iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 13篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

OpenAI設立Preparedness團隊來評估通用AI的災難性風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/frontier-risk-and-preparedness" target="_blank">OpenAI周四（10/26）宣布</a>，正在建立Preparedness團隊來評估通用AI（Artificial General Intelligence，AGI）可能造成的災難性風險，並交由麻省理工學院（MIT）的可部署機器學習中心主任Aleksander Madry來主導。</p> <p>OpenAI表示，他們相信前沿的AI模型將超越目前最先進的既有模型，只是這些前沿模型不僅具備造福全人類的潛力，也可能帶來嚴重的風險，管理這些潛在的災難性風險必須知道前沿AI系統被濫用時有多危險，也應建立一個強大的框架來監控、評估、預測及防範前沿AI系統的危險能力，以及倘若AI模型的權重遭竊，駭客會如何利用它們？</p> <p>為了最小化這些前沿AI系統可能衍生的風險，OpenAI打造了一個新的Preparedness團隊，借調了MIT可部署機器學習中心主任Aleksander Madry來負責，將針對各種前沿模型來進行能力的評估與紅隊測試，包括OpenAI在不久的將來所開發的模型，以及那些具備AGI能力的模型，以追蹤、預測及防範各類別的災難性風險。</p> <p>相關的風險涵蓋個人化說服、網路安全、化學/生物/放射性/核（CBRN）威脅，以及自主複製與適應（Autonomous Replication and Adaptation，ARA）。其中，個人化說服指的是以AI建立的個人化內容或建議，來影響個人的行為、觀點或決策，以達到操縱或剝削的目的；至於ARA意謂著AI系統具備自我複製與演進能力，使得它脫離人類的控制，或產生非預期的目標。</p> <p>Preparedness團隊的任務也將包括開發及維護風險意識發展政策（Risk-Informed Development Policy，RDP），闡述該團隊所開發的模型能力評估與監控的方法，並建立一個治理架構。</p> <p>OpenAI已開始招募不同背景的人才加入Preparedness團隊，同時推出<a href="https://openai.com/form/preparedness-challenge" target="_blank">AI Preparedness挑戰賽</a>，鼓勵參賽者設想自己是名駭客，在可無限制地存取Whisper、Voice、GPT-4V及DALLE·3等模型時，有哪些可造成災難的獨特使用情境，前10名將可獲得OpenAI所提供的、價值2.5萬美元的API使用額度。</p> </div></div></div>
2023/10/27 16:03作者陳曉莉https://www.ithome.com.tw/news/159527
微軟Power Platform加入Copilot AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續將AI整合進企業應用。本周在企業應用發表大會上，<a href="https://cloudblogs.microsoft.com/powerplatform/2023/10/03/the-ai-revolution-supercharging-low-code-with-the-power-platform-community/" target="_blank">宣布以Copilot AI強化的網站與流程開發平臺Power Platform</a>。</p> <p>這波新功能包含在對Power Platform的2023年release wave 2功能更新中的數百項功能，預定從2023年10月到2024年3月逐步部署到微軟平臺上。其中包含Copilot，讓使用者以自然語言透過內建的Copilot執行想完成的任務。</p> <p>Power Platform方面，Power Pages、Power Apps及Power Automate都整合了Copilot。首先低程式碼開發商務網站SaaS服務Power Pages中，開發人員可用自然語言描述想要建什麼網站，先讓Copilot生成不同版型及主題的網站地圖及首頁後，再利用內建的設計工具點擊、拖曳自行調整修改，也能以簡單字句描述建立多步驟表單。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-Microsoft%20Power%20Platform-Copilot%20in%20Power%20Pages-2.png" style="width: 600px;" /></p> <p>微軟也透過Power Virtual Agents客製化其AI助理。例如除了結構化資料源外，開發人員也可以直接把網站和非結構化內容加入到Copilot控制，大幅提升嵌入式AI助理的能力。由於微軟將Copilot控制整合到Power Virtual Agents的生成式actions，現在每個App都可以加入強大的Copilot。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-Microsoft%20Power%20Platform-Copilot%20in%20Power%20Apps-1.png" style="width: 600px;" /></p> <p>流程自動化工具Power Automate方面，微軟在流程設計工具（flow designer）版本3中加入Copilot，方便用戶以簡單字句建立流程，已有數萬人使用公開測試版，本周正式釋出。微軟表示依據用戶建議，增加更多流程及action的設定參數。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-Microsoft%20Power%20Platform-Copilot%20in%20Power%20Automate.png" style="width: 600px;" /></p> <p>而為了託管網站的治理和管理，Power Platform原本具備管線（pipeline）可自動化網站上的應用程式生命周期管理（ALM），現在微軟結合Copilot，讓IT管理員以這AI助理生成託管網站上所有應用程式的部署說明及描述，確保符合安全政策。它也能預先提供管理建議及action，並可在管理員指示下執行。</p> <p>除了Power Platform外，<a href="https://learn.microsoft.com/en-us/dynamics365/release-plan/2023wave2/" target="_blank">微軟本周並為商務應用Dynamics 365加入新功能</a>，包括以AI提升ERP資源規畫、財務應用及供應鏈應用的規畫準確性。客戶服務及前線服務（Field Service）也強化Copilot功能等。客戶案例包括英國達美樂披薩、紐西蘭Spark電信、Kodak Alaris、及雀巢等。</p> <p><a href="https://www.ithome.com.tw/news/159442" target="_blank">微軟上周也宣布Security Copilot開放早鳥方案給Microsoft 365等付費用戶</a>，將之整合到Microsoft 365 Defender中，讓付費用戶獲得自動化網路威脅分析、情報及行動建議。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/10/27 14:20作者林妍溱https://www.ithome.com.tw/news/159524
BMW無線充電裝置問題造成iPhone 15 NFC晶片無法運作，影響Apple Pay
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果昨日證實，iPhone 15系列受BMW內建的無線充電設備影響，致使Apple Pay等依賴NFC的功能無法運作。蘋果承諾會於之後釋出修補程式。</p> <p><a href="https://www.macrumors.com/2023/10/25/apple-to-fix-iphone-15-bmw-charging-issue/" target="_blank">《MacRumors》</a>引用蘋果一份分享給蘋果授權經銷商的內部備忘錄報導，蘋果公告，「一小部分新款BMW、Toyota Supra車上無線充電器」會暫時關閉iPhone 15及Plus、Pro、Pro Max系列的NFC功能。蘋果說會於今年稍晚釋出軟體更新解決問題。但這份備忘錄並未公布原因。</p> <p>在iPhone中，NFC晶片是支持Apple Pay及數位車鑰運作的基礎，一旦NFC晶片功能無法運作，iPhone用戶會在Wallet App接到「無法設定Apple Pay」的錯誤訊息，即使他們之前已設定好。</p> <p>從<a href="https://www.macrumors.com/2023/10/01/bmw-charging-may-break-iphone-15-nfc-chip/" target="_blank">今年9月間就陸續有BMW車主抱怨</a>在以車內無線充電器為iPhone 15充電後，NFC晶片就無法使用了。他們的iPhone 15會進入螢幕全白的資料尋找模式，等開機後NFC功能就失效了。一些用戶送修後證實NFC晶片掛掉，雖然得以換新，但換新的iPhone 15還是會碰到同樣問題。</p> <p>蘋果對授權經銷商指出，發生問題時，維修人員可以利用Apple Service Toolkit 2的軟體來重啟NFC晶片。若這招行不通，就只能從硬體解決。針對消費者，唯一方法是聯繫蘋果或授權維修商，蘋果呼籲暫停使用車上無線充電器，並承諾會在過些日子釋出軟體更新解決問題。</p> <p>由於蘋果昨日才釋出 iOS 17.1，因此可能要等iOS 17.1.1或iOS 17.1.2才能解決本項問題。</p> </div></div></div>
2023/10/27 15:10作者林妍溱https://www.ithome.com.tw/news/159525
【全新架構處理器將整合NPU，首款筆電12月問世】英特爾揭行動AI處理器新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年以ChatGPT為首的生成式AI應用的出現，掀起了一波新的AI浪潮，甚至進一步跨入企業應用領域，開始與各種生產力工具相結合，例如微軟、GCP兩大生產力平臺業者今年紛紛將生成式AI技術整合到自家生產力產品中，例如微軟在M365中推出專用生成式AI助手Copilot，GCP則在Workspace服務中推出Duet AI，提供企業使用。</p> <p>可是，這類的生成式AI應用，背後使用的基礎模型，通常都是參數量動輒數千億的大模型，不論是Copilot使用的GPT- 3.5或GPT-4模型，還是Duet AI所採用的PaLM 2模型，皆需要依賴龐大運算資源處理，目前僅有少數跨國雲端業者或大型科技公司才有辦法自行建置，不是任何一家企業都能負擔得起。</p> <p>不過，如果參數量沒大模型那麼多的小模型，例如Meta的Llama 2 7b基礎模型，或是Whisper語音轉文字模型，其參數約70億，現在已經有企業或開發者將這些模型部署到性能較強的PC筆電上執行。</p> <p>企業在筆電上執行生成式AI應用的好處，除了考慮到隱私，避免將內部機敏資料上傳到雲端，降低資料外洩的風險，企業也能結合現有的MDM等管理工具，加強對於生成式AI使用的管控，還能讓模型輸出更貼近使用者身處的情境。此外，因為資料不需要傳輸雲端，直接在本地裝置上就能處理，反應能更即時，還能夠支援離線環境中的使用。</p> <p>但更重要的考量是成本。儘管目前生成式AI的模型訓練仍然在雲端中進行，但是將所有推論任務都在雲端執行成本相當高，如果筆電具備有足夠的運算能力，那麼在本地處理這些任務，可以幫助企業有效節省成本。</p> <p>可是，現今的行動PC處理器架構主要針對文書處理、影音娛樂及遊戲需求而非專為AI或生成式AI應用所設計，使得執行這類應用時，通常需要占用大量GPU運算資源，也相當耗電，不只無法持續性的使用，也容易影響到其他應用的使用體驗可能因此變得不夠流暢，而造成應用執行速度變慢，甚至無法使用。這成了在行動PC上實現生成式AI應用所面臨的挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>在9月底舉行的創新日上，英特爾執行長Pat Gelsinger首度公開展示了第一款整合AI加速引擎NPU，代號為Meteor Lake的行動PC處理器Core Ultra（如上圖右），他更明白表示，PC正進到下一個時代，即AI PC時代。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p><span style="font-size:28px;"><strong>英特爾宣告PC正進到下一個時代，即AI PC時代</strong></span></p> <p>為了應對此挑戰，這兩年來，主要的硬體廠開始在行動PC處理器架構中整合名為神經處理單元（Neural Processing Unit,NPU）的AI加速引擎。不同於傳統的CPU或GPU，NPU是專為加速AI應用而設計，能讓處理器以更節能的方式在筆電上執行AI運算任務，以滿足長時間或連續使用的生成式AI應用需求，同時還能確保其工作負載在筆電中順暢地執行，如同執行一般生產力應用，降低對其他應用程式使用的影響。</p> <p>英特爾今年新的AI處理器戰略正是瞄準了企業行動PC的生成式AI應用需求，而發表了首款整合NPU的行動PC處理器，來因應不斷增長的AI應用所需，特別是生成式AI相關應用。這款新處理器中還結合許多新技術，包括採用了Intel 4製程節點、3D高效混合架構，以及Foveros封裝技術的小晶片設計等。</p> <p><span style="font-size:28px;"><strong>蘋果、AMD相繼投入行動PC的AI加速引擎的研發</strong></span></p> <p>在9月底舉行的英特爾創新日開幕演說中，英特爾執行長Pat Gelsinger明白表示：「AI正從根本上重塑科學和許多領域，帶來新的應用、新的體驗、生產力和創造力，更開創了PC的下一個時代，即AI PC時代。」他甚至以「技術創新的重大變革時刻」來形容AI PC帶動的AI應用浪潮，正如同20年前英特爾Centrino行動運算平臺出現，使Wi-Fi進一步普及，建構出如今的無線網路世界。</p> <p>不過，英特爾不是第一家在行動PC中整合NPU的廠商。早在2020年，蘋果新一代Macbook筆電推出時，就已經將一個可針對AI任務進行優化的NPU，稱為Neural Engine，整合到其自行研發的Apple M1晶片中，能提供媲美GPU的AI算力，但更省電。隨後推出的M2晶片，相較於M1在AI處理性能方面高出40%以上，達到15.8 TOPS。甚至在最新的M2 Ultra處理器中，更擁有高達31.6 TOPS的算力，可以處理更複雜的AI或生成式AI應用。</p> <p>以OpenAI的Whisper語音轉文字為例，一段約40分鐘的中文錄音檔使用相同的small模型（參數2.4億）進行轉換時，在M2 MacBook上執行僅需數分鐘以內就能完成轉換，相較之下，若採用Intel Core i5的MacBook則需要長達兩小時才能完成轉換作業。反映出結合NPU設計的蘋果行動PC處理器，在處理生成式AI工作負載的性能，比一般x86處理器表現更好。</p> <p>除了蘋果在自己的Arm處理器中整合NPU晶片之外，另一家x86處理器大廠AMD在今年上半同樣發表了第一款整合NPU的Ryzen 7040系列處理器。在這款處理器中，他們採用XDNA加速器技術，將NPU整合到單一處理器中，可以提供10 TOPS的AI算力，可用於語音辨識、影像處理等推論任務。</p> <p>今年9月，英特爾正式宣布將搶攻行動PC的生成式AI應用市場，發布了一款代號為Meteor Lake的行動PC處理器Core Ultra，這款處理器不僅兼具低功耗和高效能的特性，還是首款內建NPU可加速AI推論的AI應用處理器，同時也是英特爾首款主打AI PC體驗的處理器產品。</p> <p>Pat Gelsinger直言，AI PC將會從根本上改變個人電腦的使用體驗，「隨著這款處理器的推出，個人電腦正式進到AI PC的時代。」他說。從Pat Gelsinger在會中說的這番話，也揭露了英特爾未來行動PC處理器的AI戰略，將聚焦行動PC上的AI應用，甚至要讓AI變成未來PC上的主流應用之一。</p> <p>在英特爾負責加速運算系統與繪圖的英特爾AXG事業群總經理Deepak Patil指出，過去英特爾處理器在行動PC的AI應用方面，主要集中在增強影音串流、協作、音效處理、內容及遊戲特效等領域，而新推出的行動PC處理器，將能把AI擴展到更多應用領域、整合更多生產力工具、內容創作應用，以及更多的AI語音助手功能。</p> <p>不過，英特爾只靠這款處理器還不夠，微軟的Windows也要必須提供支援，才能真正實現AI PC的應用。</p> <p><span style="font-size:28px;"><strong>微軟新作業系統將與行動PC的AI硬體緊密結合</strong></span></p> <p>早在2018年，微軟在新推出的Windows 10作業系統中就已內建Windows ML功能，不僅讓開發者更容易在Windows應用程式中開發ML的應用，同時也提供英特爾視覺處理單元VPU （NPU的前身）的硬體支援，優化ML工作負載。</p> <p>微軟最近在Windows 11推出時，也特別強化了對於這款新的行動PC處理器的支援，未來在Windows 11筆電中可以利用NPU加速，提高其生成式AI助手Copilot的性能，特別是在內容生成和問題回答處理等方面，可以提供更好的處理效率和回應速度，從而提升用戶體驗。微軟更預告，下一代Windows版本將與英特爾處理器更緊密整合。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>英特爾現場展示了搭載Core Ultra新處理器在行動PC上的AI應用，例如在筆電的音訊編輯軟體中，利用AI生成類似美國樂壇天后泰勒絲（Taylor Swift）風格的歌曲。此外，還展示了在下一代Lunar Lake處理器平臺上執行Stable Diffusion模型的圖片生成功能。英特爾強調，這些AI應用都能夠在離線環境的PC上使用。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">根據英特爾的內部測試，執行Stable Diffusion的圖像生成任務時，如果在處理器中使用NPU，無論在反應時間上和功耗方面都優於不使用的情況。例如，當完全使用CPU處理任務時，需要花費43.3秒，功耗達40瓦，然而，如果採用NPU處理，僅用原先不到一半時間，20.7秒就能完成，功耗降低75%，只需10瓦，也優於GPU的37瓦，整體效率提升了7.8倍。若將NPU與 GPU結合使用，將能進一步縮短處理時間，僅需11.3秒。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p><span style="font-size:28px;"><strong>借助NPU，用筆電進行圖像生成速度比通用CPU更快更省電</strong></span></p> <p>英特爾表示，這款全新架構的處理器同時將CPU、GPU、NPU整合到單一的SOC系統單晶片中，未來將分別負責處理不同類型的AI任務。例如，在執行低延遲的AI應用，需要處理輕量且單一模型的推論，因為不需要複雜運算和記憶體容量，這些任務就會由CPU來執行，若是需要大量平行運算和高吞吐量處理的AI任務，就會使用GPU。至於需要持續處理的AI任務，例如圖片生成等，就能使用低功耗的NPU來完成。</p> <p>英特爾強調，借助NPU的加速AI推論功能，將使企業可以透過行動PC在本地處理小模型的生成式AI應用，同時能夠與雲端大模型進行彼此協作。例如當用戶在筆電裝置上輸入一段提示文字或上傳一張照片來進行生成時，對機敏性較高或者是低延遲的任務，將會在筆電的模型上進行推論。而對於需要更高精度輸出結果或需處理分布在全球大量資料的任務，仍可透過雲端模型執行。</p> <p>根據英特爾的內部測試，在執行Stable Diffusion的圖像生成任務時，當使用NPU時，無論是在處理時間，還是功耗方面表現都優於不使用的情況，整體效率更提升了7.8倍。</p> <p>英特爾現場也實際展示了搭載Core Ultra處理器的AI PC筆電在生成式AI相關應用，例如在筆電的音訊編輯軟體中，利用AI自動生成類似美國樂壇天后泰勒絲（Taylor Swift）風格的歌曲，此外，還展示了在下一代Lunar Lake處理器平臺上執行Stable diffusion模型的圖片生成功能。英特爾強調，這些AI應用都能夠在離線環境的行動PC平臺使用。</p> <p>英特爾這款新處理器預計將在12月14日正式推出，首批搭載該處理器的AI PC筆電的廠商，包括了宏碁等。</p> <p>宏碁在現場展示用Core Ultra處理器的筆電執行圖像生成模型，可以在螢幕桌面中快速生成動態立體的太空人桌布。此外，宏碁還釋出Acer Parallax View工具，讓使用者可以自行在筆電中為圖像增加各種動作的效果，或是利用筆電前置鏡頭來追蹤使用者的臉部輪廓，建立自己的3D人臉。</p> <p>除了即將推出的Core Ultra處理器之外，英特爾公開未來幾年AI PC處理器平臺的藍圖，提前透露了Meteor Lake下一代處理器的代號是Arrow Lake，將使用Intel 20A先進製程技術。此外，還有兩款新產品，代號為Lunar Lake和Panther Lake處理器，預計將在2025年之前推出。這兩款產品皆採用Intel的18A製程。</p> <p>從英特爾最新提出對於可擴充及簡化AI基礎架構的分類，也能夠反映出不同型態的處理器能夠支援處理的推論模型參數的規模。</p> <p>以英特爾AI PC筆電為例，目前主要適合處理參數小於10億的小模型的推論任務，如Whisper語音轉文字模型。如果參數超過10億的話，就可能需要使用一整臺單路x86伺服器進行處理（模型參數介於10到200億之間）。當參數量達到1,000億時，則需使用配備更多GPU或CPU的伺服器處理，這也是目前主流AI基礎架構。當模型參數超過1,000億時，則需配置機架式伺服機櫃建立多節點運算叢集，甚至用於訓練最新型的大模型時，如LLM，需要建置資料中心規模等級的運算叢集。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-4-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">英特爾公開未來幾年AI PC處理器平臺的藍圖，提前透露了Meteor Lake下一代行動PC處理器的代號是Arrow Lake，將使用Intel 20A先進製程技術。此外，還有兩款新產品，代號為Lunar Lake和Panther Lake，預計在2025年之前推出。這兩款產品將採用Intel的18A製程。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-5-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#3399ff;">從英特爾對於可擴充及簡化AI基礎架構的分類，也能夠反映出不同型態處理器能夠支援處理的推論模型參數的規模。以英特爾AI PC筆電為例，目前主要適合處理參數小於10億的小模型的推論，如果參數超過10億的話，就可能需要使用一整臺單路x86伺服器處理，當參數量達到1,000億時，通常需要使用多GPU或多CPU的伺服器來處理，也是目前模型推論和微調的主流的AI基礎架構。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p><span style="font-size:28px;"><strong>目標2025年在1億臺個人電腦實現AI應用</strong></span></p> <p>英特爾不只是推出AI加速硬體，還要進一步結合各種行動PC上的應用，發展和擴大AI PC的生態系。</p> <p>為了打造行動PC的AI生態系，英特爾最新發布了一項AI PC的加速計畫，希望透過這項計畫加速AI在整體PC產業的發展，目標2025年在超過1億臺個人電腦上實現AI應用。</p> <p>為了達成這個目標，英特爾還與100多家軟體供應商緊密合作，要共同開發300多項AI加速功能，來提升PC上的AI體驗，涵蓋軟體開發、影像處理、視訊會議、協作、串流遊戲及安全等。首批的合作夥伴包括Adobe、Audacity、BlackMagic、BufferZone、CyberLink、DeepRender、MAGIX、Rewind AI、Skylum、Topaz、VideoCom、Webex、Wondershare Filmora、XSplit及Zoom等業者。</p> <p>在軟體工具支援方面，英特爾這次並沒推出新工具，而是在現有軟體工具基礎上，加強對生成式AI應用的支援，涵蓋模型的訓練、微調、部署與推論等不同階段。例如在新釋出的深度學習應用工具套件OpenVINO 2023.1版中，開始支援臉書Meta的Llama 2等基礎模型的優化功能，來支援雲端和地端的AI模型推論及部署。此外，OpenVINO平臺正式支援Arm硬體，意味著開發者以後更容易開發跨行動PC平臺的AI應用，如高通AI PC筆電等。</p> <p>另外，英特爾目前也正在和Hugging Face合作共同打造支援生成式AI模型推論的軟體加速器，包含提供最佳化AI軟體工具、框架和函式庫等。</p> <p><a href="https://www.ithome.com.tw/article/159522" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1153-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=ojilgN8S" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/10/27 12:00作者余至浩https://www.ithome.com.tw/news/159452
剖析英特爾Core Ultra處理器關鍵特色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾在新款Core Ultra處理器晶片中，不只內建CPU、GPU，還整合了一個可用於推論加速的AI引擎NPU，來提高這款處理器對於生成式AI的處理能力，還採用了許多創新的設計方式，提升其性能和降低功耗。</p> <p>在Core Ultra處理器所內建的這個NPU神經處理單元的前身，來自英特爾旗下Movidius公司所設計的視覺運算單元（VPU），英特爾將其整合到Core Ultra處理器中，並以NPU為名，以提高行動PC的AI推論處理能力。在9月舉辦的年度創新日上，英特爾也首度揭露關於這個NPU更多技術細節和架構。</p> <p><span style="font-size:28px;"><strong>新處理器內建NPU，在AI加速推論和節電表現優於CPU，功耗也遠低於GPU</strong></span></p> <p>英特爾表示，內建NPU的Core Ultrae處理器，能夠以更省電方式提供低功耗的AI推論能力，相較於前一代處理器，當執行AI工作負載時，可以獲得高達8倍功耗效率的改進，特別適用於處理需要持續性的AI應用或AI卸載任務。</p> <p>儘管目前英特爾尚未公布這顆NPU的確切AI算力，但從英特爾公布的測試數據，能夠一窺這個NPU在AI任務方面的表現。</p> <p>根據英特爾的內部測試，在使用Core Ultra筆電處理Stable Diffusion圖像生成模型推論，進行20次迭代的圖像生成任務時，分別在CPU、GPU、NPU執行，結果顯示不論在處理時間或功耗方面，NPU的表現都優於CPU，甚至功耗也遠低於GPU。例如NPU上執行所有任務需要20.7秒，僅是CPU處理時間的不到一半，同時功耗更降低了75%，只有10瓦，大大提高了能源效率，甚至優於37瓦的GPU，整體效率更提升了7.8倍。若將NPU與GPU結合使用，處理時間還能進一步縮短，僅需11.3秒。</p> <p>實際處理AI任務時，英特爾表示，NPU除了將與CPU、GPU協同合作，以加速AI工作負載，還能根據任務的類型來分配適合的硬體資源處理，滿足不同應用場景的需求。例如對於執行低延遲的AI應用，需要處理輕量且單一模型的推論任務時，因為不需要複雜運算和大量記憶體，這些任務將由CPU來執行。若是需要大量平行運算和高吞吐量處理的AI任務，就會使用GPU處理。至於需要持續處理的AI任務，例如圖片生成等，可以利用低功耗的NPU來完成。藉由這種協同工作的方式，在不同AI任務之間達到效能和能耗最佳化。</p> <p><span style="font-size:28px;"><strong>翻新行動PC處理器架構，採用模組化、多晶磚設計</strong></span></p> <p>相較過往的行動PC處理器，Core Ultra處理器採用了許多創新的設計方式，例如這款處理器採用了新的系統單晶片（SOC）架構，也就是模組化、多晶磚（Tile）架構，由SOC、運算、繪圖、I/O等多個晶磚組合而成，同時將不同功能的CPU、GPU、NPU整合到單一的SoC晶片中。此外，還能透過一組頻寬高達128GB/s的Scalable Fabric高速通道與內部各元件，包括NPU、繪圖、影像和媒體元件及I/O晶磚等進行連接，藉此縮短資料交換的時間。</p> <p>Core Ultra處理器採用Intel 4 製程（相當於台積7奈米製程），並且使用了效能核心（P-core）和效率核心（E-core）的效能混合架構來設計CPU，最高配置可達14核心（6個P-core和8個E-core），兼具有高效能和省電的特性。此外，還改善核心排程方式，達到更高CPU利用率。還搭配性能更強的GPU，每瓦的效能比前一代Iris Xe GPU高出2倍。</p> <p>在這系列處理器中，還採用了Foveros先進封裝技術，透過3D堆疊，實現不同功能的晶片堆疊，不論是晶片連接密度、能源效率和傳輸速度都大幅提升不少。</p> <p><span style="font-size:28px;"><strong>電源管理採用模組及彈性架構，實現能源使用效率優化</strong></span></p> <p>在電力管理上，英特爾在這款處理器中建立了模組化和可擴展的 PM 電源管理架構，可提高頻寬和能源效率。在I/O介面設計上，英特爾採用新做法，取代過去僅靠中央的Ring Fabric通道進行資料交換的做法，改直接透過SOC內的SOC Fabric通道來與記憶體控制器、媒體等不同元件連接，讓資料傳輸過程減少壅塞的情況。此外，也支援了最新PCIe 5.0與 Thunderbolt 4 。</p> <p>Core Ultra處理器將在12月14日推出，宏碁將率先推出該處理器的行動PC。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>英特爾CEO：不只行動PC，未來伺服器CPU設計得有新變革，因應生成式AI應用需求</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0box%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E8%8B%B1%E7%89%B9%E7%88%BE%20-%E5%9C%961%20-%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影_余至浩</span></span></p> <p>生成式AI在今年掀起一股新的AI風潮，不少大型雲端業者、科技公司都在今年大規模部署GPU伺服器，用來訓練自己的LLM模型，然而，現今的晶片設計主要是針對雲端運算需求而非專門為LLM模型訓練而設計，這導致LLM模型的訓練成本非常龐大。以OpenAI的GPT-3模型為例，該模型擁有1,750億個參數，需要龐大算力，訓練成本高達165萬美元。使用GPT-3開發的ChatGPT在推論方面的成本更高，每月燒掉4千萬美元。這不僅大大增加了企業成本，對地球資源、環境永續性也可能產生影響。</p> <p>在9月英特爾創新日會後一場記者會上，英特爾執行長Pat Gelsinger明白表示，未來伺服器晶片發展需要新變革，來因應生成式AI的應用需求，整合更多先進技術，包括先進電晶體技術、先進封裝技術、先進通訊及先進記憶體技術等。尤其，他特別點出，現今的晶片封裝技術是阻礙AI發展的一大瓶頸，得加以解決。</p> <p>經過一段時間的研發，英特爾近日發表可用於下一代先進封裝的玻璃基板，與傳統的基板相比，這種新型基板可以大幅提升半導體封裝的電晶體數量，而且具備有省電和更好的散熱特性，可用於封裝生成式AI晶片。這項技術最快3年後開始量產。</p> <p>又以先進記憶體技術為例，英特爾開始支援MCR DIMM規格的記憶體，如明年將推出的Granite Rapids處理器，就已導入這項技術，藉以增加伺服器平臺的記憶體頻寬，以滿足資料密集型的的工作負載，如LLM模型參數訓練所需的記憶體。在矽(silicon)架構上，英特爾引進3D矽堆疊設計，以提供更高的處理效能，來滿足LLM模型的運算需求。近年來，許多企業應用程式中都開始結合AI功能，這也使處理器中提供AI支援能力變得越來越重要，Pat Gelsinger表示，這是英特爾決定要建構AI產品線的原因，除了將AI技術帶進行動PC之外，英特爾還有兩大人工智慧產品，分別是Xeon可擴展處理器和AI訓練加速器Gaudi。</p> <p>英特爾在第4代Xeon可擴展處理器中開始內建了AMX進階矩陣延伸功能，使得它能夠針對在CPU上執行的AI算法進行加速，尤其在處理大型語言模型等工作負載時，搭配Xeon Max系列可提供高達20倍的加速效能。英特爾明年還將有一款主打高效能的Granite Rapids伺服器處理器將推出，將進一步提升其AI處理效能。</p> <p>針對AI模型訓練，英特爾則是推出了AI訓練加速器Gaudi，目前已發展到了第二代產品，搭載更多張量處理器核心與HBM。根據測試結果，在執行多模態的BridgeTower模型的性能表現上，Gaudi2效能表現優於去年發表的Nvidia H100 GPU，有高達1.4倍。此外，下一代Gaudi3很快將在明年推出，甚至還有一款支援雙精度浮點運算（FP64）的Falcon Shores GPU未來將問世。</p> <p><a href="https://www.ithome.com.tw/article/159522" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1153-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=ojilgN8S" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/10/27 12:00作者余至浩https://www.ithome.com.tw/news/159485
兩校合一加速資訊系統汰換，陽明交大以遠距實現跨校區學習
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內以醫學為主的陽明大學和以理工著稱的交通大學在2021年2月1日正式合併，全新的「國立陽明交通大學」（簡稱陽明交大或陽交大）8個金字在陽明交大光復校區校門口亮相，陽明交大在5個縣市共有9個校區，約有2萬名學生，透過合併擴大教學研究領域，培育醫學與資工跨領域人才。</p> <p>然而，過去各自教學研究領域不同，導致校風、文化迥異，合校至今不滿3年，推動校內資訊基礎建設、資訊系統發展的陽明交通大學資訊技術服務中心主任施仁忠直言，內部仍處於磨合期。</p> <p>施仁忠自清華大學取得資訊工程博士班畢業後，在當時國內缺乏資訊工程人才，政府鼓勵資訊教育培養人才，因此他在入伍前，先進入交通大學資訊科學系擔任副教授，僅教授一個學期便入伍服役，當時不少資工人在高薪下選擇赴海外工作，他選擇留在交大，投入培育國內資工人才，擔任資訊科學系教授的他，曾兼任交大計算機中心副主任，毛治國出任交通部長，他被借調至交通部擔任科技顧問室主任兼資訊中心主任，借調期滿之前回歸交大任教。</p> <p>陽明與交通大學合併，由於資訊技術服務中心位於北投及光復校區，為了推動跨校區的資訊業務發展，他每周兩次北上台北的北投校區，施仁忠認為合校之後的最大挑戰是文化上的差異，「文化影響行政業務上的執行，同一個業務，在兩個學校的執行上是不一樣的」，施仁忠說。</p> <p>例如對學校行政業務上相當重要的校務系統，這些校務系統包括人事、主計、研究等等，在合校之前，陽明大學、交通大學各有行之有年的校務系統，為了及早為合校準備，兩個學校在2020年下半年各自校務會議通過合校之後，陽明與交大的資訊單位就開始討論如何整合這些系統。</p> <p><span style="font-size:28px;"><strong>資訊系統整合仍在磨合期</strong></span></p> <p>然而，從校務會議到隔年2月正式合校，時間相當短，加上各單位長年使用這些系統，行政人員已養成使用習慣，要他們使用陌生的系統會引發排斥，對陽明交大資訊技術服務中心而言，兩校合併後的資訊系統整合是一大挑戰，需要時間做好溝通。</p> <p>在完成資訊系統整合之前的過渡階段，依照不同校務系統及使用需求，一部分業務可能先使用原本陽明大學系統，另一部分則使用交大的系統，或是選擇打掉重練開發新系統，以及根據兩校相關單位意見來修改既有系統，讓雙方都能接受。</p> <p>以教務系統為例，教務系統因為牽涉到學生資料，合校後必需將兩個學校的學生資料整合，考慮到交大的教務系統相對比較完整，因此他們選擇採用交大的教務系統，並將陽明的學生資料轉換過來，必需讓原本陽明大學教務單位熟悉使用這套系統。</p> <p>然而，現有的教務系統已使用十多年，當初系所課程設計比較單純，並且採用舊工具開發，到現在已變得難以跟上彈性、多變的課程設計需要，例如跨學系修課，學士學位學程，或是大一、大二不分系等等，現代大學教育在課程設計或學生選課上變得更為彈性，舊的教務系統已很難跟上現代的需要，最終目標還是以開發新的教務系統，以滿足愈來愈彈性、依照學生個人興趣設計的課程需要。</p> <p>另一個在校務運作的核心系統則是人事系統，牽涉到教職人員，但是因為兩校的人事事務差異相當大，因此決定針對需求開發新的人事系統，兩校的人事室單位共同討論每個業務的程序如何做。</p> <p>施仁忠表示，系統整合方面遭遇的最大挑戰來自人，技術問題反而是其次，必需克服原本同仁的使用習慣，其次是必需克服兩邊單位的本位思維，原本兩校各自有人事單位，各自的人事系統行之有年，認為各自的做法才是正確的，現在要開發新的人事系統，必需先確立一致的需求，兩方的人事單位意見分歧，即使是細微的事情，都需要花費相當多時間去討論，將意見慢慢收斂、形成共識，才能確立需求規格開發新的人事系統。</p> <p>為了克服人事業務上分歧的意見、形成共識，他們每周開會2次，每次會議至少2小時，每周至少4個小時會議時間，討論人事系統的需求規格，「即使合校已超過2年，現在仍處於嬰兒時期，系統整合的討論仍在進行」，施仁忠說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E9%99%BD%E4%BA%A4%E5%A4%A7-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89-600.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>陽明交大資訊技術服務中心主任施仁忠表示，資訊單位在校內扮演工具的角色，協助處理校務行政各方面的需求，並建立好的網路環境，以服務教學及研究的需要。</strong></span></span>　<span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>強化資訊安全</strong></span></p> <p>除了來自合校的內部系統整合需求，這幾年政府高度重視資安，主管機關教育部也嚴格要求之下，陽明交大身為第二級機關，面臨不小的資安壓力，需遵守對應的資安要求。</p> <p>施仁忠表示，兩校合併，不僅僅要從功能面考慮系統是否符合現在的需求，也應從資安的角度，審視早期開發的舊系統資安風險高低，因早期開發的資訊系統，到現在可能存在不少的資安漏洞，需更新修補維護，透過此次合校的機會，重新審視各個資訊系統的資安風險，最理想的方式是納入資安設計重新開發新系統，但是在人力、經費、時間有限之下，先針對比較重要的核心資通訊系統定出優先排序，排序較低的舊系統仍以修補漏洞強化資安。「這是我們現在面臨的問題，這些都需要人力，都是蠻大的負擔」，他說。</p> <p>先前提到的人事系統就是陽明交大成立後，優先排序開發的核心資通訊系統之一，其他還有主計系統，施仁忠表示，涉及人（個資）和錢（資金）的系統屬於校內的核心資通訊系統，長遠的理想目標是重新開發系統，將資安、功能各方面需求納入設計。</p> <p>依照國內資安法規，大學被列為第二級資安機關，然而，相較於政府機關嚴格要求，對大學的資安要求卻相對寬鬆，此外，大學、研究所為高等教育環境，每位教授都有高學歷，個人意識較高，也增加大學推動資安規定的難度。</p> <p>這幾年臺灣遭到對岸網路攻擊增加，大學也成為被攻擊的對象之一，政府高度重視資安下，數位部成立資安署，各部會包含教育部提高對下級機關符合資安等級的要求，使得大學的資安要求受到重視。</p> <p>例如政府規定公務機關或公家單位人員，每年都必需接受至少3小時的資安教育課程，施仁忠直言，這項政策以前在校內推動效果並不好，接受資安課程的比例不到一半，在他接掌資訊技術服務中心後，以過去在交通部嚴格推動資安的經驗，為了提高陽明交大校內接受資安課程的比例，他先從行政單位著手，再擴大到教學研究單位，以學院為單位，一級一級向下推動到各個系統，每周都會統計各學院上課時數達標的比例，公布尚未達到資安課程規定時數的比例，帶動學院間的競爭意識，加強推動資安課程時數的做法也獲得高層重視，固定舉行的一級主管會議公布各學院推動成果，校長敦促各學院落實。</p> <p>由於行政人員、教職人員平時繁忙，為了方便他們接受資安課程，資訊技術服務中心蒐集專門以公務機關人員為主的資安課程影片，例如社交工程攻擊、DDoS等單位的影片，將這些影片放置於入口網，讓行政或教職人員隨時隨地可通過手機下載，在工作空檔觀看影片。透過這些方式，行政單位的資安課程時數達標比例已有百分之百，教學研究單位除了少數學院比例僅過半之外，平均而言全校已超過90%。</p> <p><span style="font-size:28px;"><strong>提升資通訊基礎建設，以遠距教學克服跨校區學習問題</strong></span></p> <p>除了資訊系統整合，校區的資訊基礎建設也需要改善，尤其是北投校區，過去該校區因為以醫學、生醫領域為主，對資通訊不是那麼熟悉，加上對網路品質的要求僅是能用就好，北投校區的校園網路品質遠遠落後其8個校區，加上網路設備老舊。</p> <p>因此，陽明交大投入數千萬元整個翻新北投校區的網路架構及設備，以學生相當重視的宿舍網路為例，原先北投校區宿舍網路只有200至300Mbps，現在一舉提高到1Gbps，一個房間4個床位提供4個網路插孔，每個孔提供獨立1Gbps，讓北投校區的網路服務水準和其他校區對齊。</p> <p>至於校內無線網路方面，即使學生早上在新竹光復校區內使用Wi-Fi，連接至校內無線網路服務NYCU，下午移動到北投校區，不需調整連網設定，電腦打開就能自動連接無線網路NYCU。施仁忠表示，陽明交大統一9個校區的校內無線網路服務，讓教職員、學生不論在哪個校區，都能使用相同的校內無線網路環境。</p> <p>校方為培養跨領域人才，學校建立跨領域的學程，鼓勵學生在醫學生醫、理工資訊的跨領域學習，舉例來說，陽明交大資工系就和牙醫、醫學、護理三個系合作設立跨領域學程，另外，醫學系內也設有醫師工程組，除了原本學習醫學領域的知識，也會接受資訊工程相關課程，資工的知識應用在醫學領域，對學生未來在醫學領域，應用數據分析、AI有更大的發展及助益。</p> <p>然而，跨領域的學習對一般大學可能不是太大的問題，但對於有9個校區的陽明交大而言，跨校區學習就是必需解決的問題，例如生醫、資工的跨領域學習，課程可能分散在台北北投及新竹光復校區，儘管學校提供交通車，讓老師與學生搭乘，但往返北投校區和光復校區上課，兩地移動需要花費不少時間，為了克服跨校區上課的地理距離限制，除了利用課程規畫安排、提供學生住宿減輕跨校區學習的辛苦，在COVID-19疫情期間用於克服老師與學生無法到校上課的遠距教學，即使在疫情過後回歸實體課程的現在，遠距教學仍然受到校方重視。</p> <p>為此校方打造遠距教學教室，除了可利用遠距教學教室的設備，讓老師能提高遠距教學上課品質，老師也可以選擇自己熟悉的視訊會議軟體，和學生進行線上教學，除了現場遠距教學，也可將上課內容錄製為影片檔，在學校的網路資源分享平臺開放檔案下載，讓不便到實體課堂上課，或是人在國外的外籍學生也能觀看。</p> <p>「資訊單位在校內扮演工具的角色，協助處理校務行政各方面的需求，並建立好的網路環境，以服務教學及研究的需要」，施仁忠說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>陽明交大資訊技術服務中心主任施仁忠</strong></p> <p>學歷：清華大學資訊工程博士</p> <p>經歷：入伍前先在交大資訊科學系擔任副教授，退伍後仍於交大任教，升任教授，曾任系主任、計算機中心副主任，2009年借調至交通部，擔任科技顧問室主任兼資訊中心主任，期滿前回到交大，2021年擔任陽明交大資訊學院副院長，去年8月接任資訊技術服務中心主任</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>國立陽明交通大學</strong></p> <p>地址：新竹市大學路1001號</p> <p>成立時間：2021年2月1日合校</p> <p>主要業務：教學研究</p> <p>校長：林奇宏</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：陽明交通大學資訊技術服務中心主任</p> <p>資訊部門主管姓名：施仁忠</p> <p>資訊部門人數：約65人</p> <p>IT預算：約3,000至4,000萬元</p> <p>資訊部門分工：技術發展組、校務資訊組、網路系統組、諮詢服務組</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2020年：陽明、交通大學兩校校務會議通過合校決議。兩校資訊單位為合校作準備</p> <p>2021年：兩校正式合併為陽明交通大學，翻新北投校區網路架構及設備，提高北投校區網路服務水準</p> <p>2021年：合校後兩校原本的校務研究單位合併為校務大數據研究中心，蒐集校務資訊提供校方決策，大數據研究中心推出校園小幫手，結合Line提供校內生活資訊</p> <p>2023年：資訊技術服務中心線上諮詢服務導入ChatGPT，提供24小時線上資訊技術諮詢服務，正確回答準確率達95%</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wen_bin_-yang_jiao_da_-tu_1-she_ying_-hong_zheng_wei_-960.jpg" width="960" height="420" alt="" title="陽明交大資訊技術服務中心主任施仁忠　（攝影／洪政偉）" /></div></div></div>
2023/10/27 12:00作者蘇文彬https://www.ithome.com.tw/people/159486
行動PC的AI時代來了!
