，到了2019年、2022年，Linux基金會對於OverlayFS官方版本做出更動，而Canonical後續在導入新程式碼的過程，發生與2018年對OverlayFS更動的程式碼造成衝突的狀況。因此，上述OverlayFS漏洞皆為Ubuntu獨有，估計4成使用者可能受影響。</p> <p>由於目前已經出現利用這些漏洞的攻擊手法，用戶若不盡快完成修補，將淪為駭客下手目標。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.sec.gov/news/press-release/2023-139"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證交所要求上市公司4天內揭露重大網路攻擊事件</span></strong></a></p> <p>7月26日美國證券交易委員會（SEC）通過新的規定，要求上市公司若是遭遇重大資安事件，必須在4個工作天之內透過8-K文件揭露，當中應詳細說明事件發生的時間、性質、規模，以及對公司的影響。不過，若是揭露資安事故可能對美國國家安全或公共安全帶來重大風險，企業可申請延後揭露。這項規定將在聯邦公報發布後的30天正式生效。</p> <p>目前該規定尚有爭議，例如：如何認定重大資安事件？而過早揭露資安事故，也有可能對公司或外界帶來更嚴重的危害。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.metabaseq.com/fenix-botnet/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路Fenix鎖定拉丁美洲使用者而來</span></span></strong></a></p> <p><a href="http://news.sophos.com/en-us/2023/07/26/into-the-tank-with-nitrogen/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用惡意軟體Nitrogen發動勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://blog.sygnia.co/breaking-down-casbaneiro-infection-chain-part2"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">金融木馬Casbaneiro繞過使用者帳號控制機制發動攻擊</span></span></strong></a></p> <p><a href="https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源軟體供應鏈攻擊針對銀行產業而來</span></span></strong></a></p> <p><a href="https://flare.io/learn/resources/stealer-logs-and-corporate-access/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體盜走逾40萬家公司的雲端服務帳密</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a></strong></p> </div></div></div>
2023/7/27 17:16作者周峻佑https://www.ithome.com.tw/news/157972
提供160萬IOPS與30TB，美光推高效能大容量SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_9400_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月起，多款TLC與QLC固態硬碟產品陸續上市，像是美光的<a href="https://www.ithome.com.tw/review/157275">XTR</a>、<a href="https://www.ithome.com.tw/review/157282">6500 ION</a>，以及Solidigm的<a href="https://www.ithome.com.tw/review/157477">D5-P5430</a>、<a href="https://www.ithome.com.tw/review/157892">D5-P5336</a>，然而在1月其實也有一款TLC固態硬碟產品悄悄推出，那就是最高階的Micron 9400。</p> <p>相較於前代產品<a href="https://www.ithome.com.tw/review/134506">Micron 9300</a>，美光這款在今年初推出的新產品，主要的賣點就是最大儲存容量提高1倍，來到30.72 TB，若在1臺2U尺寸、可安裝24臺2.5吋U.2固態硬碟的伺服器，全部使用Micron 9400，總共可提供737 TB的固態儲存空間。當儲存容量加大1倍，也意味著企業建置伺服器時，面對相同的資料儲存空間需求時，只需一半數量的伺服器即可。</p> <p>而在存取效能的規格上，Micron 9400在4K資料隨機讀取作業與能源使用效率方面，領先前代產品的幅度同樣相當顯著。舉例來說，Micron 9300為85萬IOPS，功耗為16瓦，每瓦效能為53,125 IOPS，Micron 9400為160萬IOPS，功耗為17瓦，每瓦效能為94,117 IOPS，因此，循序讀取效能提升88%，每瓦效能進步77％，美光為此特別自詡，強調這款產品替PCIe儲存立下新標竿。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 SSD Key Specifications-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20SSD%20Key%20Specifications-1.jpg" style="width: 600px;" /></a></p> <p>為了突顯這款產品面對混合工作負載時，同樣具有相當優異的表現，美光也在新聞稿提到不同情境下的效能領先差距。舉例來說，若是讀取70％、寫入30％的隨機工作負載，能達到94萬IOPS，超越競爭產品的幅度達69％；若是讀取90％、寫入10％的隨機工作負載，能達到100萬IOPS，超越競爭產品的幅度可達71％。