iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

無人超商新模式大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1141-feng_mian_gu_shi_-p1_open-you_hua_-960x420_kao_bei_0.jpg?itok=wCwDWI19" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商6年來持續實驗智慧零售營運模式，以及多種結帳技術應用可能。今年他們新推出拿了就走無人店模式，不只加速顧客購物速度，更提升了線下顧客購物行為蒐集的完整度。</p> </div></div></div>
2023/8/4 14:09作者郭又華https://www.ithome.com.tw/article/158109
【數據科技驅動無人超商模式新價值】統一超商無人店新模式，如何為會員經營戰略加分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5年前，統一超商展開了一場智慧零售創新實驗，打造名為X-Store的實驗場域，嘗試用各種科技來改造真實店面購物流程、零售模式、超商營運，甚至是店面設備的創新嘗試，累積超過了4千萬人次的真人顧客創新體驗數據。</p> <p>結帳，這是統一超嘗試了最多新技術的購物階段，也是貫穿了1號店到6號科技概念店的實驗重點。</p> <p>2018到2019年，他們嘗試用當時火紅的面部辨識與影像辨識來結帳。2020年，則改用成熟多年的RFID技術來辨識結帳商品；2021年，開始利用手機App掃描線下商品後，在線上結帳的OMO模式；2022年又回歸到傳統掃條碼式的自助結帳機。今年7月，剛在新竹啟用了最新的X-Store 7號店，這一次，統一超實現了「拿了就走」（Grab and Go）的快速結帳模式，這也是臺灣第一家真正實現拿了就走模式的100%無人超商。</p> <p>拿了就走模式下，結帳階段不再需要排隊或一一掃描商品。統一超科技店過往實驗的結帳技術，都無法同時做到這2點，7號店的拿了就走模式，是統一超創新結帳實驗的一大突破。</p> <p>實現拿了就走模式對零售產業的意義，不只是結帳模式的革新，更是消費者體驗、IT管理，乃至於整個店面營運模式的新變革。一項重要模式更新是，超商店面最核心的POS資訊系統不再只是處理銷售時點（Point of Sale）資訊，還可以完整追蹤、紀錄會員在店內四處瀏覽的購物行為，日後可以用來優化線下店面經營及線上會員行銷，這更是OMO數據整合的創新應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E5%BA%97%E9%9D%A2%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 594px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>從外觀來看，X-Store 7號店的商品陳列模式及顧客店內走動模式與一般超商相同。因此統一超商在此蒐集的顧客旅途數據，也有機會作為全臺超過6,500家一般門市的參考。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／統一超商</span></p> <p><span style="font-size: 28px;"><strong>不只紀錄結帳階段，拿了就走能追蹤消費者店內完整旅途</strong></span></p> <p>同為結帳技術，自助結帳機或自動販賣機只會處理銷售時點資訊，而拿了就走更會處理結帳階段以外的顧客旅途。這是因為要達成結帳階段的「走」，它必須追蹤購物階段的「拿」。這個技術特色，使X-Store 7號店與一般超商，甚至臺灣主流無人店有諸多區別。</p> <p>X-Store 7號店如傳統超商一樣在貨架上陳列商品，顧客可以在店面中走動、取放商品，再統一結帳。但是，透過物件辨識技術來追蹤顧客移動軌跡和取放商品的行為，等於可以追蹤到消費者遊逛的動線和挑選商品的猶豫行為。就算最終沒有購買任何東西，還是可以蒐集多種消費者的行為資訊。這些都是單靠傳統POS機結帳的零售店面，難以紀錄到的細緻軌跡和行為資訊。</p> <p>由於7號店的商品陳列模式和消費者旅途設計，都與統一超典型的超商做法類似，靠「拿了就走」技術，分析後得到的營運或銷售優化做法，還能供全臺6,500家一般超商參考，例如動線改善建議及商品陳列優化做法。</p> <p>進一步推論，蒐集這些資訊，更有機會來類比和參考電商的做法，用於即時行銷和再行銷。例如，當顧客停留在特定商品前，就可以搭配會員App，即時推播促銷訊息，類似於顧客逛電商網站時，會即時跳出相關折價訊息的做法。甚至對入店顧客的行銷，也能根據顧客過往的猶豫行為來推銷相關商品，類似電商常見的購物車再行銷。</p> <p>近2年，統一超商大力發展會員經營，格外聚焦在消費數據蒐集與分析，企圖活化沉睡的百萬會員，並從活躍會員身上獲取更多價值。作為一個實體零售品牌，統一超會員數據蒐集管道是，以會員消費數據為主，會員App操作行為為輔。若統一超能在購物體驗的不同階段蒐集數據，甚至在實體店面中即時行銷，以望成為提升會員貢獻的新助力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E5%85%A5%E5%8F%A3%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 590px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>為了降低顧客適應新消費模式的摩擦力，統一超商在入口處放置立牌和電視螢幕，用圖文和影像形式詳細說明顧客如何在拿了就走店消費。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／統一超商</span></p> <p><span style="font-size: 28px;"><strong>消費新模式，帶起顧客體驗新設計</strong></span></p> <p>拿了就走消費模式不須一一掃描商品，不用在櫃檯或機臺排隊，因此結帳更有效率。不過，新消費模式也會反過來成為一定程度的入店消費門檻。</p> <p>消費者對拿了就走無人店的消費模式相對陌生，適應摩擦力較以自動販賣機為主的常見無人店大，這是統一超要開設此類店面的一大先天劣勢。為了提升拿了就走技術的商業可行性，統一超在自家無人店的消費者體驗設計下了功夫，來降低消費者適應難度。</p> <p>走到X-Store 7號店門口，能見到說明用的立牌和播放著示範影片的電視，解釋無人店消費方法。顧客得先登入統一超會員App，來打開X-Store Web App，作為入店到離店的操作媒介。顧客用App提供的門禁QR Code入店後，可以像到一般超商般，在店內走動、挑選商品。貨架上有著小立牌，說明店內各式鏡頭和感應器的功能，還有搭載ChatGPT模型的AI虛擬店員來回答店內的操作、商品、活動、優惠等問題。拿著商品走到出口附近，App便會生成購物清單，顧客若發現消費資訊有誤，可以使用出口附近的自助結帳櫃檯，掃描商品條碼來補登商品，或刪減購物清單品項。再次於App上確認無誤後，就可以進入結帳階段。</p> <p>目前結帳設計，顧客只能使用統一超生態系的支付工具才能於App介面快速結帳。若沒有前述工具，得用Web App中產生購物清單QR Code，再到自助結帳機上掃描才能帶入購物清單來付款。</p> <p>這家7號店不只是加上拿了就走科技的一般門市，店內處處提供使用說明文宣，更搭配AI虛擬店員、並接受多元結帳方式，來降低顧客對新模式的適應門檻。不過，要完整體驗X-Store 7號店的拿了就走功能，顧客須先實名註冊會員身分，還要用統一超自家支付工具。不論這是出於技術限制，還是統一超有意壯大自家會員及支付工具用戶規模，這2層身分限制無疑增加了顧客適應的門檻，也削弱了消費體驗的流暢感，有待市場驗證這個做法的普及可行性。</p> <p><span style="font-size: 28px;"><strong>營運新模式，從人力調度、進銷存到店面管理都不同</strong></span></p> <p>拿了就走店背後營運模式，也與一般店面有許多區別。X-Store 7號店商品選擇因為技術限制和營運成本等考量，販售商品種類較單純，服務類型更簡化到只剩下基礎的零售，沒有代收等常見超商功能。需要真人管理時，則由母店派出店員來支援。無常駐店員，使此店型的人員調度及訓練需求較一般門市少。</p> <p>母店對這家無人店的管理，最大宗的例行工作是進貨補貨。一般門市需要店員親自巡視店面，盤點貨架情形，拿了就走系統則會將貨架情況更新到臺帳系統，紀錄商品錯位和貨架缺貨情況。母店店長為X-Store 7號店下單進貨時，能從系統了解即時貨架情況。補貨店員也能從此系統了解當天補貨和整理需求。</p> <p>拿了就走無人店，並非是統一超商首創，這是Amazon Go早在7年前就讓全球驚艷的創新模式。不過，統一超商在X-Store七號店的拿了就走模式，已經和當年Amazon Go的模式有所差異，帶來後續規模化與發展策策略選擇的不同。這將用另一篇文章來介紹。</p> <p>為何統一超要在臺灣實驗這個問世多年的模式？統一超沒有揭露具體的實驗目的，不過，統一超從前端消費者體驗到後端營運，都做出技術與營運策略的改動、取捨，才能將拿了就走技術落地到真實的商業場景中，而非只是把一項陳年結帳技術導入一家尋常門市。</p> <p>從時空背景和統一超近年營運戰略，可以略推測一二。疫情解除後，零售市場更加重視OMO與會員數據經營，統一超近年也大力善用數據來優化會員經營及整體零售集團營運。打造無人店，來蒐集到消費者更完整的實體購物行為數據，有機會成為一種可以用來完善會員OMO數據不足的突破性做法。</p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>統一超無人店如何蒐集實體門市顧客全旅途數據</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段1：進入門市 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86(1).png" style="width: 500px;" /></p> <p><strong><span style="color:#3399ff;">● 關鍵科技：</span>會員App、門禁系統<br /> <span style="color:#3399ff;">● 關鍵數據：</span>顧客身分、進出時間、同時進出人數<br /> <span style="color:#3399ff;">● 數據可能用途：</span><br /> » 辨認顧客身分，以在顧客取放商品時連結到同一人的購物車<br /> » 辨認顧客身分，以歸戶後續紀錄的購物旅途數據<br /> » 根據進出時間了解習慣消費時段及周期<br /> » 觀察同時進出人數是否影響消費內容</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段2：走動瀏覽 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 536px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">● 關鍵科技：</span>天花板鏡頭、AI物件辨識技術<br /> <span style="color: rgb(51, 153, 255);">● 關鍵數據：</span>顧客所在地點、動線、停留時間、取放行為<br /> <span style="color: rgb(51, 153, 255);">● 數據可能用途：</span><br /> » 根據顧客所在地點推播鄰近商品促銷訊息<br /> » 參考顧客動線來評估商品擺設位置及動線設計<br /> » 若顧客原地停留時間長，可推測為猶豫，即時推播行銷訊息<br /> » 交叉分析取放次數及實際購買商品來推測顧客習慣<br /> » 當顧客接近出口結帳區，提示結帳</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段3：挑選商品 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">● 關鍵科技：</span>貨架鏡頭、AI物件辨識技術、重量感測器、紅外線光柵<br /> <span style="color: rgb(51, 153, 255);">● 關鍵數據：</span>取放商品行為、取放商品種類、貨架重量<br /> <span style="color: rgb(51, 153, 255);">● 數據可能用途：</span><br /> » 取放商品行為會觸發鏡頭，開始物件辨識<br /> » 根據拿取和放回商品種類來推測顧客興趣，並判別購買商品品項<br /> » 用貨架重量變化感應顧客扶靠貨架，間接推測身高或身體狀況<br /> » 用貨架重量變化來計算顧客拿取商品的數量</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段4：結帳離店 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B4-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">● 關鍵科技：</span>Web App、自助結帳機<br /> <span style="color: rgb(51, 153, 255);">● 關鍵數據：</span>購買商品、支付工具、購物車商品刪減項目<br /> <span style="color: rgb(51, 153, 255);">● 數據可能用途：</span><br /> » 根據最終購買商品來推測顧客喜好<br /> » 可觀察無人店是否提升顧客使用統一超自家支付工具的比例<br /> » 將購物車商品刪減項目視為AI誤判案例，作為模型調整依據</strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／統一超商<br /> 資料來源：iThome整理，2023年7月</span></span></p> <p><a href="https://www.ithome.com.tw/article/158109" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/158109" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1141-feng_mian_gu_shi_-p1_open-you_hua_-960x420_kao_bei_0.jpg?itok=wCwDWI19" style="width: 550px;" /></a></p> </div></div></div>
2023/8/4 14:11作者郭又華https://www.ithome.com.tw/news/158071
【廠商永續支援度盤點：GCP】不只釋出碳排放感測套件能監測每個帳戶雲端服務碳排放變化，今年還將擴大支援追蹤Gmail等…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud在2年前開始推出了碳足跡儀表板工具，可供企業用戶追蹤和管理他們使用雲端服務的碳排放量，後來還將這些會影響碳排放的環境因素，納入到企業用戶的雲端環境配置中，不只能從服務區域（Region）中選擇綠能程度最高的資料中心來使用，還能根據雲端環境設定或資源使用情況，來提供節能或省碳建議，進而降低其雲端服務的碳排放。Google Cloud今年還計畫擴大開始支援追蹤Google協作和生產力工具Workspace碳排放數據，包括Gmail、Google文件等。</p> <p>三大公有雲服務商近2年持續加強雲端服務的碳排放數據監測和管理，一方面要提高雲服務碳排放資訊揭露的透明度，強化對於雲端資料中心實現淨零碳排的承諾；另一方面，則是讓企業用戶能夠根據雲端服務的碳排放量<span data-contrast="auto">估算遷雲所節省的排放量，同時能</span>採取相關措施降低碳排放。</p> <p>Google Cloud雖然不是三家公雲業者中最早提供雲端服務碳足跡資訊的業者，但是GCP在臺設立資料中心相對較早，不少企業考慮到低延遲存取或資料落地的需求而採用。</p> <p><span style="font-size: 28px; font-weight: 700;">不僅能追蹤每個帳戶的碳排放用量，還能依個別產品、專案、地區來呈現各自碳排情況</span></p> <p>Google Cloud去年釋出了一個碳排放感測套件（Carbon Sense ），其中包含了碳足跡儀表板（Carbon Footprint）和雲端管理（Active Assist）兩大主要工具。</p> <p>碳足跡儀表板工具是Google Cloud在2年前所推出，可供用戶察看雲端服務的碳排放量，還提供了<a href="https://cloud.google.com/carbon-footprint/docs/methodology">完整的計算方法</a>，可提供審核人員或報告團隊確認這些碳排放資料有無符合GHG通訊協定標準格式。</p> <p>從這個視覺化的碳足跡儀表板中，企業IT人員或維運管理人員可以觀看每一個帳戶內所用的雲端服務產生的碳排放量，也能根據每個雲端專案或服務啟用所在區域來進行比較，還能呈現碳排放量在不同月分的變化趨勢，或依個別服務產品、專案、地區等來進行查看，進一步評估和調整服務採用策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed(3).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">透過碳足跡儀表板報表功能，企業用戶從主控臺就能查看帳戶使用的整體碳排放情況，還可以根據個別服務產品、專案、地區等來進行查看各自碳排在不同時間變化，以此評估和調整服務採用策略，減少碳排。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google Cloud</span></p> <p>但不是所有GCP服務都能支援碳足跡儀表板功能。例如，混合雲服務Anthos就無法使用。Google Cloud台灣技術副總林書平解釋，Anthos通常採用落地部署的方式，因此企業客戶使用的是自己的機房用電，而不是Google Cloud資料中心的，所以無法將Anthos的碳排放數據顯示在儀表板上。</p> <p>值得注意的是，遇到企業擁有多個帳戶的情況下，雖然可以從個別帳戶中查看各自雲端用量碳排放的情況，但目前還無法在同一個儀表板中顯示所有帳戶的整體碳排放量，林書平指出，如果一個組織擁有多個帳戶的情況下，則需要將所有數據匯出，然後整併在資料倉儲中以合併計算碳排放量。</p> <p><strong><span style="font-size:28px;">除了能監測用戶碳排放情形，還能根據資源使用優化雲端配置達成減量</span></strong></p> <p>在這個碳排放感測套件中，還有一個Active Assist雲端管理工具，能夠根據資源使用和專案項目等條件，來優化企業用戶的雲端配置，達成減量的目的。透過這個管理工具，維運人員在雲端維運過程中，能夠一併考慮減碳和環境等因素，還能回收和清理閒置的專案，減少不必要的資源浪費，進而降低碳排。</p> <p>GCP雖然免費提供碳排放感測套件，但是當用戶需要將這些碳排放資料匯出至BigQuery服務中，建立碳盤查報表，或結合內部營運數據進一步分析與運用，就可能需要使用付費服務。</p> <p>不光如此，Google Cloud在考慮永續IT與環境友善時，也將這些考量納入到用戶的雲端環境配置中，讓使用者可以選擇綠能程度最高的資料中心來使用，而不僅僅考慮到服務延遲和成本而已。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image(2)(1).png" style="width: 600px;" /></p> <p>舉例來說，當選擇服務區域（Region）時，GCP提供了更多有關該Region的碳排放狀態的資訊，使用者可以察看其使用無碳能源的占比和電網碳強度。這些資訊是根據該Region年度無碳能源百分比和平均電力碳強度進行計算，通常會以葉子等圖案顯示在每個Region旁，葉子數越多代表該Region的無碳或低碳程度越高，使用再生能源比例較高。</p> <p>Google Cloud還將全球可用區（zone）與電網地圖結合，讓用戶進一步可透過電力地圖，來了解不同zone的電網使用狀況。由於各區不同時段的電價，會影響到雲端資料中心電力碳排放量的計算，因此企業也能根據不同時間的電價，來調整電力使用時間，進而減少電力消耗，降低的碳足跡。目前從這個電力地圖中，也能查看GCP在臺灣彰濱資料中心據點的電網使用資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed%20(1)(1).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">GCP還將全球可用區（zone）與電網地圖結合，讓用戶進一步可透過電力地圖，來了解不同zone的電網使用狀況，根據不同時間的電價，選擇對於碳排放量影響程度較低的zone，作為服務使用區域</strong><strong style="color: rgb(105, 105, 105);">。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google Cloud</span></p> <p>除了雲端服務碳排資訊揭露之外，Google Cloud今年還計畫擴大開始支援追蹤Google生產力工具Workspace碳排放數據，意味著，企業在Gmail或Google文件使用的碳排放數據也將被一併追蹤和管理。</p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/8/4 14:41作者余至浩https://www.ithome.com.tw/news/157912
Google測試新生成式AI搜尋功能，強化影音內容、更快產生摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/google-search-generative-ai-august-update/" target="_blank">Google本周宣布</a>其測試計畫Search Generative Engine（SGE）加入3項新功能，包括增加影音的搜尋結果、更快產生內容摘要，也為搜尋結果標註來源時間點。</p> <p>SGE是Google今年於Google I/O上宣布的用戶測試計畫，可讓用戶在Search Labs平臺上試用研發中的生成式AI搜尋技術。</p> <p>本周測試的3項新功能中，第一項是在搜尋結果增加圖片與影片內容。SGE已經開始在搜尋結果加入圖片，從下周起，SGE用戶查詢某些任務時，例如瑜珈動作示範、或是去除大理石髒污時，會看到影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-generative%20AI%20in%20Google%20Search-600-1.png" style="width: 573px;" /></p> <p>事實上，Google搜尋正式版早已經強化影片內容的搜尋結果。本周Google還在影片加註和使用者搜尋關鍵字相關「重要時間點」，讓使用者不需從頭看起，就能找到相關內容。</p> <p>第二項功能是加快產生AI內容摘要的時間。Google說，經過改善，生成AI摘要的時間縮短了一半，未來還會再繼續再加快其速度。最後，SGE也會在搜尋結果的簡介部分，加上網頁連結出版日期，方便使用者判斷。</p> <p>Google說他們也正在實驗其他方法來強化AI摘要內容的豐富性。該公司同時重申SGE還是會在特定版位上，展示搜尋廣告。</p> <p>用戶可以透過Android及iOS版Google App或Chrome桌機版，從Search Labs測試SGE新功能。</p> <p>Google積極將AI整合進其現有產品。除了搜尋外，<a href="https://support.google.com/youtube/thread/18138167" target="_blank">本周Google也開始針對YouTube少數英語影片測試以AI產生影片簡介</a>，幫助使用者更容易決定是否點選讀取。不過用戶需要在Youtube.com/new上註冊加入測試計畫。此外<a href="https://www.ithome.com.tw/news/158052" target="_blank">Google也正在啟動以生成式AI改造Google Assistant</a>，並為此進行組織重整。</p> </div></div></div>
2023/8/4 13:20作者林妍溱https://www.ithome.com.tw/news/158106
Dell發布PowerStore OS儲存系統軟體3.5版，安全性大進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0804-ji_shu_zhuan_ti_-dell_powerstore-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dell</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過Dell日前發表的最新3.5版儲存平臺作業系統，PowerStore系列儲存陣列大幅強化了安全性，以及資料保護功能，同時，也具備緊密的整合Dell超融合產品線的能力，藉此獲得更靈活的基礎架構部署彈性。</p> <p>無論在產品定位或產品架構上，2020年5月問世的PowerStore，都可說是Dell近年來最具創新的儲存陣列產品。</p> <p>在產品定位方面，PowerStore在儲存陣列市場中，開創新的「中高階」儲存陣列類別，擴充能力屬於中階產品領域，但效能規格則能達到高階產品的門檻，可以視為「高階化」的中階儲存陣列，填補了以往高階與中階產品的間隙，提供效能接近高階，價格則接近中階的產品特性。。</p> <p>在產品架構方面，PowerStore引進了兩項儲存業界首見的嶄新特性，包括：導入完全Container化的PowerStore OS儲存系統軟體核心，以及利用儲存硬體執行虛擬化應用程式的AppON架構。另外，它也支援當前流行的新一代儲存媒體技術與I/O介面，並兼具Scale-Up與Scale-Out兩種擴充能力，堪稱新一代儲存陣列架構的標竿。</p> <p><span style="font-size:28px;"><strong>細數PowerStore家族的更新歷程</strong></span></p> <p>繼2020年的第1代PowerStore產品後，Dell在2021年4月推出這個產品線的首次重大更新，新增入門款式機型，並推出PowerStore OS作業系統2.0版，提供了IOPS效能與重複資料刪除效率的提升，以及新增支援基於32Gb FC的NVMe-oF協定等改進功能。</p> <p>接著Dell在2022年1月發布小幅改版的PowerStore OS 2.1版，進一步改善IOPS效能，並新增NVMe-TCP傳輸協定，以及AI應用與安全性的改善。半年後（2022年7月），Dell又推出全面改款的新一代PowerStore系列，包括大幅提高硬體核心規格的第2代硬體，以及PowerStore OS作業系統3.0版，提供強化的遠端複製功能與安全性，並深化與VMware環境的整合。</p> <p>相隔近一年後，Dell先在2023年4月發布小幅更新的PowerStore OS 3.2版，擴展硬體與網路連接支援，控制臺介面也有小幅改版。接著又在不久之前（6月），發布大幅更新的PowerStore OS 3.5版，強化了安全性與資料保護能力，並提供與PowerProtect DD與VxRail產品家族深度整合的能力。</p> <p><span style="font-size:28px;"><strong>安全性、資料保護、部署彈性是改版重點</strong></span></p> <p>根據Dell公布的PowerStore OS 3.5 Release Notes文件，一共列出15項主要新功能與既有功能更新，我們可將這些項目歸結為這3大面向：</p> <p><strong>● 安全性強化：</strong>包括：支援美國政府頒布的安全技術部署指引（Security Technical Implementation Guide，STIG），提供多因素身分驗證（Multi-Factor Authentication），支援區塊層級的不可變快照（Immutable Snapshot）功能等。</p> <p><strong>● 資料保護能力擴展：</strong>新增原生整合PowerProtect DD備份儲存伺服器，可藉此提供高效率的資料備份、還原應用能力。</p> <p><strong>● 改善部署彈性與韌性：</strong>對於VxRail超融合伺服器的環境，可支援純運算Dynamic節點的配置，並提高檔案儲存服務的擴展能力，以及具備強化的網路高可用性功能。</p> <p><span style="font-size:28px;"><strong>可因應國家級要求，增設多重安全</strong></span></p> <p>PowerStore OS 3.5在這方面最引人注目的更新特色，便是支援美國政府與國防部的STIG規範，具備足以列入美國國防部資訊網路核准產品清單（DoDIN APL）的安全性，雖然STIG不適用於一般企業環境，但單是符合STIG規範這一點，仍能夠彰顯PowerStore的安全性已能符合美國政府與軍方的嚴苛要求，有助於提高整體用戶信心。</p> <p>第2項安全性強化特色，是搭配RSA SecurID驗證工具的多因素身分驗證，對於PowerStore儲存叢集的存取與管理，能夠多一層的安全保障。</p> <p>另一項重要的安全性強化，是提供區塊層級的不可變快照功能。</p> <p>PowerStore本身是兼具區塊與檔案儲存服務能力的通用儲存陣列，可建立供區塊儲存使用的Volume儲存區，以及供檔案儲存服務使用的檔案系統，配合這2種服務類型，快照功能也分為區塊層級與檔案系統層級等2種形式。</p> <p>PowerStore OS目前的快照預設是唯讀的，可防止用戶端的刪改，然而管理者仍能刪除快照。而到了最新發布的3.5版，Dell引進稱作Secure Snapshot的不可變快照功能，可防止區塊層級快照遭到任何刪除，直到設定的保留期到期為止，但Secure Snapshot功能不適用於檔案服務層級。</p> <p>在檔案服務層級上，PowerStore OS所提供的這類特色，是針對檔案系統本身的不可變儲存功能，利用先前在3.0版引進的File Level Retention功能，可鎖住檔案系統中的指定檔案，在保存期限內可防止包括管理者在內的任何刪除動作。</p> <p>換言之，PowerStore OS在區塊與檔案儲存服務，分別提供不同類型的不可變儲存技術——針對區塊服務，提供不可變快照，針對檔案服務，則提供檔案系統本身的防寫鎖定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20PowerStore%20OS%E4%B8%BB%E5%9C%961%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Dell.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>新增區塊層級不可變快照功能</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>PowerStore OS 3.5版新增Secure Snapshot不可變快照，可防止區塊層級快照遭到修改或刪除，可作為對抗勒索軟體威脅的安全複本。</strong></span></p> <p><span style="font-size:28px;"><strong>強化資料保護能力</strong></span></p> <p>透過與PowerProtect DD系列備份儲存伺服器的原生整合，PowerStore OS 3.5能做到彼此無縫結合的資料備份，以及還原應用能力。</p> <p>藉由這項原生整合能力，無須備份伺服器的中介，就能直接將PowerStore的Volume儲存區，以快照的形式備份到實體或雲端上的虛擬PowerProtect DD裝置，Dell宣稱可透過增量備份作業，每天備份150TB資料，並利用PowerProtect DD高達65比1的資料縮減，以高效率的儲存空間耗用方式來存放這些備份複本，用戶能透過PowerStore Manager控制臺，或PowerProtect Data Manager控制臺來管理備份還原作業。</p> <p><span style="font-size:28px;"><strong>擴展部署彈性與韌性</strong></span></p> <p>首先，PowerStore OS 3.5增加了搭配VxRail超融合伺服器的「去融合」架構部署能力，用戶可透過Dynamic AppON功能，讓PowerStore儲存陣列作為純儲存節點，與VxRail的Dynamic純運算節點相互搭配，構成運算與儲存資源分離的部署架構。</p> <p>其次，新增容錯安全切換網路（Fail-Safe Networking，FSN）的保護功能，用戶可以將多個網路埠或鏈路聚合埠（Link aggregations），組成具備失效切換能力的高可用性網路連接，並在鏈路聚合之上，提供額外的網路失效保護能力——網路埠一旦突然失效，在鏈路聚合這層就能提供切換能力，但如果發生交換器故障，則可透過FSN來切換。</p> <p>第3，擴展了檔案服務的延展性，每臺陣列可建立的檔案系統數量增加4倍，可建立的NAS服務、SMB與NFS與共享區數量，也都大幅增加，可支援更大規模的檔案儲存服務。同時，檔案層級的快照數量上限也提高4倍，可建立更多的還原點。</p> <p>還有個值得一提的新功能，就是為區塊服務新增了資源回收桶（Recycle Bin）功能，被刪除的Volume、Volume群組，以及區塊層級的快照與Clone複本，都會先放到資源回收桶中，待設定的保存時間到期後才會實際刪除，當誤刪時仍有機會回收資料。</p> <p><span style="font-size:28px;"><strong>僅適用於T部署模式</strong></span></p> <p>從2023年6月起，Dell宣布PowerStore OS 3.5正式發布，因此，若是7月出貨的PowerStore產品，都已經安裝了3.5版，Dell向我們表示，既有客戶若採用2.0版以後的系統，也都能升級到3.5版。</p> <p>不過，要特別注意的是，3.5版目前只適用於PowerStore T模式機型（儲存作業系統採裸機部署），而不適用於PowerStore X模式機型（儲存作業系統透過ESXi平臺中介部署）。相較之下，稍早問世的3.2版，可同時適用於T模式與X模式機型。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dell">Dell</a></div><div class="field-item odd"><a href="/tags/powerstore">PowerStore</a></div><div class="field-item even"><a href="/tags/powerstore-os-35">PowerStore OS 3.5</a></div></div></div>
2023/8/4 12:00作者張明德https://www.ithome.com.tw/tech/158064
【無人超商模式大比較】X-Store 7號店與Amazon Go的科技關鍵差異
