iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

RDNA 3架構擴及中階專業繪圖運算市場，AMD推新款GPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_radeon_pro_w7000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月AMD新一代專業繪圖加速卡登場，透過<a href="https://www.ithome.com.tw/review/156523">W7900與W7800這兩款高階機型的推出</a>，揭開Radeon PRO W7000系列產品的序曲，主打特色，包括導入GPU架構RDNA 3、小晶片（Chiplet）設計、顯示引擎Radiance Display Engine、內建視訊連接埠規格DisplayPort 2.1，以及提供AV1的編解碼支援。</p> <p>到了8月初，他們接續發表針對中型、輕型工作負載的GPU：W7600與W7500。從主要規格來看，這兩款產品均搭配8 GB容量的GDDR6記憶體（不支援ECC），內建的運算單元與光線追蹤處理加速器，分別為32個、28個，配備的AI加速器則是64個、56個；以FP32單精度運算而言，它們可提供20 TFLOPS、12 TFLOPS的效能，熱設計功耗為130瓦與70瓦。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7600.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7500.jpg" style="width: 600px;" /></p> <p>若以上一代的中階專業繪圖加速卡為基準，新上市的W7600可提供2倍的效能（W6600的FP32單精度運算效能為10 TFLOPS）；在AI加速能力上，導入RDNA3架構的W7000系列，因為內建新的AI指令，可提供超過2倍的AI運算吞吐量——根據AMD內部測試，執行BF16的數學運算時，配備96個運算單元的W7900對上配備80個運算單元的W6800，前者的效能可達到後者的2.7倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%207600_7500%20VS%20W6600.jpg" style="width: 500px;" /></p> <p>而在影像顯示頻寬方面，由於W7000系列均支援DisplayPort 2.1，每條資料傳輸通道頻寬為9.675 Gbps，提升至1.5倍（W6000系列支援DisplayPort 1.4a，每條通道支援8.1 Gbps的頻寬）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%207600_7500%20DisplayPort.jpg" style="width: 600px;" /></p> <p>AMD表示，W7600與W7500可輕鬆執行資料密集型的工作，針對CAD、BIM等多種專業應用程式，提供優異的使用性能，並且能實現光線追蹤渲染處理，帶來層次豐富、細膩與逼真的影像顯示體驗，樹立中階專業繪圖處理的效能標竿。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO 7600_7500 general compute.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%207600_7500%20general%20compute.jpg" style="width: 600px;" /></a></p> <p>縱觀市面上其他廠牌的中階產品，AMD選擇比較的對象是Nvidia A2000與T1000，強項是運算效能高，但耗電量也相對較高。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO W7600_W7500-NVIDIA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7600_W7500-NVIDIA.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO W7600_W7500-NVIDIA-digitial photos.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7600_W7500-NVIDIA-digitial%20photos.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO W7600_W7500-NVIDIA-3D CAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7600_W7500-NVIDIA-3D%20CAD.jpg" style="width: 298px;" /></a></p> <p>相較之下，AMD先前推出的W7900與W7800，由於屬於高階產品，硬體組態、運算效能、耗電量等層面的規格，配置都更顯龐大，例如，GPU記憶體容量為48 GB、32 GB（支援ECC），運算單元與光線追蹤處理加速器是96個、70個，配備的AI加速器是192個、140個；而在FP32單精度效能方面，它們可達到61 TFLOPS與45 TFLOPS，熱設計功耗為295瓦與260瓦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO W7000 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7000%20overview.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>AMD Radeon PRO W7600<br /> ●原廠：AMD<br /> ●建議售價：599美元起<br /> ●連接介面：PCIe 4.0 x8<br /> ●外觀尺寸：單槽全高<br /> ●GPU架構：AMD RDNA 3<br /> ●串流處理器數量：2,440個（32個運算單元）<br /> ●內建記憶體容量：8 GB GDDR6、32 MB快取（AMD Infinity Cache）<br /> ●記憶體頻寬：288 GB/s<br /> ●視訊連接埠：4個DisplayPort 2.1埠<br /> ●耗電量：130瓦<br /> ●支援繪圖處理API：DirectX 12 Ultimate、OpenGL 4.6、Vulkan 1.3.2<br /> ●支援運算處理API：OpenCL 2.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/8 23:34作者李宗翰https://www.ithome.com.tw/review/158640
AI趨勢周報第227期：Falcon系列模型添新成員，180B版一現身就勝過Llama 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0901～0907)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Falcon-180B </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Falcon系列模型添新成員，180B版一現身就勝過Llama 2</strong></span></p> <p>最近，阿拉伯聯合大公國科技創新研究院（TII）開源1,800億參數的大型語言模型Falcon-180B，在HuggingFace排行榜上勝過Meta的Llama 2（700億參數）和GPT-3.5，表現與Google的PaLM-2 Large相當。</p> <p>今年6月，TII就釋出語言模型Falcon，包含10億參數、70億參數和400億參數。這次，他們以400億參數版本爲基礎，用自家RefinedWeb資料集（共3.5兆個Token）訓練出Falcon-140B，是目前開源語言模型中最大的版本。這次模型新添了些新機制，如多重查詢注意力機制（MQA），來提高擴展性。團隊以機器學習平臺Amazon SageMaker和高達4,096顆GPU來訓練Falcon-180B，共耗費700萬個GPU小時。</p> <p>就測試結果來說，Falcon-180B在多任務語言理解基準測試MMLU中勝過Llama 2和GPT-3.5，並在HellaSwag、LAMBADA、WebQuestions、Winogrande、PIQA、ARC、BoolQ等資料集測試上與PaLM 2-Large相當。它在HuggingFace排行榜的分數是68.74，是得分最高的開源預訓練LLM，超過Meta的LLaMA 2 （67.35）。雖然開源且開放商用，Falcon-180B的條件比前幾代嚴格，不允許任何托管用途。<a href="https://huggingface.co/blog/falcon-180b#additional-resources">（詳全文）</a></p> <p><img alt="" src="https://huggingface.co/datasets/huggingface/documentation-images/resolve/main/blog/162_falcon_180b/palm2_480.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TAIDE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公部門 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國產可信任AI對話引擎TAIDE將開放公部門測試申請</strong></span></p> <p>國科會在上半年號召國內學術團隊和國科會轄下機構，展開TAIDE計畫，打造專為臺灣使用者設計的可信任AI對話引擎TAIDE，自6月揭露第一階段成果後，9月將進入大規模測試階段。</p> <p>該計畫統籌負責人李育杰指出，團隊將於9月邀請部會報名，並於10月提供測試帳號，來讓公部門測試應用。他也指出，由於Meta在7月中釋出可商用的Llama 2，讓商用版TAIDE模型有了更好的基礎，如Taide-llama2-13B-Chat模型已有不錯的表現，且讓TAIDE在學研與商用模型發展的經驗和資源可共軌。目前，TAIDE應用場景先鎖定4項日常辦公工作，如中英翻譯、自動摘要、寫Email，以及出題目就能產生作文等任務。</p> <p>他也預告，TAIDE計畫團隊將在10月中下旬舉行線上會議，並對中央政府部門舉辦工作坊，再擴及地方政府部門，向各機關人員介紹這套模型與使用教學。未來，TAIDE計畫團隊希望政府或業界都可基於這套AI對話引擎，根據需求，來自行訓練模型並建立內部應用。<a href="https://www.ithome.com.tw/news/158607">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 司法院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 裁判書 </span></strong></span></p> <p><span style="font-size:22px;"><strong>司法院將在幾家法院試用生成式AI系統，要降低法官裁判負擔</strong></span></p> <p>去年4月開始，司法院就開始在打造生成式AI應用，要來輔助法官製作不能安全駕駛、幫助詐欺2大類裁判草稿，來供法官製作裁判時參考。目前，司法院已完成這2類生成式AI系統，可即時根據犯罪事實、證據等資料，來產出裁判草稿。系統複驗通過後，就會由司法院刑事廳和資訊處討論、選擇幾家法院試辦，評估效用後，就會全面上線AI系統。</p> <p>司法院表示，他們也正開發毒品罪裁判草稿的生成式AI系統，預計今年12月試辦上線。明年則是要發展「民事交通損害賠償」、「消債更生、清算」等事件裁定草稿自動生成的開發案。這些生成式AI系統以TMT5模型，並以起訴書、配對的裁判書等資料訓練而成，該系統採完全落地模式，來訓練、生成答案，保護資料隱私。<a href="https://www.judicial.gov.tw/tw/cp-1887-929494-8a9fb-1.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 天氣預測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 評估 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google釋出全球天氣模型預報基準，可精準比較天氣預報模型</strong></span></p> <p>Google日前釋出一款天氣預報模型評估和比較框架WeatherBench 2，可計算機器學習模型和物理模型的天氣預測分數，協助專家依此微調和改善模型。Google也開源WeatherBench 2程式碼，以及針對雲端最佳化的真實資料和基準資料集。</p> <p>天氣預報的評估有不少挑戰，因為高解析度的天氣預報資料量龐大，因此Google在開源統一程式開發模型Apache Beam上建置評估程式碼，供用戶將運算分割成小區塊，以進行分散式評估。此外，Google對不同解析度提供雲端最佳化的ERA5資料集，能用來加速ML天氣預測模型的訓練。同時，WeatherBench 2也針對機器學習預測的限制，提供研究範例，Google也將繼續完善WeatherBench 2，添加站點觀測和降水資料集等，並將臨近預報和次季節預測納入基準中。<a href="https://blog.research.google/2023/08/weatherbench-2-benchmark-for-next.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhpPreKUXXp_lIzhut_DpaGJ14zOmmcY-BwafhfG4G3dbzlUN_-BlfWi5HxKB2upOLaUR38i-Qc1AkIKz0QX1BIhCI9XtxfFzMCqVOuSFzlg-7pAfYMQYN7YmIt84DRr_M9fHXT6hxAXGstGSbQ2duNZzJtZe5yIb1lrbBfFUkNkTgXhYXc9qjkqadlQwKh/s16000/image1.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Amazon SageMaker </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI互動體驗更即時了，Amazon SageMaker新增模型推論結果串流功能</strong></span></p> <p>AWS在機器學習服務Amazon SageMaker的即時推論功能中，新添回應串流（Response Streaming）功能，使用者可將模型推論的答案，持續串流回客戶端，來打造生成式AI應用更即時的互動式體驗，如Chatbot、虛擬助理或音樂生成等。這個新功能可讓使用者立即串流資料，不需等到整個回答完整生成才行，省下等待的數秒或更長時間。</p> <p>要從SageMaker擷取串流回應，用戶需使用新的InvokeEndpointWithResponseStream API，應用程式可更快收到第一個回應位元組，明顯降低延遲。SageMaker託管的大型模型如Falcon、Llama 2和Stable Diffusion等，都能將模型推論結果以串流形式回傳，範圍涵蓋文字和圖像。AWS表示，SageMaker即時端點回應串流是透過HTTP 1.1區塊編碼實作而成，亦即資料會被分成多個區塊傳輸，而非一次性傳送整個資料，伺服器可在生成內容的同時立刻傳輸，不必等待所有內容都準備好。<a href="https://aws.amazon.com/tw/blogs/machine-learning/elevating-the-generative-ai-experience-introducing-streaming-support-in-amazon-sagemaker-hosting/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/f1f836cb4ea6efb2a0b1b99f41ad8b103eff4b59/2023/08/28/ML-15289-image001.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> API </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Apigee </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Duet AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>管理API更容易！Google Apigee API整合自家生成式AI助理</strong></span></p> <p>Google在Apigee API管理工具和應用程式整合工具中，新添自家生成式AI助理Duet AI，來降低建置API、整合流程和擴充套件的門檻，比如，用戶可用自然語言下指令，來建立API規範，這些規範會將諸如安全架構、集中式目錄API Hub中其他API物件等資源納入考量。</p> <p>Google指出，這項整合可大幅提高生產力，因為建構API規範需要專業知識，得耗費大量時間才能完成，而Duet AI可加速這個過程，還能標示與API Hub其他API的不一致之處，如語法、語義和程式碼編寫風格。在Apigee API應用程式整合工具方面，Duet AI可根據需求和企業資產，自動建議合適的整合流程。比如根據整合流程中的變數和應用程式，Duet AI會自動建置連接兩個應用程式的資料映射，或根據用戶需求進一步調整資料映射。這項新功能已向Google客戶開放，幾周內將開放預覽。<a href="https://cloud.google.com/blog/products/api-management/introducing-duet-ai-in-apigee-api-management-and-application-integration">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_Fih7VE3.max-1300x1300.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Salesforce </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM與Salesforce聯手推企業AI工具</strong></span></p> <p>IBM與Salesforce聯手推廣企業生成式AI服務，要加速用戶在客戶關係管理中對AI的採用。在這項合作中，IBM顧問部門將派出16萬名專業顧問，協助用戶採用Salesforce的AI應用，如Einstein、Sales Cloud、Service Cloud、Marketing Cloud和Slack等。此外，IBM顧問部門也會使用自家AI平臺watsonx，來補足Salesforce的解決方案。</p> <p>進一步來說，Salesforce在今年3月推出了客戶關係管理專用的生成式AI服務Einstein GPT，且在這條產品線旗下，還發展出Marketing GPT等行銷工具，可用來加速廣告文案等工作，另也有客服專用的Einstein GPT for Service，這些生成式AI產品都包含在這次合作範疇內。此外，這次也將以IBM Consulting Managed Services for Salesforce加速器工具組來協助用戶轉型，輔助用戶部署、擴展和強化Salesforce服務。<a href="https://newsroom.ibm.com/2023-08-31-IBM-and-Salesforce-Team-Up-To-Help-Businesses-Accelerate-Adoption-of-Trustworthy-AI">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FACET </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歧視 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開源可用來偵測AI歧視問題的FACET資料集</strong></span></p> <p>Meta日前開源FACET資料集，能用來評估電腦視覺模型在分類、偵測、實例分割與視覺定位等任務中，可能出現的偏差或歧視，協助開發者改善模型。FACET由3.2萬張照片所組成，包含5萬人，每張照片都由人類專家按相關屬性手動標記，如性別與年齡等族群特徵，膚色、髮型等生理特徵，以及諸如棒球選手或醫生等分類，另也包含來自SA-1B資料集中6.9萬名戴口罩民眾的人口屬性標記。</p> <p>這個資料集可用來協助回答某些問題，像是當某些表現的刻板印象多為男性時，模型是否能提供更好的辨別；標準檢測模型是否難以偵測膚色較深的人口等。<a href="https://facet.metademolab.com/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-08%20181913.png" /></p> <p>圖片來源／HuggingFace、AWS、Google、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 11億參數的小型版TinyLlama問世</strong></p> <p><strong>2. Zoom重新推出生成式AI助理，可摘要會議記錄</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/8 18:22作者王若樸https://www.ithome.com.tw/news/158656
【資安日報】9月8日，網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客透過網路釣魚工具包發動攻擊的情況極為氾濫，不只是資安媒體報導的眾多團體，有些行跡相當隱密，最近資安業者Group-IB揭露的W3LL，就是一例。網路犯罪生態圈經營時間長達6年，主賣功能豐富的網釣工具包套件，並能加購可從事商業郵件詐騙（BEC）的相關模組。</p> <p>為何W3LL一直沒被發現？因為他們只靠駭客私下介紹買家，未曾在網路犯罪論壇進行宣傳。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/media-center/press-releases/w3ll-phishing-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露網釣犯罪集團W3LL，專門挾持使用者的微軟帳號，不到一年有8千個組織受害</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/w3ll-release-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/w3ll-release-2.png" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露駭客組織W3LL建立的網路釣魚犯罪生態圈，該組織自2017年開始活動，主要鎖定微軟的Microsoft 365帳號下手，提供網釣工具包W3LL Panel給駭客租用，此工具包具備多項功能，可用於執行對手中間人攻擊（AiTM）、繞過雙因素驗證（MFA），竊取用戶瀏覽器Cookie，並提供以API為基礎的功能、原始碼加密及混淆機制，以及其他特殊功能。</p> <p>此外，該組織也推出其他客製化功能模組讓買家選用，而能進一步發動商業郵件詐騙（BEC）攻擊，這些工具包括SMTP發送器PunnySender與W3LL Sender、惡意連結導向工具W3LL Redirect、漏洞掃描器OKELO、帳戶自動探查工具Contool，以及其他偵察工具。研究人員在過去10個月裡，看到約有850個利用W3LL Panel打造的釣魚網站，攻擊者鎖定大量Microsoft 365帳號下手，範圍涵蓋5.6萬個企業組織，其中有8千個受害。而這些駭客鎖定的目標，逾半數位於美國，但英國、澳洲、德國等地也有受害組織；從產業的類型來看，最常見的目標是製造業，其次是資訊科技業、顧問公司、金融服務、醫療照護等產業。</p> <p>研究人員指出，這個組織直到最近才被發現，主要原因是他們採取多層次傳銷的方式，透過口耳相傳招攬顧客，想要從W3LL Store市集下單網釣工具的新買家，必須透過現有會員推薦，並在3天內儲值，否則帳號將會被停用。此外，W3LL Store不透過廣告吸引買家上門，更要求他們的客戶不得在網路散播相關訊息。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hacking-campaign-bruteforces-cisco-vpns-to-breach-networks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客鎖定思科SSL VPN系統進行帳號填充攻擊，逾10個組織受害</span></strong></a></p> <p>8月下旬思科透露勒索軟體Akira鎖定該廠牌SSL VPN設備的攻擊行動，駭客針對尚未啟動雙因素驗證（MFA）的系統下手，後來資安業者Rapid7公布更詳細的調查結果。</p> <p>研究人員指出，這起攻擊行動當中，駭客是針對啟用SSL VPN服務的思科多功能網路資安設備ASA系列下手，透過暴力破解或是帳號填充攻擊的手法控制系統，目的是於受害組織部署勒索軟體Akira、LockBit。從3月30日至8月24日，他們確認至少有11個組織受害，在大部分的事故當中，駭客企圖使用常見的使用者帳號名稱存取ASA設備，這些名稱包括admin、guest、kali、cisco、test、printer、security、Inspector。</p> <p>一旦成功控制ASA設備，駭客就會透過遠端桌面連線工具AnyDesk存取受害組織網路，然後擷取AD資料庫NTDS.DIT來取得網域帳密，進而破壞其他系統。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blogs.cisco.com/security/akira-ransomware-targeting-vpns-without-multi-factor-authentication" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1166052758" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blogs.cisco.com/security/akira-ransomware-targeting-vpns-without-multi-factor-authentication</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.rapid7.com/blog/post/2023/08/29/under-siege-rapid7-observed-exploitation-of-cisco-asa-ssl-vpns/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-2131143182" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.rapid7.com/blog/post/2023/08/29/under-siege-rapid7-observed-exploitation-of-cisco-asa-ssl-vpns/</span></a></p> <p><a href="https://cert.gov.ua/article/5702579"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭關鍵基礎設施遭到俄羅斯駭客APT28攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/APT28-0904.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT28-0904.png" style="width: 300px; float: right;" /></a>9月4日烏克蘭電腦緊急應變小組（CERT-UA）提出警告，俄羅斯駭客組織APT28鎖定當地的能源基礎設施發動攻擊，駭客先是寄送釣魚郵件，其內容含有惡意ZIP檔案的下載連結，一旦收信人依照指示操作，就會把3個JPG圖檔誘餌、批次檔案weblinks.cmd下載到電腦。</p> <p>若是收信人執行上述的CMD檔案，電腦將會開啟多個網頁，並建立BAT檔案與Visual Basic指令碼（VBS）檔案，然後執行VBS檔觸發BAT檔案，執行whoami的命令並竊取資料。該組織指出，駭客遠端下達命令的方式，是透過webhook.site的服務來執行cURL程式，從而隱匿攻擊來源。所幸此能源基礎設施有防備，他們對於存取Mocky API及Windows Script Host（wscript.exe）設下限制，所以駭客並未得逞。</p> <p><a href="https://thehackernews.com/2023/09/researchers-warn-of-cyber-weapons-used.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業而來</span></strong></a></p> <p>資安業者AhnLab提出警告，北韓駭客組織Lazarus旗下的團隊Andariel（亦稱Nicket Hyatt、Silent Chollima）針對韓國國防工業而來，自今年開始使用多種惡意程式發動攻擊，大部分是以Go語言開發而成。這些惡意軟體包含了Gh0st RAT、DTrack、YamaBot、NukeSped、Rifdoor、Phandoor、Andarat、Andaratm、TigerRAT、MagicRAT、EarlyRAT。</p> <p>研究人員指出，今年2月，駭客曾利用韓國檔案傳輸系統的用戶端程式Innorix Agent漏洞發動攻擊，散布惡意程式Andardoor、NukeSped變種Volgmer，以及Go語言開發的反向Shell程式1th Troy。</p> <p>後來，他們看到這些駭客也使用Go語言開發的Black RAT、Goat RAT，.NET開發的惡意程式下載工具AndarLoader，以及採用Go與Rust語言開發的後門程式DurianBeacon，其中，Goat RAT是在攻擊者成功利用Innorix Agent漏洞植入受害電腦，而AndarLoader則是藉由DurianBeacon部署。</p> <p>資料來源</p> <p>1. <a href="https://asec.ahnlab.com/en/48198/">https://asec.ahnlab.com/en/48198/</a><br /> 2. <a href="https://asec.ahnlab.com/en/56405/">https://asec.ahnlab.com/en/56405/</a></p> <p><a href="https://www.darkreading.com/dr-global/ghostsec-source-code-alleged-iranian-surveillance-tool"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織GhostSec聲稱公布了伊朗政府監控民眾的工具</span></strong></a></p> <p>根據資安新聞網站Dark Reading的報導，駭客組織GhostSec近期聲稱取得伊朗IT金融服務及IT服務業者FANAP的原始碼，並指控該公司的軟體被伊朗政府用於監控民眾。駭客表示已破解FANAP的專屬程式碼，並解析26 GB壓縮資料將其公布，當中包含多項核心元件，像是組態檔案及API的技術資料。</p> <p>8月27日該組織公布臉部識別，以及各式侵犯民眾隱私的工具，這些工具是臉部識別及視訊監控系統Behnama、車輛GPS跟蹤系統Behyab、車牌辨識系統Behkhan，以及用於列印身分證的臉部辨識系統Behcard，駭客認為，上述部分軟體被部署在當地銀行Pasargad Bank的所有分行當中。其中一名駭客透露，他們藉由存取FANAP的基礎設施得到原始碼，然後利用負載平衡工具HAProxy入侵該公司的伺服器，在竊得資料後，該組織耗時2個月進行分析。</p> <p>對此，FANAP否認資料外洩，並表示駭客只能取得部分軟體事件記錄及Docker的檔案。</p> <p><a href="https://foundation.mozilla.org/en/blog/privacy-nightmare-on-wheels-every-car-brand-reviewed-by-mozilla-including-ford-volkswagen-and-toyota-flunks-privacy-test/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">連性活動也不放過！Mozilla指控25個汽車品牌離譜的個資保護政策</span></strong></a></p> <p>根據Mozilla基金會近期發布的隱私安全調查結果顯示，在美、德、日、法、韓等5國的25個汽車品牌當中，製造商大量收集車主各式個資，當中有不少與駕駛或安全幾乎無關，這些行為顯然失當。</p> <p>該基金會點名最嚴重的品牌是日產（Nissan），該廠商在隱私政策指出他們會收集健康診斷資料、遺傳資料，甚至是與性相關的活動，但並未說明如何取得這些資料。此外，日產也表明可能會將客戶的個資有償或無償提供給資料掮客、執法機關，或是其他第三方機構。而這些會提供給外部機構的資料範圍也相當廣，包含了客戶的喜好、特徵、心理狀態、傾向、智力、能力、資質。</p> <p>但日產並非個案，事實上，根據這些汽車品牌的隱私政策，高達84%的廠商會向服務供應商、資料掮客、其他合作夥伴提供車主的資料，76%業者表明可能會銷售車主資料，56%車廠會根據政府或執法機構要求提供車主資料。研究人員指出，許多車廠都在進行所謂的隱私清洗（Privacy Washing），表面上聲稱要維護車主隱私，但實際上並未依照相關政策執行，此外，有些車廠甚至出現超過5種版本的政策，而讓消費者無所適從。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158648"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布新版macOS、iOS、watchOS，修補已被用於植入間諜軟體的零點擊漏洞</span></strong></a></p> <p>9月7日蘋果發布iOS 16.6.1、iPadOS 16.6.1、macOS Ventura 13.5.2、watchOS 9.6.2，當中修補已被用於部署間諜程式Pegasus的零時差漏洞CVE-2023-41064、CVE-2023-41061（合稱Blastpass）。</p> <p>這些漏洞是由加拿大公民實驗室（Citizen Lab）發現，他們上週在美國華盛頓特區檢查公民社會組織（CSO）員工裝置的過程裡，意外發現這些無須使用者點擊（零點擊）的漏洞，攻擊者在執行最新版iOS 16.6的手機上，透過iMessange傳送含有惡意圖檔的數位票券框架PassKit檔案，從而植入Pegasus。其中，CVE-2023-41064為記憶體緩衝區溢位漏洞，導致作業系統在處理惡意圖像的過程，可被用於執行任意程式碼；CVE-2023-41061則為身分驗證漏洞，攻擊者可藉由傳送惡意附加檔案，來達到執行任意程式碼的目的。</p> <p>對此，公民實驗室呼籲蘋果用戶應立即套用相關更新，並鼓勵從事高風險業務的使用者，最好啟用封閉模式（Lockdown Mode）。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://citizenlab.ca/2023/09/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-874153244" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://citizenlab.ca/2023/09/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://support.apple.com/HT213905" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--249556186" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://support.apple.com/HT213905</span></a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://support.apple.com/HT213906" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--249556185" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://support.apple.com/HT213906</span></a><br /> 4. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://support.apple.com/HT213907" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--249556184" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://support.apple.com/HT213907</span></a></p> <p><a href="https://www.withsecure.com/us-en/whats-new/pressroom/withsecure-mend-patch-vulnerability-in-popular-application-security-platform"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網頁應用程式安全平臺Mend.io出現SAML漏洞</span></strong></a></p> <p>資安業者WithSecure指出，前身為Whitespurce的軟體開發安全系統廠商Mend.io，他們提供的應用程式安全平臺存在SAML漏洞，導致攻擊者一旦取得目標組織有效的電子郵件信箱，就有機會運用存在弱點的SAML機制，在同一個軟體即服務（SaaS）環境中，存取其他Mend.io用戶的資料集。</p> <p>而對於漏洞發生的原因，研究人員指出，此應用程式安全平臺的單一簽入（SSO）機制能接受任何有效的電子郵件帳號，沒有額外的身分驗證措施，換言之，攻擊者只需透過特定的SaaS環境挾持Mend.io帳號，並設置能透過單一簽入存取，然後使用目標組織的電子郵件信箱，就有機會成功利用上述SAML漏洞。WithSecure在今年5月通報Mend.io，該漏洞已得到確認，Mend.io也迅速採取行動，修補該漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/johnson-and-johnson-discloses-ibm-data-breach-impacting-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">嬌生醫療照護系統傳出資料外洩，起因是IBM代管的應用系統遭到攻擊</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/09/07/cisa-fbi-and-cnmf-release-advisory-multiple-nation-state-threat-actors-exploit-cve-2022-47966-and"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客攻擊美國航空機構，鎖定Zoho、Fortinet漏洞下手</span></span></strong></a></p> <p><a href="https://blog.phylum.io/malware-campaign-targets-npm-pypi-and-rubygems-developers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Nascent鎖定NPM、PyPI、RubyGems用戶而來</span></span></strong></a></p> <p><a href="https://blog.sucuri.net/2023/09/bogus-url-shorteners-go-mobile-only-in-adsense-fraud-campaign.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">鎖定行動裝置的AdSense詐欺攻擊透過短網址進行</span></span></strong></a></p> <p><a href="https://www.elastic.co/security-labs/revisiting-blister-new-developments-of-the-blister-loader"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Blister被用於散布C2框架Mythic</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158641"><strong>【9月7日】惡意程式Agent Tesla透過5年前Office漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158626"><strong>【9月6日】瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動</strong></a></p> <p><strong><a href="https://www.ithome.com.tw/news/158612">【9月5日】瀏覽器的安全設計不良再加上網站漏洞讓惡意擴充程式有機可乘，挖掘用戶機密資料</a></strong></p> </div></div></div>
2023/9/8 17:27作者周峻佑https://www.ithome.com.tw/news/158654
以顧客體驗主導軟硬體整合，威摩下一步要打造車聯網大平臺
