iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】8月22日，木馬程式HiatusRAT鎖定臺灣而來，半導體、化學製造業、縣市政府成為目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>木馬程式HiatusRAT今年3月被揭露，當時研究人員發現駭客主要針對歐洲及拉丁美洲而來，但事隔3個月，現在這些駭客轉移目標，竟然針對臺灣的製造業、縣市政府，以及美國軍事採購系統而來，由於目標出現如此大幅度的轉變，使得研究人員推測這群攻擊者很可能與中國政府有關。</p> <p>另一起與地緣政治有關的攻擊行動，則是針對美韓進行的大規模軍事演習Ulchi Freedom Shield而來，傳出北韓駭客Kimsuky對參與演習的承包商發送釣魚郵件。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.lumen.com/hiatusrat-takes-little-time-off-in-a-return-to-action/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣政府企業組織、美軍事採購系統遭到惡意軟體HiatusRAT攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HiatusRAT-2023-08-09.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HiatusRAT-2023-08-09.jpg" style="width: 300px; float: right;" /></a>資安業者Lumen旗下實驗室揭露自6月中旬新一波的木馬程式HiatusRAT攻擊行動，原先3月駭客鎖定歐洲及拉丁美洲，但這次他們將目標轉向臺灣及美國，研究人員推測，這波攻擊行動很可能與中國政府有關。</p> <p>分析代管HiatusRAT的虛擬專用伺服器（VPS）流量之後，研究人員看到當中有超過九成鎖定臺灣組織，也有針對美國國防部，還有與軍事採購有關的伺服器的流量。對於臺灣組織的部分，遭到鎖定的產業包括半導體、化學製造業、縣市政府，而且，駭客偏好對於Ruckus的網路邊際設備下手。</p> <p>這家資安業者也觀察到HiatusRAT採用的攻擊基礎架構，他們發現有地緣因素，因為其中1個節點在中國、3個在美國。研究人員推測，駭客的目標之一，是藉由招標文件，探聽美國軍事需求，以及美國國防產業的相關企業組織。</p> <p><a href="https://www.bleepingcomputer.com/news/security/japanese-watchmaker-seiko-breached-by-blackcat-ransomware-gang/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本手錶製造商Seiko傳出遭到勒索軟體BlackCat攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ALPHV-Seiko.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ALPHV-Seiko.jpg" style="width: 300px; float: right;" /></a>8月10日日本手錶製造商Seiko發布資安通告，<a href="https://www.sii.co.jp/en/news/topics/2023/08/10/12208/">表示他們在7月28日遭遇資料外洩事件</a>，至少有1臺伺服器遭到未經授權的存取，該公司於8月2日委由外部資安專家進行調查，確認受害情形。</p> <p>這次攻擊是由誰發起的？勒索軟體駭客BlackCat（Alphv）於8月21日聲稱是他們所為，並於網站上列出竊得資料清單，當中包含該公司的生產計畫、員工識別證掃描檔案、新產品上市計畫、實驗室測試結果，駭客並於網站上公布部分竊得資料，如：機密技術原理圖、手錶的設計圖等。</p> <p>究竟駭客如何入侵Seiko？威脅情報業者Curated Intelligence向資安新聞網站Bleeping Computer透露，駭客很有可能在發動攻擊的前一天，向初始入侵管道掮客（IAB）購買帳密資料，而能成功進入該公司內部網路環境。</p> <p><a href="https://blogs.blackberry.com/en/2023/08/cuba-ransomware-deploys-new-tools-targets-critical-infrastructure-sector-in-the-usa-and-it-integrator-in-latin-america"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Cuba利用Veeam備份系統漏洞發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cuba-fig05.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cuba-fig05.png" style="width: 300px; float: right;" /></a>BlackBerry威脅情報團隊指出，今年6月起，勒索軟體駭客組織Cuba肆虐，鎖定Veeam Backup & Replication（VBR）備份解決方案的漏洞CVE-2023-27532發動攻擊，已有美國關鍵基礎設施業者、拉丁美洲系統服務商遭到攻擊。</p> <p>駭客疑似先取得外洩的遠端桌面連線管理者帳密資料，入侵目標組織，然後部署自行打造的下載工具BugHatch，並與C2伺服器連線，下載DLL檔案或是接收命令並執行，接著駭客利用滲透測試工具Metasploit的DNS stager元件，在記憶體內解密、執行Shell Code。</p> <p>為了避免防毒軟體干擾檔案加密過程，駭客利用自帶驅動程式（BYOVD）的攻擊手法，並使用名為BurntCigar的工具來終止防毒軟體的相關處理程序。研究人員指出，駭客首度利用CVE-2023-27532，但他們在攻擊過程裡，仍會利用Zerologon（CVE-2020-1472）。</p> <p><a href="https://www.reuters.com/world/north-korean-hackers-target-us-south-korea-military-drills-police-say-2023-08-20/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky傳出針對美韓軍事演習下手</span></strong></a></p> <p>為因應北韓核武及導彈的威脅，美國、韓國自8月21日，舉辦為期11天的大規模軍事演習Ulchi Freedom Shield，但傳出北韓駭客作亂。根據路透社的報導，韓國警方於20日發現，北韓駭客組織Kimsuky鎖定參與戰爭模擬中心工作的韓國承包商下手，發動釣魚郵件攻擊，所幸軍機機密並未遭竊。</p> <p>韓國警方與美軍聯手進行調查，發現駭客所使用的IP位址，其中一個曾被用於2014年的攻擊行動。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/014ae6db-4cb7-464b-b827-5d73f0bbc911.shtml"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">特斯拉指控內賊流出7.5萬名員工個資</span></strong></a></p> <p>8月18日特斯拉向美國緬因州通報重大資料外洩事件，當中提及2名前員工違反公司IT安全及資料保護政策，洩露75,735人個資，並試圖提供給媒體。這些資料包含了員工姓名、社會安全碼（SSN），以及住家地址、電話、電子郵件信箱等聯絡資訊。</p> <p>而他們得知員工洩露內部資料的管道，是德國媒體商報（Handelsblatt）於5月10日通知該公司，有人向他們提供100GB的機密資料，目的是想反映特斯拉自動駕駛系統的技術問題，因為對方認為這些狀況遠比外界所知的嚴重，當中包含2,400例自動加速問題事件、1,500件煞車問題事件客訴。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/tp-link-smart-bulbs-can-let-hackers-steal-your-wifi-password/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TP-Link智慧燈泡存在漏洞，攻擊者可用來竊取網路環境的Wi-Fi密碼</span></strong></a></p> <p>卡塔尼亞大學與倫敦大學的研究人員聯手，發現TP-Link智慧燈泡Tapo L530E、手機應用程式存在4項漏洞，其中風險層級最高的漏洞，是燈泡與手機App之間缺乏相關的身分驗證造成，CVSS風險評為8.8；另一個高風險漏洞則是與寫死的密碼有關，CVSS風險評為7.6。</p> <p>研究人員指出，一旦攻擊者將上述兩個漏洞串連，就有可能冒充燈泡裝置，然後取得Tapo使用者帳號資料，進而存取手機的App，找出受害裝置連上的Wi-Fi網路，並利用SSID及密碼資料來進一步存取無線網路上的其他裝置。除上述攻擊手法，研究人員認為，駭客也有可能將漏洞用於發動中間人攻擊（MitM），截取用於一連串燈泡與App資料交換工作的RSA加密金鑰。</p> <p>對此，研究人員向TP-Link通報上述漏洞，該公司也承諾會著手修補，但尚未提供更新軟體。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.theregister.com/2023/08/15/clorox_cleans_up_security_breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">清潔用品製造商Clorox遭到入侵，部分IT系統被迫離線</span></span></strong></a></p> <p><a href="https://forums.ivanti.com/s/article/CVE-2023-38035-API-Authentication-Bypass-on-Sentry-Administrator-Interface"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Ivanti修補旗下行動裝置管理平臺的API身分驗證繞過漏洞</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/08/wooflocker2"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客透過WoofLocker工具包，假借客服的名義進行詐騙</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/malware-distributed-via-freezers-and-syk-crypter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式XWorm透過紅隊演練工具注入受害電腦</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/chinese-entanglement-dll-hijacking-in-the-asian-gambling-sector/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客濫用含有漏洞的瀏覽器、防毒軟體檔案，透過DLL挾持部署Cobalt Strike</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158378">【8月21日】逾3千個安卓惡意軟體採用不支援的壓縮格式演算法，目的是防止被研究人員反組譯</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158332">【8月18日】駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158313">【8月17日】 Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍</a></strong></p> </div></div></div>
2023/8/22 18:19作者周峻佑https://www.ithome.com.tw/news/158398
Arm正式提出上市申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.arm.com/zh-TW/company/news/2023/08/arm-announces-public-filing-of-registration-statement-for-proposed-initial-public-offering" target="_blank">半導體設計業者Arm周一（8/21）宣布</a>，已向美國證券交易委員會（SEC）申請首次公開發行（IPO），準備以ARM為代號登上美國那斯達克股市。</p> <p>Arm的總部位於英國，主要開發半導體的架構與設計，以授權給各領域的業者，涵蓋智慧型手機、平板電腦、汽車輔助駕駛系統與資料中心等，它在2016年以320億美元賣給日本軟體銀行，2020年時原本要再以400億美元賣給Nvidia，卻同時遭到英國、美國及歐盟的反對，擔心失去中立角色的Arm將嚴重影響市場競爭，之後Arm即決定朝IPO邁進。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1973239/000119312523216983/d393891df1.htm" target="_blank">根據Arm所提交的上市申請文件</a>，該公司認為支援所有電子設備的半導體已成為世界最重要的資產之一，這些設備的核心是CPU，而Arm已是CPU產業的領導業者，設計、開發及授權許多高效能、低成本與節能CPU的產品與技術。</p> <p>Arm統計，截至2022年底，全球有超過99%的智慧型手機都以Arm CPU執行先進運算，所授權的晶片超過2,500億個，被安裝在感應器至超級電腦上，可執行全球絕大多數的軟體，包括於手機、平板、個人電腦、資料中心、網路設備與汽車上的作業系統及應用程式，估計全球7成的人口都使用著基於Arm的各種產品。</p> <p>Arm主要的產品為CPU，而Arm CPU架構也是全球使用最廣泛的CPU架構，該公司認為，隨著全球愈來愈轉趨支持人工智慧及機器學習運算，Arm可望成為此一轉變的核心。Arm強調該公司是一家以工程為主的企業，在5,963名全球員工中，有高達80%專注於研究、設計及技術創新。</p> <p>截至今年3月底的Arm年度收入為26.79億美元，略低於去年同期的27.03億美元，其持續營運淨利潤為5.24億美元，亦低於去年同期的6.76億美元。</p> <p>Arm並未公布其IPO的每股價格，因此無法估算其價值，但外傳軟體銀行期望對Arm的投資能至少取回翻倍的報酬，意味著其上市市值可能直接衝上600億美元。</p> </div></div></div>
2023/8/22 15:57作者陳曉莉https://www.ithome.com.tw/news/158395
Flutter 3.13最佳化iOS Impeller渲染引擎效能，Android版今年稍晚預覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源UI軟體開發工具包Flutter，近期更新主要圍繞在其新的Impeller渲染引擎上，在最新的Flutter 3.13，官方也對Impeller進行多項改進，同時針對可折疊裝置支援添加Engine API。在介面外觀上，官方對Material Framework有不少功能調整，使開發者能夠更靈活地設計應用程式介面。</p> <p>Impeller是Flutter上最新的渲染引擎，用來取代之前的Skia，Impeller的優點是能夠善用硬體加速繪圖API，像是iOS的Metal以及Android上的Vulkan，藉以提供順暢的UI效果。從Flutter 3.10開始，新建立的iOS應用程式便會預設使用Impeller，使介面卡頓情況減少，且在記憶體使用上更有效率。</p> <p>Flutter 3.13上的Impeller更是經過一連串最佳化，完全消除著色器編譯的卡頓問題，且在部分基準測試中，達到更高的平均吞吐量，在官方flutter/gallery過渡效能基準測試中，平均影格的光柵化時間大幅降低，現在約可達到Skia的一半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0_ivWbcnIt-1Mln5Lx.png" style="width: 580px; height: 353px;" /></p> <p><span style="color:#696969;">以iPhone 11測試，從Flutter 3.10版本分支到3.13版本分支之間，在官方flutter/gallery過渡效能基準測試，平均影格的光柵化時間大幅降低。</span></p> <p>Flutter 3.10加入對廣色域的支援，廣色域比傳統RGB色域更廣，可呈現更豐富的顏色，讓圖像看起來更鮮艷逼真。但是在Flutter 3.10中，雖然在iOS上的Flutter應用程式，已經可以顯示廣色域圖片，但是預設仍是使用RGB色域，在開發者的回饋後，Impeller現在於iOS上將預設使用廣色域。</p> <p>至於Android上的Impeller則需要再等等，雖然過去一年已經有許多進展，官方對Impeller的硬體抽象層做了許多最佳化，完善OpenGL和Vulkan後端功能，這讓Android平均影格繪製時間在flutter/gallery過渡效能基準測試中已有大幅度提升。不過，目前還未達到預期的水準，官方希望在Android上Impeller預覽時，能達到穩定版本的程度。Impeller目前也已開始在macOS上進行預覽。</p> <p>Flutter 3.13加入新的引擎API，更好地支援可折疊裝置，新API能夠擷取顯示螢幕各種屬性，包括顯示器的實際尺寸、像素比和更新頻率等資訊。Flutter 3.13還對Material Framework進行多項改進，主要更新方向是要提升更多平臺的適用性，並且讓使用者有更多的自定義空間，並加入許多新功能，像是現在於iOS中，可以使用裝置相機辨識文字，並將文字輸入到文字欄位中等。</p> <p>值得注意的是，Flutter將在下一個穩定版本預設使用Material 3，應用程式將會預設使用Material 3顏色、文字樣式和其他視覺效果。另外，Flutter不再支援Android Jelly Bean，包括API等級16、17 和18。</p> </div></div></div>
2023/8/22 13:42作者李建興https://www.ithome.com.tw/news/158394
HiatusRAT攻擊臺灣市府、民間企業，也瞄準美國軍事採購系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lumen.com/hiatusrat-takes-little-time-off-in-a-return-to-action/" target="_blank">資安廠商發現</a>一項名為HiatusRAT的木馬程式攻擊行動，近日復出大舉攻擊臺灣半導體、化學等企業、地方政府及美國軍方採購相關的伺服器，懷疑可能和中國有關。</p> <p>資安業者Lumen旗下Black Lotus Labs實驗室今年3月，觀察到名為HiatusRAT的木馬程式感染全球超過100多臺邊緣網路裝置。它寄生在邊緣路由器上，被動蒐集流量並當作C&C伺服器執行。在消失一段時間後，Black Lotus研究人員於6月中再度發現HiatusRAT攻擊活動的跡象。有別於原本外界認為的拉丁美洲及歐洲，研究人員發現HiatusRAT這波攻擊鎖定臺灣，也對一個美國軍事採購單位發動偵察。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0822-new%20HiatusRAT%20network%20by%20Lumen%20Black%20Lotus%20Labs.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0822-new%20HiatusRAT%20network%20by%20Lumen%20Black%20Lotus%20Labs.jpg" style="width: 350px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Lumen Black Lotus Labs</span></span></p> <p>這波攻擊期間是從6月初到8月。研究人員觀察到HiatusRAT代管在虛擬私有伺服器（virtual private server，VPS），超過九成流量是鎖定臺灣組織，而且似乎偏好Ruckus邊緣網路裝置。遭到鎖定的臺灣組織，包括半導體、化學製造廠，以及至少一個縣市政府。研究人員追查攻擊架構，發現到其中一個節點位於中國，並有3臺位於美國。</p> <p>Black Lotus Labs還發現到，攻擊者的目標也包含美國國防部和軍事採購合約、招標有關的伺服器。6月13日僅2小時就有超過11MB的雙向資料傳輸，研究人員懷疑攻擊者可能藉由尋找公開的招標文件，了解美國軍事需求以及和美國國防產業（Defense Industrial Base）有關的組織。</p> <p>根據技術分析，HiatusRAT可能和已知對美國政府發動的其他中國駭客，如<a href="https://www.ithome.com.tw/news/157763" target="_blank">Storm-0558</a>及<a href="https://www.ithome.com.tw/news/157037" target="_blank">Volt Typhoon</a>是不同的活動叢集。不過Black Lotus Labs相信，這波攻擊顯示以較小型的美國國防設備供應商，以及支持臺灣的組織為對象進行情蒐，也符合美國國家情報總監辦公室（ODNI）威脅評估反映的中國戰略目標。</p> <p>安全廠商建議企業應有安全上網服務邊緣（secure access service edge，SASE）架構或VPN連線，並開啟安全連線如SSL/TLS以保護傳輸中的資訊。消費者則應定期安裝安全更新，並汰換已過服務生命周期的設備。</p> </div></div></div>
2023/8/22 11:39作者林妍溱https://www.ithome.com.tw/news/158387
前員工意圖爆料，特斯拉7.5萬員工個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉遭前員工洩露近100GB文件意圖向媒體爆料自駕系統技術問題，也外洩了該公司7.5萬員工個資。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/014ae6db-4cb7-464b-b827-5d73f0bbc911.shtml" target="_blank">特斯拉（Tesla）本周通報</a>公司重大資料外洩事件，超過7.5萬名員工個資遭2名前員工外洩。根據特斯拉向美國緬因州提交的文件，受影響的員工有75,735人。</p> <p>特斯拉指出，德國媒體《商報》（Handelsblatt）於5月10日通知他們取得這家車廠一份機密資訊。經過調查，為兩名前員工違反公司IT安全及資料保護政策存取這份資訊，並試圖提供給媒體。</p> <p>這家電動車大廠已經對2名前員工提告，扣留可能存有這份資訊的電子裝置，也取得法院命令，禁止被告使用、存取或散布這些資訊。</p> <p>特斯拉外洩的員工個資包括現任及前任員工的姓名、特定聯絡資訊（如住址、電話與電子郵件信箱）及社會安全號碼等。特斯拉已經對受影響的員工、前員工發出通知，也提供12個月的信用監控及身分資料失竊服務。德國媒體指出，特斯拉執行長馬斯克（Elon Musk）的社會安全號碼也在外洩名單之列。</p> <p><a href="https://www.handelsblatt.com/unternehmen/industrie/elektromobilitaet-mein-autopilot-hat-mich-fast-umgebracht-tesla-files-naehren-zweifel-an-elon-musks-versprechen/29166564.html" target="_blank">《商報》報導</a>，提供特斯拉100GB內部資料給他們的人士，目的是想反映特斯拉自動駕駛系統「技術問題遠較外界所知的嚴重」。</p> <p>雖然《商報》表示，他們並不打算公開這些個資，依法也不得不當使用，但<a href="https://www.theverge.com/2023/8/21/23839940/tesla-data-leak-inside-job-handelsblatt" target="_blank">《The Verge》</a>報導，這家德國媒體還是公開了前員工外洩關於特斯拉全自動駕駛（Full Self-Driving）系統的客訴問題。車主抱怨特斯拉的自動加速問題事件達2,400例，煞車問題事件則有1,500件。</p> <p>特斯拉目前身陷多起交通事故官司，美國國家公路交通管理局（NHTSA）也介入調查。</p> <p>這不是特斯拉第一次遭前員工外洩公司資料。<a href="https://www.ithome.com.tw/news/124008" target="_blank">2018年特斯拉電池廠員工Martin Tripp撰寫軟體駭入公司及產線電腦</a>，取得數GB資料，包括機密相片及影片，並外洩給了別家公司及媒體。這名員工也遭到了特斯拉控告。</p> </div></div></div>
2023/8/22 12:16作者林妍溱https://www.ithome.com.tw/news/158390
玉山金控將藉上雲加速金融創新，實現端對端數位化願景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控董事長黃男州昨天在法說會前記者會強調，未來將投入更多資源投入數位化的願景，玉山未來希望達到端對端的數位化，顧客端服務和銀行端業務皆數位化，達到業務擴充和產品串聯的益處，甚至是透過數位化，讓玉山更容易嵌入生態圈。</p> <p>黃男州表示，目前玉山消費金融業務大多在數位通路上進行，但他的目標是，達到端對端的數位化。不只在顧客端以數位方式完成服務，銀行內部作業也盡量數位化，讓同樣的人力可以服務更多顧客。此外，數位化也可以讓產品線間的串連更便利，強化範疇經濟。甚至，他認為，數位化可以讓企業更容易進入生態圈，例如透過API串聯資訊，來進行企業間的合作。</p> <p>要邁向這項願景，上雲正是加速金融創新的作法之一。黃男州提到，全球先進應用軟體大多已經上雲，甚至有業者不提供地端服務，上雲事關銀行的創新速度。</p> <p>玉山金控暨玉山銀行資訊長謝萬禮解釋，當新技術出現時，上雲的好處是可以快速實驗新資源，不需要經過傳統的採購準備，而能直接在雲端找到平臺或空間來實驗，快速驗證效果。例如，某些雲端業者提供了AI模組套裝，若能快速上雲，就能更快速實驗AI技術。</p> <p>對此，玉山也早有準備。謝萬禮表示，公司自2016年起，就開始將內部系統現代化，並進行核心系統轉型。2020年新核心系統上線後，內部也持續展開重要核心業務系統和關鍵業務系統現代化。他表示，目前，包含核心系統和關鍵業務系統，玉山約七成以上系統已具備上公有雲的準備。</p> <p>「投入這些資源就是希望打通尚未數位化的最後一哩路。」黃男州表示，未來，玉山在數位化工作會投入更多資源，讓人工作業越來越少，來實現端對端的數位化。</p> </div></div></div>
2023/8/22 12:37作者李昀璇https://www.ithome.com.tw/news/158393
SUSE將下市成為私有企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SLE（SUSE Linux Enterprise）、Rancher與NeuVector的開發廠商SUSE，其背後大股東Marcel （Marcel LUX III SARL）打算將SUSE從法蘭克福證券交易所下市（Delisting）讓<a href="https://www.suse.com/news/EQT-announces-voluntary-public-purchase-offer-and-intention-to-delist-SUSE/">公司私有化</a>，使其不再成為可公開交易的公司，而根據該官方說法，此舉主要目的是要專注在營運重要目標，以及長期戰略的執行。</p> <p>Marcel是一家受EQT VIII基金控制的控股公司，目前擁有SUSE與79％的股份，Marcel與EQT VIII基金被合稱為EQT Private Equity，而EQT VIII基金則是瑞典斯德哥爾摩EQT AB的子公司。在發出SUSE準備下市的消息，EQT Private Equity，也向股東發出公開購股意願，希望在下市之前，從其他股東那以每股16歐元的價格，購入SUSE的股票。同時，SUSE也與Marcel簽署交易架構協議（TFA），內容包括支付給所有股東股息等內容。</p> <p>SUSE是一家總部在德國的公司，以提供企業級Linux為其主要業務，SUSE在1992年成立以來經過多次併購，在2004年被Novell收購，由於2011年Attachmate收購了Novell，因此SUSE也成為Attachmate集團旗下部門，2014年Micro Focus與Attachmate合併，所以SUSE也加入Micro Focus，而在2019年，EQT從Micro Focus手上買走SUSE，SUSE就此成為獨立企業。</p> <p>SUSE私有化後的發展也備受矚目，SUSE執行長Dirk-Peter van Leeuwen認為，公司私有化是一個策略性的機會，能夠讓公司在新的領導團隊帶領下，實現業務成長與戰略目標。</p> <p>SUSE近期動作頻頻，今年指派了已在紅帽服務超過18年的<a href="https://ch.linkedin.com/in/dpvanleeuwen?original_referer=https%3A%2F%2Fwww.google.com%2F">Dirk-Peter van Leeuwen</a>，成為SUSE新任執行長。紅帽在今年6月的時候，<a href="https://www.ithome.com.tw/news/157514">決定不再於git.centos.org公開RHEL原始碼</a>，SUSE之後便與甲骨文和CIQ共組<a href="https://www.ithome.com.tw/news/158220">Open Enterprise Linux協會（OpenELA）</a>，目標是提供工具以及企業級Linux等資源，供開發者得以簡單建立和維護與RHEL相容的Linux版本，並且在官網強調歡迎所有貢獻者與「貪小便宜」者，意圖相當明顯是衝著紅帽而來。</p> </div></div></div>
2023/8/22 08:33作者李建興https://www.ithome.com.tw/news/158379
Python預計加入Immortal Objects，可提升記憶體效率並解除平行運算限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2023/08/15/developer-tools/immortal-objects-for-python-instagram-meta/">Meta</a>在程式語言Python提出<a href="https://peps.python.org/pep-0683/">PEP-683</a>以加入Immortal Objects，使得物件可以繞過參照計數檢查，成為在執行時持續存活的不朽物件，透過增加共享記憶體使用量，進而提高記憶體的使用效率，而這將有助於解除Python語言本身在平行運算上的局限。目前PEP-683已經被接受。</p> <p>Meta使用Python網頁框架Django開發Instagram前端伺服器，並且使用多程序架構以及Python標準函式庫asyncio，以達到每個程序並行處理的目標，但因為Instagram無論是在業務邏輯還是處理的請求量，規模都十分龐大，這個方法對記憶體的大量需求，成為了系統的效能瓶頸。</p> <p>隨著系統運作，每個伺服器程序的私有記憶體使用增加，而共享記憶體減少，這樣的現象造成記憶體效率不彰。開發人員分析發現，即便許多Python物件在整個執行時不可變，但是Python的參照計數和垃圾回收機制，仍然會試圖管理並修改這些物件，在每次讀取和垃圾回收周期仍會執行寫入時複製（Copy-On-Write，COW），使得原本共享的記憶體分頁變成私有，如此便減少了共享記憶體的效益，增加了不必要的CPU和記憶體開銷。</p> <p>PEP-683的出現便是為了解決這個問題，Immortal Objects在物件的參照計數欄位中，標記特殊值以創建不朽物件，也就是核心物件狀態永遠不會改變的物件，Runtime會知道什麼時候可以或是不可以改變參照計數欄位和垃圾回收標頭。</p> <p>不過，由於Immortal Objects的核心實作，在參照計數增加和減少的程序中添加了明確的檢查，這兩個程序是Runtime被頻繁執行的程式碼，因此無法避免地造成程式碼效能下降，經過特殊的暫存器分配策略，可以最大程度減少效能降低，但是仍有約2％的效能影響。</p> <p>在Instagram中，本來是透過減少寫入時複製操作，提高處理請求記憶體和CPU效率，而由於Immortal Objects的加入，Instagram便可以透過增加共享記憶體使用量，來大幅減少私有記憶體的使用。由於Immortal Objects可以跨執行緒共享物件，不在需要GIL（Global Interpreter Lock）達到執行緒安全性，Meta提到，這項功能影響了Python語言的發展，由於Immortal Objects保證堆物件真正的不可變性，因此也解除Python在平行運算的限制。</p> </div></div></div>
2023/8/22 08:51作者李建興https://www.ithome.com.tw/news/158384
鴻海研究院聯手MIT首推黑客松，Security by Design成電動車創新服務基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從g0v以黑客松作為各種創新服務發想的方式以來，許多機關企業也希望透過黑客松的創意發想，為自家產品服務找出新的可能性。鴻海研究院、美國麻省理工學院（MIT）多媒體實驗室（Media Lab）與國立臺北科技大學共同合作的城市科學實驗室（City Science Lab @ Taipei Tech），則於日前首度聯手，推出<a href="https://www.csltaipeitech.com/cslx"><span style="color:#0000FF;">AI on Wheels黑客松活動</span></a>，於8月25日中午12點前<a href="https://forms.gle/vbsFqm9nDGoka3sLA"><span style="color:#0000FF;">報名</span></a>，入圍名單於8月28日公布，並在9月2日、3日舉辦黑客松活動。</p> <p>鴻海研究院執行長李維斌表示，AI on Wheels黑客松活動主要是針對由鴻海研究院資通安全、MIT與北科大共同打造的開放輕型無人車車用平臺EVπ，所有參賽者可以發想各種與電動車相關的各種服務。</p> <p>從車輛到基礎設施通訊（V2I）到自駕車技術，李維斌表示，電動車正經歷著一場技術革命，因此，「無人車的各種服務都必須確保安全無虞，」而這次舉辦的黑客松比賽，更是首度要求，不管是從創意發想到服務設計時，都必須落實資訊安全Security by Design（預設資安）策略，真正做到結合創新與資安。</p> <p>此次共同合作的麻省理工學院城市科學實驗室亞洲區主任林家樑（Michael Lin）表示，這個EVπ是開放源碼的平臺，而只要在這個開放平臺有新的服務，都可以MIT在全世界的創新中心分享到世界各地。</p> <h2><strong>在無人車開放平臺EVπ，進行以資安為核心的創意發想</strong></h2> <p>李維斌坦言，和MIT合作的EVπ不同於商用的MIH（Mobility In Harmony Open EV Platform，電動車開放平臺），希望透過比較低的門檻，讓更多人可以更快的接觸無人車，該臺無人車上所有使用的元件，都是可以實際運作的產品。</p> <p>李維斌指出，無人車原本就是一個新興議題，加上傳統汽車數位化後，又有許多想像的空間，因此，他希望可以在這樣的平臺上發揮不一樣的創意。加上他本身就是資安出身的背景，更希望在所有無人車創意發想的基礎上，可以做到：資安都是所有創意的基礎，才希望所有發想的創意服務，都可以帶入Security by Design的概念。</p> <p>他坦言，一臺電動車要上路，資安一定要先做好，畢竟，一臺無人車若因為資安問題必須要亡羊補牢，是一件很恐怖的事情。因此，他也想透過舉辦黑客松這樣的活動，藉由帶入無人車的情境，改變所有做服務、做創意的人的想法（Mindset）。李維斌認為，因為資安不是只有跟做技術、做資安的人才有相關，包括各種創意和服務如果要可以真正安全上線，如果無法在發想初期就做到預設資安的話，所有的創意服務都只會淪為紙上談兵而已。</p> <h2><strong>MIT聯手鴻海打造EVπ基礎平臺，創意服務是1到100的加分</strong></h2> <p>林家樑表示，MIT一直以來都很重視開放原始碼（Open Source），也很重視知識的分享，深信「Sharing makes us stronger」，和鴻海共同打造的EVπ這樣的平臺，讓對無人車有興趣的人，不需要從零開始。</p> <p>「MIT和鴻海做好了從0到1的基礎工程後，」他認為，後面的從0到100，就可以讓更多臺灣有創意的學生一起參與，MIT也重視相關的人才培育，如果有其他的具體成果，MIT也會幫忙分享到世界各地。</p> <p>林家樑強調，這次的黑客松是以輕型無人車EVπ作為實驗的硬體平臺，並導入由鴻海集團所推出的HHEV.OS車用作業系統，並且透過機器人開發作業系統ROS 2作為中介軟體，實現將軟體與硬體模組化的目標。</p> <p>他表示，黑客松活動現場也會有相關經驗的專家提供整合協助，讓所有黑客松的參賽者，可以在24小時內落實相關創意與服務，並打造出最小可行性原型（MVP）。</p> <p>李維斌表示，因為這次黑客松是在EVπ這樣的開放平臺上進行發想，他也希望可以聚焦在如何結合都市中的智慧基礎設施與AI（人工智慧），來提高電動車的通訊安全與路人的交通安全的智慧連線項目上；另外，也可以藉由結合都市永續發展與Mobility as a Service（MaaS），來解決都市最後一哩路的問題；最後，有機會也可以結合XR（擴增實境）、AI、新世代通訊以及新型載具等創新技術，來打造未來交通服務。</p> <p> </p> <p> </p> <div id="gtx-trans" style="position: absolute; left: 463px; top: 224.208px;"> <div class="gtx-trans-icon"> </div> </div> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2023/8/21 19:13作者黃彥棻https://www.ithome.com.tw/news/158385
【資安日報】8月21日，逾3千個安卓惡意軟體採用不支援的壓縮格式演算法，目的是防止被研究人員反組譯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定安卓裝置散布惡意軟體的情況，近期可說是相當頻繁，但最近出現較為罕見的攻擊手法引起研究人員關注。因為，這種手法鎖定研究人員而來，防止他們利用各式的工具拆解惡意APK檔案。有資安業者進一步調查，發現市面上至少有3千個惡意App採用此類方法來打包安裝程式，從而影響各式靜態分析工具的運作。</p> <p>值得一提的是，上述手段並非新的攻擊手法，有研究人員指出，最早曾在2014年就出現類似的攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/thousands-of-android-apks-use-compression-trick-to-thwart-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">3千個安卓App安裝程式透過壓縮演算法來對抗研究人員反組譯</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FztkypNWAAIhtcj.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FztkypNWAAIhtcj.png" style="width: 300px; float: right;" /></a>研究人員Joe Sandbox於6月底發現有問題的安卓套件檔案（APK），其特點是只能部署於執行Android 9以上版本作業系統的裝置，且大部分的反組譯工具無法解析。資安業者Zimperium指出，這是因為駭客為了迴避偵測，刻意採用不受支援的壓縮演算法來打包APK檔案，根據他們進一步的調查，總共找到超過3千個惡意APK檔案利用類似的手法封裝，其中僅有71個能在安卓裝置上正常執行，而這些APK檔案皆未出現於Google Play市集，研究人員推測，駭客有可能是透過第三方市集，或是藉由社交工程、網路釣魚等手法來側載應用程式。</p> <p>研究人員表示，除了在安裝程式打包的壓縮演算法上動手腳，駭客也可能運用其他手法，例如檔案名稱超過256個位元、格式錯誤的應用程式資訊清單（AndroidManifest.xml）、格式錯誤的字串池（String Pool），導致研究人員的分析工具無法正常運作。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/joe4security/status/1674042511969468418?s=46&t=8iDWtqgX0z4LwOwqYr8JWA">https://twitter.com/joe4security/status/1674042511969468418?s=46&t=8iDWtqgX0z4LwOwqYr8JWA</a><br /> 2. <a href="https://www.zimperium.com/blog/over-3000-android-malware-samples-using-multiple-techniques-to-bypass-detection/">https://www.zimperium.com/blog/over-3000-android-malware-samples-using-multiple-techniques-to-bypass-detection/</a></p> <p><a href="https://www.zerodayinitiative.com/advisories/ZDI-23-1152/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WinRAR存在RCE漏洞，8月發布6.23版進行修補</span></strong></a></p> <p>漏洞懸賞計畫Zero Day Initiative揭露WinRAR漏洞CVE-2023-40477，攻擊者一旦觸發，就有機會在使用者開啟特定的RAR壓縮檔之後，遠端執行任意程式碼，CVSS風險評分為7.8。</p> <p>該漏洞出現的原因在於，此應用程式在處理還原區資訊過程存在弱點，對於使用者提供的資料缺乏充分的驗證，使得記憶體存取超出原本分配的緩衝區。研究人員6月8日向RARLab通報，該廠商於8月2日推出6.23版WinRAR予以修補。</p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/proxynation-the-dark-nexus-between-proxy-apps-and-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">40萬臺電腦組成殭屍網路，被拿來提供代理伺服器服務牟利</span></strong></a></p> <p>AT&T的資安研究團隊發現大規模的攻擊行動ProxyNation，駭客鎖定Windows電腦，部署代理伺服器應用程式（Proxyware），估計至少有40萬臺電腦遭到挾持，這些電腦在使用者不知情的情況下被充當代理伺服器，網路流量遭到這類軟體濫用。駭客假借提供破解軟體或是遊戲的名義來進行流量挾持攻擊，一旦使用者依照指示下載應用程式並執行，攻擊者便會在後臺擅自下載代理伺服器軟體，並自動部署，過程中不會顯示使用者介面。</p> <p>在部署上述用戶端軟體的過程裡，駭客的惡意程式會向C2發出特定參數，將受害電腦併入殭屍網路。而對於攻擊者的身分，研究人員指出很可能是先前使用惡意程式AdLoad攻擊Mac電腦的那批駭客，經比對兩種惡意程式，發現攻擊者都是採用Go語言打造，主要差別在於Windows版本的軟體帶有簽章，來迴避資安系統的偵測。</p> <p><a href="https://www.bleepingcomputer.com/news/security/maginotdns-attacks-exploit-weak-checks-for-dns-cache-poisoning/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露DNS中毒攻擊手法MaginotDNS，有可能破壞整個頂級網域名稱</span></strong></a></p> <p>加州大學爾灣分校、清華大學的研究人員聯手，揭露新的DNS快取中毒攻擊手法MaginotDNS，鎖定條件式DNS（CDNS）解析器下手，能藉此接管整個DNS區域，甚至可能危害整個頂級網域名稱（TLD）。</p> <p>這樣的攻擊手法出現，主要是因為不同的DNS軟體及伺服器模式（遞迴解析器及轉發器）之間，所採取的安全查核機制不一致，市面上熱門的DNS軟體，如BIND、Microsoft DNS都有可能曝險，研究人員初估，約有35.5%的CDNS伺服器存在相關風險。</p> <p>對此，他們向DNS軟體開發商進行通報，這些漏洞已取得了CVE編號，包含了BIND9的CVE-2021-25220、Knot Resolver的CVE-2022-32983，以及Microsoft DNS和Technitium的CVE-2021-43105。</p> <p><a href="https://cofense.com/blog/major-energy-company-targeted-in-large-qr-code-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國能源業者遭到鎖定，駭客透過QR Code發動網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-sample3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-sample3.png" style="width: 300px; float: right;" /></a>郵件安全業者Cofense揭露一起釣魚郵件攻擊行動，其主要目標是美國大型能源業者，但也有製造業、保險業、科技業、金融服務業遭到鎖定，自今年5月以來相關攻擊增加超過24倍。</p> <p>駭客聲稱收信人若要確保Microsoft帳號的安全，必須採取信中建議的方法。這些信件帶有PNG圖檔或是PDF附件，內有QR Code，並要求收信人必須在2至3天的期限內依照指示操作。</p> <p>研究人員指出，為了防止郵件安全系統察覺異狀，駭客在URL採用搜尋引擎Bing的重新導向網址，但也利用與Salesforce應用程式相關的krxd[.]com，或是Cloudflare旗下Web3服務cf-ipfs[.]com等網域。</p> <p><a href="https://www.deepinstinct.com/blog/nofilter-abusing-windows-filtering-platform-for-privilege-escalation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過Windows安全機制的攻擊手法NoFilter，進而在受害電腦提升權限</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NoFilter8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NoFilter8.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct於資安大會DEF CON 2023揭露名為NoFilter的攻擊手法，濫用視窗作業系統的Windows Filtering Platform（WFP）元件，於目標電腦提升權限。</p> <p>研究人員起初是對於該公司的內部工具RPC Mapper進行分析，該工具的主要用途，是映射遠端程序呼叫（RPC）的方法（Method），尤其是會呼叫WinAPI的方法，從而發現隸屬WFP的BfeRpcOpenToken。他們後來又找到名為NtQueryInformationProcess的方法，來搜尋特定處理程序的Token，並將其複製於其他處理程序並提升權限為SYSTEM。</p> <p>雖然上述Token被用於識別執行具備特殊權限工作時的相關使用者，不過在一般使用者模式執行的惡意軟體，可以透過DuplicateToken或DuplicateHandle等功能函式，來存取其他處理程序的Token，進而用於以SYSTEM權限來執行子處理程序。研究人員結合上述手法，將惡意軟體處理程序透過WFP在系統核層級進行複製，進而在幾乎不會留下任何跡證及事件記錄的情況下運作，並指出這樣做能迴避防毒軟體監控的API。</p> <p><a href="https://blog.eclecticiq.com/german-embassy-lure-likely-part-of-campaign-against-nato-aligned-ministries-of-foreign-affairs"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29利用即時通訊軟體Zulip來隱匿C2</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/German Embassy Lure_image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/German%20Embassy%20Lure_image5.png" style="width: 300px; float: right;" /></a>威脅情報業者EclecticIQ鎖定北約國家（NATO）的釣魚郵件攻擊，俄羅斯駭客組織APT29（亦稱Cozy Bear、Midnight Blizzard）聲稱是德國大使館的名義，散布帶有PDF檔案的郵件。</p> <p>一旦收信人開啟附件檔案，就有可能觸發內嵌的JavaScript程式碼，啟動HTML檔案來進行挾持（HTML Smuggling），解壓縮ZIP檔案裡的HTA檔，執行後續的攻擊行動，於電腦植入惡意軟體Duke，並透過DLL側載的方式執行。</p> <p>值得留意的是，為了迴避偵測，駭客透過即時通訊軟體Zulip的API，將受害者的資訊傳送到特定的聊天室，將此通訊軟體的基礎設施充當C2中繼站。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://money.udn.com/money/story/5612/7380920"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">自行車零件廠日馳證實遭遇網路攻擊</span></span></strong></a></p> <p><a href="https://www.juniper.net/documentation/us/en/software/jweb-ex/jweb-ex-application-package/topics/concept/ex-series-j-web-interface-overview-App.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Juniper修補網路設備作業系統的RCE漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/jenkins-patches-high-severity-vulnerabilities-in-multiple-plugins/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Jenkins修補外掛程式的CSRF及XSS漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158341"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google藉由大型語言模型改善開源軟體模糊測試計畫OSS-Fuzz的檢測能力</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158350"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源資安業者ProjectDiscovery募得2,500萬美元</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158332">【8月18日】駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158313">【8月17日】 Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158300">【8月16日】 Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持</a></strong></p> </div></div></div>
