iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 4篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

流通教父的行銷關鍵字
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-tai_wan_liu_tong_ge_ming_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我一直認為『沒人做過的事就值得一試』。商機不會從天上掉下來，而是要靠自己去找出來。如果自己認為『這個事業不會再成長了』、『景氣這麼差，真的無能為力』，任何事業都會走到終點。」徐重仁在上任統一流通集團總經理的第一天，就在思考市場飽和的問題，而這正是他突圍式經營策略的思考原點。</p> <p>他一直相信，市場不會消失，商機一直都在，因此在面對業績持續疲弱的子公司，他一樣能從目前的市場看見新機會，幫助企業重生。</p> <p><span style="font-size: 28px;"><strong>讓統一藥品轉虧為盈的傳奇式翻轉</strong></span></p> <p>一九九三年統一企業成立「統一藥品」，製造銷售中藥和強身健體的營養補給品，可是這個經營方向讓公司持續虧損。徐重仁分析，「中藥價格高，年輕一代很少人吃中藥，所以經營大不易。可是命令高會長成立統一藥品公司的人，是他的老闆吳修齊，所以就算虧損也不能說解散就解散。」這使得統一藥品到了後期，每年虧損近兩億元。</p> <p>後來高清愿會長將統一藥品移交流通次集團管理，徐重仁義不容辭接下統一藥品的重生計畫，當時，他毅然決然放棄中藥事業，並注意到美容面膜。那時候許多台灣女性都很憧憬SK-II的面膜。可是SK-II的商品很貴，不是一般女性想買就買得起的產品。</p> <p>「所以我就在想，假設SK-II的面膜要價一千元，我們用五百元賣效果差不多的面膜，就有更多人可以負擔得起，應該會很受歡迎。」</p> <p>徐重仁為了驗證自己的想法，立刻指示統一藥品開發面膜，創立品牌「我的美麗日記」，在流通次集團的7-ELEVEn和藥妝店「康是美（COSMED）」販售。</p> <p>徐重仁很自豪地表示，「『我的美麗日記』上市兩至三年後，統一藥品的業績每年都有近三億元的盈餘」。除了讓統一藥品起死回生，徐重仁總共讓五家業績不佳的公司重生，成為流通次集團的戰力。</p> <p><span style="font-size: 28px;"><strong>切入市場空隙，催生出新事業機會</strong></span></p> <p>而7-ELEVEn之所以能持續成功，也是因為徐重仁在流通市場的百貨公司和超市的縫隙間，找到了機會。在某次會議上，統一企業高層下達指令，「開發全新流通事業，進軍可以持續成長的市場！」但在場幹部沒有人知道，有什麼方法能跨入早已廝殺慘烈，成為紅海的百貨公司和超市等流通市場？</p> <p>參加會議的徐重仁於是拿起桌上的水杯，開口說了。</p> <p>「有某種程度經濟規模的零售業大餅，就像是這個水杯裝滿的水一樣。假設我們把小石頭丟入這個水杯裡，直到石頭堆滿水杯，這些石頭就像是在流通市場激烈交鋒的百貨公司或超市。」</p> <p>周遭的高層們都盯著水杯，傾聽徐重仁的話。他用沉穩的聲調繼續說。</p> <p>「乍看之下，水杯裡好像沒有空間了，可是仔細看看，你會發現其中其實還有很多空隙。我們只要在那些空隙裡，塞入形狀不同於百貨公司或超市的小石頭，也就是投入全新開發的新事業即可。在大石頭之間的縫隙再放入新的小石頭，愈放愈多，水杯裡的水位就會愈來愈高。也就是說，新事業的加入，會讓流通市場變大。」</p> <p>筆者詢問徐重仁，當時他這席話的真正含意，他笑著回答，「空隙就像是沒人想做的利基型事業。在空隙投入新事業，市場相對就會隨之變大，並催生出新的事業機會……我想告訴大家的是這種想法」。</p> <p>如同他所說的「水杯投石」，第一階段他採取的多角化策略，就是選擇成立商店規模比百貨公司或超市小，業態也不同的B2C零售、流通、服務事業公司，啟動全新的事業。後來，徐重仁仍持續導入美日成功的各種流通事業，截至二○一一年八月止他卸任為止，流通次集團旗下零售業的門市，包含康是美、SMILE加油站、無印良品、Pet Plus、星巴克、Mister Donut、酷聖石、21風味館、聖娜多堡烘焙、和食SATO、健身房BEING，統一阪急等，在台灣總計有八百七十七家零售、餐飲、流通服務的商店，加上7-ELEVEn約五千家門市，他透過多角化經營，讓流通次集團成長為「台灣最大的流通複合企業」。</p> <p><span style="font-size: 28px;"><strong>咖啡沒人買，有裂痕的茶葉蛋反而暢銷？開發商品最重要的一件事</strong></span></p> <p>關於商品開發，徐重仁則有一個絕對不能退讓的原則。</p> <p>「商品開發必須站在『顧客需求』的角度。顧客想要什麼、需要什麼？顧客追求的是好吃，還是方便？重要的是能否站在顧客的立場去思考，是否能讓顧客想經常上門。」徐重仁之所以堅持這個原則，其實也是經過許多試錯的結果。</p> <p>因為虧損連連，統一超商一度被降級為母公司旗下的所屬部門，在徐重仁的努力與堅持之下，一九八六年開出第一百家門市，也讓超商事業獲利首度由黑翻紅，隔年得以獨立成為一家企業。這個成績也讓他在公司工作未滿十年，就當上公司的總經理。徐重仁已經繳出如此優秀的成績單，但他沒有因此停下腳步，徐重仁開始著手開發台灣7-ELEVEn的獨家商品。</p> <p>徐重仁首先鎖定增加「餐飲品項」。正如同美國的7-ELEVEn也銷售三明治和漢堡等，不過，當時台灣的外食文化還不普及，也很少有人會買三明治或漢堡、三角飯糰等速食作為主餐。因此，徐重仁一開始先推出「茶葉蛋」。</p> <p>煮茶葉蛋時要先將蛋殼敲出裂縫，然後加入香片、烏龍茶、紅茶、普洱茶等茶葉，以及酒、醬油、味醂、辛香料等燉煮。在台灣這是許多街邊的小攤販會賣的經典商品，不過蛋殼有裂縫的蛋和獨特的氣味，與歐美人士的飲食習慣與口味都有很大的落差，因此遭到美國Southland Ice公司的督導大力反對。即使如此，徐重仁也毫不退讓。</p> <p>督導要求「你們反而應該賣咖啡」。當時在美國的7-ELEVEn，卡車司機來買早餐的三明治或熱狗時，就會順道買杯自助式的咖啡。徐重仁雖然覺得美國和台灣的客層不同，但幾經思考後，「想東想西，不踏出第一步也不知道結果如何。就先試試看，真的不行就撤退就好。我也還是商品開發的新人，如果在美國都會受到歡迎的話……」，他決心採納督導的建議。</p> <p>結果茶葉蛋大受歡迎，咖啡卻完全賣不出去。「所以咖啡只賣了一年就停賣了。」有了這次經驗，繼展店策略之後，他也學到商品開發要配合地區需求，所謂「在地化」的重要性。</p> <p>一九九○年，在茶葉蛋開賣三年後，他開賣熱狗大亨堡，而Southland Ice公司則不斷要求他推出美國7-ELEVEn的暢銷商品三明治和漢堡等，不過徐重仁沒有立刻答應。</p> <p>「我們雖然開賣大亨堡，但因為當時的台灣幾乎沒有人吃三明治和漢堡，我們知道美式食物在台灣賣不出去，和咖啡一樣。」徐重仁補充說明。</p> <p>即使如此，他還是注意到日本7-ELEVEn獨家開發的主力商品餐飲品項。</p> <p>「日本和台灣的飲食習慣相近，我想更容易讓台灣人接受」。徐重仁也在計算推出時機。他認為要讓台灣民眾接受平常很少接觸的食品，就必須等到台灣的消費水準提升，民眾生活更富裕後。</p> <p>等到門市數量突破一千五百家，統一超商股票上市的一九九七年，徐重仁在台灣7-ELEVEn的餐飲品項中，新加入「御飯糰」和「關東煮」。</p> <p>「御飯糰和關東煮都不是西式食物，日本和台灣都以米食為主食的國家，所以飲食習慣上較接近，調理方式和口味上也會比較相似。」徐重仁說明他當時推出這兩項產品背後的決策。</p> <p>「過去台灣人絕對不會吃生的魚肉。現在幾乎一○○％的台灣人都會吃生魚片。一開始雖然陌生，但只要一步一步來，讓商品逐步進化並嘗試，消費者慢慢就會習慣，有一天就會成為日常。」</p> <p>徐重仁實踐的商品開發策略，不是去因應現有的顧客需求，而是參考日本7-ELEVEn的成功事例，發掘潛在需求，提供顧客全新的價值，進而降低失敗率。<strong><span style="color: rgb(105, 105, 105);">（本文摘錄整理自《台灣流通革命》，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%8F%B0%E7%81%A3%E6%B5%81%E9%80%9A%E9%9D%A9%E5%91%BD.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_天下雜誌出版</span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span> 台灣流通革命</strong></p> <p><strong>佐宮圭／著；李貞慧／譯</strong></p> <p><strong>天下雜誌出版</strong></p> <p><strong>定價：450元</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><strong>佐宮圭</strong></p> <p>1964年出生於兵庫縣尼崎市。早稻田大學第一文學部畢業後，經歷各種職務，1993年成為寫手。為學研社《大人的科學漫畫》等科學內容撰文，也為日經BP社『日經Business』、日本經濟新聞社『日本經濟新聞電子版』等媒體上連載專欄至今。2010年其報導《鶴田錦史傳―大正、昭和、平成時代頂尖男装天才女琵琶師的一生》獲得第17屆小學館非文學大獎優秀獎並刊載於《觸摸》雜誌。</p> </div></div></div>
2023/8/10 12:00未署名https://www.ithome.com.tw/article/158167
研究顯示ChatGPT寫程式的問題解答正確率不到五成，但很容易被採信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多人已經發現AI模型幻覺問題，導致AI聊天機器人給的答案充滿謬誤，但是錯得有多離譜則不得而知。<a href="https://arxiv.org/abs/2308.02312" target="_blank">美國大學一項研究顯示</a>，OpenAI ChatGPT在程式撰寫上給的建議，正確率竟不到5成，但有4成時候人類無法察覺。</p> <p>過去軟體工程師在寫程式遇到問題時，多半是向Stack Overflow這類Q&A平臺求助。但這類平臺在ChatGPT出現後遇到極大挑戰，因為工程師都轉向ChatGPT。美國普度大學（Purdue University）一群研究人員於是想了解ChatGPT對軟工的答案是否是真的有用，以及有什麼特色。</p> <p>他們針對ChatGPT對Q&A平臺Stack Overflow（SO）上517道程式撰寫問題給出的答案，分析正確性、一致性、完整性及簡明性。此外也對使用ChatGPT建議進行語言及情感分析，以了解ChatGPT的答案有何特色，以及人類用戶對AI給的答案建議的接受度。</p> <p>根據分析，研究人員發現52%的問題上，ChatGPT給的答案是不正確的，62%的答案過於冗長。此外，研究人員還發現AI答案有高達78%和人類答案不一致。研究人員深入分析ChatGPT的答案，還發現有大量概念及邏輯錯誤的問題。</p> <p>研究人又以2,000道SO上的寫程式問題分析ChatGPT答案的語言特色。研究顯示，ChatGPT的答案使用正式、漂亮用詞、甚少出現不禮貌的負面情感，而且語氣神似真人說話，這使得它容易取得用戶的信任。雖然用戶認為SO上其他人給的答案品質較高，但有4成（39.34%）題目會不小心相信ChatGPT給的錯誤答案，只有6成的人能察覺到它的答案是不正確的。</p> <p>結論是，想靠AI幫忙寫法律判例、寫程式或論文提升工作效率，可能還得等一陣子。研究人員提醒，由於ChatGPT講話有條理且充滿肯定語氣，很具說服力，但至少現在，在軟體工程中使用ChatGPT的答案要十分小心謹慎。</p> </div></div></div>
2023/8/10 11:51作者林妍溱https://www.ithome.com.tw/news/158196
微軟公測可切換雲端和桌機Windows的Windows 365 Switch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-365-switch-now-available-in-public-preview/ba-p/3891857" target="_blank">微軟本周宣布Windows 365 Switch公開預覽版</a>，讓用戶測試在同一臺電腦上自由切換Windows 11和Windows 365雲端作業系統。</p> <p><a href="https://www.ithome.com.tw/news/150269" target="_blank">Windows 365 Switch為微軟去年公布Windows 11專屬的雲端功能之一</a>。Windows 365 Switch讓Windows 11用戶可在「工作檢視」（Task View）中，切換Windows 11使用雲端Windows 365 Cloud PC。當PC上已有Windows 365端點，所有相關元素都會自動顯示於工作檢視中，方便用戶以熟悉的鍵盤指令、滑鼠或滑動手勢操作或存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Windows%20365%20Switch-Windows%20365%20Cloud%20PC-Windows%2011-(3A).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>「工作檢視」功能是首先於Windows 10加入的新功能，可讓用戶一覽桌機及虛擬桌面系統的工作切換器，可在Windows工作列中的「搜尋」鍵旁找到。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Screenshot%20of%20Cloud%20PC%20icon%20in%20taskbar.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>目前Windows 365 Switch已包含在Windows Insider Program（Beta Channel）推出。微軟說，Windows 365 Switch新增的輪替（round tripping）功能特別適合BYOD（bring your own device）的作業型態，用戶可以在工作時切換到公司Windows 365 Cloud PC，下班後切回自己的Windows 11，尤其是在需要節省支出的企業。</p> <p>要試用這項功能，用戶PC必須具備Windows 11 Pro或Enterprise版，再將電腦註冊登入Windows Insider Program（Beta Channel），當然也必須有Windows 365 Cloud PC授權。之後PC需到Microsoft Store下載安裝Windows 365 App（1.3.177.0 以後版本）。Windows 365 App也可以由企業IT管理員以Intune部署。</p> <p>微軟說，第一次使用Switch的用戶可能要花一點時間，在系統引導下連結Windows 365，而等Switch在裝置完全啟動，需要花數小時。</p> <p>去年微軟另外宣布的Windows 365功能為Windows 365 Boot App，可讓用戶一啟動PC即可登入Windows 365 Cloud PC，方便部署於短期約聘人員、客服或是BYOD的電腦。<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-365-boot-deploy-the-public-preview-today/ba-p/3827937" target="_blank">微軟今年5月透過Windows Insider program（Dev Channel）釋出包含Windows 365 Boot App的Windows 11 22H2更新</a>，提供給開發商或早期測試用戶。</p> </div></div></div>
2023/8/10 12:15作者林妍溱https://www.ithome.com.tw/news/158199
PyPI新帳號現需要啟用雙因素驗證才能執行管理操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python第三方套件儲存庫PyPI實施強制雙因素驗證政策，強化平臺安全性，現在PyPI<a href="https://blog.pypi.org/posts/2023-08-08-2fa-enforcement-for-new-users/">要求</a>所有新用戶在執行任意管理操作，包括上傳套件和修改套件資訊之前，都必須啟用雙因素驗證，同時，還要求用戶需要使用經過驗證的主要電子郵件地址。</p> <p>PyPI從2019年開始支援雙因素驗證，並在今年5月的時候，宣布今年底前所有用戶都必須啟用雙因素驗證，而現在對新用戶的雙因素驗證要求，正是這項政策的具體作為。新用戶在創建/管理專案、添加/刪除API權杖、添加/刪除協作者，以及添加/管理受信任發布者等操作，都會需要先啟用雙因素驗證。</p> <p>不過，對於只是想瀏覽PyPI網頁，下載和安裝套件的使用者，並不需要額外申請PyPI帳號，因此這項雙因素驗證要求也就不會產生影響。未啟用雙因素驗證的新註冊帳號，在嘗試執行管理操作時，用戶會在頁面頂端看到紅色橫幅，點擊後便會被重新定向到雙因素驗證設定頁面。</p> <p>PyPI在今年5月爆出大量惡意帳戶和專案，在安全審核人力吃緊下，官方緊急停止接受新用戶和專案，以緩解惡意程式碼的威脅。官方提到，攻擊者可能透過網路釣魚或是憑證填充等攻擊手法，取得電子郵件和密碼非法存取使用者的帳號，並使用這些帳號上傳惡意Python套件，以竊取各種憑證、加密貨幣錢包或是敏感資訊。</p> <p>當PyPI帳號啟用雙因素驗證，即便用戶的電子郵件帳戶受到入侵，攻擊者成功請求更換密碼，仍需要通過雙因素驗證，如此便能大幅提高帳號安全性。</p> </div></div></div>
2023/8/10 08:30作者李建興https://www.ithome.com.tw/news/158189
臺大醫院揭手術模擬平臺進展，能將平面醫學影像轉換為3D影像、簡化複雜手術溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺大醫院8月9日揭露元宇宙手術模擬平臺進展，該平臺由外科部與臺大電資學院聯手研發，能以3D影像虛擬實境（VR）技術，將病人的電腦斷層或磁振造影等平面醫學影像，即時轉換為3D影像，來呈現病灶和周遭組織，甚至還能對不同器官組織進一步解析。這麼做，比傳統方法更省時，還有助於醫病溝通。臺大醫院指出，就算位於國外，醫師、家屬也能用手機掃描QR Code，來同步參與討論。臺大醫院不只將該平臺用於醫療行為，也要用於教學，將高難度手術做成教案，來讓年輕外科醫師和醫學生學習、累積知識。</p> <p><strong><span style="font-size:24px;">將平面醫學影像立體化，讓臨床團隊、病患更容易了解病灶和治療策略</span></strong></p> <p>進一步來說，這款手術模擬平臺，是由臺大醫院外科部主任陳晉興和臺大電資學院教授洪一平組隊研發，是國科會智慧醫療產學聯盟計畫之一。該平臺瞄準跨科別、高難度手術，要用3D影像重建技術，來將電腦斷層、磁振造影等平面的醫學影像立體化，轉換為3D影像，方便跨專科團隊討論病情、術前模擬，以及醫病溝通和教育訓練。</p> <p>陳晉興解釋，X光、電腦斷層、磁振造影等影像學檢查，常用於術前評估和病情解釋。但這些初階影像，在電腦螢幕上都以二維顯示，若遇上病情複雜的案例，對不同專科醫師、團隊成員，和病患、家屬都不易理解。</p> <p>不只如此，相較於目前許多醫學中心將二維影像，以3D列印出模型來解釋病情、研擬手術策略，如神經外科、整形外科、口腔外科、骨科等領域，雖能達到簡化溝通的效果，但客製化模型製作得要7到10個工作天，且每套模型只適用一位病人，還要價25萬元左右。臺大醫院這款3D手術模擬平臺，可即時提供立體模擬影像、查看病灶和周圍組織，還能進一步更細緻地檢視不同器官和組織，成本低且快速。</p> <p>此外，該平臺也能打破地理位置限制，讓在外地的醫師、家屬，掃描QR Code就能參與病情討論。</p> <p><span style="font-size:24px;"><strong>實用於高難度手術，接下來要用於教學</strong></span></p> <p>這款平臺也實際用於手術中，來協助醫療團隊模擬手術、與患者解釋病況。其中一例是患有一顆直徑5.1公分纖維樣瘤（Desmoid tumor）的旅美僑民，由於病灶位於右側胸壁頂端、靠近肩關節處，緊貼通往右手的鎖骨下動、靜脈和臂神經叢，經美國醫師評估，手術非常困難，且右手有癱瘓風險。</p> <p>該病患後來找上臺大醫院，陳晉興看診後便與神經外科教授王國川合組醫療團隊，用該平臺將患者的電腦斷層和磁振造影像，組合成3D立體影像，透過電腦動畫向病患和家屬解釋，並進行術前模擬、評估腫瘤位置及與神經、血管的關係。也因此，他們決定全程使用神經監測，來保護右手功能。最終，團隊順利切除腫瘤，並未損傷任何神經血管，病人術後也順利恢復，沒有右手癱瘓無力的後遺症，還能正常彈鋼琴、活動。</p> <p>另一例是高難度的縱膈腔類癌病灶切除手術。由於該患者腫瘤龐大、超過10公分，還包圍住心臟旁的大血管和氣管，需立即手術。於是，陳晉興看診後馬上與心臟外科教授紀乃新組隊，並用該平臺，將病患電腦斷層影像重組合為3D立體影像，來進行術前模擬。在跨專科團隊治療下，手術也成功完成。</p> <p>這個元宇宙手術模擬平臺，不只能用於手術，臺大醫院也將這些病例製作成教學個案，作為訓練外科年輕醫師和醫學生的教材。接下來，臺大醫院會繼續導入使用者互動模式，來讓臺灣醫療團隊和年輕醫師，在平臺上反覆模擬手術情境、練習手術技巧，還能與國際醫學機構交流。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(80).jpg" /></p> </div></div></div>
2023/8/10 00:49作者王若樸https://www.ithome.com.tw/news/158191
【資安日報】8月9日，駭客假好心提供作案工具，目的是把惡意軟體植入小白電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客之間黑吃黑、互相爭奪攻擊目標的情況可說是相當常見，但現在出現以提供新手作案工具為誘餌的惡意程式攻擊。資安業者Kasada揭露提供滲透測試工具OpenBullet組態檔案的攻擊，鎖定缺乏相關技能，無力自行編寫相關組態程式碼的新手，目的是搜括這些人的瀏覽器帳密資料及加密貨幣錢包。</p> <p>昨天（8日）有許多廠商發布8月份例行更新，微軟也是其中之一，他們公告2個已遭利用的零時差漏洞，其中一個與上個月修補的CVE-2023-36884有關，已有駭客繞過更新程式碼而能利用該漏洞。</p> <p>Intel處理器漏洞Downfall也受到矚目，原因是影響範圍涵蓋Core處理器的第6代（Skylake）至11代（Tiger Lake），可能有數十億臺電腦曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.kasada.io/threat-intel-openbullet-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">小白駭客成為其他駭客網路攻擊目標！假借提供OpenBullet的組態檔案名義，目的是引誘他們植入惡意程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenBullet-Config.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenBullet-Config.png" style="width: 300px; float: right;" /></a>資安業者Kasada揭露針對新手駭客的惡意軟體攻擊，這些攻擊者針對網路犯罪圈常用於帳號填充攻擊的滲透測試工具OpenBullet，假借提供組態檔案的名義，在相關社群、加密通訊軟體Telegram散布惡意軟體。</p> <p>根據資安人員的研究，其中有一個惡意組態檔案，攻擊者宣稱能夠繞過圖靈驗證機制reCAPTCHA，然而一旦新手駭客套用此組態檔案，電腦就有可能回傳網址不存在的404訊息，然後從文字共用服務Pastebin取得URL，存取名為GetChromeUpdates的GitHub儲存庫，下載、竄改OpenBullet當中的ChromeWebDriver元件，進而於受害電腦植入惡意酬載Ocean與Patent。</p> <p>這個Ocean為惡意程式下載工具，Patent則是以Python打造的RAT木馬程式，可透過Telegram機器人的API與駭客連線，並能對受害電腦拍下螢幕截圖、竊取Chromium瀏覽器的帳密資料及Cookie，以及挾持加密貨幣錢包。</p> <p><a href="https://blog.talosintelligence.com/new-threat-actor-using-yashma-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Yashma針對保加利亞、中國、越南等國家而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Yashma-ransom-note-cn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yashma-ransom-note-cn.png" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos針對勒索軟體Yashma變種的攻擊行動提出警告，駭客從6月4日開始鎖定保加利亞、中國、越南，以及使用英語的國家發動攻擊，一旦電腦感染該勒索軟體，駭客就會要求受害者向指定加密貨幣錢包支付比特幣，若是在3天內沒有完成付款，贖金就會加倍。</p> <p>研究人員指出，Yashma是去年5月出現的另一款勒索軟體Chaos（V5）的變種，駭客打著WannaCry的名義犯案。但特別的是，駭客並未直接在程式裡加入勒索訊息，而是在檔案加密完成後，以批次檔連線到指定的GitHub儲存庫下載勒索訊息，這麼做的目的，很可能是要迴避防毒軟體會檢查可執行檔是否存在勒索訊息的內容。研究人員根據勒索訊息的內容、GitHub帳號名稱，推測攻擊者來自越南。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客傳出曾於3年前滲透日本國防網路環境，恐影響美日軍事情資共享</span></strong></p> <p>根據華盛頓郵報的報導，美國國家安全局（NSA）在2020年秋季，發現日本的軍事機密防禦網路遭到中國駭客入侵，有可能破壞美日情資共享及戰略部署。3位不具名的美國前資深官員向該媒體透露，駭客取得上述網路「深度、持續性」的存取權限，並企圖搜括日本的軍事戰略計畫、能力分析、弱點評估等各式機密資料。</p> <p>當時事態極為嚴重，美國國家安全局局長暨網路作戰司令部（U.S. Cyber Command）司令Paul Nakasone、時任副白宮國家安全顧問Matthew Pottinger，隨即前往東京向日本國防部提出警告，並驚動日本首相。到了2021年初拜登政府上臺，相關官員發現日本機密防禦網路的問題惡化，在美方壓力之下，日本承諾強化網路安全，並在5年內將資安預算增加10倍、網路安全人力擴增至4千人。</p> <p>這些人士透露，美國曾打算派出網路偵察團隊協助日本清除中國駭客的惡意軟體，但遭到日方回絕，最終日本政府尋求當地資安業者來找尋網路弱點，後續美國國家安全局與網路作戰司令部檢視成果並提供建議。對此，在8日召開的記者會，日本內閣官房長官松野博一、防衛大臣濱田靖一表示，目前尚未發現軍事機密情報因網路攻擊遭到洩露的證據。</p> <p>資料來源</p> <p>1. <a href="https://www.washingtonpost.com/national-security/2023/08/07/china-japan-hack-pentagon/">https://www.washingtonpost.com/national-security/2023/08/07/china-japan-hack-pentagon/</a><br /> 2. <a href="https://www.rfi.fr/tw/中國/20230808-日本政府否定-華盛頓郵報-有關中國黑客竊取日本防衛機密的報道">https://www.rfi.fr/tw/中國/20230808-日本政府否定-華盛頓郵報-有關中國黑客竊取日本防衛機密的報道</a></p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、挪威公布Ivanti行動裝置管理平臺零時差漏洞攻擊事故的細節</span></strong></a></p> <p>上週美國網路安全暨基礎設施安全局（CISA）、挪威國家網路安全中心（NCSC-NO）聯手，對於駭客利用Ivanti行動裝置管理平臺Endpoint Manager Mobile（EPMM）零時差漏洞，對挪威政府機關攻擊的事件，公布進一步的細節。駭客組織很可能從今年4月，就開始利用零時差漏洞CVE-2023-35078入侵EPMM，並查詢AD與LDAP端點裝置、列出EPMM管理的裝置，竄改EPMM組態，從數個挪威企業或組織收集資料，進而能夠存取該國政府機關的網路環境。</p> <p>NCSC-NO認為，駭客很有可能利用另一個零時差漏洞CVE-2023-35081，於EPMM設備上傳Web Shell並下達命令。此外，駭客也透過Ivanti Sentry上網安全閘道，將網路流量導向無法直接存取網際網路的Exchange伺服器。值得留意的是，駭客疑似利用已被入侵的家用路由器（其中一個廠牌是華碩）做為代理伺服器，來存取目標組織的網路基礎設施，藉此埋藏行蹤。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2023-patch-tuesday-warns-of-2-zero-days-87-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月例行更新，修補Office、Visual Studio、.NET的零時差漏洞</span></strong></a></p> <p>8月8日微軟發布本月份例行修補（Patch Tuesday），總共針對87個漏洞發布資安通告，當中有18個權限提升漏洞、3個安全功能繞過漏洞、23個遠端程式碼執行（RCE）漏洞、10個資訊洩露漏洞、8個阻斷服務（DoS）漏洞，以及12個可被用於詐欺的漏洞，其中2個，是被用於攻擊行動的零時差漏洞。</p> <p>微軟針對其中一個漏洞提供名為Office Defense in Depth的更新（公告編號為ADV230003），主要是因為該公司上個月修補CVE-2023-36884之後，仍出現繞過更新程式利用漏洞的情形。</p> <p>另一個零時差漏洞是CVE-2023-38180，一旦遭到利用，有可能導致.NET應用程式與Visual Studio服務出現中斷的情形，CVSS風險評分為7.5。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-downfall-attacks-on-intel-cpus-steal-encryption-keys-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Downfall漏洞，影響Skylake至Tiger Lake架構的Intel處理器</span></strong></a></p> <p>Google研究人員Daniel Moghimi在Intel處理器產品當中，發現存在資訊洩露漏洞CVE-2022-40982，並將其命名為Downfall，影響的產品相當廣泛，涵蓋Skylake以後的CPU家族，包括：Skylake、Cascade Lake、Cooper Lake、Amber Lake、Kaby Lake、Coffee Lake、Whiskey Lake、Comet Lake、Tiger Lake、Ice Lake、Rocket Lake。</p> <p>這項漏洞發生的原因在於，Intel處理器的記憶體最佳化功能會向軟體透露內部登記的硬體，因此，如果是未受信任的軟體，也可以藉此存取其他應用程式儲存的機敏資料，CVSS風險層級評為6.5。研究人員透過名為Gather Data Sampling（GDS）與Gather Value Injection（GVI）手法，進行該漏洞的概念性驗證。</p> <p>對此，Intel自去年8月接獲通報後，於今年8月8日發布修補程式，並指出較新的Alder Lake、Raptor Lake、Sapphire Rapids處理器不受影響。</p> <p>資料來源</p> <p>1. <a href="https://downfall.page/">https://downfall.page/</a><br /> 2. <a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html">https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html</a></p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-fixes-7-vulnerabilities-in-ruggedcom-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子發布8月例行更新，修補RuggedCom工控網路系統漏洞</span></strong></a></p> <p>西門子、施耐德電機皆於8月8日發布本月的例行修補，其中西門子發布了十多則公告，公布逾30個漏洞；而施耐德電機僅公布1個漏洞。</p> <p>在西門子發布的公告裡，有3則與工控網路設備產品線RuggedCom有關，其中1則是針對安全存取管理系統RuggedCom CrossBow的5個漏洞而來，這些弱點可被用於發動阻斷服務（DoS）攻擊、提升權限、在資料庫執行任意SQL 查詢、將任意檔案寫入，CVSS風險評為9.8分。另外2則公告則與RuggedCom ROS作業系統有關，其中較為嚴重的是鏡像連接埠隔離漏洞CVE-2023-24845，CVSS風險評為9.1分。</p> <p>至於施耐德電機的部分，則是針對旗下的人機介面螢幕編器暨邏輯程式設計軟體Pro-face GP-Pro EX，公告CVE-2023-3953，該漏洞出現於WinGP的模組，CVSS風險評為5.3分。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-can-abuse-microsoft-office-executables-to-download-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發現Office應用程式Outlook、Access、Publisher的執行檔可被用於寄生攻擊</span></span></strong></a></p> <p><a href="https://cycode.com/blog/exposing-vscode-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">攻擊者可利用惡意擴充套件觸發Visual Studio Code弱點，竊取開發者的帳密資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-inception-attack-leaks-sensitive-data-from-all-amd-zen-cpus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AMD處理器存在Inception、Phantom漏洞，可被用於竊取敏感資料，1至4代的Zen處理器都可能曝險</span></span></strong></a></p> <p><a href="https://www.guidepointsecurity.com/blog/tunnel-vision-cloudflared-abused-in-the-wild/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客濫用Cloudflare Tunnels服務的攻擊行動升溫</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/mysterious-team-bangladesh/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Mysterious Team Bangladesh鎖定印度、以色列網站下手，發動DDoS攻擊、竄改網頁內容</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158173">【8月8日】殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a></strong></p> </div></div></div>
2023/8/9 17:17作者周峻佑https://www.ithome.com.tw/news/158187
資安專家從紅隊演剖實例剖析企業如何強化邊界、供應鏈安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「登上新聞報導的資安事件只是冰山一角，從資安業者的角度，真正發生的資安事件更多，正確妥善處理事件能夠避免擴散，產生災難性的結果」，中華資安國際檢測部經理林峰正在今年臺灣資安大會中表示。</p> <p>林峰正主要負責事前檢測部分，主要為紅隊檢測，他擅長從攻擊方角度，協助企業檢測防護上的弱點。在今年資安大會中，他以攻擊方的角度，分享如何看企業的邊界安全、供應鏈安全等等。</p> <p>他借用瑞士乳酪理論，嚴重事件的發生就像穿透每一層乳酪的孔洞，因此事件發生通常是一連串疏失導致的結果。從表面上看，通常會將事件發生的原因歸究於單一原因，但經過調查後往往會發現背後是一連串疏失導致的結果，資安事件也是如此。</p> <p>以發生勒索軟體攻擊為例，利用根因分析（Root Cause Analysis）發現一連串的疏失，駭客最初利用社交釣魚郵件，首先通過郵件防護偵測，在人員缺乏警覺心之下點擊信件，加上防毒軟體未能偵測攔截到變種勒索病毒，以及未做好網段主機隔離，主機在未更新下，致使攻擊擴散至各網段及服務主機，最後導致企業遭受勒索軟體加密攻擊。</p> <p>「解決資安事件時，我們希望將（乳酪）每一層的洞補起來，因為只要中間有一層斷開，事件就不會發生」，林峰正表示，以勒索軟體攻擊為例，即使前面幾層的防護都有疏失而未能攔下攻擊，但是網段主機如果作好隔離及更新，蠕蟲就不容易橫向移動，攻擊事件就不會發生。因此，資安事件調查，必需找出導致事件發生的多重因子，再進行多重修補。</p> <p>2022年中華資安在調查的上百件資安事件，惡意程式類型最多為WebShell（31%），駭客入侵手法，第1名是以對外服務的網站為主，第2名是取得有效帳號，林峰正指出，取得有效帳號在前幾年曾是入侵手法的第1名，因為受到疫情影響，不少企業使用VPN外部工作模式，從資安事件調查中發現，駭客取得有效帳號，在企業內部活動，即使降到第2名，但代表企業採用VPN遠端工作模式，難以辨別該帳號的使用者身分，需搭配身分安全保護方法，例如雙因子、裝置認證、FIDO等。</p> <p>林峰正表示，企業就像乳酪蓋成的城堡，邊界防禦如同一層一層的乳酪縱深防禦，上面有許多的孔洞，例如企業對外開放防火牆、開放部分服務、網站存在漏洞，內部使用弱密碼、網路隔離未落實等等，如果這些孔洞沒有被貫穿，攻擊事件就不會發生。企業作好防護的第一步是，先定義邊界，但現實的邊界可能比我們想像更廣闊，例如WFH將防禦邊界擴大到家庭的網路環境，但家用環境不會有DDoS、APT等防護機制，允許員工隨意攜帶辦公裝置、隨意插USB，造成風險大增。</p> <p><strong><span style="color:#B22222;">物聯網設備增加邊界的資安風險</span></strong></p> <p>林峰正表示，儘管企業委託資安業者每年檢測核心系統，例如官網、交易平臺安全，但是從資安事件調查的經驗來看，很多是從意想不到地方發生，邊界系統反而是脆弱點，這些邊界系統包括雲端空間、次級系統（例如訪客登錄、打卡系統）、IoT裝置（IP Cam、印表機、電視、視訊系統）、外包系統（員工訓練、公文系統）等等。</p> <p>物聯網為企業帶來新的入侵攻擊面，例如駭客利用電話線及傳真號碼攻陷印表機，或是從智慧溫度計的無線介面入侵取得賭場資料庫的資料，或是利用裝置的麥克風及揚聲器，利用聲音進行數據傳輸，還有從掃地機器人監聽特定的對象等。</p> <p>林峰正表示，駭客可以取得物聯網裝置，找出其系統韌體中的漏洞加以驗證。他所帶領的檢測團隊就曾經研究多媒體機，發現在特殊觸控模式下可進入除錯工程模式，搭配舊版系統已知漏洞升級權限，成功入侵系統底層，任意安裝App，並取得最高權限。供應鏈從作業系統底層、韌體到App，每一層由不同開發商負責，經過系統整合後提供給消費者，如果每一層埋下後門的工程模式，整個供應鏈留下多個後門。因此，企業作管理供應商時，應要求供應商不要留下後門，不要開啟除錯模式等等，否則最後的系統整合商並不清楚存在哪些後門。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230511_103102600.jpg" style="width: 600px; height: 413px;" /></p> <p>另一個紅隊檢測的案例是，儘管保全人員就在一旁，仍可從櫃檯的訪客電腦入侵至內網。入侵的手法利用訪客電腦防護上的疏忽，先解鎖瀏覽器proxy、訪客模式限制，再利用另存新檔，瀏覽器功能寫入檔案，突破檔案瀏覽的封鎖，再執行命令列，進而發現公用電腦與企業內網連接，再以PowerShell或免安裝工具掃描網段，發現未設有身分驗證的檔案分享目錄，之後發現資產管理代理程式、維運用提權程式、Script，再從伺服器記憶體中取得OS密碼，成功以管理者身分登入其他內網主機的遠端桌面。</p> <p>「企業在安全防禦上難免會有盲點，透過檢測或駭客角度可以找出這些盲點」，林峰正說。</p> <p>其他類似的實體入侵手法也可用在ATM、機上娛樂系統、繳費機、門禁發卡系統、博物館導覽互動系統等等。除了有形的邊界，無形邊界也是容易被忽略的一部分，例如企業常用的Wi-Fi，因為無線網路溢波問題，駭客只要利用可攜式設備、高功率天線就可能從外部設法接取，無線AP、投影機、事務機等設備可能開放管理界面、較弱的SSID密碼保護，這些也讓駭客有可趁之機，其他無線通訊技術，如藍牙、LoRa也增加攻擊面及資料外洩管道。</p> <p>林峰正的團隊還曾發現，企業專門提供給訪客使用的Wi-Fi，曾有員工基於方便的原因也使用訪客Wi-Fi，該名員工為開發人員，在其電腦上架設CMS管理服務，使用預設帳號密碼，加上未修補CVE漏洞，在使用同一個訪客Wi-Fi之下，讓檢測團隊成功入侵取得企業官網的原始碼。「過去滲透測試選擇系統進行測試，不太可能測試到這樣的情境，需要從不一樣的角度去檢測」。</p> <p><span style="color:#B22222;"><strong>從紅隊檢測實例看供應鏈安全風險</strong></span></p> <p>無論企業為邊界築起的城牆有多高多厚，還是要打開城門開放進出，例如以VPN供外部員工、供應商使用，但如果供應商是豬隊友，可能為企業帶來更大的資安風險。其中軟體開發供應鏈風險不容輕忽。</p> <p>法務部調查局資安工作站在2020年曾發出警告，10個政府單位、4家資訊服務商受到中國駭客組織所滲透，駭客攻擊政府單位手法，利用資訊服務商的VPN特許帳號進入，或取得程式碼利用高風險漏洞進行攻擊。</p> <p>而從開發流程看APT攻擊手法（下圖），從過去的案例可以發現，從開發、更新、維護都可能遭受攻擊的風險，例如對開發工具加料，或是對開放原始碼加料，加入挖礦程式，在更新網站或是下載網站掛馬，或是對開發人員釣魚發動內部攻擊等等。駭客對軟體供應鏈進行攻擊，以駭入鎖定的目標，例如2020年底發生的SolarWinds事件，就是駭入網路監控產品SolarWinds Orion平臺，在Orion植入後門程式，通過軟體更新，入侵使用Orion的企業及政府單位，此一攻擊避開美國的網路攻擊防禦系統Einstein偵測，美國國土安全部以緊急指令，要求使用單位關閉SolarWinds。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dev-apt.jpg" style="width: 600px; height: 434px;" /></p> <p>林峰正也分享紅隊的檢測實例，從測試環境找到漏洞，以入侵正式環境。檢測人員先蒐集供應鏈情資，選擇從目標（受測對象）的網站開發商著手，發現該開發商將A、B、C客戶的系統測試站都設在同一個Web主機，便利用入侵系統B測試站，取得同一主機上的系統C原始碼進行分析，再利用找到的系統C零時差漏洞，入侵系統C的正式站。甚至，還有開發商將客戶的程式碼放在GitLab，由於沒有做好控管，致使程式碼曝露在外網。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/redteamcase.jpg" style="width: 600px; height: 475px;" /></p> <p>他建議企業做供應鏈的安全管理，應該分層、區分責任，可以參考Cloud Security的SRM（Shared Responsibility Model）模型，企業委外時應區分不同層級，以及委外的工作類型畫分責任。從近10個紅隊檢測的實例來看，不少的入侵管道和程式開發有關，因此開發的安全性相當重要。</p> <p>根據中華資安2022年資安檢測統計，針對約290家機關或公司，1,500個以上系統的高風險漏洞類型統計，前10大高風險漏洞統計，前3名為XSS跨站腳本攻擊、SQL Injection、權限跨越。林峰正認為，前幾大漏洞類型的變動不大，對人員進行開發訓練時，掌握這些漏洞，約可杜絕8成的漏洞風險。此外，企業可以導入安全程式開發流程（SSDLC），從需求評估、標準文件、教育訓練、作業整合落地端，確保業務可以執行，例如訂定安全程式碼的開發範例。</p> <p>如下圖所示，紅隊檢測可為企業界定防禦的邊界，協助評估潛在面臨的風險：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/redteam-2.jpg" style="width: 600px; height: 391px;" /></p> <p>然而，林峰正也直言，企業必需認識到紅隊演練有其侷限性，由於是針對系統的深度測試，因此並非做完紅隊測試，代表所有系統都是安全的。有些企業期望紅隊演練來磨練自家藍隊的實力，他認為對等的交手才能使藍隊進步，此外，紅隊演練終究是黑箱測試，可能僅能發現外部表面的問題，加上由外而內的強化，內部的問題不一定修補。還有，紅隊演練的效益會逐次下降，企業不能過分倚重紅隊檢測，應該重視資安投資的平衡性。</p> <p>當企業界定好防護的邊界，並縮小攻擊面，採用安全設備、建立安全架構防護措施後，林峰正認為，人員是最後一道防線，只有透過定期教育訓練、事件案例分享、社交工程、紅隊演練等方法持續提高人員的資安認知。如同一開始提到的乳酪理論，透過加強各種縱深防護避免事件發生，如漏洞管理、改善SOC監控規則、端點安全強化、流量監控、增加可視性等等。</p> <p> </p> </div></div></div>