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣是全球共享機車大國，共享機車規模高達全球15%，光在臺北市就有近13,000輛，是全球總數的一成。這個一級戰區中，最大規模的車隊是共享機車平臺威摩科技（WeMo Scooter），在臺北市擁有近5,000臺機車，總車隊規模約7,000臺。</p> <p>威摩科技在2015年將共享機車商業模式帶入亞州，使用者在地圖App上找到鄰近機車一鍵租借、停放於服務範圍內的任意合規停車格即能歸還。除了B2C機車共享服務外，他們去年更將租賃服務經驗和技術商品化，販售給其他汽機車租借業者使用。背後技術，都是由威摩科技自行開發的車聯網軟硬體，用改裝機車內，黑盒子的各式感應器蒐集位置、電量等資訊，再回傳到後臺儲存、分析、管理。</p> <p>主導技術建置及UI/UX設計的威摩科技技術長鄭捷是共同創辦人之一。鄭捷曾經創立過網通科技公司及車輛改裝公司，甚至擁有自己的車隊，參加過國際知名甩尾大賽D1GP。從威摩機車改造到車聯網通訊軟硬體建置，鄭捷都扮演了重要角色。</p> <p>車聯網是威摩科技共享服務的關鍵技術基礎，不過鄭捷認為，共享機車與餐飲業一樣，是長期、重複提供服務的行業，只要產品有一定水準，顧客體驗才是經營回頭客關鍵。因此，他幾乎每天都騎著自家機車，從使用者角度親身體驗操作流程，思考如何從車體改造、App優化、後臺系統調整等面向，來更進一步提升使用者體驗。</p> <p>以長期提供服務為出發點的理念，體現在威摩科技三大產品發展焦點：App 的UI/UX設計、機車硬體，以及車聯網數據管理。</p> <p><span style="font-size:28px;"><strong>亞洲第一家共享機車如何設計UI</strong></span></p> <p>「你現在覺得理所當然的常見租車模式，都是威摩從頭開始創造出來的。」他自豪的說，因為是亞洲第一家業者，設計App和整體租借流程之初，沒有可參考的同類上市產品。鄭捷認為，UI背後對重視UX的講究是威摩科技最具競爭力的領域。「就算你現在學了我們的UI，長期優化UX的精神也很難模仿。」</p> <p>雖然歐美更早就出現了共享機車App，不過，因為使用者習慣、設備選擇、路況等因素與臺灣市場不同，威摩科技評估後沒有採用它們的設計。舉例來說，尋找機車階段，當時歐美App主流是列表式呈現，威摩科技則改用地圖式呈現方法，這個UI設計現在已經是臺灣共享機車的主流設計。</p> <p>鄭捷說，設計UI時，每一個App頁面的設計，他們都會從多個角度思考使用者操作環境、使用需求，以及威摩科技如何能從中獲取直接或間接價值。</p> <p>WeMo App用來啟動機車的「鑰匙頁」設計就是最好的例子。在這個鑰匙頁上，有控制機車電源和車廂的按鈕。一開始，這兩個按鈕一度占了手機螢幕30%以上的面積。超大按鈕的設計，背後隱藏的是體貼使用者的講究，像是考慮使用者是在戶外環境啟動機車，而且有可能帶手套而影響操作精度，所以，按鈕尺寸才大於一般人的大姆指大小，方便不同情況下的按壓，後來，隨著大尺寸手機逐漸普及後，才又縮小按鈕的螢幕占比。</p> <p>UI除了設計講究，在資訊提供上也經過不少斟酌。同樣以鑰匙頁設計來舉例，鄭捷說，國外租車App會提供地圖導航，來搭配啟動鑰匙按鈕，但鄭捷認為，使用者往往習慣用Google Map來導航，租車App提供地圖介面的設計意義不大。他自己則會思考，使用者需要的租車App資訊中，哪些只有威摩科技能提供。</p> <p>最後，威摩科技參考了Garmin自行車App的設計，在鑰匙頁面直接提供租借時間和機車剩餘電量，讓顧客一目瞭然，更提高鑰匙頁面資訊的參考價值。「但不能顯示當前收費，否則會增加使用者還車壓力。」他笑著坦言。</p> <p><span style="font-size:28px;"><strong>以優化UX為第一優先的服務設計理念</strong></span></p> <p>UI/UX改良不是一個短期計畫，更是威摩科技營運共享機車8年來的長期課題，時時觀察使用者需求，並推出因應的優化功能。</p> <p>例如隨著越來愈多顧客長途騎乘時，會遇到機車電量見底，需要尋找下一臺機車的需求。早期App設計中，使用者需要先還車，才能重新進入尋車地圖，找到下一臺車位置後，徒步前往換車。威摩科技後來觀察到使用者這個痛點，便在鑰匙頁面中，直接增加尋車功能，不用等到電量見底，就能提前規畫換車路線，先騎到另一臺車所在地後，就地歸還、換車。</p> <p>不只如此，威摩科技正在思考，如何進一步簡化這個換車流程，希望能用一、兩個按鈕操作就能快速還車、借新車，提高使用者體驗的流暢度。不過，這個整合難度不小，需要將兩臺車的租借紀錄、騎乘資訊、付款和折扣等數據合併到同一個訂單中，這是當初系統架構設計時沒有考慮到的事，威摩還在研究如何克服技術問題。</p> <p>為了優化使用者體驗，威摩科技甚至會犧牲一部分營運效率。「設計服務時，必須區分對使用者有價值的環節，以及對營運方有價值的環節，後者不應阻礙到前者。」</p> <p>鄭捷以還車拍照流程的安排來舉例。使用者在App中拍照紀錄還車，可以帶來兩個效益，一是證明停車區域合規，遭惡意挪動時可舉證。其次，可運用Google ARCore Geospatial API技術，從還車影像中判斷地點，減少GPS飄移造成找不到車的困擾。</p> <p>不過，威摩科技沒有強制使用者操作，反而刻意安排到還車付款以後，使用者還車後甚至可以直接關掉App離去，跳過拍照階段。「這不是使用者從A點移動到B點所需的步驟，所以不能用來干擾他們。」鄭捷表示。</p> <p>雖然這樣的設計會降低前述兩大效益，但鄭捷堅持，這是營運方的問題，不管解法再難，都不能靠犧牲使用者體驗流暢度來解決。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1146-CTO-600(2).png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>設計服務時，必須區分對使用者有價值的環節，以及對營運方有價值的環節，後者不應阻礙到前者。── 威摩科技技術長鄭捷</strong></span></span> 　<span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>以支援多年服務更新為前提進行硬體技術選型</strong></span></p> <p>App UI/UX技術背後是威摩科技從頭自行建置的車聯網解決方案，硬體核心是機車黑盒子，包含陀螺儀、G-Sensor等各式感應器，邊緣運算這些數據的CPU，以及上傳這些數據到雲端的無線通訊裝置。</p> <p>威摩科技創立時，要先選擇車聯網通訊技術，「3G便宜很多，真的要用4G嗎？」廠商不解為何要用開臺才一年的4G技術。「我們的車未來要用8年、10年，那時3G還在嗎？」鄭捷這樣回答。放眼長期服務，他堅持在上千輛機車中安裝較為昂貴的4G通訊設備。</p> <p>他進一步說明，初期投資高規格硬體，是因為WeMo不是一次性交付，而是長期提供的服務，甚至成立初期就有許多未來服務、開發進程長達數年的規畫。為避免硬體頻繁更新影響開發進程，威摩科技一開始考慮支援後續10年業務的硬體能力。</p> <p>有了足夠的通訊及運算硬體規格打基礎，威摩科技得以陸續推出龐大數據處理或即時運算的新服務，例如車禍瞬間數據紀錄、路面狀態資料蒐集、城市車流分析、空氣品質偵測等。不只如此，也可以先用車內硬體預先處理資料，再上傳到雲端，節省通訊及雲端資源使用成本。</p> <p><span style="font-size:28px;"><strong>車聯網數據管理要從服務設計出發</strong></span></p> <p>車聯網軟體核心則是數據管理後臺。散布於城市各處的機車是寶貴的資料來源，不只能支援日常機車定位和租借，所蒐集的數據還可以用來開發新功能、優化使用者體驗、還能回頭來優化車隊營運。</p> <p>一個例子是區域車輛動態平衡機制。車輛分布失衡，會導致使用者在部分區域方圓數公里找不到車，其他區域卻有大量機車閒置的窘境。一方面造成使用者不便，另一方面也形成威摩科技大量隱性成本。</p> <p>為了促成區域間車輛平衡，威摩科技策略是分析機車位置和租借資訊，找出特定區域的低租借率時段，祭出優惠價格，以期提升車輛流動率。鄭捷表示，未來更考慮導入AI技術來強化區域車流分析和動態價格調整。</p> <p>雖然車聯網數據有許多用途，不過威摩科技後臺收錄的資料又多又雜，包括數千臺機車不斷更新的即時位置資料、高頻小額付款資料、各式車輛狀態資訊、動態行駛資料、空氣品質等環境資料等。資料儲存和計算成本，會成為與日俱增的負擔。這使威摩科技開始思考，如何優化數據管理方法，以節省儲存和雲端資源使用成本。</p> <p>鄭捷表示，威摩科技近年開始思考如何節省數據處理成本，以提供服務為目的，來思考不同數據種類是否有助於提供新服務或優化UX及營運。一方面，刪除不符目的既有資料，未來也會停止蒐集。另一方面，也思考能否縮減原始資料，只保留從資料中提取出的洞察資訊，來減少儲存數據量。</p> <p>近年，威摩科技數據分析團隊及數據工程團隊持續合作，探討不同類型資料的可能用途。例如，用車輛位置數據來計算車輛進出特定區域的數量及時段，或從機車震動數據來分析特定路段的馬路平整狀態。</p> <p><span style="font-size:28px;"><strong>商品化共享機車服務經驗，成為車聯網管理平臺</strong></span></p> <p>經營多年共享機車業務後，威摩科技成長戰略下一步是輸出服務模式和車聯網管理技術，去年推出了B2B車聯網解決方案，提供汽機車的車聯網硬體設備，也提供分析後臺，能追蹤車輛租借情況、位置、損壞狀態、不同型號汽車的顧客滿意度等資訊，已經獲得不少租賃業者的採用。</p> <p>從B2C租賃業者走到B2B平臺商角色，威摩科技一大挑戰是後端系統的調整，要從自家車聯網平臺，轉變成支援多家業者的共用平臺。例如，車聯網資料架構就得重新設計，來支援多種車款租賃業務，從單一輕型機車，轉而支援四輪車、電動車、汽柴油車等更多複雜車款，甚至還要提供多租戶的不同權限控管。</p> <p>為了改動資料架構、支援後續對外數據服務，他們擴編了數據團隊，並研究不同車款租賃業務的商業模式和營運流程，以了解其他業者所需的數據種類及分析方向。</p> <p>傳統汽機車租賃業者如何用車聯網數據驅動業務？鄭捷從自家車聯網管理經驗提出建議。首先是車輛交付時可以使用科技達成，不只使用者不用前往固定據點，業者也能省下服務人力，且服務規模及範圍都能大幅拓展。</p> <p>再來是車款表現分析，可以綜合不同車款的使用頻率、顧客滿意度、旅途長短、耗損情況，來觀察車隊中表現最佳的車款，作為車隊擴張時採購參考。</p> <p>第三是防盜。能即時管理、追蹤所有車輛，意味著業者在車輛位置或狀態異常時能更快反應，且能保留完整電子記錄供事後偵查使用。</p> <p>威摩科技下一步要將這套車聯網系統開放，支援更多第三方IoT車載裝置，集中到單一平臺管理既有車聯網數據。鄭捷表示，任何物聯網最重要的考量都是資安，當平臺開放第三方裝置，威摩科技對資安的掌握度就會受到衝擊，因此下一階段，最大挑戰是更加複雜的資安管理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>威摩科技技術長鄭捷</strong></p> <p>學歷：南加大電機工程學系</p> <p>經歷：1997年創立捷辰科技，產品銷售對象包括國內外大廠，1999年起擔任捷辰科技董事長至今，2015年10月參與創立威摩科技股份有限公司，擔任技術長至今。運用網路通訊及車輛改裝產業經驗，主導共享機車服務及車聯網平臺的軟硬體開發</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>威摩科技</strong></p> <p>地址：臺北市松山區南京東路3段303巷3弄8號2樓之1</p> <p>成立時間：2015年10月</p> <p>主要業務：共享智慧機車即時租借服務</p> <p>員工數：200人</p> <p>董事長：吳東明</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2015年：威摩科技成立</p> <p>2015年4月：第一版共享機車原形與系統完成</p> <p>2015年6月：研發成功/導入生產</p> <p>2015年10月：車聯網服務上線</p> <p>2020年5月：攜手臺灣大哥大打造移動式空品預測平臺</p> <p>2022年3月：B2B車聯網平臺RenTour正式上線</p> <p>2022年5月：導入Google ARCore Geospatial API技術，優化機車定位</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1146-cto-960.jpg" width="960" height="420" alt="" title="威摩科技技術長鄭捷　（攝影／洪政偉）" /></div></div></div>
2023/9/8 15:50作者郭又華https://www.ithome.com.tw/people/158652
微軟承諾將替Copilot商業客戶承擔侵權風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/06/08/announcing-microsofts-ai-customer-commitments/" target="_blank">繼於今年6月發表對AI客戶的承諾之後</a>，<a href="https://blogs.microsoft.com/on-the-issues/2023/09/07/copilot-copyright-commitment-ai-legal-concerns/" target="_blank">微軟本周宣布</a>，將替Copilot商業客戶承擔侵權風險。</p> <p>新興的AI技術帶來了機會與創新，但也同時帶來許多有關道德及法律上的挑戰，為了推動AI服務，微軟在今年6月祭出了三大承諾，包括將分享如何負責任地開發及部署AI技術；建立一個AI保障計畫，以協助客戶確認於微軟平臺上所部署的AI應用，符合負責任AI的法律及監管要求；以及於全球設立專門的AI團隊，協助客戶與合作夥伴導入負責任的AI系統。</p> <p>而本周的宣布則是上述承諾的延伸，<a href="https://www.ithome.com.tw/news/154076" target="_blank">特別是在其中一項Copilot服務GitHub Copilot已經惹來官司</a>，並讓有意部署的客戶因此而卻步的時刻。</p> <p>微軟總裁Brad Smith及法務長Hossein Nowbar表示，當客戶詢問是否能使用微軟的各種Copilot服務及其所生成的結果，而不必擔心版權主張時，微軟給出的答案是肯定的，且若客戶因版權問題而受到質疑，微軟將替客戶承擔因此而產生的潛在法律風險。</p> <p>更具體地說，倘若有第三方控告一家微軟商業客戶，宣稱其使用微軟的Copilot服務或由Copilot所生成的結果侵權時，微軟將會捍衛客戶，也會支付因相關訴訟所衍生的任何不利判決或和解金額，但前提是客戶必須使用微軟內建於相關產品中的防護欄與內容過濾機制，也不得輸入沒有適當權限的內容至Copilot服務中。</p> <p>為了尊重版權，微軟已於各種Copilot服務中建置了防護欄，藉由過濾機制與其它技術來避免Copilot產生侵權內容，涵蓋分類器、中繼提示（Metaprompt）、內容過濾器、操作監控與濫用偵測，以排除那些可能侵犯第三方內容的成果。此一新的Copilot版權承諾要求客戶採用這些技術，以激勵每個人都能尊重版權問題。</p> <p>該版權承諾適用於付費版的商業Copilot服務與Bing Chat Enterprise，涵蓋Microsoft 365 Copilot與GitHub Copilot等。</p> </div></div></div>
2023/9/8 14:51作者陳曉莉https://www.ithome.com.tw/news/158651
瞄準企業生成式AI應用需求，Google揭露三大AI新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Next大會，是Google生成式AI的火力展示，更是對微軟Copilot戰略的反擊。</p> <p>今年5月，微軟站在ChatGPT趨勢浪潮，發表了自家的生成式AI戰略，以GPT系列基礎模型所打造的AI助手Copilot為核心，推出了整合到開發平臺GitHub、辦公室生產力套件Office 365和Windows作業系統的多種AI助手，更揭露了Copilot技術框架，來瞄準企業自行開發生成式AI應用的需求。</p> <p>Google雖然比為微軟早幾天發表辦公室套件Workspace的生成式AI助手，但很快就被ChatGPT和Copilot的光環蓋過了聲浪。5月Build大會所揭露的這個Copilot技術框架，更讓微軟成了生成式AI的技術指標廠商。</p> <p>直到了8月，Google終於在Next大會上回擊，甚至扳回一城，搶先微軟推出多項正式版生成式AI助手產品，重新站上了生成式AI技術的競爭賽道前頭。</p> <p><span style="font-size:28px;"><strong>揭露AI建置、AI運用和AI生態圈三大戰略</strong></span></p> <p>Google Cloud執行長Thomas Kurian在Next大會開場演講中強調，Google將聚焦三大生成式AI戰略，包括了AI建置、AI運用和AI生態圈。</p> <p>一方面，Google要讓GCP雲端基礎架構和開發工具，都可以支援各種生成式AI的建置，其次要透過辦公室AI助手，讓人人都很容易運用AI，最後則要建立AI生態系，將各種第三方AI技術和廠商帶給企業。</p> <p>在AI建置戰略上， Google基礎架構聚焦對AI運算的支援，例如推出了GKE企業版，對GPU運算提供更好的調度支援，也發表了新版AI加速晶片產品Cloud TPU v5e，還計畫9月推出搭載Nvidia H100 GPU的A3 虛擬機器，並且發表了可以在企業本地環境或是邊緣環境中部署Vertex AI推論應用的Google 分散式雲端（Google Distributed Cloud）產品。</p> <p>另一方面，Google的AI開發平臺Vertex AI，更全面轉型為生成式AI開發平臺，以生成式AI應用開發為主打。</p> <p>在Google的Vertex AI產品架構中，以GCP各種AI運算硬體和執行實例資源為基礎，來建構一個涵蓋生成式AI應用開發周期的開發框架。</p> <p>這個開發框架中，可以進一步細分為4層，最底層是提供各種LLM模型的模型花園，包括Google自家PaLM最新版，以及多種開源LLM模型，例如臉書LLaMA 2。</p> <p>上一層則是AI技術平臺層，包括了各種外掛、連結器、Grounding校準、提示工程、調校、評估、過濾等不同AI應用開發階段的機制或工具，第三層則是NoCode開發套件層，主要包括搜尋和對話兩種主要生成式 AI需求的開發套件，可以快速在企業內部應用中整合出客製化的生成式應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1146-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>Google的AI開發平臺Vertex AI，更全面轉型為生成式AI開發平臺，以生成式AI應用開發為主打。底層是提供各種LLM模型的模型花園，上一層是AI技術平臺層，第三層是NoCode開發套件層，最上層是Google原有的AI解決方案。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p><span style="font-size:28px;"><strong>推出NoCode生成式AI開發工具和兩大解決套件</strong></span></p> <p>兩大套件背後的NoCode開發工具，也提供了外掛和整合機制，可以整合不同資料來源、第三方廠商提供的外掛，也能將即時資料或企業內部資料，整合到所開發的客製化生成式AI應用中。Google這次改變了產品技術優先的作法，改為強調業務需求（搜尋和對話），從企業需求角度來提供產品。</p> <p>不只改變技術的銷售發布形式，Google也首度以自家最擅長的搜尋產品，作為進軍企業市場的賣點，將下一代生成式搜尋引擎體驗，變成了可以快速整合的功能套件，就是要以企業搜尋需求作為切入點，將自家生成式AI技術和生態圈，帶進企業應用環境中。最上一層，Google也將原有的AI解決方案，例如客服中心AI方案、文件AI方案等，都整合到了這個Vertex AI產品框架中。</p> <p>後發的Google生成式AI藍圖，顯然比微軟的生成式AI技術框架，更完整，也涵蓋了更貼近業務需求的AI解決方案。</p> <p>而在AI運用戰略上，Google則採取了多方並進的作法，以生成式AI助手Duet AI為品牌，推出了開發AI助手、辦公室生產力軟體的AI辦公助手，資料分析平臺的AI分析助手，以及支援Google Cloud的AI維運助手。</p> <p>辦公室AI助手最大特色是，Google以雲端硬碟作為互通基礎，讓Duet AI助手跨不同Workspace產品線的各類資料，來提供整合式的生成內容，例如可要求AI分析財務資料，Duet AI能自動彙整在Gmail信件、雲端文件、雲端試算表服務中的相關財務資訊，自動生成雲端簡報上的一頁財務分析簡報內容。</p> <p>另外，Google也將AI助手帶進GCP兩大資料平臺產品BigQuery和Cloud Spanner ，以Duet AI生成資料管理最通用的SQL語法，以及資料科學家最常用的Python語言，來簡化企業在兩大資料平臺上的分析或資料處理作業。</p> <p>雲端維運AI助手更是Google在AI運用戰略的關鍵。Duet AI可以整合到GCP雲端監控工具中，讓企業管理人員用自然語言方式來監控各項雲端資源狀態，例如CPU使用率、記憶體、網路流量、儲存使用狀況等。而SRE工程師也能要求Duet AI，協助檢測和處理各項雲端服務的問題和異常，甚至提供資源管理優化建議。或是用來分析和解讀各種日誌及事件，提供故障排除建議，分擔維運人員的工作。GCP提供的維運AI助手，正是微軟Copilot產品藍圖所不足的拼圖。</p> <p>不論是在生成式 AI的開發建置工具，或是多種場景的AI應用支援上，Google也同步揭露了整合第三方技術產品、資料平臺業者或是系統整合業者的串連機制或合作模式，來擴大AI生態圈的規模，提高對企業的吸引力，也彌補Google原有產品線的不足。</p> <p>如GitLab與GCP結盟，將Google程式碼生成技術整合到自家開發平臺，來提供DevSecOps不同開發階段的AI助手，像可以協助程式碼審查、撰寫註解、快速產生單元測試程式的AI助手。</p> <p>Thomas Kurian強調，生成式AI帶來了全新的上雲方式，這也是Google三大戰略想要實現的目標，從開發建置、不同場景的運用，以及AI生態圈的布局，來提供企業上雲實現轉型的新途徑。</p> <p><a href="https://www.ithome.com.tw/article/158649" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1146-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=S2OTnthT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/9/8 12:00作者王宏仁https://www.ithome.com.tw/news/158635
【GCP新AI戰略1】不只用生成式AI輔助維運，還能生成SQL查詢降低數據平臺門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年NEXT大會上，Google Cloud開始在雲端產品及服務中整合生成式AI能力，推出了名為Duet AI的生成式AI助理，不只運用在雲端基礎設施維運中，讓使用者可以用自然語言方式監控雲端資源，快速識別和解決異常，還提供故障排除的建議，減輕維運人員的負擔。此外，兩大核心資料產品BigQuery和Cloud Spanner開始提供Duet AI支援，能自動生成SQL查詢，進一步降低開發者與資料分析人員在兩大資料平臺的使用門檻。</p> <p>Duet AI是基於Google的LLM（大型自然語言模型）所開發的生成式AI應用助理，採用了數十億行開源程式碼、安全相關數據及來自Google Cloud檔案文件和程式碼樣本進行模型微調所開發出的Duet AI應用，可以應用在不同雲端產品和服務中。例如用於程式撰寫的Duet AI，就是透過對預訓練的Codey模型微調而得來，此外，還有專用於維運的Duet AI，以及能夠回答產品問題的Duet AI等。</p> <p>Google Cloud雲端應用生態系統總經理Michael Weingartner表示，在Google Cloud服務中開始提供Duet AI，目的是要建構以使用者為中心的雲端生成式AI體驗，協助用戶在雲端服務和產品使用過程中給予有價值的建議和指導，同時強調負責任AI的重要性。</p> <p>在5月Google I/O大會上，Google Cloud首次介紹了雲端服務使用的生成式AI助理Duet AI，並展示其在程式碼撰寫和問答對話的優異表現，不過初期僅開放特定用戶測試，然後幾個月後在Next 大會上，Google Cloud宣布推出了預覽版的Duet A，並計畫在今年稍後推出正式版，同時還將Duet AI整合到更多雲端服務中，可以提供應用開發、雲端維運、數據分析、無程式碼開發及資安相關輔助等功能。</p> <p><strong><span style="font-size:28px;">主打IT維運輔助，能利用生成式AI提供故障排除的建議</span></strong></p> <p>Google Cloud在雲端服務中新增的Duet AI助理功能，又以IT維運輔助為一大重點，簡化雲端礎設施維運和管理。Google Cloud將Duet AI功能開始整合到其雲端監控工具中，除了讓使用者可以用自然語言方式監控雲端資源狀態，包括CPU使用率、記憶體、網路流量、儲存使用狀況等，還能將使用者提問轉變成能蒐集時序資料的PromQL數據查詢語言，快速呈現一段時間內的CPU使用率變化等。</p> <p>不僅如此，使用者還能根據Duet AI提供的建議執行Cloud Shell雲端命令列介面中的操作或命令，方便管理GCP專案和資源。SRE工程師和維運人員也能使用Duet AI協助檢測雲端服務使用和性能，幫助他們快速識別和解決異常問題，從而優化資源管理並確保服務的穩定性和效能。</p> <p>除了雲端服務監控和資源管理之外，Duet AI在日誌管理上能發揮重要作用。例如Duet AI可以蒐集和分析各種IT維運環境內的日誌及事件，並提供相關摘要和解釋，協助維運人員更快理解日誌項目，並對問題內容進行分析。Duet AI還可進一步提供故障排除的建議，協助人員修復錯誤報告中列出的問題，有助於減輕其工作負擔。</p> <p>在資安方面，Google Cloud強調Duet AI可以整合如Mandiant等資安產品提供威脅偵測、網路安全、資料安全以及數位資料主權等多方面的支援能力。</p> <p>Duet AI還具備有GCP產品問答的能力，例如使用者可以通過詢問類似「什麼是…？」或「我該如何…？」的問題，Duet AI就可以根據提問從指定產品文檔中找出答案，然後回覆使用者，甚至處理更複雜的提問，例如「某類產品的最佳實踐為何？」。不過目前僅支援英語提問。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E9%9B%B2%E7%AB%AF%E6%9C%8D%E5%8B%99AI-600-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>Google Cloud在雲端服務中新增的Duet AI助理功能，又以IT維運輔助為一大重點，簡化雲端礎設施維運和管理。例如可以透過Duet AI蒐集和分析各種IT維運環境內的日誌及事件，並提供相關摘要和解釋，還可提供故障排除的建議，加快解決問題，有助於減輕維運人員工作負擔。</strong></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Google Cloud</span></span></p> <p><span style="font-size:28px;"><strong>兩大資料平臺開始支援Duet AI，並先運用在資料存取使用</strong></span></p> <p>除了在IT維運管理提供Duet AI支援能力，Google Cloud兩大核心資料產品BigQuery和Cloud Spanner開始整合生成式AI功能。</p> <p>舉例來說，SQL是資料庫中常用的查詢語言，在BigQuery資料倉儲服務中開始能支援生成式AI的SQL查詢功能。使用者只需在該資料倉儲的查詢編輯器中輸入想要執行的查詢操作，就能進行SQL查詢的生成、自動完成和查詢解釋等，不只提高數據分析的效率，數據團隊能更專注在分析和結果上，不必花時間處理查詢和程式撰寫，還能進一步降低BigQuery的使用門檻。</p> <p>不僅如此，資料分析師還能使用Duet AI生成Python腳本程式，以便轉為SQL查詢的指令，存取資料倉儲的資料。</p> <p>在BigQuery服務中的Duet AI還具有輔助分析功能，例如在BigQuery Studio服務中協助完成顧客分類，還能支援生成向量嵌入，以便在BigQuery服務中建立語義搜索和推薦查詢。</p> <p>又如在Cloud Spanner雲端關聯式資料庫中，透過Duet AI，開發人員能以自然語言提問快速生成SQL查詢，同時協助完成查詢編輯器中的SQL變數宣告等。除了Cloud Spanner服務，之後其他兩大雲端資料庫服務AlloyDB和Cloud SQL，將能使用Duet AI存取資料。</p> <p>Google Cloud還將Duet AI整合到雲端BI平臺Looker中，讓企業用戶可以透過對話式資料分析快速生成BI報告、儀表板等分析結果，還能根據報告內容產生簡報草稿、摘要，以及用自然語言來完成表格公式計算並產出視覺圖表等。未來在Looker中的Duet AI還將支援notebook的數據分析功能。</p> <p><span style="font-size:28px;"><strong>未來將加強程式碼檢索和偵錯的支援能力</strong></span></p> <p>在應用程式開發上，Google Cloud提供了程式撰寫輔助的Duet AI，現在已經能應用在多種雲端開發工具中，協助開發人員進行程式碼生成、除錯及測試。這些雲端應用開發工具包括了雲端IDE開發環境Cloud Workstations，還有整合VS Code以及IntelliJ功能的IDE外掛程式Cloud Code，以及線上程式編輯環境Colab Enterprise等，並且可以支援多達22種程式語言的生成，包括Java、PHP、R、SQL、Python、YAML等主流語言。Google Cloud表示，程式碼檢索和偵錯將是未來加強重點。</p> <p>另外，針對無程式碼開發平臺AppSheet，Google Cloud進一步結合Duet AI功能，只需在生成式AI對話框中描述應用開發需求，甚至不需要自己拖拉操作，就能快速建立一支應用程式，更進一步降低開發門檻。未來還將提供應用迭代和優化的建議。</p> <p><a href="https://www.ithome.com.tw/article/158649" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1146-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=S2OTnthT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/9/8 12:00作者余至浩https://www.ithome.com.tw/news/158638
【GCP新AI戰略2】Vertex AI主打生成AI開發，企業AP整合生成式搜尋不用寫程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI紅遍天，如何快速打造、落地生成式AI應用，成為各企業首要任務。Google瞄準這個需求，在8月底的年度Next大會上喊出Build AI和Use AI優先，其中的Build AI，就是指機器學習開發部署平臺Vertex AI大更新。因為，他們正式推出無程式碼生成式AI開發套件Vertex AI Search和Vertex AI Conversation，就算使用者沒有專業知識，也能快速用自家資料打造內部專用、Google生成式搜尋等級的搜尋工具和對話機器人。</p> <p><span style="font-size:28px;"><strong>不用寫程式就能打造Google等級生成式工具</strong></span></p> <p>Vertex AI Search和Conversation並非新面孔。早在今年初，Google就大力發展生成式AI開發產品，在3月推出生成式App開發工具Gen App Builder預覽版，其中的企業搜尋和對話AI套件，就是Vertex AI Search和Conversation的前身。</p> <p>這款Gen App Builder主打無程式碼，使用者只要輸入資料、簡單設定就能打造生成式工具。而且，這款生成式App開發工具使用多款強大的基礎模型，並提供一個簡單的調度層，來結合底層基礎模型、企業資料、資訊檢索技術和對話AI工具，簡化系統溝通。</p> <p>現在，Google將Gen App Builder整合至Vertex AI平臺，發展為Vertex AI Search和Conversation套件，保留了Gen App Builder的特點，也新添不少功能。比如，基礎模型納入了PaLM、Imagen和其他開源模型，可將開發時間縮短為幾分鐘或數小時。而且，套件整合了資訊檢索和基礎模型能力，打造出來的App可更準確解讀問題意圖、找到更相關的資料。此外也支援多模態資料，如文字、圖片和影片，同時，這2款套件也允許開發者將基礎模型產出的答案，與企業資料結合，產出更貼近的回答。</p> <p>以Vertex AI Search為例，企業還能根據使用情境，將大型語言模型結合向量搜尋功能，以向量相似性比對，找出更相近的資料，特別適合語義搜尋、個人化推薦、多模態搜尋等場景。Google形容，用這個套件打造出的生成式工具，就有如自家在今年I/O大會上展示的生成式搜尋體驗（GSE）一樣，將Google等級的搜尋工具在企業內部重現。Google更預告，接下來會推出企業資料存取控制功能，以及相關性評分、摘要和引用出處等功能，來讓使用者對產出的回答更有信心。</p> <p>Vertex AI Conversation則能用來打造擬真自然的文字或語音Chatbot，開發者點擊幾下，就能用網站或文件打造出對話機器人。該套件還能串接第三方服務，如採購或供應系統，讓使用者在對話介面中，直接進行預約、採購等交易。同時，企業也能用網站資料、文件、問答集、Email或對話記錄等資料來微調Chatbot，還能要求後臺產出使用者與Chatbot的互動摘要等數據，來彈性切換AI和真人服務。</p> <p><span style="font-size:28px;"><strong>基礎模型大更新，可消化更長文件</strong></span></p> <p>Vertex AI的更新不只如此。不只針對無ML經驗使用者，提供無程式碼開發工具，Vertex AI對具ML專業知識的開發者，原本就有套完整的工具，涵蓋模型選擇、微調、測試評估、模型維運和隱私保護等開發維運環節，這些工具這次也有大幅更新。</p> <p>首先，Vertex供選用的基礎模型更多了。他們在模型花園（Model Garden）中，新添Google自家PaLM系列語言模型（包含PaLM 2），還有圖片生成模型Imagen、程式碼生成模型Codey，以及產業專用模型如Sec-PaLM、Med-PaLM，並支援第三方模型和開源模型，如Code Llama、Llama 2和Falcon等。特別的是，他們還針對Llama 2添加細緻的微調功能，如調適器（Adapter）和人類回饋強化學習（RLHF）。</p> <p>其中，PaLM模型可消化的Token數量大幅增加，從原本的8千個新增至3萬2千個，等於可讀取和產出文章更長。再來，該系列模型還新增了38種語言。這些功能已正式推出，至於對其他100多種語言的支援功能則為預覽版。</p> <p>就圖片生成模型Imagen而言，這次更新除了讓生成品質更好，還有預覽版的微調功能Style Tuning，企業可用來規範生成圖片的樣式，確保圖片符合企業品牌原則。此外，Vertex AI還納入了實驗性質的浮水印功能SynthID，能針對Imagen產出的圖片嵌入肉眼難見的浮水印。而Codey的更新包括了程式碼生成品質提高25%，還新增2大預覽版功能：Streaming API和Text-to-SQL。前者專門用於程式碼生成和程式碼問答，能串流新資料與模型回答，提供更即時的答案，後者則能將自然語言自動轉為SQL，降低資料庫查詢門檻。</p> <p>這些新添的基礎模型，特別是Google用來驅動自家生成式助理Bard的PaLM 2，讓企業有機會使用與Google同等級的強大模型，來打造內部生成式搜尋和對話工具。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Vertex%20AI-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>Vertex AI是Google建置的機器學習開發部署平臺，他們在8月底的雲端大會上宣布正式推出Vertex AI Search和Conversation套件，使用者不需寫程式，用自家資料和簡單設定就能打造Google級生成式搜尋和對話工具。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／Google）</span></span></p> <p><span style="font-size:28px;"><strong>微調基礎模型、確保模型回答有憑據也有解</strong></span></p> <p>再來，Vertex AI也提供新的微調工具，來優化基礎模型、產出更符合使用情境的答案。基礎模型微調有4種方法，一是不需ML專業技能的提示設計，由使用者直接調整問法，不需程式開發。接著是調適器微調、RLHF和全微調，這些方法按難度遞增。</p> <p>就調適器微調來說，Vertex AI正式新添文字與圖像的調適器（Adapter），對話與程式碼專用的調適器則是預覽版。RLHF也是平臺新增的微調功能，可透過人類回饋來優化模型，但目前屬於預覽版。至於更複雜的全微調，需要專家調整模型權重，適合資料量龐大、有開發人力的企業使用者，這次Vertex AI允許使用者對開源模型（如T5、BERT等）全微調。</p> <p>為確保模型講話有憑有據，Vertex AI這次也新添2大預覽版功能，包括用來規範模型回答的Grounding，以及可串接外部資料庫或服務的Extensions。其中，Grounding可在模型產出初步回答後，根據使用者提供的企業資料，進一步整合模型答案，最終給出符合企業規範或文化的回答。Extensions則讓生成式App以API串接資料庫或服務，來即時整合現實世界數據和反應。</p> <p><span style="font-size:28px;"><strong>模型維運和隱私工具逐步到位</strong></span></p> <p>生成式App如何長期穩定發揮效用，還有賴於模型維運（MLOps）。Vertex AI這次正式發布2大模型評估工具自動指標（Automatic Metrics）和自動挑選器（Automatic SxS），前者可讓使用者選擇指標，來衡量模型表現是否達標，後者則是快速選出表現最好的模型，來讓開發者進行人工評測。</p> <p>一如其他公雲巨頭，Google在這次大會也特別強調，使用者在Vertex AI平臺上產生的資料，都不會被Google收集和用來訓練模型。而且，平臺還提供更完善的隱私保障功能，如資料透明、VPC安全控制等，並提供一系列負責任AI工具，如內容監控API、重複引用檢測、偏見評估工具和安全過濾器等，來確保生成內容。這次更新，凸顯了Google對生成式AI開發的產品布局。</p> <p><a href="https://www.ithome.com.tw/article/158649" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1146-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=S2OTnthT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/9/8 12:00作者王若樸https://www.ithome.com.tw/news/158639
【GCP新AI戰略3】AI助手能跨Workspace產品生成內容，更開放第三方工具串聯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月29日的NEXT大會上，Google宣布正式推出雲端辦公室服務Workspace的AI助理Duet AI。類似微軟Copilot，Duet AI可用於Google各種辦公服務，如Google Doc、Gmail、Google Meet和Google Slides中，自動彙整、優化內容，甚至是在簡報製作中生成圖片。</p> <p>在5月時，2大科技巨頭Google和微軟先後揭露了旗下辦公室產品的AI助手測試版，但Google早一步先推出正式版本，在生成式AI競賽中扳回一成。不過，Duet AI for Workspace目前只支援英文，還不支援中文。</p> <p><span style="font-size:28px;"><strong>Google辦公工具生成式AI助理，可跨工具生成內容</strong></span></p> <p>今年5月，Google先在I/O大會上，揭露了Duet AI for Workspace多項重要功能，包括能Gmail自動生成或優化信件內容，也能在Google Docs中自動生成、優化和校對內容，還可以在Google Slides中生成圖片，以及在Google Sheets中自動產生表格，甚至是在Google Meet中生成視訊背景。</p> <p>到了8月NEXT大會，Duet AI for Workspace正式上線後，不論在Google Docs、Google Sheets、Google Slides、Gmail、 Meet和Chat產品中都增加了新功能。</p> <p>其中一項關鍵特色是，Duet AI辦公助手不只能在各個辦公工具中自動寫作或彙整內容，更能串聯各工具的資料，完成整合性的工作，比如，用戶可要求Duet AI彙整特定主題的信件、文件、統計表格和簡報內容，並生成出一份簡報或文件的摘要。例如，只需對Duet AI下達「摘要第三季財務績效」的指令，Duet AI便會根據用戶Google Drive中和第三季財務相關的信件、文件、簡報和統計表格彙整成摘要，用戶也可接著對Duet AI下「以摘要內容製作第三季財務績效簡報」的指示，Duet AI便會依據先前處理的內容，自動生成Google Slides檔案，用戶也可以進一步到簡報中插入根據指定資料生成的簡報頁或照片。</p> <p><span style="font-size:28px;"><strong>視訊時即時記錄、摘要，聊天時也能摘要資訊和檔案</strong></span></p> <p>除了文書處理輔助之外，Google這次發布中，Meet新功能也是一大亮點。除了原有的生成視訊背景，新版增加了專業錄音室等級的影像、燈光及聲音效果，還能辨識與會者的臉孔提供個別視窗。Duet AI可以自動翻譯18種語言，當會議出現另一種新語言，Duet AI能自動偵測並即時顯示該語言的翻譯字幕。不過，Meet的Duet AI即時翻譯功能屬於進階功能，未來僅提供給企業版用戶。</p> <p>Duet AI也可以在Meet上進行會議記錄、顯示行動事項和擷取影音片段，並在會議結束後，自動發送摘要給所有與會者。若用戶需要了解會議討論進度，Duet AI也可以在會議中提供即時摘要。此外，Duet AI也可以代替無法出席的用戶傳送報告內容，並在會後傳送會議紀錄給該用戶。</p> <p>不只Meet，Google在Chat中也引入Duet AI，與用戶對談。Duet AI可根據用戶信件內容，以及Google Drive上的檔案資料，來回覆用戶提出的問題，或是摘要曾在群組分享的檔案，也可以協助用戶尋找錯過的對話紀錄。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-workspace%20AI-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google%20Cloud.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>Google在NEXT大會上宣布Google Workspace AI助理Duet AI正式上線，不只能在各個工具中進行寫作或彙整，更能彙整Google Drive中的信件、文件、表格和簡報，生成簡報或文件摘要。</strong></span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google Cloud</span></span></p> <p><span style="font-size:28px;"><strong>強化第三方軟體串聯，推出Chat REST API和Meet REST API</strong></span></p> <p>除了AI運用，建立生態圈也是Google這次Next大會的另一個戰略方向。因此，第三方應用整合更是Duet AI for Workspace正式版的主打重點之一。Google先公布了29間合作技術商，包括虛擬化大廠VMware、介面設計工具Figma、數據分析軟體Tableau等業者的產品，也會開始整合到Workspace。</p> <p>此外，Google還推出多項辦公室產品的API或SDK，方便企業整合到自家應用系統中。Google已經推出了Chat REST API正式版，例如可將事件管理平臺工具匯入Chat，讓用戶進行一站式的資訊接收。像協作互動解決方案供應商Mio，就利用這個API將Chat整合到Slack及Teams等兩大協作平臺，讓使用者跨這兩個平臺來對話。</p> <p>除了Chat，Google還釋出了Meet REST API、Meet附加套件SDK和嵌入式套件SDK預覽版。企業可用程式呼叫Meet REST API來舉辦會議或下載會議紀錄，也能透過Meet附加套件，讓員工在視訊會議時能在相同視窗內使用其他工作軟體。或是利用Meet嵌入式套件將Meet直接嵌入到企業內部應用中。</p> <p>而在Google Docs中，也開始支援第三方智慧型方塊，但目前只限合作廠商提供。未來，Google Docs也會擴充選單功能，讓用戶直接在Google Docs中，藉由選單功能建立加入第三方軟體的連結或跨平臺編輯。而Google Calendar則新增了系統自動判別工作位置，來自動更新時區。</p> <p>此外，Google也針對開發人員推出新產品。Google表示，未來將推出API Explorer for Google Workspace，開放開發人員在沙盒環境中試用已釋出的Workspace產品API。目前，API Explorer for Google Workspace正在進行測試，開放用戶申請加入測試計畫。</p> <p><span style="font-size:28px;"><strong>雲端辦公室AI助手也支援零信任和數位主權控管</strong></span></p> <p>為了鎖定企業市場，Google也再次強調，未經企業用戶允許時，Google不會將用戶資料用於訓練模型，而這款辦公室AI助手也提供了Google多項零信任控制機制、數位主權控管工具，來強化資料隱私與安全性。</p> <p>例如，Google Drive將加入AI資料分類標籤及情境式資料外洩防護（DLP）。管理員可根據安全政策，例如情境感知存取權（context-aware access，CAA），設定AI模型自動對Drive檔案中的資料加標籤及分類。甚至可以依據裝置所在地點或安全狀態，決定員工能否分享敏感資料。AI還可以按企業安全政策對資料進行分類、標籤，並實行資料外洩防護及資料存取管制。AI資料分類及標籤功能目前是開放預覽版，情境式DLP功能則預計年底前開放預覽。</p> <p>Google Workspace也進一步增強用戶端加密（CSE），會先在用戶端瀏覽器中加密資料後，才對外傳輸資料，或儲存到 Google 雲端服務中。由於只有發送者擁有加密金鑰，不論伺服器端或服務供應商都無法存取所加密的資料。此外，Google將與技術商合作，讓用戶可以選擇加密金鑰的儲存位置，以符合法規。年底前，Workspace會以預覽版本，開放企業選擇資料處理的地點（歐盟或美國），以及Workspace資料備份儲存的地點。</p> <p>目前Google Calendar、Gmail和Meet行動版App都已正式支援CSE。 Google 表示，將陸續在更多功能或服務中加入CSE，例如用戶在Workspace中讀取和編輯Excel檔案時也能支援CSE功能，今年底前將推出3項CSE功能預覽版，包括特定組織單位預設啟用CSE、及Google Docs評論、外部用戶以Guest身分加入Meet通話時支援CSE。</p> <p>正式版Duet AI for Workspace目前可支援所有Workspace企業方案，費用為每人每月30美元。</p> <p>在雲端辦公室的AI競賽中，隨著Duet AI for Workspace正式推出，Google可說是在這場競爭中搶先了微軟一步。</p> <p><a href="https://www.ithome.com.tw/article/158649" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1146-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=S2OTnthT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/9/8 12:00作者李昀璇https://www.ithome.com.tw/news/158645