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> 拿了就走這個消費模式，從概念到技術都說不上新穎。最典型的案例是美國Amazon Go，第一家店2016年開始試營運，早了統一超商7年，去年甚至將此科技商品化，作為Just Walk Out解決方案販售給外部零售商。</p> <p>乍看之下，統一超商X-Store 7號店與Amazon Go消費模式幾乎雷同，不過，Amazon作為電商與科技公司，和統一超作為實體零售商，實驗無人店時看重的價值與背後戰略目的不盡相同，細究兩者差別，更會發現統一超商在技術採用及門市營運的決策上，與Amazon有數個關鍵差別。</p> <p><span style="font-size:28px;"><strong>結帳離店流程：先結帳再離店vs.</strong></span><span style="font-size:28px;"><strong>先離店再結帳</strong></span></p> <p>在Amazon Go，只要拿了商品，走出店面，過5到10分鐘就會收到完成結帳的帳單，若有誤，顧客能再行退貨。</p> <p>在統一超無人店，顧客則需於先確認購物清單，若有誤可以當場刪減購物車內容，接著結帳，才能離店。</p> <p>兩家無人店結帳流程的必經步驟相同，主要差別是順序──X-Store依序是確認、結帳、出店，Amazon Go則是出店、結帳、確認。Amazon Go的結帳流程好處是，出口處人員流動通暢，拿完商品真的可以馬上離去，似乎更符合「拿了就走」精神。</p> <p>既然如此，統一超商規定顧客必須在店內完成確認和結帳，有什麼好處？</p> <p>工研院說明，若AI誤判顧客購買商品，造成顧客必須手動更正購物車，該次案例就會作為失敗案例，回傳到後臺用來優化AI準確率。也就是說，顧客確認購物清單或帳單，具有優化AI精度的功能。</p> <p>若系統誤判顧客取放商品，便會影響庫存管理、貨架管理以及顧客數據分析等流程。未被糾正的錯誤不斷積累，造成的偏差幅度便會越大。統一超選擇讓顧客必須過目購物清單才能離店，雖然延遲了數秒出店時間，卻能確保大部分顧客有及時修正系統誤判的機會。也就是說，比起Amazon Go以動線流暢為優先的做法，統一超的結帳流程設計，更著重數據準確性。</p> <p><span style="font-size:28px;"><strong>店面規模：無人小型店面</strong></span><strong style="font-size: 28px;">vs.</strong><span style="font-size:28px;"><strong>有人大型店面</strong></span></p> <p>X-Store 7號店只有小小10坪空間、300件商品品項，就安裝了30多座影像追蹤感應器、15臺IoT智能貨架、1,300以上個重量感測器，以及超過3,000組多重感測器。可以見得，需要相當大量的硬體建設才能支援拿了就走。工研院資通所副組長王恩慈說，若要擴大店面規模，硬體元件大幅增加，各元件間溝通及AI運算資源分配便會是大難題。「因此拿了就走較適合小型店。」王恩慈評論。</p> <p>X-Store小店面採取純無人店模式，需要補貨時，會調度遠端母店人員到店進行。其他時候，店面管理完全依靠現場科技，引導顧客則由AI虛擬店員和遠端客服負責。</p> <p>Amazon Go則是從一開始便挑戰50坪店面、1,600件品項，後來甚至還開了高達300坪大小的門市，投入大量成本和技術力。不只如此，他們還在部分門市配置真人店員，來提供更多面向服務，例如引導或檢查購買菸酒者的年齡。</p> <p>不過，從後續採用Just Walk Out的其他零售商案例來看，大部分使用拿了就走科技的門市，也都選擇不配置現場人員，顯示出包括統一超在內的許多零售業者在採取此技術時，都選擇降低營運複雜度及成本。</p> <p><span style="font-size:28px;"><strong>技術限制對策：少賣商品</strong></span><strong style="font-size: 28px;">vs.</strong><span style="font-size:28px;"><strong>加入輔助設計</strong></span></p> <p>Amazon和統一超面對技術限制的做法也相當不同。拿了就走高度仰賴物件辨識技術來追蹤入場顧客及商品取放情況。此技術受限於鏡頭拍攝角度，且物品形狀差異大的商品也容易出錯，例如生鮮蔬果或肉品。</p> <p>另一個技術限制是重量感測器的感測誤差。工研院資通所副組長王恩慈解釋，工研院採用的重量感測器部分採用類比訊號，若環境溫度變化大，會產生電阻值浮動和電子雜訊干擾，降低感測精度。</p> <p>為了降低物件辨識錯誤率，統一超和Amazon都會限制人流，前者人口密度限制為2坪1人，後者則是約1坪2人。不過在商品品項及貨架環境上，兩家分別採取不同的策略。</p> <p>統一超依然選擇簡化營運情境，只賣非散裝、易辨識的商品，並控制貨架溫度環境。目前X-Store只有開放式冷藏架，沒有帶門冷凍冰櫃等溫度浮動較大的環境。工研院為了應對溫度變化造成的誤差，在重量感測分析後臺設計了誤差容忍區間，若環境造成的誤差小於5公克，都不會被視為異常。也因此，貨架上不能放置單顆糖果等過輕商品。</p> <p>相較於限制商品種類，Amazon選擇在難辨識商品的包裝或排列方法加入識別輔助設計。不僅如此，他們重量感測能力精度非常高，輕至一枝筆、一條巧克力的重量差異都能感測到。因此，物件辨識難以識別的小型商品，可以交由重量感測器來識別。也因為重量感測精度夠高，Amazon Go店內可以見到帶門的冷凍櫃。</p> <p><span style="font-size:26px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#008000;"> 統一超店無人店（X Store 7號店）</span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-600--xstore7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_統一超商</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 運作模式 </span></strong></span> <span style="color:#008000;"><strong>拿了就走模式（店內結帳）</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 結帳流程設計 </span> </strong></span><strong><span style="color:#008000;">先確認結帳內容、再付款、後離店</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 效益與發展 </span></strong></span> <strong><span style="color:#008000;">1. 蒐集顧客完整旅途數據，對會員數據經營有加分效果<br /> 2. 累積無人店經營經驗及店面管理數據，可用於優化實體零售營運</span></strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 首店啟用時間</span><span style="white-space: pre;"><span style="background-color:#696969;"> </span> </span></span><span style="color:#008000;">2023年7月</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 可用店面型態 </span> </strong></span><span style="color:#008000;"><strong>10坪迷你超商</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 銷售品項數 </span></strong></span> <strong><span style="color:#008000;">300種</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 關鍵硬體設備 </span></strong></span> <span style="color:#008000;"><strong>天花板鏡頭、貨架紅外線光柵、貨架鏡頭、貨架重量感測器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 真人店員配置 </span></strong></span> <span style="color:#008000;"><strong>母店支援補貨人力，現場不須店員</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 年齡合規對策 </span></strong></span> <span style="color:#008000;"><strong>不銷售有年齡限制的商品</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 技術限制對策 </span></strong></span> <span style="color:#008000;"><strong>1. 物件辨識能力有限，盡量不賣太小或無標準型狀商品<br /> 2. 重量感測有誤差容忍區，不賣低於5公克的商品以避免誤判<br /> 3. 類比式重量感測器易受溫差影響，店內不用帶門冷凍櫃</strong></span></p> <p><span style="font-size:26px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#FF8C00;"> Amazon Go </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-600-amazon%20go-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／余至浩</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 運作模式 </span></strong></span> <span style="color:#FF8C00;"><strong>拿了就走模式（店外結帳）</strong></span></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 結帳流程設計 </span> </strong><span style="color:#FF8C00;"><strong>先離店、再付款、後確認結帳內容</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 效益與發展 </span></strong></span> <span style="color:#FF8C00;"><strong>1. 將技術商品化販售給外部零售業者使用</strong></span></p> <p><span style="color:#FF8C00;"><strong>2. 於旗下大型量販店、生鮮超市和超商持續實驗更多應用可能</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 首店啟用時間</span><span style="white-space: pre;"><span style="background-color: rgb(105, 105, 105);"> </span> </span></span><span style="color:#FF8C00;">2016年12月試營運，2018年1月正式對外營運</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 可用店面型態</span><span style="white-space: pre;"><span style="background-color: rgb(105, 105, 105);"> </span> </span></span><span style="color:#FF8C00;">從12坪迷你超商到500坪大型超市各式店型</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 銷售品項數 </span></strong></span> <span style="color:#FF8C00;"><strong>超過5,000種</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 關鍵硬體設備 </span></strong></span> <span style="color:#FF8C00;"><strong>高解析天花板鏡頭、高精度貨架重量感測器</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 真人店員配置 </span></strong></span> <span style="color:#FF8C00;"><strong>現場有出入口支援人力，以及補貨與查驗購買菸酒身分的店員</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 年齡合規對策 </span></strong></span> <span style="color:#FF8C00;"><strong>真人店員檢查年齡</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 技術限制對策 </span></strong></span> <span style="color:#FF8C00;"><strong>1. 物件辨識能力有限，於難辨識商品加上辨識輔助</strong></span></p> <p><span style="color:#FF8C00;"><strong>2. 為避免重量感測誤差，採用昂貴的高精度重量感測元件，可偵測小至一枝筆的重量變化，也不怕高溫差環境</strong></span></p> <p><span style="font-size:14px;"><span style="color:#696969;">備註說明：臺灣常見超商面積為40至50坪，品項數約2,000至3,000種。<br /> 資料來源：iThome整理，2023年8月</span></span></p> </div></div></div>
2023/8/4 12:00作者郭又華https://www.ithome.com.tw/news/158070
老技術也能創造新模式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「為什麼要複製7年前Amazon Go的拿了就走模式？」這是不少人，看到統一超在今年7月中最新發表的科技概念店X-Store 7號店之後，心裡的第一個疑問。我看到照片後的第一個念頭也這樣想。</p> <p>真的一樣嗎？我請零售線記者細細比較一番，到底Amazon Go和小七Go（我這樣簡稱X-Store 7號店）有何技術和模式上的差異，還真的發現了不少差異，甚至可說，是兩種在消費流程、發展策略、甚至是技術決策上有根本性差異的兩種「拿了就走」（Grab & Go）模式。</p> <p>Amazon在2016年底發表了第一間拿了就走無人店雛形，吸引了全球目光，背後靠的是的大量攝影機、影像辨識AI技術的整合創新，重新定義出了一種全新的無人店模式，顧客走進店，拿了商品，直接離店，完全不需要傳統零售門市的「真人店員結帳」過程，驚艷全球。</p> <p>直到1年多後，2018年初，Amazon Go正式在西雅圖對外營運，大家才發現，這個「無人店」還是需要不少店員在場，補貨、菸酒商品年齡檢查、入口支援等，不是真正100%無人，只是顧客不需要接觸到店員的「免接觸人購物」模式。雖然，落地時仍需要真人輔助，但是，Amazon Go的拿了就走模式，已經成為一種無人店模式的概念典型。</p> <p>Amazon後來把這家無人店模式背後的技術，發展成一套無人店解決方案Just Walk Out整套輸出（也許還搭配客製化服務），開始出現在旅遊用品快速店，大樓內廣場的貨櫃式快食零售店、球場飲料零食快速店等，大多是可以滿足大量人潮，快速購買零食、飲料、快餐食品的場景。</p> <p>但是，統一超商X-Store7 號店的拿了就走模式，是一家真正100%的無人店。在竹東工研院宿舍大樓一樓的這間10坪大迷你超商，安裝了30多座影像追蹤感應器、15臺IoT智能貨架，超過1,300個重量感測器、超過3,000組多重感測器。如此龐大的幕後技術搭配，才能做到，遠處的母店只需指派一名店員，搭配廠商定期補貨，就可以銷售300種商品，給上千人規模的宿舍大樓住戶。為了引導顧客習慣這間無人店的消費流程，還結合了AI虛擬店員和遠端客服來支援。</p> <p>統一超商沒有像Amazon Go選擇了高精度的攝影機，也沒有搭配精密的數位式重量感測器，而是為了降低後續營運的複雜度和成本，或者可以說，就是為了提高日後整店複製的可能性，採用了比較低成本的攝影機以及精度低但業界運用多年的類比式重量感測器，再搭配銷售策略的調整，例如放棄太小或沒有標準形狀的商品，也不能賣小於5公克容易誤判重量的商品（無法像Amazon Go可以賣原子筆或冷凍商品），更不能賣需要檢查年齡的菸酒。</p> <p>雖然小七Go用的大多是現成的老（成熟）技術，但也實現了連Amazon Go當年（現在的Just Walk Out技術可以）沒做到的，完全無店員在場的新超商模式。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/x-store-7%E8%99%9F%E5%BA%97">X-Store 7號店</a></div><div class="field-item odd"><a href="/tags/%E7%B5%B1%E4%B8%80%E8%B6%85">統一超</a></div><div class="field-item even"><a href="/tags/amazon-go">Amazon Go</a></div><div class="field-item odd"><a href="/tags/%E7%84%A1%E4%BA%BA%E5%BA%97">無人店</a></div><div class="field-item even"><a href="/tags/%E6%8B%BF%E4%BA%86%E5%B0%B1%E8%B5%B0">拿了就走</a></div></div></div>
2023/8/4 12:00作者王宏仁https://www.ithome.com.tw/voice/158084
ChromeOS可能即將不再內建Chrome瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google即將把ChromeOS與Chrome瀏覽器切分開來；<a href="https://www.aboutchromebooks.com/news/chromeos-116-may-begin-the-lacros-browser-push-to-chromebooks/?expand_article=1" target="_blank">本周有媒體報導</a>，Google可能最快從ChromeOS 116起不再整合Chrome瀏覽器，以加快Chromebook瀏覽器的更新。</p> <p>《Aboutchromebooks》報導，Google正在以Lacros專案取代整合式的Chrome瀏覽器。<a href="https://chromium.googlesource.com/chromium/src/+/main/docs/lacros.md" target="_blank">一個Chromium專案網頁說明</a>，Lacros為切分Chrome瀏覽器和Chrome OS視窗管理員及系統UI的架構專案，其名稱來自<strong>L</strong>inux <strong>A</strong>nd <strong>C</strong>h<strong>R</strong>ome <strong>OS</strong>。切開ChromeOS及瀏覽器的目的是，瀏覽器更新可以更快推送到Chromebook電腦，而不需等一整包ChromeOS更新。</p> <p>媒體發現到的最新Lacros文件變更，顯示Google可能將在Chrome OS 116中加入啟動Lacros的選項。報導指出，之前Lacros文件並未說明哪個版本。</p> <p>根據Google說明，Lacros可以被視為「具備更強Wayland通訊協定支援的Linux版Chrome」，它使用Ozone為圖形及事件處理的抽象層。此外，ChromeOS內建名為exosphere的Wayland實作，Lacros則使用exo為圖形及事件處理的Wayland伺服器。專案小組也公布了具備ARC（執行Android app）及Crostini（執行Linux app）容器的Wayland協定擴充程式。</p> <p>不過媒體也發現，一臺使用ChromeOS 116 Beta版的Chromebook並未看到Lacros-support的flag。因此推測Google可能還未決定何時將Lacros部署到Chromebook裝置。</p> </div></div></div>
2023/8/4 12:30作者林妍溱https://www.ithome.com.tw/news/158104
微軟Arm架構運算雲服務成軍，提供與擴增多款VM選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ms_azure_arm_vm-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年6月我們製作<a href="https://www.ithome.com.tw/article/151380">封面故事《Arm走入公有雲世界》</a>，當時提到兩大公有雲業者都已經或即將開始提供Arm架構雲端服務。以AWS為例，從2018年底起，他們基於自行研發設計的Arm架構處理器Graviton，推出執行個體服務，後續已發展到第三代晶片，並推出十多款執行個體服務，而旗下主攻資料庫、資料分析、檔案儲存等特定用途的雲端服務，底層也能搭配這些基於Arm架構而成的執行個體服務，作為運算平臺。</p> <p>另一家雲端業者微軟Azure，採取了不同策略。他們在2022年4月宣布將推出3大系列共6款Arm架構執行個體服務，開放用戶登記預覽測試，採用市售的Arm架構伺服器處理器：Ampere Computing公司的Altra系列，到了9月正式推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-OCP-Sustainability at the Core with Cloud Native Processors-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-OCP-Sustainability%20at%20the%20Core%20with%20Cloud%20Native%20Processors-2.jpg" style="width: 600px;" /></a></p> <p>事實上，這幾年以來，還有多家雲端業者宣布推出Arm架構執行個體服務，也都是採用基於Arm Neoverse N1架構而成的Ampere Altra系列處理器。例如，在2021年5月，OCI發表Ampere A1 Compute，提供虛擬機器與裸機等兩種部署選擇；在2021年10月，騰訊雲推出Cloud Virtual Machine系列標準型SR1(Standard SR1)服務；在2022年4月，阿里雲推出ECS g8m系列；在2022年7月，Google Cloud推出Tau T2A。</p> <p>截至目前為止，除了AWS，微軟Azure是目前提供最多Arm架構執行個體的公有雲。在最初發表之際，他們預告將推出支援一般用途的Dpsv5系列、Dplsv5系列，以及支援記憶體最佳化用途的Epsv5系列，相較於x86架構的虛擬機器服務，在性價比的表現上，領先幅度可達到50％。微軟表示，這批虛擬機器服務適合執行可橫向擴展規模的工作負載，舉凡網站伺服器、應用程式伺服器、開放原始碼資料庫系統、雲端原生系統，以及.NET應用系統、Java應用系統、遊戲伺服器、多媒體伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Cloud Provider-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Cloud%20Provider-overview.jpg" style="width: 600px;" /></a></p> <p>在系統資源的配置上，這三大系列執行個體服務，均採用3.0 GHz的Ampere Altra處理器，每一臺虛擬機器搭配的虛擬處理器，最多可提供64顆（Epsv5系列提供32顆），記憶體最多可提供208 GiB（Dplsv5系列提供128 GiB），以每顆虛擬處理器搭配的記憶體容量而言，Dplsv5系列提供2 GiB，Dpsv5系列提供4 GiB，Epsv5系列提供8 GiB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Azure Arm VMs-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Azure%20Arm%20VMs-1.jpg" style="width: 600px;" /></a></p> <p>而在網路裝置上，這三大系列執行個體服務最多可搭配8張網路介面，網路頻寬最大為40,000 Mbps（Epsv5系列為16,000 Mbps）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Dpsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Dpsv5-series%20spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Epsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Epsv5-series%20spec.png" style="width: 298px;" /></a></p> <p>關於儲存裝置，均可搭配資料硬碟，最多可設置32臺，但細分為搭配遠端儲存與暫存固態硬碟。以Dpsv5系列為例，標示為同名的Dpsv5系列執行個體服務僅限搭配遠端儲存，標示多了「d」稱為Dpdsv5系列的執行個體服務，搭配暫存固態硬碟，最大容量為2,400 GiB（Epdsv5系列最大容量為1,200 GiB）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Dpldsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Dpldsv5-series%20spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Epdsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Epdsv5-series%20spec.png" style="width: 298px;" /></a></p> <p>在作業系統的支援上，微軟在這些服務發表之初的預覽版將提供多種平臺，像是Ubuntu、CentOS等兩大Linux系統，以及Windows 11專業版與企業版，後續將涵蓋Red Hat Enterprise Linux、SUSE Linux Enterprise Server、Debian、AlmaLinux，以及Flatcar Container Linux，而以目前來看Azure雲端市集提供的Arm64系統映像，SUSE平臺選擇最多，SUSE Linux Enterprise Server占了6項，再加上openSUSE Leap 15.5，但CentOS、Debian尚未出現。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Marketplace VM images Arm64.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Marketplace%20VM%20images%20Arm64.jpg" style="width: 600px;" /></a></p> <p>而在應用程式平臺的部分，從.NET 5就已原生支援Arm架構執行的Linux系統，近期推出的.NET 6也延續這個基礎而繼續支援。此外，2022年8月釋出預覽版本的.NET Framework 4.8.1，對於Arm架構也提供原生支援，已整合在Windows 11社群內部預覽版，以及Visual Studio 2022 17.3。</p> <p>到了2022年8月釋出預覽版本、11月正式推出的17.4版，微軟也宣布Visual Studio 2022原生支援Arm架構應用程式的執行與組建。</p> <p>而由於許多開發平臺與語言近年來都已陸續提供Arm架構的支援，微軟也在2022年宣布Arm執行個體服務的開放預覽與正式推出的消息當中，趁機宣傳他們<a href="https://www.ithome.com.tw/news/144651">2021年5月推出的OpenJDK版本（Microsoft Build of OpenJDK）</a>，但實質成效與衍生的整合應用狀況並未揭露。</p> <p>在2023年5月，微軟宣布旗下Java工程團隊（JEG）打造的<a href="https://techcommunity.microsoft.com/t5/blogs/blogarticleprintpage/blog-id/AzureCompute/article-id/207#_ftn1">Microsoft Build of OpenJDK，已針對Azure的Arm執行個體服務完成最佳化調校</a>，可善用處理器架構Neoverse N1內建的多種特色，如密碼學演算法、大型系統延伸（LSE），而能改善大型伺服器系統的延展性，並且發揮每顆虛擬處理器就是實體核心的特性，確保JVM應用程式得以擴展執行規模與運用其他最佳化處理機制。同時，他們也說明使用Microsoft Build of OpenJDK 17.0.3+7 LTS、Parallel GC、G1 GC，對這些執行個體服務進行處理器功能測試——Java Microbenchmark Harness（JMH）、SPECJVM2008，以及處理器與系統記憶體的規模擴展測試——SPECjbb2015、HyperAlloc、YCSB/Cassandra。</p> <p>關於這批雲端運算服務效能的展現上，我們在網路上能找到的資訊並不多，今年7月底處理器廠商Ampere Computing公司在部落格發布使用案例文章，終於揭露一些可參考的相關數據，當中提到<a href="https://amperecomputing.com/blogs/amadeus-cloud-migration-on-ampere-altra-Instances">旅遊科技公司Amadeus想要透過效能測試去驗證某些假設</a>，結果呈現採用Arm雲端運算服務的成效，後續開始移植一些元件，以便執行實際的應用系統，該公司已完成平臺的整合測試與驗證，預計將在多個Azure區域建置正式使用環境。</p> <p>他們使用32個虛擬處理器的Standard_D32ps_v5執行個體服務，相較於同等級的英特爾處理器執行個體服務，原始吞吐量可具有20％的增長幅度，性價比則提升了50％，比起同等級的AMD處理器執行個體服務，原始吞吐量與性價比分別領先13％與27％。</p> <p>而在另一個實際的購物應用程式效能測試當中，他們看到這些Arm虛擬機器對照英特爾處理器執行個體服務，性價比改善47％，平均反應時間縮短11％，對照AMD處理器執行個體服務，性價比改善37％，平均反應時間縮短9％。</p> <p>除了鎖定一般用途的上述3大系列共6款D系列執行個體服務，在今年7月，微軟宣布即將推出新一代經濟蓄發型 (Economical burstable) 執行個體服務（亦即Bs系列VM產品線），開放用戶預覽測試，裡面也將涵蓋Arm架構的運算服務，他們將分別針對Intel Xeon Platinum 8370C、AMD EPYC 7763，以及Ampere Altra等三種處理器，分別推出Bsv2系列、Basv2系列、Bpsv2系列。相較於現行的B系列，新登場的Bs v2系列的性價比將提升15％，並且提供5倍網路頻寬與10倍遠端儲存吞吐量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Azrue%20Bs%20v2-rishabv90_1-1688969921528.jpg" style="width: 600px;" /></p> <p>對此，Arm首席解決方案工程師Pranay Bakre也特別在他們公司的部落格發文，說明推出這項運算服務的意義。他提到，Bpsv2系列提供基礎的處理器效能，並在工作負載大幅增加時，可擴展（暴增）至更高的效能，適合平時不需要持續使用完整效能的應用，像是系統開發與測試、流量低的網站伺服器、小型資料庫、微服務、概念驗證、系統組建、儲存程式碼；而在文章後半段，他也展示將這系列服務用於以GitHub Actions進行程式碼CI/CD流程的方式，可在應用程式組建與測試過程中，因應資源需求規模的變化，而能管理效能需求的激增。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Bpsv2-series%20spec.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p>微軟Azure Arm-based VMs<br /> ●原廠：微軟<br /> ●建議售價：東亞區域，Dpsv5的D2ps v5（2顆虛擬處理器、8 GiB記憶體）隨用隨付方案每月77.38美元<br /> ●執行個體服務選擇：Dpsv5系列與Dpdsv5系列、Dplsv5系列與Dpldsv5系列、Epsv5系列與Epdsv5系列、Bpsv2系列<br /> ●搭配的處理器平臺：Ampere Altra系列3.0 GHz<br /> ●運算資源最大配置：<br /> Dpsv5系列與Dpdsv5系列提供64顆vCPU、128 GiB記憶體<br /> Dplsv5系列與Dpldsv5系列提供64顆vCPU、208 GiB記憶體<br /> Epsv5系列與Epdsv5系列提供32顆vCPU、208 GiB記憶體<br /> Bpsv2系列提供16顆vCPU、64 GiB記憶體</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/4 11:33作者李宗翰https://www.ithome.com.tw/review/157971
Amazon EC2最新通用執行個體M7i上線，還有低價版M7i-Flex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布最新通用執行個體，現在的用戶已經可以用到搭載客製第四代Intel Xeon Scalable處理器（代號為Sapphire Rapids）的執行個體<a href="https://aws.amazon.com/tw/blogs/aws/new-seventh-generation-general-purpose-amazon-ec2-instances-m7i-flex-and-m7i/">M7i</a>，官方提到，其性價比較前一代M6i執行個體還高出15％。這次推出的執行個體除了M7i之外，還有其低價版M7i-Flex，價格更是降低了5％。</p> <p>M7i總共有9種尺寸，之後還會有2種裸機尺寸。M7i適用於大型應用程式、遊戲伺服器，還有基於CPU的機器學習，以及高CPU負載的影片串流等任務，用戶最多可以附加128個EBS磁碟區到每個M7i執行個體，相較之下，前一代M6i執行個體少上許多，僅能附加28個EBS磁碟區。</p> <p>M7i的低價版M7i-Flex執行個體則提供5種常見的大小，M7i-Flex執行個體的特色是價格較便宜，但提供40％的CPU效能基準，只保證在95％的使用時間可達到最大效能。適合用於未充分使用CPU效能的應用程式，像是網頁和應用程式伺服器、虛擬桌面、批次處理或是微服務等工作負載。</p> <p>要將應用程式從一般執行個體，搬遷使用M7i-Flex執行個體也很容易，用戶不需要修改應用程式或是工作負載，就能夠直接應用這類具彈性的新執行個體降低營運成本。</p> <p>第四代Intel Xeon Scalable處理器內建四種加速器，每種加速器都可對特定工作負載，提供硬體加速，包括可改進深度學習和推論，並支援自然語言處理和圖像辨識等工作的AMX（Advanced Matrix Extensions），而DSA（Intel Data Streaming Accelerator）則可加速資料移動和轉換操作，IAA（Intel In-Memory Analytics Accelerator）能提高資料庫和分析工作負載的效率，最後QAT（Intel QuickAssist Technology）則可減輕加密、解密和壓縮的處理器負擔。</p> <p>M7i和M7i-Flex執行個體皆支援AMX，不過QAT、IAA和DSA三個加速器，則需要在m7i.metal-24xl和m7i.metal-48xl裸機執行個體才可使用。目前M7i和M7i-Flex已經在美東、美西和歐洲愛爾蘭地區推出，其他地區則會在2023年下半年陸續上線。</p> </div></div></div>
2023/8/4 07:30作者李建興https://www.ithome.com.tw/news/158088
俄羅斯駭客利用Microsoft Teams展開網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/08/02/midnight-blizzard-conducts-targeted-social-engineering-over-microsoft-teams/" target="_blank">微軟本周揭露</a>了俄羅斯駭客組織Midnight Blizzard最新的網釣手法，駭客先是滲透了多個Microsoft 365小型企業租戶，利用這些租戶的權限建立新的且合法的子網域，再透過Microsoft Teams傳訊給目標組織的對象，以騙取權杖。自今年5月以來，已有超過30個組織受到影響。</p> <p>在駭客滲透了Microsoft 365租戶之後，便以它們的名義建立新的onmicrosoft.com子網域，這些子網域多半是以安全或是產品名稱為主題，再新增使用者以傳送Microsoft Teams訊息。</p> <p>其中一個例子是假冒為微軟身分認證保護服務，當目標對象接受了透過Microsoft Teams聊天的要求之後，駭客就會以各種方式誘導使用者開啟Microsoft Authenticator程式，並輸入一個號碼以產生一次性密碼，並將它提供給駭客，駭客就能存取該名使用者的Microsoft 365帳號，進而嘗試新增裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0803-Midnight-Blizzard-request-Microsoft-Teams.png" style="width: 600px;" /></p> <p>Midnight Blizzard主要的攻擊對象為政府組織、外交單位、非政府組織，以及IT服務供應商，目的為間諜行動。</p> <p>資安社群自2018年初就開始追蹤Midnight Blizzard，為了滲透目標對象，Midnight Blizzard採用了各種手法，涵蓋竊取憑證、供應鏈攻擊、先滲透本地端環境再延伸至雲端、利用對服務供應商的信任來接觸下游客戶，以及使用Active Directory Federation Service（AD FS）惡意程式等。</p> <p>微軟則建議客戶應部署反網釣機制，限制與外部網域的通訊，僅開放已知裝置，以及教育使用者關於社交工程的風險，也應教育Microsoft Teams使用者如何辨識來自外部的標記。</p> </div></div></div>
2023/8/3 15:23作者陳曉莉https://www.ithome.com.tw/news/158086
皮克斯、蘋果、Adobe與Nvidia成立OpenUSD聯盟以推動3D內容的開放標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>皮克斯動畫工作室（Pixar Animation Studios）、Adobe、蘋果、Autodesk、Nvidia，以及Linux基金會旗下的聯合開發基金會（Joint Development Foundation，JDF）<a href="https://www.apple.com/newsroom/2023/08/pixar-adobe-apple-autodesk-and-nvidia-form-alliance-for-openusd/" target="_blank">周二（8/1）宣布成立OpenUSD聯盟（Alliance for OpenUSD，AOUSD）</a>，以推動通用場景描述（Universal Scene Description）的標準化與未來發展。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-Alliance-for-OpenUSD-AOUSD-logo.jpg" style="width: 600px;" /></p> <p>通用場景描述是皮克斯在2016年所發表的開源3D圖像資料交換框架，著重於協作、非破壞性編輯，支援工具、資料與流程之間的互通，已被應用在視覺效果、建築、設計、機器人及電腦輔助設計（CAD）等領域。</p> <p>此一聯盟則打算進一步強化OpenUSD的能力，以建立3D生態體系的標準化，讓開發者與內容創作者得以描述、編寫及模擬大型的3D專案，以建置應用範圍愈來愈廣泛的3D產品及服務。</p> <p>因此，OpenUSD聯盟的下一步將是發展OpenUSD詳細功能的規格書，促進業界對此一架構的採用，亦允許其它標準組織將它納入規範。此一專案將由JDF代管，以替成為ISO標準舖路。</p> <p>該聯盟的創始成員指出，OpenUSD已經擴展到電影、視覺效果及動畫之外的應用，可望成為藝術家在不同裝置上呈現作品的解決方案，也可協助實現新一代的AR體驗，成為跨產業數位化與3D世界的標準。</p> <p>OpenUSD除了將設立論壇以供產業討論功能與技術上的定義之外，亦歡迎其它業者及組織加入以共襄盛舉。</p> </div></div></div>
2023/8/3 15:32作者陳曉莉https://www.ithome.com.tw/news/158087