2023/8/9 17:56作者蘇文彬https://www.ithome.com.tw/news/158188
Google搜尋新增AI文法檢查功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年起在<a href="https://workspaceupdates.googleblog.com/2019/08/improved-as-you-type-spelling-and-grammar.html" target="_blank">Gmail</a>、<a href="https://workspace.google.com/blog/ai-and-machine-learning/using-neural-machine-translation-to-correct-grammatical-in-google-docs" target="_blank">Google Docs</a>就有的文法檢查功能，本周網路媒體<a href="https://9to5google.com/2023/08/06/google-search-grammar-check/" target="_blank">《9to5Google》</a>首先發現，Google搜尋也增加以AI檢查文法的功能，將挑戰Grammarly等雲端寫作輔助服務業者。目前本功能只支援英語。</p> <p><a href="https://support.google.com/websearch/answer/13420782" target="_blank">根據Google的網頁說明</a>，文法檢查是以AI系統為基礎，使用者可用來檢查撰寫的字詞或句子文法是否正確，以及請它協助修正不正確的地方。</p> <p>使用方法是用戶在搜尋列加入「grammar check」、「check grammar」、「grammar checker」等類似詞語，確保本功能確實執行，Google搜尋若主動偵測到用戶需要時，也會執行文法檢查。執行動作後，它會檢查文法正確性，若偵測到問題也會建議修正的字詞或句子。如果完全正確，搜尋結果頁第一行會顯示有綠色勾勾的「Grammar Check」結果，否則即顯示建議的句子，並在增修處畫底線。當滑鼠過去會顯示「Copy」鍵方便用戶套用。</p> <p>除了文法，它也能檢查拼字錯誤。檢查結果頁右下方有回饋鍵，供用戶選擇有幫助、不相關、建議不正確或有冒犯意味的建議。</p> <p>目前這功能僅支援英文。Google沒有說明其他語言版的上線時程。</p> <p><a href="https://www.engadget.com/google-search-now-has-an-ai-powered-grammar-checker-144539934.html" target="_blank">媒體指出</a>，雖然Gmail和Google Docs都已能檢查文法和拼字，不過既然Google搜尋已提供字典功能，再增加文法及拼字檢查功能似乎也很合理。</p> <p>Google提醒，AI系統的檢查結果可能不是100%準確，特別是用戶輸入不完整的句子時。而為防止這項功能遭濫用或引發傷害，用戶輸入某些違反Google搜尋政策的內容時，文法檢查功能不會提供服務。這些內容包括危險、仇恨、騷擾、性露骨、恐怖主義、暴力、血腥，或是醫療內容等。</p> </div></div></div>
2023/8/9 16:01作者林妍溱https://www.ithome.com.tw/news/158184
Stability AI推出自家程式碼生成模型StableCode
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以文生圖模型Stable Diffusion聞名的人工智慧公司Stability AI，現在要進軍程式碼開發市場，釋出該公司第一個用於程式開發的大型語言模型<a href="https://stability.ai/blog/stablecode-llm-generative-ai-coding">StableCode</a>，該模型除了可以協助開發者完成日常工作，同時也能幫助開發者學習程式開發。</p> <p>StableCode模型的訓練總共分為三個階段，最初Stability AI使用來自BigCode專案的stack-dataset v1.2資料集，對基礎模型進行多語言訓練，接著針對熱門程式語言，諸如Python、Go、Java、Javascript、C、markdown和C++進行特化訓練，總共使用了5,600億個Token訓練模型。基礎模型建立完成後，官方進一步針對特定用途調校指令模型，以解決複雜的程式開發任務，在基礎模型上訓練了約12萬個Alpaca格式的程式碼指令和回應資料對。</p> <p>StableCode模型的特色在於，能夠理解和處理長篇幅上下文，也就是模型在做決策時，能夠更廣泛地考慮前後相鄰的資料，也就是具有一次處理更多程式碼Token的能力，進而提供更精確有用的建議，官方提到，StableCode一次可以處理的程式碼Token數量，約是32,000到64,000間，用戶能夠一次處理的檔案量，約是5份一般大小的Python檔案。</p> <p>Stability AI將StableCode與其他類似大小的模型相比，在HumanEval基準pass@1，模型回傳的第一個答案正確性，StableCode勝過replit-coder，但是略輸BigCode的Starcoder，而比較pass@10，也就是模型所生成的前10個答案中，是否包含正確答案的指標，StableCode則是勝過Starcoder和replit-coder。</p> </div></div></div>
2023/8/9 16:26作者李建興https://www.ithome.com.tw/news/158183
微軟8月Patch Tuesday修補2個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（8/8）修補了超過70個安全漏洞，包含兩個已遭到駭客利用的零時差漏洞CVE-2023-36884及CVE-2023-38180。</p> <p>其中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36884" target="_blank">CVE-2023-36884</a>是個Windows Search遠端程式執行漏洞，在透過電子郵件或即時訊息的攻擊場景中，駭客只要傳遞一個特製的檔案予目標對象就能利用該漏洞，條件是受害者必須開啟該檔案。</p> <p>至於<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38180" target="_blank">CVE-2023-38180</a>則為.NET與Visual Studio的服務阻斷漏洞，微軟僅說該漏洞已遭到駭客利用，並未說明漏洞細節。</p> <p>上述兩個漏洞皆僅被列為重要（Important）漏洞，微軟本月修補了6個被列為重大（Critical）的遠端程式攻擊漏洞，當中就有3個涉及微軟訊息佇列（Microsoft Message Queuing），包括<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35385" target="_blank">CVE-2023-35385</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36910" target="_blank">CVE-2023-36910</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36911" target="_blank">CVE-2023-36911</a>，還有兩個是Microsoft Teams的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29328" target="_blank">CVE-2023-29328</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29330" target="_blank">CVE-2023-29330</a>，另一個則是Microsoft Outlook的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36895" target="_blank">CVE-2023-36895</a>。</p> <p>上述3個與微軟訊息佇列有關的CVSS風險評分皆高達9.8，微軟並未公布漏洞細節，僅說成功攻擊CVE-2023-35385與CVE-2023-36911，將允許未經身分認證的駭客自遠端於目標伺服器上執行程式，而要攻擊CVE-2023-36910則必須先傳送一個惡意的MSMQ封包至MSMQ伺服器上，同樣可自遠端執行程式。此外，微軟8月總計修補了11個位於訊息佇列的安全漏洞。</p> <p>至於兩個Microsoft Teams漏洞CVE-2023-29328及CVE-2023-29330則可在駭客邀請受害者加入Teams會議之後被利用，成功的攻擊允許駭客存取或變更受害者資訊，也可能造成對方的系統當機。</p> <p>至於趨勢科技Zero Day Initiative（ZDI）團隊則特別點名了Microsoft Exchange Server的<a href="https://www.zerodayinitiative.com/blog/2023/8/8/the-august-2023-security-update-review" target="_blank">CVE-2023-38181</a>漏洞，主要是因為它解決了CVE-2023-32031修補被繞過的漏洞，而CVE-2023-32031是為了解決CVE-2023-21529修補被繞過的漏洞，CVE-2023-21529又是為了解決CVE-2022-41082修補被繞過的漏洞，而CVE-2022-41082則是已遭到駭客濫用。</p> </div></div></div>
2023/8/9 15:34作者陳曉莉https://www.ithome.com.tw/news/158182
AWS第7代執行個體添x86新成員，導入英特爾最新伺服器CPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_m7i_instance_x48-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年5月，公有雲業者AWS正式揭開Amazon EC2第7代執行個體服務系列的序幕，他們基於自行研發的第三代Arm架構處理器Graviton3，推出C7g運算服務。到了11月底的年度用戶大會，他們預告將推出C7gn、Hpc7g、R7iz等三款執行個體服務，前兩者預計採用進階的第三代Arm架構處理器Graviton3E，R7iz則搭配英特爾即將推出的第四代Xeon Scalable處理器（代號Sapphire Rapids）。</p> <p>今年上半，AWS先於2月推出基於Graviton3處理器而成的M7g與R7g，6月底陸續推出C7gn與Hpc7g，以及搭配Graviton3處理器與NVMe固態硬碟的C7gd、 M7gd、R7gd。至於採用x86架構新一代處理器的第7代執行個體服務，也在年中之後開始浮出檯面，例如6月中，AWS預告將推出執行個體服務M7a，採用AMD第四代EPYC處理器（代號為Genoa），開放用戶進行預覽測試；8月初，他們突然宣布推出執行個體服務M7i與M7i-Flex，採用英特爾第四代Xeon Scalable處理器，而先前預告的R7iz目前仍在預覽階段。</p> <p>值得注意的是，M7i與M7i-Flex採用的處理器，是依據AWS需求所製成（custom）的第四代Xeon Scalable，號稱可提供最佳效能，並已取得15%的領先幅度，超越其他採用相同運算平臺的雲端業者（此處所指廠商可能為GCP，因為他們今年3月率先推出採用第四代Xeon Scalable的執行個體服務C3）。</p> <p>雖然兩款運算服務的處理器是客製型產品，但目前公開在網路上的資訊，仍可得知更多資訊。例如，根據AWS網站公告規格資訊可得知處理器時脈為3.2 GHz，我們看到有些用戶<a href="https://openbenchmarking.org/result/2308034-NE-M7I4XLARG25">在網路揭露測試數據</a>，以及<a href="https://www.theregister.com/2023/08/03/aws_custom_xeon_m7i_instances/">部分科技媒體收到相關通報情況</a>，提到處理器型號應是Xeon Platinum 8488C。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20CPU%20lists.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7I%20cpu.jpg" style="width: 600px;" /></p> <p>在硬碟儲存配置上，M7i系列的每個執行個體服務，最多可掛載的EBS區塊儲存服務volume是128個，M6i系列只能掛載28個。</p> <h3><strong><span style="color:#0000FF;">M7i系列提供9+2種組態選擇，最大可設置192顆處理器與768 GiB，支援怪獸級虛擬機器應用</span></strong></h3> <p>從個別產品的角度來看這兩款服務，有何特色？AWS表示，M7i系列有9種規模的組態選擇，相較於前一代的同位階英特爾執行個體服務（M6i系列），性價比提升了15％，並預告後續將推出兩種裸機型態的運算服務供應型態，能完整提供這一代英特爾伺服器CPU獨有的內建加速器應用——M7i系列與M7i-Flex系列均能使用AMX（Advanced Matrix Extensions）延伸指令集，可大幅改善深度學習與推論處理效能，但如果要使用可卸載加解密與壓縮處理的QAT（QuickAssist Technology）、加速處理記憶體內資料庫與分析工作負載的IAA（In-Memory Analytics Accelerator），以及可將一般資料搬移工作從不同存取環節卸載的DSA（Data Streaming Accelerator），則需要特別使用m7i.metal-24xl、m7i.metal-48xl這兩個裸機執行個體服務。</p> <p>令人好奇的是，除了上述技術，英特爾第四代Xeon Scalable處理器內建的加速器，還有動態負載平衡技術（Dynamic Load Balancer，DLB），且並非每款處理器款式都內建，而AWS與英特爾對於M7i系列與M7i-Flex系列所用的處理器是否支援DLB，並沒有提到，尚待釐清。</p> <p>就產品定位而言，M7i系列適用的工作負載類型相當廣泛，包含大型應用程式伺服器、資料庫系統、遊戲伺服器、使用CPU進行運算的機器學習應用，以及視訊串流服務，能因應處理器的高負載持續使用，或是提供最大規模的執行個體服務——新推出的m7i.48xlarge與即將上線的m7i.metal-48xl，可提供192顆虛擬處理器與768 GiB記憶體。對照既有的M6i系列，也可看出兩代差距，用戶最大只能選用128顆虛擬處理器與512 GiB記憶體（m6i.32xlarge、m6i.metal、m6id.32xlarge、m6id.metal）。若對照在企業內部環境普遍使用的伺服器虛擬化平臺VMware vSphere的單一虛擬機器規格，AWS的M7i系列雖然比不過近期版本，但部分已超出更早之前版本，足以支撐需要大量處理器與記憶體資源的應用。例如，vSphere 5.0最大可設置32顆虛擬處理器、1 TB記憶體；6.0版最大可設置128顆虛擬處理器、4 TB記憶體；7.0版與8.0版最大可設置768顆虛擬處理器、24 TB記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS M7i Spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7i%20Spec.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>M7i-Flex系列提供5種組態選擇，費用比M7i系列便宜5％，適合平時用量低、規模小的虛擬機器使用</strong></span></h3> <p>至於另一款M7i-Flex系列，AWS提供5種最常用的規模組態選擇，可說是M7i系列的低價版本，費用便宜5％，性價比提升幅度為5％，比起現行的M6i系列，M7i-Flex系列性價比的增長更顯著，幅度可達19％。</p> <p>為何M7i-Flex的價格較低廉？因為這系列的服務較適合不需持續耗用全部CPU運算資源的應用，可針對一般用途的工作負載執行，像是網站應用程式伺服器、虛擬桌面、批次處理、微服務、資料庫，以及企業應用系統。AWS認為，如果用戶目前所用的雲端運算服務，屬於他們在較早期的世代所推出的一般用途執行個體服務，可考慮改用M7i-Flex系列，而不需要修改應用程式或調整工作負載。</p> <p>上述AWS對此運算服務的產品應用定位考量，也反映在其規格的配置。</p> <p>例如，從AWS網站介紹M7i與M7i-Flex的專頁當中，M7i-Flex系列的規格表額外標示「每顆虛擬處理器的基礎效能」的欄位，數值均為40％，意思是預設僅提供40％的效能，而在AWS介紹這批執行個體服務的部落格文章，也提到M7i-Flex系列的CPU效能可縱向擴展執行規模，最高可增至95％。</p> <p>而在伺服器系統資源的組態安排上，M7i-Flex系列最大可提供32顆虛擬處理器，以及128 GiB記憶體（m7i-flex.8xlarge），相當於M7i系列執行個體服務最大組態的6分之1。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20M7i-Flex%20Spec.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>AWS Amazon EC2 M7i系列<br /> ●原廠：AWS<br /> ●建議售價：隨需定價模式，美國西部（奧勒岡）區域，m7i.large每小時0.1008美元（2顆虛擬處理器、8 GiB記憶體），m7i-flex.large為0.09576美元（2顆虛擬處理器、8 GiB記憶體）<br /> ●採用處理器：英特爾第四代Xeon Scalable系列 <br /> ●提供服務規模選擇與最大組態：<br /> m7i.48xlarge，192顆虛擬處理器、768 GiB記憶體、網路頻寬為50 Gbps，硬碟儲存搭配AWS雲端區塊儲存服務EBS，存取頻寬為40 Gbps<br /> m7i-flex.8xlarge，32顆虛擬處理器（基礎效能為40％）、128 GiB記憶體、網路頻寬為12.5 Gbps，硬碟儲存搭配AWS雲端區塊儲存服務EBS，存取頻寬為10 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> <p> </p> <p> </p> <p> </p> </div></div></div>
2023/8/9 15:09作者李宗翰https://www.ithome.com.tw/review/158118
Android 14新增行動網路安全功能，可讓管理員關閉手機2G網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/08/android-14-introduces-first-of-its-kind.html" target="_blank">Google周二（8/8）宣布</a>，最新手機旗艦作業系統Android 14加入行動網路相關的安全功能，包括可允許限制手機降級使用2G及空密碼（Null Cipher）網路連線的功能。Google聲稱Android是首個加入進階行動網路安全防護技術的手機作業系統。</p> <p>Google說明，下一代Android希望解決舊式行動網路，像是2G網路由來以久的安全問題。以GSM（Global System for Mobile Communication）標準為基礎的2G網路缺乏收、發話端相互驗證，可能引發中間人攻擊。2010年起，安全研究人員也展示過，2G網路流量可輕易攔截及破解。</p> <p>由於全球手機提升到4G及5G，一些惡意攻擊手法，像是假基地臺（false base station，FBS）、IMSI截收器（IMSI Catcher）或稱Stingray，就是利用2G網路簡陋的安全性，加上智慧型手機網路連線可以被悄悄降級到2G網路這點，對不安全的手機網路造成威脅。</p> <p>為此，<a href="https://www.ithome.com.tw/news/148888" target="_blank">Android 12已新增</a>可從「設定」頁關閉2G行動網路的功能。Pixel 6是第一個採用該功能的裝置，現在所有採用Radio HAL 1.6以上介面的Android裝置也都支援這功能。在Android手機中關閉2G網路，可確保用戶在意外發生時還是可以撥打緊急求救電話。</p> <p>而在Android 14中，Google將再進一步，限制Android Enterprise裝置降級到2G網路。Android Enterprise裝置主要是政府發派的公務手機，或企業IT人員管理的公司手機。Google表示，Android 14的2G控管功能，IT管理員可強制列管手機啟用這道防護，關閉2G無線訊號，防止企業及公務人員手機遭到2G流量攔截或中間人攻擊。</p> <p>此外，Android 14還加入一項允許所有用戶關閉空密碼（null cipher）連線的功能選項，只要手機使用最新無線硬體抽象層（HAL）Radio HAL 1.6以上。傳統語音和簡訊的加密，是由電信業者在其手機網路上進行，用戶無從得知，也無法控制。然而一些市售假基地臺裝置可以欺騙手機相信行動網路不支援加密，因而降級到空密碼連線以明碼傳送訊息，進而被攔截。</p> <p>Android 14的空密碼（null cipher）連線控制功能可確保通訊隱私。Google相信未來幾年內隨著Android手機廠商實作到其新手機後，這安全技術會更普及。一如前面的2G安全控制，關閉這連線的手機也仍能利用未加密手機連線撥打緊急電話。</p> </div></div></div>
2023/8/9 13:33作者林妍溱https://www.ithome.com.tw/news/158180
英國選舉委員會遭駭客入侵，選民資料全曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.electoralcommission.org.uk/privacy-policy/public-notification-cyber-attack-electoral-commission-systems" target="_blank">英國的選舉委員會（Electoral Commission）在周二（8/8）坦承</a>，該委員會自2021年8月以來就遭到駭客入侵，而一直到去年10月才發現，在這期間，駭客已存取了其存有電子郵件、控制系統與選民登記名冊的伺服器。</p> <p>選舉委員會並未透露外洩名冊含有多少筆資料，僅說被存取的名冊涉及2014年至2022年之間所登記的當地及海外選民，且只含有他們的姓名、地址，以及到達投票年齡的日期。</p> <p>至於該伺服器上的電子郵件系統則存放了與該選舉委員會往來的通訊郵件，可能外洩的個資包括電子郵件帳號、姓名、地址、聯絡電話，以及在郵件內容中提及的個人資訊。</p> <p>另外還有一些名冊的副本，是該委員會為了研究目的，或是檢查政治捐獻的許可性而存放在遭到駭客存取的伺服器上。</p> <p>儘管這代表著這9年來英國選民的資料幾乎全都曝光了，但該委員會認為只有姓名與地址應該不致於對使用者帶來高風險，除非駭客還結合了許多於公眾領域可蒐集的資料，相關攻擊既不會影響選舉程序，也不會危害任何人參與民主程序的權利與機會，亦未波及任何人的選舉登記狀態。</p> <p>在此次的意外之後，英國選舉委員會採取了多項措施來強化系統安全，包括加強網路登入要求，改善了主動威脅的監控及警告系統，以及更新防火牆政策等。</p> </div></div></div>
2023/8/9 13:53作者陳曉莉https://www.ithome.com.tw/news/158181
美議員質疑Google醫療AI模型訓練資料來源、病患保護措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.warner.senate.gov/public/index.cfm/pressreleases?id=D22487BB-AE27-4384-B1FE-8EA78901B0FD" target="_blank">美參議院本周去信Google執行長Sundar Pichai</a>，針對Google醫療專用的AI模型Med-PaLM 2表達疑慮，並要求Google更清楚說明參與測試的醫院、Google如何訓練模型，以及如何保護病患自主及隱私權益。</p> <p>Med-PaLM 2是Google最新大型語言模型PaLM2用於醫療業的特化版本，今年Google I/O上也發表了相關報告。Google 4月已開始和一群客戶測試Med-PaLM 2，包括知名的Mayo Clinic，測試項目包括最新的聊天機器人，用以回答醫療問題、為文件重點摘要及整理健康資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-Google%20IO%202023-Med-PaLM%202(1).png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p><a href="https://tinyurl.com/23b4vzcr" target="_blank">美國參議院情報委員會主席Mark Warner在致Pichai的信件中說</a>，雖然AI科技號稱有極大幫助，但Google資深研究人員也對自家科技的成熟度態度保留。此外，Google對Med-PaLM 2是在哪裏測試、用以訓練的資料來源、病患知道多少、能不能拒絕AI，以及Google採取哪些措施防範AI偏差，這些外界大部分無所得知。</p> <p>雖然AI對改善病患照護及健康有很大潛力，但Warner擔心未經驗證的科技過早部署可能導致削減醫療機構與專家的信任、加深現有存在醫療治療效果的種族不平等，以及診斷和照護疏失風險增加。</p> <p>他並直指AI公司將搶占市場的考量置於病患福祉之前，也擔憂Google在未告知且獲得病患同意下，以其敏感資訊來訓練Med-PaLM 2。這早有前例：<a href="https://www.ithome.com.tw/news/134146" target="_blank">2019年《華爾街日報》報導</a>，Google和醫療體系Acension合作時，未經病患同意存取了上千萬病患姓名、診斷資料。</p> <p>Warner提出多個問題要Google回應。包括Med-PaLM 2如何避免大型語言模型的已知問題，像是「諂媚者」（sycophany，即模型會提供使用者偏好的答案）現象，後者可能導致醫療誤診。他並質疑，Google從未對外公開過Med-PaLM 2文件，包括訓練資料是否包含機密的健康資訊、也從未說明Google對Med-PaLM 2多久重新或部分再訓練一次。他希望Google提供參與Med-PaLM 2的醫院清單，以及Google是否提供Med-PaLM 2系統文件或測試資料給參與測試的醫院，包括Mayo Clinic。</p> <p>在病患權益問題上，Warner要求Google說明如何防範Med-PaLM 2濫用、誤用、或是模型部署中，如何防範病患資料外洩。另外，在醫院測試時，病患是否知情及知道多少，以及病患是否有opt-in或opt-out的權利，以確保不加入測試。</p> <p><a href="https://thehill.com/policy/healthcare/4143447-senator-warns-google-over-ai-use-in-hospitals/" target="_blank">Google官方初步回應</a>，Med-PaLM 2已提供給特定醫療機構進行少部分測試以探索使用場景及提供回饋意見，這些客戶擁有資料控管權。Google並指出Med-PaLM 2是PalM 2針對醫療應用微調出的版本，而Warner混淆了Med-PaLM 2和聊天機器人。但Google未說明，Pichai是否會正式回應議員的問題。</p> <p>Warner的動作反映美國行政當局規範AI的意圖，AI業者預計多半會從善如流。<a href="https://www.ithome.com.tw/news/157911" target="_blank">上個月包括OpenAI、微軟、Google等7大AI業者向白宮承諾</a>將協助AI的安全、可靠發展，包括安全為優先的產品開發、建置計畫、打造標記AI內容的技術，以及確保防範AI侵犯隱私、深化偏見及歧視等。</p> </div></div></div>
2023/8/9 12:00作者林妍溱https://www.ithome.com.tw/news/158177
英特爾修補波及Skylake、Tiger Lake與Ice Lake晶片及數十億裝置的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html" target="_blank">英特爾（Intel）周二（8/8）修補</a>了一個<a href="https://www.intel.com/content/www/us/en/developer/topic-technology/software-security-guidance/processors-affected-consolidated-product-cpu-model.html" target="_blank">波及Skylake、Tiger Lake、Ice Lake等眾多晶片系列的重大安全漏洞CVE-2022-40982</a>，這是一個資訊揭露漏洞，將允許駭客取得電腦上其它使用者的密碼、金鑰或個人資料，令全球數十億的雲端與個人電腦存在安全風險，使得發現該漏洞的Google安全研究人員Daniel Moghimi直接將它稱為「覆沒」（Downfall）漏洞。</p> <p><a href="https://downfall.page/" target="_blank">Moghimi解釋</a>，由於英特爾處理器中的記憶體最佳化功能無意中向軟體揭露了內部的硬體暫存器，而使得不可靠的軟體得以存取其它程式所儲存的資料，其用來加速存取記憶體零散資料的Gather指令，可在推測執行期間洩露暫存器檔案的內部向量內容。</p> <p>因此，駭客可誘導使用者下載一個惡意程式，以用來存取電腦上其它應用程式的機密資料，包括密碼、加密金鑰，或是銀行資訊、電子郵件或訊息等個人私有資料。若是攻擊雲端電腦，那麼駭客也有機會取得其它使用該電腦的客戶憑證。</p> <p>Moghimi已經打造出概念性驗證攻擊程式，並示範如何利用該漏洞竊取電腦上其它使用者的加密金鑰，或是竊取Linux Kernel中的任何資料。</p> <p>從第六代Skylake到第十一代Tiger Lake的Intel Core處理器都受到波及，再加上英特爾在全球伺服器市場的占有率超過70%，使得Moghimi估計絕大多數的電腦使用者應該都受到該漏洞的影響，而且該漏洞非常地實用，他只花了2周的時間就成功自OpenSSL竊取加密金鑰；相關攻擊的唯一條件是駭客與受害者共享同樣的處理器核心，而這是現代運算很常見的狀態。</p> <p>此一漏洞自2014年起便存在於英特爾處理器中，且攻擊程式可以偽裝成無害的應用程式，因此並不容易偵測，目前的防毒軟體亦無法偵測相關攻擊，理論上可以開發一個利用硬體效能計數器來偵測異常行為，此外，雖然Moghimi是利用所開發的新程式來進行攻擊，但他認為駭客也有可能利用系統上既有的瀏覽器來攻擊此一漏洞。</p> <p>Moghimi是在去年8月發現並向英特爾提報此一漏洞，英特爾則花了近一年的時間來更新所有受影響處理器的韌體，該漏洞的CVSS風險評分為6.5。</p> </div></div></div>
2023/8/9 12:50作者陳曉莉https://www.ithome.com.tw/news/158179
採用L3快取破1GB的AMD第四代EPYC，微軟新一代HPC運算服務正式上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/azure_hbv4-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年底到今年中，兩大伺服器處理器廠商陸續發表多款第四代產品，以AMD為例，2022年11月發表第四代EPYC 9004系列（代號Genoa），預告2023年上半將推出代號為Bergamo、Genoa-X的處理器，對應雲端原生與科技運算等兩大市場，下半則是代號為Siena的處理器，對應智慧型邊緣運算與電信領域的需求，到了今年6月中舉行的Data Center and AI Technology Premiere大會，他們宣布推出最多可提供128顆Zen 4c核心的EPYC 97X4系列，以及L3快取容量最大超過1 GB（3D-V Cache）、最多可提供96顆Zen 4核心的EPYC 9000X系列，並在美國西部區域的資料中心開放用戶預覽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-13-AMD%20Azure%20HBv4_HX.jpg" style="width: 600px;" /></p> <p>而在率先採用這批新進處理器的廠商案例，微軟Azure在去年底AMD第四代EPYC發表會，預告新一代高效能運算（HPC）執行個體服務HBv4系列、HX系列將導入Genoa-X，等到今年6月AMD正式發表EPYC 9000X系列處理器之際，微軟宣布這兩個系列服務正式上線，公開更多細部規格，初期先開放美國東部區域使用（目前美國東部區域可用HBv4系列，美國東部2區域可用HX系列），之後將開放韓國中部（目前已開放HBv4系列）、美國中南部（目前已開放HBv4系列）、瑞士中部、東南亞等區域。若參照Azure網站公開的售價資訊，我們看到在美國東部、美國東部2、美國中南部、美國西部3、瑞士中部、西歐、韓國中部等區域，均可查到HBv4系列與HX系列的價格（美國中南部未列HX系列價格）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX Offering zone.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX%20Offering%20zone.jpg" style="width: 600px;" /></a></p> <p>根據去年11月微軟在Azure部落格揭露的資訊來看，這兩個即將推出的高效能運算服務，依據處理器核心數量的多寡，均區分為5個組態，提供24顆、48顆、96顆、144顆、176顆實體處理器核心，搭配DDR5記憶體、頻寬為800GB/s（HBv4系列均配置688 GB記憶體，HX系列系列均配置1,408GB記憶體），網路環境為400Gb InfiniBand（採用Nvidia Quantum-2交換器與ConnectX-7網路介面卡），以及80GbE（Azure加速網路）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX zie.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX%20zie.jpg" style="width: 600px;" /></a></p> <p>今年6月HBv4系列與HX系列正式登場之後，微軟揭露這些執行個體服務採用2顆AMD EPYC 9V33X處理器，每顆CPU內建96顆Zen4實體核心（停用SMT同時多執行緒功能），以及1,152 MB容量的L3快取，而在運作頻率上，9V33X的基礎時脈為2.4 GHz，尖峰時脈為3.7 GHz。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-Azure HBv4 SPEC-RachelPruitt_0-1686677735179.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Azure%20HBv4%20SPEC-RachelPruitt_0-1686677735179.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-06-Azure HX SPEC-RachelPruitt_1-1686677784000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Azure%20HX%20SPEC-RachelPruitt_1-1686677784000.jpg" style="width: 298px;" /></a></p> <p>相較之下，AMD在6月中發表的3款Genoa-X處理器，規格與Azure這兩款服務所用的CPU大同小異。以處理器內建核心最多的9684X為例，實體核心一樣是96顆、L3快取為1,152 MB，時脈最高為3.7 GHz，但基礎時脈為2.55 GHz，也能啟用SMT而提供192個執行緒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-AMD EPYC Genoa-X spec2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-AMD%20EPYC%20Genoa-X%20spec2.jpg" style="width: 600px;" /></a></p> <p>而在效能呈現上，微軟去年底公布的測試結果，以使用4年之久的高效能運算伺服器作為基準，觀察在9種軟體應用之下，HBv3系列（採用120核心的AMD EPYC 7V73X）、HBv4系列與HX系列（採用176核心的AMD EPYC “Genoa”）的提升幅度，前者可達到1.6倍至3.3倍，而HBv4系列與HX系列則是增長至4至5倍，甚至來到8.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX-2022-11-969991b7-d595-46fe-a03c-92cba2a36248.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX-2022-11-969991b7-d595-46fe-a03c-92cba2a36248.jpg" style="width: 600px;" /></a></p> <p>趁著AMD今年6月發表新款處理器，微軟針對正式上線的兩款HPC運算服務也公布新的效能測試結果，他們這次以HBv3系列比較基準進行8種應用的測試，而採用AMD EPYC 9V33X處理器的HBv4系列與HX系列，效能增長幅度達到1.6倍到5.7倍，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure HBv4_HX-2023-06-Picture1-4-2048x1475.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HBv4_HX-2023-06-Picture1-4-2048x1475.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，微軟這次針對記憶體容量配置比HBv4系列多一倍的HX系列，進行效能測試比較，在執行MSC Nastran車輛結構分析模擬中，HX系列的效能可達到HBv3系列的3倍，若以4年前推出、至今仍廣泛使用的HC系列為基準，新上市的HX系列可提供9.2倍的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20HX-2023-06-RachelPruitt_2-1686678980596.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>微軟Azure HBv4系列<br /> ●原廠：微軟<br /> ●建議售價：美國西部3，隨用隨付方案每月為5,256美元<br /> ●執行個體服務選擇：Standard_HB176-24rs_v4、Standard_HB176-48rs_v4、Standard_HB176-96rs_v4、Standard_HB176-144rs_v4、Standard_HB176rs_v4 <br /> ●搭配的處理器平臺：2顆AMD EPYC 9V33X，96核心，基礎時脈為2.4 GHz、尖峰時脈為3.7 GHz<br /> ●記憶體容量：656 GiB<br /> ●本機硬碟容量：2臺1.8 TB NVMe SSD<br /> ●網路：400 Gb InfiniBand（ConnectX-7）、40 GbE（Azure第二代SmartNIC）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/9 10:49作者李宗翰https://www.ithome.com.tw/review/158134