小心，生成式AI技術綁定
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月，微軟在Build開發大會上，公布了新的AI戰略，微軟執行長Satya Nadella強調：「要讓所有開發者和企業能夠為他們的應用提供Copilot的能力。」所以，要在Azure環境上提供，各種企業打造Copilot所需要的基礎設施，包括了AI基礎架構、基礎模型、AI調度管理。</p> <p>採用了與ChatGPT相同的GPT模型所打造的Copilot，從GitHub程式開發AI助手，後來變成了多功能的生成式AI助手，還變成了Office 365的辦公室AI助手，也將成為Windows作業系統中的桌面AI秘書。ChatGPT掀起了全球企業想要發展生成式AI應用的浪潮，微軟想要讓Copilot變成企業自家應用或各種服務場景中的AI助手，也發表了AI Copilot技術開發框架。</p> <p>這個架構分為三層，底層是AI基礎架構與基礎模型，中間是AI調度管理層，包含外掛執行、資料Grounding、提示機制與回應過濾機制，最上層是App層，包括微軟Copilot和各種第三方外掛，透過外掛機制整合第三方，來建立生成式AI生態圈。</p> <p>科技巨頭Google則在8月終於公布了他們的生成式AI產品藍圖，除了AI開發框架Vertex AI，還擴大延伸到GCP雲端基礎架構和辦公室生產力服務Workspace，都開始整合生成式AI，在辦公室工作場景和雲端維運場景中，都開始提供新的AI助手Duet AI。甚至Google搶先微軟一步，在這次Next大會上，正式推出了Workspace的AI助手，微軟Copilot遲遲還在測試版階段。</p> <p>Google的Vertex AI架構，在GCP底層則推出支援AI運算的新硬體和執行實例，中間則是 AI開發框架，包括了提供各種LLM模型的模型花園，以及提供外掛、Grounding、調校、評估等開發機制的AI平臺、AI解決方案，以及最上層的Duet AI服務。</p> <p>後發的Google生成式AI藍圖，顯然比微軟的生成式AI技術框架，更完整，也涵蓋了更貼近業務需求的AI解決方案。</p> <p>但是，不管是微軟或是Google的生成式AI藍圖，都有一個最根本的元素，就是兩家各自所用的基礎大型語言模型截然不同，微軟是GPT系列基礎模型，而Google則是PaLM系列模型，這是兩家各自的強項，也是兩家產品藍圖中最重要的AI大腦，所有藍圖中的AI開發工具、AI應用、AI生態圈機制，都以兩家各自的AI大腦為核心來發展。</p> <p>對企業來說，有競爭才會有選擇，但是，兩家業者沒說的是，一但企業選定了任何一家的生成式AI開發框架，也就等於將企業自家生成式AI的發展，全都押寶到其中一家的AI技術和生態圈中。</p> <p>因為，GPT基礎模型和PaLM基礎模型是兩套截然不同的LLM，技術上無法互通，用GPT-4建立的各種生成式AI應用，無法快速變成PaLM 2模型的生成式AI應用，要更換基礎模型，就像是更換AI大腦一樣，是超高難度的換腦手術。</p> <p>雖然資料可以互通，以容器或虛擬化技術打造的基礎架構執行環境可以跨雲移動，但是，選定了任何一家AI大腦所開發的企業應用後，要換成另外一家，幾乎得重新開發另一隻新的生成式AI應用。</p> <p>這是生成式AI競賽中，全新的AI技術綁定，也是更深層的廠商綁定。雖然也有開放、開源的第三方基礎模型可用，例如臉書的LLaMA系列開始崛起，但是兩大巨頭對這些開源基礎模型的支援，還遠不如對自家主力模型的整合度。企業如何在三者之間選擇，是一個技術決策難題。</p> <p>AI技術綁定的風險和代價，將會成為CIO發展生成式AI策略，不可忽視的潛在課題。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/%E9%A2%A8%E9%9A%AA">風險</a></div><div class="field-item even"><a href="/tags/cio">CIO</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/gpt">GPT</a></div><div class="field-item odd"><a href="/tags/copilot">Copilot</a></div><div class="field-item even"><a href="/tags/vertex-ai">Vertex AI</a></div><div class="field-item odd"><a href="/tags/google">google</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/palm">Palm</a></div></div></div>
2023/9/8 12:00作者王宏仁https://www.ithome.com.tw/voice/158646
Google雲端AI大反擊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1146-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=S2OTnthT" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT掀起了全球生成式AI應用浪潮，看準企業打造客製化生成式AI的需求，微軟早在今年5月就公布了以Copilot為核心的Azure技術框架，Google不甘示弱，在8月Next大會中揭露了GCP新方向，以三大AI戰略，全力搶攻生成式AI應用開發需求，甚至搶先微軟一步，正式推出辦公室生成式AI助手。</p> </div></div></div>
2023/9/8 12:00未署名https://www.ithome.com.tw/article/158649
Mozilla將於Firefox 118修復Vue.js執行效能問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hacks.mozilla.org/2023/09/faster-vue-js-execution-in-firefox/">Mozilla修復Firefox執行Vue.js程式所存在的效能問題</a>，官方提到，他們發現當程式從Vue 2更新到Vue 3時，在Firefox上執行會出現一些效能問題。Firefox已經對此<a href="https://bugzilla.mozilla.org/show_bug.cgi?id=1824051">調整完畢</a>，會在9月底發布的118版本解決這項問題。</p> <p>Vue.js是一個JavaScript框架，可用於建置使用者介面和單頁式應用程式。而造成Firefox執行Vue.js出現效能問題的原因，在於Vue 2與Vue 3在攔截和監聽物件屬性時的讀寫操作不同，從ECMAScript 5版本開始，JavaScript提供了getter和setter這兩個功能，讓開發者可以在讀取和設置物件屬性時自定義操作，也就是開發者在存取物件屬性時，能夠插入自己的邏輯操作。</p> <p>不過到了ECMAScript 6（ES2015），這個版本的JavaScript加入了Proxy物件，供開發者可以自定義像是查詢、賦值和列舉等基本操作的行為。因為瀏覽器支援限制，Vue 2主要使用getter和setter來實作回應式系統，但到了Vue 3便開始用Proxy來處理回應式物件，因為Proxy提供更高精細度的控制與效能優勢，而getter和setter則被用於處理ref，這項新功能在較新版本的瀏覽器才提供支援。</p> <p>而Vue 2與Vue 3的物件操作行為轉換，官方從Speedometer 3上發現Firefox存在效能問題。Speedometer是一款用於測試網頁瀏覽器效能的基準測試工具，可以透過模擬用戶在各種工作負載上的互動，測量網頁應用程式的回應性。而Speedometer 3則是由Apple、Google和Mozilla共同合作開發。</p> <p>Mozilla提到，由於Proxy的設計非常通用，因此很難進行最佳化，在Proxy剛加入時，處理Proxy的效能並非考量重點，最初的實作主要還是考慮正確性。而在Speedometer 3測試中發現，部分Proxy被大量的使用，因而成為效能關鍵，官方決定在JIT時最佳化這些Proxy，以加速Proxy的處理效率，而這將能夠使Vue.js的回應性變得更好，同時其他相關工作負載，預期也會有效能上的提升。</p> </div></div></div>
2023/9/8 08:31作者李建興https://www.ithome.com.tw/news/158643
Influxdata推出大幅改進效率和成本的分散式時序資料庫InfluxDB Clustered
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Influxdata以開源時序型資料庫InfluxDB 3.0為基礎，開發分散式自託管儲存解決方案<a href="https://www.influxdata.com/blog/announcing-influxdb-clustered/">InfluxDB Clustered</a>，用於取代原本的InfluxDB Enterprise。官方提到，InfluxDB Clustered的查詢效能為之前版本的45倍，儲存成本則可降低90％。</p> <p>InfluxDB資料庫主要儲存時序性資料，被廣泛用於監控、物聯網裝置和即時分析等應用程式上，而InfluxDB 3.0是以Rust開發，並且建構在DataFusion、Parquet與Flight等Apache Arrow生態系軟體之上，因此與許多相關開源解決方案保有極高的互通性。</p> <p>InfluxDB Clustered建構於Kubernetes容器技術之上，因此具有極高的靈活性和可擴展性，用戶可以隨意縮放InfluxDB Clustered叢集。InfluxDB Clustered能夠實現高速且大容量的分析，並在不影響效能的情況下處理高基數（High Cardinality）資料，也就是更快速地處理許多不重複數值，像是身分證字號或是手機號碼這類獨一無二的資料。官方解釋，因為InfluxDB Clustered的儲存與運算分離，因此用戶可以擴展需要的資料庫元件，以滿足特定資料應用的需求。</p> <p>特別的是，InfluxDB Clustered擁有多個儲存層，擷取的資料會先進到熱儲存層，不需要等待這些最新資料匯集成批次，或是進行其他類型的預處理，就可被用戶立即查詢，官方表示，這樣的方法使查詢速度可達過去的45倍。結合熱儲存層與處理基數資料的能力，用戶便可以即時對大型資料集進行分析，而這過程皆不會降低資料庫效能。</p> <p>冷儲存層則建構在較便宜的雲端物件儲存上，InfluxDB會將歷史資料從熱儲存層移動到冷儲存層進行儲存，而這便是InfluxDB Clustered能夠降低儲存成本90％的原因之一。另一個原因在於InfluxDB 3.0能夠更好地壓縮資料。</p> <p>InfluxDB 3.0改採用欄式儲存方式，這代表每一欄的相似資料可以被獨立壓縮，進而達到更大的壓縮率。再來是InfluxDB使用Apache Parquet資料儲存格式，Parquet適合處理欄式資料，能夠運用字典編碼和長度編碼，更有效地壓縮重複值。更便宜的物件儲存和資料壓縮率，也就能夠讓用戶付出相同的成本儲存更多資料。</p> <p>在安全性上，InfluxDB預設對傳輸資料進行加密，官方也提到，他們將會加入專有網路、單點登入、稽核日誌和高可用性等功能。InfluxDB Clustered與InfluxDB Cloud Serverless、InfluxDB Cloud Dedicated雲端產品不同，InfluxDB Clustered是一個自託管的產品，儲存在其中的資料由企業完全控制，可以符合特定產業或是法規要求。</p> </div></div></div>
2023/9/8 08:34作者李建興https://www.ithome.com.tw/news/158644
微星即將釋出BIOS更新解決Windows BSOD問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.msi.com/news/detail/Updated-BIOS-fixes-Error-Message--UNSUPPORTED-PROCESSOR--caused-BSOD-on-MSI-s-Intel-700-and-600-Series-Motherboards-142277" target="_blank">微星周三宣布將於本周內釋出BIOS更新</a>，解決8月間導致部分Windows PC發生藍色死亡螢幕（BSOD）的問題。</p> <p>微軟於8月22日分別針對Windows 10及Windows 11，釋出KB5029331及KB5029351更新。<a href="https://www.ithome.com.tw/news/158435" target="_blank">部分用戶出現BSOD</a>，並顯示錯誤訊息「UNSUPPORTED_PROCESSOR」，迫使微軟緊急撤回這2個更新版。所有出現災情的PC都是使用微星主機板的機器，也促使微星展開調查。</p> <p>根據微星說明，發生BSOD的PC為搭載MSI Intel 700與600系列主機板的產品。經過微星和英特爾這幾周的調查，已經找出BSOD的起因是Intel混合架構（Hybrid Architecture）的韌體設定。研究人員並判定BSOD僅影響搭載英特爾13代Core i9的Windows 10 22H2及Windows 11 22H1、22H2版本。</p> <p>微星即將釋出的BIOS更新包含新的Intel CPU uCode，可解決「Unsupported_Processor」的問題。這些更新適用於Intel 13代及其未來的處理器產品。Intel 700及600系列BIOS更新本周可在微星官網下載。9月底微星將會提供所有BIOS版本的更新。<a href="https://www.msi.com/news/detail/Updated-BIOS-fixes-Error-Message--UNSUPPORTED-PROCESSOR--caused-BSOD-on-MSI-s-Intel-700-and-600-Series-Motherboards-142277" target="_blank">微星並已提供9款主機板BIOS更新的連結</a>。</p> </div></div></div>
2023/9/8 09:25作者林妍溱https://www.ithome.com.tw/news/158647
蘋果緊急更新macOS與iOS，以修補被用來植入Pegasus間諜程式的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201222" target="_blank">蘋果在周四（9/7）緊急更新</a>了macOS、iOS、iPadOS與watchOS，以修補已遭駭客用來植入Pegasus間諜程式的兩個零時差漏洞，相關漏洞是由加拿大的公民實驗室（Citizen Lab）甫於上周發現，<a href="https://citizenlab.ca/2023/09/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild/" target="_blank">亦於同一天公布了攻擊場景</a>。</p> <p>根據公民實驗室的說明，他們上周檢查了華盛頓特區一個擁有許多國際據點的公民社會組織（CSO）的員工裝置時，發現了一個不需使用者點擊的漏洞，已被用來遞送由NSO Group所開發的Pegasus間諜程式，該實驗室將相關的漏洞組合稱為BLASTPASS，得以在完全不需使用者互動的狀態下，入侵執行最新版iOS 16.6的iPhone。</p> <p>而駭客的攻擊手法則是透過iMessage，傳送了內含惡意圖像的PassKit附加檔案予受害者。PassKit為蘋果所設計的框架，可用來管理各種數位票券，已整合至蘋果的Wallet程式中。</p> <p>在蘋果所釋出的更新版作業系統中，<a href="https://support.apple.com/zh-tw/HT213906" target="_blank">macOS Ventura 13.5.2</a>修補了涉及ImageIO的CVE-2023-41064漏洞，<a href="https://support.apple.com/zh-tw/HT213907" target="_blank">watchOS 9.6.2</a>修補了涉及錢包（Wallet）的CVE-2023-41061漏洞，而<a href="https://support.apple.com/zh-tw/HT213905" target="_blank">iOS 16.6.1與iPadOS 16.6.1</a>則同時修補了上述兩個安全漏洞。</p> <p>其中，CVE-2023-41064為一緩衝區溢位漏洞，在處理惡意圖像時可能會導致任意程式執行，CVE-2023-41061則是個驗證漏洞，可藉由傳送惡意附加檔案執行任意程式。</p> <p>公民實驗室督促蘋果用戶都應立即更新裝置，同時<a href="https://support.apple.com/zh-tw/HT212650" target="_blank">也鼓勵那些因為身分或所從事的事務面臨更多風險的蘋果用戶啟用封閉模式（Lockdown Mode）</a>。該模式是蘋果替極少數用戶所設計的極端保護措施，以減少裝置潛在的攻擊表面；它有許多的使用限制，例如會封鎖大多數的訊息附件、特定的網頁技術、不曾主動聯繫的FaceTime來電及共享相簿等，在該模式下亦無法連結其它裝置。</p> </div></div></div>
2023/9/8 09:45作者陳曉莉https://www.ithome.com.tw/news/158648
金管會九月底將公布虛擬資產平台業者指導原則，並未規範穩定幣可否發行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日在例行記者會中表示，九月底將公布「管理虛擬資產平臺及交易業務事業指導原則」，擬定十大原則方向，包括建立營運系統、資訊安全及冷熱錢包管理機制，和要求境外虛擬資產平臺業者須依公司法辦理登記，並向金管會申報洗錢防制聲明。針對是否禁止業者販賣穩定幣，證期局副局長黃厚銘表示，由於穩定幣由央行負責辦理，並非金管會的權責，因此，這項指導原則僅針對非穩定幣的發行，並未針對穩定幣進行規範。</p> <p>虛擬資產平臺指導原則針對內控、企業倫理、個人幣商監理和境外幣商監理進行規範，內控包括要求業者強化虛擬資產發行面管理，須訂定虛擬資產上下架審查機制，且要求平臺的資產與客戶資產分離保管。企業倫理部分則明訂須強化交易公平及透明，並強化契約訂定、廣告招攬和申訴處理等，且需要進行資訊公告揭露，例如，虛擬資產發行與商品上下架、資產分離保管、交易資訊與規則及客戶保護等事項。</p> <p>在資訊系統方面，指導原則也點出業者應建立營運系統、資訊安全及冷熱錢包管理機制。此外，金管會也明定對個人幣商洗錢防制監理等同法人組織，要求個人幣商向金管會申報的洗錢防制聲明內容品質須與法人組織相當。而針對境外幣商，金管會將規範境外業者須依公司法辦理登記，亦即須在臺灣設立分公司，並向金管會申報洗錢防制申明，才能在臺灣招攬業務。</p> <p>根據金管會統計，目前國內已完成申報洗錢防制聲明的虛擬平臺業者共25家，其中有2家為境外業者，27家業者正在進行送件。黃厚銘表示，經濟部已於八月預告修正「商業團體分業標準」，增訂「虛擬通貨商業」團體業別及業務範圍，屆時待虛擬平臺業者公會成立後，會儘快推動公會訂定自律規範。</p> </div></div></div>
2023/9/7 18:27作者李昀璇https://www.ithome.com.tw/news/158642
【資安日報】9月7日，惡意程式Agent Tesla透過5年前Office漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者利用Office檔案散布惡意程式的方式，算是相當常見，而過往最普遍的手法就是利用帶有巨集的Office檔案來進行，但隨著微軟這幾年封鎖惡意巨集的執行，駭客也尋求其他突圍手法。</p> <p>例如，在近期的惡意軟體Agent Tesla攻擊當中，駭客利用的就是含有物件連結與嵌入（OLE）物件的Excel檔案，並宣稱使用者必須依照指示開啟，才能檢視完整內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/agent-tesla-variant-spread-by-crafted-excel-document"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新版Agent Tesla惡意程式透過Excel檔案散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig21-agent-tesla-excel-contents.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig21-agent-tesla-excel-contents.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露最近一波的惡意軟體Agent Tesla攻擊行動，駭客先是透過釣魚郵件挾帶含有惡意Excel檔案，特別之處在於，該試算表檔案採用物件連結與嵌入（OLE）的格式，帶有偽造的方程式資料，但當中並未繼續透過巨集滲透與竄改系統，而是利用兩個5年前的漏洞CVE-2017-11882、CVE-2018-0802（CVSS風險評分皆為7.8）進行後續攻擊行動。</p> <p>一旦收信人依照指示開啟上述的Excel檔案，就有可能觸發漏洞，從而導致方程式編輯器（EQNEDT32.EXE）處理程序發生了記憶體中斷的現象，使得攻擊者能透過處理程序挖空（Process Hollowing）手法，執行任意程式碼，然後透過Shell Code下載、執行Agent Tesla。</p> <p>根據研究人員的觀察，他們每天看到約1,300臺存在上述弱點的電腦遭到鎖定，並出現3,000起攻擊行動。</p> <p><a href="https://www.theregister.com/2023/09/04/zaun_breach_windows_7/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國國防機密資料恐遭俄羅斯駭客組織LockBit存取，起因是合作廠商遭到入侵</span></strong></a></p> <p>9月1日英國柵欄設備製造商Zaun發布資安通告，證實他們於8月5日至6日遭遇勒索軟體LockBit攻擊，駭客透過其中一臺用於製造產品的Windows 7電腦入侵，並竊得約10 GB的資料，占該公司總資料量的0.74%。所幸該公司的資安防護措施奏效，阻止伺服器檔案遭到加密，事發後他們也將上述遭到攻擊的電腦移除。該公司認為，駭客有可能已經取得部分電子郵件、訂單、設計圖、專案資料，並將其流入暗網，但強調機密資料並未出現外洩的跡象。</p> <p>但根據當地媒體Mirror的報導，由於英國的軍事要塞採用該公司的產品，駭客流出的數千頁資料，有可能讓犯罪分子入侵克萊德海軍核子潛艇基地（HMNB Clyde）、化學武器實驗室Porton Down、政府通訊總部（GCHQ）。英國下議院國防特別委員會委員Kevan Jones認為，這起資安事故很可能對該國最敏感的軍事機構造成危害，政府必須對該公司IT系統防護不佳的情況提出說明。</p> <p>該媒體指出，外洩文件包含了GCHQ的銷售訂單，以及皇家空軍基地RAF Waddington、電子作戰兵團第十四信號團（14th Signal Regiment）駐紮的考德軍營安全設施。不願具名的資安專家認為，這起事故對英國的國家安全基礎設施帶來毀滅性的打擊。</p> <p>資料來源</p> <p>1. <a href="https://www.zaun.co.uk/zaun-data-breach-update/">https://www.zaun.co.uk/zaun-data-breach-update/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.mirror.co.uk/news/uk-news/russia-linked-hackers-hit-uk-30850139" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1443600045" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.mirror.co.uk/news/uk-news/russia-linked-hackers-hit-uk-30850139</span></a></p> <p><a href="https://blog.aquasec.com/kinsing-malware-exploits-novel-openfire-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Kinsing鎖定Openfire漏洞而來</span></strong></a></p> <p>上個月資安業者VulCheck提出警告，超過3千臺開源即時通訊系統Openfire存在路徑穿越漏洞CVE-2023-32315（CVSS風險評分為8.6），如今有惡意軟體鎖定這項漏洞發起大規模攻擊行動。資安業者Aqua Security揭露惡意軟體Kinsing近期的攻擊行動，駭客在不到兩個月的時間，藉由上述高風險漏洞發動超過1千起攻擊，於目標伺服器部署該惡意程式與挖礦軟體，其中最常見的手法，是在伺服器上部署Web Shell，然後以此下載Kinsing及挖礦程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kingsing-attack-flow-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/kingsing-attack-flow-1.jpg" style="width: 580px;" /></a></p> <p>駭客先是利用漏洞建立新的管理員帳號，上傳名為cmd.jsp的外掛程式，之後攻擊者持續存取Openfire的主控臺並通過身分驗證，進而得到完整的存取權限，控制應用程式與伺服器主機。接著駭客利用ZIP壓縮檔上傳滲透測試工具Metasploit，觸發前述的cmd.jsp下載、執行Kinsing。該惡意程式與C2進行通訊，並下載第二階段酬載的Shell指令碼，以便攻擊者持續存取受害伺服器，並進一步部署門羅幣挖礦程式及執行其他攻擊行動。</p> <p>研究人員指出，他們透過物聯網搜尋引擎Shodan進行搜尋，網路上有6,419臺Openfire伺服器，其中有984臺曝露在CVE-2023-32315的風險當中。</p> <p><a href="https://news.drweb.com/show/?lng=en&i=14743"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Mirai鎖定白牌安卓電視盒下手</span></strong></a></p> <p>防毒廠商Dr. Web揭露針對低價安卓電視盒的攻擊行動，駭客疑似透過供應鏈攻擊，在韌體更新的過程植入殭屍網路病毒Mirai，或是假借提供盜版影音內容的應用程式來對用戶發動攻擊，主要目標是搭載4核心處理器的電視盒，包含Tanix TX6、MX10 Pro 6K、H96 MAX X3。</p> <p>一旦目標電視盒被植入此殭屍網路，就有可能遭到駭客控制，透過TCP或UDP通訊協定發動DDoS攻擊，發出SYN、ICMP、DNS洪水請求，或者，攻擊者也能藉此病毒執行反向Shell程式，竄改電視盒設備的檔案。</p> <p><a href="https://msrc.microsoft.com/blog/2023/09/results-of-major-technical-investigations-for-storm-0558-key-acquisition/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟調查中國駭客Storm-0558入侵25個組織電子郵件系統，他們發現導火線是2021年當機事故</span></strong></a></p> <p>微軟在今年7月透露，中國駭客組織Storm-0558藉由微軟帳號（MSA）的使用者簽章金鑰，偽造用於身分驗證的Token，進而存取歐洲、美國25個組織的Outlook Web Access in Exchange Online（OWA）或Outlook.com的電子郵件信箱。但究竟上述的簽章金鑰從何而來？最近有新的調查結果出爐。</p> <p>9月6日微軟指出，很有可能是發生在2021年4月的當機事故所致，使用者簽章系統那時因當機發生，觸發相關處理程序的快照儲存作業（Crash Dump），然而因出現存取競爭狀況（race Condition）導致金錀不慎留存在快照裡面，卻未被察覺有異而沒處理，而流入了除錯環境，讓這些駭客有機可趁。後來駭客取得其中一名微軟工程師的帳號，從而引發這起攻擊事故。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://source.android.com/docs/security/bulletin/2023-09-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布9月份安卓更新，修補已出現攻擊行動的零時差漏洞</span></strong></a></p> <p>9月5日Google發布本月份的安卓例行更新，總共修補了33個漏洞，其中存在於該作業系統框架的高風險漏洞CVE-2023-35674，該公司表示已被用於攻擊部分用戶。</p> <p>而根據漏洞的嚴重程度來看，本次他們修補了3項重大漏洞CVE-2023-35658、CVE-2023-35673、CVE-2023-35681，這些漏洞出現在系統層面，攻擊者可在尚未取得額外權限的情況下利用，並遠端執行任意程式碼（RCE），過程裡完全無須使用者互動。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158627"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">全球首批SEMI E187標準設備出爐</span></strong></a></p> <p>由臺灣主導的半導體產線設備資安標準規範SEMI E187，在2022年1月發布，抵達第一座里程碑，這一年半又有重大進展。</p> <p>在2023國際半導體展期間舉行的SEMI E187合規設備發表會中，數位發展部數位產業署署長呂正華表示，最近已有兩家臺灣業者的設備通過驗證，分別是：均豪精密的自動光學檢測設備，以及東捷科技的空中行走式無人搬運系統。</p> <p>呂正華認為，SEMI E187已經帶起了半導體產業上下遊供應鏈的資安意識，這樣的標準，未來若應用到面板、印刷電路板（PCB）、精密儀器，甚至進一步深入產業鏈裡面，會讓整個環境更重視資安。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://thehackernews.com/2023/09/ukraines-cert-thwarts-apt28s.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭關鍵基礎設施遭到俄羅斯駭客APT28攻擊</span></span></strong></a></p> <p><a href="https://www.theregister.com/2023/09/06/coffee_meets_bagel_outage_caused/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">約會應用程式Coffee Meets Bagel傳出服務中斷，起因是遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.nozominetworks.com/blog/9-new-vulnerabilities-impact-schweitzer-engineering-labs-software"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SEL電源管理系統存在漏洞，有可能讓攻擊者發動RCE攻擊</span></span></strong></a></p> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-vulnerability-advisory-cve-2023-2453/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">內容管理系統PHPFusion存在漏洞，有可能讓攻擊者遠端執行任意程式碼</span></span></strong></a></p> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 116.0.5845.179，修補高風險漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158626"><strong>【9月6日】瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動</strong></a></p> <p><strong><a href="https://www.ithome.com.tw/news/158612">【9月5日】瀏覽器的安全設計不良再加上網站漏洞讓惡意擴充程式有機可乘，挖掘用戶機密資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158568">【9月4日】 Adobe應用程式開發平臺ColdFusion重大漏洞被用於部署挖礦軟體、後門程式</a></strong></p> </div></div></div>
2023/9/7 17:00作者周峻佑https://www.ithome.com.tw/news/158641
資安公司揭露W3LL組織所建立的網釣帝國，已有數千Microsoft 365企業帳戶遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Group-IB發現了一個由<a href="https://www.group-ib.com/media-center/press-releases/w3ll-phishing-report/">W3LL</a>駭客組織所建立的網路釣魚帝國，這是一個龐大且鮮為人知的網路釣魚生態系，主要鎖定Microsoft 365用戶發動攻擊。W3LL組織已經活動長達6年，開設W3LL Store販售釣魚工具給其他網路犯罪者，經資安研究人員調查，光2022年10月至2023年7月受W3LL網釣工具攻擊的Microsoft 365企業帳戶，就高達5.6萬個。</p> <p>W3LL組織低調且神祕，早在2017年就已經開始活動，之所以最近才被發現，是因為W3LL組織採類似傳銷的方式口耳相傳與入會，想要購買W3LL Store網釣工具的新人，必須要由現有會員推薦，推薦者可抽取10％佣金，新人需要在3天內儲值，否則帳戶將會被停用。W3LL Store沒有任何廣告，開發者也要求他們的客戶不得在網路散播相關訊息。</p> <p>W3LL也提供經銷商計畫，第三方供應商也可在W3LL Store出售工具，商店獲得3成分潤。目前W3LL Store已有超過500名活躍用戶，目前商店販售超過1.2萬種商品。研究人員統計，從2022年10月至2023年7月在W3LL Store上已銷出3,800件商品，並粗估過去10個月營業額為50萬美元。</p> <p>W3LL的主要網釣工具W3LL Panel具有許多先進的功能，包括中間人攻擊（Adversary-In-The-Middle，AiTM）、API、原始碼保護和各種獨特功能。AiTM攻擊類似一般熟悉的MitM，可在不被發現的情況下，秘密截取並改變雙方通訊資料。W3LL提供3個月網路釣魚工具包訂閱服務，價格為500美元，而後每月費用為150美元，每個W3LL Panel訂閱都需要啟動碼啟動後才能使用，以避免套件被轉售或是原始碼遭盜竊。</p> <p>除了W3LL Panel，W3LL販售的工具還包括SMTP發送器、漏洞掃描器、帳戶自動探索工具等，這些工具都需要授權才能啟用，每個月費用約在50到350美元之間，W3LL也會定期更新這些工具，加入新的功能以及反偵測機制。</p> <p>研究人員提到，W3LL在Microsoft 365帳戶入侵事件中，扮演相當重要的角色。W3LL網釣工具所攻擊的5.6萬個Microsoft 365企業帳戶中，有8千個最終被成功入侵，受害者主要來自美國、澳洲、英國和歐洲各國，常見受害產業為製造業、IT、金融服務、顧問公司、醫療健保和法律服務。</p> </div></div></div>
2023/9/7 15:44作者李建興https://www.ithome.com.tw/news/158636
整合生成式AI能力的Slack AI準備於今年冬天展開測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/blog/productivity/product-innovations-dreamforce-2023" target="_blank">Salesforce旗下的傳訊協作平臺Slack近日宣布</a>，即將於今年冬天展開Slack AI的測試，把生成式AI能力整合到Slack中。</p> <p>Slack表示，隨著用戶所傳送的訊息、分享的文件，以及所錄製的影片，Slack儼然已成為組織的知識寶庫，為了釋放這些知識的全部潛力，決定於平臺上整合生成式AI能力。</p> <p>目前Slack所規畫的Slack AI三大功能分別是頻道回顧（Channel Recaps）、對話摘要（Thread Summary）與答案搜尋（Search Answer）。其中，頻道回顧將允許使用者在任何頻道中產生重點提要，例如從客戶的回饋頻道中馬上找到關鍵主題，以加速作出有見解的決策。</p> <p>對話摘要則是允許使用者在任何的對話中，只要點選一個按鍵就能根據對話的脈絡作出摘要，特別適用於邀請專家加入一個已有許多討論的對話中時。答案搜尋則是只要使用者提出一個問題，Slack AI即可根據相關的Slack訊息找出簡潔的答案，例如釐清一個新專案的目標及參與對象。</p> <p>Slack亦強調Slack AI將具備Slack平臺既有的安全機制，以讓企業可安心於組織中部署，所有的資料都會受到Slack的保護，不會被用來訓練第三方的模型，亦不會與其它客戶的資料相混合。</p> <p>對Slack AI有興趣的使用者<a href="https://slack.com/intl/zh-tw/ai?_gl=1*1onku0b*_gcl_au*MTA3OTg5Nzc5LjE2OTA5NTU4OTc.*_ga*MzQ0MjE4NzQ5LjE2OTA5NTU5MTY.*_ga_QTJQME5M5D*MTY5NDA2Nzk2NC4yLjEuMTY5NDA2ODUwMi42LjAuMA.." target="_blank">可先提出申請</a>以參與早期測試。</p> </div></div></div>
2023/9/7 16:06作者陳曉莉https://www.ithome.com.tw/news/158637
OpenAI將於11月舉辦首場開發者會議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/announcing-openai-devday" target="_blank">OpenAI本周宣布</a>，即將於今年11月6日於舊金山舉辦該公司史上第一場開發者會議，這是個行程只有一天的會議，除了介紹及預覽OpenAI的各種新工具，促進全球AI開發者的交流之外，現場也會有OpenAI工程師所主持的分組會議。OpenAI打算在未來幾周<a href="https://devday.openai.com/" target="_blank">開放來自全球的開發者登記</a>，以親自參與該會議，且屆時全球開發者也能透過串流觀看該場會議的主題演講。</p> <p>OpenAI是在2020年釋出API，允許開發者藉由該API來存取各種AI模型，以整合於各種應用，迄今全球已有超過200萬名開發者於不同的應用中採用GPT-4、GPT-3.5、DALL·E或Whisper，包括將AI整合到數位助理或既有的應用中，也會利用其API來打造全新的應用與服務。</p> <p>對於首場開發者會議，OpenAI執行長Sam Altman則說，很期待向開發者們展示可讓他們用來建置新玩意兒的最新成果。</p> </div></div></div>
2023/9/7 14:47作者陳曉莉https://www.ithome.com.tw/news/158634
受歐盟《數位市場法》規範的名單出爐，Alphabet、Amazon、蘋果、Meta、微軟、字節跳動入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_4328" target="_blank">歐盟本周指定</a>了符合《數位市場法》（Digital Markets Act，DMA）規範的6大企業，以及這些企業旗下的22項核心平臺服務，要求這些企業與服務必須在明年3月以前遵循該法令。這6大企業分別是Alphabet、Amazon、蘋果、Meta、微軟與字節跳動。</p> <p>DMA針對的是提供重要網路服務的平臺，並將這6大業者稱為守門人（Gatekeeper），要求這些守門人履行更多的責任與義務，以讓歐盟企業可存取更公平的商業環境，避免扼殺當地新創企業的發展，也讓歐盟消費者有更好的服務與更多的選擇，以及規定它們不得使用不公平的競爭手段。</p> <p>而被列入規範的22項服務則包括Alphabet旗下的Google搜尋、Google Maps、Google Play、Google Shopping、Google Chrome、Android、Google廣告與YouTube的8項，Meta旗下的Facebook、Instagram、WhatsApp、Messenger、Meta市集與Meta廣告等6項，蘋果旗下的App Store、iOS與Safari等3項，Amazon旗下的Amazon市集及Amazon廣告，微軟旗下的LinkedIn與Windows，再加上字節跳動的TikTok。</p> <p>根據DMA，上述被列為守門人的各大平臺必須允許第三方在特定情況下與它們的服務互動，允許企業用戶存取它們在利用這些平臺時所生成的資料，提供廣告主及出版商所需的工具以獨立驗證於守門人平臺上託管的廣告，以及允許企業用戶在守門人平臺之外推廣產品或簽約。</p> <p>至於DMA的禁止事項則包括不得於排序中獨厚自家服務，不得阻止使用者卸載包括內建程式在內的任何程式，不得在取得使用者確切同意前於核心平臺之外追蹤使用者。</p> <p>違反DMA的業者最多可被罰以全球年營收的10%，重覆違反則會提高到20%，若是屬於系統性的違法行為，那麼歐盟將有權要求這些守門人出售部分資產，或是禁止相關的併購活動。</p> <p>《數位市場法》是在今年5月正式實施，相關的平臺在今年7月收到通知，9月正式指定必須遵循該法令的平臺與業者，並要求平臺服務必須於半年內、亦即明年3月以前符合規定。</p> <p>此外，歐盟仍在衡量其它可能被納入DMA規範的平臺，包括微軟的Bing、Edge及微軟廣告，以及蘋果的iMessage與iPadOS，調查結果預計於明年出爐。</p> </div></div></div>
2023/9/7 13:51作者陳曉莉https://www.ithome.com.tw/news/158633