</p> <p>關於存取延遲的規格，Micron 9400也有改善，其讀寫延遲分別為69微秒與10微秒，相較之下，前代產品Micron 9300的讀寫延遲分別為86微秒與11微秒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 security-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20security-2023.jpg" style="width: 600px;" /></a></p> <p>在不同使用情境下，Micron 9400的效能表現如何？美光公布4組測試結果，涵蓋資料庫、AI儲存，以及雲端服務等場景。首先是用於鍵值資料庫RocksDB，此系統通常用於垃圾郵件偵測或儲存觀看記錄等領域，對於延遲與使用者互動相當敏感，結果Micron 9400的效能超越競爭產品的比例是23％，而對於工作負載的反應能力高出34％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20RocksDB-1.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 RocksDB-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20RocksDB-2.png" style="width: 600px;" /></a></p> <p>第二是在已針對快閃儲存最佳化的NoSQL資料庫Aerospike測試，此系統用於詐騙偵測、推薦引擎、即時支付處理、股票交易等網站系統，耗費時間的長短會嚴重影響用戶體驗，結果Micron 9400的尖峰效能達到競爭產品的2.1倍，而且能維持工作負載反應力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 Aerospike.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20Aerospike.png" style="width: 600px;" /></a></p> <p>第三是用於GPU記憶體直通儲存系統的存取，也就是Nvidia發展的Magnum IO GPUDirect Storage（GDS），搭配Micron 9400的系統在面對運算密集型工作時，比起搭配其他競爭固態硬碟產品的系統，可以獲得25％的效能領先幅度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20GDS.png" style="width: 600px;" /></p> <p>第四則是用於同時承載多個租戶的雲端服務架構，且部分租戶需以更大粒度進行傳輸／寫入大量資料（Noisy Neighbors），搭配Micron 9400之後，整體效能（吞吐量）可達到搭配其他固態硬碟產品環境的兩倍，反應時間可縮短62％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9400 Noisy Neighbors-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20Noisy%20Neighbors-1.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Micron 9400 Noisy Neighbors-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209400%20Noisy%20Neighbors-2.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Micron 9400<br /> ●原廠：Micron<br /> ●建議售價：廠商未提供<br /> ●儲存容量：9400 Pro提供7.68 TB、15.36 TB、30.72 TB，9400 Max提供6.40 TB、12.80 TB、25.60 TB<br /> ●外形：2.5吋U.2 / U.3<br /> ●儲存媒體：3D NAND，TLC，176層<br /> ●最高讀寫速度：循序7,000 MB/s與7,000 MB/s，隨機160萬IOPS與60萬IOPS<br /> ●使用介面：PCIe 4.0 x4<br /> ●耐用度：每日寫入量9400 Pro為1，9400 Max為3<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/27 16:47作者李宗翰https://www.ithome.com.tw/review/157964
電子地圖基金會Overture Maps發表首個開放資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年底<a href="https://www.ithome.com.tw/news/154753" target="_blank">由微軟、AWS、Meta、及荷蘭電子地圖公司Tomtom等4家業者共同創立</a>，以推動電子地圖資料共享的Overture地圖基金會（Overture Maps Foundation，OMF），<a href="https://overturemaps.org/overture-maps-foundation-releases-first-world-wide-open-map-dataset/" target="_blank">在本周三（7/26）發表了首個開放地圖資料集</a>，此一資料集由4個資料層組成，可望成為導航、在地搜尋及許多位置應用程式的基礎，<a href="https://overturemaps.org/download/" target="_blank">並已開放下載</a>。</p> <p>在成立半年多以來，該基金會已吸引了其它業者加入，包括ESRI、Cyient、InfraMappa、Nomoko、Precisely、PTV Group、SafeGraph、Sanborn及Sparkgeo，它們都同意讓地圖資料成為共享資產以支持未來的應用。Overture指出，有鑑於地圖對準確性、最新與歸因性的要求日益提升，收集與維護全球地圖資料的成本已經超越了任何單一組織的能力。</p> <p>本周發布的首個開放地圖資料集版本為Overture 2023-07-26-alpha.0，它的4個資料層分別是興趣點（Places of Interest，POI）、建築物、交通網路與行政邊界，涵蓋了全球逾5,900萬個POI，7.8億個建築物，從OpenStreetMap專案衍生的全球道路網路，以及採用當地名稱並支援逾40種語言的行政邊界。</p> <p>該基金會的執行董事Marc Prioleau指出，這是他們替不斷變化的世界，建立一個全面性市場等級開放地圖資料集的第一步，特別是之前未曾開放的POI資料集，將可用來繪製座落於全球各地，從大型商業到街頭市集的詳細地圖。</p> <p>此外，Prioleau也提醒，任何從事測繪的人都知道，初步的資料集只是個開端，未來的挑戰是在環境不斷的變化下還能維護資料來滿足使用者的期望，OMF的計畫是打造一個廣泛的合作體系，以建立及維護最新也最完整的POI資料。</p> <p><a href="https://docs.overturemaps.org/" target="_blank">所有的資料層皆已依照OMF近日發表的資料綱要格式化</a>，以讓地圖服務的開發者得以透過標準方式來注入或使用地圖資料。</p> </div></div></div>
