iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AWS推EC2容量區塊新功能，讓用戶指定時間預留GPU資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於目前GPU資源的稀缺性，AWS新推出<a href="https://aws.amazon.com/tw/blogs/aws/announcing-amazon-ec2-capacity-blocks-for-ml-to-reserve-gpu-capacity-for-your-machine-learning-workloads/">Amazon EC2容量區塊（Capacity Blocks）功能</a>，這是一項適用於機器學習模型開發的EC2使用模型，用戶可以在EC2 UltraCluster特殊叢集中預留需要的Nvidia GPU資源，藉由指定叢集大小、開始時間和持續時間，便能夠以可預測的方式存取GPU資源。</p> <p>全世界掀起一陣人工智慧應用熱潮，不少組織開始開發機器學習模型，而AWS提到，企業對在機器學習模型的GPU容量需求，已經超過全產業的供應量，使得GPU成為稀缺資源。而這對於需要大量GPU資源，用以訓練基礎模型和大型語言模型的用戶來說，是一項需要解決的問題。</p> <p>面對這樣的問題，企業可能會需要長期購買大量的GPU容量，確保在需要的時刻，有足夠GPU運算資源可以使用，但是這可能造成資源浪費，導致在未使用時出現GPU資源閒置。因此AWS現在推出EC2容量區塊模式，來解決GPU資源搶奪的問題，這是一種安排GPU執行個體的新方法，用戶可以在指定時間內保留所需要的執行個體數量。</p> <p>用戶可以提前8周指定日期，存取預留的EC2容量區塊並啟動P5執行個體，持續時間可為1到14天，叢集大小為1到64個執行個體，並且只需要支付所需要的GPU時間費用。而當EC2容量區塊持續時間結束後，任何執行中的執行個體都會被終止。</p> <p>這項新功能在用戶需要容量保證，以訓練和微調機器學習模型、執行實驗，或是計畫性地增加機器學習應用程式需求時特別有用。用戶可以從AWS控制臺、命令列介面和開發工具包預留可用的容量區塊，目前可以先在AWS美東地區，預留搭載Nvidia H100 Tensor Core GPU的EC2 P5執行個體，官方計畫之後也會在其他地區推出該項功能。</p> </div></div></div>
2023/11/2 10:26作者李建興https://www.ithome.com.tw/news/159593
【資安日報】11月1日，研究人員揭露專門供應網路罪犯使用的短網址服務供應商Prolific Puma，駭客經營超過4年…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路攻擊分工越來越精細，這兩年常出現「初始入侵管道掮客（Initial Access Broker）」，就是專門收集可存取特定組織的帳密資料的角色。但如今，就連攻擊者所使用的短網址，也有專門提供服務的供應商。</p> <p>近期有研究人員揭露名為Prolific Puma的惡意轉址服務供應商，並指出該組織至少經營超過4年未被發現。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/prolific-puma-shadowy-link-shortening-service-enables-cybercrime/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Prolific Puma向網路罪犯提供短網址服務長達4年之久</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-prolific-puma-shadowy-link-shortening-service-enables-cybercrime-figure-1-v3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-prolific-puma-shadowy-link-shortening-service-enables-cybercrime-figure-1-v3.jpg" style="width: 300px; float: right;" /></a>以強化DNS安全著稱的廠商Infoblox揭露專門供應駭客組織進行網路犯罪的短網址服務，該廠商被研究人員稱為Prolific Puma。</p> <p>該組織註冊了大量網域來提供服務，從今年4月到現在，估計註冊3.5萬至7.5萬個網域名稱，包含.us、.link、.info、.com、.cc等，今年5月更專攻美國組織及美國人才能註冊的.us網域，目前該組織已註冊了數千個。</p> <p>研究人員指出，此供應商取得新網域通常會靜置一段時間，以便躲過資安系統的封鎖。Prolific Puma並非研究人員唯一發現的惡意短網址服務，但該組織經營的短網址服務規模最大、他們分析採用其服務的網站，都是涉及非法的內容。</p> <p><a href="https://www.securityjoes.com/post/bibi-linux-a-new-wiper-dropped-by-pro-hamas-hacktivist-group"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料破壞軟體BiBi-Linux鎖定以色列組織而來</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/d03b6f_395a5bd66f6d4431a35b3aa07eeac71c~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_395a5bd66f6d4431a35b3aa07eeac71c~mv2.png" style="width: 300px; float: right;" /></a>資安業者Security Joes的事件回應團隊在協助以色列企業組織調查的過程中，發現名為BiBi-Linux的資料破壞軟體（Wiper），顯然是鎖定該國企業組織而來，背後疑似由隸屬哈馬斯的駭客打造，意圖在戰爭當中製造混亂。</p> <p>研究人員指出，這款資料破壞軟體特別之處，在於不與C2連線，也不會外洩受害組織的資料，更沒有留下要脅付款的勒索訊息。取而代之的是，此資料破壞軟體藉由無用的資料來覆寫檔案，導致資料難以復原，甚至影響整個作業系統，而且，該程式運用多個處理程序，並透過排程系統執行，最終遭到破壞的檔案會含有BiBi（以色列總理Benjamin Netanyahu的暱稱）字串的副檔名。駭客這麼做的目的，顯然是為了讓破壞行動的效率最大化。</p> <p>值得留意的是，研究人員在公布這個惡意程式的時候，惡意軟體分析網站VirusTotal僅有兩款防毒引擎將其視為有害。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-email-stolen-student-data-to-parents-of-nevada-school-district/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國內華達州CCSD學區遭遇大規模資料外洩，駭客向家長寄送竊得的學生資料進行施壓</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ccsd-leak-email.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ccsd-leak-email.jpg" style="width: 300px; float: right;" /></a>位於美國內華達州的克拉克郡學區（Clark County School District，CCSD），傳出在10月初遭遇網路攻擊，CCSD於16日證實此事，並指出駭客可能取得電子郵件伺服器的存取權限，存取部分學生、家長、員工的個資，他們正著手調查受害範圍，然而近期卻陸續傳出家長收到駭客的恐嚇信。</p> <p>根據當地媒體拉斯維加斯評論報報導，有家長收到主旨為CCSD Leak的電子郵件，內容提及收信人的個資已遭外洩，最好趕快在CCSD的系統更改帳號資料，同時聲稱有超過20萬筆學生資料被駭客流出。另一家媒體KSNV News 3 Las Vegas指出，這些恐嚇信包含了PDF檔案，內容是學生遭竊的資料，包含學號、電子郵件信箱、居住地址、照片。</p> <p>而對於攻擊者的身分，駭客組織SingularityMD向資安新聞網站DataBreaches透露是他們所為，聲稱已在CCSD的網路埋伏數個月，迄今仍能存取該學區網路。這些駭客發現，CCSD近6年竟然強制要求學生用生日作為密碼。駭客透露他們索討的贖金，低於該學區總監Jesus F. Jara年薪（約39.5萬美元）的三分之一。對此，CCSD並未做出說明。</p> <p>資料來源</p> <p>1. <a href="https://www.reviewjournal.com/local/education/some-ccsd-parents-get-suspicious-email-with-information-about-their-kids-2928929/">https://www.reviewjournal.com/local/education/some-ccsd-parents-get-suspicious-email-with-information-about-their-kids-2928929/</a><br /> 2. <a href="https://news3lv.com/news/local/some-ccsd-families-worried-after-receiving-email-from-california-school-district-with-pictures-private-info-about-their-children">https://news3lv.com/news/local/some-ccsd-families-worried-after-receiving-email-from-california-school-district-with-pictures-private-info-about-their-children</a><br /> 3. <a href="https://www.databreaches.net/hackers-escalate-leak-200k-ccsd-students-data-claim-to-still-have-access-to-ccsd-email-system/">https://www.databreaches.net/hackers-escalate-leak-200k-ccsd-students-data-claim-to-still-have-access-to-ccsd-email-system/</a></p> <p><a href="https://www.securityweek.com/attackers-exploiting-critical-f5-big-ip-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5 BIG-IP重大漏洞已被用於攻擊行動</span></strong></a></p> <p></p> <p>10月26日F5針對應用程式交付平臺BIG-IP用戶提出警告，該系統的組態公用程式存在重大漏洞CVE-2023-46747（CVSS風險評分為9.8），未經身分驗證的使用者可遠端執行任意程式碼，但不到一個禮拜就出現攻擊行動。</p> <p>10月30日F5更新公告內容，表示他們發現攻擊者利用這項漏洞，將其用於觸發SQL注入漏洞CVE-2023-46748（CVSS風險評分為8.8）。而這段期間，向F5通報漏洞的資安業者Praetorian Security透露CVE-2023-46747的細節，另一家資安業者Project Discovery則是公布了概念性驗證（PoC）程式碼。</p> <p><a href="https://blog.talosintelligence.com/arid-viper-mobile-spyware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">哈馬斯駭客組織Arid Viper宣稱提供約會應用程式，鎖定阿拉伯安卓用戶下手</span></strong></a></p> <p></p> <p>思科旗下威脅情報團隊Talos指出，哈馬斯駭客組織Arid Viper（亦稱APT-C-23、TAG-63）約從去年4月開始，佯稱提供約會應用程式Skipped，鎖定阿拉伯語用戶從事網路間諜行動，一旦使用者不慎安裝駭客提供的安卓App，手機就會遭到惡意程式感染，駭客從中收集用戶的各式資料。</p> <p>這些駭客提供的App與正牌的應用程式具備相似之處，甚至在應用程式開發平臺Firebase共用相同的專案，研究人員懷疑有Skipped開發人員涉及攻擊行動。附帶一提的是，雖然駭客來自激進組織哈馬斯，但研究人員認為，這起攻擊行動與以巴衝突沒有直接關聯。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-critical-cisco-ios-xe-flaw-many-hosts-still-hacked/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員公布思科IOS XE零時差漏洞的概念性驗證程式碼</span></span></strong></a></p> <p><a href="https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian針對DevOps協作平臺Confluence重大漏洞提出警告</span></span></strong></a></p> <p></p> <p><a href="https://www.reversinglabs.com/blog/iamreboot-malicious-nuget-packages-exploit-msbuild-loophole"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意NuGet套件濫用MSBuild元件部署惡意程式</span></span></strong></a></p> <p><a href="https://www.darkreading.com/endpoint/malware-meal-kits-serve-up-no-fuss-rat-attacks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">低價惡意軟體套件氾濫，導致RAT木馬程式攻擊行動顯著增加</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/palestine-crypto-donation-scams-emerge-amid-israel-hamas-war/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">有人假冒慈善機構的名義，聲稱為以巴衝突的難民募款行騙</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159575"><strong>【10月31日】曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體拿來挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159548"><strong>【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159530"><strong>【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</strong></a></p> </div></div></div>
2023/11/1 17:10作者周峻佑https://www.ithome.com.tw/news/159586
資安業者揭露專門支援網路犯罪行動的短網址服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/prolific-puma-shadowy-link-shortening-service-enables-cybercrime/" target="_blank">專門提供IT自動化與安全服務的Infoblox在本周揭露</a>了專門用來支援網路犯罪行動的短網址服務，Infoblox將此一服務供應商命名為Prolific Puma，指出該服務已存在至少4年之久，長期註冊大量的網域名稱來提供短網址服務，以協助網路犯罪份子躲避偵測，以用來執行網路釣魚行動與詐騙，或是用來遞送惡意程式。</p> <p>Infoblox聲稱，網路犯罪是全球第三大的經濟活動，在今年的經濟價值高達8兆美元，而Prolific Puma即是該供應鏈中的一份子。</p> <p>短網址服務可用來縮短網址，同時可指向原本的網頁，一來方便使用者分享，二來也可符合某些平臺的網址長度限制。由於它隱藏了真實的網址，也成為駭客利用的工具，事實上，坊間有為數不少的免費短網址工具，部分因遭到駭客濫用而聲名狼藉的短網址服務則會直接遭到組織封鎖，像是t.co或bit.ly等，這也使得駭客轉向Prolific Puma等付費的短網址服務。</p> <p>研究人員指出，Prolific Puma並非他們所發現的唯一非法短網址服務，卻是其中最大也最活躍的，而且迄今沒有在該服務上發現任何合法內容。</p> <p>根據Infoblox的調查，Prolific Puma註冊了大量的網址來提供短網址服務，光是自去年4月迄今，便註冊了3.5萬個至7.5萬個的不重覆網域名稱，從.us、.link、.info、.com、.cc到.me等。從今年5月以來，更主攻僅允許美國人或美國公司才能註冊的.us，已註冊數千個.us的網域名稱，呼應了《<a href="https://krebsonsecurity.com/2023/09/why-is-us-being-used-to-phish-so-many-of-us/" target="_blank">Krebs on Security</a>》近日宣稱.us已成為最常受到駭客濫用的國家頂級網域名稱的報導。</p> <p>藉由Prolific Puma短網址服務所連結的最終頁面經常是網路釣魚或詐騙網站，但有時是直接連至惡意網站，有時是透過多層的重新定向，也有些會連至其它服務所產生的短網址，還有的會連至CAPTCHA來躲避偵測，或是透過手機簡訊來傳遞，Infoblox從這些情景來判斷Prolific Puma的客戶非常多樣化。</p> <p>此外，在註冊了新網址之後，Prolific Puma通常會靜置它們一陣子，因為絕大多數的網釣攻擊都是利用新註冊的網址，造成許多安全系統直接封鎖新網址，靜置幾周後的網址才能躲過這些系統的偵測。</p> <p>Infoblox已透過<a href="https://github.com/infobloxopen/threat-intelligence/blob/main/cta_indicators/prolific_puma_20231031.csv" target="_blank">GitHub</a>公布了Prolific Puma所使用的網域名稱供外界參考。</p> </div></div></div>
2023/11/1 16:59作者陳曉莉https://www.ithome.com.tw/news/159585
傳聞WeWork最快會在下周申請破產保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/wework-plans-to-file-for-bankruptcy-as-early-as-next-week-1fdcb6a5?mod=followamazon" target="_blank">《華爾街日報》</a>（The Wall Street Journal）周二（10/31）引述消息來源報導，專門提供動態辦公空間服務的WeWork，最快會在下周於紐澤西州申請Chapter 11破產保護。當天收盤時的WeWork股價為2.28美元，市值只剩1.2億美元，消息傳出後，盤後股價更大挫42.54%，每股價格跌至1.31美元。</p> <p>2010年創立的WeWork主要於全球市場提供辦公室空間，供使用者動態租賃，截至去年底，該公司於全球39個國家的779個地點設有辦公空間，擁有逾50萬的會員。令WeWork聲名大噪的是該公司在2019年1月獲得日本軟體銀行（SoftBank）20億美元的注資，所估計的WeWork身價高達470億美元，而這也是WeWork的顛峰。</p> <p>WeWork曾於2019年8月申請IPO，但當時該公司的財務、管理與經營模式遭到眾多批評，使得WeWork隔月即主動撤回申請，再於2021年藉由與特殊目的收購公司（Special Purpose Acquisition Company，SPAC）BowX Acquisitiona合併，於10月成功登上了紐約股市，此時WeWork的市值已跌至90億美元。</p> <p>曾有媒體評論，WeWork的失敗在於其共同創辦人暨執行長Adam Neumann的風格，以及軟體銀行所提供的寬鬆資金。因為WeWork，<a href="https://www.ithome.com.tw/news/134070" target="_blank">軟體銀行在2019年出現</a>了14年以來的首度虧損，創辦人暨執行長孫正義則坦承，投資WeWork是個錯誤的決策。不論如何，根據<a href="https://www.marketscreener.com/quote/stock/WEWORK-INC-128528517/company/" target="_blank">MarketScreener</a>所提供的資料，目前軟體銀行仍是WeWork的最大股東，擁有68%股權。</p> <p>從WeWork去年第三季至今年第二季的財報來看，它每季都虧損，例如去年第三季營收為8.17億美元，虧損6.29億美元，第四季營收是8.48億美元，虧損5.27億美元，今年第一季的營收維持在8.49億美元，但虧損已縮減至2.99億美元，第二季營收是8.44億美元，虧損3.97億美元。</p> <p>儘管虧損幅度縮小，但10月初WeWork已無法如期支付利息予債券持有人。</p> <p>對於《華爾街日報》的報導，WeWork則說拒絕回應市場傳聞。</p> </div></div></div>
2023/11/1 15:38作者陳曉莉https://www.ithome.com.tw/news/159583
Windows 11 2023 Update出爐，以Microsoft Teams取代Chat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2023/10/31/how-to-get-the-windows-11-2023-update/" target="_blank">微軟本周二（10/31）正式發布</a>了Windows 11 2023 Update（Windows 11 23H2），以免費版的Microsoft Teams直接取代工作列上預設的Chat聊天功能，同時改善了使用者管理內建Windows程式的介面，這雖然是Windows 11的年度功能性更新，但變更並不大，預計可以在盡量不影響作業的狀態下完成更新。</p> <p>微軟是在2021年的10月發表Windows 11，當時的首個版本名為Windows 11 21H2，第一次的功能更新是2022年9月釋出的Windows 11 22H2，本周釋出的Windows 11 23H2為Windows 11第二次的功能更新。</p> <p>此一更新最主要的改變是讓Microsoft Teams取代Chat，成為Windows 11預設的聊天工具，可用來傳遞文字、通話、開會、建立聊天群組，若連結了Android手機，還可直接透過Microsoft Teams接收與傳送簡訊；它提供了Mini選項，可將視窗縮放到適合放在桌面上的任何位置以方便通訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-Windows%2011%2023H2%20update-new%20SMS%20in%20Teams%20capability.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-Windows%2011%2023H2%20update-mini%20size-Microsoft%20Teams%20(free).png" style="width: 570px;" /></p> <p>另一項改變則是更清楚地列出屬於系統元件的Windows內建程式。原本要找到這些程式必須透過設定~>程式~>所安裝的程式~>系統元件，才能發現，不過，現在這些程式會直接出現在開始功能表中所有程式（All apps）的系統（System）標籤中，也會在設定~>系統中擁有自己的系統元件（System Components）頁面。</p> <p>相關程式包括Game Bar、Microsoft Store、Phone Link及Tips等，媒體對微軟此舉的看法不一，有人認為這是微軟擔心使用者誤刪它們，也有人認為這可能微軟在替允許使用者刪除這些程式而鋪路。</p> <p>還有一個受到關注的是Windows 11 23H2的預設值啟用了一些仍在測試中的新功能，例如Copilot in Windows，其實這些功能先前已出現在Windows 11 22H2中，只是預設值是關閉的。</p> <p><a href="https://support.microsoft.com/en-us/topic/kb5027397-feature-update-to-windows-11-version-23h2-by-using-an-enablement-package-b9e76726-3c94-40de-b40b-99decba3db9d" target="_blank">根據微軟的說明</a>，Windows 11 22H2與23H2採用一致的核心作業系統，其系統檔案完全相同，因此，Windows 11 23H2的新功能已經隨著Windows 11 22H2最新的更新進駐使用者裝置，只是處於休眠狀態，只要系統收到啟用套件便會開通這些功能。這意味著Windows 11 23H2的升級將會更快速並減少停機時間。</p> <p>負責Windows服務與交付的微軟副總裁John Cable表示，Windows 11 23H2是個有限範圍的累積更新，<a href="https://www.zdnet.com/article/windows-11-version-23h2-isnt-exciting-which-is-why-youll-probably-love-it/" target="_blank">《ZDNET》</a>則說，這很可能是Windows史上逾30年來最無趣的一個新版本。</p> </div></div></div>
2023/11/1 13:35作者陳曉莉https://www.ithome.com.tw/news/159578
【資安週報】2023年10月23日到10月29日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧近期重大漏洞攻擊事故，最受各界矚目的，莫過於思科10月中旬公布的零時差漏洞CVE-2023-20198，駭客將其用於植入後門程式的攻擊行動，但經過一星期的延燒，後續竟出現不合理的劇烈減少的罕見現象，研究人員認為起因是駭客更換新的後門程式，導致原本的後門程式數量減少。</p> <p>其他資安事故的部分，身分存取管理服務業者Okta客戶技術支援系統遭駭，最令人憂心，因為有非常多的廠商與企業採用，造成廣泛牽連的局面，目前身分存取管理業BeyondTrust、雲端服務業者Cloudare、密碼管理業者 1Password，都表明因這起事故而遭到攻擊。後續效應有待觀察。</p> <p>電子郵件系統持續遭到駭客組織鎖定已是常態，但針對的平臺也有不同，例如，過往大部分是針對微軟Exchange、開源的Zimbra而來。這週有一套名為Roundcube的網頁郵件系統，俄羅斯駭客組織Winter Vivern、APT28鎖定，對方正在利用未知或已知漏洞從事攻擊行動。</p> <p>這週也有攻擊隔離網路（Air-Gapped）環境的情況，資安業者揭露鎖定USB安全加密隨身碟的攻擊行動TetrisPhantom，駭客先對位於非隔離網路環境的電腦下手，在連接這種隨身碟時，趁機將惡意程式植入裝置當中，等到用戶將隨身碟帶到受隔離系統使用，會趁機植入並進行竊密。</p> <p>關於資料外洩的手法，最近有新的話題。駭客不僅透過臉書收集攻擊目標的使用者資料，也會在臉書及Instagram專供執法單位存取的入口網站Police Portal帳密，這種入口網站是在政府機關因應辦案需求，向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用，後續資料洩露的情況尚不明朗。</p> <p>在資安防護的措施上，本週有新的動態，例如，美國CISA針對醫療產業推出一站式工具包，提升網路安全。再者，則是Google宣布擴大AI漏洞懸賞的範圍，當中也列入生成式AI。</p> <p>在國內的資安防護措施上，則是包含跨國網路攻防演練CODE 2023，以及政府專屬短碼簡訊平臺111。這次CODE 2023的攻防標的，選定與民生相關的水資源領域關鍵基礎設施（CI），進行攻防演綀，結果我國參與團隊表現傑出，得到冠軍。</p> <p>而政府短碼簡訊平臺的部分，則是繼數位發展部推出短網址服務之後，另一項新的防堵假冒政府機關詐騙措施。政府機關透過專屬平臺發送111短碼簡訊，達到只此一家、別無分號的效果，首波內部測試已有中央與地方的政府單位參與，現在將開放更多機關使用。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</span></strong></a></h3> <p>思科上週揭露已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後有研究人員指出可能有1萬臺設備感染惡意程式，但情況急速惡化。資安業者Censys發現，18日有逾4萬臺設備受害，其中又以美國、菲律賓、墨西哥的設備最多。</p> <p>另一方面，思科威脅情報團隊Talos揭露此起事故的最新調查結果，指出攻擊者在部署惡意程式的過程，同時利用另一個零時差漏洞CVE-2023-20273。</p> <h3><a href="https://www.ithome.com.tw/news/159454"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</span></strong></a></h3> <p>思科上週揭露已被用於攻擊行動的零時差漏洞CVE-2023-20198，隨後情況急速惡化，多家資安業者發現受害的IOS XE設備，數量一度達到4萬，甚至6萬的高峰，但特別的是，他們在週末觀察到的遭駭設備數量，竟然只剩下一千多臺。難道是IT人員都很配合、及時套用更新程式嗎？研究人員普遍認為，這些看似「已修補」的狀態，可能是駭客隱匿攻擊行動的作為。</p> <p>對於上述推測，資安業者Fox-IT公開證實，並指出駭客在近4萬臺具有這個弱點的設備，部署了新版後門程式，繼續進行控制。</p> <h3><a href="https://www.ithome.com.tw/news/159482"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月25日】6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</span></strong></a></h3> <p>今年6月，資安業者卡巴斯基從專供行動裝置使用的Wi-Fi網路流量察覺異常，有多臺iOS手機出現可疑活動，從而發現零點擊攻擊行動Operation Triangulation，在經過4個月的調查後，該公司透露攻擊者如何防範研究人員發現其活動的跡象。</p> <p>研究人員認為，這些過往較為罕見的手法，代表駭客對iOS作業系統相當了解，而且，他們不排除Mac電腦也是遭到鎖定的對象。</p> <h3><a href="https://www.ithome.com.tw/news/159501"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</span></strong></a></h3> <p>有研究人員在今年3月，針對網路服務廣泛應用的OAuth身分驗證措施提出警告，當時他們揭露了存在於訂房網站Booking.com的漏洞，並指出類似的情況也可能發生在其他導入OAuth的網站。</p> <p>到了最近，這些研究人員公布對於另外3個熱門的網路服務調查結果，其共通點是駭客一旦取得用戶其他服務用於OAuth身分驗證的Token，就有機會挾持用戶這些網站上的帳號。</p> <h3><a href="https://www.ithome.com.tw/news/159530"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</span></strong></a></h3> <p>處理器的推測執行（Speculative Execution）漏洞從2018年首度揭露，不只引起IT廠商關注，推出相關修補程式，研究人員也陸續找出變種漏洞，這類研究過往大多針對x86處理器而來，雖然Arm處理器也存在這類漏洞，但未引起重視。</p> <p>有一組研究人員針對蘋果自製的Arm處理器晶片進行研究，並於近期公布成果「iLeakage」，值得留意的是，這項漏洞研究人員向蘋果通報已超過一年，但直到漏洞揭露，該公司才表示要透過軟體進行修補。</p> </div></div></div>
2023/11/1 12:26作者周峻佑https://www.ithome.com.tw/news/159577
Google持續耕耘Android對RISC-V的支援，預計2024年推出開發模擬器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google進一步在<a href="https://opensource.googleblog.com/2023/10/android-and-risc-v-what-you-need-to-know.html">Android更全面地支援RISC-V</a>（讀作risk-five），除了針對RISC-V在Android中的支援進行更多的測試和最佳化，讓開發者可以在自己的機器上建置、測試和執行Android對RISC-V的支援，接下來，Google將在2024年推出相關模擬器，並計畫讓Android開發人員能夠編寫RISC-V平臺的原生程式碼。</p> <p>Android開源作業系統能夠被移植到各種裝置和架構，而RISC-V正是Google的下一個目標。Google在2022年11月的時候，在RISC-V大會中宣布Android開始接受針對RISC-V的更新。RISC-V是一個免費且開放的指令集架構（ISA），在10年前由柏克萊大學研究人員與一群工程師開發而成，現在被大量用於嵌入式和微控制器領域中，而近年又逐漸往運算加速器、伺服器和行動運算領域擴展。</p> <p>RISC-V是一種模組化的指令集架構，由多個可選擇的擴充模組構成，模組化設計讓開發者可以根據需求選擇加入，或是不加入特定功能模組。這樣的設計讓RISC-V非常靈活，能夠根據不同的應用場景和硬體需求客製，像是開發者需要開發一個能夠執行浮點數運算的系統，便可以選擇加入RISC-V浮點數運算擴充模組，反之可以選擇不加入，減少硬體成本和複雜性。</p> <p>Google現在已經確定了一組RISC-V初始功能集，確保Android作業系統可以順利的在使用RISC-V架構的CPU上運作，其包含了必要的指令集擴充模組，包含rva22設定檔、向量以及向量加密擴充模組。現在開發者已經可以在自己的電腦上建置、測試和執行Android對RISC-V的支援。</p> <p>雖然現在開發者可以建置和執行基本的Android開源專案體驗，但是這項支援尚未完全最佳化，Android執行環境的最佳化後端工作仍在進行中，此外，AOSP、外部專案以及編譯器也還未能生成經最佳化的程式碼，也沒辦法充分運用向量等最新的擴充模組。</p> <p>Google提到，儘管尚未最佳化，但是已足以進行實驗和合作。在今年稍晚的時候，Google就會確定NDK ABI（Native Development Kit Application Binary Interface），金絲雀版本會先在Android公共持續整合工作管線中提供，並且能夠在x86-64和arm64上測試riscv64 Android應用程式。NDK ABI是指在Android系統中，用於定義原生程式碼與Android作業系統以及其他程式碼溝通的介面。</p> <p>Google預計在2024年公開模擬器，並提供完整的功能集，讓開發者能夠針對各種裝置類型和尺寸測試應用程式，穿戴式裝置將會是第一個可用的裝置類型。</p> <p>Google也提到他們正在擴展對RISC-V生態系的投資，對RISC-V國際組織挹注資源，並且在多個技術委員會和工作組擔任要角，以加速設計和批准規範，同時，Google也和RISE專案合作，加速RISC-V處理器核心執行高階作業系統軟體的可用性。</p> </div></div></div>
2023/10/31 21:36作者李建興https://www.ithome.com.tw/news/159576
【資安日報】10月31日，曝露於GitHub程式庫的帳密資料成為駭客下手的對象！有人從中收集AWS的帳密，將EC2實體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往不斷有研究人員對開發者提出警告，將專案所需存取的帳密資料寫入程式碼，將有可能帶來危害。而最近研究人員發現的挖礦攻擊行動EleKtra-Leak，就是這樣的典型例子，攻擊者從公開的GitHub儲存庫收集AWS帳密資料，再趁機奪取這些用戶花錢租用的EC2執行個體服務進行挖礦。</p> <p>特別的是，駭客利用這些帳號挖礦之後，竟然把它們列入黑名單，這樣的手法可說是相當少見。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://unit42.paloaltonetworks.com/malicious-operations-of-exposed-iam-keys-cryptojacking"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客發動EleKtra-Leak挖礦攻擊，利用GitHub曝露的AWS帳密來奪取用戶EC2運算服務，替他們挖掘加密貨幣</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-130743-2-2.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露名為EleKtra-Leak的挖礦攻擊行動，駭客約從2020年12月開始進行相關活動，光是在今年8月30日至10月6日，他們就看到有多達474個Amazon EC2執行個體遭駭，被攻擊者拿來挖掘門羅幣。</p> <p>研究人員指出，這些駭客先是濫用GitHub提供的機密資訊掃描功能，以及AWS的AWSCompromisedKeyQuarantine政策標籤來尋找目標，一旦確認目標儲存庫存放了AWS帳密資料，或是其他的身分驗證管理（IAM）資料，攻擊者就試圖找出這類帳密，對目標AWS帳號進行偵察，然後建立安全群組，並透過VPN程式存取EC2執行個體，從Google Drive下載挖礦軟體並執行，整個過程是自動化運作，總共進行超過400次API呼叫，過程只花費7分鐘。</p> <p>特別的是，這些駭客也將他們用過的帳密資料加入黑名單。研究人員推測，這麼做的目的，很有可能是防止遭到進一步分析。</p> <p><a href="https://www.bleepingcomputer.com/news/security/lastpass-breach-linked-to-theft-of-44-million-in-crypto/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露440萬美元加密貨幣竊盜事故，起因疑與密碼管理解決方案LastPass資料外洩有關</span></strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer報導，10月27日加密貨幣調查員ZachXBT指出，他與加密貨幣錢包MetaMask開發者Taylor Monahan聯手，追蹤一系列加密貨幣遭竊的事故，光是25日就有約440萬美元遭竊，至少有25名投資人受害，而根據他們的調查，這些人的共同點，就是都有使用密碼管理解決方案LastPass。</p> <p>研究人員指出，駭客之所以能榨乾這些人的資產，關鍵是他們利用2022年LastPass遭駭而外流的資料，因此得逞。他們得知有人正在破解被洩露的密碼資料庫，而有可能導致更多LastPass用戶成為目標。</p> <p>而這並非首度有人因LastPass資料外洩事故損失加密貨幣，資安新聞網站Krebs on Security於今年9月指出，從去年12月下旬，陸續傳出有人受害，估計已被偷走逾3,500萬美元加密貨幣。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/zachxbt/status/1717901088521687330">https://twitter.com/zachxbt/status/1717901088521687330</a><br /> 2. <a href="https://krebsonsecurity.com/2023/09/experts-fear-crooks-are-cracking-keys-stolen-in-lastpass-breach/">https://krebsonsecurity.com/2023/09/experts-fear-crooks-are-cracking-keys-stolen-in-lastpass-breach/</a></p> <p><a href="https://www.ithome.com.tw/news/159568"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對2020年SolarWinds供應鏈攻擊事故，美國證券交易委員指控該公司蓄意隱瞞</span></strong></a></p> <p></p> <p>10月30日<a href="https://www.sec.gov/news/press-release/2023-227">美國證券交易委員會（SEC）對IT業者SolarWinds進行控告</a>，原因是在2020年的供應鏈攻擊事故當中，該公司內控失靈，資安長Timothy Brown涉及詐欺，違反美國證券交易法。</p> <p>SEC指出，該公司從2018年10月股票公開發行，到2020年12月遭遇木馬程式Sunburst供應鏈攻擊，SolarWinds對外誇大其資安措施，同時低估已知的資安風險，甚至未主動揭露。根據SEC的調查，該公司內部工程師曾在2018年提出警告，他們的遠端存取組態不安全，一旦有人利用相關弱點，就有機會在不被發現的情況下為所欲為，Timothy Brown也曾在內部簡報提及此事。</p> <p>而在前述攻擊行動發生的數個月前，該公司內部資安問題重重。例如，他們在2020年6月調查鎖定客戶而來的網路攻擊，Timothy Brown認為，駭客已經不斷針對Orion軟體下手，企圖發動規模更大的攻擊，同年9月，該名資安長在內部會議指出，8月發現的資安問題數量，已超越工程團隊負荷。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.esentire.com/blog/the-wiki-slack-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用維基百科的攻擊手法Wiki-Slack，將Slack用戶進行重新導向</span></strong></a></p> <p></p> <p>資安業者eSentire揭露濫用維基百科的攻擊手法，駭客鎖定商務人士下手，從維基百科挑選目標人士可能感興趣的主題，並在維基百科條目加入特定註解，以便觸發後續的攻擊行動。一旦目標人士將上述的維基百科條目轉貼至Slack頻道，就有可能呈現原始維基百科不會出現的連結，從而導致其他Slack使用者點選，然後導向惡意網站，並向他們散布惡意軟體。</p> <p>研究人員指出，這種攻擊手法也可能套用在Medium部落格，但有鑑於維基百科廣為人知，駭客濫用這項服務的可能性較高。針對上述的弱點，研究人員已向Slack進行通報。</p> <p><a href="https://www.armosec.io/blog/cve-2023-5043-nginx-ingress/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對K8s打造的Nginx Ingress控制器存在高風險漏洞</span></strong></a></p> <p></p> <p>資安業者Armo指出，有人近日針對適用於K8s環境的Nginx Ingress控制器，通報了高風險漏洞CVE-2022-4886、CVE-2023-5043、CVE-2023-5044，其中最嚴重的是CVE-2022-4886，攻擊者有機會用來繞過此控制器的路徑清理功能，從而取得存取該控制器的帳密資料，CVSS風險評分為8.8。</p> <p>另外兩個漏洞，則是讓攻擊者有機會濫用程式碼片段configuration-snippet或permanent-redirect的註解欄位，從而執行任意命令或是程式碼，CVSS風險評分皆為7.6。對此，該軟體的維護者提出了緩解措施，呼籲使用者應儘速套用。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.hackerone.com/press-release/hackers-surpass-300-million-all-time-earnings-hackerone-platform"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾6成白帽駭客利用生成式AI來發現漏洞</span></strong></a></p> <p></p> <p>10月26日漏洞懸賞平臺HackerOne發布年度報告，當中提及生成式AI（GenAI）持續受到駭客歡迎，有61％白帽駭客正在利用此技術開發各式工具，用來發現更多漏洞，另有62%駭客對於生成式AI採用的大型語言模型（LLM）感興趣，他們將針對OWASP揭露的10大安全漏洞進行相關研究。</p> <p>此外，受訪者也表明進一步運用生成式AI處理相關工作的情況，有66％打算拿來產生報告、53％會用於編寫程式碼，另有33%則是將其運用於減少語言隔閡。事實上，目前已有14%駭客將其視為重要工具，並有53%開始採用。</p> <p>而對於白帽駭客帶來的貢獻，時下企業組織認為普遍面臨資安人才缺乏的現象得到緩解，70%客戶認為，這些白帽駭客充分協助他們，使其免於遭遇資安事故。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityjoes.com/post/bibi-linux-a-new-wiper-dropped-by-pro-hamas-hacktivist-group"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資料破壞軟體BiBi-Linux鎖定以色列組織而來</span></span></strong></a></p> <p></p> <p><a href="https://www.elastic.co/security-labs/ghostpulse-haunts-victims-using-defense-evasion-bag-o-tricks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Ghostpulse透過MSIX安裝程式散布</span></span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/10/malvertising-via-dynamic-search-ads-delivers-malware-bonanza"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google動態廣告遭到濫用，攻擊者散布惡意程式</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-email-stolen-student-data-to-parents-of-nevada-school-district/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國內華達州校區遭遇大規模資料外洩，駭客向家長寄送竊得的學生資料施壓</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159565"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客LockBit宣稱駭入波音並竊走機密</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159548"><strong>【10月30日】有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到感染</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159530"><strong>【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159501"><strong>【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</strong></a></p> </div></div></div>