2023/8/21 16:58作者周峻佑https://www.ithome.com.tw/news/158378
Container周報第154期：K8s新版強化硬體當機復原力，微軟加入Istio陣營，KubeVirt則釋出1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/7/1～8/21 精選容器新聞：</strong></p> <p><span style="color:#0000FF;"><strong>#Sidecar模式、#版本更新、#K8s</strong></span><br /> <strong>K8s發布第1.28新版，強化硬體當機復原能力，也開始支援SideCar容器</strong></p> <p>一年多次改版的Kubernetes，在8月中釋出了第28次的新版本1.28版。這是今年第二個版本，包括了45項強化，其中有19項新功能還處於Alpha測試版，14項則進入更成熟的Beta，另有12項進入穩定版本階段。</p> <p>1.28版有一項重要改變是，像kube-apiserver、kube-scheduler、kube-controller-manager、cloud-controller-manager等控制面板元件和叢集中節點所用的K8s版本差異，從過去只能差2個小版本，增加到可以支援3個小版本的落差，這個版本相容落差，可以提高K8s維運團隊的升級彈性。例如，為了跟上資安更新，控制面板元件通常會跟著更新到最新版，但是K8s一年發布4次小改版，若只支援2個版本差，每個節點至少一年要更新2次，才能跟上控制面板每次更新的落差，現在支援3個版本落差，每個節點可以拉長更新周期到一年更新一次，有助於減少對需要長期啟動節點的重開次數。</p> <p>另外，在這次改版中，強化了非預期節點關機（例如硬體故障或OS損壞的節點當機）的回復能力，可以讓保留狀態資訊的運算工作在另一個K8s節點中重啟。還有一個值得關注的新功能是開始支援Sidecar容器，讓一個主要容器，搭配支援的附屬Sidecar容器，共享同一份儲存空間。服務網格專案Itsio就常部署在Sidecar容器中來運作。</p> <p><strong><span style="color:#0000FF;">#服務網格、#微服務、#微軟</span><br /> 開源服務網格專案Istio正式從CNCF畢業，微軟也正式加入維護社群</strong></p> <p>在2016年發起的開源服務網格專案Istio，日前正式從CNCF孵育專案清單中畢業，成了具有獨立發展社群的開源專案，距離Google放手交給CNCF孵化，不到一年時間。微軟也正式加入了Istio維護社群，這代表了Istio成了業界主流的服務網格平臺，甚至可以通吃到微軟Azure平臺上的AKS微服務管理。Istio在今年6月初釋出了1.18版，可以支援更大規模落地部署用的Ambient模式，這是Istio一次很大的架構變革，可以將Istio的功能，分成兩層來運作，一層是在L7提供的Istio完整功能，另一層是在L4網路層提供的零信任通道，用來處理像是可觀察性監控、mTLS等功能，可以用更少資源來提高這些功能的運作效能，不用透過L7網路層解析HTTP來實現。Istio預計在1.19版中支援K8s新版1.28新增的Sidecar容器，更容易支援這種Istio在K8s慣用的部署設計模式。</p> <p><strong><span style="color:#0000FF;">#虛擬機器管理、#紅帽</span><br /> KubeVirt釋出1.0正式版，K8s也能提供企業級VM管理</strong></p> <p>紅帽日前正式宣布KubeVirt正式釋出1.0版，這是OpenShfit提供虛擬化的關鍵基礎元件，可以讓K8s環境管理虛擬機器。紅帽強調，KubeVirt可以讓維運團隊用一套管理工具，來管理在虛擬機器上的傳統應用程式，以及部署在容器中的現代化應用。而對開發者而言，也可以將容器化應用程式的開發流程和自動化機制，套用到原本虛擬機器上的老舊系統開發流程，不用再像過去一樣得分成兩套流程。正式發布1.0版，意味著這箱功能達到企業級的穩定程度。除了紅帽OpenShift，SuSe Rancher、Google、Oracle等都在自家相關軟體產品上內建KubeVirt。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/KubeVirt-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" /></p> <p><strong><span style="color:#0000FF;">#Flux、#GitOps</span><br /> GitOps工具Flux正式發布2.0版，支援上萬AP水平擴張和控制器切片分割</strong></p> <p>用來建立GitOps自動化維運流程的Flux，日前釋出了2.0正式版，最大新功能是可以支援控制器切片分割（Sharding）和水平擴充功能。當Flux所管理的應用程式超過上萬支時，會逐漸影響GitOps自動化維運的效率，現在可以事先設定分割策略，來指定控制器的分片數量，將要管理的應用程式，分散到不同的Flux控制器實例上來分流管理，也可以在配置檔中個別指定不同控制器分片可用的資源，甚至設定Flux資源的群組規模來提高管理彈性。微軟、AWS、GitLab、D2iQ等業者都支援Flux來提供GitOps功能，例如EKS Anywhere部署模式就是透過Flux來提供GitOps部署能力。Flux預計在今年第三季發布的2.2版中，正式釋出Flux Helm Api和相關Helm功能，來強化與Helm打包K8s應用的部署和維運能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Flux%E7%9B%B8%E9%97%9C%E6%95%B8%E6%93%9A.jpg" /></p> <p><strong><span style="color:#0000FF;">#Tanzu、#K8s管理平臺</span><br /> VMware揭露更多部署文件，介紹如何在企業私有雲中自建Tanzu控制平臺</strong></p> <p>為了管理多雲跨雲的K8s叢集，VMware早在2019年就推出了Tanzu Mission Control雲端服務，以SaaS形式來提供跨企業內部私有K8s叢集和外部不同公雲K8s的集中式管理服務，不只可以集中控管不同K8s叢集的政策、權限，還能在單一平臺上監控不同環境下K8s叢集的運作和健康狀態。維運團隊可以透過政策套用，統一管理不同公雲或私有雲上的K8s資源利用方式，簡化跨雲多雲管理的複雜度，甚至Tanzu Mission Control甚至可以整合到GitOps流程來建立自動化的開發維運流程。不過，過去幾年，VMware只提供SaaS訂閱模式，直到最近，越來越多大型企業受限於法遵考量，想要在私有雲或指定地點的主權雲中，管理自家的資料和執行環境，VMware才決定推出自建版本，讓企業可以自行部署，8月中更釋出詳細的自建說明文件，向企業說明，如何在自家私有雲中部署Tanzu Mission Control，統一管理分散在不同公雲上的K8s叢集。</p> <p><strong><span style="color:#0000FF;">#GPT、#K8s管理</span><br /> 用生成式AI支援DevOps維運團隊，D2iQ新版K8s平臺新增Chatbot維運幫手</strong></p> <p>K8s軟體工具商D2iQ宣布8月發布的新版K8s平臺DKP 2.6版中，利用GPT-3.5模型，打造了一款AI Navigator的Chatbot小幫手，可以協助DevOps維運團隊解決問題。D2iQ將內部用來排除問題的知識庫和企業用戶常見問題的排除作法的資料，以及DKP平臺的所有參考文件，來訓練出這一款Chatbot維運小幫手，可以回答像是如何修復叢集配置錯誤、解決升級失敗問題、辨識和修正YAML檔程式碼錯誤，甚至可以協助追蹤和修正系統錯誤，也可以用自然語言提問來查詢DKP的相關產品文件說明內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E7%B6%AD%E4%BF%AE-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-D2iQ.jpg" /></p> <p><strong><span style="color:#0000FF;">#K8s控制平臺、#ClusterAPI</span><br /> K8s管理平臺有新選擇，雲原生軟體商Mirantis發布開源K8s控制平臺</strong></p> <p>Mirantis早從2012年原本重心是OpenStack系統整合，後來轉而押寶K8s，在2019年買下Docker企業產品和業務團隊，最近推出了開源的K8s管理平臺k0xmotron控制平臺專案，利用ClusterAPI來提供跨K8s叢集的集中式管理平臺。這個控制平臺要先部署在企業既有的K8s平臺上，作為主要的上層K8s（作為母管理叢集），來管理其他的K8s叢集，等於是採用K8s管理K8s叢集的設計架構。</p> <p>Mirantis官方指出，這個管理平臺不只可以管理跨不同公雲上的K8s叢集，還可以用來管理部署在邊緣裝置、遠端分公司或IoT設備上的工作節點（Worker Node），等於可以統一管理大型雲端叢集和小型邊緣節點上的K8s應用。Mirantis官方更表示，k0xmotron專案下一步發展目標是，可以支援到虛擬機器的調度管理，來建立一個更高度自動化，更簡化複雜的雲端原生基礎架構的管理，不過，Mirantis沒有透露，目前k0xmotron專案可以管理到多大規模的K8s叢集。</p> <p><strong>#變更開源授權、#HashiCorp<br /> 知名IaC平臺商HashiCorp未來版本全面改採BSL授權，避免遭雲端業者濫用不付錢</strong></p> <p>知名IaC工具Terraform和多項重量級開源專案Vault與Consul的開發公司HashiCorp，宣布其原始碼授權將從原本的MPL 2.0（Mozilla Public License v2.0），改為使用BSL v1.1，這項變更將在HashiCorp所有產品的未來版本生效。HashiCorp創辦人暨技術長Armon Dadgar解釋，目前仍有供應商濫用純OSS模型獲利，卻又不提供實質貢獻。</p> <p>MySQL創始人Michael Widenius主導發展的BSL授權，允許創作者對軟體的使用情境定義不同的授權條款，甚至要求，開發者設定的變更日期或是第四年開始，BSL授權就會轉為如GPL等真正的開源授權。有意商用化的業者，必須另外取得授權，否則就得開源自家程式碼。在成為開源授權之前，BSL允許開發者在非商業用途下免費使用該軟體。</p> <p><strong><span style="color:#0000FF;">#Linux、#RHEL原始碼爭議</span><br /> RHEL的企業版Linux原始碼有新下載管道，甲骨文聯手SUSE與CIQ另找出路</strong></p> <p>在紅帽宣布不再對外公開RHEL原始碼而改採具名申請下載制之後，引發了Linux社群的抗議，批評紅帽違反了開源的精神。看上龐大企業級Linux需求，同屬Linux領域的甲骨文、SUSE及CIQ在8月初另外成立了一個新的基金會Open Enterprise Linux Association（OpenELA），將提供開放且免費的Enterprise Linux（EL）原始碼，來鼓勵外界開發相容於RHEL的Linux版本。</p> <p>OpenELA的任務包括提供各種來源與工具，以及開源的EL版本，以供開發者得以建立及維護幾乎一樣的EL下游版本，也鼓勵上游社群作出額外的貢獻。計畫今年就會提供讓下游版本相容於RHEL的必要資源，初期將鎖定RHEL的EL 8與EL 9，也可能包括EL 7。目前並不確定OpenELA所提供的原始碼是否會與RHEL完全相同。紅帽是在今年6月僅開放外界存取屬於RHEL測試版的CentOS Stream原始碼，未來的RHEL原始碼將藉由Red Hat Customer Portal，直接供應給紅帽客戶與合作夥伴。</p> <p><strong>更多新聞</strong></p> <ul> <li>去年採用率大增51％的開源容器調度引擎CRI-O專案，正式從CNCF孵化專案中畢業</li> <li>IaC服務商Pulumi發表新版Kubernetes 4.0，預設採用SSA模式更容易更新各項資源</li> </ul> <p><strong>@資料來源：iThome整理，2023年8月</strong></p> <p>責任編輯：王宏仁</p> </div></div></div>
2023/8/21 13:10作者王宏仁https://www.ithome.com.tw/news/158349
南韓政府將打造兩座基於當地AI晶片的資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓媒體報導，南韓政府在上周舉行的緊急經濟首長會議中決定，將由政府主導建置兩座採用當地AI晶片的資料中心，一來得以推動南韓AI晶片的應用，二來這兩座資料中心將用以發展新興技術。</p> <p>根據《韓國時報》（<a href="https://www.koreatimes.co.kr/www/biz/2023/08/602_357270.html" target="_blank">The Korea Times</a>）與《<a href="https://www.news1.kr/articles/5142477" target="_blank">News1</a>》的報導，這兩座資料中心將分別於2024年及2025年設立於光州及京畿道，亦將專門用來發展各種新興技術，包括城市的空中運輸、氫能、自駕車，以及電動汽車電池。</p> <p>這只是南韓政府K-Cloud專案中的其中一環。該國政府在去年12月發表了K-Cloud專案，計畫在2030年以前利用當地研發的高階AI晶片，建設一個完整的AI生態體系，整個專案的預算高達6.3億美元。K-Cloud有三個階段，今年正式啟動的第一階段是在2025年以前，開發供所有資料中心使用的神經處理單元，以建置一個可帶來39.9 petaflops運算能力的資料中心叢集，供公、私領域使用。</p> <p>第二階段則是在2028年開發基於DRAM，但具備運算能力的記憶體晶片（Processing-In-Memory，PIM），藉由整合記憶體及處理能力來減少延遲，同時解決與匯流排速度有關的馮紐曼瓶頸（Von Neumann Bottleneck）。最後一個階段即是升級PIM至非揮發性記憶體與再度降低電力損耗，預計於2030年前完成。</p> <p>南韓財政部部長秋慶鎬向《韓國時報》表示，該國政府將採取積極措施，來鬆綁那些阻礙投資及新興產業成長力道的法規，也會加強對半導體新創公司於原型製作上的支持。</p> </div></div></div>
2023/8/21 14:51作者陳曉莉https://www.ithome.com.tw/news/158371
開源資安業者ProjectDiscovery募得2,500萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.projectdiscovery.io/announcing-projectdiscovery-cloud-platform-25-million-series-a-2/" target="_blank">開源資安業者ProjectDiscovery上周宣布</a>，已完成2,500萬美元的A輪增資。</p> <p>ProjectDiscovery原本只是個由幾個資安開發人員閒暇時所從事的業餘專案，主要理念為「最好的防禦是一個良好的攻擊性安全計畫」，認為當前組織的資安系統設計多是著重於滿足審核的需求，而無法真正抵擋攻擊，於是，他們自兩年前開始打造各種開源工具，以讓資安工程師更容易設計及管理漏洞的工作流程，由於大受歡迎而決定在2021年募集種子資金，並成為全職專案。</p> <p><a href="https://github.com/projectdiscovery" target="_blank">迄今ProjectDiscovery已提供了</a>超過20種開源工具，較為知名的包括可用來集中管理多雲資產的<a href="https://github.com/projectdiscovery/cloudlist" target="_blank">Cloudlist</a>，以及可用來掃描涵蓋TCP、DNS、HTTP、SSL、File、Whois、Websocket及Headless等各種協定的<a href="https://github.com/projectdiscovery/nuclei?ref=blog.projectdiscovery.io" target="_blank">Nuclei</a>。</p> <p>接著ProjectDiscovery建立了基於Nuclei專案的Nuclei Cloud服務，並在今年2月納入更多工具，更名為ProjectDiscovery Cloud Platform，提供企業等級的SaaS服務，新平臺強化Nuclei專案的自動化與協作能力，供應遠端掃描、掃描歷史紀錄、掃描調度、共享儲存或自動化漏洞確認等功能。</p> <p>創辦人之一的Rishiraj Sharma表示，ProjectDiscovery Cloud Platform是個集結該專案近4年來所有成果的商業化版本，主要目標是確保它能方便地進行大規模部署，同時滿足所有的安全要求以成為企業的可行選擇。</p> <p>對於坊間的私有安全工具，Sharma的觀點是它們產生太多的誤報，使其難以判斷漏洞的優先順序，也缺乏客製化能力，並誇大許多漏洞的嚴重性，亦不容易執行跨團隊與部門的合作，至於開源的資安公司或許不常見，但ProjectDiscovery找到了那些相信開源得以推動創新，也讓所有人更容易存取安全工具的投資人。</p> <p>現在ProjectDiscovery將利用此一A輪資金來建置更可靠的開源安全軟體，以讓大型企業也能受惠於開源工具的透明度與應對速度。</p> </div></div></div>
2023/8/21 13:21作者陳曉莉https://www.ithome.com.tw/news/158350
Google證實LLM可改善開源軟體漏洞測試計畫OSS-Fuzz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/08/ai-powered-fuzzing-breaking-bug-hunting.html" target="_blank">Google指出</a>，善用大型語言模型（Large Language Model，LLM）可自動化開源軟體漏洞模糊測試計畫OSS-Fuzz，進而使程式碼的檢查範圍平均提升1.5%到31%。Google計畫之後釋出工具，讓其他開發人員也能用LLM對開源碼專案自行模糊測試。</p> <p>模糊測試（fuzz testing）為於軟體中輸入無效或隨機資料，來快速及全面監控程式的反應，經常被用來檢測軟體或電腦系統的安全漏洞。<a href="https://www.ithome.com.tw/news/110052" target="_blank">Google 2016年釋出</a>針對開源碼軟體的模糊測試專案OSS-Fuzz，以協助開發人員尋找軟體中的瑕疵或安全漏洞。一開始支援C與C++語言，<a href="https://www.ithome.com.tw/news/143151" target="_blank">幾年下來擴大到JVM/Java </a>、Rust、Go與Python，也可以用於LLVM支援的語言。幾個月前，Google OSS-Fuzz專案小組做了一項實驗，使用Google大型模型語言（LLM）來提升OSS-Fuzz的效能。他們發現LLM可有效擴大OSS-Fuzz服務對專案程式碼覆蓋率，且不需撰寫新的程式碼。</p> <p>OSS-Fuzz自2016年迄今，已辨識出超過1,000個安全漏洞，但是Google認為可以再更多。目前OSS-Fuzz一項開源碼專案程式碼的平均覆蓋率僅為30%，即大部分程式碼都被遺漏了，因此專案小組相信，如果擴大fuzz target，可以找到更多漏洞。Fuzz target是發送隨機輸入值測試程式碼的函式，但是撰寫fuzz target得依不同專案進行，且需要人力花時間撰寫，問題是這些專案維護人員通常是志工，吃力又不討好。</p> <p>為此Google 訓練LLM來撰寫模糊測試fuzz target函式。專案小組寫了一個評估框架架在OSS-Fuzz的檢查工具和LLM之間並展開實驗。他們Fuzz檢查工具（Introspector tool）找出樣本專案的程式碼未經模糊測試的部分，將程式碼送到評估框架。評估框架發出一項提示，包含一些專案必要資訊，要求LLM撰寫新的fuzz target。之後評估框架以LLM撰寫的fuzz target執行模糊測試，再觀察執行結果及覆蓋率。如果fuzz target無法組譯，評估框架就會要求LLM修改fuzz target直到修正錯誤。</p> <p>一開始，LLM撰寫的fuzz target程式碼的確無法組譯，但重覆幾次並測試新的fuzz target後，研究人員發現，開源專案程式碼覆蓋率平均增加了1.5%到31%。Google的樣本專案之一tinyxml2的程式碼覆蓋率則由38%上升到69%，專案小組完全零介入。研究人員說，若以人力撰寫來複製tinyxml2的結果，至少需要一天時間。這意味著，整個OSS-Fuzz現有處理的1,000多個專案，要以人力來擴大覆蓋率，得花好幾年。</p> <p>Google以LLM測試OpenSSL專案時，撰寫了一個新的target，在之前沒測試的程式碼又發現了CVE-2022-3602。這雖非新漏洞，但也顯示，只要擴大程式碼覆蓋率，就可能找出更多漏洞。</p> <p>基於tinyxml2實驗的成功證明，加入LLM可望能大幅提升程式碼覆蓋，Google希望把LLM的自動化技術正式用在其他OSS-Fuzz專案上。</p> <p>幾個月後，Google會將其評估框架開源，讓其他研究人員測試其LLM撰寫的fuzz target。Google也會持續改善其LLM撰寫fuzz target的能力及基礎架構，並且和Google Assured OSS部門合作，以便確保Google Cloud客戶拿到更安全的開源軟體。</p> </div></div></div>
2023/8/21 11:44作者林妍溱https://www.ithome.com.tw/news/158341
微軟將和Databricks合作，生成式AI工具不獨鍾OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/microsoft-plans-ai-service-with-databricks-that-could-hurt-openai" target="_blank">《The Information》報導</a>，雖然微軟投資OpenAI超過百億美元，但其Azure生成式AI服務並不想只提供單一技術，近日又預計再引進OpenAI競爭者Databricks作為合作夥伴。</p> <p>報導引述消息人士指出，微軟Azure計畫很快會銷售Databricks AI服務。這項服務可讓用戶從頭打造AI模型，或重覆使用其開源AI模型，也能取代OpenAI的專屬授權模型。</p> <p>Databricks原本提供雲端開源資料及AI平臺服務，包括資料湖Delta Lake、機器學習框架MLflow及分析引擎Spark等，原本微軟就已提供Azure Databricks的雲端服務選項，包括<a href="https://learn.microsoft.com/en-us/azure/databricks/machine-learning/" target="_blank">Azure Machine Learning</a>、<a href="https://learn.microsoft.com/zh-tw/azure/databricks/spark/" target="_blank">Azure Sparks</a>服務等。雙方也正在開發機密運算（confidential computing）產品，以確保AI產出的結果未經惡意操弄或竄改。</p> <p>Databricks本來就已提供生成式AI模型Dolly，<a href="https://www.ithome.com.tw/news/157525" target="_blank">7月間宣布</a>以13億美元收購生成式AI平臺MosaicML，結合Databricks Lakehouse平臺幾近直線的資源擴充能力，使數十億參數的生成式AI模型訓練時程從幾天縮短到幾小時，成本也可從數百萬降到數萬美元。最新收購也讓Databricks成為OpenAI直接競爭者。</p> <p><a href="https://accelerationeconomy.com/cloud-wars/cloud-wars-minute/microsofts-satya-nadella-databricks-ali-ghodsi-detail-partnership-for-ai-governance-security/" target="_blank">6月間Databricks用戶大會Databricks Data + AI Summit上</a>，微軟執行長Satya Nadella站臺時透露正在進行一項整合Azure、OpenAI和Databricks的聯合計畫。《The Information》報導指出，微軟和Databricks生成式AI的合作顯示，微軟希望能拓展OpenAI以外的業者，以提供客戶更多元的AI方案選擇。</p> <p>微軟作為雲端大廠提供多元AI模型並不意外。AWS今年4月推出AI模型平臺服務Amazon Bedrock，提供Anthropic、AI21、Stable Diffusion及Cohere等業者的AI模型選擇，不限於AWS自有模型Titan。</p> <p>這項宣布讓OpenAI面臨新一波挑戰。<a href="https://www.ithome.com.tw/news/158327" target="_blank">近日一份研究顯示OpenAI承受極大營運壓力</a>，光是ChatGPT一天就要花掉它70萬美金。OpenAI若再無法大幅提升其營收，可能很快就會面臨財務危機。</p> <p><a href="https://www.npr.org/2023/08/16/1194202562/new-york-times-considers-legal-action-against-openai-as-copyright-tensions-swirl" target="_blank">報載</a>，《紐約時報》因和OpenAI使用其新聞內容訓練AI模型的付費授權陷入爭議，紐時考慮控告OpenAI，並要求從其訓練資料集移除其報導內容。一旦雙方上法院且OpenAI敗訴，後者不但得支付每報導15萬美元的罰款，還得變更資料並重製GPT模型。</p> <p>此外美國聯邦貿易委員會（FTC）也正在調查，OpenAI是否有危害消費者隱私及名譽等情事。</p> </div></div></div>
2023/8/21 11:57作者林妍溱https://www.ithome.com.tw/news/158344
【資安週報】2023年8月14日到8月18日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週有兩個漏洞利用狀況要注意，首先，GitLab在2021年4月修補影響CE與EE版本的CVE-2021-22205重大漏洞，近期發現有鎖定未修補該漏洞系統的Labrat攻擊行動；第二，關於Adobe旗下的Magento Open Source在去年2月修補的CVE-2022-24086漏洞，發現今年1月有駭客針對未修補該漏洞的電子商務網站下手。</p> <p>其他漏洞消息方面，重要的包括：CyberPower資料中心基礎設施管理平臺的多項漏洞揭露與修補，視訊會議Zoom零接觸設定功能漏洞的揭露與緩解，以及軟體開發套件Codesys V3高風險漏洞恐影響全球PLC安全的揭露。關於於微軟PowerShell Gallery存在3個缺陷的揭露也不容輕忽，恐引發供應鏈攻擊。</p> <p>在防禦發展態勢上，有兩大重要消息，除了NIST網路安全框架（NIST CSF）近期有2.0版草案發布的消息，關於及早啟動PQC轉換的最新進展，亦受極大重視，Google去年底部署PQC演算法於其雲端內部後，最近他們宣布新進展，那就是針對3年前開源的FIDO實體安全金鑰OpenSK，以及Chrome瀏覽器116版，採混合方式導入PQC演算法。而在IThome最新一期GovTech月報，也提到臺灣政府發布公務人員安全使用ChatGPT指引草案，及政府為提升官網韌性如今正擴大採用雲原生技術的消息。</p> <p>在攻擊事件焦點方面，我們看到有4起事件需關切，尤其是企業組織面對零時差漏洞攻擊，除了修補因應，同時也該清查入侵狀況。從最新研究來看，出現已修補漏洞，卻嚴重疏於確認伺服器是否已遭入侵的事故，以下是本週重大攻擊事件：</p> <p>●關於上個月出現鎖定Citrix NetScaler伺服器零時差漏洞的攻擊活動，儘管後續廠商修補釋出、多數企業組織著手修補，但有研究人員從這場攻擊行動使用的Web Shell來追蹤，發現有6成8比例的伺服器已被植入後門程式。<br /> ●今年5月開始出現對於利用QRcode的大型網釣活動，有一美國大型能源公司在1千多封電子郵件中，有近3成比例的郵件包含惡意QRcode，而當中的釣魚連結是採用Bing重導URL所組成。<br /> ●中國政府支持的國家級駭客組織RedHotel近年攻擊活動被揭露，主要鎖定臺、美、捷克及東南亞多國的政府、學術、航太、媒體、電信與研發中心，臺灣也是目標之一，包括工研院與一家國內遊戲公司。<br /> ●勒索軟體BlackCat更名升級為Sphynx後，近期發現新納入駭客工具Remcom，並開始聚焦橫向感染能力，整合網路通訊框架Impacket針對NTLM Relay攻擊。</p> <p>至於其他可留意的威脅態勢，包括：DNS中毒攻擊手法MaginotDNS的揭露，近半年駭客濫用Cloudflare R2代管釣魚網頁的狀況出現暴增61倍的態勢，還有美國新發布駭客組織Lapsus$攻擊報告，呼籲企業組織應強化雙因素驗證。</p> <p>在臺灣方面，資安相關活動接連舉辦，像是臺灣駭客年會HITCON Community 2023登場，以及TWCERT/CC舉辦企業資安演練，邀集國內高科技與電信業，但也有5起消息引起大眾關心：</p> <p>●門諾公益捐款公告資料外洩，說明去年5月中國駭客攻擊導致均款人資料疑遭竊<br /> ●Google今年3月推出的Dark Web Report功能，最近臺灣用戶可以開始使用<br /> ●國內資安業者發布網域檢測報告，全臺7成五星飯店未妥善管理電子郵件安全<br /> ●發生警員將帳密資料張貼公務電腦，其他警員濫用其帳密查詢女藝人個資的事件，兩人分別因違反資通安全被懲處，及妨害電腦使用、違反個資法被起訴。<br /> ●我們在週末盤點相關消息時，新發現一起先前資安日報尚未提及的事件：專注於自行車傳動器組件製造的上市公司<a href="https://s4.itho.me/sites/default/files/images/2023-08-20_093124_iThome%E8%B3%87%E5%AE%89%E5%91%A8%E5%A0%B1.jpg"><span style="color:#0066ff;">日馳企業，在8月19日傍晚6時發布資安事件重大訊息</span></a>，說明部份資訊系統遭受網路攻擊事件。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158241"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月14日】DEF CON搶旗攻防賽臺灣勇奪第3</span></strong></a></h3> <p>國際資安大會DEF CON 31於8月10日至13日於美國拉斯維加斯登場，搶旗攻防賽（CTF）也在本週末如火如荼地舉行，臺灣CTF戰隊TWN 48也參與其中，並從12個參賽隊伍當中獲得第3名的優異成績，是臺灣第10次組隊參加此項競賽。</p> <p>另一個也幾乎同時進行的搶旗攻防賽也相當引人關注，那就是針對太空安全的Hack-A-Sat，因為，這次5組參賽隊伍的攻防標的，是實際於太空運作的衛星Moonlighter。</p> <h3><a href="https://www.ithome.com.tw/news/158283"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月15日】臺灣等17個國家遭中國駭客RedHotel鎖定，進行網路攻擊行動長達3年</span></strong></a></h3> <p>隨著國際局勢日趨緊張，不時傳出中國駭客發動攻擊的情況。其中，資安業者Recorded Future公布一起為期長達3年的網路間諜攻擊行動，由政府資助的中國駭客RedHotel發起，值得留意的是，受害組織的基礎設施、簽章，有可能被這些駭客拿去攻擊其他目標。</p> <p>關於臺灣遭遇相關攻擊的部分，該公司表示，駭客竊得臺灣電玩公司的簽章，並將其用於簽署惡意DLL檔案，最終還以此在其他目標組織側載惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/158300"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月16日】Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持</span></strong></a></h3> <p>一個月前Citrix修補NetScaler零時差漏洞CVE-2023-3519，並透露當時已出現攻擊行動，但究竟有多少伺服器受害？繼Shadowserver基金會本月初找到有640臺伺服器被入侵之後，最近這幾天有研究人員公布新的調查結果，遭駭伺服器數量逼近2千臺。</p> <p>值得留意的是，雖然有很多IT人員套用了更新程式，但並未檢查伺服器是否在尚未修補的時候就被入侵，而使得這些系統仍然受到攻擊者的擺布。</p> <h3><a href="https://www.ithome.com.tw/news/158313"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月17日】Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍</span></strong></a></h3> <p>為了避免被資安系統察覺異狀，駭客使用合法雲端服務來「代管」釣魚網站的情況，算是相當常見，有不少是利用Google Drive、微軟OneDrive、Dropbox等檔案共用服務來進行。而最近一波網釣攻擊引起研究人員關注，因為今年有越來越多駭客運用Cloudflare物件儲存服務R2存放釣魚網頁內容，以此企圖蒙混過關，企圖竊取使用者的微軟帳號，以及Adobe、Dropbox等雲端服務的帳密資料。</p> <p>另一起由駭客組織MoustachedBouncer發起的網路釣魚攻擊行動，也相當特別，因為目標竟然是特定國家的網際網路服務供應商（ISP）。</p> <h3><a href="https://www.ithome.com.tw/news/158332"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月18日】駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬</span></strong></a></h3> <p>駭客剝削電腦資源並用來獲利的情況，除了挖取加密貨幣，將受害電腦當作代理伺服器轉賣頻寬的手法（Proxyjacking）也不時傳出，但過往這類攻擊大多是針對個人電腦而來，現在有人鎖定企業組織的開發環境下手。資安業者Sysdig揭露名為Labrat的攻擊行動，攻擊者就是鎖定尚未修補重大漏洞CVE-2021-22205的GitLab伺服器下手，進而在容器部署挖礦軟體、代理伺服器軟體（Proxyware）。</p> <p>此外，許多流量挾持攻擊是針對Windows電腦而來，但近期也有鎖定Mac電腦的惡意軟體攻擊行動AdLoad，每週有數千個IP位址與代理伺服器連線。</p> </div></div></div>
2023/8/21 10:10作者羅正漢https://www.ithome.com.tw/news/158337