2023/7/27 15:55作者陳曉莉https://www.ithome.com.tw/news/157970
確保負責任的AI模型開發，OpenAI、微軟及Google等業者成立前沿模型論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI、微軟、Google及Anthropic在周三（7/26）<a href="https://openai.com/blog/frontier-model-forum" target="_blank">共同宣布成立前沿模型論壇（Frontier Model Forum）</a>，這是一個新的產業組織，將聚焦於確保安全及負責任地開發前沿的AI模型。</p> <p>該組織有四大核心目標，分別是促進人工智慧安全研究；負責任地開發及部署前沿模型，以協助大眾理解其性質、能力、限制與影響；與學術界、政策制定者、社會及企業協作，分享有關信任與風險的知識；以及支持可解決社會重大挑戰的應用開發等。</p> <p>未來幾年前沿模型論壇將致力於辨識最佳實作，推動AI的安全研究，並打造一個解決方案的公共資料庫，以提供該產業的最佳實作與標準。</p> <p>由於這是個剛成立的組織，預計幾個月後才會設立顧問委員會，同時歡迎其它正在開發前沿AI模型，並承諾模型安全的組織加入。</p> <p>在上述4個創辦組織中，外界較為陌生的Anthropic是在兩年前由幾名OpenAI成員所成立的，該公司是個營利的公益組織，主要開發通用型AI系統及語言模型。此外，<a href="https://www.ithome.com.tw/news/157911" target="_blank">它們也是日前向白宮承諾要協助AI安全的7大業者中的4家</a>，另外的3家，包括Amazon、Meta與Inflection並未或尚未加入前沿模型論壇。</p> </div></div></div>
2023/7/27 14:46作者陳曉莉https://www.ithome.com.tw/news/157968
美國SEC新規定：上市公司要在4天內披露重大資安事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-139" target="_blank">美國證券交易委員會（Securities and Exchange Commission，SEC）周三（7/26）通過了新規定</a>，要求上市公司要在4個工作天內披露它們所面臨的任何重大資安事件，並將在《聯邦公報》（Federal Register）刊登的30天後生效。</p> <p>SEC主席Gary Gensler表示，不管是因為火災失去工廠，或是因為資安意外失去數百萬個檔案，對投資人來說都是重要的資訊，目前已有許多上市公司向投資人揭露資安意外，但相關的揭露若能更一致，投資人亦將因此而受益。</p> <p>因此，新的規定要求上市公司要在重大資安事件發生的4個工作天之內，透過 8-K 文件揭露，並應詳細說明事件的時間、性質與規模，以及對該公司的影響。8-K為美國上市公司用來提供各種重大事件予投資人的文件，如簽署或撤銷重要合約、更換高階主管、控制權的變更或股東權益的更動等。</p> <p>不過，若披露的時間點可能對美國國家安全或公共安全帶來重大風險，則可申請延後披露。</p> <p>目前該規定仍有部分爭議，包括如何判斷是否為重大資安事件，以及過早披露或許會對公司或外界帶來更嚴重的危害等。</p> </div></div></div>
2023/7/27 13:53作者陳曉莉https://www.ithome.com.tw/news/157967
Meta財報出爐，Reality Labs虧損擴大，員工人數減少14%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2023/Meta-Reports-Second-Quarter-2023-Results/default.aspx" target="_blank">Meta周三（7/26）公布今年第二季財報</a>，該季Meta創下320億美元的營收，比去年同期成長11%，即使該季專門開發混合實境技術與產品的Reality Labs部門持續虧損，且虧損金額從去年同期的28億美元擴大到37億美元，但由於程式家族（Family of Apps）的用戶持續增加，員工人數減少了14%，再加上財報表現優於分析師預期，而使得當天Meta盤後上漲了6.87%，股價達319.15美元。</p> <p>在320億美元的營收中，有317億美元來自Facebook、Instagram、Messenger與WhatsApp等程式家族，成長11.8%，另有2.76億美元來自Reality Labs，下滑了38.9%。程式家族的營業利潤為131億美元，高於去年的112億美元，而Reality Labs則虧損了37億美元，高於去年的28億美元。</p> <p>Meta的程式家族用戶數仍持續成長中，在第二季的每月用戶數為38.8億人，比去年同期增加了6%。若單獨觀察Facebook的每月用戶數，則是30.3億人，亦增加了3%。</p> <p>此外，Meta自2022年便展開了裁員計畫，進行數波的裁員，該計畫到今年第二季已告一段落，目前Meta的全球員工總數為71,469人，比去年同期減少了14%。不過，Meta也預期Reality Labs在今年至明年的虧損將會持續擴大。</p> </div></div></div>
2023/7/27 12:17作者陳曉莉https://www.ithome.com.tw/news/157965