2023/10/31 17:59作者周峻佑https://www.ithome.com.tw/news/159575
PChome揭行動商務優先的介面改版策略及內容，搜尋功能強化是一大重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PChome執行長張瑜珊今（10/31）於雙11記者會中揭露近期電商營運及數位做法。包括電商介面大翻新亮點、目前AI科技應用、物流布局、以及發展異業結盟的策略。</p> <p>近兩年，PChome終於下定決心翻新行之有年的電商介面。之前PChome於法說會提到，計畫今年年底介面翻新會達到9成進度。張瑜珊今天則表示，預計明年上半年會全部完成。她並說明，新電商介面設計採取「Mobile first」策略，強調行動裝置購物體驗，且於首頁優惠相關資訊更加清晰易讀。這些優惠資訊，會依照時事、天氣、流行等外部因素來動態呈現。至於消費者喜好等因素是否也會影響首頁介面呈現，張瑜珊沒有特別提及。</p> <p>另一個重要翻新面向是搜尋功能。前端介面新增了不同篩選器、自動搜尋完成等功能。後端則有多項更新，其一是換新綜合排序演算法，根據貨態與熱門程度等因素排序搜尋結果，其二全面升級搜尋底層架構，利用機器學習來增加搜尋結果精準度，而非只靠關鍵字比對，其三則是提高搜尋詞庫完整性，來強化系統推論商品關聯性及消費者意圖的能力。</p> <p>除了利用AI/ML技術來強化搜尋功能，張瑜珊表示，PChome還有許多環節會應用AI技術。包括電商商品推薦、會員資料分眾，以及根據被揀貨頻率等因素來調整倉儲貨物位置安排等。還有一個較為特別的AI應用是商品資料補齊。張瑜珊解釋，PChome有大量舊有商品資料，需要將資訊補齊才更容易進行後續處理。不過，他沒有揭露用AI加速資料補齊的具體做法。</p> <p>物流布局方面，近期一大里程碑是年初開始分層分區逐步啟用的A7物流中心，10月底所有樓層都已啟用，趕上雙11檔期。目前此物流中心處理PChome 58%訂單的物流，除了應用AI技術來優化商品存放位置，還投入揀貨穿梭車（Shuttle）跟運貨AGV等自動化物流設備，採取以物就人模式，提升物流效率。</p> <p>同時，他們持續拓展同集團自營車隊網家速配服務範圍，目前涵蓋9縣市、70個行政區。他們也擴大與外部業者的物流合作，包括於雙北地區採用Uber企業物流服務Uber Direct，以及和統一超商合作推出大材積取貨服務。</p> <p>未來，張瑜珊表示PChome有意持續進行異業策略結盟，來拓展業務型態及進行跨通路導流。近期做法例如，與3C維修品牌大師修合作設置實體「PChome 24h購物安裝服務中心」門市，來強化3C商務面向。還有，推出中華電信Hami Point會員綁定功能，用會員點數折抵電商消費，以期強化消費者導流及會員數據經營。</p> <p> </p> </div></div></div>
2023/10/31 19:13作者郭又華https://www.ithome.com.tw/news/159573
MedTech醫療科技雙周報第29期：FDA近1年核准171項醫療AI商品，但尚未核准任何生成式AI醫材
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（1016～1031）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">智慧醫材</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美FDA近1年核准171項醫療AI商品，但尚未核准任何生成式AI醫材</strong></span></p> <p>美國食品藥物管理局（FDA）10月19日發布AI／ML醫材名單更新說明，共新添171種支援AI和ML的醫療設備，其中155款是在2022年8月1日至今年7月30日間核准，當中有16種是既有設備，透過優化原有方法而獲得認證。FDA表示，在過去10年內，他們審查核准的AI醫材越來越多、遍布不同醫學領域，這一趨勢也將持續下去。但，儘管大型語言模型（LLM）應用在今年遍地開花，FDA指出，截至今年10月19日，他們尚未核准任何使用生成式AI、通用AI（GAI）或由LLM支援的醫療器材。</p> <p>FDA也分析AI／ML醫材核准趨勢，與2019年相比，2020年獲核准的產品數量成長率高，為39%，但2021年和2022年放緩，成長率分別為15%和14%。雖然如此，FDA預計，2023年的成長率將達到30%以上。就核准領域來說，2022年獲得認證的智慧醫材中，87%屬於放射科（共122件），其次是7%的心血管科（共10件），其餘則是各占1%的神經科（2件）、血液科（1件）、腸胃科／泌尿科（1件）、眼科（2件）、臨床化學（1件）和耳鼻喉科（1件）。</p> <p>就2023年來說，截至7月底，FDA核准的智慧醫材有79%屬於放射科（85件）、9%屬於心血管科（10件）、5%用於神經科（5件）、4%用於腸胃科／泌尿科（4件）、2%用於麻醉科（共2件），其餘為各1%的耳鼻喉科（1件）和眼科（1件）。FDA也指出，這些設備大多採用混合型模型，比如用一套模型來產生特徵，再用另一套模型來分類，藉這種混合方法來達到安全有效的預測。<a href="https://www.fda.gov/medical-devices/software-medical-device-samd/artificial-intelligence-and-machine-learning-aiml-enabled-medical-devices">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資安 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CISA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 弱點掃描 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國CISA釋出醫療資安工具包</strong></span></p> <p>美國網路安全暨基礎設施安全局（CISA）最近聯手美國衛生及公共服務部（HHS），共同推出醫療與公衛資安工具包，來提高醫療機構和業者的資安防護力。CISA副主任Nitin Natarajan表示，由於醫療機構擁有個人識別資訊、財務資訊、健康記錄和無數醫療裝置數據，就像是駭客的一站式商店。他舉例，光是2023年，CISA就向超過65個美國醫療機構發出勒索軟體預警通知，美國衛生與公共服務部副部長Andrea Palm更指出，他們和CISA與業界夥伴密切合作，不只提供資安工具和資源，也提供指導來助醫療機構和業者，特別是IT資源不足的小型機構。</p> <p>醫療機構和業者可在CISA網站找到這項工具包，該工具包整合不少公部門資源，包括CISA的資安弱點掃描服務、HHS的醫療業資安實作服務，以及HHS的醫療業資安框架實作指南，來幫助醫院提高資安韌性。<a href="https://www.cisa.gov/news-events/news/cisa-hhs-release-collaborative-cybersecurity-healthcare-toolkit">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 西澳 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康照護 </span></strong></span></p> <p><span style="font-size:22px;"><strong>西澳政府揭醫療生成式AI挑戰賽結果</strong></span></p> <p>澳洲西澳政府在10月下旬公布醫療照護生成式AI挑戰賽結果，共有19家包含大學和醫資廠商在內的組織勝出，西澳政府也撥出93萬多澳元資金，供這些團隊繼續發展醫療AI，來解決當地醫療照護問題。</p> <p>該挑戰賽分為4大領域，包括健康與醫學研究、健康與醫療創新、醫療健康服務提供，以及健康和醫學教育／培訓。西澳政府表示，該挑戰賽有2階段，首先是選出每領域的可行性團隊，並給予5萬澳元來執行，再來是選出每類別表現最優異的團隊，並給予50萬澳元獎金，來將生成式AI落地。目前入選的應用有皇家珀斯醫院的骨科自動化報告、Foresight Medical的生成式AI用於眼部生物標記早期阿茲海默症診斷、西澳大學的生成式AI憂鬱症篩檢，以及由南大都會衛生所提出的生成式AI優化偏鄉耳部健康照護服務等。<a href="https://fhrifund.health.wa.gov.au/News-and-Events/2023/10/18/Generative-AI-technology-to-address-WA-health-and-medical-challenges">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全息投影 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫學培訓 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 腸胃科 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>新加坡楊潞齡醫學院導入全息投影，優化腸胃科看診訓練</strong></span></strong></p> <p>新加坡國立大學楊潞齡醫學院最近開發一項全息投影應用，要來模擬腸胃科患者臨床流程，提高醫學生的模擬訓練品質。他們開發的應用名為HoloScenarios：Gastrointestinal，由醫學院專家和教授聯手打造，醫學生可透過該應用，與全息投影呈現的模擬患者、醫療器材等互動，能在安全環境中累積軟硬技能，涵蓋了解基本病史、執行侵入性測試到緊急醫療處置等環節。</p> <p>這個腸胃科訓練模組建於Gig沉浸式學習平臺之上，該平臺是企業級平臺，能讓使用者打造、分享沉浸式訓練應用程式和模組，特別是世界級醫療機構和MR開發者。<a href="https://medicine.nus.edu.sg/news/gigxr-partners-with-nus-medicine-to-deliver-holographic-clinical-scenarios-for-gastroenterology-training/">（詳全文）</a></p> <p><img alt="" src="https://medicine.nus.edu.sg/wp-content/uploads/2023/10/HoloScenarios-1536x1182.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">花蓮慈濟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> WiFi 6 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 定位 </span></strong></span></p> <p><span style="font-size:22px;"><strong>花蓮慈濟全面升級WiFi 6無線網路技術</strong></span></p> <p>花蓮慈濟醫院最近升級內部無線網路設施，透過廠商智邦科技支援、採用WiFi 6技術，來實現無縫、全面的網路覆蓋。慈濟醫療法人東區資訊室主任李建泰指出，WiFi6是無線網路的新規格，可為醫療團隊和病人提供更穩定的頻寬，也確保無線網路在院內更穩定，能應對多設備同時連接的需求。</p> <p>廠商也提供新型號網路晶片，來確保網路訊號的穩定性，減少人員移動時信號可能出現中斷的問題。此外，他們也採用無線管理系統，來與多種智慧管理機制搭配，比如SIL室內定位，讓病人和訪客透過手機App，就能輕鬆找到要去的目的地。此外，這個SIL室內定位技術也能用來追蹤重要的醫療設備和資產位置，甚至在緊急情況下，醫療團隊能更快速定位病人、醫護人員和其他關鍵人員，以提供即時支援和緊急護理。<a href="https://hlm.tzuchi.com.tw/home/index.php/news/reports/item/3225-wifi6">（詳全文）</a></p> <p><img alt="" src="https://hlm.tzuchi.com.tw/home/images/01news/2023/10/1020/img_2.jpg" /><img alt="" src="https://hlm.tzuchi.com.tw/home/images/01news/2023/10/1020/img_3.jpg" style="width: 213px; height: 300px;" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">護理記錄 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高醫附醫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>高醫附醫導入生成式AI護理助手</strong></span></strong></p> <p>10月中旬，高雄醫學大學附設中和紀念醫院揭露生成式AI進展，其體系智能醫療推動辦公室打造生成式AI敘述性護理紀錄，讓護理師快速完成記錄，降低工作負荷。</p> <p>進一步來說，護理師例行的巡房流程，包括測量病人生命徵象、詢問病人狀況等，以往護理師除照顧病患，還得花費大量時間來記錄量測數值和觀察現象。透過AI護理助理，護理師可在巡房結束後，用生成式AI快速自動生成護理紀錄，內容不僅符合白班、大小夜班的照護模式需求，更能依病患不同的病情來生成病歷內容，協助護理師更精確、更省時地記錄和管理護理病歷。現場並展示如何利用生成式AI來輔助護理師生成敘述性護理紀錄。</p> <p>另一方面，高醫附議持續發展醫療大數據應用，打造出高醫體系醫療數據資料庫平臺（KMURD），包含臨床數據、醫學影像、主題式疾病資料庫、基因分析、數位病理、與生理訊號等資料庫，並透過AI將資料結構化。有了這些基礎，高醫體系可進一步發展加值應用，如智慧加護病房、手術麻醉智能管理、偏鄉遠距醫療、生成式病歷協作等AI平臺。<a href="https://www.kmuh.org.tw/KMUHInterWeb/News/BrdactDetail/1001124108?actid=419622">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Ubie </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 摘要 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>日本醫療新創Ubie推出生成式AI功能，可摘要患者問卷內容</strong></span></strong></p> <p>使用者遍及日本47個都道府縣的日本醫療AI新創Ubie，最近在自家病患服務平臺Ubie Medical Navi上推出生成式AI功能，能摘要病患長期以來的看診問卷重點。進一步來說，這個平臺提供問卷式的表格，來讓患者選填病況和基本生活資訊，在回答20至30個相關問題後，基於LLM的新功能會總結內容並生成摘要，提供給醫生參考。</p> <p>目前，Ubie Medical Navi平臺的1,500多位醫生使用者，已可開始使用，無需額外付款。Ubie表示，新功能由自家研發部門與醫生聯手開發，並經過醫生試用。一位醫生表示，過往，他們得瀏覽患者的長篇回答、筆記重點，還得將患者的回答複製貼上到醫院電子病歷系統，但新功能出現後，縮短了這些作業時間，讓他們更有效率問診。<a href="https://en.prnasia.com/releases/global/ubie-s-new-generative-ai-feature-for-doctors-effortlessly-summarizes-patient-findings-and-streamlines-medical-record-documentation-with-a-90-user-satisfaction-rate--422634.shtml">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/studio-design-asset-files/projects/v7qG0boBaL/s-2400x1627_v-frms_webp_6679540f-106a-4d67-be68-85c2386a0762_middle.webp" /></p> <p>圖片來源／楊潞齡醫學院、花蓮慈濟、Ubie</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://jmai.amegroups.org/article/view/8198/html">美、印眼科專家聯手研究ChatGPT對視網膜ICD-10編碼生成準確性</a></strong></strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/31 17:56作者王若樸https://www.ithome.com.tw/news/159574
拜登簽署美國首個AI行政命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2023/10/30/fact-sheet-president-biden-issues-executive-order-on-safe-secure-and-trustworthy-artificial-intelligence/" target="_blank">美國總統拜登（Joe Biden）周一（10/30）簽署</a>了一項與人工智慧（AI）有關的行政命令，美國尚無任何有關AI的立法，而這也是美國總統所簽署的第一個AI行政命令，提出了8項行動目標。</p> <p>由美國總統所發布的行政命令是一種行政法令，主要是用來指示聯邦政府機構該如何執行法律、政策或行政事務，在符合美國憲法與既有的聯邦法令下，行政命令具備重要的執行權力，特別是可於國會通過立法之前制定新政策。</p> <p>拜登所指示的AI目標涵蓋建立AI安全的新標準，保護美國人的隱私，促進公平與公民權利，替消費者、病患及學生挺身而出，支持勞工，推動創新與競爭，提升美國在海外的領導地位，並確保政府負責任及有效地使用AI。</p> <p>該命令的第一項就是建立AI安全的新標準，準備採取史上最全面的行動來保護美國人免受AI潛在風險的危害。包括要求強大AI系統的開發者必須與美國政府分享其安全測試結構與其它重大資訊；必須發展各式標準、工具與測試來協助確保AI系統是安全及可靠的；制定強大的標準來監控生物合成，避免利用AI設計出危險的生物材料；建立如何分辨AI生成內容與官方內容的偵測機制與最佳實作，以避免人們遭到AI詐騙；開發AI工具來發現及修補重大軟體中的安全漏洞。</p> <p>其實在此一行政命令之前，白宮已經發布了許多跟AI有關的措施，例如<a href="https://www.ithome.com.tw/news/157911" target="_blank">今年7月取得</a>包括Google、微軟與OpenAI的7大業者的AI安全承諾，<a href="https://www.ithome.com.tw/news/158234" target="_blank">今年8月祭出2,000萬美元邀請資安高手以AI來尋找安全漏洞</a>，也在本月初發布了AI權利法案藍圖（Blueprint for an AI Bill of Rights），以於推動AI進步及保護人類之間取得平衡。</p> </div></div></div>
2023/10/31 16:19作者陳曉莉https://www.ithome.com.tw/news/159572
駭客組織0ktapus部署勒索軟體BlackCat，從事檔案加密及破壞，向受害者進行勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年前，駭客組織0ktapus（亦稱Scattered Spider、Octo Tempest）鎖定身分驗證解決方案Okta的用戶下手引起全球關注，雲端服務業者Twilio、Cloudflare出面表明遭到攻擊，如今研究人員指出，這些駭客開始與勒索軟體BlackCat（Alphv）結盟，並運用相關工具發動攻擊。</p> <p>這些駭客最早大約於2022年初出沒，當時他們針對電信業者、業務外包業者發動SIM卡挾持（SIM Swapping）攻擊，到了2022年末，這些駭客向其他網路罪犯兜售SIM卡挾持技術，鎖定高價值人士的帳號來盜取加密貨幣。</p> <p>但到了2023年中，這些駭客改變目標，並採用其他組織的工具發動攻擊。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/">微軟對於0ktapus近期的攻擊行動提出警告</a>，2023年6月，這些駭客成為勒索軟體BlackCat的附屬團體，並對目標組織部署勒索軟體，近期主要集中於虛擬化環境VMWare ESXi的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Octo-Tempest-evolution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Octo-Tempest-evolution.png" style="width: 580px;" /></a></p> <h3><strong>假冒客服、IT服務臺發動社交工程攻擊，成主要的入侵管道</strong></h3> <p>通常駭客會先對於目標組織進行調查，以便冒充組織、模仿電話通訊、收集相關個資，針對客戶支援或是IT服務臺的員工進行社交工程攻擊，從而取得入侵組織的初始存取權限，要求客服人員重置密碼或是雙因素驗證設定。在部分攻擊行動當中，駭客也可能會假冒新進員工來發動攻擊。</p> <p>研究人員看到這些駭客也會一般員工下手，發動對手中間人攻擊（AiTM），或是進行其他社交工程攻擊，從而在受害電腦部署遠端管理工具（RMM），或是清除受害者FIDO2的Token。再者，過往這些駭客擅長的SIM挾持攻擊，也是他們用於入侵的管道之一。</p>  <p>一旦成功入侵目標組織，駭客便會執行偵察工作，從而掌握高權限，先是從AD大量匯出使用者、群組、裝置資訊，再取得虛擬化環境的基礎架構，以及企業管理的資源組態，並對於雲端環境、程式碼儲存庫、伺服器、備份管理基礎架構進行調查，過程中駭客運用多項工具來進行，例如：利用PingCastle與ADRecon偵察AD、透過Advanced IP Scanner拓撲受害組織網路、採用Go程式庫Govmomi列出所有的vCenter的API、運用PowerShell模組PureStorage FlashArray找出儲存陣列等。</p> <p>而對於這些駭客如何在受害組織提升權限，研究人員指出，他們會利用社交工程攻擊，藉由外流的密碼設置流程，以及大量收集的用戶、群組資料，透過各種方式建立信任來達成目的。在某些情況下，攻擊者還會利用流出的經理帳號，核准密碼重置請求，而能繞過組織正常的申請重置密碼程序。</p> <p>除此之外，駭客也會利用開源工具Jercretz和TruffleHog，在組織的程式碼儲存庫挖掘明文帳密資料、金鑰等機密，以便進一步利用。再者，這些駭客也會利用MicroBurst企圖存取組織存放的帳密資料，或是透過Mimikatz、Hekatomb、Lazagne、gosecretsdump、smbpasswd.py、LinPEAS、ADFSDump等開源工具收集。</p> <p>而在其他提升權限的手法上，他們還會利用名為VMAccess Extension的工具，對建置於Azure的虛擬機器（VM）重設密碼，或是竄改組態。或者，對於虛擬網域控制器磁區進行快照備份，來取得AD資料庫檔案NTDS.dit。</p> <h3><strong>為了避免東窗事發，駭客入侵資安部門，並控制裝置管理系統及端點防護系統</strong></h3> <p>值得留意的是，這些駭客在過程中為了避免遭到偵測，駭客還會對於資安部門的人員下手，目的是透過端點偵測與回應系統（EDR）、裝置管理系統，或是開源工具Privacy.sexy框架，停用資安產品及安全功能，從而放行惡意程式、部署遠端管理工具、竊取機密資料，他們甚至會竄改IT人員的電子郵件規則，自動刪除資安系統或是供應商發出的警告。</p> <p>對於駭客如何持續在受害組織活動，研究人員指出，他們也運用了多種開源或遠端桌面連線工具如：ScreenConnect、FleetDeck、AnyDesk、RustDesk、Splashtop、Pulseway、TightVNC、LummaC2、Level.io、Mesh、TacticalRMM、Tailscale、Ngrok、WsTunnel、Rsocx、catcatel來進行。同時，無論是Windows還是Linux電腦，研究人員發現駭客都會部署反向Shell。</p> <p>再者，這些駭客也會利用隧道工具Twingate，並利用Azure容器充當專屬的連接器，而不致將行蹤曝露於網際網路。此外，對於VMware虛擬化環境，駭客則是罕見地部署Linux後門程式Bedevil，並啟動Python指令碼對虛擬機器下達命令。</p> <h3><strong>竊取資料的層面多元，涵蓋檔案共用系統、程式碼儲存庫、資料庫、應用程式系統</strong></h3> <p>究竟這些駭客的攻擊目的為何？研究人員認為，主要還是獲取經濟利益，但不同的是，現在這些駭客不只竊取加密貨幣，還會進行勒索軟體攻擊。</p> <p>值得一提的是，駭客在部署勒索軟體之前，他們會透過合法的用戶端程式，例如：DBeaver、MongoDB Compass、Azure SQL查詢編輯器、Cerebrata，來存取程式碼儲存庫，以及資料庫、檔案共用系統，竊取機密資料，之後透過GoFile.io、Sh.Azl、StorjShare、Temp.sh、MegaSync、Paste.ee、Backblaze等多種匿名檔案代管服務將資料流出。</p> <p>此外，研究人員也看到駭客採用另一種較為特殊的手法，就是濫用資料整合服務Azure Data Factory，將特定資料自動化傳送至駭客架設的SFTP伺服器。而針對存放於SharePont的資料，攻擊者則會透過合法的Microsoft 365備份解決方案，像是Veeam、AFI Backup、CommVault進行匯出。</p> <p>至於Salesforce、ZenDesk等其他駭客認為具備高價值的應用系統，他們會透過FiveTran等第三方服務，透過API連接器來複製資料庫的內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-octo-tempest-ttps.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-octo-tempest-ttps.png" style="width: 580px;" /></a></p> <p> </p> </div></div></div>
2023/10/31 00:22作者周峻佑https://www.ithome.com.tw/news/159564
蘋果發表M3系列處理器，以及採用該系列的MacBook Pro與iMac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/10/apple-unveils-m3-m3-pro-and-m3-max-the-most-advanced-chips-for-a-personal-computer/" target="_blank">蘋果周一（10/30）發表了M3系列處理器</a>，涵蓋具備250億個電晶體的M3、擁有370億個電晶體的M3 Pro，以及由920億個電晶體組成的M3 Max，同時也推出了基於M3的iMac，以及採用M3、M3 Pro與M3 Max的MacBook Pro。</p> <p>M系列處理器是蘋果自行設計的系統單晶片，它採用Arm架構，第一代的M1是在2020年11月發表，M2是在2022年的6月發表，不管是M1或M2系列都有Pro、Max與Ultra版，從蘋果歷屆的產品規畫看來，最低階的版本通常應用在iMac、MacBook家族或iPad上，Pro版則應用在MacBook Pro上，Max與Ultra版則可能同時支援MacBook Pro與Mac Studio桌機。換句話說，在MacBook Pro上通常可以看到，從最低階M處理器到最高階M Ultra處理器的產品。</p> <p>本周蘋果僅發表了M3、M3 Pro與M3 Max，尚未發表M3 Ultra。</p> <p>M3系列是蘋果首次利用3奈米製程所生產的個人電腦晶片，並搭載了更快也更有效率的新一代GPU。其CPU效能核心與節能核心分別比M1快了30%及50%，神經引擎比M1版的快了60%，還有一個可支援AV1解碼的新媒體引擎，而GPU則具備新的動態快取（Dynamic Caching）技術，因而帶來了諸如硬體加速光線追蹤，以及網格著色等新的渲染能力，使其渲染速度比M1系列快了2.5倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1031-Apple-M3-chip-series-performance-cores-600(1).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1031-Apple-M3-chip-series-efficiency-cores-600(1).jpg" style="width: 600px;" /></p> <p>M3系列的晶片都採用了統一記憶體架構，以提供高頻寬、低延遲及能源效率，在自訂的封裝中擁有單一記憶體池，讓晶片中的所有技術都存取相同的資料來提高效能與效率，而高達128GB的記憶體則可開啟了過去於筆電上無法實現的工作流程，像是允許AI開發者處理具備數十億參數的Transformer模型。</p> <p>蘋果指出，M3上的GPU只需要一半的功耗就能提供與M1相同的效能，而峰值功耗下的效能則比M1增加65%；同樣的，M3上的CPU也只需一半功耗就能提供與M1相同的多執行緒效能，峰值功耗下的效能則比M1增加35%。另一方面，M3的節能核心比M1快了50%，比M2快了30%；M3上的神經引擎效能比M1快了60%，比M2快了15%。</p> <p>搭載M3的24吋iMac依據規格的不同，價格自44,900元新臺幣至56,900元新臺幣不等。至於MacBook Pro則有14吋的M3版本，14吋與16吋的M3 Pro版本，以及14吋與16吋的M3 Max版本，售價自54,900元新臺幣至129,900元新臺幣不等。雖然相關產品皆已出現在臺灣蘋果官網，但尚未開放消費者訂購。</p> </div></div></div>
2023/10/31 16:06作者陳曉莉https://www.ithome.com.tw/news/159571
SolarWinds在2020年被駭是因長期忽略內部安全風險，遭美國SEC提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2023-227" target="_blank">美國證券交易委員會（SEC）周一（10/30）控告</a>了在<a href="https://www.ithome.com.tw/article/141943" target="_blank">2020年被駭的SolarWinds</a>，指控SolarWinds與該公司的資訊安全長Timothy Brown詐欺與內控失靈，違反《證券交易法》。</p> <p>SolarWinds為一專門開發網路、系統與IT管理軟體的美國業者，旗下的IT監控平臺Orion在2020年12月傳出遭到駭客滲透，駭客入侵了Orion的更新機制，於特定的Orion版本中植入了Sunburst木馬程式，藉以危害採用Orion的組織，根據SolarWinds當時的估計，在3.3萬家Orion客戶中，有1.8萬家安裝了含有Sunburst的Orion，涵蓋最早揭露此事的資安業者<a href="https://www.ithome.com.tw/news/141543" target="_blank">FireEye</a>，以及<a href="https://www.ithome.com.tw/news/141651" target="_blank">眾多的美國聯邦組織</a>，再加上微軟、思科、英特爾及Nvidia等。</p> <p>此外，資安社群還發現，應有其它駭客組織也駭進了SolarWinds，因為它們在Orion中找到了第二個木馬程式Supernova。一般認為，Sunburst木馬程式來自於俄羅斯駭客組織Cozy Bear，而Supernova則來自中國駭客組織Spiral。</p> <p>微軟總裁Brad Smith隔年接受《60 Minutes》節目專訪時，將此一攻擊事件稱為全球史上規模最大也最高明的攻擊行動，還說參與攻擊SolarWinds行動的工程師鐵定超過1,000名。</p> <p>這起攻擊事件令SolarWinds股價在意外發生的3天內下滑了25%，在該月下滑了35%，並遭到股東的集體訴訟，SolarWinds在去年11月以2,600萬美元與股東們和解，繼之即迎來了SEC的訴訟。</p> <p>SEC指出，SolarWinds至少從2018年10月公開發行，到2020年12月遭到Sunburst攻擊期間，SolarWinds與Brown對外都誇大了該公司的資安措施，同時低估或者是未揭露已知的安全風險。</p> <p>SEC之所以會這樣認為，是因為調查發現，SolarWinds內部工程師在2018年就曾警告，該公司的遠端存取設定不是很安全，成功利用該漏洞的人很可能在未被察覺的情況下為所欲為，進而造成SolarWinds在財務與聲譽上的損失。而Brown自己也曾多次於內部簡報中提醒，內部安全機制使得該公司的關鍵資產處於非常脆弱的狀態，對於關鍵系統與資料的存取權限是不合理的。</p> <p>而在Sunburst攻擊行動被揭露的前幾個月，SolarWinds更是知道內部的資安問題重重。例如SolarWinds在2020年6月就曾調查一項針對該公司客戶所發動的網路攻擊，當時Brown即說，駭客可能一直企圖利用Orion軟體來發動更大規模的攻擊行動，因為該公司的後端並不那麼有彈性；同年9月，Brown並曾於內部表示，上一個月所發現的安全問題數量，已經超過了工程團隊可以解決的能力。</p> <p>SEC認為，多年來SolarWinds與Brown不斷地忽視該公司網路風險的危險訊號，而且他們不但不解決這些安全漏洞，還選擇對外描繪於安全管控上的美好虛假景像，誤導了投資人。</p> </div></div></div>
2023/10/31 12:38作者陳曉莉https://www.ithome.com.tw/news/159568
LockBit宣稱駭入波音並竊走機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體組織LockBit本周宣稱已駭入航太龍頭業者波音（Boeing），取得大量敏感資料，揚言拿不到贖款就將公布。</p> <p>安全研究業者<a href="https://twitter.com/vxunderground/status/1718243288287764803" target="_blank">VX Underground發現</a>Lockbit駭客在地下論壇張貼公告宣稱此事，並給了波音6天時間與其聯繫。駭客說，在期限之前不會公開資料清單或樣本，但若波音遲遲未主動聯繫，將會公布這些資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1031-Boeing-LockBit-by%20vx-underground-600.png" style="width: 579px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://twitter.com/vxunderground/status/1718243288287764803" target="_blank"><span style="color:#696969;">VX Underground</span></a></span></p> <p>由於尚未接觸波音代表，LockBit駭客拒絕對研究人員透露相關細節，包括駭入波音多久，取得了多少資料，以及資料類型。</p> <p>目前這項宣稱是否屬實還不確定。駭客說，其勒索軟體夥伴是利用零時差漏洞駭入這家航太巨人，但不願說明漏洞細節。因此VX underground研究人員認為這不足以證明LockBit組織的說法。</p> <p>不過值得注意的是，LockBit向來給受害者10天以上的考慮時間，但這次僅給了6天。</p> <p><a href="https://www.theregister.com/2023/10/30/security_in_brief/" target="_blank">波音官方則表示</a>正在評估確認LockBit的說法。</p> <p>LockBit是現行最猖獗的勒索軟體組織，以勒索軟體即服務（ransomware-as-a-service，RaaS）提供犯罪組織駭客服務。該組織曾公布其受害者組織超過1,600個。從2020年起，光是美國的受害者支付的贖金就超過9千萬美元。</p> <p>今年年中LockBit先後<a href="https://www.ithome.com.tw/news/157579" target="_blank">駭入了台積電</a>勒索7千萬美元，並造成日本第一大港<a href="https://www.ithome.com.tw/news/157660" target="_blank">名古屋港貨櫃調度系統停擺一整天</a>。</p> </div></div></div>
2023/10/31 10:30作者林妍溱https://www.ithome.com.tw/news/159565
WD拆分硬碟、快閃記憶體業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在與日本記憶體業者合併案破局後，<a href="https://www.westerndigital.com/company/newsroom/press-releases/2023/2023-10-30-western-digital-to-form-two-independent-public-companies" target="_blank">硬碟業者威騰（Western Digital，WD）周一宣布</a>將把快閃記憶體業務部門分拆出去。</p> <p>WD表示，公司董事會無異議同意將硬體與快閃記憶體業務分割的計畫。業務分割將讓兩個事業體個別進行技術和產品開發，各自推展業務且更有效操作。</p> <p>WD的快閃記憶體來自<a href="https://www.ithome.com.tw/news/105912" target="_blank">2016年以160億美元收購的SanDisk</a>。</p> <p>該公司執行長David Goeckler指出，在現行環境限制下，董事會近日決定，分割成二家公司是公司發展正確的下一步。透過將硬碟及快閃記憶體業務分別成立兩家獨立公司，允許各自追求市場成長機會，最重要的是，最大化WD股東利益。他說過去幾年WD快閃和硬碟業務已建立成不同產品事業群，具個別營運能力，也都有很強的產品、營運和財務領導團隊。公司在完成策略檢視後，WD決定將快閃事業群分拆出去是最佳決定。分割計畫預定在2024年下半完成。</p> <p>此事是WD收購日本快閃記憶體業者鎧俠（Kioxia）收購案破局後，WD方面的行動。由於智慧型手機市場需求下滑，記憶體業務不振，WD原本身為全球NAND快閃記憶體第4大業者，提議其部門和第2大廠鎧俠合併以提高經營效率並對抗龍頭三星。上周鎧俠間接投資法人<a href="https://www.bloomberg.com/news/articles/2023-10-26/western-digital-plunges-on-report-that-kioxia-deal-is-terminated" target="_blank">，南韓記憶體大廠SK Hynix拒絕本案</a>，雙方於上周撤銷此收購協議。WD股價一度大跌16%。</p> <p>受到手機市況不佳影響，WD上季營收表現黯淡，較去年同期衰退26%。同樣為了滿足股東利益，設法使事業體的效益最大化還有加拿大安全業者BlackBerry。<a href="https://www.ithome.com.tw/news/159155" target="_blank">BlackBerry十月宣布</a>，公司分拆成物聯網（Internet of Things，IoT）及安全軟體二個事業體，並計畫明年將讓IoT部門獨立上市。</p> </div></div></div>
2023/10/31 10:44作者林妍溱https://www.ithome.com.tw/news/159566