MedTech醫療科技雙周報第24期：美前段班醫院AdventHealth揭醫療AI心得：做好MLOps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0716～0731）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AdventHealth </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLOps </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美前段班醫院AdventHealth成立AI諮詢委員會，重要心得是做好MLOps</strong></span></p> <p>AdventHealth是美國第15大的體系醫院，旗下有52家醫院、橫跨9州。他們今年成立AI諮詢委員會，要根據安全、倫理、可擴展性和病患福祉等原則來審查AI工具能否落地，委員會成員有醫師、IT、資料科學家和廠商代表，如微軟、Premier和Vizient等。</p> <p>根據HIMSS旗下媒體Healthcare IT報導，AdventHealth的AI諮詢委員會負責人Rob Purinton指出，委員會審查AI工具的方法採漏斗式思考，先從一個問題陳述開始，再納入AI和非AI解法，最後縮小到1項他們最想採用的工具。其中，他們會考慮原則性問題，比如該工具是否符合醫院願景、在現有技術框架內是否可行，又或是否夠安全、透明、可擴展且可持續評估，且對臨床醫師預期的工作流程，有哪些好處等。</p> <p>他也表示，隨著美國對醫療AI工具的標準和規格要求越來越詳細，委員會預期，未來對AI工具和廠商的審查流程將更簡單。不過，提到建立內部AI工具最重要的一課，Rob Purinton直言機器學習開發維運（MLOps）很重要，因為做好MLOps，就可避免資料品質出問題和模型漂移等問題，進而確保AI模型日常運作的正常。為做好MLOps，AdventHealth資料工程師和資料科學家正與微軟、Snowflake等廠商合作，來學習、改進內部AI措施。<a href="https://www.googlecloudpresscorner.com/2022-01-12-U-S-Department-of-Veterans-Affairs-Partners-with-Google-Cloud-to-Improve-Veteran-Access-to-Benefits-and-Services">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麻省總醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料互通 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美頂尖醫學中心如何推動數位轉型？麻省總醫院內科主任揭第一手經驗</strong></span></p> <p>美國頂尖醫學體系麻省總醫院暨布萊根婦女醫院（Mass General Brigham，簡稱MGB）內科主任David W. Bates日前來臺分享數位轉型經驗和進展。一直以來，MGB自建系統來支援日常工作，但隨著數位醫療興起，他們計畫推動數位轉型，首先盤點院內系統、發現系統老舊且資料互通性不足。於是，他們展開評估，若要自建系統、轉換成本太高，於是決定採用現成商用系統，在2016年導入美國市佔率最高的Epic系統至旗下所有醫院和診所。</p> <p>這麼做雖解決資料互通性問題，但David W. Bates坦言，MGB也有些問題要克服，比如系統難以精煉、臨床決策輔助功能不如舊系統好，需額外採購系統來補強等。不過，商用系統也為MGB日後AI發展打下基礎，能收集大量、標準化的臨床資料，讓團隊建置許多資料庫來供醫護和研究人員即時存取。此外，MGB也利用醫學影像數位化的基礎，打造許多醫學影像AI，不過，David W. Bates也點出目前MGB面臨的挑戰，像是即時AI預測所需的資料串聯、如何運用工具來確保AI產出的洞察，能給正確的醫護人員審閱。</p> <p>David W. Bates總結，醫院推動數位轉型時，必須投資基礎建設、確保資料互通性，並持續嘗試新技術和創新應用。他也建議，醫院若要找出高成本患者族群、降低醫院成本，可從心理健康狀態、社經地位、婚姻狀態和生活狀態等因子下手。MGB就因此找出這群高成本患者，他們占整體患者人數的5%，但卻耗費醫院50%的支出，MGB也根據這群患者調整措施，來提高成本效益。<a href="https://www.ithome.com.tw/news/158054">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/ying_mu_xie_qu_hua_mian_2023-08-01_123310.png?itok=817txGcU" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">新加坡 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療影像 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>新加坡國家醫療IT公司更名Synapxe，還打造國家級醫療AI開發平臺</strong></span></p> <p>由新加坡衛生部在2008年成立的國家醫療IT公司IHiS，最近在成立15周年之際更名為Synapxe，同時揭露更多醫療AI應用，要給新加坡國內40多家公立醫療機構使用。自IHiS成立以來，就肩負設計、開發醫療IT解決方案的責任，來支援新加坡46家公立醫療機構、7萬多名職員工作，IHiS同時還管理了600個醫療IT系統、8萬多個終端設備。</p> <p>Synapxe執行長Ngiam Siew Ying指出，他們要用生成式AI和雲端技術，來推動更多解決方案和計畫，其一就是今年7月剛與衛生部展開的Healthier SG計畫，他們用開放式架構和國家醫療資訊網格，來實現跨體系的資料互通和交換，以支援完善的照護。目前，Synapxe也打造了新加坡首個慢性病輔助解釋AI（ACE-AI），該AI採用深度學習演算法，來計算民眾罹患慢性病的早期風險，有助於預防醫學，並計畫在今年底展開全國測試。此外，[Synapxe也建置了新加坡首個醫療影像AI開發平臺AIM.SG，可接受各種類型和來源的醫學影像，來加速AI模型的開發、測試和部署。另一個Synapxe打造的AI系統是藥物遵從性影片分析器（AV-MED），該系統是Synapxe與新加坡綜合診所集團共同開發的原型，透過AI分析影片畫面，來提高患者的服藥性。<a href="https://www.synapxe.sg/mediadata/media-releases/singapore-healthtech-agency-synapxe/">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CareCloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>美醫資大廠CareCloud也採用公雲生成式AI服務了</strong></span></strong></p> <p>美國醫資廠商CareCloud最近宣布採用Google Cloud生成式AI服務，要來打造醫療系統服務，提供給美國中小型醫院和診所使用。進一步來說，CareCloud本來就採用Google Cloud來協助日常營運，這次要用生成式AI和企業搜尋功能來驅動自家產品，也就是採用Google的全託管機器學習平臺Vertex AI 和生成式AI應用程式建置工具（Generative AI App Builder）的搜尋功能，來打造臨床應用，讓醫師能即時存取資料。</p> <p>CareCloud說明，他們接下來要推出的解決方案，能在兼顧隱私法規的前提下，同時分析大量患者數據、提出問題，來根據回答得到洞察和基於事實的照護建議。CareCloud舉例，該解決方案適合用於患者進入醫院或診所時，先用生成式AI摘要患者相關訊息，並協助醫師制定照護計畫，包括藥物、實驗室檢驗檢查項目，以及根據患者病史和當下症狀來建議治療程序。而且，該解決方案還能根據建議的診斷、患者保險和其他訊息，來向診所和患者說明保險給付項目與待付金額。<a href="https://ir.carecloud.com/news-events/press-releases/detail/590/carecloud-and-google-cloud-collaborate-to-bring-the">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">中國附醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 病歷紀錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>口述10秒就完成病歷記錄，中國附醫推醫療生成式AI系統</strong></span></p> <p>中國附醫採用微軟生成式AI服務，開發出智海系統（gHi system），是首套以華文建立的生成式語音智慧醫療系統，能根據醫護口述，快速轉換為文字，來完成病歷的撰寫，減少醫護人員輸入病歷75％的時間，讓醫護人員更專注於患者照護。</p> <p>進一步來說，傳統手寫或鍵盤輸入病歷資訊，不只耗時，還容易出錯。為克服語音轉文字的準確度，中國附醫AI中心找來微軟，利用微軟Azure平臺上語音轉文字服務，辨識口述內容，再用同平臺提供的GPT-4模型，來摘要、分析，提取關鍵資訊，10秒就能自動生成專業醫療術語和建議。中國附醫指出，該應用可用於新病人面談問診、護理語音記錄、住院病歷撰寫、專業檢查報告輸出，甚至還能客製化生成等，大幅縮短撰寫醫療報告的時間。<a href="https://news.microsoft.com/zh-tw/generativeai-medical/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2023/07/MicrosoftTeams-image-6-1536x1153.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高雄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>高雄聯合學習智慧醫療聯盟揭亮點成果</strong></span></strong></p> <p>由臺灣人工智慧實驗室（Taiwan AI Labs）推動成立的高雄聯合學習智慧醫療聯盟日前展示研究成果，包括高醫附醫副院長黃尚志團隊用AI分析糖尿病人眼底攝影影像與生理數據，來預測腎病變的發生和惡化風險，同時也利用聯合學習平臺收集近萬筆圖像，來訓練模型、統計分析其中關係，來進行連動性預測發病風險，以便醫護及早介入治療。（如下圖）</p> <p><img src="https://lh3.googleusercontent.com/BoYcGi8v4nF2Sv1IAKMidXV2XBEMpZa9rwAca9Z1SoI0D6jCqZCTdUF7GkCsnIwhBcCVf2q_dKKn6mqXYdT0Po1gXpbt7plKDzYAqW2tjDP2m1BjkMVdHPqzBEJAxWRJJZ511dBdLXuC" style="color: rgb(0, 0, 0); font-family: "Microsoft JhengHei"; font-size: 16px; white-space-collapse: preserve; margin-left: 0px; margin-top: 0px;" /></p> <p>高雄長庚也是聯盟一員，他們是全臺蒐集腦部中風電腦斷層影像最多的醫學中心，該院放射診斷科副教授林偉哲就透過跨院資料，再用聯合學習平臺打造腦缺血性中風診療預後AI輔助系統，來快速找出需要緊急處置的病人，縮短治療等待時間（如下圖）。</p> <p><img src="https://lh5.googleusercontent.com/TTP1_4ytr8IP9n1BehvxPpi9Qc90FCPamClQ8tlqfhRTulFQ1YMpiCZClD0rq_6Zve9CAWyRo7ypY9T_asrtf5J603wdg_x2pzy4ouVQti2xfwWfYzDqQPrJNSK4jKLoeIq5H0MEwLyZ" style="background-color: transparent; color: rgb(0, 0, 0); font-family: "Microsoft JhengHei"; font-size: 12pt; white-space-collapse: preserve; margin-left: 0px; margin-top: 0px;" /></p> <p>此外，聯盟成員之一的高雄榮總也有相關應用，運用聯合學習平臺來訓練「院前心跳停止早期警示預測AI模型」，來讓急診和重症團隊及早介入治療。（如下圖）</p> <p><span id="docs-internal-guid-5aa289f7-7fff-fbcb-c9a2-3a15e9c1ad64"><span style="font-size: 12pt; font-family: "Microsoft JhengHei"; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:650px;height:233px;"><img height="237.07051050662994" src="https://lh6.googleusercontent.com/Rksra3__D0gs7GeaxXMHs35c5RTt7UBkxUJXiqqPs5SphExbw_N9K-FJXMb3qhHN73by41Xx2NJWugc_m2hXJ_honUoF6SytNOdk4PlSh6WArDoDg439u8pXvdsKoBjVhBgUSPLv06Cj" style="margin-left:0px;margin-top:-4.070500524714589px;" width="650" /></span></span></span></p> <p>另一個聯盟成員義大醫院則展開骨質密度預測系統計畫，預計要輸出一萬組資料來訓練、驗證骨密度預測模型，要藉此篩選出骨質疏鬆症高風險個案，提供治療來降低脆弱性骨折的發生。此外，義大醫院也要用聯合學習方法打造All-in-One藥物智慧辨識系統，預計要會辨識6千項藥物品項，來輔助臨床醫師和照護團隊準確判斷病人用藥現狀。（如下圖）<a href="https://docs.google.com/document/d/1DtWihfKCkw3PXA3WPzLRlwX3A5H5Ocf-/edit?usp=sharing&ouid=111412338141324079990&rtpof=true&sd=true">（詳全文）</a></p> <p><span id="docs-internal-guid-f428fa85-7fff-d7d7-efbd-9e6a4f69956a"><span style="font-size: 10pt; font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:650px;height:303px;"><img height="310.58449244499207" src="https://lh4.googleusercontent.com/jNYNSrAAX18GbUixecyc4SXrZ5mqr7zmaNwb3pr2IN2bJGEn8VqIGYadj4IgjLJhaOaKVWXnh5xFFAnapAXI2q6WZVZVtu7Vnpn68BErDdSzo0XKXERuufoI63otdX3W7Tjq-HL6dAGh" style="margin-left:0px;margin-top:0px;" width="650" /></span></span></span></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>AWS推出新服務，用生成式AI加速開發醫療應用程式</strong></span></strong></p> <p>7月底，AWS推出醫療專用生成式AI開發服務預覽版Amazon HealthScribe，符合美國醫療安全法規HIPAA，能加速醫療軟體供應商用來打造臨床應用程式。比如，開發者可使用文字識別和生成式AI技術來生成臨床文件，節省醫生時間。此外，醫療軟體供應商可用單一個API，來自動建立臨床記錄、提取文件關鍵訊息（如醫學術語和藥物），並根據醫病對話建立摘要，然後將這些資料輸入到電子健康紀錄（EHR）系統。Amazon HealthScribe由Amazon Bedrock提供支援，讓醫療軟體供應商能更快、更輕鬆將生成式AI功能整合到其應用程式中。在普通醫學和骨科這兩個常見專科，也有醫療軟體供應商開始使用Amazon HealthScribe了，不必自建LLM等基礎設施。<a href="https://aws.amazon.com/about-aws/whats-new/2023/07/aws-healthscribe-preview/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自動化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距監測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>IDC：醫院未來2年將加碼第三方技術投資，著重RPM計畫</strong></span></strong></p> <p>市調機構IDC和Redox聯手發布一項調查報告《買方心態：臨床主管和IT主管的醫療技術觀點》，該調查訪問全美205位中大型醫院的臨床主管和IT主管，88%受訪者表示，將在2023、2024年增加第三方技術投資，一大原因是要推動數位轉型。進一步來說，調查顯示，超過半數受訪者將數位轉型視為醫院最重要的目標，而部署新IT解決方案的首要目的是更自動化（47%）、降低成本（35%），再來是提高照護品質和病人安全（31%）、將資料作為醫院戰略資產（30%）。</p> <p>第三方技術投資大宗為自動化工具和遠距照護工具，因為，近7成受訪者認為遠距醫療和其他虛擬照護解決方案，是解決醫護人力短缺的關鍵，另也有6成以上受訪者認為，RPM（遠距病人監測）計畫至關重要，而4成多受訪者認為，自動預約排程工具比過去更有價值。報告指出，43%受訪者已制定RPM計畫或正進行額外投資來推動RPM，另也有55%受訪者指出，他們使用RPM平臺來管理慢性病患，或用來即時警示、進行臨床處置，還有45%受訪者點出，他們打算用RPM來輔助高風險患者儘早出院。甚至，將近8成受訪者表示，在今年結束前，他們將實現5到20個RPM計畫，有些醫院還打算擴大範圍，要涵蓋行為治療。<a href="https://www.redoxengine.com/blog/88-of-u-s-providers-plan-to-increase-third-party-technology-spending/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-08-03%20at%201_15_06%20AM.png" /></p> <p>圖片來源／國科會、臺灣人工智慧實驗室、微軟、IDC</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 美國國家醫療IT協調辦公室ONC要求醫院使用社會決定因素（SDOH）資料</strong></strong></p> <p><strong><strong>2. Accenture著手打造紐西蘭國家級一站式健康資料平臺</strong></strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/8/2 18:53作者王若樸https://www.ithome.com.tw/news/158078
肯亞出手封鎖虹膜掃描加密貨幣Worldcoin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/InteriorMinistryKenya/posts/pfbid02ZR8xxiwtFfDctHLYeD17zPJq6BWJChbSMcNJq3XsLpsjxwwEKNY6yWAuXF9mZ23Kl" target="_blank">肯亞內政部周三（8/2）宣布</a>，由於擔心Worldcoin可能造成的安全及隱私問題，將立即中止Worldcoin於該國境內的所有活動。</p> <p>Worldcoin是由OpenAI執行長Sam Altman共同創辦的加密貨幣公司，企圖藉由掃描地球上每一個人的虹膜來建立普及的加密貨幣生態體系，成功掃描的使用者可獲得一組World ID，還能換得免費的Worldcoin代幣（WLD）。目前Worldcoin已於全球18個國家部署虹膜掃描機器Orb，<a href="https://worldcoin.org/blog/announcements/worldcoin-begins-rollout-orbs-meet-global-demand-world-id" target="_blank">根據該公司今年7月下旬的統計</a>，全球已有超過200萬人取得World ID。</p> <p>至於肯亞則是Worldcoin的主要市場之一，在Altman於去年底甫發表Worldcoin之際，當地就有超過25萬人掃描了自己的虹膜，取得World ID，而且提供虹膜掃描機器Orb的據點還經常大排長龍。</p> <p>肯亞內政部表示，該國的安全、金融服務及資料保護機構都開始調查相關活動的合法性，它們擔心Worldcoin取得及使用民眾資料的方式，對於涉及大量該國公民的活動，應該要先能夠保證金融交易的完整性與公共安全。</p> <p>因此，肯亞政府決定出手阻止Worldcoin於該國境內的任何活動，直至相關機構完成調查，證明Worldcoin不會對大眾帶來任何風險為止。</p> <p>Worldcoin現有的市場除了肯亞、智利、印度、巴西及阿根廷之外，也包括日本、新加坡、英國、德國及法國等，<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2023/07/ico-statement-on-worldcoin/" target="_blank">而英國資料保護組織ICO已警告境內民眾</a>，提供生物辨識資料予業者是個高風險活動，將會對Worldcoin展開調查，而法國與德國的資料保護組織也已攜手共同調查Worldcoin。</p> </div></div></div>
2023/8/3 15:04作者陳曉莉https://www.ithome.com.tw/news/158085
Apple Silicon的Mac也可執行Fedora！8月底第一個正式版即將到來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asahilinux.org/2023/08/fedora-asahi-remix/">Asahi Linux專案在8月底時，將會正式發布Fedora Asahi Remix</a>，而這將會是一個支援Apple Silicon的Linux，讓用戶也可以在Mac上順暢運作Linux。</p> <p>Asahi Linux在去年3月的時候釋出第一個公開Alpha版本，但由於是一個很早期的版本，因此功能也不齊全，僅有Wi-Fi、Ethernet、鍵盤和顯示器等基本硬體功能，諸如圖形加速、TouchBar、藍牙和神經網路引擎等皆不支援。</p> <p>在Apple Silicon的Mac上執行Linux，連Linux之父Linus Torvalds都有興趣的事，實際執行卻相當困難，Asahi Linux官方提到，要在Apple Silicon這樣相對新的硬體上，提供完整的Linux支援並不容易，需要大量的逆向工程和開發工作，整體工作量非常大。</p> <p>Asahi Linux專案一開始將開發能量集中在Bootloader和核心，這些可在各Linux發行版本共用的工作。不過，就算核心已經達到基本可用的程度，但是要跟Linux發行版結合，仍然有許多細緻的整合工作需要進行，而且也需要在使用者空間專案合作，添加需要的功能。官方希望Asahi Linux能夠與市面上所有Linux發行版整合，讓用戶可以在Mac上任意選擇使用不同的Linux，由於這個宏大的目標，因此Asahi Linux需要先自行開發一個整合原型，呈現Linux發行版整合Asahi Linux應該呈現的樣子。</p> <p>最初Asahi Linux利用Arch Linux ARM，加入自己的套件打包成Asahi Linux Arch Linux ARM remix，雖然這個方法可行，但因為缺乏與上游的合作，Asahi Linux始終無法透過官方平臺提供更廣泛的支援。而Fedora專案這時候向Asahi Linux伸手，於是雙方一拍即合密切合作，Asahi Linux將Apple Silicon完全整合到Fedora，這包括了所有的自定義套件、核心等。</p> <p>直接與上游合作，使得Asahi Linux能夠與核心發行版更緊密的整合，也能迅速修復各種軟體套件的問題。由雙方合作的Fedora Asahi是一個上游優先專案，因此所有Asahi Linux特殊工具，像是m1n1低階Bootloader以及Asahi腳本工具，都存在上游的Fedora儲存庫中，可以直接供所有Fedora用戶使用，而Fedora Asahi硬體支援套件，存放在由Fedora Asahi工作組維護的個人套件建置系統COPR中，直接由Fedora基礎設施建置和供應。</p> <p>雖然Asahi Linux許多工作已經整合到Fedora上游，但是官方暫時決定以Remix版本發行，提供更好的硬體整合彈性，不過官方預告，最終Apple Silicon支援還是會整合到Fedora Workstation和Fedora Server中。Fedora Asahi Remix的第一個正式版，將會在8月底的時候釋出，目前開發者已經可以先下載開發版本試用。</p> </div></div></div>
2023/8/3 13:04作者李建興https://www.ithome.com.tw/news/158082
Kickstarter要求新創專案揭露AI使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著愈來愈多新創團隊以AI來強化專案，<a href="https://updates.kickstarter.com/introducing-our-new-ai-policy/" target="_blank">產品募資平臺Kickstarter本周宣布新規定</a>，從8月底開始將要求使用AI的專案必須清楚揭露使用方式，並確實取得創作者的創作使用許可。</p> <p>Kickstarter表示，有些專案利用AI改得更好，但另一些人的創作則被用以訓練這些AI模型，這些創作者應該獲得彰顯、尊重。經過和創作者、投資人、平臺同業的意見交換後，Kickstarter形成了AI使用的揭露政策，將在8月29日上路。Kickstarter強調，新政策不是要禁止專案團隊使用AI，而是希望平臺上募資的專案仍然應包含人類原創性，且專案團隊應清楚說明專案中如何使用AI；若專案參考了任何其他人的藝術作品，應適當表彰（give credit）且取得其同意。</p> <p>從8月29日起，如果專案涉及AI，會在專案提交過程中被要求詳細說明。新政策影響包括二類專案：以AI工具產生圖片、文字或任何內容的專案，以及開發AI技術、工具或軟體的專案。</p> <p>根據新政策，第一類，以AI工具產生圖片、文字或任何輸出的專案應在產品頁揭露資訊，包括他們計畫專案中如何使用AI內容，以及專案中哪些部份是人類創作，哪些是用到AI輸出的內容。</p> <p>第二類，開發AI技術、工具或軟體的專案團隊應說明他們使用了、或計畫使用的所有資料庫及資料來源，也應說明這些資料來源的使用許可政策。若這些來源沒有管理許可的政策，或獲得自我保護的機制，像是opt-in或opt-out，則Kickstarter不會同意募資專案的提交。</p> <p>若是專案提交過程中未依規定揭露AI使用，之後該專案可能會遭到停權。有規避或不實說明者，可能導致未來禁止在Kickstarter提交的後果。</p> <p>新政策將在8月29日生效實施，但對在此日期前已提交的專案則不溯及既往。新政策上路後也會公布在其<a href="https://www.kickstarter.com/rules" target="_blank">規定頁</a>及<a href="https://help.kickstarter.com/hc/en-us/categories/115000492154-Creator-questions" target="_blank">Help Center</a>頁。</p> </div></div></div>
2023/8/3 11:32作者林妍溱https://www.ithome.com.tw/news/158080
Meta開源文字轉音效、配樂的AI框架AudioCraft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/audiocraft-musicgen-audiogen-encodec-generative-ai-audio/" target="_blank">Meta周三宣布</a>開源可以輸入文字生成音樂的AI框架AudioCraft，讓不會譜曲或不懂音樂的遊戲或VR開發人員，也能製作精彩的音效或配樂。</p> <p>AudioCraft是一個開發框架。經訓練後，就能根據使用者輸入的文字，產生高品質及逼真的聲音或音樂。AudioCraft包含三個模型，<a href="https://huggingface.co/spaces/facebook/MusicGen" target="_blank">MusicGen</a>、<a href="https://felixkreuk.github.io/audiogen/" target="_blank">AudioGen</a>和EnCodec。其中MusicGen以Meta自有及專屬授權音樂訓練而成，可以文字生成音樂，AudioGen是以公開聲音資料集訓練，能生成音效。MusicGen和AudioGen是Meta去年分別於<a href="https://www.ithome.com.tw/news/157281" target="_blank">6月</a>及<a href="https://the-decoder.com/audiogen-meta-ai-generates-audio-from-text/" target="_blank">10月</a>發表的模型。</p> <p><a href="https://www.ithome.com.tw/news/153985" target="_blank">Encodec則是去年11月發表的聲音壓縮技術</a>，號稱壓縮效果是MP3的10倍。AudioCraft包含的Encodec解碼技術為新版本，較前版減少壓縮失真率。</p> <p>經過預訓練的AudioGen模型可產生環境音效及聲音，如狗吠、汽車喇叭、木階梯上樓聲等。Meta指出，開源AudioGen旨在提供研究並促進產業界的了解，允許開發商以自有資料集訓練自己的模型。</p> <p>Meta也說明AudioGen和傳統生成音樂的AI模型不同。傳統訓練音樂生成AI模型，是透過音樂的象徵表現方式，如MIDI或鋼琴打孔紙卷。但是此類方法無法完全掌握音樂表現的細微差異及風格元素。進階一點的是用自我監督式音頻表示法學習（audio representation learning）及多種階層式（cascaded model）模型來產生音樂，將原始音樂輸入複雜系統以抓取訊號較長範圍的結構，以利生成高品質聲音，但效果仍然有待改進。</p> <p>Meta表示，AudioCraft家族模型則簡化音訊生成模型的整體設計，讓用戶以自然語言輸入，不需寫程式，而生成高品質且品質穩定的聲音，涵括音效及配樂，不但生成音訊容易、快速、也能重覆使用，還具有壓縮音訊演算法，適合不同需求的用戶。</p> <p>Meta的競爭對手也推出了音訊生成AI模型。<a href="https://www.ithome.com.tw/news/137371" target="_blank">OpenAI 2020年發表音樂生成的機器學習框架Jukebox</a>，而<a href="https://www.ithome.com.tw/news/156832" target="_blank">Google今年5月也公布了MusicLM</a>。而一個<a href="https://www.riffusion.com/" target="_blank">AI平臺Riffusion則以Stable Diffusion的AI模型為基礎</a>，提供以文字生成音樂的服務。</p> <p>這是Meta開放使用的最新AI模型。上周Meta也聯手微軟公布了<a href="https://www.ithome.com.tw/news/157854" target="_blank">可免費商用的大型文字語言模型（Large Language Model）Llama-2</a>。</p> </div></div></div>
2023/8/3 11:46作者林妍溱https://www.ithome.com.tw/news/158081
【資安日報】8月2日，美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客滲透美國政府的情況，在先前有美國政府向微軟通報逾20個組織電子郵件遭竊的情況，最近傳出當局對軍事設施進行調查的消息，原因是他們發現中國駭客2022年部署的惡意軟體，可能會在臺海未來發生戰爭時，防礙美國出兵援助臺灣。美國政府官員認為，這樣的惡意軟體不只影響軍事行動，還有可能波及民間企業及民眾，造成社會恐慌。</p> <p>專門竊取臉書企業帳號的竊資軟體NodeStealer，其動態也相當值得留意。研究人員發現，有人以Python語言重新改寫，使得這個惡意軟體不僅功能變得更加強大，也更難進行反組譯。</p> <p>連網設備恢復原廠初始設定，竟然會遺留部分機敏資料而曝險！Canon上週發布資安通告，指出旗下逾200款噴墨印表機在恢復原廠設定之後，Wi-Fi無線網路組態仍留存，而這些資訊有可能被用來入侵家庭或企業的內部網路環境。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.nytimes.com/2023/07/29/us/politics/china-malware-us-military-bases-taiwan.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國傳出找尋埋藏於軍事系統中國惡意軟體</span></strong></a></p> <p>根據紐約時報的報導，美國正在針對各種軍事防禦系統進行清查，認為當中可能存在來自中國的惡意軟體，而有可能導致軍事通訊與補給行動遭到干擾。有官員向泰晤士報透露，政府認為惡意程式碼埋藏於軍事基地使用的電網、通訊系統、供水系統。也有國會官員認為，此惡意軟體有如定時炸彈，讓中國有能力切斷美國軍事基地的電力、水利、通訊，延緩軍事部署與補給行動，甚至造成中斷的情況，可能在中國未來對臺灣採取軍事行動的時候，干預美國軍方的運作。</p> <p>該國政府官員認為其影響極為廣泛，因為軍事基地通常與民間共用相同的基礎設施，企業與民眾也可能受到該惡意程式衝擊，而導致社會動盪。</p> <p>這項惡意軟體攻擊行動最初被揭露的時間，是在今年5月，當時微軟在關島及其他地區的電信系統偵測出神秘的程式碼，並指出攻擊者的身分是中國資助的駭客組織Volt Typhoon，但現在有十多名美國官員與業界專家認為，中國駭客的攻擊範圍超出電信系統，且至少在2022年5月就開始從事相關攻擊，美國政府追查此惡意程式已進行一段時間，由於這些程式碼埋藏得極為隱密，目前仍無法得知完整的攻擊範圍。近幾個月以來，美國白宮也針對此惡意程式召開一系列會議，討論因應方式，並向各州州長及公營事業公司透露調查結果，有官員透露，上述惡意程式碼的調查，最初集中於該國的軍事基地。</p> <p><a href="https://www.ithome.com.tw/news/158068"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">主機代管業者Cloudzy被資安廠商指控包庇駭客組織，為其提供C2代管服務</span></strong></a></p> <p>資安業者Halcyon揭露被用於代管C2的虛擬專用伺服器（VPS）供應商Cloudzy，此業者於美國、歐洲、亞洲建立15個資料中心（其中10個在美國），其VPS支援Windows及Linux作業系統，也提供遠端桌面連線（RDP）功能，但有別於一般的VPS業者，任何人只要提供企業的電子郵件信箱就能租用，而且該公司接受以加密貨幣支付相關費用，攻擊者因此偏好使用該公司的服務。</p> <p>研究人員指出，他們起初是在調查勒索軟體附屬機構Ghost Clown與Space Kook的攻擊行動中，察覺兩組駭客都透過Cloudzy架設C2，進一步追查有不少駭客組織也使用Cloudzy，如勒索軟體駭客UNC2352與FIN12、犯罪集團TA505、以色列間諜軟體公司Candiru，以及來自中國、印度、伊朗、北韓、巴基斯坦、俄羅斯、越南的17個國家級APT駭客組織，進而確認Cloudzy是C2供應商（C2P）。</p> <p>根據Halcyon的調查，由Cloudzy代管的伺服器當中，保守估計約有4成至6成被用於網路攻擊，而且，雖然該公司在美國登記，但實際上主要業務都是在伊朗首都德黑蘭進行。針對上述指控，Cloudzy執行長Hannan Nozari向路透社聲稱，他們公司不應對客戶的行為負責，並認為其中僅有2%客戶從事惡意活動。</p> <p>資料來源</p> <p>1. <a href="https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers">https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers</a><br /> 2. <a href="https://www.reuters.com/technology/cloud-company-assisted-17-different-government-hacking-groups-us-researchers-2023-08-01/">https://www.reuters.com/technology/cloud-company-assisted-17-different-government-hacking-groups-us-researchers-2023-08-01/</a></p> <p><a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT31鎖定東歐工控環境與關鍵基礎設施，企圖從被隔離的網路環境竊取機密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/230731-ttps-p2-picd2-en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/230731-ttps-p2-picd2-en.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露中國駭客組織APT31（亦稱Zircium）的攻擊行動，駭客從去年4月，鎖定東歐的工業控制系統（ICS）及關鍵基礎設施（CI）的受隔離網路環境而來，於其過程中總共至少使用了15種攻擊工具，最終在目標電腦部署惡意軟體FourteenHi。研究人員指出，駭客的攻擊行動可分3個階段，初期，先對目標系統植入惡意軟體，以便讓攻擊者能遠端存取，並進行偵察工作。到了第2階段，駭客散布能透過USB裝置入侵隔離網路的工具；在第3階段，則是將收集到的資料回傳至C2伺服器。</p> <p>駭客使用的惡意軟體，包含四種工具：（一）偵測連接到電腦的外接式儲存裝置，並用來收集檔案、截取螢幕截圖、投放額外的惡意酬載；（二）使用含有弱點的McAfee可執行檔，藉由DLL挾持的手法來感染外接式儲存裝置；（三）執行批次檔收集裝置上的資料，並輸出到名為$RECYCLE.BIN的資料夾；（四）類似第一種工具，也具備偵測連接到電腦的外接式儲存裝置，並能用來收集檔案、截取螢幕截圖，但沒有感染外接式裝置的能力。</p> <p>不過，事情後來有了變化。去年5月，研究人員發現駭客在攻擊行動使用額外的工具，目的是從遭到感染的電腦收集本機檔案，並使用WinRAR打包，然後傳送至Dropbox。</p> <p><a href="https://unit42.paloaltonetworks.com/nodestealer-2-targets-facebook-business/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人以Python重新改寫竊資軟體NodeStealer，並假借提供Excel及Google Sheets範本的名義散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-129362-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-129362-10.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露新一波的竊資軟體NodeStealer 2.0攻擊行動，駭客先是透過臉書發送廣告訊息，表示免費提供可追蹤預算的Excel及Google Sheets的專業範本，引誘使用者從Google Drive下載特定的ZIP壓縮檔，一旦依照指示開啟裡面的可執行檔案，電腦就有可能被植入NodeStealer 2.0。此竊資軟體主要的功能為接管臉書的企業帳號，並能盜取加密貨幣、搜括瀏覽器的帳密資料，甚至能讓攻擊者下載BitRAT、XWorm等惡意程式到受害電腦上。與今年5月Meta揭露的NodeStealer相比，這個竊資軟體的2.0版改以程式語言Python重新打造，目標也不再只是針對臉書的企業帳號，而駭客這麼做，也使得新版竊資軟體難以反組講，威脅也更加嚴重。</p> <p>研究人員指出，上述NodeStealer 2.0的惡意程式下載功能裡，攻擊者利用名為fodhelper.exe的處理程序執行PowerShell指令碼，從遠端伺服器接收ZIP壓縮檔，目的是繞過Windows作業系統的使用者帳號控制（UAC）功能。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158066"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Canon呼籲用戶送修、汰換印表機前，應手動移除Wi-Fi組態</span></strong></a></p> <p><a href="https://psirt.canon/advisory-information/cp2023-003/">7月31日Canon發布資安通告</a>，指出該公司旗下的噴墨印表機存在漏洞，第三方人士有可能藉此得知Wi-Fi無線網路的組態，進而發動攻擊，約有200款機型會受到影響，這些印表機涵蓋家用、企業級噴墨印表機，以及大圖輸出機。呼籲使用者如果要將印表機送修，或是要進行淘汰，必須清空印表機的Wi-Fi設定。</p> <p>該公司並未透露漏洞的名稱或CVE編號，但指出上述存在弱點的印表機裡，儲存的Wi-Fi設定不會在回復初始組態的過程刪除，而使得他人有機會存取敏感資料，例如：SSID、密碼、Wi-Fi網路通訊協定（如WPA3、WEP）、IP位址、MAC位址等，進而入侵家用網路或是企業網路的環境。對此，他們呼籲用戶應在重設所有組態後，接著開啟WLAN，然後再次進行所有組態重設的命令，來避免Wi-Fi組態外洩的情況。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=1&menu_id=40&news_id=110737"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化零售業對於個人資料的保護，經濟部發布綜合商品零售業個人資料檔案安全維護管理辦法</span></strong></a></p> <p>經濟部根據個人資料保護法第27條第3項規定，制定的綜合商品零售業個人資料檔案安全維護管理辦法，於8月1日正式發布、施行，對於資本額達新臺幣1千萬元以上、且有招募會員，或是能取得交易對象個資的零售業者，必須在6個內訂定安全維護計畫。此計畫內容需包含個人資料蒐集、處理及利用之內部管理程序、界定個人資料之範圍及項目、資訊安全管理及人員管理、實施教育訓練，及事故之預防、通報及應變機制等，並應配置相當資源，落實個人資料檔案之安全維護及管理，防止個人資料被竊取、竄改、毀損、滅失或洩露。經濟部也預告將舉辦有關的宣導說明會，輔導業者訂立上述的維護管理計畫。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://money.udn.com/money/story/5612/7340009"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣資安新創池安量子資安成立亞洲首座量子安全遷移中心</span></span></strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/out-sandbox-wikiloader-digs-sophisticated-evasion"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">義大利組織遭惡意軟體WikiLoader鎖定，於受害電腦部署金融木馬及竊資軟體</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/retail-chain-hot-topic-discloses-wave-of-credential-stuffing-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國服飾零售業者Hot Topic遭遇網路攻擊，用戶資料可能外洩</span></span></strong></a></p> <p><a href="https://blog.checkpoint.com/security/is-your-peloton-attracting-security-threats/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Peloton智慧健身器材存在漏洞，攻擊者有可能存取系統資訊、部署惡意軟體</span></span></strong></a></p> <p><a href="https://www.securityweek.com/nearly-all-modern-cpus-leak-data-to-new-collidepower-side-channel-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露名為Collide+Power的處理器漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> </div></div></div>
