iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

公部門帶頭安全使用AI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年AI議題持續成為最大焦點，近期國內外的公部門有兩大資安政策，是我們特別關注的重點，包括：（一）政府針對生成式AI帶來的風險，提出對公部門的正式規範文件，<a href="https://www.ithome.com.tw/news/158533" target="_blank">8月底通過「行政院及所屬機關使用生成式AI參考指引」草案</a>；（二）政府帶頭鼓勵用AI改善資安，美國白宮在全球重要資安大會Black Hat USA宣布，<a href="https://www.ithome.com.tw/news/158234" target="_blank">啟動AI Cyber Challenge（AIxCC）駭客大賽</a>。</p> <p>隨著生成式AI與大型語言模型（LLM）的持續演進，由於這類應用具有提高生產力與效率的潛力，因此成為各界備受看好的技術潮流，然而，其引發的資安風險也不斷成為話題。</p> <p>在推動負責任的AI之餘，安全使用AI也是現今重點。一兩個月前，英國、澳洲政府都提出公務員使用生成式AI指南，到了8月底，我國通過「行政院及所屬機關使用生成式AI參考指引」草案，參考其他國家作法之餘，並請國內多方專家共同擬定而成，希望促進其他機關參考，也能訂定自己的管理規範。</p> <p>為何我們需要建立對生成式AI的正確觀念？例如，若是將公司或個人的敏感資料用於與公眾型的AI服務互動，大家在與AI互動過程所輸入的各種內容，有可能會被不負責任的AI服務蒐集，用於機器學習訓練，而且，可能沒有人保證這些資訊是否間接提供其他用戶參閱，恐怕引發資料外洩風險。</p> <p>根據各界實際測試經驗，我們可看出現階段生成式AI能力雖然比過去進步不少，已到達堪用的程度，可以給出更準確的答案，但仍有不低的機率會給出錯誤的內容，因此仍處於必須持續改善的階段，有很多問題與狀況需要持續檢討與調校。</p> <p>無論如何，我們必須理解AI的優勢和應用價值，同時也要理解其面臨的挑戰與限制，因此，對於AI產出的資訊，使用者在探索其適合的應用場景時，仍需要進一步確認是否合乎自身需求，不能盲目信任，畢竟AI無法負責，只有人能負責。</p> <p>這就像在網路上使用搜尋引擎，我們必須辨別資訊是否有用、正確，使用生成式AI也是如此，雖然不再需要在一大堆搜尋結果找到合適的內容，對話與互動感更強烈，但我們實際應用時要秉持的核心精神是共通的，那就是需由人來把關與判定。</p> <p>另一個重點，就是各國正在發展AI資安應用，希望用AI打造能辨識、修補關鍵基礎設施安全漏洞的解決方案，而且政府支持力量越來越大。例如，美國白宮8月宣布啟動為期兩年的AI Cyber Challenge（AIxCC）競賽，由國防高等研究計劃署（DARPA）主辦，祭出2千萬美元的總獎金，重點放在改革美國關鍵國家基礎設施與軟體供應鏈安全。</p> <p>此消息亦受其他國家關注，8月底資安院舉辦2023臺灣資安人才培力研究報告研討會，也有專家特別談及此議題。</p> <p>中央研究院資訊科技創新研究中心研究員兼資通安全專題中心執行長李育杰表示，先前臺灣AI行動方案2.0規畫時，特別提到希望用AI來解決國家社會面臨的問題，因為人力不足就是其中一項挑戰，尤其是資安領域，因此，希望透過擴大基礎課程培訓之下，若透過AI打造更多的工具，將讓有能力的資安人員可以借助這些AI工具，就可以一個人完成更多事情。</p> <p>曾帶領HITCON CTF 駭客戰隊領隊，現為聯發科技資深經理的李倫銓，在這場活動的演說也指出，美國DARPA在2013年發起CGC漏洞自動攻防比賽，當時是有鑑於漏洞迭代率太大，單靠有限的人力去解決是不夠的，所以發起這項活動。因此，每個隊伍要研發出一臺CRS網路推理決策系統的機器人，設法找出軟體漏洞、修補軟體問題、分析攻擊，並且自動產生防禦機制等。</p> <p>基本上，當時的自動化漏洞挖掘，主要是靠Fuzz模糊測試，現在2023年美國DARPA主辦AIxCC競賽，則是靠AI，並聚焦在關鍵基礎設施如電力網路的漏洞檢測與修補，以及開源軟體安全。</p> <p>無論如何，AI對資安帶來新挑戰，也衍生前所未有的機會，國際最新發展動向也將是臺灣可借鏡與思考的，我們必須關注後續發展，發揚技術優勢，並積極參與各種合作。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E8%A1%8C%E6%94%BF%E9%99%A2">行政院</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai%E5%8F%83%E8%80%83%E6%8C%87%E5%BC%95">生成式AI參考指引</a></div><div class="field-item even"><a href="/tags/ai-cyber-challenge">AI Cyber Challenge</a></div><div class="field-item odd"><a href="/tags/aixcc">AIxCC</a></div><div class="field-item even"><a href="/tags/%E7%BE%8E%E5%9C%8B">美國</a></div></div></div>
2023/9/15 12:00作者羅正漢https://www.ithome.com.tw/voice/158731
CXL記憶體邁向實用階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1147-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=30qUWokT" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伺服器記憶體應用迎來重大變革，為克服頻寬增長受限與低利用率這兩大瓶頸，Intel領軍推動的CXL（Compute Express Link）記憶體互連技術迅速發展。其中最基本的記憶體擴充模組產品已趨於成熟，進階的記憶體池應用也出現多種解決方案，很快就能進入實際環境</p> </div></div></div>
2023/9/15 12:00作者張明德https://www.ithome.com.tw/article/158732
微軟計畫讓Bing Chat輸入字元上限翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟計畫讓個人版及企業版Bing Chat聊天機器人的查詢輸入字元上限，由現行的4,000字提高一倍來到8,000字元。</p> <p>Bing Chat今年初推出時，一開始只要回覆問題超過15次就會表現出異常行為，像是和用戶衝突或出現過激語氣，<a href="https://www.ithome.com.tw/news/155591" target="_blank">迫使微軟很快就縮減</a>用戶問答次數及輸入字元數。隨著它表現穩定後，<a href="https://www.ithome.com.tw/news/155752" target="_blank">微軟逐步放寬</a>Bing Chat和用戶對談輸入內容。目前Windows用戶一次可向Bing Chat詢問20個問題，以及4,000字元。7月上線的企業版Bing Chat也具有相同限制。</p> <p><a href="https://twitter.com/MParakhin/status/1701655628085879273" target="_blank">本周微軟搜尋部門Mikhail Parakhin回覆</a>一名Bing Chat企業版用戶的要求時，表示微軟計畫擴增Windows消費版及企業版Bing Chat的輸入字元上限，由4,000字元增加為8,000字元（Chrome版Bing Chat輸入上限則是2,000字元），但是得再等一段時日。原因是演算法會造成context空間需求以次方增加，因此字元擴增為2倍會讓Bing Chat營運成本增加為4倍。</p> <p>雖然微軟絕對會實踐其承諾，但現實是營運聊天機器人相當耗資源。營運AI聊天機器人的伺服器不但相當耗能，也牽涉更高的冷卻成本；根據<a href="https://fortune.com/2023/09/09/ai-chatgpt-usage-fuels-spike-in-microsoft-water-consumption/" target="_blank">《財星雜誌》</a>引述一份加州大學研究指出，使用者在微軟Bing Chat或ChatGPT等聊天機器人每次查詢一次散發的伺服器熱氣，都耗掉1瓶水。微軟的資料顯示，由於AI系統使用量大增，導致該公司2022年全球資料中心用水量比前一年激增34%。</p> <p>這些龐大開支對新創公司更是一大考驗。<a href="https://www.ithome.com.tw/news/158327" target="_blank">研究機構估計</a>OpenAI的ChatGPT一天營運成本高達70萬美元，要不是有微軟的資金挹注，可能明年就會破產。</p> </div></div></div>
2023/9/15 12:48作者林妍溱https://www.ithome.com.tw/news/158765
政府零信任架構推動現況大公開，優先導入ZTA身分鑑別有其必要性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對網路安全零信任轉型的浪潮，臺灣政府相當積極，在2022年7月，國家資通安全研究院（資安院）公布政府零信任架構，預計分成三年三階段，建構決策引擎的三大關鍵核心：「身分鑑別」、「設備鑑別」、「信任推斷」，推動商用產品投入發展，以利後續機關導入。</p> <p>經歷了這一年多來的發展，通過「身分鑑別」功能性符合性驗證的產品與方案，已從先前2項增至12項，在「設備鑑別」功能性符合性驗證上，也即將有首個產品方案通過，為了瞭解目前的推動情況，我們詢問資安院這方面進展，以及零信任架構如何考量與規畫，他們也提供正式回覆。接下來，讓我們透過5個問答的互動形式，快速掌握政府推動零信任的目的與最新成果。</p> <h3><span style="color:#B22222;"><strong>問題1：</strong></span><span style="color:#A52A2A;"><strong>為何推動政府零信任架構從「身分鑑別」開始做起？採取資源門戶部署方式的考量是？</strong></span></h3> <p><strong>答：</strong>身分鑑別是控管網路資源存取權限的核心要求，若沒有身分鑑別，就無法確認連線來源方是否有足夠權限，可以存取網路資源。此外，在美國NIST SP 800-207標準文件，也建議身分鑑別為零信任架構導入的優先階段，因此優先導入ZTA身分鑑別機制，有其必要性。</p> <p>關於採取資源門戶部署（Resource Portal-Based Deployment）方式的考量，亦源自於參考NIST SP 800-207的建議，透過資源門戶部署驅動持續性的驗證。在導入試行上，相對於大規模全面導入，以特定機關資通系統作為資源門戶部署範圍，在導入ZTA初期是比較可行的，建立模式後，也會易於複製與擴散。</p> <h3><strong><span style="color:#B22222;">問題2：政府零信任架構身分鑑別功能符合性驗證的檢核，有哪些重點？</span></strong></h3> <p><strong>答：</strong>以政府零信任架構整體的檢核內容而言，包括6大重點面向，分別是：</p> <p>●零信任架構（零信任架構核心組件、零信任架構部署方式）</p> <p>●決策引擎（零信任架構決策引擎安全通訊）</p> <p>●身分鑑別（身分鑑別系統部署、身分保證等級、鑑別保證等級）</p> <p>●決策控制（零信任架構決策控制功能、聯邦保證等級）</p> <p>●存取閘道（存取閘道功能、存取閘道全通訊）</p> <p>●資通系統（資通系統存取控制）</p> <p>身分鑑別符合性驗證是最基本的功能性項目驗證，涵蓋零信任架構中、身分鑑別的核心功能與要求，並且適用於不同的產品與廠商，其驗證目的是確保廠商提供的產品，能滿足政府零信任架構的基本需求與規範，並且可以與政府現有的資安系統和基礎架構相容和整合。</p> <p>而在驗證的過程中，無論是本土或是外商的產品，或多或少都有一些項目在一開始不符合驗證要求，如帳號須與機關現有AD同步、存取閘道須有反向代理功能等，經過彼此討論後，通過驗證的產品均完成相關修正。</p> <h3><span style="color:#B22222;"><strong>問題3：目前零信任推動的進展？以及是否達到一定成效？</strong></span></h3> <p><strong>答：</strong>現階段，關於導入零信任架構身分鑑別的機關，將以完成導入T-Road的A級公務機關為優先，目前正由數位發展部數位政府司進行推動。</p> <p>在今年進度上，預定將完成2機關導入設備鑑別機制外，以及訂定出信任推斷功能符合性驗證的檢核表。</p> <p>另一方面，在政府推動商用產品投入發展的最新進度上，單以身分鑑別這個領域而言，在8月底公布了11家廠商的解決方案通過驗證，9月又有匯智安全的方案通過，之後仍有許多廠商持續送驗中。</p> <p>廠商在產品送驗的過程中，不僅可以參照資安院給予的建議確認系統核心功能的完善與易用性，數位部在推動機關導入ZTA方案的相關說明會議，也會對A級機關宣導優先採用通過驗證的產品。</p> <p>目前評估上，由於廠商在送驗過整中，對其市場布局、跨域合作及促進研發皆是有幫助的，因此，資安院認為，應有初步達到促進國內外廠商發展零信任網路資安產業鏈的目標。</p> <h3><span style="color:#B22222;"><strong>問題4：後續發展「設備鑑別」、「信任推斷」解決方案的廠商多嗎？</strong></span></h3> <p><strong>答：</strong>今年3月，資安院為了掌握廠商在各階段的發展現況，辦理「推動政府機關導入零信任網路資安防護調查」，當中抽樣調查40家廠商。</p> <p>首先，以第一階段的身分鑑別而言，當時表示參與的34家廠商中，有8家已通過驗證，有9家已送資安院驗證中，還有8家也預計今年送驗。</p> <p>以第二階段的設備鑑別而言，有33家廠商回覆調查，其中19家表示會在今年送驗，比例為57%；以第三階段的信任推斷而言，在33家廠商回覆調查，其中25家表達有意發展相關機制並參與資安院驗證，比例為84%。</p> <p>更進一步來看，確實有廠商在推動辦法公告後，因為本身產品無身分鑑別技術核心，便開始積極聯盟協力廠商，發展政府零信任架構的整合解決方案。</p> <p>從整體趨勢觀測而言，資安院發現，客戶的關注度逐漸提升，廠商積極準備的態勢明顯。這表示，零信任的推動，除了能促進廠商跨域合作，更能加速研發與技術整合，最終的獲益者便是買方端，以政府領域而言，藉由完備市場ZTA解決方案成熟度，有利於機關逐步試行導入ZTA，進而完善政府網際服務網防禦深廣度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%AA%BF%E6%9F%A5%E5%BB%A0%E5%95%86%E9%9B%B6%E4%BF%A1%E4%BB%BB%E4%B8%89%E5%A4%A7%E6%A0%B8%E5%BF%83%E7%99%BC%E5%B1%95%E7%A8%8B%E5%BA%A6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%87%E5%AE%89%E9%99%A2.png" style="width: 600px;" /></p> <p>（圖片來源／國家資通安全研究院）</p> <h3><strong><span style="color:#B22222;">問題5：我國政府零信任架構的設計，與美國CISA與DOD的設計有何不同？</span></strong></h3> <p><strong>答：</strong>我國零信任架構的設計，主要從產品的三大關鍵核心技術「身分鑑別」、「設備鑑別」及「信任推斷」出發，以美國NIST SP 800-207資源門戶存取情境來驅動驗證相關核心元件的檢核項目，主要在要求零信任架構的功能基準（Baseline）。</p> <p>而美國政府推動零信任的5大面向（識別、裝置、網路、應用程式、資料），以及美國國防部推動的7大面向（用戶、裝置、應用程式與工作流、資料、網路與環境、自動化與協作、可視性與分析），則是以單位導入零信任時應考慮的面向出發。</p> <p>綜觀我國與美國政府的推動方式，雖然出發點不同，但相輔相成，而且可以互相對應。舉例來說，與美國國防部的7大面向對照，身分鑑別可對應至用戶，設備鑑別可對應至裝置，信任推斷可對應至可視性與分析、零信任架構的決策引擎可對應至自動化與協作、零信任架構的存取閘道可對應至網路與環境，而整個零信任架構所採取的資源門戶存取方式就是用來保護應用程式與資料。</p> <p>此外，對於應用程式與資料本身的安全性，我國也訂有資通安全管理法等相關法規要求保護其安全性。</p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong><span style="background-color:#FFFF00;">臺灣政府推動零信任的挑戰</span></strong></span></h2> <p>從上述資安院的回應中，我們的確更瞭解到目前政府零信任的考量，以及2023年的最新進展。</p> <p>不過，在這樣的發展過程中，還是有些議題受外界關注。舉例來說，以設備鑑別的要求來看，去年揭露的內容提到，主要基於TPM的設備鑑別方法，今年6月則改為透過TPM或Agent產生金鑰與憑證，完成設備註冊與鑑別。看起來，從早期規畫到實際驗證也是一直在調整，或許這樣的情形是持續發生，畢竟我們很難一開始就設定完美的架構。</p> <p>再者，關於上述問題2的答覆中，提到身分鑑別一項包含3個部分：在身分鑑別系統部署方面，有5個必要驗證項目，在身分保證等級（IAL）方面，有1個選項驗證項目，而在鑑別器保證等級（AAL）方面，有2個必要驗證項目。</p> <p>然而，依據資安院規畫，¬¬政府機關導入零信任架構應至少達到IAL2/AAL3，但IAL方面的驗證卻非是必要的要求，這也容易讓外界感到困惑。</p> <p>至於未來發展上，由於目前要建構決策引擎，順序是3大核心一項一項進行，因此後續的相容性與整合，更是受關注的焦點。</p> <p>甚至未來公開金鑰基礎架構要升級，PQC後量子密碼學演算法的更換，是否也要先行納入考量等，也都是需要密切關注的面向。</p> </div></div></div>
2023/9/15 11:40作者羅正漢https://www.ithome.com.tw/news/158757
Amazon運用生成式AI助賣家自動化產生商品標題、描述
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商龍頭Amazon運用生成式人工智慧<a href="https://www.aboutamazon.com/news/small-business/amazon-sellers-generative-ai-tool">強化賣家功能</a>，商品列表創建和管理將更簡單。人工智慧現在會協助賣家生成更吸引人的產品描述、標題和產品詳細資訊，而這將能夠減輕賣家上架產品的工作，在網路商店陳列更多的商品。</p> <p>Amazon提到，買家撰寫商品標題和描述是一大工作量。而新功能運用可以辨識、總結、翻譯和生成文字的大型語言模型，協助賣家快速編寫更全面的商品描述。賣家只需要提供幾個單字，或是簡單描述商品的句子，人工智慧便會自動生成高品質的內容，供賣家直接使用或是進行後續調整。</p> <p>過去，Amazon就已經利用機器學習和深度學習技術，自動擷取和產生豐富的產品資訊。不過這個新功能，使用了Amazon新訓練的生成式人工智慧模型，輸出的品質、效能和效率都更好，官方提到，這個模型學習自不同資料來源、潛在知識和邏輯推理以推論產品資訊，像是賣家在規格列出直徑，模型就可以推斷桌子是圓形的，或是可以從圖像中推斷襯衫領子的樣式。</p> <p>生成式人工智慧功能，除了可以節省賣家編寫文案的時間外，也能夠更全面地描述商品資訊，如有助於改善買家的購物體驗。</p> </div></div></div>
2023/9/15 08:27作者李建興https://www.ithome.com.tw/news/158743
JFrog支援機器學習模型管理，強化AI應用開發安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps工具廠商JFrog在其解決方案中整合<a href="https://jfrog.com/blog/jfrog-brings-devops-best-practices-to-ml-development/">機器學習模型管理功能</a>，除了以更安全地方式管理機器學習模型之外，也講求在整個軟體開發生命周期中順暢使用這些模型，使企業能夠將機器學習模型融入既有的開發流程。這項功能現在於JFrog SaaS實例中開放測試。</p> <p>隨著人工智慧應用蓬勃發展，JFrog表示，驅動人工智慧應用背後的模型，實際上是另一種需要保護、管理、追蹤和部署的程式碼。機器模型就如同其他二進位檔案一樣，需要有嚴格的安全措施和管理策略。模型可能涉及敏感資料，因此確保不被篡改或是不當使用變得相當重要，JFrog的工具還能夠檢查模型的授權問題，確保模型不違反企業政策。</p> <p>JFrog用戶可使用通用構件儲存庫Artifactory管理專有模型，並且要從Hugging Face下載或是存取第三方模型時，可透過JFrog系統執行，而不需要直接從Hugging Face下載，如此能夠以一個中央管理的方式，確保模型的安全、追蹤和版本管理。</p> <p>當模型進入Artifactory之後，用戶便可以將其打包進不可篡改的Release Bundles中，作為軟體釋出與發布使用。而且JFrog Xray安全功能會遵循企業批准的授權，阻擋沒有明確授權定義的模型下載，確保開發過程中使用的資源全部合法且符合企業政策，系統同時也能夠偵測並阻擋惡意模型。</p> <p>總結來說，機器學習模型管理功能，能夠透過單一位置管理所有軟體的二進位檔案，同時將DevOps最佳安全實踐帶入模型開發中，使用戶能夠確保機器學習模型的完整性和安全性。</p> </div></div></div>
2023/9/15 08:29作者李建興https://www.ithome.com.tw/news/158751
JetBrains推Rust開發專用IDE RustRover
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains發表了專為Rust設計的IDE RustRover，各種開發功能一應俱全，現在開放申請早期存取。官方提到，之後公開預覽階段將免費供開發者測試使用，並預計會在2024年9月前發布RustRover。</p> <p>由於JetBrains所開發的Rust擴充套件用戶數持續成長，對新功能的需求也越來越多，因此他們決定擴大對Rust的投資，開發一個專用的IDE，提供更多Rust開發功能。</p> <p>RustRover擁有許多智慧功能，包括程式碼生成、即時分析與智慧重構等，可以自動完成程式碼中的相關名稱，像是遺漏的欄位、模組和方法，而即時模板功能則可以讓開發者快速生成典型的程式碼結構，提高開發者撰寫程式碼的效率，不必一再重複輸入經常用到的程式碼結構。RustRover有一套檢查程序，能夠檢查開發者的程式碼，找出有問題的地方並且提供自動修復方法，還可以對整個程式碼庫進行重構。</p> <p>RustRover良好地支援Rust程式碼執行，可進行測試、除錯、效能測量與分析，或是針對不同平臺進行開發，開發者可以選擇執行單一測試、測試模組或是專案中的所有測試，當測試發生問題時，RustRover能夠連接出錯的程式碼，協助開發者定位並解決問題。</p> <p>同時，RustRover與Rust的官方套件管理器Cargo整合，並提供輔助工具讓開發者方便編輯TOML檔案和管理工作空間，使Rust開發流程更為順暢。由於JetBrains定位RustRover為一個全面的開發工具，因此也支援網路應用程式開發、HTTP測試、Docker管理，甚至是資料庫操作和前端整合，開發者在RustRover中就可完成各種任務。</p> <p>RustRover在團隊開發方面，提供即時程式開發、專案配置共享等功能，並且也與Git和GitHub深度整合，開發團隊可以在RustRover上高效協作。</p> <p>之前的Rust擴充套件現在已經成為了RustRover的一部分，官方提到，該擴充套件會繼續維持開源，並且在GitHub和JetBrains Marketplace上供免費下載。主要的開發資源還是會投入到RustRover中，JetBrains會維持Rust擴充套件與最新IDE相容，但不會修復和添加新功能。與JetBrains其他語言IDE一樣，RustRover的功能也可作為擴充套件，安裝在IntelliJ IDEA Ultimate中。</p> <p>JetBrains展現押注Rust生態系的決心，除了推出專用IDE，還宣布加入Rust基金會，在社群中貢獻，並影響Rust的發展。</p> </div></div></div>
2023/9/15 08:32作者李建興https://www.ithome.com.tw/news/158754
Aruba SD-WAN產品未來發展下一步，整合資安與AI是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SD-WAN作為一個軟體定義廣域網路技術，已是許多大型企業提供分支辦公室連線的主要做法，不過，因應近幾年企業上雲與資安要求，使得SD-WAN發展出現了不一樣的轉變，Aruba SD-WAN全球銷售總經理Patrick Gilbreath就表示，Aruba SD-WAN產品未來發展策略，整合資安與AI是關鍵，尤其在企業上雲旅程中，需要緊密結合資安，以便能夠在單一客戶端中同時實現網路和安全性，此外，未來還能結合AI技術，實現對不同網路環境變化的學習和適應。</p> <p>Patrick曾在SD-WAN公司Silver Peak擔任全球銷售副總，長達14年負責SD-WAN產品的銷售。在2020年，HPE收購了Silver Peak，並將其整合到旗下的網路事業群Aruba中。Patrick隨後加入Aruba後，負責SD-WAN和SSE（Security Service Edge）安全產品。</p> <p>回顧SD-WAN的發展，他指出，主要可以分為兩大面向。一方面是解決連線需求的挑戰，因此催生了軟體定義廣域網路的概念，用來改善企業資料中心和分支辦公室之間的MPLS連線成本昂貴與技術限制的問題，藉此提高頻寬效率和應用程式效能。隨著企業邊緣需求的增長，SD-WAN也開始提供對行動網路和低軌道衛星通訊的支援，以提供更快速、更彈性的頻寬，確保網路連線的可靠性。</p> <p>另一方面，由於許多企業將應用程式上雲，並使用安全加密技術的HTTP連線作為駐外據點和資料中心之間通訊方式，這使得SD-WAN加速擴展從雲端到邊緣的發展，支援更多功能，包括防火牆、IDS 、IPS等。</p> <p>SD-WAN漸趨主流，Patrick認為，在大多數情況下，SD-WAN正在取代傳統的WAN路由器，實現WAN路由器的現代化。他解釋說，SD-WAN的功用不再僅僅是將數據封包傳送到資料中心，同時包含了智慧路徑共享、細分化業務和網路功能，以及支援網際網路和衛星第三方傳輸媒介等。</p> <p>他表示，SD-WAN產品未來發展一大重點，將會是在網路和資安整合，特別是當企業要全面推動零信任機制時，需要具有SD-WAN與SSE的能力。以Auba的SASE產品為例，企業能透過SD-WAN ClearPass存取管理和SSE安全機制實現使用者和連網裝置的存取管控，達到零信任存取要求。他指出，這是Aruba產品優勢。</p> <p>AI是另一個重要的發展方向，尤其生成式AI帶動了新一波AI發展浪潮，許多軟硬體業者開始整合生成式AI功能至其產品中。他指出，導入這類技術，SD-WAN將變得更聰明，能夠學習和適應不同的網路環境變化，以符合公司、企業分支辦公室、雲端等各種連線和管理需求。</p> <p>此外，他提到了COVID-19疫情對於SD-WAN的影響，例如許多企業因此擴大部署SD-WAN，支援員工居家辦公的更多連線需求。他觀察，許多大型科技公司雖要疫後要求員工返回辦公室工作，但仍為了支援混合工作環境持續採用。</p> <p>Patrick引用數據表示，SD-WAN市場年複合成長率有40%，未來仍有持續增長的空間。Aruba目前擁有3,600多家SD-WAN客戶。不過，目前SD-WAN市場呈現多家競爭的局勢，非由單一家業者獨領風騷。</p> </div></div></div>
2023/9/14 15:57作者余至浩https://www.ithome.com.tw/news/158740
【資安日報】9月14日，中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球政治局勢動盪，中國駭客組織頻頻出手的情況相當頻繁，過往這些駭客大多收集政府或企業的情資，但如今連國家的能源設施運作狀態也成為目標。</p> <p>資安業者賽門鐵克揭露中國駭客組織Redfly的攻擊行動，他們針對亞洲的國家級電網（power grid）下手，但攻擊的目的為何？研究人員推測，駭客並未動手進行破壞，有可能是在收集電網的使用狀態。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/critical-infrastructure-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Redfly鎖定亞洲國家的電網下手，從中進行網路間諜攻擊</span></strong></a></p> <p>資安業者賽門鐵克揭露中國駭客組織Redfly近期的攻擊行動，主要目標是亞洲國家的電網設施。</p> <p>今年2月28日，這群駭客先在目標組織的電腦植入惡意程式ShadowPad，等到5月16日，開始執行批次檔1.bat，隨後透過命令列介面，以rundll32載入、執行位於暫存資料夾的DLL檔，進而啟動惡意程式PackerLoader。接著，開始竄改驅動程式dump_diskfs.sys的權限，調整為開放所有使用者都能存取的狀態。研究人員認為，駭客的上述動作，目的是後續能從這個管道洩漏資料。</p> <p>三天後（5月19日），駭客再度執行PackerLoader與1.bat，出現displayswitch.exe疑似用於側載DLL（DLL Side-loading）攻擊而啟動，而且，每隔數小時，就會執行PowerShell命令，收集電腦儲存設備的資訊。5月29日，這些駭客透過ProcDump挖掘存放於LSASS的帳密資料。兩個月後（7月27日），駭客透過鍵盤側錄工具進行監控，8月3日再度透過登錄檔轉存帳密資料。研究人員指出，這些駭客使用的ShadowPad變種，會在受害電腦偽裝成VMware的應用系統，並加入登錄檔機碼，以便在每次電腦載入Windows作業系統時自動載入。他們判斷駭客的主要目的是收集電網能源使用情形，目前尚未發現對方進行破壞行為。</p> <p><a href="https://twitter.com/troyhunt/status/1700531521835454502"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">軟體臭蟲追蹤公司Rollbar遭駭，攻擊者尋找用戶個資、帳密與存取系統的Token</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F5mAZGybcAA6g3W.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5mAZGybcAA6g3W.jpg" style="width: 300px; float: right;" /></a>根據<a href="https://www.bleepingcomputer.com/news/security/rollbar-discloses-data-breach-after-hackers-stole-access-tokens/">資安新聞網站Bleeping Computer的報導</a>，軟體臭蟲追蹤業者Rollbar向經營密碼外洩查詢網站Have I Been Pwned（HIBP）的資安人員Troy Hunt透露，他們在9月6日稽查事件記錄資料的時候，發現有系統服務帳號被用來登入雲端的臭蟲監控平臺，攻擊者成功入侵該公司系統後，隨即尋找雲端帳密資料及比特幣錢包。</p> <p>該公司察覺後即停用此帳號並著手調查。經初步調查，攻擊者入侵的時間為8月9日至11日，這3天駭客嘗試存取使用者的敏感資料，包含了使用者名稱、電子郵件信箱、帳號名稱，以及專案資訊，企圖從中找到用戶專案存取Rollbar系統的Token。</p> <p><a href="https://www.theregister.com/2023/09/11/bianlian_save_the_children/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">救助兒童會傳出遭遇勒索軟體BianLian攻擊，近7 TB資料外洩</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F5xDspbWYAEyvUj.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5xDspbWYAEyvUj.png" style="width: 300px; float: right;" /></a>資安研究團隊VX-Underground、資安業者Emsisoft威脅分析師Brett Callow發現，勒索軟體駭客BianLian宣稱攻陷一個聞名全球的非營利組織，該組織擁有逾2.5萬名員工，自1919年成立至今幫助超過10億名兒童，並在116個國家從事相關業務，收入達28億美元。</p> <p>駭客聲稱偷到6.8 TB的資料，當中包含了人力資源資料、個人資料、財務資料、醫療及健康資料，以及往來的電子郵件等，其中，財務資料超過800 GB。而根據駭客的描述，遭到攻擊的組織是救助兒童會（Save the Children）。</p> <p>救助兒童會也證實他們遭遇網路攻擊，出現未經授權的人士存取部分網路系統，目前他們的營運狀態正常，並未受到資安事故影響。該組織表示，他們已與外部專家合作，進一步確認那些資料遭竊，並還原事件的來龍去脈。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/vxunderground/status/1701309441272926369" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--2116573161" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://twitter.com/vxunderground/status/1701309441272926369</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/BrettCallow/status/1701240730876838250" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1986971127" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://twitter.com/BrettCallow/status/1701240730876838250</span></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/3am-ransomware-lockbit"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客執行LockBit加密檔案未果，竟拿出另一款勒索軟體再度出手</span></strong></a></p> <p>資安業者賽門鐵克發現名為3AM的勒索軟體，以Rust開發而成，一旦於受害電腦執行，將會終止Veeam、Acronis、Ivanti、McAfee、賽門鐵克等多個廠牌的資安防護系統，或是備份系統的處理程序，然後對特定類型的檔案進行加密。</p> <p>特別是，這個勒索軟體之所以曝光，竟是在調查另一起勒索軟體LockBit的攻擊行動，而意外被發現。駭客在成功入侵目標電腦後，執行gpresult命令儲存電腦套用的群組原則組態，並操作各式Cobalt Strike的元件，嘗試利用PsExec提升權限，接著執行whoami、netstat、quser、net share等命令進行偵察、橫向移動，然後嘗試使用LockBit加密檔案。</p> <p>但上述攻擊並未得逞，駭客遂改用3AM並部署到3臺電腦，卻在其中2臺電腦上執行的過程遭到攔截。</p> <p><a href="https://www.zscaler.com/blogs/security-research/technical-analysis-hijackloader"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入工具HijackLoader被用於散布DanaBot、SystemBC、RedLine Stealer</span></strong></a></p> <p>資安業者Zscaler在今年7月發現惡意程式載入工具HijackLoader，此程式仰賴系統呼叫來迴避資安系統偵測，並具備延遲執行的特性。此惡意程式採用嵌入的模組化設計，而能夠因應駭客的需求，透過程式碼注入或是指定的方式部署、執行惡意軟體，研究人員指出，在目前惡意程式載入工具當中，這種做法相當少見。</p> <p>研究人員看到對方將其用來在受害電腦當中，部署Danabot、SystemBC、RedLine Stealer多種惡意軟體。一旦執行，此載入工具便會執行C語言的執行階段程式庫（CRT）掛鉤功能，以便進行第一階段攻擊，而在第二階段攻擊行動裡，才會下載特定的功能模組並進行解密，取得惡意酬載並執行驗證、解壓縮。</p> <p>特別的是，攻擊者為規避偵測，除了會使用自行開發的API動態載入Windows的API功能，並對於合法網站進行HTTP連線測試，還會針對電腦安裝的防毒軟體採取不同的行為，例如：若是發現Avast、AVG防毒軟體，此載入工具會延遲40秒再執行，假如受害電腦安裝了Emsisoft、Webroot的防毒軟體，則會取消前述的連線測試流程。</p> <p><a href="https://www.fortinet.com/blog/threat-research/new-midgedropper-variant"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露更為隱密的惡意軟體載入工具MidgeDropper變種</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-midgedropper-decoy-document-notice-wfh.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-midgedropper-decoy-document-notice-wfh.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露名為MidgeDropper的惡意程式載入工具，駭客疑似假借企業組織的名義，以宣布需要居家辦公的員工名單為由，寄送挾帶RAR壓縮檔的釣魚郵件，當中含有作為誘餌的PDF檔案，以及另一個偽裝成PDF檔案的可執行檔，一旦收信人依照指示開啟PDF檔案，就會看到文件載入失敗的錯誤訊息。</p> <p>駭客這麼做為了轉移收信人注意，乘機開啟另一個檔案而上當，從而在電腦部署MidgeDropper，進而下載更多惡意酬載。研究人員指出，駭客運用了不少無害的檔案，讓使用者可能因此降低戒心，而開啟駭客提供的可執行檔觸發一連串的攻擊鏈。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://onapsis.com/blog/sap-security-patch-day-september-2023"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP發布9月例行更新，修補影響BusinessObjects、NetWeaver、S/4HANA的重大漏洞</span></strong></a></p> <p>9月12日SAP發布本月份例行更新，張貼13篇新的資安通告，並且更新5篇先前的資安通告。其中，有5篇被列為優先層級（Hot News），提及了兩個本月修補的重大漏洞CVE-2023-40622、CVE-2023-40309。</p> <p>根據CVSS風險評分的高低，最嚴重的漏洞是CVE-2023-40622，存在於商業智慧軟體BusinessObjects，攻擊者一旦利用這項漏洞，就有可能取得其他能用於攻擊行動的資訊，導致應用程式完全被駭客挾持，CVSS風險評為9.9分。資安業者Onapsis提出進一步說明，該漏洞出現於上述軟體的Promotion Management元件，影響其作業使用的資料夾。</p> <p>另一個重大漏洞CVE-2023-40309，影響SAP旗下NetWeaver、S/4HANA、Web Dispatcher、Content Server、Host Agent、Extended Application Services and Runtime（XSA）等多項產品，起因是名為CommonCryptoLib的元件缺乏授權檢查的缺陷，而能被攻擊者用來提升權限，CVSS風險評為9.8分。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.openfind.com.tw/taiwan/news_detail.php?news_id=10328"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">郵件服務業者網擎資訊部署後量子加密技術，強化敏感資料防護</span></span></strong></a></p> <p><a href="https://www.forescout.com/blog/2023h1-threat-review-vulnerabilities-threat-actors-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">鎖定大樓自動化系統弱點的攻擊行動加劇，今年上半升溫</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/09/alert-new-kubernetes-vulnerabilities.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Kubernetes漏洞有可能被用於攻擊Windows端點電腦</span></span></strong></a></p> <p><a href="https://www.zscaler.com/blogs/security-research/steal-it-campaign"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客發起Steal-It攻擊行動，透過PowerShell盜取NTLMv2雜湊值</span></span></strong></a></p> <p><a href="https://blog.talosintelligence.com/eight-vulnerabilities-in-open-automation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開放自動化軟體平臺OAS存在8個漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158725"><strong>【9月13日】手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158704"><strong>【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158685"><strong>【9月11日】駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊</strong></a></p> </div></div></div>