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1153-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=ojilgN8S" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果3年前推出內建AI加速的行動PC，今年，兩大x86處理器大廠相繼推出專用NPU，來加速AI技術落地PC。英特爾更宣布，AI PC是處理器的新戰略方向，要讓任何軟體都能更快更容易使用生成式AI，未來還要打造AI PC應用生態系</p> </div></div></div>
2023/10/27 12:49作者余至浩https://www.ithome.com.tw/article/159522
打通AI生產力最後一哩
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提高員工生產力是生成式AI目前最受到關注的應用場景，尤其兩大生產力套件巨頭，微軟和Google，紛紛在新一代生產力產品中，加入了生成式AI助手，不論是Microsoft 365中的Copilot，或是Workspace的Duet AI，都大大改變了我們原本辦公日常的作業方式。</p> <p>可是，當你使用ChatGPT時，是用手機？平板？筆電？還是桌機呢？我想大多數人的答案不是筆電，就是桌機，尤其要用ChatGPT來輔助複雜的文書處理時，或者像我這一陣子，常一邊打開試算表操作問卷調查數據分析，也同時在文書處理工具上撰寫分析文章。單靠手機或平板，多半無法更有效率的進行不同的編輯操作，或在不同軟體、文件之間切換操作的過程，這個辦公處理最常見的應用場景，還是需要能用鍵盤操作的筆電或桌機。這兩類裝置仍舊是一般員工日常辦公的主要生產力設備。</p> <p>可是，目前不論是ChatGPT、Copilot、Duet AI這類生成式AI都是SaaS形式提供的服務，仍舊需要連上網路才能使用。必須透過雲端提供的其中原因是，高達數千億個參數的生成式AI模型，就算只是運用現成模型來生成，仍需要大量算力才能順利完成。</p> <p>你若像我常在一般筆電上執行OpenAI的語音轉文字模型Whisper，若選擇了15億參數量的Large版本，半小時採訪錄音還是得跑上幾個小時才能完成，更不用說動輒上百、上千億的模型，幾乎得花上一天才能得到一次生成的結果。</p> <p>可是，不見得隨時都能夠擁有穩定的網路，在飛機上，作業工廠中，大樓地下室或是偏遠地區，網路不見得穩定、持續，就連SaaS模式的Workspace，都提供了離線運作的版本，讓你可以在斷網情況下，繼續使用Gmail、文件編輯等。可是，目前在斷網情況下，還能繼續使用Copilot、Duet AI嗎？答案是還不行。這個用來協助提高員工生產力的AI助手，仍有一項關鍵的缺點，就是怕斷網。這個用AI強化生產力的最後一哩，遲遲沒有普遍性的通用解法，直到最近。</p> <p>英特爾今年要推出一款內建了AI加速晶片模組NPU的行動處理器，可以用來打造出內建AI加速功能的筆電，英特爾以AI PC來形容，來強調這將是一種全新的筆電類型。英特爾不是第一家在CPU內建AI加速晶片的處理器業者，早在2020年，蘋果就在MacBook筆電中，採用了自行研發的Apple M1晶片，當時就開始內建了AI任務優化的NPU，類似於GPU，可以提供比GPU更省電的AI算力，目前最新款的M2 Ultra，已經可以提供到31.6 TOPS的算力，是M1的2倍多，可以處理更複雜的AI或生成式AI應用。</p> <p>x86平臺的處理器則要等到今年，2023年AMD先在6月發表了首款整合NPU的Ryzen 7040系列處理器，同樣將NPU整合到單一處理器中，來加速AI運算效能，可以提供到10 TOPS的算力，可以用於處理語音辨識、影像處理等推論任務。</p> <p>英特爾即將上市的Core Ultra處理器，同樣強調可以以更省電的方式，來提供低功耗的AI推論能力，根據英特爾的數據，執行同樣的AI任務，相較於前一代處理器，內建NPU的新款處理器可以提供高達8倍功耗效率的改進，可以用來處理需要持續性的AI應用或AI卸載任務。</p> <p>英特爾展示了一個讓人驚艷的內部測試成果，用熱門的Stable Diffusion來執行同一個圖像生成任務時，單用CPU，需要43.3秒才能產生一張圖，若改用NPU處理則只需要20.7秒，而且功耗也降低75%，若將NPU與GPU配合，處理時間還能夠進一步縮短到11.3秒。10秒一張圖，可以不用明顯地等待算圖，就能拿到一張新圖，在操作過程中，將等待算圖對辦公作業的干擾，甚至是打斷情況，減少到最低。</p> <p>隨著英特爾內建NPU的新款處理器的出現，這也意味著，筆電也有機會在斷網情況下，繼續使用生成式AI來進行推論，影響生產力的最後一哩路，終於打通了。</p> <p><a href="https://www.ithome.com.tw/article/159522" target="_blank"><span style="color:#ffffff;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1153-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=ojilgN8S" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai-pc">AI PC</a></div></div></div>
2023/10/27 12:58作者王宏仁https://www.ithome.com.tw/voice/159523
GovTech月報第23期：政府打造PPDR救災通訊系統，以確保災害發生時救災單位優先通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0922~1023)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">救災</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">PPDR</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部與內政部、電信業者演練教災通訊系統，確保災情發生時救災單位優先通訊</strong></span></p> <p>數位發展部與內政部、三大電信業者合作，首次演練我國「公共安全與救災應變」(Public Protection and Disaster Relief, PPDR)通訊系統，當災害無預警發生時，確保救災單位可優先使用電信業者仍持續運作的通訊網路基礎設施。</p> <p>數位部也與內政部消防署，以及臺中市、臺南市消防局分隊合作，在南投縣竹山鎮展示成果，進行PPDR小規模演練，利用PPDR通訊演練遠距醫療、無人機空中勘災。</p> <p>數位部指出，美國、韓國已建立PPDR機制，臺灣的PPDR是由政府建置核心網路，並介接三大電信業者的基地臺，當重大災害發生時，由電信業者協助將部分頻寬調撥供救災單位使用，救災單位使用特殊的SIM卡。透過和電信業者合作，PPDR可以在災害發生時，網路壅塞或中斷時，使用未毀損的基地臺，確保救災單位優先通訊。</p> <p>數位部也會在2024年、2025年持續推動PPDR系統建置，並對地方的救災單位進教育訓練，並且研究多個機關使用PPDR的可行性，以及部署方式、成本效益。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/p2owmkz3_lk3%20(1).jpg" style="width: 300px; height: 675px;" /></p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">歐洲</span></font></strong></p> <p><span style="font-size:22px;"><strong><span class="s1" style="font-kerning: none;">歐洲央行將於11月進入數位歐元準備階段</span></strong></span></p> <p>歐洲推動數位貨幣有新進展，歐洲央行近期宣布結束2年的數位歐元調查階段，11月將進入為期2年的準備階段，除了將制定數位歐元的管理規則，也將選出數位歐元平臺及設施供應商。</p> <p>歐洲央行是在2021年啟動數位歐元專案(Digital Euro Project)，首先進入2年的調查階段，探討數位歐元各方面問題，包括設計、分派方式等等，在結束調查後也提出報告，將數位歐元視為現金的數位形式，可支援線上及線下使用，可應用於歐元區的數位支付領域，包括個人間的匯款。</p> <p>雖然歐洲央行研究及設計發行數位歐元，但也強調數位歐元的發行，必需由歐盟制定數位歐元的相關法規後，才會交由歐洲央行審理，該行也宣示數位歐元並不會取代現金的地位，數位貨幣與現金將會並存。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">打詐</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">簡訊</span></font></strong></p> <p><span style="font-size:22px;"><strong><span class="s1" style="font-kerning: none;">政府打詐再進一步，啟用111政府專用短碼簡訊平臺</span></strong></span></p> <p>為防止不法分子假借政府名義發送簡訊給民眾進行詐騙，造成民眾財產上的損失，政府近期啟用111政府專用短碼簡訊平臺，從簡訊發送的源頭建立信任，當民眾收到以政府名義發送的簡訊，只要看到111短碼，就能確信該簡訊發自政府機關。</p> <p>行政院先前核定以111作為政府簡訊專用短碼，由數位部打造政府專用的簡訊平臺，作為政府機關發送簡訊的信任管道，並協調電信業者配合，唯有使用該平臺發送的簡訊才能使用111短碼傳送簡訊，避免民眾被假冒政府名義的詐騙簡訊所欺騙。</p> <p>首波測試包括數位部、中研院、衛福部、法務部、勞動部、臺南市政府參與，未來也會開放給更多中央政府及地方政府加入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/crgvmued_cqd%20(1).jpg" style="width: 300px; height: 537px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生物辨識</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">身分</span></font></strong></p> <p><span style="font-size:22px;"><strong><span class="s1" style="font-kerning: none;">新加坡機場將採用生物辨識加快自助通關</span></strong></span></p> <p>新加坡政府通過移民法修法調整，準備在2024年在樟宜機場導入生物辨識技術，作為旅客自動化通關身分驗證，為繼杜拜後，全球第二個採用的機場。</p> <p>新加坡政府表示，受到疫情衝擊而減少的旅客，目前入境旅客已恢復疫情前的水準，導入新技術的自動查驗可讓旅客更快的查驗身分通關。新加坡將成為全球實施免護照自動通關的少數國家之一。</p> <p>未來入境新加坡的旅客，使用自助式通關時需完成首次註冊，依指示提供護照、掃描指紋，製作為電子護照，當旅客出境時，使用自助式查驗系統就不需出示護照。為避免蒐集個資疑慮，新加坡政府指出，這些資料將保留一段時間後移除。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">桃園市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">IoT</span></font></strong></p> <p><span style="font-size:22px;"><strong><span class="s1" style="font-kerning: none;">桃園市政府啟用智慧垃圾桶，結合IoT可自動通知清運垃圾</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dc8a7496-5bd5-45ce-a9a6-6e4cc7a9e6e3.jpg" style="width: 600px; height: 496px;" /></p> <p>桃園市政府啟用首個iTrash智慧垃圾桶，結合IoT技術，自動偵測垃圾量，當垃圾裝滿8成時，自動向清潔人員發送訊息，通知垃圾清運。</p> <p>過去由於無法得知垃圾桶裝載容量，清潔人員需巡視各地的垃圾桶，人口密集地區垃圾量較多，垃圾桶因為裝不下，可能導致周圍環境髒污，而比較人少的地區，垃圾桶可能很久才會裝滿。因此，桃園市環保局導入智慧垃圾桶，搭配管理系統，智慧垃圾桶內的感測器，自動偵測垃圾量，8分滿時自動以Line通知清潔人員，管理系統蒐集各處垃圾清運需求，建議最佳清運路線，降低清運成本。</p> <p>這座智慧垃圾桶還提供資源回收，民眾投入回收物，可獲得回饋金儲值到悠遊卡，此外，還提供Wi-Fi熱點。桃園市環保局已規畫在人口密集區設置大型的智慧垃圾桶，在人口較少、無法供電的地區則採用電池式的小型智慧垃圾桶。</p> <p>目前桃園市已在大溪老街、平鎮各設置一座iTrash智慧垃圾桶，採租賃方式，明年計畫再增加8座。至於小型智慧垃圾桶，今年規畫設80組，明年再增加83組。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">手機錢包</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">身分</span></font></strong></p> <p><strong><span style="font-size:22px;"><span class="s1" style="font-kerning: none;">減輕實體身分證件攜帶負擔，科羅拉多州開放民眾將身分證、駕照加入Google錢包</span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-10-26%20%E4%B8%8B%E5%8D%886_11_54.jpg" style="width: 600px; height: 261px;" /></p> <p>美國科羅拉多州政府車輛管理局近期宣布，民眾可將州政府身分證及駕照，加入Google Wallet錢包，降低民眾攜帶實體證件的不便，只要透過手機上的Google錢包，就能通過機場的身分檢驗。</p> <p>科羅拉多州為開放民眾將身分證、駕照加入的Google錢包，該州明確指出，證件加入手機行動錢包，並非代替實體證件，但可視為實體卡片功能的延伸，用於TSA運輸管理局的PreCheck身分檢查站。在此之前，美國其他州，例如馬里蘭州、亞利桑那州、喬治亞州也開放民眾使用。</p> <p>除了Google Wallet，科羅拉多州民也可以將身分證、駕照存放於Apple Wallet中，包括iPhone及Apple Watch，同樣可用於交通運輸的身分查驗。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">自動駕駛</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新北市</span></font></strong></p> <p><strong><span style="font-size:22px;"><span class="s1" style="font-kerning: none;">新北市淡水智駕巴士開放民眾預約乘車</span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%99%BA%E9%A7%95%E9%9B%BB%E5%B7%B4%E9%9B%99%E8%BB%8A%E8%B7%AF%E5%8F%A3%E5%B7%A6%E8%BD%89%E9%81%8B%E8%A1%8C%E6%B8%AC%E8%A9%A6%EF%BC%8C%E5%AE%8C%E5%96%842%E8%BB%8A%E9%96%93%E6%BA%9D%E9%80%9A%E8%83%BD%E5%8A%9B.jpg" style="width: 600px; height: 450px;" /></p> <p>新北市在淡水新市鎮地區推動的智慧電動巴士，在今年4月實車無載客測試後，近期開始為期2個月的載客測試，民眾可線上預約搭乘智駕巴士，行駛經過淡海輕軌共5個站點，路線2.8公里。</p> <p>行駛在淡水新市鎮的智慧電動巴士，主要以接駁民眾為主，第2期測試，行車速度從原本的時速15公里提高到25公里，智駕電巴還結合車對車通訊(V2V)，當啟動雙車聯動模式，兩輛智駕巴士可以相互「溝通」，分享車輛行駛狀態相互配合，可以類捷運的運輸方式，或是根據行駛路線，車隊編組、解除編列、重新編組。</p> <p> </p> <p>圖片來源／數位部、桃園市政府、科羅拉多州政府、新北市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.桃園市消防局利用5G虛擬網路，提高救護車緊急救護效率</strong></p> <p><strong>2.國內首顆自製氣象衛星發射</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div> </div></div></div>
2023/10/27 10:48作者蘇文彬https://www.ithome.com.tw/news/159510
【iThome 2023資安大調查系列2】金融業企業資安風險圖（2023～2024）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-jin_rong_-feng_xian_tu_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融業向來是產業資安的模範生，不論在資安自信心和資安預算都居各產業之冠，2023年金融業的資安預算更是高達了5,607萬元，比2022年成長了17.9%。一方面是金融主管機關這兩年越來越積極要求金融資安作為，不只大力要求金融機構設立資安長等資安治理作為，今年更發布了金融資安行動方案2.0，是全球第一個帶頭鼓勵產業擁抱零信任的金融主管機關。這些作為都再次驅使金融產業加碼資安投資。</p> <p>這些資安法規的要求，再加上金融業積極推動數位轉型，擁抱更多現代化資安作法，金融業2022年遭駭指數創新低，只有11%，是從2018年，我們開始追蹤臺灣大型企業資安災情以來，五年內的最低點。換句話刷，金融業一年只有39天處於脆弱期，只有一個多月，足足是高科技製造業的10個月脆弱期的八分之ㄧ。</p> <p>不過，金融業對於這個資安災情還不滿意，目前金融業平均發生的重大資安事件減少到了14.3次，平均發現攻擊時間也只有1.6天，但在系統遭駭後的平均復原時間仍然需要1.1天。這個復原速度，對於身為關鍵基礎設施產業的金融來說，仍舊是需要進一步改善之處。尤其，有許多金融服務的要求是不中斷的服務，一但停擺，對民生和經濟都會產生很大的影響。</p> <p>雖然金融業的資安預算相較其他產業寬裕，但是金融資安長仍然覺得還需要再多2成預算，才足以因應金融產業所面臨的資安威脅。如何更有效聚焦衝擊大風險高的威脅，也是金融業資安長每年例行的重要課題。</p> <p>從整體資安態勢來看，未來一年，金融業需要特別注意的首要風險有兩項，包括了駭客和社交工程手段的威脅。駭客威脅向來是金融業特別警戒的資安風險，這幾年都是首要風險。但，社交工程手段過去對金融業來說，屬於發生風險高但衝擊較低的資安項目，社交工程手段在2022年的衝擊影響排名第七，發生風險排名第二，但是到了2023年，社交工程手段的影響突然大幅提高，甚至超越了資料外洩的影響，和資安漏洞帶來的衝擊並列，而發生風險更超越了駭客威脅，一舉成為金融業未來一年最可能發生的資安風險Top1。</p> <p>生成式AI的熱潮，提高了企業對社交工程威脅的擔心，金融業尤其擔心ChatGPT淪為輔助攻擊工具，也因此而更意識到，這類生成式AI可以助長社交工程手段的自動化和客製化，因而，金融資安長們提高了未來一年對社交工程手段的警戒心，因此拉高了這一項的風險等級，與駭客攻擊並列會金融兩大威脅。金融業也是唯一一個在衝擊高風險高的第一象限中，出現ChatGPT成為輔助攻擊工具的產業，更凸顯了金融業對這一項風險的擔心。</p> <p>另外，值得注意的是，除了2大首要風險，攻擊級攻擊組織的威脅，成了金融業未來一年也需要留意的次要威脅。2024年是臺灣的大選之年，以往年經驗來看，每到大選年都會出現更多駭客攻擊事件和威脅，尤其是來自國家級組織的威脅，也會在的大選年嚴峻許多。金融資安長們對於這一項資安風險的擔心，也反映到調查結果，讓這一項成了金融業今年突然驟增的風險項目，因此，我們也以紅色字體標註來強調。</p> <p>除了這三項之外，在衝擊高發生風險高的第一象限中，還有其他值得優先留意的風險項目，包括了釣魚網站、網路犯罪者的攻擊、資安漏洞事件、資料外洩事件、勒索軟體資安事件（相較於其他產業，金融業對於這一項的擔心較低，風險等級不像其他產業列入首要風險，但仍是第一象限等級的威脅）、軟體供應鏈資安事件以及先前提到的ChatGPT成為輔助攻擊工具的威脅。</p> <p>其中，軟體供應鏈資安事件逐漸受到重視的原因，與金融業積極擁抱雲原生技術有關，這幾年金融業積極擁抱容器技術、微服務架構等，也連帶採用了許多開源軟體和開源技術，這些技術背後使用了許多來自開源社群或各式各樣的上游開源元件，也讓金融業對於這些元件的安全性提高警覺，因此更在意軟體供應鏈的威脅，不過，國內目前對於強化軟體供應鏈安全的SBOM機制，採用意願和動力還不高，少數金融業自行建立安全開源軟體清單的作法，限制開發團隊只能從這份審核過的開源軟體清單中，選擇適用的元件，而不能任意使用外界開源軟體，來降低軟體供應鏈的威脅。</p> <h3><span style="color:#0000FF;"><strong>金融上雲再鬆綁恐提高2大資安威脅的風險等級</strong></span></h3> <p>未來一年，還有一項值得關注的金融產業技術發展趨勢，就是金管會再次鬆綁了金融上雲法規，銀行局、保險局、證期局的上雲規範同步大鬆綁，不僅統一了法遵步調，也大幅簡化上雲申請流程，這將在2024年驅使金融業展開新一波加速上雲的浪潮。</p> <p>這次鬆綁最大變革是大幅簡化了上雲申請流程，只有重大消金系統放上境外公雲，需要每件都申請，其餘上雲只要有首例核准，其他銀行即可自行辦理，不用再申請。這會加速金融業更積極上雲，也會帶動金融業採用雲原生技術的發展。但這也意味著，有兩項目前列在第四象限（衝擊低發生風險低）的資安項目，雲端供應商為跳板的攻擊，以及雲端服務資安事件，這兩項可能會在2024年突然驟增，進入了第一象限，成了金融業必須特別留意的新風險。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1151-%E9%87%91%E8%9E%8D-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%A4%A7)-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E9%87%91%E8%9E%8D-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%B0%8F)-PNG.png" style="width: 600px;" /></a></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。</strong></span></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong><strong style="font-size: 14px;">。</strong></span></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);"><strong>資料來源：2023 iThome CIO大調查，2023年7月</strong></span></span></p> </div></div></div>
2023/10/27 12:01作者王宏仁https://www.ithome.com.tw/article/159273
第一銀行揭2025數位轉型策略，擴大全行以客戶需求導向驅動業務開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>第一銀行今日在臺北金融科技論壇揭露了2025數位轉型策略，第一銀行數位銀行處副處長彭仁主表示，未來將在AI智慧驅動、協作共創和數位敏捷力等議題持續投入人力培育，以提升數位成熟度，及數位產品的市佔率，更要開始全面地將數位轉型規模做大做深，讓每個單位和員工，都能以客戶需求為導向，應用科技推出商品和服務。</p> <p>第一銀行數位帳戶iLEO自2019年上線，根據金管會統計，截至今年第二季，已累積近150萬帳戶數，全臺金融機構排名第四。彭仁主點出，iLEO的成功關鍵在於以客戶需求作為導向，當客戶有需求時，就快速調整或引進新服務。因此，第一銀行將這項理念擴大至所有單位，以資訊現代化、產品數位化、市場創新化三大方向作為2025數位轉型策略，透過業務跟技術中臺推動敏捷架構，逐步減降淘汰瀑布式開發，要讓全行都能以客戶需求進行開發，結合各式各樣科技推出新服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4444.png" style="width: 600px;" /></p> <blockquote><p>第一銀行要以業務跟技術中臺推動敏捷架構。（圖片來源：第一銀行）</p> </blockquote> <p>此外，彭仁主表示，第一銀行已在數位發展的道路上，走到買不到科技的轉捩點。他解釋，過去某家銀行買了一種科技，其他銀行也會跟進，導致各家銀行都提供相似的服務。不過，當他們開始以客戶需求導向進行開發時，便發現現有科技難以追上客戶越來越前瞻的需求。</p> <p>因此，第一銀行於今年10月成立「前瞻共創基地」，要透過產官學研合作，創造新科技和競爭力，以實現從無到有的數位轉型的願景。他們以跨單位專題小組的模式，建立敏捷融合團隊，要以實驗驗證、學習導入、擴大實施及持續精進四大步驟累積更多敏捷開發經驗。第一銀行日前提過，前瞻共創基地將會探索以FIDO取代傳統企業身分驗證的可行性，針對法人客戶開發服務。</p> <p></p> </div></div></div>
2023/10/26 22:51作者李昀璇https://www.ithome.com.tw/news/159512
iLeakage攻擊將迫使蘋果裝置外洩用戶機密資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ileakage.com/" target="_blank">一群研究人員於本周揭露了iLeakage</a>，它是一個推測執行旁路攻擊，宣稱只要透過WebKit瀏覽器就能攻陷採用蘋果A系列與M系列處理器的蘋果裝置，迫使這些裝置外洩用戶機密資訊，像是服務登入憑證、Gmail內容或是YouTube歷史紀錄等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-ileakage-1.png" style="width: 600px;" /></p> <p>研究人員指出，近年來蘋果積極以自製的Arm處理器，來取代蘋果裝置中所使用的英特爾產品，坊間已有大量關於x86處理器的分析報告，卻較少探索蘋果生態體系，使得他們決定著手調查蘋果生態體系對推測執行旁路攻擊的承受力。</p> <p>他們首先針對蘋果處理器進行反向工程，並藉由一個新的推測執行工具克服了蘋果的計時器限制，在建立許多Eviction Set之後；接著分析Safari瀏覽器的旁路攻擊耐受度，繞過其安全機制，得以推測性地讀取及外洩Safari渲染過程中任何64位元指標；再透過一個可把不同網域的網站整合到同一位址空間的新方法，成功執行了iLeakage攻擊，使裝置洩露機密資訊。</p> <p>其攻擊手法是誘導使用者造訪一個惡意網站，利用惡意的JavaScript與WebAssembly讀取其它分頁的機密資訊。研究人員以影片示範了如何在macOS上以Safari登入受害用戶的Instagram帳戶，該名用戶使用了LastPass的自動填入密碼管理功能，以及成功在iPad上藉由使用者已以Safari登入的Google帳戶，取得Gmail的內容，也能在iOS上成功恢復利用Chrome瀏覽器，所觀賞的YouTube歷史紀錄。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=Z2RtpN77H8o" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-ileakage-%EF%BC%92.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;"><a href="https://www.youtube.com/watch?v=Z2RtpN77H8o" target="_blank">圖片來源_iLeakage Authors</a></span></span></p> <p>Chrome瀏覽器之所以也被涉及是因為根據蘋果的規定，iOS上的所有瀏覽器都必須採用與Safari相同的WebKit瀏覽器引擎。意味著iOS上的其它瀏覽器也無法倖免。</p> <p>研究指出，只要是使用蘋果A系列或M系列處理器的macOS與iOS裝置，包括iPhone、iPad，以及2020年及之後的蘋果筆電與桌機，都可能會受到iLeakage攻擊的影響。</p> <p>這群研究人員早在去年的9月12日便向蘋果揭露了相關研究，蘋果已於macOS中設計了緩解措施，但其預設值是關閉的。迄今研究人員尚未發現相關漏洞遭到濫用的證據，卻也說就算真的被攻擊也很難偵測到。蘋果則向<a href="https://arstechnica.com/security/2023/10/hackers-can-force-ios-and-macos-browsers-to-divulge-passwords-and-a-whole-lot-more/" target="_blank">《Ars Technica》</a>透露，已計畫在未來藉由軟體更新來解決相關漏洞。</p> </div></div></div>
2023/10/27 08:58作者陳曉莉https://www.ithome.com.tw/news/159516
Jina AI開源第二代文字嵌入模型，整體表現接近OpenAI同級模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國人工智慧新創Jina AI開源了該公司的第二代文字嵌入模型<a href="https://jina.ai/news/jina-ai-launches-worlds-first-open-source-8k-text-embedding-rivaling-openai/">jina-embeddings-v2</a>，新模型現在可以處理多達8,192個token上下文長度。以大規模文字嵌入基準（Massive Text Embedding Benchmark）評估jina-embeddings-v2的能力，整體來說已非常接近同等級模型OpenAI text-embedding-ada-002的表現。</p> <p>jina-embeddings-v2是完全由Jina AI開發團隊研發、收集資料集和調校的新模型，能力較前一版本大幅提升，其最重要的進步，便是能夠處理8,192個token上下文長度。可以處理更長的上下文，也就代表模型可以應用的領域更為廣泛，像是可以分析法律文件，更細緻地捕捉法律文件中的細節，或是從財務報表中解析關鍵資訊，進行財務預測，也能夠用於開發對話機器，以應對複雜的用戶查詢。</p> <p>在大規模文字嵌入基準的排名中，開源的jina-embeddings-v2排名第17，與商用的OpenAI text-embedding-ada-002的15名相去不遠，而且在分類、重新排序、檢索和摘要生成等自然語言處理任務，jina-embeddings-v2的表現已經超越text-embedding-ada-002。</p> <p>目前用戶可以從Huggingface免費下載jina-embeddings-v2模型，官方釋出兩個模型版本，第一個是針對學術研究或是商業分析等高準確性需求任務設計，大小為0.27 GB的基礎模型，另一個則是適用於輕量級應用程式，能夠整合行動應用程式或是供運算資源資源有限的裝置使用的小型模型，容量只有0.07 GB。</p> <p>Jina AI持續擴展jina-embeddings-v2模型，正著手開發API平臺，供用戶能夠根據需求簡單擴展使用規模，同時Jina AI也將擴增jina-embeddings-v2的能力，支援更多的語言。</p> </div></div></div>
2023/10/27 09:11作者李建興https://www.ithome.com.tw/news/159507
Safari 17.1完整支援新媒體串流API，iPhone串流影片更省電省頻寬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple正式向iOS 17、iPadOS 17，還有macOS Sonoma、macOS Ventura與macOS Monterey推送<a href="https://webkit.org/blog/14735/webkit-features-in-safari-17-1/">WebKit for Safari 17.1</a>。而Safari 17.1這個版本特別之處，在於iPhone版本也添加了Managed Media Source API，而這是Apple之前在iPad與Mac就新增的影片串流低階工具包，主要是提供一種新的串流方法，節省串流影片所消耗的電量與頻寬，對於小電池容量的行動裝置續航力特別有幫助。</p> <p>WebKit的Managed Media Source API是一個由Apple推出的API，目的是要改善串流媒體播放的效能和效率。在Safari 17.0的時候，就已經在iPad和Mac上加入，而到了Safari 17.1又進一步擴展到iPhone上。開發者可以使用Managed Media Source API這個低功耗工具包，最佳化串流媒體的播放。</p> <p>雖然播放影片對現在的行動裝置來說並非一件困難的事情，但是要在不下載非必要資料，且不耗費過多電力的前提下播放高品質影片，就不是一件簡單的任務，主要是應用自適應位元率串流（Adaptive Bitrate Streaming，ABS）技術來達到這個目標，自適應位元率串流會根據網路速度和裝置功能，動態切換媒體資料格式。</p> <p>而過去要達成自適應位元率串流，會使用一種稱為MSE（Media Source Extensions）的低階工具包，讓網頁擁有更多控制權管理媒體快取和解析度，但是Apple提到，MSE並非萬能，特別不擅長管理快取層級、網路存取和媒體變體選擇，此外，MSE還會消耗大量電力，導致電池較小的行動裝置續航力下降。</p> <p>Apple在WWDC23中提出的Managed Media Source API，便是MSE的補充方案。Managed Media Source API會把控制權交給瀏覽器，而非網頁應用程式，因此瀏覽器可以更全面控制媒體串流，細緻地對記憶體使用和網路條件作出反應，讓行動裝置播放串流媒體更有效率，還能善用5G網路的效能優勢。</p> <p>簡單來說，Managed Media Source API能夠節省頻寬和電池續航力，使裝置在用戶觀看影片時擁有更好的續航力。目前Managed Media Source API支援需要滿足特定條件，除非存在AirPlay來源選項，或是明確停用遠端播放功能時，該功能才會被啟用。Apple已經向W3C媒體工作組提案，要正式標準化Managed Media Source。</p> </div></div></div>
2023/10/27 09:16作者李建興https://www.ithome.com.tw/news/159515
【iThome 2023資安大調查系列2】整體產業企業資安風險圖（2023～2024）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-feng_mian_-shi_da_feng_xian_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業到了每年第四季，會開始規畫隔年的IT計畫，高達7成CIO，會將資安列為每一年的首要優先項目，但是，企業可以投入的資安預算有限，甚至不少資安長認為，資安預算還得多3成才會夠用。如何將有限的資安預算用在刀口，得聚焦主要資安風險，優先來強化防護，這正是我們從2021年開始發布臺灣企業資安風險圖的目的。</p> <p>以下分三個部分來介紹今年資安風險圖的內容，第一個部分總結風險圖的解讀，第二部分則介紹資安風險圖的製作過程，讓大家更了解如何解讀風險圖的呈現，第三個部分則會介紹企業如何製作自己的資安風險圖，可用來跟產業資安風險圖進行比較。</p> <h3><strong><span style="color:#0000FF;">如何解讀企業資安風險圖？</span></strong></h3> <p>這張圖依據兩大因素的程度高低來繪製出每一項資安風險項目在企業資安風險圖中的落點，包括了對企業衝擊的高低，以及未來1年發生的可能性高低。以垂直Y軸代表該項目對企業的衝擊高低，風險項目所在的位置越往上，代表對填答資安長們評估未來一年這一項對企業的衝擊越大，而水平X軸則是指企業未來1 年發生該項目的可能性有多高，落點位置越靠右側，代表越多資訊安評估，該項發生的可能性越大。</p> <p>整體來看，這張圖分為四個象限，右上角是衝擊高發生風險高的第一象限，左上角第二象限則是衝擊高但發生風險低，右下角是第四項象限發生風險雖高但衝擊低，左下角則是衝擊低發生風險也低的第三象限，用來呈現每一區風險項目的大概分類。第一象限是企業最需要高度警戒的區域，每一項都得留意。</p> <p>企業可以從比較不同風險項目的相對位置，來看出這些風險之間的衝擊差異或是未來一年發生可能性的高低差異，例如，社交工程手段和釣魚網站的Y軸高度差不多，就代表兩者帶來的衝擊差不多，但是，社交工程手段的X軸位置，比駭客攻擊更靠右邊，也就是社交工程手段未來一年發生可能性比釣魚網站發生的風險更高的意思。</p> <p>另外，也特別將發生風險顯著比去年增加很多者的風險項目，改用紅色文字來標記，提醒企業這是未來一年必須格外留意的風險。衝擊高、發生風險也高的第一象限，名列其中的風險，都是企業需要優先關注的項目。</p> <h3><strong><span style="color:#0000FF;">未來一年整體資安態勢分析</span></strong></h3> <p>從今年整體資安態勢來看，2023～2024年企業要面臨的首要資安風險項目是「勒索軟體資安事件」以及「駭客」的威脅。次要風險項目也有兩項，包括了「社交工程手段」和「釣魚網站」的攻擊。</p> <p>從發生風險來看，社交工程手段是未來一年企業最常遭遇的威脅，在過去兩年，2021年和2022年，社交工程手段的發生風險，名列資安項目第四高，但在今年突然竄升為發生風險最高的威脅，一方面也與生成式AI技術的出現有關，ChatGPT這類AI技術，遭到駭客濫用來產生更自動化、更客製化的社交工程手段，甚至可以針對每一個攻擊對象，產生專屬、完全不同的攻擊內容話術，更讓社交工程手段更容易實施，企業也面臨更大的壓力，成了多數資安長們評估，這是2023和2024年發生機率最高的資安項目。</p> <p>從災情調查中可以看到，企業一年平均會遭遇遭過17次重大資安事件，一年資安脆弱的時期長達183天，尤其高科技業的脆弱其更長達10個月之久，在這期間最容易遭遇的資安威脅就是社交工程手段的威脅。而社交工程手段對企業帶來的影響，也在今年名列為第三衝擊的項目，僅次於勒索軟體資安事件和駭客攻擊的影響。</p> <p>若單看衝擊影響，勒索軟體資安事件依舊是對企業影響最大的威脅，這是連續第二年被資安長列為頭後影響的項目，這也大大影響了企業這兩年資料保護、災難備援的作法，甚至資料保存成了資安對策的重點，或是發展成以資料為核心的資安策略。過去兩年，不論在發生風險和衝擊影響都名列前兩名的駭客攻擊，在今年下滑到了第三名的風險，這並非駭客攻擊的風響下降了，而是更自動化的攻擊項目成了更大的威脅，超越了過去由駭客自己動手操作來發動的攻擊威脅。</p> <p>今年是我們第三度製作臺灣企業資安風險圖，如同過去2年的作法，同樣在2023年CIO和資安大調查中，我們請資安長和資訊長，針對三大類共24項臺灣常見的資安風險項目，評估未來一年的發生風險高低，以及對企業帶來的衝擊高低。最後總結出了這一份臺灣在地的未來資安風險地圖，用來反映出臺灣大型企業2023到2024年可能將面臨的威脅。這24項風險分為三類，第一類風險項目是來自不同攻擊者的威脅，包括了來自內部人員、國家級攻擊組織、（惡意）第三方委外業者、網路犯罪者、駭客等5類攻擊者所發動的網路攻擊。</p> <p>第二類則是來自8種不同途徑的威脅，包括了ChatGPT成為輔助攻擊工具、以第三方為跳板的攻擊、以雲端供應商為跳板的攻擊、行動應用的攻擊、物聯網的攻擊、社交工程手段、商業郵件詐騙BEC以及釣魚網站的攻擊。</p> <p>最後一類則包括了11種資安事件的威脅，包括了今年成為熱門話題的ChatGPT資安事件，還有挖礦攻擊、假消息不實資訊事件、勒索軟體資安事件、國家關鍵基礎設施癱瘓事件、深偽技術冒用事件、軟體供應鏈資安事件、雲端服務網路服務資安事件、資安漏洞事件、資料外洩事件、顧客資安事件。去年有3項資安風險項目，在今年清單中移除，包括了硬體供應鏈資安事件，離職員工是攻擊者，競爭公司的攻擊三大類共24項。</p> <p>硬體供應鏈資安事件的發生機率遠低於軟體供應鏈資安事件，因此才在今年移除了這一項，而競爭公司所發動的攻擊則在臺灣較為少見，去年調查中，也被大多數資安長列為最不可能發生的資安風險項目，因此也在今年清單中移除。至於離職員工的風險項目，則是在今年將現任員工的攻擊者威脅和離職員工的攻擊者威脅，合併為內部人員成為攻擊者的威脅，不再單獨列成一項。</p> <p>今年雖然減少了3項風險項目，不過，也新增加了3項，包括了ChatGPT資安事件、ChatGPT成為輔助攻擊工具，另一項則是深為技術冒用事件，這三項都是新興AI技術所伴隨的新風響，前兩項更是呼應了最新的生成式AI浪潮而出現的風險項目。我們想要了解新興AI技術浪潮對企業，帶來哪些資安的風險。</p> <p>金管會這幾年強化了對上市櫃公司資訊安全管理的作為，在「公開發行公司建立內部控制制度處理準則」中，不只要求更多資安人力的設置，例如一定條件下得設置資安長、資安專責人力等，另一方面也要求上市櫃公司必須評估所面臨的資訊安全風險，來配置資源和人力。<br /> 企業可以參考這份資安風險圖，作為一種評估自身資安風險的參考工具，來製作出一份自家公司資安風險圖，並用來跟整體產業與所屬產業的資安風險圖比較，來了解自己所意識到的資安風險威脅，與同業所觀察到的資安風險項目之間的落差。尤其是同業評估具有高風險、高衝擊的項目，卻在自家風險圖中落入了低風險或低衝擊的象限，這就需要格外留意，極可能是連自己沒有察覺到的潛在資安威脅，就需要進一步留意。</p> <p><span style="color:#FF0000;"><strong>企業如何繪製自己的資安風險圖</strong></span></p> <p>這張企業資安風險圖還有另外一個運用方式，企業可以自己針對這24個項目進行評分，分為10級，衝擊程度從最低1分，到最高10分，而同一個項目未來發生可能性也同樣分為10級，1分最不可能發生，而10分代表最可能發生。</p> <p>若一項風險企業自評分數是衝擊8分，發生可能性4分，則採取這個公式（自評分數-5）/5，以衝擊8分來看，(8-5)/5就是0.6，而發生可能性4分是 (4-5)/5=-0.2，這就可以得到該項目的座標位置（0.6,-0.2），企業可以一一計算出24項風險的座標值，參考這張整體資安風險圖座標軸上的數值長度，繪製出自家風險的位置，可以用來跟彙整自407家企業的整體資安風險圖相比較，來看出，自家風險和產業一般性風險的分布差異上。</p> <p>尤其是，如果有某一項資安風險項目，企業將其放置在自家資安風險圖的左下角，但是，在產業整體資安風險圖上，這項風險的位置卻是更靠右上角，這就是資安長需要特別留意的項目。這代表了，業界認為這項風險得關注，而資訊安的風險自評上，卻認為是相對不需要關注，企業得進一步思考這兩者落差的意義，倘若，企業已有妥善對策來降低該項風險，就可以不用過度擔心，若是沒有特別防護對策，卻自己降低了對該項風險的警戒心，那這一項風險，可能會成為企業資安防護的破口之處，必須趕快思考彌補做法。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1151-%E5%B0%81%E9%9D%A2-%E5%8D%81%E5%A4%A7%E9%A2%A8%E9%9A%AA-600-2-%E6%95%B4%E9%AB%94-%E9%A2%A8%E9%9A%AA%E5%9C%96(%E5%A4%A7)-PNG.png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E5%8D%81%E5%A4%A7%E9%A2%A8%E9%9A%AA-600-2-%E6%95%B4%E9%AB%94-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%B0%8F).png" style="width: 600px;" /></a></p> <p><span style="font-size:16px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 企業資安風險圖製作說明 </span></span> 在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。</strong></span></p> <p><span style="font-size:16px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong><strong style="font-size: 14px;">。</strong></span></p> <p><span style="font-size:16px;"><span style="color:#696969;"><strong>資料來源：2023 iThome CIO大調查，2023年7月</strong></span></span></p> </div></div></div>