2023/8/2 17:55作者周峻佑https://www.ithome.com.tw/news/158077
企業強化供應鏈安全怎麼做？專家剖析NIST 800-161r1 C-SCRM管理框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安在供應鏈上可視性相當低，大家可能還沒意識到，或是不知道如何評斷」，資誠智能風險管理諮詢風險與控制服務執行董事張晉瑞在今年臺灣資安大會活動上說。</p> <p>在企業營運管理上，供應鏈管理相當重要，相關的風險管理也受到重視，但是除了營運、商譽等供應鏈的風險之外，對供應鏈衍生的安全風險管理也開始受到重視，但仍有不少企業不知道如何系統化、邏輯化的加強供應鏈安全風險管理，甚至不知道如何採取行動。</p> <p>根據PwC全球調查結果，只有約4成的企業掌握第三方或供應鏈帶來的風險，換言之，過半數的企業無法掌握供應商、雲端等第三方業者的相關風險，受訪者無法回答公司針對第三方或是供應鏈的風險採取何種行動。甚至有的企業僅僅因為和第三方業者合作，信任第三方業者，沒有採取行動，「這樣是對的嗎？」，張晉瑞反問。</p> <p>因此為了降低第三方或供應鏈的資安風險，他歸納出現今的趨勢是，儘量降低供應商數量，同時強化監控能力，「因為風險如同水庫理論，水會從最弱的那一點流進來，不應該讓供應商成為最弱的那一點」。因此和供應商建立安全生態系相當重要，面對資安威脅下，合作是安全生態系的關鍵，例如分享情資、提升員工教育訓練、訂定共同責任條款等等。</p> <p><span style="color:#B22222;"><strong>企業應該如何去管理供應鏈的資安風險？</strong></span></p> <p>張晉瑞以去年美國發布的NIST 800-161r1 C-SCRM（Cybersecurity Supply Chain Risk Management）網路安全供應鏈風險管理指南為例，企業對於供應鏈的風險透視度及掌握是低的，SP800-161r1是從企業自身擁有供應鏈的甲方思維來看，而SP800-171/172則是從第三方業者，想要打進供應鏈的乙方角度，例如要打進美國軍工產業供應鏈的CMMC Model 2.0，分為Level 1、2、3三級，Level 1屬於自評，Level 2需符合NIST SP800-171，Level 3則需達到NIST SP800-172。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SP800-161.jpg" style="width: 600px; height: 443px;" /></p> <p>張晉瑞表示，當企業開始要求供應商達到其要求，想要成為別人的供應商，也要重視達到別人的安全水準，因此如果企業是乙方，提供產品及服務，就要符合SP800-171、172。總而言之，不論是甲方或乙方，對供應鏈安全的要求愈來愈重要。</p> <p>進一步檢視NIST 800-161r1提出的供應鏈風險管理，以邏輯的方式提出各層級的風險管理面向，張晉瑞指出，對於各個角色、面向提出定義，包括網路安全專家、風險管理者、系統工程師、採購人員、使用單位，各個不同角色應該重視的重點是什麼。此外，還分為3個層級，例如全公司對於供應鏈管理層級應注意的事項，個別流程或專案應注意的事項，以及營運作業上應做到的事項，分門別類定出20個風險控管的大項目、共293個子項目，企業可以據此檢視哪裡已做的很好，繼續保持，哪裡則需要加強改進。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/matrix-600.jpg" style="width: 600px; height: 437px;" /></p> <p>這20個風險控管的大項目，例如存取控制、認知及訓練、稽核與問責、安全評估授權與監控、識別與認證、維護、事件回應等等，每個大項目底下包含數個子項目。</p> <p>至於一般的風險評估和供應鏈風險評估有何不同？張晉瑞認為，兩者方法、邏輯相似，但最大的不同在於供應鏈的風險評估需要專家、工具，例如紅軍、藍軍、紫軍、Code Review等工具，將看不到的資安具象化表現出來，讓企業進一步評估風險。</p> <p><strong><span style="color:#B22222;">使用開源軟體常見的挑戰</span></strong></p> <p>以供應鏈中可能使用到的開源軟體為例，企業對開源軟體的掌握度有多少？他分享曾經在一項委託對OSS進行C-SCRM的專案中，經過盤點後，企業內使用10種以上的框架，近百種元件。「企業如果不了解供應鏈使用什麼套件，很難掌握它帶來的漏洞風險」。</p> <p>開源軟體在供應鏈安全風險常見的挑戰，如果以20個供應鏈風險控管的大項目來看，例如在存取控制項目上，由於每個套件存取控管方式不同，有的套件只有簡易的存取控管，有的套件則有相當細緻的存取控管，難以建立一體適用存取控管機制，套用在所有的套件上。在稽核與問責的大項目中，日誌紀錄的格式、細緻度不一樣，也不容易符合企業的商業需求。在安全評估授權與監控大項目中，需要考慮到軟體檢測工具能不能支援開源軟體等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OSS-600.jpg" style="width: 600px; height: 437px;" /></p> <p>另外，在計畫管理的大項目中，企業使用開源軟體大多非用於核心的資訊系統，因此較少針對開源軟體擬定資訊系統安全計畫，以及落實檢查。至於維護方面，由於專門提供開源軟體維護的廠商較少，仰賴企業內部人才或是論壇資源，都需要考量相關的風險。</p> <p>張晉瑞指出，企業如果為乙方角色，必需對使用開源軟體的挑戰或潛在風險有更深的瞭解及應對，才能符合甲方大客戶的要求，否則可能危及企業的經營根本。</p> <p><span style="color:#B22222;"><strong>臺灣也有供應鏈風險管理規範</strong></span></p> <p>供應鏈安全風險管理已受到重視，加拿大、美國、英國、瑞士、歐盟、澳洲、新加坡都提出相關規範，對風險評估、責任歸屬釐清相當重視，如果企業的產品或服務提供給國外市場，就會面臨當地法規的要求。</p> <p>臺灣也有相似的供應鏈風險管理規範，金管會在2023年3月底公告「金融機構資通系統與服務供應鏈風險管理規範」，該規範即是參考NIST 800-161r1 C-SCRM訂定，規範內容共有9條，涵蓋委外前、選商前、委託契約中應約定事項、契約存續期間應注意事項，還有服務變更或契約終止應符合事項。</p> <p>張晉瑞指出，雖然金融機構風險管理規範的條文僅僅9條，但因為參考NIST 800-161r1，企業委外如果需要更完整的風險管理細節也可以參考NIST 800-161r1。不只是金融機構，半導體產業也有SEMI E187/188規範，對供應鏈安全也有相關的規範。未來，愈是強勢、愈大規模的企業或客戶，愈有他們對應的要求，供應商難以針對不同客戶訂定個別的風險管理，因此要有一套根本的風險管理框架，足以管理所有供應鏈的元件及安全，並應付絕大部分客戶的要求，例如 SP800-161r1或SP800-171/172的CMMC管理框架，「這樣才能穿一套衣服，足以應付各種派對，而不需要經常換裝」。</p> <p>他也分享PwC對於第三方及供應鏈的風險管理框架，其中對供應商就區分8類角色（如下圖所示），包括產品廠商、服務供應商、合資企業、商業通路、經紀人或經銷商等等，對不同類型的企業而言，每種供應商的角色重要性不同，企業可自己評估風險管理的優先性。對於衍生的風險則分為12類，包括信譽、營運、財務、業務連續性、國家、網路安全、隱私、技術、過度集中、分包等等，資安為其中的風險之一。此外，框架也將簽約前到簽約之後分為5個階段循環，包含風險規畫、評估、議約、持續監督、終止。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230511_095123-1.jpg" style="width: 600px; height: 407px;" /></p> <p>張晉瑞指出，不論使用哪種管理框架、方法，重點是對第三方或供應鏈安全風險有沒有一套方式管理。你（企業）不能保護你（企業）看不到的，因此對企業及供應商來說，建議應辨識企業、第三方或供應商之間的系統資料流向，利用資訊科技找出供應鏈的弱資安鏈結。企業也可嘗試要求供應商夥伴提高防護機制強度，以和企業自身的管理要求切齊，雖然這和企業的規模大小、在供應鏈關係的強勢與否有關，但為了加強管理供應鏈安全，仍可以嘗試要求供應商和企業的標準切齊。</p> <p>另外，如同剛開始所說的供應鏈管理趨勢，企業可以從風險評估，嘗試合併或簡化，降低供應鏈的複雜度，因為供應鏈愈多愈複雜，會增加管理上的難度。</p> <p>從資安長角度來看，是否有即時監控應用系統、弱點的能力；可以建立第三方或供應鏈的管理部門，為第三方或供應鏈管理當責。檢視資料流過程，確保每個過程有相對應的保護。最後，將風險管理的結果，依規定每年彙報給董事會。</p> </div></div></div>
2023/8/2 18:44作者蘇文彬https://www.ithome.com.tw/news/158076
資策會揭軟體委外開發管理關鍵，幫助委外承辦人即時掌控開發進度與資安問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去對於軟體開發與程式設計的資訊委外管理，普遍的作法，多是從清楚定義委外範圍、合約詳實記錄的角度出發，以履約管理約束委外供應商的品質，然而，大家時常還是會擔心外包商的技術與人力狀況。例如，廠商了解需求嗎？能否如期交付？是否已通過功能與安全測試？因為可能曾經遭遇無法如期驗收，品質低落不符需求的問題。</p> <p>在7月舉行的臺灣雲端大會上，我們看到資策會發展出用一站式DevSecOps整合平臺，實踐委外管理的應用模式。為何開發這樣的系統可用於委外？他們表示，因為委外軟體開發期間往往缺乏透明度，需建立開放與透明的溝通管道，要求定期進度報告，以及定期稽查與回饋，而他們基於這些需求所開發的這套系統，不只內部開發團隊適用，也能解決委外開發透明度不足的問題，讓專案執行進度、各項資安檢測，都能在驗收前做到更好的即時掌控。</p> <h2><strong>企業軟體開發委外，需面對驗收時出現不合預期的焦慮</strong></h2> <p>基本上，資訊委外分為5大類型，包括：軟體開發與程式設計、資訊系統營運與維護、技術支援與客戶服務、數據管理與資料中心營運，以及雲端服務。</p> <p>以軟體開發與程式設計的委外而言，資策會專案經理組長林君容表示，委外的確帶來許多好處，例如，現在企業可能為了增加競爭力，將非核心技術委外，讓自家人力可專注於核心業務，就是好處之一，但也有諸多管理議題與風險要注意，尤其是溝通與協調。</p> <p>例如，從委外管理作業程序來看，首先是委外項目選擇與可行性分析，像是哪些專案適合委外？可不可以委外？以及供應商能力評估與選擇。接下來，除了簽約要確保契約細節清晰明確，並考量各種風險，在簽約流程之後的履約執行控制，又是另一重點。</p> <p>畢竟，不論案子大小，在委外簽約之後，對於承辦人與經手人而言，還是會擔心各種層面的問題，包括：廠商進度及能否準時交付，以及交付成果可能存在落差，像是不確定外包商對需求的理解程度，甚至於系統臭蟲的妥善處理，資安檢測報告的真實度。</p> <p>而在資策會與一些機關單位洽談的實際經驗中，他們也收集到很多抱怨。例如：「廠商說好的功能卻沒作到，他們會推託表示先前我們沒講，不然就是說好的交期一拖再拖，甚至做出跟當初要求的明顯不同。」林君容表示，這些情況的發生，對身兼數職的委外承辦人來說，實在苦不堪言。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E8%B3%87%E7%AD%96%E6%9C%83%E8%BB%9F%E9%AB%94%E9%96%8B%E7%99%BC%E5%A7%94%E5%A4%96%E7%AE%A1%E7%90%86%E9%80%8F%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>對於軟體開發委外簽約後的履約執行控制，資策會專案經理組長林君容表示，過往存在最後交付才見真章的風險，如何讓委外專案進度檢查透明化？借助DevSecOps一站式整合工具來管控是一種方式。</strong></p> <h2><strong>透過一站式整合平臺，即時掌握委外開發進度與細節</strong></h2> <p>關於如何因應上述委外痛點，以及履約執行控制難題，林君容也趁機介紹自家打造的DevSecOps一站式整合工具，並說明此平臺的特殊應用，可讓委外開發過程「看」得到、「管」得到、「摸」得到。</p> <p>該平臺是資策會兩年前打造，以開源解決方案為基礎並整合既有工具，而成為資安檢測掃描的敏捷開發平臺，當中整合了Redmine、GitLab、Harbor等CI/CD工具軟體，程式碼品質與風險檢測工具SonarQube，網站安全弱點掃描工具OWASPZAP，API整合測試工具Postman，網頁行為錄製與自動化測試工具SideeX，以及測試實證環境。</p> <p>由於市面上的DevSecOps相關工具，幾乎都是外商產品的天下，因此這次資策會說明他們開發的平臺框架內容之餘，對於想自行開發DevSecOps平臺的國內企業開發團隊而言，也帶來可從中借鏡的機會。</p> <p>這樣的平臺對委外開發管理的具體幫助是？林君容表示，過去委外承辦人員要等到最後一刻，交期來臨才會收到外包商提供的光碟，此舉可能造成準備上線的成品，缺乏足夠時間修改。因此承辦人員更希望委外開發的程式碼，能做到自行管理，看得到專案進度，確認程式開發或檢測報告真假。</p> <p>實務上，資策會如何運用這套平臺來管理委外程式開發？他們設法促使委外開發的整個環境與流程，都集中到企業能夠檢視的這個整合性平臺上。林君容表示，對於組織的委外承辦人而言，可透過此平臺提供的儀表板，看到專案執行進度、專案規畫、議題走向與溯源，以及需求開發歷程等。同時，在這平臺上，也能管到各項資安檢測。</p> <p>基本上，專案程式碼一上傳，就會自動資安掃描測試，快速知道提交的程式是否存在問題，讓軟體開發專案從過程的一開始，就能依據檢測報告，進行資安強化。</p> <p>至於備受各界關注的軟體物料清單（SBOM）平臺，資策會的這套DevSecOps系統也具備。林君容指出，去年底平臺新增這方面功能，讓第三方套件安全問題也能受管理。</p> <p>因此，即便負責承辦人員沒有資訊背景，同樣能在此看到外包廠商開發成果——可在此執行驗測，並檢視資安報告的真實產出，也就是能掌握開發環境與開發交付成果，而非所有開發成果都隱藏在委外廠商端，難以確認狀態。相反地，承辦人本身如果有資訊背景，可從中檢視外包工程師處理每個議題，新增或更動的程式碼，另一方面，這也如同專家在側，可以學習廠商程式撰寫技巧。</p> <p>林君容強調，在委外開發時，由於兩間公司具有不同文化背景，可能常因基於禮貌，詢問一次進度之後，之後就不好意思問第二次，或是問到第三次、覺得打擾對方而作罷，但委外業務的執行，可能會遇到對方缺乏當責觀念與行動，且未落實監督機制，因此如能建立開放、透明的溝通管道，將可以帶來相當大幫助。</p> <p>綜觀上述應用方式，等於替企業進行委外開發管理作業，提供了新的思路，讓有能力的企業也能參考，進而自行設計打造自家的DevSecOps平臺，而資源不足的企業，也能採用這類型的應用服務，促使委外開發管理變得更容易與透明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89%E8%B3%87%E7%AD%96%E6%9C%83%E8%BB%9F%E9%AB%94%E9%96%8B%E7%99%BC%E5%A7%94%E5%A4%96%E7%AE%A1%E7%90%86%E9%80%8F%E6%98%8E_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>資策會展示自家DevSecOps整合工具，當中整合了Redmine、GitLab、Harbor等CI/CD工具軟體，程式碼品質與風險檢測工具SonarQube，網站安全弱點掃描工具OWASPZAP，API整合測試工具Postman，網頁行為錄製與自動化測試工具SideeX，以及測試實證環境。</strong></p> <h2><strong>打破傳統委外開發管理的透明度不足的枷鎖</strong></h2> <p>關於委外管理，過去大家都談到要透明，但如果能即時監看進度、內容、歷程，顯然又提升到更易了解的程度，讓透明化做到更即時、深入，以及全面的狀態。</p> <p>對此，林君容表示，過往的資訊委外管理透明，通常是指程序透明，例如，在執行選案選商應秉持公開、公正、透明等原則，對於資策會而言，他們開發的DevSecOps整合工具的委外管理應用，讓交付成品生動，所有交付可分散在不同迭代產生，讓承辦人及業務單位人員即時掌握進度與內容，不再是等到交期到了，才會看到的死板板光碟，或是已經沒有足夠時間可修改準備上線的成品。</p> <p>另一個我們好奇的問題是，乍看這套工具，初期應該不是針對委外應用而來。林君容表示，資策會DevSecOps整合工具原是因應內部需求而打造。由於坊間工具相當多，加上資策會內部的團隊有上百個，而每個團隊都想自建CI/CD，但每個人的方法不同，且每次開設新專案就要重新做，這不僅是重工（重複工作）且將衍生難維護的問題，因此，他們決定建構出這樣的平臺，幫助同仁提升工作效率與程式品質。</p> <p>後續資策會在內部推動此平臺的應用時，他們的委外廠商也一同加入，過程中他們發現，原來資訊委外管理的需求，並不亞於內部開發管理的需求，此時外包管理的應用才在內部發酵。而且，後續與其他機關單位互動時，也遇到對方指出外包管理是其痛點的情形。</p> <p>綜合來說，這個平臺起初並非針對委外應用，但資策會從實務經驗中，注意到可為委外開發管理帶來助益的情形。同時，他們也將這樣的成果，以服務形式提供外界使用，林均容表示，資策會目前提供地端與雲端的解決方案，並有開源免費Lite版與付費企業版之分，如果你是小型團隊，或初次導入DevOps的企業開發團隊，可下載開源的Lite版本使用。</p> <p>至於平臺是否為了委外應用，而增添更多相應管理功能？她表示，目前主要以查核點進度作為監控依據，未來將全面資訊管理儀表化，讓平臺可以更符合資訊委外承辦人員的需求。</p> </div></div></div>
2023/8/2 15:15作者羅正漢https://www.ithome.com.tw/news/158069
Amazon Clinic遠距醫療服務推向全美
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/retail/amazon-clinic-available-nationwide" target="_blank">Amazon昨（1）日宣布</a>其遠距醫療平臺服務Amazon Clinic將擴大於全美各州推出。</p> <p><a href="https://www.ithome.com.tw/news/154211" target="_blank">Amazon Clinic於2022年11月公布的虛擬健康市集</a>，提供多項健康問題的專業諮詢，讓消費者無需預約或保險，能迅速找到合法醫師經由文字訊息、相片提供診斷，並可由醫師開立處方箋。</p> <p>去年這項服務在32州推出，本周起擴及全美50州及華盛頓特區，而且也終於提供文字訊息或視訊看診。這項服務在34州提供文字訊息諮詢外，現在也支援全美50州視訊看診。用戶可透過Amazon.com或Amazon App提供24x7的專業醫師諮詢服務。Amazon Clinic能提供的健康問題項目，也由原本的20多項增加為30多項，包括泌尿道感染、結膜炎及男性勃起障礙等。</p> <p>Amazon是和線上醫療業者包括Wheel、Curai Health、Hello Alpha及SteadyMD合作提供Amazon Clinic服務，目前不接受保險，但保險可涵蓋這裏的處方藥費用。Amazon Clinic強調符合HIPAA隱私保護規定，不會使用消費者的健康訊息。</p> <p>Amazon Clinic上的文字訊息服務起價約為30到40元，視訊看診服務則為70到100美元，消費者可自行到藥局購買或在Amazon線上藥局填寫表格，由Amazon遞送藥物到家。</p> <p>這項服務使Amazon Clinic得以擴大遠距健康照護的市場實力，挑戰主要專業線上醫療業者如MDLive、Teladoc Health、GoodRx、SoYoung等。</p> <p>為了推出健康照護服務，Amazon分別於2018年買下<a href="https://www.ithome.com.tw/news/124224" target="_blank">線上藥局PillPack</a>、2022年買下診所及線上醫療服務商<a href="https://www.ithome.com.tw/news/152071" target="_blank">OneMedical</a>。此前Amazon也曾和巴菲特及摩根大通合組健康照護公司Haven，不過由於想法不同，<a href="https://www.ithome.com.tw/news/142039" target="_blank">三者於2021年初拆夥</a>，並關閉Haven。</p> </div></div></div>
2023/8/2 13:11作者林妍溱https://www.ithome.com.tw/news/158067
Halcyon指控Cloudzy替逾20個駭客組織提供命令暨控制服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.halcyon.ai/blog/report-ransomware-command-and-control-providers-unmasked-by-halcyon-researchers" target="_blank">資安業者Halcyon本周揭露</a>，駭客生態體系中出現了一個新產業，有眾多的駭客組織利用同一家虛擬私有伺服器（Virtual Private Server，VPS）供應商的服務來充當命令暨控制伺服器，其中，成立於美國，卻在伊朗經營的Cloudzy便至少服務來自全球的逾20個駭客組織。</p> <p>Cloudzy在美國、歐洲及亞洲建立了15個資料中心以提供VPS服務，光是美國就占了10個，它支援Windows與Linux平臺，也支援遠端桌面協定（RDP），還支援外匯交易，官網首頁就直接列出了VPS價目表，而且得以加密貨幣支付。</p> <p>Halcyon說，傳統的勒索軟體即服務（Ransomware as a Service，RaaS）領域由不同的產業組成，從負責滲透被駭網路的Initial Access Broker（IAB）、專門建置勒索軟體服務的RaaS供應商，以及真正執行攻擊的RaaS聯盟夥伴，而現在則新增了諸如Cloudzy的控制暨命令供應商（Command-and-Control Provider，C2P），這些供應商可能是無心，也可能是有意提供相關服務予全球的駭客組織。</p> <p>Halcyon是在調查Ghost Clown與Space Kook兩個新興RaaS攻擊事件時，察覺它們都使用了Cloudzy服務來充當命令暨控制伺服器，進一步分析後發現，Cloudzy先前即是眾多駭客組織的C2P，包括勒索軟體集團UNC2352與FIN12，組織型犯罪集團TA505，以色列間諜軟體公司Candiru，以及來自中國、印度、伊朗、北韓、巴基斯坦、俄羅斯及越南的17個國家級APT駭客組織。</p> <p>此外，根據Halcyon的估計，由Cloudzy代管的伺服器中，大約有4成到6成直接支援潛在的惡意行動，而Cloudzy的費用不僅便宜，容易使用，而且只需要一個電子郵件信箱，不需認證用戶身分，完全符合駭客的需求。</p> <p>於是Halcyon公布了與Cloudzy有關的網路入侵指標（IOC），以便在環境中出現相關的RDP主機名稱時，察覺各種惡意行為。</p> </div></div></div>
2023/8/2 13:48作者陳曉莉https://www.ithome.com.tw/news/158068
Meta傳最快下月推出具備人格的AI助理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/fa76c8ce-cdfd-458c-baec-73dceb2d2ad5" target="_blank">英國《金融時報》報導</a>，Meta正在積極開發其AI聊天機器人技術，將整合在旗下服務成為AI助理，最快在下個月問世。</p> <p>報導引述消息人士指出，這聊天機器人將整合在Instagram（IG）、Facebook Messenger及WhatsApp中，可提供搜尋、建議、整理資訊等服務，以及和用戶對話互動。而和其他聊天機器人最大的不同在於，Meta的AI助理具備不同人格，例如一個AI助理以衝浪高手角色幫用戶規畫旅行，另一個則能模仿美國總統林肯聲音說話。</p> <p>報導指出，為了提供個人化服務，這聊天機器人也會蒐集用戶資料，以便提供個人化內容，還會顯示廣告。</p> <p><a href="https://twitter.com/alex193a/status/1665825192398995469" target="_blank">一名App研究人員Alessandro Paluzzi上個月發現</a>，IG正在測試中的AI助理，可回答用戶問題、提供建議、激發靈感，而且還提供30種人格角色選擇。</p> <p class="rtecenter"><a href="http://twitter.com/alex193a/status/1665825192398995469" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-IG-AI-image%20by%20Alessandro%20Paluzzi%20on%20X-600.jpg" style="width: 399px;" /></a></p> <p>對於最新的AI聊天機器人服務報導，Meta並未評論。</p> <p>不過Meta在其服務中整合AI能力絕不令人意外，因為Meta是AI技術開發的先行者之一，像是機器學習框架PyTorch、自我監督學習電腦視覺模型DINO到大型語言模型Llama。<a href="https://www.ithome.com.tw/news/157854" target="_blank">Meta上個月還和微軟共同宣布新一代Llama-2的開源計畫</a>，並協助企業在Azure和Windows上部署。</p> <p><a href="https://seekingalpha.com/article/4620268-meta-platforms-inc-meta-q2-2023-earnings-call-transcript" target="_blank">Meta執行長祖克柏在上個月的財報會議中也說明</a>，正利用Llama開發多項可用在其所有服務的新產品。他當時僅說今年下半會再披露細節，但預告在其App中AI可以有很多種應用，協助用戶彼此連繫、分享內容或自我表達，像是助理、教練，或是以代理人角色和店家、企業與創作者互動。他說，這些新產品可改善App或元宇宙的使用者體驗，幫助他們打造虛擬世界、Avatar或物件。</p> <p>上一季，Meta終於重返獲利，營收較去年同期成長11%。在線上App方面，Meta 7月宣布的Twitter殺手服務Threads雖然1億註冊用戶數流失一半，但<a href="https://www.ithome.com.tw/news/158053" target="_blank">Meta相信</a>增加新功能有助於提高用戶黏著度。</p> </div></div></div>
2023/8/2 12:00作者林妍溱https://www.ithome.com.tw/news/158065
Canon噴墨印表機Wi-Fi設定漏洞可能洩露用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://psirt.canon/advisory-information/cp2023-003/" target="_blank">Canon本周發出安全公告</a>，警告噴墨印表機漏洞可能被第三方人士獲取消費者及企業用戶的Wi-Fi設定資訊進而發動攻擊，影響約200款產品，呼籲用戶應在不再使用或送修前，清空印表機Wi-Fi設定。</p> <p>Canon並未提供漏洞名稱，但說明，儲存在印表機記憶體中Wi-Fi連線設定，在一般初始化過程中不會刪除，而使他人得以存取用戶的敏感資訊。這些資訊可能包括網路SSID、密碼、網路型態（如WPA3、WEP）、指派的IP位址、MAC位址等，可使他人藉此存取這些印表機用戶的家用或企業網路。</p> <p><a href="https://canon.a.bigcontent.io/v1/static/affected-models_20230731_d04c0d9895124b65acd21ca68357dcdc" target="_blank">受到影響的產品包括</a>200款家用、企業用噴墨印表機及大圖輸出機。</p> <p>Canon提醒當用戶送修、出租他人或汰換印表機之前，應重設所有設定，再開啟WLAN功能，再次重設所有設定。如果不想重設所有設定者，可以只重設LAN設定、啟用WLAN後，再次重設LAN設定。</p> <p>這是Canon兩周內再一次發出漏洞公告。<a href="https://tinyurl.com/28nyjlyy" target="_blank">該公司7月底才公告</a>多項緩衝溢位及驗證不當漏洞，可造成攻擊者對印表機發動阻斷服務（DoS）攻擊或執行惡意程式。這批漏洞影響大批噴墨、雷射印表機及多功能事務機。</p> </div></div></div>
2023/8/2 12:27作者林妍溱https://www.ithome.com.tw/news/158066
採用Nvidia頂級資料中心GPU，AWS新執行個體上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_amazon_ec2_p5-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當前最受全球矚目的資料中心GPU產品，莫過於Nvidia在2022年3月GTC春季大會發表的H100，當時除了眾多伺服器廠商表示將搭配這款GPU，也預告各大公有雲業者提供搭配H100的執行個體服務，打算這麼做的廠商有阿里雲、AWS、百度智能雲、Google Cloud、微軟Azure、Oracle Cloud Infrastructure（OCI）、騰訊雲。</p> <p>同年9月GTC秋季大會期間，<a href="http://nvidianews.nvidia.com/news/nvidia-hopper-in-full-production">Nvidia宣布H100進入完全生產狀態</a>，他們表示，雲端業者2023年會開始部署搭配H100的執行個體服務，此時列出的廠商有4家，分別是：AWS、Google Cloud、微軟Azure、OCI。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Nvidia%20Platform%20and%20Partners.jpg" style="width: 600px;" /></p> <p>到了2023年3月GTC春季大會，Nvidia揭露雲端業者相關服務的提供狀態與進度，例如，Cirrascale、CoreWeave這兩家的H100執行個體服務已經正式上線，<a href="https://azure.microsoft.com/en-us/blog/azure-previews-powerful-and-scalable-virtual-machine-series-to-accelerate-generative-ai/">微軟Azure已開放ND H100 v5系列服務的私密預覽</a>，<a href="https://blogs.oracle.com/cloud-infrastructure/post/limited-availability-oci-compute-nvidia-h100">OCI限量提供搭配H100的運算裸機GPU執行個體服務</a>，</p> <p>AWS表示接下來幾週將開放特定用戶預覽，主角是Amazon EC2執行個體服務當中P5將會使用H100，最大可提供20 Exaflops的運算效能，可用來組建與訓練最大的深度學習模型，此款雲端服務也將導入AWS第二代EFA（Elastic Fabric Adapter）網路卡，可能提供3,200 Gbps的網路頻寬與吞吐能力，若需要更大運算規模，可在EC2 UltraClusters這套雲端運算叢集服務當中，擴展使用2萬臺H100 GPU彼此連接，以因應超級電腦等級效能的AI隨需存取應用。此外，Google Cloud、Lambda、Paperspace、Vult這幾家雲端廠商，也計畫推出搭載H100的雲端服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Nvidia%20H100%20System%20partners.jpg" style="width: 600px;" /></p> <p>在這段期間，ChatGPT引領全球人工智慧熱潮，推動相關技術發展的OpenAI與微軟成為舉世矚目的焦點，微軟也趁機在Nvidia GTC春季大會與自家Build開發者大會，宣傳他們發展的Azure AI基礎架構，ND H100 v5系列當然也被提到，外界預期這個執行個體服務就快要正式推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Nvidia%20GTC-Azure%20H100%20instances%20preview.jpg" style="width: 600px;" /></p> <p>然而，到了6月底，AWS突然宣布推出Amazon EC2 P5，搶先微軟Azure推出搭配Nvidia H100的執行個體服務，全名為p5.48xlarge，單個執行個體服務，最多可搭配8張內建HBM3記憶體80 GB的Nvidia H100，此服務目前僅在兩座資料中心區域供應，分別是：美國西部（奧勒岡），以及美國東部（維吉尼亞北部）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-27-AWS%20P5%20GA1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-27-AWS%20P5%20GA2.jpg" style="width: 600px;" /></p> <p>關於使用效益的差異，AWS表示，相較於採用Nvidia上一代資料中心GPU（A100）的執行個體服務P4，若改用P5執行深度學習模型的訓練處理，時間縮減幅度可達到6倍之多，原本要好幾天才能完成，現在只需幾個小時，而這樣的效能突飛猛進，也帶來降低AI訓練成本的效益，可節省40％的費用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-infographic2.jpg" style="width: 600px;" /></p> <p> </p> <p>除了GPU帶來顯著的運算效能提升，P5在伺服器運算效能與資源的配置上，也優於P4。舉例來說，處理器效能增加1倍（AMD第三代EPYC、192顆虛擬處理器，對上英特爾第二代Xeon Scalable、96顆虛擬處理器），系統記憶體容量提升7成（2,048 GiB對上1,152 GiB），本機硬碟存容量增加至4倍（30 TB對上8 TB）。</p> <p>而在網路頻寬的部分，P5因為導入AWS本身發展的第二代EFA網路加速技術，傳輸效能可達3,200 Gbps（P4為400 Gbps），可提供強大的橫向擴展規模能力，有利於承擔分散式AI訓練，以及處於緊耦合狀態的高效能運算工作負載。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-AWS%20P4%20P5%20Comparison.png" style="width: 500px;" /></p> <p>若要支援更大規模的人工智慧與高效能運算處理，用戶可建置Amazon EC2 UltraCluster，並在這個叢集環境部署P5執行個體服務，提供 Pbps等級的網路互連能力，最多可連接2萬張Nvidia H100，匯集運算容量可達到20 Exaflops的規模。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-ec2-p5-instances-ultracluster2.jpg" style="width: 600px;" /></a></p> <p> <strong><span style="color:#008080;">產品資訊</span></strong></p> <p>AWS Amazon EC2 P5<br /> ●原廠：AWS<br /> ●建議售價：On-Demand Linux方案每小時98.32美元<br /> ●基礎運算規格：AMD第三代EPYC處理器、2 TB記憶體、30 TB NVMe儲存空間<br /> ●提供服務規模選擇與最大組態：p5.48xlarge，192顆虛擬處理器、2048 GiB記憶體、8臺3.84 TB本機儲存、8張Nvidia H100 GPU、網路頻寬為3,200 Gbps，網路儲存：使用AWS區塊儲存服務EBS，存取頻寬為80 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/2 01:56作者李宗翰https://www.ithome.com.tw/review/158051