Next.js 14進一步提高本地開發效率，還新加入部分預渲染功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Vercel在開發者線上會議Next.js Conf，發表了最新的React網頁應用程式開發框架<a href="https://next-site-git-next-14.vercel.sh/blog/next-14#forms-and-mutations">Next.js 14</a>，這個新版本遵循Next.js 13的API基礎進行改進，強化本地開發的效能，並且最佳化伺服器端資料處理和渲染效率，進一步提升Next.js應用程式的效能和開發效率。</p> <p>Vercel之前於Next.js 13加入了<a href="https://www.ithome.com.tw/news/153834">Turbopack</a> Alpha測試版，這是一個能夠取代Webpack的高速網頁打包工具。雖然Webpack是一個被下載超過30億次的熱門工具，但是Vercel認為，該工具的執行速度，限制了Next.js的綑綁應用程式速度，因此尋求更快的替代方案。而Turbopack是以程式語言Rust開發而成，建構在增量架構之上，能以非常快的速度打包大型應用程式，更新速度是前端工具Vite的10倍，甚至是Webpack的700倍。</p> <p>開發團隊在Next.js 14中採用漸進的方式，改善Pages檔案目錄和<a href="https://www.ithome.com.tw/news/159111">App Router</a>本地端開發效能，並於Turbopack上進行5,000個整合測試，確保功能和效能符合預期。官方以vercel.com這個Next.js應用程式進行測試，獲得53.3%的本地端伺服器啟動加速，並且透過Fast Refresh實現94.7％的程式碼更新速度提升。</p> <p>該基準測試是next dev通過90％測試的結果，而一旦Turbopack通過100％的next dev命令整合測試，將可達到更快更可靠的結果，官方會在接下來的次要版本更新中，發布Turbopack穩定版本。</p> <p>而雖然Vercel開發團隊將重心擺在Turbopack的開發上，但同時也承諾，會繼續支援Webpack自定義配置以及生態系擴充套件的開發。</p> <p>Next.js 14對表單和資料突變處理也提供了更簡單的方法，透過引入Server Actions，開發者不需要手動創建API路由，就可以直接從React元件中，安全地呼叫伺服器上的函式。這種方法簡化了資料突變的開發者體驗，由於Server Actions允許在一次網路往返傳輸，就完成資料突變、重新渲染頁面和重新導向等工作，因此能改善用戶在網路速度較慢，或是低功率的裝置上提交表單時的使用者體驗。</p> <p>Vercel也在Next.js 14中引入一項稱為部分預渲染（Partial Prerendering）的編譯器最佳化功能，透過以伺服器端渲染、靜態網站生成和增量靜態重新驗證的技術作為基礎，對動態內容提供快速的初始靜態回應。官方提到，部分預渲染可以簡化開發模型，而且開發者不需要學習新API的使用方式。</p> <p>部分預渲染利用React Suspense進行定義，因此當開發者啟用部分預渲染功能時，系統會生成<Suspense />界線的靜態區塊，並運用動態元件來替換區塊中的Suspense回退（Fallback），以支援像是讀取Cookies更新購物車，或是依據使用者更換網頁橫幅等情境。這些操作可以在同一個HTTP請求中串流傳輸動態元件，不需要額外的網路傳輸往返。</p> </div></div></div>
2023/10/31 09:56作者李建興https://www.ithome.com.tw/news/159549
惡意軟體StripedFly利用永恆之藍漏洞，感染百萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織影子掮客（The Shadow Brokers）於2017年4月，公布美國國家安全局（NSA）開發的SMB v1漏洞「永恆之藍（EternalBlue，CVE-2017-0144）」，事隔一個月陸續引發<a href="https://www.ithome.com.tw/article/114311">WannaCry</a>、<a href="https://www.ithome.com.tw/tags/notpetya">NotPetya</a>等勒索軟體的大規模攻擊，後來有研究人員發現，<a href="https://www.ithome.com.tw/news/130477">中國駭客組織Buckeye（亦稱APT3、Gothic Panda）在一年前就拿來用於攻擊行動</a>，遠較影子掮客於2016年8月兜售的時間還要早。</p> <p>但如今，研究人員發現另一批駭客在2016年4月也開始利用這項漏洞，卻直到最近才被發現其攻擊行動。</p> <p><a href="https://securelist.com/stripedfly-perennially-flying-under-the-radar/110903/">資安業者卡巴斯基揭露存在超過5年的惡意軟體框架StripedFly</a>，對於發現該惡意程式的蹤跡，研究人員起初於2022年發現有兩組惡意程式碼（Shell Code）被注入到Wininit處理程序，這些程式碼過往曾在惡意軟體Equation出現，當時被誤認為挖礦程式，但研究人員發現，這只是表面可見的威脅，並非攻擊者的主要目的。</p> <p>他們發現此Shell Code會透過Wininit處理程序從Bitbucket、GitHub、GitLab下載惡意程式，然後執行PowerShell指令碼，過程中利用2017年揭露的永恆之藍漏洞，最終在受害電腦部署StripedFly。</p> <p><a href="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif" style="width: 580px;" /></a></p> <p>此惡意程式酬載的檔名為system.img，具備洋蔥網路的用戶端功能，目的是避免網路通訊遭到干擾，而在利用上述漏洞停用SMB v1通訊埠之後，就能透過SSH，將StripedFly散布到位處相同內部網路的Windows、Linux電腦。研究人員根據駭客所使用的Bitbucket儲存庫，估計有超過100萬臺電腦遭到感染，其中在今年4月至9月仍有近6萬臺電腦受害。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/StripedFly03.png" style="width: 580px;" /></p> <p>而對於StripedFly的功能，研究人員指出是透過可執行檔主程式，搭配外掛模組的方式運作，主要功能包含：執行攻擊者下達的命令、收集帳密資料、對目標電腦進行偵察、利用SSH帳密組合嘗試滲透其他電腦、利用永恆之藍漏洞入侵其他Windows電腦、反向代理伺服器、挖掘門羅幣。值得留意的是，研究人員強調，挖礦模組很可能是此惡意軟體能夠長時間逃避偵測的重要因素。</p> <p>為了維持在受害電腦上運作，StripedFly針對Windows、Linux作業系統，採取專屬的措施。</p> <p>在Windows電腦上，該惡意程式會根據得到的權限，試圖透過PowerShell指令碼建立工作排程，或是竄改登錄檔來達到目的；而在Linux電腦當中，惡意程式會濫用systemd服務、自動啟動的.desktop檔案，或是其他能更動個人設定或是電腦開機組態的檔案，來維持於受害電腦運作。</p> </div></div></div>
2023/10/30 23:41作者周峻佑https://www.ithome.com.tw/news/159563
【資安日報】10月30日，有人在2016年就利用永恆之藍漏洞，打造惡意軟體StripedFly，迄今仍有數萬臺電腦遭到…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國國家安全局（NSA）掌握的SMB v1漏洞「永恆之藍（EternalBlue）」、於2017年4月被駭客組織影子掮客（The Shadow Brokers）公布，1個月內引發勒索軟體WannaCry大規模感染的事故，但有研究人員指出，有其他駭客也利用這項漏洞打造惡意程式，並暗中活動超過5年，直到今年都還有數萬臺電腦受害。</p> <p>值得留意的是，這些駭客發起惡意軟體攻擊的時間最早可能在2016年4月，比影子掮客聲稱於同年8月竊得相關資料的時間還要早。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/stripedfly-perennially-flying-under-the-radar/110903/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體StripedFly利用永恆之藍漏洞，感染百萬臺電腦</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/StripedFly_01.gif" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露存在超過5年的惡意軟體框架StripedFly，對於發現該惡意程式的蹤跡，研究人員起初於2022年發現有惡意程式碼（Shell Code）被注入到Wininit處理程序，這些程式碼過往曾在惡意軟體Equation出現，當時被誤認為挖礦程式，但研究人員發現，這只是表面可見的威脅，並非攻擊者的主要目的。</p> <p>他們發現此Shell Code會透過Wininit處理程序從Bitbucket、GitHub、GitLab下載惡意程式，然後執行PowerShell指令碼，過程中利用2017年揭露的永恆之藍（EternalBlue，CVE-2017-0144）漏洞，最終在受害電腦部署StripedFly。</p> <p>此惡意程式酬載的檔名為system.img，具備洋蔥網路的用戶端功能，目的是避免網路通訊遭到干擾，而在利用上述漏洞停用SMB v1通訊埠之後，就能透過SSH，將StripedFly散布到位處相同內部網路的Windows、Linux電腦。研究人員估計有超過100萬臺電腦遭到感染，其中在今年4月至9月仍有近6萬臺電腦受害。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織0ktapus部署勒索軟體BlackCat，從事檔案加密及破壞，向受害者進行勒索</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/A_Cascade_of_Compromise_Unveiling_Lazarus_Campaign_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_Cascade_of_Compromise_Unveiling_Lazarus_Campaign_01.png" style="width: 300px; float: right;" /></a>一年前，駭客組織0ktapus（亦稱Scattered Spider、Octo Tempest）鎖定身分驗證解決方案Okta的用戶下手引起全球關注，雲端服務業者Twilio、Cloudflare出面表明遭到攻擊，如今研究人員指出，這些駭客開始與勒索軟體BlackCat（Alphv）結盟，並運用相關工具發動攻擊。</p> <p>微軟對於該組織近期的攻擊行動提出警告，2023年中，這些駭客成為勒索軟體BlackCat的附屬團體，並對目標組織部署勒索軟體，近期主要集中於虛擬化環境VMWare ESXi的伺服器，針對客戶支援或是IT服務臺的員工進行社交工程攻擊，從而取得入侵組織的初始存取權限，從而要求客服人員重置密碼或是雙因素驗證設定。</p> <p>一旦成功入侵目標組織，駭客便會執行偵察工作，從而掌握高權限，先是從AD大量匯出使用者、群組、裝置資訊，再取得虛擬化環境的基礎架構，並對於雲端環境進行調查，最終部署勒索軟體並執行檔案加密。過程中為了避免遭到偵測，駭客還會對於資安部門的人員下手，目的是停用資安產品及安全功能，甚至會竄改IT人員的電子郵件規則，自動刪除資安系統或是供應商發出的警告。</p> <p><a href="http://securelist.com/unveiling-lazarus-new-campaign/110888/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定軟體供應商發動供應鏈攻擊，企圖竊取原始碼</span></strong></a></p> <p></p> <p>資安業者卡巴斯基揭露近期北韓駭客組織Lazarus發起的攻擊行動，他們在今年7月中旬，偵測到駭客對數個組織出手，利用合法軟體及帳密進行加密網路通訊，藉由尚未修補的漏洞發動攻擊。</p> <p>經過調查，這個出現漏洞的軟體，其開發商曾多次成為這群駭客攻擊的目標，這代表駭客很有可能對其竊取原始碼，或是入侵軟體供應鏈，並在攻擊其他軟體開發商的時候繼續利用相關漏洞。研究人員指出，他們看到駭客利用前述提及的漏洞，於受害組織部署惡意軟體Signbt，並將其酬注入記憶體內，而能夠秘密執行Shell Code。</p> <p>此惡意程式能為駭客收集系統資訊、控制受害電腦的處理程序、得知電腦存放的檔案、上傳或下載檔案並於記憶體內載入，以及使用Windows內建的命令或是公用程式。在受害電腦植入了Signbt之後，研究人員看到駭客下載另一款惡意程式LPEClient，以及截取帳密資料的工具，而LPEClient曾在多起攻擊行動裡出現，光是今年該公司就發現至少3起資安事故。</p> <p><a href="https://twitter.com/troyhunt/status/1717291454341750929"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CCleaner用戶資料遭外流，原因是母公司遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></a></p> <p></p> <p>根據維護密碼外洩查詢網站Have I Been Pwned的研究人員 Troy Hunt表示，資安業者Gen Digital近期向系統清理程式CCleaner的用戶寄送電子郵件，證實他們也在今年5月遭遇MOVEit Transfer零時差漏洞攻擊影響，駭客竊取客戶的姓名、聯絡資訊、購買的產品資訊。該公司發言人Jess Monney透露，約有2％用戶受到波及，但不願透露受影響客戶數量。</p> <p>無獨有偶，該公司旗下另一家資安業者也傳出遭遇該攻擊事故，導致資料外洩，今年6月有研究人員發現，勒索軟體駭客Clop將Norton LifeLock列為受害組織，Gen Digital也證實他們遭到相關攻擊。</p> <p><a href="https://securityaffairs.com/153149/cyber-crime/lockbit-ransomware-gang-boeing.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">波音公司傳出遭到勒索軟體LockBit攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/boeing-image-54.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/boeing-image-54.png" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityWeek的報導，勒索軟體LockBit聲稱入侵大型飛機製造商波音，並要求這家公司必須11月2日前聯絡他們，討論支付贖金的事宜。</p> <p>對此，研究人員Brett Callow推測，波音可能不是真正的受害公司，應該是該公司的供應商遭駭。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://techcrunch.com/2023/10/27/apple-fixes-bug-that-undermined-ios-privacy-feature-for-years/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補iOS裝置的MAC位址廣播漏洞</span></strong></a></p> <p></p> <p>10月25日蘋果發布iOS 17.1及16.7.2、iPadOS 17.1及16.7.2、watchOS 10.1、tvOS 17.1，當中修補3年前就可能導致行動裝置、穿戴裝置洩露MAC位址的漏洞CVE-2023-42846。</p> <p>通報這項漏洞的研究人員Tommy Mysk指出，這項漏洞與蘋果在推出iOS 14、iPadOS 14、watchOS 7加入的新安全功能private Wi-Fi address有關，該公司聲稱裝置會為每個Wi-Fi無線網路採用不同的MAC位址，但研究人員發現，這項功能並未實際發揮作用，由於這些裝置在連上Wi-Fi網路的時候，會廣播呼叫網路上的AirPlay裝置，同時傳送夾帶裝置的真實MAC位址資訊，使得他人得以追蹤這些裝置。</p> <p>對此，蘋果也提出說明，該漏洞與mDNSResponder程式碼錯誤有關，他們在更新程式移除了相關程式碼。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/mysk_co/status/1717541345223389346">https://twitter.com/mysk_co/status/1717541345223389346</a><br /> 2. <a href="https://support.apple.com/HT213982">https://support.apple.com/HT213982</a><br /> 3. <a href="https://support.apple.com/HT213981">https://support.apple.com/HT213981</a><br /> 4. <a href="https://support.apple.com/HT213988">https://support.apple.com/HT213988</a><br /> 5. <a href="https://support.apple.com/HT213987">https://support.apple.com/HT213987</a></p> <p><a href="https://github.com/flyyue2001/cve/blob/main/D-LINK%20-DAR-7000_sql_:sysmanage:editrole.php.md"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">D-Link上網安全閘道存在SQL注入漏洞</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/265646319-4149a219-fa7a-45d2-9154-a3b2e336f084.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/265646319-4149a219-fa7a-45d2-9154-a3b2e336f084.png" style="width: 300px; float: right;" /></a>10月初傳出資料外洩事故的D-Link，他們的員工上網安全管理閘道設備DAR-7000被發現有資安漏洞。根據研究人員flyyue2001的揭露，此產品具有SQL注入漏洞CVE-2023-42406，攻擊者一旦觸發漏洞，就有機會透過發送特定的惡意酬載，從而取得管理者權限，並執行任意命令，CVSS風險評分為7.5。這名研究人員也在GitHub上，公布概念性驗證程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.zerodayinitiative.com/blog/2023/10/27/pwn2own-toronto-2023-day-four-results"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員在漏洞挖掘競賽Pwn2Own Toronto 2023找出近60個零時差漏洞</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Master%2Bof%2BPwn%2BLeaderboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Master%2Bof%2BPwn%2BLeaderboard.jpg" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own Toronto 2023於10月24日至27日在加拿大多倫多舉行，本次參賽隊伍找尋漏洞的目標，包含了智慧型手機（Apple iPhone 14、Google Pixel 7、三星Galaxy S23、小米13 Pro）、印表機、Wi-Fi無線路由器、NAS、智慧家電裝置、視訊監控系統、智慧音箱、Chromecast電視棒、Pixel Watch等，其中，在手機的部分，參賽隊伍似乎聚焦三星Galaxy S23，4次成功找出漏洞；另一個熱門目標是Canon無線彩色印表機imageCLASS MF753Cdw，參賽者5度找出漏洞。</p> <p>比賽結果出爐，這次研究人員總共找到58個漏洞，由Team Viettel得到冠軍，拿下30個Pwn大師積分、抱走18萬美元；第二名是Sea Security，得到17.25個積分、11.6萬美元；第三名則是Devcore Intern和Interrupt Labs組成的團隊，得到10個積分、5萬美元。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.cloudflare.com/ddos-threat-report-2023-q3/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">HTTP/2 Rapid Reset攻擊橫行，2023第三季DDoS流量大幅增加</span></span></strong></a></p> <p></p> <p><a href="https://notes.valdikss.org.ru/jabber.ru-mitm/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Akamai旗下子公司傳出遭到駭客鎖定，透過XMPP即時通訊服務監聽</span></span></strong></a></p> <p></p> <p><a href="https://www.horizon3.ai/nextgen-mirth-connect-remote-code-execution-vulnerability-cve-2023-43208/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療資料整合平臺Mirth Connect存在重大漏洞，恐曝露病人敏感資料</span></span></strong></a></p> <p></p> <p><a href="https://news.drweb.com/show/review/?lng=en&i=14767"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意廣告App上架Google Play市集，已有200萬人下載</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-hunters-international-ransomware-possible-rebrand-of-hive/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新興駭客組織</span></span></strong></a><a href="https://www.bleepingcomputer.com/news/security/new-hunters-international-ransomware-possible-rebrand-of-hive/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Hunters International攻擊英國學校，疑為勒索軟體Hive捲土重來</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159530"><strong>【10月27日】研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密資訊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159501"><strong>【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159482"><strong>【10月25日】 6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</strong></a></p> </div></div></div>
2023/10/30 16:57作者周峻佑https://www.ithome.com.tw/news/159548
超過6成的白帽駭客企圖利用生成式AI來發現漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞懸賞平臺HackerOne上周公布了<a href="https://www.hackerone.com/press-release/hackers-surpass-300-million-all-time-earnings-hackerone-platform" target="_blank">2023年的駭客驅動安全報告（Hacker-Powered Security Report）</a>，發現有61%的白帽駭客正在利用生成式AI（GenAI）來開發各種駭客工具，以用來發現更多的漏洞，同時也有62%的駭客打算專注於開放網路應用安全專案（OWASP）所揭露的大型語言模型（LLM）十大安全漏洞。</p> <p>此一報告是HackerOne針對與該平臺合作的逾2,000位白帽駭客，在去年6月至今年9月間所進行的調查，發現駭客尋找並提報漏洞的最大動機是賺錢，占了80%，但也有高達78%是為了學習，另也有47%表示其駭客行動是為了保護企業與使用者。</p> <p>至於這些白帽駭客鎖定的領域中，由網路及線上服務居冠，占了58%，金融服務則占了53%，零售業與電子商務平臺占了48%，電腦軟體占了43%，政府組織為40%。</p> <p>駭客們通常具備多種技術，高達95%擁有網頁應用測試的專長，但也有63%專精於漏洞研究，47%著重在網路滲透測試，40%的長才在於紅隊測試，另有20%擅長社交工程，18%擅長無線滲透測試。而他們主要把這些技術應用在入侵網站，占了98%，55%用來攻陷API，43%攻擊Android程式，23%攻擊開源碼專案，而攻擊iOS程式或桌面軟體則各占17%。</p> <p>駭客們也對新興的GenAI技術感興趣，認為該技術既能提高生產力也能維持競爭力。有66%的駭客表示他們正在或準備利用GenAI來撰寫報告，53%表示欲利用GenAI來寫程式，還有33%說要用GenAI來降低語言的門檻。</p> <p>另有55%的駭客認為GenAI工具本身可望在未來幾年成為攻擊目標，61%計畫開發基於GenAI的工具來發現更多的漏洞，還有62%準備專研來自OWASP的十大LLM漏洞。</p> <p>事實上，現在已經有14%的駭客把GenAI當作重要的工具，也有53%以某些形式使用GenAI。</p> <p>該調查也詢問了駭客選擇參與特定抓漏專案的原因，其中有73%明白表示是因為豐厚的賞金，有50%的原因是預期可找到大量的漏洞，46%是因為範圍的多樣化，另有45%的駭客表明是為了挑戰與學習的機會。</p> <p>至於駭客不提報漏洞的主要原因則包括回應太慢（60%）、範圍受限（58%）、溝通不良（55%）、獎金太低（48%），以及外界風評太差（44%）等。</p> <p>HackerOne的客戶涵蓋了Coinbase、微軟、GitHub、Goldman Sachs、Slack、General Motors、Hyatt及美國國防部等、於2012年成立以來，該平臺已頒發超過3億美元的抓漏獎金，有30名駭客透過該平臺獲得超過100萬美元的獎金，其中一名駭客的總獎金更突破400萬美元。</p> </div></div></div>
2023/10/30 17:24作者陳曉莉https://www.ithome.com.tw/news/159551
Google演算法可用降噪耳機量測心率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.research.google/2023/10/audioplethysmography-for-cardiac.html?m=1" target="_blank">Google一項研究顯示</a>，降噪耳機除了可放音樂外，還能用來監測運動時的心率，而且Google研發的偵測技術，比現行主流技術不受膚色影響判讀準確性。媒體推測，這可能會內建到Google下一代智慧型耳機Pixel Buds中。</p> <p>Google上周在MobiCom2023公布名為心臟監測的聲音體積描記圖（Audioplethysmography，APG）方法的論文，介紹經由耳機偵測心臟健康的方法。這個方法可配合耳道式主動降噪（active noise cancelling，ANC）耳機，來偵測心率甚至心律變異（HRV）等健康量測值。</p> <p>現行以穿戴裝置為基礎的健康偵測，主要是整合光體積變化描記圖法（Photoplethysmogram，PPG）及心電圖（electrocardiogram，ECG）和微控制器，來偵測睡眠、心率、血壓等。但這類方法成本高、較耗電、聲學設計較複雜、還增加裝置重量，使得這種方法也難設計成耳機。另一個問題是，PPG是以光為基礎的偵測，還會受到受測者膚色影響。</p> <p>而主動式降噪耳機則提供另類方法。之前也有人已經發展耳機麥克風來偵測心率、呼吸、身體活動及診斷耳朵疾病。消費者用的耳罩式主動降噪耳機則內建高通濾波器，來過濾掉身體運動產生的聲音或風聲。此外，耳道式耳機的被動聽取訊號，則仰賴耳塞品質好壞。種種因素限制了耳罩式耳機並不適合（小於50Hz的）低頻訊號的被動偵測。而耳道式主動式降噪耳機，則可避免以上缺點。</p> <p>耳道式耳機原理是透過喇叭釋放低密波超音波訊號觸發回音，再由耳機上的回饋麥克風接收。Google開發了一個圓柱回響模型的同調檢測（coherent detection）法來分析APG波型，發現最終的APG波形和PPG波形相似度極高，而且動脈切跡（dicrotic notch）更明顯，這表示能從血壓波形提供動脈系統（如血壓值）更多資訊。</p> <p>Google又使用頻道分集（channel diversity）手法確保提高APG訊號及抗運動雜訊的能力。最後Google發現到偵測最佳心搏波形及心律變異的頻率，在30到32 kHz之間。</p> <p>在測試中，Google小組將其方法套用市售ANC耳機，並以Polar ECG運動量測胸帶作為對照組。他們找來153名受試者進行2次測試，結果顯示APG方法在心率及心律變異的絕對誤差中值分別為3.21%和2.7%，顯示為穩定的準確率。這表示，APG方法不像PPG偵測會受到受試者膚色影響準確率。</p> <p>Google的研究提出比現行穿戴式裝置主流的PPG技術，擁有成本更低、不受使用者膚色影響、適用多種運動、而且軟體升級容易等優點。內建在耳機中，超音波訊號也不會干擾音樂播放，有助於此類產品的普及。</p> <p>本論文是由<a href="https://9to5google.com/2023/10/27/google-anc-earbuds-heart-rate/" target="_blank">9to5Google</a>首先報導。<a href="https://9to5google.com/2023/10/02/pixel-buds-pro-hearing-wellness-conversation-detection/" target="_blank">該網站10月初也報導</a>，Google測試中的Pixel Buds App程式碼分析顯示，下一代Pixel Buds可能包含偵測音量以維持聽力健康，以及可切換降噪和通透模式的對話偵測功能。</p> </div></div></div>
2023/10/30 13:23作者林妍溱https://www.ithome.com.tw/news/159546
塔塔集團收購緯創印度廠，成印度首家本土iPhone製造商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度電視臺《NDTV》（New Delhi Television）<a href="https://www.ndtv.com/india-news/apple-iphone-to-now-be-made-in-india-by-tata-group-4519908" target="_blank">上周揭露</a>，印度最大集團Tata Group（塔塔集團）將買下緯創（Wistron）印度廠，成為蘋果在印度的iPhone製造商，而這也是印度第一個本土的蘋果製造商。至於緯創亦於上周五（10/27）透過<a href="http://mops.twse.com.tw/mops/web/t05st01" target="_blank">公開資訊觀測站</a>公布了此一重大訊息。</p> <p>根據緯創的說明，該公司將把Wistron InfoComm Manufacturing（India）的股權，以1.25億美元賣給TaTa Electronics。TaTa Electronics為塔塔集團旗下的製造公司，專門生產精密零件。</p> <p>此一消息在印度是由當地電子暨資訊技術部部長<a href="https://twitter.com/Rajeev_GoI/status/1717852648064598105" target="_blank">Rajeev Chandrasekhar透過X對外發表</a>，顯示它對印度而言是個重要的消息。Chandrasekhar並說塔塔將接手緯創印度的營運，替蘋果生產於印度及全球銷售的iPhone。</p> <p>《NDTV》則分析，過去蘋果在全球所銷售的iPhone絕大多數是在中國製造，此一交易將推動印度日益成長的製造能力，也讓塔塔集團成為印度首家本土的iPhone製造商。</p> </div></div></div>
2023/10/30 13:41作者陳曉莉https://www.ithome.com.tw/news/159547
聯合國成立AI顧問組織，尋求AI的全球治理方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.un.org/en/story/2023/10/1142867" target="_blank">聯合國（United Nations，UN）上周四（10/26）成立了人工智慧顧問組織（AI Advisory Body）</a>，以研究AI技術的風險、機會，以及全球治理方向。</p> <p>該組織是由聯合國秘書長António Guterres所發起，招攬了來自全球的39名不同性別、區域與背景的專家，預計於今年底前便會針對AI的風險、挑戰、機會，以及如何利用AI來加速永續發展目標（Sustainable Development Goals，SDGs）等議題提出建議。</p> <p>AI在過去一年來的快速進展，特別是ChatGPT的問世，令各界都加速投入了與AI有關的每個面向。而Guterres認為可利用AI來協助解決氣候變遷與停滯不前的17個SDGs，相信AI得以擴大各國政府、民間組織及聯合國的能力，從預測與解決危機，到推出公共衛生與教育服務。</p> <p>Guterres指出，AI Advisory Body是AI治理全球對話的起點，以便盡可能地替全人類帶來利益，同時遏制與減少風險。不過，Guterres也強調，這將取決於AI是否被負責任地利用，且讓所有人都能使用，目前相關的專業知識集中在少數公司與國家，而這很可能會深化全球的不平等，讓數位落差變成鴻溝。</p> <p>其它AI可能帶來的潛在風險還包括加速不實資訊的傳播，進一步強化偏見、歧視、監視、侵犯隱私、詐欺或其它侵犯人權的行為，惡意使用還可能破壞對制度的信任，削弱社會凝聚力，並威脅民主。</p> <p>Guterres自己都覺得AI有點可怕的其中一個例子是，身為葡萄牙人的他在一個AI應用中看到自己用完美的中文進行演講，而且嘴唇的活動與語文完全一致，然而，真實的他並不會說中文。</p> </div></div></div>
2023/10/30 12:33作者陳曉莉https://www.ithome.com.tw/news/159544
傳Google又加碼投資Anthropic 20億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI獲得微軟投資上百億美元，引發其同業Anthropic成為其他科技巨頭競逐的目標。<a href="https://www.wsj.com/tech/ai/google-commits-2-billion-in-funding-to-ai-startup-anthropic-db4d4c50" target="_blank">《華爾街日報》報導</a>，Google又在近日追加投資Anthropic 20億美元。</p> <p>Anthropic是由OpenAI前研發主管Dario Amodei於2021年創立，也有不少OpenAI前員工加入其團隊。Anthropic今年3月發表的AI模型Claude號稱比ChatGPT更為「有幫助、誠實、無害」。該公司今年9月也首度發表了第一個收費AI助理服務Claude Pro。</p> <p>這消息是繼Google 2022年投資Anthropic 3億美元後，再一次大手筆資助的消息。華爾街日報引述消息人士指出，截至今年，Google已經投資這家新創公司5億美元，還同意陸續資助15億美元。CNBC則報導，Anthropic 5月間募得4.5億美元，是OpenAI今年初獲得微軟投資以來，AI業者募資最高的紀錄。</p> <p>Google未評論此事，不過Anthropic的聯合創辦人Daniela Amodei<a href="https://www.cnbc.com/2023/10/27/google-commits-to-invest-2-billion-in-openai-competitor-anthropic.html" target="_blank">向CNBC證實此事</a>。她表示過去幾個月來該公司都在開發最新聊天機器人，有30到35人直接投入底層模型的研發工作。她也表示，AI市場高速成長，因此有極大空間讓多家業者都能成功。</p> <p>OpenAI 2019年獲得微軟投資超過百億美元後，去年11月發表ChatGPT引發生成式AI熱潮，而微軟也將OpenAI的文字AI模型GPT-4、圖片生成模型DALL-E整合到其Windows、Bing、Edge產品中。這也讓Anthropic成為微軟競爭者的心頭好。除了Google外，<a href="https://www.ithome.com.tw/news/158977" target="_blank">Amazon也在9月宣布</a>投資40億美元，除了在AWS的AI雲端平臺Bedrock提供AI模型，也要求Anthropic協助其Bedrock服務及AI晶片的研發。</p> </div></div></div>
2023/10/30 13:00作者林妍溱https://www.ithome.com.tw/news/159545
MLCommons成立AIS工作組，推動AI安全基準測試發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放工程聯盟MLCommons宣布成立<a href="https://mlcommons.org/en/news/formation-ai-safety-working-group/">人工智慧安全（AI Safety，AIS）工作組</a>，該工作組的目標是要建立一個平臺，由許多貢獻者組成測試池，支援各種使用案例的人工智慧安全基準。該工作組最初的重點，將會使用史丹佛大學所開發的Holistic Evaluation of Language Models（HELM）框架，作為大型語言模型開發安全基準。</p> <p>MLCommons是一個開放協作的生態系，目的在於推動機器學習的發展和應用，該組織的重點在於發展基準測試、最佳實踐、資料集和各種共享資源上，以促進機器學習社群的成長與創新。像是該組織在9月時就發布了人工智慧基準測試，用以強化模型推論和儲存評估。</p> <p>雖然人工智慧系統對社會帶來巨大利益，但也存在風險，輸出可能存在毒性、錯誤資訊和偏見，MLCommons指出，人工智慧與其他複雜技術一樣，社會需要一個產業標準的安全測試，在實現利益的同時，最大程度降低風險。</p> <p>MLCommons的新平臺將提供一個機制，讓使用者能夠從測試池中選擇基準測試，並將輸出整合成容易理解的分數，類似其他產業標準的方式，如汽車安全測試和能源之星評分，對人工智慧系統的安全性進行評級。</p> <p>該平臺的短期重點，在於支援嚴謹可靠的人工智慧安全測試技術發展，AIS工作組會運用成員和人工智慧社群的技術與營運專業，用以創建人工智慧安全基準測試技術。而AIS工作組的第一個任務，便是替大型語言模型制定安全基準，以史丹佛大學基礎模型研究中心的研究成果，以及歷經兩年時間開發的HELM框架作為基礎，開發大型語言模型安全基準。</p> <p>除了HELM框架之外，AIS工作組中多個成員，也計畫將內部用於人工智慧安全測試技術公開，與MLCommons社群共享，加速安全基準發展腳步。AIS工作組是一個多學科與跨領域的集合體，專家來自Anthropic、Coactive AI、Google、Inflection、英特爾、Meta、微軟、Nvidia、OpenAI、Qualcomm等多家人工智慧領域重要公司，同時還有來自學術界的Joaquin Vanschoren、Percy Liang與Bo Li等多位人工智慧重要學者。</p> <p>AIS工作組透過整合不同領域專家知識和經驗，共同創建和指導人工智慧安全基準測試技術，該工作組鼓勵社群開放參與以吸引更多專家，加入推動此人工智慧安全議題。</p> </div></div></div>
2023/10/30 12:10作者李建興https://www.ithome.com.tw/news/159529
蘋果修補公開iOS裝置MAC地址長達3年的隱私漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周釋出<a href="https://support.apple.com/en-us/HT213982" target="_blank">iOS/iPadOS 17.1</a>及<a href="https://support.apple.com/en-ph/HT213988" target="_blank">watchOS 10.1</a>更新，以修補3年前起就洩露iPhone、iPad及Apple Watch MAC位置的漏洞。</p> <p>更新修補的漏洞CVE-2023-42846，是由二位研究人員Talal Haj Bakry及Tommy Mysk揭露與通報。蘋果只簡單描述，該漏洞可造成iOS裝置被人經由公開的Wi-Fi MAC位址追蹤。</p> <p>這項漏洞是出在iOS中私有Wi-Fi位址（Private Wi-Fi address）的功能中。<a href="https://support.apple.com/en-us/102509" target="_blank">根據蘋果解釋</a>，裝置在連上Wi-Fi網路時，會公開一組獨特的網路位置，名為Media Access Control（MAC）位置。但因為裝置總是使用固定的位址，這會讓網路營運商和其他觀測網路活動的人，長期下來可以輕易掌握裝置活動和位置，便能追蹤使用者或建立使用者側寫（profiling）。所有Wi-Fi網路上的裝置都受此影響。</p> <p>蘋果從iOS/iPadOS 14及watchOS 7起加入新安全功能，可為每個Wi-Fi網路使用不同MAC位址，名為私有Wi-Fi位址。在此功能下，如果用戶刪除網路設定和內容，下次再連上同一Wi-Fi網路時，就會有不同私有MAC位址。而從iOS/iPadOS 15及watchOS 8起，如果iOS裝置6個月未連Wi-Fi網路，下次再連上該網路，也會換成新的位址。要是用戶設定不記憶Wi-Fi網路，則iOS裝置便不會記錄，除非兩次連網間隔少於2周。</p> <p>不過<a href="https://twitter.com/mysk_co/status/1717541345223389346" target="_blank">研究人員Mysk發現</a>，這個功能根本從iOS 14推出後就未起作用。當iPhone連上Wi-Fi網路時，它會發送廣播呼叫以發掘網路上的AirPlay裝置。而在此時，iOS也會將裝置真實的Wi-Fi MAC位址廣播出去。而在真實MAC網址曝光後，iOS裝置即可能被Wi-Fi網路上的其他人追蹤。</p> <p>本裝置影響的iPhone XS、iPad Pro 12.9吋第2代、iPad Pro 10.5吋及iPad Pro 11吋、iPad Air 3、iPad 6、iPad mini 5以後，以及Apple Watch 4以後版本。</p> <p>蘋果說明此漏洞出在mDNSResponder的一段程式碼錯誤，更新作業系統已移除了有bug的程式碼。</p> <p>最新iOS更新修補的漏洞，還包括可讓非經授權的使用者存取Passkeys（CVE-2023-42847）、讀取隱藏相簿（CVE-2023-42845）、使用Siri存取敏感用戶資料，以及使應用程式存取聯絡人資料（CVE-2023-42857）等18項安全漏洞。</p> </div></div></div>
2023/10/30 12:21作者林妍溱https://www.ithome.com.tw/news/159543