2023/10/27 08:01作者王宏仁https://www.ithome.com.tw/article/159258
亞太地區的政府機關遭到駭客組織發動TetrisPhantom攻擊，利用安全加密隨身碟散布惡意程式，入侵隔離網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用具備加密功能的隨身碟，就能確保資料安全嗎？最近有研究人員指出，駭客鎖定會使用這類隨身碟傳輸資料的政府機關下手，從而入侵受隔離系統（Air-Gapped），從中竊取機密資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-tetrisphantom-hackers-steal-data-from-secure-usb-drives-on-govt-systems/">根據資安新聞網站Bleeping Computer的報導</a>，資安業者卡巴斯基在近期發布的APT趨勢調查報告當中，<a href="https://www.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-apt-campaign-targeting-apac-government-entities">提及駭客組織TetrisPhantom的攻擊行動</a>，但沒有透露相關細節。該新聞網站進一步向卡巴斯基確認，這些駭客針對亞太地區的政府下手，鎖定安全USB隨身碟的加密磁區資料，利用名為UTetris的應用程式木馬化版本進行竊密。</p> <p>駭客首先在使用者的電腦執行名為AcroShell的惡意酬載，此惡意程式與C2伺服器進行通訊，然後下載額外的作案工具，偷取檔案及機敏資料，同時收集使用者存取USB隨身碟的特定資訊，將其用於打造名為XMKR的惡意程式，以及木馬化的UTetris，XMKR部署至Windows電腦之後，會伺機滲透至連接這臺電腦的安全USB隨身碟，再透過這支安全USB隨身碟，對受隔離系統發動攻擊（當使用者這支安全USB隨身碟接上隔離系統時，惡意程式可再擴散到這個環境當中）。</p> <p>針對這起攻擊行動當中駭客的手法，研究人員認為當中採用了複雜的工具及技術，包括：以虛擬化為基礎的手法將惡意軟體的元件進行混淆、利用直接SCSI命令與USB裝置進行低階通訊，以及惡意程式在電腦連接加密隨身碟時會進行自我複製，然後散布到受隔離的系統。再者，攻擊者將惡意程式碼植入隨身碟的存取管理應用程式，而被用於感染另一臺電腦惡意程式。</p> <p>研究人員一共看到兩種版本的木馬化UTetris，一種出現於2022年9月至10月，另一種從去年10月使用至今，然而，他們認為駭客的攻擊行動已經進行多年，而且，駭客的惡意程式僅感染政府網路上少數電腦，這代表攻擊行動相當具有針對性。</p> </div></div></div>
2023/10/26 23:03作者周峻佑https://www.ithome.com.tw/news/159514
Grammarly、Vidio、Bukalapak網路應用程式存在重大OAuth漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了簡化使用者必須逐一申請、記憶各式網頁應用程式帳號密碼的不便，採用OAuth身分驗證機制的作法，讓使用者只要透過臉書、Google、推特等服務的帳號，就能存取網站服務的做法，也越來越普遍，然而，一旦網站開發者實作不夠完整，就有可能讓攻擊者有機可乘，發動類似帳號填充（Credential Stuffing）的手法，透過某些看似合法的管道取得Token，就有機會存取使用者透過OAuth進行身分驗證的其他網路服務。</p> <p>這種情況資安業者Salt Security今年3月開始提出警告，當時他們針對<a href="https://www.ithome.com.tw/news/155765">訂房網站Booking.com</a>，以及開發人員用於<a href="https://salt.security/blog/a-new-oauth-vulnerability-that-may-impact-hundreds-of-online-services">建置OAuth驗證功能的框架Expo</a>，說明這種漏洞的危險性。到了最近，<a href="https://salt.security/blog/oh-auth-abusing-oauth-to-take-over-millions-of-accounts">他們一口氣公布3個存在類似漏洞的網站服務</a>，強調這種漏洞可能廣泛存在多種網路服務當中。</p> <p>研究人員於今年2月至4月發現，有多個線上服務的OAuth身分驗證措施存在嚴重的資安漏洞，這些平臺包括：文法檢查服務Grammarly、印度影音串流服務Vidio、印尼電子商務網站Bukalapak。此漏洞可能導致攻擊者得以竊取使用者的身分，或是竊取信用卡資料、私人訊息、健康記錄等各式個人資料，也有可能將相關資料拿來進行財務詐騙的行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員揭露駭客如何「合法」取得使用者OAuth身分驗證所需的Token，攻擊者架設可透過臉書、Google等網站的帳號存取的網站服務（YourTimePlanner.com），由於攻擊者是網站的所有者，他們理所當然能夠取得所有存取該網站服務的Token，而有機會將其用於挾持使用者的其他服務帳號。</p> </blockquote> <p>以Grammarly為例，當使用者試圖透過臉書帳號存取這項服務的過程當中，網頁編輯器會將使用者輸入的資料儲存在帳號裡，研究人員發現存取臉書帳號的OAuth身分驗證流程缺乏Token驗證步驟，而使得攻擊者有機會利用另一個App ID產生的Token，利用臉書帳號來收集用戶的Token，然後對提供服務的網站發動攻擊，進而接管用戶帳號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6532ce402c77da9095ccff88_Screenshot 2023-10-20 at 13_59_36.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6532ce402c77da9095ccff88_Screenshot%202023-10-20%20at%2013_59_36.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員說明文法檢查服務Grammarly進行OAuth身分驗證的步驟，和另外兩種網路服務流程略有不同的是，Grammarly的OAuth驗證方式同時支援Token與程式碼，若是回傳的資料是程式碼，伺服器需要將其轉換成Token來進行後續工作。但研究人員發現仍能利用類似的手法，植入不同網站服務的Token進行攻擊。</p> </blockquote> <p>Vidio、Bukalapak也有類似的缺陷，而有可能導致網站服務的用戶帳號遭到挾持。上述3家業者獲報後，皆已完成修補。但研究人員警告，類似的弱點也有可能出現在其他採用OAuth的網頁應用程式上。</p> </div></div></div>
2023/10/26 21:00作者周峻佑https://www.ithome.com.tw/news/159511
【資安日報】10月26日，研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員在今年3月，針對網路服務廣泛應用的OAuth身分驗證措施提出警告，當時他們揭露了存在於訂房網站Booking.com的漏洞，並指出類似的情況也可能發生在其他導入OAuth的網站。</p> <p>到了最近，這些研究人員公布對於另外3個熱門的網路服務調查結果，其共通點是駭客一旦取得用戶其他服務用於OAuth身分驗證的Token，就有機會挾持用戶這些網站上的帳號。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-tetrisphantom-hackers-steal-data-from-secure-usb-drives-on-govt-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞太地區的政府機關遭到駭客組織發動TetrisPhantom攻擊，利用安全加密隨身碟散布惡意程式，入侵隔離網路</span></strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer的報導，資安業者卡巴斯基在近期發布的APT趨勢調查報告當中，提及駭客組織TetrisPhantom的攻擊行動。該新聞網站進一步向卡巴斯基確認，這些駭客針對亞太地區的政府下手，鎖定安全USB隨身碟的加密磁區資料，利用名為UTetris的應用程式木馬化版本進行竊密。</p> <p>駭客首先在使用者的電腦執行名為AcroShell的惡意酬載，此惡意程式與C2伺服器進行通訊，然後下載額外的作案工具，偷取檔案及機敏資料，同時收集使用者存取USB隨身碟的特定資訊，將其用於打造名為XMKR的惡意程式，以及木馬化的UTetris，XMKR部署至Windows電腦之後，會伺機滲透至連接這臺電腦的安全USB隨身碟，再透過這支安全USB隨身碟，對受隔離系統（Air-Gapped）發動攻擊（當使用者這支安全USB隨身碟接上隔離系統時，惡意程式可再擴散到這個環境當中）。</p> <p>研究人員一共看到兩種版本的木馬化UTetris，一種出現於2022年9月至10月，另一種從去年10月使用至今，然而，他們認為駭客的攻擊行動已經進行多年。</p>  <p><a href="https://www.welivesecurity.com/en/eset-research/winter-vivern-exploits-zero-day-vulnerability-roundcube-webmail-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲政府機關遭到俄羅斯駭客Winter Vivern鎖定，針對網頁電子郵件系統Roundcube發起零時差漏洞攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-1-wintervivern-email.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-1-wintervivern-email.jpeg" style="width: 300px; float: right;" /></a>資安業者ESET揭露俄羅斯駭客組織Winter Vivern（亦稱TA473）的零時差漏洞攻擊，駭客從10月11日，鎖定歐洲政府機關和智庫的網頁郵件伺服器Roundcube而來，利用過往未曾記錄的跨網站指令碼（XSS）漏洞CVE-2023-5631發動攻擊。</p> <p>駭客先是假借Outlook管理團隊的名義，寄送歡迎使用Outlook的電子郵件，但該信件被事先埋入特製SVG圖檔，一旦有人開啟信件就可能中招，觸發SVG圖檔的惡意JavaScript指令碼載入器checkupdate.js，下載有效酬載，列出Roundcube帳號的資料夾及電子郵件，並向特定網站發出HTTP請求，將電子郵件傳送至C2伺服器。</p> <p>研究人員12日向Roundcube通報，該開發團隊於16日推出1.6.4版、1.5.5版、1.4.15版予以修補。</p> <p><a href="https://securelist.com/crimeware-report-gopix-lumar-rhysida/110871/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體GoPIX鎖定巴西行動支付系統用戶而來</span></strong></a></p> <p></p> <p>資安業者卡巴斯基揭露針對巴西支付系統PIX用戶而來的攻擊行動，駭客從2022年12月透過惡意廣告，針對從網路上搜尋網頁版WhatsApp的用戶下手，一旦使用者點選駭客購買的廣告，就會被重新導引、連上惡意軟體網站，過程中會檢查使用者電腦是否開啟27275埠，目的是檢測是否存在特定的Avast Safe Banking元件，以便繞過偵測，然後最終下載NSIS的安裝程式。</p> <p>使用者若是執行安裝，就會觸發PowerShell指令碼，並於電腦植入竊資軟體GoPIX，進而挾持使用者執行支付的PIX交易，竄改收款人的資料，或是更換為比特幣或以太坊錢包。</p> <p><a href="https://securityaffairs.com/152811/cyber-crime/facebook-and-instagrams-police-portal-access.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人兜售臉書與Instagram的警方入口網站的存取權限</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1697895055828.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1697895055828.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffairs的報導，資安業者Hudson Rock發現，有人在兜售臉書及Instagram專供執法單位存取的入口網站Police Portal帳密，開價700美元。這種入口網站是在政府機關因應辦案需求，向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用。</p> <p>但賣家究竟如何取得相關帳密？研究人員推測，很有可能是對臉書員工進行社交工程攻擊而得。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://salt.security/blog/oh-auth-abusing-oauth-to-take-over-millions-of-accounts"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Grammarly、Vidio、Bukalapak網路應用程式存在重大OAuth漏洞</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png" style="width: 300px; float: right;" /></a>資安業者Salt Security於今年2月至4月發現，有多個線上服務的OAuth身分驗證措施存在嚴重的資安漏洞，這些平臺包括：文法檢查服務Grammarly、印度影音串流服務Vidio、印尼電子商務網站Bukalapak。此漏洞可能導致攻擊者得以竊取使用者的身分，或是竊取信用卡資料、私人訊息、健康記錄等各式個人資料，也有可能將相關資料拿來進行財務詐騙的行為。</p> <p>以Grammarly為例，當使用者試圖透過臉書帳號存取這項服務的過程當中，網頁編輯器會將使用者輸入的資料儲存在帳號裡，研究人員發現存取臉書帳號的OAuth身分驗證流程缺乏Token驗證步驟，而使得攻擊者有機會利用另一個App ID產生的Token，利用臉書帳號來收集用戶的Token，然後對提供服務的網站發動攻擊，進而接管用戶帳號。</p> <p>Vidio、Bukalapak也有類似的缺陷，而有可能導致網站服務的用戶帳號遭到挾持。上述3家業者獲報後，皆已完成修補。但研究人員警告，類似的弱點也有可能出現在其他採用OAuth的網頁應用程式上。</p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0023.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補vCenter伺服器重大漏洞，並對不再支援的舊版產品提供更新</span></strong></a></p> <p></p> <p>10月25日VMware針對vCenter Server、Cloud Foundation提供更新程式，當中修補重大漏洞CVE-2023-34048，未經身分驗證的攻擊者可在不需用戶互動的情況下，進行遠端執行任意程式碼（RCE）攻擊，CVSS風險評分為9.8。</p> <p>值得留意的是，有鑑於這項漏洞的嚴重性，該公司也為已經生命週期終止（EOL）的舊版本vCenter Server 6.7U3、6.5U3，以及Cloud Foundation（VCF）3.x提供修補程式。</p>  <p><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-admins-of-public-exploit-for-vrealize-rce-flaw/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware事件記錄分析系統的RCE漏洞出現概念性驗證攻擊程式碼</span></strong></a></p> <p></p> <p>思科10月19日VMware發布事件記錄分析系統Aria Operations for Logs（原vRealize Log Insight）8.14版，當中修補身分驗證繞過漏洞CVE-2023-34051，CVSS風險評分為8.1。</p> <p>隔日資安業者Horizon3.ai也公布漏洞細節，以及概念性驗證（PoC）攻擊手法，並指出攻擊者可透過IP位址欺騙，以及多種使用Thrift協定的RPC端點，來達到任意檔案寫入的目的，而能否成功利用這項漏洞，關鍵是攻擊者須取得足夠的權限，於目標系統加入額外的網路介面或靜態IP位址。</p> <p>研究人員指出，這項漏洞發生的原因，是VMware在一月發布的更新程式中，出現修補不完整的情況，使得攻擊者有機會繞過修補程式碼，發動遠端執行任意程式碼攻擊（RCE）。對此，VMware也在23日更新公告，指出網路上已經出現概念性驗證攻擊程式碼，接下來很可能會被用於攻擊行動。</p>  <p>資料來源</p> <p>1. <a href="https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive-and-iocs/">https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive-and-iocs/</a><br /> 2. <a href="https://www.vmware.com/security/advisories/VMSA-2023-0021.html">https://www.vmware.com/security/advisories/VMSA-2023-0021.html</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/apple-ships-major-ios-macos-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布安全性更新iOS 17.1、</span></span></strong></a><a href="https://www.securityweek.com/apple-ships-major-ios-macos-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">macOS Sonoma 14.1</span></span></strong></a><a href="https://www.securityweek.com/apple-ships-major-ios-macos-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">，修補21個iOS漏洞、44個macOS漏洞</span></span></strong></a></p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-45/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 119，修補3個高風險漏洞</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_24.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google更新Chrome 118，修補記憶體濫用漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/chilean-telecom-giant-gtd-hit-by-the-rorschach-ransomware-gang/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">智利電信業者GTD傳出遭勒索軟體Rorschach攻擊</span></span></strong></a></p> <p></p> <p><a href="https://www.sii.co.jp/en/news/topics/2023/10/25/12232/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對8月遭遇的勒索軟體攻擊事件，Seiko公布資料外洩的情形</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159482"><strong>【10月25日】 6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159454"><strong>【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159433"><strong>【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</strong></a></p> </div></div></div>
2023/10/26 16:36作者周峻佑https://www.ithome.com.tw/news/159501
AI趨勢周報第232期：Gartner揭露2024年10大科技趨勢預測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1020～1026)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gartner </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 平臺工程 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Gartner揭露2024年10大科技趨勢預測</strong></span></p> <p>國際市場調研機構Gartner最近發表2024年10大科技趨勢預測，聚焦生成式AI及其影響，首先是生成式AI民主化，也就是更普及的生成式AI應用。Gartner點出，更多開源預訓練模型和雲端運算將讓更多人能使用生成式AI，他們預測，到了2026年，超過8成企業將在正式環境中使用生成式AI API和模型，或部署支援生成式AI的應用程式。對比2023年初，這一比例還不到5%。</p> <p>再來，生成式AI也會增強程式開發工作，來幫助軟體工程師設計、編寫和測試應用程式。甚至，明年會出現更多借AI自主學習和回應的智慧型應用程式，來自動化工作。但這也意味著，AI信任、風險和安全管理（AI TRiSM）越趨迫切，這是Gartner提出的另一個趨勢預測，市面上將出現更多ModelOps、資料保護、特定AI安全性、模型監控和第三方模型與應用程式的風險控制工具。Gartner也預測，到了2026年，採用AI TRiSM工具的企業將消除高達80%的錯誤和非法訊息，進而提高決策準確性。</p> <p>不只生成式AI，Gartner認為，平臺工程也是明年一大趨勢，透過一系列工具和流程，來為企業開發團隊提供自助式開發平臺。與之類似的預測是產業雲平臺，也就是將傳統雲服務的IaaS、PaaS和SaaS解耦，成為模組化、能解決業務問題的雲平臺。其他預測還包括持續威脅暴露管理、IT永續技術發展、AI優化職員價值，以及客戶機器人，也就是能透過人機協作或機器單獨預測人類需求，進而購買商品的趨勢。<a href="https://www.gartner.com/en/newsroom/press-releases/2023-10-16-gartner-identifies-the-top-10-strategic-technology-trends-for-2024">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推論 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>號稱效能超越4奈米GPU！IBM發表AI推論晶片</strong></span></p> <p>IBM研究院在10月20日發表AI晶片NorthPole，效能號稱超越最先進的4奈米GPU，適用於需要即時處理大量資料的邊緣應用。NorthPole歷時8年研發，特點是所有記憶體都在晶片上，不需額外連結記憶體，因此不會遇到傳統晶片因處理單元與儲存資訊的記憶體分開、資料傳輸速度趕不上處理速度的馮紐曼瓶頸，也於是AI推論能力優於市場其它晶片。</p> <p>它採12奈米製程，在800平方毫米上安置了220億個電晶體，擁有256個核心，於8-bit精度下每核心每個周期可執行2,048次操作。IBM研究院也在ResNet-50模型上測試NorthPole，相較於12奈米製程的GPU，NorthPole每秒辨識幀數的能源效率是GPU的25倍。不過，NorthPole的優勢也是它的限制，只能存取晶片上的記憶體，若要存取其它地方的資訊，執行速度就會減慢。也因此，要支援更大的神經網路，就得將神經網路拆解成多個子網路，再以多個NorthPole晶片串連這些子網路。目前，NorthPole只能用於推論。<a href="https://research.ibm.com/blog/northpole-ibm-ai-chip">（詳全文）</a></p> <p><img alt="" src="https://d1bqvdqmynqyrb.cloudfront.net/_next/image?url=https%3A%2F%2Fresearch-website-prod-cms-uploads.s3.us.cloud-object-storage.appdomain.cloud%2FNorthpole_1_8bfb301f9f.jpg&w=2048&q=75" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>全球24位AI大將聯手呼籲：企業和政府應將1/3的AI預算用於風險管理</strong></span></p> <p>包括圖靈獎得主Yoshua Bengio、Geoffrey Hinton在內的24位AI大師日前聯手發表一篇治理框架論文，要來解決AI日益增長的風險問題。該文提出幾項建議，比如企業和政府應將至少三分之一的AI研究預算，來確保AI開發符合風險管理和倫理要求，且政府應盡快、全面地了解AI發展，尤其監管機構得實施模型註冊要求、舉報人保護、事件報告和模型開發與超級電腦的使用監控。</p> <p>他們也呼籲，在部署模型前，監管機構應有權存取AI系統，來評估其風險，例如自主複製、駭進電腦系統或散播病毒等。文章也建議，政府應使AI開發商和擁有者具備法律責任，以便及早預防模型可能造成的危害。<a href="https://managing-ai-risks.com/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 透明度 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span></p> <p><span style="font-size:22px;"><strong>史丹佛大學發表基礎模型透明度指標</strong></span></p> <p>美國史丹佛大學以人為本AI學院（Stanford HAI）近日公布十大基礎模型的透明度指標，其中最高的是Lama 2、為54%，但仍不夠高，團隊認為它們全都缺乏透明度。</p> <p>進一步來說，調查的10款基礎模型有Llama 2、BloomZ、GPT-4、Stable Diffusion、Claude、PaLM 2、Command、Jurassic-2、Inflection和Titan。而Stanford HAI制定100項基礎模型的透明度指標，其中三分之一與模型如何建置有關，例如訓練資料的相關資訊、建置模型的人力以及使用的運算資源等，另外三分之一與模型本身有關，像是可信度、風險或如何緩解風險等，最後則與下游如何使用模型有關，包括揭露模型分配的公司政策、使用者資料保護以及公司是否替受影響的個人提供補救機會等。</p> <p>在這些指標中，表現最好的是模型基本資訊，也就是供應商是否揭露基礎模型的模式、規模、架構，以及中心化的模型文件，平均透明度為63%。表現最差的則是影響，亦即基礎模型是否揭露對下游應用的影響，如使用上的統計、監控或提供補救機制，其平均透明度只有11%。<a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index">（詳全文）</a></p> <p><img alt="" src="https://hai.stanford.edu/sites/default/files/inline-images/Transparency%20model%20image%201_0.jpeg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台灣大 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 客服 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size:22px;"><strong>台灣大優化智能客服小麥，還要發展語音版Chatbot</strong></span></p> <p>台灣大用生成式AI優化智能客服Chatbot小麥，要來分擔真人客服工作量。他們與IT聯手，先將企業知識點資料庫，轉換為向量空間，讓語言模型理解使用者提問、在向量空間內計算信度，再將信度最高的答案作為模型回應，而非任意生成回答。如果企業知識點不足，就會利用語言模型文字接龍的特性，在後臺擴充知識。</p> <p>台灣大將這個做法稱為AI 2.0優化，他們發現，經過AI 2.0改善的小麥，比起先前的技術，更能回答用戶艱澀難懂的提問，回答正確率還提高3倍多，顧客滿意度也提高了。再來，台灣大進一步打造語音客服Chatbot，採ASR語音辨識技術，能辨識用戶提問中夾雜的國臺語、英文，且能辨識企業服務的特殊用語，還能調整說話音調和語速。有了這些經驗，台灣大也將這些應用打包為AI 2.0方案，作為AIaaS一站式服務，含底層多雲、混合雲架構，也提供不同LLM供企業選擇，並提供ASR語音辨識、TTS語音生成等工具。<a href="https://www.ithome.com.tw/news/159375">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人技術 </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI也能優化機器人訓練，Nvidia揭露新系統</strong></span></p> <p>Nvidia日前發表一款AI系統Eureka，以GPT-4為基礎，能訓練實體機器人執行近30種複雜任務，如轉筆、開抽屜等。Eureka是Nvidia研究院的演算法研究成果，可搭配Nvidia自家的物理模擬應用程式Isaac Gym，來進行強化學習。</p> <p>有別於傳統強化學習的獎勵模式，Eureka透過GPT-4和生成式AI撰寫程式碼，來獎賞機器人手臂或手指，來進行強化式學習。過程中，開發者不需要輸入任務提示，也不需撰寫預定義的獎賞範本，還能結合人類回饋來修正獎賞，讓機器手臂更精準執行動作。團隊也公布Eureka測試結果和程式碼，並表示這種生成式AI優化的機器人技術，可實現更靈巧的機器人控制，還能為動畫創作生成更逼真的實體動作。<a href="https://blogs.nvidia.com/blog/2023/10/20/eureka-robotics-research/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/sDFAWnrCqKc?si=UmfCaI2bpiEpUVg7" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 酷課雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 教育 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北市 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北市推出AI教學輔助系統</strong></span></p> <p>臺北市教育局最近上線AI智慧教學輔助系統「酷AI」，提供5項AI功能，包括3項幫助學生學習的AI學習小幫手、AI口說練習、AI學習加油站，以及2項輔助老師教學的AI輔助出題、AI輔助作文批閱等功能。</p> <p>進一步來說，臺北酷課雲是一款整合各項雲端教育學習資源和教學工具的教育雲平臺，這次上線的酷AI就是酷課雲一部分。就AI學習小幫手來說，它能與學生對話，引導學生學習提問的方法，來提高學生探索和自主思辨能力。而AI口說練習功能，則是讓學生上傳英語口說音檔，由AI分析口說表現並提出建議，；AI學習加油站則是藉AI分析學生各項線上學習行為，如教材瀏覽點擊數、作業完成時間和題目作答正確率等，來即時了解學生學習情形，並提供學習輔助建議、主動推播合適的教材內容。</p> <p>另一方面，就輔助教學來說，AI輔助出題是要幫助老師發想多元評量題目，AI輔助作文批閱功能，則是要幫助老師快速檢視學生作文練習成果，縮短批閱時間。北市教育局表示，酷AI系統已於10月26日正式上線，全市師生都可使用。<a href="https://www.gov.taipei/News_Content.aspx?n=F0DDAF49B89E9413&sms=72544237BBE4C5F6&s=A42DF904053B3243">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 文生圖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nightshade </span></strong></span></p> <p><span style="font-size:22px;"><strong>出現能對文生圖AI模型下毒的新工具</strong></span></p> <p>OpenAI、Google等生成式AI業者擷取網路上圖片訓練AI模型引發創作者不滿。一群芝加哥大學研究員發展出Nightshade工具，可擾亂AI業者的底層模型，而且很難發現。該工具是一種專從提示發動的下毒攻擊手法，比如稍稍變更圖片，像變造狗圖片（如擬人化的狗），當這些「含毒」圖文成為訓練資料集，就可能擾亂AI模型。</p> <p>研究員也攻擊Stable Diffusion V2、SDXL及DeepFloyd等知名模型，來驗證效果。測試顯示，只要很少的有毒樣本就能擾亂AI模型，例如不到100個變造過的「狗」圖片，即可污染SDXL模型對「狗」的概念，使其在接受「狗」的提示時，產出貓的圖片。<a href="https://arxiv.org/pdf/2310.13828.pdf">（詳全文）</a></p> <p>圖片來源／IBM、史丹佛大學、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 吳恩達聯手LangChain開設生成式AI課程</strong></p> <p><strong>2. TikTok發表可理解語、音訊和音樂的生成式AI模型SALMONN</strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/26 17:46作者王若樸https://www.ithome.com.tw/news/159508
蘋果調漲Apple TV+與Arcade等服務費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周悄悄調漲了Apple TV+與Apple Arcade等多項服務的全球費率，包括美國與臺灣市場在內。</p> <p>原本臺灣市場的Apple TV+每月訂閱費率為170元新臺幣，但本周已被調高至250元新臺幣；Apple Arcade每月原本也只要170元新臺幣，則被調高至220元新臺幣；至於Apple Music的每月訂閱費用則維持在150元新臺幣，並未更動。</p> <p>在調漲各服務的費率之後，包含50GB儲存空間的iCloud+、Apple TV+、Apple Music與Apple Arcade的Apple One套裝服務個人方案，每月訂閱價格也從315元新臺幣增加至390元新臺幣；內含200GB儲存空間的Apple One家庭方案，則從395元新臺幣漲至490元新臺幣。</p> <p>美國的Apple TV+每月費率則從6.99美元漲至9.99美元，Apple Arcade則從4.99美元漲至6.99美元。</p> </div></div></div>
2023/10/26 14:51作者陳曉莉https://www.ithome.com.tw/news/159499
Amazon測試可供廣告主使用的圖像生成AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-ai-powered-image-generator" target="_blank">Amazon旗下的廣告服務Amazon Ads周三（10/25）宣布</a>開始測試廣告圖像生成AI工具，可協助廣告主將單調的產品照片變成更豐富的廣告圖像。</p> <p>根據Amazon於今年3月所進行的調查，在那些無法成功執行行銷活動的廣告主中，有接近75%指出它們所面臨的最大挑戰是建置廣告創意及選擇創意格式。廣告主的擔憂其來有自，Amazon的測試顯示，在一個行動裝置上的贊助品牌廣告上行銷同一個烤麵包機，產品圖像選擇一個採用空白背景的烤麵包機，或是一個具備廚房背景的烤麵包機，後者的點擊率比前者高出40%。</p> <p>Amazon Ads資深副總裁Colleen Aubrey表示，製作引人入勝且具差異化的廣告創意會增加成本，而且通常需要於廣告流程中導入額外的專業，於是他們決定推出圖像生成AI工具，讓廣告主更容易製作廣告圖像，且完全不需要技術背景就能使用。</p> <p>廣告主只要在Amazon Ad控制臺中先選擇產品再點選生成（Generate），它就會自動產生一組同時具備品牌與生活風格的圖像，還能另外輸入文字提示來調整圖像內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-amazon%20ad-generatvie%20ai-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> <p>Amazon Ads主要協助Amazon上註冊的賣家、供應商、書商、出版商、程式開發者或廣告代理商張貼廣告，廣告的曝光平臺包括Amazon與其它網站，此一圖像生成工具仍處測試階段，目前僅供特定廣告主試用，未來也會擴大測試範圍。</p> <p>除了圖像生成之外，<a href="https://www.aboutamazon.com/news/small-business/amazon-sellers-generative-ai-tool" target="_blank">今年9月Amazon也曾針對該平臺的賣家提供文字生成服務</a>，該服務出現在Seller Central中，賣家只要輸入形容產品的幾個字或幾句話，系統就會自動生成高品質的產品描述文字供賣家編輯。</p> </div></div></div>
2023/10/26 13:32作者陳曉莉https://www.ithome.com.tw/news/159498
高通發表可跨裝置及系統交流的Snapdragon Seamless技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動晶片大廠高通（Qualcomm）於本周舉行的Snapdragon高峰會上發表了<a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unveils-snapdragon-seamless-to-allow-your-devices-to-wo" target="_blank">Snapdragon Seamless技術</a>，可用來無縫連結採用不同作業系統的各種裝置，還能彼此分享資料與周邊設備，從共享滑鼠與鍵盤，到在不同的裝置上拖曳視窗，以創造一個類似蘋果生態體系的互動環境。</p> <p>Snapdragon Seamless是個跨平臺技術，可讓Android、Windows或是採用其它作業系統的Snapdragon裝置得以發現彼此，亦可共享資訊，如同一個整合系統般地運作。</p> <p>目前高通已將Snapdragon Seamless技術整合到旗下的平臺，包括最新的行動平臺Snapdragon 8 Gen 3，最新的PC平臺Snapdragon X Elite，以及穿戴與聽覺平臺，並計畫於未來延伸至XR、Auto與IoT領域。</p> <p>高通引用了Deloitte今年的消費者調查報告，指出每個美國家庭平均擁有21種不同的數位裝置，大多數時候這些裝置的互動並不好，特別是來自不同製造商的時候，但藉由Snapdragon Seamless，裝置製造商與作業系統業者就能改善消費者的多裝置體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-qualcomm-Snapdragon%20Seamless-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_高通</span></span></p> <p>例如讓滑鼠及鍵盤可以無縫地在PC、手機與平板電腦之間切換，允許不同裝置上的視窗及檔案互相拖放，或是耳機得以根據音源的優先順序自動切換等。</p> <p>迄今包括微軟、Android、小米、華碩、Honor、聯想與OPPO都已與高通合作，準備利用Snapdragon Seamless作為全球的裝置平臺，以推動多裝置體驗，且最快今年就會實現。</p> </div></div></div>
2023/10/26 11:43作者陳曉莉https://www.ithome.com.tw/news/159487
X提供視訊、VoIP通話功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用戶發現，前身為推特（Twitter）的X開始提供VoIP及視訊通話功能。</p> <p><a href="https://twitter.com/the_marcoli_boy/status/1717266451394888063" target="_blank">本周多名用戶</a>在開啟X app時接獲<a href="https://twitter.com/SharyOfficial/status/1717232523833495558" target="_blank">跳出視窗通知</a>，聲音及影像通話功能已經部署到用戶端，提醒用戶完成設定後開始使用。</p> <p class="rtecenter"><a href="https://twitter.com/the_marcoli_boy/status/1717266451394888063" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-audio%20vedio%20call-X%20former%20twitter-photo%20by%20Twilight%20on%20X.png" style="width: 300px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;"><a href="https://twitter.com/the_marcoli_boy/status/1717266451394888063" target="_blank">圖片來源_Twilight on X</a></span></span></p> <p>在X設定頁，用戶可以選擇接聽影音通話的對象有三種，包括用戶聯絡簿中的友人、用戶追蹤者，以及經過驗證的用戶。</p> <p>這是馬斯克（Elon Musk）去年10月底接手推特之前就提出的構想之一。馬斯克希望X／推特不只是社群媒體平臺，而是可支援數位生活眾多服務的多功能平臺，因此他預見X也將提供通訊、線上購物、影片上傳或支付功能。</p> <p>同時間馬斯克也亟欲讓X及早實現獲利目標。目前X已推出8美元月費的純網站版Twitter Blue（iOS版為11美元），X也正規畫全用戶付費制。<a href="https://www.theverge.com/2023/10/17/23921752/x-not-a-bot-charge-new-users-elon-musk" target="_blank">馬斯克上周透露</a>未來將啟動2階層式付費，其中包含一個小額付費。<a href="https://www.theverge.com/2023/10/17/23921752/x-not-a-bot-charge-new-users-elon-musk" target="_blank">上周X也開始在紐西蘭及菲律賓測試</a>1年1美元的收費制，不過該公司說這項收費服務目的在打擊假帳號及機器人。</p> </div></div></div>
2023/10/26 12:11作者林妍溱https://www.ithome.com.tw/news/159488