【資安日報】8月1日，Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。</p> <p>針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。</p> <p>專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年零時差漏洞超過4成來自已知漏洞修補不全，安卓生態圈長期面臨較高的攻擊風險情況加劇</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/imageLikeEmbed.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）針對去年出現的零時差漏洞攻擊進行分析，他們總共發現41個被駭客利用的漏洞，較2021年的69個顯著下降。但研究人員提出警告，去年有逾4成（17個）的零時差漏洞，與過往曾揭露的漏洞修補不全有關，對照2021年有2成漏洞存在這類情況來看，2022年增加至4成，嚴重程度顯然有增無減。</p> <p>另外一個值得留意的是，TAG這次特別點名安卓系統上的N-day漏洞現象，由於Google對於安卓作業系統進行修補後，還要經過裝置製造商打造更新程式，相關的修補軟體才會套用到使用者的裝置上，而這樣的時程過於漫長，導致駭客無須挖掘零時差漏洞，而是利用Google或晶片製造商已經公布、修補，但裝置製造商尚未派送更新軟體的N-day漏洞，就能達到相同的目的。</p> <p>研究人員舉出去年7月發現的Mali GPU顯示晶片漏洞CVE-2022-38181為例，Arm在同年10月予以修補，但直到今年4月的安卓安全更新公告，相關的修補程式才納入該作業系統，換言之，即使是Google自家的Pixel手機，竟然也曝險長達半年，更遑論其他廠牌的安卓裝置。而且，針對該漏洞的攻擊程式，去年11月就已經出現，可見這個風險缺口有多大。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體CherryBlos藉由OCR盜取圖片裡的加密貨幣錢包帳密資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CherryBlos-4a.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技在今年4月，發現鎖定安卓裝置的惡意軟體CherryBlos、FakeTrade，前者是透過釣魚網站散布的竊密程式，後者則是上架Google Play市集的詐騙軟體。研究人員指出，駭客散布CherryBlos的途徑，主要是透過社群網站推特、抖音、即時通訊軟體Telegram，假借提供挖礦軟體、即時通訊軟體、AI機器人App的名義，透過廣告連結將使用者導向釣魚網站，進而於目標裝置部署此竊密軟體，而能夠以此竊取加密貨幣帳密，並在使用者提款、轉帳時，趁機置換錢包的網址，再順勢掏空受害者的加密貨幣錢包。</p> <p>特別的是，此竊密軟體盜取帳密資料的手段，除了模仿加密貨幣錢包的使用者介面，引誘使用者輸入相關資料並進行竊取，還能透過光學字元辨識（OCR）的方式，從存放在裝置上的圖片挖掘帳密資料，並定時回傳至C2。</p> <p>另一方面，研究人員也在Google Play市集裡，看到31款詐騙應用程式FakeTrade，引誘使用者觀看廣告、訂閱付費服務、儲值應用程式的錢包，但直到使用者想要兌現這些有價物資時，才驚覺上當。FakeTrade與CherryBlos使用相同的C2基礎設施、金鑰，研究人員認為這些惡意軟體背後的攻擊者可能是相同駭客組織。</p> <p><a href="https://www.cyfirma.com/outofband/apt-bahamut-targets-individuals-with-android-malware-using-spear-messaging/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒牌即時通訊軟體SafeChat鎖定安卓用戶而來，竊取Telegram、WhatsApp、Facebook Messenger資料</span></strong></a></p> <p>資安業者Cyfirma揭露印度駭客組織Bahamut的攻擊行動，他們先是使用WhatsApp尋找攻擊目標，然後以更加安全、隱密為由，提供名為SafeChat的即時通訊軟體為幌子，目的是進行間諜軟體攻擊，進而竊取手機通話記錄、簡訊、GPS位置資訊，以及即時通訊軟體Telegram、WhatsApp、Facebook Messenger的用戶資料，主要目標是南亞使用者。</p> <p>研究人員指出，此惡意程式前身是Coverlm，且具備類似即時通訊軟體的介面，用戶操作時會要求各式權限，以便能夠截取螢幕截圖和鍵盤輸入的內容，或是讓該惡意程式能在後臺持續運作，而在使用者將App關閉後，C2仍繼續與此惡意軟體保持通訊。</p> <p><a href="https://www.cadosecurity.com/redis-p2pinfect/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體P2Pinfect濫用Redis複寫功能進行橫向感染</span></strong></a></p> <p>上個月資安業者Palo Alto Networks發現鎖定Redis伺服器的蠕蟲程式P2PInfect，駭客針對存在Lua沙箱逃逸漏洞CVE-2022-0543的伺服器下手，現在也有其他研究人員公布進一步的調查結果。</p> <p>資安業者Cado Security也在他們部署的蜜罐陷阱（Honeypot）看到P2PInfect，並指出駭客製作了Windows版、Linux版本的攻擊工具，在攻擊行動中，駭客透過以C及Rust組合語言編寫的ELF檔案，竄改伺服器的OpenSSH設定，調整成近乎預設的組態，隨後攻擊者就會重新啟動SSH服務，並部署新的金鑰，然後將wget及curl改名並用來進行後續的攻擊行動，並新增iptables規則來避免其他攻擊者對Redis伺服器下手。最終駭客透過P2PInfect將已感染的伺服器視為節點，形成點對點（P2P）的殭屍網路。</p> <p>值得留意的是，駭客透過Redis的複寫（replication）功能，來達到蠕蟲程式自我散布的目的。此外，駭客也運用多個Redis已知漏洞，來做為初步入侵此種伺服器的管道。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-new-submarine-malware-found-on-hacked-barracuda-esg-appliances/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Submarine針對Barracuda郵件安全閘道而來</span></strong></a></p> <p>7月28日美國網路安全暨基礎設施安全局（CISA）提出警告，聯邦機構的Barracuda郵件安全閘道（ESG）遭到攻擊，駭客利用漏洞CVE-2023-2868，於這些閘道設備部署名為Submarine的後門程式（亦稱為DepthCharge），用來迴避偵測、收集資料，並以便於持續在受害組織活動。CISA指出，駭客將此後門程式植入ESG設備的SQL資料庫，該惡意程式具備數個模組，並能使用root權限執行、與C2進行通訊、清理作案留下的痕跡。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nics.nat.gov.tw/NewInfoDetail.htm?seq=1706"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安院與工研院簽訂MOU，預計年底成立AI產品與系統的評測機構</span></strong></a></p> <p>7月31日國家資通安全研究院（資安院）與工業技術研究院簽署合作備忘錄（MOU），他們將結合資安院的資安防護技術研發，以及工研院AI創新應用的專業能力，合作建立可信任的AI評測機制，並預定於今年底正式成立「AI產品與系統評測中心」，共同打造臺灣的資安韌性環境。</p> <p>為確保評測機制的公正、客觀、獨立性，並且符合國際規範，資安院與工研院將優先研析國際AI安全框架與標準，在國家科學及技術委員會與數位發展部、數位產業署等機關指導下，執行「推動可信任生成式AI發展先期計畫」，進而提出符合臺灣AI政策推動、產業發展、應用方向的評測項目與執行方法。</p> <p><a href="https://blog.google/products/android/unknown-tracker-alert-google-android/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對安卓裝置部署不明追蹤警告功能，防範用戶遭到未知藍牙裝置跟蹤</span></strong></a></p> <p>7月27日Google宣布，將針對執行Android 6.0以上版本作業系統的裝置，部署不明追蹤警告（Unknown Tracker Alert）的功能，目的是讓使用者能察覺可能被用來跟蹤他們、來路不明的未知藍牙追蹤器，進而採取行動，例如要求追蹤器發出聲音、檢視追蹤器的部分資訊，或是嘗試關閉該追蹤裝置。此功能初期支援蘋果的AirTag，但Google將與其他追蹤器製造商合作，擴大該功能可支援的裝置品牌。</p> <p><a href="https://www.ithome.com.tw/news/158017"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為保護使用者隱私，蘋果採取新的App Store管理政策，要求App開發商說明使用API追蹤用戶的理由</span></strong></a></p> <p>蘋果在2021年祭出應用程式追蹤透明度（App Tracking Transparency，ATT）的要求，規範應用程式開發商必須在使用者安裝App的過程中，以明顯方式告知用戶會蒐集用戶資訊，並賦予用戶同意或拒絕的權力。然而，部分開發商為繞過上述的管理政策，改以API讀取裝置資訊來追蹤使用者的行動。</p> <p>對此，近期蘋果祭出新的App Store管理政策，表示他們將限制應用程式利用API來追蹤用戶裝置的資訊，未來開發商想要使用能讀取檔案時戳、系統開機時間、磁碟空間、使用者預設組態等可能侵犯用戶隱私的API，必須填寫App隱私表單，若未說明將從2024年春季無法上架應用程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://usa.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-malware-for-targeted-data-exfiltration-from-air-gapped-environments"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體鎖定東歐工控環境與關鍵基礎設施，企圖從隔離網路竊取機密</span></span></strong></a></p> <p><a href="https://medium.com/@knownsec404team/patchworks-new-assault-weapons-report-eyeshell-weapons-disclosure-181833f434be"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國學術機構遭駭客組織Patchwork鎖定，植入後門程式EyeShell</span></span></strong></a></p> <p><a href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路AVRecon入侵路由器進行控制，將其用來提供非法的代理伺服器服務</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/israels-largest-oil-refinery-website-offline-after-ddos-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列大型煉油廠Bazan網站遭到DDoS攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-bleedingpipe-rce-to-target-minecraft-servers-players/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電玩遊戲Minecraft伺服器遭到鎖定，駭客利用漏洞BleedingPipe來掌控系統</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> </div></div></div>
2023/8/1 17:57作者周峻佑https://www.ithome.com.tw/news/158058
蘋果的家長控制功能Screen Time有臭蟲，設定會突然消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/apples-parental-controls-are-broken-55a2aa52?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（Wall Street Journal，WSJ）本周踢爆，蘋果裝置的家長控制功能自去年9月釋出iOS 16之後就出現了臭蟲，家長替小孩裝置所設定的螢幕或程式使用時間經常會消失，且就算蘋果已透過iOS 16.5修補了該臭蟲，同樣的問題依然出現在最新的iOS 17測試版上。而蘋果也已承認此一問題的存在。</p> <p>為了不讓小孩過度沈迷遊戲、程式或手機上，或是為了避免小孩觸及不當內容，蘋果開發了家長控制功能，可透過螢幕使用時間（Screen Time）來管理孩子的蘋果裝置，包括設定可使用的程式與使用時間，或是限制可通訊的對象，封鎖特定內容，以及設定裝置的停用時間（Downtime）等。</p> <p>不過，<a href="https://discussions.apple.com/thread/254480754" target="_blank">最近幾個月以來持續有家長抱怨</a>，他們對螢幕使用時間的設定偶爾會忽然消失，這是過去多年來不曾出現過的問題。</p> <p>《華爾街日報》指出，該問題似乎源自於蘋果所釋出的iOS 16，但<a href="https://support.apple.com/en-us/HT213407#165" target="_blank">蘋果在iOS 16.5中曾經修補螢幕使用時間</a>，指出該功能的設定可能會跑掉或是無法於所有裝置上同步，只是該問題一直存在，包括最新的iOS 17測試版。</p> <p>蘋果也向該報證實，有些使用者可能會遭遇螢幕使用時間重設的問題，將繼續藉由更新來改善此一情況。</p> </div></div></div>
2023/8/1 16:47作者陳曉莉https://www.ithome.com.tw/news/158057
惡意程式CherryBlos利用OCR技術竊取帳號密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trendmicro.com/en_be/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html" target="_blank">安全廠商趨勢科技近日發現</a>一隻Android竊密程式，能利用光學辨識（OCR）技術萃取出手機螢幕的文字，以竊取帳號密碼。</p> <p>趨勢科技今年4月發現二波有關的惡意程式攻擊。其中一波是透過釣魚網站散布名為CherryBlos的竊密程式，另一波則是存在Google Play Store上的詐騙App。</p> <p>其中CherryBlos具備使用OCR圖像辨識工具的進階能力。今年4月CherryBlos嵌入於挖礦軟體的App中，透過推特、TikTok、Telegram等傳播，廣告連結將用戶導向釣魚網站下載到其Android手機上。CherryBlos目的在竊取加密貨幣帳號的憑證，並在用戶提款時置換錢包網址為攻擊者所控制的網址，以掏空用戶錢包。</p> <p>研究人員發現，CherryBlos具有多種高明技倆以避免偵測。為躲避靜態偵測，惡意程式作者以強大的市售封裝工具Jiagubao（360加固保）內建加密技術封裝，以加密CherryBlos大部分字串，減少被偵測的機率，也會以WebView顯示官網以免受害者起疑心。</p> <p>CherryBlos和金融木馬程式很像，會要求輔助功能的存取許可。它在用戶開啟電子錢包App後顯示對話提示窗，要求使用者同意給予許可。CherryBlos還會假造電子錢包App啟用活動，以誘使用戶輸入密碼片語（passphrase）。很特別的是，取得輔助功能存取許可後，當用戶在螢幕上輸入密碼時，CherryBlos會先拍下螢幕擷圖，以OCR翻譯成文字格式後，將密碼片語、連同植入的電子錢包App套件名稱等資訊，傳送給駭客控制的C&C伺服器。此外，當用戶從交易平臺提款存到自己的線上電子錢包時，CherryBlos會將錢包網址置換成攻擊者所控制的網域，以便竊取加密貨幣。</p> <p>研究人員還在Google Play Store上發現不含CherryBlos的同樣的App。他們相信是由同一個團隊開發。</p> <p>此外，除了CherryBlos外，研究人員也在Google Play上發現疑似和CherryBlos有關的惡意App，因其使用相同的網路基礎架構及App憑證。這些App 謊稱用戶可經由導流量賺取獲利，但受害者最後是提不出錢的，故其中的惡意程式被研究人員稱為FakeTrade。倒楣的用戶下載安裝這些App後大量給予負評。</p> <p>這類詐騙App共有31款上傳Google Play Store，現已全數為Google移除。</p> <p>安全廠商提醒，用戶應避免從第三方網站下載不熟悉的App。且安裝前應仔細審閱其他用戶的評論，看看是否有提及可能是惡意程式。此外也應留心App要求的許可，特別是要求輔助功能存取權限。</p> </div></div></div>
2023/8/1 15:46作者林妍溱https://www.ithome.com.tw/news/158056
美頂尖醫學中心如何推動數位轉型？麻省總醫院內科主任揭第一手經驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國頂尖醫學體系麻省總醫院暨布萊根婦女醫院（Mass General Brigham）內科主任David W. Bates日前來臺分享數位轉型經驗和進展，為推動轉型，他們先是盤點院內系統、發現系統老舊互通性不足，於是展開評估，決定在2016年導入現成商用系統至旗下所有醫院和診所。這麼做雖解決互通性問題，卻也有些問題要克服，比如系統難以精煉、需採購額外系統來補強臨床決策輔助功能等。</p> <p>不過，商用系統也為醫院日後AI發展打下基礎，能收集大量、標準化的臨床資料，供醫護和研究人員即時存取。David W. Bates總結，醫院推動數位轉型時，必須投資基礎建設、確保資料互通性，並持續嘗試新技術和創新應用。他也建議，醫院若要找出高成本患者族群、降低醫院成本，可從心理健康狀態、社經地位、婚姻狀態和生活狀態等因子下手。</p> <p><span style="font-size:24px;"><strong>數位轉型2階段：盤點既有系統、針對弱點導入合適HIS系統</strong></span></p> <p>麻省總醫院暨布萊根婦女醫院（Mass General Brigham，簡稱MGB）是美國頂尖的體系醫院，旗下不只有著名的麻省總醫院（Mass General Hospital）和布萊根婦女醫院（Brigham and Women’s Hospital）等醫學中心，還有10多家社區醫院與診所。其中，David W. Bates不只在MGB擔任內科主任，也是MGB的病安研究中心主任，同時還是哈佛醫學院的醫學教授。</p> <p>David W. Bates點出，MGB體系推動醫療照護數位轉型，共有2大階段，一是盤點院內既有系統，另一是導入合適的HIS系統。就第1點來說，MGB體系醫院長年來採用自行開發的系統，醫護第一線使用者也對自家系統很是滿意。但隨著數位醫療發展，他們發現，這些系統沒法滿足所有需求，特別是「許多老舊系統無法互通（Interoperate），」比如在院外累積的臨床資料，無法整合至院內系統。</p> <p>當時，美國政府正好鼓吹醫院採用資料可互通的系統，並設置大筆補助，來鼓勵醫院汰換HIS系統。於是MGB評估，若要自行開發新一代系統來滿足互通需求，太費工耗時，因此決定採購現成系統，在2016年導入美國市占率最高的Epic系統至MGB旗下每間醫院和診所。</p> <p>這是他們數位轉型的第2階段。這麼做「對醫療資料交換非常有幫助，」解決了資料互通性問題。但David W. Bates坦言，這種通用型系統雖有立竿見影的成效，但醫院沒有足夠資源，來讓系統更精煉。</p> <p><span style="font-size:24px;"><strong>導入後也不要輕忽小問題，因為那是使用者的大困擾</strong></span></p> <p>比如，在系統導入的第一年，David W. Bates為病人看診時，系統往往將他定位錯誤，顯示錯的分院地點，他得手動修改才行。雖然是個不足為奇的小錯誤，但對他這樣的執業醫師來說，卻很惱人。</p> <p>另一方面，導入新系統後也得有相容性問題。舉例來說，實驗室系統（LIS）是醫院的核心系統之一，但MGB體系並未採用Epic系統，而是另一家廠商的LIS。因此，在不同系統的使用介面上，難免出現操作問題。</p> <p>此外，導入新系統還有另一個問題，也就是臨床輔助決策功能，需要時間來增強。David W. Bates指出，採用新系統雖讓MGB體系的所有文件記錄（不論院內院外）數位化，但臨床決策輔助功能仍不如舊系統好，還在逐步到位中。他舉例，當醫師每開2次藥，系統就會跳出警示，「這很煩人，」但他也指出，新系統還在穩定進步中，MGB也正採購其他系統來補強。David W. Bates強調，好的決策輔助功能，是保障病人安全的重要一步。</p> <p>他也建議，任何醫院在轉換系統時，得考慮新系統是否能發展創新應用，來讓醫護工作更簡單順暢。</p> <p>話鋒一轉，David W. Bates認為，在這場數位轉型中，進展最多的領域莫屬遠距醫療。「在COVID-19疫情爆發前，我們遠距醫療做得不多，但疫情爆發後，我們幾乎一夜間就切換為遠距醫療模式。」他回憶，起初醫護和病人雖然都不太知道怎麼使用系統，但後來熟能生巧，現在，精神科和睡眠醫學部門幾乎都用遠距醫療來與病人互動。</p> <p>不過，即便疫情間累積不少遠距醫療經驗，他還是點出，現在他在診間看診時，還是會不清楚下一位病人是實體看診，還是線上看診。因此，「我們還需要良好的工具，來幫助醫護釐清病人看診方式，」這也是MGB目前正在改善的地方。David W. Bates也不諱言，MGB也仍在學習，使用遠距醫療的最佳時機以及何時不該使用。</p> <p><span style="font-size:24px;"><strong>影像數位化還能用來打造自動通知與後續追蹤系統</strong></span></p> <p>談起醫院數位轉型，一大領域是醫學影像數位化。他指出，MGB所有的醫學影像目前都已數位化，還因此建立許多大型資料庫，來推進醫學研究。比如，早在2014年，MGB就發展出一套<a href="https://pubmed.ncbi.nlm.nih.gov/25341163/">重症檢驗警示通知系統（Alert Notification of Critical Results，ANCR）</a>，能自動通知醫護，病人的重症醫學影像報告結果，來加速醫護溝通與患者治療。David W. Bates說明，當放射線醫師在病人醫學影像中標示出問題，系統會自動通知主治醫師，並連動安排後續的檢驗檢查，大大提高病人後續追蹤與照護品質，「這是過去我們做不到的，」他強調。</p> <p>他也指出，MGB並非早早就將所有類型的醫學影像數位化，而是到了2010年，才將CT、MRI、超音波、X光片、骨密度、乳房攝影等多種類型的醫學影像數位化。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-01%20123229.png" /></p> <p>AI也是MGB數位轉型的重點之一。要發展AI，得要有龐大且可存取的資料才行，David W. Bates點出，Epic系統在累積資料、存取資料這方面表現出色，每天都會自動收集資料一次，但對於收集頻率較高的情境（如每分鐘收集一次資料），表現就不理想，這是MGB正在解決的問題。</p> <p>另一個要解決的挑戰是運用工具，來確保AI產出的洞察，是給正確的醫護人員審閱。</p> <p>目前，MGB發展最成熟的AI領域是放射線影像，如乳房攝影、X光片判讀等。在這個領域，AI加速醫師的判讀時間，也降低反覆檢查的工作。David W. Bates指出，接下來，MGB要將這些成功經驗擴展到更多臨床領域，也要用來改善行政工作。</p> <p>但他坦言，機器人技術是MGB數位轉型中，發展速度和力道最弱的一環。他指出，雖然機器人技術在特定領域有所發揮，比如手術（特別是義肢、婦科）、藥品管理等，但「證據顯示，運用機器人技術產生的價值是醫療系統、遠距醫療、數位影像、AI和機器人等5大領域中最弱的，」David W. Bates舉例，一支達文西手臂要價200百萬美元，但能否帶來更好的成效，仍有待觀察。</p> <p><span style="font-size:24px;"><strong>從MGB數位轉型學到的一課：必須投資基礎設施</strong></span></p> <p>回顧MGB將近10年的數位轉型歷程，David W. Bates點出，這場轉型仍在進行中，成效也越來越好。他總結這些經驗，建議要推動數位轉型的醫院，一定要「投資基礎建設，」比如要發展即時性的醫療AI，就得確保資料資源足夠且可用。再來是，院內系統要能分析、處理外部系統資料，畢竟，「病人不會只在一家醫院看診，」因此系統要具備資料互通性，這也是MGB持續面臨的挑戰。</p> <p>最後，他點出，創新也是轉型的關鍵，因為，大家尚不確定哪些技術對醫療最有幫助，因此得不斷嘗試、創新，才能找出答案。這也是MGB轉型的原則之一。</p> <p><span style="color:#0000FF;"><strong>如何找出高成本病患：從心理健康、社經地位和生活狀態來觀察</strong></span></p> <p><span style="color:#808080;"><strong>不只是技術發展，和大多數醫院一樣，降低成本也是MGB的重要目標。他們發展一套方法，鎖定出高成本患者，「我們有5%的患者，耗費了醫院50%的成本。」David W. Bates表示，找出這群人是管控成本的第一步。</strong></span></p> <p><span style="color:#808080;"><strong>MGB的方法是，從病患的心理健康狀態（Mental health status）、社經狀態（Socioeconomic status）、婚姻狀態（Marital status）和生活狀態（Living status）等因素來找出這群人。David W. Bates強調，這些因素很重要，因為對醫院成本有著「極大影響。」他也指出，找出可行的需求和差距也很重要，如此才能提高這些患者的成本效益。MGB也透過這些調查，來找出這群病患，還成功降低這群患者的住院人次。（如下圖）</strong></span></p> <p><span style="color:#808080;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-01%20123149.png" /></strong></span></p> </div></div></div>
2023/8/1 13:47作者王若樸https://www.ithome.com.tw/news/158054
挪用投資人的錢買555克拉的鑽石，加密貨幣負責人Richard Heart遭SEC控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-143" target="_blank">美國證券交易委員會（SEC）周一（7/31）控告了Richard Heart，</a>以及他所控制的3家加密貨幣公司Hex、PulseChain與PulseX。SEC除了指控這3家公司未經註冊即發行加密貨幣證券，向投資人募集了超過10億美元的加密貨幣資產之外，還指控Heart將投資人的資金用來購買昂貴的跑車、手錶，以及據傳是世界上最大的黑鑽Enigma，重達555克拉，花費超過1,200萬美元。</p> <p>調查顯示，Heart是在2018年開始對外行銷Hex，宣稱它是全球第一個高收益的區塊鏈定存，並發行聲稱可讓人們致富的Hex代幣，質押收益可高達38%。自2019年12月到2020年11月，Heart藉由出售Hex代幣，換得了逾230萬個以太幣（ETH）。</p> <p>接著Heart還在2021年7月到2022年3月間，以開發加密貨幣網路PulseChain及加密貨幣交易平臺PulseX的名義，分別發行PLS與PLSX代幣，各自對外募集了數億美元的資金。</p> <p>SEC沃思堡地區辦事處主任Eric Werner指出，Heart鼓勵投資人購買未經註冊的加密貨幣證券，並以這些哄騙而來的加密貨幣資產購買昂貴商品，SEC想要保護投資人並將Heart繩之以法。</p> <p>SEC認為Heart與相關業者違反了美國證券法規中的註冊及反詐欺規定，因而提出訴訟，要求被告歸還非法所得且不得再從事非法行為。</p> <p>其實SEC的新聞稿並沒有揭露太多的細節，<a href="https://www.sec.gov/files/litigation/complaints/2023/comp-pr2023-143.pdf" target="_blank">但在訴狀中詳述了Heart的行為</a>，包括對外宣傳發展PulseChain區塊鏈是為了保護言論自由，並要求投資人若相信此事便應該作出犧牲；還經常以誇大且不實的言論來誤導投資人，例如於Hex官網上宣稱Hex在兩年內成長了1萬倍，其目標是超越比特幣及以太幣，成為全球最強大的加密貨幣等。</p> <p>此外，SEC認為Heart挪用了PulseChain的投資人資產，直接把其中超過2億美元的資產轉移到某個私人錢包，再藉由Mixer工具執行混淆來源的交易。</p> <p>而Heart挪用PulseChain投資人資產所購買的奢侈品除了價值428萬美元的Enigma黑鑽之外，還有價值近54萬美元的麥拉倫跑車，超過31萬美元的白色法拉利，以及多款勞力士手錶等。</p> </div></div></div>
2023/8/1 14:36作者陳曉莉https://www.ithome.com.tw/news/158055
Google Assistant部門裁員，將以生成性AI改造
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axios.com/2023/07/31/google-assistant-artificial-intelligence-news" target="_blank">媒體報導</a>，Google近日內將再改組Google Assistant，包括裁減職位，並將使用新的生成性AI模型來改造這個AI助理。</p> <p>《Axios》上周取得Google Assistant副總裁Peeyush Ranjan和產品部門主任Duke Dukellis的對內公開信報導此事。這也是3月間<a href="https://www.ithome.com.tw/news/156221" target="_blank">《CNBC》報導Google Assistant部門人事異動</a>後再一次調整。配合新策略，原Assistant開發工程主管去職，而由原先負責Google商務部門業務主管Ranjan接任。</p> <p>Ranjan上周信中內容則說明在此策略方向下的後續改組。他說明生成性AI有極大潛力改變人類生活，而以最新大型語言模型（LLM）加持的Assistant有很大機會，在此方向下，Google Assistant新的組織調整包括合併服務和介面開發團隊，獨立出行動（Mobile）部門，其他團隊還包括自然語言處理（NLP）、基礎架構及語音開發部門。他指出，行動部門已經首先啟動以LLM改造Google Assistant的計畫。</p> <p>Ranjan強調公司會持續投入Assistant的開發，但伴隨這次改組，他說也將裁減「少部份」職位。Google對<a href="https://www.theverge.com/2023/7/31/23814702/google-assistant-ai-features-layoffs-bard" target="_blank">《The Verge》</a>證實Assistant部門將裁減10多名員工。</p> <p>在信中Google並未說明LLM會如何協助Assistant的改造，不過今年3月的改組中，Google對Assistant的定位由整合在Google Maps等Android手機應用或是Google硬體的語音介面，轉為和Google Bard整合。Google部門預計本周於美、歐等分公司內部會議中說明公司計畫。</p> <p>至於Google Bard和Assistant整合會發生在哪目前還不得而知，不過很少談論AI的蘋果，<a href="https://www.ithome.com.tw/news/156997" target="_blank">據報也在找生成性AI人才</a>，希望強化Siri以及iOS上捷徑、Pencil& Paper、軟體鍵盤等「系統體驗」。</p> </div></div></div>
2023/8/1 12:30作者林妍溱https://www.ithome.com.tw/news/158052
Threads App用戶大跌6成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特改名為X令人爭議，但Meta的Threads是否能取而代之還很難說，因為根據市調公司數據，推出將近1個月以來，Threads App用戶數已跌掉60%。Meta執行長祖克柏（Mark Zuckerberg）則承認，已有一半用戶流失。</p> <p>Threads於7月6日正式上線後引起大眾強烈好奇心，且Threads帳號基於IG資料，很容易註冊。這個類似推特的文字社交平臺App在上線5天內用戶數飆至1.05億，速度超過ChatGPT及IG。</p> <p>不過好景不常，早在上線第二周用戶就興趣缺缺，Threads使用量表現出現疲態。<a href="https://www.similarweb.com/blog/insights/social-media-news/twitter-threads/" target="_blank">根據市調機構SimilarWeb上周公布的最新數據</a>，Threads Android App使用量最尖峰落在7月7日，當時每日經常用戶數（Daily active user，DAU）超過4,900萬。但到了7月23日，其DAU只剩1,260萬，僅Twitter的12%。此外，用戶在Threads App上的平均使用時間也縮短了。剛上線時，美國用戶一天使用將近21分鐘，但到7月23日當周已縮短為不到5分鐘。相較之下，Twitter用戶使用時間還有25分鐘。</p> <p>這份數據不包含Threads iOS App的數據，不過市調公司相信應該也呈現暴起暴落的情形。</p> <p>同時期，Twitter雖然改名X飽受批評，但流量表現相對穩定。這家市調公司估計6月份Twitter.com，以及Twitter廣告入口網站的流量，只比去年同期各跌了10%及10.4%。而Twitter iOS及Android版App每月經常用戶數比去年僅下跌8.4%，還優於競爭者IG、Snapchat、及TitTok。</p> <p>Threads上線時，遭批評只是複製Twitter的作品。分析師指出，如果Threads希望用戶每天來此報到，Meta必須補上還缺失的功能，並且加入新開發、有特色的功能。</p> <p>對此Meta執行長祖克柏認為這很正常。<a href="https://www.reuters.com/business/media-telecom/meta-plans-retention-hooks-threads-more-than-half-users-leave-app-2023-07-28/" target="_blank">根據《路透社》報導</a>，祖克柏在內部會議中表示，對一個註冊用戶數超過1億的服務來說，不要說全部，就算只有一半人留下來都算是很厲害的，Threads「也沒到那程度」。但他指出Threads用戶留存情況優於公司預期，而且他相信，隨著App功能愈來愈完整，包括桌機版及搜尋功能的加入，用戶留存情況會再改善。</p> <p>上周Threads加入時序性顯示貼文的功能，讓用戶不必非依演算法來讀取貼文，也加入翻譯功能。Threads還預告正在開發Web版、私訊、搜尋及方便視覺或說話不便用戶的輔助功能等。</p> <p>Twitter已在上周全面改成X，拿掉小鳥logo，<a href="https://www.theverge.com/2023/7/29/23812780/tweet-change-name-post-x" target="_blank">本周也將App中用以表達貼文動作的「tweet」改成了「post」</a>，進一步消除小鳥的意象。</p> </div></div></div>
2023/8/1 12:53作者林妍溱https://www.ithome.com.tw/news/158053
Stack Overflow推出OverflowAI專案，試圖以生成式AI挽回流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上程式開發問答平臺Stack Overflow發布了人工智慧專案<a href="https://stackoverflow.blog/2023/07/27/announcing-overflowai/">OverflowAI</a>，試圖藉助生成式人工智慧的力量，重新找回逐漸流失的流量。OverflowAI是一個將生成式人工智慧整合到Stack Overflow平臺的專案，其釋出的一系列整合人工智慧的新功能，包括強化搜尋、增強Stack Overflow for Teams和全新IDE擴充套件等。</p> <p>Stack Overflow網站上的搜尋功能將獲得重大更新，過去Stack Overflow都是仰賴關鍵字搜尋，找出符合用戶問題和解答，而官方現在建置了一個向量資料庫添加語義搜尋，使得搜尋功能可以更智慧地回應用戶的提問。Stack Overflow上目前有5,800萬個問題和答案，官方也正在研究如何運用這些問答生成回覆，產生個人化結果。</p> <p>OverflowAI專案範疇也涵蓋了各式第三方應用程式整合，像是Stack Overflow for Teams擴充套件，在原本的基礎上加入人工智慧搜尋功能，讓企業用戶方便地從可信的來源Stack Overflow for Teams、Stack Overflow公開平臺、Confluence和GitHub上找到相關的知識。官方還開發了一個名為StackPlusOne的聊天機器人，供用戶可以直接在Slack中提問並且獲得解答。</p> <p>不只在協作軟體，Stack Overflow官方也開發具有人工智慧能力的VS Code IDE擴充套件，讓用戶不需要中斷開發流程，可以從IDE操作直接獲得公開平臺與私有的Stack Overflow for Teams實例中的知識，解決程式開發相關的問題。<br /> <br /> 由於ChatGPT、Bard等各種語言模型聊天機器人興起，直接詢問機器人就可獲得程式開發相關問題解答，這使得開發人員不再需要像過去一樣搜尋並瀏覽網站尋找答案。Stack Overflow也從ChatGPT上線以來，流量逐月衰退股價暴跌，而現在他們試圖在平臺整合生成式人工智慧重振頹勢。</p> </div></div></div>
2023/8/1 08:29作者李建興https://www.ithome.com.tw/news/158048
以DPI跨入OT網路安全防護市場，鴻璟推出超小型工業防火牆