Zoom修正不經同意使用客戶影音、文字資料訓練AI的用戶政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在遭到媒體揭露將在不取得用戶同意情況下，運用用戶資料來訓練其AI模型後，<a href="https://blog.zoom.us/zooms-term-service-ai/" target="_blank">Zoom昨（7）日修正</a>，表示不會在未經用戶同意下動用用戶的影音、文字資料。</p> <p><a href="https://stackdiary.com/zoom-terms-now-allow-training-ai-on-user-content-with-no-opt-out/" target="_blank">周一《StackDiary》報導</a>，今年初Zoom在其用戶條款中，更新了2個章節，分別是關於使用Zoom服務自動產生的資料，以及用戶授權Zoom使用。前者說明，用戶同意Zoom有權存取、使用、蒐集、產生、修改、傳布、分享、處理、儲存和維護用戶使用該服務所產生的資料。這些資料包括遙測（telemetry）、產品使用、診斷等資料。</p> <p>後者內容則大意是指用戶提供Zoom免權利金、永久、全球、非獨家及可轉移的授權，以使用「用戶內容」（如影片、語音、文字對話）以作為產品研發、行銷、測試及支援服務等用途。Zoom更新條款增加了機器學習、人工智慧。這項用途也同樣擴及前述服務自動產生的資料及集體匿名資料。</p> <p>報導質疑新增的條文讓Zoom未來可在沒有明確告知用戶情況下，使用用戶內容及資料來訓練其AI模型。</p> <p><a href="https://blog.zoom.us/zooms-term-service-ai/" target="_blank">Zoom周一旋即澄清</a>，該公司變更條款是為了更清楚說明用戶資料的用途。Zoom表示，公司希望取得用戶授權，用這些影片、聲音和聊天內容開發加值服務，但用戶還是擁有內容的所有權。至於平台蒐集Zoom服務產生的遙測或診斷資料，則是為了改進用戶體驗。</p> <p>Zoom說明，為訓練機器學習而取得用戶授權，則是為了提供加值服務或改善服務。例如Zoom想自動掃瞄Webinar邀請／提醒，以確保他們這些通知並沒有被用於垃圾郵件或詐騙用戶。Zoom強調，在用戶內容方面，Zoom不會在未取得用戶同意前使用影像、聲音和聊天內容來訓練其AI模型。<a href="https://gizmodo.com/zoom-ai-privacy-policy-train-on-your-data-1850712655" target="_blank">不過也有媒體指出</a>，這段話並未包含服務自動產生的遙測及診斷資料。</p> <p>Zoom也積極在服務中加入以生成式AI強化功能。例如，Zoom近日推出IQ會議摘要及IQ Team Chat撰寫輔助2項功能供免費試用，可加速產出會議記錄及對話文字。但Zoom強調，帳號持有者及管理員都可以自行決定是否啟用。</p> </div></div></div>
2023/8/9 09:31作者林妍溱https://www.ithome.com.tw/news/158175
資料科學家愛用程式語言Julia首進Tiobe Index前20名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言受歡迎排行榜<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index發布最新8月排名</a>，排名出乎預期，資料科學家愛用程式語言Julia，初次擠身TIOBE Index前20名之列。</p> <p>Julia是一種高階程式語言，專門為科學和工程計算設計，由一群擁有科學運算專業的研究人員在2009年開始開發，並且於2012年的時候首次公開。Julia的特點在於高效能，其語言的設計目標是希望Julia能像是C或是Fortran一樣的高執行速度，因此使用JIT編譯來實現高效能，但又能保有動態語言的靈活性。</p> <p>Julia可以直接呼叫C和Fortran函式，同時也提供一套原生的並行運算工具，因此很適合在多核心或是分散式系統上執行。而Julia與資料科學家常用的工具Jupyter Notebook，或是其他互動式開發環境整合良好，方便資料分析與視覺化。</p> <p>但以資料科學和數學運算領域來說，在TIOBE Index前20名已經有許多前輩，像是Python、R和MATLAB，究竟Julia的優勢為何？TIOBE執行長Paul Jansen解釋，普遍來說，Julia運算速度比Python快，也比R更適合編寫大型系統，而且因為Matlab是商業軟體，因此企業使用Julia的開發成本會比Matlab低上不少。</p> <p>Julia的速度、可擴充性和開源特性，讓Julia逐漸受到資料科學家的關注，但是Julia是否能夠繼續維持排名，則還需要觀察。</p> <p><a href="http://www.ithome.com.tw/article/147584" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">Julia資料科學新女神降臨</span> </strong></a><a href="http://www.ithome.com.tw/article/147584" target="_blank"><strong style="color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/juliazhu_tu_.png?itok=kCiJrvR6" style="width: 550px;" /></strong></a></p> </div></div></div>
2023/8/9 09:45作者李建興https://www.ithome.com.tw/news/158174
【資安日報】8月8日，殭屍網路病毒SkidMap出現變種，鎖定Redis伺服器而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>記憶體資料庫Redis近期經常傳出遭攻擊的事故，例如，上個月出現的惡意程式P2PInfect，就是針對這類資料庫而來。名為SkidMap的殭屍網路病毒同樣鎖定Redis，如今出現新的變種，但值得留意的是，駭客的主要目標是未設置密碼的Redis伺服器，而在不需暴力破解的情況下就能對其發動攻擊。</p> <p>駭客宣稱提供專屬網路犯罪圈的生成式AI語言模型，也相當值得留意。有有研究人員在地下論壇與兜售FraudGPT的賣家洽談，根據他們的對話觀察，駭客可能也開始用另一個生成式AI服務Google Bard為基礎，打造新的網路犯罪工具。</p> <p>另一種AI被用於網路攻擊的情況，是拿來分析使用者鍵盤輸入的帳密資料以便進行竊密。3名英國研究人員打造可識別逾9成使用者輸入內容的機器學習模型，他們發現甚至在視訊會議的過程也有機會運用此技術，而能側錄、解析這種類型的資訊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/honeypot-recon-new-variant-of-skidmap-targeting-redis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Redis伺服器遭到殭屍網路SkidMap鎖定，用於挖礦牟利</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SkidMap002.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SkidMap002.png" style="width: 300px; float: right;" /></a>有鑑於鎖定記憶體資料庫Redis的攻擊行動不斷出現，有更多研究人員進行相關調查，結果發現有新的殭屍網路病毒轉換攻擊目標，針對此類資料庫而來。資安業者Trustwave揭露殭屍網路SkidMap的變種病毒攻擊行動，他們在部署於歐洲中部的蜜罐陷阱（Honypot），看到駭客散布此惡意程式，主要目標是架設於Debian、Ubuntu、Red Hat Enterprise Linux、CentOS等Linux作業系統，且不需進行身分驗證就能存取的Redis伺服器。</p> <p>駭客先是透過GIF圖檔傳遞惡意程式的ELF可執行檔，一旦對方不慎開啟此檔，該殭屍網路病毒會停用SELinux防護機制，並設置反向Shell，每隔60分鐘會嘗試連接攻擊者的伺服器，成功連線後便根據Linux版本下載對應的攻擊工具，進而於受害主機部署挖礦機器人，以及名為mcpuinfo.ko、kmeminfo.ko的rootkit，以便埋藏挖礦行為，並竄改網路封包，而使得發現相關攻擊變得相當困難。</p> <p><a href="https://slashnext.com/blog/ai-based-cybercrime-tools-wormgpt-and-fraudgpt-could-be-the-tip-of-the-iceberg/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客打造AI網路犯罪工具DarkBART、DarkBERT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SlashNext-Research-and-FraudGPT-on-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SlashNext-Research-and-FraudGPT-on-Telegram.png" style="width: 300px; float: right;" /></a>繼WormGPT、FraudGPT等專門用於網路犯罪的生成式人工智慧聊天機器人出現，最近又有新的作案工具。資安業者SlashNext假扮買家，針對兜售FraudGPT的賣家CanadianKingpin12進行調查，結果駭客透露正在研發兩款新型的AI機器人DarkBART、DarkBERT，其特色是可存取網際網路，並且能與Google Lens進行整合，得以傳送帶有圖片的資料。</p> <p>駭客聲稱DarkBART是Google Bard的「黑暗」版本，先是表明他參與相關開發流程，但後來承認僅具備存取權限，研究人員判斷該賣家可能已將其用於攻擊行動；至於另一款AI工具DarkBERT，研究人員根據賣家提供的影片，認為駭客濫用了資料情資業者S2W事先訓練的同名語言模型，此為針對調查暗網情資打造，但這名駭客疑似取得存取權限，並聲稱是自己打造而成。</p> <p><a href="https://arxiv.org/pdf/2308.01074.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員利用AI模型收集鍵盤輸入的敲擊聲，號稱能成功辨識95%輸入的內容</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/keystrokes-recording.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/keystrokes-recording.jpg" style="width: 300px; float: right;" /></a>英國研究人員Joshua Harrison、Ehsan Toreini、Maryam Mehrnezhad表示，他們收集敲擊鍵盤上字母、數字鍵的按鍵聲音，訓練影像分類模型CoAtNet，然後用來識別使用者輸入的文字，結果發現相當準確。若是在筆電旁邊錄下的聲音，文字辨識率達到95%，假如藉由即時通訊軟體Zoom與Skype，是在遠端視訊或音訊會議期間錄下的聲音，辨識率略為下降，分別為93%、91.7%，但還是很高。</p> <p>研究人員指出，這種型態的旁路攻擊可被用於盜竊使用者輸入的密碼，即使被側錄方用的是靜音鍵盤，仍有一定效果，對此，他們呼籲使用者，可以嘗試調整敲擊鍵盤的方法、力道，或是採用動態密碼來減少上述側錄密碼攻擊帶來的危害。</p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/new-rilide-stealer-version-targets-banking-data-and-works-around-google-chrome-manifest-v3/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Rilide透過瀏覽器延伸套件散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d208b23a9a92088ad8601841948a1431bb63c9b0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d208b23a9a92088ad8601841948a1431bb63c9b0.png" style="width: 300px; float: right;" /></a>資安業者Trustwave揭露竊資軟體Rilide的攻擊行動，駭客透過瀏覽器延伸套件，鎖定Chrome、Edge、Brave、Opera等以Chromium為基礎開發的瀏覽器而來，並以Manifest V3新版格式開發，而能突破Google對於延伸套件的新規範。</p> <p>研究人員發現可能有多組駭客組織在兜售相關攻擊工具，其中一種型態的攻擊行動裡，透過指令碼注入的手法，主要鎖定澳洲及英國用戶而來。攻擊者假冒銀行、行動支付供應商、電子郵件服務業者、加密貨幣平臺、VPN服務、雲端服務業者，研究人員看到超過1,300個利用偽冒的網域架設釣魚網頁，並透過受信任的搜尋引擎及SEO中毒手法，引誘使用者上當輸入帳密資料，進而散布此竊資軟體。</p> <p>值得留意的是，有一起釣魚郵件是針對Zendesk員工而來，假借提供VPN服務及防火牆應用程式，當中包含了資安業者Palo Alto Networks的GlobalProtect，駭客透過PowerPoint的簡報來提供「安裝步驟」，一旦使用者依照指示操作，他們的瀏覽器就有可能被植入Rilide。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://14520070.fs1.hubspotusercontent-na1.net/hubfs/14520070/Collateral/SynSaber+ICS-Advisory-Project_ICS-Vulnerabilities_First-Half-2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員針對今年上半CISA公告的670個ICS、OT漏洞進行分析，逾三分之一缺少修補程式或緩解措施</span></strong></a></p> <p>針對美國網路安全暨基礎設施安全局（CISA），於今年上半對於工業控制系統（ICS）、操作科技（OT）系統發出的資安通告，資安業者SynSaber與ICS Advisory Project聯手進行分析，結果發現，CISA總共揭露了約670個漏洞，當中逾40%與軟體有關，26％影響硬體層面；而從漏洞的嚴重程度來看，88個為重大等級、349個為嚴重等級，對於利用漏洞的容易程度而言，有163個需要一定程度的使用者互動。</p> <p>值得留意的是，今年上半缺乏修補程式或是緩解措施的漏洞，比例竟然有34%，相較於2022年上半的13%高出許多，研究人員指出，起因是西門子今年揭露了逾100個影響Linux核心的漏洞，但尚未發布相關修補程式。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-flaw-after-being-called-irresponsible-by-tenable-ceo/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補Azure程式碼開發平臺Power Platform漏洞</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerPlatform-diag.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerPlatform-diag.png" style="width: 300px; float: right;" /></a>微軟於8月4日宣布，他們成功修補資安業者Tenable於3月底通報的程式碼開發平臺Power Platform漏洞，該漏洞存在於其自訂連接器（Custom Connector），一旦攻擊者傳送特定的呼叫內容，觸發組織IT人員加入的C#程式碼，就有可能找到與目標組織有關的Azure Function主機名稱。</p> <p>資安業者Tenable指出，由於上述的連接器當中，有許多用於傳送Power Platform及第三方服務的身分驗證資訊，攻擊者若是存取防護不夠周全的Azure Function主機，就有機會取得OAuth用戶ID、密碼、金鑰等資訊，進而存取第三方服務和應用程式。研究人員指出，該漏洞遭到利用的後果有可能不只是造成資料外洩，攻擊者甚至能用來執行程式碼。</p> <p>微軟首度於6月7日嘗試修補漏洞，並於7月6日通知Tenable，卻被發現修補不全，在研究人員預告於7月底揭露漏洞的壓力之下，微軟於8月初完成修補，並強調該漏洞尚未出現遭到利用的跡象。</p> <p>資料來源</p> <p>1. <a href="https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/">https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/</a><br /> 2. <a href="https://www.tenable.com/security/research/tra-2023-25"><span class="link-annotation-unknown-block-id-343621836" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://www.tenable.com/security/research/tra-2023-25</span></a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.rapid7.com/blog/post/2023/08/02/security-implications-improper-deacquisition-medical-infusion-pumps/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">已被淘汰、轉售的二手醫療輸液泵浦恐曝露醫療機構的Wi-Fi資料</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/comrades-in-arms-north-korea-compromises-sanctioned-russian-missile-engineering-company/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯導彈製造商遭北韓駭客ScarCruft入侵，植入後門程式OpenCarrot</span></span></strong></a></p> <p><a href="https://cdhe.colorado.gov/news-article/colorado-department-of-higher-education-provides-notice-of-data-incident"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國科羅拉多州教育機構證實遭到勒索軟體攻擊，師生資料外洩</span></span></strong></a></p> <p><a href="https://www.kasada.io/threat-intel-openbullet-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供OpenBullet的組態檔案，意圖散布竊資軟體</span></span></strong></a></p> <p><a href="https://eprint.iacr.org/2022/1228"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊處理器的手法Sacrf</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158162">【8月7日】韓國Linux主機遭到惡意程式Reptile鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a></strong></p> </div></div></div>
2023/8/8 18:30作者周峻佑https://www.ithome.com.tw/news/158173
強化程式開發流程與環境安全，紅帽打造可信賴的軟體供應鏈
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/red_hat_trusted_software_supply_chain-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾年來，軟體供應鏈攻擊事件頻傳，無論是商用封閉軟體或開放原始碼軟體，都蒙受相當大程度的威脅，<a href="https://www.ithome.com.tw/news/150237">美國白宮持續呼籲各界並推動相關的政策</a>，號召微軟、Google、蘋果、Amazon及IBM等大型科技公司，促使他們承諾協力推動資安；在2022年2月，Linux基金會成立的開源軟體安全基金會（OpenSSF）也成立Alpha-Omega計畫，目標是改善1萬種開放原始碼軟體專案的軟體供應鏈安全。</p> <p>同年5月，<a href="https://www.ithome.com.tw/news/150970">Google</a>發表<a href="https://cloud.google.com/blog/products/identity-security/introducing-assured-open-source-software-service">Assured Open Source Software（Assured OSS）</a>的服務，為企業與政府機關提供Google內部開發人員在工作流程當中使用的開放原始碼軟體套件，這些都已通過他們定期執行的資安漏洞掃描、分析、模糊測試，以及簽署驗證，並遵循軟體製品供應鏈安全等級框架（SLSA）的規範，預計第三季開放預覽測試；10月他們發表代管服務型態的軟體供應鏈安全解決方案，稱為<a href="https://cloud.google.com/blog/products/devops-sre/introducing-software-delivery-shield-from-google-cloud">Software Delivery Shield</a>，Assured OSS是此服務的重要部分，並提到處於預覽狀態的Assured OSS，可提供超過250種橫跨Java和Python語言的軟體套件。到了<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-assured-open-source-software-service-now-ga">今年4月，Assured OSS正式推出</a>，免費提供超過1千種常見的Java和Python軟體套件，涵蓋TensorFlow、Pandas、Scikit-learn等熱門的機器學習與人工智慧軟體專案。</p> <p>除了公有雲大廠Google帶頭推動軟體資安防護，作為長期推廣開放原始碼軟體產品與服務的主力系統平臺廠商紅帽，今年上半也正式投入這個領域的經營，他們在5月底舉行的年度用戶大會期間，宣布推出Red Hat Trusted Software Supply Chain，希望能藉此強化因應軟體供應鏈資安漏洞的韌性，促成企業與組織導入DevSecOps，吸引更多用戶採行應用程式安全開發與部署實務，將資安整合到軟體開發生命週期。</p> <p>在這套解決方案當中，紅帽秉持既有的系統映像防護軟體<a href="https://www.ithome.com.tw/review/129692">Red Hat Quay</a>、雲端原生防護服務<a href="https://www.ithome.com.tw/review/153906">Red Hat Advanced Cluster Security（ACS）</a>之餘，也將推出兩款新的雲端服務，分別是：Red Hat Trusted Application Pipeline（RHTAP）、RedHat Trusted Content（RHTC）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red Hat Trusted Software Supply Chain Components.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Hat%20Trusted%20Software%20Supply%20Chain%20Components.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>針對程式碼組建，提供整合安全概念的CI/CD管線流程</strong></span></h3> <p>其中的RHTAP目前已開放用戶預覽，這套雲端服務發展的基礎，源於紅帽開發與維護的<a href="https://www.sigstore.dev/">開放原始碼軟體專案Sigstore</a>，可提供用於雲端原生環境簽署的免費標準，對於許多位處軟體開發流程上游的社群而言，也能從中獲得維繫共享資安基礎架構的關鍵部分，紅帽表示，這裡會供應朝向資安防護發展的軟體持續整合／持續交付（CI/CD）服務，結合他們組建自家商用軟體產品的專業知識，簡化採用相關流程與技術的程序，可提供一套能馬上使用且聚焦資安防護的開發管線流程（pipeline），改善調度指揮相關作業的安全性，以及遵循業界標準與法規要求的程度，而不會拖慢軟體開發生產速度與效率。</p> <p>具體而言，RHTAP會在開放原始碼軟體相依性的範圍之內，為開發人員提供已知資安漏洞與風險的即時知識，並提出矯正這些問題、大幅降低威脅的可行建議，協助減少開發時間與成本。開發人員能運用自動化、聚焦在資安的CI/CD流程來組件應用程式，當中會執行系統與容器映像的持續掃描，軟體的來源檢查、見證，以及自動產生遵循業界標準與法規要求的軟體物件清單，促使IT部分能夠精確掌握軟體元件的資產，同時改善開發效率與生產力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img2.jpg" style="width: 600px;" /></a></p> <blockquote><p>Red Hat Trusted Application Pipeline負責守護應用程式組建流程的安全性，提供自動化、聚焦在資安的CI/CD工作流程，可持續執行映像掃描、來源檢測、見證查核，以及SBOM的自動產生，以遵循業界標準與法規要求。</p> </blockquote> <p>而在整合CI/CD開發管線流程之後，RHTAP可協助用戶強化應用系統的軟體供應鏈安全，開發者能以更有效率的方式組建應用程式，透過簡便方式將軟體整合至Linux容器，之後僅需透過幾個點選的動作，即可部署到紅帽OpenShift或其他Kubernetes平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-2.jpg" style="width: 600px;" /></a></p> <p>舉例來說，企業如要經由雲端服務匯入git儲存庫，設定容器原生程式持續執行組建、測試、部署的管線流程，相關的操作步驟數量能夠因此變得更少；在此同時，企業可進行程式原始碼與<a href="https://en.wikipedia.org/wiki/Transitive_dependency">遞移相依性</a>（Transitive dependencies，是指軟體元件之間存在著間接相依性）的檢測，而程式組建過程中，也能自動產生軟體物料清單（SBOM）；透過發行條件政策引擎的使用，可協助企業查驗與提升容器映像的安全性，RHTAP能確認這些環境能否遵循SLSA這類業界軟體安全框架的要求，維持一致性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-4.jpg" style="width: 600px;" /></a></p> <p>紅帽表示，目前如果要實現上述的使用方式，往往需要大量人工作業處理，用戶必須事先撰寫數百行自動化處理程式碼，才能一口氣完成容器化應用程式的組建、測試、部署，而手動處理有可能導致潛在的動作摩擦與人為錯誤，從而衍生新的風險、拖慢完成整體程式開發產量的速度。</p> <p>基本上，RHTAP在守護應用程式組建系統安全性，以及整理說明全部套件與相依性的部分，預計將提供許多減輕人工負擔的功能，像是：可匯入用戶既有的GitHub儲存庫，也能使用紅帽提供的多種套裝樣本來處理；提供開發管線流程，用戶能在建立Java、Python、Node、Go等語言或開發平臺的應用程式時，將軟體整合到容器映像當中，並經由Kubernetes環境的自定資源定義（CRD）控制器<a href="https://github.com/tektoncd/chains">Tekton Chains</a>，將適當的見證、密碼學簽章，以及來源資訊，套用到容器映像。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-1.jpg" style="width: 600px;" /></a></p> <p>若需支援GitOps的持續部署作業（CD），RHTAP也能經由本身內嵌的宣告式工具ArgoCD（同樣是以Kubernetes控制器實作而成），而將應用程式部署至用戶的Kubernetes。</p> <p>在容器映像的發布上，RHTAP能提供企業級的契約驅動（contract-driven）軟體發行規畫，可提供超過43種以政策語言Rego寫成的規則，用來查驗用戶的容器映像是否符合SLSA指引的要求，例如，在自動產生的SBOM當中，需提供完成簽署的程式組建來源資訊，以及程式組建必須在網路隔離的狀態執行，基礎映像須從適當的容器映像登錄服務拉取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTAP-2023-05-3.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>強化預防與識別惡意程式碼的能力</strong></span></h3> <p>至於RHTC的作用，能協助用戶在開發程式碼的階段，就能辨別遞移相依性與資安漏洞，促使企業與組織能夠在開發流程當中，及早掌握與緩解已知的軟體資安風險與漏洞暴露，可免除手動處理的困難、避免進行耗時耗力的重複作業。</p> <p>而有了RHTC之後，用戶可在此存取受信任的內容儲存庫：紅帽本身組建與精選的開放原始碼軟體內容，這些都是套用他們內部最佳實務而成，已完成簽署、來歷查核，並提供他們的見證，開發者可從中挑選可重複使用的元件。</p> <p>對於已經上線的應用程式，RHTC也能主動監控當中使用的開放原始碼軟體套件，其原始碼是否存在遞移相依性，以及潛在的資安漏洞而可能導致新興或正在崛起的威脅，若出現這類狀況，可發出警示，促使用戶可以更快矯正這些問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-2.jpg" style="width: 600px;" /></a></p> <p>上述識別機制可整合在開發者電腦使用的整合式開發環境（IDE），當中會執行即時的軟體組成分析（Software Composition Analysis，SCA）。除此之外，RHTC也將提供更容易查詢紅帽產品與套件相關的資安漏洞交換資訊（VEXs），以及軟體物料清單的功能，用戶也能上傳本身擁有的軟體物料清單進行分析，從而深入掌握相依性與漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHTC-2023-06-1.jpg" style="width: 600px;" /></a></p> <p>關於RHTC的發展，紅帽表示，它是建立在紅帽長期強化自家系統軟體安全的基礎而成，範圍涵蓋他們的企業級Linux作業系統軟體RHEL，以及多個重要的應用程式執行時期元件，橫跨Java、Node、Python軟體生態體系，可提供企業級、經過安全強化，而且是值得信任的軟體內容與專業知識，讓用戶開發應用程式時，能夠更安心搭配開放原始碼軟體套件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-red-hat-trusted-software-supply-chain-img1.jpg" style="width: 600px;" /></p> <blockquote><p>在軟體開發流程當中，Red Hat Trusted Content負責守護程式碼層級的安全性，提供通過紅帽檢核的授信任軟體套件內容儲存庫，以及整合在整合式開發環境（IDE）的軟體組成分析工具，檢查使否存在已知資安漏洞與遞移相依性。</p> </blockquote> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Red Hat Trusted Software Supply Chain<br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●解決方案型態：雲端服務<br /> ●涵蓋產品與服務：<br /> Red Hat Trusted Content負責程式碼管理<br /> Red Hat Trusted Application Pipeline負責組建管線流程調度指揮<br /> Red Hat Advanced Cluster Security Cloud Service負責執行階段監控<br /> Red Hat Quay負責系統映像管理<br /> ●功效：精進DevSecOps推動實務、將資安嵌入軟體開發生命週期</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/8 19:46作者李宗翰https://www.ithome.com.tw/review/158127
微軟生成式AI用Azure ND H100 v5 VM正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟今年3月宣布開放預覽的生成式人工智慧專用虛擬機器<a href="https://azure.microsoft.com/en-us/blog/scale-generative-ai-with-new-azure-ai-infrastructure-advancements-and-availability/">Azure ND H100 v5，現在正式上線</a>，該虛擬機器配備Nvidia H100 Tensor Core GPU與低延遲網路設備，可用於執行複雜的生成式人工智慧運算。另外，微軟也擴大Azure OpenAI服務規模，新增在澳洲、亞洲和歐洲雲端地區提供服務。</p> <p>Azure ND H100 v5的特色在於，配備8個Nvidia在2023年新推出的資料中心用H100 Tensor Core GPU，以及採用低延遲Quantum-2 ConnectX-7 InfiniBand網路設備，每個虛擬機器可擁有高達3.2 Tb/s的跨節點頻寬，相當於每個GPU可獲得400 Gb/s的頻寬，確保跨GPU的運算效能。</p> <p>Azure ND H100 v5的CPU使用第4代Intel Xeon Scalable處理器，而GPU與主機介面使用PCIe Gen5，每個GPU可以獲得64GB/s的頻寬，進一步減少CPU和GPU間的傳輸瓶頸。</p> <p>有了H100 Tensor Core GPU的加持，ND H100 v5運算效能較上一代的虛擬機器更好，由於H100支援FP8浮點數資料型別，因此ND H100 v5在矩陣運算上，效能可為上一代ND A100 v4的6倍，執行BLOOM 175B端到端大型語言模型推理，速度則是上一代的2倍。</p> <p>盤點Nvidia在其2022 GTC大會中，預告將會部署H100執行個體的雲端供應商，目前正式推出的服務有AWS的<a href="https://www.ithome.com.tw/review/158051">Amazon EC2 P5</a>，以及微軟Azure ND H100 v5，而<a href="https://cloud.google.com/blog/products/compute/introducing-a3-supercomputers-with-nvidia-h100-gpus">Google雲端的A3</a>，還有<a href="https://blogs.oracle.com/cloud-infrastructure/post/limited-availability-oci-compute-nvidia-h100">甲骨文OCI採用H100的執行個體</a>則仍在預覽測試階段。</p> <p>除了Azure ND H100 v5虛擬機器的正式推出外，微軟也宣布擴大提供OpenAI GPT-4和GPT-35-Turbo的Azure OpenAI服務，除了原本的美國東部、美國中南、法國中部和西歐，現在更增加了澳洲東部、加拿大東部、美國東部2、日本東部和英國南部地區。</p> </div></div></div>
2023/8/8 16:24作者李建興https://www.ithome.com.tw/news/158172
研究人員以AI模型竊聽鍵盤聲可達到95%的準確率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/pdf/2308.01074.pdf" target="_blank">來自英國3所大學的3名研究人員Joshua Harrison、Ehsan Toreini與Maryam Mehrnezhad近日發表了一篇研究報告</a>，指出他們以使用者打擊鍵盤的聲音所開發的機器學習模型，可以準確地判斷使用者輸入的文字，若是以放在筆電旁的手機進行側錄以訓練模型，準確率高達95%，利用通訊軟體進行遠端攻擊也有超過90%的準確率。</p> <p>研究人員先是蒐集了筆電上36個按鍵的聲音，包括26個英文字與10個阿拉伯數字，每個按鍵都以不同的手指或壓力按了25次，之後把這些聲波視覺化，強化每個鍵擊的差異，產生梅爾頻譜，再以它們來訓練既有的影像分類模型CoAtNet，隨後即可利用CoAtNet來判斷使用者所輸入的文字。</p> <p>蒐集鍵擊聲的方式不同，準確率就不同。其中一項實驗是把一支iPhone 3 mini放在一臺蘋果M1 Pro版的MacBook Pro旁邊約17公分處，以蒐集打擊MacBook Pro鍵盤的聲音，所訓練出來的模型可達95%的準確率。</p> <p>研究人員還實驗了Zoom與Skype，他們藉由遠端會議來蒐集目標對象的鍵擊資料，再以這些資料來訓練模型，透過Zoom側錄的準確率有93%，透過Skype也有91.7%。</p> <p>這類的旁路攻擊主要是可獲得受害者所輸入的密碼，卻也不難破解，只要變更打字風格，模型的準確度就會降低，而且對於那些可以不看鍵盤就打字的使用者來說，辨識也較難，另一個防禦方法則是採用隨機密碼。</p> </div></div></div>
2023/8/8 14:48作者陳曉莉https://www.ithome.com.tw/news/158171
Bing Chat可支援第三方瀏覽器、新增多模圖片搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟以AI打造的Bing聊天機器人功能上市滿6個月，<a href="https://blogs.bing.com/search/august-2023/Celebrating-6-months-of-the-new-AI-powered-Bing" target="_blank">本周宣布將再新增功能</a>，包括支援Edge以外的手機及桌機版瀏覽器、允許輸入圖片搜尋、深色模式等功能。</p> <p><a href="https://www.ithome.com.tw/news/155429" target="_blank">微軟於2月8日公布</a>以GPT AI模型強化的Bing搜尋及Edge瀏覽器，也是首次採用類似ChatGPT聊天機器人的介面，讓用戶以自然語言下提示搜尋網頁資訊、或草擬郵件、整理文章重點。微軟指出，迄今用戶已在Bing上進行超過10億次對話，上傳了7.5億幅圖片，而Edge用量也呈現連續9季度成長。</p> <p>而在加入AI圖片生成功能Bing Image Creator、整合到桌機作業系統成為Windows Copilot、以及<a href="https://blogs.bing.com/search/april-2023/Easily-access-the-new-AI-powered-Bing-across-your-favorite-mobile-apps" target="_blank">整合手機鍵盤SwiftKey</a>後，微軟也宣布Bing Chat即將加入的新功能。首先是支援第三方瀏覽器。微軟說Bing很快就可以在第三方桌機及手機瀏覽器中使用，協助重點摘要、生成圖片等。但功能上，應該還是以Edge執行的Bing Chat較完整，微軟也鼓勵用戶在Edge中使用，可進行較多次詢問、具備聊天紀錄等。</p> <p>微軟並未說是哪些瀏覽器，不過上周微軟證實正在Windows 10及11上測試Chrome及Safari執行Bing Chat。報導指出，相較於Edge中一次最多可執行20次問答、輸入4,000個字元，在非Edge瀏覽器中，則只能執行最多5次問答及2,000個字元。</p> <p>Bing Chat也即將加入多模視覺搜尋，允許用戶在提示中輸入圖片及文字問題，Bing Chat可理解圖片上下文、解釋，並回覆關於這圖片的問題，例如用戶可輸入一幢建築物的圖片，問它結構問題，或上傳冰箱內容物照片，請它建議午餐菜單。</p> <p class="rtecenter"><img alt="" src="https://blogs.bing.com/getattachment/search/july-2023/Bing-Preview-Release-Notes-Multimodal-Visual-Search-in-Chat-and-Bing-Chat-Enterprise/multimodal-(1).gif.aspx" style="width: 450px;" /></p> <p><a href="https://www.ithome.com.tw/news/157859" target="_blank">微軟3個星期前宣布Bing Chat企業版預覽版</a>，正式版也即將上線。微軟強調企業版只會提供經驗證的答案，並提供引用來源，而且安全性更高；Bing Chat中的用戶及企業資料以加密傳輸，不會洩露到公司外，微軟看不到這些對話，因而也不會拿對話紀錄來訓練其AI模型。Bing Chat除了包含在企業授權Microsoft 365 E3、E5、Business Standard、Business Premium中，企業版Bing Chat將以每人每月5美元提供。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-Bing%20Chat%20Enterprise-data%20protect-600.png" style="width: 585px;" /></p> <p>最後，不論是消費版或企業版Bing Chat，桌機版本及Bing App，都會提供深色模式。微軟並預告，未來還會持續增加Bing Chat功能，例如現在積極開發的Bing Chat外掛，以及現有使用經驗的改良。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-Bing-New%20features-dark%20mode-PNG-600.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/8/8 12:18作者林妍溱https://www.ithome.com.tw/news/158168