2023/9/14 17:11作者周峻佑https://www.ithome.com.tw/news/158747
Stability AI發表文字生成音樂AI工具Stable Audio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼推出<a href="https://www.ithome.com.tw/news/157990" target="_blank">文字生成圖像模型Stable Diffusion</a>之後，Stability AI本周發表了<a href="https://stability.ai/research/stable-audio-efficient-timing-latent-diffusion" target="_blank">文字生成音樂模型Stable Audio</a>，跨入聲音及音樂的領域。</p> <p>Stability AI的創辦人暨執行長是出生於約旦、之後移民至英國的Emad Mostaque，自牛津大學畢業後Mostaque曾替穆斯林社群打造伊斯蘭AI，以協助人們認識伊斯蘭教，之後則在英國多個對沖基金工作了十多年，一直到2020年才創立Stability AI，於2022年推出的首個AI模型即為Stable Diffusion 1.0。</p> <p>迄今Stable Diffusion已歷經多次改版，最新的版本為今年7月發表的Stable Diffusion XL（SDXL）1.0，期間Stability AI也陸續發表了多種模型，包括語言模型StableLM，開源聊天機器人StableVicuna，以及圖像生成設計工具DreamStudio等。</p> <p>Stable Audio則是由Stability AI內部的生成式聲音研究實驗室Harmonai所開發，利用由AudioSparx所提供的80萬個聲音檔進行訓練，涵蓋音樂、音效、各種樂器，以及相對應的文字描述等，總長超過1.9萬個小時。</p> <p>Stable Audio與Stable Diffusion一樣，都是基於擴散的生成模型，Stability AI指出，一般的聲音擴散模型通常是在較長聲音檔案中隨機裁剪的聲音區塊進行訓練，可能導致所生成的音樂缺乏頭尾，但Stable Audio架構同時基於文字，以及聲音檔案的持續及開始時間，而讓該模型得以控制所生成聲音的內容與長度。</p> <p>此外，利用最新的擴散取樣技術，Stable Audio模型在Nvidia A100 GPU上以44.1 kHz的取樣速度，不到1秒就能渲染95秒的立體聲。</p> <p>Stable Audio同時提供免費與Pro付費版，前者每月可免費生成20次、最長20秒的聲音或音樂，而若每月支付12美元，則可生成500次，最長90秒的音頻。</p> <p>目前坊間的文字生成音樂工具還有Google的<a href="https://www.ithome.com.tw/news/156832" target="_blank">MusicLM</a>與Meta的音樂生成模型<a href="https://www.ithome.com.tw/news/157281" target="_blank">MusicGen</a>。</p> </div></div></div>
2023/9/14 16:03作者陳曉莉https://www.ithome.com.tw/news/158741
Google持續凍結招聘，人事部門再裁數百員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2023/09/13/google-is-cutting-hundreds-of-jobs-in-its-recruiting-organization.html" target="_blank">《CNBC》報導</a>，Google持續暫緩公司規模擴張，近期內將再裁減招聘部門數百名員工。</p> <p>《CNBC》取得Google招聘部門內部會議的錄影，該部門副總裁Brian Ong宣布這項人事計畫，並說根據未來幾季的員工招募狀況，「這是對的決定」，這意謂著就未來的營運目標判斷，Google現有員工數已經夠多。為此，該部門會再裁減數百人。這批員工除了可拿到一筆資遣金，也還能再進公司一周、存取特定公司線上服務，以及享有一段期間醫療保險</p> <p>Google對媒體證實這項消息，指出Google計畫「有意義地放緩公司整體聘僱活動。」</p> <p>這是Google今年最新一波人事精簡行動。Google 1月宣布裁撤遍及各部門、各功能員工1.2萬人後，之後又分別縮編自駕車部門Waymo、地圖部門<a href="https://www.ithome.com.tw/news/157548" target="_blank">Waze</a>，此外Google Assistant部門<a href="https://www.ithome.com.tw/news/158052" target="_blank">則改組並與AI部門整合</a>。</p> <p>除了Google，其他科技巨擘，包括Meta、<a href="https://www.ithome.com.tw/news/157737" target="_blank">微軟</a>、IBM也都在年中宣布新一波裁員計畫。<a href="https://finance.yahoo.com/news/ibm-plans-replace-nearly-8-174052360.html" target="_blank">IBM</a>上個月宣布裁減近8,000人，這些人的工作將由AI取代。IBM執行長Arvind Krishna指出，人力資源（HR）等後端作業，將會首當其衝。</p> </div></div></div>
2023/9/14 12:29作者林妍溱https://www.ithome.com.tw/news/158733
電磁波過高，法國政府暫停iPhone 12銷售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在蘋果宣布iPhone 15系列的當日，法國政府以電磁波過高為由，要求蘋果暫停iPhone 12的銷售，並要求蘋果立即提供補救方法改善已售出手機的問題。</p> <p>法國國家電波頻率管理署（National Frequency Agency，ANFR）發出公告，由於測試中的電磁波輻射值（specific absorption rate，SAR）超標，該署已要求蘋果自2023年9月12日暫停在法國銷售iPhone 12。法國當局並要求蘋果解決，否則可能會被要求召回所有在當地已售出的iPhone 12。</p> <p>ANFR近日對該國市場上銷售的141款手機進行電磁波檢測，iPhone 12在一項檢測中無法過關。ANFR的測試分成2項，分別測試手機在四肢（如手及長褲口袋）及在軀幹（如夾克口袋或揹袋）釋出的電波值（SAR）。根據該局的測試，iPhone 12的軀幹SAR檢測值符合歐盟標準值的2 W/kg。但其四肢SAR檢測值為5.74 W/kg，超出歐盟規定的4 W/kg。</p> <p>法國政府要求蘋果需立即採取行動，「儘一切方法」讓供應鏈上的iPhone 12停止銷售。至於已售出的手機，蘋果也必須及早提供矯正措施。若未能滿足要求，蘋果將被要求回收所有已在法國售出的iPhone 12。</p> <p>當局並說，蘋果提出的矯正措施必須提報並獲得同意。</p> <p>蘋果並不同意法國當局的檢測。<a href="https://www.reuters.com/technology/apple-disputes-french-findings-says-iphone-12-complies-with-radiation-standards-2023-09-13/" target="_blank">蘋果對媒體表示</a>，iPhone 12已經獲得多家國家主管機關許可及第三方驗證單位證明其產品符合全球各國電磁波標準。該公司表示將對ANFR的測試結果提出異議，並和該局共商合作解決。</p> <p>在手機產業稱霸的蘋果屢屢遭到歐盟或歐洲國家政府挑戰。在歐盟推動以USB Type-C為統一介面的標準下，<a href="https://www.ithome.com.tw/news/158710" target="_blank">蘋果iPhone 15系列全面更換</a>用了11年的Lightning規格。<a href="https://www.ithome.com.tw/news/136304" target="_blank">歐盟為推動循環經濟及產品永續</a>，減少電子垃圾及消費者維修權利（right to repair），也迫使iPhone必須提供可拆解零件及可更換電池或螢幕的設計。<a href="https://www.ithome.com.tw/news/158633" target="_blank">上周歐盟在《數位市場法》下，指定</a>包括蘋果、微軟、Alphabet等網路平臺業者為守門人（gatekeeper）。被指定的守門人將被賦予許多義務，包括不得在平臺上獨厚自家產品、排擠較小對手、或追蹤使用者。違者將被罰款最高達年營收的20%。</p> </div></div></div>
2023/9/14 12:38作者林妍溱https://www.ithome.com.tw/news/158734
Arm公開發行價訂為每股51美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>即將於美國時間9月14日登上那斯達克（Nasdaq）股市的Arm，<a href="https://www.businesswire.com/news/home/20230913944520/en/" target="_blank">前一天公布</a>其每股公開發行價格為51美元，預計發行9,950萬股，可望自公開市場募得逾50億美元，該公司的市值也將因此突破520億美元。</p> <p>總部位於英國的Arm主要開發半導體的架構與設計，主要產品為CPU，並授權給各領域的業者，日本軟體銀行在2016年以320億美元買下了Arm，差點在2020年以400億美元轉手給Nvidia，但因遭到各國反對而走向公開發行之路。</p> <p>Arm截至今年3月底的年度營收為26.79億美元，營業淨利潤為5.24億美元，<a href="https://www.sec.gov/Archives/edgar/data/1973239/000119312523228059/d393891df1a.htm" target="_blank">該公司在本月更新其上市申請文件</a>，指出包括AMD、蘋果、Cadence Design Systems、Google、Intel、MediaTek、Nvidia、三星、Synopsys，以及TSMC Partners等基石投資人，都已分別表示有意以發行價格購入Arm股票，總計金額高達7.35億美元。</p> <p>不過，上述的購買意願並不具備約束力，這些基石投資人或承銷商隨時可以變更意願或數量。</p> <p>Arm為軟體銀行百分之百持有的子公司，在此次的IPO之後，軟體銀行仍將持有9成的Arm股份。</p> <p>市場分析指出，軟體銀行原本希望Arm的IPO訂價可讓該公司的市值超越600億美元，不如預期的原因也許是因為身為Arm業務核心的手機晶片在近幾年的發展出現停滯，但Arm也已計畫遷移至熱門的AI與機器學習運算，該公司亦強調，在接近6,000名的全球員工中，有高達80%致力於研究、設計及技術創新。</p> </div></div></div>
2023/9/14 12:57作者陳曉莉https://www.ithome.com.tw/news/158735
採用輝達HGX H100 8-GPU，技嘉提供3款5U伺服器選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g593-sd0_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年底開始，隨著Nvidia資料中心GPU產品H100量產，以及AMD、英特爾最新一代伺服器CPU上市，再加上生成式AI應用暴紅，導致GPU伺服器需求大增，尤其是可搭載8個SXM外形的H100的機型，最受到市場矚目，我們也持續關注哪些廠牌可以最先提供這類產品。<br /> 根據Nvidia維護的認證合格伺服器型錄網站Qualified System Catalog，可以了解這方面的資訊，而在2023年初，我們在Nvidia GPU的欄位指定條件為HGX H100 8 GPU 80GB，當時只有一家臺灣廠商的產品被列入，那就是我們現在所要介紹的技嘉G593-SD0。截至目前為止，除了上述機型，Nvidia在此處型錄僅增列4款產品，分別是華碩ESC N8-E11、<a href="https://www.ithome.com.tw/review/156425">Dell EMC PowerEdge XE9680</a>、HPE Cray XD670、<a href="https://www.ithome.com.tw/review/156519">Supermicro SYS-821GE-TNHR</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Qualified System Catalog-HGX H100 8-GPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Qualified%20System%20Catalog-HGX%20H100%208-GPU.jpg" style="width: 600px;" /></a></p> <p>事實上，技嘉採用HGX H100 8-GPU組態的伺服器，已有3款之多。在4月底，他們不僅提供搭配英特爾處理器的G593-SD0，也有搭配AMD處理器的G593-ZD2，到了5月底台北國際電腦展期間，他們推出G593-SD0的微調版G593-SD2。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0-3.jpg" style="width: 600px;" /></p> <p>相較於市售的HGX H100 8-GPU組態伺服器，往往搭配6U至8U尺寸的機箱，技嘉這3款產品都採用5U尺寸的機箱，可節省一些機架空間，並且都配置6臺3000瓦規格的電源供應器（4+2備援）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0-1.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0-2.jpg" style="width: 398px;" /></p> <p>而在儲存組態方面，它們的前方面板都能安裝6臺2.5吋硬碟，其中的G593-SD0與G593-SD2，可搭配SATA、SAS或NVMe儲存裝置，G593-ZD2預設搭配NVMe儲存裝置，主機板額外提供2個M.2插槽，可安裝這種外形的固態硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0-4.jpg" style="width: 600px;" /></p> <p>在處理器平臺與記憶體資源方面，G593-SD0與G593-SD2均採用英特爾第四代Xeon Scalable處理器，可安裝32支DDR5-4800記憶體，最高能擴充至8 TB（支援單支256 GB），彼此最大差異在於PCIe介面卡的規格：G593-SD0可置入13張短版介面卡，其中12張支援PCIe 5.0，1張支援PCIe 4.0，G593-SD2能搭配4張全高半長介面卡（可用於安裝Nvidia的BlueField資料處理器加速卡），以及8張短版介面卡，均支援PCIe 5.0。</p> <p>G593-ZD2採用AMD第四代EPYC處理器，可安裝24支DDR5-4800記憶體，最高能擴充至6 TB（支援單支256 GB），可搭配4張全高半長介面卡，以及8張短版介面卡。</p> <p>就機箱內部結構而言，技嘉表示，G593系列伺服器分為上下兩層，頂部的1U空間主要是放置中央處理器、記憶體，底部的4U空間則是HGX H100 8-GPU模組，以此將散熱區域的溫控與耗電量集中，便於提升降溫與用電的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-09-Web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-04-Web.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-02-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-02-Web.jpg" style="width: 198px;" /></a><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-06-Web.jpg" style="width: 398px;" /></p> <p>關於散熱方面的規格，我們注意到技嘉特別詳細列出3款機型的系統風扇配置，在機箱的前、中、後，都設置8到10臺的風扇，技嘉表示，他們關注解熱效益，因此，在設計G593系列時，他們希望能在零組件和空間作出良好配置，促使風流導流獲得良好運作效率。</p> <p>相較於搭配數量較少的大尺寸風扇，他們在此系列的伺服器採用小型風扇，相對可占用較少的機箱空間；而配置更多風扇的原因在於，採用2個小型風扇比起1個大型風扇，能夠產生更強的風量，亦可依區域降溫需要來調整風速，藉此帶來更高的整體省電效益，並且有效減少風扇運作的噪音。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G590-FANS.jpg" style="width: 600px;" /></p> <p>當伺服器機箱搭配較多的風扇之後，是否對設備維護產生更大負擔與停機時間，技嘉表示，維修的情況應該各家產品都一樣，位於機箱外部的風扇若故障，可透過熱插拔來替換，如果是設置在內部的風扇需維護，伺服器也都需要為此停機。</p> <p>在運算效能的部分，技嘉將G593-SD0的測試結果提交至MLCommons，而在今年6月底公布的MLPerf Training v3.0，G593-SD0這款機型榜上有名，相較於同樣採用HGX H100 8-GPU組態的伺服器當中，他們提供3個組態的測試結果當中，有兩個分別拿下醫療影像分割與自然語言處理的第一名，表現並不輸Dell、Nvidia、雲達、Supermicro等廠牌的機型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gigabyte G593-SD0 MLPerf Training v3 .jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte%20G593-SD0%20MLPerf%20Training%20v3%20.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>技嘉G593-SD0</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：5U<br /> ●處理器：2顆，第四代Xeon Scalable系列（最高搭配60核心機型）<br /> ●記憶體：32個DDR5-4800插槽，最大可擴充至8 TB<br /> ●儲存配置：8臺2.5吋SATA/SAS/NVMe固態硬碟<br /> ●搭配GPU：Nvidia HGX H100 8-GPU<br /> ●I/O擴充介面：12個PCIe 5.0 x16介面卡（短版）、1個PCIe 4.0 x16介面卡（短版）<br /> ●電源供應器：6臺3000瓦（4+2備援）<br /> ●系統風扇：30臺（前5+6，後6+3，中6+4）<br /> ●網路埠：2個10GbE埠（Intel X710-AT2）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/14 12:11作者李宗翰https://www.ithome.com.tw/review/158660
Xanadu與Nvidia合作突破量子模擬瓶頸，在超級電腦加速模擬可達36量子位元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pennylane.ai/blog/2023/09/distributing-quantum-simulations-using-lightning-gpu-with-NVIDIA-cuQuantum/">Xanadu</a>與<a href="https://blogs.nvidia.com/blog/2023/09/12/quantum-supercomputers-pennylane/">Nvidia</a>合作，運用PennyLane函式庫和cuQuantum SDK加速量子模擬，而這是科學家第一次以超級電腦規模加速量子模擬，透過將量子模擬分散到256個Nvidia A100 Tensor Core GPU上，模擬高達36個量子位元的運算。</p> <p>Xanadu的量子程式開發框架PennyLane，是一個開源的跨平臺量子機器學習Python函式庫，供研究人員能以機器學習函式庫，諸如PyTorch和TensorFlow來設計量子電路，而這便能夠無縫整合量子與古典運算，並使用量子運算的特性來加速機器學習工作。而cuQuantum SDK則是Nvidia所推出的軟體開發工具組，能夠加速量子運算的模擬與研究，搭配Nvidia GPU的運算能力，cuQuantum SDK可大幅提高模擬大型量子系統的效率。</p> <p>PennyLane中將機器學習技術應用在量子計算上是一個新穎的想法，藉由PennyLane的擴充套件，研究人便可連接不同量子運算後端，因此PennyLane在推出之後便受到許多研究人員的關注，但是Xanadu開發人員提到，許多研究人員要求更多的量子位元。</p> <p>而PennyLane在擴展模擬量子系統遇到的主要問題，便是資源使用的挑戰，因為模擬量子系統使用狀態向量模擬器（State Vector Simulator），其所需要的記憶體，隨著模擬的量子位元數呈現指數成長，Xanadu研究人員提到，在桌上型電腦的極限就是30量子位元，再增加更多的量子位元，所使用的記憶體量便會超過高效能運算執行個體的最大記憶體容量。</p> <p>在2022年的時候，研究人員開始在單個GPU上使用cuQuantum加速量子模擬，運算速度提升達10倍，而雖然GPU在模擬運算的效能上具有極大的優勢，但是Xanadu研究人員提到，記憶體管理對GPU來說更為重要，雖然單一GPU的記憶體就可達96 GB，但可用裝置記憶體最多只能容納30到32量子位元系統的狀態向量儲存，為了模擬更大的系統，需要將狀態向量分散在多個GPU上，連接所有GPU一起運作。</p> <p>因此為了支援分散式向量模擬，以模擬更多的量子位元，Xanadu在新版PennyLane中添加MPI（Message Passing Interface ）技術以及Nvidia cuQuantum SDK。</p> <p>研究人員在美國國家能源研究科學計算中心（NERSC）的超級電腦Perlmutter，搭配使用PennyLane，在GPU叢集上高速進行量子模擬。在Perlmutter多達256個Nvidia A100 Tensor Core GPU上執行模擬程式，現可模擬約36個量子位元，達到目前其他研究模擬量子位元數的2倍。</p> </div></div></div>
2023/9/14 08:23作者李建興https://www.ithome.com.tw/news/158724
Google地圖更新反向強化學習演算法，路線建議結果改善可達24%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究院、Google地圖和DeepMind各單位多年合作，透過重新檢視Google地圖路線規畫所使用的經典演算法反向強化學習（Inverse Reinforcement Learning，IRL），提出了一種新的IRL演算法稱為<a href="https://blog.research.google/2023/09/world-scale-inverse-reinforcement.html">RHIP（Receding Horizon Inverse Planning）</a>，改善路線建議結果達16％到24％。</p> <p>Google地圖的路線建議是用戶常用的功能，可考量各種因素，規畫從地點A到地點B的最佳路線，這些因素包含抵達時間、通行費、路況和用戶偏好等。Google運用反向強化學習來學習路線建議，透過給定用於表達道路網路的馬可夫決策過程（MDP）和一組展示軌跡，反向強化學習可計算出用戶的潛在獎勵函式。</p> <p>簡單來說，反向強化學習可以從觀察到的連續決策行為學習偏好，當有一組用戶已經走過的路線，反向強化學習就能找出驅動用戶在選擇這些路線時心中的獎勵。</p> <p>雖然Google在過去的研究，已經創建了許多通用的反向強化學習解決方案，但是這些應用很難擴展應用到世界規模。原因是擴展反向強化學習並不容易，每次更新的時候，都需要解決一個強化學習的子程序，因此每一次更新都要進行複雜的運算，如此便會增加更新的複雜性和所需時間。要計算全世界的道路網路，需要耗費極大的運算資源，因此在實際應用上並不切實際。</p> <p>為了解決這個問題，Google進一步研究突破既有限制擴展反向強化學習，發展了一種稱為RHIP的方法，研究人員提到，他們實現了目前實際應用中最大的IRL實例。</p> <p>研究人員從人們做計畫的方式獲得啟發，像是人們會問「接下來1小時要做什麼？」或是「5年後的生活會是什麼樣子」。人們在計畫和決策時，通常會考慮未來一段時間範圍，但隨著時間的推進，表示最遠時間範圍的線也會跟著移動，也就是說人們通常不會一次考慮非常遙遠的未來，而是把注意力集中在近期規畫，並在過程中透過觀察持續調整未來方向。</p> <p>RHIP的核心概念便是在靠近當前的位置，或是已知路徑的地方，使用詳細的策略來確定路線，但在較遠的地方，則選擇更簡單且節省計算資源的策略，綜合遠近規畫策略，達到高效且準確的路網導航。</p> <p>相較於精心調整的基準，RHIP策略使汽車與機踏車的全球路線相符比例，分別提高15.9％和24.1％。而所謂的全球路線相符比例，指得是用戶實際行駛的路線，符合Google地圖所建議路線的百分比。RHIP的執行速度更快，結果也更準確，相較傳統IRL存在難以擴展的問題，RHIP使Google能夠在有超大量狀態、示範軌跡和模型參數上訓練獎勵模型。</p> </div></div></div>
2023/9/14 08:30作者李建興https://www.ithome.com.tw/news/158727
Code Intelligence推出可快速生成模糊測試的生成式AI服務CI Spark
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Code Intelligence推出運用大型語言模型自動辨識軟體攻擊面，並建議測試程式碼的服務<a href="https://www.code-intelligence.com/blog/ci-spark">CI Spark</a>，透過驗證軟體中的每個部分，提供更全面的測試覆蓋率，確保功能皆正確運作。</p> <p>白盒測試主要是由基於回饋的模糊測試技術驅動，這種測試方式利用遺傳演算法迭代最佳化，提高程式碼覆蓋率。白盒測試是一種軟體測試方法，著重檢查軟體內部結構、工作流程和操作邏輯，主要目的是要確保內部結構每部分都經過測試，但Code Intelligence指出，此技術需要專家手動找出進入點並開發測試，過程可能需要耗時數天或是數周。</p> <p>人力資源吃緊成為了實作人工智慧白盒測試的障礙，而CI Spark便是藉由生成式人工智慧技術，在對JavaScript/TypeScript、Java和C/C++程式碼，自動化生成測試程式碼，協助開發團隊提高程式安全性。</p> <p>Code Intelligence創建了一套廣泛的提示語，指導語言模型辨識程式中對安全性具有重要影響的功能，生成高品質模糊測試，並且確保測試可以達到最大程式碼覆蓋率。官方表示，他們多年執行模糊測試的經驗，已經完善了這些提示，能夠讓人工智慧助理保持極低的偽陽性率。</p> <p>CI Spark的具體功能包括找出適合進行模糊測試的函式，自動生成測試，或是改進現有的模糊測試，同時也能利用現有的單元測試，進一步生成高品質測試程式碼。根據官方自己的測試，CI Spark能夠加速專案創建測試速度15倍，並且已經發現包括SQL注入、XSS和遠端程式碼等超過50個CVE。</p> <p>此外，Code Intelligence正在與Google的OSS-Fuzz專案合作，持續進行模糊測試以確保開源專案的安全性，Code Intelligence提到，藉由CI Spark可將平均所需工作時數，從3天縮短至數個小時。</p> </div></div></div>
2023/9/14 08:33作者李建興https://www.ithome.com.tw/news/158728
Google雲端推出Terraform基礎設施管理器，運用IaC簡單管理雲端資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端推出基於Terraform的<a href="https://cloud.google.com/blog/products/management-tools/introducing-infrastructure-manager-powered-by-terraform">基礎設施管理器</a>，該工具可以讓用戶以程式碼即基礎設施（IaC）方式，管理Google雲端上的基礎設施。由於基礎設施管理器是在雲端託管Terraform環境，因此可供用戶簡單地宣告雲端資源的部署、配置和管理。</p> <p>基礎設施管理器是針對Google雲端用戶設計的工具，透過Terraform和程式碼即基礎設施的方式管理基礎設施，應用更自動化和標準化的部署流程，而這也就代表基礎設施的部署可以更一致且可擴展。該工具不僅簡化雲端資源的生命周期管理，並以受控和可稽核的方式應用變更，且因為Terraform的Plan and Apply工作流程，能夠確保基礎設施變更的可預測性，並減少意外變更的風險。</p> <p>用戶在配置Compute Engine執行個體、Cloud Storage儲存桶還是Kubernetes叢集等，均可利用Google預先打包的資源庫、Terraform模組、Terraform Provider和Jump Start解決方案，由基礎設施管理器自動管理相依關係。</p> <p>官方也提到，基礎設施管理器與Google雲端其他產品和服務緊密整合，能提供全面性管理功能。因此監控與故障排除用的Cloud Logging，或是用於精細控制存取的Cloud Identity and Access Management，都能與基礎設施管理器搭配使用。</p> </div></div></div>
2023/9/14 08:36作者李建興https://www.ithome.com.tw/news/158729
【資安日報】9月13日，手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾天國內有兩起資安事故引起各界關注，其中一項是與許多民眾看醫生有關的行動支付App「醫指付」有關，傳出有不少用戶反映他們綁定的信用卡出現盜刷的情況，對此，大洸醫學管理顧問公司發出聲明初步解釋事故經過與目前的處置作法，金管會也提出因應之道，然而，究竟使用者的信用卡資料從何流出？仍有待進一步調查。</p> <p>另一起事故則是發生在臺中、彰化的肉品市場，他們都在11日疑似遭遇勒索軟體攻擊，而影響營運流程，目前推測可能是遭到相同的駭客組織發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">手機醫療費用支付App醫指付個資外洩，傳出用戶信用卡遭盜刷</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/375970638_706699531499856_5012551876503328731_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/375970638_706699531499856_5012551876503328731_n.jpg" style="width: 300px; float: right;" /></a>根據TVBS新聞網、自由時報等多家媒體的報導，由大洸醫學管理顧問公司經營、與臺灣135家醫療院所及30家銀行合作的行動支付工具「醫指付」，傳出使用者綁定的的信用卡遭到盜刷。</p> <p>對此，大洸醫學管理顧問公司發出聲明，表示他們已經啟動資安應對機制，暫停海外付款，委由資安鑑識機構調查，釐清盜刷事件發生的原因。為強化運作效能及資安機制，該公司亦委託宏科公司建置新版醫指付系統，預計年底上線。</p> <p>金融監督管理委員會表示，他們已請財金公司協助釐清資安漏洞並做補強。金管會銀行局副局長林志吉表示，由於遭盜刷持卡人，並不限於特定銀行用戶，推測資料外洩源頭並非銀行端。此外，部分發卡機構已啟動自主加強監控，例如：採取灰名單管理。銀行局指出，如果卡友遭盜刷，可向往來銀行申請將款項列為爭議帳款處理。</p> <p>資料來源</p> <p>1. <a href="https://news.tvbs.com.tw/life/2238572">https://news.tvbs.com.tw/life/2238572</a><br /> 2. <a href="https://ec.ltn.com.tw/article/breakingnews/4426459">https://ec.ltn.com.tw/article/breakingnews/4426459</a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.facebook.com/ehealthpay/posts/pfbid0UReS7hSi7kdDsWHZQLXQ6FPPf6aPCorYQuLVyRFZcL6HCR8NmJyfbLyBi6dHBNZcl" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-288963455" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.facebook.com/ehealthpay/posts/pfbid0UReS7hSi7kdDsWHZQLXQ6FPPf6aPCorYQuLVyRFZcL6HCR8NmJyfbLyBi6dHBNZcl</span></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">彰化、臺中肉品拍賣市場疑遭勒索軟體攻擊</span></strong></p> <p>根據中央社、自由時報等媒體報導，彰化肉品市場、臺中市大安肉品市場電腦拍賣系統11日遭到駭客入侵，彰化肉品市場超過1千頭豬隻無法拍賣而被迫休市，導致零售市場無法販賣豬肉，12日已恢復正常，而臺中市大安肉品市場被迫延後進行拍賣作業。</p> <p>彰化縣肉品市場公司董事長洪榮章向中央社提出說明，該公司員工於11日上午發現電腦拍賣系統無法使用，沒多久就收到駭客寄來的勒索信，市場決定暫停拍賣，也請負責的電腦公司派員維修，直到12日凌晨才排除異常。肉品市場已研擬針對豬農、中盤商損失進行賠償，也向彰化縣警察局溪湖分局報案，並尋求中研院及電腦公司協助，找出拍賣系統程式漏洞，以防類似事件再度發生，同時，該公司亦將建立處理此類事件的標準作業流程。</p> <p>無獨有偶，臺中市大安肉品市場也於同日電腦遭到駭客入侵，他們在早上8點開機發現電腦系統無法運作，經資訊廠商搶修，拍賣延後5個多小時才進行作業。他們與彰化肉品市場進行了解，懷疑是相同的犯罪集團所為。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cna.com.tw/news/aloc/202309120284.aspx" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1260295124" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.cna.com.tw/news/aloc/202309120284.aspx</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://news.ltn.com.tw/news/Changhua/breakingnews/4426063" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-335209519" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://news.ltn.com.tw/news/Changhua/breakingnews/4426063</span></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/09/atomic-macos-stealer-delivered-via-malvertising"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意廣告鎖定Mac電腦，散布竊資軟體Atomic Stealer</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file98620_280622_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file98620_280622_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露針對Mac電腦而來的竊資軟體Atomic Stealer（亦稱AMOS），駭客假借提供股匯市看盤軟體TradingView的名義進行誘騙，並藉由Google搜尋引擎最佳化（SEO）廣告來散布。在駭客架設的網站上，他們聲稱提供了Windows、macOS、Linux版本的應用程式，macOS版本的安裝程式內含Atomic Stealer，而下載Windows或Linux版安裝檔的網頁連結，則指向一個放置在Discord的安裝檔，若是開啟，電腦就可能會被植入木馬程式NetSupport RAT。