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hong_jing_tera-utm_12_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以網路防火牆起家、至今仍在資安市場活躍的臺灣本土廠商，屈指可數，鴻璟科技（Lionic）正是其中之一，2021年我們曾報導他們發展的Pico-UTM 100，一般家用或小型環境用戶可到網路購物平臺直接下單，或是到電信服務廠商，以及與其合作的資安服務廠商訂購相關的服務，而在2023臺灣資安大會期間，他們也在臺灣資安館的半導體資安特展，發表適用於工業環境的網路防火牆設備Tera-UTM 12，並與竣盟科技（Billows）的資通安全威脅偵測管理平臺（Unified Compliance Management，UCM），合作展示提升機臺防護的作法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cybersec-Tera-UTM%2012_%E5%B1%95%E5%A0%B4%E7%85%A702.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012%20comparison.png" style="width: 600px;" /></p> <p>單就產品特色而言，鴻璟新推出的Tera-UTM 12有許多部分與Pico-UTM 100是共通的，像是基於該公司長期發展的深度封包檢測（DPI）技術而成，具備防火牆、網頁過濾等上網安全防護、惡意程式掃描、網路入侵偵測、針對背後連接的端點設備提供漏洞虛擬修補機制，以及SSL/TLS加密流量，並且提供簡易操作的網頁操作介面，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-001 Dashboard 1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-001%20Dashboard%201.jpg" style="width: 600px;" /></a></p> <p>同時，可搭配中央管理系統（CMS）支援多臺集中控管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lionic%20CMS-1.jpg" style="width: 600px;" /></p> <p>兩者主要差異在於，Pico-UTM 100負責辦公室IT網路，可適用於攝氏0度到40度的環境，最多能保護50臺裝置上網，Tera-UTM 12專攻產線、廠務監控等連網應用，可適用於攝氏0度到60度的環境，橫跨維運科技（OT），以及物聯網（IoT）等場域，額外提供特定地理區域的網路連線來源偵測與封鎖，以及工業控制系統（ICS）常用通訊協定的威脅偵測、異常偵測，用戶也能自定這類通訊協定的存取控制清單，關於虛擬修補；而在確保內外連線的可用性方面，這款網路安全設備的網路埠也支援硬體旁路（Hardware Bypass），若設備本身突然發生當機、斷電，或是因系統更新／維護等狀況而停擺，已架設這款防火牆的產線網路環境仍然可以繼續維持連線，不會因此導致堵塞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-AV.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-AV.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-IPS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-IPS.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-SSL inspection.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-SSL%20inspection.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Tera UTM 12-018 Anti-WebThreat Log.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012-018%20Anti-WebThreat%20Log.jpg" style="width: 298px;" /></a></p> <p>而在網路介面與處理效能的規格方面，Tera-UTM 12若啟用防病毒、防駭客、防惡意網站等安全過濾功能，吞吐量為890 Mbps，若再啟用SSL/TLS加密流量掃描功能，吞吐量為355 Mbps，而在硬體運算資源配備上，它也採用更高的規格，例如，處理器為恩智浦（NXP）的i.MX 8M Plus（內建4顆64位元Arm架構Cortex-A53核心、1顆Cortex-M7核心、1顆GPU核心GC7000UL）、系統記憶體為4 GB的DDR4-4000、儲存為8GB的eMMC快閃記憶體。</p> <p>相較之下，Pico-UTM 100的防火牆吞吐量為813 Mbps，防毒為738 Mbps，入侵偵測為685 Mbps，啟用各項防護功能之後，效能為616 Mbps（此處應該不包含SSL或TLS加密流量掃描）。而在硬體運算資源方面，它的處理器為高通（Qualcomm）的IPQ4018（內建4顆32位元Arm7架構核心、256 MB的DDR3L記憶體），儲存為512 MB的快閃記憶體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Tera%20UTM%2012%20HW.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p>鴻璟Tera-UTM 12<br /> ●原廠：鴻璟科技<br /> ●建議售價：主機加上硬體7萬元（未稅）<br /> ●網路埠：2個GbE埠（RJ-45埠），支援硬體旁路<br /> ●防火牆吞吐量：安全功能全部啟用（防病毒、防駭客、防惡意網站）為890 Mbps，安全功能全部啟用、搭配SSL或TLS加密連線掃描為355 Mbps<br /> ●支援工業通訊協定：Modbus、DNP/3等<br /> ●硬體運算規格：NXP i.MX 8M Plus處理器、4GB LPDDR4記憶體、8GB eMMC快閃記憶體（儲存作業系統）<br /> ●運作環境溫度：攝氏-40度到60度<br /> ●外觀：10.8 x 7.2 x 3.8公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/7/31 22:07作者李宗翰https://www.ithome.com.tw/review/157584
【資安日報】7月31日，Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週挪威政府的資訊系統遭到攻擊，並點名駭客鎖定第三方軟體Ivanti Endpoint Manager Mobile的零時差漏洞CVE-2023-35078而來，呼籲所有用戶應儘速套用更新程式修補。但事隔數日，Ivanti再度修補另一個高風險漏洞CVE-2023-35081，並強調在前述的漏洞攻擊行動裡，駭客也同時運用了這個漏洞。是否還有其他可被攻擊濫用的漏洞？有待進一步觀察。</p> <p>利用Windows搜尋功能網路釣魚攻擊行動，也相當值得留意，有研究人員發現駭客利用Windows搜尋存取遠端伺服器上的惡意檔案，目的是讓使用者誤以為開啟存放於自己電腦的PDF文件，降低戒心而導致電腦被植入木馬程式。</p> <p>Google威脅情報小組（TAG）針對2022年零時差漏洞公布其觀察的結果，最引人注目的部分，就是點名自家行動裝置作業系統的N-day漏洞現象，因為駭客不需自行尋找零時差漏洞，就能進行這類濫用弱點的攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/beyond-file-search-a-novel-method.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows搜尋功能遭到濫用，駭客用來部署RAT木馬程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/beyond-file-search-a-novel-method-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/beyond-file-search-a-novel-method-2.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix揭露濫用Windows搜尋功能的攻擊行動，駭客先是透過帶有URL或是惡意HTML附件的釣魚郵件，將使用者引導到釣魚網站，觸發該網站的JavaScript指令碼執行，然後利用URI協定，於攻擊者控制的伺服器進行資料或檔案搜尋的工作。</p> <p>使用者若是依照指示開啟Windows檔案總管，很有可能會誤以為在自己電腦找到PDF檔案，若不慎開啟會觸發惡意程式碼，或是執行捷徑檔案執行惡意程式庫，最終導致攻擊者於電腦部署RAT木馬程式，如AsyncRAT、Remcos RAT。</p> <p><a href="https://www.team-cymru.com/post/inside-the-icedid-backconnect-protocol-part-2"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體IcedID翻新BackConnect模組，對受害電腦帶來更嚴重的威脅</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6283c5_78c50f321a7e4292840f72df814497e6~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6283c5_78c50f321a7e4292840f72df814497e6~mv2.png" style="width: 300px; float: right;" /></a>資安業者Cymru指出，自今年初起，駭客針對惡意軟體IcedID的C2通訊模組BackConnect，以及對應的C2基礎設施進行強化，使得此惡意軟體的行蹤更加隱匿，駭客透過C2與其通訊的時間大幅縮短，可能更難察覺。</p> <p>研究人員指出，資安業者Palo Alto Networks看到駭客將BackConnect使用的連接埠，今年4月開始將原本TCP的8080埠，更換成443埠（使用HTTPS加密流量），導致該惡意軟體與C2的通訊難以發現。但Cymru的研究人員發現，駭客早在今年1月就開始準備，首先，他們在1月23日看到對應BackConnect的C2伺服器數量，從原本的11臺增加至34臺，而這些伺服器運作的時間，從原本的28天縮短為8天。</p> <p>此外，研究人員看到駭客透過2個靜態的VPN節點來管理C2。比較特別的是，部分感染IcedID的電腦啟用SOCKS功能，它們也扮演代理伺服器角色，被用於發動垃圾郵件攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-abyss-locker-ransomware-targets-vmware-esxi-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Abyss Locker鎖定VMware ESXi伺服器而來</span></strong></a></p> <p>資安研究團隊MalwareHunterTeam發現，自今年3月出現的勒索軟體Abyss Locker，攻擊目標從Windows電腦延伸到VMware虛擬化平臺ESXi。研究人員看到駭客使用Linux版的勒索軟體，經分析後，確認此惡意軟體專門針對上述虛擬化平臺打造，啟用後，會先列出所有的虛擬機器（VM），並執行3種不同程度的命令，以終止VM的運作，然後將虛擬磁碟、快照、中繼資料，以及其他類型的檔案進行加密。</p> <p>研究人員Michael Gillespie認為，這些駭客是利用另一款叫做HelloKitty的勒索軟體為基礎，打造Linux版Abyss Locker，並改用ChaCha編碼進行加密，但究竟Abyss Locker是有人模仿HelloKitty的手法犯案，還是HelloKitty東山再起？目前仍不得而知。</p> <p><a href="https://www.securityweek.com/exploitation-of-recent-citrix-sharefile-rce-vulnerability-begins/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix檔案協作雲服務ShareFile在6月被揭露RCE漏洞，7月底已出現攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Greynoise-ShareFile-IPs.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Greynoise-ShareFile-IPs.png" style="width: 300px; float: right;" /></a>資安業者Greynoise提出警告，Citrix於6月中旬修補的檔案共享系統ShareFile漏洞CVE-2023-24489（CVSS風險評為9.1至9.8分），近期已出現攻擊行動，研究人員約於7月25日看到有來自3個IP位址的攻擊行動，其中2個IP位址過往未曾出現。由於這項漏洞出現在ShareFile的儲存區域控制器，攻擊者可在未經授權的情況下，遠端入侵組織自行管理的儲存區域控制器，進而上傳任意檔案，從而發動RCE攻擊。</p> <p>根據資安業者Assetnote於7月初的調查，他們找到可能有1千個至6千個ShareFile系統曝露在網際網路，再加上網路上已有該漏洞相關的概念性驗證攻擊（PoC）程式碼，Greynoise認為，相關的攻擊行動很可能還會再出現。</p> <p>資料來源</p> <p>1. <a href="https://www.greynoise.io/blog/introducing-cve-2023-24489-a-critical-citrix-sharefile-rce-vulnerability">https://www.greynoise.io/blog/introducing-cve-2023-24489-a-critical-citrix-sharefile-rce-vulnerability</a><br /> 2. <a href="https://support.citrix.com/article/CTX559517/sharefile-storagezones-controller-security-update-for-cve202324489">https://support.citrix.com/article/CTX559517/sharefile-storagezones-controller-security-update-for-cve202324489</a><br /> 3. <a href="https://blog.assetnote.io/2023/07/04/citrix-sharefile-rce/">https://blog.assetnote.io/2023/07/04/citrix-sharefile-rce/</a></p> <p><a href="https://www.ithome.com.tw/news/158015"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、澳洲警告網頁應用系統的竊密漏洞IDOR恐遭大量利用</span></strong></a></p> <p>7月27日澳洲網路安全中心（ACSC）、美國網路安全暨基礎設施安全局（CISA）聯手提出警告，影響網頁應用程式的不安全直接物件參照（Insecure Direct Object Reference，IDOR）弱點，有可能被攻擊者大肆利用，進而繞過應用程式的存取控制，導致外部用戶可傳送惡意檔案給內部員工。</p> <p>而這項公告當中雖然沒有表明那些應用程式受到IDOR波及，但多家資安新聞網站指出，其中一個存在該漏洞的應用系統就是微軟協作平臺Teams。Teams的IDOR漏洞是在資安業者Jumpsec揭露細節後，引起資安圈的關切，美國海軍的資安人員也藉由該類型漏洞開發滲透測試工具TeamsPhisher。CISA指出，這類弱點難以防範，原因是Teams的使用情境眾多，無法透過單一程式庫或是安全功能緩解，再者，則是駭客可運用自動化工具發動攻擊，而有可能引發大規模資料外洩。值得留意的是，並非只有Teams存在IDOR，伊頓、AT&T、美國第一商業銀行的應用系統都曾出現類似弱點。</p> <p>資料來源</p> <p>1. <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a">https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a</a><br /> 2. <a href="https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities">https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities</a><br /> 3. <a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/">https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti再度修補行動裝置管理平臺的零時差漏洞，該漏洞也曾用於攻擊挪威政府</span></strong></a></p> <p>上週挪威政府的資訊系統遭到攻擊，而駭客入侵的管道，就是針對此平臺採用的第三方軟體Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core），利用零時差漏洞CVE-2023-35078下手，但現在發現駭客利用的漏洞可能不只一個。Ivanti於7月28日發布EPMM更新軟體，當中修補另一項漏洞CVE-2023-35081（CVSS風險評為7.2分），此為路徑穿越漏洞，通過身分驗證的管理員能用來對EPMM伺服器寫入任意檔案。</p> <p>值得留意的是，該公司提及這項漏洞能與CVE-2023-35078搭配使用，進一步繞過管理員的身分驗證程序，以及存取控制列表（ACL）的管制。成功同時利用上述2項漏洞，攻擊者就能對EPMM實體寫入惡意檔案，進而透過名為tomcat的使用者來執行作業系統層級的命令。對此，該公司呼籲用戶應儘速套用更新程式，並透露遭受CVE-2023-35078漏洞攻擊的客戶，攻擊者也同樣利用了CVE-2023-35081對其下手。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/g/cherryblos-and-faketrade-android-malware-involved-in-scam-campai.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體CherryBlos、FakeTrade藉由OCR盜取圖片裡的帳密資料</span></span></strong></a></p> <p><a href="https://www.recordedfuture.com/bluebravo-adapts-to-target-diplomatic-entities-with-graphicalproton-malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29鎖定東歐外交單位，散布後門程式GraphicalProton</span></span></strong></a></p> <p><a href="https://www.securonix.com/blog/detecting-ongoing-starkmule-attack-campaign-targeting-victims-using-us-military-document-lures/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">攻擊行動Stark#Mule鎖定韓國而來，假借提供美軍募兵資料散布惡意軟體</span></span></strong></a></p> <p><a href="https://udn.com/news/story/7241/7332429"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">大樹醫藥證實遭到網路攻擊，以簡訊提醒消費者慎防詐騙</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157996">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a></strong></p> </div></div></div>
2023/7/31 18:57作者周峻佑https://www.ithome.com.tw/news/158049
去年發現41個遭到攻擊的零時差漏洞，Android上的n-days漏洞跟0-days漏洞一樣危險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）本周公布了2022年的零時差攻擊漏洞報</a>告，指出去年總計發現了41個遭到駭客攻擊的零時差漏洞，其中有超過40%與過去曾公開揭露的漏洞有關，也有愈來愈多的駭客鎖定同樣的零時差漏洞，另外值得注意的是，由於Android平臺上的漏洞修補時程太長，導致該平臺的n-days漏洞跟零時差（0-days）漏洞一樣危險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-0-days%20Exploited%20In-the-Wild%20in%202022-by%20Google-960.jpg" style="width: 600px;" /></p> <p>去年所發現的零時差漏洞有8個出現在Windows平臺上，4個為iOS平臺，3個為Android平臺，2個為macOS平臺，也有2個是在Exchange Server上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-0-days%20Exploited%20In-the-Wild%20in%202022%20by%20platform-by%20Google-2.png" style="width: 500px;" /></p> <p>這41個零時差漏洞是由18個不同的組織所發現，2021年的58個零時差漏洞則是由20個組織所發現，Google認為這是個好現象，代表資安社群共同努力辨識並找出遭到駭客攻擊的零時差漏洞，且歡迎更多的研究人員加入。</p> <p>此外，當中有17個零時差漏洞似曾相識，因為它們是從過去公開揭露的漏洞所衍生的，其比例從2020年的25%，增加到去年的41%。TAG認為此一趨勢的原因有很多，也許是駭客正在利用更多的變種，或者是資安社群偵測或辨識變種的能力變好了，比較令人擔心的是這些漏洞沒有被完整的修補因而出現更多的變種。</p> <p>而縱使駭客並不會分享所發現的零時差漏洞，但這些漏洞並非獨家的，研究顯示不同的駭客也會攻擊同樣的零時差漏洞，如同不同單位的研究人員也會找到同樣的零時差漏洞。</p> <p>此次的報告最引人注目的莫過於TAG對Android平臺上n-days漏洞的警告。TAG指出，由於修補的時程太長，鎖定Android平臺的駭客根本不需利用零時差漏洞，只要鎖定那些早就被揭露的n-days就可以達到同樣的效果了。</p> <p>Android平臺上的安全空窗期源自於它必須經歷元件或韌體供應商的修補、Google的修補到製造商的修補，最後才能到達使用者的Android裝置上，有些例子很令人咋舌，例如在2022年7月由安全研究人員Man Yue Mo於ARM Mali GPU所發現的CVE-2022-38181漏洞。</p> <p>這名研究人員在2022年7月向Android安全團隊通報漏洞，由於該漏洞僅會發生在特定的裝置上，於是Android安全團隊8月向ARM表明不必修補，但ARM還是在10月修補了漏洞，11月就出現了攻擊程式，但一直到今年4月，它才出現在Android的安全公告中，整個歷程長達9個月，從修補到現身於公告也花了6個月。</p> <p>看起來TAG對於同門的Android安全團隊並不留情，另一個例子是三星的Samsung Internet browser在2022年12月遭到零時差攻擊，駭客利用了分別位於Chromium的2022-3038與ARM Mali GPU的CVE-2022-22706兩個零時差漏洞，但其實ARM早就在2022年的1月修補了該漏洞，而且修補當時漏洞就已遭到攻擊，然而它卻一直到2023年的6月才被納入Android安全公告中。</p> </div></div></div>
2023/7/31 16:39作者陳曉莉https://www.ithome.com.tw/news/158044
美自駕AI新創Comma.ai更新開源自駕車軟體，內建自動輔助導航自駕功能，讓即使非高階的市售車也能開始測試地圖導航自駕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓電動車龍頭特斯拉專美於前，以開源自駕車軟體而聞名的美國自駕AI新創Comma.ai近日在<a href="https://youtu.be/ZEMPQjK1ZPw">自家技術年會</a>中，宣布在最新一版的自駕車軟體Openpilot中，開始內建自動輔助導航自駕功能，讓即使非高階車款的市售車款，現在也能通過在車上安裝這套軟體，來實現地圖導航自駕，就像是特斯拉電動車的自動輔助導航自駕一樣，而且改裝費不用2千美元。不過該功能目前還是實驗版本。</p> <p>Comma.ai是由美國知名駭客George Hotz在2016年成立的自駕AI新創，以面向自駕車後裝市場為主，讓非高階的一般市售車，也能夠透過安裝一套開源自駕車軟體Openpilot，搭配客製硬體，就能具備有先進駕駛輔助（ADAS）的功能。</p> <p>Openpilot推出短短幾年，已經支援逾250款市售車，並且用戶更遍布美國、中國、韓國、日本及臺灣等。這些年來，Openpilot軟體歷經多次改版更新，增加不少新功能，讓它的自駕功能的表現越來越好。例如，其中一個重要功能是交通號誌辨識，讓自駕車行駛時遇到前方紅燈時會自動停車等待，直到轉為綠燈後繼續行駛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-07-31%20%E4%B8%8B%E5%8D%882_55_45.png" style="width: 600px; height: 264px;" /></p> <p>在今年技術年會中，Comma.ai宣布在新釋出的0.9.4版Openpilot更新中，推出實驗的自動輔助導航自駕功能，透過這項新功能，將使得以後汽車開啟自駕模式時，不只是在道路上穩定行駛而已，還能進一步決定行駛路線，可以根據原先設定的導航地圖路線來行駛，減少人為的介入。</p> <p>早在去年底一場Taco Bell技術挑戰賽中，Comma.ai工程師就曾展示用一臺裝有Openpilot軟體和Comma 3硬體的市售車，成功將車開到指定的地點，全程沒有人為介入，完全依靠導航自駕的方式來開車。</p> <p>在新推出的自動輔助導航自駕功能中，使用者輸入目的地後，Openpilot會根據Google地圖規畫的行駛路線來控制汽車沿著綠色的導航線行駛。做法上，是透過將Comma 3裝置兩顆鏡頭的前車影像畫面和導航地圖輸入到AI自駕模型中，來預測接下來的行駛路線。為了方便AI自駕模型擷取地圖資訊，地圖輸入模型前，會先經過重新渲染並壓縮成每米256x256像素的圖像，並與GPS的經緯度資訊，一起輸入到推論模型中進行預測。</p> <p>在訓練方面，Comma.ai自駕車團隊以大量60秒的行車影像片段，搭配地圖圖資建立訓練資料庫，提供自駕模型進行訓練學習，讓模型能夠預測在特定地圖路線上的行駛情況，並學習如何像人類一樣開車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230729_082421091.jpg" style="width: 600px;" /></p> <blockquote><p>Comma.ai在新釋出的0.9.4版Openpilot更新中，推出實驗模式的自動輔助導航自駕功能，透過這項新功能，將使得汽車開啟自駕模式同時，也能根據原先設定的導航地圖路線來行駛，減少人為的介入。攝影：余至浩</p> </blockquote> <p>這項導航自駕功能目前已能運用在如高速公路等場景中，可以輔助駕駛完成上下交流道的導航自駕。不過記者實際測試當接近要駛離交流道時，Openpilot會控車自動變換到外車道，但仍需要使用者手動打方向燈並輕碰方向盤，才能進行切換。出交流道遇岔路則會依綠色的導航自駕路線走，不會呈現迷航狀態而開錯路。不過，目前在市區裡導航自駕仍有難度，較需人為介入，這需要靠後續的版本更新，透過持續優化讓它在各種市區場景的表現越來越好。</p> <p>Comma.ai還更新硬體，推出改良的Comma 3X版本，升級了電源架構和加入立體式喇叭，處理器則是與前一代Comma 3使用相同的處理器，並搭配2160x1080解析度的OLED螢幕，但價格更便宜，每款售價1,250美元，約臺幣3.9萬元。</p> </div></div></div>
2023/7/31 15:35作者余至浩https://www.ithome.com.tw/news/158018
NASA整併數位資源，推出免費隨選串流服務NASA+
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nasa.gov/press-release/nasa-launches-beta-site-on-demand-streaming-app-update-coming-soon" target="_blank">美國國家航空及太空總署（NASA）上周五（7/28）宣布</a>，其官方網站將全面改版，也計畫在今年底前更新NASA程式，提供免費的隨選串流服務。</p> <p>NASA原本就建立了NASA TV，於<a href="https://www.nasa.gov/multimedia/nasatv/#public" target="_blank">官網</a>及<a href="https://www.youtube.com/nasa" target="_blank">YouTube</a>上提供許多有關太空的新聞、影片與直播節目，該平臺在2019年的3月2日曾直播與SpaceX合作，藉由可載人的Dragon 2太空船進行無人發射試射，於船艙中置放了一名假人以前往國際太空站，以用來記錄真實太空人所承受的各項數據，它在3月8日回到地球。</p> <p>由於這是美國自2011年以來，第一艘從美國本土升空的太空船，其直播服務吸引了全球的媒體與社群，造成廣泛的討論，獲得了2019年艾美獎的最佳互動節目。</p> <p>現在NASA也迎向了最新的串流趨勢，所打造的NASA+將同時支援桌面、Android與iOS平臺，以及Roku、Apple TV與Fire TV等串流裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-NASA%20App-Screenshot%20of%20iPhone.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-NASA%20App-Screenshot%20of%20the%20NASA%20app%20for%20Amazon%20Fire%20TV-960.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_NASA</span></span></p> <p>另一方面，NASA新的官網將整合不同NASA旗下網站的內容，朝向主題性的規畫，目前<a href="https://beta.nasa.gov/" target="_blank">測試版已上線</a>供用戶試用並提供意見。</p> <p>NASA依據數位時代的需求，重新整併與呈現既有的資源，並指出這樣的轉變將能更好地向外界描繪NASA如何探索太空中的未知事物，如何藉由這些發現產生靈感，以及各種為了替人類謀福利所帶來的創新。</p> </div></div></div>
2023/7/31 14:38作者陳曉莉https://www.ithome.com.tw/news/158020
Google發表首個可同時理解文字與視覺，並完成任務的Robotic Transformer 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.deepmind.com/blog/rt-2-new-model-translates-vision-and-language-into-action" target="_blank">Google在上周五（7/28）發表了新一代的AI機器人模型Robotic Transformer 2（RT-2）</a>，它以來自網路的文字與圖像（visual-language model，VLM）進行訓練，再結合上一代Robotic Transformer 1（RT-1）機器人的訓練資料，成為全球第一個視覺-語言-行動（vision-language-action，VLA）模型，讓機器人更能理解與執行人類所要求的任務。</p> <p>Google在<a href="https://ai.googleblog.com/2022/12/rt-1-robotics-transformer-for-real.html" target="_blank">去年12月發表的RT-1模型</a>主要是仰賴於實體世界操作的機器人資料進行訓練，所蒐集的資料是13個機器人在17個月之間，於13萬個場景中所執行的逾700種任務。</p> <p>而RT-2最大的改變就是引進了VLM，讓機器人模型得以透過大量來自網路的文字與影像來學習真實世界，再輔以上述的機器人訓練資料來執行各種行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1%5B1%5D.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> <p><a href="https://blog.google/technology/ai/google-deepmind-rt2-robotics-vla-model/" target="_blank">Google DeepMind負責機器人的科學家Vincent Vanhoucke表示</a>，過去的機器人都是一個口號一個動作，想像人們想執行一件事時，必須拆解每一個動作並指使身體移動，但RT-2不僅能理解複雜的推理，還能直接輸出動作，只要輸入少量的機器人訓練資料，系統就能把蘊藏於語言與視覺訓練資料中的概念，轉成直接的機器人行動，包括未曾接受過訓練的任務。</p> <p>舉例來說，過去若想要機器人系統丟棄某個垃圾，那麼必須先明確地訓練機器人辨識垃圾，再訓練它們撿起垃圾，以及將垃圾丟棄，但被餵入大量網路資料的RT-2，已經知道什麼是垃圾，而且就算未經特別訓練也知道該如何把垃圾丟掉，例如RT-2可以辨識香蕉皮與吃光的零食袋是垃圾。</p> <p>Google DeepMind比較了RT-2與自家的RT-1、Reusable Representations for Robotic Manipulation（R3M），以及來自Meta的Manipulation of Open-World Objects（MOO）在曾訓練與不曾訓練上的任務表現，顯示RT-2與RT-1於前者的表現相當，成功率都有90%左右，而在那些機器人未曾見過的背景、物件或環境的狀態下，RT-2具備明顯的優勢，效能達62%，遠高於RT-1的32%。至於Meta的MOO在已知場景的效能則有75%，未知則略高於RT-1。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-RT-2-Google%20DeepMind.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> </div></div></div>
2023/7/31 13:59作者陳曉莉https://www.ithome.com.tw/news/158019
【資安週報】2023年7月24日到7月28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞消息中，有3個漏洞利用消息需要優先關注，包括：（一）行動裝置管理平臺Ivanti Endpoint Manager Mobile（原名MobileIron Core）的CVE-2023-35078零時差漏洞遭利用，已導致挪威12個政府遭入侵；（二）Apple緊急修補一個零時差漏洞CVE-2023-37450，該漏洞存在於作業系統的核心內，該公司指出已得知有攻擊者利用此漏洞；（三）Zimbra前一週被發現有零時差漏洞攻擊，如今公布Zimbra Collaboration（ZCS）的CVE-2023-37580漏洞已遭利用。其他可留意的漏洞消息，包括：首度出現無線通訊標準協定Terrestrial Trunked Radio（TETRA）的研究與漏洞揭露，還有AMD處理器漏洞Zenbleed，OpenSSH的RCE漏洞，以及WordPress外掛程式Ninja Forms漏洞的揭露。</p> <p>在威脅態勢方面，近日勒索軟體的動向引發關注，其中Mallox威脅擴大值得留意，另外我們注意到近日Clop、BlackCat勒索軟體駭客變得更為囂張的情形。</p> <p>　●勒索軟體Mallox的攻擊行動在今年上半出現大幅增加的情況，研究人員並指出其入侵管道是鎖定微軟SQL Server，並以暴力破解來獲取權限<br /> 　●Clop駭客將竊取自受害者的外洩資料，發布到可透過網際網路存取的網站，而非暗網<br /> 　●lackCat駭客為資料外洩網站加入API、Python爬蟲，這些舉動顯然是向受害組織施加更多壓力</p> <p>其他值得關注的消息與事件，以網路犯罪工具FraudGPT的出現最受關注，另一個則是惡意簡訊App攻擊，近期臺灣時常傳出這類惡意活動，日本近來也有這類事件發生：</p> <p>　●有駭客製作出FraudGPT，號稱能用AI製作釣魚郵件及打造破解工具<br /> 　●中華汽車遭遇網路攻擊事件，因產線配合系統檢修而發生局部停止生產情況<br /> 　●日本傳出惡意簡訊App攻擊，攻擊者發布簡訊假冒當地東京電力公司、東京都水道局名義，聲稱支付電費或水費出現異常並留下網址，使用者若誤信點擊，將安裝包含惡意軟體SpyNote的App<br /> 　●本月中有資安業者揭露中國駭客濫用的微軟帳號簽章的事件，後續又有研究人員警告，指出其影響可能更為範圍廣泛</p> <p>關於資安防護焦點方面，國際間對資安事件訊息的公開揭露是更為重視，美國證券交易委員會（SEC）在一年多前提案，規定上市公司要在4天內披露重大資安事件，如今這項新規定已正式通過。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157914"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月24日】駭客假借日本水電公司名義，向當地安卓用戶散布惡意程式SpyNote</span></strong></a></h3> <p>為了方便民眾繳納規費，許多公營事業都在積極提供並推廣行動裝置App，有駭客假借這些資訊來散布手機惡意軟體，例如，<a href="https://www.ithome.com.tw/news/156783#fluhorse">5月資安業者Check Point發現名為FluHorse的安卓惡意軟體</a>，就是假借遠通電收ETC的App對臺灣民眾下手。而類似的攻擊行動，最近也在日本出現。資安業者McAfee揭露針對日本民眾的惡意軟體SpyNote，攻擊者聲稱手機用戶的電費或水費欠繳，要求依照指示下載App進行處理。</p> <p>勒索軟體Mallox的攻擊行動也相當值得留意，因為出現大幅增加的現象，駭客初期入侵受害組織的管道，就是針對微軟SQL Server而來。</p> <p>中國駭客組織Storm-0558濫用微軟帳號（MSA）金鑰挾持25個組織的電子郵件，微軟已做出緊急處置，但有資安業者發現，駭客濫用的金鑰不僅能存取雲端電子郵件服務Outlook.com，還能登入其他微軟的服務。</p> <h3><a href="https://www.ithome.com.tw/news/157937"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</span></strong></a></h3> <p>國內製造業近期陸續傳出遭到攻擊的情況，有些影響到供應商，有些則攻入企業環境，例如，先前有勒索軟體駭客LockBit聲稱竊得台積電內部資料的事故（台積電否認遭到入侵），但今天傳出有其他公司遭遇網路攻擊，甚至影響正常營運。昨日中華汽車在股市公開觀測站發布重大訊息，表示遭遇資安事故，有資安專家認為很可能就是勒索軟體攻擊，且疑似關閉防火牆而讓駭客有可乘之機。</p> <p>蘋果針對行動裝置、電腦、穿戴裝置發布作業系統更新也相當值得留意，因為，其中一項零時差漏洞涉及卡巴斯基6月揭露的零點擊攻擊行動Operation Triangulation。</p> <p>廣泛受到警消單位運用的無線電，有資安業者發現其通訊協定存在一系列漏洞TETRA:Burst，並指出他們已向多個國家的相關單位，以及無線電設備製造商進行通報。</p> <h3><a href="https://www.ithome.com.tw/news/157947"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</span></strong></a></h3> <p>週一挪威政府發布公告，表示他們廣受12個機關採用的ICT平臺遭到攻擊，而駭客利用的漏洞，就是Ivanti於週日針對行動裝置管理平臺Ivanti Endpoint Manager Mobile（EPMM，原名MobileIron Core）修補的CVE-2023-35078。Ivanti聲稱沒有發現該漏洞遭到利用的跡象，但已有研究人員發現相關攻擊行動。</p> <p>Atlassian上週修補的漏洞也相當值得留意，該公司針對企業協同開發軟體Confluence、持續整合與持續部署（CI/CD）系統Bamboo，修補了可被用於遠端執行任意程式碼（RCE）的高風險漏洞。</p> <p>VMware針對容器管理平臺Tanzu修補的資訊洩露漏洞，也值得IT人員留意，因為，攻擊者很可能用來推送帶有惡意功能的應用程式。</p> <h3><a href="https://www.ithome.com.tw/news/157972"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</span></strong></a></h3> <p>先前駭客嘗試將當紅的大型語言機器學習模型（LLM）ChatGPT用於網路犯罪，但後來開始有人製作專門用於攻擊的LLM，例如<a href="https://www.ithome.com.tw/news/157828#wormgpt">研究人員於7月中旬揭露的WormGPT</a>，而最近又有新的AI工具FraudGPT出現，值得留意的是，駭客標榜此工具不光能產生釣魚郵件的內容，還能製作多種類型作案工具，運用在不同型態的網路攻擊。</p> <p>隨著企業對於資安防護意識與認知的提升，越來越多受害組織不願付錢了事，對此，駭客也祭出過往未曾出現的施壓手法。例如，勒索軟體BlackCat（Alphv）就打算提供網站的API、爬蟲工具，促使有意購買資料的買家更輕鬆找到所需的檔案，並以此對受害組織施加更大壓力，迫使他們支付贖金。</p> <p>勒索軟體的威脅「不講武德」，再度出現同時針對相同目標下手的狀況！山葉音樂（Yamaha Music）加拿大分公司遭到網路攻擊，研究人員發現有兩組駭客Black Byte、Akira聲稱對其發動攻擊，先前也有類似的案例──<a href="https://www.ithome.com.tw/news/157880#esteelauder">勒索軟體駭客BlackCat、Clop皆表明對化妝品業者雅詩蘭黛下手</a>。</p> <h3><a href="https://www.ithome.com.tw/news/157996"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月28日】惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布</span></strong></a></h3> <p>先前有<a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html">資安業者趨勢科技揭露勒索軟體BlackCat（Alphv）的攻擊行動</a>，駭客假借提供WinSCP等知名應用程式的名義，透過惡意廣告引誘受害者上當。現在資安業者Sophos有新的發現，攻擊者用來入侵受害電腦的惡意軟體，是另一家<a href="https://www.esentire.com/blog/persistent-connection-established-nitrogen-campaign-leverages-dll-side-loading-technique-for-c2-communication">資安業者eSentire於1個月前發現的惡意程式Nitrogen</a>，並指出駭客的目標是北美的科技產業及非營利組織。</p> <p>網頁伺服器Tomcat遭到駭客鎖定的現象，也值得IT人員留意。資安業者Aqua Security揭露長達2年的攻擊行動，並指出駭客運用多達12種Web Shell來作案，但大部分的攻擊行動都是在網頁伺服器植入殭屍網路Mirai。</p> </div></div></div>