OpenAI公布網頁爬蟲GPTBot，解決網頁資料擷取疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決從公開網站上掠取資料的隱私與智財權爭議，<a href="https://platform.openai.com/docs/gptbot" target="_blank">OpenAI本周一釋出網頁爬蟲技術GPTBot</a>，以更透明方式蒐集公開網頁資料來訓練其AI模型。</p> <p>OpenAI指出，GPTBot以明白的user agent token（GPTBot）及完整字串（Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; GPTBot/1.0; +<a href="https://openai.com/gptbot">https://openai.com/gptbot</a>)表明它是來自OpenAI。</p> <p>OpenAI表示，以GPTBot user agent抓取的網頁資料可能會用於改良未來模型，過程中會篩選掉需要付費的來源，但其中仍可能包含可辨識身份的資訊，或是違反OpenAI政策的文字。</p> <p>若網站管理員允許GPTBot存取網站，將可協助改進AI模型的精確度，提升其能力及安全。但若網站管理員不希望其網站被蒐集資料，OpenAI也提供了拒絕的方法說明。包括在網站robots.txt檔案中加入GPTBot（如圖），也可以自訂GPTBot存取網站部份內容（如圖）。此外，OpenAI也公布GPTBot使用（<a href="https://openai.com/gptbot-ranges.txt" target="_blank">https://openai.com/gptbot-ranges.txt</a>）的IP位址範圍，方便網站辨識與封鎖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GPTbot1.JPG" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GPTbot2.JPG" style="width: 600px;" /></p> <p>此類透明化措施可說是OpenAI對媒體或內容網站對AI模型業者未經同意蒐集資料的批評的回應。現在普遍認為，業者未經同意蒐集公開網站的內容來訓練自己的AI模型，侵犯了智財權、隱私權；他們應該要提供opt-in或opt-out選項，讓網站或資料持有人決定是不是要提供自己網站上的內容。</p> <p>上周募資平臺<a href="https://www.ithome.com.tw/news/158080" target="_blank">Kickstarter也頒布一項AI相關規定</a>，其中一項規定是若新創專案使用了外部資料來源，應出具來源網站的許可政策及同意證明。無法提供的專案則無法通過審核在Kickstarter上架。</p> <p><a href="https://www.ithome.com.tw/news/158129" target="_blank">而本周OpenAI預計也將有大改版</a>，包括ChatGPT底層將升級為GPT-4，而外掛Code Interpreter也將支援上傳多個檔案到提示中。</p> </div></div></div>
2023/8/8 12:34作者林妍溱https://www.ithome.com.tw/news/158169
PayPal推出自家穩定幣PayPal USD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.paypal-corp.com/2023-08-07-PayPal-Launches-U-S-Dollar-Stablecoin" target="_blank">PayPal周一（8/7）正式推出自家的穩定幣PayPal USD（PYUSD）</a>，這是個與美元掛鉤的穩定幣，可支援轉移、付款、結帳或轉換成其它加密貨幣，成為第一個由主要金融業者所推出的穩定幣，PayPal宣稱該公司將利用PYUSD來橋接法定貨幣與Web3世界。</p> <p>PYUSD奠基於以太坊區塊鏈，是由與PayPal長期合作的區塊鏈業者Paxos Trust Company負責發行，它與美元之間以1:1兌換，並有現金存款、短期美國債券及類似的約當現金作為支撐。</p> <p>PayPal執行長Dan Schulman表示，轉向數位貨幣需要一種穩定的工具，該工具既為數位原生貨幣，也可輕易連結法定貨幣，而PYUSD是PayPal網路唯一支援的穩定幣，允許消費者、商家與開發者無縫連結法幣與數位貨幣。</p> <p>此外，PYUSD的主要目的是減少虛擬環境中的支付障礙，可快速的轉帳予親朋好友，藉由匯款或國際支付來支持開發者與創作者，目前大多數的穩定幣都用於Web3環境中，PYUSD也會相容此一生態體系，而且很快就會支援旗下的行動支付服務Venmo。</p> <p>其實全球絕大多數的人們並未使用任何加密貨幣，PayPal也認定教育市場是推廣數位貨幣的關鍵，將致力於提高消費者與商家對加密貨幣、穩定幣及央行數位貨幣的理解。</p> <p><a href="https://financialservices.house.gov/news/documentsingle.aspx?DocumentID=408945" target="_blank">美國眾議院金融服務委員會主席Patrick McHenry認為</a>，PayPal此次的發表對於穩定幣而言是個清楚的訊號，倘若穩定幣是在一個明確的框架下發行，將可望成為21世紀支付系統的支柱。藉以呼籲美國國會儘速完成有關加密貨幣的立法任務。</p> <p>目前PYUSD主要於美國市場推出，只要擁有美國PayPal Balance帳戶就可於官網或程式中購買PYUSD，<a href="https://www.paypal.com/us/webapps/mpp/paypal-fees" target="_blank">大多數的交易</a>不需手續費，並提供4.3%的年利率，高於蘋果Apple Card的4.15%。</p> </div></div></div>
2023/8/8 13:01作者陳曉莉https://www.ithome.com.tw/news/158170
Salesforce發表Einstein Studio供用戶以Data Cloud資料訓練自定義模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce推出一個稱為<a href="https://www.salesforce.com/news/stories/einstein-studio-ai-news/">Einstein Studio</a>的人工智慧模型服務，用戶可以自帶模型（Bring Your Own Model，BYOM）並且使用Salesforce Data Cloud上的資料訓練模型，如此便能夠使用包括AWS Amazon SageMaker或是GCP Vertex AI上的模型，獲得更多元的生成式人工智慧模型服務。</p> <p>透過Einstein Studio這個BYOM解決方案，用戶便可以方便地使用Data Cloud資料訓練他們偏好的人工智慧模型。而Data Cloud是一個CRM即時資料平臺，連接各種客戶資料來源，該平臺會自動將資料整合到單一客戶檔案中，即時反應每個客戶的活動，供企業內各種環境和部門使用。</p> <p>用戶只需要透過滑鼠點擊，就可以取用Data Cloud中的資料，訓練自定義的人工智慧模型，並在Salesforce應用程式中提供服務。從Einstein Studio控制面板就可管理模型的使用，用戶還可以控制模型平臺取用訓練資料的方式。</p> <p>官方提到，由於Einstein Studio提供預建置和零ETL整合，降低平臺間移動資料的複雜性，使用戶能夠更快地訓練人工智慧模型。也就是說，用戶不需要擷取、轉換和載入程序，便可以將Data Cloud中的資料連接用於其他人工智慧工具。</p> <p>Einstein Studio能夠用於金融產業，創建自定義交叉銷售模型，或是零售業也能夠用來訓練推薦模型，根據客戶的興趣和行為，向用戶提供個人化定價或是商品建議。藉此高度個人化與客戶的互動。</p> </div></div></div>
2023/8/8 08:23作者李建興https://www.ithome.com.tw/news/158138
微軟開源ONNX Script函式庫，供開發者以Python簡單編寫ONNX模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出開源函式庫<a href="https://cloudblogs.microsoft.com/opensource/2023/08/01/introducing-onnx-script-authoring-onnx-with-the-ease-of-python/">ONNX Script</a>，該工具可讓開發者直接以程式語言Python編寫ONNX模型，而這也是新PyTorch ONNX匯出工具的基礎，用以更好地支援PyTorch 2.0即時編譯器TorchDynamo。微軟計畫將ONNX Script貢獻給Linux基金會旗下的ONNX GitHub組織。</p> <p>微軟投資發展ONNX Script，便是為ONNX與PyTorch進一步深度整合鋪路。微軟從PyTorch 0.3.0時候開始在ONNX支援PyTorch，而現在PyTorch已經發展到2.0，甚至即將發布2.1，TorchDynamo加入代表著序列化模型工具TorchScript即將退役，因此原本的ONNX匯出工具也會需要大改。</p> <p>為此，微軟重新規畫了ONNX匯出的基礎，ONNX Script便是這項基礎的最新成果。微軟在去年底的時候開始這項工作，並且與PyTorch工程師密切合作，確保TorchDynamo能夠正確無誤地匯出ONNX模型。</p> <p>過去開發者在編寫ONNX模型時，需要對ONNX模型的規範和序列化格式有深入的理解，雖然微軟對此還釋出了簡化流程的API，在很大程度抽象化序列化格式，但是使用者仍需要非常熟悉ONNX的結構，才能夠順利完成工作。</p> <p>而微軟新釋出的ONNX Script採用了新方法，並透過開發者普遍對Python的理解，使編寫ONNX模型變得更加容易。ONNX Script對ONNX中的所有運算子，提供強型態API，因此現有的Python工具、語法檢查器以及IDE，都能夠提供有參考價值的回饋，並且確保執行正確性，而且因為ONNX Script支援Python語言結構，因此熟悉Python的開發者，便能夠更自然地編寫ONNX模型，包括條件、迴圈，還有一元或二元運算子等。</p> <p>ONNX Script融合了Python語言和ONNX模型的優點，不只擁有Python可讀性和生產力，也能利用現有Python和ONNX工具，對ONNX模型靜態推理，也就是說，用戶可以不實際執行模型，就可透過工具理解和最佳化模型行為。</p> <p>整體來說，ONNX Script提供一種新的Python程式開發模型，在開發者創建ONNX模型的時候，可以使用熟悉的Python語言，以獲得更好的開發體驗。</p> <p>微軟視ONNX Script為定義和擴展ONNX的手段，新的核心運算子和高階函式都已經能夠用ONNX Script編寫，而這也加速了ONNX標準的演進。在之後，微軟也會提供轉換ONNX到ONNX Script的支援，讓開發者可以無縫編輯既有模型，使得ONNX模型更容易最佳化和維護。</p> </div></div></div>
2023/8/8 08:32作者李建興https://www.ithome.com.tw/news/158164
【資安日報】8月7日，韓國Linux主機遭到惡意程式Reptile鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Linux主機而來的惡意程式攻擊，近期出現顯著增加的現象，例如，上週末資安業者AhnLab針對惡意軟體Reptile的攻擊行動，就特別提出警告，並指出這款惡意程式的可怕之處，在於結合Rootkit及反向Shell的特性，駭客可將其當作後門運用。</p> <p>駭客偏好利用已知漏洞發動攻擊，早已成為資安威脅常態，最近五眼聯盟公布2022年最常遭利用的漏洞，當中最受到關注的，是Fortinet設備的SSL VPN漏洞CVE-2018-13379，該漏洞自揭露以來，已連續4年名列榜中。</p> <p>勒索軟體對於醫療體系的發動攻擊，也相當值得留意。最近醫療保健系統Prospect Medical Holdings傳出遭遇這類攻擊，而導致旗下的醫療機構運作受到衝擊，許多醫護人員被迫使用紙本整理病歷。這起事故也引起美國政府重視。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://asec.ahnlab.com/en/55785/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">韓國Linux主機遭到鎖定，駭客企圖植入名為Reptile的Rootkit</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Reptile-47.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Reptile-47.png" style="width: 300px; float: right;" /></a>資安業者AhnLab提出警告，名為Reptile的Rootkit工具被用於攻擊韓國Linux主機，其特色是具備反向Shell的功能，使得攻擊者能輕鬆控制受害電腦。</p> <p>研究人員在其中一起攻擊行動裡，根據惡意程式部署的路徑及資料夾名稱，發現駭客所使用的戰術與另一款惡意程式Mélofée有些雷同；再者，則是駭客在Reptile當中，同時運用了惡意程式ISH，這是透過ICMP協定連線的Shell程式，有別於一般的反向Shell採用TCP或HTTP通訊協定，駭客這麼做的目的，很有可能是為了迴避針對上述通訊協定的網路流量檢查。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">五眼聯盟公布2022年最常被利用的漏洞，Fortinet SSL VPN、微軟Exchange漏洞上榜</span></strong></a></p> <p>美國、澳洲、加拿大、紐西蘭、英國等5個國家聯手，公布2022年最常被利用的12個漏洞，其中最「資深」的漏洞是CVE-2018-13379，該漏洞存在於防火牆作業系統FortiOS、上網安全閘道FortiProxy，從2019年至2022年都是駭客愛用的漏洞之一，五眼聯盟認為，該漏洞能連續4年入榜，主要原因是許多組織尚未修補所致。</p> <p>該名單列入的漏洞名單裡，還有Exchange漏洞ProxyShell（CVE-2021-34473、CVE-2021-31207、CVE-2021-34523）、Log4j程式庫漏洞Log4Shell（CVE-2021-44228）、微軟支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190）、DevOps協作平臺Atlassian Confluence的CVE-2021-26084及CVE-2022-26134、VMware Workspace ONE Access的CVE-2022-22954、 CVE-2022-22960，以及F5 BIG-IP的CVE-2022-1388。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體破壞Prospect Medical Holdings醫療體系的資訊系統，部分醫院改以紙本作業、暫停急診業務</span></strong></p> <p>根據美聯社、NBC News、紐約時報等多家媒體報導，醫療保健系統Prospect Medical Holdings傳出遭到勒索軟體攻擊，波及旗下部分醫療機構的IT系統，傳出有些被迫暫停收治急診病人，亦有暫停抽血、醫療影像拍攝，或是採用紙本作業的情況。</p> <p>該醫療集團旗下的Eastern Connecticut Health Network發言人Nina Kruse最早向媒體證實此事，該集團察覺勒索軟體攻擊後，於8月1日將美國境內的電腦系統離線，目前醫生與護理人員使用紙筆製作病歷。Prospect Medical Holdings並未透露事件的進一步資訊，也沒揭露受害規模。美國國家安全委員會發言人Adrienne Watson表示，白宮正在監控這起資安事件的後續處理情形。</p> <p>資料來源</p> <p>1. <a href="https://www.nbcnews.com/tech/security/hackers-force-hospital-system-take-national-computer-system-offline-rcna98212">https://www.nbcnews.com/tech/security/hackers-force-hospital-system-take-national-computer-system-offline-rcna98212</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://apnews.com/article/cyberattack-hospital-emergency-outage-4c808c1dad8686458ecbeababd08fecf" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1993903253" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://apnews.com/article/cyberattack-hospital-emergency-outage-4c808c1dad8686458ecbeababd08fecf</span></a><br /> 3. <a href="https://www.nytimes.com/2023/08/05/us/cyberattack-hospitals-california.html">https://www.nytimes.com/2023/08/05/us/cyberattack-hospitals-california.html</a></p> <p><a href="https://blog.sonatype.com/malicious-pypi-package-vmconnect-imitates-vmware-vsphere-connector-module"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件假冒VMware vSphere連接器元件散布</span></strong></a></p> <p>資安業者Sonatype揭露新一波的惡意PyPI套件攻擊行動PaperPin，駭客假借提供VMware vSphere連接器模組vConnector的名義，在7月28日上傳名為VMConnect的套件，截至下架之前已被下載了237次。研究人員後來也發現另外2個與VMConnect程式碼相同的惡意套件，它們名為ether、quantiumbase，兩者也分別被下載了251、212次。</p> <p>值得留意的是，這些冒牌套件的說明都很完整，駭客甚至建立對應的GitHub儲存庫，而難以分辨真假。研究解析惡意套件的程式碼，發現一旦開發人員依照指示安裝，開發環境的電腦就有可能每分鐘向外部IP位址發送訊號，下載、執行惡意程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMConnect.png" style="width: 580px;" /></p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/decoy-dog-is-no-ordinary-pupy-distinguishing-malware-via-dns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DecoyDog濫用DNS與C2進行通訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-decoy-dog-is-no-ordinary-pupy-figure_02_dd_client_count_timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-decoy-dog-is-no-ordinary-pupy-figure_02_dd_client_count_timeline.png" style="width: 300px; float: right;" /></a>資安業者Infoblox對於他們4月揭露的DNS惡意軟體Decoy Dog進一步調查，結果發現，約在2022年3月下旬至4月初，駭客的基礎設施就開始運作，迄今至少有4組駭客在利用此惡意軟體發動攻擊，範圍主要為俄羅斯與東歐。</p> <p>研究人員比對另一款DNS惡意軟體Pupy，認為Decoy Dog就是Pupy的大改版，兩者的共通之處在於，通訊過程會產生隨機亂數，用來識別受害電腦建立的連線，並對於訊息進行工作排程。但相較於Pupy，新的DNS惡意軟體改善了記憶體內的運作方式，以及對於Windows作業系統的相容性，並納入了多項新的通訊模組，能對於DNS查詢的重放進行回應，此外，攻擊者可透過Decoy Dog注入任意的Java程式碼，進而在受害電腦持續進行攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-papercut-critical-bug-exposes-unpatched-servers-to-rce-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">列印管理系統PaperCut修補重大漏洞</span></strong></a></p> <p>資安業者Horizon3在列印管理系統PaperCut發現路徑穿越漏洞CVE-2023-39143，一旦遭到利用，攻擊者可讀取、刪除、上傳任意檔案至目標系統，其手法複雜程度極低，且無須使用者互動，CVSS風險評為7.4分，上述弱點存在於22.1.1版以前的版本，影響在Windows作業系統執行的PaperCut NG（或MF）伺服器。</p> <p>研究人員指出，這項漏洞影響啟用外部裝置整合功能的伺服器，而該功能在PaperCut NG商業版、PaperCut MF為預設開啟。對此，PaperCut發布了7月更新予以修補。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.horizon3.ai/cve-2023-39143-papercut-path-traversal-file-upload-rce-vulnerability/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-2133858822" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.horizon3.ai/cve-2023-39143-papercut-path-traversal-file-upload-rce-vulnerability/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.papercut.com/kb/Main/securitybulletinjuly2023/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1122685325" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.papercut.com/kb/Main/securitybulletinjuly2023/</span></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">工業路由器Milesight UR32L存在重大漏洞，可被用於執行任意程式碼</span></strong></p> <p>思科旗下的Talos威脅情報團隊針對惡意軟體VPNFilter的攻擊行動，調查多個廠牌的路由器，結果發現，工業用路由器Milesight UR32L，以及該廠商提供的VPN服務MilesightVPN，存在69個CVE漏洞（路由器63個、VPN服務6個），研究人員指出，雖然上述VPN服務就是為了讓UR32L減少在網際網路上曝露的機會，但攻擊者可利用VPN軟體的身分驗證繞過漏洞CVE-2023-22319（CVSS風險評分為7.3），然後透過CVE-2023-23902（CVSS風險評為9.8分）在路由器上執行任意程式碼。</p> <p>值得留意的是，研究人員在今年2月通報上述漏洞，但Milesight迄今尚未發布修補程式。對此，該公司向資安新聞網站SecurityWeek進行說明，表示他們正在製作新版韌體，並與Talos進行相關測試。</p> <p>資料來源</p> <p>1. <a href="https://blog.talosintelligence.com/router-researcher-vulnerability-spotlight-23/">https://blog.talosintelligence.com/router-researcher-vulnerability-spotlight-23/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.securityweek.com/dozens-of-rce-vulnerabilities-impact-milesight-industrial-router/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-343621836" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://www.securityweek.com/dozens-of-rce-vulnerabilities-impact-milesight-industrial-router/</span></a></p> <p><a href="https://www.vectra.ai/blogpost/microsoft-cross-tenant-synchronization"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Entra ID跨租戶同步功能有可能被用於橫向移動</span></strong></a></p> <p>微軟於今年6月針對Azure AD（現更名Microsoft Entra ID）推出跨租戶同步（Cross-Tenant Synchronization，CTS）功能，但現在有研究人員發現，駭客很可能將其用於攻擊行動。資安業者Vectra發現，若是在攻擊者能夠存取Azure AD特權帳號的情況下，可透過對外同步（Outbound Sync）找尋攻擊目標，並利用CTS的同步功能竄改其組態配置，進而存取受到同步的租戶，而能夠在不需收集其他使用者帳密的情況下，達到橫向移動的目的。</p> <p>而在另一種濫用CTS的手法當中，研究人員藉由部署新政策，啟用對內同步（Inbound Sync）、自動使用者同意（Automatic User Consent）功能，進而能隨時透過外部帳號來存取目標租戶，值得留意的是，就算惡意帳號遭到刪除，攻擊者還是可以重新建立、推送新使用者帳號，對此，研究人員認為其危害如同後門程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國、挪威公布Ivanti行動裝置管理平臺零時差漏洞攻擊細節</span></span></strong></a></p> <p><a href="http://www.blackhat.com/us-23/briefings/schedule/#jailbreaking-an-electric-vehicle-in--or-what-it-means-to-hotwire-teslas-x-based-seat-heater-33049"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發現特斯拉車載系統有可能被破解並解鎖付費功能</span></span></strong></a></p> <p><a href="https://blog.phylum.io/targeted-npm-malware-attempts-to-steal-developers-source-code-and-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意NPM套件，鎖定加密貨幣用戶散布竊資軟體，目的是竊取組織的原始碼及機密資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/us-govt-contractor-serco-discloses-data-breach-after-moveit-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府承包商Serco證實遭到MOVEit Transfer零時差攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-now-uses-torrents-to-leak-data-and-evade-takedowns/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop透過Torrent洩露竊得資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158111">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a></strong></p> </div></div></div>
2023/8/7 17:18作者周峻佑https://www.ithome.com.tw/news/158162
微軟修補資安業者揭露數月的Power Platform跨租戶資料外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一次修補失敗後，<a href="https://msrc.microsoft.com/blog/2023/08/microsoft-mitigates-power-platform-custom-code-information-disclosure-vulnerability/" target="_blank">微軟在上周終於成功修補</a>了一個可讓駭客跨租戶竊取程式碼開發平臺Power Platform別家公司重要資訊的漏洞，不過是在資安廠商批判後才加速完成。</p> <p>這漏洞是由資安廠商Tenable發現並通報，影響Power Platform的自訂連接器（Custom Connector）。微軟修補作業完全在Azure主機端，客戶不需採取任何行動，也不會影響Azure用戶。</p> <p><a href="https://www.tenable.com/security/research/tra-2023-25" target="_blank">Tenable解釋</a>，Power Platform（包括Power Apps、Power Automation）允許使用者從自訂連接器撰寫C#程式碼存取其他Azure主機，以便和其他服務串接或溝通。正常情況下，部署C#程式的用戶是經由API端點將HTTP呼叫，將程式部署到微軟控制的Azure Function主機完成這任務，這段過程是不需驗證的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Unauthorized%20Access%20to%20Cross-Tenant%20Applications%20in%20Microsoft%20Power%20Platform%20by%20Tenable.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://www.tenable.com/security/research/tra-2023-25" target="_blank"><span style="color:#696969;">Tenable</span></a></span></p> <p>但研究人員發現，駭客可以傳送呼叫，觸發取得custom C# code，從中判斷出和目標自訂連接器（Custom Connector）相關的Azure Function主機名稱，以及其他連接器的Azure Function主機名稱，因為都依整數排序。他們測試發現，許多連接器作用是傳送Power Platform和第三方服務的身份驗證資訊。只要存取防護不周的Azure Function主機，就可能攔截OAuth用戶ID及金鑰、密碼等資訊，也就能存取第三方服務和應用程式。</p> <p>研究人員指出，其研究只能確定該漏洞可外洩資料，但也指出，視自訂連接器可觸發的行為而定，後果可能不只是資料外洩，可能有其他後果，例如執行程式碼。Tenable並說明，其概念驗證程式顯示可以發送POST呼叫，從custom C# code找出Azure Function主機，以及他們也取得一家銀行的Azure服務的存取憑證。</p> <p>因此Tenable判斷該漏洞屬重大風險，並於3月底通報微軟。但<a href="https://www.linkedin.com/pulse/microsoftthe-truth-even-worse-than-you-think-amit-yoran/" target="_blank">Tenable執行長Amit Yoran批評</a>該公司3月底就通知，微軟卻修補牛步化。</p> <p><a href="https://www.tenable.com/security/research/tra-2023-25" target="_blank">根據Tenable說法</a>，該公司於3月底通報微軟，後者曾在7月6日修補（註：微軟的文件是寫6月7日）。但Tenable發現微軟修補不全，而於4天後重新通報，並應微軟要求延後公告漏洞。微軟原本預計要到9月28日完成修補，不過在安全廠商於7月底發出部分安全公告的壓力下，微軟提前在8月3日對受影響的Azure主機部署修補程式。</p> </div></div></div>
2023/8/7 14:50作者林妍溱https://www.ithome.com.tw/news/158135
五眼聯盟公布去年最常被利用的12個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-215a" target="_blank">美國、澳洲、加拿大、紐西蘭與英國等5個國家的網路安全機構上周連袂公布了2022年最常遭到駭客利用的安全漏洞</a>，相較於新漏洞，駭客更青睞舊漏洞，而且專注於尋找那些可透過網路存取且未被修補的漏洞。</p> <p>在這12個最常被利用的安全漏洞中，有6個屬於遠端程式攻擊漏洞，分別是存在於微軟Exchange Server的<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-34473" target="_blank">CVE-2021-34473</a>，位於Zoho ManageEngine ADSelfService Plus的<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-40539" target="_blank">CVE-2021-40539</a>，出現在Apache Log4j2的<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44228" target="_blank">CVE-2021- 44228</a>，現身於VMware Workspace ONE存取暨身分管理功能中的<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-22954" target="_blank">CVE-2022-22954</a>，微軟多個產品中的<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-30190" target="_blank">CVE-2022-30190</a>，以及Atlassian Confluence Server and Data Center的CVE-<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-26134" target="_blank">2022-26134</a>。</p> <p>當中最老的漏洞是出現在FortiOS與FortiProxy中的CVE-2018-13379，它是個SSL VPN憑證曝露漏洞，早在2018年就被揭露與修補，它在2020年、2021年及2022年都是最受駭客青睞的漏洞之一，且<a href="https://www.ithome.com.tw/news/146620" target="_blank">駭客也曾公布來自全球74個國家、近50萬組的Fortinet VPN登入憑證</a>。</p> <p>五眼聯盟認為，CVE-2018-13379之所以能夠連續幾年高居排行榜，應是因為許多組織仍未修補該漏洞所致。</p> <p>其它的5個漏洞還包括微軟Exchange Server的安全功能繞過漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-31207" target="_blank">CVE-2021-31207</a>，Exchange Server的權限擴張漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-34523" target="_blank">CVE-2021-34523</a>，VMware Workspace ONE的權限管理不當漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-22960" target="_blank">CVE-2022-22960</a>，以及F5 Networks BIG-IP的缺少身分認證漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-1388" target="_blank">CVE-2022-1388</a>。</p> <p>根據五眼聯盟的歸納，駭客攻擊最近兩年揭露漏洞的成功率最高，此外，駭客也傾向於鎖定嚴重且部署廣泛的系統漏洞，開發這些漏洞的攻擊程式成本相對較低，造成的影響更大，還可沿用許多年。</p> <p>至於各組織維持安全的注意事項則包括完善的漏洞與配置管理，身分認證及存取管理，維持受保護的控制權與架構，以及注重供應鏈的安全性等。</p> </div></div></div>
2023/8/7 15:14作者陳曉莉https://www.ithome.com.tw/news/158136
【資安週報】2023年7月31日到8月4日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週的漏洞利用消息，最重要的就是行動裝置管理平臺Ivanti Endpoint Manager Mobile（原名MobileIron Core）的漏洞又有新消息，繼前一周挪威12個政府遭入侵，發現是利用CVE-2023-35078零時差漏洞攻擊，後續查出同一起攻擊還利用了CVE-2023-35081的零時差漏洞。該公司與美國CISA均呼籲用戶應儘速套用修補更新程式。另外，Citrix在6月修補檔案共享系統ShareFile的CVE-2023-24489漏洞，近期發現已針對未修補該漏洞系統的濫用攻擊行動。</p> <p>另一值得企業警惕的消息是，Canon PSIRT發布產品安全公告，指出初始化過程不會清除印表機Wi-Fi連線設定的漏洞問題，建議用戶在淘汰或送修產品前，應清除這方面的資訊。而3個月前ESET也指出企業淘汰的不同品牌路由器設備，存在未徹底銷毀企業網路組態資訊、企業帳密與應用程式資料的情形。</p> <p>在最新國際威脅焦點方面，有三大消息值得關注，首先是IDOR這類漏洞導致「Web應用程序存取控制濫用」的風險；其次是微軟今年5月揭露中國駭客組織Volt Typhoon鎖定關島及其他地區的電信系統，近期傳出美國政府有相關後續因應行動的消息；第三是中國駭客APT31鎖定東歐的揭露。</p> <p>●澳洲ACSC、美國CISA、NSA聯手發布安全公告，呼籲注意不安全直接物件參照（IDOR）這類漏洞，導致「Web應用程序存取控制濫用」的風險，最值得關注，當中說明了相關技術細節與影響，並且提供具體的開發防護建議。</p> <p>●近期紐約時報指出美國政府官員透露，美國政府正在針對各種軍事防禦系統進行清查，主要就是針對微軟5月揭露的事件而來，同時美國白宮也針對此惡意程式召開一系列會議，討論更多因應方式。</p> <p>●卡巴斯基揭露中國駭客組織APT31從去年4月開始，針對東歐ICS及關鍵CI的受隔離網路環境發動攻擊，初期藉由植入惡意軟體以遠端存取與偵察，接著散布透過USB裝置入侵隔離網路的工具，最後將收集到的資料回傳至C2伺服器。</p> <p>其他值得注意的消息，包括蠕蟲程式P2PInfect有新的揭露，不僅會竄改伺服器的OpenSSH設定，還會透過Redis的複寫（replication）功能來達到自我散布；竊資軟體NodeStealer 2.0的攻擊揭露中，新版具有盜取企業的臉書帳號等更多能力，並使用FodHelper UAC繞過的技術。</p> <p>關於資安防護焦點方面，在國內以AI與後量子的消息受注目。資安院與工研院在7月31日簽訂MOU，預計今年底正式成立「AI產品與系統評測中心」；池安量子資安在8月1日成立量子安全遷移中心，看好相關商機並期望結合學術機構等能量。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158049"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月31日】Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</span></strong></a></h3> <p>上週挪威政府的資訊系統遭到攻擊，並點名駭客鎖定第三方軟體Ivanti Endpoint Manager Mobile的零時差漏洞CVE-2023-35078而來，呼籲所有用戶應儘速套用更新程式修補。但事隔數日，Ivanti再度修補另一個高風險漏洞CVE-2023-35081，並強調在前述的漏洞攻擊行動裡，駭客也同時運用了這個漏洞。是否還有其他可被攻擊濫用的漏洞？有待進一步觀察。</p> <p>利用Windows搜尋功能網路釣魚攻擊行動，也相當值得留意，有研究人員發現駭客利用Windows搜尋存取遠端伺服器上的惡意檔案，目的是讓使用者誤以為開啟存放於自己電腦的PDF文件，降低戒心而導致電腦被植入木馬程式。</p> <p>Google威脅情報小組（TAG）針對2022年零時差漏洞公布其觀察的結果，最引人注目的部分，就是點名自家行動裝置作業系統的N-day漏洞現象，因為駭客不需自行尋找零時差漏洞，就能進行這類濫用弱點的攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/158058"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月1日】Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</span></strong></a></h3> <p>漏洞修補不全、安卓生態圈修補時程漫長，已是長久已來的現象，但這樣的情況去年變得更加嚴重。Google近日在針對2022年零時差漏洞的分析當中，特別提及上述情形，其中，對於漏洞修補不全的而衍生的零時差漏洞，過往僅約占2成，但到了去年一舉增加到4成的比例。研究人員認為，這有兩種情況，一是駭客找到了更多的漏洞變形，另一種就是礙於發布更新程式的時間壓力，產生修補不完整的現象。</p> <p>針對安卓裝置的惡意軟體攻擊，近期變得更加氾濫，在今天的資安新聞裡，惡意軟體CherryBlos的攻擊行動特別值得留意，因為，該竊資軟體能對受害裝置裡存放的圖片進行搜括，找出使用者拍下的加密貨幣錢包帳密資料、通關密語，再回傳給駭客。</p> <p>專門鎖定Redis伺服器的惡意軟體P2PInfect攻擊行動，有研究人員公布新的調查結果，並指出該惡意軟體橫向感染的方式，竟是透過Redis的複寫（replication）功能來進行。</p> <h3><a href="https://www.ithome.com.tw/news/158077"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</span></strong></a></h3> <p>中國駭客滲透美國政府的情況，在先前有美國政府向微軟通報逾20個組織電子郵件遭竊的情況，最近傳出當局對軍事設施進行調查的消息，原因是他們發現中國駭客2022年部署的惡意軟體，可能會在臺海未來發生戰爭時，防礙美國出兵援助臺灣。美國政府官員認為，這樣的惡意軟體不只影響軍事行動，還有可能波及民間企業及民眾，造成社會恐慌。</p> <p>專門竊取臉書企業帳號的竊資軟體NodeStealer，其動態也相當值得留意。研究人員發現，有人以Python語言重新改寫，使得這個惡意軟體不僅功能變得更加強大，也更難進行反組譯。</p> <p>連網設備恢復原廠初始設定，竟然會遺留部分機敏資料而曝險！Canon上週發布資安通告，指出旗下逾200款噴墨印表機在恢復原廠設定之後，Wi-Fi無線網路組態仍留存，而這些資訊有可能被用來入侵家庭或企業的內部網路環境。</p> <h3><a href="https://www.ithome.com.tw/news/158111"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月4日】駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號</span></strong></a></h3> <p>近期駭客挾持企業的臉書帳號的攻擊行動，有不少是透過臉書廣告、打著提供生成式AI機器人應用程式的名義，散布竊資軟體來進行，但最近出現了更為複雜的手法。有人透過雲端CRM平臺Salesforce的漏洞下手，並將釣魚網站架設於臉書臉書內嵌應用程式平臺的網域（Meta已停止提供相關服務）上，從而迴避資安系統的偵測，並騙取受害組織的臉書帳號。</p> <p>雲端平臺的系統管理工具有可能遭到濫用，而成為駭客的「木馬程式」！研究人員揭露利用AWS EC2系統管理工具System Manager的攻擊手法，攻擊者有可能透過這項工具「管理」其他組織的AWS EC2實體。</p> <p>已被用於攻擊Citrix NetScaler系統存在的零時差漏洞CVE-2023-3519，有研究人員揭露初步調查結果，他們找到640臺伺服器已被部署了後門，並強調這可能僅是受害範圍的冰山一角。</p> <p> </p> </div></div></div>