伺服器磁碟用罄，豐田被迫暫停所有汽車產線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://global-toyota.translate.goog/jp/newsroom/corporate/39732550.html?_x_tr_sl=ja&_x_tr_tl=en&_x_tr_hl=en-US&_x_tr_pto=wapp" target="_blank">全球汽車大廠豐田本周稍早說明</a>，兩周前14多座汽車組裝廠停工，是出於伺服器磁碟空間耗盡導致生產系統停擺。</p> <p>8月29日豐田汽車因發生IT系統事故，暫時關閉日本當地汽車組裝廠生產。一開始僅關閉了14座廠中的12座，之後所有產線都暫停運作。當時豐田汽車表示原因是「系統問題」，公司已啟動調查，但相信並非網路攻擊事故。</p> <p><a href="https://www.bbc.com/news/business-66643936" target="_blank">《BBC》報導</a>，豐田汽車日本廠在新冠疫情期間承擔了中國上海廠的生產負荷，一天產量為1.3萬輛車。</p> <p>昨日豐田汽車公布調查結果，聲稱起因是伺服器磁碟用罄。這家日本汽車大廠說明，他們在8月27日啟動日常維運，而在事故當天，工作人員為整理資料庫而刪除了累積的資料，但磁碟空間不足引發錯誤，導致系統停止運作。豐田產線伺服器包括備份機器都執行在相同系統上，因而也發生相同錯誤，造成無法啟動備援，最後引發所有系統停擺。</p> <p>豐田表示，經由複製性驗證，該公司找出問題起因，也啟動解決措施。8月29日事故後，豐田已將系統搬到磁碟空間更大的機器，也順利讓系統與工廠作業恢復作業。</p> <p>豐田汽車作為全球汽車龍頭，是駭客的首要目標之一。<a href="https://www.bbc.com/news/business-66643936" target="_blank">2019年豐田澳洲、日本及越南遭到疑似越南駭客的竊密攻擊</a>。去年，<a href="https://www.ithome.com.tw/news/149614" target="_blank">豐田也曾受零件供應商網路攻擊波及</a>，14家工廠皆停工一天。</p> </div></div></div>
2023/9/7 11:31作者林妍溱https://www.ithome.com.tw/news/158630
微軟揭露金鑰遭盜過程，系統當機報告曝露消費者簽章金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月初，<a href="https://www.ithome.com.tw/news/157763" target="_blank">微軟發現</a>有一中國駭客組織Storm-0558利用所獲得的一個微軟帳號（MSA）消費者簽章金鑰來偽造身分認證權杖，以存取使用Outlook Web Access in Exchange Online（OWA）及Outlook.com的電子郵件用戶，殃及歐美地區的25個組織，當時微軟並不確定該消費者簽章是如何外洩的，近日微軟在完成調查之後，<a href="https://msrc.microsoft.com/blog/2023/09/results-of-major-technical-investigations-for-storm-0558-key-acquisition/" target="_blank">指出起因為系統當機報告中不當地出現了簽章資訊</a>。</p> <p>根據微軟的說明，此一簽章金鑰遭到駭客濫用的過程，是由一連串的臭蟲與漏洞造成的。</p> <p>最早的錯誤可能發生在2021年的4月，當時有個消費者簽章系統當掉了，產生了一個當掉過程的簡要情況檔案（Crash Dump），該檔案理論上會刪減機密資訊，卻因一個條件競爭臭蟲，而讓簽章金鑰出現在Crash Dump中，接著微軟的系統並未偵測到此一Crash Dump中含有機密資訊。</p> <p>隨後該Crash Dump即從隔離的生產網路中被移轉到連結微軟企業網路的除錯環境，這是微軟的標準除錯程序，但依舊沒偵測到當中含有簽章金鑰。</p> <p>當駭客取得了一名微軟工程師的企業帳號之後，即以該帳號進入了除錯環境，並取得該消費者簽章金鑰。由於時間太久，日誌並未保留駭客取得金鑰的證據，但以上是微軟認為最有可能的途徑。</p> <p>由於MSA（消費者）金鑰及 Azure AD（企業）金鑰是由不同的系統發行與管理，而且應該只在各自的系統上有效，因此，以消費者簽章金鑰來偽造身分認證權杖，並存取企業服務原本應是不可行的。</p> <p>不過，為了滿足客戶的應用程式可能需要同時支援消費者及企業，微軟在2018年的9月推出了一個可集中管理金鑰資訊的系統，闡明金鑰應用範圍的驗證需求，例如哪些金鑰適用於企業帳號，哪些又適用於消費者帳號，微軟還提供了一個API來協助驗證簽章，卻並未自動更新相關的函式庫來執行範圍驗證。</p> <p>另一方面，微軟的電子郵件系統則於2022年開始採用該金鑰集中管理系統，開發人員誤以為相關的函式庫可執行完整的驗證，而未添增必要的發行者或範圍驗證，進而使得郵件系統接受了以消費者簽章所簽署的身分認證權杖。</p> <p>微軟已經修補了上述的所有臭蟲與漏洞，並強化相關的安全機制，儘管Storm-0558的目標是滲透受駭組織的電子郵件並進行間諜行動，<a href="https://www.ithome.com.tw/news/157904" target="_blank">但先前已有研究人員警告</a>，該外洩的MSA金鑰不僅可用來存取Outlook，也可存取諸如SharePoint、Teams與OneDrive等其它微軟服務，且就算微軟已撤銷該金鑰，駭客也有可能已於受駭系統上植入惡意程式。</p> </div></div></div>
2023/9/7 12:02作者陳曉莉https://www.ithome.com.tw/news/158631
Zoom經歷條款修改風波，重新推出生成式AI助理AI Companion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zoom更名其人工智慧助理服務Zoom IQ，重新推出<a href="https://blog.zoom.us/zoom-ai-companion/">AI Companion</a>，該人工智慧助理功能類似當初微軟所推出內建語言模型GPT-3.5的<a href="https://www.ithome.com.tw/news/155351">Teams Premium</a>，透過語言模型協助用戶更快掌握會議重點，並且回顧錯過的會議，同時自動切割錄音成多個章節，協助用戶制定下一步行動。</p> <p>早前Hacker News上的<a href="https://news.ycombinator.com/item?id=37021160">討論串</a>，讓Zoom再度成為爭議話題中心，該訊息稱Zoom官方變更使用條款，使用用戶資料訓練人工智慧模型，而且用戶沒辦法選擇退出。對於Zoom可能保留視訊，用於訓練人工智慧與工具，用戶反應相當激烈。</p> <p>而提供自由開源軟體專案支援與基礎設施的非營利組織軟體自由保護協會（Software Freedom Conservancy）也<a href="https://sfconservancy.org/news/2023/aug/15/exit-zoom/">發聲</a>，呼籲開發者放棄使用Zoom，並且承諾會協助採用Zoom的替代品。Zoom對這系列的爭議做出回應，更新使用條款，表示不會將通訊類資料用於訓練人工智慧應用程式與服務。</p> <p>而現在Zoom推出AI Companion，用戶可以透過對話視窗與人工智慧助理對談。AI Companion的具體功能包括整理聊天記錄，並依據用戶提示編寫適當的回應，並且還能在會議上提供協助，像是回顧會議內容等。</p> <p>官方在AI Companion的介紹文章中，又再次重申不會使用任何用戶的音訊、視訊、聊天、螢幕畫面分享、附件、投票或是回應等內容，訓練Zoom或是第三方人工智慧模型。Zoom運用人工智慧聯合方法打造AI Companion，同時使用Zoom自家開發的模型，以及Meta Llama 2、OpenAI和Anthropic等大型語言模型，聯合輸出高品質回應。</p> <p>管理者可以控制AI Companion功能啟用與否，所有AI Companion功能皆預設關閉，只要管理員啟用，會議主持人就可以進一步控制Zoom會議的人工智慧功能，像是生成會議摘要，或是提供會議內容查詢等，會議參與者也可以看到以AI Companion功能所生成的會議內容。</p> <p>Zoom還會持續增強AI Companion的功能，官方提到，AI Companion將能夠協助準備即將舉行的會議，並且對線上會議和相關聊天串提供綜合摘要，並且讓用戶連接第三方應用程式，查詢相關文件等資料。此外，AI Companion也將可以扮演數位教練，供用戶演練報告，藉以改善會議溝通技巧，官方提到，AI Companion將能夠根據報告者說話與傾聽回應的節奏給予即時回饋，讓用戶能夠立刻調整報告表現。</p> </div></div></div>
2023/9/7 09:55作者李建興https://www.ithome.com.tw/news/158629
Google推出Android新功能並更新品牌識別
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google不只宣布一系列<a href="https://blog.google/products/android/new-android-features-september-2023/">Android功能更新</a>，同時也發布<a href="https://blog.google/products/android/modern-look/">Android新品牌識別</a>。Android新功能除了更緊密整合人工智慧之外，生產力與個人化也是更新重點。在Android品牌識別上，開頭字母從小寫a變為大寫，Android機器人的造型設計也變得立體且多元。</p> <p>官方在Android上開發由人工智慧驅動的Assistant At a Glance小工具，用戶可以將其擺放在裝置桌面，該工具將會主動推送當下對用戶有用的資訊，諸如天氣警報、動態旅行更新，或是即將發生的活動等。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/060_AtAGlanceWidget_FEATURE_Real_1x1_Samsung_v048_HEEAne1.gif" style="width: 600px;" /></p> <p>對於無法視覺瀏覽相簿或是社交媒體照片的盲人，Android無障礙工具Lookout中Image Q&A功能將運用生成式人工智慧產生圖片敘述，並且回答問題。用戶在開啟圖片之後，可以輸入或是用語音提出問題，以進一步了解圖片內容。Lookout現在額外提供包括日語、韓語和中文等11種新語言，現在總支援語言數達到34種。</p> <p>Google Wallet錢包的功能也更豐富，能夠收集日常門票和通行證，Google Wallet Pass照片匯入功能，讓用戶可以將條碼或是QR Code的通行證數位化，把健身房或是圖書館會員等卡片加到Google Wallet中。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/040_WalletPassImport_Realistic_1x1_v032.gif" style="width: 600px;" /></p> <p>Android Auto現在添加Cisco Webex和Zoom通訊軟體，用戶可以透過音訊啟動、加入遠端會議，並且從車上的顯示器瀏覽會議資訊。這些通訊軟體的通話會由Android Auto管理，使用者可以方便地管理麥克風。</p> <p>在安全性功能上，Android會自動偵測附近陌生的追蹤裝置，並警示用戶以移除這些裝置。另外，新的Android還加入了地震示警系統，在地震發生時立刻警告用戶，並且提示用戶應該採取的措施，不過目前臺灣還不在支援的國家中。</p> <p>Google除了釋出一系列Android功能更新消息之外，也宣布更新Android品牌形象，以更體現開放、迭代和包容的精神。新的視覺效果參考Material Design，與Google品牌配色相搭配，展現人、社群與文化時刻的連結。Android機器人具有新的3D外觀，設計更具適應性，能夠依照不同的情境和事件改變，像是文化節日，機器人就會穿上相應的服飾和裝飾。</p> <p>Android商標字樣也有調整，一改過去小寫a開頭的風格，官方提到，使用大寫a會讓Android商標擺在Google商標旁時更具分量。官方也在Android字型與商標添加更多曲線，增加其獨特性，同時也與Google商標更為相近、平衡。</p> </div></div></div>
2023/9/7 09:09作者李建興https://www.ithome.com.tw/news/158625
越南駭客透過惡意廣告鎖定臉書企業帳號，散布Ducktail發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Zscaler、WithSecure針對越南駭客發動的惡意軟體DuckTail攻擊提出警告，這些駭客主要透過職場社群網站LinkedIn進行社交工程攻擊，假借提供職缺引誘使用者上當，最終目的是竊取企業組織的臉書帳號，但也有抖音和Google的企業帳號遭挾持的情況。</p> <p>研究人員先是在LinkedIn看到駭客假冒人力資源部門的員工，徵求行銷職缺，一旦有人上勾，駭客就會要求他們下載指定的檔案，並使用Windows電腦開啟，但實際上求職者打開的是偽裝成文件的可執行檔。由於從2022年迄今出現許多裁員的情況，使得攻擊者針對的目標範圍人數變得更加廣泛。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DuckTail-Zscaler-0830-LinkedIn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DuckTail-Zscaler-0830-LinkedIn.png" style="width: 580px;" /></a></p> <p>為了迴避偵測，駭客不只使用Telegram架設C2，亦濫用雲端服務Trello、Discord、Dropbox、iCloud、OneDrive、MediaFire代管惡意程式，而在存取受害組織的社群網站帳號時，也會透過代理伺服器服務存取，此外，攻擊者還會濫用加密通知（Encrypted notifications）來防止受害組織取回帳號。</p> <p>Zscaler指出，過程中駭客透過Google翻譯，以英文與求職者交談。在其中一起攻擊行動裡，他們假冒食品公司億滋國際（Mondelez International），並提供此公司的維基百科與臉書粉絲頁的URL，但要求求職者從iCloud下載惡意檔案。另一個攻擊管道，則是假借提供AI生成式工具ChatGPT、Google Bard，市場行銷工具Adplexity、ClickMinded的名義，來散布DuckTail。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DuckTail-Zscaler-0830-Lang.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DuckTail-Zscaler-0830-Lang.png" style="width: 580px;" /></a></p> <p>究竟駭客如何製作相關的攻擊工具？研究人員指出，這些駭客透過ChatGPT、Google Bard等大型語言機器學習模型（LLM），來產生這些網頁、釣魚信。</p> <p>一旦求職者不慎依照指示開啟駭客提供的「文件」，電腦就有可能被植入Ducktail。這款惡意程式由.NET打造而成，通常是含有Office文件或是PDF檔案圖示的可執行檔，但有些惡意酬載駭客打造成Excel的擴充套件（XLL），或是瀏覽器擴充套件的型式來發動攻擊。一般而言，駭客會透過內含徵才或是行銷廣告的誘餌文件檔案來散布Ducktail，此惡意軟體檔案很大，大小往往有70 MB左右，並透過Telegram連線至C2，部分檔案甚至含有越南憑證供應商的簽章。</p> <p>在電腦被植入上述惡意程式之後，攻擊者就有可能將自己的電子郵件信箱加入受害組織的臉書管理成員、竄改臉書帳號的密碼或電子郵件信箱、盜取LinkedIn帳號進一步用於攻擊行動，或是將帳密資料流入越南地下市集，以35萬至800萬越南盾（相當於15至340美元）兜售。</p> <p>另一家資安業者WithSecure也揭露相關發現，他們發現這起攻擊行動背後可能有多個駭客組織參與，這些駭客透過多種程式語言打造作案工具，例如：以JavaScript打造惡意瀏覽器擴充套件、Node.js為基礎的可執行程式（包含Eletron應用程式），或是使用Python、.NET打造惡意程式的可執行檔。而且，駭客尋找攻擊目標的範圍相當廣，除了前述提到的臉書廣告、LinkedIn徵才訊息，這些駭客也鎖定自由工作者的接案網站Upwork、Freelancer下手，或是透過即時通訊軟體WhatsApp、垃圾郵件來引誘使用者上當。</p> <p>再者，駭客引誘使用者上鉤的誘餌種類也相當多元，包含了前述提及的數位行銷與徵才，還有時下熱門的話題，如ChatGPT、Google Bard、Meta Threads，或是假借提供知名應用程式、網站廣告相關工具等。</p> <p>研究人員指出，Ducktail約從一年前出沒，但相關攻擊在今年初開始出現顯著增加的現象。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Evo-Ducktail.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Evo-Ducktail.png" style="width: 580px;" /></a></p> <p>而對於Ducktail感染受害電腦的過程，研究人員看到駭客納入了多階段的執行鏈，其中一種手法是透過壓縮檔散布LNK檔案，一旦觸發就有可能執行PowerShell指令碼檔案，然後從C2下載、執行Ducktail和誘餌文件檔案。而為了能夠成功竊取瀏覽器的資料，攻擊者自今年7月，利用名為RestartManager的程式來終止特定的處理程序，使得攻擊流程能順利進行。</p> <p>到了今年3月，駭客亦從Ducktail發展出新變種Duckport，對受害組織帶來更大的危害。與Ducktail相同的是，Duckport同樣主要是鎖定操作Meta企業平臺的人士，兩者的戰術、技巧、程序（TTP）有所交集，但程式碼的寫作風格不同，背後的駭客成員沒有交集，用於C2的Telegram頻道、程式碼簽章也不同，而且，Duckport會在受害電腦竊取更多資料，並在成功挾持企業的臉書帳號後，自動發布含有特定關鍵字的廣告，或是接收攻擊者的指令，自動產生及發布詐欺廣告，並關閉各式通知訊息讓受害組織不易察覺。</p> </div></div></div>
2023/9/6 21:48作者周峻佑https://www.ithome.com.tw/news/158628
全球首批SEMI E187標準設備出爐！均豪精密與東捷科技的半導體設備率先通過認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由臺灣主導的半導體產線設備資安標準規範SEMI E187，在2022年1月發布，抵達第一座里程碑，但後續如何推動這項產業標準，仍是資安界與半導體界都關心的議題，如今又有重大進展。在2023國際半導體展期間舉行的SEMI E187合規設備發表會中，數位發展部數位產業署署長呂正華表示，最近已有兩家臺灣業者的設備通過驗證，分別是均豪精密工業與東捷科技。隨著首批SEMI E187合規案例出現，可促進更多設備業者合規導入。</p> <p>關於E187的推動歷程現況，去年9月有<a href="https://www.ithome.com.tw/news/153093">8家臺灣半導體設備業者宣誓將著手實作先期導入</a>，以及E187參考實務指引的規畫及發布，今年的目標就是要建立合規案例，</p> <p>有那些具體行動？呂正華指出，已達成三大推動目標。首先，產業署偕同國際半導體產業協會（SEMI）及台積電，將SEMI E187標準基本實施檢核表（SEMI E187 Checklist）制訂完成，這不僅能夠協助半導體設備業者，可以自我檢核生產設備的合規情形，同時也讓驗證項目有了依據。</p> <p>其次，為了輔導業者生產符合SEMI E187規範的機臺，因此他們也與SEMI及台灣電子設備協會（TEEIA）舉辦工作坊，目的是幫助業者先了解SEMI E187 Checklist要如何應用，並介紹有助合規的國產資安解決方案。</p> <p>第三，協助設備業者獲得SEMI E187合格性驗證（Verification of Conformity，VoC），目前已有兩家臺灣業者的半導體設備率先通過認證，分別是：均豪精密的自動光學檢測設備，以及東捷科技的空中行走式無人搬運系統。前者由華電聯網與、睿控網安（TXOne Networks）協助，後者則是由峻盟科技協助，都已通過第三方驗證單位的認可——通過必維國際檢驗集團（Bureau Veritas）認證</p> <p>對於未來，呂正華表示，SEMI E187已經帶起了半導體產業上下遊供應鏈的資安意識，這樣的標準，未來若應用到面板、印刷電路板（PCB）、精密儀器，用到產業鏈裡面，會讓整個環境更重視資安。</p> <p>整體而言，對於SEMI E187標準落地與推廣，我們已經看到有重要的初步進展，如今不只是完成了驗證標準與驗證機制的推動，並也建立了合規案例，同時也是促進推動國產資安廠商建立這方面的能量，協助半導體設備業者的設備通過認證。</p> <p>對於上述驗證，必維國際檢驗新事業發展處專案主任詹燿州表示，SEMI E187 Checklist是在5月有初步版本提出，上述兩家業者的設備8月通過認證，當中的檢驗項目，將可展現設備已經達到一個基本的安全基準，未來他們也期望不只是臺灣的設備商參與，還有日本等全球設備商跟進，可望促使更多設備業者合規導入。</p> <p>還有哪些挑戰需要面對？我們認為，除了要持續推動更多半導體設備業者的設備通過SEMI E187驗證，購買這些設備的半導體公司也是一大推力，一旦指標性廠商如台積電、日月光等開始將合規驗證納入要求，會是更大的助力，讓供應鏈必需提出自己或第三方完成SEMI E187 Checklist的報告，也帶動半導體設備廠商，在設備出廠時都達到基本的安全水準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E9%80%9A%E9%81%8ESEMI%20E187%E5%90%88%E6%A0%BC%E6%80%A7%E9%A9%97%E8%AD%89%E7%9A%84%E5%8D%8A%E5%B0%8E%E9%AB%94%E8%A8%AD%E5%82%99%E5%87%BA%E7%88%90.jpg" style="width: 600px;" /></p> <p>在SEMI E187合規設備發表會上，數位發展部數位產業署為了肯定臺灣半導體廠商的努力，也特別在此場合頒發SEMI E187合格性驗證證書。（左起：華電聯網陳國章董事長、均豪精密工業董事長陳政興、SEMI半導體資安委員會組長暨台積電部經理張啟煌、數位發展部數位產業署署長呂正華、東捷科技總經理陳贊仁、竣盟科技總經理鄭加海。）</p> </div></div></div>
2023/9/6 18:02作者羅正漢https://www.ithome.com.tw/news/158627
【資安日報】9月6日，瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾個月駭客利用瀏覽器來發動攻擊的情況不斷上演，其中最常見的手法，是利用惡意擴充套件來上下其手，但最近有駭客是直接濫用瀏覽器的內建工具來從事攻擊行動。</p> <p>例如，資安業者Morphisec針對今年年初出現的惡意程式Chaes新版Chae$ 4進行分析，結果發現，駭客盜取資料的管道，竟是直接利用Chrome的內建開發工具（DevTools），並透過其通訊協定來傳輸竊得資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.morphisec.com/chaes4-new-chaes-malware-variant-targeting-financial-and-logistics-customers"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Chaes透過瀏覽器內建開發工具竊取資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Chaes-Execution_Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Chaes-Execution_Flow.png" style="width: 300px; float: right;" /></a>資安業者Morphisec揭露自今年1月出現的第4代惡意程式Chaes變種Chae$ 4（亦稱Chae$4），攻擊者針對Mercado Libre、Mercado Pago、Itau Bank、Caixa Bank、MetaMask等多種金融平臺、網頁版WhatsApp、內容管理系統WordPress、Joomla、Drupal、Magento的使用者而來。</p> <p>駭客以Python重寫此惡意軟體，改良其程式碼架構，並加入多層次加密手法來迴避偵測，也實作WebSockets通訊協定與C2連線，而該惡意軟體取得C2伺服器網址的方式，則是採用了動態網域產生演算法（DGA）。駭客改用Python打造Chae$ 4的主要原因，就是新版惡意軟體能藉此持續運作在記憶體內（In-memory）。</p> <p>但此惡意程式引起研究人員注意的地方，在於駭客監控受害電腦Chrome瀏覽器的方式，原本他們利用Node.js程式庫Puppeteer，但現在改成透過Chrome內建的開發工具DevTools進行，並利用其通訊協定竊取資料。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客入侵家用網路設備，以此攻擊德國政府機構</span></strong></p> <p>8月30日德國聯邦憲法保護局（BfV）發出警告，中國駭客組織APT15、APT31利用家用的物聯網（IoT）裝置，包含路由器、防火牆、NAS、網路印表機、智慧家電（如窗簾、電燈、暖氣、太陽能設備）的漏洞發動攻擊，成功入侵並進行接管，再將這些裝置用於攻擊政府機關。為了埋藏攻擊來源，駭客使用VPN存取這些受到挾持的連網設備。</p> <p>德國電視二臺（Zweites Deutsches Fernsehen，ZDF）指出，APT15曾於2年前入侵德國聯邦製圖和土地測量局（BKG）。BfV也表示，駭客偏好家用物聯網裝置的原因，在於這類裝置普遍缺乏安全管理，除了用戶不太會將裡面執行的系統軟體或韌體維護至最新的狀態，甚至有生命週期已經結束（EOL）的裝置仍在運作，就算遭到入侵，使用者也可能不會明顯察覺異狀。基於上述情況，BfV呼籲使用者應儘可能將物聯網裝置的系統平臺維持在最新狀態。</p> <p>資料來源</p> <p>1. <a href="https://www.verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2023/2023-08-31-cyber-brief-02-2023.html">https://www.verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2023/2023-08-31-cyber-brief-02-2023.html</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.zdf.de/nachrichten/politik/china-spionage-hacker-deutschland-100.html" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1341017695" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.zdf.de/nachrichten/politik/china-spionage-hacker-deutschland-100.html</span></a></p> <p><a href="https://thehackernews.com/2023/09/vietnamese-cybercriminals-targeting.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">越南駭客透過惡意廣告鎖定臉書企業帳號，散布Ducktail發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DuckTail-Zscaler-0830-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DuckTail-Zscaler-0830-chain.png" style="width: 300px; float: right;" /></a>資安業者Zscaler、WithSecure針對越南駭客發動的惡意軟體DuckTail攻擊提出警告，這些駭客主要透過職場社群網站LinkedIn進行社交工程攻擊，假借提供職缺引誘使用者上當，最終目的是竊取企業組織的臉書帳號，但也有抖音和Google的帳號遭挾持的情況。</p> <p>Zscaler指出，過程中駭客透過Google翻譯，以英文與求職者交談，在其中一起攻擊行動裡，他們假冒食品公司億滋國際（Mondelez International），並提供此公司的維基百科與臉書粉絲頁的URL，但要求求職者從iCloud下載惡意檔案。另一個攻擊管道，則是假借提供AI生成式工具ChatGPT、Google Bard，市場行銷工具Adplexity、ClickMinded的名義，來散布DuckTail。</p> <p>WithSecure發現，駭客亦從Ducktail發展出新變種Duckport，對受害組織帶來更大的危害。</p> <p>資料來源</p> <p>1. <a href="https://www.zscaler.com/blogs/security-research/look-ducktail">https://www.zscaler.com/blogs/security-research/look-ducktail</a><br /> 2. <a href="https://labs.withsecure.com/publications/meet-the-ducks">https://labs.withsecure.com/publications/meet-the-ducks</a></p> <p><a href="https://www.resecurity.com/blog/article/smishing-triad-targeted-usps-and-us-citizens-for-data-theft"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">釣魚簡訊攻擊Smishing Triad鎖定美國民眾而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/8a17acbf949936752bf7dbfa44eac810.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/8a17acbf949936752bf7dbfa44eac810.png" style="width: 300px; float: right;" /></a>資安業者Resecurity揭露中國駭客發起的大規模釣魚簡訊攻擊行動Smishing Triad，對方假借英國皇家郵政（Royal Mail）、美國郵政服務（USPS）、紐西蘭郵政服務（NZPOST）、西班牙郵電總局（Correos）、義大利郵政集團（Poste Italiane）、義大利稅務局（Agenzia delle Entrate）的名義，對美國民眾發動攻擊。</p> <p>攻擊者透過遭駭的iCloud帳號對使用者發送iMessage訊息，聲稱付款失敗，必須進一步採取行動，依照指示線上刷卡，才能確保包裹能寄達目的地。然而一旦照做，對方就會取得使用者的信用卡、借記卡資料。研究人員指出，此攻擊行動有多個駭客組織參與，駭客提供教學影片，指導新進的駭客如何操作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/asus-routers-vulnerable-to-critical-remote-code-execution-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">華碩家用Wi-Fi路由器出現重大漏洞，若不修補恐被挾持</span></strong></a></p> <p>9月5日臺灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安通告，指出華碩旗下的RT-AX55、RT-AX56U_V2、RT-AC86U路由器存在重大漏洞<a href="https://www.twcert.org.tw/tw/cp-132-7354-4e654-1.html">CVE-2023-39238</a>、<a href="https://www.twcert.org.tw/tw/cp-132-7355-0ce8d-1.html">CVE-2023-39239</a>、<a href="https://www.twcert.org.tw/tw/cp-132-7356-021bf-1.html">CVE-2023-39240</a>，這些漏洞皆與輸入的格式化字串（format string）並未進行適當驗證有關，使得攻擊者在無須取得權限的情況下，能用來遠端執行程式碼（RCE），對設備進行任意操作或是中斷服務（DoS），CVSS風險皆評為9.8分。其中，CVE-2023-39238與CVE-2023-39240存在於iperf相關元件，CVE-2023-39239則是出現在一般功能設定的API裡。</p> <p>對此，華碩對於RT-AX55、RT-AX56U_V2、RT-AC86U，分別發布了3.0.0.4.386_51948版、3.0.0.4.386_51948版、3.0.0.4.386_51915版韌體予以修補。</p> <p><a href="https://www.bleepingcomputer.com/news/security/atlas-vpn-zero-day-vulnerability-leaks-users-real-ip-address/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlas VPN零時差漏洞有可能洩露用戶實際IP位址</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，9月1日有人在社群網站Reddit揭發VPN漏洞，該名網友表示，出問題的是Atlas VPN的Linux用戶端程式1.03版存在零時差漏洞，後續有其他資安專家證實此問題的確存在。</p> <p>該程式由兩個模組組成，其中一個是管理連線的atlasvpnd，另一個則是讓使用者下達連線命令、指定VPN伺服器的atlasvpn。但這名人士指出，此用戶端程式並非採取透過本地端通道（Local Socket）或者其他的安全機制進行VPN連線，而是在8076埠上開啟API，而且完全沒有身分驗證措施進行檢驗，攻擊者只要在網站上部署惡意JavaScript指令碼，就能發送偽造的請求中斷VPN連線，有機會取得使用者實際的IP位址。他公布了漏洞細節及概念性驗證（PoC）程式碼，並指控通報廠商未果。</p> <p>上述公布的資料得到Amazon網路安全工程師Chris Partridge驗證，並指出此漏洞能繞過瀏覽器的跨網域資源共享（CORS）防護措施。對此，Atlas於5日向Bleeping Computer提出說明，證實漏洞確實存在，該公司正著手進行修補。</p> <p><iframe allowfullscreen="" frameborder="0" height="360" src="https://player.vimeo.com/video/861336492?h=7c52a0d2fc" title="vimeo-player" width="640"></iframe></p> <p>資料來源</p> <p>1. <a href="http://www.reddit.com/r/cybersecurity/comments/167f16e/atlasvpn_linux_client_103_remote_disconnect/">http://www.reddit.com/r/cybersecurity/comments/167f16e/atlasvpn_linux_client_103_remote_disconnect/</a><br /> 2. <a href="https://cybersecurity.theater/@tweedge/110997661135498890">https://cybersecurity.theater/@tweedge/110997661135498890</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.theregister.com/2023/09/04/zaun_breach_windows_7/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國國防部機密資料遭俄羅斯駭客存取，起因是合作廠商遭到入侵</span></span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/56405/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業而來</span></span></strong></a></p> <p><a href="https://interlab.or.kr/archives/19416"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">木馬程式SuperBear鎖定韓國社會運動人士下手</span></span></strong></a></p> <p><a href="https://www.securityjoes.com/post/new-attack-vector-in-the-cloud-attackers-caught-exploiting-object-storage-services"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">儲存系統MinIO漏洞被用於攻擊，駭客意圖破壞企業網路環境</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/classiscam-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">詐騙攻擊行動Classiscam在疫情期間騙得6,450萬美元</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158612">【9月5日】瀏覽器的安全設計不良再加上網站漏洞讓惡意擴充程式有機可乘，挖掘用戶機密資料</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158568">【9月4日】 Adobe應用程式開發平臺ColdFusion重大漏洞被用於部署挖礦軟體、後門程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158551">【9月1日】 AI程式碼編譯網站Sourcegraph證實遭遇網路攻擊，起因是工程師提交程式碼出錯，導致Token外洩而被奪權</a></strong></p> </div></div></div>
2023/9/6 17:21作者周峻佑https://www.ithome.com.tw/news/158626
網路廠商Aruba產品策略大轉變，不再只專注於有線、無線網路、SD-WAN產品的發展，三大新領域成未來新焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾年，網路廠商Aruba的產品策略開始有了不一樣的轉變，不再僅專注於有線、無線網路、SD-WAN產品的發展，轉而投入三大新領域發展，分別是資料中心網路、資安、5G企業專網，正式加入大型企業資料中心網路、雲端資安、電信領域的競爭。</p> <p>尤其，在資安領域，Aruba近幾年開始強調網路和資安之間的緊密結合，這也加速了Aruba轉向網路和資安功能整合的產品策略。</p> <p>過去3年，由於COVID-19的出現，使得企業辦公環境開始出現改變，從疫情前的傳統辦公室工作、到疫情期間的居家辦公、混合辦公，以及疫情後的Work From Anywhere（隨地工作）。</p> <p>Aruba臺灣區總經理蔡政修表示，企業需要確保員工能夠從任何地方都能連到內部網路來處理工作，這也讓他們對於網路安全需求隨之提高，比以往更看重建立安全的網路連線（Secure Connectivity），也就是，不只要求網路穩定與高效，還需要在網路基礎設施中整合資安，防止其網路免於各種安全威脅的影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230721_054511794.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>近幾年Aruba產品策略開始有了不一樣的轉變，不再僅專注於有線、無線網路、SD-WAN產品的發展，轉而投入三大新領域，分別是資料中心網路、資安、5G企業專網，正式加入大型企業資料中心網路、雲端資安、電信領域的競爭。</p> </blockquote> <p>為了加強其網路產品與資安整合，Aruba採用SASE（Secure Access Service Edge）架構打造其整合的服務平臺，不僅整合了現有SD-WAN和網路防火牆服務，Aruba今年所收購的以色列安全新創Axis Security，也補強以SASE架構為基礎的雲端網路安全，使其能夠在網路環境中提供更進階的安全防護功能，包括零信任網路存取（ZTNA）、安全網路閘道器（SWG），以及雲端存取安全性代理程式（CASB）等SSE功能。</p> <p>他解釋，網路結合資安的好處是，當防火牆或入侵偵測設備出現異常情況時，能迅速將異常訊息發送到Aruba網路設備中，能自動針對有異常的裝置，如筆電、平板或是連到企業網路的手機，採取隔離的動作，以避免事態進一步擴大。「這也是網路韌性很重要的一環，實現網路自動化。」他表示。</p> <p>Aruba積極與第三方資安廠商合作，擴大支援各種資安產品，他表示，目前已整合超過種150種資安產品或方案，同時還與一些主要防火牆廠商聯手，打造資安聯合防禦體系。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230721_062627447.jpg" style="width: 600px; height: 317px;" /></p> <p>Aruba不只強調網路與資安併重，還進一步在網路安全架構中引進零信任架構（Zero Trust），強調所有連接進來網路的裝置都必須經過認證，並搭配Role Based Access Control （RBAC）存取控管機制，為不同角色提供不同權限，藉此提供網路邊緣到雲端的資安。</p> <p>蔡政修用資安領域的鎖鏈理論來形容，強調資安就像一條鎖鏈，資安強弱取決於最弱的環節。他指出，Aruba引進零信任的目的，是要補足資安最脆弱的那一環，將原本各自分離的資安和網路透過API整合在一起，讓不論是從有線或無線網路連進來的裝置，到達WAN端，甚至到雲端時，都可以透過SD-WAN和SSE安全機制來獲得保護，同時利用ClearPass網路存取管理機制來串連這些不同環節。</p> <p>在資料中心網路發展方面，Aruba先以CX系列交網路器為基礎加入更多安全防護功能，並在去年推出了新一代Aruba CX 10000分散式服務交換器，瞄準資料中心網路需求，特別是在安全上，結合Aruba的網路交換器系統，以及AMD Pensando的DPU，可以提供加速的狀態型防火牆（stateful firewall）、零信任網路分段（Zero-Trust Segmentation）、封裝遠端交換器連接埠分析器（ERSPAN）、遙測，以及DDoS防護等功能。</p> <p>除了企業內部IT網路，Aruba也積極展開現場5G網路的布局，還在今年併構了義大利5G核網業者Athonet，瞄準5G Private解決方案。</p> <p>前面提到的這三大領域以外，網路維運自動化和智慧化，也是Aruba近年來持續投入發展的另一項重點，尤其，AI技術一直是Aruba持續發展的領域，Aruba很早就開始將AI技術整合到自家網路或安全產品中，協助網管人員自動化網路配置或提供安全洞察，近年來，他們更進一步將它擴大運用在網路維運和管理上。</p> <p>蔡政修表示，AI在網路維運方面能發揮很大的助力，舉例來說，在網路管理平臺central中，已經內建了能支援自然語言處理的AI搜尋功能，可以幫助維運人員快速查找log並提供建議。不僅如此，在網路拓樸視圖、事件洞察和網路配置優化，已經開始結合AI機制，如在網路配置優化方面，能根據AP部署的環境自動調整無線射頻強度，適應不同規模的網路配置。</p> <p>不過，目前，Central還未引進結合對話式的生成式AI功能。他表示9月中Central更新中將推出更多新功能，但沒有透露是否會在Central中引進這項技術。</p> </div></div></div>