2023/7/31 10:08作者羅正漢https://www.ithome.com.tw/news/158011
蘋果新API政策要求使用Fingerprint技術的App需說明理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/documentation/bundleresources/privacy_manifest_files/describing_use_of_required_reason_api" target="_blank">蘋果上周頒布App Store新管理政策</a>，將限制App濫用追蹤用戶裝置資訊的API，以確保用戶隱私。</p> <p>這是繼蘋果2021年的App追蹤透明度（App Tracking Transparency，ATT）後，最新增加的管理政策。<a href="https://www.ithome.com.tw/news/144059" target="_blank">ATT要求</a>App必須在用戶安裝時，以明顯方式告知用戶會蒐集用戶資訊，並提供一個按鍵，賦予用戶同意或拒絕的權力。</p> <p>一些App開發商為繞過限制，改利用API來讀取裝置資訊藉此追蹤用戶活動。這也是蘋果最新政策欲防堵的對象。</p> <p>蘋果指出，有部分API可被用於蒐集用戶裝置資訊以跟蹤用戶行蹤，此類行為稱為fingerprinting，為蘋果開發者計畫授權協議所禁止。<a href="https://developer.apple.com/documentation/bundleresources/privacy_manifest_files/describing_use_of_required_reason_api" target="_blank">蘋果列出的API包括可讀取以下4類裝置資訊</a>：檔案時戳、系統開機時間、磁碟空間、活動中的鍵盤、使用者預設設定等。</p> <p>為防止這些API被誤用，蘋果於今年WWDC宣布，開發商如果App想使用這些API，必須在App隱私清單中宣告理由，以確保只在預定用途中使用這些API。在最新政策下，開發商必須在清單中選擇1個或多個使用API的理由，且該App也只能在其提供的理由下使用API。</p> <p>政策實施後，今年秋天起，當開發商準備上傳使用API（包括經由第三方SDK使用）的App、或App更新到App Store Connect時，若開發商隱私宣告（privacy manifest）未說明已經許可的理由，就會接獲需補充理由的通知。從2024年春天起，未提供經許可理由的App，就會被拒絕上傳。</p> <p>而如果開發商的理由未出現在App Store列出的清單中，<a href="https://developer.apple.com/contact/request/privacy-manifest-reason/" target="_blank">蘋果呼籲開發商填寫線上表單</a>，以要求核准新理由。</p> </div></div></div>
2023/7/31 12:31作者林妍溱https://www.ithome.com.tw/news/158017
GCP整合Tecton平臺強化機器學習特徵管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/partners/announcing-tecton-on-google-cloud">Google雲端加入一個稱為Tecton的功能平臺</a>，可自動執行生產環境中，建置和管理機器學習特徵的步驟，Tecton是一個全託管特徵建置和調度服務，可完整管理機器學習特徵生命周期，降低組織建構、管理和共享機器學習特徵的障礙，並提高模型效能和可靠性，控制機器學習應用程式的開發和維護成本。</p> <p>目前不少企業開始將機器學習功能整合進應用程式中，但是機器學習模型需要高品質的資料，經過轉換建立機器學習特徵，才能做出精準預測，而Google提到，建置和管理生產環境機器學習特徵資料工作管線並不容易，這些工作管線的資料來自批次處理或是串流傳輸等不同來源，在將這些資料轉換成為機器學習特徵之後，才能用於訓練和服務上。</p> <p>而Tecton的目標是要能自動處理機器學習特徵的建置、處理、共享和供給工作，資料團隊可以使用Tecton的宣告式框架，將特徵定義為程式碼，在底層會由Tecton調度轉換與實現機器學習特徵所需要的實際工作管線。透過Google Cloud Build這類CI/CD工具，開發者可以將Tecton特徵當作程式碼進行管理，集中管理程式碼方便共享和協作，就像是管理基礎設施即程式碼，或是模型即程式碼一樣。</p> <p>Tecton可自動連接和維護Google雲端批次處理和串流服務的新資料，同時Tecton也支援來自包括Redshift、Snowflake和Apache Kafka等非GCP的資料。Tecton在Google雲端上，會使用Databricks或Dataproc分散式運算平臺聚合和轉換資料，將傳入的資料轉換成為特徵，放到線上與離線特徵商店中。資料特徵存放在Tecton低延遲線上儲存，服務即時供給需求，同時也會存放在離線儲存，以用於產生訓練資料集和離線推理用途。</p> </div></div></div>
2023/7/31 12:39作者李建興https://www.ithome.com.tw/news/158016
美澳政府警告影響微軟Teams的IDOR竊密漏洞可能被大量濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-208a" target="_blank">美國與澳州資訊安全主管機關上周警告</a>，影響微軟Teams等Web應用的不安全直接物件參照（insecure direct object reference，IDOR）漏洞可能遭大量濫用，繞過用戶端安全控制，使外部租戶可傳送惡意檔案給企業員工。</p> <p>美國網路安全暨基礎架構管理署（CISA）、國安局（CSA）及澳洲國防情報局的澳洲網路安全中心（ACSC）上周四發布聯合網路安全諮詢，對此類漏洞發出警告，呼籲用戶、開發人員及廠商留意。</p> <p>IDOR漏洞是一種存取控制的漏洞，可讓攻擊者對網站或Web應用API發送由其控制的參數（包括ID號碼、名稱或金鑰等）的呼叫，使其可直接存取Web應用某些物件（如檔案或個人資訊），在Web應用未能執行充分驗證及授權檢查時會發生這種存取權漏洞。</p> <p>美、澳政府是在6月底<a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/" target="_blank">英國安全廠商Jumpsec揭露Microsoft Teams發生IDOR漏洞</a>，可能讓惡意程式利用Teams預設配置，被植入企業網路。研究人員指出，每個企業組織在Teams擁有自己的租戶，但一個微軟帳號也能與外部租戶連繫。這使得特定租戶也能傳送檔案或訊息到其他租戶的用戶。研究人員發現，使用傳統的IDOR漏洞濫用方法，在外部租戶傳送的訊息中包含POST呼叫，並將內部與外部租戶的收信人ID互換，即能引導內部用戶連到指定的網域下載惡意檔案。</p> <p>而<a href="https://www.ithome.com.tw/news/157657" target="_blank">在7月初美國海軍研究人員也發布名為TeamsPhisher的工具</a>，利用Teams的IDOR漏洞，從外部傳送附件給一個組織的整個Teams群組。</p> <p>Teams並非存在IDOR漏洞的產品。<a href="https://therecord.media/cisa-australia-warn-of-idor-vulnerabilities" target="_blank">The Records報導</a>，WordPress、AT&T、或是電源管理業者伊頓（Eaton）也出現過這類瑕疵。<a href="https://support.microsoft.com/en-us/topic/update-for-idor-vulnerability-in-system-center-operations-manager-kb5006871-0e3a513a-ad80-4830-8984-2fc5a40ee7f7" target="_blank">微軟也修補過影響System Center Operations Manager的IDOR問題</a>。</p> <p>CISA及ACSC指出，依IDOR種類，外部攻擊者可讀取、修改、存取企業網路的檔案、資訊等物件或是存取某些功能。外部攻擊者可濫用以下技巧，像是修改POST呼叫訊息本體中的HTML表格欄位，修改連向目標紀錄的URL、修改傳給對方的cookie ID、或使用Web代理服器攔截或修改HTTP/JSON物件呼叫。</p> <p>CISA指出，這類漏洞攻擊難以防範，一來是因為Teams的使用情境眾多，無法以單一函式庫或安全功能解決，二來是攻擊者可能大規模使用自動化工具。這些特性可能引發小至個人資料外洩，大到大規模資料被竊。</p> <p>針對企業開發人員，或開發商，CISA及ACSC建議採用安全開發原則，包括檢查和測試程式碼、實施驗證及授權檢查、啟用CAPTCHA等技巧。針對用戶，美澳政府則建議慎用Web應用程式、定期安裝修補程式、啟用log以警示傳送的訊息曾遭到變更。</p> <p>JumpSec則建議企業管理員，如果平常沒用Teams和公司外部成員聯繫，也可以考慮關閉。方法是從「管理員中心」點入「外部存取」將之關閉。</p> </div></div></div>
2023/7/31 12:10作者林妍溱https://www.ithome.com.tw/news/158015
歐盟將調查微軟Office、Teams綑綁行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3991" target="_blank">歐盟上周宣布</a>將調查微軟綑綁Office 365與Teams的行為是否涉及市場壟斷，危害協同軟體產業競爭。</p> <p>歐盟指出，新冠疫情爆發促成遠端作業及企業加速轉向雲端，及擁抱雲端通訊與協同軟體，也造就提供用戶不同廠商的多種軟體的新興商業模式，以及新型雲端業者。這類軟體多半採用訂閱付費制，包括視訊會議及線上協同軟體。</p> <p>但微軟卻將它的Teams整合在其獨大的Office 365及Microsoft 365生產力應用。歐盟執委會擔心微軟可能限制通訊協同產品競爭，以鞏固其生產力軟體的市場地位。</p> <p>執委會懷疑微軟在客戶訂閱Office時，不給他們訂閱其他通訊協同軟體的選擇權利，或是限制這些軟體和Office套件的相容性，藉此獨厚Teams。歐盟認為，這些作法可能涉及限制競爭的綑綁行為，削弱其他通訊與協同工具供應商的競爭力，而損害歐洲經濟區客戶的權益。</p> <p>歐盟是在Salesforce旗下<a href="https://www.ithome.com.tw/news/138979" target="_blank">Slack於2020年7月控告</a>下，著手調查。後者稱微軟將Teams整合到Office中，迫使數百萬Office用戶安裝、阻撓他們移除，微軟還對企業用戶隱藏真正的成本。</p> <p>對此，微軟表示尊重歐盟的作業，也正視自己的責任，該公司將持續與歐盟合作，並將致力於解決歐盟的疑慮。</p> <p>今年3月<a href="https://arstechnica.com/tech-policy/2023/07/microsoft-teams-office-bundle-leads-to-official-eu-antitrust-probe/" target="_blank">《金融時報》</a>引述消息人士報導，為了解決歐盟的產品搭售疑慮，微軟正在改寫產品，使客戶能依其意願買到內建與不含Teams的Office產品，不過詳細運作方式不得而知。</p> <p>不過歐盟發言人周四也說，在通知微軟後還沒接到該公司提出什麼回應，討論解決方案為時過早。</p> </div></div></div>
2023/7/31 09:54作者林妍溱https://www.ithome.com.tw/news/158010
【iThome CIO大調查：新興技術篇】2023年一般製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-yi_ban_zhi_zao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>今年一般製造業CIO主要挑戰是企業ESG目標，優先程度甚至比數位轉型還要更高。這個戰略方向的聚焦，也反映到一般製造業的新興科技採用意願，除了爆紅的ChatGPT浪潮同樣吹進了製造業之外，碳足跡儀表板是另一個和ChatGPT並列的熱門新興技術，超過2成2的一般製造業者今年要導入，幾乎是每四到五家就有一家要建置</strong></span><strong style="font-size: 22px;">。</strong></p> <p><strong style="font-size: 22px;">值得注意的是小資料（Samll Data）快速崛起，甚至在今年開始進入爆紅新興科技，和上述兩項並列為，一般製造業2023年三大爆紅技術。另外，IT預算和人力有限的一般製造業，在數位轉型需求下，多雲混合雲架構、敏捷開發、RPA流程自動化、LoCode/NoCode開發都是為了兼顧成本和開發需求而進入了今年的主流領域。</strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-%E5%8E%9F%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:45作者王宏仁https://www.ithome.com.tw/article/157980
【iThome CIO大調查：新興技術篇】2023年高科技製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-gao_ke_ji_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>高科技製造業今年格外加碼數位轉型的力道，也帶動了多項雲原生技術的採用力道，但是，從新興科技雷達圖來看，高科技製造業者更看到ChatGPT浪潮帶來的可能性，成了今年是唯一進入爆紅項目的新興技術。</strong></span></p> <p><span style="font-size:22px;"><strong>不過，這一波追趕加碼意味濃厚的數位轉型需求，仍然帶動了高科技業者，在今年加速擁抱各項雲原生技術、IT現代化技術的採用需求，這也反映到這個產業對IT基礎架構和AP開發類別上相關技術的採用率上。不只是多雲混合雲架構、K8s和容器技術成為這個產業的IT基礎架構，在開發領域上，中臺架構設計、微服務架構、DevOps和LowCode/NoCode開發，都成了今年的主流。值得注意的是安全新興技術如SBOM和DevSecOps也開始崛起。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E9%AB%98%E7%A7%91%E6%8A%80-600-PNG(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E9%AB%98%E7%A7%91%E6%8A%80-600-%E5%B0%8F-PNG(2).png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/157995
【iThome CIO大調查：新興技術篇】2023年服務業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-fu_wu_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;">新常態帶來的線上線下OMO整合浪潮，大大影響了服務業今年的新興技術採用布局。除了ChatGPT也是服務業的爆紅新興科技，CDP顧客數據平臺成了與ChatGPT技術並列的兩大服務業2023超夯技術。這兩項超夯技術，也帶動了相關新興科技的崛起，甚至像可以用來整合各類型資料的資料湖，也在今年成了服務業的主流新興科技之一。</span></strong></p> <p><strong><span style="font-size:22px;">而隨著ChatGPT受到重視，負責任AI技術的採用，也開始受到高度關注，成了快速崛起的新興科技之一。在疫情期間大力發展線上平臺的服務業，K8s容器技術和DevOps逐漸成為基本能力或技術，但是，服務業對這兩項技術的採用率在今年反而些微下滑，反映出並非所有開發需求，都適合這兩項技術，值得關注。</span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%B0%8F%E5%9C%96-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/157997
【iThome CIO大調查：新興技術篇】2023年金融業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-jin_rong_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>對金融業而言，今年開始進入數位轉型的中後期，許多大型轉型工程進入後半段的深化應用階段，雖然IT預算依舊成長，但開始趨緩，也直接反映到數位轉型投資呈現大幅下滑的現象。金融業對於新興科技採用也出現了很大的變化。ChatGPT雖然是唯一一個今年火爆的新興技術，但金融產業仍舊高度謹慎，嘗試尋找出更適合的應用場景進行驗證。</strong></span></p> <p><span style="font-size:22px;"><strong>另外，多項原本積極採用的新興技術的採用率開始下滑，例如像是RPA流程自動化、微服務架構等，這兩項仍有很高的採用率，但金融業開始更慎選適合的應用方式或系統。另外，值得關注的是有多項進入主流的新興科技，像是DevSecOps和國外新興的平臺工程，都是金融CIO今年更看重的新興技術。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E9%87%91%E8%9E%8D%E6%A5%AD-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E9%87%91%E8%9E%8D%E6%A5%AD-600-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/158000
【iThome CIO大調查：新興技術篇】2023年醫療業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-yi_liao_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:22px;"><strong>醫療產業在2023年面臨了許多技術抉擇的大挑戰，尤其在電子病歷上雲的法規鬆綁之後，醫院開始積極評估原有HIS系統上雲的可能性。尤其許多醫院的HIS系統使用久了，也到了需要升版改版的時機，趁著改版之際，同時採用新一代的IT現代化技術，擁抱雲原生架構，是許多醫院CIO正在思考的重大決策。</strong></span></p> <p><span style="font-size:22px;"><strong>但是，這也讓醫院面臨許多新興技術的採用決策，可以看到今年醫院對於新興技術的採用有很大的變動。雲原生相關技術的採用率快速提高，而架構選擇上，微服務架構、中臺架構設計、Open AI架構都成了醫療業的主流新興技術，值得關注的是，以病人為中心的思維盛行，帶動了醫院更重視病患的個人數據管理，可以看到CDP平臺在醫療業爆紅。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E9%86%AB%E7%99%82%E6%A5%AD-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E9%86%AB%E7%99%82%E6%A5%AD-600-PNG.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/158001
【iThome CIO大調查：新興技術篇】2023年政府學校新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1140-feng_mian_-zheng_fu_xue_xiao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:22px;">各產業中，政府機關與學校是最積極採用ChatGPT與相關GPT類LLM技術的產業。甚至，可以說每4個政府機關或學校，就有一家機構想要採用。不過，值得思考的是，從調查結果可以看到，負責任AI的採用率是0%，可能有少數有意採用的政府機關，不在調查樣本範圍內而導致，但是這個結果反映出，政府學校對於負責任AI的採用意願更低。</span></strong></p> <p><strong><span style="font-size:22px;">另外，從我們今年CIO大調查可以看到，值得關注的是政府機關擁抱零信任的政策方向，不只反映到資安，也開始影響到政府部門的開發發展，政府部門不只這幾年開始大力投資DevOps，也可以看到，對於DevSecOps的需求大增，也帶動了這項新興科技快速崛起，成了政府機關與學校今年的主流技術之一。</span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1140-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1140-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-PNG.png" style="width: 599px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">圖表說明：34項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「新興科技」，再按照近兩年熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（連續兩年排名上升5名者）、主流技術（今年預估採用率超過12%）、崛起技術（今年預估採用率低於12%）和最外圈是退燒技術（連續兩年排名下滑5名者）。同一圈中2023年預估採用率越高者越靠近核心。紅色三角形代表今年採用率增加（增加超過50%者2個紅三角，超過100%者3個紅三角，破200%以上則標示4個紅三角），綠色三角代表該項今年採用率下滑（下滑超過20%者2個綠三角，下滑幅度破40%則標記3個綠三角）。位於第四圈外者今年採用率0%，並標記黑三角。<br /> 資料來源：2023 iThome CIO大調查，2023年7月。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 160, 122);"> 執行說明 </span></span></strong> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</p> <p><a href="https://www.ithome.com.tw/article/158009" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/7/31 08:46作者王宏仁https://www.ithome.com.tw/article/158002
【iThome 2023 CIO大調查系列5】搜索IT新戰力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1140-feng_mian_gu_shi_1_open-da_diao_cha_xi_lie_5-960x420_gong_zuo_qu_yu_1_0.jpg?itok=N11ZYrCt" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年iThome發表臺灣第一份企業新興技術雷達圖，披露大型企業對四大類31項新興技術的採用熱度，今年不只增加到34項，更進一步發布6大產業的新興科技雷達圖，哪項爆紅？哪些主流？又有哪些技術正在退燒？一張圖清楚掌握！</p> </div></div></div>
2023/7/31 09:12作者王宏仁https://www.ithome.com.tw/article/158009
【資安日報】7月28日，惡意軟體Nitrogen被用於勒索軟體攻擊，並透過Google、Bing廣告散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前有<a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html">資安業者趨勢科技揭露勒索軟體BlackCat（Alphv）的攻擊行動</a>，駭客假借提供WinSCP等知名應用程式的名義，透過惡意廣告引誘受害者上當。現在資安業者Sophos有新的發現，攻擊者用來入侵受害電腦的惡意軟體，是另一家<a href="https://www.esentire.com/blog/persistent-connection-established-nitrogen-campaign-leverages-dll-side-loading-technique-for-c2-communication">資安業者eSentire於1個月前發現的惡意程式Nitrogen</a>，並指出駭客的目標是北美的科技產業及非營利組織。</p> <p>網頁伺服器Tomcat遭到駭客鎖定的現象，也值得IT人員留意。資安業者Aqua Security揭露長達2年的攻擊行動，並指出駭客運用多達12種Web Shell來作案，但大部分的攻擊行動都是在網頁伺服器植入殭屍網路Mirai。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://news.sophos.com/en-us/2023/07/26/into-the-tank-with-nitrogen/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用惡意軟體Nitrogen發動勒索軟體攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nitrogen-05.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nitrogen-05.png" style="width: 300px; float: right;" /></a>資安業者Sophos揭露名為Nitrogen的惡意軟體攻擊行動，駭客在Google、Bing搜尋引擎上架惡意廣告，假借提供遠端桌面軟體AnyDesk、FTP用戶端軟體WinSCP、VPN軟體Cisco AnyConnect、磁碟管理軟體TreeSize Free的名義，散布Nitrogen，目的是竊取受害電腦資料及從事網路間諜行動，然後部署勒索軟體BlackCat（Alphv），目標是北美的科技產業及非營利組織。</p> <p>一旦使用者依照指示點選搜尋引擎上的廣告，就會被帶往冒牌的應用程式下載網站，或是指示下載惡意軟體的YouTube影片，進而取得駭客提供的ISO檔案，其內容為遭到竄改的應用程式安裝程式install.exe，以及惡意的DLL程式庫msi.dll。</p> <p>若是使用者執行安裝程式，此DLL檔案就會透過側載的方式執行，建立C2通訊並於受害電腦植入名為Meterpreter的Shell程式，以及Cobalt Strike Beacon，而在Meterpreter啟動後，攻擊者會改以手動操作執行後續流程。</p> <p><a href="https://blog.aquasec.com/tomcat-under-attack-investigating-the-mirai-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Tomcat網頁伺服器遭到鎖定，被植入Mirai病毒並用於挖礦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tomcat-ddos.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tomcat-ddos.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露鎖定Tomcat網頁伺服器的攻擊行動，他們在近2年內於自己建置的密罐陷阱（Honey pot）裡，偵測逾800次的攻擊行動，當中駭客運用了12個不同的Web Shell，根據攻擊者的目的，大致上能區分成3種類型，這些包含了植入殭屍網路病毒Mirai並用於DDoS攻擊、部署挖礦軟體來挖掘比特幣，以及混沌型（Chaos）惡意軟體──此為新型態的勒索軟體變種，現在也被用於DDoS攻擊行動。</p> <p>研究人員指出，在這些攻擊行動裡，96%與Mirai有關；有20%的攻擊當中，駭客運用名為neww的Web Shell，透過暴力破解來取得Tomcat伺服器的存取權限，然後部署WAR檔案，該檔案內含檔案名稱為cmd.jsp的Web Shell，監聽來自遠端的請求，並於伺服器上執行任意命令，最終部署殭屍網路病毒Mirai。</p> <p><a href="https://www.ithome.com.tw/news/157978"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電玩決勝時刻玩家遭到惡意軟體攻擊</span></strong></a></p> <p>微軟併購動視暴雪（Activision Blizzard）已進入最後階段，傳出近日動視暴雪修復老舊伺服器，讓多款舊版決勝時刻（Call of Duty）的玩家可以重溫舊夢。但有玩家發現，駭客也藉此散布惡意軟體。</p> <p><a href="https://techcrunch.com/2023/07/27/hackers-are-infecting-call-of-duty-players-with-a-self-spreading-malware/">根據科技新聞網站TechCrunch的報導</a>，駭客疑似入侵決勝時刻：現代戰爭2（Call of Duty: Modern Warfare 2）的遊戲大廳，隨機挑選玩家並將目標電腦的DirectX部分DLL元件，置換成惡意檔，發動遠端執行任意程式碼（RCE）攻擊。有人將惡意程式上傳VirusTotal，部分防毒軟體將其識別為Generic或BehavestLike，其中一名使用者分析此惡意軟體，發現其具備蠕蟲的特性，一旦玩家遭到感染，也會在遊戲大廳散布此惡意程式。但究竟攻擊者是誰？有待進一步調查。對此，動視暴雪已暫時下架該款遊戲。</p> <p><a href="https://www.bleepingcomputer.com/news/security/8-million-people-hit-by-data-breach-at-us-govt-contractor-maximus/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國政府服務承包商Maximus證實遭遇MOVEit Transfer攻擊，至少800萬人個資受到波及</span></strong></a></p> <p>7月26日美國政府業務承包商Maximus向當地證券交易所（SEC）提出8-K表單，表示該公司遭遇了資料外洩事故，起因是遭到了MOVEit Transfer零時差漏洞攻擊，該公司估計有800萬至1,100萬人的個資受到影響，包含了他們的社會安全碼、受保護的健康資訊，以及其他個人資料等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/wordpress-ninja-forms-plugin-flaw-lets-hackers-steal-submitted-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Ninja Forms出現漏洞，恐讓駭客竊取送出的表單資料</span></strong></a></p> <p>資安業者Patchstack揭露WordPress外掛程式Ninja Forms的漏洞，這些漏洞有可能讓攻擊者提升權限，或是竊取用戶資料。</p> <p>其中的CVE-2023-37979是基於POST的反射式跨網站指令碼（Reflected XSS）漏洞，未經授權的攻擊者可用於提升權限，然後利用特製網頁愚弄具備特殊權限的使用者，進而竊取資訊。</p> <p>另外兩個漏洞是CVE-2023-38393、CVE-2023-38386，漏洞來自該外掛程式的提交表單匯出功能，攻擊者可用來破壞存取控制，只要透過訂閱者或是分享者的身分，就能藉此漏洞匯出所有使用者提交的資料。開發商獲報上述漏洞後，於7月4日發布3.6.26版予以修補。</p> <p><a href="https://www.bleepingcomputer.com/news/security/zimbra-patches-zero-day-vulnerability-exploited-in-xss-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zimbra修補已出現攻擊行動的XSS零時差漏洞</span></strong></a></p> <p>Google威脅情報小組研究人員7月中旬針對電子郵件系統Zimbra提出警告，他們發現已被用於攻擊行動的零時差漏洞，該漏洞與跨網站指令碼（XSS）有關，當時Zimbra提出了緩解措施，並呼籲IT人員儘速手動套用。到了26日，Zimbra發布了8.8.15 Patch 41、9.0.0 Patch 34、10.0.2版修補上述漏洞，並指出該漏洞已列管被登記為CVE-2023-38750列管。</p> <p>而對於該漏洞的影響，Zimbra指出，若不處理可導致內部JSP與XML檔案曝露。美國網路安全暨基礎設施安全局（CISA）於27日發布資安通告，要求聯邦機構於8月17日完成修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://maia.crimew.gay/posts/fuckstalkerware-2/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗跟蹤軟體Spyhide從6萬臺安卓手機竊取通話記錄、簡訊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/lazarus-hackers-linked-to-60-million-alphapo-cryptocurrency-heist/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣支付業者Alphapo遭北韓駭客Lazarus攻擊，損失6千萬美元加密貨幣</span></span></strong></a></p> <p><a href="https://coinspaid.com/tpost/0zx28tmj51-coinspaid-is-back-to-processing-after-be"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加密貨幣支付業者CoinsPaid證實遭遇網路攻擊，北韓駭客Lazarus盜走逾3,700萬美元加密貨幣</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/157983"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Ubuntu檔案系統元件OverlayFS存在漏洞，4成用戶曝險</span></span></strong></a></p> <p><a href="https://www.hackread.com/check-point-report-microsoft-phished-brand/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Check Point指出，微軟是今年第2季網釣攻擊駭客最愛冒用的品牌</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157972">【7月27日】有人在暗網論壇兜售AI網路犯罪工具FraudGPT，號稱不到一週已有3千買家下單</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157947">【7月26日】駭客利用Ivanti行動裝置管理平臺的零時差漏洞，攻擊挪威政府的資訊系統</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157937">【7月25日】中華汽車發布重大訊息證實遭到網路攻擊，並著手恢復受影響系統</a></strong></p> </div></div></div>
2023/7/28 15:43作者周峻佑https://www.ithome.com.tw/news/157996
WhatsApp發表影片訊息功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.whatsapp.com/introducing-instant-video-messages?lang=en" target="_blank">Meta旗下的傳訊程式WhatsApp本周宣布</a>，繼文字與語音之後，已開始於全球部署影片訊息功能，讓使用者可錄製與傳送60秒內的影片，預計未來幾周即會部署完畢。</p> <p>Meta最後一次公布WhatsApp的全球用戶數應是在2020年，當時的WhatsApp擁有超過20億用戶，雖然臺灣使用者對它並不熟悉，但它在巴西、印度、義大利、阿根廷、瑞士、芬蘭、德國、奧地利、荷蘭與西班牙的滲透率都超過9成，如同臺灣的Line。</p> <p>根據WhatsApp的說明，該平臺認為以影片來分享某個時刻將是個有趣的方式，不管是要祝對方生日快樂，因笑話而開懷大笑，或是發布好消息。</p> <p>在WhatsApp傳送影片訊息的方式與傳送語音訊息類似，只要切換至影片模式，就能長按以錄製影片，或是向上滑動來鎖定錄影功能，以鬆手來錄製影片。而在聊天室中開啟影片時它會自動以靜音播放，使用者再點選影片即可開啟聲音。此外，它亦採用端對端加密以確保訊息安全。</p> <p>其實先前WhatsApp即具備傳送影片的功能，只是新功能省略了許多步驟，此外，上個月已有許多Android及iOS用戶率先收到了相關的更新。</p> </div></div></div>
2023/7/28 16:15作者陳曉莉https://www.ithome.com.tw/news/157998