2023/8/7 10:42作者羅正漢https://www.ithome.com.tw/news/158128
美國醫療集團Prospect Medical Holdings遭網路攻擊，多州醫院受波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國5個州經營16家醫院的Prospect Medical Holdings上周四（8/3）傳出遭到駭客攻擊，影響旗下多家醫院的IT系統，有些暫停收受急診病人，有些暫停抽血或醫療影像拍攝，並改採傳統的紙筆記錄。</p> <p>Prospect Medical Holdings在美國南加州、康乃迪克州、紐澤西州、賓州與羅德島經營16家醫院，涵蓋三級醫療中心、教學醫院、行為健康機構、社區醫院與長期照護機構等，以及166個門診診所，聘雇逾1.1萬名醫生。</p> <p><a href="https://www.cbsnews.com/news/prospect-medical-cyberattack-california-pennsylvania-hospital/" target="_blank">此一醫療照護集團向《CBS NEWS》證實</a>，它們遇到了危害運作的資料安全意外，已緊急撤下系統，並已在第三方安全專家的協助下展開調查，期望可盡快恢復正常運作。而美國聯邦調查局（FBI）也在隔天介入調查。</p> <p>Prospect Medical Holdings並未公布受駭細節或規模，有部分媒體報導該集團是受到勒索軟體攻擊，另有部分受到波及的醫院自行發布了公告，例如位於康州的<a href="https://tinyurl.com/25v74mpc" target="_blank">ECHN Medical Group便說</a>該意外影響ECHN部分地區的營運與服務，導致某些手術暫停執行，醫療影像與抽血服務也暫停。</p> <p>另一家同樣位於康州的Waterbury Hospital也說它們的電腦系統因遭到網路攻擊而當機，影響所有的住院與門診業務，<a href="https://www.facebook.com/WaterburyHospital/posts/pfbid0cd1w94bxy2md8N4vo12XZxqmX7gECU18tDPYcryL14Uv5krYMz79iuiDaKEvEBi7l" target="_blank">隨後更說</a>發生在Prospect Medical Holdings的這場意外，讓所有的附屬機構的系統都下線，以保護系統及進行調查，而Waterbury則啟動離線程序來因應，除了必須採用紙筆之外，同樣的，醫療影像及抽血服務也都暫停了。</p> <p>根據<a href="https://therecord.media/hospital-network-facing-cyberattack" target="_blank">《Recorded Future News》</a>的報導，除了康州之外，加州、賓州與羅德島的地方媒體都在上周陸續揭露當地Prospect Medical Holdings旗下醫院轉移病患的消息。</p> <p>迄今尚無駭客集團出面承認此事。</p> <p><a href="https://www.tgh.org/cybersecurity-notice" target="_blank">佛州醫療中心Tampa hospital今年也曾遭到勒索軟體攻擊</a>，並外洩了逾120萬名病患資料，除了基本的姓名、電話、住址及社會安全碼之外，少數的病患醫療資訊也被盜走。</p> </div></div></div>
2023/8/7 14:01作者陳曉莉https://www.ithome.com.tw/news/158132
ChatGPT預告本周將大改版，升級GPT-4、Code Interpreter支援上傳多檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周預告將在本周改版聊天機器人ChatGPT，底層升級使用GPT-4，並新增提示輸入範例，程式碼解析外掛Code Interpreter支援多檔案上傳。</p> <p><a href="https://twitter.com/OfficialLoganK/status/1687151401523089408" target="_blank">OpenAI技術傳教士暨開發社群關係主管Logan Kilpatrick說明</a>，ChatGPT將增加「一大堆」更新。其中最重要的是，底層AI模型將預設執行GPT-4。付費版ChatGPT Plus服務登入開啟對話後，ChatGPT會記住用戶上次選擇的模型，不必再重覆設定，有助提升生產力。熱門外掛Code Interpreter beta版將支援上傳多個檔案。</p> <p class="rtecenter"><a href="http://twitter.com/OfficialLoganK/status/1687151401523089408" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-chatgpt-Logan%20Kilpatrick-600.png" style="width: 438px;" /></a></p> <p>其他加入了使用體驗的相關功能，包括首頁不再一片空白，增加提示範例，OpenAI也會自動合成接續問題作為用戶建議。此外，用戶能長保登入，也不會被每2周登出再登入一次。如果用戶重新登入，也會有新的歡迎頁。最後，ChatGPT增加鍵盤捷徑，按「Ctrl+/」可顯示完整清單。</p> <p>也有用戶提出願望清單，包括<a href="https://help.openai.com/en/articles/8077698-how-do-i-use-chatgpt-browse-with-bing-to-search-the-web" target="_blank">7月因被濫用而遭OpenAI關閉的網頁搜尋功能Browse with Bing</a> 、以及提示紀錄搜尋等。</p> <p>OpenAI另外還宣布<a href="https://twitter.com/OfficialLoganK/status/1686788266886942720" target="_blank">開發者文件區加入搜尋功能</a>（下圖），這也是用戶喊了一年多的功能需求。</p> <p class="rtecenter"><a href="https://twitter.com/OfficialLoganK/status/1686788266886942720/photo/2" target="_blank"><img alt="" src="https://pbs.twimg.com/media/F2isdurXUAAx0Wg?format=jpg&name=large" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><a href="https://twitter.com/OfficialLoganK/status/1686788266886942720/photo/2" target="_blank"><span style="color:#696969;">圖片來源_Logan Kilpatrick</span></a></span></p> </div></div></div>
2023/8/7 10:56作者林妍溱https://www.ithome.com.tw/news/158129
Google邀請員工免通勤住廠區，利誘回公司上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升回公司上班的意願，<a href="https://www.cnbc.com/2023/08/04/google-offers-on-campus-hotel-special-to-lure-workers-back-in.html" target="_blank">CNBC報導</a>，Google提供了住房補助方案，讓員工上班期間住在距公司較近的飯店，免除來回通勤之苦。但部分員工似乎不買帳。</p> <p>CNBC取得的Google一份名為「夏日特惠」方案，特惠期間到9月30日為止，以一晚99美元的代價住在廠區內的飯店。主打員工不用長途通勤。根據報導，該方案提供的對象是加州山景市去年新啟用的新Google廠區的正職員工，主要使用者是開發廣告產品的4,000名員工。</p> <p>這份方案僅主要是讓遠距員工回公司述職。2020年新冠疫情爆發，Google、微軟、Meta、蘋果等大廠啟動長期在家辦公的措施。2022年疫情趨緩後這些大廠重啟辦公室，也開啟居家與公司並行的混合作業型態，像是Google要求員工一周回公司上班至少3天。但由於員工已習於遠距辦公，即使公司軟性宣導，員工仍然不願回公司，迫使這些大型科技公司祭出誘因。</p> <p>不過部分員工表現興趣缺缺。在Google員工討論區，一名員工表示，自家環境好太多了。另一名員工表示，這下子有部分薪資要還給Google了。還有員工說，住在公司附近才會破壞工作和生活的平衡。</p> <p>社群平臺X及特斯拉執行長馬斯克（Elon Musk）即是強烈要求員工到公司工作的一派。他要求員工一周在公司上班至少40小時，只有針對極端優秀的員工他才會同意遠距辦公的要求。去年<a href="https://www.forbes.com/sites/cyrusfarivar/2022/12/05/elon-musk-twitter-bedrooms/?sh=6c1a94cbd791" target="_blank">《Forbes》</a>報導，馬斯克將當時還叫推特的公司部分辦公區改造成頗為舒適的房間，<a href="https://twitter.com/hashtag/SleepWhereYouWork?src=hashtag_click" target="_blank">而不用再打地舖</a>，要求核心員工住在公司以強化團隊協同。</p> </div></div></div>
2023/8/7 11:29作者林妍溱https://www.ithome.com.tw/news/158130
Datadog推出Bits AI以大型語言模型改進企業系統可觀察性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Datadog將大型語言模型用於監控，建立一個稱為<a href="https://www.datadoghq.com/blog/datadog-bits-generative-ai/" target="_blank">Bits AI</a>的人工智慧助理，增加企業對系統的可觀察性。另外，針對如GPT或是BERT等預訓練大型語言模型，Datadog也推出可觀察性工具<a href="https://www.datadoghq.com/blog/dash-2023-new-feature-roundup/#llm-observability" target="_blank">LLM Observability</a>，用以監控生成式人工智慧應用程式，發現底層大型語言模型可能存在的問題。</p> <p>監控應用程式和基礎設施是一項負擔繁重的工作，需要篩選來自不同系統的大量資料和文件，Datadog開發Bits AI可觀察性助理，供用戶以自然語言指令處理端到端事件管理，加速問題診斷以及確認事件影響範圍。</p> <p>Bits AI提供單一對話介面，查詢和關聯整個Datadog平臺上的重要資料，監控範圍包括日誌、指標、追蹤、內部文件甚至是Slack對話等所有內容。Datadog採用了OpenAI的大型語言模型來強化Bits AI的功能，大幅降低系統監控的門檻，用戶能從Slack協調回應，Bits AI也會自動更新狀態給相關人士，而對於程式碼層級的錯誤，Bits AI甚至會提供簡單錯誤說明與修復建議，用戶只要滑鼠點擊就可以應用修復建議，並以單元測試驗證修復的正確性。</p> <p>當事件獲得解決後，Bits AI還將協助用戶編寫分析報告，除了提供事件發生時的系統狀態，同時也會分析事件對客戶的影響，以及紀錄最後採取的措施。</p> <p>Datadog並非第一家將大型語言模型用於監控工具的廠商，其競爭對手New Relic在今年5月就已經使用OpenAI多模態大型語言模型推出<a href="https://newrelic.com/blog/nerdlog/new-relic-grok" target="_blank">Grok</a>，同樣讓用戶可以使用自然語言對話，深入了解系統問題，並獲得相對應的建議。</p> <p>另外，針對企業大量在應用程式中整合預訓練大型語言模型，提供生成式人工智慧功能，Datadog也推出大型語言模型可觀察工具LLM Observability，供開發人員更深入了解底層大型語言模型的行為，Datadog提到，企業對模型的控制與了解不足，可能會導致模型表現不佳甚至不準確。</p> <p>LLM Observability供用戶觀察提示詞以及回應，方便追蹤模型效能並探索可改進的機會。該工具為一個可持續監控大型語言模型的解決方案，偵測有問題的叢集、模型飄移，以及可能影響模型效能的特殊提示詞和回應特徵。</p> </div></div></div>
2023/8/7 09:51作者李建興https://www.ithome.com.tw/news/158119
金融三業上雲大鬆綁來了！金管會正式公布相關修正辦法，兩周內上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日宣布金融上雲鬆綁委外修正辦法，不只銀行局發布，保險局和證期局也同時發布委外修正規定。金管會主任秘書蔡福隆表示，修正辦法最快兩周內上路。</p> <p>金管會今日發布「金融機構作業委託他人處理內部作業制度及程序辦法」修正，以及「保險業作業委託他人處理應注意事項」修正，及「證券暨期貨市場各服務事業作業委託他人處理相關規定」，也就是金融三業的委外修正辦法公布。</p> <p>過去銀行委外使用雲端服務時，涉及重大性委外作業或是將作業委託到境外公雲，都得事先向金管會申請核准，需耗費不少時間。因此，今年三月，金管會發布金融機構委外辦法修正預告，並於今日發布修正辦法。</p> <p>這次的修正大幅鬆綁企業上雲規定，例如，銀行業者使用境內雲端服務，如處理一般性事務或辦公應用，不需要事先申請核准或備查。另外，部分委外作業項目首例經過金管會核定，其他金融機構也可以跟著使用，不須申請。針對跨境委外申請範圍，則限縮至重大性消費金融業務資訊系統委託到境外，應需要事先申請。</p> <p>針對重大性消費金融業務，業者仍需要事先申請。銀行局副局長林志吉說明，所謂重大性的定義包含委外項目涉及客戶的資安事件，可能對客戶權益有重大影響。例如，若有金融機構想將個人客戶的存款業務系統委託到境外，可以判定為重大性消金資料的資訊系統。</p> <p>針對境外定義，金管會說明，要以受委託機構實際辦理作業的地點，而非公司註冊地點。此外，同一集團內即便有受委託機構經過核准，若作業項目為重大消費金融資訊系統，仍需要再次進行申請。</p> </div></div></div>
2023/8/4 18:50作者李昀璇https://www.ithome.com.tw/news/158126
【資安日報】8月4日，駭客利用Salesforce零時差漏洞發動網釣攻擊，目的是竊取企業的臉書帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期駭客挾持企業的臉書帳號的攻擊行動，有不少是透過臉書廣告、打著提供生成式AI機器人應用程式的名義，散布竊資軟體來進行，但最近出現了更為複雜的手法。有人透過雲端CRM平臺Salesforce的漏洞下手，並將釣魚網站架設於臉書臉書內嵌應用程式平臺的網域（Meta已停止提供相關服務）上，從而迴避資安系統的偵測，並騙取受害組織的臉書帳號。</p> <p>雲端平臺的系統管理工具有可能遭到濫用，而成為駭客的「木馬程式」！研究人員揭露利用AWS EC2系統管理工具System Manager的攻擊手法，攻擊者有可能透過這項工具「管理」其他組織的AWS EC2實體。</p> <p>已被用於攻擊Citrix NetScaler系統存在的零時差漏洞CVE-2023-3519，有研究人員揭露初步調查結果，他們找到640臺伺服器已被部署了後門，並強調這可能僅是受害範圍的冰山一角。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/phishforce-vulnerability-uncovered-in-salesforces-email-services-exploited-for-phishing-32024ad4b5fa"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Salesforce零時差漏洞被用於臉書網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_6QQqMFWvWC_dym3GVgzdlA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_6QQqMFWvWC_dym3GVgzdlA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露雲端CRM平臺Salesforce的漏洞PhishForce，駭客藉此漏洞繞過該CRM平臺的寄件人驗證措施，並濫用臉書內嵌應用程式平臺，來大規模發送釣魚郵件。</p> <p>研究人員指出，駭客濫用了Email-to-Case的功能，該功能主要是讓組織能將客戶寄入的電子信件轉換為Salesfoce系統傳遞的處理工單，但駭客將其用來設置新的工作流程，進而控制Salesforce產生的電子郵件信箱，並產生salesforce.com網域的內部信箱，且將其設置為組織全域的電子郵件信箱，然後用於發送釣魚郵件，而能繞過Salesforce的驗證措施，以及組織設置的郵件安全系統。</p> <p>在其中一起攻擊行動裡，駭客假借Meta的名義，聲稱收信人的臉書帳號出現異常，一旦依照指示點選信中連結，就會被帶往架設在臉書內嵌應用程式平臺（apps.facebook.com）的釣魚網頁。對此，Salesforce獲報後著手修補漏洞，Meta移除釣魚網頁，並著手調查駭客如何濫用該臉書內嵌應用程式平臺。</p> <p><a href="https://www.mitiga.io/blog/mitiga-security-advisory-abusing-the-ssm-agent-as-a-remote-access-trojan"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務寄生攻擊出現新手法，AWS EC2系統管理工具System Manager有機可乘，能被當作木馬程式利用</span></strong></a></p> <p>資安業者Mitiga發現針對AWS雲端服務的後漏洞利用攻擊手法，攻擊者一旦濫用該平臺的系統管理代理程式System Manager（SSM），就有可能將其當做RAT木馬程式，且難以被資安系統察覺。</p> <p>研究人員指出，由於SSM不只能在Amazon EC2上執行，也支援能在其他伺服器或虛擬機器（VM）上運作，首先，他們設置SSM為混合模式來執行，以便進一步將其用於攻擊行動，然後下達bash指令，讓SSM與EC2無關的AWS帳號進行通訊、執行命令。若因無法取得攻擊目標的相關權限而不能挾持SSM，攻擊者可透過執行另一個SSM，來存取目標AWS帳號的EC2環境。</p> <p>對此，AWS表示，IT人員可透過SSM的VPC端點功能，來限制EC2接收命令的來源；研究人員也建議IT人員在防毒軟體及EDR系統的白名單當中，移除SSM代理程式。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/08/02/midnight-blizzard-conducts-targeted-social-engineering-over-microsoft-teams/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客利用Teams鎖定政府機關進行網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1-Midnight-Blizzard-request-M.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-Midnight-Blizzard-request-M.png" style="width: 300px; float: right;" /></a>微軟揭露俄羅斯駭客組織APT29（亦稱Midnight Blizzard、Nobelium）透過協作平臺Teams進行的網路釣魚攻擊，攻擊者先滲透小型企業的Microsoft 365管理員帳號，利用相關權限建立新的子網域，再透過Teams傳送訊息給目標對象，目的是騙取相關的帳密資料。</p> <p>自今年5月至今，已有接近40個組織遭受攻擊，這些目標涵蓋政府機關、非政府組織（NGO）、IT服務業者、科技業者、製造業、媒體產業。其中一起事故是駭客佯稱提供微軟身分驗證保護服務，一旦使用者接受Teams對話請求，駭客便會以各種方式引誘開啟動態密碼產生器Microsoft Authenticator，並要求依照指示產生動態密碼並提供給駭客，若是使用者照做，對方就能藉由Microsoft Entra ID（原Azure AD）新增裝置，以便進一步長期在受害組織進行後續攻擊行動。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-640-citrix-servers-backdoored-with-web-shells-in-ongoing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾640臺存在重大漏洞的Citrix NetScaler伺服器被部署Web Shell「中國菜刀」</span></strong></a></p> <p>7月下旬Citrix針對旗下的Netscaler ADC、NetScaler Gateway，修補零時差漏洞CVE-2023-3519（CVSS風險評分為9.8），並表示該漏洞已被用於攻擊行動，如今有研究人員公布受害規模。</p> <p>根據非營利組織Shadowserver基金會的調查，截至7月30日，至少有640臺Netscaler伺服器遭到入侵，駭客得逞後便部署了名為中國菜刀（China Chopper）的Web Shell。研究人員認為，上述的發現遠低於他們認為的受害規模（截至8月2日尚未修補的伺服器數量仍接近1萬臺），並呼籲IT人員應認定尚未修補的伺服器已經遭到攻擊，來進行後續的處置。美國網路安全暨基礎設施安全局（CISA）證實，此漏洞已被用於攻擊該國的關鍵基礎設施（CI）。</p> <p><a href="https://www.cleafy.com/cleafy-labs/spynote-continues-to-attack-financial-institutions"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體SpyNote攻擊歐洲銀行客戶的安卓手機</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/64c3d0d8cc94f23cfc85dfe5_Screenshot 2023-07-28 at 16_25_50.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/64c3d0d8cc94f23cfc85dfe5_Screenshot%202023-07-28%20at%2016_25_50.png" style="width: 300px; float: right;" /></a>資安業者Cleafy針對安卓間諜軟體SpyNote近期的攻擊行動提出警告，他們在今年6月至7月，看到駭客鎖定歐洲銀行的客戶，發送釣魚簡訊，聲稱使用者必須部署通過驗證的新版銀行應用程式，才能正常使用App。</p> <p>接著，他們再向使用者發送第2封簡訊，這次是引導使用者從Google Play市集下載TeamViewer QuickSupport，目的是讓攻擊者後續假冒銀行的客服人員向受害者聯繫，並在手機上執行詐欺交易。</p> <p>有別於其他金融木馬，SpyNote同時具備間諜軟體的功能，不只能收集簡訊、聯絡人名單、側錄聲音及鍵盤輸入的內容、拍下螢幕畫面、利用GPS定位跟蹤用戶的地理位置、繞過雙因素驗證（2FA），還能透過螢幕投影（MediaProjection）API來側錄、傳出螢幕的內容。</p> <p><a href="https://checkmarx.com/blog/first-known-targeted-oss-supply-chain-attacks-against-the-banking-sector/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NPM開源軟體供應鏈攻擊針對銀行產業而來，攻擊者利用NPM套件、在LinkedIn設立假履歷引誘開啟惡意連結</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/oss-image-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/oss-image-5.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露針對銀行業的開源軟體供應鏈攻擊，其中一起約從4月開始，駭客在5日至7日，先上傳了數個NPM套件，並建立LinkedIn個人履歷，以此聯繫受害組織的員工，引誘他們下載前述的NPM套件。</p> <p>一旦員工依照指示下載並執行安裝，該惡意套件會先偵測受害電腦執行的作業系統，並使用含有銀行名稱的Azure CDN子網域，從遠端下載第二階段惡意程式Havoc Framework，此框架功能類似滲透測試工具Cobalt Strike、Brute Ratel C4、Silver。</p> <p>研究人員指出，駭客採用Havoc Framework的目的，就是迴避防毒軟體Microsoft Defender，以及Windows內建的安全機制。</p> <p><a href="https://thehackernews.com/2023/07/avrecon-botnet-leveraging-compromised.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">入侵家用路由器的殭屍網路AVRecon運作模式細節被揭露，證實駭客以此提供代理伺服器服務牟利</span></strong></a></p> <p>資安業者Lumen揭露Linux惡意軟體AVrecon的攻擊行動，駭客的主要目的，就是占用家用網路的路由器頻寬，並轉賣給他人做為非法的代理伺服器，現在研究人員又有新的發現。</p> <p>資安新聞網站Krebs On Security、資安業者Spur進行調查，根據AVrecon所使用的C2進行比對，結果發現，這些駭客專門挾持家用路由器，用於經營代理伺服器業務SocksEscort長達12年之久，此業者專門透過SOCKS通訊協定，讓使用者通過代理伺服器。資安業者Lumen表示，駭客在他們揭露AVrecon的隔日（7月13日），便將感染此惡意軟體的路由器連接至新的C2基礎設施。</p> <p>而對於這些駭客的來歷，Krebs On Security指出，根據他們的調查，SocksEscort與一家位於摩爾多瓦的VPN服務業者有關，該公司在蘋果的App Store及其他市集提供應用程式。威脅情報業者Inte 471指出，這些駭客曾在2009年，以SSC的使用者請求地下論壇測試網站的安全性。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1217145102" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://krebsonsecurity.com/2023/07/who-and-what-is-behind-the-malware-proxy-service-socksescort/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://spur.us/2023/07/christmas-in-july-a-finely-wrapped-proxy-service/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1890310271" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://spur.us/2023/07/christmas-in-july-a-finely-wrapped-proxy-service/</span></a></p> <p><a href="https://cofense.com/blog/google-amp-the-newest-of-evasive-phishing-tactic/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google行動裝置網頁框架AMP遭濫用，駭客用於繞過資安防護發送釣魚信</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure3-Featured-Image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure3-Featured-Image.png" style="width: 300px; float: right;" /></a>資安業者Cofense發現新的網路釣魚攻擊手法，今年5月起，他們看到有些釣魚郵件，嵌入採用Google行動裝置網頁框架AMP服務的網址，其目的是繞過郵件安全系統的偵測機制，竊取企業員工的帳密資料。</p> <p>研究人員指出，駭客約在逾四分之三（77%）的攻擊行動裡，濫用google.com的網域，其餘則是google.co.uk。此外，這些駭客也同時濫用其他迴避偵測的手法，這些包含了URL重新導向、Cloudflare的CAPTCHA圖靈驗證機制，以及以圖片來呈現電子郵件內文等手法。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-discloses-new-critical-auth-bypass-bug-in-mobileiron-core/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Ivanti再度針對行動裝置管理平臺公布重大漏洞</span></strong></a></p> <p>8月2日Ivanti針對旗下的行動裝置管理平臺MobileIron Core發布資安通告，指出該平臺存在重大漏洞CVE-2023-35082，此為身分驗證繞過漏洞，可讓未經身分驗證的使用者存取受到被限制的功能或是資源，CVSS風險評為10分，影響11.2版以前的MobileIron Core。</p> <p>對此，該公司表示此系統已於去年3月終止支援，他們不會提供修補程式，使用者應升級最新版本的Endpoint Manager Mobile（EPMM）來避免曝露相關風險。通報上述漏洞的資安業者Rapid7，也公布入侵指標（IoC），讓組織能檢查是否遭到相關攻擊。</p> <p>資料來源</p> <p>1. <a href="https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older">https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/08/02/cve-2023-35082-mobileiron-core-unauthenticated-api-access-vulnerability/">https://www.rapid7.com/blog/post/2023/08/02/cve-2023-35082-mobileiron-core-unauthenticated-api-access-vulnerability/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/08/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 115更新，修補排版引擎V8漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/firefox-116-patches-high-severity-vulnerabilities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 116，修補高風險記憶體安全漏洞</span></span></strong></a></p> <p><a href="https://guardz.com/blog/the-massive-macos-threats-trending-in-the-dark-web/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對Mac電腦的hVNC惡意軟體主要目標是中小企業</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-flipperzero-sites-promise-free-devices-after-completing-offer/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借免費提供滲透測試設備Filpper Zero發動攻擊</span></span></strong></a></p> <p><a href="https://www.hackread.com/axis-a1001-flaw-facilities-unauthorized-access/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對Axis智慧門鎖的漏洞提出警告</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158077">【8月2日】美國針對軍事補給相關系統進行清查，中國駭客埋入可能干擾軍事行動的惡意軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158058">【8月1日】 Google彙整2022年零時差漏洞攻擊態勢，並指出駭客透過已知漏洞找出新漏洞的現象變得更加氾濫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158049">【7月31日】 Ivanti再度修補行動裝置管理平臺的零時差漏洞，並指出其危險之處在於與另一個漏洞串連使用</a></strong></p> </div></div></div>
2023/8/4 15:37作者周峻佑https://www.ithome.com.tw/news/158111
鎖定MFT系統MOVEit攻擊事件近六百家企業機構遭殃，且規模持續擴大（截至7月31日）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年以來，繼Accellion FTA、GoAnywhere等MFT檔案共用系統的用戶，傳出遭到大規模的零時差漏洞攻擊，導致使用者資料外洩，類似情況近期再度傳出。今年5月底，IT業者Progress發布公告，指出旗下的MFT解決方案出現零時差漏洞，且已有攻擊行動出現。</p> <p>這起事故發生迄今快2個月，從當初有資安業者指出攻擊者的身分，到駭客組織坦承犯案、公布受害組織名單，後來則有部分企業與公家機關證實遭遇相關攻擊。但相較於先前的事故，這次有許多不同的地方。</p> <p>首先，與前述的Accellion FTA、GoAnywhere事件相同，背後的攻擊者都是勒索軟體駭客Clop，但這次陸續浮出檯面的受害組織竟多達數百個，駭客分成多次公布名單，而且每次都引起不少關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MOVEit-overview_cKArhktp85.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOVEit-overview_cKArhktp85.png" style="width: 580px;" /></a></p> <blockquote><p>資料來源：Mandiant、Progress、Bleeping Computer、KonBriefing、Coveware，iThome整理，2023年8月</p> </blockquote> <p>另一方面，有別於過往事件證實受害的企業與政府機關，同時其檔案共用系統也遭遇攻擊，但這次出面公布遇害的組織，不少是因為IT服務供應商建置的MOVEit Transfer遭遇攻擊，導致自己的內部資料、客戶資料外洩而出面公告。</p> <p>再者，這次駭客利用的漏洞是CVE-2023-34362（CVSS風險評分為9.8），而Progress在攻擊事件發生之後，委由資安業者Huntress，協助檢視MOVEit Transfer的程式碼，後續在一個月內，數次發現新的重大漏洞，部分漏洞在公布當下甚至尚未取得CVE編號，如此紊亂的修補狀態，也是前述幾起MFT系統遭攻擊事件所沒有出現的情形。</p> <h3><span style="color:#0000FF;"><strong>事件的首度揭露源自零時差漏洞公告</strong></span></h3> <p>這起資安事件的曝光，主要與5月底Progress發布的漏洞公告有關。根據資安新聞網站Bleeping Computer的報導，駭客針對Progress公司旗下MFT檔案共享系統MOVEit Transfer的零時差漏洞，發動攻擊，竊取組織存放的檔案，且已有許多組織受害。</p> <p>該新聞網站認為，駭客利用的漏洞與Progress在5月31日公布的SQL注入漏洞有關──此漏洞能允許未經身分驗證的攻擊者取得資料庫權限，而能截取MOVEit所採用的資料庫內容。</p> <p>Progress呼籲IT人員，應暫時以防火牆停用該伺服器所有HTTP與HTTPS流量來因應。而根據Progress在該媒體提出的說明，雲端服務版本MOVEit Cloud也受到影響。當時，這個漏洞尚未取得CVE編號。</p> <p>6月1日， Rapid7、Huntress、TrustedSec等多家資安業者指出，在網際網路上，約有2,500臺MOVEit Transfer伺服器曝露於這個資安風險，已遭攻擊的伺服器都出現檔名為human2.aspx的Web Shell，此指令碼會找尋受害伺服器存放的資料、Azure Blob儲存桶的帳密資料，以及從伺服器下載檔案。研究人員亦公布攻擊來源IP位址等入侵指標（IoC），供組織防範相關攻擊。</p> <p>隨後，有其他資安業者提出更多細節。資安業者GreyNoise提出警告，在前述的資安通告裡，Progress呼籲IT人員檢查MOVEit Transfer近30天裡的事件記錄，確認是否出現未經授權的存取情形，但根據他們的觀察，在3月3日駭客就嘗試掃描該系統登入網頁的行動，因此，IT人員調查事件記錄的範圍，應至少延長至90天。資安業者Mandiant則認為，駭客開始利用零時差漏洞發動攻擊的時間點，是5月27日，當時是美國的陣亡將士紀念日假期。</p> <p>而對於攻擊者的身分，微軟威脅情報團隊於5日表示，根據他們的調查，很有可能就是勒索軟體駭客組織Clop（該公司稱做Lace Tempest）所為，理由是該組織也曾利用類似的漏洞來竊取資料，並向受害組織勒索。</p> <h3><strong><span style="color:#0000FF;">受害企業與組織不斷浮出檯面，表明受到攻擊</span></strong></h3> <p>在微軟懷疑攻擊者的身分後，駭客組織Clop開始有所行動，同時也有企業與政府單位表明受害。在這些組織當中，有不少MOVEit Transfer，是IT服務業者維護的系統。</p> <p>最早證實遭到攻擊的組織約於6月5日出現，包含了英國航空、英國廣播公司（BBC）、薪資系統服務供應商Zellis、加拿大新斯科舍省政府等。</p> <p>其中，英國航空發出聲明，表示他們受到了Zellis的資安事件波及，而該事故與MOVEit Transfer檔案傳輸系統有關。Zellis也證實遭到攻擊，該業者的事故不只影響英國航空，還有BBC、愛爾蘭航空（Aer Lingus）、藥妝連鎖業者Boots受害。</p> <p>而對於微軟的指控，Clop向資安新聞網站Bleeping Computer透露，這起攻擊行動就是他們所為，並宣稱開始發動攻擊的時間是5月27日，但不願透露入侵此種檔案共享系統伺服器的數量，僅表示他們即將向受害組織進行勒索，要求這些組織於6月14日前進行談判。</p> <p>特別的是，這次駭客強調不向政府機關、軍事單位、兒童醫院索討贖金，他們已將從這些組織竊得的資料刪除。然而，這項說法是否正確，該新聞網站表示無從判斷。根據另一家資安新聞網站The Record的報導，Clop宣稱受害組織有數百家，但實際規模仍不得而知。</p> <p>在駭客首度公布受害組織名單之前，還有IT服務業者PBI Research Services、美國羅徹斯特大學、英國電信主管機關Ofcom也表示遭駭，證實遭遇有關攻擊。</p> <h3><span style="color:#0000FF;"><strong>駭客多次公布受害組織名單</strong></span></h3> <p>隨著駭客組織Clop設下的談判期限到來，他們也開始在暗網上的網站公布部分受害組織。</p> <p>值得留意的是，雖然駭客聲稱有數百個組織受害，但他們分成多次公布部分名單，且初期每次的數量都不多，而使得遭到公布的組織都受到相當程度的關注。這樣分批揭露、細水長流的做法，也和這些駭客在GoAnywhere攻擊行動當中，一口氣將一百多個組織公布於網站的方式相當不同。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體Clop於6月14日公布1份受害組織名單，總共列出13個對象，其中包含了石油公司殼牌、保險公司UnitedHealthcare Student Resources、喬治亞大學（UGA）、喬治亞大學系統（USG）、精密印刷機械業者海德堡（Heidelberger Druckmaschinen）、歐洲渡假村集團Landal Greenparks。</p> <p>對此，殼牌、Landal Greenparks證實有部分客戶資料外洩，海德堡則表示尚無資料外洩的跡象。此外，根據CNN的報導，美國能源部及多個聯邦機構也遭遇此次的零時差漏洞攻擊。