AI趨勢周報第224期：波士頓大學發布大型語言模型Platypus，占排行榜第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0811～0817)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">波士頓大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Platypus </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>波士頓大學發布大型語言模型Platypus，占排行榜第一</strong></span></p> <p>最近，波士頓大學發布一系列大型語言模型（LLM）Platypus，包含不同參數版本。它們表現優異，在Hugging Face全球Open LLM排行榜上位居第一，所需的微調資料和訓練資源還不多。尤其，用單個A100 GPU、2萬5千個問題，就能在5小時內訓練出130億參數的Platypus模型。這是因為，Platypus採用自建的資料集Open-Platypus，該資料集是團隊從11個開放資料集中，特別編輯而成，著重改善LLM的STEM跨學科知識和邏輯能力。資料集中大部分問題為人工設計，只有10%是LLM生成，目前已開源。</p> <p>完善資料集後，團隊在模型開發上著重2大方法：低秩近似（LoRA）訓練和參數有效微調（PEFT）函式庫。有別於完整的微調，LoRA保留了預訓練模型權重，整合了Transformer層的秩分解矩陣，進而降低可訓練參數，節省訓練時間和成本。經過一系列LoRA模塊的微調和組合，團隊發現模型訓練更有效率，所擁有的知識也更完整。另一方面，團隊也花不少心力把關資料集的污染和完整性，還設置一套驗證方法，來確保資料集的品質。<a href="https://platypus-llm.github.io/">（詳全文）</a></p> <p><img alt="" src="https://platypus-llm.github.io/Platypus_files/HF.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 濫用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 使用限制 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>9月底將正式上路！微軟頒布AI使用限制，將收集用戶對話防止濫用</strong></span></p> <p>為防止AI被用於侵權、傳播deepfake影片或惡意程式等行為，微軟9月30日將實行AI服務政策，防範使用者濫用或惡意使用AI服務，也將監控用戶的輸入和使用行為。微軟先是在7月30日公布新版微軟服務協議，新增5項AI服務相關規定，包含不得逆向工程、汲取資料、濫用AI服務的產出，以及用戶的法律責任等，這些規定預計9月30日正式實施。</p> <p>進一步來說，微軟規定使用者不得以其AI服務來探詢其底層元件，包括模型、演算法和系統，他們也不得判斷或改變模型的權重。此外，除特別准許，使用者不能用網頁爬蟲、網頁抓取或網頁資料擷取手法，從AI服務取得資料。微軟還禁止用戶利用AI服務或其產生的資料，來訓練、打造或改進其他AI服務。微軟還強調，未來將處理、儲存用戶輸入的提示和其產出，以監控和防範濫用。，若用戶使用微軟的AI服務，結果導致第三方單位追究，如侵害版權或其他與內容有關的責任，一律由用戶負起所有法律責任。<a href="https://www.microsoft.com/en-us/servicesagreement/upcoming.aspx">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 內容審查 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI用GPT-4來加速內容審查工作</strong></span></p> <p>OpenAI宣布大型語言模型GPT-4又有新用途，可協助社群網站或論壇管理員審查平臺上的大量內容，將內容審查政策更新周期從幾個月，縮短為幾小時，來減輕人力負擔、降低對審查員的心理傷害。社群平臺常態性的網頁內容仲裁和審查工作，大都仰賴人力檢視大量內容，不但慢，還對人類審查員造成心理壓力或傷害。為此，OpenAI展開研究，要用LLM解決上述挑戰。他們測試發現，用GPT-4於內容管理系統，有幾大優點，包括可加速審查政策的更新，且GPT-4能解讀冗長政策文件中的規則，甚至是不同規則間細微的差異，並立即套用到政策更新，使其標註更為一致化。</p> <p>OpenAI也分享實作方法，平臺管理員可先撰寫出政策指引，並以幾個範例、加上政策要求的標註，作為標準訓練資料集。再來是讓GPT-4讀取政策，來自動為資料集加標註（不看人類寫的正確答案）。第三步是讓GPT-4比較自己和人類的答案，政策專家可叫GPT-4說明它標註的理由，分析政策定義中模稜兩可的地方、釐清模糊不清之處，再建議更清楚的政策用語。最後，第2、3步驟可反覆執行，直到人類滿意為止。OpenAI指出，這種迭代流程可提升審查政策品質，以此設定分類器，可讓政策和內容審查作業擴大應用更多內容。<a href="https://openai.com/blog/using-gpt-4-for-content-moderation">（詳全文）</a></p> <p><img alt="" src="https://images.openai.com/blob/3d69d379-568e-45f9-9caa-9bf03890fd26/fact-factory-blog-diagram.jpg?trim=0,0,0,0&width=2600" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Project IDX </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出AI多平臺程式開發平臺Project IDX</strong></span></p> <p>為提升對開發人員的吸引力，Google發布可開發多平臺App的實驗性雲端整合開發環境計畫Project IDX，整合了Codey基礎模型和AI輔助程式撰寫等功能，讓開發人員打開瀏覽器就能開發程式。</p> <p>Google這幾年推出不少多平臺App開發平臺，如Angular、Flutter、雲端Google Colab、Firebase，但他們認為，整個多平臺App開發流程得要更順暢、更快才行，因此在幾個月前啟動Project IDX實驗。Project IDX是在Google雲平臺上打造的Web開發服務，打開瀏覽器就能用。Project IDX目的是簡化開發、管理及部署完整堆疊的Web與多平臺應用程式，且具備熱門框架及支援多種語言（如JavaScript、Dart），也提供AI輔助開發與預覽、發布工具。Google指出，Project IDX也可以微軟Code OSS為開發底層，就算是習慣微軟工具的開發者，也能快速上手。<a href="https://developers.googleblog.com/2023/08/introducing-project-idx-experiment-to-improve-full-stack-multiplatform-app-development.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiAxmbUfoHYSOAYXGMKwUcsM9lvq_UI01LieKKMmyDPcEM5f5TX4rLcRMsyJmIQCSNd1Yyea8Xz6jPiiA5uQ0JQpVAjg2AAdRY736CRNhNYDq0b_-ODRNh5RVn1CnRK7Dhb26wDMFC4Kd_5TJQksvn3nDADZe307TBvhsfDtpBQgz_U69mIYL-Ripfmhic/s1600/image4.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI開發 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Llama 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM在自家AI開發平臺提供Meta的Llama 2模型</strong></span></p> <p>IBM宣布在AI開發平臺Watsonx.AI提供Llama 2模型，讓企業用戶能簡單取用Llama 2模型，訓練為專屬模型、開發自家AI應用。Watsonx.AI是Watsonx平臺的一部分，可讓企業簡單地訓練、驗證、調校和部署AI模型，該平臺包括預先打包的人工智慧模型目錄，還有可用於模型訓練的資料集。</p> <p>而Llama 2是Meta在7月對外釋出的大型語言模型，IBM在Watsonx.AI中提供該模型，是延續過去與Meta在多個開源專案合作的基礎。IBM指出，他們目前的AI戰略是向用戶提供第三方和自家的模型。因此，在Watsonx.AI中，用戶可以使用到IBM和Hugging Face社群的模型，解決各種自然語言處理任務。接下來，IBM還計畫發布AI Tuning Studio，並在生成式智慧工具整合FactSheets資料治理服務。<a href="https://newsroom.ibm.com/2023-08-09-IBM-Plans-to-Make-Llama-2-Available-within-its-Watsonx-AI-and-Data-Platform">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Amazon </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 線上購物 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摘要 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Amazon用生成式AI摘要線上購物商品評論</strong></span></p> <p>Amazon指出，光是2022年，就有1.25億名顧客在線上商店貢獻15億條評論和評分，相當於每秒就有45條評論。於是，Amazon打造一套AI工具，可摘要線上購物商品評論，來產生評論亮點，在產品資訊頁面提供簡短說明文字，突出顯示顧客評論中最常提及的產品功能和情緒。</p> <p>其中，評論亮點功能會先在Amazon美國行動購物上線。此外，Amazon也指出，他們用機器學習模型分析了帳戶關聯、登入活動、評論歷史和各種異常行為，來阻擋虛假評論，專業調查員也會用複雜的詐欺偵測工具，來避免商店出現虛假評論。<a href="https://www.aboutamazon.com/news/amazon-ai/amazon-improves-customer-reviews-with-generative-ai">（詳全文）</a></p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/689a4e4/2147483647/strip/true/crop/1600x900+0+0/resize/2640x1486!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F27%2F37%2Ff1c218b44efcb753d04186ae7e77%2Finline-01-height-select.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Line </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Line日本開源自有大型語言模型</strong></span></p> <p>日前，Line日本總部開源一套日語大型語言模型japanese-large-lm，以Apache License 2.0授權開源，包含36億及17億個參數2個版本，允許商業用途，兩項專案都可以在HuggingFace Hub存取。</p> <p>Line自2020年11月起，就專注開發大型語言模型HyperCLOVA，還啟動多項應用計畫。Line在2021年5月開發者大會上，首次公開2,040億參數訓練而成的韓文版LLM HyperCLOVA，11月則公布日語特化版，擁有850億參數，並宣稱將以其發展一系列自然語言處理服務。這次開源的japanese-large-lm模型由Massive LM團隊開發，團隊指出，本模型是用了Line自己的日語大型Web文本為基礎來訓練，並利用成員自行開發的HojiChar開源函式庫，來過濾大量原始碼及非日語文字等雜訊，最後用了650GB資料集來訓練。<a href="https://engineering.linecorp.com/ja/blog/3.6-billion-parameter-japanese-language-model">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPTBot </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 網路爬蟲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 封鎖 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI開源網路爬蟲工具GPTBot，網管可禁止抓取</strong></span></p> <p>OpenAI日前開源一款網路爬蟲工具GPTBot，可自動抓取網路上公開的大量資料，用來訓練下一代大型語言模型、提高精準度。OpenAI開發這套工具的原因，是要解決從公開網站上擷取資料的隱私與智財權爭議，也因此，該工具能過濾刪除需要付費的網站，不抓取這些網站內容，但還是可能抓到能辨識身份的資訊，或違反OpenAI政策的內容。</p> <p>因此，OpenAI指出，網站管理員也可禁止GPTBot存取內容，比如在網站robots.txt檔案中加入GPTBot，或是自訂GPTBot存取網站部分內容。此外，OpenAI也公布GPTBot使用的IP位址範圍，方便網站辨識與封鎖。<a href="https://platform.openai.com/docs/gptbot">（詳全文）</a></p> <p>圖片來源／波士頓大學、OpenAI、Google、Amazon</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google再測試生成式AI，讓Chrome協助使用者摘錄重點</strong></p> <p><strong>2. Stability AI推出自家程式碼生成模型StableCode</strong></p> <p><strong>3. 資料科學家愛用程式語言Julia首進TIOBE Index前20名</strong></p> <p>資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/8/20 02:12作者王若樸https://www.ithome.com.tw/news/158338
提供多種遠端控制功能，英特爾持續發展商用PC管理平臺EMA
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_ema_server-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升企業積極採購與汰換商用個人電腦意願，今年7月初英特爾難得針對他們發展17年的vPro平臺，舉辦媒體說明會，<a href="https://www.ithome.com.tw/news/157727">活動現場展出多種功能</a>，其中針對管理多臺電腦的需求，他們介紹一套自行發展的軟體解決方案，稱為Endpoint Management Assistant（EMA），最新版1.11於8月10日推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-16-Intel EMA 1_11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-16-Intel%20EMA%201_11.jpg" style="width: 500px;" /></a></p> <p>EMA最初於<a href="https://download.intel.com/newsroom/2021/archive/2019-11-05-news-intel-endpoint-management-assistant-makes-managing-remote-intel-vpro-platform-based-devices-easier.pdf">2019年11月發表</a>，這一年的5月底英特爾宣布推出第10代Core個人電腦處理器，到了年底EMA正式登場之際，他們提到這是vPro平臺的一部分，能將英特爾長期發展的主動式管理技術（AMT），以現代化的架構呈現，對於有意從雲端環境管理多臺配備此平臺技術的端點設備，提供簡易的操作方式、不會打斷既有的處理流程，減少IT部門管理這些設備所需耗費的成本。</p> <p>整體而言，EMA提供哪些功能？企業可透過設置於雲端服務的環境，進而能從遠端、安全地連接支援Intel AMT技術的設備，基本上，對於身處任何地區的員工，IT人員可經由EMA提供軟體或韌體更新，以及重新啟動個人電腦系統的技術支援；EMA本身也能整合AMT技術的存取，使其可經由RESTful API的中介與轉接，而能在用戶自行開發或第三方廠商開發的管理主控臺，進行相關的操控；這項解決方案同時具備進階的大量個人電腦監控功能，可協助用戶從遠端進行集中管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-Intel EMA 1_3-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-Intel%20EMA%201_3-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-Intel EMA 1_3-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-Intel%20EMA%201_3-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2020-Intel EMA 1_3-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-Intel%20EMA%201_3-3.jpg" style="width: 298px;" /></a></p> <p>根據英特爾最新公告的EMA相關技術文件，我們可以更具體了解其運作架構與功能特色。在系統建置的方式上，EMA採用主從式架構，可區分為兩大部分：EMA Server與EMA Agent，前者負責提供管理主控臺與API介面，後者則安裝在列管的個人電腦，協助這些裝置連上EMA Server，使其能夠執行集中管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-06-Intel%20EMA%20overview.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20Client-Server.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA limits.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20limits.jpg" style="width: 600px;" /></a></p> <p>基本上，EMA Server可設置在企業內部網路或是雲端服務環境，需安裝在Windows Server 2019或2022作業系統；EMA Agent目前可安裝在Windows 10或11作業系統的實體個人電腦上；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20Deployment%20location.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20EMA%20Deployment.jpg" style="width: 600px;" /></p> <p>EMA若用於控管配備vPro平臺、AMT技術的電腦，可提供頻外（out-of-band）、硬體層級的管理，由於這裡搭配軟體的代理程式，因此也能涵蓋非vPro平臺的個人電腦，若這些裝置處於完成開機、啟動作業系統狀態，也能橫跨網路防火牆進行遠端安全控管，實現頻內（in-band）控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08--Intel EMA 1_8 Server generation client files.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08--Intel%20EMA%201_8%20Server%20generation%20client%20files.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08--Intel EMA 1_8 Agent install.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08--Intel%20EMA%201_8%20Agent%20install.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA vPro 1_8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20vPro%201_8.jpg" style="width: 198px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20OOB.jpg" style="width: 600px;" /></p> <p>在管理多臺個人電腦的作法上，EMA Server採用階層式概念來區隔不同業務實體，例如，最上層的實體稱為租戶（tenant），可代表一家公司、一個部門單位，或是一個地區辦公室，而在每個租戶之中，可包含使用者（帳號、角色、群組）、端點（裝置、群組）、組態（AMT、Wi-Fi等設定）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel EMA tenant.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20EMA%20tenant.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08--Intel EMA 1_8 AMT Profile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08--Intel%20EMA%201_8%20AMT%20Profile.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08--Intel EMA 1_8 endpoint groups.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08--Intel%20EMA%201_8%20endpoint%20groups.jpg" style="width: 298px;" /></a></p> <p>導入EMA系統之後，IT人員能對列管的個人電腦執行哪些動作？</p> <p>英特爾目前已發展出多種功能，像是：網路喚醒（Wake-On-LAN，僅支援vPro平臺）、設定警報鬧鐘、睡眠（Sleep）／休眠（Hibernate）／關機（Power off）／重新啟動（Restart）、傳送警示訊息、檔案存取、終止端點管理作業、操控多臺電腦桌面畫面（可提供頻內或頻外KVM）、</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA Remote KVM 1_8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20Remote%20KVM%201_8.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA Remote KVM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20Remote%20KVM2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA Remote KVM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20Remote%20KVM3.jpg" style="width: 198px;" /></a></p> <p>掛載IMG或ISO映像檔，以及電腦系統清除：<a href="https://software.intel.com/sites/manageability/AMT_Implementation_and_Reference_Guide/default.htm?turl=WordDocuments%2FSecure_Remote_Platform_Erase.htm">Remote Platform Erase（RPE）</a>、<a href="https://www.intel.com/content/www/us/en/docs/active-management-technology/developer-guide/2021/remote-secure-erase.html">Remote Secure Erase（RSE）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE3.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE4.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE5.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2021-Intel EMA RSE6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-Intel%20EMA%20RSE6.jpg" style="width: 198px;" /></a></p> <p>若以資安預防的角度而言，EMA提供的遠端喚醒與重開機的功能，可協助企業在下班或休假期間，遠端進行電腦系統診斷、排程部署修補與更新程式，以免因系統需重新開機而影響業務持續運作，以及人員生產力；</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Intel EMA alarm1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Intel%20EMA%20alarm1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-08-Intel EMA alarm2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Intel%20EMA%20alarm2.jpg" style="width: 298px;" /></a></p> <p>另一個很實用的功能則是系統清除RPE，在個人電腦汰換、重新使用、因故障修復或遺失而取回時，企業依據資安政策需執行資料抹除的作業，透過EMA的幫忙，可進行多種處理程序，像是抹除固態硬碟資料、將硬碟回復到出廠預設值、清除BIOS記憶體內容、將BIOS設定重設至出廠預設值，以及將TPM執行狀態重設、清除裡面存放的所有金鑰，也能將電腦製造商自行增添的所有設定進行抹除，甚至能強制使用者不能設定融合式安全與管理引擎（CSME），使得用於遠端管理的AMT技術無法重建使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-Intel EMA vPro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-Intel%20EMA%20vPro.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20RSE%20process.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Intel Endpoint Management Assistant 1.11<br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●個人端作業系統需求：Windows 10、Windows 11<br /> ●伺服器作業系統需求：Windows Server 2019、Windows Server 2022，網站伺服器IIS 10<br /> ●伺服器硬體需求：2顆8核心16個執行緒Xeon處理器、24GB記憶體、2臺1TB硬碟，可支援2萬個連線<br /> ●伺服器資料庫系統需求：SQL Server 2017、SQL Server 2019、SQL Server 2022<br /> ●支援AMT技術世代：11到16</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/19 16:54作者李宗翰https://www.ithome.com.tw/review/158304
Fintech周報第214期：金融科技發展路徑圖2.0正式發布，星展銀行投入千名IT人力進行資訊系統整併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#8B4513;"><span style="font-size:16px;"><strong>2023/8/2~8/16金融科技精選新聞</strong></span></span></h3> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技發展路徑圖 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span></h3> <h3>金融科技發展路徑圖2.0正式發布</h3> <p>金管會近日正式發布<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202308150002&dtable=News">金融科技發展路徑圖2.0</a>，從1.0奠定的金融科技生態圈發展基礎，以包容、公平、永續和國際化作為四大目標，推出共65項推動事項，包括訂定金融業應用AI指引、發布跨市場資料共享的資料治理指引、金融FIDO V2計畫及委外研究「金融科技發展與創新實驗條例」修法可行性等事項。</p> <p>金管會綜合規劃處處長胡則華進一步說明，路徑圖2.0以優化法制、深化資源、推廣技術及提升包容四大推動策略，從四大面向推動，分別為優化金融科技法制與政策、深化輔導資源及人才培育、推廣金融科技技術與應用和提升金融包容性及數位金融普及。（<a href="https://www.ithome.com.tw/news/158287">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 星展銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 花旗銀行 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊系統整併 </span></strong></span></h3> <h3>星展投入破千名IT人力推動和花旗消金業務的資訊系統整併</h3> <p>星展銀行（臺灣）順利在8月14日正式接手花旗（臺灣）銀行消費金融業務，並在上周末完成花旗消金業務的核心資料轉移。星展銀行（臺灣）總經理黃思翰表示，未來，銀行會陸續移轉其他歷史資料，並到星展的核心系統進行操作。</p> <p>他表示，過去18個月來，內部曾進行多次演練，投入超過一千多名IT人力推動轉移工程，新加坡的IT部門也參與其中。不只IT人力投入，星展臺灣也投入龐大金額來推動這次整併，黃思翰估計，18個月整併期間，在人力、系統開發以及前端和產品端開發投入的金額，累計約新幣3億元（約臺幣70億元）。（<a href="https://www.ithome.com.tw/news/158237">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span></h3> <h3>金管會公布金融業使用AI核心原則，最快今年12月發布金融業使用AI指引</h3> <p>金管會在8月15日公布<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202308150001&dtable=News">「金融業運用人工智慧(AI)之原則及政策草案」</a>，共計六項核心原則，包括「建立治理及問責機制」、「保護隱私及客戶權益」和「確保系統穩健性與安全性」等原則。金管會綜合規劃處處長胡則華表示，預計今年12月底前會發布金融業使用AI指引，後續也會審查金融業工會訂定的相關自律規範。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span></h3> <h3>金管會正式公布金融三業上雲大鬆綁相關修正辦法，目前保險業委外修正事項已上路</h3> <p>金管會近日發布「金融機構作業委託他人處理內部作業制度及程序辦法」修正，保險局和證期局也同時發布委外修正規定，其中，保險局已在8月10日公布委外修正規定，並在發布當日開始生效。</p> <p>過去銀行委外使用雲端服務時，涉及重大性委外作業或是將作業委託到境外公雲，都得事先向金管會申請核准，需耗費不少時間。此次修法縮減境外委託上雲需申請核准的範圍，僅限重大性消金業務。其他非常規委外項目，只要首例獲金管會批准，其他金融機構可跟進使用，無需再次申請核准。（<a href="https://www.ithome.com.tw/news/158126">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡金管局</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 穩定幣 </span></strong></span></h3> <h3>新加坡金管局公布穩定幣監管架構</h3> <p>新加坡金管局近日公布<a href="https://www.mas.gov.sg/news/media-releases/2023/mas-finalises-stablecoin-regulatory-framework#">穩定幣監管架構</a>，規範在新加坡發行的穩定幣僅能與新幣或G10國家的貨幣掛鉤，例如美金、日幣和英鎊等。穩定幣發行商必須滿足四項關鍵要求，包括儲備資產必須維持100萬新幣（約臺幣2,350萬元）的最低資本規模和足以負擔營運費用的最低流動資產，以降低破產風險，並且必須在提出贖回後，五個工作天內將穩定幣的幣值退還給持有人。此外，發行商還必須向用戶提供適當的揭露，例如穩定幣的價值穩定機制、穩定幣持有者全力及儲備資產審計結果等事項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-18%20174434.png" style="width: 600px;" /></p> <blockquote><p>新加坡金管局近日公布穩定幣監管架構‵，要求穩定幣發行商需同時符合四項關鍵要求。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡金管局</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FSTI </span></strong></span></h3> <h3>新加坡金管局展開金融創新推動計畫3.0，將加碼約臺幣34億元促進金融創新</h3> <p>新加坡金管局在2022年宣布了一項金融創新推動計畫3.0（FSTI 3.0），承諾將在2023年至2026年內提供新幣1.5億元（約臺幣34億元）促進新加坡的金融創新。近日，新加坡金管局宣布8月開始推動FSTI 3.0，並揭露了更多細項。包括將支持企業風險投資（CVC）公司、使用Web3.0技術的相關企業，以及開發ESG與金融科技解決方案的企業。此外，FSTI 3.0也繼續支持人工智能和數據分析（AIDA）和監管科技等技術開發和採用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-18%20180210.png" style="width: 600px;" /></p> <blockquote><p>新加坡金管局近日開始啟動FSTI 3.0計畫，將投入約臺幣34億元促進金融創新，其中包括支持Web3.0技術、AIDA和監理科技相關技術。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支出管理平臺</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></h3> <h3>美國金融科技新創Brex將AI應用於支出管理平臺，協助企業快速追蹤及核准應付賬款</h3> <p>近日，鎖定新創企業發行企業信用卡的科技新創Brex推出應付帳款（AP）系統Brex payables，在發票接收、匹配、審核到付款過程中，結合AI技術，來分析、整理發票內容，甚至是自動核准。例如，系統收到發票後，自動辨識內容，彙整出賣家公司資訊、應付金額和預算專案，再提供給使用者確認後，自動通知各層級主管進行批准，完成核准後，系統會依照使用者設定，自動匹配繳款來源和賣家，甚至進行自動轉帳，可依據使用者根據轉帳金額上限、預算專案和賣家等項目設定，決定執行自動轉帳抑或是手動轉帳，最後再將資料傳回ERP系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-08-18%20191558.png" style="width: 600px;" /></p> <blockquote><p>鎖定新創企業發行企業信用卡的科技新創Brex將AI應用於支付管理平臺，瞄準企業採購批准流程往往耗時超過一周的痛點<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">，將應付帳款流程自動化</span>。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位轉型</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>芬蘭200年老牌銀行投入約臺幣34億元啟動轉型，要將系統100%搬上Azure公雲</h3> <p>面臨金融業激烈競爭，已成立200年的芬蘭儲蓄銀行Savings Banks Group（SBG）宣布，將斥資1億歐元（約臺幣34億元）展開數位轉型，為該公司成立以來最大的一次投資。而根據《Data Centre Dynamics》的報導，SBG正是要將該集團的資料與系統，全面搬上微軟公有雲服務Azure，計畫第一階段的系統部署預計於2026年展開。</p> <p>SBG執行長Karri Alameri表示，這不僅是個IT專案，更涉及SBG旗下所有銀行的業務更新。這項轉型計畫的合作對象包括微軟、Tietoevry、Samlink與twoday，其中，Tietoevry將負責交付貸款系統，基於Microsoft Dynamics 365的客戶關係管理系統則由twoday擔綱，Samlink負責整合現有環境中的系統，再偕同Solita以於Azure環境中提供持續性服務。</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">攝影／李昀璇圖片來源／新加坡金管局、金管會</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong>責任編輯／李昀璇</strong></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/8/19 09:49作者李昀璇https://www.ithome.com.tw/news/158335
MedTech醫療科技雙周報第25期：美公立醫院用SDOH數據分析降低再住院率，月省90萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0801～0815）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SDOH </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 再住院率 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成本 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美公立醫院：SDOH數據可降低再住院率，月省90萬美元</strong></span></p> <p>北岸大學附設醫院是美國公立醫院，其心臟部門與醫療AI新創Languna Health聯手，用醫院收集的健康社會決定因素（SDOH）數據和心理健康數據，找出30天內再住院機率高的患者群，並聯合Languana Health開發虛擬照護平臺，搭配專科醫師和教練來強化這些患者出院後的行為和情緒照護。經過1月實驗，他們發現干預組和對照組的總再住院費用分別是110萬美元和200萬美元，降低了90萬美元，且每人平均再住院費用也降低了，分別是4萬4美元和9萬1美元。</p> <p>進一步來說，SDOH是指影響民眾健康的社會性因子，涵蓋環境、文化、教育、交通、社經地位等面向，是美國近年鼓勵醫院收集、研究和應用的資料。美國國家醫療IT協調辦公室（ONC）日前就針對全美醫院，調查SDOH數據的收集狀況和應用情境，<a href="https://www.healthit.gov/data/data-briefs/social-needs-screening-among-non-federal-acute-care-hospitals-2022">他們發現</a>，83%急性照護醫院會收集SDOH數據，而54%的醫院定期收集這類數據。ONC統計發現，醫院收集SDOH數據的前3大用意是要輔助臨床決策、安排出院計畫以及轉診參考，但目前仍有些問題要解決，比如SDOH數據的標準化和互通性。<a href="https://journals.lww.com/jhmonline/fulltext/2023/07000/personalized_postacute_hospitalization_recovery__a.8.aspx">（詳全文）</a></p> <p><img alt="" src="https://images.journals.lww.com/jhmonline/Original.00115514-202307000-00008.F2.jpeg" /><img alt="" src="https://images.journals.lww.com/jhmonline/Original.00115514-202307000-00008.F2.jpeg" /><img alt="" src="https://s4.itho.me/sites/default/files/images/Original_00115514-202307000-00008_F2.jpeg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 腹部肌肉 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SaMD </span></strong></span></p> <p><span style="font-size: 22px;"><strong>成大開發腹部肌肉量AI偵測工具</strong></span></p> <p>國內臨床資料AI應用又一例，成功大學研發「腹部肌群醫療影像分割軟體」（iMbody），可評量病患的肌肉量、辨識肌少症狀，作為癌症治療的預後評估。該軟體目前也獲衛福部食藥署醫療器材軟體（SaMD）上市許可，進入商業應用。</p> <p>成大臨床創新研發中心主任蔡依珊表示，癌症患者若肌肉組成較少，其預後較差差，且做化療時，身體對化療劑量的耐受度也較差，尚未打到治療需要的劑量，可能就會出現血液、神經等副作用。而癌症患者大多使用電腦斷層追蹤身體狀況，過去是用半自動軟體處理影像，最快也要20分鐘。因此，研發團隊思考用AI來辨識患者腹部電腦斷層影像，來更快偵測癌症患者是否肌少。</p> <p>於是，團隊以現有的病人照護資料為基礎，先從成大醫療資料庫中4,600多位健康病人（車禍或其他原因），來建立臺灣的健康肌肉量常模，並導入AI工具來加速資料標註，只要1天就能完成。團隊建立了男、女性從20到80多歲的肌肉量常模，不只用來辨識，還能作為後續與患者解釋的參考資料。比如，同性別、同年齡或同種族的健康民眾相比值。腹部肌群醫療影像分割軟體除用於癌症患者照護上，未來也可能用在健康檢查中心，來降低腹部脂肪量。<a href="https://www.ithome.com.tw/news/158286">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/20230815_141657-1.jpg?itok=Tf96jj9S" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Data Hub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位轉型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Ramsay Health Care </span></strong></span></p> <p><span style="font-size:22px;"><strong>澳洲最大醫療集團要建集中式資料中樞，拼2030年數位轉型</strong></span></p> <p>Ramsay Health Care是澳洲最大的私人醫療集團，擁有70多家醫院、診所和手術中心，由於醫療需求不斷增加，所產生的資料也越來越多。於是，Ramsay Health Care發起2030年數位轉型計畫，要建立一個集中式的資料中樞（Data hub），來統一散落在各地的行政數據和患者資訊，以利後續資料分析和洞察。</p> <p>該集團找上Google雲端，來建立這個資料中樞。他們將採用Google雲端的企業級資料倉儲平臺BigQuery，來整合各地資料、提高連結性並產出能輔助臨床決策的新洞察。不只如此，該集團數位長暨資料長Rachna Gandhi指出，他們還能使用平臺附帶的AI和ML工具，來簡化臨床工作流程。他舉例，AI可用來緩解醫護的行政工作壓力，或是用來幫醫生找出高風險患者。Ramsay Health Care也打算用AI來優化臨床編碼，好降低病歷人員的工作壓力；另一個應用情境是，用AI預測人力需求，來更有效率分配人力資源。<a href="https://www.ramsaynews.com.au/sitecore/content/MD/Home/News/General-News/Ramsay-Health-Care-Joins-Forces-with-Google-Cloud-to-Help-Support-Its-2030-Digital-Strategy">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺大醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 手術模擬 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D影像 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>臺大醫院揭手術模擬平臺進展</strong></span></strong></p> <p>日前，臺大醫院揭露元宇宙手術模擬平臺進展，該平臺由外科部與臺大電資學院聯手研發，能以3D影像虛擬實境（VR）技術，將病人的電腦斷層或磁振造影等平面醫學影像，即時轉換為3D影像，來呈現病灶和周遭組織，甚至還能對不同器官組織進一步解析。</p> <p>這種用3D影像重建技術，來將電腦斷層、磁振造影等平面的醫學影像立體化的方法，有助於跨專科團隊討論病情、術前模擬，以及醫病溝通和教育訓練。臺大醫院外科部主任陳晉興解釋，X光、電腦斷層、磁振造影等影像學檢查，常用於術前評估和病情解釋。但這些初階影像，在電腦螢幕上都以二維顯示，若遇上病情複雜的案例，對不同專科醫師、團隊成員，和病患、家屬都不易理解。</p> <p>於是團隊開發該平臺，來用於高難度、跨科別手術，簡化溝通成本，並實際用於纖維樣瘤、縱膈腔類癌病灶切除等手術。另一方面，該平臺也支援外地討論，醫師、家屬用手機掃描QR Code，就能同步參與病情討論和治療規畫。不只用於手術，該平臺接下來也要用於教學，將高難度手術做成教案，來讓年輕外科醫師和醫學生學習、累積知識。<a href="https://www.ntuh.gov.tw/ntuh/News.action?q_type=A01&q_itemCode=13748&agroup=a">（詳全文）</a></p> <p><img alt="" src="https://www.ntuh.gov.tw/ckfinder_file/ntuh/images/2023%E6%9C%80%E6%96%B0%E6%B6%88%E6%81%AF/20230809%E5%92%8C%E6%AD%BB%E7%A5%9E%E6%8B%94%E6%B2%B3%E6%90%B6%E5%91%BD%EF%BC%81%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2%E3%80%8C%E5%85%83%E5%AE%87%E5%AE%99%E6%89%8B%E8%A1%93%E6%A8%A1%E6%93%AC%E5%B9%B3%E5%8F%B0%E3%80%8D%E8%99%9B%E6%93%AC3D%E5%88%97%E5%8D%B0%E6%95%B8%E4%BD%8D%E5%AD%BF%E7%94%9F%E5%99%A8%E5%AE%98%20%E8%B7%A8%E7%A7%91%E5%88%A5%E9%AB%98%E9%9B%A3%E5%BA%A6%E6%89%8B%E8%A1%93%E6%96%B0%E9%87%8C%E7%A8%8B%E8%A8%98%E8%80%85%E6%9C%83-%E6%95%99%E5%AD%B8%E9%83%A8%E6%B1%9F%E6%97%B4%E6%81%92%E9%86%AB%E5%B8%ABVR%E5%AF%A6%E5%A2%83%E7%A4%BA%E7%AF%84.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">中國附醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 病歷紀錄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>紐西蘭空中救護隊採用新創協作App</strong></span></p> <p>最近，紐西蘭空中救護隊宣布部署Celo公司開發的溝通協作平臺，來提高空中救護與第三方的溝通效率。紐西蘭空中救護隊擁有11架固定機翼的醫療飛機，在境內設有6個空中救護基地，活動範圍涵蓋紐西蘭各地醫院，是該國最大的航空醫療機隊。</p> <p>在執行任務時，醫療團隊、航空救護團隊和協調人員的即時溝通很重要，因此採用專為航空救護設計的Celo溝通平臺，在確保安全性（符合ISO27001和HIPAA規範）的前提下，來即時溝通。該平臺也獲無國界醫生組織採用，在全球80多國使用。<a href="https://www.celohealth.com/press-news/nz-air-ambulance">（詳全文）</a></p> <p><img alt="" src="https://celoassets.blob.core.windows.net/$web/features(600)-opt.gif" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料來源 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>美議員質疑Google醫療AI訓練資料來源</strong></span></strong></p> <p>美參議院最近去信Google執行長Sundar Pichai，針對Google醫療專用的AI模型Med-PaLM 2表達疑慮，並要求Google更清楚說明參與測試的醫院、Google如何訓練模型，以及如何保護病患自主及隱私權益。</p> <p>美國參議院情報委員會主席Mark Warner指出，Google資深研究人員對自家科技的成熟度態度保留，且Google對Med-PaLM 2在何處測試、訓練資料來源、病患知情程度和能否拒絕AI，以及Google採取哪些措施防範AI偏差，這些是外界難以得知的。雖然AI對改善病患照護及健康有很大潛力，但Warner擔心，未經驗證的科技過早部署，可能導致削減醫療機構與專家的信任、加深不平等現象，以及診斷和照護疏失風險增加。<a href="https://www.warner.senate.gov/public/index.cfm/pressreleases?id=D22487BB-AE27-4384-B1FE-8EA78901B0FD">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 互動式 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>AWS推出醫療雲端互動平臺，要用遊戲互動關卡提高雲端技能</strong></span></strong></p> <p>為強化醫療人員的雲端技能，AWS和自家培訓暨認證（T&C）團隊聯手拉丁美洲、加拿大和加勒比海地區醫療機構和廠商，共同開發並推出一款遊戲互動式醫療培訓平臺AWS Industry Quest: Healthcare，可教導使用者如何打造有效的醫療雲解決方案。</p> <p>進一步來說，該平臺提供30個關卡，內容涵蓋醫療監測、示警、重整不符合醫療安全規範HIPAA的應用，以及實現資料互通、簡化和自動化授權表格，甚至是從醫療資料中，透過AI和ML應用找出洞察等。過關的KPI指標則有整體病患滿意度、醫療設備運用、平均病患等待時間等。KPI的分數越高，使用者也能解鎖新設備，如X光機、MRI設備和等候區的座椅等。<a href="https://aws.amazon.com/blogs/publicsector/new-immersive-cloud-training-advance-public-sector-healthcare-beyond/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="281px" width="500px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="281px" src="https://www.youtube.com/embed/an_I_gfE9fM" title="AWS Industry Quest: Healthcare | Amazon Web Services" width="500px"></iframe></div> <p> </p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 急診 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 攻擊 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>美醫療集團遭網路攻擊，多州醫院受波及</strong></span></strong></p> <p>在美國5個州經營16家醫院的Prospect Medical Holdings在8月初傳遭駭客攻擊，影響旗下多家醫院的IT系統，有些暫停收受急診病人，有些暫停抽血或醫療影像拍攝，並改採傳統的紙筆記錄。Prospect Medical Holdings在美國涵蓋多種等級醫療機構，包括三級醫學中心、教學醫院、行為健康機構、社區醫院與長期照護機構等，共有166個門診診所、近1.1萬名醫生。該集團向《CBS NEWS》證實，他們遭遇資安意外，已緊急撤下系統，並在第三方安全專家的協助下展開調查，美國FBI也在隔天介入調查。</p> <p>另一家同樣位於康州的Waterbury Hospital，也說電腦系統遭到網路攻擊而當機，影響所有的住院與門診業務，並啟動離線程序來因應。除必須採用紙筆之外，醫療影像及抽血服務也都暫停了。此外，佛州醫療中心Tampa hospital今年也曾遭勒索軟體攻擊，外洩了逾120萬名病患資料，除姓名、電話、住址和社會安全碼之外，少數的病患醫療資訊也被盜走。<a href="https://www.cbsnews.com/news/prospect-medical-cyberattack-california-pennsylvania-hospital/">（詳全文）</a></p> <p>圖片來源／北岸大學附設醫院、臺大醫院、Celo、AWS</p> <p>攝影／蘇文彬</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 美國國家醫療IT協調辦公室ONC揭露全美醫院SDOH數據運用狀態</strong></strong></p> <p>資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/8/18 22:18作者王若樸https://www.ithome.com.tw/news/158336