Google Play Store將調降不適用大螢幕App的排序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2023/07/introducing-new-play-store-for-large-screens.html" target="_blank">Google宣布</a>，未來不適合平板等大螢幕裝置顯示，或是執行不順的Android App，將被調降在Play Store的搜尋排序。</p> <p>Google是在最新Play Store變更的宣布中說明此事。Google表示，為了推廣適合大型螢幕的高品質App，新政策下，符合大螢幕應用品質指引的App及遊戲程式，將在這項類別的主頁搜尋中獲得較高的排序。這類應用程式能讓用戶更容易調整大小，不會在播放影片或畫面時上下留一大片黑邊，而且支援直式或橫式播放。新的調整能加速使用者搜尋，而未來編輯精選或重點介紹也會加入本條件，使這類App或遊戲更容易曝光。</p> <p>這是Google對App實施的最新品質要求。<a href="https://android-developers.googleblog.com/2022/10/raising-bar-on-technical-quality-on-google-play.html" target="_blank">去年11月Google宣布</a>針對App開發商必須確保在不同尺寸手機螢幕上執行的品質，一旦用戶報告應用程式執行當掉，以及無回應（App Not Responding，ANR）率超過8%的App，就會被調降在該機種用戶搜尋的排序。Google Play Store也會在該款App說明頁以紅字顯示App可能會在用戶裝置上暫停執行的警告，以「設定用戶使用經驗的期望」。</p> <p>最新宣布則是將原有規定推向大螢幕裝置，包括平板，同樣影響當掉及ANR率超過8%的App及遊戲程式。Google說，新規定將在8月底開始實施，開發商可以利用Play管理介面或API持續監控App的穩定性量測值。</p> <p>最後，為了讓用戶更容易了解App執行的樣態，Google Play Store也會使用新的預覽格式，顯示執行在特定form factor上的擷圖、影片和描述，幫助用戶決定是否安裝。Google說，符合其內容品質指引的大螢幕App更具有優勢，能在Play Store主頁上占用更大空間。</p> <p>此外，為了更方便用戶在大螢幕上使用Play Store，Google也為軟體程式商店小幅改版、增加新功能，像是多欄呈現App介紹的版型、將功能選單移到左手邊、以及分割螢幕搜尋以便能比較2個App，減少來回拉動的麻煩。</p> </div></div></div>
2023/7/27 12:28作者林妍溱https://www.ithome.com.tw/news/157966
山葉音樂加拿大遭勒索軟體攻擊，又有2個組織宣稱犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以生產鋼琴知名的山葉音樂（Yamaha Music）加拿大分公司遭到勒索軟體攻擊，導致特定資料被竊，而且又有2個駭客組織「認領」。</p> <p><a href="https://ca.yamaha.com/en/news_events/2023/0720_cyber_security.html" target="_blank">山葉音樂加拿大本周公告</a>近日遭遇網路攻擊，致使非授權存取系統及資料竊取。他們在發現此事時立即制止了攻擊，並和外部安全廠商合作，防止重大損害及惡意程式滲透，同時強化公司網路的防禦。他們也通知了受影響人士，提供他們信用監控服務。</p> <p>山葉並未說明攻擊者存取了什麼系統或資料型態，也沒說是何種安全事件。不過<a href="https://twitter.com/AlvieriD/status/1682368282693607428" target="_blank">安全研究人員Dominic Alvieri發現</a>，勒索軟體Akira宣稱攻入山葉音樂加拿大分公司（<em>註：研究人員寫成Akita，但疑為Akira的誤植</em>）。<a href="https://twitter.com/AlvieriD/status/1669108784906510336" target="_blank">Alvieri 6月也發現</a>，山葉音樂美國，以及生產機車引擎的山葉出現在另一勒索軟體Black Byte組織的受害者清單上。</p> <p>Black Byte出現時間較早，首見於2021年9月。早期寫得不好，後來出了第2版，並在<a href="https://www.bleepingcomputer.com/news/security/san-francisco-49ers-blackbyte-ransomware-gang-stole-info-of-20k-people/" target="_blank">去年2月美國超級盃期間侵襲舊金山49人隊</a>成名。Akira則首見於今年3月，但因和Conti多所相似處，研究人員相信，其成員可能來自Conti，或至少受其啟發。</p> <p>這是近來最新一家企業同時被不同2家勒索軟體組織列為受害者的事件。上周<a href="https://www.ithome.com.tw/news/157872" target="_blank">美國化妝保養品大廠雅詩蘭黛</a>也分別被Clop及Black Cat歹徒列為受害者。此外，《<a href="https://therecord.media/yamaha-confirms-cyberattack-after-multiple-ransomware-gangs-claim" target="_blank">The Record</a>》報導，年初美國奧克蘭市政府也分別被Play及LockBit列為「成功案例」。</p> <p>一家受害企業出現在多個駭客網站上，近日似乎成為一種新趨勢。安全專家相信，可能是不同勒索軟體使用同一個夥伴（affiliate）來攻擊同一家公司。另一些專家則認為，這純粹是同一個駭客組織輪流使用不同「勒索軟體品牌」的行為。此外，愈多平臺公布資訊，也更有助於擴大宣傳效果，對受害組織施壓支付贖金。</p> </div></div></div>
2023/7/27 11:14作者林妍溱https://www.ithome.com.tw/news/157963