2023/9/6 16:57作者余至浩https://www.ithome.com.tw/news/158620
Mozilla：25款汽車品牌車主的隱私與資料安全堪慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla近日檢驗了全球25款知名汽車的隱私政策，<a href="https://foundation.mozilla.org/en/blog/privacy-nightmare-on-wheels-every-car-brand-reviewed-by-mozilla-including-ford-volkswagen-and-toyota-flunks-privacy-test/" target="_blank">發現它們全都取得了「缺乏隱私」（Privacy Not Included）的警告標籤</a>，因為這些汽車品牌不僅蒐集了大量的個資，當中有84%還會分享或銷售車主的資料，有92%幾乎沒有提供個資控制權予車主，且根據其隱私政策的描述，完全無法確定它們是否符合了保護資料的最低安全標準。</p> <p class="rtecenter"><a href="http://foundation.mozilla.org/en/blog/privacy-nightmare-on-wheels-every-car-brand-reviewed-by-mozilla-including-ford-volkswagen-and-toyota-flunks-privacy-test/" target="_blank"><img alt="" src="https://assets.mofoprod.net/network/images/car-PNI-Final-Graphics_OG-Image-EN.original.png" style="width: 550px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Mozilla</span></span></p> <p>Mozilla所調查的汽車品牌包括BMW、Mercedes-Benz、Honda、Ford、Lexus、Toyota、Tesla、Nissan、Subaru、Kia及Audi等25款，除了一般汽車品牌所會蒐集的車主姓名、地址、電話、生日、社會安全碼、保險、或電子郵件等基本資訊之外，發現這些品牌也可蒐集車主的精確位置、路徑歷史紀錄、聲音資訊、通話紀錄、搜尋內容、開車習慣及Wi-Fi用量等。</p> <p>研究人員指出，由於許多現代汽車擁有感應器、麥克風、攝影機，再加上連上汽車系統的手機等裝置，使得汽車品牌還可能會得知車主的性活動、移民身分、種族、臉部表情、體重或遺傳等資訊。</p> <p>總之，汽車可能蒐集的資料內容可能超乎外界的想像，然而，根據這些汽車品牌的隱私政策，有高達84%的品牌表示它們能夠分享車主的資料予服務供應商、資料掮客或其它合作夥伴，甚至有76%於政策中明白表示可能銷售車主資料，另有56%宣稱得以根據請求與政府或執法機構分享車主資料。</p> <p>儘管品牌握有大量的車主個資，但卻只有Renault與Dacia兩個品牌允許車主刪除自己的個資。此外，當檢視這25個品牌的隱私政策時，發現與安全措施有關的描述非常稀少，甚至無法得知它們是否加密了車主的個資。</p> <p>而近來關於汽車品牌資料外洩的意外時有所聞，例如<a href="https://www.ithome.com.tw/news/145020" target="_blank">福斯汽車（Volkswagen）外洩</a>了330萬名北美車主的個資，<a href="https://www.ithome.com.tw/news/145309" target="_blank">賓士外洩</a>了160萬名車主的個資，<a href="https://www.ithome.com.tw/news/156874" target="_blank">豐田汽車（Toyota）外洩</a>了逾200萬名車主的個資。</p> <p>研究顯示，在隱私保護上最糟糕的品牌是Nissan，因為該品牌蒐集了車主的性活動、健康診斷資料與遺傳資料等個資，而且並未說明如何蒐集，還說可分享與銷售車主的偏好、傾向、行為、特徵或能力等資料予資料掮客、執法機構或其它第三方業者。</p> <p>Mozilla的結論是，汽車是該平臺審查過的所有產品中，隱私保護做得最差勁的，就算是約會程式與性玩具的隱私政策中，所描述的安全資訊都比這些品牌還要更詳細。Mozilla過去曾檢驗的產品類別還包括心理健康程式、智慧家庭產品、穿戴式裝置、遊戲、視訊通話程式及寵物程式等。</p> </div></div></div>
2023/9/6 16:10作者陳曉莉https://www.ithome.com.tw/news/158623
Node.js 20.6支援.env配置檔，加入C++垃圾回收函式庫Oilpan
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源跨平臺JavaScript執行環境釋出最新的<a href="https://nodejs.org/en/blog/release/v20.6.0">Node.js 20.6</a>，這個版本有兩大重點，其一是支援.env配置檔，第二個則是Node.js C++擴充套件，現在實驗性支援V8中的C++垃圾回收函式庫Oilpan。另外，模組系統也加入新API，讓開發者可以自定義模組載入和解析行為。</p> <p>開發者在新版本Node.js中，可以開始使用.env檔配置環境變數。.env檔是一種用來儲存專案環境變數的配置文件，該文件通常會儲存像是資料庫連線資訊，或是第三方API金鑰等敏感資料。在Node.js中，配置文件遵循INI檔案格式，每一行包含環境變數的鍵值對。</p> <p>過去開發者其實也可以用類似的方法配置環境，但需要仰賴第三方函式庫dotenv，而從20.6版本開始，Node.js原生支援.env檔案，開發者可以直接使用該功能。</p> <p>另外，Node.js C++擴充套件現在支援V8中的C++垃圾回收函式庫Oilpan，並向開發者提供新的工具和指南，以便更好地整合和管理C++與JavaScript間的物件和資源。也就是說，在20.6之後，Node.js添加一種新穎且更有效率的C++記憶體管理方法，不過，原有方法仍然可用。</p> <p>V8團隊在2021年釋出Oilpan，其特點在於提供一種追蹤垃圾收集機制，能夠透過標記物件來確定活物件，並於回收階段回收死掉的物件，Oilpan也支援對某些物件進行堆碎片整理（Compaction）功能。整體來說，Oilpan簡化了程式開發模型，有助解決記憶體洩漏和使用後釋放的問題。</p> <p>現在替Node.js應用程式編寫C++擴充套件的開發者，也可以使用Oilpan，但官方提醒，Node.js只是打包了來自V8的Oilpan函式庫，他們無法保證ABI（Application Binary Interface）穩定性，但是因為Oilpan在Chromium中經歷多年考驗，他們也認為不太可能會破壞ABI。之後當Oilpan有足夠多的外部和內部採用時，官方便會考慮將其列入ABI穩定性保證中。</p> <p>Node.js 20.6也在其模組系統加入了一個新的API，提供新方法讓開發者可以指定檔案，自定義模組的Hook，這項新功能提供了一個靈活且強大的方法，允許開發者自定義模組載入和解析行為，並且在主應用執行緒和自定義Hook執行緒間，建立溝通管道。</p> </div></div></div>
2023/9/6 16:16作者李建興https://www.ithome.com.tw/news/158622
蘋果將今年秋天釋出的visionOS測試版納入App Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/news/?id=ssmnoze2" target="_blank">蘋果本周宣布</a>，預計於今年秋天釋出的visionOS測試版將納入App Store，此一程式市集除了用來接納專為Apple Vision Pro所打造的應用程式之外，開發者替iPhone與iPad所建置的程式也會自動登上該市集。</p> <p><a href="https://www.ithome.com.tw/news/157200" target="_blank">蘋果是在今年的6月發表</a>售價高達3,499美元的Apple Vision Pro，它被定位為空間運算設備（Spatial Computer），預計於明年初率先於美國市場推出，<a href="https://www.ithome.com.tw/news/157544" target="_blank">至於visionOS則是專為Apple Vision Pro所設計的作業系統</a>，<a href="https://www.ithome.com.tw/news/157483" target="_blank">蘋果也已釋出visionOS SDK</a>。</p> <p>根據蘋果的說法， iPadOS與iOS中絕大多數的框架也包含在visionOS中，因此，幾乎所有的 iPad及iPhone程式都可直接在visionOS上執行而無需修改，在Apple Vision Pro於明年初上市時，用戶便可直接於該裝置上執行iPad/iPhone 程式。</p> <p>萬一Apple Vision Pro不支援iPad/iPhone程式所要求的功能，App Store Connect即會通知開發者，以讓開發者得以變更程式功能。</p> <p>程式開發者也可利用Xcode 15測試版中的visionOS模擬器來檢查程式的運作狀況，或是提交程式予蘋果以進行相容性評估，或者是申請Developer Lab，以於蘋果所設立的實體據點來測試程式在Apple Vision Pro上的運作狀況。目前蘋果於美國的自家園區、倫敦、慕尼黑、上海、新加坡及東京都設有Apple Vision Pro Developer Lab。</p> <p>儘管絕大多數的iPad/iPhone 程式都可直接於Apple Vision Pro上執行，但蘋果仍然建議開發者如果想讓程式在Apple Vision Pro上的體驗更自然，可利用visionOS SDK來建置程式。</p> </div></div></div>
2023/9/6 12:23作者陳曉莉https://www.ithome.com.tw/news/158615
微軟將在歐盟鬆綁Windows Widget與Edge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟將在之後，讓歐洲地區Windows 11用戶自行選擇瀏覽器來開啟Windows Widget程式的網頁連結，不必非得使用Edge不可。</p> <p>雖然微軟在歐盟及美國政府壓力下，允許用戶選擇自己偏好的瀏覽器為開啟網頁預設，但是仍有許多小動作。例如，Windows 11的Widget小程式及Windows搜尋鍵仍然和預設脫勾，Windows依舊會自動觸發Edge來開啟網頁。</p> <p>這問題終於有些改變。<a href="https://blogs.windows.com/windows-insider/2023/08/25/announcing-windows-11-insider-preview-build-23531-dev-channel/" target="_blank">微軟8月的Windows更新公告說明</a>，Windows 11 Insider Preview Build 23531中，將允許歐洲經濟區（EEA）的Windows系統元件，使用用戶預設瀏覽器開啟網頁連結。Preview Build 23531已從Dev通道釋出給Insider測試用戶。</p> <p>這將解決部分微軟強制用戶使用Edge的困擾，但微軟仍然有眾多手法力圖吸引用戶改用Edge。例如<a href="https://www.ithome.com.tw/news/156776" target="_blank">今年春天有用戶安裝更新</a>後，只要開啟Chrome，就會跳出Windows預設應用程式設定頁，企圖引導用戶將Edge設為預設瀏覽器，但開啟Edge就沒這現象。事實上Windows 11剛推出時，變更預設瀏覽器變得很複雜，必須個別檔案類型及應用程式一一勾選。在用戶抱怨下，微軟終於在去年3月簡化步驟，<a href="https://www.ithome.com.tw/news/150172" target="_blank">讓使用者得以一鍵變更</a>。</p> <p>此外，雖然<a href="https://www.ithome.com.tw/news/157938" target="_blank">微軟允許</a>用戶在Chrome及Safari中使用Bing Chat，但在非微軟瀏覽器中，問題輸入上限為2,000字元，一次對話也只能問5個問題，遠小於Edge中的4,000字元及20個問題。</p> <p>這次宣布也是微軟對歐盟最新的讓步。<a href="https://www.ithome.com.tw/news/158559" target="_blank">上周微軟宣布</a>將在歐盟及瑞士以較低費用提供不含Teams的Microsoft / Office 365套件，提供給大型企業，之後也會宣布小型企業及個人版本。一般相信，歐盟上個月啟動反托拉斯調查，微軟為平息歐盟當局疑慮而做出上述妥協。</p> </div></div></div>
2023/9/6 12:45作者林妍溱https://www.ithome.com.tw/news/158616
Atlas VPN的零時差漏洞可外洩用戶真實IP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自美國的VPN服務供應商Atlas VPN上周遭踢爆含有零時差漏洞，將允許駭客取得用戶的真實IP，此一漏洞僅影響Linux版用戶，目前Atlas VPN正著手修補，尚未釋出安全更新。</p> <p><a href="https://www.reddit.com/r/cybersecurity/comments/167f16e/atlasvpn_linux_client_103_remote_disconnect/" target="_blank">此一漏洞的曝光源自於一名Reddit用戶的公開貼文</a>，而他似乎是因一直無法聯繫到Atlas VPN的安全團隊才決定昭告天下，根據其描述，AtlasVPN Linux客戶端是由兩個部分所組成，一是用來管理連結的守護進程（atlasvpnd），二則是使用者用來控制連線、斷線及可存取服務的客戶端（atlasvpn）。</p> <p>不過，客戶端並非透過本地端通道（Local Socket）或任何其它安全方式連結，而是於本地主機的8076埠上開啟一個API，亦無任何的驗證機制，由於在電腦上所執行的任何程式皆可存取該傳輸埠，包括瀏覽器在內，使得駭客只要在網站植入一個惡意的Javascript就能向該埠送出偽造的請求以將該VPN斷線，再發送另一個請求取得Atlas VPN用戶的真實IP。</p> <p>該名使用者不僅公布了漏洞細節，也提供了概念性驗證攻擊程式，<a href="https://cybersecurity.theater/@tweedge/110997661135498890" target="_blank">另一名安全工程師Chris Partridge則證實</a>了該攻擊程式是可行的。</p> <p>Atlas VPN提供免費版與付費版的VPN服務，所支援的作業系統涵蓋Windows、macOS、Linux、Android、iOS、Android TV與Amazon Fire TV，但此一安全漏洞僅影響Atlas VPN Linux客戶端1.0.3，這是目前最新的Linux客戶端版本。</p> <p>Atlas VPN的IT部門終於在3天後回應了該貼文，表示正在修補該漏洞，並將儘速釋出更新版，也已通知所有的Linux用戶。</p> </div></div></div>
2023/9/6 13:18作者陳曉莉https://www.ithome.com.tw/news/158617
JetBrains預告IntelliJ IDE在Linux上將原生支援Wayland
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains<a href="https://blog.jetbrains.com/platform/2023/08/wayland-support/">宣布</a>自家以IntelliJ為基礎，由Java編寫的IDE，將會在Linux中支援Wayland顯示協定，以提供更好的效能以及安全性，而這項工作建立在JetBrains與甲骨文桌面團隊，共同開發的Wayland工具包之上。官方提到，雖然目前Java支援Wayland的工作尚未全部完成，但是部分功能成形，已可在Wayland執行一些Java Swing和AWT應用程式。</p> <p>Wayland出現的目的便是要取代X Window系統（X11），X11是一個老舊的協定，雖然功能強大，但是其複雜性和一些固有的問題，驅使開發者尋求替代方案。比起X11，Wayland帶來諸多好處，像是Wayland不提供任何繪圖基本元素（Primitive），並將許多工作負載轉移到應用程式中，應用程式會將畫面直接渲染到自己的記憶體快取，並且由Wayland顯示伺服器複製到螢幕上，這種形式更加高效方便，降低顯示延遲。</p> <p>Wayland也讓應用程式可以增量更新狀態，並且將更新結果作為整體一起提交，避免呈現狀態不一致的UI，而且Wayland採用模組化設計，不同的伺服器可以支援各種協定，因此能夠擴展Wayland功能滿足各式用例。</p> <p>在未完成支援前，現在所有Java應用程式包括IntelliJ IDE，皆採用一種稱為XWayland的過渡方案，這是在Wayland會話之上執行X11實作以顯示用戶介面，並且擷取滑鼠和鍵盤輸入的方法。官方提到，雖然此方法在大多數的情況下都運作良好，但是在拖放、視窗切換、顯示解析度和彈出選單等方面仍存在問題，且部分問題無法在XWayland框架內解決，同時也沒有太多開發者願意投入資源到老舊的X11技術上。</p> <p>考量這些問題，JetBrains現在與甲骨文桌面團隊合作，共同開發Wayland工具包，讓Java應用程式原生支援Wayland，不過這卻是一項大工程，開發團隊還需要克服許多問題，像是重寫有關處理圖形、滑鼠游標、按鍵轉換、啟動畫面顯示和輸入法等各種GUI相關的程式碼。之前的X11工具包僅有少部分程式碼可重複使用，絕大部分的程式碼需要重寫。由於Wayland API的行為與Java API不同，因此也需要重新編寫轉換。</p> <p>現在JetBrains正致力讓IntelliJ IDE完全支援Wayland，Wayland帶來的效能和安全性，讓IntelliJ IDE能夠穩定執行，並且提升回應性。目前Wayland的軟體渲染效能已經與X11工具包相當，剩下的工作就是完成Wayland工具包實作，使得IntelliJ IDE可以在Wayland上原生運作。</p> </div></div></div>
2023/9/6 09:23作者李建興https://www.ithome.com.tw/news/158614
Google Apigee API整合Duet AI，簡化API管理與整合工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Apigee API管理（Management）工具和應用程式整合（Application Integration）工具，<a href="https://cloud.google.com/blog/products/api-management/introducing-duet-ai-in-apigee-api-management-and-application-integration">加入協作人工智慧Duet AI</a>，降低建置API、整合流程和擴充套件的門檻，開發人員可以直接用自然語言指令，請求Duet AI自動生成API規範和整合工作流程。這項新功能目前已向Google客戶開放，並在數周內逐步開放預覽。</p> <p>Apigee API是Google雲端的API管理平臺，供用戶設計、部署和監控API，可設置速率限制、配額和其他流量控制政策來管理API存取，Apigee API提供了一套完整的Runtime功能，支援代理部署、負載平衡、快取等功能，確保API的高可用性和效能。另外，Apigee API也提供一套工具，允許用戶從API的使用中賺取收益。</p> <p>而Duet AI則是Google開發的協作人工智慧，具有協助用戶編寫內容、視覺化資料，或是組織和加速工作流程等能力，透過在Apigee API整合Duet AI，達到簡化API建置與管理工作的目的。Apigee API管理工具供用戶對不同使用案例和環境，大規模建置、管理和保護API，新添加的Duet AI讓用戶以自然語言指定人工智慧創建API規範，這些規範會將諸如安全架構、集中式目錄API Hub中其他API物件等資源納入考量。</p> <p>Google提到，這項整合可以帶來極大的生產力提升。建構API規範通常需要專業知識，並耗費大量的時間，而Duet AI則可加速這個過程，並突出顯示與API Hub中其他API在語法、語義和程式碼編寫風格的不一致。</p> <p>另外，Apigee API應用程式整合工具，則是一個整合平臺即服務（iPaaS），方便用戶透過視覺化點擊配置連接應用程式，而現在此工具提供一個介面，讓用戶能直覺地以自然語言描述創建整合流程，由Duet AI根據需求和企業資產，自動建議合適的整合流程。</p> <p>根據整合流程中創建的變數，以及整合中的應用程式，Duet AI會自動創建連接兩個應用程式的資料映射，或是根據用戶需求進一步調整資料映射。Duet AI還可針對資料集，自動生成文件和功能測試案例，以確保整合流程的穩健性，並使開發人員更易於理解。</p> </div></div></div>
2023/9/6 09:02作者李建興https://www.ithome.com.tw/news/158613
率先採用英特爾新款CPU與IPU，Google擴充運算服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/gcp_c3-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月英特爾發表第四代Xeon Scalable處理器平臺，Google Cloud是第一家響應號召的雲端廠商，5月正式推出一般用途運算服務C3，當中不僅採用這批新上市的處理器，也搭配Google自行調整設計的英特爾基礎架構處理器（IPU）。事實上，他們在去年10月中舉行的年度用戶大會Next，預告將推出C3，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-GCSummit-C3-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-GCSummit-C3-1.jpg" style="width: 400px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-GCSummit-C3-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-GCSummit-C3-2.jpg" style="width: 400px;" /></a></p> <p>到了今年5月C3正式上線，可供應Google Compute Engine（GCE）、Google Kubernetes Engine（GKE）的客戶使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-GCSummit-C3-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-GCSummit-C3-1.jpg" style="width: 600px;" /></a></p> <p>最初C3先提供高CPU組態（每顆vCPU搭配2 GB記憶體），今年7月底，Google Cloud宣布C3的標準組態（每顆vCPU搭配4 GB記憶體）與高記憶體組態（每顆vCPU搭配8 GB記憶體）正式上路，標準組態搭配本機固態硬碟（最大為12 TB）目前也已經就緒，8月開放公開預覽測試。</p> <p>而關於C3搭配的英特爾處理器，Google Cloud也在線上技術文件表明其型號為Xeon Platinum 8481C。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-05-GCE Intel instances.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-05-GCE%20Intel%20instances.jpg" style="width: 600px;" /></a></p> <p>採用第四代Xeon Scalable處理器的C3，最明顯獲得的效益是具備更強大的人工智慧與機器學習運算效能，關鍵在於這批處理器內建英特爾發展的進階矩陣延伸指令集（AMX），可大幅改善深度學習訓練與推論能力。舉例來說，若使用bfloat16（BF16）資料格式進行自然語言處理框架BERT的矩陣乘法運算，在支援AVX512指令集的系統執行狀況作為比較基準，啟用AMX的運算平臺在資料處理的吞吐量可達到12倍；若使用INT8格式來進行這類運算，AMX能帶來兩倍的吞吐量。</p> <p>除此之外，在PyTorch、TensorFlow等常用的深度學習框架軟體當中，近期版本已整合AMX指令，因此，這些軟體的用戶能夠輕鬆使用這項處理器內建的硬體加速器。</p> <p>在此同時，受惠於英特爾IPU的採用，C3這款雲端虛擬機器服務的網路相關工作負載，例如封包處理、流量隔離與安全控管等作業，均可卸載至IPU，使得C3的CPU可保有更多資源，而能支撐更大規模的虛擬機器運作，並且減少網路I/O層面的干擾；同時，C3也能藉此得以使用效能達到200 Gbps的低延遲網路，可達到上一代虛擬機器服務C2的兩倍，更能因應緊密耦合型態的分散式運算、高效能運算，以及網路密集型工作負載。</p> <p>除了虛擬機器本身能使用IPU的網路卸載技術，C3硬碟儲存組態的部分，也可選用Google Cloud去年9月推出的區塊儲存服務Hyperdisk，若以 C2的儲存組態為基準，C3搭配Hyperdisk之後，最高可提供4倍的吞吐量與10倍的IOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-GCSummit-C3-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-GCSummit-C3-4.jpg" style="width: 600px;" /></a></p> <p>基本上，這項區塊儲存服務可善用IPU技術，將儲存處理從虛擬機器內部抽離，交由IPU統籌，提供更進階的資料存取效能、彈性與效率，從而動態、獨立地執行儲存效能與容量規模的擴展，以因應資料分析、資料庫這類資料密集型工作負載帶來的儲存I/O需求，如此一來，用戶就不需要為了獲得更高的儲存效能，而需選擇昂貴、大型的運算執行個體服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-GCSummit-C3-3.jpg" style="width: 600px;" /></p> <p>值得注意的是，今年8月底舉行的年度用戶大會Next期間，Google Cloud表示，C3將支援Hyperdisk Extreme，虛擬機器可掛載這類型的雲端硬碟／區塊儲存區，最高能提供50萬IOPS儲存效能，目前已開放預覽測試。</p> <p>而對於C3這批後續推出的運算服務，Google Cloud現在將它們稱為第三代Compute Engine執行個體，並且特別揭露支撐這些服務的底層硬體，都採用他們發展的分層式卸載（tired offload）架構「Titanium系統」，因此能廣泛因應不同類型工作負載，提供顯著增長的效能。</p> <p>Titanium之所以能奏效，主要仰賴兩大技術：一是IPU提供較理想的安全性隔離機制，具有可預測且有效率的處理效能，可程式化的封包處理機制（提供200Gbps網路與3倍的封包傳輸量），以及搭配PSP安全協定而能進行網路傳輸加密（In-transit encryption），另一是Titan提供低功耗的微控制器，協助Google Cloud的每一臺虛擬機器均能以受信任的狀態開機啟動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP Titanium-2023-08-31-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Titanium-2023-08-31-1.jpg" style="width: 600px;" /></a></p> <p>相較於個別主機層級的資安、網路、儲存工作的卸載，Titanium提供額外的橫向擴展卸載層（tier of scale-out offloads），可執行在主機以外的環境，簡而言之，這套系統可進行大量、廣泛的部署，並能針對不斷改變的工作負載進行動態調整，以便持續提供最佳效能。</p> <p>Google Cloud表示，目前Titanium至少可用於在兩個IT基礎架構環節：區塊儲存、網路路由。以前者而言，能促使虛擬機器搭配的Hyperdisk區塊儲存，透過這樣的工作卸載，提供顯著增長的I/O效能，因為搭配Titanium橫向擴展卸載層的使用，能夠針對Google的大型叢集層級檔案系統Colossus，提供分散I/O存取能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP_Titanium Block Storage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP_Titanium%20Block%20Storage.jpg" style="width: 600px;" /></a></p> <p>而在網路路由的部分，Google在IPU卸載裝置會使用Andromeda虛擬網路堆疊，能協助傳送沒有路由至Hoverboard閘道的全部封包。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP_Titanium%20Network%20routing.jpg" style="width: 600px;" /></p> <p>談完卸載、加速架構的運作方式，接下來看性價比的表現上，Google Cloud也公布C3的多項測試數據，突顯其效益。舉例來說，同樣選擇8顆虛擬處理器的組態，若在C3執行Nginx網站應用程式，比起在C2使用，性價比可提升88％；如果執行Postgres、MySQL這類關聯式資料庫系統，或是Redis記憶體內資料庫，改善幅度可達40％、39％；執行Hadoop資料分析應用系統，則提升18％。</p> <p>若與同期（2023年5月）其他雲端業者的運算服務相比，該公司表示，C3在性價比的表現上，平均可領先25％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-GCP%20C3%20Performance.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/C3-Normalized NGINX Performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/C3-Normalized%20NGINX%20Performance.png" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/C3-FFmpeg x_265 Transcode Frames per Second.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/C3-FFmpeg%20x_265%20Transcode%20Frames%20per%20Second.png" style="width: 298px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/C3-Normalized PostgreSQL NOPM C3 High-CPU VMs vs_ N2 Standard.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/C3-Normalized%20PostgreSQL%20NOPM%20C3%20High-CPU%20VMs%20vs_%20N2%20Standard.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/C3-MySQL NOPM C3 High-vCPU VMs vs_ VMs with 2nd Gen Processors.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/C3-MySQL%20NOPM%20C3%20High-vCPU%20VMs%20vs_%20VMs%20with%202nd%20Gen%20Processors.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Google Cloud Compute Engine C3<br /> ●原廠：Google Cloud<br /> ●建議售價：c3-standard-4每月預估費用為153.43美元<br /> ●採用處理器：英特爾第四代Xeon Scalable系列Xeon Platinum 8481C●提供服務規模選擇與最大組態：c3-highmem-176，176顆虛擬處理器、1,408 GB記憶體、網路頻寬最高為200 Gbps，儲存搭配平衡永久硬碟（每臺虛擬機器最多掛載128臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/6 01:26作者李宗翰https://www.ithome.com.tw/review/158470
【資安日報】9月5日，瀏覽器的安全設計不良再加上網站漏洞讓惡意擴充程式有機可乘，挖掘用戶機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器的健全左右所有使用者的上網安全，因此Google、Mozilla等業者與組織頻繁推出軟體更新、希望能盡快修補漏洞。但有研究人員發現，這些瀏覽器普遍存在安全設計瑕疵，攻擊者可透過外掛程式竊取使用者輸入的密碼，或是信用卡資料。為了證實這樣的風險，他們進行概念性驗證（PoC），打造可進行這類攻擊的Chrome擴充套件，結果通過Web Store市集的審核而成功上架。</p> <p>由於採用較嚴謹的Manifest V3而成的Chrome擴充套件，存在上述弱點，研究人員認為，使用Manifest V2規範的Firefox、Safari，也同樣可能受到相同手法的攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/chrome-extensions-can-steal-plaintext-passwords-from-websites/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">瀏覽器安全設計不良加上網站有漏洞，導致外掛程式可能存取使用者機密資料，有外洩風險</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/separation-diagram.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/separation-diagram.jpg" style="width: 300px; float: right;" /></a>美國威斯康辛大學麥迪遜分校的研究人員指出，Chrome、Firefox、Safari等市面上主流瀏覽器的權限細致度模型（Coarse-Grained Permission Model）違反兩項安全設計準則，若再結合網站輸入欄位的安全漏洞，將足以讓駭客藉由瀏覽器擴充程式取得使用者輸入的機密資料，例如：密碼與信用卡資訊。</p> <p>研究人員指出，這些瀏覽器在處理文字輸入欄位的權限時，並未遵循最小權限，以及每次存取都檢查權限的完全仲裁（Complete Mediation）原則。而在網站上可能會出現的輸入欄位漏洞也有兩種，其中一種是能透過網頁原始碼取得明文密碼，另一種狀況，則是瀏覽器擴充套件可藉由文件物件模型（DOM）挖掘網頁原始碼的使用者帳密資料。</p> <p>研究人員針對Chrome外掛套件市集Web Store，分析逾17,300款擴充程式，結果發現12.5%具有存取網頁機密資料相關權限，當中包含擋廣告套件AdBlock Plus、優惠券套件Honey，以及190款能直接存取密碼欄位。</p> <p><a href="https://op.europa.eu/en/publication-detail/-/publication/c1d645d0-42f5-11ee-a8b8-01aa75ed71a1/language-de"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐盟要求社群網站對抗俄羅斯資訊戰但效果不彰，恐影響明年選舉</span></strong></a></p> <p>歐盟針對俄羅斯在科技公司的社群網站平臺散布假消息的影響力展開研究，發現俄羅斯針對歐盟及同盟國發動的大規模假消息宣傳，總受眾達到1.65億人，瀏覽量高達160億次，而俄羅斯假消息的影響力又在2023年上半年進一步擴大，主要原因來自於X（原推特）取消安全標準作為。</p> <p>在俄羅斯入侵烏克蘭之後，歐盟企圖透過政策和法律來要求社群網站平臺對抗俄羅斯的假消息，他們先後頒布假消息實踐守則、數位服務法（DSA），要求這些業者採取因應措施。然而他們發現，近一年來，俄羅斯以十多種歐洲語言在主要平臺散播假消息，事實上，資訊戰的進行，對於歐洲內部公共安全、基本權利和選舉，將帶來重大的風險，首當其衝的就是將於明年6月進行的選舉。</p> <p>他們要求社群網站平臺進行實際改善行動，但並未有效遏止，原因是這些業者並未考量俄羅斯的意圖來加以因應，也無法完全鏟除這種帳號，更難以抵禦俄羅斯的跨平臺攻擊行動。研究人員指出，俄羅斯的資訊戰在臉書和Instagram效果最佳，由特定國家政府資助的Telegram帳號，其規模也達到3倍</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158552"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">政府零信任架構推動有成，數位部首度公布內部導入經驗，資安院揭2023年上半最新進展</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gov-summit-16.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/gov-summit-16.jpg" style="width: 300px; float: right;" /></a>政府走在數位轉型的道路上，持續強化資安是拓展公務創新應用的重要基礎，在8月30日舉行的數位政府高峰會上，iThome邀來多位官員介紹政府數位應用的最新發展，也針對這一年來重要資安進展做出說明。在這場會議中，我們看到幾個重要的議題，包括：數位發展部近期多項資安工作的推動，以及國家資通安全研究院政府零信任架構的進展，都有政府專家說明2023年下半的最新進展。</p> <p>關於政府零信任架構的推動，國家資通安全研究院副院長吳啟文透露，繼去年決定推動A級機關導入後，現在打算進一步挑選，從已導入T-Road的機關優先執行。在推動商用產品符合我國政府零信任架構方面，自去年開始進行第一階段「身分鑑別」，到今年8月底為止，通過資安院功能符合性驗證的產品方案，已有12個。</p> <p><a href="https://ec.ltn.com.tw/article/breakingnews/4417755"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安署首屆資安人才培訓課程結訓，透過競賽驗收成果，日本資安機構亦組隊參與</span></strong></a></p> <p>數位發展部資通安全署與國家資通安全研究院共同舉辦資安菁英人才培訓課程，首期課程於8月底完訓，9月3日舉辦網路威脅安全競賽，藉此驗收學員的學習成效，特別的是，這次邀請日本情報通信研究機構（NICT）的隊伍參賽。</p> <p>本次競賽總共有28組臺灣隊伍、2組日本隊伍參加，透過擬真的駭客攻擊情境，結合課程學到的技能，以藍隊（防禦方）角度著手調查並防禦攻擊。</p> <p>資通安全署副署長鄭欣明表示，過往資安領域的競賽多以攻擊手法為主，實務所需的防禦、事件調查等訓練卻較為缺乏，日本的資安界人士也對這個競賽平臺深感興趣，去年首次組隊參加，今年也共襄盛舉。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://about.gitlab.com/blog/2023/08/29/gitlab-google-partnership-s3c/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google與GitLab聯手提升DevOps與軟體供應鏈安全</span></strong></a></p> <p>8月29日GitLab與Google Cloud宣布合作，將於Google Cloud的平臺整合GitLab的DevOps功能，包含了原始碼管理、規畫、CI/CD工作流程，以及進階安全與法規遵循的功能。</p> <p>上述的功能將與Google的雲端主控臺、套件及容器儲存庫Artifact Registry，透過統一資料平臺進行整合，讓開發者同時能透過GitLab統整DevSecOps工作流程，並運用Google Cloud提供的雲端原生供應鏈安全機制，使得交付軟體的工作複雜性降低，同時也能在整個軟體開發的生命週期裡，實施全面性的政策及治理。</p> <p>如此一來，在編寫程式碼前，開發人員就已經可以從Google雲端控制臺存取GitLab專案，並在GitLab進行規畫、建立問題（Issue）和界定範疇（Epic）。當程式碼要推送至生產環境時，開發人員可以直接從GitLab註冊和配置私有Google Runner，並利用CI/CD元件模板，將程式部署到GKE與其他Google雲端資源。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://thehackernews.com/2023/09/vietnamese-cybercriminals-targeting.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">越南駭客透過惡意廣告鎖定臉書企業帳號，散布Ducktail發動攻擊</span></span></strong></a></p> <p><a href="https://www.databreaches.net/pizza-hut-australia-customer-data-hacked-shinyhunters-claims-to-have-more-than-1-million-customers-information/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲Pizza Hut傳出遭駭客組織ShinyHunters入侵，100萬客戶資料外流</span></span></strong></a></p> <p><a href="https://www.wrtv.com/news/public-safety/more-than-200-000-indiana-medicaid-members-possibly-exposed-in-caresource-data-breach"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">20萬受到醫療補助的美國印第安那州民眾個資恐因CareSource資安事故外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/german-financial-agency-site-disrupted-by-ddos-attack-since-friday/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國金融監管機構遭到DDoS攻擊</span></span></strong></a></p> <p><a href="https://freecycle.helpscoutdocs.com/article/319-data-breach-august-2023"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">物品交換網站Freecycle傳出資料外洩，波及700萬用戶</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158568">【9月4日】 Adobe應用程式開發平臺ColdFusion重大漏洞被用於部署挖礦軟體、後門程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158551">【9月1日】 AI程式碼編譯網站Sourcegraph證實遭遇網路攻擊，起因是工程師提交程式碼出錯，導致Token外洩而被奪權</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158534">【8月31日】駭客組織Earth Estries從事網路間諜活動，包含臺灣在內的多國政府機關、科技業者成為目標</a></strong></p> </div></div></div>