【資安日報】8月18日，駭客針對GitLab重大漏洞下手，將其容器環境用於挖礦及盜取網路頻寬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客剝削電腦資源並用來獲利的情況，除了挖取加密貨幣，將受害電腦當作代理伺服器轉賣頻寬的手法（Proxyjacking）也不時傳出，但過往這類攻擊大多是針對個人電腦而來，現在有人鎖定企業組織的開發環境下手。資安業者Sysdig揭露名為Labrat的攻擊行動，攻擊者就是鎖定尚未修補重大漏洞CVE-2021-22205的GitLab伺服器下手，進而在容器部署挖礦軟體、代理伺服器軟體（Proxyware）。</p> <p>此外，許多流量挾持攻擊是針對Windows電腦而來，但近期也有鎖定Mac電腦的惡意軟體攻擊行動AdLoad，每週有數千個IP位址與代理伺服器連線。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://sysdig.com/blog/labrat-cryptojacking-proxyjacking-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">攻擊行動Labrat鎖定GitLab而來，目的是挾持程式碼儲存庫進行挖礦或是盜取網路頻寬</span></strong></a></p> <p>資安業者Sysdig揭露名為Labrat的攻擊行動，駭客先是利用GitLab漏洞CVE-2021-22205（CVSS風險評分為10），取得初期入侵容器的管道，並植入後門程式Global Socket（GSocket），從C2下載惡意指令碼到GitLab伺服器，刪除名為watchdog的處理程序，並停用騰訊雲、阿里雲的代理程式，然後竄改多個cron檔案以便能持續於容器環境內活動，此外，駭客還會收集SSH金鑰來進行橫向移動。</p> <p>值得留意的是，駭客為了隱匿C2伺服器，他們濫用了名為Argo Tunnel的網路應用程式防護服務（Try Cloudflare），在攻擊行動裡，駭客將其用來將流量重新導向，存取受到密碼保護的網頁伺服器，進而取得惡意的Shell指令碼，最終部署以Go語言或.NET開發的惡意程式，將容器用於挖礦，或是進行流量挾持（Proxyjacking）攻擊。</p> <p>在另一起攻擊行動裡，駭客沒有使用Argo Tunnel，而是採用企業搜尋平臺Solr的伺服器來進行Labrat攻擊行動，再者，為了提升權限，駭客也下載能利用PwnKit漏洞（CVE-2021-4034）的惡意程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TryCloudflare1-73.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TryCloudflare1-73.png" style="width: 580px;" /></a></p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/mac-systems-turned-into-proxy-exit-nodes-by-adload"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mac電腦遭惡意軟體AdLoad鎖定，被用來架設殭屍網路</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/adload_samples.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/adload_samples.jpg" style="width: 300px; float: right;" /></a>AT&T威脅情報團隊揭露惡意軟體AdLoad的攻擊行動，駭客主要針對Mac電腦而來，目的是將受害電腦用於架設殭屍網路，然後進行流量挾持（Proxyjacking），提供常駐型代理伺服器服務。</p> <p>研究人員一共找到超過150個AdLoad檔案，每週有數千個IP位址與代理伺服器連線，一旦受害電腦感染AdLoad，就會先收集系統資訊並傳送至C2，以便後續執行下一階段的攻擊行動。此外，他們也發現駭客也打造 Windows版的惡意軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-blackcats-sphynx-ransomware-embeds-impacket-remcom/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織BlackCat打造新的勒索軟體Sphynx，整合Impacket、Remcom在網路上橫向感染</span></strong></a></p> <p>資安研究團隊VX-Underground在今年4月，看到勒索軟體BlackCat更名為Sphynx，駭客聲稱將程式碼重新改寫，主要工作是強化迴避防毒軟體與EDR系統的偵測能力，最近這些駭客有了新的動作。<a href="https://twitter.com/MsftSecIntel/status/1692212191536066800">微軟威脅情報團隊針對新版的勒索軟體Sphynx進行分析</a>，發現這次駭客整合2個網路犯罪圈常見的作案工具，而能造成更大的危害。</p> <p>其中一個是網路通訊框架Impacket，而使得駭客能從處理程序挖掘帳密資料，用來進行NTLM Relay攻擊，研究人員認為，駭客的主要目的是將其用於勒索軟體的橫向感染，在目標企業組織整個網路加密檔案。另一個被納入的是駭客工具Remcom，這是遠端Shell程式，而使得駭客能在網路上的其他設備遠端執行任意命令（RCE）。</p> <p>研究人員向資安新聞網站Bleeping Computer透露，他們在上個月，看到BlackCat旗下的組織Storm-0875將此勒索軟體用於攻擊行動。</p> <p><a href="https://blog.aquasec.com/powerhell-active-flaws-in-powershell-gallery-expose-users-to-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟程式碼儲存庫PowerShell Gallery弱點可被用於供應鏈攻擊</span></strong></a></p> <p>資安業者Aqua Security揭露名為PowerHell的漏洞，存在於PowerShell指令碼資源庫PowerShell Gallery，一旦遭到利用，攻擊者可發動供應鏈攻擊。研究人員總共找出3個缺陷，其中一個是套件名稱的管控相當寬鬆，而使得攻擊者有機可乘，上傳與現有套件名稱極為相似的套件，發動名稱誤植（TypoSquatting）攻擊，他們舉出下載量超過1千萬次的套件AzTable為例，攻擊者可提供名為Az.Table的套件來引誘使用者上當。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerHell-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerHell-5.jpg" style="width: 580px;" /></a></p> <p>再者，則是套件的說明資料可輕易偽造，攻擊者可透過版權宣告（Copyright）、作者的資訊來欺騙使用者，更糟的是PowerShell Gallery套件資訊網頁預設會隱藏作者名稱，使用者很有可能透過版權宣告說明來判斷來源是否可靠。</p> <p>但除了攻擊者能偽造幾可亂真的套件說明，上架冒牌套件，研究人員還發現另一個弱點，而能讓攻擊者找到所有的PowerShell Gallery套件，即使開發者設置為不公開、已移除的套件也無法倖免，使得攻擊者有機會挖掘存放於非公開套件當中的機密。研究人員去年9月進行通報，微軟於今年1月、3月著手修補，但研究人員發現，迄今上述的缺陷仍能被用於攻擊行動。</p> <p><a href="https://www.jamf.com/blog/fake-airplane-mode-a-mobile-tampering-technique-to-maintain-connectivity/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">iOS 16出現假飛航模式的攻擊手法，可讓攻擊者欺騙用戶並暗中遠端存取手機</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/spoofed-airplane-mode.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/spoofed-airplane-mode.jpeg" style="width: 300px; float: right;" /></a>資安業者Jamf揭露鎖定iPhone的新型態攻擊手法，駭客試圖讓使用者以為手機處於飛航模式的狀態，而有機會暗中使用行動網路存取目標裝置。</p> <p>研究人員指出，在iOS作業系統裡，有兩個處理程序負責處理飛航模式的切換工作，其中名為SpringBoard的處理程序負責使用者介面（UI）上的狀態顯示，CommCenter則是實際管控作業系統底層的網路介面。他們首先調查手機的事件記錄，捏造假的飛行模式事件函式，使得用戶開啟飛航模式的時候，手機不會切斷電信網路的連接。</p> <p>接著，他們掛鉤兩個Objective-C程式碼的方法（method），並注入一段程式碼，讓使用者按下飛航模式開關後，手機會顯示沒有電信網路、無線網路，或是藍牙連線。另一方面，研究人員會在手機保持網路通訊的情況下，設法讓使用者以為手機因開啟飛航模式而無法上網——這時候，系統會「顯示」要求關閉飛航模式才能恢復連線的錯誤訊息。對此，<a href="https://thehackernews.com/2023/08/new-apple-ios-16-exploit-enables.html">蘋果向Hacker News指出</a>，上述的攻擊手法沒有涉及漏洞，並認為是攻擊者成功入侵之後，維持於受害手機運作的方法。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://hitcon.org/2023/CMT/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Community 2023於8月18日正式登場，聚焦AI資安議題</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CMT2023-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CMT2023-2.jpg" style="width: 300px; float: right;" /></a>臺灣大型駭客與資安技術研討會HITCON Community 2023於8月18日、19日於中央研究院舉行，吸引近2千名駭客與資安技術人員共襄盛舉。本次大會以「AI在資安領域的進化」為主題，探討在全世界越來越依賴AI的情況下，對於資訊安全態勢帶來的轉變。</p> <p>本次有23篇呼應大會主題的漏洞揭露及分析等研究，包含混合反編譯器和AI進行現代逆向工程、用自行開發的生成式AI 模型進行鑑識分析、AI及自動化紅藍隊演練中的實際成果，以及OpenAI、ChatGPT運用個人資料訓練AI而衍生的資安議題等。</p> <p>值得一提的是，本次大會亦舉辦Badge大亂鬥活動，主辦單位將讀卡機與遊戲散布各攤位與會場，與會者可使用識別證進行互動，破解密碼、領取積分。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google在臺推出暗網通報的個資追蹤功能</span></strong></p> <p>整合網路郵件、相簿和硬碟的付費服務Google One，在今年3月推出暗網通報（Dark Web Report）的功能，可幫使用者監控自己的姓名、地址、電話號碼、電子郵件地址、使用者名稱、密碼等個資，是否流入暗網。</p> <p>當時這項功能僅提供美國的使用者運用，8月18日臺灣有不少用戶都收到通知信，表示開始提供這項功能，引起不少使用者討論此事，並分享自己的檢測結果。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.deepinstinct.com/blog/nofilter-abusing-windows-filtering-platform-for-privilege-escalation"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過Windows安全機制的攻擊手法NoFilter，進而在受害電腦提升權限</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/mass-spreading-campaign-targeting-zimbra-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">使用Zimbra的企業組織遭鎖定，駭客企圖竊取用戶的電子郵件帳密資料</span></span></strong></a></p> <p><a href="https://blog.eclecticiq.com/german-embassy-lure-likely-part-of-campaign-against-nato-aligned-ministries-of-foreign-affairs"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29利用即時通訊軟體Zulip來隱匿C2</span></span></strong></a></p> <p><a href="https://cofense.com/blog/major-energy-company-targeted-in-large-qr-code-campaign/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國能源業者遭到鎖定，駭客透過QR Code發動網釣攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158330"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化資料安全，MongoDB支援查詢受到加密保護的資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158313">【8月17日】 Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158300">【8月16日】 Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158283">【8月15日】臺灣等17個國家遭中國駭客RedHotel鎖定，進行網路攻擊行動長達3年</a></strong></p> </div></div></div>
2023/8/18 18:03作者周峻佑https://www.ithome.com.tw/news/158332
微軟將允許移除Windows 11內建自家Photos、Remote Desktop App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2023/08/16/announcing-windows-11-insider-preview-build-25931-canary-channel/" target="_blank">微軟本周稍早宣布</a>將Insider Preview Build 25931發布到Canary頻道，可允許用戶移除數個Windows內建的微軟App，作為微軟為Windows 11瘦身的最新一步。</p> <p><a href="https://blogs.windows.com/windows-insider/2023/08/16/announcing-windows-11-insider-preview-build-25931-canary-channel/" target="_blank">根據這個版本的說明</a>，現在用戶可以移除Photos、People及Remote Desktop用戶端。這是最新一批被微軟鬆綁的自家App。今年5月，微軟允許用戶移除Camera App。</p> <p>而在本月初釋出的<a href="https://support.microsoft.com/en-au/topic/end-of-support-for-cortana-in-windows-and-teams-d025b39f-ee5b-4836-a954-0ab646ee1efa" target="_blank">Build 25291</a>中，微軟讓用戶移除已經被Copilot取代的Cortana。事實上，微軟自己都要砍掉Cortana App。<a href="https://support.microsoft.com/en-au/topic/end-of-support-for-cortana-in-windows-and-teams-d025b39f-ee5b-4836-a954-0ab646ee1efa" target="_blank">Windows一份文件說明</a>，從本月起，Windows 11不再支援獨立的Cortana App，而且<a href="https://www.windowslatest.com/2023/08/06/after-windows-11-cortana-now-stops-working-on-windows-10/" target="_blank">微軟證實</a>再過不久也會停用Windows 10中的Cortana。</p> <p>此外，<a href="https://www.windowslatest.com/2023/08/06/you-can-install-windows-11-without-the-third-party-bloatware-in-two-clicks/" target="_blank">Windows Latest發現</a>，微軟也允許移除第三方腫脹程式（bloatware），例如Candy Crush。方法是以.ISO檔或Media Creation Tools安裝時，將地區設定為「World English」或「European English」，即可移除這類腫脹軟體。</p> </div></div></div>
2023/8/18 19:17作者林妍溱https://www.ithome.com.tw/news/158334
AWS推出搭載第4代AMD EPYC處理器的Hpc7a與M7a執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出最新高效能運算用的執行個體EC2 <a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-hpc7a-instances-powered-by-4th-gen-amd-epyc-processors-optimized-for-high-performance-computing/">Hpc7a</a>，使用第4代AMD EPYC處理器（代號Genoa），效能是使用第3代AMD EPYC處理器（代號Milan）Hpc6a執行個體的2.5倍。另外，AWS也推出同樣使用第4代AMD EPYC處理器的新執行個體<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-m7a-general-purpose-instances-powered-by-4th-gen-amd-epyc-processors/">M7a</a>，該執行個體針對一般用途，提供11種組態，並且也推出裸機規格可供選擇。</p> <p>Hpc7a前一個版本<a href="https://www.ithome.com.tw/news/148829">Hpc6a</a>僅擁有96個核心，用戶將工作負載搬遷至Hpc7a上，可使用到最多2倍的核心，同時執行更多的指令和任務，提高運算效率，而有效記憶體頻寬（Effective Memory Bandwidth），也就是用戶真正可以使用到的記憶體頻寬，為Hpc6a的2.1倍，而網路頻寬則是Hpc6a的3倍。</p> <p>比起Hpc6a只有一種選擇，Hpc7a提供4種組態，記憶體皆為768 Gib，也都提供300 Gbps的EFA（Elastic Fabric Adapter ），使節點可以高速且低延遲的相互溝通。Hpc7a的4種組態差異，在於使用者可以選擇最少24核心，最多192核心的AMD EPYC處理器CPU。Hpc7a使用DDR5記憶體，因此能夠更好地支援需要高速存取記憶體的應用，像是運算密集且低延遲要求的流體力學或是數值天氣預測運算。</p> <p>用戶可以將Hpc7a執行個體，結合AWS Batch和AWS ParallelCluster一起使用，簡化工作負載提交和叢集創建工作，搭配Amazon FSx for Lustre可達每秒數百GB儲存吞吐量。目前Hpc7a已經在美東俄亥俄、歐洲愛爾蘭和US GovCloud地區推出。</p> <p>除了Hpc7a，AWS近期也推出，同樣使用第4代AMD EPYC處理器的一般用途執行個體M7a，效能較前一代M6a提升50％，也採用DDR5記憶體，其記憶體頻寬是M6a執行個體的2.25倍，並且支援AVX-512指令集擴充、向量神經網路指令VNNI和bfloat16浮點數格式。<br /> <br /> M7a提供用戶11種組態豐富選擇，以符合各種工作負載需求，用戶也可以選用裸機規格m7a.metal-48xl，更靈活地自定義工作負載。M7a執行個體較高規的組態，提供與最高規M6a一樣的50 Gbps強化網路和40 Gbps EBS頻寬，同時提供更多種中等執行個體大小，用戶最小可以選擇1 vCPU、4 GiB記憶體的執行個體，最大可以選用192 vCPU、768 GiB記憶體的執行個體。在M7a最多可附加128個EBS磁碟區，M6a最多只能附加28個EBS磁碟區。</p> <p>M7a執行個體現在已經於美東俄亥俄、美東北維吉尼亞，美西奧勒岡和歐洲愛爾蘭地區推出。</p> </div></div></div>
2023/8/18 19:36作者李建興https://www.ithome.com.tw/news/158333
AI助攻Amazon短鏈快物流布局，2023年上半年全美18億張訂單能一日到貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商訂單當天送達，對臺灣大型電商來說已經是基本要求。不過，若商品品項超過3億種，配送範圍比臺灣大上270倍，難度便不可同日而語。這就是電商龍頭Amazon面臨的物流規模。</p> <p>Amazon全球商店業務執行長Doug Herrington表示，他們2023上半年有超過18億張訂單在當日或隔日送達，這個數字是2019年的4倍。之所以有能力快速履行大量訂單，他表示有3大關鍵：區域化物流網路、用AI做存貨規畫、增加短鏈衛星倉布局。</p> <p>Doug Herrington表示，Amazon物流速度提升的關鍵，不是來自於催促員工工作速度，而是在於物流距離縮短。「不管是當日到貨，還是兩三天到貨，撿貨、包貨、送貨流程都一樣，最大差別是，商品與消費者中間的距離縮短了。」</p> <p>過往，Amazon訂單可能從遍及全美的任意物流中心出發。也就是說，一個包裹甚至可能橫跨數千公里才會抵達消費者家中。不過，今年他們開始將美國細分為8個物流分區，以嘗試縮短送貨距離。如今，全美有76%訂單會由分區內物流中心履行，且有超過90個都會區支援訂單一日到貨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%AA%E5%91%BD%E5%90%8D(7).png" style="width: 600px;" /></p> <blockquote><p>過往Amazon將全美視為單一訂單<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">履行區域</span>，今年則劃分為8個分區，來降低送貨時間。圖片來源-Amazon</p> </blockquote> <p>如何避免跨區履行訂單，Amazon利用深度學習模型來預測分區消費需求，再根據分析結果決定不同分區倉儲應該備有的商品種類與數量。從進貨階段就先做好準備，Amazon便能從2個面向增加物流效率，一個是盡可能從最接近消費者位置的倉儲出貨，另一個是盡可能從最少的物流據點調出訂單所需商品，甚至是單一倉儲就能備齊訂單上所有商品。Doug Herrington說，送貨距離近、調貨情況少，便能縮短訂單送達時間，還能壓低訂單履行成本，因此他們有意持續提升模型的預測精準度，「盡可能將最正確的商品存放在離消費者最近的地方。」</p> <p>與上述備貨預測策略搭配的關鍵建設是，設置鄰近大都會區的衛星倉儲。這些倉儲的人員動線和工作流程都經過特別設計，一個訂單從揀貨到包貨，平均只需11分鐘，比Amazon傳統物流中心快上整整1小時。Doug Herrington表示，Amazon有意翻倍衛星倉儲數量，並持續提升倉儲的補貨量能，來支援更多、更分散的物流據點，不過沒有提到確切建置完成時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sdd.png" style="width: 600px;" /></p> <blockquote><p>衛星倉廚的工作流水線，Amazon衛星倉儲的動線與工作流程經過特殊設計，準備商品出貨的時間比傳統物流中心快上1小時。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-Amazon</span></p> </blockquote> <p> </p> </div></div></div>
2023/8/18 16:27作者郭又華https://www.ithome.com.tw/news/158331
GovTech月報第21期：國科會公布公務機關使用生成式AI指引草案；SES中軌衛星將參與臺灣通訊網路韌性驗證計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0715~0818)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生成式AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">使用指引</span></font></strong></p> <p><strong style="font-size: 22px;"><span id="docs-internal-guid-acb0a316-7fff-145a-63d9-cad217d646c5"><span style="font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space-collapse: preserve;">政府公務人員如何使用ChatGPT? 國科會公布生成式AI指引草案</span></span></strong></p> <p>ChatGPT帶動生成式AI浪潮，但也帶來一定的風險，政府公務人員該如何運用生成式AI？國科會近期公布公務機關生成式AI參考指引草案，供行政院及所屬機關使用生成式AI時作為參考，同時也借草案公告蒐集各界意見。</p> <p>在公布的指引草案中，公務機關使用生成式AI執行業務或提供服務，可提升行政效率，但是為保持執行公務的機密性、專業性，各機關使用上應具有一致的認知及管理原則，包括秉持負責任及可信賴的態度、掌握自主權及控制權，並掌握安全性、隱私、資料治理及問責，不可隨意揭露未公開的公務資訊，不可分享個人隱私資訊、不可完全信任生成內容。</p> <p>該草案指出，生成式AI產出的資訊，仍應由業務承辦人就客觀、專業進行判斷，另外，國家機密文書、一般公務機密文書等機密性文書應由業務承辦人撰寫，禁止使用生成式AI。承辦人不得向生成式AI提供涉及公務應保密、個人及未經機關同意公開的資料，也不能向生成式AI詢問關於機密業務的問題，或是利用生成式AI蒐集或處理個資。</p> <p>此外，各機關不可完全信任生成式AI產出的資訊，不得以未經確認的產出內容直接作成行政行為或公務決策的唯一依據。使用生成式AI作為執行業務或提供服務輔助工具時應適當揭露。使用生成式AI應遵守資通安全、個資保護、著作權與相關資訊使用規定，並注意侵害智財權、人格權的可能性，同時也授權各機關就使用生成式AI的設備、業務性質，自行訂定規範或內控機制。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">通訊韌性</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font></strong></p> <p><span style="font-size:22px;"><strong>強化臺灣通訊網路韌性，數位部：中軌道衛星SES將是合作業者之一</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/O3b-mPOWER-Gateway-in-Greece.jpg" style="width: 600px; height: 338px;" />為因應緊急狀態確保我國通訊網路韌性，去年數位發展部提出「應變或戰時應用新興科技強化通訊網路數位韌性」前瞻計畫，以2年5.5億元，在國內700多處、境外3個站點，驗證以非同步軌道衛星提供緊急應變通訊，日前數位部表示，中軌道衛星SES將是合作業者之一。</p> <p>這項計畫交由電信技術中心執行，以POC驗證非同步軌道衛星在緊急狀態時，當海纜、光纖網路、行動網路遭到破壞或因為異常而故障時，作為替代的通訊網路。此外，為了確保非同步軌道衛星服務可在臺灣落地，數位部也開放業者申請衛星使用頻率，目前已有2家業者的申請獲得通過。</p> <p>其中1家通過的業者愛爾康，日前已和國內業者簽訂獨家代理合約，該代理商也取得電信技術中心「應變或戰時應用新興科技強化通訊網路數位韌性驗證計畫」的「非同步衛星網路租賃既傳輸服務採購案」，將與中軌道衛星SES O3b，參與數位部與電信技術中心的通訊網路韌性驗證計畫。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">俄羅斯</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位貨幣</span></font></strong></p> <p><span style="font-size:22px;"><strong>俄羅斯開始測試數位盧布</strong></span></p> <p>在俄烏戰爭爆發後，西方國家對俄羅斯展開經濟制裁，包括在全球銀行系統限制俄羅斯的參與，為繞過國際性制裁的影響，近期俄羅斯開始在消費領域測試數位盧布。</p> <p>為避免受到經濟制裁的影響，俄羅斯運用去中心化的區塊鏈技術，開始測試數位盧布，利用區塊鏈難以被控制的特性，以避開西方國家對俄羅斯的種種限制，俄羅斯政府開放民眾可以自願性選擇是否使用數位盧布。</p> <p>外界認為，俄羅斯此舉將借助數位貨幣降低制裁之外，也將提高對俄羅斯民眾的控制，相較於實體貨幣現金交易，數位貨幣除了比較易於監控之外，也能對民眾的資產有更好的掌控，例如罰款或是凍結其資產。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新竹市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>新竹市導入AI巡防系統，讓警察巡邏車可利用AI快速辨識可疑車輛</strong></span></p> <p>為減輕警務人員工作負擔，新竹市導入新科技，近期新竹市警察局宣布將在警務巡邏車上建置AI巡防系統，以自助辨識路上車輛車牌，預計8月底就會上線。</p> <p>這套AI巡防系統提供行動車牌辨識、即時影像傳輸、巡邏軌跡、任務設定、緊急通報等功能，當巡邏車以時速30到50公里行駛時，可以車上的雙攝影機，對前方多個車道及路邊停放車輛進行辨識，系統連接至警政署協尋車輛資料庫，以比對通報失竊、被侵占或涉及重大案件的車輛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1-150021-600.jpg" style="width: 600px; height: 400px;" /></p> <p>通過這套系統的即時影像傳輸、巡邏軌跡，後方警務中心也能掌握現場狀況，以及巡邏車動向，溝通及調度警力。目前市警局已部署8套系統在保安隊、3個分局的巡邏車，預計在明年市府預算通過後，將會在全市部署上線，市警局表示，借助科技執法，可提高警務工作效率，降低人員的工作負擔。</p> <p> </p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">管理</span></font></strong></p> <p><strong><span style="font-size:22px;">美國研擬AI管理政策，7大科技巨頭承諾降低AI潛在風險</span></strong></p> <p>隨著AI技術發展及應用的普及，美國政府正在研擬AI管理框架，白宮更召集微軟等科技巨頭，向美國政府承諾AI技術研發帶來創新之餘，不會犧牲美國民眾的權利及安全，致力於降低AI帶來的風險。</p> <p>共有7家AI業者，包括微軟、Amazon、Google、Meta、Anthropic、Inflection、OpenAI，向白宮承諾，自願協助AI技術朝向安全、透明、可靠發展。在推出AI產品服務之前，以安全為最優先考量，並且在推出之前，先進行內部及外部的安全測試，也願意和外界分享AI管理資訊。另外，強化安全防護，以保護AI模型權重，並和第三方合作，找出AI系統漏洞。</p> <p>美國政府希望透過此舉凝聚AI產業，同時為避免AI可能帶來的負面風險，正著手規畫AI管理框架，並準備和其他國家合作，推動國際性的框架，來管理AI技術開發及使用。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲原生</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部帶頭強化官網韌性，擴大採用雲原生技術</strong></span></p> <p>數位發展部（數位部）為推動韌性，強化官方網站韌性，並擴大內部系統採用雲原生架構，期望透過建立示範，將自身經驗移轉給其他政府機關使用，達到該部推動數位韌性的目標。</p> <p>數位部指出，數位部全球資訊網目前已採用全站靜態化、星際檔案系統（IPFS）兩項技術，其中靜態化可在頁面顯示時，不需網站伺服器額外運算，搭配其他技術，可對抗DDoS攻擊，並減輕伺服器工作負擔，以及資料庫出錯對網站的影響。至於星際檔案系統則以Web3去中心化概念，將網頁資料分散到分散的IPFS節點，當主網站無法存取時，瀏覽器仍可從其他節點存取網頁資料。數位部將其官網採用CC0授權，鼓勵第三方使用。</p> <p>另外，數位部也在政府資料標準平臺、電子表單系統導入雲原生，利用容器化技術及公有雲，提升系統容錯及穩定度，以因應大量使用發生時，快速增加雲端資源避免服務中斷；該部也計畫擴大雲原生架構，未來逐步擴大至政府開放資料平臺、數位通傳資源管理系統。</p> <p>數位部希望透過帶頭示範，同時以自身經驗及案例，提供經驗、規畫、諮詢給其他機關，帶動其他機關也採用相關技術提升數位韌性，目前數位部也計畫協助NCC、即將設立的環境資源部導入相關技術。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">印度</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">細胞廣播</span></font></strong></p> <p><span style="font-size:22px;"><strong>印度政府開始測試緊急告警系統，當發生緊急災害時可第一時間向民眾示警</strong></span></p> <p>當發生緊急災害，為了在短時間內向民眾告警，印度政府近期開始測試手機緊急告警系統，發送樣本訊息到民眾的手機，當民眾的手機收到告警訊息，手機就會響起蜂鳴聲，同時螢幕也以閃爍的方式顯示緊急告警訊息。</p> <p>印度的電信部建立細胞廣播系統（Cell Broadcasting），向Jio與BSNL兩家當地電信營運商的用戶發送測試訊息。印度政府希望以此建立公共安全告警機制，在緊急的情況下，及時向特定區域的民眾發送告警訊息，讓民眾做好因應的準備。印度政府準備小規模測試，在不同地區向民眾發送告警的測試訊息。</p> <p>相較於印度，目前臺灣的NCC已和電信業者合作，建立細胞廣播系統，當偵測到地震等緊急災害發生，由氣象局發布告警資訊，通過細胞廣播系統向特定區域的用戶發送警示訊息。</p> <p> </p> <p>圖片來源／新竹市政府、國科會、SES</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.深夜飆車噪音太擾民，桃園市以聲音拍照科技執法加強取締</strong></p> <p><strong>2.英國擬設立160億英鎊的衛星基金</strong></p> <p>資料來源：iThome整理，2023年7月</p> </div></div></div>
2023/8/18 14:38作者蘇文彬https://www.ithome.com.tw/news/158328
MongoDB加入能強化資料安全性的可查詢加密功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MongoDB 7.0以上版本，添加一個稱為<a href="https://www.mongodb.com/press/mongodb-announces-general-availability-queryable-encryption">可查詢加密（Queryable Encryption）功能</a>，顧名思義，當MongoDB啟用Queryable Encryption功能，就能使加密資料不事先解密，就可以對其進行查詢。此項MongoDB內建加密功能，使組織能夠在資料受保護的情況下，查詢和使用敏感資料，在高度敏感的應用程式工作流程，諸如財務交易和分析醫療紀錄，降低資料外洩風險。</p> <p>資料加密是保護資料的常見方法，敏感資料只要使用加密金鑰並經過加密演算法，就可轉變為不可讀資料，除非使用解密金鑰才能再次將資料轉為可讀的形式。資料無論是在網路傳輸時、儲存時，甚至是處理時，都能夠以加密來保護。</p> <p>不過，組織要使用加密資料存在一些挑戰，當資料要被處理或分析時，就必須要先解密，如此便同時增加了操作的複雜性與安全風險。當企業在處理高度敏感的資料時，可能有更高的安全性或是法規要求，需要在整個工作流程加密資料，但達成這項要求的人力與成本的門檻不低。</p> <p>而現在MongoDB推出Queryable Encryption功能，使用戶可以在使用時維持資料加密，一般來說，要查詢加密後的資料有其困難度，因為資料已經被轉換成不可讀的形式，但Queryable Encryption功能不只可以讓用戶查詢加密資料，而且即便是資料經過完全隨機加密，用戶仍然可以執行相等查詢（Equality Query），也就是確認特定加密值是否與另一加密值相等。</p> <p>這對於需要保護資料隱私，但又有效能要求的查詢場景特別有用，像是金融服務應用程式的終端使用者，需要使用儲蓄帳號查詢記錄的場景，企業就可以在配置Queryable Encryption的MongoDB中查詢帳戶資料，並且維持傳輸、儲存、查詢和檢索各階段，維持資料加密狀態，最後只有擁有解密金鑰的授權應用程式，才能夠解密資料供用戶查看，以此避免資料意外洩漏或是遭中間人攔截。</p> <p>MongoDB Queryable Encryption所使用的底層加密技術，由MongoDB密碼學研究小組開發，並且向外界開源這項加密技術，使得用戶可以自由檢查技術以及程式碼，滿足安全性和法遵要求。用戶可以使用微軟Azure、AWS、Google雲端和其他符合金鑰管理互通性協議（KMIP）的服務，來管理Queryable Encryption使用的金鑰。</p> <p>目前正式版本的Queryable Encryption提供相等查詢，官方表示，之後版本還會加入更多查詢類型，像是範圍、前綴、後綴和子字串查詢等。</p> </div></div></div>
2023/8/18 13:25作者李建興https://www.ithome.com.tw/news/158330
ChatGPT日燒70萬美金，OpenAI傳面臨破產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.firstpost.com/tech/news-analysis/openai-may-go-bankrupt-by-2024-chatgpt-costs-company-700000-dollars-every-day-12986012.html" target="_blank">媒體報導</a>，AI新創業者OpenAI雖然以ChatGPT一戰成名，但是燒錢速度太快，與營收不成比例，加上種種挑戰，使OpenAI已浮現破產危機。</p> <p>《First Report》引用印度資料服務業者暨媒體Analytics India Magazine的統計報導，為了營運各種AI服務，包括ChatGPT，OpenAI每日一開門就要花費數十萬美元。單單是ChatGPT，每日營運成本就高達70萬美元，還不包括GPT-4及DALL-E2等其他產品。報導指出，若非靠微軟2次資金100餘億美金支應龐大的AI開發成本，這家新創公司可能早已破產。</p> <p>去年《The Information》報導，該公司因開發ChatGPT，導致公司虧損擴大到5.4億美元。</p> <p>目前OpenAI當務之急是產生足夠營收。目前OpenAI積極發展API收費及付費版ChatGPT Plus等服務，也希望將GPT-4推向其他應用，如網頁內容審查。去年OpenAI營收3,000萬美元，但該公司表示，希望今年可成長為2億美元，預計2024年可增長到10億美元。但報導指出，一些因素可能使這項計畫無法這麼樂觀。</p> <p>首先，OpenAI的GPT模型及ChatGPT聊天機器雖然看似火熱，但一如Meta的Threads，ChatGPT也面臨人氣直落的挑戰。<a href="https://www.similarweb.com/blog/insights/ai-news/chatgpt-traffic-drops/" target="_blank">根據Similar Web的統計</a>，ChatGPT 5到6月OpenAI.com的網頁流量減少9.7%，不重覆用戶和用戶使用時間則各減5.7%和8.5%。不過分析公司也指出，這不包括以OpenAI API存取服務的用戶，因該公司積極發展與第三方應用程式商合作，以API提供第三方App加值聊天機器人服務。</p> <p>報導並指出，在激烈競爭下，OpenAI也遭遇其他競爭者挖角、人才流失可能影響研發速度。此外，相較公司的獲利企圖心，執行長Sam Altman似乎比較擔心AI發展。他屢次表達對通用型AI（Artificial General Intelligence）的快速發展，帶來的「毁滅性影響」表達憂慮，呼籲各國政府發展管制規範。而且，ChatGPT引發疑慮讓OpenAI面臨極大阻力，例如美國聯邦交易會員會（FTC）已經就ChatGPT侵犯隱私、侵害名譽及資料外洩<a href="https://www.ithome.com.tw/news/157818" target="_blank">對OpenAI展開調查</a>。</p> <p>雖然公司獲利問題引發外界關切，但<a href="https://www.ithome.com.tw/news/157818" target="_blank">OpenAI本周才剛宣布</a>買下AI設計新創業者Global Illumination，以提升ChatGPT在內的服務。</p> </div></div></div>
2023/8/18 12:07作者林妍溱https://www.ithome.com.tw/news/158327