</p> <p>一旦Mac電腦的使用者依照指示下載、執行，駭客就會繞過作業系統的防護機制GateKeeper，並竊取電腦上的密碼、自動填寫的資料、使用者資訊、Cookie、數位錢包，以及「鑰匙圈存取（Keychain）」儲存的帳密資訊。</p> <p><a href="http://www.sentinelone.com/blog/macos-metastealer-new-family-of-obfuscated-go-infostealers-spread-in-targeted-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體MetaStealer鎖定Intel處理器的Mac電腦而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/metastealer_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/metastealer_1.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露竊資軟體MetaStealer的攻擊行動，該惡意程式針對Intel處理器的Mac電腦而來。研究人員先是看到有人在惡意軟體分析平臺VirusTotal上傳檔案，而開始追蹤此事。</p> <p>這名上傳檔案的使用者在VirusTotal的說明欄表示，駭客佯稱是有設計需求的客戶，接洽過程未察覺異狀，直到對方傳送了受到密碼保護的ZIP壓縮檔，當中含有DMG映象檔，一旦開啟，就會顯示要在電腦部署帶有PDF文件圖示的應用程式。所幸這名使用者覺得受騙，並未真的安裝此「應用程式」。</p> <p>研究人員取得相關檔案進行分析，發現駭客假借提供Adobe的軟體，或是以客戶的作品的名稱製作DMG檔案，挾帶MetaStealer。此惡意程式以Go語言開發而成，一旦於目標電腦執行，就會蒐刮電腦上的系統資訊、密碼、應用程式組態，並透過TCP的3000埠傳送到駭客手上，但駭客的主要目標，其實是針對Telegram和Meta服務的帳號而來。而對於攻擊來源，研究人員發現此竊資軟體與另一款惡意程式Atomic Stealer存在共通點，但經過進一步查核之後，確認兩者來自不同的駭客組織。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-wiki-eve-attack-can-steal-numerical-passwords-over-wifi/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以數字組成的Wi-Fi連線密碼，被找出可能的破解方式，研究人員揭露WiKI-Eve攻擊手法</span></strong></a></p> <p>來自中國、新加坡的研究人員揭露新型態的攻擊手法WiKI-Eve，這項手法利用2013年IEEE 802.11ac（Wi-Fi 5）引入的波束形成回應資訊（Beamforming Feedback Information，BFI），此機制讓設備向路由器發送位置資訊，以便路由器能更精準發送訊號，但其資訊交換過程含有明文資料，而可能遭到濫用。</p> <p>在這項攻擊手法裡，主要是在使用者輸入密碼的過程攔截Wi-Fi訊號，研究人員事先透過網路流量的監控，得知設備的網路資訊（如MAC位址）來識別目標，然後透過Wireshark等流量監控工具，收集使用者輸入密碼過程的BFI訊號資料。</p> <p>由於使用者輸入密碼的字元可能影響Wi-Fi天線後續頻道的運作，使得研究人員能推測使用者輸入的數字密碼，單一數字的準確率達到九成，破解由6個數字組成的密碼準確率為八成五。雖然這項攻擊手法是針對由數字組成的密碼而來，但根據密碼管理解決方案NordPass的調查，最常見的20組懶人密碼就有16組由數字組成，也意味著此類密碼安全性面臨重大危機。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://arxiv.org/pdf/2309.03492.pdf" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-328115451" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://arxiv.org/pdf/2309.03492.pdf</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://nordpass.com/most-common-passwords-list/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--2103703365" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://nordpass.com/most-common-passwords-list/</span></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布9月例行更新，修補2個零時差漏洞</span></strong></p> <p>9月12日微軟發布本月份的例行更新（Patch Tuesday），總共修補59個漏洞，當中有3個安全功能繞過漏洞、24個遠端執行任意程式碼（RCE）漏洞、9個資訊洩露漏洞、3個阻斷服務（DoS）漏洞、5個Edge瀏覽器漏洞，以及5個可被用於詐欺攻擊的漏洞。</p> <p>其中，有2個漏洞CVE-2023-36802、CVE-2023-36761，是已出現攻擊行動的零時差漏洞。CVE-2023-36802為本機權限提升漏洞，出現於Windows的串流服務代理伺服器元件，攻擊者若是成功利用漏洞，可取得SYSTEM權限，CVSS風險評分為7.8。</p> <p>另一個遭到利用的零時差漏洞CVE-2023-36761，存在於Word應用程式，為資訊洩漏漏洞，攻擊者有可能藉此盜取NTLM雜湊值，CVSS風險評分為6.2。漏洞懸賞專案Zero Day Initiative（ZDI）指出，由於CVE-2023-36761有可能透過預覽視窗觸發，代表利用此漏洞的過程無須與使用者進行互動，他們認為IT人員應優先處理這項漏洞。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2023-patch-tuesday-fixes-2-zero-days-59-flaws/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1084334193" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2023-patch-tuesday-fixes-2-zero-days-59-flaws/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.zerodayinitiative.com/blog/2023/9/12/the-september-2023-security-update-review" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1136154706" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.zerodayinitiative.com/blog/2023/9/12/the-september-2023-security-update-review</span></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/adobe-warns-of-critical-acrobat-and-reader-zero-day-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe旗下的PDF編輯工具與檢視器存在零時差漏洞，已被用於攻擊行動</span></strong></a></p> <p>9月12日Adobe發布3則資安通告，修補旗下的PDF編輯工具Acrobat、PDF文件閱讀程式Acrobat Reader，以及視訊會議系統Adobe Connect、內容管理系統Experience Manager。</p> <p>其中最值得留意的是重大等級的<a href="https://helpx.adobe.com/security/products/acrobat/apsb23-34.html">CVE-2023-26369</a>，此為越界寫入漏洞（OBW），影響Windows與macOS版的Acrobat、Acrobat Reader，CVSS風險評分為7.8，攻擊者一旦成功利用漏洞，就有機會執行任意程式碼。該公司將其列為優先修補層級最高的漏洞，並指出已被用於攻擊行動。</p> <p><a href="https://www.bleepingcomputer.com/news/security/mozilla-patches-firefox-thunderbird-against-zero-day-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox、Thunderbird更新，修補已出現攻擊行動的零時差漏洞</span></strong></a></p> <p>9月12日Mozilla基金會推出Firefox 117.0.1、Firefox ESR 115.2.1及102.15.1、Thunderbird 115.2.2及102.15.1更新，目的是修補由蘋果安全工程架構團隊（SEAR）與加拿大公民實驗室通報的零時差漏洞CVE-2023-4863，此為記憶體緩衝區溢位漏洞，存在於WebP程式庫元件libwebp，攻擊者可引誘使用者開啟惡意WebP圖檔來觸發漏洞。該基金會指出，已有其他存在相同漏洞軟體遭到攻擊。</p> <p>值得留意的是，Firefox、Thuderbird並非唯二受到此漏洞影響的上網應用程式，Google於11日發布電腦版Chrome 116.0.5845.187、116.0.5845.188更新，目的就是修補這項已被用於攻擊行動的漏洞。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--425295119" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/</span></a><br /> 2. <a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html">https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html</a></p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-critical-codemeter-vulnerability-impacts-several-siemens-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子多項工控設備受到CodeMeter元件重大漏洞影響</span></strong></a></p> <p>西門子與施耐德電機發布9月份例行更新，本次西門子發布7則新的資安通告，涵蓋45個漏洞，施耐德電機發布1則新的資安通告。</p> <p>其中，本次西門子公告的漏洞裡，最值得留意的是重大漏洞CVE-2023-3935，該漏洞存在於Wibu-Systems的軟體授權與防護元件CodeMeter，影響西門子旗下PSS、SIMATIC、SIMIT、SINEC、SINEMA多項工控解決方案，CVSS風險評分達9.0。該公司指出，假若組織將CodeMeter Runtime設置為伺服器，攻擊者可在未經身分驗證的情況下遠端執行任意程式碼（RCE）；若是組織將該元件設置為用戶端模式，攻擊者可在通過身分驗證的情況下，有機會將權限提升為root。</p> <p>施耐德電機本次針對互動式圖形化SCADA系統（IGSS）修補高風險CVE-2023-4516，此為缺乏身分驗證的弱點，本機攻擊者能竄改系統的更新來源，進而派送含有惡意內容的更新檔案，而有可能讓攻擊者遠端執行任意程式碼，CVSS風險評分為7.8。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ragnar-locker-claims-attack-on-israels-mayanei-hayeshua-hospital/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Ragnar Locker聲稱攻擊以色列醫療中心Mayanei Hayeshua</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/apple-backports-blastpass-zero-day-fix-to-older-iphones/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 15.7.9、iPadOS 15.7.9、macOS Monterey 12.6.9、macOS Big Sur 11.7.10，修補零點擊漏洞Blastpass</span></span></strong></a></p> <p><a href="https://www.zscaler.com/blogs/security-research/technical-analysis-hijackloader"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入工具HijackLoader被用於散布DanaBot、SystemBC、RedLine Stealer</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/sponsor-batch-filed-whiskers-ballistic-bobcats-scan-strike-backdoor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客TA453對全球34個組織部署後門程式Sponsor</span></span></strong></a></p> <p><a href="https://blog.google/products/chrome/Google-chrome-new-features-redesign-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google將提供Chrome更為即時的釣魚網站防護機制</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158704"><strong>【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158685"><strong>【9月11日】駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158654"><strong>【9月8日】網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光</strong></a></p> </div></div></div>
2023/9/13 18:06作者周峻佑https://www.ithome.com.tw/news/158725
Google緊急修補已被利用的Chrome漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html" target="_blank">Google周一（9/11）緊急更新Windows、Mac及Linux上的Chrome瀏覽器</a>，以修補已遭到駭客利用的CVE-2023-4863安全漏洞，而該漏洞正是由<a href="https://www.ithome.com.tw/news/158648" target="_blank">上周同步發布漏洞訊息的公民實驗室（Citizen Lab）及蘋果工程師</a>所提報。</p> <p>CVE-2023-4863為一位於WebP的堆積緩衝區溢位漏洞。WebP是Google所開發的點陣圖檔案格式，目的是為了取代JPEG、PNG及GIF等格式，它同時支援破壞性與非破壞性資料壓縮，Google宣稱該格式將可用來建立更小、更豐富且傳輸更快的圖像。</p> <p>Google僅說已發現針對CVE-2023-4863的攻擊程式，並未揭露漏洞細節。<a href="https://www.cybersecurity-help.cz/vdb/SB2023091178" target="_blank">而Cybersecurity Help則解釋</a>，該漏洞源自於處理WebP圖像時的邊界錯誤，駭客只要誘導受害者造訪一個惡意網站，就能觸發緩衝區溢位，並於受害者系統上執行任意程式。</p> <p>值得注意的是，此一漏洞影響所有支援WebP圖像處理的瀏覽器。而除了Chrome與基於Chromium的各種瀏覽器（如Microsoft Edge）之外，蘋果的Safari及Mozilla的Firefox也都支援WebP。</p> <p>Windows版Chrome用戶可更新至116.0.5845.187/.188 ，Mac及Linux版Chrome用戶則可更新至116.0.5845.187來修補該漏洞，Google預計會在未來幾天至幾周的時間，全面部署更新版Chrome至所有系統上。</p> </div></div></div>
2023/9/13 17:01作者陳曉莉https://www.ithome.com.tw/news/158723
微軟Patch Tuesday修補兩個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在9月的Patch Tuesday修補了59個安全漏洞，當中涉及Word的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36761" target="_blank">CVE-2023-36761</a>，以及與串流服務有關的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36802" target="_blank">CVE-2023-36802</a>，皆已遭到駭客利用。</p> <p>其中的CVE-2023-36761屬於資訊揭露漏洞，攻擊媒介為Word的預覽窗格，成功的攻擊將會揭露 Windows New Technology LAN Manager（NTLM）雜湊。NTLM為Windows系統中用來進行身分驗證的安全協定，微軟並未說明該漏洞的攻擊場景，<a href="https://www.zerodayinitiative.com/blog/2023/9/12/the-september-2023-security-update-review" target="_blank">但Zero Day Initiative（ZDI）團隊認為</a>，駭客很可能利用CVE-2023-36761來進行中繼攻擊，更像是個欺騙漏洞，有鑑於透過預覽窗格便能展開攻擊，意味著它不需要使用者互動，呼籲IT管理人員應將它列為優先修補漏洞。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36761" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-CVE-2023-36761-Microsoft%20Word%20Information%20Disclosure%20Vulnerability(1).png" style="width: 386px;" /></a></p> <p>至於CVE-2023-36802則是Microsoft Streaming Service Proxy的權限擴張漏洞，成功的攻擊將允許駭客取得系統權限。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36802" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-CVE-2023-36802-Microsoft%20Streaming%20Service%20Proxy%20Elevation%20of%20Privilege%20Vulnerability.png" style="width: 382px;" /></a></p> <p>上述漏洞雖已被利用，但僅被微軟列為重要（Important）漏洞。</p> <p>本月微軟修補了5個重大（Critical）漏洞，最嚴重的是涉及Internet Connection Sharing（ICS）的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38148" target="_blank">CVE-2023-38148</a>，另有3個遠端程式攻擊漏洞與Visual Studio有關，分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36792" target="_blank">CVE-2023-36792</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36793" target="_blank">CVE-2023-36793</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36796" target="_blank">CVE-2023-36796</a>，還有一個是Microsoft Azure Kubernetes Service的權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29332" target="_blank">CVE-2023-29332</a>。</p> <p>ICS為Windows中的一項網路服務，允許一臺連結網際網路的Windows電腦分享網路予其它在同一區域網路上的電腦，CVE-2023-38148漏洞讓駭客只要傳送一個特製的封包至ICS服務便能展開攻擊。而駭客若能成功利用Azure Kubernetes中的CVE-2023-29332漏洞，即可取得叢集管理員權限。</p> <p>而CVE-2023-36792、CVE-2023-36793與CVE-2023-36796雖然是不同的Visual Studio漏洞，但攻擊場景類似，駭客只要說服目標對象於Visual Studio中開啟一個惡意檔案就能進行攻擊，以執行任意程式。</p> </div></div></div>
2023/9/13 15:40作者陳曉莉https://www.ithome.com.tw/news/158712
iPhone 15系列全面改用USB-C
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於臺灣時間今日（9/13）凌晨發表了新一代的iPhone 15系列，棄用了蘋果自2012年以來所使用的Lightning連結介面，全面改用USB-C介面，同一天發表的第二代AirPods Pro也同樣改用USB-C充電。</p> <p>幾年前充電埠的主流規格便從micro-USB轉成USB-C，當時歐盟即曾要求蘋果從善如流，卻遭蘋果拒絕，堅持採用自家開發的Lightning，然而，<a href="https://www.ithome.com.tw/news/153463" target="_blank">歐盟在2022年正式接納以USB-C作為小型電子裝置的通用充電標準</a>，要求所有在歐盟銷售的手機都必須具備USB-C充電埠，並於2026年春天延伸至筆電，而蘋果也被迫遵守。</p> <p>全新的iPhone 15、iPhone 15 Plus、iPhone 15 Pro、iPhone 15 Pro Max，以及第二代AirPods Pro，全都配備了USB-C接頭，由於Mac筆電所使用的Thunderbolt連結介面也相容於USB-C，且大多數的iPad也採用USB-C，因此，在iPhone也加入USB-C的行列之後，同一條連結線就可以替iPhone、Mac、iPad及第二代AirPods Pro充電，或者是直接利用該連結線從iPhone替AirPods或 Apple Watch充電。</p> <p>採用一致的充電標準不僅能減少雜亂的充電線，造福消費者，且當不同品牌的裝置都能以同樣的充電器充電時，還能大幅降低電子垃圾數量。</p> <p>此外，以規格來說，Lightning的傳輸速度與USB2.0相當，為480 Mbps，而USB-C的最快傳輸速度高達80 Gbps，顯示將有更好的發展空間。</p> </div></div></div>
2023/9/13 12:32作者陳曉莉https://www.ithome.com.tw/news/158710
蘋果發表首批碳中和產品，特定Apple Watch組合具備碳中和標誌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/09/apple-unveils-its-first-carbon-neutral-products/" target="_blank">蘋果本周發表了</a>該公司首批碳中和產品，是由新一代的Apple Watch領軍，當使用者選配特定的錶殼與錶帶，而達到碳中和的目標時，產品包裝就會出現碳中和的標誌，朝向蘋果於2030年實現所有產品碳中和的前景邁進。同時蘋果也宣布，為了減少對地球的影響，所有的產品線皆已停止使用皮革，包括iPhone配件與Apple Watch錶帶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-Apple%20Watch-carbon%20neutral-package-500.png" style="width: 400px;" /></p> <p>不管是Apple Watch Series 9、Apple Watch SE或Apple Watch Ultra 2都有碳中和的搭配選項，像是採用鋁製錶殼加上全新運動型錶環的Apple Watch Series 9，選擇全新運動型錶環的Apple Watch SE，或者是選擇越野錶環或高山錶環的Apple Watch Ultra 2。</p> <p>蘋果解釋，這些被列為碳中和的Apple Watch款式都符合特定標準，其產品及生產使用100%的綠能，產品總重量的30%使用回收或再生物料，其物流至少有50%不使用空運。上述措施讓這些款式減少了75%的碳排放，再利用高品質的碳權來解決剩餘的碳排放。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-Apple%20Watch-carbon%20neutral-600.png" style="width: 600px;" /></p> <p>根據蘋果的計算，在運輸相同的產品時，海運比空運的碳排放少了95%，亦重新設計Apple Watch包裝以減少重量，增加每批的運輸數量。</p> <p>蘋果的另一項環保計畫是要在2025年實現無塑包裝，而全新的Apple Watch與錶帶系列產品將首次採用全纖維包裝，且iPhone 15的包裝也有超過99%為纖維材質。</p> <p>除了從自身做起，蘋果亦督促供應鏈參與除碳計畫，目前已有超過300家蘋果供應鏈製造商承諾要在2030年以前，使用100%的綠能來生產蘋果零件，已占蘋果供應鏈支出的9成以上。</p> <p><strong><span style="color:#696969;">圖片來源_蘋果</span></strong></p> </div></div></div>
2023/9/13 13:13作者陳曉莉https://www.ithome.com.tw/news/158711
iOS 17將於9月18日開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在臺北時間今（13）日舉行的Wonderlust產品大會上，宣布<a href="https://www.apple.com/newsroom/2023/09/apple-debuts-iphone-15-and-iphone-15-plus/" target="_blank">旗艦智慧型手機iPhone 15</a>系列，同時也<a href="https://www.apple.com/tw/ios/ios-17/" target="_blank">宣布最新行動作業系統iOS 17正式版</a>，將於歐美時間9月18日（臺灣時間9月19日）釋出。</p> <p>iOS 17早在<a href="https://www.ithome.com.tw/news/157198" target="_blank">5月WWDC大會當天</a>開放預覽試用，並在8月底釋出公開beta 2測試版本，功能不少人應該已經使用過。最新版iOS包含為語音產生字幕的Live Voicemail，能在充電時全螢幕顯示訊息、時間或Live Activities的待機（Standby）顯示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-iOS%2017-live%20voicemail-apple.png" style="width: 252px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-iOS%2017-Standby-apple(1).png" style="width: 600px;" /></p> <p>此外，AirDrop新增名為NameDrop的功能（下圖），讓iPhone和iPhone或是iPhone與Apple Watch之間，能近距離將選定的信箱和電話號碼傳給對方。密碼及通行密鑰（Passkey）可透過iCloud Keychain分享給一組受信任聯絡人。住飯店的用戶可以Message Check In通報平安入住飯店，再以AirPlay手機音樂傳到下榻飯店的電視上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-airdrop-namedrop-ios%2017-apple.png" style="width: 600px;" /></p> <p>iOS 17並提供了多項AI新功能，像是日誌（Journal）應用程式，可根據用戶最新活動，如相片、聯絡人、到過的地方等提供個人化建議撰寫內容，或是排程通知。此外，以新的transformer語言模型強化的自動校正（Autocorrect）功能，可以更精準預測文字並輸入以及整句文法校正。視覺查詢（Visual Look Up）讓使用者用來辨識食物、商家、招牌或任何圖像，例如拍照後查詢食譜。</p> <p>iOS 17外，iPadOS 17也會同時於9月18日開放下載。</p> <p>iOS 17支援iPhone機種必須要iPhone SE第2代以上、iPhone XR/XS機種到最新的iPhone 14系列。這意謂著iPhone 8、8 Plus及X將止步於iOS 16。</p> <p><strong><span style="color:#696969;">圖片來源_蘋果</span></strong></p> </div></div></div>
2023/9/13 12:08作者林妍溱https://www.ithome.com.tw/news/158708
macOS Sonoma正式版 9月26日釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/macos/sonoma-preview/" target="_blank">蘋果在今日凌晨的Wonderlust產品大會上公布</a>下一代桌機作業系統macOS Sonoma將在9月26日（臺灣時間9月27日）開放下載。</p> <p>連同iOS/iPadOS 17、watchOS 10，maOS Sonoma也是在今年5月WWDC上宣布，並在7月間公開beta版供用戶下載測試。</p> <p>蘋果企圖透過一些新功能，讓macOS使用經驗更豐富。例如類似Apple TV的豐富螢幕保護程式，此外，新的桌面widget（下圖）可讓用戶直接在桌面操作podcast、關燈等作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-macOS%20Sonoma%20Preview-Apple-Widgets%20on%20Desktop-(3)-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>透過「接續互通」（Continuity）功能（下圖），Mac電腦用戶可將iPhone小工具加到桌面上，不必再安裝對應的App。遊戲模式（Game Mode）則透過自動調度CPU、GPU源，可提升電玩串流影格率（frame rate），降低打電玩時的延遲性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-macOS%20Sonoma%20Preview-Apple-Continuity.png" style="width: 573px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>macOS Sonoma也強化視訊功能讓遠距開會的影像品質更好，包括視訊會議中，在共享螢幕時可以「發表人置前」功能讓簡報者以最大畫面在對話畫面置中，或以小畫面浮動在畫面上（下圖），也可以透過螢幕共享和其他與會者共享一個或多個App。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-Apple-%20MacOS%20Sonoma-vedio%20conferencing-Presenter%20Overlay-small-WWDC%202023-960.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>Safari則改善使用經驗，讓用戶建立不同主題類別，如「工作」或「個人」，以便分類累積瀏覽紀錄、建立標籤頁（書籤）群組、cookies。蘋果也強調搜尋回應更快，建議搜尋的相關性也更高。用戶也可以將網頁以App形式加入Dock，點選更快速。macOS Sonoma也改善了訊息、PDF文件、備忘錄的使用便利性。</p> <p>此外，和iOS 17一樣，macOS Sonoma為私密上網（Private Browsing）增加裝置指紋追蹤，並在裝置閒置時上鎖以確保不被人偷看，密碼及通行密鑰（Passkey）則可透過iCloud Keychain分享給一組受信任的聯絡人。</p> <p>macOS Sonoma支援用戶端裝置包括2018 MacBook、Mac Mini、2019 iMac、2017 iMac Pro、2019 Mac Pro及2022 Mac Studio。</p> </div></div></div>
2023/9/13 11:06作者林妍溱https://www.ithome.com.tw/news/158707
Salesforce擴展資料合作夥伴，分別與Databricks、AWS合推ETL資料共享功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce正在積極拓展資料合作夥伴，分別與<a href="https://www.salesforce.com/news/stories/salesforce-databricks-data-ai-news/">Databricks</a>、<a href="https://www.salesforce.com/news/stories/salesforce-aws-ai-announcement-dreamforce/">AWS</a>推出零ETL資料共享功能，這使得Salesforce用戶可以合併Data Cloud與Databricks Lakehouse的資料，透過整合客戶關係管理與其他營運資料，同時還可以與AWS多種雲端服務像是Amazon Redshift和Amazon EMR進行整合，拓展資料分析涵蓋範疇提供更加個人化的服務。</p> <p>在這樣的合作架構下，Salesforce用戶可以享有自帶資料湖（Bring Your Own Lake，BYOL）的功能，跨Salesforce Data Cloud、Databricks Lakehouse以及AWS儲存服務存取資料，更好地整合外部資料，使用戶能從單一位置以零ETL體驗存取資料。</p> <p>官方解釋，因為Salesforce和Databricks雙方儲存都建立在資料湖倉架構之上，因此能夠從儲存層級進行雙向資料聯合，以低延遲共享資料。而Salesforce與AWS的合作則涵蓋廣泛的雲端服務，包括Amazon Redshift、Amazon SageMaker與Amazon EMR等。</p> <p>Salesforce用戶可以透過資料聯合，從Salesforce Data Cloud存取Databricks以及AWS資料湖的資料，實現跨雲統一客戶資料檔案。同時，用戶也可以透過BYOL資料共享，反向從Databricks或是AWS服務存取Salesforce Data Cloud資料，分析師可以使用儲存在Salesforce的資料，進行更深入的分析，或是供Amazon SageMaker和Amazon EMR使用Salesforce Data Cloud中的統一客戶資料檔案。</p> <p>Salesforce和Databricks在人工智慧服務整合上另一項合作重點，用戶可以運用零ETL資料存取功能，更有效地訓練人工智慧模型。用戶能夠在Databricks機器學習服務中建置、訓練和最佳化人工智慧模型，並將其帶入Salesforce Data Cloud中，在Salesforce平臺上的應用程式中使用。</p> <p>而Salesforce和AWS則更強調在生成式人工智慧技術的合作，用戶可以將基礎模型API服務Amazon Bedrock中託管的大型語言模型，帶到Salesforce中並應用客戶關係管理應用程式中，同時因為Amazon Bedrock也整合了Salesforce的Einstein Trust Layer，因此Salesforce的用戶也可以使用客戶關係管理資料，微調來自AWS、Anthropic、Cohere、AI21 Labs和Stability AI等供應商的大型語言模型。</p> <p>整體而言，Salesforce與Databricks、AWS深度合作，賦予用戶整合Salesforce資料與外部資料源，創建統一客戶資料檔案的能力，並且跨銷售、服務、行銷和商務等業務領域，以人工智慧技術深度分析資料，更全面地了解客戶。Google雲端與Snowflake也早已經與Salesforce合作，提供零ETL資料共享功能，而現在Databricks、AWS加入，Salesforce用戶也就能夠更靈活地跨平臺整合使用資料。</p> </div></div></div>
2023/9/13 08:45作者李建興https://www.ithome.com.tw/news/158699
JavaScript執行環境Bun 1.0推出，可達Node.js的5倍速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bun是一個講求快速JavaScript執行環境與多合一工具包，可用於執行、建置、測試和除錯JavaScript與TypeScript程式，目前Bun釋出<a href="https://bun.sh/blog/bun-v1.0#bun-more-thing">1.0正式版本</a>，已經可以用於生產環境中。</p> <p>之所以會有Bun的出現，官方提到，Node.js經過14年的發展，導致工具在疊床架屋後變得緩慢且複雜。而Bun的目標就是要在不犧牲JavaScript優點的同時，消除Node.js目前存在的缺點。</p> <p>Bun的啟動速度是Node.js的4倍，特別是執行需要轉譯的TypeScript，速度更是比Node.js快上一截，而且由於Bun與Node.js高相容性，大多數現有Node.js應用程式和Npm套件可以直接用Bun執行，如此Bun便可以作為替代品，開發者可以更為簡單地將程式從Node.js過渡到Bun。</p> <p>不同於Node.js使用Google的V8引擎，Bun選擇使用Apple的WebKit引擎，而且Bun內建了JavaScript轉譯器，可以直接執行JavaScript、TypeScript和JSX/TSX檔案，不需要使用外部工具轉換，因此開發者更直接地執行這些程式碼。</p> <p>而且由於Bun本身是一個多合一工具包，就算開發者不將Bun當作執行環境使用，Bun的套件管理也可以加速工作流程，在套件安裝速度上都遠超過Npm、Yarn和Pnpm（下圖）。目前Bun在macOS和Linux已達生產就緒，官方也開始在Windows提供原生支援，但現在仍處於實驗階段。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/266451126-23cbde35-b859-41b5-9480-98b88bf40c44.png" style="width: 580px; height: 286px;" /></p> <p>根據Bun官網列出的資料（下圖），Bun在各種工作負載效能表現良好，像是伺服器端渲染React，另一個JavaScript執行環境Deno的速度雖然是Node.js的2倍以上，但Bun在伺服器端渲染React的速度更是Node.js的5倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bun%20%E2%80%94%20A%20fast%20all-in-one%20JavaScript%20runtime%20-%20bun_sh.png" style="width: 580px; height: 388px;" /></p> <p>由於<a href="https://www.ithome.com.tw/news/128189">Node.js發展已久存在許多技術債</a>，陸續出現試圖解決Node.js問題與限制的專案，像是Node.js之父Ryan Dahl就另外創建了Deno，實現自己理想中的工具，而Bun也是這樣的嘗試，期望能提供一個更完善快速的JavaScript執行環境。</p> </div></div></div>