ChatGPT Android版正式發布，4國先上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/157908" target="_blank">在現蹤一個星期後</a>，OpenAI宣布<a href="https://twitter.com/OpenAI/status/1683854695398522881" target="_blank">ChatGPT Android版正式開放下</a>載，本周先在美國、巴西、印度及孟加拉上線，下周會再擴大到更多市場。</p> <p>臺灣版Google Play目前也還未提供下載，但用戶可預先註冊，等ChatGPT上線後會自動安裝。</p> <p>這使得ChatGPT AI聊天機器人從去年11月以Web版上線以來，終於提供幾乎所有平臺的應用程式。ChatGPT發布後，用戶在2個月內衝高到1億，在Threads本月初上線之前，是所有消費性應用程式之冠，當時前一個最快達到這個門檻的是Tiktok，花了9個月。</p> <p>OpenAI希望Android版App的發布可延續消費者對AI聊天機器人的使用熱潮。ChatGPT桌機及iOS版App於5月發布，但分析機構估計，ChatGPT官網流量從6月開始已開始走跌，顯示大眾的興趣消退，分析師認為這也說明，AI聊天機器人需要提供更實質的價值。</p> <p>除了消費性App，OpenAI也廣結合作夥伴，包括以外掛型式整合微軟Bing、提供第三方程式的API存取，以增加ChatGPT的使用方便性及效益。為了強化ChatGPT的個人化效用，<a href="https://www.ithome.com.tw/news/157894" target="_blank">OpenAI上周推出可客製化的指令</a>，使其記住用戶偏好，以便產生更符合用戶需求的建議及資訊。</p> </div></div></div>
2023/7/27 10:02作者林妍溱https://www.ithome.com.tw/news/157961
發揮QLC優勢，Solidigm率先推出61TB超大容量SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/solidigm_d5-p5336_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以資料中心單一儲存裝置的最大容量而言，這兩年來，固態硬碟已超過傳統硬碟，因為市面上出現越來越多可供應30.72 TB容量的企業級與資料中心固態硬碟產品，像是鎧俠（Kioxia）的PM6-R系列、PM7-R系列、<a href="https://www.ithome.com.tw/review/146812">CM6-R系列</a>、CM7-R系列，三星（Samsung）的PM1643系列，美光（Micron）的9400、<a href="https://www.ithome.com.tw/review/157282">6500 ION</a>。</p> <p>上述產品清一色都是以TLC快閃記憶體技術打造而成，而對於Solidigm而言，則是少數運用QLC快閃記憶體技術設計此類超大容量固態硬碟的廠商，他們在2021年上半推出D5-P5316，<a href="https://www.ithome.com.tw/review/157477">今年5月正式發表D5-P5430</a>。時隔兩個月的現在，他們又宣布推出D5-P5336，皆能供應如此巨大的固態儲存容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-4.jpg" style="width: 600px;" /></a></p> <p>在D5-P5336系列的出貨時序安排，Solidigm表示，目前先提供E1.L長尺形的15.36 TB與30.72 TB容量機型，今年稍晚將同時提供更普遍用於伺服器與儲存系統的2.5吋U.2外形，以及比30.72 TB多出一倍的儲存容量61.44 TB，到了2024年上半，他們預計提供E3.S外形的選擇，最大儲存容量為30.72 TB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D5-P5336-Form-Capacity.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336-Form-Capacity.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-2.jpg" style="width: 600px;" /></a></p> <p>基於這些外形與超大容量的提供，每臺伺服器或儲存系統可呈現那些組態？以1U尺寸的伺服器或儲存系統為例，若搭配E1.L外形的D5-P5336，最多可安裝32臺61.44TB容量固態硬碟，提供逼近2 PB的總儲存容量。</p> <p>若是2U尺寸的伺服器或儲存系統，搭配2.5吋U.2外形的D5-P5336，最多可安裝24臺61.44TB容量固態硬碟，提供逼近1.47 PB的總儲存容量；搭配E3.S外形的D5-P5336，最多可安裝36臺30.72 TB容量固態硬碟，提供逼近1.47 PB的總儲存容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Solidigm QLC SSD Portfolio-2023-Density.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-Density.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/D5-P5336 Advantage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336%20Advantage.jpg" style="width: 600px;" /></a></p> <p>在使用成效上，若以相同尺寸的設備、全部安裝傳統硬碟的儲存陣列為基準，搭配大量D5-P5336的全快閃儲存陣列可存放的資料量，能達到6倍以上（12臺3.5吋20 TB硬碟 vs. 24臺2.5吋U.2外形61.44 TB固態硬碟），不僅具有更快的存取速度，也在儲存容量大幅超前。</p> <p>由於D5-P5336是目前唯一能提供61.44 TB容量的固態硬碟，比起現行的純硬碟儲存陣列、混合儲存陣列、搭配TLC固態硬碟的全快閃儲存陣列，用戶能以更少量的儲存裝置，就能透過D5-P5336搭配到需要的固態儲存空間，進而負擔更低的總持有成本，也能藉此設置更支援全球環境永續發展的儲存基礎架構。</p> <p>為了證明D5-P5336能帶來這些成效，Solidigm提出一套可存放100 PB資料的物件儲存解決方案的部署需求，以此突顯儲存陣列全部採用D5-P5336具有更高的經濟效益。