IBM和微軟合作推廣Azure生成式AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/ibm-consulting-collaborates-with-microsoft-to-help-companies-accelerate-adoption-of-generative-ai-301903037.html" target="_blank">IBM和微軟宣布生成式AI的合作</a>，IBM顧問服務將協助企業客戶導入及擴大部署微軟Azure OpenAI服務。</p> <p>在雙方的合作下，推出了IBM顧問Azure OpenAI Service（IBM Consulting Azure OpenAI Service）的新服務將在Azure Marketplace上架。這項服務下IBM顧問服務將幫助企業組織導入微軟Azure OpenAI服務，方便資料科學家或開發人員使用GPT或Codex等大型語言模型。IBM將協助企業規畫採用策略、提供初步的生成式AI加值應用開發案例等商業顧問服務。</p> <p>利用IBM顧問服務的產業經驗，這項服務包含二部分。首先，透過OpenAI啟動工作坊，提供AI模型應用的知識及教育訓練，及尋找應用場景等協助。其次是OpenAI成熟度，評估資料集狀態、用戶能力、作業模式的成熟度，並建議採用AI服務的藍圖。<a href="https://azuremarketplace.microsoft.com/en/marketplace/consulting-services/ibm-alliance-usa-ny-armonk-dtt-6418595.openai_hackathon_offering" target="_blank">根據微軟網頁</a>，這項服務收費為6.5萬美元。</p> <p>而在此基礎上，IBM也將利用Azure OpenAI服務提供進階的AI應用場景規畫服務。包括了採購與詢料，這服務結合Power Platform和Azure OpenAI服務協助自動化零散的詢料（sourcing）及採購流程，並提供供應鏈活動的報表洞見。其次是摘要和內容生成；IBM將協助像是金融業者利用生成式AI摘要客戶交易及互動資料，以便產生個人化、客製化服務內容。例如IBM為瑞士寶盛集團（Julius Baer Group）在其黑客松活動中，快速以AI建立客戶個人化財務報告，並自動產生語音版本。</p> <p>第三為簡化醫療流程。例如利用AI整合及分析電子病歷及政策文件，自動化預授權（pro authorization）流程。此外也可利用聊天機器人加速蒐集病患紀錄，簡化醫護人員的工作。最後是企業搜尋及知識庫；本服務利用AI迅速搜尋分散在企業各處的資料，例如IBM和微軟協助德國原油及天然氣巨人Wintershall Dea實作跨多個資料庫的知識蒐集工具。而若整合光學字元辨識（OCR）及Azure OpenAI服務，則可加速資料瀏覽過程。</p> <p>IBM表示，該公司將在這項服務上提供2.1萬名AI及資料專家及顧問，協助企業實作生成式AI服務，加速企業轉型。</p> <p>這是IBM和微軟最新一項在雲端方面的合作成果。原為IBM技術服務部門的<a href="https://www.kyndryl.com/mx/es/about-us/news/2023/08/it-modernization-for-finnish-bank-group" target="_blank">Kyndryal本周也宣布協助</a>芬蘭200年老字號銀行Savings Banks Group，將IT系統全數轉向Azure雲端。</p> </div></div></div>
2023/8/18 13:04作者林妍溱https://www.ithome.com.tw/news/158329
芬蘭200年老牌銀行啟動轉型，系統將100%全面搬上Azure公雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1822年創立、已屆200歲的芬蘭儲蓄銀行<a href="https://www.globenewswire.com/news-release/2023/08/15/2725162/0/en/The-Savings-Banks-Group-will-invest-more-than-EUR-100-million-in-digitalisation-over-the-next-five-years.html" target="_blank">Savings Banks Group（SBG）本周宣布</a>，將在未來5年斥資1億歐元以實現該集團的數位化願景，而根據《<a href="https://www.datacenterdynamics.com/en/news/finlands-savings-banks-group-migrates-to-microsofts-azure/" target="_blank">Data Centre Dynamics</a>》的報導，SBG將把該集團的資料與系統，全面搬上微軟公有雲服務Azure。</p> <p>身為芬蘭最古老的銀行，SBG在最輝煌的1930年代曾經擁有485家銀行，市占率達40%，但在經歷了戰爭、重建、金融規定愈來愈嚴格，一直到放寬規定所帶來的激烈競爭與之後的金融業危機，現在的SBG是個由40個儲蓄銀行組成的集團，存款占有率約為8.5%。</p> <p>SBG執行長Karri Alameri表示，這是該公司在這200年以來最大的一次投資，以更快回應客戶的變動需求，不過，這不僅是個IT專案，更涉及SBG旗下所有銀行的業務更新，期望可替客戶與員工帶來更順暢的日子。</p> <p>此一龐大專案的合作對象包括微軟、Tietoevry、Samlink與twoday，其中，Tietoevry將負責交付貸款系統，基於Microsoft Dynamics 365的客戶關係管理系統則由twoday擔綱，Samlink負責整合現有環境中的系統，再偕同Solita以於Azure環境中提供持續性服務。而第一階段的系統部署預計於2026年展開。</p> <p>另一方面，<a href="https://news.microsoft.com/europe/2022/03/17/microsoft-announces-intent-to-build-a-new-datacenter-region-in-finland-accelerating-sustainable-digital-transformation-and-enabling-large-scale-carbon-free-district-heating/" target="_blank">微軟於去年3月宣布準備於芬蘭設立資料中心</a>，當地的資料中心的運作將採用100%無排放能源，且將與芬蘭國有能源公司Fortum合作，把資料中心所產生的廢熱轉為區域供暖，成為史上最大的資料中心廢熱回收計畫。</p> <p>微軟在芬蘭擁有4.5萬個商業客戶及逾2,000個合作夥伴，知名客戶包括Nokia、Fortum及上述的Tietoevry等，不過，當地的資料中心迄今尚未上線，微軟亦未公布上線時程。</p> </div></div></div>
2023/8/18 11:43作者陳曉莉https://www.ithome.com.tw/news/158326
Dell PowerProtect產品線全面更新，強化備份軟體、備份儲存伺服器、資料避風港方案
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_shu_zhuan_ti_-dell_powerprotect-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dell</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前Dell一口氣更新PowerProtect各產品線軟體功能，針對當中的備份儲存產品，擴展應用架構的彈性，增加了安全性功能，也改善管理便利性。</p> <p>他們這次更新範圍相當廣泛，幾乎涵蓋PowerProtect品牌所有主要產品，包括PowerProtect DD（PPDD），PowerProtect Data Manager（PPDM），PowerProtect Data Manager Appliance（PPDMA），以及PowerProtect Cyber Recovery（PPCR），是這個品牌問世以來，少見的全產品線同時更新。</p> <p><span style="font-size:28px;"><strong>Dell的備份與資料保護產品家族</strong></span></p> <p>PowerProtect這個產品名稱誕生至今，只有短短4年，不過隨著Dell陸續將其他發展歷史更早的備份儲存產品線併入，最終使其成為Dell備份與資料保護產品線的統一品牌。</p> <p>Dell一開始是將PowerProtect這個名稱，用於命名2019年5月推出的全新備份軟體，同時包含純軟體版本、VM版本，以及X400備份一體機等3種版本。</p> <p>後來，Dell逐步擴大PowerProtect，使其成為旗下所有備份儲存產品的統一品牌。先是在2019年底時，將原本的DataDomain DD備份儲存伺服器家族，以及Cyber Recovery資料避風港保護系統，都併入PowerProtect品牌，分別改稱為PowerProtect DD，以及PowerProtect Cyber Recovery。</p> <p>2020年底，Dell將基於Avamar備份軟體的IDPA（Integrated Data Protect Appliance）備份一體機產品線併入，成為PowerProtect DP系列。至於原先的PowerProtect備份軟體系列，此時則開始改稱PowerProtect Data Manager。</p> <p>稍後Dell在2021年初停售搭配PPDM備份軟體的X400備份一體機，PPDM備份軟體繼續銷售，2022年底發表搭載PPDM備份軟體全新備份一體機，稱為PowerProtect Data Manager Appliance。</p> <p>所以目前PowerProtect這個品牌下，一共包含5個產品線：</p> <p><strong>● PowerProtect DD：</strong>以DataDomain OS（DDOS）儲存軟體平臺為核心的備份儲存伺服器，提供含有高效率重複資料刪除能力的儲存空間，但不包含備份軟體，需搭配其他備份軟體或備份伺服器，將用戶端資料轉存到PPDD的儲存空間。</p> <p><strong>● PowerProtect DP：</strong>基於Avamar備份軟體的備份一體機，同時提供備份應用服務與備份儲存空間。</p> <p><strong>● PowerProtect Data Manager：</strong>可支援本地端與雲端不同工作負載的備份應用軟體，可獨立部署，或採用備份一體機部署。</p> <p><strong>● PowerProtect Data Manager Appliance：</strong>預載PPDM備份軟體的備份一體機，同時含有備份應用服務與備份儲存空間資源。</p> <p><strong>● PowerProtect Cyber Recovery：</strong>針對勒索軟體威脅，以PPDD備份儲存伺服器為核心，透過PPDD提供的離線備份、遠端複製與WORM技術，再加上CyberSense威脅偵測與分析功能，所構成的資料避風港解決方案，可提供抵禦惡意軟體威脅的安全儲存空間。</p> <p><span style="font-size:28px;"><strong>PowerProtect的新進化</strong></span></p> <p>今年7月下半，Dell發布一波涉及整個PowerProtect家族多數產品線的改版，涵蓋所有PowerProtect家族產品線（除PPDP以外），提供了一系列包含安全性、資料還原設定、管理便利性，以及與本地端、雲端平臺整合的改進功能。其中，較重要的改進項目如下：</p> <p><span style="color:#3366ff;"><strong>● PowerProtect DD：</strong></span>新增直接將PowerStore儲存陣列備份到PPDD的功能，可以將PowerStore的Volume與Volume群組的快照，備份到PPDD儲存區保存，構成一種儲存端備份架構，既無須備份伺服器的中介，也不會影響到前端主機的運作。</p> <p>這項儲存端直接備份功能、必須搭配PowerStore儲存陣列新的3.5版作業系統軟體運作，不過由於PPDD只提供單純的備份儲存功能，所以備份作業的啟動須由外部系統建立，用戶可透過儲存端與備份端等2種設定，建立從PowerStore到PPDD的直接備份——儲存端可用PowerStore的PowerStore Manager控制臺設定；在備份端，則可由備份管理員利用PPDM備份控制臺設定。</p> <p>PPDD核心的PPDDOS作業系統，在這波更新中也針對PPDD的虛擬版（Virtual Edition）提供幾項新功能，其中最重要的，是擴展Smart Scale功能的支援範圍。</p> <p>Smart Scale是Dell去年中為PPDD產品線引進的功能，可將多臺PPDD儲存伺服器組成系統池（System Pools），備份作業只需將儲存目的地指派到系統池，Smart Scale會自動在多臺PPDD設備間，依照負載與可用容量，管理備份資料的實際位置，可大幅簡化多臺PPDD設備的負載與容量管理。</p> <p>而這次升級PPDDOS擴展SmartScale功能範圍，涵蓋PPDD的虛擬版。</p> <p>PPDDOS其他更新也擴展PPDD虛擬版功能，例如，可支援使用KVM的VirtIO磁碟，改進系統管理與搭配公雲的安全與靈活性，如管理控制臺支援多因素驗證（Multifactor Authentication）、支援本地端PPDD虛擬版與雲端的資料複製等。</p> <p><span style="color:#3366ff;"><strong>● PowerProtect Data Manager：</strong></span>如前所述，PPDM備份管理軟體控制臺，能管理從PowerStore到PPDD儲存伺服器的直接備份及還原。</p> <p>更新的PPDM，也增加搭配VMware VM的還原作業編排（Recovery Orchestration），可建立重複使用，含多種細部屬性與作業選項的還原政策，提供更彈性的還原作業。</p> <p><span style="color:#3366ff;"><strong>● PowerProtect Data Manager Appliance：</strong></span>預載PPDM備份軟體的PPDMA備份一體機，本次更新重點在於強化安全性。</p> <p>首先是新增支援PPCR，可將關鍵的備份資料轉存到本地或雲端上的PPCR儲存庫，利用後者的保護能力確保備份資料安全。</p> <p>其次，PPDMA也強化系統管理與資料保存方面的安全性功能，包括引進了微軟的多因素身分驗證功能，並提供法規遵循模式的資料鎖定功能（Retention Lock Compliance），確保備份資料的不可變，防止意外或惡意的刪除。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-Dell%20PowerProtect-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(105, 105, 105);"> 強化PowerProtect Data Manager Appliance（PPDMA）的安全性 </span></strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>基於PPDM備份軟體平臺的PPDMA備份一體機，這次更新中提供改進的管理安全性與資料儲存防刪改功能，並能與PPCR資料避風港搭配。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Dell</span></span></p> <p><span style="color:#3366ff;"><strong>● PowerProtect Cyber Recovery：</strong></span>基於PPDD的PPCR資料避風港系統，這波功能更新主要強化管理便利性，並且擴展備份環境的支援。</p> <p>首先是針對PPCR使用的PPDD儲存伺服器，提供改進的儲存容量監控功能，以及更精細的儲存庫管理操作，強化儲存庫的監控、警示與報告功能。</p> <p>其次是PPCR偵測與移除備份複本中惡意軟體的CyberSense元件，這次改版引進新的配置儀表板（Configure Dashboard），可簡化CyberSense相關功能授權的設定與配置。</p> <p>第三，則是PPCR擴展與不同備份軟體的整合能力，包括新增讀取與分析Networker備份軟體建立的Hyper-V VM快照複本，以及Commvault備份軟體的SAP HANA備份映像檔的功能，讓PPCR可以分析與檢視這些備份軟體備份檔案的完整性。</p> <p><span style="font-size:28px;"><strong>Power Protect家族間的融合</strong></span></p> <p>本次更新中，我們注意到多項功能的改良與強化，似乎都涉及不同Power Protect產品線之間的整合，例如，透過PPDM控制臺，管理PowerStore與PPDD間的備份與還原，以及PPDMA備份一體機與PPCR資料避風港的整合等，這些舉動都顯示，Dell正嘗試強化Power Protect各產品線之間的聯繫。</p> <p>如同我們前面介紹的，目前的Power Protect系列，其實是先後納入多個來源的產品所組成——包含PPDD、PPDP、PPDM等3種完全不同的儲存軟體平臺，加上基於這3種平臺的應用伺服器產品。</p> <p>這些產品雖然同樣都是針對備份與資料保護應用而發展出來，來歷卻各不相同，因此，最初Dell都將它們納入單一品牌，我們當時認為有些牽強。</p> <p>不過，Dell藉由陸續引進跨Power Protect產品線的整合功能，相關效益已漸趨顯著，等到逐漸將這個產品家族整合為單一、有機的整體之後，未來應該能發揮加乘的應用效果。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dell-power-protect">Dell Power Protect</a></div><div class="field-item odd"><a href="/tags/%E7%94%A2%E5%93%81%E6%9B%B4%E6%96%B0">產品更新</a></div><div class="field-item even"><a href="/tags/%E5%82%99%E4%BB%BD%E5%84%B2%E5%AD%98">備份儲存</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%BF%9D%E8%AD%B7">資料保護</a></div></div></div>
2023/8/18 12:00作者張明德https://www.ithome.com.tw/tech/158239
從演化演算法談如何發展超智慧
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-chao_zhi_hui_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">感電出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們姑且把超智慧定義為在任一種關注領域上，都實質且大幅超越人類認知表現的智慧。要注意的是，關於超智慧要如何實現，這裡的定義是含糊的。而關於感質（qualia，指的是人的知覺意識或感覺感受，例如當你看到630nm波長光時產生的「紅色」感覺）也是含糊的。超智慧到底有沒有主觀意識經驗？這在某些問題上可能十分重要（尤其是道德問題），但我們首先要關注的是超智慧的前因後果，而不是心智的形而上學。</p> <p>就這個定義來說，西洋棋程式Deep Fritz不是超智慧，因為Deep Fritz只有在西洋棋這項限制領域有過人的才略。然而，某些特定領域限定的超智慧有可能非常重要。當我們提及特定領域的超智慧表現，我們馬上就會察覺它的限制。舉例來說，一個｢工程超智慧｣會是一個在工程領域遠遠超過當前最優秀人類心智的智慧。除非特別提及，否則我會用這類詞彙來指稱那些在通用智慧上超越人類等級的系統。該怎樣創造超智慧呢？我們來檢驗幾種可能的途徑。</p> <p><span style="font-size:28px;"><strong>人工智慧</strong></span></p> <p>「用學習來讓一個簡單系統自我成長至人類智慧水準」這個想法並沒有多新穎，早在1950年，圖靈就發表了「孩童機器」的概念：</p> <p>與其製造一個模擬成人心智的程式，何不製造一個模仿孩子心智的程式呢？如果接下來給它一個適當的教育課程，這個程式將可獲得成人的大腦。</p> <p>圖靈設想了一套重複流程來開發這種孩童機器：</p> <p>我們不能期待好孩子機器可以一次到位。我們得靠實驗教導這個機器，並且觀察它能學得多好。接下來可以試試其他方法，看它學得更好還是更糟。這個流程與演化有很明顯的連結⋯⋯然而，我們也可以期待這個流程比演化更迅速有效。要測量最適者生存的優勢往往十分緩慢，但進行智力測驗的實驗者可以加速這個過程。同樣重要的事實在於，實驗者並不受限於隨機突變，如果實驗者能查出某些弱點的成因，便能思考什麼樣的變異可使機器進步。</p> <p>我們知道，無方向的演化過程可以產生人類水準的通用智慧，截至今日，已成功過至少一回。那麼，預先有方向的演化過程，也就是由有智慧的人類程式設計者所設計並指揮的遺傳程式，應該能以遠高於自然演化的效率，達成類似的成果。大衛．查摩斯（David Chalmers）、漢斯．莫拉維克（Hans Moravec）等哲學家及科學家論證了這個觀察結果：人類水準的人工智慧不只理論上說得通，且在本世紀內即可實行。</p> <p>他們認為，要是我們預估一下演化和人類工程製造智慧的相對能力，便能發現人類工程已在某些領域大幅超越了演化，過不了多久也將擴及其他領域。既然演化產生了智慧，人類工程很快也能做到這一點。早在1976年，莫拉維克就曾寫道：在這些限制下產生的數種智慧案例讓我們自信滿滿，讓我們相信自己可以在較短的時程中達成同樣的成果。就像我們的文化還尚未釐清鳥、蝙蝠、昆蟲的重體飛行（注：heavier-than-air flight，透過空氣動力學的原理，在翼的上下創造不同壓力差來飛行）是怎麼一回事之前，牠們早就清清楚楚證明了重體飛行的可能性一樣。</p> <p>但我們必須注意，這條論證是用什麼推論來界定的。演化確實產生了重體飛行，人類工程師隨後也成功仿效（儘管使用了截然不同的機制）。其他可列舉的例子還包括聲納、磁性導航、化學武器、感光器以及各種機器與動力學的行動特性。然而，我也可以指出人類工程師遠遠不及演化的領域：形態發生（morphogenesis）、自我修復，以及免疫防禦等等。在這些例子中，人類的努力遠遠落後演化的成果。因此，莫拉維克的論點無法讓我們「自信滿滿」，說我們一定能「在短時程中」達到人類水準的人工智慧。智慧生命的演化頂多就是替智慧設計工作設下先天的困難上限，但這個天花板也遠遠高過了目前人類工程的能力。</p> <p>另一個利用演化論點來使人工智慧得以實現的想法是，我們可以在高效能的快速電腦上運作遺傳演算式，達到媲美生物演化的結果。這個版本的演化論點因此提出了一種特定的方法，讓智慧得以生產出來。</p> <p>但在不久的將來，我們真的會有足夠的運算能力，來概括重現產生人類智慧的相關演化過程嗎？答案取決於接下來幾十年電腦運算技術的進展，以及執行和過往天擇演化的最佳化能力一樣強的遺傳演算運算能力。儘管到頭來，我們探究這段論證所得到的結論並不明確，但我們仍然可以做出概略的估計。別的不提，光是這樣的演練就讓人注意到一些有趣的未知事物。</p> <p><span style="font-size:28px;"><strong>概括重現演化需要什麼？</strong></span></p> <p>在人類智慧發展的歷程中，並不是每個藉由演化得到的特性，都和企圖以人工發展機器智慧的人類工程師有關。地球上只有一小部分的演化抉擇出智慧。更具體來說，人類工程師在意的問題，可能只是整體演化的極小部分目標。舉個例子，既然我們可以用電力驅動電腦，我們就不需要為了創造智慧機器，重新發明進行細胞能量作用的分子。然而這種代謝式的分子演化，卻可能用掉了地球演化史上能運用的大部分天擇能量。</p> <p>可能會有人反駁說，人工智慧的關鍵洞見體現於神經系統的構造中，而這套系統出現至今還不到十億年。如果接受這個觀點，那麼演化的相關「實驗」便大幅縮短了。目前世界上約有4－6×10<sup>30</sup>個原核生物，但只有10<sup>19</sup>隻昆蟲，以及少於10<sup>10</sup>個人類（且農業時代前的人口比後來還少了好幾個數量級）。這些數字只是稍微嚇嚇人而已。</p> <p>然而，演化演算法不僅需要可供選擇的變量，也需要一個適應函數來評價變量，而這往往是運算上最昂貴的部分。人工智慧演化所需的適應函數需要神經發展、學習和認知的模擬，好評估何者最為適當。因此，我們不應該關注擁有複雜神經系統的生命體之大略數量，而是若要模仿演化的適應函數，那麼在這個生命體中，要模擬多少個神經元？我們可以利用地表數量凌駕一切動物的昆蟲（光是螞蟻，估計就占了總量的15–20%），針對神經元的數量做一個粗略的估計。昆蟲的腦部大小懸殊各異，大型昆蟲和社群性昆蟲有較大的腦：蜜蜂的腦只有不到10<sup>6</sup>個神經元，果蠅有10<sup>5</sup>個神經元，螞蟻則在25萬上下。大多數更小型的昆蟲，腦中可能只有幾千個神經元。以保守的數字估算，如果10<sup>19</sup>隻昆蟲每隻都只分到果蠅的神經元數量，那麼世上總共會有10<sup>24</sup>個昆蟲神經元。如果再列入水生橈腳類（水蚤）、鳥類、爬蟲類、哺乳類等生物，還可以再增加一個數量級，達到10<sup>25</sup>（相對來說，在前農業時代，人類總數少於10<sup>7</sup>，每個人的神經元都不多於10<sup>11</sup>；因此人類的總神經元少於10<sup>18</sup>，儘管人類平均每個神經元有比較多的突觸）。</p> <p>模擬一個神經元的運算成本，取決於模擬該神經元的詳盡程度。極簡單的神經元模型若要（即時）模擬一個神經元，所需的每秒浮點運算次數（floating-point operations per second，FLOPS）為1,000次。在電生理學上仿真的霍奇金－赫胥黎模型（Hodgkin–Huxley model）要用到120萬個FLOPS。更詳盡的多區隔模型，則要再增加三到四個數量級；而提取神經元系統的更高等模型，則要從簡單模型中扣除掉兩到三個數量級。如果我們要模擬10<sup>25</sup>個神經元經歷10億年的演化（比我們已知神經系統存在的時間還長），且讓電腦跑上一年，那麼這個數據所需的FLOPS為10<sup>31</sup>－10<sup>44</sup>。舉個例子相比，中國的「天河二號」是截至2013年9月為止全世界最強大的超級電腦，也只提供了3.39×10<sup>16</sup>個FLOPS。近幾十年，商用電腦大約每6.7年才增加一個數量級的能力。就算接下來一整個世紀都持續按照摩爾定律進展，也不足以填補這個空缺。運用更專門的硬體或加長運作時間，都只能少少增加幾個數量級而已。<span style="color:#696969;"><strong>（摘錄整理自《超智慧》第二章，感電出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E8%B6%85%E6%99%BA%E6%85%A7-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_感電出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">超智慧：AI風險的最佳解答（Superintelligence: Paths, Dangers, Strategies）</span></strong></p> <p>尼克．伯斯特隆姆（Nick Bostrom）／著；唐澄暐／譯</p> <p>感電出版</p> <p>定價：600元</p> <p><a href="https://www.fhi.ox.ac.uk/team/nick-bostrom/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%B6%85%E6%99%BA%E6%85%A7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Future%20of%20Humanity%20Institute.jpg" style="width: 120px; height: 120px;" /></a></p> <p><a href="https://www.fhi.ox.ac.uk/team/nick-bostrom/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Future of Humanity Institute</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>尼克．伯斯特隆姆（Nick Bostrom）</strong></p> <p>牛津大學哲學系教授，其學術背景包含理論物理學、計算神經科學、數學邏輯、人工智慧以及哲學。他在全球五十歲以下的哲學家中被引用次數最多，擁有廣泛的影響力。伯斯特隆姆同時是牛津馬丁學院人類未來研究所（Future of Humanity Institute）的創立者和所長。這個跨學科的研究中心聚集了一群傑出的數學家、哲學家和科學家，共同致力於深入探索人工智慧的安全與政策、生物安全、宏觀策略、數位思維倫理等關鍵科技與基礎問題。</p> <p>伯斯特隆姆的學術成就與貢獻受到廣泛讚譽。他是TED大會的常客，多次在此發表演講，並且已接受超過一千次來自各類媒體的採訪。他的學術實力和影響力使他兩度榮登《外交政策》（Foreign Policy）雜誌的全球百大思想家名單，並且作爲最年輕的思想家之一，他也成功躋身於《展望》（Prospect）雜誌的世界思想家排行榜前十五位。</p> </div></div></div>
2023/8/18 12:00未署名https://www.ithome.com.tw/article/158280
從一場AI頂級學術盛會窺見生成式IR如何崛起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輸入一句「我要一件適合5月邁阿密戶外婚禮的禮服且要是流行色、2天送達」，瀏覽器馬上跳出摘要小卡，不只列出邁阿密5月天氣的重點，還有適合該天氣的服裝材質和一件件達標的禮服產品縮圖與連結，一次滿足提問。這是Google在今年5月I/O技術大會上揭露的生成式搜尋體驗，還預告不久後將落地普及。微軟則更進一步，將今年初已運用於瀏覽器的生成式搜尋，擴大到多項平臺服務中，用更直接的方式提供搜尋資訊給使用者。</p> <p><span style="font-size:28px;"><strong>生成式IR改變導流模式，也可加深消費旅程</strong></span></p> <p>這些科技巨頭押寶的生成式搜尋，背後關鍵技術就是生成式AI和資訊檢索（IR），也稱為生成式IR。它不只改變人們搜尋資訊的樣貌，還可能改變搜尋生態的導流模式。</p> <p>因為，生成式搜尋直接提供摘要資訊和參考連結，更容易幫使用者找到所需資料，對搜尋目標網站的導流效果也更好。但同樣地，這種搜尋模式，也大幅降低使用者一一從搜尋結果中找答案的機會，等於減少某些網站的曝光度和點擊機會。尤其，一些免費提供內容的網站，多半靠內嵌的廣告、置入性產品、聯盟行銷連結等元件來獲利，在生成式搜尋模式的影響下，這些網站若相關性不高，流量和獲利機會就會減少。</p> <p>正因如此，生成式搜尋未來可期的是，更多元的商業模式將會出現，來因應導流衝擊。</p> <p>不只導流，生成式IR還能支援使用者制定更好的決策。舉例來說，在購物、電商和零售領域，生成式IR不只能用來搜尋，還能比對並摘要相似的產品，提供消費者更細緻的產品選擇體驗，深化整體消費旅程。</p> <p><span style="font-size:28px;"><strong>生成式AI改變發展70年的舊範式</strong></span></p> <p>回過頭來，有能力引發搜尋變革的生成式IR，是從一系列的技術突破演變而來。早在1950年代，IR就已出現，當時二戰後，大量文件解禁，圖書管理員開始編寫電腦程式，來加速書籍和文獻搜尋工作。這項技術在網際網路出現後，也套用了進來。不論是1990年代的AltaVista搜尋引擎，還是現在的Google搜尋，都根據使用者輸入的關鍵字，跳出十幾條藍色連結，使用者仍需要一一掃過、找出最佳答案。</p> <p>但隨著自然語言處理（NLP）技術進展，生成式IR概念開始浮現：一種可直接將答案給使用者的搜尋模式。</p> <p>2013年，詞嵌入技術有了飛躍式進展，word2vec工具將文字處理問題簡化為向量運算問題，大幅提高多項NLP任務精準度。再來，預訓練語言模型開始出現，2018年的BERT再次拉高多種NLP任務表現，資訊檢索也不例外。後來，專家們發現，這種預訓練語言模型不只儲存語言知識，還儲備基礎知識。</p> <p>於是，IR圈開始思考，能否將這種大型語言模型（LLM）用做單一知識庫，來完成資訊檢索工作。此後，便有了封閉型生成式IR和開放型生成式IR的領域研究，差別在於，封閉型系統不借助任何外部工具，只以LLM為單一知識來源，來回答使用者問題。開放型生成式IR則能外接多種工具，如網路搜尋器，來生成答案給使用者。</p> <p>由於封閉型系統難以大規模擴展，開放型生成式IR成為研究主流，也是如今科技巨頭押寶的領域。至此，生成式AI成功走進發展70餘年的資訊檢索學科。</p> <p>然而生成式IR以生成式模型為核心，模型面臨的問題，必然是生成式IR得解決的問題。比如，如何確保模型產出的答案，忠於模型參考的資料來源？如何提高模型的歸因（Attribute）能力，也就是模型產出的回答有憑有據，能與資料來源相匹配？</p> <p>目前已有不少專家提出解方，像是定義模型忠實度、打造一系列基準測試來衡量模型歸因能力，甚至還有歸因工具，來協助模型講話有憑有據。</p> <p>不過，還有專家發現，許多人想復刻ChatGPT這類高效能模型，卻用大量ChatGPT等生成式模型產出的對話資料，來訓練新模型。這導致了嚴重的模型崩塌問題，亦即隨著時間推移，接收生成的錯誤資訊的新模型，將對現實產生錯誤認知，且這問題無法避免，也不可逆。最好的方法是，先人工分辨機器產生的內容，來確保訓練資料不使用大量AI生成資料。</p> <p><span style="font-size:28px;"><strong>生成式IR勢在必行，傳統IR仍重要</strong></span></p> <p>正如同本文破題場景，搜尋引擎龍頭積極擁抱生成式IR，這種生成式搜尋將成為必然，為什麼？</p> <p>首先，生成式IR可解決IR界一直想改善的搜尋難度，比如搜尋的時間成本、認知成本和互動成本等。而且，用生成式IR產出的摘要資訊，可結合多個資料來源內容，提供更整合式的搜尋結果。</p> <p>再來，關於模型歸因能力和忠實度等問題，目前也有大幅進展，比如已有專家開發歸因工具、相關基準測試，來確保模型不會一本正經亂說話。而且，生成式IR系統的狀態記憶能力也會越來越好，也就是說，問答能夠延續下去，從單輪對話進步到多輪對話，提供更一致的搜尋體驗。</p> <p>最後，傳統IR仍有其價值，因為，索引、詞彙和語義檢索等仍是IR不可或缺的模組。而且，傳統IR還有很多新議題能探討，比如排名，是否能根據檢索的詮釋資料（Metadata），來提供相關性以外，更多元的搜尋結果？這些都是傳統IR能持續探索的領域。</p> <p>生成式IR正是今年頂級學術盛會ACM SIGIR最熱門的話題之一。SIGIR年會是全球13個頂級AI會議之一，也是資訊檢索領域公認最重要的學術會議。開辦46年來，首次在臺舉辦，由臺大AI中心和中華民國計算語言學學會負責。</p> <p>今年大會收到1,700多篇不同形式的投稿，主題涵蓋各種IR相關領域，如搜尋、排序、自然語言處理（NLP）、推薦系統、內容分析、FATE（公平透明倫理、可解釋性）等。而IR技術，正是電商、企業常用推薦技術背後的基礎。也因此，大會不只吸引學術研究專家，業界也用第一線經驗，分享研發應用成果，包括科技巨頭、跨國企業，甚至摩根大通集團都有數篇論文發表。</p> <p>主辦方在大會開幕式上揭露，搜尋推薦和機器學習這2個主題，是今年投稿論文的前兩名，分別占了近6成、5成。主辦方統計熱門關鍵字，生成式AI不僅上榜，更是今年主題演講的重點。</p> <p>這包括Google DeepMind 、微軟研究院的重量級科學家開場分享的生成式檢索、Copilot搜尋等AI新典範浪潮下的研究進展。其中，Google DeepMind傑出研究科學家Marc Najork詳解生成式IR的技術發展和趨勢，他在Google研究院帶領過70人團隊、打造各種IR應用，現在專心研究生成式AI。因為，比起傳統IR提供參考答案連結給使用者判斷，他更看好用生成式語言模型分析資訊、摘要成有用答案，直接呈現給使用者。</p> <p>Marc Najork從第一線研究者視角，剖析生成式AI對傳統IR的衝擊與潛在應用，雖然這些觀點無法代表Google產品發展方向，卻是這位AI技術老將對IR技術的長年觀察，更揭露了生成式IR的過去，現在和未來可能的發展。</p> <p><a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1143-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=1ekJHHwQ" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/8/18 12:00作者王若樸https://www.ithome.com.tw/news/158295
NLP技術突破帶來生成式AI，催生出全新的網路搜尋樣貌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI不只衝擊各產業，也激起傳統技術變革，包括我們常用但陌生的資訊檢索（Informationa retrieval，簡稱IR）領域。每天，我們用瀏覽器搜尋資料，在網購App上挖寶，上圖書館和學術期刊網站找文獻，或是企業存取資料庫、行銷個人化推薦、銷售排名評比等，這些搜尋動作背後的關鍵技術，就是資訊檢索，更是各種排序、推薦不可或缺的核心技術。</p> <p><span style="font-size:28px;"><strong>網路搜尋核心技術：IR</strong></span></p> <p>IR並不新奇，是個「發展70年的成熟領域，」Google DeepMind傑出研究科學家Marc Najork日前來臺時說道。他專攻IR、網路搜尋和排名數十年，曾在微軟研究院研發個人化社群搜尋，也在Google研究院帶領近70人團隊、打造各種IR應用，現在專心聚焦生成式AI。放下了所屬公司的身分，他從個人學術研究的角度，更全面地剖析IR這個老技術領域的最新進展。</p> <p>他解釋，二戰後，大量文件開始解禁，圖書管理員開始運用電腦程式，協助研究人員查找所需的龐大文獻和書本。電腦科學家Herbert F. Mitchell在1953年發表一篇論文，說明通用圖書文獻查找系統的運作方法，是早期IR系統的典型樣貌。</p> <p>此後70年，檢索系統始終遵循相同典範，都是先將資訊需求轉換為一個查詢句子（Query），再將這個查詢發送到檢索系統，最後得出了參考結果。這些結果可能按相關性遞減排序，也可能包含簡短摘要。這種查詢典範，到了際網路興起時繼續沿用，成為大家熟悉的搜尋模式：輸入關鍵字、按下Enter鍵，搜尋服務給出10幾條藍色字體連結。1990年代的AltaVista搜尋引擎就是如此，現在的Google搜尋亦是如此。</p> <p>在IR圈，降低搜尋難度一直是專家們想克服的痛點。Marc Najork引用Google一篇網路搜尋研究，搜尋資訊的代價，其實要付出不少非金錢的成本，如時間、認知和互動成本，在學術研究上，這些成本統稱為Delphic Costs。回顧檢索系統70年來的發展，「所有技術改良都是為了降低Delphic Costs。」</p> <p>他舉例，同義字擴展（Synonym expansion）可以降低如何構思查詢的認知成本，排名（Ranking）作法則有助於降低人眼瀏覽一條條搜尋結果的時間成本，資訊摘要也能減少時間成本，讓使用者可直接跳過排名靠前但不相關的搜尋結果。但要是搜尋資訊時，系統不是跳出一條條參考結果，而是以問答形式，直接給出整理過、圖文並茂的摘要和參考資訊，是否更能降低搜尋難度？</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_1996%E5%88%B02023%E6%90%9C%E5%B0%8B%E7%B6%B2%E7%AB%99%E6%AF%94%E8%BC%83-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#3399ff;">Google DeepMind傑出研究科學家Marc Najork指出，70年來的資料檢索（IR）系統一直維持同樣的典範，先將資訊需求轉換成查詢句子，再將這個句子送到檢索系統，再回傳可供參考的結果。這些結果可能按相關性遞減排序，也可能包含簡短摘要。網路興起時，搜尋引擎繼續沿用這個資訊檢索典範，發展成大家熟悉的搜尋模式：輸入關鍵字、按下Enter鍵，搜尋服務給出10幾條藍色連結。1996年的AltaVista搜尋引擎就是如此，現在的Google搜尋亦是如此。</span></strong><span style="color:#696969;"><span style="font-size:14px;">攝影／王若樸</span></span></p> <p><span style="font-size:28px;"><strong>NLP技術突破，為生成式AI用於資訊檢索鋪路</strong></span></p> <p>答案是肯定的。Marc Najork說明，這種問答式系統，降低了搜尋時間和心力成本，而且「比檢索系統更直接！」不只他，IR界許多專家也看好這種問答式系統的潛力。因為，早幾年自然語言處理（NLP）的技術突破，奠定了直接問答系統用於資訊檢索的基礎。</p> <p>比如2013年，詞嵌入技術有了重大進展。word2vec詞嵌入工具問世，將文本處理簡化為向量運算問題，能學習大量上下文，把每個字轉換為向量，並計算字與字在向量空間中的距離，來判斷這些字的語義相似度。這個工具，大幅提高多種NLP任務表現，如翻譯、文本分類、情感分析和資訊檢索。word2vec演算法的出現，還催生更多類似工具，像是史丹佛大學的GloVe、Meta的fastText等演算法，更進一步推進IR進展。</p> <p>這個詞嵌入技術，後來還延伸為文件嵌入技術，等於不同長度的句子、段落甚至是整個文件，都能一一對應到固定長度的向量，透過計算空間中向量的距離，來判斷文件相似度。</p> <p>不過，這種文件嵌入模型表現越好，訓練成本也就越高。於是，專家開始把目光轉向預訓練語言模型，用大量資料訓練一個模型、先學習幾個關鍵任務，之後再根據需求微調。這種預訓練模型方法，比建置單一任務模型還要划算。</p> <p>於是，2018年，NLP界迎來另一項技術突破——BERT，一個能處理雙向序列的預訓練語言模型，採Transformer架構，不僅準確率更高，還比過往方法（如LSTM）更有效擴展，成為許多任務的SOTA標竿，就連資訊檢索常用的排名，也是BERT的擅長項目。BERT的出現，催生出更多類似模型，如GPT系列模型，開啟生成式語言模型時代。</p> <p>至此，NLP的技術進展大大改變傳統IR效能。詞嵌入、文件嵌入再到BERT這類模型擁有更好的語義判斷能力，不只大幅提高搜尋結果相關性，就連推薦、排名也一併改善。</p> <p>就在這類模型百花齊放的同時，專家們也觀察到，「模型本身不只儲存語言，還儲備基本知識。」對Marc Najork來說，這是一個很重要的轉捩點，有位Google研究人員將自家預訓練模型T5當作一個知識庫，也就是不對外查詢資料、只使用模型已知知識，來作為封閉式問答系統，並以不同的問答任務，來比較T5與其他開放式問答系統的表現。</p> <p>雖然，「T5最終表現沒有開放式問答系統好，但也不差！」他表示，正是那篇研究，讓他開始相信，生成式模型能直接用來回答問題。這個發現，也是Marc Najork投入生成式IR研究的起點。</p> <p><span style="font-size:28px;"><strong>生成式AI終於走進IR</strong></span></p> <p>於是，2年半前，Marc Najork與團隊開始鑽研生成式模型在IR的應用。他們先是在頂級資訊檢索學術盛會ACM SIGIR 2021上，發表一篇重思搜尋的論文，提出生成式模型用於資訊檢索的可能。他們把傳統IR系統比擬為圖書管理員，這些系統不會直接給你答案，而是給出多個參考來源，你要的答案可能就在其中。而生成式模型能針對問題，直接給出答案，這些答案可來自語言模型本身，也可來自外部工具。</p> <p>他們還定義，理想的生成式問答系統應具備5大要點，包括生成式模型得根據權威來源產生答案，以確保「可靠性」；模型產出答案後，要附上引用來源，來保障「透明度」，並避免撈取偏見資料，來實現「無偏見」。對於爭議性問題，模型要公平提供各觀點的答案，以達到「多樣性」，而且，模型還要用淺顯易懂的話語來與使用者溝通，並具備多語言能力，用使用者的語言對話，以確保「可用性」。</p> <p>這些論述，勾勒出生成式IR的大致輪廓。即便生成式模型仍有成本高、產生幻覺等缺點，但有不少專家認為，這種問答系統有機會實現IR的最終目標。</p> <p><span style="font-size:28px;"><strong>生成式IR好處：導流和旅程體驗</strong></span></p> <p>現在，隨著新一波生成式模型一一出現，特別是ChatGPT的問世，進一步把生成式IR推向大眾。不論是在今年Google I/O大會，還是微軟全球Build年會上，兩大巨頭都發表了如何運用生成式AI技術，來優化資料搜尋的新體驗。</p> <p>比如你喜歡慢跑，想在夏季結束前練就10公里長跑，但不知道怎麼規畫。於是，你在瀏覽器輸入一句「幫我制定在夏末前養成10公里長跑能力的訓練計畫」，下一秒，瀏覽器就直接給出計畫摘要，告訴你每周訓練內容、相應訓練影片和參考來源，不需你一一尋找。這就是未來將普及的生成式IR用例。</p> <p>這不僅降低使用者的搜尋成本，還能提供品質更好的導流與旅程體驗。例如根據使用者需求，給出精準的摘要資訊和推薦，這個摘要小卡提供的內容和參考來源，會比原本使用者查詢搜尋結果的體驗要好，更容易找到想要的資料，對搜尋目標網站的導流效果也更好。特別是，生成式IR還能協助制定決策，比如搜尋比較2件商品並摘要，來提供更深度的消費旅程。</p> <p><a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1143-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=1ekJHHwQ" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/8/18 12:00未署名https://www.ithome.com.tw/news/158296