2023/9/13 08:49作者李建興https://www.ithome.com.tw/news/158705
Google Firestore資料庫添加時間點恢復與排程備份功能，增強資料恢復能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在全託管無伺服器文件資料庫Firestore，<a href="https://cloud.google.com/blog/products/databases/firestore-adds-point-in-time-recovery-and-scheduled-backups">新增</a>兩個好用的災難恢復功能，分別是時間點恢復（PITR）和排程備份，補全Firestore自動資料冗餘備份功能。</p> <p>啟用時間點恢復功能便可防止意外刪除和寫入操作，Firestore會對固定時間間隔的資料進行版本控制，當開發人員錯誤推送或是意外刪除資料時，用戶便可以查詢過去的資料，並且將資料無縫恢復到過去某個時間點。</p> <p>啟用時間點恢復功能具有高精細與低精細度兩種時窗，在高精細度時窗配置，Firestore會保留所有文件變更歷史，在一小時內，用戶可以使用微秒精度的時間戳記，讀取任意版本的文件。而低精細度時窗則可以設定7天到1小時的時窗，每分鐘保留一個版本，用戶可以用分鐘精度時間戳記讀取文件。</p> <p>而排程備份則讓用戶可以配置備份計畫，以每日或是每周的頻率備份Firestore資料庫，用戶可以使用這些備份，將資料恢復到新的資料庫。備份具有可配置的保存期限，且會留存直到該期限到期或被用戶手動刪除。</p> <p>雖然刪除來源資料庫不會自動刪除相關的備份，但是對預設資料庫來說，用戶需要先刪除所有備份，才能刪除該資料庫。Firestore會儲存與資料庫相關的備份和備份計畫的後設資料，直到資料庫所有備份到期或是被刪除。</p> <p>Google雲端新增這兩項新功能，可進一步強化資料恢復能力，除了確保Firestore的SLA達99.999％之外，也可以在需要進行副本切換時，不丟失資料並且立即恢復正常運作，也就是達到0 RPO（Recovery Point Objective）與0 RTO（Recovery Time Objective）。</p> </div></div></div>
2023/9/13 08:54作者李建興https://www.ithome.com.tw/news/158706
企業網路管理也能結合生成式AI！Aruba網路管理平臺Central將利用LLM模型提供問答式AI搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【<strong>印尼巴厘島現場報導</strong>】在12日舉行的Atmosphere亞太區用戶大會上，網路廠商Aruba首度透露未來新AI策略之一，將利用當今火紅的生成式AI技術，優化產品及管理服務，以提高用戶體驗。Aruba計畫在其網路管理平臺Central中開始支援生成式AI功能，讓網管人員可以透過更自然、直覺方式提問，並快速獲得解答，以更有效地管理其網路狀態。另外在AIOps網路維運方面，未來也能結合生成式AI模型，提供故障排除的建議等。</p> <p>今年，不論是軟體或硬體巨頭紛紛將生成式AI納入其產品新戰略，Aruba雖然在AI深耕多年，推出許多AI功能，來優化其網路產品在網路管理與配置，然而，在這波生成式AI浪潮中，Aruba並未即時跟上。直到九月的一場亞太區活動中，Aruba終於透露，未來將在其網路產品中開始整合這項技術，提高用戶體驗。</p> <p>Aruba亞太區產品、解決方案和系統工程資深總監Mark Verbloot在會後一場媒體活動上表示，生成式AI已掀起一股新風潮，促使每家企業或廠商都在某種程度上考慮利用生成式AI來增強其產品，Aruba也不例外，正在密切關注這個新領域。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-09-13%20%E4%B8%8A%E5%8D%881_32_14.png" style="width: 600px; height: 238px;" /></p> <blockquote><p>Aruba原本在其網路管理平臺Central中已推出支援自然語言處理的AI搜尋功能（如上圖），未來將整合生成式AI進一步提高其<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">回應和</span>處理能力，幫助維運人員更快地識別和檢測網路異常。</p> </blockquote> <p> </p> <p>Aruba計畫在網路管理平臺Central上開始整合生成式AI問答能力，「AI Search就是其中一個可以利用LLM模型加強的功能。」Mark Verbloot表示，它是幾年前在Central中推出的自然語言處理的AI搜尋功能，使用者只需在搜尋框輸入問題，AI搜索引擎就會從存取的資料中提取使用者裝置和網路基礎設施的相關資訊，然後以上下文相關的方式呈現搜尋結果。</p> <p>未來，透過生成式AI提供搜尋的方法，網管人員將能夠以聊天對話的方式提出他們所需查詢的內容，然後由LLM模型根據提問與網路log資料比對，呈現搜尋結果，也可以問答形式給出整理過的摘要和詳細參考資訊，而不只是列出一條條參考結果，這種方式不僅有助於維運人員更快地識別和檢測網路異常，還可以進一步提高管理效率。</p> <p>Mark Verbloot強調，生成式AI的應用不僅限於AI搜尋方面，未來也能進一步加強其AIOps產品在網路維運管理方面的能力，例如提供更具體且詳盡故障排除操作和步驟的建議，協助維運人員快速解決問題，從而減輕其工作負擔。</p> <p>由於建立LLM模型需要大量網路數據作為模型訓練的基礎，Aruba目前管理超過300萬臺企業用戶網路裝置和2億個Client端點產生的網路數據，未來也能利用這些數據進一步發展和優化所需的LLM模型。</p> <p>除了生成式AI之外，在今年的亞太區活動中，Aruba展示了下一版Central中更多的AI新功能。舉例來說，他們推出了名為網路時間旅行（network time travel）功能，這是一個能支援網路快照回溯的AI功能。當有某個網路節點出現異常情況時，維運人員可以透過這個功能回溯到當時的網路狀態，包括操作狀態、配置、事件和性能等，都與當時狀態一致，協助管理人員更快找出問題，加以解決。</p> </div></div></div>
2023/9/12 16:47作者余至浩https://www.ithome.com.tw/news/158698
英特爾發表Thunderbolt 5，最高支援120Gbps單向傳輸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾去年揭示下一代Thunderbolt高速傳輸規格後，終於在今天（9/12)正式發表了Thunderbolt 5，最高可支援至120Gbps，為目前Thunderbolt 4傳輸速度的３倍，瞄準更高傳輸頻寬，多螢幕外接使用需求的遊戲玩家或專業工作者。</p> <p>新的Thunderbolt 5支援USB 4 v2及PCIe Gen4，並相容於Thunderbolt 4與３。在顯示頻寬方面，支援4條40Gbps頻寬線路，在一般使用情形下，以各２條頻寬線路，提供80Gbps雙向傳輸速度，當需要更高傳輸速度時，啟動Bandwidth Boost，調配3條頻寬線路支援至最高120Gbps單向傳輸，接收端以單一頻寬線路支援40Gbps。</p> <p>目前的Thunderbolt 4支援40Gbps，可外接2個4K 60Hz螢幕，而Thunderbolt 5在Full HD模式下可顯示 540Hz，可支援多個8K螢幕，或是外接3個4K的144Hz螢幕，相較於DP2.1的80Gbps，Thunderbolt 5提供高於50%的速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-09-12%20%E4%B8%8B%E5%8D%8812_33_30%20(1).jpg" style="width: 600px; height: 300px;" /></p> <p>相較於目前Thunderbolt 4功能已整合至CPU，Thunderbolt 5則是採用代號為Barlow Ridge的獨立控制晶片，英特爾預期將在2024年看到採用新規格的PC及周邊配件推出。儘管Thunderbolt 5沒有整合進CPU，但也讓其得以進入非英特爾CPU的裝置。</p> <p>在PCI Express資料吞吐量方面，Thunderbolt 4可支援PCIe 32Gbps，而Thunderbolt 5可達到PCIe 64Gbps，為Thunderbolt 4的２倍，PCI Express資料傳輸上，可以更快的速度支援外接SSD儲存裝置。</p> <p>Thunderbolt 5相容於Thunderbolt 4、Thunderbolt 3、USB 4、USB 3及DP2.1，英特爾預期在更快的Thunderbolt 5發表後，未來將會和現有的Thunderbolt 4，依照主流市場、辦公室生產力、工作站用戶、創作者及遊戲玩家並存於市場。</p> <p>另外，Thunderbolt 5在PC供電方面，最高可達到240瓦，能夠支援更高供電需求的運算產品，行動裝置則提供15瓦供電。</p> <p>蘋果當初和英特爾合作訂出Thunderbolt高速傳輸規格，蘋果旗下Mac產品大量採用Thunderbolt，目前支援Thunderbolt 4，在英特爾推出Thunderbolt 5後，蘋果旗下產品未來何時支援Thunderbolt 5？英特爾拒絕評論客戶產品。</p> <p>對於外界對於Thunderbolt與USB間的競爭，例如USB 4雖然僅支援20Gbps傳輸，但是在特別的選配規格下，可提高至40Gbps、80Gpbs或是最高的120Gbps，滿足更高頻寬的影像密集傳輸需求，和Thunderbolt 5相仿。對此，英特爾表示，對比於USB選配規格設計，Thunderbolt 5沒有選配規格，而是直接提供80Gbps，動態調配頻寬下最高至120Gbps。</p> </div></div></div>
2023/9/12 21:10作者蘇文彬https://www.ithome.com.tw/news/158693
【資安日報】9月12日，越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對企業經營的臉書帳號而來的攻擊行動，近期可說是越來越頻繁，繼8月底資安業者Zscaler、WithSecure對於利用竊資軟體Ducktail的攻擊行動提出警告，近期又有其他越南駭客也企圖搜括企業的臉書帳號，但有別於Ducktail攻擊行動透過職場社群網站LinkedIn、接案網站Upwork、Freelancer尋找下手目標，這起攻擊行動的駭客利用Meta即時通訊平臺Messenger來散布竊資軟體。研究人員指出，被駭客鎖定的目標中，每70個人就有1人可能上當。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/mrtonyscam-botnet-of-facebook-users-launch-high-intent-messenger-phishing-attack-on-business-3182cfb12f4d"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">企業臉書用戶在Meta Messenger收到檔案下載連結的訊息要小心，有可能誤裝竊資軟體而被奪走臉書帳號</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_a92bwILy0a8yOXpd9-4haA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_a92bwILy0a8yOXpd9-4haA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露利用即時通訊軟體Messenger發動的網路釣魚攻擊行動MrTonyScam，越南駭客首先向企業的臉書帳號發送Messenger的訊息，聲稱目標組織侵犯版權，或是想要進一步了解產品為由，傳送RAR或ZIP壓縮檔。</p> <p>這些壓縮檔當中含有批次檔，一旦使用者執行，電腦就會從GitHub或GitLab儲存庫下載惡意軟體載入工具，進而在受害電腦植入以Python打造的竊資軟體。此竊資軟體會蒐刮瀏覽器上的Cookie與帳密資料，完成後將Cookie清除，並將受害者帳號登出Meta旗下所有服務，最終將資料透過Telegram或Discord的API傳送到駭客手上。</p> <p>研究人員指出，駭客為了避免被資安系統察覺異狀，他們採取多種手法迴避偵測，例如：在Messenger訊息使用不同的壓縮檔名稱，並隨機加入Unicode字元；而在竊資軟體執行的Python指令碼project.py裡，駭客加入了5層混淆手法，包含使用ASCII字串遮罩，以及使用zlib、bz2、gzip、lzma等格式進行壓縮。</p> <p><a href="https://www.zscaler.com/blogs/security-research/rise-tech-support-scams-abusing-windows-action-center-notifications"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">技術支援型態的詐騙增加，駭客濫用Windows通知中心讓使用者上當</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/actioncenter-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/actioncenter-2.png" style="width: 300px; float: right;" /></a>資安業者Zscaler針對技術支援詐騙攻擊行動升溫的情況提出警告，他們看到近期駭客假借提供盜版電影串流網站的名義，針對澳洲、加拿大、日本、美國而來。</p> <p>一旦使用者點選播放影片的按鈕，對方會要求他們必須同意網站推送通知，才能正常播放影片。過了一段時間後，使用者就會開始接收到來自Windows通知中心（Action Center）推送訊息的轟炸──起初是普通的廣告，再來就是聲稱電腦遭到病毒感染，必須依照指示處理。當使用者點選上述通知，電腦就會出現全螢幕的畫面、播放警示音，告知電腦已經中毒，使用者必須撥打螢幕上的電話號碼尋求「技術支援中心」協助。由於駭客透過JavaScript指令碼停用多種功能，使用者無法關閉這個全螢幕的網頁，也無法將最小化，或是開啟右鍵選單。</p> <p>研究人員指出，駭客也透過社群網站X（原推特）將使用者導向技術支援的詐騙網頁，他們發布聳動的內容引人上鉤，一旦使用者點選推文，就會被重新導向至冒牌的圖靈驗證網頁，對方要求授予網站的通知權限，若是照做，電腦就會顯示大量煩人的通知，聲稱電腦中毒，必須續訂防毒軟體才能受到保護。研究人員指出，這些攻擊手法並非首見，但過往主要以Microsoft Defender為幌子，而現在有些駭客會「提供」McAfee、Avast的防毒軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-vpn-zero-day-exploited-by-ransomware-gangs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科多功能網路資安設備ASA、FTD存在零時差漏洞，已出現攻擊行動</span></strong></a></p> <p>上個月資安新聞網站Bleeping Computer指出，勒索軟體Akira藉由思科的SSL VPN設備入侵受害組織，當時資安業者SentinelOne推測駭客可能利用了未知漏洞得逞，隨後另一家資安業者Rapid7發現，勒索軟體LockBit也利用未知的弱點，針對該廠牌設備發動攻擊，當時思科認為，駭客是鎖定尚未配置雙因素驗證的系統進行暴力破解，如今這起攻擊行動的調查有了新的進展。</p> <p>9月11日思科更新一份資安通告，指出勒索軟體駭客的攻擊行動就是利用了CVE-2023-20269，此漏洞存在於該廠牌的網路資安設備ASA、FTD系列，起因是SSL VPN的遠端存取功能、HTTP管理功能、點對點VPN功能之間的身分驗證、授權、記錄（Authentication, Authorization, and Accounting，AAA）協定缺乏適當的區隔造成，攻擊者可在未經授權的情況下，藉由暴力破解攻擊找出有效的帳號及密碼，甚至有可能透過未經授權的使用者，建立無用戶端的SSL VPN連線，CVSS風險評為5.0分。值得留意的是，這項漏洞尚未得到修補，但思科提出了緩解措施，呼籲用戶儘速採取行動。</p> <p><a href="https://www.akamai.com/blog/security/akamai-prevents-the-largest-ddos-attack-on-a-us-financial-company"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國金融業者遭遇633.7 Gbps的大規模DDoS攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/akamai-prevents-the-largest-ddos-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/akamai-prevents-the-largest-ddos-timeline.png" style="width: 300px; float: right;" /></a>資安業者Akamai揭露發生在9月5日的大規模DDoS攻擊行動，駭客使用了ACK、PUSH、RESET、SYN等洪水攻擊手法，針對美國其中一家極具影響力的金融機構下手，流量高峰達到633.7 Gbps，每秒發送5,510萬個封包（55.1 Mpps），過程不到2分鐘。</p> <p>本次攻擊的十大流量來源為保加利亞、巴西、中國、印度、美國、泰國、俄羅斯、烏克蘭、越南、日本，其中，來自美國的流量超過平常的2倍，鎖定對象是該公司的主要網頁，目的很可能是要破壞其網路銀行業務。</p> <p>研究人員指出，DDoS攻擊有越來越高的比例是針對金融業而來，過往平均約占10%至15%，但在最近一年顯著增加，比例超過三成。</p> <p><a href="https://twitter.com/MGMResortsIntl/status/1701256032369164399"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">酒店集團MGM Resorts遭遇網路攻擊，部分IT系統被迫停擺</span></strong></a></p> <p>9月11日米高梅國際酒店集團（MGM Resorts International）公告發生網路攻擊事故，旗下飯店與賭場的網站皆停止服務。根據RawsAlerts報導，此意外嚴重影響MGM Resorts在內華達州拉斯維加斯的賭場運作，ATM與吃角子老虎機臺都失靈，數位房卡也無法使用，MGM Resorts其他地區的飯店與賭場都受到波及。</p> <p>另一家媒體Networkinvegas指出，本次事故發生於9月10日，該集團原本執行數位鑰匙的系統例行維護作業，之後卻發生其他系統陸續出現故障的現象。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/bb8594ec-9e53-41ff-b6e1-1284d3941b8e.shtml"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美聯社新聞寫作範本網站AP Stylebook資料外洩</span></strong></a></p> <p>9月1日美國聯合通訊社（Associated Press）透過緬因州總律師辦公室發布資安通告，他們表示，由第三方服務供應商代管、不再使用的新聞寫作範本AP Stylebook舊網站，在7月16日至22日遭到攻擊，導致224名用戶的個資遭竊，這些資料包含客戶的姓名、電子郵件信箱、居住地址、所在城市、州、郵遞區號、電話號碼、使用者ID。</p> <p>該公司得知此事的原因，是因為有使用者收到網路釣魚郵件，對方要求他們更新信用卡資料，用戶進一步向美聯社確認而使得這起攻擊事件曝光。美聯社獲報後，已將網站下線，以免災情擴大。值得留意的是，這起事故影響人數並不多，但大部分都是記者與相關從業人員，有可能當中部分的使用者是駭客真正的目標。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://securityaffairs.com/150632/cyber-crime/uk-us-sanctioned-11-trickbot-gang-members.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美英聯手起訴11名俄羅斯駭客組織TrickBot成員</span></span></strong></a></p> <p><a href="https://socradar.io/telegram-hit-by-a-ddos-attack-what-is-the-cause-behind-it/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">疑報復帳號遭到停用，駭客組織Anonymous Sudan對Telegram發動DDoS攻擊</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-250-03"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Socomec不斷電系統存在漏洞，有可能導致設備遭到挾持</span></span></strong></a></p> <p><a href="https://arxiv.org/pdf/2309.03492.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露WiKI-Eve攻擊手法，有機會透過Wi-Fi竊取數字組成的密碼</span></span></strong></a></p> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 116.0.5845.187，修補零時差漏洞CVE-2023-4863</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158685"><strong>【9月11日】駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158654"><strong>【9月8日】網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158641"><strong>【9月7日】惡意程式Agent Tesla透過5年前Office漏洞發動攻擊</strong></a></p> </div></div></div>
2023/9/12 18:32作者周峻佑https://www.ithome.com.tw/news/158704
美國著作權局再度拒絕AI圖像取得著作權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.copyright.gov/rulings-filings/review-board/docs/Theatre-Dopera-Spatial.pdf" target="_blank">美國著作權局（US Copyright Office）最近再度拒絕</a>了一幅AI畫作的著作權申請，這是由Jason Allen利用圖像生成式模型Midjourney所創作的《歌劇院空間》（Théâtre D’opéra Spatial），曾在去年美國科羅拉多州博覽會美術競賽中<a href="https://www.ithome.com.tw/news/152875" target="_blank">奪得數位藝術類別的冠軍</a>。</p> <p>Allen在該作品得獎後，去年9月便向當局申請著作權，著作權局主要關心Midjourney於創作期間所扮演的角色，Allen則說明他為了創作《歌劇院空間》，所輸入或修正的文字描述多達624次，之後再利用Adobe Photoshop進行修改。不過，著作權局要求Allen放棄由Midjourney所創造的部分圖像，才能具備著作權保護的資格，但Allen不願意，於是申請遭到拒絕，而Allen則提出了上訴。</p> <p>近日出爐的則是上訴結果，著作權局的審查委員會指出，他們發現《歌劇院空間》中由AI生成的內容超過了限制，因此必須於申請中放棄部分由Midjourney所生成的內容，但Allen堅持這些內容必須納入他所申請的著作權中。</p> <p>該委員會引用了既有的法令及許多的判決，指出《著作權法》保護的是固定身分作者以任何有形媒介所表達的原始創作，而法院也已對此作出解釋，認為人類作者身分為著作權的基本要求，因而一致地駁回了利用著作權來保護非人類創作的各種企圖。</p> <p>包括Allen在內的許多人認為，他才是輸入各種文字提示至Midjourney的人，他選擇了場景、要強調的部分，還決定圖像的色調，還利用描述來定義畫作的風格與時代，才創造了《歌劇院空間》。</p> <p>然而，著作權局委員會卻認為僅是描述並無法讓Allen成為Midjourney生成圖像的作者，因為他只是輸入了文字，仍是仰賴Midjourney來處理。此外，Midjourney的訓練無法直接將Allen的文字提示當作直接指令，才使得Allen在獲得滿意的圖像之前，需要嘗試數百次，意味著其結果是來自於技術，而非人類。</p> <p>總之，該委員會維持了著作權局原來的看法，指出由於Allen拒絕排除源自非人類作者的成分，因而無法接受該申請。</p> <p>與AI相關的著作權爭議層出不窮，也讓<a href="https://www.ithome.com.tw/news/158526" target="_blank">美國著作權局著手制定新規定</a>，開始接受外界意見以作為立法的參考。</p> </div></div></div>
2023/9/12 16:04作者陳曉莉https://www.ithome.com.tw/news/158696
MLCommons發布AI基準測試新套件，強化模型推論和儲存評估
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放工程聯盟MLCommons<a href="https://mlcommons.org/en/news/mlperf-inference-storage-q323/">公布</a>兩個最新的基準測試套件MLPerf Inference v3.1和MLPerf Storage v0.5，MLPerf Inference又分為邊緣與資料中心，用於測量系統使用經過訓練的模型，處理輸入和生成結果的速度，而MLPerf Storage則可以衡量在訓練模型時，儲存系統提供訓練資料的速度。</p> <p>基準測試對於發展人工智慧與機器學習技術至關重要，基準測試可以提供標準化環境，供研究人員公平地比較不同的演算法和系統效能，由於基準測試除了資料集之外，還包含評估指標，因此所有研究者都可以使用相同的標準，使結果更具比較性。也就是說，基準測試能夠提供一個客觀、量化且可重複的方法，用於評估人工智慧與機器學習技術的效能，促進該領域健康發展。</p> <p>目前生成式人工智慧聊天機器人、自動車輛的安全功能，或是語音轉文字介面等，都離不開機器學習推論，而MLPerf Inference則可衡量各種場景執行模型的速度。MLPerf Inference v3.1具有新的大型語言模型（Large Language Model，LLM）與推薦基準測試，大型語言模型的測試是以GPT-J參考模型總結CNN新聞文章，推薦基準測試則更新推薦器，使用DLRM-DCNv2參考模型與更大的資料集，以更貼近產業實踐。</p> <p>MLPerf Inference主要關注邊緣和資料中心系統的模型推論，針對v3.1版本的提交呈現了多種處理器、加速器，在電腦視覺、推薦系統和語言處理等領域的應用表現，資料提交又分為開放和封閉兩類，並且有效能、功率和網路三大類別。封閉類使用相同的參考模型，確保不同系統表現的公平性，而開放提交則允許參與者使用各種不同的模型。目前MLPerf Inference已有26個提交者，MLCommons總共收到13,500個效能結果提交，以及2,000個功率結果。</p> <p>而MLPerf Storage則是目前第一個，用於測量機器學習訓練工作負載儲存效能的開源人工智慧與機器學習基準套件，由於訓練神經網路是運算密集，同時也是資料密集的任務，因此高效能儲存系統能夠維持整體系統的效能和可用性。</p> <p>官方提到，MLPerf Storage基準由超過10個業界和學術組織合作創建，具有像是平行檔案系統、本地儲存和軟體定義儲存等各種儲存配置。MLPerf Storage或將成為購買、配置和最佳化機器學習應用程式儲存的評估工具。</p> </div></div></div>
2023/9/12 16:17作者李建興https://www.ithome.com.tw/news/158695
Amazon要求書籍作者應主動揭露包含的AI生成內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kdp.amazon.com/en_US/help/topic/G200672390#aicontent" target="_blank">Amazon近日發布出版書更新政策</a>，要求在其平臺上出版的書籍作者，需主動揭露書中包含AI生成的內容，包括文字和圖片。</p> <p>Amazon更新的政策主要牽涉Kindle Direct Publishing（KDP）平臺上出版的書籍。這個平臺允許個人作者免費發布電子書、平裝及精裝紙本書。Amazon近日加入一項關於AI生成內容的規定，要求作者在KDP平臺出版新書，或編輯後重新刊行書籍時，若書中包含AI生成的文字、圖片或翻譯時必須告知Amazon。</p> <p>根據Amazon的定義，以AI工具生成的內容包括文字、圖片或翻譯，會被定義為AI生成的內容，即使事後經過大量編修，也不影響其定義。但是如果作者自行創作內容，再以AI工具編輯、糾錯或以其他方式改進內容（包括文字或圖片），則Amazon會定義為「AI輔助」，就無需告知Amazon。同樣地，在AI工具腦力激盪或提供創意下，作者創作的文字和圖片，也都屬於AI輔助內容。</p> <p>Amazon指出，作者必須根據該平臺的指引，自行判斷其書籍是「AI生成」還是「AI輔助」。</p> <p>Amazon做此調整，是為了回應一些出版業組織如作者公會（Authors Guild）等的要求，他們擔心AI生成的書籍氾濫將排擠人類作者，也認為對不知情買到AI創作的消費者不公平。<a href="https://apnews.com/article/amazon-ai-authors-guild-345bb1a2d80b0a6ddb26978b25c9fb4b" target="_blank">美聯社報導</a>，<a href="https://authorsguild.org/news/amazons-new-disclosure-policy-for-ai-generated-book-content-is-a-welcome-first-step/" target="_blank">作者公會也透過聲明</a>肯定Amazon此舉是確保對AI生成內容的透明度及負責任作法。</p> <p>AI生成內容品質愈來愈好以及AI訓練使用第三方資料的特性，已對各類創作者及新創社群形成衝擊。<a href="https://www.ithome.com.tw/news/158080" target="_blank">募資平臺Kickstarter也在上個月頒布新規定</a>，要求在平臺上架的新創專案，必須揭露使用AI工具產生圖片、文字等內容，或使用第三方資料訓練AI模型的情形，作為審查過程的參考。</p> </div></div></div>
2023/9/12 12:44作者林妍溱https://www.ithome.com.tw/news/158691
MGM Resorts遭網路攻擊，賭場與飯店電腦系統停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>米高梅國際酒店集團（MGM Resorts International）<a href="https://twitter.com/MGMResortsIntl/status/1701256032369164399/photo/1" target="_blank">周一（9/11）透過X坦承遭遇網路安全問題</a>，影響了該公司的許多系統，目前米高梅的飯店與賭場官網全都停擺，<a href="https://twitter.com/rawsalerts/status/1701341043474460790" target="_blank">更有媒體報導</a>包括房卡、ATM或吃角子老虎都失靈了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-MGM-2.jpg" style="width: 550px;" /></p> <p>該集團主要經營飯店與賭場，不僅在美國的許多州都擁有物產，也進駐中國、埃及、印度及杜拜等其它國家，<a href="https://www.ithome.com.tw/news/135944" target="_blank">2020年時該集團發生資料外洩事件</a>，超過1,000萬名的住戶資料外洩，包括Twitter共同創辦人Jack Dorsey與藝人小賈斯汀（Justin Bieber）等知名人物。</p> <p>根據MGM Resorts 的說明，它們最近發現一個影響該公司系統的網路安全事件，於外部資安專家的協助下很快便展開調查，也知會了執法機構，並立即採取措施來保護系統與資料，包含關閉特定系統。目前正在釐清事件的原委與範圍。</p> <p>目前不管是MGM Resorts飯店的<a href="https://www.mgmresorts.com/en/company.html" target="_blank">官網</a>，或者是<a href="https://sports.nv.betmgm.com/en/sports?wm=&btag=&tdpeh=&pid=" target="_blank">賭場的官網</a>，都是處於停擺狀態。訂房或查詢只能回到打電話的傳統模式。</p> <p>而根據RawsAlerts在內華達州拉斯維加斯的報導，此一意外嚴重影響MGM Resorts在當地的賭場運作，除了ATM與吃角子老虎都失靈之外，數位房卡也無法使用，而且看起來MGM Resorts其它地區的飯店與賭場也都受到波及。</p> <p><a href="https://networkinvegas.com/major-cyberattack-hits-mgm-resorts-causing-system-failures-across-las-vegas-strip-casinos/" target="_blank">《Networkinvegas》</a>則說，這起意外始於周日（9/10），當時米高梅對外宣稱正執行數位鑰匙系統的日常維護，但之後其它賭場與系統卻陸續出現故障，從支付系統無法運作、數位房卡失靈到吃角子老虎當機，米高梅一直到周一才對外承認遭到網路攻擊。</p> </div></div></div>
2023/9/12 12:18作者陳曉莉https://www.ithome.com.tw/news/158690
Nvidia開源TensorRT-LLM函式庫強化H100 GPU大型語言模型推論效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>目前大型語言模型應用蓬勃發展，Nvidia針對語言模型釋出一個能夠強化H100 GPU推論能力的函式庫<a href="https://developer.nvidia.com/blog/?p=70549">TensorRT-LLM</a>，其涵蓋TensorRT深度學習編譯器和各種工具，供開發者用於定義、最佳化和執行語言模型，適用於生產環境加速模型推論。</p> <p>Nvidia提到，由於大型語言模型的規模龐大，而且其運作的特殊性，很難以具有成本效益的方式執行。而Nvidia透過與Meta、Grammarly與Databricks等公司合作，開發能夠加速與最佳化大型語言推論的技術，並將這些技術整合到開源TensorRT-LLM函式庫中。</p> <p>TensorRT-LLM由TensorRT深度學習編譯器組成，包括最佳化核心、預處理和後處理任務，以及多GPU與多節點通訊功能，讓開發者不需要深入了解C++或是CUDA，就能高效能執行語言模型。TensorRT-LLM透過開源模組化Python API提高易用性與可擴展性，讓定義、最佳化和執行大型語言模型更靈活，使用者可以簡單自定義。</p> <p>由於大型語言模型用途廣泛，同一個模型可以處理聊天機器人的問答，也能夠輸出長程式碼區塊，Nvidia指出，如此高度動態的工作輸出的大小可能相差數個量級，因此很難有效地進行批次或平行處理這些工作。</p> <p>TensorRT-LLM採用了一種稱為動態批次處理（In-Flight Batching）的最佳化調度技術，來管理這些動態負載，透過將模型文字生成過程切分為多次執行，如此不需要等待整批次完成，就能處理下一組請求，該方法可提高GPU使用效率，在H100 Tensor Core GPU測試中，吞吐量至少增加1倍，有助於降低總成本。</p> <p>除此之外，TensorRT-LLM還能高效執行大型語言模型。龐大的語言模型像是擁有700億參數的Meta的Llama 2，需要協調多個GPU才能順暢運作，過去開發者必須手動分割模型，才能使模型以最佳效能執行，而TensorRT-LLM利用張量平行性，不需要開發者干預，就可讓模型在多個GPU上高效運作。TensorRT-LLM也包含了許多經最佳化的語言模型，包括Meta Llama 2、OpenAI GPT-2與GPT-3、Falcon、Mosaic MPT以及BLOOM等。</p> <p>TensorRT-LLM結合H100 GPU，讓用戶可以簡單地將模型轉為FP8格式，官方解釋，這是一種稱為Hopper Transformer Engine的技術，使用時不需要變更模型程式碼。模型推論轉用FP8格式，能夠大幅減少記憶體使用，比INT8或INT4有更高的準確性，但效能更快實作也更簡單。</p> <p>TensorRT-LLM帶來明顯的效能改進，雖然H100 GPU原本吞吐量就是A100的4倍，但是在搭配TensorRT-LLM之後，總吞吐量可以提高到8倍（下圖）。在執行Llama 2模型上，H100 GPU的推論效能原本是A100的2.6倍，但在整合使用TensorRT-LLM之後，推論效率可上升到4.6倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-Nvidia-A100%20compared%20to%20H100-TensorRT-LLM.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Nvidia</span></span></p> </div></div></div>
2023/9/12 08:24作者李建興https://www.ithome.com.tw/news/158687