2023/9/5 17:51作者周峻佑https://www.ithome.com.tw/news/158612
國產可信任AI對話引擎TAIDE開放測試申請，初期可為辦公室4大應用帶來幫助
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI能力進步，去年底邁向廣泛應用階段，為了應對伴隨而來的風險，我國政府公部門如何因應是當今焦點，例如，國科會7月中旬公告公務機關生成式AI參考指引草案，行政院在8月31日宣布通過，要讓行政院及所屬機關在使用上有所依循，也促進其他機關參考訂定自己的管理規範，而隨著英文、簡體中文版聊天機器人接連問世，國科會在上半年號召國內學術團隊和國科會轄下機構，啟動TAIDE計畫，開始打造專為臺灣使用者設計的可信任AI對話引擎－－TAIDE（Trustworthy AI Dialog Engine），自<a href="https://www.ithome.com.tw/tech">今年6月第一階段成果揭露</a>後，如今9月將開始邁向大規模測試階段。</p> <p>在8月底舉行的數位政府高峰會上，中央研究院資訊科技創新研究中心研究員兼資通安全專題中心執行長李育杰指出，TAIDE公部門應用即將開放測試，將率先於9月邀請部會報名，並於10月提供測試帳號。</p> <h2><strong>Llama 2開放商業授權，加速TAIDE進展，如今正邁向公開測試階段</strong></h2> <p>關於TAIDE的發展與應用，統籌相關開發工作的李育杰表示，今年初他們先是以法國的開源大型語言模型BLOOM為基礎，進行訓練調教，但後續已經改用Meta開源的Llama，藉以獲得更好的效能。</p> <p>不過，由於當時Llama只有開放學術授權，因此他們當時規畫是先做學術授權的版本，再進行商業授權版本的開發。</p> <p>值得關注的是，最近一個多月他們有了很大的進展，李育杰指出，這是因為Meta在7月中旬對外釋出的Llama 2，首度開放商業授權，這不僅讓他們打造商用版TAIDE模型有了更好的基礎，像是Taide-llama2-13B-Chat模型已顯示相當不錯的評估結果，更大意義在於，他們在學研與商用模型發展的經驗與資源可共軌。</p> <p>事實上，在最近一個月，我們看到各界對於Llama 2的應用相當關注的情形。如此看來，這絕對是TAIDE的整體進度變得更順利的關鍵。</p> <p>基本上，TAIDE是使用大量正體中文資料微調而成，融入臺灣特有的語言、價值觀、風俗習慣等元素，讓這套生成式AI能理解與回應本土使用者的需求，加上正體中文的多元訓練素材，將提升模型對不同主題領域的表現，並隨著模型持續擴大訓練，可使它更加厲害。</p> <p>現階段TAIDE提供何種應用？李育杰指出，他們的發展先聚焦在辦公室4項日常生產力工作，包括中英翻譯、自動摘要、寫Email，以及出題目就能產生作文等任務，如今這些面向都有超越預期的表現，當應用在修改作文方面，也達到文句通順、句子不重複的效果。因此，TAIDE計畫團隊將在9月初就會開始邀請部會報名，9月中開放試用申請報名，預計10月初就會提供測試帳號，讓大家可以應用與嘗試。</p> <p>到了10月中下旬，TAIDE計畫團隊還將舉行線上會議，並對中央政府部門舉辦工作坊，再擴及地方政府部門，向各機關人員介紹這套模型與使用教學。</p> <p>李育杰指出，現階段TAIDE開放測試的主要目的，是讓與會單位能瞭解這套AI對話引擎，以及如何運用它，並且希望促使大家發想出更多應用可能性。後續公部門若有更多應用上的提案，TAIDE計畫團隊也將持續探討可行性，並且就訓練資料取得上獲得進一步的合作。未來，TAIDE計畫團隊希望政府或業界都可基於這套AI對話引擎，根據需求，自行訓練模型並建立內部應用。</p> </div></div></div>
2023/9/5 15:03作者羅正漢https://www.ithome.com.tw/news/158607
Amazon SageMaker新增模型推論結果串流功能，可提升AI應用回應性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在機器學習服務Amazon SageMaker<a href="https://aws.amazon.com/tw/blogs/machine-learning/elevating-the-generative-ai-experience-introducing-streaming-support-in-amazon-sagemaker-hosting/">添加回應串流（Response Streaming）新功能</a>，用戶現在可以將模型推論結果串流傳輸至客戶端，在回應生成時立即開始串流傳輸回應，不必等待回應完全生成，而這將可加速生成式人工智慧應用程式收到第一個位元組的時間。</p> <p>過去用戶發送查詢，需要等待回應完全生成完畢，才能夠收到答案，是以批次作業的方式進行，但是這可能會需要數秒或是更長的時間，官方提到，這樣的形式降低了應用程式的效能。透過應用回應串流功能，應用程式可以更快地產生回應，在用戶看到初始回應時，人工智慧可以繼續在後臺完成處理其解答，聊天機器可以更迅速發送生成結果，如此便能夠創建無縫地對話流程，讓終端使用者獲得流暢的對話體驗。</p> <p>要從SageMaker擷取串流回應，用戶需要使用新的InvokeEndpointWithResponseStream API，應用程式將可以更快地收到第一個回應位元組，使用者會明顯有感覺延遲降低，AWS提到，在人工智慧應用程式中，立即處理的價值比獲得整個完整有效負載更重要，而且更能創建有黏著度的對話，藉由實現互動的連續性創建更好的用戶體驗。</p> <p>包括文字和圖形形式的結果，都可以運用串流式回應，也就是說在SageMaker端點所託管的Falcon、Llama 2和Stable Diffusion等模型，都能夠將模型推論結果以串流的形式回傳。官方深入解釋，SageMaker即時端點回應串流是透過HTTP 1.1區塊編碼實作而成，也就是説資料會被分成多個區塊（Chunked）傳輸，而非一次性傳送整個資料，伺服器可以在生成內容的同時立刻開始傳輸，不必等待所有內容都準備好。</p> <p>要使用這項新功能，用戶需要擁有AWS IAM（Identity and Access Management）角色帳戶，並具備管理部分解決方案資源的權限，除了網頁機器學習開發環境Amazon SageMaker Studio，用戶也需要請求相對應SageMaker託管執行個體的服務配額。</p> </div></div></div>
2023/9/5 16:48作者李建興https://www.ithome.com.tw/news/158609
倫敦證券交易所集團計畫以區塊鏈打造一個可支援全球交易的數位市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/ce177de8-2828-4fe2-827f-1c25dcbc99ff" target="_blank">倫敦證券交易所集團（London Stock Exchange Group，LSEG）的資本市場負責人Murray Roos本周向《金融時報》（Financial Times，FT）透露</a>，該集團將採用區塊鏈技術來打造一個新的數位市集，該市集主要是用來改善數位資產的交易，與加密貨幣無關，此一專案可能會由倫敦證券交易所執行長Julia Hoggett主導，最終目標是成為一個可支援全球資產交易的中心。</p> <p>LSEG為英國的證券交易與金融資訊服務集團，旗下擁有十多個子公司，最知名的即是倫敦證券交易所，另有散布在美國、法國、德國、日本與新加坡等市場的金融資料供應商。</p> <p>根據Roos的說法，LSEG一直等到區塊鏈技術成熟到足以支撐它們的理念之後才展開行動，打算利用該技術來改善傳統資產的交易效率，一旦成功，可望成為全球提供端對端區塊鏈生態體系的最大證券交易所。因為許多其它基於區塊鏈的專案都只有涵蓋交易流程的一部分，而該專案則將全面擁抱區塊鏈，從發行、交易、對帳到結算。</p> <p>此外，LSEG也考慮成立新公司來推動此一專案，最終目標是讓它成為一個跨國的數位交易市集，推動傳統交易平臺難以執行的交易，例如讓瑞士的買家向美國的賣家購買位於日本的資產。</p> <p>LSEG準備在明年就推出第一個市集，初期將以較小的規模運作，鎖定較不透明也較繁鎖的私有市場。</p> <p>LSEG當然不是第一個期望利用區塊鏈技術來改善流程的證券交易所，澳洲證券交易所（Australian Stock Exchange，ASX）早在7年前就開始部署區塊鏈技術，以用來升級主要與後端交易平臺，<a href="https://www.ithome.com.tw/news/156974" target="_blank">但卻傳出已於去年暫停了該專案</a>，原因是相關技術與產品過於複雜，再加上擔心擴充能力及人才不足的問題，而使得澳洲證券交易所回頭採用傳統技術來重建系統。</p> </div></div></div>
2023/9/5 12:20作者陳曉莉https://www.ithome.com.tw/news/158603
Google擴大部署AI搜尋到海外市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續測試以AI強化搜尋服務，<a href="https://blog.google/products/search/google-search-generative-ai-india-japan/" target="_blank">本周宣布</a>把搜尋生成體驗（Search Generative Experience，SGE）推向美國以外的日本及印度市場。</p> <p>SGE是Google泛稱以生成式AI強化的搜尋服務，像是為搜尋結果提供網頁內容摘要、標註日期、提供更多圖片及影片搜尋結果、為複雜主題提供多個子題，或為用戶想要採購的商品列出價格及評價等。</p> <p>自<a href="https://www.ithome.com.tw/news/157080" target="_blank">5月Google I/O</a>上宣布SGE及<a href="https://www.ithome.com.tw/news/158106" target="_blank">數次功能新增</a>以來，Google步調相當保守，部署地區只侷限在美國市場。本周Google宣布，SGE將推向日本及印度市場。此外，Google也更新SGE。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-Google%20generative%20AI%20in%20Search-%20Japan-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>從本周開始，日本和印度用戶都可以本國語言，包括文字輸入及口語使用生成式AI功能，包括聊天機器人。Google網頁廣告則會出現在SGE的特定版位上。Google特別為印度加入些許功能，用戶會看到一個語言滑鈕，讓習於多語的用戶能自由切換英語和北印度語，印度用戶還能讓Google Bard說出回應。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/04_SGE_Localization_ENGLISH_BILINGUAL_TOGGLE_MOBILE_ANIMATION_v01.gif" style="width: 400px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> <p>預料SGE很快會再加入其他語言測試地區。<a href="https://www.ithome.com.tw/news/157774" target="_blank">7月Google宣布</a>已為Bard賦予了聽懂40種語言的能力，並能以中文、北印度語、德語、西語及阿拉伯語等5種回應用戶，而且還會持續增加。</p> <p>除了擴大測試地區外，Google也改善了SGE的介面設計，在AI提供的相關網頁資源旁加上箭頭圖示，使相關網頁資源更醒目好找，用戶點入後可以看到更多相關網頁。這項功能會先部署到美國，未來幾周再推向日本及印度。</p> <p>用戶必須安裝Android或iOS版Google App，或使用桌機版Chrome才能加入SGE的測試。</p> </div></div></div>
2023/9/5 10:32作者林妍溱https://www.ithome.com.tw/news/158585
Google跨雲儲存引擎BigLake更新，可用於簡單開發事件驅動應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年發布的全託管低延遲NoSQL資料庫BigLake，迎來了幾項<a href="https://cloud.google.com/blog/products/databases/whats-new-with-cloud-bigtable-at-google-cloud-next-23">重要更新</a>，包括可用於建構事件驅動應用程式的更改串流（Change Stream），還透過在混合交易和分析處理加入優先等級，避免資源爭奪，而用戶現在也可以不需使用ETL，就直接將BigQuery資料匯出至Bigtable。</p> <p>BigLake作為統一儲存引擎，能夠跨不同雲端和格式，提供精細度一致的儲存控制，解決企業在不同環境以多種資料格式儲存資料，造成資料孤島的問題。</p> <p>BigLake推出新的更改串流功能，用戶能夠追蹤Bigtable變更，並且和其他系統整合，官方舉例，Bigtable的資料變更可以複製到BigQuery中進行分析，又或是複製到ElasticSearch執行全文搜尋，甚至複製到其他資料庫中以支援多雲和混合雲架構。透過訊息傳遞服務Pub/Sub和無伺服器服務Cloud Functions，就能夠觸發下游操作，甚至是整合Vertex AI建立機器學習驅動應用。</p> <p>更改串流可以讓零售商更簡單地監控產品目錄變化，隨時監控產品的定價和可用性，並且觸發應用內或是電子郵件通知，提醒客戶商品狀態變更。銀行應用也可以利用更改串流，將上傳的文件交付給Cloud Vision人工智慧，以解析其內容。</p> <p>另外，過去在分析營運資料的應用上，企業常會擔心資源競爭的問題，當分析操作消耗過多的資源，可能破壞具延遲敏感性的工作負載，部分團隊需要創建額外的執行個體，專門執行批次分析任務，又或是在低流量時刻進行操作，但這些方法可能產生額外成本或是管理工作。</p> <p>而Bigtable新的請求優先等級功能，則可以解決這個問題，當用戶在執行較不具時效性的大型工作負載，像是分析查詢和批次寫入，便能夠將其設為低優先等級，Bigtable便會選擇優先處理高時效性的查詢作業，進而減少批次處理對系統的影響。</p> <p>常用的Bigtable資料存取路徑，諸如BigQuery聯合、Dataflow和Spark連接器，也都支援請求優先等級，分析師、資料工程師和資料科學家都能夠操作資料，Bigtable將會依優先等級排序工作，降低批次資料載入或是模型訓練對整體系統效能的影響。</p> <p>BigQuery現在也可以直接將資料匯出到Bigtable，過去將資料移入營運資料庫需要經過複雜的ETL工作管線，而Bigtable更新後開發者能夠自助，將資料從資料倉儲移動到營運資料庫。此外，Bigtable的另一項重要更新是能夠與HBase雙向複製，透過Bigtable所提供Apache HBase相容API，還有通用的寬欄位（Wide-Column）資料庫結構，能夠簡單地實踐雙向複製，使用戶建構多雲或是混合雲部署。</p> </div></div></div>
2023/9/5 08:26作者李建興https://www.ithome.com.tw/news/158567
IBM與Salesforce結盟合推企業AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-08-31-IBM-and-Salesforce-Team-Up-To-Help-Businesses-Accelerate-Adoption-of-Trustworthy-AI">IBM與Salesforce聯手</a>推廣企業生成式人工智慧服務，目標是要加速用戶在客戶關係管理中，對人工智慧的採用，鎖定IBM Consulting和Salesforce共同客戶，透過生成式人工智慧加速業務轉型。</p> <p>在這項合作中，IBM Consulting將派出自家16萬個專業顧問，協助用戶採用Salesforce的人工智慧技術，像是Einstein、Sales Cloud、Service Cloud、Marketing Cloud還有Slack。除了協助用戶部署Salesforce生成式人工智慧工具之外，IBM Consulting也會使用自家企業及人工智慧與資料平臺watsonx，來補充Salesforce的解決方案。</p> <p>Salesforce在今年3月的時候，透過整合自家人工智慧模型、資料與ChatGPT模型，推出了客戶關係管理專用的生成式人工智慧服務Einstein GPT，並且在<a href="https://www.ithome.com.tw/news/155825">Einstein GPT</a>產品線旗下，發展出Marketing GPT等行銷工具，可用於協助用戶創建廣告文案等任務，另外還有客服用的Einstein GPT for Service。而這些生成式人工智慧產品都在這次的合作範疇內。</p> <p>IBM提到，他們將使用IBM Garage來協助企業採用Salesforce的生成式人工智慧產品。IBM Garage是一個創新框架與工作方法，目的是協助加速企業數位轉型和創新的腳步，而且重點也不光是技術創新，還能夠協助組織文化轉型。IBM Garage可以協助用戶在初採用Salesforce人工智慧技術時，從採用最小可行產品部署著手。</p> <p>另一個本次的合作重點，還有IBM Consulting Managed Services for Salesforce，用戶將獲得人工智慧體驗和實作加速器套裝，官方解釋，這個交付和管理模型，將有助用戶部署、擴展和強化Salesforce服務。像是其中一款稱為IBM Data Classifier的人工智慧工具，就能簡化資料映射（Data Mapping）的工作，加快資料整合、搬遷和轉換，促進發展資料應用。</p> </div></div></div>
2023/9/5 08:31作者李建興https://www.ithome.com.tw/news/158569
歐盟研究發現科技公司自2022年來都未能有效阻擋俄羅斯資訊戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟針對俄羅斯在科技公司的線上平臺散布假消息的影響力展開<a href="https://op.europa.eu/en/publication-detail/-/publication/c1d645d0-42f5-11ee-a8b8-01aa75ed71a1/language-de">研究</a>，發現俄羅斯針對歐盟及同盟國發動的大規模虛假消息宣傳，總受眾達到1.65億人，瀏覽量高達160億次，而研究初步分析，俄羅斯假消息的影響力又在2023年上半年進一步擴大，主要原因來自於X（前推特）取消安全標準作為。</p> <p>俄羅斯入侵烏克蘭後，歐盟想透過政策和法律對抗俄羅斯所發動的資訊戰，因此大多數主要線上平臺都在2022年6月簽署假消息實踐守則，並在之後，歐盟也通過並在2023年生效的《數位服務法》（Digital Services Act，DSA），要求大型科技公司建立安全的數位空間，保護數位用戶基本權利，歐盟也依據DSA的規範收集資料，分析俄羅斯的影響力。</p> <p>即便線上平臺皆依據簽署的假消息實踐守則以及DSA採取行動，但這項行動卻仍失敗了，與俄羅斯相關帳號的貼文受眾與覆蓋範圍大幅增加，這項結果引發各界質疑歐盟防禦俄羅斯資訊戰的能力，並且擔心2024年6月歐洲選舉的完整性。</p> <p>俄羅斯近一年以10多種歐洲語言在主要平臺散播假消息，而資訊戰成為俄羅斯軍事行動的一環，對歐洲內部公共安全、基本權利和選舉造成風險。</p> <p>歐盟報告顯示，平臺的作為並沒有有效阻止整體資訊戰的發展和影響。證據顯示，線上平臺所推出的措施，都未能考量來自俄羅斯的惡意意圖，與俄羅斯針對線上平臺的全面資訊戰策略，報告舉例，沒有平臺的政策能夠解決所有俄羅斯相關帳號，並且從根本忽略跨平臺的協作攻擊活動。</p> <p>俄羅斯資訊戰相關帳號不只在X平臺猖狂，在Meta平臺吸引到最多受眾，而且由俄羅斯資助的Telegram帳號，其受眾規模也在這段時間翻3倍。研究人員提到，雖然DSA所規範的規則，有辦法控制來自俄羅斯的假消息攻擊，但是這些規則必須被有效的實踐，才能減輕俄羅斯對歐洲民主進行有組織、協同的攻擊。</p> </div></div></div>
2023/9/5 08:35作者李建興https://www.ithome.com.tw/news/158575
搭配輝達CPU與GPU融合晶片，雲達推出首款導入MGX架構伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yun_da_quantagrid-s74g-2u_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期以x86架構為市場主力的伺服器運算平臺，由英特爾Xeon Scalable系列與AMD EPYC系列的中央處理器（CPU）獨領風騷，近年來出現以Arm架構挑戰其地位的產品，像是AWS自行研發設計<a href="https://www.ithome.com.tw/news/148435">Graviton系列處理器</a>，用於自家的雲端服務環境當中；Ampere Computing在2020年推出的Altra系列處理器，已有不少雲端服務業者採用；而以GPU聞名的Nvidia，<a href="https://www.ithome.com.tw/news/143791">2021年宣布將發展Arm架構伺服器處理器平臺Grace</a>，2022年預告此系列將有兩種產品，一是純粹的中央處理器Grace CPU Superchip，另一則是融合Grace CPU與<a href="https://www.ithome.com.tw/review/152926">H100 GPU</a>的Grace Hopper Superchip，由於兩款「超級晶片」的外形顯然比現行CPU要大，也讓外界好奇實作在伺服器設備設計當中，會是何種面貌。</p> <p>在2023年5月底舉行的台北國際電腦展期間，答案終於揭曉，因為多款採用這類超級晶片的伺服器產品，首度在此公開展出，而率先在世人目光下亮相的機型，就是雲達的QuantaGrid S74G-2U。</p> <p>Nvidia共同創辦人暨執行長在當時展覽主題演講過程中，先宣布Grace Hopper Superchip進入全面量產階段，並介紹他們搭配256顆此款晶片組成的<a href="https://www.ithome.com.tw/review/158165">新一代AI超級電腦系統DGX GH200</a>，隨後發表可供多家伺服器廠商快速設計產品的模組化參考架構<a href="https://www.nvidia.com/en-us/data-center/products/mgx/">MGX</a>，而在呈現採用此架構設計而成的廠商合作生態時，Nvidia當場實際展示的產品正是雲達QuantaGrid S74G-2U，裡面搭配Grace Hopper超級晶片、<a href="https://www.ithome.com.tw/review/156209">BlueField-3</a>資料處理器、<a href="https://www.ithome.com.tw/review/149714">ConnectX-7</a>網路卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-30-Nvidia Computex-MGX Server-QCT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-30-Nvidia%20Computex-MGX%20Server-QCT.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-30-Nvidia Computex-MGX Server-QCT2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-30-Nvidia%20Computex-MGX%20Server-QCT2.jpg" style="width: 600px;" /></a></p> <p>雲達在這場活動期間設置的展區，S74G-2U當然也是主打的重點產品，向所有參觀展覽的全球媒體與業界人士展示其內部設計，並且初步揭露這款伺服器的基本規格，例如，處理器為Nvidia Grace CPU，加速器為Nvidia H100 GPU，儲存裝置可安裝4臺E1.S外形PCIe 5.0介面NVMe固態硬碟，以及2張M.2外形PCIe 5.0介面NVMe固態硬碟，可擴充2張全高全長雙寬尺寸的介面卡，機箱尺寸為2U。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-30-Nvidia QCTS74G-MGX.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-30-Nvidia%20QCTS74G-MGX.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-30-QCT%20S74G%20spec%20summary.jpg" style="width: 600px;" /></p> <p>在6月下半，雲達在自家網站公布S74G-2U細部規格，以處理器而言，這裡標明採用單個Nvidia GH200 Grace Hopper Superchip，熱設計功耗為1,000瓦，可透過機箱前緣設置的5臺風扇進行散熱。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S7G_20005_23061517734.jpg" style="width: 348px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/QCT-S74G-2U%20IN%20Nvidia%20TW2.jpg" style="width: 238px;" /> </p> <p>伺服器本身也搭配2臺2,000瓦的電源供應器，提供1+1備援——如雲達網站公布的產品照片所示，這裡用的是<a href="http://liteon-cips.com/products/server-and-network-power-solutions/crps-common-redundant-power-supply/">光寶科技</a>（Lite-On）的<a href="https://www.mirrormedia.mg/story/20230730ind002/">電源供應器</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S7G%20002_23061517183-PSU-web.jpg" style="width: 600px;" /></p> <p>記憶體方面，最多可搭配容量為480 GB嵌入式低電壓DRAM記憶體LPDDR5x，以及容量為96 GB的高頻寬記憶體HBM3，這兩種記憶體均整合在GH200晶片封裝之內。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Grace%20Hopper%20Superchip-2023-05.jpg" style="width: 600px;" /> </p> <p>值得注意的是，雲達在QuantaGrid S74G-2U伺服器附近，設置一張標示為Nvidia MGX的晶片載板，但令我們感到疑惑的是，這塊模組應該是Grace Hopper Superchip，為何此處會以MGX來稱呼這個元件？</p> <p>對照Nvidia公開的MGX白皮書來看，MGX是搭配多個基礎組建模塊而成的系統，包含各種模組化插槽、主機處理器模組（Host Processor Module，HPM）、電源分配板（PDB）、散熱元件，而採用此架構設計的雲達S74G-2U，Grace Hopper Superchip坐落在伺服器機箱的位置，應是MGX架構當中的主機處理器模組，而HBM依照面積大小，分為兩種：MGX HBM、Micro-MGX HPM，以外形而言，雲達S74G-2U應該是採用後者。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-30-Nvidia%20MGX%20in%20QCT%20booth.jpg" style="width: 328px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Micro-MGX%20HPM2.jpg" style="width: 248px;" /> </p> <p>儲存組態的部分，這款伺服器機箱前緣的左側，預設可安裝4臺E1.S外形的NVMe固態硬碟，內部主機板可安裝2張M.2外形的NVMe固態硬碟；在I/O擴充能力上，它支援PCIe 5.0，機箱背部可安裝3張全高全長雙寬尺寸的介面卡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S7G%20003_23061517830-1.jpg" style="width: 285px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/S7G%20004_23061517336.jpg" style="width: 270px;" /></p> <p>而在MGX參考設計架構概念採用的部分，雲達公布的這份技術規格文件，針對伺服器外觀不同角度的呈現，除了列出前視、後視、斜置開蓋，有張圖片似乎是將Nvidia Grace Hopper放在一張基板之上，這樣的配置更符合Nvidia對MGX主機處理器模組的描述。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/QuantaGrid-S74G-2U%20Datasheet%20Page1.jpg" style="width: 198px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>雲達QuantaGrid S74G-2U<br /> ●原廠：雲達科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：1顆Nvidia GH200 Grace Hopper Superchip<br /> ●記憶體：CPU對應嵌入LPDDR5x記憶體，容量最大480GB，GPU對應HBM3記憶體，容量為96GB<br /> ●硬碟容量：4臺E1.S規格NVMe固態硬碟<br /> ●擴充介面：可安裝3張全高全長雙寬PCIe 5.0 x16介面卡<br /> ●電源供應器：2臺2000瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/4 23:20作者李宗翰https://www.ithome.com.tw/review/158452
結合XDR、攻擊面管理、生成式AI，趨勢資安整合平臺大躍進
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/tm_vision_one-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>旗下擁有多種資安解決方案的趨勢科技，長期發展產品與服務，以因應網路威脅的快速變化之餘，也持續推動自家的整合平臺。</p> <p>以近期時興的延伸式威脅偵測與回應系統（XDR），趨勢在2019年8月推出基於雲端服務架構（Cloud-Powered）而成的的<a href="https://www.ithome.com.tw/review/132542">XDR資安整合系統</a>，可同時保護電子郵件、網路、端點、伺服器、雲端服務的工作負載，當中結合多種產品，像是EDR系統<a href="https://www.ithome.com.tw/review/128462">Apex One</a>、網路APT威脅偵測系統Deep Discovery Inspector（DDI）、雲端郵件與檔案存取防護服務<a href="https://www.ithome.com.tw/review/106278">Cloud App Security</a>、伺服器安全防護系統<a href="https://www.ithome.com.tw/review/102433">Deep Security</a>，同時也提供託管式服務Managed XDR，透過他們幫企業代管的方式，全天候持續進行威脅分析、威脅追蹤，協助產生應變計畫及矯正建議。相隔一年之後，該公司也針對中型與小型企業環境，推出Worry-Free XDR，提供單獨使用，以及與代管服務廠商共同管理的解決方案Worry-Free with Co-Managed XDR。</p> <p>而在這段時間，趨勢科技持續擴充雲端資安解決方案陣容，例如，2019年10月併購Cloud Conformity之後，2020年7月推出Cloud One - Conformity，跨入雲端資安態勢管理（Cloud Security Posture Management）市場；同年12月，他們發表Cloud One - File Storage Security，守護雲端檔案儲存服務的安全；2021年1月，他們推出容器防護解決方案Cloud One - Container Security，同年5月，他們發表Cloud One - Open Source Security by Snyk，可掌握開放原始碼軟體開發元件的資安漏洞，提升應用程式安全。</p> <p>2021年2月，趨勢科技推出新的整合式資安平臺Vision One，以XDR為核心、結合更多功能，提升資安團隊對於網路威脅的能見度與反應速度，例如，新增更多特製感測器，能橫跨多個安全層級與該公司旗下的資安解決方案進行原生整合；在網路威脅情報方面，支援跨層級的威脅偵測模型，可搭配Trend Micro Research提供的洞察分析，而獲得資安風險透視能力，使企業能夠清楚看清複雜的攻勢，並掌握個別資安解決方案無法察覺的資安盲點與死角。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-02-Trend Micro Vision One.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-Trend%20Micro%20Vision%20One.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-31-Trend%20Micro%20Vision%20Platform2.jpg" style="width: 600px;" /></p> <p>而在簡化管理方面，Vision One也提供單一主控臺，能橫跨多個資安控管層級調整政策與驅動應變機制，而無需頻頻切換不同產品的管理介面，同時，這裡也有立即可用的API，能夠整合其他資安廠商既有的解決方案，以用於工作流程的搭配。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-11-Trendmicro Vision One.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-11-Trendmicro%20Vision%20One.jpg" style="width: 600px;" /></a></p> <p>同年9月，趨勢正式推出零信任風險評估解決方案Zero Trust Risk Insights，奠基於該公司資安平臺之上，可透過端點、電子郵件、網路、SaaS雲端應用程式的遙測，持續評估身分、裝置、雲端應用程式等層面的資安風險，而這樣的洞察分析，後續可用於網路威脅的自動偵測、阻擋、矯正，並且在相關連線完成之前就予以處理，用戶不需額外部署應用程式或代理程式，也能藉此獲得安全態勢評估與完整的風險分析能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2021-11-Trendmicro ZT Risk Insights.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-11-Trendmicro%20ZT%20Risk%20Insights.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>跨入攻擊面管理應用領域，結合資安風險評估功能</strong></span></h3> <p>今年6月，趨勢科技宣布Vision One平臺更新，多層式防護範圍從企業內部、雲端服務，如今可橫跨到混合環境，並納入受攻擊面風險管理（Attack Surface Risk Management，ASRM），同時他們也運用生成式AI技術打造次世代XDR，期盼再度提升網路威脅的早期偵測與快速應變成效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-Trend Vision One.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-Trend%20Vision%20One.jpg" style="width: 600px;" /></a></p> <p>以ASRM而言，趨勢科技在此提供受攻擊面的持續探查與即時風險評估，企業可根據攻擊的可能性與產生的衝擊程度，迅速辨別資安漏洞、暴露在公開網路等重大資安風險，目前可提供3大核心元件：網路資產受攻擊面管理（Cyber Asset Attack Surface Management，CAASM）、外部受攻擊面管理（External Attack Surface Management，EASM）、網路資安風險量化（Cyber Risk Quantification，CRQ）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-31-Trend%20Micro%20ASRM.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20ASRM-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-31-Trend Micro Vision zt1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-31-Trend%20Micro%20Vision%20zt1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-08-31-Trend Micro Vision zt2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-31-Trend%20Micro%20Vision%20zt2.jpg" style="width: 298px;" /></a></p> <p>其中的EASM，應該是較常看到的解決方案，市面上有多家資安廠商都號稱能提供，趨勢科技是將其散落在多個獨立系統的風險管理功能，整合在單一解決方案，協助企業資安人員能夠獲得由外而內的數位資產風險全貌，從而找出潛在威脅、主動緩解各種來自網路邊界以外的資安風險。</p> <p>CAASM則是活用企業既有資安基礎架構投資的作法，可運用已部署在企業環境的各種資料來源進行分析，而能針對位於自身環境的網路資產狀態，獲得更深入的了解，以確保重要資產均能經由主動監控、風險評估、漏洞管理等方式，確立處理的優先順利，並且受到足夠的保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Micro ASRM-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20ASRM-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Micro ASRM-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20ASRM-3.jpg" style="width: 600px;" /></a></p> <p>至於CRQ，是指Vision One可提供專屬、透明的網路風險量化統計報告，方便資安團隊的主管向企業董事會通報，協助高層了解網路風險、資安態勢、快速復原規畫，當中將呈現即時、融合資安狀態前後脈絡的風險資料，裡面包含可信度高的攻擊資料、漏洞與外部暴露程度的洞察分析，以及安全性組態與控制的狀態，進行量化計算與績效表現的測試評估，藉此改善自身狀態的察覺，並且能對重要工作進行優先度的排列，以提升整體處理效率。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/OkejyfARO54?si=aK6yF3yjXSP2aWBt" title="YouTube video player" width="560px"></iframe></div> <p> </p> <h3><strong><span style="color:#0000FF;">導入生成式AI，可支援技術程度不同的資安分析人員使用</span></strong></h3> <p>歷經幾個季度的初期開發階段，趨勢科技在Vision One引進大型語言模型（LLM），開始嵌入AI網路安全助手功能Companion，可同時協助技術程度不同的分析師，提升資安維運能力、強化作業生產力與效率，加速威脅的偵測與因應，以及網路風險的管理。他們強調，這類新興科技的應用，會優先考量安全性與法規遵循的需求，過程中將會採用最嚴格的措施，確保每個模型處理企業資料的方式都能清清楚楚展現出來，而且裡面也實作額外的控制與隔離機制，預防趨勢科技與其他廠商的大型語言模型執行個體與訓練資料彼此混合。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Companion-0.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Micro Companion-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Companion-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Trend Micro Companion-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Companion-2.jpg" style="width: 298px;" /></a></p> <p>Companion預計將提供4種特色。首先是強化操作能力與效率，能在面臨廣泛且複雜的網路攻勢時，分析師能運用Companion更快著手處理，因為相關人員能夠從中依據較完整的已知資訊，進行決策判斷，能跨越彼此的技能差距，進行更有效益的資安作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Micro Companion-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Companion-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Micro Companion-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Companion-4.jpg" style="width: 600px;" /></a></p> <p>第二是針對威脅獵捕行動，提供更快的處理速度、更大的執行信心，以及更高的精準度。資安人員可透過輸入一般語句在Companion搜尋，而不必使用正式的查詢語法，就能找到相關資訊、用於主動式威脅應變處理動作，使這些敵對惡意行為難以進行大規模移動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Trend Micro Companion-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Companion-5.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Trend Micro Companion-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trend%20Micro%20Companion-6.jpg" style="width: 198px;" /></a></p> <p>第三是加速工作流程的執行、減少不必要的操作摩擦阻力，對於跨越不同層級的事件警示、攻擊者指令碼、命令列執行動作，這裡的AI可提供多種機制，例如，以一般語言進行的內容解釋、深層分析的存取、整合事件前後脈絡的威脅緩解建議，而且在相關的電子郵件寄送、桌面協助處理（help-desk）工單傳遞、事故報告的產生，都能以自動化的方式進行，促使流程順暢運作、提升溝通效率。</p> <p>第四是善用Vision One平臺的高度整合，能大幅提升生成式AI應用成效，避免因資安風險的差異與活動頻率而面臨工作切換與警報疲勞的挑戰。</p> <p>例如，Companion搭配趨勢科技多種資安系統原生的感測器、持續分析的網路威脅情報內容，可延伸運用到企業整體環境當中，提供處理指引，列出風險、威脅、漏洞的優先處理順序之餘，並涵蓋最新發現的零時差漏洞攻擊，提供精準的偵測與應變能力。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/LEIrkz7KGWQ?si=26bjvCLCx1RYghix" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Trend Micro Vision One<br /> ●原廠：趨勢科技<br /> ●建議售價：廠商未提供<br /> ●解決方案供應形式：SaaS雲端服務<br /> ●保護對象：端點、伺服器、雲端服務工作負載，身分，電子郵件、網路<br /> ●系統平臺與資料湖設置位置：AWS、Azure<br /> ●系統組成：XDR、Attack Surface Risk Management（Risk Insights）、Zero Trust Architecture（Zero Trust Secure Access）、Endpoint Security、Cloud Security、Network Security、Email Security、OT Security、Global Threat Intelligence<br /> ●整合趨勢科技資安產品：Apex One as a Service with Endpoint Sensor XDR editon、Cloud App Security、Cloud One - Workload Security、Deep Discovery Inspector、Deep Discovery Director、Deep Discovery Direcotr - Network Analytics as a Service、Deep Security Software、Trend Micro Web Security<br /> ●整合其他廠牌資安產品：<br /> Broadcom Symantec ProxySG與Advanced Secure Gateway，Checkpoint Open Platform for Security（OPSEC），Fortinet網路防火牆，IBM QRadar on Cloud，MISP Project，微軟Azure AD、Intune、Office 365、Azure Sentinel，Okta，Palo Alto Networks Panorama，Splunk，VMware Workspace ONE UEM</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/4 19:22作者李宗翰https://www.ithome.com.tw/review/158555