【資安日報】10月27日，研究人員揭露新型攻擊手法iLeakage，可透過推測執行漏洞、用瀏覽器竊取蘋果裝置的用戶機密…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>處理器的推測執行（Speculative Execution）漏洞從2018年首度揭露，不只引起IT廠商關注，推出相關修補程式，研究人員也陸續找出變種漏洞，這類研究過往大多針對x86處理器而來，雖然Arm處理器也存在這類漏洞，但未引起重視。</p> <p>有一組研究人員針對蘋果自製的Arm處理器晶片進行研究，並於近期公布成果「iLeakage」，值得留意的是，這項漏洞研究人員向蘋果通報已超過一年，但直到漏洞揭露，該公司才表示要透過軟體進行修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.pwc.com/gx/en/issues/cybersecurity/cyber-threat-intelligence/yellow-liderc-ships-its-scripts-delivers-imaploader-malware.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織Tortoiseshell發動惡意程式IMAPLoader攻擊</span></strong></a></p> <p></p> <p>會計與管理顧問公司PwC旗下的威脅情報團隊本週提出警告，他們揭露新一波的惡意程式IMAPLoader攻擊行動，幕後主使者是伊朗駭客組織Tortoiseshell（亦稱TA456、Imperial Kitten、Yellow Liderc），從2022年開始，他們鎖定地中海地區的海運、船運、物流業者，進行滲透與破壞。</p> <p>他們先是入侵網站，放上惡意JavaScript指令碼，對連入這些網站的使用者進行身分識別，並且收集上網裝置的資訊、使用者所在位置等資訊，尋找攻擊目標，散布以.NET打造的惡意程式IMAPLoader，此軟體濫用Windows內建的公用程式，建立每一臺受害電腦的個別特徵，並透過電子郵件做為與C2通訊的管道，再從收到的信件下載其他作案工具，執行埋藏在附件中的惡意酬載，隨後以常駐系統服務的形式進行部署。</p> <p>研究人員指出，攻擊者執行IMAPLoader的方式較為罕見，是透過名為AppDomain Manager Injection的手法注入、執行，而這是他們首度看到Tortoiseshell使用這種方式啟動作案工具。除此之外，研究人員也看到這些駭客進行其他網路釣魚攻擊，有些針對微軟帳號而來，有些鎖定歐洲旅館及旅遊業者。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure1-yellow-liderc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure1-yellow-liderc.png" style="width: 580px;" /></a></p> <p><a href="https://www.cert.ssi.gouv.fr/cti/CERTFR-2023-CTI-009/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28透過零時差漏洞，入侵法國政府機關、企業組織、學術機構</span></strong></a></p> <p></p> <p>10月26日法國網路安全局（ANSSI）指出，俄羅斯駭客APT28（亦稱Fancy Bear、Strontium），自2021年下半開始針對該國政府機關、企業組織、大學、研究機構、智庫發動攻擊，先是藉由暴力破解，或是流出的帳密資料資料庫，入侵目標組織網路環境的Ubiquiti路由器，或是存取特定的使用者帳號。</p> <p>在其中一起發生在今年4月的攻擊，駭客發動網路釣魚，誘使收信人執行PowerShell，從而取得目標電腦的系統組態。而在今年3月微軟公布收信軟體Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8）之前，該組織就將其用於攻擊行動，直到今年6月。在這段期間，這些駭客也利用Windows支援診斷工具漏洞Follina（CVE-2022-30190），以及網頁郵件系統Roundcube的已知漏洞CVE-2020-12641、CVE-2020-35730、CVE-2021- 44026。</p> <p>成功入侵目標組織後，駭客利用Mimikatz搜括帳密資料，同時也使用網路滲透工具reGeorg，以及開源服務Mockbin、Mocky。接著，駭客尋找並外洩含有敏感資訊的電子郵件，並利用CredoMap惡意程式竊取瀏覽器儲存的個人資料。由於駭客利用微軟OneDrive、Google Drive等雲端服務架設C2的基礎架構，導致資安人員難以察覺異狀。</p> <p><a href="https://s4.itho.me/sites/default/files/images/anssi-apt28-zero-day.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/anssi-apt28-zero-day.png" style="width: 580px;" /></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/exelastealer-infostealer-enters-the-field"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Python竊資軟體ExelaStealer</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-exelastealer-advert-details.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-exelastealer-advert-details.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露自今年8月出現的竊資軟體ExelaStealer，此軟體為開源程式，以Python打造而成，具備從Windows電腦竊取帳密資料、信用卡、Cookie、連線階段（Session）資料、鍵盤側錄資訊等，開發者在暗網進行廣告宣傳，表明提供付費的訂閱服務，價格相當低廉（1個月20美元、3個月45美元、終生授權120美元）。</p> <p>研究人員認為，這種低價的作案工具降低新手駭客攻擊門檻，他們也看到買家客製化的ExelaStealer檔案，攻擊者大多利用PDF檔案做為散布此惡意程式的誘餌。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-ileakage-attack-steals-emails-passwords-from-apple-safari/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">iLeakage攻擊手法可從Safari瀏覽器竊取蘋果用戶的密碼、電子郵件</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/race-condition.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/race-condition.jpg" style="width: 300px; float: right;" /></a>美國喬治亞理工學院、密西根大學、德國波鴻魯爾大學的研究人員聯手，針對採用蘋果自製Arm處理器的裝置，揭露從中運用推測執行（Speculative Execution）漏洞進行旁路攻擊的手法iLeakage，攻擊者只要透過搭載WebKit排版引擎的瀏覽器，就有機會從採用A系列處理器的iOS、iPadOS裝置，以及採用M系列處理器的Mac電腦，洩露用戶的機密資料。</p> <p>攻擊者先誘導使用者存取惡意網站，利用惡意JavaScript指令碼及WebAssembly程式，讀取所有瀏覽器分頁處理的各種機密資料。研究人員展示在Mac電腦透過Safari入侵受害者的Instagram，以及使用者在iPad、透過Safari登入的Google帳號，取得Gmail信件內容，同時，他們也在平板電腦上，展示另一個相當駭人的攻擊手法：透過Chrome復原YouTube影片觀看記錄。</p> <p>研究人員在去年9月通報上述漏洞，蘋果在macOS Ventura 13.0開始提供相關緩解措施，但該功能預設關閉，所幸目前尚未出現遭到利用的跡象。對此，蘋果對科技新聞網站Ars Technica透露，後續將透過軟體更新予以修補。</p> <p>資料來源</p> <p>1. <a href="https://ileakage.com/">https://ileakage.com/</a><br /> 2. <a href="https://ileakage.com/files/ileakage.pdf">https://ileakage.com/files/ileakage.pdf</a><br /> 3. <a href="https://arstechnica.com/security/2023/10/hackers-can-force-ios-and-macos-browsers-to-divulge-passwords-and-a-whole-lot-more/">https://arstechnica.com/security/2023/10/hackers-can-force-ios-and-macos-browsers-to-divulge-passwords-and-a-whole-lot-more/</a></p> <p><a href="https://securityboulevard.com/2023/10/technical-advisory-f5-big-ip-unauthenticated-rce-vulnerability-cve-2023-46747/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5針對BIG-IP重大漏洞CVE-2023-46747提出警告，呼籲IT人員儘速套用更新程式</span></strong></a></p> <p></p> <p>10月26日資安業者F5發布資安通告，表示旗下的應用交付控制器系統BIG-IP存在重大漏洞CVE-2023-46747，這項漏洞存在於組態設定公用程式，攻擊者可在未通過身分驗證的情況下，透過管理連接埠或是IP位址，存取BIG-IP系統並執行任意系統層級的命令，CVSS風險評分為9.8，影響所有版本的BIG-IP系統，呼籲IT人員應儘速套用更新程式。此外，該公司強調，此漏洞僅影響控制儀表板，資料儀表板不受影響。</p> <p>發現該漏洞的資安業者Praetorian透露，這項漏洞與去年公布的另一個漏洞CVE-2022-26377相關，涉及請求走私（Request Smuggling），該公司預告將在數日後揭露進一步資料。</p> <p>資料來源</p> <p>1. <a href="https://my.f5.com/manage/s/article/K000137368">https://my.f5.com/manage/s/article/K000137368</a><br /> 2. <a href="https://www.praetorian.com/blog/refresh-compromising-f5-big-ip-with-request-smuggling-cve-2023-46747/">https://www.praetorian.com/blog/refresh-compromising-f5-big-ip-with-request-smuggling-cve-2023-46747/</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/citrix-bleed-exploit-lets-hackers-hijack-netscaler-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布Citrix NetScaler重大漏洞Citrix Bleed的概念性驗證攻擊程式碼</span></strong></a></p> <p></p> <p>10月10日Citrix修補旗下NetScaler系統的重大漏洞CVE-2023-4966（CVSS風險評分為9.4），一週後資安業者Mandiant曾提出警告，表示該漏洞已在8月被用於攻擊行動，而這個禮拜有研究人員透露更多細節。</p> <p>資安業者Assetnote比對Citrix提供的更新程式，察覺約有50個功能函式出現更動，而這當中有部分的功能在產生回應過程裡面，會執行額外的邊界檢查，並在OpenID組態的JSON酬載加入特定字串，而有可能在回傳指定功能導致記憶體緩衝區溢位讀取的情況，因此找到利用漏洞的方法。他們也透過影片展示概念性驗證攻擊（PoC），並將這項漏洞命名為Citrix Bleed。</p> <p>同日，Shadowserver基金會提出警告，在上述的漏洞細節及PoC程式碼公布之後，他們隨即看到嘗試利用該漏洞的情況瞬間增加。</p> <p>資料來源</p> <p>1. <a href="https://www.assetnote.io/resources/research/citrix-bleed-leaking-session-tokens-with-cve-2023-4966">https://www.assetnote.io/resources/research/citrix-bleed-leaking-session-tokens-with-cve-2023-4966</a><br /> 2. <a href="https://twitter.com/Shadowserver/status/1717024004488442269">https://twitter.com/Shadowserver/status/1717024004488442269</a></p> <p><a href="https://blog.talosintelligence.com/vulnerability-roundup-oct-25-2023/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露SoftEther VPN、文書處理軟體一太郎漏洞</span></strong></a></p> <p></p> <p>思科旗下的威脅情報團隊Talos近期發布資安公告，被揭露漏洞的產品包括：VPN應用程式SoftEther VPN、日本文書處理軟體一太郎、Peplink Surf路由器，弱點總數為17個。</p> <p>其中，有9個是存在於SoftEther VPN，最嚴重的是CVE-2023-27395，有可能導致記憶體堆疊的緩衝區溢位，而使得攻擊者能夠執行任意程式碼，CVSS風險評分為9.0。其餘的漏洞可分成兩種類型，有4個能用於中間人攻擊（MitM），另外4個則是會導致軟體當機，使得VPN系統出現無法正常服務的狀態。</p> <p>而對於一太郎的部分，研究人員總共發現4個漏洞，攻擊者可引誘使用者開啟惡意檔案來觸發這些漏洞，進而在受害電腦執行任意程式碼。而在Peplink Surf路由器的部分，研究人員找到3個跨網站指令碼（XSS）漏洞，以及3個指令注入漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159528"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google擴大AI抓漏獎勵範圍，新增生成式AI類別</span></strong></a></p> <p></p> <p>微軟近期宣布推出了AI漏洞懸賞專案，並公布對於生成式AI的抓漏項目，現在Google也打算跟進。10月26日Google宣布，他們對於AI漏洞懸賞計畫的範圍，將納入生成式AI，同時該公司對於抓漏類別和獎勵標準也提出說明。</p> <p>Google將漏洞懸賞的類型規畫為提示攻擊（Prompt Attacks）、訓練資料截取（Training Data Extraction）、操縱模型（Manipulating Models）、對抗性擾動（Adversarial Perturbation），以及模型竊取。此外，影響模型的行為或輸出，重建或截取包含敏感資訊的訓練資料，或是可竊取模型權重與結構等關鍵資訊的安全漏洞，都在獎勵之列。特別一提的是，該公司也針對生成式AI新增相關抓漏項目。</p> <p>資料來源</p> <p>1. <a href="https://blog.google/technology/safety-security/google-ai-security-expansion/">https://blog.google/technology/safety-security/google-ai-security-expansion/</a><br /> 2. <a href="https://security.googleblog.com/2023/10/googles-reward-criteria-for-reporting.html">https://security.googleblog.com/2023/10/googles-reward-criteria-for-reporting.html</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cisa.gov/topics/cybersecurity-best-practices/healthcare"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為提升醫療照護產業的網路安全，美國CISA提供一站式工具包</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）、衛生及公共服務部（HHS）、衛生部門協調委員會（HSCC）聯手，針對醫療產業發布線上工具，協助IT人員改善資安，目前這套工具包含下列三種資源：</p> <p>（一）、CISA提供的網路安全健康檢查服務，利用漏洞掃描幫助組織減少攻擊面；<br /> （二）、HHS列出醫療產業網路安全最佳實作，當中提及如何強化網路安全韌性；<br /> （三）、HHS與HSCC合作發布網路安全框架導入指引，協助組織評估、提升網路安全韌性的能力，並提供將網路安全、資訊安全、風險管理進行串連的建議。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://therecord.media/cisa-working-on-national-incident-response-plan"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA正在制訂新版的國家網路安全事件回應計畫</span></span></strong></a></p> <p></p> <p><a href="https://www.csa.gov.sg/alerts-advisories/Advisories/2023/ad-2023-021"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新加坡對於鎖定當地網站的SQL注入攻擊提出警告</span></span></strong></a></p> <p></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織0ktapus持續從事檔案加密及破壞，向受害者進行勒索</span></span></strong></a></p> <p></p> <p><a href="https://blog.talosintelligence.com/attributing-yorotrooper/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織YoroTrooper鎖定獨立國協國家而來</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/stripedfly-perennially-flying-under-the-radar/110903/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體StripedFly利用EternalBlue漏洞，感染百萬臺電腦</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159501"><strong>【10月26日】研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159482"><strong>【10月25日】 6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159454"><strong>【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</strong></a></p> </div></div></div>
2023/10/27 17:04作者周峻佑https://www.ithome.com.tw/news/159530
零售IT雙周報第24期：Cyberbiz推出App市集，上百款Martech工具有標準定價，還能於電商後臺一鍵啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1015~1028)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商Martech串接</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#應用程式市集</span></span><br /> Cyberbiz推出App市集，近200款Martech工具有標準定價省去議價環節，且能於電商後臺一鍵啟用</strong></p> <p>開店平臺系統商Cyberbiz推出<a href="https://appmarket.cyberbiz.io/">Martech App市集</a>，上架超過70家廠商近200款工具。商家選購後，能於電商後臺快速啟用，不需再費時串接系統。目前上架產品包括社群及通訊軟體行銷、跨通路會員管理、獲客、電商代操、電商設計、聊天機器人、廣告投放、直播電商、甚至CDP等。</p> <p>對使用開店平臺的零售業者而言，若要導入外部系統功能，常需要單獨和系統商議價，還得委託開店平臺與外部系統進行客製化串接，花費不少時間與金錢。Cyberbiz App市集上，每個產品都有標準定價，所有商家都會拿到相同價錢，省去了議價環節。不只如此，此次App市集推出，新增了約50家原先沒有和他們串接的系統廠商，等於此平臺新支援了許多不需再客製化串接的外部系統選項，甚至可能用來取代部分平臺原生功能，增加電商客製化彈性。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#RMN</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#廣告自助投放平臺</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#跨通路廣告投放</span></span><br /> 大型零售商RMN如何發展？</strong><strong>Target</strong><strong>推出廣告自助投放平臺並與外部DSP、SSP擴大合作</strong></p> <p>零售業者在經營起自家零售媒體聯播網（RMN）規模後，下一步會怎麼做？美國零售巨頭Target的RMN服務Roundel推出至今，不只能透過自家平臺投放廣告於自家廣告版位，還提供廣告投放數據分析平臺，並支援廣告主利用Target會員數據，透過外部DSP投廣到自家以及外部合作通路。</p> <p>上周，Target更表示將採取開放生態圈策略，來增加自家Roundel業務規模。他們推出廣告自助投放平臺，降低廣告主於自家通路投廣的門檻。同時，還要與更多DSP及SSP合作，使更多廣告主能接觸到自家會員數據及廣告版位。數個月前，他們還開始支援CTV購物廣告。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#訂單履行</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無人機</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#倉儲機器人</span></span><br /> Amazon實驗新型倉儲機器人應用模式，並正式整併無人機送貨到常規送貨流程中</strong></p> <p>電商龍頭Amazon近年不斷實驗用機器人來增加物流中心效率，<a href="https://www.aboutamazon.com/news/operations/amazon-introduces-new-robotics-solutions">近日他們更新了一間德州物流中心的配置</a>，來強化人機協作。此中心以置物箱（Tote）為單位來儲存和搬運貨物。要出貨時，商品置物箱會由機器人取出，送到流水線上。這樣一來，揀貨人員不用親自攀爬或蹲下來尋找貨物，而是一直待在流水線上用一般站姿拿出置物箱中的貨物。撿貨人員取出後，再由機器手臂整理這些置物箱，例如合併兩個半空置物箱的貨物到同一個箱子內，確保置物空間利用最大化，再送回原本貨架。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzqq.png" style="width: 600px;" /></p> <p>Amazon還在測試一種新型人型機器人，外型是兩手兩腳，約一個小孩子身高，可以靈活於倉儲空間移動和揀貨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/qamoij.png" style="width: 600px;" /></p> <p>另外，Amazon將<a href="https://www.aboutamazon.com/news/operations/amazon-prime-air-drone-delivery-updates">無人機送貨正式納入常規送貨流程</a>。也就是說，無人機不再只會從專用訂單履行中心出動，而是會跟其他傳統貨車一樣，從一般物流中心發動。這意味著Amazon不再視無人機送貨為初期實驗方案，而是可規模化投入的送貨方法。他們近期還啟用了一款新型無人機，耐溫能力更好，還能在小雨中飛行。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#巔峰流量控管</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商物流</span></span><br /> Momo今年雙11嘗試透過「雙高峰」行銷模式，來分散巔峰時段流量壓力</strong></p> <p>每逢最大電商購物節雙11，必考題就是能否承受巔峰網路流量。今年，臺灣電商龍頭Momo採取「雙高峰」行銷模式，將部分優惠措施轉移到11月1日，並於11月10日晚上8年便開放隔日的特別優惠。他們期待，這種做法可以分散到站人流，以降低網路乘載壓力。</p> <p>Momo總經理谷元宏表示，今年倉儲容量增加了15%，加上分散檔期模式，希望今年雙11物流能夠更加順暢。不過，Momo原本預期南部物流中心2023年可啟用，因為工程延宕，預計明年Q1末才會正式運作。</p> <p>Momo今年年初表示要進軍廣告業務，目前已經初步開始發展搜尋廣告。不過，谷元宏坦言，目前大部分廣告相關基礎建設仍在建置階段，因此今年雙11流量仍無法帶來具規模的廣告效益。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#會員經營</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#零售媒體</span></span></strong><br /> <strong>統一超開始做客製化行銷推播跟數據行銷服務</strong></p> <p>超商龍頭統一超近期於法說會簡報中，提到他們開始進行「客製化行銷推播」跟「數據行銷服務」。經詢問，統一超並未透露這兩個服務是否有向廣告主或供應商收費，來提供對自家會員精準行銷的服務。不過，至少可以確定，統一超已經開始利用會員數據來進行個人等級行銷。</p> <p>這也與統一超近兩年會員經營策略相符。他們將重心從衝刺總人數轉為增加會員活躍度，透過拓展外部生態圈以及推出更多會員功能，來增加自家會員使用情境，累積更多行為及偏好數據。這些數據便能用於再行銷，進而提供會員貢獻度。目前統一超會員總數接近1,700萬人，活躍度約為40%到45%，會員消費金額占比約一半。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品搜尋</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨零售商導購</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI視覺辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SSO</span></span><br /> BNPL大廠Klarna推SSO、用鏡頭搜商品、實體店面條碼掃描查詢等跨零售商整合功能</strong></p> <p>先買後付（BNPL）大廠Klarna持續發展自家App的跨零售業者導購功能，<a href="https://www.klarna.com/international/press/klarna-taps-ai-for-human-shopping-experience-in-a-major-autumn-product-launch/">近期推出</a>SSO、AI鏡頭搜商品、實體店面條碼掃描查詢。SSO功能可以讓消費者用一組帳號登入不同零售業者網站，享有會員資格，等於進一步強化Klarna消費數據蒐集能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/a5c547e3703ed8a2_org.jpg" style="width: 600px;" /></p> <p>AI鏡頭搜商品與實體店面條碼掃描查詢功能，則是Klarna利用手上跨通路零售商品資料打造而成，前者是利用AI物件辨識功能，比對鏡頭拍攝的物件與他們商品資料庫資料，後者則是在多家零售商實體店面中，掃描商品條碼便能查詢商品評價、其他款式、跨通路比價等資訊，支援超過1千萬件商品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#遊戲電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#瀏覽器遊戲</span></span></strong></p> <p><strong>Macy's推出沉浸式購物體驗，用瀏覽器遊戲結合電商功能</strong></p> <p>大型百貨公司Macy's推出名為<a href="https://www.macys.com/social/mstylelab/journee/">mstylelab</a>的沉浸式電商體驗，以瀏覽器遊戲形式來介紹旗下服飾品牌商品，並整合電商功能，不跳轉頁面即可下單。</p> <p>不同於常見Browser-based虛擬商店，此遊戲以線性解任務形式來逐一介紹重點商品。另一個特色是遊戲中能看到其他同時上線的玩家，添增了一些社群成分，若消費者不熟悉遊戲操作，還可以觀摩其他玩家動作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/macys(1).png" style="width: 600px;" /></p> <p>此遊戲號稱支援所有裝置，不過經實測，耗費資源似乎相當高，遊玩時常有卡頓情況，是必須解決的消費者體驗問題。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#購物輔助</span></span><br /> Amazon推社群電商功能，能要求親朋好友給予購物意見並簡單統計</strong></p> <p>Amazon推出<a href="https://www.aboutamazon.com/news/retail/amazon-introduces-consult-a-friend-mobile-shopping-experience">新購物輔助功能</a>，不過這次不是生成式AI，而是由消費者親朋好友來提供建議。消費者可以透過分享商品連結給其他人，對方點擊後會進入一個回饋頁面，透過表情符號或文字訊息給予購物建議。接著，消費者便能看到類似社群媒體貼文留言的介面，統整他人反應與回饋。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzrac.png" style="height: 450px;" /></p> <p>雖然此功能運作模式相當單純，不過將社群媒體互動功能整合進電商App中，不僅可以減少消費者來回切換不同App，造成購物行為中斷，也可以藉此蒐集更多面向的消費數據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 麥當勞整合全球數位會員身分，推出全球通用版本的App。</p> <p>圖片來源：Cyberbiz、Amazon、Klarna、Macy's</p> <p>資料來源：iThome整理，2023年10月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2023/10/27 17:51作者郭又華https://www.ithome.com.tw/news/159532
Seagate推出24TB硬碟，內建快取容量首度增加至512MB
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seagate_exos_x24_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，硬碟廠商Seagate針對用於多人NAS搭配的IronWolf Pro系列產品線，推出22 TB容量的機型，後續我們也持續追蹤企業級與資料中心硬碟的Exos系列，想知道何時會跟進推出同樣容量的機型。令人意外的是，10月下半，他們突然宣布推出名為Exos X24的新機型，採用傳統磁記錄型（CMR）技術，而且，當中一口氣提供24 TB、20 TB、16 TB、12 TB等4種容量的款式，預計12月量產，屆時會透過通路販售。</p> <p>若用戶需要更大容量的硬碟，Seagate表示，他們對部分雲端業者提供28 TB的Exos X24機型，該款產品採用疊瓦磁記錄技術（SMR）技術。至於30 TB以上的硬碟機型，會是採用熱輔助磁記錄技術（HAMR）的產品，他們預計2024年初開始逐步提高產能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20Exos%20X%20Portfolio-2023-10.jpg" style="width: 600px;" /></p> <p>相較於市面上既有的超大容量硬碟產品，三大廠牌都有20 TB機型，但目前只有Seagate提供24 TB。以WD的資料中心硬碟為例，Ultrastar DC HC570提供22 TB，主打SATA介面規格的Gold系列涵蓋1TB至22 TB，<a href="https://www.ithome.com.tw/review/155878">Ultrastar DC HC670</a>提供26 TB；Toshiba 今年9月推出的<a href="https://www.ithome.com.tw/review/159033">MG10F系列</a>，可提供20TB與22 TB。</p> <p>就內部結構來看，3.5吋外形的Exos X24採用10碟片設計與氦氣封裝，每張碟片提供2.4 TB容量。存取效能方面，Exos X24全系列機型的持續傳輸率最大可達285 MB/s（272 MiB/s），與2021年推出的Exos X20相同。對照其他兩家廠商的20 TB硬碟來看，<a href="https://www.ithome.com.tw/review/148378">WD Ultrastar DC HC560</a>持續傳輸率最大可達291 MB/s（277 MiB/s），<a href="https://www.ithome.com.tw/review/155685">Toshiba MG10系列</a>為281 MB/s（268 MiB/s），<a href="https://www.ithome.com.tw/review/159033">MG10F系列</a>為284 MB/s（271 MiB/s），顯然這些產品的效能都在伯仲之間。</p> <p>而在配備的快取記憶體容量上，Exos X24均內建512 MB，先前推出的<a href="https://www.ithome.com.tw/review/148377">Exos X20</a>、<a href="https://www.ithome.com.tw/review/140114">Exos X18</a>均為256 MB。相較之下，其他兩家硬碟廠商更早之前就引進512 MiB快取，例如，WD至少從Ultrastar DC HC530開始， Toshiba從MG08系列就有這樣的配置。</p> <p>Seagate表示，Exos X24採用進階的快取技術，若以純粹用於讀取的快取或純粹用於寫入的快取解決方案為基準，這次他們推出的新品可達到3倍的提升，適合用於雲端資料中心，以及大規模建置的橫向擴展資料中心應用系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Exos-X24_Comparison2.jpg" style="width: 600px;" /></p> <p>關於耗電量的部分，若以20 TB容量機型相比，Exos X24的6Gb SATA介面機型最大耗電量較少，12Gb SAS介面機型的最大耗電量則與Exos X20一樣，若處於閒置狀態與進行隨機讀寫，Exos X24耗電量略高於Exos X20。</p> <p>在可靠度與安全性方面，Exos X24與Exos X20的平均故障間隔時間（MTBF）均為250萬小時，提供5年有限保固；而且，除了標準機型，用戶可選購自我加密硬碟（SED）機型，若是SAS機型，可額外選購遵循FIPS標準的自我加密硬碟（SED-FIPS），值得注意的是，Exos X24的標準機型內建快速安全刪除（ISE）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20Exos%20X24%20in%20JBOD.jpg" style="width: 500px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Seagate Exos X24</strong><br /> ●原廠：Seagate<br /> ●建議售價：廠商未提供<br /> ●外觀尺寸：3.5吋<br /> ●機械設計：氦氣封裝<br /> ●容量：24TB、20TB、16TB、12TB<br /> ●傳輸規格與提供安全加密硬碟：6Gb SATA（可選ISE、SED）、12Gb SAS（可選ISE、SED、SED-FIPS）<br /> ●支援磁碟格式：4Kn、512e<br /> ●緩衝記憶體：512 MB<br /> ●轉速：7200轉<br /> ●最大持續傳輸率：285 MB/s<br /> ●平均延遲：4.16毫秒<br /> ●平均故障間隔時間（MTBF）：250萬小時<br /> ●工作負載耐用度：每年550 TB<br /> ●耗電量：運作最大為9.8瓦（12Gb SAS機型）<br /> ●重量：685克</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/27 16:29作者李宗翰https://www.ithome.com.tw/review/159483
Google公布AI抓漏獎勵範圍，新增生成式AI類別
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/google-ai-security-expansion/" target="_blank">Google本周宣布</a>，將擴大針對AI系統的抓漏獎勵計畫，進一步納入生成式AI的安全漏洞，同時也<a href="https://security.googleblog.com/2023/10/googles-reward-criteria-for-reporting.html" target="_blank">揭露了該公司AI系統的抓漏獎勵範圍</a>。</p> <p>看起來Google像是跟著<a href="https://www.ithome.com.tw/news/159254" target="_blank">微軟</a>的腳步推出了AI抓漏計畫，但其實Google宣稱先前已將AI系統納入了該公司的漏洞獎勵計畫（Vulnerability Rewards），也與DEFCON在今年9月共同主持了LLM Hackathon競賽，測試Google的AI服務。</p> <p>總之，或許是受到微軟的刺激，或者是沒有太多人搞得懂Google的AI抓漏範圍，而讓Google本周首度公開了AI產品的抓漏獎勵標準。</p> <p>Google的AI抓漏類別包括提示攻擊（Prompt Attacks）、訓練資料汲取（Training Data Extraction）、操縱模型（Manipulating Models）、對抗性擾動（Adversarial Perturbation），以及模型竊取等，舉凡是利用提示來影響模型的行為或輸出，重建或汲取包含敏感資訊的訓練資料，得以改變模型行為，或是可竊取模型權重與結構等關鍵資訊的安全漏洞，都在獎勵之列。</p> <p>除了上述之外，Google也在本周擴大其AI漏洞獎勵計畫，新增了生成式AI類別。Google表示，新的技術需要新的漏洞報告準則，Google正在重新審視如何分類與提報AI漏洞，相較於傳統的安全漏洞，生成式AI出現了不同的問題，例如不公平的偏見、模型操縱或是對資料的誤解，隨著Google日益將生成式AI整合到產品與功能中，內部團隊正全面性地預測與測試其潛在風險，但同時也知道外部研究人員將可協助Google發現並解決新的漏洞。</p> <p>其實<a href="https://blog.google/technology/safety-security/googles-ai-red-team-the-ethical-hackers-making-ai-safer/" target="_blank">Google內部已設立了AI紅隊</a>（AI Red Team），專門模擬針對AI系統的攻擊行動，也<a href="https://services.google.com/fh/files/blogs/google_ai_red_team_digital_final.pdf" target="_blank">發布了報告</a>來說明駭客最可能攻陷AI系統的途徑。</p> </div></div></div>
2023/10/27 16:32作者陳曉莉https://www.ithome.com.tw/news/159528
Amazon公布第三季財報，廣告營收成長26%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.aboutamazon.com/news-release/news-release-details/2023/Amazon.com-Announces-Third-Quarter-Results/default.aspx" target="_blank">Amazon周四（10/26）公布</a>今年第三季財報，該季Amazon創下1,431億美元的營收，比去年同期成長13%，淨收入為99億美元，成長244%。該季Amazon廣告服務的營收成長了26%，訂閱服務營收成長14%，AWS則成長12%。</p> <p>財報顯示，今年第三季Amazon線上商店的營收為573億美元，成長7%；實體商店的營收為50億美元，成長6%；第三方銷售服務的營收為343億美元，成長20%；訂閱服務營收為102億美元，成長14%；廣告服務營收為121億美元，成長26%；AWS營收為231億美元，成長12%。</p> <p>其中，第三方銷售服務涵蓋了佣金，以及相關的交付及運費服務等，而廣告服務則包含了針對賣家、供應商及出版商所提供的贊助式、陳列式與影音廣告。</p> <p>從營業利潤（Operating Income）的角度來看，該季Amazon北美零售業務創下879億美元的營收，營業利潤為43億美元；國際零售營收為321億美元，虧損9,500萬美元；AWS營收為231億美元，營業利潤是70億美元；扣除稅賦之後的淨營收為99億美元，每股盈餘為0.94美元。</p> <p>廣告服務的強勁表現也讓Amazon持續推動相關投資，包括提供廣告的文字生成服務，並<a href="https://www.ithome.com.tw/news/159498" target="_blank">正在測試廣告的圖像生成AI工具</a>。</p> </div></div></div>
2023/10/27 15:24作者陳曉莉https://www.ithome.com.tw/news/159526