Google逕自於Chrome正式推出隱私沙盒，即便Apple和Mozilla持反對立場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布其第三方Cookie替代方案隱私沙盒（Privacy Sandbox）<a href="https://privacysandbox.com/intl/en_us/news/privacy-sandbox-for-the-web-reaches-general-availability">正式在Chrome上推出</a>，這代表廣告供應商和開發人員，可以在其網頁產品和服務中使用包括Topics等6個API，向Chrome用戶推送個人化廣告。</p> <p>Google提到，他們不會在第三方Cookie棄用前對隱私沙盒API進行重大更改，並預計在2024年第1季，對1％ Chrome用戶關閉第三方Cookie，測試新API的有效性，同時評估在2024下半年棄用第三方Cookie的可能性。</p> <p>隱私沙盒是<a href="https://www.ithome.com.tw/news/132617">Google在2019年</a>開始推動的專案，宣稱能夠在收集用戶資料以用於推送廣告的同時，改善網頁與Android使用者的隱私。Google認為單純禁止追蹤技術，會讓廣告商尋求其他追蹤使用者指紋的方法，因此制定一套廣告追蹤標準，用戶反而能獲得更多的控制能力。</p> <p>隱私沙盒是多種廣告追蹤概念和提案的方案，其<a href="https://privacysandbox.com/intl/zh_tw/open-web/#the-privacy-sandbox-timeline">包含的API</a>諸如Topics API、Shared Storage API、Attribution Reporting API和Private State Tokens API等，來達到顯示相關內容與廣告、強化跨網站隱私界線、衡量數位廣告成效，以及打擊網路垃圾內容和詐欺行為等目的。</p> <p>其中Topics API是隱私沙盒的重點，該API目的要在不追蹤用戶存取網站的前提，允許瀏覽器與第三方共享用戶的興趣資訊，讓廣告商能夠推送基於用戶興趣的個性化廣告，協助廣告主觸及潛在客戶。</p> <p>雖然Google在這個新的廣告追蹤方案，處處強調其隱私性，甚至這個方案的名稱本身就有隱私兩個字，但是另外兩個重要瀏覽器廠商Apple與Mozilla皆不買單，而且都還以隱私方面的理由拒絕支援。</p> <p><a href="https://github.com/WebKit/standards-positions/issues/111">主導Safari瀏覽器引擎WebKit開發的Apple，明確地拒絕Topics API</a>，他們認為API不該公開用戶的跨站瀏覽行為資料，更何況跨站資料共享預設開啟，Topics API所提供的跨站資料，能夠讓原本就有大量用戶資訊的第一方網站，獲得更多資訊，當廣告商使用機器學習技術分析透過Topics API取得的資料，能擷取的資訊將超過原本定義的安全範圍，況且Topics API中標準化的主題分類存在偏見，因此對支援Topics API的提案持反對立場。</p> <p><a href="https://github.com/mozilla/standards-positions/issues/622">Mozilla同樣對Topics API抱持反對態度</a>，並提到許多觀點、理由與Apple相同。Mozilla不相信隱私沙盒中隱私保護機制的效果，並且質疑Google所提供的最壞情況分析結果，他們認為實際最壞的情況將更糟糕，同時Mozilla也對Google說詞提出疑問，他們不明白如何一邊加強隱私保護的同時，又對廣告商提供有效的資訊？</p> <p>儘管其他主要瀏覽器廠商對此有不同的看法，Google還是決定於Chrome上正式推出隱私沙盒。根據<a href="https://www.statista.com/statistics/544400/market-share-of-internet-browsers-desktop/">統計和市場研究平臺Statista的資料</a>，Chrome在2023年8月的市占達到了63.53％，其他瀏覽器的市占加總仍遠不及Chrome，就算只有Chrome支援隱私沙盒，依然對網路使用者具有極大的影響力。目前未見微軟在Edge上支援隱私沙盒與否的明確訊息。</p> </div></div></div>
2023/9/12 08:30作者李建興https://www.ithome.com.tw/news/158688
【資安日報】9月11日，駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少從事挖礦攻擊的駭客組織，近期將矛頭朝向組織的雲端環境，但端點電腦的用戶也不能掉以輕心。例如，有駭客聲稱提供盜版的Adobe Illustrator、Autodesk 3ds Max、SketchUp Pro等圖像處理軟體或3D建模工具，藉此於受害電腦部署後門程式及挖礦軟體，由於這些商業軟體運用於建築業、機械工程、營造業、製造業、娛樂產業，影響的範圍相當廣泛。而且，執行上述商用軟體都需要高度的圖形運算資源，這也代表駭客在目標電腦執行挖礦軟體可能更加有利可圖。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.talosintelligence.com/cybercriminals-target-graphic-designers-with-gpu-miners/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電腦下載盜版圖像處理、3D內容製作軟體增添新危機，有可能被駭客視為植入挖礦軟體的最佳目標</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/attack-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack-2.jpg" style="width: 300px; float: right;" /></a>思科威脅情報團隊Talos揭露假借提供盜版軟體的挖礦攻擊行動，駭客從2021年11月開始，宣稱提供Adobe Illustrator、Autodesk 3ds Max、SketchUp Pro等知名應用程式的盜版軟體，針對使用法語的使用者而來。</p> <p>但實際上，駭客利用名為Advanced Installer的封裝工具，將原本的應用程式安裝檔案和惡意指令碼封裝在一起，一旦使用者執行駭客提供的安裝程式，電腦就會在安裝上述應用程式的過程裡，同時執行惡意指令碼，然後被植入後門程式M3_Mini_Rat，或是挖礦程式PhoenixMiner、lolMiner。</p> <p>研究人員指出，駭客提供的盜版軟體多半與3D建模或是圖形設計有關，由於執行這些軟體往往需要仰賴圖形運算晶片（GPU），這些電腦往往能在挖礦軟體執行的過程裡提供更多算力。</p> <p><a href="https://www.truesec.com/hub/blog/darkgate-loader-delivered-via-teams"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DarkGate Loader濫用微軟Teams進行散布</span></strong></a></p> <p>資安業者Truesec發現自上個月出現的惡意軟體DarkGate攻擊行動，他們在一個小時之內收到透過微軟Teams傳送的訊息，但奇怪的是是由2個非公司內部使用的Office 365帳號發送，聲稱是要更動休假的計畫，鎖定人力資源部門而來，要求收到訊息的人士，開啟一個外部ZIP壓縮檔的網址連結（存放在寄送者的SharePoint站臺，而非接收者公司內部的SharePoint站臺），一旦照做，電腦就有可能被植入惡意程式載入工具DarkGate Loader。</p> <p>此壓縮檔內含帶有PDF檔案圖示的捷徑檔案，若是開啟，電腦就會透過VBScript指令碼啟動名為cURL的應用程式，進而下載、執行AutoIT指令碼，該指令碼會產生Shell Code檔案，並偵測目標電腦是否部署Sophos防毒軟體。</p> <p>而且，該Shell Code啟動之後，會採用字串堆疊（Stacked Strings）的手法，以逐個字元（byte by byte）載入的方式，還原DarkGate Loader。</p> <p><a href="https://blog.google/threat-analysis-group/active-north-korean-campaign-targeting-security-researchers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客再度鎖定資安研究人員下手</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GetSymbol_Project_width-1000_for.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GetSymbol_Project_width-1000_for.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）指出，曾於2021年針對資安人員發動攻擊的北韓駭客組織，近期似乎重施故技，再度展開攻擊行動。</p> <p>研究人員先是看到駭客透過X（原推特）等社群網站與資安人員建立關係，假借研究具有共同利益的主題來培養交情，經過幾個月的交流，駭客便會企圖將雙方的對話轉向加密通訊軟體Signal、WhatsApp、Wire，傳送內含惡意程式的檔案，此惡意程式鎖定知名應用程式的零時差漏洞。一旦惡意軟體成功進入研究人員的電腦，先檢查環境是否為虛擬機器（VM），收集系統資訊與螢幕截圖並回傳至C2。研究人員解析駭客使用的Shell Code，與2021年攻擊行動的程式相關類似。</p> <p>除了鎖定上述應用程式的零時差漏洞，駭客也散布名為GetSymbol的除錯工具，該程式可在Windows作業系統運作，駭客聲稱其功能針對逆向工程人員打造，號稱能從微軟、Google、Mozilla、Citrix的符號伺服器下載除錯符號（debugging symbols，編按：除錯符號是一種附加特定物件檔案符號表的特殊符號）。然而研究人員發現，此工具還會從攻擊者的網域下載、執行惡意程式碼，他們呼籲已取得、執行該工具的使用者，應該要採取預防措施，最好重新安裝作業系統。</p> <p><a href="https://www.securityweek.com/us-aeronautical-organization-hacked-via-zoho-fortinet-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國家級駭客組織攻擊美國航太機構，鎖定Zoho、Fortinet漏洞下手</span></strong></a></p> <p>9月7日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、網路作戰司令部旗下的網路國家任務部隊（CNMF）聯手發布資安通告，多個國家級駭客自今年1月開始，透過曝露在網際網路的IT服務臺系統Zoho ManageEngine ServiceDesk Plus，利用CVE-2022-47966（CVSS風險評分為9.8）進行未經授權的存取，入侵美國航太組織，並取得網站伺服器root層級的存取權限，建立具有管理權限的本機使用者帳號，然後進行偵察、部署惡意軟體、蒐括帳密資料，並在目標組織的內部網路進行橫向移動。</p> <p>除了針對上述的IT服務臺系統之外，這些機構也發現駭客在部分攻擊行動當中，是針對Fortinet防火牆作業系統的SSL VPN漏洞CVE-2022-42475（CVSS風險評分為9.8）而來，攻擊者停用管理員帳號並刪除防火牆系統的事件記錄檔案，從而抹除攻擊行動的跡象，駭客疑似竊得目標組織先前合作的外部服務廠商帳密資料，建立多個TLS加密連線，然後透過防火牆系統傳輸資料，並橫向移動至網頁伺服器，部署Web Shell。</p> <p>值得留意的是，上述兩個漏洞都在2022年得到修補，但在今年1月，資安業者Rapid7、Mandiant提出警告，已有駭客組織開始用於攻擊行動。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cisa.gov/news-events/alerts/2023/09/07/cisa-fbi-and-cnmf-release-advisory-multiple-nation-state-threat-actors-exploit-cve-2022-47966-and" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-332373976" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.cisa.gov/news-events/alerts/2023/09/07/cisa-fbi-and-cnmf-release-advisory-multiple-nation-state-threat-actors-exploit-cve-2022-47966-and</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cybercom.mil/Media/News/Article/3518476/cnmf-and-partners-illuminate-multiple-nation-state-exploitation-efforts/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1454906600" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.cybercom.mil/Media/News/Article/3518476/cnmf-and-partners-illuminate-multiple-nation-state-exploitation-efforts/</span></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/johnson-and-johnson-discloses-ibm-data-breach-impacting-patients/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">嬌生醫療照護系統傳出資料外洩，起因是IBM代管的應用系統遭到攻擊</span></strong></a></p> <p>上週嬌生旗下的醫療照護系統Johnson & Johnson Health Care Systems（Janssen）發布資料外洩事故公告，他們找到IBM代管的資料庫系統弱點，導致未經授權的使用者能存取藥物管理應用程式CarePath的資料庫，經通報後IBM修補相關漏洞並啟動調查，於8月2日完成相關工作，結果發現，確實有人藉由漏洞存取CarePath用戶資料，包括用戶姓名、聯絡資料、生日、健康保險資訊、用藥資訊、就醫記錄，影響大部分在今年7月2日前註冊Janssen線上服務的CarePath用戶，但肺動脈病人不受影響。</p> <p>對此，IBM也於9月6日發布新聞稿證實，指出尚未出現資料遭到利用的跡象。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.janssencarepath.com/notice-of-data-incident" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1339384776" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.janssencarepath.com/notice-of-data-incident</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.prnewswire.com/news-releases/ibm-addresses-data-incident-for-janssen-carepath-database-301919907.html" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-204507731" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.prnewswire.com/news-releases/ibm-addresses-data-incident-for-janssen-carepath-database-301919907.html</span></a></p> <p><a href="https://securelist.com/trojanized-telegram-mod-attacking-chinese-users/110482/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Evil Telegram現身Google Play市集，鎖定中文用戶及中國少數民族而來</span></strong></a></p> <p>資安業者卡巴斯基揭露鎖定中文使用者與維吾爾少數民族而來的攻擊行動Evil Telegram，駭客在Google Play市集裡，聲稱提供加密通訊軟體Telegram的正體中文、簡體中文、維吾爾語版本，這些惡意版本的App確實具備Telegram的功能，但研究人員發現，這些應用程式挾帶了間諜軟體，會收集使用者的個資，還將使用者接收的訊息傳至C2伺服器，同時也會監控使用者的ID及聯絡人名單。</p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/reports/nation-state-reports/digital-threats-from-east-asia-increase-in-breadth-and-effectiveness/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國對臺灣及東亞的網路攻擊與AI認知作戰增加</span></strong></a></p> <p>微軟威脅分析中心（MTAC）針對東亞的數位威脅情勢揭露相關分析，指出中國展開廣泛的網路攻擊及認知作戰。研究人員認為中國駭客的三大攻擊標的分別是南海周邊國家、美國國防工業、美國關鍵基礎設施，其中，尤以臺灣及南海國家的攻擊行動特別活躍。</p> <p>在發動相關攻擊的駭客組織當中，駭客組織Flax Typhoon（亦稱Storm-0919）和Charcoal Typhoon（亦稱Chromium）主要針對臺灣而來，Flax Typhoon主要攻擊電信、教育、資訊技術和能源基礎設施，而Charcoal Typhoon則鎖定臺灣教育機構、能源基礎設施和高科技產業。到了2023年，這些駭客組織鎖定與臺灣軍方合作的相關航太企業。研究人員提到，臺灣是中國駭客的重點攻擊標的，從2022年1月到2023年4月，與臺灣有關的攻擊行動超過90起，第二名則是馬來西亞超過40起，新加坡、菲律賓、印尼則是超過20起。</p> <p>除了網路攻擊，中國也發起大量認知作戰，包含透過社交平臺與更多使用者互動，甚至使用生成式人工智慧製作的影音內容來操作特定議題，藉此詆毀美國政治人物形象。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://nsfocusglobal.com/apt34-unleashes-new-wave-of-phishing-attack-with-variant-of-sidetwist-trojan/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客散布惡意程式SideTwist及Agent Tesla</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-bw-auth-bypass-kCggMWhX"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科雲端平臺BroadWorks存在身分驗證漏洞</span></span></strong></a></p> <p><a href="https://www.horizon3.ai/apache-superset-part-ii-rce-credential-harvesting-and-more/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源資料圖像化及搜尋工具Apache Superset存在RCE漏洞</span></span></strong></a></p> <p><a href="https://www.mitre.org/news-insights/news-release/mitre-cisa-release-open-source-caldera-operational-technology"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">MITRE與CISA聯手推出OT環境的攻擊模擬工具</span></span></strong></a></p> <p><a href="https://trufflesecurity.com/blog/4500-of-the-top-1-million-websites-leaked-source-code-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾4千個網站曝露程式碼儲存庫</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158654"><strong>【9月8日】網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158641"><strong>【9月7日】惡意程式Agent Tesla透過5年前Office漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158626"><strong>【9月6日】瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動</strong></a></p> </div></div></div>
2023/9/11 17:28作者周峻佑https://www.ithome.com.tw/news/158685
【資安週報】2023年9月4日到9月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，最受關注的就是蘋果在7日緊急更新macOS、iOS，修補兩個零時差漏洞：CVE-2023-41064、CVE-2023-41061，揭露消息的加拿大公民實驗室，將這批漏洞鏈稱為BLASTPASS，並強調它們是可透過iMessageu傳送且不用使用者互動的零點擊漏洞，已在8月底發現有攻擊者藉此漏洞遞送Pegasus間諜程式。此外，Google的9月Andorid例行性安全更新中，也修補一個零時差漏洞CVE-2023-35674，並說明已遭攻擊者成功利用。</p> <p>還要注意的是，今年7月Adobe修補ColdFusion的3個漏洞（2023-29300、CVE-2023-38203、CVE-2023-38204），如今資安業者指出已有針對未修補用戶的攻擊行動。另外，我們在此補充本週資安日報未提及的一個重大漏洞消息。今年5月23日揭露的Apache RocketMQ漏洞CVE-2023-33246，當時已釋出5.1.1版修補，最近有資安業者發現，6月開始出現持續對此漏洞利用的行為。</p> <p>在攻擊活動國際焦點方面，有6起事件值得關注，涉及勒索軟體、合作供應商遇害，國家關鍵基礎建設遭鎖定，以及網釣等形式的惡意行為。</p> <p>●英國柵欄設備製造商Zaun發布資安公告說明上月初遭勒索軟體LockBit攻擊，該國的軍事要塞採用該公司的產品，但因為駭客發動攻擊而拿到Zaun資料，以及駭客後續流出數千頁資料的影響，引發英國國防機密因合作廠商遭駭而外洩的事件。<br /> ●德國聯邦憲法保護局（BfV）發出報告指出，中國駭客組織APT15、APT31針對路由器、防火牆、NAS、網路印表機、智慧家電等家用IoT裝置的漏洞發動攻擊，接管這些裝置後，再用於向政府機關發動攻擊。<br /> ●烏克蘭電腦緊急應變小組（CERT-UA）揭露當地的能源基礎設施受到攻擊，並指出是遭俄羅斯駭客組織APT28攻擊行動鎖定。<br /> ●韓國資安業者揭露北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業，自今年開始使用多種惡意程式發動攻擊。<br /> ●有駭客組織GhostSec聲稱取得伊朗IT金融服務及IT服務業者FANAP的原始碼，並指出該公司的軟體被伊朗政府用於監控民眾。<br /> ●資安業者揭露中國駭客發起大規模釣魚簡訊攻擊行動Smishing Triad，攻擊者假冒多個郵政單位名義，透過遭駭的iCloud帳號對使用者發送iMessage訊息。</p> <p>另外，今年5月中國駭客Storm-0558入侵25個使用微軟電子郵件系統的組織，以及今年8月勒索軟體Akira鎖定思科SSL VPN設備的攻擊行動，近期都有更詳細的後續調查公布。</p> <p>而在最新的威脅態勢上，有兩起事件值得留意，包括：勒索軟體駭客Ransomed竟以付贖金可免受GDPR巨額罰款的話術來進一步要脅，以及微軟SQL Server遭勒索軟體FreeWorld鎖定。</p> <p>另有2份個資隱私研究出爐，大家應關注與敦促廠商強化相關防護，一份是針對瀏覽器安全設計的研究，美國的大學研究人員指出，Chrome、Firefox與Safari瀏覽器的安全設計不夠完善，若有心人士結合網站漏洞，可透過瀏覽器外掛程式，存取使用者密碼等機密資料：另一是個資保護政策在汽車品牌業者領域未獲重視，25個品牌均未達Mozilla最低安全標準，最離譜的是，廠商居然表示能蒐集車主的性活動，顯然與車輛無關的個資，卻又未說明如何蒐集。</p> <p>至於防禦態勢方面，在半導體資安、軟體開發與供應鏈安全領域有新動向。首先是SEMI E187資安標準規範，這一週舉行的國際半導體展臺灣場，宣布有首批設備通過合格性驗證，它們分別是均豪精密的AOI自動光學檢測設備，以及東捷科技的OHS空中行走式無人搬運系統：另一個進展是Google Cloud與GitLab宣布擴大合作，未來Google Cloud的開發人員可存取GitLab的DevSecOps平臺，而GitLab的用戶也可存取Google Cloud的軟體供應鏈安全框架SLSA評等，以及軟體物料清單（SBOM）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158568"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月4日】Adobe應用程式開發平臺ColdFusion重大漏洞被用於部署挖礦軟體、後門程式擊</span></strong></a></h3> <p>Adobe在7月份的例行更新裡，修補了應用程式開發平臺ColdFusion的重大漏洞CVE-2023-29300，不久後就有研究人員公布概念性驗證程式（PoC），接著就出現相關的漏洞攻擊。雖然Adobe已推出修補軟體，但現在仍有駭客針對相關漏洞而來，目的是想濫用這個平臺挖礦牟利。</p> <p>值得留意的是，駭客一口氣至少部署3種以上的挖礦程式，部分還能操控受害伺服器進行DDoS攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/158612"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月5日】瀏覽器的安全設計不良再加上網站漏洞讓惡意擴充程式有機可乘，挖掘用戶機密資料</span></strong></a></h3> <p>瀏覽器的健全左右所有使用者的上網安全，因此Google、Mozilla等業者與組織頻繁推出軟體更新、希望能盡快修補漏洞。但有研究人員發現，這些瀏覽器普遍存在安全設計瑕疵，攻擊者可透過外掛程式竊取使用者輸入的密碼，或是信用卡資料。為了證實這樣的風險，他們進行概念性驗證（PoC），打造可進行這類攻擊的Chrome擴充套件，結果通過Web Store市集的審核而成功上架。</p> <p>由於採用較嚴謹的Manifest V3而成的Chrome擴充套件，存在上述弱點，研究人員認為，使用Manifest V2規範的Firefox、Safari，也同樣可能受到相同手法的攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/158626"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月6日】瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動</span></strong></a></h3> <p>最近幾個月駭客利用瀏覽器來發動攻擊的情況不斷上演，其中最常見的手法，是利用惡意擴充套件來上下其手，但最近有駭客是直接濫用瀏覽器的內建工具來從事攻擊行動。</p> <p>例如，資安業者Morphisec針對今年年初出現的惡意程式Chaes新版Chae$ 4進行分析，結果發現，駭客盜取資料的管道，竟是直接利用Chrome的內建開發工具（DevTools），並透過其通訊協定來傳輸竊得資料。</p> <h3><a href="https://www.ithome.com.tw/news/158641"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月7日】惡意程式Agent Tesla透過5年前Office漏洞發動攻擊</span></strong></a></h3> <p>攻擊者利用Office檔案散布惡意程式的方式，算是相當常見，而過往最普遍的手法就是利用帶有巨集的Office檔案來進行，但隨著微軟這幾年封鎖惡意巨集的執行，駭客也尋求其他突圍手法。</p> <p>例如，在近期的惡意軟體Agent Tesla攻擊當中，駭客利用的就是含有物件連結與嵌入（OLE）物件的Excel檔案，並宣稱使用者必須依照指示開啟，才能檢視完整內容。</p> <h3><a href="https://www.ithome.com.tw/news/158654"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月8日】網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光</span></strong></a></h3> <p>駭客透過網路釣魚工具包發動攻擊的情況極為氾濫，不只是資安媒體報導的眾多團體，有些行跡相當隱密，最近資安業者Group-IB揭露的W3LL，就是一例。網路犯罪生態圈經營時間長達6年，主賣功能豐富的網釣工具包套件，並能加購可從事商業郵件詐騙（BEC）的相關模組。</p> <p>為何W3LL一直沒被發現？因為他們只靠駭客私下介紹買家，未曾在網路犯罪論壇進行宣傳。</p> </div></div></div>
2023/9/11 12:30作者羅正漢https://www.ithome.com.tw/news/158662
Chrome預設將啟用更即時的網釣保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/Google-chrome-new-features-redesign-2023/" target="_blank">Google上周宣布</a>，將更新Chrome中的Safe Browsing標準保護模式，讓使用者在瀏覽時得以比對最新的惡意網站列表，提供更即時的網釣保護，相關更新將於未來幾周部署。</p> <p>Safe Browsing為Google所開發的服務，列出了含有惡意程式或網釣內容的網站，包括Chrome、Safari及Firefox等瀏覽器都支援Safe Browsing，在使用者造訪網站時比對該惡意網站列表，以封鎖出現在列表上的網站並向使用者示警。至於微軟的Microsoft Edge雖然基於Chromium專案，卻是使用微軟自行建置的SmartScreen來過濾惡意及網釣網站。</p> <p>Chrome中的<a href="https://support.google.com/chrome/answer/9890866?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">Google Safe Browsing</a>預設值為標準保護（Standard Protection）模式，使用者也可關閉Safe Browsing，或者是切換到把關更嚴格的加強保護（Enhanced Protection）模式。</p> <p>Google解釋，過去的標準保護模式雖然是在使用者造訪每個網站時，就會比對本地端所儲存的惡意網站列表，但該列表為每30分鐘至60分鐘才更新一次。有鑑於駭客的行動愈來愈迅速，現階段有6成網釣網站的平均存活時間不到10分鐘，使得它們更容易逃過被封鎖的命運。</p> <p>為了能更有效地封鎖這些惡意網站，Google決定升級標準保護模式，讓它可比對即時的已知惡意網站，且使用者無需與Google分享其瀏覽歷史紀錄，藉由縮短辨識惡意網站及預防之間的時間差，預期可改善25%的Chrome封鎖能力。</p> <p>若是需要更強大的瀏覽保護，則可切換至加強保護模式，該模式將利用AI技術來封鎖最新的攻擊，還能深度掃描使用者所下載的檔案，也能防範惡意的Chrome擴充程式。</p> </div></div></div>
2023/9/11 16:44作者陳曉莉https://www.ithome.com.tw/news/158683
DHH宣布從Turbo 8框架中刪除TypeScript支援，引發社群不滿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby on Rails的創造者DHH（David Heinemeier Hansson），在<a href="https://world.hey.com/dhh/turbo-8-is-dropping-typescript-70165c01">部落格提到</a>自己從來都不是TypeScript的粉絲，而且認為該語言是他程式開發體驗的阻礙，因此宣布從框架Turbo 8中刪除TypeScript。而此舉引來社群開發者不滿，並表示DHH決定過於倉促，可能導致現有生態系被破壞。</p> <p>Turbo本身雖然不是一個熱門框架，但卻是Hotwire設計框架背後重要的元件，Hotwire的特色是能夠大幅減少自定義JavaScript程式碼的使用，以HTML-Over-The-Wire策略來加速網頁渲染。HTML-Over-The-Wire從字面意思解讀是透過電線傳送HTML，當應用程式需要更新或是發生變化時，由伺服器直接傳送HTML片段給客戶端，而非傳送JSON資料或是JavaScript程式碼，由客戶端解析並渲染。</p> <p>傳統的前端框架當用戶與應用程式產生互動時，伺服器通常只會傳送資料，然後才由客戶端解析並渲染新的使用者介面，但是在HTML-Over-The-Wire策略中，伺服器則會直接傳送完整或是部分的HTML片段，客戶端只要將這些片段插入當前頁面即可，該方法的優點是能夠減少客戶端處理JavaScript的複雜性，因為絕大多數的邏輯和渲染會在伺服器端完成。</p> <p>這種策略適合用於想要減少前端複雜性，但又想提高效能的時候，尤其是開發者想要保有伺服器端渲染的好處，但又不想放棄客戶端互動性的用例。</p> <p>DHH宣布把Turbo中的TypeScript刪除，這代表在接下來的Turbo 8中，不會支援與使用TypeScript，在Turbo框架中，官方便不再整合和考慮TypeScript。因此開發者在使用Turbo 8的時候，可能無法使用TypeScript特定功能。</p> <p>在部落格中，DHH提到自己喜歡JavaScript，甚至可以說是繼Ruby第二喜歡的語言，在ES6之後，JavaScript加入了正式類別語法以及各種功能後，DHH認為用JavaScript編寫程式碼變成一種樂趣。</p> <p>許多貢獻者在移除TypeScript的GitHub拉取請求頁面留下<a href="https://github.com/hotwired/turbo/pull/971">意見</a>，有開發者提到，Turbo從TypeScript轉換回JavaScript，代表Hotwire生態系中許多套件都會故障，而且與此同時，所有開放拉取請求都已經過時，即便當中有一些良好的貢獻，而且IDE也將無法像過去一樣提供自動完成功能。甚至有不少開發者，認為這樣的改變是一種退步。</p> <p>由於TypeScript是一種強類型語言，變數、參數和物件屬性都有明確的類型，而明確類型使IDE可以準確知道變數或物件的屬性與方法，進而更有能力提供更具上下文的自動完成和程式碼提示。</p> <p>DHH也在討論串下回應，表示雖然使用TypeScript對一些人提供優勢，但是他認為，不使用TypeScript也帶來一些好處，程式碼更好閱讀，而且也不需要為了滿足TypeScript編譯器進行額外的類型操作。37signals所有客戶端程式碼和內部函式庫都以純JavaScript編寫，而這項Turbo變更，將會使技術堆疊更一致，DHH也強調，自己的立場不會因為開發者的討論而改變。</p> <p>雖然Turbo 8放棄支援TypeScript，但這不代表客戶端程式碼不能使用TypeScript或是其他TypeScript函式庫，因為JavaScript和TypeScript間完全相容，開發者仍然可以編寫和執行TypeScript代碼，因為TypeScript最終會被編譯成JavaScript。DHH強調，Turbo 8不再支援TypeScript，並不會阻礙開發者使用TypeScript。</p> </div></div></div>
2023/9/11 16:52作者李建興https://www.ithome.com.tw/news/158684
OpenAI競爭者Anthropic發表付費訂閱版AI助理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推出聊天機器人Claude 4個月後，OpenAI競爭者Anthropic上周發表<a href="https://www.anthropic.com/index/claude-pro" target="_blank">付費訂閱版AI助理服務</a>。</p> <p>Anthropic是獲得Google投資支援的AI新創業者，5月發表及測試Claude.ai聊天機器人，強調比競爭者更重視誠實、道德等原則，不會給予危險、有害的回答。該公司7月又推出效能及安全性更提升的<a href="https://www.ithome.com.tw/news/157739" target="_blank">Claude 2</a>，並將公測對象推到美、英兩國用戶。最新發表的服務名為Claude Pro，也是以美、英為首波推出地區。</p> <p>Anthropic指出，7月新服務推出後，用戶因為記憶力更長（每次最長可接受100,000 tokens，約7.5萬英文字）、輸出效能更快、以及複雜的理解能力等理由，而選擇Claude.ai作為日常用的AI助理。其他人則讚賞能上傳更多檔案，輸入更多次的訊息。</p> <p>付費版Claude Pro則可提供模型Claude 2比免費版多5倍的用量，上傳更多訊息及檔案。<a href="https://support.anthropic.com/en/articles/8324991-about-claude-pro-usage" target="_blank">根據Claude網頁</a>，每8小時內可上傳訊息由20次提高為100次。此外，付費版用戶也能在高流量期間擁有優先權，以及提早試用新功能。這些功能意謂用戶可提高工作生產力，包括為研究論文做重點整理、查詢合約、改進程式碼等。</p> <p>價格方面，Claude Pro方案為每個月20美元（或18英鎊）和OpenAI的ChatGPT Plus相同。</p> </div></div></div>
2023/9/11 14:47作者林妍溱https://www.ithome.com.tw/news/158669
北韓駭客再度鎖定資安研究人員展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/active-north-korean-campaign-targeting-security-researchers/" target="_blank">Google旗下的威脅分析小組（Threat Analysis Group，TAG）近日提醒</a>，<a href="https://www.ithome.com.tw/news/142472" target="_blank">2021年時鎖定資安研究人員發動攻擊的北韓駭客組織</a>，在兩年半後似乎又重施故技，利用社交平臺與零時差漏洞，再度針對資安研究人員展開攻擊。</p> <p>TAG指出，駭客的手法與之前如出一轍，先是透過X（先前的Twitter）等社交網站與資安研究人員建立關係，藉由一起研究某些有共同利益的主題來培養交情，在經過幾個月的交流之後，駭客便會企圖將雙方的對話移至諸如Signal、WhatsApp或Wire等加密傳訊程式，繼之傳送一個含有惡意程式的檔案予目標對象。該惡意程式鎖定了一個熱門軟體的零時差漏洞。</p> <p>成功入侵研究人員的系統之後，該惡意程式會先執行一系列的反虛擬機器檢查，以偵測受害者的環境，並採取必要行動來躲避偵測，繼之再將所蒐集的資訊及螢幕截圖回傳至駭客所控制的C&C伺服器上。該惡意程式所使用的Shellcode之構造與北韓駭客先前所使用的Shellcode非常類似。</p> <p>Google並未揭露該熱門軟體的名稱，僅說已將相關研究轉交給軟體開發商，目前正在建置修補程式，TAG準備在修補程式出爐後再公開更多漏洞細節。</p> <p>除了攻陷熱門軟體的零時差漏洞，北韓駭客也開發了一個Windows工具GetSymbol Project，宣稱可用來下載微軟、Google、Mozilla及Citrix符號伺服器上的除錯符號，以供反向工程師使用，並在2022年的9月上傳至GitHub。</p> <p>GetSymbol Project理應是個非常有用的工具，可快速自不同的來源下載符號資訊，然而，TAG團隊卻發現它會自駭客的C&C伺服器上下載並執行任意程式，建議已下載的研究人員最好檢查一下自己的系統，或許需要重新安裝作業系統。</p> <p>目前在GitHub已找不到GetSymbol Project，可能已被移除。</p> </div></div></div>