生成式IR兩大實踐模式：封閉型或開放型系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從小到大，我們總遇過這樣一種人，不論你問什麼，他都能不假思索給你一個完美答案，就像是行走的百科全書。他不必翻書、不必上網查資料，仿彿所有知識都刻在腦中。</p> <p>在電腦科學界，也有一群專家想打造這種「大腦」，也就是訓練一套大型語言模型（LLM），來學習大量知識、形成一個知識庫，並用這個知識庫來回答各種問題，不借助任何外部工具。這種模式就是生成式資訊檢索（後簡稱為生成式IR）的一種作法，也稱為「封閉型生成式問答系統，」Google DeepMind傑出科學研究員Marc Najork說道。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E6%9E%B6%E6%A7%8B-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>Google DeepMind傑出研究科學家Marc Najork指出，生成式IR主要有2種實踐模式，一是只以大型語言模型作為單一知識來源，稱為封閉型生成式QA系統（圖上）。這種模式的架構單純，容易搭配其他模組，來共同優化資訊檢索和問答。另一種實踐模式是大型語言模型結合外部工具，例如外部搜尋引擎，來回答問題。這種形式稱為開放型生成式QA系統（圖下），這種開放型模式是近期的發展主流，例如將生成式AI結合搜尋引擎來提供更人性化的搜尋結果。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（攝影／王若樸）</span></span></p> <p><span style="font-size:28px;"><strong>生成式IR實踐模式1：封閉型生成式QA系統</strong></span></p> <p>Marc Najork專攻IR多年，從個人化社群搜尋、推薦、排名，再到近年興起的生成式AI，都是他的鑽研領域。他日前來臺參加第46屆SIGIR頂級AI學術會議時，分享了自己對生成式IR趨勢的第一手觀察。有別於傳統IR，只按相關性丟出10條藍色字體連結，生成式IR可顛覆搜尋體驗，比如根據問題，快速給出摘要小卡片，附上圖文重點和參考連結。</p> <p>而封閉型問答系統，就是生成式IR背後的方法之一。這種系統只以LLM為單一知識來源，因此結構單純，很容易搭配其他模組，來共同優化系統。</p> <p>不過，也因為只仰賴LLM為單一知識來源，還有許多棘手問題要解決。比如，「如何避免模型產生幻覺（編按：指LLM理直氣壯地給出錯誤答案）？要如何將模型產出的答案，配對到可驗證的資訊來源？要如何擴展這個模型，讓它即便是封閉型，依然能擁有最全面的資訊？」Marc Najork繼續說明：「以及，如何更新模型？」也就是，如何確保模型能累積知識。</p> <p>為找出答案，Google研究院去年就展開研究，嘗試打造封閉型生成式問答系統。他們選定一套Transformer模型，將語料庫的所有資訊編碼至模型參數，讓模型盡可能具備大量知識，來符合封閉型系統的單一知識庫條件。同時，研究團隊設計一種新方法，讓模型接收查詢句子（Query）時，能依此預測出相對應的文件ID，給出答案。這等於，他們希望單一個Transformer模型，就能完成傳統資訊檢索工作。</p> <p>研究團隊將這種架構稱為可微分搜尋索引（DSI），開發完成後也進行評測，來衡量DSI的資訊檢索能力。他們選出主流的IR模型BM25、T5和ScaNN，來與不同配置的DSI比較，並發現，特定配置的DSI，資訊檢索的表現遠勝過主流架構，證實了封閉型生成式IR的可行性。換句話說，語言模型有機會作為單一知識來源，甚至有能力做到歸因（Attribute），也就是將回答對應到資訊來源，讓答案有憑有據。</p> <p><span style="font-size:28px;"><strong>封閉系統挑戰：學習、遺忘和擴展</strong></span></p> <p>不過，「這不是成熟的解決方案，只是封閉型生成式IR的早期研究階段。」Marc Najork點出，這種架構還不少待克服的挑戰，比如，如何將新的資料添加到模型中，讓模型累積新知識。</p> <p>於是，團隊又展開研究，採用連續學習方法，來讓DSI學習新文件。但就在DSI學習的同時，竟發生了非常嚴重的災難性遺忘（Catastrophic forgetting）問題，忘記原本已習得的文件知識。</p> <p>為找出根源，Marc Najork和同事深入研究，發現這種遺忘有2類，一是隱性遺忘，也就是模型在進行批次學習時，會忘記同一批次中已學習的文件知識。另一種是顯性遺忘，也就是模型學習新一批文件時，會忘記舊一批的知識。</p> <p>後來，團隊針對2種狀況採取不同策略，比如針對隱性遺忘，他們不打算消除這個問題，而是透過現成的優化技術，來最小化隱性遺忘的影響。對於顯性遺忘，他們也採用既有的順向遷移方法，來在新一批資料中，混雜舊知識，讓模型一併學習。他們測試發現，這些方法效果非常好，大幅改善模型遺忘。</p> <p>接下來，就剩一個挑戰要解決：如何擴展模型知識量。Google照例進行了研究，雖有其他新發現，但「我們仍不知道如何將模型知識庫，從上億文件擴展到數十億或數千億。」Marc Najork坦言，將模型知識庫，大規模擴展到網路等級，仍是未解之題，「未來還有很多研究要做。」很顯然，封閉型系統要落地，還有漫漫長路要走。</p> <p><span style="font-size:28px;"><strong>生成式IR實踐模式2：開放型生成式QA系統</strong></span></p> <p>封閉型生成式IR是早期許多專家鑽研的領域，但同時，生成式IR還有一種實踐方式，也就是讓LLM結合檢索引擎等外部工具來回答問題。這就是開放型生成式問答系統，並在近期成為主流。</p> <p>舉例來說，3年前Google發表開放型問答系統REALM，不只有語言模型，還有一套維基百科語料庫檢索器，可根據輸入的問題，來檢索維基百科知識、產出回答，讓給出的答案更有憑有據，且在開放領域問答測試上，表現還不錯。</p> <p>Meta AI打造的RAG系統，也是以檢索器來強化生成式模型。RAG和REALM很像，但不同的是，REALM是對整個文件進行索引（Index），RAG則提前將文件切分為好幾個段落，並對這些段落索引，再根據問題，從資料庫找出最相關的訊息，最後交由生成式模型產出答案。他們改良了REALM的方法，是一種更細緻準確的檢索和回答模式。</p> <p>1年半前DeepMind還開發了RETRO，是這類系統的分水嶺。因為，RETRO不但合併了學習模組和檢索模組，所使用的語料庫還高達上兆個Token，等於可用的知識更完善了。尤其，RETRO採取一種特別的訓練機制，讓模型在檢索資料時，更容易追溯到語料庫中的來源，還能在生成回答時，整合多種資料來源，產出更有依據的嚴謹答案。這對生成式IR的搜尋應用，非常有幫助。</p> <p><span style="font-size:28px;"><strong>開放型系統特色：工具增強</strong></span></p> <p>不過，Marc Najork指出，這種開放型系統還是有些問題，比如很難處理以前沒記住的知識，尤其是「數學推理。」面對這個痛點，Marc Najork的同事們想出一個辦法，若將計算機當作一個工具，整合至語言模型，是否就具備算數能力了？為找出答案，他們訓練BERT模型，來學習抽取文件中的數值數量，並學習如何根據給定的問題，來找出計算機正確的運算方式。也就是說，在一個問題中提到2個量的差異，模型這時就會知道要用減法，也知道要從語料庫中抽取到適當的運算元，來產出答案。完成開發後，團隊用DROP資料集來評估模型數學推理能力，發現效果非常好，比SOTA進階模型高出50%的分數。這證明了，語言模型可藉由添加工具，來改善數學不好的弱點。但這種用添加工具來補強弱點的方法，是否也能泛化，適用於更多領域？</p> <p>答案是肯定的。因為，Google一群專家研究發現，將Transformer語言模型與不可微分工具相結合，並用類似自我對弈的方式不斷迭代，可讓模型學會如何正確使用工具、解決問題。他們將這種架構稱為TALM。評測也證實，TALM在知識密集型的問答任務和數學推理任務上，表現都遠勝無工具增強的模型。</p> <p><span style="font-size:28px;"><strong>挑戰與嘗試：WebGPT</strong></span></p> <p>即使能用工具來補強，開放型系統還是有些難題要解決，比如如何確保答案忠於來源、如何更準確將答案歸因到資料來源等。面對這些挑戰，早在2021年，就有專家嘗試提出解法。這就是OpenAI打造的WebGPT，它採用GPT-3預訓練語言模型，是一款打開瀏覽器就能用的長篇問答系統。由於模型搭配檢索器來強化回答的生成，因此使用Bing API，來讓檢索器搜尋網路資訊。</p> <p>為確保模型的回答品質，OpenAI還在模型微調階段，採用人類指導方法，來讓模型學習人類經驗，這就是「從人類回饋中學習」（RLHF）方法。不只如此，為保證回答有憑有據，WebGPT產出的答案，也設計成要附上參考來源。這個WebGPT，正是ChatGPT的前身。</p> <p>這些特色綜合起來，是不是有點眼熟？沒錯，這就是現在搜尋引擎巨頭正打造的生成式搜尋體驗，要借助開放型問答系統，在使用者輸入指令後，快速從海量資料中撈出最相關資訊，並整理成一個圖文並茂的摘要小卡片給使用者。這個情境，也是IR發展70餘年來，可望實現的重要里程碑。</p> <p><a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1143-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=1ekJHHwQ" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/8/18 12:00作者王若樸https://www.ithome.com.tw/news/158297
生成式IR未來5大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月，Google和微軟2大科技巨頭分別年度技術大會上，揭露新一代生成式搜尋體驗，不只瀏覽器搜尋能消化更長的提問，還能直接給出摘要小卡片，使用者不必再從多個藍色連結中一一尋找答案。這種生成式搜尋體驗背後的關鍵技術，就是生成式AI+資訊檢索（IR），也就是生成式IR。</p> <p>但這種與生成式模型高度結合的技術，要實際落地普及，還有不少挑戰要克服。</p> <p><span style="font-size:28px;"><strong>挑戰1：忠實度</strong></span></p> <p>其一就是忠實度（Faithfulness）。意思是，生成式問答系統產出的答案，要能反映在來源文件中發現的證據，且不會在模型抽取知識或生成答案的過程中，扭曲原意。也就是說，系統生成的答案，要和資料來源文件的內容相符。這個挑戰，通常發生在開放式生成式問答系統，也就是結合外部工具（如檢索器）的生成式AI系統。</p> <p>對此，有專家提出理論框架，來定義生成式問答系統的忠實度。Google研究團隊在2021年提出，生成式模型應具備3個條件：客觀語氣、詞彙重疊，以及語義相符。進一步來說，客觀是指系統產出的答案，應避免「我認為」這類用語，再來，系統產生答案時，應高度使用來源資料的詞彙，以及，答案的語義應與來源資料語義一致，以確保系統產出的答案忠於來源資料。</p> <p>他們也提出實際解法，透過控制Token來代表這3個條件，比如是否客觀、詞彙重疊程度高低等，藉此教導T5和GPT-2模型理解這3個條件。在模型推論時，就能根據給定的控制Token，來實現忠實度要求。</p> <p><span style="font-size:28px;"><strong>挑戰2：歸因</strong></span></p> <p>要是系統給出的答案，與資料出處的證據不匹配，也就是一本正經胡言亂語，那該怎麼辦？</p> <p>這也是開放式系統會遭遇的挑戰，需要一套機制來將答案與外部來源資料歸因（Attribute），讓答案與證據相匹配。這個問題也有專家琢磨了，他們提出的解法是RARR，也就是一種新型的歸因機制，能自動為大型語言模型（LLM）產出的答案，找到資料出處，且還能對模型輸出的答案再編輯，修改未經證實的內容，同時盡可能保留原始答案。</p> <p>另一種解法是，用完善的基準測試來衡量LLM的歸因能力，如此就能下手改善。去年，Google團隊就打造一系列的歸因基準測試，來讓開發者評估生成式模型產出的答案，有憑有據的程度為何。這些基準測試有3個指標，包括答案與資料來源完全匹配、可歸因到資料來源，以及自動歸因，來衡量歸因能力。同時，他們還用這些基準測試，來評估3種典型生成式問答系統的歸因能力，並公布分數來給研究圈參考。</p> <p><span style="font-size:28px;"><strong>挑戰3：模型崩塌</strong></span></p> <p>生成式IR非常仰賴生成式AI模型，模型表現好，生成式IR的體驗就越好。而生成式模型的表現，與模型的訓練密不可分。自ChatGPT問世後，許多類似模型不斷湧現、刷新LLM排行榜，其中一種主流訓練方式是，拿ChatGPT這類模型產出的高品質對話資料，來訓練、微調新模型。這種訓練效果還不錯，模型能給出高品質的回覆。</p> <p>但今年5月，來自劍橋大學和牛津大學的學者們指出，大量使用生成式模型產出的資料來訓練新模型，會導致模型發生不可逆轉的缺陷，也就是模型崩塌（Model collapse）。因為，隨著時間推移，這種模型會漸漸遺忘真實的基礎資料分布，等於模型吸收的生成資料中的錯誤資訊會被放大，最終迫使模型誤解現實情況。</p> <p>也就是說，隨著新模型接觸到更多AI生成的資料，久而久之，模型表現會越來越差，且生成的內容會產生更多錯誤，產出的正確內容多樣性也更低。「這個過程無法避免，就算在理想的長期學習狀態下，也是如此，」他們在《遞迴的詛咒》（The Curse of Recursion）論文中強調。</p> <p>若要繼續享有LLM帶來的優越效能，他們建議，訓練生成式模型時，應人工介入，來區分機器產生和人類產生的內容，並盡可能用人類產生的內容作為訓練資料。</p> <p><span style="font-size:28px;"><strong>挑戰4：AI內容分辨</strong></span></p> <p>然而，人類能準確區分機器產生的內容嗎？</p> <p>答案很可能是不見得。去年，康乃爾大學和史丹佛大學聯手做了項大規模研究，找來4,600名受試者，請他們閱讀幾個自我介紹，並判斷哪些是機器產生的。結果發現，人類判斷的準確率不高，可說是難以區分機器產出的內容。</p> <p>另一方面，坊間也出現不少工具，來協助人類區分AI產生的內容。比如史丹佛大學開發的DetectGPT，不需個別訓練分類器，也不需要收集AI產生和人類產生的資料，就能直接判斷給定的文本是否為機器產生，是眾多工具中，零樣本表現亮眼的偵測工具。</p> <p>區分機器產生內容與人類產生內容，可避免訓練生成式模型時，使用到未經查證的內容農場文章，進而避免模型崩塌，提高模型永續性。</p> <p><span style="font-size:28px;"><strong>挑戰5：搜尋導流衝擊</strong></span></p> <p>有別於生成式IR幕後的技術挑戰，將生成式IR用於生成式搜尋體驗，很可能衝擊一些網站的流量和獲利。因為，生成式搜尋能根據使用者提問，快速從海量資訊中撈取最相關的資料，並摘要為圖文資訊重點小卡片，直接提供所需資訊給使用者。</p> <p>一直以來，內容創作者很常在網站內容中，納入增加獲利的元件，如廣告、置入性產品、聯盟行銷連結、免費增值服務、授權，甚至是捐款請求等。其中，免費提供網站內容的創作者，仰賴搜尋引擎的導流，來獲取流量和回報。</p> <p>而生成式搜尋體驗，將會改變這種導流模式，直接呈現資訊給使用者。雖能提高使用者體驗，但對網站來說，不只減少曝光機會（若相關性較低），還會降低導流而獲利的機會，這是生成式IR可能帶來的生態系挑戰。</p> <p>這些挑戰和觀點，都來自Google DeepMind傑出研究科學家Marc Najork。他7月底來臺參與頂級學術會議ACM SIGIR，分享在業界第一視角觀察到的生成式IR趨勢。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>科技巨頭技術老將怎麼看生成式IR</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8C%91%E6%88%B0-600-Marc-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%87%BA%E5%A4%A7AI%E4%B8%AD%E5%BF%83.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Google DeepMind傑出研究科學家Marc Najork指出，生成式IR將帶來搜尋新典範，能直接回答使用者問題，解決IR界一直以來想突破的搜尋難度（Delphic costs）問題。</strong><span style="font-size:14px;">圖片來源／臺大AI中心</span></span></p> <p><strong>數十年來，Google DeepMind傑出研究科學家Marc Najork專攻資訊檢索（IR）、推薦和排名技術，近年開始鑽研生成式AI優化資訊檢索，也就是生成式搜尋體驗。這位站在前瞻技術第一線的老將，盤點了生成式IR發展趨勢。</strong></p> <p><strong>首先，生成式IR能摘要重點、直接給使用者答案，比傳統搜尋引擎丟出10幾條藍色連結、讓使用者自己找答案更直接，更有效率，可解決IR界一直想克服的搜尋難度（即Delphic costs）問題。而且，利用生成式模型產出的資訊摘要，還能包含多個資料來源，是一種更整合的資訊提供模式。</strong></p> <p><strong>再來，生成式IR在產出有憑有據的答案和歸因（Attribute）領域，正大幅進步。比如，專家已提出一套歸因機制，來輔助大型語言模型（LLM），將產出的答案與資料來源相匹配，讓答案忠於資料出處。此外，坊間還有完善的基準測試，來讓開發者衡量LLM的歸因能力，進而改善模型。</strong></p> <p><strong>而且，生成式問答系統的狀態記憶能力，會隨著時間推移越來越好。意思是，系統能記住過去的互動，從單輪對話擴展到多輪對話，更能確保使用者的銜接體驗。再加上開放型生成式IR系統，還能搭配其他工具，來執行資訊搜尋以外的任務，比如交易。</strong></p> <p><strong>最後，生成式IR的發展，並不意味著傳統IR技術沒有價值。相反，索引、詞彙和語義等外部記憶庫，仍是IR不可或缺的元素，尤其是語義檢索，仍是個活躍的研究領域。而且，傳統IR領域還有很多新議題能探討，比如排名，應也能根據檢索的詮釋資料，來提供除了相關性以外更多元的搜尋結果。</strong></p> <p><a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1143-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=1ekJHHwQ" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/8/18 12:00作者王若樸https://www.ithome.com.tw/news/158314
生成式IR來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1143-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=1ekJHHwQ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>發展70年的資訊檢索（IR），是我們常用但陌生的技術，舉凡網路搜尋、網購挖寶、資料庫查找，甚至是推薦和排名都靠它。現在，生成式AI走進IR領域，靠LLM模型搭配外部工具，直接告訴使用者更易懂的搜尋結果摘要，而非一長串的連結清單，這一小步大大改變了搜尋體驗。未來，生成式IR將如何改變數十年如一的搜尋典範？</p> </div></div></div>
2023/8/18 12:00作者王若樸https://www.ithome.com.tw/article/158315
當老技術遇上AI新典範
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國會圖書館是全世界最大的圖書館，館藏超過了1億4千萬冊，光是各類書架的總長度，就超過8百公里，是臺北到高雄距離的2倍以上。若不知道你想要的書放在哪，光靠兩只腳到處逛來找去，恐怕一個禮拜都還找不到。雖然不見得每個圖書館的規模都這麼大，但要從茫茫書海中，找出想看的書，都需要費一番功夫。這正是為何，到圖書館找書，後來非靠電腦檢索系統幫忙不可的緣故。</p> <p>數十年前，到圖書館要怎麼找書，得先把想找的書（需求）轉換成一句話，或一個詞，輸入電腦，靠系統找出最接近輸入這個句子的書本，放在哪一座書架上的哪一排，你才知道要到哪裡找出這本書。</p> <p>當要找的資料不只侷限在圖書館，而是更廣大的網路世界，搜尋引擎的作法，仿效了圖書館找書的模式，輸入一段句子，搜尋引擎比對出最相關的哪一批網路資料的連結，再回傳到瀏覽器上列出來，提供給使用者，讓使用者自己判斷，哪幾個連結，才是符合需求的內容。整個模式就像是傳統在圖書館找書一樣。這種搜尋資料的模式，70年來一直沒有變，直到生成式AI技術的崛起。</p> <p>去年ChatGPT開始竄紅時，將你好奇的一個問題，一句話輸入電腦，就可以得到擬人般的文字，彷彿能夠直接告訴你問題的答案，不用像過去得自已一一打開連結，才能判斷是不是想要的內容。</p> <p>ChatGPT改變了人們尋找資訊的方式，不是查詢，而更像是發問，得到的也不是連結清單，而是更直接、簡潔的「答案」。ChatGPT也因此而風靡了全世界。直到一段時間之後，人們漸漸發現，這個「答案」不一定是真實或是正確的「答案」，才意識到，生成式AI給的答案，終究需要人來判斷，就像傳統搜尋引擎給出的參考連結，還是得靠人自己判斷，哪些才是自己想要的答案。但以ChatGPT為首的生成式AI技術典範，已經大大改變了人們搜尋資料的體驗。</p> <p>兩大科技巨頭，Google和微軟，都開始嘗試將生成式AI的超大語言模型，運用到不同的搜尋場景中，從網路搜尋引擎、生產力軟體工具中的搜尋，到作業系統內建搜尋機制，都開始結合生成式AI技術，作為人和機器（系統）之間的新溝通介面。</p> <p>不過，要用生成式AI技術來滿足人們各種搜尋的需求，Google DeepMind傑出科學家Marc Najork日前來臺時就強調，這個稱為生成式IR的發展領域，未來有5大挑戰需要克服。從生成內容有多貼近來源文件的忠實度、如何讓回答與證據相匹配的歸因挑戰、如何分辨AI產生的內容（內容辨識），還有許多新研究用生成式模型產生的資料來訓練新模型，而衍生了模型崩塌問題（模型出現健忘症狀），還有項挑戰是生成式IR更快更白話提供答案的同時，也削弱了搜尋引擎對其他網站的導流效果，相關性低的網站更不容易被看見，甚至減少了導流廣告的效益。</p> <p>運用電腦技術，更快更準找出想要的資訊，這個早已融入日常高度數位化生活的老派技術應用，面臨了生成式AI新典範的影響，正慢慢開始改變中。</p> <p><a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a> <a href="https://www.ithome.com.tw/article/158315" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1143-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=1ekJHHwQ" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E8%A8%8A%E6%AA%A2%E7%B4%A2">資訊檢索</a></div><div class="field-item odd"><a href="/tags/ir">IR</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8F%E6%90%9C%E5%B0%8B">生成式搜尋</a></div><div class="field-item odd"><a href="/tags/google-deepmind">Google DeepMind</a></div><div class="field-item even"><a href="/tags/marc-najork">Marc Najork</a></div><div class="field-item odd"><a href="/tags/sigir">SIGIR</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E6%94%BE%E5%9E%8B%E7%94%9F%E6%88%90%E5%BC%8F%E5%95%8F%E7%AD%94%E7%B3%BB%E7%B5%B1">開放型生成式問答系統</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8F%E8%B3%87%E8%A8%8A%E6%AA%A2%E7%B4%A2">生成式資訊檢索</a></div></div></div>
2023/8/18 12:00作者王宏仁https://www.ithome.com.tw/voice/158317
國網中心目標5年提升6倍算力，跟上HPC高速發展潮流
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣本土打造的超級電腦，歷年來多次名列全球前100強，2018年啟用的臺灣杉二號，更是當時全球第20強，同時也是能源效率第10高的超級電腦。</p> <p>不過，5年後的現在，臺灣杉二號滑落至全球排名72，其他現役超級電腦也漸趨老舊，算力急需擴充。國家高速網路與計算中心主任張朝亮指出：「臺灣超級電腦建設開始往後段班移動。以臺灣GDP和科技能力而言，絕對還有很大的成長空間。」</p> <p>張朝亮去年4月接任國網中心主任，肩負起發展未來數位基礎建設及高速運算技術的責任。在這之前，他於美國航太總署（NASA）蘭利研究中心從事研究34年，專精計算流體力學和高效能平行計算，在HPC研究相關領域經驗豐富。張朝亮表示，熟悉尖端科研所需環境、資源及行事方法，有助於他在國網中心的職責。</p> <p><span style="font-size:28px;"><strong>全球高速運算需求成長快速，不只用於尖端科技研究，更應用民生</strong></span></p> <p>現役臺灣超級電腦有臺灣杉一、二、三號。一、三號為CPU架構超級電腦，用於航太航空、原子科學、氣象科學、工程設計與模擬等研究領域；二號則為GPU架構，主要用於AI相關實驗。這3臺超級電腦算力合計約13PFLOPS，其中最強的臺灣杉二號算力約10PFLOPS。</p> <p>不過，現今最強的超級電腦已經進入下一個量級，發展到以EFLOPS為單位，全球前500強超級電腦的總算力也從2018年的1.2EFLOPS成長到如今的5.2EFLOPS，最強的美國Frontier超級電腦一臺就有高達1.2EFLOPS的算力，顯示超級電腦技術發展飛速。</p> <p>放眼亞洲，許多國家也大力發展超級電腦建設。日本坐擁世界排名第2的富岳超級電腦，一臺算力就高達537PFLOPS，且已經在規畫次世代超級電腦；韓國KIST預計2024年建出一臺600PFLOPS的超級電腦；連以服務和金融業為主的新加坡，也計畫增加10至20PFLOPS算力。</p> <p>張朝亮表示，國民認同超級電腦價值，是超級電腦作為數位基礎建設高速發展的一大關鍵。他以超級電腦大國日本為例，說明如何提升民眾對超級電腦的認同。</p> <p>新冠疫情開始流行時，日本將世界排名第2的超級電腦富岳，運用到防疫工作上。他們利用超級電腦來模擬咳嗽飛沫擴散路徑，計算出在書桌前、電車中、飛機上或計程車等空間中，阻隔物及空氣流動條件如何影響飛沫擴散，並用令人印象深刻的動畫呈現。接著，再呈現出戴上口罩後，飛沫擴散情形會顯著降低。「這個模擬影像後來被全世界引用，也讓許多人意識到戴口罩的重要性，是一個很成功的超級電腦宣傳。」張朝亮評論。</p> <p>另一個例子是，籌備東京奧運時，他們利用超級電腦來計算，如何調整東京大眾交通運輸班次，可以消化大量外來人流，同時最小化對居民影響。「同樣是交通題目，比起研究汽車零件怎麼設計會跑得好，日本這個題目更加生活化、更讓民眾有感。」</p> <p>張朝亮說，他從日本學到最重要的事情是，利用超級電腦研究，題目與民生結合，發表時強調HPC扮演的角色，更容易對大眾溝通超級電腦價值。當超級電腦被視為重要數位基礎建設，經費才容易爭取。</p> <p>不只許多研究題目有待開發，張朝亮認為，臺灣還有一群龐大HPC潛在用戶，就是占比臺灣企業98%的中小型企業。他觀察，雖然許多企業尚不重視需要大量計算的應用情境，但隨著AI，尤其是生成式AI開始熱門後，這個情況已經逐漸開始改變。因此，可以趁勢對更多中小企業推廣AI和其他HPC應用，讓超級電腦不再只是一項陌生而遙遠的高科技，而是可以為生活及工作帶來效益的一項利器。</p> <p><span style="font-size:28px;"><strong>超級電腦算力須急起直追，期望5年內算力增加6倍以上，超過100PFLOPS</strong></span></p> <p>為了迎頭趕上超級電腦發展進程，今年10月，全球百強超級電腦的臺灣杉二號將展開大升級，將舊有GPU汰換成算力更強的次世代GPU，來支援未來AI研究所需的龐大算力，包括臺灣本土大型語言模型TAIDE後續發展。緊接著，CPU架構的新超級電腦臺灣杉四號明年即將開放使用，接替即將除役的臺灣杉一號。次世代GPU架構超級電腦臺灣杉五號也在規劃中，預計支援未來更多大型AI實驗。</p> <p>張朝亮說明，先進國家超級電腦的GPU和CPU算力比例，約落在2比1到4比1間，臺灣則是5比2。以GPU為主的算力分配，意味著各國都有意積極發展AI技術。他認為，AI實力就是國力，在生成式AI快速發展的當今更是如此，「而且下一個世代，AI應用會更複雜、解決更大規模的問題。」</p> <p>舉例來說，今年5月，一家臺灣軟體公司透過臺灣杉二號，建立了高達1,760億參數的國產LLM福爾摩沙大模型。6月，國科會也初步發表了TAIDE 70億參數版本，預計今年底展示130億參數的大型語言模型。</p> <p>不只是通用型LLM，張朝亮觀察，臺灣還有許多專門領域，已經積極利用AI來進行各式研究，包括醫療領域用來做基因研究、大氣科學領域來做氣象模擬與預測、材料領域用來做合金模擬等。此外，他認為製造業採用AI於智慧製造的情況，仍有許多發展空間，「是一個可以加強推廣AI普及化的產業。」</p> <p>不論是進一步發展AI技術，還是確保逐步跟上AI浪潮的領域有足夠研究資源，臺灣都需要更強的演算法及算力支撐。張朝亮表示，他希望5年內增加國網中心算力到100至200PFLOPS間，才足以支援臺灣科研持續發展。這個目標，從近期已有具體規畫的臺灣杉四、五號建設開始。</p> <p>考慮到能源使用效率，未來臺灣衫五號預計會建置在剛動土的臺南國網雲端資料中心內。雖然美日等大國的超級電腦中心分散於不同學術或研究機構，但張朝亮指出，維運超級電腦須有許多網路、系統、介面管理、平臺維護人才。所以，「由國網中心集中建置、維運超級電腦並提供服務，還是目前比較實際的做法。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1143-CTO-600(1).png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span><br /> <span style="font-size: 24px;"><span style="color: rgb(51, 153, 255);"><strong>小國家科研反而更需要注重大架構，否則會淪為零件商，辛苦研究的成果只能由別人整合成商品來賺錢。──國家實驗研究院國家高速網路與計算中心主任張朝亮</strong></span></span></p> <p><span style="font-size:28px;"><strong>支援HPC研究所需軟體技術，太空科技、淨零科技是未來重點</strong></span></p> <p>張朝亮表示，為了支援國內HPC研究，國網中心不只提供硬體基礎建設服務，還會發展學術資源平臺、開發環境以及研究輔助技術。舉例來說，教育機構研究AI用的教育雲平臺、提供產學界HPC、AI、Cloud服務的臺灣AI雲，以及生醫界資訊分析用的開發環境及資料庫等。</p> <p>為了支援應用場景與日俱增的AI圖片運算，國網中心於2020年發表了智能點雲技術。</p> <p>一般點雲技術利用光學雷達（LiDAR）來掃描、量測物體，蒐集物體三維座標後，整合成立體模型。接著，再比對相機拍攝到的彩色數位相片，貼附顏色到對應位置。市面上點雲軟體常發生色彩錯誤、光影不合理或出現殘影等問題，傳統作法是靠人工框選需修正之處，不斷切換視角，手動重新著色，不僅繁瑣、耗時，擬真程度也差強人意。</p> <p>智能點雲技術則用AI來校正，準確率接近95%，因此，人工後製所需時間從6個月縮短為1個月。此技術已實際應用於古蹟維護、影視創作、工程檢驗等領域，也能用於政府今年有意大力發展的淨零科技。</p> <p>為了推動行政院2023~2026期淨零科技方案，今年政府成立淨零科技方案推動小組，來推動5大領域淨零科技。國網中心便在其中扮演了技術支援角色。</p> <p>張朝亮舉例，5大領域中的負碳科技有一項是碳封存。為了尋找海底合適的封存地點，國網中心將與國研院海洋科技研究中心合作，先由海洋中心出動海研船掃描臺灣海峽地形，再利用國網中心的智能點雲技術，建立臺灣周遭海域地質3D模型。</p> <p>未來，國網中心還計畫研發海地模擬高速計算技術，利用臺灣附近海域的波場和流場數據，來做沖刷模擬。此技術有助於碳封存作業的選址、設施建置、以及船舶運輸所需考量的風險及海洋工程問題。</p> <p>太空研究是另一個國網中心支援的科研領域。張朝亮表示，過往臺灣航太領域的研究尚不蓬勃，所需算力較少。今年，國家太空中心正式改制為行政法人後，喊出2026年達成自製火箭升空的目標。由於火箭試射仰賴大量HPC資源來模擬與驗證，可以預期未來算力需求將大幅提升。</p> <p>未來國網中心會與太空中心合作，協助發展太空領域所需的相關計算模擬平台，例如模擬所需核心程式及各種軟體，縮短專案研發工作，加速太空科研發展。</p> <p><span style="font-size:28px;"><strong>不只發展軟硬體HPC建設，還要將34年NASA尖端研究作風帶入國網中心</strong></span></p> <p>張朝亮表示，在NASA從事研究的34年間，他深受美國科研界文化影響。同時，他也觀察到美國尖端研究機構行事作風，有不少值得臺灣科研界學習之處，是他希望帶入國網中心的。</p> <p>他舉例，美國大型研究機構擬定科研計畫時，架構及大方向相當明確。也因為當初擬定研究計畫時經過深思熟慮，因此美國科研機構願意投資具有前瞻性的研究計畫，放手讓研究員進行當下看似無用武之地，但未來能發揮巨大價值的研究。</p> <p>相對來說，他認為臺灣研究能力很強，不過選題分散，難以綜整不同研究，形成可以商品化的成果。</p> <p>「這就是系統工程的概念。小國家科研反而更需要注重大架構，否則會淪為零件商，辛苦研究的成果只能由別人整合成商品來賺錢。」</p> <p>張朝亮表示，研究不能一開始就聚焦最細節，而是要先盤點既有技術及需要研究的項目，再思考如何綜整研究成果，以達成終極目標。他也嘗試將這種系統工程思維，帶到國網中心參與的研究計畫中，包括現今大力發展的淨零科技研究和太空科技研究。</p> <p>另一個重點是科研單位的技術管理。盤點既有技術時，張朝亮發現，「國網中心開發過許多厲害的技術，卻沒有妥善歸檔為技術文件。」他比喻，就像傳統工廠有很多技藝沒有正式紀錄，只能從老師傅口中取得資訊。國網中心有些技術也需要「問對人」，才會知道具體細節。</p> <p>因此，他上任後大力推動技術文件化，強調新開發技術必須有說明文件，同時派人學習並紀錄、歸檔既有技術。目前，對外服務的技術大多已經文件化，下一步是持續補齊數位基礎建設後端的維運及操作文件。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>國家高速網路與計算中心主任張朝亮</strong></span></p> <p>學歷：美國賓州州立大學機械工程博士</p> <p>經歷：曾於美國不同高科技公司擔任首席軟體工程師及資深研究科學家，先後在美國NASA蘭利研究中心從事研究34年，同時也是美國AIAA的副會士。2022年回臺擔任國網中心主任，負責規畫國內超級電腦及學研網路等數位基礎建設，並參與多項科研計畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1143-CTO-200.png" style="width: 199px; height: 141px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>國家實驗研究院國家高速網路與計算中心</strong></span></p> <p>地址：新竹市東區研發六路7號</p> <p>成立時間：1991年</p> <p>主要業務：臺灣大型計算平臺及學術研究網路設施，提供國內各界高速計算、高品質網路、高效能儲存、大資料分析及科學工程模擬等雲端整合服務。</p> <p>員工數：約200人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2011年：建置ALPS主機，運算效能177TF，名列TOP500第42名；臺灣第一座算圖農場啟用</p> <p>2016年：TWAREN臺灣高品質學術研究網路骨幹升級至100G </p> <p>2017年：建置臺灣杉一號，運算效能達1.33PF，名列TOP500第95名</p> <p>2018年：建置臺灣杉二號，運算效能9PF，名列TOP500第20名、Green500第10名</p> <p>2019年：臺灣AI雲TWCC啟用</p> <p>2020年：建置臺灣杉三號，運算效能2.7PF；開發智能點雲技術</p> <p>2021年：推出AI雲端教育平臺</p> <p>2022年：福爾摩沙開放網際網路交換中心啟用</p> <p>2023年：臺南國網雲端資料中心動土</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1143-cto-960-2.jpg" width="960" height="420" alt="" title="國家實驗研究院國家高速網路與計算中心主任張朝亮　（攝影／洪政偉）" /></div></div></div>
2023/8/18 12:00作者郭又華https://www.ithome.com.tw/people/158324
Redis 7.2來了，新增向量資料庫搜尋與自動分層功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://redis.com/blog/introducing-redis-7-2/">Redis推出最新的7.2版本</a>，這個版本的更新重點，包括強化對人工智慧應用的支援，改善對<a href="https://redis.com/solutions/use-cases/vector-database/">向量資料庫</a>支援，並且與第三方客戶端函式庫合作，共同改善開發者體驗，而新的自動分層（Auto Tiering）功能與預設儲存引擎Speedb，則可大幅增加吞吐量並降低基礎設施成本。</p> <p>向量資料庫是一種儲存和搜尋向量或是數學表示資料點的功能，由於自然語言和電腦視覺技術的進步，能夠透過機器學習技術擷取意義和上下文之後，將非結構化資料轉換成向量表示，使用戶能夠更有組織地儲存和搜尋非結構化資料。</p> <p>Redis 7.2特別強化支援向量資料庫，加入重要的向量相似性搜尋功能，可於向量資料庫中查詢與特定向量相似的資料點。以相對應的模型將聲音、文字或影片轉換成為向量嵌入（Vector Embeddings），便可以儲存在向量資料庫中，在需要的時候依相似性進行搜尋，可用於建置如推薦系統、圖像和影片搜尋功能，或是自然語言處理與異常偵測等應用。</p> <p>Redis向量資料庫支援2種向量索引類型，分別是暴力搜尋的FLAT以及近似搜尋HNSW，同時也提供餘弦距離、內積距離和歐幾里德距離3種距離運算，另外還支援範圍搜尋，以及可以添加組合過濾器和語義搜尋的混合搜尋，並提供JSON物件支援。</p> <p>官方還改進Redis的地理空間功能，更新Redis Stack中的多邊型搜尋功能，方便開發者利用地理空間資料查詢特定區域的資訊。</p> <p>值得注意的是，Redis 7.2新的自動分層功能，搭載新的預設儲存引擎Speedb，自動分層供用戶利用固態硬碟（SSD）擴充Redis資料庫的容量，將高頻率使用的資料保存在記憶體中，較少使用的資料存放在固態硬碟中。自動分層在吞吐量和延遲方面，都較上一代存儲引擎RocksDB表現更好，吞吐量不只翻倍，而且基礎設施成本可降低達70％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image4-1.jpg" style="width: 580px; height: 407px;" /></p> <p>Redis 7.2的發布與以往不同，這次官方一改過去多階段逐步發布功能的做法，這次在所有發布管道統一推出Redis 7.2的所有功能。另外，Redis也與5個重要客戶端函式庫，包括Jedis（Java）、node-redis（NodeJS）、redis-py（Python）、NRedisStack（.Net）和Go-Redis（Go）的社群維護人員直接合作，提升文件、用戶介面、治理和安全的一致性，改善整體開發人員體驗。</p> </div></div></div>
2023/8/18 09:25作者李建興https://www.ithome.com.tw/news/158318
駭客濫用Cloudflare R2物件儲存服務代管釣魚網頁的攻擊行動顯著增加，半年內增61倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Netskope指出，自今年初以來，<a href="https://www.netskope.com/blog/evasive-phishing-campaign-steals-cloud-credentials-using-cloudflare-r2-and-turnstile">有越來越多駭客濫用Cloudflare物件儲存服務R2來設置釣魚網頁</a>，2月到7月的相關流量增加61倍。這些釣魚網站大部分是用於竊取微軟帳號資料，但也有針對Adobe、Dropbox，以及其他雲端服務帳號而來的攻擊行動。駭客主要的攻擊目標為北美及亞洲的使用者，並對於科技業、金融服務、銀行等產業而來。</p> <p>Cloudflare R2推出的時間並不算久，該物件儲存服務於2022年5月開放測試，並於同年8月正式上線，並主打其代管的成本極為低廉。與Amazon S3、Google GCS、Azure Blob Storage類似的是，由Cloudflare R2代管的物件可開放公開存取。然而強調成本極低甚至是幾乎免費的物件儲存服務，很快就成為駭客用來代管惡意網站的工具。</p> <p>研究人員在過去半年裡，看到由Cloudflare R2代管的釣魚網站流量急速增加，而且，攻擊者同時運用Cloudflare免費提供的子網域，而使得一般使用者有機會依據URL，辨別是由這項物件儲存服務代管的網頁：</p> <p><strong><a href="https://pub-<">https://pub-<</a>由32個字母或數字組成的字串>.r2.dev/webpage.htm</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Evasive-Phishing-Campaign-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Evasive-Phishing-Campaign-1.png" style="width: 580px;" /></a></p> <h3><span style="color:#0000FF;"><strong>為迴避資安系統偵測，駭客同時濫用圖靈驗證機制</strong></span></h3> <p>研究人員指出，駭客濫用R2、在此存放釣魚網頁之餘，為了迴避資安系統偵測，他們又搭配另外兩種手法來攻擊，其中一種是Cloudflare旗下的圖靈驗證機制Turnstile，讓資安系統無法直接分析釣魚網站，但使用者卻能輕易存取。</p> <p>附帶一提的是，攻擊者還會自訂Turnstile顯示的內容，讓驗證網頁看起來更像是來自使用者想要存取的服務請求。例如，想要騙取使用者微軟帳號的釣魚網頁，駭客很可能就會設定為來自Microsoft Security發出的圖靈驗證請求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Evasive-Phishing-Campaign-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Evasive-Phishing-Campaign-2.png" style="width: 580px;" /></a></p> <p>另一種手法則是透過重新導向機制，使用者所開啟的URL網址須包含特定的參數，才能正常載入釣魚網站，否則會被重新導引至google.com。研究人員指出，駭客這麼做的目的，主要是確保只有攻擊目標能看到釣魚網站的實際內容。再者，駭客也使用了名為Fingerprint BotD的開源程式庫，防止爬蟲機器人來干擾釣魚網站的運作。</p> </div></div></div>
2023/8/17 22:18作者周峻佑https://www.ithome.com.tw/news/158320
Zoom的零接觸設定功能存在漏洞，有可能被用於遠端發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了簡化企業組織部署設備的負擔、降低建置的難度，不少業者都會提供零接觸設定功能（Zero Touch Provisioning，ZTP），然而這種機制的流程當中，若是缺乏充分的驗證流程，很有可能讓攻擊者有機可乘。根據資安業者SySS的揭露，<a href="https://blog.syss.com/posts/zero-touch-pwn/">視訊會議系統Zoom、VoIP電話AudioCodes存在數個漏洞</a>，一旦攻擊者加以利用，就有可能從外部完全控制相關設備，進而竊聽會議內容或是電腦的機密資料，甚至有可能做為入侵企業組織網路環境的管道，此外，攻擊者也可利用存在弱點的設備架設殭屍網路。</p> <p>上述漏洞，主要與Zoom提供的零接觸部署功能有關，起因是在部署流程中，端點裝置接收來自ZTP服務的組態時，並未妥善驗證用戶端的身分，使得攻擊者可乘機將惡意韌體下載、安裝至端點裝置上。另一方面，AudioCodes旗下可搭配上述ZTP功能的VoIP電話，加密流程也存在不適當的身分驗證弱點，而能用於解開敏感資訊的加密保護。</p> <p>研究人員將兩項漏洞結合，形成可遠端接管設備的攻擊鏈。針對上述的研究，Zoom表示，自7月21日起，已採取緩解措施，對新用戶導入限制措施，防堵攻擊者運用名為Zoom Phone的部署範本，使其無法設置自訂韌體更新URL，該公司亦打算今年內導入更多安全機制來因應。</p> </div></div></div>
2023/8/17 22:42作者周峻佑https://www.ithome.com.tw/news/158321
遠傳第4季可望正式合併亞太電信，新遠傳將整併優化基地臺數量、挑戰千萬用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月公平會以有條件方式通過遠傳與亞太電信合併案，遠傳電信今天（8/17）提前預告兩家電信公司合併後的新布局，包括取得用戶數、無線頻譜資源、4G資費等等，同時遠傳也預告合併基準日可望在第4季。</p> <p>遠傳電信與亞太電信是在去年2月宣布，兩家公司將合併，成為台灣大哥大、台灣之星宣布合併後，國內第二宗大型電信合併案，受到外界不小的關注。歷經NCC、公平會等審查、頻譜爭議後，今年7月公平會終於以有條件方式通過遠傳電信、亞太電信合併案。</p> <p>遠傳電信總經理井琪表示，遠傳與亞太電信合併後，對員工、用戶、股東都帶來將產生綜效。公平會通過後，真正合併基準日尚未確定，但預期會落在第4季。</p> <p>亞太電信董事長陳鵬則指出，亞太關閉部分直營及加盟門市，亞太用戶將從9月開始，可在遠傳電信門市帳單繳費。</p> <p>未來遠傳與亞太電信合併後的新遠傳，合計用戶數將超過920萬，挑戰千萬用戶大關。</p> <p>在網路方面，遠傳電信現在約有12,000座基地臺，亞太電信約有6,500座基地臺，合併後的新遠傳將整併雙方的基地臺，預定汰除5,000座基地臺，未來新遠傳預估將有12,500座基地臺。遠傳電信表示，現有亞太用戶在移轉到遠傳新資費、網路之前，第一階段基地臺整併工作完成之後，亞太用戶的網路覆蓋率將有顯著提升，最高將提高92%，先前亞太電信用戶借網漫遊使用遠傳電信網路，未來併入新遠傳後也會逐步終止。</p> <p>由於亞太電信過去多以低資費號召，用戶以4G低資費為主，遠傳也公布新的4G低資費單門號方案，從149到399元月租費不等，具有4G流量限制，超過流量限速，沒有提供吃到飽。</p> <p>遠傳合併亞太電信，將增加無線頻譜資源，特別是在物理穿透性較佳的1GHz以下低頻頻段，頻寬增加66%，700MHz頻段的頻寬將從30MHz提高到50MHz，由於700MHz的穿透性更高，行動網路訊號得以穿透更深的室內環境，改善以往用戶在家中可能因為房間在較深的位置，行動網路訊號較差的問題。</p> <p>至於5G頻段方面，遠傳的3.5GHz與亞太電信的2600MHz，5G合計頻寬會從80MHz提高到120MHz。遠傳與亞太電信既有的2800MHz毫米波頻段，可以成為未來低軌衛星或更高頻段的6G頻譜資源準備。</p> <p>遠傳電信表示，過去5家電信業者在電信市場以價格競爭，未來合併，市場為3家業者，走向網路、服務等為用戶創造價值的競爭。</p> </div></div></div>
2023/8/17 18:35作者蘇文彬https://www.ithome.com.tw/news/158319