【資安日報】9月4日，Adobe應用程式開發平臺CloudFusion重大漏洞被用於部署挖礦軟體、後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe在7月份的例行更新裡，修補了應用程式開發平臺ColdFusion的重大漏洞CVE-2023-29300，不久後就有研究人員公布概念性驗證程式（PoC），接著就出現相關的漏洞攻擊。雖然Adobe已推出修補軟體，但現在仍有駭客針對相關漏洞而來，目的是想濫用這個平臺挖礦牟利。</p> <p>值得留意的是，駭客一口氣至少部署3種以上的挖礦程式，部分還能操控受害伺服器進行DDoS攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/multiple-threats-target-adobe-coldfusion-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">應用程式開發平臺Adobe ColdFusion重大漏洞出現攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-coldfusion-ips-signature-activity.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-coldfusion-ips-signature-activity.png" style="width: 300px; float: right;" /></a>今年7月Adobe揭露應用程式開發平臺ColdFusion的預先身分驗證漏洞CVE-2023-29300（CVSS風險評分為9.8），攻擊者可用於遠端發動執行任意程式碼（RCE）攻擊，隨後有研究人員找到可繞過修補程式的新漏洞CVE-2023-38203、CVE-2023-38204（CVSS風險評分皆為9.8），Adobe也發布相關更新，但如今傳出相關漏洞攻擊仍持續發生。</p> <p>資安業者Fortinet指出，他們看到新一波的攻擊行動，駭客利用名為interactsh的工具，探測目標ColdFusion平臺能否存在相關漏洞，然後嘗試用Base64進行編碼以隱藏自身的惡意酬載發動攻擊，企圖執行未經授權的存取，從而達到遠端控制的目的。</p> <p>一旦攻擊者得手，就會從不同的IP位址下載攻擊工具，研究人員目前看到對方企圖植入的惡意程式，有挖礦軟體XMRig Miner、RudeMiner，DDoS攻擊程式Lucifer（亦稱Satan DDoS），以及後門程式BillGates（亦稱Setag）。</p> <p><a href="https://www.securonix.com/blog/securonix-threat-labs-security-advisory-threat-actors-target-mssql-servers-in-dbjammer-to-deliver-freeworld-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟SQL Server遭勒索軟體FreeWorld鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FreeWorld-8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FreeWorld-8.png" style="width: 300px; float: right;" /></a>資安業者Securonix近期的DB#Jammer攻擊行動，駭客針對曝露在網際網路上的微軟SQL Server動手，透過暴力破解的方式入侵，目的是部署名為FreeWorld的勒索軟體。</p> <p>一旦成功存取此種資料庫系統，駭客便會找出所有資料庫，並偵測環境裡xp_cmdshell功能是否啟用，進而藉此執行Shell命令並進行偵察。接著，駭客在伺服器上建立新的使用者帳號windows、adminv$、mediaadmin$，這些帳號全數具備系統管理員（administrators）、遠端桌面連線用戶（remote desktop users）的群組成員身分。為了讓攻擊行動順利，駭客也藉由登錄檔停用系統大部分安全功能，並下達netsh命令停用防火牆。然後，他們透過網路芳鄰共享（SMB）散布惡意軟體，以及遠端桌面連線工具AnyDesk執行後續行動，最終於受害伺服器部署勒索軟體FreeWorld。</p> <p>關於此款勒索軟體是哪一個團體發動的？研究人員發現，另一款名為Mimic的勒索軟體在攻擊的戰術、技術、程序（TTP），和這波攻擊有許多相似之處，其中之一便是濫用桌面搜尋軟體Everything列出電腦裡的檔案，因此他們認為，FreeWorld很可能是Mimic的變種。</p> <p><a href="https://sec.okta.com/articles/2023/08/cross-tenant-impersonation-prevention-and-detection"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">身分驗證解決方案業者Okta針對社交工程攻擊提出警告</span></strong></a></p> <p>9月1日身分驗證解決方案業者Okta發布資安通告，指出他們接獲數個美國客戶通報，駭客針對IT服務臺的管理者進行社交工程攻擊，企圖要求他們重設特權使用者的多因素驗證（MFA）的配置。一旦得逞，攻擊者就有機會濫用Okta身分同盟（Identity Federation）功能，竊取超級管理員帳號，進而假冒組織的使用者入侵內部環境。</p> <p>為了隱匿身分，攻擊者在存取遭駭帳號的過程裡，使用匿名的代理伺服器服務，並利用與該帳號無關的裝置及IP位址進行。此外，該公司也看到駭客設置第二個身分驗證供應商（IdP），來存取受害組織的應用程式，此「供應商」也是駭客所控制，用來充當來源IdP，並與目標組織的IdP進行對內同盟（Inbound Federation）。</p> <p>Okta認為，這些駭客很可能握有特權使用者帳號的密碼，或是具備操弄AD的身分驗證流程的能力，相關事故發生在7月29日至8月19日。而對於攻擊者的身分，Okta並未進一步透露，但<a href="https://thehackernews.com/2023/09/okta-warns-of-social-engineering.html">資安新聞網站Hacker News指出</a>，上述的攻擊手法很可能與今年6月公布的Muddled Libra攻擊行動有關。</p> <p><a href="https://blog.talosintelligence.com/sapphirestealer-goes-open-source/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用開源竊資軟體SapphireStealer打造變種程式</span></strong></a></p> <p>思科旗下的威脅情報團隊Talos指出，有多個駭客組織利用開源竊資軟體SapphireStealer，將其進行改良，用於打造專屬的作案工具。</p> <p>此竊資軟體SapphireStealer是以.NET開發而成，具備收集主機資訊、截取螢幕畫面、瀏覽器帳密資料、挖掘指定副檔名的檔案，其程式碼於去年12月在GitHub公布，研究人員後來在今年1月中旬就看到有人上傳新的版本，並在今年上半持續開發新版SapphireStealer。</p> <p>究竟駭客加入了那些新功能？研究人員指出，有的版本利用即時通訊軟體Discord的Webhook API來傳送竊得的資料，有的版本則搭配名為FUD-Loader的惡意軟體載入程式，將SapphireStealer用於多階段惡意軟體攻擊。</p> <p><a href="https://flashpoint.io/blog/ransomed-uncertain-cyber-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Ransomed索討贖金出現新話術：付錢可免除GDPR處罰</span></strong></a></p> <p>資安業者Flashpoint揭露駭客組織Ransomed（亦稱RansomForums）的攻擊行動，這些駭客自8月15日起，聲稱竊得目標組織的資料，並以GDPR等個資保護法律的名義，向目標組織索討贖金，金額從5萬至20萬歐元不等，揚言若是不從，受害組織將面臨巨額罰款。</p> <p>駭客在Telegram頻道與網站Ransomed[.]vc上，列出受害組織的名稱，並張貼螢幕截圖做為證據，但不像許多勒索軟體駭客會在網站上提供部分資料讓買家檢驗。此外，這些駭客也在網站上公布2個收款的比特幣錢包，這樣的做法可說是相當罕見，駭客是否真的從這些組織竊得資料也無從得知。</p> <p>而對於駭客的身分，研究人員指出，這可能是在今年5月曾打造駭客論壇Exexed Forum人士所經營，動機與經濟利益有關。</p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/peeling-back-the-layers-of-remcosrat-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式Remcos透過經過混淆處理加殼的VBS檔案、PowerShell指令碼來埋藏攻擊程式</span></strong></a></p> <p>資安業者McAfee揭露最近一波RAT木馬程式Remcos的攻擊行動，駭客先是透過釣魚郵件挾帶ZIP或RAR壓縮檔案附件，一旦開啟，就有可能觸發當中的Visual Basic指令碼（VBS），然後執行PowerShell指令碼，將惡意程式加入防毒軟體Microsoft Defender的白名單，最終利用惡意軟體載入程式MSIL Loader，先後執行木馬程式Syk Crypter、Remcos。</p> <p>研究人員發現，駭客在指令碼當中，加入了大量注釋、隨機字串，以及透過混淆處理的命令，企圖規避資安系統的偵測，其中，駭客在PowerShell指令碼裡，使用Base64String編碼、Deflate Stream演算法，來對另一個PowerShell指令碼進行加密，而這個指令碼將解出新的可執行檔案MSIL Loader，並注入特定的處理程序執行。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://news.tvbs.com.tw/local/2218285"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全真瑜珈健身傳出系統遭駭客攻擊，傳出會員信用卡遭盜刷</span></span></strong></a></p> <p><a href="https://www.resecurity.com/blog/article/smishing-triad-targeted-usps-and-us-citizens-for-data-theft"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">釣魚簡訊攻擊Smishing Triad鎖定美國民眾而來</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/kinsing-malware-exploits-novel-openfire-vulnerability"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Kinsing鎖定Openfire漏洞而來</span></span></strong></a></p> <p><a href="https://www.rapid7.com/blog/post/2023/08/29/under-siege-rapid7-observed-exploitation-of-cisco-asa-ssl-vpns/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客鎖定思科VPN系統進行帳號填充攻擊</span></span></strong></a></p> <p><a href="https://www.ncsc.gov.uk/news/uk-allies-support-ukraine-calling-out-russia-gru-malware-campaign"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客鎖定烏克蘭軍方，利用惡意軟體攻擊安卓設備</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/158551">【9月1日】 AI程式碼編譯網站Sourcegraph證實遭遇網路攻擊，起因是工程師提交程式碼出錯，導致Token外洩而被奪權</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158534">【8月31日】駭客組織Earth Estries從事網路間諜活動，包含臺灣在內的多國政府機關、科技業者成為目標</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/158501">【8月30日】駭客在PDF檔案裡埋藏惡意Word文件來發動攻擊，藉此躲過資安系統偵測</a></strong></p> </div></div></div>
2023/9/4 17:53作者周峻佑https://www.ithome.com.tw/news/158568
Google、GitLab深化合作提升DevOps與軟體供應鏈安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布與GitLab進一步<a href="https://about.gitlab.com/blog/2023/08/29/gitlab-google-partnership-s3c/">合作</a>，在Google雲端整合GitLab平臺的DevOps功能，GitLab的原始碼管理、規畫、CI/CD工作流程和進階安全與法遵功能，與Google雲端控制臺和ArtifactRegistry以統一資料平面相整合，減輕開發者管理雲端上自託管解決方案的工作，諸如修補程式、升級還有測試等任務。</p> <p>這次的整合讓用戶可以使用GitLab統一DevSecOps工作流程以及Google雲端原生供應鏈安全功能，因此開發人員不只可以降低交付軟體的複雜性，同時也能在整個軟體開發生命周期中，獲得系統範圍的治理與政策執行。</p> <p>在編寫程式碼前，開發人員就已經可以從Google雲端控制臺存取GitLab專案，並在GitLab規畫、創建問題（Issue）和定義史詩（Epic）。當程式碼要推送至生產環境時，開發人員可以直接從GitLab註冊和配置私有Google Runner，並利用CI/CD元件模板，將程式部署到GKE等Google雲端資源。</p> <p>Google ArtifactRegistry與GitLab工作管線的整合，讓開發人員可以在ArtifactRegistry中，查看GitLab生成的安全掃描結果和漏洞報告後設資料，並可以藉由軟體供應鏈安全框架SLSA評等，了解軟體的建置來源與方法，軟體物料清單（SBOM）能夠提供相關的構件透明度，而Binary Authorization則可以作為部署門控。</p> <p>GitLab的輸出則可以透過證明和簽章提供安全性門控確認，當特定套件不滿足安全和驗證要求，系統就能阻止該程式在叢集中運作。這個方法提供了一個額外安全機制，只有經過驗證且符合安全標準的軟體套件，才能被部署並執行。</p> </div></div></div>
2023/9/4 16:16作者李建興https://www.ithome.com.tw/news/158565
瀏覽器的安全設計再加上網站漏洞，讓擴充程式可存取使用者密碼等機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/pdf/2308.16321.pdf" target="_blank">來自美國威斯康辛大學麥迪遜分校（University of Wisconsin–Madison）的3名研究人員上周發表了一篇研究報告</a>，指出坊間主要瀏覽器的粗粒度權限模型（Coarse-Grained Permission Model）違反兩項安全設計準則，再加上網站上的輸入欄位含有安全漏洞，將足以讓駭客藉由瀏覽器擴充程式取得使用者所輸入的機密資料，包括密碼與信用卡資訊。</p> <p>研究人員所調查的瀏覽器涵蓋Google Chrome、Mozilla Firefox與蘋果Safari，並宣稱它們在處理文字輸入欄位的權限時，並未遵循最低權限及完全仲裁（Complete Mediation）原則，前者指的是系統應該僅具備最低限度的必要存取權限，後者則是每次的存取都應檢查權限。</p> <p>研究人員分析了Chrome Web Store中的17,300款擴充程式，發現當中有12.5%具備汲取所有網頁上機密資訊的必要權限，包括擁有超過1,000萬名使用者的AdBlockPlus及優惠券程式Honey。此外，還有190款擴充程式可以直接存取密碼欄位。</p> <p>至於網站上有關輸入欄位的安全漏洞亦有兩項，一是可於網頁的原始碼上直接看到明文密碼，二則是允許附加到文件物件模型（Document Object Model，DOM）樹的瀏覽器擴充程式（下圖），得以自網頁原始碼中汲取使用者的登入憑證。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0904-DOM(1).png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><a href="https://arxiv.org/pdf/2308.16321.pdf" target="_blank">圖<span style="color:#696969;">片來源《Exposing and Addressing Security Vulnerabilities in Browser Text Input Fields》</span></a></span></p> <p>在分析全球前1萬個網站的登入頁面之後，發現有1,100個網站在其HTML原始碼中以明文呈現密碼，包括Google、Cloudflare與Doordash在內，另有7,400個網站含有與DOM相關的安全漏洞，像是Facebook。此外，該報告也宣稱Amazon於信用卡輸入欄位並未導入任何保護機制，而讓他們得以在網頁上看到明文的安全碼及郵遞區號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0904-password%20is%20visible%20in%20the%20outerHTML.png" style="width: 400px;" /></p> <p><a href="https://arxiv.org/pdf/2308.16321.pdf" style="font-size: 14px;" target="_blank">圖<span style="color: rgb(105, 105, 105);">片來源《Exposing and Addressing Security Vulnerabilities in Browser Text Input Fields》</span></a></p> <p>為了測試Chrome Web Store的審核程序，研究人員打造了一個可汲取密碼的概念性驗證攻擊程式，將其偽裝成基於GPT的助理工具，可提供類似ChatGPT的能力，並將它上傳到Chrome Web Store上，由於它既符合Manifest V3擴充程式規格，也沒有明顯的惡意程式碼，因而順利地通過了Google的審核。</p> <p>研究人員指出，Web Store沒能辨識出該惡意擴充程式，彰顯出業界需要一個更強大的瀏覽器擴充程式驗證系統。</p> <p>儘管Chrome與Microsoft Edge等Chromium瀏覽器都已經採用了更安全及更具隱私的Manifest V3規格，也不再接受基於Manifest V2的擴充程式，亦未能防範上述的威脅，而持續允許Manifest V2擴充程式的Safari及Firefox顯然更容易遭到類似的攻擊。</p> </div></div></div>
2023/9/4 16:12作者陳曉莉https://www.ithome.com.tw/news/158566
AI趨勢周報第226期：微軟開源超強語音合成模型VALL-E X了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0825～0831)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">語音合成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VALL-E X </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟終於開源超強語音合成模型VALL-E X了</strong></span></p> <p>今年初，微軟發表一篇語音合成模型VALL-E X論文，只要輸入3到10秒個人講話的錄音，模型就能逼真合成該聲音，用另一個語言說話，但當時，微軟並未發布任何模型和程式碼。</p> <p>現在，微軟終於<a href="https://github.com/Plachtaa/VALL-E-X/blob/master/images/vallex_framework.jpg">開源VALL-E X模型</a>，它是一款多語言文字轉語音（TTS）模型，不只能根據文字，以合成語音讀出，還具備零樣本語音合成能力。微軟在GitHub上說明，VALL-E X具多項特點，包括支援英文／中文／日文、合成語音情感控制、支援跨語言合成、零樣本語音合成、零樣本跨語言語音合成等，甚至還具備口音控制特點，比如帶有英語腔的中文。此外，VALL-E X還能保留語音環境聲音，讓產出的語音更自然、更貼近真實情況。<a href="https://www.microsoft.com/en-us/research/project/vall-e-x/vall-e-x/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/research/uploads/prod/2023/05/vallex_framework.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Code Llama </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta釋出程式開發語言模型Code Llama</strong></span></p> <p>日前，Meta釋出程式開發專用的語言模型Code Llama，共有三種版本，包括基礎程式碼模型、針對Python微調的模型，以及針對自然語言指令微調的模型。與Llama 2相同，Code Llama也可免費用於研究和商業用途。Code Llama使用更多程式碼資料集訓練而成，是專門處理程式碼的Llama 2模型。Code Llama具有更強的程式碼編寫能力，可根據程式碼和自然語言提示，生成程式碼或有關程式碼的自然語言回應，也能執行程式碼輔助撰寫和除錯任務，支援的程式語言包括Python、C++、Java、PHP、Typescript、C#和Bash。</p> <p>Meta也根據不同服務和延遲需求，推出三種大小的Code Llama，包括是70億、130億和340億參數，70億參數的版本可以在單個GPU上運作，最大的340億模型則能回傳最佳結果。此外，Code Llama還能處理長序列內容，能穩定生成10萬Token的內容，也能處理高達10萬Token的輸入。<a href="https://about.fb.com/news/2023/08/code-llama-ai-for-coding/">（詳全文）</a></p> <p><img alt="" src="https://about.fb.com/wp-content/uploads/2023/08/CC23_240-Code-Llama_Visual3A.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型主機 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Java </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM揭新生成式AI工具，可將大型主機COBOL程式轉為Java</strong></span></p> <p>針對大型主機COBOL應用程式現代化需求，IBM宣布推出生成式AI工具Watsonx Code Assistant for Z，能將IBM Z主機上的COBOL應用程式，轉換成高品質的Java程式碼，來提高開發效率，加速現代化大型主機應用。IBM預計在2023年第4季正式推出。</p> <p>Watsonx Code Assistant for Z是Watsonx Code Assistant系列成員之一，背後由IBM watsonx.ai程式碼模型支援，watsonx.ai模型經1.5兆個Token訓練，具200億參數，能理解115種程式語言。Watsonx Code Assistant隨著時間發展擴大，理解的程式語言也更廣泛，可望解決開發者需要學更多的技能挑戰。<a href="https://newsroom.ibm.com/2023-08-22-IBM-Unveils-watsonx-Generative-AI-Capabilities-to-Accelerate-Mainframe-Application-Modernization">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 浮水印 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SynthID </span></strong></span></p> <p><span style="font-size:22px;"><strong>如何辨識AI產生的圖片？DeepMind發表可用添加和偵測浮水印的SynthID</strong></span></p> <p>為實踐負責任AI承諾，DeepMind在8月29日發表一款SynthID工具，可在AI生成的圖片中建立浮水印，也能偵測AI生成圖片中的浮水印，來辨識AI生成的圖片。不過，SynthID目前只適用於DeepMind開發的文字轉圖片模型Imagen，未來可望支援其它模型或開放第三方使用。</p> <p>SynthID由2個深度學習模型組成，分別用來添增浮水印和用來辨識浮水印。DeepMind指出，就算這些AI生成圖片使用不同的濾鏡、變更顏色，或是以破壞性資料壓縮方式儲存，SynthID產生的浮水印也不會消失。目前SynthID仍為測試版，初期將提供給Google Cloud上少數使用Imagen的Vertex AI客戶。<a href="https://www.deepmind.com/blog/identifying-ai-generated-images-with-synthid">（詳全文）</a></p> <p><img alt="" src="https://assets-global.website-files.com/621e749a546b7592125f38ed/64e8abbb424b8a7e3b88b707_64e7629196215db21326c003_synthid_watermark_lo.gif" style="width: 960px; height: 540px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Neo4j </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 向量搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 圖學 </span></strong></span></p> <p><span style="font-size:22px;"><strong>讓生成式AI說話更有憑有據！知名圖資料庫Neo4j新添向量搜尋功能</strong></span></p> <p>財星100大公司有超過75家企業使用的熱門圖資料庫Neo4j，最近推出向量搜尋（Vector Search）新功能，能快速搜尋上下文相關資訊，找出隱藏在資料點中的隱藏關係。這種透過向量搜尋所找到的資料，不是單純比對關鍵字，而是進一步理解單詞背後的意義，讓使用者從生成式AI中獲得更豐富的資訊。</p> <p>結合Neo4j的知識圖譜和向量搜尋功能，使用者能以Grounding技術，進一步改善大型語言模型回應的精確度。Grounding在語言模型中的意義，是將模型的知識或回答，與具體且可信的資料相關聯，讓模型能提供基於事實且與上下文相關的回應。開發者可用特定模型，將各種資料型態（如文件、影片、音訊或圖像）編碼成向量，再以Neo4j建立向量索引，選擇使用餘弦相似度或歐幾里德相似度，來快速執行近似K-近鄰演算法（KNN），找到與特定向量相似的向量。<a href="https://neo4j.com/blog/vector-search-deeper-insights/">（詳全文）</a></p> <p><img alt="" src="https://dist.neo4j.com/wp-content/uploads/20230821135317/Grounding-LLM-Responses-with-Implicit-and-Explicit-Search-Through-Neo4js-Knowledge-Graph-2048x1152.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AlloyDB </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料庫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google資料庫服務添功能，企業能更快打造生成式AI應用</strong></span></p> <p>最近，Google在自家雲端年會上宣布，資料庫服務AlloyDB加入新功能AlloyDB AI，內建向量嵌入端到端支援，讓企業可更簡單地在大型語言模型中應用即時營運資料，來打造高效能、可擴展的AI應用程式。</p> <p>AlloyDB是Google針對企業資料庫工作負載需求，而開發的資料庫服務。它相容於PostgreSQL，具Google雲端基礎設施優勢，可橫向擴展運算與儲存，並支援AI/ML功能。AlloyDB處理交易工作負載的速度是標準PostgreSQL的4倍，分析性查詢的速度更是PostgreSQL的100倍。現在，AlloyDB支援生成式AI應用，AlloyDB AI允許用戶用簡單的SQL函式，在資料庫內生成向量嵌入，並以標準PostgreSQL資料庫10倍的速度執行向量查詢。這項功能可擴展大型語言模型的能力，提供準確且新穎的資訊。AlloyDB AI現已在本地端版本AlloyDB Omni中預覽。<a href="https://cloud.google.com/alloydb/ai">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Duet AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 辦公 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Workspace生成式AI助理Duet AI正式上線</strong></span></p> <p>Google在自家雲端大會Cloud Next '23上揭露，用於辦公生產力工具Workspace的生成式AI助理Duet AI正式上線，企業版訂閱費為每人每月30美元。在今年5月Google I/O年會上，Duet AI就首次亮相，可在Workspace中的辦公工具，如Gmail、Google Docs、Drive、Meet和Slides等，提供撰寫或潤飾文章、製作原創圖片、製作簡報等功能，甚至是為Google Meet視訊電話生成背景。</p> <p>Google表示，Workspace現有千萬家付費客戶，用戶超過30億，而自5月開放Duet AI試用以來，迄今已有上百萬人透過信賴測試員方案測試。除了之前宣布第一波功能，Google這次也發布新功能，包括在Google Meet視訊會議中記筆記、傳送會議重點，即時翻譯18種語言，還加入專業錄音室等級的影像、燈光及聲音效果，並辨識臉部，為與會者提供個別視窗。而且，在Google Chat中，用戶可直接和Duet AI對話，包括語音模式。<a href="https://workspace.google.com/blog/product-announcements/duet-ai-in-workspace-now-available">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/20623_DuetAI_WS_Blog_SIDEPANEL_v3.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI指引 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公務員 </span></strong></span></p> <p><span style="font-size:22px;"><strong>公務人員使用生成式AI有法可循，國科會發布參考指引</strong></span></p> <p>國科會在8月31日提交「行政院及所屬機關（構）使用生成式AI參考指引（草案）」給行政院會，獲行政院認可。該指引適用於公營事業、公立學校、行政法人及政府捐助的財團法人，規範了這些機構使用生成式AI應遵守的10項原則。</p> <p>其中重要的規範包括，使用生成式AI產生的內容，應由承辦人員依客觀及專業進行判斷，不可取代承辦人自主思維。機密文書應由人員親自撰寫，禁止使用生成式AI。另外，承辦人員不可向生成式AI提供公務上應保密、未經個人或機關同意公開的資訊，也不能向生成式AI詢問涉及機密資料、個資的問題。而且，若機構採用地端部署，還需確認系統環境安全性，再依機密等級分級使用。該指引還要求，機關若使用生成式AI作為業務執行的輔助工具，應適當揭露。行政院指示國科會持續觀察全球AI發展趨勢，來滾動調整。<a href="https://www.nstc.gov.tw/folksonomy/detail/f9242c02-6c3b-4289-8e38-b8daa7ab8a75?l=ch">（詳全文）</a></p> <p>圖片來源／微軟、Meta、DeepMind、Neo4j、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 蘇黎世大學開發AI無人機系統Swift，勝過3名世界冠軍</strong></p> <p><strong>2. Meta開源可用來偵測AI歧視問題的FACET資料集</strong></p> <p><strong>3. OpenAI推出ChatGPT Enterprise服務</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/3 14:14作者王若樸https://www.ithome.com.tw/news/158563
微軟即將關閉Windows對TLS 1.0/1.1的預設支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3153" target="_blank">微軟上周提醒</a>，即將關閉Windows對TLS 1.0與TLS 1.1的預設支援。</p> <p>TLS的全名為Transport Layer Security，是電腦網路的加密協定，可於客戶端及伺服器端建立加密的通訊通道，亦是由網際網路工程任務組（Internet Engineering Task Force，IETF）所認可的標準。然而，1999年定義的TLS 1.0與2006年定義的TLS 1.1，其所仰賴的MD5及SHA-1加密演算法不但都已被破解，而且也含有其它漏洞，<a href="https://www.ithome.com.tw/news/126434" target="_blank">使得各大瀏覽器業者在2020年陸續終止對TLS 1.0/1.1的支援</a>，<a href="https://www.ietf.org/rfc/rfc8996.html" target="_blank">IETF更在2021年正式棄用TLS 1.0/1.1</a>。</p> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/tls-1-0-and-tls-1-1-soon-to-be-disabled-in-windows/ba-p/3887947" target="_blank">微軟則說</a>，根據該公司多年來對TLS協定使用量的追蹤，相信TLS 1.0與TLS 1.1的使用已經少到可以採取行動了。事實上，微軟旗下的Microsoft 365產品也已在2020年9月，便關閉對這兩個協定的支援。</p> <p>因此，自今年9月的Windows 11 Insider Preview起，Windows的預設就會關閉TLS 1.0與TLS 1.1，且同時適用於客戶端及伺服器端。不過，微軟仍將於Windows中保留啟用這兩個協定的選項，以因應使用者的相容性需求。</p> <p>目前絕大多數的網路服務都已支援相對安全的TLS 1.2與TLS 1.3。</p> </div></div></div>
2023/9/4 13:40作者陳曉莉https://www.ithome.com.tw/news/158562
【資安週報】2023年8月28日到9月1日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，資安研究團隊Shadowserver在X社群平臺指出，Juniper在17日修補Junos OS中J-Web介面的漏洞CVE-2023-36844，在25日發現有攻擊行動出現，並且同日已有概念性驗證（PoC）攻擊程式公開。</p> <p>在攻擊活動焦點方面，我們認為有3起最新揭露值得密切關注，因為臺灣企業、政府組織均成為這些惡意活動的目標之一。以下是本週重大攻擊事件揭露：</p> <p>●駭客組織Earth Estries網路間諜活動，他們年初開始針對臺、美、德、南非、馬來西亞、菲律賓的政府組織與科技業下手，其攻擊手法會部署Cobalt Strike來投放更多惡意程式，並在每一輪的攻擊活動當中，會定期清除後門程式再重新部署。<br /> ●中國組織UNC4841鎖定Barracuda郵件閘道漏洞攻擊，最近有新發現，今年5、6月共有兩波新攻擊，對象是政府、高科技、資訊、電信、製造。<br /> ●中國駭客組織Flax Typhoon攻擊手法，該團體2021年開始鎖定臺灣政府、教育、製造、資訊等數十個單位，東南亞、北美、非洲的組織也是其目標。其手法包括部署僅4 KB的Web Shell中國菜刀（China Chopper），利用名為Invoke-WebRequest的PowerShell指令碼，以及部署SoftEther的VPN用戶端程式等。</p> <p>在攻擊態勢與事件方面，近期以勒索軟體攻擊，以及攻擊者鎖定企業從IT服務業者下手的消息最受矚目，並且有相當多關於中國駭客攻擊活動的揭露。</p> <p>●勒索軟體Play近期攻擊行動鎖定安全服務代管業者下手，並利用遠端監控及管理（RMM）軟體繞過防護，進而取得目標組織完整的存取權限。<br /> ●倫敦警局因負責列印通行證及授權卡的供應商的IT承包商遭遇網路攻擊，導致4.7萬名警官與員工資料外洩。<br /> ●有駭客利用LockBit 3.0產生器打造近4百個變種，經調查後發現，當中使用的橫向感染手法，有90%利用PSEXEC執行，有72%濫用群組原則物件（GPO）。<br /> ●MalDoc in PDF攻擊手法的揭露，攻擊者會在PDF檔案埋藏惡意Word文件，由於防毒引擎根據其檔案標頭視為PDF檔來分析，當使用者以電腦檢視該檔時，卻視為Word檔案而開啟。<br /> ●波蘭國家鐵路（PKP）的無線電通訊網路在25日晚間遭駭，有攻擊者多次在斯德丁城市附近向火車發出停止的命令，且訊號中穿插俄羅斯國歌與普丁演講聲音。<br /> ●在Meta掃蕩發送垃圾訊息帳號的最新成果中，發現Spamouflage的大規模網路攻擊活動，駭客在50多個社群平臺散布讚揚中國與新疆省、批判美國等西方國家的訊息，主要鎖定臺、美、澳、英、日本，以及其他使用中文的用戶。</p> <p>其他威脅活動，我們也需要注意後續發展態勢，包括：出現鎖定程式語言Rust開發者的新攻擊行動，風險控管業者Kroll員工遭遇SIM卡挾持攻擊、以及中國間諜利用LinkedIn收集英國機密資料，中國駭客組織製作間諜軟體BadBazaar鎖定鎖定烏克蘭、波蘭、荷蘭、西班牙等Telegram及Signal用戶的揭露。</p> <p>而在臺灣本地的重大資安事件方面，以直播平臺17Live指控綠界科技金流系統出現漏洞的消息受廣泛關注，但雙方目前各執一詞。整體資安的推動工作上，本周有兩大焦點，分別是：我國資安院建立通用人才職能框架有新進展，已定義「12+7」種類型，年底首波培訓課程將為資安長開課，此外數位政府高峰會在30日舉行，當中不僅介紹了政府數位應用的最新發展，對這一年來重要資安進展，也有專家與官員做出說明。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158458"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月28日】中國駭客Flax Typhoon鎖定臺灣組織而來，發動寄生攻擊</span></strong></a></h3> <p>面對臺海的緊張局勢，中國駭客鎖定臺灣的任何攻擊行動格外受到關注。上週微軟揭露的新駭客組織Flax Typhoon，就鎖定臺灣數十個企業組織下手，進行長時間的網路間諜行動，值得一提的是，駭客為了隱匿攻擊行動，大量就地取材，運用寄生攻擊（LOLBins）手法，儘可能使用最少的惡意軟體來達成目的。</p> <p>無論是提升權限、建立遠端存取的管道，或是在受害組織的內部網路進行橫向移動，這些駭客大部分都利用Windows作業系統內建元件來進行，使得資安人員難以察覺異狀。</p> <h3><a href="https://www.ithome.com.tw/news/158482"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月29日】勒索軟體LockBit製作工具外流，不到一年出現近400個變種</span></strong></a></h3> <p>惡意昭彰的勒索軟體LockBit 3.0，去年有人將製作工具流出，當時研究人員認為可能會被其他駭客用於大量產生所需的勒索軟體，這樣的情況本週終於得到證實。資安業者卡巴斯基近期透露，他們一共看到396個LockBit變種，並確認至少有四分之三是該工具產生。</p> <p>值得留意的是，雖然駭客多半是應付緊急需求才使用此製作工具產生攻擊程式，大部分皆採用預設配置，但同時也貝備橫向感染的能力。</p> <h3><a href="https://www.ithome.com.tw/news/158501"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月30日】駭客在PDF檔案裡埋藏惡意Word文件來發動攻擊，藉此躲過資安系統偵測</span></strong></a></h3> <p>迴避資安系統偵測的網路威脅滲透方式千變萬化，過去曾出現運用兩種以上檔案格式／多型態（Polyglot）檔案來散布惡意程式的手法，最近類似的攻擊行動再度出現。例如，日本電腦網路危機處理暨協調中心（JPCERT/CC）揭露的攻擊手法MalDoc in PDF，駭客製作同時擁有PDF及DOC檔案特徵的惡意文件，企圖混淆網路威脅偵測技術的判斷，研究人員指出，大部分防毒軟體會將這類內容視為PDF檔案進行解析，而無法察覺駭客在Word檔案埋藏的惡意巨集。</p> <h3><a href="https://www.ithome.com.tw/news/158534"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月31日】駭客組織Earth Estries從事網路間諜活動，包含臺灣在內的多國政府機關、科技業者成為目標</span></strong></a></h3> <p>中國駭客攻擊行動日益頻繁。幾乎每天都會出現在資安新聞當中，但今天更誇張，幾乎全部都與他們有關。這群駭客的攻擊目標從企業組織的應用系統、行動裝置應用程式、郵件安全閘道，甚至是透過社群網站來散布各式吹捧中國、批判西方國家的訊息。這樣的威脅態勢，可說是變得越來越險峻。值得留意的是，這些攻擊行動當中，大多都把臺灣視為主要目標，我們無法再置身事外。</p> <h3><a href="https://www.ithome.com.tw/news/158551"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月1日】AI程式碼編譯網站Sourcegraph證實遭遇網路攻擊，起因是工程師提交程式碼出錯，導致Token外洩而被奪權</span></strong></a></h3> <p>工程師不慎在程式碼裡帶入重要的帳密資料，且並未採取保護的情況，過往有不少研究人員揭露極其氾濫的現象，但如今出現真實的資安事故。AI程式碼編譯網站Sourcegraph昨（8月31日）證實遭遇網路攻擊，駭客濫用其網站管理者的權限大規模呼叫API，影響該網站的運作。</p> <p>但駭客究竟如拿到管理員權限？起因竟是有工程師在提交程式碼的內容裡，不慎讓管理者的Token曝光，而讓攻擊者有機可乘。</p> </div></div></div>