2023/9/11 14:17作者陳曉莉https://www.ithome.com.tw/news/158668
SAP買下多年合作夥伴LeanIX，著眼於嵌入生成式AI以協助客戶轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.sap.com/2023/09/sap-to-acquire-leanix/" target="_blank">德國企業軟體供應商SAP上周宣布</a>，將買下合作多年的SaaS解決方案供應商LeanIX，共同協助客戶進行轉型，並利用生成式AI來提供自我優化的應用程式及程序，以協助企業實現關鍵目標。SAP並未公布此一併購案的財務細節，僅說將於今年第四季完成交易，而外傳此一交易價值12億美元。</p> <p>LeanIX創立於2012年，為一持續性轉型平臺，提供各種SaaS解決方案來協助IT架構師、IT資產管理者、企業領導人與DevOps團隊在企業架構、SaaS及微服務中，達到透明化與控制等能力。過去十年來，LeanIX便一直是SAP及SAP Signavio各種解決方案的合作夥伴，此外，Volkswagen、Adidas、DHL及Vodafone也都是該公司的客戶，全球客戶數超過1,000家。</p> <p>SAP買下LeanIX的主要目的便是要協助客戶轉型，在3年前先買下了Signavio並設立SAP Signavio部門，協助客戶進行流程端的現代化，LeanIX則是用來補強SAP Signavio的能力，協助客戶儘可能地數位化轉型的過程，藉由數位化來提供更好的協作與業務支援，加速實現價值的腳步，同時還可帶來基於資料的決策。</p> <p><a href="https://news.sap.com/2023/09/sap-to-acquire-leanix/" target="_blank">SAP表示</a>，LeanIX可讓客戶的IT全面透明化，用以規畫未來的應用程式設計，若SAP Signavio為流程端的轉型服務，那麼LeanIX便可帶來系統端的轉型。</p> <p>此外，LeanIX也借助AI的力量，於近日發表了AI助理，透過生成式AI技術的能力來管理企業架構，以協助企業達成關鍵目標，諸如在最大化現金流的同時，最小化對環境的影響。</p> <p>未來SAP打算利用LeanIX的能力來提供企業轉型套件，提供業務流程與應用程式的視覺化風貌，包括重疊流程的相依性，以及在進行IT轉型時可能衍生的影響。且LeanIX也將會持續服務其它非來自SAP的客戶。</p> </div></div></div>
2023/9/11 12:25作者陳曉莉https://www.ithome.com.tw/news/158667
Fintech周報第216期：印度國家級支付平臺可以讓民眾到ATM領現金，金管會九月底將公布虛擬資產平臺業者指導原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/8/28~9/7金融科技精選新聞</span></span></h3> <h3><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無卡提款</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 印度UPI </span></strong></span></h3> <h3>印度國家級支付平臺可以讓民眾到ATM領現金</h3> <p>在印度，民眾已可以藉由電子支付帳號提領現金。近期，日立旗下公司日立支付與印度國家支付公司（NPCI）合作發表一檯ATM，這檯ATM可連結至印度的電子支付平臺UPI，民眾只要在平臺綁定銀行帳戶，就可以在這檯ATM提領該銀行帳戶的現金，以掃碼進行無卡提款。</p> <p>這個電子支付平臺名為UPI系統，NPCI在2016年發表了這個系統，讓使用者利用行動裝置就能轉帳，且單一程式便可支援不同銀行的帳號，用戶不必輸入詳細的金融資訊，只需透過UPI帳號和密碼，就可以用來支付公用事業帳單、朋友之間的轉帳、在實體店面付款，亦支援條碼付款。這個系統至今為止可連結印度300多間金融機構，上線3年之後便創下了超過1億的用戶數。</p> <p>日立支付表示，印度超過一半以上的數位交易是藉由UPI系統進行。此外，今年2月印度的UPI系統與新加坡的電子支付平臺進行跨境連結，開啟兩國間的跨境支付。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__45711385.jpg" style="width: 600px;" /></p> <blockquote><p>印度推出連結UPI系統的ATM，民眾可以藉由掃碼並輸入UPI密碼，從UPI系統綁定的銀行帳戶提領現金。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬資產 </span></strong></span></h3> <h3>金管會九月底將公布「管理虛擬資產平臺及交易業務事業指導原則」</h3> <p>金管會昨日在例行記者會中表示，九月底將公布「管理虛擬資產平臺及交易業務事業指導原則」，擬定十大原則方向，針對內控、資訊系統、企業倫理、個人幣商監理和境外幣商監理進行規範，包括要求平臺的資產與客戶資產分離保管、建立營運系統、資訊安全及冷熱錢包管理機制，和要求境外虛擬資產平臺業者須依公司法辦理登記，並向金管會申報洗錢防制聲明。（<a href="https://www.ithome.com.tw/news/158642">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰證券 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰期貨 </span></strong></span></h3> <h3>國泰證券APP當機遭金管會開罰，異常原因是憑證系統進行壓力測試時，未測試不同帳號同時驗章</h3> <p>國泰證券APP自今年7月5日起曾在一周內當機兩次，金管會近期公布裁罰案，除了針對國泰證券開罰新臺幣150萬元，也針對國泰期貨裁處新臺幣60萬元。在對國泰期貨的<a href="https://www.sfb.gov.tw/ch/home.jsp?id=104&parentpath=0,2,102&mcustomize=multimessages_view.jsp&dataserno=202308310002&dtable=Penalty">裁處書</a>特別指出，國泰期貨在執行憑證系統壓力測試時，僅以單一帳號進行每分鐘不同次數的驗章測試，並未以不同帳號同時進行驗章的方式進行測試，因而無法確實評估電腦系統適當的容量，且壓力測試未完善，導致交易系統異常。裁處書中也提及，因國泰期貨未落實相關改善措施配置足夠電腦系統資源，才導致憑證系統再次發生執行效能及回應緩慢等缺失。</p> <p>其餘懲處國泰期貨的理由則針對憑證系統的系統測試和復原計畫，包括未訂定憑證系統故障復原標準作業程序，未進行憑證系統與資料庫連線機制的參數容量測試，且網際網路下單服務品質標準訂定之項目未包含交易安全性及交易穩定性。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 倫敦證券交易所集團 </span></strong></span></h3> <h3>倫敦證券交易所集團計畫以區塊鏈改善傳統資產效率，目標打造跨國數位交易市集</h3> <p>根據《金融時報》報導，倫敦證券交易所集團（LSEG）的資本市場負責人Murray Roos表示，LSEG打算利用區塊練技術改善傳統資產的交易效率，從發行、交易、對帳到結算都將全面擁抱區塊鏈。目前區塊鏈技術大多使用在交易流程，一旦LSEG這項計畫成功，可望成為全球提供端對端區塊鏈生態體系的最大證券交易所。</p> <p>此外，LSEG也考慮成立新公司來推動此計畫，最終目標是讓它成為一個跨國的數位交易市集，推動傳統交易平臺難以執行的交易，例如讓瑞士的買家向美國的賣家購買位於日本的資產。LSEG準備在明年就推出第一個市集，初期將以較小的規模運作，鎖定較不透明也較繁鎖的私有市場。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Temenos</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>Temenos發布專屬銀行使用的生成式AI工具，自動分類客戶交易資料</h3> <p>銀行系統供應商Temenos近期推出安全使用生成式AI工具的解決方案，部署生成式AI和LLM，能夠自動且高度準確地分類和標記來自不同語言的客戶交易資料，並以自然語言描述資料。Temenos表示，會讓企業以匿名資料進行模型訓練，且模型部署在銀行端，訓練資料無須連結至第三方。</p> <p>加拿大一間金融機構在測時期間使用這項工具針對顧客的收入和支出提供個人化建議。例如，顧客能在銀行App看到收入的不同來源，包括薪水、利息、股息或租金收入等，並按照加拿大的稅收類別排列，以便客戶檢查他們的年內租稅負擔金額，並調整稅務報告。在年底回顧功能中，有提供支出和儲蓄的數據統計，並能和同收入的用戶進行比較。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 匯豐銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子技術 </span></strong></span></h3> <h3>匯豐銀行和量子技術商Terra Quantum合作研究混和量子技術，以優化最佳化的擔保品組合</h3> <p>匯豐銀行和量子技術商Terra Quantum近期宣布展開量子技術研究，探討如何藉由該技術產出最佳化的擔保品組合。Terra Quantum表示，現有的計算方式以線性規劃求最佳解，當遇到更高的複雜性時就會發生問題，而量子技術能解決這個痛點。</p> <p>匯豐銀行自2020年起，開始與其他公司和實驗室探索量子技術，他們認為量子技術可以對投資組合最佳化組合、詐欺檢測和資訊安全帶來改變。今年三月，他們與IBM合作研究量子技術在定價和投資組合優化的應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/230630-quantum-pocs-infographic-1600x900.jpg" style="width: 600px;" /></p> <blockquote><p dir="ltr" style="line-height:1.7999999999999998;margin-top:0pt;margin-bottom:0pt;"><span id="docs-internal-guid-206686e3-7fff-090e-0551-5a6c1f4e0280"><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; vertical-align: baseline; white-space-collapse: preserve;">匯豐銀行將探索量子技術的用例包括定價最佳化、擔保品最佳化、優化蒙地卡羅模擬在建構隨機模型、量子機器學習和量子密鑰分發。</span></span></p> </blockquote> <p style="margin: 0px 0px 1.5em; line-height: 2em; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 14pt;">圖片來源／匯豐銀行</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong>責任編輯／李昀璇</strong></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年8月</p> </div></div></div>
2023/9/8 18:25作者李昀璇https://www.ithome.com.tw/news/158657
微軟和生成式AI業者合建世界最大癌症影像AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20230907172627/en/Paige-Announces-Collaboration-[%E2%80%A6]rld%E2%80%99s-Largest-Image-Based-AI-Model-to-Fight-Cancer" target="_blank">微軟與美國雲端病理學AI平臺業者Paige.ai上周宣布</a>，雙方將合作建立世界最大癌症影像AI模型，作為未來研究的基礎。</p> <p>總部位於紐約的Paige.ai，提供數位病理學影像雲端工作流程平臺及生成式AI工具，其AI工具以號稱全球最大資料集訓練開發，用以提供癌症研究及藥物開發。該公司的前列腺癌AI判讀演算法，也是唯一通過FDA許可的AI數位病理產品。</p> <p>雙方並非首次合作。<a href="https://www.businesswire.com/news/home/20230111005266/en/Paige-Collaborates-with-Microsoft-to-Transform-Cancer-Diagnosis-and-Treatment-with-the-Use-of-Pathology-AI" target="_blank">今年一月微軟宣布投資Paige</a>，Paig的數位病理學工作流程平臺Paige Platform包括資料管理、雲端儲存及醫療影像讀取工具，則由原本的AWS搬到Microsoft Azure上，「加速AI診斷工具的開發和部署」。這家新創公司也成為微軟健康照護雲方案的合作夥伴，為Azure提供數位病理工具功能。此外，Paige精準影像Precision Imaging Network產品將整合微軟AI語音子公司Nuance的技術。當時，Paige還宣布和微軟研究院聯合開發癌症與病理學大型機器學習模型。</p> <p>最新的宣布則是該模型合作的一環。Paige原本利用自有50萬份癌症醫學病理學切片的10億張影像，建立全球第一個大型基礎模型。在和微軟合作下，雙方將開發全球規模最大的癌症影像AI模型，參數高達十億。該模型將能協助探究癌症奧祕，作為次世代臨床應用和運算生物標記的基礎，以推進癌症和病理學進展。</p> <p>雙方也規劃接下來Paige會把400萬張多種癌症的數位顯微切片的影像加入該模型，Paige也會利用微軟Azure超級電腦基礎架構訓練模型，並且把模型部署給Azure的醫院或實驗室客戶。</p> </div></div></div>
2023/9/11 09:35作者林妍溱https://www.ithome.com.tw/news/158663
執行速度可達Python 68,000倍的AI語言Mojo開始提供本地端下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Swift語言創始人Chris Lattner，所共同創立的新創公司Modular AI，在5月發布高效能Python程式語言Mojo引起熱議，現在官方提供<a href="https://www.modular.com/blog/mojo-its-finally-here">Mojo本地端下載</a>，目前版本僅支援Linux，之後還會新增Mac和Windows支援。Mojo是一個針對人工智慧應用的程式語言，可無縫整合Python程式語言，由於其可擴充的程式開發模型，因此能夠用於支援如GPU等人工智慧加速器。官方提到，因為Mojo結合了動態和靜態語言的優點，<a href="https://www.modular.com/blog/mojo-a-journey-to-68-000x-speedup-over-python-part-3">效能現在已可達到Python的68,000倍</a>。</p> <p>Python是當前非常受歡迎的程式語言，尤其在人工智慧與資料科學領域，擁有豐富的功能與函式庫，但需要更接近硬體操作或是最大化效能時，開發者通常還是傾向選擇C、C++或CUDA等語言。而官方提到，Mojo結合了Python的易用性和其他系統語言的效能特性，因此Mojo使人工智慧應用從研究到生產的流程更為順暢，研究和部署團隊可以在同一個程式碼庫工作，如此不只簡化人工智慧開發過程，也使開發團隊能更有效地合作。</p> <p>Mojo能夠在CPU上高效能執行，並支援GPU和ASIC等加速器，提供與C++和CUDA相當的效能，而且Mojo還可與Python生態系完全互通，在無縫使用Python的函式庫的同時，又可獲得Mojo的功能與效能，像是開發者可以將NumPy和Matplotlib函式庫與Mojo程式碼混合使用。另外，Mojo緊密整合模組化人工智慧引擎，開發者可以自定義操作，簡單擴展人工智慧工作負載，執行包括預處理、後處理與高效能數學運算。</p> <p>Mojo在5月發布之後，已經有12萬開發者註冊使用Mojo Playground，現在官方提供本地下載，開發者將可以完成更多工作，本地下載提供完整Mojo功能，包括編譯器、IDE工具，能夠建置和迭代Mojo應用程式。</p> <p>Mojo SDK包含了Mojo Driver，讓開發者能夠像在使用Python一樣，在REPL中執行Mojo命令以開始程式開發，而且Mojo還讓開發者可以建置靜態編譯的可執行檔案，因此能夠在沒有相依項目的情況下部署。</p> <p>官方釋出VS Code擴充套件，提供語法突出顯示、診斷與修復、格式化和程式碼完成等功能，同時Mojo也和Jupyter整合，透過Mojo的Jupyter核心，開發者能夠在Jupyter互動式開發環境執行Mojo。官方預告在之後的版本，還會在VS Code中提供除錯器LLDB命令列介面，提供互動除錯功能，而且Mojo除錯器也將可以無縫除錯Mojo、C和C++混合的程式碼。</p> </div></div></div>
2023/9/11 08:26作者李建興https://www.ithome.com.tw/news/158653
EnterpriseDB開源PostgreSQL高可用性叢集部署工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源資料庫PostgreSQL重要貢獻者EnterpriseDB，現在開源叢集配置工具<a href="https://www.enterprisedb.com/blog/edb-open-sources-trusted-postgres-architect">Trusted Postgres Architect（TPA）</a>，讓PostgreSQL用戶能夠更好地配置高可用性叢集。官方提到，部署和維護高可用性叢集非常複雜，而且任意決策可能涉及效能、韌性和資料準確性等問題，而TPA可以簡化Postgres叢集配置工作。</p> <p>TPA是一個自動部署和配置Postgres叢集的工具，根據EnterpriseDB的建議並使用Ansible來部署Postgres叢集，也就是說，TPA執行邏輯體現EnterpriseDB所遵循的最佳實踐，不只能夠用於建置快速測試環境，同時適用於生產環境。TPA採用宣告式配置機制，供用戶描述Postgres叢集的拓撲以及各種細節。</p> <p>配置PostgreSQL高可用性的目的，便是要確保資料始終可用，而這過程通常會存在一些挑戰，包括資料同步、性能、成本以及測試等問題，EnterpriseDB開源TPA則可以協助用戶避免落入建置高可用叢集常見的陷阱。</p> <p>用戶只要設定諸如安裝版本等這類高階選項，TPA便會生成初始叢集配置，該預設配置已經能夠立即使用，但用戶仍可根據需求進一步編輯。TPA的功能還包括配置（Provisioning）伺服器，像是AWS EC2執行個體或是Docker容器，以及託管叢集所需要的其他資源，並且配置作業系統，調整核心配置、創建用戶和SSH金鑰、安裝套件與定義systemd服務等。</p> <p>在安裝和配置完Postgres相關元件之後，TPA還會對叢集進行自動化測試，並且負責Postgres配置未來更新，並安裝、升級套件，以及添加新的伺服器。TPA這套經過驗證的工具，可讓沒有配置高可用性系統經驗的用戶，也能夠可靠地部署叢集。</p> </div></div></div>
2023/9/11 08:29作者李建興https://www.ithome.com.tw/news/158655
微軟報告顯示中國對東亞及臺灣的網路攻擊與AI認知作戰增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟威脅分析中心（MTAC）<a href="https://blogs.microsoft.com/on-the-issues/2023/09/07/digital-threats-cyberattacks-east-asia-china-north-korea/">發表</a>東亞數位威脅報告<a href="https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RW1aFyW">《Digital threats from East Asia increase in breadth and effectiveness》</a>，報告指出東亞數位威脅情勢正在迅速變化，中國展開了廣泛的網路攻擊和認知作戰。</p> <p>中國國家相關網路威脅者三個重點攻擊目標，分別是南海周邊國家、美國國防工業和美國關鍵基礎設施。中國國家相關威脅者對南海國家和臺灣的行動特別活躍，報告提到，這反映中國在東亞地區的經濟、防禦和政治利益，因為領土衝突、中國與臺灣的緊張關係，以及美軍的存在，皆是中國發動網路攻擊的動機。</p> <p>目前Raspberry Typhoon（RADIUM）已經被視為南海周邊國家的主要威脅組織，該組織針對政府部門、軍事實體，以及與重要基礎設施相關的企業，諸如電信業發動攻擊。Raspberry Typhoon從今年1月開始行動就相當活躍，主要是進行情報搜集和部署惡意軟體。</p> <p>Flax Typhoon（Storm-0919）和Charcoal Typhoon（CHROMIUM）則是兩個主要針對臺灣的威脅組織，Flax Typhoon主要攻擊電信、教育、資訊技術和能源基礎設施，而Charcoal Typhoon則鎖定臺灣教育機構、能源基礎設施和高科技產業。在2023年，這兩個組織也都鎖定了與臺灣軍方合作的相關航太企業。</p> <p>臺灣是中國國家相關網路威脅者的重點攻擊國家，微軟從2022年1月到2023年4月所偵測到的攻擊事件，臺灣就超過90起，第二名則是馬來西亞超過40起，新加坡、菲律賓和印尼也都超過20起。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%201975%20-%20%20query_prod_cms_rt_microsoft_com.png" style="width: 380px; height: 314px;" /></p> <p>除了網路攻擊，中國也發起大量的認知作戰，除了在社交平臺上成功與更多使用者互動之外，微軟提到，從2023年3月開始，一些中國國家相關行為者開始在西方社交媒體帳戶，張貼使用生成式人工智慧所創建的視覺內容，操弄像是槍支暴力這類意見分歧的議題，藉以詆毀美國政治人物和國家象徵。</p> <p>報告中也舉例中國對臺灣的認知作戰，包括在社交媒體上廣泛分享的臺語影片（下圖），影片內容呼籲臺灣政府向北京投降，但由於該影片觸及與分享數差距懸殊，也就是說雖然影片被分享的次數很多，但實際看到的人卻很少，這代表該內容背後存在組織操作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/query_prod_cms_rt_microsoft_com.png" style="width: 580px; height: 245px;" /></p> <p>微軟提到，由於中國使用人工智慧生成的內容更精美，因此與過去品質低落的數位圖像或是庫存照片拼貼相比更具影響力，他們預期中國應該會繼續完善這項技術，並且大規模的部署。</p> </div></div></div>
2023/9/11 08:32作者李建興https://www.ithome.com.tw/news/158658
IBM在watsonx.ai平臺推出輕巧商用AI基礎模型Granite
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM準備在其人工智慧開發平臺watsonx.ai，上架稱為<a href="https://www.ibm.com/blog/building-ai-for-business-ibms-granite-foundation-models/">Granite的商用基礎模型</a>，這些基礎模型主要用於處理語言以及程式碼。Granite基礎模型由IBM研究院開發，擁有130億個參數，官方提到，Granite模型剛好能使用單一V100-32GB GPU執行。</p> <p>IBM使用多種資料集來訓練Granite系列模型，總量為7 TB的原始資料，經過預處理後仍有2.4 TB，這些資料擁有1兆個Token，IBM根據商業使用需求，挑選涵蓋網路、學術、程式碼、法律和財務領域的資料集訓練模型，因此Granite系列模型能夠熟悉這些領域的語言和術語，並根據相關產業知識提供決策。</p> <p>Granite模型可以被廣泛地應用在各種產業，除了商業領域上的摘要、問答和分類之外，Granite模型也支援諸如內容生成、分析、增強檢索生成（Retrieval Augmented Generation，RAG）與專有名詞辨識（Named Entity Recognition，NER）等功能。</p> <p>官方強調，模型訓練使用的資料集經過治理、風險和法遵審查流程，因此用戶可以將Granite模型用於自家的應用程式。而且Granite模型訓練資訊集經過IBM HAP偵測器處理，該偵測器能夠偵測並移除仇恨等內容，減少Granite模型生成不適當輸出的可能性。</p> </div></div></div>
2023/9/11 08:48作者李建興https://www.ithome.com.tw/news/158659
OpenAI承認AI偵測器無法分辨學生是否以AI作弊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.openai.com/en/articles/8313929-how-can-educators-get-started-with-chatgpt" target="_blank">OpenAI上周在一份文件承認</a>，偵測AI造假的工具並無法糾出不當使用，還可能冤枉好人。</p> <p><a href="https://help.openai.com/en/collections/5929286-educator-faq" target="_blank">OpenAI在上周官網刊出的一份教學工作者FAQ中</a>，說明該公司為學校教師設計使用旗下AI工具的相關資源，包括和賓州大學華頓商學院教師合作開發的入門提示，以及須知事項。當中OpenAI特別點出，偵測學生是否使用AI生成論文或作業的AI偵測器，其實並沒有用。</p> <p>OpenAI指出，雖然一些業者，包括OpenAI自己都公布宣稱能偵測AI生成內容，但沒有一項能穩定分辨人類和AI產製的內容。此外，ChatGPT不知道哪些內容是AI生成的，因此有時在被用戶問到它是否有撰寫論文，或某篇文章是否由AI生成，它會自己杜撰答案。這些答案是隨便猜的，沒有事實根據。</p> <p><a href="https://www.ithome.com.tw/news/155328" target="_blank">OpenAI今年年初宣布</a>名為AI分類器（AI Classifier）的工具，號稱能區分人類撰寫或AI生成的文字，<a href="https://www.ithome.com.tw/news/157942" target="_blank">但7月該公司很低調地公告不再提供該工具</a>，原因是準確性太低。</p> <p>OpenAI自己的研究發現，這些工具有時甚至指稱人類寫的內容是由AI生成。例如OpenAI訓練AI偵測器時發現，會把人類寫成的文本，包括莎士比亞劇本和獨立宣言標註為AI生成。此外，<a href="https://www.ithome.com.tw/news/157743" target="_blank">有學術研究顯示</a>，母語非英語的使用者撰寫的英文文章，因為過於重視文法或特別簡潔，尤其會被不當判定為AI生成。而且，就算這些工具正確判斷出AI生成的文章，學生只要稍稍修改就能躲過偵測。</p> <p>隨著ChatGPT等AI工具的大量濫用，Reddit上有不少人抱怨，<a href="https://www.reddit.com/r/college/comments/136tc9i/i_have_been_falsely_accused_of_using_ai_on_my/" target="_blank">自己寫的論文</a>或<a href="https://www.reddit.com/r/ChatGPT/comments/11fj3tx/accused_of_using_ai_on_my_high_school_social_paper/" target="_blank">報告</a>被冤枉是AI寫成。</p> <p>OpenAI指出，有許多校區和大學已制訂關於AI生成內容的政策，他們也鼓勵教師們自行研究最適合的作法。該公司建議老師們讓學生使用ChatGPT，以便觀察學生們利用ChatGPT解決問題的能力、培養求證AI答案的素養，以及建立負責任使用態度。</p> </div></div></div>
2023/9/11 09:01作者林妍溱https://www.ithome.com.tw/news/158661
搭60核CPU與HGX H100 8-GPU，雲達推頂級GPU伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/06_q.synergy_taiwan_2022_20221214-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著ChatGPT帶動生成式AI風潮席捲全球，Nvidia在2022年上半發表的頂級資料中心GPU產品H100，目前已成為各大雲端服務業者、伺服器廠商、企業與組織爭相取得的重要AI軍火，而搭配這款GPU的伺服器與雲端服務的推出與上市時機，也受到前所未有的關注。</p> <p>先前我們曾報導的伺服器<a href="https://www.ithome.com.tw/review/156425">Dell PowerEdge XE9680</a>，以及公有雲運算服務<a href="https://www.ithome.com.tw/review/158051">AWS Amazon EC2 P5</a>，幾乎都在今年第二季之後陸續登場，而到了年中，又有一波GPU伺服器與GPU執行個體服務正式推出，例如，我們現在所要介紹的雲達QuantaGrid D74H-7U，在8月中終於公布詳細的技術規格，Google Cloud在8月底的年度用戶大會期間宣布，搭載Nvidia H100的執行個體服務A3將於9月正式上線。</p> <p>事實上，雲達打算推出這款GPU伺服器的消息，並非今年才透露，早在去年11月舉行的美國超級電腦大會，它就已經公開亮相，因為我們看到當時參觀活動展覽的一些科技媒體，如StorageReview，恰巧在他們的社群網站Instagram與<a href="https://www.youtube.com/watch?v=iXi0JUdDGmk&ab_channel=StorageReview">多媒體影音網站YouTube頻道發布D74H-7U</a>的照片與影片；12月14日雲達在臺灣舉行的Q.Synergy年度大會，我們看到他們展示隔年即將上市的多款伺服器當中，機箱尺寸高達7U的D74H-7U非常顯眼，是現場重點展示產品之一，但當時雲達僅公布簡要規格，例如，採用英特爾第四代Xeon Scalable處理器、配備8個GPU加速器、支援DDR5記憶體與PCIe 5.0介面，可針對氣冷與液冷提供最佳化解決方案，用途鎖定AI訓練與超級電腦運算，洽詢現場解說人員之後，我們得知當中搭配的GPU是Nvidia H100。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/06_Q_synergy%20Taiwan%202022_20221214-web.jpg" style="width: 398px;" /> <a href="https://s4.itho.me/sites/default/files/images/2022-12-14-QCT D74H-7U.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-12-14-QCT%20D74H-7U.jpg" style="width: 198px;" /></a></p> <p>到了2023年1月上半，英特爾正式推出第四代Xeon Scalable處理器，雲達也發布新聞稿，揭露採用這批處理器的7款機型，D74H-7U也名列其中，預計是第二波上市的產品，而在3月底的英特爾邊緣到雲端技術產業論壇，以及5月底的台北國際電腦展等多個活動場合，我們再度看到雲達展出這款機型，但當時仍未公開詳細規格。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-QCT%20AI%20Solutions.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/QCT%20D74H-7U%20in%20Computex%202023-0-web.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/QCT%20D74H-7U%20in%20Computex%202023.jpg" style="width: 198px;" /></p> <p>最近我們再到雲達的網站查看他們的伺服器產品近況時，赫然發現當中已公布這款GPU伺服器的細部資訊，這裡陳列更多角度的產品外觀與更完整的技術規格。</p> <p>以GPU而言，雲達D74H-7U的確如我們預期，採用Nvidia HGX H100 8-GPU，相較之下，我們先前介紹的另一款類似定位的產品Dell XE9680可額外選擇Nvidia HGX A100 8-GPU，多了一些搭配彈性；CPU的部分，這兩款伺服器搭配2顆英特爾第四代Xeon Scalable處理器，Dell XE9680最高可搭配56顆核心、熱設計功耗為350瓦、L3快取為105 MB的款式，雲達D74H-7U同樣可搭配熱設計功耗為350瓦的款式，但最高可支援L3快取112.5 MB的款式，換言之，可採用60顆核心的Xeon處理器，略居上風。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SP7H-rear-a_23081510209-Web.jpg" style="width: 148px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/SP7H-opencase-b.png" style="width: 148px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/SP7H-top_23081508150-WEB.jpg" style="width: 120px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/SP7H-front-WEB.jpg" style="width: 148px;" /></p> <p>記憶體方面，兩款伺服器均提供32個DDR5-4800規格的插槽，Dell XE9680最大可擴充至4 TB（支援單支128 GB），雲達D74H-7U可擴充到8 TB（支援單支256 GB）。</p> <p>而在硬碟儲存方面，Dell XE9680機箱前側可安裝8臺2.5吋外形NVMe固態硬碟，搭配他們特有的BOSS開機儲存模組NVMe BOSS-N1，內建2張M.2外形NVMe固態硬碟，雲達D74H-7U機箱前側可安裝18臺2.5吋NVMe固態硬碟，號稱可支援<a href="https://developer.nvidia.com/gpudirect-storage">Nvidia GPUDirect Storage</a>的應用，主機板可安裝2張M.2外形固態硬碟。</p> <p>在PCIe 5.0介面卡擴充能力方面，Dell XE9680在機箱前側可安裝10張全高半長的介面卡，雲達D74H-7U可支援到12張網路卡——機箱背部10張OCP NIC 3.0 TSFF外形的網路介面卡，內部2張OCP NIC 3.0 SFF外形的網路介面卡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SP7H-rear-a_23081510209-10%20NIC.jpg" style="width: 300px;" /></p> <p>值得注意的是，根據雲達在技術規格文件的標示，這10張網路卡是用於<a href="https://network.nvidia.com/products/GPUDirect-RDMA/">Nvidia GPUDirect RDMA</a>，一般而言，此項技術可提供點對點傳輸的資料路徑，供GPU記憶體與Nvidia網路卡裝置之間直接存取，而這也暗示D74H-7U搭配的網路卡，有可能是Nvidia在2021年發表、2022年初供貨的ConnectX-7系列，而這產品也是目前唯一我們知道提供OCP NIC 3.0 TSFF外形的網路介面卡。</p> <p>就機箱、風扇與電源供應器而言，Dell XE9680為6U尺寸，機箱中段與背部分別配置6臺與10臺風扇，電源供應器為6臺2800瓦（5+1備援）；雲達D74H-7U為7U尺寸，機箱前端配置8臺風扇，電源供應器為6臺4000瓦（3+3備援）。</p> <p>在運算效能方面，6月底MLCommons公布<a href="https://mlcommons.org/en/training-normal-30/">MLPerf Training v3.0效能測試結果</a>，雲達D74H-7U也名列其中，同樣採用Nvidia HGX H100 8-GPU的伺服器，表現在伯仲之間，D74H-7U在語音辨識處理時間最短，只需16.607分，醫療影像辨識、物體偵測（大量處理）排名第三，分別需要12.102分與19.52分。</p> <p>關於提報AI訓練測試的系統組態上，這款機型當時採用2顆英特爾Xeon Platinum 8490H（60核心）、1TB記憶體（16支64 GB）、2臺7.68 GB的NVMe固態硬碟與1張500 GB的M2外形NVMe固態硬碟，以及ConnectX-6 25Gb/s規格的網路卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MLPerf Training v3_0-QCT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLPerf%20Training%20v3_0-QCT.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>雲達QuantaGrid D74H-7U<br /> ●原廠：雲達科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：7U<br /> ●處理器：2顆，第四代Xeon Scalable系列（最高搭配60核心機型）<br /> ●記憶體：32個DDR5-4800插槽，最大可擴充至8 TB<br /> ●儲存配置：18臺2.5吋NVMe固態硬碟+2臺M.2固態硬碟<br /> ●搭配GPU：Nvidia HGX H100 8-GPU<br /> ●I/O擴充介面：12個PCIe 5.0 x16介面卡（10個OCP 3.0 TSFF、2個OCP 3.0 SFF）<br /> ●電源供應器：6臺4000瓦（3+3備援）<br /> ●系統風扇：8臺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/9 12:17作者李宗翰https://www.ithome.com.tw/review/158624