【資安日報】8月17日，Cloudflare物件儲存服務成駭客寄放釣魚網頁的溫床，半年內相關的攻擊流量暴增60倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了避免被資安系統察覺異狀，駭客使用合法雲端服務來「代管」釣魚網站的情況，算是相當常見，有不少是利用Google Drive、微軟OneDrive、Dropbox等檔案共用服務來進行。而最近一波網釣攻擊引起研究人員關注，因為今年有越來越多駭客運用Cloudflare物件儲存服務R2存放釣魚網頁內容，以此企圖蒙混過關，企圖竊取使用者的微軟帳號，以及Adobe、Dropbox等雲端服務的帳密資料。</p> <p>另一起由駭客組織MoustachedBouncer發起的網路釣魚攻擊行動，也相當特別，因為目標竟然是特定國家的網際網路服務供應商（ISP）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.netskope.com/blog/evasive-phishing-campaign-steals-cloud-credentials-using-cloudflare-r2-and-turnstile"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用Cloudflare R2物件儲存服務代管釣魚網頁的攻擊行動顯著增加，半年內增61倍</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Evasive-Phishing-Campaign-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Evasive-Phishing-Campaign-1.png" style="width: 300px; float: right;" /></a>資安業者Netskope指出，自今年初以來，有越來越多駭客濫用Cloudflare物件儲存服務R2來設置釣魚網頁，2月到7月的相關流量增加61倍。這些釣魚網站大部分是用於竊取微軟帳號資料，但也有針對Adobe、Dropbox，以及其他雲端服務帳號而來的攻擊行動。駭客主要的攻擊目標為北美及亞洲的使用者，並對於科技業、金融服務、銀行等產業而來。</p> <p>研究人員指出，駭客濫用R2、在此存放釣魚網頁之餘，為了迴避資安系統偵測，他們又搭配另外兩種手法來攻擊，其中一種是Cloudflare旗下的圖靈驗證機制Turnstile，讓資安系統無法直接分析釣魚網站，但使用者卻能輕易存取。</p> <p>另一種手法則是透過重新導向機制，使用者所開啟的URL網址須包含特定的參數，才能正常載入釣魚網站，否則會被重新導引至google.com。研究人員指出，駭客這麼做的目的，主要是確保只有攻擊目標能看到釣魚網站的實際內容，並防止爬蟲機器人來干擾釣魚網站的運作。</p> <p><a href="https://www.akamai.com/blog/security-research/new-sophisticated-magento-campaign-xurum-webshell"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電子商務平臺Magento去年的重大漏洞被用於Xurum攻擊行動</span></strong></a></p> <p>資安業者Akamai揭露鎖定電子商務平臺Magento 2而來的攻擊行動Xurum，大約從今年1月開始，駭客針對曝露CVE-2022-24086漏洞（CVSS風險評分為9.8）的電子商務網站下手，目的很有可能是收集商店近10天的下單與付款資料。</p> <p>研究人員從他們掌握的4個來源IP位址，看到駭客用兩種惡意酬載來進行攻擊，其中一種酬載會執行file_get_contentsPHP功能函式，向C2發出請求，進一步確認目標網站是否存在CVE-2022-24086，另一個酬載則是負責第二階段攻擊，從駭客的伺服器傳送惡意PHP程式碼，並透過PHP功能函式shell_exec執行。</p> <p>特別的是，攻擊者並非透過自行製作Web Shell或C2代管而進行各種惡意行動，而是從特定研究人員的GitHub儲存庫取得名為wso-ng的Web Shell，駭客將其註冊為Magento元件，聲稱是叫做GoogleShoppingAds的模組。至於駭客於受害伺服器提升權限的方式，研究人員認為很有可能是透過名為Dirty COW的Linux漏洞來達成。</p> <p><a href="https://www.welivesecurity.com/en/eset-research/moustachedbouncer-espionage-against-foreign-diplomats-in-belarus/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織MoustachedBouncer鎖定外交機關發動AiTM網釣攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/moustachedbouncer-timeline-edited.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/moustachedbouncer-timeline-edited.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露駭客組織MoustachedBouncer的網路間諜攻擊行動，目標是白俄羅斯的駐外大使館，自2014年迄今已發動5起攻擊行動，其中2起在歐洲，南亞與非洲各有1起。最近他們的行動於去年7月進行，目標鎖定網際網路服務供應商（ISP），進行對手中間人攻擊（AiTM），進而散布惡意軟體NightClub或Disco。</p> <p>起初他們對執行Windows 10作業系統的電腦下手，先是確認提供使用者上網服務的ISP（Beltelecom 、Unitary Enterprise AI），接著是破壞ISP的基礎設施來操作網路流量，然後再以此將使用者重新導引至冒牌的更新網站updates.microsoft[.]com（註：正牌的網域名稱為update，而非updates）。</p> <p>一旦使用者依照網頁指示執行系統更新，就會下載ZIP壓縮檔，其內容為使用Go語言打造的惡意軟體，其用途是下載NightClub與Disco，進而在受害電腦竊取資料、截取螢幕畫面、錄製聲音。</p> <p><a href="https://www.bleepingcomputer.com/news/security/threat-actors-use-beta-apps-to-bypass-mobile-app-store-security/#google_vignette"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過測試版軟體名義吸引愛嚐鮮的用戶安裝，迴避App市集查核機制</span></strong></a></p> <p>許多應用程式在正式發表前，會先推出測試版（Beta）讓用戶試用，以便收集相關意見進行調整、除錯，軟體市集對於這類應用程式的審查，有可能較為鬆散，也使得駭客有可乘之機。<a href="https://www.ic3.gov/Media/Y2023/PSA230814">8月14日美國聯邦調查局（FBI）提出警告</a>，他們得知網路犯罪份子通過線上交友App、社交網路應用程式等管道，假借提供加密貨幣應用程式的測試版本，一旦使用者依照指示安裝，他們的加密貨幣資產就有可能被駭客轉走。</p> <p>這種型態的攻擊行動，大約從去年開始出現，資安業者Sophos於2022年3月，揭露鎖定iOS用戶的CryptoRom攻擊行動，駭客濫用蘋果的TestFlight軟體測試服務來散布惡意程式，進而騙走受害者的加密貨幣資金。</p> <p><a href="https://cymetrics.io/zh-tw/latest/news/cymetrics-releases-2023-taiwan-top15-5-star-hotel-exposure-assessment-report"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣五星級飯店的DNS未妥善設置DMARC與SPF比例偏高</span></strong></a></p> <p>疫情後時代民眾報復性旅遊，再加上暑期旺季，觀光產業快速復甦，面對大量的消費者個資與金流資訊，飯店業者成為駭客潛在的攻擊目標。</p> <p>資安業者Cymetrics針對臺灣15間五星級飯店所用的網域進行檢測，包括網路服務、網站、電子郵件、帳號密碼、雲端安全等層面，著手調查及評估資安風險。以郵件通訊而言，高達7成業者並未妥善管理電子郵件的安全，多數未進行DMARC與SPF的正確設定，將可能導致攻擊者透過與業者的相同電子郵件網域，發送惡意郵件給民眾與員工，進而透過社交工程攻擊手法，竊取飯店保存的資料。</p> <p>面對這樣的高風險態勢，Cymetrics將評估結果通知這些接受調查的飯店業者，由於有些廠商積極採取因應措施，使得他們決定將這些業者的整體風險評價予以提升。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/the-threat-lurking-in-data-centers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CyberPower資料中心基礎設施管理平臺存在漏洞</span></strong></a></p> <p>資安業者Trellix揭露CyberPower資料中心基礎設施管理平臺（DCIM）PowerPanel Enterprise的漏洞CVE-2023-3264、CVE-2023-3265、CVE-2023-3266、CVE-2023-3267，以及Dataprobe配電裝置（PDU）iBoot的漏洞CVE-2023-3259、CVE-2023-3260、CVE-2023-3261、CVE-2023-3262、CVE-2023-3263，CVSS風險評分介於6.7至9.8分。</p> <p>一旦攻擊者將漏洞串連，就有可能同時獲得這兩種系統完整的存取權限，此外，研究人員指出，上述的DCIM及PDU系統皆容易受到遠端程式碼注入攻擊，使得對方能進一步在此建置後門、存取資料中心的其他系統，或是入侵企業網路環境。</p> <p>對此，CyberPower及Dataprobe接獲通報後，發布2.6.9版PowerPanel Enterprise、1.44.08042023版iBoot韌體修補上述漏洞。研究人員也呼籲企業組織注意，應避免將DCIM系統與PDU裝置曝露於網際網路上，並停用Dataprobe提供的雲端管理功能。</p> <p><a href="https://blog.syss.com/posts/zero-touch-pwn/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoom的零接觸設定功能存在漏洞，有可能被用於遠端發動攻擊</span></strong></a></p> <p>根據資安業者SySS的揭露，視訊會議系統Zoom、VoIP電話AudioCodes存在數個漏洞，一旦攻擊者加以利用，就有可能從外部完全控制相關設備，進而竊聽會議內容或是電腦的機密資料，甚至有可能做為入侵企業組織網路環境的管道，此外，攻擊者也可利用存在弱點的設備架設殭屍網路。</p> <p>上述漏洞，主要與Zoom提供的零接觸部署（Zero Touch Provisioning，ZTP）功能有關，起因是在部署流程中，端點裝置接收來自ZTP服務的組態時，並未妥善驗證用戶端的身分，使得攻擊者可乘機將惡意韌體下載、安裝至端點裝置上。另一方面，AudioCodes旗下可搭配上述ZTP功能的VoIP電話，加密流程也存在不適當的身分驗證弱點，而能用於解開敏感資訊的加密保護。</p> <p>研究人員將兩項漏洞結合，形成可遠端接管設備的攻擊鏈。針對上述的研究，Zoom表示，自7月21日起，已採取緩解措施，對新用戶導入限制措施，防堵攻擊者運用名為Zoom Phone的部署範本，使其無法設置自訂韌體更新URL，該公司亦打算今年內導入更多安全機制來因應。</p> <p><a href="https://www.bleepingcomputer.com/news/security/tesla-infotainment-jailbreak-unlocks-paid-features-extracts-secrets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">特斯拉車載系統被研究人找出越獄的方式</span></strong></a></p> <p>柏林工業大學（TU Berlin）研究人員成功入侵特斯拉車載資訊系統，破解車內購買功能，免費啟用加熱後排座椅等付費功能。研究人員鎖定車上採用AMD晶片的資訊娛樂系統MCU-Z發動攻擊，實現系統越獄，並取得可用於特斯拉內網驗證其為合法使用者的身分和授權，以及與車輛硬體綁定的RSA金鑰。</p> <p>在概念性驗證（PoC）攻擊當中，研究人員使用名為電壓故障注入（Voltage Fault Injection）的低成本攻擊手法，藉由改變裝置的電壓（Voltage Glitch），導致AMD安全處理器的啟動程式碼遭到破壞，最終取得車載資訊系統的根權限。而有了這樣的權限，研究人員就可以進一步存取NVMe儲存裝置以取得車主個資，或是將車輛資訊移轉到另一輛車。</p> <p>研究人員指出，過往大部分的攻擊主要是利用軟體漏洞，特斯拉可直接線上派送修補程式，但這次針對MCU-Z的攻擊範圍可以橫跨軟硬體，使得修補的門檻大幅增加。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://security.googleblog.com/2023/08/toward-quantum-resilient-security-keys.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google推出首款量子對抗的FIDO2金鑰</span></span></strong></a></p> <p><a href="https://www.uptycs.com/blog/remote-access-trojan-qwixx-telegram"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">木馬程式QwixxRAT透過Telegram接收攻擊者命令</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/maginotdns-attacks-exploit-weak-checks-for-dns-cache-poisoning/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露DNS中毒攻擊手法MaginotDNS，有可能破壞整個頂級網域名稱</span></span></strong></a></p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/proxynation-the-dark-nexus-between-proxy-apps-and-malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">40萬臺電腦組成殭屍網路，被拿來提供代理伺服器服務牟利</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/h/monti-ransomware-unleashes-a-new-encryptor-for-linux.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Monti針對法律及政府單位而來，採用新的加密工具對Linux主機下手</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158300">【8月16日】 Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158283">【8月15日】臺灣等17個國家遭中國駭客RedHotel鎖定，進行網路攻擊行動長達3年</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158241">【8月14日】 DEF CON搶旗攻防賽臺灣勇奪第3</a></strong></p> </div></div></div>
2023/8/17 16:23作者周峻佑https://www.ithome.com.tw/news/158313
Martech雙周報第39期：Google Chrome正式全面啟用隱私權沙盒系列API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0806~0819</strong><strong style="color: rgb(0, 0, 255);">)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie退場</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Chrome開發</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span><br /> Google Chrome全面支援Topics等隱私權沙盒精準行銷API</strong></p> <p>為了銜接Google Chrome瀏覽器第三方Cookie退場，7月Chrome 115正式版更新後，<a href="https://developer.chrome.com/blog/privacy-sandbox-launch/">開始支援隱私權沙盒的多種API</a>，包括紀錄網站瀏覽主題的Topics、去識別化分眾行銷用的Protected Audience、追蹤廣告轉換的Attribution Reporting、分析去識別化跨站資料用的Private Aggregation、有限跨站資料交換用的 Shared Storage，以及可以呈現個人化內容的Fenced Frames。預計8月中Chrome 116正式版更新前，這些API的普及率就會達到99%。</p> <p>另一方面，Chrome也新增了更細緻的行銷控制選項，使用者可以到瀏覽器設定的廣告隱私權欄位，管理自己被貼上的主題標籤、對自己進行精準投放廣告的網站、以及決定自己瀏覽器行為是否會被用來評估廣告成效。</p> <p>Google預計2024年Q1開始逐漸禁用第三方Cookie，直到2024年Q3完全禁用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI行銷助手</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客旅途分析</span></span><br /> Adobe整合生成式AI進MarTech產品，可用自然語言設立分眾、提取數據洞察</strong></p> <p>Adobe繼整合生成式AI到創作工具後，開始將AI應用於旗下MarTech產品線。顧客旅途分析工具Customer Journey Analytics現在支援智慧型文字說明和自然語言查詢功能。瀏覽報表時，介面下方會有生成式AI分析過的文字說明，例如產品曝光次數的整體趨勢、峰值谷值、異常數據等。行銷人員也可以用自然語言來提取簡單的報表洞察，例如可以用自然語言查詢流量前10高網頁，或收入最高產品等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/adboe1.jpg" style="width: 600px;" /></p> <p>Adobe的Real-Time CDP則新增了AI行銷助手功能，行銷人員可以利用自然語言說明行銷目的，由AI給予分眾推薦。例如，行銷人員可以詢問如何提升飯店房間訂位數，AI便會提出行銷分眾建議，並說明這些顧客的挑選條件，甚至估算出預期行銷成效跟信心水準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/adobe2.jpg" style="height: 343px;" /></p> <p>另外，Adobe商用級圖文生成式AI模型Firefly現在可以支援100種以上語言的提示，也會有20種語言的在地化，包括繁體中文。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客數據管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨系統數據管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AWS</span></span><br /> AWS推出企業跨系統數據管理工具，可用來配對、歸戶分散且不完整的顧客資料</strong></p> <p>AWS推出企業跨系統數據管理與分析工具<a href="https://press.aboutamazon.com/2023/7/aws-announces-the-general-availability-of-aws-entity-resolution-to-help-organizations-improve-data-quality-and-customer-insights">Entity Resolution</a>，企業可以利用Rule-based或ML-based的方法，快速依照數據使用目的從不同系統中撈取並整合所需數據。Entity resolution的概念類似於資料歸戶，由於企業內部有許多數據可能不完整，因此如何整合、歸戶破碎且分散的資料到同一個會員、門市或廠商，不是一件易事。</p> <p>Amazon舉例，如果企業要蒐集整合顧客的廣告互動、網站行為、消費資料，歸戶到同一個ID後，用於廣告投放、會員管理、電商網站推薦等用途，便會需要同時利用分散於不同系統的數據。若自行開發數據數據輸送管道、管理方法、清洗方法及歸戶方法，會需要投資許多時間及開發資源，且企業IT需要具備充分的商業邏輯知識。Entity Resolution則能利用預設的ML模型預測不同情境會需要的數據來源，並快速歸戶破碎的資料。另外，此工具會從系統原本儲存處讀取所需資料，不需製作副本，因此較不容易有版本管理或副本外洩的問題。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自訓練AI模型</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動化行銷</span></span><br /> Salesforce推出AI解決方案，可以用CRM平臺數據快速訓練AI模型，模型還能用於外部系統</strong></p> <p>CRM廠商Saleforce<a href="https://www.salesforce.com/news/stories/einstein-studio-ai-news/">推出Einstein Studio解決方案</a>，使企業利用雲端CRM的顧客資療來訓練模型。企業可以將顧客資料用來訓練Saleforce提供的模型，或連結外部既有模型。訓練完畢後，模型可驅動Saleforce自動化行銷工具，也可轉移到Salesforce生態圈外使用。Salesforce表示，此解決方案採用零ETL框架，企業應用模型於外部系統時，可以省去許多數據整合工作。</p> <p>另外，Einstein Studio有控制面板，可以管理模型使用情況，還可以控制模型平臺取用訓練資料的方式。（<a href="https://www.ithome.com.tw/news/158138">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#資料清洗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一方數據</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP</span></span><br /> 達思智能科技推出顧客資料管理外掛，能在CDP環境中清洗並貼標顧客資料</strong></p> <p>關鍵評論網媒體集團旗下的MarTech廠商達思智能科技<a href="https://www.tnlmediagene.com/zh-tw/news/announce/176">推出顧客資料管理工具dataRicher</a>，可以在CDP環境內整合、清洗顧客數據，並利用AI生成貼標，讓顧客數據更容易用於行銷。達思表示，此工具會去除個人識別資訊後，比對並整合不同顧客資料，再利用AI分類預測模型來產出貼標。</p> <p>目前此工具只支援愛酷智能科技的AccuCDP，不過達思智能表示，預計未來會陸續於臺灣主流CRM與CDP推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#第一方數據</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#Conversion API</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#CDP</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#社群媒體行銷</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#DMP</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#Cookie退場</span></span><br /> CDP巨頭Tealium開始支援Google和Meta等多個大型網站的Conversion API，用非Cookie方式網站互動資訊</strong></p> <p>Tealium<a href="https://tealium.com/press-releases/tealium-partners-with-meta-google-tiktok-and-more-to-enhance-ad-conversion-strategies-for-enterprises/">旗下CDP開始支援與</a>Meta, Snap, TikTok, Twitter, Pinterest, Spotify, and Google等大型網站的Conversion API連結。CAPI是一種從後端伺服器拋轉網站使用者資料的管道。由於第三方Cookie即將廢除，未來在前端瀏覽器用Cookie蒐集資料可能會受到管制，因此CAPI是後Cookie時代持續追蹤使用者行為的重要技術。</p> <p>蒐集外部網站使用者行為，傳統上是利用DMP來進行。因此CDP巨頭Tealium開始蒐集外部網站行為，說明他們要開始進軍第三方數據市場。這也符合MarTech市場上，第一和第三方數據分析開始逐漸整合到同一個環境進行的趨勢。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DCR</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開源程式碼</span></span><br /> Tiktok正在開發行銷用DCR，以匿名方式媒合廣告主顧客資料與短影音觀眾資料</strong></p> <p>面臨使用者資料隱私質疑的短影音平臺Tiktok正在開發行銷用數據無塵室（DCR）PrivacyGo，可以匿名與廣告主媒合平臺觀眾資料，作為廣告精準投放依據。Tiktok表示，此DCR運用了多方計算技術（Multi-party computation, MPC）來確保資料交換雙方都不會取得所有原始資料，美國政府開放外部單位分析人口普查資料也是利用此技術來確保隱私。</p> <p>Tiktok有開放<a href="https://github.com/tiktok-privacy-innovation/PrivacyGo">PrivacyGo原始程式碼在Github上</a>，並附上詳細的隱私做法說明。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">更多MarTech動態：</span></strong></p> <p>1. <a href="https://www.salesforce.com/news/stories/starter-small-business/">Salesforce推出中小型企業用的輕量版CRM，號稱低系統整合成本且具備AI輔助功能。</a></p> <p><a href="https://digitaladvertisingalliance.org/press-release/digital-advertising-alliance-launches-opt-out-functionality-hashed-phone-number">2. 美國數位廣告聯盟推出網路行銷退出機制，讓使用者選擇不讓廣告主利用自己手機號碼來做精準行銷。</a></p> <p>資料來源：iThome整理，2023年8月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/8/17 16:58作者郭又華https://www.ithome.com.tw/news/158312
Line日本開源自有大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.linecorp.com/ja/blog/3.6-billion-parameter-japanese-language-model" target="_blank">Line日本總部本周宣布</a>開源自有開發的日語大型語言模型（LLM）。</p> <p>Line將以Apache License 2.0授權開源其japanese-large-lm模型，除了研究用途外，也允許商業用途，包含36億及17億個參數2個版本，<a href="https://huggingface.co/line-corporation/japanese-large-lm-1.7b" target="_blank">兩項專案都可以在HuggingFace Hub存取</a>。</p> <p><a href="https://linecorp.com/ja/pr/news/ja/2020/3508" target="_blank">Line自2020年11月起</a>，即致力於針對該公司大型語言模型HyperCLOVA，啟動多項構築和應用相關研發計畫。Line於2021年5月開發者大會上，首次公開2,040億個參數訓練而成的韓文版LLM HyperCLOVA，<a href="https://www.ithome.com.tw/news/147921" target="_blank">11月則公布</a>日語特化版，擁有850億參數，並宣稱將以其發展一系列自然語言處理服務。</p> <p>而本次公開的japanese-large-lm模型是和HyperCLOVA由不同部門並行開發，前者即是Massive LM團隊的開發成果。團隊指出，本模型是用了Line自己的日語大型Web文本為基礎來訓練，並利用成員自行開發的HojiChar開源函式庫，來過濾大量原始碼及非日語文字等雜訊，最後用了650GB資料集來訓練。開發時間上，以17億參數版本而言，在A100 硬體上花了4000 GPU時間訓練而成。</p> <p>研究團隊也提供了本次公開的兩個模型和Rinna-3.6B及OpenCALM-7B模型的準確度和困惑度（perplexity score，PPL）比較數據。</p> <p> </p> </div></div></div>
2023/8/17 16:03作者林妍溱https://www.ithome.com.tw/news/158311
Google為安全金鑰裝置、Chrome瀏覽器加入防禦量子破解技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防禦量子破解竊取資訊，Google本月相繼發表加入抗量子破解（quantum-resistant）的FIDO2安全金鑰實作，及新版本Chrome的加密技術。</p> <p>在FIDO2安全金鑰及從Chrome 116版瀏覽器起，Google都將以混合方式支援抗量子破解的加密演算法。首先，<a href="https://security.googleblog.com/2023/08/toward-quantum-resilient-security-keys.html" target="_blank">Google本周發表</a>首個抗量子破解的FIDO2安全金鑰的安全金鑰實作，是其開源金鑰韌體OpenSK實作量子破解防禦計畫的一環，最新實作使用了ECC/Dilithium混合簽章方案，既具有ECC加密對一般攻擊的防護力，又具備Dilithium抗量子破解的優點。這混合簽章方案是由Google和蘇黎世聯邦理工學院（ETH Zurich）合作開發而成，也曾獲選為應用密碼學暨網路安全年會（ACNS）最佳安全密碼實作工作坊論文。</p> <p class="rtecenter"><a href="https://github.com/google/OpenSK/releases/tag/hybrid-pqc" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0817-quantum%20resilient%20FIDO2%20security%20key%20implementation%20as%20part%20of%20OpenSK%20Google-600.png" style="width: 600px;" /></a></p> <p>Google表示，雖然量子攻擊可能還要一長段時日，但部署整個網際網路的密碼安全工程浩大，有必要及早啟動。而且，用戶端的安全金鑰也得漸次升級；一旦標準組織FIDO將後量子密碼技術標準化，且獲得主要瀏覽器廠商支援，用戶也得買新的安全金鑰裝置。Google說，他們提議的實作結合ECDSA簽章演算法和Google與ETH合作的Dilithium簽章演算法，提供兩種防護。此外，Dilithium和其他抗量子破解演算法未能通過攻擊測試，且另一個抗量子破解演算法Rainbow也遭遇攻擊，這也突顯以混合簽章提供多重保障的必要性。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/lS1UVVErSSJ4ZdsrcStziLa1Ntl7PoHTq-ZrtvXNHo5nkg4WtQhFeyvKlU_kEX7VE2pRw2ZDob8Q-f0Pda8H9-jW8_N6NF8-8Wm-BDQbrtCcm4eExDzQ4kp9VA2bKyhjvrqrkkkN-5_i_jJc_gEP8SMO8C8aLpypyUz96oFzhTzcsBhRuRZWvMXnmLk4o1BZ-Jwv2f4mxhlcVbeCxj4NGVWLG_brFH6my7HZHg" style="width: 500px;" /></p> <p>Google現正開發為安全金鑰韌體OpenSK導入最新實作。Google於2020年1月將其硬體安全金鑰韌體以OpenSK專案開源，讓第三方硬體廠商也可用以生產FIDO2安全金鑰。</p> <p>而在推動旗下上網產品轉移到抗量子安全層級的大計畫下，除了硬體安全金鑰外，<a href="https://blog.chromium.org/2023/08/protecting-chrome-traffic-with-hybrid.html" target="_blank">Google也在上周宣布</a>Chrome 116起，也將以混合支援方式，使用能抗量子破解的加密技術。從Chrome 116起，Chrome瀏覽器將支援X25519Kyber768產生TLS加密連線中的對稱式金鑰，而在Chrome 115將可透過flag啟用這項功能。</p> <p>這混合機制結合了標準的X25519與最新抗量子密碼演算法Kyber-768，來產生加密TLS網路傳輸內容的金鑰。</p> <p>Google指出，雖然以對稱式加密演算法能抵禦量子密碼解析，保護傳輸中的資料，不過產生對稱式金鑰的方法卻沒這能耐。這意謂著在Chrome中，愈早使用讓TLS能使用抗量子會話金鑰，愈能提供用戶網路流量安全防護。</p> <p>不過Google也提醒，使用X25519Kyber768會為TLS ClientHello訊息增加1kb的資料，因為增加了Kyber金鑰封裝的元素。Google測試顯示，大部分TLS實作都能相容，但有少數案例，如TLS middlebox則會因寫死的訊息大小限制，會發生錯誤。</p> <p>此外，為了要了解Google生態體系對混合加密演算法的相容程度，Google將這項技術部署到Chrome和Google伺服器，包括TCP及QUIC（Quick UPD Internet Connection）連線，以觀察是否有相容性問題。未來如果第三方伺服器營運商，像是Cloudflare增加支援時，Chrome連去時也可能會使用最新的金鑰協議。</p> <p>若開發人員或網站管理員發生連線問題，<a href="https://bugs.chromium.org/p/chromium/issues/entry?components=Internals%3ENetwork%3ESSL" target="_blank">Google建議提報臭蟲</a>。為防網路設備不支援，<a href="https://chromeenterprise.google/policies/#PostQuantumKeyAgreementEnabled" target="_blank">企業網路管理員可以透過政策</a>來關閉Chrome 116中的X25519Kyber768。不過Google強調這只是權宜之計，他們還是強烈建議管理員和網路設備商解決不相容的問題。</p> </div></div></div>
2023/8/17 12:46作者林妍溱https://www.ithome.com.tw/news/158306
OpenAI收購AI設計公司Global Illumination
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/openai-acquires-global-illumination" target="_blank">OpenAI本周宣布第一樁公開收購案</a>，將買下AI數位設計業者Global Illumination，將協助改進包括ChatGPT在內的產品。</p> <p>Global Illumination 2021年創立於紐約，創辦者Thomas Dimson、Taylor Gordon及Joey Flynn為前Meta Instagram（IG）部門員工。其他成員則來自YouTube、Facebook、Google、Riot Games、Pixar等，負責產品服務及動畫內容的設計及程式開發。</p> <p>該公司核心業務為以AI開發創意工具、基礎架構及數位體驗，目前正在開發和線上遊戲有關的開源技術。所有Global Illumination員工都會加入OpenAI，負責ChatGPT在內的核心產品。收購金額不詳。</p> <p>這是OpenAI第一樁公開的收購案。OpenAI雖然以ChatGPT聞名，但是到現在公司還是處於虧損狀態，因為開發ChatGPT很花錢。<a href="https://www.theinformation.com/articles/openais-losses-doubled-to-540-million-as-it-developed-chatgpt" target="_blank">《The Information》</a>報導，該公司因開發ChatGPT，導致公司虧損來到5.4億美元。</p> <p>這家AI公司去年營收3,000萬美元，但<a href="https://www.reuters.com/business/chatgpt-owner-openai-projects-1-billion-revenue-by-2024-sources-2022-12-15/" target="_blank">執行長Sam Altman說</a>今年可望成長到2億美元，明年可以再增至10億美元。目前OpenAI積極開發收費服務，包括API收費、企業版ChatGPT-Plus等方案，也試圖<a href="https://www.ithome.com.tw/news/158290" target="_blank">擴大GPT-4模型到新的應用場景</a>，例如網路平臺內容審查等。</p> </div></div></div>
2023/8/17 13:00作者林妍溱https://www.ithome.com.tw/news/158307
資安研究人員揭特斯拉車載系統漏洞，可用於破解付費服務並存取機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>柏林工業大學（TU Berlin）<a href="https://www.blackhat.com/us-23/briefings/schedule/#jailbreaking-an-electric-vehicle-in--or-what-it-means-to-hotwire-teslas-x-based-seat-heater-33049">研究人員成功入侵特斯拉車載系統</a>，並且破解車內購買功能，免費啟用加熱後排座椅等付費功能。這項研究是針對特斯拉車輛上，所採用AMD晶片的資訊娛樂系統MCU-Z發動攻擊，實現特斯拉系統越獄，並且存取可用於特斯拉內網驗證身分和授權，與車輛硬體綁定的RSA金鑰。</p> <p>特斯拉車內電腦功能強大且整合良好，能夠支援娛樂與自動輔助駕駛等各種功能，而最近特斯拉更進一步發揮該車載系統的能力，向用戶提供車內購買，也就是車主可以直接在應用程式選擇想要的功能，付費解鎖像是加熱後排座椅等特定功能。</p> <p>而這項基於AMD晶片的特斯拉系統破解，研究人員不僅可以在特斯拉的資訊娛樂系統中執行任意軟體，還能夠擷取綁定每輛特斯拉硬體，用於特斯拉內部網路身份驗證和授權的唯一RSA金鑰。</p> <p><a href="https://i.blackhat.com/BH-US-23/Presentations/US-23-Werling-Jailbreaking-Teslas.pdf">研究人員提到</a>，之前針對特斯拉的駭客攻擊通常來自外部人士，也就是攻擊者可能處於遠端或是車輛附近，目標是存取和控制車輛，由於利用的是軟體漏洞，通常可以被官方線上修復。而這項針對特斯拉MCU-Z的攻擊，是由能夠以數位或是物理存取車輛的攻擊者執行，目標是經過小幅度的修改，以存取超過車輛常規或標準操作範疇的功能。</p> <p>後者的入侵不限於使用軟體漏洞，更可以針對硬體發動攻擊，如此官方修復漏洞的門檻則更高，像是針對MCU-Z的攻擊，研究人員便提到，這是基於AMD晶片不可修復的特斯拉系統越獄。研究人員使用一種稱為電壓故障注入（Voltage Fault Injection）的低成本攻擊手法，透過故意改變裝置的電壓（Voltage Glitch），導致裝置異常運作使系統產生錯誤，並利用這些錯誤獲取敏感資料，並繞過安全措施。</p> <p>攻擊的主要目標是AMD安全處理器（AMD Secure Processor，ASP），該裝置被用於執行重要的運算，和儲存諸如加密金鑰等敏感資料，在特斯拉系統中扮演系統信任基礎的角色。電壓故障注入攻擊可破壞ASP初期啟動程式碼，並由研究人員執行逆向工程，分析與控制Linux作業系統的啟動流程，最終取得系統根權限。</p> <p>在取得根權限後，研究人員就可以對Linux進行任意修改，並且解密NVMe儲存以取用用戶私人資料，除了電話簿或是日曆等使用者資料，也能夠在不受支援的地區使用車輛。而且ASP攻擊還能夠擷取用來驗證汽車身份與合法性的認證金鑰，使得汽車身份資訊易於轉移到另一臺車輛電腦上，研究人員提到，這可能有助於簡化汽車維修流程。</p> </div></div></div>
2023/8/17 09:29作者李建興https://www.ithome.com.tw/news/158301
近2千臺Citrix NetScaler伺服器遭遇零時差漏洞攻擊，有三分之二已安裝修補程式卻仍受到駭客控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月18日Citrix修補零時差漏洞CVE-2023-3519，存在NetScaler Gateway中，這款產品目前常用於ADC應用程式交付控制器、SSL VPN系統，Shadowserver基金會確認7月底約有640臺伺服器遭到入侵，被植入Web Shell，如今有新的調查結果出爐，指出受害範圍不只如此。</p> <p><a href="https://blog.fox-it.com/2023/08/15/approximately-2000-citrix-netscalers-backdoored-in-mass-exploitation-campaign/">資安業者Fox-IT與荷蘭漏洞揭露研究所（DIVD）聯手</a>，鎖定用於攻擊行動的Web Shell追蹤，結果在7月20日至21日之間，找到有31,127臺伺服器曝露於該漏洞的風險當中，看到總共有1,952臺伺服器遭到入侵，存在的惡意Web Shell多達2,491個。</p> <h3><span style="color:#0000FF;"><strong>逾三分之二受害系統的IT人員套用更新軟體，卻沒有意識伺服器可能已遭入侵</strong></span></h3> <p>值得留意的是，截至8月14日，遭到感染的伺服器數量略為下降，仍有1,828臺存在Web Shell，當中已有1,248臺部署了修補程式，研究人員認為，這代表IT人員已意識該漏洞的嚴重性並著手安裝更新軟體，但並未進一步確認伺服器是否已經遭到入侵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/pie-chart-backdoor-on-patched-unpatched-systems.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pie-chart-backdoor-on-patched-unpatched-systems.png" style="width: 580px;" /></a></p> <p>而根據遭遇攻擊的NetScaler伺服器分布的國家來看，最多的是德國，有超過500臺，占總數近三分之一；其次則是法國，數量接近200臺；再來依次為瑞士、日本、義大利，這些國家都有超過100臺遭到入侵的系統。臺灣排行13，約有超過50個系統被部署後門程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/known-backdoored-top-20-countries.png" style="width: 580px;" /></p> <p>但值得留意的是，除了瑞典，排行前20大的受害國家裡，至少有6成以上的NetScaler伺服器已經部署了更新程式來進行補救，以臺灣而言，大約是每5臺就有接近4臺完成相關修補。然而這些已遭到入侵的系統，因為駭客早就透過後門程式建立自己的存取管道，即使事後修補駭客原本入侵的破口，仍無濟於事。</p> <p>這樣的情況使得研究人員對IT人員提出呼籲，安裝更新軟體之後系統很有可能仍存在後門程式，無論什麼時候套用更新，都應該檢查是否出現相關的入侵指標（IoC）。對此，資安業者<a href="https://github.com/fox-it/citrix-netscaler-triage">Fox-IT</a>與<a href="https://github.com/mandiant/citrix-ioc-scanner-cve-2023-3519/">Mandiant</a>皆提供指令碼檔案，以便IT人員清查NetScaler系統是否遭到攻擊。</p> </div></div></div>
2023/8/16 21:38作者周峻佑https://www.ithome.com.tw/news/158303