</p> <p>根據他們的比較，對比於混合使用TLC固態硬碟與傳統硬碟的儲存陣列，效益差距幅度最大，總持有成本可降低61％，耗電量與散熱成本縮減6倍，機櫃機架空間縮減14倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336%20100%20PB%20Storage%20Comparison.png" style="width: 600px;" /></p> <p>其次是對比全部搭配SAS介面硬碟的儲存陣列，全部採用D5-P5336的儲存陣列的總持有成本相對可降低47％，耗電量與散熱成本縮減4.9倍，機櫃機架空間縮減11.8倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D5-P5336%20vs%20TLC%20SSD.jpg" style="width: 600px;" /></p> <p>對比於全部搭配TLC固態硬碟的儲存陣列，費用節約也是很可觀，全部採用D5-P5336的儲存陣列之後，總持有成本相對可降低17％，耗電量與散熱成本縮減1.25倍，機櫃機架空間縮減1.9倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20D5-P5336%20vs%20HDD.jpg" style="width: 600px;" /></p> <p>而從實際效能測試而言，Solidigm表示，D5-P5336的讀取效能可比照、甚至優於TLC固態硬碟。他們針對3款同樣提供15.36 TB容量的固態硬碟機型，將它們用於CDN工作負載來進行觀察，結果發現，代表入門級TLC固態硬碟產品的Kioxia CD8-R，讀取頻寬為5.6 GB/s，另一款代表主流層級TLC固態硬碟產品的Micron 7450，讀取頻寬為6.2 GB/s，至於最新發表的QLC固態硬碟產品Solidigm D5-P5336，讀取頻寬為7.5 GB/s，領先前面兩款產品的幅度分別為34％、21％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Solidigm%20QLC%20SSD%20Portfolio-2023-D5336.jpg" style="width: 600px;" /></p> <p>對照Solidigm公布的產品規格比較資訊，也可看出D5-P5336與其他兩款TLC固態硬碟讀取效能相當，但寫入效能一如預期較低，而相較於稍早推出的QLC固態硬碟D5-P5430，循序寫入效能為3,000 MB/s，D5-P5336為3,300 MB/s，略勝一籌，但隨機寫入效能更低，只有3.8萬IOPS（D5-P5430為12萬IOPS）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/D5-P5336 delivers TLC-equivalent performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/D5-P5336%20delivers%20TLC-equivalent%20performance.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Solidigm D5-P5336<br /> ●原廠：Solidigm<br /> ●建議售價：廠商未提供<br /> ●儲存容量：目前提供15.36 TB、30.72 TB，7.68TB、61.44 TB預計2023稍後推出<br /> ●外形：目前提供E1.L，U.2、E3.S預計2023稍後推出<br /> ●儲存媒體：3D NAND，QLC，192層<br /> ●最高讀寫速度：循序7,000 MB/s與3,300 MB/s，隨機100.5萬IOPS與3.8萬IOPS<br /> ●使用介面：PCIe 4.0 x4<br /> ●耐用度：每日寫入量最高為0.58，總寫入量為65.2 PBW<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/26 22:49作者李宗翰https://www.ithome.com.tw/review/157892
【資安日報】7月26日，駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>週一挪威政府發布公告，表示他們廣受12個機關採用的ICT平臺遭到攻擊，而駭客利用的漏洞，就是Ivanti於週日針對行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）修補的CVE-2023-35078。Ivanti聲稱沒有發現該漏洞遭到利用的跡象，但已有研究人員發現相關攻擊行動。</p> <p>Atlassian上週修補的漏洞也相當值得留意，該公司針對企業協同開發軟體Confluence、持續整合與持續部署（CI/CD）系統Bamboo，修補了可被用於遠端執行任意程式碼（RCE）的高風險漏洞。</p> <p>VMware針對容器管理平臺Tanzu修補的資訊洩露漏洞，也值得IT人員留意，因為，攻擊者很可能用來推送帶有惡意功能的應用程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/norway-says-ivanti-zero-day-was-used-to-hack-govt-it-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挪威政府傳出遭到零時差漏洞攻擊，被駭客侵入的系統是Ivanti行動裝置管理平臺</span></strong></a></p> <p>7月24日挪威安全與服務組織（DSS）證實，駭客利用第三方軟體的零時差漏洞發動攻擊，導致有12個挪威政府機關採用的ICT平臺遭到入侵，DSS察覺攻擊行動後通報了挪威國家安全局（NSM），該國警方著手調查。</p> <p>挪威資料保護局也收到通報，當中提及駭客可能已從ICT系統竊得敏感資料。DSS強調政府機關的營運不受影響，但沒有提及被利用的零時差漏洞細節，以及攻擊者的身分、受害規模。針對這起攻擊行動，DSS表示他們啟動了多項防護措施，目前有12個部門的員工無法使用DSS的行動應用程式辦公，這些人員若能透過電腦存取相關服務，則不受影響。</p> <p>而對於前述的零時差漏洞，挪威國家安全局透露是CVE-2023-35078，該漏洞存在於行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core），CVSS風險評為10分。