OpenAI設立Preparedness團隊來評估通用AI的災難性風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/frontier-risk-and-preparedness" target="_blank">OpenAI周四（10/26）宣布</a>，正在建立Preparedness團隊來評估通用AI（Artificial General Intelligence，AGI）可能造成的災難性風險，並交由麻省理工學院（MIT）的可部署機器學習中心主任Aleksander Madry來主導。</p> <p>OpenAI表示，他們相信前沿的AI模型將超越目前最先進的既有模型，只是這些前沿模型不僅具備造福全人類的潛力，也可能帶來嚴重的風險，管理這些潛在的災難性風險必須知道前沿AI系統被濫用時有多危險，也應建立一個強大的框架來監控、評估、預測及防範前沿AI系統的危險能力，以及倘若AI模型的權重遭竊，駭客會如何利用它們？</p> <p>為了最小化這些前沿AI系統可能衍生的風險，OpenAI打造了一個新的Preparedness團隊，借調了MIT可部署機器學習中心主任Aleksander Madry來負責，將針對各種前沿模型來進行能力的評估與紅隊測試，包括OpenAI在不久的將來所開發的模型，以及那些具備AGI能力的模型，以追蹤、預測及防範各類別的災難性風險。</p> <p>相關的風險涵蓋個人化說服、網路安全、化學/生物/放射性/核（CBRN）威脅，以及自主複製與適應（Autonomous Replication and Adaptation，ARA）。其中，個人化說服指的是以AI建立的個人化內容或建議，來影響個人的行為、觀點或決策，以達到操縱或剝削的目的；至於ARA意謂著AI系統具備自我複製與演進能力，使得它脫離人類的控制，或產生非預期的目標。</p> <p>Preparedness團隊的任務也將包括開發及維護風險意識發展政策（Risk-Informed Development Policy，RDP），闡述該團隊所開發的模型能力評估與監控的方法，並建立一個治理架構。</p> <p>OpenAI已開始招募不同背景的人才加入Preparedness團隊，同時推出<a href="https://openai.com/form/preparedness-challenge" target="_blank">AI Preparedness挑戰賽</a>，鼓勵參賽者設想自己是名駭客，在可無限制地存取Whisper、Voice、GPT-4V及DALLE·3等模型時，有哪些可造成災難的獨特使用情境，前10名將可獲得OpenAI所提供的、價值2.5萬美元的API使用額度。</p> </div></div></div>
2023/10/27 16:03作者陳曉莉https://www.ithome.com.tw/news/159527
微軟Power Platform加入Copilot AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續將AI整合進企業應用。本周在企業應用發表大會上，<a href="https://cloudblogs.microsoft.com/powerplatform/2023/10/03/the-ai-revolution-supercharging-low-code-with-the-power-platform-community/" target="_blank">宣布以Copilot AI強化的網站與流程開發平臺Power Platform</a>。</p> <p>這波新功能包含在對Power Platform的2023年release wave 2功能更新中的數百項功能，預定從2023年10月到2024年3月逐步部署到微軟平臺上。其中包含Copilot，讓使用者以自然語言透過內建的Copilot執行想完成的任務。</p> <p>Power Platform方面，Power Pages、Power Apps及Power Automate都整合了Copilot。首先低程式碼開發商務網站SaaS服務Power Pages中，開發人員可用自然語言描述想要建什麼網站，先讓Copilot生成不同版型及主題的網站地圖及首頁後，再利用內建的設計工具點擊、拖曳自行調整修改，也能以簡單字句描述建立多步驟表單。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-Microsoft%20Power%20Platform-Copilot%20in%20Power%20Pages-2.png" style="width: 600px;" /></p> <p>微軟也透過Power Virtual Agents客製化其AI助理。例如除了結構化資料源外，開發人員也可以直接把網站和非結構化內容加入到Copilot控制，大幅提升嵌入式AI助理的能力。由於微軟將Copilot控制整合到Power Virtual Agents的生成式actions，現在每個App都可以加入強大的Copilot。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-Microsoft%20Power%20Platform-Copilot%20in%20Power%20Apps-1.png" style="width: 600px;" /></p> <p>流程自動化工具Power Automate方面，微軟在流程設計工具（flow designer）版本3中加入Copilot，方便用戶以簡單字句建立流程，已有數萬人使用公開測試版，本周正式釋出。微軟表示依據用戶建議，增加更多流程及action的設定參數。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-Microsoft%20Power%20Platform-Copilot%20in%20Power%20Automate.png" style="width: 600px;" /></p> <p>而為了託管網站的治理和管理，Power Platform原本具備管線（pipeline）可自動化網站上的應用程式生命周期管理（ALM），現在微軟結合Copilot，讓IT管理員以這AI助理生成託管網站上所有應用程式的部署說明及描述，確保符合安全政策。它也能預先提供管理建議及action，並可在管理員指示下執行。</p> <p>除了Power Platform外，<a href="https://learn.microsoft.com/en-us/dynamics365/release-plan/2023wave2/" target="_blank">微軟本周並為商務應用Dynamics 365加入新功能</a>，包括以AI提升ERP資源規畫、財務應用及供應鏈應用的規畫準確性。客戶服務及前線服務（Field Service）也強化Copilot功能等。客戶案例包括英國達美樂披薩、紐西蘭Spark電信、Kodak Alaris、及雀巢等。</p> <p><a href="https://www.ithome.com.tw/news/159442" target="_blank">微軟上周也宣布Security Copilot開放早鳥方案給Microsoft 365等付費用戶</a>，將之整合到Microsoft 365 Defender中，讓付費用戶獲得自動化網路威脅分析、情報及行動建議。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/10/27 14:20作者林妍溱https://www.ithome.com.tw/news/159524
BMW無線充電裝置問題造成iPhone 15 NFC晶片無法運作，影響Apple Pay
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果昨日證實，iPhone 15系列受BMW內建的無線充電設備影響，致使Apple Pay等依賴NFC的功能無法運作。蘋果承諾會於之後釋出修補程式。</p> <p><a href="https://www.macrumors.com/2023/10/25/apple-to-fix-iphone-15-bmw-charging-issue/" target="_blank">《MacRumors》</a>引用蘋果一份分享給蘋果授權經銷商的內部備忘錄報導，蘋果公告，「一小部分新款BMW、Toyota Supra車上無線充電器」會暫時關閉iPhone 15及Plus、Pro、Pro Max系列的NFC功能。蘋果說會於今年稍晚釋出軟體更新解決問題。但這份備忘錄並未公布原因。</p> <p>在iPhone中，NFC晶片是支持Apple Pay及數位車鑰運作的基礎，一旦NFC晶片功能無法運作，iPhone用戶會在Wallet App接到「無法設定Apple Pay」的錯誤訊息，即使他們之前已設定好。</p> <p>從<a href="https://www.macrumors.com/2023/10/01/bmw-charging-may-break-iphone-15-nfc-chip/" target="_blank">今年9月間就陸續有BMW車主抱怨</a>在以車內無線充電器為iPhone 15充電後，NFC晶片就無法使用了。他們的iPhone 15會進入螢幕全白的資料尋找模式，等開機後NFC功能就失效了。一些用戶送修後證實NFC晶片掛掉，雖然得以換新，但換新的iPhone 15還是會碰到同樣問題。</p> <p>蘋果對授權經銷商指出，發生問題時，維修人員可以利用Apple Service Toolkit 2的軟體來重啟NFC晶片。若這招行不通，就只能從硬體解決。針對消費者，唯一方法是聯繫蘋果或授權維修商，蘋果呼籲暫停使用車上無線充電器，並承諾會在過些日子釋出軟體更新解決問題。</p> <p>由於蘋果昨日才釋出 iOS 17.1，因此可能要等iOS 17.1.1或iOS 17.1.2才能解決本項問題。</p> </div></div></div>
2023/10/27 15:10作者林妍溱https://www.ithome.com.tw/news/159525
【全新架構處理器將整合NPU，首款筆電12月問世】英特爾揭行動AI處理器新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年以ChatGPT為首的生成式AI應用的出現，掀起了一波新的AI浪潮，甚至進一步跨入企業應用領域，開始與各種生產力工具相結合，例如微軟、GCP兩大生產力平臺業者今年紛紛將生成式AI技術整合到自家生產力產品中，例如微軟在M365中推出專用生成式AI助手Copilot，GCP則在Workspace服務中推出Duet AI，提供企業使用。</p> <p>可是，這類的生成式AI應用，背後使用的基礎模型，通常都是參數量動輒數千億的大模型，不論是Copilot使用的GPT- 3.5或GPT-4模型，還是Duet AI所採用的PaLM 2模型，皆需要依賴龐大運算資源處理，目前僅有少數跨國雲端業者或大型科技公司才有辦法自行建置，不是任何一家企業都能負擔得起。</p> <p>不過，如果參數量沒大模型那麼多的小模型，例如Meta的Llama 2 7b基礎模型，或是Whisper語音轉文字模型，其參數約70億，現在已經有企業或開發者將這些模型部署到性能較強的PC筆電上執行。</p> <p>企業在筆電上執行生成式AI應用的好處，除了考慮到隱私，避免將內部機敏資料上傳到雲端，降低資料外洩的風險，企業也能結合現有的MDM等管理工具，加強對於生成式AI使用的管控，還能讓模型輸出更貼近使用者身處的情境。此外，因為資料不需要傳輸雲端，直接在本地裝置上就能處理，反應能更即時，還能夠支援離線環境中的使用。</p> <p>但更重要的考量是成本。儘管目前生成式AI的模型訓練仍然在雲端中進行，但是將所有推論任務都在雲端執行成本相當高，如果筆電具備有足夠的運算能力，那麼在本地處理這些任務，可以幫助企業有效節省成本。</p> <p>可是，現今的行動PC處理器架構主要針對文書處理、影音娛樂及遊戲需求而非專為AI或生成式AI應用所設計，使得執行這類應用時，通常需要占用大量GPU運算資源，也相當耗電，不只無法持續性的使用，也容易影響到其他應用的使用體驗可能因此變得不夠流暢，而造成應用執行速度變慢，甚至無法使用。這成了在行動PC上實現生成式AI應用所面臨的挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>在9月底舉行的創新日上，英特爾執行長Pat Gelsinger首度公開展示了第一款整合AI加速引擎NPU，代號為Meteor Lake的行動PC處理器Core Ultra（如上圖右），他更明白表示，PC正進到下一個時代，即AI PC時代。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p><span style="font-size:28px;"><strong>英特爾宣告PC正進到下一個時代，即AI PC時代</strong></span></p> <p>為了應對此挑戰，這兩年來，主要的硬體廠開始在行動PC處理器架構中整合名為神經處理單元（Neural Processing Unit,NPU）的AI加速引擎。不同於傳統的CPU或GPU，NPU是專為加速AI應用而設計，能讓處理器以更節能的方式在筆電上執行AI運算任務，以滿足長時間或連續使用的生成式AI應用需求，同時還能確保其工作負載在筆電中順暢地執行，如同執行一般生產力應用，降低對其他應用程式使用的影響。</p> <p>英特爾今年新的AI處理器戰略正是瞄準了企業行動PC的生成式AI應用需求，而發表了首款整合NPU的行動PC處理器，來因應不斷增長的AI應用所需，特別是生成式AI相關應用。這款新處理器中還結合許多新技術，包括採用了Intel 4製程節點、3D高效混合架構，以及Foveros封裝技術的小晶片設計等。</p> <p><span style="font-size:28px;"><strong>蘋果、AMD相繼投入行動PC的AI加速引擎的研發</strong></span></p> <p>在9月底舉行的英特爾創新日開幕演說中，英特爾執行長Pat Gelsinger明白表示：「AI正從根本上重塑科學和許多領域，帶來新的應用、新的體驗、生產力和創造力，更開創了PC的下一個時代，即AI PC時代。」他甚至以「技術創新的重大變革時刻」來形容AI PC帶動的AI應用浪潮，正如同20年前英特爾Centrino行動運算平臺出現，使Wi-Fi進一步普及，建構出如今的無線網路世界。</p> <p>不過，英特爾不是第一家在行動PC中整合NPU的廠商。早在2020年，蘋果新一代Macbook筆電推出時，就已經將一個可針對AI任務進行優化的NPU，稱為Neural Engine，整合到其自行研發的Apple M1晶片中，能提供媲美GPU的AI算力，但更省電。隨後推出的M2晶片，相較於M1在AI處理性能方面高出40%以上，達到15.8 TOPS。甚至在最新的M2 Ultra處理器中，更擁有高達31.6 TOPS的算力，可以處理更複雜的AI或生成式AI應用。</p> <p>以OpenAI的Whisper語音轉文字為例，一段約40分鐘的中文錄音檔使用相同的small模型（參數2.4億）進行轉換時，在M2 MacBook上執行僅需數分鐘以內就能完成轉換，相較之下，若採用Intel Core i5的MacBook則需要長達兩小時才能完成轉換作業。反映出結合NPU設計的蘋果行動PC處理器，在處理生成式AI工作負載的性能，比一般x86處理器表現更好。</p> <p>除了蘋果在自己的Arm處理器中整合NPU晶片之外，另一家x86處理器大廠AMD在今年上半同樣發表了第一款整合NPU的Ryzen 7040系列處理器。在這款處理器中，他們採用XDNA加速器技術，將NPU整合到單一處理器中，可以提供10 TOPS的AI算力，可用於語音辨識、影像處理等推論任務。</p> <p>今年9月，英特爾正式宣布將搶攻行動PC的生成式AI應用市場，發布了一款代號為Meteor Lake的行動PC處理器Core Ultra，這款處理器不僅兼具低功耗和高效能的特性，還是首款內建NPU可加速AI推論的AI應用處理器，同時也是英特爾首款主打AI PC體驗的處理器產品。</p> <p>Pat Gelsinger直言，AI PC將會從根本上改變個人電腦的使用體驗，「隨著這款處理器的推出，個人電腦正式進到AI PC的時代。」他說。從Pat Gelsinger在會中說的這番話，也揭露了英特爾未來行動PC處理器的AI戰略，將聚焦行動PC上的AI應用，甚至要讓AI變成未來PC上的主流應用之一。</p> <p>在英特爾負責加速運算系統與繪圖的英特爾AXG事業群總經理Deepak Patil指出，過去英特爾處理器在行動PC的AI應用方面，主要集中在增強影音串流、協作、音效處理、內容及遊戲特效等領域，而新推出的行動PC處理器，將能把AI擴展到更多應用領域、整合更多生產力工具、內容創作應用，以及更多的AI語音助手功能。</p> <p>不過，英特爾只靠這款處理器還不夠，微軟的Windows也要必須提供支援，才能真正實現AI PC的應用。</p> <p><span style="font-size:28px;"><strong>微軟新作業系統將與行動PC的AI硬體緊密結合</strong></span></p> <p>早在2018年，微軟在新推出的Windows 10作業系統中就已內建Windows ML功能，不僅讓開發者更容易在Windows應用程式中開發ML的應用，同時也提供英特爾視覺處理單元VPU （NPU的前身）的硬體支援，優化ML工作負載。</p> <p>微軟最近在Windows 11推出時，也特別強化了對於這款新的行動PC處理器的支援，未來在Windows 11筆電中可以利用NPU加速，提高其生成式AI助手Copilot的性能，特別是在內容生成和問題回答處理等方面，可以提供更好的處理效率和回應速度，從而提升用戶體驗。微軟更預告，下一代Windows版本將與英特爾處理器更緊密整合。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>英特爾現場展示了搭載Core Ultra新處理器在行動PC上的AI應用，例如在筆電的音訊編輯軟體中，利用AI生成類似美國樂壇天后泰勒絲（Taylor Swift）風格的歌曲。此外，還展示了在下一代Lunar Lake處理器平臺上執行Stable Diffusion模型的圖片生成功能。英特爾強調，這些AI應用都能夠在離線環境的PC上使用。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">根據英特爾的內部測試，執行Stable Diffusion的圖像生成任務時，如果在處理器中使用NPU，無論在反應時間上和功耗方面都優於不使用的情況。例如，當完全使用CPU處理任務時，需要花費43.3秒，功耗達40瓦，然而，如果採用NPU處理，僅用原先不到一半時間，20.7秒就能完成，功耗降低75%，只需10瓦，也優於GPU的37瓦，整體效率提升了7.8倍。若將NPU與 GPU結合使用，將能進一步縮短處理時間，僅需11.3秒。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p><span style="font-size:28px;"><strong>借助NPU，用筆電進行圖像生成速度比通用CPU更快更省電</strong></span></p> <p>英特爾表示，這款全新架構的處理器同時將CPU、GPU、NPU整合到單一的SOC系統單晶片中，未來將分別負責處理不同類型的AI任務。例如，在執行低延遲的AI應用，需要處理輕量且單一模型的推論，因為不需要複雜運算和記憶體容量，這些任務就會由CPU來執行，若是需要大量平行運算和高吞吐量處理的AI任務，就會使用GPU。至於需要持續處理的AI任務，例如圖片生成等，就能使用低功耗的NPU來完成。</p> <p>英特爾強調，借助NPU的加速AI推論功能，將使企業可以透過行動PC在本地處理小模型的生成式AI應用，同時能夠與雲端大模型進行彼此協作。例如當用戶在筆電裝置上輸入一段提示文字或上傳一張照片來進行生成時，對機敏性較高或者是低延遲的任務，將會在筆電的模型上進行推論。而對於需要更高精度輸出結果或需處理分布在全球大量資料的任務，仍可透過雲端模型執行。</p> <p>根據英特爾的內部測試，在執行Stable Diffusion的圖像生成任務時，當使用NPU時，無論是在處理時間，還是功耗方面表現都優於不使用的情況，整體效率更提升了7.8倍。</p> <p>英特爾現場也實際展示了搭載Core Ultra處理器的AI PC筆電在生成式AI相關應用，例如在筆電的音訊編輯軟體中，利用AI自動生成類似美國樂壇天后泰勒絲（Taylor Swift）風格的歌曲，此外，還展示了在下一代Lunar Lake處理器平臺上執行Stable diffusion模型的圖片生成功能。英特爾強調，這些AI應用都能夠在離線環境的行動PC平臺使用。</p> <p>英特爾這款新處理器預計將在12月14日正式推出，首批搭載該處理器的AI PC筆電的廠商，包括了宏碁等。</p> <p>宏碁在現場展示用Core Ultra處理器的筆電執行圖像生成模型，可以在螢幕桌面中快速生成動態立體的太空人桌布。此外，宏碁還釋出Acer Parallax View工具，讓使用者可以自行在筆電中為圖像增加各種動作的效果，或是利用筆電前置鏡頭來追蹤使用者的臉部輪廓，建立自己的3D人臉。</p> <p>除了即將推出的Core Ultra處理器之外，英特爾公開未來幾年AI PC處理器平臺的藍圖，提前透露了Meteor Lake下一代處理器的代號是Arrow Lake，將使用Intel 20A先進製程技術。此外，還有兩款新產品，代號為Lunar Lake和Panther Lake處理器，預計將在2025年之前推出。這兩款產品皆採用Intel的18A製程。</p> <p>從英特爾最新提出對於可擴充及簡化AI基礎架構的分類，也能夠反映出不同型態的處理器能夠支援處理的推論模型參數的規模。</p> <p>以英特爾AI PC筆電為例，目前主要適合處理參數小於10億的小模型的推論任務，如Whisper語音轉文字模型。如果參數超過10億的話，就可能需要使用一整臺單路x86伺服器進行處理（模型參數介於10到200億之間）。當參數量達到1,000億時，則需使用配備更多GPU或CPU的伺服器處理，這也是目前主流AI基礎架構。當模型參數超過1,000億時，則需配置機架式伺服機櫃建立多節點運算叢集，甚至用於訓練最新型的大模型時，如LLM，需要建置資料中心規模等級的運算叢集。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-4-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 153, 255);">英特爾公開未來幾年AI PC處理器平臺的藍圖，提前透露了Meteor Lake下一代行動PC處理器的代號是Arrow Lake，將使用Intel 20A先進製程技術。此外，還有兩款新產品，代號為Lunar Lake和Panther Lake，預計在2025年之前推出。這兩款產品將採用Intel的18A製程。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1153-cover-P1-600-5-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20%E2%80%93%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#3399ff;">從英特爾對於可擴充及簡化AI基礎架構的分類，也能夠反映出不同型態處理器能夠支援處理的推論模型參數的規模。以英特爾AI PC筆電為例，目前主要適合處理參數小於10億的小模型的推論，如果參數超過10億的話，就可能需要使用一整臺單路x86伺服器處理，當參數量達到1,000億時，通常需要使用多GPU或多CPU的伺服器來處理，也是目前模型推論和微調的主流的AI基礎架構。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p><span style="font-size:28px;"><strong>目標2025年在1億臺個人電腦實現AI應用</strong></span></p> <p>英特爾不只是推出AI加速硬體，還要進一步結合各種行動PC上的應用，發展和擴大AI PC的生態系。</p> <p>為了打造行動PC的AI生態系，英特爾最新發布了一項AI PC的加速計畫，希望透過這項計畫加速AI在整體PC產業的發展，目標2025年在超過1億臺個人電腦上實現AI應用。</p> <p>為了達成這個目標，英特爾還與100多家軟體供應商緊密合作，要共同開發300多項AI加速功能，來提升PC上的AI體驗，涵蓋軟體開發、影像處理、視訊會議、協作、串流遊戲及安全等。首批的合作夥伴包括Adobe、Audacity、BlackMagic、BufferZone、CyberLink、DeepRender、MAGIX、Rewind AI、Skylum、Topaz、VideoCom、Webex、Wondershare Filmora、XSplit及Zoom等業者。</p> <p>在軟體工具支援方面，英特爾這次並沒推出新工具，而是在現有軟體工具基礎上，加強對生成式AI應用的支援，涵蓋模型的訓練、微調、部署與推論等不同階段。例如在新釋出的深度學習應用工具套件OpenVINO 2023.1版中，開始支援臉書Meta的Llama 2等基礎模型的優化功能，來支援雲端和地端的AI模型推論及部署。此外，OpenVINO平臺正式支援Arm硬體，意味著開發者以後更容易開發跨行動PC平臺的AI應用，如高通AI PC筆電等。</p> <p>另外，英特爾目前也正在和Hugging Face合作共同打造支援生成式AI模型推論的軟體加速器，包含提供最佳化AI軟體工具、框架和函式庫等。</p> <p><a href="https://www.ithome.com.tw/article/159522" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1153-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=ojilgN8S" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/10/27 12:00作者余至浩https://www.ithome.com.tw/news/159452
剖析英特爾Core Ultra處理器關鍵特色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾在新款Core Ultra處理器晶片中，不只內建CPU、GPU，還整合了一個可用於推論加速的AI引擎NPU，來提高這款處理器對於生成式AI的處理能力，還採用了許多創新的設計方式，提升其性能和降低功耗。</p> <p>在Core Ultra處理器所內建的這個NPU神經處理單元的前身，來自英特爾旗下Movidius公司所設計的視覺運算單元（VPU），英特爾將其整合到Core Ultra處理器中，並以NPU為名，以提高行動PC的AI推論處理能力。在9月舉辦的年度創新日上，英特爾也首度揭露關於這個NPU更多技術細節和架構。</p> <p><span style="font-size:28px;"><strong>新處理器內建NPU，在AI加速推論和節電表現優於CPU，功耗也遠低於GPU</strong></span></p> <p>英特爾表示，內建NPU的Core Ultrae處理器，能夠以更省電方式提供低功耗的AI推論能力，相較於前一代處理器，當執行AI工作負載時，可以獲得高達8倍功耗效率的改進，特別適用於處理需要持續性的AI應用或AI卸載任務。</p> <p>儘管目前英特爾尚未公布這顆NPU的確切AI算力，但從英特爾公布的測試數據，能夠一窺這個NPU在AI任務方面的表現。</p> <p>根據英特爾的內部測試，在使用Core Ultra筆電處理Stable Diffusion圖像生成模型推論，進行20次迭代的圖像生成任務時，分別在CPU、GPU、NPU執行，結果顯示不論在處理時間或功耗方面，NPU的表現都優於CPU，甚至功耗也遠低於GPU。例如NPU上執行所有任務需要20.7秒，僅是CPU處理時間的不到一半，同時功耗更降低了75%，只有10瓦，大大提高了能源效率，甚至優於37瓦的GPU，整體效率更提升了7.8倍。若將NPU與GPU結合使用，處理時間還能進一步縮短，僅需11.3秒。</p> <p>實際處理AI任務時，英特爾表示，NPU除了將與CPU、GPU協同合作，以加速AI工作負載，還能根據任務的類型來分配適合的硬體資源處理，滿足不同應用場景的需求。例如對於執行低延遲的AI應用，需要處理輕量且單一模型的推論任務時，因為不需要複雜運算和大量記憶體，這些任務將由CPU來執行。若是需要大量平行運算和高吞吐量處理的AI任務，就會使用GPU處理。至於需要持續處理的AI任務，例如圖片生成等，可以利用低功耗的NPU來完成。藉由這種協同工作的方式，在不同AI任務之間達到效能和能耗最佳化。</p> <p><span style="font-size:28px;"><strong>翻新行動PC處理器架構，採用模組化、多晶磚設計</strong></span></p> <p>相較過往的行動PC處理器，Core Ultra處理器採用了許多創新的設計方式，例如這款處理器採用了新的系統單晶片（SOC）架構，也就是模組化、多晶磚（Tile）架構，由SOC、運算、繪圖、I/O等多個晶磚組合而成，同時將不同功能的CPU、GPU、NPU整合到單一的SoC晶片中。此外，還能透過一組頻寬高達128GB/s的Scalable Fabric高速通道與內部各元件，包括NPU、繪圖、影像和媒體元件及I/O晶磚等進行連接，藉此縮短資料交換的時間。</p> <p>Core Ultra處理器採用Intel 4 製程（相當於台積7奈米製程），並且使用了效能核心（P-core）和效率核心（E-core）的效能混合架構來設計CPU，最高配置可達14核心（6個P-core和8個E-core），兼具有高效能和省電的特性。此外，還改善核心排程方式，達到更高CPU利用率。還搭配性能更強的GPU，每瓦的效能比前一代Iris Xe GPU高出2倍。</p> <p>在這系列處理器中，還採用了Foveros先進封裝技術，透過3D堆疊，實現不同功能的晶片堆疊，不論是晶片連接密度、能源效率和傳輸速度都大幅提升不少。</p> <p><span style="font-size:28px;"><strong>電源管理採用模組及彈性架構，實現能源使用效率優化</strong></span></p> <p>在電力管理上，英特爾在這款處理器中建立了模組化和可擴展的 PM 電源管理架構，可提高頻寬和能源效率。在I/O介面設計上，英特爾採用新做法，取代過去僅靠中央的Ring Fabric通道進行資料交換的做法，改直接透過SOC內的SOC Fabric通道來與記憶體控制器、媒體等不同元件連接，讓資料傳輸過程減少壅塞的情況。此外，也支援了最新PCIe 5.0與 Thunderbolt 4 。</p> <p>Core Ultra處理器將在12月14日推出，宏碁將率先推出該處理器的行動PC。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>英特爾CEO：不只行動PC，未來伺服器CPU設計得有新變革，因應生成式AI應用需求</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0box%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E8%8B%B1%E7%89%B9%E7%88%BE%20-%E5%9C%961%20-%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影_余至浩</span></span></p> <p>生成式AI在今年掀起一股新的AI風潮，不少大型雲端業者、科技公司都在今年大規模部署GPU伺服器，用來訓練自己的LLM模型，然而，現今的晶片設計主要是針對雲端運算需求而非專門為LLM模型訓練而設計，這導致LLM模型的訓練成本非常龐大。以OpenAI的GPT-3模型為例，該模型擁有1,750億個參數，需要龐大算力，訓練成本高達165萬美元。使用GPT-3開發的ChatGPT在推論方面的成本更高，每月燒掉4千萬美元。這不僅大大增加了企業成本，對地球資源、環境永續性也可能產生影響。</p> <p>在9月英特爾創新日會後一場記者會上，英特爾執行長Pat Gelsinger明白表示，未來伺服器晶片發展需要新變革，來因應生成式AI的應用需求，整合更多先進技術，包括先進電晶體技術、先進封裝技術、先進通訊及先進記憶體技術等。尤其，他特別點出，現今的晶片封裝技術是阻礙AI發展的一大瓶頸，得加以解決。</p> <p>經過一段時間的研發，英特爾近日發表可用於下一代先進封裝的玻璃基板，與傳統的基板相比，這種新型基板可以大幅提升半導體封裝的電晶體數量，而且具備有省電和更好的散熱特性，可用於封裝生成式AI晶片。這項技術最快3年後開始量產。</p> <p>又以先進記憶體技術為例，英特爾開始支援MCR DIMM規格的記憶體，如明年將推出的Granite Rapids處理器，就已導入這項技術，藉以增加伺服器平臺的記憶體頻寬，以滿足資料密集型的的工作負載，如LLM模型參數訓練所需的記憶體。在矽(silicon)架構上，英特爾引進3D矽堆疊設計，以提供更高的處理效能，來滿足LLM模型的運算需求。近年來，許多企業應用程式中都開始結合AI功能，這也使處理器中提供AI支援能力變得越來越重要，Pat Gelsinger表示，這是英特爾決定要建構AI產品線的原因，除了將AI技術帶進行動PC之外，英特爾還有兩大人工智慧產品，分別是Xeon可擴展處理器和AI訓練加速器Gaudi。</p> <p>英特爾在第4代Xeon可擴展處理器中開始內建了AMX進階矩陣延伸功能，使得它能夠針對在CPU上執行的AI算法進行加速，尤其在處理大型語言模型等工作負載時，搭配Xeon Max系列可提供高達20倍的加速效能。英特爾明年還將有一款主打高效能的Granite Rapids伺服器處理器將推出，將進一步提升其AI處理效能。</p> <p>針對AI模型訓練，英特爾則是推出了AI訓練加速器Gaudi，目前已發展到了第二代產品，搭載更多張量處理器核心與HBM。根據測試結果，在執行多模態的BridgeTower模型的性能表現上，Gaudi2效能表現優於去年發表的Nvidia H100 GPU，有高達1.4倍。此外，下一代Gaudi3很快將在明年推出，甚至還有一款支援雙精度浮點運算（FP64）的Falcon Shores GPU未來將問世。</p> <p><a href="https://www.ithome.com.tw/article/159522" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1153-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=ojilgN8S" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2023/10/27 12:00作者余至浩https://www.ithome.com.tw/news/159485
兩校合一加速資訊系統汰換，陽明交大以遠距實現跨校區學習
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內以醫學為主的陽明大學和以理工著稱的交通大學在2021年2月1日正式合併，全新的「國立陽明交通大學」（簡稱陽明交大或陽交大）8個金字在陽明交大光復校區校門口亮相，陽明交大在5個縣市共有9個校區，約有2萬名學生，透過合併擴大教學研究領域，培育醫學與資工跨領域人才。</p> <p>然而，過去各自教學研究領域不同，導致校風、文化迥異，合校至今不滿3年，推動校內資訊基礎建設、資訊系統發展的陽明交通大學資訊技術服務中心主任施仁忠直言，內部仍處於磨合期。</p> <p>施仁忠自清華大學取得資訊工程博士班畢業後，在當時國內缺乏資訊工程人才，政府鼓勵資訊教育培養人才，因此他在入伍前，先進入交通大學資訊科學系擔任副教授，僅教授一個學期便入伍服役，當時不少資工人在高薪下選擇赴海外工作，他選擇留在交大，投入培育國內資工人才，擔任資訊科學系教授的他，曾兼任交大計算機中心副主任，毛治國出任交通部長，他被借調至交通部擔任科技顧問室主任兼資訊中心主任，借調期滿之前回歸交大任教。</p> <p>陽明與交通大學合併，由於資訊技術服務中心位於北投及光復校區，為了推動跨校區的資訊業務發展，他每周兩次北上台北的北投校區，施仁忠認為合校之後的最大挑戰是文化上的差異，「文化影響行政業務上的執行，同一個業務，在兩個學校的執行上是不一樣的」，施仁忠說。</p> <p>例如對學校行政業務上相當重要的校務系統，這些校務系統包括人事、主計、研究等等，在合校之前，陽明大學、交通大學各有行之有年的校務系統，為了及早為合校準備，兩個學校在2020年下半年各自校務會議通過合校之後，陽明與交大的資訊單位就開始討論如何整合這些系統。</p> <p><span style="font-size:28px;"><strong>資訊系統整合仍在磨合期</strong></span></p> <p>然而，從校務會議到隔年2月正式合校，時間相當短，加上各單位長年使用這些系統，行政人員已養成使用習慣，要他們使用陌生的系統會引發排斥，對陽明交大資訊技術服務中心而言，兩校合併後的資訊系統整合是一大挑戰，需要時間做好溝通。</p> <p>在完成資訊系統整合之前的過渡階段，依照不同校務系統及使用需求，一部分業務可能先使用原本陽明大學系統，另一部分則使用交大的系統，或是選擇打掉重練開發新系統，以及根據兩校相關單位意見來修改既有系統，讓雙方都能接受。</p> <p>以教務系統為例，教務系統因為牽涉到學生資料，合校後必需將兩個學校的學生資料整合，考慮到交大的教務系統相對比較完整，因此他們選擇採用交大的教務系統，並將陽明的學生資料轉換過來，必需讓原本陽明大學教務單位熟悉使用這套系統。</p> <p>然而，現有的教務系統已使用十多年，當初系所課程設計比較單純，並且採用舊工具開發，到現在已變得難以跟上彈性、多變的課程設計需要，例如跨學系修課，學士學位學程，或是大一、大二不分系等等，現代大學教育在課程設計或學生選課上變得更為彈性，舊的教務系統已很難跟上現代的需要，最終目標還是以開發新的教務系統，以滿足愈來愈彈性、依照學生個人興趣設計的課程需要。</p> <p>另一個在校務運作的核心系統則是人事系統，牽涉到教職人員，但是因為兩校的人事事務差異相當大，因此決定針對需求開發新的人事系統，兩校的人事室單位共同討論每個業務的程序如何做。</p> <p>施仁忠表示，系統整合方面遭遇的最大挑戰來自人，技術問題反而是其次，必需克服原本同仁的使用習慣，其次是必需克服兩邊單位的本位思維，原本兩校各自有人事單位，各自的人事系統行之有年，認為各自的做法才是正確的，現在要開發新的人事系統，必需先確立一致的需求，兩方的人事單位意見分歧，即使是細微的事情，都需要花費相當多時間去討論，將意見慢慢收斂、形成共識，才能確立需求規格開發新的人事系統。</p> <p>為了克服人事業務上分歧的意見、形成共識，他們每周開會2次，每次會議至少2小時，每周至少4個小時會議時間，討論人事系統的需求規格，「即使合校已超過2年，現在仍處於嬰兒時期，系統整合的討論仍在進行」，施仁忠說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E9%99%BD%E4%BA%A4%E5%A4%A7-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89-600.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>陽明交大資訊技術服務中心主任施仁忠表示，資訊單位在校內扮演工具的角色，協助處理校務行政各方面的需求，並建立好的網路環境，以服務教學及研究的需要。</strong></span></span>　<span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>強化資訊安全</strong></span></p> <p>除了來自合校的內部系統整合需求，這幾年政府高度重視資安，主管機關教育部也嚴格要求之下，陽明交大身為第二級機關，面臨不小的資安壓力，需遵守對應的資安要求。</p> <p>施仁忠表示，兩校合併，不僅僅要從功能面考慮系統是否符合現在的需求，也應從資安的角度，審視早期開發的舊系統資安風險高低，因早期開發的資訊系統，到現在可能存在不少的資安漏洞，需更新修補維護，透過此次合校的機會，重新審視各個資訊系統的資安風險，最理想的方式是納入資安設計重新開發新系統，但是在人力、經費、時間有限之下，先針對比較重要的核心資通訊系統定出優先排序，排序較低的舊系統仍以修補漏洞強化資安。「這是我們現在面臨的問題，這些都需要人力，都是蠻大的負擔」，他說。</p> <p>先前提到的人事系統就是陽明交大成立後，優先排序開發的核心資通訊系統之一，其他還有主計系統，施仁忠表示，涉及人（個資）和錢（資金）的系統屬於校內的核心資通訊系統，長遠的理想目標是重新開發系統，將資安、功能各方面需求納入設計。</p> <p>依照國內資安法規，大學被列為第二級資安機關，然而，相較於政府機關嚴格要求，對大學的資安要求卻相對寬鬆，此外，大學、研究所為高等教育環境，每位教授都有高學歷，個人意識較高，也增加大學推動資安規定的難度。</p> <p>這幾年臺灣遭到對岸網路攻擊增加，大學也成為被攻擊的對象之一，政府高度重視資安下，數位部成立資安署，各部會包含教育部提高對下級機關符合資安等級的要求，使得大學的資安要求受到重視。</p> <p>例如政府規定公務機關或公家單位人員，每年都必需接受至少3小時的資安教育課程，施仁忠直言，這項政策以前在校內推動效果並不好，接受資安課程的比例不到一半，在他接掌資訊技術服務中心後，以過去在交通部嚴格推動資安的經驗，為了提高陽明交大校內接受資安課程的比例，他先從行政單位著手，再擴大到教學研究單位，以學院為單位，一級一級向下推動到各個系統，每周都會統計各學院上課時數達標的比例，公布尚未達到資安課程規定時數的比例，帶動學院間的競爭意識，加強推動資安課程時數的做法也獲得高層重視，固定舉行的一級主管會議公布各學院推動成果，校長敦促各學院落實。</p> <p>由於行政人員、教職人員平時繁忙，為了方便他們接受資安課程，資訊技術服務中心蒐集專門以公務機關人員為主的資安課程影片，例如社交工程攻擊、DDoS等單位的影片，將這些影片放置於入口網，讓行政或教職人員隨時隨地可通過手機下載，在工作空檔觀看影片。透過這些方式，行政單位的資安課程時數達標比例已有百分之百，教學研究單位除了少數學院比例僅過半之外，平均而言全校已超過90%。</p> <p><span style="font-size:28px;"><strong>提升資通訊基礎建設，以遠距教學克服跨校區學習問題</strong></span></p> <p>除了資訊系統整合，校區的資訊基礎建設也需要改善，尤其是北投校區，過去該校區因為以醫學、生醫領域為主，對資通訊不是那麼熟悉，加上對網路品質的要求僅是能用就好，北投校區的校園網路品質遠遠落後其8個校區，加上網路設備老舊。</p> <p>因此，陽明交大投入數千萬元整個翻新北投校區的網路架構及設備，以學生相當重視的宿舍網路為例，原先北投校區宿舍網路只有200至300Mbps，現在一舉提高到1Gbps，一個房間4個床位提供4個網路插孔，每個孔提供獨立1Gbps，讓北投校區的網路服務水準和其他校區對齊。</p> <p>至於校內無線網路方面，即使學生早上在新竹光復校區內使用Wi-Fi，連接至校內無線網路服務NYCU，下午移動到北投校區，不需調整連網設定，電腦打開就能自動連接無線網路NYCU。施仁忠表示，陽明交大統一9個校區的校內無線網路服務，讓教職員、學生不論在哪個校區，都能使用相同的校內無線網路環境。</p> <p>校方為培養跨領域人才，學校建立跨領域的學程，鼓勵學生在醫學生醫、理工資訊的跨領域學習，舉例來說，陽明交大資工系就和牙醫、醫學、護理三個系合作設立跨領域學程，另外，醫學系內也設有醫師工程組，除了原本學習醫學領域的知識，也會接受資訊工程相關課程，資工的知識應用在醫學領域，對學生未來在醫學領域，應用數據分析、AI有更大的發展及助益。</p> <p>然而，跨領域的學習對一般大學可能不是太大的問題，但對於有9個校區的陽明交大而言，跨校區學習就是必需解決的問題，例如生醫、資工的跨領域學習，課程可能分散在台北北投及新竹光復校區，儘管學校提供交通車，讓老師與學生搭乘，但往返北投校區和光復校區上課，兩地移動需要花費不少時間，為了克服跨校區上課的地理距離限制，除了利用課程規畫安排、提供學生住宿減輕跨校區學習的辛苦，在COVID-19疫情期間用於克服老師與學生無法到校上課的遠距教學，即使在疫情過後回歸實體課程的現在，遠距教學仍然受到校方重視。</p> <p>為此校方打造遠距教學教室，除了可利用遠距教學教室的設備，讓老師能提高遠距教學上課品質，老師也可以選擇自己熟悉的視訊會議軟體，和學生進行線上教學，除了現場遠距教學，也可將上課內容錄製為影片檔，在學校的網路資源分享平臺開放檔案下載，讓不便到實體課堂上課，或是人在國外的外籍學生也能觀看。</p> <p>「資訊單位在校內扮演工具的角色，協助處理校務行政各方面的需求，並建立好的網路環境，以服務教學及研究的需要」，施仁忠說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>陽明交大資訊技術服務中心主任施仁忠</strong></p> <p>學歷：清華大學資訊工程博士</p> <p>經歷：入伍前先在交大資訊科學系擔任副教授，退伍後仍於交大任教，升任教授，曾任系主任、計算機中心副主任，2009年借調至交通部，擔任科技顧問室主任兼資訊中心主任，期滿前回到交大，2021年擔任陽明交大資訊學院副院長，去年8月接任資訊技術服務中心主任</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>國立陽明交通大學</strong></p> <p>地址：新竹市大學路1001號</p> <p>成立時間：2021年2月1日合校</p> <p>主要業務：教學研究</p> <p>校長：林奇宏</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：陽明交通大學資訊技術服務中心主任</p> <p>資訊部門主管姓名：施仁忠</p> <p>資訊部門人數：約65人</p> <p>IT預算：約3,000至4,000萬元</p> <p>資訊部門分工：技術發展組、校務資訊組、網路系統組、諮詢服務組</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2020年：陽明、交通大學兩校校務會議通過合校決議。兩校資訊單位為合校作準備</p> <p>2021年：兩校正式合併為陽明交通大學，翻新北投校區網路架構及設備，提高北投校區網路服務水準</p> <p>2021年：合校後兩校原本的校務研究單位合併為校務大數據研究中心，蒐集校務資訊提供校方決策，大數據研究中心推出校園小幫手，結合Line提供校內生活資訊</p> <p>2023年：資訊技術服務中心線上諮詢服務導入ChatGPT，提供24小時線上資訊技術諮詢服務，正確回答準確率達95%</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wen_bin_-yang_jiao_da_-tu_1-she_ying_-hong_zheng_wei_-960.jpg" width="960" height="420" alt="" title="陽明交大資訊技術服務中心主任施仁忠　（攝影／洪政偉）" /></div></div></div>
2023/10/27 12:00作者蘇文彬https://www.ithome.com.tw/people/159486
行動PC的AI時代來了!