可自帶AI模型，Salesforce推出便於使用專屬資料訓練的新服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/salesforce_einstein_studio-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以客戶關係管理（CRM）雲端服務聞名的Salesforce，今年積極拓展AI領域的應用，陸續發表多種解決方案與功能，例如，<a href="https://www.ithome.com.tw/news/155825">3月推出第一款針對CRM的生成式AI技術</a>，名為Einstein GPT；<a href="https://investor.salesforce.com/press-releases/press-release-details/2023/Salesforce-Announces-AI-Cloud--Bringing-Trusted-Generative-AI-to-the-Enterprise/default.aspx">6月針對自家CRM平臺發表企業級生成式AI雲服務</a>，名為Salesforce AI Cloud；8月宣布用戶可自帶AI模型使用（Bring Your Own Model，BYOM）的解決方案，名為Einstein Studio，正式上線服役，強調這項功能，可讓企業使用他們自行組建的AI模型，以此支撐Salesforce平臺上面執行的銷售、服務、行銷、商業活動，以及IT應用系統的運作，進而從這些AI與資料的投資獲得更多價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-Einstein Studio connect to Sage Maker image003-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Einstein%20Studio%20connect%20to%20Sage%20Maker%20image003-4.jpg" style="width: 600px;" /></a></p> <p>對於資料科學與工程團隊而言，Einstein Studio能提供更有效率、成本更低的AI模型管理與部署環境，企業可將存放在即時客戶資料平臺Salesforce Data Cloud的專屬資料，以更簡便的方式訓練他們所要使用的AI模型，從而解決特定業務的需求，當中可結合AWS的Amazon SageMaker、Google Cloud的Vertex AI等AI服務精選的模型，最終能經由Einstein GPT的幫忙，而獲得立即可用的大型語言模型（LLMs），更快提供完整的AI應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Einstein Studio connect to Sage Maker image-95.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Einstein%20Studio%20connect%20to%20Sage%20Maker%20image-95.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Salesforce Einstein Studio-image1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Salesforce%20Einstein%20Studio-image1.jpg" style="width: 600px;" /></a></p> <p>這裡提到的即時資料平臺Data Cloud，每天處理超過1千億筆客戶記錄，可連結各種來源的資料，並將這些資料自動彙整為單一客戶描述（profile），能根據每個客戶的活動即時進行調適，以因應橫跨各種部門的使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Einstein Studio connect to Sage Maker ml-14831-image033.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Einstein%20Studio%20connect%20to%20Sage%20Maker%20ml-14831-image033.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Salesforce%20Einstein%20Studio-image2.png" style="width: 600px;" /></p> <p>在AI模型的訓練工作上，Einstein Studio可達到更快速度的處理，因為裡面預先內建zero-ETL的整合機制，對於資料在不同平臺之間搬移而面臨的複雜狀況，能予以減少。AI技術團隊只需透過簡單的點選，即可存取Data Cloud存放的資料，隨後可組建與訓練他們自定的AI模型，供不同Salesforce應用程式採行，而這樣的流程可提供現行與相關的客戶資料，而能實現AI預測與內容自動生成。</p> <p>Einstein Studio能用來管理AI模型的使用，Salesforce在此提供控制面板（control panel），可協助資料科學家與工程師以此進行資料治理，掌控暴露在AI平臺、用於訓練的資料。</p> <p>至於Einstein Studio所用的zero-ETL，能讓企業在毋須費時進行跨系統資料整合作業的狀態下，就能進行AI模型的自建，Salesforce允許Data Cloud直接連接其他AI工具，而不需經歷資料的擷取、轉換、載入（ETL）等流程，可大幅節省用戶的時間與金錢，加速AI導入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-Einstein Studio connect to Sage Maker image011-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Einstein%20Studio%20connect%20to%20Sage%20Maker%20image011-1.jpg" style="width: 600px;" /></a></p> <p>以目前的Einstein Studio提供的功能而言，用戶可透過簡易的方式連接預測性（predictive）的AI模型，或是生成性（generative）的AI模型，並將它們用在Salesforce平臺的作業流程，分別提供潛在客戶評分、產品推薦、客戶流失偵測，以及案例摘要，郵件回覆、產品描述。</p> <p>經由Einstein Studio連接模型之後，用戶可以輕鬆整合自定AI模型與Data Cloud，而能獲得即時預測與洞察分析，並將這些資訊用在許多領域，像是充實客戶個人資料、建立區隔，以及橫跨不同通路，量身打造不同的終端使用者體驗。此外，用戶也能運用生成式模型，基於客戶的偏好與購買行為，建立個人化的電子郵件行銷活動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Salesforce%20Einstein%20Studio-image3.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Salesforce Einstein Studio<br /> ●原廠：Salesforce.com<br /> ●建議售價：廠商未提供<br /> ●技術平臺：Salesforce Data Cloud<br /> ●支援外部機器學習平臺：AWS Amazon SageMaker<br /> ●可使用的資料平臺：Salesforce Customer 360<br /> ●運用的生成式AI技術：Salesforce Einstein GPT<br /> ●存取資料的管道：Python connector</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/8/16 17:08作者李宗翰https://www.ithome.com.tw/review/158298
【資安日報】8月16日，Citrix NetScaler零時差漏洞攻擊受害範圍再度擴大，近2千臺伺服器遭挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個月前Citrix修補NetScaler零時差漏洞CVE-2023-3519，並透露當時已出現攻擊行動，但究竟有多少伺服器受害？繼Shadowserver基金會本月初找到有640臺伺服器被入侵之後，最近這幾天有研究人員公布新的調查結果，遭駭伺服器數量逼近2千臺。</p> <p>值得留意的是，雖然有很多IT人員套用了更新程式，但並未檢查伺服器是否在尚未修補的時候就被入侵，而使得這些系統仍然受到攻擊者的擺布。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.fox-it.com/2023/08/15/approximately-2000-citrix-netscalers-backdoored-in-mass-exploitation-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近2千臺Citrix NetScaler伺服器遭遇零時差漏洞攻擊，被植入後門程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pie-chart-backdoor-on-patched-unpatched-systems.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pie-chart-backdoor-on-patched-unpatched-systems.png" style="width: 300px; float: right;" /></a>7月18日Citrix 修補零時差漏洞CVE-2023-3519，存在NetScaler Gateway中，這款產品目前常用於ADC應用程式交付控制器、SSL VPN系統，Shadowserver基金會確認7月底約有640臺伺服器遭到入侵，被植入Web Shell，如今有新的調查結果出爐，指出受害範圍不只如此。</p> <p>資安業者Fox-IT與荷蘭漏洞揭露研究所（DIVD）聯手，鎖定用於攻擊行動的Web Shell追蹤，結果在7月20日至21日之間，找到有31,127臺伺服器曝露於該漏洞的風險當中，看到總共有1,952臺伺服器遭到入侵，存在的惡意Web Shell多達2,491個。</p> <p>值得留意的是，截至8月14日，遭到感染的伺服器數量略為下降，仍有1,828臺存在Web Shell，當中已有1,248臺部署了修補程式，研究人員認為，這代表IT人員已意識該漏洞的嚴重性並著手安裝更新軟體，但並未進一步確認伺服器是否已經遭到入侵。</p> <p><a href="https://stackdiary.com/the-data-of-760000-discord-io-users-was-put-up-for-sale-on-the-darknet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">即時通訊軟體Discord搭配的第三方服務網站資料外洩，76萬用戶資料在駭客論壇拍賣</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-discord-io.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-discord-io.jpg" style="width: 300px; float: right;" /></a>根據科技新聞網站Stack Diary的報導，提供Discord頻道管理者邀請用戶的網站服務Discord.io傳出資料外洩事故，有人聲稱握有76萬名使用者的資料，並在駭客論壇BreachForums兜售。為了取信買家，賣家提供少量資料進行檢驗，結果有研究人員驗證賣家提供的帳號資料，與實際的Discord使用者有關。</p> <p>對此，Discord.io也在網站公告證實此事，關閉所有服務因應，並指出使用者的用戶名稱、Discord ID、電子郵件信箱、帳單地址、加鹽密碼等敏感資料外流。</p> <p>而Discord也對此做出回應，表示他們撤銷了所有經由Discord.io存取此即時通訊軟體OAuth Token，並呼籲使用者應採用雙因素驗證（2FA）來保護自己的帳號。</p> <p><a href="https://www.theregister.com/2023/08/14/hactivitsts_claim_japanese_government_attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本政府網站傳出遭到駭客組織匿名者攻擊，起因是抗議福島排放核電廠廢水造成汙染</span></strong></a></p> <p>義大利的匿名者駭客組織Anonymous Italia於8月10日聲稱，他們發動名為OpFukushima的攻擊行動，癱瘓21個與日本福島設施有關的政府網站，包含：環境省、日本原子發電公司（JAPC）、日本原子力學會（AESJ）、原子能管制委員會（NRA）、内閣府原子力委員會（AEC）、日本科學技術振興機構（JST），以及內閣總理大臣岸田文雄的網站，並留下螢幕截圖。對於駭客聲稱攻陷的網站，新聞網站The Register確認皆已恢復正常。</p> <p>究竟駭客發動攻擊的動機為何？起因是7月4日國際原子能總署（IAEA）准許日本8月開始排放福島發電廠經過處理的冷卻廢水，這項計畫將這些汙水稀釋後排入離岸1公里的海洋，駭客引述核能工程師小出裕章的說法，認為日本政府這麼做，只是將廢水稀釋，在更大的範圍擴散並造成汙染，海洋生態與食物鏈將會受到嚴重威脅。</p> <p>資料來源</p> <p>1. <a href="https://anonsecita.wordpress.com/2023/08/10/opfukushima-operazione-save-ocean-pacific/">https://anonsecita.wordpress.com/2023/08/10/opfukushima-operazione-save-ocean-pacific/</a><br /> 2. <a href="https://twitter.com/search?q=%23OpFukushima%20%23TangoDown%20(from%3Aanonsecita)&src=typed_query&f=live">https://twitter.com/search?q=%23OpFukushima%20%23TangoDown%20(from%3Aanonsecita)&src=typed_query&f=live</a></p> <p><a href="https://www.ithome.com.tw/news/158281"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Knight假借旅遊評論網站Tripadvisor投訴信件散布</span></strong></a></p> <p>資安公司Uptycs在6月發現的勒索軟體Cyclops的蹤跡，駭客於7月將新勒索軟體更名為Knight，並且上架資料洩漏網站，到了最近傳出駭客東山再起，透過釣魚郵件發動新的攻擊行動。</p> <p>資安業者Sophos研究員Felix Weyne在垃圾郵件活動發現Knight蹤跡，駭客假借旅遊評論網站Tripadvisor投訴信件的名義，挾帶名為TripAdvisor Complaint的附件壓縮檔，引誘收信人上當。</p> <p>根據資安新聞網站BleepingComputer進一步分析，這些釣魚電子郵件包含了HTML附件，一旦開啟，駭客採用了BitB （Browser-in-the-Browser）攻擊手法，在網頁中嵌入偽造的TripAdvisor登入頁面，以及假瀏覽器視窗，該視窗佯裝成由餐廳提交的投訴文件，並要求用戶查看，一旦用戶點擊閱讀投訴的按鈕，系統便會下載惡意Excel擴充套件檔案（XLL）。若是執行此XLL檔案，電腦檔案就有可能遭到Knight加密。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/felixw3000/status/1689541933062868992" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1743081305" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">https://twitter.com/felixw3000/status/1689541933062868992</span></a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/knight-ransomware-distributed-in-fake-tripadvisor-complaint-emails/">https://www.bleepingcomputer.com/news/security/knight-ransomware-distributed-in-fake-tripadvisor-complaint-emails/</a></p> <p><a href="https://public.mch.org.tw/index.php?action=news_in&id=742"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">門諾醫院針對公益捐款網站資料外洩事件發布資安公告，表明已採取多項措施改善捐款網站安全</span></strong></a></p> <p>針對2022年5月遭到中國駭客攻擊的資安事故，捐款人姓名、電話、捐款項目外洩，門諾公益捐款網站今年8月14日發布資安通告，指出他們去年7月進行多項因應措施，包含重新建置專屬捐款網站主機、進行軟體原始碼掃描並修復，同時限制連線網站後臺的IP位址、封鎖來自中國及俄羅斯的IP位址，並承諾未來會持續提升捐款網站的資安防護層級。</p> <p>門諾公益網站亦強調，他們不會在平日上午8時至下午4時以外的時段聯絡捐款人，若非上班時段接到門諾醫院的電話應提高警覺，應立即撥打165專線進行查證。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.synack.com/blog/exploits-explained-finding-flaws-in-an-atm-software-tool/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ATM集中控管平臺Iagona ScrutisWeb存在漏洞，可被用於遠端執行命令</span></strong></a></p> <p>資安業者Synack針對法國Kiosk設備製造商Iagona推出的ATM群組監控軟體ScrutisWeb，揭露4種型態的漏洞CVE-2023-33871、CVE-2023-38257、CVE-2023-35763、CVE-2023-35189，這些漏洞涉及路徑穿越、不安全的物件引用、寫死的加密金鑰，以及遠端執行任意程式碼（RCE），CVSS風險評分介於5.5至10分。</p> <p>其中最嚴重的是RCE漏洞CVE-2023-35189，起因是該系統的新增檔案函式功能當中，允許未經身分驗證的使用者透過瀏覽器上傳任意檔案，研究人員發動概念性驗證攻擊，進而成功注入特定的命令。對此，Iagona獲報後推出2.1.38版ScrutisWeb，修補上述漏洞。</p> <p><a href="https://jfrog.com/blog/spring-webflux-cve-2023-34034-write-up-and-proof-of-concept/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Java應用程式框架Spring元件出現存取控制漏洞，恐導致WebFlux應用程式曝險</span></strong></a></p> <p>資安業者JFrog揭露Java應用程式框架Spring的漏洞CVE-2023-34034，該漏洞出現於名為Spring Security的元件當中，影響採用Spring WebFlux框架、搭配存在弱點的Spring Security，並在使用URL路徑解析功能設置存取規則時，若是輸入沒有以斜線開頭的字串，就有可能觸發，CVSS風險評分為9.8。對此，Spring於7月18日發布更新予以修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://securityaffairs.com/149478/security/cyberpower-dcim-pdu-flaws.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CyberPower資料中心基礎設施管理平臺存在漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-avalanche-impacted-by-critical-pre-auth-stack-buffer-overflows/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Ivanti行動裝置管理系統Avalanche存在重大漏洞，可被用於執行任意程式碼</span></span></strong></a></p> <p><a href="https://www.infosecurity-magazine.com/news/flaws-wordpress-avada-theme-plugin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress佈景主題外掛程式Avada存在漏洞</span></span></strong></a></p> <p><a href="https://www.zscaler.com/blogs/security-research/janelarat-repurposed-bx-rat-variant-targeting-latam-fintech"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">拉丁美洲金融科技業遭到JanelaRAT木馬程式攻擊</span></span></strong></a></p> <p><a href="https://www.verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2023/2023-08-10-cyber-brief-01-2023.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織APT35鎖定居住於德國的伊朗人士下手</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158283">【8月15日】臺灣等17個國家遭中國駭客RedHotel鎖定，進行網路攻擊行動長達3年</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158241">【8月14日】 DEF CON搶旗攻防賽臺灣勇奪第3</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158224">【8月11日】美國政府宣布發起為期2年的大型AI網路安全競賽，並資助想要投入的小型企業參加</a></strong></p> </div></div></div>
2023/8/16 17:35作者周峻佑https://www.ithome.com.tw/news/158300
日本政府網站傳出遭到駭客組織匿名者攻擊，起因是抗議福島排放核電廠廢水造成汙染
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>義大利的匿名者駭客組織Anonymous Italia於8月10日聲稱，<a href="https://anonsecita.wordpress.com/2023/08/10/opfukushima-operazione-save-ocean-pacific/">他們發動名為OpFukushima的攻擊行動</a>，癱瘓21個與日本福島設施有關的政府網站，包含：環境省、日本原子發電公司（JAPC）、日本原子力學會（AESJ）、原子能管制委員會（NRA）、内閣府原子力委員會（AEC）、日本科學技術振興機構（JST），以及內閣總理大臣岸田文雄的網站，並<a href="https://twitter.com/search?q=%23OpFukushima%20%23TangoDown%20(from%3Aanonsecita)&src=typed_query&f=live">留下螢幕截圖</a>。對於駭客聲稱攻陷的網站，<a href="https://www.theregister.com/2023/08/14/hactivitsts_claim_japanese_government_attack/">新聞網站The Register確認</a>皆已恢復正常。</p> <p>究竟駭客發動攻擊的動機為何？起因是7月4日國際原子能總署（IAEA）准許日本8月開始排放福島發電廠經過處理的冷卻廢水，這項計畫將這些汙水稀釋後排入離岸1公里的海洋，駭客引述核能工程師小出裕章的說法，認為日本政府這麼做，只是將廢水稀釋，在更大的範圍擴散並造成汙染，海洋生態與食物鏈將會受到嚴重威脅。</p> <p>上述的核廢水排放，已經造成周邊國家的恐慌。<a href="https://www.scmp.com/news/hong-kong/health-environment/article/3230082/fukushima-discharge-row-hong-kong-experts-warn-over-radioactive-contamination-risk-japanese-seafood">香港專家提出警告</a>，這些來自日本的海鮮在食用之前，必須進行相關測試；與日本臨近的韓國，<a href="https://www.koreatimes.co.kr/www/nation/2023/08/113_354309.html">則祭出為期100天的嚴格檢查措施</a>。</p> <h3><span style="color:#0000FF;"><strong>駭客指控日本政府一意孤行，試圖鏟除不利言論</strong></span></h3> <p>除了抗議排放核電廠廢水造成的危害，這些駭客還指控，日本政府與經營核電廠的東京電力公司（TEPCO）在取得IAEA許可的做法上存在爭議。</p> <p>首先是他們並未充分與當地居民討論，也沒有經過適當的國際辯論，日本政府聲稱此舉是根據國際上科學家的建議執行，但駭客指出學術界並非普遍認同排放核廢水的安全性。</p> <p>再者，駭客指控日本政府透過人工智慧技術排除異己，在社群網站上找出與官方說法衝突的言論，日本外交部也在7月26日發布影片，透過多種語言強調此廢水排放計畫完全安全。</p> <p>駭客聲稱日本政府為了通過IAEA的審查，甚至不擇手段，向承辦人員行賄。但這樣的說法遭到IAEA和日本政府否認。</p> </div></div></div>
2023/8/16 18:20作者周峻佑https://www.ithome.com.tw/news/158302
Amazon利用生成式AI摘要線上購物商品評論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/amazon-ai/amazon-improves-customer-reviews-with-generative-ai">Amazon提到</a>，過去一年共1.25億顧客在線上商店貢獻約15億條評論和評分，相當於每秒增加45條評論。要如何發揮這些評論的價值，生成式人工智慧成為新的解決方案，現在Amazon運用人工智慧摘要線上購物商品評論產生評論亮點，在產品資訊頁面提供簡短的說明文字，突出顯示顧客評論中最常提及的產品功能與情緒。</p> <p>顧客評論是Amazon商店提供已久且重要的功能，客戶可以透過閱讀已購買者的經驗，來決定是否購入商品。Amazon從1995年推出顧客評論功能以來，持續強化評論功能，加入包括評論標題、照片和影片功能，在2019年時新增星級評分，供顧客快速留下評分提供購買回饋，之後還使不同國家用戶可以相互閱讀評論，以及顯示身高體重相似的評論，幫助使用者購買服裝。</p> <p>而這些評論經過生成式人工智慧的處理，能夠協助用戶理解商品評論的重點，新的人工智慧功能，會在產品詳細資訊頁面，加入一段簡短的文字說明，該文字說明匯總顧客在評論中，經常提及的產品功能和情緒，協助還在考慮購買的顧客，更快速直接地了解產品是否適合他們。</p> <p>這項評論亮點功能，會率先出現在Amazon美國行動購物用戶介面，除了供用戶快速了解產品的重要資訊，同時也更簡單地存取提及特定產品屬性的評論，像是透過點擊產品屬性列表，就能快速看到像是易於使用等相關評論。</p> <p>官方提到，他們運用機器學習模型，分析包括帳戶關聯、登入活動、評論歷史和各種異常行為，來阻擋虛假評論，專業調查員也會用複雜的詐欺偵測工具，避免商店出現虛假評論。評論亮點的人工智慧模型訓練資料庫，僅使用經過驗證且可信的評論，確保結果的可信度，而Amazon也持續測試與微調人工智慧模型，並根據用戶的回饋，在接下來數個月內，將評論亮點功能擴展到更多商品與使用者。</p> </div></div></div>
2023/8/16 15:29作者李建興https://www.ithome.com.tw/news/158284
微軟頒布AI使用限制，將監控蒐集用戶對話防止濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應AI被用於侵權、傳播deepfake影片或惡意程式等行為，<a href="https://www.microsoft.com/en-us/servicesagreement/upcoming.aspx" target="_blank">微軟9月30日將實行AI服務政策</a>，防範消費者濫用或惡意使用AI服務，也將監控用戶輸入及使用行為。</p> <p>微軟於7月30日公布更新版微軟服務協議（Microsoft Services Agreement），新增AI服務的5項相關規定，包含不得逆向工程、汲取資料、濫用AI服務的產出，以及用戶的法律責任等。新規定預訂9月30日正式實施。</p> <p>微軟規定使用者不得以其AI服務來探詢其底層元件，包括模型、演算法和系統，他們也不得判斷或改變模型的權重。此外，除非特別准許，使用者不能用網頁爬蟲、網頁抓取或網頁資料擷取手法，從AI服務取得資料。微軟還禁止用戶利用AI服務或其產生的資料，來訓練、打造或改進其他AI服務。</p> <p>這些規定是防範一般用戶濫用Bing Chat或Windows及微軟服務內建Copilot，達到惡作劇或不法意圖。Bing Chat今年初剛開放測試時，曾被一名用戶以「提示注入」手法，引導Bing洩露其工程代號為Sydney，迫使微軟加入輸入提示上限。之後更有以AI輔助生成deepfake影片、撰寫惡意程式，甚至利用AI幻覺傳播惡意程式等犯罪活動。另一個大問題是，創作者創作被AI用來開發程式或圖片，使AI社群平臺Reddit或X，也因應網頁抓取行為的盛行，而實行API收費政策。</p> <p>微軟新政策說明，為了提供AI服務，微軟將處理、儲存用戶輸入的提示及其產出，以監控和防範濫用，或是惡意使用的行為。微軟並指出，若用戶使用其AI服務的結果導致第三方單位追究，包括侵害版權或其他與內容有關的責任，一切法律責任全在用戶身上。</p> </div></div></div>
2023/8/16 14:59作者林妍溱https://www.ithome.com.tw/news/158294
駭客以Beta版App規避軟體市集檢查機制散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/Y2023/PSA230814" target="_blank">美國聯邦調查局（FBI）本周警告</a>，駭客可能會將惡意程式嵌入到beta版App，以感染用戶手機。</p> <p>FBI警告，近日發現有新的詐騙手法，一個不知名的駭客直接聯繫約會及網路App的用戶，引導他們下載beta測試版App，包括一款看似合法的數位加密貨幣交易平臺App，誘使其進行投資。這款App的Beta版實則為詐騙程式冒充，用戶透過該App輸入帳號密碼匯出的款項，會流入駭客控制的錢包。FBI警告，beta版App可能竊取個人識別身分資訊（PII）、財務帳號密碼，或是以惡意程式竄改裝置驗證資訊，而直接接管用戶手機。</p> <p>許多App會在正式發表前，先以Beta版釋出讓用戶試用，以蒐集回饋意見，但軟體市集如Google Play Store對這類App的審查較為鬆散，因而給了惡意程式作者可乘之機。有些Beta App一開始本來是無害的，因而獲得大量用戶下載，但一段時間後的更新版就被嵌入惡意程式，並以動態程式碼載入（dynamic code loading）方式下載到不知情的用戶裝置上，使App成為駭客長期潛伏竊取資訊或下載惡意元件的後門，<a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_jul2023.pdf" target="_blank">Google將此類手法稱為版本更新（versioning）</a>。</p> <p>FBI建議手機用戶不要輕易下載不認識的beta版測試，若接到「帳號要被接管」的恐嚇式聯繫，或是自稱是客服郵件或簡訊，也不要急著遵照指示下載App。即使在Google Play Store下載App前，也應檢查用戶評論。最後，FBI也建議要定期更新安全軟體、限制App存取權限，也應刪除不使用或不常使用的App。</p> </div></div></div>
2023/8/16 13:21作者林妍溱https://www.ithome.com.tw/news/158292
Google再測試生成式AI，讓Chrome協助使用者摘錄重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今年5月透過<a href="https://www.ithome.com.tw/news/157080" target="_blank">Search Labs</a>對外展開搜尋生成式體驗（Search Generative Experience，SGE）的實驗與測試，<a href="https://blog.google/products/search/google-search-generative-ai-learning-features/" target="_blank">並在本周添增了許多與SGE有關的新功能</a>，包括針對AI搜尋結果中的辭彙提供定義，以及當以Chrome瀏覽時，可在某些擁有大量內容的網頁上進行摘錄。</p> <p><a href="https://blog.google/products/search/generative-ai-search/" target="_blank">Google以生成式AI技術來改善搜尋的第一項功能</a>，就是允許使用者以自然語言進行搜尋，並提供來自生成式AI的回應，此一回應已自動歸納網頁內容，僅呈現關鍵資訊，而本周新增的功能則是針對該回應中的特定文字嵌入定義。使用者只要將滑鼠移到下方有藍色虛線的文字，即可預覽該文字的定義。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Magi_M2_Insight_Desktop_SCREEN_04.gif" style="width: 500px;" /></p> <p>另一個新功能則稱為SGE while browsing，將率先出現在Android與iOS上的Google程式，未來幾天也會支援桌面版的Chrome瀏覽器。</p> <p>SGE while browsing的主要用意是協助使用者瀏覽網站上的長篇內容，它利用AI來產生條列式的內容摘要，使用者只要點選其中的某個摘要，便會連至與該摘要有關的內容。此一功能僅限於公開內容，並不適用於具備付費牆的內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-google%20search-generative%20ai-600.png" style="width: 299px;" /></p> <p>Search Labs仍屬封閉測試階段，使用者必須先提出申請，且目前僅支援美國市場，尚未擴大至其它國家。</p> </div></div></div>
2023/8/16 13:57作者陳曉莉https://www.ithome.com.tw/news/158293
OpenAI推廣GPT-4用於協助內容審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/using-gpt-4-for-content-moderation" target="_blank">OpenAI宣布大型語言模型（LLM）GPT-4又有新用途</a>，可協助社群網站或論壇管理員審查平臺上的大量內容，可將內容審查政策更新周期由幾個月縮短為幾小時，也能減輕人力負擔，並降低對審查員的心理傷害。</p> <p>Reddit、臉書、X（即Twitter）等社群平臺網頁內容仲裁、審查需要高度敏感度、對語境有深刻了解的鉅細靡遺檢查，且要能快速因應新的應用場景而調整，是耗時且艱鉅的任務。過去大部分平臺主要仰賴人力檢視大量內容，以挑出有害、不良的內容，AI技術則只有小型為特定產業開發的機器學習模型。傳統模式不但速度很慢，也對人類審查員造成心理壓力或傷害。</p> <p>為此，OpenAI已著手研究如何利用LLM解決上述挑戰。像GPT-4之類的語言模型能理解和生成自然語言，因而具有內容審查的潛力。這些模型可根據企業提供的政策指引下判斷以審查平臺上的內容。</p> <p>OpenAI經過自行測試將GPT-4用於內容政策開發，及實際的內容審查判斷，認為成效顯著。該公司表示，內容管理系統使用GPT-4的優點在於，可加速審查政策迭代更新，將每個周期由幾個月縮短為數小時，以加快平臺的管理靈活性。GPT-4也能解讀冗長政策文件中的規則，以及不同規則間細微的差異，並立即套用到政策更新，使其標註更為一致化。OpenAI相信，未來AI將可協助數位平臺管理，根據平臺專屬的政策來審查內容，可利用AI協助模型，簡化人力負擔，並減輕人類審查員的心理壓力。</p> <p>現在企業或平臺組織可透過OpenAI API實作以AI協助建立自己的管理系統。</p> <p>臉書、TikTok這類資源較豐沛的大型平臺可能已有自己的大型語言模型，因此OpenAI提供的方法將可吸引較小型的社群網站或論壇。</p> <p>實作方法是，平臺管理員先撰寫出政策指引，並以幾個範例、加上根據政策而下的標註，作為標準的訓練資料集。第二步是讓GPT-4讀取政策，由其自行為資料集加標註（不看人類寫的正確答案）。第三步是讓GPT-4比較自己和人類的答案，政策專家可以叫GPT-4說明它標註的理由，分析政策定義中模稜兩可的地方、釐清模糊不清之處，再建議更清楚的政策用語。二、三點可以反覆執行到人類滿意為止。</p> <p>OpenAI指出，這種迭代流程可提升審查政策品質，以此設定分類器可讓政策和內容審查作業擴大應用更多內容。若平臺已有參數較少的小模型，也可以使用GPT-4的預測來微調大模型，以便用於審查更大量資料。</p> <p>不過協助內容判斷的LLM可能會在模型訓練時造成偏見，因此OpenAI再次重申AI判斷的結果輸出需要經過人類檢查及驗證，並不時維護。但OpenAI仍然表示，LLM可在某些部分取代人類，使人類審查員更專注在解決更複雜的案例。</p> </div></div></div>
2023/8/16 11:13作者林妍溱https://www.ithome.com.tw/news/158290
福特證實車載資訊系統Sync3存在Wi-Fi元件漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月10日<a href="https://media.ford.com/content/fordmedia/fna/us/en/news/2023/08/10/ford_provides-customer-guidance-in-response-to-supplier-disclosu.html">福特發布資安通告</a>，有<a href="https://www.ti.com/lit/er/swra773/swra773.pdf">研究人員發現</a>旗下部分2021年至2022年車款採用的Sync3車載資訊系統裡，採用的WL18xx MCP驅動程式，存在記憶體緩衝區溢位漏洞CVE-2023-29468，攻擊者若是在車載資訊系統Wi-Fi訊號範圍，就有可能藉由含有弱點的MCP驅動程式，取得覆寫主機記憶體的能力，CVSS風險評分介於8.8至9.6分，影響WILINK8-WIFI-MCP8的8.5_SP3以前版本。</p> <p>對此，福特表示，截至目前為止，尚未發現上述漏洞遭到利用，且攻擊者想要利用該漏洞必須在車輛引擎發動、車載資訊系統啟用Wi-Fi連線的情況下，才能在車輛附近發動攻擊；由於油門及控制車輛行進的系統受到防火牆保護，即使車載資訊系統遭到攻擊也不致影響行車安全。該公司正在製作修補程式，在此更新軟體尚未推出之前，車主可在車載資訊系統關閉Wi-Fi連線功能，即可緩解上述漏洞帶來的風險。</p> <p>針對福特強調上述車載資訊系統漏洞不影響行車安全的說法，部分資安新聞網站顯然難以認同。例如，Bleeping Computer便以「<a href="https://www.bleepingcomputer.com/news/security/ford-says-cars-with-wifi-vulnerability-still-safe-to-drive/">福特聲稱車輛含有Wi-Fi漏洞仍能安全行駛（Ford says cars with WiFi vulnerability still safe to drive）</a>」為題進行報導；SecurityWeek則是以「<a href="https://www.securityweek.com/ford-says-wi-fi-vulnerability-not-a-safety-risk-to-vehicles/">福特聲稱Wi-Fi漏洞對車輛並非安全風險（Ford Says Wi-Fi Vulnerability Not a Safety Risk to Vehicles）</a>」為題報導此事。</p> </div></div></div>
2023/8/15 23:28作者周峻佑https://www.ithome.com.tw/news/158288
金融科技發展路徑圖2.0正式發布，包括65項推動事項，最快今年12月發布金融業應用AI指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日正式發布金融科技發展路徑圖2.0，從1.0奠定的金融科技生態圈發展基礎，以包容、公平、永續和國際化作為四大目標，推出共65項推動事項，其中39項延續1.0成果，其餘26項為2.0新增推動事項，包括訂定金融業應用AI指引、推動銀行業使用電子簽章技術辦理相關業務及委外研究「金融科技發展與創新實驗條例」修法可行性等事項。</p> <p>金管會綜合規劃處處長胡則華進一步說明，路徑圖2.0以優化法制、深化資源、推廣技術及提升包容四大推動策略，從四大面向推動，分別為優化金融科技法制與政策、深化輔導資源及人才培育、推廣金融科技技術與應用和提升金融包容性及數位金融普及。</p> <p>在優化金融科技法制與政策面向中，有四項推動措施，分為研議「金融科技發展與創新實驗條例」修法可行性、建立「金融科技法規調適平臺」、深化資料共享和訂定金融業運用AI指引。</p> <p>金管會在1.0中已訂定「金融機構間資料共享指引」，而在路徑圖2.0中，將深化資料共享，包括發布跨市場資料共享的資料治理指引，與推動金融機構與部分非金融機構透過合作進行資料共享的小規模試做，並評估是否擴大「金融機構間資料共享指引」範圍。</p> <p>過去三年來，資料共享一直是外界最關心的金融科技發展重點，從開放銀行、開放證券到資料共享規範等。目前，國內開放銀行已進入第二階段，意即開放民眾在TSP的App上查詢銀行存款帳戶餘額、交易明細等資訊。至於推動開放銀行第三階段，也列入路徑圖2.0的推動事項中。</p> <p>此外，今年六月底，開放證券第一階段也正式上線，提供產品公開資訊查詢。在路徑圖2.0中，金管會也將研議第二階段開放證券的可行性。</p> <p>針對訂定金融業運用AI指引，金管會今日已發布「金融業運用人工智慧(AI)之核心原則與相關推動政策」草案，並將草案發布至「眾開講」平臺蒐集外界意見，未來將參考相關意見修正後正式發布。胡則華表示，預計在今年12月發布金融業應用AI指引，並督導銀行公會訂定應用AI的自律規範。</p> <p>另外一個值得關注的是，金融FIDO正式上線是1.0的重要成果，而金管會也在2.0進一步推出金融FIDO V2計畫，不只要擴大金融FIDO可辦理的業務項目或服務範圍，也將擴大至金融機構外領域。此外，胡則華表示，將推動建置跨體系的「金融FIDO驗證轉接中心」，串聯不同企業體系的金融FIDO，並且，金管會將允許金控擔任自家體系金融 FIDO的server，提供其子公司運用。</p> <p>此外，金管會將研議開放法人股東 3 人以上的法人線上開戶作業及建置相關管理機制，但這項開戶作業，會面臨更複雜的KYC等相關作業，因此，金管會表示，後續會和公會或專家討論具體執行方式。</p> </div></div></div>
2023/8/15 19:26作者李昀璇https://www.ithome.com.tw/news/158287
成大開發腹部肌肉量AI偵測工具，可以電腦斷層影像快速判斷肌肉量回復情形提高癌症病人照護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內臨床資料AI應用又一例，成功大學研發「腹部肌群醫療影像分割軟體」（iMbody），可評量病患的肌肉量，辨識肌少症狀，作為癌症治療的預後評估。目前已獲得衛福部食藥署醫療器材軟體（SaMD）上市許可，讓這項臨床醫療資料AI加值應用，可進入商業應用。</p> <p>成功大學與成大醫院合作，在國科會「臨床資料庫與AI之跨域開發及加值應用計畫」下，以AI人工智慧使現有醫療資料加值應用，在衛福部食藥署智慧醫療器材專案辦公室協助之下，花費1年半時間取得SaMD證，並在經濟部輔導之下，現已有4件發明專利獲准，尚有臺灣、美國、歐洲、日本、韓國等12件專利申請中。</p> <p>成大臨床創新研發中心主任蔡依珊表示，關於癌症與肌少領域的文獻資料不少，顯示在癌症研空上，肌少症狀是重要課題，癌症患者大多會使用電腦斷層追蹤其身體狀況，過去利用半自動軟體處理影像，最快也要花費20分鐘，並不符合臨床的需求，因此研發團隊利用患者的腹部電腦斷層影像，運用AI技術，開發出速度更快、符合臨床需求，適合癌症患者使用的肌少偵測工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI.jpg" style="width: 600px; height: 440px;" /></p> <p>蔡依珊表示，癌症病人的身體組成，如果肌肉組成比較少，該病人的預後會比肌肉多的病人差，肌少的病人做化療時，身體對化療劑量的耐受度較差，尚未打到治療需要的劑量，可能就會出現血液、神經等副作用。腹部肌群醫療影像分割軟體利用病人照護的現有資料予以加值應用，加上導入AI工具節省時間，團隊從成大醫療資料庫中4,600多位健康病人（車禍或其他原因），建立臺灣的健康肌肉量常模，這些健康病人的資料如果靠人工處理，可能需要不眠不休畫2個月，導入AI只要1天內就能完成，研發團隊建立男性、女性，從20到80多歲的肌肉量常模，如同骨質一樣，隨著年齡愈大，肌肉量愈來愈少。</p> <p>她指出，如同骨質密度一樣，肌肉量常模建立後，才能告訴患者，偵測出的肌肉量，和同性別、同年齡層、同種族相比，肌肉量比較多或較少。</p> <p>在癌症病患照護上，每3個月作一次電腦斷層掃描，根據斷層影像，建立病患連續性的肌肉量變化情形，觀察病人的骨骼肌肉量指數變化，當病人開始接受化療，通常肌肉量減少約10%，但在完成化療後，如果指數變化率為負，則該病人的化療後回復比較差，預後也較差，如果指數變化為正，甚至超越原本的起點，代表病人回復比較好，預後也比較好。</p> <p>蔡依珊表示，過去要花費許多時間，沒有辦法分析，現在運用AI加值工具，可以可以成為很好的工具，提升對病人的照護。</p> <p>由於成大的腹部肌群醫療影像分割軟體是運用病人現有健保給付的電腦斷層檢查，因此對病人而言，不需額外付費，對癌症病人而言，提供更多的精準照護資源。但是，對開發這項應用的成大而言，取得醫材央體證明後，勢必需要找出可獲利的商業模式。</p> <p>蔡依珊表示，脂肪會先在腹部屯積，俗稱的游泳圈，當脂肪過多無法在腹部外圍屯積，肪肪就會開始朝向，向內朝臟器發展，研究文獻顯示，內臟屯積愈多的脂肪肌，未來容易對健康帶來不好影響。腹部肌群醫療影像分割軟體除了用於癌症患者照護上，未來也可能應用在健康檢查中心。</p> </div></div></div>
2023/8/15 19:18作者蘇文彬https://www.ithome.com.tw/news/158286