</p> <p>資料來源</p> <p>1. <a href="https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/">https://www.dss.dep.no/aktuelle-saker/departementer-utsatt-for-dataangrep/</a><br /> 2. <a href="https://nsm.no/aktuelt/nulldagssarbarhet-i-ivanti-endpoint-manager-mobileiron-core">https://nsm.no/aktuelt/nulldagssarbarhet-i-ivanti-endpoint-manager-mobileiron-core</a></p> <p><a href="https://blog.checkpoint.com/security/facebook-flooded-with-fake-ads-for-chatgpt-google-bard-and-other-ai-services-tricking-users-into-downloading-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Doenerium假冒ChatGPT或其他AI工具，透過臉書貼文進行散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AI-Picture1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI-Picture1-2.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露竊資軟體Doenerium的攻擊行動，駭客假借提供ChatGPT、Google Bard、Midjourney、Jasper等生成式AI工具，透過臉書貼文吸引使用者上當，一旦使用者依照指示下載檔案，電腦就有可能被植入竊資軟體。</p> <p>此竊資軟體會先收集系統資訊並傳送到Discord，然後從瀏覽器搜括Cookie、書籤、上網記錄、密碼，並且洗劫Zcash、比特幣、以太坊等加密貨幣錢包，此外，駭客也攔截多種社群網站與遊戲平臺的連線階段（Session）資訊，並從Filezilla竊取FTP帳密資料。</p> <p>值得留意的是，駭客不只冒用的生成式AI工具品牌變得更為廣泛，他們的臉書專頁擁有數十萬或上百萬粉絲，且有許多人對貼文按讚、發表評論，使得使用者可能大幅降低戒心而上當。</p> <p><a href="https://asec.ahnlab.com/en/55369/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國IIS網頁伺服器遭到北韓駭客Lazarus鎖定，將其用於散布惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus-JuicyPotato-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus-JuicyPotato-13.png" style="width: 300px; float: right;" /></a>資安業者AhnLab揭露北韓駭客組織Lazarus近期的攻擊行動，駭客先是入侵韓國網站並竄改內容，然後利用含有弱點的Inisafe CrossWeb EX V6軟體，對目標使用者進行水坑式攻擊。一旦使用者透過上述應用程式搭配瀏覽器存取特定的網站，就會將Lazarus的惡意軟體SCSKAppLink.dll下載到受害電腦，並透過INISAFECrossWebEXSvc.exe的漏洞植入。</p> <p>在上述的惡意軟體攻擊行動裡，研究人員發現，駭客也針對IIS網頁伺服器下手，取得控制後將其用於散布惡意軟體。駭客先是針對目標伺服器存在的漏洞，部署對應的Web Shell或執行命令，其攻擊行動是透過處理程序w3wp.exe進行；接著，駭客透過惡意程式JuicyPotato（也有可能利用RottenPotato、SweetPotato）來提升權限，並執行惡意軟體載入工具usoshared.dat來進行控制。</p> <p>由於許多韓國公私部門都採用Inisafe CrossWeb EX系統來進行電子交易、身分驗證、網路銀行的用途，研究人員指出，針對該軟體已知漏洞而來的攻擊仍持續進行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti修補行動裝置管理平臺的零時差漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Internet-exposed MobileIron user portals.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Internet-exposed%20MobileIron%20user%20portals.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，7月23日，Invanti修補旗下行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）的漏洞CVE-2023-35078，攻擊者可在未通過身分驗證的情況下，遠端利用該漏洞存取API，進而取用受限制的功能或是資源。</p> <p>該漏洞影響所有版本的EPMM，CVSS風險評分為10，該公司已發布更新軟體修補。值得留意的是，雖然Ivanti並未透露該漏洞是否遭到利用，但該資安新聞網站指出，有人聲稱向Ivanti通報已有攻擊行動，駭客針對極為少數的組織發動攻擊。</p> <p><a href="https://confluence.atlassian.com/security/security-bulletin-july-18-2023-1251417643.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Altassian修補旗下Confluence與Bamboo的高風險漏洞</span></strong></a></p> <p>7月18日Atlassian發布資安通告，針對旗下的企業協同開發軟體Confluence，以及持續整合與持續部署系統（CI/CD）Bamboo，修補CVE-2023-22505、CVE-2023-22506、CVE-2023-22508漏洞，CVSS風險評分介於7.5至8.5。</p> <p>這些漏洞有可能讓攻擊者在通過身分驗證的情況下，遠端執行任意程式碼（RCE）來影響系統的機密性、完整性、可用性，且無須使用者互動就能進行。</p> <p>其中，CVE-2023-22505、CVE-2023-22508存在於特定版本的Confluence Server與Data Center；另一個漏洞CVE-2023-22506，則是影響Bamboo Data Center。</p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0016.