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1153-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=ojilgN8S" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果3年前推出內建AI加速的行動PC，今年，兩大x86處理器大廠相繼推出專用NPU，來加速AI技術落地PC。英特爾更宣布，AI PC是處理器的新戰略方向，要讓任何軟體都能更快更容易使用生成式AI，未來還要打造AI PC應用生態系</p> </div></div></div>
2023/10/27 12:49作者余至浩https://www.ithome.com.tw/article/159522
打通AI生產力最後一哩
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提高員工生產力是生成式AI目前最受到關注的應用場景，尤其兩大生產力套件巨頭，微軟和Google，紛紛在新一代生產力產品中，加入了生成式AI助手，不論是Microsoft 365中的Copilot，或是Workspace的Duet AI，都大大改變了我們原本辦公日常的作業方式。</p> <p>可是，當你使用ChatGPT時，是用手機？平板？筆電？還是桌機呢？我想大多數人的答案不是筆電，就是桌機，尤其要用ChatGPT來輔助複雜的文書處理時，或者像我這一陣子，常一邊打開試算表操作問卷調查數據分析，也同時在文書處理工具上撰寫分析文章。單靠手機或平板，多半無法更有效率的進行不同的編輯操作，或在不同軟體、文件之間切換操作的過程，這個辦公處理最常見的應用場景，還是需要能用鍵盤操作的筆電或桌機。這兩類裝置仍舊是一般員工日常辦公的主要生產力設備。</p> <p>可是，目前不論是ChatGPT、Copilot、Duet AI這類生成式AI都是SaaS形式提供的服務，仍舊需要連上網路才能使用。必須透過雲端提供的其中原因是，高達數千億個參數的生成式AI模型，就算只是運用現成模型來生成，仍需要大量算力才能順利完成。</p> <p>你若像我常在一般筆電上執行OpenAI的語音轉文字模型Whisper，若選擇了15億參數量的Large版本，半小時採訪錄音還是得跑上幾個小時才能完成，更不用說動輒上百、上千億的模型，幾乎得花上一天才能得到一次生成的結果。</p> <p>可是，不見得隨時都能夠擁有穩定的網路，在飛機上，作業工廠中，大樓地下室或是偏遠地區，網路不見得穩定、持續，就連SaaS模式的Workspace，都提供了離線運作的版本，讓你可以在斷網情況下，繼續使用Gmail、文件編輯等。可是，目前在斷網情況下，還能繼續使用Copilot、Duet AI嗎？答案是還不行。這個用來協助提高員工生產力的AI助手，仍有一項關鍵的缺點，就是怕斷網。這個用AI強化生產力的最後一哩，遲遲沒有普遍性的通用解法，直到最近。</p> <p>英特爾今年要推出一款內建了AI加速晶片模組NPU的行動處理器，可以用來打造出內建AI加速功能的筆電，英特爾以AI PC來形容，來強調這將是一種全新的筆電類型。英特爾不是第一家在CPU內建AI加速晶片的處理器業者，早在2020年，蘋果就在MacBook筆電中，採用了自行研發的Apple M1晶片，當時就開始內建了AI任務優化的NPU，類似於GPU，可以提供比GPU更省電的AI算力，目前最新款的M2 Ultra，已經可以提供到31.6 TOPS的算力，是M1的2倍多，可以處理更複雜的AI或生成式AI應用。</p> <p>x86平臺的處理器則要等到今年，2023年AMD先在6月發表了首款整合NPU的Ryzen 7040系列處理器，同樣將NPU整合到單一處理器中，來加速AI運算效能，可以提供到10 TOPS的算力，可以用於處理語音辨識、影像處理等推論任務。</p> <p>英特爾即將上市的Core Ultra處理器，同樣強調可以以更省電的方式，來提供低功耗的AI推論能力，根據英特爾的數據，執行同樣的AI任務，相較於前一代處理器，內建NPU的新款處理器可以提供高達8倍功耗效率的改進，可以用來處理需要持續性的AI應用或AI卸載任務。</p> <p>英特爾展示了一個讓人驚艷的內部測試成果，用熱門的Stable Diffusion來執行同一個圖像生成任務時，單用CPU，需要43.3秒才能產生一張圖，若改用NPU處理則只需要20.7秒，而且功耗也降低75%，若將NPU與GPU配合，處理時間還能夠進一步縮短到11.3秒。10秒一張圖，可以不用明顯地等待算圖，就能拿到一張新圖，在操作過程中，將等待算圖對辦公作業的干擾，甚至是打斷情況，減少到最低。</p> <p>隨著英特爾內建NPU的新款處理器的出現，這也意味著，筆電也有機會在斷網情況下，繼續使用生成式AI來進行推論，影響生產力的最後一哩路，終於打通了。</p> <p><a href="https://www.ithome.com.tw/article/159522" target="_blank"><span style="color:#ffffff;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1153-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=ojilgN8S" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai-pc">AI PC</a></div></div></div>
2023/10/27 12:58作者王宏仁https://www.ithome.com.tw/voice/159523
GovTech月報第23期：政府打造PPDR救災通訊系統，以確保災害發生時救災單位優先通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0922~1023)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">救災</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">PPDR</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部與內政部、電信業者演練教災通訊系統，確保災情發生時救災單位優先通訊</strong></span></p> <p>數位發展部與內政部、三大電信業者合作，首次演練我國「公共安全與救災應變」(Public Protection and Disaster Relief, PPDR)通訊系統，當災害無預警發生時，確保救災單位可優先使用電信業者仍持續運作的通訊網路基礎設施。</p> <p>數位部也與內政部消防署，以及臺中市、臺南市消防局分隊合作，在南投縣竹山鎮展示成果，進行PPDR小規模演練，利用PPDR通訊演練遠距醫療、無人機空中勘災。</p> <p>數位部指出，美國、韓國已建立PPDR機制，臺灣的PPDR是由政府建置核心網路，並介接三大電信業者的基地臺，當重大災害發生時，由電信業者協助將部分頻寬調撥供救災單位使用，救災單位使用特殊的SIM卡。透過和電信業者合作，PPDR可以在災害發生時，網路壅塞或中斷時，使用未毀損的基地臺，確保救災單位優先通訊。</p> <p>數位部也會在2024年、2025年持續推動PPDR系統建置，並對地方的救災單位進教育訓練，並且研究多個機關使用PPDR的可行性，以及部署方式、成本效益。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/p2owmkz3_lk3%20(1).jpg" style="width: 300px; height: 675px;" /></p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">歐洲</span></font></strong></p> <p><span style="font-size:22px;"><strong><span class="s1" style="font-kerning: none;">歐洲央行將於11月進入數位歐元準備階段</span></strong></span></p> <p>歐洲推動數位貨幣有新進展，歐洲央行近期宣布結束2年的數位歐元調查階段，11月將進入為期2年的準備階段，除了將制定數位歐元的管理規則，也將選出數位歐元平臺及設施供應商。</p> <p>歐洲央行是在2021年啟動數位歐元專案(Digital Euro Project)，首先進入2年的調查階段，探討數位歐元各方面問題，包括設計、分派方式等等，在結束調查後也提出報告，將數位歐元視為現金的數位形式，可支援線上及線下使用，可應用於歐元區的數位支付領域，包括個人間的匯款。</p> <p>雖然歐洲央行研究及設計發行數位歐元，但也強調數位歐元的發行，必需由歐盟制定數位歐元的相關法規後，才會交由歐洲央行審理，該行也宣示數位歐元並不會取代現金的地位，數位貨幣與現金將會並存。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">打詐</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">簡訊</span></font></strong></p> <p><span style="font-size:22px;"><strong><span class="s1" style="font-kerning: none;">政府打詐再進一步，啟用111政府專用短碼簡訊平臺</span></strong></span></p> <p>為防止不法分子假借政府名義發送簡訊給民眾進行詐騙，造成民眾財產上的損失，政府近期啟用111政府專用短碼簡訊平臺，從簡訊發送的源頭建立信任，當民眾收到以政府名義發送的簡訊，只要看到111短碼，就能確信該簡訊發自政府機關。</p> <p>行政院先前核定以111作為政府簡訊專用短碼，由數位部打造政府專用的簡訊平臺，作為政府機關發送簡訊的信任管道，並協調電信業者配合，唯有使用該平臺發送的簡訊才能使用111短碼傳送簡訊，避免民眾被假冒政府名義的詐騙簡訊所欺騙。</p> <p>首波測試包括數位部、中研院、衛福部、法務部、勞動部、臺南市政府參與，未來也會開放給更多中央政府及地方政府加入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/crgvmued_cqd%20(1).jpg" style="width: 300px; height: 537px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生物辨識</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">身分</span></font></strong></p> <p><span style="font-size:22px;"><strong><span class="s1" style="font-kerning: none;">新加坡機場將採用生物辨識加快自助通關</span></strong></span></p> <p>新加坡政府通過移民法修法調整，準備在2024年在樟宜機場導入生物辨識技術，作為旅客自動化通關身分驗證，為繼杜拜後，全球第二個採用的機場。</p> <p>新加坡政府表示，受到疫情衝擊而減少的旅客，目前入境旅客已恢復疫情前的水準，導入新技術的自動查驗可讓旅客更快的查驗身分通關。新加坡將成為全球實施免護照自動通關的少數國家之一。</p> <p>未來入境新加坡的旅客，使用自助式通關時需完成首次註冊，依指示提供護照、掃描指紋，製作為電子護照，當旅客出境時，使用自助式查驗系統就不需出示護照。為避免蒐集個資疑慮，新加坡政府指出，這些資料將保留一段時間後移除。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">桃園市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">IoT</span></font></strong></p> <p><span style="font-size:22px;"><strong><span class="s1" style="font-kerning: none;">桃園市政府啟用智慧垃圾桶，結合IoT可自動通知清運垃圾</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dc8a7496-5bd5-45ce-a9a6-6e4cc7a9e6e3.jpg" style="width: 600px; height: 496px;" /></p> <p>桃園市政府啟用首個iTrash智慧垃圾桶，結合IoT技術，自動偵測垃圾量，當垃圾裝滿8成時，自動向清潔人員發送訊息，通知垃圾清運。</p> <p>過去由於無法得知垃圾桶裝載容量，清潔人員需巡視各地的垃圾桶，人口密集地區垃圾量較多，垃圾桶因為裝不下，可能導致周圍環境髒污，而比較人少的地區，垃圾桶可能很久才會裝滿。因此，桃園市環保局導入智慧垃圾桶，搭配管理系統，智慧垃圾桶內的感測器，自動偵測垃圾量，8分滿時自動以Line通知清潔人員，管理系統蒐集各處垃圾清運需求，建議最佳清運路線，降低清運成本。</p> <p>這座智慧垃圾桶還提供資源回收，民眾投入回收物，可獲得回饋金儲值到悠遊卡，此外，還提供Wi-Fi熱點。桃園市環保局已規畫在人口密集區設置大型的智慧垃圾桶，在人口較少、無法供電的地區則採用電池式的小型智慧垃圾桶。</p> <p>目前桃園市已在大溪老街、平鎮各設置一座iTrash智慧垃圾桶，採租賃方式，明年計畫再增加8座。至於小型智慧垃圾桶，今年規畫設80組，明年再增加83組。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">手機錢包</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">身分</span></font></strong></p> <p><strong><span style="font-size:22px;"><span class="s1" style="font-kerning: none;">減輕實體身分證件攜帶負擔，科羅拉多州開放民眾將身分證、駕照加入Google錢包</span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-10-26%20%E4%B8%8B%E5%8D%886_11_54.jpg" style="width: 600px; height: 261px;" /></p> <p>美國科羅拉多州政府車輛管理局近期宣布，民眾可將州政府身分證及駕照，加入Google Wallet錢包，降低民眾攜帶實體證件的不便，只要透過手機上的Google錢包，就能通過機場的身分檢驗。</p> <p>科羅拉多州為開放民眾將身分證、駕照加入的Google錢包，該州明確指出，證件加入手機行動錢包，並非代替實體證件，但可視為實體卡片功能的延伸，用於TSA運輸管理局的PreCheck身分檢查站。在此之前，美國其他州，例如馬里蘭州、亞利桑那州、喬治亞州也開放民眾使用。</p> <p>除了Google Wallet，科羅拉多州民也可以將身分證、駕照存放於Apple Wallet中，包括iPhone及Apple Watch，同樣可用於交通運輸的身分查驗。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">自動駕駛</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新北市</span></font></strong></p> <p><strong><span style="font-size:22px;"><span class="s1" style="font-kerning: none;">新北市淡水智駕巴士開放民眾預約乘車</span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%99%BA%E9%A7%95%E9%9B%BB%E5%B7%B4%E9%9B%99%E8%BB%8A%E8%B7%AF%E5%8F%A3%E5%B7%A6%E8%BD%89%E9%81%8B%E8%A1%8C%E6%B8%AC%E8%A9%A6%EF%BC%8C%E5%AE%8C%E5%96%842%E8%BB%8A%E9%96%93%E6%BA%9D%E9%80%9A%E8%83%BD%E5%8A%9B.jpg" style="width: 600px; height: 450px;" /></p> <p>新北市在淡水新市鎮地區推動的智慧電動巴士，在今年4月實車無載客測試後，近期開始為期2個月的載客測試，民眾可線上預約搭乘智駕巴士，行駛經過淡海輕軌共5個站點，路線2.8公里。</p> <p>行駛在淡水新市鎮的智慧電動巴士，主要以接駁民眾為主，第2期測試，行車速度從原本的時速15公里提高到25公里，智駕電巴還結合車對車通訊(V2V)，當啟動雙車聯動模式，兩輛智駕巴士可以相互「溝通」，分享車輛行駛狀態相互配合，可以類捷運的運輸方式，或是根據行駛路線，車隊編組、解除編列、重新編組。</p> <p> </p> <p>圖片來源／數位部、桃園市政府、科羅拉多州政府、新北市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.桃園市消防局利用5G虛擬網路，提高救護車緊急救護效率</strong></p> <p><strong>2.國內首顆自製氣象衛星發射</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div> </div></div></div>
2023/10/27 10:48作者蘇文彬https://www.ithome.com.tw/news/159510
【iThome 2023資安大調查系列2】金融業企業資安風險圖（2023～2024）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-jin_rong_-feng_xian_tu_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融業向來是產業資安的模範生，不論在資安自信心和資安預算都居各產業之冠，2023年金融業的資安預算更是高達了5,607萬元，比2022年成長了17.9%。一方面是金融主管機關這兩年越來越積極要求金融資安作為，不只大力要求金融機構設立資安長等資安治理作為，今年更發布了金融資安行動方案2.0，是全球第一個帶頭鼓勵產業擁抱零信任的金融主管機關。這些作為都再次驅使金融產業加碼資安投資。</p> <p>這些資安法規的要求，再加上金融業積極推動數位轉型，擁抱更多現代化資安作法，金融業2022年遭駭指數創新低，只有11%，是從2018年，我們開始追蹤臺灣大型企業資安災情以來，五年內的最低點。換句話刷，金融業一年只有39天處於脆弱期，只有一個多月，足足是高科技製造業的10個月脆弱期的八分之ㄧ。</p> <p>不過，金融業對於這個資安災情還不滿意，目前金融業平均發生的重大資安事件減少到了14.3次，平均發現攻擊時間也只有1.6天，但在系統遭駭後的平均復原時間仍然需要1.1天。這個復原速度，對於身為關鍵基礎設施產業的金融來說，仍舊是需要進一步改善之處。尤其，有許多金融服務的要求是不中斷的服務，一但停擺，對民生和經濟都會產生很大的影響。</p> <p>雖然金融業的資安預算相較其他產業寬裕，但是金融資安長仍然覺得還需要再多2成預算，才足以因應金融產業所面臨的資安威脅。如何更有效聚焦衝擊大風險高的威脅，也是金融業資安長每年例行的重要課題。</p> <p>從整體資安態勢來看，未來一年，金融業需要特別注意的首要風險有兩項，包括了駭客和社交工程手段的威脅。駭客威脅向來是金融業特別警戒的資安風險，這幾年都是首要風險。但，社交工程手段過去對金融業來說，屬於發生風險高但衝擊較低的資安項目，社交工程手段在2022年的衝擊影響排名第七，發生風險排名第二，但是到了2023年，社交工程手段的影響突然大幅提高，甚至超越了資料外洩的影響，和資安漏洞帶來的衝擊並列，而發生風險更超越了駭客威脅，一舉成為金融業未來一年最可能發生的資安風險Top1。</p> <p>生成式AI的熱潮，提高了企業對社交工程威脅的擔心，金融業尤其擔心ChatGPT淪為輔助攻擊工具，也因此而更意識到，這類生成式AI可以助長社交工程手段的自動化和客製化，因而，金融資安長們提高了未來一年對社交工程手段的警戒心，因此拉高了這一項的風險等級，與駭客攻擊並列會金融兩大威脅。金融業也是唯一一個在衝擊高風險高的第一象限中，出現ChatGPT成為輔助攻擊工具的產業，更凸顯了金融業對這一項風險的擔心。</p> <p>另外，值得注意的是，除了2大首要風險，攻擊級攻擊組織的威脅，成了金融業未來一年也需要留意的次要威脅。2024年是臺灣的大選之年，以往年經驗來看，每到大選年都會出現更多駭客攻擊事件和威脅，尤其是來自國家級組織的威脅，也會在的大選年嚴峻許多。金融資安長們對於這一項資安風險的擔心，也反映到調查結果，讓這一項成了金融業今年突然驟增的風險項目，因此，我們也以紅色字體標註來強調。</p> <p>除了這三項之外，在衝擊高發生風險高的第一象限中，還有其他值得優先留意的風險項目，包括了釣魚網站、網路犯罪者的攻擊、資安漏洞事件、資料外洩事件、勒索軟體資安事件（相較於其他產業，金融業對於這一項的擔心較低，風險等級不像其他產業列入首要風險，但仍是第一象限等級的威脅）、軟體供應鏈資安事件以及先前提到的ChatGPT成為輔助攻擊工具的威脅。</p> <p>其中，軟體供應鏈資安事件逐漸受到重視的原因，與金融業積極擁抱雲原生技術有關，這幾年金融業積極擁抱容器技術、微服務架構等，也連帶採用了許多開源軟體和開源技術，這些技術背後使用了許多來自開源社群或各式各樣的上游開源元件，也讓金融業對於這些元件的安全性提高警覺，因此更在意軟體供應鏈的威脅，不過，國內目前對於強化軟體供應鏈安全的SBOM機制，採用意願和動力還不高，少數金融業自行建立安全開源軟體清單的作法，限制開發團隊只能從這份審核過的開源軟體清單中，選擇適用的元件，而不能任意使用外界開源軟體，來降低軟體供應鏈的威脅。</p> <h3><span style="color:#0000FF;"><strong>金融上雲再鬆綁恐提高2大資安威脅的風險等級</strong></span></h3> <p>未來一年，還有一項值得關注的金融產業技術發展趨勢，就是金管會再次鬆綁了金融上雲法規，銀行局、保險局、證期局的上雲規範同步大鬆綁，不僅統一了法遵步調，也大幅簡化上雲申請流程，這將在2024年驅使金融業展開新一波加速上雲的浪潮。</p> <p>這次鬆綁最大變革是大幅簡化了上雲申請流程，只有重大消金系統放上境外公雲，需要每件都申請，其餘上雲只要有首例核准，其他銀行即可自行辦理，不用再申請。這會加速金融業更積極上雲，也會帶動金融業採用雲原生技術的發展。但這也意味著，有兩項目前列在第四象限（衝擊低發生風險低）的資安項目，雲端供應商為跳板的攻擊，以及雲端服務資安事件，這兩項可能會在2024年突然驟增，進入了第一象限，成了金融業必須特別留意的新風險。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1151-%E9%87%91%E8%9E%8D-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%A4%A7)-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E9%87%91%E8%9E%8D-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%B0%8F)-PNG.png" style="width: 600px;" /></a></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。</strong></span></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong><strong style="font-size: 14px;">。</strong></span></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);"><strong>資料來源：2023 iThome CIO大調查，2023年7月</strong></span></span></p> </div></div></div>
2023/10/27 12:01作者王宏仁https://www.ithome.com.tw/article/159273
第一銀行揭2025數位轉型策略，擴大全行以客戶需求導向驅動業務開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>第一銀行今日在臺北金融科技論壇揭露了2025數位轉型策略，第一銀行數位銀行處副處長彭仁主表示，未來將在AI智慧驅動、協作共創和數位敏捷力等議題持續投入人力培育，以提升數位成熟度，及數位產品的市佔率，更要開始全面地將數位轉型規模做大做深，讓每個單位和員工，都能以客戶需求為導向，應用科技推出商品和服務。</p> <p>第一銀行數位帳戶iLEO自2019年上線，根據金管會統計，截至今年第二季，已累積近150萬帳戶數，全臺金融機構排名第四。彭仁主點出，iLEO的成功關鍵在於以客戶需求作為導向，當客戶有需求時，就快速調整或引進新服務。因此，第一銀行將這項理念擴大至所有單位，以資訊現代化、產品數位化、市場創新化三大方向作為2025數位轉型策略，透過業務跟技術中臺推動敏捷架構，逐步減降淘汰瀑布式開發，要讓全行都能以客戶需求進行開發，結合各式各樣科技推出新服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4444.png" style="width: 600px;" /></p> <blockquote><p>第一銀行要以業務跟技術中臺推動敏捷架構。（圖片來源：第一銀行）</p> </blockquote> <p>此外，彭仁主表示，第一銀行已在數位發展的道路上，走到買不到科技的轉捩點。他解釋，過去某家銀行買了一種科技，其他銀行也會跟進，導致各家銀行都提供相似的服務。不過，當他們開始以客戶需求導向進行開發時，便發現現有科技難以追上客戶越來越前瞻的需求。</p> <p>因此，第一銀行於今年10月成立「前瞻共創基地」，要透過產官學研合作，創造新科技和競爭力，以實現從無到有的數位轉型的願景。他們以跨單位專題小組的模式，建立敏捷融合團隊，要以實驗驗證、學習導入、擴大實施及持續精進四大步驟累積更多敏捷開發經驗。第一銀行日前提過，前瞻共創基地將會探索以FIDO取代傳統企業身分驗證的可行性，針對法人客戶開發服務。</p> <p></p> </div></div></div>
2023/10/26 22:51作者李昀璇https://www.ithome.com.tw/news/159512
iLeakage攻擊將迫使蘋果裝置外洩用戶機密資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ileakage.com/" target="_blank">一群研究人員於本周揭露了iLeakage</a>，它是一個推測執行旁路攻擊，宣稱只要透過WebKit瀏覽器就能攻陷採用蘋果A系列與M系列處理器的蘋果裝置，迫使這些裝置外洩用戶機密資訊，像是服務登入憑證、Gmail內容或是YouTube歷史紀錄等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-ileakage-1.png" style="width: 600px;" /></p> <p>研究人員指出，近年來蘋果積極以自製的Arm處理器，來取代蘋果裝置中所使用的英特爾產品，坊間已有大量關於x86處理器的分析報告，卻較少探索蘋果生態體系，使得他們決定著手調查蘋果生態體系對推測執行旁路攻擊的承受力。</p> <p>他們首先針對蘋果處理器進行反向工程，並藉由一個新的推測執行工具克服了蘋果的計時器限制，在建立許多Eviction Set之後；接著分析Safari瀏覽器的旁路攻擊耐受度，繞過其安全機制，得以推測性地讀取及外洩Safari渲染過程中任何64位元指標；再透過一個可把不同網域的網站整合到同一位址空間的新方法，成功執行了iLeakage攻擊，使裝置洩露機密資訊。</p> <p>其攻擊手法是誘導使用者造訪一個惡意網站，利用惡意的JavaScript與WebAssembly讀取其它分頁的機密資訊。研究人員以影片示範了如何在macOS上以Safari登入受害用戶的Instagram帳戶，該名用戶使用了LastPass的自動填入密碼管理功能，以及成功在iPad上藉由使用者已以Safari登入的Google帳戶，取得Gmail的內容，也能在iOS上成功恢復利用Chrome瀏覽器，所觀賞的YouTube歷史紀錄。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=Z2RtpN77H8o" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1027-ileakage-%EF%BC%92.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;"><a href="https://www.youtube.com/watch?v=Z2RtpN77H8o" target="_blank">圖片來源_iLeakage Authors</a></span></span></p> <p>Chrome瀏覽器之所以也被涉及是因為根據蘋果的規定，iOS上的所有瀏覽器都必須採用與Safari相同的WebKit瀏覽器引擎。意味著iOS上的其它瀏覽器也無法倖免。</p> <p>研究指出，只要是使用蘋果A系列或M系列處理器的macOS與iOS裝置，包括iPhone、iPad，以及2020年及之後的蘋果筆電與桌機，都可能會受到iLeakage攻擊的影響。</p> <p>這群研究人員早在去年的9月12日便向蘋果揭露了相關研究，蘋果已於macOS中設計了緩解措施，但其預設值是關閉的。迄今研究人員尚未發現相關漏洞遭到濫用的證據，卻也說就算真的被攻擊也很難偵測到。蘋果則向<a href="https://arstechnica.com/security/2023/10/hackers-can-force-ios-and-macos-browsers-to-divulge-passwords-and-a-whole-lot-more/" target="_blank">《Ars Technica》</a>透露，已計畫在未來藉由軟體更新來解決相關漏洞。</p> </div></div></div>
2023/10/27 08:58作者陳曉莉https://www.ithome.com.tw/news/159516
Jina AI開源第二代文字嵌入模型，整體表現接近OpenAI同級模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國人工智慧新創Jina AI開源了該公司的第二代文字嵌入模型<a href="https://jina.ai/news/jina-ai-launches-worlds-first-open-source-8k-text-embedding-rivaling-openai/">jina-embeddings-v2</a>，新模型現在可以處理多達8,192個token上下文長度。以大規模文字嵌入基準（Massive Text Embedding Benchmark）評估jina-embeddings-v2的能力，整體來說已非常接近同等級模型OpenAI text-embedding-ada-002的表現。</p> <p>jina-embeddings-v2是完全由Jina AI開發團隊研發、收集資料集和調校的新模型，能力較前一版本大幅提升，其最重要的進步，便是能夠處理8,192個token上下文長度。可以處理更長的上下文，也就代表模型可以應用的領域更為廣泛，像是可以分析法律文件，更細緻地捕捉法律文件中的細節，或是從財務報表中解析關鍵資訊，進行財務預測，也能夠用於開發對話機器，以應對複雜的用戶查詢。</p> <p>在大規模文字嵌入基準的排名中，開源的jina-embeddings-v2排名第17，與商用的OpenAI text-embedding-ada-002的15名相去不遠，而且在分類、重新排序、檢索和摘要生成等自然語言處理任務，jina-embeddings-v2的表現已經超越text-embedding-ada-002。</p> <p>目前用戶可以從Huggingface免費下載jina-embeddings-v2模型，官方釋出兩個模型版本，第一個是針對學術研究或是商業分析等高準確性需求任務設計，大小為0.27 GB的基礎模型，另一個則是適用於輕量級應用程式，能夠整合行動應用程式或是供運算資源資源有限的裝置使用的小型模型，容量只有0.07 GB。</p> <p>Jina AI持續擴展jina-embeddings-v2模型，正著手開發API平臺，供用戶能夠根據需求簡單擴展使用規模，同時Jina AI也將擴增jina-embeddings-v2的能力，支援更多的語言。</p> </div></div></div>
2023/10/27 09:11作者李建興https://www.ithome.com.tw/news/159507
Safari 17.1完整支援新媒體串流API，iPhone串流影片更省電省頻寬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple正式向iOS 17、iPadOS 17，還有macOS Sonoma、macOS Ventura與macOS Monterey推送<a href="https://webkit.org/blog/14735/webkit-features-in-safari-17-1/">WebKit for Safari 17.1</a>。而Safari 17.1這個版本特別之處，在於iPhone版本也添加了Managed Media Source API，而這是Apple之前在iPad與Mac就新增的影片串流低階工具包，主要是提供一種新的串流方法，節省串流影片所消耗的電量與頻寬，對於小電池容量的行動裝置續航力特別有幫助。</p> <p>WebKit的Managed Media Source API是一個由Apple推出的API，目的是要改善串流媒體播放的效能和效率。在Safari 17.0的時候，就已經在iPad和Mac上加入，而到了Safari 17.1又進一步擴展到iPhone上。開發者可以使用Managed Media Source API這個低功耗工具包，最佳化串流媒體的播放。</p> <p>雖然播放影片對現在的行動裝置來說並非一件困難的事情，但是要在不下載非必要資料，且不耗費過多電力的前提下播放高品質影片，就不是一件簡單的任務，主要是應用自適應位元率串流（Adaptive Bitrate Streaming，ABS）技術來達到這個目標，自適應位元率串流會根據網路速度和裝置功能，動態切換媒體資料格式。</p> <p>而過去要達成自適應位元率串流，會使用一種稱為MSE（Media Source Extensions）的低階工具包，讓網頁擁有更多控制權管理媒體快取和解析度，但是Apple提到，MSE並非萬能，特別不擅長管理快取層級、網路存取和媒體變體選擇，此外，MSE還會消耗大量電力，導致電池較小的行動裝置續航力下降。</p> <p>Apple在WWDC23中提出的Managed Media Source API，便是MSE的補充方案。Managed Media Source API會把控制權交給瀏覽器，而非網頁應用程式，因此瀏覽器可以更全面控制媒體串流，細緻地對記憶體使用和網路條件作出反應，讓行動裝置播放串流媒體更有效率，還能善用5G網路的效能優勢。</p> <p>簡單來說，Managed Media Source API能夠節省頻寬和電池續航力，使裝置在用戶觀看影片時擁有更好的續航力。目前Managed Media Source API支援需要滿足特定條件，除非存在AirPlay來源選項，或是明確停用遠端播放功能時，該功能才會被啟用。Apple已經向W3C媒體工作組提案，要正式標準化Managed Media Source。</p> </div></div></div>
2023/10/27 09:16作者李建興https://www.ithome.com.tw/news/159515
【iThome 2023資安大調查系列2】整體產業企業資安風險圖（2023～2024）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1151-feng_mian_-shi_da_feng_xian_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業到了每年第四季，會開始規畫隔年的IT計畫，高達7成CIO，會將資安列為每一年的首要優先項目，但是，企業可以投入的資安預算有限，甚至不少資安長認為，資安預算還得多3成才會夠用。如何將有限的資安預算用在刀口，得聚焦主要資安風險，優先來強化防護，這正是我們從2021年開始發布臺灣企業資安風險圖的目的。</p> <p>以下分三個部分來介紹今年資安風險圖的內容，第一個部分總結風險圖的解讀，第二部分則介紹資安風險圖的製作過程，讓大家更了解如何解讀風險圖的呈現，第三個部分則會介紹企業如何製作自己的資安風險圖，可用來跟產業資安風險圖進行比較。</p> <h3><strong><span style="color:#0000FF;">如何解讀企業資安風險圖？</span></strong></h3> <p>這張圖依據兩大因素的程度高低來繪製出每一項資安風險項目在企業資安風險圖中的落點，包括了對企業衝擊的高低，以及未來1年發生的可能性高低。以垂直Y軸代表該項目對企業的衝擊高低，風險項目所在的位置越往上，代表對填答資安長們評估未來一年這一項對企業的衝擊越大，而水平X軸則是指企業未來1 年發生該項目的可能性有多高，落點位置越靠右側，代表越多資訊安評估，該項發生的可能性越大。</p> <p>整體來看，這張圖分為四個象限，右上角是衝擊高發生風險高的第一象限，左上角第二象限則是衝擊高但發生風險低，右下角是第四項象限發生風險雖高但衝擊低，左下角則是衝擊低發生風險也低的第三象限，用來呈現每一區風險項目的大概分類。第一象限是企業最需要高度警戒的區域，每一項都得留意。</p> <p>企業可以從比較不同風險項目的相對位置，來看出這些風險之間的衝擊差異或是未來一年發生可能性的高低差異，例如，社交工程手段和釣魚網站的Y軸高度差不多，就代表兩者帶來的衝擊差不多，但是，社交工程手段的X軸位置，比駭客攻擊更靠右邊，也就是社交工程手段未來一年發生可能性比釣魚網站發生的風險更高的意思。</p> <p>另外，也特別將發生風險顯著比去年增加很多者的風險項目，改用紅色文字來標記，提醒企業這是未來一年必須格外留意的風險。衝擊高、發生風險也高的第一象限，名列其中的風險，都是企業需要優先關注的項目。</p> <h3><strong><span style="color:#0000FF;">未來一年整體資安態勢分析</span></strong></h3> <p>從今年整體資安態勢來看，2023～2024年企業要面臨的首要資安風險項目是「勒索軟體資安事件」以及「駭客」的威脅。次要風險項目也有兩項，包括了「社交工程手段」和「釣魚網站」的攻擊。</p> <p>從發生風險來看，社交工程手段是未來一年企業最常遭遇的威脅，在過去兩年，2021年和2022年，社交工程手段的發生風險，名列資安項目第四高，但在今年突然竄升為發生風險最高的威脅，一方面也與生成式AI技術的出現有關，ChatGPT這類AI技術，遭到駭客濫用來產生更自動化、更客製化的社交工程手段，甚至可以針對每一個攻擊對象，產生專屬、完全不同的攻擊內容話術，更讓社交工程手段更容易實施，企業也面臨更大的壓力，成了多數資安長們評估，這是2023和2024年發生機率最高的資安項目。</p> <p>從災情調查中可以看到，企業一年平均會遭遇遭過17次重大資安事件，一年資安脆弱的時期長達183天，尤其高科技業的脆弱其更長達10個月之久，在這期間最容易遭遇的資安威脅就是社交工程手段的威脅。而社交工程手段對企業帶來的影響，也在今年名列為第三衝擊的項目，僅次於勒索軟體資安事件和駭客攻擊的影響。</p> <p>若單看衝擊影響，勒索軟體資安事件依舊是對企業影響最大的威脅，這是連續第二年被資安長列為頭後影響的項目，這也大大影響了企業這兩年資料保護、災難備援的作法，甚至資料保存成了資安對策的重點，或是發展成以資料為核心的資安策略。過去兩年，不論在發生風險和衝擊影響都名列前兩名的駭客攻擊，在今年下滑到了第三名的風險，這並非駭客攻擊的風響下降了，而是更自動化的攻擊項目成了更大的威脅，超越了過去由駭客自己動手操作來發動的攻擊威脅。</p> <p>今年是我們第三度製作臺灣企業資安風險圖，如同過去2年的作法，同樣在2023年CIO和資安大調查中，我們請資安長和資訊長，針對三大類共24項臺灣常見的資安風險項目，評估未來一年的發生風險高低，以及對企業帶來的衝擊高低。最後總結出了這一份臺灣在地的未來資安風險地圖，用來反映出臺灣大型企業2023到2024年可能將面臨的威脅。這24項風險分為三類，第一類風險項目是來自不同攻擊者的威脅，包括了來自內部人員、國家級攻擊組織、（惡意）第三方委外業者、網路犯罪者、駭客等5類攻擊者所發動的網路攻擊。</p> <p>第二類則是來自8種不同途徑的威脅，包括了ChatGPT成為輔助攻擊工具、以第三方為跳板的攻擊、以雲端供應商為跳板的攻擊、行動應用的攻擊、物聯網的攻擊、社交工程手段、商業郵件詐騙BEC以及釣魚網站的攻擊。</p> <p>最後一類則包括了11種資安事件的威脅，包括了今年成為熱門話題的ChatGPT資安事件，還有挖礦攻擊、假消息不實資訊事件、勒索軟體資安事件、國家關鍵基礎設施癱瘓事件、深偽技術冒用事件、軟體供應鏈資安事件、雲端服務網路服務資安事件、資安漏洞事件、資料外洩事件、顧客資安事件。去年有3項資安風險項目，在今年清單中移除，包括了硬體供應鏈資安事件，離職員工是攻擊者，競爭公司的攻擊三大類共24項。</p> <p>硬體供應鏈資安事件的發生機率遠低於軟體供應鏈資安事件，因此才在今年移除了這一項，而競爭公司所發動的攻擊則在臺灣較為少見，去年調查中，也被大多數資安長列為最不可能發生的資安風險項目，因此也在今年清單中移除。至於離職員工的風險項目，則是在今年將現任員工的攻擊者威脅和離職員工的攻擊者威脅，合併為內部人員成為攻擊者的威脅，不再單獨列成一項。</p> <p>今年雖然減少了3項風險項目，不過，也新增加了3項，包括了ChatGPT資安事件、ChatGPT成為輔助攻擊工具，另一項則是深為技術冒用事件，這三項都是新興AI技術所伴隨的新風響，前兩項更是呼應了最新的生成式AI浪潮而出現的風險項目。我們想要了解新興AI技術浪潮對企業，帶來哪些資安的風險。</p> <p>金管會這幾年強化了對上市櫃公司資訊安全管理的作為，在「公開發行公司建立內部控制制度處理準則」中，不只要求更多資安人力的設置，例如一定條件下得設置資安長、資安專責人力等，另一方面也要求上市櫃公司必須評估所面臨的資訊安全風險，來配置資源和人力。<br /> 企業可以參考這份資安風險圖，作為一種評估自身資安風險的參考工具，來製作出一份自家公司資安風險圖，並用來跟整體產業與所屬產業的資安風險圖比較，來了解自己所意識到的資安風險威脅，與同業所觀察到的資安風險項目之間的落差。尤其是同業評估具有高風險、高衝擊的項目，卻在自家風險圖中落入了低風險或低衝擊的象限，這就需要格外留意，極可能是連自己沒有察覺到的潛在資安威脅，就需要進一步留意。</p> <p><span style="color:#FF0000;"><strong>企業如何繪製自己的資安風險圖</strong></span></p> <p>這張企業資安風險圖還有另外一個運用方式，企業可以自己針對這24個項目進行評分，分為10級，衝擊程度從最低1分，到最高10分，而同一個項目未來發生可能性也同樣分為10級，1分最不可能發生，而10分代表最可能發生。</p> <p>若一項風險企業自評分數是衝擊8分，發生可能性4分，則採取這個公式（自評分數-5）/5，以衝擊8分來看，(8-5)/5就是0.6，而發生可能性4分是 (4-5)/5=-0.2，這就可以得到該項目的座標位置（0.6,-0.2），企業可以一一計算出24項風險的座標值，參考這張整體資安風險圖座標軸上的數值長度，繪製出自家風險的位置，可以用來跟彙整自407家企業的整體資安風險圖相比較，來看出，自家風險和產業一般性風險的分布差異上。</p> <p>尤其是，如果有某一項資安風險項目，企業將其放置在自家資安風險圖的左下角，但是，在產業整體資安風險圖上，這項風險的位置卻是更靠右上角，這就是資安長需要特別留意的項目。這代表了，業界認為這項風險得關注，而資訊安的風險自評上，卻認為是相對不需要關注，企業得進一步思考這兩者落差的意義，倘若，企業已有妥善對策來降低該項風險，就可以不用過度擔心，若是沒有特別防護對策，卻自己降低了對該項風險的警戒心，那這一項風險，可能會成為企業資安防護的破口之處，必須趕快思考彌補做法。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1151-%E5%B0%81%E9%9D%A2-%E5%8D%81%E5%A4%A7%E9%A2%A8%E9%9A%AA-600-2-%E6%95%B4%E9%AB%94-%E9%A2%A8%E9%9A%AA%E5%9C%96(%E5%A4%A7)-PNG.png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1151-%E5%B0%81%E9%9D%A2-%E5%8D%81%E5%A4%A7%E9%A2%A8%E9%9A%AA-600-2-%E6%95%B4%E9%AB%94-%E9%A2%A8%E9%9A%AA%E5%9C%96-(%E5%B0%8F).png" style="width: 600px;" /></a></p> <p><span style="font-size:16px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 企業資安風險圖製作說明 </span></span> 在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。</strong></span></p> <p><span style="font-size:16px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管</strong><strong style="font-size: 14px;">。</strong></span></p> <p><span style="font-size:16px;"><span style="color:#696969;"><strong>資料來源：2023 iThome CIO大調查，2023年7月</strong></span></span></p> </div></div></div>
2023/10/27 08:01作者王宏仁https://www.ithome.com.tw/article/159258