</p> <p>根據資安業者ReliaQuest 的追蹤，6月15日，這些駭客又公布14個受害組織。這些單位大部分來自美國，其中有3個為歐洲組織，分別是位於法國、瑞士、盧林堡的組織，而且，主要是金融服務業、但也有醫療保健、製藥廠，以及科技產業。</p> <p>6月16日美國東部時間上午，又有10個受害組織被駭客列入名單，值得留意的是，這次開始有亞洲的組織出現。截至目前為止，駭客聲稱有37個組織遇害，其中美國組織最多，共有23個。而從這些企業的產業類型來看，有14個為金融服務業者，醫療保健業者、製藥及生物技術業者各有4家。</p> <p><a href="https://s4.itho.me/sites/default/files/images/616-4pm-regions.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/616-4pm-regions.png" style="width: 288px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/616-4pm-industries.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/616-4pm-industries.png" style="width: 320px; height: 232px;" /></a></p> <blockquote><p>資安業者ReliaQuest於6月16日，彙整已確認受害的組織，其中逾半數受害組織（63%）位於美國，而從所屬產業的領域而言，金融服務業的比例最高（37%），醫療保健、科技業次之。（圖片來源／<span style="font-style: italic;">ReliaQuest</span>）</p> </blockquote> <p>同日下午4時，研究人員看到駭客在網站新增3個組織。值得留意的是，他們發現其中一家企業向駭客表態拒絕妥協之後，駭客公布了該組織的遭竊資料。</p> <p>6月19日，勒索軟體駭客Clop公布11個新的受害組織，且開始有澳洲的組織被列入名單。此外，對於本次公布的名單，有1個組織的部分遭竊資料也被駭客洩露。</p> <p>隔日，駭客又再公布其中一家受害組織的資料，但研究人員指出，與前2家組織資料被公布的情況不同，駭客一口氣公布所有從該組織偷到的檔案。21日，駭客再公布2家受害組織的資料，並針對近期媒體的報導提出說明，表明他們是唯一利用這項零時差漏洞的駭客組織，他們的目的就是為了賺錢。</p> <p>6月22日，Clop於網站上增列4個組織，其中包含2家會計師事務所及1家科技公司。同時，駭客也洩露2個組織的資料。</p> <p>到了23日，這些駭客公布2個新的受害組織名稱，並洩露5個組織的資料。截至目前為止，有58個組織被列於駭客的網站上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MOVEit-list_5xS9mauSDP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOVEit-list_5xS9mauSDP.png" style="width: 580px;" /></a></p> <blockquote><p>資料來源：<span style="font-style: italic;">Bleeping Computer、SecurityWeek，iThome整理，2023年8月</span></p> </blockquote> <p>接下來，這些駭客陸續又增列一些受害組織，到了 7月5日，研究人員看到36個新列入的組織。截至28日，該駭客組織總共公布受害的企業、政府機關，累計超過250個。</p> <h3><strong><span style="color:#0000FF;">受害規模持續擴大，亦有不少組織受到第三方供應商牽連</span></strong></h3> <p>而針對這起事故的受害規模，我們也可以從另一家資安業者Emsisoft的說法，來看出影響程度不同以往。該公司指出，截至7月26日，有接近500個組織、近2,400萬人的資料因本次事件而曝險。</p> <p>研究人員看到駭客在網站公布206個組織，另一方面，有超過136個組織非MOVEit Transfer的用戶，是因第三方廠商而受波及。至於證實受到攻擊事件影響的組織，總共有286個，其中約有四分之一說明了個資受影響的人數。</p> <p>根據新聞報導、駭客公布的名單、受害組織發出的聲明，以及向美國地方政府或證券交易委員會（SEC）通報的資料，研究機構KonBriefing也公布他們彙整的資料，並設置專屬網頁不斷更新結果。截至7月31日，他們確認有545個組織受害，約有3,270萬至3,760萬人遭受波及，這些組織遍及至少31個國家。</p> <p>而根據這些組織所屬的國家，大多數（389個）是來自美國，其次是德國、加拿大、英國，分別有35個、25個、24個組織受害。值得留意的是，美國學術機構多達129個，占該國受害組織近三分之一，其次是公家機關，有25個聯邦單位受害。研究人員也提及，在加拿大的受害組織當中，13個是公家機關，也就是該國每2個受害組織就有1個是公部門。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MOVEit-Affected-orgs-0731.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOVEit-Affected-orgs-0731.png" style="width: 580px;" /></a></p> <blockquote><p>根據研究機構KonBriefing的統計，截至7月31日，共有545個組織證實受到攻擊事件影響，其中有389個位於美國，其次則是德國、加拿大、英國，各有超過20個組織受害。（圖片來源／KonBriefing）</p> </blockquote> <p>值得留意的是，資安業者Kroll發現，駭客早在2021年7月就找到CVE-2023-34362，並策畫在完成GoAnywhere攻擊之後，才進行本次的攻擊行動。這意味著該漏洞曝露長達快2年的時間，駭客可能已經過充分的模擬和測試，最後才決定下手。</p> <p>另一方面，資安業者Censys指出，在5月底Progress發布資安通告及修補程式之前，他們看到約有逾3千臺MOVEit Transfer伺服器曝露於網際網路上。根據這2家資安業者的發現，也代表現在被揭露的受害組織，很可能只是其中的一小部分。</p> <p>對於實際的受害規模，目前仍難以估計。美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）推估，超過3千個當地組織受害，其他國家可能也有8千個組織遭受攻擊。</p> <p>不過，這起攻擊行動當中，駭客並未對存放於MOVEit Transfer的檔案進行加密，因此，受害組織會願意向駭客低頭，支付贖金換取資料不被外流嗎？</p> <p>資安業者Coveware指出，他們認為這起攻擊行動有超過1千個組織會直接受到影響，但僅有非常少數組織願意談判，更別說是支付贖金。</p> <p>然而，還是有組織選擇向駭客低頭，且付出代價極為高昂，遠超過勒索軟體駭客組織Clop其他攻擊行動的金額（平均約74萬美元）。研究人員估計，駭客總共從這些極為少數的受害組織，收到了7,500萬至1億美元的贖金。</p> <h3><strong><span style="color:#0000FF;">後續頻繁針對新發現的漏洞進行緊急公告</span></strong></h3> <p>雖然整起事件當中，駭客只有利用CVE-2023-34362，但這次Progress應變處理的可取之處在於，他們在事發之後隨即尋求資安業者協助，檢視MOVEit Transfer的程式碼來改善安全。不過，頻繁發布新漏洞的資安通告，也很可能讓IT人員無所適從，疲於採取緩解措施，或是安裝更新軟體。</p> <p>6月9日，Progress表示在資安業者Huntress的協助下，找到SQL注入漏洞CVE-2023-35036，CVSS風險評分為9.1，影響所有版本的MOVEit Transfer，該公司提供修補程式，並指出目前該漏洞尚未遭到利用。</p> <p>事隔不到一週，Progress於15日又再度發布公告，針對新漏洞CVE-2023- 35708 提出緩解措施，呼籲IT人員暫時停用所有HTTP與HTTPS流量，該公司在隔天發布了修補程式。此漏洞也是SQL注入漏洞，CVSS風險評分達到9.8。</p> <p>值得留意的是，無論是CVE-2023-34362還是CVE-2023- 35708，Progress首度公布漏洞的時候皆未取得CVE編號，也沒有提供CVSS評分，IT人員只能從公告的說明當中，得知該公司認定漏洞極為嚴重，難以判斷要如何安排修補順序。</p> <p>到了7月初，Progress發布新的資安通告，一口氣揭露3個漏洞CVE-2023-36932、CVE-2023-36933、CVE-2023-36934，這些漏洞主要與SQL注入有關。其中最嚴重的是CVE-2023-36934，CVSS風險評分達到9.1，另外2個漏洞也達到高風險等級。</p> <p>從事件發生之後，Progress總共修補了6個CVE漏洞，然而根據這些資安通告，不同程度的MOVEit Transfer修補層級，IT人員需要採取的更新步驟也不同，使得修補工作變得更為複雜。</p> </div></div></div>
2023/8/4 16:38作者周峻佑https://www.ithome.com.tw/news/158113
IBM、NASA與Hugging Face開源地理空間基礎模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-08-03-IBM-and-NASA-Open-Source-Largest-Geospatial-AI-Foundation-Model-on-Hugging-Face" target="_blank">IBM本周宣布</a>，已於Hugging Face上開源基於美國國家航空及太空總署（NASA）衛星資料的watsonx.ai地理空間基礎模型，為全球首個與NASA合作的AI基礎模型。</p> <p><a href="https://www.earthdata.nasa.gov/news/nasa-ibm-ai-collaboration" target="_blank">IBM與NASA是在今年2月宣布結盟</a>，當時IBM即打算要利用NASA的地球觀測衛星資料來打造各種基礎模型，以供全球的研究人員更容易應用NASA的資料，其中一項專案是利用Harmonized Landsat Sentinel-2（HLS）的衛星資料（下圖）來訓練IBM的地理空間情報基礎模型，整合來自美國地質調查局（USGS）的Landsat，以及由歐洲太空總署（European Space Agency，ESA）主導的Sentinel-2衛星資料，來提供一致且連貫的衛星影像。</p> <p class="rtecenter"><a href="https://hls.gsfc.nasa.gov/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-NASA%20Harmonized%20Landsat%20Sentinel-2%20(HLS)%20Data-(2)-600.jpg" style="width: 600px;" /></a></p> <p>此一名為IBM NASA Geospatial的開源模型使用了包含HLS專案在內的大量衛星及遙測數據，<a href="https://huggingface.co/ibm-nasa-geospatial" target="_blank">使用者可透過機器學習模型分享平臺Hugging Face存取</a>。</p> <p class="rtecenter"><a href="http://huggingface.co/ibm-nasa-geospatial" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-IBM%20NASA%20Geospatial%20image%20by%20huggingface.png" style="width: 500px;" /></a></p> <p>IBM解釋，IBM NASA Geospatial是由IBM與NASA共同於HLS上展開為期一年的訓練，已根據洪水及大火的標記資料進行微調，僅使用一半的標記資料便改善了15%的效能，再藉由其它的微調將可重新部署基礎模型來執行追蹤森林砍伐、預測農作物產業，或是監控溫室氣體等任務。</p> <p>此外，該模型也借助了IBM的基礎模型技術，<a href="https://newsroom.ibm.com/IBM-watsonx-capabilities-are-now-available-to-help-meet-enterprises-AI-for-business-needs" target="_blank">IBM甫於今年7月發表</a>商業性的AI平臺 watsonx，也計畫於今年透過IBM Environmental Intelligence Suite推出商業化的地理空間模型。</p> </div></div></div>
2023/8/4 16:17作者陳曉莉https://www.ithome.com.tw/news/158112
Google允許用戶要求移除包含聯絡人資料的搜尋結果頁連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/new-privacy-tools/" target="_blank">Google宣布一項新隱私與安全功能</a>，可應用戶要求，從搜尋結果頁移除包含聯絡人資料的網頁連結。不過新功能目前僅在美國提供。</p> <p><a href="https://www.ithome.com.tw/news/150674" target="_blank">這項功能是去年5月宣布</a>的「Results about you」工具的最新擴充。這項功能可讓用戶以Google App或Google Search的任何入口，要求Google從其搜尋結果頁移除包含敏感個資，如個人手機、住家地址或電郵信箱的連結，以防範肉搜或被用於金錢詐騙。</p> <p>現在Google改良了這項工具，擴及用戶個人聯絡資訊。未來幾天內，Google會推出一個新的儀表板工具，用戶只要在此輸入聯絡人資訊，它會自動蒐集包含該資訊的網頁，而不需自己到Google Search中動手搜尋。若真的搜尋到，用戶可以直接在儀表板中要求Google從搜尋頁移除連結。若日後又有新的網頁出現在搜尋結果中，Google也會主動通知用戶。</p> <p>「Results about you」可從Google App帳號相片下方點入，或是直接點擊goo.gle/resultsaboutyou存取。</p> <p>目前這功能僅提供美國地區的英語用戶，該公司表示正在開發其他語言版本，未來也會推向其他市場。</p> <p>此外，Google Search同時改版了SafeSearch防範色情內容功能。SafeSearch可在搜尋結果頁出現露骨圖片時將之模糊化，以保護18歲以下的用戶。SafeSearch原本已提供給登入Google帳號的青少年用戶，今年2月，SafeSearch成為所有青少年用戶預設，即使他們沒有啟用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-Blurring_Setting_Google.png" style="width: 535px;" /></p> <p>現在，Google再進一步，使SafeSearch成為全球用戶的預設，<a href="https://support.google.com/websearch/answer/510?hl=en&co=GENIE.Platform%3DDesktop&oco=0" target="_blank">但也允許用戶將之關閉</a>，除非管理員將設定功能關閉。</p> <p>如果用戶自己的私密相片也出現在第三方網頁，未經用戶同意發布，也能循前述的儀表板，要求Google從搜尋頁移除。但是這政策不適用於用戶自己刊登或販售的網頁。</p> <p>最後，家長也能輕鬆找到家長控制子女上網的指引資訊。只要在Google上搜尋「Google家長控制」或「Google family link」等關鍵字，Google就會把管理家長控制的方法集中於單一區內顯示。</p> </div></div></div>
2023/8/4 15:23作者林妍溱https://www.ithome.com.tw/news/158110
蘋果營收連3季下滑，服務再創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周四（8/3）公布截至7月1日的2023財年第三季財報，顯示該季蘋果創下818億美元的營收，比去年同期下滑了1%，這已是蘋果連續3季的營收下滑，但下滑的主要是iPhone、Mac與iPad等產品，蘋果的服務營收則再創新高，該季蘋果每股盈餘為1.26美元，成長了5%。</p> <p>蘋果的兩大營收類別為產品及服務，在818億美元營收中，產品占了606億美元，下滑4.3%，而服務則占了212億美元，成長8.2%。若細分蘋果的產品，iPhone營收為396.7億美元，下滑2.4%，Mac為68.4億美元，下滑7.3%，iPad為57.9億美元，下滑19.8%，其它穿戴與家用裝置的營收為82.8億美元，是所有產品中唯一營收呈現正成長的，比去年同期增加了2.5%。</p> <p>至於212億美元的服務營收則再度刷新了蘋果的紀錄，亦比去年同期成長8.2%。</p> <p>蘋果執行長Tim Cook表示，有賴於逾10億名付費訂閱用戶的貢獻，該季蘋果服務營收寫下了新紀錄，而新興市場則在iPhone銷售的助益下日益強大。</p> <p>根據蘋果所公布的區域營收，美洲市場占了354億美元，下滑5.5%，歐洲市場為202億美元，成長4.8%，大中華區為158億美元，成長8%，日本與其它亞太地區的營收則分別為48億美元及56億美元，皆略低於去年數字。</p> </div></div></div>
2023/8/4 13:40作者陳曉莉https://www.ithome.com.tw/news/158107
微軟支援跨平臺Unity遊戲開發，在VS Code上推Unity擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在VS Code上，以6月推出的C#開發工具包和C#擴充套件當作基礎，提供一個能夠跨Windows、macOS和Linux平臺的<a href="https://devblogs.microsoft.com/visualstudio/announcing-the-unity-extension-for-visual-studio-code/">Unity開發工具包</a>，方便遊戲開發者用於編寫和除錯Unity遊戲。參考自Visual Studio與Visual Studio Tools for Unity，C#開發工具包和Unity擴充套件也提供許多開發者熟悉的功能，使開發者在各個平臺，都能夠以C#開發Unity遊戲。</p> <p>微軟解釋，Unity擴充套件提供由Roslyn支援的C#程式碼編輯，因此開發者可以使用到完整的IntelliSense程式碼完成功能，和IntelliCode for C#開發工具包一起使用，便能獲得AI輔助功能，像是輸入時全行完成以及加註星標建議等，而且Unity擴充套件還包含了Unity Roslyn Analyzers專案，可以提供專屬Unity的自定義建議和程式碼修復功能。</p> <p>開發者要使用Unity擴充套件，至少需要安裝Unity 2021，VS Code會自動安裝所有Unity擴充套件的相依項目，包含C#開發工具包和C#擴充套件。</p> <p>值得注意的是，由於C#開發工具包和VS Code Unity擴充套件建立在與Visual Studio相同的基礎上，因此採用類似Visual Studio的授權條款，在個人、學術和開源開放上免費使用，但是企業使用，需要購買Visual Studio Professional、Enterprise訂閱，以及GitHub Codespaces。</p> </div></div></div>
2023/8/4 13:46作者李建興https://www.ithome.com.tw/news/158105
Amazon營收成長11%，股價大漲9%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20230802612401/en/" target="_blank">Amazon周四（8/3）公布</a>今年第二季營收，該季Amazon創下1,344億美元的營收，比去年同期成長11%，該季淨收入為67億美元，優於去年同期的20億美元虧損，當天Amazon在盤後上漲了8.75%，股價為140.17美元。</p> <p>Amazon把營收分為北美電子商務、國際電子商務及AWS。該季北美電子商務的營收為825億美元，成長10.9%，也一改去年同期的虧損，創下了32億美元的營業利潤；國際電子商務營收則是297億美元，成長9.7%，虧損了近9億美元，但優於去年同期的17.7億美元虧損。</p> <p>至於AWS在今年第二季則創下221億美元的營收，成長12%，營業利潤為53.7億美元，略低於去年同期的57.2億美元。</p> <p>即使AWS的營收成長幅度已明顯趨緩，但因Amazon該季的營收與獲利都高於分析師預期，而推升了股價。</p> <p>值得注意的是，Amazon也以平臺之姿積極搭上生成式AI的列車，執行長Andy Jassy表示，AWS正釋出一系列的生成式AI服務，以讓客戶以更具成本效益、也更容易的方式來訓練與執行模型，包括客製化各種大型語言模型以推動生成式AI應用，以及利用CodeWhisperer來協助程式的撰寫。</p> </div></div></div>
2023/8/4 13:58作者陳曉莉https://www.ithome.com.tw/news/158108
無人超商新模式大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1141-feng_mian_gu_shi_-p1_open-you_hua_-960x420_kao_bei_0.jpg?itok=wCwDWI19" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商6年來持續實驗智慧零售營運模式，以及多種結帳技術應用可能。今年他們新推出拿了就走無人店模式，不只加速顧客購物速度，更提升了線下顧客購物行為蒐集的完整度。</p> </div></div></div>
2023/8/4 14:09作者郭又華https://www.ithome.com.tw/article/158109
【數據科技驅動無人超商模式新價值】統一超商無人店新模式，如何為會員經營戰略加分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5年前，統一超商展開了一場智慧零售創新實驗，打造名為X-Store的實驗場域，嘗試用各種科技來改造真實店面購物流程、零售模式、超商營運，甚至是店面設備的創新嘗試，累積超過了4千萬人次的真人顧客創新體驗數據。</p> <p>結帳，這是統一超嘗試了最多新技術的購物階段，也是貫穿了1號店到6號科技概念店的實驗重點。</p> <p>2018到2019年，他們嘗試用當時火紅的面部辨識與影像辨識來結帳。2020年，則改用成熟多年的RFID技術來辨識結帳商品；2021年，開始利用手機App掃描線下商品後，在線上結帳的OMO模式；2022年又回歸到傳統掃條碼式的自助結帳機。今年7月，剛在新竹啟用了最新的X-Store 7號店，這一次，統一超實現了「拿了就走」（Grab and Go）的快速結帳模式，這也是臺灣第一家真正實現拿了就走模式的100%無人超商。</p> <p>拿了就走模式下，結帳階段不再需要排隊或一一掃描商品。統一超科技店過往實驗的結帳技術，都無法同時做到這2點，7號店的拿了就走模式，是統一超創新結帳實驗的一大突破。</p> <p>實現拿了就走模式對零售產業的意義，不只是結帳模式的革新，更是消費者體驗、IT管理，乃至於整個店面營運模式的新變革。一項重要模式更新是，超商店面最核心的POS資訊系統不再只是處理銷售時點（Point of Sale）資訊，還可以完整追蹤、紀錄會員在店內四處瀏覽的購物行為，日後可以用來優化線下店面經營及線上會員行銷，這更是OMO數據整合的創新應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E5%BA%97%E9%9D%A2%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 594px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>從外觀來看，X-Store 7號店的商品陳列模式及顧客店內走動模式與一般超商相同。因此統一超商在此蒐集的顧客旅途數據，也有機會作為全臺超過6,500家一般門市的參考。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／統一超商</span></p> <p><span style="font-size: 28px;"><strong>不只紀錄結帳階段，拿了就走能追蹤消費者店內完整旅途</strong></span></p> <p>同為結帳技術，自助結帳機或自動販賣機只會處理銷售時點資訊，而拿了就走更會處理結帳階段以外的顧客旅途。這是因為要達成結帳階段的「走」，它必須追蹤購物階段的「拿」。這個技術特色，使X-Store 7號店與一般超商，甚至臺灣主流無人店有諸多區別。</p> <p>X-Store 7號店如傳統超商一樣在貨架上陳列商品，顧客可以在店面中走動、取放商品，再統一結帳。但是，透過物件辨識技術來追蹤顧客移動軌跡和取放商品的行為，等於可以追蹤到消費者遊逛的動線和挑選商品的猶豫行為。就算最終沒有購買任何東西，還是可以蒐集多種消費者的行為資訊。這些都是單靠傳統POS機結帳的零售店面，難以紀錄到的細緻軌跡和行為資訊。</p> <p>由於7號店的商品陳列模式和消費者旅途設計，都與統一超典型的超商做法類似，靠「拿了就走」技術，分析後得到的營運或銷售優化做法，還能供全臺6,500家一般超商參考，例如動線改善建議及商品陳列優化做法。</p> <p>進一步推論，蒐集這些資訊，更有機會來類比和參考電商的做法，用於即時行銷和再行銷。例如，當顧客停留在特定商品前，就可以搭配會員App，即時推播促銷訊息，類似於顧客逛電商網站時，會即時跳出相關折價訊息的做法。甚至對入店顧客的行銷，也能根據顧客過往的猶豫行為來推銷相關商品，類似電商常見的購物車再行銷。</p> <p>近2年，統一超商大力發展會員經營，格外聚焦在消費數據蒐集與分析，企圖活化沉睡的百萬會員，並從活躍會員身上獲取更多價值。作為一個實體零售品牌，統一超會員數據蒐集管道是，以會員消費數據為主，會員App操作行為為輔。若統一超能在購物體驗的不同階段蒐集數據，甚至在實體店面中即時行銷，以望成為提升會員貢獻的新助力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E5%85%A5%E5%8F%A3%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 590px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>為了降低顧客適應新消費模式的摩擦力，統一超商在入口處放置立牌和電視螢幕，用圖文和影像形式詳細說明顧客如何在拿了就走店消費。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／統一超商</span></p> <p><span style="font-size: 28px;"><strong>消費新模式，帶起顧客體驗新設計</strong></span></p> <p>拿了就走消費模式不須一一掃描商品，不用在櫃檯或機臺排隊，因此結帳更有效率。不過，新消費模式也會反過來成為一定程度的入店消費門檻。</p> <p>消費者對拿了就走無人店的消費模式相對陌生，適應摩擦力較以自動販賣機為主的常見無人店大，這是統一超要開設此類店面的一大先天劣勢。為了提升拿了就走技術的商業可行性，統一超在自家無人店的消費者體驗設計下了功夫，來降低消費者適應難度。</p> <p>走到X-Store 7號店門口，能見到說明用的立牌和播放著示範影片的電視，解釋無人店消費方法。顧客得先登入統一超會員App，來打開X-Store Web App，作為入店到離店的操作媒介。顧客用App提供的門禁QR Code入店後，可以像到一般超商般，在店內走動、挑選商品。貨架上有著小立牌，說明店內各式鏡頭和感應器的功能，還有搭載ChatGPT模型的AI虛擬店員來回答店內的操作、商品、活動、優惠等問題。拿著商品走到出口附近，App便會生成購物清單，顧客若發現消費資訊有誤，可以使用出口附近的自助結帳櫃檯，掃描商品條碼來補登商品，或刪減購物清單品項。再次於App上確認無誤後，就可以進入結帳階段。</p> <p>目前結帳設計，顧客只能使用統一超生態系的支付工具才能於App介面快速結帳。若沒有前述工具，得用Web App中產生購物清單QR Code，再到自助結帳機上掃描才能帶入購物清單來付款。</p> <p>這家7號店不只是加上拿了就走科技的一般門市，店內處處提供使用說明文宣，更搭配AI虛擬店員、並接受多元結帳方式，來降低顧客對新模式的適應門檻。不過，要完整體驗X-Store 7號店的拿了就走功能，顧客須先實名註冊會員身分，還要用統一超自家支付工具。不論這是出於技術限制，還是統一超有意壯大自家會員及支付工具用戶規模，這2層身分限制無疑增加了顧客適應的門檻，也削弱了消費體驗的流暢感，有待市場驗證這個做法的普及可行性。</p> <p><span style="font-size: 28px;"><strong>營運新模式，從人力調度、進銷存到店面管理都不同</strong></span></p> <p>拿了就走店背後營運模式，也與一般店面有許多區別。X-Store 7號店商品選擇因為技術限制和營運成本等考量，販售商品種類較單純，服務類型更簡化到只剩下基礎的零售，沒有代收等常見超商功能。需要真人管理時，則由母店派出店員來支援。無常駐店員，使此店型的人員調度及訓練需求較一般門市少。</p> <p>母店對這家無人店的管理，最大宗的例行工作是進貨補貨。一般門市需要店員親自巡視店面，盤點貨架情形，拿了就走系統則會將貨架情況更新到臺帳系統，紀錄商品錯位和貨架缺貨情況。母店店長為X-Store 7號店下單進貨時，能從系統了解即時貨架情況。補貨店員也能從此系統了解當天補貨和整理需求。</p> <p>拿了就走無人店，並非是統一超商首創，這是Amazon Go早在7年前就讓全球驚艷的創新模式。不過，統一超商在X-Store七號店的拿了就走模式，已經和當年Amazon Go的模式有所差異，帶來後續規模化與發展策策略選擇的不同。這將用另一篇文章來介紹。</p> <p>為何統一超要在臺灣實驗這個問世多年的模式？統一超沒有揭露具體的實驗目的，不過，統一超從前端消費者體驗到後端營運，都做出技術與營運策略的改動、取捨，才能將拿了就走技術落地到真實的商業場景中，而非只是把一項陳年結帳技術導入一家尋常門市。</p> <p>從時空背景和統一超近年營運戰略，可以略推測一二。疫情解除後，零售市場更加重視OMO與會員數據經營，統一超近年也大力善用數據來優化會員經營及整體零售集團營運。打造無人店，來蒐集到消費者更完整的實體購物行為數據，有機會成為一種可以用來完善會員OMO數據不足的突破性做法。</p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>統一超無人店如何蒐集實體門市顧客全旅途數據</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段1：進入門市 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86(1).png" style="width: 500px;" /></p> <p><strong><span style="color:#3399ff;">● 關鍵科技：</span>會員App、門禁系統<br /> <span style="color:#3399ff;">● 關鍵數據：</span>顧客身分、進出時間、同時進出人數<br /> <span style="color:#3399ff;">● 數據可能用途：</span><br /> » 辨認顧客身分，以在顧客取放商品時連結到同一人的購物車<br /> » 辨認顧客身分，以歸戶後續紀錄的購物旅途數據<br /> » 根據進出時間了解習慣消費時段及周期<br /> » 觀察同時進出人數是否影響消費內容</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段2：走動瀏覽 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 536px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">● 關鍵科技：</span>天花板鏡頭、AI物件辨識技術<br /> <span style="color: rgb(51, 153, 255);">● 關鍵數據：</span>顧客所在地點、動線、停留時間、取放行為<br /> <span style="color: rgb(51, 153, 255);">● 數據可能用途：</span><br /> » 根據顧客所在地點推播鄰近商品促銷訊息<br /> » 參考顧客動線來評估商品擺設位置及動線設計<br /> » 若顧客原地停留時間長，可推測為猶豫，即時推播行銷訊息<br /> » 交叉分析取放次數及實際購買商品來推測顧客習慣<br /> » 當顧客接近出口結帳區，提示結帳</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段3：挑選商品 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">● 關鍵科技：</span>貨架鏡頭、AI物件辨識技術、重量感測器、紅外線光柵<br /> <span style="color: rgb(51, 153, 255);">● 關鍵數據：</span>取放商品行為、取放商品種類、貨架重量<br /> <span style="color: rgb(51, 153, 255);">● 數據可能用途：</span><br /> » 取放商品行為會觸發鏡頭，開始物件辨識<br /> » 根據拿取和放回商品種類來推測顧客興趣，並判別購買商品品項<br /> » 用貨架重量變化感應顧客扶靠貨架，間接推測身高或身體狀況<br /> » 用貨架重量變化來計算顧客拿取商品的數量</strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段4：結帳離店 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-%E6%B5%81%E7%A8%8B4-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">● 關鍵科技：</span>Web App、自助結帳機<br /> <span style="color: rgb(51, 153, 255);">● 關鍵數據：</span>購買商品、支付工具、購物車商品刪減項目<br /> <span style="color: rgb(51, 153, 255);">● 數據可能用途：</span><br /> » 根據最終購買商品來推測顧客喜好<br /> » 可觀察無人店是否提升顧客使用統一超自家支付工具的比例<br /> » 將購物車商品刪減項目視為AI誤判案例，作為模型調整依據</strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／統一超商<br /> 資料來源：iThome整理，2023年7月</span></span></p> <p><a href="https://www.ithome.com.tw/article/158109" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/158109" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1141-feng_mian_gu_shi_-p1_open-you_hua_-960x420_kao_bei_0.jpg?itok=wCwDWI19" style="width: 550px;" /></a></p> </div></div></div>
2023/8/4 14:11作者郭又華https://www.ithome.com.tw/news/158071
【廠商永續支援度盤點：GCP】不只釋出碳排放感測套件能監測每個帳戶雲端服務碳排放變化，今年還將擴大支援追蹤Gmail等…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud在2年前開始推出了碳足跡儀表板工具，可供企業用戶追蹤和管理他們使用雲端服務的碳排放量，後來還將這些會影響碳排放的環境因素，納入到企業用戶的雲端環境配置中，不只能從服務區域（Region）中選擇綠能程度最高的資料中心來使用，還能根據雲端環境設定或資源使用情況，來提供節能或省碳建議，進而降低其雲端服務的碳排放。Google Cloud今年還計畫擴大開始支援追蹤Google協作和生產力工具Workspace碳排放數據，包括Gmail、Google文件等。</p> <p>三大公有雲服務商近2年持續加強雲端服務的碳排放數據監測和管理，一方面要提高雲服務碳排放資訊揭露的透明度，強化對於雲端資料中心實現淨零碳排的承諾；另一方面，則是讓企業用戶能夠根據雲端服務的碳排放量<span data-contrast="auto">估算遷雲所節省的排放量，同時能</span>採取相關措施降低碳排放。</p> <p>Google Cloud雖然不是三家公雲業者中最早提供雲端服務碳足跡資訊的業者，但是GCP在臺設立資料中心相對較早，不少企業考慮到低延遲存取或資料落地的需求而採用。</p> <p><span style="font-size: 28px; font-weight: 700;">不僅能追蹤每個帳戶的碳排放用量，還能依個別產品、專案、地區來呈現各自碳排情況</span></p> <p>Google Cloud去年釋出了一個碳排放感測套件（Carbon Sense ），其中包含了碳足跡儀表板（Carbon Footprint）和雲端管理（Active Assist）兩大主要工具。</p> <p>碳足跡儀表板工具是Google Cloud在2年前所推出，可供用戶察看雲端服務的碳排放量，還提供了<a href="https://cloud.google.com/carbon-footprint/docs/methodology">完整的計算方法</a>，可提供審核人員或報告團隊確認這些碳排放資料有無符合GHG通訊協定標準格式。</p> <p>從這個視覺化的碳足跡儀表板中，企業IT人員或維運管理人員可以觀看每一個帳戶內所用的雲端服務產生的碳排放量，也能根據每個雲端專案或服務啟用所在區域來進行比較，還能呈現碳排放量在不同月分的變化趨勢，或依個別服務產品、專案、地區等來進行查看，進一步評估和調整服務採用策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed(3).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">透過碳足跡儀表板報表功能，企業用戶從主控臺就能查看帳戶使用的整體碳排放情況，還可以根據個別服務產品、專案、地區等來進行查看各自碳排在不同時間變化，以此評估和調整服務採用策略，減少碳排。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google Cloud</span></p> <p>但不是所有GCP服務都能支援碳足跡儀表板功能。例如，混合雲服務Anthos就無法使用。Google Cloud台灣技術副總林書平解釋，Anthos通常採用落地部署的方式，因此企業客戶使用的是自己的機房用電，而不是Google Cloud資料中心的，所以無法將Anthos的碳排放數據顯示在儀表板上。</p> <p>值得注意的是，遇到企業擁有多個帳戶的情況下，雖然可以從個別帳戶中查看各自雲端用量碳排放的情況，但目前還無法在同一個儀表板中顯示所有帳戶的整體碳排放量，林書平指出，如果一個組織擁有多個帳戶的情況下，則需要將所有數據匯出，然後整併在資料倉儲中以合併計算碳排放量。</p> <p><strong><span style="font-size:28px;">除了能監測用戶碳排放情形，還能根據資源使用優化雲端配置達成減量</span></strong></p> <p>在這個碳排放感測套件中，還有一個Active Assist雲端管理工具，能夠根據資源使用和專案項目等條件，來優化企業用戶的雲端配置，達成減量的目的。透過這個管理工具，維運人員在雲端維運過程中，能夠一併考慮減碳和環境等因素，還能回收和清理閒置的專案，減少不必要的資源浪費，進而降低碳排。</p> <p>GCP雖然免費提供碳排放感測套件，但是當用戶需要將這些碳排放資料匯出至BigQuery服務中，建立碳盤查報表，或結合內部營運數據進一步分析與運用，就可能需要使用付費服務。</p> <p>不光如此，Google Cloud在考慮永續IT與環境友善時，也將這些考量納入到用戶的雲端環境配置中，讓使用者可以選擇綠能程度最高的資料中心來使用，而不僅僅考慮到服務延遲和成本而已。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image(2)(1).png" style="width: 600px;" /></p> <p>舉例來說，當選擇服務區域（Region）時，GCP提供了更多有關該Region的碳排放狀態的資訊，使用者可以察看其使用無碳能源的占比和電網碳強度。這些資訊是根據該Region年度無碳能源百分比和平均電力碳強度進行計算，通常會以葉子等圖案顯示在每個Region旁，葉子數越多代表該Region的無碳或低碳程度越高，使用再生能源比例較高。</p> <p>Google Cloud還將全球可用區（zone）與電網地圖結合，讓用戶進一步可透過電力地圖，來了解不同zone的電網使用狀況。由於各區不同時段的電價，會影響到雲端資料中心電力碳排放量的計算，因此企業也能根據不同時間的電價，來調整電力使用時間，進而減少電力消耗，降低的碳足跡。目前從這個電力地圖中，也能查看GCP在臺灣彰濱資料中心據點的電網使用資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed%20(1)(1).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">GCP還將全球可用區（zone）與電網地圖結合，讓用戶進一步可透過電力地圖，來了解不同zone的電網使用狀況，根據不同時間的電價，選擇對於碳排放量影響程度較低的zone，作為服務使用區域</strong><strong style="color: rgb(105, 105, 105);">。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google Cloud</span></p> <p>除了雲端服務碳排資訊揭露之外，Google Cloud今年還計畫擴大開始支援追蹤Google生產力工具Workspace碳排放數據，意味著，企業在Gmail或Google文件使用的碳排放數據也將被一併追蹤和管理。</p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/8/4 14:41作者余至浩https://www.ithome.com.tw/news/157912