微軟執行長暗示Copilot可能取代Windows開始選單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周微軟執行長Satya Nadella站臺高通產品發表會時，暗示Windows開始內建的Copilot可能成為下一個「開始」選單，成為Windows PC的控制中樞。</p> <p><a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unleashes-snapdragon-x-elite--the-ai-super-charged-plat" target="_blank">高通昨日發表</a>預定2024年出貨的Windows筆電處理器平臺Snapdragon X Elite，當中內含新一代Hexagon神經網路處理器（NPU），執行AI任務的速度達45 TOPS，是現有產品的3倍。</p> <p>Nadella昨日出席站臺演說中提及下一代AI PC時說，Copilot好比「開始」功能鍵，已為用戶應用程式體驗的協調者（orchestrator）。他舉例，用戶開啟Copilot表達意向，它就會引領用戶找到該App，或是執行該App，因而協助用戶學習、查詢、建立文件，已經完全改變用戶使用習慣。他表示，透過AI處理器和Windows的合作，可以做到過去無法實現的新體驗。</p> <p>Nadella並未再著墨，但不少<a href="https://www.pcworld.com/article/2115354/nadella-copilot-is-the-new-windows-start-button.html" target="_blank">媒體</a>則<a href="https://www.xda-developers.com/copilot-could-be-new-start-button/" target="_blank">解讀</a>，Copilot或許會扮演下一代Windows的開始選單的角色。</p> <p>雖然開始選單對Windows很重要，但一般用戶要搜尋網頁或開啟App（或文件），會分別開啟瀏覽器及找到該App（或文件），不會從開始功能鍵著手，即使透過開始功能鍵尋找文件、設定或應用程式，過程還是很花時間。Windows導入Copilot即在解決這個問題。</p> <p><a href="https://www.ithome.com.tw/news/158994" target="_blank">9月底透過更新</a>，Copilot已經正式內建到Windows 11中，成為使用者操作Windows的助理，包括幫助用戶尋找開啟App或檔案、搜尋網路，將電腦和藍牙耳機配對，或是抓取螢幕擷圖等。但目前這些功能都還很基本。</p> <p>媒體相信，微軟寄望在未來的Windows中，高通Snapdragon X Elite中的CPU和NPU，甚至Intel的Meteor Lake可加速Windows上的AI任務，提升Copilot使用經驗，進而取代「開始」選單。而時間表可能會落在下一個重大更新Windows 12中。</p> <p><a href="https://blogs.windows.com/windows-insider/2023/09/26/releasing-windows-11-version-23h2-to-the-release-preview-channel/" target="_blank">9月底微軟釋出</a>了Windows 11 23H2，何時會推出Windows 12還不確定。一般推測應該會在2024年。</p> </div></div></div>
2023/10/26 12:38作者林妍溱https://www.ithome.com.tw/news/159496
Meta公布第三季財報，員工人數比去年同期減少24%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2023/Meta-Reports-Third-Quarter-2023-Results/default.aspx" target="_blank">Meta周三（10/25）公布</a>該公司今年第三季財報，該季Meta創下341億美元的營收，成長23%，淨收入為116億美元，成長164%，此外，這一年以來多次大大小小的裁員行動，也讓Meta的員工人數比去年同期減少24%，只剩66,185名。</p> <p>Meta表示，從2022年開始，該公司便展開了許多措施來追求更大的效率，同時重新調整業務與策略的優先順序，截至今年9月30日，基本上已經完成了當初規畫的裁員行動，並將繼續評估設施的整合與資料中心的重整。</p> <p>在341億美元的營收中，有336億美元來自廣告，成長23.5%，這也占了Meta總營收的98.5%，另有2.1億美元來自MR團隊Reality Labs，下滑26.3%。此外，Meta的家族程式（Family of Apps）替該公司帶來175億美元的收入，而Reality Labs則創造了37.4億美元的虧損，與去年同期的36.7億美元虧損差不多。</p> <p>該季Family of Apps（Facebook、Messenger、Instagram與WhatsApp）的每月用戶數為39.6億，成長7%，若單看臉書（Facebook），其每日用戶數為20.9億，成長5%，每月用戶數則是30.5億，成長3%。</p> <p>另根據外電報導，Meta執行長祖克柏（Mark Zuckerberg）於財報會議中透露，Meta於今年7月發表、用來挑戰X（Twitter）的Threads，其每月活躍用戶數已接近1億，同時祖克柏也期望Threads可成為一個擁有10億用戶的服務。</p> </div></div></div>
2023/10/26 12:52作者陳曉莉https://www.ithome.com.tw/news/159497
剖析上線環境效能，Granulate打造不需改程式碼調校軟體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/gprofiler-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年5月英特爾舉行的上半年全球用戶大會Vision期間，特別提到近期他們併購一家新創軟體公司Granulate Cloud Solutions，買下這家廠商的目的及技術應用獨特性、效益，引發眾人好奇。</p> <p>英特爾執行副總裁暨資料中心與AI事業群總經理Sandra Rivera表示，Granulate能協助雲端服務廠商與資料中心業者，運用自動化與即時、持續學習的軟體部署，大幅提升應用程式效能，而且不需要修改程式碼，就能獲得高達60％的效能改善幅度，以及總體運算花費減少20％到30％的成效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Granulate-1.jpg" style="width: 600px;" /></p> <p>而在實際使用案例上，Sandra Rivera推崇新創SaaS服務業者Nylas的導入，該公司在AWS與GCP這兩家公有雲服務的環境中，執行業務自動化軟體，使用Granulate的軟體之後，且不修改程式碼與投入額外研發人力的前提之下，在5天之內，他們用於AWS運算的支出減少了35％，並且獲得更理想的CPU使用率，以及回應速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Granulate-2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Graulate%20Nylas.jpg" style="width: 600px;" /></p> <p>關於實踐這些效益的過程與具體效益，Granulate在7月公布的Nylas案例介紹影片，以及目前網站揭露的案例分析研究當中，提到更多資訊。例如，從初步安裝、教育訓練到啟用，Nylas大約花了20天，而實現35％的運算開銷節省之餘，並未損及終端用戶的服務品質，無額外負擔、系統也持續運作不中斷；在此同時，他們服務的存取延遲（回應時間）縮短58％、吞吐量提升35％，相同的叢集處理的請求數量也提升至原本的2倍，而且，CPU使用量居然還能降低10％。</p> <p>而在Vision 2022大會上，英特爾公開介紹Granulate是雲端服務資源最佳化策略合作的三大公司之一，而他們發展的開放原始碼軟體gProfiler，則在效能剖析（Performance Profiling）的應用上，與英特爾既有的多種工具包並列，像是vTune、EMON、Intel Telemetry Collector。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Intel Granulate-0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Intel%20Granulate-0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-Intel Granulate2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Granulate2.jpg" style="width: 600px;" /></a></p> <p>Granulate共同創辦人暨執行長Asaf Ezra表示，Granulate gProfiler能夠剖析用戶的應用程式，呈現關鍵運作部位，而且，為了避免低度測試環境無法適當模擬實際上線而難以突顯效能瓶頸，他們發展的軟體會是執行正式上線環境當中，因此必須是低負擔（低於1％）、不會影響系統運作的，同時又是可以獨立運作的；此外，Granulate也匯集了多種樣本採集的剖析，目前聚焦在CPU的處理，未來將會擴充互斥鎖（Mutexes）、記憶體等面向，並且以火焰圖（flame graph）的形式呈現。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-Intel Granulate1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Granulate1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://user-images.githubusercontent.com/58514213/124375504-36b0b200-dcab-11eb-8d64-caf20687a29f.gif" style="width: 600px;" /></p> <p>而在程式語言的類型上，gProfiler也支援相當多種環境，像是C、C++、Go，目的是幫助用戶更了解應用程式的運作狀態，不只是顯示花在CPU進行運算的時間長短，而是將心力聚焦在需要注意的地方，以便改善程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-Intel Granulate3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Granulate3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gProfiler-console.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/gProfiler-console.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/gProfiler-console2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/gProfiler-console2.jpg" style="width: 298px;" /></a></p> <p>gProfiler最主要的價值在於「識別」進行最佳化的位置，能夠透過火焰圖來匯集選定的系統服務狀態，像是Spark叢集、Kubernetes叢集，由於相關的處理工作並非預先決定的，用戶無法得知那些工作分散在哪一臺主機上執行，有哪些Pod要排程執行，以及彼此是否配合，而在針對整個叢集進行採樣之後，就能得到全貌，隨後可根據不同服務、節點來進行條件過濾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Intel Granulate-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Intel%20Granulate-5.jpg" style="width: 600px;" /></a></p> <p>舉例來說，開發者能藉此了解有些呼叫堆疊不合理，之後可以去專心處理這部分，或是獲得建議、並結合英特爾持續推動軟體最佳化工程的成果，而得知能改用更新的軟體元件版本提升性能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-Intel Granulate4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Granulate4.jpg" style="width: 298px;" /></a></p> <p>另一個gProfiler呈現應用程式工作負載狀態的形式，是藉由表格來列舉，開發者可以檢視不同功能所屬執行時間內的狀態，找到真正耗費很多CPU時間處理的功能部位，而不只是看到它們呼叫某些功能，瞭解真正需要去改善的地方。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Granulate1.jpg" style="width: 600px;" /> </p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Epa7YryNXzc?si=zM1iddYWe2CwqAnb" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>Granulate gProfiler</strong><br /> ●原廠：Granulate<br /> ●建議售價：廠商未提供<br /> ●支援運算架構：x86_64、Aarch64<br /> ●支援執行時期環境：Clojure、Scala、Ruby、C / C++、Java、Python、JS、PHP、Go<br /> ●包含的剖析器：Python eBPF、async-profiler、py-spy、bcc、phpspy、rbspy<br /> ●安裝方式：Docker映像、DaemonSet（直接安裝在Kubernetes叢集）、命令列安裝、在DataBricks服務的節點執行指令、安裝在叢集環境中（Amazon ECS、Amazon EMR、紅帽OpenShift）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/25 23:29作者李宗翰https://www.ithome.com.tw/review/152613
不只是瀏覽器零時差漏洞，CVE-2023-4863還影響開發者生態系統、作業系統與容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月到10月，<a href="https://www.ithome.com.tw/news/159484">有相當多的零時差漏洞消息接連傳出</a>，其中一個最引發我們關注的是，<a href="https://www.ithome.com.tw/news/158723">Google在9月11日修補Chrome的零時差漏洞CVE-2023-4863</a>。</p> <p>原因在於，最初科技大廠們對於該漏洞的真正根源似乎感到困惑，直到後續更多消息曝光，才知道該漏洞的影響範圍比原先預估要大，而且是非常廣泛。</p> <p>具體而言，CVE-2023-4863為一位於WebP的堆積緩衝區溢位（Heap buffer overflow）漏洞，該漏洞的CVSS評分最初為8.8分，之後調整為9.6分，一開始揭露這個漏洞的主因，是存在於Chromium WebP圖像處理層面，後續發現其關鍵是在開源編解碼函式庫libwebp。</p> <p>基本上，可提供無失真壓縮的圖檔格式WebP，是Google在2010年推出，近年已被廣泛應用，例如，大家在網路下載圖片時，或許已經常看到會儲存成一個WebP檔，而不是JPEG或PNG檔。</p> <p>因此，在Google修補後，我們看到更多消息， Mozilla針對該漏洞修補了Firefox與Thunderbird。此時我們察覺到，這個漏洞不僅影響瀏覽器，還有軟體系統，因此也預期還會有更多相關修補消息。</p> <p>果不其然，在9月14日，我們看到1Password的資安架構師就以「誰的CVE」為題，來闡釋這個引起全球頭痛的零時差漏洞。</p> <p>原因在於，libwebp編解碼函式庫由WebM專案維護，該專案則是Google與其他許多公司的共同努力。因此，不只是Andorid、Firefox與Chromium有使用libwebp，從基於Chromium的專案來看，包括Chrome、Edge、Brave瀏覽器以及熱門Electron框架，也使用libwebp，而在Electron框架之下，還有Visual Studio Code、Singal通訊軟體、Slack協作平臺等眾多軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Whose%20CVE%20Is%20It%20Anyway_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Adam%20Caudill.jpg" style="width: 600px;" /><br /> <span style="color:#A9A9A9;">（圖片來源／Adam Caudill）</span></p> <p>到了9月底，資安界出現更多關於這個漏洞的討論。</p> <p>首先，Google在9月25日又公布了一個CVSS 10分的libwebp漏洞（CVE-2023-5129），但隔幾天撤回該漏洞編號，並稱其與CVE-2023-4863重複。主要原因可能在於，Google一開始是將該漏洞歸類為Chrome，沒有歸類到libwebp，但又因為避免再次混淆，因此改為擴大CVE-2023-4863範圍。</p> <p>接下來有其他業者也發布相關修補，如<a href="https://www.ithome.com.tw/news/159122">微軟在10月2日表示</a>，針對旗下Edge、Teams、Skype及Webp Image Extensions修補CVE-2023-4863漏洞。</p> <p>再者，由於CVE-2023-4863漏洞是由加拿大公民實驗室與蘋果工程師通報，但在漏洞揭露的4日前，蘋果才剛修補2個由加拿大公民實驗室通報的零時差漏洞（CVE-2023-41064、CVE-2023-41061），因此當時我們就猜想，有可能與同一攻擊事件有關。後續發現，原來不僅是同一商業間諜駭客攻擊事件，甚至漏洞都有關聯。</p> <p><a href="https://blog.cloudflare.com/uncovering-the-hidden-webp-vulnerability-cve-2023-4863/">Cloudflare在10月初指出</a>，蘋果9月7日修補零時差漏洞<a href="https://www.ithome.com.tw/news/158648">CVE-2023-41064、CVE-2023-41061</a>，當時對於CVE-2023-41064的說明並不完整，只說這是ImageIO中的緩衝區溢位問題，攻擊者經由製作惡意的影像可能導致執行任何程式碼，直到Google修補CVE-2023-4863漏洞，才清楚這兩個漏洞是有關聯的。</p> <p>究竟影響層面有多廣？我們找到這方面的資訊，資安業者Snyk在9月底與10月初，陸續發表對CVE-2023-4863漏洞的解析，在說明將影響其他依賴libwebp庫處理WebP圖像的應用程式之餘，更具體<a href="https://snyk.io/blog/find-and-fix-webp-vulnerability-cve-2023-4863/">說明這個漏洞對軟體生態系統影響有多廣泛</a>。</p> <p>例如，有許多操作系統與熱門應用程式框架，其實都使用libwebp編解碼函式庫來支援webp圖像，像是熱門的Electron框架，同時還指出更多通用軟體受影響，例如，包含Python圖像處理套件Pillow，用於打造2D與3D遊戲的GoDot遊戲引擎，以及廣泛使用的FFmpeg、Gimp等也使用libwebp，因此種種相依問題可能導致開發者不知受到影響。但應該要注意，實際影響層面可是相當廣泛。</p> <p>儘管根據加拿大公民實驗室所揭露的訊息，利用此漏洞的商業間諜駭客公司是NSO Group商業間諜駭客公司，看似最初的攻擊目標是針對個人植入Pegasus間諜程式，而非針對企業IT基礎設施，但若攻擊面被擴大，影響將會相當深遠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）libwebp零時差漏洞_圖片來源Snyk.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89libwebp%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Snyk.jpg" style="width: 600px;" /></a><br /> <span style="color:#A9A9A9;">（圖片來源／Snyk）</span></p> <p><strong><span style="color:#0099ff;">針對CVE-2023-4863漏洞的影響，資安業者Snyk繪製了一張圖表來展現其範圍之大，不只是影響瀏覽器，還影響開發者生態系統、作業系統與容器。</span></strong></p> </div></div></div>
2023/10/25 15:24作者羅正漢https://www.ithome.com.tw/news/159472
2023Q3零時差資安漏洞激增，短短一個多月爆出20個零時差漏洞，特別是涉及底層漏洞似乎變多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於多數人而言，一談到駭客挖掘並成功利用的零時差漏洞，可能都會認為都是微軟、Google、蘋果等大型科技公司產品的漏洞，又或是企業IT、網通、資安設備的漏洞，其實，相關的風險不僅止於此，最近一個多月以來，多家科技大廠修補零時差漏洞，以及這些漏洞在短時間內就被廣泛利用的新聞不斷，在整理這些消息的過程中，我們發現，有個議題需要大家格外重視，那就是：攻擊者找出這些漏洞、進而濫用的對象，有不少是涉及廣泛運用的開源程式庫與標準協定，因此，這些問題往往造成更大的影響。</p> <p>而且，有些零時差漏洞遭利用，可能並無法在很短時間之內就能發現，在數個月之後，廠商、開源軟體社群、用戶因為有外部資安研究人員投入分析、調查，甚至發生大規模漏洞濫用攻擊才找出漏洞根源，之後才能著手修補。</p> <p>基本上，關於零時差漏洞（zero-days），原本的定義是廠商公告他們掌握的漏洞，但可能當下無法提供修補、緩解方式，或是能提供這些補救措施，但用戶如果沒有儘快處理這些問題，就形成防護空窗期，後來，隨著許多漏洞濫用事故早於廠商公告，現在，零時差漏洞這樣的稱呼也擴大適用範圍，將漏洞在修補程式公開之前就被利用的攻擊納入，而這種行為也稱為零時差漏洞利用（zero-days exploited）。</p> <p>因此，從過往諸多事件來看，零時差漏洞利用的活動可分為兩類，第一種，攻擊者先發現新的未知漏洞、用於攻擊行動後，經過資安業者或產品業者調查，才知道有這樣的零時差漏洞，需要打造修補程式；另一種則是有新的漏洞被公開，但還沒有修補程式釋出，因此將有零時差漏洞的風險，可能有攻擊者在修補釋出前成功利用，或是根本不會有修補的情形。</p> <p>過程中，若要縮短漏洞防護空窗期，有賴於業者與用戶積極修補漏洞與部署補救與緩解機制，同時示警有哪些漏洞已遭利用，將這些情資傳播開來，讓大家對這些已知漏洞產生警覺，及早採取行動預防或因應。</p> <p>值得關注的是，最近一個月，科技大廠修補零時差漏洞的新聞不斷，這些廠商在發布安全通告或釋出修補的當下，已表明獲知該漏洞已有遭利用的情況，由於這段期間消息相當密集，多到幾乎平均每週都有3到4起的情況，格外引發我們的關注。</p> <p>在此同時，我們甚至察覺與以往的不同之處，有些零時差漏洞的影響，其實比大家原先預估的廣泛，甚至，有時不一定能很快發現攻擊者利用哪個未知漏洞。</p> <h2><strong>今年攻擊者濫用零時差漏洞情況大增</strong></h2> <p>攻擊者先發現漏洞並利用於攻擊行動的情況，近期到底有多嚴峻？根據我們的統計，2023年9月至10月上半，就出現多達20個零時差漏洞已遭利用的消息，逼近每兩天就冒出1個零時差漏洞的狀態。</p> <p>這樣的數量不尋常嗎？以資安廠商Mandiant近年發布的零時差漏洞濫用研究報告來看，<a href="https://www.mandiant.com/resources/blog/zero-days-exploited-2022">2022一整年遭大規模濫用的零時差漏洞數量是55個</a>，2021年達到歷年最高，多達81個。</p> <p>若是以上述統計數據，平均每個月有4到7個零時差漏洞，顯然，最近這一個多月來的零時差漏洞，數量快到達到月平均的3倍，確實出現得相當頻繁且密集。</p> <p>事實上，單就2023一整年而言，零時差漏洞數量之多，可能不只是超越以往，而是大暴增！在9月舉行的mWISE 2023大會上，Google Cloud Mandiant Intelligence主席Sandra Joyce透露，今年截至9月初為止，已發現62個零時差漏洞被用於駭客攻擊，因此，2023年數量是有可能再創新高。</p> <p>再從個別廠商修補動向來看，今年初至10月11日，微軟已修補24個零時差漏洞，蘋果已修補16個零時差漏洞。</p> <p>整體而言，最近這一個多月，有哪些業者的產品服務，遭零時差漏洞攻擊鎖定？包括：Google、思科、蘋果、微軟、Adobe、趨勢科技、Arm、Atlassian等，較特別的是，我們看到一些漏洞影響更是深遠，包括涉及開源程式庫libwebp、libvpx的漏洞，以及HTTP/2協定的漏洞。</p> <p>當然，幕後又是那些攻擊者先挖掘出未知漏洞，並實際利用於攻擊行動，也令大家感到好奇？儘管許多攻擊事件的事件全貌仍有待公布，綜合上述這些零時差漏洞攻擊來看，有些攻擊的幕後黑手已被找到，這些攻擊者的身分與往年資安業者的揭露相當，包含，國家級駭客組織、商業間諜公司、勒索軟體組織等。</p> <p>例如，9月6日思科公布漏洞修補消息，多家資安業者指出發動濫用攻擊的是Akira勒索軟體組織；9月7日、11日的蘋果與Google發布零時差漏洞修補，加拿大公民實驗室指出，攻擊這些漏洞的團體，有商業間諜駭客公司NSO Group商業間諜駭客公司與其客戶；9月21日蘋果公布漏洞修補，加拿大公民實驗室與Google TAG小組指出，對此發動攻擊的人，是商業間諜駭客公司Cytrox/Intellexa及其客戶；10月4日Atlassian發布漏洞修補，微軟指出濫用此漏洞進行攻擊的人，是中國駭客組織Storm-0062。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站主圖）近期多達20個零時差漏洞被用於駭客攻擊.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96%EF%BC%89%E8%BF%91%E6%9C%9F%E5%A4%9A%E9%81%9420%E5%80%8B%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E%E8%A2%AB%E7%94%A8%E6%96%BC%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A.jpg" style="width: 600px;" /></a></p> <h2><strong>釋出修補是當務之急，廠商與用戶都有責任</strong></h2> <p>在這20個零時差漏洞攻擊中，除了導致的災情，修補的狀態仍是普遍企業關注焦點，我們從中整理出目前觀察到的現況。</p> <p>一般而言，由於這些零時差漏洞攻擊涉及使用未知漏洞，因此大多數相關消息先聚焦在漏洞的通報，等到修補的釋出，再同時將未知漏洞公開，大多數零時差漏洞消息的曝光皆是如此。</p> <p>特別的是，也有廠商選擇先公開揭露漏洞、提出緩解措施，後續才釋出更新修補。例如，思科在9月6日修補的零時差漏洞（CVE-2023-20269），就是先公告漏洞警訊並提出緩解措施，等到在9月27日發布暫時的修補更新，10月11日釋出新版正式修補。</p> <p>另一種情形的處理順序剛好相反，例如，趨勢科技在9月19日公開揭露旗下產品的零時差漏洞（CVE-2023-41179），提醒已觀察到嘗試利用情形，但修補在這之前就已釋出。他們表示，受影響的Apex One SaaS在7月即修補，其他受影響產品，相關更新修補也在7月至9月12日之間陸續釋出。</p> <p>是否因為攻擊嚴重性，而採取不同措施對予以應對？像是已經出現大規模攻擊，因此，需要先一步向外界示警、提出緩解，共同因應，或是為了掌握更多攻擊情資，要先暗中通知用戶更新修補，之後才對外公開。有些廠商會特別說明這部份考量，而有些不會，而且也不一定每次都表明，因此，外界也無法掌握這部份狀況。</p> <p>還有一種情況，是因為上下游而導致修補時間被拉長。<a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html">Google TAG小組曾經指出Android上的n-day漏洞問題</a>，像是去年Arm公布修補一個漏洞，但Android系統修補該漏洞是隔年4月，這段期間，其實在Arm修補揭露的下一個月，就發現有駭客開始利用該漏洞。</p> <p>也就是說，攻擊者可以利用已知的n-day漏洞，將其作為0-day來發動攻擊。</p> <p>最近已有轉變，例如，在10月2日，Arm修補Mali GPU Driver的CVE-2023-4211漏洞，我們發現同日Android也修補，已在每月Android例行安全更新公告，說明修補同個漏洞。</p> <p>儘管還有下游手機製造商是否會盡速修補的問題，但我們認為，如今至少縮短了上游供應商、平臺的修補時間差。</p> <p>當然，更重要的是，用戶也要實際行動。否則只有廠商釋出修補，也示警攻擊者已經成功利用，但用戶裝作不知情、沒有去取得更新並修補，等於用戶沒有盡到自身之責。過去我們就看過很多例子，在廠商已經釋出修補後，資安研究人員發現網路上還是有很多設備存在曝險的情形。</p> <h2><strong>要找出已被用於攻擊的未知漏洞，可能沒那麼容易</strong></h2> <p>對於零時差漏洞的因應挑戰，我們從近期事件注意到一件事，有些漏洞利用的情形，其實並不容易追查出，即使發現攻擊行動可能利用某途徑，仍有可能數個月後才被廠商知曉、修補被濫用的漏洞根源。</p> <p>例如，9月6日思科所示警並公布的漏洞CVE-2023-20269，揭露了起因是AAA協定與其他軟體功能缺乏適當區隔，並提及此漏洞是在解決思科技術支援案例時發現，也感謝Rapid7通報了漏洞利用的情形。另也說明，他們在8月已察覺外部有漏洞利用情況。</p> <p>這個漏洞的CVSS評分為5.0，並不高，但其實，思科在8月24日的Cisco部落格上，就曾經表示察覺相關威脅報告，指出勒索軟體組織Akira鎖定未啟用MFA的思科VPN的情形。</p> <p>甚至，向思科通報的資安業者Rapid7在8月29日指出，最早從今年3月30日，就觀察到針對思科ASA SSL VPN設備的攻擊活動，並確定至少11個企業在3月到8月間遇害。</p> <p>而且，還有多家資安業者早就發現跡象，例如，Sophos在5月看到勒索軟體Akira的攻擊手法，疑似是針對尚未採用雙因素驗證的SSL VPN系統下手，惡意軟體分析員Aura與SentinelOne則是在8月確認，被針對的SSL VPN系統廠牌是思科。</p> <p>換言之，這個零時差漏洞帶來的危害，可能已經長達半年之久。而並非我們可能想像的，一旦零時差漏洞被利用於攻擊行動，外界很快就可以發現並予以修補。</p> <h2><strong>攻擊者挖掘利用的0-day，涉及上游或底層的情形增加</strong></h2> <p>另一個關注焦點是，攻擊者利用零時差漏洞來發動攻擊，能透過一次行動就造成大規模的攻擊，因此愈受歡迎的品牌，通常愈容易被當做目標，包括微軟、蘋果、Google，還有各式企業使用的IT、網通設備產品等。</p> <p>特別的是，我們發現最近攻擊者挖掘的零時差漏洞，不只上述Arm的零時差漏洞被攻擊者發現並利用，還有3個也是涉及上游或底層的狀況，是過去較少見的態勢。</p> <p>例如，在9月11日Google修補的漏洞CVE-2023-4863，最初，這似乎只是瀏覽器中的漏洞，但隨著資安界不斷揭露新的資訊，大家才知道影響層面相當廣泛。</p> <p>Google在修補此CVE-2023-4863時表示，其通報者是來自蘋果工程師與加拿大公民實驗室的專家。由於4日前，蘋果剛修補2個零時差漏洞，且加拿大公民實驗室同步揭露利用此漏洞組合的攻擊場景，因此當時我們立即聯想到，鎖定這個漏洞攻擊的幕後，可能是同樣的攻擊者在利用。</p> <p>事實上，最近我們進行後續追蹤時，發現9月底有許多資安業者專家談起這次Pegasus間諜程式的漏洞利用，會將這3個漏洞一併相提。也有不少業者指出，蘋果修補的CVE-2023-41064，與Google發布的CVE-2023-4863是有關聯的。</p> <p>關於CVE-2023-4863的討論很多，爭議在於，Google原本指出該漏洞是WebP圖像處理時的堆緩衝區溢漏洞，接著傳出所有支援WebP圖像處理的瀏覽器都受影響，後續，很多專家紛紛指出該漏洞影響深遠，因為這是存在WebP圖像處理的開源編解碼程式庫libwebp。</p> <p>此外，Google在9月28日修補的零時差漏洞CVE-2023-5217，由於漏洞存在開源視訊編解碼程式庫libvpx中的VP8視訊編碼，儘管討論熱度不及上述libwebp漏洞，但同樣有需要廣泛修補的狀況。</p> <p>另外還有一起零時差漏洞攻擊，10月10日，Cloudflare、Google與Amazon AWS公開揭露HTTP/2協定的零時差漏洞，這個被攻擊者用於發動巨量DDoS攻擊的漏洞，同樣影響層面不小。這些業者指出，任何部署HTTP/2的業者應該都會受此漏洞影響，大部分的網頁伺服器亦包含在內。</p> <p>依據上述現況，攻擊者濫用零時差漏洞的目標，確實有往底層切入的態勢。</p> </div></div></div>
2023/10/25 17:50作者羅正漢https://www.ithome.com.tw/news/159484
【資安日報】10月25日，6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月，資安業者卡巴斯基從專供行動裝置使用的Wi-Fi網路流量察覺異常，有多臺iOS手機出現可疑活動，從而發現零點擊攻擊行動Operation Triangulation，在經過4個月的調查後，該公司透露攻擊者如何防範研究人員發現其活動的跡象。</p> <p>研究人員認為，這些過往較為罕見的手法，代表駭客對iOS作業系統相當了解，而且，他們不排除Mac電腦也是遭到鎖定的對象。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/triangulation-validators-modules/110847/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊行動Operation Triangulation更多細節</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Triangulation-modules_en-ru_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Triangulation-modules_en-ru_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基今年6月證實遭到Operation Triangulation攻擊行動波及，數十名員工的iOS裝置感染惡意程式。到了最近，該公司透露更多調查結果。</p> <p>研究人員指出，駭客為了避免在資安人員的測試環境執行惡意程式，在鎖定攻擊目標之後，他們會先執行2種驗證程序，其中一種是針對JavaScript功能進行驗證，攻擊者執行多種數學運算，並偵測Media Source API及WebAssembly元件是否存在，然後利用名為Canvas Fingerprinting的瀏覽器指紋技術，使用WebGL在粉紅色背景上繪製黃色的三角形，並計算其檢查碼（Checksum）。</p> <p>在上述的JavaScript功能驗證完成之後，結果將會回傳到駭客的伺服器，接收另一個Mach-O執行檔的環境驗證工具，此工具檢查裝置是否越獄，並啟用個人化設定的廣告追蹤，收集使用者名稱、電話號碼、IMEI碼、Apple ID等系統資訊，以及已安裝的應用程式清單、正在執行的處理程序等資訊，除此之外，該工具還會清理特定的事件記錄檔案，以及駭客寄送的iMessage訊息，來抹除嘗試入侵的證據。</p> <p>經過上述的裝置檢查流程，駭客才會將惡意程式TriangleDB植入目標設備，並與C2伺服器建立通訊、發送心跳訊息。此後門程式會洩露受害者的地理位置、iCloud鑰匙圈、麥克風錄音資料，以及應用程式利用SQLite資料庫存放的使用者設定等。</p>  <p><a href="https://www.proofpoint.com/us/blog/threat-insight/copacabana-barcelona-cross-continental-threat-brazilian-banking-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴西金融木馬Grandoreiro針對西班牙、墨西哥而來</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Grandoreiro-Fig 3_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Grandoreiro-Fig%203_1.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露新一波的惡意軟體Grandoreiro攻擊行動，駭客原本的主要目標是巴西、墨西哥，以及其他美洲使用葡萄牙語和西班牙語用戶，但研究人員發現攻擊者開始將重心轉移到西班牙。</p> <p>駭客通常利用帶有URL的釣魚郵件發動攻擊，一旦收件人點選，電腦就會下載ZIP壓縮檔，其內容多半是MSI安裝檔、EXE可執行檔，或是HTML網頁應用程式檔案（HTA）。若是收信人開啟，這些惡意檔案就會透過DLL側載（DLL Side-loading）手法，執行惡意程式載入工具，從而透過C2下載、執行Grandoreiro。</p> <p>研究人員從8月24日至29日，看到駭客組織TA2725針對西班牙、墨西哥的攻擊行動，這些駭客假借西班牙金屬熱處理業者ÉSECÈ Group、墨西哥電信業者Claro的名義寄送釣魚郵件。</p> <p><a href="https://www.hackread.com/chinese-scammers-fake-loan-apps-money-laundering/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客透過冒牌貸款應用程式，騙取使用印度數位支付平臺安卓用戶的個資及銀行帳號</span></strong></a></p> <p></p> <p>資安業者CloudSEK揭露中國駭客鎖定印度數位支付平臺的攻擊行動，駭客從今年7月至9月，透過55款冒牌的金融及貸款應用程式，向使用者聲稱可以提供即時貸款，然而一旦使用者依照指示申請，對方在取得個人資料及貸款手續費（約貸款金額5%）之後就無法聯繫。這些駭客從7月22日至9月18日，竊得3萬張Adhaar卡片及銀行帳戶、入侵4萬臺安卓設備，騙得379萬盧比（相當於4.6萬美元）。</p> <p>研究人員指出，雖然駭客主要目標是印度的數位支付平臺，但是他們的攻擊範圍涵蓋巴西、土耳其、墨西哥、越南、馬來西亞、哥倫比亞、印尼、菲律賓、南非。由於在這起攻擊行動當中，駭客運用了中國的支付閘道，以及印度的錢騾，導致執法單位難以追蹤這起惡意活動。</p> <p><a href="https://www.ettoday.net/news/20231020/2606195.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上影視平臺LiTV基礎設施1月遭破壞，涉案前IT主管遭起訴，檢方透露更多細節</span></strong></a></p> <p></p> <p>線上影視平臺LiTV於今年1月24日，發現公司網路遭到入侵，刪除資料庫，以及提供影音服務的雲端虛擬伺服器檔案，刑事警察局接獲報案進行調查，發現設籍基隆市的49歲陳姓資訊工程師涉嫌重大，2月20日拘提到案，陳嫌表示犯案動機與訂閱LiTV影視服務有關，<a href="https://www.ithome.com.tw/news/156623#litv">4月底警方移送臺北地檢署</a>，最近檢調單位找出到了更多證據。</p> <p>根據ETtoday新聞雲、三立電視臺、華視等媒體報導，這名嫌犯是LiTV的前IT主管，他因為離職後不斷收到該公司的內部信件，認為接任的新主管不用心而想要給個教訓，因此在大年初一、初二（1月22日、23日）凌晨，開車到公司附近，並以筆電存取免費Wi-Fi無線網路，入侵主機系統，此人設計迴圈程式，透過程式執行自動刪除檔案的工作。</p> <p>直到筆電電源耗盡自動關機，這名前主管返家充電，當充電到達一定電量，這臺電腦自動開機，連上住家的Wi-Fi無線網路，繼續執行前述的迴圈程式，約莫經過3分鐘，陳男才關閉程式與筆電，並多次將電腦還原、格式化，而這3分鐘的連線記錄也成為犯案的證據。臺北地檢署認定陳男涉嫌刑法妨害電腦使用罪的無故刪除或變更他人電磁紀錄，且致生損害於他人罪，依法提起公訴。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對鎖定NAS設備而來的暴力破解攻擊，威聯通提出更多說明，表示今年已出現多起攻擊行動</span></strong></p> <p></p> <p>上週臺灣NAS廠商威聯通（QNAP）發布資安通告，表示他們10月中旬攔截大規模暴力破解攻擊，駭客鎖定NAS設備而來，現在該公司提出進一步的說明。</p> <p>威聯通產品資安事件應變團隊經理黃士展表示，針對這起攻擊行動，他們接獲零星用戶通報受害，多半是admin帳號啟用、且使用弱密碼而讓攻擊者得逞。由於該公司在出廠即搭載QTS 5.0以上版本作業系統的NAS設備，admin帳號預設就是停用的狀態，受影響的情況較為有限。對此，他們呼籲由舊版QTS升級的使用者，應檢查admin帳號是否已經停用。</p> <p>再者，黃士展指出他們今年偵測到多起類似的攻擊行動，攻擊流量來自特定的殭屍網路，但該殭屍網路並非只有在Digital Ocean架設主機。他們也建議用戶安裝防火牆應用程式QuFirewall，該應用程式會自動更新弱密碼攻擊的黑名單，隔絕暴力破解攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/rockwell-automation-warns-customers-of-cisco-zero-day-affecting-stratix-switches/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">工控自動化設備業者Rockwell針對思科IOS XE零時差漏洞提出警告，旗下工業網路交換器也曝險</span></strong></a></p> <p></p> <p>思科揭露網路設備作業系統IOS XE的零時差漏洞CVE-2023-20198、CVE-2023-20273，且已出現大規模攻擊行動，有其他採用這套作業系統的網路設備也可能曝露相關風險。</p> <p>10月24日工業自動化設備製造商Rockwell發布資安通告，表示旗下的工業網路交換器Stratix 5800、5200系列也採用IOS XE作業系統，若是IT人員啟用網頁介面的功能，就可能存在CVE-2023-20198，攻擊者可在未經身分驗證的情況下，遠端於交換器上建立具有等級15權限的帳號，並用來控制目標設備，CVSS風險評分為10，美國網路安全暨基礎設施安全局（CISA）也對此提出警告，呼籲IT人員採取相關緩解措施。</p> <p>值得留意的是，該公司並未提供修補程式，也沒有提及上述交換器是否受到CVE-2023-20273影響。</p> <p>資料來源</p> <p>1. <a href="https://www.rockwellautomation.com/en-in/support/advisory.PN1653.html">https://www.rockwellautomation.com/en-in/support/advisory.PN1653.html</a><br /> 2. <a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-297-01">https://www.cisa.gov/news-events/ics-advisories/icsa-23-297-01</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-admins-of-public-exploit-for-vrealize-rce-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware事件記錄分析系統的RCE漏洞傳出被用於攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/crimeware-report-gopix-lumar-rhysida/110871/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida與竊資軟體Lumar、GoPIX串連，攻擊巴西行動支付系統</span></span></strong></a></p> <p></p> <p><a href="https://securelist.ru/ataki-na-industrialnyj-i-gosudarstvennyj-sektory-rf/108229/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯工業組織遭到後門程式攻擊，駭客企圖竊取機密資料</span></span></strong></a></p> <p></p> <p><a href="https://media.defense.gov/2023/Oct/04/2003313510/-1/-1/0/ESF%20CTR%20IAM%20MFA%20SSO%20CHALLENGES.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA、NSA發布新的身分及存取管理指南</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159462"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">政府推出111短碼簡訊平臺，杜絕詐騙集團冒用公家名義簡訊詐騙</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159454"><strong>【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</strong></a></p> <p><strong style="color: rgb(7, 130, 193);">【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</strong></p> <p><a href="https://www.ithome.com.tw/news/159415"><strong>【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</strong></a></p> </div></div></div>