RDNA 3架構擴及中階專業繪圖運算市場，AMD推新款GPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_radeon_pro_w7000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月AMD新一代專業繪圖加速卡登場，透過<a href="https://www.ithome.com.tw/review/156523">W7900與W7800這兩款高階機型的推出</a>，揭開Radeon PRO W7000系列產品的序曲，主打特色，包括導入GPU架構RDNA 3、小晶片（Chiplet）設計、顯示引擎Radiance Display Engine、內建視訊連接埠規格DisplayPort 2.1，以及提供AV1的編解碼支援。</p> <p>到了8月初，他們接續發表針對中型、輕型工作負載的GPU：W7600與W7500。從主要規格來看，這兩款產品均搭配8 GB容量的GDDR6記憶體（不支援ECC），內建的運算單元與光線追蹤處理加速器，分別為32個、28個，配備的AI加速器則是64個、56個；以FP32單精度運算而言，它們可提供20 TFLOPS、12 TFLOPS的效能，熱設計功耗為130瓦與70瓦。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7600.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7500.jpg" style="width: 600px;" /></p> <p>若以上一代的中階專業繪圖加速卡為基準，新上市的W7600可提供2倍的效能（W6600的FP32單精度運算效能為10 TFLOPS）；在AI加速能力上，導入RDNA3架構的W7000系列，因為內建新的AI指令，可提供超過2倍的AI運算吞吐量——根據AMD內部測試，執行BF16的數學運算時，配備96個運算單元的W7900對上配備80個運算單元的W6800，前者的效能可達到後者的2.7倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%207600_7500%20VS%20W6600.jpg" style="width: 500px;" /></p> <p>而在影像顯示頻寬方面，由於W7000系列均支援DisplayPort 2.1，每條資料傳輸通道頻寬為9.675 Gbps，提升至1.5倍（W6000系列支援DisplayPort 1.4a，每條通道支援8.1 Gbps的頻寬）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%207600_7500%20DisplayPort.jpg" style="width: 600px;" /></p> <p>AMD表示，W7600與W7500可輕鬆執行資料密集型的工作，針對CAD、BIM等多種專業應用程式，提供優異的使用性能，並且能實現光線追蹤渲染處理，帶來層次豐富、細膩與逼真的影像顯示體驗，樹立中階專業繪圖處理的效能標竿。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO 7600_7500 general compute.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%207600_7500%20general%20compute.jpg" style="width: 600px;" /></a></p> <p>縱觀市面上其他廠牌的中階產品，AMD選擇比較的對象是Nvidia A2000與T1000，強項是運算效能高，但耗電量也相對較高。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO W7600_W7500-NVIDIA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7600_W7500-NVIDIA.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO W7600_W7500-NVIDIA-digitial photos.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7600_W7500-NVIDIA-digitial%20photos.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO W7600_W7500-NVIDIA-3D CAD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7600_W7500-NVIDIA-3D%20CAD.jpg" style="width: 298px;" /></a></p> <p>相較之下，AMD先前推出的W7900與W7800，由於屬於高階產品，硬體組態、運算效能、耗電量等層面的規格，配置都更顯龐大，例如，GPU記憶體容量為48 GB、32 GB（支援ECC），運算單元與光線追蹤處理加速器是96個、70個，配備的AI加速器是192個、140個；而在FP32單精度效能方面，它們可達到61 TFLOPS與45 TFLOPS，熱設計功耗為295瓦與260瓦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Radeon PRO W7000 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Radeon%20PRO%20W7000%20overview.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>AMD Radeon PRO W7600<br /> ●原廠：AMD<br /> ●建議售價：599美元起<br /> ●連接介面：PCIe 4.0 x8<br /> ●外觀尺寸：單槽全高<br /> ●GPU架構：AMD RDNA 3<br /> ●串流處理器數量：2,440個（32個運算單元）<br /> ●內建記憶體容量：8 GB GDDR6、32 MB快取（AMD Infinity Cache）<br /> ●記憶體頻寬：288 GB/s<br /> ●視訊連接埠：4個DisplayPort 2.1埠<br /> ●耗電量：130瓦<br /> ●支援繪圖處理API：DirectX 12 Ultimate、OpenGL 4.6、Vulkan 1.3.2<br /> ●支援運算處理API：OpenCL 2.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/8 23:34作者李宗翰https://www.ithome.com.tw/review/158640
AI趨勢周報第227期：Falcon系列模型添新成員，180B版一現身就勝過Llama 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0901～0907)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Falcon-180B </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Falcon系列模型添新成員，180B版一現身就勝過Llama 2</strong></span></p> <p>最近，阿拉伯聯合大公國科技創新研究院（TII）開源1,800億參數的大型語言模型Falcon-180B，在HuggingFace排行榜上勝過Meta的Llama 2（700億參數）和GPT-3.5，表現與Google的PaLM-2 Large相當。</p> <p>今年6月，TII就釋出語言模型Falcon，包含10億參數、70億參數和400億參數。這次，他們以400億參數版本爲基礎，用自家RefinedWeb資料集（共3.5兆個Token）訓練出Falcon-140B，是目前開源語言模型中最大的版本。這次模型新添了些新機制，如多重查詢注意力機制（MQA），來提高擴展性。團隊以機器學習平臺Amazon SageMaker和高達4,096顆GPU來訓練Falcon-180B，共耗費700萬個GPU小時。</p> <p>就測試結果來說，Falcon-180B在多任務語言理解基準測試MMLU中勝過Llama 2和GPT-3.5，並在HellaSwag、LAMBADA、WebQuestions、Winogrande、PIQA、ARC、BoolQ等資料集測試上與PaLM 2-Large相當。它在HuggingFace排行榜的分數是68.74，是得分最高的開源預訓練LLM，超過Meta的LLaMA 2 （67.35）。雖然開源且開放商用，Falcon-180B的條件比前幾代嚴格，不允許任何托管用途。<a href="https://huggingface.co/blog/falcon-180b#additional-resources">（詳全文）</a></p> <p><img alt="" src="https://huggingface.co/datasets/huggingface/documentation-images/resolve/main/blog/162_falcon_180b/palm2_480.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TAIDE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公部門 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國產可信任AI對話引擎TAIDE將開放公部門測試申請</strong></span></p> <p>國科會在上半年號召國內學術團隊和國科會轄下機構，展開TAIDE計畫，打造專為臺灣使用者設計的可信任AI對話引擎TAIDE，自6月揭露第一階段成果後，9月將進入大規模測試階段。</p> <p>該計畫統籌負責人李育杰指出，團隊將於9月邀請部會報名，並於10月提供測試帳號，來讓公部門測試應用。他也指出，由於Meta在7月中釋出可商用的Llama 2，讓商用版TAIDE模型有了更好的基礎，如Taide-llama2-13B-Chat模型已有不錯的表現，且讓TAIDE在學研與商用模型發展的經驗和資源可共軌。目前，TAIDE應用場景先鎖定4項日常辦公工作，如中英翻譯、自動摘要、寫Email，以及出題目就能產生作文等任務。</p> <p>他也預告，TAIDE計畫團隊將在10月中下旬舉行線上會議，並對中央政府部門舉辦工作坊，再擴及地方政府部門，向各機關人員介紹這套模型與使用教學。未來，TAIDE計畫團隊希望政府或業界都可基於這套AI對話引擎，根據需求，來自行訓練模型並建立內部應用。<a href="https://www.ithome.com.tw/news/158607">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 司法院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 裁判書 </span></strong></span></p> <p><span style="font-size:22px;"><strong>司法院將在幾家法院試用生成式AI系統，要降低法官裁判負擔</strong></span></p> <p>去年4月開始，司法院就開始在打造生成式AI應用，要來輔助法官製作不能安全駕駛、幫助詐欺2大類裁判草稿，來供法官製作裁判時參考。目前，司法院已完成這2類生成式AI系統，可即時根據犯罪事實、證據等資料，來產出裁判草稿。系統複驗通過後，就會由司法院刑事廳和資訊處討論、選擇幾家法院試辦，評估效用後，就會全面上線AI系統。</p> <p>司法院表示，他們也正開發毒品罪裁判草稿的生成式AI系統，預計今年12月試辦上線。明年則是要發展「民事交通損害賠償」、「消債更生、清算」等事件裁定草稿自動生成的開發案。這些生成式AI系統以TMT5模型，並以起訴書、配對的裁判書等資料訓練而成，該系統採完全落地模式，來訓練、生成答案，保護資料隱私。<a href="https://www.judicial.gov.tw/tw/cp-1887-929494-8a9fb-1.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 天氣預測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 評估 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google釋出全球天氣模型預報基準，可精準比較天氣預報模型</strong></span></p> <p>Google日前釋出一款天氣預報模型評估和比較框架WeatherBench 2，可計算機器學習模型和物理模型的天氣預測分數，協助專家依此微調和改善模型。Google也開源WeatherBench 2程式碼，以及針對雲端最佳化的真實資料和基準資料集。</p> <p>天氣預報的評估有不少挑戰，因為高解析度的天氣預報資料量龐大，因此Google在開源統一程式開發模型Apache Beam上建置評估程式碼，供用戶將運算分割成小區塊，以進行分散式評估。此外，Google對不同解析度提供雲端最佳化的ERA5資料集，能用來加速ML天氣預測模型的訓練。同時，WeatherBench 2也針對機器學習預測的限制，提供研究範例，Google也將繼續完善WeatherBench 2，添加站點觀測和降水資料集等，並將臨近預報和次季節預測納入基準中。<a href="https://blog.research.google/2023/08/weatherbench-2-benchmark-for-next.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhpPreKUXXp_lIzhut_DpaGJ14zOmmcY-BwafhfG4G3dbzlUN_-BlfWi5HxKB2upOLaUR38i-Qc1AkIKz0QX1BIhCI9XtxfFzMCqVOuSFzlg-7pAfYMQYN7YmIt84DRr_M9fHXT6hxAXGstGSbQ2duNZzJtZe5yIb1lrbBfFUkNkTgXhYXc9qjkqadlQwKh/s16000/image1.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Amazon SageMaker </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI互動體驗更即時了，Amazon SageMaker新增模型推論結果串流功能</strong></span></p> <p>AWS在機器學習服務Amazon SageMaker的即時推論功能中，新添回應串流（Response Streaming）功能，使用者可將模型推論的答案，持續串流回客戶端，來打造生成式AI應用更即時的互動式體驗，如Chatbot、虛擬助理或音樂生成等。這個新功能可讓使用者立即串流資料，不需等到整個回答完整生成才行，省下等待的數秒或更長時間。</p> <p>要從SageMaker擷取串流回應，用戶需使用新的InvokeEndpointWithResponseStream API，應用程式可更快收到第一個回應位元組，明顯降低延遲。SageMaker託管的大型模型如Falcon、Llama 2和Stable Diffusion等，都能將模型推論結果以串流形式回傳，範圍涵蓋文字和圖像。AWS表示，SageMaker即時端點回應串流是透過HTTP 1.1區塊編碼實作而成，亦即資料會被分成多個區塊傳輸，而非一次性傳送整個資料，伺服器可在生成內容的同時立刻傳輸，不必等待所有內容都準備好。<a href="https://aws.amazon.com/tw/blogs/machine-learning/elevating-the-generative-ai-experience-introducing-streaming-support-in-amazon-sagemaker-hosting/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/f1f836cb4ea6efb2a0b1b99f41ad8b103eff4b59/2023/08/28/ML-15289-image001.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> API </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Apigee </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Duet AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>管理API更容易！Google Apigee API整合自家生成式AI助理</strong></span></p> <p>Google在Apigee API管理工具和應用程式整合工具中，新添自家生成式AI助理Duet AI，來降低建置API、整合流程和擴充套件的門檻，比如，用戶可用自然語言下指令，來建立API規範，這些規範會將諸如安全架構、集中式目錄API Hub中其他API物件等資源納入考量。</p> <p>Google指出，這項整合可大幅提高生產力，因為建構API規範需要專業知識，得耗費大量時間才能完成，而Duet AI可加速這個過程，還能標示與API Hub其他API的不一致之處，如語法、語義和程式碼編寫風格。在Apigee API應用程式整合工具方面，Duet AI可根據需求和企業資產，自動建議合適的整合流程。比如根據整合流程中的變數和應用程式，Duet AI會自動建置連接兩個應用程式的資料映射，或根據用戶需求進一步調整資料映射。這項新功能已向Google客戶開放，幾周內將開放預覽。<a href="https://cloud.google.com/blog/products/api-management/introducing-duet-ai-in-apigee-api-management-and-application-integration">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_Fih7VE3.max-1300x1300.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Salesforce </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM與Salesforce聯手推企業AI工具</strong></span></p> <p>IBM與Salesforce聯手推廣企業生成式AI服務，要加速用戶在客戶關係管理中對AI的採用。在這項合作中，IBM顧問部門將派出16萬名專業顧問，協助用戶採用Salesforce的AI應用，如Einstein、Sales Cloud、Service Cloud、Marketing Cloud和Slack等。此外，IBM顧問部門也會使用自家AI平臺watsonx，來補足Salesforce的解決方案。</p> <p>進一步來說，Salesforce在今年3月推出了客戶關係管理專用的生成式AI服務Einstein GPT，且在這條產品線旗下，還發展出Marketing GPT等行銷工具，可用來加速廣告文案等工作，另也有客服專用的Einstein GPT for Service，這些生成式AI產品都包含在這次合作範疇內。此外，這次也將以IBM Consulting Managed Services for Salesforce加速器工具組來協助用戶轉型，輔助用戶部署、擴展和強化Salesforce服務。<a href="https://newsroom.ibm.com/2023-08-31-IBM-and-Salesforce-Team-Up-To-Help-Businesses-Accelerate-Adoption-of-Trustworthy-AI">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FACET </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歧視 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開源可用來偵測AI歧視問題的FACET資料集</strong></span></p> <p>Meta日前開源FACET資料集，能用來評估電腦視覺模型在分類、偵測、實例分割與視覺定位等任務中，可能出現的偏差或歧視，協助開發者改善模型。FACET由3.2萬張照片所組成，包含5萬人，每張照片都由人類專家按相關屬性手動標記，如性別與年齡等族群特徵，膚色、髮型等生理特徵，以及諸如棒球選手或醫生等分類，另也包含來自SA-1B資料集中6.9萬名戴口罩民眾的人口屬性標記。</p> <p>這個資料集可用來協助回答某些問題，像是當某些表現的刻板印象多為男性時，模型是否能提供更好的辨別；標準檢測模型是否難以偵測膚色較深的人口等。<a href="https://facet.metademolab.com/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-09-08%20181913.png" /></p> <p>圖片來源／HuggingFace、AWS、Google、Meta</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 11億參數的小型版TinyLlama問世</strong></p> <p><strong>2. Zoom重新推出生成式AI助理，可摘要會議記錄</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/8 18:22作者王若樸https://www.ithome.com.tw/news/158656
【資安日報】9月8日，網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客透過網路釣魚工具包發動攻擊的情況極為氾濫，不只是資安媒體報導的眾多團體，有些行跡相當隱密，最近資安業者Group-IB揭露的W3LL，就是一例。網路犯罪生態圈經營時間長達6年，主賣功能豐富的網釣工具包套件，並能加購可從事商業郵件詐騙（BEC）的相關模組。</p> <p>為何W3LL一直沒被發現？因為他們只靠駭客私下介紹買家，未曾在網路犯罪論壇進行宣傳。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/media-center/press-releases/w3ll-phishing-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露網釣犯罪集團W3LL，專門挾持使用者的微軟帳號，不到一年有8千個組織受害</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/w3ll-release-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/w3ll-release-2.png" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露駭客組織W3LL建立的網路釣魚犯罪生態圈，該組織自2017年開始活動，主要鎖定微軟的Microsoft 365帳號下手，提供網釣工具包W3LL Panel給駭客租用，此工具包具備多項功能，可用於執行對手中間人攻擊（AiTM）、繞過雙因素驗證（MFA），竊取用戶瀏覽器Cookie，並提供以API為基礎的功能、原始碼加密及混淆機制，以及其他特殊功能。</p> <p>此外，該組織也推出其他客製化功能模組讓買家選用，而能進一步發動商業郵件詐騙（BEC）攻擊，這些工具包括SMTP發送器PunnySender與W3LL Sender、惡意連結導向工具W3LL Redirect、漏洞掃描器OKELO、帳戶自動探查工具Contool，以及其他偵察工具。研究人員在過去10個月裡，看到約有850個利用W3LL Panel打造的釣魚網站，攻擊者鎖定大量Microsoft 365帳號下手，範圍涵蓋5.6萬個企業組織，其中有8千個受害。而這些駭客鎖定的目標，逾半數位於美國，但英國、澳洲、德國等地也有受害組織；從產業的類型來看，最常見的目標是製造業，其次是資訊科技業、顧問公司、金融服務、醫療照護等產業。</p> <p>研究人員指出，這個組織直到最近才被發現，主要原因是他們採取多層次傳銷的方式，透過口耳相傳招攬顧客，想要從W3LL Store市集下單網釣工具的新買家，必須透過現有會員推薦，並在3天內儲值，否則帳號將會被停用。此外，W3LL Store不透過廣告吸引買家上門，更要求他們的客戶不得在網路散播相關訊息。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hacking-campaign-bruteforces-cisco-vpns-to-breach-networks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客鎖定思科SSL VPN系統進行帳號填充攻擊，逾10個組織受害</span></strong></a></p> <p>8月下旬思科透露勒索軟體Akira鎖定該廠牌SSL VPN設備的攻擊行動，駭客針對尚未啟動雙因素驗證（MFA）的系統下手，後來資安業者Rapid7公布更詳細的調查結果。</p> <p>研究人員指出，這起攻擊行動當中，駭客是針對啟用SSL VPN服務的思科多功能網路資安設備ASA系列下手，透過暴力破解或是帳號填充攻擊的手法控制系統，目的是於受害組織部署勒索軟體Akira、LockBit。從3月30日至8月24日，他們確認至少有11個組織受害，在大部分的事故當中，駭客企圖使用常見的使用者帳號名稱存取ASA設備，這些名稱包括admin、guest、kali、cisco、test、printer、security、Inspector。</p> <p>一旦成功控制ASA設備，駭客就會透過遠端桌面連線工具AnyDesk存取受害組織網路，然後擷取AD資料庫NTDS.DIT來取得網域帳密，進而破壞其他系統。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blogs.cisco.com/security/akira-ransomware-targeting-vpns-without-multi-factor-authentication" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1166052758" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blogs.cisco.com/security/akira-ransomware-targeting-vpns-without-multi-factor-authentication</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.rapid7.com/blog/post/2023/08/29/under-siege-rapid7-observed-exploitation-of-cisco-asa-ssl-vpns/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-2131143182" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.rapid7.com/blog/post/2023/08/29/under-siege-rapid7-observed-exploitation-of-cisco-asa-ssl-vpns/</span></a></p> <p><a href="https://cert.gov.ua/article/5702579"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭關鍵基礎設施遭到俄羅斯駭客APT28攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/APT28-0904.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT28-0904.png" style="width: 300px; float: right;" /></a>9月4日烏克蘭電腦緊急應變小組（CERT-UA）提出警告，俄羅斯駭客組織APT28鎖定當地的能源基礎設施發動攻擊，駭客先是寄送釣魚郵件，其內容含有惡意ZIP檔案的下載連結，一旦收信人依照指示操作，就會把3個JPG圖檔誘餌、批次檔案weblinks.cmd下載到電腦。</p> <p>若是收信人執行上述的CMD檔案，電腦將會開啟多個網頁，並建立BAT檔案與Visual Basic指令碼（VBS）檔案，然後執行VBS檔觸發BAT檔案，執行whoami的命令並竊取資料。該組織指出，駭客遠端下達命令的方式，是透過webhook.site的服務來執行cURL程式，從而隱匿攻擊來源。所幸此能源基礎設施有防備，他們對於存取Mocky API及Windows Script Host（wscript.exe）設下限制，所以駭客並未得逞。</p> <p><a href="https://thehackernews.com/2023/09/researchers-warn-of-cyber-weapons-used.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業而來</span></strong></a></p> <p>資安業者AhnLab提出警告，北韓駭客組織Lazarus旗下的團隊Andariel（亦稱Nicket Hyatt、Silent Chollima）針對韓國國防工業而來，自今年開始使用多種惡意程式發動攻擊，大部分是以Go語言開發而成。這些惡意軟體包含了Gh0st RAT、DTrack、YamaBot、NukeSped、Rifdoor、Phandoor、Andarat、Andaratm、TigerRAT、MagicRAT、EarlyRAT。</p> <p>研究人員指出，今年2月，駭客曾利用韓國檔案傳輸系統的用戶端程式Innorix Agent漏洞發動攻擊，散布惡意程式Andardoor、NukeSped變種Volgmer，以及Go語言開發的反向Shell程式1th Troy。</p> <p>後來，他們看到這些駭客也使用Go語言開發的Black RAT、Goat RAT，.NET開發的惡意程式下載工具AndarLoader，以及採用Go與Rust語言開發的後門程式DurianBeacon，其中，Goat RAT是在攻擊者成功利用Innorix Agent漏洞植入受害電腦，而AndarLoader則是藉由DurianBeacon部署。</p> <p>資料來源</p> <p>1. <a href="https://asec.ahnlab.com/en/48198/">https://asec.ahnlab.com/en/48198/</a><br /> 2. <a href="https://asec.ahnlab.com/en/56405/">https://asec.ahnlab.com/en/56405/</a></p> <p><a href="https://www.darkreading.com/dr-global/ghostsec-source-code-alleged-iranian-surveillance-tool"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織GhostSec聲稱公布了伊朗政府監控民眾的工具</span></strong></a></p> <p>根據資安新聞網站Dark Reading的報導，駭客組織GhostSec近期聲稱取得伊朗IT金融服務及IT服務業者FANAP的原始碼，並指控該公司的軟體被伊朗政府用於監控民眾。駭客表示已破解FANAP的專屬程式碼，並解析26 GB壓縮資料將其公布，當中包含多項核心元件，像是組態檔案及API的技術資料。</p> <p>8月27日該組織公布臉部識別，以及各式侵犯民眾隱私的工具，這些工具是臉部識別及視訊監控系統Behnama、車輛GPS跟蹤系統Behyab、車牌辨識系統Behkhan，以及用於列印身分證的臉部辨識系統Behcard，駭客認為，上述部分軟體被部署在當地銀行Pasargad Bank的所有分行當中。其中一名駭客透露，他們藉由存取FANAP的基礎設施得到原始碼，然後利用負載平衡工具HAProxy入侵該公司的伺服器，在竊得資料後，該組織耗時2個月進行分析。</p> <p>對此，FANAP否認資料外洩，並表示駭客只能取得部分軟體事件記錄及Docker的檔案。</p> <p><a href="https://foundation.mozilla.org/en/blog/privacy-nightmare-on-wheels-every-car-brand-reviewed-by-mozilla-including-ford-volkswagen-and-toyota-flunks-privacy-test/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">連性活動也不放過！Mozilla指控25個汽車品牌離譜的個資保護政策</span></strong></a></p> <p>根據Mozilla基金會近期發布的隱私安全調查結果顯示，在美、德、日、法、韓等5國的25個汽車品牌當中，製造商大量收集車主各式個資，當中有不少與駕駛或安全幾乎無關，這些行為顯然失當。</p> <p>該基金會點名最嚴重的品牌是日產（Nissan），該廠商在隱私政策指出他們會收集健康診斷資料、遺傳資料，甚至是與性相關的活動，但並未說明如何取得這些資料。此外，日產也表明可能會將客戶的個資有償或無償提供給資料掮客、執法機關，或是其他第三方機構。而這些會提供給外部機構的資料範圍也相當廣，包含了客戶的喜好、特徵、心理狀態、傾向、智力、能力、資質。</p> <p>但日產並非個案，事實上，根據這些汽車品牌的隱私政策，高達84%的廠商會向服務供應商、資料掮客、其他合作夥伴提供車主的資料，76%業者表明可能會銷售車主資料，56%車廠會根據政府或執法機構要求提供車主資料。研究人員指出，許多車廠都在進行所謂的隱私清洗（Privacy Washing），表面上聲稱要維護車主隱私，但實際上並未依照相關政策執行，此外，有些車廠甚至出現超過5種版本的政策，而讓消費者無所適從。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158648"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布新版macOS、iOS、watchOS，修補已被用於植入間諜軟體的零點擊漏洞</span></strong></a></p> <p>9月7日蘋果發布iOS 16.6.1、iPadOS 16.6.1、macOS Ventura 13.5.2、watchOS 9.6.2，當中修補已被用於部署間諜程式Pegasus的零時差漏洞CVE-2023-41064、CVE-2023-41061（合稱Blastpass）。</p> <p>這些漏洞是由加拿大公民實驗室（Citizen Lab）發現，他們上週在美國華盛頓特區檢查公民社會組織（CSO）員工裝置的過程裡，意外發現這些無須使用者點擊（零點擊）的漏洞，攻擊者在執行最新版iOS 16.6的手機上，透過iMessange傳送含有惡意圖檔的數位票券框架PassKit檔案，從而植入Pegasus。其中，CVE-2023-41064為記憶體緩衝區溢位漏洞，導致作業系統在處理惡意圖像的過程，可被用於執行任意程式碼；CVE-2023-41061則為身分驗證漏洞，攻擊者可藉由傳送惡意附加檔案，來達到執行任意程式碼的目的。</p> <p>對此，公民實驗室呼籲蘋果用戶應立即套用相關更新，並鼓勵從事高風險業務的使用者，最好啟用封閉模式（Lockdown Mode）。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://citizenlab.ca/2023/09/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-874153244" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://citizenlab.ca/2023/09/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://support.apple.com/HT213905" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--249556186" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://support.apple.com/HT213905</span></a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://support.apple.com/HT213906" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--249556185" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://support.apple.com/HT213906</span></a><br /> 4. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://support.apple.com/HT213907" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--249556184" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://support.apple.com/HT213907</span></a></p> <p><a href="https://www.withsecure.com/us-en/whats-new/pressroom/withsecure-mend-patch-vulnerability-in-popular-application-security-platform"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網頁應用程式安全平臺Mend.io出現SAML漏洞</span></strong></a></p> <p>資安業者WithSecure指出，前身為Whitespurce的軟體開發安全系統廠商Mend.io，他們提供的應用程式安全平臺存在SAML漏洞，導致攻擊者一旦取得目標組織有效的電子郵件信箱，就有機會運用存在弱點的SAML機制，在同一個軟體即服務（SaaS）環境中，存取其他Mend.io用戶的資料集。</p> <p>而對於漏洞發生的原因，研究人員指出，此應用程式安全平臺的單一簽入（SSO）機制能接受任何有效的電子郵件帳號，沒有額外的身分驗證措施，換言之，攻擊者只需透過特定的SaaS環境挾持Mend.io帳號，並設置能透過單一簽入存取，然後使用目標組織的電子郵件信箱，就有機會成功利用上述SAML漏洞。WithSecure在今年5月通報Mend.io，該漏洞已得到確認，Mend.io也迅速採取行動，修補該漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/johnson-and-johnson-discloses-ibm-data-breach-impacting-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">嬌生醫療照護系統傳出資料外洩，起因是IBM代管的應用系統遭到攻擊</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/09/07/cisa-fbi-and-cnmf-release-advisory-multiple-nation-state-threat-actors-exploit-cve-2022-47966-and"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客攻擊美國航空機構，鎖定Zoho、Fortinet漏洞下手</span></span></strong></a></p> <p><a href="https://blog.phylum.io/malware-campaign-targets-npm-pypi-and-rubygems-developers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Nascent鎖定NPM、PyPI、RubyGems用戶而來</span></span></strong></a></p> <p><a href="https://blog.sucuri.net/2023/09/bogus-url-shorteners-go-mobile-only-in-adsense-fraud-campaign.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">鎖定行動裝置的AdSense詐欺攻擊透過短網址進行</span></span></strong></a></p> <p><a href="https://www.elastic.co/security-labs/revisiting-blister-new-developments-of-the-blister-loader"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Blister被用於散布C2框架Mythic</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158641"><strong>【9月7日】惡意程式Agent Tesla透過5年前Office漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158626"><strong>【9月6日】瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動</strong></a></p> <p><strong><a href="https://www.ithome.com.tw/news/158612">【9月5日】瀏覽器的安全設計不良再加上網站漏洞讓惡意擴充程式有機可乘，挖掘用戶機密資料</a></strong></p> </div></div></div>