Google測試新生成式AI搜尋功能，強化影音內容、更快產生摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/google-search-generative-ai-august-update/" target="_blank">Google本周宣布</a>其測試計畫Search Generative Engine（SGE）加入3項新功能，包括增加影音的搜尋結果、更快產生內容摘要，也為搜尋結果標註來源時間點。</p> <p>SGE是Google今年於Google I/O上宣布的用戶測試計畫，可讓用戶在Search Labs平臺上試用研發中的生成式AI搜尋技術。</p> <p>本周測試的3項新功能中，第一項是在搜尋結果增加圖片與影片內容。SGE已經開始在搜尋結果加入圖片，從下周起，SGE用戶查詢某些任務時，例如瑜珈動作示範、或是去除大理石髒污時，會看到影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0804-generative%20AI%20in%20Google%20Search-600-1.png" style="width: 573px;" /></p> <p>事實上，Google搜尋正式版早已經強化影片內容的搜尋結果。本周Google還在影片加註和使用者搜尋關鍵字相關「重要時間點」，讓使用者不需從頭看起，就能找到相關內容。</p> <p>第二項功能是加快產生AI內容摘要的時間。Google說，經過改善，生成AI摘要的時間縮短了一半，未來還會再繼續再加快其速度。最後，SGE也會在搜尋結果的簡介部分，加上網頁連結出版日期，方便使用者判斷。</p> <p>Google說他們也正在實驗其他方法來強化AI摘要內容的豐富性。該公司同時重申SGE還是會在特定版位上，展示搜尋廣告。</p> <p>用戶可以透過Android及iOS版Google App或Chrome桌機版，從Search Labs測試SGE新功能。</p> <p>Google積極將AI整合進其現有產品。除了搜尋外，<a href="https://support.google.com/youtube/thread/18138167" target="_blank">本周Google也開始針對YouTube少數英語影片測試以AI產生影片簡介</a>，幫助使用者更容易決定是否點選讀取。不過用戶需要在Youtube.com/new上註冊加入測試計畫。此外<a href="https://www.ithome.com.tw/news/158052" target="_blank">Google也正在啟動以生成式AI改造Google Assistant</a>，並為此進行組織重整。</p> </div></div></div>
2023/8/4 13:20作者林妍溱https://www.ithome.com.tw/news/158106
Dell發布PowerStore OS儲存系統軟體3.5版，安全性大進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0804-ji_shu_zhuan_ti_-dell_powerstore-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dell</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過Dell日前發表的最新3.5版儲存平臺作業系統，PowerStore系列儲存陣列大幅強化了安全性，以及資料保護功能，同時，也具備緊密的整合Dell超融合產品線的能力，藉此獲得更靈活的基礎架構部署彈性。</p> <p>無論在產品定位或產品架構上，2020年5月問世的PowerStore，都可說是Dell近年來最具創新的儲存陣列產品。</p> <p>在產品定位方面，PowerStore在儲存陣列市場中，開創新的「中高階」儲存陣列類別，擴充能力屬於中階產品領域，但效能規格則能達到高階產品的門檻，可以視為「高階化」的中階儲存陣列，填補了以往高階與中階產品的間隙，提供效能接近高階，價格則接近中階的產品特性。。</p> <p>在產品架構方面，PowerStore引進了兩項儲存業界首見的嶄新特性，包括：導入完全Container化的PowerStore OS儲存系統軟體核心，以及利用儲存硬體執行虛擬化應用程式的AppON架構。另外，它也支援當前流行的新一代儲存媒體技術與I/O介面，並兼具Scale-Up與Scale-Out兩種擴充能力，堪稱新一代儲存陣列架構的標竿。</p> <p><span style="font-size:28px;"><strong>細數PowerStore家族的更新歷程</strong></span></p> <p>繼2020年的第1代PowerStore產品後，Dell在2021年4月推出這個產品線的首次重大更新，新增入門款式機型，並推出PowerStore OS作業系統2.0版，提供了IOPS效能與重複資料刪除效率的提升，以及新增支援基於32Gb FC的NVMe-oF協定等改進功能。</p> <p>接著Dell在2022年1月發布小幅改版的PowerStore OS 2.1版，進一步改善IOPS效能，並新增NVMe-TCP傳輸協定，以及AI應用與安全性的改善。半年後（2022年7月），Dell又推出全面改款的新一代PowerStore系列，包括大幅提高硬體核心規格的第2代硬體，以及PowerStore OS作業系統3.0版，提供強化的遠端複製功能與安全性，並深化與VMware環境的整合。</p> <p>相隔近一年後，Dell先在2023年4月發布小幅更新的PowerStore OS 3.2版，擴展硬體與網路連接支援，控制臺介面也有小幅改版。接著又在不久之前（6月），發布大幅更新的PowerStore OS 3.5版，強化了安全性與資料保護能力，並提供與PowerProtect DD與VxRail產品家族深度整合的能力。</p> <p><span style="font-size:28px;"><strong>安全性、資料保護、部署彈性是改版重點</strong></span></p> <p>根據Dell公布的PowerStore OS 3.5 Release Notes文件，一共列出15項主要新功能與既有功能更新，我們可將這些項目歸結為這3大面向：</p> <p><strong>● 安全性強化：</strong>包括：支援美國政府頒布的安全技術部署指引（Security Technical Implementation Guide，STIG），提供多因素身分驗證（Multi-Factor Authentication），支援區塊層級的不可變快照（Immutable Snapshot）功能等。</p> <p><strong>● 資料保護能力擴展：</strong>新增原生整合PowerProtect DD備份儲存伺服器，可藉此提供高效率的資料備份、還原應用能力。</p> <p><strong>● 改善部署彈性與韌性：</strong>對於VxRail超融合伺服器的環境，可支援純運算Dynamic節點的配置，並提高檔案儲存服務的擴展能力，以及具備強化的網路高可用性功能。</p> <p><span style="font-size:28px;"><strong>可因應國家級要求，增設多重安全</strong></span></p> <p>PowerStore OS 3.5在這方面最引人注目的更新特色，便是支援美國政府與國防部的STIG規範，具備足以列入美國國防部資訊網路核准產品清單（DoDIN APL）的安全性，雖然STIG不適用於一般企業環境，但單是符合STIG規範這一點，仍能夠彰顯PowerStore的安全性已能符合美國政府與軍方的嚴苛要求，有助於提高整體用戶信心。</p> <p>第2項安全性強化特色，是搭配RSA SecurID驗證工具的多因素身分驗證，對於PowerStore儲存叢集的存取與管理，能夠多一層的安全保障。</p> <p>另一項重要的安全性強化，是提供區塊層級的不可變快照功能。</p> <p>PowerStore本身是兼具區塊與檔案儲存服務能力的通用儲存陣列，可建立供區塊儲存使用的Volume儲存區，以及供檔案儲存服務使用的檔案系統，配合這2種服務類型，快照功能也分為區塊層級與檔案系統層級等2種形式。</p> <p>PowerStore OS目前的快照預設是唯讀的，可防止用戶端的刪改，然而管理者仍能刪除快照。而到了最新發布的3.5版，Dell引進稱作Secure Snapshot的不可變快照功能，可防止區塊層級快照遭到任何刪除，直到設定的保留期到期為止，但Secure Snapshot功能不適用於檔案服務層級。</p> <p>在檔案服務層級上，PowerStore OS所提供的這類特色，是針對檔案系統本身的不可變儲存功能，利用先前在3.0版引進的File Level Retention功能，可鎖住檔案系統中的指定檔案，在保存期限內可防止包括管理者在內的任何刪除動作。</p> <p>換言之，PowerStore OS在區塊與檔案儲存服務，分別提供不同類型的不可變儲存技術——針對區塊服務，提供不可變快照，針對檔案服務，則提供檔案系統本身的防寫鎖定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20PowerStore%20OS%E4%B8%BB%E5%9C%961%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Dell.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>新增區塊層級不可變快照功能</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>PowerStore OS 3.5版新增Secure Snapshot不可變快照，可防止區塊層級快照遭到修改或刪除，可作為對抗勒索軟體威脅的安全複本。</strong></span></p> <p><span style="font-size:28px;"><strong>強化資料保護能力</strong></span></p> <p>透過與PowerProtect DD系列備份儲存伺服器的原生整合，PowerStore OS 3.5能做到彼此無縫結合的資料備份，以及還原應用能力。</p> <p>藉由這項原生整合能力，無須備份伺服器的中介，就能直接將PowerStore的Volume儲存區，以快照的形式備份到實體或雲端上的虛擬PowerProtect DD裝置，Dell宣稱可透過增量備份作業，每天備份150TB資料，並利用PowerProtect DD高達65比1的資料縮減，以高效率的儲存空間耗用方式來存放這些備份複本，用戶能透過PowerStore Manager控制臺，或PowerProtect Data Manager控制臺來管理備份還原作業。</p> <p><span style="font-size:28px;"><strong>擴展部署彈性與韌性</strong></span></p> <p>首先，PowerStore OS 3.5增加了搭配VxRail超融合伺服器的「去融合」架構部署能力，用戶可透過Dynamic AppON功能，讓PowerStore儲存陣列作為純儲存節點，與VxRail的Dynamic純運算節點相互搭配，構成運算與儲存資源分離的部署架構。</p> <p>其次，新增容錯安全切換網路（Fail-Safe Networking，FSN）的保護功能，用戶可以將多個網路埠或鏈路聚合埠（Link aggregations），組成具備失效切換能力的高可用性網路連接，並在鏈路聚合之上，提供額外的網路失效保護能力——網路埠一旦突然失效，在鏈路聚合這層就能提供切換能力，但如果發生交換器故障，則可透過FSN來切換。</p> <p>第3，擴展了檔案服務的延展性，每臺陣列可建立的檔案系統數量增加4倍，可建立的NAS服務、SMB與NFS與共享區數量，也都大幅增加，可支援更大規模的檔案儲存服務。同時，檔案層級的快照數量上限也提高4倍，可建立更多的還原點。</p> <p>還有個值得一提的新功能，就是為區塊服務新增了資源回收桶（Recycle Bin）功能，被刪除的Volume、Volume群組，以及區塊層級的快照與Clone複本，都會先放到資源回收桶中，待設定的保存時間到期後才會實際刪除，當誤刪時仍有機會回收資料。</p> <p><span style="font-size:28px;"><strong>僅適用於T部署模式</strong></span></p> <p>從2023年6月起，Dell宣布PowerStore OS 3.5正式發布，因此，若是7月出貨的PowerStore產品，都已經安裝了3.5版，Dell向我們表示，既有客戶若採用2.0版以後的系統，也都能升級到3.5版。</p> <p>不過，要特別注意的是，3.5版目前只適用於PowerStore T模式機型（儲存作業系統採裸機部署），而不適用於PowerStore X模式機型（儲存作業系統透過ESXi平臺中介部署）。相較之下，稍早問世的3.2版，可同時適用於T模式與X模式機型。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dell">Dell</a></div><div class="field-item odd"><a href="/tags/powerstore">PowerStore</a></div><div class="field-item even"><a href="/tags/powerstore-os-35">PowerStore OS 3.5</a></div></div></div>
2023/8/4 12:00作者張明德https://www.ithome.com.tw/tech/158064
【無人超商模式大比較】X-Store 7號店與Amazon Go的科技關鍵差異
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> 拿了就走這個消費模式，從概念到技術都說不上新穎。最典型的案例是美國Amazon Go，第一家店2016年開始試營運，早了統一超商7年，去年甚至將此科技商品化，作為Just Walk Out解決方案販售給外部零售商。</p> <p>乍看之下，統一超商X-Store 7號店與Amazon Go消費模式幾乎雷同，不過，Amazon作為電商與科技公司，和統一超作為實體零售商，實驗無人店時看重的價值與背後戰略目的不盡相同，細究兩者差別，更會發現統一超商在技術採用及門市營運的決策上，與Amazon有數個關鍵差別。</p> <p><span style="font-size:28px;"><strong>結帳離店流程：先結帳再離店vs.</strong></span><span style="font-size:28px;"><strong>先離店再結帳</strong></span></p> <p>在Amazon Go，只要拿了商品，走出店面，過5到10分鐘就會收到完成結帳的帳單，若有誤，顧客能再行退貨。</p> <p>在統一超無人店，顧客則需於先確認購物清單，若有誤可以當場刪減購物車內容，接著結帳，才能離店。</p> <p>兩家無人店結帳流程的必經步驟相同，主要差別是順序──X-Store依序是確認、結帳、出店，Amazon Go則是出店、結帳、確認。Amazon Go的結帳流程好處是，出口處人員流動通暢，拿完商品真的可以馬上離去，似乎更符合「拿了就走」精神。</p> <p>既然如此，統一超商規定顧客必須在店內完成確認和結帳，有什麼好處？</p> <p>工研院說明，若AI誤判顧客購買商品，造成顧客必須手動更正購物車，該次案例就會作為失敗案例，回傳到後臺用來優化AI準確率。也就是說，顧客確認購物清單或帳單，具有優化AI精度的功能。</p> <p>若系統誤判顧客取放商品，便會影響庫存管理、貨架管理以及顧客數據分析等流程。未被糾正的錯誤不斷積累，造成的偏差幅度便會越大。統一超選擇讓顧客必須過目購物清單才能離店，雖然延遲了數秒出店時間，卻能確保大部分顧客有及時修正系統誤判的機會。也就是說，比起Amazon Go以動線流暢為優先的做法，統一超的結帳流程設計，更著重數據準確性。</p> <p><span style="font-size:28px;"><strong>店面規模：無人小型店面</strong></span><strong style="font-size: 28px;">vs.</strong><span style="font-size:28px;"><strong>有人大型店面</strong></span></p> <p>X-Store 7號店只有小小10坪空間、300件商品品項，就安裝了30多座影像追蹤感應器、15臺IoT智能貨架、1,300以上個重量感測器，以及超過3,000組多重感測器。可以見得，需要相當大量的硬體建設才能支援拿了就走。工研院資通所副組長王恩慈說，若要擴大店面規模，硬體元件大幅增加，各元件間溝通及AI運算資源分配便會是大難題。「因此拿了就走較適合小型店。」王恩慈評論。</p> <p>X-Store小店面採取純無人店模式，需要補貨時，會調度遠端母店人員到店進行。其他時候，店面管理完全依靠現場科技，引導顧客則由AI虛擬店員和遠端客服負責。</p> <p>Amazon Go則是從一開始便挑戰50坪店面、1,600件品項，後來甚至還開了高達300坪大小的門市，投入大量成本和技術力。不只如此，他們還在部分門市配置真人店員，來提供更多面向服務，例如引導或檢查購買菸酒者的年齡。</p> <p>不過，從後續採用Just Walk Out的其他零售商案例來看，大部分使用拿了就走科技的門市，也都選擇不配置現場人員，顯示出包括統一超在內的許多零售業者在採取此技術時，都選擇降低營運複雜度及成本。</p> <p><span style="font-size:28px;"><strong>技術限制對策：少賣商品</strong></span><strong style="font-size: 28px;">vs.</strong><span style="font-size:28px;"><strong>加入輔助設計</strong></span></p> <p>Amazon和統一超面對技術限制的做法也相當不同。拿了就走高度仰賴物件辨識技術來追蹤入場顧客及商品取放情況。此技術受限於鏡頭拍攝角度，且物品形狀差異大的商品也容易出錯，例如生鮮蔬果或肉品。</p> <p>另一個技術限制是重量感測器的感測誤差。工研院資通所副組長王恩慈解釋，工研院採用的重量感測器部分採用類比訊號，若環境溫度變化大，會產生電阻值浮動和電子雜訊干擾，降低感測精度。</p> <p>為了降低物件辨識錯誤率，統一超和Amazon都會限制人流，前者人口密度限制為2坪1人，後者則是約1坪2人。不過在商品品項及貨架環境上，兩家分別採取不同的策略。</p> <p>統一超依然選擇簡化營運情境，只賣非散裝、易辨識的商品，並控制貨架溫度環境。目前X-Store只有開放式冷藏架，沒有帶門冷凍冰櫃等溫度浮動較大的環境。工研院為了應對溫度變化造成的誤差，在重量感測分析後臺設計了誤差容忍區間，若環境造成的誤差小於5公克，都不會被視為異常。也因此，貨架上不能放置單顆糖果等過輕商品。</p> <p>相較於限制商品種類，Amazon選擇在難辨識商品的包裝或排列方法加入識別輔助設計。不僅如此，他們重量感測能力精度非常高，輕至一枝筆、一條巧克力的重量差異都能感測到。因此，物件辨識難以識別的小型商品，可以交由重量感測器來識別。也因為重量感測精度夠高，Amazon Go店內可以見到帶門的冷凍櫃。</p> <p><span style="font-size:26px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#008000;"> 統一超店無人店（X Store 7號店）</span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-600--xstore7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B5%B1%E4%B8%80%E8%B6%85%E5%95%86.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_統一超商</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 運作模式 </span></strong></span> <span style="color:#008000;"><strong>拿了就走模式（店內結帳）</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 結帳流程設計 </span> </strong></span><strong><span style="color:#008000;">先確認結帳內容、再付款、後離店</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 效益與發展 </span></strong></span> <strong><span style="color:#008000;">1. 蒐集顧客完整旅途數據，對會員數據經營有加分效果<br /> 2. 累積無人店經營經驗及店面管理數據，可用於優化實體零售營運</span></strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 首店啟用時間</span><span style="white-space: pre;"><span style="background-color:#696969;"> </span> </span></span><span style="color:#008000;">2023年7月</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 可用店面型態 </span> </strong></span><span style="color:#008000;"><strong>10坪迷你超商</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 銷售品項數 </span></strong></span> <strong><span style="color:#008000;">300種</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 關鍵硬體設備 </span></strong></span> <span style="color:#008000;"><strong>天花板鏡頭、貨架紅外線光柵、貨架鏡頭、貨架重量感測器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 真人店員配置 </span></strong></span> <span style="color:#008000;"><strong>母店支援補貨人力，現場不須店員</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 年齡合規對策 </span></strong></span> <span style="color:#008000;"><strong>不銷售有年齡限制的商品</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 技術限制對策 </span></strong></span> <span style="color:#008000;"><strong>1. 物件辨識能力有限，盡量不賣太小或無標準型狀商品<br /> 2. 重量感測有誤差容忍區，不賣低於5公克的商品以避免誤判<br /> 3. 類比式重量感測器易受溫差影響，店內不用帶門冷凍櫃</strong></span></p> <p><span style="font-size:26px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#FF8C00;"> Amazon Go </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-600-amazon%20go-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／余至浩</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 運作模式 </span></strong></span> <span style="color:#FF8C00;"><strong>拿了就走模式（店外結帳）</strong></span></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 結帳流程設計 </span> </strong><span style="color:#FF8C00;"><strong>先離店、再付款、後確認結帳內容</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 效益與發展 </span></strong></span> <span style="color:#FF8C00;"><strong>1. 將技術商品化販售給外部零售業者使用</strong></span></p> <p><span style="color:#FF8C00;"><strong>2. 於旗下大型量販店、生鮮超市和超商持續實驗更多應用可能</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 首店啟用時間</span><span style="white-space: pre;"><span style="background-color: rgb(105, 105, 105);"> </span> </span></span><span style="color:#FF8C00;">2016年12月試營運，2018年1月正式對外營運</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 可用店面型態</span><span style="white-space: pre;"><span style="background-color: rgb(105, 105, 105);"> </span> </span></span><span style="color:#FF8C00;">從12坪迷你超商到500坪大型超市各式店型</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 銷售品項數 </span></strong></span> <span style="color:#FF8C00;"><strong>超過5,000種</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 關鍵硬體設備 </span></strong></span> <span style="color:#FF8C00;"><strong>高解析天花板鏡頭、高精度貨架重量感測器</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 真人店員配置 </span></strong></span> <span style="color:#FF8C00;"><strong>現場有出入口支援人力，以及補貨與查驗購買菸酒身分的店員</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 年齡合規對策 </span></strong></span> <span style="color:#FF8C00;"><strong>真人店員檢查年齡</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 技術限制對策 </span></strong></span> <span style="color:#FF8C00;"><strong>1. 物件辨識能力有限，於難辨識商品加上辨識輔助</strong></span></p> <p><span style="color:#FF8C00;"><strong>2. 為避免重量感測誤差，採用昂貴的高精度重量感測元件，可偵測小至一枝筆的重量變化，也不怕高溫差環境</strong></span></p> <p><span style="font-size:14px;"><span style="color:#696969;">備註說明：臺灣常見超商面積為40至50坪，品項數約2,000至3,000種。<br /> 資料來源：iThome整理，2023年8月</span></span></p> </div></div></div>
2023/8/4 12:00作者郭又華https://www.ithome.com.tw/news/158070
老技術也能創造新模式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「為什麼要複製7年前Amazon Go的拿了就走模式？」這是不少人，看到統一超在今年7月中最新發表的科技概念店X-Store 7號店之後，心裡的第一個疑問。我看到照片後的第一個念頭也這樣想。</p> <p>真的一樣嗎？我請零售線記者細細比較一番，到底Amazon Go和小七Go（我這樣簡稱X-Store 7號店）有何技術和模式上的差異，還真的發現了不少差異，甚至可說，是兩種在消費流程、發展策略、甚至是技術決策上有根本性差異的兩種「拿了就走」（Grab & Go）模式。</p> <p>Amazon在2016年底發表了第一間拿了就走無人店雛形，吸引了全球目光，背後靠的是的大量攝影機、影像辨識AI技術的整合創新，重新定義出了一種全新的無人店模式，顧客走進店，拿了商品，直接離店，完全不需要傳統零售門市的「真人店員結帳」過程，驚艷全球。</p> <p>直到1年多後，2018年初，Amazon Go正式在西雅圖對外營運，大家才發現，這個「無人店」還是需要不少店員在場，補貨、菸酒商品年齡檢查、入口支援等，不是真正100%無人，只是顧客不需要接觸到店員的「免接觸人購物」模式。雖然，落地時仍需要真人輔助，但是，Amazon Go的拿了就走模式，已經成為一種無人店模式的概念典型。</p> <p>Amazon後來把這家無人店模式背後的技術，發展成一套無人店解決方案Just Walk Out整套輸出（也許還搭配客製化服務），開始出現在旅遊用品快速店，大樓內廣場的貨櫃式快食零售店、球場飲料零食快速店等，大多是可以滿足大量人潮，快速購買零食、飲料、快餐食品的場景。</p> <p>但是，統一超商X-Store7 號店的拿了就走模式，是一家真正100%的無人店。在竹東工研院宿舍大樓一樓的這間10坪大迷你超商，安裝了30多座影像追蹤感應器、15臺IoT智能貨架，超過1,300個重量感測器、超過3,000組多重感測器。如此龐大的幕後技術搭配，才能做到，遠處的母店只需指派一名店員，搭配廠商定期補貨，就可以銷售300種商品，給上千人規模的宿舍大樓住戶。為了引導顧客習慣這間無人店的消費流程，還結合了AI虛擬店員和遠端客服來支援。</p> <p>統一超商沒有像Amazon Go選擇了高精度的攝影機，也沒有搭配精密的數位式重量感測器，而是為了降低後續營運的複雜度和成本，或者可以說，就是為了提高日後整店複製的可能性，採用了比較低成本的攝影機以及精度低但業界運用多年的類比式重量感測器，再搭配銷售策略的調整，例如放棄太小或沒有標準形狀的商品，也不能賣小於5公克容易誤判重量的商品（無法像Amazon Go可以賣原子筆或冷凍商品），更不能賣需要檢查年齡的菸酒。</p> <p>雖然小七Go用的大多是現成的老（成熟）技術，但也實現了連Amazon Go當年（現在的Just Walk Out技術可以）沒做到的，完全無店員在場的新超商模式。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/x-store-7%E8%99%9F%E5%BA%97">X-Store 7號店</a></div><div class="field-item odd"><a href="/tags/%E7%B5%B1%E4%B8%80%E8%B6%85">統一超</a></div><div class="field-item even"><a href="/tags/amazon-go">Amazon Go</a></div><div class="field-item odd"><a href="/tags/%E7%84%A1%E4%BA%BA%E5%BA%97">無人店</a></div><div class="field-item even"><a href="/tags/%E6%8B%BF%E4%BA%86%E5%B0%B1%E8%B5%B0">拿了就走</a></div></div></div>
2023/8/4 12:00作者王宏仁https://www.ithome.com.tw/voice/158084
ChromeOS可能即將不再內建Chrome瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google即將把ChromeOS與Chrome瀏覽器切分開來；<a href="https://www.aboutchromebooks.com/news/chromeos-116-may-begin-the-lacros-browser-push-to-chromebooks/?expand_article=1" target="_blank">本周有媒體報導</a>，Google可能最快從ChromeOS 116起不再整合Chrome瀏覽器，以加快Chromebook瀏覽器的更新。</p> <p>《Aboutchromebooks》報導，Google正在以Lacros專案取代整合式的Chrome瀏覽器。<a href="https://chromium.googlesource.com/chromium/src/+/main/docs/lacros.md" target="_blank">一個Chromium專案網頁說明</a>，Lacros為切分Chrome瀏覽器和Chrome OS視窗管理員及系統UI的架構專案，其名稱來自<strong>L</strong>inux <strong>A</strong>nd <strong>C</strong>h<strong>R</strong>ome <strong>OS</strong>。切開ChromeOS及瀏覽器的目的是，瀏覽器更新可以更快推送到Chromebook電腦，而不需等一整包ChromeOS更新。</p> <p>媒體發現到的最新Lacros文件變更，顯示Google可能將在Chrome OS 116中加入啟動Lacros的選項。報導指出，之前Lacros文件並未說明哪個版本。</p> <p>根據Google說明，Lacros可以被視為「具備更強Wayland通訊協定支援的Linux版Chrome」，它使用Ozone為圖形及事件處理的抽象層。此外，ChromeOS內建名為exosphere的Wayland實作，Lacros則使用exo為圖形及事件處理的Wayland伺服器。專案小組也公布了具備ARC（執行Android app）及Crostini（執行Linux app）容器的Wayland協定擴充程式。</p> <p>不過媒體也發現，一臺使用ChromeOS 116 Beta版的Chromebook並未看到Lacros-support的flag。因此推測Google可能還未決定何時將Lacros部署到Chromebook裝置。</p> </div></div></div>
2023/8/4 12:30作者林妍溱https://www.ithome.com.tw/news/158104
微軟Arm架構運算雲服務成軍，提供與擴增多款VM選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ms_azure_arm_vm-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年6月我們製作<a href="https://www.ithome.com.tw/article/151380">封面故事《Arm走入公有雲世界》</a>，當時提到兩大公有雲業者都已經或即將開始提供Arm架構雲端服務。以AWS為例，從2018年底起，他們基於自行研發設計的Arm架構處理器Graviton，推出執行個體服務，後續已發展到第三代晶片，並推出十多款執行個體服務，而旗下主攻資料庫、資料分析、檔案儲存等特定用途的雲端服務，底層也能搭配這些基於Arm架構而成的執行個體服務，作為運算平臺。</p> <p>另一家雲端業者微軟Azure，採取了不同策略。他們在2022年4月宣布將推出3大系列共6款Arm架構執行個體服務，開放用戶登記預覽測試，採用市售的Arm架構伺服器處理器：Ampere Computing公司的Altra系列，到了9月正式推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-OCP-Sustainability at the Core with Cloud Native Processors-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-OCP-Sustainability%20at%20the%20Core%20with%20Cloud%20Native%20Processors-2.jpg" style="width: 600px;" /></a></p> <p>事實上，這幾年以來，還有多家雲端業者宣布推出Arm架構執行個體服務，也都是採用基於Arm Neoverse N1架構而成的Ampere Altra系列處理器。例如，在2021年5月，OCI發表Ampere A1 Compute，提供虛擬機器與裸機等兩種部署選擇；在2021年10月，騰訊雲推出Cloud Virtual Machine系列標準型SR1(Standard SR1)服務；在2022年4月，阿里雲推出ECS g8m系列；在2022年7月，Google Cloud推出Tau T2A。</p> <p>截至目前為止，除了AWS，微軟Azure是目前提供最多Arm架構執行個體的公有雲。在最初發表之際，他們預告將推出支援一般用途的Dpsv5系列、Dplsv5系列，以及支援記憶體最佳化用途的Epsv5系列，相較於x86架構的虛擬機器服務，在性價比的表現上，領先幅度可達到50％。微軟表示，這批虛擬機器服務適合執行可橫向擴展規模的工作負載，舉凡網站伺服器、應用程式伺服器、開放原始碼資料庫系統、雲端原生系統，以及.NET應用系統、Java應用系統、遊戲伺服器、多媒體伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Cloud Provider-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Cloud%20Provider-overview.jpg" style="width: 600px;" /></a></p> <p>在系統資源的配置上，這三大系列執行個體服務，均採用3.0 GHz的Ampere Altra處理器，每一臺虛擬機器搭配的虛擬處理器，最多可提供64顆（Epsv5系列提供32顆），記憶體最多可提供208 GiB（Dplsv5系列提供128 GiB），以每顆虛擬處理器搭配的記憶體容量而言，Dplsv5系列提供2 GiB，Dpsv5系列提供4 GiB，Epsv5系列提供8 GiB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Azure Arm VMs-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Azure%20Arm%20VMs-1.jpg" style="width: 600px;" /></a></p> <p>而在網路裝置上，這三大系列執行個體服務最多可搭配8張網路介面，網路頻寬最大為40,000 Mbps（Epsv5系列為16,000 Mbps）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Dpsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Dpsv5-series%20spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Epsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Epsv5-series%20spec.png" style="width: 298px;" /></a></p> <p>關於儲存裝置，均可搭配資料硬碟，最多可設置32臺，但細分為搭配遠端儲存與暫存固態硬碟。以Dpsv5系列為例，標示為同名的Dpsv5系列執行個體服務僅限搭配遠端儲存，標示多了「d」稱為Dpdsv5系列的執行個體服務，搭配暫存固態硬碟，最大容量為2,400 GiB（Epdsv5系列最大容量為1,200 GiB）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Dpldsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Dpldsv5-series%20spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Epdsv5-series spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Epdsv5-series%20spec.png" style="width: 298px;" /></a></p> <p>在作業系統的支援上，微軟在這些服務發表之初的預覽版將提供多種平臺，像是Ubuntu、CentOS等兩大Linux系統，以及Windows 11專業版與企業版，後續將涵蓋Red Hat Enterprise Linux、SUSE Linux Enterprise Server、Debian、AlmaLinux，以及Flatcar Container Linux，而以目前來看Azure雲端市集提供的Arm64系統映像，SUSE平臺選擇最多，SUSE Linux Enterprise Server占了6項，再加上openSUSE Leap 15.5，但CentOS、Debian尚未出現。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Marketplace VM images Arm64.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Marketplace%20VM%20images%20Arm64.jpg" style="width: 600px;" /></a></p> <p>而在應用程式平臺的部分，從.NET 5就已原生支援Arm架構執行的Linux系統，近期推出的.NET 6也延續這個基礎而繼續支援。此外，2022年8月釋出預覽版本的.NET Framework 4.8.1，對於Arm架構也提供原生支援，已整合在Windows 11社群內部預覽版，以及Visual Studio 2022 17.3。</p> <p>到了2022年8月釋出預覽版本、11月正式推出的17.4版，微軟也宣布Visual Studio 2022原生支援Arm架構應用程式的執行與組建。</p> <p>而由於許多開發平臺與語言近年來都已陸續提供Arm架構的支援，微軟也在2022年宣布Arm執行個體服務的開放預覽與正式推出的消息當中，趁機宣傳他們<a href="https://www.ithome.com.tw/news/144651">2021年5月推出的OpenJDK版本（Microsoft Build of OpenJDK）</a>，但實質成效與衍生的整合應用狀況並未揭露。</p> <p>在2023年5月，微軟宣布旗下Java工程團隊（JEG）打造的<a href="https://techcommunity.microsoft.com/t5/blogs/blogarticleprintpage/blog-id/AzureCompute/article-id/207#_ftn1">Microsoft Build of OpenJDK，已針對Azure的Arm執行個體服務完成最佳化調校</a>，可善用處理器架構Neoverse N1內建的多種特色，如密碼學演算法、大型系統延伸（LSE），而能改善大型伺服器系統的延展性，並且發揮每顆虛擬處理器就是實體核心的特性，確保JVM應用程式得以擴展執行規模與運用其他最佳化處理機制。同時，他們也說明使用Microsoft Build of OpenJDK 17.0.3+7 LTS、Parallel GC、G1 GC，對這些執行個體服務進行處理器功能測試——Java Microbenchmark Harness（JMH）、SPECJVM2008，以及處理器與系統記憶體的規模擴展測試——SPECjbb2015、HyperAlloc、YCSB/Cassandra。</p> <p>關於這批雲端運算服務效能的展現上，我們在網路上能找到的資訊並不多，今年7月底處理器廠商Ampere Computing公司在部落格發布使用案例文章，終於揭露一些可參考的相關數據，當中提到<a href="https://amperecomputing.com/blogs/amadeus-cloud-migration-on-ampere-altra-Instances">旅遊科技公司Amadeus想要透過效能測試去驗證某些假設</a>，結果呈現採用Arm雲端運算服務的成效，後續開始移植一些元件，以便執行實際的應用系統，該公司已完成平臺的整合測試與驗證，預計將在多個Azure區域建置正式使用環境。</p> <p>他們使用32個虛擬處理器的Standard_D32ps_v5執行個體服務，相較於同等級的英特爾處理器執行個體服務，原始吞吐量可具有20％的增長幅度，性價比則提升了50％，比起同等級的AMD處理器執行個體服務，原始吞吐量與性價比分別領先13％與27％。</p> <p>而在另一個實際的購物應用程式效能測試當中，他們看到這些Arm虛擬機器對照英特爾處理器執行個體服務，性價比改善47％，平均反應時間縮短11％，對照AMD處理器執行個體服務，性價比改善37％，平均反應時間縮短9％。</p> <p>除了鎖定一般用途的上述3大系列共6款D系列執行個體服務，在今年7月，微軟宣布即將推出新一代經濟蓄發型 (Economical burstable) 執行個體服務（亦即Bs系列VM產品線），開放用戶預覽測試，裡面也將涵蓋Arm架構的運算服務，他們將分別針對Intel Xeon Platinum 8370C、AMD EPYC 7763，以及Ampere Altra等三種處理器，分別推出Bsv2系列、Basv2系列、Bpsv2系列。相較於現行的B系列，新登場的Bs v2系列的性價比將提升15％，並且提供5倍網路頻寬與10倍遠端儲存吞吐量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Azrue%20Bs%20v2-rishabv90_1-1688969921528.jpg" style="width: 600px;" /></p> <p>對此，Arm首席解決方案工程師Pranay Bakre也特別在他們公司的部落格發文，說明推出這項運算服務的意義。他提到，Bpsv2系列提供基礎的處理器效能，並在工作負載大幅增加時，可擴展（暴增）至更高的效能，適合平時不需要持續使用完整效能的應用，像是系統開發與測試、流量低的網站伺服器、小型資料庫、微服務、概念驗證、系統組建、儲存程式碼；而在文章後半段，他也展示將這系列服務用於以GitHub Actions進行程式碼CI/CD流程的方式，可在應用程式組建與測試過程中，因應資源需求規模的變化，而能管理效能需求的激增。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Bpsv2-series%20spec.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p>微軟Azure Arm-based VMs<br /> ●原廠：微軟<br /> ●建議售價：東亞區域，Dpsv5的D2ps v5（2顆虛擬處理器、8 GiB記憶體）隨用隨付方案每月77.38美元<br /> ●執行個體服務選擇：Dpsv5系列與Dpdsv5系列、Dplsv5系列與Dpldsv5系列、Epsv5系列與Epdsv5系列、Bpsv2系列<br /> ●搭配的處理器平臺：Ampere Altra系列3.0 GHz<br /> ●運算資源最大配置：<br /> Dpsv5系列與Dpdsv5系列提供64顆vCPU、128 GiB記憶體<br /> Dplsv5系列與Dpldsv5系列提供64顆vCPU、208 GiB記憶體<br /> Epsv5系列與Epdsv5系列提供32顆vCPU、208 GiB記憶體<br /> Bpsv2系列提供16顆vCPU、64 GiB記憶體</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/4 11:33作者李宗翰https://www.ithome.com.tw/review/157971