2023/9/4 09:35作者羅正漢https://www.ithome.com.tw/news/158560
微軟準備淘汰WordPad
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features" target="_blank">微軟上周五（9/1）宣布</a>，即將淘汰自1995年即為Windows內建文書處理程式的WordPad。</p> <p>WordPad最早出現在微軟於1995年7月發表的Windows 95中，也是微軟針對Windows所開發的第三個文書處理程式，因為微軟早在1983年就推出專門編輯純文字、同樣為Windows內建程式的記事本（Notepad），以及可處理更複雜任務、更為強大的Word。至於WordPad的功能則介於記事本與Word之間。</p> <p>微軟並未解釋淘汰WordPad的原因，僅說該公司將不再更新WordPad，且會於未來的Windows版本中將它移除。建議欲處理諸如 .doc與.rtf等豐富文字文件的使用者可改用Word，若是要處理純文字文件的使用者則可改用記事本。</p> <p>外界則猜測WordPad正式消失的Windows版本，可能會是預計於明年現身的Windows 12。</p> </div></div></div>
2023/9/4 10:52作者陳曉莉https://www.ithome.com.tw/news/158561
GKE用戶現在也可以選用Cloud TPU訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在其Kubernetes服務GKE中加入Cloud TPU支援，也就是說現在用戶可以在GKE中，使用TPU處理大規模人工智慧負載，可選用的型號包括Cloud TPU v4或是最新的Cloud TPU v5e。GKE也提供了許多實用工具，供用戶更好地運用TPU執行機器學習模型，以及進行日誌記錄、監控與自動配置等任務。</p> <p>Cloud TPU是Google設計專門用於機器學習工作負載的硬體加速器，其特別設計的晶片，可以加速模型運算，像是大型語言模型、Vision Transformer模型或是其他擴散生成模型。用戶過去要使用Cloud TPU大規模處理人工智慧工作負載，需要自己手動操作繁瑣的程序。</p> <p>透過在GKE提供Cloud TPU支援，用戶不只可以使用GPU加速模型運算，現在還可以選用TPU，並且在GKE一致的操作環境中，執行各種類型的工作負載，並且獲得自動擴展、自動配置、自動修復和自動升級等一系列自動化功能，降低營運負擔。</p> <p>Cloud TPU節點池可以自動配置並擴展，簡化用戶調度工作，Cloud TPU上的水平擴展能力極高，透過新的Multislice技術，用戶可以在單次訓練中使用數萬個晶片，更快速且大規模地訓練模型。</p> <p>官方特別強調，Cloud TPU高效擴展的能力，能夠在增加資源的同時，獲得幾乎等比例的加速，有效率地執行工作負載。另外，Google還推出JobSet API來抽象Multislice的操作，能夠對跨數千個TPU晶片的工作負載，提供故障處理機制。</p> <p>GKE用戶也可以透過Kueue等API在團隊中共享TPU資源，Google解釋，雖然用戶的工作負載仍透過Kubernetes調度，但是在Kueue中，用戶可以建立不同優先等級的工作負載，並且將空閒資源先分配給高優先等級的任務。此外，用戶只要啟用GKE系統指標，便可以在Cloud Monitoring查看Cloud TPU基礎設施指標，在Google雲端控制臺的GKE區塊，監控TPU資源使用。</p> </div></div></div>
2023/9/4 08:32作者李建興https://www.ithome.com.tw/news/158554
Mac版Microsoft 365 /Office終止PostScript Type 1字型支援，影響舊檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/officeupdates/release-notes-office-for-mac" target="_blank">微軟8月中發布</a>最新Microsoft 365/ Office for Mac版更新終止了PostScript Type 1字型，新、舊版本Office的Word、Excel、PowerPoint等檔案都受影響。</p> <p>8月15日發布的Microsoft 365 16.76版（Build 23081101）包含功能更新及安全更新。在功能更新方面，除了修補Excel工作簿及樞紐表、Word圖片剪取、PowerPoint錄製等執行問題外，新版將終止PostScript Type 1字型，影響Word、Excel、PowerPoint、Outlook及OneNote。在此之後，M365/Office for Mac字型選單就不會出現該字型，而開啟使用Type 1字型的檔案，將會觸發「字型不存在」的訊息。</p> <p>PostScript Type 1字體為Adobe和微軟共同開發的字型。PostScript Type 1字體漸為支援平臺、語言版本較多，且包含更多字體的OpenType取代。</p> <p>微軟早在2013年終止Office for Windows對PostScript Type 1的支援。<a href="https://helpx.adobe.com/fonts/kb/postscript-type-1-fonts-end-of-support.html" target="_blank">Adobe則於2021年2月宣布</a>終止對該字型的支援，但後來延長支援到今年1月。目前，使用該字型的PDF和EPS文件還是可以列印，只是已無法由別字型改為Type 1。</p> <p>最新已經逐步部署到用戶端。除了Microsoft 365 for Mac外，本更新也適用於Office 2019 for Mac、Office LTSC 2021 for Mac和Office 2021 for Mac。意即舊版、單機版Office文件也會受到影響。</p> <p>部份用戶可能會考慮不安裝，但最新版本還包括安全更新，修補了3項漏洞。其中影響整個M365/Office套件的CVE-2023-36895為一遠端程式碼執行（RCE）漏洞，且已遭到濫用。另外2個漏洞則是影響Excel的RCE漏洞，分別為CVE-2023-35371和CVE-2023-36896。<a href="https://www.ithome.com.tw/news/158182" target="_blank">微軟已經發布</a>8月份的Patch Tuesday予以修補。</p> <p>除了8月中的16.76版，8月29日發布的Microsoft 365 16.76.2版（Build 23082700）則另外修補了Outlook.com中，以Gmail作為第2帳號的驗證，及桌機端Outlook不預期關閉的問題。</p> </div></div></div>
2023/9/4 08:50作者林妍溱https://www.ithome.com.tw/news/158558
微軟在歐盟、瑞士鬆綁Teams、Microsoft 365
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決歐盟壟斷銷售的疑慮，<a href="https://blogs.microsoft.com/eupolicy/2023/08/31/european-competition-teams-office-microsoft-365/" target="_blank">微軟宣布</a>，將在歐盟經濟區與瑞士鬆綁Microsoft 365和協同軟體Teams，讓用戶可購買不含Teams的Microsoft 365。</p> <p>近年微軟積極推廣自家協同軟體Teams，並將之整合到Microsoft 365及Windows銷售。2020年Salesforce旗下的協同軟體平臺業者Slack向歐盟提出對微軟的壟斷訴訟，指控微軟濫用Office的市占優勢安裝Teams服務，且阻撓移除，欲藉此排擠競爭者。<a href="https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_23_3991/IP_23_3991_EN.pdf" target="_blank">歐盟於7月正式展開</a>調查此事。當時微軟回應會設法解決疑慮。</p> <p>不過今年春天，<a href="https://www.ithome.com.tw/news/156551" target="_blank">媒體已報導</a>微軟正在改寫產品，以便提供不含Teams的Microsoft 365。上周微軟表示，最新宣布為了滿足歐盟要求2大要求，企業應能以較低價格選擇不含Teams的Microsoft 365套件。此外，微軟應強化和競爭通訊與協同產品和Microsoft 365及Office 365的相容性。</p> <p>為回應歐盟的要求，微軟首項最新措施是，從2023年10月1日起，會在歐盟經濟區（European Economic Area，EEA）及瑞士拆分Teams和Microsoft 365及Office 365。Microsoft 365及Office 365訂閱費價格將稍減，每月便宜2歐元，每月便宜24歐元（Microsoft 365 1授權39.5歐元起跳，Office 365 7.4歐元起跳）。Teams則將單獨出售，每人每月5美元，一年60美元。現有強制包含Teams的Microsoft 365及Office 365方案（E1、E3、E5）不再提供給新客戶。不過現有大型企業客戶將可選擇維持原方案，或是換成沒有Teams的套件。</p> <p>至於中小企業客戶或精簡型終端使用的方案，則同時提供含Teams及不含Teams的版本。其中中小企業使用的Microsoft 365/Office 365 Business Suite，每授權費依細分方案，每用戶授權降價1或2美元，而精簡型終端使用的Frontline套件，每個授權減價0.5美元。新方案也將從2023年10月1日起提供。</p> <p>除了鬆綁M365/Office 365和Teams外，微軟也將強化兩產品和競爭產品的相互操作性。微軟宣稱，其實該公司產品早已經提供API允許Zoom和Salesforce自訂和Exchange、Outlook及Teams的整合，但是競爭業者仍然不滿意。為此微軟說，會增加資源引導企業和開發商取得公開API以便第三方產品整合M365/Office 365，像是技術文件等。</p> <p>最後，由於競爭業者抱怨微軟阻止其他平臺上開啟或編輯Office文件，微軟暗指，這原本需要競爭者自己開發工具，不過因應歐盟要求，微軟說，該公司會開發新的代管Office Web應用程式的方法，以便競爭應用程式也能像在Teams一樣順暢使用Office文件。</p> </div></div></div>
2023/9/4 09:15作者林妍溱https://www.ithome.com.tw/news/158559
MedTech醫療科技雙周報第25期：新加坡醫院啟用超級電腦，打造醫用LLM和3D牙位圖生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0816～0831）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 病歷摘要 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D牙位圖 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新加坡醫院啟用超級電腦，打造醫用LLM和3D牙位圖生成模型</strong></span></p> <p>新加坡國立大學醫院（NUHS）日前啟用醫療專用超級電腦，來支援自家醫院的AI專案，如基因組學、大型語言模型（LLM）、醫學影像分析等，他們也實際訓練出醫用語言模型RUSSELL-GPT和3D牙位圖生成模型。</p> <p>這臺超級電腦名為Prescience，是新加坡醫界部署的第一臺醫用超級電腦。NUHS集團技術長Ngiam Kee Yuan指出，他們自今年3月開始用超級電腦和自家資料訓練RUSSELL-GPT，現已能執行病歷記錄、摘要、寫轉介信和醫學指南QA等任務，幾秒就能完成。他說明，RUSSELL-GPT還大幅降低人為出錯的可能，而且，該模型還用來預測患者醫療旅程，透過分析所有歷史數據來預測各個患者的醫療旅程。他們也正在研究，用該模型來預測尿道感染等常見疾病的嚴重程度和醫療旅程。NUHS指出，這款模型為離線部署，預計今年底在集團內逐步擴大使用。</p> <p>NUHS還用超級電腦執行另一個專案SMILE AI，目的是要用來生成3D牙位圖。SMILE AI由2個模型組成，一是用3D牙科掃描影像訓練而成，另一是用包含上下顎的全口X影像訓練而成，整合這2個模型來生成患者的3D牙位圖，標示患者牙齒狀態。這麼做，可節省牙科醫師手繪和牙齒建模的時間，也能更視覺化呈現。NUHS點出，有了這些模型，醫師從患者牙齒掃描攝影到確定初步治療方案，只需5分鐘。<a href="https://www-nuhsplus-edu-sg.translate.goog/article/ai-healthcare-in-nuhs-receives-boost-from-supercomputer?_x_tr_sl=sw&_x_tr_tl=zh-TW&_x_tr_hl=zh-TW&_x_tr_pto=wapp">（詳全文）</a></p> <p><img alt="" src="https://www.nuhsplus.edu.sg/images/default-source/default-album/20230816_nuhs_1cy6072.jpg?sfvrsn=9b0d89c7_1" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料標準 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 檢驗檢查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LOINC </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國際臨床術語資料庫LOINC 2.75版釋出，新增1,945個概念</strong></span></p> <p>非營利醫學組織Regenstrief研究院最近釋出LOINC最新2.75版，新增了將近2千個概念（Concepts）。進一步來說，LOINC由Regenstrief研究院在1994年建置，是一套臨床指標和檢驗檢查專用的術語資料庫與通用標準，範圍涵蓋臨床醫療護理、實驗室數據和臨床研究等領域，該組織也持續維護LOINC至今，每半年更新一次版本。</p> <p>這次是根據100多個國家提出的請求，來新增1,945概念，包含實驗室（1,469）、臨床（405）和調查（71）等3大領域，該研究院希望藉此加速醫療系統、實驗室和組織的資料交換效率。使用者可免費在LONIC網站的LOINC術語服務（用HL7 FHIR標準）下載使用。LOINC在臺灣越趨重要，衛福部展開的次世代數位醫療平臺計畫，除了將採用FHIR標準，也計畫導入LOINC和SNOMED標準。<a href="https://loinc.org/news/loinc-version-2-75-adds-almost-2000-new-concepts/?utm_source=%2APRIMARY%2A+Main+LOINC+List&utm_campaign=09024ee4f3-EMAIL_CAMPAIGN_2018_06_14_03_28_COPY_01&utm_medium=email&utm_term=0_ace2caf04e-09024ee4f3-456002406">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">遠距醫療 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 通訊診察治療辦法 </span></strong></span></p> <p><span style="font-size:22px;"><strong>衛福部預計10月發布通訊診察治療辦法修正版</strong></span></p> <p>8月28日展開今年度<a href="https://www.youtube.com/watch?v=VC4QEPWycys">行政院生技產業策略諮議委員會（BTC）大會</a>，衛福部政務次長王必勝代表報衛福部盤點年度進展，包括對規範遠距醫療的通訊診察治療辦法修正。該修正案已於今年5、6月召開對外溝通會議，預計10月發布修正案。屆時，心理治療、諮詢、會診等場景也能適用遠距醫療，而適用特殊情形也將擴大納入癌末照護、矯正機關收容照護、行動不便照護、災害／傳染病或其他重大變故照護、國際醫療照護和其他情形，且得以開立處方。</p> <p>同時，王必勝也預告，人體生物資料庫管理辦法修正草案將於今年10月送行政院審查。該辦法的修正目的，是要強化人體生物資料治理規範，包括擴大資料範圍（可納入基因、醫學影像等生物資料）、新增整合平臺設置的依據，以及管理國人基因資料的收集、使用和輸出機制。<a href="https://www.nstc.gov.tw/nstc/attachments/ac2512b9-b275-43cd-a5eb-d5e6a73f10ef">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-01%20155517.png" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 退出權 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 專法 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>健保署展開健保資料二次利用專法制定，預計年底完成</strong></span></strong></p> <p>去年8月，憲法法庭對健保大數據運用爭議給出判決結果，指出健保署欠缺個人資料保護獨立監督機制，且對於相關組織及程序欠缺明確規定，當事人也沒有退出權，屬於違憲，應自判決宣示3年內修正或制定相關法律。</p> <p>衛福部政務次長王必勝日前表示，健保署已對此展開行動，在今年6月決議制定健保資料二次利用專法，來保障民眾退出權，運作機制將改為學研界提出案件後，進行申請對象確認，並註記、排除退出的民眾資料。衛福部預計年底完成健保資料二次利用專法研擬會議和公聽會，於明年5、6月送行政院審核，明年9月送立法院審議。<a href="https://www.ithome.com.tw/news/158550">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-01%20155847.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">中標準整合 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span></p> <p><span style="font-size:22px;"><strong>衛福部展開部內4署資料標準整合工作</strong></span></p> <p>在今年度<a href="https://www.youtube.com/watch?v=VC4QEPWycys&ab_channel=%E5%9C%8B%E7%A7%91%E6%9C%83%E7%A7%91%E6%8A%80%E8%BE%A6%E5%85%AC%E5%AE%A4">行政院生技產業策略諮議委員會（BTC）大會</a>上，衛福部代表王必勝揭露醫療IT系統升級進展，不只成立專案辦公室、對外展開次世代數位醫療平臺計畫，要協助全臺醫院採用國際醫療資料交換標準FHIR，對內也展開資料標準統一工作，包括建置次世代醫療數據共享創新平臺，來交換跨部、跨署數據，以及建立健康資料和通報資料的交換標準與檢驗檢查編碼標準，來統一食藥署、國健署、疾管署和健保署的資料交換架構標準和格式。這個資料標準統一工作，涵蓋了建立FHIR共通欄位格式和LOINC編碼的實作指南。<a href="https://www.nstc.gov.tw/nstc/attachments/ac2512b9-b275-43cd-a5eb-d5e6a73f10ef">（詳全文）</a></p> <p><a href="https://news.microsoft.com/zh-tw/generativeai-medical/"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-01%20152746.png" /></a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧醫療 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 困境 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>醫療AI論文多、產品少是臺灣智慧醫療待解決的難題</strong></span></strong></p> <p>臺中榮總院長陳適安身兼行政院生技產業策略諮議委員會（BTC）委員，他<a href="https://www.youtube.com/live/VC4QEPWycys?si=xpMKWxV7HRRaX3y-">點出</a>臺灣發展智慧醫療的困境，包括醫療AI論文研究多、真正的產品仍是少數，跨院驗證仍有許多問題，以及跨國、跨市場的導入困難。</p> <p>他分析原因，就醫療AI產品少這項而言，多數臨床人員不熟悉市場機制、IT產業不熟悉醫療，造成雙方找不到正確的題目來研究。而跨院驗證困難，則是因為各家醫院醫療資訊系統（HIS）不同、儀器廠牌不同，導致AI模型難以直接於各院驗證效能。針對這些問題，他建議可從教育、跨產業交流、媒合等機制下手，比如鼓勵ICT人才在學期間先到醫院見習、跨域交流，或定期舉辦研究團隊與產學團隊經驗分享等。他也建議，政府可在現有基礎上，提供醫界跨國取證和市場評估的幫助，來協助醫院向外擴散智慧醫療影響力。甚至，如何將臺灣數位醫療成果擴散到更多國家，他認為可透過醫界聯手IT、基礎設施等業者組成多元跨域團隊，出海到東協等國，來提高成功落地的機會。<a href="https://www.ithome.com.tw/news/158556">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/screen_shot_2023-09-02_at_2.18.33_pm.png?itok=s0X81crU" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google Cloud </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 哈佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>哈佛大學用Google Cloud超級電腦進行醫療研究</strong></span></strong></p> <p>Citadel Securities與Google Cloud宣布共同贊助哈佛大學一項尖端醫療研究計畫，藉Google Cloud基礎設施，來執行原本在超級電腦上才能進行的運算。該計畫的主題是用數位分身，來模擬用磁性控制人造細菌鞭毛、攻擊與溶解人體血管系統中的血塊和腫瘤細胞。這需要準確呈現人體血管形狀、大小和排列，且也需逼真的血液流動和結構相互作用。</p> <p>有了Citadel Securities和Google Cloud支援，就能利用公雲資源處理大規模且逼真的醫療應用模擬。在團隊的初期測試中，使用Google Cloud資源已可達到專用超級電腦的8成運算效能，相關測試包括於GPU與CPU上部署兩款不同的程式碼，以進行高效能運算的最佳化，其中之一為入圍2015年超級電腦應用軟體設計獎Gordon Bell Prize決賽的先進程式碼，另一則是用以執行粒子模擬的開源程式碼LAMMPS。<a href="https://www.prnewswire.com/news-releases/citadel-securities-and-google-cloud-announce-high-performance-computing-study-with-harvard-university-to-advance-heart-disease-research-301901714.html">（詳全文）</a></p> <p>圖片來源／新加坡國立大學醫院、國科會科技辦公室BTC直播</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://www.flyingdoctor.org.au/sant/news/cloud-powered-care/">澳洲皇家空中急救隊終於從紙本病歷轉為雲端EHR系統了</a></strong></strong></p> <p><strong><strong>2. <a href="https://www.ithome.com.tw/news/158503">BTC建議：整合FHIR標準、成立國家級中心來推動生醫大數據資料治理</a></strong></strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/3 17:54作者王若樸https://www.ithome.com.tw/news/158557
中榮院長點出臺灣智慧醫療難題，可從教育、媒合和跨國市場評估下手補強
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身兼生技產業策略諮議委員會（BTC）委員的臺中榮總院長陳適安，日前點出臺灣智慧醫療發展難題，包括目前醫療AI論文多、產品少，因多數臨床人員不熟悉市場機制、IT產業不熟悉醫療，雙方找不到對的題目來研究。此外，醫療AI跨院驗證仍有困難，因各家醫院系統和使用的儀器廠牌不同，導致驗證費工費時。</p> <p>他建議，可鼓勵ICT人才在大學時期，就先到醫院見習，進行人才和場域交流，另也能定期舉辦研究團隊和產學合作團隊經驗交流會，甚至在媒合、國內外取證和納保部分，可透過定期說明會和交流會，來加速智慧醫療產業化。至於如何將臺灣數位醫療成果擴散至其他國家，他認為透過醫界聯手IT、基礎設施等業者組成多元跨域團隊出海，來提高成功落地的機會。</p> <p><span style="font-size:22px;"><strong>臺灣智慧醫療現況：仍以醫學中心為主</strong></span></p> <p>陳適安盤點，目前，臺灣智慧醫療發展多以醫學中心為主，因為醫學中心擁有較多資源來研發醫療AI和數位醫療，雖然一些區域醫院也有能力發展，但經營起來較吃力，仍有所差距。這是眼下必須面對的問題之一。</p> <p>再來，臺灣醫療AI和數位醫療常見的應用技術，包含醫療影像AI、臨床大數據、動態影像／音訊、自然語言處理（NLP）、IoT、機器人技術和AR／VR等，其中發展最成熟的是醫療影像AI，也就是用電腦視覺技術來分析醫學影像，如數位病理、骨鬆診斷、腫瘤影像判斷和遠距傷口辨識等。陳適安指出，就國科會輔助的臺灣數位醫療聯盟統計，聯盟內醫學中心開發的醫療AI題目，最大宗是心臟血管相關（占30%），其次是癌症、其他放射線影像AI等，與國外發展趨勢相仿。</p> <p>而臨床大數據分析則可用於疾病風險預測、重症輔助預測等，NLP則能用來分析病歷、分類疾病和輔助書寫病歷，至於AR／VR，雖能用於手術輔助和教育訓練，但開發成本高，不易普及。與之相關的元宇宙，目前雖在發展中，但短期前內景不看好。</p> <p>其他數位醫療領域還包括不少醫院正發展的結構化病歷，讓醫師用點選方式取代原本自由書寫模式，如此一來，進行後續分析時，就不必重複擷取資料，節省作業時間。其他領域還有近來興起的大型語言模型，以及自動化應用（如資料清理和標註）、遠距健康照護。</p> <p>話鋒一轉，陳適安指出，在這些數位醫療領域中，臺灣最容易落地的應當是遠距醫療，但也有不少挑戰要面對，如法規與資安規範、健保給付與否、網路基礎建設差距、長期資金挹注和商業模式等。</p> <p>就整體智慧醫療發展來說，他認為，醫療AI應從醫院場域的應用，透過智慧醫材、法規和保險給付手段輔助，來擴大至居家場域，將醫療AI融入至整個健康照護價值鏈中，才能實現疾病預防、疾病預測和個人化精準治療。</p> <p><span style="font-size:22px;"><strong>智慧醫材開發困境：醫療AI論文多、產品少</strong></span></p> <p>然而，要研發這些智慧醫材，仍有不少痛點要面對。「不可諱言，很多醫療AI都還在論文研究階段，還沒辦法變成真正的產品。」這是陳適安點出第一個困境，他分析其中原因，一是多數臨床人員不熟悉市場機制、IT產業不熟悉醫療，造成雙方找不到對的題目來研究。</p> <p>再來，跨院驗證常出狀況。他舉例，在臺灣數位醫療聯盟內，醫學中心進行跨院醫療AI驗證時，發現由於醫院醫療資訊系統（HIS）不同、使用儀器廠牌不同，導致驗證困難，需多花心力才能完成。這也衍生另一個問題，也就是跨國、跨市場的導入困難，讓業者不敢貿然投入大量資金。</p> <p>他舉例，中榮上個月至越南胡志明大學附設醫院、印尼大學附設醫院，要導入中榮打造的AI系統和數位醫療產品，但遭遇諸多問題，如對方網路基礎建設不足、與臺灣有相當大的差距，因此難以將臺灣研發的醫療AI和數位醫療產品在當地落地。陳適安指出，雖然這些智慧醫材產品，能夠取得當地認證，但能否成功導入、持續輸出新版產品，就會是個挑戰。因此，他認為，若臺灣電信業者等能跨界與醫院聯手，一同前往該地、提供網路等基礎建設，臺灣智慧醫材落地周邊國家的可能性會更大。</p> <p><span style="font-size:22px;"><strong>建議從教育、媒合和跨國市場評估補強</strong></span></p> <p>因此，陳適安建議，要強化臺灣智慧醫療發展，除現有政府的努力，還可從教育制度下手。也就是讓資工、電機等學科學生，能利用在學期間（如寒暑假）或以學分要求，先到醫院見習，了解醫院生態，先進行人才和場域交流。與之相仿的建議，還有定期舉辦研究團隊與產學合作團隊的經驗分享會，透過產品效用分析、成本計算、風險評估、產品衍生應用和更新計畫等實務經驗分享。</p> <p>另一個建議是強化媒合機制，比如定期舉辦與民間廠商的媒合會和座談會，來增強醫療院所和IT業界的溝通，加速研究成果商品化，特別是對區域醫院和地區醫院。此外，商品取證也很重要，2021年食藥署已成立智慧醫材專案辦公室，來輔導醫療AI等軟體快速取證，而陳適安認為，可多舉辦定期的智財權申請和取證說明會，來提高研究人員的取證商轉能力和動機。</p> <p>他也點出，不只是國內取證，國外的取證（如美國FDA）和市場評估也很重要，若政府能提供相關服務，就能協助臺灣醫界出海醫療AI商品，落地他國。</p> <p><span style="font-size:22px;"><strong>跨界組國家隊也很重要，保險給付制度亦是</strong></span></p> <p>陳適安還建議，針對不同領域，跨域組國家隊，來加速臺灣智慧醫療產業化發展。他解釋，不只是幾家醫院組隊，而是要聯手IT企業、基礎設施業者等多元組隊，才能在東協等國落地醫療AI商品，或是與國家進行先進技術開發。</p> <p>另一方面，納入健保或商業保險，是醫療AI產品在國內市場的一種回收成本途徑，這也是陳適安提出的另一個建議。他認為，政府可協助舉辦智慧醫材臨床效益發表會，來了解醫材實際運用狀態，另也能將有效益潛力的產品納入健保給付評估。他也建議，對智慧醫材有興趣的業者，也能舉辦健保 / 商業保險座談會，來協助民間保險業者與健保嫁接。</p> </div></div></div>
2023/9/2 14:42作者王若樸https://www.ithome.com.tw/news/158556
政府零信任架構推動有成，數位部首度公布內部導入經驗，資安院揭2023年上半最新進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府走在數位轉型的道路上，持續強化資安是拓展公務創新應用的重要基礎，在8月30日舉行的數位政府高峰會上，邀來多位官員介紹政府數位應用的最新發展，也針對這一年來重要資安進展做出說明。在這場會議中，我們看到幾個重要的議題，包括：數位發展部近期多項資安工作的推動，以及國家資通安全研究院政府零信任架構的進展，都有政府專家說明2023年下半的最新進展。</p> <h2><strong>推動零信任網路架構規畫與強化網站韌性，數位發展部經驗公開</strong></h2> <p>最近我國數位發展部正推動多項工作計畫，例如：導入行動簽核、建立網站韌性、推動零信任架構、推廣雲原生等，除了部長唐鳳在不同場合多次傳達這些訊息，在這次數位政府高峰論壇中，數位發展部資訊處副處長周智禾更是具體說明這方面的資安經驗。</p> <p>例如，他從一般機關常見的網路架構，分成三個面向來闡述，分別是傳統內網環境的辦公區、內部伺服器，以及允許外部存取的DMZ區。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖6)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%966)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p>首先，以辦公區而言，數位發展部主要做了兩件事：（一）採取不分內外網的網路架構，（二）讓存取都需要經過零信任架構的身分鑑別。</p> <p>在具體作法上，簡單來說，數位部員工所有內部與外部連線均經過網際網路，並採用Cloudflare Access、Azure AD，讓使用者存取內部系統時，先經過Cloudflare身分驗證，並跳轉使用Azure AD進行二階段驗證。</p> <p>關於實際登入系統的流程，周智禾做出具體說明，一開始會跳出Cloudflare Access的畫面，當判斷使用者還沒登入時，這時會跳出微軟AAD的登入畫面，透過Azure AD來作兩階段驗證。</p> <p>特別的是，在今年8月前，他們Azure AD的多因素驗證，是以帳號密碼，以及使用Authenticator App來驗證，最近，他們為了進一步提升安全強度，依循政府零信任架構要求，轉為使用基於FIDO無密碼技術的TW FidO來驗證，他們為此也再開發一個驗證機制，其介面就包含了使用行動自然人憑證（TW FidO）來登入，並使用Cloudflare Tunnel方式來保障內部系統，可隱藏伺服器IP位址。</p> <p>不過，由於並非每個人都有行動自然人憑證，因此，該驗證介面也提供實體自然人憑證，以及臨時密碼的選項，後者主要因應沒帶卡沒帶裝置的情形，該臨時密碼的效期原則上則是24小時。</p> <p>而在上述過程中，有一個相當特殊之處──雖然TW FidO已經符合多因素驗證，但在這樣的同盟驗證串接之下，後段的驗證機制將被微軟AAD視為多因素驗證之一，因此會形成還要再次多因素驗證的情形。</p> <p>至於後續，對於政府零信任架構的第二階段「設備鑑別」機制部署，這部分他們也正評估使用微軟Intune或Crowdstrike的方案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖8)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%968)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖9)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%969)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px; height: 321px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖10)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9610)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p>其次，以EIP電子公文系統而言，這方面他們推動的是行動自然人憑證簽核，以及內部服務架構的調整。前者的最新的進展在於，數位部持續推行的行動簽核電子公文，範圍將擴至一般公務機密文書，也就是「密」等級文件，行政院在7月7日以同意試辦。</p> <p>第三，以對外服務網站而言，也就是數位發展部全球資訊網（moda.gov.tw），8月宣布一系列系統強固措施，聚焦網站韌性，以及雲原生等層面的發展，以因應境外網攻、提升網站穩定度。</p> <p>周智禾也解釋了他們在這方面的作法，並希望將相關經驗提供給其他政府機關。</p> <p>基本上，他們在系統架構上，選擇融合靜態化、CDN、網頁代管與IPFS，因應網頁內容竄改與網頁回應緩慢的問題，同時採用前後端分離的作法，來因應網站改版需求。</p> <p>靜態網頁的好處在於，內容顯示時不需經由網站伺服器運算，不像普遍所謂動態網頁，網站要經由網站伺服器從資料庫擷取資料，由伺服器端即時處理。而靜態網頁這樣的架構，適合網站頁面變動性不大，像是官方網站，當然，以數位發站部的全球資訊網本身而言，還是有新聞資訊發布等內容的需求，需要動態呈現，因此透過前後端分離的做法來因應。他們總共花了3個月時間完成這些改變。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖11)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9611)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖12)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9612)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px; height: 341px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖13X)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9613X)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(0, 153, 255);">對於零信任網路架構與網站韌性強化，數位發展部資訊處副處長周智禾說明了他們在這方面的關於的實務經驗。</span></p> <h2><strong>政府零信任架構「設備鑑別」即將有首批通過驗證方案，「信任推斷」下半年將召開說明會</strong></h2> <p>關於政府零信任架構的推動，國家資通安全研究院副院長吳啟文也談到了最新的發展概況。</p> <p>基本上，這項計畫是在2021年啟動，由前技服中心完成零信任架構與概念性驗證機制的研究與部署，去年7月正式公布，預計3年3階段，依序建立決策引擎的3大核心機制，包括「身分鑑別」、「設備鑑別」、「信任推斷」，並將遴選2個機關逐年試行，以推動我國A級機關導入。</p> <p>隨著一年過去，關於試行方面的發展，吳啟文指出，他們早在2021年已擇定試行機關有退輔會與文化部，後續試行上他們遇到一個狀況，就是試行上該挑選何種資通訊系統來導入，雖然可從簡單的系統開始嘗試，但要能真正試行在核心系統才更知道實際效果，在相互討論後，後續決定偏向以核心系統來試行。</p> <p>此外，去年數位發展部新成立，該單位也從當時8月建置資通系統時導入零信任架構。這方面發展前述內容已經提及。</p> <p>如今2023年下半剛開始，對於政府零信任架構的未來推動，資安院有何規畫？吳啟文表示，去年已經決定要推動我國A級機關導入，現在更明確的是，將從已導入T-Road的機關為優先來進行。</p> <p>關於去年開始進行第一階段「身分鑑別」的驗證，至8月底，已有12個產品方案通過資安院的功能符合性驗證。</p> <p>而在第二階段的設備鑑別方面，吳啟文透露，即將有一家廠商提供的解決方案，將通過功能符合性驗證。</p> <p>至於第三階段的信任推斷，目前資安院還在規畫，原則上希望技術中立，不要有技術性的限制規定，預計下半年將召開說明會，以徵詢廠商意見。至於後續挑戰上，他也提到導入相容性的問題，這是因為三大河心機制未必由同一家廠商提供，後續導入必需考量相容性與整合的問題。</p> <p>另外，吳啟文也針對美國CISA與美國國防部的最新推動情況做出說明，他們也已經將我國採行措施與之相比對，以瞭解我們在哪些面向的進展比較弱，成為未來我國後續推動的重要參考。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖14)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9614)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;">近年已有多國宣布將零信任網路安全納入國家戰略，包括美國、歐盟、新加坡、中國，當中又以美國最為積極，自從2021年5月美國總統拜登簽署行政命令（EO 14028），再到2022年1月「聯邦零信任戰略」（Federal Zero Trust Strategy）草案通過後發布M-22-09備忘錄等一系列作為。</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖15)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9615)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;">我國也在2021年由前技服中心完成零信任架構，與概念性驗證研究及部署機制，並分3階段推動商用系統符合產品驗證以及機關導入。</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖16)數位政府高峰會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%9616)%E6%95%B8%E4%BD%8D%E6%94%BF%E5%BA%9C%E9%AB%98%E5%B3%B0%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;">關於政府零信任架構推動一年多的現況，國家資通安全研究院副院長吳啟文指出，如今在身分鑑別的導入方面，先行推動的A級機關將以完成導入T-Road的機關先做起。</span></p> </div></div></div>
2023/9/1 17:57作者羅正漢https://www.ithome.com.tw/news/158552