2023/9/8 17:27作者周峻佑https://www.ithome.com.tw/news/158654
以顧客體驗主導軟硬體整合，威摩下一步要打造車聯網大平臺
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣是全球共享機車大國，共享機車規模高達全球15%，光在臺北市就有近13,000輛，是全球總數的一成。這個一級戰區中，最大規模的車隊是共享機車平臺威摩科技（WeMo Scooter），在臺北市擁有近5,000臺機車，總車隊規模約7,000臺。</p> <p>威摩科技在2015年將共享機車商業模式帶入亞州，使用者在地圖App上找到鄰近機車一鍵租借、停放於服務範圍內的任意合規停車格即能歸還。除了B2C機車共享服務外，他們去年更將租賃服務經驗和技術商品化，販售給其他汽機車租借業者使用。背後技術，都是由威摩科技自行開發的車聯網軟硬體，用改裝機車內，黑盒子的各式感應器蒐集位置、電量等資訊，再回傳到後臺儲存、分析、管理。</p> <p>主導技術建置及UI/UX設計的威摩科技技術長鄭捷是共同創辦人之一。鄭捷曾經創立過網通科技公司及車輛改裝公司，甚至擁有自己的車隊，參加過國際知名甩尾大賽D1GP。從威摩機車改造到車聯網通訊軟硬體建置，鄭捷都扮演了重要角色。</p> <p>車聯網是威摩科技共享服務的關鍵技術基礎，不過鄭捷認為，共享機車與餐飲業一樣，是長期、重複提供服務的行業，只要產品有一定水準，顧客體驗才是經營回頭客關鍵。因此，他幾乎每天都騎著自家機車，從使用者角度親身體驗操作流程，思考如何從車體改造、App優化、後臺系統調整等面向，來更進一步提升使用者體驗。</p> <p>以長期提供服務為出發點的理念，體現在威摩科技三大產品發展焦點：App 的UI/UX設計、機車硬體，以及車聯網數據管理。</p> <p><span style="font-size:28px;"><strong>亞洲第一家共享機車如何設計UI</strong></span></p> <p>「你現在覺得理所當然的常見租車模式，都是威摩從頭開始創造出來的。」他自豪的說，因為是亞洲第一家業者，設計App和整體租借流程之初，沒有可參考的同類上市產品。鄭捷認為，UI背後對重視UX的講究是威摩科技最具競爭力的領域。「就算你現在學了我們的UI，長期優化UX的精神也很難模仿。」</p> <p>雖然歐美更早就出現了共享機車App，不過，因為使用者習慣、設備選擇、路況等因素與臺灣市場不同，威摩科技評估後沒有採用它們的設計。舉例來說，尋找機車階段，當時歐美App主流是列表式呈現，威摩科技則改用地圖式呈現方法，這個UI設計現在已經是臺灣共享機車的主流設計。</p> <p>鄭捷說，設計UI時，每一個App頁面的設計，他們都會從多個角度思考使用者操作環境、使用需求，以及威摩科技如何能從中獲取直接或間接價值。</p> <p>WeMo App用來啟動機車的「鑰匙頁」設計就是最好的例子。在這個鑰匙頁上，有控制機車電源和車廂的按鈕。一開始，這兩個按鈕一度占了手機螢幕30%以上的面積。超大按鈕的設計，背後隱藏的是體貼使用者的講究，像是考慮使用者是在戶外環境啟動機車，而且有可能帶手套而影響操作精度，所以，按鈕尺寸才大於一般人的大姆指大小，方便不同情況下的按壓，後來，隨著大尺寸手機逐漸普及後，才又縮小按鈕的螢幕占比。</p> <p>UI除了設計講究，在資訊提供上也經過不少斟酌。同樣以鑰匙頁設計來舉例，鄭捷說，國外租車App會提供地圖導航，來搭配啟動鑰匙按鈕，但鄭捷認為，使用者往往習慣用Google Map來導航，租車App提供地圖介面的設計意義不大。他自己則會思考，使用者需要的租車App資訊中，哪些只有威摩科技能提供。</p> <p>最後，威摩科技參考了Garmin自行車App的設計，在鑰匙頁面直接提供租借時間和機車剩餘電量，讓顧客一目瞭然，更提高鑰匙頁面資訊的參考價值。「但不能顯示當前收費，否則會增加使用者還車壓力。」他笑著坦言。</p> <p><span style="font-size:28px;"><strong>以優化UX為第一優先的服務設計理念</strong></span></p> <p>UI/UX改良不是一個短期計畫，更是威摩科技營運共享機車8年來的長期課題，時時觀察使用者需求，並推出因應的優化功能。</p> <p>例如隨著越來愈多顧客長途騎乘時，會遇到機車電量見底，需要尋找下一臺機車的需求。早期App設計中，使用者需要先還車，才能重新進入尋車地圖，找到下一臺車位置後，徒步前往換車。威摩科技後來觀察到使用者這個痛點，便在鑰匙頁面中，直接增加尋車功能，不用等到電量見底，就能提前規畫換車路線，先騎到另一臺車所在地後，就地歸還、換車。</p> <p>不只如此，威摩科技正在思考，如何進一步簡化這個換車流程，希望能用一、兩個按鈕操作就能快速還車、借新車，提高使用者體驗的流暢度。不過，這個整合難度不小，需要將兩臺車的租借紀錄、騎乘資訊、付款和折扣等數據合併到同一個訂單中，這是當初系統架構設計時沒有考慮到的事，威摩還在研究如何克服技術問題。</p> <p>為了優化使用者體驗，威摩科技甚至會犧牲一部分營運效率。「設計服務時，必須區分對使用者有價值的環節，以及對營運方有價值的環節，後者不應阻礙到前者。」</p> <p>鄭捷以還車拍照流程的安排來舉例。使用者在App中拍照紀錄還車，可以帶來兩個效益，一是證明停車區域合規，遭惡意挪動時可舉證。其次，可運用Google ARCore Geospatial API技術，從還車影像中判斷地點，減少GPS飄移造成找不到車的困擾。</p> <p>不過，威摩科技沒有強制使用者操作，反而刻意安排到還車付款以後，使用者還車後甚至可以直接關掉App離去，跳過拍照階段。「這不是使用者從A點移動到B點所需的步驟，所以不能用來干擾他們。」鄭捷表示。</p> <p>雖然這樣的設計會降低前述兩大效益，但鄭捷堅持，這是營運方的問題，不管解法再難，都不能靠犧牲使用者體驗流暢度來解決。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1146-CTO-600(2).png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>設計服務時，必須區分對使用者有價值的環節，以及對營運方有價值的環節，後者不應阻礙到前者。── 威摩科技技術長鄭捷</strong></span></span> 　<span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>以支援多年服務更新為前提進行硬體技術選型</strong></span></p> <p>App UI/UX技術背後是威摩科技從頭自行建置的車聯網解決方案，硬體核心是機車黑盒子，包含陀螺儀、G-Sensor等各式感應器，邊緣運算這些數據的CPU，以及上傳這些數據到雲端的無線通訊裝置。</p> <p>威摩科技創立時，要先選擇車聯網通訊技術，「3G便宜很多，真的要用4G嗎？」廠商不解為何要用開臺才一年的4G技術。「我們的車未來要用8年、10年，那時3G還在嗎？」鄭捷這樣回答。放眼長期服務，他堅持在上千輛機車中安裝較為昂貴的4G通訊設備。</p> <p>他進一步說明，初期投資高規格硬體，是因為WeMo不是一次性交付，而是長期提供的服務，甚至成立初期就有許多未來服務、開發進程長達數年的規畫。為避免硬體頻繁更新影響開發進程，威摩科技一開始考慮支援後續10年業務的硬體能力。</p> <p>有了足夠的通訊及運算硬體規格打基礎，威摩科技得以陸續推出龐大數據處理或即時運算的新服務，例如車禍瞬間數據紀錄、路面狀態資料蒐集、城市車流分析、空氣品質偵測等。不只如此，也可以先用車內硬體預先處理資料，再上傳到雲端，節省通訊及雲端資源使用成本。</p> <p><span style="font-size:28px;"><strong>車聯網數據管理要從服務設計出發</strong></span></p> <p>車聯網軟體核心則是數據管理後臺。散布於城市各處的機車是寶貴的資料來源，不只能支援日常機車定位和租借，所蒐集的數據還可以用來開發新功能、優化使用者體驗、還能回頭來優化車隊營運。</p> <p>一個例子是區域車輛動態平衡機制。車輛分布失衡，會導致使用者在部分區域方圓數公里找不到車，其他區域卻有大量機車閒置的窘境。一方面造成使用者不便，另一方面也形成威摩科技大量隱性成本。</p> <p>為了促成區域間車輛平衡，威摩科技策略是分析機車位置和租借資訊，找出特定區域的低租借率時段，祭出優惠價格，以期提升車輛流動率。鄭捷表示，未來更考慮導入AI技術來強化區域車流分析和動態價格調整。</p> <p>雖然車聯網數據有許多用途，不過威摩科技後臺收錄的資料又多又雜，包括數千臺機車不斷更新的即時位置資料、高頻小額付款資料、各式車輛狀態資訊、動態行駛資料、空氣品質等環境資料等。資料儲存和計算成本，會成為與日俱增的負擔。這使威摩科技開始思考，如何優化數據管理方法，以節省儲存和雲端資源使用成本。</p> <p>鄭捷表示，威摩科技近年開始思考如何節省數據處理成本，以提供服務為目的，來思考不同數據種類是否有助於提供新服務或優化UX及營運。一方面，刪除不符目的既有資料，未來也會停止蒐集。另一方面，也思考能否縮減原始資料，只保留從資料中提取出的洞察資訊，來減少儲存數據量。</p> <p>近年，威摩科技數據分析團隊及數據工程團隊持續合作，探討不同類型資料的可能用途。例如，用車輛位置數據來計算車輛進出特定區域的數量及時段，或從機車震動數據來分析特定路段的馬路平整狀態。</p> <p><span style="font-size:28px;"><strong>商品化共享機車服務經驗，成為車聯網管理平臺</strong></span></p> <p>經營多年共享機車業務後，威摩科技成長戰略下一步是輸出服務模式和車聯網管理技術，去年推出了B2B車聯網解決方案，提供汽機車的車聯網硬體設備，也提供分析後臺，能追蹤車輛租借情況、位置、損壞狀態、不同型號汽車的顧客滿意度等資訊，已經獲得不少租賃業者的採用。</p> <p>從B2C租賃業者走到B2B平臺商角色，威摩科技一大挑戰是後端系統的調整，要從自家車聯網平臺，轉變成支援多家業者的共用平臺。例如，車聯網資料架構就得重新設計，來支援多種車款租賃業務，從單一輕型機車，轉而支援四輪車、電動車、汽柴油車等更多複雜車款，甚至還要提供多租戶的不同權限控管。</p> <p>為了改動資料架構、支援後續對外數據服務，他們擴編了數據團隊，並研究不同車款租賃業務的商業模式和營運流程，以了解其他業者所需的數據種類及分析方向。</p> <p>傳統汽機車租賃業者如何用車聯網數據驅動業務？鄭捷從自家車聯網管理經驗提出建議。首先是車輛交付時可以使用科技達成，不只使用者不用前往固定據點，業者也能省下服務人力，且服務規模及範圍都能大幅拓展。</p> <p>再來是車款表現分析，可以綜合不同車款的使用頻率、顧客滿意度、旅途長短、耗損情況，來觀察車隊中表現最佳的車款，作為車隊擴張時採購參考。</p> <p>第三是防盜。能即時管理、追蹤所有車輛，意味著業者在車輛位置或狀態異常時能更快反應，且能保留完整電子記錄供事後偵查使用。</p> <p>威摩科技下一步要將這套車聯網系統開放，支援更多第三方IoT車載裝置，集中到單一平臺管理既有車聯網數據。鄭捷表示，任何物聯網最重要的考量都是資安，當平臺開放第三方裝置，威摩科技對資安的掌握度就會受到衝擊，因此下一階段，最大挑戰是更加複雜的資安管理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>威摩科技技術長鄭捷</strong></p> <p>學歷：南加大電機工程學系</p> <p>經歷：1997年創立捷辰科技，產品銷售對象包括國內外大廠，1999年起擔任捷辰科技董事長至今，2015年10月參與創立威摩科技股份有限公司，擔任技術長至今。運用網路通訊及車輛改裝產業經驗，主導共享機車服務及車聯網平臺的軟硬體開發</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>威摩科技</strong></p> <p>地址：臺北市松山區南京東路3段303巷3弄8號2樓之1</p> <p>成立時間：2015年10月</p> <p>主要業務：共享智慧機車即時租借服務</p> <p>員工數：200人</p> <p>董事長：吳東明</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2015年：威摩科技成立</p> <p>2015年4月：第一版共享機車原形與系統完成</p> <p>2015年6月：研發成功/導入生產</p> <p>2015年10月：車聯網服務上線</p> <p>2020年5月：攜手臺灣大哥大打造移動式空品預測平臺</p> <p>2022年3月：B2B車聯網平臺RenTour正式上線</p> <p>2022年5月：導入Google ARCore Geospatial API技術，優化機車定位</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1146-cto-960.jpg" width="960" height="420" alt="" title="威摩科技技術長鄭捷　（攝影／洪政偉）" /></div></div></div>
2023/9/8 15:50作者郭又華https://www.ithome.com.tw/people/158652
微軟承諾將替Copilot商業客戶承擔侵權風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/06/08/announcing-microsofts-ai-customer-commitments/" target="_blank">繼於今年6月發表對AI客戶的承諾之後</a>，<a href="https://blogs.microsoft.com/on-the-issues/2023/09/07/copilot-copyright-commitment-ai-legal-concerns/" target="_blank">微軟本周宣布</a>，將替Copilot商業客戶承擔侵權風險。</p> <p>新興的AI技術帶來了機會與創新，但也同時帶來許多有關道德及法律上的挑戰，為了推動AI服務，微軟在今年6月祭出了三大承諾，包括將分享如何負責任地開發及部署AI技術；建立一個AI保障計畫，以協助客戶確認於微軟平臺上所部署的AI應用，符合負責任AI的法律及監管要求；以及於全球設立專門的AI團隊，協助客戶與合作夥伴導入負責任的AI系統。</p> <p>而本周的宣布則是上述承諾的延伸，<a href="https://www.ithome.com.tw/news/154076" target="_blank">特別是在其中一項Copilot服務GitHub Copilot已經惹來官司</a>，並讓有意部署的客戶因此而卻步的時刻。</p> <p>微軟總裁Brad Smith及法務長Hossein Nowbar表示，當客戶詢問是否能使用微軟的各種Copilot服務及其所生成的結果，而不必擔心版權主張時，微軟給出的答案是肯定的，且若客戶因版權問題而受到質疑，微軟將替客戶承擔因此而產生的潛在法律風險。</p> <p>更具體地說，倘若有第三方控告一家微軟商業客戶，宣稱其使用微軟的Copilot服務或由Copilot所生成的結果侵權時，微軟將會捍衛客戶，也會支付因相關訴訟所衍生的任何不利判決或和解金額，但前提是客戶必須使用微軟內建於相關產品中的防護欄與內容過濾機制，也不得輸入沒有適當權限的內容至Copilot服務中。</p> <p>為了尊重版權，微軟已於各種Copilot服務中建置了防護欄，藉由過濾機制與其它技術來避免Copilot產生侵權內容，涵蓋分類器、中繼提示（Metaprompt）、內容過濾器、操作監控與濫用偵測，以排除那些可能侵犯第三方內容的成果。此一新的Copilot版權承諾要求客戶採用這些技術，以激勵每個人都能尊重版權問題。</p> <p>該版權承諾適用於付費版的商業Copilot服務與Bing Chat Enterprise，涵蓋Microsoft 365 Copilot與GitHub Copilot等。</p> </div></div></div>
2023/9/8 14:51作者陳曉莉https://www.ithome.com.tw/news/158651
瞄準企業生成式AI應用需求，Google揭露三大AI新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Next大會，是Google生成式AI的火力展示，更是對微軟Copilot戰略的反擊。</p> <p>今年5月，微軟站在ChatGPT趨勢浪潮，發表了自家的生成式AI戰略，以GPT系列基礎模型所打造的AI助手Copilot為核心，推出了整合到開發平臺GitHub、辦公室生產力套件Office 365和Windows作業系統的多種AI助手，更揭露了Copilot技術框架，來瞄準企業自行開發生成式AI應用的需求。</p> <p>Google雖然比為微軟早幾天發表辦公室套件Workspace的生成式AI助手，但很快就被ChatGPT和Copilot的光環蓋過了聲浪。5月Build大會所揭露的這個Copilot技術框架，更讓微軟成了生成式AI的技術指標廠商。</p> <p>直到了8月，Google終於在Next大會上回擊，甚至扳回一城，搶先微軟推出多項正式版生成式AI助手產品，重新站上了生成式AI技術的競爭賽道前頭。</p> <p><span style="font-size:28px;"><strong>揭露AI建置、AI運用和AI生態圈三大戰略</strong></span></p> <p>Google Cloud執行長Thomas Kurian在Next大會開場演講中強調，Google將聚焦三大生成式AI戰略，包括了AI建置、AI運用和AI生態圈。</p> <p>一方面，Google要讓GCP雲端基礎架構和開發工具，都可以支援各種生成式AI的建置，其次要透過辦公室AI助手，讓人人都很容易運用AI，最後則要建立AI生態系，將各種第三方AI技術和廠商帶給企業。</p> <p>在AI建置戰略上， Google基礎架構聚焦對AI運算的支援，例如推出了GKE企業版，對GPU運算提供更好的調度支援，也發表了新版AI加速晶片產品Cloud TPU v5e，還計畫9月推出搭載Nvidia H100 GPU的A3 虛擬機器，並且發表了可以在企業本地環境或是邊緣環境中部署Vertex AI推論應用的Google 分散式雲端（Google Distributed Cloud）產品。</p> <p>另一方面，Google的AI開發平臺Vertex AI，更全面轉型為生成式AI開發平臺，以生成式AI應用開發為主打。</p> <p>在Google的Vertex AI產品架構中，以GCP各種AI運算硬體和執行實例資源為基礎，來建構一個涵蓋生成式AI應用開發周期的開發框架。</p> <p>這個開發框架中，可以進一步細分為4層，最底層是提供各種LLM模型的模型花園，包括Google自家PaLM最新版，以及多種開源LLM模型，例如臉書LLaMA 2。</p> <p>上一層則是AI技術平臺層，包括了各種外掛、連結器、Grounding校準、提示工程、調校、評估、過濾等不同AI應用開發階段的機制或工具，第三層則是NoCode開發套件層，主要包括搜尋和對話兩種主要生成式 AI需求的開發套件，可以快速在企業內部應用中整合出客製化的生成式應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1146-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>Google的AI開發平臺Vertex AI，更全面轉型為生成式AI開發平臺，以生成式AI應用開發為主打。底層是提供各種LLM模型的模型花園，上一層是AI技術平臺層，第三層是NoCode開發套件層，最上層是Google原有的AI解決方案。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p><span style="font-size:28px;"><strong>推出NoCode生成式AI開發工具和兩大解決套件</strong></span></p> <p>兩大套件背後的NoCode開發工具，也提供了外掛和整合機制，可以整合不同資料來源、第三方廠商提供的外掛，也能將即時資料或企業內部資料，整合到所開發的客製化生成式AI應用中。Google這次改變了產品技術優先的作法，改為強調業務需求（搜尋和對話），從企業需求角度來提供產品。</p> <p>不只改變技術的銷售發布形式，Google也首度以自家最擅長的搜尋產品，作為進軍企業市場的賣點，將下一代生成式搜尋引擎體驗，變成了可以快速整合的功能套件，就是要以企業搜尋需求作為切入點，將自家生成式AI技術和生態圈，帶進企業應用環境中。最上一層，Google也將原有的AI解決方案，例如客服中心AI方案、文件AI方案等，都整合到了這個Vertex AI產品框架中。</p> <p>後發的Google生成式AI藍圖，顯然比微軟的生成式AI技術框架，更完整，也涵蓋了更貼近業務需求的AI解決方案。</p> <p>而在AI運用戰略上，Google則採取了多方並進的作法，以生成式AI助手Duet AI為品牌，推出了開發AI助手、辦公室生產力軟體的AI辦公助手，資料分析平臺的AI分析助手，以及支援Google Cloud的AI維運助手。</p> <p>辦公室AI助手最大特色是，Google以雲端硬碟作為互通基礎，讓Duet AI助手跨不同Workspace產品線的各類資料，來提供整合式的生成內容，例如可要求AI分析財務資料，Duet AI能自動彙整在Gmail信件、雲端文件、雲端試算表服務中的相關財務資訊，自動生成雲端簡報上的一頁財務分析簡報內容。</p> <p>另外，Google也將AI助手帶進GCP兩大資料平臺產品BigQuery和Cloud Spanner ，以Duet AI生成資料管理最通用的SQL語法，以及資料科學家最常用的Python語言，來簡化企業在兩大資料平臺上的分析或資料處理作業。</p> <p>雲端維運AI助手更是Google在AI運用戰略的關鍵。Duet AI可以整合到GCP雲端監控工具中，讓企業管理人員用自然語言方式來監控各項雲端資源狀態，例如CPU使用率、記憶體、網路流量、儲存使用狀況等。而SRE工程師也能要求Duet AI，協助檢測和處理各項雲端服務的問題和異常，甚至提供資源管理優化建議。或是用來分析和解讀各種日誌及事件，提供故障排除建議，分擔維運人員的工作。GCP提供的維運AI助手，正是微軟Copilot產品藍圖所不足的拼圖。</p> <p>不論是在生成式 AI的開發建置工具，或是多種場景的AI應用支援上，Google也同步揭露了整合第三方技術產品、資料平臺業者或是系統整合業者的串連機制或合作模式，來擴大AI生態圈的規模，提高對企業的吸引力，也彌補Google原有產品線的不足。</p> <p>如GitLab與GCP結盟，將Google程式碼生成技術整合到自家開發平臺，來提供DevSecOps不同開發階段的AI助手，像可以協助程式碼審查、撰寫註解、快速產生單元測試程式的AI助手。</p> <p>Thomas Kurian強調，生成式AI帶來了全新的上雲方式，這也是Google三大戰略想要實現的目標，從開發建置、不同場景的運用，以及AI生態圈的布局，來提供企業上雲實現轉型的新途徑。</p> <p><a href="https://www.ithome.com.tw/article/158649" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1146-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=S2OTnthT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/9/8 12:00作者王宏仁https://www.ithome.com.tw/news/158635
【GCP新AI戰略1】不只用生成式AI輔助維運，還能生成SQL查詢降低數據平臺門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年NEXT大會上，Google Cloud開始在雲端產品及服務中整合生成式AI能力，推出了名為Duet AI的生成式AI助理，不只運用在雲端基礎設施維運中，讓使用者可以用自然語言方式監控雲端資源，快速識別和解決異常，還提供故障排除的建議，減輕維運人員的負擔。此外，兩大核心資料產品BigQuery和Cloud Spanner開始提供Duet AI支援，能自動生成SQL查詢，進一步降低開發者與資料分析人員在兩大資料平臺的使用門檻。</p> <p>Duet AI是基於Google的LLM（大型自然語言模型）所開發的生成式AI應用助理，採用了數十億行開源程式碼、安全相關數據及來自Google Cloud檔案文件和程式碼樣本進行模型微調所開發出的Duet AI應用，可以應用在不同雲端產品和服務中。例如用於程式撰寫的Duet AI，就是透過對預訓練的Codey模型微調而得來，此外，還有專用於維運的Duet AI，以及能夠回答產品問題的Duet AI等。</p> <p>Google Cloud雲端應用生態系統總經理Michael Weingartner表示，在Google Cloud服務中開始提供Duet AI，目的是要建構以使用者為中心的雲端生成式AI體驗，協助用戶在雲端服務和產品使用過程中給予有價值的建議和指導，同時強調負責任AI的重要性。</p> <p>在5月Google I/O大會上，Google Cloud首次介紹了雲端服務使用的生成式AI助理Duet AI，並展示其在程式碼撰寫和問答對話的優異表現，不過初期僅開放特定用戶測試，然後幾個月後在Next 大會上，Google Cloud宣布推出了預覽版的Duet A，並計畫在今年稍後推出正式版，同時還將Duet AI整合到更多雲端服務中，可以提供應用開發、雲端維運、數據分析、無程式碼開發及資安相關輔助等功能。</p> <p><strong><span style="font-size:28px;">主打IT維運輔助，能利用生成式AI提供故障排除的建議</span></strong></p> <p>Google Cloud在雲端服務中新增的Duet AI助理功能，又以IT維運輔助為一大重點，簡化雲端礎設施維運和管理。Google Cloud將Duet AI功能開始整合到其雲端監控工具中，除了讓使用者可以用自然語言方式監控雲端資源狀態，包括CPU使用率、記憶體、網路流量、儲存使用狀況等，還能將使用者提問轉變成能蒐集時序資料的PromQL數據查詢語言，快速呈現一段時間內的CPU使用率變化等。</p> <p>不僅如此，使用者還能根據Duet AI提供的建議執行Cloud Shell雲端命令列介面中的操作或命令，方便管理GCP專案和資源。SRE工程師和維運人員也能使用Duet AI協助檢測雲端服務使用和性能，幫助他們快速識別和解決異常問題，從而優化資源管理並確保服務的穩定性和效能。</p> <p>除了雲端服務監控和資源管理之外，Duet AI在日誌管理上能發揮重要作用。例如Duet AI可以蒐集和分析各種IT維運環境內的日誌及事件，並提供相關摘要和解釋，協助維運人員更快理解日誌項目，並對問題內容進行分析。Duet AI還可進一步提供故障排除的建議，協助人員修復錯誤報告中列出的問題，有助於減輕其工作負擔。</p> <p>在資安方面，Google Cloud強調Duet AI可以整合如Mandiant等資安產品提供威脅偵測、網路安全、資料安全以及數位資料主權等多方面的支援能力。</p> <p>Duet AI還具備有GCP產品問答的能力，例如使用者可以通過詢問類似「什麼是…？」或「我該如何…？」的問題，Duet AI就可以根據提問從指定產品文檔中找出答案，然後回覆使用者，甚至處理更複雜的提問，例如「某類產品的最佳實踐為何？」。不過目前僅支援英語提問。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-%E9%9B%B2%E7%AB%AF%E6%9C%8D%E5%8B%99AI-600-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>Google Cloud在雲端服務中新增的Duet AI助理功能，又以IT維運輔助為一大重點，簡化雲端礎設施維運和管理。例如可以透過Duet AI蒐集和分析各種IT維運環境內的日誌及事件，並提供相關摘要和解釋，還可提供故障排除的建議，加快解決問題，有助於減輕維運人員工作負擔。</strong></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Google Cloud</span></span></p> <p><span style="font-size:28px;"><strong>兩大資料平臺開始支援Duet AI，並先運用在資料存取使用</strong></span></p> <p>除了在IT維運管理提供Duet AI支援能力，Google Cloud兩大核心資料產品BigQuery和Cloud Spanner開始整合生成式AI功能。</p> <p>舉例來說，SQL是資料庫中常用的查詢語言，在BigQuery資料倉儲服務中開始能支援生成式AI的SQL查詢功能。使用者只需在該資料倉儲的查詢編輯器中輸入想要執行的查詢操作，就能進行SQL查詢的生成、自動完成和查詢解釋等，不只提高數據分析的效率，數據團隊能更專注在分析和結果上，不必花時間處理查詢和程式撰寫，還能進一步降低BigQuery的使用門檻。</p> <p>不僅如此，資料分析師還能使用Duet AI生成Python腳本程式，以便轉為SQL查詢的指令，存取資料倉儲的資料。</p> <p>在BigQuery服務中的Duet AI還具有輔助分析功能，例如在BigQuery Studio服務中協助完成顧客分類，還能支援生成向量嵌入，以便在BigQuery服務中建立語義搜索和推薦查詢。</p> <p>又如在Cloud Spanner雲端關聯式資料庫中，透過Duet AI，開發人員能以自然語言提問快速生成SQL查詢，同時協助完成查詢編輯器中的SQL變數宣告等。除了Cloud Spanner服務，之後其他兩大雲端資料庫服務AlloyDB和Cloud SQL，將能使用Duet AI存取資料。</p> <p>Google Cloud還將Duet AI整合到雲端BI平臺Looker中，讓企業用戶可以透過對話式資料分析快速生成BI報告、儀表板等分析結果，還能根據報告內容產生簡報草稿、摘要，以及用自然語言來完成表格公式計算並產出視覺圖表等。未來在Looker中的Duet AI還將支援notebook的數據分析功能。</p> <p><span style="font-size:28px;"><strong>未來將加強程式碼檢索和偵錯的支援能力</strong></span></p> <p>在應用程式開發上，Google Cloud提供了程式撰寫輔助的Duet AI，現在已經能應用在多種雲端開發工具中，協助開發人員進行程式碼生成、除錯及測試。這些雲端應用開發工具包括了雲端IDE開發環境Cloud Workstations，還有整合VS Code以及IntelliJ功能的IDE外掛程式Cloud Code，以及線上程式編輯環境Colab Enterprise等，並且可以支援多達22種程式語言的生成，包括Java、PHP、R、SQL、Python、YAML等主流語言。Google Cloud表示，程式碼檢索和偵錯將是未來加強重點。</p> <p>另外，針對無程式碼開發平臺AppSheet，Google Cloud進一步結合Duet AI功能，只需在生成式AI對話框中描述應用開發需求，甚至不需要自己拖拉操作，就能快速建立一支應用程式，更進一步降低開發門檻。未來還將提供應用迭代和優化的建議。</p> <p><a href="https://www.ithome.com.tw/article/158649" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1146-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=S2OTnthT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/9/8 12:00作者余至浩https://www.ithome.com.tw/news/158638
【GCP新AI戰略2】Vertex AI主打生成AI開發，企業AP整合生成式搜尋不用寫程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI紅遍天，如何快速打造、落地生成式AI應用，成為各企業首要任務。Google瞄準這個需求，在8月底的年度Next大會上喊出Build AI和Use AI優先，其中的Build AI，就是指機器學習開發部署平臺Vertex AI大更新。因為，他們正式推出無程式碼生成式AI開發套件Vertex AI Search和Vertex AI Conversation，就算使用者沒有專業知識，也能快速用自家資料打造內部專用、Google生成式搜尋等級的搜尋工具和對話機器人。</p> <p><span style="font-size:28px;"><strong>不用寫程式就能打造Google等級生成式工具</strong></span></p> <p>Vertex AI Search和Conversation並非新面孔。早在今年初，Google就大力發展生成式AI開發產品，在3月推出生成式App開發工具Gen App Builder預覽版，其中的企業搜尋和對話AI套件，就是Vertex AI Search和Conversation的前身。</p> <p>這款Gen App Builder主打無程式碼，使用者只要輸入資料、簡單設定就能打造生成式工具。而且，這款生成式App開發工具使用多款強大的基礎模型，並提供一個簡單的調度層，來結合底層基礎模型、企業資料、資訊檢索技術和對話AI工具，簡化系統溝通。</p> <p>現在，Google將Gen App Builder整合至Vertex AI平臺，發展為Vertex AI Search和Conversation套件，保留了Gen App Builder的特點，也新添不少功能。比如，基礎模型納入了PaLM、Imagen和其他開源模型，可將開發時間縮短為幾分鐘或數小時。而且，套件整合了資訊檢索和基礎模型能力，打造出來的App可更準確解讀問題意圖、找到更相關的資料。此外也支援多模態資料，如文字、圖片和影片，同時，這2款套件也允許開發者將基礎模型產出的答案，與企業資料結合，產出更貼近的回答。</p> <p>以Vertex AI Search為例，企業還能根據使用情境，將大型語言模型結合向量搜尋功能，以向量相似性比對，找出更相近的資料，特別適合語義搜尋、個人化推薦、多模態搜尋等場景。Google形容，用這個套件打造出的生成式工具，就有如自家在今年I/O大會上展示的生成式搜尋體驗（GSE）一樣，將Google等級的搜尋工具在企業內部重現。Google更預告，接下來會推出企業資料存取控制功能，以及相關性評分、摘要和引用出處等功能，來讓使用者對產出的回答更有信心。</p> <p>Vertex AI Conversation則能用來打造擬真自然的文字或語音Chatbot，開發者點擊幾下，就能用網站或文件打造出對話機器人。該套件還能串接第三方服務，如採購或供應系統，讓使用者在對話介面中，直接進行預約、採購等交易。同時，企業也能用網站資料、文件、問答集、Email或對話記錄等資料來微調Chatbot，還能要求後臺產出使用者與Chatbot的互動摘要等數據，來彈性切換AI和真人服務。</p> <p><span style="font-size:28px;"><strong>基礎模型大更新，可消化更長文件</strong></span></p> <p>Vertex AI的更新不只如此。不只針對無ML經驗使用者，提供無程式碼開發工具，Vertex AI對具ML專業知識的開發者，原本就有套完整的工具，涵蓋模型選擇、微調、測試評估、模型維運和隱私保護等開發維運環節，這些工具這次也有大幅更新。</p> <p>首先，Vertex供選用的基礎模型更多了。他們在模型花園（Model Garden）中，新添Google自家PaLM系列語言模型（包含PaLM 2），還有圖片生成模型Imagen、程式碼生成模型Codey，以及產業專用模型如Sec-PaLM、Med-PaLM，並支援第三方模型和開源模型，如Code Llama、Llama 2和Falcon等。特別的是，他們還針對Llama 2添加細緻的微調功能，如調適器（Adapter）和人類回饋強化學習（RLHF）。</p> <p>其中，PaLM模型可消化的Token數量大幅增加，從原本的8千個新增至3萬2千個，等於可讀取和產出文章更長。再來，該系列模型還新增了38種語言。這些功能已正式推出，至於對其他100多種語言的支援功能則為預覽版。</p> <p>就圖片生成模型Imagen而言，這次更新除了讓生成品質更好，還有預覽版的微調功能Style Tuning，企業可用來規範生成圖片的樣式，確保圖片符合企業品牌原則。此外，Vertex AI還納入了實驗性質的浮水印功能SynthID，能針對Imagen產出的圖片嵌入肉眼難見的浮水印。而Codey的更新包括了程式碼生成品質提高25%，還新增2大預覽版功能：Streaming API和Text-to-SQL。前者專門用於程式碼生成和程式碼問答，能串流新資料與模型回答，提供更即時的答案，後者則能將自然語言自動轉為SQL，降低資料庫查詢門檻。</p> <p>這些新添的基礎模型，特別是Google用來驅動自家生成式助理Bard的PaLM 2，讓企業有機會使用與Google同等級的強大模型，來打造內部生成式搜尋和對話工具。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Vertex%20AI-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>Vertex AI是Google建置的機器學習開發部署平臺，他們在8月底的雲端大會上宣布正式推出Vertex AI Search和Conversation套件，使用者不需寫程式，用自家資料和簡單設定就能打造Google級生成式搜尋和對話工具。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／Google）</span></span></p> <p><span style="font-size:28px;"><strong>微調基礎模型、確保模型回答有憑據也有解</strong></span></p> <p>再來，Vertex AI也提供新的微調工具，來優化基礎模型、產出更符合使用情境的答案。基礎模型微調有4種方法，一是不需ML專業技能的提示設計，由使用者直接調整問法，不需程式開發。接著是調適器微調、RLHF和全微調，這些方法按難度遞增。</p> <p>就調適器微調來說，Vertex AI正式新添文字與圖像的調適器（Adapter），對話與程式碼專用的調適器則是預覽版。RLHF也是平臺新增的微調功能，可透過人類回饋來優化模型，但目前屬於預覽版。至於更複雜的全微調，需要專家調整模型權重，適合資料量龐大、有開發人力的企業使用者，這次Vertex AI允許使用者對開源模型（如T5、BERT等）全微調。</p> <p>為確保模型講話有憑有據，Vertex AI這次也新添2大預覽版功能，包括用來規範模型回答的Grounding，以及可串接外部資料庫或服務的Extensions。其中，Grounding可在模型產出初步回答後，根據使用者提供的企業資料，進一步整合模型答案，最終給出符合企業規範或文化的回答。Extensions則讓生成式App以API串接資料庫或服務，來即時整合現實世界數據和反應。</p> <p><span style="font-size:28px;"><strong>模型維運和隱私工具逐步到位</strong></span></p> <p>生成式App如何長期穩定發揮效用，還有賴於模型維運（MLOps）。Vertex AI這次正式發布2大模型評估工具自動指標（Automatic Metrics）和自動挑選器（Automatic SxS），前者可讓使用者選擇指標，來衡量模型表現是否達標，後者則是快速選出表現最好的模型，來讓開發者進行人工評測。</p> <p>一如其他公雲巨頭，Google在這次大會也特別強調，使用者在Vertex AI平臺上產生的資料，都不會被Google收集和用來訓練模型。而且，平臺還提供更完善的隱私保障功能，如資料透明、VPC安全控制等，並提供一系列負責任AI工具，如內容監控API、重複引用檢測、偏見評估工具和安全過濾器等，來確保生成內容。這次更新，凸顯了Google對生成式AI開發的產品布局。</p> <p><a href="https://www.ithome.com.tw/article/158649" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1146-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=S2OTnthT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/9/8 12:00作者王若樸https://www.ithome.com.tw/news/158639