Amazon Bedrock可讓企業開發AI助理，新增模型、供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/2023/7/aws-expands-amazon-bedrock-with-additional-foundation-models-new-model-provider-and-advanced-capability-to-help-customers-build-generative-ai-applications" target="_blank">AWS本周在AWS Summit大會上宣布</a>Amazon Bedrock增加新的底層模型、模型供應商，以及供企業開發AI助理的功能。</p> <p><a href="https://www.ithome.com.tw/news/156411" target="_blank">Amazon Bedrock是AWS今年4月宣布的AI模型雲平臺</a>，可供企業選擇市面上知名的AI底層語言模型，包括AI21Labs、ChatGPT、Anthropic、Stability AI及AWS自家模型Titan。在最新升級後，Bedrock新增模型供應商Cohere，其底層模型Command是文字生成模型，可被訓練來遵照用戶指令，執行企業應用任務，像摘錄重點、編寫文字、回答問題、汲取資訊與產生對話。而Cohere的文字理解模型Embed則可用於搜尋、聚集和分類任務，支援100多種語言，讓組織能以意義搜尋或分類文字。</p> <p>Bedrock原有供應商也提供新一代底層模型，包括Anthropic Claude 2及Stability AI的Stable Diffusion XL 1.0。Claude 2現在每次對話能接收最多100,000 token，等同數百頁或甚至一本書，也能撰寫比前一代更長的文件，像是數千token的備忘錄或故事。Stability AI則提供Stable Diffusion XL（SDXL）1.0。SDXL 1.0是文字轉圖片模型，比前一代的0.9版能生成色彩更精準、解析度更高、光影表現更佳的圖片。SDXL 1.0也會整合到機器學習中心Amazon SageMaker Jumpstart，後者提供用戶演算法、模型和解決方案。</p> <p>此外，AWS也新介紹Agents for Amazon Bedrock，這項雲端代理程式功能可讓開發人員（或使用者）更容易開發生成式AI聊天機器人或助理，處理多種企業應用作業、或根據企業自有資料庫回答問題。AWS宣稱，只要滑鼠點幾下，這個代理程式就能拆解任務，擬定協助計畫，完全不需人撰寫程式。它會透過簡單API連結企業資料系統，自動將資料轉換成機器讀取的格式，再補足相關資訊產生更精準的回應。它還能自動呼叫API完成用戶需求，像是保險公司可開發生成式AI應用程式，協助保險業務員自動化理賠申請、管理紙本作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-Agents%20for%20Amazon%20Bedrock.png" style="width: 600px;" /></p> <p>AWS表示，由於是全代管程式，這代理程式可大幅減少不必要的整合及基礎架構作業，使開發人員只需單純處理生成AI應用開發的工作。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> </div></div></div>
2023/7/28 14:23作者林妍溱https://www.ithome.com.tw/news/157985
Stability AI公布最新文字轉圖片模型Stable Diffusion XL 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://stability.ai/press-articles/stable-diffusion-xl-1-featured-amazon-aws-bedrock" target="_blank">AI新創公司Stability AI本周公布</a>最新版文字轉圖片模型Stable Diffusion XL（SDXL）1.0，強化圖片生成的品質與功能，新版模型產生的圖片色彩更鮮明、準確，對比、光影表現更佳，也強化圖片生成速度，最少只要5張圖片就能客製化。</p> <p>Stable Diffusion XL（SDXL）1.0是參數最多的開放存取圖片生成模型之一，基礎模型擁有35億個參數，模型組合管線則高達66億個參數，其優化器（refiner）能為基礎模型產出圖片加入更準確的色彩、更高對比及更多細節。也加快了生成速度，幾秒鐘就能生成多種長寬比的1024x1024高解析度圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-Stable%20Diffusion%20XL-2.jpg" style="width: 600px;" /></p> <p>Stability API也強化微調、客製化功能，讓用戶可用最少只需5張圖片就能針對特定人士、產品或物件客製圖片。新功能目前正在和幾家合作夥伴測試，未來幾周內會正式釋出。</p> <p>SDXL 1.0是繼4月的Beta版、6月僅供研究用的SDXL 0.9版後的商用版本。Stability AI指出，4月以來，用戶從其Clipdrop App已生成3,500萬張圖片，而Stability AI的Discord社群也生成了2萬張圖片。</p> <p>SDXL 1.0目前已可透過Stability AI API、Stability AI的<a href="https://github.com/Stability-AI/generative-models" target="_blank">GitHub頁</a>，以及Clipdrop和DreamStudio App存取。</p> <p>此外，Stability AI也宣布SDXL 1.0將登上AWS AI模型服務Amazon Bedrock。4 月推出的Amazon Bedrock提供多家AI底層模型，包括Stable AI，提供用戶生成圖片、logo或其他視覺設計。SDXL 1.0則是本周Amazon Bedrock最新更新的底層模型之一。此外，AWS機器學習演算法中心Amazon SageMaker JumpStart也將加入SDXL 1.0。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_Stability AI</span></span></p> </div></div></div>
2023/7/28 14:58作者林妍溱https://www.ithome.com.tw/news/157990
AI趨勢周報第223期：創作影片更簡單了，ShortGPT用AI自動化編輯和配音合成工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0721～0727)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">影片創作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ShorGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 配音合成 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>創作影片更簡單了，ShortGPT用AI自動化影片編輯工作</strong></span></p> <p>最近，GitHub上出現一款強大的AI框架ShortGPT，能用來簡化影片創作工作，包括配音合成、影片編輯、撰寫腳本等，來提高自動化程度。進一步來說，ShortGPT有一套以LLM為導向的影片編輯語言，來驅動整個自動化編輯框架。而且，這個語言將編輯流程拆解為可管理和可自定義的區塊，讓大型語言模型更容易理解流程意義，也因此讓ShortGPT能為各種編輯流程，生成提示和腳本，來加速自動化編輯，並提供立即可用的資源給創作者。</p> <p>不只如此，ShortGPT還提供多種語言的合成配音，目前支援英語、西班牙語、阿拉伯語、法語、德語、義大利語、葡萄牙語和波蘭語，尚未有中文。此外，ShortGPT還能生成影片字幕，並具備影片資源管理功能，能透過Pexels API來從網路尋找圖像和影片畫面。最後，ShortGPT還應用輕量級資料庫TinyDB來確保自動編輯變數的一致性，能記住使用者偏好和設定。現在，使用者可在Google寫作開發平臺Colab上執行ShortGPT。ShortGPT頗受歡迎，目前開源2周，已累積了2,700多顆星星。<a href="https://github.com/RayVentura/ShortGPT">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/hpoSHq-ER8U" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yahoo日本 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line與Yahoo日本也擁抱OpenAI API服務了</strong></span></p> <p>近日，由韓國Naver集團和日本軟銀集團合資成立的子公司Z控股，與OpenAI簽訂企業協定，來讓Z控股旗下員工能使用OpenAI所有API服務，包括大型語言模型GPT-4、GPT-3.5、GPT-3，文生圖模型DALLE·E，語音轉文字模型Whisper，用來判斷文字敏感度的Moderation，以及衡量字符串相關性的Embeddings等。也就是說，包含Line集團、Yahoo日本在內的2萬多名員工都能使用這些API，用來優化內部作業流程。比如，這些API可用來快速建立文檔和電子郵件模板、能修改草稿、研究、文字內容分類、翻譯和新點子建議等。Line集團和Yahoo日本也會在各部門推廣生成式AI應用，來提高生產力和服務品質，並發想新服務。</p> <p>為因應AI技術進展，Z控股也做了不少相應措施。比如今年6月，Z控股成立生成式AI應用促進辦公室，由63位來自Z控股、Line和Yahoo日本等成員組成，來討論相關應用。今年3月，Z控股還制定了生成式AI使用指南，來規範和促進生成式AI的使用，而且自2021年6月起，他們也與外部專家進行一系列AI倫理專家討論，來制定服務安全政策和使用者自願使用AI的規則，更在去年7月制定了《Z控股集團AI倫理基本方針》，作為安全使用AI並保障用戶隱私的策略。</p> <p>不只是制定規則，Z控股內部也開始應用生成式AI，比如Yahoo日本營運的餐廳訂位服務PayPay Gourmet，<a href="https://about.yahoo.co.jp/pr/release/2023/07/19b/">在今年7月就使用OpenAI的ChatGPT外掛</a>，來讓使用者用說的，就能找到想要的餐廳並定位。<a href="https://linecorp.com/en/pr/news/en/2023/4636">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Chatbot Arena </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span></p> <p><span style="font-size:22px;"><strong>哪個LLM表現最好？ Chatbot Arena線上工具讓你測試還排名</strong></span></p> <p>由加州大學伯克萊分校和CMU學生成立的大模型系統組織（LMSYS Org）開發一款線上工具<a href="https://chat.lmsys.org/?arena">Chatbot Arena</a>，能讓使用者同時測試2款大型語言模型，只要輸入問題，2款模型就會同步即時回答，再由使用者評估2者表現，如誰表現好、平手或都不好，再進行下一輪測試。</p> <p>Chatbot Arena收錄了16款開源和閉源模型，採隨機方式讓使用者測試，評分後才揭露模型名稱。該工具用Elo指標來對模型排名，特別的是，Elo沒有最高或最低分數，而是比對手多得100分的模型，預計會贏得64%的比賽，比對手多得200分的模型預計會贏得76%的比賽。目前，Chatbot Arena排行榜第一名是GPT-4，其次是Claude-v1、GPT-3.5-turbo，以及用ChatGPT對話資料微調LLaMA而成的Vicuna-33B與13B版本。<a href="https://lmsys.org/blog/2023-05-03-arena/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-07-28%20131740.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LogAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日誌分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Salesforce打造日誌分析函式庫LogAI並開源</strong></span></p> <p>CRM龍頭廠商Salesforce最近打造一款<a href="https://github.com/salesforce/logai?ref=blog.salesforceairesearch.com">日誌（Log）分析函式庫LogAI</a>，可用來處理電腦系統產生的原始日誌，還支援日誌分群、摘要等分析任務，以及日誌異常偵測與根因分析（Root-cause）等智慧任務。而且，LogAI採用OpenTelemetry日誌資料模型，能兼容不同日誌管理平臺的格式，並提供視覺化的GUI介面。此外，LogAI還為熱門的統計、時間序列和深度學習模型提供統一的模型介面，可輕鬆對日誌異常偵測的深度學習算法進行基準測試。</p> <p>一般來說，電腦系統產生的日誌，可幫助開發者了解系統行為、找出問題，但傳統的日誌分析通常仰賴人工手動進行，借助AI則能加速這個過程。於是，團隊打造LogAI，由LogAI核心函式庫和LogAI GUI組成，LogAI GUI可讓使用者連接到核心函式庫中的日誌分析應用程式，並透過GUI互動介面來可視化分析結果。<a href="https://blog.salesforceairesearch.com/logai/">（詳全文）</a></p> <p><img alt="" src="https://lh6.googleusercontent.com/HMJLv5H27nEcLaPlW2dJ64L-hVbFYQlaJ4np1dVGu4LnEMFaLLQ7wajVV6e0rd0uIbnEBOPFyjNfrIYeRY8-UwK888J4CUsh5duupvWfuNsi_DBrWpA2XRtDCYeAt61gr_yR1FXWQxLyRASkPAG5MmY" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 安全 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI、微軟和Google等7大AI巨頭向白宮承諾將維護AI安全</strong></span></p> <p>日前，美國7大AI龍頭承諾白宮，將對AI風險做出安全控管。這些業者包括OpenAI、微軟、Amazon、Google、Meta、Anthropic和Inflection，他們將推動安全、可靠和透明的AI技術發展，比如在AI系統釋出前，進行內外部安全測試，以及願意與該產業、政府、社會和學術界分享AI管理資訊。此外，他們也將投資網路安全和內部威脅防護機制，以保護私有及未發表的模型權重，另外也將與第三方合作，來找出AI系統漏洞。</p> <p>另一方面，為提高民眾信任，這些企業也將打造可標記AI生成內容的技術，像是浮水印系統，也會公開對外說明其AI系統的能力、限制，以及適用和不適用的領域。他們也會針對AI系統可能帶來的社會風險展開研究，諸如避免有害的偏見與歧視，同時保護隱私，並將發展、部署可協助解決社會關鍵挑戰的先進AI系統，如預防癌症、減緩氣候變遷。同時，美國也與國際合作，要建立一個國際框架，來管理AI的開發與使用，目前已與澳洲、加拿大、巴西、德國、印度、新加坡、韓國等逾20國就自願承諾進行協商。<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/07/21/fact-sheet-biden-harris-administration-secures-voluntary-commitments-from-leading-artificial-intelligence-companies-to-manage-the-risks-posed-by-ai/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 艾倫研究所 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大腦地圖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></p> <p><span style="font-size:22px;"><strong>艾倫研究所要打造人類大腦地圖，還要用生成式AI找洞察</strong></span></p> <p>艾倫研究所（Allen Institute）在美國國立衛生研究院（NIH）的資助下，用AWS平臺技術打造一套腦知識平臺，來繪製人類大腦地圖，要找出阿茲海默症和帕金森氏症等神經疾病的成因，並進一步找出最佳療法。</p> <p>艾倫研究所啟動為期5年的人腦地圖繪製專案，聯手全球17家研究機構的神經科學研究員，在腦知識平臺上繪製一張全新、完整且精確到單個細胞的腦部地圖。團隊計畫用Amazon SageMaker機器學習平臺來管理資料，未來也會部署生成式AI，來將龐大、複雜、多模態的資料轉化為洞察。同時，艾倫研究所資料暨技術主管Shoaib Mufti還會帶領團隊，與AWS一起用腦部地圖建立全球最大的腦細胞開源資料庫，將成為人類首次針對哺乳動物大腦結構和功能進行彙編、標準化的大規模資料集。<a href="https://aws.amazon.com/blogs/industries/executive-conversations-building-the-brain-knowledge-platform-with-shoaib-mufti-data-and-technology-lead-at-the-allen-institute-for-brain-science/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中國附醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 病歷紀錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>口述10秒就完成病歷記錄，中國附醫推醫療生成式AI系統</strong></span></p> <p>中國附醫採用微軟生成式AI服務，開發出智海系統（gHi system），是首套以華文建立的生成式語音智慧醫療系統，能根據醫護口述，快速轉換為文字，來完成病歷的撰寫，減少醫護人員輸入病歷75％的時間，讓醫護人員更專注於患者照護。</p> <p>進一步來說，傳統手寫或鍵盤輸入病歷資訊，不只耗時，還容易出錯。為克服語音轉文字的準確度，中國附醫AI中心找來微軟，利用微軟Azure平臺上語音轉文字服務，辨識口述內容，再用同平臺提供的GPT-4模型，來摘要、分析，提取關鍵資訊，10秒就能自動生成專業醫療術語和建議。中國附醫指出，該應用可用於新病人面談問診、護理語音記錄、住院病歷撰寫、專業檢查報告輸出，甚至還能客製化生成等，大幅縮短撰寫醫療報告的時間。<a href="https://news.microsoft.com/zh-tw/generativeai-medical/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2023/07/MicrosoftTeams-image-6-1536x1153.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BI </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS一口氣推出7大生成式AI新功能</strong></span></p> <p>AWS最近在宣布推出7項生成式AI新功能，像是程式撰寫助手Amazon CodeWhisperer與Amazon Glue整合、Amazon QuickSight新增生成式BI功能，以及智慧醫療新服務AWS HealthScribe等，要來降低使用門檻，讓開發者和業務都能使用。比如，新功能之一的全託管基礎模型服務Amazon Bedrock全面擴展，新添許多基礎模型、模型供應商和代理功能，知名AI新創Stability AI、Cohere和Anthropic都加入，他們的熱門語言模型Claude 2和最新版文生圖模型包Stable Diffusion XL 1.0也都納入Bedrock，來給使用者採用。</p> <p>此外，Amazon EC2 P5執行個體正式可用了，來加速生成式AI和高效能運算應用，訓練時間最多可從幾天縮短到幾小時，降低40%訓練成本。其他新功能還有可用於Amazon OpenSearch Serverless的向量引擎，方便使用者整合資料；而寫程式AI助理Amazon CodeWhisperer整合Amazon Glue，開發者可用英語編寫特定任務。再來，Amazon QuickSight還新增生成式BI功能，幫助企業輕鬆找資料、發現並分享洞察。</p> <p>同時，AWS推出的Amazon HealthScribe，醫療軟體供應商可用來打造臨床應用程式，像是用生成式AI來產出臨床文件，節省醫生時間。而且，醫療軟體供應商還能利用單一個API，自動建立可靠的記錄、提取關鍵訊息（如醫學術語和藥物），並根據醫病對話建立摘要，然後將這些資料輸入到電子病歷系統。<a href="https://aws.amazon.com/blogs/aws/top-announcements-of-the-aws-summit-in-new-york-2023/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2023/07/25/agents-for-amazon-bedrock-intro.png" /></p> <p>圖片來源／RayVentura、Chatbot Arena、Salesforce、AWS、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟Teams企業版加入美妝用AI，讓用戶亮麗上鏡頭視訊</strong></p> <p><strong>2. 微軟正在測試Bing Chat執行於Chrome、Safari等瀏覽器</strong></p> <p><strong>3. ChatGPT Android App即將開放下載</strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/7/28 11:46作者王若樸https://www.ithome.com.tw/news/157979
Android開始部署不明追蹤警告，可以逮到AirTag了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/unknown-tracker-alert-google-android/" target="_blank">Google周四（7/27）宣布</a>，將開始部署不明追蹤警告（Unknown Tracker Alert）功能至Android 6.0及以上的裝置，以讓使用者得以發現跟著他們的未知藍牙裝置，惟初期僅能逮到蘋果的AirTag。</p> <p>像是AirTag等藍牙追蹤器可以繫在寵物、鑰匙圈或包包上，方便使用者尋找自己的物件，但也有人用以追蹤不屬於自己的物品或是用來追蹤其他人。蘋果的iOS內建了偵測機制，可偵測不屬於自己的AirTag，但Android用戶就必須額外下載蘋果所釋出的Tracker Detect來偵測AirTag。</p> <p>而Google本周的舉動，即是為了協助Android用戶偵測到不屬於他們的藍牙追蹤裝置。根據Google的說明，此一更新將會讓Android裝置自動察覺附近有不屬於同一使用者、且持續跟著它的藍牙追蹤器，同時發出警告。使用者則可藉由該警告要求該陌生的藍牙追蹤器發出聲音，也能查看該藍牙追蹤器的資訊，像是追蹤器的序號，或是控制該追蹤器的手機後4碼，也可提供資訊來教導使用者如何關閉該追蹤器。</p> <p>此外，Android用戶也可透過手機設定，來手動掃描附近的不明藍牙追蹤器。</p> <p>不過，目前此一功能僅支援蘋果的AirTag，Google正與其它藍牙追蹤器的製造商合作，以擴大所支援的追蹤器品牌。</p> <p>另一方面，為了促進藍牙追蹤器的隱私與安全，<a href="https://www.ithome.com.tw/news/156681" target="_blank">Google與蘋果在今年5月攜手宣布</a>將共同制定規範來處理不明追蹤，此一規範的主要目的是打擊濫用藍牙定位追蹤裝置所進行的不明追蹤行為，正式規範預計會在今年底出爐。</p> <p>為此，Google也決定暫緩推出原本要在今年夏天出爐的新版Find My Device網路，此一服務可允許Android用戶尋找屬於自己的藍牙配件，以及其它使用第三方藍牙追蹤器的物品。根據Google的說法，延後推出的原因是要等待蘋果於iOS中導入相對應的保護措施。</p> </div></div></div>
2023/7/28 13:23作者陳曉莉https://www.ithome.com.tw/news/157984
研究人員警告，4成Ubuntu含有漏洞風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability" target="_blank">來自Wiz Research的兩名資安研究人員Sagi Tzadik與Shir Tamari在26日指出</a>，Ubuntu中含有兩個與OverlayFS有關的權限擴張漏洞，影響了40%的Ubuntu用戶，而且以前的攻擊程式就適用。不過，<a href="https://ubuntu.com/security/notices/USN-6250-1" target="_blank">Ubuntu在25日已藉由釋出Ubuntu 23.04</a>，修補了包括這兩個漏洞在內的8個安全漏洞。</p> <p>OverlayFS為一Linux檔案系統，由於它可在預先建構好的映像檔上部署動態檔案系統，因而隨著容器的興起而變得更熱門，然而，由於非常權用戶經常得以利用使用者命名空間（User Namespace）存取OverlayFS，使得它成為吸引駭客的攻擊表面。</p> <p>Tzadik與Tamari說，基於Linux的Ubuntu在2018年針對OverlayFS模組作了許多變更，雖然這些變更並未帶來任何安全風險，但Linux Kernel專案在2019年與2022年執行的OverlayFS變更卻與Ubuntu的作法衝突，而分別產生了<a href="https://ubuntu.com/security/CVE-2023-32629" target="_blank">CVE-2023-32629</a>與<a href="https://ubuntu.com/security/CVE-2023-2640" target="_blank">CVE-2023-2640</a>漏洞。</p> <p>有鑑於它們是基於Ubuntu的變更才衍生的，因此這兩個漏洞並未波及其它Linux作業系統。根據Ubuntu的說明，這兩個漏洞源自於Ubuntu中的OverlayFS在特定情況下無法妥善檢查權限，而允許本地端駭客擴張權限。</p> <p>值得注意的是，那些過去鎖定OverlayFS漏洞所開發的攻擊程式，完全不需要修改就能攻擊<a href="https://ubuntu.com/security/CVE-2023-32629" target="_blank">CVE-2023-32629</a>與<a href="https://ubuntu.com/security/CVE-2023-2640" target="_blank">CVE-2023-2640</a>，Ubuntu用戶最好儘速修補。</p> <p>至於Ubuntu 23.04本周所修補的其它漏洞，則皆直接源自Linux Kernel。</p> </div></div></div>
2023/7/28 12:42作者陳曉莉https://www.ithome.com.tw/news/157983
產業觀察：金融擁抱ChatGPT真正痛點不是成本，找出適用場景更重要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當ChatGPT浪潮吹進臺灣時，企業又愛又擔心，尤其是金融業，從iThome 2023年CIO大調查結果可以看到，高達6成金融業者的第一反應是，強化自家員工的ChatGPT資安意識，甚至有近4成6的金融業者更是直接下令在內部網路中禁用ChatGPT相關網址，深怕不小心就外流了企業的機敏資訊到上面而曝光。</p> <p>不過，也有2成金融業者反過來鼓勵自家員工試試看，更有39%金融業者開始評估，各種生成式AI的可行性，金融業看重生成式AI的企業比重，遠高於整體產業的平均比例，這也反映出ChatGPT浪潮，開始讓金融業認真看待生成式AI的價值和可行性，而且比其他產業更加的積極思考生成式AI在企業應用的可能性。</p> <p>一方面高度警戒，另一方面又高度感興趣，金融業對ChatGPT浪潮的反應相當兩極，這反映出，金融業想要擁抱ChatGPT，但是，擔心背後風險的不可控程度，真正的問題不是要不要用，而是該怎麼用它？</p> <p>ChatGPT去年剛現身時，就以擬人般的對話能力獲得高度關注，不過，有位銀行資訊主管一看到這項新技術，第一時間就要求客服團隊先不要用。「這項技術的不確定性，出現任何一個閃失，都可能造成顧客的災難。」這位IT主管私下這樣對我說。</p> <p>銀行是一個無法容忍誤差的行業，甚至是，所有銀行資訊系統中，與金錢有關的資料欄位，都避免甚至禁止使用浮點數，尤其是交易類的系統，就是為了確保每一筆錢的計算都精準，不能有任何小數點。（真要有小數點下的計算，透過乘以需要的倍數，例如乘以1,000倍來放大原本小數點下的位數，確保小數點下的數值位數可控，一樣可以用整數型別處理法規所允許的小數點下的數值計算）</p> <p><strong>為何摩根大通銀行年初下達ChatGPT暫時限用令？</strong></p> <p>正是擔心ChatGPT相關技術的不可控性和不確定性，所以，就算是目前率先開始評估ChatGPT的金融圈先行者，也不敢輕易就直接運用到交易系統，或是直接面對顧客的場景中，如公開表明正在進行ChatGPT技術評估的摩根大通集團，旗下銀行第一時間也先對員工下達暫時限制使用令，不只國外，臺灣也有銀行發布了ChatGPT內部禁用令。</p> <p>從頭打造一套ChatGPT背後大型語言模型和訓練成本可能上億美元，相當驚人，但對<a href="https://www.ithome.com.tw/news/157061">2023年IT預算高達153億美元（約臺幣4,700億元）的摩根大通集團</a>而言，1億美元只是IT預算的幾個百分比零頭，禁用ChatGPT不是IT預算不足的問題。</p> <p>更不用說，摩根大通這幾年發展的AI應用案例超過300個，涵蓋了風險、潛在顧客挖掘、市場行銷、顧客體驗和詐欺防範等領域的AI應用案例，例如在消費市場領域，已有25個利用AI來提供個人化的產品和顧客體驗應用，創造了2.2億美元的價值。</p> <p>在2023年投資者日活動（5月22日）時，摩根大通全球資訊長Lori Beer更透露，這300個應用已經影響了10億美元的業務價值，這是摩根大通在2021年訂下的3年目標，但提前在去年達成，因此，摩根大通今年甚至將AI對業務影響金額的KPI目標，提高到了15億美元。摩根大通集團，非常清楚，AI對金融業可以帶來的業務實質價值。</p> <p>摩根大通不是因為錢，也不是不清楚AI的價值，會因為AI人力不足而無法用ChatGPT嗎？</p> <p>統計到2023年，摩根大通集團擁有900多位資料科學家，600位機器學習工程師和1千多名資料管理人員，更有一個200人規模的AI專門研究團隊，他們自己揭露，在知名銀行AI成熟度指標Evient AI評比上，摩根大通名列第一。所以，AI研發人力更不是摩根大通集團不敢輕易用ChatGPT技術直接面對顧客的關鍵門檻。</p> <p>更不用說，不只Open AI、微軟，連Google、Nvidia、AWS等科技巨頭，都開始透SaaS服務形式，來提供ChatGPT類技術，或GPT類LLM模型的商用服務，透過公雲服務等級的法遵配套，以及商業契約形式的機敏資料約束擔保（如保證上傳資料不會用於契約外的運用）。</p> <p>以目前實務經驗來看，企業使用SaaS形式的GPT技術服務，每個月所需要投入的費用其實不算高，有位臺灣新創執行長告訴我，只需數百美元就能嘗試不少GPT類應用。</p> <p>SaaS服務的好處是可以用多少付多少。從Open AI在3月初開始提供商用ChatGPT模型客製化服務後，陸續看到不少企業嘗試上傳自己的資料，來微調（Finetune）客製版ChatGPT模型，不過，先前那位對客服下達禁用令的銀行IT主管，也對微調客製化模型，先說「不」。</p> <p><strong>不是不用，場景和時機更關鍵</strong></p> <p>「不是不用，而是時機未到！」他認為：「需要到調校模型的前提是，AI模型產生的結果，雖不完美但可以接受時，才值得做。」所以，他要求下屬直接用現成生成式模型，進行概念驗證，根據他的評估，目前還沒到需要投入資料，進行微調的階段。</p> <p>這位金融主管的想法，與英國頂級休旅車公司捷豹路虎Jaguar擔心的ChatGPT長期成本考量一樣。捷豹路虎的擔心是，日後若想要將SaaS形式ChatGPT類技術服務，客製運用到不同的任務用途，每一次，只要需求、任務有些微不同，就需要一筆少少的微調費用，看似不多，但積數百個「少」會變成真的「多」，這個不可預估總成本的不確定感，讓他們轉而思考，能不能從Prompt提示問題下手。<a href="https://www.ithome.com.tw/news/157976">捷豹路虎經驗也很有意思，請看另文補充</a>。</p> <p>對金融業者而言，<strong>想要擁抱ChatGPT，真正的痛點是如何找出使用場景。</strong>而且不只金融，對同樣高度擔心ChatGPT不確定性和不可控性的任何產業或企業，都是如此。</p> <p>就我觀察，多數開始嘗試ChatGPT的企業，仍把生成式AI視為文章產生器的技術，來提高生產力，不論式產生行銷文章，或是內部研究報告，專案計畫內容等，本質上都同樣是文章生成。</p> <p>目前最可能的ChatGPT或GPT類LLM技術的使用場景，我認為是，<strong>用ChatGPT優化內部作業流程，提高內部的生產力</strong>。舉例來說，在保險場景運用生成式AI的可能性最高。</p> <p><strong>生成式AI應用可能：保險員內訓場景</strong></p> <p>這幾年，保險業早就開始運用Chatbot技術，來訓練新進的保險業務員，傳統做法上，新進保險業務人員，得閱讀大量文件或者觀看大量事先錄製的教育訓練影片，來訓練與顧客的應答。已經有臺灣的金融業者，開始評估如何運用到保險業務的內部訓練上，像是運用AI來整理或摘要，大量（尤其對新人來說）保險產品或相關說明文字的搜尋。</p> <p>這正是為何<a href="https://www.ithome.com.tw/news/155956">摩根士丹利財管使用GPT-4來支援理財顧問</a>的案例，引起各國金融業熱烈討論的緣故，包括臺灣金融圈。這家公司用GPT-4來整理龐大的現成公開知識來支援真人理財顧問，讓這些顧問更有能力面對外面顧客，而不是直接用AI來提供面對外面顧客的客服機器人。</p> <p>不是用來直接面對顧客，而是透過「人機協作」策略，讓人作為把關的窗口，也能善用既有的稽核、審查、控管流程或機制，來發揮目前仍有高度不確定性和不可控性的ChatGPT技術。</p> <p><strong>AI人機協作待解課題：真人變AI圖章</strong></p> <p>不過，長期來說，這種人機協作還是有一個課題待解，會不會讓這些新手保險業務員，喪失了過去那種靠辛苦自學而來的成長能力，反正有AI幫我整理和摘要，我就可以不用那麼辛苦自學，靠「人」作為把關，資深人員是靠過去「非AI輔助」的經驗來建立這樣的判斷人力。</p> <p>可是，10年後，新一代「AI輔助」下的保險業務員，變成老手後，會不會失去了足夠的真假判斷能力，仍舊靠「能力不足」的真人老手來把關，容易淪為「只是蓋章背責」的真人圖章，這是當前教育界，思考ChatGPT技術對學生影響的長期反思，不過，大家都還沒有答案，都在思索中。看重短期效益的業界，更需要好好參考的教育界對生成式AI長期思考的經驗。</p> <p>面對新技術，總是得不斷嘗試，<strong>不是問能不能用，而要思考，怎麼用更適合。</strong>文☉王宏仁</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E7%94%A2%E6%A5%AD%E8%A7%80%E5%AF%9F">金融產業觀察</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/%E6%91%A9%E6%A0%B9%E5%A4%A7%E9%80%9A">摩根大通</a></div><div class="field-item odd"><a href="/tags/%E4%BA%BA%E6%A9%9F%E5%8D%94%E4%BD%9C">人機協作</a></div><div class="field-item even"><a href="/tags/gpt-4">GPT-4</a></div><div class="field-item odd"><a href="/tags/llm">LLM</a></div></div></div>
2023/7/28 11:06作者王宏仁https://www.ithome.com.tw/voice/157977
病毒感染舊版《決勝時刻》電玩用戶Windows PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日大復活的知名多人射擊電玩《決勝時刻：現代戰爭2（Call of Duty: Modern Warfare 2）》疑似出現病毒感染玩家，可能已經散布超過一個月。目前該遊戲已經被暫時下架。</p> <p>由於微軟收購動視暴雪（Activision Blizzard）成功率大增，近日動視修復老舊伺服器，使許多電玩經典《決勝時刻》舊版本得以輕鬆匹配，加上Xbox得以回溯相容前代軟體，吸引大量老玩家使用PC及Xbox回鍋重溫舊時記憶。</p> <p>但<a href="https://steamcommunity.com/app/10190/discussions/0/3810656756190466074/" target="_blank">6月底Steam討論區開始有用戶發出警告</a>，2009年發行的《決勝時刻：現代戰爭2（Call of Duty: Modern Warfare 2）》發生病毒感染玩家電腦。一名用戶分析，攻擊者可能是駭入遊戲大廳，隨機挑選感染目標，並透過遠端程式碼執行（RCE）在受害者電腦執行程式，將DirectX和音效相關的DLL檔置換成惡意檔案。這名用戶呼籲遊戲用戶啟用掃毒軟體。</p> <p class="rtecenter"><a href="http://steamcommunity.com/app/10190/discussions/0/3810656756190466074/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0728-Call%20of%20Duty-Trojan.png" style="width: 600px;" /></a></p> <p><a href="https://www.virustotal.com/gui/file/cb000abed31b92b4f3f895a633ef0ffaf01a1be0dfc73619acf98c1605a5999d/detection" target="_blank">VirusTotal</a>上部分防毒軟體偵測到這隻程式，分別命名為Generic或BehavestLike。另一名用戶分析樣本，指出這可能是隻蠕蟲程式，用戶遭到感染後，也會在大廳中散布該程式。感染這隻蠕蟲後，該Dll檔會註冊該大廳，使受害者無法加入遊戲或發起遊戲。<a href="https://techcrunch.com/2023/07/27/hackers-are-infecting-call-of-duty-players-with-a-self-spreading-malware/" target="_blank">Techcrunch引用追蹤該遊戲人數網站報導</a>，一個月前迄今有大約600名玩家玩過這遊戲。</p> <p>至於是誰發動這波攻擊，目的為何尚不清楚。<a href="https://www.tomshardware.com/news/call-of-duty-players-are-being-hit-with-self-spreading-malware" target="_blank">《Tom's Hardware》</a>報導，攻擊事件僅發生在以PC連線的用戶，若是以Xbox遊戲機連線的用戶則似乎不受影響。</p> <p><a href="https://twitter.com/CODUpdates/status/1684295189849071618" target="_blank">不過昨日遊戲發行商動視透過X說明</a>，已暫時從Steam將該款電玩拉下，並展開調查。</p> </div></div></div>
2023/7/28 11:23作者林妍溱https://www.ithome.com.tw/news/157978