2023/10/25 16:58作者周峻佑https://www.ithome.com.tw/news/159482
微軟營收成長13%，智慧雲端領航
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2024-Q1/press-release-webcast" target="_blank">微軟周二（10/24）公布</a>了截至今年9月30日的2024財年第一季財報，顯示該季微軟創下565億美元的營收，比去年同期成長13%，淨收入（Net Income）為223億美元，成長27%，每股盈餘為2.99美元，當天微軟盤後上漲了3.89%，股價為343.38美元。</p> <p>從營收類別來看，該季微軟的智慧雲端（Intelligent Cloud）營收為243億美元，成長19%，生產力與業務流程（Productivity and Business Processes）為186億美元，成長13%，更多個人運算（More Personal Computing）營收是137億美元，成長3%。</p> <p>觀察個別產品或服務的營收成長幅度，表現最好的是Azure與其它雲端服務，成長了29%，居次的是Dynamics 365，成長28%，Microsoft Cloud亦成長24%。</p> <p>不管是在營收規模或成長幅度上，智慧雲端類別都扮演著領航的角色。此一類別由伺服器產品及雲端服務組成，涵蓋Microsoft Azure、Microsoft SQL Server、Windows Server、Visual Studio、System Center、GitHub，以及各種Enterprise Services。</p> <p>而微軟執行長Satya Nadella則聚焦於該公司近來大力投資的AI，指出微軟將利用Copilot替全球的人們與企業建置真正的人工智慧時代，正快速將AI融入技術堆疊的每一個層面，以及每一個角色與商業流程，以協助客戶提升生產力。</p> </div></div></div>
2023/10/25 15:34作者陳曉莉https://www.ithome.com.tw/news/159473
美國逾40州控告臉書與IG故意令青少年上癮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國有42州的檢察長周二（10/24）一起將Meta告上了法院，指控Meta故意設計許多令人上癮且有害的功能來吸引青少年，不顧這些年輕人的心理健康，以最大化旗下Facebook及Instagram（IG）平臺的收益，且就算《兒童線上隱私保護法案》（COPPA）規定社交平臺需要取得父母同意才能允許13歲以下的兒童或青少年註冊，但Meta卻放任不管。</p> <p>這42個州涵蓋了亞利桑那州、加州、夏威夷州、馬里蘭州、明尼蘇達州、紐約州、麻薩諸塞州、俄亥俄州及華盛頓州等，這些州的檢察長不分黨派地共同對Meta提出了告訴。</p> <p>他們指控Meta特別鎖定年輕人，設計與部署可吸引年輕人的功能，再藉由資料蒐集及目標式廣告來獲利。不過，Meta卻對外宣稱其社交平臺是安全的，還說其目標是支持年輕族群的幸福，但Meta考量的是最大化其參與度而非年輕族群的安全，其推薦演算法鼓勵強迫性使用，有損年輕族群的心理健康，採用破壞性的視覺及觸覺通知來干擾使用者的教育及睡眠，宣稱可建立使用者與親友之間的連結，實則是為了增加使用者耗在這些平臺上的時間。</p> <p>研究顯示，有81%的家長宣稱自己的小孩在8歲~13歲之間就開始使用社交平臺，該訴狀則說，Meta知道IG上有11%的用戶只有9~11歲。</p> <p>此外，Meta旗下平臺的無限滾動功能、持續跳出的通知、自動播放的Stories與Reels功能，都被這些檢察長視為是專門用來創造年輕人擔心錯過（Fear Of Missing Out，FOMO）的焦慮感，也利用了類似吃角子老虎所使用的間歇性可變獎勵（Intermittent Variable Reward）來令使用者上癮，凌駕了年輕族群規範自己的能力，而對青少年的大腦發育與心理健康產生負面影響。</p> <p>根據研究，較無自制力的青少年使用社交媒體1小時後，其幸福感與自尊心都會下滑，而自我傷害、抑鬱及行為挑戰則會增加，且習慣察看社交媒體會改變青少年的大腦化學反應，也會改變大腦對社會獎勵與懲罰的敏感性。</p> <p>這42州的檢察長期望透過訴訟來阻止Meta繼續部署這些有害的策略，同時受到處罰以及提供賠償。</p> </div></div></div>
2023/10/25 15:40作者陳曉莉https://www.ithome.com.tw/news/159474
WordPress.com母公司Automattic買下可集結所有傳訊服務的Texts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress.com母公司<a href="https://wordpress.com/blog/2023/10/24/texts-joins-automattic/" target="_blank">Automattic周二（10/24）宣布</a>，已買下可整合各大傳訊服務的<a href="https://texts.com/" target="_blank">Texts.com</a>，外傳此一交易價值5,000萬美元。</p> <p>Texts利用Texts Platform SDK來集結所有主要的傳訊平臺，從iMessage、WhatsApp、Telegram、Signal、Messenger、Twitter（現在的X）、Instagram、LinkedIn、IRC、Slack到Discord DM。它目前只有桌面版，支援macOS、Windows與Linux，目前正在開發iOS版本，亦計畫推出Android版。</p> <p>Texts最大的功用就是在同一個介面上集結上述的所有傳訊服務，它也提供了AI助理功能，可在面對來不及瀏覽的聊天室大量訊息時，幫使用者摘錄重點，也於平臺上整合了ChatGPT以幫使用者撰寫回應，亦可即時將訊息翻譯成不同的語言。</p> <p>此外，它還能搜尋訊息，在回應之前把所有訊息都標示為已讀，安排訊息發送的時間，暫停來自某個人的訊息，使用者亦可客製化其介面。另也強調所有的訊息都是直接由既有的傳訊平臺傳送與接收，不會觸及Texts平臺。</p> <p>Texts為訂閱制，每月的訂閱費用為12.5美元，但不管是Automattic或Texts都未透露其現有的用戶數。</p> <p>Automattic為開源部落格軟體WordPress主要的貢獻者，該公司在2005年推出出版平臺WordPress.com，於2015年收購WordPress的電子商務外掛程式WooCommerce，<a href="https://www.ithome.com.tw/news/132393" target="_blank">2019年買下了Tumblr</a>，現在的Automattic則認為傳訊是現代網路的未來，也是不可或缺的市場，並說Texts是市場上最好的訊息傳遞程式。</p> <p>未來Texts創辦人Kishan Bagaria將會加入Automattic，負責傳訊服務，其分散式的團隊也會繼續開發行動版的Texts服務。</p> </div></div></div>
2023/10/25 15:53作者陳曉莉https://www.ithome.com.tw/news/159476
防止圖片遭擷取，新工具讓創作者對AI模型下毒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI、Google等生成式AI業者擷取網路上圖片訓練AI模型引發創作者不滿。<a href="https://arxiv.org/pdf/2310.13828.pdf" target="_blank">有研究人員發展出一個名為Nightshade的工具</a>，可擾亂AI業者的底層模型，而且很難發現。</p> <p>現有一些對文字轉圖片的生成式AI模型的攻擊法，像是後門攻擊法是在提示中加入一些觸發字，使之生成特定圖案，但仍假設攻擊者可改變模型的降噪步驟或變更損失函數。</p> <p>但一群芝加哥大學研究人員發展出的Nightshade，是一種專從提示發動的下毒攻擊手法，手法更簡單，也不需介入模型的訓練或部署等流程。他們主要是稍稍變更圖片，像變造狗圖片（如擬人化的狗），當這些「含毒」圖文成為訓練資料集，就可能擾亂AI模型。研究人員並選擇攻擊從頭打造的模型，以及知名模型如Stability AI的Stable Diffusion V2、SDXL及DeepFloyd驗證其攻擊效果。</p> <p>測試顯示，只要很少的有毒樣本就能擾亂AI模型。例如不到100個變造過的「狗」圖片，即可污染SDXL模型的「狗」的概念，使其在接受「狗」的提示輸入時產出貓的圖片。而且Nightshade攻擊還會有「出血」（bleed-through）效果，即原本攻擊者只擾亂一種概念，如「幻想藝術」，但會漸漸影響AI模型對「龍」以及以幻想藝術知名的畫家「Michael Whelan」的生成結果。</p> <p>此外，這些圖片變造的資料集是很難防範，因為它影響的是訓練資料集的特徵空間，人無法察覺，人眼覺得正常的圖片，其實會「教壞」AI模型。而且攻擊效果是累積性。研究人員還發現，對單一模型攻擊多次，例如對SDXL發動250次Nightshade攻擊，就能毁壞SDXL的圖片生成功能。</p> <p>研究人員表示，Nightshade是給內容創作者及持有者對抗不尊重版權聲明、或故意繞過do-not-scrape/crawl opt-out的AI業者的強大武器。</p> <p>一些生成式AI業者也有自我約束作法，像是OpenAI公布爬蟲，允許網站業者阻擋。不過在有效方法出現前，像BBC主流媒體則直接拒絕這些業者的爬蟲。</p> </div></div></div>
2023/10/25 13:28作者林妍溱https://www.ithome.com.tw/news/159470
Matter 1.2版釋出，新增支援9種裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>制定智慧家庭物聯網規範的聯網標準聯盟（Connectivity Standards Alliance，CSA）昨（24）日公布Matter 1.2，最新版規範新增支援9種裝置，可透過蘋果、Google、Amazon、三星等大廠支援，以手機控制更多種聯網家電及設備。</p> <p>最新版本增加了9種裝置類型，並為現有裝置類型規範加入修訂內容，也強化核心規格、SDK、認證及測試工具。</p> <p>CSA前身為Zigbee聯盟，為了解決Zigbee「標準」規格發展混亂破壞互通性，<a href="https://www.ithome.com.tw/news/153467" target="_blank">CSA於去年秋天推出新的Matter 1.0</a>。CSA指出，推出一年多來，Matter規格文件下載高達2.5萬次，現有1,200多種認證計畫，Matter工作小組會員廠商數也成長了將近24%。如今支援Matter的廠商將近700家，包括蘋果、Google、Amazon、三星等終端軟硬體裝置大廠。在一年2個版本的承諾下，今年5月CSA釋出Matter 1.1，也成立相容性測試實驗室。</p> <p>Matter原先支援像是門鎖、燈泡、手機等小型聯網設備，Matter 1.2則擴及大型家電，包括電冰箱、冷暖氣機、洗碗機、洗衣機、吸塵器、煙霧及一氧化碳警示設備、空氣品質偵測、空氣清淨機以及電風扇等9類。這意謂著，消費用戶可以聲控或Apple Home/Siri、Google Home/Assistant或Amazon Alexa來控制更多掃地機器或開啟空調。</p> <p>Amazon上個月宣布新的Alexa，將讓Alexa可透過API整合數萬種裝置和服務，在結合LLM下，可執行複雜任務，例如Alexa可呼喚小孩上床睡覺、自動叫吸塵器吸地板、開啟浴室風扇等。</p> <p>此外，Matter 1.2也為原有裝置類型規格做了修訂，包括加入歐洲市場常見的門閂式門鎖，以及在裝置外觀，以及裝置組合的規定。</p> <p>其他宣布包括Matter 1.2 SDK獲更多平臺（包括晶片、網路及作業系統等）支援，可用於開發更多Matter相容產品。此外，CSA也宣布測試工具Test Harness開源釋出。</p> </div></div></div>
2023/10/25 13:43作者林妍溱https://www.ithome.com.tw/news/159471
女媧創造推出可以分眾行銷和會員經營的服務機器人，企業用戶還能用No-code開發工具設計專屬服務內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器人新創女媧創造宣布推出Collibot服務機器人，鎖定零售、餐飲和醫療長照等服務場景。此機器人不只能提供送餐等實體服務，還能蒐集線下店面營運數據、顧客互動數據，甚至能根據AI視覺辨識功能，即時進行分眾行銷，或辨認出常客並提供個人化服務。</p> <p><strong>模組化硬體設計加上豐富No-code開發工具，支援多元進階服務場景</strong></p> <p>Collibot特別之處在於軟硬體高度客製化能力，可以適應廣泛服務內容。硬體方面，此機器人採取分層式模組化設計，從上至下分為互動（互動型小機器人）、任務（中間貨架及互動平板）、移動（下方AMR）3層。互動層具備AI視覺辨識、AI語音互動能力，還內建12顆伺服馬達，支援企業用戶設計複雜動作。遇到故障或其他服務需求時，小機器人還可以隨時拆卸，透過平板操作即能與其他機臺的任務層配對。任務層則能視服務型態，預先安裝送餐架、抽屜、電子廣告看板、紫外線消毒燈等不同模組。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HBG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HBG.jpg" style="height: 500px;" /></a></p> <blockquote><p>Collibot的3層式模組化硬體。圖-郭又華攝</p> </blockquote> <p>軟體方面，此機器人解決方案包括Android-based的Python SDK、Unity SDK及10種雲端No-Code開發工具，企業用戶可以根據自家特有場景和經營需求，結合機器人搭載的既有技術，來設計專屬服務內容及機器人應用，並快速部署到所有機器人。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CDT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CDT.png" style="width: 600px;" /></a></p> <blockquote><p>透過10種No-code雲端開發工具，企業用戶能用來打造多種服務機器人進階應用。圖-女媧創造提供</p> </blockquote> <p>例如，需要投入機器人到不同場域，或於不同門市間調度機器人時，Collibot會先利用SLAM（Simultaneous Localization and Mappin，同時定位和建圖）技術，到新場域花費15分鐘初步建構現場地圖，便能後續自我定位、規畫路徑。企業用戶還能於後臺再編輯地圖，來修正或補充更多空間配置細節。</p> <p>Collibot也搭載了AI客服功能，串接微軟Azure OpenAI ChatGPT以及女媧創造自己開發的NLP機制。利用No-code工具，企業用戶可以根據自有資料以及品牌形象要求，利用微調和提示工程等技術來設定機器人客服回話內容。此聊天機器人還可以搜尋天氣、新聞等時事，不過經記者實測，若遇到比較複雜或敏感的問題，此機器人可能會無法回答，或產生幻覺情況。女媧創造表示，為了避免幻覺或做出不當發言，他們自己設計了敏感字過濾機制，結合AOAI本身品牌安全機制。不過，他們也坦言AI幻覺是企業用戶難以完全避免的風險。</p> <p>為了方便管理投入不同場域的機器人，Collibot機器人服務配有中心化管理工具，企業總部可以統一管理所有機器人軟硬韌體狀態，例如版本異常、連線狀態異常、電量過低、機器人騰空等情況，並有自動報錯和遠端排錯功能。另外，此機器人利用Wifi來聯網，除了語音辨識等串接外部技術的功能需要常態連線，送餐、簡單視覺辨識、數據蒐集等服務模組斷線時也可以執行，等恢復網路連線時再行同步數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RMS(1).png" style="width: 600px;" /></p> <blockquote><p>Collibot後臺RMS，可以即時追蹤投入不同場域的機器人狀態，還能線上排錯。圖-女媧創造提供</p> </blockquote> <p>企業用戶還可以串接機器人到既有CRM、電子菜單、POS、電商或金流系統，使機器人不只是送餐，還可以支援接待、介紹、行銷、結單等更多顧客服務環節。</p> <p>一個更進階的應用是各式實體數據蒐集。此機器人可以根據店內移動狀況，包括需要避開人的頻率等，來蒐集不同時段店內人口密度。或者，利用AI視覺辨識技術蒐集來店人流、顧客性別、大約年齡層，以及其他特徵，可以結合顧客訂單、等機器人互動數據，於後臺交叉分析。</p> <p>另一個重要進階應用是分眾行銷。企業用戶可以設計不同行銷腳本，例如根據看到人、螢幕被觸碰、接收到MQTT等情況，觸發揮手、語音對話、播放互動式選單等不同行為。甚至可以搭配視覺辨識功能，即時根據客群呈現出是適合內容。此機器人還支援會員再行銷，企業用戶可以串接自家客戶資料或CRM系統，供機器人辨識出既有會員，來提供個人化服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rlfw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rlfw.png" style="width: 600px;" /></a></p> <blockquote><p>企業用戶可以用拖拉的方法設定機器人自動化行銷腳本，能搭配現場感應情況及蒐集數據即時反應。圖-女媧創造提供</p> </blockquote> <p>女媧創造解釋，為了顧及會員個資隱私，企業可以透過去識別化資料比對的方式來設計會員經營功能，例如只提供會員特徵值和去識別化ID，機器人辨認出ID後，再和CRM內部資料比對。企業用戶也可以利用SDK來編寫更進階、更符合自家資安規範的CRM串接方法。不過，機器人控制需使用3大公有雲SaaS服務，因此無法透過遷移機器人服務到客戶企業內部環境來控管資安。女媧創造自家後臺資料則儲存在AWS東京數據中心。</p> <p>其他進階應用，還包括多媒體互動行銷、機器人表情設計、機器人群體演出設計等，都可以用No-code開發工具編寫。</p> <p>收費模式上，Collibot機器人採買斷制，雲端開發和管理工具則尚未正式決定收費方案，預計採取訂閱制。</p> <p> </p> </div></div></div>
2023/10/25 12:26作者郭又華https://www.ithome.com.tw/news/159468
金管會發布「金融服務業辦理數位身分驗證指引」，建立身分驗證共通原則，也加速業者辦理新型態應用的作業流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會昨日（10/24）發布「金融服務業辦理數位身分驗證指引」，建立一套金融三業辦理數位身分驗證的共通性原則，讓金融業者向主管機關申請新驗證場景或技術時，雙方可以根據同一標準進行評估。此外，為了加速金融創新，金管會也開放金融業者欲導入規範外的新應用場景或驗證技術時，可依照指引進行評估作業，並在開辦前洽詢主管機關是否需要申請業務試辦，不須等待自律規範修正，改善了以往作業程序漫長的痛點。</p> <p>過去在數位身分驗證上，金融三業未有一套共通標準來衡量數位身分驗證機制，而是以業務類別來訂定各自需要的數位身分驗證標準，例如，規範保險業辦理遠距投保時，得使用特定幾種身分驗證機制。業者若要在尚未規範的業務場景中導入驗證技術，或是在已規範的業務場景中使用新驗證技術，需等待主管機關與公會修正相關規範，才有望實際落地。而主管機關也得因應創新業務和新技術一次又一次修正規範。</p> <p>金管會表示，這份數位身分驗證指引提供了一套方法論，讓金融業者和公會都能迅速分析哪些應用場景適用哪些身分機制。該指引參考 ISO/IEC 29115，依照風險基礎原則，將數位身分驗證機制的信賴等級由低至高分為不同級數，讓業者可依據應用場景的風險高低來適配信賴等級，來評估該應用場景適當的身分驗證機制。</p> <p>指引中列出了金融業者評估應用場景風險高低的考量因素，包含當身分驗證機制失效時，是否會造成客戶及金融服務業的財務損失或代理責任、機敏資料未經授權公布、造成客戶不便、困擾等。業者要依據可能產生風險的程度，來評估適配的信賴等級，當某項應用場景風險為最高等級，就須相應使用最嚴謹的驗證機制，來確保適配最高信賴等級。反之，風險程度較低時，就可以對應較低的信賴等級，使用相對簡單的驗證機制。</p> <p>有了這項方法論，金融業者若想導入規範以外的驗證場景或技術時，就可依照風險基礎原則，自行辦理評估作業，製作驗證應用場景的風險評估報告，和數位身分驗證機制的信賴等級評估報告，再提出應用場景適當的身分驗證機制，並在開辦前向主管機關洽詢是否需要試辦，不用再等待公會修改自律規範。此外，金融各產業公會也可以按照新指引來修正原有的身分驗證規範。金管會主任秘書蔡福隆表示，《金融機構辦理電子銀行業務安全控管作業基準》自去年起開始改版，目前已修改上半部，依照新指引來框架適當的驗證機制，給予業者更多彈性。</p> <p>不過，新指引也明定金融業者辦理數位身分驗證時，應建立風險管理機制，並納入內部控制及稽核制度，且適時檢討，也應注意與客戶權益有關的事項，例如告知客戶可以撤回或修正同意蒐集、處理及應用其個人資料。</p> <p></p> </div></div></div>
2023/10/25 01:56作者李昀璇https://www.ithome.com.tw/news/159467
Alphabet財報出爐，雲端成長不如預期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/assets/4a/3e/3e08902c4a45b5cf530e267cf818/2023q3-alphabet-earnings-release.pdf" target="_blank">Alphabet周二（10/24）公布今年第三季財報</a>，該季Alphabet創下767億美元的營收，成長11%，淨收入（Net Income）為197億美元，成長41.5%，每股盈餘為1.55美元。儘管整體財報成績亮眼且超乎預期，但因其中的雲端營收僅成長22.5%，未達預設的目標，使得Alphabet當天盤後下滑了6.07%，股價跌至130.38美元。</p> <p>在Alphabet的總營收中，有596億美元來自Google廣告，成長9.5%，再加上其它營收，來自Google服務的總營收達到680億美元，至於Google Cloud的營收則為84億美元，比去年同期成長22.5%，新創事業（Other Bets）營收為2.97億美元，成長42%。</p> <p>Alphabet財務長Ruth Porat於財報中表示，該季的營收成長歸功於搜尋、YouTube與Google Cloud。</p> <p>其實Alphabet該季交出了漂亮的成績單，只有雲端營收低於預期。根據《CNBC》的報導，Porat於財報會議上透露，雲端營收不如預期主要來自於客戶優化了支出政策，該報亦分析，Google Cloud一直在努力追趕Amazon的AWS與微軟Azure，且雲端服務在AI興起、有愈來愈多企業轉而利用公有雲來執行繁重任務的時刻更為重要，使得它成為投資觀察重點。</p> <p>而在同一天公布財報的微軟，其Azure與其它雲端服務營收成長了29%。</p> </div></div></div>
2023/10/25 11:45作者陳曉莉https://www.ithome.com.tw/news/159469
遭植入後門的思科IOS XE設備數量出現異常銳減狀現象，有資安廠商證實攻擊者其實是滅除遭駭痕跡，並植入新後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科先後揭露2個已被用於攻擊行動的網路作業系統IOS XE漏洞<a href="https://www.ithome.com.tw/news/159319">CVE-2023-20198</a>、<a href="https://www.ithome.com.tw/news/159431">CVE-2023-20273</a>，駭客於受害系統植入Lua開發的後門程式，有資安業者揭露受害情形，但近期再度出現新的變化引起關注。</p> <p>根據10月22日<a href="https://www.bleepingcomputer.com/news/security/number-of-hacked-cisco-ios-xe-devices-plummets-from-50k-to-hundreds/">資安新聞網站Bleeping Computer報導</a>，有許多研究人員發現，感染後門程式的思科設備數量呈現不合理的劇烈減少現象，10月21日達到6萬臺的高峰，隔天卻突然降到只剩1,200臺。</p> <p>針對這樣的現象，<a href="https://twitter.com/onyphe/status/1715633541264900217">資安業者Onyphe認為</a>，這是因為駭客企圖埋藏攻擊意圖，而幫受害設備部署更新程式修補漏洞，使得研究人員掃描的時候不會察覺這些設備。該公司指出，他們已經連續兩天看到後門程式數量急速減少，但原因並非IT人員積極採取行動，而有可能是駭客想要解決後門程式極為容易發現的現象，開始為受害裝置套用更新。</p> <p>資安組織Shadowserver基金會也觀察到類似狀況，<a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=compromised_website&source=compromised_website6&tag=device-implant%2B&group_by=geo&style=stacked">他們看到在21日之後，感染此後門程式的設備僅剩下186臺</a>，研判後門程式可能被移除或更新。</p> <p><a href="https://s4.itho.me/sites/default/files/images/XMyEdpbkcc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/XMyEdpbkcc.png" style="width: 580px;" /></a></p> <p><a href="https://twitter.com/CERTCyberdef/status/1715787627800969374">Orange Cyberdefense CERT</a>、<a href="https://twitter.com/uk_daniel_card/status/1716131549945430356?s=46">研究人員Daniel Card</a>也對受害裝置突然減少的現象提出看法，Orange Cyberdefense CERT認為，駭客正在清理作案的痕跡，呼籲IT人員就算停用了網頁介面，也要進一步確認思科設備是否遭到入侵、竄改；Daniel Card推測，攻擊者入侵許多設備的目的，是要隱藏真正的目標。</p> <p>到了23日，<a href="https://www.linkedin.com/feed/update/urn:li:activity:7122238350849150976/">資安業者Fox-IT證實上述推測成真</a>，他們表示上述現象是因為駭客在受害裝置部署新版後門程式，數萬臺設備的後門程式已被更換，這些後門程式會在回應之前，檢查HTTP標頭進行驗證。研究人員指出，由於檢測舊版後門程式的方法沒有採用這種HTTP標頭，使得新後門程式不予回應，導致這些受害設備被誤判，檢測系統以為惡意程式已完全清除。</p> <p>根據他們的調查，目前約有37,980臺裝置遭到感染。<a href="https://github.com/fox-it/cisco-ios-xe-implant-detection">該公司將識別受害裝置的新方法上傳到GitHub</a>。</p> <p>這樣的調查結果也得到思科證實，該公司也在<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z">漏洞資安通告</a>、<a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/">威脅情報團隊Talos針對攻擊行動揭露調查結果的文章</a>裡，提供新的curl命令，讓IT人員能檢查裝置是否遭到感染。</p> </div></div></div>
2023/10/24 23:17作者周峻佑https://www.ithome.com.tw/news/159466
臺廠首款商用Wi-Fi 7基地臺登場！網路總頻寬上看22G
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhao_qin_wbe660s_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月底，數位發展部部長唐鳳宣布開放6GHz（5945至6425MHz）頻段，提供Wi-Fi 6E使用，不僅帶動支援此項規格的網通設備市場，同樣支援此頻段的下一代標準Wi-Fi 7也將受惠。雖然Wi-Fi 7預計2024年定案，但支援這項規格的產品已陸續登場。</p> <p>例如，去年11月TP-Link發表多款產品，包含無線路由器Archer系列的BE900、BE800、GE800，以及家用網狀網路系統Deco系列的BE95、BE85、BE65，今年8月底在臺推出Wi-Fi 7與Wi-Fi 6E的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-21-Zyxel Wi-Fi 7 roadmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-21-Zyxel%20Wi-Fi%207%20roadmap.jpg" style="width: 600px;" /></a></p> <p>而在商用等級產品上，10月中兆勤科技（Zyxel Networks）率先發表企業級Wi-Fi基地臺WBE660S，鎖定代管服務業者與中小型企業市場，協助建置Wi-Fi 7網路環境的解決方案。</p> <p>這款設備支援2.4 GHz、5 GHz、6 GHz這三個無線頻段，而在通訊協定上，支援Wi-Fi 7代表的802.11be標準，三頻合計最高可提供22 Gbps的網路傳輸能力，若以Wi-Fi 6與Wi-Fi 6E為基準，連線速度可達到5倍。之所以能提供如此強大的效能，兆勤表示，關鍵在於Wi-Fi 7不僅能使用6 GHz，而能獲得更大的連線服務容量，還能額外運用320 MHz這類具有更大頻寬的通道進行傳輸。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-21-Zyxel Wi-Fi 7 AP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-21-Zyxel%20Wi-Fi%207%20AP.jpg" style="width: 600px;" /></a></p> <p>WBE660S本身具備的Wi-Fi 7連線能力，其實是源於搭配高通（Qualcomm）去年5月發表的無線通訊晶片Networking Pro 1220，這款晶片支援三頻、12個串流的訊號傳輸，網路存取容量最高可達21.6 Gbps，兆勤表示，可提供強大的運算能力與確保連線順暢度。在天線配置上，這款設備採用3支以4x4陣列配置、4個空間串流的智慧型天線，能以聰明的方式調整天線通訊模式，減輕訊號干擾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualcomm Wi-Fi 7 Platform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcomm%20Wi-Fi%207%20Platform.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s7d1.scene7.com/is/content/dmqualcommprod/graph_custom-desktop" style="width: 600px;" /></p> <p>在晶片與天線之外，WBE660S也結合進階的射頻濾波器（RF Filter），以及進階行動網路共存技術（Advanced Cellular Coexistence，ACC），能夠減少鄰近Wi-Fi頻道與4G/5G行動寬頻網路的干擾，可確保所有頻道的傳輸效能，也能充分利用Wi-Fi 7提供更大的正交振幅調變（QAM）——802.11ax為1024 QAM，802.11BE為4096 QAM，從而提供最大的吞吐量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/img_wbe660s_3d_photo_c02_web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/img_wbe660s_3d_photo_c02_web.jpg" style="width: 400px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel Smart antenna.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20Smart%20antenna.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WBE660S_antenna2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WBE660S_antenna2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WBE660S_Hardware_Design2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WBE660S_Hardware_Design2.jpg" style="width: 600px;" /></a></p> <p>關於多個基地臺的管理與安全防護方面，WBE660S可納入兆勤營運的Nebula雲端網路管理平臺，方便用戶從遠端進行同廠牌大量設備的集中管控，這款產品隨附Nebula Pro Pack的一年份授權，用戶可執行當中提供的完整進階管理功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WBE660S-Nebula Managed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WBE660S-Nebula%20Managed.jpg" style="width: 600px;" /></a></p> <p>例如，當中的WiFi Aid自動診斷功能，可以自動處理終端使用者無線上網期間遇到的存取問題；</p> <p> </p> <div class="media_embed"><a href="https://youtu.be/W2g74A0muFE?si=6Indx5EZv68lfEUD&t=1468">https://youtu.be/W2g74A0muFE?si=6Indx5EZv68lfEUD&t=1468</a></div> <p> </p> <p>另一個<a href="https://www.zyxel.com/global/en/products/endpoint-and-connectivity/ap-security-service-connect-and-protect">Connect & Protect Plus（CNP+）功能</a>，主要是在基地臺的層級提供強化安全性，當終端使用者流量進入網路時，提供防護。除此之外，用戶還可以存取無線網路運作狀態監控與報告，以及針對不同站點的網路拓樸架構進行剖析。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel CNP-Wireless-Network-Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20CNP-Wireless-Network-Security.jpg" style="width: 600px;" /></a></p> <p>而在有線網路介面的配備上，WBE660S提供1個GbE埠，以及1個相容2.5GbE、5GbE、10GbE的上行埠，能連接10GbE交換器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WBE660S-connection.png" style="width: 400px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>兆勤WBE660S</strong><br /> ●原廠：兆勤科技<br /> ●建議售價：65,000元<br /> ●支援無線網路標準：802.11a/b/g/n/ac/ax/be<br /> ●天線架構：6GHz、5GHz、2.4GHz均為4x4:4SS，MU-MIMO<br /> ●傳輸速度：總共為22 Gbps，6GHz為11530 Mbps，5GHz為8646 Mbps，2.4GHz為1376 Mbps<br /> ●連接埠：1個10 GbE埠（支援PoE）、1個GbE埠、1個USB-C埠<br /> ●供電方式：DC輸入（USB-C埠）或PoE<br /> ●整合其他無線通訊技術：藍牙（BLE 5.1），軟體已開放iBeacon功能</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/24 23:34作者李宗翰https://www.ithome.com.tw/review/159429