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補容器管理平臺Tanzu的資訊洩露漏洞</span></strong></a></p> <p>7月25日VMware針對容器管理平臺Tanzu修補CVE-2023-20891，此為資訊洩露漏洞，影響Tanzu Application Service for VMs（TAS）、Isolation Segment等產品線，CVSS風險評分為6.5。</p> <p>漏洞發生的原因，在於此系統的稽核事件記錄裡，使用16位元的編碼（Hex）記錄管理員的帳密資料，使得未具備管理員權限的使用者能存取該平臺稽核事件記錄，拆解當中的CF API管理員帳密，從而推送惡意版本的應用程式。</p> <p><a href="https://vulncheck.com/blog/mikrotik-foisted-revisited"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MikroTik路由器存在漏洞，恐讓攻擊者取得超級管理員權限</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mt-web-shodan.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mt-web-shodan.png" style="width: 300px; float: right;" /></a>資安業者VulnCheck針對MikroTik路由器用戶提出警告，他們發現該廠牌路由器作業系統RouterOS存在CVE-2023-30799（CVSS風險評分為9.1），此漏洞一旦遭到利用，攻擊者可在取得管理員帳號的情況下，遠端存取路由器的Winbox或網頁HTTP介面，將自己的權限提升為超級管理員，進而取得該作業系統完整的存取權限。</p> <p>研究人員指出，雖然攻擊者需要取得管理員的帳號才能利用這項漏洞，但是執行RouterOS作業系統的路由器都具備預設的admin帳號，且缺乏防範暴力破解的機制，而有機會讓攻擊者用來發動攻擊。</p> <p>對此，MikroTik於去年10月對穩定版本RouterOS發布6.49.7版修補，但對於長期支援版本的部分，則是在VulnCheck近期通報路由器硬體的新漏洞後，該公司才發布6.49.8版緩解該漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.thalesgroup.com/en/worldwide/security/press_release/thales-create-world-class-global-cybersecurity-leader-acquiring-us"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者Thales以36億美元買下Imperva</span></strong></a></p> <p>7月25日資安業者Thales宣布，他們取得軟體投資公司Thoma Bravo的同意，以36億美元的價格，買下網路應用系統安全解決方案業者Imperva全部的股權。</p> <p>透過本次的併購，Thales將其網路安全業務提升到新的層次，併入後Imperva將進行資料安全領域的發展，並能讓Thales投入網路應用系統安全領域的市場，該公司預計其網路安全業務的整體營收將超過24億歐元。這項併購案將在通過主管機關的審核後，預計於2024年初完成。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/moveit-hack-could-earn-cybercriminals-100m-as-number-of-confirmed-victims-grows/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop傳出從MOVEit零時差漏洞攻擊的受害組織得到1億美元</span></span></strong></a></p> <p><a href="https://cyberint.com/blog/research/siegedsec-compromise-nato/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織SiegedSec鎖定北約組織而來，外洩入口網站數百份文件</span></span></strong></a></p> <p><a href="https://iamdeadlyz.gitbook.io/malware-research/july-2023/fake-blockchain-games-deliver-redline-stealer-and-realst-stealer-a-new-macos-infostealer-malware#realst-stealer-macos"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體Realst鎖定macOS用戶，目標是加密貨幣錢包</span></span></strong></a></p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/decoy-dog-is-no-ordinary-pupy-distinguishing-malware-via-dns/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體DecoyDog濫用DNS與C2進行通訊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/microsoft-message-queuing-service-vulnerabilities"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員針對微軟MSMQ訊息佇列漏洞公布細節</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157914">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157901">【7月21日】兆勤設備遭到殭屍網路Dark.IoT鎖定，並將被控制的設備用於DDoS攻擊</a></strong></p> </div></div></div>
2023/7/26 17:53作者周峻佑https://www.ithome.com.tw/news/157947