亞太地區的政府機關遭到駭客組織發動TetrisPhantom攻擊，利用安全加密隨身碟散布惡意程式，入侵隔離網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用具備加密功能的隨身碟，就能確保資料安全嗎？最近有研究人員指出，駭客鎖定會使用這類隨身碟傳輸資料的政府機關下手，從而入侵受隔離系統（Air-Gapped），從中竊取機密資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-tetrisphantom-hackers-steal-data-from-secure-usb-drives-on-govt-systems/">根據資安新聞網站Bleeping Computer的報導</a>，資安業者卡巴斯基在近期發布的APT趨勢調查報告當中，<a href="https://www.kaspersky.com/about/press-releases/2023_kaspersky-uncovers-apt-campaign-targeting-apac-government-entities">提及駭客組織TetrisPhantom的攻擊行動</a>，但沒有透露相關細節。該新聞網站進一步向卡巴斯基確認，這些駭客針對亞太地區的政府下手，鎖定安全USB隨身碟的加密磁區資料，利用名為UTetris的應用程式木馬化版本進行竊密。</p> <p>駭客首先在使用者的電腦執行名為AcroShell的惡意酬載，此惡意程式與C2伺服器進行通訊，然後下載額外的作案工具，偷取檔案及機敏資料，同時收集使用者存取USB隨身碟的特定資訊，將其用於打造名為XMKR的惡意程式，以及木馬化的UTetris，XMKR部署至Windows電腦之後，會伺機滲透至連接這臺電腦的安全USB隨身碟，再透過這支安全USB隨身碟，對受隔離系統發動攻擊（當使用者這支安全USB隨身碟接上隔離系統時，惡意程式可再擴散到這個環境當中）。</p> <p>針對這起攻擊行動當中駭客的手法，研究人員認為當中採用了複雜的工具及技術，包括：以虛擬化為基礎的手法將惡意軟體的元件進行混淆、利用直接SCSI命令與USB裝置進行低階通訊，以及惡意程式在電腦連接加密隨身碟時會進行自我複製，然後散布到受隔離的系統。再者，攻擊者將惡意程式碼植入隨身碟的存取管理應用程式，而被用於感染另一臺電腦惡意程式。</p> <p>研究人員一共看到兩種版本的木馬化UTetris，一種出現於2022年9月至10月，另一種從去年10月使用至今，然而，他們認為駭客的攻擊行動已經進行多年，而且，駭客的惡意程式僅感染政府網路上少數電腦，這代表攻擊行動相當具有針對性。</p> </div></div></div>
2023/10/26 23:03作者周峻佑https://www.ithome.com.tw/news/159514
Grammarly、Vidio、Bukalapak網路應用程式存在重大OAuth漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了簡化使用者必須逐一申請、記憶各式網頁應用程式帳號密碼的不便，採用OAuth身分驗證機制的作法，讓使用者只要透過臉書、Google、推特等服務的帳號，就能存取網站服務的做法，也越來越普遍，然而，一旦網站開發者實作不夠完整，就有可能讓攻擊者有機可乘，發動類似帳號填充（Credential Stuffing）的手法，透過某些看似合法的管道取得Token，就有機會存取使用者透過OAuth進行身分驗證的其他網路服務。</p> <p>這種情況資安業者Salt Security今年3月開始提出警告，當時他們針對<a href="https://www.ithome.com.tw/news/155765">訂房網站Booking.com</a>，以及開發人員用於<a href="https://salt.security/blog/a-new-oauth-vulnerability-that-may-impact-hundreds-of-online-services">建置OAuth驗證功能的框架Expo</a>，說明這種漏洞的危險性。到了最近，<a href="https://salt.security/blog/oh-auth-abusing-oauth-to-take-over-millions-of-accounts">他們一口氣公布3個存在類似漏洞的網站服務</a>，強調這種漏洞可能廣泛存在多種網路服務當中。</p> <p>研究人員於今年2月至4月發現，有多個線上服務的OAuth身分驗證措施存在嚴重的資安漏洞，這些平臺包括：文法檢查服務Grammarly、印度影音串流服務Vidio、印尼電子商務網站Bukalapak。此漏洞可能導致攻擊者得以竊取使用者的身分，或是竊取信用卡資料、私人訊息、健康記錄等各式個人資料，也有可能將相關資料拿來進行財務詐騙的行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員揭露駭客如何「合法」取得使用者OAuth身分驗證所需的Token，攻擊者架設可透過臉書、Google等網站的帳號存取的網站服務（YourTimePlanner.com），由於攻擊者是網站的所有者，他們理所當然能夠取得所有存取該網站服務的Token，而有機會將其用於挾持使用者的其他服務帳號。</p> </blockquote> <p>以Grammarly為例，當使用者試圖透過臉書帳號存取這項服務的過程當中，網頁編輯器會將使用者輸入的資料儲存在帳號裡，研究人員發現存取臉書帳號的OAuth身分驗證流程缺乏Token驗證步驟，而使得攻擊者有機會利用另一個App ID產生的Token，利用臉書帳號來收集用戶的Token，然後對提供服務的網站發動攻擊，進而接管用戶帳號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6532ce402c77da9095ccff88_Screenshot 2023-10-20 at 13_59_36.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6532ce402c77da9095ccff88_Screenshot%202023-10-20%20at%2013_59_36.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員說明文法檢查服務Grammarly進行OAuth身分驗證的步驟，和另外兩種網路服務流程略有不同的是，Grammarly的OAuth驗證方式同時支援Token與程式碼，若是回傳的資料是程式碼，伺服器需要將其轉換成Token來進行後續工作。但研究人員發現仍能利用類似的手法，植入不同網站服務的Token進行攻擊。</p> </blockquote> <p>Vidio、Bukalapak也有類似的缺陷，而有可能導致網站服務的用戶帳號遭到挾持。上述3家業者獲報後，皆已完成修補。但研究人員警告，類似的弱點也有可能出現在其他採用OAuth的網頁應用程式上。</p> </div></div></div>
2023/10/26 21:00作者周峻佑https://www.ithome.com.tw/news/159511
【資安日報】10月26日，研究人員揭露熱門網站服務的OAuth漏洞，攻擊者可架設另一個網頁服務來挾持用戶的登入資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員在今年3月，針對網路服務廣泛應用的OAuth身分驗證措施提出警告，當時他們揭露了存在於訂房網站Booking.com的漏洞，並指出類似的情況也可能發生在其他導入OAuth的網站。</p> <p>到了最近，這些研究人員公布對於另外3個熱門的網路服務調查結果，其共通點是駭客一旦取得用戶其他服務用於OAuth身分驗證的Token，就有機會挾持用戶這些網站上的帳號。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-tetrisphantom-hackers-steal-data-from-secure-usb-drives-on-govt-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞太地區的政府機關遭到駭客組織發動TetrisPhantom攻擊，利用安全加密隨身碟散布惡意程式，入侵隔離網路</span></strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer的報導，資安業者卡巴斯基在近期發布的APT趨勢調查報告當中，提及駭客組織TetrisPhantom的攻擊行動。該新聞網站進一步向卡巴斯基確認，這些駭客針對亞太地區的政府下手，鎖定安全USB隨身碟的加密磁區資料，利用名為UTetris的應用程式木馬化版本進行竊密。</p> <p>駭客首先在使用者的電腦執行名為AcroShell的惡意酬載，此惡意程式與C2伺服器進行通訊，然後下載額外的作案工具，偷取檔案及機敏資料，同時收集使用者存取USB隨身碟的特定資訊，將其用於打造名為XMKR的惡意程式，以及木馬化的UTetris，XMKR部署至Windows電腦之後，會伺機滲透至連接這臺電腦的安全USB隨身碟，再透過這支安全USB隨身碟，對受隔離系統（Air-Gapped）發動攻擊（當使用者這支安全USB隨身碟接上隔離系統時，惡意程式可再擴散到這個環境當中）。</p> <p>研究人員一共看到兩種版本的木馬化UTetris，一種出現於2022年9月至10月，另一種從去年10月使用至今，然而，他們認為駭客的攻擊行動已經進行多年。</p>  <p><a href="https://www.welivesecurity.com/en/eset-research/winter-vivern-exploits-zero-day-vulnerability-roundcube-webmail-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲政府機關遭到俄羅斯駭客Winter Vivern鎖定，針對網頁電子郵件系統Roundcube發起零時差漏洞攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-1-wintervivern-email.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-1-wintervivern-email.jpeg" style="width: 300px; float: right;" /></a>資安業者ESET揭露俄羅斯駭客組織Winter Vivern（亦稱TA473）的零時差漏洞攻擊，駭客從10月11日，鎖定歐洲政府機關和智庫的網頁郵件伺服器Roundcube而來，利用過往未曾記錄的跨網站指令碼（XSS）漏洞CVE-2023-5631發動攻擊。</p> <p>駭客先是假借Outlook管理團隊的名義，寄送歡迎使用Outlook的電子郵件，但該信件被事先埋入特製SVG圖檔，一旦有人開啟信件就可能中招，觸發SVG圖檔的惡意JavaScript指令碼載入器checkupdate.js，下載有效酬載，列出Roundcube帳號的資料夾及電子郵件，並向特定網站發出HTTP請求，將電子郵件傳送至C2伺服器。</p> <p>研究人員12日向Roundcube通報，該開發團隊於16日推出1.6.4版、1.5.5版、1.4.15版予以修補。</p> <p><a href="https://securelist.com/crimeware-report-gopix-lumar-rhysida/110871/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體GoPIX鎖定巴西行動支付系統用戶而來</span></strong></a></p> <p></p> <p>資安業者卡巴斯基揭露針對巴西支付系統PIX用戶而來的攻擊行動，駭客從2022年12月透過惡意廣告，針對從網路上搜尋網頁版WhatsApp的用戶下手，一旦使用者點選駭客購買的廣告，就會被重新導引、連上惡意軟體網站，過程中會檢查使用者電腦是否開啟27275埠，目的是檢測是否存在特定的Avast Safe Banking元件，以便繞過偵測，然後最終下載NSIS的安裝程式。</p> <p>使用者若是執行安裝，就會觸發PowerShell指令碼，並於電腦植入竊資軟體GoPIX，進而挾持使用者執行支付的PIX交易，竄改收款人的資料，或是更換為比特幣或以太坊錢包。</p> <p><a href="https://securityaffairs.com/152811/cyber-crime/facebook-and-instagrams-police-portal-access.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人兜售臉書與Instagram的警方入口網站的存取權限</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1697895055828.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1697895055828.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffairs的報導，資安業者Hudson Rock發現，有人在兜售臉書及Instagram專供執法單位存取的入口網站Police Portal帳密，開價700美元。這種入口網站是在政府機關因應辦案需求，向他們請求用戶的IP位址、電話號碼、裝置資訊等資料所用。</p> <p>但賣家究竟如何取得相關帳密？研究人員推測，很有可能是對臉書員工進行社交工程攻擊而得。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://salt.security/blog/oh-auth-abusing-oauth-to-take-over-millions-of-accounts"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Grammarly、Vidio、Bukalapak網路應用程式存在重大OAuth漏洞</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65314fd4d781d480a1eee32a_3.png" style="width: 300px; float: right;" /></a>資安業者Salt Security於今年2月至4月發現，有多個線上服務的OAuth身分驗證措施存在嚴重的資安漏洞，這些平臺包括：文法檢查服務Grammarly、印度影音串流服務Vidio、印尼電子商務網站Bukalapak。此漏洞可能導致攻擊者得以竊取使用者的身分，或是竊取信用卡資料、私人訊息、健康記錄等各式個人資料，也有可能將相關資料拿來進行財務詐騙的行為。</p> <p>以Grammarly為例，當使用者試圖透過臉書帳號存取這項服務的過程當中，網頁編輯器會將使用者輸入的資料儲存在帳號裡，研究人員發現存取臉書帳號的OAuth身分驗證流程缺乏Token驗證步驟，而使得攻擊者有機會利用另一個App ID產生的Token，利用臉書帳號來收集用戶的Token，然後對提供服務的網站發動攻擊，進而接管用戶帳號。</p> <p>Vidio、Bukalapak也有類似的缺陷，而有可能導致網站服務的用戶帳號遭到挾持。上述3家業者獲報後，皆已完成修補。但研究人員警告，類似的弱點也有可能出現在其他採用OAuth的網頁應用程式上。</p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0023.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補vCenter伺服器重大漏洞，並對不再支援的舊版產品提供更新</span></strong></a></p> <p></p> <p>10月25日VMware針對vCenter Server、Cloud Foundation提供更新程式，當中修補重大漏洞CVE-2023-34048，未經身分驗證的攻擊者可在不需用戶互動的情況下，進行遠端執行任意程式碼（RCE）攻擊，CVSS風險評分為9.8。</p> <p>值得留意的是，有鑑於這項漏洞的嚴重性，該公司也為已經生命週期終止（EOL）的舊版本vCenter Server 6.7U3、6.5U3，以及Cloud Foundation（VCF）3.x提供修補程式。</p>  <p><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-admins-of-public-exploit-for-vrealize-rce-flaw/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware事件記錄分析系統的RCE漏洞出現概念性驗證攻擊程式碼</span></strong></a></p> <p></p> <p>思科10月19日VMware發布事件記錄分析系統Aria Operations for Logs（原vRealize Log Insight）8.14版，當中修補身分驗證繞過漏洞CVE-2023-34051，CVSS風險評分為8.1。</p> <p>隔日資安業者Horizon3.ai也公布漏洞細節，以及概念性驗證（PoC）攻擊手法，並指出攻擊者可透過IP位址欺騙，以及多種使用Thrift協定的RPC端點，來達到任意檔案寫入的目的，而能否成功利用這項漏洞，關鍵是攻擊者須取得足夠的權限，於目標系統加入額外的網路介面或靜態IP位址。</p> <p>研究人員指出，這項漏洞發生的原因，是VMware在一月發布的更新程式中，出現修補不完整的情況，使得攻擊者有機會繞過修補程式碼，發動遠端執行任意程式碼攻擊（RCE）。對此，VMware也在23日更新公告，指出網路上已經出現概念性驗證攻擊程式碼，接下來很可能會被用於攻擊行動。</p>  <p>資料來源</p> <p>1. <a href="https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive-and-iocs/">https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive-and-iocs/</a><br /> 2. <a href="https://www.vmware.com/security/advisories/VMSA-2023-0021.html">https://www.vmware.com/security/advisories/VMSA-2023-0021.html</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/apple-ships-major-ios-macos-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布安全性更新iOS 17.1、</span></span></strong></a><a href="https://www.securityweek.com/apple-ships-major-ios-macos-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">macOS Sonoma 14.1</span></span></strong></a><a href="https://www.securityweek.com/apple-ships-major-ios-macos-security-updates/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">，修補21個iOS漏洞、44個macOS漏洞</span></span></strong></a></p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-45/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 119，修補3個高風險漏洞</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_24.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google更新Chrome 118，修補記憶體濫用漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/chilean-telecom-giant-gtd-hit-by-the-rorschach-ransomware-gang/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">智利電信業者GTD傳出遭勒索軟體Rorschach攻擊</span></span></strong></a></p> <p></p> <p><a href="https://www.sii.co.jp/en/news/topics/2023/10/25/12232/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對8月遭遇的勒索軟體攻擊事件，Seiko公布資料外洩的情形</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159482"><strong>【10月25日】 6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159454"><strong>【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159433"><strong>【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</strong></a></p> </div></div></div>
2023/10/26 16:36作者周峻佑https://www.ithome.com.tw/news/159501
AI趨勢周報第232期：Gartner揭露2024年10大科技趨勢預測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1020～1026)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gartner </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 平臺工程 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Gartner揭露2024年10大科技趨勢預測</strong></span></p> <p>國際市場調研機構Gartner最近發表2024年10大科技趨勢預測，聚焦生成式AI及其影響，首先是生成式AI民主化，也就是更普及的生成式AI應用。Gartner點出，更多開源預訓練模型和雲端運算將讓更多人能使用生成式AI，他們預測，到了2026年，超過8成企業將在正式環境中使用生成式AI API和模型，或部署支援生成式AI的應用程式。對比2023年初，這一比例還不到5%。</p> <p>再來，生成式AI也會增強程式開發工作，來幫助軟體工程師設計、編寫和測試應用程式。甚至，明年會出現更多借AI自主學習和回應的智慧型應用程式，來自動化工作。但這也意味著，AI信任、風險和安全管理（AI TRiSM）越趨迫切，這是Gartner提出的另一個趨勢預測，市面上將出現更多ModelOps、資料保護、特定AI安全性、模型監控和第三方模型與應用程式的風險控制工具。Gartner也預測，到了2026年，採用AI TRiSM工具的企業將消除高達80%的錯誤和非法訊息，進而提高決策準確性。</p> <p>不只生成式AI，Gartner認為，平臺工程也是明年一大趨勢，透過一系列工具和流程，來為企業開發團隊提供自助式開發平臺。與之類似的預測是產業雲平臺，也就是將傳統雲服務的IaaS、PaaS和SaaS解耦，成為模組化、能解決業務問題的雲平臺。其他預測還包括持續威脅暴露管理、IT永續技術發展、AI優化職員價值，以及客戶機器人，也就是能透過人機協作或機器單獨預測人類需求，進而購買商品的趨勢。<a href="https://www.gartner.com/en/newsroom/press-releases/2023-10-16-gartner-identifies-the-top-10-strategic-technology-trends-for-2024">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推論 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>號稱效能超越4奈米GPU！IBM發表AI推論晶片</strong></span></p> <p>IBM研究院在10月20日發表AI晶片NorthPole，效能號稱超越最先進的4奈米GPU，適用於需要即時處理大量資料的邊緣應用。NorthPole歷時8年研發，特點是所有記憶體都在晶片上，不需額外連結記憶體，因此不會遇到傳統晶片因處理單元與儲存資訊的記憶體分開、資料傳輸速度趕不上處理速度的馮紐曼瓶頸，也於是AI推論能力優於市場其它晶片。</p> <p>它採12奈米製程，在800平方毫米上安置了220億個電晶體，擁有256個核心，於8-bit精度下每核心每個周期可執行2,048次操作。IBM研究院也在ResNet-50模型上測試NorthPole，相較於12奈米製程的GPU，NorthPole每秒辨識幀數的能源效率是GPU的25倍。不過，NorthPole的優勢也是它的限制，只能存取晶片上的記憶體，若要存取其它地方的資訊，執行速度就會減慢。也因此，要支援更大的神經網路，就得將神經網路拆解成多個子網路，再以多個NorthPole晶片串連這些子網路。目前，NorthPole只能用於推論。<a href="https://research.ibm.com/blog/northpole-ibm-ai-chip">（詳全文）</a></p> <p><img alt="" src="https://d1bqvdqmynqyrb.cloudfront.net/_next/image?url=https%3A%2F%2Fresearch-website-prod-cms-uploads.s3.us.cloud-object-storage.appdomain.cloud%2FNorthpole_1_8bfb301f9f.jpg&w=2048&q=75" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>全球24位AI大將聯手呼籲：企業和政府應將1/3的AI預算用於風險管理</strong></span></p> <p>包括圖靈獎得主Yoshua Bengio、Geoffrey Hinton在內的24位AI大師日前聯手發表一篇治理框架論文，要來解決AI日益增長的風險問題。該文提出幾項建議，比如企業和政府應將至少三分之一的AI研究預算，來確保AI開發符合風險管理和倫理要求，且政府應盡快、全面地了解AI發展，尤其監管機構得實施模型註冊要求、舉報人保護、事件報告和模型開發與超級電腦的使用監控。</p> <p>他們也呼籲，在部署模型前，監管機構應有權存取AI系統，來評估其風險，例如自主複製、駭進電腦系統或散播病毒等。文章也建議，政府應使AI開發商和擁有者具備法律責任，以便及早預防模型可能造成的危害。<a href="https://managing-ai-risks.com/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 透明度 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span></p> <p><span style="font-size:22px;"><strong>史丹佛大學發表基礎模型透明度指標</strong></span></p> <p>美國史丹佛大學以人為本AI學院（Stanford HAI）近日公布十大基礎模型的透明度指標，其中最高的是Lama 2、為54%，但仍不夠高，團隊認為它們全都缺乏透明度。</p> <p>進一步來說，調查的10款基礎模型有Llama 2、BloomZ、GPT-4、Stable Diffusion、Claude、PaLM 2、Command、Jurassic-2、Inflection和Titan。而Stanford HAI制定100項基礎模型的透明度指標，其中三分之一與模型如何建置有關，例如訓練資料的相關資訊、建置模型的人力以及使用的運算資源等，另外三分之一與模型本身有關，像是可信度、風險或如何緩解風險等，最後則與下游如何使用模型有關，包括揭露模型分配的公司政策、使用者資料保護以及公司是否替受影響的個人提供補救機會等。</p> <p>在這些指標中，表現最好的是模型基本資訊，也就是供應商是否揭露基礎模型的模式、規模、架構，以及中心化的模型文件，平均透明度為63%。表現最差的則是影響，亦即基礎模型是否揭露對下游應用的影響，如使用上的統計、監控或提供補救機制，其平均透明度只有11%。<a href="https://hai.stanford.edu/news/introducing-foundation-model-transparency-index">（詳全文）</a></p> <p><img alt="" src="https://hai.stanford.edu/sites/default/files/inline-images/Transparency%20model%20image%201_0.jpeg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 台灣大 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 客服 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size:22px;"><strong>台灣大優化智能客服小麥，還要發展語音版Chatbot</strong></span></p> <p>台灣大用生成式AI優化智能客服Chatbot小麥，要來分擔真人客服工作量。他們與IT聯手，先將企業知識點資料庫，轉換為向量空間，讓語言模型理解使用者提問、在向量空間內計算信度，再將信度最高的答案作為模型回應，而非任意生成回答。如果企業知識點不足，就會利用語言模型文字接龍的特性，在後臺擴充知識。</p> <p>台灣大將這個做法稱為AI 2.0優化，他們發現，經過AI 2.0改善的小麥，比起先前的技術，更能回答用戶艱澀難懂的提問，回答正確率還提高3倍多，顧客滿意度也提高了。再來，台灣大進一步打造語音客服Chatbot，採ASR語音辨識技術，能辨識用戶提問中夾雜的國臺語、英文，且能辨識企業服務的特殊用語，還能調整說話音調和語速。有了這些經驗，台灣大也將這些應用打包為AI 2.0方案，作為AIaaS一站式服務，含底層多雲、混合雲架構，也提供不同LLM供企業選擇，並提供ASR語音辨識、TTS語音生成等工具。<a href="https://www.ithome.com.tw/news/159375">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人技術 </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI也能優化機器人訓練，Nvidia揭露新系統</strong></span></p> <p>Nvidia日前發表一款AI系統Eureka，以GPT-4為基礎，能訓練實體機器人執行近30種複雜任務，如轉筆、開抽屜等。Eureka是Nvidia研究院的演算法研究成果，可搭配Nvidia自家的物理模擬應用程式Isaac Gym，來進行強化學習。</p> <p>有別於傳統強化學習的獎勵模式，Eureka透過GPT-4和生成式AI撰寫程式碼，來獎賞機器人手臂或手指，來進行強化式學習。過程中，開發者不需要輸入任務提示，也不需撰寫預定義的獎賞範本，還能結合人類回饋來修正獎賞，讓機器手臂更精準執行動作。團隊也公布Eureka測試結果和程式碼，並表示這種生成式AI優化的機器人技術，可實現更靈巧的機器人控制，還能為動畫創作生成更逼真的實體動作。<a href="https://blogs.nvidia.com/blog/2023/10/20/eureka-robotics-research/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/sDFAWnrCqKc?si=UmfCaI2bpiEpUVg7" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 酷課雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 教育 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北市 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北市推出AI教學輔助系統</strong></span></p> <p>臺北市教育局最近上線AI智慧教學輔助系統「酷AI」，提供5項AI功能，包括3項幫助學生學習的AI學習小幫手、AI口說練習、AI學習加油站，以及2項輔助老師教學的AI輔助出題、AI輔助作文批閱等功能。</p> <p>進一步來說，臺北酷課雲是一款整合各項雲端教育學習資源和教學工具的教育雲平臺，這次上線的酷AI就是酷課雲一部分。就AI學習小幫手來說，它能與學生對話，引導學生學習提問的方法，來提高學生探索和自主思辨能力。而AI口說練習功能，則是讓學生上傳英語口說音檔，由AI分析口說表現並提出建議，；AI學習加油站則是藉AI分析學生各項線上學習行為，如教材瀏覽點擊數、作業完成時間和題目作答正確率等，來即時了解學生學習情形，並提供學習輔助建議、主動推播合適的教材內容。</p> <p>另一方面，就輔助教學來說，AI輔助出題是要幫助老師發想多元評量題目，AI輔助作文批閱功能，則是要幫助老師快速檢視學生作文練習成果，縮短批閱時間。北市教育局表示，酷AI系統已於10月26日正式上線，全市師生都可使用。<a href="https://www.gov.taipei/News_Content.aspx?n=F0DDAF49B89E9413&sms=72544237BBE4C5F6&s=A42DF904053B3243">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 文生圖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nightshade </span></strong></span></p> <p><span style="font-size:22px;"><strong>出現能對文生圖AI模型下毒的新工具</strong></span></p> <p>OpenAI、Google等生成式AI業者擷取網路上圖片訓練AI模型引發創作者不滿。一群芝加哥大學研究員發展出Nightshade工具，可擾亂AI業者的底層模型，而且很難發現。該工具是一種專從提示發動的下毒攻擊手法，比如稍稍變更圖片，像變造狗圖片（如擬人化的狗），當這些「含毒」圖文成為訓練資料集，就可能擾亂AI模型。</p> <p>研究員也攻擊Stable Diffusion V2、SDXL及DeepFloyd等知名模型，來驗證效果。測試顯示，只要很少的有毒樣本就能擾亂AI模型，例如不到100個變造過的「狗」圖片，即可污染SDXL模型對「狗」的概念，使其在接受「狗」的提示時，產出貓的圖片。<a href="https://arxiv.org/pdf/2310.13828.pdf">（詳全文）</a></p> <p>圖片來源／IBM、史丹佛大學、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 吳恩達聯手LangChain開設生成式AI課程</strong></p> <p><strong>2. TikTok發表可理解語、音訊和音樂的生成式AI模型SALMONN</strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/26 17:46作者王若樸https://www.ithome.com.tw/news/159508
蘋果調漲Apple TV+與Arcade等服務費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周悄悄調漲了Apple TV+與Apple Arcade等多項服務的全球費率，包括美國與臺灣市場在內。</p> <p>原本臺灣市場的Apple TV+每月訂閱費率為170元新臺幣，但本周已被調高至250元新臺幣；Apple Arcade每月原本也只要170元新臺幣，則被調高至220元新臺幣；至於Apple Music的每月訂閱費用則維持在150元新臺幣，並未更動。</p> <p>在調漲各服務的費率之後，包含50GB儲存空間的iCloud+、Apple TV+、Apple Music與Apple Arcade的Apple One套裝服務個人方案，每月訂閱價格也從315元新臺幣增加至390元新臺幣；內含200GB儲存空間的Apple One家庭方案，則從395元新臺幣漲至490元新臺幣。</p> <p>美國的Apple TV+每月費率則從6.99美元漲至9.99美元，Apple Arcade則從4.99美元漲至6.99美元。</p> </div></div></div>
2023/10/26 14:51作者陳曉莉https://www.ithome.com.tw/news/159499
Amazon測試可供廣告主使用的圖像生成AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-ai-powered-image-generator" target="_blank">Amazon旗下的廣告服務Amazon Ads周三（10/25）宣布</a>開始測試廣告圖像生成AI工具，可協助廣告主將單調的產品照片變成更豐富的廣告圖像。</p> <p>根據Amazon於今年3月所進行的調查，在那些無法成功執行行銷活動的廣告主中，有接近75%指出它們所面臨的最大挑戰是建置廣告創意及選擇創意格式。廣告主的擔憂其來有自，Amazon的測試顯示，在一個行動裝置上的贊助品牌廣告上行銷同一個烤麵包機，產品圖像選擇一個採用空白背景的烤麵包機，或是一個具備廚房背景的烤麵包機，後者的點擊率比前者高出40%。</p> <p>Amazon Ads資深副總裁Colleen Aubrey表示，製作引人入勝且具差異化的廣告創意會增加成本，而且通常需要於廣告流程中導入額外的專業，於是他們決定推出圖像生成AI工具，讓廣告主更容易製作廣告圖像，且完全不需要技術背景就能使用。</p> <p>廣告主只要在Amazon Ad控制臺中先選擇產品再點選生成（Generate），它就會自動產生一組同時具備品牌與生活風格的圖像，還能另外輸入文字提示來調整圖像內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-amazon%20ad-generatvie%20ai-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> <p>Amazon Ads主要協助Amazon上註冊的賣家、供應商、書商、出版商、程式開發者或廣告代理商張貼廣告，廣告的曝光平臺包括Amazon與其它網站，此一圖像生成工具仍處測試階段，目前僅供特定廣告主試用，未來也會擴大測試範圍。</p> <p>除了圖像生成之外，<a href="https://www.aboutamazon.com/news/small-business/amazon-sellers-generative-ai-tool" target="_blank">今年9月Amazon也曾針對該平臺的賣家提供文字生成服務</a>，該服務出現在Seller Central中，賣家只要輸入形容產品的幾個字或幾句話，系統就會自動生成高品質的產品描述文字供賣家編輯。</p> </div></div></div>
2023/10/26 13:32作者陳曉莉https://www.ithome.com.tw/news/159498
高通發表可跨裝置及系統交流的Snapdragon Seamless技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動晶片大廠高通（Qualcomm）於本周舉行的Snapdragon高峰會上發表了<a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unveils-snapdragon-seamless-to-allow-your-devices-to-wo" target="_blank">Snapdragon Seamless技術</a>，可用來無縫連結採用不同作業系統的各種裝置，還能彼此分享資料與周邊設備，從共享滑鼠與鍵盤，到在不同的裝置上拖曳視窗，以創造一個類似蘋果生態體系的互動環境。</p> <p>Snapdragon Seamless是個跨平臺技術，可讓Android、Windows或是採用其它作業系統的Snapdragon裝置得以發現彼此，亦可共享資訊，如同一個整合系統般地運作。</p> <p>目前高通已將Snapdragon Seamless技術整合到旗下的平臺，包括最新的行動平臺Snapdragon 8 Gen 3，最新的PC平臺Snapdragon X Elite，以及穿戴與聽覺平臺，並計畫於未來延伸至XR、Auto與IoT領域。</p> <p>高通引用了Deloitte今年的消費者調查報告，指出每個美國家庭平均擁有21種不同的數位裝置，大多數時候這些裝置的互動並不好，特別是來自不同製造商的時候，但藉由Snapdragon Seamless，裝置製造商與作業系統業者就能改善消費者的多裝置體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-qualcomm-Snapdragon%20Seamless-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_高通</span></span></p> <p>例如讓滑鼠及鍵盤可以無縫地在PC、手機與平板電腦之間切換，允許不同裝置上的視窗及檔案互相拖放，或是耳機得以根據音源的優先順序自動切換等。</p> <p>迄今包括微軟、Android、小米、華碩、Honor、聯想與OPPO都已與高通合作，準備利用Snapdragon Seamless作為全球的裝置平臺，以推動多裝置體驗，且最快今年就會實現。</p> </div></div></div>
2023/10/26 11:43作者陳曉莉https://www.ithome.com.tw/news/159487
X提供視訊、VoIP通話功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用戶發現，前身為推特（Twitter）的X開始提供VoIP及視訊通話功能。</p> <p><a href="https://twitter.com/the_marcoli_boy/status/1717266451394888063" target="_blank">本周多名用戶</a>在開啟X app時接獲<a href="https://twitter.com/SharyOfficial/status/1717232523833495558" target="_blank">跳出視窗通知</a>，聲音及影像通話功能已經部署到用戶端，提醒用戶完成設定後開始使用。</p> <p class="rtecenter"><a href="https://twitter.com/the_marcoli_boy/status/1717266451394888063" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-audio%20vedio%20call-X%20former%20twitter-photo%20by%20Twilight%20on%20X.png" style="width: 300px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;"><a href="https://twitter.com/the_marcoli_boy/status/1717266451394888063" target="_blank">圖片來源_Twilight on X</a></span></span></p> <p>在X設定頁，用戶可以選擇接聽影音通話的對象有三種，包括用戶聯絡簿中的友人、用戶追蹤者，以及經過驗證的用戶。</p> <p>這是馬斯克（Elon Musk）去年10月底接手推特之前就提出的構想之一。馬斯克希望X／推特不只是社群媒體平臺，而是可支援數位生活眾多服務的多功能平臺，因此他預見X也將提供通訊、線上購物、影片上傳或支付功能。</p> <p>同時間馬斯克也亟欲讓X及早實現獲利目標。目前X已推出8美元月費的純網站版Twitter Blue（iOS版為11美元），X也正規畫全用戶付費制。<a href="https://www.theverge.com/2023/10/17/23921752/x-not-a-bot-charge-new-users-elon-musk" target="_blank">馬斯克上周透露</a>未來將啟動2階層式付費，其中包含一個小額付費。<a href="https://www.theverge.com/2023/10/17/23921752/x-not-a-bot-charge-new-users-elon-musk" target="_blank">上周X也開始在紐西蘭及菲律賓測試</a>1年1美元的收費制，不過該公司說這項收費服務目的在打擊假帳號及機器人。</p> </div></div></div>
2023/10/26 12:11作者林妍溱https://www.ithome.com.tw/news/159488