【資安日報】10月24日，駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科<a href="https://www.ithome.com.tw/news/159361#CVE-2023-20198">上週揭露</a>已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後情況急速惡化，多家資安業者發現受害的IOS XE設備，數量一度達到4萬，甚至6萬的高峰，但特別的是，他們在週末觀察到的遭駭設備數量，竟然只剩下一千多臺。難道是IT人員都很配合、及時套用更新程式嗎？研究人員普遍認為，這些看似「已修補」的狀態，可能是駭客隱匿攻擊行動的作為。</p> <p>對於上述推測，資安業者Fox-IT公開證實，並指出駭客在近4萬臺具有這個弱點的設備，部署了新版後門程式，繼續進行控制。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/number-of-hacked-cisco-ios-xe-devices-plummets-from-50k-to-hundreds/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遭植入後門的思科IOS XE設備數量出現異常銳減狀現象，有資安廠商證實攻擊者其實是滅除遭駭痕跡，並植入新後門</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/XMyEdpbkcc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/XMyEdpbkcc.png" style="width: 300px; float: right;" /></a>思科先後揭露2個已被用於攻擊行動的網路作業系統IOS XE漏洞CVE-2023-20198、CVE-2023-20273，駭客於受害系統植入Lua開發的後門程式，隨後有資安業者揭露受害情形，但近期再度出現新的變化引起關注。</p> <p>根據10月22日資安新聞網站Bleeping Computer報導，有許多研究人員發現，感染後門程式的思科設備數量呈現不合理的劇烈減少現象，10月21日達到6萬臺的高峰，隔天卻突然降到只剩1,200臺。。針對這樣的現象，資安業者Onyphe首席技術長Patrice Auffret認為，這是因為駭客企圖埋藏攻擊意圖，而幫受害設備部署更新程式修補漏洞。資安組織Shadowserver基金會也觀察到類似狀況，他們看到在21日之後，感染此後門程式的設備僅剩下186臺，研判後門程式可能被移除或更新。Orange Cyberdefense CERT、研究人員Daniel Card也對受害裝置突然減少的現象提出類似的看法。</p> <p>到了23日，資安業者Fox-IT證實上述推測成真，他們表示上述現象是因為駭客在受害裝置部署新版後門程式，這些後門程式會在回應之前，檢查HTTP標頭進行驗證。根據他們的調查，目前約有37,980臺裝置遭到感染。</p>  <p>資料來源</p> <p>1. <a href="https://twitter.com/onyphe/status/1715633541264900217">https://twitter.com/onyphe/status/1715633541264900217</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=compromised_website&source=compromised_website6&tag=device-implant%2B&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=compromised_website&source=compromised_website6&tag=device-implant%2B&group_by=geo&style=stacked</a><br /> 3. <a href="https://twitter.com/CERTCyberdef/status/1715787627800969374">https://twitter.com/CERTCyberdef/status/1715787627800969374</a><br /> 4. <a href="https://twitter.com/uk_daniel_card/status/1716131549945430356?s=46">https://twitter.com/uk_daniel_card/status/1716131549945430356?s=46</a><br /> 5. <a href="https://www.linkedin.com/feed/update/urn:li:activity:7122238350849150976/">https://www.linkedin.com/feed/update/urn:li:activity:7122238350849150976/</a></p> <p><a href="https://www.qnap.com/zh-tw/security-news/2023/qnap-%E5%81%95%E5%90%8C-digital-ocean-%E6%88%90%E5%8A%9F%E9%98%BB%E6%96%B7-nas-%E5%BC%B1%E5%AF%86%E7%A2%BC%E6%94%BB%E6%93%8A%E4%BF%9D%E9%9A%9C%E7%94%A8%E6%88%B6%E8%B3%87%E6%96%99%E5%AE%89%E5%85%A8"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通聯手雲端服務業者Digital Ocean，攔阻鎖定NAS設備的暴力破解攻擊</span></strong></a></p> <p></p> <p>10月19日臺灣NAS廠商威聯通（QNAP）發布資安通告，表示他們在10月14日下午6時偵測到大規模暴力破解攻擊，鎖定曝露在網際網路上的NAS設備而來，威聯產品資安事件應變團隊（QNAP PSIRT）後續花了7小時，利用該廠牌設備的專屬防火牆系統QuFirewall，封鎖數百個殭屍網路的IP位址，兩天後找到C2伺服器，該伺服器由雲端服務業者Digital Ocean代管。</p> <p>威聯通尋求Digital Ocean協助，阻斷此伺服器運作，以免災情擴散。該公司也呼籲NAS用戶應儘速採取資安防護行動，避免自己成為暴力破解攻擊的受害者。</p> <p><a href="https://www.bleepingcomputer.com/news/security/1password-discloses-security-incident-linked-to-okta-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理平臺1Password證實因Okta資料外洩遭遇網路攻擊</span></strong></a></p> <p></p> <p>前幾天，身分存取管理業者BeyondTrust、雲端服務業者Cloudflare發出公告，表明因Okta客戶技術支援系統遭駭，導致他們架設的Okta實體受到影響，今天傳出新的受害組織。 10月23日密碼管理系統1Password發出聲明，表示他們在9月29日，察覺提供員工使用的Okta實體出現異常行為，隨即阻止其行為並著手調查，，並與Okta聯手確認入侵來源，10月20日後，他們確定與Okta的客戶支援系統事故有關。</p> <p>1Password指出，他們的IT團隊成員曾向Okta請求技術支援，並上傳由Chrome瀏覽器的開發工具建立的HAR檔案以供診斷，攻擊者竊得HAR檔案，企圖存取1Password的主控臺儀表板（但遭Okta封鎖）、更新與Google環境有關的Okta身分驗證提供者（IDP）、啟用IDP、要求管理員使用者的報告。對此，該公司輪調所有IT員工的帳密資料、修改Okta組態，來因應這起事故。</p> <p>資料來源</p> <p>1. <a href="https://blog.1password.com/okta-incident/">https://blog.1password.com/okta-incident/</a><br /> 2. <a href="https://blog.1password.com/files/okta-incident/okta-incident-report.pdf">https://blog.1password.com/files/okta-incident/okta-incident-report.pdf</a></p> <p><a href="https://www.netscaler.com/blog/news/cve-2023-4966-critical-security-update-now-available-for-netscaler-adc-and-netscaler-gateway/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix警告NetScaler重大漏洞的攻擊行動仍持續進行</span></strong></a></p> <p></p> <p>10月10日Citrix修補NetScaler設備資訊洩露漏洞CVE-2023-4966（CVSS風險評分為9.4），之後資安業者Mandiant提出警告，駭客從8月下旬就利用這項零時差漏洞，已有政府機關與科技業者受害，如今Citrix也證實該漏洞被用於攻擊行動的情形。</p> <p>10月23日Citrix發出公告，坦承他們接獲連線階段（Session）挾持的事故通報，並確認攻擊者在過程當中利用這項漏洞。他們呼籲將NetScaler ADC設置為閘道組態（即VPN虛擬伺服器、ICA代理伺服器、CVPN、RDP代理伺服器），或是AAA虛擬伺服器的IT人員，應儘速套用相關更新，然後下達命令清除所有的活動與連線階段，以防已有攻擊者利用漏洞進行破壞的情況。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://moda.gov.tw/ACS/press/news/press/8583"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">18國資安專家匯聚臺灣，展開跨國資安攻防演練CODE 2023，臺灣奪得冠軍</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ushgdyx1_xae.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ushgdyx1_xae.png" style="width: 300px; float: right;" /></a>10月18日至20日，數位發展部資通安全署舉辦今年度跨國網路攻防演練（Cyber Offensive and Defensive Exercise，CODE 2023），吸引18個國家的資安組織參與，本次的CODE活動，選定與民生相關的水資源領域建置仿真的場域，由臺灣自來水公司擔任藍軍，紅軍則由國內外攻擊隊伍分別扮演，共有八隊進行實戰的演練及切磋，充分地模擬多方駭客針對關鍵基礎設施（CI）進行攻擊，而防禦組演練面對多方攻擊，他們展現如何快速應變及處置。結果我國參與團隊在比賽表現出色，獲得第1名的佳績。</p> <p>此外，有別於過往的CODE攻防演練，這次活動也同時舉辦前瞻資安探索會議（Advanced Cybersecurity Exploration Conference），邀集世界各地學者、業界及政府代表，共同聚焦兩大資安議題：關鍵基礎設施安全、新興技術風險管理，探索相關因應策略或方案。</p> <p><a href="https://moda.gov.tw/press/press-releases/8607"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為防堵假冒政府機關的簡訊詐騙，數位發展部推出專屬短碼簡訊平臺111</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/uk1yuump_c22.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/uk1yuump_c22.jpg" style="width: 300px; float: right;" /></a>為防堵詐騙，去年數位發展部推出政府專用的短網址服務，現在他們進一步推出新的111政府專屬短碼簡訊平臺，並於今日舉行啟動記者會，總統蔡英文也親自到場，宣布正式啟動這項服務。</p> <p>數位部表示，政府機關必須透過專屬平臺，才能發送111短碼簡訊，達到只此一家、別無分號的效果，民眾更容易辨識簡訊來自公部門，部長唐鳳表示，在首波內部測試期間，參與單位涵蓋中央與地方政府單位，包括：行政院的衛生福利部、法務部、經濟部、勞動部、數位部，中央研究院，以及臺南市政府，現在將開放更多中央與地方政府機關申請參與使用。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/copacabana-barcelona-cross-continental-threat-brazilian-banking-malwar"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴西金融木馬Grandoreiro針對西班牙、墨西哥而來</span></span></strong></a></p> <p></p> <p><a href="https://www.uptycs.com/blog/quasar-rat"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">木馬程式Quasar RAT透過DLL側載手法躲避偵測</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/10/donot-teams-new-firebird-backdoor-hits.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴基斯坦和阿富汗遭到駭客組織DoNot Team鎖定，散布名為Firebird的後門程式</span></span></strong></a></p> <p></p> <p><a href="https://www.fortinet.com/blog/threat-research/exelastealer-infostealer-enters-the-field"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Python竊資軟體ExelaStealer</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/university-of-michigan-employee-student-data-stolen-in-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">密西根大學針對8月遭遇的網路攻擊公布調查結果，證實學生、教職員的個資外洩</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159433"><strong>【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159415"><strong>【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159379"><strong>【10月19日】互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</strong></a></p> </div></div></div>
2023/10/24 17:49作者周峻佑https://www.ithome.com.tw/news/159454
政府推出111短碼簡訊平臺，杜絕詐騙集團冒用公家名義簡訊詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div> <p>為了杜絕詐騙集團透過簡訊方式詐騙國人，數位發展部推出政府專用的111短碼簡訊發送平臺，總統蔡英文在啟動記者會上也表示，短碼簡訊平臺的啟用，是數位部攜手電信業者，從源頭強化民眾可信任的資訊來源，來防止冒充政府的詐騙簡訊，未來政府各部會都能透過短碼簡訊平臺，發出來源號碼是111的簡訊。</p> <p>數位發展部部長唐鳳則指出，目前已經有六個機關部會和臺南市政府正在試用短碼簡訊，明年一月將納入共同供應契約，有需要發送簡訊的政府部門，向數位部開通發送簡訊的權限後，就可以自行操作，而所有公務機關發送的111短碼簡訊，透過電信業者的協助，外界無法偽造，也可以降低民眾受騙機率。</p> <h2><strong>政府積極打詐，攔阻近七百萬則詐騙簡訊</strong></h2> <p>蔡英文表示，今年五月，行政院推出了「新世代打擊詐欺策略行動綱領 1.5 版」的方案，透過識詐、堵詐、阻詐和懲詐等四個面向打擊詐騙，而從今年五月完成打詐五法的修法，行政院也成立打詐辦公室，統籌並督導打詐業務，協調各部門資源，透過滾動式修正相關策略，隨時掌握詐騙型態。</p> <p>她也說，從今年的1月到9月，政府攔阻了超過689萬則詐騙簡訊，境外電話詐騙也攔截超過1,632萬通，再加上推出111短碼簡訊，從源頭把關，可以讓民眾快速識別簡訊真偽，避免落入詐騙集團的陷阱。</p> <p>行政院政務委員羅秉成表示，網路有害內容有兩個，第一個就是假訊息，第二個就是詐騙，假訊息是騙你的腦袋，詐騙則是騙你的口袋。</p> <p>根據國際防制詐騙NGO統計，詐騙是跨國際的產業，產值超過兆元美金，世界各國深受其害，詐騙嚴重排名國家中，臺灣排名第二十三名，新加坡排名第一。而詐騙最常使用的工具包括電話、網路和帳務，羅秉成說：「只要可以有效掌握上面三個工具，就可以有效抑制詐騙。」</p> <p>羅秉成表示，防制詐騙的三減策略「減少接觸」、「減少誤信」和「減少損害」就是從犯罪流程和工具下手。首先，透過電信業者協助攔阻幾千萬封的詐騙簡訊，或是數位部輔導電商業者使用個資隱碼技術，直接在源頭隱匿手機號碼後，就可以做到減少接觸。</p> <p>至於，減少誤信就是針對有些+886或+86的電話提供語音提醒可能是詐騙電話，或是ATM不時跳出小心詐騙的警示視窗都是實利；減少損害最顯著的成效在於銀行臨櫃減少民眾財務損失，臨櫃攔阻的金額將近六十億，是去年同期的三點五倍。</p> <p>羅秉成指出，為了逼出詐騙案件黑數，積極打詐也讓案件數量處於高峰，在金管會協助下，和銀行業者每兩週召開一次專案會議，今年一月～九月，詐騙案件數量和財損金額，隨然較去年同期多了兩成，但破獲的詐騙集團也較去年同期增加兩成；至於沒收的金額，去年一月～九月為三億多元，今年同期則將近四十億元。</p> <h2><strong>不讓政府發送簡訊的號碼遭詐騙集團濫用，才有111政府專屬短碼</strong></h2> <p>唐部長表示，政府推出111短碼簡訊平臺，初期建置費用為一千二百萬元，預計明年元旦就會納入共同供應契約，該短碼簡訊平臺在試用期間，已經有包括：衛福部、法務部、經濟部、勞動部、中研院、數位部和臺南市政府參與，未來將開放更多中央與地方政府機關參與試用，透過政府專屬111短碼簡訊的發送方式，可以讓政府訊息可以更有效率的傳播。</p> <p>不過，她也指出，像是165或是1922等已經具有代表性的識別短碼，相關部會機關會保留原有短碼、繼續使用，但是其他沒有既有短碼的單位，可以利用111短碼簡訊平臺發送簡訊，做到「僅此一家、別無分號」的效果。</p> <p>數位部去年也推出政府專屬的短網址服務（<a href="https://url.gov.tw/">https://url.gov.tw/</a>），也有助於政府機關有效傳播公共資訊，唐鳳表示，搭配今天推出的短碼簡訊平臺，都可以從源頭防堵詐騙，可以更有效確保政府資訊不容易遭到仿冒。她說：「政府訊息不會被仿冒，就是訊息的完整性（Information Integrity），這個是非常重要的公共建設。」</p> <p>數位部數位政府司司長王誠明表示，111短碼簡訊平臺這個政府專屬的簡訊機制，就是希望透過容易辨識、無法偽造的方式，建立政府的公信力，並增加民眾信賴度以杜絕詐騙集團冒用政府名義。</p> <p>羅秉成也說，政府推出的111短碼簡訊平臺，就是從源頭管理去減少民眾的誤信。他進一步解釋，以往政府委託簡訊代發業者發送簡訊，因為發送號碼不固定，這次號碼可能是政府使用，但下次就可能被詐騙集團拿來使用。</p> <p>因為這樣的簡訊發送方式，也讓民眾無從辨識，為什麼使用同樣號碼發送出來的簡訊，會出現一次是真的政府簡訊，但有一次卻是詐騙集團冒用政府名義發送的假簡訊呢？他表示，為了減少民眾的誤信，這也是政府為什麼要推動政府111專屬短碼簡訊平臺的原因。</p> <h2><strong>只有透過政府平臺發送的簡訊，才可以顯示111的號碼</strong></h2> <p>所以，王誠明表示，透過電信業者從源頭管理，讓外界無法偽造111簡訊代表號碼，為了讓機關可以更簡便使用，也減少機關行政採購程序，政府機關只需要備妥簡訊檔內容，就可以直接透過數位部建置的111平臺發送簡訊，而簡訊發送方式不僅可以即時發送，也可以做到定期發送，也可以單筆或是批次、人工或是透過API發送簡訊。</p> <p>王誠明強調，簡訊發送過程可以分成政府機關、簡訊平臺、電信業者和民眾等四個角色，政府部門除了專注簡訊內容外，最重要的就是做到資安控管，確保發送簡訊前，要到數位部進行權限開通，傳輸過程全程加密，並控管可以發送簡訊伺服器的IP位址是屬於白名單，並做到帳號控管。</p> <p>至於簡訊檔的發送，他表示，可以在平臺直接操作，也可以透過API安全傳輸，在簡訊平臺本身，數位部維運平臺功能性及可用性，讓各機關直接操作簡訊發送作業外，也可以自行設定傳輸和簡訊發送方式，而報表及費用帳單會由平臺直接提供給使用機關，更重要的是，平臺個資的保存要最小化，不會保留簡訊內容和發送電話號碼。</p> <p>王誠明指出，在簡訊平臺依門號轉送對應的電信業者後，電信業者端也會從境內、境外最到防偽功能，確認只有從111短碼簡訊平臺發送的簡訊，才可以顯示111政府專屬的短碼。</p> <p>透過政府部門、簡訊平臺和電信業者的三重把關後，他認為，民眾可以透過111來源號碼作為唯一識別政府簡訊的方式，民眾就可以安心並信任索收到的簡訊內容。</p> <p>唐鳳強調，未來數位部也會持續推動數位信任科技，包括111短碼簡訊平臺、政府專用短網址、以及零信任、TW FidO、電子簽章法修法等等，以打造一個安全、可靠、可信任的數位環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BF%E5%BA%9C%E7%B0%A1%E8%A8%8A%E5%B9%B3%E8%87%BA%E7%B3%BB%E7%B5%B1%E6%9E%B6%E6%A7%8B.jpg" style="width: 600px;" /></p> <blockquote><p>政府專屬短碼簡訊發送的對象可以分成：政府部門、111簡訊平臺、電信業者和民眾，而政府最重要的就是要做到資安控管，並盡可能將平臺保留的個資最小化。</p> </blockquote> </div> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-content"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%80%E5%89%87111%E7%9F%AD%E7%A2%BC%E7%B0%A1%E8%A8%8A_%E6%95%B8%E4%BD%8D%E9%83%A8%E6%8F%90%E4%BE%9B.jpg" style="width: 600px;" /></div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <blockquote><div id="haloword-control-container">總統蔡英文蒞臨111政府專屬短碼簡訊平臺的記者會上，也以總統府名義發送一則111短碼簡訊給媒體記者，也希望各界可以認明111的短碼是政府專用的簡訊短碼，其他單位都無法冒用。</div> </blockquote> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-content"> </div> </div> </div></div></div>
2023/10/24 18:11作者黃彥棻https://www.ithome.com.tw/news/159462
財金公司與銀行、電支業者共推TWQR，讓用戶可跨電支、銀行特約商家掃碼付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>財金公司今天（10/24）正式開辦電子支付跨機構共用平臺的「購物」服務，並聯合銀行、電子支付機構業者共推TWQR，商家導入此一共通支付QR Code，銀行或電支用戶就能以原本的支付App，在不同的特約商家掃碼付款。</p> <p>財金公司在2021年10月打造電子支付跨機構共用平臺，並與銀行、電子支付業者合作，推出轉帳、繳稅、繳費等服務，今天開辦的購物服務，目的是突破單一支付App只能在特約合作商店使用的限制，例如一卡通電支用戶只能其合作的商家使用，全盈支付只能在合作商家使用，銀行與電支業者加入共用平臺「購物」功能，商家只要採用TWQR作為共通支付QR Code，用戶以單一支付App，就能在其他支付業者的特約商店掃碼付款。</p> <p>在共用平臺「購物」服務的支持下，一卡通電支用戶在全盈支付的特約合作商家，只要看到櫃檯放置TWQR立牌，就能使用一卡通掃碼付款，相反地，全盈支付用戶也可在有TWQR立牌的一卡通特約商家掃碼付款，打破各家支付業者消費通路不能互通的限制。</p> <p>在金管會、財政部、國發會號召下，首波加入共用平臺「購物」功能者，包括37家台灣Pay金融機構，還有全盈支付、一卡通、橘子支、歐付寶４家電子支付機構，另有５家電子支付機構業者，例如愛金卡、悠遊付、街口支付、簡單支付、愛金卡未來也會陸續加入，各家業者依準備作業不同，加入「購物」功能的時程不一。</p> <p>財金公司董事長林國良表示，目前全球在掃碼支付上呈現國家、地區推動代表性的支付QR Code，TWQR即是代表臺灣的共同QR Code，國內雖然早在2017年就推動TWQR，到現在正式和國際、國內金融、電支機構整合，TWQR成為支付的共同標準及識別，並提供購物、繳費、繳稅、轉帳等多元服務，未來將會擴大到交通。</p> <p>他指出，TWQR不只是國內支付QR Code的共同標準，早在2018年與VISA、萬事達卡、JCB、銀聯等國際發卡組織的QR Code相整合，國內的商家放置TWQR立牌，不只國內金融機構、電支機構用戶可以使用，國外旅客使用的信用卡，透過手機也能使用。未來也希望和境外業者合作，將TWQR延伸到國外，讓國內金融、電支的掃碼支付也能在國外使用。</p> <p>林國良認為，TWQR對各方業者是互利的，對金融機構來說，通過資源共享、資訊互通，根據各自的策略擬定推展的項目，並組成更大的生態圈，對商家而言，只要一張QR Code就能收遍各家支付服務，對消費而言，以習慣使用的支付服務或App就能掃遍所有的商家。TWQR目前提供繳費、繳稅、轉帳、購物功能，預計2024年再提供交通，同時提供跨境的支付服務。</p> <p>其中在交通服務部分，一卡通的交通電子票證可望先加入TWQR，但要進入交通支付場域，不論是公車或捷運，尚需克服公車或捷運讀卡設備，使其支援TWQR被掃功能。至於跨境支付方面，財金公司也計畫將TWQR推向日本、韓國，目前已和韓國支付業者BC Card準備合作，讓民眾將來到韓國，使用臺灣的銀行或電支App，在掛有TWQR的商家掃碼付款。</p> <p>除了實體的商家掃碼付款，財金公司也和合作的金融機構，線上電子商務也能支援TWQR，如下圖所示，在手機上使用早點App訂購咖啡或早餐，選擇使用TWQR，再選擇想要採用的金融機構或電支服務，就會跳轉到業者的支付服務完成付款。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5503%EF%BC%8D%EF%BC%91.jpg" style="width: 600px; height: 399px;" /></p> <p>目前財金公司今天啟動的TWQR，目前先以正掃的消費模式為主，因為正掃只要商家導入TWQR立牌即可，因此首波以小型、非連鎖商家為主，至於大型、連鎖商家較多使用的被掃模式，例如連鎖超商，因為比較複雜，需要修改商家的POS系統，目前TWQR還沒有支援被掃模式。</p> <p>國內電支業者要加入TWQR，除了和財金公司的系統介接測試之外，還需要金融機構、電支業者需一家一家重新和商家協議，鼓勵採用TWQR，並和特約合作商家更改合約，因TWQR打破電支業者的特約合作商家，讓用戶可以跨特約商家掃碼付款，因此視每家電支業者加入TWQR的「積極性」而定，目前支援TWQR的商家數量，很難在短時間內擴大商家規模。</p> </div></div></div>
2023/10/24 18:16作者蘇文彬https://www.ithome.com.tw/news/159463
AI趨勢周報第231期：Docker也新添生成式AI工具了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1013～1019)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Docker </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>開源容器工具Docker也新添生成式AI工具，開發更快速</strong></span></p> <p>開源容器平臺Docker是目前許多AI應用的主流部署方法，其同名公司日前在年度技術大會Dockercon上，揭露一系列生成式AI新功能，首先是<a href="https://www.docker.com/press-release/neo4j-langchain-ollama-launches-new-genai-stack-for-developers/">GenAI Stack</a>，號稱只需幾分鐘，使用者就能開始開發生成式AI應用。</p> <p>進一步來說，GenAI Stack簡化開發流程，將Docker容器與圖數據庫Neo4j、語言模型開發框架LangChain和模型管理工具Ollama整合在一起。比如，使用者可用Ollama在本地端執行LLM，並用預設的Neo4j圖形和向量搜尋資料庫，來讓AI模型更快、更準確。此外，GenAI Stack還提供預配置的開源大型語言模型（如Llama 2、Code Llama、Mistral）和私有模型（如GPT-3.5、GPT-4），來縮短開發時間。</p> <p>除了GenAI Stack，Docker也推出首個AI產品<a href="https://www.docker.com/press-release/announces-ai-boosting-developer-productivity-through-automated-guidance/">Docker AI</a>，是個類似程式開發助理Copilot的服務。團隊以長年來累積的百萬個Dockerfile、Docker Compose檔案來訓練Docker AI，能針對特定情境提供自動化功能，比如可在使用者編輯Dockerfile或Docker Compose檔案、在地端除錯docker build或在執行測試時，提供自動化指示，加速開發流程。<a href="https://www.docker.com/press-release/neo4j-langchain-ollama-launches-new-genai-stack-for-developers/">（詳全文）</a></p> <p><img alt="" src="https://dist.neo4j.com/wp-content/uploads/20231005063020/genai-stack-support-agent-1024x576.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>台新金控揭露4大生成式AI實驗進展</strong></span></p> <p>台新金控揭露生成式AI進展，包括Teams Chatbot、知識管理平臺、程式助理Codex和虛擬智能客服等4大實驗案。其中，第一項導入的是微軟Azure OpenAI服務的ChatGPT，台新金控首選Chatbot的目的是讓集團各單位更了解生成式AI，於是在今年3月與廠商規畫、建置專屬Chatbot，租用微軟Azure OpenAI環境，5月正式將ChatGPT串接至Teams中，提供200個帳號供各單位使用。</p> <p>再來，台新金控進一步結合生成式AI，打造知識管理平臺。該平臺能讓使用者向生成式AI提問，平臺再根據問題搜尋內部資料，找出最相關的資訊，由生成式AI彙整、回覆給使用者。該平臺還未正式上線，但未來完善後，會擴大發展為智能客服或其他應用。此外，台新金控也針對Codex進行一系研究，發現該Codex可提高程式開發效率，可協助IT人員完成資料表的建立、增刪減與重新規畫，以及撰寫初階和進階程式碼、撰寫程式碼說明等。不只如此，台新金控也用生成式AI打造虛擬客服，也就是生成一個擬真的客服人員，再利用語音轉文字、文字轉語音、人臉辨識等技術，來推薦理財商品給客戶。<a href="https://www.ithome.com.tw/news/159417">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/KM.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 可解釋性 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特徵 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 神經網路 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic用特徵解構神經網路，大幅提高可解釋性</strong></span></p> <p>OpenAI競爭者Anthropic在最新發表的AI研究論文〈Decomposing Language Models With Dictionary Learning〉中，提出一種字典學習方法，能提高對神經網路的解釋性。這項研究讓Anthropic更能監控模型，進而引導模型行為，提高企業使用AI的安全性和可靠性。</p> <p>進一步來說，有別於在單一神經元中尋找規律，團隊擴大運用特徵（Feature）概念，藉由特徵對應到一群神經元活動模式的特性，來將複雜的神經網路，解構成更容易理解的單位。他們也在Transformer模型中，成功將一個含512個神經元的層，分解成超過4,000個特徵。同時，團隊還發展自動解釋方法，來驗證特徵的可解釋性。他們用大型語言模型來生成小模型的特徵描述，並以另一個模型來對描述評分，實驗結果也證實，特徵的得分高於神經元，也間接證明特徵的活躍和模型下游行為具一致性。<a href="https://www.anthropic.com/index/decomposing-language-models-into-understandable-components">（詳全文）</a></p> <p><img alt="" src="https://efficient-manatee.transforms.svdcdn.com/production/images/Frame-120.png?w=1259&h=788&auto=compress%2Cformat&fit=crop&dm=1696466752&s=4cbd4980573d60dbf763428f42a53a27" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自動駕駛 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAIA-1 </span></strong></span></p> <p><span style="font-size:22px;"><strong>英新創擴大90億參數生成式AI模型，助自駕模型看見未來</strong></span></p> <p>今年6月，英國AI新創Wayve展開一項概念性驗證專案，要將生成式AI模型GAIA-1用於自動駕駛，這幾個月持續擴展，模型參數增加至90億個，能生成逼真的駕駛場景影片，呈現自動駕駛在各種情境的反應，並更好地預測未來事件。</p> <p>GAIA-1可用不同模態的資料（如影片、文字和動作）來建立逼真駕駛場景影片，也能學習環境和未來動態表示，向自動駕駛模型提供一個結構化的環境理解，協助駕駛模型做出明智決策。GAIA-1的核心是世界模型（World model），是一個自迴歸Transformer，能預測序列中下一組圖像token；世界模型不只考慮過去的圖像token，還參照文字和動作token的上下文資訊。如此生成的這不只在視覺上連貫，也能和預期的文字、動作指引保持一致。</p> <p>接著，影片解碼器開始運作，將這些圖像token轉換回像素空間，來生成語義一致的影片。GAIA-1的主要價值在於在自動駕駛中引入生成式世界模型概念，透過整合影片、文本和動作輸入，展示多模態學習在創建多樣化駕駛情境的潛力，並泛化至真實世界中，提高自駕車能力。<a href="https://wayve.ai/thinking/scaling-gaia-1/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/OVX-eTLyA9g?si=7jxGCTck3wH9RdYM" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch Edge </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣裝置 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ExecuTorch </span></strong></span></p> <p><span style="font-size:22px;"><strong>PyTorch Edge新解決方案簡化邊緣裝置的AI推論</strong></span></p> <p>開源機器學習框架PyTorch Edge最近推出一款新解決方案ExecuTorch，獲蘋果、高通創新中心和Arm等科技巨頭支援，可實現跨行動裝置和邊緣裝置的模型推論工作。</p> <p>進一步來說，ExecuTorch的目的是要解決裝置AI生態系碎片化的問題，其關鍵元件包含一個執行環境和輕量級操作登錄檔（Operator registry），範圍涵蓋PyTorch生態系中所有模型，可簡化PyTorch在裝置上執行的過程。ExecuTorch還有一個SDK和工具鏈，提供ML開發者直覺式的使用者體驗，能用來編寫、訓練模型和裝置授權，並整合在單一個PyTorch工作流程中。<a href="https://pytorch.org/blog/pytorch-edge/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 圖像生成 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google在搜尋實驗室中新添AI生成圖像功能</strong></span></p> <p>Google日前在搜尋實驗室（Search Labs）中，新添了2項搜尋生成式體驗（SGE）功能，一是直接在搜尋列上執行生成圖像功能，二是請AI幫忙撰寫各種草稿。比如，使用者可在搜尋列上，輸入「請畫一張戴著廚師帽並正在做早餐的水豚圖像」，系統就會出現4張符合該描述的圖畫，隨便點選任何一張就能看到各自的描述，使用者也能編輯文字描述來修改圖畫。這些AI生成的圖像具有元資料標籤，並鑲有浮水印，Google還會封鎖違反使用政策的AI生成圖像，例如含有有害或誤導性內容。</p> <p>另一個SGE功能則能用來協助撰寫各種草，比如撰寫邀請施工人員報價的草稿，還能要求SGE調整草稿的長度及語氣，再匯出至Google Docs或Gmail。搜尋實驗室是Google在今年5月發表的測試平臺，用來測試各種利用生成式AI並改善搜尋，不過，目前搜尋實驗室僅開放美國、印度與日本的少數用戶參與。<a href="https://blog.google/products/search/google-search-generative-ai-october-update/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/OctoberSGE_Regis_05.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google Cloud </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智財 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Cloud提供智財免責防護</strong></span></p> <p>為讓企業用戶安心使用AI服務，Google Cloud宣布提供AI免責防護，讓使用者不用擔心使用到版權內容而被告。今年8月，Google推出付費的Duet AI助理服務，並整合至生產力工具Workspace、雲端平臺Cloud Platform以及AI模型服務Vertex AI，企業可用Duet AI來生成所需內容，如行銷文案、廣告圖片或電子郵件等。</p> <p>而最近推出的服務，則是要防止使用者可能遭遇的版權法律責任。新服務包含2部分，第1個與Google使用的訓練資料有關，第2部分則著重基礎模型的生成結果。首先，訓練資料的免責涵括所有Google用來打造其生成模型的資料集，當第三方單位宣稱客戶侵害了其智財權，責任全由Google承擔。第二部分則是當戶使用Google AI服務的輸出結果，被第三方單位宣稱侵害其版權時，責任歸屬在Google。<a href="https://cloud.google.com/blog/products/ai-machine-learning/protecting-customers-with-generative-ai-indemnification">（詳全文）</a></p> <p>圖片來源／Docker、Anthropic、Wayve、Google</p> <p>攝影／王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI正式開放ChatGPT Bing網頁搜尋，公測DALLE-3</strong></p> <p><strong>2. Adobe在旗下產品Photoshop和Preimere Elements新添20項AI功能</strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/23 17:47作者王若樸https://www.ithome.com.tw/news/159453
微軟終於允許Excel用戶調整自動轉換功能，可以不再自動將連續字母與數字轉成日期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://insider.microsoft365.com/en-us/blog/control-data-conversions-in-excel-for-windows-and-mac" target="_blank">微軟Excel團隊於上周宣布</a>，已調整了Windows及Mac版Excel中的自動資料轉換（Automatic Data Conversion）設定，允許使用者變更Excel中的預設行為，並根據需求關閉特定資料類別的自動轉換功能。這意味著可以要求Excel不要再把任何只是看起來像是日期的字母與數字，逕自轉換成日期。</p> <p>此一資料自動轉換功能主要是為了把使用者輸入或匯入Excel的資料以正確與一致的方式顯示，例如把01/15/23視為日期，把1,000視為數字的1000，也可辨識布林值、幣值或是百分比，也能將網址轉換成可點擊的連結等。雖然它大部分的時候都是正確的，但該功能也替某些社群帶來困擾，例如基因科學家。</p> <p><a href="https://genomebiology.biomedcentral.com/articles/10.1186/s13059-016-1044-7" target="_blank">一份在2016年出版的研究指出</a>，研究人員掃描了18種基因期刊，以Excel列出基因清單作為補充材料的3,597篇論文中，有704篇論文中隨附的Excel基因清單出現錯誤的基因名稱，更精確地說是在7,467個基因清單中，有987個基因清單出現錯誤。原因來自於Excel把把許多基因符號自動轉換成日期或浮點。</p> <p>例如Excel把基因符號SEPT2轉換成2-Sep，把MARCH1轉換成1-Mar，或是把日本研究機構RIKEN的識別碼2310009E13轉換成2.31E+13。</p> <p>這些年來已經有不少Excel用戶發揮創意，創造了許多迷因，像是<a href="https://imgur.com/gallery/uqf83Ay" target="_blank">宣稱</a>非自願單身（Incel）與Excel的共通點是「錯誤地把某些事當成是約會/日期」（Incorrectly assuming something is a date），<a href="https://www.reddit.com/r/memes/comments/vvws55/annoying_af/" target="_blank">或是</a>「樂觀派看到的杯子有一半的水，悲觀派看到杯子一半是空的，而Excel看到的杯子是1月2日（1/2）」。</p> <p>總之，Excel團隊產品經理Chirag Fifadra也說，他們想要解決客戶對Excel自動將資料轉換成特定格式的不滿，因而改善其設定，賦予使用者更多的控制權。</p> <p>更新後的自動資料轉換設定提供了許多選項，在啟用所有預設的資料轉換之後，還有許多子設定，包括移除數字首位的0並將其轉成數字，僅保留前15個數字並以科學計數法呈現，把E字母周遭的數字轉換成科學計數，以及將連續字母及數字轉換成日期。使用者可以選擇啟用或關閉這些設定。另有一個額外的設定是可在載入.csv或類似檔案時，在執行任何自動資料轉換時跳出警告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-Control%20data%20conversions%20in%20Excel%20for%20Windows%20and%20Mac.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>此一新的設定在<a href="https://learn.microsoft.com/en-us/officeupdates/current-channel" target="_blank">Windows上</a>適用於今年9月28日釋出的Microsoft 365 Version 2309及以後的版本，<a href="https://learn.microsoft.com/en-us/officeupdates/release-notes-office-for-mac" target="_blank">在Mac上</a>則支援10月10日釋出的Microsoft 365 Version 16.78及之後的版本。</p> </div></div></div>
2023/10/24 14:18作者陳曉莉https://www.ithome.com.tw/news/159449
傳聞Nvidia與AMD都將推出Arm架構的CPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/nvidia-make-arm-based-pc-chips-major-new-challenge-intel-2023-10-23/" target="_blank">《路透社》</a>（Reuters）周一（10/23）引述消息來源報導，GPU與AI晶片龍頭Nvidia及AMD都將推出基於Arm架構的CPU晶片，消息一出，CPU大廠英特爾（Intel）當天股價即下滑了3.06%。</p> <p>根據報導，Nvidia已悄悄開始設計基於Arm架構且可執行Windows作業系統的CPU，AMD亦計畫打造基於Arm架構的PC晶片，雙方最快會在2025年開始銷售相關晶片。</p> <p>這與微軟推動Windows on Arm的策略有關，過去微軟所發表的Windows on Arm都是採用高通所生產的Arm晶片，若報導為真，未來Nvidia與AMD都將加入高通的行列，成為微軟Windows on Arm的晶片供應商，有機會撼動英特爾的CPU晶片龍頭地位。</p> <p>除了《路透社》之外，<a href="https://www.bloomberg.com/news/articles/2023-10-23/nvidia-to-take-on-intel-with-arm-based-pc-chips-reuters-says?leadSource=uverify%20wall#xj4y7vzkg" target="_blank">《彭博社》</a>（Bloomberg）亦引用未具名人士報導，Nvidia與AMD皆正在開發基於Arm的PC晶片，由於雙方皆未揭露消息來源，因而無法確認其來源是否一致。</p> <p>至於不管是Nvidia、AMD、Arm或是微軟都拒絕回應此一傳聞。</p> </div></div></div>
2023/10/24 11:50作者陳曉莉https://www.ithome.com.tw/news/159446
微軟開放Security Copilot早鳥方案給Microsoft 365用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公布AI安全助理Security Copilot 7個月後，<a href="https://www.microsoft.com/en-us/security/blog/2023/10/19/microsoft-security-copilot-early-access-program-harnessing-generative-ai-to-empower-security-teams/" target="_blank">微軟本周開放早鳥方案給Microsoft 365等付費用戶</a>，將之整合到Microsoft 365 Defender中。</p> <p>微軟今年起將ChatGPT/GPT-4全面整合到旗下服務。<a href="https://www.ithome.com.tw/news/156183" target="_blank">軟體巨人3月公布的Security Copilot</a>，微軟稱是第一個生成式AI安全產品，能快速而大規模保護企業。它是以OpenAI的GPT-4生成式AI模型為基礎開發，以及微軟的安全分析及情報資料庫，協助安全部門對抗網路威脅。</p> <p>Security Copilot能整合多個資料源，為收進的網路訊號做出摘要，以快速發現惡意活動，並且在攻擊發生時進行資料關聯分析，建議回應行動。微軟安全企業副總裁Vasu Jakkal指出，Security Copilot能提升安全部門的技能，還能為企業節省40%安全操作任務的時間，更快發現原先可能看走眼的安全威脅，進而把心力專注在更重要的專案上。</p> <p>現在微軟將Security Copilot的早鳥方案開放給符合資格的客戶，如Microsoft 365用戶。此外也加入新功能。其一，Security Copilot將嵌入微軟延伸式偵測和回應（XDR）平臺Microsoft 365 Defender，可提供安全事件回應的建議。第二，微軟Defender威脅情報（Threat Intelligence）也將免費隨Security Copilot提供，客戶可直接由Copilot中存取內容及API。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-M365%20security%20copilot-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-M365%20security%20copilot-2.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>Security Copilot嵌入微軟延伸式偵測和回應（XDR）平臺Microsoft 365 Defender後，可以自然語言快速總結安全事件，使其更快理解事件，並傳達給管理階層。M365 Defender中的Security Copilot也能在安全事件發生時，建議修復和回應流程，縮短反應時間。安全管理員也可以自然語言讓Copilot生成Kusto Query Language（KQL）撰寫查詢指令，揪出威脅所在。或讓Security Copilot在發生惡意軟體活動時即時分析。最後，Security Copilot也能告知最新威脅趨勢、手法、以及特定組織是否在網路威脅時受到影響。</p> <p>透過免費整合微軟威脅情報，Security Copilot用戶可直接取得其中內容，像是漏洞分析文章、開源情報及微軟自己產生的網路安全防護內容。</p> <p>此外，若企業使用微軟安全代管服務供應商（Managed Security Service Provider，MSSP）夥伴服務，又有加入微軟早鳥方案，也可以由Security Copilot整合MSSP（概念好比Bring Your Own MSSP）。</p> </div></div></div>