Amazon EC2最新通用執行個體M7i上線，還有低價版M7i-Flex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布最新通用執行個體，現在的用戶已經可以用到搭載客製第四代Intel Xeon Scalable處理器（代號為Sapphire Rapids）的執行個體<a href="https://aws.amazon.com/tw/blogs/aws/new-seventh-generation-general-purpose-amazon-ec2-instances-m7i-flex-and-m7i/">M7i</a>，官方提到，其性價比較前一代M6i執行個體還高出15％。這次推出的執行個體除了M7i之外，還有其低價版M7i-Flex，價格更是降低了5％。</p> <p>M7i總共有9種尺寸，之後還會有2種裸機尺寸。M7i適用於大型應用程式、遊戲伺服器，還有基於CPU的機器學習，以及高CPU負載的影片串流等任務，用戶最多可以附加128個EBS磁碟區到每個M7i執行個體，相較之下，前一代M6i執行個體少上許多，僅能附加28個EBS磁碟區。</p> <p>M7i的低價版M7i-Flex執行個體則提供5種常見的大小，M7i-Flex執行個體的特色是價格較便宜，但提供40％的CPU效能基準，只保證在95％的使用時間可達到最大效能。適合用於未充分使用CPU效能的應用程式，像是網頁和應用程式伺服器、虛擬桌面、批次處理或是微服務等工作負載。</p> <p>要將應用程式從一般執行個體，搬遷使用M7i-Flex執行個體也很容易，用戶不需要修改應用程式或是工作負載，就能夠直接應用這類具彈性的新執行個體降低營運成本。</p> <p>第四代Intel Xeon Scalable處理器內建四種加速器，每種加速器都可對特定工作負載，提供硬體加速，包括可改進深度學習和推論，並支援自然語言處理和圖像辨識等工作的AMX（Advanced Matrix Extensions），而DSA（Intel Data Streaming Accelerator）則可加速資料移動和轉換操作，IAA（Intel In-Memory Analytics Accelerator）能提高資料庫和分析工作負載的效率，最後QAT（Intel QuickAssist Technology）則可減輕加密、解密和壓縮的處理器負擔。</p> <p>M7i和M7i-Flex執行個體皆支援AMX，不過QAT、IAA和DSA三個加速器，則需要在m7i.metal-24xl和m7i.metal-48xl裸機執行個體才可使用。目前M7i和M7i-Flex已經在美東、美西和歐洲愛爾蘭地區推出，其他地區則會在2023年下半年陸續上線。</p> </div></div></div>
2023/8/4 07:30作者李建興https://www.ithome.com.tw/news/158088
俄羅斯駭客利用Microsoft Teams展開網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/08/02/midnight-blizzard-conducts-targeted-social-engineering-over-microsoft-teams/" target="_blank">微軟本周揭露</a>了俄羅斯駭客組織Midnight Blizzard最新的網釣手法，駭客先是滲透了多個Microsoft 365小型企業租戶，利用這些租戶的權限建立新的且合法的子網域，再透過Microsoft Teams傳訊給目標組織的對象，以騙取權杖。自今年5月以來，已有超過30個組織受到影響。</p> <p>在駭客滲透了Microsoft 365租戶之後，便以它們的名義建立新的onmicrosoft.com子網域，這些子網域多半是以安全或是產品名稱為主題，再新增使用者以傳送Microsoft Teams訊息。</p> <p>其中一個例子是假冒為微軟身分認證保護服務，當目標對象接受了透過Microsoft Teams聊天的要求之後，駭客就會以各種方式誘導使用者開啟Microsoft Authenticator程式，並輸入一個號碼以產生一次性密碼，並將它提供給駭客，駭客就能存取該名使用者的Microsoft 365帳號，進而嘗試新增裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0803-Midnight-Blizzard-request-Microsoft-Teams.png" style="width: 600px;" /></p> <p>Midnight Blizzard主要的攻擊對象為政府組織、外交單位、非政府組織，以及IT服務供應商，目的為間諜行動。</p> <p>資安社群自2018年初就開始追蹤Midnight Blizzard，為了滲透目標對象，Midnight Blizzard採用了各種手法，涵蓋竊取憑證、供應鏈攻擊、先滲透本地端環境再延伸至雲端、利用對服務供應商的信任來接觸下游客戶，以及使用Active Directory Federation Service（AD FS）惡意程式等。</p> <p>微軟則建議客戶應部署反網釣機制，限制與外部網域的通訊，僅開放已知裝置，以及教育使用者關於社交工程的風險，也應教育Microsoft Teams使用者如何辨識來自外部的標記。</p> </div></div></div>
2023/8/3 15:23作者陳曉莉https://www.ithome.com.tw/news/158086
皮克斯、蘋果、Adobe與Nvidia成立OpenUSD聯盟以推動3D內容的開放標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>皮克斯動畫工作室（Pixar Animation Studios）、Adobe、蘋果、Autodesk、Nvidia，以及Linux基金會旗下的聯合開發基金會（Joint Development Foundation，JDF）<a href="https://www.apple.com/newsroom/2023/08/pixar-adobe-apple-autodesk-and-nvidia-form-alliance-for-openusd/" target="_blank">周二（8/1）宣布成立OpenUSD聯盟（Alliance for OpenUSD，AOUSD）</a>，以推動通用場景描述（Universal Scene Description）的標準化與未來發展。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-Alliance-for-OpenUSD-AOUSD-logo.jpg" style="width: 600px;" /></p> <p>通用場景描述是皮克斯在2016年所發表的開源3D圖像資料交換框架，著重於協作、非破壞性編輯，支援工具、資料與流程之間的互通，已被應用在視覺效果、建築、設計、機器人及電腦輔助設計（CAD）等領域。</p> <p>此一聯盟則打算進一步強化OpenUSD的能力，以建立3D生態體系的標準化，讓開發者與內容創作者得以描述、編寫及模擬大型的3D專案，以建置應用範圍愈來愈廣泛的3D產品及服務。</p> <p>因此，OpenUSD聯盟的下一步將是發展OpenUSD詳細功能的規格書，促進業界對此一架構的採用，亦允許其它標準組織將它納入規範。此一專案將由JDF代管，以替成為ISO標準舖路。</p> <p>該聯盟的創始成員指出，OpenUSD已經擴展到電影、視覺效果及動畫之外的應用，可望成為藝術家在不同裝置上呈現作品的解決方案，也可協助實現新一代的AR體驗，成為跨產業數位化與3D世界的標準。</p> <p>OpenUSD除了將設立論壇以供產業討論功能與技術上的定義之外，亦歡迎其它業者及組織加入以共襄盛舉。</p> </div></div></div>
2023/8/3 15:32作者陳曉莉https://www.ithome.com.tw/news/158087
MedTech醫療科技雙周報第24期：美前段班醫院AdventHealth揭醫療AI心得：做好MLOps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0716～0731）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AdventHealth </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLOps </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美前段班醫院AdventHealth成立AI諮詢委員會，重要心得是做好MLOps</strong></span></p> <p>AdventHealth是美國第15大的體系醫院，旗下有52家醫院、橫跨9州。他們今年成立AI諮詢委員會，要根據安全、倫理、可擴展性和病患福祉等原則來審查AI工具能否落地，委員會成員有醫師、IT、資料科學家和廠商代表，如微軟、Premier和Vizient等。</p> <p>根據HIMSS旗下媒體Healthcare IT報導，AdventHealth的AI諮詢委員會負責人Rob Purinton指出，委員會審查AI工具的方法採漏斗式思考，先從一個問題陳述開始，再納入AI和非AI解法，最後縮小到1項他們最想採用的工具。其中，他們會考慮原則性問題，比如該工具是否符合醫院願景、在現有技術框架內是否可行，又或是否夠安全、透明、可擴展且可持續評估，且對臨床醫師預期的工作流程，有哪些好處等。</p> <p>他也表示，隨著美國對醫療AI工具的標準和規格要求越來越詳細，委員會預期，未來對AI工具和廠商的審查流程將更簡單。不過，提到建立內部AI工具最重要的一課，Rob Purinton直言機器學習開發維運（MLOps）很重要，因為做好MLOps，就可避免資料品質出問題和模型漂移等問題，進而確保AI模型日常運作的正常。為做好MLOps，AdventHealth資料工程師和資料科學家正與微軟、Snowflake等廠商合作，來學習、改進內部AI措施。<a href="https://www.googlecloudpresscorner.com/2022-01-12-U-S-Department-of-Veterans-Affairs-Partners-with-Google-Cloud-to-Improve-Veteran-Access-to-Benefits-and-Services">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麻省總醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料互通 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美頂尖醫學中心如何推動數位轉型？麻省總醫院內科主任揭第一手經驗</strong></span></p> <p>美國頂尖醫學體系麻省總醫院暨布萊根婦女醫院（Mass General Brigham，簡稱MGB）內科主任David W. Bates日前來臺分享數位轉型經驗和進展。一直以來，MGB自建系統來支援日常工作，但隨著數位醫療興起，他們計畫推動數位轉型，首先盤點院內系統、發現系統老舊且資料互通性不足。於是，他們展開評估，若要自建系統、轉換成本太高，於是決定採用現成商用系統，在2016年導入美國市佔率最高的Epic系統至旗下所有醫院和診所。</p> <p>這麼做雖解決資料互通性問題，但David W. Bates坦言，MGB也有些問題要克服，比如系統難以精煉、臨床決策輔助功能不如舊系統好，需額外採購系統來補強等。不過，商用系統也為MGB日後AI發展打下基礎，能收集大量、標準化的臨床資料，讓團隊建置許多資料庫來供醫護和研究人員即時存取。此外，MGB也利用醫學影像數位化的基礎，打造許多醫學影像AI，不過，David W. Bates也點出目前MGB面臨的挑戰，像是即時AI預測所需的資料串聯、如何運用工具來確保AI產出的洞察，能給正確的醫護人員審閱。</p> <p>David W. Bates總結，醫院推動數位轉型時，必須投資基礎建設、確保資料互通性，並持續嘗試新技術和創新應用。他也建議，醫院若要找出高成本患者族群、降低醫院成本，可從心理健康狀態、社經地位、婚姻狀態和生活狀態等因子下手。MGB就因此找出這群高成本患者，他們占整體患者人數的5%，但卻耗費醫院50%的支出，MGB也根據這群患者調整措施，來提高成本效益。<a href="https://www.ithome.com.tw/news/158054">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/ying_mu_xie_qu_hua_mian_2023-08-01_123310.png?itok=817txGcU" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">新加坡 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療影像 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>新加坡國家醫療IT公司更名Synapxe，還打造國家級醫療AI開發平臺</strong></span></p> <p>由新加坡衛生部在2008年成立的國家醫療IT公司IHiS，最近在成立15周年之際更名為Synapxe，同時揭露更多醫療AI應用，要給新加坡國內40多家公立醫療機構使用。自IHiS成立以來，就肩負設計、開發醫療IT解決方案的責任，來支援新加坡46家公立醫療機構、7萬多名職員工作，IHiS同時還管理了600個醫療IT系統、8萬多個終端設備。</p> <p>Synapxe執行長Ngiam Siew Ying指出，他們要用生成式AI和雲端技術，來推動更多解決方案和計畫，其一就是今年7月剛與衛生部展開的Healthier SG計畫，他們用開放式架構和國家醫療資訊網格，來實現跨體系的資料互通和交換，以支援完善的照護。目前，Synapxe也打造了新加坡首個慢性病輔助解釋AI（ACE-AI），該AI採用深度學習演算法，來計算民眾罹患慢性病的早期風險，有助於預防醫學，並計畫在今年底展開全國測試。此外，[Synapxe也建置了新加坡首個醫療影像AI開發平臺AIM.SG，可接受各種類型和來源的醫學影像，來加速AI模型的開發、測試和部署。另一個Synapxe打造的AI系統是藥物遵從性影片分析器（AV-MED），該系統是Synapxe與新加坡綜合診所集團共同開發的原型，透過AI分析影片畫面，來提高患者的服藥性。<a href="https://www.synapxe.sg/mediadata/media-releases/singapore-healthtech-agency-synapxe/">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CareCloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>美醫資大廠CareCloud也採用公雲生成式AI服務了</strong></span></strong></p> <p>美國醫資廠商CareCloud最近宣布採用Google Cloud生成式AI服務，要來打造醫療系統服務，提供給美國中小型醫院和診所使用。進一步來說，CareCloud本來就採用Google Cloud來協助日常營運，這次要用生成式AI和企業搜尋功能來驅動自家產品，也就是採用Google的全託管機器學習平臺Vertex AI 和生成式AI應用程式建置工具（Generative AI App Builder）的搜尋功能，來打造臨床應用，讓醫師能即時存取資料。</p> <p>CareCloud說明，他們接下來要推出的解決方案，能在兼顧隱私法規的前提下，同時分析大量患者數據、提出問題，來根據回答得到洞察和基於事實的照護建議。CareCloud舉例，該解決方案適合用於患者進入醫院或診所時，先用生成式AI摘要患者相關訊息，並協助醫師制定照護計畫，包括藥物、實驗室檢驗檢查項目，以及根據患者病史和當下症狀來建議治療程序。而且，該解決方案還能根據建議的診斷、患者保險和其他訊息，來向診所和患者說明保險給付項目與待付金額。<a href="https://ir.carecloud.com/news-events/press-releases/detail/590/carecloud-and-google-cloud-collaborate-to-bring-the">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">中國附醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 病歷紀錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>口述10秒就完成病歷記錄，中國附醫推醫療生成式AI系統</strong></span></p> <p>中國附醫採用微軟生成式AI服務，開發出智海系統（gHi system），是首套以華文建立的生成式語音智慧醫療系統，能根據醫護口述，快速轉換為文字，來完成病歷的撰寫，減少醫護人員輸入病歷75％的時間，讓醫護人員更專注於患者照護。</p> <p>進一步來說，傳統手寫或鍵盤輸入病歷資訊，不只耗時，還容易出錯。為克服語音轉文字的準確度，中國附醫AI中心找來微軟，利用微軟Azure平臺上語音轉文字服務，辨識口述內容，再用同平臺提供的GPT-4模型，來摘要、分析，提取關鍵資訊，10秒就能自動生成專業醫療術語和建議。中國附醫指出，該應用可用於新病人面談問診、護理語音記錄、住院病歷撰寫、專業檢查報告輸出，甚至還能客製化生成等，大幅縮短撰寫醫療報告的時間。<a href="https://news.microsoft.com/zh-tw/generativeai-medical/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2023/07/MicrosoftTeams-image-6-1536x1153.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高雄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>高雄聯合學習智慧醫療聯盟揭亮點成果</strong></span></strong></p> <p>由臺灣人工智慧實驗室（Taiwan AI Labs）推動成立的高雄聯合學習智慧醫療聯盟日前展示研究成果，包括高醫附醫副院長黃尚志團隊用AI分析糖尿病人眼底攝影影像與生理數據，來預測腎病變的發生和惡化風險，同時也利用聯合學習平臺收集近萬筆圖像，來訓練模型、統計分析其中關係，來進行連動性預測發病風險，以便醫護及早介入治療。（如下圖）</p> <p><img src="https://lh3.googleusercontent.com/BoYcGi8v4nF2Sv1IAKMidXV2XBEMpZa9rwAca9Z1SoI0D6jCqZCTdUF7GkCsnIwhBcCVf2q_dKKn6mqXYdT0Po1gXpbt7plKDzYAqW2tjDP2m1BjkMVdHPqzBEJAxWRJJZ511dBdLXuC" style="color: rgb(0, 0, 0); font-family: "Microsoft JhengHei"; font-size: 16px; white-space-collapse: preserve; margin-left: 0px; margin-top: 0px;" /></p> <p>高雄長庚也是聯盟一員，他們是全臺蒐集腦部中風電腦斷層影像最多的醫學中心，該院放射診斷科副教授林偉哲就透過跨院資料，再用聯合學習平臺打造腦缺血性中風診療預後AI輔助系統，來快速找出需要緊急處置的病人，縮短治療等待時間（如下圖）。</p> <p><img src="https://lh5.googleusercontent.com/TTP1_4ytr8IP9n1BehvxPpi9Qc90FCPamClQ8tlqfhRTulFQ1YMpiCZClD0rq_6Zve9CAWyRo7ypY9T_asrtf5J603wdg_x2pzy4ouVQti2xfwWfYzDqQPrJNSK4jKLoeIq5H0MEwLyZ" style="background-color: transparent; color: rgb(0, 0, 0); font-family: "Microsoft JhengHei"; font-size: 12pt; white-space-collapse: preserve; margin-left: 0px; margin-top: 0px;" /></p> <p>此外，聯盟成員之一的高雄榮總也有相關應用，運用聯合學習平臺來訓練「院前心跳停止早期警示預測AI模型」，來讓急診和重症團隊及早介入治療。（如下圖）</p> <p><span id="docs-internal-guid-5aa289f7-7fff-fbcb-c9a2-3a15e9c1ad64"><span style="font-size: 12pt; font-family: "Microsoft JhengHei"; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:650px;height:233px;"><img height="237.07051050662994" src="https://lh6.googleusercontent.com/Rksra3__D0gs7GeaxXMHs35c5RTt7UBkxUJXiqqPs5SphExbw_N9K-FJXMb3qhHN73by41Xx2NJWugc_m2hXJ_honUoF6SytNOdk4PlSh6WArDoDg439u8pXvdsKoBjVhBgUSPLv06Cj" style="margin-left:0px;margin-top:-4.070500524714589px;" width="650" /></span></span></span></p> <p>另一個聯盟成員義大醫院則展開骨質密度預測系統計畫，預計要輸出一萬組資料來訓練、驗證骨密度預測模型，要藉此篩選出骨質疏鬆症高風險個案，提供治療來降低脆弱性骨折的發生。此外，義大醫院也要用聯合學習方法打造All-in-One藥物智慧辨識系統，預計要會辨識6千項藥物品項，來輔助臨床醫師和照護團隊準確判斷病人用藥現狀。（如下圖）<a href="https://docs.google.com/document/d/1DtWihfKCkw3PXA3WPzLRlwX3A5H5Ocf-/edit?usp=sharing&ouid=111412338141324079990&rtpof=true&sd=true">（詳全文）</a></p> <p><span id="docs-internal-guid-f428fa85-7fff-d7d7-efbd-9e6a4f69956a"><span style="font-size: 10pt; font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:650px;height:303px;"><img height="310.58449244499207" src="https://lh4.googleusercontent.com/jNYNSrAAX18GbUixecyc4SXrZ5mqr7zmaNwb3pr2IN2bJGEn8VqIGYadj4IgjLJhaOaKVWXnh5xFFAnapAXI2q6WZVZVtu7Vnpn68BErDdSzo0XKXERuufoI63otdX3W7Tjq-HL6dAGh" style="margin-left:0px;margin-top:0px;" width="650" /></span></span></span></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>AWS推出新服務，用生成式AI加速開發醫療應用程式</strong></span></strong></p> <p>7月底，AWS推出醫療專用生成式AI開發服務預覽版Amazon HealthScribe，符合美國醫療安全法規HIPAA，能加速醫療軟體供應商用來打造臨床應用程式。比如，開發者可使用文字識別和生成式AI技術來生成臨床文件，節省醫生時間。此外，醫療軟體供應商可用單一個API，來自動建立臨床記錄、提取文件關鍵訊息（如醫學術語和藥物），並根據醫病對話建立摘要，然後將這些資料輸入到電子健康紀錄（EHR）系統。Amazon HealthScribe由Amazon Bedrock提供支援，讓醫療軟體供應商能更快、更輕鬆將生成式AI功能整合到其應用程式中。在普通醫學和骨科這兩個常見專科，也有醫療軟體供應商開始使用Amazon HealthScribe了，不必自建LLM等基礎設施。<a href="https://aws.amazon.com/about-aws/whats-new/2023/07/aws-healthscribe-preview/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自動化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距監測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>IDC：醫院未來2年將加碼第三方技術投資，著重RPM計畫</strong></span></strong></p> <p>市調機構IDC和Redox聯手發布一項調查報告《買方心態：臨床主管和IT主管的醫療技術觀點》，該調查訪問全美205位中大型醫院的臨床主管和IT主管，88%受訪者表示，將在2023、2024年增加第三方技術投資，一大原因是要推動數位轉型。進一步來說，調查顯示，超過半數受訪者將數位轉型視為醫院最重要的目標，而部署新IT解決方案的首要目的是更自動化（47%）、降低成本（35%），再來是提高照護品質和病人安全（31%）、將資料作為醫院戰略資產（30%）。</p> <p>第三方技術投資大宗為自動化工具和遠距照護工具，因為，近7成受訪者認為遠距醫療和其他虛擬照護解決方案，是解決醫護人力短缺的關鍵，另也有6成以上受訪者認為，RPM（遠距病人監測）計畫至關重要，而4成多受訪者認為，自動預約排程工具比過去更有價值。報告指出，43%受訪者已制定RPM計畫或正進行額外投資來推動RPM，另也有55%受訪者指出，他們使用RPM平臺來管理慢性病患，或用來即時警示、進行臨床處置，還有45%受訪者點出，他們打算用RPM來輔助高風險患者儘早出院。甚至，將近8成受訪者表示，在今年結束前，他們將實現5到20個RPM計畫，有些醫院還打算擴大範圍，要涵蓋行為治療。<a href="https://www.redoxengine.com/blog/88-of-u-s-providers-plan-to-increase-third-party-technology-spending/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-08-03%20at%201_15_06%20AM.png" /></p> <p>圖片來源／國科會、臺灣人工智慧實驗室、微軟、IDC</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 美國國家醫療IT協調辦公室ONC要求醫院使用社會決定因素（SDOH）資料</strong></strong></p> <p><strong><strong>2. Accenture著手打造紐西蘭國家級一站式健康資料平臺</strong></strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/8/2 18:53作者王若樸https://www.ithome.com.tw/news/158078
肯亞出手封鎖虹膜掃描加密貨幣Worldcoin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/InteriorMinistryKenya/posts/pfbid02ZR8xxiwtFfDctHLYeD17zPJq6BWJChbSMcNJq3XsLpsjxwwEKNY6yWAuXF9mZ23Kl" target="_blank">肯亞內政部周三（8/2）宣布</a>，由於擔心Worldcoin可能造成的安全及隱私問題，將立即中止Worldcoin於該國境內的所有活動。</p> <p>Worldcoin是由OpenAI執行長Sam Altman共同創辦的加密貨幣公司，企圖藉由掃描地球上每一個人的虹膜來建立普及的加密貨幣生態體系，成功掃描的使用者可獲得一組World ID，還能換得免費的Worldcoin代幣（WLD）。目前Worldcoin已於全球18個國家部署虹膜掃描機器Orb，<a href="https://worldcoin.org/blog/announcements/worldcoin-begins-rollout-orbs-meet-global-demand-world-id" target="_blank">根據該公司今年7月下旬的統計</a>，全球已有超過200萬人取得World ID。</p> <p>至於肯亞則是Worldcoin的主要市場之一，在Altman於去年底甫發表Worldcoin之際，當地就有超過25萬人掃描了自己的虹膜，取得World ID，而且提供虹膜掃描機器Orb的據點還經常大排長龍。</p> <p>肯亞內政部表示，該國的安全、金融服務及資料保護機構都開始調查相關活動的合法性，它們擔心Worldcoin取得及使用民眾資料的方式，對於涉及大量該國公民的活動，應該要先能夠保證金融交易的完整性與公共安全。</p> <p>因此，肯亞政府決定出手阻止Worldcoin於該國境內的任何活動，直至相關機構完成調查，證明Worldcoin不會對大眾帶來任何風險為止。</p> <p>Worldcoin現有的市場除了肯亞、智利、印度、巴西及阿根廷之外，也包括日本、新加坡、英國、德國及法國等，<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2023/07/ico-statement-on-worldcoin/" target="_blank">而英國資料保護組織ICO已警告境內民眾</a>，提供生物辨識資料予業者是個高風險活動，將會對Worldcoin展開調查，而法國與德國的資料保護組織也已攜手共同調查Worldcoin。</p> </div></div></div>
2023/8/3 15:04作者陳曉莉https://www.ithome.com.tw/news/158085
Apple Silicon的Mac也可執行Fedora！8月底第一個正式版即將到來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asahilinux.org/2023/08/fedora-asahi-remix/">Asahi Linux專案在8月底時，將會正式發布Fedora Asahi Remix</a>，而這將會是一個支援Apple Silicon的Linux，讓用戶也可以在Mac上順暢運作Linux。</p> <p>Asahi Linux在去年3月的時候釋出第一個公開Alpha版本，但由於是一個很早期的版本，因此功能也不齊全，僅有Wi-Fi、Ethernet、鍵盤和顯示器等基本硬體功能，諸如圖形加速、TouchBar、藍牙和神經網路引擎等皆不支援。</p> <p>在Apple Silicon的Mac上執行Linux，連Linux之父Linus Torvalds都有興趣的事，實際執行卻相當困難，Asahi Linux官方提到，要在Apple Silicon這樣相對新的硬體上，提供完整的Linux支援並不容易，需要大量的逆向工程和開發工作，整體工作量非常大。</p> <p>Asahi Linux專案一開始將開發能量集中在Bootloader和核心，這些可在各Linux發行版本共用的工作。不過，就算核心已經達到基本可用的程度，但是要跟Linux發行版結合，仍然有許多細緻的整合工作需要進行，而且也需要在使用者空間專案合作，添加需要的功能。官方希望Asahi Linux能夠與市面上所有Linux發行版整合，讓用戶可以在Mac上任意選擇使用不同的Linux，由於這個宏大的目標，因此Asahi Linux需要先自行開發一個整合原型，呈現Linux發行版整合Asahi Linux應該呈現的樣子。</p> <p>最初Asahi Linux利用Arch Linux ARM，加入自己的套件打包成Asahi Linux Arch Linux ARM remix，雖然這個方法可行，但因為缺乏與上游的合作，Asahi Linux始終無法透過官方平臺提供更廣泛的支援。而Fedora專案這時候向Asahi Linux伸手，於是雙方一拍即合密切合作，Asahi Linux將Apple Silicon完全整合到Fedora，這包括了所有的自定義套件、核心等。</p> <p>直接與上游合作，使得Asahi Linux能夠與核心發行版更緊密的整合，也能迅速修復各種軟體套件的問題。由雙方合作的Fedora Asahi是一個上游優先專案，因此所有Asahi Linux特殊工具，像是m1n1低階Bootloader以及Asahi腳本工具，都存在上游的Fedora儲存庫中，可以直接供所有Fedora用戶使用，而Fedora Asahi硬體支援套件，存放在由Fedora Asahi工作組維護的個人套件建置系統COPR中，直接由Fedora基礎設施建置和供應。</p> <p>雖然Asahi Linux許多工作已經整合到Fedora上游，但是官方暫時決定以Remix版本發行，提供更好的硬體整合彈性，不過官方預告，最終Apple Silicon支援還是會整合到Fedora Workstation和Fedora Server中。Fedora Asahi Remix的第一個正式版，將會在8月底的時候釋出，目前開發者已經可以先下載開發版本試用。</p> </div></div></div>
2023/8/3 13:04作者李建興https://www.ithome.com.tw/news/158082
Kickstarter要求新創專案揭露AI使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著愈來愈多新創團隊以AI來強化專案，<a href="https://updates.kickstarter.com/introducing-our-new-ai-policy/" target="_blank">產品募資平臺Kickstarter本周宣布新規定</a>，從8月底開始將要求使用AI的專案必須清楚揭露使用方式，並確實取得創作者的創作使用許可。</p> <p>Kickstarter表示，有些專案利用AI改得更好，但另一些人的創作則被用以訓練這些AI模型，這些創作者應該獲得彰顯、尊重。經過和創作者、投資人、平臺同業的意見交換後，Kickstarter形成了AI使用的揭露政策，將在8月29日上路。Kickstarter強調，新政策不是要禁止專案團隊使用AI，而是希望平臺上募資的專案仍然應包含人類原創性，且專案團隊應清楚說明專案中如何使用AI；若專案參考了任何其他人的藝術作品，應適當表彰（give credit）且取得其同意。</p> <p>從8月29日起，如果專案涉及AI，會在專案提交過程中被要求詳細說明。新政策影響包括二類專案：以AI工具產生圖片、文字或任何內容的專案，以及開發AI技術、工具或軟體的專案。</p> <p>根據新政策，第一類，以AI工具產生圖片、文字或任何輸出的專案應在產品頁揭露資訊，包括他們計畫專案中如何使用AI內容，以及專案中哪些部份是人類創作，哪些是用到AI輸出的內容。</p> <p>第二類，開發AI技術、工具或軟體的專案團隊應說明他們使用了、或計畫使用的所有資料庫及資料來源，也應說明這些資料來源的使用許可政策。若這些來源沒有管理許可的政策，或獲得自我保護的機制，像是opt-in或opt-out，則Kickstarter不會同意募資專案的提交。</p> <p>若是專案提交過程中未依規定揭露AI使用，之後該專案可能會遭到停權。有規避或不實說明者，可能導致未來禁止在Kickstarter提交的後果。</p> <p>新政策將在8月29日生效實施，但對在此日期前已提交的專案則不溯及既往。新政策上路後也會公布在其<a href="https://www.kickstarter.com/rules" target="_blank">規定頁</a>及<a href="https://help.kickstarter.com/hc/en-us/categories/115000492154-Creator-questions" target="_blank">Help Center</a>頁。</p> </div></div></div>
2023/8/3 11:32作者林妍溱https://www.ithome.com.tw/news/158080
Meta開源文字轉音效、配樂的AI框架AudioCraft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/audiocraft-musicgen-audiogen-encodec-generative-ai-audio/" target="_blank">Meta周三宣布</a>開源可以輸入文字生成音樂的AI框架AudioCraft，讓不會譜曲或不懂音樂的遊戲或VR開發人員，也能製作精彩的音效或配樂。</p> <p>AudioCraft是一個開發框架。經訓練後，就能根據使用者輸入的文字，產生高品質及逼真的聲音或音樂。AudioCraft包含三個模型，<a href="https://huggingface.co/spaces/facebook/MusicGen" target="_blank">MusicGen</a>、<a href="https://felixkreuk.github.io/audiogen/" target="_blank">AudioGen</a>和EnCodec。其中MusicGen以Meta自有及專屬授權音樂訓練而成，可以文字生成音樂，AudioGen是以公開聲音資料集訓練，能生成音效。MusicGen和AudioGen是Meta去年分別於<a href="https://www.ithome.com.tw/news/157281" target="_blank">6月</a>及<a href="https://the-decoder.com/audiogen-meta-ai-generates-audio-from-text/" target="_blank">10月</a>發表的模型。</p> <p><a href="https://www.ithome.com.tw/news/153985" target="_blank">Encodec則是去年11月發表的聲音壓縮技術</a>，號稱壓縮效果是MP3的10倍。AudioCraft包含的Encodec解碼技術為新版本，較前版減少壓縮失真率。</p> <p>經過預訓練的AudioGen模型可產生環境音效及聲音，如狗吠、汽車喇叭、木階梯上樓聲等。Meta指出，開源AudioGen旨在提供研究並促進產業界的了解，允許開發商以自有資料集訓練自己的模型。</p> <p>Meta也說明AudioGen和傳統生成音樂的AI模型不同。傳統訓練音樂生成AI模型，是透過音樂的象徵表現方式，如MIDI或鋼琴打孔紙卷。但是此類方法無法完全掌握音樂表現的細微差異及風格元素。進階一點的是用自我監督式音頻表示法學習（audio representation learning）及多種階層式（cascaded model）模型來產生音樂，將原始音樂輸入複雜系統以抓取訊號較長範圍的結構，以利生成高品質聲音，但效果仍然有待改進。</p> <p>Meta表示，AudioCraft家族模型則簡化音訊生成模型的整體設計，讓用戶以自然語言輸入，不需寫程式，而生成高品質且品質穩定的聲音，涵括音效及配樂，不但生成音訊容易、快速、也能重覆使用，還具有壓縮音訊演算法，適合不同需求的用戶。</p> <p>Meta的競爭對手也推出了音訊生成AI模型。<a href="https://www.ithome.com.tw/news/137371" target="_blank">OpenAI 2020年發表音樂生成的機器學習框架Jukebox</a>，而<a href="https://www.ithome.com.tw/news/156832" target="_blank">Google今年5月也公布了MusicLM</a>。而一個<a href="https://www.riffusion.com/" target="_blank">AI平臺Riffusion則以Stable Diffusion的AI模型為基礎</a>，提供以文字生成音樂的服務。</p> <p>這是Meta開放使用的最新AI模型。上周Meta也聯手微軟公布了<a href="https://www.ithome.com.tw/news/157854" target="_blank">可免費商用的大型文字語言模型（Large Language Model）Llama-2</a>。</p> </div></div></div>
2023/8/3 11:46作者林妍溱https://www.ithome.com.tw/news/158081