微軟執行長暗示Copilot可能取代Windows開始選單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周微軟執行長Satya Nadella站臺高通產品發表會時，暗示Windows開始內建的Copilot可能成為下一個「開始」選單，成為Windows PC的控制中樞。</p> <p><a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unleashes-snapdragon-x-elite--the-ai-super-charged-plat" target="_blank">高通昨日發表</a>預定2024年出貨的Windows筆電處理器平臺Snapdragon X Elite，當中內含新一代Hexagon神經網路處理器（NPU），執行AI任務的速度達45 TOPS，是現有產品的3倍。</p> <p>Nadella昨日出席站臺演說中提及下一代AI PC時說，Copilot好比「開始」功能鍵，已為用戶應用程式體驗的協調者（orchestrator）。他舉例，用戶開啟Copilot表達意向，它就會引領用戶找到該App，或是執行該App，因而協助用戶學習、查詢、建立文件，已經完全改變用戶使用習慣。他表示，透過AI處理器和Windows的合作，可以做到過去無法實現的新體驗。</p> <p>Nadella並未再著墨，但不少<a href="https://www.pcworld.com/article/2115354/nadella-copilot-is-the-new-windows-start-button.html" target="_blank">媒體</a>則<a href="https://www.xda-developers.com/copilot-could-be-new-start-button/" target="_blank">解讀</a>，Copilot或許會扮演下一代Windows的開始選單的角色。</p> <p>雖然開始選單對Windows很重要，但一般用戶要搜尋網頁或開啟App（或文件），會分別開啟瀏覽器及找到該App（或文件），不會從開始功能鍵著手，即使透過開始功能鍵尋找文件、設定或應用程式，過程還是很花時間。Windows導入Copilot即在解決這個問題。</p> <p><a href="https://www.ithome.com.tw/news/158994" target="_blank">9月底透過更新</a>，Copilot已經正式內建到Windows 11中，成為使用者操作Windows的助理，包括幫助用戶尋找開啟App或檔案、搜尋網路，將電腦和藍牙耳機配對，或是抓取螢幕擷圖等。但目前這些功能都還很基本。</p> <p>媒體相信，微軟寄望在未來的Windows中，高通Snapdragon X Elite中的CPU和NPU，甚至Intel的Meteor Lake可加速Windows上的AI任務，提升Copilot使用經驗，進而取代「開始」選單。而時間表可能會落在下一個重大更新Windows 12中。</p> <p><a href="https://blogs.windows.com/windows-insider/2023/09/26/releasing-windows-11-version-23h2-to-the-release-preview-channel/" target="_blank">9月底微軟釋出</a>了Windows 11 23H2，何時會推出Windows 12還不確定。一般推測應該會在2024年。</p> </div></div></div>
2023/10/26 12:38作者林妍溱https://www.ithome.com.tw/news/159496
Meta公布第三季財報，員工人數比去年同期減少24%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2023/Meta-Reports-Third-Quarter-2023-Results/default.aspx" target="_blank">Meta周三（10/25）公布</a>該公司今年第三季財報，該季Meta創下341億美元的營收，成長23%，淨收入為116億美元，成長164%，此外，這一年以來多次大大小小的裁員行動，也讓Meta的員工人數比去年同期減少24%，只剩66,185名。</p> <p>Meta表示，從2022年開始，該公司便展開了許多措施來追求更大的效率，同時重新調整業務與策略的優先順序，截至今年9月30日，基本上已經完成了當初規畫的裁員行動，並將繼續評估設施的整合與資料中心的重整。</p> <p>在341億美元的營收中，有336億美元來自廣告，成長23.5%，這也占了Meta總營收的98.5%，另有2.1億美元來自MR團隊Reality Labs，下滑26.3%。此外，Meta的家族程式（Family of Apps）替該公司帶來175億美元的收入，而Reality Labs則創造了37.4億美元的虧損，與去年同期的36.7億美元虧損差不多。</p> <p>該季Family of Apps（Facebook、Messenger、Instagram與WhatsApp）的每月用戶數為39.6億，成長7%，若單看臉書（Facebook），其每日用戶數為20.9億，成長5%，每月用戶數則是30.5億，成長3%。</p> <p>另根據外電報導，Meta執行長祖克柏（Mark Zuckerberg）於財報會議中透露，Meta於今年7月發表、用來挑戰X（Twitter）的Threads，其每月活躍用戶數已接近1億，同時祖克柏也期望Threads可成為一個擁有10億用戶的服務。</p> </div></div></div>
2023/10/26 12:52作者陳曉莉https://www.ithome.com.tw/news/159497
剖析上線環境效能，Granulate打造不需改程式碼調校軟體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/gprofiler-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年5月英特爾舉行的上半年全球用戶大會Vision期間，特別提到近期他們併購一家新創軟體公司Granulate Cloud Solutions，買下這家廠商的目的及技術應用獨特性、效益，引發眾人好奇。</p> <p>英特爾執行副總裁暨資料中心與AI事業群總經理Sandra Rivera表示，Granulate能協助雲端服務廠商與資料中心業者，運用自動化與即時、持續學習的軟體部署，大幅提升應用程式效能，而且不需要修改程式碼，就能獲得高達60％的效能改善幅度，以及總體運算花費減少20％到30％的成效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Granulate-1.jpg" style="width: 600px;" /></p> <p>而在實際使用案例上，Sandra Rivera推崇新創SaaS服務業者Nylas的導入，該公司在AWS與GCP這兩家公有雲服務的環境中，執行業務自動化軟體，使用Granulate的軟體之後，且不修改程式碼與投入額外研發人力的前提之下，在5天之內，他們用於AWS運算的支出減少了35％，並且獲得更理想的CPU使用率，以及回應速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Granulate-2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Graulate%20Nylas.jpg" style="width: 600px;" /></p> <p>關於實踐這些效益的過程與具體效益，Granulate在7月公布的Nylas案例介紹影片，以及目前網站揭露的案例分析研究當中，提到更多資訊。例如，從初步安裝、教育訓練到啟用，Nylas大約花了20天，而實現35％的運算開銷節省之餘，並未損及終端用戶的服務品質，無額外負擔、系統也持續運作不中斷；在此同時，他們服務的存取延遲（回應時間）縮短58％、吞吐量提升35％，相同的叢集處理的請求數量也提升至原本的2倍，而且，CPU使用量居然還能降低10％。</p> <p>而在Vision 2022大會上，英特爾公開介紹Granulate是雲端服務資源最佳化策略合作的三大公司之一，而他們發展的開放原始碼軟體gProfiler，則在效能剖析（Performance Profiling）的應用上，與英特爾既有的多種工具包並列，像是vTune、EMON、Intel Telemetry Collector。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Intel Granulate-0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Intel%20Granulate-0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-Intel Granulate2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Granulate2.jpg" style="width: 600px;" /></a></p> <p>Granulate共同創辦人暨執行長Asaf Ezra表示，Granulate gProfiler能夠剖析用戶的應用程式，呈現關鍵運作部位，而且，為了避免低度測試環境無法適當模擬實際上線而難以突顯效能瓶頸，他們發展的軟體會是執行正式上線環境當中，因此必須是低負擔（低於1％）、不會影響系統運作的，同時又是可以獨立運作的；此外，Granulate也匯集了多種樣本採集的剖析，目前聚焦在CPU的處理，未來將會擴充互斥鎖（Mutexes）、記憶體等面向，並且以火焰圖（flame graph）的形式呈現。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-Intel Granulate1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Granulate1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://user-images.githubusercontent.com/58514213/124375504-36b0b200-dcab-11eb-8d64-caf20687a29f.gif" style="width: 600px;" /></p> <p>而在程式語言的類型上，gProfiler也支援相當多種環境，像是C、C++、Go，目的是幫助用戶更了解應用程式的運作狀態，不只是顯示花在CPU進行運算的時間長短，而是將心力聚焦在需要注意的地方，以便改善程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-Intel Granulate3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Granulate3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gProfiler-console.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/gProfiler-console.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/gProfiler-console2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/gProfiler-console2.jpg" style="width: 298px;" /></a></p> <p>gProfiler最主要的價值在於「識別」進行最佳化的位置，能夠透過火焰圖來匯集選定的系統服務狀態，像是Spark叢集、Kubernetes叢集，由於相關的處理工作並非預先決定的，用戶無法得知那些工作分散在哪一臺主機上執行，有哪些Pod要排程執行，以及彼此是否配合，而在針對整個叢集進行採樣之後，就能得到全貌，隨後可根據不同服務、節點來進行條件過濾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Intel Granulate-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Intel%20Granulate-5.jpg" style="width: 600px;" /></a></p> <p>舉例來說，開發者能藉此了解有些呼叫堆疊不合理，之後可以去專心處理這部分，或是獲得建議、並結合英特爾持續推動軟體最佳化工程的成果，而得知能改用更新的軟體元件版本提升性能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-09-Intel Granulate4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Granulate4.jpg" style="width: 298px;" /></a></p> <p>另一個gProfiler呈現應用程式工作負載狀態的形式，是藉由表格來列舉，開發者可以檢視不同功能所屬執行時間內的狀態，找到真正耗費很多CPU時間處理的功能部位，而不只是看到它們呼叫某些功能，瞭解真正需要去改善的地方。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-Intel%20Granulate1.jpg" style="width: 600px;" /> </p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Epa7YryNXzc?si=zM1iddYWe2CwqAnb" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>Granulate gProfiler</strong><br /> ●原廠：Granulate<br /> ●建議售價：廠商未提供<br /> ●支援運算架構：x86_64、Aarch64<br /> ●支援執行時期環境：Clojure、Scala、Ruby、C / C++、Java、Python、JS、PHP、Go<br /> ●包含的剖析器：Python eBPF、async-profiler、py-spy、bcc、phpspy、rbspy<br /> ●安裝方式：Docker映像、DaemonSet（直接安裝在Kubernetes叢集）、命令列安裝、在DataBricks服務的節點執行指令、安裝在叢集環境中（Amazon ECS、Amazon EMR、紅帽OpenShift）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/25 23:29作者李宗翰https://www.ithome.com.tw/review/152613
不只是瀏覽器零時差漏洞，CVE-2023-4863還影響開發者生態系統、作業系統與容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月到10月，<a href="https://www.ithome.com.tw/news/159484">有相當多的零時差漏洞消息接連傳出</a>，其中一個最引發我們關注的是，<a href="https://www.ithome.com.tw/news/158723">Google在9月11日修補Chrome的零時差漏洞CVE-2023-4863</a>。</p> <p>原因在於，最初科技大廠們對於該漏洞的真正根源似乎感到困惑，直到後續更多消息曝光，才知道該漏洞的影響範圍比原先預估要大，而且是非常廣泛。</p> <p>具體而言，CVE-2023-4863為一位於WebP的堆積緩衝區溢位（Heap buffer overflow）漏洞，該漏洞的CVSS評分最初為8.8分，之後調整為9.6分，一開始揭露這個漏洞的主因，是存在於Chromium WebP圖像處理層面，後續發現其關鍵是在開源編解碼函式庫libwebp。</p> <p>基本上，可提供無失真壓縮的圖檔格式WebP，是Google在2010年推出，近年已被廣泛應用，例如，大家在網路下載圖片時，或許已經常看到會儲存成一個WebP檔，而不是JPEG或PNG檔。</p> <p>因此，在Google修補後，我們看到更多消息， Mozilla針對該漏洞修補了Firefox與Thunderbird。此時我們察覺到，這個漏洞不僅影響瀏覽器，還有軟體系統，因此也預期還會有更多相關修補消息。</p> <p>果不其然，在9月14日，我們看到1Password的資安架構師就以「誰的CVE」為題，來闡釋這個引起全球頭痛的零時差漏洞。</p> <p>原因在於，libwebp編解碼函式庫由WebM專案維護，該專案則是Google與其他許多公司的共同努力。因此，不只是Andorid、Firefox與Chromium有使用libwebp，從基於Chromium的專案來看，包括Chrome、Edge、Brave瀏覽器以及熱門Electron框架，也使用libwebp，而在Electron框架之下，還有Visual Studio Code、Singal通訊軟體、Slack協作平臺等眾多軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Whose%20CVE%20Is%20It%20Anyway_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Adam%20Caudill.jpg" style="width: 600px;" /><br /> <span style="color:#A9A9A9;">（圖片來源／Adam Caudill）</span></p> <p>到了9月底，資安界出現更多關於這個漏洞的討論。</p> <p>首先，Google在9月25日又公布了一個CVSS 10分的libwebp漏洞（CVE-2023-5129），但隔幾天撤回該漏洞編號，並稱其與CVE-2023-4863重複。主要原因可能在於，Google一開始是將該漏洞歸類為Chrome，沒有歸類到libwebp，但又因為避免再次混淆，因此改為擴大CVE-2023-4863範圍。</p> <p>接下來有其他業者也發布相關修補，如<a href="https://www.ithome.com.tw/news/159122">微軟在10月2日表示</a>，針對旗下Edge、Teams、Skype及Webp Image Extensions修補CVE-2023-4863漏洞。</p> <p>再者，由於CVE-2023-4863漏洞是由加拿大公民實驗室與蘋果工程師通報，但在漏洞揭露的4日前，蘋果才剛修補2個由加拿大公民實驗室通報的零時差漏洞（CVE-2023-41064、CVE-2023-41061），因此當時我們就猜想，有可能與同一攻擊事件有關。後續發現，原來不僅是同一商業間諜駭客攻擊事件，甚至漏洞都有關聯。</p> <p><a href="https://blog.cloudflare.com/uncovering-the-hidden-webp-vulnerability-cve-2023-4863/">Cloudflare在10月初指出</a>，蘋果9月7日修補零時差漏洞<a href="https://www.ithome.com.tw/news/158648">CVE-2023-41064、CVE-2023-41061</a>，當時對於CVE-2023-41064的說明並不完整，只說這是ImageIO中的緩衝區溢位問題，攻擊者經由製作惡意的影像可能導致執行任何程式碼，直到Google修補CVE-2023-4863漏洞，才清楚這兩個漏洞是有關聯的。</p> <p>究竟影響層面有多廣？我們找到這方面的資訊，資安業者Snyk在9月底與10月初，陸續發表對CVE-2023-4863漏洞的解析，在說明將影響其他依賴libwebp庫處理WebP圖像的應用程式之餘，更具體<a href="https://snyk.io/blog/find-and-fix-webp-vulnerability-cve-2023-4863/">說明這個漏洞對軟體生態系統影響有多廣泛</a>。</p> <p>例如，有許多操作系統與熱門應用程式框架，其實都使用libwebp編解碼函式庫來支援webp圖像，像是熱門的Electron框架，同時還指出更多通用軟體受影響，例如，包含Python圖像處理套件Pillow，用於打造2D與3D遊戲的GoDot遊戲引擎，以及廣泛使用的FFmpeg、Gimp等也使用libwebp，因此種種相依問題可能導致開發者不知受到影響。但應該要注意，實際影響層面可是相當廣泛。</p> <p>儘管根據加拿大公民實驗室所揭露的訊息，利用此漏洞的商業間諜駭客公司是NSO Group商業間諜駭客公司，看似最初的攻擊目標是針對個人植入Pegasus間諜程式，而非針對企業IT基礎設施，但若攻擊面被擴大，影響將會相當深遠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）libwebp零時差漏洞_圖片來源Snyk.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89libwebp%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Snyk.jpg" style="width: 600px;" /></a><br /> <span style="color:#A9A9A9;">（圖片來源／Snyk）</span></p> <p><strong><span style="color:#0099ff;">針對CVE-2023-4863漏洞的影響，資安業者Snyk繪製了一張圖表來展現其範圍之大，不只是影響瀏覽器，還影響開發者生態系統、作業系統與容器。</span></strong></p> </div></div></div>
2023/10/25 15:24作者羅正漢https://www.ithome.com.tw/news/159472
2023Q3零時差資安漏洞激增，短短一個多月爆出20個零時差漏洞，特別是涉及底層漏洞似乎變多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於多數人而言，一談到駭客挖掘並成功利用的零時差漏洞，可能都會認為都是微軟、Google、蘋果等大型科技公司產品的漏洞，又或是企業IT、網通、資安設備的漏洞，其實，相關的風險不僅止於此，最近一個多月以來，多家科技大廠修補零時差漏洞，以及這些漏洞在短時間內就被廣泛利用的新聞不斷，在整理這些消息的過程中，我們發現，有個議題需要大家格外重視，那就是：攻擊者找出這些漏洞、進而濫用的對象，有不少是涉及廣泛運用的開源程式庫與標準協定，因此，這些問題往往造成更大的影響。</p> <p>而且，有些零時差漏洞遭利用，可能並無法在很短時間之內就能發現，在數個月之後，廠商、開源軟體社群、用戶因為有外部資安研究人員投入分析、調查，甚至發生大規模漏洞濫用攻擊才找出漏洞根源，之後才能著手修補。</p> <p>基本上，關於零時差漏洞（zero-days），原本的定義是廠商公告他們掌握的漏洞，但可能當下無法提供修補、緩解方式，或是能提供這些補救措施，但用戶如果沒有儘快處理這些問題，就形成防護空窗期，後來，隨著許多漏洞濫用事故早於廠商公告，現在，零時差漏洞這樣的稱呼也擴大適用範圍，將漏洞在修補程式公開之前就被利用的攻擊納入，而這種行為也稱為零時差漏洞利用（zero-days exploited）。</p> <p>因此，從過往諸多事件來看，零時差漏洞利用的活動可分為兩類，第一種，攻擊者先發現新的未知漏洞、用於攻擊行動後，經過資安業者或產品業者調查，才知道有這樣的零時差漏洞，需要打造修補程式；另一種則是有新的漏洞被公開，但還沒有修補程式釋出，因此將有零時差漏洞的風險，可能有攻擊者在修補釋出前成功利用，或是根本不會有修補的情形。</p> <p>過程中，若要縮短漏洞防護空窗期，有賴於業者與用戶積極修補漏洞與部署補救與緩解機制，同時示警有哪些漏洞已遭利用，將這些情資傳播開來，讓大家對這些已知漏洞產生警覺，及早採取行動預防或因應。</p> <p>值得關注的是，最近一個月，科技大廠修補零時差漏洞的新聞不斷，這些廠商在發布安全通告或釋出修補的當下，已表明獲知該漏洞已有遭利用的情況，由於這段期間消息相當密集，多到幾乎平均每週都有3到4起的情況，格外引發我們的關注。</p> <p>在此同時，我們甚至察覺與以往的不同之處，有些零時差漏洞的影響，其實比大家原先預估的廣泛，甚至，有時不一定能很快發現攻擊者利用哪個未知漏洞。</p> <h2><strong>今年攻擊者濫用零時差漏洞情況大增</strong></h2> <p>攻擊者先發現漏洞並利用於攻擊行動的情況，近期到底有多嚴峻？根據我們的統計，2023年9月至10月上半，就出現多達20個零時差漏洞已遭利用的消息，逼近每兩天就冒出1個零時差漏洞的狀態。</p> <p>這樣的數量不尋常嗎？以資安廠商Mandiant近年發布的零時差漏洞濫用研究報告來看，<a href="https://www.mandiant.com/resources/blog/zero-days-exploited-2022">2022一整年遭大規模濫用的零時差漏洞數量是55個</a>，2021年達到歷年最高，多達81個。</p> <p>若是以上述統計數據，平均每個月有4到7個零時差漏洞，顯然，最近這一個多月來的零時差漏洞，數量快到達到月平均的3倍，確實出現得相當頻繁且密集。</p> <p>事實上，單就2023一整年而言，零時差漏洞數量之多，可能不只是超越以往，而是大暴增！在9月舉行的mWISE 2023大會上，Google Cloud Mandiant Intelligence主席Sandra Joyce透露，今年截至9月初為止，已發現62個零時差漏洞被用於駭客攻擊，因此，2023年數量是有可能再創新高。</p> <p>再從個別廠商修補動向來看，今年初至10月11日，微軟已修補24個零時差漏洞，蘋果已修補16個零時差漏洞。</p> <p>整體而言，最近這一個多月，有哪些業者的產品服務，遭零時差漏洞攻擊鎖定？包括：Google、思科、蘋果、微軟、Adobe、趨勢科技、Arm、Atlassian等，較特別的是，我們看到一些漏洞影響更是深遠，包括涉及開源程式庫libwebp、libvpx的漏洞，以及HTTP/2協定的漏洞。</p> <p>當然，幕後又是那些攻擊者先挖掘出未知漏洞，並實際利用於攻擊行動，也令大家感到好奇？儘管許多攻擊事件的事件全貌仍有待公布，綜合上述這些零時差漏洞攻擊來看，有些攻擊的幕後黑手已被找到，這些攻擊者的身分與往年資安業者的揭露相當，包含，國家級駭客組織、商業間諜公司、勒索軟體組織等。</p> <p>例如，9月6日思科公布漏洞修補消息，多家資安業者指出發動濫用攻擊的是Akira勒索軟體組織；9月7日、11日的蘋果與Google發布零時差漏洞修補，加拿大公民實驗室指出，攻擊這些漏洞的團體，有商業間諜駭客公司NSO Group商業間諜駭客公司與其客戶；9月21日蘋果公布漏洞修補，加拿大公民實驗室與Google TAG小組指出，對此發動攻擊的人，是商業間諜駭客公司Cytrox/Intellexa及其客戶；10月4日Atlassian發布漏洞修補，微軟指出濫用此漏洞進行攻擊的人，是中國駭客組織Storm-0062。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站主圖）近期多達20個零時差漏洞被用於駭客攻擊.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96%EF%BC%89%E8%BF%91%E6%9C%9F%E5%A4%9A%E9%81%9420%E5%80%8B%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E%E8%A2%AB%E7%94%A8%E6%96%BC%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A.jpg" style="width: 600px;" /></a></p> <h2><strong>釋出修補是當務之急，廠商與用戶都有責任</strong></h2> <p>在這20個零時差漏洞攻擊中，除了導致的災情，修補的狀態仍是普遍企業關注焦點，我們從中整理出目前觀察到的現況。</p> <p>一般而言，由於這些零時差漏洞攻擊涉及使用未知漏洞，因此大多數相關消息先聚焦在漏洞的通報，等到修補的釋出，再同時將未知漏洞公開，大多數零時差漏洞消息的曝光皆是如此。</p> <p>特別的是，也有廠商選擇先公開揭露漏洞、提出緩解措施，後續才釋出更新修補。例如，思科在9月6日修補的零時差漏洞（CVE-2023-20269），就是先公告漏洞警訊並提出緩解措施，等到在9月27日發布暫時的修補更新，10月11日釋出新版正式修補。</p> <p>另一種情形的處理順序剛好相反，例如，趨勢科技在9月19日公開揭露旗下產品的零時差漏洞（CVE-2023-41179），提醒已觀察到嘗試利用情形，但修補在這之前就已釋出。他們表示，受影響的Apex One SaaS在7月即修補，其他受影響產品，相關更新修補也在7月至9月12日之間陸續釋出。</p> <p>是否因為攻擊嚴重性，而採取不同措施對予以應對？像是已經出現大規模攻擊，因此，需要先一步向外界示警、提出緩解，共同因應，或是為了掌握更多攻擊情資，要先暗中通知用戶更新修補，之後才對外公開。有些廠商會特別說明這部份考量，而有些不會，而且也不一定每次都表明，因此，外界也無法掌握這部份狀況。</p> <p>還有一種情況，是因為上下游而導致修補時間被拉長。<a href="https://security.googleblog.com/2023/07/the-ups-and-downs-of-0-days-year-in.html">Google TAG小組曾經指出Android上的n-day漏洞問題</a>，像是去年Arm公布修補一個漏洞，但Android系統修補該漏洞是隔年4月，這段期間，其實在Arm修補揭露的下一個月，就發現有駭客開始利用該漏洞。</p> <p>也就是說，攻擊者可以利用已知的n-day漏洞，將其作為0-day來發動攻擊。</p> <p>最近已有轉變，例如，在10月2日，Arm修補Mali GPU Driver的CVE-2023-4211漏洞，我們發現同日Android也修補，已在每月Android例行安全更新公告，說明修補同個漏洞。</p> <p>儘管還有下游手機製造商是否會盡速修補的問題，但我們認為，如今至少縮短了上游供應商、平臺的修補時間差。</p> <p>當然，更重要的是，用戶也要實際行動。否則只有廠商釋出修補，也示警攻擊者已經成功利用，但用戶裝作不知情、沒有去取得更新並修補，等於用戶沒有盡到自身之責。過去我們就看過很多例子，在廠商已經釋出修補後，資安研究人員發現網路上還是有很多設備存在曝險的情形。</p> <h2><strong>要找出已被用於攻擊的未知漏洞，可能沒那麼容易</strong></h2> <p>對於零時差漏洞的因應挑戰，我們從近期事件注意到一件事，有些漏洞利用的情形，其實並不容易追查出，即使發現攻擊行動可能利用某途徑，仍有可能數個月後才被廠商知曉、修補被濫用的漏洞根源。</p> <p>例如，9月6日思科所示警並公布的漏洞CVE-2023-20269，揭露了起因是AAA協定與其他軟體功能缺乏適當區隔，並提及此漏洞是在解決思科技術支援案例時發現，也感謝Rapid7通報了漏洞利用的情形。另也說明，他們在8月已察覺外部有漏洞利用情況。</p> <p>這個漏洞的CVSS評分為5.0，並不高，但其實，思科在8月24日的Cisco部落格上，就曾經表示察覺相關威脅報告，指出勒索軟體組織Akira鎖定未啟用MFA的思科VPN的情形。</p> <p>甚至，向思科通報的資安業者Rapid7在8月29日指出，最早從今年3月30日，就觀察到針對思科ASA SSL VPN設備的攻擊活動，並確定至少11個企業在3月到8月間遇害。</p> <p>而且，還有多家資安業者早就發現跡象，例如，Sophos在5月看到勒索軟體Akira的攻擊手法，疑似是針對尚未採用雙因素驗證的SSL VPN系統下手，惡意軟體分析員Aura與SentinelOne則是在8月確認，被針對的SSL VPN系統廠牌是思科。</p> <p>換言之，這個零時差漏洞帶來的危害，可能已經長達半年之久。而並非我們可能想像的，一旦零時差漏洞被利用於攻擊行動，外界很快就可以發現並予以修補。</p> <h2><strong>攻擊者挖掘利用的0-day，涉及上游或底層的情形增加</strong></h2> <p>另一個關注焦點是，攻擊者利用零時差漏洞來發動攻擊，能透過一次行動就造成大規模的攻擊，因此愈受歡迎的品牌，通常愈容易被當做目標，包括微軟、蘋果、Google，還有各式企業使用的IT、網通設備產品等。</p> <p>特別的是，我們發現最近攻擊者挖掘的零時差漏洞，不只上述Arm的零時差漏洞被攻擊者發現並利用，還有3個也是涉及上游或底層的狀況，是過去較少見的態勢。</p> <p>例如，在9月11日Google修補的漏洞CVE-2023-4863，最初，這似乎只是瀏覽器中的漏洞，但隨著資安界不斷揭露新的資訊，大家才知道影響層面相當廣泛。</p> <p>Google在修補此CVE-2023-4863時表示，其通報者是來自蘋果工程師與加拿大公民實驗室的專家。由於4日前，蘋果剛修補2個零時差漏洞，且加拿大公民實驗室同步揭露利用此漏洞組合的攻擊場景，因此當時我們立即聯想到，鎖定這個漏洞攻擊的幕後，可能是同樣的攻擊者在利用。</p> <p>事實上，最近我們進行後續追蹤時，發現9月底有許多資安業者專家談起這次Pegasus間諜程式的漏洞利用，會將這3個漏洞一併相提。也有不少業者指出，蘋果修補的CVE-2023-41064，與Google發布的CVE-2023-4863是有關聯的。</p> <p>關於CVE-2023-4863的討論很多，爭議在於，Google原本指出該漏洞是WebP圖像處理時的堆緩衝區溢漏洞，接著傳出所有支援WebP圖像處理的瀏覽器都受影響，後續，很多專家紛紛指出該漏洞影響深遠，因為這是存在WebP圖像處理的開源編解碼程式庫libwebp。</p> <p>此外，Google在9月28日修補的零時差漏洞CVE-2023-5217，由於漏洞存在開源視訊編解碼程式庫libvpx中的VP8視訊編碼，儘管討論熱度不及上述libwebp漏洞，但同樣有需要廣泛修補的狀況。</p> <p>另外還有一起零時差漏洞攻擊，10月10日，Cloudflare、Google與Amazon AWS公開揭露HTTP/2協定的零時差漏洞，這個被攻擊者用於發動巨量DDoS攻擊的漏洞，同樣影響層面不小。這些業者指出，任何部署HTTP/2的業者應該都會受此漏洞影響，大部分的網頁伺服器亦包含在內。</p> <p>依據上述現況，攻擊者濫用零時差漏洞的目標，確實有往底層切入的態勢。</p> </div></div></div>
2023/10/25 17:50作者羅正漢https://www.ithome.com.tw/news/159484
【資安日報】10月25日，6月iOS裝置零點擊攻擊調查結果出爐，駭客嚴格確認已滲透至真實環境，才開始植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月，資安業者卡巴斯基從專供行動裝置使用的Wi-Fi網路流量察覺異常，有多臺iOS手機出現可疑活動，從而發現零點擊攻擊行動Operation Triangulation，在經過4個月的調查後，該公司透露攻擊者如何防範研究人員發現其活動的跡象。</p> <p>研究人員認為，這些過往較為罕見的手法，代表駭客對iOS作業系統相當了解，而且，他們不排除Mac電腦也是遭到鎖定的對象。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/triangulation-validators-modules/110847/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊行動Operation Triangulation更多細節</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Triangulation-modules_en-ru_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Triangulation-modules_en-ru_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基今年6月證實遭到Operation Triangulation攻擊行動波及，數十名員工的iOS裝置感染惡意程式。到了最近，該公司透露更多調查結果。</p> <p>研究人員指出，駭客為了避免在資安人員的測試環境執行惡意程式，在鎖定攻擊目標之後，他們會先執行2種驗證程序，其中一種是針對JavaScript功能進行驗證，攻擊者執行多種數學運算，並偵測Media Source API及WebAssembly元件是否存在，然後利用名為Canvas Fingerprinting的瀏覽器指紋技術，使用WebGL在粉紅色背景上繪製黃色的三角形，並計算其檢查碼（Checksum）。</p> <p>在上述的JavaScript功能驗證完成之後，結果將會回傳到駭客的伺服器，接收另一個Mach-O執行檔的環境驗證工具，此工具檢查裝置是否越獄，並啟用個人化設定的廣告追蹤，收集使用者名稱、電話號碼、IMEI碼、Apple ID等系統資訊，以及已安裝的應用程式清單、正在執行的處理程序等資訊，除此之外，該工具還會清理特定的事件記錄檔案，以及駭客寄送的iMessage訊息，來抹除嘗試入侵的證據。</p> <p>經過上述的裝置檢查流程，駭客才會將惡意程式TriangleDB植入目標設備，並與C2伺服器建立通訊、發送心跳訊息。此後門程式會洩露受害者的地理位置、iCloud鑰匙圈、麥克風錄音資料，以及應用程式利用SQLite資料庫存放的使用者設定等。</p>  <p><a href="https://www.proofpoint.com/us/blog/threat-insight/copacabana-barcelona-cross-continental-threat-brazilian-banking-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴西金融木馬Grandoreiro針對西班牙、墨西哥而來</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Grandoreiro-Fig 3_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Grandoreiro-Fig%203_1.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露新一波的惡意軟體Grandoreiro攻擊行動，駭客原本的主要目標是巴西、墨西哥，以及其他美洲使用葡萄牙語和西班牙語用戶，但研究人員發現攻擊者開始將重心轉移到西班牙。</p> <p>駭客通常利用帶有URL的釣魚郵件發動攻擊，一旦收件人點選，電腦就會下載ZIP壓縮檔，其內容多半是MSI安裝檔、EXE可執行檔，或是HTML網頁應用程式檔案（HTA）。若是收信人開啟，這些惡意檔案就會透過DLL側載（DLL Side-loading）手法，執行惡意程式載入工具，從而透過C2下載、執行Grandoreiro。</p> <p>研究人員從8月24日至29日，看到駭客組織TA2725針對西班牙、墨西哥的攻擊行動，這些駭客假借西班牙金屬熱處理業者ÉSECÈ Group、墨西哥電信業者Claro的名義寄送釣魚郵件。</p> <p><a href="https://www.hackread.com/chinese-scammers-fake-loan-apps-money-laundering/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客透過冒牌貸款應用程式，騙取使用印度數位支付平臺安卓用戶的個資及銀行帳號</span></strong></a></p> <p></p> <p>資安業者CloudSEK揭露中國駭客鎖定印度數位支付平臺的攻擊行動，駭客從今年7月至9月，透過55款冒牌的金融及貸款應用程式，向使用者聲稱可以提供即時貸款，然而一旦使用者依照指示申請，對方在取得個人資料及貸款手續費（約貸款金額5%）之後就無法聯繫。這些駭客從7月22日至9月18日，竊得3萬張Adhaar卡片及銀行帳戶、入侵4萬臺安卓設備，騙得379萬盧比（相當於4.6萬美元）。</p> <p>研究人員指出，雖然駭客主要目標是印度的數位支付平臺，但是他們的攻擊範圍涵蓋巴西、土耳其、墨西哥、越南、馬來西亞、哥倫比亞、印尼、菲律賓、南非。由於在這起攻擊行動當中，駭客運用了中國的支付閘道，以及印度的錢騾，導致執法單位難以追蹤這起惡意活動。</p> <p><a href="https://www.ettoday.net/news/20231020/2606195.htm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上影視平臺LiTV基礎設施1月遭破壞，涉案前IT主管遭起訴，檢方透露更多細節</span></strong></a></p> <p></p> <p>線上影視平臺LiTV於今年1月24日，發現公司網路遭到入侵，刪除資料庫，以及提供影音服務的雲端虛擬伺服器檔案，刑事警察局接獲報案進行調查，發現設籍基隆市的49歲陳姓資訊工程師涉嫌重大，2月20日拘提到案，陳嫌表示犯案動機與訂閱LiTV影視服務有關，<a href="https://www.ithome.com.tw/news/156623#litv">4月底警方移送臺北地檢署</a>，最近檢調單位找出到了更多證據。</p> <p>根據ETtoday新聞雲、三立電視臺、華視等媒體報導，這名嫌犯是LiTV的前IT主管，他因為離職後不斷收到該公司的內部信件，認為接任的新主管不用心而想要給個教訓，因此在大年初一、初二（1月22日、23日）凌晨，開車到公司附近，並以筆電存取免費Wi-Fi無線網路，入侵主機系統，此人設計迴圈程式，透過程式執行自動刪除檔案的工作。</p> <p>直到筆電電源耗盡自動關機，這名前主管返家充電，當充電到達一定電量，這臺電腦自動開機，連上住家的Wi-Fi無線網路，繼續執行前述的迴圈程式，約莫經過3分鐘，陳男才關閉程式與筆電，並多次將電腦還原、格式化，而這3分鐘的連線記錄也成為犯案的證據。臺北地檢署認定陳男涉嫌刑法妨害電腦使用罪的無故刪除或變更他人電磁紀錄，且致生損害於他人罪，依法提起公訴。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對鎖定NAS設備而來的暴力破解攻擊，威聯通提出更多說明，表示今年已出現多起攻擊行動</span></strong></p> <p></p> <p>上週臺灣NAS廠商威聯通（QNAP）發布資安通告，表示他們10月中旬攔截大規模暴力破解攻擊，駭客鎖定NAS設備而來，現在該公司提出進一步的說明。</p> <p>威聯通產品資安事件應變團隊經理黃士展表示，針對這起攻擊行動，他們接獲零星用戶通報受害，多半是admin帳號啟用、且使用弱密碼而讓攻擊者得逞。由於該公司在出廠即搭載QTS 5.0以上版本作業系統的NAS設備，admin帳號預設就是停用的狀態，受影響的情況較為有限。對此，他們呼籲由舊版QTS升級的使用者，應檢查admin帳號是否已經停用。</p> <p>再者，黃士展指出他們今年偵測到多起類似的攻擊行動，攻擊流量來自特定的殭屍網路，但該殭屍網路並非只有在Digital Ocean架設主機。他們也建議用戶安裝防火牆應用程式QuFirewall，該應用程式會自動更新弱密碼攻擊的黑名單，隔絕暴力破解攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/rockwell-automation-warns-customers-of-cisco-zero-day-affecting-stratix-switches/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">工控自動化設備業者Rockwell針對思科IOS XE零時差漏洞提出警告，旗下工業網路交換器也曝險</span></strong></a></p> <p></p> <p>思科揭露網路設備作業系統IOS XE的零時差漏洞CVE-2023-20198、CVE-2023-20273，且已出現大規模攻擊行動，有其他採用這套作業系統的網路設備也可能曝露相關風險。</p> <p>10月24日工業自動化設備製造商Rockwell發布資安通告，表示旗下的工業網路交換器Stratix 5800、5200系列也採用IOS XE作業系統，若是IT人員啟用網頁介面的功能，就可能存在CVE-2023-20198，攻擊者可在未經身分驗證的情況下，遠端於交換器上建立具有等級15權限的帳號，並用來控制目標設備，CVSS風險評分為10，美國網路安全暨基礎設施安全局（CISA）也對此提出警告，呼籲IT人員採取相關緩解措施。</p> <p>值得留意的是，該公司並未提供修補程式，也沒有提及上述交換器是否受到CVE-2023-20273影響。</p> <p>資料來源</p> <p>1. <a href="https://www.rockwellautomation.com/en-in/support/advisory.PN1653.html">https://www.rockwellautomation.com/en-in/support/advisory.PN1653.html</a><br /> 2. <a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-297-01">https://www.cisa.gov/news-events/ics-advisories/icsa-23-297-01</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-admins-of-public-exploit-for-vrealize-rce-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware事件記錄分析系統的RCE漏洞傳出被用於攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/crimeware-report-gopix-lumar-rhysida/110871/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rhysida與竊資軟體Lumar、GoPIX串連，攻擊巴西行動支付系統</span></span></strong></a></p> <p></p> <p><a href="https://securelist.ru/ataki-na-industrialnyj-i-gosudarstvennyj-sektory-rf/108229/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯工業組織遭到後門程式攻擊，駭客企圖竊取機密資料</span></span></strong></a></p> <p></p> <p><a href="https://media.defense.gov/2023/Oct/04/2003313510/-1/-1/0/ESF%20CTR%20IAM%20MFA%20SSO%20CHALLENGES.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA、NSA發布新的身分及存取管理指南</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/159462"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">政府推出111短碼簡訊平臺，杜絕詐騙集團冒用公家名義簡訊詐騙</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159454"><strong>【10月24日】駭客再度針對已遭零時差漏洞攻擊的思科IOS XE設備下手，部署新的後門程式，意圖隱匿攻擊行動</strong></a></p> <p><strong style="color: rgb(7, 130, 193);">【10月23日】思科網路設備作業系統IOS XE攻擊升溫，駭客串連兩個零時差漏洞散布惡意程式，近4.2萬臺設備受害</strong></p> <p><a href="https://www.ithome.com.tw/news/159415"><strong>【10月20日】駭客利用後門程式框架Meta攻擊東歐國家的石油產業、天然氣公司、國防工業</strong></a></p> </div></div></div>
2023/10/25 16:58作者周峻佑https://www.ithome.com.tw/news/159482