2023/10/24 10:21作者林妍溱https://www.ithome.com.tw/news/159442
Google、蘋果關閉以巴衝突地區的Google Maps、Waze即時流量服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應以色列及巴勒斯坦衝突，Google及蘋果本周關閉以色列及加薩走廊等相關地區的即時交通流量服務，包括前者的Google Maps及Waze，以及Apple Maps。</p> <p><a href="https://www.bloomberg.com/news/articles/2023-10-23/google-disables-live-traffic-in-israel-gaza-at-military-request" target="_blank">《彭博》</a>首先報導此事。關閉即時交通流量服務，意謂著無法從地圖上得知車流移動趨勢。Google向媒體證實此事，表示一如該公司對衝突區域一貫作法及因應情勢不斷變化，為考量當地社區安全，Google已暫時關閉即時交通車流及壅塞資訊。<a href="https://thehill.com/policy/technology/4271460-google-and-apple-disable-map-functions-in-israel-gaza-strip-as-invasion-looms/" target="_blank">《The Hill》</a>及<a href="https://www.geektime.co.il/waze-google-maps-and-apple-maps-in-israel-will-not-display-traffic-and-more/" target="_blank">以國媒體</a>報導，Apple Maps也已關閉這些地方的即時車流資訊。</p> <p>10月7日哈瑪斯對以色列發動武力攻擊以來，雙方傷亡慘重，以色列軍方表示即將對加薩走廊地區發動地面攻擊。關閉即時車流資訊可防止外人或敵方得知當地居民聚集、或當地軍方部署狀況。Google去年在俄烏戰事爆發時也曾暫時關閉烏國的即時交通資訊。</p> <p>但這也可能封鎖強勢軍隊部署蹤跡資訊。《彭博》及《The Hill》報導，以色列要求Google及蘋果關閉即時車流資訊，以免洩露軍隊移動蹤跡。去年俄烏衝突，烏國民眾也在普丁宣戰之前，利用Google Maps率先發現俄軍移動。</p> <p><a href="https://9to5google.com/2023/10/23/google-maps-waze-israel-traffic-data/" target="_blank">9to5Google報導</a>，在衝突中心，Waze服務會跳出通知說明，基於安全理由，其他駕駛、交通壅塞等其他通知不會顯示。Waze在以色列其他地區如首都特拉維夫（Tel Aviv）等地，還是可正常運作。Google Maps則是關閉了以色列全境的即時流量顯示。</p> <p>不過在這些地區的導航或到達時間估計等服務，則仍然能持續運行。</p> </div></div></div>
2023/10/24 10:39作者林妍溱https://www.ithome.com.tw/news/159443
IBM發表模擬人類大腦運作，號稱效能超越4奈米GPU的AI推論晶片NorthPole
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM Research上周五（10/20）<a href="https://research.ibm.com/blog/northpole-ibm-ai-chip" target="_blank">發表了全新的AI晶片NorthPole</a>，其靈感來自人類大腦的運作，號稱效能超越最先進的4奈米GPU，儘管它只能用在推論上，但研究人員認為，需要即時處理大量資料的邊緣應用可能非常適合NorthPole。<a href="https://www.science.org/doi/full/10.1126/science.adh1174" target="_blank">此一研究成果已登上《科學》（Science）期刊</a>。</p> <p>該研究是由IBM Research類人腦運算的科學長Dharmendra Modha所主導，<a href="https://www.ithome.com.tw/news/90013" target="_blank">他曾於2014年發表</a>模擬人腦運作的TrueNorth晶片，而NorthPole即是TrueNorth的延伸。</p> <p>在傳統的半導體產業中，電腦晶片主要遵循相同的基本架構，處理單元與儲存資訊的記憶體是分開的，此一架構雖然簡化了設計與擴展，卻也因資料傳輸速度趕不上處理速度而出現了馮紐曼瓶頸（von Neumann Bottleneck），而Modha則認為，人腦是目前所知最節能的處理器，因而持續尋找以數位方式複製它的方法。</p> <p>歷經8年研發的NorthPole最大的不同點在於它所有的記憶體都在晶片上，而不必額外連結記憶體，沒有了馮紐曼瓶頸，它的AI推論能力就能優於市場上的其它晶片。此外，它採用12奈米製程，於800平方毫米上安置了220億個電晶體，它擁有256個核心，於8-bit精度下每核心每個周期可執行2,048次操作，若是在4-bit或2-bit 精度下，操作次數則可翻倍。Modha說，這等於是一個晶片上擁有整個網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1023-NorthPole%20chip%20on%20a%20PCIe%20card-IBM.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_IBM</span></span></p> <p>在架構上，NorthPole模糊了運算與記憶體之間的界線。從個別核心的角度來看，它如同記憶體接近運算（memory-near-compute），從輸入與輸出的角度來看，它又是個主動記憶體。這讓NorthPole容易整合至系統，且明顯減少了主機的負載。</p> <p>IBM Research在ResNet-50模型上測試NorthPole，相較於同樣基於12奈米製程的GPU，NorthPole每秒辨識幀數的能源效率是GPU的25倍，而且不管是在延遲或運算空間的要求上，表現都優於所有主流架構，甚至凌駕基於4奈米製程的先進GPU。</p> <p>不過，NorthPole的優勢同時也是它的限制，它只能輕鬆自晶片上的記憶體存取，若必須存取其它地方的資訊，所有的速度都會被削弱，因此，若要支援更大的神經網路，便必須將神經網路拆解成更小的子網路以迎合NorthPole的記憶體設計，再藉由眾多的NorthPole晶片串連這些子網路。</p> <p>Modha表示，儘管NorthPole無法用來執行GPT-4，但應該可滿足許多企業所需的模型，不過，NorthPole只能用在推論上。</p> <p>NorthPole在效能上的優勢代表它不需要龐大的液體冷卻系統就能運作，只需要風扇與散熱器，也可部署於狹小的空間中，目前IBM Research仍在研究NorthPole的適用領域，猜測許多需要即時處理大量資料的邊緣應用可能非常適合NorthPole，例如可成為幫助自駕車導航的裝置，讓衛星監控農業與野生動物，監控車輛及貨運以避免道路過於擁塞，讓機器人的操作更安全，或是用來偵測網路威脅等。</p> </div></div></div>
2023/10/24 08:43作者陳曉莉https://www.ithome.com.tw/news/159441
前置4張雙寬或8張單寬GPU，HPE新2U尺寸GPU伺服器亮相
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_dl380a_gen11_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年生成式AI崛起，資料中心GPU成為眾多廠商與企業爭相採購的產品，其中又以Nvidia H100最為搶手，市面上，可搭配4臺或8臺SXM外形H100的伺服器機型受到熱烈關注，Dell、Supermicro、雲達、技嘉等國際及臺灣大廠的相關產品接連登場，HPE卻顯得異常低調，遲遲未看到他們加入推廣這類伺服器的戰局。</p> <p>從Nvidia公布的合格系統目錄當中，我們找到HPE目前有兩款伺服器可搭配<a href="https://www.ithome.com.tw/tags/nvidia-h100-gpu">SXM外形H100</a>，分別是採用HGX H100 4-GPU的Cray XD665，以及HGX H100 8-GPU的Cray XD670，而在10月中舉行的HPE Discover More Taipei 2023大會期間，原本我們以為會看到上述產品亮相，沒想到現場用來展示該公司AI創新應用的伺服器，卻是另一款可搭配PCIe版本H100 GPU的機型，ProLiant DL380a Gen11。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-13-HPE%20DL380a.jpg" style="height: 600px;" /></p> <p>這是專門針對執行GPU運算密集型工作負載的產品，可支援AI、深度學習的訓練與推論、智慧影像分析（IVA）、側重影像處理的虛擬桌面基礎架構（VDI）等多種應用，於今年3月推出，晚於<a href="https://www.ithome.com.tw/tech/155013">ProLiant Gen11</a>其他機型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Gen11 GPU-DL380a.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Gen11%20GPU-DL380a.jpg" style="width: 600px;" /></a></p> <p>就機型名稱、外形、整體配置而言，DL380a Gen11與DL380 Gen11大致相似，例如，均搭配2U尺寸機箱、2路配置，但細部規格有明顯差異。例如，處理器採用<a href="https://www.ithome.com.tw/tech/155638">英特爾第四代Xeon Scalable</a>，最高時脈均為3.7 GHz，但DL380 Gen11可搭配16到60核心的CPU，DL380a Gen11則是搭配8到56核心的CPU；記憶體方面，同樣支援DDR5-4800，DL380 Gen11內建32個插槽，最大可安裝到8 TB（單支記憶體256 GB），DL380a Gen11則是24個，最大可安裝到3 TB（單支記憶體128 GB）。</p> <p>關於硬碟儲存方面的差異更大，DL380 Gen11前側可設置8或12臺3.5吋傳統硬碟或固態硬碟，或是24臺2.5吋傳統硬碟或固態硬碟，背部可選裝6臺2.5吋傳統硬碟或固態硬碟，存取介面涵蓋SATA、SAS、NVMe；DL380a Gen11只支援NVMe固態硬碟，前側目前可設置8臺2.5吋固態硬碟，或是8臺E3.S外形固態硬碟。</p> <p>在PCIe擴充部分，DL380 Gen11最多可安裝8張全高全長介面卡，當中能搭配2張<a href="https://www.ithome.com.tw/review/137818">Nvidia A100 80GB PCIe</a>或<a href="https://www.ithome.com.tw/review/148618">A16 64GB PCIe</a>；而稍晚推出、主打GPU應用的DL380a Gen11，可安裝4張全高半長介面卡，目前能搭配4張雙寬尺寸的GPU，像是Nvidia的A100 80GB PCIe、H100 80GB PCIe、L40 48GB PCIe，以及Intel的Data Center GPU Max 1100，預計未來提供安裝8張單寬尺寸GPU的選項。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Gen11 GPU-DL380a overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Gen11%20GPU-DL380a%20overview.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，多數伺服器若要搭配PCIe板卡形式的GPU，通常會將其放置在機箱後半段，DL380 Gen11就是如此，但DL380a Gen11將GPU設置在機箱前段的左右兩側。</p> <p>事實上，這並非HPE ProLiant Gen11唯一這樣設置GPU的機型。採用AMD第四代EPYC處理器的機型幾乎都採用這樣的設計，像是DL325 Gen11、DL345 Gen11、DL385 Gen11，至於Intel第四代Xeon Scalable處理器的機型，有DL320 Gen11，以及這款DL380a Gen11。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DL380a%20Gen11%20GPU.jpg" style="width: 600px;" /></p> <p>為何上述<a href="https://www.ithome.com.tw/tech/155013">ProLiant Gen11機型</a>採用這樣的GPU配置？HPE表示，當GPU能夠放置在機箱前段，帶來兩個好處，一是不會受到機箱後段PCIe橫向擴充卡的空間限制，影響可安裝的GPU數量，另一是機箱前段的進氣溫度較低，有助於GPU散熱。而在《HPE ProLiant Gen11 AI optimized solutions》這份白皮書則指出，這麼做可改善氣流、增加GPU密度，並且替每張GPU提供專屬電源供應，延長GPU運作時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE ProLiant Gen11 servers for AI at a glance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20ProLiant%20Gen11%20servers%20for%20AI%20at%20a%20glance.jpg" style="width: 600px;" /></a></p> <p>除此之外，DL380a Gen11還有一個過去伺服器搭配多張PCIe板卡GPU較少有的配置，那就是提供GPU橋接器，可提升GPU之間的雙向存取能力，進而增加GPU運算吞吐量、實現跨GPU的記憶體共享，改善效能與資源利用率。</p> <p>HPE在3月初步推出這款GPU伺服器機型時，就提供名為<a href="https://buy.hpe.com/us/en/options/enterprise-networking-products/bridge-modules/bridge-management-modules/nvidia-ampere-2-way-2-slot-bridge-for-hpe/p/r6v66a">「Ampere 2-way 2-slot Bridge」</a>的設置，可透過NVLink介面連接兩張PCIe板卡形式的A100或H100，每一對串連可搭配3張GPU。而HPE在10月最新公布的DL380a Gen11第5版規格，宣布開始支援Intel的Data Center GPU Max 1100之餘，也提供「Intel XeLink x2 Bridge」的配置，可連接2張這款GPU。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NVL%20for%20HPE.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NVLink%20Topology%20%E2%80%93%20Top%20Views.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE ProLiant DL380a Gen11</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：2顆，第四代Intel Xeon Scalable系列（最多56顆核心）<br /> ●記憶體：24個DDR5-4800，插滿128 GB，可達到3 TB<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟或E3.S外形NVMe固態硬碟<br /> ●I/O擴充介面：4個PCIe 5.0 x16（全高半長）<br /> ●電源供應器：4臺1600瓦或1800至2200瓦<br /> ●GPU選擇：Nvidia H100 80 GB PCIe、Nvidia L40、Intel Data Center GPU Max 1100</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/24 00:53作者李宗翰https://www.ithome.com.tw/review/159419
【資安日報】10月23日，思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科<a href="https://www.ithome.com.tw/news/159361#CVE-2023-20198">上週揭露</a>已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後有研究人員指出可能有1萬臺設備感染惡意程式，但情況急速惡化。資安業者Censys發現，18日有逾4萬臺設備受害，其中又以美國、菲律賓、墨西哥的設備最多。</p> <p>另一方面，思科威脅情報團隊Talos揭露此起事故的最新調查結果，指出攻擊者在部署惡意程式的過程，同時利用另一個零時差漏洞CVE-2023-20273。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://censys.com/cve-2023-20198-cisco-ios-xe-zeroday/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">鎖定零時差漏洞CVE-2023-20198的受害範圍擴大，近4.2萬臺思科設備感染後門程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/IOSXE1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IOSXE1-1.png" style="width: 300px; float: right;" /></a>10月16日思科針對網路設備作業系統IOS XE的零時差漏洞CVE-2023-20198（CVSS風險評分為10）提出警告，並已出現攻擊行動，隨後有研究人員揭露可能的受害規模，但如今傳出有擴大的跡象。</p> <p>資安業者Censys指出，10月17日他們看到67,445臺啟用網頁介面的IOS XE設備，其中有34,140臺被植入後門程式，超過半數受害。隔日，遭駭設備的數量一舉增加至41,983臺，其中美國從4,659臺增加至6,509臺、菲律賓從3,224臺增加為3,966臺、墨西哥從2,332臺增加到3,052臺。</p> <p>到了19日，他們發現受害設備數量降至36,541臺，這代表已有超過5千臺設備的IT管理員可能已採取保護措施。</p> <p><a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科揭露另一個網路設備作業系統IOS XE零時差漏洞，駭客用來植入Lua打造的惡意程式</span></strong></a></p> <p></p> <p>思科上週公布遭利用的零時差漏洞CVE-2023-20198，駭客可能在9月中旬就開始發動攻擊，並搭配另一個已知漏洞CVE-2021-1435，對執行IOS XE作業系統的網路設備植入惡意軟體，如今該公司推翻當時的發現，指出攻擊者串連了另一個零時差漏洞。</p> <p>思科威脅情報團隊Talos表示，駭客利用CVE-2023-20198取得IOS XE最高權限之後，利用了另一個零時差漏洞CVE-2023-20273來部署惡意程式，而這個弱點是位於網頁介面的命令注射漏洞，攻擊者可取得最高權限，將惡意程式寫入檔案系統，CVSS風險評分為7.2。</p> <p>而對於攻擊者植入的惡意程式，研究人員指出是利用Lua程式語言打造而成，僅有29行程式碼，而且，攻擊者下達命令的方式也相當簡單，只需對裝置發出HTTP POST請求，就能進行操控。</p> <p><a href="https://www.bleepingcomputer.com/news/security/okta-says-its-support-system-was-breached-using-stolen-credentials/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Okta證實客戶技術支援系統遭駭，帳密資料外洩</span></strong></a></p> <p></p> <p>10月20日身分存取管理服務業者Okta證實，有人取得外流的帳密資料，存取他們的客戶支援管理系統，而能夠檢視近期尋求支援的客戶上傳的資料。該公司強調，此客戶支援管理系統與他們提供的身分驗證服務互為獨立，並未波及身分驗證服務；此外，未影響Auth0/CIC案件管理系統。在該公司的客戶支援流程當中，他們要求用戶提供HTTP Archive（HAR）檔案，以便客服還原使用者的瀏覽器組態來解決問題，然而這種檔案有可能內含Cookie與連線階段（Session）的Token，使得攻擊者能夠用於冒充使用者。</p> <p>身分存取管理業者BeyondTrust、雲端服務業者Cloudflare發出公告，表明他們也受到這起資安事故影響，並在收到警告前向Okta通報這起資安事故。BeyondTrust表明他們在10月2日，察覺有人利用Okta客戶支援系統竊得的Cookie，企圖存取該公司Okta管理員帳號，所幸他們的資安團隊阻止駭客的行為，攻擊者並未存取任何系統，客戶也沒有受到影響。</p> <p>Cloudflare於10月18日透露遭遇相關攻擊，攻擊者利用從Okta客戶支援系統竊得的Token，透過具備管理權限的連線階段存取他們的Okta實體，經過他們確認，該公司客戶資訊及資料並未受到影響。</p> <p>資料來源</p> <p>1. <a href="https://sec.okta.com/harfiles">https://sec.okta.com/harfiles</a><br /> 2. <a href="https://www.beyondtrust.com/blog/entry/okta-support-unit-breach">https://www.beyondtrust.com/blog/entry/okta-support-unit-breach</a><br /> 3. <a href="https://blog.cloudflare.com/how-cloudflare-mitigated-yet-another-okta-compromise/">https://blog.cloudflare.com/how-cloudflare-mitigated-yet-another-okta-compromise/</a></p> <p><a href="https://labs.withsecure.com/publications/darkgate-malware-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借知名電競設備業者海盜船的名義徵才，目的是散布惡意軟體DarkGate、RedLine Stealer</span></strong></a></p> <p></p> <p>資安業者WithSecure發現越南駭客散布惡意軟體DarkGate、RedLine Stealer的攻擊行動，這些駭客針對美國、英國、印度，鎖定專門經營組織社群網站管理業務的人士而來，透過職場社群網站LinkedIn，假借提供電競設備業者海盜船（Corsair）的職缺，來引誘目標人士上當。</p> <p>在其中一起發生於8月的攻擊行動裡，對方要求使用者從特定URL下載職缺資料，一旦依照指示點選，上述的URL會將使用者重新導向至雲端檔案儲存服務Google Drive或是Dropbox，下載帶有PDF、Word檔案，或是TXT文字檔的ZIP檔案，若是依照指示開啟上述文件檔案，電腦就有可能觸發其中的VBS指令碼，執行curl下載AutoIT及自動化批次檔（AU3），植入惡意程式DarkGate，並在30秒後嘗試移除WithSecure的用戶端軟體，不過沒有成功。</p> <p>研究人員也在其他受害組織看到類似的攻擊行動，但Sophos、Forcepoint等端點防護軟體皆阻止了後續攻擊。此外，他們也看到這些駭客利用類似的管道散布竊資軟體RedLine Stealer。而對於攻擊者的身分，研究人員認為，這些駭客先前可能曾散布另一款惡意程式Ducktail。</p> <p><a href="https://unit42.paloaltonetworks.com/blackcat-ransomware-releases-new-utility-munchkin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat利用新工具Munchkin散布加密程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1965-F1-BlackCat.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1965-F1-BlackCat.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露勒索軟體駭客BlackCat（亦稱Alphv）近期的攻擊行動，攻擊者這次使用新的工具Munchkin來加密電腦的檔案。一旦駭客成功入侵目標電腦，會先安裝虛擬化軟體VirtualBox，然後建置帶有Munchkin的Linux虛擬機器，駭客以Alpine OS打造該作業系統的安裝映像檔，原因是此種版本Linux作業系統占用的空間極小，而能夠快速部署。</p> <p>接著，攻擊者啟動虛擬機器時，會下達更動root密碼的命令，然後透過作業系統內建的tmux應用程式產生新的終端機連線，執行惡意程式Munchkin，完成後虛擬機器就會自動關機，此惡意程式會推送勒索軟體BlackCat到其他電腦並執行，或是遠端加密SMB共用資料夾的內容。此外，該虛擬機器內含大量的Python檔案，而能讓攻擊者於受害組織的網路進行橫向移動，或是竊取帳密資料。</p> <p><a href="https://news.sophos.com/en-us/2023/10/19/ransomware-actor-exploits-coldfusion-servers-but-comes-away-empty-handed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客鎖定舊版Adobe ColdFusion下手，散布LockBit 3.0變種程式</span></strong></a></p> <p></p> <p>資安業者Sophos揭露鎖定Adobe ColdFusion伺服器的勒索軟體攻擊行動，駭客組織BlackDogs 2023從9月至10月初，鎖定仍在運作、已達到生命週期結束（EOL）的ColdFusion 11版，利用漏洞存取目標組織的Windows伺服器，從而部署以LockBit 3.0產生器製作的勒索軟體程式，並企圖勒索205個門羅幣（約3萬美元），但遭到該公司的端點防護系統攔截而沒有得逞。</p> <p>利用應用程式系統漏洞來散布勒索軟體的情況，還有<a href="https://infosec.exchange/@SophosXOps/111222943608438109">針對WS_FTP伺服器CVE-2023-40044漏洞而來的攻擊行動</a>，勒索軟體駭客組織Reichsadler利用這項漏洞入侵目標組織，使用開源工具GodPotato將權限提升為NT AUTHORITY\SYSTEM，然後試圖植入以LockBit 3.0產生器打造的勒索軟體，企圖索討500美元的比特幣。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/critical-rce-flaws-found-in-solarwinds-access-audit-solution/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SolarWinds存取權限稽核系統存在重大漏洞，攻擊者可能得以遠端執行任意程式碼</span></strong></a></p> <p></p> <p>10月18日SolarWinds針對旗下的存取權限稽核系統Access Rights Manager（ARM）<a href="http://documentation.solarwinds.com/en/success_center/arm/content/release_notes/arm_2023-2-1_release_notes.htm">發布2023.2.1版</a>，當中總共修補8個漏洞，這些漏洞由趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）於6月下旬向SolarWinds通報，但值得留意的是，在SolarWinds發布的公告當中，這些漏洞全部都評為高風險等級，CVSS風險評分介於7.8至8.8分，但ZDI認為有3個漏洞為重大等級。</p> <p>這些漏洞是CVE-2023-35182、CVE-2023-35185、CVE-2023-35187，其共通點是攻擊者無須通過身分驗證，就能使用SYSTEM的權限遠端執行任意程式碼（RCE），ZDI將這些漏洞的CVSS風險評分列為9.8。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.europol.europa.eu/media-press/newsroom/news/ragnar-locker-ransomware-gang-taken-down-international-police-swoop"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐洲刑警組織宣布破壞勒索軟體Ragnar Locker的基礎設施</span></span></strong></a></p> <p></p> <p><a href="https://www.cloudsek.com/whitepapers-reports/chinese-scammers-launder-money-through-upi-a-new-threat-to-indias-digital-payment-ecosystem"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客透過冒牌貸款App洗錢</span></span></strong></a></p> <p></p> <p><a href="https://www.ettoday.net/news/20231020/2606195.htm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">線上影視平臺LiTV雲端基礎設施1月遭破壞，涉案前員工遭起訴，檢方透露更多細節</span></span></strong></a></p> <p></p> <p><a href="https://news.ltn.com.tw/news/society/breakingnews/4462410"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">12名房仲向歹徒購買小白機查詢屋主個資，依個資法遭到起訴</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/kwik-trip-finally-confirms-cyberattack-was-behind-ongoing-outage/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國連鎖便利商店Kwik Trip的IT系統服務中斷，起因是遭到網路攻擊</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159415"><strong>【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159379"><strong>【10月19日】互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159361"><strong>【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</strong></a></p> </div></div></div>
2023/10/23 17:03作者周峻佑https://www.ithome.com.tw/news/159433
MedTech醫療科技雙周報第28期：不同標準也要互通，SNOMED聯手Regenstrief推出LOINC術語集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（1001～1015）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SNOMED </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LOINC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 術語集 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>不同標準也要互通，SNOMED聯手Regenstrief推出LOINC術語集</strong></span></p> <p>最近，國際臨床術語標準SNOMED和國際檢驗醫學術語標準LOINC的制定者們，聯手推出2種標準可互通的<a href="https://loincsnomed.org/">術語集LOINC Ontology</a>，要讓採用不同SNOMED和LOINC組合的醫療IT系統，透過單一解決方案就能互通資訊，以達到臨床和監管要求。這麼做，使用者更能跨系統交換和收集醫療數據，有利於後續分析和決策。</p> <p>目前，這個LOINC術語集的預覽版已有2萬4千多個LOINC術語，並會在今年最後一季公布，以進行評審和蒐集回饋。這個LOINC術語集由LOINC的制定者Regenstrief研究院管理，並會免費提供使用者下載。對SNOMED會員和使用者來說，接下來就能用與SNOMED CT相同的格式，來使用LOINC。這些術語標準，也是衛福部看重的領域，在規畫中的次世代數位醫療平臺中，就計畫導入SNOMED和LOINC標準來統一醫療資訊規格。<a href="https://www.snomed.org/news/regenstrief-and-snomed-international-broaden-collaboration-to-facilitate-interoperability-nationally-and-globally-by-linking-loinc-and-snomed-ct#:~:text=%E2%80%9CThe%20LOINC%20Ontology%2C%20a%20LOINC,%E2%80%9D%20said%20Marjorie%20Rallins%2C%20DPM%2C">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據孤島 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Fabric </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟推醫療資料解決方案、正式上線臨床記錄助理DAX Copilot</strong></span></p> <p>日前，微軟針對醫療產業推出預覽版的醫療資料解決方案，只要是微軟醫療雲的使用者，都能用來存取、分析和視覺化資料洞察，也能使用支援多語言的文字分析功能和Azure三種AI模型。這些解決方案新工具建於微軟今年5月推出的Fabric資料分析平臺，主打解決資料孤島，能整合醫院電子健康紀錄（EHR）、影像儲傳系統（PACS）、實驗室系統（LIS）、理賠系統和醫療設備資料，且採用FHIR、DICOM標準，能將非/結構化影像和醫療設備資料匯入Fabric資料湖，並轉換資料標準。</p> <p>使用者能在解決方案中使用3種AI模型，首先是病人時間線，用生成式AI來從非結構化資料（如藥物、診斷和手術記錄）提取關鍵時間，再按時間順序排列，讓醫師了解病史。再來是臨床報告簡化模型，能將醫師撰寫的醫學術語轉為白話文，來與病人共享。第3個模型是放射學洞察，能針對放射影像的回饋（如錯誤、不一致）來做品質檢查。微軟還推出預覽版生成式AI助理Azure AI Health Bot，能從非結構化文字摘要出重要資訊，並正式全面推出護理紀錄語音轉文字服務Nuance DAX Copilot。<a href="https://blogs.microsoft.com/blog/2023/10/10/microsoft-introduces-new-data-and-ai-solutions-to-help-healthcare-organizations-unlock-insights-and-improve-patient-and-clinician-experiences/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">FHIR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療保險理賠 </span></strong></span></p> <p><span style="font-size:22px;"><strong>第4屆FHIR聯測展開，納入更多衛福部實作指引TW Core IG</strong></span></p> <p>今年度第4屆國際醫療資料交換標準FHIR聯測松在10月3日展開，地點從往年的林口新創園區移師至國泰金融會議中心，共有32家機構參與，包括10家醫院、19家企業、2家學校和1家法人。今年度聯測賽道（Track）繼續擴大，比去年多出3項，共有10大類別，不只有基本的病人資訊、生理量測數據、醫學影像與病理等，還新添4項應用情境賽道，包括照護協調、醫療保險理賠、遠距醫療、癌症登記等。</p> <p>其中，醫療保險理賠賽道目的是要透過統一的標準，來解決醫療機構和保險公司理賠資料上傳問題。協會和國泰金控等團隊引用HL7基準並繼承衛福部制定的臺灣核心實作指引（TW Core IG），制定出醫療保險理賠實作指引，作為交換的資料規範。至於遠距醫療，則是要搭配2大政策（偏鄉離島遠距醫療服務和全民健保遠距醫療給付計畫），以FHIR標準設計遠距醫療門診作業，如病患基本資料維護、掛號等。癌症登記賽道則是要解決現行癌症登記設計、難以實現資料互通的問題，團隊參考了瑞士FHIR癌症登記實作指引和HL7基準，設計出臺灣癌症登記短表與長表共2份實作指引，並納入臺北榮總、臺中榮總和高雄榮總等3家醫學中心，來進行聯合驗證。不只這些賽道，這次聯測還有其他賽道採用TW Core IG，而醫療系統具備FHIR資料交換能力，正是衛福部近年力推的重要政策。<a href="https://www.ithome.com.tw/news/159115">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%90%86%E8%B3%A0.JPG" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位健康 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監管 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>美國FDA成立數位健康諮詢委員會，徵求領域專家加入</strong></span></strong></p> <p>美國FDA日前（10/11）成立數位健康諮詢委員會（Digital Health Advisory Committee），要來兼顧新興工具的創新發展和安全監管，並徵求相關領域專家成為委員。FDA指出，數位健康是一個快速發展的領域，不只有AI/機器學習、VR、IoT等技術涉入，還有分散式臨床試驗、患者健康數據和網路安全等議題要關注。</p> <p>因此，他們想成立委員會來研究這些議題，而且還要對FDA提供數位健康科技建議，來協助FDA制定相關政策和法規，並讓FDA更理解這些科技帶來的好處、風險和臨床效益。委員會將包含9名擁有投票權的核心成員，其他成員和主席則由專員從權威機構中選出，並隨議題決定臨時成員人數。<a href="https://www.fda.gov/news-events/press-announcements/fda-establishes-new-advisory-committee-digital-health-technologies">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">三總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 軍醫局 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>軍醫局聯手微軟展開醫療大數據訓練分析平臺專案</strong></span></p> <p>國防部軍醫局9月底宣布與臺灣微軟聯手，展開醫療大數據訓練分析平臺專案，並瞄準2大目標，包括用AI提高文字報告的正確辨識率，以及用大型語言模型自動生成中英文護理紀錄和影像報告。之後，三總醫療IT團隊將把這些成果，擴大推動到全國13家軍醫院，特別是護理紀錄、門診、巡房和手術紀錄等領域，來加速智慧醫療發展。</p> <p>這項專案將於三總率先展開，因為，三總每年門診和住院服務人數高達200多萬人次，醫護人員的工作量非常大，是該專案的最佳試驗場域。他們希望透過該專案，來減少護理人員撰寫護理紀錄的時間和放射科醫師完成影像報告的時間，並提供更精準的診斷建議。<a href="https://wwwv.tsgh.ndmctsgh.edu.tw/newsedm/191/10000/24898/2360/238">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">新加坡</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 心理健康 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 轉介 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>新加坡衛生部要建心理健康數位平臺</strong></span></strong></p> <p>10月初，新加坡衛生部釋出一份《<a href="https://www.moh.gov.sg/docs/librariesprovider5/resources-statistics/reports/national-mental-health-and-well-being-strategy-report-(final).pdf?sfvrsn=e3b115fa_0">新加坡國家心理健康和福祉策略</a>》文件，瞄準4大目標，要來擴大心理健康服務量能、提高醫護及早辨識和介入的能力、促進心理健康福祉，以及改善職場的心理健康和福祉。其中，為加強及早辨識和介入治療，新加坡衛生部數位轉型辦公室正在建立一款數位心理健康連結平臺（DMHC），要來整合民眾的健康數據和社會資料，來讓醫師和諮商師能更順暢轉介病人，並依病人需求、風險、偏好等來建議適合的服務，達到及早治療的效果。<a href="https://www.moh.gov.sg/resources-statistics/reports/national-mental-health-and-well-being-strategy-2023">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 甲牙科 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 全景影像 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫材 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>國產牙科影像判讀AI獲TFDA認證，可精準判斷4種病徵</strong></span></strong></p> <p>由明基醫和光明智能科技開發的國產牙科AI軟體，最近獲食藥署TFDA智慧醫材（SaMD）認證，號稱是臺灣首款自製取證的牙科全景影像分析軟體。該軟體可在幾秒內判斷缺牙、智齒、金屬烤瓷牙套、植牙等病徵，幫助牙醫師更快更精準診斷。</p> <p>為訓練AI，業者採用大量牙科全景X光影像，先透過專業牙醫標註，再來訓練深度學習模型。經臨床驗證，模型敏感度為91.30%～99.02%，精確度則是88.61%～99.05%，準確性達到98.44%～99.64%，且在判斷缺牙、智齒、金屬烤瓷牙套、植牙等4種病徵的準確性可達98.6%以上。明基口腔總經理林家弘表示，他們計畫將該軟體擴大應用於牙齒健檢、保險評估、長照遠距醫療等領域。<a href="https://www.facebook.com/100063754011312/posts/pfbid031FmLoTMxDXEU7zi4kBKbn5iBBodTbdME9Nu2NR58tHNGB3nmEvRCmTh9WvFczUual/?mibextid=cr9u03">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 衛福部 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 次世代HIS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>健保署提8項數位升級策略，次世代數位醫療平臺預計後年開工</strong></span></strong></p> <p>健保署署長石崇良日前在第4屆FHIR聯測論壇中，提出健保數位升級8大策略，包含建置家醫大平臺、健康存摺SDK個人健康資料加值應用、健保雲端查詢系統優化、數位化審查、遠距醫療整合、虛擬健保卡擴大應用，以及完善健保BioBank和數位基礎建設。</p> <p>其中，家醫大平臺是要整合民眾就醫數據和IoT裝置數據，來提供健康追蹤服務，健保雲端查詢系統優化則是要提供更友善的介面和認證登入方式。數位化審查是要將過往醫院和藥廠的紙本送審流程無紙化，改由線上申請並導入AI相關技術加速審查。遠距醫療則搭配虛擬健保卡擴大應用，要將場域擴大到居家醫療。針對最後一項策略，健保署不只要升級健保系統，還要改採混合雲架構和新型機房，來提供更穩定的服務。而數位基礎建設瞄準基層診所和特約藥局，健保署要建置健保雲來讓廠商上架雲端系統，供基層診所選用。</p> <p>石崇良也透露，衛福部自去年開始籌備臺灣智慧醫療升級計畫，分3階段實現，包括建立能接軌國際資料標準架構的基礎設施、打造符合國際趨勢的次世代數位醫療平臺，以及建立以病患為中心的服務生態系。其中，針對次世代數位醫療平臺，衛福部今、明2年先與產業溝通，預計後年（2025年）動工。除了次世代平臺，衛福部也提出公共建設計畫，要建置跨部和署的醫療數據共享平臺，並打造食藥署、國健署、疾管署和健保署之間的資料交換標準架構和格式，設置FHIR共通欄位格式和LOINC編碼的實作指引。石崇良指出，這些部內計畫將在明年展開。<a href="https://www.ithome.com.tw/news/159227">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A8%88%E5%8A%83.JPG" /></p> <p>攝影／王若樸</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://www.healthcareitnews.com/news/asia/changi-general-hospital-leverages-ai-spot-curable-hypertension">新加坡樟宜醫院導入AI來偵測特定的高血壓個案</a></strong></strong></p> <p><strong><strong>2. 醫資廠商NextGen Healthcare推出可聆聽環境聲音的AI助理Ambient Assist</strong></strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/23 16:46作者王若樸https://www.ithome.com.tw/news/159432
思科再公布另一個IOS XE零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼日前的<a href="https://www.ithome.com.tw/news/159319" target="_blank">CVE-2023-20198</a>之後，<a href="https://blog.talosintelligence.com/active-exploitation-of-cisco-ios-xe-software/" target="_blank">思科上周五（10/20）再公布</a>了另一個位於Cisco IOS XE的零時差漏洞CVE-2023-20273，表示所發現的攻擊行動是駭客同時利用這兩個漏洞串連而成，並於本周日（10/22）修補。</p> <p>IOS XE是思科替旗下交換器、無線網路控制器、無線基地臺與路由器所開發的作業系統，思科在上周指出，駭客利用了新的CVE-2023-20198零時差漏洞取得Level 15的IOS XE最高權限，繼之再透過已於2021年修補的CVE-2021-1435漏洞植入惡意檔案。</p> <p>然而，最新的調查顯示，在植入惡意檔案時，駭客所利用的並非是CVE-2021-1435，而是新的零時差漏洞CVE-2023-20273。</p> <p>CVE-2023-20198是個存在於Cisco IOS XE作業系統的網頁使用者介面（Web User Interface，WebUI）的權限擴張漏洞，允許駭客取得系統的最高權限，其CVSS漏洞風險評分高達10；而CVE-2023-20273則是另一個位於WebUI的命令注射漏洞，讓駭客得以最高權限將惡意程式寫入檔案系統，可有效地控制整個系統，CVSS漏洞風險評分為7.2。</p> <p>根據思科的調查，駭客所寫入的惡意程式是以Lua撰寫，只有29行的程式碼，以方便執行任何指令，但必須向該裝置建立一個HTTP POST請求。因此，思科建議客戶應關閉可自公開網路存取系統之HTTP/S伺服器功能，並檢查裝置上是否被植入了惡意程式，或是有否建立可疑的新用戶。</p> <p>值得注意的是，Lua惡意檔案無法持久，只要重新開機就能將它清除，然而，利用CVE-2023-20198漏洞所建立的新用戶，卻可持續擁有最高權限。</p> <p>思科是在10月16日揭露CVE-2023-20198，而資安研究業者<a href="https://twitter.com/onyphe/status/1714560329336664268" target="_blank">ONYPHE於18日偵測到</a>，全球8萬臺曝露於公開網路的IOS XE裝置中，在短短的3天內就有超過5萬臺被植入Lua惡意檔案。<a href="https://censys.com/cve-2023-20198-cisco-ios-xe-zeroday/" target="_blank">Censys則說</a>主要受害者位於美國、菲律賓與墨西哥。</p> <p>令人感到困惑的是，接著研究人員發現到這些被駭裝置的數量驟減。<a href="https://twitter.com/onyphe/status/1715633541264900217" target="_blank">ONYPHE在21日指出</a>，受駭裝置數量從4萬臺降至1,200臺。<a href="https://twitter.com/CERTCyberdef/status/1716142222570102978" target="_blank">CERT Orange Cyberdefense則說</a>，所偵測到含有Lua惡意檔案的IOS XE裝置，從10月18日的近4萬臺，下滑到19日的3.1萬臺，到了22日僅剩320臺。</p> <p>ONYPHE與CERT Orange Cyberdefense都認為，這不太像是用戶大規模清除惡意檔案的軌跡，而更像是駭客修復了原本就不應可自遠端偵測到的惡意檔案，並蓄勢待發準備下一波的攻擊行動。</p> </div></div></div>
2023/10/23 15:29作者陳曉莉https://www.ithome.com.tw/news/159431
Fintech周報第219期：新光金保代將建置新核心系統；金管會正式發布金融業運用AI原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/10/9~10/20金融科技精選新聞</span></span></h3> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統建置</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務架構 </span></strong></span></p> <h3>新光金保代將建置新核心系統，導入微服務架構的保險中臺</h3> <p>新光金保代將在未來一年打造新保代核心系統，整合旗下各項業務流程，包括：收件模組、入金作業、佣金模組、業績模組、保單管理、商品管理、客戶管理、通路業務員管理等，導入以微服務規劃架構的保險中臺。</p> <p>這個保險微服務中臺涵蓋客戶、商品、保單、投保、試算與支付等28個模組，可依保經代不同角色的需求彈性組合模組，以微服務細分打包相對應的服務功能，一方面使用最小資源，提高系統運行速度，另一方面也要縮短新業務或服務相關技術開發時間。新光金保代董事長黃明正表示，期望透過新一代核心系統的建置，除了加強公司的數位能力，更重要的是協助業務及通路完善服務客戶、快速提供多樣化商品。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></h3> <h3>金管會正式發布金融業運用AI原則，預計今年底前完成指引</h3> <p>金管會10月17日<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202310170002&dtable=News">正式發布金融業運用人工智慧之核心原則與相關推動政策</a>，包含6項核心原則及8項配套政策，8項配套政策並未進行修正，原則共修正五處內容，包含，修改業者使用所有AI工具時，都須進行人為判斷的原則，修正AI系統定義，和新增生成式AI定義。金管會表示，目前正依6項原則制訂「金融業運用AI指引」，預計今年底前完成。</p> <p>雖然不必在使用每個AI工具時，都進行最終人為判斷，金管會仍認為，金融機構最初在設計AI工具時，就要放入相關管控機制，因此，原則也要求金融機構在處理生成式AI產出資訊時，要就風險進行管控，且金融機構使用AI應以風險為基礎做出適當決策和監督。(<a href="https://www.ithome.com.tw/news/159380">詳全文</a>)</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控 </span></strong></span></h3> <h3>台新金控揭露生成式AI實驗新進展</h3> <p>台新金控先是制定AI發展關鍵因子，作為導入AI解決方案的重要參考，並制定AI導入指引，包含擴大應用優於全新導入、業務效益優於技術創新、技術導入優於產品導入，和外購優於技術移轉、自行開發等四大原則。</p> <p>接著，他們發展四項實驗專案，包含協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。（<a href="https://www.ithome.com.tw/news/159417">詳全文</a>）</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> P2P平臺 </span></strong></span></h3> <h3>金管會正式發布P2P平臺業者指導原則</h3> <p>金管會10月19日<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202310190002&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News">正式發布P2P平臺業者指導原則</a>，明訂P2P平臺業者提供的服務模式不能涉及金融特許業務，例如，不能收受存款或儲值款項，也不能發行有價證券、受益證券或資產基礎證券。</p> <p>指導原則中明訂，P2P 業者原則上僅處理借貸款項收付的資訊流，不經手金流移轉。此外，金管會也要求P2P業者確保網站的資訊安全及相關資訊傳輸的安全性。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰世華銀行</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風險偵測 </span></strong></span></h3> <h3>國泰世華銀行風險偵測平臺新增「犯罪者模組」，提高三倍異常帳戶補捉數</h3> <p>金管會近期公布截至8月止前十大金融機構阻詐金額和件數排名，國泰世華排名第一，攔詐近千件，金額約7.2億元。國泰世華銀行近期宣布，其風險偵測平臺「國泰盾2.0」自今年更新推出，加強了原有的「消費者模組」，提升用戶數位身分的驗證機制，並新增監測「犯罪者模組」，將犯罪者常出現的「登入次數異常」、「短時間內匯入、出大筆金流」等連續行為作為偵測指標，提高了三倍的異常帳戶補捉數，讓可疑帳戶的鎖控精準度達到九成。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監理 </span></strong></span></h3> <h3>渣打銀行宣布首份「支付法規指南」，彙整包含臺灣等亞洲八個主要市場現行支付監理架構</h3> <p>企業發展支付服務時，法規的審查和頻繁修正是一大挑戰，若是發展跨境支付業務，更要因應不同國家的支付法規進行調整。渣打銀行發布首份彙整臺灣、中國、香港、印度、馬來西亞、韓國、泰國與新加坡等亞洲八個主要市場，涵蓋各地現行支付和電子貨幣服務的監理架構和相關許可規範，並結合金融知識，鎖定企業發展跨境業務時須面臨法規問題的痛點。該報告也鎖定電商需求，納入支付許可是否適用於B2B電商平臺的議題。不過，該報告須付費才可下載。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 本迪戈和阿德萊德銀行 </span></strong></span></h3> <h3>澳洲本迪戈和阿德萊德銀行將數位銀行系統上雲</h3> <p>澳洲本迪戈和阿德萊德銀行近期在社群媒體上公布，他們已重建數位銀行系統，並在今年5月放上雲端運行，成功提升了數位銀行App的性能。他們也證實了澳洲新聞媒體iTnews的報導，報導中提及，本迪戈和阿德萊德銀行的上雲動機是因應客戶需求改變，要確保能快速且可靠地提供客戶服務。此外，他們正在逐步減少銀行核心系統數量，以整合為單一核心系統，而上雲正是這項工程的一部分。</p> <p>根據iTnews報導，本迪戈和阿德萊德銀行認為，上雲不能僅是追求工作負載指標，而是將支付和借貸等重要的工作系統上雲，才能產生價值，因此，他們也正在將貸款發起流程放上雲端，以快速服務客戶。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端產品服務</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span></h3> <h3>摩根大通推出證券數據服務，提供多種雲端管道嫁接</h3> <p>看準雲端擴充性，摩根大通近期推出證券數據服務，提供提供投資者透過Rest APIs、互動式運算平臺Jupyter notebooks和Snowflake金融服務數據雲，檢索由摩根大通託管的基金會計數據，和中臺服務持有的投資數據。</p> <p>他們提供雲原生管道，是瞄準資產管理機構長期以來需要攝取大規模數據，以整合資產服務數據的痛點。這項服務旨在透過即時提供以現代技術堆疊的數據，協助企業藉雲端來加速數據分析、AI和機器學習的發展。這項服務可以讓投資者無論經過哪家雲端業者，都能透過Snowflake獲取摩根大通的數據，或是透過REST API、Python 和 Java SDK將數據整合至內部的應用程式中。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">更多Fintech新聞</span></p> <ul> <li>歐洲央行將於11月邁入為期兩年的數位歐元準備階段，可望制定正式規則，並遴選開發商</li> <li>英國新創公司BuildMyCreditScore藉開放銀行技術，讓用戶透過金融卡提高信用分數</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年10月</p> <p></p> </div></div></div>
2023/10/22 23:16作者李昀璇https://www.ithome.com.tw/news/159424
Okta支援案件管理系統遭駭客入侵，股價大跌11%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供身分及存取管理服務的<a href="https://sec.okta.com/harfiles" target="_blank">Okta上周五（10/20）坦承</a>，有駭客利用遭盜的憑證來存取該公司的支援案件管理系統，而Okta的合作夥伴<a href="https://www.beyondtrust.com/blog/entry/okta-support-unit-breach" target="_blank">BeyondTrust則說</a>，該公司早在10月2日便察覺相關攻擊，當時也已知會Okta。身為Okta客戶的<a href="https://blog.cloudflare.com/how-cloudflare-mitigated-yet-another-okta-compromise/" target="_blank">Cloudflare也以受害者的角度出面說明</a>。消息傳出的當天，Okta股價即大跌11.57%，以75.57美元作收。</p> <p>Okta安全長David Bradbury說明，此一入侵行動將允許駭客檢視最近特定客戶因需技術支援所上傳的檔案，此次的意外並未波及Auth0/CIC案件管理系統，且因該系統與Okta生產服務是分開的，因此亦未影響公司營運。</p> <p>在正常的客戶支援流程中，Okta會要求客戶上傳一個HTTP Archive（HAR）檔案，這是一個可用來追蹤瀏覽器及網站之間的交流，以供Okta複製客戶的瀏覽器行為並嘗試解決問題。只是，HAR檔案中有時也會含有機密資訊，像是Cookie或是會話令牌，而這些資訊足以讓駭客用來假冒合法的使用者。</p> <p>Okta已經通知所有受影響的客戶，並協助客戶展開調查與採取必要措施，包括撤銷會話令牌。一般而言，Okta通常會建議客戶在分享或上傳HAR檔案之前，應先刪除檔案中的所有憑證、Cookie與會話令牌。</p> <p>Okta利用雲端軟體來協助企業管理使用者登入應用程式的身分驗證，或是讓開發者得以建置登入應用程式、網頁服務或裝置的身分驗證控制，<a href="https://www.cnbc.com/2023/10/20/okta-shares-fall-after-company-says-client-files-were-accessed-by-hackers-via-its-support-system.html" target="_blank">《CNBC》</a>分析，全球有些超大型企業採用Okta的登入身分管理系統，包括FedEx及Zoom等，使得Okta成為駭客的高價值攻擊目標。</p> <p>另一方面，身為Okta客戶的資安業者Cloudflare則揭露了更多的細節。</p> <p>Cloudflare內部採用了Okta的系統執行員工的身分驗證，而該公司是在10月18日察覺內部系統遭到攻擊，追查之下發現源頭為Okta，駭客利用Okta外洩的令牌進入了Cloudflare內部的Okta實例，由於及早發現，使得Cloudflare很快就作出了因應，並無任何客戶系統或資訊受到此一事件的影響。此外，Cloudflare是在24小時之後才收到Okta的通知。</p> <p>Cloudflare表示，該公司所遭遇的情景與Okta所描述的相符，Cloudflare員工在近日建立並上傳了一個支援紀錄（Support Ticket），駭客在進入Okta客戶支援系統並檢視該檔案之後，挾持了該紀錄中的會話令牌，藉由所危害的兩名Cloudflare員工的帳戶，於10月18日存取Cloudflare系統。</p> <p>此外，整合Okta系統的另一身分管理服務業者BeyondTrust也在同一天踢爆，該公司早在10月2日就察覺，有人利用自Okta客戶支援系統偷來的會話令牌，企圖存取BeyondTrust內部的Okta管理員帳戶，當時便曾通知Okta。</p> <p>Cloudflare指責Okta沒有妥善處理此事，才令Cloudflare到了10月18日還受害，呼籲Okta應該要更早通知客戶，也應利用硬體金鑰來保障所有的系統。</p> <p>Cloudflare亦建議Okta客戶應啟用硬體雙因素身分驗證（MFA）機制，詳細調查Okta實例上的所有密碼及MFA的變更，重設所有密碼，以及監控所有Okta帳戶、權限變更與新建立的使用者，也應重新審視會話過期政策以限制挾持攻擊。</p> <p>這並不是Okta第一次因為沒能及時通知客戶而受到批評，去年3月時，<a href="https://www.ithome.com.tw/news/150050" target="_blank">Okta坦承</a>駭客集團Lapsus$危害了一名第三方客戶支援工程師的帳戶，但Okta其實是1月就知道，只是沒有通知客戶。</p> </div></div></div>
2023/10/23 14:37作者陳曉莉https://www.ithome.com.tw/news/159430
【資安週報】2023年10月16日到10月20日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞利用消息中，有兩個新漏洞及兩個已知漏洞遭鎖定的消息，成為企業必需關注的重點，包括：</p> <p>（一）思科公開網路設備作業系統IOS XE作業系統的零時差漏洞CVE-2023-20198，嚴重等級達到CVSS滿分，並警告大家已出現攻擊者成功利用該漏洞的情形，他們建議，目前用戶系統若是暴露在公開網路，應將IOS XE的HTTP Server功能關閉，並注意後續修補更新的釋出。揭露此消息之後的隔天，隨即有資安業者回報災情，因為他們發現多達數千臺Cisco IOS XE裝置已被植入了惡意檔案。<br /> （二）近期Milesight工控路由器（industrial cellular routers）漏洞CVE-2023-43261已公開揭露，儘管該設備商表示早已修補，但值得注意的是，有資安業者透露此漏洞可能已被惡意利用，並指出這類產品用於鐵路貨運運輸、自動提款機（ATM）網路與緊急車輛使用。依此態勢來看，交通與金融服務均可能面臨威脅。<br /> （三）今年7月WinRAR修補的零時差漏洞（CVE-2023-38831），自4月即遭到攻擊者成功利用，本周有多家資安業者分別指出，發現俄羅斯與中國國家駭客組織所發動的網釣攻擊，正積極利用這個已知漏洞。<br /> （四）今年9月JetBrains修補CI/CD軟體平臺TeamCity重大漏洞（CVE-2023-42793），如今傳出有北韓駭客組織Lazarus及旗下團體Andariel鎖定該已知漏洞利用的消息。</p> <p>其他漏洞消息方面，包括：Juniper Networks修補網路設備作業系統逾30個漏洞、Oracle季度安全更新修補185個漏洞。</p> <p>在網路威脅焦點上，我們選出幾個重大事件，包括2個新攻擊手法，以及4個鎖定不同產業而來的網路攻擊行動的揭露：</p> <p>●新型態Magecart信用卡側錄（Card Skimming）攻擊行動的揭露，駭客使用了網站預設404錯誤訊息頁面來隱藏他們的惡意程式碼。我們甚至看到揭露的資安研究人員指出，這是他們前所未見的創造性隱匿手法。<br /> ●還有攻擊者部署竊資軟體時的新手法揭露，駭客濫用了幣安智能鏈（BSC）數位貨幣合約，也就是先利用植入WordPress的惡意程式碼，將流量導向幣安，再從區塊鏈取得惡意指令碼注入網站，這也導致攻擊程式碼難以清除的挑戰。<br /> ●關於電信產業的威脅，烏克蘭電腦緊急應變小組（CERT-UA）指出，最近半年來，該國至少11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，他們也公布目前發現的駭客攻擊手法。<br /> ●東南亞國協會員國的外交單位遭鎖定，資安研究人員發現中國駭客使用的後門程式Bloodalchemy。<br /> ●東歐石油產業、天然氣公司、國防工業遭後門程式框架Meta鎖定，資安業者發現攻擊者從工控環境入侵總公司內部網路，並利用釣魚郵件、IE瀏覽器漏洞CVE-2021-26411觸發感染鏈，入侵財務系統的伺服器。<br /> ●程式開發與資料科學領域常用的Jupyter Notebook遭鎖定，駭客除了將伺服器的運算資源拿來挖礦，也企圖竊取組織使用的AWS、Google Cloud雲端服務帳密資料，進一步擴大危害的範圍。</p> <p>另外，還有3起資料外洩消息，包括：卡西歐坦承他們的教育網頁應用程式ClassPad.net的開發環境伺服器，遭到未經授權存取而洩漏資料，波及149國客戶；基因檢驗業者23andMe傳出資料外洩，410萬筆英國民眾資料流入駭客論壇；臺灣網路設備廠商友訊科技（D-Link）傳資料外洩，該公司證實的確有程式碼外洩的情況，起因是員工遭網釣攻擊，而且，他們表示，外流資料並非駭客宣稱的D-View原始碼，而是舊的會員註冊網站的程式碼。這項說法顯然有別於先前傳聞，孰是孰非仍有待觀察。</p> <p>至於防護態勢上，開源軟體供應鏈安全領域今年受到各界重視，範圍相當廣泛，雖然多家廠商均宣示要強化管控，但在開發人員之間流通的各種延伸套件，資安問題仍層出不窮，現在終於出現提升能見度的新做法。由於過去缺乏惡意套件公共資料庫，不易匯總相關發現與報告，因此開源安全基金會OpenSSFGitHub上推出惡意套件儲存庫，幫助外界更有效掌握已知惡意套件；在金融詐騙安全防護領域，臺灣今年積極引進與推動AI進行協助，例如，內政部警政署刑事警察局4月成立AI鷹眼識詐聯盟，其AI偵測專利技術的「鷹眼模型」由北富銀與內政部刑事警察局合作開發，本周有32家銀行宣布加入該聯盟，擴大鷹眼模型防護範圍，預計明年6月前完成導入。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159306"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月16日】Skype用戶注意！駭客利用外洩帳號發送訊息，透過內嵌VBA指令碼的檔案散布惡意程式DarkGate</span></strong></a></h3> <p>小心！合作夥伴傳來的即時通訊軟體訊息，有可能是駭客散布惡意程式的手段！研究人員揭露利用Skype散布惡意軟體DarkGate的攻擊行動，駭客先是利用已經外洩的帳號，向受害者的合作廠商來發送訊息，若一時不察而開啟檔案，就會中標。</p> <p>值得留意的是，駭客會解析外洩帳號的對話內容，而刻意依循此脈絡來調整作為誘餌的檔案名稱，命名方式可能與自己在此溝通的業務內容有關，目的是降低收訊者的警覺而使其開啟檔案。由於過去已有駭客利用Teams訊息散布DarkGate惡意軟體的前例，現在改用Skype來傳播，日後攻擊者可能也會會濫用其他服務來發動攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/159329"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月17日】駭客假借提供以色列民眾空襲警報應用程式，意圖搜括安卓手機用戶各式資料</span></strong></a></h3> <p>以色列與巴勒斯坦的軍事衝突已經進行超過一個星期，表達支持態度的網路攻擊也隨之而來，駭客組織選邊站，近100個團體對各式關鍵基礎設施發動攻擊，多是宣示立場的DDoS攻擊。這當中比較特別的攻擊目標，是以色列空襲警報行動應用程式Red Alert，有人假借提供該App，針對安卓用戶散布惡意程式。</p> <p>但針對Red Alert的攻擊行動並非首例。巴勒斯坦駭客組織AnonGhost日前聲稱透過此通報系統的API，向以色列民眾發出假的核彈警報。</p> <h3><a href="https://www.ithome.com.tw/news/159361"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月18日】使用Telegram、AWS、阿里雲的開發人員遭到鎖定，駭客透過PyPI套件發動供應鏈攻擊</span></strong></a></h3> <p>散布惡意NPM、PyPI套件攻擊開發者的事故頻傳，許多程式碼檢測工具供相關機制因應，但道高一尺魔高一丈，有攻擊者刻意將惡意程式碼埋於他處，導致檢測工具難以偵測這類狀況。</p> <p>最近由資安業者Checkmarx揭露的攻擊就用這種手法，駭客埋藏的程式碼須在應用系統呼叫特定功能函數，才會觸發，於受害電腦挖崛開發人員的各種資料。</p> <h3><a href="https://www.ithome.com.tw/news/159379"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月19日】互動式運算平臺Jupyter Notebook遭到鎖定，駭客部署惡意程式，從中挖礦並盜取雲端服務帳密</span></strong></a></h3> <p>在程式開發與資料科學領域常用的Jupyter Notebook，傳出遭到網路攻擊鎖定的情況，<a href="https://www.ithome.com.tw/news/157762#pyloose">今年7月有人將其用於散布惡意程式PyLoose</a>，將這種伺服器拿來挖礦牟利，如今針對這類運算平臺的攻擊行動再度出現。</p> <p>資安業者Cado揭露的Qubitstrike，正是這種型態的惡意行為，但不同的地方在於，駭客除了將伺服器的運算資源拿來挖礦，也企圖找尋組織的雲端服務帳密資料，進一步擴大危害的範圍。</p> <h3><a href="https://www.ithome.com.tw/news/159415"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</span></strong></a></h3> <p>資安防護通常較為薄弱的工廠操作科技（OT）環境，駭客可能將其視為入侵整個企業的管道！有研究人員揭露去年下旬出現的惡意軟體Meta的攻擊行動，駭客先是針對工業控制系統下手，得逞後進一步攻擊總公司及其他分公司。</p> <p>值得留意的是，有別於許多攻擊行動的網釣攻擊是針對Chrome而來，近日一波攻擊駭客仍利用2年前的IE已知漏洞，來鎖定仍未汰換IE的企業組織。</p> <h3> </h3> <h3> </h3> </div></div></div>
2023/10/23 09:24作者羅正漢https://www.ithome.com.tw/news/159426
Nvidia新AI系統能訓練機器手轉筆、開抽屜等動作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2023/10/20/eureka-robotics-research/" target="_blank">Nvidia上周宣布</a>以OpenAI GPT-4為基礎的AI系統Eureka的開發成果，能訓練實體機器人執行複雜動作，像是轉筆、開抽屜。</p> <p>Eureka是Nvidia研究院AI演算法的開發成果。Eureka本身是以Open AI GPT-4為基礎，可提供開發人員配合Nvidia的物理模擬參考應用程式Isaac Gym進行強化學習（reference learning）。Issac Gym則是以Nvidia 3D工具及應用程式的開發平臺Omniverse為基礎開發。</p> <p>Nvidia AI研究部門資深總監Anima Anandkumar指出，強化學習過去10年雖然有所進展，但仍存在不少挑戦，像是獎賞設計，現在都還停留在「嘗試錯誤」階段。Eureka則是為執行困難的任務而設計，結合生成式與強化式學習的演算法開發的首次嘗試。</p> <p>Eureka生成出的獎賞程式可從事機器人的嘗試錯誤（trial-and-error）學習，並執行80%人類專家的任務，能使平均效能提升超過50%。根據Nvidia公布的影片，Eureka訓練的機器人能執行將近30種任務，像是轉筆、兩手互傳球、開抽屜或拿剪刀等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1023-Eureka-NVIDIA-Robot%20Learning-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Nvidia</span></span></p> <p>Eureka利用GPT-4 LLM和生成式AI撰寫出程式碼，獎賞機器人手臂或手指進行強化式學習，過程中不需要輸入任務提示或撰寫預定義的獎賞範本，再結合人類回饋修正獎賞，使執行結果更精準符合開發人員的視覺。</p> <p>在Issac Gym中，利用GPU加速的模擬，Eureka可針對大量批次的候選回饋快速評估品質，以提升訓練效率。然後Eureka可根據訓練結果的關鍵統計做出摘要，再命令LLM改良獎賞功能的生成。AI可以自我改進，教導所有類型的機器人，包括獸型（四腳）、人型（兩腳）、四軸、手爪式及協作手臂等機器人來完成所有任務。</p> <p>這篇研究也公布了研究小組根據開源靈敏性標竿測試，評估20種任務訓練結果，這些測試要求機器手做多種複雜技能動作。</p> <p>Nvidia表示Eureka結合LLM和Nvidia GPU模擬技術的產物，相信它可實現靈巧的機器人控制，並為動畫作者提供生成逼真實體動作的新方法。</p> <p><a href="https://blogs.nvidia.com/blog/2023/10/04/ai-jim-fan/" target="_blank">Nvidia研究院之前也發表過Voyager</a>，後者是以GPT-4打造能自己玩《Minecraft》的AI系統。</p> <p>Nvidia上周也<a href="https://blogs.nvidia.com/blog/2023/10/19/nvidia-ai-now-available-in-oracle-cloud-marketplace/" target="_blank">宣布</a>和甲骨文雲端服務的進一步合作。繼今年<a href="https://www.oracle.com/tw/news/announcement/nvidia-chooses-oracle-cloud-infrastructure-for-ai-services-2023-03-21/" target="_blank">3月</a>及7月締結生成式AI服務及超級電腦服務DGX Cloud搬上甲骨文雲基礎架構（Oracle Cloud Infrastructure，OCI）後，現在Nvidia DGX Cloud及Nvidia AI Enterprise軟體服務，已經在服務市集上架，提供OCI客戶採購。</p> </div></div></div>
2023/10/23 09:28作者林妍溱https://www.ithome.com.tw/news/159427
Reddit傳將封鎖Google搜尋索引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為防止網路內容被免費存取，<a href="https://www.washingtonpost.com/technology/2023/10/20/artificial-intelligence-battle-online-data/" target="_blank">媒體報導</a>，網路論壇Reddit可能將封鎖Google搜尋引擎索引，認為不靠Google也能創造流量。</p> <p>《華盛頓郵報》上周報導，為防止AI業者使用平臺上的內容訓練模型，有530多個新聞組織決定封鎖Google、OpenAI等業者的網路爬蟲擷取其新聞文字及圖片，包括Reddit。報導指出Reddit除了不讓Google、Bing等搜尋引擎索引其內容，也要求使用者必須登入帳號才能讀取內容。Reddit之後澄清「沒有任何變動」，也說已去信要求《華郵》更正報導。</p> <p>不過在媒體更正後的報導中，變更了要求用戶登入才能讀內容的部分，但Reddit並未否認，可能封鎖Google等搜尋引擎的決定。Reddit如果無法取得Google、微軟或OpenAI業者同意支付API使用授權費，應該會封鎖搜尋引擎業者的網路爬蟲。</p> <p>一旦真的實行，則未來Reddit論壇上的貼文將無法被Google搜尋到，對平臺用戶及外部用戶的吸引力勢將大為減低。不過<a href="https://www.theverge.com/2023/10/20/23925504/reddit-deny-force-log-in-see-posts-ai-companies-deals" target="_blank">報導引用匿名消息來源指出</a>，Reddit認為沒有Google搜尋引擎，他們還是撐得下來。</p> <p>Reddit此舉源自於<a href="https://www.ithome.com.tw/news/156469" target="_blank">今年4月宣布醞釀收取API使用授權費</a>的政策。雖然防堵的對象是AI業者，但也影響用戶眾多的App業者。<a href="https://www.ithome.com.tw/news/157278" target="_blank">6月12日起多個大型App宣布Go Dark活動</a>，關閉其Subreddit對外存取權，最盛期有超過7,000個Subreddit下線。Reddit外界用戶即使從Google搜尋到，點入後也會被要求登入帳密才能存取內容。這波行動原本預期3天，但有不少版主延長關閉期間。不過<a href="https://blog.hubspot.com/marketing/reddit-blackout" target="_blank">Reddit宣稱這波下線抗議僅使網站整體流量下降了6.6%</a>。</p> </div></div></div>
2023/10/23 09:42作者林妍溱https://www.ithome.com.tw/news/159428
俄羅斯駭客Romcom鎖定東亞、北美，利用武器化的TeamViewer發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者奇安信揭露於2022年底發生的Operation HideBear攻擊行動，駭客打造常用應用程式的下載網站，並購買Google搜尋引擎廣告，散布重新透過Inno Setup封裝、帶有惡意程式的安裝檔，引誘使用者上當，但當時沒有取得惡意酬載的相關檔案，而無法確認攻擊者身分。</p> <p>後來在2023年中旬，研究人員再度觀察到這些惡意安裝程式的攻擊行動，有東亞及北美的使用者受害，攻擊者最終透過SFTP通訊協定，於受害電腦投放名為Minebridge的RAT木馬程式，並透過遠端桌面連線程式TeamViewer以DLL側載（DLL Side-loading）的方式執行。攻擊者存取受害電腦的方式，可能是透過AnyDesk，然後利用PsExec進行橫向移動。值得留意的是，駭客為了隱匿攻擊流量，受害電腦與C2連線的管道，是透過OpenSSH建立的反向隧道，而能夠繞過EDR系統的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e292206b8ccb4973f6ad365df87caa87.png" style="width: 580px;" /></a></p> <p>而對於攻擊者的身分，研究人員提到，Minebridge最早是資安業者FireEye於2020年揭露，當時該公司推測攻擊者的身分，有可能駭客組織TA505旗下的團體，也有可能是另一個新的駭客組織。不過，後來其他資安業者揭露的Minebridge攻擊行動裡，研究人員普遍認為攻擊者來自TA505。但根據掌握的證據，奇安信認為這起攻擊行動應該是由全新的駭客組織所為，而這個團體就是微軟揭露的俄羅斯駭客組織RomCom（亦稱Storm-0978）。</p> <p>究竟駭客的動機為何？研究人員認為，很可能是為了竊取IT及醫療的技術而來。此外，他們從安裝檔案存取的網域名稱來推測，駭客從2021年就開始進行相關攻擊行動，而根據Minebridge當中被埋入的幾個網域名稱（其中一個是中國網域），攻擊者曾於2021年至2022年，濫用Cloudflare的CDN節點來隱藏真實的IP位址。</p> </div></div></div>
2023/10/23 00:22作者周峻佑https://www.ithome.com.tw/news/159425
攻擊行動Qubitstrike鎖定Jupyter Notebook伺服器部署惡意程式，竊取AWS、Google Clo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在程式開發與資料科學領域常用的Jupyter Notebook，傳出遭到網路攻擊鎖定的情況，<a href="https://www.ithome.com.tw/news/157762#pyloose">今年7月有人將其用於散布惡意程式PyLoose</a>，將這種伺服器拿來挖礦牟利，如今針對這類運算平臺的攻擊行動再度出現。</p> <p><a href="https://www.cadosecurity.com/qubitstrike-an-emerging-malware-campaign-targeting-jupyter-notebooks/">資安業者Cado揭露的Qubitstrike</a>，正是這種型態的惡意行為，但不同的地方在於，駭客除了將伺服器的運算資源拿來挖礦，也企圖找尋組織的雲端服務帳密資料，進一步擴大危害的範圍。</p> <p>研究人員從他們建置的Juypter密罐陷阱（Honeypot）察覺這起攻擊行動。駭客疑似來自突尼西亞首都突尼斯的IP位址，透過物聯網搜尋引擎Shodan，尋找曝露在網際網路上的Jupyter Notebook伺服器下手，先是確認處理器的型號，以及能否存取root帳號，並尋找可下手的帳密資料。由於上述命令執行的時間長達195秒，他們推測，駭客應該是透過手動操作的方式執行。</p> <p>接著駭客目標系統是否存在curl元件，然後下載、執行以Base64演算法加密的指令碼mi.sh，啟動挖礦軟體XMRig，並植入攻擊者的SSH金鑰，以便持續存取root帳號，隨後部署名為Diamorphine的Rootkit程式，以及竊取AWS、Google Cloud等帳密資料，並透過SSH將這些資訊外流，最終使用Telegram機器人的API回傳給駭客。</p> <h3><strong>攻擊者採取多種措施來讓挖礦行動更為隱密</strong></h3> <p>駭客為了避免挖礦過程受到干擾，他們在執行挖礦軟體之前採取了多項措施。首先，攻擊者將curl、wget等多種常見的資料傳輸程式檔案重新命令，而使得其他不知道檔案名稱的人士無法執行。再者，則是針對常見的挖礦軟體終止相關的處理程序，以免其他攻擊者佔用運算資源。</p> <p>過程中駭客也利用名為kthreadd的工具清除其他攻擊者的惡意酬載，以及下達netstat指令而關閉其他連線。研究人員還看到名為log_f()的功能函數，攻擊者一旦呼叫，就能刪除多種Linux的事件記錄檔案，來防範鑑識人員採集證據。</p> <p>完成上述一系列的回避偵測工作，mi.sh才會從程式碼代管平臺Codeberg下載XMRig，並以python-dev的檔案名稱存放於受害主機，目的應該是讓挖礦程式的處理程序看起來較為無害。而這起事故，是他們首度看到有人濫用Codeberg的挖礦攻擊行動。</p> <h3><strong>從濫用的儲存庫找到駭客架設於Discord的C2中繼站</strong></h3> <p>研究人員針對駭客濫用的Codeberg儲存庫進行調查，看到多個駭客存放的指令碼，其中一個名為kdfs.py的Python指令碼引起他們關注，這個指令碼本身是代理程式，並連線至以即時通訊軟體Discord機器人架設的C2伺服器，而使得攻擊行動更難被察覺。特別的是，對方在指令碼嵌入Discord的Token，但透過Base64、Base32、ROT13演算法進行處理，目的可能是防堵其他人解讀Token內容。</p> <p>值得留意的是，攻擊者也透過類似蠕蟲的方式散布作案工具，感染其他Jupyter Notebook主機。他們使用正規表示法列出SSH的known_hosts儲存的IP位址列表，並透過bash指令散布mi.sh檔案。</p> </div></div></div>
2023/10/22 22:38作者周峻佑https://www.ithome.com.tw/news/159423
俄羅斯駭客Sandworm自5月就對烏克蘭電信業者下手，近半年已有11家業者受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cert.gov.ua/article/6123309">烏克蘭電腦緊急應變小組（CERT-UA）指出</a>，今年5月11日至9月27日，該國至少有11家電信業者遭到俄羅斯駭客組織Sandworm攻擊，駭客干擾這些公司的通訊系統，導致相關服務面臨中斷的情況，並曝露於資料外洩的風險。</p> <p>駭客起初利用網路通訊埠掃描工具masscan，對電信公司的網路環境進行偵察，並尋找開放的連接埠，以及未設防的遠端桌面連線（RDP）與SSH連線管道，藉此來破壞內部網路環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA-Masscan.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA-Masscan.png" style="width: 580px;" /></a></p> <p>為了得到更多存取權限，駭客利用ffuf、dirbuster、gowitness、nmap等網路工具來找出網頁服務的漏洞。CERT-UA於遭駭的網際網路供應商（ISP）系統當中，看到兩個後門程式Poemgate、Poseidon，前者用於收集管理員帳密，後者則針對Linux主機而來。</p> <p>此外，駭客也利用Dante、socks5等代理伺服器軟體，搭配他們已經入侵烏克蘭競內的伺服器進行路由，來隱匿相關攻擊行動。另一方面，駭客也運用名為Whitecat的工具，來清理攻擊的痕跡，並刪除事件記錄檔案。</p> </div></div></div>
2023/10/22 21:22作者周峻佑https://www.ithome.com.tw/news/159421